JP7204609B2 - 検証処理装置、検証方法及びプログラム - Google Patents
検証処理装置、検証方法及びプログラム Download PDFInfo
- Publication number
- JP7204609B2 JP7204609B2 JP2019140118A JP2019140118A JP7204609B2 JP 7204609 B2 JP7204609 B2 JP 7204609B2 JP 2019140118 A JP2019140118 A JP 2019140118A JP 2019140118 A JP2019140118 A JP 2019140118A JP 7204609 B2 JP7204609 B2 JP 7204609B2
- Authority
- JP
- Japan
- Prior art keywords
- model
- elements
- causal
- verification
- processing device
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F30/00—Computer-aided design [CAD]
- G06F30/30—Circuit design
- G06F30/32—Circuit design at the digital level
- G06F30/33—Design verification, e.g. functional simulation or model checking
- G06F30/3323—Design verification, e.g. functional simulation or model checking using formal methods, e.g. equivalence checking or property checking
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F30/00—Computer-aided design [CAD]
- G06F30/30—Circuit design
- G06F30/32—Circuit design at the digital level
- G06F30/33—Design verification, e.g. functional simulation or model checking
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/30—Monitoring
- G06F11/34—Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/36—Preventing errors by testing or debugging software
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F2119/00—Details relating to the type or aim of the analysis or the optimisation
- G06F2119/02—Reliability analysis or reliability optimisation; Failure analysis, e.g. worst case scenario performance, failure mode and effects analysis [FMEA]
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Computer Hardware Design (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Evolutionary Computation (AREA)
- Geometry (AREA)
- Quality & Reliability (AREA)
- Debugging And Monitoring (AREA)
- Test And Diagnosis Of Digital Computers (AREA)
Description
本開示は、検証処理装置、検証方法及びプログラムに関する。
特許文献１には、モデル検査を用いて、データ処理システムの動作ロジックの網羅的検証を行うことが記載されている。
モデル検査でリレー回路の動作ロジックを検証する場合、当該リレー回路の基本動作ロジックを検証するだけでは不十分であり、当該リレー回路に含まれる信号線や回路素子に不具合が発生し得ることを加味して検証を行う必要がある。
信号線や回路素子の不具合（例えば、信号線の混触、断線、回路素子の故障）はリレー回路の基本動作ロジックによらず同時多発的かつ非同期的に発生し得ることを考慮すると、モデル検査においては、基本動作中に起こり得る状態遷移に加え、基本動作中の各状態から発生し得る不具合の全ての組み合わせを網羅的に検証する必要がある。
しかしながら、そうした場合、リレー回路に含まれる各信号線及び各回路素子で生じた複数の不具合の組み合わせを含む反例が出力されたとしても、当該不具合の組み合わせの中には、不安全事象に至ったことに必ずしも寄与しない（クリティカルでない）不具合が含まれている可能性がある。
つまり、モデル検査は、ＢＤＤ（Binary Decision Diagram）などにより、検査対象モデルが取り得る全状態を論理式で表現した上で状態遷移（パス）を網羅的に検査し、不安全事象に至るパス（反例）が一つでも見つかった場合には、単に「不安全事象に至るパスがある」という事実を使用者に示すものである。したがって、その不安全事象に至ったパスにおいては、必ずしもクリティカルでない状態遷移をも含み得る。そのため、不安全事象に関してクリティカルでない不具合をも含み得る反例について反例解釈を行わざるを得ず、モデル検査の反例解釈の作業に要する負担が大きい。
また、反例解釈の結果を踏まえ、検査対象モデルに対策を反映させて再度のモデル検査を行うことを反例がなくなるまで繰り返す必要があるため、検査に多大な作業時間を要する。さらに、「反例解釈→検査対象モデルの再設定（コーディング）→モデル検査」の繰り返しの過程が人的操作で行われる場合、ヒューマンエラーが内在し、網羅性を確保できないことが懸念される。
本開示の少なくとも一実施形態は、作業時間の短縮をしつつヒューマンエラーを抑制することができる検証処理装置、検証方法及びプログラムを提供することを目的とする。
本開示の一態様に係る検証処理装置は、検査対象モデルに対するモデル検査により、不安全事象に至る過程で状態が変化した要素を抽出する検査処理部と、前記抽出された要素のそれぞれについて、当該要素が不安全事象の発生に寄与する要素か否かを判定しながら不安全事象の原因となる要素である原因要素を絞り込む絞込処理部と、複数の前記原因要素から少なくとも一つの原因要素の選択をオペレータから受け付ける受付部と、を備える。前記検査処理部は、前記選択された原因要素について所定の対策が施された新たな検査対象モデルである改善検査対象モデルについて再度のモデル検査を行う。
本開示の一態様に係る検証方法は、検査対象モデルに対するモデル検査により、不安全事象に至る過程で状態が変化した要素を抽出するステップと、前記抽出された要素のそれぞれについて、当該要素が不安全事象の発生に寄与する要素か否かを判定しながら不安全事象の原因となる要素である原因要素を絞り込むステップと、複数の前記原因要素から少なくとも一つの原因要素の選択をオペレータから受け付けるステップと、前記選択された原因要素について所定の対策が施された新たな検査対象モデルである改善検査対象モデルについて再度のモデル検査を行うステップと、を有する。
本開示の一態様に係るプログラムは、検証処理装置のコンピュータに、検査対象モデルに対するモデル検査により、不安全事象に至る過程で状態が変化した要素を抽出するステップと、前記抽出された要素のそれぞれについて、当該要素が不安全事象の発生に寄与する要素か否かを判定しながら不安全事象の原因となる要素である原因要素を絞り込むステップと、複数の前記原因要素から少なくとも一つの原因要素の選択をオペレータから受け付けるステップと、前記選択された原因要素について所定の対策が施された新たな検査対象モデルである改善検査対象モデルについて再度のモデル検査を行うステップと、を実行させる。
上述の各態様によれば、作業時間の短縮をしつつヒューマンエラーを抑制することができる。
＜第１の実施形態＞
以下、第１の実施形態に係る検証処理装置について、図１～図６を参照しながら説明する。
以下、第１の実施形態に係る検証処理装置について、図１～図６を参照しながら説明する。
（検証処理装置の構成）
図１は、第１の実施形態に係る検証処理装置の構成を示す図である。
図２は、第１の実施形態に係る検証処理装置のＣＰＵの機能構成を示す図である。
図１は、第１の実施形態に係る検証処理装置の構成を示す図である。
図２は、第１の実施形態に係る検証処理装置のＣＰＵの機能構成を示す図である。
図１に示すように、検証処理装置１は、ＣＰＵ１０と、メモリ１１と、ディスプレイ１２と、入力デバイス１３と、ストレージ１４とを備え、一般的なコンピュータとして構成されている。
メモリ１１は、いわゆる主記憶装置であって、ＣＰＵ１０がプログラムに基づいて動作するための命令及びデータが展開される。
ディスプレイ１２は、情報を視認可能に表示する表示デバイスであって、例えば、液晶ディスプレイや有機ＥＬディスプレイなどであってよい。
入力デバイス１３は、検証処理装置１の使用者の操作を受け付ける入力デバイスであって、例えば、一般的なマウス、キーボード、タッチセンサなどであってよい。
ストレージ１４は、いわゆる補助記憶装置であって、例えば、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）等であってよい。ストレージ１４には、例えば、検査対象とするリレー回路を示す検査対象モデルＭＯＤなどが記録される。
ＣＰＵ１０は、検証処理装置１の動作全体の制御を司るプロセッサである。本実施形態に係るＣＰＵ１０は、図２に示すように、検査処理部１００、選択部１０１、絞込処理部１０３（選択部１０１および再構築部１０２）、受付部１０４、表示処理部１０５としての機能を発揮する。
検査処理部１００は、検査対象モデルＭＯＤに対してモデル検査を実施し、不安全事象に至る過程で状態が変化した要素を抽出する。
ここで実施されるモデル検査とは、ＢＤＤ（Binary Decision Diagram）などにより検査対象モデルが取り得る全状態を論理式で表現することで、不安全事象に至る状態遷移の組み合わせ（パス）がないかどうかを網羅的に検査するものである。本実施形態において実施されるモデル検査のアルゴリズムは、一般によく知られているものであってよい。
検査対象モデルＭＯＤとは、検査対象とするシステム（例えば、鉄道の保安システム）の動作ロジックが規定されたプログラムであり、モデル検査では、ここで規定された動作ロジックにしたがって、システムの網羅的な動作検証が実施される。
また、不安全事象とは、検査対象とするシステムがいかなる場合であっても遷移してはならない状態として定義される状態である。例えば、鉄道の保安システムにおいては、“車両の自動運転制御中に非常ブレーキが効かない状態”、あるいは、“車両が踏切を走行しているにもかかわらず遮断機が下りていない状態”などが不安全事象として定義される。このような不安全事象として定義した状態（決して到達してはいけない状態）は「検査式」とも呼ばれる。通常、不安全事象（検査式）は、一つのモデルについて複数種類定義され、モデル検査による動作検証は不安全事象（検査式）ごとに行われる。
網羅的な検査の結果、ある不安全事象に到達した場合、その過程において状態が変化した（ＦＡＬＳＥからＴＲＵＥになった、或いは、ＴＲＵＥからＦＡＬＳＥになった）要素は、不安全事象の発生に寄与した可能性がある要素として抽出される。ただし、モデル検査は、反例（不安全事象に到達するパス）を一つでも見つけて、単に「不安全事象に到達するパスが存在する」という事実を証明するものであるから、ここで抽出された要素全てが不安全事象の発生に寄与した要素（クリティカルな要素）であるというわけではない。つまり、モデル検査によって抽出された要素の中には、たまたま値が変化しただけで、本質的には不安全事象の発生に寄与していない要素も含んでいる。
ここで実施されるモデル検査とは、ＢＤＤ（Binary Decision Diagram）などにより検査対象モデルが取り得る全状態を論理式で表現することで、不安全事象に至る状態遷移の組み合わせ（パス）がないかどうかを網羅的に検査するものである。本実施形態において実施されるモデル検査のアルゴリズムは、一般によく知られているものであってよい。
検査対象モデルＭＯＤとは、検査対象とするシステム（例えば、鉄道の保安システム）の動作ロジックが規定されたプログラムであり、モデル検査では、ここで規定された動作ロジックにしたがって、システムの網羅的な動作検証が実施される。
また、不安全事象とは、検査対象とするシステムがいかなる場合であっても遷移してはならない状態として定義される状態である。例えば、鉄道の保安システムにおいては、“車両の自動運転制御中に非常ブレーキが効かない状態”、あるいは、“車両が踏切を走行しているにもかかわらず遮断機が下りていない状態”などが不安全事象として定義される。このような不安全事象として定義した状態（決して到達してはいけない状態）は「検査式」とも呼ばれる。通常、不安全事象（検査式）は、一つのモデルについて複数種類定義され、モデル検査による動作検証は不安全事象（検査式）ごとに行われる。
網羅的な検査の結果、ある不安全事象に到達した場合、その過程において状態が変化した（ＦＡＬＳＥからＴＲＵＥになった、或いは、ＴＲＵＥからＦＡＬＳＥになった）要素は、不安全事象の発生に寄与した可能性がある要素として抽出される。ただし、モデル検査は、反例（不安全事象に到達するパス）を一つでも見つけて、単に「不安全事象に到達するパスが存在する」という事実を証明するものであるから、ここで抽出された要素全てが不安全事象の発生に寄与した要素（クリティカルな要素）であるというわけではない。つまり、モデル検査によって抽出された要素の中には、たまたま値が変化しただけで、本質的には不安全事象の発生に寄与していない要素も含んでいる。
選択部１０１は、検査処理部１００によって実施されたモデル検査の結果に基づき、不安全事象に至る過程で状態が変化した要素の中から一つの要素を選択する。「要素」とは、検査対象モデルＭＯＤの動作ロジック及び状態を規定する最小単位であって、例えば、保安システムのリレー回路に実装されている信号線や回路素子などである。後述するように、「要素」には、現実のリレー回路に実装されている信号線や回路素子の動作そのものを模擬するものの他、不具合発生時におけるリレー回路の動作を模擬するために規定された仮想の素子をも含む。
再構築部１０２は、本実施形態で実施されるモデル検査の過程において、所定の条件に従い、検査対象モデルＭＯＤを再構築する。
上述した選択部１０１および再構築部１０２は、モデル検査の結果、抽出された要素のそれぞれについて、当該要素が不安全事象の発生に寄与する要素か否かを判定しながら不安全事象の原因となる要素（以下、原因要素とも記載する。）を絞り込む絞込処理部１０３として機能する。
受付部１０４は、絞込処理部１０３によって特定された複数の原因要素から、少なくとも一つの原因要素の選択をオペレータから受け付ける。
この場合、再構築部１０２は、オペレータによって選択された原因要素について所定の対策が施された新たな検査対象モデル（以下、改善検査対象モデルとも記載する。）を構築する。そして、検査処理部１００は、この改善検査対象モデルについて再度のモデル検査を行う。
この場合、再構築部１０２は、オペレータによって選択された原因要素について所定の対策が施された新たな検査対象モデル（以下、改善検査対象モデルとも記載する。）を構築する。そして、検査処理部１００は、この改善検査対象モデルについて再度のモデル検査を行う。
表示処理部１０５は、オペレータによって選択された原因要素、および、検査処理部１００、絞込処理部１０３による再度のモデル検査の結果の履歴をディスプレイ１２に表示させる。
（検査対象モデルの例）
図３は、第１の実施形態に係る検査対象モデルの例を示す図である。
図３に示す検査対象モデルＭＯＤは、鉄道の保安システムを構成するリレー回路の動作ロジックを模擬する。
図３に示す配線Ｖ及び配線Ｇは、それぞれ、電源線及び接地線（グラウンド）である。また、要素Ａ１、Ａ２、・・はリレースイッチであり、通電に応じてＯＦＦ状態またはＯＮ状態に遷移する（０（ＦＡＬＳＥ）＝ＯＦＦ／１（ＴＲＵＥ）＝ＯＮ）。また、要素Ｘ１、Ｘ２、・・は、マニュアルスイッチであり、人の操作によってＯＦＦ状態またはＯＮ状態に遷移する（０＝ＯＦＦ／１＝ＯＮ）。
要素Ｅ１、Ｅ２、・・は、各信号線で発生し得る不具合（断線及び混触）を再現するために規定された仮想素子である。例えば、配線Ｖ（電源線）と要素Ｘ１（マニュアルスイッチ）とを結ぶ信号線上には、要素Ｅ１が規定されている。この要素Ｅ１は、当該信号線における不具合の一つとして“断線の発生”を再現する（０＝断線／１＝非断線）。また、要素Ｘ１と要素Ｘ２（マニュアルスイッチ）とを結ぶ信号線上には、２つの要素Ｅ２、Ｅ３が規定されている。このうち、要素Ｅ２は、当該信号線における“断線の発生”を再現し（０＝断線／１＝非断線）、要素Ｅ３は、当該信号線における“電源線との混触の発生”を再現する（０＝非混触／１＝混触）。同様に、要素Ｘ２と要素Ａ１（リレースイッチ）とを結ぶ信号線上には、２つの要素Ｅ４、Ｅ５が規定されている。このうち、要素Ｅ４は、当該信号線における“断線の発生”を再現し（０＝断線／１＝非断線）、要素Ｅ５は、当該信号線における“電源線との混触の発生”を再現する（０＝非混触／１＝混触）。
図３は、第１の実施形態に係る検査対象モデルの例を示す図である。
図３に示す検査対象モデルＭＯＤは、鉄道の保安システムを構成するリレー回路の動作ロジックを模擬する。
図３に示す配線Ｖ及び配線Ｇは、それぞれ、電源線及び接地線（グラウンド）である。また、要素Ａ１、Ａ２、・・はリレースイッチであり、通電に応じてＯＦＦ状態またはＯＮ状態に遷移する（０（ＦＡＬＳＥ）＝ＯＦＦ／１（ＴＲＵＥ）＝ＯＮ）。また、要素Ｘ１、Ｘ２、・・は、マニュアルスイッチであり、人の操作によってＯＦＦ状態またはＯＮ状態に遷移する（０＝ＯＦＦ／１＝ＯＮ）。
要素Ｅ１、Ｅ２、・・は、各信号線で発生し得る不具合（断線及び混触）を再現するために規定された仮想素子である。例えば、配線Ｖ（電源線）と要素Ｘ１（マニュアルスイッチ）とを結ぶ信号線上には、要素Ｅ１が規定されている。この要素Ｅ１は、当該信号線における不具合の一つとして“断線の発生”を再現する（０＝断線／１＝非断線）。また、要素Ｘ１と要素Ｘ２（マニュアルスイッチ）とを結ぶ信号線上には、２つの要素Ｅ２、Ｅ３が規定されている。このうち、要素Ｅ２は、当該信号線における“断線の発生”を再現し（０＝断線／１＝非断線）、要素Ｅ３は、当該信号線における“電源線との混触の発生”を再現する（０＝非混触／１＝混触）。同様に、要素Ｘ２と要素Ａ１（リレースイッチ）とを結ぶ信号線上には、２つの要素Ｅ４、Ｅ５が規定されている。このうち、要素Ｅ４は、当該信号線における“断線の発生”を再現し（０＝断線／１＝非断線）、要素Ｅ５は、当該信号線における“電源線との混触の発生”を再現する（０＝非混触／１＝混触）。
実際の検査対象モデルＭＯＤは、論理式（言語）によって記述される。例えば、要素Ａ１（リレースイッチ）に関しては、マニュアルスイッチＸ１、Ｘ２の他、各信号線に生じ得る不具合（断線、混触）を加味して、式（１）のように記述される。
Ａ１＝（Ｅ１＆Ｘ１＆Ｅ２＆Ｘ２＆Ｅ４）ｏｒ（Ｅ３＆Ｘ２＆Ｅ４）ｏｒ（Ｅ５）・・・（１）
他の要素についても同様の論理式によって記述される。
なお、式（１）は、要素Ａ１（リレースイッチ）自身に不具合が発生していない場合における要素Ａ１の状態遷移を規定するものである。現実には、要素Ａ１自身にも不具合が発生する可能性があるため、検査対象モデルＭＯＤは、要素Ａ１が式（１）の論理式にかかわらずＯＦＦ状態又はＯＮ状態に遷移する遷移パターンをも含む。他の要素Ａ２、Ａ３、・・等についても同様である。
また、マニュアルスイッチである要素Ｘ１、Ｘ２、・・は、人の操作に従って状態遷移する要素であるため、モデル検査においては、不具合の発生を規定する要素Ｅ１、Ｅ２、・・と同様に、あらゆるタイミングで同時多発的かつ非同期的な状態遷移が起こり得るものとして規定される。
また、マニュアルスイッチである要素Ｘ１、Ｘ２、・・は、人の操作に従って状態遷移する要素であるため、モデル検査においては、不具合の発生を規定する要素Ｅ１、Ｅ２、・・と同様に、あらゆるタイミングで同時多発的かつ非同期的な状態遷移が起こり得るものとして規定される。
（検証処理装置の処理フロー）
図４は、第１の実施形態に係る検証処理装置の処理フローを示す図である。
図５及び図６は、第１の実施形態に係る検証処理装置の動作を詳細に説明するための図である。
図４に示す処理フローは、検査対象モデルＭＯＤに対するモデル検査の一連の処理の流れを示しており、特に、検査処理部１００によって抽出された要素から、更に、不安全事象の発生に寄与する要素（原因要素）を絞り込むための処理（絞込処理部１０３による処理）の流れを示している。
図４は、第１の実施形態に係る検証処理装置の処理フローを示す図である。
図５及び図６は、第１の実施形態に係る検証処理装置の動作を詳細に説明するための図である。
図４に示す処理フローは、検査対象モデルＭＯＤに対するモデル検査の一連の処理の流れを示しており、特に、検査処理部１００によって抽出された要素から、更に、不安全事象の発生に寄与する要素（原因要素）を絞り込むための処理（絞込処理部１０３による処理）の流れを示している。
まず、ＣＰＵ１０の検査処理部１００は、検査対象モデルＭＯＤに対して通常モデル検査を行う（ステップＳ０１）。ステップＳ０１にて実施されるモデル検査について、図５に示す状態遷移図を用いて説明する。
図５に示す複数の状態ＳＴｘは、それぞれ、図３で示した検査対象モデルＭＯＤの状態を示している。検査対象モデルＭＯＤの各状態は、当該検査対象モデルＭＯＤに含まれる要素Ａ１、Ａ２、・・、Ｘ１、Ｘ２、・・、Ｅ１、Ｅ２、・・の各々の状態（０／１）の組み合わせで規定される。このうち、状態ＳＴ１は検査対象モデルＭＯＤ（即ち、保安システム）の初期状態である。検査処理部１００は、検査対象モデルＭＯＤで規定される論理式（式（１）参照）にしたがい、不安全事象（状態ＳＴ２）から初期状態（状態ＳＴ１）に到達する状態遷移が存在するかを網羅的に検証する。不安全事象（状態ＳＴ２）は、例えば、検査対象モデルＭＯＤに含まれる他の要素Ｓ１、Ｔ１、Ｕ１についての論理式（Ｓ１＆Ｔ１＆Ｕ１＝ＴＲＵＥ）を含む状態として規定される。
図５に示す複数の状態ＳＴｘは、それぞれ、図３で示した検査対象モデルＭＯＤの状態を示している。検査対象モデルＭＯＤの各状態は、当該検査対象モデルＭＯＤに含まれる要素Ａ１、Ａ２、・・、Ｘ１、Ｘ２、・・、Ｅ１、Ｅ２、・・の各々の状態（０／１）の組み合わせで規定される。このうち、状態ＳＴ１は検査対象モデルＭＯＤ（即ち、保安システム）の初期状態である。検査処理部１００は、検査対象モデルＭＯＤで規定される論理式（式（１）参照）にしたがい、不安全事象（状態ＳＴ２）から初期状態（状態ＳＴ１）に到達する状態遷移が存在するかを網羅的に検証する。不安全事象（状態ＳＴ２）は、例えば、検査対象モデルＭＯＤに含まれる他の要素Ｓ１、Ｔ１、Ｕ１についての論理式（Ｓ１＆Ｔ１＆Ｕ１＝ＴＲＵＥ）を含む状態として規定される。
不安全事象（状態ＳＴ２）から初期状態（状態ＳＴ１）に到達するパスが存在する場合、検査処理部１００は、当該不安全事象に到達した過程において不具合が発生した要素を抽出し、不具合リストを作成する（ステップＳ０２）。ステップＳ０２にて作成される不具合リストの例を図６に示す。
検査処理部１００は、初期状態（状態ＳＴ１）から無作為に状態遷移を繰り返した結果、不安全事象（状態ＳＴ２）に至った場合に、当該不安全事象に至った過程において状態が変化した要素（つまり、不具合が発生した要素）をリストアップする。そして、検査処理部１００は、図６に示すような不具合リストＬを作成する。
図６に例示される不具合リストでは、状態ＳＴ１から状態ＳＴ２までの各遷移ステップで状態遷移が発生した要素の一覧と、各要素が何ステップ目にどのような値に遷移したかが示される。例えば、図６に示す不具合リストＬには、初期状態から第６ステップ目の状態遷移で不安全事象（検査式：Ｓ１＆Ｔ１＆Ｕ１＝ＴＲＵＥ）に至ったことが示されている。また、不具合リストＬによれば、要素Ｘ１は、不安全事象に至る過程において、４ステップ目にＦＡＬＳＥからＴＲＵＥに遷移し、５ステップ目にＴＲＵＥからＦＡＬＳＥに遷移したことが読み取れる。
しかしながら、ステップＳ０２で示される不具合リストＬは、無作為な状態遷移を繰り返した結果、初期状態から不安全事象（Ｓ１＆Ｔ１＆Ｕ１＝ＴＲＵＥ）に行きつく過程においてたまたま状態遷移が起こった要素をリストアップしたものにすぎない。したがって、不具合リストＬにリストアップされた各要素には、不安全事象に至ったことに直接的に寄与していない要素が含まれることが推察される。そこで、本実施形態に係る絞込処理部１０３は、更に、以下のステップＳ０３～ステップＳ０８の処理を実行する。
具体的には、ＣＰＵ１０の選択部１０１（絞込処理部１０３）は、リストアップされた要素のうちの一つを選択する（ステップＳ０３）。簡単な例として、不具合リストＬにリストアップされた要素が（Ｅ１、Ｅ２、Ｅ３、Ｘ１、Ｘ２）の５つであった場合、選択部１０１は、例えば、そのうちの一つとして要素Ｅ１を選択する。
次に、ＣＰＵ１０の再構築部１０２（絞込処理部１０３）は、検査対象モデルＭＯＤから、ステップＳ０３で選択された要素を除いたモデルを作成（再構築）する（ステップＳ０４）。以下、ステップＳ０４で作成されたモデルを「再構築モデル」とも記載する。例えば、ステップＳ０３で要素Ｅ１が選択されたとき、再構築部１０２は、もともとの検査対象モデルＭＯＤから要素Ｅ１を除外した再構築モデルを作成する。
次に、検査処理部１００は、ステップＳ０４で作成された再構築モデルに対し、再度のモデル検査を実施する（ステップＳ０５）。上記の例では、この再構築モデルには要素Ｅ１が含まれていない。したがって、ステップＳ０５で実施されるモデル検査では、配線Ｖ（電源線、図３参照）と要素Ｘ１（マニュアルスイッチ、図３参照）とを結ぶ信号線上における“断線の発生”は考慮されない。
検査処理部１００は、ステップＳ０５で再度実施されたモデル検査の結果を出力し、最初のモデル検査（ステップＳ０１）にて発生した不安全事象と同一の不安全事象（Ｓ１＆Ｔ１＆Ｕ１＝ＴＲＵＥ）が発生するか否かを判定する（ステップＳ０６）。
同一の不安全事象が発生しなかった場合（ステップＳ０６；ＮＯ）、ステップＳ０３で選択された要素が除外された結果、不安全事象が発生しなくなったのであるから、当該除外された要素は、不安全事象の発生に寄与する、クリティカルな要素であるといえる。したがって、この場合、再構築部１０２は、ステップＳ０３で選択された要素を検査対象モデルＭＯＤに戻す（ステップＳ０７）。
他方、同一の不安全事象が発生した場合（ステップＳ０６；ＹＥＳ）、ステップＳ０３で選択された要素が除外されたにもかかわらず、依然として不安全事象が発生したのであるから、当該除外された要素は、不安全事象の発生には寄与しない（クリティカルではない）要素といえる。このような要素は、反例解釈の際には除外されていることが望ましいから、再構築部１０２は、ステップＳ０３で選択された要素を検査対象モデルＭＯＤに戻すことなく次のステップに移行する。
同一の不安全事象が発生しなかった場合（ステップＳ０６；ＮＯ）、ステップＳ０３で選択された要素が除外された結果、不安全事象が発生しなくなったのであるから、当該除外された要素は、不安全事象の発生に寄与する、クリティカルな要素であるといえる。したがって、この場合、再構築部１０２は、ステップＳ０３で選択された要素を検査対象モデルＭＯＤに戻す（ステップＳ０７）。
他方、同一の不安全事象が発生した場合（ステップＳ０６；ＹＥＳ）、ステップＳ０３で選択された要素が除外されたにもかかわらず、依然として不安全事象が発生したのであるから、当該除外された要素は、不安全事象の発生には寄与しない（クリティカルではない）要素といえる。このような要素は、反例解釈の際には除外されていることが望ましいから、再構築部１０２は、ステップＳ０３で選択された要素を検査対象モデルＭＯＤに戻すことなく次のステップに移行する。
次に、選択部１０１は、ステップＳ０２の不具合リストＬでリストアップされた全ての要素を選択したか否かを判定する（ステップＳ０８）。全ての要素が選択されていない場合（ステップＳ０８；ＮＯ）、選択部１０１はステップＳ０３に戻り、前回のステップＳ０３とは異なる要素を一つ選択する。そして、再構築部１０２及び検査処理部１００は、ステップＳ０４～ステップＳ０７の処理を繰り返す。
全ての要素が選択されていた場合（ステップＳ０８；ＹＥＳ）、選択部１０１は、不具合リストＬにリストアップされた要素のうち、検査対象モデルＭＯＤに残った要素を出力する（ステップＳ０９）。
全ての要素が選択されていた場合（ステップＳ０８；ＹＥＳ）、選択部１０１は、不具合リストＬにリストアップされた要素のうち、検査対象モデルＭＯＤに残った要素を出力する（ステップＳ０９）。
例えば、ステップＳ０２の不具合リストＬにリストアップされた要素（Ｅ１、Ｅ２、Ｅ３、Ｘ１、Ｘ２）のうち、ステップＳ０３からステップＳ０８までの処理を経て、要素（Ｅ１、Ｅ２、Ｘ１）がクリティカルな要素ではなく除外されたとすると、絞り込まれて残った要素（Ｅ３、Ｘ２）がステップＳ０９で出力される。
（検証処理装置を用いた検証処理の流れ）
図７は、第１の実施形態に係る検証処理装置を用いた検証処理の流れを説明するための図である。
また、図８～図１１は、第１の実施形態に係る検証処理装置のディスプレイに表示される表示画面の例を示す図である。
次に、図７～図１１を参照しながら、オペレータによる、第１の実施形態に係る検証処理装置１を用いた検証処理の流れについて説明する。
まず、オペレータは、検査対象とするシステム（鉄道の保安システム）の検査対象モデルＭＯＤ（図３参照）を作成する（ステップＳ１０）。この例では、検査対象モデルＭＯＤは、１０００個の要素（変数）を有しているものとする。オペレータは、作成した検査対象モデルＭＯＤを検証処理装置１に入力する。
図７は、第１の実施形態に係る検証処理装置を用いた検証処理の流れを説明するための図である。
また、図８～図１１は、第１の実施形態に係る検証処理装置のディスプレイに表示される表示画面の例を示す図である。
次に、図７～図１１を参照しながら、オペレータによる、第１の実施形態に係る検証処理装置１を用いた検証処理の流れについて説明する。
まず、オペレータは、検査対象とするシステム（鉄道の保安システム）の検査対象モデルＭＯＤ（図３参照）を作成する（ステップＳ１０）。この例では、検査対象モデルＭＯＤは、１０００個の要素（変数）を有しているものとする。オペレータは、作成した検査対象モデルＭＯＤを検証処理装置１に入力する。
次に、オペレータは、検証処理装置１を操作して、検査対象モデルＭＯＤに対するモデル検査を行う。ここで、検証処理装置１のＣＰＵ１０（検査処理部１００）は、検査対象モデルＭＯＤに対するモデル検査を実行する（ステップＳ１１）。検証処理装置１によるステップＳ１１の処理は、図４のステップＳ０１～ステップＳ０２の処理に対応する。モデル検査の結果、検証処理装置１は、１０００個の要素（変数）から、例えば３００個の要素を抽出し、不具合リスト（図６参照）を作成する。上述した通り、この３００個の要素の中には、実際には不安全事象の発生に寄与しない要素も含まれている。
検証処理装置１のＣＰＵ１０（絞込処理部１０３）は、モデル検査（ステップＳ１１）にて抽出された３００個の要素に対し、絞り込み処理を実行する（ステップＳ１２）。検証処理装置１によるステップＳ１２の処理は、図４のステップＳ０３～ステップＳ０９の処理に対応する。この絞り込み処理により、検証処理装置１は、３００個の要素の中から、例えば１０個の原因要素を特定できたものとする。
検証処理装置１のＣＰＵ１０（表示処理部１０５）は、ステップＳ１１～ステップＳ１２を経て特定した１０個の原因要素をディスプレイ１２に出力（表示）する（ステップＳ１３）。
この段階でディスプレイ１２に表示される表示画面の例について図８を参照しながら説明する。
この段階で、ディスプレイ１２には、図８に示すような表示画面Ｄが表示される。
図８に示すように、表示画面Ｄの「ｓｔｅｐ」の欄には、１回目のモデル検査および絞り込み処理によって特定された原因要素であることを示す番号“１”が付される。“ｓｔｅｐ１”の行の表示画面Ｄの「原因要素」の欄には、１０個に絞り込まれた原因要素（Ｅ１、Ｅ３、・・・）が表示される。
また、表示画面Ｄには、チェックボックスＣＢ１、対策ボタンＡＦ、戻りボタンＡＢ、及び、実行ボタンＥが表示されている。これらのチェックボックス、各種ボタンについては後述する。
この段階で、ディスプレイ１２には、図８に示すような表示画面Ｄが表示される。
図８に示すように、表示画面Ｄの「ｓｔｅｐ」の欄には、１回目のモデル検査および絞り込み処理によって特定された原因要素であることを示す番号“１”が付される。“ｓｔｅｐ１”の行の表示画面Ｄの「原因要素」の欄には、１０個に絞り込まれた原因要素（Ｅ１、Ｅ３、・・・）が表示される。
また、表示画面Ｄには、チェックボックスＣＢ１、対策ボタンＡＦ、戻りボタンＡＢ、及び、実行ボタンＥが表示されている。これらのチェックボックス、各種ボタンについては後述する。
図７に戻り、次に、オペレータは、表示された１０個の原因要素について、回路図面等を確認しながら解釈、対策を検討する（ステップＳＨ）。そして、オペレータは、対策を施そうとする原因要素の一つを選択し、検証処理装置１に入力する。検証処理装置１のＣＰＵ１０（受付部１０４）は、オペレータからの入力を受け付ける。
この段階でディスプレイ１２に表示される表示画面の例について図９を参照しながら説明する。
オペレータは、対策を施そうとする原因要素（例えば、要素Ｅ１）のチェックボックスＣＢ１をクリックしてチェックを有効にする。続いて、オペレータは、対策ボタンＡＦをクリックする。そうすると、“ｓｔｅｐ１”の行の「対策」の欄に、チェックが有効とされた原因要素（要素Ｅ１）が表示される。この欄に表示された原因要素は、適切な対策が施されたという想定のもと、次回のモデル検査において固定値（不具合が発生しない要素）として扱われる。本実施形態においては、この欄に表示された要素は、例えば、ＴＲＵＥに固定された固定値として扱われるものとする。
なお、「対策」の欄に表示した原因要素を同欄から除外したい場合、オペレータは、「対策」の欄に表示された要素Ｅ１のチェックボックスを有効にし、戻りボタンＡＢをクリックすればよい。
また、上記の例では、オペレータは、一つの原因要素（要素Ｅ１）のみを選択したが、オペレータは、ここで二つ以上の原因要素を選択してもよい。
オペレータは、対策を施そうとする原因要素（例えば、要素Ｅ１）のチェックボックスＣＢ１をクリックしてチェックを有効にする。続いて、オペレータは、対策ボタンＡＦをクリックする。そうすると、“ｓｔｅｐ１”の行の「対策」の欄に、チェックが有効とされた原因要素（要素Ｅ１）が表示される。この欄に表示された原因要素は、適切な対策が施されたという想定のもと、次回のモデル検査において固定値（不具合が発生しない要素）として扱われる。本実施形態においては、この欄に表示された要素は、例えば、ＴＲＵＥに固定された固定値として扱われるものとする。
なお、「対策」の欄に表示した原因要素を同欄から除外したい場合、オペレータは、「対策」の欄に表示された要素Ｅ１のチェックボックスを有効にし、戻りボタンＡＢをクリックすればよい。
また、上記の例では、オペレータは、一つの原因要素（要素Ｅ１）のみを選択したが、オペレータは、ここで二つ以上の原因要素を選択してもよい。
続いて、オペレータは、“ｓｔｅｐ１”の行の「コメント」の欄に、要素Ｅ１に対し、実際に施すべき対策内容（例えば、「〇〇素子を追加して冗長化する。」、「〇〇素子を××素子に変更する。」など）を記入する。この欄は、オペレータによって、テキスト形式で自由に記入できるものとする。
原因要素の選択、および、コメントの欄の記入が完了すると、オペレータは、実行ボタンＥをクリックする。
原因要素の選択、および、コメントの欄の記入が完了すると、オペレータは、実行ボタンＥをクリックする。
図７に戻り、オペレータによって実行ボタンＥがクリックされた後の処理について説明する。
検証処理装置１のＣＰＵ１０（再構築部１０２）は、最初に入力された検査対象モデルＭＯＤを基準にして、改善検査対象モデルを自動作成する（ステップＳ２０）。具体的には、この改善検査対象モデルは、ステップＳＨでオペレータに選択された原因要素（要素Ｅ１）について適切な対策が施されたと想定されるシステムの動作を模した検査対象モデルである。すなわち、この例においては、改善検査対象モデルは、オペレータに選択された原因要素である要素Ｅ１がＴＲＵＥの固定値として扱われることとなった検査対象モデルである。改善検査対象モデルは、固定値とみなされた要素Ｅ１を除く９９９個の要素を含む。
続いて、検証処理装置１のＣＰＵ１０（検査処理部１００）は、ステップＳ２０で作成された改善検査対象モデルについてのモデル検査を行う（ステップＳ２１）。改善検査対象モデルにおいて、要素Ｅ１はＴＲＵＥの固定値であるため、このモデル検査では要素Ｅ１がＴＲＵＥからＦＡＬＳＥに遷移するパスは検証されない。この要素Ｅ１が不安全事象を発生させる大きな原因となっていた場合は、２回目のモデル検査で抽出される要素の数が大幅に低減されることもある。ここでは、モデル検査の結果、依然として不安全事象に至るパス（反例）は見つかったものの、当該モデル検査にて抽出された要素の数を２００個に減らせたものとする。
さらに、検証処理装置１のＣＰＵ１０（絞込処理部１０３）は、モデル検査（ステップＳ２１）によって抽出された２００個の要素に対し、ステップＳ１２と同様の絞り込み処理を実行する（ステップＳ２２）。この絞り込み処理により、検証処理装置１は、２００個の要素の中から５個の原因要素を特定できたものとする。
検証処理装置１のＣＰＵ１０（表示処理部１０５）は、ステップＳ２０～ステップＳ２２を経て特定した５個の原因要素をディスプレイ１２に出力（表示）する（ステップＳ２３）。
この段階でディスプレイ１２に表示される表示画面の例について図１０を参照しながら説明する。
この段階で、ディスプレイ１２には、図１０に示すような表示画面Ｄが表示される。
図１０に示すように、“ｓｔｅｐ１”の「結果」の欄には、不安全事象に到達した反例があったことを示すＦＡＬＳＥが表示される。
そして、“ｓｔｅｐ２”の行が新たに作成される。“ｓｔｅｐ２”の行の「原因要素」の欄には、ステップＳ２１～ステップＳ２２の処理で特定された５個の原因要素（Ｅ４、Ｅ５、・・・）が表示される。
この段階で、ディスプレイ１２には、図１０に示すような表示画面Ｄが表示される。
図１０に示すように、“ｓｔｅｐ１”の「結果」の欄には、不安全事象に到達した反例があったことを示すＦＡＬＳＥが表示される。
そして、“ｓｔｅｐ２”の行が新たに作成される。“ｓｔｅｐ２”の行の「原因要素」の欄には、ステップＳ２１～ステップＳ２２の処理で特定された５個の原因要素（Ｅ４、Ｅ５、・・・）が表示される。
図７に戻り、オペレータは、表示された５個の原因要素について、再度、回路図面等を確認しながら解釈、対策を検討する（ステップＳＨ）。そして、オペレータは、対策を施そうとする原因要素の一つを選択し、検証処理装置１に入力する。検証処理装置１のＣＰＵ１０（受付部１０４）は、オペレータからの入力を受け付ける。
この段階でディスプレイ１２に表示される表示画面の例について図１１を参照しながら説明する。
オペレータは、“ｓｔｅｐ２”の行において、更なる対策を施そうとする原因要素（例えば、要素Ｅ４）のチェックボックスＣＢ１をクリックしてチェックを有効にする。続いて、オペレータは、対策ボタンＡＦをクリックする。そうすると、“ｓｔｅｐ２”の行の「対策」の欄に、チェックされた原因要素（要素Ｅ４）が表示される。“ｓｔｅｐ１”の行の要素Ｅ１と同様に、この欄に表示された要素Ｅ４は、ＴＲＵＥに固定された固定値として扱われるものとする。
オペレータは、“ｓｔｅｐ２”の行において、更なる対策を施そうとする原因要素（例えば、要素Ｅ４）のチェックボックスＣＢ１をクリックしてチェックを有効にする。続いて、オペレータは、対策ボタンＡＦをクリックする。そうすると、“ｓｔｅｐ２”の行の「対策」の欄に、チェックされた原因要素（要素Ｅ４）が表示される。“ｓｔｅｐ１”の行の要素Ｅ１と同様に、この欄に表示された要素Ｅ４は、ＴＲＵＥに固定された固定値として扱われるものとする。
続いて、オペレータは、“ｓｔｅｐ２”の行の「コメント」の欄に、要素Ｅ４に対し、実際に施すべき対策内容を記入する。
原因要素の選択、および、コメントの欄の記入が完了すると、オペレータは、実行ボタンＥをクリックする。
原因要素の選択、および、コメントの欄の記入が完了すると、オペレータは、実行ボタンＥをクリックする。
実行ボタンＥがクリックされると、さらに要素Ｅ４が固定値として扱われることとなった改善検査対象モデルに対し、再び、図７のステップＳ２０～ステップＳ２３の処理が実行される。
この処理の結果、不安全事象に至るパス（反例）が見つからなかった場合には、“ｓｔｅｐ２”の行の「結果」の欄にＴＲＵＥが表示される。不安全事象に至るパス（反例）が見つかった場合には、“ｓｔｅｐ３”の行が追加され、「原因要素」の欄に、新たに特定された原因要素が表示される。このように、ディスプレイ１２には、各ステップで選択された原因要素（対策の対象とする要素）およびその対策内容の履歴が表示される。
この処理の結果、不安全事象に至るパス（反例）が見つからなかった場合には、“ｓｔｅｐ２”の行の「結果」の欄にＴＲＵＥが表示される。不安全事象に至るパス（反例）が見つかった場合には、“ｓｔｅｐ３”の行が追加され、「原因要素」の欄に、新たに特定された原因要素が表示される。このように、ディスプレイ１２には、各ステップで選択された原因要素（対策の対象とする要素）およびその対策内容の履歴が表示される。
オペレータは、ステップＳＨおよびステップＳ２０～ステップＳ２３の処理を、反例がなくなるまで繰り返し行う。
検証処理装置１は、オペレータによる操作に従い、各ステップで選択された原因要素（対策の対象とする要素）と、その対策内容（「コメント」の欄のテキスト）とを示す一覧リストである対策リストを出力する。
検証処理装置１は、オペレータによる操作に従い、各ステップで選択された原因要素（対策の対象とする要素）と、その対策内容（「コメント」の欄のテキスト）とを示す一覧リストである対策リストを出力する。
（作用、効果）
以上のような構成によれば、検証処理装置１は、モデル検査および絞り込み処理によって特定された原因要素から少なくとも一つの原因要素の選択をオペレータから受け付けるとともに、当該選択された原因要素について所定の対策が施された新たな検査対象モデル（改善検査対象モデル）を自動生成し、この改善検査対象モデルについて再度のモデル検査を行う。
このようにすることで、「人による原因究明（解釈、対策）→検査対象モデルの再設定・コーディング→モデル検査の再実行」の繰り返しのプロセスを自動化することができる。したがって、作業時間の短縮を図りながらヒューマンエラーの発生を抑制することができる。
以上のような構成によれば、検証処理装置１は、モデル検査および絞り込み処理によって特定された原因要素から少なくとも一つの原因要素の選択をオペレータから受け付けるとともに、当該選択された原因要素について所定の対策が施された新たな検査対象モデル（改善検査対象モデル）を自動生成し、この改善検査対象モデルについて再度のモデル検査を行う。
このようにすることで、「人による原因究明（解釈、対策）→検査対象モデルの再設定・コーディング→モデル検査の再実行」の繰り返しのプロセスを自動化することができる。したがって、作業時間の短縮を図りながらヒューマンエラーの発生を抑制することができる。
また、第１の実施形態に係る検証処理装置１は、「コメント」の欄を表示して、対策の対象として選択された原因要素に施すべき対策の内容の入力を受け付け可能とする。
このようにすることで、実際のシステムの要素に対し、対策として施すべき具体的内容を紐づけて記録することができる。
このようにすることで、実際のシステムの要素に対し、対策として施すべき具体的内容を紐づけて記録することができる。
また、第１の実施形態に係る検証処理装置１は、表示画面Ｄ（図８～図１１）を通じて、オペレータが選択した原因要素、および、当該再度のモデル検査の結果の履歴を表示させる。
このようにすることで、オペレータは、繰り返しモデル検査を行う過程で、どの要素にどのような対策を施したかを振り返りながら検証を行うことができる。
このようにすることで、オペレータは、繰り返しモデル検査を行う過程で、どの要素にどのような対策を施したかを振り返りながら検証を行うことができる。
（第１の実施形態の変形例）
以上、第１の実施形態に係る検証処理装置１について詳細に説明したが、検証処理装置１の具体的な態様は、上述のものに限定されることはなく、要旨を逸脱しない範囲内において種々の設計変更等を加えることは可能である。
以上、第１の実施形態に係る検証処理装置１について詳細に説明したが、検証処理装置１の具体的な態様は、上述のものに限定されることはなく、要旨を逸脱しない範囲内において種々の設計変更等を加えることは可能である。
第１の実施形態においては、表示画面Ｄ（図８～図１１）の「対策」の欄に表示した原因要素はＴＲＵＥの固定値として扱われるものとして説明したが、他の実施形態においてはこの態様に限られない。例えば、他の実施形態に係る検証処理装置１の表示画面Ｄには、「対策１」と「対策２」の欄を設け、「対策１」の欄に表示された原因要素はＴＲＵＥの固定値として扱われ、「対策２」の欄に表示された原因要素はＦＡＬＳＥの固定値として扱われる態様としてもよい。
また、他の実施形態に係る検証処理装置１は、オペレータが、より複雑な条件（例えば、「要素Ｅ１と要素Ｅ３は同時にＴＲＵＥにならない」など）を設定できるようにしてもよい。この場合、再構築部１０２は、オペレータによって設定された上記条件が満たされるような改善検査対象モデルを自動作成するものとする。
また、他の実施形態に係る検証処理装置１は、オペレータが、より複雑な条件（例えば、「要素Ｅ１と要素Ｅ３は同時にＴＲＵＥにならない」など）を設定できるようにしてもよい。この場合、再構築部１０２は、オペレータによって設定された上記条件が満たされるような改善検査対象モデルを自動作成するものとする。
また、第1の実施形態の変形例に係る検証処理装置１は、更に、操作履歴のレポーティングを自動的に行う機能（レポーティング処理部）を有していてもよい。
即ち、レポーティング処理部は、図７に示した一連の検証に基づき、以下の情報を含むレポートを作成する。
（１）各ステップで抽出された原因要素の組合せ（図８～図１１「原因要素」欄の情報）
（２）（１）に対する対策案(選択した除外デバイス、図８～図１１「対策」欄の情報)とその理由（図８～図１１「コメント」欄の情報）および検査結果（図８～図１１「結果」欄の情報）
（３）本検証で使用した変数の合計
（４）対策前の結果とその対策状況を検査式ごとにまとめた一覧
以上のようなレポーティング機能（レポーティング処理部）を有することで、エビデンス管理が容易になる。
即ち、レポーティング処理部は、図７に示した一連の検証に基づき、以下の情報を含むレポートを作成する。
（１）各ステップで抽出された原因要素の組合せ（図８～図１１「原因要素」欄の情報）
（２）（１）に対する対策案(選択した除外デバイス、図８～図１１「対策」欄の情報)とその理由（図８～図１１「コメント」欄の情報）および検査結果（図８～図１１「結果」欄の情報）
（３）本検証で使用した変数の合計
（４）対策前の結果とその対策状況を検査式ごとにまとめた一覧
以上のようなレポーティング機能（レポーティング処理部）を有することで、エビデンス管理が容易になる。
＜第２の実施形態＞
次に、第２の実施形態に係る検証処理装置について、図１２～図１３を参照しながら説明する。
次に、第２の実施形態に係る検証処理装置について、図１２～図１３を参照しながら説明する。
（検証処理装置を用いた検証処理の流れ）
図１２、図１３は、第２の実施形態に係る検証処理装置のディスプレイに表示される表示画面の例を示す図である。
図１２、図１３は、第２の実施形態に係る検証処理装置のディスプレイに表示される表示画面の例を示す図である。
第２の実施形態に係る検証処理装置１のディスプレイ１２には、図１２、図１３に示すような表示画面Ｄが表示される。具体的には、表示画面Ｄには、各ステップに対応して、チェックボックスＣＢ２が設けられている。また、表示画面Ｄには、流用ボタンＲが表示されている。
図１２に示す表示画面Ｄは、検査対象モデルＭＯＤに対する検証が“ｓｔｅｐ４”まで完了した例を示している。
ここで、オペレータは、有効な対策を見つけるために、どの素子に対策を施すか、試行錯誤を繰り返す必要がある。このような試行錯誤においては、途中の対策実行結果を流用したい場合がある。この例では、オペレータは、試行錯誤の結果、“ｓｔｅｐ２”から検証をやり直したいと考えている。この場合、オペレータは、図１２に示すように、“ｓｔｅｐ２”の行のチェックボックスＣＢ２をクリックしてチェックを有効にし、流用ボタンＲをクリックする。
この場合、検証処理装置１は、現在までに完了した検証結果（“ｓｔｅｐ４”までの結果）を記録して出力（レポーティング）するとともに、元々の検査対象モデルＭＯＤに対し、“ｓｔｅｐ２”までの結果を反映する（図１３参照）。そして、検証処理装置１は、“ｓｔｅｐ２”に続く“ｓｔｅｐ３”において、オペレータによる再度の原因要素の選択を待ち受ける。
ここで、オペレータは、有効な対策を見つけるために、どの素子に対策を施すか、試行錯誤を繰り返す必要がある。このような試行錯誤においては、途中の対策実行結果を流用したい場合がある。この例では、オペレータは、試行錯誤の結果、“ｓｔｅｐ２”から検証をやり直したいと考えている。この場合、オペレータは、図１２に示すように、“ｓｔｅｐ２”の行のチェックボックスＣＢ２をクリックしてチェックを有効にし、流用ボタンＲをクリックする。
この場合、検証処理装置１は、現在までに完了した検証結果（“ｓｔｅｐ４”までの結果）を記録して出力（レポーティング）するとともに、元々の検査対象モデルＭＯＤに対し、“ｓｔｅｐ２”までの結果を反映する（図１３参照）。そして、検証処理装置１は、“ｓｔｅｐ２”に続く“ｓｔｅｐ３”において、オペレータによる再度の原因要素の選択を待ち受ける。
（作用、効果）
以上のような構成によれば、検証処理装置１は、履歴における任意の段階（ステップ）に遡って、再度、原因要素の選択を受け付けることができる。これにより、試行錯誤の中で生じる手戻りを最小限に抑えることができるので、不安全事象（検査式）を満足する対策を導くまでの時間短縮、作業効率化を図ることができる。
以上のような構成によれば、検証処理装置１は、履歴における任意の段階（ステップ）に遡って、再度、原因要素の選択を受け付けることができる。これにより、試行錯誤の中で生じる手戻りを最小限に抑えることができるので、不安全事象（検査式）を満足する対策を導くまでの時間短縮、作業効率化を図ることができる。
＜第３の実施形態＞
次に、第３の実施形態に係る検証処理装置について、図１４、図１５を参照しながら説明する。
次に、第３の実施形態に係る検証処理装置について、図１４、図１５を参照しながら説明する。
（検証処理装置の構成）
図１４は、第３の実施形態に係る検証処理装置のＣＰＵの機能構成を示す図である。
第３の実施形態に係る検証処理装置１は、第１、第２の実施形態に係る検証処理装置１に対し、生成部１０６としての機能を有する点で相違する。
生成部１０６は、ある検査対象モデルについて繰り返し実行されたモデル検査および絞り込み処理において、不安全事象に至らなくなるまでに選択された原因要素の一覧を示す対策リストを生成する。
また、第３の実施形態に係る検査処理部１００は、他の検査対象モデルについて、対策リストに示される原因要素の全てについて所定の対策が施された改善検査対象モデルについてモデル検査を行う。
図１４は、第３の実施形態に係る検証処理装置のＣＰＵの機能構成を示す図である。
第３の実施形態に係る検証処理装置１は、第１、第２の実施形態に係る検証処理装置１に対し、生成部１０６としての機能を有する点で相違する。
生成部１０６は、ある検査対象モデルについて繰り返し実行されたモデル検査および絞り込み処理において、不安全事象に至らなくなるまでに選択された原因要素の一覧を示す対策リストを生成する。
また、第３の実施形態に係る検査処理部１００は、他の検査対象モデルについて、対策リストに示される原因要素の全てについて所定の対策が施された改善検査対象モデルについてモデル検査を行う。
（検証処理装置を用いた検証処理の流れ）
図１５は、第３の実施形態に係る検証処理装置を用いた検証処理の流れを説明するための図である。
図１５では、まずプロジェクトＡのシステムの検査対象モデルについて検証を行った後、その対策が記録された対策リストを、プロジェクトＢの検査対象モデルについての検証に利用する流れを示している。
図１５は、第３の実施形態に係る検証処理装置を用いた検証処理の流れを説明するための図である。
図１５では、まずプロジェクトＡのシステムの検査対象モデルについて検証を行った後、その対策が記録された対策リストを、プロジェクトＢの検査対象モデルについての検証に利用する流れを示している。
具体的には、まず、オペレータは、プロジェクトＡのシステムの検査対象モデルを作成する（ステップＳＡ３１）。
次に、オペレータは、この検査対象モデルについて、モデル検査（および絞り込み処理）、解釈、対策の処理（図７のステップＳ２０～ステップＳ２３およびステップＳＨ）を、反例がなくなるまで繰り返す（ステップＳＡ３２）。
反例がなくなった場合、検証処理装置１のＣＰＵ１０（生成部１０６）は、プロジェクトＡのシステムの検査対象モデルについての対策リストを作成する（ステップＳＡ３３）。対策リストとは、不安全事象に至らなくなるまでに、オペレータによって選択された原因要素および対策内容の一覧（表示画面Ｄ（図８～図１１）における各ステップの「対策」の欄および「コメント」の欄の記載内容）が記録されたリストである。
次に、オペレータは、この検査対象モデルについて、モデル検査（および絞り込み処理）、解釈、対策の処理（図７のステップＳ２０～ステップＳ２３およびステップＳＨ）を、反例がなくなるまで繰り返す（ステップＳＡ３２）。
反例がなくなった場合、検証処理装置１のＣＰＵ１０（生成部１０６）は、プロジェクトＡのシステムの検査対象モデルについての対策リストを作成する（ステップＳＡ３３）。対策リストとは、不安全事象に至らなくなるまでに、オペレータによって選択された原因要素および対策内容の一覧（表示画面Ｄ（図８～図１１）における各ステップの「対策」の欄および「コメント」の欄の記載内容）が記録されたリストである。
次に、プロジェクトＢでは、プロジェクトＡのシステムを改良する（例えば、プロジェクトＡのシステムに新たな機能を追加する）ことを検討する。オペレータは、プロジェクトＢのシステムの検査対象モデルを作成する（ステップＳＢ３１）。
次に、オペレータは、プロジェクトＡのシステムについて作成された対策リストを適用（インポート）する（ステップＳＢ３２）。これにより、検証処理装置１のＣＰＵ１０（再構築部１０２）は、プロジェクトＢのシステムの検査対象モデルを元に、対策リストに示される原因要素の全てが固定値として扱われた改善検査対象モデルを作成する。
検証処理装置１は、この改善検査対象モデルに対してモデル検査を実行し（ステップＳＢ３３）、当該モデル検査の結果、不安全事象が発生するパスが発見されたか否かを判定する（ステップＳＢ３４）。
不安全事象が発生するパスが発見されなかった場合（ステップＳＢ３４）、プロジェクトＢのシステムは、プロジェクトＡのシステムについて施した対策だけで十分であると判断できる。したがって、オペレータは、プロジェクトＢのシステムについて、解釈、対策の処理を行うことなく処理を終了する。
他方、不安全事象が発生するパスが発見された場合（ステップＳＢ３４）、プロジェクトＢのシステムは、プロジェクトＡのシステムについて施した対策だけでは不十分であると判断できる。そこで、オペレータは、プロジェクトＢのシステムについて、改めて図７の処理を実行し、検証および対策を行う（ステップＳＢ３５）。
次に、オペレータは、プロジェクトＡのシステムについて作成された対策リストを適用（インポート）する（ステップＳＢ３２）。これにより、検証処理装置１のＣＰＵ１０（再構築部１０２）は、プロジェクトＢのシステムの検査対象モデルを元に、対策リストに示される原因要素の全てが固定値として扱われた改善検査対象モデルを作成する。
検証処理装置１は、この改善検査対象モデルに対してモデル検査を実行し（ステップＳＢ３３）、当該モデル検査の結果、不安全事象が発生するパスが発見されたか否かを判定する（ステップＳＢ３４）。
不安全事象が発生するパスが発見されなかった場合（ステップＳＢ３４）、プロジェクトＢのシステムは、プロジェクトＡのシステムについて施した対策だけで十分であると判断できる。したがって、オペレータは、プロジェクトＢのシステムについて、解釈、対策の処理を行うことなく処理を終了する。
他方、不安全事象が発生するパスが発見された場合（ステップＳＢ３４）、プロジェクトＢのシステムは、プロジェクトＡのシステムについて施した対策だけでは不十分であると判断できる。そこで、オペレータは、プロジェクトＢのシステムについて、改めて図７の処理を実行し、検証および対策を行う（ステップＳＢ３５）。
（作用、効果）
あるプロジェクトに係るシステムにおいて、「反例解釈→モデル再設定→モデル検査実行→・・・」の繰り返しにより反例（不安全事象）が生じない対策案を講じることができたとする。この場合において、プロジェクトＡのシステムに改良や設計変更を加えた新たなシステム（プロジェクトＢのシステム）を検証する際、元のシステムについて施した対策が有用なのか、対策に漏れがあるのかを検証したい場合がある。
従来は、あるシステムについて改良や設計変更が行われた場合、変更箇所の変数が異なるため、過去の対策案（対策リスト）を流用することができず、検証に多大な時間を要していた。
第３の実施形態に係る検証処理装置１によれば、上記プロジェクトＡのシステムの検証時に作成された対策リストをインポートすることで、プロジェクトＢ（改良版）のシステムの検証に要する手間を低減することができる。これにより、改良適用後の対策有用性、対策の漏れなどのチェックを短時間で行うことができる。
あるプロジェクトに係るシステムにおいて、「反例解釈→モデル再設定→モデル検査実行→・・・」の繰り返しにより反例（不安全事象）が生じない対策案を講じることができたとする。この場合において、プロジェクトＡのシステムに改良や設計変更を加えた新たなシステム（プロジェクトＢのシステム）を検証する際、元のシステムについて施した対策が有用なのか、対策に漏れがあるのかを検証したい場合がある。
従来は、あるシステムについて改良や設計変更が行われた場合、変更箇所の変数が異なるため、過去の対策案（対策リスト）を流用することができず、検証に多大な時間を要していた。
第３の実施形態に係る検証処理装置１によれば、上記プロジェクトＡのシステムの検証時に作成された対策リストをインポートすることで、プロジェクトＢ（改良版）のシステムの検証に要する手間を低減することができる。これにより、改良適用後の対策有用性、対策の漏れなどのチェックを短時間で行うことができる。
（その他の変形例）
上述の第１～第３の実施形態において、上述したＣＰＵ１０の各種処理の過程は、プログラムの形式でコンピュータ読み取り可能な記録媒体に記憶されており、このプログラムをコンピュータが読み出して実行することによって上記各種処理が行われる。また、コンピュータ読み取り可能な記録媒体とは、磁気ディスク、光磁気ディスク、ＣＤ－ＲＯＭ、ＤＶＤ－ＲＯＭ、半導体メモリ等をいう。また、このコンピュータプログラムを通信回線によってコンピュータに配信し、この配信を受けたコンピュータが当該プログラムを実行するようにしてもよい。
上述の第１～第３の実施形態において、上述したＣＰＵ１０の各種処理の過程は、プログラムの形式でコンピュータ読み取り可能な記録媒体に記憶されており、このプログラムをコンピュータが読み出して実行することによって上記各種処理が行われる。また、コンピュータ読み取り可能な記録媒体とは、磁気ディスク、光磁気ディスク、ＣＤ－ＲＯＭ、ＤＶＤ－ＲＯＭ、半導体メモリ等をいう。また、このコンピュータプログラムを通信回線によってコンピュータに配信し、この配信を受けたコンピュータが当該プログラムを実行するようにしてもよい。
上記プログラムは、上述した機能の一部を実現するためのものであってもよい。更に、上述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。
以上のとおり、本開示に係るいくつかの実施形態を説明したが、これら全ての実施形態は、例として提示したものであり、発明の範囲を限定することを意図していない。これらの実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で種々の省略、置き換え、変更を行うことができる。これらの実施形態及びその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれる。
＜付記＞
各実施形態に記載の検証処理装置１、更新処理方法およびプログラムは、例えば以下のように把握される。
各実施形態に記載の検証処理装置１、更新処理方法およびプログラムは、例えば以下のように把握される。
（１）第１の態様に係る検証処理装置１は、検査対象モデルＭＯＤに対するモデル検査により、不安全事象に至る過程で状態が変化した要素を抽出する検査処理部１００と、前記抽出された要素のそれぞれについて、当該要素が不安全事象の発生に寄与する要素か否かを判定しながら不安全事象の原因となる要素である原因要素を絞り込む絞込処理部１０３と、複数の前記原因要素から少なくとも一つの原因要素の選択をオペレータから受け付ける受付部１０４と、を備える。前記検査処理部１００は、前記選択された原因要素について所定の対策が施された新たな検査対象モデルである改善検査対象モデルについて再度のモデル検査を行う。
（２）第２の態様に係る検証処理装置１は、（１）の検証処理装置であって、前記受付部１０４は、さらに、前記選択された原因要素に施すべき前記対策の内容の入力を受け付ける。
（３）第３の態様に係る検証処理装置１は、（１）または（２）の検証処理装置であって、選択された原因要素および前記再度のモデル検査の結果の履歴を表示させる表示処理部１０５をさらに備える。
（４）第４の態様に係る検証処理装置１は、（３）の検証処理装置であって、前記受付部１０４は、前記履歴における任意の段階に戻って、再度、前記原因要素の選択を受け付け可能とする。
（５）第５の態様に係る検証処理装置１は、（１）から（４）のいずれか一つの検証処理装置であって、第１の検査対象モデルについての前記再度のモデル検査で、不安全事象に至らなくなるまでに選択された原因要素の一覧を示す対策リストを生成する生成部１０６をさらに備える。前記検査処理部１００は、第２の検査対象モデルについて、前記対策リストに示される原因要素の全てについて所定の対策が施された前記改善検査対象モデルについてモデル検査を行う。
（６）第６の態様に係る検証方法は、検査対象モデルに対するモデル検査により、不安全事象に至る過程で状態が変化した要素を抽出するステップと、前記抽出された要素のそれぞれについて、当該要素が不安全事象の発生に寄与する要素か否かを判定しながら不安全事象の原因となる要素である原因要素を絞り込むステップと、複数の前記原因要素から少なくとも一つの原因要素の選択をオペレータから受け付けるステップと、前記選択された原因要素について所定の対策が施された新たな検査対象モデルである改善検査対象モデルについて再度のモデル検査を行うステップと、を有する。
（７）第７の態様に係るプログラムは、検証処理装置１のコンピュータに、検査対象モデルに対するモデル検査により、不安全事象に至る過程で状態が変化した要素を抽出するステップと、前記抽出された要素のそれぞれについて、当該要素が不安全事象の発生に寄与する要素か否かを判定しながら不安全事象の原因となる要素である原因要素を絞り込むステップと、複数の前記原因要素から少なくとも一つの原因要素の選択をオペレータから受け付けるステップと、前記選択された原因要素について所定の対策が施された新たな検査対象モデルである改善検査対象モデルについて再度のモデル検査を行うステップと、を実行させる。
１ 検証処理装置
１０ ＣＰＵ
１００ 検査処理部
１０１ 選択部
１０２ 再構築部
１０３ 絞込処理部
１０４ 受付部
１０５ 表示処理部
１０６ 生成部
１１ メモリ
１２ ディスプレイ
１３ 入力デバイス
１４ ストレージ
ＭＯＤ 検査対象モデル
Ｌ 不具合リスト
１０ ＣＰＵ
１００ 検査処理部
１０１ 選択部
１０２ 再構築部
１０３ 絞込処理部
１０４ 受付部
１０５ 表示処理部
１０６ 生成部
１１ メモリ
１２ ディスプレイ
１３ 入力デバイス
１４ ストレージ
ＭＯＤ 検査対象モデル
Ｌ 不具合リスト
Claims (7)
- 検査対象モデルに対するモデル検査により、不安全事象に至る過程で状態が変化した要素を抽出する検査処理部と、
前記抽出された要素のそれぞれについて、当該要素が不安全事象の発生に寄与する要素か否かを判定しながら不安全事象の原因となる要素である原因要素を絞り込む絞込処理部と、
複数の前記原因要素から少なくとも一つの原因要素の選択をオペレータから受け付ける受付部と、
を備え、
前記検査処理部は、前記選択された原因要素について所定の対策が施された新たな検査対象モデルである改善検査対象モデルについて再度のモデル検査を行う
検証処理装置。 - 前記受付部は、さらに、前記選択された原因要素に施すべき前記対策の内容の入力を受け付ける
請求項１に記載の検証処理装置。 - 前記選択された原因要素および前記再度のモデル検査の結果の履歴を表示させる表示処理部をさらに備える
請求項１または請求項２に記載の検証処理装置。 - 前記受付部は、前記履歴における任意の段階に戻って、再度、前記原因要素の選択を受け付け可能とする
請求項３に記載の検証処理装置。 - 第１の検査対象モデルについての前記再度のモデル検査で、不安全事象に至らなくなるまでに選択された原因要素の一覧を示す対策リストを生成する生成部をさらに備え、
前記検査処理部は、第２の検査対象モデルについて、前記対策リストに示される原因要素の全てについて所定の対策が施された前記改善検査対象モデルについてモデル検査を行う
請求項１から請求項４のいずれか一項に記載の検証処理装置。 - 検査対象モデルに対するモデル検査により、不安全事象に至る過程で状態が変化した要素を抽出するステップと、
前記抽出された要素のそれぞれについて、当該要素が不安全事象の発生に寄与する要素か否かを判定しながら不安全事象の原因となる要素である原因要素を絞り込むステップと、
複数の前記原因要素から少なくとも一つの原因要素の選択をオペレータから受け付けるステップと、
前記選択された原因要素について所定の対策が施された新たな検査対象モデルである改善検査対象モデルについて再度のモデル検査を行うステップと、
を有する検証処理装置の検証方法。 - 検証処理装置のコンピュータに、
検査対象モデルに対するモデル検査により、不安全事象に至る過程で状態が変化した要素を抽出するステップと、
前記抽出された要素のそれぞれについて、当該要素が不安全事象の発生に寄与する要素か否かを判定しながら不安全事象の原因となる要素である原因要素を絞り込むステップと、
複数の前記原因要素から少なくとも一つの原因要素の選択をオペレータから受け付けるステップと、
前記選択された原因要素について所定の対策が施された新たな検査対象モデルである改善検査対象モデルについて再度のモデル検査を行うステップと、
を実行させるプログラム。
Priority Applications (3)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2019140118A JP7204609B2 (ja) | 2019-07-30 | 2019-07-30 | 検証処理装置、検証方法及びプログラム |
| US17/629,650 US20220253582A1 (en) | 2019-07-30 | 2020-07-10 | Verification processing device, verification method, and program |
| PCT/JP2020/027017 WO2021020077A1 (ja) | 2019-07-30 | 2020-07-10 | 検証処理装置、検証方法及びプログラム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2019140118A JP7204609B2 (ja) | 2019-07-30 | 2019-07-30 | 検証処理装置、検証方法及びプログラム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2021022320A JP2021022320A (ja) | 2021-02-18 |
| JP7204609B2 true JP7204609B2 (ja) | 2023-01-16 |
Family
ID=74229861
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2019140118A Active JP7204609B2 (ja) | 2019-07-30 | 2019-07-30 | 検証処理装置、検証方法及びプログラム |
Country Status (3)
| Country | Link |
|---|---|
| US (1) | US20220253582A1 (ja) |
| JP (1) | JP7204609B2 (ja) |
| WO (1) | WO2021020077A1 (ja) |
Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2009122992A (ja) | 2007-11-15 | 2009-06-04 | Toshiba Corp | 反例解析支援装置 |
| WO2019142858A1 (ja) | 2018-01-17 | 2019-07-25 | 三菱重工エンジニアリング株式会社 | 検証処理装置、ロジック生成装置及び検証処理方法 |
| JP2020071759A (ja) | 2018-11-01 | 2020-05-07 | 三菱重工エンジニアリング株式会社 | 検証処理装置、検証処理方法及びプログラム |
-
2019
- 2019-07-30 JP JP2019140118A patent/JP7204609B2/ja active Active
-
2020
- 2020-07-10 WO PCT/JP2020/027017 patent/WO2021020077A1/ja active Application Filing
- 2020-07-10 US US17/629,650 patent/US20220253582A1/en active Pending
Patent Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2009122992A (ja) | 2007-11-15 | 2009-06-04 | Toshiba Corp | 反例解析支援装置 |
| WO2019142858A1 (ja) | 2018-01-17 | 2019-07-25 | 三菱重工エンジニアリング株式会社 | 検証処理装置、ロジック生成装置及び検証処理方法 |
| JP2020071759A (ja) | 2018-11-01 | 2020-05-07 | 三菱重工エンジニアリング株式会社 | 検証処理装置、検証処理方法及びプログラム |
Non-Patent Citations (2)
| Title |
|---|
| 矢島 大嗣，岸 知二，ＩｏＴにおけるエッジ側アクセス規制のセキュリティ検証，情報処理学会第８０回（平成３０年）全国大会講演論文集（１） コンピュータシステム ソフトウェア科学・，日本，一般社団法人情報処理学会，2018年03月13日，pp. １－２２３～１－２２４ |
| 鷲見 毅，和田 大輝，晏 リョウ，武山 文信，モデル検査における不具合原因特定手法，情報処理学会 研究報告 ソフトウェア工学（ＳＥ），日本，情報処理学会，2015年03月05日， Ｖｏｌ．２０１５－ＳＥ－１８７ Ｎｏ．４，pp. １～６ |
Also Published As
| Publication number | Publication date |
|---|---|
| WO2021020077A1 (ja) | 2021-02-04 |
| JP2021022320A (ja) | 2021-02-18 |
| US20220253582A1 (en) | 2022-08-11 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| Holst et al. | Adaptive debug and diagnosis without fault dictionaries | |
| US11003817B2 (en) | Hard error simulation and usage thereof | |
| JP7214440B2 (ja) | 検証処理装置、検証処理方法及びプログラム | |
| KR102049665B1 (ko) | 장애 지점을 검출하기 위한 장치 및 방법 | |
| US11520963B2 (en) | System and method for formal fault propagation analysis | |
| KR20200139788A (ko) | 데이터 변환 파이프라인용 하드웨어 설계 검증 | |
| US20100295606A1 (en) | Semiconductor integrated circuit design support system, design support method for semiconductor integrated circuit, and semiconductor integrated circuit | |
| Mazzeo et al. | SIL2 assessment of an active/standby COTS-based safety-related system | |
| Wang et al. | An ATPG method for double stuck-at faults by analyzing propagation paths of single faults | |
| Rousset et al. | Derric: A tool for unified logic diagnosis | |
| US9404972B2 (en) | Diagnosis and debug with truncated simulation | |
| JP7204609B2 (ja) | 検証処理装置、検証方法及びプログラム | |
| US10796047B2 (en) | Functional safety synthesis | |
| Kastil et al. | Dependability analysis of fault tolerant systems based on partial dynamic reconfiguration implemented into FPGA | |
| JP2020517018A (ja) | 偶発的なハードウェア故障の確率的メトリック | |
| US8468409B2 (en) | Speed-path debug using at-speed scan test patterns | |
| EP3553681B1 (en) | Method and apparatus for error test coverage determination for a circuit by simulation | |
| CN111241766B (zh) | 测试方法与测试系统 | |
| EP3642637B1 (en) | System and method for formal fault propagation analysis | |
| Sheikh et al. | An integrated fault tolerance technique for combinational circuits based on implications and transistor sizing | |
| JP2013003633A (ja) | 故障再現装置、故障再現方法 | |
| US11816410B2 (en) | System and method for formal fault propagation analysis | |
| Handique et al. | Fault localization scheme for missing gate faults in reversible circuits | |
| JP5035663B2 (ja) | 診断装置、診断方法、その診断方法をコンピュータに実行させることが可能なプログラム、及びそのプログラムを記録した記録媒体 | |
| JP2024063428A (ja) | 信頼性評価装置、信頼性評価方法及びプログラム |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A625 | Written request for application examination (by other person) |
Free format text: JAPANESE INTERMEDIATE CODE: A625 Effective date: 20211022 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20221101 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20221129 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20221213 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20221228 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 7204609 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| S533 | Written request for registration of change of name |
Free format text: JAPANESE INTERMEDIATE CODE: R313533 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| S111 | Request for change of ownership or part of ownership |
Free format text: JAPANESE INTERMEDIATE CODE: R313111 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |