JP5570701B2 - 集積回路の故障モード・影響分析を実行するための方法、およびそのためのコンピュータプログラム製品 - Google Patents

Description

本発明は、設計中の集積回路の故障モード・影響分析（ＦＭＥＡ：Ｆａｉｌｕｒｅ Ｍｏｄｅ ａｎｄ Ｅｆｆｅｃｔｓ Ａｎａｌｙｓｉｓ）を実行するための方法に関する。そのような回路は、論理ゲートあるいは他の任意のデジタルまたはアナログ機能へとまとめられた複数のトランジスタで構成される任意の集積回路（ＩＣ）であってよい。

さらに、本発明は、設計中の上記集積回路の上記故障モード・影響分析（ＦＭＥＡ）を検証するための随意による方法に関する。

故障モード・影響分析は、製品またはプロセスの潜在的な故障を調べるための方法である。以下では、頭文字「ＦＭＥＡ」を好んで使用する。ＦＭＥＡは、システムの故障（フォールト）からのライフサイクル的結果（リスク）の累積的影響を小さくする改善措置の選択において役に立つ。ＦＭＥＡは、これらに限られるわけではないが、最も一般的には、設計（設計ＦＭＥＡ）および製造プロセス（プロセスＦＭＥＡ）に適用される。ＦＭＥＡは、現時端において、自動車、航空宇宙、生物医学、ならびに安全が重要であり、あるいは保安に関係する産業において、広く使用されている。

ＦＭＥＡの基本プロセスは、ボトムアップ分析であり、すなわちシステムまたはプロセスの各部を記述し、各部の故障の場合の結果を列挙することにある。次いで、多くの場合、結果が、３つの基準および関連のリスク指標、すなわち
・重大性（Ｓ）、
・発生の可能性（Ｏ）、および
・検出のための制御の不可能性（Ｄ）
によって評価される。

それぞれの故障の全体としてのリスクは、リスク優先指数（ＲＰＮ）と称され、重大性（Ｓ）、発生（Ｏ）、および検出（Ｄ）のランキングの積である。

反対の方向において、フォールトツリー分析（ｆａｕｌｔ‐ｔｒｅｅ ａｎａｌｙｓｉｓ）が、望ましくない事象から出発して、考えられる原因のすべてを列挙するトップダウンの手順である。以下では、頭文字「ＦＴＡ」を好んで使用する。

ＦＭＥＡは、ＱＳ‐９０００またはＩＳＯ／ＴＳ １６９４９などといった多数の品質システムにおいて使用されている。さらに、例えば電子安全関連システムの機能的安全性についての国際規格ＩＥＣ ６１５０８など、安全が重要なシステムに関する多数の国際規格の分析プロセスの基礎である。これらの規格は、典型的には、リスク指標を診断カバレッジ、安全側故障部分、などといった当該分野に特有の他の指標で拡張している。

一般に、ＦＭＥＡを実行するための技術水準の方法は、現場からのデータ（例えば、現場故障の履歴または統計データ）の収集、および／または関連のシステム、プロセス、または構成部品についての人手による分析の実行を含んでいる。例として、米国特許出願ＵＳ２００５０１５４５６１Ａ１（特許文献１）が、意図されるプロセスについてＦＭＥＡを実行するための方法であって、同様のプロセスにおいて生じる故障および欠陥に関するデータの収集を含む方法を記載している。これに基づき、潜在的な故障または欠陥が、収集したデータに基づき第１の「エンティティ」によって意図されるプロセスにおいて識別される。最後に、ＦＭＥＡが、意図されるプロセスについて、第１のエンティティによって識別された潜在的な故障に基づき、第２のエンティティによって実行される。他の例は、米国特許ＵＳ２００６０１２２８７３Ａ１（特許文献２）であり、エンティティの開発のためのリスク管理システムであって、選択された影響を受けたエンティティを特定の危険に関連付ける情報を保存しており、選択された影響を受けたエンティティへと特定の危険についてのリスクの知らせをもたらすリスク管理システムを開示している。

これらの方法および同様の方法は、システム全体についてＦＭＥＡプロセスを定めることを目的としている。今日では、システムの複雑さおよび高度の統合の両者が、これらの方法を集積回路へと拡張することを必要としている。例えば、自動車の供給者および製造者は、ハードウェアの完全性についての責任を安全性が生じうる最も下方のレベル、すなわちマイクロコントローラそのものへと移動させることに努めている。したがって、マイクロコントローラについての詳細な分析が、重要性、システムの安全性への影響、および考えられる対策を定めるために必要とされる。

しかしながら、集積回路の内部のコンポーネントの数が多いため、上述のシステム指向のＦＭＥＡ法は、現実的には適用不可能である。最新のシステム‐オン‐チップは、数百万のゲートおよび数百万のトランジスタに容易に達する。したがって、さらに自動化されたＦＭＥＡ手法が必須である。

部分的に自動化された分析のいくつかの例が存在しており、それらは依然として、システムまたはシステムの分析プロセスの選択された部分に関係している。例えば、米国特許ＵＳ７０１７０８０（特許文献３）が、ＦＭＥＡからインポートされるデータベースから出発して、技術システムについてＦＴＡを生成するための方法を開示している。このいわゆる「ＩＱ‐ＦＭＥＡ」は、個々の故障が入力され、そのような方法を使用してエキスパートによって適切に分類されているエディタを通じて実行される。したがって、自動性は、コンピュータ支援のＦＭＥＡエディタおよびＦＴＡの生成に限定され、どのように分析対象の技術システムからの故障の記述および関連の故障率の抽出を自動化するのかについての示唆はない。

同様の考え方が、Ｙｉａｎｎｉｓ Ｐａｐａｄｏｐｏｕｌｏｓ、Ｄａｖｉｄ Ｐａｒｋｅｒ、およびＣｈｒｉｓｔｉａｎ Ｇｒａｎｔｅの「Ａｕｔｏｍａｔｉｎｇ ｔｈｅ Ｆａｉｌｕｒｅ Ｍｏｄｅｓ ａｎｄ Ｅｆｆｅｃｔｓ Ａｎａｌｙｓｉｓ ｏｆ Ｓａｆｅｔｙ Ｃｒｉｔｉｃａｌ Ｓｙｓｔｅｍｓ」、Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ Ｅｉｇｈｔｈ ＩＥＥＥ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｈｉｇｈ Ａｓｓｕｒａｎｃｅ Ｓｙｓｔｅｍｓ Ｅｎｇｉｎｅｅｒｉｎｇ（ＨＡＳＥ‘０４）（非特許文献１）などの文献に開示されている。この論文においては、ＦＴＡが合成され、ＦＭＥＡがフォールトツリーから導出される。やはり、そのような場合において、コンポーネントの局所的な故障の挙動の確立は、故障の表現の組として、モデルにおける入力として与えられ、当該コンポーネントの内部構造から自動的に決定されるわけではない。

集積回路についてＦＭＥＡを実行するための詳細な方法が欠けている結果として、システムＦＭＥＡ法の大部分では、前記集積回路が、依然として「ブラック」ボックスとして考えられている。すなわち、ＦＭＥＡが、集積回路の製造者によって与えられる信頼性データまたは現場から集められたデータから得られる故障の記述および故障率を利用している。そのような例として、特許ＵＳ７０３５７６９（特許文献４）が、電子装置の設計のための設計ＦＭＥＡ方法であって、新たな装置によって導入される新たな問題を仮定するために、データベースにおいてキーワードおよび過去の故障情報をそれぞれの設計問題へと関連付けることを含む方法を開示している。やはりこのような場合にも、この方法は、電子装置を分析するためのやり方を提供するよりはむしろ、先に実行された分析行為の結果を処理および利用するためのツールをユーザに提供している。

この限界を克服するための試験的な解決策は、集積回路を「グレー」ボックスとして考えることにあり、すなわち集積回路の入力‐出力の関係を内部の故障モードを詳しく分析することなく考慮することにある。そのような方法において、ＦＭＥＡは、通常はシミュレーションによって補助され、すなわち（故障の）刺激を供給して結果を取り出すことによって補助される。例えば、日本国特許出願ＪＰ０２０１６４７１Ａ２（特許文献５）が、回路を分析するためのＦＭＥＡシミュレーション法を開示しており、分析回路のセグメント化および入力／出力条件がキーボードを介して設計者によって設定され、それに基づき、ＦＭＥＡシミュレーションが、前もって設定された手順に従って実行される。続いて、その結果および別途入力される故障ランクデータに基づき、ＦＭＥＡデータの出力および故障率テーブルの出力が実行される。

同じやり方で、伊国特許ＩＴ１３１９００９（特許文献６）が、標準的な信号を入力しつつ内部の回路ノードを周期的にチェックすることによって状態の履歴を生成し、エラーに起因する停止の場合に、さかのぼって調べるデジタル論理回路の故障分析方法を開示している。

同じやり方で、米国特許ＵＳ４２２８５３７（特許文献７）が、テスト対象のユニットの応答を故障なしの回路の応答と比較する部分故障辞書およびオンライン故障シミュレーションを使用するデジタル回路の自動故障診断方法を開示している。

これらの「グレー」ボックス法の欠点として、例えば、シミュレーション時間がきわめて長い点、および適切な入力刺激データベースを持たなければならない点が挙げられる。さらに、シミュレーション対象の回路について完璧な故障データベースを得ることができないため、そのようなデータベースと入力刺激データベースとの間のリンクが存在しない。したがって、故障情報および故障率が、当該集積回路の内部部品の臨界性を評価するためのより正式かつ系統的なやり方をもたらすのではなく、外部の刺激によって故障を誘起させることによって計算されるため、完全さを欠く結果となる。

要約すると、公知のＦＭＥＡ法は、集積回路の分析に関して自動性、完全性、および特殊性を欠いており、当業者を、設計中の当該集積回路から情報を適切な自動化のレベルにて取り出して、そのような集積回路についてのＦＭＥＡを適切に実行および検証できる状態に置いていない「ブラックボックス」または「グレーボックス」の手法しか提供していない。
米国特許出願ＵＳ２００５０１５４５６１Ａ１ 米国特許ＵＳ２００６０１２２８７３Ａ１ 米国特許ＵＳ７０１７０８０ 特許ＵＳ７０３５７６９ 日本国特許出願ＪＰ０２０１６４７１Ａ２ 伊国特許ＩＴ１３１９００９ 米国特許ＵＳ４２２８５３７ Ｙｉａｎｎｉｓ Ｐａｐａｄｏｐｏｕｌｏｓ、Ｄａｖｉｄ Ｐａｒｋｅｒ、およびＣｈｒｉｓｔｉａｎ Ｇｒａｎｔｅの「Ａｕｔｏｍａｔｉｎｇ ｔｈｅ Ｆａｉｌｕｒｅ Ｍｏｄｅｓ ａｎｄ Ｅｆｆｅｃｔｓ Ａｎａｌｙｓｉｓ ｏｆ Ｓａｆｅｔｙ Ｃｒｉｔｉｃａｌ Ｓｙｓｔｅｍｓ」、Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ Ｅｉｇｈｔｈ ＩＥＥＥ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｈｉｇｈ Ａｓｓｕｒａｎｃｅ Ｓｙｓｔｅｍｓ Ｅｎｇｉｎｅｅｒｉｎｇ（ＨＡＳＥ‘０４）

したがって、本発明の目的は、そのような「ホワイト‐ボックス」の手法の必要に応えることにある。これは、本発明によれば、集積回路について故障モード・影響分析を実行するための方法であって、特許請求の範囲に記載の特徴を有する方法によって達成される。さらに、本発明は、対応する処理装置、ならびにデジタルコンピュータのメモリに直接的にロード可能であって、コンピュータ上で実行されたときに本発明の方法を実行するためのソフトウェアコード部分を含んでいるコンピュータプログラムに関する。

実質的に、本発明による解決策は、これらに限られるわけではないが、特定用途向け集積回路（ＡＳＩＣ）、カスタムＡＳＩＣ、システム‐オン‐チップ（ＳｏＣ）、マイクロコントローラ（ＭＣＵ）、ならびに中央演算ユニット（ＣＰＵ）、メモリ、周辺装置などといった知的財産（ＩＰ）回路などといった任意の集積回路のための完全なＦＭＥＡ法を提供する。

提案される方法によって、回路が、集積回路の記述から情報を抽出するために、自動手順によって分析される。この方法の一部として、抽出された情報が、回路の故障率および国際規格に定められる他の指標（これらに限られるわけではないが、ＩＥＣ ６１５０８規格によって定められる指標など）を計算するために使用される。

さらに、本発明は、設計中の前記集積回路の前記ＦＭＥＡを検証するための方法に関する。この方法においては、計算による故障率および他の指標が、作業負荷のアクセプタンス、フォールトの注入、フォールトの模擬、および結果の事後処理を含む検証フローを使用することによって検証される。

要約すると、このＦＭＥＡ法は、自動プロセスが集積回路の記述を「不変」かつ「基本的な」ゾーンに区分けすることによって集積回路の記述から情報を抽出する第１の段階を含んでいる。随意により、他のツールが、所与の作業負荷のもとでのそのようなゾーンの使用プロファイルを抽出する。第２の段階において、前記情報および随意による前記プロファイルが、ＦＭＥＡデータベースを用意するために使用される。このデータベースは、当該ＦＭＥＡ法を使用するエキスパートによって好ましい様相で、当該集積回路が使用される用途の安全仕様および選択された安全規格のガイドラインの両者に関する情報を入力することによって完成される。この段階の終わりにおいて、選択された規格によって要求される特定の指標を含むＦＭＥＡ結果が、計算されてＦＭＥＡデータベースから集められる。

随意による第３の段階において、ＦＭＥＡデータベース、とくには自動的には計算されない情報、すなわち当該ＦＭＥＡ法を使用するエキスパートによってもたらされる値が、所与の回路作業負荷を使用して検証される。この段階の終わりにおいて、測定によるＦＭＥＡデータベースが自動的に用意され、測定によるＦＭＥＡ結果が、そこから集められる。次いで、測定によるＦＭＥＡ結果が、先の計算によるＦＭＥＡ結果と比較される。このようなやり方で、先のＦＭＥＡ準備ステップを補正するために、当該ＦＭＥＡ法を使用するエキスパートへと明らかな知らせがもたらされる。

回路情報の抽出が、ブロック関数、レジスタ、入力および出力などの「不変」かつ「基本的な」ゾーンに基づくことから、本発明による方法は、ブロック図、レジスタ転送レベル（ＲＴＬ）、ゲート‐レベル、およびレイアウトレベルなど、前記集積回路のさまざまな抽象化レベルにおいて使用可能である。

従来技術の構成との比較において、提案されるＦＭＥＡ法は、ホワイト‐ボックスの手法のおかげで、前記集積回路のリスク分析および故障率測定に特有の自動化された完全なＦＭＥＡを可能にする。この方法を、全体としてのシステム分析の質を向上させるために、既存のシステム‐レベルのＦＭＥＡまたはＦＴＡ法に容易に組み合わせることができる。

本発明による方法は、前記集積回路におけるフォールトの影響に効率的に対抗できる最適化された診断回路の設計を可能にする。もたらされる結果の詳細のおかげで、この技術分野のエキスパートが、本提案の方法によって特定されるとおりに集積回路の最も重要なゾーンの故障を検出できる、より効率的な回路アーキテクチャおよび技法を選択することができる。

次に、本発明を、添付の図面を参照しつつ、あくまで本発明を限定するものではない例として説明する。

提案されるＦＭＥＡ法の詳細を説明する前に、いくつかの定義および本発明による方法の基本的理論を以下で説明する。

本発明の文脈において、「故障（ｆａｉｌｕｒｅ）」Ｆは、当該集積回路の届けるサービスまたはその一部が、指定されたサービスまたは「ミッション（ｍｉｓｓｉｏｎ）」から逸脱する場合に生じるイベントとして定義される。「エラー（ｅｒｒｏｒ）」は、故障につながる原因となる集積回路の状態の一部である。「フォールト（Ｆａｕｌｔ）」は、エラーの現象論的原因（ｐｈｅｎｏｍｅｎｏｌｏｇｉｃａｌ ｃａｕｓｅ）である。

本提案の方法の重要な特徴は、「センシティブゾーン（ｓｅｎｓｉｔｖｅ ｚｏｎｅ）」として定義される「不変（ｉｎｖａｒｉａｎｔ）」かつ「基本的な（ｅｌｅｍｅｎｔａｒｙ）」ゾーンへの設計中の集積回路の分割に関係する。

図１に、センシティブゾーンの例を説明する図が示されている。図１ａにおいて、フォールトＧが、故障を発生させるために集合している。その結果、センシティブゾーンＳＺは、前記１つ以上のフォールトＧが故障Ｆにつながるために集合する前記集積回路の故障点である。

種々の抽象化レベル（ａｂｓｔｒａｃｔｉｏｎ ｌｅｖｅｌ）において使用できる自動ＦＭＥＡプロセスを可能にするために、そのようなセンシティブゾーンＳＺは、「不変」でなければならず、すなわち抽象化レベルに対して維持されなければならない。換言すると、それらは上部（仕様）から下部（レイアウト）レベルまで現われなければならない。この文脈において、集積回路の特定の抽象化レベルに関して、「基本的な」とは、そのようなセンシティブゾーンが、そのような回路によって実行される機能の１つまたはそれらの一部を特定できるそのような抽象化レベルにおける集積回路の最小の意味ある区分けであることを意味する。

例えば、抽象化のレジスタ転送レベル（Ｒｅｇｉｓｔｅｒ‐Ｔｒａｎｓｆｅｒ‐ｌｅｖｅｌ）から出発し、センシティブゾーンが、レジスタリストから選択される。集積回路、特にはデジタル処理ユニットは、多くの場合、相互接続されたムーアマシンのグループとして構成される。そのような構造において、「レジスタ」は、明らかに基本的な部品であり、マシンの機能的挙動において基本的な役割を有している。さらに、それらのレジスタは不変であり、異なる抽象化のすべてのレベルにおいて維持される（例えば、「変数（ｖａｒｉａｂｌｅ）」から「フリップ‐フロップ」まで）。他の有効な例は、前記集積回路の一次入力および一次出力である。

センシティブゾーンＳＺにおける区分けは、原理的に、デジタルおよびアナログ回路の両者に対して有効であり、適用可能である。

図１ｂを参照すると、センシティブゾーンは、一般的には、それぞれ入力コーンＩＬおよび出力コーンＯＬである「論理コーン（ｌｏｇｉｃ ｃｏｎｅ）」を介し、すなわちデジタル回路においては論理ゲート（ＡＮＤ、ＯＲ、または複合ゲート）に組み合わせられ、アナログ回路においてはバッファ、増幅器、電流ミラー、などに組み合わせられたエレメント（トランジスタなど）のグループを介して、他のセンシティブゾーン（当該集積回路の一次入力および出力を含む）へと接続されている。図１ｂには、特定のセンシティブゾーンＳＺへとつながる特定の入力コーンＩＬに入力している他のセンシティブゾーンからの接続されたソースＣＳおよび／または一次入力と、上記センシティブゾーンＳＺからの出力コーンＯＬがつながる他のセンシティブゾーンの接続された負荷ＣＬおよび／または一次出力とが示されている。

さらに、図１ｂには、観測点ＯＰ、すなわち故障Ｆを観測することができる回路内の場所が示されている。観測点ＯＰの有効な定義は、これらに限られるわけではないが、例えば以下の定義である。
・内部信号または他のセンシティブゾーン
・一次出力
・当該集積回路の主たる機能
・当該集積回路に含まれるのであれば診断回路の警報

この文脈において、センシティブゾーンＳＺの故障モードＦＭは、当該センシティブゾーンＳＺがフォールトＧまたはフォールトの組み合わせに反応するやり方である。故障モードＦＭは、２つの主たる種類である。
・物理的なフォールトへと直接的に結び付けることができる。例えば、センシティブゾーンがメモリ素子である場合、レジスタにおけるビットフリップでありうる。
・センシティブゾーンの論理コーンにおけるフォールトの最終結果ＥＦでありうる。例えば、レジスタのディレイピンの前方の組み合わせ論理の縮退または橋絡フォールトに起因するレジスタビットの誤った値である。

また、故障モードＦＭは、フォールトイベントの時間的合計でありうる（メモリ素子をヒットする複数のフォールトＧなど）。

さらに、センシティブゾーンＳＺの故障モードＦＭとそれらの集中コーンＩＬのフォールトＧとの間の対応に関して、ローカルおよびグローバルフォールトという物理的フォールトの２つの分類を区別することが有用である。

「ローカル」フォールトは、ただ１つのセンシティブゾーンに寄与する論理コーンの１つ以上のゲートまたはエレメントに影響するフォールトである。センシティブゾーンの前方の論理コーンＩＬにおいて生じるそれぞれのローカルフォールトまたはそれらの組み合わせが、条件または他のフォールトによってマスクされない場合、それにおける故障Ｆをもたらす。

「グローバル」フォールトは、２つ以上のセンシティブゾーンＳＺに寄与する論理コーンの１つ以上のゲートに影響するフォールトである。グローバルフォールトの例は、これらに限られるわけではないが、２つ以上のセンシティブゾーンＳＺにおいて故障を生じる単一のフォールト（例えば、ゲートの出力における縮退）である。そのような場合、複数の故障が生じる。そのような分類は、複数のフリップ‐フロップに影響するクロックまたはリセットバッファにおけるフォールト、多数のセンシティブゾーンＳＺに影響するクロック生成またはクロックツリーの第１のレベルにおけるフォールト、シリコンコンポーネントの広い領域に影響する電源のフォールト、回路のより遅いコンシステント領域を生成する熱フォールト、などの状況も含む。線間の抵抗または容量結合などのフォールトも、そのようなモデルに含まれる。

センシティブゾーンにおいて生じる故障Ｆおよび故障モードＦＭの種類は、発生したフォールトＧの種類に依存する。

本発明において、フォールトモデルは、２つの主たる分類、すなわち恒久および一時／間欠フォールトに区別される。第１のフォールトは、当該フォールトの発生後のすべての時点にわたって続くエラーまたは故障を決定するフォールトである。第２のフォールトは、電源が切り離され、あるいは同じセンシティブゾーンにおいて別の演算が生じた場合に、もはや存在しなくなるエラーまたは故障を生じさせるフォールトである。恒久的なフォールトは、それらがシステムの動作モードにおいていつ生じているかに応じて、３つの小分類へとさらに分割される。それらは、実行時間において生じる場合、すなわち電源がオンであるときに生じる場合には、「恒久ＯＮ」として分類される。それらは、電源がオフであるときに生じる場合には、「恒久ＯＦＦ」として分類される。それらは、オフおよびオンの間（または、オンおよびオフの間）の移行において生じる場合には、「恒久スタートアップ」または「恒久ＳＴ」として分類される。

すべての分類について、それらは、例えば恒久フォールトについてゲートのただ１つのポートにおいて生じる縮退、および一時／間欠フォールトについて１クロックサイクルの最小継続期間など、最悪の場合において考慮される。

より複雑なメモリアレイ（ＲＡＭまたはＲＯＭなど）においては、例えば同じメモリ列において生じる複数のフォールトの可能性を考慮するために、より詳細なフォールトモデルが採用される。例えばディレイフォールトなど、他のフォールトモデルは、そのような恒久および一時フォールトの間の区別に従って分類される。

フォールトの影響に関して、「主影響（ｍａｉｎ ｅｆｆｅｃｔ）」ＭＥが、観測点ＯＰに達する前にマスクされない場合に、少なくとも当該観測点ＯＰに関して検討されるセンシティブゾーンＳＺの故障モードＦＭの結果として生じる影響として定められる。「二次影響（ｓｅｃｏｎｄａｒｙ ｅｆｆｅｃｔ）」は、出力論理コーンＯＬを通り、そこから他のセンシティブゾーンＣＬへと他の観察点ＯＰまでのセンシティブゾーンの故障Ｆの移動に起因して、他の観測点ＯＰにおいて生じるその他の影響である。これらは、１つのローカルフォールトが１つのセンシティブゾーンＳＺの故障Ｆを生じさせるが、その影響が異なる観察点ＯＰにおいて明らかになるきわめてよくある状況を考慮している。

上述の主影響ＭＥは、それがセンシティブゾーンの故障モードＦＭに起因して「少なくとも」生じ、かつ「最初に」生じる影響であるという事実、すなわちこの影響がセンシティブゾーンＳＺが対応する故障モードＦＭを有するときに確実に生じる（そうでない場合には、何も生じない）という事実によっても特徴付けられる。他の観測点ＯＰにおける残りのすべての影響は、「二次影響」と考えられる。

ＩＥＣ ６１５０８規格から取られた以下の追加の定義が、本発明について考えられる特定の実施の形態のうちの１つを説明するための裏打ちとして使用される。

ＩＥＣ ６１５０８は、電気／電子／プログラマブル電子安全関連システムの機能的安全性についての規格である。

ＩＥＣ ６１５０８の基本的考え方の１つは、「安全度水準（ｓａｆｅｔｙ ｉｎｔｅｇｒｉｔｙ ｌｅｖｅｌ）」（以下では、ＳＩＬ）、すなわち安全関連のシステムへと割り当てられるべき安全機能の安全度の要件を指定するための不連続なレベル（考えられる４つのうちの１つ）の定義にあり、安全度水準４が、最高レベルの安全度を有し、安全度水準１が、最低レベルの安全度を有する。安全度水準は、所与のコンポーネントについて安全側故障割合（Ｓａｆｅ Ｆａｉｌｕｒｅ Ｆｒａｃｔｉｏｎ：以下では、ＳＦＦ）の値に基づいて付与される。ＳＦＦは、安全側故障（すなわち、安全関連システムを危険または機能不良の状態にする可能性を有さない故障）と検出される危険側故障との合計の、考えられるすべての故障の合計（安全＋危険）に対する比に等しい。

この文脈において、「検出」とは、そのような故障の存在を発見するという回路の活動を意味する。検出が直接的であり、すなわちトランジスタの直接かつ自立した活動による場合、当該回路は、「ＨＷ診断回路」と称され、当該集積回路上で動作するソフトウェアプログラムの結果である場合には、このプログラムが、「ＳＷ診断テスト」と称される。以下では、「診断」または「診断カバレッジ」などの用語は、ＨＷ（ハードウェア）診断回路およびＳＷ（ソフトウェア）診断テストの組み合わせの活動を指す。

本発明の説明において使用される他の重要な定義は、以下のとおりである。
・危険側故障（以下では、Ｄ）：安全関連のシステムを危険または機能不良の状態にする可能性を有する故障
・安全側故障（以下では、Ｓ）：安全関連のシステムを危険または機能不良の状態にする可能性を有さない故障
・共通原因故障（以下では、ＣＣＦ）：多チャネルのシステムにおいて、システムの故障につながる２つ以上の別個のチャネルの同時故障を引き起こす１つ以上のイベントの結果である故障。
・診断カバレッジ（以下では、ＤＣ）：診断テストの動作からもたらされる危険なハードウェア故障の可能性の減少割合。

さらに、ＩＥＣ ６１５０８規格は、安全性に関するアプリケーションについての要件を、安全要求仕様（Ｓａｆｅｔｙ Ｒｅｑｕｉｒｅｍｅｎｔ Ｓｐｅｃｉｆｉｃａｔｉｏｎ：ＳＲＳ）と称する文書に含めなければならないと指定している。以下で指定されるように、このＳＲＳが、ＦＭＥＡ準備段階において使用される。

ただいま述べた考え方および定義を参照し、図２には、本発明によるＦＭＥＡ法を示すフロー図が示されている。

集積回路の設計の先の段階から回路の記述２０５、例えばＲＴＬ記述を入手できる点に鑑み、この方法は、そのような回路の記述２０５から情報を抽出するステップ２１０を主として含んでいる第１の段階３１０を最初に提供する。さらに、第１の段階３１０は、随意により、所与の回路作業負荷２１９から回路使用プロファイルを抽出するステップ２２０を含んでいる。

図３に、第１の段階３１０の動作を詳しく示すフロー図が示されている。情報抽出のステップ２１０が、設計中の集積回路の抽象化レベルに従って実行される回路の記述を読み出すステップ２０７で始まっている。仕様およびブロック図が、テキストまたはグラフィック記述の分析によって解析される一方で、ＲＴＬ、ゲート‐レベル、およびレイアウト‐レベルの記述が、ＶＨＤＬ（ＶＨＳＩＣハードウェア記述言語）またはＶＥＲＩＬＯＧ回路記述アナライザなどの市販のＥＤＡ（電子設計自動化）ツールを使用することによって解析される。

次いで、そのような回路記述２０５が、センシティブゾーンの単離のステップ２１１において、センシティブゾーンＳＺに区分けされる。仕様およびブロック図が、人手による入力に組み合わせられた文脈解析によって区分けされる一方で、ＲＴＬ、ゲート‐レベル、およびレイアウト‐レベルの記述が、前記市販のツールにおいて利用できる自動手順を使用することによって区分けされる。これに限られるわけではないが、例として、以下の記述が、どのように前記自動手順を使用してデジタル・ゲート‐レベルの記述からセンシティブゾーンが選択されるのかについて、詳述している。同様の手順が、他の抽象化レベルまたはアナログ回路についても使用される。

ゲート‐レベルの抽象化で表現されたデジタル集積回路について、センシティブゾーンの区分けステップ２１１の出発点は、いわゆる「ネットリスト（ｎｅｔｌｉｓｔ）」である。そのようなネットリストは、市販の合成ツールを使用して実行される標準的なデジタル集積回路合成プロセスの終わりにおいて自動的に生成される。それは、典型的には、ＶＥＲＩＬＯＧ言語であり、あるいは選択された合成ツールによって届けられるフォーマットである。それは、集積回路のすべてのゲートおよびそれらの相互接続の記述を含んでいる。前記合成ツールにおいて利用できるコマンドを使用することによって、集積回路のレジスタの完全なリストが、そのようなネットリストから抽出される。このリストが、レジスタをそれらの識別名に依存してグループ化するスクリプト（ＰＥＲＬ言語での）によってコンパクト化される。ネットリストがレジスタ転送レベル（ＲＴＬ）の記述から由来するとき、それらのレジスタは、当該記述の基本エレメントであり、したがって「基本的」なセンシティブゾーンを現している。ＲＴＬならび集積回路の記述のより高いまたはより低い抽象化レベルの間の形式的分析（例えば、市販の形式分析ツールによって実行される）が、そのようなセンシティブゾーンＳＺが抽象レベルに関して不変であるように保証するために使用される。

単離のステップ２１１の後で、センシティブゾーンＳＺのそれぞれについて、入力コーンＩＬおよび出力コーンＯＬの情報が、それぞれコーン入力情報の抽出ステップ２１２およびコーン入力情報の抽出ステップ２１３において抽出される。そのような入力コーンＩＬおよび出力コーンＯＬの情報は、ゲートおよびピンカウント、ソース（すなわち、入力論理コーンＩＬの入力）および負荷（すなわち、出力論理コーンＯＬの出力）の数、ならびに相互の接続などといった論理コーンの組成を含んでいる。これに限られるわけではないが、例として、デジタル・ゲート‐レベルの記述の場合には、これらの情報が、それぞれのセンシティブゾーンのすべての「論理入力」および「論理出力」ゲートの抽出など、前記合成ツールにおいて利用できるコマンドを使用し、ゲートカウントをスクリプトで集めるなどによって、前記「ネットリスト」から抽出される。例として、Ｓｙｎｏｐｓｙｓによって提供される合成ツールなど、Ｖｅｒｉｌｏｇのための合成ツールには、レジスタの入力へと到着する論理コーン（入力コーン）またはその出力から出発する論理コーン（出力コーン）の論理ゲートの数および種類を回路の記述から抽出する「ｔｒａｎｓｉｔｉｖｅ＿ｆａｎｏｕｔ」および「ｔｒａｎｓｉｔｉｖｅ＿ｆａｎｉｎ」などといったコマンドが用意されている。これらの情報から、ゲートカウントを計算することは単刀直入であり、そのようなゲートカウントは、論理コーンの面積の表示である。

次いで、ステップ２１２および２１３に続き、この情報ならびにステップ２１１において得られたセンシティブゾーンの区分けによってセンシティブ・ゾーン・データベース２１４が構成される。

続いて、ステップ２１５において、フォールト‐リストＬＦが、入力および出力論理コーンを解析し、フォールト‐リストデータベース２１６を生成することによって生成される。そのようなデータベース２１６は、共有情報の抽出ならびにフォールト注入およびフォールトカバレッジの機能を、後で詳しく説明されるＦＭＥＡデータベースの検証の段階３３０へと供給するために使用される。したがって、このフェーズは、前記集積回路の抽象化レベルへと実行され、仕様およびブロック図のフォールトリストが、テキスト記述の解析によって抽出される一方で、ＲＴＬ、ゲート‐レベル、およびレイアウト‐レベルの記述が、各レジスタの論理入力および論理出力の各ゲートのピンの列挙など、前記合成ツールの利用可能な手順を使用することによって抽出される。

ステップ２１５において得られたフォールトリストＬＦに基づき、共有情報の抽出のステップ２１７において、共有されるエレメント、ゲート、およびネットに関して各センシティブゾーンＳＺの間の相関が抽出される。この相関が、さらに詳しく後述されるＦＭＥＡデータベースの検証のフェーズ２５０において使用されるべき共有データベースを生成するために使用され、複数の故障および二次影響に関する情報を導出するために使用される。

上述のすべてのフェーズは、抽象化のすべてのレベルについて有効であり、全体的に検討され、詳しくは検討されないが、デジタルおよびアナログ回路の両者について有効である。

提案されるＦＭＥＡ法の情報抽出のステップ２１０は、上述のように、随意により、所与の回路作業負荷２１９およびセンシティブ・ゾーン・データベース２１４に基づいて、回路使用プロファイルデータベース２２１をもたらす回路およびセンシティブゾーンの使用プロファイルを抽出するステップ２２０を含んでいる。そのような回路使用プロファイルデータベース２２１を、随意により、後述のとおり使用頻度値２３５を入力するステップに主として関するＦＭＥＡデータベースの準備ステップ２２１において使用することができる。

これらに限られるわけではないが、そのような抽出の２つの例を、ＣＰＵを含むデジタル集積回路について以下に提示する。作業負荷、すなわち前記集積回路のベンチマークスイートまたは典型的なアプリケーションが、前記ＣＰＵのためにコンパイルされる。「静的」プロファイル抽出が、コンパイルのプロセスによって生成される分解されたファイルを解析することによって実行され、生じるインストラクションの頻度が抽出される。「動的」プロファイル抽出が、所与の作業負荷で前記集積回路を模擬することによって実行され、生じるインストラクションの頻度が、ＣＰＵインストラクションバス上の値をサンプリングすること、および／またはそのような作業負荷に対する各センシティブゾーン（レジスタ）のアクティベーションの頻度を抽出することによって、抽出される。

提案される方法を全体的に説明している図２のフロー図をさらに参照すると、提案されるＦＭＥＡ法の第２の主たる段階３２０が、情報抽出のステップ２１０を含んでいる段階３１０の結果に基づき、安全要求仕様（ＳＲＳ）２３１および選択された安全規格ガイドライン２３０から導出される情報と組み合わせられるＦＭＥＡデータベースの準備ステップ２２５を含んでいる。

図４に、第２の準備段階３２０およびＦＭＥＡ準備ステップ２２５が詳しく示されている。そのようなＦＭＥＡ準備ステップ２２５は、センシティブ・ゾーン・データベース２１４を取り込むステップ２２６で始まる。センシティブゾーン情報が、後述される他の情報と同様に、ＩＥＣ ６１５０８規格のための典型的な実施の形態に関して主要なフィールドが図５に示されているＦＭＥＡデータベース２４２に取り入れられる。そこに表として提示された表現は、データベースについて考えられる例であるが、それには限定されず、ＳＱＬデータベースまたは他の特定の規格のための別のフィールドを有するような他の実施の形態も可能である。

ＦＭＥＡデータベースシート２４２の各線またはレコードは、所与のセンシティブゾーンＳＺについて考えられる故障モードＦＭに対応している。ＦＭＥＡデータベース２４２は、図５に詳しく別個に示されてもいるフィールドの４つの主たる分類を含んでいる。
・「センシティブゾーン」２４３：考慮されるセンシティブゾーンＳＺについての階層、名称、および記述を報告する。
・「故障モード」２４４：故障モードＦＭ、そのような列において故障モードＦＭの影響が分析される前提条件、および観測点ＯＰにおけるそのような故障モードＦＭの主たる影響を報告する。
・「ＦＭＥＡ統計」２４５：所与のセンシティブゾーンＳＺにおける所与の故障モードＦＭについて該当する故障率を計算するために必要なすべての統計を報告する。この分類は、存在しうるＨＷ診断回路またはＳＷ診断テストの影響を考慮することなく、集積回路を考慮する。
・「診断カバレッジ」２４６：安全側故障割合を計算するために必要とされる統計を報告する。

データベース２４２のフィールド２４３〜２４６の前記分類は、自動的に計算され、あるいは安全および危険の値の場合と同様に好ましくはエキスパートユーザによって入力され、あるいはあらかじめ構成されたデータファイルによってロードされる値を受け取るために、ＦＭＥＡデータベースの準備ステップ２２５の際に提示される。

次に、これらの分類に含まれるフィールドを、上述のＩＥＣ ６１５０８の定義を参照して、さらに詳述する。

センシティブ・ゾーン・データベース２１４を取り入れた後で、ＦＭＥＡデータベース２４２に、図４に示されているステップ２２７において、ＨＷ診断回路またはＳＷ診断テストの影響を考慮しない集積回路に関する統計から出発して、各ＦＭＥＡレコードについて以下のフォールトモデル統計を自動的に計算する埋め込みの式がもたらされる。
・該当するセンシティブゾーンのエリア：ＦＭＥＡ統計クラス２４５の「ＣＡＲ」フィールドに示されている。これは、例えばデジタル・ゲート‐レベル記述（これに限られるわけではないが）の場合には、センシティブ・ゾーン・データベース２１４によって導出され、とくにはゲートカウントなどのＩＬおよびＯＬ論理コーン情報から導出される。遅延フォールトなどのフォールトモデルへの特定の焦点の場合に、このエリアは、タイミングが重要な経路の長さなどを考慮することができる。
・該当するセンシティブゾーンのエレメントの数：ＦＭＥＡ統計クラス２４５の「ｆｆ」フィールドに示されている。これは、例えばデジタル・ゲート‐レベル記述（これに限られるわけではないが）の場合には、レジスタ、ラッチ、およびフリップ‐フロップの数である。
・回路内のエレメントの平均エリア：以下の説明において「ａｆｆ」として特定される。これは、すべての回路について１回抽出され、特定のセンシティブゾーンに関係しない。これは、例えばデジタル・ゲート‐レベル記述（これに限られるわけではないが）の場合には、集積回路を合成するために使用される技術ライブラリのレジスタ、ラッチ、およびフリップ‐フロップの平均エリアである。
・所与のセンシティブゾーンの一時フォールトについての故障率ユニット、すなわちセンシティブゾーンの１つのエレメントにおける一時フォールトについての故障率ユニット。例えばデジタル・ゲート‐レベル記述（これに限られるわけではないが）の場合には、センシティブゾーンＳＺがフリップ‐フロップであり、故障率ユニットは、ＦＩＴ／ｂｉｔ（すなわち、ＦＩＴ／ｆｌｉｐ＿ｆｌｏｐ）で表現される値である。これは、１つのフリップ‐フロップにおける一時エラー率である。「λｔｒａｎｓ＿ｒｅｇ」と称される。
・所与のセンシティブゾーンの論理コーンにおける一時フォールトについての故障率ユニット、すなわちセンシティブゾーンの論理コーンの１つのエレメントにおける一時フォールトについての故障率ユニット。例えばデジタル・ゲート‐レベル記述（これに限られるわけではないが）の場合には、ＦＩＴ／ｇａｔｅで表現される値である。「λｔｒａｎｓ＿ｇｌｕｅ」と称される。
・回路がＯＦＦであるときの恒久フォールトの故障率ユニット、すなわちセンシティブゾーンの論理コーンの１つのエレメントにおける恒久ＯＦＦフォールトについての故障率ユニット。例えばデジタル・ゲート‐レベル記述（これに限られるわけではないが）の場合には、ＦＩＴ／ｇａｔｅで表現される値である。「λｐｅｒｍ＿ｏｆｆ」と称される。
・回路がスタートアップされるとき、またはシャットダウンが存在するときの恒久フォールトの故障率ユニット、すなわちセンシティブゾーンの論理コーンの１つのエレメントにおける恒久ＳＴフォールトについての故障率ユニット。例えばデジタル・ゲート‐レベル記述（これに限られるわけではないが）の場合には、ＦＩＴ／ｇａｔｅで表現される値である。「λｐｅｒｍ＿ｓｔａｒｔｕｐ」と称される。
・回路がＯＮであるときの恒久フォールトの故障率ユニット、すなわちセンシティブゾーンの論理コーンの１つのエレメントにおける恒久ＳＴフォールトについての故障率ユニット。例えばデジタル・ゲート‐レベル記述（これに限られるわけではないが）の場合には、ＦＩＴ／ｇａｔｅで表現される値である。「λｐｅｒｍ＿ｏｎ」と称される。
・一時フォールトの累積故障率。例えばデジタル・ゲート‐レベル記述（これに限られるわけではないが）の場合には、ｆｆ＊λｔｒａｎｓ＿ｒｅｇ＋（ＣＡＲ＋ｆｆ＊ａｆｆ）＊λｔｒａｎｓ＿ｇｌｕｅ＝（フリップフロップの数）にｔｒａｎｓｉｅｎｔ＿ｒｅｇのＦＩＴを掛け、総エリアにｔｒａｎｓｉｅｎｔ＿ｇｌｕｅを掛けたものを加えるに等しい。ＦＭＥＡ統計クラス２４５の「λＣｔｒａｎｓ」フィールドに示される。
・恒久フォールトの累積故障率。例えばデジタル・ゲート‐レベル記述（これに限られるわけではないが）の場合には、（ＣＡＲ＋ｆｆ＊ａｆｆ）＊λｐｅｒｍ＿ｔｏｔａｌ＝総エリアにすべての恒久フォールトについての累積ＦＩＴを掛けたものに等しい。ＦＭＥＡ統計クラス２４５の「λＣｐｅｒｍ」フィールドに示される。

したがって、このやり方で、デジタル回路の故障率が、回路を各レジスタに求心する論理コーンに分割し、そのような故障率をコーンにわたる合計として計算することによって計算され、各単一の和は、恒久フォールトについての項および一時フォールトについての項に分割される。

提案されるＦＭＥＡ法を使用するエキスパートは、フォールトモデル統計の影響を、ＦＭＥＡデータベース２４２に以下の値を入力することによって変更できる。
・スケーリング係数：センシティブゾーンの重みを必要に応じて増減させるために使用される（スケーリング）。通常は、１に設定される（したがって、スケーリングなし）。例えば、考慮されるセンシティブゾーンの重みを１０という係数で増加させるべき場合には、１０へと設定することができる。この場合、その安全性／危険性が、１０という係数によって増加させられる。ＦＭＥＡ統計クラス２４５の「ｋ」フィールドに示される。
・所与のセンシティブゾーンＳＺの論理コーンＩＬまたはＯＬの組み合わせのエリアについての倍率。このセンシティブゾーンＳＺがレイアウトレベルでどの程度広げられているかを考慮する。ＦＭＥＡ統計クラス２４５の「Ｌ」フィールドに示される。この値を、集積回路レイアウトネットリストを解析し、レイアウトにおける各センシティブゾーンの広がりを分類する自動プロセスによって決定することも可能である。
・所与の入力または出力の重みについての倍率。この入力または出力が長い経路にどの程度相互接続されているかを考慮する。ＦＭＥＡ統計クラス２４５の「ＦＯ」フィールドに示される。この値を、集積回路レイアウトネットリストを解析し、レイアウトにおける各センシティブゾーンの接続の広がりを分類する自動プロセスによって決定することも可能である。

他の多数の変形例も可能である。例えば、抽象化の高いレベルまたはアナログブロックについて、「アドホック（ａｄ ｈｏｃ）」の統計フォールトモデルを、前記ＦＭＥＡデータベース２４２を使用してエキスパートによって入力することが可能である。デフォルトおよび特別なフォールトモデルを、フォールトモデルの記述２３３から解析することも可能である。

フォールトモデル統計の計算の後、ステップ２２８において、各センシティブゾーンＳＺについて、故障モードＦＭが入力される。「故障モード」の列が、基本のエラーにつながるセンシティブゾーンＳＺにおけるフォールトの影響を報告している。これらに限られるわけではないが、考えられる故障モードの例は、
・該当のＦＭＥＡレコードが特定の故障モードを考慮していない場合の「任意」、
・該当のＦＭＥＡレコードが、センシティブゾーンの論理コーンにおけるフォールトがセンシティブゾーンの値を変化させる一時故障によって引き起こされた場合を考慮している「ビット‐フリップ」、
・該当のＦＭＥＡレコードが、センシティブゾーンの論理コーンにおけるフォールトがそのようなセンシティブゾーンにおいて恒久値のみを出現させた場合を考慮している「ＤＣまたは縮退」
である。

最初に、そのようなステップ２２８が、あらかじめ設定されたデータファイルまたは自動化された選択によって、そのような回路の記述２０５、安全仕様２３０、および安全規格ガイドライン２３１に基づいて自動的に実行される。例として、ＩＥＣ ６１５０８規格の第２部の表Ａ１は、この規格に照らして回路を調べるときに考慮されなければならないフォールト／故障モードを指定している。次いで、提案されるＦＭＥＡ法を使用するエキスパートが、必要であればさらなる選択によってこのフィールドを変更するために、回路の記述２０５、安全仕様２３０、および安全規格ガイドライン２３１を使用する。

「状態（ｃｏｎｄｉｔｉｏｎ）」の列は、そのような行において故障モードの影響が分析される前提条件を報告している。考えられる故障モードの例は、「クロック・イネーブル・アクティブ（ｃｌｏｃｋ ｅｎａｂｌｅ ａｃｔｉｖｅ）」または任意の他の考えられる状態である。

故障モード情報の入力の後、提案されるＦＭＥＡ法を使用するエキスパートは、ステップ２３４において、故障モードクラス２４４に、それぞれのセンシティブゾーンについて、予想される主たる影響を入力する。「主たる影響」の列は、上記定義のような観測点に関する考慮されるセンシティブゾーンの特定の故障モードの主たる影響を報告する。センシティブゾーンおよび考慮される観測点ＯＰの間の複雑な関係の場合には、主たる影響を、関連技術に存在するＦＴＡ法の１つによって決定することも可能である。

主たる影響の情報の入力のステップ２３４の後で、エキスパートは、各センシティブゾーンについて、ステップ２３５において予想される使用頻度値を入力する。とくには、以下の値が入力される。
・前記センシティブゾーンの使用頻度に関する一時／恒久フォールトの頻度クラス。それらは、ＦＭＥＡ統計クラス２４５の「一時頻度クラス」および「恒久頻度クラス」フィールドに示される。
・当該ゾーンの使用の頻度（頻度クラス）に依存して危険であると仮定できる一時／恒久フォールトの割合。これらの値は、０％・・・１００％の範囲にある。それらは、ＦＭＥＡ統計クラス２４５の「Ｆｔｒａｎｓ」および「Ｆｐｅｒｍ」フィールドに示される。
・前記センシティブゾーンに関連付けられたメモリ素子の最後の「読み出し」動作および「書き込み」動作の間の時間として定義されるライフタイム（ζ）。例えば、集積回路がＣＰＵである場合、汎用のレジスタは、フェッチ段階においてそのインストラクションをラッチするレジスタよりもはるかに長い平均ライフタイムを有する。ＦＭＥＡ統計クラス２４５の「ライフタイム」フィールドに示される。

第１の段階３１０において抽出される回路使用プロファイルデータベース２２１を、随意により上述の頻度クラスおよび対応する値を自動的に埋めるために使用することが可能である。

曖昧さを避けるため、そのような頻度が、センシティブゾーンが所与の作業負荷においてどの程度使用されるかに関係することを指定しなければならない。それらは、そのようなセンシティブゾーンにおけるフォールトの発生の可能性または頻度ではない。そのようなセンシティブゾーンにおけるフォールトの発生の可能性または頻度（「故障率」）は、ステップ２３７において計算される。

ステップ２３５において予想される使用頻度情報を例えば計算の結果として入力した後、エキスパートは、ステップ２３６において、各センシティブゾーンについて、安全側および危険側割合を入力する。とくには、一時および恒久フォールトに分割される所与のセンシティブゾーンＳＺにおける所与の故障モードＦＭに関して考えられる故障について推定される安全側割合および危険側割合が入力される。それらは、ＦＭＥＡ統計クラス２４５の「Ｓｔｒａｎｓ」、「Ｓｐｅｒｍ」、「Ｄｔｒａｎｓ」、および「Ｄｐｅｒｍ」フィールドに示される。

Ｓ／Ｄ係数が、所与のセンシティブゾーンにおける所与の故障モードについて、全故障に対する安全側および危険側故障の割合を与える。一般に、Ｓ／Ｄ係数について２つの群が存在する。
・アーキテクチャ的推定によって与えられるＳ／Ｄ（Ｓａｒｃｈ／Ｄａｒｃｈ）。それらは、回路のアーキテクチャに関係しており、それらは、アプリケーションから完全に独立であり、それらの値は、回路の記述の分析によって完全に決定される。
・アプリケーション関連の推定によって与えられるＳ／Ｄ（Ｓａｐｐｌ／Ｄａｐｐｌ）。それらは、回路について考えられる使用に関係しており、それらは、回路使用プロファイル・データベースによって決定され、あるいは安全要求仕様（ＳＲＳ）２３１によって直接的に決定される。

典型的には、各故障モードＦＭの詳細な分析が不可能である場合、ＩＥＣ ６１５０８規格に述べられているように、Ｓ＝０％およびＤ＝１００％あるいはＳ＝５０％およびＤ＝５０％である。提案されるＦＭＥＡ法を運用しているエキスパートは、ＦＭＥＡデータベースの適切なフィールドにＤｔｒａｎｓまたはＤｐｅｒｍを減少させるための仮定を入力すべきである。

安全側および危険側の値を入力した後、故障率の計算のステップ２３７において、ＦＭＥＡデータベースシート２４２に埋め込まれた式が、各ＦＭＥＡレコードについて以下の故障率を自動的に計算する。
・一時フォールトについての安全側故障率。λＳｔｒａｎｓ＝ｋ＊（λＣｔｒａｎｓ＊（（Ｓｔｒａｎｓ＊Ｆｔｒａｎｓ）＋（１−Ｆｔｒａｎｓ）））として計算される。ＦＭＥＡ統計クラス２４５の「λＳｔｒａｎｓ」フィールドに示される。
・一時フォールトについての危険側故障率。λＤｔｒａｎｓ＝ｋ＊（λＣｔｒａｎｓ＊Ｄｔｒａｎｓ＊Ｆｔｒａｎｓ）として計算される。ＦＭＥＡ統計クラス２４５の「λＤｔｒａｎｓ」フィールドに示される。
・恒久フォールトについての安全側故障率。λＳｐｅｒｍ＝ｋ＊（λＣｐｅｒｍ＊（（Ｓｐｅｒｍ＊Ｆｐｅｒｍ）＋（１−Ｆｐｅｒｍ）））として計算される。ＦＭＥＡ統計クラス２４５の「λＳｐｅｒｍ」フィールドに示される。
・恒久フォールトについての危険側故障率。λＤｐｅｒｍ＝ｋ＊（λＣｐｅｒｍ＊Ｄｐｅｒｍ＊Ｆｐｅｒｍ）として計算される。ＦＭＥＡ統計クラス２４５の「λＤｐｅｒｍ」フィールドに示される。
・安全側故障率、すなわち一時および恒久についての安全側故障率の合計。λＳ＝λＳｔｒａｎｓ＋λＳｐｅｒｍとして計算される。ＦＭＥＡ統計クラス２４５の「λＳ」フィールドに示される。
・危険側故障率、すなわち一時および恒久についての危険側故障率の合計。λＤ＝λＤｔｒａｎｓ＋λＤｐｅｒｍとして計算される。ＦＭＥＡ統計クラス２４５の「λＤ」フィールドに示される。
・全危険側故障部分に対する危険側故障部分の割合。このセンシティブゾーンのλＤをすべてのセンシティブゾーンのすべてのλＤの総計によって除算して計算される。ＦＭＥＡ統計クラス２４５の「割合（診断なし）」フィールドに示される。
・「重要度ランキング」。より大きな値が、重要度レベルの割り当てにおいて最初に考慮されなければならないセンシティブゾーンに対応する。先に計算された危険側故障部分の割合を、すべてのセンシティブゾーンについて計算された平均の割合によって除算し、１００を乗算してなる割合として計算される。ＦＭＥＡ統計クラス２４５の「重要度ランキング（診断なし）」フィールドに示される。

これらの故障率に基づき、さらに選択された規格（典型的な実施の形態においてはＩＥＣ ６１５０８）に特有の指標に基づいて、以下の診断なしのＦＭＥＡ結果２３８が、ステップ２３７において計算される。
・全安全側故障率。各センシティブゾーンのすべての安全側故障率の合計として計算される。ＦＭＥＡ結果クラス２４７の「λＳ（合計）」フィールドに示される。
・全危険側故障率。各センシティブゾーンのすべての危険側故障率の合計として計算される。ＦＭＥＡ結果クラス２４７の「λＤ（合計）」フィールドに示される。
・診断なし安全側故障割合。全安全側故障率を全安全側故障率および全危険側故障率の和で除算して計算される。ＦＭＥＡ結果クラス２４７の「ＳＦＦ（診断なし）」フィールドに示される。

典型的な実施の形態のための参照規格として選択されたＩＥＣ ６１５０８規格によって必要とされるとおり、故障率の計算の後に、各センシティブゾーンについて、エキスパートが、存在するのであればＨＷ診断回路およびＳＷ診断テストに関する診断カバレッジを入力するステップ２３９が実行される。存在しない場合、以下のすべての値は入力されず、したがって計算されるＦＭＥＡ結果２４７に寄与しない。

特には、以下の値が入力される。
・ＨＷによって検出される一時ＤＤＦ（検出される危険側故障）の割合、すなわち一時フォールトに関し、各故障モードＦＭに関連付けられた危険側故障率のうち、ＨＷ診断回路によって検出が主張される部分。診断カバレッジクラス２４６の「ＤＤＦ ＨＷ（ＴＲ）」フィールドに示される。
・ＨＷによって検出される危険側恒久故障の割合、すなわち恒久フォールトに関し、各故障モードに関連付けられた危険側故障率のうち、ＨＷ診断回路によって検出が主張される部分。診断カバレッジクラス２４６の「ＤＤＦ ＨＷ（ＰＥ）」フィールドに示される。
・ＳＷ診断テストによって検出される危険側恒久故障の割合、すなわち恒久フォールトに関し、各故障モードに関連付けられた危険側故障率のうち、ＳＷ診断テストによって検出が主張される部分。診断カバレッジクラス２４６の「ＤＤＦ ＳＷ（ＰＥ）」フィールドに示される。
・後述のように、センシティブゾーンＳＺおよび共有データベース２１８の分析に基づいて検出されると考えられる危険側一時故障の割合（「自動カバレッジ（ａｕｔｏ‐ｃｏｖｅｒａｇｅ）」）。診断カバレッジクラス２４６の「ＤＤＦ ＡＵＴＯ（ＴＲ）」フィールドに示される。
・後述のように、センシティブゾーンＳＺおよび共有データベース２１８の分析にもとづいて検出されると考えられる危険側恒久故障の割合（「自動カバレッジ（ａｕｔｏ‐ｃｏｖｅｒａｇｅ）」）。診断カバレッジクラス２４６の「ＤＤＦ ＡＵＴＯ（ＰＥ）」フィールドに示される。

特には、自動カバレッジの計算に関して、センシティブゾーンおよび共有データベース２１８からアーキテクチャのカバレッジの値を抽出するために、さまざまなモデルが使用される。ここでは、一例（これに限られるわけではないが）が提示される。集積回路がセンシティブゾーン間の論理共有の特定の程度を含むことがきわめて頻繁であるため、そのような減少を、ＤＤＦの見積もりの際に考慮することができる。各センシティブゾーンについて、形状関数が、他のセンシティブゾーンとの共有を重み付けるために使用される。形状関数は、例えば、少なくとも３０のセンシティブゾーンと共有されるフォールトを自動カバレッジであると考えるように指定する。なぜならば、そのようなセンシティブゾーンにおいて生じるフォールトは、おそらくは多数の影響を生じさせ、したがって診断回路によって容易に検出されるからである。

診断カバレッジの値の入力のステップ２３９の後で、ＦＭＥＡデータベースシート２４２に埋め込まれた式が各ＦＭＥＡレコードについて以下の検出／非検出故障率を自動的に計算するステップ２４０が実行される。
・λｐｅｒｍ＿ｏｆｆｓｔについて、すなわち恒久ＯＦＦおよび恒久ＳＴの両方のフォールトについての全危険側検出故障率。ＤＤＦ＿ＯＦＦＳＴ＝［１００％−（１００％−（ＤＤＦ＿ＨＷ＿ＰＥ＋ＤＤＦ＿ＳＷ））＊（１００％−ＤＤＦ＿ＡＵＴＯ＿ＰＥ）］として計算される。
・λｐｅｒｍ＿ｏｎについての全危険側検出故障率。ＤＤＦ＿ＯＮ＝［１００％−（１００％−ＤＤＦ＿ＨＷ＿ＰＥ）＊（１００％−ＤＤＦ＿ＡＵＴＯ＿ＰＥ）］として計算される。
・λｔｒａｎｓについての全危険側検出故障率。ＤＤＦ＿ＴＲ＝［１００％−（１００％−ＤＤＦ＿ＨＷ＿ＴＲ）＊（１００％−ＤＤＦ＿ＡＵＴＯ＿ＴＲ）］として計算される。
・全危険側検出故障率。λＤＤ＝危険側検出故障率＝ＤＤＦ＿ＴＲ＊λＤ＿ｔｒａｎｓ＋ＤＤＦ＿ＯＦＦＳＴ＊λＤ＿ｐｅｒｍ＊［λｐｅｒｍ＿ｏｆｆｓｔ／λｐｅｒｍ＿ｔｏｔａｌ］＋ＤＤＦ＿ＯＮ＊λＤ＿ｐｅｒｍ＊［λｐｅｒｍ＿ｏｎ／λｐｅｒｍ＿ｔｏｔａｌ］として計算される。診断カバレッジクラス２４６の「λＤＤ」フィールドに示される。
・危険側非検出故障率。λＤＵ＝λＤ−λＤＤとして計算される。診断カバレッジクラス２４６の「λＤＵ」フィールドに示される。
・全危険側非検出故障部分に対する危険側非検出故障部分の割合。このセンシティブゾーンのλＤＵをすべてのセンシティブゾーンのλＤＵの総和で除算して計算される。診断カバレッジクラス２４６の「割合（診断あり）」フィールドに示される。
・「重要度ランキング」。より大きな値が、重要度レベルの割り当てにおいて最初に考慮されなければならないセンシティブゾーンに対応する。先に計算された危険側非検出故障部分の割合を、すべてのセンシティブゾーンについて計算された平均の割合によって除算し、１００を乗算してなる割合として計算される。診断カバレッジクラス２４６の「重要度ランキング（診断あり）」フィールドに示される。

ステップ２４０において得られたこれらの検出／非検出故障率に基づき、さらに選択された規格（典型的な実施の形態においてはＩＥＣ ６１５０８）に特有の指標に基づいて、以下の診断ありのＦＭＥＡ結果２４１が計算される。
・全危険側非検出故障率。各センシティブゾーンのすべての危険側非検出故障率の合計として計算される。ＦＭＥＡ結果２４７の「λＤＵ（合計）」フィールドに示される。
・診断カバレッジ。全危険側検出故障を、全危険側検出故障率および全危険側非検出故障率の和で除算して計算される。ＦＭＥＡ結果クラス２４７の「ＤＣ（合計）」フィールドに示される。
・診断あり安全側故障割合。全安全側故障率および全検出危険側故障率の和を全安全側故障率および全危険側故障率の和で除算して計算される。ＦＭＥＡ結果クラス２４７の「ＳＦＦ（合計）」フィールドに示される。

したがって、このやり方で、デジタル回路の危険側非検出故障率および選択された規格に特有の他の指標が、回路を各レジスタに求心する論理コーンに分割し、そのような故障率および指標を、コーンに渡る合計（１つの合計はそれぞれ、恒久フォールトの項および一時フォールトの項に分割されている）として計算することによって計算される。恒久フォールトの寄与は、さらに回路がオフ、オン、およびスタートアップであるときの恒久フォールトに分割されている。

計算されたＦＭＥＡ結果２４７が、図７のようなＦＭＥＡ結果２４７のフィールドに記載された要約値に加えて、センシティブゾーンＳＺのそれぞれについてのすべてのＦＭＥＡ結果を含んでいる点に、注目する価値がある。

ここで再び図２を参照すると、ＦＭＥＡデータベースを用意する第２の段階３２０に、そのようなＦＭＥＡデータベースの随意による検証に関する第３の段階３３０が続いている。詳しくは、第３の段階３３０は、第２の段階３２０の結果２４７に基づくＦＭＥＡデータベースの検証ステップ２５０を含んでいる。ＦＭＥＡデータベースの検証ステップ２５０は、そのような検証が抽象化のレベルに応じて実行可能または不可能であるため、随意によるステップである。さらに、検証ステップは、主としてステップ２３６（一部はステップ２３５）においてエキスパートによってもたらされるアプリケーション関連の情報のチェックを目的としていることから、それらの情報が信頼できる場合、あるいは最悪の場合の値が使用される場合には、検証ステップそのものを省略することができる。

図６に、ＦＭＥＡデータベースの検証ステップ２５０が詳しく示されている。ＦＭＥＡ検証ステップ２５０は、回路作業負荷２１９の機能的カバレッジの測定２５２を含む作業負荷アクセプタンスフェーズ２５１で始まっている。上述したように、回路作業負荷２１９は、設計中の集積回路を使用するベンチマークまたは典型的なアプリケーションであってよい。機能的カバレッジは、市販のＥＤＡ検証ツールにおいて利用できる手順を使用して測定され、そのような測定は、分岐網羅（ｔｏｇｇｌｅ ｃｏｖｅｒａｇｅ）、命令網羅（ｓｔａｔｅｍｅｎｔ ｃｏｖｅｒａｇｅ）、などの測定である。受け入れられるために、作業負荷のカバレッジは、対象の回路部分について１００％に近くなければならない。したがって、そのような作業負荷のカバレッジが、テストステップ２５４においてテストされる。

次いで、フォールトカバレッジの測定２５３が、情報抽出のステップ２１０の際に生成されたフォールト・リスト・データベース２１６を使用し、フォールトシミュレーションのための市販のＥＤＡツールを使用することによって実行される。前記マイクロ電子回路のすべての一次入力／出力が、フォールトカバレッジの測定２５３のための観測点として取られる。受け入れられるために、作業負荷のフォールトカバレッジは、対象の回路部分について１００％に近くなければならない。これも、テストステップ２５４においてテストされる。

作業負荷アクセプタンスフェーズ２５１の後で、テストステップ２５４の結果が肯定的である場合には、どちらも情報抽出ステップ２１０において抽出されたセンシティブ・ゾーン・データベース２１４に関係するローカルフォールトのフォールト注入作業２５５およびグローバルフォールトのフォールト注入作業２５７が実行される。フォールトの注入は、本出願と同じ出願人の名義の欧州特許出願ＥＰ‐Ａ‐１ ４９６ ４３５に記載されているフォールト注入の実施の形態を使用することによって実行される。ローカルフォールトに関しては、フォールトの注入は、センシティブ・ゾーン・データベース２１４の各センシティブゾーンについて実行される。グローバルフォールトに関しては、選択的なフォールト注入が、クロックライン、リセットライン、回路論理および診断回路が接続されている領域、などにおけるグローバルフォールトの主／二次影響を検証するため、「供給ロス（ｓｕｐｐｌｙ‐ｌｏｓｓ）テスト注入を実行するため、などに実行される。

並行して、フォールトカバレッジの分析２５６が実行される。選択された参照規格が、典型的な実施の形態のようにＩＥＣ ６１５０８である場合、続くステップ２５８において前記ＩＥＣ ６１５０８規格によって求められる指標を処理および収集するために必要なレポートを容易に準備するために、特定のフォールト・カバレッジ・フローが実行される。

特には、図７のフロー図を参照すると、この特定のフォールトカバレッジ分析２５６は、３つの順次のラン２７１、２７３、および２７４にて実行される。
・第１のラン２７１、危険側故障の選択：作業負荷アクセプタンスラン２５１と同じ手順が使用され、すなわち回路の記述２０５から来る前記集積回路のすべての一次入力／出力を観測点ＯＰとして考慮することによって、回路のフォールトが模擬される。回路作業負荷２１９が使用され、フォールトの模擬が、フォールト・リスト・データベース２１６から出発して実行される。フォールト模擬レポート２７２が、フォールト・リスト・データベース２１６を更新すべく生成される。このステップは、回路が所与の作業負荷によって使用されたときに故障を生じうるフォールトのみ、すなわち危険側フォールトのみを含んでいる新規の「有効な」フォールトデータベース２７９を生成する。前記作業負荷によって使用されないセンシティブゾーンにおけるフォールトは、そのようなデータベースから除外される。
・第２のラン２７３、ＨＷ診断回路のフォールトカバレッジ：ＨＷ診断回路の診断カバレッジを計算するために、前記マイクロ電子回路の診断出力のみが、観測点ＯＰとして取られる。「有効な」フォールトデータベース２７９が、ＨＷ診断回路によって検出されたフォールトをデータベースから除くことによって更新される。
・第３のラン２７４、ＳＷ診断テストのフォールトカバレッジ：このランは、ＳＷ診断テストによる診断カバレッジを測定する。前記集積回路のすべての診断出力およびＳＷ診断テスト出力が、観測点として取られる。

フォールト注入の際に注入され、あるいはフォールトカバレッジの測定の際に模擬されるフォールトモデル２３３は、本発明の技術的範囲から逸脱することなく、例として上述した内容に対して変更が可能である。例えば、アナログブロックにおいては、「アドホック」フォールトモデルを、前記ＦＭＥＡ検証手順を使用して、エキスパートによって入力することができる。

次いで、事後処理および収集のフェーズ２５８が、フォールト注入およびフォールトカバレッジの結果を仕上げるために実行される。選択される参照規格が、典型的な実施の形態のようにＩＥＣ ６１５０８である場合、前記事後処理および収集のフェーズ２５８を、前記ＩＥＣ ６１５０８規格によって求められる指標を容易に集めるために実行される特定の事後処理フローによって達成することができる。とくには、図７のフロー図を参照すると、そのような事後処理および結果の収集２５８が、３つのそれぞれの順次のラン２７６、２７７、および２７８にて実行されることが示されている。
・第１のラン２７６：ＩＥＣ ６１５０８に関し、このランは、ＤおよびＦの値を計算するために使用される。実際には、これら２つの値の積、すなわち特定の事後処理２７５によってデータベース２１４から取られる各センシティブゾーンＳＺについてのＤ＊Ｆ値を計算することがより容易である。そのような特定の事後処理は、以下のステップで構成される。すなわち、フォールト模擬レポート２７２およびフォールト・リスト・データベース２１６を解析するステップ、データベース２１４の別のセンシティブゾーンについてフォールトを分割するステップ、初期のＤ＊Ｆ値を計算するステップ、これらの値の操作を加えるステップ、である。この操作の例は、これに限られるわけではないが、以下である。フォールトカバレッジの操作（「ホットスポット・フォールト・カバレッジ」として特定される）が、最新のディープサブミクロン技術において恒久または一時フォールトが、スポットにおいて、すなわち特定の数の隣接かつ独立したポートを含んでいるグループにおいて、エラーに最もつながりやすい点を考慮するために行われる。回路ネットリストおよびレイアウト情報に基づく事後処理２７５が、同じフォールト位置に関係する独立かつ無作為なポートの数から出発して、各センシティブゾーンＳＺについて新たなＤＤＦ値を計算する。
・第２のラン２７７：このランは、前記特定の事後処理２７５によってデータベース２１４から取られるそれぞれのセンシティブゾーンＳＺについて、ＤＤＦ‐ＯＮ値、すなわちλｐｅｒｍ＿ｏｎに関する全危険側検出故障率を計算するために使用される。
・第３のラン２７８：このランは、前記特定の事後処理２７５によってデータベース２１４から取られるそれぞれのセンシティブゾーンＳＺについて、ＤＤＦ‐ＯＦＦＳＴ値、すなわちλｐｅｒｍ＿ｏｆｆｓｔに関する全危険側検出故障率を計算するために使用される。

事後処理２５８の後で、選択された規格（典型的な実施の形態においてはＩＥＣ ６１５０８）に特有の指標にもとづいて、測定されたＦＭＥＡ結果２６０が収集される。とくには、データベース準備ステップ２２５に関連して、以下の値が収集される。
・Ｆ値：Ｆｍｅａｓとして識別される
・Ｄ値：Ｄｍｅａｓとして識別される
・Ｄ＊Ｆ値：Ｄ＊Ｆｍｅａｓとして識別される
・ＤＤＦ値：ＤＤＦ＿ＯＮｍｅａｓ、ＤＤＦ＿ＯＦＦＳＴｍｅａｓ、ＤＤＦ＿ＴＲｍｅａｓとして識別される。

これらの「測定された」値、すなわち「ｍｅａｓ」値は、ステップ２３５、２３６、２３９において推定され、ステップ２３７および２４０において計算された値に相当する。全自動のプロセスを使用することを好む前記ＦＭＥＡ法を使用するエキスパートが、それらのステップ２３５、２３６、および２３９における推定値の代わりに測定値を使用できることは、率直である。

再び図２を参照すると、検証ステップ２５０に、計算されたＦＭＥＡ結果２４７と測定されたＦＭＥＡ結果２６０との間の比較２８０が続いている。とくには、ステップ２２５において計算されたＦ、Ｄ、Ｄ＊Ｆ、およびＤＤＦ値が、ステップ２５０において測定された測定値Ｆｍｅａｓ、Ｄｍｅａｓ、Ｄ＊Ｆｍｅａｓ、およびＤＤＦ＿ＯＮｍｅａｓ、ＤＤＦ＿ＯＦＦＳＴｍｅａｓ、ＤＤＦ＿ＴＲｍｅａｓと比較される。結果は、これらの値の間の乖離が前記ＦＭＥＡ法を使用するエキスパートによって判断される受け入れ可能なしきい値を下回る場合に、有効とされる。比較２８０の結果が否定である場合、結果は受け入れ不可能であり、最初に頻度（２２０の回路使用プロファイルの抽出を使用して計算されない場合）、Ｓ、およびＤ値、など、前記ＦＭＥＡ法を使用するエキスパートによって入力されたすべての値をチェックして、ステップ２５０を繰り返さなければならない。多くの場合、乖離は、そのような値の入力時のミスに起因する。まれには、フォールトモデルの洗練、または回路仕様条件の追加が必要とされる可能性がある。比較２８０の結果が肯定である場合、有効が確認されたＦＭＥＡ結果２９０が得られる。

本発明の根底にある原理を損なうことなく、特許請求の範囲に定められるとおり、本発明の技術的範囲から逸脱することなく、細部および実施の形態について、あくまで例として上述した内容に対して変更が可能であり、大きな変更も可能である。

本明細書に開示した構成の主たる適用分野は、例えば自動車用であってＩＥＣ ６１５０８規格の枠組みにあるマイクロコントローラまたはシステムオンチップの分析であるが、本発明の技術的範囲が、集積回路を有しており、品質、信頼性、および保安についての他の規格（ＩＳＯ２６２６２またはＣＣ／ＩＴＳＣ ＥＡＬなど）の枠組みにあり、あるいは航空宇宙、生物医学、およびデータ保全などといった他の分野の枠組みにあるあらゆるシステムの分析にまで広がることは、明らかである。

本ＦＭＥＡ法は、設計中の集積回路のＦＭＥＡデータベースの準備およびこのＦＭＥＡデータベースからのＦＭＥＡ結果の計算のステップの実行、集積回路情報を読む集積回路の記述からの情報の自動抽出、回路の不変かつ基本的なセンシティブゾーンへの区分け、前記ＦＭＥＡデータベースの準備ステップにおける前記情報の使用、ならびに提案される方法の説明および請求される他の動作、に適している任意のコンピュータまたは他の処理装置において実行可能であり、そのような任意のコンピュータまたは他の処理装置は、分散処理モジュールによっても代表される。

本発明によるＦＭＥＡ法に関係するセンシティブゾーンを説明する概略図を示している。 本発明によるＦＭＥＡ法に関係するセンシティブゾーンを説明する概略図を示している。 本発明によるＦＭＥＡ法を説明するフロー図を示している。 そのようなＦＭＥＡ法の第１の段階の詳細を説明するフロー図を示している。 ＦＭＥＡ法の第２の段階の詳細を説明するフロー図を示している。 ＦＭＥＡ法の第２の段階において使用されるＦＭＥＡデータベースの詳細を説明するフロー図を示している。 ＦＭＥＡ法の第３の段階の詳細を説明するフロー図を示している。 ＩＥＣ ６１５０８規格に特有のフォールト・カバレッジ・プロセスを詳述するフロー図を示している。

符号の説明

３１０・・・第１の段階、３２０・・・第２の段階、３３０・・・第３の段階。

Claims (32)

1. 集積回路について故障モード・影響分析（ＦＭＥＡ）を実行するための方法であって、設計中の集積回路のＦＭＥＡデータベース（２４２）をコンピュータ内で準備するステップ（２２５）と、前記ＦＭＥＡデータベース（２４２）からＦＭＥＡ結果（２４７）を計算するステップとを含んでおり、前記ＦＭＥＡデータベースは前記回路のゾーン（ＳＺ）に関するレコードを含む、方法であり、
   前記方法が、集積回路の記述（２０５）から情報を自動的に抽出するステップ（２１０）を含んでおり、
   少なくともゲート−レベルの抽象化にて該情報を抽出するステップ（２１０）が、
   集積回路の情報を読み出すこと（２０７）、
   該回路を不変かつ基本的なセンシティブ・ゾーン（ＳＺ）に区分けすること（２１１）であって、前記区分けはゲート−レベルにおけるネットリストからゾーンとしてレジスタを選択することを含む、こと、
   前記センシティブ・ゾーンに関する論理コーン情報を抽出することであって、前記論理コーン情報を抽出することが入力コーン情報を抽出すること及び出力コーン情報を抽出することを含む、こと、及び、
   前記センシティブ・ゾーン区分け及び関連する論理コーン情報を含むセンシティブ・ゾーン・データベースを構成することを含み、
   前記情報がＦＭＥＡデータベース（２４２）の前記準備するステップ（２２５）で使用されるものであり、ＦＭＥＡデータベース（２４２）の前記準備するステップ（２２５）は、
   前記ＦＭＥＡデータベース内で前記センシティブ・ゾーン・データベースをインポートすること、
   各センシティブ・ゾーンに対する故障率を含む個々のレコードに対して前記センシティブ・ゾーン・データベースフォールトモデル統計内の情報に基づいてＦＭＥＡ結果（２４７）を自動的に計算すること、及び、
   個々のＦＭＥＡレコードに対する前記ＦＭＥＡデータベース故障率内で、且つＦＭＥＡ結果を計算する前記コンピュータ故障率に基づいて、ＦＭＥＡ結果（２４７）を自動的に計算するために、個々のセンシティブ・ゾーンに対する故障率を含む個々のレコードに対する前記フォールトモデル統計を使用すること
   を含む、方法。
2. 回路の作業負荷（２１９）を使用してＦＭＥＡデータベースを検証するステップ（２５０）、及び、前記測定したＦＭＥＡデータベースから測定されたＦＭＥＡ結果（２６０）を抽出する、前記検証するステップの後続のステップを含み、
   これらのステップ、及び、前記ＦＭＥＡデータベース（２４２）の準備のステップ（２２５）が、所定の条件により繰り返され、
   前記所定の条件は、計算されたＦＭＥＡ結果（２４７）と測定されたＦＭＥＡ結果（２６０）との間の比較（２８０）により評価され、
   該比較（２８０）の結果が受け入れ可能なしきい値を下回る場合に、ＦＭＥＡデータベース（２４２）の前記準備のステップ（２２５）の前記繰り返しが実行され、該比較（２８０）の結果が肯定の結果である場合に、有効とされたＦＭＥＡ結果（２９０）が生成される
   請求項１に記載の方法。
3. 前記回路を不変かつ基本的なセンシティブ・ゾーン（ＳＺ）に区分けすること（２１１）が、前記回路の記述（２０５）を定めている複数の抽象化レベルを特定すること、および前記抽象化レベルの最上レベルから最低レベルまで現われるゾーンを不変のセンシティブ・ゾーンと解釈することを含んでいることを特徴とする請求項１又は２に記載の方法。
4. 前記回路を不変かつ基本的なセンシティブ・ゾーン（ＳＺ）に区分けすること（２１１）が、そのような回路によって実行される機能のうちの一つまたはそれらの一部が特定され得る、抽象化レベルにおける集積回路の最も小さい有意な区分けを、基本的なセンシティブ・ゾーンと解釈することを含んでいることを特徴とする請求項１〜３のいずれか一項に記載の方法。
5. 回路の作業負荷（２１９）から回路使用プロファイル（２２１）を抽出するステップ（２２０）、および前記ＦＭＥＡデータベースの準備のステップにおいて前記プロファイル（２２１）を使用するステップを含んでいることを特徴とする請求項１〜３のいずれか一項に記載の方法。
6. 回路の安全仕様（２３１）に関し、かつ安全規格ガイドライン（２３０）に基づく情報を、前記ＦＭＥＡデータベース（２４２）の準備のステップ（２２５）において入力することを含むことを特徴とする請求項１〜５のいずれか一項に記載の方法。
7. 前記入力（ＩＬ）および出力（ＯＬ）論理コーンを解析することによって、フォールトリスト（ＬＦ）を生成するステップ（２１５）、およびフォールト・リスト・データベース（２１６）を生成するステップを含んでいることを特徴とする請求項１に記載の方法。
8. 共有エレメント、ゲート、およびネットに関して各センシティブ・ゾーン（ＳＺ）間の相関を評価することによって、共有エレメントについての情報を抽出すること（２１７）、および共有データベース（２１６）を生成すること、を含んでいることを特徴とする請求項６に記載の方法。
9. 前記ＦＭＥＡデータベース（２４２）が、所与のセンシティブ・ゾーン（ＳＺ）の考えられる故障モード（ＦＭ）にそれぞれ対応するレコードを呈することを含んでおり、各レコードが、センシティブ・ゾーン・フィールド（２４３）、故障モードフィールド（２４４）、ＦＭＥＡ統計フィールド（２４５）、および診断カバレッジフィールド（２４６）を含んでいることを特徴とする請求項１に記載の方法。
10. 前記レコードの１つ以上のフィールド（２４４）を、回路の記述（２０５）、安全仕様（２３０）、および安全規格ガイドライン（２３１）に基づき、エラーへとつながるセンシティブ・ゾーン（ＳＺ）におけるフォールト（Ｇ）の影響を表わしている故障モード（ＦＭ）を、各センシティブ・ゾーン（ＳＺ）について受け取る（２２８）ために提示すること、を含むことを特徴とする請求項９に記載の方法。
11. 前記レコードの前記故障モードフィールド（２４４）を、観測点（ＯＰ）に関して該当のセンシティブ・ゾーン（ＳＺ）の特定の故障モード（ＦＭ）を表わしている予想される主たる影響（ＭＥ）を各センシティブ・ゾーン（ＳＺ）に受け取る（２３４）ために提示すること、を含むことを特徴とする請求項９に記載の方法。
12. 前記レコードの前記ＦＭＥＡ統計フィールド（２４５）を、予想される使用頻度値を各センシティブ・ゾーン（ＳＺ）について受け取る（２３５）ために提示すること、を含むことを特徴とする請求項１１に記載の方法。
13. 前記レコードの前記ＦＭＥＡ統計フィールド（２４５）を、安全側および危険側値を各センシティブ・ゾーン（ＳＺ）について受け取る（２３６）ために提示すること、をさらに含むことを特徴とする請求項１２に記載の方法。
14. 前記安全側および危険側値を各センシティブ・ゾーン（ＳＺ）について受け取る（２３６）ことが、所与のセンシティブ・ゾーン（ＳＺ）における所与の故障モード（ＦＭ）について、考えられる故障の一時フォールトおよび恒久フォールトに分割された推定による安全側の割合および危険側の割合を受け取ることを含んでいる、ことを特徴とする請求項１３に記載の方法。
15. 前記ＦＭＥＡデータベース（２４２）が、各ＦＭＥＡレコードについて故障率を自動的に計算（２３７）し、該計算した故障率に基づいて診断なしのＦＭＥＡ結果（２３８）を計算することを特徴とする請求項１３または１４に記載の方法。
16. 診断カバレッジを各センシティブ・ゾーン（ＳＺ）について受け取る（２３９）ことを含んでいる、ことを特徴とする請求項１５に記載の方法。
17. 前記診断カバレッジを各センシティブ・ゾーン（ＳＺ）について受け取る（２３９）ことが、ＤＤＦの推定（ＤＤＦ ＡＵＴＯ （ＴＲ）、ＤＤＦ ＡＵＴＯ （ＰＥ））、前記共有データベース（２１８）に基づくセンシティブ・ゾーン（ＳＺ）間の論理共有を考慮して自動カバレッジ計算を実行することを含んでいる、ことを特徴とする請求項１６に記載の方法。
18. 前記診断カバレッジを各センシティブ・ゾーン（ＳＺ）について受け取る（２３９）ことが、他のセンシティブ・ゾーンとの共有の程度を重み付けするための形状関数を各センシティブ・ゾーン（Ｚ）について使用することを含んでいる自動カバレッジ計算を実行することを含んでいる、ことを特徴とする請求項１６に記載の方法。
19. 前記ＦＭＥＡデータベース（２４２）が、各ＦＭＥＡレコードについて検出／非検出故障率を自動的に計算（２４０）し、該計算された検出／非検出故障率に基づいて、診断ありのＦＭＥＡ結果（２４１）を計算することを特徴とする請求項９〜１８のいずれか一項に記載の方法。
20. 前記フォールトモデル（２３３）が、センシティブ・ゾーン（ＳＺ）において生じている故障（Ｆ）をもたらしているフォールト（Ｇ）を、恒久および一時／間欠フォールトの間で区別して製作されることを特徴とする請求項１０〜１９のいずれか一項に記載の方法。
21. 前記恒久フォールトを、それらがシステムの動作モードにおいていつ生じているかに応じて、「恒久ＯＮ」、「恒久ＯＦＦ」、および「恒久ＳＴ」に区別すること、を含んでいることを特徴とする請求項２０に記載の方法。
22. ＦＭＥＡデータベースを検証するステップ（２５０）が、前記回路の作業負荷（２１９）の機能的カバレッジの測定（２５２）と、フォールト・リスト・データベース（２１６）を利用するフォールトカバレッジの測定（２５３）とを含む作業負荷アクセプタンスフェーズ（２５１）を含んでいる、ことを特徴とする請求項１〜２１のいずれか一項に記載の方法。
23. 機能的カバレッジの測定（２５２）およびフォールトカバレッジの測定（２５３）の結果をテストするステップ（２５４）を含んでいることを特徴とする請求項２２に記載の方法。
24. テストのステップ（２５４）の結果が肯定である場合に、センシティブ・ゾーン・データベース（２１４）に示されたセンシティブ・ゾーン（ＳＺ）においてローカルフォールトのフォールト注入作業（２５５）およびグローバルフォールトのフォールト注入作業（２５７）を実行すること、を含んでいることを特徴とする請求項２３に記載の方法。
25. すべての診断出力をフォールトカバレッジの測定のための観測点（ＯＰ）として取り上げてフォールトカバレッジ分析（２５６）を実行すること、を含んでいることを特徴とする請求項２３または２４に記載の方法。
26. 前記フォールトカバレッジ分析（２５６）が、３つの順次のラン（２７１、２７３、２７４）を含んでおり、第１のラン（２７１）が、回路の記述（２０５）および回路の作業負荷（２１９）から来る設計中の前記集積回路のすべての一次入力／出力を観測点（ＯＰ）として取り上げ、第２のラン（２７２）が、前記マイクロ電子回路のすべての診断出力を観測点（ＯＰ）として取り上げ、第３のラン（２７４）が、各センシティブ・ゾーン（ＳＺ）についてＳＷ診断テストによる診断カバレッジを測定することを特徴とする請求項２５に記載の方法。
27. フォールト注入（２５５、２５７）およびフォールトカバレッジ（２５６）のステップの結果を仕上げるための事後処理（２５８）、ならびにＦＭＥＡ検証結果（２６０）の収集（２６０）を含むことを特徴とする請求項２５または２６に記載の方法。
28. 前記事後処理および収集のフェーズ（２５８）が、ＩＥＣ ６１５０８規格によって求められる指標を集めるために適したＩＥＣ ６１５０８規格のための事後処理フローを含んでいることを特徴とする請求項２７に記載の方法。
29. 前記事後処理および収集のフェーズ（２５８）が、ＩＳＯ２６２６２規格によって求められる指標を集めるために適したＩＳＯ２６２６２規格のための事後処理フローを含んでいることを特徴とする請求項２７に記載の方法。
30. 前記ＩＥＣ ６１５０８規格のための事後処理フローが、３つの順次の特定のラン（２７６、２７７、２７８）を実行しており、
    ・第１の特定のラン（２７６）は、特定の事後処理（２７５）によってセンシティブ・ゾーン・データベース（２１４）から取り上げられる各センシティブ・ゾーン（ＳＺ）について危険側故障および故障値の積（Ｄ＊Ｆ）を指標として計算し、
    ・第２の特定のラン（２７７）は、前記特定の事後処理（２７５）によってセンシティブ・ゾーン・データベース（２１４）から取り上げられる各センシティブゾーン（ＳＺ）について恒久ＯＮフォールトに関する全危険側検出故障率（ＤＤＦ＿ＯＮ）の値を指標として計算し、
    ・第３の特定のラン（２７８）は、前記事後処理（２７５）によってデータベース（２１４）から取り上げられる各センシティブ・ゾーン（ＳＺ）について恒久ＯＦＦおよび恒久ＳＴフォールトの両者に関する全危険側検出故障率（ＤＤＦ＿ＯＦＦＳＴ）の値を指標として計算し、
    ・前記特定の事後処理（２７５）は、フォールト模擬レポート（２７２）およびフォールト・リスト・データベース（２１６）を解析すること、フォールトをセンシティブ・ゾーン・データベース（２１４）に定められた異なるセンシティブ・ゾーン（ＳＺ）のために分割すること、初期の指標値を計算すること、前記指標値の操作を加えること、を含んでいる
    ことを特徴とする請求項２８に記載の方法。
31. 請求項１〜２９のいずれか一項に記載の方法の各ステップを実行するように構成された処理装置。
32. コンピュータのメモリに直接的にロード可能であって、コンピュータ上で実行されたときに請求項１〜２９のいずれか一項に記載の方法を実行するためのソフトウェアコード部分を含んでいるコンピュータプログラム。

Images