ICTソリューション総合誌　月刊ビジネスコミュニケーション

ホーム >  要求工学 >  2013年8月号 > Assure 2013の概要

国立大学法人 名古屋大学 情報連携統括本部　情報戦略室　教授
（前NTTデータ フェロー　システム科学研究所長）山本 修一郎

今回は、サンフランシスコ市で2013年５月19日に開催された、第１回ソフトウェア集約型システムのための保証ケース（Assurance case）についての国際ワークショップ、1st International Workshop on Assurance Cases for Software-intensive Systems （ASSURE 2013）[1]での発表内容について紹介しよう。

Assure 2013発表論文の概要

Assure 2013で採録された８件の論文を表１に示す。名古屋大学からも、筆者らが２件投稿してともに採録された。国別の採録件数では米国３件、カナダ２件、日本２件、英国１件であった。保証ケース分野で、名古屋大学の取組みが世界的にも評価されたことは喜ばしい。

なお、Assure 2013の論文では、保証ケースの表現法として、D-Caseが採用しているGSN（Goal Structuring Notation）を用いていた。Zarrin LangariとTom Maibaum[2]は、安全性ケースの課題を、表記法、構成要素、適用分野、認定の観点から整理している。

Charles B. Weinstock、John B. Goodenough、Ari Z. Kleinらは、消去法的推論とL. Jonathan Cohen.によるBaconian確率を適用することにより、主張と証拠によって解消された疑義についてソフトウェア開発工程全体を通じて、保証ケースの確信度を評価する手法を提案している[3]。

筆者ら[4]は、ネットワーク機器監視システムに対して実施した、アーキテクチャに基づく議論分解パターンの適用評価結果を紹介した。また、GSNコミュニティで提案されている拡張機能をD-Caseエディタで実装した結果についても報告している[5]。

異なる人が作成した議論を結合する場合、用語の一貫性を確認する必要がある。用語の不整合を識別するために、言語学モデルを利用することにより、議論の結合を支援する手法をKatrina AttwoodとPhilippa Conmyが提案している[6]。

ロケットからの脱出装置AFDNR（Abort Failure Detection, Notifi- cation, and Response）を対象として、Martin S. FeatherとLawrence Z. Markosianが故障検知機構の擬陽性に対する安全性ケースパターンについて考察している[7]。ここで、条件が成立していないのに成立していると、誤って判断することを擬陽性という。たとえば、ロケットからの脱出条件を監視するセンサーの結果が擬陽性であると、脱出すべきでないときに脱出してしまうことになり、危険である。彼らは、従来の安全性ケースパターンが有効であることを再確認している。また、従来の安全性ケースパターンよりも広いパターンである安全性アーキタイプ（Safety Archetype）を、監視システムに対して提示している。

Alma L. Juarez Dominguez、 Bruce G. Partridge、Jeffrey J. Joyceが潜水用再呼吸器のための安全性ケース作成について報告している[8]。彼らは安全性ケースの議論を、安全性（Safety）、妥当性（Confirmation）、準拠性（Compliance）に分けている。

Arnab RayとRance Cleaveland[9]が、医療装置のための安全性保証ケースの構築上の課題について報告している。彼らの仮説は、「認定する価値のある医療装置であれば、文書化されていないだけで安全性ケースは暗黙には存在している。装置の安全性を明示的かつ論理的に説明するのが安全性ケースである」というものである。

以下では、保証ケースを適用する上での課題を上述した論文から整理して紹介したい。

保証ケースの課題

Zarrin Langari とTom Maibaumが整理した安全性ケース（Safety case）の課題をまとめると、表２のようになる。彼らは表記法、構成要素、適用分野、認定という４つの観点から課題を整理している。

表記法の課題

保証ケースの表記では、①規模と複雑性、②読解性、③幻想という３つの課題が指摘されている。このうち①と②は、モジュール化のしくみをGSNに導入することで対処できる可能性がある。また、安全性、確信性、運用性ごとに保証ケースを作成することを提案している点が注目される。このような議論の観点として、[8]では安全性のほかに、妥当性と準拠性を挙げている（表３）。

課題③では、保証ケースを作成することで、安全性が保証できたような気になってしまう幻想を排除する必要があると指摘している。この場合、保証ケースの妥当性を確認するための基準が重要になる。たとえば、コンテクストで前提条件を明記しておく必要がある。

続きは本誌でご覧頂けます。→本誌を購入する
ご購入のお申込みは電話（03-3507-0560）でも承っております。