JP2016167259A - システムの可用性、特にセーフティクリティカルシステムの可用性を解析するための方法および装置 - Google Patents

Abstract

【課題】サブシステムを有するシステムの可用性を解析するための方法および装置を提供する。【解決手段】各サブシステム２−１〜２−５は、それぞれ対応する故障影響をシステムに及ぼす少なくとも１つの故障モードを有する。装置は、サブシステムと故障モードと故障影響と診断措置とを表す故障モード影響解析（ＦＭＥＡ）要素を含むデータベース５に記憶された所定の共通システムメタモデルに基づき、システムの正常動作状態から偏差する、当該システムのシステム劣化状態を表す少なくとも１つの劣化モード要素を含む劣化モードツリー（ＤＭＴ）を、自動生成するように構成された、劣化モードツリー（ＤＭＴ）生成ユニットと、システムの可用性を算出するため、生成された前記劣化モードツリー（ＤＭＴ）を評価する処理ユニットとを有する。【選択図】図１

Description

セーフティクリティカルな技術的システムは、それぞれ複数の構成要素から成る複数のサブシステムを含み得る。これらの構成要素には、ハードウェア構成要素および／またはソフトウェア構成要素が含まれ得る。セーフティクリティカルシステムは、複数の分散されたサブシステムおよび／またはシステム構成要素を有する複雑なシステムを含み得る。一部のサブシステムは、組み込みシステムによって構成することができる。かかる複雑なシステムの場合、全システムの機能に生じ得る故障の因果関係を検査する必要がある。

故障モード影響解析（ＦＭＥＡ）を用いて、調査対象のシステムの機能に生じ得る故障の因果関係を検査することができる。現在、大部分の技術分野において、セーフティクリティカルシステムを解析するために、種々のバリエーションのＦＭＥＡ解析が用いられている。通常、セーフティクリティカルシステムの技術的複雑性は高度であるから、自動化およびツール支援の研究および産業の歴史は長い。小型の組み込みシステムは、手動でメンテナンスされるテーブルで従来の故障モード影響解析（ＦＭＥＡ）を用いて解析することができるが、複雑なシステムは、管理不能なほど長いテーブルとなりやすい。このことは特に、特殊なシステムを開発するために比較的大規模な開発チームが関与している場合に当てはまる。従来の故障モード影響解析では、措置は典型的には、記録上の理由によりテキストで記述され、特定の故障モードの検出と、当該故障モードがシステムに及ぼす影響とに関するものである。かかる従来の故障モード影響解析法は、幾つかの欠点を有する。記述される措置は、故障モードの検出についてのものであって、調査対象のシステム全体のシステム状態を記述するものではない。特定の診断措置によって或る故障モードが十分にカバーされることを記録するだけで十分となり得ることがあり、たとえば、全ての各点故障がカバーされたことを記録するだけで十分となり得ることがある。しかし、高い可用性要求が課されるシステムの場合、特にセーフティクリティカルシステムの場合には、診断措置がシステムを劣化モードにする頻度を知ることが重要になる。この劣化モードは、システムが安全状態ではあるが当該システムの機能を全部は果たすことができないモードである。

さらに、テキスト記述される措置は、システムの複数の異なる劣化モードの解析を支援するものではない。１点の故障を防止するために多数の種々の措置が存在し得るため、その一部は、システムの同一の劣化状態となるが、当該措置の他の一部は、そのシステムの別の劣化状態になることがある。テキスト記述では一貫した解析結果が得られず、複雑な技術的システムの複雑なＦＭＥＡ解析を実施するための複数の劣化モードを判別することができない。典型的にはＦＭＥＡテーブルは、特に複雑なシステムに対応したスプレッドシートテーブルは長く、数多くの異なる診断措置を含む。たとえば、調査対象のシステムの１構成要素、たとえば電子回路のキャパシタ等の場合、「短絡」等の故障モードは、「増幅率が制限を超える」という影響を有し得る。かかる影響はたとえば、「パルステストによって当該故障が検出される」との診断措置によって検出することができる。これは、とるべき措置のテキスト記述であるが、この措置がとられた場合にシステムがなるシステム状態を記述することはできない。テキストフィールドを追加しても、システムの可用性を解析することはできない。というのも、これは複数回発生してＦＭＥＡ解析全体にわたって拡散する可能性があるからである。

従来のＦＭＥＡ解析の「パルステストによって当該故障が検出される」との診断措置の場合、当該措置がとられたときにシステムの応答がどのようなものになるかを記述することはできない。構成要素「キャパシタ」の「短絡」故障モードに対応する措置により、調査対象システムがリセットされてキャパシタが交換完了されるまで使用可能な機能が無いシステム状態になるという事態が生じ得る。また、たとえばトランジスタ等の別の構成要素における別の故障モード、たとえば「ピン２が開路状態」故障モードは、診断措置「パルステストにより当該故障が検出される」によって検出できるが、当該故障モードは調査対象システムの別の劣化状態も引き起こし、たとえば、当該システムの全ての機能が未だ使用可能であるが速度が低下した状態も引き起こす、ということもある。この場合においても、調査対象システムが比較的複雑である場合、テキスト記述を追加することにより、可用性を低下させる複数の異なるモードを解析することはできない。

よって本発明の課題は、上記欠点を解消し、複数のサブシステムおよび／または構成要素を含む複雑なシステムの可用性を解析できる方法および装置を実現することである。

前記課題は、請求項１の特徴を有する方法によって解決される。

本発明の第１の対象は、以下のステップを有する、システムの可用性を解析する方法である：
サブシステムと故障モードと故障影響と診断措置とを表す故障モード影響解析（ＦＭＥＡ）要素を含むデータベースに記憶された所定の共通システムメタモデルに基づき、前記システムの正常動作状態から偏差する、当該システムのシステム劣化状態を表す少なくとも１つの劣化モード要素を含む劣化モードツリー（ＤＭＴ）を、自動生成するステップ。

前記システムの可用性を算出するため、生成された前記劣化モードツリー（ＤＭＴ）を評価するステップ。

上述の劣化モードツリーＤＭＴの生成および評価を自動的に実行することにより、システムの稼働時間中および／またはシステムの計画段階中に複数のサブシステムおよび／または構成要素を有する複雑なシステムを解析することができる。

可用性の算出は自動的に行われるので、本発明の第１の対象の方法のエラーは、従来のＦＭＥＡ解析より格段に生じにくい。

本発明の第１の対象の方法の可能な一実施形態では、上述のメタモデルの各故障モード要素は、当該各故障モード要素に対応する故障影響要素を有し、この故障影響要素は、当該故障モード実体が調査対象のシステムに及ぼす故障影響についての情報を保有する。

本発明の第１の対象の方法の可能な一実施形態では、上述のメタモデルの各故障影響要素は、当該各故障影響要素に対応する措置要素を有する。この措置要素は、対応する故障影響が上述のシステムに生じるのを防止するための診断措置を表すものである。

本発明の第１の対象の方法の他の可能な一実施形態では、上述のメタモデルの各措置要素は劣化モード要素に対応付けられており、この劣化モード要素は、上述のシステムの劣化モードについての情報を保有する。

本発明の第１の対象の方法の他の可能な一実施形態では、各劣化モード要素ごとにグローバル劣化モードゲート要素が設けられており、このグローバル劣化モードゲート要素は、上述のシステムの各劣化モードついて可能な全ての故障影響と診断措置との組合せの論理和を表すものである。

本発明の第１の対象の方法の更に他の可能な一実施形態では、劣化モード要素に割り当てられた各措置要素に対し、措置ゲート要素が設けられている。これは、診断措置と、前記システムの故障モードに対応する故障影響との対を表すものであり、前記システムの各劣化モードに対する、各故障モードと措置との組合せの寄与度を示すものである。

本発明の第１の対象の方法の可能な一実施形態では、前記グローバル劣化モード要素はＯＲゲートによって形成されている。

本発明の第１の対象の方法の他の可能な一実施形態では、前記措置ゲート要素はＡＮＤゲートによって形成されている。

本発明の第１の対象の方法の他の可能な一実施形態では、上述のシステムメタモデルの各故障モード影響解析（ＦＭＥＡ）要素はそれぞれ一意の識別子を有する。

本発明の第２の対象は、請求項１０の構成を有する、システムの可用性を解析するための装置である。

本発明の第２の対象は、サブシステムを有するシステムの可用性を解析するための装置であって、各サブシステムは、それぞれ対応する故障影響を前記システムに及ぼす少なくとも１つの故障モードを有し、以下の構成を有する装置である：
サブシステムと故障モードと故障影響と診断措置とを表す故障モード影響解析（ＦＭＥＡ）要素を含むデータベースに記憶された所定の共通システムメタモデルに基づき、前記システムの正常動作状態から偏差する、当該システムのシステム劣化状態を表す少なくとも１つの劣化モード要素を含む劣化モードツリー（ＤＭＴ）を、自動生成するように構成された、劣化モードツリー（ＤＭＴ）生成ユニット。
前記システムの可用性を算出するため、生成された前記劣化モードツリー（ＤＭＴ）を評価する処理ユニット。

さらに、本発明の第３の対象は、複数のサブシステムを有するシステムであり、各サブシステムは、それぞれ対応する故障影響を前記システムに及ぼす少なくとも１つの故障モードを有し、前記システムは、当該システムの稼働時間中に当該システムの可用性を解析するように構成された、本発明の第２の対象の装置を含む。

本発明の第３の対象のシステムの可能な一実施形態では、当該システムは、セーフティクリティカルなサブシステムおよび／またはシステム構成要素を含むセーフティクリティカルシステムである。

本発明の第３の対象のシステムの可能な一実施形態では、当該システムの各サブシステムは、ハードウェア構成要素および／またはソフトウェア構成要素を含むシステム構成要素を有する。

本発明の第４の対象は、上述のシステムの計画段階中に本発明の第１の対象の方法を実施するように構成されたシステム計画ツールである。

本発明の第５の対象は、本発明の第１の対象の方法を実施するように構成された実行可能な命令を記憶するコンピュータプログラム製品である。

以下、本発明の上述の種々の対象の可能な実施形態について、添付図面を参照して詳細に説明する。

本発明の方法および装置を用いて可用性を解析できる、一実施例のセーフティクリティカルシステムを示す図である。 本発明の一対象の、図１に示されたのと同様のシステムの可用性を解析するための装置の可能な一実施例のブロック図である。 本発明の一対象の、図１に示されたのと同様のシステムの可用性を解析する方法の可能な一実施例を示すフローチャートである。 図１に示したのと同様の技術的システムの可用性を解析するための本発明の方法および装置にて使用できる共通システムメタモデルを示す図である。 本発明の方法および装置によって生成および評価できる劣化モードツリー例を示す図である。

図１を見ると分かるように、複雑な技術的システムＳＹＳ１は複数の異なるサブシステム２−ｉを有することができ、これらの各サブシステム２−ｉはそれぞれ、ローカルネットワークを介して相互間に通信するソフトウェアおよび／またはハードウェア構成要素を含み得る。図１に示された実施例のシステム１では、複数の異なるサブシステム２−ｉを当該システム１のグローバル通信バス３に接続することができ、これにより、システム１の各サブシステム２−ｉは相互間で通信することができる。図１に示された実施例のシステム１では、サブシステム２−１，２−２，２−３は有線リンクを介してシステム通信バス３に接続されており、これに対してサブシステム２−４，２−５は無線リンクを介して当該通信バス３に接続されている。図１に示された実施例では、システム１はサーバ４を含むことができ、このサーバ４も通信バス３に接続されており、図１に示されたようなＦＭＥＡデータベース５へアクセスすることができるものである。エンジニアまたはシステム設計者等のユーザも、図１に示されたようなユーザ端末を介してシステムの通信バス３に直接接続されている。各サブシステム２−ｉの方は、ソフトウェア構成要素およびハードウェア構成要素を含むサブシステムを含み得る。各サブシステムは、各自対応する故障影響をシステム１に及ぼす少なくとも１つの故障モードを有し得る。システム１のサーバ４は、当該システムの稼働時間中または当該システム１の計画段階もしくは建造段階中に当該システム１の可用性を解析するための解析装置を有することができる。

図２は、図１に示されたのと同様の技術的システム１の可用性を解析するために構成された解析装置６の可能な一実施例を示すブロック図である。解析装置６は、調査対象のシステム１のサーバ４上に実装することができる。図２を見ると分かるように、解析装置６は、図１に示されたＦＭＥＡデータベース５と同様のデータベースにアクセスすることができる。装置６は劣化モードツリー（ＤＭＴ）生成ユニット６Ａを有し、このＤＭＴ生成ユニット６Ａは、サブシステムと故障モードと故障影響と診断措置とを表す故障モード影響解析（ＦＭＥＡ）要素を含むデータベースに記憶された所定の共通システムメタモデルに基づき、前記システム１の正常動作状態から偏差する、当該システム１のシステム劣化状態を表す少なくとも１つの劣化モード要素を含む劣化モードツリー（ＤＭＴ）を、自動生成するように構成されている。劣化モードツリー生成ユニット６Ａは劣化モードツリーＤＭＴを自動生成し、調査対象システム１の可用性を算出するため、この生成した劣化モードツリーＤＭＴを、図２に示されたように装置６の処理ユニット６Ｂへ供給する。１つの可能な実施形態では処理ユニット６Ｂは、システム１の稼働時間中に当該システム１の現在の可用性を計算すべく、受け取った劣化モードツリーＤＭＴを処理するように構成された少なくとも１つのプロセッサを含む。他の１つの択一的な実施形態では処理ユニット６Ｂは、調査対象のシステムの計画段階中もしくはシステム１の保守中または修理中に、当該システム１の可用性を算出するように構成されている。システム１の算出された可用性は、装置６によってユーザインタフェースを介して、当該システム１のシステムエンジニアへ出力することができる。他の１つの可能な実施形態では、算出された可用性は装置６の処理ユニット６Ｂによって、インタフェースを介して、調査対象システム１の遠隔制御ユニットへ出力される。１つの可能な実施形態では、システム１の算出された可用性を当該システム１の制御ユニットが受け取り、当該算出されたシステム可用性に応じて、当該システム１の少なくとも１つのシステム構成要素Ｃおよび／またはサブシステム２−ｉを制御する。

図３は、図１に示されたのと同様のシステム１の可用性を解析する方法の一実施例を示すフローチャートである。図中の方法は、図２に示されたのと同様の解析装置６によって、たとえば、図１に示されたのと同様の調査対象システム１の一部を成すサーバ４上にて実行することができる。図３を見るとわかるように、最初のステップＳ１において、システムのサブシステムと故障モードと故障影響と診断措置とを表す故障モード影響解析ＦＭＥＡ要素を含むデータベースに記憶された所定の共通システムメタモデルに基づき、前記システム１の正常動作状態から偏差する、当該システム１のシステム劣化状態を表す少なくとも１つの劣化モード要素を含む劣化モードツリーＤＭＴを、自動生成する。前記データベースはたとえば、図１に示されたＦＭＥＡデータベース５である。図４は、本発明の方法および装置にて劣化モードツリーＤＭＴを自動生成するために使用されるシステムメタモデルの可能な一実施形態を示す図である。

本方法の別のステップＳ２において、調査対象のシステム１の可用性を算出するため、生成された劣化モードツリーＤＭＴを自動的に評価する。この評価は、システム１の稼働時間中またはシステム１の計画段階中に実施することができる。

図４は、本発明の第１の対象の解析方法に使用できる共通システムメタモデルを示す図である。このメタモデルは、システム１の可用性中心の解析に必要な関連要素および関連付けを提供するものである。メタモデルは従来のＦＭＥＡ要素を反映することができるが、更なる関連付けを用いてＦＭＥＡ解析を拡張したものである。このことによってグローバルの劣化モードの有無の解析が可能となり、これにより、可用性中心のＦＭＥＡ解析が可能となる。図４を見ると分かるように、調査対象のシステム１は、複数のアセンブリまたはサブシステムを含み得る。各アセンブリは、システム１の、論理ユニットを構成する解析可能な要素のセットである。１つのアセンブリの各要素は、たとえば電子部品または電子装置等の部品または構成要素Ｃである。各部品またはシステム構成要素はそれぞれ、当該部品またはシステム構成要素に対応する故障モードセットを有する。故障モードは、各部品または構成要素が有し得る故障の特定の種類を記述できるものである。各部品は、故障について定量化された挙動（これを「故障率（ＦＩＴ）」とも称し得る）を有するので、故障モードは、当該部品の定量化された故障挙動の百分率の割合を特定の故障モードに対応付けるための百分率を有する。図４を見ると分かるように、上述のメタモデルの各故障モード要素は、当該各故障モード要素に対応する故障影響要素を有し、この故障影響要素は、当該故障モード実体がシステムに及ぼす故障影響についての情報を保有する。この影響は、カテゴリに分類して定量化することができる。たとえば、各影響に「危害無し」（安全）、「解析結果への影響無し」（ドントケア）または「危害あり」（危険）との標識を付すべく、各影響をそれぞれ「安全」カテゴリ、「危険」カテゴリおよび「ドントケア」カテゴリに分類することができる。さらに各影響は、当該各影響に対応する措置も有する。措置とは、システムに影響が生じるのを防止するものであり、たとえば、解析対象のシステムの稼働時間中に影響が検出され、対応する影響を防止するためにシステム１をシャットダウン状態（安全状態）にする場合に、かかる影響を防止するものである。システムの稼働時間中に故障モード実体を検出するメカニズムの大部分は１００％有効ではないので、影響は、これに対応する有効度を、たとえば定量化された百分率値（診断カバー率）を有する。たとえばＭｙＳＱＬまたはＡＣＣＥＳＳ等のデータベース内にて、影響をプログラムによりクラスタリングできるようにするためには、全ての要素が、当該各要素を明示的に識別できる識別子を有する。

図４を見ると分かるように、同図中のメタモデルの各故障影響要素は、当該各故障影響要素に対応する措置要素を有する。この措置要素は、対応する故障影響がシステムに生じるのを防止するための診断措置を表すものである。メタモデルの各措置要素は、システムの劣化モードについての情報を保有する劣化モード要素に割り当てられている。劣化モード要素に割り当てられた各措置要素に対し、措置ゲート要素が設けられている。これは、診断措置と、システムの故障モードに対応する故障影響との対を表すものであり、システムの各劣化モードに対する、各故障モードと措置との組合せの寄与度を示すものである。また図４を見ると、上述のシステムメタモデルの各故障モード影響解析要素は、一意の識別子も有することも分かる。１つの可能な実施形態では、図４に示されたようなグローバルの劣化モード要素を、ＯＲゲートによって形成することができる。また、図４に示された措置ゲート要素は、ＡＮＤゲートによって形成することができる。

診断措置は典型的には、調査対象のシステム１が現在動作または作動している動作モードを変化させるものである。各診断措置は、当該各診断措置に対応する劣化モードを有する。劣化モード要素は、劣化モードについての情報を保有するグローバル記述を有する。かかる情報はたとえば、当該劣化モードがアクティブである場合にシステムがどのような状態になるかについての情報である。中央化された解析を実現するためには、全ての劣化モードを、図４に示されているように、劣化モードツリー（ＤＭＴ）要素に関連付ける。

「劣化モードツリー」、「措置ゲート」および「グローバル劣化モードゲート」の各要素により、メタモデルは、システム１の定量的または定性的解析のデータ構造を提供する。まず最初に、ＭｙＳＱＬまたはＡＣＣＥＳＳ等のデータベースとの関連づけを行うためのデータ構造内で、要求されているＦＭＥＡ要素を用いて、たとえばＦＭＥＤＡ、アセンブリ、部品、故障モード、措置、影響を用いて、ＦＭＥＡ解析を行うことができる。第２のステップにおいて、ＦＭＥＡ開発工程中に、劣化モードを措置に関連付けることができる。かかる情報により、劣化モードツリーＤＭＴが自動生成される。

各劣化モード要素ごとに新規の要素を、たとえば「グローバル劣化モードゲート」を作成することができる。この新規要素は、個別の劣化モードについて生じ得る全ての影響と措置との組合せの論理和を表すものである。たとえば、解析に望ましいデータ構造としてブール木を選択する場合、上述の新規要素は、当該木においてＯＲゲートにより表される。各「グローバル劣化モードゲート」要素はそれぞれ、複数の「措置ゲート」要素に関連付けられる。

図４中に示されたメタモデルの各「措置ゲート」要素は、影響と措置との１対をそれぞれ表し、「グローバル劣化モード」要素に属する「劣化モード」要素に関連付けられた各措置ごとに１対設けられる。たとえば、解析に望ましいデータ構造としてブール木を選択する場合、かかる要素は、当該木においてＡＮＤゲートとして表され、当該ブール木において「グローバル劣化モードゲート」要素によって表されるＯＲゲートに入力として関連付けられる。この「措置ゲート」要素は、劣化モードに対する特定の故障モードと措置との組合せの寄与度を表すものである。これを表現するためには、かかるデータ構造を使用して、対応する「故障モード」要素、「部品」要素および「措置」要素を識別して、データモデルの「措置ゲート」要素に関連付ける。

ＦＭＥＡ解析は、実世界におけるあらゆるシステム実体（または製品）を解析的にカバーする。診断を行えるようにするためには、実世界の技術的システム１の故障モードの影響を記録する。各サブシステムまたは各サブシステム構成要素はそれぞれ、複数の異なる故障モードを有し得るので、システムの稼働時間中に、記録可能な影響を観測することができる。システムの稼働時間中の最新または実際の故障率をモニタリングするため、この記録された影響は、ＦＭＥＡにドキュメント記録された影響に対応付けられる。

図４にて示された対応付けの方向は、相関関係をドキュメント記録したものである。矢印の方向は単に観念的なものであり、たとえばデータベース構造でメタモデルを具現化したものは、双方向に機能する。上記対応付けに付随する定量化も一例に過ぎず、異なる分野または異なるＦＭＥＡ種類に対応して変えることができる。たとえば、要素「記録された事象」と「システム」との間の対応付けは、記録された事象がシステムに属すること、および、記録された影響はいずれも、それぞれちょうど１つのシステムに属しているが、各システムは、０または任意の数の記録された事象を有し得ることをドキュメント記録するものである。

図４に示されたのと同様の共通システムメタモデルの使用と、本発明の方法および装置による劣化モードツリーＤＭＴの生成とについて詳解するため、ＦＭＥＡの理論上の一例と、その結果得られる劣化モードツリーＤＭＴとを、下記の表および図５に示す。当該表は、ＦＭＥＡの要素を示している。表の各行は、各個別の部品の故障モード、その影響、および、これに対応する診断措置を記録したものである。さらに、劣化モードも挿入している。図５に、ブール表記を用いて、生成された対応する劣化モードツリーＤＭＴを示す。この故障モードツリーＤＭＴは、上記表にて示されたのと同様のＦＭＥＡデータ構造からの、２つの対応付けられた「劣化モード」要素ＡおよびＢを有する。

各劣化モードごとに、「ＯＲ」と表示された要素によって表される１つの「グローバル劣化モードゲート」が、劣化モードに対応付けられている。この要素は、“＆”記号により表示された、対応する「措置ゲート」要素を有しており、これは、各影響およびその対応する措置ごとに１つずつ設けられている。かかるメタモデルおよびデータ構造により、措置ｍ１およびｍ２の影響も含めて、影響ａ１，ａ２，ａ３，ｂ１およびｂ２の有無についてのグローバルな解析が可能となる。定量的解析の場合、各「措置ゲート」（＆）を定量化するためには、たとえば以下のように、部品に由来する故障率ＦＩＴ、故障率のうち故障モードに関連する割合（百分率）および措置の有効度（診断カバー率）を使用することができる：
ＦＩＴ（＆）＝ＦＩＴ（故障モード）×百分率（影響）×百分率（措置）
この場合、「グローバル劣化モードゲート」についての定量化は、以下の通りになる：
ＦＩＴ（ＯＲ）＝ＦＩＴ（＆１）＋...＋ＦＩＴ（＆ｎ）
図４に示されたようなメタモデルを使用すると、従来のＦＭＥＡ解析の欠点を解消することができる。図５に示されたような劣化モードツリーＤＭＴは、全ての異なる劣化モードを含む。各劣化モードはそれぞれ、システム１の機能が完全である状態から偏差するモードを記述している。図５に示されたツリーの最上部要素によって、調査対象のシステム１の機能完全性の欠如の解析を行うことができる。各劣化モードを個別に解析するために、１つの劣化モード要素を使用することができる。

システムのＦＭＥＡ解析は、たとえばＭｙＳＱＬまたはＡＣＣＥＳＳデータベース等のデータ構造内に記憶することができる。システム１を解析する役割、たとえば解析担当者、設計者およびエンジニアのチームが、影響の影響度を解析するために本発明の可用性中心の解析を使用することができる。ファイル格納されたデータは、システム実装部との有線または無線接続を用いて、たとえば事象ロギング機構を用いて、特定の影響に対応付けられる。メタモデルのすべての要素が一意の識別子を使用しているので、従来のＦＭＥＡ解析の上述の問題を解消すべく、データベースシステムにおいて関連付けを用いることができる。影響が調査を要するものである場合には、劣化モードツリーＤＭＴを自動生成して、要求またはフィールドデータと対比して検査することができる。

Claims (15)

1. システム（１）の可用性を解析する方法であって、
   （ａ）サブシステムと故障モードと故障影響と診断措置とを表す故障モード影響解析（ＦＭＥＡ）要素を含むデータベース（５）に記憶された所定の共通システムメタモデルに基づき、前記システム（１）の正常システム状態から偏差する、当該システム（１）のシステム劣化状態を表す少なくとも１つの劣化モード要素を含む劣化モードツリー（ＤＭＴ）を、自動生成するステップ（Ｓ１）と、
   （ｂ）前記システム（１）の可用性を算出するため、生成された前記劣化モードツリー（ＤＭＴ）を評価するステップ（Ｓ２）と
   を有することを特徴とする方法。
2. 前記メタモデルの各故障モード要素は、対応する故障影響要素を有し、
   前記故障影響要素は、前記故障モードの実体が前記システム（１）に及ぼす故障影響についての情報を保有する、
   請求項１記載の方法。
3. 前記メタモデルの各故障影響要素は、対応する措置要素を有し、
   前記措置要素は、相応する故障影響が前記システム（１）に生じるのを防止するための診断措置を表すものである、
   請求項１または２記載の方法。
4. 前記メタモデルの各措置要素は、前記システム（１）の劣化モードについての情報を保有する劣化モード要素に対応付けられている、
   請求項１から３までのいずれか１項記載の方法。
5. 前記システム（１）の各劣化モードに対し生じうる全ての故障影響と診断措置との組合せの論理和を表すグローバルな劣化モードゲート要素が、前記各劣化モード要素ごとに設けられている、
   請求項１から４までのいずれか１項記載の方法。
6. 前記グローバルな劣化モード要素はＯＲゲートによって形成されている、
   請求項５記載の方法。
7. 劣化モード要素に割り当てられた各措置要素に対し、診断措置と、前記システム（１）の故障モードに対応する故障影響との対を表す措置ゲート要素が設けられており、
   前記措置ゲート要素は、前記システム（１）の各劣化モードに対する、各故障モードと措置との組合せの寄与度を示すものである、
   請求項１から６までのいずれか１項記載の方法。
8. 前記措置ゲート要素はＡＮＤゲートによって形成されている、
   請求項７記載の方法。
9. 前記システムメタモデルの各故障モード影響解析（ＦＭＥＡ）要素はそれぞれ一意の識別子を有する、
   請求項１から８までのいずれか１項記載の方法。
10. サブシステム（２）を有するシステム（１）の可用性を解析するための装置（６）であって、
    各サブシステム（２）は、それぞれ対応する故障影響を前記システム（１）に及ぼす少なくとも１つの故障モードを有し、
    前記装置（６）は、
    ・サブシステムと故障モードと故障影響と診断措置とを表す故障モード影響解析（ＦＭＥＡ）要素を含むデータベース（５）に記憶された所定の共通システムメタモデルに基づき、前記システム（１）の正常動作状態から偏差する、当該システム（１）のシステム（１）劣化状態を表す少なくとも１つの劣化モード要素を含む劣化モードツリー（ＤＭＴ）を自動生成するように構成された劣化モードツリー（ＤＭＴ）生成ユニット（６Ａ）と、
    ・前記システム（１）の可用性を算出するため、生成された前記劣化モードツリー（ＤＭＴ）を評価するように構成された処理ユニット（６Ｂ）と
    を有することを特徴とする装置（６）。
11. 複数のサブシステム（２）を有するシステム（１）であって、
    各サブシステム（２）は、それぞれ対応する故障影響を前記システム（１）に及ぼす少なくとも１つの故障モードを有し、
    前記システム（１）は、当該システム（１）の稼働時間中に当該システム（１）の可用性を解析するように構成された、請求項１０記載の装置（６）を含む
    ことを特徴とするシステム（１）。
12. 前記システム（１）はセーフティクリティカルシステムである、
    請求項１１記載のシステム。
13. 前記システム（１）の各サブシステム（２）は、ハードウェア構成要素および／またはソフトウェア構成要素を含むシステム構成要素を有する、
    請求項１１または１２記載のシステム。
14. 請求項１から９までのいずれか１項記載の方法を実施するために構成された実行可能な命令を記憶するコンピュータプログラム製品。
15. 前記コンピュータプログラム製品は、前記システム（１）の計画段階中に請求項１から９までのいずれか１項記載の方法を実施するように構成されたシステム計画ツールである、
    請求項１４記載のコンピュータプログラム製品。

Images