JPWO2011132730A1 - ランタイムシステムの故障の木解析の方法、システム及びプログラム - Google Patents

Abstract

システムの故障の木のオリジナルのＭＣＳは、頂上システムハザードに対して必要且つ十分な条件を含む。コンポーネントが故障し回復したとすると、システムの現状のＭＣＳと重大なコンポーネントは、オリジナルのＭＣＳを基にしていくつかの算出パターンで算出できる。

Description

本発明は、ランタイム（稼働時）にけるシステムの信頼性を定量的に解析する方法とシステムに関し、特に、コンポーネントが故障し回復する際のランタイム（稼働時）においてシステムの単一故障点などの重大なコンポーネントを算出する解析する方法、システム及びプログラムに関する。

本発明に関連する品質情報診断が特許文献１に開示されている。図１１と図１２に示すように、かかる従来の方法は故障の木を使用して、利用者が報告したいくつかの特殊なシステム故障に関して潜在的なコンポーネント故障を診断する。これはトップダウン方法における故障の木解析（ＦＴＡ：fault tree analysis）の一般的な応用である。

しかしながら、この方法は逆の質問に答えることができない、即ち、実際上、故障トレラントシステムの特別な主要な関心である、ランタイムにおけるいくつかの他のコンポーネントが故障し回復する際の現状の重大なコンポーネントは、なにかという質問に答えることができなかった。

ボトムアップ方法において関連するＦＴＡを直接適用することは、当該問題を解決する際のトラブルになる。その理由は、関連するＦＴＡは、最小カットセット（ＭＣＳ）において、条件付き事象（即ち、故障と見なされない正常な事象）を考慮しておらず、その単純なブール論理上のセマンティックにより、異なる事象間の系列依存性を取り扱う際のトラブルになる。これを示すために、非特許文献１を参照すると、非特許文献１では最小カットセットは、コンポーネント故障がすべて発生すれば、頂上事象を発生させるコンポーネント故障の最小の組み合わせとして定義される。ここで、頂上事象は一般的に最も高いレベルの望ましくないシステムハザード、即ち、故障の木の根元として理解される。故障の木における必須な条件付き事象を考慮しないと、かかる定義はランタイムＭＣＳの分析では失敗する。ここで、ランタイムＭＣＳとは、いくつかのコンポーネントが故障し、回復する際における故障の木の現状のＭＣＳを意味し、それはランタイムにおいてシステムの現状の重大なコンポーネントを予測するのに重要である。

非特許文献２に記載されているような、時相故障の木は、関連する故障の木の系列依存性問題を解決するのに役立つかもしれない。

しかしながら、時相演算子を故障の木のＭＣＳに導入することは、コンポーネント故障の組み合わせよりも、むしろコンポーネント故障の系列を一般的には考慮することが必要であるので、ランタイムＭＣＳを算出する複雑さと費用の増大とをもたらすことになる。

特開平５−１６５８５３号公報 （第５−７頁、図１と図６）

W.E. Vesely, F.F. Goldberg, N.H.Roberts, and D.F. Haasl, Fault Tree Handbook, U.S. Nuclear Regulatory Commission, NUREG-0492, Jan. 1981, pp. VII-15. K.M. Hansen, A.P. Ravn, and V. Stavridou, From Safety Analysis to Software Requirements, IEEE Transactions on Software Engineering, Vol. 24, No. 7, July 1998.

上述した発明の課題は、ＦＴＡのＭＣＳがむしろインフォーマルなやり方で定義され、当該ＭＣＳが障の木の頂上事象に対する必要且つ十分な条件すべてをとらえていないことにある。その理由は、関連する故障の木（ＦＴ）がＭＣＳにおいて正常な条件付き事象を考慮せず、当該ＦＴが、優先ＡＮＤ（ＰＡＮＤ）ゲートなどの系列依存性ゲートのＭＣＳについて明確に定義されていないからである。ＰＡＮＤゲートは特殊なＡＮＤゲートで、当該ゲートではその出力事象が、すべてのサブ事象が左から右の特別な順序で発生した時及びその時のみ、発生する。その結果、ランタイムＭＣＳを解析し、重大なコンポーネントを正しいやり方で発見することは、特に、故障の木が条件付き事象及び／又はＰＡＮＤゲートを備える時、困難又は不可能である。

そこで、本発明は上記課題に鑑みて発明されたものであって、その目的は、コンポーネントが故障し回復する際のシステム信頼性を解析し、重大なコンポーネントをランタイムにおいて発見する方法とシステムを提供することである。

上記課題を解決する本発明は、ランタイムにおけるシステムの信頼性を解析し、コンポーネント故障とコンポーネント回復の履歴と、いくつかのコンポーネントの正常な状態であるいくつかのガード条件を必要に応じ探索することとを基にして重大なコンポーネントを発見するシステムであって、解析するシステムの故障の木を入力する故障の木入力手段と、システムの故障の木のオリジナルの最小カットセット（ＭＣＳ）とランタイム最小カットセットとを算出する故障の木解析手段と、コンポーネント故障とコンポーネント回復の履歴とを記録し、前記オリジナルのＭＣＳに含まれたガード条件の状態を探索する履歴監視手段と有するシステムである。

上記課題を解決する本発明は、ランタイムにおけるシステムの信頼性を解析し、コンポーネント故障とコンポーネント回復の履歴と、いくつかのコンポーネントの正常な状態であるいくつかのガード条件を必要に応じ探索することとを基にして重大なコンポーネントを発見する故障の木解析の方法であって、解析するシステムの故障の木を入力し、システムの故障の木のオリジナルの最小カットセット（ＭＣＳ）とランタイム最小カットセットとを算出し、コンポーネント故障とコンポーネント回復の履歴とを記録し、前記オリジナルのＭＣＳに含まれたガード条件の状態を探索する故障の木解析の方法である。

上記課題を解決する本発明は、ランタイムにおけるシステムの信頼性を解析し、コンポーネント故障とコンポーネント回復の履歴と、いくつかのコンポーネントの正常な状態であるいくつかのガード条件を必要に応じ探索することとを基にして重大なコンポーネントを発見する故障の木解析の方法のプログラムであって、解析するシステムの故障の木を入力する処理と、システムの故障の木のオリジナルの最小カットセット（ＭＣＳ）とランタイム最小カットセットとを算出する処理と、コンポーネント故障とコンポーネント回復の履歴とを記録し、前記オリジナルのＭＣＳに含まれたガード条件の状態を探索する処理とを情報処理装置に実行させるプログラムである。

本発明は、故障の木と、コンポーネント故障とコンポーネント回復の履歴並びにいくつかのガード条件を必要に応じて探索すること、とが与えられると、システムのＭＣＳと重大なコンポーネンとをランタイム（稼働時）において算出できる。その理由は、ランタイムＭＣＳは、コンポーネント故障とコンポーネント回復の履歴を探索することと、故障の木のオリジナルのＭＣＳに含まれた必須なガード条件の状態とを基にして算出できるからである。

図１は本発明の第１の発明を実施するための最良の形態の構成を示すブロック図である。 図２は第１の発明を実施するための最良の形態の動作を示す流れ図である。 図３は本発明の第２の発明を実施するための最良の形態の構成を示すプロック図である。 図４は第２の発明を実施するための最良の形態の動作を示す流れ図である。 図５は発明を実施するための最良の形態の動作の具体例のシステムモデルを示す図である。 図６は具体例の故障の木である。 図７は故障の木の異なったMCSを示す図である。 図８はINHIBITとPANDゲートのMCSの異なった算出方法を示す図である。 図９はランタイム解析結果の例を示す図である。 図１０はランタイムMCSの算出パターンを示す図である。 図１１は特許文献１の発明を実施した場合のシステムの全体構成図である。 図１２は特許文献１の故障診断において、探索の対象となる故障の因果関係を表した樹木の階層構造を示す図である。

本発明の概要を説明する。

提案するランタイムシステムの信頼性を解析する方法とシステムは、故障の木入力手段と、故障の木解析手段と、履歴監視手段とを備える。故障の木入力手段を使用し、解析するシステムの故障の木を入力する。故障の木解析手段を使用し、以下の前記履歴と監視手段が提供した探索値を基にして故障の木入力手段から入力された故障の木のオリジナルのＭＣＳと、故障の木のランタイムＭＣＳとを算出する。前記故障の木のオリジナルのＭＣＳは探索値の空セットを基にして算出されること、即ち、システムの初期化では前記履歴監視手段において探索が利用できないことにと注目する。

履歴監視手段を使用して、コンポーネント故障とコンポーネント回復の履歴を記録し、ガード条件の状態を監視することにより、故障の木ランタイムＭＣＳを算出するための探索値のセットを提供するようにする。探索されたコンポーネントとガード条件は、前記オリジナルの故障の木のＭＣＳにおいて基本故障事象と条件付き事象としてそれぞれ表記されることに注目する。

かかる構造により、コンポーネントが故障し回復する際に、システムのＭＣＳ並びに重大コンポーネントはランタイムにおいて算出することができる。

次に、本発明の実施の形態について図面を参照して詳細に説明する。

図１を参照すると、本発明の第１の実施の形態は、故障の木入力手段１１０と、故障の木解析手段１２０と、履歴と監視手段１３０と、出力手段１４０とを備える。

これらの手段はそれぞれ概略つぎのように動作する。

故障の木入力手段１１０は、解析するシステムの故障の木を入力する。

故障の木解析手段１２０は、故障の木入力手段１１０から入力された故障の木のオリジナルのＭＣＳとランタイムＭＣＳとを算出する。

履歴監視手段１３０は、コンポーネント故障とコンポーネント回復の履歴を記録し、前記故障の木解析手段１２０により算出されたオリジナルのＭＣＳに含まれたガード条件の現状状態を監視する。履歴と監視手段１３０の探索値も使用して、故障の木解析手段１２０は、ランタイムＭＣＳを算出する。

出力手段１４０は、故障の木解析手段１２０により算出された現状のＭＣＳ（即ち、オリジナルのＭＣＳとランタイムＭＣＳ）が他のコンポーネントに転送され、表示及び更なる解析（例えば、システム信頼性を定量的に解析）に供されるようにする。

次に、図１及び図２のフローチャートを参照して本実施の形態の全体の動作について詳細に説明する。

先ず、システムの故障の木が前記故障の木入力手段１１０により入力される（ステップＡ１）。故障の木のオリジナルのＭＣＳは故障の木解析手段１２０により算出される（ステップＡ２）。オリジナルのＭＣＳを入手後、システムは、履歴監視手段１３０による探索の対象であるオリジナルのＭＣＳのコンポーネント故障の他に、オリジナルのＭＣＳにおいて条件付き事象を走査し、ガード条件（ＧＣ）としてリストアップする（ステップＡ３）。

特定のシステム初期状態に従い、ＧＣをブール値偽又は真で初期化することにより、ＧＳが初期化された状態のオリジナルのＭＣＳに関して、システムの初期ＭＣＳを算出することができる（ステップＡ４）。初期ＭＣＳは評価（即ち、初期化）されており、初期ＭＣＳの値は別個のＧＣの探索により表記されているので、初期ＭＣＳは条件付き事象を含まないことに注目する。それを示すために、例示的な初期ＭＣＳをオリジナルのＭＣＳと対比して図７に示す。系列ランタイムＭＣＳのすべてはこの関心の分離のルールに従う。初期ＭＣＳは、システム初期状態における現状のＭＣＳでもあるので、出力手段１４０に転送することができる。

初期化後、システムはコンポーネント故障又はコンポーネント回復のいかなる事象も検出する（ステップＡ５）。かかる事象が発生すると、システムは、ＧＳの必須な探索値と、前記履歴と監視手段１３０により探索されたコンポーネント故障とを使い、前記オリジナルのＭＣＳを基に現状のＭＣＳを算出する（ステップＡ６）。算出は故障の木解析手段１２０により行われる。

最後に、現状のＭＣＳの結果は、前記出力手段１４０に転送され、出力又は更なる解析に供される（ステップＡ７）。

次に、本実施の形態の効果について説明する。

本実施形態はオリジナルのＭＣＳを算出し、コンポーネント故障とコンポーネント回復を検出し、ガード条件を探索するので、現状のＭＣＳを算出することができる。

次に、本発明の第２の実施の形態について図面を参照して詳細に説明する。

図３を参照すると、本発明の第２の実施の形態は第１の実施形態の拡張であり、第１の実施の形態の故障の木解析手段１２０がオリジナルＭＣＳ解析手段１２１と、記憶手段１２２と、ランタイムＭＣＳ解析手段１２３とに置き換わり、ランタイムＭＣＳを算出する効率を向上させている。

これらの手段はそれぞれ概略つぎのように動作する。

故障の木解析入力手段１１０と、履歴と監視手段１３０と、出力手段１４０とは第１の実施形態と同様な構成である。

オリジナルＭＣＳ解析手段１２１は、故障の木解析入力手段１１０から入力された故障の木のオリジナルＭＣＳを算出する。

記憶手段１２２は、オリジナルＭＣＳ解析手段１２１により算出されたオリジナルのＭＣＳと、ランタイムＭＣＳ解析手段１２３により算出された最新のＭＣＳとを保存する。

ランタイムＭＣＳ解析手段１２３は、履歴監視手段１３０が探索したコンポーネント故障とコンポーネント回復の履歴並びにガード条件の現状の状態と、前記記憶手段１２２内で保存されている最新ＭＣＳ又はオリジナルのＭＣＳとを基に現状ＭＣＳを算出する。その結果を使用し、前記記憶手段１２２の最新のＭＣＳを更新する。

次に、図３及び図４のフローチャートを参照して本実施の形態の全体の動作について詳細に説明する。

ステップＢ１からＢ４は、第１の実施の形態のステップＡ１からＡ４とは同様なものについては説明を省略し、異なる所を説明する
異なる所は、オリジナルＭＣＳが、本実施の形態のオリジナルＭＣＳ解析手段１２１により算出されることである。（ステップＢ２）。ステップＢ４の後、その結果の初期ＭＣＳが最新ＭＣＳとして記憶手段１２２内に保存され、更なる算出に供される（ステップＢ５）。

初期化後、システムはコンポーネントが故障又回復するいかなる事象も検出する（ステップＢ６）。事象がコンポーネント故障であれば、システムは、ＧＣがコンポーネント故障により変更されたか更にチェックする。ＧＣが変更されていなければ、現状のＭＣＳは記憶手段１２２内に保存された最新ＭＣＳを基にして算出することができ（ステップＢ７）、ＧＣが変更されていれば、現状のＭＣＳは、オリジナルのＣＭＳとＧＣの現状の探索値を基にして算出する必要もある。（ステップＢ８）。

再度、算出された現状のＭＣＳは最新ＭＣＳとして記憶手段１２２内に保存され、次の算出に供される。現状のＭＣＳの算出は、ランタイムＭＣＳ解析手段１２３によりなされる。

最新のＭＣＳの結果は、出力手段１４０に転送され、出力又は更なる解析に供されることができる（ステップＢ９）。

記憶手段１２２内に保存された最新ＭＣＳを出力する代わりに、算出された初期ＭＣＳと現状のＭＣＳを直接出力手段１４０に転送でき、それらは図４のダッシュ矢印により表記される。

次に、本実施の形態の効果について説明する。

本実施の形態は、最新のＭＣＳを保存する記憶手段と、分離済みオリジナルＭＣＳ/ランタイムＭＣＳ解析手段とを備える。最新ＭＣＳは、一般に、オリジナルＭＣＳのサブセットであるので、特に、オリジナルＭＣＳがかなり複雑である大きな複雑なシステムの場合、現状のＭＣＳを算出効率を向上することができる。

次に、具体的な実施例を用いて本発明を実施するための最良の形態の動作を説明する。

簡単な例示的なデュアルシステムのシステムモデルを図５に示す。

システムは２つコンポーネントＣ１とＣ２とから成り立ち、システムは、２つコンポーネントのいずれかが作動する時作動すると仮定する。これらの２つのコンポーネントのいずれかが故障した時、スイッチＳと他のコンポーネントが故障していなければ、スイッチＳは他のコンポーネントに切り替え、作動する。また、スイッチは最初にコンポーネントＣ１に接続されていると仮定する。

本発明をより理解するために、第１の実施の形態は第２の実施の形態を単純化したものと見なすことができ、一般に、大きいシステムに対してはより効率的ではないので、本発明の第２の実施の形態で描がかれた手順に従うことにする（図３と図４）。

例示的なシステムの故障の木が図６に示されていると仮定する。故障の木の頂上事象（根元）Ｔ(即ち、システムが故障している)は、ＡＮＤゲートにより２つのサブ事象Ｅ１(コンポーネントＣ１は作動していない)と、Ｅ２(コンポーネントＣ２が作動していない)とに分解することができる。

事象Ｅ１はＯＲゲートにより２つのサブ事象Ｃ１(コンポーネントＣ１が故障している)と、Ｅ３(コンポーネントＣ１は故障したが作動している)に分解することができる。事象Ｃ１は、更に分解する必要がないコンポーネント故障の基本事象であることに注目する。

事象Ｅ３は、優先ＡＮＤ（ＰＡＮＤ）より更に２つのサブ事象Ｅ５(スイッチがＣ２に固着している)と、Ｃ２(コンポーネントＣ２が故障している)とに分解でき、Ｅ５がＣ２に先立って発生すれば、Ｅ３が発生する。逆の観点から、ＰＡＮＤゲートは図５に示すシステムモデルに描かれた認識を表す、即ち、事象Ｃ２が事象Ｅ５より先だって発生すれば、スイッチＳは、頂上事象Ｅ３が発生しないように、コンポーネントＣ１に切り替え、コンポーネントＣ１を作動させる。

事象Ｅ５は、ＩＮＨＩＢＩＴゲートにより、条件付き事象Ｇ２（スイッチＳはＣ２に接続されている）と、基本事象Ｓ（スイッチが故障している）とに更に分解することができる。即ち、スイッチＳがコンポーネントＣ２に接続されているとき、スイッチが故障すれば、Ｃ２に接続されたままである。事象Ｅ１の左側サブ木の一種のデユアル木と見なすことができる、頂上事象Ｅ２の右側のサブ木は同様なやり方で解析することができる。

図７に示すように、３種類のＭＣＳが、図６の故障の木を基にして、従来のＦＴＡによるものと、時相論理によるものと、本発明の方法によるものとに関してそれぞれ算出することができる。条件付き事象について、ＩＮＨＩＢＩＴゲーとＰＡＮＤゲートが算出する、これら３つの方法のＭＣＳパターンを図８に示し比較する。

故障の木ハンドブックでは最小カットセットはコンポーネント故障のみの最小の組み合わせと定義されているので、図７と図８において、従来のＦＴＡは、ＭＣＳにおいて条件付き事象を含まないことに注目する。この定義に従い、従来のＦＴＡの結果得られるＭＣＳは、頂上事象に対して必要のみで十分な条件ではない。更に、単に、従来のＦＴＡの理論的根拠、即ち、ブール論理は、異なる事象間系列依存性（時相関係）を表すのが困難であるため、ＰＡＮＤゲートのＭＣＳについて明確な定義がされていない。オープンＦＴＡなどのいくつかの現存するＦＴＡツールは、ＭＣＳを算出するＡＮＤゲートとして単にＰＡＮＤゲートを取り扱うが、正式に証明しない又は正式に説明しないかかる単純化はセマンティックな矛盾や概念上の誤解を引き起こす。即ち、ＰＡＮＤゲートのサブ事象が、ＰＡＮＤゲートで規定された特定な順序で発生しなくとも、頂上事象は依然として発生する。

時相論理を使用して事象間系列依存性を取り扱うことができ、例示的な故障の木に対する候補時相ＭＣＳとＰＡＮＤゲートとを図７と図８にそれぞれ示す。いつか成り立つ線形の時相演算子を時相ＭＣＳに使用していることに着目する。時相ＭＣＳの１つの潜在的トラブルは、ランタイムＭＣＳを算出することは、一般に計算費用の増大が避けられない、コンポーネント故障の組み合わせよりもコンポーネント故障の系列を探索することが必要になることです。

本発明では、条件付き事象がオリジナルのＭＣＳで備えられ、ＰＡＮＤゲートのサブ事象の組み合わせが、それらの発生とは無関係に、ＰＡＮＤゲートのＭＣＳを構成することが論証される。簡単に言えば、上記説明の理論的根拠は、ＰＡＮＤゲートが許可しない順序でサブ事象がいくつかの他のサブ事象に先だって発生すれば、事象のかかる“不法な”発生は、他のサブ事象及び/又は頂上事象のいくつかのパーツを否定しなければならない。否定されたパーツは、ランタイムにおいて探索の対象である、該当するサブ事象及び/又は頂上事象のいくつかのサブ条件付き事象として表記されていると仮定する。この場合、かかる“不法な”発生はＰＡＮＤゲートの全体のＭＣＳを否定するので、ＰＡＮＤゲートのサブ事象の順序は故障の木のランタイム解析から省略することができる。例えば、図６に示すＥ３をサブ事象Ｅ５とＣ２に接続するＰＡＮＤゲートに関して、Ｃ２（即ち、コンポーネントＣ２が故障している）がＥ５（即ち、スイッチＳがコンポーネントＣ２に固着している）に先立って発生すれば、スイッチＳは、図５に描かれたシステム動作上のセマンティックに従いコンポーネント１に切り替わる。この場合、事象Ｅ５のサブ条件付き事象Ｇ２（即ち、スイッチはコンポーネントＣ２に接続されている）は否定され、ＰＡＮＤゲート(即ち、Ｓ・Ｇ２・Ｃ２)のＭＣＳは故障の木のＭＣＳにおいて破棄される。

オリジナルのＭＣＳを算出後、システムはオリジナルのＭＣＳを走査し、オリジナルのＭＣＳの条件付き事象が、前記履歴と監視手段１３０が探索するガード条件として抽出される（ステップＢ３）。この例では、ガード条件はスイッチの状態Ｇ１とＧ２、即ち、スイッチはコンポーネントＣ１に接続されているか又はスイッチはコンポーネントＣ２接続されているかである。スイッチが最初にＣ１に接続されていると仮定すると、故障の木の初期ＭＣＳが、図９に示すＧ１＝真及びＧ２＝偽、即ち(Ｃ１・Ｃ２)・(Ｓ・・Ｃ１)という評価でオリジナルのＭＣＳを削減することにより算出できる（ステップＢ４）。初期のＭＣＳは、最新ＭＣＳとして前記記憶手段１２２に保存され、更なるランタイムＭＣＳの算出に供される（ステップＢ５）。

初期化後、前記履歴と監視手段１３０により探索された最初の事象はＣ１、即ち、コンポーネントＣ１は故障している（ステップＢ６）、及びガード条件のＧ１からＧ２への変更も検出されていると仮定すると、現状のＭＣＳは、Ｇ２＝真及びＧ１＝偽という評価でオリジナルのＭＣＳを削減することにより算出できる（ステップＢ８）。その結果は、システムの唯一の単一故障点でもあるＣ２である、即ちコンポーネントＣ２がこの状況下で故障していれば、システムが故障する（図９の状態１．１参照）。

システムで検出された第２の事象がＳ、即ち、スイッチが故障している、及びガード条件への変更がなされていないと仮定すると、現状のＭＣＳは、最新事象Ｓ＝真という評価で最新のＭＣＳを削減することにより算出することができ（ステップＢ７）、その結果はＣ２のままである（図９の状態１．１．１参照）。

システムで検出された第３の事象が¬S（単純化のため、コンポーネントの回復を表記す否定記号¬を使用する）、即ち、スイッチは回復（修理）され、及び現状のガード条件はＧ２であると仮定すると、現状のＭＣＳは、Ｇ２＝真および単純化された履歴Ｃ１＝真という評価でオリジナルのＭＣＳを削減することにより算出することができ（ステップＢ８）、その結果はＣ２のままである（図９の状態１．１．１．１参照）。

オリジナルの履歴は、コンポーネント故障とコンポーネント回復の系列であるが、一方、単純化された履歴は、コンポーネントの故障のみの組み合わせから構成され、当該単純化された履歴においてコンポーネントは現状の状態では故障していることに注目する。ランタイムの算出は、実際には、ガード条件を必要に応じて探索して単純化された履歴を基にしており、その方法は、コンポーネント故障の系列に頼る方法、例えば、時相ＭＣＳを使う方法よりも一層効率的である。

上記３つのケースに関するランタイムＭＣＳを算出するパターンは図１０に示す。

本発明は、システムの故障の木のオリジナルのＭＣＳを発生する故障の木解析手段と、コンポーネント故障とコンポーネント回復並びにガード条件の状態を探索する履歴と監視手段と、ランタイムにおける（稼働時）現状のＭＣＳを算出する前記ランタイム解析手段とが実行することにより、システム信頼性を定量的なやり方で解析し、ランタイムにおける（稼働時）重大なコンポーネントを発見することができる。

また、上述した実施の形態では、各部をハードウェアで構成したが、各部の動作と同様な動作を行うプログラムとＣＰＵとで構成しても良い。

上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。

（付記１） ランタイムにおけるシステムの信頼性を解析し、コンポーネント故障とコンポーネント回復の履歴と、いくつかのコンポーネントの正常な状態であるいくつかのガード条件を必要に応じ探索することとを基にして重大なコンポーネントを発見するシステムであって、
解析するシステムの故障の木を入力する故障の木入力手段と、
システムの故障の木のオリジナルの最小カットセット（ＭＣＳ）とランタイム最小カットセットとを算出する故障の木解析手段と、
コンポーネント故障とコンポーネント回復の履歴とを記録し、前記オリジナルのＭＣＳに含まれたガード条件の状態を探索する履歴監視手段と
有するシステム。

（付記２） オリジナルのＭＣＳを算出するオリジナルＭＣＳ解析手段と、
算出された最新のＭＣＳを保存する記憶手段と、
前記故障の木解析手段に代わり、前記オリジナルのＭＣＳ又は最新のＭＣＳを基づいて、故障の木の現状のＭＣＳを算出し、算出の効率を向上するランタイムＭＣＳ解析手段と
を有する付記１に記載のシステム。

（付記３） コンポーネント故障とコンポーネント回復の前記履歴は、コンポーネント故障の探索のセットにより示され、
前記履歴監視手段の代わりに、前記オリジナルのＭＣＳに含まれたコンポーネントの故障状態及びガード条件の状態のすべてを探索する監視手段を有する
付記１又は付記２のシステム。

（付記４） 前記ランタイム解析手段による結果を、利用者に報告するため、又は、更なる解析のための他の適切なフォーマットに変換する出力手段を有する付記１から付記３のいずれかに記載のシステム。

（付記５） ランタイムにおけるシステムの信頼性を解析し、コンポーネント故障とコンポーネント回復の履歴と、いくつかのコンポーネントの正常な状態であるいくつかのガード条件を必要に応じ探索することとを基にして重大なコンポーネントを発見する故障の木解析の方法であって、
解析するシステムの故障の木を入力し、
システムの故障の木のオリジナルの最小カットセット（ＭＣＳ）とランタイム最小カットセットとを算出し、
コンポーネント故障とコンポーネント回復の履歴とを記録し、前記オリジナルのＭＣＳに含まれたガード条件の状態を探索する
故障の木解析の方法。

（付記６） オリジナルのＭＣＳを算出し、
算出された最新のＭＣＳを保存し、
前記故障の木解析手段に代わり、前記オリジナルのＭＣＳ又は最新のＭＣＳを基づいて、故障の木の現状のＭＣＳを算出し、算出の効率を向上する
を有する付記５に記載の故障の木解析の方法。

（付記７） コンポーネント故障とコンポーネント回復の前記履歴は、コンポーネント故障の探索のセットにより示され、
前記オリジナルのＭＣＳに含まれたコンポーネントの故障状態及びガード条件の状態のすべてを探索する
付記５又は付記６の故障の木解析の方法。

（付記８） 前記ランタイム解析による結果を、利用者に報告するため、又は、更なる解析のための他の適切なフォーマットに変換する
付記５から付記７のいずれかに記載の故障の木解析の方法。

（付記９） ランタイムにおけるシステムの信頼性を解析し、コンポーネント故障とコンポーネント回復の履歴と、いくつかのコンポーネントの正常な状態であるいくつかのガード条件を必要に応じ探索することとを基にして重大なコンポーネントを発見する故障の木解析の方法のプログラムであって、
解析するシステムの故障の木を入力する処理と、
システムの故障の木のオリジナルの最小カットセット（ＭＣＳ）とランタイム最小カットセットとを算出する処理と、
コンポーネント故障とコンポーネント回復の履歴とを記録し、前記オリジナルのＭＣＳに含まれたガード条件の状態を探索する処理と
を情報処理装置に実行させるプログラム。

以上好ましい実施の形態をあげて本発明を説明したが、本発明は必ずしも上記実施の形態に限定されるものではなく、その技術的思想の範囲内において様々に変形し実施することが出来る。

本出願は、２０１０年４月２２日に出願された日本出願特願２０１０−０９９２５９号を基礎とする優先権を主張し、その開示の全てをここに取り込む。

１１０ 故障の木入力手段
１２０ 故障の木解析手段
１３０ 履歴監視手段
１４０ 出力手段
１２１ オリジナルＭＣＳ解析手段
１２２ 記憶手段
１２３ ランタイムＭＣＳ解析手段

図１を参照すると、本発明の第１の実施の形態は、故障の木入力手段１１０と、故障の木解析手段１２０と、履歴監視手段１３０と、出力手段１４０とを備える。

初期化後、システムはコンポーネント故障又はコンポーネント回復のいかなる事象も検出する（ステップＡ５）。かかる事象が発生すると、システムは、ＧＳの必須な探索値と、前記履歴監視手段１３０により探索されたコンポーネント故障とを使い、前記オリジナルのＭＣＳを基に現状のＭＣＳを算出する（ステップＡ６）。算出は故障の木解析手段１２０により行われる。

故障の木入力手段１１０と、履歴監視手段１３０と、出力手段１４０とは第１の実施形態と同様な構成である。

オリジナルＭＣＳ解析手段１２１は、故障の木入力手段１１０から入力された故障の木のオリジナルＭＣＳを算出する。

システムは２つコンポーネントＣ１とＣ２とから成り立ち、システムは、２つコンポーネントのいずれかが作動する時作動すると仮定する。これらの２つのコンポーネントのいずれかが故障した時、スイッチＳと他のコンポーネントが故障していなければ、スイッチＳは他のコンポーネントに切り替え、作動する。また、スイッチＳは最初にコンポーネントＣ１に接続されていると仮定する。

事象Ｅ３は、優先ＡＮＤ（ＰＡＮＤ）より更に２つのサブ事象Ｅ５(スイッチＳがＣ２に固着している)と、Ｃ２(コンポーネントＣ２が故障している)とに分解でき、Ｅ５がＣ２に先立って発生すれば、Ｅ３が発生する。逆の観点から、ＰＡＮＤゲートは図５に示すシステムモデルに描かれた認識を表す、即ち、事象Ｃ２が事象Ｅ５より先だって発生すれば、スイッチＳは、事象Ｅ３が発生しないように、コンポーネントＣ１に切り替え、コンポーネントＣ１を作動させる。

事象Ｅ５は、ＩＮＨＩＢＩＴゲートにより、条件付き事象Ｇ２（スイッチＳはＣ２に接続されている）と、基本事象Ｓ（スイッチが故障している）とに更に分解することができる。即ち、スイッチＳがコンポーネントＣ２に接続されているとき、スイッチが故障すれば、Ｃ２に接続されたままである。事象Ｅ１の左側サブ木の一種のデユアル木と見なすことができる、頂上事象Ｔの右側のサブ木は同様なやり方で解析することができる。

時相論理を使用して事象間系列依存性を取り扱うことができ、例示的な故障の木に対する候補時相ＭＣＳとＰＡＮＤゲートとを図７と図８にそれぞれ示す。いつか成り立つ線形の時相演算子＜＞を時相ＭＣＳに使用していることに着目する。時相ＭＣＳの１つの潜在的トラブルは、ランタイムＭＣＳを算出することは、一般に計算費用の増大が避けられない、コンポーネント故障の組み合わせよりもコンポーネント故障の系列を探索することが必要になることです。

本発明では、条件付き事象がオリジナルのＭＣＳに含まれる。ＰＡＮＤゲートに関して、ＰＡＮＤゲートは、入力事象と潜在的な条件付き事象（入力事象に含まれていない）の組み合わせとして解釈することができ、動的なシステムがマルコフ性を満足することができる。言い換えれば、ＰＡＮＤゲートは、潜在的な条件付き事象を持つ標準的なＡＮＤゲートに変換することができる。入力事象が、ＰＡＮＤゲートによって許されない異なる順序で発生した場合は、条件付きの事象のいくつかは否定されなければならないが、異なる順序もマルコフ性に従ってＰＡＮＤゲートの出力事象となり、ＰＡＮＤゲートは否定されることとなる。入力事象と条件付きの事象を観察することによって、ＰＡＮＤゲートの入力事象の順序は、故障の木のランタイム解析から省略することができる。例えば、図６に示すＥ３に接続される事象Ｅ５とＣ２を入力とするＰＡＮＤゲートに関して、潜在的な条件付き事象はＧ２（スイッチＳがコンポーネントＣ２に固着されている）であり、ＰＡＮＤゲートは、

として解釈することができる。
Ｃ２（即ち、コンポーネントＣ２が故障している）がＥ５（即ち、スイッチＳがコンポーネントＣ２に固着している）に先立って発生すれば、スイッチＳは、図５に描かれたシステム動作上のセマンティックに従いコンポーネント１に切り替わる。この場合、条件付き事象Ｇ２は否定され、ＰＡＮＤゲート

のＭＣＳは故障の木のＭＣＳにおいて破棄される。

オリジナルのＭＣＳを算出後、システムはオリジナルのＭＣＳを走査し、オリジナルのＭＣＳの条件付き事象が、前記履歴監視手段１３０が探索するガード条件として抽出される（ステップＢ３）。この例では、ガード条件はスイッチの状態Ｇ１とＧ２、即ち、スイッチはコンポーネントＣ１に接続されているか又はスイッチはコンポーネントＣ２接続されているかである。スイッチが最初にＣ１に接続されていると仮定すると、故障の木の初期ＭＣＳが、図９に示すＧ１＝真及びＧ２＝偽、即ち、

という評価でオリジナルのＭＣＳを削減することにより算出できる（ステップＢ４）。初期のＭＣＳは、最新ＭＣＳとして前記記憶手段１２２に保存され、更なるランタイムＭＣＳの算出に供される（ステップＢ５）。

初期化後、前記履歴監視手段１３０により探索された最初の事象はＣ１、即ち、コンポーネントＣ１は故障している（ステップＢ６）、及びガード条件のＧ１からＧ２への変更も検出されていると仮定すると、現状のＭＣＳは、Ｇ２＝真、Ｇ１＝偽、及び単純化された履歴Ｃ１＝真という評価という評価でオリジナルのＭＣＳを削減することにより算出できる（ステップＢ８）。その結果は、システムの唯一の単一故障点でもあるＣ２である、即ちコンポーネントＣ２がこの状況下で故障していれば、システムが故障する（図９の状態１．１参照）。

Claims (9)

1. ランタイムにおけるシステムの信頼性を解析し、コンポーネント故障とコンポーネント回復の履歴と、いくつかのコンポーネントの正常な状態であるいくつかのガード条件を必要に応じ探索することとを基にして重大なコンポーネントを発見するシステムであって、
   解析するシステムの故障の木を入力する故障の木入力手段と、
   システムの故障の木のオリジナルの最小カットセット（ＭＣＳ）とランタイム最小カットセットとを算出する故障の木解析手段と、
   コンポーネント故障とコンポーネント回復の履歴とを記録し、前記オリジナルのＭＣＳに含まれたガード条件の状態を探索する履歴監視手段と
   有するシステム。
2. オリジナルのＭＣＳを算出するオリジナルＭＣＳ解析手段と、
   算出された最新のＭＣＳを保存する記憶手段と、
   前記故障の木解析手段に代わり、前記オリジナルのＭＣＳ又は最新のＭＣＳを基づいて、故障の木の現状のＭＣＳを算出し、算出の効率を向上するランタイムＭＣＳ解析手段と
   を有する請求項１に記載のシステム。
3. コンポーネント故障とコンポーネント回復の前記履歴は、コンポーネント故障の探索のセットにより示され、
   前記履歴監視手段の代わりに、前記オリジナルのＭＣＳに含まれたコンポーネントの故障状態及びガード条件の状態のすべてを探索する監視手段を有する
   請求項１又は請求項２のシステム。
4. 前記ランタイム解析手段による結果を、利用者に報告するため、又は、更なる解析のための他の適切なフォーマットに変換する出力手段を有する請求項１から請求項３のいずれかに記載のシステム。
5. ランタイムにおけるシステムの信頼性を解析し、コンポーネント故障とコンポーネント回復の履歴と、いくつかのコンポーネントの正常な状態であるいくつかのガード条件を必要に応じ探索することとを基にして重大なコンポーネントを発見する故障の木解析の方法であって、
   解析するシステムの故障の木を入力し、
   システムの故障の木のオリジナルの最小カットセット（ＭＣＳ）とランタイム最小カットセットとを算出し、
   コンポーネント故障とコンポーネント回復の履歴とを記録し、前記オリジナルのＭＣＳに含まれたガード条件の状態を探索する
   故障の木解析の方法。
6. オリジナルのＭＣＳを算出し、
   算出された最新のＭＣＳを保存し、
   前記故障の木解析手段に代わり、前記オリジナルのＭＣＳ又は最新のＭＣＳを基づいて、故障の木の現状のＭＣＳを算出し、算出の効率を向上する
   を有する請求項５に記載の故障の木解析の方法。
7. コンポーネント故障とコンポーネント回復の前記履歴は、コンポーネント故障の探索のセットにより示され、
   前記オリジナルのＭＣＳに含まれたコンポーネントの故障状態及びガード条件の状態のすべてを探索する
   請求項５又は請求項６の故障の木解析の方法。
8. 前記ランタイム解析による結果を、利用者に報告するため、又は、更なる解析のための他の適切なフォーマットに変換する
   請求項５から請求項７のいずれかに記載の故障の木解析の方法。
9. ランタイムにおけるシステムの信頼性を解析し、コンポーネント故障とコンポーネント回復の履歴と、いくつかのコンポーネントの正常な状態であるいくつかのガード条件を必要に応じ探索することとを基にして重大なコンポーネントを発見する故障の木解析の方法のプログラムであって、
   解析するシステムの故障の木を入力する処理と、
   システムの故障の木のオリジナルの最小カットセット（ＭＣＳ）とランタイム最小カットセットとを算出する処理と、
   コンポーネント故障とコンポーネント回復の履歴とを記録し、前記オリジナルのＭＣＳに含まれたガード条件の状態を探索する処理と
   を情報処理装置に実行させるプログラム。
   

Images