社員証型センサを⽤いた
健康増進システムへのSTAMP/STPAの適⽤検討
⼩林良輔* 伊藤信⾏† 梶克彦††
内藤克浩†† 水野忠則†† 中條直也††*愛知工業大学大学院†三菱電機エンジニアリング††愛知工業大学
1

⽬次
 研究背景 健康増進システム
 社員証型センサを⽤いた運動量測定
 オフィスでの歩⾏軌跡推定に基づく運動量推定
 エルゴxウェアラブル⼼拍計を使った運動実験 システムの高信頼化

 研究課題 研究⽬的 健康増進システムの構成要素
 STAMP/STPA Step0 準備1 Loss,Hazard,Safety Constraintsの識別 Step0 準備2 CSの構築
 Step1(UCAの抽出)
 Step2(HCFの特定)
 対策

 考察
 まとめ2

研究背景
 三菱電機エンジニアリングと共同研究
 健康増進システムの開発
対象:運動にあまり関⼼がないオフィスワーカー

8割
特徴:エルゴメータと社員証型センサを併⽤して個々⼈に適した運動の提供
3

健康増進システムの提案4

社員証型センサを⽤いた運動量測定ハードウェア
⽇常の運動量を測定したい！

歩数・階段数加速度センサFeliCa Plug

社員証型センサに RFIDリーダによる運動量測定 よる測定値収集

測定値管理
5

オフィスでの歩⾏軌跡推定に基づく運動量推定
オフィスでの運動量を知りたい！

社員証型センサで歩⾏軌跡を推定
オフィスや階段の歩⾏での運動量推定6

エルゴxウェアラブル⼼拍計を使った運動実験
⽇常の運動量から体⼒の向上を知りたい！

個人の特性を詳細に分析

⽇常運動量測定
歩数

⼼拍数

エルゴ
メータ

運動負荷
特性の変化

健康促進

通勤・⼼拍数オフィス 歩数ワーク
運動負荷

時間経過に伴う特性変化

健康状態の情報
運動方法の提案
7

システムの高信頼化
安全に利⽤できるか知りたい!

データ学習による異常の検出
疲労や怪我を防止する安全性解析

STAMP/STPA

データ収集
ヘルスケアシステム
正常値モデルの作成
xt

外れ値検出
8

健康増進システムの課題
オフィスワーカーが安全に利⽤できるシステムであることが求められる

 オフィスワーカーはシステムに関する専⾨知識がない⼀般の利⽤者
 社員証型センサが新しい機器
課題がないか分析が必要
9

課題の事例
運動中の⼼拍数を82と低く取得

重大な事故につながる恐れ

不審に思ったトレーナーが別の機器で⼼拍数を測定160を計測
利⽤者による集団訴訟
ウェアラブル⼼拍計
精度問題かセンサの故障かは定かではないがデバイス周りの安全性分析は必要
出典:http://www.gizmodo.jp/2016/01/_fitbit_classaction.html

10

研究⽬的
健康増進システムにSTAMP/STPAを適⽤

社員証や利⽤者に関するリスク分析

開発中の健康増進システムの安全性確保
11健康増進システムの構成要素

社員証型センサ

利⽤者

エルゴメータスマートフォン

サーバ

ゲート

12

社員証型センサ
プロトタイプ評価中
加速度センサの動作確認
前提 Arduinoマイコン，加速度センサ 無線通信も動作確認

FeliCa Plug，ボタン電池，気圧センサを搭載
 FeliCa Plugを⽤いて出退勤管理
 社員証は首に下げている役割
 加速度センサ，気圧センサを⽤いて⽇常の運動量を測定，蓄積
 FeliCa Plugによりゲートのカードリーダと通信を⾏い，出退勤と同時に運動量を送信

イ

13

利⽤者
前提
 普段運動をしないオフィスワーカー
 測定機器などシステムに関する専⾨知識はない 会社内で運動するタイミングがある
役割
 体⼒測定の結果やスマートフォンのアプリケーションに従い運動

14

エルゴメータ前提 ⼀定周期で体⼒測定
 会社で利⽤できる役割
 ⼼肺運動負荷試験を⾏うことで利⽤者の体⼒がわかる 利⽤者に⽬標⼼拍，運動強度の表示をする

15

スマートフォン役割
サーバから運動量を受信アプリケーションにより受信した運動量から⽬標⼼拍，運動強度を設定

16

ゲート
前提
RFIDリーダの搭載
FeliCaによる近距離無線通信
社員証で出退勤の確認
役割出退勤と同時に社員証から運動量データを回収
運動量データをサーバに送信

17

サーバ
役割
ゲートから運動量データを受信運動量データを管理
利⽤者のスマートフォンに運動量データを送信

18⽬次
 研究背景 健康増進システム
 社員証型センサを⽤いた運動量測定
 オフィスでの歩⾏軌跡推定に基づく運動量推定
 エルゴxウェアラブル⼼拍計を使った運動実験 システムの高信頼化

 研究課題 研究⽬的 健康増進システムの構成要素
 STAMP/STPA Step0 準備1 Loss,Hazard,Safety Constraintsの識別 Step0 準備2 CSの構築
 Step1(UCAの抽出)
 Step2(HCFの特定)
 対策

 考察
 まとめ
19

Step0 準備1 Accident,Hazard,SafetyConstraintsの識別20Step0 準備2 CSの構築

21

Step1(UCAの抽出)機器同士のUCA

22

Step1(UCAの抽出)
利⽤者と機器のUCA

23

Step1(UCAの抽出)
社員証型センサのUCA

24

Step2(HCFの特定)
Providingcauses hazard

Control Action

Not Providing

運動量•

社員証型セ •ンサの充電が切れていたため運動量が取得できない

•

加速度セン
サの故障により運動量が取得でき •ない

Too early / toolate , wrong
order causes
hazard

落とした社 •員証型センサを届けてもらったときに別の利⽤者の運動量データを計測している
加速度セン
サの故障により実際の運動量と違う運動量を計測する

Stopping toosoon / applying
too long causes
hazard実際の運動 •量と保存されている運動量の時間にズレが生じている

社員証型センサの充電が装着途中に切れるため運動量が途切れる

25

対策
UCA

対策

対象

• 加速度センサ • マイコンによ • 社員証型センサの故障によりるセンサの状
実際の運動量態監視• サーバと違う運動量• サーバに蓄積を計測する
された統計データからの外れ値検出26

考察
利⽤者と機器のコントロールアクションを分けることで着⽬したい部分を明確化
社員証型センサのハザードとしては 社員証型センサの充電がないため運動量が計測できない
 加速度センサが故障し運動量を計測できない
 加速度センサの故障による不適切な運動量の計測
 他⼈の運動量データを計測 社員証型センサの充電が装着中に切れ運動量が途切れる

社外で運動をするオフィスワーカーもフォローする必要がある
27

社外で運動をするオフィスワーカーのフォロー
 本研究では普段運動をしない8割のオフィスワーカーのための健康増進システムの分析

 残り2割の社外で運動をするオフィスワーカーも健康増進システムに組み込むことが必要
 他のシステムとの連携
 新たなリスク分析が必要

28

まとめ
 オフィスワーカーの健康増進システムを対象としてSTAMP/STPAの適⽤利⽤者と機器のコントロールアクションを分けることで社員証型センサに関するシナリオを明確にできた 社員証型センサのシナリオについて対策を講じた

29

ご清聴ありがとうございました30