JP2014059664A - フォールトツリー生成プログラム、方法及び装置 - Google Patents

Abstract

【課題】フォールトツリーを生成するためのデータ入力にかかる負担を軽減するための技術を提供する。
【解決手段】設備の冗長化方式として、当該設備に含まれる機器の第１の集合のうち少なくとも所定数の機器が正常に作動すれば第１の集合全体として機能する多数決系が採用されている場合において、第１の集合に属する機器、及び所定数を表す情報の入力を受け付けるステップと、第１の集合に属する機器のうち正常に作動する機器の数が下限値を下回る場合における、異常が生じた機器の組み合わせを表す第２の集合を生成する組合せ生成ステップと、生成された第２の集合を用いて、フォールトツリーを表示するためのデータを生成するフォールトツリー生成ステップと、生成されたデータを出力するステップとを含む。
【選択図】図５

Description

本発明は、フォールトツリー生成プログラム、方法及び装置に関する。

化学プラントといったプロセスシステムの構築や運用等においては、該プロセスシステムを構成する各プロセスの潜在的な危険性を特定し、特定された各プロセスの危険性を定性的、定量的に評価することが重要である。そして、プロセスシステムの安全性を確保するためには、評価結果に基づいて上述の潜在的な危険性を低減するためのリスク管理を実施することが不可欠である。

プロセスの潜在的な危険性を定性的に評価する手法として、ＨＡＺＯＰ（Hazard & Operability study）が知られている。同様に、プロセスの潜在的な危険性を定量的に評価する手法として、ＦＴＡ（Fault Tree Analysis：フォールト・ツリー解析）が知られてい
る。なお、リスクアセスメントの考え方としてＨＡＺＯＰ，ＦＴＡ以外に、Ｗｈａｔ−ｉｆ解析法，ＦＭＥＡ（Failure Mode and Effect Analysis：故障モード影響解析）法等の評価方法があり、厚生労働省の「化学プラントにかかるセーフティ・アセスメントに関する指針」に例示されている。

ＨＡＺＯＰは、各プロセスの定常状態にある状態量（温度・圧力・流量・組成等）からの「ずれ」を起点に、「ずれ」に関するガイドワード（無し、増加、減少、逆転等）から、その原因と結果を明らかにして行く手法である。例えば、「流量増加」といったプロセスの「ずれ」を想定することにより、「流量増加」の原因となる機器故障やヒューマンエラー等を明らかにする。そして、このような機器故障やヒューマンエラー等を原因とした「流量増加」が発生した結果、プロセスシステムへの影響の度合いを検討する。ＨＡＺＯＰによる定性的な評価方法では、プロセスシステムを構成する各プロセスの潜在的な危険性を網羅的に洗い出せると言う利点がある。

ＦＴＡは、商業用原子炉の定量的リスク解析で確立された確率論的リスク評価手法であり、原子力分野に限らず化学産業、電子・電気産業、機械産業等の様々な分野で使用されている評価手法である。ＦＴＡは、例えば、プロセスシステムにとって望ましくない事象（起こり得る特定の危険事象、災害事象）を頂上事象とし、その原因、要因を演繹的に掘り下げて行き、根本的な原因、要因（基本事象）を特定する。基本事象は頂上事象に至る発生経路においてそれ以上分解できない事象である。ＦＴＡでは、これらの因果関係を、論理記号（ＡＮＤゲート、ＯＲゲート等）を用いて論理的に連結し、ツリー状に表現する。この基本事象から頂上事象からに至る、ツリー状に展開された因果関係の構造をフォールト・ツリー（ＦＴ：Fault Tree、欠陥の木または故障の木，以下、「ＦＴ」と称す）と言う。

ＦＴでは、頂上事象に至る複数の事象の因果関係（基本事象、基本事象を起因として派生した事象等）が論理記号で結ばれているので、基本事象の発生頻度や発生確率を与えることにより、頂上事象であるプロセスシステムにとって望ましくない事象の発生頻度を帰納的に求めることができる。ＦＴＡによる定量的な評価方法では、ＦＴに基づき、プロセスシステムにとって望ましくない事象について、発生頻度、発生確率といった具体的な数値指標による評価が可能であると言う利点がある。

上述のＨＡＺＯＰ、ＦＴＡによる評価方法を一元化し、災害事象（プロセスシステムにとって望ましくない、最終的に発生する事象）へ至る危険性シナリオをフローチャートの
表現で作成し、作成したフローチャートをＦＴに自動変換し、変換されたＦＴに基づいてプロセスシステムの危険性を定量的に評価する技術が特許文献１開示されている。

特許文献１に開示の技術では、危険性シナリオは、プロセスシステム中の各プロセスを構成する設備機器の故障を基本事象として、該故障から後続して生起し得る発生事象を因果連鎖関係で展開する。そして、最終的に発生する災害事象（頂上事象）へ至るように構成し、各プロセスの潜在的な危険性を網羅する。また、作成したフローチャートからＦＴを自動的に変換し、ＦＴに沿って災害事象の発生頻度、発生確率を計算するよう構成し、該頂上事象の発生頻度、発生確率を小さく（抑圧）するように危険性シナリオの見直しを行う、といったＨＡＺＯＰ／ＦＴＡ間の情報の相互参照・利用を可能としている。

特許第３６２２３０２号公報

プラントには、様々な機器が含まれ、それらに適用される冗長化にもいくつかの方式がある。例えば、プラントに含まれる要素（例えば、機器）の集合のうち、所定数の要素の出力結果が一致した場合に、一致した結果に従う多数決系という方式がある。

多数決系が採用されている場合、集合に含まれる要素の数が増加すれば、集合に含まれる要素のうち故障が生じる要素の組み合わせの数も増加する。このような組み合わせをＦＴにおける事象として列挙するのは手間のかかる作業であり、ユーザが行う場合には登録漏れや組み合わせの登録誤り等が生じるおそれもある。また、特許文献１における方法においても、従来は、考えられるパターンをユーザが入力していた。すなわち、ユーザにとっては手間がかかる上に、誤りが生じるおそれがあった。

そこで、開示の技術は、ＦＴを生成するためのデータ入力にかかる負担を軽減することを目的とする。

開示のフォールトツリー（ＦＴ）生成プログラムは、設備の冗長化方式として、当該設備に含まれる機器の第１の集合のうち少なくとも所定数の機器が正常に作動すれば第１の集合全体として機能する多数決系が採用されている場合において、第１の集合に属する機器、及び所定数を表す情報の入力を受け付けるステップと、第１の集合に属する機器のうち正常に作動する機器の数が所定値を下回る場合における、異常が生じた機器の組み合わせを表す第２の集合を生成する組合せ生成ステップと、生成された第２の集合を用いて、ＦＴを表示するためのデータを生成するフォールトツリー（ＦＴ）生成ステップと、生成されたデータを出力するステップとを含む。

このようにすれば、集合に含まれる機器の入力と、少なくともいくつの機器が正常に作動すれば集合全体として機能するのかを表す所定数を表す情報の入力とをユーザから受けることにより、第１の集合全体として機能しない場合の、故障する機器の第２の組み合わせを生成し、ＦＴに展開することができる。したがって、ＦＴを生成するためのデータ入力にかかるユーザの負担を、軽減することができる。

また、ＦＴ生成プログラムは、組合せ生成ステップにおいて、第１の集合に属する機器のうち正常に作動する機器の数が所定数を１下回る場合における、異常が生じた機器のすべての組み合わせを生成し、ＦＴ生成ステップにおいて、第２の集合に属する機器が複数
存在する場合、第２の集合に属する機器の異常を表す事象をＡＮＤゲート記号で接続し、第２の集合が複数存在する場合、複数の第２の集合を表す事象をＯＲゲート記号で接続して、ＦＴを生成するようにしてもよい。

ＦＴ生成ステップにおいて、設備に含まれる機器に異常が発生する原因となる事象を記憶部から読み出し、第２の集合に属する機器の異常を表す事象と、原因となる事象とを接続してＦＴを生成するようにしてもよい。

機器に異常が発生する原因のうち典型的な事象を予め記憶部に登録しておけば、ＦＴを生成するためのデータ入力に係るユーザの負担を、さらに軽減することができる。

また、記憶部からＦＴの基本事象が発生する確率を読み出し、当該基本事象が発生する確率を用いてＦＴのトップ事象（「頂上事象」とも呼ぶ）が発生する確率を算出する算出ステップをさらに含むようにしてもよい。

さらに、入力ステップにおいて、第１の集合に含まれる機器の識別情報の入力を受け付け、生成ステップにおいて、識別情報を用いて第２の集合を生成し、算出ステップにおいて、第２の集合に属する機器の識別情報と、ＦＴの他の事象に含まれる機器の識別情報とが少なくとも一致する場合、第２の集合に属する機器の異常を表す事象と他の事象とが同時に発生するものとしてトップ事象が発生する確率を算出するようにしてもよい。

即ち、ＦＴの中に、いわゆる共通要因事象が存在するとき、共通要因事象が同時に発生するものとして確率計算を行えば、トップ事象が発生する確率をより正確に算出することができる。

なお、上記のステップを実行するフォールトツリー（ＦＴ）生成装置、及びフォールトツリー（ＦＴ）生成方法を提供することもできる。

ＦＴを生成するためのデータ入力にかかる負担を軽減することができる。

図１は、共通要因事象を説明する図である。 図２は、共通要因事象を説明する図である。 図３は、ＦＴ生成装置の機能ブロック図の一例を示す図である。 図４は、ＦＴ生成装置の構成の一例を示す図である。 図５は、本実施の形態に係る処理フローの一例を示す図である。 図６は、事故シナリオを表すチャートの一例を説明するための図である。 図７は、入力受付処理の処理フローの一例を示す図である。 図８は、ＦＴ生成処理の処理フローの一例を示す図である。 図９は、ＦＴの一例を示す図である。 図１０は、下位事象展開処理の処理フローの一例を示す図である。 図１１は、ＦＴの一例を示す図である。 図１２は、組み合わせを抽出する処理を説明するための図である。 図１３は、確率算出処理の処理フローの一例を示す図である。

以下、図面を参照して、一実施形態に係るシステムについて説明する。以下の実施形態の構成は例示であり、本発明に係るシステムは、実施形態の構成には限定されない。

＜実施形態に係る解析手法＞
本実施の形態に係るフォールトツリー（ＦＴ）生成装置は、特許文献１に基づき、下記（１）〜（３）を入力させる。
（１）事象の発見方法（例えばアラーム等の、認知手段）
（２）事象の回復動作（機器による動作及び運転員による動作を含み、成功時及び失敗時の事象に分岐する）
（３）発生する事象

そして、（１）〜（３）を繰り返し連結したチャート（以下「ＨＡＺｃｈａｒｔ」とも呼ぶ）の形式で、事故が発生するまでのシナリオ（以下「事故シナリオ」とも呼ぶ）を表す。すなわち、入力されるチャートは、設備（例えば、化学プラント）におけるプロセスの中で事故が起こる場合に想定される事象の遷移を表している。

ＨＡＺｃｈａｒｔでは、上記のような３つのフェーズを記号化し、記号の連鎖でシナリオを表記する。これは、特に化学プロセスプラントの特徴を研究した結果として、上記３フェーズのトポロジーに基づいて拡大シナリオ抽出の発想方法を規定したものである。すなわち、化学プロセスの事故シナリオ及びそれに対する防護機能或いは運転思想は、この記号化したトポロジーにより明確に表現できる。このような手法によれば、分析者の知識や能力によらず、同レベルの分析結果が得られるようになる。

＜共通要因事象＞
図１及び図２は、共通要因事象を説明する説明図である。図１（ａ）は、２台のポンプＡ，Ｂにより、所定の流量を出力するプロセスのフローの例である。図１（ｂ）は、図１（ａ）のフローに基づいて、例えば、「流量が０になる」ことをトップ事象として作成されたＦＴの例である。

図１（ｂ）では、「流量が０になる」とのトップ事象９０１がＦＴの最上位に位置し、トップ事象９０１を発生させる原因・要因として、「ポンプＡ停止」との事象９０３、「ポンプＢ停止」との事象９０４が下位事象として展開されている。下位事象の「ポンプＡ停止」及び「ポンプＢ停止」は、同時に発生して「流量が０になる」とのトップ事象９０１が生じ得るので、それぞれの下位事象は論理積を示すＡＮＤゲート９０２で連結されている。さらに、事象９０３には、「ポンプＡ停止」を発生させる原因・要因として、「ポンプＡ故障」との事象９０７、「停電」との事象９０８が下位事象として展開されている。下位事象の「ポンプＡ故障」，「停電」は、それぞれの事象の発生が「ポンプＡ停止」との事象を発生させ得るので、各下位事象は論理和を示すＯＲゲート９０５で連結されている。同様に、事象９０４には、「ポンプＢ停止」を発生させる原因・要因として、「ポンプＢ故障」との事象９０９、「停電」との事象９１０が下位事象として展開され、事象９０９と事象９１０は論理和を示すＯＲゲート９０６で連結されている。

なお、図１（ｂ）では、事象９０７〜９１０が「流量が０になる」とのトップ事象９０１に至る基本事象である。

ＦＴＡでは、図１（ｂ）に例示するＦＴに基づいて「流量が０になる」とのトップ事象９０１の発生確率を計算することにより、プロセスの潜在的な危険性を定量的に評価する。

例えば、「ポンプＡ故障」及び「ポンプＢ故障」の発生確率を１Ｅ−２（「Ｅ」は１０のべき乗を表し、「１Ｅ−２」は１０の（−２乗）を表す。）とし、「停電」の発生確率を１Ｅ−３とすると、「ポンプＡ停止」及び「ポンプＢ停止」の発生確率は、それぞれ、１．１Ｅ−２と計算される。さらに、「流量が０になる」とのトップ事象９０１の発生確
率は、「ポンプＡ停止」及び「ポンプＢ停止」の発生確率から１．２１Ｅ−４と計算される。

このように、ＦＴＡでは、図１（ｂ）に例示するＦＴに基づいて、基本事象の発生確率を与えることにより、「流量が０になる」とのトップ事象９０１の発生確率を求めることができる。

しかしながら、各ポンプの電源が同一の箇所から給電されている場合、ポンプＡに停電が発生するとポンプＢにも停電が発生することとなる。つまり、図１（ｂ）に例示するＦＴにおいて、基本事象である「停電」は、相互に依存性を持ち同時発生的な要素を含む事象であり、２台のポンプＡ，Ｂにより、所定の流量を出力するプロセスでは共通要因事象である。このような共通要因事象を考慮して作成したＦＴを図２に例示する。

図２に例示のＦＴでは、「流量が０になる」とのトップ事象９０１はＦＴの最上位に位置し、トップ事象９０１を発生させる原因・要因として、「ポンプ停止」との事象９１２、「停電」との共通要因事象９１３が下位事象として展開されている。「ポンプ停止」及び「停電」は、それぞれの事象の発生が「流量が０になる」との事象を発生させ得るので、事象９１２と共通要因事象９１３は論理和を示すＯＲゲート９１１で連結される。そして、事象９１２には、「ポンプ停止」を発生させる原因・要因として、「ポンプＡ故障」との事象９０７、「ポンプＢ故障」との事象９０９が下位事象として展開され、事象９０７と事象９０９は論理積を示すＡＮＤゲート９１４で連結される。事象９０７の「ポンプＡ故障」と事象９０９の「ポンプＢ故障」とは、同時に発生して事象９１２の「ポンプ停止」が生じ得るからである。

なお、図２では、事象９０７、９０９及び９１３が「流量が０になる」とのトップ事象９０１に至る基本事象となる。

図１（ｂ）で計算したように、「ポンプＡ故障」及び「ポンプＢ故障」の発生確率を１Ｅ−２とし、「停電」の発生確率を１Ｅ−３として、図２に例示するＦＴに基づいて「流量が０になる」とのトップ事象９０１の発生確率を計算する。「ポンプ停止」との事象９１２の発生確率は、１Ｅ−４と計算され、「流量が０になる」とのトップ事象９０１の発生確率は、１．１Ｅ−３と計算される。

図１（ｂ）のＦＴに基づいて計算された「流量が０になる」とのトップ事象９０１の発生確率は１．２１Ｅ−４であり、図２のＦＴに基づいて計算されたトップ事象９０１の発生確率とは、１．１Ｅ−３＞＞１．２１Ｅ−４の関係となる。つまり、図１（ａ）に例示の、２台のポンプＡ，Ｂにより、所定の流量を出力するプロセスでは、共通要因事象を考慮して計算されたトップ事象９０１の危険度は、共通要因事象を考慮せずに計算された危険度より高く、危険度の指標である発生確率の相互の差は、一桁（１０倍程度）も異なることが判る。

このように、プロセスシステムの構築や運用等においては、共通要因事象を考慮しない場合、各プロセスの潜在的な危険性を安全（発生確率が小さい）方向に判断を誤る虞がある。従って、プロセスの潜在的な危険性を適正に評価するためには、想定される危険性シナリオに含まれる共通要因事象を特定し、特定した共通要因事象を考慮してＦＴ計算を行う必要がある。

本実施形態のＦＴ生成装置では、作成された事故シナリオから発生事象（基本事象、基本事象を起因として派生した原因事象）に対応して運転操作が行われる構成要素の名称及び属性を抽出する。そして、抽出された名称及び属性に基づいて事故シナリオに含まれる
全ての構成要素を検索し、共通要因事象を特定する。本実施形態のＦＴ生成装置は、特定された共通要因事象に基づいてプロセスの災害事象に至る発生確率の計算を行うことにより、事故シナリオに共通要因事象が含まれていても、災害事象の正確な発生確率の計算を可能とする。

＜実施形態に係る装置の構成＞
図３に、実施の形態に係るＦＴ生成装置の機能ブロック図の一例を示す。図３に示すＦＴ生成装置１は、入力部１０１と、フォールトツリー（ＦＴ）生成部１０２と、組合せ生成部１０３と、確率算出部１０４と、共通要因事象抽出部１０５と、出力部１０６と、記憶部１０７とを有する。

入力部１０１は、事故シナリオを表すデータの入力をユーザから受け付け、記憶部１０７に保持させる。ＦＴ生成部１０２は、記憶部１０７から事故シナリオのデータを読み出し、ＦＴに自動変換する処理を行い、変換後のＦＴを示すデータを記憶部１０７に格納する。また、組合せ生成部１０３は、設備に含まれる機器の集合の中に多数決系が採用された部分が事故シナリオ中に存在する場合、多数決系が採用された集合に属する機器のうち正常に作動する機器の数が下限値を下回る場合における、異常が生じた機器の組み合わせを生成し、ＦＴに展開する処理を行う。なお、多数決系とは、設備に含まれる機器の集合のうち、所定数の要素（機器）の出力結果が一致した場合に、一致した結果に従う（すなわち、少なくとも所定数の機器が正常に作動すれば機器の集合全体として機能する）という冗長化方式である。

そして、確率算出部１０４は、記憶部１０７からＦＴのデータ及びＦＴの基本事象が発生する確率のデータを読み出し、ＦＴのトップ事象が発生する確率を算出し、算出した確率を示すデータを記憶部１０７に格納する。また、共通要因事象抽出部１０５は、記憶部１０７からＦＴのデータを読み出し、ＦＴに含まれる事象のうち、相互に依存性を有し同時発生する事象（「共通要因事象」、「コモン事象」、「共通事象」又は「共通原因故障」とも呼ぶ）を抽出し、共通要因事象の集合を示すデータを記憶部１０７に格納する。そして、出力部１０６は、記憶部１０７からＦＴのデータ、事象の発生確率を示すデータ等を読み出し、ＦＴ生成装置１に接続されたディスプレイやプリンタ等の外部装置、又はネットワーク機器等に読み出したデータを出力する。

図４に、ＦＴ生成装置の装置構成の一例を示す。本実施の形態に係るＦＴ生成装置１は、例えば汎用的なコンピュータであり、ＣＰＵ（Central Processing Unit）１００１、
主記憶装置１００２、補助記憶装置１００３、入出力ＩＦ（Interface）１００４、ドラ
イブ装置１００５、通信バス１００６を備えている。ＣＰＵ１００１は、プログラムを実行することにより本実施の形態で説明する処理を行う。主記憶装置１００２は、ＣＰＵ１００１が読み出したプログラムやデータをキャッシュしたり、ＣＰＵの作業領域を展開したりする。主記憶装置１００２は、具体的には、ＲＡＭ（Random Access Memory）やＲＯＭ（Read Only Memory）等である。補助記憶装置１００３は、ＣＰＵ１００１により実行されるプログラムや、本実施の形態で用いるデータベースその他のデータを記憶する。補助記憶装置１００３は、具体的には、ＨＤＤ（Hard-disk Drive）やＳＳＤ（Solid State
Drive）、フラッシュメモリ等である。入出力ＩＦ１００４は、入出力装置と接続され、入出力装置を介してユーザから入力を受け付けたり、ユーザへ情報を出力したりする。入出力装置は、具体的には、キーボード、マウス、ディスプレイ、プリンタ、又はタッチパネル等である。ドライブ装置１００５は、フレキシブルディスク、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disc）、ＢＤ（Blu-ray Disc）等の記憶媒体に記録されたデータを読み出したり、これらのような記憶媒体にデータを書き込んだりする。以上のような構成要素が、通信バス１００６で接続されている。

なお、これらの構成要素は複数設けられていてもよいし、一部の構成要素（例えば、ドライブ装置１００５）を設けないようにしてもよい。また、図示していない通信ＩＦ（例えば、有線又は無線のネットワークカード等）を設け、ネットワークを介して接続された複数のコンピュータに、例えば図３に示した機能部を分散させるような構成とすることもできる。また、本実施の形態に係る処理をコンピュータに実行させるためのプログラムを製造することができ、当該プログラムは、ドライブ装置で読み取り可能な記憶媒体や、ＵＳＢメモリのような補助記憶装置を介して提供されるようにしてもよい。そして、ＣＰＵ１００１がプログラムを実行することにより、上記のようなコンピュータをＦＴ生成装置１として働かせる。

次に、本実施の形態におけるＦＴを生成する処理について説明する。図５は、本実施の形態に係る処理フローの一例である。ＦＴ生成装置１は、ユーザからの入力を受け付ける入力受付処理（図５：Ｓ１）、入力されたデータに基づいてＦＴを生成するＦＴ生成処理（Ｓ２）、予め登録されている、基本事象の発生確率を用いてＦＴのトップ事象が発生する確率を算出する確率算出処理（Ｓ３）、及び生成したＦＴや算出した確率を出力する出力処理（Ｓ４）を行う。

これらの処理は、便宜上一連の処理として説明するが、一部の処理を分割して実行するようにしてもよい。例えば入力受付処理を他の装置で行い、入力されたデータを用いてＦＴを生成することもできる。また、ＦＴ生成装置１は、一部の処理を省略することもでき、例えば確率算出処理を実行しないようにしてもよい。また、処理結果が変わらない限りにおいて、ＦＴ生成装置１は、処理の順序を入れ替えたり、並列に処理したりすることもできる。

次に、入力受付処理（Ｓ１）の詳細を説明する。なお、ＦＴ生成装置１の入力部１０１は、例えば図６に示すような、事故シナリオを表すチャートの入力を受け付ける。図６には、実線の長方形及び角丸長方形で示された「事象」２００１，２００４，２００５，２００８及び２００９と、破線の長方形で示された「認知手段」２００２及び２００６Ａ〜２００６Ｃと、実線のひし形で示された「回復動作」２００３及び２００７とが含まれる。また、矢印は、接続された事象及び回復動作の間の状態遷移を示している。

事象とは、設備において発生し得る、プロセスの状態を表している。図６において、矢印の向きにより表された状態遷移の起点となる事象（「起因事象」とも呼ぶ。図６では、最上部の「ＦＣＶ１２開度過大」２００１が起因事象に当たる）は、プラントに含まれる機器について、機器のパラメータの目標値からのずれを表したものである。例えば、ユーザは、予め定められた機能不全モードに基づいて起因事象を入力する。

機能不全モードとは、プロセス状態を制御する機器の機能不全事象のことであり、例えば、機器が制御弁なら機能不全モードは開度過大、開度過少、機器が遮断弁なら機能不全モードは異常停止、異常開放、機器がポンプなら機能不全モードは異常停止などを指す。

ユーザーは機能不全モードによって表される事象を、設備に含まれる機器について設定する。また、ある事象と矢印で接続された遷移先の事象は、遷移元の事象の結果として発生する事象を表している。なお、図６の例では、最終的に起こる事故を表す事象（「終端事象」２００９とも呼ぶ）及び回復動作に成功した後の事象２００４及び２００８を、角丸長方形で表している。

認知手段とは、例えば警報機能を有する機器やプラントの異常を検出する機能を有する機器であり、事象の発見方法を表している。なお、認知手段には、複数の機器による多数決系が採用される場合もある。多数決系とは、プラントに含まれる機器の集合のうち、所
定数の要素（機器）の出力結果が一致した場合に、一致した結果に従うという冗長化方式である。多数決系が採用された機器の集合は、例えば一部の計測機器が故障して誤った値を出力する場合でも、所定数以上の機器が正常に作動すれば、所定数以上の出力結果が一致するため、集合全体としては正常に機能する。すなわち、システムが冗長化され、信頼度が上がる。なお、ｎ個の機器のうちｋ個の機器が正常に作動すれば全体として機能する（すなわち、ｎ個の要素のうちｋ個の結果が一致したとき、その結果に従う）多数決系を、「ｋ ｏｕｔ ｏｆ ｎ」と表すものとする。

図６において、多数決系は、実線の長方形「２ ｏｕｔ ｏｆ ３」２００６、並びに実線の長方形「２ ｏｕｔ ｏｆ ３」から分岐している破線の長方形「要素１：流量検出システム」２００６Ａ、「要素２：流量検出システム」２００６Ｂ及び「要素３：流量検出システム」２００６Ｃで表されている。また、入力部１０１は、多数決系が採用されている複数の要素のうちいくつの要素の出力結果が一致したときにその結果に従うのかを示す所定値（すなわち、正常に作動すべき機器の数の下限値）の入力を受け付け、記憶部１０７に格納しておく。

なお、ここでは、集合全体として正常に機能しなくなる場合の、故障が許容される機器の数の上限値を入力させるようにしてもよい。正常に作動すべき機器の数の下限値と、故障が許容される機器の数の上限値との和は、集合に属する機器の総数である。よって、機器の総数のほかに、正常に作動すべき機器の数の下限値と、故障が許容される機器の数の上限値とのいずれか一方が入力されれば、他方の値も算出できる。

また、回復動作とは、認知手段により事象の進行（すなわち、事故につながる事象の遷移）を防止するための動作を表しており、回復動作に成功した場合の事象と、回復動作に失敗した場合の事象とに分岐する。なお、回復動作の主体は機器の場合のほか、運転員の場合もある。

本実施の形態において入力されるシナリオは、予め定められた形式、すなわち「事象」、「認知手段」及び「回復動作」の繰り返しによって表現されるため、ＦＴ生成装置１の入力部１０１は、例えば、対話形式でユーザに入力を促すことができる。また、このようなシナリオを直接チャートの形式で入力させるのではなく、他の形式のデータを入力させ、入力されたデータを変換することによって生成するようにしてもよい。例えば、ユーザが、事象を文字列で表し、事象の遷移を所定の記号（例えば、矢印）で区切ることにより表した形式で、データを入力するようにしてもよい。そして、入力されたデータに基づいて、ＦＴ生成装置１の入力部１０１が、チャートの少なくとも一部（例えば、骨格となるひな形）を自動生成することもできる。

次に、図７を用いて入力受付処理の流れを説明する。図７は、入力受付処理の処理フローの一例を示している。まず、ＦＴ生成装置１の入力部１０１は、例えばキーボード等の入力装置を介して、ユーザから起点となる事象の入力を受け、入力されたデータを記憶部１０７に格納する（図７：Ｓ１１）。例えば、事象を表すデータとして、当該事象が発生する機器の種類を表す「機器の種別」、機器を識別するための「機器の名称」、及び機器に起こり得る不完全な状態（すなわち、理想的な状態からのずれ）を表す「不全モード」等のフィールドを設定しておく。そして、ユーザはこれらの内容を入力する。

図６の例では、起因事象として「ＦＣＶ１２開度過大」が入力されている。図６の起因事象の場合は、例えば、「機器の種別」として「流量制御システム」が、「機器の名称」として「ＦＣＶ１２」が、「不全モード」として「開度過大」が入力されたものとする。なお、「機器の種別」の場合はプラントに用いられる機器の種類に応じて、「機器の名称」の場合はプラントに用いられる機器に付された名称に応じて、「不全モード」の場合は
「機器の種別」に応じて、各フィールドに入力される内容は限定される。化学プラントであれば、機器の種別として、温度検出システム、流量検出システム、液面検出システム等が挙げられる。また、不全モードとしては、例えば、検出値異常、開度過大、異常解放等が挙げられる。よって、「機器の種別」、「機器の名称」、及び「不全モード」に入力され得る内容を予め登録しておき、ユーザに選択させるようにすることもできる。

また、入力部１０１は、入力装置を介してユーザから認知手段の入力を受け、入力されたデータを記憶部１０７に格納する（Ｓ１２）。ここでは、ユーザは、図６における破線の長方形にデータを入力する。入力部１０１は、例えば、事象の発生を検知することができる機器の名称の入力を受け付ける。さらに、入力部１０１は、機器の種別や不全モードの入力を受け付けるようにしてもよい。

また、上で述べたように、多数決系を採用した複数の機器が存在する場合には、ユーザは、複数の機器を入力するとともに、複数の機器のうち最低限正常に動作すべき機器の数を表す所定値を入力する。例えば、入力部１０１は、ユーザの操作に基づいて、入力できる機器（要素）の数を増減させる。図６では、実線の長方形「２ ｏｕｔ ｏｆ ３」２００６から分岐する形で、要素１〜３（２００６Ａ〜２００６Ｃ）が入力されている。また、図６の例では、ユーザは所定値として２を入力したものとする。すなわち、「ｋ ｏｕｔ ｏｆ ｎ」のｎは要素の総数を表しており、ｋは、ユーザが入力した所定値を表している。

そして、入力部１０１は、入力装置を介してユーザから回復動作の入力を受け、入力されたデータを記憶部１０７に格納する（Ｓ１３）。ここでは、ユーザは、図６における実線のひし形に、例えばＳ１２で入力した認知手段を利用した回復動作を入力する。入力部１０１は、例えば、機器の種別、機器の名称、及び不全モードの入力を受け付ける。なお、本実施の形態では、機器の種別として運転員を含むようにし、不全モードとして運転員による操作の失敗等を含むようにしてもよい。

また、入力部１０１は、入力装置を介してユーザから事象の入力を受け、入力されたデータを記憶部１０７に格納する（Ｓ１４）。ここでは、ユーザは、図６における実線の長方形又は角丸長方形にデータを入力する。例えば、ユーザは、発生する事象を文字列で入力し、入力部１０１は入力された事象をチャートにおける接続関係を示すデータと共に記憶部１０７に格納する。なお、入力部１０１は、事象の発生を検知することができる機器の名称、機器の種別、不全モード等の入力を受け付けるようにしてもよい。

その後、入力部１０１は、ユーザが入力を終了したか判断する（Ｓ１５）。具体的には、ユーザから入力装置を介してＦＴ生成の命令を受けたときに、ユーザが入力を終了したと判断するようにしてもよい。入力を終了しないと判断された場合（Ｓ１５：ＹＥＳ）、入力処理部１０１は、Ｓ１２の処理に戻り、Ｓ１２〜Ｓ１５の処理を繰り返す。この場合、入力部１０１は、図６に示したチャートにおいて、事象や回復動作を追加する。なお、特にＳ１２〜Ｓ１４の処理は、順序を入れ替えて実行するようにしてもよい。また、例えば、認知手段が存在しない場合等には、一部の入力を省略することもできる。一方、Ｓ１５において入力を終了したと判断された場合、入力部１０１は入力受付処理を終了し、図５の処理に戻る。

なお、記憶部１０７に格納される、シナリオを表すデータ（図６のチャート）は、事象を示すデータ、回復動作を示すデータ、認知手段を示すデータ、接続関係を示すデータ等を含む。接続関係を示すデータは、例えば、接続される２点（遷移元及び遷移先）を表すデータとして保持しておいてもよいし、事象を示すデータ、回復動作を示すデータ又は認知手段を示すデータが、接続先（遷移元又は遷移先）のデータを保持するようにしてもよ
い。

次に、ＦＴ生成処理（図５：Ｓ２）の詳細を説明する。図８に、ＦＴ生成処理の処理フローの一例を示す。ＦＴ生成装置１のＦＴ生成部１０２は、まず、ＦＴにおけるトップ事象を設定する（図８：Ｓ２１）。なお、図９に、ＦＴ生成処理で生成されるＦＴの一例を示す。Ｓ２１では、ＦＴ生成部１０２が、記憶部１０７から事故シナリオのデータを読み出し、事象の遷移の終端に存在する終端事象（図６の例では、最下段に記載された「爆発」２００９）を処理対象として抽出し、シナリオにおける終端事象（図６：２００９）をＦＴのトップ事象（図９：３００１）に設定したデータを記憶部１０７に格納する。なお、本ＦＴ生成処理では、図６に示したチャートの終端事象（２００９）から、矢印の向きと逆方向に、起点となる事象（２００１）までを順に処理対象として、ＦＴ（図９）を生成する。

図９のＦＴは、頂上に記載されたトップ事象（図９では、「爆発」３００１）から、ＡＮＤゲートを表す論理記号（「ＡＮＤゲート記号」又は「ＡＮＤゲート」とも表す）を介して事象「流量増大」３００２及び事象「流量インターロック不作動」３００３が接続されている。これは、事象「流量増大」３００２及び事象「流量インターロック不作動」３００３の両者が発生した場合に、トップ事象「爆発」３００１が発生することを表している。同様に、事象「流量増大」３００２の下位には、ＡＮＤゲートを介して、事象３００４〜３００８が展開（すなわち、枝状に追加）されている。また、事象「流量インターロック不作動」３００３及び事象３００５の下位にも事象が展開されるが、図９では省略されている。なお、図９では、下方の終端に存在する、根本的な原因を表す事象（図９では、事象３００６〜３００８）を、角丸長方形で表している。また、ＦＴにおける事象を示す情報として、例えば図６のチャートが入力されたときに記憶部１０７に格納した、機器の名称、機器の種別、不全モード等の情報を保持しておく。上で説明したＳ２１では、トップ事象「爆発」３００１が設定される。

図８の説明に戻り、Ｓ２１の後、ＦＴ生成部１０２は、ＦＴにおける下位の事象を設定する（Ｓ２２）。ここでは、ＦＴ生成部１０２は、図６のチャートにおける処理対象の事象から矢印を逆方向にたどり、遷移元の回復動作を表す事象と、これに接続されている遷移元の事象とを次の処理対象として抽出する。例えば、図６において、終端事象「爆発」２００９に接続されている遷移元の回復動作を表す「流量インターロック作動」２００７と、当該回復動作に接続されている事象「流量増大」２００５とが抽出される。そして、ＦＴ生成部１０２は、抽出した回復動作の失敗を表す事象と遷移元の事象とをＡＮＤゲートで接続し、ＦＴにおける下端の事象の下位にさらに接続する。すなわち、図９のトップ事象「爆発」３００１の下位に、事象「流量インターロック不作動（流量インターロック作動失敗）」３００３と事象「流量増大」３００２とがＡＮＤゲートで接続される。

Ｓ２２では、ＦＴ生成部１０２は、図６の終端事象（２００９）から起因事象（２００１）までを順に処理対象として、ＦＴ（図９）に展開する処理を再帰的に実行する。具体的には、図６の事象２００３と事象「ＦＣＶ１２回度過大」２００１とが抽出され、図９の事象「流量増大」３００２の下位に、事象３００５と事象「ＦＣＶ１２開度過大」３００４とが接続される。

次に、ＦＴ生成部１０２は、下位事象展開処理を行う（Ｓ２３）。図１０に、下位事象展開処理の処理フローの一例を示す。まず、ＦＴ生成部１０２は、記憶部１０７に格納されているシナリオにおいて、処理対象の回復動作の上部に接続されている認知手段が「多数決系」であるか判断する（図１０：Ｓ３１）。図６の例では、回復動作「流量インターロック作動」２００７の上部右側に分岐点「２ ｏｕｔ ｏｆ ３」２００６を介して３つの要素（「要素１：流量検出システム」２００６Ａ、「要素２：流量検出システム」２
００６Ｂ、及び「要素３：流量検出システム」２００６Ｃ）が存在する。このように、複数の機器（以下、「要素」とも呼ぶ）が「ｋ ｏｕｔ ｏｆ ｎ」を介して接続されることを示すデータが保持されていた場合、ＦＴ生成部１０２は、認知手段が多数決系であると判断する。

認知手段が多数決系であると判断された場合（Ｓ３１：ＹＥＳ）、ＦＴ生成装置１の組合せ生成部１０３は、要素の総数ｎから、（ｎ−ｋ＋１）個を選択する組み合わせを１つ抽出する（Ｓ３２）。なお、ｋは、多数決系が適用されているｎ個の機器の集合（便宜上、「第１の集合」とも呼ぶ）が集合全体として正常に機能するために、正常に作動すべき機器の数の下限値である。よって、（ｎ−ｋ＋１）は、集合全体として正常に機能しなくなる（すなわち、回復動作に失敗する）場合の、正常に作動しない機器（例えば、故障した機器）の数の下限値である。このような機器の組み合わせ（便宜上、「第２の集合」とも呼ぶ）は、_nＣ_n-k+1通り存在する。Ｓ３２では、組合せ生成部１０３は、未選択の組み合わせを１つ抽出する。

図９の事象「流量インターロック不作動」３００３及びその下位に展開される事象を、図１１に示す。図１１では、事象「作動信号異常」３０１２の下位に「２ ｏｕｔ ｏｆ
３」３０１３が接続されている。また、その下位には３種類の組み合わせを表す「２ ｏｕｔ ｏｆ ３ 故障１」３０１４、「２ ｏｕｔ ｏｆ ３ 故障２」３０１５及び「２ ｏｕｔ ｏｆ ３ 故障３」３０１６が接続されている。Ｓ３２では、組合せ生成部１０３が、未選択の組み合わせとして、例えば、図６の要素１〜要素３の中から、「要素１」２００６Ａ及び「要素２」２００６Ｂの組み合わせを抽出する。

そして、組合せ生成部１０３は、抽出された組み合わせに含まれる機器に不具合が発生する事象として、ＦＴにおいてＡＮＤゲートで接続する（Ｓ３３）。これは、回復動作に失敗する事象の１つとして、抽出された組み合わせに含まれる機器がすべて故障した場合を表したものである。なお、組み合わせに含まれる機器が１つの場合も想定される。このような場合は、ＡＮＤゲートを省略すればよい。図１１の例では、抽出された「要素１」２００６Ａ及び「要素２」２００６Ｂに不具合が発生する事象「流量計 要素１ 故障」３０１７及び「流量計 要素２ 故障」３０１８が、１つ目の組み合わせ「２ ｏｕｔ ｏｆ ３ 故障１」３０１４としてＡＮＤゲートで接続される。

その後、組合せ生成部１０３は、全ての組み合わせを抽出したか判断する（Ｓ３４）。未処理の組み合わせが存在する場合（Ｓ３４：ＮＯ）、組合せ生成部１０３は、Ｓ３２〜Ｓ３３の処理を繰り返す。図１１の例では、３つの組み合わせ「２ ｏｕｔ ｏｆ ３ 故障１」３０１４、「２ ｏｕｔ ｏｆ ３ 故障２」３０１５及び「２ ｏｕｔ ｏｆ
３ 故障３」３０１６が抽出及び接続されるまで組合せ生成部１０３がＳ３２〜Ｓ３３の処理を繰り返す。

一方、全ての組み合わせを抽出したと判断された場合（Ｓ３４：ＹＥＳ）、組合せ生成部１０３は、抽出された組み合わせをＦＴにおいてＯＲゲートで接続し、生成したＦＴのデータを記憶部１０７に格納する（Ｓ３５）。これは、抽出された複数の組み合わせのうち、いずれか１つの組み合わせが発生した場合には回復動作に失敗することを表したものである。なお、組み合わせが１通りしか存在しない場合も想定される。このような場合は、ＯＲゲートを省略すればよい。図１１の例では、３つの組み合わせ「２ ｏｕｔ ｏｆ
３ 故障１」３０１４、「２ ｏｕｔ ｏｆ ３ 故障２」３０１５及び「２ ｏｕｔ
ｏｆ ３ 故障３」３０１６がＯＲゲートで接続される。

Ｓ３５の後、又はＳ３１において認知手段が多数決系でないと判断された場合（Ｓ３１：ＮＯ）、ＦＴ生成部１０２は、予め記憶部１０７に登録されている下位の事象が存在す
るか判断する（Ｓ３６）。なお、本実施の形態では、機器の種別及び不全モードごとに想定される、典型的な原因を表す事象を、部分的なＦＴ（便宜上、「部分ＦＴ」とも呼ぶ）として予め記憶部１０７に登録しておく。また、上で説明したように、ＦＴの事象には、機器の種別及び不全モード等の情報が登録されている。よって、ＦＴ生成部１０２は、図９及び図１１のＦＴに含まれる事象について、機器の種別及び不全モードが一致する部分ＦＴを読み出し、図９及び図１１のＦＴに追加（すなわち、展開）することができる。

Ｓ３６では、図９及び図１１のＦＴに含まれる事象のうち、特に、図６のチャートにおいて回復動作として入力され、図９及び９のＦＴに展開された事象、並びに図９及び図１１における終端に存在する基本事象を対象として、原因を表す事象（すなわち、機器の種別及び不全モードが一致する部分ＦＴ）が記憶部１０７に登録されているか判断する。図１１に示した多数決系が適用されている機器の集合から展開されたＦＴの事象についても、原因を表す事象が記憶部１０７に登録されているか判断する。

そして、下位の事象が存在すると判断された場合（Ｓ３６：ＹＥＳ）、ＦＴ生成部１０２は、記憶部１０７から部分ＦＴを表すデータを読み出し、対象となる事象の下位に接続する（Ｓ３７）。Ｓ３７の後、又はＳ３６において下位の事象が存在しないと判断された場合（Ｓ３６：ＮＯ）、ＦＴ生成部１０２は、下位事象展開処理を終了し、図８の処理に戻る。

図９に示した事象のうち「ＦＣＶ１２開度過大」３００４には、機器の種別「流量制御システム」及び不全モード「開度過大」が関連付けて登録されている。また、予め記憶部１０７には、機器の種別「流量制御システム」及び不全モード「開度過大」に関連付けて、事象「ＤＣＳ故障」、「流量計 故障」及び「空気調整弁 故障」をＯＲゲートで接続した部分ＦＴが登録されているものとする。この場合、Ｓ３６では、図９のＦＴに含まれる基本事象「ＦＣＶ１２開度過大」３００４に関連付けて登録されている機器の種別及び不全モードに基づいて部分ＦＴが読み出され、図９に示すように「ＦＣＶ１２開度過大」３００４の下位に「ＤＣＳ故障」３００６、「流量計ＦＣＶ１２故障」３００７及び「空気調整弁ＦＣＶ１２故障」３００８が接続される。その後、ＦＴ生成部１０２は、ＦＴ生成処理を終了し、図５の処理に戻る。また、図１１の場合は、「流量インターロック不作動」３００３の下位に、「流量インターロック故障」３０１１及び「作動信号異常」３０１２が展開されている。そして、「作動信号異常」３０１２の下位に、上で述べた多数決系の組み合わせ（事象３０１３〜３０２２）が展開されている。なお、多数決系を示す事象の下位（図１１の場合は、事象３０１７〜３０２２の下位）に、さらに部分ＦＴが展開される場合もある。

なお、図１０に示した下位事象展開処理のうち、組み合わせを抽出する部分（Ｓ３２〜Ｓ３４）は、概念的な処理フローである。具体的には、組み合わせを漏れなく抽出するために、様々なアルゴリズムを採用することができる。

６個の機器のうち４個が正常に作動すれば集合全体として機能する多数決系（すなわち、４ ｏｕｔ ｏｆ ６）が採用されている場合、例えば、図１２に示すように、組み合わせを網羅して抽出する。図１２に示す符号８００１〜８０２０は、それぞれ６個の機器を表す６個の正方形Ａ〜Ｆを含んでいる。そして、６個の正方形のうちハッチングを施した３つの正方形が、故障した機器を模式的に表している。

そして、組合せ生成部１０３は、まずアルファベット順に１番目〜３番目の機器を選択して組み合わせを生成する。ここでは、機器Ａ、機器Ｂ及び機器Ｃによる組み合わせが選択される（８００１）。その後、３番目の機器として未選択の機器が存在すれば、アルファベット順に選択して組合せを生成する（８００２〜８００４）。なお、ここでは順列で
なく組み合わせを抽出するため、３番目の機器は２番目の機器よりもアルファベットの順番が後方の機器から選択する。そして、３番目の機器として未選択の機器が存在しなければ、２番目の機器として未選択の機器を選択する。ここでも、２番目の機器は、１番目の機器よりもアルファベットの順番が後方の機器から選択する。その後、３番目の機器として未選択の機器をアルファベット順に選択し、組合せを生成する（８００５〜８００７）。このような処理により、機器Ａ、機器Ｂ及び機器Ｃによる組み合わせ（８００１）から機器Ｄ、機器Ｅ及び機器Ｆによる組み合わせ（８０２０）までの２０通りが選択される。このような例に限らず、様々なアルゴリズムを採用することができる。

その後、ＦＴ生成装置１の確率算出部１０４及び共通要因事象抽出部１０５は、ＦＴのトップ事象が発生する確率等を求める確率算出処理を行う（図５：Ｓ３）。この確率算出処理は、図１３を用いて説明する。まず、共通要因事象抽出部１０５は、記憶部１０７に格納されているＦＴを表すデータを読み出し、ＦＴ全体の中に共通要因事象が含まれているか判断する（図１３：Ｓ４１）。

上で説明したように、共通要因事象とは、相互に依存性を有し同時発生する事象を表す。例えば、ＦＴの中に複数の回復動作が存在する場合であっても、いずれの回復動作も機器を作動させるために共通の電源を利用していたときは、落雷等で電源に不具合が生じてしまうと複数の回復動作は同時に失敗することになる。すなわち、ＦＴにおいて、共通要因事象である複数の回復動作を独立した回復動作（すなわち、二重・三重の防護機能）であるものとして評価してしまうと、トップ事象の発生確率の算出を誤ることになる。

Ｓ４１では、共通要因事象抽出部１０５は、ＦＴに含まれる事象のうち、登録されている機器名が少なくとも同一である事象を共通要因事象であると判断する。なお、共通要因事象抽出部１０５は、機器の種別、機器の名称、及び不全モードの全部又は一部が同一である事象を共通要因事象と判断するようにしてもよい。特に、機器の名称及び不全モードが一致する事象を共通要因事象と判断してもよいし、機器の名称及び不全モードを特定することができる他の識別情報を予め事象に付しておき、当該識別情報が一致する事象を共通要因事象を判断するようにしてもよい。以上のような判断を、ＦＴに含まれる事象のすべての組み合わせについて順次実行し、ＦＴに含まれる共通要因事象を特定する。

そして、共通要因事象が存在すると判断された場合（Ｓ４１：ＹＥＳ）、共通要因事象抽出部１０５は、共通要因事象であると判断された複数の事象が同時に発生する事象であることを示す情報を記憶部１０７に格納する（Ｓ４２）。そして、Ｓ４２の後、又はＳ４１において共通要因事象が存在しないと判断された場合（Ｓ４１：ＮＯ）、確率算出部１０４は、ＦＴにおけるトップ事象の発生確率を算出する（Ｓ４３）。なお、記憶部１０７には、基本事象の発生確率として、例えば、既知の又は統計データ等から推定される、事象の発生率（例えば故障率等）が登録されているものとする。

確率算出部１０４は、ＦＴの構造に基づいて、既知の手法である、ブール代数の論理計算により、カットセットを求め、基本事象の発生確率を用いることにより頂上事象の発生確率を算出することが出来る。なお、カットセットとは、その集合に属する全ての基本事象が発生したときに頂上事象が発生する基本事象の集合である。

また、トップ事象の発生確率だけでなく、中間事象の発生確率についても記憶部１０７に保持しておき、後に出力できるようにしておいてもよい。なお、本実施の形態では、共通要因事象を同時に発生するものとして扱うため、より正確な確率計算を行うことができる。このような確率計算は、既存の手法を用いて行うことができる。

その後、ＦＴ生成装置１の出力部１０６は、出力処理を行う（図５：Ｓ４）。具体的に
は、出力部１０６は、ＦＴを表すデータ、ＦＴに含まれる事象が発生する確率を示すデータ等を記憶部１０７から読み出し、ディスプレイやプリンタ等の出力装置に出力する。

なお、ディスプレイに表示する場合には、ＦＴの全体がディスプレイに表示されるよう、表示の大きさを縮小したり、ユーザが内容を視認しやすいように表示の大きさを拡大してＦＴの一部が表示されるようにしてもよい。また、ＦＴを複数の仮想的なページに分割して表示することもできるし、任意の事象の上位又は下位に接続されている事象について、ユーザが表示又は非表示の設定を切り替えられるようにすることもできる。本実施の形態において、多数決系が採用されている機器のうち故障が生じた機器の組み合わせを表す事象が複数存在する場合も、出力部１０６は、上で例示したような方法により、ＦＴを出力することができる。

以上のような処理を行うことにより、ユーザが入力した、事故シナリオを表すチャート（例えばＨＡＺｃｈａｒｔ）に基づいて、ＦＴ生成装置１はＦＴを生成することができる。特に、設備の中に多数決系による冗長化が採用された機器の集合が含まれる場合には、集合に含まれる要素（すなわち、機器）の入力と、少なくともいくつの機器が正常に作動すれば集合全体として機能するのかを表す下限値の入力を受けることにより、ＦＴ生成装置１の組合せ生成部１０３は、集合全体として機能しない場合の、故障する機器の組み合わせを網羅して抽出し、ＦＴに展開することができる。したがって、ＦＴを生成するためのデータ入力にかかるユーザの負担を、軽減することができる。

＜コンピュータが読み取り可能な記録媒体＞
コンピュータその他の機械、装置（以下、コンピュータ等）に上記いずれかの機能を実現させるプログラムをコンピュータ等が読み取り可能な記録媒体に記録することができる。そして、コンピュータ等に、この記録媒体のプログラムを読み込ませて実行させることにより、その機能を提供させることができる。ここで、コンピュータ等が読み取り可能な記録媒体とは、データやプログラム等の情報を電気的、磁気的、光学的、機械的、または化学的作用によって蓄積し、コンピュータ等から読み取ることができる記録媒体をいう。このような記録媒体のうちコンピュータ等から取り外し可能なものとしては、例えばフレキシブルディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＣＤ−Ｒ／Ｗ、ＤＶＤ、ブルーレイディスク、ＤＡＴ、８ｍｍテープ、フラッシュメモリなどのメモリカード等がある。また、コンピュータ等に固定された記録媒体としてハードディスクやＲＯＭ（リードオンリーメモリ）等がある。

１ フォールトツリー（ＦＴ）生成装置
１０１ 入力部
１０２ ＦＴ生成部
１０３ 組合せ生成部
１０４ 確率算出部
１０５ 共通要因事象抽出部
１０６ 出力部
１０７ 記憶部

Claims (7)

1. 設備の冗長化方式として、当該設備に含まれる機器の第１の集合のうち少なくとも所定数の機器が正常に作動すれば前記第１の集合全体として機能する多数決系が採用されている場合における、前記第１の集合に属する機器、及び前記所定数を表す情報の入力を受け付けるステップと、
   前記第１の集合に属する機器のうち正常に作動する機器の数が前記所定数を下回る場合における、異常が生じた機器の組み合わせを表す第２の集合を生成する組合せ生成ステップと、
   生成された前記第２の集合を用いて、フォールトツリーを表示するためのデータを生成するフォールトツリー生成ステップと、
   当該データを出力するステップと、
   をコンピュータに実行させるフォールトツリー生成プログラム。
2. 前記組合せ生成ステップにおいて、前記第１の集合に属する機器のうち正常に作動する機器の数が前記所定数を１下回る場合における、異常が生じた機器のすべての組み合わせを生成し、
   前記フォールトツリー生成ステップにおいて、前記第２の集合に属する機器が複数存在する場合、前記第２の集合に属する機器の異常を表す事象をＡＮＤゲートで接続し、前記第２の集合が複数存在する場合、複数の前記第２の集合をＯＲゲートで接続して、前記フォールトツリーを生成する
   請求項１に記載のフォールトツリー生成プログラム。
3. 前記フォールトツリー生成ステップにおいて、前記設備に含まれる機器に異常が発生する原因となる事象を記憶部から読み出し、前記第２の集合に属する機器の異常を表す事象と、前記原因となる事象とを接続して前記フォールトツリーを生成する
   請求項１又は２に記載のフォールトツリー生成プログラム。
4. 記憶部から前記フォールトツリーの基本事象が発生する確率を読み出し、当該基本事象が発生する確率を用いて前記フォールトツリーのトップ事象が発生する確率を算出する算出ステップ
   をさらに実行させる、請求項１ないし３のいずれか一項に記載のフォールトツリー生成プログラム。
5. 前記入力ステップにおいて、前記第１の集合に含まれる機器の識別情報の入力を受け付け、
   前記生成ステップにおいて、前記識別情報を用いて前記第２の集合を生成し、
   前記算出ステップにおいて、前記第２の集合に属する機器の識別情報と、前記フォールトツリーの他の事象に含まれる機器の識別情報とが少なくとも一致する場合、前記第２の集合に属する機器の異常を表す事象と前記他の事象とが同時に発生するものとして前記トップ事象が発生する確率を算出する
   請求項４に記載のフォールトツリー生成プログラム。
6. 設備の冗長化方式として、当該設備に含まれる機器の第１の集合のうち少なくとも所定数の機器が正常に作動すれば前記第１の集合全体として機能する多数決系が採用されている場合における、前記第１の集合に属する機器、及び前記所定数を表す情報の入力を受け付ける入力部と、
   前記第１の集合に属する機器のうち正常に作動する機器の数が前記所定数を下回る場合における、異常が生じた機器の組み合わせを表す第２の集合を生成する組合せ生成部と、
   生成された前記第２の集合を用いて、フォールトツリーを表示するためのデータを生成
   するフォールトツリー生成部と、
   生成した前記データを出力する出力部と、
   を有するフォールトツリー生成装置。
7. 設備の冗長化方式として、当該設備に含まれる機器の第１の集合のうち少なくとも所定数の機器が正常に作動すれば前記第１の集合全体として機能する多数決系が採用されている場合における、前記第１の集合に属する機器、及び前記所定数を表す情報の入力を受け付けるステップと、
   前記第１の集合に属する機器のうち正常に作動する機器の数が前記所定数を下回る場合における、異常が生じた機器の組み合わせを表す第２の集合を生成する組合せ生成ステップと、
   生成された前記第２の集合を用いて、フォールトツリーを表示するためのデータを生成するフォールトツリー生成ステップと、
   生成した前記データを出力するステップと、
   をコンピュータが実行するフォールトツリー生成方法。

Images