5.4 ハザード分析
HARAとSTPAで危険を洗い出す
この回で分かること
- ハザード分析 の目的と、主な方法（HARA・FMEA・FTA・STPA）の違いを説明できる
- 故障の木（FTA）で原因の確率を AND と OR で組み立て、共通原因の影響を計算できる
- STPA で危ない制御動作を4つの型で洗い出し、その原因のシナリオから SOTIF のトリガー条件につなげられる
直感で理解する
4.7 と 5.1 で見たように、安全の活動は「どんな危険がありうるか」を洗い出すことから始まります。これが ハザード分析 です。見落としたハザードには、対策も試験も作られません。ここでの抜けは、そのまま未知の危険（5.2 の領域3）になります。主な方法は次のとおりです。
| 方法 | 考え方 | 得意なこと | 主に使う場面 |
|---|---|---|---|
| HARA（ハザード分析とリスク評価） | 機能がうまく働かないときに起きる危険な事象を場面ごとに洗い出し、重大度・遭遇頻度・制御可能性で評価する | 危険の大きさを比べ、目標（ASIL など）を決める | 機能安全（ISO 26262）。SOTIF でも危害の評価に同じ考え方を使う |
| FMEA（故障モード影響解析） | 部品の壊れ方を一つずつ挙げ、それが全体にどう影響するかを下から上へたどる | 部品の故障の影響の洗い出し | 機能安全 |
| FTA（故障の木解析） | 望ましくない出来事を頂上に置き、その原因を AND・OR で上から下へ分解する | 原因の組み合わせと確率の見積もり | 機能安全・SOTIF |
| STPA | システムを「誰が何を指示し、どう知らされるか」という制御のしくみとして描き、危ない制御動作とその原因を探す | 故障のない相互作用、人とシステムの役割分担 | SOTIF・自動運転 |
FMEA や FTA は、もともと「部品が壊れる」ことを起点に考える方法です。これに対して STPA（System-Theoretic Process Analysis）は、すべての部品が仕様どおりに動いていても起きる危険、つまり部品どうしや人とシステムの間の相互作用による危険を探すのに向いています。SOTIF と相性がよいのは、このためです。
STPA では、システムを制御のしくみとして描きます。制御する側（自動運転システムや運転者）は、頭の中のモデル（プロセスモデル：いま周りがどうなっているかの理解）にもとづいて制御動作（ブレーキなど）を出し、制御される側（車と周りの環境）の様子をフィードバック（センサ）で知ります。
図の例では、どこも壊れていません。しかし、逆光でフィードバックが届かないために、頭の中のモデルが「前方に物はない」と現実からずれ、その結果「ブレーキをかけない」という危ない制御動作が起きます。STPA は、こうした「モデルと現実のずれ」を危険の原因として探します。
数式で確かめる
① 故障の木で、原因の確率を組み立てる
頂上の出来事を「前方の歩行者に対してブレーキをかけない」とし、その原因を分解します。カメラと LiDAR の両方が見逃す（AND）か、計画が「止まらなくてよい」と誤って判断する（OR）と起きるとします。1.1 のルールで、AND は掛け算、OR は（確率が小さければ）足し算です。
カメラ 5%、LiDAR 10%、計画 0.1% で、カメラと LiDAR が独立なら、0.05 × 0.1 ＋ 0.001 ＝ 0.006 です。ところが、濃霧のように両方を同時に見逃させる条件（共通原因）が場面の 1% で起きるとすると、その分だけで 0.01 が加わり、頂上の確率はおよそ 0.016 と、独立を仮定した見積もりの2倍以上になります（数値は説明用の例）。FTA は、どの原因の組み合わせが効いているかを見える形にし、共通原因のような落とし穴にも気づかせてくれます。
② STPA：危ない制御動作を4つの型で洗い出す
STPA では、1つの制御動作について、次の4つの型で 危ない制御動作（UCA：Unsafe Control Action）を考えます。自動ブレーキの例です。
| 型 | 危ない制御動作の例 |
|---|---|
| 与えないと危険 | 前方を歩行者が横断しているのに、ブレーキをかけない |
| 与えると危険 | 前方に何もないのに、後ろの車が近い状態で急ブレーキをかける |
| タイミングや順序が悪いと危険 | ブレーキが遅すぎて、止まるのが間に合わない |
| 続け方が悪いと危険 | 危険が去ってもブレーキを続ける／止まる前にブレーキをやめてしまう |
大事なのは、どの UCA にも「どんな状況で」を添えることです。同じ急ブレーキでも、後ろに車がいなければ危険ではありません。状況を表す条件を組み合わせると、考える組は増えます。制御動作が3つ（ブレーキ・ハンドル・加速）、状況を表す条件が4つでそれぞれ2〜3段階（3 × 2 × 2 × 3 ＝ 36 通り）なら、
を確かめることになります。表を使って抜けなく進め、明らかに危険でない組は理由を添えて外します。UCA が見つかったら、それが起きる原因のシナリオを探します。「フィードバックが届かない・誤っている」（センサの性能の不十分）、「頭の中のモデルが現実とずれる」（学習データにない物）、「制御の手順が考えていない状況」（仕様の不十分）などで、これらは 5.3 の機能不十分とトリガー条件の候補そのものです。
③ HARA の目盛りは、確率のおおまかな目安
HARA の遭遇頻度（E）と制御可能性（C）には、ISO 26262 で目安となる数値の例が示されています。要約すると、E は「その状況にいる時間が運転時間のどれくらいか」（E2 はおよそ 1% 未満、E3 は 1〜10%、E4 は 10% 以上）、C は「運転者やほかの交通参加者の何割が危害を避けられるか」（C1 は 99% 以上、C2 は 90% 以上、C3 は 90% 未満）の目盛りです。
たとえば「高速道路で意図しない急ブレーキ」は、高速道路にいる時間を運転時間の 10%（E4）、後ろの車のうち避けられないのを 10%（C2）とすると、急ブレーキが起きたときに危害につながる割合は、おおまかに
です。これに重大度 S3 を合わせると、4.7 のとおり ASIL C になります。目盛りが粗いのは、正確な数値がまだ分からない開発の初めの段階でも、危険の大きさを比べられるようにするためです。なお SOTIF では ASIL は付けず、同じように危害の重さと避けやすさを評価して、受け入れられるかどうかを判断します（5.5）。
実務との接点
- 方法を組み合わせる：HARA で危険な事象を評価し、FMEA・FTA で故障の原因を、STPA で故障のない相互作用や人の役割を調べます。1つの方法ですべてを見つけることはできません。→ 4.7
- 人とシステムの思い違いも探す：運転者が「システムが運転している」と思い込む（モードの取り違え）といった問題も、運転者の頭の中のモデルのずれとして STPA で扱えます。合理的に予見可能な誤使用を探す手段になります。→ 4.1、5.1
- 分析は仮説、試験で確かめる：分析で見つけたシナリオが本当に危険かどうかは、シナリオを使った試験で確かめます。→ 5.6 シナリオベース検証
- 一覧を育て続ける：分析の結果（ハザードの一覧）は、試験や市場のデータで見つかったことを受けて更新し続けます。→ 5.2、5.11 市場投入後の監視
- 抜けがないことを説明できるように：型・分類・表を使った手順や、いろいろな立場の人によるレビューの記録は、「十分に洗い出した」と言うための論証の材料になります。→ 5.10 セーフティケース
まとめ
- ハザード分析は、ありうる危険を洗い出して評価する活動。HARA は危険な事象の大きさを評価し、FMEA・FTA は故障の原因を、STPA は故障のない相互作用による危険を探す
- FTA は原因を AND（掛け算）と OR（足し算）で組み立て、共通原因が確率を大きく押し上げることも見える形にする
- STPA は危ない制御動作を4つの型で洗い出し、フィードバックの不足や頭の中のモデルのずれという原因のシナリオから、SOTIF のトリガー条件につなげる。HARA の目盛りは確率のおおまかな目安になっている
確認クイズ
Q1. 次の危ない制御動作は、STPA の4つの型のどれ？ （a）後ろの車が近いのに、何もない場所で急ブレーキをかける （b）歩行者が横断中なのにブレーキをかけない （c）ブレーキが遅すぎて止まれない
（a）与えると危険、（b）与えないと危険、（c）タイミングや順序が悪いと危険、です。
Q2. ①の故障の木で、カメラ 10%、LiDAR 10%、計画 0.2% のとき、頂上の確率は？（カメラと LiDAR は独立とする）
0.1 × 0.1 ＋ 0.002 ＝ 0.012、つまり約 1.2% です。
Q3. S2・E3・C3 と評価された危険な事象の ASIL は？
2 ＋ 3 ＋ 3 ＝ 8 なので ASIL B です（4.7 の足し算の覚え方）。
Q4. 「FMEA で部品の壊れ方をすべて調べたが、危険は見つからなかった。だから安全だ」。この考えの問題点は？
FMEA は部品の故障を起点に考える方法なので、どこも壊れていないのに起きる危険（SOTIF）や、部品どうし・人とシステムの間の相互作用による危険は見つけにくいのです。STPA などで補う必要があります。
もっと知りたい人へ
- 次の回：5.5 受入れ基準と妥当性確認目標
- 関連：5.1 SOTIFとは、5.3 機能不十分とトリガー条件、4.7 安全の3本柱（ASIL）、4.2 システムの全体像、1.1 確率とは何か（掛け算・足し算と共通原因）
- 用語集：ハザード・危害、HARA、STPA、危ない制御動作（UCA）、FTA・FMEA、ASIL、共通原因
- 解説動画：YouTube（約4分）（静止画のスライドと音声で要点を説明。英語版の記事には英語の動画があります）
- 参考文献（規格の内容はこの回で要約して説明しています。正確な定義や要求は原文を確認してください）
- ISO 26262-3:2018, “Road vehicles — Functional safety — Part 3: Concept phase.”
- ISO 21448:2022, “Road vehicles — Safety of the intended functionality.”
- N. G. Leveson, Engineering a Safer World: Systems Thinking Applied to Safety, MIT Press, 2011.
- N. G. Leveson, J. P. Thomas, STPA Handbook, 2018.