JP2009123110A - ソフトウェア開発支援システム - Google Patents

Abstract

【課題】熟練者と未熟練者とがともに軽負担で共同作業することを可能にし、障害の見落としを防止したソフトウェア開発支援システムを提供する。
【解決手段】組込みシステムのハードウェアを設計した後に、組込みシステムに生じる可能性のある障害と障害を引き起こす原因との因果関係である障害シナリオをハードウェアの構成と要求仕様とに基づいて洗い出す。障害シナリオは、分析マトリクスと情報フローダイヤグラムとの両方を用いて生成する。分析マトリクスと情報フローダイヤグラムとは記憶部１１に格納される。熟練者が分析マトリクスを作成し、分析マトリクスに基づいて未熟練者が情報フローダイヤグラムを作成する。演算処理部１０に設けた分析機能部１０ｃは、情報フローダイヤグラムのボトムアップ分析により障害シナリオを抽出し、分析マトリクスに反映させる。
【選択図】図１

Description

本発明は、組込みシステムのソフトウェアを開発するにあたり、組込みシステムのハードウェアの構成および要求仕様に基づいて、組込みシステムに生じる障害と障害を引き起こす原因とを抽出し、障害と原因との因果関係を障害シナリオとしてソフトウェア開発者に与えることにより、要求仕様には記述されていない障害の発生を防止し、もって組込みシステムのソフトウェアの設計信頼性を高めることを支援するソフトウェア開発支援システムに関するものである。

近年、マイクロコンピュータを組み込んだ機器ないし製品が電化製品等において種々提供されている。この種の組込みシステムでは、機器動作の様々な条件に応じた制御が可能であり、機器の高機能化に貢献している。しかしながら、組込みシステムを動作させるためのソフトウェアは、機器が高機能化するほど複雑になり、その一方で、顧客ニーズの多様化に伴う多品種少量生産や機器のライフサイクルの短縮化に伴って、ソフトウェアの開発期間の短縮を要望する圧力が高まっている。このような事情から、組込みシステムのソフトウェアの品質の維持には多大な労力が必要になっている。

また、組込みシステムでは、不特定のユーザが内蔵したソフトウェアを意識することなく機器ないし製品を使用できることが要求され、また、機器ないし製品の使用環境はユーザによって様々であるから、どのような使用環境であっても、安全性、信頼性、保全性を確保することが期待される。

組込みシステムのソフトウェアを開発するにあたっては、システムが提供すべき機能の情報と、安全基準などにより決まるシステムが回避すべき障害の情報とを含む要求仕様が与えられ、要求仕様に対する要求分析を行うことによって、要求仕様を満たすのに必要なハードウェアおよびソフトウェアが得られる。これらのハードウェアおよびソフトウェアは、要求仕様を満たすための必須要素である。このように要求仕様のみから決まる必須要素を正常系の要素と呼ぶことにする。

組込みシステムに実際に用いるソフトウェアを作成するためのシステム定義のためには、機器ないし製品を使用するユーザによる誤操作、機器ないし製品の使用環境あるいはユーザの誤操作に起因する誤作動などを考慮して、要求仕様から逸脱させる条件についても配慮する必要がある。実際に、組込みシステムに用いるソフトウェアでは、ソースリストの大部分が、安全性、信頼性、保全性を確保するために記述されており、ソースリストの多くの部分は、通信エラー対応機能、ノイズ除去機能、誤操作対応機能、障害回避機能のようなエラー処理のために記述されている。

エラー処理を行うソフトウェアには安全基準などにより決まる正常系の要素も含まれるが、多くは正常系の要素ではない。システム設計を行う前のシステム定義を行うには、組込みシステムの動作を要求仕様から逸脱させる例外条件を分析し、例外条件が生じても要求仕様を逸脱しないための非正常系の要素を正常系の要素とともに抽出することが必要である。

しかしながら、非正常系の要素を抽出するには、ハードウェアに関する知識とシステムの動作環境に関する知識とが必要になるから、一般のソフトウェア開発者にとっては例外条件を見出して分析することは容易ではない。したがって、例外条件の見落としによる設計仕様の不備が、開発見積もりの誤りやソフトウェア設計のやり直しによる開発遅れにつながり、場合によっては、組込みシステムの製品の品質や安全性に問題をもたらす場合もある。

ところで、ソフトウェアの障害を分析するシステムが従来提供されている（たとえば、特許文献１参照）。このシステムはソフトウェアにおいて発生した障害の名称や、障害が発生した環境、症状や対応者が特定した発生原因、登録した日付などを登録し、これら登録した情報を用いて、障害の分析やグラフ化などを自動的に実行し、発生原因の割合の分析を行うものである。

また、商品出荷後におけるフィールド稼働における障害情報の管理を含めてハードウェアの障害を多面的に分析するシステムが提供されている（たとえば、特許文献２参照）。

ここで、特許文献１に示されるシステムはソフトウェアの障害管理を行うシステムであるが、ソフトウェア作成後における障害分析に使用するものであって、ソフトウェアを作成するに当たって障害等の分析を行い作成しようとするソフトウェアの仕様に盛り込むというものではなかった。

また、特許文献２に示されるシステムもフィールド稼働後の障害管理を目的とするものであり、特許文献１と同様にソフトウェアを作成するにあたり、障害等の分析を行い作成しようとするソフトウェアの仕様に盛り込むというものではなかった。

そこで、本発明者らは、ソフトウェア使用マニュアルに記述されているような設計時に予期でき、定義される振る舞いなどの正常系に対して、ハードウェアの故障や異常動作及び劣化、動作環境におけるオーバーロード、誤操作、誤使用、誤動作など正常系の要素から逸脱する非正常系の要素に対応するための仕様の洗い出しを支援することにより、開発対象のソフトウェアの品質改善を図ることができるソフトウェア開発支援システムを提案した（非特許文献１参照）。非正常系の要素に対応するための仕様の洗い出しには、組込みシステムに関わる物理的な構成要素である複数のデバイスをデバイス間で情報を伝達する物理媒体で関係付けるとともにデバイスをノードとしデバイス間の関係を有向リンクとする有向グラフにより表したデバイスダイヤグラムと、デバイスにおいて情報を処理するプロセスの単位ごとに入力情報と出力情報とで関係付けるとともにプロセスをノードとしプロセス間の関係を有向リンクとする有向グラフにより表したプロセスダイヤグラムとを記述した情報フローダイヤグラムを用いている。
特開２０００−２９３１１１号公報 特開２００３−２３３６８６号公報 新屋敷泰史，三瀬敏郎，橋本正明，片峰恵一，鵜林尚靖，中谷多哉子「情報フロー・ダイヤグラムによる組み込みソフトウェア非正常系の要求分析の一手法」；情報処理学会論文誌，ｐｐ２８９４−２９０３，２００７

ところで、上述した非特許文献１に記載された情報フローダイヤグラムは、組込みシステムの物理的な構成要素であるデバイスと、デバイス間の情報を伝達する物理媒体と、各デバイスにおいて情報を処理するプロセスと、プロセスを適用することによる情報の変化（入力情報と出力情報との関係）を記述したものであり、比較的単純な作業によって記述することができる。また、情報フローダイヤグラムを記述すれば、生じる障害と障害を引き起こす原因との因果関係を容易に追跡することができる。したがって、未熟練者であっても情報フローダイヤグラムを記述することができるとともに、情報フローダイヤグラムを用いることにより、障害と原因との因果関係である障害シナリオを作成することができる。ただし、情報フローダイヤグラムの作成には、デバイス、物理媒体（キャリア）、プロセス、入力情報と出力情報などの多くの情報を記述する必要があるから、情報フローダイヤグラムの作成には多くの時間を要する。

一方、障害の分析には分析マトリクスと称する手法も従来から用いられている。分析マトリクスは、ソフトウェアの作成対象である組込みシステムで予測される各種の状態において予測される事象（イベント）が生じたときに組込みシステムで引き起こされる現象をマトリクス（表形式）で表したものであり、視覚的には、状態と事象とをマトリクスの縦横の各項目とし、縦横の欄の交点となる升目の位置に状態と事象との組合せで生じる現象を表記した形式で表される（データ形式としては、配列あるいは表計算ソフトウェアのデータ保存形式を用いる）。

分析マトリクスは、組込みシステムの各種の状態と生じる可能性のある事象とを予測し、さらに状態と事象との組合せに対して引き起こされる事象を予測する必要があるから、情報フローダイヤグラムに比較すると抽象度が高く、未熟練者では作成するのが困難である。ただし、分析マトリクスは、状態と事象と現象との関係をマトリクスで表せばよいから、情報フローダイヤグラムに比較すると記述量が大幅に少なく視認性にも優れている。したがって、熟練者にとっては、分析マトリクスを用いるほうが作業効率が高いと言える。

また、分析マトリクスは、組込みシステムの全体の状態や事象を予測して現象を捉えるから、組込みシステムの現実の使用状態における状態や事象に即して非正常系の要素を洗い出すことができる点で優れているが、状態や事象の抽出にあたっては作業者の経験に依存するから、非正常系の要素を見落とす可能性ある。

一方、情報フローダイヤグラムでは、組込みシステムのデバイスおよびプロセスに関する情報をすべて書き出した上で、現象から原因を追跡するトップダウン分析や原因から現象を追跡するボトムアップ分析を行うことにより非正常系の要素を抽出するから、経験に依存することなく作業を定式化することが可能であり、結果的に非正常系の要素を見落とす可能性を大幅に低減することができる点で優れている。したがって、情報フローダイヤグラムを用いると、非正常系の要素の洗い出しを未熟練者が行えるだけではなく、熟練者にとっても非正常系の要素の新たな発見につながる点で優れていると言える。

このように分析マトリクスと情報フローダイヤグラムとは、それぞれに利便性と欠点とがあるから、相補的に利用することができれば、非正常系の要素の洗い出しにあたって見落としを防止することができる上に、未熟練者には分析マトリクスを経験させることにより熟練度を高める教育的効果をもたらすことができると考えられる。

本発明は上記事由に鑑みて為されたものであり、その目的は、分析マトリクスと情報フローダイヤグラムとの両方を用いて組込みシステムのソフトウェアの作成に必要な障害シナリオを生成することにより、熟練者と未熟練者とがともに軽負担で共同作業することを可能にし、障害の見落としを防止するとともに未熟練者の教育効果も期待できるソフトウェア開発支援システムを提供することにある。

請求項１の発明は、組込みシステムのハードウェアを設計した後に、組込みシステムに生じる可能性のある障害と障害を引き起こす原因との因果関係である障害シナリオをハードウェアの構成と要求仕様とに基づいて洗い出すことにより、組込みシステムのソフトウェアの作成にあたって要求仕様には記述されていないが障害を防止するのに必要な情報をソフトウェア開発者に与えるためのソフトウェア開発支援システムであって、組込みシステムで予測される各種の状態において予測される事象が生じたときに組込みシステムで引き起こされる現象をマトリクスにより表した分析マトリクスを作成するマトリクス作成部と、組込みシステムに関わる物理的な構成要素である複数のデバイスをデバイス間で情報を伝達する物理媒体で関係付けるとともにデバイスをノードとしデバイス間の関係を有向リンクとする有向グラフにより表したデバイスダイヤグラム、およびデバイスにおいて情報を処理するプロセスの単位ごとに入力情報と出力情報とで関係付けるとともにプロセスをノードとしプロセス間の関係を有向リンクとする有向グラフにより表したプロセスダイヤグラムを含み、プロセスダイヤグラムの各プロセスとデバイスダイヤグラムの各デバイスとを関係リンクで結合することによりプロセスを実行するデバイスを関係付ける情報フローダイヤグラムを作成するダイヤグラム作成部と、分析マトリクスにおける状態および事象を少なくともデバイスに関係付けて記憶する記憶領域を有し分析マトリクスおよび情報フローダイヤグラムを記憶する記憶部と、情報フローダイヤグラムのうち分析マトリクスにおける状態と事象とに関係付けた部位を起点として情報フローダイヤグラムを追跡するボトムアップ分析を行うことにより状態と事象との組合せにより引き起こされる現象を抽出する分析機能部とを備え、分析機能部は、抽出した現象を分析マトリクスに追加した後、現象が障害と判断されたときには当該現象に対応する情報フローダイヤグラムのノードを起点にして当該現象が生じる原因を抽出するボトムアップ分析を行うことにより障害の生じる因果関係を障害シナリオとして生成し、生成した障害シナリオを記憶部に格納することを特徴とする。

請求項２の発明では、請求項１の発明において、前記分析機能部は、前記分析マトリクスにおいて現象を追加する項目がなくなると、前記記憶部に格納している障害シナリオを出力することを特徴とする。

請求項１の発明の構成によれば、分析マトリクスと情報フローダイヤグラムとを記述するデータのうち少なくとも分析マトリクスを記述するデバイスを記憶部において共有しているから、熟練者は、ハードウェアの構成および要求仕様に基づいて分析マトリクスを概略記述することにより、非正常系の要素を抽出することができ、一方、未熟練者は、ハードウェアの構成および要求仕様に加えて分析マトリクスのデータを用いて情報フローダイヤグラムを作成することにより、非正常系の要素を抽出することができる。

非正常系の要素を洗い出す全作業を分析マトリクスのみで行うとすれば、熟練者の負荷が非常に大きくなるが、完全な分析マトリクスを作成しなくとも分析マトリクスのデータを利用して情報フローダイヤグラムを作成することができるから、情報フローダイヤグラムを未熟練者に作成させるとともに、情報フローダイヤグラムによる非正常系の要素の洗い出しを未熟練者に行わせることで、熟練者の作業工数は従来よりも少なくなる。また、熟練者は情報フローダイヤグラムの作成作業を未熟練者に行わせながらも情報フローダイヤグラムを用いることができるから、分析マトリクスにおける未完成の部分を情報フローダイヤグラムから得られる知見に基づいて埋めることで、分析マトリクスを完成させることが可能になる。すなわち、要求仕様には記述されていないが障害が生じるのを防止するのに必要な情報を漏れなく抽出することができる。ここで、情報フローダイヤグラムを分析マトリクスと併用することにより、分析マトリクスのみで非正常系の要素を抽出する場合に比較すると、経験に頼る作業を低減することができる上に、非正常系の要素の抽出漏れを抑制することができる。

たとえば、分析マトリクスにおいて状態と事象とを熟練者が入力し、未熟練者が熟練者の指導の下で作成した情報フローダイヤグラムにおけるプロセスダイヤグラムおよびデバイスダイヤグラムの各要素に分析マトリクスの状態と事象との内容を関連付けることにより、分析マトリクスにおける状態と事象との組合せから生じる現象を、情報フローダイヤグラムをボトムアップ分析することにより抽出することが可能なる。情報フローダイヤグラムのボトムアップ分析は定式化されているから、未熟練者であっても作業を行うことができる。情報フローダイヤグラムから得られた現象は分析マトリクスに反映され、分析マトリクスを完成させることができる。つまり、熟練者が不完全な形で作成した分析マトリクスのデータを用いて、未熟練者が熟練者の指導の下で情報フローダイヤグラムを作成するとともに情報フローダイヤグラムのボトムアップ分析による現象の抽出を行い、情報フローダイヤグラムから得られた結果を分析マトリクスに反映させるという作業を繰り返すことによって、非正常系の要素を漏れなく抽出して分析マトリクスを完成させることが可能になる。

また、未熟練者は情報フローダイヤグラムを作成した後に、情報フローダイヤグラムを用いて非正常系の要素を抽出すると、熟練者とともに情報フローダイヤグラムに関連付けて分析マトリクスの作成作業を行うことが可能になるから、未熟練者は熟練者との共動作業によって分析マトリクスを作成するための経験を積むことができ、結果的に未熟練者に対するオンザジョブトレーニングのためのツールとしても役立てることができる。

請求項２の発明の構成によれば、分析マトリクスにおいて現象を追加する項目がなくなると、情報フローダイヤグラムから得られた障害シナリオを出力するから、障害の発生を防止するのに必要な情報を障害と原因との因果関係で表した障害シナリオの形でソフトウェア開発者に提示することにより、ソフトウェア開発者にとってはソフトウェア（プログラム）上で障害が生じるのを防止するのに必要な対策をとるための着眼点が理解しやすくなる。

本発明のソフトウェア開発支援システムは、組込みシステムに用いる組込み計算機（組込み用マイクロコンピュータ）のソフトウェア（プログラム）開発を支援することを目的とするものであり、とくに、組込みシステムが提供すべき機能の情報と、安全基準などにより決まるシステムが回避すべき障害の情報とを含む要求仕様のみから決まる正常系の要素に付加する非正常系の要素の抽出を支援するものである。非正常系の要素は、ユーザの誤操作や動作環境に伴う誤動作に対処するのに必要な要素であり、正常系の要素と非正常系の要素とを合わせることによって、ソフトウェア仕様が決定されるものである。

以下に説明する実施形態では、組込みシステムを構築しているハードウェアが、ユーザによる操作や環境条件により生成される情報に基づいて動作するものとみなしている。すなわち、組込みシステムを構築しているハードウェアが複数個のデバイスを構成要素とし、ユーザの操作や環境条件を検出するデバイス（入力デバイス）で生成された情報に基づいて他のデバイス（出力デバイス）が制御されることにより組込みシステムとして動作するものと考える。デバイス間の情報は、ハードウェアにより生成される情報とソフトウェアにより生成される情報とがある。

組込みシステムの要求仕様とハードウェアの構成とが決まると、分析マトリクスを作成することができる。分析マトリクスは、表１に示すように、組込みシステムが取り得ると予測される様々な状態と、組込みシステムにおいて生じると予測される事象（イベント）とをそれぞれ縦欄と横欄としたマトリクス形式（表形式）で表し、縦欄と横欄とが交差する升目の位置に状態と事象との組合せによって生じると予測される現象を記述したツールである。このツールは、コンピュータで実行可能なプログラムとして提供される。また、マトリクス形式で表すために、後述する記憶部において、配列または表計算ソフトウェアのデータ保存形式で保存される。

一般に、分析マトリクスにおいては、正常系の要素か非正常系の要素かの区別はとくになく、障害の有無が現象として記述される。表１に示す例では、想定した状態において生じる事象によって障害が引き起こされない場合には、現象の欄には「安全」と記述されている。また、状態と事象との組合せにおいて障害が引き起こされる場合には、障害の内容が具体的に記載される。障害については、要求仕様において安全基準などから与えられる障害も含まれる。ただし、この種の障害は要求仕様から与えられるものであるから、正常系の要素としてあらかじめ規定されているものである。

分析マトリクスを用いた作業では、正常系の要素については要求仕様に基づいて状態と事象との組合せに対する現象を記述するが、
非正常系の要素を分析するにあたっては、状態と事象とから現象を抽出するのではなく、障害となる現象を想定し、当該現象を引き起こす状態と事象との組合せを抽出する。このようにして様々な障害について状態と事象との項目が抽出されると、あらためて状態と事象とのすべての組合せについて、生じる可能性のある現象を洗い出すことによって、状態および事象と現象との因果関係を抽出する。すなわち、分析マトリクスを用いる非正常系の表素の抽出作業は、以下の手順になる。
（１）ＨＡＺＯＰ（HAZard and OPerability studies）のガイドワードを用い、障害となる現象（非正常系の要素）を抽出
（２）障害の重要度を検討
（３）障害を引き起こす状態と事象との組を抽出
（４）（３）において新たに抽出した状態と事象とから、非正常系の分析マトリクスを作成
（１）で用いるガイドワードは、表２、表３のように、生じる可能性のある障害の発見を促すヒントとなる語彙の集合であり、分析マトリクスを表示しているコンピュータの画面上に提示される。分析マトリクスを作成する作業者は、これらの語彙から頭脳が受ける刺激により引き起こされる可能性のある障害を想定する。

上述の作業手順から明らかなように、分析マトリクスを用いることにより、非正常系の要素である障害を分析マトリクスにおける現象として扱い、その障害を引き起こす原因を分析マトリクスにおける状態と事象との要素に分けるように誘導する。つまり、障害の原因について組込みシステムの状態と事象という形に還元させ、障害と原因との因果関係を抽出するための支援を行うことができる。しかも、分析マトリクスにおいて状態と事象とを新たに創出することで、想定していなかった新たな障害の発見につながる。

ただし、発見的作業が多く作業者の経験に基づく直観力が要求されるから、作業者の経験や体調などの要因による結果のばらつきが生じやすく、分析マトリクスのみを用いて組込みシステムにおいて引き起こされる可能性のある障害を漏れなく抽出することは困難である。もっとも、分析マトリクスは、記述量が比較的少なく、またどのような障害が、どのような状態および事象によって引き起こされるかが一見して理解できるから分析効率においては優れていると言える。

ところで、組込みシステムのシステム要求では、製品を構成するハードウェア（デバイス）と、ハードウェアの動作を制御する組込み計算機のソフトウェアとによる機能面のシステム要求だけではなく、構成要素間の依存性の検討が重要であることが指摘されている。

たとえば、入力デバイスから出力デバイスに与えられる情報が、想定していないパターンやタイミングで発生したときに、出力デバイスでは情報を誤って解釈し、情報により要求された動作とは異なる動作で出力デバイスが制御される可能性がある。

各構成要素の単位で捉えると、この種の誤動作は、各構成要素での情報の入力→情報の変換→情報の出力という３過程において、情報に誤りが生じることによって生じると考えることができる。すなわち、システムの誤動作の原因は、構成要素の間で情報が誤って伝達ないし処理されることであると考えられる。組込みシステムで生じる障害も誤動作により引き起こされるものとみなせば、障害もまた情報が誤って伝達ないし処理されることによって引き起こされると捉えることができる。

上述したように、構成要素間の依存性に起因して、言い換えると構成要素間の情報の伝達に起因して、情報の伝達に誤りが生じ、情報の伝達の誤りによって誤動作や障害が生じると言える。このように障害の発生は、情報伝達に関する因果関係の連鎖として示すことができる。以下では、このように障害を発生させる情報伝達の因果関係の連鎖を、「障害シナリオ」と呼ぶ。

情報伝達の因果関係は、ハードウェアについては、デバイスをノードとし、デバイスの間で情報を伝達する物理媒体（以下、「キャリア」という）を有向リンクとする形の有向グラフとして表現することができる。また、ソフトウェアによる処理やデバイスでの情報の変換は、情報の変換（すなわち、「プロセス」）をノードに持ち、情報の流れを示す有向リンクを持つ形の有向グラフとして表現することができる。このように表現した有向グラフを、情報フローダイヤグラムと呼ぶ。情報フローダイヤグラムは、デバイスをノードに持つデバイスダイヤグラムＤＤと、プロセスをノードに持つプロセスダイヤグラムＰＤとで構成される（図２参照）。

キャリアは情報を伝達する物理媒体であり、デバイスの用いる媒体が電気である場合には、電圧、電流、周波数などの媒体におけるパラメータの種類を意味し、デバイスの用いる媒体が電気以外の場合には、熱、光、摩擦力などの物理量の種類を意味する。もちろん、電気以外の媒体でも単位を持つ諸量（温度、光の強度や光量）をキャリアに用いることができる。

プロセスダイヤグラムＰＤは、構成要素の機能をアクティビティという単位で体系付けた機能モデルであって、ＩＤＥＦ０という機能モデリング手法に準じて記述される。各アクティビティは、入力された情報を「機構」（メカニズム）と呼ばれる変換規則により変換して情報を出力するものである。入力された情報を機構により処理する際の条件を「制約」（コントロール）と呼ぶ。つまり、プロセスダイヤグラムＰＤの各アクティビティは、入力された情報を、制約の下で機構を適用して出力の情報に変換するものであり、入力される情報と出力される情報とが有向リンクによって表される。本実施形態のプロセスダイヤグラムＰＤは、ＩＤＥＦ０に準じてはいるが、プロセスを表すものであるから、プロセスダイヤグラムＰＤの各ノードはアクティビティではなくプロセスになる。デバイスダイヤグラムＤＤのデバイスは、組込みシステムを構成しているデバイスのほか、組込みシステムを利用するユーザや外的環境も含めるようにする。

情報フローダイヤグラムを用いる非正常系の要素の抽出作業は、以下の手順になる。
（１）要求仕様に基づく正常系の要素の記述
（２）ＨＡＺＯＰのガイドワードを用い、非正常系となる現象を想定して追記
（３）情報フローダイヤグラムにおける因果関係の追跡による例外条件の抽出
（４）障害と原因との因果関係としての障害シナリオの抽出
（２）で用いるガイドワードは分析マトリクスにおいて現象を抽出するのに用いたガイドワードと同様のものである。情報フローダイヤグラムを用いることにより、障害と原因との因果関係を追跡可能になる。したがって、障害と原因との因果関係を、情報フローダイヤグラムの要素（デバイスやプロセス）を用いて障害シナリオとして記述することができる。ただし、情報フローダイヤグラムを記述するには、デバイス、キャリア、プロセス、情報フローなど多くの情報が必要になり、分析マトリクスに比較すると記述量も大幅に増加する。

以上の説明により、デバイス、プロセス、キャリア、機構、制約、障害シナリオ、分析マトリクス、情報フローダイヤグラム、デバイスダイヤグラムＤＤ、プロセスダイヤグラムＰＤ、正常系の要素、非正常系の要素の概念を簡単に説明したが、これらの具体的な内容については、以下の実施形態の説明においてさらに明確にする。

以下の実施形態では、主として上述した障害シナリオの抽出を支援することを目的として、コンピュータを用いた作業を行うことについて説明する。また、組込みシステムについて、要求仕様とハードウェアの構成とはすでに与えられているものとする。

障害シナリオを抽出する作業にあたっては、組込みシステムの要求仕様とハードウェアの構成とに基づいて、コンピュータの画面上で分析マトリクスと情報フローダイヤグラムとを作成する。分析マトリクスと情報フローダイヤグラムとは１画面に同時に表示したり、別画面にそれぞれ表示したりすることができる。また、１画面上で切り換えて表示することも可能である。デバイスダイヤグラムＤＤとプロセスダイヤグラムＰＤとは１画面上に表示され、デバイスダイヤグラムＤＤとプロセスダイヤグラムＰＤとの間でノード間を連結する有向リンクを設定することにより、デバイスとプロセスとの間の情報の流れが示される。

上述した分析マトリクスおよび情報フローダイヤグラムを用いて障害シナリオを作成する際に用いるソフトウェア開発支援システムは、図１に示すように、マイクロプロセッサからなる演算処理部１０と、演算処理部１０を動作させるプログラム、分析マトリクス、情報フローダイヤグラムなどが格納される記憶部１１と、ユーザインターフェイス部（以下、「ユーザＩ／Ｆ部」と略称）１２とを備えるコンピュータシステムにより構成される。

記憶部１１は、分析マトリクスと情報フローダイヤグラムとが共用する情報を格納する領域（以下、「共用領域」と呼ぶ）、上述したガイドワードを記憶する領域なども備える。ユーザＩ／Ｆ部１２は、キーボードやポインティングデバイス、あるいは他装置からのデータを読み込む装置（外部装置接続用のインターフェイスや光学ディスク装置）からなる入力手段１２ａと、モニタ装置からなる出力手段１２ｂとを備える。

演算処理部１０は、記憶部１１に格納された分析マトリクスと情報フローダイヤグラムとを用いて障害シナリオを生成する。すなわち、演算処理部１０は、ソフトウェア開発支援システムのユーザが入力手段１２ａを用いて入力したデータに基づいて表１に示すような分析マトリクスを作成するためのマトリクス作成部１０ａと、ユーザが入力手段１２ａを用いて入力したデータに基づいて図２に示すような情報フローダイヤグラムを作成するためのダイヤグラム作成部１０ｂと、出力手段１２ｂであるモニタ装置に表示される分析マトリクスと情報フローダイヤグラムとを用い入力手段１２ａで必要なデータを入力する対話型の処理によって障害シナリオを抽出する分析機能部１０ｃとを有している。

マトリクス作成部１０ａは、分析マトリクスを構成するマトリクスへのテキストデータの入力や編集を可能にする。また、ダイヤグラム作成部１０ｂは、ソフトウェア開発支援システムのユーザが情報フローダイヤグラムを作成するのに必要な編集機能を備え、情報フローダイヤグラムを構成するノードおよび有向リンクのシンボルや他のシンボルの入力や編集を可能にし、また必要なテキストデータの入力や編集を可能にする。ここに、編集とは修正や削除や位置の移動の作業を意味する。マトリクス作成部１０ａではモニタ装置である出力手段１２ｂの画面にマトリクス作成画面を表示し、ダイヤグラム作成部１０ｂでは、モニタ装置である出力手段１２ｂの画面にダイアグラム作成画面を表示する。マトリクス作成画面とダイヤグラム作成画面とでは、ポインティングデバイスやキーボードなどの入力手段１２ａを用いて分析マトリクスあるいは情報フローダイヤグラムの所要データをユーザが入力することで、分析マトリクスあるいは情報フローダイヤグラムを作成するとともに必要な編集を施すことが可能になっている。

情報フローダイヤグラムは、上述したように、デバイスダイヤグラムＤＤとプロセスダイヤグラムＰＤとを備える。デバイスダイヤグラムＤＤにおいて、各デバイスは矩形のシンボルを用いて表され、各デバイスのシンボルには上下３段の欄を設けている。各欄には、それぞれデバイスの名称、デバイスの属性、デバイスで生じる可能性のある故障パターンが記述される。デバイスのシンボルに書き込むテキストデータは、記憶部１１に設けたデバイステーブル（図示せず）およびキャリアテーブル（図示せず）を参照して入力される。デバイスの属性は、デバイスに関連するキャリア（入力キャリア、出力キャリア）のうちで、分析機能部１０ｃによる障害シナリオの推論に必要となるキャリアの「属性」が用いられる。また、故障パターンは、デバイステーブルにおける各デバイスに対応する「故障パターン」が用いられる。

デバイステーブルは、「デバイス」の種類、デバイスに関する「入力キャリア」と「出力キャリア」、各デバイスに関する故障について類型化した「故障パターン」と、故障パターンによる「故障の現象」と、その現象による「影響」との６つ組を登録したテーブルである。「故障パターン」は、「故障の現象」を生じさせた原因に相当し、「影響」は「故障の現象」により生じる障害に関するデータが含まれる。「デバイス」「入力キャリア」「出力キャリア」は要求仕様から抽出されるが、「故障パターン」「故障の現象」「影響」は、組込みシステムを開発している熟練者へのインタビューや、過去に生じた故障事例のドキュメントなどにより獲得される。「故障パターン」「故障の現象」「影響」に関する知識は、特定の組込みシステムに関する知識のみではなく、他の組込みシステムに関する知識も流用されることがある。

このような類型化した知識（上述した６つ組）は、特定の組込みシステムに対して用いるだけではなく、デバイスごとに単独で用いることが可能であり、他の組込みシステムを構築する際にはデバイス単位で他の組込みシステムの設計を支援する知識として採用することができる。したがって、特定の組込みシステムと同じデバイスを用いる他の組込みシステムがあれば、他の組込みシステムを設計するにあたって、特定の組込みシステムに関する知識を利用することが可能である。

ユーザは、デバイスを表すシンボルを画面上に配置し、各シンボルにテキストデータを与えた後に、各デバイス間の物理的な結合関係を示すために、関連するデバイスを表すシンボルの間を矢印状の有向リンクを用いて結合する。有向リンクの向きは、デバイス間の情報の流れの向きとする。また、デバイス間で情報を伝達するキャリアは菱形のシンボルを用いて表す。キャリアを示す各シンボルには、キャリアの名称を付記し、さらにキャリアの属性（性質）を付記する。

一方、プロセスダイヤグラムＰＤにおける各プロセスは、デバイスダイヤグラムＤＤにおける各デバイスと同様に矩形のシンボルを用いて表される。シンボルの中にはプロセスの機能がテキストデータとして記述される。プロセスを表すシンボルに書き込むテキストデータは、デバイステーブルおよびキャリアテーブルを参照して入力される。また、プロセスに入力される情報と出力される情報とが必要に応じて矢印状の有向リンクを用いて表され、デバイスダイヤグラムの各デバイスとの間は、各デバイスの処理を機構とする矢印状の関係リンクで連結される。

分析マトリクスと情報フローダイヤグラムとを用いて障害シナリオを抽出する作業は、熟練者と未熟練者とが共動作業を行いつつ作業分担を行うことにより進行する。図３は、熟練者と未熟練者とが分担して行う作業内容と作業手順とを簡単に示したものである。

要求仕様とハードウェアの構成とが与えられると、熟練者は、分析マトリクスに正常系の状態と事象とを記述する（Ｐ１）。熟練者は、分析マトリクスに正常系の状態と事象とを記述した後に、情報フローダイヤグラムの記述に関して未熟練者に指示を行う（Ｐ２）。未熟練者は熟練者の指示を受け熟練者の指導の下で情報フローダイヤグラムを作成する（Ｐ３）。

上述したようにデバイスダイヤグラムＤＤにはデバイスの属性やキャリアが含まれ、プロセスダイヤグラムＰＤにはプロセスや入出力の情報とが含まれるから、分析マトリクスにおける状態や事象に含まれるデバイスに関する記述内容を、デバイスダイヤグラムＤＤやプロセスダイヤグラムＰＤに関係付けるのは容易である。この作業を容易にするために、分析マトリクスでは、状態や事象の記述をデバイスやプロセスの単位として記述することが望ましく、この形で記述した情報を記憶部１１の共用領域に格納するのが望ましい。

段階Ｐ１における分析マトリクスの記述時には、マトリクス作成部１０ａを起動し、要求仕様とハードウェアの構成とから予測される正常系の要素として状態および事象を分析マトリクスに記入する。ここで、分析マトリクスに記述した状態および事象のうち、情報フローダイヤグラムを構成する要素（デバイス、プロセス、キャリアなど）に関連する情報を記憶部１１に設けた共用領域にも登録する。

未熟練者が情報フローダイヤグラムを作成した後に、熟練者は分析マトリクスではなく現象と事象とを組み合わせることに着目し、情報フローダイヤグラムの構成要素（デバイス、プロセス、キャリアなど）に対してガイドワードを適用し（Ｐ４）、非正常系の現象を抽出する（Ｐ５）。段階Ｐ５で抽出された非正常系の現象については、熟練者が重要度を検討し（Ｐ６）、重要度に応じて非正常系の現象に関する分析を進める。また、段階Ｐ５で抽出された非正常系の現象は、熟練者の指導の下で、未熟練者が情報フローダイヤグラム上に記述する（Ｐ７）。情報フローダイヤグラムに記述する非正常系の現象は重要度はとくに考慮しない。ここまでの段階で、非正常系の現象が情報フローダイヤグラムに記述され、未熟練者であっても情報フローダイヤグラムを用いた障害シナリオの抽出が可能になる。

一方、熟練者は、段階Ｐ５で抽出した非正常系の現象から予測される状態と事象とを定義し（Ｐ８）、定義した状態と事象とを段階Ｐ１で作成した分析マトリクスに追加して記入する（Ｐ９）。非正常系の現象から予測される状態と事象とを分析マトリクスに追加した後に、追加した状態および事象を含めて状態と事象との組合せから、他に非正常系の現象が生じるか否かを検討する（Ｐ１０）。

段階Ｐ１０では、分析マトリクスにおいて組込みシステムの特定の状態において事象が生じた場合を原因として、障害となる事象が発生するか否かを検討することができ、障害と原因との因果関係からなる障害シナリオを分析マトリクスに基づいて抽出することができる（Ｐ１１）。一方、情報フローダイヤグラムでは、段階Ｐ７において非正常系の現象が与えられることにより、非正常系の現象からボトムアップ分析により原因を追跡することができる（Ｐ１２）。未熟練者は、情報フローダイヤグラムを用いてボトムアップ分析を行うことにより障害と原因との因果関係からなる障害シナリオを抽出することができる（Ｐ１４）。

また、熟練者は、段階Ｐ１１において段階Ｐ１０で得られた分析マトリクスから障害シナリオを抽出するだけではなく、未熟練者が情報フローダイヤグラムを用いてボトムアップ分析により抽出した障害と原因との因果関係も考慮して障害シナリオを抽出する。抽出された障害シナリオによって、分析マトリクスに新たに状態と事象との記述が必要になるときには（Ｐ１３）、段階Ｐ８に戻って分析マトリクスをさらに拡張する（Ｐ９）。

分析マトリクスの拡張が必要か否かの判断は、熟練者が、分析マトリクスおよび情報フローダイヤグラムに基づいて判断する。分析マトリクスにおいて現象を記述する升目に空きがあるときには拡張を要する可能性があり、また、情報フローダイヤグラムにおいてボトムアップ分析で通っていない有向リンクが存在しているときには拡張を要する可能性がある。これらの点を考慮し、分析マトリクスの拡張を行うか否かを熟練者が判断する。

上述の作業を繰り返すことにより熟練者の扱う分析マトリクスに追加する情報がなくなると（Ｐ１３）、熟練者は、考慮する必要のある障害シナリオが出尽くしたと判断して、分析マトリクスから得られた障害シナリオを情報フローダイヤグラムに反映させ、最終的には情報フローダイヤグラムの上での傷害シナリオに統合する（Ｐ１４）。分析マトリクスに記述された情報（状態および事象と現象との因果関係）は、記憶部１１の共有領域を通して情報フローダイヤグラムに引き渡される。したがって、未熟練者は、熟練者が作成した分析マトリクスから共有領域を通して得た情報を用いて、情報フローダイヤグラムに非正常系の現象に関する障害シナリオを記述することができる。

このように、情報フローダイヤグラムと分析マトリクスとを併用することにより、一方のツールのみでは気付かなかった新たな非正常系の現象を発見することが可能になる。

以下では、具体的事例を用いて実施形態を説明する。本実施形態では、組込みシステムとして、湯沸かしポットを例に示す。この湯沸かしポットは、組込みシステムを構成するデバイスとして、水が投入される容器と水の投入口を開閉する蓋体とを備えるポット筐体と、容器に投入された水の水位を検出する水位センサと、容器に投入された水を加熱するヒータと、蓋体の開閉を検出する蓋センサと、容器内の湯温を検出するサーミスタと、容器から湯を汲み出す給湯ポンプと、水位センサ、蓋センサ、サーミスタなどからの情報に基づいてヒータ、給湯ポンプなどを制御するマイクロコンピュータ（以下、「マイコン」と略称する）と、マイコンに指示を与えるスイッチおよび表示器を備えるパネルとを備える。また、これらのデバイスに対するユーザや外的環境としては、操作する人と、容器に投入される水もデバイスに含まれる。水位センサは、たとえば、水切れ検出と満水検出との２段階と中間の３段階とを併せて５段階の水位が検出可能になっている。

図３を用いて説明したように、要求仕様とハードウェアの構成とが与えられると、まず熟練者により分析マトリクスが作成される。湯沸かしポットでは、正常な動作として次の動作が要求される。すなわち、湯沸かしポットのユーザは、ポット筐体の容器に水を注ぎ入れ、パネルの沸騰ボタンを押すと、組込みシステム（湯沸かしポット）では容器内の水を沸騰させ、沸騰後にカルキ抜きを行い、カルキ抜きの後には容器内の湯を保温する。この状態において、ユーザがパネルの給湯ボタンを押すと、湯沸かしポットでは給湯ポンプを駆動して給湯を行う。ただし、蓋が開いているときには水の加熱は行わない。この動作は要求仕様およびハードウェアの構成により要求される必須の動作である。

そこで、熟練者は、上述の動作を考慮して湯沸かしポットについて正常系の状態および事象を分析マトリクスに記述する。このようにして作成される分析マトリクスの一例を表１に示している。表１に示すように、正常系の状態には、「ポットが空である」や「ポットが満水である」などがあり、正常系の事象には、「人が水をそそぐ」や「マイコンがヒータをオンにする」などがある。これは、要求される正常な動作から抽出される状態および事象である。分析マトリクスに状態および事象を記述した後には、未熟練者が熟練者の指示を受け、要求仕様およびハードウェアの構成に分析マトリクスに記述された情報を併用することにより、正常系の情報フローダイヤグラムを記述する。このようにして作成された情報フローダイヤグラムの例が図２に示したものである。なお、図２は正常系の情報フローダイヤグラムに障害としての現象を追記したものであり、障害シナリオを含んでいる。

この情報フローダイヤグラムに対して、「操作者」の「誤操作」というガイドワードを採用すると、「不用意にポットに触れる」という非正常系の現象を抽出することができる。湯沸かしポットではヒータによる加熱を伴うから、仮に異常によりポット筐体が過加熱になるとポット筐体に触れた人が火傷を負うことになる。また、「水」と「水位センサ」間の情報フローに対して、「意味」の「相互が一致しない」というガイドワードを採用すると、「水位センサが検出した情報と実際の水位が一致しない」という非正常系の現象を抽出することができる。このようにして未熟練者は、熟練者によって想定された非正常系の現象を情報フローダイヤグラムに追加することができる（図３に示した段階Ｐ５，Ｐ７参照）。

いま、上述の例のように、非正常系の現象が表４、表５のように抽出されたものとし、表５における非正常系の現象（障害）について原因を解析する場合を例として説明する。この解析にはＦＴＡ（Fault Tree Analysis）の手法を用いる。すなわち、非正常系の現象に影響する原因などを論理記号とともに樹形で表したＦＴ図を作成する。ＦＴ図の例を図４に示す。

図４では「水位センサが検出した情報と実際の水位が一致しない」という現象は、「水位センサが正しい水位を認識できない」場合、あるいは「水位セン情報は正しいがマイコンが正しく解釈できない」場合であるとして示している。また、各場合の原因を「ポット筐体が傾く」「水位センサが故障」、「マイコンが不意にリセットを行う」と考えている。このように非正常系の現象と原因との因果関係が、障害シナリオの一部（障害シナリオ断片）になる。ここで発見された事象は、非正常系の事象として分析マトリクスに追加される。

表１に示した分析マトリクスは、非正常形の状態や事象を加味した分析マトリクスの例であって、表１において、状態（１）（２）と事象（１）（２）とは正常系の状態と事象とである。状態（２）においてＦＴＡによる原因解析を行うことにより、事象（３）の「水位センサが故障した」という非正常系の事象を抽出することができる。非正常系の事象（３）と正常系の状態（１）（２）とを組合せると、「水切れの判断が不能となる」という新たな非正常系の現象が発見される。同様にして、状態（２）と状態（３）「ヒータが作動中」との論理積の状態と事象（３）とを組み合わせると、「水切れの判断が不能なため、空焚きの危険性がある」という新たな非正常形の現象が発見される。

上述の例のように、定義済みの状態や事象と未定義の状態や事象とを組合わせることにより、分析マトリクスを拡張すると、新たな非正常系の現象を発見することができる。また、表Ｒにおいて、状態（２）（３）の論理積の状態と事象（２）との組合せにより、「ポット内の水が空であるにも関わらずヒータを作動したため、発熱（発火）するおそれがある」という障害シナリオを得ることができる。その際、事象（４）「人が不要にポットに触れる」が生じた場合、「人がポットによって火傷する」という非正常系の現象を発見することができる。すなわち、「ポット内の水が空であるにも関わらず、ヒータが作動するため、ポットが発熱し人に火傷をおわせる」という障害シナリオが得られる。

このようにして熟練者が分析マトリクスを用いて発見した障害シナリオは、表１に示した分析マトリクスに基づいて、情報フローダイヤグラムに記述される。情報フローダイヤグラムへの記述は、熟練者の指導の下で未熟練者が行う。このとき、記憶部１１の共有領域に格納されている分析マトリクスの情報を用い、情報フローダイヤグラムに必要な情報を記述する。つまり、未熟練者は、表Ｒに示した分析マトリクスで得られた障害シナリオを情報フローダイヤグラムに記述する。上述の例では、分析マトリクスにおいて「ポット内の水が空であるにもかかわらず、ヒータが作動するため、ポットが発熱し人に火傷をおわせる」という障害シナリオが得られていたので、情報フローダイヤグラムでは、図２における（１）（２）（３）……の流れが障害シナリオになる。

分析マトリクスを情報フローダイヤグラムに関係付ける別の例を図５に示す。分析マトリクスにおいて、「水が少ない」という状態が記述されているとすれば、情報フローダイヤグラムにおいて、水というデバイスの属性である水量に着目したときに、「水量：少量」を意味しているから、記憶部１１の共有領域に、この形式で記述しておけば、分析マトリクスの状態をデバイスダイヤグラムＤＤのデバイスに容易に関係付けることができる。同様にして、分析マトリクスにおいて、「ポットを傾ける」という事象が記述されているとすれば、プロセスダイヤグラムＰＤのプロセスとして「液体の支持」という項目を設けておき、このプロセスに対して「ポットを傾ける」という事象を入力情報として与えることにより、分析マトリクスに記述された事象を情報フローダイヤグラムの記述に用いることができる。

同様の例を図６に示す。図６は分析マトリクスにおける現象を情報フローダイヤグラムに関係付ける例であって、分析マトリクスにおける現象として「ヒータが起動する」があり、この現象が、「水が少ない」という状態と「ポットを傾ける」という事象との組合せに対して引き起こされる現象である例を示している。したがって、この現象は、「水が少ない」「ポットが傾いている」「ヒータ作動中」という情報を含んでおり、「水量：少量」「ポット筐体：向き：傾いている」「ヒータ：オン」という形式で記憶部１１の共有領域に情報を記述すれば、デバイスダイヤグラムの「水」と「ポット筐体」、プロセスダイヤグラムの「ヒータＯＮ」にそれぞれ対応付けることが可能になる。

これらの例は一例であって、分析マトリクスの状態、事象、現象は情報フローダイヤグラムの各要素に適宜に関係付けることが可能である。また、情報フローダイヤグラムにおいて障害シナリオの少なくとも一部が得られていれば、障害シナリオを原因と障害とに分けることにより、分析マトリクスの状態、事象、現象などに対応付けることが可能である。

実施形態を示すブロック図である。 同上の適用事例での情報フローダイヤグラムの例を示す図である。 同上の作業手順を示す図である。 同上においてＦＴＡの適用例を示す図である。 同上において分析マトリクスと情報フローダイヤグラムとの関連付けの例を示す図である。 同上において分析マトリクスと情報フローダイヤグラムとの関連付けの例を示す図である。

符号の説明

１０ 演算処理部
１０ａ マトリクス作成部
１０ｂ ダイヤグラム作成部
１０ｃ 分析機能部
１１ 記憶部
１２ ユーザＩ／Ｆ部
１２ａ 入力手段
１２ｂ 出力手段
ＤＤ デバイスダイヤグラム
ＰＤ プロセスダイヤグラム

Claims (2)

1. 組込みシステムのハードウェアを設計した後に、組込みシステムに生じる可能性のある障害と障害を引き起こす原因との因果関係である障害シナリオをハードウェアの構成と要求仕様とに基づいて洗い出すことにより、組込みシステムのソフトウェアの作成にあたって要求仕様には記述されていないが障害を防止するのに必要な情報をソフトウェア開発者に与えるためのソフトウェア開発支援システムであって、組込みシステムで予測される各種の状態において予測される事象が生じたときに組込みシステムで引き起こされる現象をマトリクスにより表した分析マトリクスを作成するマトリクス作成部と、組込みシステムに関わる物理的な構成要素である複数のデバイスをデバイス間で情報を伝達する物理媒体で関係付けるとともにデバイスをノードとしデバイス間の関係を有向リンクとする有向グラフにより表したデバイスダイヤグラム、およびデバイスにおいて情報を処理するプロセスの単位ごとに入力情報と出力情報とで関係付けるとともにプロセスをノードとしプロセス間の関係を有向リンクとする有向グラフにより表したプロセスダイヤグラムを含み、プロセスダイヤグラムの各プロセスとデバイスダイヤグラムの各デバイスとを関係リンクで結合することによりプロセスを実行するデバイスを関係付ける情報フローダイヤグラムを作成するダイヤグラム作成部と、分析マトリクスにおける状態および事象を少なくともデバイスに関係付けて記憶する記憶領域を有し分析マトリクスおよび情報フローダイヤグラムを記憶する記憶部と、情報フローダイヤグラムのうち分析マトリクスにおける状態と事象とに関係付けた部位を起点として情報フローダイヤグラムを追跡するボトムアップ分析を行うことにより状態と事象との組合せにより引き起こされる現象を抽出する分析機能部とを備え、分析機能部は、抽出した現象を分析マトリクスに追加した後、現象が障害と判断されたときには当該現象に対応する情報フローダイヤグラムのノードを起点にして当該現象が生じる原因を抽出するボトムアップ分析を行うことにより障害の生じる因果関係を障害シナリオとして生成し、生成した障害シナリオを記憶部に格納することを特徴とするソフトウェア開発支援システム。
2. 前記分析機能部は、前記分析マトリクスにおいて現象を追加する項目がなくなると、前記記憶部に格納している障害シナリオを出力することを特徴とする請求項１記載のソフトウェア開発支援システム。

Images