[論文レビュー] Candidate Software Process Flaws for the Boeing 737 Max MCAS Algorithm and Risks for a Proposed Upgrade

J.A. Bergstra, Mark Burgess|arXiv (Cornell University)|Jan 16, 2020

Software Reliability and Analysis Research参考文献 17被引用数 11

ひとこと要約

本論文は、Boeing 737 Maxの墜落事故におけるMCASシステムの失敗に寄与した可能性の高いソフトウェアプロセス上の欠陥——例えば、疑わしい安全性分類、最先端技術への暗黙の認識、要件への不慣れ、過剰な干渉——を特定する。B-Max-Newと呼ばれるBoeingの提案されたアップグレードを、これらの欠陥を是正するという正式な約束として評価し、技術的設計に加え、ソフトウェア工学的厳密性が認証および安全性保証の中心に据えられなければならないと主張する。

ABSTRACT

By reasoning about the claims and speculations promised as part of the public discourse, we analyze the hypothesis that flaws in software engineering played a critical role in the Boeing 737 MCAS incidents. We use promise-based reasoning to discuss how, from an outsider's perspective, one may assemble clues about what went wrong. Rather than looking for a Rational Alternative Design (RAD), as suggested by Wendel, we look for candidate flaws in the software process. We describe four such potential flaws. Recently, Boeing has circulated information on its envisaged MCAS algorithm upgrade. We cast this as a promise to resolve the flaws, i.e. to provide a RAD for the B737 Max. We offer an assessment of B-Max-New based on the public discourse.

研究の動機と目的

• ソフトウェアプロセス上の欠陥——技術的欠陥に加え、それらがMCAS関連の737 Maxの墜落に果たした重要な役割——を調査すること。
• B-Max-Newと呼ばれるMCASの提案されたアップグレードを、包括的なソフトウェア工学的欠陥を是正するという正式な約束として評価すること。
• プロミス理論と外部者分析を用いて、高信頼性システムにおけるソフトウェア工学的整合性を評価するフレームワークを提供すること。
• ソフトウェア開発実務における検証可能な欠陥を特定することで、訴訟、認証、および将来的なソフトウェアプロセス改善を支援すること。
• 安全に重要なシステムにおいて、責任、透明性、および確立された工学的原則への従いを重視することで、責任あるソフトウェア工学を提唱すること。

提案手法

• プロミス理論を用いて公的議論を分析し、Boeingおよび規制当局が発表した主張からソフトウェアプロセス上の欠陥を推論する。
• 4つの候補となるソフトウェアプロセス上の欠陥を特定する：疑わしい安全性分類、最先端技術への暗黙の認識、要件への不慣れ、過剰な干渉。
• Boeingのアップグレード提案を、過去の欠陥を是正するという正式な約束とみなして、その実現可能性と安全性基準との整合性を評価する。
• アルゴリズムを実装とは独立した抽象的知的創造物として定義し、ソフトウェアや文書と区別する。
• 既存の認証基準（例：FAA型式認証）に基づいて、MCASuが新たな手法を要せずとも認証可能かどうかを検討して、アップグレードの実現可能性を評価する。
• 通信技術やマルチスレッドの類似例を用いて、特徴の相互作用リスクとシステムレベルの障害をモデル化する論理的推論を実施する。

実験結果

リサーチクエスチョン

• RQ1 MCASに関する公的発表が、孤立したコーディングエラーではなく、システム的欠陥を示唆する程度はどの程度か？
• RQ2 提案されたB-Max-Newアップグレードを、特定されたソフトウェアプロセス上の欠陥を是正する約束として妥当に解釈できるか。また、技術的および手続的根拠は十分か？
• RQ3 過剰な干渉や最先端技術への認識欠如といったソフトウェアプロセス上の欠陥が、航空電子機器システムにおける安全性に深刻な影響を及ぼす仕組みは何か？
• RQ4 内部システム詳細が入手できない状況において、プロミス理論と外部者分析が訴訟、認証、ソフトウェアプロセス改善をどのように支援できるか？
• RQ5 既存のB737 NG型式認証基準の下でMCASuを認証することは可能か。それとも、根本的に新しい認証手法を要するのか？

主な発見

• 疑わしい安全性分類、最先端技術への暗黙の認識、要件への不慣れ、過剰な干渉——の4つの候補となるソフトウェアプロセス上の欠陥が、MCAS事故の発生に寄与する可能性があると特定された。
• 提案されたB-Max-Newアップグレードは、これらの欠陥を是正する約束と解釈されるが、内部システム詳細の欠如により、その技術的および手続的信頼性は不確かのまま残っている。
• MCASとマニュアルパイロット入力との特徴の相互作用は、ソフトウェア工学において古くから知られたリスクであり、その適切な対処がなされなかったことは、注意義務の欠如を示している。
• 本論文は、ソフトウェア工学的失敗は単なる技術的失敗ではなく、プロセスと責任の問題を含むと主張し、非責任意のフォストモーテムがこれらの問題を隠蔽する可能性があると指摘する。
• 既存の基準の下でMCASuの認証は原則として可能であるが、代替アップグレードが存在しないことを形式的証明で示せない限り、未解決の欠陥のリスクは依然として残っている。
• アルゴリズム（抽象的知的創造物）とソフトウェア（実装）の区別は極めて重要である。コードが正しくても、前者に欠陥があると安全性が損なわれる可能性がある。