ディペンダビリティ保証入門 - 安全分析・MBSE・アシュアランスケースによる統合アプローチ -

松野裕日大教授博士（科学）著
高井利憲武庫川女子大教授博士（工学）著
岡本圭史仙台高専教授博士（理学）著

システムの「ディペンダビリティ」をどのように確保し，保証し続けるかを体系的に解説

ジャンル

発行年月日: 2026/09/25

判型: A5

ページ数: 196ページ

ISBN: 978-4-339-02959-8

在庫あり

2営業日以内に出荷致します。

定価

3,190円(本体2,900円+税)

カートに入れる

購入案内

内容紹介
まえがき
目次
レビュー
著者紹介
広告掲載情報

自動運転システムやドローン、生成AIを用いたシステムなど、世界を変えうるシステムが登場しようとしています。しかしこれらのシステムは、その内部と環境に常に変化と不確実性があるオープンシステムであり、その安全性・信頼性（ディペンダビリティ）を保証することは従来のシステム以上に難しくなってきています。
本書は、こうしたシステムの安全性・信頼性を保証するための手法を、安全・セキュリティ分析（FTA、FMEA、STAMP/STPA、STPA-Sec）、モデルベースシステムズエンジニアリング（MBSE、SysML）、アシュアランスケース（GSN、D-Case）を結びつけて解説した、世界で初めての本です。
各章では基本概念を解説したうえで、自動運転システムや自動駐車システムなどの具体的な事例研究を通して手法の使い方を学べるようにしています。さらに総合演習の章では、自動運転システムを題材に、STAMP/STPAによる安全分析、MBSEによるアーキテクチャ設計、アシュアランスケースによるシステム保証までを一貫して体験でき、講義・演習にそのまま活用できます。
安全性の保証とは、単に文書を作る作業ではなく、「なぜ十分に安全と言えるのか」を利害関係者が互いに納得できる形で示し、合意を形成するためのコミュニケーションの技術です。ぜひ本書を通してこれらの手法を習得し、将来、あるいは現在におけるシステム開発と運用に役立てていただけたら幸いです。

【読者対象】
情報系・電気系・機械系の大学学部生（3〜4年生）、大学院生、高専生。また、自動車、鉄道、医療機器などの安全性・信頼性が重要な分野で、システムの設計・開発、安全分析、機能安全、品質保証に携わる企業技術者、およびシステムのディペンダビリティに関心のある研究者。

【書籍の特徴】
安全・セキュリティ分析、MBSE、アシュアランスケースという、通常は別々に扱われる三つの手法を結びつけて解説している点が本書の特徴で、このような構成の本はこれまでありませんでした。各手法について自動運転システムなどの現代的な事例研究を掲載し、総合演習の章では一つの題材に対して全手法を適用する流れを体験できます。また、単なる手法の解説にとどまらず、安全性の保証を利害関係者の合意形成の活動としてとらえる視点を一貫させています。

【本書から得られる知識】
・FTA、FMEA、STAMP/STPAを用いてシステムの安全分析を実施できる
・STPA-Secを用いてセキュリティの脅威分析ができる
・SysMLを用いたシステムモデリングとトレードオフ分析ができる
・GSN・D-Caseを用いてアシュアランスケースを記述し、システムの安全性を利害関係者に説明できる
・自動運転システムなどの事例を通して、安全分析からアーキテクチャ設計、システム保証までの一連の流れを実践できる

【授業・講義での使用】
学部3〜4年生・大学院生向けの半期講義（ソフトウェア工学、システム安全、ディペンダビリティ工学、システムズエンジニアリング等の科目）での使用を想定しています。総合演習の章はグループ演習やレポート課題として利用でき、ゼミ・輪講のテキストにも適しています。

【実務に役立つ点】
自動車（ISO 26262等の機能安全規格への対応）、鉄道、医療機器など、安全性が重要なシステムの開発現場で、安全分析（FTA、FMEA、STPA）の実施、SysMLによるシステム設計、セーフティケース・アシュアランスケースの作成に直接活用できます。また、自動運転やAIシステムの安全性を社内外の関係者に説明し、合意を形成する場面でも役立ちます。

【本書キーワード】
安全性保証、ディペンダビリティ、アシュアランスケース、セーフティケース、GSN、D-Case、FTA、FMEA、STAMP/STPA、MBSE、SysML、自動運転

本書は，複雑化・高度化する現代のシステムの安全性と信頼性を保証するための手法を体系的に解説しています。

自動運転システムをはじめとする現代のシステムは，ソフトウェアとハードウェアが密接に連携し，外部環境とつねに相互作用するオープンシステムです。このようなシステムの安全性を確保することは，従来のシステム以上に困難な課題となっています。本書では，この課題に対応するための手法として，安全・セキュリティ分析，モデルベースシステムズエンジニアリング（MBSE），そしてアシュアランスケースを統合的に解説します。本書では，開発と運用のライフサイクル全体を通じてディペンダビリティを継続的に保証するための枠組みとして「継続的ディペンダビリティ保証モデル」を提示し，このモデルを中心に各手法を体系的に位置づけています。

本書の構成は以下のとおりです。まず1章でディペンダビリティ（総合信頼性）の基礎概念とISO 26262やISO/SAE 21434などの関連する国際規格を紹介します。2章では従来の安全分析手法であるFTAとFMEA，およびセキュリティ分析への応用を解説し，3章ではMITで開発された新しい安全分析手法STAMP/STPAを紹介します。4章ではMBSEによるシステム設計手法を，5章ではGSN記法を用いたアシュアランスケースとD-Case手法による合意形成を解説します。そして6章では，L4自動駐車システム（L4 CPP）を題材に，これらの手法を統合的に適用する総合演習を行います。7章では，本書全体のまとめとして各手法の位置づけと使い分け，安全性とセキュリティの統合，今後の展望について述べます。

本書が扱う内容は，まだ大学の教育課程に十分に組み込まれていませんが，自動車産業をはじめとする安全性が重要な分野では必須の内容です。本書を通じて，これらの手法を習得し，安全で信頼性の高いシステムの開発に役立てていただければ幸いです。

本書の内容の多くは，2006年に開始されたJST CREST研究領域「実用化を目指した組込みシステム用ディペンダブル・オペレーティングシステム」（DEOSプロジェクト，研究総括：所眞理雄先生）に端を発しています。DEOSプロジェクトでは，変化し続けるオープンシステムのディペンダビリティをいかに確保するかという課題に取り組み，オープンシステムディペンダビリティ（OSD）の概念，DEOSプロセスとアーキテクチャ，そしてアシュアランスケースによるステークホルダー間の合意形成手法であるD-Caseが生み出されました。これらの成果は，2018年に国際規格IEC 62853: Open systems dependabilityとして結実しています。

著者らは2009年頃よりこのプロジェクトに参加し，D-Caseの研究を通じてディペンダビリティ保証の考え方を深めてきました。本書で提示した継続的ディペンダビリティ保証モデルも，DEOSプロジェクトで培われた知見を基盤としています。DEOSプロジェクトの関係者の皆様に深く感謝いたします。

2026年7月
松野裕，高井利憲，岡本圭史

執筆分担
松野　裕　　1，2，5，6，7章
高井利憲　　4，6章
岡本圭史　　3章

1．ディペンダビリティの基礎
1.1　システムのディペンダビリティ：基礎概念と現代的課題　
　1.1.1　システムとはなにか　
　1.1.2　ディペンダビリティの概念　
1.2　ディペンダビリティの体系と用語　
　1.2.1　ディペンダビリティ属性　
　1.2.2　ディペンダビリティへの脅威　
　1.2.3　ディペンダビリティへの脅威に対処する手段　
　1.2.4　関連する国際規格　
1.3　現代のシステムとディペンダビリティの課題　
　1.3.1　システムの複雑化と近年のインシデント　
　1.3.2　本書のアプローチ：継続的ディペンダビリティ保証モデル　
1.4　本書の構成と各章の関係　
　1.4.1　各章の概要　
　1.4.2　手法間の関係　
引用・参考文献

2．安全分析の基本手法：FTAとFMEA
2.1　FTAとFMEAの概要　
2.2　FTA　
　2.2.1　FTAの概要と目的　
　2.2.2　FT図の作成と定量的解析　
　2.2.3　FT図で定性的に解析する　
　2.2.4　FTA実施上の留意点　
　2.2.5　身の回りの事象のFT図　
2.3　FMEA　
　2.3.1　実施のタイミングと目的　
　2.3.2　FMEAでの主要なプロセス　
　2.3.3　設計FMEAの効果的な実施　
　2.3.4　故障モードの抽出法　
　2.3.5　評価結果の判断について　
　2.3.6　新しいFMEA手法：AIAG-VDA FMEA　
　2.3.7　FMEAの実践例：設計FMEA　
2.4　ソフトウェアへのFTA・FMEAの適用　
　2.4.1　ソフトウェアへの適用における課題　
　2.4.2　ソフトウェアFTAの実践　
　2.4.3　ソフトウェアFMEAの実践　
2.5　セキュリティ分析への応用　
　2.5.1　Attack tree　
　2.5.2　TARA　
2.6　本章のまとめ　
引用・参考文献

3．安全分析手法：STAMP/STPA
3.1　STAMPの概要　
3.2　STPA　
　3.2.1　STPAの手順　
　3.2.2　Step 1「分析目的の定義」　
　3.2.3　Step 2「安全制御構造図のモデル化」　
　3.2.4　Step 3「非安全なコントロールアクションの識別」　
　3.2.5　Step 4「ロスシナリオの識別」　
3.3　脅威分析手法：STPA-Sec　
　3.3.1　STPA-Sec Step 1　
　3.3.2　STPA-Sec Step 2　
　3.3.3　STPA-Sec Step 3　
　3.3.4　STPA-Sec Step 4　
　3.3.5　ウォーゲーム　
3.4　事例：自動車へのSTPAの適用　
　3.4.1　Step 1「分析目的の定義（自動車規格対応）」　
　3.4.2　Step 2「安全制御構造図のモデル化（自動車規格対応）」　
　3.4.3　Step 3「非安全なコントロールアクションの識別（自動車規格対応）」　
　3.4.4　Step 4「ロスシナリオの識別（自動車規格対応）」　
3.5　本章のまとめ　
引用・参考文献

4．モデルベースシステムズエンジニアリング（MBSE）
4.1　システムズエンジニアリングの概要　
　4.1.1　システムズエンジニアリングとは　
　4.1.2　実例で見るシステムズエンジニアリングの役割　
4.2　MBSE　
　4.2.1　MBSEの概念　
　4.2.2　システムズエンジニアリングのためのモデリング言語：SysML　
　4.2.3　モデルの種類の例　
　4.2.4　SysMLによる概念の共有　
4.3　事例：巨大ショッピングセンターの駐車場　
　4.3.1　システムズエンジニアリング活動の計画　
　4.3.2　課題定義　
　4.3.3　モデルの記述準備　
　4.3.4　モデルの記述　
　4.3.5　モデルの評価　
　4.3.6　本節のまとめ　
引用・参考文献

5．アシュアランスケースとD-Caseによる合意形成
5.1　はじめに　
5.2　アシュアランスケースの概要　
　5.2.1　背景と登場の経緯　
　5.2.2　アシュアランスケースの定義と基本構造　
　5.2.3　日本国内におけるアシュアランスケース導入の動き　
5.3　GSNによるアシュアランスケースの可視化　
　5.3.1　GSN Community Standardとは　
　5.3.2　GSNコア要素　
　5.3.3　リンク（矢印）による論証構造　
　5.3.4　GSN Community Standardにおける拡張と実践的ガイドライン　
　5.3.5　GSNを用いたアシュアランスケース作成の効果と留意点　
　5.3.6　本節のまとめ　
5.4　D-Caseによる合意形成　
　5.4.1　D-Caseの概要　
　5.4.2　D-Caseステップ　
　5.4.3　D-Caseステップの事例：テスト戦略の合意　
　5.4.4　D-Caseステップの事例：ETロボコンへの適用　
　5.4.5　D-Caseの活用ポイントと留意点　
　5.4.6　本節のまとめ　
5.5　事例：自動運転へのGSNの適用　
　5.5.1　背景：オープンシステムとしての自動運転　
　5.5.2　事例概要：塩尻市での実証実験　
　5.5.3　トップレベルのアシュアランスケース構造　
　5.5.4　ハザード分析（GSNモジュールM2）　
　5.5.5　安全距離の定義　
　5.5.6　妥当性確認のGSN（GSNモジュールM4）　
　5.5.7　モニタリングシステムとの連携　
　5.5.8　本事例から得られた知見　
5.6　D-Caseを用いた合意形成の評価手法　
　5.6.1　背景：ステークホルダーとの合意形成の課題　
　5.6.2　事例概要：TIER IVによるレベル4実証実験　
　5.6.3　合意形成プロセスの概要　
　5.6.4　GSNモデルの構造　
　5.6.5　Safety status report（安全性現状報告書）　
　5.6.6　アンケートによる合意度評価　
　5.6.7　Consensus score（合意度スコア）　
　5.6.8　従来のCAMとの比較　
　5.6.9　本事例から得られた知見　
5.7　本章のまとめ　
引用・参考文献

6．総合演習：自動運転システムの安全性分析と保証
6.1　演習の概要　
　6.1.1　対象システム　
　6.1.2　想定シナリオ　
　6.1.3　システム構成要素　
　6.1.4　演習の全体像　
　6.1.5　関連する国際規格　
　6.1.6　手法間の受け渡し対応表　
6.2　総合演習1：従来手法（FTA・FMEA）による安全分析　
　6.2.1　FTAによるハザード分析　
　6.2.2　FMEAによる故障モード分析　
　6.2.3　従来手法の限界についての考察　
6.3　総合演習2：STAMP/STPAによる安全分析　
　6.3.1　ロス・ハザード・安全制約の識別　
　6.3.2　安全制御構造図の作成　
　6.3.3　UCAの識別　
　6.3.4　ロスシナリオの識別　
　6.3.5　FTA・FMEAとの比較　
6.4　総合演習3：セキュリティ分析　
　6.4.1　Attack treeによる脅威分析　
　6.4.2　TARA（ISO/SAE 21434準拠）　
　6.4.3　安全性・セキュリティ統合分析　
6.5　総合演習4：MBSEによるアーキテクチャ記述　
　6.5.1　ステークホルダーと関心事の識別　
　6.5.2　ビューポイントとビューの定義　
　6.5.3　オントロジーの定義　
　6.5.4　ビューの記述　
6.6　総合演習5：アシュアランスケースによる保証　
　6.6.1　トップゴールと前提の設定　
　6.6.2　サブゴールへの分割　
　6.6.3　GSN図の作成　
　6.6.4　D-Case手法による合意形成　
6.7　総合課題：レポート作成　
　6.7.1　分析結果の統合　
　6.7.2　ディペンダビリティ特性の評価　
　6.7.3　国際規格への適合性　
6.8　本章のまとめ　

7．まとめと今後の展望
7.1　本書の振り返り　
　7.1.1　ディペンダビリティの基礎（1章）　
　7.1.2　安全分析の基本手法：FTAとFMEA（2章）　
　7.1.3　安全分析手法：STAMP/STPA（3章）　
　7.1.4　モデルベースシステムズエンジニアリング（MBSE）（4章）　
　7.1.5　アシュアランスケースとD-Caseによる合意形成（5章）　
　7.1.6　総合演習：自動運転システムの安全性分析と保証（6章）　
7.2　各手法の位置づけと使い分け　
7.3　安全性とセキュリティの統合　
7.4　今後の展望　
　7.4.1　AIシステムとディペンダビリティ　
　7.4.2　運用中の継続的保証　
　7.4.3　規制の動向と人材育成　
7.5　実務への適用に向けて　
7.6　おわりに　
引用・参考文献

付録：略語・用語集
A.1　略語一覧　
A.2　関連規格　
A.3　主要用語　

総合演習解答例
総合演習1：従来手法（FTA・FMEA）による安全分析
課題1-1解答例：FT図の作成
課題1-2解答例：最小カット集合の導出
課題1-3解答例：FMEAワークシート記入例
課題1-4解答例：従来手法の限界についての考察
総合演習2：STAMP/STPAによる安全分析
課題2-1解答例：ロス・ハザード・安全制約の識別
課題2-2解答例：安全制御構造図のモデル化
課題2-3解答例：UCA表の作成
課題2-4解答例：ロスシナリオの作成
課題2-5解答例：FTA・FMEAとSTPAの比較考察
総合演習3：セキュリティ分析
課題3-1解答例：Attack treeの作成
課題3-2解答例：脅威分析とリスク評価（TARA）
課題3-3解答例：安全性・セキュリティ統合分析の考察
総合演習4：MBSEによるアーキテクチャ記述
課題4-1解答例：ステークホルダー分析
課題4-2解答例：ビューポイントとビューの定義
課題4-3解答例：オントロジーの作成
課題4-4解答例：ビューの記述
総合演習5：アシュアランスケースによる保証
課題5-1解答例：トップゴールの設定
課題5-2解答例：分割戦略の選択
課題5-3解答例：GSN図の作成
課題5-4解答例：ステークホルダー間の合意形成
総合課題：レポート作成
総合課題1解答例（要約）：総合レポート
総合課題2解答例（要約）：ディペンダビリティ特性の評価
総合課題3解答例（要約）：国際規格への適合性

索引

読者モニターレビュー【田中裕己様（業界・専門分野：ソフトウェア工学）】

本書では、安全で信頼性の高いシステムを構築するために用いられる安全性解析手法、モデリング手法について解説されています。最もシンプルなFTA(Fault Tree Analysis)から始まり、システム内外での相互作用を含めたより複雑なシステムの解析手法へと順を追って丁寧に解説されています。自動車の例が多いですが、ハードウェア/ソフトウェア、システム規模によらない普遍的手法の解説に重点が置かれているのが特徴です（そのため、全体通して抽象度はやや高いです）。

評者の職域であるソフトウェア開発・運用においても、直接的なエラー波及関係の分析（例：関数Aの出力に誤りがあり、それを受け取った関数Bにおいて不具合が発生）にとどまらず、原因個所を含むより広い範囲を敷衍して「どのような状態であるべきか」「状態の不整合を起こしうる入力とは何か」といった分析を行うことが重要であると言われています。経験的にもそのような分析が後々良い結果（＝バグが少なく、見通しも良く、開発しやすいシステム）をもたらすと感じていましたが、本書によってその理論的な裏付けが得られたように思いました。

本書によって安全なシステムを設計するための一般的思考法を身に着ければ、（自動車や航空機のみならず）日常のより小規模なシステム設計や、自分自身の仕事のクォリティ改善にも大きく役立つと思います。

レビュー,書籍紹介・書評掲載情報一覧

松野裕（マツノユタカ）

2006年、東京大学大学院新領域創成科学研究科博士課程修了。電気通信大学を経て2015年より日本大学理工学部応用情報工学科准教授、2023年より同学科教授。

専門はソフトウェア工学、およびシステムのディペンダビリティと安全性保証。JST CREST DEOSプロジェクトでのD-Case（アシュアランスケース）の設計・体系化に携わって以来、16年以上にわたりシステムのディペンダビリティや安全性をいかに議論し、関係者の合意を形成するかという問題に取り組んでいる。近年は自動運転やAIシステムへの適用を中心に、産業界との共同研究を数多く手がける。