出版書誌データベース

【内容紹介】
自動運転システムやドローン、生成AIを用いたシステムなど、世界を変えうるシステムが登場しようとしています。しかしこれらのシステムは、その内部と環境に常に変化と不確実性があるオープンシステムであり、その安全性・信頼性（ディペンダビリティ）を保証することは従来のシステム以上に難しくなってきています。
本書は、こうしたシステムの安全性・信頼性を保証するための手法を、安全・セキュリティ分析（FTA、FMEA、STAMP/STPA、STPA-Sec）、モデルベースシステムズエンジニアリング（MBSE、SysML）、アシュアランスケース（GSN、D-Case）を結びつけて解説した、世界で初めての本です。
各章では基本概念を解説したうえで、自動運転システムや自動駐車システムなどの具体的な事例研究を通して手法の使い方を学べるようにしています。さらに総合演習の章では、自動運転システムを題材に、STAMP/STPAによる安全分析、MBSEによるアーキテクチャ設計、アシュアランスケースによるシステム保証までを一貫して体験でき、講義・演習にそのまま活用できます。
安全性の保証とは、単に文書を作る作業ではなく、「なぜ十分に安全と言えるのか」を利害関係者が互いに納得できる形で示し、合意を形成するためのコミュニケーションの技術です。ぜひ本書を通してこれらの手法を習得し、将来、あるいは現在におけるシステム開発と運用に役立てていただけたら幸いです。

【読者対象】
情報系・電気系・機械系の大学学部生（3〜4年生）、大学院生、高専生。また、自動車、鉄道、医療機器などの安全性・信頼性が重要な分野で、システムの設計・開発、安全分析、機能安全、品質保証に携わる企業技術者、およびシステムのディペンダビリティに関心のある研究者。

【書籍の特徴】
安全・セキュリティ分析、MBSE、アシュアランスケースという、通常は別々に扱われる三つの手法を結びつけて解説している点が本書の特徴で、このような構成の本はこれまでありませんでした。各手法について自動運転システムなどの現代的な事例研究を掲載し、総合演習の章では一つの題材に対して全手法を適用する流れを体験できます。また、単なる手法の解説にとどまらず、安全性の保証を利害関係者の合意形成の活動としてとらえる視点を一貫させています。

【本書から得られる知識】
・FTA、FMEA、STAMP/STPAを用いてシステムの安全分析を実施できる
・STPA-Secを用いてセキュリティの脅威分析ができる
・SysMLを用いたシステムモデリングとトレードオフ分析ができる
・GSN・D-Caseを用いてアシュアランスケースを記述し、システムの安全性を利害関係者に説明できる
・自動運転システムなどの事例を通して、安全分析からアーキテクチャ設計、システム保証までの一連の流れを実践できる

1．ディペンダビリティの基礎
1.1　システムのディペンダビリティ：基礎概念と現代的課題　
　1.1.1　システムとはなにか　
　1.1.2　ディペンダビリティの概念　
1.2　ディペンダビリティの体系と用語　
　1.2.1　ディペンダビリティ属性　
　1.2.2　ディペンダビリティへの脅威　
　1.2.3　ディペンダビリティへの脅威に対処する手段　
　1.2.4　関連する国際規格　
1.3　現代のシステムとディペンダビリティの課題　
　1.3.1　システムの複雑化と近年のインシデント　
　1.3.2　本書のアプローチ：継続的ディペンダビリティ保証モデル　
1.4　本書の構成と各章の関係　
　1.4.1　各章の概要　
　1.4.2　手法間の関係　
引用・参考文献

2．安全分析の基本手法：FTAとFMEA
2.1　FTAとFMEAの概要　
2.2　FTA　
　2.2.1　FTAの概要と目的　
　2.2.2　FT図の作成と定量的解析　
　2.2.3　FT図で定性的に解析する　
　2.2.4　FTA実施上の留意点　
　2.2.5　身の回りの事象のFT図　
2.3　FMEA　
　2.3.1　実施のタイミングと目的　
　2.3.2　FMEAでの主要なプロセス　
　2.3.3　設計FMEAの効果的な実施　
　2.3.4　故障モードの抽出法　
　2.3.5　評価結果の判断について　
　2.3.6　新しいFMEA手法：AIAG-VDA FMEA　
　2.3.7　FMEAの実践例：設計FMEA　
2.4　ソフトウェアへのFTA・FMEAの適用　
　2.4.1　ソフトウェアへの適用における課題　
　2.4.2　ソフトウェアFTAの実践　
　2.4.3　ソフトウェアFMEAの実践　
2.5　セキュリティ分析への応用　
　2.5.1　Attack tree　
　2.5.2　TARA　
2.6　本章のまとめ　
引用・参考文献

3．安全分析手法：STAMP/STPA
3.1　STAMPの概要　
3.2　STPA　
　3.2.1　STPAの手順　
　3.2.2　Step 1「分析目的の定義」　
　3.2.3　Step 2「安全制御構造図のモデル化」　
　3.2.4　Step 3「非安全なコントロールアクションの識別」　
　3.2.5　Step 4「ロスシナリオの識別」　
3.3　脅威分析手法：STPA-Sec　
　3.3.1　STPA-Sec Step 1　
　3.3.2　STPA-Sec Step 2　
　3.3.3　STPA-Sec Step 3　
　3.3.4　STPA-Sec Step 4　
　3.3.5　ウォーゲーム　
3.4　事例：自動車へのSTPAの適用　
　3.4.1　Step 1「分析目的の定義（自動車規格対応）」　
　3.4.2　Step 2「安全制御構造図のモデル化（自動車規格対応）」　
　3.4.3　Step 3「非安全なコントロールアクションの識別（自動車規格対応）」　
　3.4.4　Step 4「ロスシナリオの識別（自動車規格対応）」　
3.5　本章のまとめ　
引用・参考文献

4．モデルベースシステムズエンジニアリング（MBSE）
4.1　システムズエンジニアリングの概要　
　4.1.1　システムズエンジニアリングとは　
　4.1.2　実例で見るシステムズエンジニアリングの役割　
4.2　MBSE　
　4.2.1　MBSEの概念　
　4.2.2　システムズエンジニアリングのためのモデリング言語：SysML　
　4.2.3　モデルの種類の例　
　4.2.4　SysMLによる概念の共有　
4.3　事例：巨大ショッピングセンターの駐車場　
　4.3.1　システムズエンジニアリング活動の計画　
　4.3.2　課題定義　
　4.3.3　モデルの記述準備　
　4.3.4　モデルの記述　
　4.3.5　モデルの評価　
　4.3.6　本節のまとめ　
引用・参考文献

5．アシュアランスケースとD-Caseによる合意形成
5.1　はじめに　
5.2　アシュアランスケースの概要　
　5.2.1　背景と登場の経緯　
　5.2.2　アシュアランスケースの定義と基本構造　
　5.2.3　日本国内におけるアシュアランスケース導入の動き　
5.3　GSNによるアシュアランスケースの可視化　
　5.3.1　GSN Community Standardとは　
　5.3.2　GSNコア要素　
　5.3.3　リンク（矢印）による論証構造　
　5.3.4　GSN Community Standardにおける拡張と実践的ガイドライン　
　5.3.5　GSNを用いたアシュアランスケース作成の効果と留意点　
　5.3.6　本節のまとめ　
5.4　D-Caseによる合意形成　
　5.4.1　D-Caseの概要　
　5.4.2　D-Caseステップ　
　5.4.3　D-Caseステップの事例：テスト戦略の合意　
　5.4.4　D-Caseステップの事例：ETロボコンへの適用　
　5.4.5　D-Caseの活用ポイントと留意点　
　5.4.6　本節のまとめ　
5.5　事例：自動運転へのGSNの適用　
　5.5.1　背景：オープンシステムとしての自動運転　
　5.5.2　事例概要：塩尻市での実証実験　
　5.5.3　トップレベルのアシュアランスケース構造　
　5.5.4　ハザード分析（GSNモジュールM2）　
　5.5.5　安全距離の定義　
　5.5.6　妥当性確認のGSN（GSNモジュールM4）　
　5.5.7　モニタリングシステムとの連携　
　5.5.8　本事例から得られた知見　
5.6　D-Caseを用いた合意形成の評価手法　
　5.6.1　背景：ステークホルダーとの合意形成の課題　
　5.6.2　事例概要：TIER IVによるレベル4実証実験　
　5.6.3　合意形成プロセスの概要　
　5.6.4　GSNモデルの構造　
　5.6.5　Safety status report（安全性現状報告書）　
　5.6.6　アンケートによる合意度評価　
　5.6.7　Consensus score（合意度スコア）　
　5.6.8　従来のCAMとの比較　
　5.6.9　本事例から得られた知見　
5.7　本章のまとめ　
引用・参考文献

6．総合演習：自動運転システムの安全性分析と保証
6.1　演習の概要　
　6.1.1　対象システム　
　6.1.2　想定シナリオ　
　6.1.3　システム構成要素　
　6.1.4　演習の全体像　
　6.1.5　関連する国際規格　
　6.1.6　手法間の受け渡し対応表　
6.2　総合演習1：従来手法（FTA・FMEA）による安全分析　
　6.2.1　FTAによるハザード分析　
　6.2.2　FMEAによる故障モード分析　
　6.2.3　従来手法の限界についての考察　
6.3　総合演習2：STAMP/STPAによる安全分析　
　6.3.1　ロス・ハザード・安全制約の識別　
　6.3.2　安全制御構造図の作成　
　6.3.3　UCAの識別　
　6.3.4　ロスシナリオの識別　
　6.3.5　FTA・FMEAとの比較　
6.4　総合演習3：セキュリティ分析　
　6.4.1　Attack treeによる脅威分析　
　6.4.2　TARA（ISO/SAE 21434準拠）　
　6.4.3　安全性・セキュリティ統合分析　
6.5　総合演習4：MBSEによるアーキテクチャ記述　
　6.5.1　ステークホルダーと関心事の識別　
　6.5.2　ビューポイントとビューの定義　
　6.5.3　オントロジーの定義　
　6.5.4　ビューの記述　
6.6　総合演習5：アシュアランスケースによる保証　
　6.6.1　トップゴールと前提の設定　
　6.6.2　サブゴールへの分割　
　6.6.3　GSN図の作成　
　6.6.4　D-Case手法による合意形成　
6.7　総合課題：レポート作成　
　6.7.1　分析結果の統合　
　6.7.2　ディペンダビリティ特性の評価　
　6.7.3　国際規格への適合性　
6.8　本章のまとめ　

7．まとめと今後の展望
7.1　本書の振り返り　
　7.1.1　ディペンダビリティの基礎（1章）　
　7.1.2　安全分析の基本手法：FTAとFMEA（2章）　
　7.1.3　安全分析手法：STAMP/STPA（3章）　
　7.1.4　モデルベースシステムズエンジニアリング（MBSE）（4章）　
　7.1.5　アシュアランスケースとD-Caseによる合意形成（5章）　
　7.1.6　総合演習：自動運転システムの安全性分析と保証（6章）　
7.2　各手法の位置づけと使い分け　
7.3　安全性とセキュリティの統合　
7.4　今後の展望　
　7.4.1　AIシステムとディペンダビリティ　
　7.4.2　運用中の継続的保証　
　7.4.3　規制の動向と人材育成　
7.5　実務への適用に向けて　
7.6　おわりに　
引用・参考文献

付録：略語・用語集
A.1　略語一覧　
A.2　関連規格　
A.3　主要用語　

総合演習解答例
総合演習1：従来手法（FTA・FMEA）による安全分析
課題1-1解答例：FT図の作成
課題1-2解答例：最小カット集合の導出
課題1-3解答例：FMEAワークシート記入例
課題1-4解答例：従来手法の限界についての考察
総合演習2：STAMP/STPAによる安全分析
課題2-1解答例：ロス・ハザード・安全制約の識別
課題2-2解答例：安全制御構造図のモデル化
課題2-3解答例：UCA表の作成
課題2-4解答例：ロスシナリオの作成
課題2-5解答例：FTA・FMEAとSTPAの比較考察
総合演習3：セキュリティ分析
課題3-1解答例：Attack treeの作成
課題3-2解答例：脅威分析とリスク評価（TARA）
課題3-3解答例：安全性・セキュリティ統合分析の考察
総合演習4：MBSEによるアーキテクチャ記述
課題4-1解答例：ステークホルダー分析
課題4-2解答例：ビューポイントとビューの定義
課題4-3解答例：オントロジーの作成
課題4-4解答例：ビューの記述
総合演習5：アシュアランスケースによる保証
課題5-1解答例：トップゴールの設定
課題5-2解答例：分割戦略の選択
課題5-3解答例：GSN図の作成
課題5-4解答例：ステークホルダー間の合意形成
総合課題：レポート作成
総合課題1解答例（要約）：総合レポート
総合課題2解答例（要約）：ディペンダビリティ特性の評価
総合課題3解答例（要約）：国際規格への適合性

索引