(57)【特許請求の範囲】
【請求項１】
安全関連システムを構築するハードウェアコンポーネントごとに、該ハードウェアコンポーネントの設計技法に関する一又は二以上のベストプラクティスを関連付け、さらにハードウェアコンポーネントごとベストプラクティスごとに、該ハードウェアコンポーネントの作動要求モードの頻度区分と該頻度区分における自己診断率とを関連付けた第１の技法データを保存する手段と、
診断対象のフォールトトレランスのタイプごと安全側故障割合の区分ごとに安全度水準を関連付けたＳＩＬ判定テーブルと、
診断対象の安全関連システムのハードウェアコンポーネントの自己診断率および該ハードウェアコンポーネントのベストプラクティス採用状況を入力すると共に、該ベストプラクティスの作動要求モードの頻度区分を入力し、前記第１の技法データの当該頻度区分に対する自己診断率を抽出して、ハードウェアコンポーネントごとに最大の自己診断率を演算し、当該最大の自己診断率を安全側故障割合とするか否かの問合せメッセージの回答入力に基づいて当該最大の自己診断率あるいは入力された安全側故障割合の値をそのハードウェアコンポーネントの安全側故障割合として設定し、当該安全側故障割合をもとに前記ＳＩＬ判定テーブルを参照して、前記入力したフォールトトレランスのタイプに対応する安全度水準を抽出し、該抽出した安全度水準を該ハードウェアコンポーネントの安全度水準として出力するＳＦＦ安全度水準判定手段と、
を備えたことを特徴とするハードウェア安全性診断装置。
【請求項２】
設計から試験までの段階ごとに、該段階に適用される一又は二以上の前記ベストプラクティスを関連付け、さらに各段階のベストプラクティスに安全度水準ごとの該ベストプラクティスの推奨指針データを関連付けた第２の技法データを保存する手段と、
前記段階ごとに、該段階の目標安全度水準を入力し、前記第２の技法データをもとに、該段階の全てのベストプラクティスについて、該ベストプラクティスの採用状況と前記入力した目標安全度水準の推奨指針データとに基づいて、ベストプラクティスを満たしているか否かを判定し、前記第２の技法データの安全度水準のうち、採用が推奨されている全てのベストプラクティスを満たしている安全度水準を判定し、該安全度水準を当該段階の安全度水準として出力するフェーズ別安全度水準判定手段と、
を備えたことを特徴とする請求項１に記載のハードウェア安全性診断装置。
【請求項３】
前記ＳＦＦ安全度水準判定手段によって出力されたハードウェアごとの安全度水準、および前記フェーズ別安全度水準判定手段によって出力された設計から試験までの段階ごとの安全度水準のうち最小の安全度水準を診断対象の安全度水準として出力する安全度水準総合判定手段を備えたことを特徴とする請求項２に記載のハードウェア安全性診断装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、E/E/PES（Electrical/Electronic/Programmable Electronic Systems：電気／電子／プログラマブル電子系）の安全関連システムにおける機能安全の評価、および機能安全を実現するシステムの設計を支援するハードウェア安全性診断装置に関する。
【背景技術】
【０００２】
従来、ハードウェアを含めたシステムの機能安全性評価は、安全機能の作動要求時や連続要求時に、要求された安全機能の動作が失敗する確率を信頼性理論によって算出し、安全度水準（Safety Integrity Level、以下「SIL」という。）というリスク軽減モデルを用いて評価を行っていた。（例えば、非特許文献１〜５を参照）。
【０００３】
一方、機能安全に関する規格であるJIS C 0508（IEC61508）では、安全関連システムの実現として、リスク軽減を示したSILモデルで表現する以外に、安全側故障割合（Safe Failure Fraction、以下「SFF」という。SFFとは、安全系の全ての故障のうち、故障しても安全であるかまたは故障を検出して安全側に処理できる故障の発生割合）を取り入れた評価方法を網羅した状態で規格化している。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００８−１０２６３０号公報
【非特許文献】
【０００５】
【非特許文献１】加藤栄一、佐藤吉信、堀籠教夫著「機能安全規格案における安全度水準モデルについて」、電子情報通信学会論文誌（A）,Vol.J82-A-no.2,Feb.1999
【非特許文献２】加藤栄一、佐藤吉信、堀籠教夫著「機能安全規格案における安全度水準モデルについて−前報におけるアルゴリズムの若干の修正− 」、信学技報、R99-18(1999-11)
【非特許文献３】川原卓也、佐藤吉信著「自己故障診断のある場合の安全度水準について」、信学技報、R2000-16(2000-9)
【非特許文献４】川原卓也、市塚昭弘、佐藤吉信、龍偉著「自己故障診断を有する安全度水準の安全度水準モデル」、信学技報、R2000-49(2001-3)
【非特許文献５】川原卓也、市塚昭弘、佐藤吉信、龍偉著「状態遷移モデルを用いた自己故障診断によるリスク軽減効果の解析」、信学技報、R2001-3(2001-5)
【発明の概要】
【発明が解決しようとする課題】
【０００６】
ところで、安全関連システム開発を行うには、機能安全の評価において、従来の信頼性理論によるSILモデルの評価では、高度な知識と判定までに多大な時間を必要とし、また評価に必要なデータが多数に及ぶため、条件を変えての再評価にも多大な時間が必要であった。
【０００７】
また、従来、特許文献１のようにソフトウェアの安全性を評価する装置は提案されているものの、ハードウェアの安全性を効率よく評価する装置は提案されておらず、特にハードウェアコンポーネントについてSFFを取り入れた機能安全の評価までを一元的に効率良く管理でき、機能安全を実現するシステムの設計を支援する技術が望まれていた。
【０００８】
本発明は、上述のかかる事情に鑑みてなされたものであり、ハードウェアコンポーネントについて、SFFを取り入れた機能安全評価を効率良く実施することのできるハードウェア安全性診断装置を提供することを目的とする。
【課題を解決するための手段】
【０００９】
上記の目的を達成するため、本発明に係るハードウェア安全性診断装置は、安全関連システムを構築するハードウェアコンポーネントごとに、該ハードウェアコンポーネントの設計技法に関する一又は二以上のベストプラクティス（採用が推奨される最善技法）を関連付け、さらにハードウェアコンポーネントごとベストプラクティスごとに、該ハードウェアコンポーネントの作動要求モードの頻度区分と該頻度区分における自己診断率（安全系が安全機能を損なう故障のうち、故障を検出できる割合）とを関連付けた第１の技法データを保存する手段と、診断対象のフォールトトレランスのタイプごと安全側故障割合の区分ごとに安全度水準を関連付けたＳＩＬ判定テーブルと、診断対象の安全関連システムのハードウェアコンポーネントの自己診断率および該ハードウェアコンポーネントのベストプラクティス採用状況を入力すると共に、該ベストプラクティスの作動要求モードの頻度区分を入力し、前記第１の技法データの当該頻度区分に対する自己診断率を抽出して、ハードウェアコンポーネントごとに最大の自己診断率を判定し、自己診断率を安全側故障割合として、前記ＳＩＬ判定テーブルを参照して、前記入力したフォールトトレランス（故障許容系統数：多重系において、故障しても必要とされる安全機能を喪失しない系統の数）のタイプに対応する安全度水準を抽出し、該抽出した安全度水準を該ハードウェアコンポーネントの安全度水準として出力するＳＦＦ安全度水準判定手段と、を備えたことを特徴とする。
【００１０】
本発明では、ベストプラクティスの採用状況をもとに診断対象の安全関連システムのハードウェアコンポーネントごとに最大の自己診断率を求め、この自己診断率を安全側故障割合として、予め保存するＳＩＬ判定テーブルを用いて該当するSIL値を抽出することによって、ハードウェアコンポーネントごとの安全度水準を求める。
【００１１】
また、本発明に係るハードウェア安全性診断装置は、さらに、設計から試験までの段階ごとに、該段階に適用される一又は二以上の前記ベストプラクティスを関連付け、さらに各段階のベストプラクティスに安全度水準ごとの該ベストプラクティスの推奨指針データを関連付けた第２の技法データを保存する手段と、前記段階ごとに、該段階の目標安全度水準を入力し、前記第２の技法データをもとに、該段階の全てのベストプラクティスについて、該ベストプラクティスの採用状況と前記入力した目標安全度水準の推奨指針データとに基づいて、ベストプラクティスを満たしているか否かを判定し、前記第２の技法データの安全度水準のうち、採用が推奨されている全てのベストプラクティスを満たしている安全度水準を判定し、該安全度水準を当該段階の安全度水準として出力するフェーズ別安全度水準判定手段と、を備えたことを特徴とする。
【００１２】
本発明では、設計から試験までの予め定められた段階ごとに予め定めたベストプラクティスを採用しているか否かの採用状況を、ヒューマンマシンインタフェースを介して入力する。そして、ベストプラクティスの採用状況と予め保存する目標安全度水準の推奨指針データ（すなわち、当該安全度水準で採用が推奨されているベストプラクティス）とに基づいて、安全度水準ごとに推奨されているベストプラクティスを採用しているか否かを判定し、採用が推奨されている全てのベストプラクティスを満たしている最大の安全度水準を抽出することによって、段階ごとの安全度水準を求める。
【００１３】
また、本発明に係るハードウェア安全性診断装置は、さらに、前記ＳＦＦ安全度水準判定手段によって出力されたハードウェアごとの安全度水準、および前記フェーズ別安全度水準判定手段によって出力された設計から試験までの段階ごとの安全度水準のうち最小の安全度水準を診断対象の安全度水準として出力する安全度水準総合判定手段を備えたことを特徴とする。
【００１４】
本発明では、予め定められたハードウェアコンポーネントごとのSIL、ライフサイクルの段階（フェーズ）ごとのSILを用いて診断対象のSILを総合的に判定する。そして、この総合SILと、SIL目標値とを比較することによって、総合SILが目標値を満足しない場合には、採用するベストプラクティスを追加・変更し、あるいは、設計パラメータの値を適宜変更することによって総合SILを目標値に近づけることができる。
【００１５】
なお、該ハードウェアコンポーネントのSIL目標値が未定な場合は、オペレータがSIL目標値を1から4まで順に入力する等により、該ハードウェアコンポーネントのSIL値を評価することができる。
【発明の効果】
【００１６】
本発明によれば、安全関連システムのハードウェアコンポーネントについて、安全側故障割合を取り入れた機能安全評価を効率良く実施することができる。
【図面の簡単な説明】
【００１７】
【図１】本発明の実施の形態によるハードウェア安全性診断装置１の機能ブロック図である。
【図２】図１のプロジェクト情報入力手段１１によってＨＭＩ２上に表示されるプロジェクト情報登録画面の一例を示す説明図である。
【図３】図１のプロジェクト情報データ４４の構成例である。
【図４】図１の記憶装置４０に保存される表示ガイダンスのデータ例である。
【図５】図１のＨＭＩ２への表示ガイダンスの出力例である。
【図６】図１のＨＭＩ２への表示ガイダンスの他の出力例である。
【図７】図１のＳＦＦ安全度水準判定手段１２の処理手順を示すフローチャートである。
【図８】図１の第１の技法データ４１の構成例である。
【図９】図１のＳＩＬ判定テーブル４３のデータ構成例である。
【図１０】図１のフェーズ別安全度水準判定手段１３の処理手順を示すフローチャートである。
【図１１】図１の第２の技法データ４２の構成例である。
【図１２】図１のＳＦＦ安全度水準判定手段１２の判定結果の出力例である。
【図１３】図１のフェーズ別安全度水準判定手段１３の判定結果の出力例である。
【図１４】図１の安全度水準総合判定手段１４の処理手順を示すフローチャートである。
【発明を実施するための形態】
【００１８】
以下、図面を参照しながら本発明の実施形態を説明する。
図１は本実施の形態によるハードウェア安全性診断装置の機能ブロック図である。本実施の形態によるハードウェア安全性診断装置１は、機能安全評価診断や機能安全を実現するシステムの設計支援に用いられる。例えば、スプリンクラーを動作させる火災検出回路基板のような非定常作動機能を所定の周期で作動させてプルーフ試験（動作確認により故障時は修理できる定期的試験）を行い、作動確認することによって非定常作動機器の安全度水準を評価するSILモデルを用いて、非定常作動機器の安全度水準を評価する。このハードウェア安全性診断装置１は、安全回路で実装されるセンサーや、演算装置、制御回路等を組み合わせたハードウェアコンポーネント故障時の自己診断機能からなる安全側故障割合SFFの評価結果を出力することにより、システムを構成するハードウェアコンポーネントごとに非定常作動機器の設計支援の評価を可能にするものである。
【００１９】
図１において、ハードウェア安全性診断装置１は、キーボードやマウスなどの入力機能やモニタなどの表示機能を備えたヒューマンマシンインタフェース（以下、「ＨＭＩ」という。）２、プリンターなどの出力装置３、種々の演算処理を実行する演算装置１０、データを記憶する記憶装置４０から構成されている。このハードウェア安全性診断装置１は汎用のコンピュータシステムによって実現することもできるし、演算装置１０、記憶装置４０と複数のＨＭＩ２とがネットワークを介して接続するサーバクライアント型の構成によって実現することもできる。
【００２０】
演算装置１０は、ＨＭＩ２を介して診断対象の安全関連システムについてのハードウェアコンポーネントの構成など、安全性の診断に必要な種々の情報を入力して記憶部４０のプロジェクト情報データ保存領域４４へ格納すると共に、後述する各手段へ各手段の処理に必要なデータを渡すプロジェクト情報入力手段１１、安全側故障割合(SFF)を算出し、算出した安全側故障割合に対応する安全度水準（SIL）を判定するＳＦＦ安全度水準判定手段１２、設計から試験までの各段階（以下、「フェーズ」という。）における系統的故障を回避するための安全度水準（SIL）を判定するフェーズ別安全度水準判定手段１３、各条件下で算出された安全度水準に基づいて診断対象の安全関連システムの安全度水準を総合的に判定する安全度水準総合判定手段１４を有している。各手段１１〜１４は、ＣＰＵの機能としてプログラムによって実現することができる。
【００２１】
また、記憶装置４０は、安全関連システムを構築するハードウェアコンポーネントの設計技法データ（以下、技法データを「ベストプラクティス」という。）やハードウェアコンポーネントの作動要求モードの頻度（低頻度、高頻度または連続モード）における自己診断率（DC値）を保存する第１の技法データ保存領域（以下、単に「第１の技法データ」ともいう。以下同様）４１、フェーズごとに適用されるベストプラクティスや各フェーズの安全度水準ごとの該ベストプラクティスの推奨指針（推奨"R"，強く推奨"HR"，非推奨すなわち採用しないことを推奨"NR"，推奨も非推奨もしない"−"等）を保存する第２の技法データ保存領域４２、SFFからSILを判定するためのSIL判定テーブル４３を備え、安全度水準の演算に必要なデータが予め保存されている。また、記憶装置４０は、診断対象の安全関連システムに関するハードウェアコンポーネント構成など診断対象に関する情報を保存するプロジェクト情報データ保存領域４４を備えている。
【００２２】
次に、上記の構成を有するハードウェア安全性診断装置１の動作を説明する。
（プロジェクト情報登録処理）
オペレータは、ＨＭＩ２を介してプロジェクト情報入力手段１１を起動する。プロジェクト情報入力手段１１は起動されると、図２（ａ）に示す登録画面をＨＭＩ２に表示する。オペレータは、この画面左下のコンポーネント一覧ボタンをクリックしてポップアップ表示される一覧ウィンドウ（図２（ｂ））の中から診断対象の安全関連システムで使用されているハードウェアコンポーネントを選択する（図２（ｃ））。これにより、選択されたハードウェアコンポーネントが図２（ａ）の画面に反映される。各ハードウェアコンポーネントの項目はデフォルト状態では、「適用していない」欄のフラグがセットされており、たとえば、ハードウェアコンポーネントの項目「電気機械装置」についての登録があると、図３のプロジェクト情報データ４４の対応する主キーP2A02STの「適用している」欄のフラグがセットされ、同主キーの「適用していない」欄のフラグはリセットされる。
【００２３】
また、登録画面を通して、診断対象の運用モードや、フォールトトレランスのタイプや目標SIL値などを登録する。登録された情報は、プロジェクト情報データ４４の予め定められた欄（データフィールド）に格納される。
【００２４】
このように、登録情報は、プロジェクト情報データ４４として記憶装置４０に保存される。図３は、プロジェクト情報データ４４のデータ構成例である。上記の登録情報のほか、ＳＦＦ安全度水準判定手段１２やフェーズ別安全度水準判定手段１３による問い合わせによってオペレータが入力した内容が保存可能になっている。また、記憶装置４０には、図４に示すようにベストプラクティスごとに表示ガイダンスが保存されており、図５、図６に示す推奨指針として表示されるようになっている。
【００２５】
（ＳＦＦ安全度水準判定処理）（図７）
ＳＦＦ安全度水準判定手段１２は、ＨＭＩ２からの起動要求により起動されると、記憶部４０の第１の技法データ４１にアクセスして、ハードウェアコンポーネントの項目ごとに付された全ての主キーに対して、以下の手順を繰り返す（S101）。なお、図８に第１の技法データ４１のデータ構成例を示す。ハードウェアコンポーネントの項目名ごとに主キー（即ち、システム全体でユニークに付された識別情報）が付され、各主キーには、ベストプラクティスのＩＤと運用モード区分ごとに自己診断率（DC値）が保存されている。
【００２６】
ＳＦＦ安全度水準判定手段１２は、第１の技法データ４１のハードウェアコンポーネントの項目に付された識別情報である主キーを順に抽出して、プロジェクト情報データ４４の対応する主キーの登録内容から、抽出された項目が診断対象の安全関連システムで使われているか否かを判定する（S102）。たとえば、第１の技法データ４１の主キーP2A02STハードウェアコンポーネントの項目「電気式サブシステム」について、プロジェクト情報データ４４の対応する主キーP2A02STの「適用している」欄のフラグがセットされている場合は、「YES」という判定になり、ステップS103へ移行する。一方、抽出された項目が診断対象の安全関連システムで使われていない場合すなわち「適用していない」欄のフラグがセットされている場合は（ステップS102で「NO」）、次のハードウェアコンポーネントの処理へ移行する。
【００２７】
ステップS102において、「YES」の場合は、DC値の最大値を求めるための変数Ｔに０を設定して初期化する（S103）。
【００２８】
そして、第１の技法データ４１のその項目の最初のベストプラクティス（BP）のIDを抽出して、そのベストプラクティスの項目名をＨＭＩ２へ表示し（S105）、当該BPは、採用されているか否か、すなわち当該BPが適用されていて、かつエビデンス（該BPを採用していることを示す図面や設計図書類）があるか否かについてプロジェクト情報入力手段１１を介して問い合わせ出力を行う（S106）。
【００２９】
ステップS106の問い合わせの後、当該BPが採用され、かつエビデンスもあるという回答結果を入力した場合は（S106で「YES」）、ＳＦＦ安全度水準判定手段１２は、プロジェクト情報データ４１にアクセスして、運用モードは、低頻度作動要求か否かを判定する（S107）。この判定の結果、低頻度作動要求モードの場合は、第１の技法データ４１から当該BPの低頻度作動要求モードに対応するDC値を読み込む（S108）。一方、運用モードが、低頻度作動要求モードでない場合、すなわち高頻度作動要求または連続モードの場合は（S107で「NO」）、第１の技法データ４１から該当する欄のDC値を読み込む（S109）。
【００３０】
そして、読み込んだDC値が変数Ｔよりも大きいか否かを判定し（S110）、大きい場合は、変数Ｔに読み込んだDC値をセットする（S11）。
【００３１】
その後、その項目に対応するBPについて、次のBPが存在する場合は、再びステップS104に戻って、以降の処理を繰り返す（S112）。
【００３２】
一方、ステップS112で「YES」の場合は、変数Ｔにセットされている値を当該項目のDC値とする（S113）。
【００３３】
次に、ＨＭＩ２へ、ＳＦＦ値をＤＣ値とするか否かの問い合わせメッセージを出力し（S114）、「YES」の回答入力があれば、変数SFFにDC値をセットする（S115）。
一方、ステップS114で「NO」の回答入力があれば、は、ＨＭＩ２にさらにSFF値を入力する旨の指示メッセージを出力し、入力された値を変数SFFにセットする（S116）。
【００３４】
続いて、ＳＦＦ安全度水準判定手段１２は、プロジェクト情報保存領域４４からフォールトトレランスの設定結果を取り出す（S117）。そして、図９に例示するＳＩＬ判定テーブル４３から、取り出したフォールトトレランスの列と変数SFFの値の属する行のSIL値を抽出し、当該ハードウェアコンポーネントのSIL値として一時バッファに保存しておく（S118）。なお、図９において、タイプＡは、「すべての部品の故障モードが十分に定義されている」、「故障したサブシステムの挙動が完全に決定できる」、「検出可能／不能な危険故障の割合の十分なフィールドデータがある」、という条件を全て満たす場合に、ＨＭＩ２を介してオペレータによって「タイプＡ」が設定入力される。タイプＡ以外の場合は、「タイプＢ」が設定入力される。また、各タイプとも、シングル系、２重系など予め決められた条件に基づいて０〜２の区分が設定される。
以上の処理を第１の技法データ４１の全ての主キーについて繰り返す（S101〜S119）。
【００３５】
全ての主キーについて実行を完了すると、ＳＦＦ安全度水準判定手段１２は、一時バッファに保存されているハードウェアコンポーネントごとのSIL値を一覧として、ＨＭＩ２やプリンター３へ出力する（S120）。図１２は、ＳＦＦ安全度水準判定手段１２による判定結果の出力例である。ハードウェアコンポーネントごとに、プロジェクト情報データ４４や第１の技法データ４１に対応する主キーが付され、これに関連付けられて上記の処理で求められた安全度水準のSIL値が保存されている。
【００３６】
（フェーズ別安全度水準判定処理）（図１０）
フェーズ別安全度水準判定手段１３は、ＨＭＩ２からの起動要求により起動されると、第２の技法データ４２にアクセスして、全フェーズＩＤに対して、以下の手順を繰り返す（S201）。図１１の第２の技法データ４２のデータ構成例を示す。
【００３７】
フェーズ別安全度水準判定手段１３は、第２の技法データ４２の当該フェーズの最初のベストプラクティス（BP）のIDを抽出する（S202）。一方、プロジェクト情報データ４４に保存されている目標SILがSIL1の場合は、当該BPの条件を第２の技法データ４２から取り出す（S204）。例えば、BPのIDがP7A010100の場合であって、SIL1が選択された場合は、第２の技法データ４２から「Ｒ低」が取り出される。
【００３８】
SIL2〜4の場合も同様に、夫々のSIL値に該当するBPの条件が第２の技法データ４２から取り出される（S205〜S207）。
【００３９】
取り出されたBP条件（推奨指針）が"HR"の場合、ＨＭＩ２へ当該BPの採用状況の問い合わせメッセージを出力し、当該BPを採用し、かつエビデンスもある場合は（S208で「YES」）、当該BPに対して、当該SILを満足ているというフラグ（満足フラグ）をセットする（S209）。同様に、取り出されたBP条件が"NR"の場合、ＨＭＩ２へ当該BPの採用状況の問い合わせメッセージを出力し、当該BPを採用しておらず、かつエビデンスもある場合は（S208で「YES」）、当該BPに対して、当該SILを満足ているというフラグ（満足フラグ）をセットする（S209）。なお、エビデンスの必要性は任意に設定できるようにしておいても良い。
【００４０】
一方、ステップS208で「NO」の場合、BP条件が、"R"か"−"の場合は、当該SILに対して満足フラグをセットし（S210）、そうでない場合は、当該SILを満足していないというフラグ（不満足フラグ）をセットして（S212）、次のBPへ移行する（S213）。以上の処理を第２の技法データ４２のそのフェーズの全てのBPに対して繰り返す。
【００４１】
ステップS202〜ステップS213の処理の後、満足フラグ，不満足フラグをもとに、当該フェーズの中で、全てのBPの条件を満たす最小のSILを判定する（S214）。
【００４２】
上記の処理を全てのフェーズに対して実行して、フェーズごとのSILを求め（S201〜S215）、その結果を出力する（S216）。図１３は、フェーズ別安全度水準判定手段１３による判定結果の出力例である。フェーズごとに、プロジェクト情報データ４４や第２の技法データ４２に対応する主キーが付され、これに関連付けられて上記の処理で求められた安全度水準のSIL値が保存されている。
【００４３】
（安全度水準総合判定処理）（図１４）
安全度水準総合判定手段１４は、ＨＭＩ２からの起動要求により起動されると、ＳＦＦ安全度水準判定手段１２で求めたハードウェアコンポーネントごとのSIL値、フェーズ別安全度水準判定手段１３で求めたフェーズごとのSIL値を取り出し（S701〜S703）、これらの中で最小のSIL値を抽出し、当該SIL値を診断対象のシステムの総合的な安全度水準として出力する（S703）。
【００４４】
以上、本実施の形態によれば、ハードウェア安全性診断装置１は、ハードウェアコンポーネントごとのSIL、設計から試験までのライフサイクルの異なるフェーズ中における系統的な故障を回避するためのSIL、総合的なSILを機能別に効率よく演算することができる。また、これら演算結果を目標SILと共にヒューマンマシンインタフェース（ＨＭＩ）に表示することによって、オペレータ（設計者）は、いずれかのSILが目標値を満足しない場合には、採用するベストプラクティスを追加・変更したり、あるいは、設計パラメータの値を適宜変更して基準とすべきSFFを変更したりして、目標SILに近づけることができる。
【符号の説明】
【００４５】
１    ハードウェア安全性診断装置
２    ＨＭＩ
３    出力装置
１０    演算装置
１１    プロジェクト情報入力手段
１２    ＳＦＦ安全度水準判定手段
１３    フェーズ別安全度水準判定手段
１４    安全度水準総合判定手段
４０    記憶装置
４１    第１の技法データ保存領域（保存手段）
４２    第２の技法データ保存領域（保存手段）
４３    ＳＩＬ判定テーブル
４４    プロジェクト情報データ保存領域（保存手段）
【図１】
0005639396.tif 000002
【図３】
0005639396.tif 000003
【図４】
0005639396.tif 000004
【図７】
0005639396.tif 000005
【図８】
0005639396.tif 000006
【図９】
0005639396.tif 000007
【図１０】
0005639396.tif 000008
【図１１】
0005639396.tif 000009
【図１２】
0005639396.tif 000010
【図１３】
0005639396.tif 000011
【図１４】
0005639396.tif 000012
【図２】
0005639396.tif 000013
【図５】
0005639396.tif 000014
【図６】
0005639396.tif 000015