研究コース５（チーム*2%,7）GOBIT）
研究コース５（チーム

多様なステークホルダの満足度に着目した
システムの安全性・セキュリティ要件の抽出と検証
System Requirements Analysis for Safety and Security
with Multiple Stakeholder Perspectives on STAMP/STPA研究員：柳原 靖司（ブラザー工業株式会社）吉田 邦雄（オムロン株式会社）
研究概要
 本論文では，ステークホルダの多様な視点を取り入れながら客観的かつ系統的にシステ
ム の 安 全 性 ・ セ キ ュ リ テ ィ 要 件 の 抽 出 と 検 証 を 行 う 手 段 と し て ， 6606 法 （ 6DIHW\DQG
6HFXULW\ UHTXLUHPHQWV DQDO\VLV PHWKRG ZLWK 0XOWLSOH VWDNHKROGHU SHUVSHFWLYHV RQ
67$03673$）を提案する．近年，$,,R7 に代表されるようにソフトウェアが大規模・複雑化する中で，抜け漏れなくシステムの安全性・セキュリティ要件を抽出し，かつステークホルダの間で合意形成することが難しくなっている．6606 法を用いることで，対象ドメインの知識を十分に有してなくても複雑なシステムのハザードと脅威に対する対策群を実用的な量で獲得し，要件の満足度に関する評価指標で定量 的に評価することができる．
 This paper presents a safety and security requirements analysis method with multiple stakeholder
perspectives on STAMP/STPA called SSMS Method. In recent years, as software has become larger
and more complex, as represented by AI/IoT, it has become difficult to extract safety requirementscomprehensively and to form consensus among stakeholders adequately. SSMS Method facilitatesdevelopers to acquire safety and security requirements without sufficient knowledge of the target
domain and to evaluate them quantitatively based on their assent.

  は じ め に システム開発の上流工程において抜け漏れなくシステムの要件を抽出し，ステークホルダ間で合意形成することは難しく，大規模・複雑化する先進システムの開発ではその傾向が顕著である．システム要件の中でも運用段階で生じるハザードや脅威に対応するための安全性やセキュリティといった要件の抽出は重要であり，次世代システム安全性解析手法のひとつである 67$03673$（6\VWHPV7KHRUHWLF$FFLGHQW0RGHODQG3URFHVVHV6\VWHP
7KHRUHWLF3URFHVV$QDO\VLV）による解決アプローチが注目されている．米国を中心に航空宇宙，プラントの分野で適用実績が積まれてきており，最近では $,,R7 といった領域にも応用範囲が広がっている．システムに関わる人，環境，機械といった要素をモデル化し，その相互作用に着目することで安全・安心を脅かす要因を系統的に解析していくが，解析者が持つ思考特性によって導出される結果に偏在性が生じる等，手法が持つ適用汎用性から生じる課題も分かってきている．そこで，我々はシステム構築の要求分析・要件定義の分野で用いられているステークホルダの合意形成プロセスの知見を 67$03673$ に導入し，安全性とセキュリティの対策を網羅的に抽出できるようにした上で，要件の満足度の指標で定量的に評価するプロセスモデル 6606 法（6DIHW\DQG6HFXULW\UHTXLUHPHQWVDQDO\VLVPHWKRGZLWK0XOWLSOHVWDNHKROGHUSHUVSHFWLYHVRQ67$03673$）を考案した．第三者による実験では，67$03673$ に多様なステークホルダの視点を導入することで抽出され るシ
ステム要件の視点の豊かさが増し，かつドメインの有識者でなくても量と質の点でドメイ




－1－

研究コース５（チーム *2%,7）
ンの有識者に近いシステム要件を客観的かつ系統的に抽出できることが分かり，6606 法の有効性が確認できた．以下，本論文の構成を述べる．まず， 章では現状分析と課題提起を行う．次に  章では関連技術について言及し， 章， 章で夫々，解決策の提案と評価結果を示す． 章で評価結果に関する考察を行い，最後に  章で成果と将来への発展で結ぶ．
  解 決 す べ き 課 題    現 状 分 析 $,,R7 に代表される複雑なソフトウェア集約型システムが登場しており，コンポーネン
ト単位の信頼性を担保するような従来型の品質保証に加え，多数のコンポーネントが相互に連携するつながるシステムを俯瞰的に捉えながら，安全・安心を保障することが社会の課題として認識されている．この課題に対するアプローチとして，要求工学の分野ではステークホルダが連携しながらシステムのライフサイクル全体を分析するためのガイドラインが構築されている >@ ．システムの安全設計・安全性論証の分野では 67$03673$，アシュアランスケース等の活用研究が進められている．    課 題 提 起 
現在，システミック・アプローチで複雑なシステムの安全性を解析する 技術として
67$03673$ が知られている．)7$（)DXOW7UHH$QDO\VLV），)0($（)DLOXUH0RGHDQG(IIHFW$QDO\VLV），+$=23（+D]DUGDQG2SHUDELOLW\6WXG\）といった従来手法とは異なり，解析対象システムに影響を及ぼす人，環境，機械をモデル化し，構成要素の創発特性から生じるハザードを解析するアプローチを用いる．解析手法としての汎用性があるため，様々な産業のシステムに適用可能であるが，解析者が持つ思考特性により抽出されるハザードと脅威の対策群に偏りが生じる課題が本研究の予備実験から分かっている >@ ．例えば，ベンダの開発者であれば，システムの実装に関する対策群が解析の結果として抽出されやすい．
システム開発の要求分析や要件定義において考慮されるべき，多様なステークホルダ間の合意形成を促進する上で，次世代システム安全性解析手法である 67$03673$ に要求工学の知見を取り入れる必要がある．
  関 連 技 術 の 説 明 
我 々 の 研 究 の 技 術 的 拠 り 所 と し て 用 い て い る 67$03673$ 及 び $*25$ >@ （ $WWULEXWHG
*RDO2ULHQWHG5HTXLUHPHQWV$QDO\VLV0HWKRG）について述べる．
   6 7$ 03 6 7 3$ 67$03673$ では，システムの構成要素を図  に示す
コントロールプロセス
よ う な コ ン ト ロ ー ル ス ト ラ ク チ ャ （ &6 &RQWURO
アルゴリズムモデル
6WUXFWXUH）でモデル化し，コントローラから被コントロールプロセスに対して発行されるコントロールアク
コントロール
フィードバック
アクション
ションの乱れ（8&$8QVDIH&RQWURO$FWLRQ）を特定
し な が ら 安 全 制 約 を 逸 脱 す る ハ ザ ー ド 要 因 （ +&)
+D]DUG&DXVDO)DFWRU）を解析する手順をとる．673$
被コントロールプロセスの中で予め提供されているガイドワードを利用することで，様々な視点で +&) を強制発想できるように工夫
図  67$03673$&6 の例
されている．当初の 67$03673$ では機能安全に関する領域で研究が進められていたが，その後，セキュリティの脅威を解析することができるようにプロセスモデルが拡張された >@>@ ．   $ *2 5$ （ 属 性 つ き ゴ ー ル 指 向 要 求 分 析 法 ） $*25$ とはゴール指向要求分析手法のひとつで，$1'25 ツリーグラフに属性値を付与し


－2－

研究コース５（チーム *2%,7）
た上で，下流に向かって対案となるサブゴールを展開していきながら，ステークホルダ間の要求獲得に関する合意形成を促進させるための手法である．属性値のひとつとして 満足度行列があり，例えば，各ステークホルダが顧客・管理者・開発者の視点でサブゴールの評価値を  行  列の行列に登録すれば，ユーザに関する要素の総和からゴール適合度 >@ を求めたり，列方向の要素の分散値から意見の対立度を求めたりすることができる．   解 決 策 の 提 案    課 題 の 解 決 方 針 
我々は  節で取り上げた課題を解決するため，6606 法を提案する．6606 法は多様なステークホルダの視点を 67$03673$ に導入しながら，客観的かつ系統的にシステムのハザードとセキュリティ脅威の対策群を抽出した後，これらを安全性・セキュリティ要件として $*25$ の満足度行列を用いて評価するプロセスモデルである．このモデルが狙っている効果は，システム安全性の解析結果（67$03673$ の対策群）の多様性を創出することであるが，解析者が持つ思考特性がシステムの安全性解析結果に偏在性を生じさせる性質 に対応するために，予めシステムの開発において利害関係が生じやすい複数のロールの立場で思考制約を設けて 67$03673$ による解析を実行する．6606 法では，図  に示すように管理者，担当者，開発者の視点を導入している．
67$03673$ による解析結果で得られた対策群を，システムの安全性要件として実装に移していく過程では，ステークホルダ間でどの要件を採用するべきか合意形成が必要である．
6606 法では，抽出された対策群を要件の満足度の観点で評価した後，要件毎に満足度行列の形で整理し，さらにゴール適合度と意見対立の相関の二つの指標で定量化する．要件の質が定量化できるので，システムの安全性・セキュリティ要件の決定プロセスにおいて，ステークホルダ間の合意形成促進に貢献できる．
なお，6606 法のプロセスモデルでは，要件の抽出プロセスに $*25$ のツリーグラフではなく，67$03673$ のシステミック・アプローチを導入している．これは $,,R7 に代表される先進システムの要素間の複雑なインタラクションからもたらされる創発特性を捉え やすくすることを期待している．特に人とシステムの相互作用に関わる解析では，ツリーグラフのように上流から下流に展開される構造モデルでは解析が困難だからである．また，
67$03673$ を導入する別の利点として，熟練技術者が持つ業務知識や知見への依存度を抑える役割もある．673$ のシステム安全性解析
管理者の視点・㼁㻯㻭の抽出
手順化されたプロセスに・㻴㻯㻲の特定・対策群の立案
よって，技術の専門家でシステム安全性解析
前提条件整理コントロール・担当者の視点
対策群の集約はないユーザ企業の管理 ゴールと・アクシデント
評価値に基づくシステム構成ストラクチャの・㼁㻯㻭の抽出
・ハザード
要件の選別の定義
構築
・㻴㻯㻲の特定要件の評価
・安全性制約・対策群の立案者や担当者をシステム安
システム安全性解析
全性解析フェーズに巻き【凡例】
開発者の視点・㼁㻯㻭の抽出㻿㼀㻭㻹㻼㻛㻿㼀㻼㻭の領域
・㻴㻯㻲の特定込み易くなると考える．
・対策群の立案【用語】
以上の点から 6606 法で㼁㻯㻭：㼁㼚㼟㼍㼒㼑㻌㻯㼛㼚㼠㼞㼛㼘㻌㻭㼏㼠㼕㼛㼚
対策群の集約，要件の評価
㻴㻯㻲：㻴㼍㼦㼍㼞㼐㻌㻯㼍㼡㼟㼍㼘㻌㻲㼍㼏㼠㼛㼞は，多様なステークホル対策群の整理
各対策に対する各対策に対する各対策に対する・重複除去
ゴール適合度の意見対立の相関
ダの視点を活用できる点
満足度行列作成
・文章ゆらぎ調整
算出
算出
で従来手法に比べ優位性がある．
図  6606 法のプロセスモデル   6 606 法 の 解 析 手 順 
図  に示すプロセスに従い，システムの安全性・セキュリティ要件の抽出と検証を行う．
6 7 ( 3    システムのゴールを明確化し，システム構成図を作成する．
6 7 ( 3    67$03673$ の解析に必要なアクシデント，ハザード，安全性制約を列挙する ．
6 7 ( 3    システム構成図から構成要素，コントロールアクション，フィードバックを特定－3－研究コース５（チーム *2%,7）
し，コントロールストラクチャを定義する．（モデル化） 6 7 (3    シ ス テ ム 開 発 に 携 わ る ユ ー ザ 企 業 の 管 理 者 ， 担 当 者 及 び ベ ン ダ の 開 発 者 が ，67$03673$ を用いて夫々，解析を行う．このとき，各解析者は自身の役割（ロール）を適切に意識し，ロール毎の思考制約の中で解析を行う．（8&$ 抽出→+&) 特定→システムのハ
ザードとセキュリティ脅威に対する対策群の立案）
6 7 ( 3    対策群を集約し，システムの安全性・セキュリティ要件としての評価を行う．要件を定量化する手法として $*25$ の満足度行列を用い，前記ステークホルダが自身と他のステークホルダの視点で から の範囲で要件としての満足度を評価し，素点を付ける．
そして，満足度行列からゴール適合度と意見対立の相関を計算する ことで定量化を行う．
6 7 ( 3    ステークホルダの間で要件の評価値を見ながら要件を選別する．    仮 説 と 研 究 設 問 6606 法で解決しようとする仮説と研究設問を述べる．
> 仮 説 @
多様なステークホルダの視点を 67$03673$ に導入してシステムのハザードと脅威に対する対策群を抽出し，これらを要件としてゴール指向で分析すれば，客観的かつ系統的に合意形成されやすい安全性・セキュリティ要件を獲得できる．
> 研 究 設 問 @
5 4  ： 解析者にロールを与えて 67$03673$ を適用することで，多様な視点で安全性・セキ
ュリティ要件を獲得できる．
5 4  ： ドメイン知識を十分に有しなくても複数のロールを持たせて 67$03673$ で解析することで，当該ドメインの有識者と同等量の安全性・セキュリティ要件を獲得できる．
5 4  ： ドメイン知識を十分に有しなくても複数のロールを持たせて 67$03673$ で解析することで，当該ドメインの有識者が抽出した要件に近い質の安全性・セキュリティ要件を獲得できる．
  解 決 策 の 評 価    評 価 方 法 
仮説の検証は，図  に示す仮想の 45 コード決済システム（以降，「対象システム」と呼ぶ）に対して 54，54，54 の妥当性を確認することで実施した．対象システムは (QWHUSULVHシステムの一種であるが，システムのハザードと脅威の解析に当たっては，端末とセンターサーバ間で発生するトランザクションの他，人とシステムの協調という総合的なシステム運用に関する知識が要求される．
㻔㻝㻕㻌決済コード提示依頼コントロールアクション

【凡例】

店員
㻔㻤㻕㻌㻽㻾コード読取り

フィードバック㻔㻝㻝㻕㻌読取り完了（決済通知）
㻔㻣㻕㻌㻽㻾コードかざし㻔㻥㻕㻌振替依頼
㻽㻾コード決済レジ端末
㻔㻝㻜㻕㻌振替通知
契約店（店舗）

利用者端末
利用者㻔㻞㻕㻌ログイン㻔㻟㻕㻌領収金額入力

㻔㻠㻕㻌決済コード生成要求
㻽㻾コード
決済アプリ

㻔㻢㻕㻌㻽㻾コード

㻔㻡㻕㻌決済コード（㻽㻾コード）

㻔㻝㻟㻕㻌決済通知

㻔㻝㻞㻕㻌決済通知

㻽㻾コード決済
管理センタ ー

決済記録
利用者情報
店舗情報

図  仮想 45 コード決済システム（67$03673$ の &6）


－4－



研究コース５（チーム *2%,7）
 今回，対象システムの解析を実施するに当たり，第三者の被験者 Ⅰ群，Ⅱ群（Ⅱa 群，Ⅱb 群），Ⅲ群を用意した（表 ）．各被験者は独立で，夫々，以下のような役割と 前提条件を持つ．なお，ⅡE 群に属する被験者は車載システム開発に精通しているが，(QWHUSULVHシステムには精通していない．
表  被験者の役割と前提条件
被験者 役割条件

Ⅰ群
ⅡD 群

解析と対策群の抽出
解析と対策群の抽出 名(QWHUSULVH システム開発に非精通特定ロールを不付与 名(QWHUSULVH システム開発に精通特定ロールを付与

ⅡE 群
Ⅲ群

解析と対策群の抽出 名(QWHUSULVH システム開発に非精通特定ロールを付与
対策群の評価（定量化）  名(QWHUSULVH システムの技術を解釈可特定ロールを付与

 >補足@特定ロール：ユーザ企業の管理者，ユーザ企業の担当者，ベンダの開発者 㻌   評 価 結 果 > 5 4 に 関 す る 評 価 結 果 @Ⅰ群：ロールなし
特定ロールを付与しない被験者Ⅰ群が対象システムのハザードとセキュリティ脅威
Ⅰ群：ロールなしの解析をした結果を，特定ロールを与えた
Ⅰ群：ロールなし
被験者Ⅱ群の解析結果と比較した．図  に示すように，ロールを付与しないで解析しⅡ群：ロールあり（管理者）た場合には，抽出された対策群（安全性・Ⅱ群：ロールありセキュリティ要件）の がベンダの開発（担当者）者若しくはユーザ企業の担当者の視点に分Ⅱ群：ロールあり類された．他方，特定ロールを付与して解（開発者）析した場合には，がそれに該当した．こ



抽出量 >件@の結果より，明示的にロールを与えないで管理者 担当者 開発者
システムを解析すると，抽出される対策群の視点に偏りが生じることが分かった．な
図  抽出された対策群のロール分類結果
お，被験者に対するインタビューの結果，実際の役職が管理職であっても，システム解析に当たって思考制約を与えないと，立案難度が高い管理者の視点に分類される対策の検討が後回しにされることも分かった．具体例
として，本実験において各ロールを意識しながら 67$03673$ で抽出した対策内容を表 に示す．解析過程を検証すると，人とシステムの相互作用に関わる解析が行われている．
表  多様な視点から抽出された対策の例（解析手段：67$03673$）
対策の視点 管理者図 &6
該当矢印
8&$

違反する
制約+&)

対策

担当者

開発者

 決済コード提示依頼 45 コードかざし 45 コード読取り

45 コード決済の意図や行動のタイミングが伝わらず，利用者が困惑する ．

45 コードの読取り完了前に，かざし動作を止めてしまう．

当該店舗での取引と無関係の 45 コードを読み取ってしまう．

決済に要する時間は現金決済よりも早い．
店員から利用者に対する45 コード提示の働きかけ方が判りづらい．

決済に要する時間は現金決済よりも早い．
利用者が認知しづらい 45
コード読取り完了の表現手段を採用した．

決済金額を間違ってはならない．

接客応対に関するオペレ/(' や 効 果 音 等 の 表 現 手段により，利用者に読取り完了状態を伝える．

45 コード生成時刻等を 45ーションの習熟をはかる．（教育活動の強化）



－5－

過去に生成された 45 コードがアプリ内部に保持されており，誤使用される．
コードに含め，期限切れの場合に警告表示する．

研究コース５（チーム *2%,7）
> 5 4 に 関 す る 評 価 結 果 @
被験者ⅡD 群と被験者Ⅱb 群の..' 管理者）
個
夫々が ..'（解析者の経験と勘か領収金額入力..' 担当者）ら対策を見つける手段）と決済コード提示依頼
個
67$03673$ を適用し，対象システ
決済コード生成要求..' 開発者）
決済コード
ムのハザードとセキュリティ脅威
個ログインを解析した．解析結果である対策
振替通知
67$03 管理者）
群を対策立案部毎に集計したもの振替依頼
個
決済通知を図  に示す．図  からは２つの67$03 担当者）
45コード読取りことが確認された．第一に ..' を個45コードかざし
用 い た 被 験 者 ⅡD 群 の 方 が（共通）
67$03 開発者）
67$03673$ を用いた被験者Ⅱb 群
個に比べ対策立案部の網羅率が 

抽出量 >件@倍高いが，対策群の抽出範囲が特定ロール（管理者）に偏っている．
図  対策立案部位毎の抽出量（被験者毎）
第二に，67$03673$ を用いた被験者Ⅱb 群の対策抽出量（ 個）は ..' を用いたⅡa 群の抽出量（ 個）に対して  倍多く，抽出量が特定ロールに偏っていない．これらの 結果より，ドメイン知識を十分に有しなくても 67$03673$ を用いれば，各ロールの抽出量のばらつきを抑えながら ..' 同等量以上の対策群（安全性・セキュリティ要件）を獲得できることが分かった．
> 5 4 に 関 す る 評 価 結 果 @
被験者ⅡD 群と被験者Ⅱb 群の夫々が ..' と 67$03673$ を適用し，対象システムのハザードとセキュリティ脅威を解析した．まず，前処理として，抽出された対策群の中から，
表  に示す  個の対策区分 >D@ に該当する ..' と 67$03673$ の対策群に対して $*25$ で用いられている満足度行列を作成した．そして，この満足度行列からゴール適合度とステークホルダの意見対立の相関を各対策について求めた．ここで，ゴール適合度とは，満足度行列におけるユーザ企業の担当者と管理者の数値の合計値を正規化した値である． ステー
クホルダの意見対立の相関とは，満足度行列における列方向の  系列の共分散（対策立案者の系列と，それとは分散値が最も離れているもうひとつの系列の共分散）である．以下，67$03 と ..' のサンプルを統計処理により有意な差が無いことを検証した結果を述べる．
検 証 の ゴ ー ル は ， 各 サ ン プ ル の 母 集 団 が 正 規 分 布 に 従 っ て い る と 仮 定 し た 上 で ， ..' と67$03673$ から得られた系列の母集団に差が無いという帰無仮説が正しいことを W 検定により確認することである．少数サンプルの検定では系列群の等分散性と観測者の独立性が重要なので，) 検定の計算値により等分散性を判断し >E@ ，被験者が所属する産業分野以外の因子（会社，役職，業務，年齢等）が異なることを確認することで独立性を判断し てある．
W 検定の結果，ゴール適合度については検定統計量が （＞），意見対立の相関については検定統計量が （＞）となり，いずれも 67$03 と ..' の２つのサンプルに 有 意 な 差 が 無 い こ と が 確 認 さ れ た ． こ の こ と か ら ド メ イ ン 知 識 を 十 分 に 有 し な く ても
67$03673$ を用いれば，有識者が経験と勘で解析した結果に近い質の対策群（安全性・セキュリティ要件）を獲得できることが分かった．
D 対策区分は，対策立案部をグループ化したもの．今回のサンプル解析 では，ひとつの対策区分に複数の対策が含まれているものを対象とした． E ) 検定（片側確率）の結果，ゴール適合度については （＞）で等分散が確認されたが，意見対立の相関については （＜）で等分散性が確認されなかった．従って，後者については :HOFKの W 検定を用いた．



－6－

研究コース５（チーム *2%,7）

表  各対策の評価値（左：ゴール適合度，右：意見対立の相関）
 





ゴール適合度 

 対策区分 認証機能 認証機能② 金額確認 店舗確認 45 ｺｰﾄﾞ改竄･破損ﾁｪｯｸ
 性能向上
 店舗登録 店舗登録② 誤操作防止 誤操作防止②
 障害対策
 障害対策②
平均

分散



67$03







意見対立の相関

 

..'
 対策区分
67$03
..'   認証機能
 
   認証機能② 
   金額確認 
   店舗確認 
   45 ｺｰﾄﾞ改竄･破損ﾁｪｯｸ 
   性能向上
 
‐
 店舗登録
‐‐  
 店舗登録②
‐ ‐   誤操作防止‐ ‐   誤操作防止②
‐ ‐   障害対策‐ ‐  障害対策②
‐   平均    分散     考 察    得 ら れ た 知 見 >研 究 設 問 に 対 す る 評 価 @ 節に示す評価結果によれば，解析者に異なるロールを与えて多様な視点でシステムのハザードとセキュリティ脅威を解析すれば，獲得できる安全性・セキュリティ要件の多様性が増し（54），さらにシステムの解析手段として 67$03673$ を適用することで対象システムのドメイン知識を十分に有しなくても量と質の点で有識者 が抽出したものに近い安全性・セキュリティ要件が得られることが分かった（54，54）．
>仮 説 に 対 す る 整 合 性 @
我々が立てた仮説のうち，「多様なステークホルダの視点を 67$03673$ に導入してハザードとセキュリティ脅威に対する対策群を抽出した後，ゴール指向で分析すれば，客観的かつ系統的に安全性・セキュリティ要件を獲得できる」という点は妥当性を確認できた が，「合意形成されやすい要件を獲得できる」という点は必ずしも示せていない．表 「意見対立の相関」の ..' で得られた数値を確認すると，有識者が経験と勘で抽出した対策群の中にも意見の対立が大きいものが に含まれており，ステークホルダ間で合意形成が難しい要件が抽出されることがある．従って，多様な視点を入れて 67$03673$ で解析しても，抽出された要件が合意形成されやすいとは言えない ．
> 提 案 手 法 の 改 良 案 @
社会学や感性工学の点から合意形成を取り扱った研究によれば，人の判断や意見は十分な一貫性がなく，同じ選択肢でも表現や状況の違いにより意思決定が変化すると述べられている．最適化問題として扱うのではなく，コミュニケーションを通して選択肢を選ぶ過程の共有が重要であるとも述べられている >@ ．本知見を考慮し，6606 法のプロセスモデルの後段にステークホルダが議論をしながら要件に対する評価を繰り返し，満足度行列のばらつきを収斂させる手続きを追加することで，合意形成を促進できると考え られる．
   妥 当 性 へ の 脅 威 
今回の実験の検証で用いたサンプル数は計  個であるため，統計処理を行う上で必ずしも十分とは言えない．ただし，検定では母集団に 有意な差が無いことを示す上で，等分
－7－

研究コース５（チーム *2%,7）
散性，観測値の独立性に配慮した．また，本実験はひとつのドメインに対して実施したものであるため，手法の汎用性を示すためには異なるドメインでの実験が必要である．   ま と め    成 果 
本研究ではステークホルダの視点を 67$03673$ に導入し，6606 法としてモデルを構築することで，解析者がドメインの知識を十分に有しなくてもハザードと脅威に対する対策群を実用的な量で獲得し，これらを要件の満足度に関する評価指標で定量化できることを示した．本報告では (QWHUSULVH システムを例に挙げその有効性を評価したが，6606 法は67$03673$ が持つ汎用性を活かしながらプロセスモデルを拡張し てあるので，制御系が含まれる $,,R7 システムにも適用可能であると考える．今後，複雑化する先進システムの開発で 67$03673$ が展開されていく際に，多様なステークホルダの視点を用いたシステム安全性解析の考え方が取り込まれ，解析の視点の抜け漏れ防止に繋がることを期待したい．
   将 来 へ の 発 展 ・6606 法では，前段で解析したハザードの深刻度（リスク）を抽出された対策群の評価にフィードバックしていない．ゴール指向要求分析で使われる指標に加え，リスクを考慮しながら総合的に対策群の良し悪しを判断する仕組みを考慮できるとよい．
・6606 法では，67$03673$ の解析時にステークホルダの視点を導入しているが，コントロールストラクチャを作成する段階から多様な視点を導入すると，獲得される安全性・セキュリティ要件の多様性が更に増大する可能性がある．
・情報セキュリティの学術領域ではリスクコミュニケーションを考慮した定量分析が提案されている >@ ．6606 法に本領域の知見を融合すると，モデルを精緻化できる可能性がある．
  謝 辞  荒木啓二郎アドバイザー，栗田太郎主査，石川冬樹副主査には，多方面にわたり御指導を賜りました．また，研究コース５の研究員の皆様，オムロン株式会社の紺田隆一郎氏，古賀純平氏には実験に御協力を頂きました．関係者の皆様に厚く御礼申し上げます．   参 考 文 献 >@システム構築上流工程強化部会システム化要求 :*ユーザのための要件定義ガイド
第  版情報処理推進機構社会基盤センター（）
>@柳原靖司，吉田邦雄，栗田太郎，石川冬樹多様なステークホルダの視点を 67$03673$に導入する試み$,,R7 システムのための安全性シンポジウム（）
>@海谷治彦，佐伯元司海尻賢二，属性つきゴール指向要求分析法電子情報通信学会技術研究報告66ソフトウェアサイエンス  （）>@ :LOOLDP <RXQJ 5HHG 3RUDGD 6\VWHP7KHRUHWLF 3URFHVV $QDO\VLV IRU 6HFXULW\
673$6(& &\EHU6HFXULW\DQG673$67$03&RQIHUHQFH（）
>@金子朋子，髙橋雄志，大久保隆夫，勅使河原可海，佐々木良一，安全解析手法 67$03673$
に対するセキュリティ視点からの脅威分析の拡張提案コンピュータセキュリティシ
ンポジウム（）
>@佐藤慎一石川冬樹，猪原健弘貢献度と顧客のニーズに関する妥当性の間のコンフリ
クト検出指標ソフトウェアエンジニアリングシンポジウム（）
>@浜田百合庄司裕子合意形成プロセスの成功パターンの特徴分析に関する研究 日本感性工学会論文誌9RO1RSS（）
>@ 佐 々 木 良 一 他  多 重 リ ス ク コ ミ ュ ニ ケ ー タ の 開 発 と 適 用  情 報 処 理 学 会 論 文 誌 9RO1RSS（）
－8－