JP2009003679A - ソフトウエア安全解析評価装置 - Google Patents

Abstract

【課題】計画意志決定者とソフトウエア安全解析担当は、安全解析計画をプランし、所定の目的に従って、異なるソフトウエア安全解析法の組み合わせを評価して共同認識を達成できるソフトウエア安全解析評価装置を提供する。
【解決手段】時間に関する解析を実行する動的解析ユニットと、完全に重要ソフトウエアの事故状態をカバレージする完全性ユニットと、目標達成の程度を判断する到達可能性ユニットと、事故ケースの詳細程度を解析する詳細性ユニットと、１組のソフトウエア安全解析方法により、利用可能の情報を得るための手続きを判断する信号／ノイズ比ユニットと、該ソフトウエア安全解析方法の複雑程度を実行するための複雑度ユニットと、一つのソフトウエア安全解析方法を実行するためコストの程度を評価する具現コストユニットとが含有される。
【選択図】図１

Description

本発明は、ソフトウエア安全解析評価装置に関し、特に、計画意志決定者とソフトウエア安全解析担当は、安全解析計画をプランし、所定の目的に従って、異なるソフトウエア安全解析（Ｓｏｆｔｗａｒｅ Ｓａｆｅｔｙ Ａｎａｌｙｓｉｓ、ＳＳＡ）法の組み合わせを評価して、共同認識を達成できる。

原子力発電所計器制御システムが大量にデジタル化するとともに、各種類のソフトウエア安全解析法により、危険因子を認証して、原子力発電所の計器制御システムデジタル化設備が安全であるかを評価するツールとし、納得できる程度までリスクを低下する。

既存の解析法は、先行のハザード解析システム（ＰＨＡ）や事故モードと効果解析システム（ＦＭＥＡ）、故障木解析システム（ＦＴＡ）、マルコフ連鎖モデリングシステム（Ｍａｒｋｏｖ Ｃｈａｉｎ Ｍｏｄｅｌｉｎｇ）、動的流れ図方法論システム（ＤＦＭ）及びシミュレータ基礎モードシステムが含まれる。しかしながら、上記の各解析法は、それぞれ利点もあり欠点もあり、単一の方法だけを利用すれば、解析は満足できる結果が得られない。それぞれの欠点は次の通りである。

該先行のハザード解析システムは、成功できるかのキーポイントが、参加者の選択にあり、それらの専門家は、該システムに関して広い背景や洞察力を有することが必要である。

該事故モードと効果解析システムは、簡約にソフトウエア共同因子事故を討論できるが、完全にソフトウエア事故の構造を説明することができない。

該故障木解析システムは、安全度評価（Ｐｒｏｂａｂｉｌｉｓｔｉｃ Ｒｉｓｋ Ａｓｓｅｓｓｍｅｎｔ、ＰＲＡ）の主なシステムの一つであるが、該故障木解析システムは、デジタル計器制御システムに適用されると、多数の人が納得できるソフトウエア事故率が得られない問題がある。

該マルコフ連鎖モデリングシステムは、ソフトウエア事故経路と回復手続きを記述できるが、解析担当がマルコフ連鎖を応用する時、合理的な転送率（ｔｒａｎｓｆｅｒ ｒａｔｅ）が得られない問題がある。

該動的流れ図方法論システムは、時間に関する多状態論理があるが、大きいシステムに適用し難い欠点があり、該動的流れ図方法論システムを複雑のシステムに応用される時、モデリングを生成するため、使用されるマトリックスが非常に膨大になる。

該シミュレータ基礎モードシステムは、事件の詳細が再現されるが、その具現コストは比較的に高い。

また、単一方法だけでは満足できる結果を解析できない。相補的に、以上のような２種類以上のシステムを利用して解析すれば、より満足的な結果が得られる。そのため、適当な評価基準があれば、解析担当が資源に応じて適当なシステムの組み合わせを選択して、解析を行うことができる。そのため、一般の従来のものは実用的とは言えない。

本発明の主な目的は、計画意志決定者とソフトウエア安全解析担当は、その安全解析計画をプランし、所定の目的に従って異なるソフトウエア安全解析法の組み合わせを評価して、共同認識を達成できるソフトウエア安全解析評価装置を提供する。

本発明は、上記の目的を達成できるために、少なくとも、時間に関する解析を実行する動的解析（Ｄｙｎａｍｉｃ ｃａｐａｂｉｌｉｔｙ）ユニットと、完全に重要ソフトウエアの事故状態をカバレージする完全性（Ｃｏｍｐｌｅｔｅｎｅｓｓ）ユニットと、目標達成の程度を判断する到達可能性（Ａｃｈｉｅｖａｂｉｌｉｔｙ）ユニットと、事故ケースの詳細程度を解析する詳細性（Ｄｅｔａｉｌ）ユニットと、１組のソフトウエア安全解析（Ｓｏｆｔｗａｒｅ Ｓａｆｅｔｙ Ａｎａｌｙｓｉｓ、ＳＳＡ）方法によりで利用可能の情報を得るための手続きを判断する信号／ノイズ比（Ｓｉｇｎａｌ／Ｎｏｉｓｅ ｒａｔｉｏ）ユニットと、該ソフトウエア安全解析方法の複雑程度を実行する複雑度（Ｃｏｍｐｌｅｘｉｔｙ）ユニットと、一つのソフトウエア安全解析方法を実行するためコストの程度を評価する具現コスト（Ｉｍｐｌｅｍｅｎｔａｔｉｏｎ Ｃｏｓｔ）ユニットとが含有されるソフトウエア安全解析評価装置である。これにより、計画意志決定者とソフトウエア安全解析担当は、その安全解析計画をプランし、所定の目的に従って異なるソフトウエア安全解析法の組み合わせを評価して、共同認識を達成できる。

図１〜図４は、それぞれ、本発明の構造概念図と本発明のソフトウエア安全解析分類概念図、本発明の評価ポインターレベル概念図及び本発明の基本評価ポインター数値概念図である。図のように、本発明はソフトウエア安全解析評価装置であり、少なくとも、動的解析（Ｄｙｎａｍｉｃ ｃａｐａｂｉｌｉｔｙ）ユニット１１と完全性（Ｃｏｍｐｌｅｔｅｎｅｓｓ）ユニット１２、到達可能性（Ａｃｈｉｅｖａｂｉｌｉｔｙ）ユニット１３、詳細性（Ｄｅｔａｉｌ）ユニット１４、信号／ノイズ比（Ｓｉｇｎａｌ／Ｎｏｉｓｅ ｒａｔｉｏ）ユニット１５、複雑度（Ｃｏｍｐｌｅｘｉｔｙ）ユニット１６及び具現コスト（Ｉｍｐｌｅｍｅｎｔａｔｉｏｎ Ｃｏｓｔ）ユニット１７が含有され、これにより、計画意志決定者とソフトウエア安全解析担当は、その安全解析計画をプランし、所定の目的に従って、異なるソフトウエア安全解析（Ｓｏｆｔｗａｒｅ Ｓａｆｅｔｙ Ａｎａｌｙｓｉｓ、ＳＳＡ）法の組み合わせを評価して、共同認識を達成できる。

該動的解析ユニット１１は、時間に関する解析を実行し、例えば、シミュレータ基礎モード解析システム２６が時間に関する解析ツールであるが、故障木解析システム（ＦＴＡ）２３がそうではないものである。

該完全性ユニット１２は、完全に重要ソフトウエアの事故状態をカバレージし、例えば、該故障木解析システム２３は、構造特性が拡張し易いため、多数の重要のソフトウエア事故形態をカバレージでき、また、該シミュレータ基礎モード解析システム２６は、１度に一つの実施例だけを解析でき、完全に各種類の実施例をカバレージできない。

該到達可能性ユニット１３は、目標達成の程度を判断し、例えば、炉心損害頻度（Ｃｏｒｅ ｄａｍａｇｅ ｆｒｅｑｕｅｎｃｙ）がソフトウエア事故頻度を考慮し、故障木解析システム２３の目標とするが、合理的なソフトウエア事故率が容易に得られない。認証システムは、危険因子を該シミュレータ基礎モード解析システム２６の目標とし、比較的に容易にその目標を達到できる。

該詳細性ユニット１４は、一つの事故実施例の詳細程度を解析し、例えば、該シミュレータ基礎モード解析システム２６は、解析実施例について詳細結果を提供でき、先行のハザード解析システム（ＰＨＡ）２１は、簡単な結果しか提供できない。

該信号／ノイズ比ユニット１５は、１組のソフトウエア安全解析法により、利用可能の情報を得るための手続きを判断し、例えば、該故障木解析システム２３は、完全のソフトウエア事故構造を介して、事故モードと効果解析システム（ＦＭＥＡ）２２によるものより、より利用可能の情報が得られる。そのため、該故障木解析システム２３は、該事故モードと効果解析システム２２より高い信号／ノイズ比が得られる。

該複雑度ユニット１６は、該ソフトウエア安全解析法を実行する複雑程度を評価し、例えば、該故障木解析システム２３を実行するステップは、該先行のハザード解析システム２１より多いため、該故障木解析システム２３の複雑度が該先行のハザード解析システム２１より高い。即ち、該故障木解析システム２３を実行するには比較的に時間が掛かり、そのため、計画対象期間がない計画であれば進捗が遅れるようになる。

該具現コストユニット１７は、一つのソフトウエア安全解析法を実行するためのコストの程度を評価し、例えば、該シミュレータ基礎モード解析システム２６を利用する時、発電所シミュレーションプログラムを導入して、十分の計器制御機能とプログラム校正を構築するためのコストを考慮することが必要である。

本発明は適用する時、まず、従来のソフトウエア安全解析法である、先行のハザード解析システム２１や事故モードと効果解析システム２２、故障木解析システム２３、マルコフ連鎖モデリングシステム（Ｍａｒｋｏｖ Ｃｈａｉｎ Ｍｏｄｅｌｉｎｇ）２４、動的流れ図方法論システム（ＤＦＭ）２５及びシミュレータ基礎モード解析システム２６について、質的（Ｑｕａｌｉｔａｔｉｖｅ）／量的（Ｑｕａｎｔｉｔａｔｉｖｅ）及びアセンブリーを中心とするもの（Ｃｏｍｐｏｎｅｎｔ ｃｅｎｔｒｉｃ）、システムを中心とするもの（Ｓｙｓｔｅｍ ｃｅｎｔｒｉｃ）等に区分するように定義し（図２のように）、また、該動的解析ユニット１１と完全性ユニット１２、到達可能性ユニット１３、詳細性ユニット１４、信号／ノイズ比ユニット１５、複雑度ユニット１６及び具現コストユニット１７について、評価ポインター３を、「極低」、「低」、「中等」、「高」及び「極高」の五つレベルに分け、また、「極低」から「極高」まで、ポジティブ意味のポインターとして、１〜５の数値を附与し、また、「極低」から「極高」まで、ネガティブ意味のポインターで、−１〜−５の数値を附与し（図３のように）、基本評価のポインター数値を表示する（図４のように）。また、この基本評価の制定は、主観的特性を有し、解析担当者は、格別の認識や需要に応じて、その数値が調整されることができ、また、該区分定義においての質的は、事故率や転送率を利用しない方法で、該区分定義においての量的は、事故率や転送率を利用する方法であり、該区分定義においてのアセンブリーを中心とする場合、ソフトウエア事故をソフトウエア自身の性質と見なし、該区分定義においてのシステムを中心とする場合、独自的に一つのソフトウエアの事故を討論するのが、意味がないことを主張する。システムを中心とする場合、システム脈絡において、ソフトウエアや事故の概念を考慮しなければ意味がない。この情況の場合、システム事故とシステム安全解析と称される。

図５〜図１０は、それぞれ、本発明の第１の実施例の個別評価概念図と第１の実施例の組み合わせ評価概念図、第２の実施例の個別評価概念図、第２の実施例の組み合わせ評価概念図、第３の実施例の個別評価概念図及び第３の実施例の組み合わせ評価概念図である。図のように、多種類のソフトウエア安全解析法を組み合わせて解析を行うことは、通常的且つ必要的であるから、本発明を説明するため、下例（Ａ）〜（Ｅ）の組み合わせで、複数の実施例により具体的に説明する。

（Ａ）ＰＨＡ＋ＦＭＥＡ＋ＦＴＡ（事故率を考慮する）と、（Ｂ）ＰＨＡ＋ＦＭＥＡ＋ＦＴＡ（事故率を考慮する）＋マルコフ連鎖モデリングシステム（転送率考慮する）と、（Ｃ）ＰＨＡ＋ＦＭＥＡ＋ＦＴＡ（事故率を考慮しない）＋マルコフ連鎖モデリングシステム（転送率を考慮しない）と、（Ｄ）ＰＨＡ＋ＤＦＭと、（Ｅ）ＰＨＡ＋ＦＭＥＡ＋ＦＴＡ（事故率を考慮しない）＋シミュレータ基礎モード解析システム。

第１の実施例において、基本評価ポインター数値を使用して（例えば、図４のように）、全ての重率因子を１にセットする。その個別の評価結果（例えば、図５のように）から、マルコフ連鎖モデリングシステム（転送率を考慮しない）２４ｂと動的流れ図方法論システム２５及びシミュレータ基礎モード解析システム２６は、ポインターが比較的に高い点数になり、また、組み合わせ評価結果（例えば、図６のように）から、ＰＨＡ＋ＦＭＥＡ＋ＦＴＡ（事故率を考慮しない）＋マルコフ連鎖モデリングシステム（転送率を考慮しない）は、（Ａ）〜（Ｅ）の組み合わせにおいて最も良いものである。

第２の実施例において、仮に、解析担当が、該動的解析ユニット１１や到達可能性ユニット１３、詳細性ユニット１４及び信号／ノイズ比ユニット１５を強調し、また予算が十分であるため、該具現コストユニット１７を考慮しない。個別評価結果（例えば、図７のように）から、該動的流れ図方法論システム２５と該シミュレータ基礎モード解析システム２６は、ポインターが比較的に高い点数になり、また、組み合わせ評価結果（例えば、図８のように）から、ＰＨＡ＋ＦＭＥＡ＋ＦＴＡ（事故率を考慮しない）＋シミュレータ基礎モード解析システムは、（Ａ）〜（Ｅ）の組み合わせにおいて最も良いものである。

また、第３の実施例において、仮に、該完全性ユニット１２を強調し、また、予算と計画対象期間とが限られたため、特に、該複雑度ユニット１６と該具現コストユニット１７を強調する。個別評価結果（例えば、図９のように）、故障木解析システム（事故率を考慮しない）２３ｂとマルコフ連鎖モデリングシステム（転送率を考慮しない）２４ｂは、故障木解析システム（事故率を考慮する）２３ａとマルコフ連鎖モデリングシステム（転送率を考慮する）２４ａより、ポインターが比較的に高い点数になり、また、組み合わせ評価結果（例えば、図１０のように）から、ＰＨＡ＋ＦＭＥＡ＋ＦＴＡ（事故率を考慮しない）＋マルコフ連鎖モデリングシステム（転送率を考慮しない）は、再び（Ａ）〜（Ｅ）の組み合わせにおいて最も良いものになる。

上記の解析評価結果から分かるように、納得できる量的事故率と転送率が得難い為、従来のＰＨＡ＋ＦＭＥＡ＋ＦＴＡ（事故率を考慮する）＋マルコフ連鎖モデリングシステム（転送率を考慮する）の組み合わせより競争性がない。しかしながら、質的構造である故障木解析システムとマルコフ連鎖モデリングシステムとは、ソフトウエア事故構造を理解することに非常に有利的である。また、システムを中心とするため、例えば、該動的流れ図方法論システム２５と該模擬基礎モード解析システム２６は、在該動的解析ユニット１１、到達可能性ユニット１３と詳細性ユニット１４及び信号／ノイズ比ユニット１５が有利的である（例えば、図７のように）。各ソフトウエア安全解析法の進化とともに、評価結果が変化するが、本発明において、ソフトウエア安全解析方法の本質についての了解は、評価することにより得られた数字より重要であるため、本発明の評価装置は、解析担当が共同認識を達成するための平台とするのが好ましい。

以上のように、本発明に係わるソフトウエア安全解析評価装置は、有効に従来の諸欠点を改善でき、計画意志決定者とソフトウエア安全解析担当は、安全解析計画をプランし、所定の目的に従って、異なるソフトウエア安全解析の組み合わせを評価して、共同認識を達成できるため、本発明はより進歩的かつより実用的で、法に従って特許請求を出願する。

以上は、ただ本発明のより良い実施例であり、本発明は、それによって制限されることが無く、本発明に係わる特許請求の範囲や明細書の内容に基づいて行った等価の変更や修正は、全てが本発明の特許請求の範囲内に含まれる。

構造概念図 ソフトウエア安全解析の分類概念図 評価ポインターレベルの概念図 基本評価ポインターの数値概念図 第１の実施例の個別評価の概念図 第１の実施例の組み合わせ評価の概念図 第２の実施例の個別評価の概念図 第２の実施例の組み合わせ評価の概念図 第３の実施例の個別評価の概念図 第３の実施例の組み合わせ評価の概念図

符号の説明

１１ 動的解析ユニット
１２ 完全性ユニット
１３ 到達可能性ユニット
１４ 詳細性ユニット
１５ 信号／ノイズ比ユニット
１６ 複雑度ユニット
１７ 具現コストユニット
２１ 先行のハザード解析システム
２２ 事故モードと効果解析システム
２３ 故障木解析システム
２３ａ 故障木解析システム
２３ｂ 故障木解析システム
２４ マルコフ連鎖モデリングシステム
２４ａ マルコフ連鎖モデリングシステム
２４ｂ マルコフ連鎖モデリングシステム
２５ 動的流れ図方法論システム
２６ シミュレータ基礎モード解析システム
３ 評価ポインター

Claims (6)

1. 時間に関する解析を実行する動的解析ユニットと、完全に重要ソフトウエアの事故状態をカバレージする完全性ユニットと、目標達成の程度を判断する到達可能性ユニットと、事故ケースの詳細程度を解析する詳細性ユニットと、１組のソフトウエア安全解析方法により、利用可能の情報を得るための手続きを判断する信号／ノイズ比ユニットと、該ソフトウエア安全解析方法の複雑程度を実行するための複雑度ユニットと、一つのソフトウエア安全解析方法を実行するためコストの程度を評価する具現コストユニットとが含有されることを特徴とする、ソフトウエア安全解析評価装置。
2. 該ソフトウエア安全解析方法は、先行のハザード解析システム（ＰＨＡ）や事故モードと効果解析システム（ＦＭＥＡ）、故障木解析システム（ＦＴＡ）、マルコフ連鎖モデリングシステム、動的流れ図方法論システム（ＤＦＭ）及びシミュレータ基礎モード解析システムが含まれることを特徴とする、請求項１に記載のソフトウエア安全解析評価装置。
3. 該ソフトウエア安全解析方法は、質的／量的と、アセンブリーを中心とするもの／システムを中心とするもの、に区分されることを特徴とする、請求項１に記載のソフトウエア安全解析評価装置。
4. 該動的解析ユニットと完全性ユニット、到達可能性ユニット、詳細性ユニット、信号／ノイズ比ユニット、複雑度ユニット及び具現コストユニットの評価ポインターは、極低、低、中等、高、及び、極高の五つのレベルがあることを特徴とする、請求項１に記載のソフトウエア安全解析評価装置。
5. 該評価ポインターは、「極低」から「極高」まで、それぞれポジティブな意味で、１〜５の数値が附与されることを特徴とする、請求項４に記載のソフトウエア安全解析評価装置。
6. 該評価ポインターは、「極低」から「極高」まで、それぞれネガティブな意味で、−１〜−５の数値が附与されることを特徴とする、請求項４に記載のソフトウエア安全解析評価装置。