生きた要求を捕まえる
IV&Vの狙いと効果
白坂成功
[email protected] 26 Feb. 2013
Contents
•
はじめに
•
IV&Vとは
•
なぜ
IV&Vか
•
IV&Vのアプローチ
•
IV&V事例
•
最新の取り組み
2
©NASA
はじめに
[email protected] 26 Feb. 2013
4
自己紹介
• 修士：東京大学大学院工学系研究科、博士：慶應義塾大学大学院SDM研究科
• 1994年 大手電機メーカ入社 人工衛星開発に従事（１５年間）
• おりひめひこぼし（技術試験衛星VII型）の運用設備の開発、運用メンバー
• ランデブードッキング試験設備の開発
• 宇宙ステーション輸送機（HTV:H-II Transfer Vehicle）のシステム設計、運
用システムの設計、運用メンバー
• ドイツAstrium社に駐在（ESAの衛星システムシミュレータ開発）
• 準天頂衛星システム、総合システム開発のプロジェクト管理、システム設計
5
自己紹介（継続）
2004年より慶應義塾大学非常勤講師、2010年4月より慶應大学専任准教授
• ほどよし信頼性工学：適度なコストと適切な信頼性→超小型人工衛星
• システム開発方法論の研究→人工衛星、スマートグリッド、機能安全、System
Assurance
• 最新のシステムエンジニアリング方法論
→Systems of Systems, Enterprise Systems Engineering, Engineering Systems
• ISO JTC1/SC7/WG42 Architecture主査
• ISO/IEC 42010 (IEEE1471) Architecture Description
• ISO/IEC 42030 Architecture Evaluation (WD2)
日本の問題：
環境問題
年金
防衛
貿易
国家財政破綻
国家ビジョン
TPP
農業
技術のガラパゴス化
理系離れ
領土問題
セキュリティー
資源
格差
国際競争力の低迷
小子高齢化
外交
閉塞感
雇用
教育
激動する現代社会が直面する問題の多くは、
問題をシステムとして俯瞰的視点からとらえ、
全体として整合性のある解を導くべき問題なの
に、誰もそれができないこと。
7
[email protected] 26 Feb. 2013
日本の問題：
日本の問題を解決するには？
「問題をシステムとして俯瞰的にとらえ全体とし
て整合性のある解を導く方法」を確立し、これを
身につけた人材の育成を行うべき。
激動する現代社会が直面する問題の多くは、
問題をシステムとして俯瞰的視点からとらえ、
全体として整合性のある解を導くべき問題なの
に、誰もそれができないこと。
8
システムデザイン・マネジメント研究科とは?
システムズエンジニアリングを基盤に、複
雑に絡み合った問題をシステムとして解
決するための方法を伝授する、これまで
にない、文理融合型の大学院。
9
[email protected] 26 Feb. 2013
デザイン学
システム学
マネジメント学
リーダーシップ力
創造力
コミュニケーション能力
国際性
実行力
自
我
作
古
SDM
チームでの協働によりイノベーション
を生み出すデザイン思考を基盤とす
る
デザイン学
体系
システムズエンジニアリングを基盤
とするシステム学体系
プロジェクトマネジメントやビジネス系
科目によるマネジメント学体系
システマティッ
ク に 学 ぶ 手 法
を 駆 使 し た 新
コンセプトデザ
インと検証
PMP(Project
Management
Professional)
認 定 に つ な が
る科目群
必 修 コ ア 科 目
を中心にシステ
ムとしての見方
の 基 礎 を 徹 底
的に教育
SDM学
による人材育成
10
•
多様な学生のメルティングポット
11
Manufacturing, 19.6 Communication s, 11.2 Consulting, 10.3 Informaton Technology, 9.3 Aerospace, 6.5 Finance, 4.7 Real Estate, 3.7 Government, 3.7 Construction, 3.7 Enegy, 3.7 System, 2.8 Medical, 1.9 Publishing/Med ia, 1.9 Legal, 1.9 Logistics, 1.9 Teacher, 1.9 Education, 1.9 Material, 1.9 Design, 1.9 Civil Servant, 1.9Sports, 0.9 Translation, 0.9 Food, 0.9 Pharmaceutical , 0.9
(%)
多様なバックグラウンド
平均年齢32歳
就業経験：34％
平均年齢42歳
就業経験：89％
修士
博士
留学生20%、年々増加中
企業派遣：JAXA、防衛省、NEC、NTTデータ他多数
[email protected] 26 Feb. 2013
(1) リサーチインテンシブコース
(2) ラーニングインテンシブコース
・コア科目（２単位×４科目）
・デザインプロジェクトALPS（４単位）
・SDM研究（８単位）
・選択科目（８科目16単位以上）
新卒学生＋社会人学生
学位：SE学、SDM学
・コア科目（２単位×４科目）
・デザインプロジェクトALPS（４単位）
・デザインプロジェクト研究（２単位）
・選択科目（16科目32単位以上）
社会人経験３年以上の社会人に限る
学位：SDM学
コア科目 選択科目 SDM研究 デザインプロジェクトALPS 1年次 2年次 コア科目 選択科目 PDM研究 デザインプロジェクトALPS 1年次 2年次12
要望が多いため、１年のCertificateコース新設予定：学位はないが、同じ授業を受講可能
企業社内研修コースの提供：JAXAほか
デザインプロジェクト科目
Design Project
●
イノベーションの実践方法学習
●
Keio＋MIT＋Stanford＋TUDelft
●年間を通してのグループプロジェクト
●徹底的な社会ニーズの分析からシステムのデザインまで
●企業からも持ち込み課題に対してソリューション提案
13
26 Feb. 2013
17
Independent Verification and Validation
検証：システムが正しく作られていることを確認
“Building the thing right”
妥当性確認：正しいシステムが作られていることを確認
“Building the right thing”
19
Definition at ISO/IEC15288:2008
verification
– confirmation, through the provision of objective evidence, that specified
requirements have been fulfilled [ISO 9000:2005]
– NOTE Verification is a set of activities that compares a system or system
element
against the required characteristics
. This may include, but is not
limited to, specified requirements, design description and the system itself.
validation
– confirmation, through the provision of objective evidence, that the
requirements for a specific intended use or application have been fulfilled
[ISO 9000:2005]
– NOTE Validation is the set of activities ensuring and gaining confidence that
a system is able to accomplish its intended use, goals and objectives (i.e.,
meet stakeholder requirements) in the intended operational environment.
なぜ
IV&Vか
[email protected] 26 Feb. 2013
22
開発担当が
“やるべきこと”を
知っている
知らない
やっている
意識していやっているが、
不十分（抜け漏れ、思い
込み）
無意識でやっているため、
不十分（思いつき、思い
込み）
やってない
時間がない、やり忘れた
などでやってない
やるきっかけもない
なぜIV&Vが必要なのか？
なぜV&Vではだめなのか？
→開発担当では見つけられない不具合を見つけられないから？
→なぜみつけられないのか？
23
開発担当が
“やるべきこと”を
知っている
知らない
やっている
意識していやっているが、
不十分（抜け漏れ、思い
込み）
無意識でやっているため、
不十分（思いつき、思い
込み）
やってない
時間がない、やり忘れた
などでやってない
やるきっかけもない
論理的な考えの不足
開発に対する理解の不足
手法に対する理解の不足
対象に対する知識の不足
+
最新の知識の不足
役割・立場の違い
25
開発者と第三者検証者との違いの観点
−同じことを別の人がやる
異なる論理と異なる経験（開発、手法、対象知識）の活用
−同じ目的を別の手法でやる
−異なる目的のことをやる
役割・立場の違いの観点
−開発者側では出来にくいことをやる
分野横断的な見方、利用者の観点
実施者のベースの違いの観点
−経験に基づくV&V：開発者とは異なる経験
−論理に基づくV&V：開発者とは異なる論理
IV＆Vのアプローチ
[email protected] 26 Feb. 2013
26
IV＆Vのアプローチ：Process
System Requirements System Design Subsystem Requirements Subsystem Design Subsystem Design Component Requirements Software Requirements Component Design Software Design Component Design Software Design Component Design Software Design Module/Assembly Requirements Module/Assembly Design Module/Assembly Design Module/Assembly Design Drawings Manufacture/Coding Module/Assembly Design Module/Assembly Design Module/Assembly Test Module/Assembly Test Plan Component Test Software Test Component Test Software Test Component Test Software Test Products Verification Results Component Test PlanSoftware Test Plan
Subsystem Test Subsystem Test
Subsystem Test Plan
Verification Results
System Test
Verification Results System Test Plan
Final Verification Results
要求品質
・正しさ
・完全性
・無矛盾性
・追跡性
・検証性
設計品質
・正しさ
・追跡性
・検証性
試験品質
・十分なカバレッジ
・十分なストレス
・正しい試験設定
27
IV＆Vのアプローチ：Process
System Requirements System Design Subsystem Requirements Subsystem Design Subsystem Design Component Requirements Software Requirements Component Design Software Design Component Design Software Design Component Design Software Design Module/Assembly Requirements Module/Assembly Design Module/Assembly Design Module/Assembly Design Drawings Manufacture/Coding Module/Assembly Design Module/Assembly Design Module/Assembly Test Module/Assembly Test Plan Component Test Software Test Component Test Software Test Component Test Software Test Products Verification Results Component Test PlanSoftware Test Plan
Subsystem Test Subsystem Test
Subsystem Test Plan
Verification Results
System Test
Verification Results System Test Plan
Final Verification Results
要求品質
・正しさ
・完全性
・無矛盾性
・追跡性
・検証性
設計品質
・正しさ
・追跡性
・検証性
試験品質
・十分なカバレッジ
・十分なストレス
•
レビュー
•
モデルベース
•
形式手法
•
トレービリティ
•
レビュー
•
モデルベース
•
形式手法
•
トレーサビリティ
•
自動試験ツール
29
IV＆Vのアプローチ：System Life Cycle
Concept Approval Typical Decision Gates New Initiative Approval Development Approval Production Approval Operational Approval Deactivation Approval ISO/IEC 15288 NASA NPG
Concept Stage Development Stage Production Stage Operational Stage Retirement Phase Utilization Phase Support Phase Check Points
トレーサビリティ
・要求ー設計ー試験ー運用
・完全性
・論理性
26 Feb. 2013
30
ISO/IEC
15288
Concept Stage Development StageProduction Stage Operational Stage Retirement Phase Utilization Phase Support Phase User Requirements Definition Phase Concept Definition Phase System Specification Phase Acq Prep Phase Source Select. Phase Development Phase Verification Phase
31
V&Vのストラテジー自体のIV&Vも必要
2．「こうのとり」とは
35
出典： JAXA (HTV1Press Kit)
全長：約9.8m
直径：約4.4m
総質量：最大16.5ton
補給能力：最大6ton
•
Requirementに注目した活動 (Task1~4)
– 要求間の
トレーサビリティチェック
– 要求の妥当性、検証可能性の評価
– 故障復帰機能の欠陥、矛盾のチェック
– 改良に向けた技術的な提案
•
Fault Tree Analysis, Hazard Reportの評価
HTV IV&V活動概要
•
対有人システムとして
安全に関する部分
を対象
•
米国C.S.Draper研究所へ実施を依頼
– 対有人ランデブおよび宇宙機制御という分野における
豊富
な経験に基づく活動
– 輸出管理手続きを経た情報の提供
出典：クリティカルソフトウェアワークショップ２００２[email protected] 26 Feb. 2013
•
Requirementに注目した活動 (Task1~4)
– 要求間の
トレーサビリティチェック
– 要求の妥当性、検証可能性の評価
– 故障復帰機能の欠陥、矛盾のチェック
– 改良に向けた技術的な提案
•
Fault Tree Analysis, Hazard Reportの評価
HTV IV&V活動概要
•
対有人システムとして
安全に関する部分
を対象
•
米国C.S.Draper研究所へ実施を依頼
– 対有人ランデブおよび宇宙機制御という分野における
豊富
な経験に基づく活動
– 輸出管理手続きを経た情報の提供
メーカ
支援JAXA殿
Draper
契約 Concept Level 独立評価レポート Conceptual Communicationメーカ
Draper
JAXA殿
契約 Engineering Communication Engineering 独立評価レポート 出典：クリティカルソフトウェアワークショップ２００２HTV IV&V活動内容
System Requirements Original Requirements from NASA
Tailoring
Task1
System Design Subsystem Requirements Subsystem Design Subsystem Design Component Requirements Software Requirements Component Design Software Design Component Design Software Design Component Design Software Design Module/Assembly Requirements Module/Assembly Design Module/Assembly Design Module/Assembly Design Drawings Manufacture/Coding Module/Assembly Design Module/Assembly Design Module/Assembly Test Module/Assembly Test Plan Component Test Software Test Component Test Software Test Component Test Software Test Products Verification Results Component Test PlanSoftware Test Plan
Subsystem Test Subsystem Test
Subsystem Test Plan
Verification Results
System Test
Verification Results System Test Plan
Final Verification Results
Task2
Task3,4
Task5
[email protected] 26 Feb. 2013
HTV IV&V活動結果
•
以下の指摘を受け、文書の改定を実施
– トレースが完全には取れない要求の存在
– 不十分な要求のブレークダウン
– TBD（To Be Determined）項目残
•
設計者の意識高揚
（設計根拠の論理的説明）
→ライフサイクルを通じて、開発フェーズにあわせた実施
•
価値の低い指摘の排除
→設計者のやる気をそがない
→指摘は数ではなく、質であるという意識
出典：クリティカルソフトウェアワークショップ２００２41
「こうのとり」運用中の出来事：１号機
出典：“宇宙ステーション補給機技術実証機(HTV1)プロジェクトに係る事後評価について” . 宇宙航空研究開発機構 有人宇宙環境利用ミッション本部 HTV プロジェクトマネージャ虎野吉彦 (2010年9月21日)使用条件の違い
組織を超えた思い込みの違い
思い込み？
[email protected] 26 Feb. 2013
42
5. 「こうのとり」運用中の出来事：成功要因（機体関連）
出典：“宇宙ステーション補給機技術実証機(HTV1)プロジェクトに係る事後評価について” . 宇宙航空研究開発機構 有人宇宙環境利用ミッション本部 HTV プロジェクトマネージャ虎野吉彦 (2010年9月21日)43
JAXA内
ISSプログラム
パートナー
[email protected] 26 Feb. 2013
44
「こうのとり」運用中の出来事：成功要因（運用関連）
出典：“宇宙ステーション補給機技術実証機(HTV1)プロジェクトに係る事後評価について” . 宇宙航空研究開発機構 有人宇宙環境利用ミッション本部 HTV プロジェクトマネージャ虎野吉彦 (2010年9月21日)異なる立場でのチェック
運用結果安全設計:3号機運用中の出来事
47
変化する環境への対応：Enterprise Systems Engineering
出典：The Seven Samurai of Systems Engineering Dealing with the Complexity of 7 Interrelated Systems, James N Martine, 14th International Symposium INCOSE, 2004
49
変化する環境への対応：Engineering Systems
26 Feb. 2013
50
新たな安全解析方法論
•
システム思考に基づく安全解析
– MIT Nancy Leveson教授の提唱する手法
– STAMP/STPA : Systems-Theoretic Accident Model and
Processes/(STAMP-Based Process Analysis
出典：”Modeling and
Hazard Analysis using
STPA”(WOCS2011)
ほどよし信頼性工学
•
超小型衛星開発を通じた、コストをあげない品質保証のあり方
– 日本流のあうんの呼吸を活かした開発
– コンテクストと目的の理解
– 欧米流の説明責任からの日本流の説明責任へ
51
[email protected] 26 Feb. 2013
52
• レベル１：軌道上でソフトウェアを容易に再構成できる設計
• 軌道上でより最適なパラメタにチューニング（打ち上げ時は
地球補足まで出来ればよい。）
• 想定外の状況に対しても対応
• 顧客の要望変化へも柔軟に対応
運用中に調整が可能な設計（Adaptive）
• レベル２コーディングをしないソフトウェア開発
• パラメタ設定によるSDKライブラリからソフトウェアを実現
• 単体モジュールの設計検証と製造検証が不要
• ソフトウェア全体の検証は打ち上げまでに必要なところを検
証
コーディングレスの搭載ソフトウェア
•
モード移行条件、移行先、モード内実行機能をすべてパラメタで設
定できるソフトウェア
53
m1
m2
モード内における
•
実行される機能
•
順番
•
タイミング
すべてパラメタで指定
モード内におけるすべての
•
モードが遷移する条件
•
遷移先
すべてパラメタで指定
形式手法の活用
[email protected] 26 Feb. 2013
