(57)【要約】  搭乗員に対する安全保証と残存リスクのために宇宙システムを評価するためのプロセスを提供する。このプロセスは、搭乗員メンバーの喪失に関する故障の確率の設定をできるだけ低く下げようとする成功指向「システム安全」段階と、少なくとも一つの安全限界サブシステムが故障したものと仮定し、搭乗員に不利な影響を最小にするリスク緩和設計をしようとする故障指向スペースセーフ段階と、「システム安全」段階をスペースセーフ段階と相補的に統合する統合段階を含む。このようなプロセスは、搭乗員メンバーの喪失に寄与する故障の許容リスクを最小にすることによって搭乗員の安全を増進させることができる。
2007537095.tif 000002
【特許請求の範囲】
【請求項１】
搭乗員に対する安全保証と残存リスクのために宇宙システムを評価するためのプロセスであって、
危険を特定するステップと、
安全限界サブシステムを特定するステップと、
安全限界サブシステムの故障モードと効果を特定するステップと、
サブシステムレベルにおいてリスクアセスメントに着手するステップと、
テストによるリスクアセスメントの契約書または作業明細書の準拠と検証の決定のために最高レベルまでリスク計算を集めるステップと、
検証失敗または分析失敗を、契約書または作業明細書の準拠が最小限達成されるまで、設計変更または手順変更によって解決するステップと
を備えたことを特徴とするプロセス。
【請求項２】
請求項１に記載の宇宙システムを評価するためのプロセスであって、
対象になっている安全限界サブシステムの外で行われるリスク緩和戦略を評価し格付けするステップと、
前記リスク緩和戦略のための費用とスケジュールとリスク軽減便益を評価するステップと、
結果と結論を計画管理者と顧客計画管理者に同時に報告するステップと、
技術の現状が商業アセスメントの結論を変えるか否かを判定するために、実行されたリスク緩和戦略と実行されなかったリスク緩和戦略を定期的に監視し審査するステップと、
当該プロセスの状態を、「システム安全」計画プランによって規定されるように、計画管理者と顧客に定期的に報告するステップと
を更に備えたことを特徴とするプロセス。
【請求項３】
請求項２に記載の宇宙システムを評価するためのプロセスであって、対象になっている安全限界サブシステムの外で行われるリスク緩和戦略を評価し格付けするステップはハードウェア変更とソフトウェア変更と手順変更を検討することを特徴とするプロセス。
【請求項４】
搭乗員に対する安全保証と残存リスクのために宇宙システムを評価するためのプロセスであって、
搭乗員メンバーの喪失に関する故障の確率をできるだけ低く設定する成功指向「システム安全」段階と、
少なくとも一つの安全限界サブシステムが故障したと仮定する故障指向スペースセーフ段階と、
「システム安全」段階をスペースセーフ段階と相補的に統合する統合段階と
を備え、
搭乗員メンバーの喪失に関する故障の許容リスクを最小にすることによって搭乗員の安全を増進させる
ことを特徴とするプロセス。
【請求項５】
請求項２に記載の宇宙システムを評価するためのプロセスであって、前記「システム安全」段階は、
最高レベル危険を特定するステップと、
安全限界サブシステムを特定するステップと、
危険分析として故障モード効果分析（ＦＭＥＡ）と限界項目リスト（ＣＩＬ）を行うステップと、
結果リスクが各安全限界サブシステムに対して受け入れられるか否かを判定するステップと
を含むことを特徴とするプロセス。
【請求項６】
請求項２に記載の宇宙システムを評価するためのプロセスであって、前記スペースセーフ段階は、
安全限界サブシステム故障の場合に搭乗員を救うためのオプションを特定するステップと、
費用便益分析を行うステップと、
最大便益対費用によってオプションの優先順位付けを行うステップと、
スペースセーフ報告書を準備し記録に残すステップと
を含むことを特徴とするプロセス。
【請求項７】
請求項５に記載の宇宙システムを評価するためのプロセスであって、結果リスクが安全限界サブシステムに対して受け入れられると判定されたならば、安全アセスメント報告書を準備し記録に残し、安全アセスメント報告書に与える影響を判定し、安全限界サブシステムの「システム安全」監視を実行することを特徴とするプロセス。
【請求項８】
請求項５に記載の宇宙システムを評価するためのプロセスであって、結果リスクが安全限界サブシステムに対して受け入れられないと判定されたならば、基準の反復設計と動作が行われ、技術変更提案書が作成され、技術審査委員会（ＥＲＢ）と最高審査委員会（ＰＲＢ）に送られ、決定が承認または不承認に関して両委員会によってなされ、スペースセーフ報告書に入力されることを特徴とするプロセス。
【請求項９】
請求項６に記載の宇宙システムを評価するためのプロセスであって、スペースセーフ報告書の成果を定期的に再評価するステップを更に含むことを特徴とするプロセス。
【請求項１０】
請求項６に記載の宇宙システムを評価するためのプロセスであって、スペースセーフ報告書を顧客監視委員会とＯＳＰ計画管理者に提出するステップを更に含むことを特徴とするプロセス。
【請求項１１】
請求項６に記載の宇宙システムを評価するためのプロセスであって、スペースセーフ商業研究を更に含むことを特徴とするプロセス。
【請求項１２】
搭乗員に対する安全保証と残存リスクのために宇宙システムを評価するためのプロセスであって、
システムベースラインを行うと共に安全限界サブシステムを特定するステップと、
リスク緩和オプションを特定するステップと、
「システム安全」のための勧告を記録に残すステップと、
概略数量パラメータ費用見積りを行うステップと、
管理者審査を行うステップと、
緩和が、特定された安全限界サブシステムの中または外にあるか否かを判定するステップと
を含み、
緩和が安全限界サブシステムの中にあるならば、勧告が顧客のために記録に残され、顧客応答が達成され、緩和が安全限界サブシステムの中になければ、契約者はスペースセーフ変更を開始する、
第１段階を含むことを特徴とするプロセス。
【請求項１３】
請求項１２に記載の宇宙システムを評価するためのプロセスであって、
初期設計を準備するステップと、
費用／便益分析を行うステップと、
技術変更提案書を作成するステップと、
管理者審査を行うステップと、
前記技術変更提案書を審査と承認のために顧客に提出するステップと
を含み、
スペースセーフ変更が承認されたならば該変更が実行され、スペースセーフ変更が承認されなかったならば顧客の応答が記録に残される、
第２段階を更に含むことを特徴とするプロセス。
【請求項１４】
請求項１３に記載の宇宙システムを評価するためのプロセスであって、
承認されたスペースセーフ変更を実行する設計エンジニアリングと、
スペースセーフ変更の責務を引き継ぐ「システム安全」と
を含む第３段階を更に含むことを特徴とするプロセス。
【請求項１５】
請求項１３に記載の宇宙システムを評価するためのプロセスであって、
実行されたスペースセーフ変更を有効性のために会計監査し、その結果を連続改善プロセスに供給するステップ、
を含む第４段階を更に含むことを特徴とするプロセス。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、搭乗員に対する安全保証と残存リスクのための有人宇宙システムを評価するために使用されるプロセスに関する。より詳しくは、本発明は、破局的なシステム故障の場合における宇宙飛行士の生存を改善するための手段として成功指向システム安全プロセスと相補的故障指向アプローチを使用するプロセス（別名スペースセーフ）に関する。
【背景技術】
【０００２】
有人宇宙飛行の歴史を通じて、プロセスと分析とアルゴリズムまたはそのいずれかにおいて表された種々の安全性・品質・信頼性の原理が、ミッション成功率を上げるためと搭乗員の究極の安全性を確保するために実行されてきた。有人飛行ミッションの成功に対するＮＡＳＡの信頼性記録（例えば、コロンビア事故を含みスペースシャトル計画に対して現在９８．２％である）がそのことを述べている。しかしながら、コロンビア事故と、宇宙飛行士に最も安全な環境を提供する不断の改善の精神と、提案されている新しい有人飛行計画とを考えてみると、搭乗員の究極の安全性を確保するために、現在の安全性・品質・信頼性のプロセスと分析とアルゴリズムまたはそのいずれかの改良と強化またはそのいずれかを適切に行う必要性が依然として存在する。
【発明の開示】
【発明が解決しようとする課題】
【０００３】
従来のシステム安全アルゴリズムは、危険状態が契約書または作業明細書（Statement of Work （ＳＯＷ））のいずれかの中で指定されたものよりも高い率で発生しないという最高の合理的な保証を確保している。システム安全分析は何年にもわたって効果的であることが判明しているが、不完全である。特に、システム安全分析は成功指向であるので、安全限界サブシステム（Safety Critical Subsystem: ＳＣＳ）が本当に故障した場合に
対するリスク緩和戦略を提供しない。
【０００４】
故障指向リスク緩和研究を含みかつ検討する、搭乗員に対する安全保証と残存リスクのための有人宇宙飛行システムを評価するための新しいプロセスを提供することは有益であろう。例えば、単に安全限界サブシステム内の故障ではなく、すべての安全限界サブシステムの故障に対するリスク緩和戦略を調べるプロセスを提供することは有益であろう。理想的には、成功指向システム安全アプローチを補完するプロセスを提供し、従って、有人飛行宇宙システムの使用からくる潜在的危険結果のより大きい安全範囲を提供することは有益であろう。
【課題を解決するための手段】
【０００５】
本発明は、破局的なサブシステム故障の場合に宇宙飛行操作搭乗員の生存率を改善するための手段を提供する。このプロセスは、他のエンジニアリング活動（「システム安全」と「搭乗員生存」）を補完するものであり、これらのエンジニアリング活動はまた、基準かつ予想される飛行動作の間、搭乗員に安全を提供するものである。本発明の一つの側面は、搭乗者生存のための最大便益を提供するための故障指向アプローチをするプロセスを提供することにある。また、本発明は、特定の安全限界サブシステムに限定されるものではなく、特定の原因要因セットに限定されるものでもなく、オペレーショナルシステムそれ自身に限定されるものでもない。
【０００６】
スペースセーフは、人員、具体的には宇宙飛行士／搭乗員に対する安全保証と残存リスクのために宇宙システムを評価するための方法、プロセス、およびアルゴリズムを提供する。前に述べたように、スペースセーフプロセスは、安全限界サブシステムが故障してお
り、破局的または限界的な危険が今のも起こりそうであるという仮定のもとに動作する。この仮定に基づいて、設計または手順の変更が評価されて搭乗員の生存を守るための最善手段を特定する。
【０００７】
スペースセーフは、破局的なサブシステム故障の場合に搭乗員安全を最大にしようとするシステム安全評価に故障指向分析要素を追加する。典型的なシステム安全努力と分析（即ち、先行技術）は、システムの安全アセスメントへの成功指向アプローチであり、特定の安全限界サブシステム分析に限定されている。そこで、本発明は、既存の「システム安全」評価技術を有する場合におけるように、特定の安全限界サブシステムに限定されておらず、特定の原因要因セットに限定されてもいない。むしろ、スペースセーフプロセスは、単に一つの場合でない、すべての安全限界サブシステムにおける故障に対するリスク緩和戦略を調べる。
【０００８】
スペースセーフプロセスは、宇宙船オペレーティングシステムの安全限界サブシステムの特定によって開始される。これらの安全限界サブシステムは、要求される安全保証レベルが全体システムによって満たされることを分析し確実にするための「システム安全」プロセスの標準部分として特定される。「システム安全」プロセスはそれから、安全限界サブシステムを更に分解して、搭乗員に危険を生じるかもしれないすべての原因要因を特定し、システムに安全保証レベルを満たさせないそれらの原因要因を減少させる。
【０００９】
安全限界サブシステムが特定されると、スペースセーフプロセスは、これらのサブシステムが存在して搭乗員安全に影響を及ぼす可能性のある、宇宙船の主要な飛行段階のそれぞれにおいて、これらのサブシステムが故障していると仮定する。これらのサブシステムが故障しているという仮定で、搭乗員についての危険効果を減少させるための手段が要求される。これらのリスク緩和戦略は、ハードウェアまたはソフトウェアの変更と手順変更またはそのいずれかの形をとることができる。リスク緩和戦略はまた、方向性なく契約者設計チームのメンバーと顧客から要求される。これらの潜在的リスク緩和戦略のそれぞれはその後、搭乗員に対する量的便益と質的便益またはそのいずれか、費用（金銭に関する要因）、スケジュール、信頼性、保守性、テスト容易性、品質などに対して評価される。このプロセスは、スペースセーフ活動記録における定期的追跡調査によって最終計画を通じての概念から記録に残される。
【００１０】
スペースセーフプロセスの一つ利点は、それが顧客に多くの便益を提案することにある。一つの便益は、費用／スケジュール制約によって限定されないリスク戦略のアセスメント（必ずしも実行ではない）である。スペースセーフは更に、危険（想定／非想定）の影響のより深い調査を行う。コロンビア事故調査委員会（Columbia Accident Investigation Board: ＣＡＩＢ）形式変更は、喪失が発生する前に特定され実行される。そして、ス
ペースセーフは、有人飛行宇宙計画の実施に関係しているすべての団体（例えば、契約者、顧客、軍隊、およびオペレータ）の間の記録残されたリスク通信方法を提供する。
【００１１】
本発明の他の典型的な実施形態と利点は、本開示と添付図面をよく調査することによって確かめることができる。
本発明は更に、本発明の好ましい実施形態の非制限的例によって図面を参照して行われる詳細な説明の中で述べられており、同様の参照番号はいくつかの図面を通じて同様の構成部品を表している。
【発明を実施するための最良の形態】
【００１２】
ここで示される事項は例示的であり、かつ、本発明の実施形態の説明的議論のためだけのものであり、本発明の原理と概念的側面の最も有用かつ容易に理解される説明であると思われるものを提供するために提示されている。この点については、本発明の構造上の詳
細を本発明の基本的な理解のために必要である以上に詳しく示すための試みはなされておらず、図面と共になされる説明により、本発明のいくつかの形態が実際にどのように具現できるかが当業者にとって明らかになる。
【００１３】
（本発明の概要）
本発明（以下、「スペースセーフ」の方法およびプロセスとも言う）は、破局的なサブシステム故障の場合における宇宙飛行士の生存率を改善するためのプロセスを提供する。本プロセスは、他のエンジニアリング活動（「システム安全」と「搭乗員生存」）を補完するものであり、これらのエンジニアリング活動はまた、基準かつ予想される飛行動作の間、搭乗員に安全を提供するものである。
【００１４】
スペースセーフは、安全限界サブシステム（Safety Critical Subsystems: ＳＣＳ）が故障しており（非保証時の動作または保証時の動作の失敗）、破局的または限界的な危険が今にも起こりそうであるという仮定のもとで動作する。この仮定に基づいて、設計変更または手順変更を決定して、搭乗員の生存を保つための最善手段を特定する。本プロセスはそれから、搭乗員にとってのリスクを緩和する手段を特定しようとする。緩和は、ハードウェアの変更／追加、ソフトウェアの変更／追加、または手順変更の形態をとることができる。本プロセスは、危険原因要因を特定する「システム安全」強調を取り除いたのち、危険の発生をなくすか最小にするために危険原因要因を減らすか除去する。代わりに、「システム安全」と「搭乗員生存」に対する補完機能としてのスペースセーフが機能し、破局的出来事の後に安全に宇宙飛行士を帰還させる可能性の改善に集中する。
【００１５】
このように、スペースセーフは、システム安全分析のための故障指向アプローチを使用して、搭乗員生存率を改善するために含まれることができるリスク緩和アプローチを調べる。それゆえ、本発明の一つの側面は、本発明が標準的な「システム安全」プロセスを補完し、代替物として意図されていないことである。従って、図１に示すように、スペースセーフプロセス２は、「システム安全」成功指向アプローチ４を故障指向アプローチ６と組み合わせたものである。この結果、補完的な成功指向アプローチと故障指向アプローチの使用は、システムの使用中の搭乗員生存の確率を高める。
【００１６】
より具体的には、本発明は、他のエンジニアリング活動、例えば「システム安全」と「搭乗員生存」を補完するものであり、これらのエンジニアリング活動はまた、予定通りの予想される飛行動作の間、搭乗員に安全を提供するものである。「システム安全」機能と「搭乗員生存」機能とスペースセーフとの間の違いは図２に示されている。一般的には、「システム安全」は契約で要求される安全保証レベル（即ち、許容リスクレベル）を命令し、この安全保証レベルは搭乗員安全機能に対するサブシステム安全貢献と「搭乗員生存」機能を含むので、搭乗員５のための「システム安全」要求を生じることができる。そこで、搭乗員の安全性を増そうとして、スペースセーフ補完プロセスが追加され、従って、搭乗員のための「システム安全」要求と、搭乗員のための追加スペースセーフ安全プロセスを生じる。スペースセーフプロセスの最終目標は、搭乗員の喪失（Loss of Crew: ＬＯＣ）の確率が一層ゼロに近づく有人宇宙飛行システムを提供することにある（目標：１−ＰＬＯＣ＝１）。この点については、本発明は、宇宙システムに対するハードウェア変更、ソフトウェア変更、または手順変更の組み合わせの形態で、宇宙システムの動作中、搭乗員のための追加安全保証を提供する。
【００１７】
（想定危険と非想定危険）
スペースセーフプロセスは計画についての調査のための「想定故障」の定義のための手間をなくす。従来の「システム安全」アプローチにおいては、図３に示すように「合理的想定危険」を「想定危険」と区別する。一般に、「システム安全」分析は主として「合理的想定故障」を扱う。
【００１８】
想定危険は種々のＮＡＳＡ仕様書の中で異なって定義されている。例えば、ＮＡＳＡ安全マニュアル８７１５．３によれば、「想定状態（事象）」は、システムの経験または分析に基づいて合理的に予想かつ計画することができる状態（事象）として定義されている。スペースシャトルのためのＫＳＣペイロード地上安全性ハンドブックによれば、「想定」とは発生可能であって合理的に発生すると予想される状態である。スペースシャトルのためのＫＳＣペイロード地上安全性ハンドブックには更に、「この書類のために、構造、圧力容器、および加圧ラインおよびフィッティングの故障は、それらの要素が適用可能要求に従うならば、想定故障モードとはみなされない」と述べられている。また、国際宇宙ステーション要求書類ＳＳＰ５００２１によれば、「想定故障」は、同様のシステムにおける実際の故障モードに基づいて発生する可能性のある状態と定義されている。
【００１９】
一方、スペースセーフは想定危険と非想定危険の両方に作用する。非想定故障のアセスメントは、「非想定」故障を緩和するための完全に設計され値づけされた解決策を作成する。更に、「システム安全」による想定されているが許容されている故障は、完全に設計され値づけされた解決策を定義することによって計画によって指定されたリスクレベルよりも良い解決策を作成するために再評価される。スペースセーフプロセスのもう一つの側面は、すべての関係者に飛行準備完了確認審査プロセスにおける動作リスクを完全に開示することである。更に、スペースセーフプロセスは、利害の衝突を避けるためと完全開示を助長するように有機的に位置づけることができる。アプローチにおけるこの変更を通じて、想定されていないと思われる故障を緩和することができ、搭乗員を救う確率が増加する。一例として、２００３年２月初旬までに、スペースシャトルの強化炭素−炭素パネル（Reinforced Carbon-Carbon Panels: ＲＣＣパネル）のフォームストライクによる損傷
は、非想定危険と定義された。最先端のＲＣＣパネルに損傷を生じるフォームストライクは今では想定危険とみなされている。
【００２０】
（システム機能対リスク緩和性能に対する事象空間）
本発明のいくつかの側面をより正しく理解できるために、システム動作／機能をリスク緩和システム性能と比較することは有益である。図４は、有人飛行ミッションからの起こりうる結果の事象空間を表すボックス図であり、システム動作／機能の「成功」および「失敗」がリスク緩和システムの「成功」および「失敗」と比較されている。詳しくは、ボックス８は、システムが安全に動作していてリスク緩和戦略が使用されていないときの出来事を表している。例えば、このボックスは異常のない成功した有人飛行ミッションを表している。ボックス１０は、従来の「システム安全」計画の一部分を示しており、リスク緩和は適用できず機能もせず、「成功」と「失敗」の両方が可能である。例えば、このボックスは、計画契約において許容される残存リスクを表している。ボックス１２は、故障指向アプローチの追加を示しており、「成功」と「失敗」が可能であり、異常が発生し、リスク緩和ハードウェアまたは手順が適所にあり効果的である。この領域は、契約書と作業明細書（Statement of Work: ＳＯＷ）に対して、しかしリスク緩和特徴なしに、作ら
れたシステムにわたって、スペースセーフ緩和による搭乗員生存率の増加を表している。例えば、ボックス１２は、成功指向アプローチもとでは搭乗員は喪失とみなされるが、故障指向アプローチの実行によって搭乗員の生命が救われる場合を示している。ボックス１４は、成功指向アプローチと故障指向アプローチの両方が実行される場合においても「失敗」が今にも起こりそうな出来事を示している。この領域において、システムに対する許容故障率はシステム安全プログラム計画のシステム契約書の中で定義されている。ボックス１４において異常が発生するならば、システム損失と搭乗員喪失（Loss of Crew: ＬＯＣ）が発生する。
【００２１】
（スペースセーフプロセスの要約）
スペースセーフプロセスは、宇宙船の安全限界サブシステム（Safety Critical Subsys
tems: ＳＣＳ）の特定によって開始される。これらの安全限界サブシステムは、要求安全保証レベルが全体システムによって満たされていることを分析し保証するために、「システム安全」プロセスの標準部分として特定される。「システム安全」プロセスはそれから安全限界サブシステムを更に分解して、搭乗員に危険を生じる可能性のあるすべての原因要因を特定し、システムに安全保証レベルを満たさせないそれらの原因要因を緩和する。
【００２２】
安全限界サブシステムが特定されると、スペースセーフチームは、これらのサブシステムが、それらがあるところの宇宙船の主要飛行段階のそれぞれにおいて故障（不注意動作、動作しないこと）したと仮定する。これらのサブシステムが故障したという仮定と共に、搭乗員についての危険効果を緩和する手段が要求される。これらのリスク緩和戦略は、ハードウェアまたはソフトウェアの変更と手順の変更またはそのいずれかの形態をとることができる。リスク緩和戦略はまた、方向性なく契約者設計チームのメンバーと顧客（例えば、ＮＡＳＡ）から要求される。これらの潜在的リスク緩和戦略はそれから、搭乗員に対する量的便益と質的便益またはそのいずれかと、費用（金銭に関する要因）、スケジュール、信頼性、保守性、テスト容易性、品質などに対して評価される。スペースセーフプロセスおよび働きは、図１０Ａから１０Ｃに表記形式が示されているスペースセーフ活動記録における定期的追跡調査によって最終計画を通じての概念から記録に残されるのが好ましい。スペースセーフ活動記録２００は、本明細書において後で更に詳細に述べる。また、リスク緩和範囲マトリックス１５（図５参照）もまた生成され、これも本明細書において後述する。
【００２３】
スペースセーフ報告書は、一次宇宙船計画管理外の顧客（例えば、ＮＡＳＡ）事務所に提出され、同時に、審査と検討のために契約者計画管理チームに提出される。スペースセーフ報告書は少なくともスペースセーフ活動記録２００とリスク緩和範囲マトリックス１５を含む。
【００２４】
スペースセーフ評価の結果は、定期的状態更新提出によって生きた書類として保守管理される。定義された時間間隔で、各スペースセーフリスク緩和戦略が見直される。実行されたスペースセーフ変更は、効力と、その実行が予測された費用とスケジュールにどれだけよく従ったかということに対して見直される。低予想搭乗者便益、技術の欠如などのために組み込みに対して選択されなかったスペースセーフリスク緩和は、リスク緩和を許容不可にするそれらの状態が、組み込みが実現可能である点まで変化したか否かを判定するために、再評価される。
【００２５】
スペースセーフプロセスの提案されたリスク緩和は、契約書によって要求される契約要求保証レベル以上に搭乗員安全性を改善するようになっているので、スペースセーフリスク緩和戦略を組み込むための決定は、顧客（例えば、ＮＡＳＡ）によって資金調達のために承認される必要がある。
【００２６】
スペースセーフ評価結果を記録に残すことは、システム危険分析の結果と共に、システムのユーザーに、引き渡されたシステムの中に設計された安全保証レベルを完全に理解させると共に、搭乗員喪失の確率を減らすように評価された更なる代替アプローチを検討させる。
【００２７】
（システム安全計画の文脈におけるプロセスの第１実施形態）
スペースセーフプロセスの典型的な第１実施形態１のフローチャートを図７に示す。７０において危険が特定される。７２において、安全限界サブシステムが特定される。７４において、安全限界故障モードと効果が特定される。この区切点において、「システム安全」はいまサブシステムレベルにおいてリスクアセスメントに着手し、テストによるリスクアセスメントの契約書または作業明細書（Statement of Work:ＳＯＷ）の準拠と検証の
決定のために最高レベルまでリスク計算を集める。如何なる検証失敗または分析失敗も、契約書またはＳＯＷの準拠が最小限達成されるまで、設計または手順変更によって解決される。７８において、リスク緩和戦略が、ハードウェア変更８０、ソフトウェア変更８２、手順変更８４、および他の変更８６に関して、評価され格付けされる。８８において、コスト（費用）、スケジュール、およびリスク軽減便益［搭乗員喪失（Probability of Loss of Crew: ＰＬＯＣ）の確率の％減少］が、各リスク緩和戦略に対して評価される。
９２において、結果が分析され、（構成制御とデータ管理下にある報告書の中の）結論が、成果を正確に報告し、如何なる心配事も高度のはっきりとわかるレベルで解決するために、計画管理者と顧客（例えば、ＮＡＳＡ）の計画管理者に同時に報告される。この報告系統は、従来のシステム安全努力と製品審査のための報告系統と異なるようになっているのが好ましい。９０において、実行されたリスク緩和戦略と実行されなかったリスク緩和戦略は、技術の現状が商業アセスメントの結論を変えるか否かを判定するために、定期的に監視され審査される。それから、計画の状態が、「システム安全」計画プランの中で規定されているように、管理者と顧客に定期的に報告されることになっている。
【００２８】
（システム安全計画の文脈におけるプロセスの第２実施形態）
スペースセーフプロセスの典型的な第２実施形態２のフローチャートを図８に示す。このプロセス２は、一般に、「システム安全」段階１０１、スペースセーフ「段階１」１０５、および「システム安全」段階をスペースセーフ「段階１」と統合する統合「段階２」１０７とを含み、いくつかのシーケンスと段階またはそのいずれかに分類することができる。ステップ１００〜１０９は「システム安全」シーケンス１０１を表す。「システム安全」プロセスによって故障確率Ｐｆ(Probability of Failure)はできるだけ小さくされることが注目される。１００において、最高レベル危険が特定される。１０２において、安全限界サブシステムが特定される。１０４において、危険分析が故障モード効果分析（Failure Mode Effect Analysis: ＦＭＥＡ）と限界項目リスト（Critical Items List: Ｃ
ＩＬ）またはそのいずれかを介して行われる。１０６において、１０４からの危険分析が本システムに対する許容リスクであるか否かが判定される。１０８においてＮＯであれば、１１６において基準の反復設計と動作が検討される。１０９においてＹＥＳならば書類安全アセスメント報告書が１１６において準備される。
【００２９】
スペースセーフプロセスの「段階１」１０５は、ステップ１０２と１０４の間の１０３で開始される。スペースセーフは、故障が発生したと仮定する、安全限界サブシステム（Safety Critical Subsystem: ＳＣＳ）故障確率Ｐｆ(Probability of Failure)＝１で始
まる。１２２において、ＳＣＳ故障の場合に搭乗員を救うためのオプションが特定される。１２４において、費用便益分析が行われる。１２６において、優先順位付けが最大便益対費用によって行われる。１２８において、スペースセーフ報告書が準備され記録に残される。
【００３０】
スペースセーフプロセス２の統合「段階２」１０７は、「システム安全」シーケンス１０１をスペースセーフ「段階１」１０５と統合するステップを含んでいる。詳しくは、１０６において、危険分析が１０９における許容リスクを明らかにするならば、１１０において、安全アセスメント報告書が準備され記録に残される。１１２において、安全アセスメント報告書に対する影響が評価される。１１４において、システム性能のシステム安全監視が実行される。１１８において、技術変更提案書（Engineering Change Proposal: 
ＥＣＰ）が作成され、技術審査委員会（Engineering Review Board: ＥＲＢ）と最高審査委員会（Prime Review Board: ＰＲＢ）に送られる。１２０において、ＥＲＢ／ＰＲＢ決定がなされる。１２０における決定はその後１２８においてスペースセーフ報告書に含まれる。更に、１３０において、スペースセーフ成果の定期的再評価がある。１３２において、スペースセーフ報告書は安全監視チームに提出される。１３４において、スペースセーフ報告書はＯＳＰ計画管理者に提出される。それから、１３６において、スペースセー
フ商業研究が行われる。
【００３１】
（システム安全計画の文脈におけるプロセスの第３実施形態）
スペースセーフプロセスの典型的な第３実施形態３のフローチャートを図８に示す。このプロセス３は、一般に、「段階１」１４１と、「段階２」１６１と、「段階３」１７５と、「段階４」１７９とを含み、いくつかのシーケンスと段階またはそのいずれかに分類することができる。
【００３２】
「段階１」１４１が開始される前に、１４０において、本システムがベースラインされ、安全限界サブシステム（Safety Critical Subsystems: ＳＣＳ）が特定される。ここで、ＳＣＳリストは「システム安全」機能から受け取られる。また、システム限界サブシステムに対する故障確率Ｐｆは１であると仮定される。分析がそれぞれのＳＣＳについて行われることが注目される。本システムがベースラインされ、ＳＣＳが特定されると、段階１が１４２で開始される。
【００３３】
１４２において、リスク緩和オプションが特定される。ここで、ＳＣＳ機能の喪失に対処するのに十分な訓練エキスパートとの体系化された議論を含み、ブレーンストーミングが起こる。また、決定の独立性を増進させるために、（計画分野エキスパートと協力して）計画設計に影響されない分野エキスパートが選択される。また、危険の原因を取り除くための方法が提案される。そして、提案された「方法」の勧告は「システム安全」に送り返される。
【００３４】
１５２において、「システム安全」のための勧告が記録に残され、「契約者システム安全」１５４に送られる。１４４において、ＲＯＭ（Rough Order of Magnitude:概略値）
パラメータの費用見積りが作られる。１４６において、管理者審査が実行される。例えば、これはスペースセーフ管理者と契約者計画管理者を含むことができる。
【００３５】
１４８において、本システムの内または外で緩和が行われるか否かが判定される。緩和が本システム内で行われるならば（１４９）、計画のもとで決定されるべき閾値のもとで急旋回変更を勧告することができる。１５１において、勧告は顧客（例えば、ＮＡＳＡ）のために記録に残される。例えば、勧告は、スペースセーフ活動記録（図１０Ａ〜１０Ｃ）上に記録として残され、更なる審査のためにスペースセーフ顧客要素に提出される。１５６において、顧客（例えば、ＮＡＳＡ）は勧告を受け取り、１６０において顧客の応答が保存される。段階１におけるこの時点で、勧告された変更の管理拒否は、（契約の一部である不利なスケジュール、費用、または他の要因のために）絶対的に受け入れられるのであり、否定要因と理解されるべきではない。１４８において勧告が本システムの外にあるならば（１５０）、１５８において契約者は変更を開始することができる。
【００３６】
「段階２」１６１は、１６２において開始され、ここでは初期設計が検討される。１６４において、費用便益分析が行われる。１６６において、技術変更提案書（Engineering Change Proposal: ＥＣＰ）が作成される。１６８において、管理者審査がスペースセー
フと計画の管理と共に行われる。それから顧客（例えば、ＮＡＳＡ）はＥＣＰを提出する。１７０において、顧客（例えば、ＮＡＳＡ）はスペースセーフ実行パッケージの審査を行う。ここで、顧客はＥＣＰを審査する。ＥＣＰが承認されないならば、１７２において応答が記録に残され、データ管理制御において維持される。ＥＣＰが承認された場合、提案された変更が１７４において実行される。
【００３７】
「段階３」１７５の中で、設計エンジニアリングが、承認された変更を実行する。この段階において、「システム安全」が、本システムの文脈内でスペースセーフ変更の責務を引き継ぐ。「段階４」１７９の中で、スペースセーフ管理者が、有効性のためにスペース
セーフ設計実行の会計監査をし、実費用対見積り費用を評価する。更に、その結果はその後連続改善プロセスに供給されるようになっている。
【００３８】
更に、定期的審査が行われるものとする。詳しくは、スペースセーフプロセスは前のスペースセーフ勧告を定期的に再評価して、拒否を生じた如何なる基準も、もはや拒否の原因にならないように変化したか否かを確認する。報告書再評価はその後顧客に提出されるようになっている。また、スペースセーフ飛行準備完了確認審査データパッケージが準備される。このパッケージには、実行された変更が備えられており、リスク改善が備えられている。また、拒否された変更と、まだ結合／残余リスクであるべき承認された変更がこのパッケージの中に備えられている。
【００３９】
（一次安全アセスメントと独立安全アセスメント）
本発明のもう一つの側面は、二極化法で行われる独立の安全アセスメントである。二つの安全アセスメントが、（１）一次安全アセスメントと（２）独立安全アセスメントを含み、互いに独立した別の団体によって行われる。
【００４０】
一般に、完全な「システム安全」アセスメントは、設計図表、機能フローチャート、システム動作概念書類などに基づいて行われる。設計チームまたは一次安全アセスメントを行う「システム安全」チームとの直接接触は許されるべきではない。危険分析結果は、顧客の通知を伴う一次安全アセスメントとは別の管理パスを介して報告されるべきである。危険分析成果の審査と一次危険分析結果の比較は、危険分析報告書の中の相違点のすべての成果の構成・データ管理制御と共に、公開討論会の中で行われる。各相違点は、異なる結論の原因を特定するために二つの別のチームによって調査されるのであり、特定された如何なるエラーをも訂正するように安全プロセスを変更するために訂正活動報告書が記録に残される。訂正と更新が一次安全アセスメント書類の中に取り入れられる。
【００４１】
一次安全アセスメント（１７）と独立安全アセスメント（１９）の両方に対して使用することができる典型的な安全アセスメントフローチャートを図６Ａに示す。顧客によって学ばれた教訓は１６，１８，２０，２２において編集される。３４において、面接は一次安全アセスメント１７に対して持たれるが、独立安全アセスメント１９に対しては持たれない。システム要求改訂（System Requirement Revisions: ＳＲＲ）とデータ要求説明（Data Requirement Descriptions: ＤＲＤ）２４が、システム説明改訂（System Description Revisions: ＳＤＲ）用デルタ２６に追加され、等価ＳＤＲデータ２８が得られる。
３０において、システムエンジニアリング「０２９＋」費用分析要求説明カードが編集される。３２において、最小リスクを伴う設計のためのガイドラインが設けられる。３８において、システムが特定され、安全要求が特定され、危険が特定され、危険原因要因が特定され、危険原因を制御するための低レベル安全要求が完全要求範囲に追加され、危険原因要因制御が検証される（テスト、デモンストレーション、検査、分析、シミュレーションなどを含む）。４０において、システムエンジニアリング「０２９＋」カードが編集される。３６において、ＲＭ＆Ｓアセスメントからの入力が編集される。４２において、故障ツリー（tree: 樹）解析が種々のシナリオに対して行われる。４４において、ヒューマン・エラー・アセスメントが行われる。４６において、ソフトウェア安全アセスメントが行われる。４８において、安全閾値パスアセスメント、特定危険アセスメント、危険制御アセスメント、設計要求アセスメント、ソフトウェア安全アセスメント、およびヒューマンエラー制御アセスメントが編集される。５０において、一次安全アセスメント報告書５０と独立安全報告書５２またはそのいずれかが別々に編集され、それぞれ一次計画管理チームＡ（５４）または独立管理チームＢ（５２）に報告される。
【００４２】
図６Ｂは、本発明の一側面に従って、一次安全アセスメント報告書５０と独立安全アセスメント報告書５２が互いに組み合わされる方法を示す。詳しくは、計画管理チームＡ（
５４）が、一次安全アセスメント報告書（５０）を安全・ミッション保証（Safety & Mission Assurance: Ｓ＆ＭＡ）および計画管理者に送る（５８）。また、計画管理チームＢ（５６）は、独立安全アセスメント報告書（５２）を安全・ミッション保証および計画管理者に送る（５８）。５８において、Ｓ＆ＭＡおよび計画管理者は一次安全アセスメント報告書５０と独立安全アセスメント報告書５２の結論を審査する。６０において、一次安全アセスメント報告書５０と独立安全アセスメント報告書５２の間の差が特定され、解決される。６２において、変更が一次安全アセスメント報告書６２の中に取り入れられ、顧客に提出される。
【００４３】
（システムレベルリスク緩和範囲）
スペースセーフプロセスのもう一つの側面は、ミッションのすべての動作段階にわたっての安全限界サブシステム（Safety Critical Subsystems: ＳＣＳ）のリスク緩和レベルの割り当てである。それぞれの主要飛行段階に対して、各安全限界サブシステムに対するリスク緩和戦略は、搭乗員喪失の緩和に対する最大の便益によって格付けされ、それに続いて、実用性（提案された解決策の技術的準備完了レベル）によって格付けされ、それから費用（金銭、追加の複雑性、重量など）によって格付けされる。本システムにわたってのスペースセーフ評価と実行の範囲を示すためのスペースセーフリスク緩和範囲マトリックス１５はスペースセーフ報告書に含まれる。スペースセーフリスク緩和範囲マトリックス１５は図５に示されている。
【００４４】
図５は、ミッションにおける多くの段階（段階Ａ〜Ｅ）を特定するマトリックス１５を提供する。また、本宇宙飛行システムの安全限界サブシステムが記載されている（安全限界サブシステム１〜８）。それから、システムレベルリスクの等級が展開されている。図５に設けられた例においては、等級は４つのレベルを含んでいる。一つのレベルは、満足のいく制御がサブシステム危険を緩和するために適切であることを示している。もう一つのレベルは、危険を部分的に制御する緩和機能が利用可能であることを示している。もう一つのレベルは、サブシステム危険を緩和するための利用可能な機能がないことを示している。第４のレベルは、サブシステムはこの段階において危険を示さないことを示している。ミッションの各段階とそれぞれの安全限界サブシステムがその後評価され、システムレベルリスクが割り当てられる。
【００４５】
（スペースセーフ活動記録）
本発明の一つの側面は、行われた活動を記録に残すことである。この側面を成し遂げるために、スペースセーフ活動記録２００形式が本プロセス中に使用される。スペースセーフ活動記録２００を図１０Ａ〜１０Ｃに示す。スペースセーフプロセスは、スペースセーフ活動記録２００における定期的追跡調査によって、最終配置を通じて概念から記録に残される。以下にスペースセーフ活動記録２００の記録領域記述を説明する。
【００４６】
図１０Ａは、スペースセーフ活動記録２００の第１部分を示す。２０２にスペースセーフリスク緩和表題を記録するボックスが設けられている。２０４において、スペースセーフ記録番号が記録される。この番号は、サブシステムのための３文字と、故障モードのための３〜７文字と、連続番号のための４桁数字を含むことができる。例えば、ＧＮＣ−ＦＴＯＰＥＲ−０００１が、異常な「故障動作の誘導、航行、及び制御（Guidance, Navigation, & Control, Failure to Operate）」に対して記録される。２０６において、緩和
がアクティブな動作段階が記入される。詳しくは、このボックスは、安全限界サブシステム動作故障または不注意動作に対する緩和のための計画が評価されている主要な動作段階を記録する。２０８において、リスク緩和のために評価されている安全限界サブシステムが特定される。「安全限界サブシステム故障モード」ボックス２１０において、リスク緩和が評価されている安全限界サブシステムの具体的故障モードのリストが特定される。「開始日」ボックス２１２において、具体的リスク緩和戦略の発信日が記録に残される。「
最終更新日」ボックス２１４において、瞬時の具体的なスペースセーフ記録の最終変更または他の審査の日付が記録される。「発信者」ボックス２１６において、リスク緩和戦略の発信者が特定される。「スペースセーフ承認」ボックス２１８の中には、更なる評価のためにこの戦略を承認したスペースセーフ指揮者のサインが与えられる。これは本プロセスにおけるフィルタリングステップである。スペースセーフリスク減少は、契約者および顧客チームのすべての人に公開される。このステップは、スペースセーフプロセスの背後の基本アイデアが理解されることと、リスク緩和アイデアがその危険に関して筋が通ることと、不必要な記録がこの計画のもとで連続的に追跡されないことを確実にするようになっている。
【００４７】
「状態」ボックス２２０は、スペースセーフプロセス中の活動記録の状態を示す。「新規」がチェックされていれば、これは管理者または顧客にまだ提出されていないスペースセーフリスク緩和戦略を示す。「開放」がチェックされていれば、これは評価位置に向かって進行中であるスペースセーフリスク緩和戦略を示す。「モニター」がチェックされていれば、これはすでに評価されて十分な便益対費用を提供しないことがわかっているスペースセーフリスク緩和戦略を示す。全体的な便益／費用アセスメントを順に変更する入力限界のいくつかが変化したか否かを判定するために、評価の更新を定期的に行うことができる。「実行」がチェックされていれば、これは計画管理者か顧客のいずれかによって本宇宙システムへの取り入れが承認されたスペースセーフリスク緩和戦略を示す。「実行済み」がチェックされていれば、これは本宇宙システム中に実行されたスペースセーフリスク緩和を示す。「実行審査済み」がチェックされていれば、これは本宇宙システム中に実行され、便益と費用に対する実際値と一致しなかったリスク緩和評価の領域を特定するために審査されたスペースセーフリスク緩和戦略を示す。そして、「取りやめ」がチェックされていれば、これはリスク緩和戦略がサブシステムと故障モードまたはそのいずれかに対して筋が通らないと判断する更なる審査に基づくアクティブスペースセーフ記録としての除去を示す。更に、２２２に、この故障モードにおける安全限界サブシステムに対する提案される緩和のための大きなボックスが設けられている。これは、本宇宙システムについての実行のために提案されるリスク緩和戦略の説明を含む。
【００４８】
図１０Ｂはスペースセーフ活動記録２００の第２部分２０１を示す。もう一つの「スペースセーフリスク緩和表題」ボックスが２０２に設けられている。また、もう一つの「スペースセーフ記録番号」ボックスが２０４に設けられている。「搭乗員に対する量的便益」ボックス２２４において、提案された変更が本宇宙システムの搭乗員に対して有するところの搭乗員喪失確率（Probability of Loss of Crew: ＰＬＯＣ）についての数量化が
行われる。「搭乗員に対する質的便益」ボックス２２６において、提案された変更が本宇宙システムの搭乗員に対して有するところの搭乗員喪失（ＰＬＯＣ）確率についての資格が与えられる。「設計に与える影響」ボックス２３０において、提案された変更の設計統合製品チーム（Design Integrated Product Team: 設計ＩＰＴ）に対する任意のプラスまたはマイナス影響に注釈がつけられる。影響を受けた設計ＩＰＴは、この領域のテキストを書くかこの領域のテキストに同意するものとする。「見積り費用」ボックス２３２においては、提案された変更の本宇宙システムに対する任意のプラスまたはマイナスの費用（＄）影響が記録に残される。ビジネスチームは、この領域のテキストを書くかこの領域のテキストに同意するものとする。「見積り重量」ボックス２３４において、提案された変更の本宇宙システムの重量に対する任意のプラスまたはマイナス影響が記録される。重量ＩＰＴは、この領域のテキストを書くかこの領域のテキストに同意するものとする。「技術的準備完了レベル（Technical Readiness Level: ＴＲＬ）」ボックス２３６において
は、提案された変更に含まれる材料又はシステムの技術的準備完了レベルが記入される。ここで、技術的準備完了ＩＰＴ（Integrated Product Team）は、この領域のテキストを
書くかこの領域のテキストに同意するものとする。「健康管理システムに与える影響」ボックス２４０においては、提案された変更の健康管理ＩＰＴに与える任意のプラスまたは
マイナス影響に注釈がつけられる。ここで、影響を受けた健康管理ＩＰＴは、この領域のテキストを書くかこの領域のテキストに同意するものとする。「品質保証に与える影響」ボックス（Quality Assurance Impact Box）２４０においては、提案された変更がＱＡ・ＩＰＴに与える任意のプラスまたはマイナス影響が記録に残される。ここで、ＱＡは、この領域のテキストを書くかこの領域のテキストに同意するものとする。「保守性に与える影響」ボックス２４２においては、提案された変更の保守性ＩＰＴに与える任意のプラスまたはマイナス影響が記録に残される。ここで、影響を受けた保守性ＩＰＴは、この領域のテキストを書くかこの領域のテキストに同意するものとする。「信頼性に与える影響」ボックス２４４においては、提案された変更の信頼性ＩＰＴに与える任意のプラスまたはマイナス影響が記録される。このボックスにおいて、影響を受けた信頼性ＩＰＴは、この領域のテキストを書くかこの領域のテキストに同意するものとする。「スケジュールに与える影響」ボックス２４６においては、提案された変更の宇宙船／システムの引渡しのためのスケジュールに与える任意のプラスまたはマイナス影響も記録される。ここで、影響を受けたスケジューリングＩＰＴは、この領域のテキストを書くかこの領域のテキストに同意するものとする。［テスト／評価に与える影響」ボックス２４８において、提案された変更のテスト／評価ＩＰＴに与える任意のプラスまたはマイナス影響に注釈がつけられる。ここで、影響を受けたテスト／評価ＩＰＴは、この領域のテキストを書くかこの領域のテキストに同意するものとする。
【００４９】
図１０Ｃは、スペースセーフ活動記録２００の第３部分２０３を示す。もう一つの「スペースセーフリスク緩和表題」ボックスが２０２に設けられている。また、もう一つの「スペースセーフ記録番号」ボックスが２０４に設けられている。「変更記録」ボックス２５０には、この提案されたリスク緩和戦略に関するすべての事象の年代順のリストが設けられている。このリストは、設計審査、材料評価、サンプルテスト、原寸模型、管理者審査、顧客審査、便益／費用の審査／調査、（取り入れられた変更と現在許容不可と思われる変更の両方に対する）追跡再評価、テスト結果、図面変更通知の参照などを含むが、これらに限定されない。
【００５０】
本発明はいくつかの典型的な実施形態を参照して説明されているが、使用された用語は、制限の用語というよりもむしろ説明と例示の用語と解釈される。変更は、本発明の側面における本発明の範囲と趣旨から逸脱することなく、現在述べられているように、かつ、補正されるように、特許請求の範囲内で行うことができる。本発明は特定の手段、材料、および実施形態を参照して説明されているものの、本発明は開示された事項に限定されるものではなく、むしろ、本発明は、特許請求の範囲内の、すべての機能的に同等の構造、方法、およびそのような使用に及ぶ。
【図面の簡単な説明】
【００５１】
【図１】本発明の一側面による、成功指向アプローチと故障指向アプローチの相補的側面を示す図。
【図２】本発明の一側面による、「システム安全」機能と「搭乗員生存」機能とスペースセーフとの間の違いを示す図。
【図３】本発明の一側面による、「システム安全」アプローチにおける「合理的想定危険」を「想定危険」と区別するために行われる分析を示すベンダイグラム。
【図４】本発明の一側面による、有人飛行ミッションから起こりうる結果の事象空間を表すボックス図であり、システム動作／機能の「成功」および「失敗」がリスク緩和システムの「成功」および「失敗」と比較されている図。
【図５】本発明の一側面による、ミッションのすべての動作段階にわたっての安全限界サブシステムのリスク緩和レベルの割り当てを示す図。
【図６Ａ】本発明の一側面による、一次安全アセスメントと独立安全アセスメントまたはそのいずれかのフローチャート。
【図６Ｂ】本発明の一側面による、一次安全アセスメント報告書と独立安全アセスメント報告書が互いに組み合わされる方法を示す図。
【図７】本発明の一側面による、システム安全計画の文脈における典型的なスペースセーフプロセスの第１実施形態のフローチャート。
【図８】本発明の一側面による、システム安全計画の文脈における典型的なスペースセーフプロセスの第２実施形態のフローチャート。
【図９】本発明の一側面による、システム安全計画の文脈における典型的なスペースセーフプロセスの第３実施形態のフローチャート。
【図１０Ａ】本発明の一側面による、典型的なスペースセーフ活動記録形式を提供する図。
【図１０Ｂ】本発明の一側面による、典型的なスペースセーフ活動記録形式を提供する図。
【図１０Ｃ】本発明の一側面による、典型的なスペースセーフ活動記録形式を提供する図。
【図１】
2007537095.tif 000003
【図２】
2007537095.tif 000004
【図３】
2007537095.tif 000005
【図４】
2007537095.tif 000006
【図５】
2007537095.tif 000007
【図６Ａ】
2007537095.tif 000008
【図６Ｂ】
2007537095.tif 000009
【図７】
2007537095.tif 000010
【図８】
2007537095.tif 000011
【図９】
2007537095.tif 000012
【図１０Ａ】
2007537095.tif 000013
【図１０Ｂ】
2007537095.tif 000014
【図１０Ｃ】
2007537095.tif 000015
【国際調査報告】
2007537095.tif 000016