STAMP/STPA
1999年12月3日、火星探査機マーズ・ポーラー・ランダーは火星大気圏に突入した。その後どこも故障が発生していないのにもかかわらず地面に激突し探査機は失われた。高度40mで減速噴射が突如停止したと見られる。
原因は、降下中に展開された着陸機の足によって生じた振動を、探査機ソフトウェアが地表着地の際の衝撃と勘違いして、減速噴射をやめてしまったことにあると言われる。
Step.0 着地センサの値と減速噴射の間の相互作用が原因である。
Step.1 着陸直前に利用するTouch down検知ロジックを使った後で減速噴射をやめるのが本来の手順であったが、センサの値を盲信し噴射の停止を強行してしまった。パターン - 「3.早すぎ、遅すぎ、誤順序でハザード」
Step.2シーケンスの手順を確実に履行する安全制約を設けるべきだった。