エンベデッドシステムスペシャリスト 2025年午前2 問19

問題文

あるIoTのシステムで発生した事故の原因は、システムの構成要素である機器の故障ではなく、複数の構成要素間の想定されていない相互作用であると判明した。再発防止策の一つとして導入する安全性解析の手法に、次の要件が求められた。導入する手法として、適切なものはどれか。

〔要件〕システムに潜在している危険な状態、及びその発生要因を、複数の構成要素間の相互作用に着目して解析できること。

🖊️ 解答を隠して解いてみる

ア：FMEA

イ：FTA

ウ：HAZOP

エ：STAMP/STPA（正解）

🔒 解説は解答すると表示されます

事故の原因が機器の故障ではなく、複数の構成要素間に生じた想定外の相互作用である点が重要です。

エのSTAMP/STPAは、システムを構成する要素間の相互作用や制御の関係に着目し、事故につながる危険な状態と、その発生要因を分析する手法です。したがって、問題の要件に合致します。

STAMPは、事故をシステム全体の制御や相互作用の問題として捉える安全性の考え方です。STPAは、その考え方に基づいて危険な制御や相互作用を分析する手法です。

ア：FMEA
機器や部品などの構成要素ごとに、故障モードやその影響を分析する手法です。構成要素の故障が原因ではない今回の事故に対し、相互作用を中心に分析する方法としては適しません。
イ：FTA
事故などの望ましくない事象を頂上事象として、その発生原因を論理的に掘り下げる手法です。故障の組合せや因果関係の分析に有効ですが、構成要素間の相互作用そのものに着目するという要件にはSTAMP/STPAの方が適しています。
ウ：HAZOP
システムの設計や運用におけるパラメータのずれを、「なし」「多い」「少ない」などのガイドワードを用いて分析する手法です。相互作用に着目した安全性解析という要件に対して、最も直接的に合致する選択肢ではありません。
エ：STAMP/STPA
機器の故障だけでなく、構成要素間の相互作用や制御の不適切さから危険な状態が生じる可能性を分析します。問題の要件を満たします。

事故分析手法は、機器の故障を前提にすると思い込む
システム事故は、部品が正常に動作していても、連携や制御の不備によって発生することがあります。
FTAなら原因を分析できるので、どんな事故にも最適だと考える
FTAは原因を論理的に掘り下げる手法ですが、設問が求める分析の視点と手法の特徴を照らし合わせる必要があります。
STAMPとSTPAを同じものとして扱う
STAMPは安全性を捉える考え方・モデルであり、STPAはその考え方を使って危険な制御や相互作用を分析する手法です。

従来型の安全性解析では、部品の故障や故障の組合せに注目することが多くあります。一方、IoTのようにセンサー、通信、制御装置、クラウドサービスなどが連携するシステムでは、各要素が正常でも、情報の遅れや誤った制御指示などの相互作用が事故につながることがあります。

STAMP/STPAは、こうした複雑なシステムの安全性を考える際に役立ちます。試験では「構成要素間の相互作用」「制御」「機器故障以外の原因」といった表現が手掛かりになります。

Q. 機器が故障していないのに、事故が起きることはありますか？
A. あります。各機器が個別には正常でも、情報の受け渡しや制御のタイミングなど、要素間の相互作用が不適切だと危険な状態が生じることがあります。

Q. STPAでは何を分析しますか？
A. システムの制御関係を調べ、危険な制御指示や、必要な制御指示が出されない状況などを分析します。

Q. FMEAとSTAMP/STPAを見分ける手掛かりは何ですか？
A. 構成要素ごとの故障モードに注目するならFMEA、システム全体の制御や構成要素間の相互作用に注目するならSTAMP/STPAが手掛かりです。

関連キーワード: STAMP、STPA、FMEA、FTA、HAZOP、安全性解析、相互作用

\ せっかくなら /

エンベデッドシステムスペシャリストを
クイズ形式で学習しませんか？

すぐに利用可能！