STAMP/STPA
1960年11月21日、マーキュリー・レッドストーン1号は4インチほど上昇し突如エンジンが停止し降下、その後脱出ロケットのみが分離し飛んでいく奇怪な現象が起きた。
Step.0 - エンジンのエンジンの停止信号と脱出ロケットの間の相互作用が原因である。
Step.1 - 本来の脱出ロケットは上昇後にロケット停止した時に分離し飛ばすが、事故時は信号線変更の影響でロケット停止信号が発生し飛ばした。 パターン - 「2.与えられるとハザード」
Step.2 - 加速度計や高度計でタイマーで正常に加速が終わったか確認する安全制約を設けるべきだった。
2012年、マサチューセッツ工科大学(MIT)のナンシー・レブソン(Nancy Leveson)教授が「要素間の相互作用に潜在する危険要因を考える」という新しい安全性解析手法を提唱した。
従来は見落としていた欠陥を把握把握できるとして、欧米では航空宇宙産業、鉄道を中心として利用が進んだ。
日本では2010年ごろからHTV(コウノトリ)で解析が行われた。この際、従来のFTAよりも多くのハザード原因を識別したものの、特に設計変更が要求される欠陥は見つからなかった。このことに対しエンジニアは"従来よりFTAの枠にとらわれずシステムの振る舞いについて考えていた"と回答した。STAMPは半ば暗黙のうちにエンジニアが行っていた解析手法を体系化、明文化する効果をもたらした。
2018年3月30日、未だ歴史が浅く十分に活用されていないSTAMPを普及させるべく、IPA(独立行政法人情報処理推進機構)はSTAMP向けモデリングツールSTAMP Workbenchをオープンソースソフトウェアとして無償公開した。
STAMP(Systems-Theoretic Accident Model and Processes)とは大規模・複雑化するシステムの安全解析手法として提案された、システム理論に基づく新しい安全解析方法論である。
STPA(System-Theoretic Process Analysis / STAMP based Process Analysis)とは、STAMPに基づく安全解析手法である。
従来のFMEAやFTAといった安全解析手法は、各パーツ・コンポーネントにおいてどんな故障・不具合が発生するか、また故障したときどんな不都合が生じるか解析することで、故障を検査・交換等で未然に防ぐとともに単一の故障が致命的な自体に至るのを防ぐフォルトトレラントを目指すものであった。
しかしながら、システムが大規模化・複雑化したことで、各コンポーネントが予想だにしない相互作用を引き起こし、各コンポーネントに何ら故障が生じていないのにもかかわらずうまく協調できずトラブルを招いてしまう可能性すら出てきた。
そこでSTAMPは、パーツごとに故障を推測するのではなく機械と機械、機械と人間といった各要素間の関係性に注目、解析する。