WO2011148891A1 - システムモデルからの静的なフォルトツリー解析のシステムと方法 - Google Patents

システムモデルからの静的なフォルトツリー解析のシステムと方法 Download PDF

Info

Publication number
WO2011148891A1
WO2011148891A1 PCT/JP2011/061738 JP2011061738W WO2011148891A1 WO 2011148891 A1 WO2011148891 A1 WO 2011148891A1 JP 2011061738 W JP2011061738 W JP 2011061738W WO 2011148891 A1 WO2011148891 A1 WO 2011148891A1
Authority
WO
WIPO (PCT)
Prior art keywords
model
fault tree
failure
tree
component error
Prior art date
Application number
PCT/JP2011/061738
Other languages
English (en)
French (fr)
Inventor
剣文 向
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to JP2012517252A priority Critical patent/JPWO2011148891A1/ja
Priority to US13/699,359 priority patent/US20130073271A1/en
Publication of WO2011148891A1 publication Critical patent/WO2011148891A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/079—Root cause analysis, i.e. error or fault diagnosis
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B23/00—Testing or monitoring of control systems or parts thereof
    • G05B23/02—Electric testing or monitoring
    • G05B23/0205—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults
    • G05B23/0218—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults characterised by the fault detection method dealing with either existing or incipient faults
    • G05B23/0243—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults characterised by the fault detection method dealing with either existing or incipient faults model based detection method, e.g. first-principles knowledge model
    • G05B23/0245—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults characterised by the fault detection method dealing with either existing or incipient faults model based detection method, e.g. first-principles knowledge model based on a qualitative model, e.g. rule based; if-then decisions
    • G05B23/0248—Causal models, e.g. fault tree; digraphs; qualitative physics
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F30/00—Computer-aided design [CAD]
    • G06F30/30—Circuit design
    • G06F30/32—Circuit design at the digital level
    • G06F30/33—Design verification, e.g. functional simulation or model checking
    • G06F30/3323—Design verification, e.g. functional simulation or model checking using formal methods, e.g. equivalence checking or property checking

Definitions

  • the present invention relates to a method and system system for automatically analyzing system reliability from a system configuration, and in particular, using a static fault tree analysis (FTA) model and a system model,
  • FFA static fault tree analysis
  • the present invention relates to a method and system for quantitatively analyzing the reliability of a computer system.
  • FTA fault tree analysis
  • Patent Documents 1, 2, and 3 Some other examples of semi-automatic system fault tree analysis using FTA for specific areas and systems are described in Patent Documents 1, 2, and 3.
  • the conventional system disclosed in Patent Document 3 uses a nuclear power plant layout (three-dimensional CAD data) as an input, and uses FT diagram DB means. It stores a registered fault tree for that particular device. Given a special top event of the device and the fault tree in the FT diagram DB means, a fault tree can be created for the top event; otherwise it must be manually revised.
  • a problem common to these conventional systems and methods eg, US Pat. Nos. 5,099,086) is a formal parameterized system architecture or component error for fully automatic development of fault trees. There is no (fault) model, so conventional systems and methods are generally limited to specific areas and systems.
  • the first problem is that manual failure tree development is difficult and error-prone, especially in the case of large and complex system analysis.
  • the second problem is that functional dependencies and series dependencies between component events are usually modeled by several dynamic gates, which can cause semantic troubles, Extra costs for system maintenance are required.
  • an object of the present invention is to provide a system and method for automatically developing and analyzing a fault tree from a system model.
  • Another object of the present invention is to present a model that defines a function dependency and a sequence dependency between events using a standard static logic gate.
  • the present invention for solving the above-mentioned problems is a system for analyzing a static fault tree from a system model, a system configuration input means for inputting a system configuration and a system of a top event to be analyzed, a system architecture model, and a component error System model library means for storing a model, and fault tree analysis means for analyzing a fault tree of a system from the top event according to a decomposition rule defined in the component error model, and the system configuration and the top
  • An event is a case of a system architecture model and a failure event of a component error model respectively stored in the system model library means, and the system architecture model includes classification and definition of physical and semantic relationships between different components.
  • the component error model described above defines a failure event with different components and a Boolean formula relationship that is a decomposition rule covering functional dependency and sequence dependency used for analyzing a failure tree. It is a system that analyzes trees.
  • the present invention that solves the above problems is a failure tree analysis method for analyzing a static failure tree from a system model, in which a classification and definition of physical and semantic relationships between different components in the system to be analyzed Component error that defines a system architecture model, a failure event with different components, and a Boolean expression relationship, which is a decomposition rule that covers functional dependencies and sequence dependencies used to analyze the failure tree
  • a fault tree analysis method for storing a model and selecting a system top event to be analyzed and analyzing a system fault tree from the top event according to a decomposition rule defined in the component error model.
  • the present invention for solving the above-described problems is a program for causing a computer to analyze a static fault tree from a system model, wherein the classification and definition of physical and semantic relationships between different components in the system to be analyzed
  • a component error model that defines a system architecture model that is described, fault events with different components, and Boolean formula relationships, which are decomposition rules that cover functional dependencies and sequence dependencies that are used to analyze fault trees
  • Boolean formula relationships which are decomposition rules that cover functional dependencies and sequence dependencies that are used to analyze fault trees
  • a system failure tree can be automatically developed with respect to the component error model from the case of the system architecture model and the top event.
  • FIG. 10 is an explanatory diagram of a processing procedure executed by the reliability analysis support device of Patent Document 3. It is a detailed explanatory view of the FT diagram creation step of Patent Document 3.
  • the static fault tree analysis (FTA) system from the system model of the present invention includes system configuration input means, system model library means, and fault tree analysis (FTA) means.
  • a set of a system art model and a component error model and a set of rules for calculating a minimum cut set for a fault tree are stored.
  • the system architecture model includes component divisions and relationships between components, which include semantic requirements such as potential physical connections and synthesis, and functional dependencies between components.
  • the component error model includes different fault definitions and component conditional events, and covers both functional dependencies between components and sequence dependencies between fault events.
  • the component error model theorem functions as a decomposition rule for building (analyzing) a fault tree.
  • the minimum cut set (MCS) calculation rule is used to calculate the minimum cut set of the analyzed failure tree.
  • fault tree analysis (FTA) means is used to generate and analyze the fault tree of the input system configuration.
  • the first embodiment of the present invention includes system configuration input means 110, system model library means 120, and fault tree analysis (FTA) means 130.
  • FSA fault tree analysis
  • the system model library means 120 further includes system architecture model means 121 and component error model means 122.
  • the system configuration input means 110 inputs the system configuration and the top event of the system to be analyzed.
  • the system configuration must follow the definition of the system architecture model defined by the system architecture model means 121 described later.
  • the system model library means 120 stores a set of system models for fault tree analysis (FTA).
  • FTA fault tree analysis
  • the system model can be further divided into two groups: a system architecture model and a component error model.
  • the system architecture model means 121 stores a set of system architecture models that specify component classifications and attributes. There, the attributes are represented by functions that indicate the composition of the components and the potential physical connections and semantic (functional) relationships between the components.
  • the component error model means 122 stores a set of component error models that specify different component failures and conditional events and their logical relationships.
  • the theorem defined in the component error model functions as a fault tree decomposition rule.
  • Fault tree analysis means 130 decomposes the event from the top event according to the input system configuration and the tree decomposition rule of the fault. That is, the failure tree is analyzed.
  • the system configuration is input by the system configuration input means 110 (step A1).
  • the user inputs (selects) the top failure event of the system to be analyzed (step A2).
  • the top event is decomposed into several sub-events by the fault tree analysis (FTA) means 130 according to a certain decomposition rule defined by the component error model means 122 (step A3).
  • FFA fault tree analysis
  • step A3 The decomposition of the sub-event (step A3) is repeated until the decomposition rules for the decomposed sub-event are no longer available, that is, until the sub-event is a basic event that can no longer be decomposed.
  • the second embodiment of the present invention is an extension of the first embodiment, and the calculation used by the system model library means 120 to calculate the MCS of the fault tree.
  • MCS calculating means 123 for storing a rule set is further provided.
  • the fault tree analysis (FTA) means 130 of the second embodiment is used for calculation into MCS in addition to the event decomposition described in the first embodiment.
  • Steps B1 to B3 are the same as steps A1 to A3 in the first embodiment, respectively.
  • the sub-event is converted into an additive standard form (DNF) from which the redundant conjunction of the event is removed using the calculation rule defined by the MCS calculation means 123 (step B4).
  • DNF additive standard form
  • step B4 For any event in DNF, repeat steps B3 and B4 until it becomes a basic event (ie, it cannot be resolved). Finally, when all events become basic events, the final DNF is output as the MCS of the fault tree.
  • this embodiment has the repeated decomposition of events and the calculation to MCS, which can remove redundant nodes of the failure tree in a timely manner, the MCS of the failure tree can be calculated in an efficient manner.
  • calculation to MCS is performed after each decomposition of the event, in this embodiment, a complete original fault tree that has not been calculated to MCS cannot be output.
  • the third embodiment of the present invention has the means of the second embodiment, but the third embodiment differs from the second embodiment in that the third embodiment is described below.
  • the event decomposition step and the MCS calculation step to be described are composed of different processing flows.
  • step C3 Although the present embodiment also has an event decomposition (step C3) and calculation to MCS (step C4), the decomposition is repeated until all events become basic events (cannot be decomposed). Will be done only once. Therefore, it is possible to output both the complete original fault tree that has not been reduced and the minimum cut set of the fault tree (step C5).
  • the third embodiment does not perform timely disassembly after each disassembly, and therefore spends more time calculating the MSC.
  • the effect of the third embodiment is that complete disassembly information is retained, an original fault tree that has not been reduced can be output.
  • the first effect is that, given a system configuration or an undesired top event of the system, a top event fault tree and a minimum cut set of fault trees can be automatically generated.
  • the reason is that the input system configuration follows the definition of the system architecture model, so that the failure tree and MCS are developed and calculated according to the failure tree decomposition rules and MCS calculation rules defined by the system model library means, respectively. Because it can be done.
  • the second effect is that a standard static logic gate can be used rather than a conventional dynamic gate, and the function dependence between components and the series dependence between fault events can be modeled.
  • the reason is that by distinguishing between internal and external component failure events, functional dependencies between different components can be displayed with standard OR gates, introducing extra dependent conditional events. This is because the series dependency between component failure events can be handled by a standard AND gate.
  • FIG. 6 shows one highly reliable network configuration. The system configuration will be described below.
  • the system is composed of two servers s1 and s2, where s2 is a spare that operates when s1 fails, and s1 is a primary (operating) server.
  • Each server has two network cards, and each network card is a c11 (primary) card and c12 (standby) for the primary s1, and c21 (primary) and c22 (standby) for the standby s2.
  • the two hubs are connected to the network cards c11, c12, c21, c22.
  • FIG. 1 An example system architecture model written in UML format is shown in FIG. 1
  • This system architecture model is stored in the system architecture model means 121 and can be expressed in a different format for one embodiment.
  • the UML graphic format of FIG. 7 is merely an example for ease of reading. Some annotations of FIG. 7 are as follows.
  • the component may be a composite component, hardware, or software.
  • the hardware component may be a bus, memory, processor, or device, and functions as an essential component or a spare component.
  • the primary component is an essential component having at least one spare component.
  • Composite hardware composite HW is both a composite component and a hardware component.
  • Composite hardware consists of one or several (sub) hardware components, and in general its functionality depends on all essential subcomponents working well, ie not going down. (Definition of failure event down will be described later in FIG. 9). Therefore, as shown in FIG. 7, the relationship “depAll” actually represents a kind of vertical functional dependency between the composite component and the sub-hardware component, and is a sub-relationship of the physical decomposition relationship “consists”. .
  • Hardware components are not connected to the bus, or are connected to several buses, and it is generally necessary for the hardware components to have access to any of the undisabled (connected) buses. Therefore, as shown in FIG. 7, the relationship “reqAny” actually represents a kind of horizontal function dependency between the hardware and the bus and is a sub-relationship of the physical connection relationship “connects”.
  • Primary has one or several spares, and the spare supports one or several primaries simultaneously. However, it should be noted that a spare can always replace at most one primary (ie, the first failed primary) at any given time.
  • a replacement relationship can be used to represent two primary sequence incidents supported by the same one backup. For example, there are two primary components P1 and P2 sharing the same one spare S, and the top event is defined as P2 failing before P1 fails (if P1 fails, the spare S Means that the system composed of P1 and P2 fails because it cannot operate on behalf of P1).
  • conditional event replacement S, P2
  • the above series dependency between P1 failure and P2 failure is a standard rather than a conventional PAND gate, as shown in FIG. It can be expressed as a static AND gate.
  • FIG. 8 represents an exemplary formal architecture model of a network server written in Maude, a formal specification programming language. Some notations in FIG. 8 are as follows (line numbers added for readability):
  • the items described in lines 4 to 9 are definitions of data type (kind) and subtype.
  • the server is a complex hardware component.
  • the subtype relationship is represented by the symbol “ ⁇ ”.
  • the item described in the line 10 is the definition of the predicate “existNWCard” and indicates whether or not a network card is present in the set of hardware components.
  • FIG. 9 shows an exemplary component error model written in Maude and stored in the component error model means 122.
  • the expression defined in FIG. 9 functions as a decomposition rule for developing a fault tree.
  • “Failed” described in line 2 is a (primary) internal failure of the component, for example, a failure.
  • the “disabled” described in line 3 is caused by other functionally dependent components, such as (secondary) of other functionally dependent components, for example, components that are typically caused by memory failures. External faults are disabled by the bus because the memory requires an accessible bus.
  • Lines 6 to 8 contain variable declaration statements for expressions.
  • Lines 9 and 10 are expressions that define the meaning of non-functioning, ie, the composite component is down when and only when any of its dependent sub-essential components are down (any composite component is its sub-component That the non-composite component does not function when and only if it fails or is disabled, under the assumption that it must connect to other peripheral components via The formula to be defined is described. These two theorems indicate the vertical and horizontal function dependencies, respectively.
  • Line 11 contains an expression that defines the meaning of disable, that is, an expression that defines that a component is disabled only when all required buses stop functioning. Since the bus connection is temporary and interacts, the case component separation of the bus component and the non-bus component and the second parameter of the auxiliary function “$ allFunctionless” are used to remove the cyclic dependency.
  • Lines 12 to 15 show an expression that defines the meaning of down, that is, the primary component goes down when and only when the primary component itself does not function and any of its spares fail, and the non-primary component goes down. Is defined as the same as a non-primary component not functioning for convenience. The reason why the reserve did not work for the primary component is because the reserve does not work or other previously supported primary components are working. Finally, the operation of the spare for the primary component is the same as the primary does not work and the spare is placed on the primary (conditional event).
  • FIG. 10 shows some exemplary rules for the MCS calculation means 123. Some notations are as follows.
  • Lines 1 to 4 contain variable declaration statements for the following expressions. It should be noted that the sort FaultEvent is a subsort of Bool.
  • Line 5 describes an expression for converting a logical expression (Boolean formula) into DNF.
  • Line 6 contains an expression that removes unnecessary conditional event replacement in the final MCS. What this equation means is that there are two primary components that share the same spare, and there are two conjunctions stating that both primary components do not work, and the spare is If the words are replaced by the first and second primary components, it means that these two conjunctions can be unified into one conjunction consisting of only two primary components.
  • Lines 7 to 9 describe an expression for removing a redundant cut set (conjunction) and obtaining a minimum cut set of a fault tree.
  • the logical representation of the exemplary network configuration is formatted as shown in FIG. (Corresponding to step A1 in FIG. 2).
  • the functional relationship can be derived from the physical connection and simplified. For example, assuming that a composite component depends on all of its sub-essential components, the functional relationship “depAll” can be used if the engineer does not accidentally introduce the required sub-components that are no longer needed into the composite component or for other reasons. By removing the spare components in “consists”, it can be derived in a simple manner from the physical disassembly connection “consists” of the composite components.
  • the logical representation of the example configuration is composed of two main parts.
  • One is the constant value definition of the component, that is, the name and type of the component case represented by lines 4-11.
  • the constant value definition for line 4 states that “sys” is an example of a composite component, ie, an exemplary network system.
  • the other is the relationship between these components and is represented by the equations of lines 12-26.
  • the equation of line 12 states that the exemplary network system, “sys”, depends on the primary server s1.
  • the final MCS of the fault tree with two top events is 12 (corresponding to steps B5 and C3 in FIGS. 4 and 5, respectively).
  • each unit is configured by hardware, but may be configured by a program and a CPU that perform the same operation as the operation of each unit.
  • System configuration input means for inputting the system configuration and the system of the top event to be analyzed;
  • System model library means for storing a system architecture model and a component error model;
  • a fault tree analyzing means for analyzing a fault tree of a system from the top event according to a decomposition rule defined in the component error model;
  • the system configuration and the top event are a system architecture model case and a component error model failure event respectively stored in the system model library means,
  • the system architecture model describes the classification and definition of physical and semantic relationships between different components
  • the component error model includes a failure tree that defines a failure event with different components and a Boolean expression relationship that is a decomposition rule that covers functional dependency and sequence dependency used for analyzing the failure tree.
  • System to analyze
  • the system model library means stores an MCS calculation rule for calculating a minimum cut set of a fault tree, removes a redundant cut set of events based on the MCS calculation rule, and calculates a minimum cut set Appendix 1 of fault tree analysis system having calculation means.
  • a failure tree analysis method for analyzing a static failure tree from a system model A system architecture model that describes the classification and definition of physical and semantic relationships between different components in the system to be analyzed, different failure events of components, and functional dependencies and sequence dependencies that are used to analyze failure trees. And a component error model that defines a Boolean expression relationship that is a decomposition rule that covers Select the system top event to analyze, A fault tree analysis method for analyzing a fault tree of a system from the top event according to a decomposition rule defined in the component error model.
  • Appendix 4 The failure tree according to appendix 3, wherein a MCS calculation rule for calculating a minimum cut set of a failure tree is stored, a redundant cut set of an event is removed based on the MCS calculation rule, and a minimum cut set is calculated. analysis method.
  • Appendix 5 A program that causes a computer to analyze a static fault tree from a system model, A system architecture model that describes the classification and definition of physical and semantic relationships between different components in the system to be analyzed, different failure events of components, and functional dependencies and sequence dependencies that are used to analyze failure trees. Processing for storing a component error model that defines a Boolean expression relationship that is a decomposition rule that covers A program for causing a computer to execute processing for analyzing a tree of a system failure from a selected top event according to a decomposition rule defined in the component error model.
  • Appendix 6 The program according to appendix 5, which causes a computer to execute a process of removing a redundant cut set of an event and calculating a minimum cut set based on an MCS calculation rule for calculating a minimum cut set of a fault tree.
  • the system model library means for defining a system architecture model, a component error model, and an MCS calculation rule according to the decomposition rules and reduction rules defined by the system model library means, and a fault tree
  • FSA fault tree analysis
  • System Configuration Input Unit 120 System Model Library Unit 130 Fault Tree Analysis (FTA) Unit 121 System Architecture Model Unit 122 Component Error Model Unit 123 MCS Calculation Unit

Landscapes

  • Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • Biomedical Technology (AREA)
  • Quality & Reliability (AREA)
  • General Engineering & Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Test And Diagnosis Of Digital Computers (AREA)

Abstract

本発明は、システムモデルから静的な故障の木を解析するシステムにおいて、システム構成と、解析する頂上事象のシステムとを入力するシステム構成入力手段と、システムアーキテクチャモデルとコンポーネントエラーモデルとを記憶するシステムモデルライブラリ手段と、コンポーネントエラーモデルで定義された分解ルールに従い、頂上事象からシステムの故障の木を解析するフォルトツリー解析手段とを有し、システム構成と頂上事象とは、システムモデルライブラリ手段にそれぞれ記憶されたシステムアーキテクチャモデルの事例とコンポーネントエラーモデルの故障事象であり、システムアーキテクチャモデルは、異なるコンポーネント間の物理的及び意味的関係の区分と定義とが記述され、コンポーネントエラーモデルは、コンポーネントの異なる故障事象と、故障の木を解析に用いられる機能依存性と系列依存性とを網羅する分解ルールであるブール論理式関係とを定義している故障の木を解析するシステムである。

Description

システムモデルからの静的なフォルトツリー解析のシステムと方法
　本発明は、システムの信頼性をシステム構成から自動的に解析する方法とシステムシスに関し、特に、静的なフォルトツリー解析（ＦＴＡ：fault tree analysis, 故障の木解析）モデルとシステムモデルを使い、コンピュータシステムの信頼性を定量的に解析する方法とシステムに関する。
　関連するフォルトツリー解析（ＦＴＡ）の例は非特許文献１に記載されている。このＦＴＡは、一般に、動的な論理ゲート、例えば、ＦＤＥＰ（機能依存性）やＰＡＮＤ（優先ＡＮＤ）を使用し、異なる事象間の機能依存性と系列依存性とをモデル化する。
　しかしながら、稼働時の故障の木状態を解析するには組み合わせ的な情報よりもむしろ、系列的な情報（即ち、発生事象の組み合わせよりむしろ履歴）が必要であるため、かかる動的な故障の木は、一般的に、システム管理やシステム保守のための余分な費用を必要とし、このことが大きく複雑なシステムを解析する際に主要な問題となり得る。更に、動的な故障の木は、一般的に、手書きされ、エンジニアが故障の木を効率的で正確なやり方で開発するのを手助けする体系的且つ自動的な方法又はモデルは提案されていない。
　特定な領域やシステムについて、ＦＴＡを使用した半自動的なシステムフォルトツリー解析の他の例のいくつかが、特許文献１、２、３に記載されている。例えば、図１４と図１５に示すように、特許文献３に開示された従来のシステムは、原子力発電所のレイアウト（三次元ＣＡＤデータ）を入力として使用し、ＦＴ図ＤＢ手段を使用していくつかの特定な装置の登録済み故障の木を保存している。装置の特殊な頂上事象が与えられ、当該故障の木が前記ＦＴ図ＤＢ手段にあれば、当該頂上事象用に故障の木を作成できる；そうでなければ、手動で改訂する必要がある。これらの従来のシステムや方法（例えば、特許文献１、２、３）に共通する問題は、故障の木を完全に自動的に開発するための形式上のパラメータ化されたシステムアートテクチャやコンポーネントエラー（故障）モデルが存在せず、従って、従来のシステムや方法は、一般的には、特定の領域やシステムに限定されることである。
　更に、これらの発明は、異なる事象間の系列依存性が一般には省略される、ＡＮＤやＯＲなどの従来の単純な静的論理関係にのみ焦点を当てている。
特許２８５３２１５号公報 特開平０７－２００５３４号公報 特開２００３－１４９３７７公報
J. B. Dugan, S. J. Bavuso, and M. A. Boyd, Dynamic Fault-Tree Models for Fault Tolerant Computer Systems, IEEE Trans. on Reliability, Vol. 41, No.3, 1992, pp. 363-377.
　第１問題は、上述した技術は手動による故障の木の開発は、特に大きな複雑なシステム解析の場合、困難で、エラーが生じやすいことである。
　その理由は、現在用いられているＦＴＡツールの多くが、特に、フォールトトレラントコンピューシステムの場合、故障の木を自動的に開発するための形式上のシステムアートテクチャモデルやコンポーネントエラーモデルをどのように開発するかに考慮が払われていないためである。むしろ、どのように最小カットセット（ＭＣＳ：最小カットセットは、頂上事象となる基本事象の最小組み合わせ）を算出するかや、先ずエンジニアが手動で開発するとされる、与えられた故障の木の故障率に主に関心が払われている。
　第２問題は、コンポーネントの事象間の機能依存性と系列依存性とが、通常、いくつかの動的ゲートでモデル化され、このことがセマンティックトラブルを引き起こす原因になり、稼働時のシステム管理やシステム保守のための余分な費用が必要となることである。
　その理由は、いくつかの動的ゲートの形式上のセマンティックが十分に定義されておらず、動的な故障の木状態を解析するには履歴（系列）情報が必要となり、そのことがトラブルの原因となり、大規模なシステムを解析する費用が増大するからである。
　そこで、本発明の目的は、システムモデルから故障の木を自動的に開発・解析するシステムと方法を提供することにある。
　また、本発明の他の目的は、標準的な静的論理ゲートを使い、事象間の機能依存性と系列依存性とを定義するモデルを提示することである。
　上記課題を解決する本発明は、システムモデルから静的な故障の木を解析するシステムにおいて、システム構成と、解析する頂上事象のシステムとを入力するシステム構成入力手段と、システムアーキテクチャモデルとコンポーネントエラーモデルとを記憶するシステムモデルライブラリ手段と、前記コンポーネントエラーモデルで定義された分解ルールに従い、前記頂上事象からシステムの故障の木を解析するフォルトツリー解析手段と
を有し、前記システム構成と前記頂上事象とは、前記システムモデルライブラリ手段にそれぞれ記憶されたシステムアーキテクチャモデルの事例とコンポーネントエラーモデルの故障事象であり、前記システムアーキテクチャモデルは、異なるコンポーネント間の物理的及び意味的関係の区分と定義とが記述され、前記コンポーネントエラーモデルは、コンポーネントの異なる故障事象と、故障の木を解析に用いられる機能依存性と系列依存性とを網羅する分解ルールであるブール論理式関係とを定義している故障の木を解析するシステムである。
　上記課題を解決する本発明は、システムモデルから静的な故障の木を解析する故障の木解析方法であって、解析するシステムにおける、異なるコンポーネント間の物理的及び意味的関係の区分と定義とが記述されシステムアーキテクチャモデルと、コンポーネントの異なる故障事象と、故障の木を解析に用いられる機能依存性と系列依存性とを網羅する分解ルールであるブール論理式関係とを定義しているコンポーネントエラーモデルとを記憶し、解析するシステムの頂上事象を選択し、前記コンポーネントエラーモデルで定義された分解ルールに従い、前記頂上事象からシステムの故障の木を解析する故障の木解析方法である。
　上記課題を解決する本発明は、コンピュータに、システムモデルから静的な故障の木を解析させるプログラムであって、解析するシステムにおける、異なるコンポーネント間の物理的及び意味的関係の区分と定義とが記述されシステムアーキテクチャモデルと、コンポーネントの異なる故障事象と、故障の木を解析に用いられる機能依存性と系列依存性とを網羅する分解ルールであるブール論理式関係とを定義しているコンポーネントエラーモデルとを記憶する処理と、前記コンポーネントエラーモデルで定義された分解ルールに従い、選択した頂上事象からシステムの故障の木を解析する処理とをコンピュータに実行させるプログラムである。
　本発明によれば、システムアーキテクチャモデルの事例と頂上事象とから、コンポーネントエラーモデルに関して、システムの故障の木が自動的に開発することができる。
本発明の第１の形態の構成を示すブロック図である。 第１の実施の形態の動作を示す流れ図である。 本発明の第２、３の実施の形態の構成を示すプロック図である。 第２の実施の形態の動作を示す流れ図である。 第３の実施の形態の動作を示す流れ図である。 第１実施の形態の動作の具体例を示す図である。 システムアーキテクチャモデルの例（UML図）を示す図である。 ネットワークサーバアーキテクチャモデルの例（Maude仕様）を示す図である。 コンポーネントエラーモデルの例（Maude仕様）を示す図である。 MCS算出ルールの例（Maude仕様）を示す図である。 システム構成インプットの例(Maude仕様)を示す図である。 図１１のインプットについてのMCSアウトプットを示す図である。 PANDゲートからANDゲートまでの変換の例を示す図である。 特許文献３の信頼性解析支援装置実行される処理手順の説明図である。 特許文献３のFT図作成ステプの詳細説明図である。
　本発明の概要を説明する。
　本発明のシステムモデルからの静的なフォルトツリー解析（ＦＴＡ）システムは、システム構成入力手段と、システムモデルライブラリ手段と、フォルトツリー解析（ＦＴＡ）手段とを備える。
　システム構成入力手段を使い、解析するシステムの（物理的及びセマンティックな）構成を入力する。入力構成は、以下に記す、システムモデルライブラリ手段で定義されたシステムアートテクチャモデルの定義に従う。
　システムモデルライブラリ手段を使い、システムアートテクチャモデルとコンポーネントエラーモデルとのセットと、故障の木の最小カットセット算出ルールのセットとを保存する。
　システムアートテクチャモデルは、コンポーネントの区分とコンポーネント間の関係とを含み、当該関係は潜在的な物理的接続と合成、及びコンポーネント間の機能依存性などのセマンティックな要求事項を含む。
　コンポーネントエラーモデルは、異なる故障の定義とコンポーネントの条件付き事象含み、コンポーネント間の機能依存性及び故障事象間の系列依存性の両方が網羅される。コンポーネントエラーモデルの定理が、故障の木を構築（解析）する分解ルールとして機能する。
　更に、最小カットセット（ＭＣＳ）算出ルールを使用し、解析された故障の木の最小カットセットを算出する。
　システムモデルライブラリ手段で定義された前記故障の木分解ルールとＭＣＳ算出ルールとに従い、フォルトツリー解析（ＦＴＡ）手段を使用し、入力されたシステム構成の故障の木を生成、解析する。
　以下、本発明の実施の形態を更に詳細に説明する。
　本発明の第１の実施の形態について図面を参照して詳細に説明する。
　図１を参照すると、本発明の第１の実施の形態が、システム構成入力手段１１０と、システムモデルライブラリ手段１２０、フォルトツリー解析（ＦＴＡ）手段１３０とを備える。
　システムモデルライブラリ手段１２０は、更にシステムアーキテクチャモデル手段１２１とコンポーネントエラーモデル手段１２２とを備える。
　これらの手段はそれぞれ概略つぎのように動作する。
　システム構成入力手段１１０は、システム構成と、解析するシステムの頂上事象とを入力する。システム構成は、後述するシステムアーキキテクチャモデル手段１２１で定義したシステムアーキキテクチャモデルの定義に追従しなければならない。
　システムモデルライブラリ手段１２０は、フォルトツリー解析（ＦＴＡ）用のシステムモデルのセットを記憶する。システムモデルは、更に、２つのグループ、すなわち、システムアーキキテクチャモデルと、コンポーネントエラーモデルとに区分することができる。
　システムアーキキテクチャモデル手段１２１は、コンポーネントの区分や属性を特定するシステムアーキキテクチャモデルのセットを記憶する。そこでは、属性がコンポーネントの合成と、コンポーネント間の潜在的な物理的接続やセマンティックな（機能上の）関係とを示す関数により表記される。
　コンポーネントエラーモデル手段１２２は、異なるコンポーネント故障や条件付き事象とその論理関係とを特定するコンポーネントエラーモデルのセットを記憶する。コンポーネントエラーモデルで定義された定理は、故障の木分解ルールとして機能する。
　フォルトツリー解析（ＦＴＡ）手段１３０は、前記入力システム構成と故障の木分解ルールとに従い、前記頂上事象から事象を分解する。即ち、故障の木を解析する。
　次に、図１及び図２のフローチャートを参照して本実施の形態の全体の動作について詳細に説明する。
　先ず、システム構成が前記システム構成入力手段１１０により入力される（ステップＡ１）。
　利用者は、解析するシステムの頂上故障事象を入力する（選択する）（ステップＡ２）。
　頂上事象は、コンポーネントエラーモデル手段１２２で定義され一定の分解ルールによって、フォルトツリー解析（ＦＴＡ）手段１３０によりいくつかのサブ事象に分解される（ステップＡ３）。
　分解されたサブ事象に対する分解ルールがもはや入手できなるまで、即ち、サブ事象はもはや分解不可能な基本事象となるまで、サブ事象の分解（ステップＡ３）を繰り返す。
　最後に、（基本事象を含む）生成した故障の木を出力する。
　次に、本実施の形態の効果について説明する。
　本実施の形態は、コンポーネントエラーモデル手段１２２で定義され一定の分解ルールに従って、繰り返し事象を分解するので、入力頂上事象の故障の木は自動的に生成することができる。
　次に、本発明の第２の実施の形態について図面を参照して詳細に説明する。
　図３を参照すると、本発明の第２の実施の形態は第１の実施の形態を拡張したものであり、前記システムモデルライブラリ手段１２０が、故障の木のＭＣＳを算出するために使用する算出ルールのセットを記憶するＭＣＳ算出手段１２３を更に備える。同様に、第２の実施の形態のフォルトツリー解析（ＦＴＡ）手段１３０も第１の実施の形態で記載した事象の分解の他に、ＭＣＳへの算出に使用される。
　次に、図３及び図４のフローチャートを参照して本実施の形態の全体の動作について詳細に説明する。
　ステップＢ１からＢ３は第１の実施の形態のステップＡ１からＡ３とそれぞれ同じである。頂上事象を分解後、サブ事象が、ＭＣＳ算出手段１２３で定義された算出ルールを使い、事象の冗長連言も除去される加法標準形（ＤＮＦ）に変換される（ステップＢ４）。ＤＮＦのいかなる事象に対しても、基本事象になる（即ち、分解不可能になる）までステップＢ３とステップＢ４を繰り返す。最後に、すべての事象が基本事象になると、最終ＤＮＦが故障の木のＭＣＳとして出力される。
　次に、第２の実施の形態の効果について説明する。
　本実施の形態は、故障の木の冗長ノードをタイムリーなやり方で除去できる、事象の繰り返し分解とＭＣＳへの算出を有するので、故障の木のＭＣＳを効率的なやり方で算出できる。しかしながら、ＭＣＳへの算出は事象の各分解後に行われるので、この実施の形態においては、ＭＣＳに算出されていない完全な本来の故障の木を出力することできない。
　次に、本発明の第３の実施の形態について図面を参照して詳細に説明する。
　図３を参照すると、本発明の第３の実施の形態は、第２の実施の形態の手段を有するが、第２の実施の形態と異なる所は、第３の実施の形態が、以下に記載する事象分解ステップとＭＣＳ算出ステップに関して異なる処理フローから構成されていることにある。
　次に、図３及び図５のフローチャートを参照して本実施の形態の全体の動作について詳細に説明する。
　本実施の形態も事象を分解すること（ステップＣ３）及びＭＣＳへ算出することを（ステップＣ４）有するが、分解は、分解を繰り返すことによりすべての事象が基本事象になって（分解不可能になって）から一回のみ行われる。それ故、削減されていない完全な本来の故障の木と、故障の木の最小カットセットの両方を出力することができる（ステップＣ５）。
　第３の実施の形態は、第２の実施の形態と比較すると、各分解後タイムリーな分解が行われないので、ＭＳＣを算出するのにより多くの時間を費やす。しかし、第３の実施の形態の効果は、完全な分解情報が保持されるので、削減されていない本来の故障の木を出力することができる。
　上述した本発明の実施の形態は、以下の効果を有する。
　第１の効果は、システム構成やシステムの望ましくない頂上事象が与えられると、頂上事象の故障の木並びに故障の木の最小カットセットを自動的に生成することができることにある。その理由は、入力システム構成がシステムアートテクチャモデルの定義に追従するので、システムモデルライブラリ手段で定義された故障の木分解ルールとＭＣＳ算出ルールにそれぞれ従い、故障の木とＭＣＳとを開発、算出することができるからである。
　第２の効果は、従来の動的なゲートよりむしろ標準的な静的論理ゲートを使い、コンポーネント間の機能依存性及び故障事象間の系列依存性をモデル化することができることにある。その理由は、コンポーネントの内部的な故障事象と外部的な故障事象とを区分することにより、異なるコンポーネント間の機能依存性を標準的なＯＲゲートで表示でき、余分な従属条件付き事象を導入することにより、コンポーネント故障事象間の系列依存性が標準的なＡＮＤゲートで取り扱うことができるからである。
　次に、具体的な実施例を用いて本発明の動作を説明する。
　ひとつの高信頼性ネットワーク構成を図６に示す。以下にシステムの構成を説明する。
　システムは２つのサーバｓ１とｓ２とから構成され、ｓ２はｓ１が故障した時作動する予備であり、ｓ１はプライマリ（作動）サーバである。
　各サーバは２つのネットワークカードを有し、各ネットワークカードは、プライマリｓ１のｃ１１（プライマリ）のカードとｃ１２（予備）と、スタンバイ用のｓ２のｃ２１（プライマリ）とｃ２２（予備）とである。
　２つのハブｈ１とハブｈ２とがあり、有線ケーブル、ｂ１１（ｃ１１とｈ１との間）、ｂ１２（ｃ１２とｈ２との間）、ｂ２１（ｃ２１とｈ１との間）、及びｂ２２（ｃ２２とｈ２との間）で２つのハブがネットワークカードｃ１１，ｃ１２，ｃ２１，ｃ２２に接続されている。
　ＵＭＬ形式で表記された例示的システムアーキキテクチャモデルを図７に示す。
　このシステムアーキキテクチャモデルは、システムアーキキテクチャモデル手段１２１に記憶され、ひとつの実施の形態に対して異なる形式で表すことができる。図７のＵＭＬグラフィック形式は、読みやすくするための一例にすぎない。図７のいくつかの注釈は、以下の通りである。
　コンポーネントは複合コンポーネント、ハードウエア、又はソフトウエアでもよい。ハードウエアコンポーネントは、バス、メモリ、プロセッサ、又はデバイスでもよく、必須コンポーネント又は予備コンポーネントとして機能する。プライマリコンポーネントは、少なくとも１つの予備コンポーネントを有する必須コンポーネントである。複合ハードウエア（複合ＨＷ）は複合コンポーネントとハードウエコンポーネントの両方である。
　複合ハードウエアは、１つまたはいくつかの（サブ）ハードウエコンポーネントから構成され、一般的は、その機能性は、すべての必須サブコンポーネントが十分に作動すること、即ち、ダウンしないことに依存している（故障事象ダウンの定義は、図９に後述する）。それ故、図７に示される如く、関係”depAll”は、実際には複合コンポーネントとサブハードウエコンポーネントとの間の一種の垂直機能依存性を表し、物理的分解関係”consists”のサブ関係にある。
　ハードウエアエコンポーネントはバスに接続されないか、又はいくつかのバスに接続され、一般的は、ハードウエアエコンポーネントは、ディスエイブルされていない（接続）バスのいずれかにアクセスできることが必要である。それ故、図７に示される如く、関係”reqAny”は、実際にはハードウエアとバスとの間の一種の水平機能依存性を表し、物理的接続関係”connects”のサブ関係にある。
　プライマリ（ハードウエア）は１つ又はいくつかの予備を有し、予備は１つ又はいくつかのプライマリを同時にサポートする。しかしながら、予備は常時せいぜい１つのプライマリ（即ち、最初の故障プライマリ）にのみ置き換わることができることに注目するべきである。置換の関係を使用して、同じ１つの予備でサポートされている２つのプライマリの系列事故事象を表すことができる。例えば、同じ１つの予備Ｓを共有している２つのプライマリエコンポーネントＰ１とＰ２があり、頂上事象は、Ｐ２はＰ１が故障する前に故障するとして定義されとする（Ｐ１が故障すると、予備ＳはＰ１に代わって作動できないので、Ｐ１とＰ２とから構成されるシステムが故障することを意味する）。条件付き事象置換（Ｓ、Ｐ２）を導入することにより、Ｐ１の故障とＰ２の故障との間の上記系列依存性は、図１３に示すように、従来のＰＡＮＤゲートよりも、むしろ標準的な静的ＡＮＤゲートで表記することができる。
　さらに、図８は、形式的仕様プログラム言語であるMaudeで書かれたネットワークサーバの例示的な形式的アーキキテクチャモデルを表す。図８のいくつかの表記は以下の通りである（ライン番号は読みやすさのため付け加えた）。
　ライン４から９に記載されている事項は、データタイプ（種類）とサブタイプの定義である。例えば、サーバは複合ハードウエアコンポーネントである。尚、サブタイプ関係は記号“＜”で表記される。
　ライン１０に記載されている事項は、述語“existNWCard”の定義であり、ハードウエアコンポーネントのセットにネットワークカードがあるか否かを表記する。
　ライン１１に記載されている事項は、いかなるネットワークサーバもいくつかのネットワークカードで構成されなければならいという属性を述べる式（定理）である。図７で記載したように、“consists”は複合ハードウエアコンポーネントブタイプからそのサブハードウエアコンポーネントへの定義された関数であることに注目すべきである。
　前記コンポーネントエラーモデル手段１２２に記憶される、Maudeで書かれた例示的コンポーネントエラーモデルを、図９に示す。図９で定義された式が、故障の木を開発する分解ルールとして機能する。図９のいくつかの表記は以下の通りである。
　ライン２から５に記載されている事項は、種類のコンポーネント故障事象を定義している。
　ライン２に記載されている「failed」は、コンポーネントの（一次的な）内部故障、例えば、破損である。
　ライン３に記載されている「disabled」は機能上依存する他のコンポーネントにより引き起こされるものであり、機能上依存する他のコンポーネント、例えば、メモリの故障により一般的に引き起こされるコンポーネントの（二次的な）外部故障は、メモリにはアクセス可能なバスが必要であるため、バスによりディスエイブルされる。
　ライン４に記載されている「functionless」は、コンポーネントの内部故障と外部故障とが重なったことを示している。
　ライン５に記載されている「down」は、プライマリコンポーネントが機能せず、その予備のいずれもが作動しなかったことを表記するために一般的に使用される。
　ライン６から８には、式用の変数宣言文が記載されている。
　ライン９と１０には、機能せずの意味を定義する式、即ち、複合コンポーネントは、その依存したサブ必須コンポーネントのいずれかがダウンした時及びその時のみダウンし（いかなる複合コンポーネントも、そのサブコンポーネントのいくつかを経由して他の周辺のコンポーネントに接続しなければならないという仮定のもとで）、そして非複合コンポーネントは、それ自体が故障した又はディスエイブルされた時及びその時のみ機能しないことを定義する式が記載されている。これらの２つの定理は垂直及び水平機能依存性をそれぞれ表示する。
　ライン１１には、ディスエイブルの意味を定義する式、即ち、コンポーネントは、すべての所要のバスが機能しなくなった時及びその時のみディスエイブルされることを定義する式が記載されている。尚、バス接続は一時的であり、相互作用するので、バスコンポーネントと非バスコンポーネントのケース分離並びに補助関数“＄allFunctionless”の第２のパラメータを使用し、サイクリック依存性を除去している。
　ライン１２から１５には、ダウンの意味を定義する式、即ち、プライマリコンポーネントは、プライマリコンポーネント自体が機能せず、その予備のいずれも作動しなくなった時及びその時のみダウンし、非プライマリコンポーネントのダウンは、便宜上、非プライマリコンポーネントが機能しないことと同じと定義することが記載されている。プライマリコンポーネント用に予備が作動しなかった理由は、予備が機能しない、又は以前にサポートした他のプライマリコンポーネントが作動しているからである。最後に、プライマリコンポーネント用の予備の作動は、プライマリが機能せず、予備がプライマリに置く変わることと同じである（条件付き事象）。
　ＭＣＳ算出手段１２３について、いくつかの例示的ルールを図１０に示す。いくつかの表記は以下の通りである。
　ライン１から４には、以降の式用の変数宣言文が記載されている。ソートFaultEventはBoolのサブソートであることに注目すべである。
　ライン５には、論理式（Boolean formula）をＤＮＦに変換する式が記載されている。
　ライン６には、最終ＭＣＳにおいて不必要な条件付き事象置換を除去する式が記載されている。この式が意味することは、同じ１つの予備を共有する２つのプライマリコンポーネントがあると仮定し、２つのプライマリコンポーネントの両方が機能しないことを述べる２つの連言があり、予備が、２つの連言において第１と第２のプライマリコンポーネントにそれぞれ置き換わるとすると、これらの２つの連言は、２つのプライマリコンポーネントのみから構成される１つの連言に統一することができることを意味する。
　ライン７から９には、冗長カットセット（連言）を除去して故障の木の最小カットセットを得る式が記載されている。
　図６に示す例示的なネットワーク構成のグラフィック表現及び図７と図８に示す例示的なシステムアーキキテクチャモデルを基にして、例示的なネットワーク構成の論理表現の入力は、図１１で示す如く形式で表記されると仮定する（図２のステップＡ１に対応する）。いくつかの表記は次の通りである。
　明確にするため、コンポーネント間の物理的接続用の形式的仕様を省略し、コンポーネント間の関数関係のみ表す。ある一定のルールを前記システムアーキキテクチャモデル手段１２１に追加したならば、関数関係は物理的接続から導き出し、簡易化すことができる。例えば、複合コンポーネントがそのサブ必須コンポーネントのすべてに依存すると仮定した場合、エンジニアが不必要になった必須サブコンポーネントを複合コンポーネントに誤って又は他の理由で導入しなければ、関数関係“depAll”は、“consists”内の予備コンポーネントを除去することにより、簡単なやり方で複合コンポーネントの物理的分解接続“consists”から導き出すことができる。
　例示的な構成の論理表現は、２つのメインパーツから構成される。１つはコンポーネントの定数値定義、即ち、ライン４から１１で表記されるコンポーネント事例の名前とタイプである。例えば、ライン４の定数値定義は、”sys”は複合コンポーネントの事例、即ち、例示的ネットワークシステムであると述べている。他はこれらのコンポーネント間の関係で、ライン１２から２６の式で表記される。例えば、ライン１２の式は、例示的ネットワークシステム、“sys”、はプライマリサーバｓ１に依存すると述べている。
　図１１に示す入力システム構成を基にして、利用者が、システム、“sys”、はダウンしている、即ち、“down(sys)”であるとして、解析する頂上事象を選択すると仮定する（図２のステップＡ２に対応する）。
　事例“sys”はプライマリコンポーネントではない、即ち、例示的ネットワークシステムはいかなる予備も有していないので頂上事象の最初の分解は、図９のライン１３に示す分解ルールを適用することにより“functionless(sys)”の１つのサブ事象を得る（図２のステップＡ３に対応する）。サブ事象は、図９のライン９に示す分解ルールを適用することにより、更に分解され、図１１のライン４とライン１１に示す構成式を基にしてサブ事象は“anyDown(s1)”を得る、即ち、sysは複合ハードウエアコンポーネントであり、サーバｓ１に依存する（図２のステップＡ３の繰り返される実行に対応する）。分解ステップを繰り返し行い、ＭＣＳへの算出もまた図４のステップＢ４又は図５のステップＣ４に示す如くなやり方で実行されると仮定すると、２つの頂上事象を持つ故障の木の最終のＭＣＳが図１２に示される（図４と図５のステップＢ５とＣ３にそれぞれ対応する）。
　尚、上述した実施の形態及び実施例では、各部をハードウエアで構成したが、各部の動作と同様な動作を行うプログラムとＣＰＵとで構成しても良い。
　以上好ましい実施の形態及び実施例をあげて本発明を説明したが、本発明は必ずしも上記実施の形態に限定されるものではなく、その技術的思想の範囲内において様々に変形し実施することが出来る。
　また、上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
　［付記１］　システムモデルから静的な故障の木を解析するシステムにおいて、
　システム構成と、解析する頂上事象のシステムとを入力するシステム構成入力手段と、
　システムアーキテクチャモデルとコンポーネントエラーモデルとを記憶するシステムモデルライブラリ手段と、
　前記コンポーネントエラーモデルで定義された分解ルールに従い、前記頂上事象からシステムの故障の木を解析するフォルトツリー解析手段と
を有し、
　前記システム構成と前記頂上事象とは、前記システムモデルライブラリ手段にそれぞれ記憶されたシステムアーキテクチャモデルの事例とコンポーネントエラーモデルの故障事象であり、
　前記システムアーキテクチャモデルは、異なるコンポーネント間の物理的及び意味的関係の区分と定義とが記述され、
　前記コンポーネントエラーモデルは、コンポーネントの異なる故障事象と、故障の木を解析に用いられる機能依存性と系列依存性とを網羅する分解ルールであるブール論理式関係とを定義している
故障の木を解析するシステム。
　［付記２］
　前記システムモデルライブラリ手段は、故障の木の最小カットセットを算出するためのＭＣＳ算出ルールを記憶し、前記ＭＣＳ算出ルールに基づいて、事象の冗長カットセットを除去し、最小カットセットを算出するＭＣＳ算出手段を
有する付記１に故障の木解析システム。
　［付記３］
　システムモデルから静的な故障の木を解析する故障の木解析方法であって、
　解析するシステムにおける、異なるコンポーネント間の物理的及び意味的関係の区分と定義とが記述されシステムアーキテクチャモデルと、コンポーネントの異なる故障事象と、故障の木を解析に用いられる機能依存性と系列依存性とを網羅する分解ルールであるブール論理式関係とを定義しているコンポーネントエラーモデルとを記憶し、
　解析するシステムの頂上事象を選択し、
　前記コンポーネントエラーモデルで定義された分解ルールに従い、前記頂上事象からシステムの故障の木を解析する
故障の木解析方法。
　［付記４］
　故障の木の最小カットセットを算出するためのＭＣＳ算出ルールを記憶し、前記ＭＣＳ算出ルールに基づいて、事象の冗長カットセットを除去し、最小カットセットを算出する
付記３に記載の故障の木解析方法。
　［付記５］
　コンピュータに、システムモデルから静的な故障の木を解析させるプログラムであって、
　解析するシステムにおける、異なるコンポーネント間の物理的及び意味的関係の区分と定義とが記述されシステムアーキテクチャモデルと、コンポーネントの異なる故障事象と、故障の木を解析に用いられる機能依存性と系列依存性とを網羅する分解ルールであるブール論理式関係とを定義しているコンポーネントエラーモデルとを記憶する処理と、
　前記コンポーネントエラーモデルで定義された分解ルールに従い、選択した頂上事象からシステムの故障の木を解析する処理と
をコンピュータに実行させるプログラム。
　［付記６］
　故障の木の最小カットセットを算出するためのＭＣＳ算出ルールに基づいて、事象の冗長カットセットを除去し、最小カットセットを算出する処理を
をコンピュータに実行させる付記５に記載のプログラム。
　本出願は、２０１０年５月２４日に出願された日本出願特願２０１０－１１７９４５号を基礎とする優先権を主張し、その開示の全てをここに取り込む。
　本発明によれば、前記システムモデルライブラリ手段により定義された分解ルール及び削減ルールに従い、システムアーキテクチャモデルと、コンポーネントエラーモデルと、ＭＣＳ算出ルールとを定義する前記システムモデルライブラリ手段と、故障の木を生成し、ＭＣＳを算出する前記フォルトツリー解析（ＦＴＡ）手段とがそれぞれ実行することにより、システム構成から故障の木でシステム信頼性を自動的に解析することができる。
　１１０　　　システム構成入力手段
　１２０　　　システムモデルライブラリ手段
　１３０　　　フォルトツリー解析（ＦＴＡ）手段
　１２１　　　システムアーキテクチャモデル手段
　１２２　　　コンポーネントエラーモデル手段
　１２３　　　ＭＣＳ算出手段

Claims (6)

  1. 　システムモデルから静的な故障の木を解析するシステムにおいて、
    　システム構成と、解析する頂上事象のシステムとを入力するシステム構成入力手段と、
    　システムアーキテクチャモデルとコンポーネントエラーモデルとを記憶するシステムモデルライブラリ手段と、
    　前記コンポーネントエラーモデルで定義された分解ルールに従い、前記頂上事象からシステムの故障の木を解析するフォルトツリー解析手段と
    を有し、
    　前記システム構成と前記頂上事象とは、前記システムモデルライブラリ手段にそれぞれ記憶されたシステムアーキテクチャモデルの事例とコンポーネントエラーモデルの故障事象であり、
    　前記システムアーキテクチャモデルは、異なるコンポーネント間の物理的及び意味的関係の区分と定義とが記述され、
    　前記コンポーネントエラーモデルは、コンポーネントの異なる故障事象と、故障の木を解析に用いられる機能依存性と系列依存性とを網羅する分解ルールであるブール論理式関係とを定義している
    故障の木を解析するシステム。
  2. 　前記システムモデルライブラリ手段は、故障の木の最小カットセットを算出するためのＭＣＳ算出ルールを記憶し、前記ＭＣＳ算出ルールに基づいて、事象の冗長カットセットを除去し、最小カットセットを算出するＭＣＳ算出手段を
    有する請求項１に故障の木解析システム。
  3. 　システムモデルから静的な故障の木を解析する故障の木解析方法であって、
    　解析するシステムにおける、異なるコンポーネント間の物理的及び意味的関係の区分と定義とが記述されシステムアーキテクチャモデルと、コンポーネントの異なる故障事象と、故障の木を解析に用いられる機能依存性と系列依存性とを網羅する分解ルールであるブール論理式関係とを定義しているコンポーネントエラーモデルとを記憶し、
    　解析するシステムの頂上事象を選択し、
    　前記コンポーネントエラーモデルで定義された分解ルールに従い、前記頂上事象からシステムの故障の木を解析する
    故障の木解析方法。
  4. 　故障の木の最小カットセットを算出するためのＭＣＳ算出ルールを記憶し、前記ＭＣＳ算出ルールに基づいて、事象の冗長カットセットを除去し、最小カットセットを算出する
    請求項２に記載の故障の木解析方法。
  5. 　コンピュータに、システムモデルから静的な故障の木を解析させるプログラムであって、
    　解析するシステムにおける、異なるコンポーネント間の物理的及び意味的関係の区分と定義とが記述されシステムアーキテクチャモデルと、コンポーネントの異なる故障事象と、故障の木を解析に用いられる機能依存性と系列依存性とを網羅する分解ルールであるブール論理式関係とを定義しているコンポーネントエラーモデルとを記憶する処理と、
    　前記コンポーネントエラーモデルで定義された分解ルールに従い、選択した頂上事象からシステムの故障の木を解析する処理と
    をコンピュータに実行させるプログラム。
  6. 　故障の木の最小カットセットを算出するためのＭＣＳ算出ルールに基づいて、事象の冗長カットセットを除去し、最小カットセットを算出する処理を
    をコンピュータに実行させる請求項５に記載のプログラム。
PCT/JP2011/061738 2010-05-24 2011-05-23 システムモデルからの静的なフォルトツリー解析のシステムと方法 WO2011148891A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2012517252A JPWO2011148891A1 (ja) 2010-05-24 2011-05-23 システムモデルからの静的なフォルトツリー解析のシステムと方法
US13/699,359 US20130073271A1 (en) 2010-05-24 2011-05-23 Static fault tree analysis system and method from system models

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2010-117945 2010-05-24
JP2010117945 2010-05-24

Publications (1)

Publication Number Publication Date
WO2011148891A1 true WO2011148891A1 (ja) 2011-12-01

Family

ID=45003881

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2011/061738 WO2011148891A1 (ja) 2010-05-24 2011-05-23 システムモデルからの静的なフォルトツリー解析のシステムと方法

Country Status (3)

Country Link
US (1) US20130073271A1 (ja)
JP (1) JPWO2011148891A1 (ja)
WO (1) WO2011148891A1 (ja)

Cited By (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2012113582A (ja) * 2010-11-26 2012-06-14 Nec Corp 故障の木の最小カットセットを効率的に評価する方法とシステム
CN102707712A (zh) * 2012-06-06 2012-10-03 广州山锋测控技术有限公司 电子装备故障诊断方法和系统
WO2013085025A1 (ja) * 2011-12-09 2013-06-13 日本電気株式会社 最小カットセット評価システム、最小カットセット算出方法及びプログラム
WO2014043667A1 (en) * 2012-09-17 2014-03-20 Siemens Corporation Logic based approach for system behavior diagnosis
JP5454826B2 (ja) * 2011-02-22 2014-03-26 日本電気株式会社 故障の木システム信頼性分析システム、故障の木システム信頼性分析方法及びプログラム
CN103729289A (zh) * 2013-11-29 2014-04-16 北京广利核系统工程有限公司 一种利用图式标明hpd逻辑可靠性的方法
CN106094783A (zh) * 2016-05-30 2016-11-09 重庆大学 一种液氢加注系统故障诊断和实时报警方法
KR20180135422A (ko) * 2017-06-12 2018-12-20 지멘스 악티엔게젤샤프트 유휴 시스템 고장 상태들을 식별하기 위한 결함 트리들을 사용하는 안전 보장
CN109491812A (zh) * 2018-10-11 2019-03-19 西北工业大学 基于区间模型的系统局部可靠性灵敏度分析方法
CN112069649A (zh) * 2020-07-21 2020-12-11 武汉交通职业学院 一种基于模型驱动架构(mda)的电动汽车eps系统可靠性评估方法
CN113348418A (zh) * 2018-12-18 2021-09-03 西门子工业软件有限责任公司 用于生成组合不同抽象层的多组件系统的混合层故障树的计算机实现的方法
CN114118790A (zh) * 2021-11-25 2022-03-01 中电科航空电子有限公司 基于SysML民用通信导航系统安全性分析方法及系统

Families Citing this family (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2014184823A1 (en) * 2013-05-15 2014-11-20 Nec Corporation System, method, and program for identifying persistent components and persistent systems
US20140359366A1 (en) * 2013-05-28 2014-12-04 Jean-Pascal Schwinn Method and Engineering Apparatus for Performing a Three-Dimensional Analysis of a Technical System
US20160170868A1 (en) * 2014-12-16 2016-06-16 Siemens Aktiengesellschaft Method and apparatus for the automated testing of a subsystem of a safety critical system
US10558513B2 (en) * 2015-01-30 2020-02-11 Hitachi Power Solutions Co., Ltd. System management apparatus and system management method
US10241852B2 (en) * 2015-03-10 2019-03-26 Siemens Aktiengesellschaft Automated qualification of a safety critical system
WO2016173624A1 (en) * 2015-04-28 2016-11-03 Siemens Aktiengesellschaft Method and apparatus for generating a fault tree for a failure mode of a complex system
CN105138428B (zh) * 2015-08-22 2018-03-06 西安电子科技大学 基于前驱依赖的故障恢复方法
US10061670B2 (en) * 2015-12-28 2018-08-28 Siemens Aktiengesellschaft Method and apparatus for automatically generating a component fault tree of a safety-critical system
US10558766B2 (en) * 2015-12-31 2020-02-11 Palo Alto Research Center Incorporated Method for Modelica-based system fault analysis at the design stage
DE112016006545T5 (de) * 2016-04-08 2018-11-15 Mitsubishi Electric Corporation Informationsverarbeitungsvorrichtung, Informationsverarbeitungsverfahren und Informationsverarbeitungprogramm
EP3260940A1 (en) * 2016-06-21 2017-12-27 Siemens Aktiengesellschaft Method and apparatus for automated hazard detection
US10684614B2 (en) * 2016-07-27 2020-06-16 Skyworks Solutions, Inc. Flexible planning model for fabrication with high volume and high mixture
CN107037802B (zh) * 2016-10-28 2018-01-26 华中科技大学 一种过程控制系统信息安全防护的异常检测方法
CN111124879A (zh) * 2019-10-31 2020-05-08 中国航天系统科学与工程研究院 一种基于故障树的待验属性提取方法、介质及设备
CN112580189B (zh) * 2020-11-19 2022-12-02 中海石油（中国）有限公司天津分公司 用于ups供电系统获取故障树底事件结构重要度的方法

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH0784995A (ja) * 1993-09-17 1995-03-31 Hitachi Ltd 故障診断支援システム
JP2000235507A (ja) * 1999-02-16 2000-08-29 Toshiba Corp システムの信頼性設計装置及び方法並びにシステムの信頼性設計用ソフトウェアを記録した記録媒体

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH0784995A (ja) * 1993-09-17 1995-03-31 Hitachi Ltd 故障診断支援システム
JP2000235507A (ja) * 1999-02-16 2000-08-29 Toshiba Corp システムの信頼性設計装置及び方法並びにシステムの信頼性設計用ソフトウェアを記録した記録媒体

Cited By (20)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2012113582A (ja) * 2010-11-26 2012-06-14 Nec Corp 故障の木の最小カットセットを効率的に評価する方法とシステム
JP5454826B2 (ja) * 2011-02-22 2014-03-26 日本電気株式会社 故障の木システム信頼性分析システム、故障の木システム信頼性分析方法及びプログラム
US8909991B2 (en) 2011-02-22 2014-12-09 Nec Corporation Fault tree system reliability analysis system, fault tree system reliability analysis method, and program therefor
WO2013085025A1 (ja) * 2011-12-09 2013-06-13 日本電気株式会社 最小カットセット評価システム、最小カットセット算出方法及びプログラム
JPWO2013085025A1 (ja) * 2011-12-09 2015-04-27 日本電気株式会社 最小カットセット評価システム、最小カットセット算出方法及びプログラム
CN102707712A (zh) * 2012-06-06 2012-10-03 广州山锋测控技术有限公司 电子装备故障诊断方法和系统
WO2014043667A1 (en) * 2012-09-17 2014-03-20 Siemens Corporation Logic based approach for system behavior diagnosis
CN104756028A (zh) * 2012-09-17 2015-07-01 西门子公司 用于系统行为诊断的基于逻辑的方法
CN103729289A (zh) * 2013-11-29 2014-04-16 北京广利核系统工程有限公司 一种利用图式标明hpd逻辑可靠性的方法
CN106094783B (zh) * 2016-05-30 2018-07-17 重庆大学 一种液氢加注系统故障诊断和实时报警方法
CN106094783A (zh) * 2016-05-30 2016-11-09 重庆大学 一种液氢加注系统故障诊断和实时报警方法
KR20180135422A (ko) * 2017-06-12 2018-12-20 지멘스 악티엔게젤샤프트 유휴 시스템 고장 상태들을 식별하기 위한 결함 트리들을 사용하는 안전 보장
KR101967327B1 (ko) 2017-06-12 2019-04-09 지멘스 악티엔게젤샤프트 유휴 시스템 고장 상태들을 식별하기 위한 결함 트리들을 사용하는 안전 보장
US10359773B2 (en) 2017-06-12 2019-07-23 Siemens Aktiengeselschaft Safety assurance using fault trees for identifying dormant system failure states
CN109491812A (zh) * 2018-10-11 2019-03-19 西北工业大学 基于区间模型的系统局部可靠性灵敏度分析方法
CN109491812B (zh) * 2018-10-11 2022-01-04 西北工业大学 基于区间模型的系统局部可靠性灵敏度分析方法
CN113348418A (zh) * 2018-12-18 2021-09-03 西门子工业软件有限责任公司 用于生成组合不同抽象层的多组件系统的混合层故障树的计算机实现的方法
CN112069649A (zh) * 2020-07-21 2020-12-11 武汉交通职业学院 一种基于模型驱动架构(mda)的电动汽车eps系统可靠性评估方法
CN112069649B (zh) * 2020-07-21 2023-08-18 武汉交通职业学院 一种基于mda的电动汽车eps系统可靠性评估方法
CN114118790A (zh) * 2021-11-25 2022-03-01 中电科航空电子有限公司 基于SysML民用通信导航系统安全性分析方法及系统

Also Published As

Publication number Publication date
US20130073271A1 (en) 2013-03-21
JPWO2011148891A1 (ja) 2013-07-25

Similar Documents

Publication Publication Date Title
WO2011148891A1 (ja) システムモデルからの静的なフォルトツリー解析のシステムと方法
Mhenni et al. SafeSysE: A safety analysis integration in systems engineering approach
Mhenni et al. Automatic fault tree generation from SysML system models
Baudry et al. Barriers to systematic model transformation testing
Joshi et al. Automatic generation of static fault trees from AADL models
Kabir et al. A model-based extension to HiP-HOPS for dynamic fault propagation studies
Jung et al. A software fault tree analysis technique for formal requirement specifications of nuclear reactor protection systems
US9047165B1 (en) Multiversion model versioning system and method
Stewart et al. AADL-Based safety analysis using formal methods applied to aircraft digital systems
Chen et al. Formal modeling and validation of stateflow diagrams
Mhenni Safety analysis integration in a systems engineering approach for mechatronic systems design
Huang et al. A framework for reliability-aware embedded system design on multiprocessor platforms
Buckl et al. FTOS: Model-driven development of fault-tolerant automation systems
Cámara et al. Synthesis and quantitative verification of tradeoff spaces for families of software systems
Rugina et al. An architecture-based dependability modeling framework using AADL
Bozzano et al. Formal Methods for Aerospace Systems: Achievements and Challenges
Lipaczewski et al. Using tool-supported model based safety analysis--Progress and experiences in SAML development
Friedrich et al. Knowledge engineering for configuration systems
US10970183B1 (en) System and method for improving model performance
Domis et al. Integrating variability and safety analysis models using commercial UML-based tools
Junges et al. Fault Trees on a Diet: —Automated Reduction by Graph Rewriting—
Adler et al. Graphically notated fault modeling and safety analysis in the context of electric and electronic architecture development and functional safety
Gaudel et al. Enforcing software engineering tools interoperability: An example with aadl subsets
Nasser et al. An Ontology-based Software Test Generation Framework.
Dong et al. Overview: System architecture virtual integration based on an AADL model

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 11786590

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2012517252

Country of ref document: JP

WWE Wipo information: entry into national phase

Ref document number: 13699359

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 11786590

Country of ref document: EP

Kind code of ref document: A1