JP2013015977A - 安全度水準評価支援装置 - Google Patents

Abstract

【課題】安全関連システムの安全度水準をシミュレーションして、目標とする安全度水準をより効率的に達成することが可能な安全度水準評価支援装置を提供することを目的とする。
【解決手段】安全度水準評価支援装置２は、設計パラメータを記憶する記憶部４０と、解析値を集計し全体システム１のＳＩＬを算出する演算部５０と、設計パラメータと全体システム１のＳＩＬとを表示する表示部６０と、設計パラメータの補正値を受け付ける補正部７０と、を備え、補正部７０により設計パラメータの補正値が入力されると、演算部が当該補正値に基づいて全体システム１における解析値を集計し、当該解析値に基づいて全体システム１のＳＩＬを再び算出し、設計パラメータを当該補正値に変更した場合の全体システム１のＳＩＬをシミュレーションして表示部６０に表示する。
【選択図】図３

Description

本発明は、機能安全に基づく安全関連システムの安全度水準をシミュレーションすることにより、当該システムにおける安全度水準の評価を支援する安全度水準評価支援装置に関するものである。

近年の生活環境では、種々の分野における装置やシステムの高度化、複雑化、巨大化に伴い、装置の部品故障や人為的な誤操作などに起因する事故が生じることがある。これを防止するために、構成部品やソフトウェアなどの品質を向上させて、危害要因を除去するという本質安全の概念がある。しかしながら、構成部品などの高品質化にはコスト増大が伴う上に、全ての危害要因を除去することは困難とされている。そこで、装置やシステムに故障が発生しても機器の安全性を確保できるような機能を実装しておくという機能安全（Functional Safety）の概念がある。

このような機能安全に基づく安全関連システム（Safety Related System)は、国際電気標準会議（IEC）が制定した国際規格ＩＥＣ６１５０８により規格化されている。この国際規格によると、安全関連システムは、安全性の指標である安全度水準（ＳＩＬ（Safety Integrity Level））によって４段階（ＳＩＬ１〜ＳＩＬ４）の何れかに区分される。例えば、電気／電子／プログラマブル電子系（Electric/Electronic/Programmable Electronic System）の装置（以下、「Ｅ／Ｅ／ＰＥＳ装置」と称する）における安全関連システムは、ＳＩＬ２またはＳＩＬ３を達成することが求められている。この安全関連システムは、所定機能を割り当てられた複数のサブシステムを統合して全体システムを構成されている。また、サブシステムは、所定機能を発揮するために必要な構成品および部品の組み合わせである機器などにより形成される。

上記のＥ／Ｅ／ＰＥＳ装置の安全度水準は、サブシステムや機器の故障率、故障の平均修復時間、自己診断率、耐久試験間隔（プルーフテスト間隔）などに基づいて、例えば、ＦＭＥＤＡ（Failure Modes Effects and Diagnostic Analysis）による故障解析を行うことで算出することができる。このような安全度水準の算出方法として、例えば、特許文献１には、安全関連システムに係る設計パラメータに基づいて安全度水準を算出し、目標とする安全度水準と比較するものが開示されている。また、非特許文献１には、安全関連システムに対する各サブシステム、またはサブシステムに対する各機器についてＦＭＥＤＡによる故障解析を実施し、安全関連システムまたはサブシステムの安全度水準を算出するものが開示されている。

特開２００４−３４１８１４号公報

株式会社機能安全ネットワーク、"IEC 61508による故障確率の計算ソフト 「FS SNavi2」"、［online］、株式会社機能安全ネットワーク、［平成23年6月14日検索］、インターネット〈URL：http://f-s-net.com/fssnavi.php〉

ところで、算出された安全関連システムの安全度水準が目標値に達していない場合には、例えば、ハードウェアにおける回路の冗長化や多様化、自己診断率の向上、部品の高品質化などの補正が考えられる。また、Ｅ／Ｅ／ＰＥＳ装置が高度化などするとサブシステムを形成する機器の部品点数が増大し、全体システムに対する各機器の影響度がそれぞれ異なることがある。そのため、補正対象とするサブシステムまたは機器の選択、および現在の設計パラメータに対する適正な補正量の設定が困難であった。このような理由から、特許文献１または非特許文献１に記載の装置においても、安全度水準の向上を目的として安全関連システムを補正する場合には、例えば設計者の経験などに依拠して補正対象とする機器を選択し補正量を設定していた。そのため、設計パラメータの補正およびＦＭＥＤＡによる故障解析を繰り返すことになり、目標とする安全度水準を達成するのに多くの時間とコストを要していた。

本発明は、上記課題を鑑みてなされたものであり、安全関連システムの安全度水準をシミュレーションして、目標とする安全度水準をより効率的に達成することが可能な安全度水準評価支援装置を提供することを目的とする。

上述した課題を解決するために、請求項１に係る発明によると、安全関連システムの安全度水準評価支援装置であって、前記安全関連システムは、複数のサブシステムを統合して全体システムを構成され、各前記サブシステムは、複数のエレメントにより形成され、前記全体システムの入力部、論理部および出力部の何れかに割り当てられ、前記安全度水準評価支援装置は、前記サブシステムおよび前記エレメントの設計パラメータを記憶する記憶部と、前記設計パラメータに基づいて前記全体システムにおける故障率を含む解析値を集計し、当該解析値に基づいて前記全体システムの安全度水準を算出する演算部と、前記記憶部に記憶された前記設計パラメータのうち少なくとも一部と前記全体システムの安全度水準とを表示する表示部と、前記表示部に表示された前記設計パラメータの補正値を受け付ける補正部と、を備え、前記補正部により前記設計パラメータの補正値が入力されると、前記演算部が当該補正値に基づいて前記全体システムにおける解析値を集計し、当該解析値に基づいて前記全体システムの安全度水準を再び算出し、前記設計パラメータを当該補正値に変更した場合の前記全体システムの安全度水準をシミュレーションして前記表示部に表示する。

請求項２に係る発明によると、請求項１において、前記表示部は、前記全体システムにおける前記解析値のうち少なくとも一部を表示し、前記補正部は、前記表示部に表示された前記解析値の補正値を受け付け、前記補正部により前記解析値の補正値が入力されると、前記演算部が当該補正値に基づいて前記全体システムにおける解析値を集計し、当該解析値に基づいて前記全体システムの安全度水準を再び算出し、前記解析値を当該補正値に変更した場合の前記全体ステムの安全度水準をシミュレーションして前記表示部に表示する。

請求項３に係る発明によると、請求項１または２において、前記演算部が前記全体システムにおける前記解析値に基づいて前記サブシステムの安全度水準をさらに算出し、当該サブシステムの安全度水準を前記表示部に表示する。

請求項４に係る発明によると、請求項１〜３の何れか一項において、前記演算部が前記全体システムにおける前記解析値に基づいて前記エレメントの安全度水準をさらに算出し、当該エレメントの安全度水準を前記表示部に表示する。

請求項５に係る発明によると、請求項１〜４の何れか一項において、前記サブシステムの設計パラメータには当該サブシステムの構成によって定まるアーキテクチャが含まれ、前記補正部は、前記サブシステムにおける前記アーキテクチャの補正値を受け付け、前記補正部により前記サブシステムにおける前記アーキテクチャの補正値が入力されると、前記サブシステムの構成が変更されたものと仮定して、前記演算部が当該補正値に基づいて前記全体システムにおける仮想解析値を集計し、当該仮想解析値に基づいて前記全体システムの仮想安全度水準をさらに算出し、前記アーキテクチャを当該補正値に変更した場合の前記全体システムの仮想安全度水準をシミュレーションして前記表示部に表示する。

請求項６に係る発明によると、請求項１〜５の何れか一項において、前記エレメントの前記設計パラメータには当該エレメントの構成によって定まるアーキテクチャが含まれ、前記補正部は、前記エレメントにおける前記アーキテクチャの補正値を受け付け、前記補正部により前記エレメントにおける前記アーキテクチャの補正値が入力されると、前記エレメントの構成が変更されたものと仮定して、前記演算部が当該補正値に基づいて前記全体システムにおける仮想解析値を集計し、当該仮想解析値に基づいて前記全体システムの仮想安全度水準をさらに算出し、前記アーキテクチャを当該補正値に変更した場合の前記全体システムの仮想安全度水準をシミュレーションして前記表示部に表示する。

請求項７に係る発明によると、請求項５または６において、前記演算部が前記全体システムにおける前記仮想解析値に基づいて前記サブシステムの仮想安全度水準をさらに算出し、当該サブシステムの仮想安全度水準を前記表示部に表示する。

請求項８に係る発明によると、請求項６において、前記演算部が前記全体システムにおける前記仮想解析値に基づいて前記エレメントの仮想安全度水準をさらに算出し、当該エレメントの仮想安全度水準を前記表示部に表示する。

請求項９に係る発明によると、請求項５〜８の何れか一項において、前記演算部は、前記補正部により前記アーキテクチャの補正値が入力された場合に、当該補正値に応じた係数を前記全体システムにおける前記解析値に乗ずることにより、前記全体システムにおける前記仮想解析値を集計する。

請求項１０に係る発明によると、請求項１〜９の何れか一項において、前記演算部は、前記サブシステムに係る前記解析値または前記設計パラメータのうち少なくとも一部について一定量だけ補正した場合の前記全体システムにおける前記解析値を集計し、当該補正の前後における前記解析値を比較することにより、前記全体システムに対する前記サブシステムの寄与度を算出し、前記サブシステムの寄与度を前記表示部に表示する。

請求項１１に係る発明によると、請求項１〜１０の何れか一項において、前記演算部は、前記エレメントに係る前記解析値または前記設計パラメータのうち少なくとも一部について一定量だけ補正した場合の前記全体システムにおける前記解析値を集計し、当該補正の前後における前記解析値を比較することにより、前記全体システムまたは前記サブシステムに対する前記エレメントの寄与度を算出し、前記エレメントの寄与度を前記表示部に表示する。

請求項１２に係る発明によると、請求項１〜１１の何れか一項において、前記補正部は、前記設計パラメータまたは前記解析値について一定量ずつ増加または減少する補正値を連続的に受け付け、前記補正部により前記補正値が連続的に入力されると、前記演算部が当該補正値に基づいて前記全体システムにおける解析値を集計し、当該解析値に基づいて前記全体システムの安全度水準をそれぞれ算出し、前記設計パラメータまたは前記解析値を当該補正値に連続的に変更した場合の前記全体システムの安全度水準をシミュレーションして前記表示部に逐次表示する。

請求項１３に係る発明によると、請求項１〜１２の何れか一項において、前記表示部は、前記演算部による前記全体システムの安全度水準の算出過程において、現在のところ算出されている前記全体システムの安全度水準と、前記演算部が算出過程にあることを表示する。

請求項１に係る発明によると、補正部がサブシステムまたはエレメントの設計パラメータを補正の対象とし、補正値が入力されると全体システムの安全度水準を再び算出する。これにより、全体システムを構成するサブシステムおよびエレメントの何れの設計パラメータに対して補正を行った場合の安全度水準をシミュレーションすることができる。よって、サブシステムからエレメントと段階的な補正が可能となり、全体システムが目標の安全度水準を達成するように設計パラメータを補正することができる。

請求項２に係る発明によると、補正部が全体システムにおける解析値を補正の対象とし、補正値が入力されると全体システムの安全度水準を再び算出する。ここで、「全体システムにおける解析値」とは、サブシステムまたはエレメントの設計パラメータに基づいて、例えばＦＭＥＤＡによる故障解析を行った場合に、全体システム、サブシステム、およびエレメントのそれぞれについて算出される値である。この解析値には、故障率λや安全故障割合ＳＦＦ、低頻度故障率ＰＦＤなどが含まれる。よって、この解析値に対する補正は、当該解析値の算出に使用された複数の設計パラメータについて、まとめて補正したことになる。従って、より効率的に全体システムの安全度水準をシミュレーションすることができる。

請求項３に係る発明によると、演算部は、サブシステムの安全度水準を算出する。サブシステムは、全体システムの入力部、論理部、および出力部の何れかに割り当てられ、全体システムを構成する基本的なコンポーネントグループである。そのため、全体システムの安全度水準を向上させるためには、例えば、サブシステムの耐久試験間隔の短縮やサブシステムの冗長化などの補正が考えられる。そのような場合に、それぞれのサブシステムの安全度水準を確認することにより、サブシステムに対して行った補正がサブシステム単位で有用なものであるかシミュレーションすることができる。これにより、全体システムの目標とする安全度水準をより効率的に達成することができる。

請求項４に係る発明によると、演算部は、エレメントの安全度水準を算出する。エレメントは、サブシステムが所定機能を発揮するために必要な構成品（コンポーネント）および部品の組み合わせである機器である。そのため、全体システムの安全度水準を向上させるためには、例えば、エレメントの安全側故障割合ＳＦＦを向上させる素子への交換や回路構成の変更などの補正が考えられる。そのような場合に、それぞれのエレメントの安全度水準を確認することにより、エレメントに対して行った補正がエレメント単位で有用なものであるかシミュレーションすることができる。これにより、全体システムの目標とする安全度水準をより効率的に達成することができる。

請求項５に係る発明によると、補正部がサブシステムにおけるアーキテクチャを補正の対象とし、補正値が入力されると全体システムにおける仮想解析値を集計する。そして、演算部がこの仮想解析値に基づいて全体システムの仮想安全度水準を算出する。ここで、「アーキテクチャ」とは、安全関連システムにおけるハードウェアの構成であって、安全性を確保するために冗長化、多様化されるものである。アーキテクチャを変更することは、例えば回路の診断率を増加させることで検出できない危険側故障λＤＵを低減することができるので、全体システムの安全度水準を向上させるための補正として有効な手段である。しかし、アーキテクチャの変更は、ハードウェアの設計を変更するものであるため、アーキテクチャを形成するアイテム数が増加する場合にはそのアイテムの設計パラメータを入力する必要がある。

そこで、本発明は、サブシステムにおけるアーキテクチャの補正値が入力されると、サブシステムの構成が変更されたものと仮定して、演算部が全体システムにおける仮想解析値を集計する。この全体システムにおける仮想解析値は、仮想的に構成されたアーキテクチャ変更後のサブシステムの設計パラメータに基づいて算出される。そして、さらに全体システムの仮想安全度水準を算出することにより、サブシステムのアーキテクチャを変更したものとしてシミュレーションすることができる。これにより、そのサブシステムのアーキテクチャの変更が全体システムの安全度水準の向上に有効か否かを判断することができる。従って、全体システムを構成する複数のサブシステムのうち何れのサブシステムのアーキテクチャを変更すれば良いのかを効率的に判断することができる。

請求項６に係る発明によると、補正部がエレメントにおけるアーキテクチャを補正の対象とし、補正値が入力されると全体システムにおける仮想解析値を集計する。そして、演算部がこの仮想解析値に基づいて全体システムの仮想安全度水準を算出する。上述したように、アーキテクチャの変更は、全体システムの安全度水準を向上させるための補正として有効な手段であり、エレメントにおけるアーキテクチャについても同様である。そこで、本発明は、エレメントにおけるアーキテクチャの補正値が入力されると、エレメントの構成が変更されたものと仮定して演算部が全体システムにおける仮想解析値を集計する。この全体システムにおける仮想解析値は、仮想的に構成されたアーキテクチャ変更後のエレメントの設計パラメータに基づいて算出される。そして、さらに全体システムの仮想安全度水準を算出することにより、エレメントのアーキテクチャを変更したものとしてシミュレーションすることができる。これにより、そのエレメントのアーキテクチャの変更が全体システムの安全度水準の向上に有効か否かを判断することができる。従って、サブシステムを構成する複数のエレメントのうち何れのエレメントのアーキテクチャを変更すればよいのかを効率的に判断することができる。

請求項７に係る発明によると、演算部は、サブシステムの仮想安全度水準を算出する。上述したように、サブシステムまたはエレメントのアーキテクチャを変更することは、全体システムの安全度水準を向上させるための補正として有効な手段である。しかしながら、全体システムの安全度水準は、全体システムを構成する複数のサブシステムの設計パラメータなどに基づいて算出されるため、特定のアーキテクチャ変更の有効性を判断することが難しい場合がある。そこで、サブシステムまたはエレメントのアーキテクチャを変更した場合に、全体システムにおける仮想解析値に基づいてサブシステムの仮想安全度水準を算出する。これにより、アーキテクチャ変更に係るサブシステムの仮想安全度水準を確認し、アーキテクチャ変更についてサブシステム単位での有効性を判断することができる。よって、サブシステムまたはエレメントのアーキテクチャの変更をより効率的に行うことができる。

請求項８に係る発明によると、演算部は、エレメントの仮想安全度水準を算出する。上述したように、エレメントのアーキテクチャを変更することは、全体システムの安全度水準を向上させるための補正として有効な手段である。しかしながら、全体システムの安全度水準は、全体システムを構成する複数のサブシステムおよびエレメントの設計パラメータなどに基づいて算出されるため、特定のアーキテクチャ変更の有効性を判断することが難しい場合がある。そこで、エレメントのアーキテクチャを変更した場合に、全体システムにおける仮想解析値に基づいてエレメントの仮想安全度水準を算出する。これにより、アーキテクチャ変更に係るエレメントの仮想安全度水準を確認し、アーキテクチャ変更についてエレメント単位での有効性を判断することができる。よって、エレメントのアーキテクチャの変更をより効率的に行うことができる。

請求項９に係る発明によると、演算部は、アーキテクチャの補正値に応じた係数を全体システムにおける解析値に乗ずることにより、全体システムにおける仮想解析値を集計する。上述したように、アーキテクチャの変更は、ハードウェアの設計を変更するものであるため、アーキテクチャを形成するアイテム数が増加する場合にはそのアイテムの設計パラメータを入力する必要がある。ここで、演算部が全体システムにおける仮想解析値を集計することで全体システムの仮想安全度水準を算出することが可能となる。そこで、本発明は、この全体システムにおける仮想解析値を集計する一つの手段として、アーキテクチャ変更前の解析値に所定の係数を乗ずることにより簡易に仮想解析値を集計している。

ここで、例えば冗長化するようにアーキテクチャ変更した場合に、そのアーキテクチャを構成するアイテム数が単純に倍増すると仮定すれば、同様の倍率で故障間隔などの解析値が変動するものと推定できる。そこで、アーキテクチャの補正値、即ち変更後のアーキテクチャに対する係数を予め設定しておくことにより、簡易に全体システムにおける仮想解析値を推定して集計することができる。また、この係数については、例えばサブシステムやエレメントの機能や構成アイテムの種類を勘案して調整することで、全体システムにおける仮想解析値をより高精度に集計することが可能となる。

請求項１０に係る発明によると、演算部は、全体システムに対するサブシステムの寄与度を算出する。ここで、全体システムを構成する各サブシステムは、全体システムに対する影響度がそれぞれ異なることがある。そのため、全体システムの安全度水準を向上させるために、何れのサブシステムを補正対象とし、さらに当該サブシステムの設計パラメータまたは解析値について適正な補正量を設定することが困難であった。そこで、本発明では先ず、演算部がサブシステムの解析値または設計パラメータの一部について一定量だけ補正したものとして、全体システムにおける解析値を集計する。そして、この補正前後における解析値を比較することにより、サブシステムの寄与度を算出する。このサブシステムの寄与度は、解析値または設計パラメータに対する補正が全体システムの安全度水準にどれだけ寄与するかを示すものである。

これにより、全体システムが目標とする安全度水準となるために、複数のサブシステムから補正対象とするものについて寄与度を指標として選択することができる。さらに、選択したサブシステムの解析値または設計パラメータについて寄与度の大きさに基づいて適正な補正量を設定することができる。従って、全体システムの目標とする安全度水準をより効率的に達成することができる。

請求項１１に係る発明によると、演算部は、全体システムまたはサブシステムに対するエレメントの寄与度を算出する。ここで、サブシステムを形成する各エレメントは、サブシステムに対する影響度がそれぞれ異なることがある。そのため、全体システムおよびサブシステムの安全度水準を向上させるために、何れのエレメントを補正対象とし、さらに当該エレメントの設計パラメータまたは解析値について適正な補正量を設定することが困難であった。そこで、本発明では先ず、演算部がエレメントの解析値または設計パラメータの一部について一定量だけ補正したものとして、全体システムにおける解析値を集計する。そして、この補正前後における解析値を比較することにより、エレメントの寄与度を算出する。このエレメントの寄与度は、解析値または設計パラメータに対する補正が全体システムまたはサブシステムの安全度水準にどれだけ寄与するかを示すものである。

これにより、全体システムまたはサブシステムが目標とする安全度水準となるために、複数のエレメントから補正対象とするものについて寄与度を指標として選択することができる。さらに、選択したエレメントの解析値または設計パラメータについて寄与度の大きさに基づいて適正な補正量を設定することができる。従って、全体システムの目標とする安全度水準をより効率的に達成することができる。

請求項１２に係る発明によると、演算部が設計パラメータまたは解析値を一定量ずつ増減する補正値に連続的に変更した場合の全体システムの安全度水準をシミュレーションして表示部に逐次表示する。これにより、逐次表示された全体システムの安全度水準の変動の様子に基づいて、全体システムの安全度水準に対する設計パラメータまたは解析値の影響度を目視で把握することができる。これにより、複数のサブシステムおよび複数のエレメントについて、何れの設計パラメータまたは解析値を補正対象とするかを判断することができる。

請求項１３に係る発明によると、表示部は、算出過程おける全体システムの安全度水準、および演算部が算出過程にあることを表示する。演算部は、全体システムが有するサブシステムやエレメントの数やアーキテクチャの種類などに応じて、全体システムの安全度水準の算出に要する時間が異なる。但し、解析値の集計は、サブシステム単位およびエレメント単位でも行われるため、これらの解析値に基づいて現在値として全体システムの安全度水準をシミュレーションして表示することが可能である。そこで、このような演算部の算出過程における全体システムの安全度水準を表示する場合には、表示されたものが算出完了時のものと誤認されないようにすることが好適である。よって、本発明のような構成とすることで、算出過程における現状を把握するとともに、算出完了時のものと誤認することを防止できる。

実施形態における安全関連システムを示す信頼性ブロック図である。 サブシステムまたはエレメントにおけるアーキテクチャを示すブロック図である。 ＳＩＬ評価支援装置を示すブロック図である。 ＳＩＬ評価支援装置による安全度水準の評価を支援する動作を示すフローチャート図である。 ＦＭＥＤＡによる故障解析の結果（解析値）を示す表である。 全体システム、各サブシステム、および選択エレメントのＳＩＬを表示するグラフである。 第一補正例の動作を示すフローチャート図である。 第二補正例の動作を示すフローチャート図である。 第三補正例の動作を示すフローチャート図である。 アーキテクチャ変更における係数の示す表である。 第四補正例の動作を示すフローチャート図である。 補正対象の設計パラメータまたは解析値の選択を示す図である。 連続的に補正値を入力した場合に逐次表示される全体システムのＳＩＬを示す図である。

以下、本発明の安全度水準評価支援装置（以下、「ＳＩＬ評価支援装置」ともいう）を具体化した実施形態について図面を参照して説明する。

＜実施形態＞
（安全関連システムについて）
安全関連システムについて、図１，２を参照して説明する。安全関連システム（Safety Related System）は、国際規格ＩＥＣ６１５０８により規格化され、安全性の指標である安全度水準（以下、「ＳＩＬ」ともいう）によって、ＳＩＬ１〜ＳＩＬ４の４段階に区分される。この安全関連システムは、図１に示すように、所定機能を割り当てられた複数のサブシステムを統合して全体システム１を構成されている。また、サブシステムは、所定機能を発揮するために必要な構成品（コンポーネント）および部品の組み合わせである機器など（以下、「エレメント」という）により形成される。

サブシステムは、全体システム１の入力部１０、論理部２０、および出力部３０の何れかに割り当てられ、全体システム１を構成する基本的なコンポーネントグループである。安全関連システムとしては論理部を有さない形態も存在するが、本実施形態では、サブシステムとしての論理部２０を有するものとして説明する。また、エレメントは、サブシステムである入力部１０、論理部２０、および出力部３０が所定機能をそれぞれ発揮するために必要な構成品（コンポーネント）および部品の組み合わせである機器である。入力部１０は入力用機器１１〜１３により形成され、論理部２０は論理用機器２１〜２６により形成され、出力部３０は出力用機器３１〜３３により形成されている。

Ｅ／Ｅ／ＰＥＳ装置は、図１に示すように、ＳＩＬを定められる場合に安全関連システムの機能、情報の流れを信頼性ブロック図により表される。図１には、全体システム１を構成する一部のサブシステム、および各サブシステムを形成する一部のエレメントを表示している。信頼性ブロック図は、全体システム１における故障のメカニズムの理解および故障解析の準備を目的とし、想定される故障や冗長方式などの情報が設計パラメータとして含まれている。また、安全関連システムでは、安全性を確保するために、サブシステムまたはエレメントにおけるハードウェアの構成（アーキテクチャ）を冗長化、多様化される。サブシステムおよびエレメントにおけるアーキテクチャは、図２に示すように、その構成により何れかに区分される。例えば、冗長系のアーキテクチャにおいては、冗長を構成するチャンネルの総数Ｎと、安全機能確保のために必要なチャンネル数ＭとによりＭｏｏＮ（M out of N）として表現される。

また、アーキテクチャは、その種類ごとに故障解析における故障率λの算出式が異なり（IEC61508-6を参照）、全体システム１のＳＩＬに影響するものである。本実施形態では、全体システム１の安全度水準を求める方法としてＦＭＥＤＡ（Failure Modes Effects and Diagnostic Analysis）による故障解析を例示する。このＦＭＥＤＡは、全体システム１に使用されている個々の部品ごとに故障形態を解析し、ＳＩＬを算出するために必要な全体システム１の故障率λや安全故障割合ＳＦＦ、低頻度故障率ＰＦＤ（probability of failure on demand）または高頻度故障率ＰＦＨ（probability of dangerous failure per hour）などの解析値を求めている。この時、サブシステムおよびエレメントにおけるアーキテクチャによって故障率λの算出式が使い分けられることになる。

（ＳＩＬ評価支援装置の構成）
次に、ＳＩＬ評価支援装置２の構成について図３を参照して説明する。ＳＩＬ評価支援装置２は、安全関連システムの安全度水準をシミュレーションすることにより、安全関連システムにおける安全度水準の評価を支援する装置である。そして、ＳＩＬ評価支援装置２は、図３に示すように、記憶部４０と、演算部５０と、表示部６０と、補正部７０を備える。

記憶部４０は、初期データ記憶部４１と、一時データ記憶部４２を有する。初期データ記憶部４１は、全体システム１に使用される個々の部品データと、サブシステムおよびエレメントの設計パラメータを初期値として記憶する。本実施形態において、初期データ記憶部４１は、全体システム１の設計を行ったＣＡＤシステムから部品のリストなどをインポートされて記憶する。さらに、初期データ記憶部４１は、個々の部品データに対して設定される故障モード、アーキテクチャなどの設計パラメータを関連づけて記憶する。一時データ記憶部４２は、初期データ記憶部４１が記憶している部品データおよび設計パラメータのコピーデータを記憶している。さらに、一時データ記憶部４２は、演算部５０が行うＦＭＥＤＡによる故障解析および解析値の集計結果などを記憶するとともに、後述する補正部７０が受け付けた補正値などを記憶する。

演算部５０は、設計パラメータに基づいてＦＭＥＤＡによる故障解析を行い、全体システム１のＳＩＬをシミュレーションする。この演算部５０は、ＦＭＥＤＡ解析部５１と、解析値集計部５２と、ＳＩＬ算出部５３と、寄与度算出部５４を有する。ＦＭＥＤＡ解析部５１は、一時データ記憶部４２に記憶されているサブシステムおよびエレメントの設計パラメータに基づいて、ＦＭＥＤＡによる故障解析を行い全体システム１における解析値を算出する。つまり、全体システム１、サブシステム、およびエレメントのそれぞれについて解析値が算出されることになる。

より具体的には、ＦＭＥＤＡ解析部５１は、全体システム１の安全機能を実現するハードウェアの部品ごとに、故障モードにおける故障率や診断率について解析する。そして、全体システム１に故障が生じた場合に、その故障が危険側か安全側か、またその故障が検出可能か検出不可能かを解析する。これにより、ＦＭＥＤＡ解析部５１は、解析値として４種の故障率λＳＤ，λＳＵ，λＤＤ，λＤＵを算出する。ここで、故障率λの左側の添え字がＳの場合は安全側故障を表し、Ｄの場合は危険側故障を表す。また、故障率λの右側の添え字がＤの場合は検出可能故障を表し、Ｕの場合は検出不可故障を表す。その他に、解析値には、安全故障割合ＳＦＦ、低頻度故障率ＰＦＤ、高頻度故障率ＰＦＨなどが含まれる。

解析値集計部５２は、一時データ記憶部４２からサブシステムおよびエレメントに係る初期データと、ＦＭＥＤＡ解析部５１により算出された故障率λなどの解析値を入力して集計する。また、一時データ記憶部４２は、解析値集計部５２から集計結果を入力し記憶する。また、解析値集計部５２は、補正部７０によりサブシステムまたはエレメントにおけるアーキテクチャの補正値が入力されると、補正値に応じた係数を全体システム１における解析値に乗ずることにより、全体システム１における仮想解析値を集計する。これは、本実施形態のＳＩＬ評価支援装置２がアーキテクチャの変更による全体システム１のＳＩＬのシミュレーションを可能とするためのものであり、詳細については後述する。

ＳＩＬ算出部５３は、解析値集計部５２から集計結果を入力し、全体システム１のＳＩＬを算出する。この安全度水準ＳＩＬは、安全関連システムの安全の度合いを故障率によって定めるものであり、故障率ＰＦＤ（またはＰＦＨ）の値によって割り当てられる（IEC61508を参照）。また、本実施形態では、全体システム１のＳＩＬの他に、サブシステムのＳＩＬ、およびエレメントのＳＩＬについても算出している。

寄与度算出部５４は、全体システム１に対する各サブシステムの寄与度、および全体システム１またはサブシステムに対する各エレメントの寄与度を算出する。ここで、サブシステムまたはエレメントの寄与度とは、全体システム１またはサブシステムに対する影響度のことである。例えば、エレメントの寄与度は、複数のエレメントのうち各エレメントの解析値または設計パラメータに対して一定量の補正を行った場合に、その補正が全体システム１の安全度水準にどれだけ寄与するかを示している。そのため、寄与度算出部５４は、解析値または設計パラメータについて一定量だけ補正した場合のＦＭＥＤＡによる故障解析の集計結果と、一時データ記憶部４２に記憶された当該補正の前におけるＦＭＥＤＡによる故障解析の集計結果とを比較することにより算出している。

より具体的には、寄与度算出部５４は、先ず、一時データ記憶部４２から初期の解析値について入力して保持する。次に、寄与度の算出対象のサブシステムまたはエレメントにおける設計パラメータについて一定量だけ加えた補正値を設定する。そして、補正部７０が当該補正値を受け付けると、一時データ記憶部４２に記憶され、サブシステムの解析値または設計パラメータの一部について一定量だけ補正したものとして、全体システム１における解析値を再び集計する。そして、寄与度算出部５４は、この補正前後における解析値を比較することにより、サブシステムの寄与度を算出する。これを寄与度算出の対象の分だけ繰り返すことにより、それぞれの寄与度を取得している。

表示部６０は、一時データ記憶部４２に記憶された設計パラメータのうち少なくとも一部と、全体システム１のＳＩＬを表示する表示手段である。本実施形態においては、表示部６０は、ＳＩＬ算出部５３からサブシステムおよびエレメントの設計パラメータ、解析値の集計結果、算出されたＳＩＬを表示する。また、表示部６０は、演算部５０による全体システム１のＳＩＬの算出過程においても、その時に算出されているサブシステムおよびエレメントの解析値に基づいて、全体システム１のＳＩＬを暫定的に表示する。但し、表示部６０は、演算部５０がＳＩＬの算出過程にあることを併せて表示するものとしている。さらに、表示部６０は、寄与度算出部５４から各サブシステムおよび各エレメントの寄与度を入力し表示する。

補正部７０は、サブシステムまたはエレメントのアーキテクチャを含む設計パラメータおよび解析値のうち表示部６０に表示されたものを対象とした補正値を外部入力装置から受け付ける。また、補正部７０は、上述したように、寄与度算出部５４が寄与度を算出する際にも補正値を寄与度算出部５４から受け付ける。補正部７０に受け付けられた補正値は、一時データ記憶部４２に記憶され、ＦＭＥＤＡによる故障解析に使用される。

また、補正部７０は、受け付けた補正値の補正対象に係るエレメントまたはサブシステムの設計パラメータおよび解析値を一時データ記憶部４２から入力する。そして、補正部７０は、エレメントまたはサブシステムが当該補正値によって補正された場合に、他の設計パラメータまたは解析値との間で整合性を維持するように、他の設計パラメータは解析値を自動調整する。より具体的には、例えば、解析値として算出された４種の故障率λＳＤ，λＳＵ，λＤＤ，λＤＵは、その合計が故障率λ×診断率（ＤＣ）となり、４種の故障率λの合計値は変化しない。そのため、故障率λＤＵを低減する補正をした場合には、合計値が変化しないように故障率λＤＤを増加するように自動調整を行っている。その他にも、サブシステムの解析値を補正する場合には、そのサブシステムを形成する複数のエレメントの各設計パラメータを一定比率で変化させるように自動調整を行っている。このように、補正部７０による自動調整が行われた場合には、自動調整された他の設計パラメータまたは解析値は、一時データ記憶部４２に記憶され、ＦＭＥＤＡによる故障解析に使用される。

（ＦＭＥＤＡ解析および安全度水準について）
続いて、ＳＩＬ評価支援装置２によるＦＭＥＤＡ解析および安全度水準の算出について、図４〜図６を参照して説明する。先ず、ＳＩＬ評価支援装置２は、図４に示すように、安全関連システムの全体システム１を設計したＣＡＤシステムからエレメントを構成する部品のリストをインポートし、記憶部４０の初期データ記憶部４１に記憶する（Ｓ１０１）。全体システム１に使用される個々の部品データが入力され、エレメントおよびサブシステムの構成が定まる。そして、ＳＩＬ評価支援装置２は、エレメントおよびサブシステムの設計パラメータを入力し（Ｓ１０２）、部品データとともに初期データ記憶部４１に記憶する。この時、エレメントおよびサブシステムの設計パラメータには、診断率やアーキテクチャなどが含まれる。

そして、演算部５０は、初期データ記憶部４１が記憶している部品データおよび設計パラメータを一時データ記憶部４２にコピーする（Ｓ１０３）。これは、安全関連システムの安全度水準のシミュレーションを行う上で、設計パラメータなどを補正することがあるので、初期データを確実に保持することを目的としているものである。

次に、演算部５０のＦＭＥＤＡ解析部５１が設計パラメータに基づいてＦＭＥＤＡによる故障解析を行う（Ｓ１０４）。ＦＭＥＤＡ解析部５１による故障解析が実行されると、解析値として故障率λＳＤ，λＳＵ，λＤＤ，λＤＵ、安全故障割合ＳＦＦ、低頻度故障率ＰＦＤ、高頻度故障率ＰＦＨなどを算出する。解析値集計部５２は、ＦＭＥＤＡ解析部５１による故障解析の実行中に解析値が算出される度に、その解析値を入力され、それぞれの構成ごとに解析値を集計する（Ｓ１０５）。

ＳＩＬ算出部５３は、解析値集計部５２から集計結果を入力し、ＰＦＤ（またはＰＦＨ）が算出されたエレメントまたはサブシステムのＳＩＬを順次算出する。また、ＳＩＬ算出部５３は、解析値集計部５２が解析値を集計中であっても、現在集計されたものに基づいて全体システム１のＳＩＬを算出する。そして、表示部６０は、演算部５０による全体システム１のＳＩＬの算出過程においても、その時に算出されている全体システム１のＳＩＬを暫定的に表示している。この時、表示部６０は、図６の下部に示すように、ＳＩＬ算出部５３によるＳＩＬの算出に係る進捗表示をして、ＳＩＬの算出過程にあることを表示している。これにより、算出過程における現状を把握するとともに、算出完了時のものと誤認することを防止できる。

そして、表示部６０は、図６に示すように、全体システム１およびサブシステムのＳＩＬをグラフ表示する（Ｓ１０６）。図６においては、全体システム１およびサブシステムのＳＩＬと、各システムのＰＦＤおよびＰＦＨに係るＳＩＬを示している。また、特定のエレメントを選択し、当該エレメントにＳＩＬをモニタリングすることも可能としている。

また、本実施形態では、各サブシステムおよび各エレメントの寄与度をさらに算出し、図５の右列に示すように、表示部６０に表示する（Ｓ１０７）。そのため、寄与度算出部５４は、ＳＩＬ算出部５３が全体システム１のＳＩＬの算出を終えると、エレメントおよびサブシステムの設計パラメータの一つに対して一定量の補正を加えるように、補正部７０に補正量を入力する。補正部７０は、寄与度算出部５４から補正量を受け付けて、一時データ記憶部４２に記憶させる。

そして、解析値集計部５２が補正値に基づいて全体システム１における解析値を集計し、寄与度算出部５４が集計結果を入力し補正前の解析値と比較する。そして、補正を加えた設計パラメータを元に戻し、次の設計パラメータに対して同じ一定量の補正を加えるように、補正部７０に補正量を入力する。寄与度算出部５４は、上記の補正値の入力および解析値の比較を、寄与度算出の対象とするエレメントおよびサブシステムの数だけ繰り返し、表示部６０に表示している。

続いて、全体システム１のＳＩＬが目標とするＳＩＬを達成していない場合に、ＳＩＬ評価支援装置２の操作者（以下、単に「ユーザー」とも称する）は、シミュレーションされた全体システム１などのＳＩＬや解析値、設計パラメータ、並びに寄与度を指標として、設計パラメータまたは解析値を補正する（Ｓ１０８）。ここで、ＳＩＬ評価支援装置２における設計パラメータまたは解析値の補正については、種々の方策を採ることが可能である。そのため、詳細については以下に第一補正例〜第四補正例として後述する。

（第一補正例）
第一補正例について図７を参照して説明する。本補正例では、ユーザーが全体システム１のＳＩＬを参照して、設計パラメータまたは解析値を補正対象とし、全体システム１の目標ＳＩＬの達成を図るものである。先ず、図７に示すように、ユーザーは、表示部６０に表示された全体システム１のＳＩＬを確認する（Ｓ２０１）。ここでは、現在のＳＩＬが全体システム１の目標ＳＩＬにどの程度不足しているのかをＳＩＬの値、さらには表示部６０に表示された全体システム１の解析値、サブシステムまたはエレメントの寄与度に基づいて検討する。

そして、この検討結果から何れのサブシステムまたはエレメントの設計パラメータまたは解析値から補正対象および補正値を設定する（Ｓ２０２）。入力された補正対象についての補正値は、補正部７０に受け付けられ、一時データ記憶部４２に記憶される（Ｓ２０３）。そうすると、演算部５０が補正値に基づいて全体システム１における解析値を集計し、当該補正値に基づいて全体システム１のＳＩＬを再び算出する（Ｓ２０４）。この全体システム１のＳＩＬの算出については、Ｓ１０４〜Ｓ１０６で説明したものと同様であるため説明を省略する。これにより、ＳＩＬ評価支援装置２は、設計パラメータまたは解析値を補正値に変更した場合の全体システム１のＳＩＬをシミュレーションして表示部６０に表示する（Ｓ２０５）。

ユーザーは、補正後における全体システム１のＳＩＬを参照して、これが目標ＳＩＬに達しているかを判断する（Ｓ２０６）。目標ＳＩＬに達していない場合に（Ｓ２０６：Ｎｏ）、再び補正後のＳＩＬが目標ＳＩＬにどの程度不足しているかをＳＩＬの値、全体システム１の解析値に基づいて検討する。そして、Ｓ２０３〜Ｓ２０５を繰り返すことにより、全体システム１の目標ＳＩＬを達成する設計パラメータおよび解析値に補正することになる。

次に、補正後における全体システム１のＳＩＬが目標ＳＩＬに達している場合に（Ｓ２０６：Ｙｅｓ）、Ｓ２０２において設定した補正対象に解析値が含まれているかを判断する（Ｓ２０７）。ここで、本実施形態のＳＩＬ評価支援装置２は、全体システム１における解析値についても補正対象としたシミュレーションを可能としている。しかし、全体システム１における解析値は設計パラメータなどに基づいて算出されるものであるため、解析値を補正して目標ＳＩＬを達成した場合には、その解析値が算出結果となるように設計パラメータを補正する必要がある。

これに対して、本実施形態のＳＩＬ評価支援装置２は、例えばサブシステムの解析値を補正対象とした場合には、補正部７０が当該サブシステムを形成する複数のエレメントの各設計パラメータを一定比率で変化させるように自動調整を行っている。これにより、補正対象と他の設計パラメータまたは解析値との間での整合性は維持されるが、自動調整された設計パラメータなどが必ずしも設計的に適正な範囲にあるとは限らない。そこで、Ｓ２０２において設定した補正対象に解析値が含まれている場合に（Ｓ２０７：Ｙｅｓ）、自動調整された設計パラメータについて最終的な調整を行う（Ｓ２０８）。一方で、補正対象に解析値が含まれていない場合（Ｓ２０７：Ｎｏ）、または設計パラメータについて最終的な調整を行った場合には、本補正を終了する。

第一補正例によれば、補正部７０がサブシステムまたはエレメントの設計パラメータを補正の対象とし、補正値が入力されると全体システム１のＳＩＬを再び算出する。これにより、全体システム１を構成するサブシステムおよびエレメントの何れの設計パラメータに対して補正を行った場合のＳＩＬをシミュレーションすることができる。よって、サブシステムからエレメントと段階的な補正が可能となり、全体システム１が目標ＳＩＬを達成するように設計パラメータを補正することができる。

また、補正部７０が全体システム１における解析値を補正の対象とし、補正値が入力されると全体システム１のＳＩＬを再び算出する。全体システム１の解析値は、複数の設計パラメータに基づいて算出されたものであり、この解析値に対する補正は、当該解析値の算出に使用された複数の設計パラメータについて、まとめて補正したことになる。よって、より効率的に全体システム１のＳＩＬをシミュレーションすることができる。

さらに、演算部５０の寄与度算出部５４により、サブシステムおよびエレメントの寄与度が算出されている。これにより、全体システム１またはサブシステムが目標とするＳＩＬとなるために、複数のサブシステムまたはエレメントから補正対象とするものについて寄与度を指標として選択することができる。さらに、選択したサブシステムまたはエレメントの解析値または設計パラメータについて寄与度の大きさに基づいて適正な補正量を設定することができる。従って、全体システム１の目標とするＳＩＬをより効率的に達成することができる。

（第二補正例）
第二補正例について図８を参照して説明する。本補正例では、ユーザーが全体システム１のＳＩＬに加えてサブシステムのＳＩＬおよびエレメントのＳＩＬを参照して、設計パラメータまたは解析値を補正対象とし、全体システム１の目標ＳＩＬの達成を図るものである。先ず、図８に示すように、ユーザーは、表示部６０に表示された全体システム１のＳＩＬを確認する（Ｓ３０１）。さらに、表示部６０に表示されたサブシステムのＳＩＬを確認する（Ｓ３０２）。ここでは、現在のＳＩＬが目標ＳＩＬに達しない原因として、何れのサブシステムがその要因になっているかをサブシステムのＳＩＬ、さらにはサブシステムまたはエレメントの寄与度などを指標として検討する。

そして、この検討結果から何れのサブシステムを補正対象とするか設定する（Ｓ３０３）。次に、補正対象とするサブシステムにおいて、サブシステムの設計パラメータなどを補正するのか、またはサブシステムを形成するエレメントの設計パラメータなどを補正するのか選択する（Ｓ３０４）。例えば、サブシステムの耐久試験間隔などの設計パラメータなどを補正することでサブシステムのＳＩＬ向上が見込まれる場合、またはサブシステムのＳＩＬ向上が全体システムのＳＩＬ向上に寄与するか確認する場合には、サブシステムの設計パラメータなどを補正対象とする（Ｓ３０４：Ｙｅｓ）。一方で、例えば、エレメントの補正などによって故障率λや診断率を補正する場合には、エレメントの設計パラメータなどを補正対象とする（Ｓ３０４：Ｎｏ）。

サブシステムの設計パラメータなどを補正対象とする場合に（Ｓ３０４：Ｙｅｓ）、ユーザーは、サブシステムのＳＩＬなどを指標として設計パラメータまたは解析値から補正対象および補正値を設定する（Ｓ３０５）。
入力された補正対象についての補正値は、補正部７０に受け付けられ、一時データ記憶部４２に記憶される（Ｓ３０６）。そうすると、演算部５０が補正値に基づいて全体システム１における解析値を集計し、当該補正値に基づいて全体システム１のＳＩＬおよびサブシステムのＳＩＬを再び算出する（Ｓ３０７）。この全体システム１のＳＩＬおよびサブシステムのＳＩＬの算出については、Ｓ１０４〜Ｓ１０６で説明したものと同様であるため説明を省略する。これにより、ＳＩＬ評価支援装置２は、サブシステムの設計パラメータなどを補正値に変更した場合の全体システム１のＳＩＬおよびサブシステムのＳＩＬをシミュレーションして表示部６０に表示する（Ｓ３０８）。

ユーザーは、補正後におけるサブシステムのＳＩＬを参照して、これがサブシステムの目標ＳＩＬに達しているかを判断する（Ｓ３０９）。目標ＳＩＬに達していない場合に（Ｓ３０９：Ｎｏ）、再び補正後のＳＩＬが目標ＳＩＬにどの程度不足しているかＳＩＬの値、サブシステムの解析値に基づいて検討する。そして、Ｓ３０５〜Ｓ３０８を繰り返すことにより、サブシステムの目標ＳＩＬを達成する設計パラメータおよび解析値に補正することになる。一方で、サブシステムの目標ＳＩＬに達している場合に（Ｓ３０９：Ｙｅｓ）、算出された全体システム１のＳＩＬが目標ＳＩＬに達しているかを判断する（Ｓ３１０）。

ここで、Ｓ３０４において、エレメントの設計パラメータなどを補正対処とする場合に（Ｓ３０４：Ｎｏ）、表示部６０に表示されたエレメントのＳＩＬを確認する（Ｓ３２１）。ここでは、現在のＳＩＬが目標ＳＩＬに達しない原因として、何れのエレメントがその要因になっているかをエレメントのＳＩＬを指標とするなどして検討する。そして、この検討結果から何れのエレメントの設計パラメータなどから補正対象および補正値を設定する（Ｓ３２２）。

入力された補正対象についての補正値は、補正部７０に受け付けられ、一時データ記憶部４２に記憶される（Ｓ３２３）。そうすると、演算部５０が補正値に基づいて全体システム１における解析値を集計し、当該補正値に基づいて全体システム１のＳＩＬおよびエレメントのＳＩＬを再び算出する（Ｓ３２４）。この全体システム１のＳＩＬおよびエレメントのＳＩＬの算出については、Ｓ１０４〜Ｓ１０６で説明したものと同様であるため説明を省略する。これにより、ＳＩＬ評価支援装置２は、エレメントの設計パラメータなどを補正値に変更した場合の全体システム１のＳＩＬおよびエレメントのＳＩＬをシミュレーションして表示部６０に表示する（Ｓ３２５）。

ユーザーは、補正後におけるエレメントのＳＩＬを参照して、これがエレメントの目標ＳＩＬに達しているかを判断する（Ｓ３２６）。目標ＳＩＬに達していない場合に（Ｓ３２６：Ｎｏ）、再び補正後のＳＩＬが目標ＳＩＬにどの程度不足しているかＳＩＬの値、エレメントの解析値に基づいて検討する。そして、Ｓ３２２〜Ｓ３２５を繰り返すことにより、エレメントの目標ＳＩＬを達成する設計パラメータおよび解析値に補正することになる。一方で、エレメントの目標ＳＩＬに達している場合に（Ｓ３２６：Ｙｅｓ）、算出された全体システム１のＳＩＬが目標ＳＩＬに達しているかを判断する（Ｓ３１０）。

そして、Ｓ３１０において、全体システム１のＳＩＬが目標ＳＩＬ達していない場合に（Ｓ３１０：Ｎｏ）、再び補正後のＳＩＬが目標ＳＩＬにどの程度不足しているのかＳＩＬの値、全体システム１の解析値などに基づいて検討する。そして、Ｓ３０３〜Ｓ３１０を繰り返すことにより、全体システム１の目標ＳＩＬを達成する設計パラメータおよび解析値に補正することになる。一方で、全体システム１の目標ＳＩＬに達している場合に（Ｓ３１０：Ｙｅｓ）、Ｓ３０５またはＳ３２２において設定した補正対象に解析値が含まれているか判断する（Ｓ３１１）。解析値が含まれている場合に（Ｓ３１１：Ｙｅｓ）、設計パラメータについて最終的な調整を行う（Ｓ３１２）。一方で、解析値が含まれていない場合に（Ｓ３１１：Ｎｏ）、または設計パラメータについて最終的な調整を行った場合には、本補正を終了する。このＳ３１１およびＳ３１２は、第一補正例のＳ２０７およびＳ２０８に対応し、実質的に同一であるため詳細な説明は省略する。

第二補正例によれば、演算部５０は、サブシステムのＳＩＬとエレメントのＳＩＬを算出している。これにより、補正対象とするサブシステムまたはエレメントを選択する際に、サブシステムのＳＩＬまたはエレメントのＳＩＬを指標とすることができるので、全体システム１のＳＩＬを向上させるための補正をより効率的に行うことができる。また、サブシステムの設計パラメータなどに対して補正を行った場合に、補正後のサブシステムのＳＩＬを確認することにより、その補正がサブシステム単位で有用なものであるかシミュレーションすることができる。同様に、エレメントの設計パラメータなどに対して補正を行った場合に、補正後のエレメントのＳＩＬを確認することにより、エレメントに対して行った補正がエレメント単位で有用なものであるかシミュレーションすることができる。これにより、全体システム１の目標とするＳＩＬをより効率的に達成することができる。

（第三補正例）
第三補正例について図９，１０を参照して説明する。本補正例では、サブシステムまたはエレメントのアーキテクチャを変更した場合の全体システム１のＳＩＬを仮想的に算出する。これにより、アーキテクチャ変更の有効性などをシミュレーションし、効率的な全体システム１の目標ＳＩＬの達成を図るものである。先ず、図９に示すように、ユーザーは、表示部６０に表示された全体システム１のＳＩＬを確認する（Ｓ４０１）。さらに、表示部６０に表示されたサブシステムのＳＩＬを確認する（Ｓ４０２）。ここでは、現在のＳＩＬが目標ＳＩＬに達しない原因として、何れのサブシステムがその要因になっているかをサブシステムのＳＩＬ、さらにはサブシステムの寄与度などを指標として検討する。

そして、この検討結果から何れかのサブシステムについてアーキテクチャを変更するかを判断する（Ｓ４０３）。例えば、サブシステムの診断率を増加させることで検出できない危険側故障λＤＵを低減しサブシステムのＳＩＬ向上が見込まれるような場合に、サブシステムのアーキテクチャを変更する補正をする（Ｓ４０３：Ｙｅｓ）。一方で、例えば、エレメントの構成を冗長化してサブシステムのＳＩＬ向上を図る場合には、サブシステムのアーキテクチャについては現状を維持する（Ｓ４０３：Ｎｏ）。

サブシステムのアーキテクチャを変更する場合に（Ｓ４０３：Ｙｅｓ）、ユーザーは、サブシステムのＳＩＬなどに基づいて、複数のサブシステムのうち何れのサブシステムを補正対象として選択する（Ｓ４０４）。次に、ユーザーは、現在のサブシステムのアーキテクチャの区分に基づいて補正するアーキテクチャを設定する（Ｓ４０５）。例えば、現在のサブシステムのアーキテクチャが２ｏｏ２の場合は、構成を追加して２ｏｏ３を変更するアーキテクチャに設定することが考えられる。

設定されたサブシステムのアーキテクチャは、補正値として補正部７０に受け付けられ、一時データ記憶部４２に記憶される（Ｓ４０６）。ここで、安全関連システムにおけるアーキテクチャの変更は、ハードウェアの設計を変更するものであるため、アーキテクチャを形成するアイテム数が増加する場合には、本来ならば増加する部品データおよび当該部品の設計パラメータを入力する必要がある。しかしながら、アーキテクチャの変更に伴い安全関連システムのＳＩＬが必ずしも向上するとは限らないため、アーキテクチャの変更の有効性についてシミュレーションすることの要請がある。

そこで、解析値集計部５２は、補正部７０によりサブシステムにおけるアーキテクチャの補正値が入力されると、補正値に応じた係数を全体システム１の解析値に乗ずる。これにより、解析値集計部５２は、全体システム１における仮想解析値を集計している（Ｓ４０７）。ここで、「補正値に応じた係数」とは、変更後のアーキテクチャに応じた係数であって、図１０に示すような値となる故障率係数である。例えば、アーキテクチャが１ｏｏ１から１ｏｏ２に変更された場合は、図２にも示すように、同様の構成が二重化されたものみなして、補正値に応じた係数は２．０にとなる。また、実際には１ｏｏ２に変更すると診断回路などの増分が大きくなることがあるため、その場合にはこの係数を適宜調整してもよい。

続いて、ＳＩＬ算出部５３は、解析値集計部５２から仮想解析値の集計結果を入力し、この仮想解析値に基づいて全体システム１の仮想ＳＩＬおよびサブシステムの仮想ＳＩＬを算出する（Ｓ４０８）。これにより、ＳＩＬ評価支援装置２は、サブシステムのアーキテクチャを変更する補正をした場合の全体システム１の仮想ＳＩＬおよびサブシステムの仮想ＳＩＬをシミュレーションして表示部６０に表する（Ｓ４０９）。

ユーザーは、アーキテクチャ変更後におけるサブシステムの仮想ＳＩＬを参照して、これがサブシステムの目標ＳＩＬに達しているかを判断する（Ｓ４１０）。仮想ＳＩＬが目標ＳＩＬに達していない場合に（Ｓ４１０：Ｎｏ）、再びアーキテクチャ変更後の仮想ＳＩＬがどの程度不足しているか仮想ＳＩＬの値、サブシステムの仮想解析値に基づいて検討する。そして、Ｓ４０５〜Ｓ４０９を繰り返すように、他のアーキテクチャに変更する補正をしてもよい。一方で、サブシステムの仮想ＳＩＬが目標ＳＩＬに達している場合に（Ｓ４１０：Ｙｅｓ）、算出された全体システム１の仮想ＳＩＬが目標ＳＩＬに達しているかを判断する（Ｓ４１１）。

ここで、Ｓ４０３において、サブシステムのアーキテクチャを変更しない場合に（Ｓ４０３：Ｎｏ）、表示部６０に表示されたエレメントのＳＩＬを確認する（Ｓ４２１）。ここでは、現在のエレメントのＳＩＬが目標ＳＩＬに達していない原因として、何れのエレメントがその要因になっているかをエレメントのＳＩＬ、さらにはエレメントの寄与度などを指標として検討する。そして、この検討結果から変更によりエレメントのＳＩＬ向上が見込まれる場合には何れかのエレメントについてアーキテクチャを変更するように補正する（Ｓ４２２：Ｙｅｓ）。一方で、エレメントのアーキテクチャについては現状を維持する場合には（Ｓ４２２：Ｎｏ）、本補正を終了する。

ユーザーは、エレメントのＳＩＬなどに基づいて、複数のエレメントのうち何れかのエレメントを補正対象とするか選択する（Ｓ４２３）。次に、ユーザーは、現在のエレメントのアーキテクチャの区分に基づいて補正するアーキテクチャを設定する（Ｓ４２４）。設定されたエレメントのアーキテクチャは、補正値として補正部７０に受け付けられ、一時データ記憶部４２に記憶される（Ｓ４２５）。そして、解析値集計部５２は、補正部７０によりエレメントにおけるアーキテクチャの補正値が入力されると、補正値に応じた係数を全体システム１の解析値に乗ずる。これにより、解析値集計部５２は、全体システム１における仮想解析値を集計している（Ｓ４２６）。ここで、Ｓ４２４〜Ｓ４２６は、サブシステムにおけるアーキテクチャの変更におけるＳ４０５〜Ｓ４０７と同様であるため説明を省略する。

続いて、ＳＩＬ算出部５３は、解析値集計部５２から仮想解析値の集計結果を入力し、この仮想解析値に基づいて全体システム１の仮想ＳＩＬおよびエレメントの仮想ＳＩＬを算出する（Ｓ４２７）。これにより、ＳＩＬ評価支援装置２は、エレメントのアーキテクチャを変更する補正をした場合の全体システム１の仮想ＳＩＬおよびエレメントの仮想ＳＩＬをシミュレーションして表示部６０に表する（Ｓ４２８）。

ユーザーは、アーキテクチャ変更後におけるエレメントの仮想ＳＩＬを参照して、これがエレメントの目標ＳＩＬに達しているかを判断する（Ｓ４２９）。仮想ＳＩＬが目標ＳＩＬに達していない場合に（Ｓ４２９：Ｎｏ）、再びアーキテクチャ変更後の仮想ＳＩＬがどの程度不足しているか仮想ＳＩＬの値、サブシステムの仮想解析値に基づいて検討する。そして、Ｓ４２４〜Ｓ４２８を繰り返すように、他のアーキテクチャに変更する補正をしてもよい。一方で、サブシステムの仮想ＳＩＬが目標ＳＩＬに達している場合に（Ｓ４２９：Ｙｅｓ）、算出された全体システム１の仮想ＳＩＬが目標ＳＩＬに達しているかを判断する（Ｓ４１１）。

そして、Ｓ４１１において、全体システム１のＳＩＬが目標ＳＩＬ達していない場合に（Ｓ４１１：Ｎｏ）、再び補正後のＳＩＬが目標ＳＩＬにどの程度不足しているのかＳＩＬの値、全体システム１の解析値などに基づいて検討する。そして、Ｓ４０３〜Ｓ４１１を繰り返すように、複数のアーキテクチャを変更することにより、全体システム１の目標ＳＩＬを達成する構成に補正することができる。一方で、全体システム１の目標ＳＩＬに達している場合には（Ｓ４１１：Ｙｅｓ）、本補正を終了する。

第三補正例によれば、補正部７０がサブシステムおよびエレメントにおけるアーキテクチャを補正の対象とし、補正値が入力されると全体システム１における仮想解析値を集計する。そして、演算部５０がこの仮想解析値に基づいて全体システム１の仮想ＳＩＬを算出する。これにより、サブシステムまたはエレメントのアーキテクチャを変更したものとしてシミュレーションすることができる。よって、そのサブシステムまたはエレメントのアーキテクチャの変更が全体システム１のＳＩＬの向上に有効か否かを判断することができる。従って、全体システム１を構成する複数のサブシステムのうち何れのサブシステムのアーキテクチャを変更すれば良いのかを効率的に判断することができる。同様に、サブシステムを構成する複数のエレメントのうち何れのエレメントのアーキテクチャを変更すれば良いのかを効率的に判断することができる。

また、演算部５０は、サブシステムおよびエレメントの仮想ＳＩＬを算出する。サブシステムまたはエレメントのアーキテクチャを変更することは、全体システム１のＳＩＬを向上させるための補正として有効な手段である。しかしながら、全体システム１のＳＩＬは、全体システム１を構成する複数のサブシステムの設計パラメータなどに基づいて算出されるため、特定のアーキテクチャ変更の有効性を判断することが難しい場合がある。これは、エレメントにおいても同様である。

そこで、サブシステムまたはエレメントのアーキテクチャを変更した場合に、全体システム１における仮想解析値に基づいてサブシステムの仮想ＳＩＬまたはエレメントの仮想ＳＩＬを算出する。これにより、アーキテクチャ変更に係るサブシステムの仮想ＳＩＬを確認し、アーキテクチャ変更についてサブシステム単位またはエレメント単位での有効性を判断することができる。よって、サブシステムまたはエレメントのアーキテクチャの変更をより効率的に行うことができる。

さらに、演算部５０の解析値集計部５２は、アーキテクチャの補正値に応じた係数を全体システム１における解析値に乗ずることにより、全体システム１における仮想解析値を集計するものとした。このように、全体システム１における仮想解析値を集計することによって、より簡易に仮想解析値を集計することができる。また、この係数は、変更するアーキテクチャに対して予め設定されるものであるが、例えばサブシステムやエレメントの機能や構成アイテムの種類を勘案して調整することで、全体システム１における仮想解析値をより高精度に集計することが可能となる。

（第四補正例）
第四補正例について図１１〜図１３を参照して説明する。本補正例では、サブシステムまたはエレメントの設計パラメータ、並びに全体システム１における解析値から補正対象を設定する際の指標を提供する。これにより、より効率的な全体システム１の目標ＳＩＬの達成を図るものである。先ず図１１に示すように、ユーザーは、表示部６０に表示された全体システム１のＳＩＬを確認する（５０１）。さらに、表示部６０に表示されたサブシステムのＳＩＬおよびエレメントのＳＩＬを確認する（Ｓ５０２）。ここでは、現在のＳＩＬが目標ＳＩＬに達しない原因として、何れのサブシステムまたは何れのエレメントがその要因になっているかをこれらのＳＩＬなどを指標として検討する。

上記のような検討をしても例えばどの程度の補正値にすべきか設定できない場合に、ユーザーは、図１２に示すように、表示部６０に表示された解析値の集計結果から何れかの設計パラメータまたは解析値を補正対象として選択する（Ｓ５０３）。そうすると、表示部６０には、図１３に示すように、横軸に補正対象、縦軸に補正対象に対する全体システム１のＳＩＬが表示される。縦軸については、補正対象が属するエレメントまたはサブシステムのＳＩＬ、ＰＦＤ、ＰＦＨなどを示すようにしてもよい。図１３においては、設計パラメータから安全故障割合ＳＦＦを補正対象として選択している状態を例示している。

続いて、ユーザーは、図１３右下に示される「＋」表示の増加ボタン、または「−」表示の減少ボタンを押下する。これにより、補正部７０は、補正対象として設定されている設計パラメータまたは解析値について一定量ずつ増加または減少する補正値を連続的に受け付ける（Ｓ５０４）。これにより、一定量ずつ変化する補正値が一時データ記憶部４２に記憶され、演算部５０が補正値に基づいて全体システム１における解析値を集計し、当該補正値に基づいて全体システム１のＳＩＬを連続的に算出する（Ｓ５０５）。

そして、表示部６０は、補正値と全体システム１のＳＩＬを逐次表示する。例えば、補正対象であるＳＦＦに対して「＋」表示の増加ボタンを押下し、その値を増加させる。そうすると、図１３の矢印で示すように、縦方向の破線が右側に移動するとともに、その値に対する全体システム１のＳＩＬが表示される。これにより、ユーザーは、設定した補正対象が全体システムのＳＩＬに対する影響度を目視で把握することができる。また、本補正例では、補正値と全体システム１のＳＩＬの関係を図１３のように示したが、例えば、図６に示すようなグラフと併せて表示するようにしてもよい。また、補正対象が連続的に補正される際には、図１２に示すように、補正対象の値の変化量を、元の値との差分として表示している。

そして、ユーザーは、補正対象の影響度を勘案して、現在選択している設計パラメータまたは解析値を補正対象とするか判断する（Ｓ５０６）。例えば、より影響度の高い設計パラメータを他に探す場合には（Ｓ５０６：Ｎｏ）、Ｓ５０２〜Ｓ５０５を繰り返すことにより、より適正な設計パラメータまたは解析値を補正対象として設定するとともに、どの程度の補正値を設定すべきかを検討することができる。一方で、設定している設計パラメータまたは解析値を補正対象とする場合には（Ｓ５０６：Ｙｅｓ）、上述した第一補正例〜第三補正例の何れかに移行する（Ｓ５０７）。また、本補正例において、十分に補正対象および補正値が定まった場合には、その他による補正（Ｓ５０７）を省略しても良い。これにより、本補正を終了する。

第四補正例によれば、演算部５０が設計パラメータまたは解析値を一定量ずつ増減する補正値に連続的に変更した場合の全体システム１の安全度水準をシミュレーションして表示部６０に逐次表示する。これにより、逐次表示された全体システム１のＳＩＬの変動の様子に基づいて、全体システム１のＳＩＬに対する設計パラメータまたは解析値の影響度を目視で把握することができる。これにより、複数のサブシステムおよび複数のエレメントについて、何れの設計パラメータまたは解析値を補正対象とするかを即時に判断することができる。

（その他の補正例）
ＳＩＬ評価支援装置２は、上述したような補正を行うことで、全体システムの目標とする安全度水準をより効率的に達成することができる。また、これらの補正は、第四補正例でも示したように、組み合わせて行うことも可能である。例えば、サブシステムの設計パラメータについて補正対象とした後に、さらにエレメントの設計パラメータを補正し、それでも目標ＳＩＬに達しない場合にアーキテクチャの変更を試みるようにしてもよい。

また本実施形態では、ＳＩＬ評価支援装置２について、安全関連システムが目標ＳＩＬを達成することを目的として、種々の補正例を例示して説明した。これに対して、既に目標ＳＩＬを達成している安全関連システムにおいて、必要以上に冗長化しているサブシステムやエレメントがないか検査することを目的として安全関連システムのＳＩＬを評価するものとしてもよい。このような評価方法により、例えば回路における部品点数を低減するとともに、小型化などに寄与することができる。

１：全体システム、 ２：ＳＩＬ評価支援装置（安全度水準評価支援装置）
１０：入力部（サブシステム）、 １１〜１３：入力用機器（エレメント）
２０：論理部（サブシステム）、 ２１〜２６：論理用機器（エレメント）
３０：出力部（サブシステム）、 ３１〜３３：出力用機器（エレメント）
４０：記憶部、 ４１：初期データ記憶部、 ４２：一時データ記憶部
５０：演算部、 ５１：ＦＭＥＤＡ解析部、 ５２：解析値集計部
５３：ＳＩＬ算出部、 ５４：寄与度算出部
６０：表示部、 ７０：補正部

Claims (13)

1. 安全関連システムの安全度水準評価支援装置であって、
   前記安全関連システムは、複数のサブシステムを統合して全体システムを構成され、
   各前記サブシステムは、複数のエレメントにより形成され、前記全体システムの入力部、論理部および出力部の何れかに割り当てられ、
   前記安全度水準評価支援装置は、
   前記サブシステムおよび前記エレメントの設計パラメータを記憶する記憶部と、
   前記設計パラメータに基づいて前記全体システムにおける故障率を含む解析値を集計し、当該解析値に基づいて前記全体システムの安全度水準を算出する演算部と、
   前記記憶部に記憶された前記設計パラメータのうち少なくとも一部と前記全体システムの安全度水準とを表示する表示部と、
   前記表示部に表示された前記設計パラメータの補正値を受け付ける補正部と、
   を備え、
   前記補正部により前記設計パラメータの補正値が入力されると、前記演算部が当該補正値に基づいて前記全体システムにおける解析値を集計し、当該解析値に基づいて前記全体システムの安全度水準を再び算出し、前記設計パラメータを当該補正値に変更した場合の前記全体システムの安全度水準をシミュレーションして前記表示部に表示する安全度水準評価支援装置。
2. 請求項１において、
   前記表示部は、前記全体システムにおける前記解析値のうち少なくとも一部を表示し、
   前記補正部は、前記表示部に表示された前記解析値の補正値を受け付け、
   前記補正部により前記解析値の補正値が入力されると、前記演算部が当該補正値に基づいて前記全体システムにおける解析値を集計し、当該解析値に基づいて前記全体システムの安全度水準を再び算出し、前記解析値を当該補正値に変更した場合の前記全体ステムの安全度水準をシミュレーションして前記表示部に表示する安全度水準評価支援装置。
3. 請求項１または２において、
   前記演算部が前記全体システムにおける前記解析値に基づいて前記サブシステムの安全度水準をさらに算出し、当該サブシステムの安全度水準を前記表示部に表示する安全度水準評価支援装置。
4. 請求項１〜３の何れか一項において、
   前記演算部が前記全体システムにおける前記解析値に基づいて前記エレメントの安全度水準をさらに算出し、当該エレメントの安全度水準を前記表示部に表示する安全度水準評価支援装置。
5. 請求項１〜４の何れか一項において、
   前記サブシステムの設計パラメータには当該サブシステムの構成によって定まるアーキテクチャが含まれ、
   前記補正部は、前記サブシステムにおける前記アーキテクチャの補正値を受け付け、
   前記補正部により前記サブシステムにおける前記アーキテクチャの補正値が入力されると、前記サブシステムの構成が変更されたものと仮定して、前記演算部が当該補正値に基づいて前記全体システムにおける仮想解析値を集計し、当該仮想解析値に基づいて前記全体システムの仮想安全度水準をさらに算出し、前記アーキテクチャを当該補正値に変更した場合の前記全体システムの仮想安全度水準をシミュレーションして前記表示部に表示する安全度水準評価支援装置。
6. 請求項１〜５の何れか一項において、
   前記エレメントの前記設計パラメータには当該エレメントの構成によって定まるアーキテクチャが含まれ、
   前記補正部は、前記エレメントにおける前記アーキテクチャの補正値を受け付け、
   前記補正部により前記エレメントにおける前記アーキテクチャの補正値が入力されると、前記エレメントの構成が変更されたものと仮定して、前記演算部が当該補正値に基づいて前記全体システムにおける仮想解析値を集計し、当該仮想解析値に基づいて前記全体システムの仮想安全度水準をさらに算出し、前記アーキテクチャを当該補正値に変更した場合の前記全体システムの仮想安全度水準をシミュレーションして前記表示部に表示する安全度水準評価支援装置。
7. 請求項５または６において、
   前記演算部が前記全体システムにおける前記仮想解析値に基づいて前記サブシステムの仮想安全度水準をさらに算出し、当該サブシステムの仮想安全度水準を前記表示部に表示する安全度水準評価支援装置。
8. 請求項６において、
   前記演算部が前記全体システムにおける前記仮想解析値に基づいて前記エレメントの仮想安全度水準をさらに算出し、当該エレメントの仮想安全度水準を前記表示部に表示する安全度水準評価支援装置。
9. 請求項５〜８の何れか一項において、
   前記演算部は、前記補正部により前記アーキテクチャの補正値が入力された場合に、当該補正値に応じた係数を前記全体システムにおける前記解析値に乗ずることにより、前記全体システムにおける前記仮想解析値を集計する安全度水準評価支援装置。
10. 請求項１〜９の何れか一項において、
    前記演算部は、前記サブシステムに係る前記解析値または前記設計パラメータのうち少なくとも一部について一定量だけ補正した場合の前記全体システムにおける前記解析値を集計し、当該補正の前後における前記解析値を比較することにより、前記全体システムに対する前記サブシステムの寄与度を算出し、
    前記サブシステムの寄与度を前記表示部に表示する安全度水準評価支援装置。
11. 請求項１〜１０の何れか一項において、
    前記演算部は、前記エレメントに係る前記解析値または前記設計パラメータのうち少なくとも一部について一定量だけ補正した場合の前記全体システムにおける前記解析値を集計し、当該補正の前後における前記解析値を比較することにより、前記全体システムまたは前記サブシステムに対する前記エレメントの寄与度を算出し、
    前記エレメントの寄与度を前記表示部に表示する安全度水準評価支援装置。
12. 請求項１〜１１の何れか一項において、
    前記補正部は、前記設計パラメータまたは前記解析値について一定量ずつ増加または減少する補正値を連続的に受け付け、
    前記補正部により前記補正値が連続的に入力されると、前記演算部が当該補正値に基づいて前記全体システムにおける解析値を集計し、当該解析値に基づいて前記全体システムの安全度水準をそれぞれ算出し、前記設計パラメータまたは前記解析値を当該補正値に連続的に変更した場合の前記全体システムの安全度水準をシミュレーションして前記表示部に逐次表示する安全度水準評価支援装置。
13. 請求項１〜１２の何れか一項において、
    前記表示部は、前記演算部による前記全体システムの安全度水準の算出過程において、現在のところ算出されている前記全体システムの安全度水準と、前記演算部が算出過程にあることを表示する安全度水準評価支援装置。
    

Images