STAMP/STPA

2004年、マサチューセッツ工科大学(MIT)のナンシー・レブソン(Nancy Leveson)教授は、「A New Accident Model for Engineering Safer Systems」という論文^[2]の中で、初めてSTAMP(System-Theoretic Accident Model and Processes)という用語を用い、その基本概念を提示した。

2012年、レブソンは、「Engineering a Safer World: Systems Thinking Applied to Safety」^[3]という著書を刊行し、STAMPモデルを使用して、事故分析、ハザード分析、システム設計、運用の安全性、安全性重視システムの管理などの技術を創出する方法をまとめ、「要素間の相互作用に潜在する危険要因を考える」という新しい安全性解析手法を提起した。^[4]

従来は見落としていた欠陥を把握把握できるとして、欧米では航空宇宙産業、鉄道を中心として利用が進んだ。

日本では2010年ごろからHTV(コウノトリ)で解析が行われた。^[5]この際、従来のFTAよりも多くのハザード原因を識別したものの、特に設計変更が要求される欠陥は見つからなかった。このことに対しエンジニアは"従来よりFTAの枠にとらわれずシステムの振る舞いについて考えていた"と回答した。STAMPは半ば暗黙のうちにエンジニアが行っていた解析手法を体系化、明文化する効果をもたらした。

2018年3月30日、未だ歴史が浅く十分に活用されていないSTAMPを普及させるべく、IPA(独立行政法人情報処理推進機構)はSTAMP向けモデリングツールSTAMP Workbenchをオープンソースソフトウェアとして無償公開した。^[6]

コンポーネント間の相互関係を図にしたcontrol structure diagramを作成、各コンポーネントの関係を洗い出す。

相互作用（Control Action）を洗い出す。

不適切なアクション(Unsafe control Action)は次の4パターンが考えられる。^[7]

1. 与えられないとハザード : A control action required for safety is not provided

   システムとしての損失の回避または目的達成に必要とされるコントロール・アクションが実行されない

2. 与えられるとハザード : An unsafe control action is provided

   ある状態では適切・必要なコントロール・アクションが誤った状態で実行される

3. 早すぎ、遅すぎ、誤順序でハザード : A potentially safe control action is provided too late or too early (at the wrong time) or in the wrong sequence

   必要とされるコントロール・アクションが早すぎる，遅すぎる，順番を間違えるなどのタイミングで実行される

4. 早すぎる停止、長すぎる適用でハザード : A control action required for safety is stopped too soon or applied too long

   必要とされるコントロール・アクションの実行が途中で停止する，予定より長い期間実行される

ハザードを防ぐために，システムに設計されるべき安全要求または安全制約を定義する。