JP6639550B2 - 潜在的なシステム故障状態を特定するための、故障の木を使用した安全性確保 - Google Patents

Description

本発明の様々な例は、一般に、構成要素故障の木などの故障の木を使用して多要素制御またはアクチュエータシステムをモデル化することに関する。特に、本発明の様々な例は、潜在的なシステム故障状態を特定するために、動作故障イベントを故障の木の診断故障イベントと関連付けることに関する。

航空宇宙、鉄道、医療、自動車および産業オートメーションなど、埋込み型システムの多くの適用領域におけるセーフティクリティカルシステムの重要性は継続的に増している。それによってシステムの複雑度が増すにつれて、上記のような業務領域において高品質の要求を確実に満たすために安全性確保とその努力に対する必要性も高まっている。安全性確保の目的は、各システムが人を傷つける危険な状況に導いたり、環境を危険にさらしたりするような事態を確実に防ぐことである。セーフティクリティカルシステムの業務領域において、安全性確保は、例えば、標準規格（非特許文献１参照）によって規定されている。

従来、安全性に関するシステムの評価は、故障モードおよび効果解析（ＦＭＥＡ）などのボトムアップ安全解析アプローチに基づいて行われる（非特許文献２参照）。あるいは、基準実装に応じたシステムの評価は、故障の木解析（ＦＴＡ）などのトップダウンアプローチに基づいて行われる（非特許文献３を参照）。そのような技術によって、システムの故障状態、その原因、システム安全性に及ぼす影響を識別できる。

しかしながら、そのようなアプローチでも、潜在的なシステムの故障状態を識別するのが困難な場合がある。潜在的なシステム故障状態（隠れたシステム故障状態と呼ばれることもある）は、特定の診断動作の識別を必要とするシステムの故障、すなわちシステムの１つ以上の構成要素の故障に対応する。潜在的なシステム故障状態は、操作および保守スタッフがすぐに発見できない故障である。潜在的なシステム故障状態は、例えば、非特許文献４に説明されている。

例えば、リファレンス実装では、通常、潜在的なシステム故障状態は、例えば車両の回路図などのシステム設計に関する情報に基づいて手作業で識別される。しかしながら、そのようなリファレンス実装は特定の制約および欠点に直面する。現在のシステムの複雑性が増し続けているため、潜在的なシステム故障状態を識別するために必要とされる労力も急激に増している。さらに、潜在的なシステム故障状態を手作業で識別することはエラーを招きやすい。さらに、潜在的なシステム故障状態を軽減する診断手段は、通常、手作業で指定する必要があるため、エラーを招きやすく、相当な労力を必要とする。

ＷＯ２０１５／１５１０１４Ａ１ ＵＳ２０１２／１６６０８２Ａ１ ＵＳ２０１５／０６７４００Ａ１

Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｅｌｅｃｔｒｏｔｅｃｈｎｉｃａｌ Ｃｏｍｍｉｓｓｉｏｎ （ＩＥＣ） ６１５０８ "Ｆｕｎｃｔｉｏｎａｌ ｓａｆｅｔｙ ｏｆ ｅｌｅｃｔｒｉｃａｌ／ｅｌｅｃｔｒｏｎｉｃ／ｐｒｏｇｒａｍｍａｂｌｅ ｅｌｅｃｔｒｏｎｉｃ ｓａｆｅｔｙ ｒｅｌａｔｅｄ ｓｙｓｔｅｍｓ" （１９９８） ＩＥＣ ６０８１２ "Ａｎａｌｙｓｉｓ Ｔｅｃｈｎｉｑｕｅｓ ｆｏｒ Ｓｙｓｔｅｍ Ｒｅｌｉａｂｉｌｉｔｙ − Ｐｒｏｃｅｄｕｒｅ ｆｏｒ Ｆａｉｌｕｒｅ Ｍｏｄｅ ａｎｄ Ｅｆｆｅｃｔｓ Ａｎａｌｙｓｉｓ （ＦＭＥＡ）" （１９９１） Ｖｅｓｅｌｙ， Ｗ．Ｅ．， Ｇｏｌｄｂｅｒｇ， Ｆ．Ｆ．， Ｒｏｂｅｒｔｓ， Ｎ．Ｈ．， Ｈａａｓｌ， Ｄ．Ｆ．： Ｆａｕｌｔ Ｔｒｅｅ Ｈａｎｄｂｏｏｋ． ＵＳ Ｎｕｃｌｅａｒ Ｒｅｇｕｌａｔｏｒｙ Ｃｏｍｍｉｓｓｉｏｎ （１９８１） Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｓｔａｎｄａｒｄ ＩＳＯ １４２２４ （２００６−１２−１５）； ｓｅｃｔｉｏｎ Ｃ．６ Ｙａｎｇ， Ｚｏｎｇ−Ｘｉａｏ， ｅｔ ａｌ． "Ｆｕｚｚｙ ｆａｕｌｔ ｄｉａｇｎｏｓｔｉｃ ｓｙｓｔｅｍ ｂａｓｅｄ ｏｎ ｆａｕｌｔ ｔｒｅｅ ａｎａｌｙｓｉｓ．"Ｆｕｚｚｙ Ｓｙｓｔｅｍｓ， １９９５． Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｊｏｉｎｔ Ｃｏｎｆｅｒｅｎｃｅ ｏｆ ｔｈｅ Ｆｏｕｒｔｈ ＩＥＥＥ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｆｕｚｚｙ Ｓｙｓｔｅｍｓ ａｎｄ Ｔｈｅ Ｓｅｃｏｎｄ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｆｕｚｚｙ Ｅｎｇｉｎｅｅｒｉｎｇ Ｓｙｍｐｏｓｉｕｍ．， Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ １９９５ ＩＥＥＥ Ｉｎｔ． Ｖｏｌ． １． ＩＥＥＥ， １９９５．

特許文献１は、１つ以上のツリー構造にアクセスできる故障の木解析ツールを開示する。各ツリー構造は、例えば航空機の制御システムまたはサブシステムと関連付けられた故障の木でもよい。故障の木解析ツールは、ツリー構造に基づいて１つ以上のリストを出力できる。各リストは、ツリー構造に対するイベントとそのイベントそれぞれの可能性とを定義するイベントリストを含みうる。リスク計算を実行してもよい。

特許文献２は、機器における１つ以上の故障または１つ以上の潜在的故障を診断するためのシステムおよび方法を開示する。故障の木を有する専門家システムモジュールは、フォールド認識モジュールからの出力に基づいて故障の木の短縮部のみを介して案内される。

特許文献３は、解析対象の故障の木を作成する際に不要な要素を破棄するシステムを開示する。構成情報は、その対象によって含まれる複数の機能ブロックと、機能ブロックおよび論理的関係をつなぐ複数の信号線とを識別する。排除対象情報によって、情報を無くすことなく複数の信号線から排除され得る信号線を識別する。

非特許文献５は、故障の木解析からの情報とデータの不確実／不正確さとを用いたプロセス故障診断のための方法を開示する。この故障の木解析は、プロセス内の故障を識別するための手順を提供する。

したがって、セーフティクリティカルシステムを解析する高度な技術が必要とされている。特に、潜在的なシステム故障状態の識別を容易にする技術が必要とされている。

この必要性は独立請求項の特徴部分によって満たされる。従属請求項の特徴部分は実施形態を明確にしている。

コンピュータ実装方法は、構成要素故障の木（ＣＦＴ）を用いて多要素制御またはアクチュエータシステムをモデル化するステップを含む。前記ＣＦＴは、前記システムの構成要素と関連付けられた複数の要素を含む。前記ＣＦＴは、さらに、前記複数の要素のうちの要素間の複数の相互接続を含む。前記相互接続は、前記システムの前記構成要素間の機能的依存と関連付けられる。本方法は、さらに、要素のうちの少なくともいくつかに対して、前記システムのそれぞれの構成要素の故障と関連付けられている動作故障イベントを割り当てるステップを含む。前記方法は、さらに、前記複数の要素の少なくともいくつかの要素に対して、前記システムのそれぞれの構成要素と関連付けられた診断手段の故障と関連付けられた診断故障イベントを割り当てるステップを含む。前記方法は、さらに、前記動作故障イベントを前記診断故障イベントと関連付けるステップと、前記動作故障イベントの前記診断故障イベントとの前記関連付けに応じて、前記システムの複数の故障状態の潜在的なシステム故障状態および非潜在的なシステム故障状態を識別するステップを含む。

装置は少なくとも１つの処理装置を含む。前記少なくとも１つの処理装置は、方法を実行するように構成される。前記方法は、ＣＦＴを用いて多要素制御またはアクチュエータシステムをモデル化するステップを含む。前記ＣＦＴは、前記システムの構成要素と関連付けられた複数の要素を含む。前記ＣＦＴは、さらに、前記複数の要素のうちの要素間の複数の相互接続を含む。前記相互接続は、前記システムの前記構成要素間の機能的依存と関連付けられる。本方法は、さらに、要素のうちの少なくともいくつかに対して、前記システムのそれぞれの構成要素の故障と関連付けられている動作故障イベントを割り当てるステップを含む。前記方法は、さらに、前記複数の要素の少なくともいくつかの要素に対して、前記システムのそれぞれの構成要素と関連付けられた診断手段の故障と関連付けられた診断故障イベントを割り当てるステップを含む。前記方法は、さらに、前記動作故障イベントを前記診断故障イベントと関連付けるステップと、前記動作故障イベントの前記診断故障イベントとの前記関連付けに応じて、前記システムの複数のシステム故障状態の潜在的なシステム故障状態および非潜在的なシステム故障状態を識別するステップを含む。

コンピュータプログラム製品は、少なくとも１つの処理装置によって実行されるプログラムコードを含む。前記少なくとも１つの処理装置によって前記プログラムコードを実行することにより、前記少なくとも１つの処理装置に方法を実行させてもよい。前記方法は、ＣＦＴを用いて多要素制御またはアクチュエータシステムをモデル化するステップを含む。前記ＣＦＴは、前記システムの構成要素と関連付けられた複数の要素を含む。前記ＣＦＴは、さらに、前記複数の要素のうちの要素間の複数の相互接続を含む。前記相互接続は、前記システムの前記構成要素間の機能的依存と関連付けられる。本方法は、さらに、要素のうちの少なくともいくつかに対して、前記システムのそれぞれの構成要素の故障と関連付けられている動作故障イベントを割り当てるステップを含む。前記方法は、さらに、前記複数の要素の少なくともいくつかの要素に対して、前記システムのそれぞれの構成要素と関連付けられた診断手段の故障と関連付けられた診断故障イベントを割り当てるステップを含む。前記方法は、さらに、前記動作故障イベントを前記診断故障イベントと関連付けるステップと、前記関連付けに応じて、前記システムの複数のシステム故障状態の潜在的なシステム故障状態および非潜在的なシステム故障状態を識別するステップを含む。

コンピュータプログラムは、少なくとも１つの処理装置によって実行されるプログラムコードを含む。前記少なくとも１つの処理装置によって前記プログラムコードを実行することにより、前記少なくとも１つの処理装置に方法を実行させてもよい。前記方法は、ＣＦＴを用いて多要素制御またはアクチュエータシステムをモデル化するステップを含む。前記ＣＦＴは、前記システムの構成要素と関連付けられた複数の要素を含む。前記ＣＦＴは、さらに、前記複数の要素のうちの要素間の複数の相互接続を含む。前記相互接続は、前記システムの前記構成要素間の機能的依存と関連付けられる。本方法は、さらに、要素のうちの少なくともいくつかに対して、前記システムのそれぞれの構成要素の故障と関連付けられている動作故障イベントを割り当てるステップを含む。前記方法は、さらに、前記複数の要素の少なくともいくつかの要素に対して、前記システムのそれぞれの構成要素と関連付けられた診断手段の故障と関連付けられた診断故障イベントを割り当てるステップを含む。前記方法は、さらに、前記動作故障イベントを前記診断故障イベントと関連付けるステップと、前記関連付けに応じて、前記システムの複数のシステム故障状態の潜在的なシステム故障状態および非潜在的なシステム故障状態を識別するステップを含む。

方法は、故障の木（ＦＴ）を使用して制御またはアクチュエータシステムをモデル化するステップを含む。前記方法は、さらに、前記システムの故障と関連付けられた動作故障イベントを定義するステップを含む。前記方法は、さらに、前記システムの診断手段の故障と関連付けられた診断故障イベントを定義するステップを含む。前記方法は、さらに、前記動作故障イベントを前記診断故障イベントと関連付けるステップと、前記関連付けに応じて、前記システムの複数のシステム故障状態の潜在的なシステム故障状態および非潜在的なシステム故障状態を識別するステップを含む。

装置は、少なくとも１つの処理装置を含む。前記少なくとも１つの処理装置は、方法を実行するように構成される。前記方法は、故障の木（ＦＴ）を使用して制御またはアクチュエータシステムをモデル化することを含む。前記方法は、さらに、前記システムの故障と関連付けられた動作故障イベントを定義することを含む。前記方法は、さらに、前記システムの診断手段の故障と関連付けられた診断故障イベントを定義することを含む。前記方法は、さらに、前記動作故障イベントを前記診断故障イベントと関連付け、前記関連付けに応じて、前記システムの複数のシステム故障状態の潜在的なシステム故障状態および非潜在的なシステム故障状態を識別することを含む。

コンピュータプログラム製品は、少なくとも１つの処理装置によって実行されるプログラムコードを含む。前記少なくとも１つの処理装置によって前記プログラムコードを実行することにより、前記少なくとも１つの処理装置に方法を実行させてもよい。前記方法は、故障の木（ＦＴ）を使用して制御またはアクチュエータシステムをモデル化するステップを含む。前記方法は、さらに、前記システムの故障と関連付けられた動作故障イベントを定義するステップを含む。前記方法は、さらに、前記システムの診断手段の故障と関連付けられた診断故障イベントを定義するステップを含む。前記方法は、さらに、前記動作故障イベントを前記診断故障イベントと関連付けるステップと、前記関連付けに応じて、前記システムの複数のシステム故障状態の潜在的なシステム故障状態および非潜在的なシステム故障状態を識別するステップを含む。

コンピュータプログラムは、少なくとも１つの処理装置によって実行されるプログラムコードを含む。前記少なくとも１つの処理装置によって前記プログラムコードを実行することにより、前記少なくとも１つの処理装置に方法を実行させてもよい。前記方法は、故障の木（ＦＴ）を使用して制御またはアクチュエータシステムをモデル化するステップを含む。前記方法は、さらに、前記システムの故障と関連付けられた動作故障イベントを定義するステップを含む。前記方法は、さらに、前記システムの診断手段の故障と関連付けられた診断故障イベントを定義するステップを含む。前記方法は、さらに、前記動作故障イベントを前記診断故障イベントと関連付けるステップと、前記関連付けに応じて、前記システムの複数のシステム故障状態の潜在的なシステム故障状態および非潜在的なシステム故障状態を識別するステップを含む。

なお、上述の特徴および後述の特徴は、本発明の範囲内において、示されるそれぞれの組み合わせだけでなく、その他の組み合わせまたは個別においても使用可能である。上述の態様および実施形態の特徴は、その他の実施形態において相互に組み合わせ可能である。

様々な例によるＦＴを概略的に示す。 様々な例によるＣＦＴを概略的に示す。 様々な例による多要素システムを概略的に示す。 様々な例による、図３の多要素システムのＣＦＴを概略的に示す。 様々な例による診断故障イベントを概略的に示す。 様々な例による装置を概略的に示す。 様々な例による方法のフローチャートである。 様々な例によるＣＦＴを概略的に示す。

添付図面を参照して本発明の実施形態を以下に詳述する。なお、実施形態の以下の説明は限定的な意味で解釈されるべきものではない。本発明の範囲は、以下に説明する実施形態または図面によって限定されるものではなく、それらは例示目的で提示されているに過ぎない。

図面は概略的表現としてみなされるべきものであり、図面に図示された要素は必ずしも尺度によって示されていない。様々な要素は、その機能および一般的な目的が当業者に明らかなように表現される。図面または本明細書で説明する機能ブロック、装置、構成要素、またはその他の物理的部材もしくは機能的部材間の接続または結合は、間接的接続または結合によっても実現されうる。構成要素間の結合は、無線接続を介しても確立されうる。機能ブロックは、ハードウェア、ファームウェア、ソフトウェア、またはその組み合わせによって実現されうる。

以下、安全性確保のための技術を説明する。アクチュエータおよび制御システムなどの多要素システムの安全性確保は、そのようなシステムを動作する上での安全性を増すために役立つ。

以下、セーフティクリティカルシステムにおける潜在的なシステム故障状態（潜在的なシステム故障状態とも呼ばれる）を確実に検出する技術を説明する。潜在的な故障状態は、上述したように、識別対象の特定の診断動作を必要とするシステムの故障に相当する。潜在的なシステム故障状態は、操作スタッフまたは保守スタッフにとって即座に明らかとならない故障である。潜在的なシステム故障状態は、例えば、非特許文献４に説明されている。

一般に、本明細書で説明する技術は様々な種類およびタイプのセーフティクリティカルシステムにおいて適用可能である。例えば、本明細書で説明する技術は、多要素制御またはアクチュエータシステムにおいて適用可能である。そのような制御またはアクチュエータシステムは、特定の機器に対して制御機能または活性化機能を提供する。多要素セーフティクリティカルシステムのいくつかの要素はハードウェアで実現可能であるが、これに代え、またはこれに加えて、いくつかの要素はソフトウェアで実現可能である。潜在的なシステム故障状態を検出する技術の使用対象であるセーフティクリティカルシステムは、１つ以上の機器を操作または制御するためのアクチュエータの発生力または制御信号を提供する出力を含む。本明細書に記載する潜在的なシステム故障状態を識別する技術を利用するセーフティクリティカルシステムの特定の例は、トランジスタ、コイル、コンデンサ、抵抗器などの能動および／または受動電子構成要素を含む電子回路、列車もしくは客車などの車両または航空機のための動力伝達機構、ベルトコンベア、ロボット、可動部品、制御部、製品検査（後工程検査）のための検査部を含む組立ライン、磁気共鳴撮像またはコンピュータ断層撮影を含む撮像システム、量子線がん治療システムなどの医療システム、電力プラントなどを含むが、それに限らない。

本明細書に記載する様々な例において、上記のようなシステムは、安全性確保から導出された情報に基づいて動作可能である。例えば、潜在的なシステム故障状態が識別されると、他の潜在的なシステム故障状態を明らかにするように診断手段を定義した後、その定義された診断手段に応じてシステムを動作させることが可能となる。

潜在的なシステム故障状態の検出の技術の様々な実装は、通常、従来のＦＴを使用可能であるが、ＣＦＴを使用してシステムをモデル化することに依拠してもよい。説明を単純にするために、ＣＦＴを使用した場合の様々な例を以下に説明するが、一般にＦＴも使用可能である。

ＣＦＴは、例えば、Ｋａｉｓｅｒ， Ｂ．， Ｌｉｇｇｅｓｍｅｙｅｒ， Ｐ．， Ｍａｅｃｋｅｌ， Ｏ．： Ａ ｎｅｗ ｃｏｍｐｏｎｅｎｔ ｃｏｎｃｅｐｔ ｆｏｒ ｆａｕｌｔ ｔｒｅｅｓ． Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ ８ｔｈ Ａｕｓｔｒａｌｉａｎ Ｗｏｒｋｓｈｏｐ ｏｎ Ｓａｆｅｔｙ Ｃｒｉｔｉｃａｌ Ｓｙｓｔｅｍｓ ａｎｄ Ｓｏｆｔｗａｒｅ − Ｖｏｌｕｍｅ ３３． ｐｐ． ３７〜４６． ＳＣＳ ’０３ （２００３）に説明されている。ＣＦＴは、モジュールおよび構成安全解析戦略に対応するＦＴＡのためのモデルベースおよび構成要素ベースの方法論を提供する。ＣＦＴは、複数の要素を含む。各要素は、システムの構成要素と関連付けられる。また、ＣＦＴは、要素間の複数の相互接続を含む。相互接続は、システムの構成要素間の機能的依存と関連付けられる。そのような機能的依存は、制御信号の入出力または力の流れをモデル化可能である。ＣＦＴは、システムのエラー挙動をモデル化可能である。システムのエラー挙動は、階層分解のアプローチを使用してＣＦＴによってモデル化可能である。ここでは、システムの全体的な挙動を構成要素の個々の挙動に基づいて予測可能である。すなわち、システムの全体的な挙動を発生させる因果連鎖は、構成要素のエラーの因果連鎖によってモデル化可能である。ＣＦＴは、システム全体のエラーの伝播、すなわち相互接続をモデル化するために、隣接した要素間におけるブールリンク（ゲートと呼ばれる場合もある）を含むことが可能である。ＣＦＴは、グラフを使用してシステムをモデル化することが可能である。ここで、グラフの各ノードは要素に対応してもよく、グラフの各エッジはリンクに対応してもよい。

潜在的なシステム故障状態を検出するために、診断手段に対応する基本イベントをＣＦＴにおいて規定してもよい。すなわち、それぞれの診断手段の故障に対応する診断故障イベントが設定されてもよい。構成要素の故障（動作故障イベント）および診断故障イベントに対応する基本イベントを区別するために、ブックキーピングの際、またはＣＦＴグラフを作成する際には専用のフラグまたはタイプのデノミネータを使用してもよい。

潜在的なシステム故障状態を識別するために、ＣＦＴを解析することも可能である。特に、様々な動作故障イベントのエラー伝播経路を解析することが可能である。例えば、動作故障イベントと設定診断故障イベントとのエラー伝播経路間の比較が可能である。この場合、少なくとも１つの診断故障イベントがエラー伝播経路に沿って位置しているかをチェックしてもよい。これは、動作故障イベントと診断故障イベントとの関連の一例に対応している場合がある。動作故障イベントと診断故障イベントとを互いに関連付けることによって、システムの少なくとも１つの診断手段によって明らかとなっていないエラー伝播経路を有する動作故障イベントが識別可能となる。それによって、潜在的なシステム故障状態が識別可能となる。

いくつかの例において、ＣＦＴを解析することは最小カットセット（ＭＣＳ）解析（ＭＣＡ）を含んでもよい。ＭＣＡは、様々なシステム故障状態に対するＭＣＳの決定を含む。システム故障状態のＭＣＳは、それ以上減らすことができない接続用語の論理和を使用したツリーの表現である。すなわち、システム故障状態のＭＣＳは、システム故障状態と関連付けられた上位イベントがトリガされて故障状態となるように、故障状態を発生させる可能性の高いＦＴまたはＣＦＴをモデル化したグラフの全ノードを含む。上位イベントのトリガ状態を変更しなければ、ＭＣＳをさらに減らすことはできない。したがって、システム故障状態のＭＣＳは、システム故障状態を観察するために不可欠な全イベントを識別する。ＭＣＳ解析については、例えば、Ｖｅｓｅｌｙ， Ｗｉｌｌｉａｍ Ｅ．， ｅｔ ａｌ． ＦＴ ｈａｎｄｂｏｏｋ． Ｎｏ． ＮＵＲＥＧ−０４９２． Ｎｕｃｌｅａｒ Ｒｅｇｕｌａｔｏｒｙ Ｃｏｍｍｉｓｓｉｏｎ Ｗａｓｈｉｎｇｔｏｎ ＤＣ， １９８１； ｓｅｃｔｉｏｎ ＶＩＩ−１５， ４ “Ｄｅｔｅｒｍｉｎｉｎｇ ｔｈｅ Ｍｉｎｉｍａｌ Ｃｕｔ Ｓｅｔｓ ｏｒ Ｍｉｎｉｍａｌ Ｐａｔｈｓ Ｓｅｔｓ ｏｆ ａ ＦＴ”に説明されている。ＭＣＳは、手作業または自動的に決定可能である。ＭＣＳ解析を使用してシステムをモデル化する技術例は、独国特許出願公開第１０２０１５２１３５８１号明細書に開示されている。

システム故障状態ｔのＭＣＳ解析の出力、すなわちＭＣＳは、以下のように定義される。
ＭＣＳ（ｔ）＝ＣＳ１（ｔ）∨…∨ＣＳｍ（ｔ）
ただし、各カットセット（ＣＳ）、ＣＳｉ（ｔ）∈｛ＣＳ１（ｔ），…，ＣＳｍ（ｔ）｝は、結果として、上位イベントｔ∈ＣＦＴを発生させる、すなわち、それぞれのシステム故障状態をトリガする。さらに、ＣＳの全基本イベントｂｉがトリガされる場合、
ＣＳｉ（ｔ）＝ｂ１Λ…Λｂｎ ここに ｂｉ∈Ｂ
は上位イベントｔを発生させるＣＳだとする。ＣＳ中の要素の数は、ＣＳのオーダと呼ばれる。

潜在的なシステム故障状態を検出することによって、例えば自動的に危険状況を回避できるようになる。潜在的なシステム故障状態を検出することによって、システム設計を修正できるようになる。例えば、追加の診断手段を提供することによって、潜在的なシステム故障状態を潜在的な状態ではない状態として１つ以上の追加の診断手段によって検出可能とするなどの修正が可能となる。いくつかの例において、例えば最適化を用いて、自動的に１つ以上の追加の診断手段を決定することが可能である。ここでは、１つ以上の診断手段の位置および／または数を決定可能である。これは、診断手段の数を制限するための最適化基準になりうる。

図１は、ＦＴ１０１に関する態様を図示する。ＦＴ１０１の概念の詳細は例えば、非特許文献３において説明されている。ＦＴ１０１は、本明細書で説明する様々な例におけるシステムの故障挙動をモデル化するために使用可能である。したがって、ＦＴは安全性確保を容易に実現しうる。故障挙動は、システムが安全に動作可能であるかを検査するために使用可能である。故障挙動は、システムの設計の欠点を識別するために使用可能である。

ＦＴ１０１は、ノード（図１に幾何学形状で示す）およびエッジ（図１に幾何学形状間の線で示す）を含むグラフによって表わされる。

図１に示すように、ＦＴ１０１はそれぞれのノードによってモデル化された基本イベント１１１、１１２を含む。基本イベントは、動作故障イベントに対応してもよい。動作故障イベントは、ＦＴ１０１によってモデル化されたシステムの動作の障害に対応してもよい。例えば、動作故障イベントは、抵抗器またはスイッチなどの電子部品の故障に対応してもよい。例えば、動作故障イベントは、圧力逃し弁などの弁の故障に対応してもよい。動作故障イベントは、例えば冷却システムの故障に対応してもよい。数多くの種類およびタイプの故障を動作故障イベントによってモデル化可能である。ここで示した例は例示目的に過ぎず、幅広く異なる種類およびタイプの動作故障イベントが考えられる。

ＦＴ１０１は、さらに、入力ポート１１３、１１４を含む。入力ポート１１３、１１４は、１つ以上のさらなるノード（図１では不図示）から故障状態を受信可能である。

ＦＴ１０１は、さらに、ブール演算子１１５、１１６を含む。ブール演算子１１５は、動作故障イベント１１１および入力ポート１１３の状態の論理ＯＲ組み合わせとして実現され、ブール演算子１１６は、動作故障イベント１１２および入力ポート１１４の状態の論理ＡＮＤ組み合わせとして実現される。ＡＮＤおよびＯＲ演算に加えて、ＮＡＮＤまたはＸＯＲなど、その他の演算も可能である。

したがって、ＦＴ１０１に基づいて、例えば動作故障イベント１１１および１１２の故障イベントのエラー伝播経路をモデル化することが可能である。特に、故障イベントのエラー伝播経路が１つ以上の上位ポート１１７、１１８の状態に影響するかを確認できる。

図１において、ＦＴ１０１は、システムの様々な構成要素から独立して定義される。その他の例において、個々の要素およびＦＴの相互接続がモデル化されたシステムの１つ以上の構成要素と関連付けられたＦＴを定義可能であり、すなわちＣＦＴが使用可能である。そのようなＣＦＴを図２に示す。

図２は、ＣＦＴ１０２に関して態様を図示する。ＦＴ１０１と同様に、ＣＦＴ１０２は、ノード（図２に幾何学形状で示す）およびエッジ（図２に幾何学形状間の線で示す）を含むグラフによって表わされる。

上述したように、ＣＦＴは、動作故障イベント１１１と、入力ポート１１３、１１３Ａと、ブール演算子１１５、１１６と、上位ポート１１７、１１８、１１８Ａとを含む。図２の例において、ＣＦＴ１０２全体は単一の要素１３０と関連付けられ、要素１３０は、システムの構成要素に対応する。したがって、一方のＣＦＴ１０２を実現するグラフの異なるノードおよび相互接続と、システムの様々な構成要素との間のマッピングが提供される（一般に複数の構成要素を複数の要素によってモデル化可能であるが、図２では、単純に図示するために単一の構成要素のみが要素１３０によってあらわされている）。

一方のＣＦＴ１０２を実現するグラフの異なるノードおよび相互接続と他方のシステムの様々な構成要素との間のマッピングによって、システムの構成要素と関連付けられる内部動作故障状態をモデル化でき、構成要素レベルでのシステム全体における動作故障状態のエラー伝播経路を解析できる。これによって、システムの特定の構成要素がシステム故障状態による影響を受けるかを容易に予測できる。一般に、ＣＦＴによって、故障が発生可能な対応ポートに対して特定の上位イベントを関連付けることが可能となる。例えば、図２において、上位ポート１１７と関連付けられた動作故障イベントは、システムレベルで、ポート１１８Ａに発生する。これによって、安全解析モデルの保守性の向上が容易となる。

一般に、ＣＦＴ１０２は、標準的なＦＴ１０１に変換可能であり、またその逆も可能である。これは、様々な要素１３０と、図２の例における上位ポート１１８Ａおよび入力ポート１１３Ａなどの複製ポートを取り除くことによって可能となる。

図３は、多要素制御またはアクチュエータシステム２３０に関して態様を図示する。図３の例において、システム２３０は、スイッチまたは中継器の形態の複数の構成要素２３１〜２３３を含む。また、スイッチ２３１〜２３３およびスイッチング素子２３１−２、２３２−２、２３３−２用のアクチュエータ２３１−１、２３２−１、２３３−１を示す。スイッチ２３１〜２３３は、例えばスイッチング素子２３１−２が閉状態となると、スイッチ２３２が作動されるように、カスケード状に配置される。例えば、スイッチ２３１〜２３３は、トランジスタまたは中継器によって実現されてもよい。スイッチ２３３が正常に閉状態になる一方、スイッチ２３１、２３２は正常に開状態となることが可能である。図３は、システム２３０の回路図である。

スイッチ２３１〜２３３がカスケード配列となっているため、例えばスイッチ２３２の故障はスイッチ２３３の動作にも影響を及ぼす場合がある。

図４は、ＣＦＴ１０２に関して態様を示す。特に、図４は、図３においてシステム２３０をモデル化したＣＦＴ１０２を示す。ＣＦＴ１０２は、構成要素２３１〜２３３に対応する要素１３１〜１３３、すなわち図３および図４の例におけるスイッチを含む。各要素１３１〜１３３は、入力ポート１１３および上位ポート１１７を有する。さらに、各要素１３１〜１３３は、動作故障イベント１１１と関連付けられる。動作故障イベント１１１は、それぞれの構成要素２３１〜２３３の故障に対応する。

システム故障状態は、参加している動作故障イベントと関連付けられたエラー伝播経路によって特徴づけられる。例えば、異なるシステム故障状態が異なる上位イベントと関連付けられてもよく、上位イベント１１８Ａは複数のシステム故障状態のうちの所与のシステム故障状態と対応してもよい。図４の例において、上位イベント１１８Ａのシステム故障状態は、要素１３１〜１３３の動作故障イベント１１１のうちのいずれか１つによってトリガされてもよい。例示目的として、要素１３１の動作故障イベント１１１と関連付けられたエラー伝播経路１７０を図４に示す（図４では破線で示す）。

いくつかの例において、ＣＦＴ１０２は、システム２３０の回路図に基づいて自動的に生成可能である。全体として、本回路図は、相互接続された電気構成要素（図３の例におけるスイッチ２３１〜２３３など）を含む。したがって、システム２３０を適切にモデル化したＣＦＴ１０２を作成するために、情報を自動的に抽出することが可能である。ＣＦＴ１０２を使用してシステム２３０をモデル化する技術例をＺｅｌｌｅｒ， Ｍ．， Ｈｏｅｆｉｇ， Ｋ．： ＩＮＳｉＤＥＲ： “Ｉｎｃｏｒｐｏｒａｔｉｏｎ ｏｆ ｓｙｓｔｅｍ ａｎｄ ｓａｆｅｔｙ ａｎａｌｙｓｉｓ ｍｏｄｅｌｓ ｕｓｉｎｇ ａ ｄｅｄｉｃａｔｅｄ ｒｅｆｅｒｅｎｃｅ ｍｏｄｅｌ．” ２０１６ Ａｎｎｕａｌ Ｒｅｌｉａｂｉｌｉｔｙ ａｎｄ Ｍａｉｎｔａｉｎａｂｉｌｉｔｙ Ｓｙｍｐｏｓｉｕｍ （ＲＡＭＳ） （２０１６） ｐｐ． １〜６に説明されている。それによって、システム２３０の各構成要素／スイッチ２３１〜２３３に対して、要素１３１〜１３３がＣＦＴ１０２において作成される。ＣＦＴ１０２の相互接続は、本回路図の電気トレースに従う。Ｍｏｅｈｒｌｅ， Ｆ．， Ｚｅｌｌｅｒ， Ｍ．， Ｈｆｉｇ， Ｋ．， Ｒｏｔｈｆｅｌｄｅｒ， Ｍ．， Ｌｉｇｇｅｓｍｅｙｅｒ， Ｐ．： “Ａｕｔｏｍａｔｉｎｇ ｃｏｍｐｏｓｉｔｉｏｎａｌ ｓａｆｅｔｙ ａｎａｌｙｓｉｓ ｕｓｉｎｇ ａ ｆａｉｌｕｒｅ ｔｙｐｅ ｔａｘｏｎｏｍｙ ｆｏｒ ＣＦＴｓ．” Ｗａｌｌｓ， Ｌ．， Ｒｅｖｉｅ， Ｍ．， Ｂｅｄｆｏｒｄ， Ｔ． （ｅｄｓ．） Ｒｉｓｋ， Ｒｅｌｉａｂｉｌｉｔｙ ａｎｄ Ｓａｆｅｔｙ： Ｉｎｎｏｖａｔｉｎｇ Ｔｈｅｏｒｙ ａｎｄ Ｐｒａｃｔｉｃｅ： Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ＥＳＲＥＬ ２０１６． ｐｐ． １３８０〜１３８７ （２０１６）参照。それによって、例えば、要素１３１〜１３３がシステム２３０内の電子構成要素の種類毎に事前に定義されている場合、ＣＦＴ１０２は自動的に決定可能である。

例えば、診断故障イベントをＣＦＴの要素のうちの少なくともいくつかに割り当てることが可能である。診断故障イベントは、システムのそれぞれの構成要素と関連付けられ、構成要素の故障を検出することが可能な診断手段の故障をモデル化する。すなわち、診断故障イベントは、それぞれの構成要素の動作故障イベントを検出することが可能な診断手段の故障をモデル化できる。

図５は、診断故障イベント１１９に関して態様を示す。診断故障イベント１１９は、ＣＦＴ１０２の要素１３０に割り当てられる（図５において、単純化のため要素１３０以外のＣＦＴ１０２の詳細を省略する）。

図５の例において、診断故障イベント１１９は、要素１３０によってモデル化されたシステムの構成要素の故障と関連付けられた動作故障イベント１１１と同レベルの階層に配置される。ブールＡＮＤ演算子１５１は、動作故障イベント１１１および診断故障イベント１１９の状態を結合する。したがって、ブールＯＲ演算子１５２は、ブールＯＲ演算子１５１の出力および入力ポート１１３の状態を結合する。したがって、（Ｉ）入力ポート１１３がシステムエラー状態を示す場合、および／または（ＩＩ）故障イベント１１１、１１９の両方がトリガされた場合、上位ポート１１７がシステムエラー状態を示す。

図５の例において、診断故障イベント１１９によってモデル化された診断手段は、入力ポート１１３に沿った伝播経路を有するシステム故障状態を検出できない。ただし、他の例では、それぞれの診断故障イベントによってモデル化された診断手段は、入力ポート１１３に沿った伝播経路を有するシステム故障状態を検出することができると言える。ここで、ブールＡＮＤ演算子は、それぞれの動作故障イベントおよび入力ポート１１３の状態を結合するために使用可能である。

図２〜５から理解されるように、複数の要素および要素間の複数の相互接続を含むＣＦＴを使用してコントローラまたはアクチュエータシステムをモデル化することが可能である。動作故障イベントは、複数の要素のうちの少なくともいくつかの要素に割り当てられることが可能である。動作故障イベントは、システムのそれぞれの構成要素の故障と関連付けられる。さらに、システムのそれぞれの構成要素と関連付けられた診断手段の故障と関連付けられた診断故障イベントは、複数の要素のうちの少なくともいくつかの要素に割り当てられる。そのような構造を有するＣＦＴに基づいて、潜在的なシステム故障状態および非潜在的なシステム故障状態を含むシステム故障状態を確実に検出することが可能である。このため、適切に構成された装置が使用可能である。

図６は、装置５０１に関して態様を示す。

装置５０１は、ヒューマンマシンインタフェース（ＨＭＩ）５０２を含む。例えば、ＨＭＩは、ユーザから情報を受信するように構成可能であり、および／またはユーザに対して情報を出力するように構成可能である。例えば、ＨＭＩは、キーボード、マウス、スピーカ、音声制御、モニタなどのうちの１つ以上を含んでもよい。ＨＭＩ５０２は任意のものである。

装置５０１は、さらに、例えばマルチコアプロセッサなどの処理装置５０３を含む。処理装置５０３は、例えば不揮発性メモリなどのメモリ５０４からプログラムコードを受信するように構成される。処理装置５０３は、そのプログラムコードを実行するように構成される。プログラムコードを実行することによって、処理装置５０３は本明細書にて説明するような技術を実行可能となる。例えば、ＣＦＴなどのＦＴを使用して多要素制御またはアクチュエータシステムをモデル化し、動作故障イベントおよび／または診断故障イベントをＣＦＴなどのＦＴの特定の位置または要素に割り当て、潜在的なシステム故障状態および非潜在的なシステム故障状態を識別するために、動作故障イベントを診断故障イベントと互いに関連付け、ＣＦＴなどのＦＴのＭＣＡを実行し、ＣＦＴなどのＦＴを介したシステム故障状態のエラー伝播経路を決定するなどを実行可能となる。

装置５０１は、さらに、インタフェース５０５を含む。例えば、制御データはインタフェース５０５を介して出力可能である。例えば、インタフェース５０５を介して送信された制御データを使用して、多要素制御またはアクチュエータシステムの動作を制御可能である。インタフェース５０５は任意である。

図７は、様々な例による方法のフローチャートである。例えば、図７のフローチャートに記載の方法は、装置５０１の処理装置５０３によって実行されてもよい。

１００１において、多要素制御もしくはアクチュエータシステム、またはハードウェアおよび／またはソフトウェア構成要素を含む他の種類のシステムなどのシステムはＣＦＴなどのＦＴを使用してモデル化される。ＣＦＴなどのＦＴは、ノードおよびエッジを含むグラフによって定義可能である。ノードの一部は、ＣＦＴなどのＦＴの基本イベントに対応しうる。

特に、１００２において、システムの１つ以上の構成要素の故障と関連付けられる動作故障イベントは、ＣＦＴなどのＦＴ内に定義される。これは、ＣＦＴの複数の要素の少なくともいくつかの要素に対して動作故障イベントを割り当てることを含んでもよい。

１００３において、診断手段の故障と関連付けられた診断故障イベントが定義される。例えば、診断手段は、システムのそれぞれの構成要素と関連付けられてもよい。そのため、１００３はＣＦＴの複数の要素の少なくともいくつかの要素に対して診断故障イベントを割り当てることを含んでもよい。

次に、１００４において、動作故障イベントが診断故障イベントと互いに関連付けられる。これによって、その関連付けに基づいて、１００５において潜在的なシステム故障状態を識別可能となる。

診断故障イベントとの動作故障イベントの関連付けは、様々な動作故障イベントのエラー伝播経路を解析することを含んでもよい。所与の動作故障イベントのエラー伝播経路は、それぞれのシステム故障状態に対する特徴である上位イベントと関連付けられてもよい。所与の動作故障イベントのエラー伝播経路、例えば対応上位イベントまでのすべてを解析することによって、それぞれのシステム故障状態の検出に適した少なくとも１つの診断手段があるかを確認でき、その確認結果に応じて、潜在的なシステム故障状態や非潜在的なシステム故障状態を判別することが可能である。例えば、１つ以上の診断故障イベントが所与の動作故障イベントのエラー伝播経路に沿って配置されているかを確認可能である。もしそうであれば、それぞれのシステム故障状態が潜在的でないと判断できる。これは、エラー伝播経路に沿って配置された１つ以上の診断故障イベントと関連付けられた診断手段によって正常に検出可能であるためである。ここで、システム故障状態が確実に明確化できると仮定可能なように、それぞれの診断手段の故障の可能性、すなわち故障状態を引き起こす診断故障イベントの可能性は、比較的低い。

そのような解析はＭＣＡを考慮することによって容易となる場合がある。特に、１００４における関連付けはＣＦＴのＭＣＡに基づいてもよい。場合によっては、全システム故障状態に対して、すなわち全上位イベントに対してＭＣＳが決定されてもよく、場合によっては、ＭＣＳ解析の対象となる上位イベントのサブセットを例えば手作業で選択してもよい。

ＣＦＴの各基本イベントは、システムのそれぞれの構成要素の故障を表わす、すなわち動作故障イベントであるか、またはそれぞれの構成要素と関連付けられた診断手段の故障
を表わす、すなわち診断故障イベントであるかのいずれかである。従って、診断故障イベントを全く含まないＭＣＡから取得された各カットセット（ＣＳ）は、適切な診断手段によって検出する可能性のない上位イベントをトリガする潜在的なシステム故障状態を表わす。それによって、各システム故障状態のＭＣＳを決定し、該ＭＣＳに含まれる診断故障イベントの数を決定可能である。それによって、それぞれのＭＣＳに含まれる診断故障イベントの決定数に基づいて、それぞれのシステム故障状態を潜在的なシステム故障状態または非潜在的なシステム故障状態として識別可能である。この場合も、関連付けられるシステム故障状態を潜在的または非潜在的とラベル付けする際に、ＭＣＳにおける診断故障イベントによってモデル化された１つ以上の診断動作の故障の可能性を考慮してもよく、考慮しなくてもよい。例えば、少なくとも１つ、または少なくとも２つ、または少なくとも３つの診断故障イベントを有する全ＭＣＳは、非潜在的なシステム故障状態を定義可能である。

特に、１に等しいオーダを有し単一の動作故障イベントのみを含むＣＳを、より詳細に検査する必要がある。これは、１に等しいオーダを有するＣＳは単一の故障点と類似しているからである。なお、ここでは、診断故障イベントおよび動作故障イベント（図５）の状態を結合するために使用されるブールＡＮＤ演算子は、結果として、必然的に２（以上の）オーダである少なくとも１つの診断故障イベントを含むＣＳである。また、電気回路などのシステムに導入されているＡＮＤゲートによって通常ＣＦＴ／ＦＴにおいて表現される冗長機構によって、２以上のオーダのＣＳとなる。その冗長性がブールＡＮＤ演算子によって表現される場合、それによって接続された冗長部分は故障を伝播するために故障する必要がある。この結果、ＡＮＤブール演算子なしで表現される単一部分と比較すると、ＡＮＤブール演算子はカットセットのオーダを増加するため、高オーダのＣＳとなる。

本明細書で説明する様々な技術は、多要素システムの各構成要素には潜在的なシステム故障状態を回避するために診断手段が設けられる必要はないという知見に基づいている。例えば、電気回路の場合、故障の可能性を有するため、それぞれのＣＦＴにおいて動作故障イベントと関連付けられた各電気部品が専用の診断手段を有する必要はない。例えば、スイッチ組が直列で配線されている場合（図３および図４参照）、そのチェーンにおける全動作故障イベントのエラー伝播経路を明確にすることによって潜在的なシステム故障状態を防ぐために、直列されたスイッチの最後のスイッチが診断手段を設けていれば十分である。すなわち、例えば様々なシステム故障状態のエラー伝播経路を確認することによってなど、診断故障イベントとの動作故障イベントの関連性に基づいて、同じ非潜在的なシステム故障状態と関連付けられたシステムの冗長診断手段を識別することが可能となる。したがって、対応する診断手段を除去することによってシステムを単純化できる。これは、いくつかの例において、ＭＣＡを使用してそれぞれのシステム故障状態のＭＣＳを決定し、該ＭＣＳに含まれる診断故障イベントの数を決定することによって実現可能である。それぞれのＭＣＳに含まれる診断故障イベントの決定数に基づいて、同じシステム故障状態と関連付けられたシステムの冗長診断手段を識別可能である。例えば、該ＭＣＳが複数の診断故障イベントを含む場合、関連付けられた診断手段がシステムから除去可能なように、診断故障イベントの少なくともいくつかが冗長であると判定できる。

一方、システムに対して追加される１つ以上のさらなる診断手段の候補位置を決定可能である。候補位置は、他の潜在的なシステム故障状態のエラー伝播経路に沿って配置可能である。ここでは、候補位置は最適化を使用して決定されることが可能である。１つ以上のさらなる診断手段の数は最適化の最適化基準として考慮されることが可能である。例えば、他の潜在的なシステム故障状態を明確に検出するために必要な１つ以上のさらなる診断手段の数を最小限とする傾向がある。すなわち、診断手段の組は、それぞれの診断故障イベントを含むことによって様々なシステム故障状態のエラー伝播経路をモデル化するＣＦＴに基づいて最適化されることが可能である。

図８は、ＣＦＴ１０２に関して態様を概略的に示す。図８の例のＣＦＴ１０２は、図３の例による電子システム２３０をモデル化する。図８は、さらに、構成要素２３３と関連付けられた専用のさらなる診断手段と、要素１３３に含まれているそれぞれの診断故障イベント１１９に関して態様を概略的に示す。

追加の診断故障イベント１１９が含まれない場合、上位イベント１１８Ａのシステム故障状態と関連付けられたＭＣＳは、以下によって求められる。
ＭＣＳ（上位イベント）＝ＣＳ１（上位イベント）∨ＣＳ２（上位イベント）∨ＣＳ３（上位イベント）
合計３つのＣＳがある場合、
ＣＳ１３１（上位イベント）＝ＮＣ１３１
ＣＳ１３２（上位イベント）＝ＮＣ１３２
ＣＳ１３３（上位イベント）＝ＮＣ１３３

ここでは、ＣＳ１３１は、正常に開状態となったスイッチ２３１と関連付けられた要素１３１の動作故障イベント１１１に対応し、ＣＳ１３２は正常に開状態となったスイッチ２３２と関連付けられた要素１３２の動作故障イベント１１１に対応し、ＣＳ１３３は、正常に閉状態となったスイッチ２３３と関連付けられた要素１３３の動作故障イベント１１１に対応する。

上記のＣＳのそれぞれは１のオーダである。したがって、診断故障イベント１１９と関連付けられた診断手段がない場合、診断故障イベントがそれぞれのＣＳに含まれていないため、ＣＳのそれぞれは結果的に潜在的なシステム故障状態となる。したがって、関連付けられた上位イベント１１８Ａは危険である可能性がある。適切な診断手段を提供することは、最適化または他の適切なアルゴリズムを使用することによって実現可能である。例えば、構成要素２３１〜２３３のそれぞれに対してそれぞれの診断手段を冗長に作成するとする。基本システム２３０のＭＣＳ解析の結果およびその構造の情報に基づいて、システム２３０のアーキテクチャに応じて、すなわちシステムの構成要素の配置に応じて以下のようにＣＳを以下の通り順番づけすることが可能である。
ＣＳ１３１→ＣＳ１３２→ＣＳ１３３

図８に示すように、システム２３０の直列アーキテクチャに起因して、この直列の最後の構成要素２３３に関してのみ診断手段を設ける必要がある。該当する診断手段は、要素１３１〜１３３の動作故障イベント１１１と関連付けられた全エラー伝播経路を示すことが可能である。これは、診断故障イベント１１９およびブールＡＮＤ演算子１５１によって実現可能である。

ここまで、多要素制御／アクチュエータシステムなどのシステムにおいて潜在的なシステム故障状態を識別できる技術を説明した。一般に、ＦＴまたはＣＦＴを使用して依存度グラフによってモデル化可能なシステムは、以下に説明する技術の対象となりえる。潜在的なシステム故障状態を確実に識別可能にしうる。

例えば、本技術はＣＦＴに依拠する。ここで、特にシステムが複数の電子構成要素を含む電子回路の場合、ＣＦＴは、システムのアーキテクチャの情報に基づいて自動的に作成可能である。このようなアプローチによってシステムが修正される度にＣＦＴの解析を反復することが可能となる。それによって、参照技術にしたがって潜在的なシステム故障状態を識別するためにシステムを評価するという手作業で時間がかかりおよびエラーが起きやすい作業を自動的に実行できることによって見落としなどのおそれを低減できる。

潜在的なシステム故障状態を識別することに代え、またはそれに加えて、欠落している診断手段または冗長の診断手段も識別可能である。潜在的なシステム故障状態を避けるために必要な診断計測の組を決定することが可能であるため、診断手段の数を最適化できる。

本明細書で説明する技術によって、さらに、システムで故障が発生した後に根本原因を容易に見つけることができる。これが可能なのは、解析の結果が、関連付けられた診断手段によって明確化された１組の潜在動作故障イベントを示すためである。

本発明を特定の好適な実施形態に関して図示および説明してきたが、当業者が本明細書を読んで理解するにあたって同等物および修正物に想到する場合がある。本発明はそのような同等物および修正物すべてを含み、添付の特許請求の範囲によってのみ限定される。

例示目的で様々な例をＣＦＴと関連して上述したが、ＣＦＴは上述の技術の機能とは密接な関係にない。様々な例は、通常のＦＴを使用しても実現可能である。ここで、特定の診断故障イベントが関連付けられる異なる構成要素は区別される必要がない。むしろ、モデル化されたシステムにおけるそれらの論理的配置に応じて、診断故障イベントがＦＴのアーキテクチャに埋め込まれてもよい。

１０２ 構成要素故障の木
１１１ 動作故障イベント
１１９ 診断故障イベント
１７０ エラー伝播経路
２３０ システム
２３１〜２３３ 構成要素

Claims (10)

1. コンピュータ実装方法であって、
   多要素制御またはアクチュエータシステム（２３０）のソフトウェアまたはハードウェアからなる複数の構成要素（２３１〜２３３）と関連付けられた複数の要素（１３１〜１３３）と、前記システム（２３０）の前記複数の構成要素（２３１〜２３３）間の機能的依存と関連付けられた前記複数の要素（１３１〜１３３）間の複数の相互接続と、を含む構成要素故障の木（１０２）のモデルを生成するステップと、
   前記複数の要素（１３１〜１３３）の少なくとも１つの要素に対して、前記システム（２３０）の前記複数の構成要素（２３１〜２３３）の少なくとも１つの故障と関連付けられた動作故障イベント（１１１）を割り当てるステップと、
   前記複数の要素（１３１〜１３３）の少なくとも１つの要素（１３１〜１３３）に対して、前記システム（２３０）の前記複数の構成要素（２３１〜２３３）の少なくとも１つと関連付けられた診断手段の故障と関連付けられた診断故障イベント（１１９）を割り当てるステップと、
   前記動作故障イベント（１１１）を前記診断故障イベント（１１９）と関連付けるステップと、
   前記関連付けに応じて、前記構成要素故障の木（１０２）の前記モデルを解析することにより、前記システム（２３０）の潜在的なシステム故障状態および非潜在的なシステム故障状態を特定するステップと、
   を含むコンピュータ実装方法。
2. 前記動作故障イベント（１１１）と前記診断故障イベント（１１９）との前記関連付けは、前記構成要素故障の木（１０２）の最小カットセット解析に基づいて行われることを特徴とする請求項１に記載の方法。
3. 前記関連付けは、
   動作故障イベント（１１１）毎に、前記構成要素故障の木（１０２）によって、関連付けられたシステム故障状態のエラー伝播経路（１７０）を決定するステップと、
   少なくとも１つの診断故障イベント（１１９）が前記エラー伝播経路（１７０）に沿って配置されているかを確認するステップと、
   を含む請求項１または２に記載の方法。
4. 複数の前記システム故障状態の前記システム故障状態毎に、最小カットセット解析を使用してそれぞれの前記システム故障状態の最小カットセットを決定し、前記最小カットセットに含まれる診断故障イベント（１１９）の数を決定するステップと、
   複数の前記システム故障状態の前記システム故障状態毎に、前記それぞれの最小カットセットに含まれる診断故障イベント（１１９）の前記数に基づいて、それぞれの前記システム故障状態が潜在的なシステム故障状態または非潜在的なシステム故障状態であると特定するステップと、
   を含むことを特徴とする請求項１から３のいずれかに記載の方法。
5. 前記関連付けに応じて、前記構成要素故障の木（１０２）の前記モデルを解析することにより、１つの非潜在的なシステム故障状態と関連付けられた前記システム（２３０）の中の冗長的な診断手段を特定するステップを含むことを特徴とする請求項１から４のいずれかに記載の方法。
6. 複数の前記システム故障状態の前記システム故障状態毎に、最小カットセット解析を使用してそれぞれの前記システム故障状態の最小カットセットを決定し、前記最小カットセットに含まれる診断故障イベント（１１９）の数を決定するステップと、
   複数の前記システム故障状態の前記システム故障状態毎に、それぞれの前記最小カットセットに含まれる診断故障イベント（１１９）の前記数に基づいて、１つの前記システム故障状態と関連付けられた前記システム（２３０）の中の冗長的な診断手段を特定するステップと、
   を含むことを特徴とする請求項１から５のいずれかに記載の方法。
7. 特定された前記潜在的なシステム故障状態の少なくとも１つに対して、動作故障イベント（１１１）のエラー伝播経路（１７０）に沿って少なくとも１つの診断手段を配置する位置を決定するステップをさらに含むことを特徴とする請求項１から６のいずれかに記載の方法。
8. 少なくとも１つの前記診断手段を配置する前記位置は最適化アルゴリズムを使用して決定され、少なくとも１つの前記診断手段の数は前記最適化アルゴリズムによる、前記システム（２３０）における前記診断手段の配置の最適化を判断する基準の１つであることを特徴とする請求項７に記載の方法。
9. 多要素制御またはアクチュエータシステム（２３０）の構成要素（２３１〜２３３）と関連付けられた複数の要素（１３１〜１３３）と、前記システム（２３０）の前記複数の構成要素（２３１〜２３３）間の機能的依存と関連付けられた前記複数の要素（１３１〜１３３）間の複数の相互接続と、を含む構成要素故障の木（１０２）のモデルを生成するステップと、
   前記複数の要素（１３１〜１３３）の少なくとも１つの要素に対して、前記システム（２３０）の前記複数の構成要素（２３１〜２３３）の少なくとも１つの故障と関連付けられた動作故障イベント（１１１）を割り当てるステップと、
   前記複数の要素（１３１〜１３３）の少なくとも１つの要素（１３１〜１３３）に対して、前記システム（２３０）の前記複数の構成要素（２３１〜２３３）の少なくとも１つと関連付けられた診断手段の故障と関連付けられた診断故障イベント（１１９）を割り当てるステップと、
   前記動作故障イベント（１１１）を前記診断故障イベント（１１９）と関連付けるステップと、
   前記関連付けに応じて、前記構成要素故障の木（１０２）の前記モデルを解析することにより、前記システム（２３０）の潜在的なシステム故障状態および非潜在的なシステム故障状態を特定するステップと、
   を実行するように構成された少なくとも１つのプロセッサ（５０３）を含む装置（５０１）。
10. 前記少なくとも１つのプロセッサ（５０３）は請求項１〜８のいずれかに記載の方法を実行するように構成されることを特徴とする請求項９に記載の装置（５０１）。