6年かかっていた分析が3年で終わる、新たな安全解析手法「STAMP／STPA」とは？：車載ソフトウェア（1/2 ページ）

情報処理推進機構 技術本部 ソフトウェア高信頼化センター（IPA/SEC）と車載ソフトウェアの国内標準化団体であるJasParは、東京都内でメディア向け説明会を開き、新しい安全解析手法「STAMP／STPA」を紹介した。両者は2017年1月に相互協力協定を締結しており、自動車業界に向けてSTAMP／STPAの普及促進に取り組んでいく。

[齊藤由希，MONOist]

IPA/SEC 所長の松本隆明氏

　導入するメリットは、これまで6年かかっていた作業が3年で終えられること――。

　情報処理推進機構 技術本部 ソフトウェア高信頼化センター（IPA/SEC）と車載ソフトウェアの国内標準化団体であるJasParは2017年2月2日、東京都内でメディア向け説明会を開き、新しい安全解析手法「STAMP／STPA」を紹介した。

　両両者は2017年1月に相互協力協定を締結しており、自動車業界に向けてSTAMP／STPAの普及促進に取り組んでいく。「規格だから対応するというよりも、従来のハザード分析手法では自動運転やコネクテッド化の設計の安全性を説明しにくくなっているため、導入が必要になっていく」（JasParでSTAMP／STPAの推進を担当する、日産自動車 電子技術・システム技術開発本部 電子アーキテクチャ開発部の岡田学氏）。

欧米や新興国では普及中？ STAMP／STPAとは

IPA/SEC 調査役の石井正悟氏

　STAMP（Systems-Theoretic Accident Model and Process：システム理論に基づく事故モデル）とSTPA（STAMP based Process Analysis：STAMPに基づく安全解析手法）は、マサチューセッツ工科大学 教授のナンシー・レブソン（Nancy G. Leveson）氏が2012年に発表した著書「Engineering a Safer World」の中で提唱したもの。

　日本国内では、自動車業界に限らず知名度が低く、知っていても内容が抽象的で導入の意義が明確でないと捉えられてしまっていた。JAXA（宇宙航空研究開発機構）や東日本旅客鉄道が活用し始めているにとどまる。

STAMP／STPAはシステムからアプローチする新たな安全解析手法（クリックして拡大） 出典：IPA/SEC

　一方、欧米では安全検証のデファクトスタンダードとなりつつある。既に米国では、宇宙ステーション補給機（HTV）や軍事用の無人航空機、原子力発電所のハザード分析にSTAMPが使用された。

　試験的にではあるが、欧米では自動車業界でも導入が進んでおり、自動運転システム、ステアリングやブレーキ、ディーゼルエンジンの制御で使われているという。自動車業界以外では、米国連邦航空局（FAA）、米国食品医薬品局（FDA）、米国空軍の他、航空機メーカーのボーイング、航空会社のキャセイパシフィックが試験導入に取り組んでいる。ブラジル、ロシア、中国といった新興国も活用し始めている。

STAMP／STPAの活用は日本の国際競争力に

日産自動車の岡田学氏

　またSTAMP／STPAは、2018年に発行を予定している自動車の機能安全規格ISO 26262の第2版に記載される方針であり、欧米市場に向けた製品の安全性検証で不可欠となっていくとしている。自動車メーカーからサプライヤまで業界全体で対応することで、網羅的かつ体系的な安全分析を実施したことを示せるようになり、日本の自動車業界が国際競争力を強化することにつながるという。

　日産自動車の岡田氏は、規格準拠のためだけだけでなく「クルマがコネクテッド化していく中で、従来手法では設計の安全性を説明しにくくなっている。STAMP／STPAを導入するメリットは、自動運転の自律型／協調型は問わない。部品同士のつながりが複雑になっているからこそ、うまくハザード分析をする上で必要になっている」と強調する。

自動運転やコネクテッド化によってクルマに関連する要素が増えてきた（左）。大規模化、複雑化するシステムの安全設計には新しい考え方が必要（右）

　故障をクルマのユーザーに分かりやすく示すためにもSTAMP／STPAは重要となる。「自動車部品の故障や破損といった物理的な異常は分かりやすいが、ソフトウェアに異常があってもユーザーには分かりにくい。無線経由での不正アクセスや誤った接続も同様に、ユーザーが気付かない可能性が高い」（岡田氏）。