JP5096352B2 - システムの行動における故障の影響をモデル化する方法 - Google Patents

Description

本発明はシステムの行動における故障の影響をモデル化する方法に関し、特にビークルシステムのような工業設計（技術設計）をモデル化するシステムに関する。

例えば、自動車産業における安全臨界システムでは、信頼性の報告は手作業で生成される。信頼性の報告はＦＭＥＣＡ（故障モード、影響及び臨界解析）またはＦＭＥＡ（故障モード及び影響解析）のような信頼性と安全性の解析から生成される。

信頼性の報告の一例は図１の報告または表10として示されている。行30の１つのみが図１で記載されているが、実際の信頼性の報告では多数の行で完成されていることに注意すべきである。図１の例はビークル操縦システムに関する。報告10全体は手作業で生成され、システムにおけるコンポーネント故障の影響を表明し、この影響の重大度を定量化するためにエンジニアまたはエンジニアのチームの主観的判断に依存している。

図１を参照すると、列12では操縦システムの機能は「ハンドルの動作に応答してホイールを動かす」として規定されている。列14では潜在的な故障モードが規定されている。ここではこれは「応答しないホイール動作」として規定され、ホイール（操縦ラック）動作がハンドルの動作に応答しないことを示している。列16では、この故障の潜在的影響は「ホイールの制御なし」として規定されている。列18では、潜在的な影響の重大度スコアが規定される。重大度スコアは典型的に０と１０の間の値であり（低いスコアは低い重大度を表す）、この例では１０の重大度スコア（非常に重大な影響を示す）が与えられている。

列20では潜在的な故障は「センサ故障」として列挙され、列22では１と１０の間の発生スコアはこの潜在的な故障について与えられている（低いスコアは低い発生を表す）。この例では２の発生スコアが与えられている。

列24ではこの潜在的な故障の検出能力が規定されている。ここでは９の検出能力スコアが潜在的な故障に対して与えられている。このスコアは１と１０の間のスコアであるが、この例では高いスコアは低い検出能力を示している。

列26では危険性優先番号（ＲＰＮ）は重大度スコア×発生スコア×検出能力スコアの乗算により計算される。ＲＰＮがある値を超えるならば、例えばそれが８０を超え、随意選択的に重大度スコアがある値を超え、例えば重大度スコアが７を超えるならば、エンジニアは更なる行動を推薦することによりさらに表をポピュレートする。これはシステムに対する変更を含んでもよく、さらに行動についての完了日のようなプロジェクトをベースとするターゲットを含んでいてもよい。他の列は推薦された行動が行われたときの記録のようにエンジニアが他の情報を作成及び記録しようと望む可能性のある種々のコメントについての報告に含まれることができる。

ビークル操縦システムまたは暖房、換気、空調（ＨＶＡＣ）システムのような任意のシステムでは、多数の機能が典型的に故障報告中で規定されている。各機能では、幾つかの潜在的な故障モードは典型的にエンジニアにより識別され、各潜在的な故障モードでは、故障の多数の潜在的影響が識別されることができる。故障の各潜在的な影響に対しては、多数の潜在的な故障が存在する可能性がある。

信頼性の報告は典型的に大きいことが認識されよう。これらは手作業で生成され、これらはエンジニアの主観的判断に依存する。信頼性の報告を構成することは相当の時間を取り、典型的にエンジニア入力スループットを必要とする。さらにシステムに対する任意の変更は報告全体を無効にし、新しい報告が作成される必要があることを意味する。システムの変更にしたがった信頼性の報告の再作成には時間がかかる。さらに、主観的な査定は、特に故障の潜在的影響に対して重大度スコアを与える限り、正確な定量化を欠き、それ故信頼性がない。

さらに、信頼性報告内に含まれる典型的な解析は単一の故障の影響の解析に基づいている。システム内の多数の故障の潜在的影響の査定は典型的な信頼性解析で典型的に研究されていない。これは非現実的であり、重大な多数の故障が識別されないことを意味する可能性がある。

“A Method and Tool Support for Model-based semi-automated Failure Modes and Effects Analysis of Engineering Designs”と題する“Conference in Research and Practice in Information Technology”（第38巻、Australian Computer Society、2004年）で出版された論文はエンジニアがＭａｔｌａｂ／ＳｉｍｕｌｉｎｋまたはＩＴＩ／シミュレーションＸモデルを注釈することを必要とするツールを説明している。これらの注釈は効率的にモデル中の各コンポーネントの小さい故障ツリーを記述している。ツールはその後、故障がモデル中の信号線に沿って伝播することを仮定することによってこれらの小さい故障ツリーを１組のシステム故障ツリーに組み立てる。その後、システム故障ツリーに基づいてＦＭＥＡを生成する。

発明の概要

本発明は特許請求の範囲に記載されている。

システムの動作における故障の影響をモデル化する方法がそれ故与えられる。特に信頼性の報告で使用するための重大度スコアを決定する方法が提供され、エンジニアの入力が効率的なレベルで焦点を結ばれることを可能にする。

機能モデルを使用することによって、機能モデルは入力と出力の変数の計算及びモデル化をするのでこれらの変数の付加的及び別々のコード化は必要とされない。また、エンジニア入力は全体的な信頼性の報告を生成するために必要とされない。むしろエンジニア入力はその方法の入力として使用されるある規定だけのために必要とされる。本発明の実施形態はそれ故、システムの信頼性の報告を構成するための既知の方法よりも多大な時間的節約を行う。時間の節約は報告が数月間または数年間ではなく一日で生成されることができ、必要とされるエンジニア時間が比例することとの両者である。

さらに、機能モデルが変更されるならば、例えば早期の信頼性の報告の解析にしたがうならば、新しいエンジニア作成報告は生成される必要がない。機能モデルに対する変更を反映するために別々の信頼性のモデルが変更される必要もない。これは変更された機能モデル内で計算された変数がモデル自体に対して行われた変更を自動的に反映し、これらの変数は本発明の方法で使用されるからである。したがって、本発明の実施形態はシステムが変更された後にさらに報告を生成するとき、既知の方法よりも極めて多大な時間節約を行うことを可能にする。

本発明の１実施形態を添付図面を参照して単なる例示として説明する。
本発明はシステムの行動における故障の影響をモデル化する方法に関する。機能モデル（例えばＭａｔｌａｂ／ＳｉｍｕｌｉｎｋまたはＩＴＩ／シミュレーションＸモデル）はシステム、典型的にはビークルシステムのような工業設計をモデル化するシステムをモデル化するために使用される。このようなモデルはシステム内の種々の変数の値を計算してモデル化する。例えばワイヤアーキテクチャによる概念的操縦の機能モデルでは、変数、即ちハンドル角度、ハンドル角度信号、ラック位置モータ制御信号、操縦ラック角度、操縦ラック角度信号が計算されモデルによりモデル化される。

故障（例えばセンサ故障）は（例えばモデル内の１以上の変数を変更することによって）機能モデルを変更するように変更装置を設定することにより規定される。例えばセンサ障害の故障では、センサの出力は感知された値を示すのではなく、ゼロに設定されて、センサから出力がないことを示すこともできる。この故障はモデル内の変数値を変更する（即ち値をゼロに設定する）ことによりモデルに注入される。

検査が規定され、これは時間期間にわたる少なくとも１つの入力変数（例えばハンドル角度）の値を特定する。検査はシステムの潜在的な動作モードを表しているとして考えられることができる。少なくとも１つの出力変数（例えば操縦ラック角度）を含む出力も規定される。検査における予測される出力値が規定され、それは時間期間にわたる出力変数の予測される値を特定する。予測される出力は故障が注入されないときモデルにより発生される出力であることができる。

出力及び対応する予測される出力はシステムの潜在的な故障モードに対応するように規定されることができ、それによって検査は特定の故障モードに対する故障の影響を解析するために使用されることができる。

故障はモデルに注入され、モデルは検査にしたがって動作される。モデルはモデル化された出力を計算する。機能モデルからの出力はモデル化された出力と予測される出力との差に基づいて故障の重大度スコアを決定するために予測される出力と比較される。

図１を参照すると、本発明の実施形態は図１の列18に示されている重大度スコアを決定するための方法を提供する。発生及び検出能力値（図１の22および24）とＲＰＮ（図１の26）は知られている方法と同じ方法で計算されることができる。

図２を参照すると、システムの機能モデルの説明が示されている。この実施例ではビークルのワイヤシステム40による操縦が示されている。ハンドル角度センサ42が示されている。これらのセンサはハンドル（例えばステアリングホイール）の角度を検出する。図２に示されている例では、３つのハンドルセンサ42が示されている。３つのこのようなセンサを設けるのはハンドルセンサ故障が非常に重大である潜在性をもつので冗長性を提供するための通常行われている方法である。したがって、３つのハンドル角度信号44はハンドル角度センサ42からワイヤ操縦制御装置46へ伝送される。これらの３つのハンドル角度信号44の通路は図ではハンドルセンサ42から制御装置46へ延在する３つの矢印により示されている。

システム40は操縦ラックアセンブリ50に接続されている２つのラック位置モータ48を有する。操縦ラック角度センサ52はモデル中のラック位置モータ48と操縦ラックアセンブリ50の間に示されている。２つのラック位置モータ48のそれぞれのための２つのラック位置モータ制御信号54がワイヤ操縦制御装置46からラック位置モータへ伝送される。これらの制御信号54は図では制御装置46からモータ48へ延在する（各信号に対して１つの）２つの矢印により示されている。

操縦ラック角度センサ52は操縦ラックの角度を感知し、操縦ラック角度信号56を制御装置46へ送る。操縦ラック角度信号56は図ではセンサ52から制御装置46まで延在する矢印56により示されている。

図２は例示の目的で与えられている。機能モデルツール（例えばＳｉｍｕｌｉｎｋ）は典型的に機能モデルがモジュールの階層的フォーマットで書かれることを可能にするグラフィカルブロック図言語を与える。コンポーネントのグループは階層レベルに分割され、最上位層は最小の詳細を示し、それぞれの続くレベルは各サブシステムまたはコンポーネントのさらに詳細な内容を示している。当業者はこのようなモデルに精通している。

図３の（Ａ）と（Ｂ）はより一般的な機能モデル化の説明により、簡単な形態で図２のワイヤ操縦システムを示している。

図３の（Ａ）を参照すると、システムの最上位又は最下位レベルが示されている。示されているシステムでは、自動車60はハンドルシステムまたはサブシステム62と、ワイヤ操縦制御装置64と操縦アセンブリ66とを具備している。典型的に、サブシステムはユーザにより規定されることができるが、このようなサブシステム62、64、66は機能モデルツール内のライブラリによりサポートされ、提供される。

図３の（Ｂ）はサブシステムをさらに詳細に示している。ハンドルシステム62内には、ハンドル角度センサ68が設けられている。ハンドル角度信号70はハンドル角度センサ68からワイヤ操縦制御装置64へ送られる。ハンドル角度は図では矢印70により示されている。

ラック位置モータ制御信号（図面中の矢印72）は制御装置64から操縦アセンブリ66内のモータ74へ送信される。操縦アセンブリ66は操縦ラック角度信号（図中の矢印78）を制御装置64へ返送する操縦ラック角度センサ76も具備している。

図３の（Ａ）および（Ｂ）で示されているシステムは図２のシステムを簡単にしたものであることが認識されよう。特に３つのハンドル角度センサの存在は簡単にするために単一のハンドル角度センサ68により置換されている。

機能モデル内で、種々のシステム変数が規定される。図３の（Ｂ）の例では、システム変数にはハンドル角度、ハンドル角度信号70、ラック位置モータ制御信号72、操縦ラック角度および操縦ラック角度信号78が含まれている。

故障は機能モデルにより表されているシステムにおいて規定されることができる。示されているシステムの故障の例は（ｉ）パワーの損失（エンジン故障）、（ii）センサの故障、（iii）センサのドリフト、（iv）モータ故障、（ｖ）減少されたモータトルクである。故障は故障を表すために機能モデルを変更する変更装置により表される。特定の故障に応じて、変更装置はモデル内の変数を固定した値へ設定し、変数を定数により乗算し、そうでなければこれが故障の存在を有するシステムの行動を表すように機能モデルを変更することができる（例えば機能をモデル内の変数に適用する）。例えば（ｉ）パワーの損失はモータのトルク変数をゼロに設定する変更装置により表されることができ、（ii）センサの故障はハンドル角度信号変数をゼロに設定する変更装置により表されることができ、（iii）センサドリフトはハンドル角度信号変数に適用されるドリフトを規定する変更機能（例えば毎時１０％の付加値を付加する機能）により表されることができ、（iv）モータの故障はモータのトルク変数をゼロに設定する変更装置により表されることができ、（ｖ）減少されたモータのトルクはトルク変数を数値（例えば０．８）により乗算する変更装置により表されることができる。更に別の例として、モータ内の短絡回路は機能モデルの変更により表されることができ、それによってその入力電流の機能としてモータが出力トルクを発生する代わりに、これはその入力シャフトの回転速度にしたがって（負の）トルクを発生する。

これらの故障又は故障定義はエンジニアにより規定されることができ、モデル外（通常は適切なデータベース内）に記憶されることができ、モデルはいずれの故障がいずれのサブシステムまたはサブコンポーネントに適用することができるかを示し、故障の対応する発生率を示すために注釈を付けられる。エンジニアの入力はエンジニアの経験が必要とされるレベルに集中されることができる利点がある。

特定の実施形態では、故障又は故障定義は機能モデルライブラリ中に予め規定される。サブシステムとコンポーネントはライブラリ内に記憶され、サブシステムとコンポーネントは故障定義と随意選択的に発生率で注釈を付けられる。したがってモデル内のサブシステム又はコンポーネントを使用する行為は故障を示す注釈を含んでいるモデルを自動的に生成する。ユーザは通常の方法でモデルを構成することができる利点がある。

任意の数の故障が本発明の実施形態において規定されることができる。

各故障に対しては、発生率はモデルで規定されることもできる。発生率は故障が生じる予測される率を表している。特定のコンポーネントに対する発生率はコンポーネントの信頼性データベース、例えばＭＩＬ ｓｔｄ２１７のような既知のソースから発見されることができ、或いは必要ならば特定のコンポーネントに対してエンジニアにより規定されることができる。

前述の５つの例の故障では、発生率は（ｉ）ｌｅ−９／ｈｒ、（ii）ｌｅ−７．ｈｒ、
（iii）ｌｅ−６／ｈｒ、（iv）ｌｅ−６／ｈｒ、（ｖ）ｌｅ−８／ｈｒである。発生率は随意選択的に他の期間で規定されることができる。例えばこれらは設計寿命においてあり得る故障率として規定されることができる。

前述したように、発生率は注釈として別々にまたは機能モデル中に記憶されることもできる。注釈は典型的にモデルの通常の動作に直接影響しないコメントであるが、モデルを生成するユーザ（エンジニア）により観察され変更されることができる。

規定されている故障と同様に、検査も規定される。検査は時間期間にわたる入力変数の値を規定する入力を有する。入力変数は機能モデル内で任意の変化可能なモデル化が可能である。検査はシステムの通常の動作モード（例えば予め定められた速度で道路の予め定められたセット周辺で運転する）を反映することができ、或いは故障モードのあるタイプを強調するように設計されることができる。例えば「応答しないホイールの動作」（図１の列14を参照）の故障モードの例では、ハンドル角度の予め定められたセットが如何にして時間と共に変化するかが適切な入力として使用されることができる。

検査はまた予測される出力を有する。予測される出力は時間期間にわたる出力変数の予測される値を規定する。適切な出力変数が選択されるべきであるが、機能モデル内でモデル化される任意の変数が使用されることができる。予測される出力はシステムの潜在的な故障モードに対応するように規定されることができ、検査は特定の故障モードに対する故障の影響を解析するために使用されることができる。例えば操縦ラック角度は例示の故障モードについての適切な出力変数として使用されることができる。

１以上の入力変数は入力で規定されることができる。同様に、１以上の出力変数は出力で規定されることができる。

図４の（Ａ）は故障モードの１例の検査を示しているグラフ80である。（実線として示されている）ハンドル角度82が示されており、予測される出力83、この例では操縦ラック角度は破線として示されている。図面で分かるように、予測される出力は入力がゼロから上昇し、正の値で平坦になり、低下し、負の値で平坦になり、再度正の値に上昇し、次第にゼロになるように、入力に追従する。

予測される出力はシステムへ注入された任意の故障が何もなく（即ち故障を特定するためにモデル中のどの変数を変更せずに）、入力にしたがってモデルを動作させることにより機能モデルにより発生されることができる。

検査は別々のプログラム内または検査のデータベース中でモデルの一部として記憶されることができる。

任意の数の検査は本発明の実施形態で規定されることができる。典型的に多数の検査は１以上の故障にそれぞれ関連されて規定される。

検査は性能レベルのセットと関連される。性能レベルは多数の検査（例えば全ての検査又は検査のサブセット）または検査特定ベースで包括的に規定されることができる。

性能レベルが規定されると、性能レベルを規定するための将来のエンジニア入力は必要とされないので、エンジニア入力は通常は性能レベルを規定するために最初に必要とされる。効率的にエンジニア入力はエンジニアの経験が必要とされるレベルに集中される。

１組の性能レベルが規定される。各性能レベルは関連される重大度スコアを有している。重大度スコアは最小値（典型的にゼロ）から最大値（（典型的に１０まで）の範囲であることができる。重大度スコアは故障の潜在的な影響を表す。ゼロの重大度スコアはシステムがその仕様内で動作していることを意味する（例えば故障のないシステムは常にゼロの重大度スコアを与えるべきであり、これはシステムがその要求を満たしていることをチェックするために使用されることができる）。範囲の下端（例えば１−３）の重大度スコアは故障のさらに低い重大度の影響を表し、範囲の中間（例えば４−６）の重大度スコアは中間の重大度を表し、高い値（例えば７−１０）は高い重大度を表し、１０が最高の重大度スコアである。

各性能レベルはモデル化された出力と予測される出力との間の関係を規定する。モデル化された出力モデルは故障がモデルに注入される（即ちモデルは故障を表すために変更される）とき機能モデルから出力され、そのモデルは検査にしたがって動作する。

例えば３つの性能レベルはそれぞれが関連される重大度スコア（例えばそれぞれ０、５、１０）を有する（ｉ）「仕様性能において」、（ii）「公正な性能」、（iii）「貧弱な性能」として通常の用語で規定される。他の例では、異なる数の性能レベルが規定されることができる。

これらの性能レベルに対するモデル化された出力と予測される出力との間の関係は（ｉ）仕様中では１％までの偏差、（ii）１％と５％の間の偏差、（iii）５％以上の偏差であることができる。

機能モデルツールは精巧なツールであり、あるツール（例えばＣａｒｓｉｍ）では性能レベルは「レーン内に存在する」、「路上に存在する」、「通路を外れる」のような用語で設定されることができる。このような性能レベルの定義が使用されることができ、重大度スコアがそれぞれに関連される。

性能レベルが規定されることを可能にすることにより、それはエンジニアが何が性能の許容可能なレベルであり、何が性能の許容可能なレベルではないかについて集中し、したがって主観的な重大度スコアを設定することを可能にする。特定の性能レベルに帰する重大度スコアは主観的であり、これが設定されると、既知の方法で必要とされているように、特定の故障モードに対して重大度スコアが何であるべきかに関してエンジニアからの主観的入力は存在しない。

重大度スコアは性能レベルを使用せずに発生されることができ、例えばスコアは０と１０の間の加重された結果を生成する機能により、予測される出力とモデル化された出力との関係に直接関連されることができる。

図５は、本発明の１実施形態による方法の動作ステップを示している。典型的に方法が開始する前に、故障、検査、性能レベル、および関連される重大度スコアは前述したように予め規定されている。

プロセスはステップＳ２で開始する。故障はその後モデルに注入される。故障（例えばセンサ故障）は（例えばハンドル角度をゼロに設定するため）システムに対する予め定められた変更により表される。したがってステップＳ４で、故障を特定するために機能モデルを変更することにより故障が注入される。幾つかの実施形態では、多数の故障が多数の変形をモデルに対して行うことにより注入されることができる。通常、多数の故障はＦＭＥＡでは考慮されない。したがって多数の故障を注入する能力はこのような実施形態により与えられる大きな利点である。

ステップＳ６で、機能モデルは検査により特定された入力（例えば図４の（Ａ）のハンドル角度）にしたがって動作される。入力は時間期間（例えば３０分間、１時間、２時間）にわたる入力変数の値を規定する。

幾つかの実施形態では、多数の検査によるモデルの多数の動作が行われることができる。

ステップＳ８では、機能モデルは入力により規定される入力変数の値にしたがって、モデル化された出力を計算する。モデル化された出力は時間期間にわたる（例えばモデルにより計算された）出力変数の値を有している。

図４の（Ｂ）は（実線として示されている）モデル化された出力86を示す１例のグラフ84を示している。予測される出力83はこの例でも（破線として）示されており、入力と予測される出力は図４の（Ａ）について説明されているようなものである。予測される出力は予測される操縦ラック角度と、モデル化された操縦ラック角度のモデル化された出力である。この例は「センサドリフト」故障に対するものである。

グラフは例示の目的で使用されていることに注意すべきである。入力、予測される出力、モデル化された出力は例えば表のような任意の他の適切な形態で記憶されることができる。

ステップＳ10で、モデル化された出力はステップＳ12で重大度スコアを決定するために予測される出力と比較される。性能レベルは重大度スコアを決定するために使用されることができる。

性能レベルを決定するために、モデル化された出力と予測される出力との間の偏差または差は例えば瞬間値を比較することにより、またはモデル化された出力と予測される出力との差を積分することにより、任意の適切な方法で計算されることができる。

例えば（ｄ１、ｄ２、ｄ３としての３つの随意の点で示されている）図４の（Ｂ）のモデル化された出力と予測される出力との差は示されているような設定点で決定されることができる。平均の差は平均割合差を決定するためにパーセンテージとして計算することができる。前述の例を使用して、平均割合差が「１％から５％の偏差」であるならば、これは「公正な性能」を示し、５の重大度スコアは故障の原因となる。

特定の実施形態では、全体的なビークルシステム（例えば自動車システム）のモデルが使用される。このようなモデルでは、（例えば性能レベルとしての）故障区分は容易に理解される用語で説明されることができる。用語は再使用可能であることもできる。例えばモデル化されたビークルがレーン外に入ったが特定された運転期間中、道路の正しい側に存在するならば、５の重大度スコアが適切であることができる。

図４の（Ｃ）は別の例のモデル化された出力90（角度における実線はゼロに等しい）を示す別のグラフを示している。予測される出力83もまた破線としてグラフで示されている。図４の（Ｃ）でモデル化された故障は「センサ故障」であり、これは検出されていないハンドル角度を生じ、値ゼロは（故障したセンサにより発生されるハンドル角度信号におけるゼロ値に基づいて）操縦ラック角度について機能モデルにより計算されている。前述の例を使用して、この例の性能レベルは「５％を超える偏差」であり、１０の重大度スコアが故障が原因であることを示す。

随意選択的にステップＳ４乃至Ｓ12はステップＳ18に示されているように異なる故障に対して反復される。

ステップＳ14で、信頼性の報告が生成される。信頼性の報告の１例は図６では表100として示されている。

図６を参照すると、潜在的な故障モード102は検査によって規定される。この例では潜在的な故障モードは「応答しないホイール動作」である。

表100はまた潜在的な故障モードに対する潜在的な故障104を含んでいる。これらは既に説明した５つの例の故障、即ち（ｉ）パワーの損失、（ii）センサ故障、（iii）センサドリフト、（iv）モータ故障、（ｖ）減少されたモータトルクである。

前述の方法により計算されている重大度スコアは列106でポピュレートされる。

表100の発生の列108はこれを１と１０の間の発生スコアに変換することによって（例えばｌｅ−９／ｈｒとしての割合の形態またはその設計寿命にわたるコンポーネントの可能性のある故障率を規定する情報の形態で）発生率情報からポピュレートされる。変換は変換表又は他の適切な技術により行われることができる。変換表の一例を以下に示す。

したがって、発生率は１０の予め規定された帯域にグループ化されることができる。各帯域は対応する発生スコアに関連されることができる。発生スコア10に対応する帯域は最も低い信頼性であり、発生スコア１に対応する帯域は最も信頼性がある。

また、１と１０の間の検出能力値が例えばコンポーネントの製造プロセス情報を参照することにより決定されることができる。１例として、ある故障が製造プロセス中に検出可能であるならば（例えばコンポーネントがフルロード下で破損するならば）、その後フルロード検査が製造プロセスにおいて存在し、製造された全ての部品に適用されることが保証されたならば、検出能力は１に設定されることができる。代わりに、製造プロセス中に検査が全く存在しないならば、検出能力は１０に設定されることができる。幾らかの故障はまた通常の動作期間中に監視されることができる（例えば図３の（Ｂ）では、ハンドル角度信号が操縦ラック角度信号にほぼ等しいかをチェックするためのコンポーネントが付加されることができる）。検出能力の測定が存在しないか、または検出能力の測定が解析の必要とされる部分ではない多くの場合、この列は省略されることができるか、又は全ての検出能力値は１に設定される。（例えば偶然性として多数の等価コンポーネントを与える）冗長のようなリスク軽減特性は検出能力値を使用する必要なく、ここで説明されるプロセスで自動的に考慮されることに注意すべきである。これは冗長が機能モデル中でモデル化されるためである。

したがって、重大度、発生、検出能力、ＲＰＮを有する故障報告が生成されることができる。

図５を参照すると、ステップＳ20が示されている。ステップＳ20は信頼性の報告が生成されるとシステムのモデルが変更されることができることを示している。この変更は機能モデルに対して行われる。例えば１以上の付加的なハンドル角度センサが含まれることができる。重大度スコアが変化し、例えば単一のセンサ故障の重大度スコアは小さくなるので、このような変更は故障報告を無効にする。したがって新しい信頼性の報告が生成される必要がある。

既知の方法では、新しい信頼性の報告の生成は、エンジニアが信頼性の報告を再成することを含んでおり、または少なくとも変更を反映するために別々の信頼性のモデルを更新することを含んでいる。これは大きな労力とエンジニアの入力を必要とする。しかしながら説明されている方法では、機能モデルはモデル化された出力を計算するので、変更は自動的に反映される。有効に、モデルの変更に続いて、ステップＳ２からＳ16がエンジニアからの何等の付加的な入力もなしに再度行われることができる。これは故障報告が再度動作されることができる時間を数週間乃至数ヶ月間から１日未満まで減少することができる。

ステップＳ８が機能モデルにより行われることが認識されよう。機能モデルは任意の１以上のステップＳ４、Ｓ６、Ｓ10、Ｓ12、Ｓ14を行うように構成されることができる。

例えば故障定義は機能モデルについて行われることができ、故障定義はステップＳ４を行うように付勢可能である。これは真に設定するとき、特定された故障（または検査）を注入するモデルの付加的な変数を規定することにより実現されることができる。誤に設定するとき、モデルは故障（又は検査）が存在しないかのように動作する。これらの変数はその後、必要とされるように故障（または検査）を手作業で又は自動的に設定するために使用されることができる。

随意選択的に、ステップＳ４、Ｓ６、Ｓ10、Ｓ12、Ｓ14はコンピュータプログラムにより行われることができる。例えばコンピュータプログラムは故障及び検査を特定し、選択的に故障を注入し、検査を行うために機能モデル中の注釈（コメント）を読取ることができる。代わりに、コンピュータプログラムは別の入力ファイルを使用することができる。

任意の適切な機能モデルが本発明で使用されることができる。特に適切なモデルタスクはMathsWorks社からのMatlab/Simulink (www.mathworks.com)、ITI GmbHからのITI/Simulation X (www.simulationx.com)を含んでおり、Mechanical Simulation Corporationから得られるCarsim (www.carsim.com)は特に自動車システムの機能モデル化に適切なタスクである。

図７の（Ａ）および（Ｂ）は本発明の方法を行うように構成されることのできる装置を示している。装置はコンピュータ110の形態である。図７の（Ａ）はコンピュータの外観を示しており、図７の（Ｂ）はコンピュータコンポーネントの概略的で簡単化された表示である。

コンピュータ110はバス構造126に結合されたプロセッサ122のような種々のデータ処理リソースを具備している。バス構造126にはメモリ120のようなさらに別のデータ処理リソースも接続されている。ディスプレイアダプタ118はディスプレイ114をバス構造126へ接続している。ユーザ入力装置アダプタ116はユーザ入力装置112をバス構造126へ接続している。通信アダプタ124はまた例えばコンピュータネットワークを横切って他のコンピュータと通信するために設けられることができる。

動作において、プロセッサ122はメモリ120に記憶されている命令を実行する。実行される処理の結果はディスプレイアダプタ118とディスプレイ装置114を介してユーザに表示されることができる。コンピュータ110の動作を制御するためのユーザ入力はユーザ入力装置112からユーザ入力装置アダプタ116を介して受信されることができる。

装置又はコンピュータのアーキテクチャはかなり変化することができ、図７の（Ａ）と（Ｂ）は単なる１例を示していることが認識されよう。

コンピュータ110のようなコンピュータに本発明の方法を行わせるように動作可能なコンピュータプログラムは、種々の異なるコンピュータ言語で書かれることができ、キャリア媒体（例えばキャリアディスク又はキャリア信号）で供給されることができる。

本発明を特定の例を参照して説明したが、変更は本発明の技術的範囲内である。

例えば、ワイヤ操縦ビークルシステムの例を本発明の１実施形態の特別例として使用したが、本発明の方法は機能モデルでモデル化されることができる他のシステム、特に工業設計をモデル化する特定のシステムと共に使用されることができることが認識されよう。このようなシステムは自動車（例えば自動車システムのようなビークルシステム）、航空宇宙、および他の安全性臨界システムを含むことができる。本発明の方法は特に信頼性の報告が一般的に使用されるシステムに対して応用可能である。例には自動車技術、パワー伝送および制御システム、流体パワープラント、熱応用等が含まれている。

別の例として、１つの故障を一時に注入するのではなく、故障の全ての可能な組合せが一度に注入されることができ、又は固定された数の故障が注入されることができる。随意選択的に、規定された重大度の故障が発見されるまで（例えばビークルが停止するか制御可能ではなくなるまで）多数の故障が注入されることができる。多数の故障が同時に存在する場合、発生スコアは各個々の故障の障害の組合された確率に基づくことができる。この計算はマルコフ信頼性モデルまたは解析或いは当業者によく知られているような類似の技術を使用することにより行われることができる。特にマルコフ信頼性解析が使用されるならば、計算された信頼性は検査期間中のコンポーネント又はサブシステムにおけるストレスに基づくことができる（このストレスは正常な使用から来るものであるか他の故障の作用である可能性があり、例えば図２では１つのモータが故障するとき、第２のモータにおけるストレスが増加する可能性があり、これがその信頼性を減少する）。

更に別の例として、方法の結果は多数の異なる方法で提示されることができる。例えばＦＭＥＣＡ、マルコフ信頼性または故障（又は成功）ツリーとしてである。

本発明の実施形態はシステム内の潜在的な故障に対して精巧で定量化可能で反復可能な重大度スコアを提供できる。さらに、機能モデルは重大度スコアを生成するために使用されるので、機能モデル中でモデル化されるシステムは変更されることができ、検査は自動的に反復されることができ、システムが変更した後の潜在的な故障の重大度を決定するためには、従来の方法ではエンジニア入力は必要とされたが、エンジニア入力がさらに必要とされないことを意味する。さらに定量化された検査、性能レベルおよび故障の使用は評価の主観性を減少する。

既知の信頼性の報告の１例を示す図。 ワイヤ操縦システムによる機能モデルの１例を示す図。 図２の機能モデルの簡略図。 １例の試験のための入力（ハンドルの角度）と予測される出力（操縦ラック角度）を示す図とその図における試験のためのモデル化された出力の例を示す図。 本発明の１実施形態による方法の動作ステップを示す図。 本発明の１実施形態による方法により生成される信頼性の報告を示す図。 本発明の１実施形態の方法を行うように構成されることのできるコンピュータを示す図。

Claims (19)

1. システムの行動における故障の影響をモデル化する方法において、
   （ａ）変数を含むシステムの機能モデルを生成し、その各変数は特定された故障にそれぞれ関連しており、機能モデルは、変数の少なくとも１つを真に設定することがその変数と関連する特定された故障を注入したことになり、変数を誤に設定することがその変数と関連する特定された故障がシステム中に存在しないものなるように機能モデルを動作させるように構成されており、
   （ｂ）変数の１つを真に設定してシステム中の故障の存在を特定するようにシステムを変更し、
   （ｃ）機能モデルを動作させて時間期間にわたる少なくとも１つの入力変数の値を規定する入力に対する、時間期間にわたる少なくとも１つの出力変数の予測される値を規定する予測される出力を生成して検査を行い、
   （ｄ）機能モデルは入力により規定される入力変数の値にしたがって、時間期間にわたる少なくとも１つの出力変数のモデル化された値を含むモデル化された出力を計算し、
   （ｅ）モデル化された出力と予測される出力とを比較してモデル化された出力と予測される出力との差に基づいて故障に対する重大度スコアを決定するステップを含んでいるシステムの行動における故障の影響をモデル化する方法。
2. ステップ（ｂ）はシステムにおける２以上のそれぞれの故障を特定するために機能モデルに対して２以上の変更を行うように２以上の変数を真に設定するステップを含んでいる請求項１記載の方法。
3. ステップ（ｅ）は故障の性能レベルを決定するためにモデル化された出力を予測される出力と比較し、性能レベルを故障の重大度スコアに変換するステップを含んでいる請求項１または２記載の方法。
4. 性能レベルの予め規定されたセットが存在し、そのセットの各性能レベルは対応する予め規定された重大度スコアを有している請求項３記載の方法。
5. さらに、システムにおける異なる故障に対してステップ（ｂ）乃至（ｅ）を反復するステップを含んでいる請求項１乃至４のいずれか１項記載の方法。
6. さらに、マルコフ信頼性解析を使用することにより２以上の故障の組合せに対する発生スコアを決定するステップを含んでいる請求項１乃至５のいずれか１項記載の方法。
7. さらに（ｆ）１以上の故障に対する重大度スコアを含む信頼性の報告を生成するステップを含んでいる請求項１乃至６のいずれか１項記載の方法。
8. 機能モデルはステップ（ｂ）、（ｃ）、（ｅ）のなかの１以上のステップを含んでいる請求項１乃至７のいずれか１項記載の方法。
9. さらに、機能モデル中で故障定義を作成するステップを含み、故障定義はステップ（ｂ）を行うために付勢可能である請求項１乃至８のいずれか１項記載の方法。
10. 故障定義は機能モデルライブラリ中に予め規定されている請求項９記載の方法。
11. モデルはビークルモデルである請求項１乃至１０のいずれか１項記載の方法。
12. モデルは自動車モデルである請求項１乃至１１のいずれか１項記載の方法。
13. さらに、モデルを変更し、請求項１に記載されたステップ（ａ）乃至（ｅ）を反復するステップを含んでいる請求項１乃至１２のいずれか１項記載の方法。
14. モデルはＳｉｍｕｌｉｎｋモデルである請求項１乃至１３のいずれか１項記載の方法。
15. モデルはＣａｒｓｉｍモデルである請求項１乃至１４のいずれか１項記載の方法。
16. コンピュータに請求項１乃至１５のいずれか１項記載の方法を行わせるように動作可能なコンピュータプログラム。
17. 請求項１６記載のコンピュータプログラムを有しているキャリア媒体。
18. 請求項１乃至１５のいずれか１項記載の方法を行うように構成されたコンピュータ。
19. 請求項１乃至１５のいずれか１項記載の方法を行うように構成されたプロセッサを具備している装置。

Images