(57)【要約】      （修正有）【課題】電子装置の機能安全に関する機能安全データを生成するシステムおよび方法を提供する。【解決手段】設計支援システム１は、開発者の安全解析システム２と、顧客の安全解析システム３と、カスタマイズ可能な解析レポート６を作製するために使用されるカスタマイズ可能な解析レポート６および障害リスト７を含む安全データを格納する共用データベース４とを含み、カスタマイズ可能な解析レポート６は、解析コンフィギュレーションデータ８、解析レポート９、パーツレベル解析レポート１０、および安全機構レポート１１を含み、解析レポート９は、障害インパクト解析データ１２、障害カバー率解析データ１３、ラムダ値１４、ハードウェアメトリック値およびランダムハードウェア故障についての確率論的メトリック値１５を含み、パーツレベル解析レポート１０は、要素のリスト１６、要素特徴付けデータ１７、障害依存性解析１８のリストを含む。【選択図】図１
2014139788.tif 000002
【特許請求の範囲】
【請求項１】
複数の要素（５２）を備えた電子部品の設計（５１）についての機能安全データ（１４，１５）を生成する方法であって、前記方法は、
障害関連データ（６０，６１，６４１，６５１）および解析関連データ（６８，６９）を含むコンフィギュレーションデータ（８）を受信するステップと、
各要素（５２）の出力に対する１以上の障害のインパクトを示すデータ（１０５１，１０５２，１０５３）を含む障害インパクト解析データ（１２）を受信するステップと、
各要素がどの程度安全機構によりカバーされるかを示すデータ（１０６１，１０７１１，１０７１２，１０７１３）を含む障害カバー率解析データ（１３）を受信するステップと、
前記コンフィギュレーションデータ、前記障害インパクト解析データおよび前記障害カバー率解析データを使用して機能安全データ（１４，１５）を生成するステップと、
前記コンフィギュレーションデータ、前記障害インパクト解析データ、前記障害カバー率解析データおよび前記機能安全データを含むレポート（６）を格納するステップとを含む、方法。
【請求項２】
前記障害インパクト解析データ（１２）を受信するステップは、前記障害インパクト解析データを生成するステップを含む、請求項１に記載の方法。
【請求項３】
前記障害インパクト解析データを生成するステップは、
要素に影響を与える障害のリスト（８０）と、各障害について、障害のカテゴリーを示すそれぞれの障害カテゴリーデータ（８１１，８１２，８１３）とを含む障害インパクト解析障害リスト（１９）を受信するステップと、
１以上のサブパーツの前記障害カテゴリーデータを組合せて、前記１以上のサブパーツを備えたパーツについて、前記パーツである前記要素の出力に対する前記１以上の障害のインパクトを示す前記データ（１０５１，１０５２，１０５３）を取得するステップとを含む、請求項２に記載の方法。
【請求項４】
前記障害のリスト（８０）は、要素に特有の障害の複数の名称を含み、各前記名称は、階層型名称構造を有する、請求項３に記載の方法。
【請求項５】
前記故障カバー率解析データ（１３）を受信するステップは、前記故障カバー率解析データを生成するステップを含む、請求項１〜４のいずれか１項に記載の方法。
【請求項６】
前記障害カバー率解析データ（１３）を生成するステップは、
障害のリスト（９７）と、各障害について、１以上の安全機構についてのそれぞれの安全機構データ（９８１，９９１，９８２，９９２，９８３，９９３，９８４，９９４）とを含む障害カバー率解析障害リスト（２０）を受信するステップを含み、ある前記安全機構についての前記安全機構データは、当該安全機構がいかに前記障害をカバーするかを示すデータを含み、前記障害カバー率解析データ（１３）を生成するステップは、
前記安全機構データを組合せて、各要素がどの程度前記安全機構によりカバーされるかを示す前記データを取得するステップをさらに含む、請求項５に記載の方法。
【請求項７】
前記機能安全データ（１４，１５）を生成するステップは、ＩＳＯ  ２６２６２規格に従って、ラムダ値（１４）および／またはハードウェアメトリック値および／またはランダムハードウェア故障についての確率論的メトリック値（１５）を生成するステップを含む、請求項１〜６のいずれか１項に記載の方法。
【請求項８】
請求項１〜７のいずれか１項に記載の機能安全データを生成するステップと、
レポート（６）を検索するステップと、
前記コンフィギュレーションデータ（８）、前記障害インパクト解析データ（１２）および／または前記障害カバー率解析データ（１３）を変更するステップと、
修正された機能安全データ（１４，１５）を生成するステップと、
前記修正されたコンフィギュレーションデータ、前記変更された障害インパクト解析データおよび／または前記変更された障害カバー率解析データ（１３）、ならびに前記変更された機能安全データ（１４，１５）を含む、変更されたレポート（６）を格納するステップとを含む、方法。
【請求項９】
複数の要素（５２）を備えた電子部品の設計（５１）についての機能安全データ（１４，１５）を生成する方法であって、前記方法は、
障害関連データ（６０，６１，６４１，６５１）および解析関連データ（６８，６９）を含むコンフィギュレーションデータ（８）と、各要素（５２）の出力に対する１以上の障害のインパクトを示すデータ（１０５１，１０５２，１０５３）を含む障害インパクト解析データ（１２）と、各要素がどの程度安全機構によりカバーされるかを示すデータ（１０６１，１０７１１，１０７１２，１０７１３）を含む障害カバー率解析データ（１３）と、前記コンフィギュレーションデータ（８）、前記障害インパクト解析データ（１２）および／または前記障害カバー率解析データ（１３）を使用して生成された機能安全データ（１４，１５）とを含むレポート（６）を受信するステップと、
前記コンフィギュレーションデータ（８）、前記障害インパクト解析データ（１２）および／または前記障害カバー率解析データ（１３）を変更するステップと、
前記修正されたコンフィギュレーションデータ（８）、前記変更された障害インパクト解析データ（１２）および／または前記変更された障害カバー率解析データ（１３）を使用して変更された機能安全データ（１４，１５）を生成するステップと、
前記変更されたコンフィギュレーションデータ、前記変更された障害インパクト解析データおよび／または前記変更された障害カバー率解析データ（１３）、ならびに前記変更された機能安全データ（１４，１５）を含む、変更されたレポート（６）を格納するステップとを含む、方法。
【請求項１０】
前記電子部品（２００）は、マイクロコントローラまたは特定用途向け集積回路である、請求項１〜９のいずれか１項に記載の方法。
【請求項１１】
電子部品（２００）を設計する方法であって、前記方法は、
前記電子部品（２００）の設計（５１）を作製するステップと、
前記電子部品の第１の設計についての請求項１〜１０のいずれか１項に記載の機能安全データ（１４，１５）を生成するステップと、
前記機能安全データに依存して、前記電子部品の変更された設計を作製するステップとを含む、方法。
【請求項１２】
電子部品を製造する方法であって、前記方法は、
請求項１１に記載の電子部品を設計するステップと、
前記変更された設計に従って電子部品（２００）を製造するステップとを含む、方法。
【請求項１３】
請求項１２に記載の方法により製造される電子部品。
【請求項１４】
データ処理装置によって実行されると、前記データ処理装置に請求項１〜１１のいずれか１項に記載の方法を実施させる、コンピュータプログラム。
【請求項１５】
少なくとも１つのプロセッサ（３７）と、
メモリ（３８）とを備え、
前記少なくとも１つのプロセッサは、請求項１〜１１のいずれか１項に記載の方法を実施するように構成された、データ処理装置（３６）を含む設計支援システム（１）。
【請求項１６】
障害関連データ（６０，６１，６４１，６５１）および解析関連データ（６８，６９）を含むコンフィギュレーションデータ（８）と、
各要素（５２）の出力に対する１以上の障害のインパクトを示すデータ（１０５１，１０５２，１０５３）を含む障害インパクト解析データ（１２）と、
各要素がどの程度安全機構によりカバーされるかを示すデータ（１０６１，１０７１１，１０７１２，１０７１３）を含む障害カバー率解析データ（１３）と、
前記コンフィギュレーションデータ、前記障害インパクト解析データおよび前記障害カバー率解析データを使用して生成された機能安全データ（１４，１５）とを含むレポート（６）を格納する、データベース（４）。
【発明の詳細な説明】
【技術分野】
【０００１】
発明の詳細な説明
説明
本発明は、マイクロコントローラもしくは特定用途向け集積回路（ＡＳＩＣ）などの電子部品、電子システムまたは他の電子装置用の機能安全データを生成し、使用した方法および設計支援システムに関する。
【背景技術】
【０００２】
多くのシステムは、安全基準に従うことが要求される。たとえば、自動車用電気および電子システムは、ＩＳＯ  ２６２６２規格に従うことが要求される。
【０００３】
通常、システムの解析は、検討されている特定の適用に関連して行われ、自動車部門では、適用例は、適応走行制御、エアバッグおよびブレーキを含む。
【０００４】
適用解析は、所定の適用を理解し、かつシステム部品を特定する、すなわち、部品がいかに相互作用し、各部品がいかに使用されるかを特定するために行われる。設計パーティショニングは、各ハードウェア部品をパーツに分解するために使用される。必要な場合には、解析を支援するためにパーツをさらにサブパーツに分解できる。障害確率論的特徴付けは、各パーツまたは各サブパーツについて起こり得る障害を特定するために行われる。その後、障害インパクト解析が、適用に対する各障害のインパクトを解析するために行なわれる。その後、安全機構解析が、有意な障害をいかにカバーするかを決定するために行なわれる。最後に、障害カバー率解析が、所定の安全機構により提示されるカバー率を決定するために行なわれる。この結果、適用について、各システム毎にパラメータのセットが得られる。
【０００５】
ステップは、検討中の適用に依存する。したがって、適用が変わると、設計は、たとえば異なるレベルのサブパーツを考慮して再パーティショニングされる必要があり得、起こり得る障害の新しいセットが特定される。各障害のインパクト、安全機構の解析、および安全機構のカバー率も再判定される必要があり得る。
【０００６】
マイクロコントローラユニット（ＭＣＵ）および特定用途向け集積回路（ＡＳＩＣ）は、自動車関連用途に広く使用される。
【０００７】
欧州特許公開公報第１９８０９６４号は、集積回路に対して故障モードおよび影響解析（ＦＭＥＡ）を行なう方法を記載している。この方法は、ＦＭＥＡ統計を含むＦＭＥＡデータベースを作成し、ＦＭＥＡデータベースを使用して、ＦＭＥＡ結果を演算することを含む。しかしながら、ＦＭＥＡ統計は、特定の使用法に限定される。したがって、使用法が変わると、ＦＭＥＡ統計の新しいセットが作成される。これは、ＭＣＵには非効率的である。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】欧州特許公開公報第１９８０９６４号
【発明の概要】
【課題を解決するための手段】
【０００９】
本発明の第１の局面に従うと、中央処理装置デジタル規格セルブロックおよびマクロなどの複数の要素を備えた、ＭＣＵ、ＡＳＩＣおよび他の複雑な電子部品などの電子装置の機能安全に関する機能安全データを生成する方法が提供される。この方法は、障害関連データおよび解析関連データを含むコンフィギュレーションデータを受信するステップと、各要素の出力に対する１以上の障害のインパクトを示すデータを含む障害インパクト解析データを受信するステップと、各要素がどの程度安全機構によりカバーされるかを示すデータを含む障害カバー率解析データを受信するステップとを含む。方法は、コンフィギュレーションデータ、障害インパクト解析データおよび障害カバー率解析データを使用して機能安全データを生成するステップと、コンフィギュレーションデータ、障害インパクト解析データ、障害カバー率解析データおよび機能安全データを含むレポートを格納するステップとを含む。
【００１０】
これは、解析を単純化するため、複数の電子部品を含む電子部品または電子システムの設計を単純化する助けができる。
【００１１】
インパクトは、たとえば電子部品開発者により提供される、想定または提案されるインパクトであり得る。しかしながら、インパクトは、たとえば顧客により変更され得る。障害インパクトデータは、適用独立性の障害インパクトデータであり得る。
【００１２】
障害インパクト解析データを受信するステップは、障害インパクト解析データを生成するステップを含み得る。障害インパクト解析データを生成するステップは、要素に影響を与える障害のリストと、各障害について、障害のカテゴリーを示すそれぞれの障害カテゴリーデータとを含む障害インパクト解析障害リストを受信するステップと、１以上のサブパーツの障害カテゴリーデータを組合せて、１以上のサブパーツを備えたパーツについて、該パーツである要素の出力に対する１以上の障害のインパクトを示すデータを取得するステップとを含み得る。障害のリストは、要素に特有の障害の複数の名称を含み得、各名称は、階層型名称構造を有する。
【００１３】
障害カバー率解析データを受信するステップは、障害カバー率解析データを生成するステップを含み得る。障害カバー率解析データを生成するステップは、障害のリストと、各障害について、１以上の安全機構についてのそれぞれの安全機構データとを含む障害カバー率解析障害リストを受信するステップを含み得、ある安全機構についての安全機構データは、当該安全機構がいかに障害をカバーするかを示すデータを含み、障害カバー率解析データを生成するステップは、安全機構データを組合せて、各要素がどの程度安全機構によりカバーされるかを示すデータを取得するステップをさらに含む。
【００１４】
機能安全データを生成するステップは、ＩＳＯ  ２６２６２規格に従って、ラムダ値および／またはハードウェアメトリック値および／またはランダムハードウェア故障についての確率論的メトリック値を生成するステップを含み得る。
【００１５】
方法は、レポートをカスタマイズするステップをさらに含み得る。方法は、レポートを検索するステップと、コンフィギュレーションデータ、障害インパクト解析データおよび／または障害カバー率解析データを変更するステップと、変更された機能安全データを生成するステップと、変更されたコンフィギュレーションデータ、変更された障害インパクト解析データおよび／または変更された障害カバー率解析データ、ならびに変更された機能安全データを含む、変更されたレポートを格納するステップとを含む。
【００１６】
本発明の第２の局面に従うと、複数の要素を備えた電子部品の設計についての新しい機能安全データを生成する、すなわち、レポートをカスタマイズする方法が提供される。方法は、障害関連データおよび解析関連データを含むコンフィギュレーションデータと、各要素の出力に対する１以上の障害のインパクトを示すデータを含む障害インパクト解析データと、各要素がどの程度安全機構によりカバーされるかを示すデータを含む障害カバー率解析データと、コンフィギュレーションデータ、障害インパクト解析データおよび／または障害カバー率解析データを使用して生成される機能安全データとを含むレポートを受信するステップを含む。レポートをカスタマイズするステップは、コンフィギュレーションデータ、障害インパクト解析データおよび／または障害カバー率解析データを変更するステップと、変更されたコンフィギュレーションデータ、変更された障害インパクト解析データおよび／または変更された障害カバー率解析データを使用して、変更された機能安全データを生成するステップと、変更されたコンフィギュレーションデータ、変更された障害インパクト解析データおよび／または変更された障害カバー率解析データ、ならびに変更された機能安全データを含む、変更されたレポートを格納するステップとを含む。
【００１７】
カスタマイズ可能な解析レポートは、開発者またはその顧客が「もしもの場合」の解析を行う助けをすることができ、電子部品のより良い設計につながることができる。
【００１８】
電子部品は、集積回路であり得る。たとえば、集積回路は、マイクロコントローラであり得る。マイクロコントローラは、車両シャーシ用途に使用されるように構成されたマイクロコントローラであり得る。たとえば、マイクロコントローラは、ＦｌｅｘＲａｙ通信コントローラを含み得る。集積回路は、特定用途向け集積回路（ＡＳＩＣ）であり得る。
【００１９】
本発明の第３の局面に従うと、電子部品の設計の方法が提供される。方法は、電子部品の設計を作製するステップと、電子装置の第１の設計についての機能安全データを生成するステップと、機能安全データに依存して、電子装置の変更された設計を作製するステップとを含む。
【００２０】
本発明の第４の局面に従うと、電子部品を製造する方法が提供される。方法は、電子部品を設計するステップと、変更された設計に従って電子部品を製造するステップとを含む。
【００２１】
本発明の第５の局面に従うと、データ処理装置によって実行されると、データ処理装置に方法を実施させるコンピュータプログラムが提供される。
【００２２】
本発明の第６の局面に従うと、コンピュータプログラムを格納するコンピュータが読取可能な媒体を含むコンピュータプログラム製品が提供される。
【００２３】
本発明の第７の局面に従うと、少なくとも１つのプロセッサおよび少なくとも１つのメモリのセットを含むデータ処理装置を含む、設計支援システムが提供される。少なくとも１つのプロセッサは、方法を実施するように構成される。
【００２４】
本発明の第８の局面に従うと、障害関連データおよび解析関連データを含むコンフィギュレーションデータと、各要素の出力に対する１以上の障害のインパクトを示すデータを含む障害インパクト解析データと、各要素がどの程度安全機構によりカバーされるかを示すデータを含む障害カバー率解析データと、コンフィギュレーションデータ、障害インパクト解析データおよび障害カバー率解析データを使用して生成される機能安全データとを含むレポートを格納するデータベースが提供される。
【００２５】
本発明の第９の局面に従うと、製造方法により製造される電子装置が提供される。
ここで、付随の図面を参照し、例示的に本発明のいくつかの実施形態を説明する。
【図面の簡単な説明】
【００２６】
【図１】カスタマイズ可能な解析レポートを格納する安全データベースを含む設計支援システムの概略ブロック図である。
【図１ａ】障害インパクト解析データを示す図である。
【図１ｂ】障害カバー率解析データを示す図である。
【図２】開発業者の安全解析システムの概略ブロック図である。
【図３】顧客の安全解析システムの概略ブロック図である。
【図４】コンピュータシステムの概略ブロック図である。
【図５】設計支援プロセスのフローチャートである。
【図６】電子部品の設計の概略ブロック図である。
【図７】設計パーティショニングプロセスの図である。
【図８】パーツのリストの図である。
【図９】サブパーツのリストの図である。
【図１０】障害確率論的特徴付けプロセスの図である。
【図１１】コンフィギュレーションデータの概略図である。
【図１２】要素特徴付けデータの概略図である。
【図１３】障害インパクト解析モジュールの概略ブロック図である。
【図１４】障害インパクト解析プロセスの図である。
【図１４ａ】障害インパクト解析サブプロセスの図である。
【図１５】障害インパクトデータの図である。
【図１６】階層型命名構造を示す障害インパクトデータの図である。
【図１７】安全機構解析プロセスの図である。
【図１８】安全機構解析データの図である。
【図１９】障害カバー率解析モジュールの概略ブロック図である。
【図２０】障害カバー率解析プロセスの図である。
【図２０ａ】障害カバー率解析サブプロセスの図である。
【図２１】障害カバー率解析データの図である。
【図２２】カスタマイズ可能な解析レポートの第１のパーツの図である。
【図２３】ラムダ値生成プロセスの図である。
【図２４】カスタマイズ可能な解析レポートの第２のパーツの図である。
【図２５】カスタマイズ可能な解析レポートを更新する方法のフローチャートである。
【図２６】電子部品を製造する方法のフローチャートである。
【図２７】電子部品の概略ブロック図である。
【発明を実施するための形態】
【００２７】
設計支援システム１
図１を参照して、マイクロコントローラなどの電子部品についての機能安全データを生成するための設計支援システム１が示される。
【００２８】
設計支援システム１は、開発者の安全解析システム２と、顧客の安全解析システム３と、カスタマイズ可能な解析レポート６を作製するために使用されるカスタマイズ可能な解析レポート６および障害リスト７を含む安全データを格納する共用データベース４とを含む。
【００２９】
カスタマイズ可能な解析レポート６は、解析コンフィギュレーションデータ８、解析レポート９、パーツレベル解析レポート１０、および安全機構レポート１１を含む。解析レポート９は、障害インパクト解析データ１２、障害カバー率解析データ１３、ラムダ値１４、ならびに、ハードウェアメトリック値およびランダムハードウェア故障についての確率論的メトリック（ＰＭＨＦ）値１５を含む。パーツレベル解析レポート１０は、要素のリスト１６、要素特徴付けデータ１７および障害依存性解析１８のリストを含む。図１に示されるように、障害依存性解析１８は、障害インパクト解析データ１２および障害カバー率解析データ１３を含む。障害リスト７は、障害インパクト解析障害リスト１９および障害カバー率解析障害リスト２０を含む。カスタマイズ可能な解析レポート６および／または障害リスト７は、表のセットの形態で格納され得る。
【００３０】
障害インパクト解析データ１２および障害カバー率解析データ１３は、解析レポート９に含まれなくてもよい。同様に、障害インパクト解析データ１２および障害カバー率解析データ１３は、パーツレベル解析レポート１０に含まれなくてもよい。
【００３１】
障害インパクト解析データ１２および障害カバー率解析データ１３を、解析レポート９および／またはパーツレベル解析レポート１０とは別々に格納することができる。障害インパクト解析データ１２および障害カバー率解析データ１３を、（たとえばミラーリングにより）複製し、解析レポート９および／またはパーツレベル解析レポート１０の一方または両方に格納することができる。
【００３２】
設計支援システム１は、開発者データベース２１、２２、２３のセットも含む。
詳細は後述するが、開発者は、マイクロコントローラなどの電子部品を設計するとき、カスタマイズ可能な解析レポート６を生成できる。開発者および／または顧客は、解析コンフィギュレーションデータ８、障害インパクト解析データ１２および障害カバー率１３を変更し、ラムダ値１４ならびにハードウェアメトリック値およびＰＭＨＦ値１５に対するその影響を検査し得る。
【００３３】
さらに図１ａを参照して、障害インパクト解析データ１２は、障害インパクトの内輪な値を示す、典型的には開発者により提供または生成される、想定（または「基準」）障害インパクト解析データ１２Ａを含み得る。顧客は、基準障害インパクトデータ１２Ａの一部またはすべてを、変更（または「予測」）障害インパクトデータ１２Ｂで（たとえば置換えによって）変更し得、および／または変更障害インパクトデータ１３Ｂを追加し得る。
【００３４】
さらに図１ｂを参照して、障害カバー率解析データ１３は、障害カバー率の内輪の値を示す、ここでも典型的には開発者により提供または生成される、想定（または「基準」）障害カバー率解析データ１３Ａを含み得る。顧客は、基準障害カバー率解析データ１３Ａの一部またはすべてを、（または「予測」）障害カバー率解析データ１３Ｂで（たとえば置換えによって）変更し得、および／または改訂障害カバー率解析データ１２Ｂを追加し得る。
【００３５】
カスタマイズ可能な解析レポート６のいくつかのパーツは、開発者には見えるが、顧客には見えないようにされ得る。カスタマイズ可能な解析レポート６のいくつかのパーツは、顧客により見られるが、変更不可能にされ得る。カスタマイズ可能な解析レポート６のいくつかのパーツは、顧客により変更可能にされ得るが、顧客は、開発者により指定された範囲にあるか、または特定の値を有する値に変更を行うことに限定され得る。カスタマイズ可能な解析レポート６をこれらの様式のうち１以上に限定すると、顧客が予期しないまたは無効な変更を行うことを防止するのに役立つ。
【００３６】
設計支援システム１は、データベースおよびデータベース管理システムの形態をとり得る。カスタマイズ可能な解析レポート６は、スプレッドシートおよびテキストファイルの形態で格納され得る。
【００３７】
図２は、設計支援システム１の開発者側をより詳細に図示する。
図２を参照して、設計支援システム１は、設計データベース２１、障害リストデータベース２２および想定データベース２３を含む、開発者データベース２１、２２、２３のセットを含む。設計データベース２１は、たとえば、サイズ情報を含むレイアウト前のゲートレベルネットリストの形態で、電子部品の設計の記述２４を格納する。しかしながら、記述２４は、論理ブロック間の距離などのレイアウトに関する追加情報を含み得る。レイアウト情報は、ブリッジ障害を特定するために使用され得る。記述２４は、より高いまたはより低い抽象化レベルで情報を含み得る。記述２４は、１を超える抽象化レベルからの情報を含み得る。
【００３８】
障害リストデータベース２２は、起こり得る障害のリスト２５を格納する。障害リスト２５は、「stuck at 0」または「stuck at 1」などの起こり得る障害を列挙する、たとえばスプレッドシートまたはテキストファイルでの表の形態をとり得る。
【００３９】
想定データベース２３は、電子部品がいかに使用されるかに関する想定２６を格納する。想定２６は、「想定１：システムは、クリアはされなくても、１０ミリ秒毎にリセットを発生する外部ウォッチドッグを使用している」などの想定を列挙する、たとえばスプレッドシートまたはテキストファイルの表の形態をとり得る。
【００４０】
開発者の安全解析システム２は、カスタマイズ可能な解析レポート６を生成するためのモジュール２７、２７、２９、３０、３０、３２を含む。開発者の安全解析システム２は、設計パーティショニングモジュール２７、障害確率論的特徴付けモジュール２８、障害インパクト解析モジュール２９、安全機構解析モジュール３０、障害カバー率解析モジュール３１および安全装置パラメータ生成モジュール３２を含む。
【００４１】
モジュール２７、２８、２９、３０、３１、３２の動作の詳細は後述する。
図３は、設計支援システム１の顧客側をより詳細に図示する。
【００４２】
図３を参照して、顧客安全解析システム３は、レポートインターフェーシングモジュール３３を含み、および、任意にパラメータ生成モジュール３４を含む。顧客の安全解析システム３は、顧客データベース３５にアクセスし得る。顧客の安全解析システム３は、開発者の安全解析システム２と同じまたは類似の１以上のモジュール２７、２８、２９、３０、３１、３２を含み得る。いくつかの例において、顧客の安全解析システム３は、開発者の安全解析システム２をミラーリングしてもよいため、カスタマイズ可能な解析レポート６を生成するための同じモジュール２７、２８、２９、３０、３１、３２を含み得る。
【００４３】
図４を参照して、開発者の安全解析システム２は、複数のネットワーク化されたコンピュータシステム３６を含む分散型システムで実施され得る。
【００４４】
各コンピュータシステム３６は、少なくとも１つの処理コア３７、メモリ３８、および、バスシステム４０により相互接続される入出力インターフェース３９を含む。コンピュータシステム３６は、モジュール２７、２８、２９、３０、３９、３２の１以上を実施するための設計支援ソフトウェア４２を格納するローカル記憶装置４１を含む。しかしながら、設計支援ソフトウェア４２は、アプリケーションサーバ（図示せず）に格納することができる。コンピュータシステム３６は、ユーザ入力装置４３（キーボードおよび／またはポインティングデバイスなど）、１以上のディスプレイ４４、およびネットワークインタフェース４５も含む。ネットワークインタフェース４５は、他のコンピュータシステム３６およびデータベース４、２１、２２、２３の１以上への接続を設ける。顧客の安全解析システム３は、同じまたは同様のシステムで実施され得る。
【００４５】
設計支援システム１は、電子部品の開発中に、開発者および顧客が協働できるようにする。ここに記載されるシステム１およびプロセスを使用して、システムアプローチに従って電子部品の安全性能を定量化し、その開発を査定することができる。設計支援システム１は、電子部品を設計するプロセスをスピードアップできる。
【００４６】
安全解析の概要
図１、図５および図６を参照して、電子部品の機能安全性能を解析するアプローチ全体が示される。ここではマイクロコントローラの例が使用される。しかしながら、アプローチは、システム・オン・チップ（ＳｏＣ）、メモリ、特定用途向け集積回路（ＡＳＩＣ）、アナログＩＣ、混合された信号ＩＣおよびパワーＩＣ、ならびに他の電子部品などの他タイプの集積回路にも適用され得る。アプローチは、複数の電子部品を備えた電子システムに適用され得る。
【００４７】
この例ではマイクロコントローラである、電子部品用の設計５１が作製される（ステップＳ１）。
【００４８】
設計５１は、ＣＰＵコア、組込みメモリおよび通信ユニットなどのパーツ５２１と、マクロおよびデジタル規格セルブロックなどのサブユニット５２２とを含む要素５２を規定するようにパーティショニングされる（ステップＳ２）。
【００４９】
一旦要素５２が特定されると、各要素５２に影響をおよぼす潜在性のある物理的欠陥が特定され、そして、各要素５２は、当該要素５２に１以上の障害モデルを割り当てることにより、さらに、１を超える障害モデルがある場合、異なる障害モデル間での故障率の分布を割り当てることによって、時間での故障の単位（ＦＩＴ）（デバイス運転１０９時間当たりに予想される故障の数）で測定された故障率が要素５２に割り付けられることによって、特徴付けられる（ステップＳ３）。
【００５０】
マイクロコントローラ中に組込まれるかまたはマイクロコントローラの外部にあると想定される、自己チェックロジックまたはループバックロジックなどの安全機構が特定され、これらの特性が調べられる（ステップＳ４）。後に詳細に説明するように、安全機構は、完全にハードウェアにおいて、完全にソフトウェアにおいて、もしくはハードウェアおよびソフトウェアの両方を使用して実装されるか、または、マイクロコントローラの外部に設けられる。一旦安全機構が特定されると、安全機構の全体的な有効性が決定される（ステップＳ５）。
【００５１】
安全機構の検討とは一切無関係に、要素５２に対する障害のインパクトが決定される（ステップＳ６）。詳細は後述するが、マイクロコントローラの使用法に関する想定を行うことができる。
【００５２】
一旦障害カバー率および障害インパクトが評価されると、障害分類が試みられ、マイクロコントローラについての故障率およびハードウェアメトリックが得られる（ステップＳ７）。
【００５３】
結果１４および１５は、レポート６に出力され、安全データベース４に格納される。詳細は後述するが、レポート６はカスタマイズ可能である。開発者および／または顧客は、入力パラメータを変更して、結果１４および１５がどのように変わるかを見ることができる。
【００５４】
ランダムハードウェア故障による安全目標違反の確率を評価することができる（ステップＳ８）。定量的目標に対する結果のコンプライアンスのチェックを行うことができる（ステップＳ９）。これは、ハードウェアメトリック値およびランダムハードウェア故障についての確率論的メトリック（ＰＭＨＦ）／規定された目標に対するカットセット法（cut-set methods）をチェックして、故障が起こり得る可能性およびコンプライアンスをチェックすることを含む。オンチップモジュール間の相互作用を解析できる（ステップＳ１０）。
【００５５】
安全解析、ハードウェアメトリック値およびＰＭＨＦ／カットセットの結果の検討が行われる（ステップＳ１１）。設計は更新され得（ステップＳ１）、プロセスは良好な設計が実現されるまで繰り返される。
【００５６】
ここで、ステップＳ２〜Ｓ８をより詳細に説明する。
設計パーティショニング
図１、図６および図７を参照して、マイクロコントローラ設計５１は、パーツ５２１およびサブパーツ５２２を含む要素５２を規定するようにパーティショニングされる。
【００５７】
第一に、マイクロコントローラ設計５１は、異なる機能を果たす複数のパーツ５２１に分けられる。
【００５８】
パート５２１は、処理ユニット、不揮発性メモリ、揮発性メモリ、データ転送ユニット、システム制御ユニット、インタフェースユニット、時間ユニット、通信ユニット、安全ユニット、ならびに、デバッギングおよびテストユニットなど、いくつかの群または「クラス」のうち１つに分類することができる。
【００５９】
処理ユニットは、ＣＰＵコア、コプロセッサ、メモリ管理ユニット、キャッシュコントローラまたは割込コントローラーの形態をとり得る。不揮発性メモリは、フラッシュメモリの形態をとり得る。揮発性メモリは、組込みＳＲＡＭの形態をとり得る。データ転送ユニットは、ＤＭＡコントローラー、内部／外部バスコントローラまたはバス調停回路であり得る。システム制御ユニットは、電力管理ユニット、クロック制御、電圧制御の形態をとり得る。インタフェースユニットは、Ｉ／Ｏポート、アナログ−デジタル変換器またはデジタル−アナログ変換器の形態をとり得る。時間ユニットは、タイマー装置または内部ウォッチドッグの形態をとり得る。通信ユニットは、ＦｌｅｘＲａｙユニット、ＣＡＮユニット、ＳＰＩユニット、ＵＡＲＴユニット、Ｉ２Ｃユニット、またはイーサネット（登録商標）ユニットの形態をとり得る。安全ユニットは、組込みウォッチドッグまたはメモリ保護ユニットの形態をとり得る。デバッギングおよびテストユニットは、ユーザデバッグ制御および大量生産テスト用ハードウェアを含み得る。
【００６０】
第二に、各パーツ５２１は、１以上のサブパーツ５２２に分割される。サブパーツ５２２は、解析される最低階層レベルである。サブパーツ５２２は、マクロもしくはマクロのセット、またはデジタル規格セルのブロックであり得る。マクロは、回路機能の実装であり、回路は、デジタル、アナログまたは混合信号であり得る。サブパーツ５２２は、回路の一部、回路、または回路の群であり得る。
【００６１】
図７に示すように、設計パーティショニングの結果、要素５２のリスト１６（ここでは「要素リスト」と呼ぶ）が得られる（ステップＳ２）。要素リスト１６は、パーツ５２１についての第１のリスト１６１（「パーツリスト１６１」）と、サブパーツ５２２についての第２のリスト１６２（「サブパーツリスト１６２」）を含む２つのリスト１６１，１６２に分割され得る。
【００６２】
階層命名スキームを、要素５２を命名するために使用することができる。たとえば、パーツ５２１は、「ｃｖｍ」または「ｃｐｕ」など、「ｐａｒｔ＿ｎａｍｅ」で表記され、サブパーツ５２２は、「ｃｖｍ．ｍｕｘ」または「ｃｐｕ．ｃｐｌ」など、「ｐａｒｔ＿ｎａｍｅ．ｓｕｂ−ｐａｒｔ＿ｎａｍｅ」で表記され得る。パーツ５２１は、分けられ、さらに細分されて（すなわち、中間パーツとなり）、サブパーツ５２２に達する。したがって、３以上の階層レベルが規定され得る。たとえば、「ｃｍｖ」と表記されるパーツ５２１は、「ｃｖｍ．ｖｃｃ．ｏｕｔ１」、「ｃｖｍ．ｖｃｃ．ｏｕｔ２」および「ｃｖｍ．ｖｃｃ．ｏｕｔ３」と表記されるサブパーツ５２２を含み得る。
【００６３】
さらに図８を参照して、パーツリスト１６１は、（行として示される）項目のセット５３ａを含む。各項目５３ａは、パーツ５２１を特定する要素識別子（ＩＤ）を記載する第１の欄５４ａと、パーツ５２１についての要素名を記載する第２の欄５５ａとを含む。
【００６４】
さらに図９を参照して、サブパーツリスト１６２は、たとえば、項目５３ｂのセットを含み、各項目５３ｂは、サブパーツ５２２を特定する要素識別子（ＩＤ）を記載する第１の欄５４ｂと、サブパーツ５２２の要素名を記載する第２の欄５５ｂと、サブパーツを親パーツに関連付けるパーツ識別子（ＩＤＰ）を記載する第３の欄５６とを含む。
【００６５】
パーツリスト１６１中のパーツは、サブパーツリスト１６２にも含まれ得る。たとえば、パーツリスト１６１中の要素「Ｐａｒｔ  ２」は、「ｃｐｕ」であり、要素識別子「２」を有し得る。サブパーツリスト１６２中の要素「Ｅｌｅｍｅｎｔ  ２」は、「ｃｐｕ」であり得る。サブパーツリスト１６２中の要素「Ｅｌｅｍｅｎｔ  ３」は、ｃｐｕのサブパーツである「ａｌｕ」であり得る。いずれの要素も、同一のパーツ識別子５６を共有するが、サブパーツリスト１６２中の異なる要素識別子５４ｂが割り付けられる。
【００６６】
サブパーツリスト１６２は、機能安全データの生成のために使用される。パーツリスト１６１は、たとえば、サブパーツリスト１６２を作製する、および／またはハイレベルなサマリーを作製するために使用され得る。パーツリスト１６１は省略され得る。パーツリスト１６１およびサブパーツリスト１６２は、別々の表として格納される。
【００６７】
要素リスト１６は、パーツレベル解析レポート１０中の安全データベース４に格納される。しかしながら、要素リスト１６の一部またはすべてをカスタマイズ可能な解析レポート６の他のパーツに格納することができる。要素リスト１６は、カスタマイズ可能な解析レポート６の外部に別々に格納することもできる。
【００６８】
障害確率論的特徴付け
障害確率論的特徴付けの主要な目的は、それぞれの障害モデルにより記述される１以上のタイプの障害が原因であり得る、要素５２（図６）についての故障率を決定するのに役立つ。障害の例は、例えば、縮退障害、ブリッジング障害、オープン障害および遅延障害を含む。
【００６９】
図１０を参照して、コンフィギュレーションデータ８、および、要素１６のリストを記載する一部完了したパーツレベル解析レポート１０が、障害確率論的特徴付けモジュール２８に供給される（図２）（ステップＳ３）。ユーザ指令下では、障害モデルおよび故障率に関する情報は、コンフィギュレーショデータ８から抽出され、パーツレベル解析レポート１０に要素特徴付けデータ１７を読込むことにより、要素５２に割り当てられる（図６）。
【００７０】
コンフィギュレーションデータ８は、一般的に、宣言セクションおよび値セクションの２つのセクションに分けられる。宣言セクションは、コンフィギュレーションクラス（「ＦＣ」など）、コンフィギュレーション項目（すなわち、「failure_rate_digital」など、解析中のパラメータ値を指すのに使用されるコードまたはニックネーム）、およびコンフィギュレーション分類の記述を含む、属性を記載する欄のセットを含む。値セクションは、コンフィギュレーション項目の値（数値またはテキストであり得る）を記載する第１の欄と、任意に、コンフィギュレーション項目の追加の値を記載する１以上の追加の欄とを含む欄のセットを含む。
【００７１】
解析レポート９およびパーツレベル解析レポート１０を含む、データの他のセットは、同じ方法で整理される。データの各セットは、２つ以上のセクションに分けられ、各セクションは、属性の値を格納する少なくとも１つの欄を記載する。
【００７２】
図１１は、コンフィギュレーションデータ８をより詳細に示す。
図１１を参照して、コンフィギュレーションデータ８は、コンフィギュレーションクラス欄（図示せず）を使用して、いくつかのセクション８１、８２、８３に分けられる。明確にするために、コンフィギュレーションデータ８の各セクション８１、８２、８３は、異なる表中に示される。
【００７３】
コンフィギュレーションデータ８の第１のセクション８１は、故障率に関する情報を記載する項目のセット（行として図１１中に示される）を含む。各項目５８は、故障率特徴の名称を記載する第１の属性欄５９と、故障率の値を記載する第２の属性欄６０と、故障率特徴の単位（たとえば、μｍ２）を記載する第３の属性欄６１とを含む。特徴値は、ＩＥＣ  ６２３８０またはシーメンスＳＮ  ２９５００などのハンドブックおよび出典、または、開発者によりもしくは開発者の代わりに試みられた信頼性テストから取得することができる。コンフィギュレーションデータ８の第１のセクション８１は、単位面積当たり、ゲートの単位数当たり、またはビットの単位数当たりの故障値を割り当てることができる。詳細は後述するが、開発者は、予め規定された故障率特徴および故障率値のセットを与えることができる。しかしながら、開発者および／または顧客は、新しい故障率特徴を追加するか、または故障率特徴を変更することができ、故障率値を追加する、および／または変更することができる。
【００７４】
コンフィギュレーションデータ８の第２のパーツ８２は、障害特徴付け情報を与える項目のセット６２を含む。各項目６２は、障害特徴付け名と、障害モデル属性を記載するｎ個の対の属性欄６４１、６５１、６４２、６５２、６４３、６５３、６４４および６５４とを含む、第１の属性欄６３を含む。４個の対の欄のみが示される。各障害モデルについて、対の欄６４１、６５１、６４２、６５２、６４３、６５３、６４ｎ、６５ｎは、障害モデル名および百分率で示される障害モデル分布の値を記載する欄６５１、６５２、６５３、６５ｎを記載する、欄６４１、６４２、６４３、６４ｎを含む。所定の障害特徴については、分布は合計１００％以下にまでなる。
【００７５】
コンフィギュレーションデータ８の第３のパーツ８３は、解析パラメータを規定する項目のセット６６を含む。各項目６６は、パラメータ６７の名称（障害耐性時間間隔など）を記載する第１の属性欄６７、パラメータ値の値を記載する第２の属性欄６８、およびパラメータの単位（たとえば、秒）を記載する第３の属性欄６９を含む。
【００７６】
図１０に示されるように、障害確率論的特徴付けの結果、要素特徴付けデータ１７が得られる。
【００７７】
図１２は、要素特徴付けデータ１７をより詳細に示す。
図１２を参照して、要素特徴付けデータ１７は、項目のセット７０を含み、各項目７０は、要素識別子（ＩＤ）を記載する第１の属性欄７１、要素名を記載する第２の属性欄７２、パーツが安全に関連するか否かを表示する標識を記載する第３の属性欄７３、障害特徴付け名を記載する第４の属性欄７４、および、障害率特徴名を記載する第５の属性欄７５を含む。
【００７８】
要素特徴付けデータ１７は、要素に関するサイズ情報も含むことができる。
要素特徴付けデータ１７は、パーツレベル解析レポート１０中のセクションとして、安全データベース４（図１）に格納される。
【００７９】
障害インパクト解析
障害インパクト解析の主な目的は、要素５２（図６）に起きる障害のインパクトを決定することである。
【００８０】
障害は、次の３つのカテゴリーの１つに分類することができる。
第一に、障害は、安全機構が一切存在しない場合、安全目標に直接違反する潜在性を有する直接違反障害（ＤＶＦ）であり得る。直接違反障害として分類され、安全機構によりカバーされない障害は、ＩＳＯ  ２６２６２の一点障害（ＳＰＦ）またはＩＳＯ  ２６２６２の残存障害（ＲＦ）につながる可能性がある。
【００８１】
第二に、障害は、１以上の他の障害と組合わされてのみ、安全目標に違反する潜在性を有する間接違反障害（ＩＶＦ）であり得る。間接違反障害として分類される障害は、ＩＳＯ  ２６２６２の多点故障（ＭＰＦ）につながる可能性がある。
【００８２】
第三に、故障は、１以上の他の故障と組合わされてさえも、安全目標を違反する潜在性を有しない非違反障害（ＮＶＦ）であり得る。非違反障害として分類される障害は、ＩＳＯ  ２６２６２の安全障害（ＳＦ）として分類できる。
【００８３】
障害インパクトは、ユーザが、たとえば、制御および通信経路上で送信されるデータ信号に対する障害の影響を見ることにより、または、ツールにより決定することができる。
【００８４】
図１３を参照して、障害インパクト解析モジュール２９は、設計ツール７６、障害注入ツール７７および障害リストマッピングツール７８を含む。
【００８５】
図１４をさらに参照して、設計記述２４および障害リスト２５は、障害インパクト解析モジュール２９に供給され、障害インパクト解析障害リスト１８および障害インパクト解析データ１２が生成される（ステップＳ６）。
【００８６】
図１５は、障害インパクト解析障害リスト１８をより詳細に示す。
図１５を参照して、障害インパクト解析障害リスト１８は、項目のセット７９を含み、各項目７９は、障害名（または「パス」）を記載する第１の属性欄８０と、障害がどのカテゴリーに属するか、すなわち、障害が単一障害であるか、間接違反障害であるか、または非違反障害であるかを示す３つの属性欄８１１、８１２、８１３のセットとを含む。
【００８７】
図１６をさらに参照して、障害インパクト解析障害リスト１８は、パスを階層的に列挙し、要素に従う障害をグループ８２にグループ化する。たとえば、障害は、「core.cpu.alu.node1」（node1は、中央処理装置の要素である算術論理演算ユニットのノードであり、中央処理装置は、コアの要素である）であり得る。別の例では、障害は、「core.cpu.node7」（node7は、コアの要素である中央処理装置のノードである）であり得る。
【００８８】
階層パス命名構造は、特定の要素５２（図６）についての障害が特定され、カウントされることを可能にする。たとえば、中央処理装置の障害の数は、「core.cpu.*」（＊はパスの残部である）の事例の数をカウントすることにより求めることができ、算術論理演算ユニットの障害の数は、「core.cpu.alu.*」の事例の数をカウントすることなどにより求めることができる。
【００８９】
さらに図１４ａを参照して、障害インパクト解析データ１２は、障害インパクト解析障害リスト１８から障害マッピングツール７８により抽出される。ツール７８は、所定の要素についてどれだけの障害があるかをカウントし、要素についてのＤＶＦカテゴリー障害の数、ＩＶＦカテゴリー障害の数、およびＮＶＦカテゴリー障害の数をカウントする。その後、ツール７８は、所定のカテゴリーについての障害の数と障害の総数との比を演算し、比を百分率として示す。
【００９０】
たとえば、図１６中に示される障害インパクト障害リスト１８を使用して（中央処理装置についての他の障害が全くないと仮定して）、障害インパクト解析データ１２が次の結果で抽出される。算術論理演算ユニットレベルでは、ＤＶＦ（％）＝ＩＶＦ（％）＝ＮＶＦ（％）＝３３％（すなわち、各カテゴリーでは１つの故障、合計で３つの故障）、さらに、中央処理装置レベルでは、ＤＶＦ（％）＝６０％およびＩＶＦ（％）＝ＮＶＦ（％）＝２０％（すなわち、ＤＶＦカテゴリーでは３つの故障、合計で５つの故障）。
【００９１】
障害インパクト解析障害リスト１８は、安全データベース４（図１）に格納され、障害インパクト解析データ１２は、解析レポート９中のセクションとして安全データベース４（図１）中に格納される（図１）。
【００９２】
安全機構解析
安全機構解析の主要な目的は、マイクロコントローラ（もしくは他の電子部品）に組込まれるか、ソフトウェアにより実装されるか、および／または、マイクロコントローラの外部のハードウェアもしくはソフトウェアにより設けられる安全機構を特定および解析することである。
【００９３】
図１７を参照して、安全機構解析は、ユーザが、設計２４を検査し、かつソフトウェア設計８３を検討して、ハードウェアロジックが安全機構を与えるかどうかを特定し、そうである場合に、安全機構がハードウェアによって完全に実施されるかどうか（ソフトウェアは、安全機構をイネーブルまたはディスエーブルにするか、またはテストの結果を読出すためのみに使われる）（ここでは、ハードウェア安全機構または「ＨＷ  ＳＭ」と呼ぶ）、または、安全機構が一部ハードウェアおよび一部ソフトウェアにより設けられるかどうか（ここでは、ハードウェア支援ソフトウェア安全機構または「ＨＷ支援ＳＷ  ＳＭ」と呼ぶ）を特定することにより行われる（ステップＳ４）。たとえば、ハードウェア安全機構の場合には、自己テストロジックがテスト値を変換し、専用レジスタ（図示せず）に結果を書込むことができ、ソフトウェアがその値を読出すことができる。たとえば、ハードウェア支援ソフトウェア安全機構の場合には、障害を特定するためにループバックモードを使用できるが、安全機構は、ソフトウェアにより実行されるテストのタイプに依存する。
【００９４】
一旦ロジックがハードウェア安全機構として分類されると、安全機構の挙動が特定される。一般的に、安全機構は、検出のみ（「Ｄ」）、制御のみ（「Ｃ」）、ならびに検出および制御（「ＣＤ」）の３つのクラスの１つに分類される。
【００９５】
Ｄ−クラス安全機構は、障害の存在について上位層（図示せず）に通知することのみ可能である（上位層は、システムのフェイルセーフ挙動の完全な実施に対する役割を果たす）。Ｃ−クラス安全機構は、同じまたは下位層内の障害の影響を緩和する能力を有する（コントロールロジックの適切な挙動を示すフェイルセーフシステムを有するために、上位層が追加的な作用を実施する必要はない）。ＣＤ−クラス安全機構は、同じ層または下位層内の障害の影響を緩和し、さらに、障害が起きて、管理されたという通知を上位層に与える能力を有する。
【００９６】
図１８は、安全機構データレポート１１をより詳細に示す。
図１８を参照して、安全機構解析レポート１１は、（図１８中に行として示される）項目のセット８４を、各安全機構について１項目８４ずつ含む。各項目８４は、識別子（ＩＤ）を記載する第１の属性欄８５と、安全機構名を記載する第２の属性欄８６と、安全機構がカバーするように設計された、主要な要素の名称を記載する第３の属性欄８７と、安全機構がカバーするように設計されていなかったとしても、安全機構によりカバーされる他の要素の名称を記載する第４の属性欄８８と、イネーブル制御を記載する第５の属性欄８９と、安全機構クラスを記載する第６の属性欄９０と、標的要素についての安全機構の連続チェックの時間間隔である、診断テスト間隔（ＤＴＩ）の値を記載する第７の属性欄９１と、安全機構または上位層（図示せず）による、障害の検出と障害への反応の完了との間隔である、障害反応時間（ＦＲＴ）の値を記載する第８の属性欄９２とを含む。
【００９７】
安全機構データ１１は、安全データベース４（図４）に格納される。
障害カバー率解析
障害カバー率の主な目的は、各要素５２（図６）に影響をおよぼす障害に対する安全機構の全体的な有効性を決定することである。
【００９８】
障害カバー率は、ユーザが、安全機構を見て、所定の要素について障害カバー率を判定することにより決定できる。
【００９９】
図１９を参照して、障害カバー率解析モジュール３１は、障害注入ツール９３および障害リストマッピングツール９４を含み得る。
【０１００】
図２０を参照して、障害カバー率解析は、ユーザが、安全機構解析データ１１および障害リスト２５を検査し、どの障害がどの安全機構によりカバーされるかを決定することにより行われる（ステップＳ５）。１を超える安全機構が同じ障害に対して作用することが可能である。障害カバー率解析障害リスト２０および各障害をカバーするすべての安全機構を特定する障害カバー率解析データ１３を生成する上に、障害カバー率解析は、各パーツについての安全機構順位付けデータ９５も生成する。安全機構順位付けデータ９５は、安全機構を列挙し、カバー率の度合いに従ってそれらを順位付けする。
【０１０１】
図２１は、障害カバー率解析障害リスト２０をより詳細に示す。
図２１を参照して、障害カバー率解析障害リスト２０は、項目のセット９６を含み、各項目９６は、障害名と、各安全機構１００１、１００２、１００３、１００４について、それが所定の障害を訂正および／または検出するかどうかについての情報を記載する属性欄９８１、９９１、９８２、９９２、９８３、９９３、９８４および９９４のセットとを記載する第１の属性欄９７を含む。
【０１０２】
図２１中には、４つの安全機構のみが示される。しかしながら、４つを超える安全機構があり得る。
【０１０３】
障害カバー率解析障害リスト２０は、パスを階層的に列挙し、障害インパクト解析障害リスト１８と同じ方法で、要素に従って障害をグループ化する。
【０１０４】
さらに図２０ａを参照して、障害カバー率解析データ１３は、障害マッピングツール９４により障害カバー率解析障害リスト２０から抽出される。障害カバー率解析における抽出は、障害インパクト解析で行なわれる抽出と同様に実施される。
【０１０５】
障害カバー率解析障害リスト２０および安全機構順位付けデータ９５は、安全データベース４（図１）に格納される。障害モデル依存性解析データ１３は、解析レポート９（図１）中のセクションとして安全データベース４（図１）に格納される。障害カバー率解析データ１３は、解析レポート９（図１）中のセクションとして安全データベース４（図１）に格納される。
【０１０６】
λ値生成
図２２は、解析レポート９の要素解析セクション９１を示す。
【０１０７】
要素解析セクション９１は、カスタマイズ可能な解析レポート６（図１）の一部を形成し、開発者および／または顧客によって検査できる。図２２中に示されるように、要素解析セクション９１は、表の形態で提示できる。
【０１０８】
詳細は後述するが、開発者および／または顧客は、コンフィギュレーションデータ８（図１１）、要素特徴付けデータ１７（図１２）、各障害のインパクトを変更し、各要素５２（図６）についての障害カバー率を更新し、「もしもの場合」の解析を実行する安全機構特徴を変更することができる。
【０１０９】
レポート９は、障害インパクト解析モジュール２９（図１）、障害カバー率解析モジュール３１（図１）およびパラメータ生成モジュール３２（図１）によって、次第にデータが書込まれる。
【０１１０】
図２２を参照して、要素解析レポート９１は、項目１０１のセットを含み、各項目は、識別子（ＩＤ）を記載する第１の属性欄１０２と、要素名を記載する第２の属性欄１０３と、障害モデル名を記載する第３の属性欄１０４と、障害のカテゴリーを示す値１０５１、１０５２、１０５３を記載する第４、第５および第６の属性欄と、安全機構識別子を記載する第７の属性欄１０６と、安全機構の訂正／検出／組合わされた／カバーされていない情報を記載する属性欄１０７１１、１０７１２、１０７１３、１０７１４のセットとを含む。１つの安全機構および対応する安全機構情報のみが図２２中に示される。
【０１１１】
一旦障害インパクト解析データ１２および障害カバー率解析データ１３が生成される、および／または照合されると、安全パラメータおよびハードウェアメトリックを生成することができる。
【０１１２】
図１および図２３を参照して、コンフィギュレーションデータ８、障害インパクト解析データ１２および障害カバー率解析データ１３がパラメータ生成モジュール３２（図２）に供給され、パラメータ生成モジュール３２は、ＩＳＯ  ２６２６２に従って、λパラメータ１４の値ならびにハードウェアメトリック値およびＰＭＨＦの値１５のセットを生成する（ステップＳ７）。この例では、障害インパクト解析データ１２および障害カバー率解析データ１３を含む、一部完了した解析レポート９が提供される。しかしながら、障害インパクト解析データ１２および障害カバー率解析データ１３は、異なる方法で提供され得る。たとえば、障害インパクト解析データ１２および障害カバー率解析データ１３を含む障害モデル依存性解析１８は、解析レポート９とは別々に提供され得る。
【０１１３】
パラメータ生成モジュール３２は、他のコンフィギュレーションデータ８のうち、障害マッピングルールを受理（受信）することにより、障害カテゴリー（すなわち、ＤＶＦ、ＩＶＦまたはＮＶＦ）および障害が安全機構によりいかにカバーされるか（すなわち、Ｃ、ＤまたはＣＤ）に依存して、一点障害（ＳＰＦ）、残存障害（ＲＦ）、潜伏多点障害（ＭＰＦ＿ＬＡＴ）、検出多点障害（ＭＰＦ＿ＤＥＴ）および安全障害（ＳＡＦＥ）などのＩＳＯ  ２６２６２６による障害クラスを障害に割り当てることにより、ＩＳＯ  ２６２６２に従って故障率またはλパラメータ１４ならびにハードウェアメトリック値およびＰＭＨＦ値１５を計算することができる。下記の表１は、障害マッピングルールのセットの一例を示す。
【０１１４】
【表１】
2014139788.tif 000003
【０１１５】
しかしながら、他の障害マッピングルールを使用することができる。
図２４は、解析レポート９のハイレベルな解析セクション９２（ここでは「サマリーセクション」とも呼ぶ）を示す。
【０１１６】
サマリーセクション９２は、要素解析セクション９１からのデータを使用して生成される。レポート９のサマリーセクション９２は、カスタマイズ可能な解析レポート６（図１）の一部も形成し、開発者および／または顧客は検査することができる。図２２中に示されるように、解析レポート９の第２のセクション９１は、表の形態で提示され得る。第１および第２のセクション９１，９２は、たとえば、単一の表中で、別々の表として、またはともに提示され得る。
【０１１７】
図２４を参照して、サマリーセクション９２は、項目のセット１１１を含み、各項目は、識別子（ＩＤ）１１２を記載する第１の属性欄と、要素名を記載する第２の属性欄１１３と、ＳＰＦ、ＲＦ、ＭＰＦ＿ＬＡＴ、ＭＰＦ＿ＤＥＴおよびＳＡＦＥを含む、故障率または「λ値」の値（各々がＦＩＴの値として示される）を記載する属性欄１１４、１１５、１１６、１１７、１１８のセットと、一点障害メトリック（ＳＰＦＭ）および潜在障害メトリック（ＬＦＭ）を含む、ハードウェアメトリックの値（各々が百分率として示される）を記載する属性欄１１９，１２０のセットと、ランダムハードウェア故障についての確率論的メトリック（ＰＭＨＦ）（ＦＩＴの値として示される）を記載する属性欄１２１とを含む。
【０１１８】
電子部品中に含まれる個々の要素についての故障率およびハードウェアメトリックに加えて、サマリーセクション９２は、電子部品についての故障率およびハードウェアメトリックの総計値を記載する属性欄のセットを含む、いわゆる「トップレベル」の項目１２２も含む。各故障率についての値は、すべての要素の貢献を合計することにより得られる。総計される「トップレベル」のハードウェアメトリックの値は、総計される故障率から計算される。
【０１１９】
解析レポート９は、安全データベース４（図１）中に格納される。
カスタマイズ可能な解析レポート９のカスタマイズ
図１、図３、図１１、図２２および図２４を参照して、コンフィギュレーションデータ８および解析レポート９は、インターフェーシングモジュール３３を介して顧客の安全解析システム３によりアクセスされ得る。
【０１２０】
インターフェーシングモジュール３３を通して、ユーザは、コンフィギュレーションデータ８および解析レポート９の第１のパーツ９１に記載される値の少なくとも一部を改めまたは変更し、λ値１４ならびにハードウェアメトリック値およびＰＭＨＦ値１５の新しいセットを生成するオプションを有する。これにより、ユーザが「もしもの場合」の解析を実行して、たとえば、適用プロファイルおよび／または部品構成を変更することに応じて安全データ６がどのように影響を受けるかを確認することができる。
【０１２１】
さらに図２５を参照して、インターフェーシングモジュール３３は、コンフィギュレーションデータ８、解析レポート９、パーツレベル解析レポート１０および安全機構解析データ１１を検索する（ステップＳ１２）。ユーザは、要素、要素についての故障カバー率、および／または安全機構特徴に対する障害のインパクトを調整できる（ステップＳ１３）。
【０１２２】
特に図１１を参照して、顧客は、コンフィギュレーションデータ８の第１のセクション８１中のＦＩＴソースを選択および／または解除し得る。さらに、または、代替的に、顧客はコンフィギュレーションデータ８に新しいＦＩＴソースを追加し得る。顧客は、コンフィギュレーションデータ８の第２のセクション８２中の障害特徴付けを選択および／または解除し、障害モデルおよび故障モードの分布を変更し得る。さらに、または、代替的に、顧客は、コンフィギュレーションデータ８の第２のパーツ８２に新しい障害特徴付けを追加してもよい。顧客は、コンフィギュレーションデータ８のセクションパーツ８３中の、障害耐性間隔時間などの解析パラメータを変更し得る。
【０１２３】
図２２を特に参照して、顧客は、各要素に対する各障害の影響を変更し、各要素についての障害特徴を更新し、および／または安全機構特徴を変更し得る。顧客は、新しい安全機構を追加し得る。
【０１２４】
一旦変更が行なわれると、インターフェーシングモジュール３３は、λ値１４ならびにハードウェアメトリック値およびＰＭＨＦ値１５の新しいセットを生成するようにパラメータ生成モジュール３４に指示する（ステップＳ１４）。
【０１２５】
更新または新しいバージョンの解析レポート９が安全データベース４に格納される。安全データベース４は、連続的に生成される解析レポート９を格納し得る。これにより、開発者および／または顧客が解析レポート９を検討できる。コンフィギュレーションデータ８の更新または新しいバージョンも格納できる。したがって、安全データベース４は、コンフィギュレーションデータ８および／または解析レポート９の異なるバージョンを格納し得る。
【０１２６】
プロセスは、良好かつＩＳＯ  ２６２６２規格に準拠する設計が見つかるまで継続され得る。
【０１２７】
カスタマイズ可能な解析レポート６の使用は、マイクロコントローラまたは特定用途向け集積回路などの特に複雑な電子部品の設計を促し、スピードアップするのに役立つ。さらに、設計者が設計をより厳格かつ広範囲に試験するのに役立つため、安全性を改善するのに役立つ。
【０１２８】
電子部品製造
一旦設計が終了すると、電子部品を設計に基づいて製造できる。
【０１２９】
図２６および図２７を参照して、マイクロコントローラ２００の製造を簡単に説明する。
【０１３０】
設計に基づいて（ステップＳ１６）、レイアウトが生成される（ステップＳ１７）。リソグラフィーマスクのセットがレイアウトに基づいて作られる（ステップＳ１８）。マスクを使用して、半導体ウェーハが、リソグラフィー、堆積およびエッチングなどのマイクロエレクトロニクス製造技術を用いて処理され、マイクロコントローラ２００が製造される（ステップＳ１９）。
【０１３１】
図２７は、製造されたマイクロコントローラ２００の概略ブロック図である。
マイクロコントローラ２００は、処理ユニット２０１、揮発性メモリ２０２、不揮発性メモリ２０３、データ転送ユニット、２０４、インタフェースユニット２０５、安全ユニット２０６、通信ユニット２０８およびタイマーユニット２０９を含む。
【０１３２】
以上に記載した実施形態に多くの変更を行い得ることが認識されるであろう。
設計支援システムは、特定用途向け集積回路などの他のタイプの集積回路を設計するために使用され得る。設計支援システムは、電子部品の他の形態を設計するために使用され得る。設計支援システムは、電子、オプトエレクトロニクスおよび他のデータ処理装置を設計するために使用され得る。
【符号の説明】
【０１３３】
１…設計支援システム、２…開発者の安全解析システム、３…顧客の安全解析システム、４…安全データベース、６…カスタマイズ可能な解析レポート、７…障害リスト、８…解析コンフィギュレーションデータ、９…解析レポート、１０…パーツレベル解析レポート、１１…安全機構解析データ、１２…障害インパクト解析データ、１３…障害カバー率解析データ、１４…ラムダ値、１５…ハードウェアメトリックおよびＰＭＨＦ値、１６…要素リスト、１７…要素特徴付け、１８…障害モデル依存性解析、１９…障害インパクト解析障害リスト、２０…障害カバー率解析障害リスト、２１，２２，２３…開発者データベース
【図１】
2014139788.tif 000004
【図１ａ】
2014139788.tif 000005
【図１ｂ】
2014139788.tif 000006
【図２】
2014139788.tif 000007
【図３】
2014139788.tif 000008
【図４】
2014139788.tif 000009
【図５】
2014139788.tif 000010
【図６】
2014139788.tif 000011
【図７】
2014139788.tif 000012
【図８】
2014139788.tif 000013
【図９】
2014139788.tif 000014
【図１０】
2014139788.tif 000015
【図１１】
2014139788.tif 000016
【図１２】
2014139788.tif 000017
【図１３】
2014139788.tif 000018
【図１４】
2014139788.tif 000019
【図１４ａ】
2014139788.tif 000020
【図１５】
2014139788.tif 000021
【図１６】
2014139788.tif 000022
【図１７】
2014139788.tif 000023
【図１８】
2014139788.tif 000024
【図１９】
2014139788.tif 000025
【図２０】
2014139788.tif 000026
【図２０ａ】
2014139788.tif 000027
【図２１】
2014139788.tif 000028
【図２２】
2014139788.tif 000029
【図２３】
2014139788.tif 000030
【図２４】
2014139788.tif 000031
【図２５】
2014139788.tif 000032
【図２６】
2014139788.tif 000033
【図２７】
2014139788.tif 000034
【外国語明細書】
2014139788000001.pdf