JP6558883B2 - 構成要素に基づくフォルトツリーを使用する複合システムの安全解析 - Google Patents

Description

本開示は、概して、安全解析に関し、かつ具体的には、構成要素に基づくフォルトツリーを使用する航空機などの複合システムの安全解析に関する。

航空機などの複合システムは、概して任意の数のシステムから構成されており、かつそれら個別のシステムよりも大きな機能性を可能にする。航空宇宙産業、自動車産業、海洋産業、医療産業、及びエレクトロニクス産業におけるものなどの、航空機その他を含む多数の複合システムの技術的進歩は、相互に依存する多数のシステムをもたらし、それらの少なくとも一部は、異なる地理的位置にある異なる会社の異なるチームにより設計される場合がある。これらのシステムのうちの１以上の故障又は機能不全の解析はしばしば、認証プロセスの一部として必要とされる。典型的には、このような解析は、このような解析を容易にすることができるプロセスを考慮することなく、システム解析者のグループによって手動で実行される。複合システム及び複合システムを構成するシステムの統合が進むにつれて、従来の解析法は、対象範囲の幅及び発生するレイバーコストの点でもはや実用的でない。

航空宇宙産業には任意の数の安全性解析手法が存在する。例えば、フォルトツリー解析（ＦＴＡ）は、故障効果の原因を、原因となる故障を組み合わせる論理（例えば、ブール論理）を用いて解析するトップダウン解析である。故障伝搬モデリング（ＦＰＭ）は、システムの全体にわたる故障伝搬についての情報を取得するモデル（故障伝搬モデル）を開発するプロセスである。故障伝搬モデルはしばしば、システム設計及び安全評価のプロセスが、自動的に安全アーチファクトの一貫したセットを生成させるために使用される、統一モデルを開発する新しい作業である、モデルベース安全解析（ＭＢＳＡ）の中で使用される。

それ故、既存の手順を改良するシステムと方法を有することが望まれている。

故障伝搬モデルを使用するＭＢＳＡなどの技術はしばしば、航空機などの複合システムの設計、開発、及び認証の間において使用される。故障伝搬モデルは、人が、構成要素及びシステムにわたる故障伝搬を可視化することを可能にし、かつそれ故、複合システムの安全性及び信頼性を証明又は確認することを可能にする。これらのモデルはまた、安全解析者及び設計技術者に利益を与える。モデルは、故障モデルを設計技術者に近づけ、かつそれ故、彼らが複合システムの故障許容性及び安全性の特徴を理解することを容易にする。しかしながら、故障伝搬モデルを開発するための現在のツールは、エンドユーザに対して直観的なもの以下であり、かつしばしば、コンピュータプログラムタイプの言語を使用する。

安全解析の中において論理を表すために最も広く使用されているモデルの１つは、フォルトツリーモデルである。フォルトツリーは、最小カットセット及びシステム故障確率などの認証提出物を、効果的に生み出す。現在のＭＢＳＡツールは、最小カットセット、システムレベルのフォルトツリー、及びそれらと同様なものなどを容易に提供することはできないが、故障伝搬のシミュレーションを実行することができ、それは安全解析者によって確認されることができる。ＭＢＳＡの全ての利益、及び安全認証において主として使用されているＦＴ方法の全ての利点を提供することができる、今現在利用可能な解決法は存在しない。

本開示の例示的実施態様は、概して、構成要素に基づくフォルトツリーを使用する複合システムの安全解析に対する改良されたシステムを対象としている。例示的実施態様は、システム設計コミュニティーの解析ニーズ及び安全認証ニーズに対して同時に対処することができる、故障伝搬モデルの開発を介してなど、任意の数の種々のやり方において、安全解析を容易にする。システムは、システムを構成する構成要素からモデル化され、かつ構成要素は、それぞれのフォルトツリーによってモデル化される。その後、例示的な実施態様にしたがって、構成要素フォルトベースモデルは、システムの構成要素の内部の故障モデルを用いて構築される。構成要素フォルトベースモデル及びそれらのそれぞれのフォルトツリーは、その後、その構成要素のフォルトツリーの組み合わせを含む、システムフォルトベースモデルの中へアセンブルされる。これは、直観的に理解できない言語の使用を必要とすることを避けることができる。それ故、例示的実施態様は、設計モデルの上の、かつ同じモデルの安全認証に対する故障伝搬を可視化するために、システムフォルトベースモデルの使用を可能にする。

例示的実装態様の一側面にしたがって、安全解析システムが提供され、かつ安全解析システムは、システムモデラー及びモデル解析システムを含む。システムモデラーは、システムを構成するそれぞれの構成要素の構成要素フォルトベースモデルを受信するように構成される。構成要素フォルトベースモデルは、その各々がそれぞれの構成要素の故障の又は構成要素に対する入力のイベントにおいてそれぞれの構成要素の作用を表す、フォルトツリーとして表現される伝達関数を含む。いくつかの実施例において、構成要素の故障は、サブコンポーネントの故障のフォルトツリーとして表され、かつこのフォルトツリーは、構成要素の入力及び制御の状態と組み合わされて、構成要素の伝達関数を形成する。

システムモデラーはまた、システムのシステムフォルトベースモデルの中へ構成要素フォルトベースモデルをアセンブルするように構成され、システムフォルトベースモデルは、構成要素フォルトベースモデルのフォルトツリーのアセンブリとして表現される。その後、モデル解析システムは、システムフォルトベースモデルを使用して、安全解析を実行するように構成される。

いくつかの実施例において、構成要素フォルトベースモデルは、それぞれの構成要素を表しているブロックを含む、ブロック図の中でグラフを使って表現される。これらの実施例において、システムモデラーがシステムフォルトベースモデルの中へ構成要素フォルトベースモデルをアセンブルするように構成されることは、システムフォルトベースモデルを互いに接続されるブロックを含む信頼度ブロック図又は機能流れブロック図（ＦＦＢＤ）などのブロック図としてグラフを使用して表現するように構成されることを含む。このブロック図は、時々、故障伝搬モデルとして言及される。

いくつかの実施例において、システムモデラーが構成要素フォルトベースモデルを受信するように構成されることは、記憶装置から構成要素フォルトベースモデルを受信するように構成されることを含み、構成要素フォルトベースモデルは構成要素フォルトベースモデルのライブラリーの中に記憶されている。

いくつかの実施例において、安全解析システムはさらに、構成要素の構成要素のフォルトベースモデルを開発するように構成される構成要素モデラーを含む。これらの実施例において、構成要素モデラーは、構成要素フォルトベースモデル、及び構成要素フォルトベースモデルの伝達関数を構築するように構成される。構成要素フォルトベースモデルのうちの少なくともいくつかの各々は、それぞれの構成要素の出力及び故障イベント、おそらくまた入力を含む。伝達関数は、それぞれの構成要素の入力、出力、及び故障イベントの間の論理関係を表す。そして、システムモデラーが構成要素フォルトベースモデルを受信するように構成されることは、構成要素モデラーから構成要素フォルトベースモデルを直接的又は間接的に受信するように構成されることを含む。

いくつかのさらなる実施例において、構成要素フォルトベースモデルのうちの少なくともいくつかの各々はさらに、外部からの入力又は制御を含み、かつ伝達関数は、それぞれの構成要素の外部からの入力、制御、出力、及び故障イベントの間の論理関係を表す。これらのさらなる実施例において、システムモデラーが構成要素フォルトベースモデルをアセンブルするように構成されることは、構成要素フォルトベースモデルの出力を、別の構成要素フォルトベースモデルの入力に対して、又は別の構成要素フォルトベースモデルの入力に対して出力するブール論理演算（例えば、ＡＮＤ、ＯＲ、ＮＯＴ）に接続するように構成されることを含む。例えば、システムフォルトベースモデルがＦＦＢＤとして表現される場合において、構成要素の出力は、適切なブール論理演算又はゲートを介して他の構成要素の入力に接続される。

いくつかの実施例において、モデル解析システムが安全解析を実行するように構成されることは、システムフォルトベースモデルを使用してフォルトツリー解析を実行し、かつそのフォルトツリー解析に基づいて１以上の故障状態に対する１以上の最小カットセット及び確率を生成させるように構成されることを含む。

いくつかの実施例において、モデル解析システムが安全解析を実行するように構成されることは、個性要素フォルトベースモデル又はシステムフォルトベースモデルのうちの少なくともいくつかに基づいて、故障伝搬モデルを発生させるように構成されることを含む。これらの実施例において、故障伝搬モデルは、１以上の故障伝搬経路及び故障伝搬経路に沿った入力及び出力の故障確率を含む。

例示的実施態様の他の側面において、方法及びコンピュータ可読記憶媒体が、安全解析を実行するために提供される。ここで説明されるフィーチャ、機能及び利点は、本発明の種々の例示的実装態様において単独で実現可能であるか、又はさらに別の例示的実装態様において組み合わせることができる。このような実装態様のさらなる詳細は、後述の説明及び添付図面に見ることができる。

上で述べたように、本開示の例示的実施態様を一般的な用語で説明したが、後述では添付図面を参照し、これらの図面は、必ずしも正確な縮尺で描かれていない。

図１は、例示的な一実装態様による、安全解析システムの図解である。 図２は、本開示の例示的実施態様による、適切な構成要素モデラー及びシステムモデラーを図解している。 図３は、本開示の例示的実施態様による、適切な構成要素モデラー及びシステムモデラーを図解している。 図４は、本開示の例示的実施態様による、構成要素フォルトベースモデルのグラフを使った表現の実施例を図解している。 図５は、本開示の例示的実施態様による、フォルトツリー伝達関数の実施例を図解している。 図６は、本開示の例示的実施態様による、バッテリ、電球、及びスイッチを含む懐中電灯の構成要素に対する適切なフォルトベースモデルの実施例を図解している。 図７は、本開示の例示的実施態様による、バッテリ、電球、及びスイッチを含む懐中電灯の構成要素に対する適切なフォルトベースモデルの実施例を図解している。 図８Ａは、本開示の例示的実施態様による、バッテリ、電球、及びスイッチを含む懐中電灯の構成要素に対する適切なフォルトベースモデルの実施例を図解している。 図８Ｂは、本開示の例示的実施態様による、バッテリ、電球、及びスイッチを含む懐中電灯の構成要素に対する適切なフォルトベースモデルの実施例を図解している。 図９は、本開示の例示的実施態様による、（ａ）スイッチ問題なし、電源投入コマンド、の場合に対する：スイッチのフォルトツリー伝達関数の作用をさらに図解している。 図１０は、本開示の例示的実施態様による、（ｂ）スイッチ問題なし、電源切断コマンド、の場合に対する：スイッチのフォルトツリー伝達関数の作用をさらに図解している。 図１１は、本開示の例示的実施態様による、（ｃ）スイッチ故障、閉固着、の場合に対する：スイッチのフォルトツリー伝達関数の作用をさらに図解している。 図１２は、本開示の例示的実施態様による、（ｄ）スイッチ故障、開固着、の場合に対する：スイッチのフォルトツリー伝達関数の作用をさらに図解している。 図１３は、本開示の例示的実施態様による、前述の懐中電灯の信頼度ブロック図の形をとるシステムフォルトベースモデルを図解している。 図１４は、本開示の例示的実施態様による、図１３のものと対応するが、図６、図７、及び図８の中において示されるバッテリ、電球、及びスイッチの構成要素フォルトベースモデルを含む、信頼度ブロック図を図解している。 図１５は、本開示の例示的実施態様による、方法における様々なオペレーションを図解している。

添付図面を参照して、本開示のいくつかの実施態様について、以下でより詳しく説明するが、添付図面には本開示のすべての実施態様が示されているわけではない。実際、本開示の様々な実施態様は、多くの異なる形で具現化することができ、ここで説明される実施態様に限定されるものと解釈されるべきではなく、むしろ本開示が包括的で完全となるように、かつ当業者に本開示の範囲を十分に伝えるために、これらの実施態様が提供される。また、何か別のもの（特に明記されない限り）の上にあるとして図示及び説明されるものが代わりに下にあってもよく、逆もまた同じである。同様に、何か別の物の左にあるとして図示及び説明される物が代わりに右にあってもよく、逆もまた同じである。全体を通して、類似の参照番号は類似の要素を示している。

本開示の例示的実施態様は、概して、安全分析に関し、かつ具体的には、構成要素に基づくフォルトツリーを使用する航空機などの複合システムの安全分析に関する。例示的実装態様について、主に複合システムが航空機である航空宇宙産業の用途と併せて記載する。しかしながら、例示的実装態様は、航空宇宙産業及び航空宇宙産業外の両者で、種々の他の用途と併せて利用できるということが、理解されるべきである。安全性、動作、整備、エンジニアリングサポートなどを含む装備の動作の複数の側面に影響しうることから、正確で一貫性のある安全解析が重要である。

航空機などの複合システムは、概して、アセンブルされる構成要素のヒエラルキーから成る。例えば、複合システムは、各々が１以上の特徴を含む任意の数の部品を含む。部品は、任意の数のアセンブリ、サブシステム、又は同様なものなどの中へアセンブルされる（各々が概して「サブシステム」である）。そして、サブシステム（単独又は様々な部品を有する）は、今度は、他のサブシステム又は複合システムそのものの中へアセンブルされる。その後、様々な実施例の中において、複合システムの文脈の中の「構成要素」は、（部品の）特徴、（サブシステムの）部品、又は（複合システムの）システムを言及し；かつ複合システムの文脈の中の「システム」は、部品、サブシステム、又は複合システムなどの構成要素の組み合わせを言及する。航空機の文脈の中においては、１以上の構成要素は、しばしば作業ラインで交換可能なユニット（ＬＲＵ）として言及される航空機のモジュール式構成要素として設計されることがあり、そのような構成要素を有する単独の航空機は、任意の数のＬＲＵ及び他の構成要素を含み得る。

本明細書の中において説明されるように、システムは、１以上の構成要素の不具合又は故障（概して「故障」）によってもたらされる故障状態（時々、危険状態として言及される）を提示する。システムは、機能不全、劣化、又は故障によるなど、任意の数の種々の様式のいずれかで故障することがあり、それらの様式の各々を故障モードと呼ぶ（本明細書に記載するように、故障という場合、時に具体的には故障モードに等しく当てはまる）。いくつかの実施例において、故障の場合又はシナリオ（概して「シナリオ」）は、システムの故障を表し、それはシステムの故障状態へ導く１以上の構成要素の故障から始まる。故障効果は、故障の結果としての構成要素又はシステムのオペレーションを言及し；すなわち、故障モードが構成要素及びシステムの動作、機能、又は状態に対して有する結果としてのオペレーションを指す。そして、いくつかの実施例において、故障又は故障効果は、故障状態となり得る。

今度は、図１を参照すると、本開示の例示的実装態様による、安全解析システム１００が図解されている。システムは、１以上の機能又はオペレーションを実行するための任意の数の種々のサブシステム（各々は個別のシステム）のいずれかを含むことができる。例えば、示されるように、安全解析システム１００は、構成要素モデラー１０２、システムモデラー１０４、及び／又はモデル解析システム１０６を含む。安全解析システム１００の部分として示されているが、構成要素モデラー１０２、システムモデラー１０４、及び／又はモデル解析システム１０６のうちの１以上は、代わりに、安全解析システム１００から分離されているが、通信可能な状態となっている。サブシステムのうちの１以上は、他のサブシステムとは関係なく、分離されたシステムとして機能又は作動可能である、ということもまた理解されるべきである。そしてさらに、安全解析システム１００は、図１に示されているものとは別の、１以上の付加的又は代替的なサブシステムを含んでもよい、ということが理解されるべきである。

安全解析システム１００の構成要素モデラー１０２は、概して、複合システムのそれぞれの構成要素の構成要素フォルトベースモデルを開発するように構成されている。各々の構成要素フォルトベースモデルは、それぞれの構成要素の作用を表し、かつ構成要素のそれぞれの出力に対する様々な入力及び／又は制御に関係する伝達関数を含む。例示的実施態様にしたがって、伝達関数は、構成要素の１以上の故障又は構成要素に対する１以上の入力の場合に、構成要素の作用を表現するフォルトツリーとして表現される。伝達関数は、１以上の入力及び／又は制御から独立して又はさらに依存して、１以上の故障の場合に構成要素の出力を表現する。これは、しばしば安全解析のためにフォルトツリーを使用する安全解析者に有益である。論理はまた、連邦航空局（ＦＡＡ）、ヨーロッパ航空安全局（ＥＡＳＡ）、及び同様なものなどの適切な規制当局によって容易に理解されるだろう。

システムモデラー１０４は、複合システムのうちのそれぞれの１以上のシステムの１以上のシステムフォルトベースモデルを開発するように構成されている。上述したように、システムは、構成要素のアセンブリを言及する。その後、いくつかの実施例において、システムモデラー１０４は、それぞれのシステムに対して、システムの構成要素の構成要素フォルトベースモデルを、システムフォルトベースモデルの中へアセンブルするように構成される。その後、構成要素フォルトベースモデルと同様に、システムフォルトベースモデルは、それぞれのシステムの作用を表現し、かつシステムのそれぞれの出力に対する入力及び／又は制御に関係する伝達関数を含む。この伝達関数は、システムの構成要素のフォルトツリーのアセンブリとして表現され、かつ入力、制御、及び出力は、より具体的に構成要素のそれらを言及する。

モデル解析システム１０６は、任意の数の種々の安全解析技術のうちのいずれかにしたがうなどして、システムフォルトベースモデルを使用して、安全解析を実行するように構成される。例えば、モデル解析システム１０６は、故障効果の原因が寄与している故障を組み合わせる論理を使用して解析される、フォルトツリー解析を実行する。モデル解析システム１０６は、その安全解析を実行し、かつそれに基づいて、１以上の故障状態に対する確率及び最小カットセットなどの、１以上の安全アーチファクトを生成させる。

いくつかの実施例において、モデル解析システム１０６は、様々なフォルトベースモデル（構成要素及び／又はシステムフォルトベースモデル）及び／又はカットセットに基づいて、１以上の故障伝搬モデルを発生させ、かつそれは、構成要素又はシステムにわたる１以上の故障の伝搬を表す。これらの故障伝搬モデルは、モデルベース安全解析（ＭＢＳＡ）を実行するモデル解析システム１０６によるなどして、任意の数の種々の目的のうちのいずれかに対して使用される。いくつかの実施例において、様々なフォルトベースモデル及び／又はカットセットは、故障を伝搬するために使用され、かつＭＢＳＡ故障伝搬モデルの可視化に電力供給し、それは任意の数の種々のユーザインターフェースを使用して構築される。この点に関して、故障伝搬モデルは、１以上の故障伝搬経路及び故障伝搬経路に沿った入力及び出力の故障確率を含む。

今度は、図２及び図３が参照され、それらは、本開示の例示的実施態様による、適切な構成要素モデラー１０２及びシステムモデラー１０４のより具体的な実施例を、それぞれ、図解している。

図２は、構成要素モデラー２００を図解し、それは、一例示的実施態様において、構成要素モデラー１０２に対応する。構成要素モデラー２００は、概して、複合システムのそれぞれの構成要素の構成要素フォルトベースモデルを開発するように構成されている。例えば、示されるように、構成要素モデラー２００は、構成要素フォルトベースモデラー２０２、構成要素フォルトツリーコンストラクター２０４、及び適切な構成要素フォルトベースモデルの記憶装置２０６を含み、それらは、構成要素モデラー２００を形成するために互いに結合されている。

構成要素フォルトベースモデラー２０２は、複合システム、そのシステム、及び／又は構成要素を表す設計データ、並びに複合システム、そのシステム、及び／又は構成要素の潜在的な故障を表す安全データを受信するように構成されている。例えば、設計データは、複合システム及びその構成要素のアーキテクチャ、作動モード、及び／又は作用／相互作用と関係するデータを含む。例えば、アーキテクチャデータは、複合システムのアーキテクチャ、機能、システム、機能的流れ（例えば、エネルギー、物質、情報）、及び同様なものなどのモデルを含むことができる。アーキテクチャデータは、複合システムの安全クリティカルシステム及び流れ（例えば、エネルギー、物質、情報）のモデル、及び／又はオペレーター（例えばパイロット）のコマンド、１以上のセンサ（例えば、大気データ）、及び同様なものなどのモデルを含むことができる。

作動モードデータは、複合システムの作動モードのモデルを含む。これは、構成要素／システムの境界を横断して見ることができるものなどの、複合システムの様々な構成要素及び／又はシステムの作動モードを含む。一実施例において、モデルは、飛行フェーズに依存する作用などの作動依存性作用を含む。例えば、作用／相互作用データは、複合システムの構成要素及び／又はシステムの作用及び／又は相互作用のモデルを含む（作用／相互作用モデル）。いくつかの実施例において、この作用／相互作用モデルは、構成要素／システムの間の１以上の論理関係を含み、かつその論理関係は、それぞれのシステムの間の論理インターフェースによって反映される。構成要素／システム及び１以上の他の構成要素／システムの間の論理インターフェースは、効果（例えば、実際の効果、冗長性における低減、「無効」など）が、それぞれの構成要素／システムの故障の場合において予測されるべき、システムを表示する。論理インターフェースは、インターフェース管理文書（ＩＣＤ）によって提供されるものなどの適切なデータにより提供される。いくつかの実施例において、作用／相互作用モデルは、（抽象化の何らかのレベルにおいて）伝達関数を含む。

例えば、安全データは、複合システム及びその構成要素の故障モード、故障状態、及び／又は共通原因故障と関係するデータを含む。故障モードデータは、複合システム及びその構成要素の故障モードのモデル、又はむしろ、複合システム及びその構成要素が経験する故障モードのモデルを含む。適切な故障モードのいくつかの実施例は、液体の冷却、装備品ベイの冷却、空調、電気バス、ポンプ、変換器整流器、及び同様なものなどの、任意の数のシステム又はそれぞれのシステムの作動の故障（機能の損失）を含む。適切な故障モードの他の実施例は、ブレーキの損失又は劣化、逆推進装置の故障、及びそれらと同様なものなどが含まれる。

故障状態データは、複合システム及びその構成要素の故障状態のモデルを含む。これは、複合システム及びその構成要素、故障状態がそれにしたがって提示される論理、及び／又は故障状態がもたらす又は寄与する故障モードによって提示される故障状態を含む。いくつかの実施例において、このモデルは、故障状態がもたらす又は寄与する伝搬される（連鎖的）故障及び効果のモデルを反映する。伝搬された故障の例には、負荷制限に起因する衛星通信の喪失、バスへの電力の停止によるトランシーバの喪失、液体冷却の停止によるモータコントローラの喪失、およびそれらと同様なものなどが含まれる。

故障状態のモデルはまた、故障状態に対する重症度（又は危険のレベル）及び／又は確率を含む。いくつかの実施例において、重症度は、複合システムの乗客及び／又は作動における故障状態の効果を表示し、かつ確率は故障状態が生じる見込みを表示する。一実施例において、故障状態、論理、レベル、及び確率は、システム安全性評価（ＳＳＡ）及び／又は機能上の危険評価（ＦＨＡ）により与えられる。一実施例において、重症度は、例えば重症度が小さい順に「１」から「５」で数字的に表現される。別の実施例において、重症度は：重症度が小さい順に「安全への作用がゼロ」、「微小」、「有意」、「重大」、及び「壊滅的」といった分類により与えられる。

共通原因故障データは、複合システム及びその構成要素の共通原因故障のモデルを含む。このモデルは、特段の定めがなければ独立として扱われる故障の依存性に注目する。これらの依存性は、物理的及び／又は機能的近接性（例えば、区域としての近接性）、又は相互作用、共有される構成要素、及び同様なものによるなどして、任意の数の種々のやり方において反映される。

設計及び安全データの正確な内容にも関わらず、構成要素フォルトベースモデラー２０２は、設計及び安全データから、複合システムのそれぞれの構成要素のフォルトベースモデルを構築するように構成される。各々の構成要素に対して、設計及び安全データは、構成要素に対する１以上の外部からの入力、１以上の制御（コマンド）、及び／又は構成要素からの１以上の出力を反映する。設計及び安全データはまた、構成要素の内側の１以上のイベント及び状態を反映し；かつ設計及び安全データは、入力、制御、出力、イベント、及び状態の間の論理関係を表現する１以上の伝達関数を反映する。例えば、入力は、構成要素に対する別の構成要素からの入力、他の構成要素からその入力を取得する（例えば、機能的流れブロック図の表現の場合において）ブール論理演算（例えば、ＡＮＤ、ＯＲ、ＮＯＴ）の出力、又はそれと同様なものなどを含み；かつ制御は、例えば、構成要素のオペレーターからのコマンドを含む。例えば、出力は、入力又はイベントに反応する構成要素からの出力を含む。例えば、イベントは、１以上の１次イベント、外部のイベント、及び／又は共通原因イベントを含み、それらのうちの１以上は、構成要素によって経験される故障（又は故障イベント）である。同様に、例えば、状態は、構成要素の１以上のオペレーション、機能、又は状態を含み、それらのうちの１以上は、故障効果である。そして、上で示唆されたように、いくつかの実施例において、これらの故障又は故障効果のうちの１以上は、故障状態になり得る。

伝達関数は、任意の数の種々のやり方において、入力、制御、出力、イベント、及び状態の間の論理関係を表現する。本開示の例示的実施態様にしたがって、伝達関数は、故障ベースのイベント及び状態、すなわち、故障及び故障効果に対する論理関係を表現する。伝達関数は、入力、制御、出力、故障イベント、及び故障効果の間の論理関係を表現する。

構成要素フォルトベースモデラー２０２によって構築される構成要素のフォルトベースモデルは、任意の数の種々のやり方において表現される。いくつかの実施例において、フォルトベースモデラー２０２は、ブロック図の中の構成要素フォルトベースモデルをグラフを使用して表現するように構成される。図４は、構成要素フォルトベースモデルのそのようなブロック図４００の表現の実施例を図解している。示されているように、ブロック図４００は、構成要素を表すブロック４０２を含み、かつ構成要素に対する外部からの入力４０４及び制御４０６、並びに構成要素からの出力４０８を図解している。構成要素のブロックの内側において、図は、外部からの入力４０４、制御４０６、出力４０８、故障イベント、及び故障効果の間の論理関係を表現する伝達関数を表しているブロック４１０を含み；かつ伝達関数のブロックに結合されている１以上のポイント４１２（例えば、円で示される）は、故障イベントが構成要素の中へ注入されるポイントを表している。

例示的実施態様にしたがって、伝達関数は、フォルトツリーとして表現され、それは、構成要素モデラー２００の構成要素フォルトツリーコンストラクター２０４によって構築される。すなわち、構成要素フォルトツリーコンストラクター２０４は、構成要素フォルトベースモデラー２０２によって構築される構成要素フォルトベースモデルに対する伝達関数を表現するフォルトツリーを構築するように構成されている。フォルトツリーは、概して、構成要素の故障状態（故障効果）をもたらす故障状態（故障イベント）の集合としてグラフを使用して表現される。

フォルトツリーはまた、部分的成功モデルを表す。故障注入ポイントにおけるブール値を含むタプル、並びに入力状態及び出力状態は、状態ベクトルを形成し、かつ構成要素は、故障注入ポイントにおける故障若しくは修理又は入力状態の変化に基づいて、状態から状態へと遷移する。いくつかの実施例において、伝達関数のこの表現、及び結果としてのフォルトベースモデルは、特定のシナリオに対してのみ適用する；ただし、他のシナリオを描く制御状態及び入力を隣接させることによって、伝達関数／フォルトベースモデルをより一般的な成功状態を表すように拡大させることは可能である。

ブール変数は、２つの状態だけを表し、それは成功／故障モデルの目的に対して十分である。２より多い数の状態が必要とされる場合、その状態をモデル化するために、いくつかのブール変数が必要である。一般的に、ｎ個の変数は、２ｎ個までの状態を表すことができる。例えば、より具体的に、２個の変数は４個までの状態を表し、３個の変数は８個までの状態を表すことができ、それはより多い数へと続く。これは、冗長状態をもたらす。

図５は、本開示の例示的実施態様による、単純なフォルトツリー５００を図解している。示されているように、フォルトツリー５００は、それぞれの１以上の構成要素の故障効果（１つは、ゲートノード又は故障効果５０２として示されている）を表す１以上のゲートノードを含む複数のノードを含み、かつそれぞれの故障（２つは、イベントノード又は故障５０４、５０６として示されている）を表す複数のイベントノードを含む。ノードは、１以上のブール論理演算５０８及び有向リンク５１０、５１２、５１４によって、相互に接続されている。

フォルトツリー５００において、イベントノード又は故障５０４、５０６は、ツリーの葉ノードであり、かつ構成要素の確率的に独立した故障及び／又は構成要素に対する入力を表す。残っているノードは、ゲートノード又は故障効果５０２である。ゲートノードは、故障効果を表し、かつ１以上のブール論理演算５０８（例えば、ＡＮＤ、ＯＲ、ＮＯＴ）を使用して、イベント又は他のゲートを統合する。ノードは、有向ツリーを形成するために、有向リンク５１０、５１２、５１４によって相互に接続される。

より具体的にフォルトツリーの伝達関数を含むフォルトベースモデルを説明するために、本開示の例示的実施態様は、バッテリ、スイッチ、及び電球を含む構成要素から成る懐中電灯（システム）の場合を考える。図６、図７、図８Ａ、及び図８Ｂ（図８Ａ及び図８Ｂは、集合的に図８である）は、本開示の例示的実施態様による、バッテリ６００、電球７００、及びスイッチ８００のそれぞれに対する適切なフォルトベースモデルの実施例を図解している。図６の中において示されるように、バッテリのフォルトベースモデルは、バッテリ６００を単純な２つの状態の装置として表現し、それは、以下の状態図（真理値表）によって表現され、そこで、入力及び出力はブール値によって与えられる：すなわち、

いくつかの実施例において、バッテリフォルトベースモデルの伝達関数は、イベントノードによって単純に示される。他の実施例において、伝達関数は、複数のゲート及びイベントを有する等価ゲートノード又はフォルトツリーによって示される。等価ゲートノードは、ゲート入力及びバッテリ出力の名前が示されることを可能にし、それは、（以下に説明されるように）懐中電灯の他の構成要素を有するそのアセンブリにおいて有益である。

電球のフォルトベースモデル７００は、電球の出力がその内側の状態及び入力電力の両方に応じるので、バッテリ６００のそれよりも複雑である。図７の中において示されるように、電球のフォルトベースモデル７００は、ブール論理ＯＲ演算７０２及び有向リンク５１０、５１２、５１４によって相互に接続される複数のノードを含む。電球のフォルトベースモデル７００は、電球をより複雑な２つの状態の装置として表現し、それは、以下の状態図（真理値表）によって表現される：すなわち、

スイッチ８００は、電源投入コマンド又は電源切断コマンドによって駆動されるが、２つの故障モード、すなわち、開固着及び閉固着を経験する。これは、各々が１つの故障モードを有するバッテリ６００及び電球７００と対照的である。結論として、図８Ａ及びより具体的には図８Ｂの中において示されるように、スイッチのフォルトベースモデルは、スイッチ８００をさらにより複雑な３つの状態の装置（スイッチ問題なし、開固着、及び閉固着）として表している。スイッチのモデルは、ブール論理ＯＲ演算７０２、ブール論理ＡＮＤ演算８０２、及び有向リンク５１０、５１２、５１４によって相互に接続され、かつ以下の状態伝達関数を生み出す：すなわち、

上述したものをフォルトツリーに変換するために、状態はブール変数に変換され、それらのうちの２つ（スイッチ＿故障及びモード）は、スイッチ８００の３つの状態（「問題なし」、「故障−開固着」、「故障−閉固着」）をモデル化するために使用される。これは、以下の表の中において示される：すなわち、

そして上述のようなブールの表記法への変換の後に、スイッチの状態図は、以下に示されるように表される。ここで、故障モードは、スイッチが故障していなければ意味がないが、伝達関数は、３つのブール変数のうちのいずれの値に対しても正しくなければならず、それで、それらの冗長行が含まれる：すなわち、

ブールの入力状態が含まれる場合、内側の状態のタプルを表す３つのブール変数が存在する（スイッチが故障、スイッチの故障モード、コマンド）そして、以下の状態図の中において示されるように、スイッチを介して内側の伝達関数を表す８個のタプルが存在する：すなわち、

スイッチに対するブール変数の定義の中で反映されているように、上述のスイッチの状態において、Ｔ＝故障した、かつＦ＝問題なし；故障モードにおいて、Ｔ＝開固着、かつＦ＝閉固着；コマンド（ｃｍｄ．）において、Ｔ＝電源投入、及びＦ＝電源切断；かつ出力効果において、Ｔ＝出力なし、かつＦ＝出力は入力と同じ（出力＝入力）。

スイッチが故障した場合、コマンドの状態は影響がなく、かつスイッチ伝達関数は故障モードにのみ応じる。逆に、スイッチが正しく作動している場合、伝達関数はコマンドにのみ応じる。スイッチが通常通りに作動している場合、故障モード変数は意味を持たない。タプル（行）３及び４は、行７及び８がそうであるように、同じ状態を表す（状態の組み合わせ、コマンドの状態、及び出力）。冗長性は、３つの物理的な状態を表す４つのブール状態を使用することから生じる。スイッチの完全なフォルトツリー伝達関数は、概して、図８Ａの中において、かつより具体的には図８Ｂの中において示される。図９、図１０、図１１、及び図１２は、以下の場合のうちのそれぞれの１つに対するフォルトツリー伝達関数の作用をさらに図解している：すなわち、（ａ）スイッチ問題なし、電源投入コマンド、（ｂ）スイッチ問題なし、電源切断コマンド、（ｃ）スイッチが故障した、閉固着、かつ（ｄ）スイッチが故障した、開固着、である。これらの図において、グレーの影は、イベント又はゲートが正しいということを表示し、かつ黒は、それらが間違いであることを表示し；図は、出力＿状態に対する葉ノードの値の伝搬を明示している。

今度は、図２を参照すると、構成要素フォルトベースモデラー２０２及び構成要素フォルトツリーコンストラクター２０４が、それぞれのフォルトツリー伝達関数を含む構成要素のフォルトベースモデルを構築する時又はその後、フォルトベースモデルは、（モデラー又はコンストラクターによって）任意の数の種々の目的地のいずれかに対して通信される。一実施例において、構成要素フォルトベースモデルは、構成要素フォルトベースモデルのライブラリーなどにおけるように、記憶及び後の検索のために、構成要素フォルトベースモデルの記憶装置２０６に対して通信される。記憶装置は、構成要素モデラー２００に常駐してもよく、又は構成要素モデラー２００から分離されてかつ通信してもよい。構成要素フォルトベースモデルは、任意の数の種々のやり方でフォーマット化されて記憶され、かつそれ故、それらの記憶装置は、任意の数の種々のタイプのいずれかとすることができる。適するタイプの記憶装置の例は、ファイル記憶装置、データベース記憶装置、クラウド記憶装置などを含む。

図３はシステムモデラー３００を示し、このシステムモデラー３００は一例示的実装態様においてシステムモデラー１０４に対応する。システムモデラー３００は、概して、複合システムのそれぞれのシステムの１以上のシステムモデルを開発するように構成され、かつそこで、各々のシステムは構成要素から成り立っている。例えば、示されるように、システムモデラー３００は、構成要素フォルトベースモデルの記憶装置３０２及びシステムフォルトベースモデラー３０４を含み、それらは、互いに結合されてシステムモデラー３００を形成する。

システムフォルトベースモデラー３０４は、複合システムのうちの任意の１つのシステムの構成要素のフォルトベースモデルを受信するように構成されている。構成要素フォルトベースモデルは、直接的に又は間接的に構成要素モデラー（例えば、構成要素モデラー２００）から受信される。いくつかの実施例において、構成要素フォルトベースモデルは、構成要素フォルトベースモデルの記憶装置３０２の中に保存され（例えば、構成要素フォルトベースモデルのライブラリーの中に）、それは、一実施例において、図２の中において示される構成要素フォルトベースモデルの記憶装置２０６に対応する。いくつかの実施例において、システムは、構成要素の複数の例を含み；かつこれらの実施例において、システムフォルトベースモデラー３０４は、構成要素のフォルトベースモデルを受信し、かつシステムの中のそれの各々の例に対してそれを複製する。

システムフォルトベースモデラー３０４は、そのそれぞれの構成要素のフォルトベースモデルから、システムのフォルトベースモデルを構築するように構成される。例えば、システムフォルトベースモデラー３０４は、システムの構成要素フォルトベースモデルをシステムフォルトベースモデルの中へアセンブルするように構成され、そこで、システムの構成要素の入力及び出力は、互いに適切に接続される。すなわち、構成要素フォルトベースモデルのうちの少なくともいくつかの各々に対して、システムフォルトベースモデラー３０４は、構成要素フォルトベースモデルの出力を、別の構成要素フォルトベースモデルの入力に対して、又は別の構成要素フォルトベースモデルの入力に対して出力するブール論理演算（例えば、ＡＮＤ、ＯＲ、ＮＯＴ）に対して出力する。一実施例において、システムフォルトベースモデラー３０４は、信頼度ブロック図（時々、従属図として言及される）、機能的流れブロック図（ＦＦＢＤ）、又はそれらと同様なものなどの、システムのブロック図の中のシステムフォルトベースモデルをグラフを使用して表現するように構成されている。このブロック図において、システムは、互いに接続されているその構成要素を表すブロックとして表現される。

図１３は、バッテリ１３０２、スイッチ１３０４、及び電球１３０６を含む上述の懐中電灯の実施例の信頼度ブロック図１３００の形をとるシステムフォルトベースモデルを図解する。示されているように、バッテリ１３０２の出力は、その出力が電球１３０６に対する入力であるスイッチ１３０４に対する入力であり、かつそのスイッチは、１以上の制御（電源投入、電源切断）を受信する。今度は、図１４が、図１３の信頼度ブロック図１３００に対応する信頼度ブロック図１４００を図解しているが、それは、バッテリ６００、電球７００、及びスイッチ８００の構成要素フォルトベースモデルを含む。

本開示の例示的実施態様にしたがって、それが構成されているシステムフォルトベースモデル及び構成要素フォルトベースモデルは、設計モデルと類似する組み合されたモデルであるが、故障モデルの側面を含む。このアプローチは、成功及び故障モデルの間の有益な妥協を提供する。システムフォルトベースモデルはまた、故障注入モデルにわたって有利であり、そこで、システムに対する完全なフォルトツリーが、それらのそれぞれのフォルトツリーを含む構成要素フォルトベースモデルのアセンブリから直接的に見られることができる。そして、正確な確率及び完全なカットセットが、計算され得る。さらに、構成要素フォルトベースモデルのライブラリーは、再使用のためにアセンブルされる（例えば、構成要素フォルトベースモデルの記憶装置３２０の中において）。いくつかの実施例において、ライブラリーは、構成要素フォルトベースモデルの１以上の他のライブラリーから成る構成要素フォルトベースモデルを含む。

図１に戻って参照すると、上述されたように、モデル解析システム１０６は、システムフォルトベースモデルを使用して複合システムの安全解析を実行し、かつその解析に基づいて１以上の安全アーチファクトを生成させる。図１４の中において示される信頼度ブロック図１４００によって表されるものなどの、システムフォルトベースモデルにおいて、いわゆる「トップイベント」は、システムの中の高レベルの故障イベントを表し、それは、システムの故障又は作動効果と考えられる。いくつかの実施例において、モデル解析システム１０６は、トップイベントのうちの少なくともいくつかに対する故障確率及び最小カットセットなどの安全アーチファクトを生成させて、又はさもなければ計算し、かつまたおそらくシステムフォルトベースモデルの中のトップイベントの下における故障イベントを仲立ちする。モデル解析システム１０６は、任意の数の種々のやり方において、故障確率及び最小カットセットを生成させて、又はさもなければ計算するように構成される。例えば、モデル解析システム１０６は、故障イベントに対するブール表現（トップ又は中間）が、ブール代数学のルールを使用して「積和」の形へ低減される、技術にしたがって最小カットセットを開発する。そしていくつかの実施例において、モデル解析システム１０６は、真理値表の技術、バイナリディシジョンダイアグラムの技術、又はそれらと同様なものなどによって直接的に、又は包含排他、互いに素な積和、又はそれらと同様なものなどの技術を使用して最小カットセットから間接的に、故障の確率を計算する。

最小カットセットなどの安全アーチファクトは、ＭＢＳＡなどの技術を実行する場合に、システムの故障作用を表し、かつシステムの多くの安全側面を明らかにする。例えば、システムの中の構成要素のうちの１つの中の故障モードなどの単一の用語だけを有する最小カットセットを考えてみる。この実施例において、最小カットセットは、システムのトップイベントがその構成要素の単一のポイントの故障によってトリガされるということを理解するように解釈され、それは、ほとんど常に望ましくない。カットセットの中のより多くの用語は、種々の構成要素の複数の独立した故障が、システムのトップイベントを生成する作動上のコマンドと潜在的に組み合わされることにおいて、必要とされる、ということを意味する。これは、さもなければ、システム設計者によって予見され、かつそれ故、ＭＢＳＡは、そのような安全のシナリオの発見を容易にし、それは、システムの設計及び／又は作動上の手順における変化によって思い出さされる。各々の最小カットセットの確率はまた、故障イベントがシステムの寿命の間にどれだけ頻繁にトリガされるかということを示す。

また上で示唆されたように、モデル解析システム１０６によって実行される安全解析は、複合システムの設計、開発、及び認証の間に使用される。航空機の文脈において、ＦＡＡ、ＥＡＳＡ、及びそれらと同様なものなどの規制当局は、しばしば、航空機の安全認証に対して厳しい要求を明記し、かつこれらの要求は、航空機設計の中の「単一の故障」を許容しない。ＭＢＳＡがただ１つの用語を有する最小カットセットを明らかにする例において、航空機の設計者は、システム、及び航空機、又は故障防止方法に対して冗長性を加える。またシステムの故障イベントの重症度に応じて、安全認証に対する要求は、故障イベントの確率又は頻度を限定する。ＭＢＳＡによって生み出されるトップイベント及び中間のイベントの確率及びカットセットの確率は、航空機設計が要求に従っているか否かを明らかにする。ＭＢＳＡなどの技術は、中間イベントの故障確率並びにまたカットセット及びそれらの確率などのアーチファクトを生み出すように使用され、かつまたアーチファクトの視覚的なオーバーレイを提供するように使用され、それは、安全及び認証に対する航空機設計の有効性を改良する。

図１５は、本開示の例示的実施態様による、方法１５００における様々なオペレーションを図解している。ブロック１５０２において示されるように、方法１５００は、システムを構成するそれぞれの構成要素の構成要素フォルトベースモデルを受信することを含む。構成要素フォルトベースモデルは、その各々がそれぞれの構成要素の又は構成要素に対する入力の故障のイベントにおいてそれぞれの構成要素の作用を表す、フォルトツリーとして表現される伝達関数を含む。方法１５００はまた、ブロック１５０４の中において示されているように、構成要素フォルトベースモデルをシステムのシステムフォルトベースモデルの中へアセンブルすることを含む。ここで、システムフォルトベースモデルは、構成要素フォルトベースモデルのフォルトツリーのアセンブリとして表現される伝達関数を含む。そして、ブロック１５０６の中において示されているように、方法１５００は、システムフォルトベースモデルを使用して、安全解析を実行することを含む。

本開示の例示的実施態様にしたがって、構成要素モデラー１０２、システムモデラー１０４、及びモデル解析システム１０６を含む、安全解析システム１００及びそのサブシステムは、様々な手段によって実装される。同様に、それらのそれぞれの要素の各々を含む、構成要素モデラー２００及びシステムモデラー３００の実施例は、例示的実施態様にしたがって様々な手段によって実装される。そして、例示的実施態様の方法１５００は、様々な手段によって実装される。システム、サブシステム、及びそれらのそれぞれの要素、並びに本明細書の中において説明される方法を実装するための手段は、単独のハードウェア、又はコンピュータで読込可能な記憶媒体からの１以上のコンピュータプログラムコード命令、プログラム命令、又は実行可能なコンピュータで読込可能なプログラムコード命令（一般的に「コンピュータプログラム」、例えば、ソフトウェア、ファームウェアなど）と呼ばれることがある）の指示下にあるハードウェアを備えることができる。

一実施例において、本明細書の中において示されかつ説明される方法のオペレーションを実行するなど、本明細書の中において示されかつ説明されるシステム、サブシステム、及びそれぞれの要素として機能し、さもなければそれらを実装するように構成される１以上の機構が、提供される。複数の機構を含む実施例では、それぞれの機構は、有線又は無線ネットワークなどを介して直接的に又は間接的になど、任意の数の異なる方法で、互いに接続され、又はそうでない場合は通信することができる。

概して、本発明の例示的実装態様の機構は、１以上の固定又は持ち運び可能な電子装置を備える、含む、又はそのような電子装置内において具現化され得る。適する電子機器の例は、スマートフォン、タブレット型コンピュータ、ノート型コンピュータ、デスクトップコンピュータ、ワークステーションコンピュータ、サーバコンピュータ、又は同様なものなどを含む。機構は、メモリ（例えば、記憶装置）に接続されたプロセッサ（例えば、プロセッサユニット）などの任意の数の構成要素のそれぞれの１以上を備えてもよい。

プロセッサは、通常、例えば、データ、コンピュータプログラム、及び／又は他の適切な電子情報などの情報を処理できる任意のコンピュータハードウェア部分である。プロセッサは、一部が一の集積回路又は相互接続された複数の集積回路としてパッケージされた一組の電子回路（もっと一般的には「チップ」と呼ばれる集積回路）から構成される。プロセッサは、プロセッサに搭載された状態で記憶された、又はそうでない場合はメモリ（同じ又は別の装置の）に記憶された、コンピュータプログラムを実行するように構成することができる。

プロセッサは、特定の実装態様に応じて、任意の数のプロセッサ、マルチプロセッサコア、又は他の何らかの種類のプロセッサとしてもよい。さらに、プロセッサは、単一のチップ上に主要プロセッサと共に一又は複数の二次プロセッサが存在する任意の数の異種プロセッサシステムを使用して実施されてもよい。別の実施例としてプロセッサは同一形態の複数のプロセッサを含む対称型マルチプロセッサシステムであってもよい。さらに別の実施例では、プロセッサは、１以上の特定用途向け集積回路（ＡＳＩＣｓ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）などとして具現化され、又はそうでない場合はそれらを含むことができる。それ故、プロセッサは１以上の機能を実行するためのコンピュータプログラムを実行できるが、種々の実施例のプロセッサは、コンピュータプログラムの支援がなくとも１以上の機能を実行することができる。

メモリは、概して、一時的及び／又は恒久的に、データ、コンピュータプログラム及び／又は他の適切な情報などの情報を記憶できる任意のハードウェア部分である。メモリは、揮発性及び／又は不揮発性メモリを含み、固定でも取り外し可能でもよい。適切なメモリの例は、ランダムアクセスメモリ（ＲＡＭ）、読出し専用メモリ（ＲＯＭ）、ハードドライブ、フラッシュメモリ、サムドライブ、取り外し可能なコンピュータディスケット、光ディスク、磁気テープ又はそれらの何らかの組み合わせを含む。光ディスクには、コンパクトディスク−リードオンリーメモリ（ＣＤ−ＲＯＭ）、コンパクトディスク−リード／ライト（ＣＤ−Ｒ／Ｗ）、及びＤＶＤなどが含まれる。種々の例では、メモリはコンピュータで読込可能な記憶媒体と呼ばれ、情報を記憶できる永続的装置として、一の場所から別の場所へ情報を伝送できる電子的な一時的な信号などのコンピュータで読込可能な伝送媒体と区別することができる。本明細書に記載されるコンピュータで読込可能な媒体は、概して、コンピュータで読込可能な記憶媒体又はコンピュータで読込可能な伝送媒体を指している。

メモリに加えて、プロセッサは、情報をディスプレイ、伝送、及び／又は受信するための一又は複数のインターフェースに接続することもできる。インターフェースは、通信インターフェース（例えば、通信ユニット）、及び／又は一又は複数のユーザインターフェースを含む。通信インターフェースは、他の装置やネットワークなどへ及び／又は他の装置やネットワークなどから、情報を伝送及び／又は受信するように構成することができる。通信インターフェースは、物理的（有線）及び／又は無線通信リンクにより情報を送信及び／又は受信するように構成されることができる。適する通信インターフェースの例は、ネットワークインターフェースコントローラ（ＮＩＣ）、無線ＮＩＣ（ＷＮＩＣ）などを含む。

ユーザインターフェースは、ディスプレイ及び／又は一又は複数のユーザ入力インターフェース（例えば、入出力ユニット）を含むことができる。ディスプレイは、適切例として液晶ディスプレイ（ＬＣＤ）、発光ダイオードディスプレイ（ＬＥＤ）、プラズマディスプレイパネル（ＰＤＰ）などを含む、ユーザに情報を提示又は他の方法で表示するように構成することができる。ユーザ入力インターフェースは、有線又は無線とすることができ、処理、記憶及び／又は表示用などの装置内にユーザから情報を受信するように構成することができる。ユーザ入力インターフェースの適切な例は、マイク、画像又はビデオキャプチャー装置、キーボード又はキーパッド、ジョイスティック、タッチセンシティブサーフェス（タッチスクリーンとは別個の、又はタッチスクリーンに統合されたもの）、生物測定センサなどを含む。ユーザインターフェースは、プリンタやスキャナなどの周辺機器と通信する一又は複数のインターフェースをさらに含むことができる。

上で示されたように、プログラムコード命令はメモリの中に保存され、かつプロセッサによって実行されて、本明細書の中において示されかつ説明される方法のオペレーションを実行するなど、本明細書の中で説明されるシステム、サブシステム、及びそれらのそれぞれの要素の機能を実施する。理解されるように、任意の適するプログラムコード命令は、コンピュータ可読記憶媒体からコンピュータ又はその他のプログラム可能装置に読み込まれ、ここで特定される機能を実施する手段となるように特定のマシンが製造される。また、これらのプログラムコード命令は、コンピュータ、プロセッサ、又はその他のプログラム可能な装置を特定の方法で機能させることにより特定のマシン又は特定の製造品を生成する、コンピュータ可読記憶媒体に記憶される。コンピュータ可読記憶媒体に記憶された命令は、製造品を生産することができ、この製造品は本明細書に記載される機能を実施するための手段となる。プログラムコード命令をコンピュータ可読記憶媒体から読み出してコンピュータ、プロセッサ、又はその他のプログラマブルな装置に読み込むことにより、コンピュータ、プロセッサ、又はその他のプログラマブルな装置上で又はそれらにより実行される工程を実行するコンピュータ、プロセッサ、又はその他のプログラム可能装置を構成することができる。

一の命令が一度に読み出され、ローディングされかつ実行されるように、プログラムコード命令の読み出し、ローディング及び実行を連続して行うことができる。いくつかの例示的実装態様では、複数の命令をまとめて読み出し、ローディングし及び／又は実行するために、読み出し、ローディング、及び／又は実行を並行して行なうことができる。コンピュータ、プロセッサ、又はその他のプログラマブルな装置により実行される命令が本明細書に記載される機能を実施するための工程を提供するように、プログラムコード命令の実行により、コンピュータで実施されるプロセスが生成される。

プロセッサによる命令の実行、又はコンピュータ可読記憶媒体での命令の記憶により、特定の機能を実行するための工程の組み合わせがサポートされる。さらに、一又は複数の機能、及び機能の組み合わせは、特殊目的ハードウェアに基づくコンピュータシステム及び／又は特定の機能を実行するプロセッサ、或いは特殊目的ハードウェアとプログラムコード命令との組み合わせによって実施することができることも理解されたい。

さらに、本発明は以下の条項による実施形態を含む。

条項１
コンピュータ可読プログラムコードを内部に保存するコンピュータ可読記憶媒体であって、前記プログラムコードは、プロセッサによって実行されることに反応して、機構に、少なくとも：
システムを構成するそれぞれの構成要素の構成要素フォルトベースモデルを受信させ、前記構成要素フォルトベースモデルは、前記それぞれの構成要素の故障のイベントにおいて、又は前記構成要素に対する入力のイベントにおいて、それらの各々が前記それぞれの構成要素の作用を表現するフォルトツリーとして表現される伝達関数を含み；前記構成要素フォルトベースモデルを前記システムのシステムフォルトベースモデルの中へアセンブルさせ、前記システムフォルトベースモデルは、前記構成要素フォルトベースモデルの前記フォルトツリーのアセンブリとして表現される伝達関数を含み；かつ前記システムフォルトベースモデルを使用して安全解析を実行させる、コンピュータ可読記憶媒体。

条項２
前記構成要素フォルトベースモデルは、それぞれの構成要素を表すブロックを含むブロック図の中でグラフを使用して表現され、かつ前記機構が前記構成要素フォルトベースモデルを前記システムフォルトベースモデルの中へアセンブルするようにされていることは、前記システムフォルトベースモデルを互いに接続されているブロックを含むブロック図としてグラフを使用して表現するようにされていることを含み、前記ブロック図は信頼度ブロック図又は機能流れブロック図である、条項１に記載のコンピュータ可読記憶媒体。

条項３
前記機構が前記構成要素フォルトベースモデルを受信するようにされていることは、記憶装置から前記構成要素フォルトベースモデルを受信するようにされていることを含み、前記構成要素フォルトベースモデルは、構成要素フォルトベースモデルのライブラリーの中に保存されている、条項１に記載のコンピュータ可読記憶媒体。

条項４
内部に保存されているコンピュータ可読プログラムコード部分をさらに有し、前記プログラムコード部分は、プロセッサによって実行されると、機構に、さらに：
前記構成要素の前記構成要素フォルトベースモデルを開発させ、前記機構は前記構成要素フォルトベースモデル、及び前記構成要素フォルトベースモデルの前記伝達関数を構築するようにされており、前記構成要素フォルトベースモデルのうちの少なくともいくつかの各々は、それぞれの構成要素の出力及び故障イベントを含み、かつ前記伝達関数は前記それぞれの構成要素の前記出力及び故障イベントの間の論理関係を表現し、かつ前記機構が前記構成要素フォルトベースモデルを受信するようにされていることは、直接的又は間接的に構成要素モデラーから前記構成要素フォルトベースモデルを受信することを含む、条項１に記載のコンピュータ可読記憶媒体。

条項５
前記構成要素フォルトベースモデルのうちの少なくともいくつかの各々はさらに外部からの入力又は制御を含み、かつ前記伝達関数は前記それぞれの構成要素の前記外部からの入力又は制御、出力、及び故障イベントの間の論理関係を表現し、かつ前記機構が前記構成要素フォルトベースモデルをアセンブルするようにされていることは、構成要素フォルトベースモデルの出力を、別の構成要素フォルトベースモデルの入力に対して、又は別の構成要素フォルトベースモデルの入力に対して出力するブール論理演算に対して接続するようにされていることを含む、条項４に記載のコンピュータ可読記憶媒体。

条項６
前記機構が前記安全解析を実行するようにされていることは、前記システムフォルトベースモデルを使用してフォルトツリー解析を実行し、かつ前記フォルトツリー解析に基づいて１以上の故障状態に対する１以上の最小カットセット及び確率を生成するようにされていることを含む、条項１に記載のコンピュータ可読記憶媒体。

条項７
前記機構が前記安全解析を実行するようにされていることは、前記構成要素フォルトベースモデル又はシステムフォルトベースモデルのうちの少なくともいくつかに基づいて、故障伝搬モデルを発生するようにされていることを含み、前記故障伝搬モデルは、１以上の故障伝搬経路及び前記１以上の故障伝搬経路に沿った入力及び出力の故障確率を含む、条項１に記載のコンピュータ可読記憶媒体。

これらの開示内容に関連して、上述の説明及び添付図面に提示された教示の恩恵を有する本開示の多数の修正例及び他の実装態様が、当業者には想起されるであろう。したがって、本開示は開示された特定の実施形態に限定されるものでなく、変形例及び他の実施態様が添付の特許請求の範囲に含まれることを意図しているものと理解されるべきである。さらに、上述の説明及び添付図面は、要素及び／又は機能の特定の例示的な組み合わせに照らして実施形態を説明しているが、特許請求の範囲から逸脱せずに、別の実施形態によって要素及び／又は機能の異なる組み合わせが提供されてもよいと解されるべきである。これに関しては、たとえば、明確に上述した要素及び／又は機能とは異なる要素及び／又は機能の組み合わせもまた考えられ、添付の請求項の範囲のいくつかの項に記載される。ここでは特定の用語が使用されるが、それらは、一般的及び説明的な意味でのみ使用されており、限定を目的とするものではない。

１００ 安全解析システム
１０２ 構成要素モデラー
１０４ システムモデラー
１０６ モデル解析システム
２００ 構成要素モデラー
２０２ 構成要素フォルトベースモデラー
２０４ 構成要素フォルトツリーコンストラクター
２０６ 構成要素フォルトベースモデルの記憶装置
３００ システムモデラー
３０２ 構成要素フォルトベースモデルの記憶装置
３０４ システムフォルトベースモデラー
４００ ブロック図
４０２ ブロック図
４０４ 外部からの入力
４０６ 制御
４０８ 出力
４１０ ブロック
４１２ ポイント
５００ フォルトツリー
５０２ 故障効果
５０４ 故障
５０６ 故障
５０８ ブール論理演算
５１０ 有向リンク
５１２ 有向リンク
５１４ 有向リンク
６００ バッテリ
７００ 電球
７０２ ブール論理ＯＲ演算
８００ スイッチ
８０２ ブール論理ＡＮＤ演算
１３００ 信頼度ブロック図
１３０２ バッテリ
１３０４ スイッチ
１３０６ 電球
１４００ 信頼度ブロック図
１５００ 方法
１５０２ ブロック
１５０４ ブロック
１５０６ ブロック

Claims (14)

1. 安全解析システム（１００）であって、
   前記安全解析システム（１００）を構成するそれぞれの構成要素の構成要素フォルトベースモデルを受信するように構成されるシステムモデラー（１０４）と、
   システムフォルトベースモデルを使用して安全解析を実行するように構成されるモデル解析システム（１０６）と
   を備える、安全解析システム（１００）において、
   前記構成要素フォルトベースモデルは、フォルトツリー（５００）として表現される伝達関数を含み、前記伝達関数は各々、それぞれの構成要素の故障のイベントにおいて、及び前記構成要素に対する入力（４０４）及び各構成要素のオペレータからのコマンドである外部からの制御（４０６）に反応して、前記それぞれの構成要素の出力（４０８）を表し、
   前記システムモデラー（１０４）は、前記構成要素フォルトベースモデルを前記安全解析システム（１００）の前記システムフォルトベースモデルの中へアセンブルするように構成され、前記システムフォルトベースモデルは前記構成要素フォルトベースモデルの前記フォルトツリー（５００）のアセンブリとして表現される伝達関数を含む、安全解析システム（１００）。
2. 前記構成要素フォルトベースモデルは、それぞれの構成要素を表すブロック（４０２）を含むブロック図（４００）の中で図示され、かつ前記構成要素フォルトベースモデルを前記システムフォルトベースモデルの中へアセンブルするように構成される前記システムモデラー（１０４）は、前記システムフォルトベースモデルを互いに接続されている前記ブロック（４０２）を含むブロック図（４００）として図示するように構成されることを含み、前記ブロック図（４００）は信頼度ブロック図（１４００）又は機能流れブロック図（４００）である、請求項１に記載の安全解析システム（１００）。
3. 前記構成要素フォルトベースモデルを受信するように構成される前記システムモデラー（１０４）は、記憶装置から前記構成要素フォルトベースモデルを受信するように構成されることを含み、前記構成要素フォルトベースモデルは構成要素フォルトベースモデルのライブラリーの中に保存される、請求項１に記載の安全解析システム（１００）。
4. 前記構成要素の前記構成要素フォルトベースモデルを開発するように構成される構成要素モデラー（２００）をさらに備え、前記構成要素モデラー（２００）は前記構成要素フォルトベースモデル、及び前記構成要素フォルトベースモデルの前記伝達関数を構築するように構成されており、
   前記伝達関数はそれぞれの前記構成要素モデラー（２００）の前記出力（４０８）及び故障イベントの間の論理関係を表現し、かつ
   前記構成要素フォルトベースモデルを受信するように構成される前記システムモデラー（１０４）は、直接的又は間接的に前記構成要素モデラー（２００）から前記構成要素フォルトベースモデルを受信するように構成されることを含む、請求項１に記載の安全解析システム（１００）。
5. 前記伝達関数は前記入力（４０４）、前記外部からの制御（４０６）、それぞれの前記構成要素モデラー（２００）の出力及び故障イベントの間の論理関係を表現し、かつ
   前記構成要素フォルトベースモデルをアセンブルするように構成される前記システムモデラー（１０４）は、構成要素フォルトベースモデルの出力を、別の構成要素フォルトベースモデルの入力に対して、又は別の構成要素フォルトベースモデルの記憶装置（３０２）の入力に対して出力するブール論理ＯＲ演算（７０２）に対して接続するように構成されることを含む、請求項４に記載の安全解析システム（１００）。
6. 前記安全解析を実行するように構成される前記モデル解析システム（１０６）は、前記システムフォルトベースモデルを使用してフォルトツリー（５００）解析を実行し、かつ前記フォルトツリー（５００）解析に基づいて１以上の故障状態に対する１以上の最小カットセット及び確率を生成させるように構成されることを含む、請求項１に記載の安全解析システム（１００）。
7. 前記安全解析を実行するように構成される前記モデル解析システム（１０６）は、前記構成要素フォルトベースモデル又はシステムフォルトベースモデルのうちの少なくともいくつかに基づいて、故障伝搬モデルを発生させるように構成されることを含み、前記故障伝搬モデルは、１以上の故障伝搬経路及び前記１以上の故障伝搬経路に沿った入力及び出力の故障確率を含む、請求項１に記載の安全解析システム（１００）。
8. システムを構成するそれぞれの構成要素の構成要素フォルトベースモデルをシステムモデラー（１０４）で受信することを含み、前記構成要素フォルトベースモデルは、フォルトツリー（５００）として表現される伝達関数を含み、前記伝達関数は各々、それぞれの構成要素の故障のイベントにおいて、及び前記構成要素に対する入力（４０４）及び各構成要素のオペレータからのコマンドである外部からの制御（４０６）に反応して、前記それぞれの構成要素の出力（４０８）を表し；
   前記構成要素フォルトベースモデルをシステムモデラー（１０４）において前記システムのシステムフォルトベースモデルの中へアセンブルすることを含み、前記システムフォルトベースモデルは、前記構成要素フォルトベースモデルの前記フォルトツリー（５００）のアセンブリとして表現される伝達関数を含み；及び
   前記システムフォルトベースモデルを使用してモデル解析システム（１０６）において安全解析を実行することを含む、方法。
9. 前記構成要素フォルトベースモデルは、それぞれの構成要素を表すブロックを含むブロック図（４００）の中で図示され、かつ前記構成要素フォルトベースモデルを前記システムフォルトベースモデルの中へアセンブルすることは、前記システムフォルトベースモデルを互いに接続されている前記ブロックを含むブロック図（４００）として図示することを含み、前記ブロック図（４００）は信頼度ブロック図（１３００）又は機能流れブロック図である、請求項８に記載の方法。
10. 前記構成要素フォルトベースモデルを受信することは、記憶装置から前記構成要素フォルトベースモデルを受信することを含み、前記構成要素フォルトベースモデルは構成要素フォルトベースモデルのライブラリーの中に保存される、請求項８に記載の方法。
11. 前記構成要素フォルトベースモデル、及び前記構成要素フォルトベースモデルの前記伝達関数を構築することを含んで、前記構成要素の前記構成要素フォルトベースモデルを開発することをさらに含み、
    前記伝達関数は前記それぞれの構成要素の前記出力（４０８）及び故障イベントの間の論理関係を表現し、かつ
    前記構成要素フォルトベースモデルを受信することは、直接的に又は間接的に開発された前記構成要素フォルトベースモデルを受信することを含む、請求項８に記載の方法。
12. 前記伝達関数は前記入力（４０４）、前記外部からの制御（４０６）、前記それぞれの構成要素の出力（４０８）及び故障イベントの間の論理関係を表現し、かつ
    前記構成要素フォルトベースモデルをアセンブルすることは、構成要素フォルトベースモデルの出力（４０８）を、別の構成要素フォルトベースモデルの入力に対して、又は別の構成要素フォルトベースモデルの入力（４０４）に対して出力（４０８）するブール論理ＯＲ演算（７０２）に対して接続することを含む、請求項１１に記載の方法。
13. 前記安全解析を実行することは、前記システムフォルトベースモデルを使用してフォルトツリー（５００）解析を実行すること、及び前記フォルトツリー（５００）解析に基づいて１以上の故障状態に対して１以上の最小カットセット及び確率を生成させることを含む、請求項８に記載の方法。
14. 前記安全解析を実行することは、前記構成要素フォルトベースモデル又はシステムフォルトベースモデルのうちの少なくともいくつかに基づいて故障伝搬モデルを発生させることを含み、前記故障伝搬モデルは１以上の故障伝搬経路及び前記１以上の故障伝搬経路に沿った入力（４０４）及び出力（４０８）の故障確率を含む、請求項８に記載の方法。

Images