HAZOP-ENSHU2a

実践HAZOP演習
Ver 4.1 2008.12.26
Ver 4.2 2009.02.12
Ver 4.3 2009.08.24
Ver 4.4 2010.05.20
Ver 4.5 2010.05.24
Ver 4.6 2010.06.01
Ver 4.7 2010.08.23
Ver5.0 2011.4.10
Ver 5.1 2011.5.9
Ver 5.2 2011.9.2
名古屋市工業研究所
小川清
©[email protected]
本資料について
• 本資料を許可なく複製・改変・再配布することを
禁じます。
• 本資料には、著作者から無償の講習に限定して転
載許可を得ているものがあります。それぞれのペ
ージの著作権表示に従い、著作者の許諾を得てく
ださい。
• 本資料の内容は予告なく改定することがあります
。
©[email protected]
2
演習の進め方



HAZOPの概要説明 10分
一人HAZOP 20分
班活動



座長と記録担当5分
自己紹介 5分
順番に統合 35分



分類
追加事項を加える
ふりかえりと報告 15分（5グループの場合）
想定外をなくす

説明責任として「想定外でした」ということがな
いように．


ありえないことを想定して考えてみる．


設計の変更、利用説明書での対応など
ありえないこと言ってみると、それよりはありえるこ
とは考えてよいことが分かる
ありえることには対応しているようにする．
一人HAZOP





誘導語を見ながらありえないことを列記する
例えば：UFOの襲撃のようなありえないことでも
よい（襲撃があった時点でUFO（未確認飛行
物体ではない）でないという意味で）
思いついたことは必ず書く
書いたことは消さない（後で分類を変えること
はあるが無駄ではない）
一つの誘導語を深堀してもいいし，まんべん
なくせめてもよい
班HAZOP

自己紹介



今日，何を習得したいですか
仕事でなにをしているか
どういう安全に興味があるか。
背景
•
•
ソフトウェア開発規模が大きくなると、作業の半分以
上が、試験・検証作業となる
試験・検証作業を効率的に行うのに２つの手法の提
案がある
–
分析の徹底（上流工程）、事後分析
•
•
•
–
設計審査(Design Review)
故障、安全分析（FMEA,FTA、HAZOP)
なぜなぜ分析、４Ｍ５Ｅなど
モデル（状態遷移等の設計）に基づく検証
•
•
モデル記述言語（MATLAB, UML, XML）の利用
形式手法による検証(Z, VDM, SPIN, Event-B, UPPAAL, Alloy)
概要
•
•
•
•
•
視点の違いによる誤解
消費者対応
背景
関連規格
JAXAの関連する取り組み
©[email protected]
関連情報：プロセス改善
ナビゲーションガイド
JAXAの取り組みに
HAZOPの記載あり
IPA/SEC www.ipa.go.jp
ダウンロード可能
•
委員：トヨタ自動車、デンソー、アドヴィックス/アイシン精機、日本電
気、三菱電機、新日鉄ソリューションズ、マイクロソフト、JAXA、ブラ
ザー工業、情報数理研究所、日新システムズ、大和コンピュータ、
富士ゼロックス、アイエックスナレッジ、NTTデータ、住友電気工業、
HBA、コンピータジャパン、同志社大学、 PM Academy,砂塚コンサル
ティングサービス、松原コンサルティング、名古屋市工業研究所
©IPA/SEC
•
視点の違いによる誤解



視点１ではBはAの部分集合
視点２ではAはBの部分集合
誤解：自分は正しく相手が間違い
利用時の品質と意図した利用

利用時の品質(quality in use)
B: 利用時の要求(requirements): 検証
(Verification)
A: 意図した利用（intended use)：妥当性確認
(Validation)
消費者対応
国際規格は、製造者、消費者に偏らない情報
源である
消費者対応組織がある
日本工業規格は、製造者、消費者、中立委員
の３者構成とする
HazopはHazard analysis and operability
study(危険分析と運用研究）なので利用者の
利用状況の研究が重要
Automotive related safety/software standard ©ogawa
22896
ISO/IEC IEC Guide104
FlexRay
Guide50/51 ISO 14121 IEC 60050 Safe-by-Wire
ISO 12100
IEC 61882 IEC 61000 11898/16845 Autosar
CAN
HAZOP
EMC
LIN
IEC 61508
15765
IEC 61025
ISO/IEC Diag on CAN
17359
26262
FTA
Directives
OSEK
XML
IEC
60812
ISO/IEC
15497
23360
FMEA
17000s
MISRA-C Linux
15026
SQuaRE 19501
9945
9899
RUP
25000
19759
UML
POSIX
C
XP
SWEBOK 15288
10007
16326
Automotive 15504
system
SPICE SPICE
12207 90004 TS 16949 10006
soft
CMMI
90003
9000s
PMBOK
20000
安全分析、試験検査
•
•
ソフトウェアだけでは人に危害を与えれない
ハードウェアの動作で人に危害を与える
–
•
•
•
•
•
全ライフサイクルを常に対象にすることが重要
事前の分析で設計、対応を考慮
作る前、作りながらの試験、検査
モデルの作成(UML/SYSML, Matlab…)
量、質、順番、時間をHAZOPで明確に
形式手法で証明
©[email protected]
安全仕様（©JAXA）
技法/手法
SIL1
SIL2
SIL3
SIL4
HTVでの実施内容
1 コンピュータ支援仕
様、ツール
R
R
HR
HR
仕様作成時は特にツールを使用してい
ない。
HR
論理／機能ブロックダイアグラム、
シーケンスダイアグラム、データ
フローダイアグラム及び真値表等
を使用している。
HR
要求仕様の内、衝突等の主要ハザ
ードの安全制御機能に関わるもの
は、評価モデルとして形式的仕様
記述を用いた評価を実施している。
2a
半公式法
2b 例えば、CCS,
CSP,HOL,LOTOS,
OBJ,temporal logic,
VDM,Zを含む公式法
R
R
R
HR
R
http://www.mext.go.jp/b_menu/shingi/uchuu/haifu/h17/anzen/05102401/001.pdf
R：推奨 HR：強く推奨
NR：推奨しない
ソフトウェア設計及び開発：ソフトウェア・モジュ
ール試験及び統合（©JAXA）
技法/手法
SIL1
1見込み試験
SIL2
SIL3 SIL4 HTVでの実施内容
R
R
HR
ランダム試験および、モデルを用
いたロバスト性確認試験を実施し
ている。
2動的分析及び試験
R
HR
HR
HR
設計審査、開発試験、ランダム試
験にて実施している。
3データ記録及び分析
HR
HR
HR
HR
試験データ、要因などの情報は文
書化し、管理している。
4機能及びブラック
ボックス試験
HR
HR
HR
HR
開発試験において実施している。
5 性能試験
R
R
HR
HR
開発試験において実施している。
6インタフェース試験
R
R
HR
HR
開発試験において実施している。
http://www.mext.go.jp/b_menu/shingi/uchuu/haifu/h17/anzen/05102401/001.pdf
R：推奨 HR：強く推奨 NR：推奨しない
故障分析と安全（危険・運用）分析
•
•
故障が原因で危険な状態になる場合は、故
障分析を先に行う
国際規格になっている故障分析、安全分析
–
–
–
•
IEC FMEA（設計故障モード影響解析
IEC FTA（Fault Tree Analysis故障木解析）
IEC HAZOP (Hazard and Operability Study)
利用事例図、時系列図、状態遷移図、刻時
図の利用
©[email protected]
HAZOP(危険・運用分析）
•
要素／特性／処理変数(process parameter)
速度、方向、重量、温度、振動、電磁ノイズ、湿
度、重量分布、風速
誘導語(guide word)
– 無、過大、過小、部分、尚早、遅刻、事前、事後
–
•
•
•
分析は経験に基づくが誘導語の枠は重要。
網羅的な事象の列記が可能で知識の体系化
が可能
©[email protected]
誘導語(guide word)
分野による部品と要素
事前準備
•
一人HAZOPを全員に実施
–
–
•
システムへの要求、必要な制約条件を出す
–
•
•
参加者の能力、経験の把握
無駄作業の排除
具体的な処理内容を特定
うまくいく処理方法と、うまくいかない処理方
法を区分する
結果
–
–
–
妥当な要求であることが確認できる（分析）
妥当な設計であることを確認できる（設計）
テストケースを出す（評価）
危険・運用分析に必要な構成員
•
作業の円滑化、記録
–
–
•
分析の視点の確保
–
–
•
座長
記録担当（時間測定を含む）
設計者
利用者
知見の確保
–
安全の専門家
HAZOPの手順
•
•
準備作業としての一人HAZOP
役割の確認
–
•
検討対象の記述（事前作業）
–
•
•
•
座長、記録担当、開発側、利用側、安全の専門家
利用事例図、時系列図、状態遷移図、を書く（補
足する）
事項(処理変数）の洗い出し
現象（誘導語）の特定
繰り返し
進め方の例
•
•
•
•
参加者の能力が分からないとき、作業の１回
目は前提を設けずに、自由に発想する。
参加者の能力を見極め、お互いに気がつか
ないところを探す。
考え方、意見は否定せずに記録する。
間違いにきがついたら、消さないで、横棒で
見えるように消す。
新しい視点が見当たらなければ
論理が飛躍していることがある
– 原因から結論に論理が飛躍していると気がついた場合は
、間の論理を追記する
原因と結果が逆転していることがある
– 誰の視点で見ているかを補足するとよいかもしれない
原因と対策が逆転していることがある
– 考え方と実現方法を分けて書いたほうがよいかもしれな
い
人間に関する事項（たとえば教育）は、複雑に原因が入り組
んでいる
•
•
•
•
–
–
–
人間に関する事項は一見、同じ原因にたどり着くことがある。
対応策の十分性を考える際に、他に原因があることを確認するとよ
い
単位系を利用する（その単位に該当する事象がないか）
要素と
単位
赤信号停止システムの例
無指向性無線
青信号を検知せ
ずに信号機を検
知したら減速す
る
信号機の存在
を知らせる
指向性無線
信号が青で
あることを知
らせる
©[email protected]
赤信号停止システムのHAZOP関連記述
©[email protected]
安全システムの安全性
識
事項
別
現差（ずれの
ずれの原因システムへの影響
象
内容）
他無線機器
電磁過信号が受
1
によるノイ
信号の見落とし
ノイズ大信できない
ズ
1 風速
2
振動
1
信号機が
過
発信しな
大
い
指向性無
過
線が発信
大
しない
信号機の電
信号機の機能停止
源供給停止
断線
安全対
策
無線の
二重化
目視
運転
信号機の一部機能停
止。青信号を検知せ
目視
ずに信号機を検知す
運転
る。すべての車が減速
し、渋滞を引き起こす
©[email protected]
複雑な安全システムを網羅的に分析
•
検証の困難性
–
•
システムの障害の原因の判定
–
•
•
誘導語で、危険な事象が起きる漏れ、抜けがないかを網羅
的に洗い出し。（なぜなぜ分析で、誘導語を利用しても同じ
効果）
本システムの障害か、安全システム自体の障害か
人間の複雑なものへの対応
システムは、多重の入れ子構造になっている
–
交通システム
•
自動車
–
部品
» 部品の要素
» ソフトウェア
©[email protected]
ソフトウェア安全分析の例
•
ソフトウェアに起因する安全を阻害する事象の分析
–
–
–
•
•
•
ソフトウェアに起因する暴走
ソフトウェアに起因するハング
データの間違った書き換え
電子部品のソフトウェアによる安全を阻害する事象
のソフトウェアによる検査
システム全体の安全を阻害する事象のソフトウェア
による検査
検査ソフトウェア、安全機能を付加することによるソ
フトウェアに起因する安全を阻害する事象の確率の
増加
©[email protected]
状態遷移図と時系列（シーケンス）
図利用の目的
•
図示
–
•
模型（モデル）を使った検査・検証
–
–
•
自然言語の仕様、人工言語のプログラムでは分
かりにくい（一次元）ところを図（二次元）で表記
プログラムを書く前に、システムの検査を実施
プログラムを書く前に、統合試験の仕様を作成
開発言語によらないシステム記述ができる
–
–
ソフトウェアかハードウェアかどちらが処理するか
どの言語で記述するとよいシステムか
検討事例（これ以外の事項でもよい）
•
•
•
•
電源投入時にシステムが起動しないことがある
ソフトウェアの暴走で、システムが止まる
ソフトウェアの暴走で、システムが壊れる
目標の性能がでない（電源電圧・電流、モータの
トルク）
事項（処理変数）の洗い出し
•
電源投入時にシステムが起動しない
–
–
–
–
–
–
電源・電池
配線
CPU
メモリ
プログラムカウンタ
スタックポインタ
現象（誘導語）の特定
•
•
•
•
•
•
•
•
•
•
•
事項にもとづいた、現象の具体化の例：電源
なし(no)：電圧０、電流０
過大(more)：電源が定格電圧より大きい
過小(less)：電源が定格電圧より小さい
部分(part of)：電源が一部回路だけに伝達
尚早(early)：CPUへの電源投入が他の機器より早すぎる
遅延(late)：CPUへの電源投入が他の機器より遅すぎる
事前(before)：電源投入前の操作をしていない
事後(after)：電源投入後に別の信号が入ってくる
類似(as well as)：該当思い当たらない
逆(reverse)：逆電圧がかかっている
現象（誘導語）の特定
•
•
•
•
•
•
•
•
•
•
•
事項にもとづいた、現象の具体化の例：CPU
なし(no)：プログラムカウンタの値が０
過大(more)：プログラムカウンタの値が大きすぎる
過小(less)：プログラムカウンタの値が小さすぎ
部分(part of)：プログラムカウンタの値が上位だけ
尚早(early)：プログラムカウンタの値が早く変わりすぎる
遅延(late)：プログラムカウンタの値が変わるのが遅い
事前(before)：プログラムカウンタの設定がスタックポインタ
の保存より先になっている
事後(after)：プログラムカウンタの設定がスタックポインタの
ロードより後になっている
類似(as well as)：該当思い当たらない
逆(reverse)：プログラムカウンタの値が上下逆
現象（誘導語）の特定
•
•
•
•
•
•
•
•
•
•
•
事項にもとづいた、現象の具体化の例：ソフトウェア
なし(no)：変数の値がない（初期化した０）
過大(more)：変数の値が大きすぎ（オーバフロー）
過小(less)：変数の値が小さいすぎ（アンダーフロー）
部分(part of)：変数の値の上位が消えている
尚早(early)：変数の値が変わる時期が早すぎる
遅延(late)：変数の値が変わる時期が遅すぎる
事前(before)：先に変わっているべき変数の値が変わっていない
事後(after)：変数の値を代入できない
類似(as well as)：整数のはずの変数が、浮動小数点数になって
いる
逆(reverse)：変数の値が逆数になっている。
その他の考慮する事項
•
ずれの原因
–
•
システムへの影響
–
•
システムへの影響が大きい事項は、なぜなぜ分
析を始めてもよい
システム全体を知っている人が、考える
安全対策
事例：電源投入時にシステムが起動
しないことがある
•
•
•
•
電源投入時の、システム全体を分析するか、CPUに
ついて分析するか、ソフトウェアの挙動を分析する
かを決める
例の状態遷移図には電源投入時の状態遷移がな
い。電源投入時の状態遷移図を作って作業を始め
る。
対象によって、事項の項目を２－３個あげる。（時間
の制約上）
事項によって、現象を５－６個割り振る。（時間の制
約上）
分析はどこまでやるか
•
•
•
•
試験・検証項目が網羅的に出るまで。
一人ＨＡＺＯＰをしてからやる。２時間やったら一人Ｈ
ＡＺＯＰに分かれる。１日で全部をやるかどうかは場
合による。複数グループでやる。
進捗、内容によって、違う日には、グループを分けて
やる。
複数の手法を使い分ける。(手順例）
–
–
–
–
FMEAをやってから、HAZOPをやる
FMEAを作り直す
設計者を中心にFTAを作る
HAZOPで出た課題を形式手法で検証する
分析と検証



人手だと限りがない分析
状態遷移だけでも検証したい
形式的に記述すれば検証できることも多い
–
事務機械の例：
–
分析と検証
実践作業








グループに分かれる（作業表を電子または紙で
配布）
座長と記録担当を決める
課題の図を一つ書く
入出力、状態を考える
想定外の事を考える
測定、試験方法を考える
防御方法、対策を考える
頻度／致命度を考える
参加者の個人のまとめ




わかったこと
わからなかったこと
よかったこと
こんどやるとよいこと
まとめ
•
設計、分析、検証・試験は同時進行
•
•
•
•
•
Ｖ字モデルはナンセンス？
故障分析・安全分析で、状態遷移図、時系列
図、刻時図を使うと有効
分析結果から検証、試験事例を作成
見るとやるとで大違い
自分の想定外が一つでも出れば成功
履歴
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
2005年1月名古屋市工業研究所における研究会の資料として作成(ver 1.0)
2006年11月名古屋市工業研究所講演会資料
2007年4月技術士会での講演で改訂
2007年6月企業での技術指導で改訂
2007年11月組込みLinux研修で改訂
2007年12月名古屋市での講演で改定(ver 2.0)
2008年2月名古屋市工業研究所講演会資料
2008年6月名古屋市工業研究所講演会補助資料(ver 3.0)
2008年10月組込み中核人材（名工大）(ver4.0)
2008年12月なぜなぜ分析、安全分析演習だけ切り出し(ver 4.1)
2009年2月 HAZOP説明(ver 4.2)
2009年8月 UML研修(ver4.3)
2010年5月 UML & HAZOP（ver4.4)
2010年8月 SWESTでエレベータの扉について実施
2011年1月 WOCSで発表（別資料）
2011年5月津波，放射線HAZOP(Ver5.0)
2011年6月津波，放射線HAZOP(Ver 5.1)
2011年7月安全工学シンポジウムで発表（別資料）
2011年9月今日
©[email protected]
参考文献
•
•
•
５ゲン主義入門,古畑友三,日科技連出版社 ,1996
なぜなぜ分析徹底活用術、小倉仁志、JIPMソリュー
ション, 1997
４Ｍ５Ｅ
–
•
•
•
•
http://www.n-iinet.ne.jp/4m5e.htm
FMEA、FTA実施法、鈴木順二郎、日科技連、１９８２
μITRON4.0仕様書、TRONプロジェクト
名古屋市工業研究所研修テキスト、２００８
MISRA-C解説書、日本規格協会、2004年・2006年
作業表の例
要素・
ID 特性誘導語
外れ（誘導語の展開）
検出方法
原因
1 液が
ない(no)
液空(1)
電圧測定(2)、液面検査(目
視)(21)
液漏れ(3)
2
逆(re verse)
＜該当なし＞(19)
-
静止しているので方向なし(19)
3
他(other than)
＜該当なし＞(19)
-
静止しているので方向なし(19)
高い(more)
液が多い(8)
溢れ(目視)(9)
41
液の入れすぎ(10)
異液の混入(9)
42
5
少ない(less)
液が少ない(4)
液面検査(目視)(5)
電圧低下(6)
6
部分(part of)
一部のみに入っている(12)
液面検査(目視)(13)
電圧低下(14)
類似(as well as)
違う液が入っている10)
?1
電圧低下(11)
71
電圧変動(11)
72
8
早い(early)
反応速度が速い(16)
?1
異物、異液の混入(17)
9
遅い(late)
反応速度が遅い(16)
電圧測定(20)
異物、異液の混入(17)
A
前(before)
＜該当なし＞(18)
-
直流なので定電圧(18)
B
後(after)
＜該当なし＞(18)
-
直流なので定電圧(18)
表1-７液の分析表の例
*試験項目？要確認項目（？１設計部門で調査）
わかったこと



未経験でも想定外に絞れば，1人HAZOP, 班
HAZOPでも実施できる
できるだけ自由な発想をしてよく，作業する人
は作業手順に拘らずに実施するとよい。
他の手法（FMEA, FTA, なぜなぜ分析など）を
実施していると速度は早い
わからなかったこと



事前，事後のアンケートを作っていないので，
習得率がわからない。
作業時間がいっぱいいっぱいだったので，疑
問点が解消したかどうか。
仕事場に戻って，参加者がリーダとして実施
できるか。
今日のよかったこと

進め方の指針がでた（1回目は、新しい発想を出す
ために。）
 量のすくない人から発言してもらう
 今後の作業分担に役立てる（管理者，人事）
 障碍者，高齢者設計指針，子供向け安全ガイド
に関する項目がでた
 2グループでの経験
今後の課題
1回目のやり方は時間を切ってやることという説明を
したが，2回目以降のやり方についての説明ができて
いない。
 設計指針，単位系など参照するとよいものについて
示唆したが，実際に使って実施してないので，実施し
たときの課題の解決方法について提案していない。
 原因と結果の入れ替え，別項目への移動など，実作
業で頻繁にある事項の効率的な処理ができるために
はどういう能力があるといいかを説明していない。
