STAMP/STPA(すたんぷえすてぃーぴーえー)

詳細解説

従来のFTA（故障の木解析）やFMEA（故障モード影響解析）は、個々の部品の故障や事象の連鎖を起点に危険性を分析します。これに対し、ソフトウェアの比重が高まった現代の複雑なシステムでは、どの機器や部品も壊れていないにもかかわらず、仕様の不備や構成要素どうしの想定外のやり取りによって事故に至ることがあります。

STPAでは、制御する側とされる側の関係を「コントロールストラクチャ」という図で表し、指示とフィードバックのループに着目します。その上で、「必要な制御指示が出ない」「誤った指示が出る」「タイミングが早すぎる・遅すぎる」といった観点で非安全な制御行動（UCA）を洗い出し、それを引き起こすハザード誘発要因（HCF）を特定して安全対策を導き出します。ハードウェアやソフトウェアだけでなく、運用者や組織の判断も制御ループの一部として扱える点が特徴です。