(57)【要約】  複雑なシステムで起こり得る故障を検出して特定するためのシステムは、−  複雑なシステムの少なくとも１つのサブシステムに影響を及ぼす故障を検出して特定するための手段（ＣＡＰ、ＭＯＤVAL、ＭＯＤDP、ＭＯＤFD）、および、−  そのように検出した場合に、とるべき行動について決定を下すための手段（ＭＯＤPD）を含む。当該システムは、ロケットエンジンを監視するために利用される。【選択図】図１
2013520740.tif 000002
【特許請求の範囲】
【請求項１】
複雑なシステムにおける故障を検出して位置を特定するためのシステムにおいて、
−  前記複雑なシステムのコンポーネント（ＣＯＭＰ）の動作を表す信号（ＳCAP）を送り出すための少なくとも１つのセンサー（ＣＡＰ）と、
−  前記少なくとも１つのセンサー（ＣＡＰ）が適切に機能することを検証する少なくとも１つのモジュール（ＭＯＤVAL）であって、
前記少なくとも１つのセンサー（ＣＡＰ）は、前記信号（ＳCAP）を分析して比較することができ、
−  一次信頼度（ＮＣ１）と関連付けられる少なくとも１つの検証済み信号（ＳＩＧVAL）、又は
−  前記少なくとも１つのセンサーの故障を表すメッセージ（ＭＳＧCAP）
を送り出すことができる、少なくとも１つのモジュール（ＭＯＤVAL）と、
−  前記検証済みの信号（ＳＩＧVAL）から少なくとも１つのサブシステム（ＳＳ１、ＳＳ２）又はコンポーネント（ＣＯＭＰ）に影響を及ぼす故障を検出することができ、検出した場合には、前記故障についての生情報（ＩＮＦDB）と二次信頼度（ＮＣ２）を含む少なくとも１つの未処理の故障メッセージ（ＭＳＧPB）を生成できる故障検出モジュール（ＭＯＤDP）と、
−  少なくとも１つの未処理の故障メッセージ（ＭＳＧPB）から、又は、少なくとも１つのセンサー（ＣＡＰ）の故障を表すメッセージ（ＭＳＧCAP）から、前記複雑なシステム（ＳＣ）の少なくとも１つのサブシステム（ＳＳ１、ＳＳ２）に影響を及ぼす故障に関する統合情報と、三次信頼度（ＮＣ３）を含む統合故障メッセージ（ＭＳＧPC）を生成することができるデータ併合モジュール（ＭＯＤFD）と、
−  データベースから前記統合故障メッセージ（ＭＳＧPC）を得ることができ、
−  故障に関する前記統合情報（ＩＮＦPC）、
−  前記三次信頼度（ＮＣ３）、及び
−  前記故障の重大性レベル（ＮＧ）
に応じて、診断された故障に対して、とるべき少なくとも１つの修正するための行動を決定できる意思決定モジュール（ＭＯＤPD）と
を含むことを特徴とするシステム。
【請求項２】
前記とるべき行動は、
前記複雑なシステムを停止すること、
コンポーネントを停止させること、作動させること或いは再開させること、
その動作点を修正すること、又は
調整システムにリクエストを送信すること
から構成されることを特徴とする請求項１に記載のシステム。
【請求項３】
前記意思決定モジュール（ＭＯＤPD）は、前記重大性レベル（ＮＧ）を獲得し、データベース（ＢＣ）における、作動すべき前記行動を特定するための手段
を含むことを特徴とする請求項１又は２に記載のシステム。
【請求項４】
前記意思決定モジュールは、前記重大性レベル（ＮＧ）を評価するための手段（１１）を含むことを特徴とする請求項１から３のいずれか１項に記載のシステム。
【請求項５】
前記行動は、前記複雑なシステムの少なくとも１つのコンポーネントについて実行すること
を特徴とする請求項１から４のいずれか１項に記載のシステム。
【請求項６】
前記行動をとる必要があるか否かを確認するために、前記行動は少なくとも１つの他の統合故障メッセージ（ＭＳＧPC）を待つこと
を特徴とする請求項１から５のいずれか１項に記載のシステム。
【請求項７】
前記意思決定モジュール（ＭＯＤPD）は、ファジー理論の手法を用いること
を特徴とする請求項１から６のいずれか１項に記載のシステム。
【請求項８】
請求項１から７のいずれか１項に記載の故障の検出およびその位置の特定システム（１０５）を含むロケットエンジン。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、故障検出の分野に関する。
【０００２】
より正確には、複雑なシステムにおける故障を診断でき、当該診断に対して最適なステップをとることができるシステムに関する。
【背景技術】
【０００３】
本発明は、例えば、ロケットエンジンなどのような複雑なシステムを、試験運用で開発する際に、当該システムを監視するために用いることができる。
【０００４】
当該技術分野の現在の状況において、複雑なシステムの複数のコンポーネント（構成要素）を個々に見ることで複雑なシステムを監視すること、及び、一定数のコンポーネントが故障を生じたとみなされるときに、決定（例えば、システムの停止）を下すことは従来行なわれていることである。これらの手法は、いわゆる《多数決システム》又は《投票ロジック》アプローチを利用する。
【発明の概要】
【発明が解決しようとする課題】
【０００５】
投票ロジックアプローチは、非常に複雑なシステムの監視に対して完成されている。それらシステムにおいて、それらの原因あるいは重大性レベルに関して非常に異なる種類の動作不良が生じる可能性がある。
【課題を解決するための手段】
【０００６】
本発明は、複雑なシステムにおける故障を検出して位置を特定するためのシステムを提供し、当該システムは：
−  前記複雑なシステムのコンポーネントの動作を表す信号を送り出すための少なくとも１つのセンサーと、
−  前記信号を分析して、
−いわゆる《一次》信頼度と関連付けられる少なくとも１つの検証された信号、又は
−少なくとも１つのセンサーの故障を表すメッセージを送り出すことができる前記センサーが適切に機能することを検証するための少なくとも１つのモジュールと、
−  前記検証された信号から少なくとも１つのサブシステム又はコンポーネントに影響を及ぼす故障を検出することができ、この場合には、前記故障についての生情報といわゆる《二次》信頼度を含む少なくとも１つの未処理の故障メッセージを生成できる、
故障検出モジュールと、
−  少なくとも１つの未処理の故障メッセージから、又は、センサー故障を表すメッセージから、複雑なシステムの少なくとも１つのサブシステムに影響を及ぼす故障に関する統合情報といわゆる《三次》信頼度を含む統合故障メッセージを生成することができるデータ併合モジュールと、
−  前記統合故障メッセージを獲得でき、
−  故障に関する前記統合情報、
−  前記三次信頼度、及び
−  前記故障の重大性レベル
に関して、とるべき少なくとも１つの動作を決定できる意思決定モジュールとを含む。
【０００７】
多数決システムに反して、本発明による本システムの前記データ併合モジュールは、《信頼度》パラメータを考慮すると共に、未処理の故障メッセージを組み合わせる。
【０００８】
データ併合モジュールに入力される、未処理の故障メッセージであって、それら自体のメッセージに関連付けられた未処理の故障メッセージは、異なるコンポーネント、サブシステム、又は、全体としてのシステムに関連する異なる故障検出モジュールから得られる。
【０００９】
したがって、本発明のシステムは、異なるセンサー又は故障検出モジュールから得られたデータを組み合わせて微調整することによって、故障の正確な診断結果をうまく求めることができ、念のため、データをマージする操作によって、それらの無効化又は緩和を決めることができる。
【００１０】
多数決システムに反して、本発明による故障を検出して特定するための本システムは、故障の重大性及び故障の情報（知識）の信頼性に応じて、とるべき行動に適応することができる。
【００１１】
ある特定の実施形態では、本発明の故障検出及び位置特定システムの意思決定モジュールは、重大性レベル得て、とるべき行動を特定するための手段を含み、当該行動はデータベースにおけるメモリーに格納される。
【００１２】
このデータベースは、例えば、故障モード（様式）、影響及びクリティカルな分析（ＦＭＥＣＡ）から得られたデータベースによって形成することができる。
【００１３】
故障の検出時にとるべき行動は、複雑なシステムを停止すること、又は、その１つ以上のコンポーネント（これらは、故障に関連して求められた）について行動することからなり、特に、コンポーネントを停止させること、作動させること、又は、再開させることを必要とし、その動作点を修正すること、或いは、調整システムにリクエストを送信することを必要とし得る。
【００１４】
とるべき行動は、また、データ併合モジュールで発せられた少なくとも１つの他の統合故障メッセージを待ち、行動をとるべきか否かを確定することから成る。
【００１５】
この特徴は、有利に、故障の信頼度が十分であるときにとるべき、不適当な停止及び行動数の減少を可能にし、十分であるかは、故障の重大性レベルに関連して考慮される。
【００１６】
１つの実施形態では、本発明の故障検出システムの意思決定モジュールは、ファジー理論の手法を用いる。この特徴により、都合よく、とるべき行動について疑いや決断できないとの見解を導入することが可能である。
【００１７】
ファジー理論の手法は、目標認識型、又は、センサー選択型の応用分野において一般に用いられるが、注目すべきは、複雑なシステムのコンポーネントに対して、決定による物理的行動に導くファジー理論の利用は、当該技術分野において知られていない（当該決定は、故障およびその臨界に関する信頼性の指数を考慮する）。
【００１８】
また、本発明は、上述したように、故障検出システムを含むロケットエンジンに関する。
【００１９】
特に、本発明は、試験運用でのロケットエンジンの開発に関係し、それは、
−  テストの不適当な停止の数の減少、及び、故障の情報による故障の重大性レベル／信頼性レベルの組（ペア）に応じてとるべき行動；
−  故障の種類に応じてとるべき行動；
−  行動を起こす前に、必要に応じて、故障の確認のため待つ；
−  エンジンの構造に関してモジュール方式で定義された検出モジュールを用いた、容易な拡張性；および
−  とるべき行動について、疑いの見解に考慮を払うこと
を可能にする。
【００２０】
本発明のその他の特徴や利点は、添付の図面を参照して、下記の記載から明らかになるであろう。添付図面は、これに限定されるものではないが、１つの実施形態を説明する。
【図面の簡単な説明】
【００２１】
【図１】図１は、本発明の１つの実施形態に従う故障検出システムの全体構造を示す。
【図２】図２は、本発明による故障検出システムにおいて用いられ得る統合故障メッセージの例を示す。
【図３】図３は、本発明による故障検出システムにおいて用いられ得るデータベースのレコードを示す。
【図４】図４は、本発明によるエンジンを示す。
【図５Ａ】図５Ａは、図４におけるエンジンのセンサーによって生成された信号を示す。
【図５Ｂ】図５Ｂは、図４におけるエンジンの検証モジュールによって送り出された信号、及び、関連付けられた信頼度を示す。
【図６Ａ】図６Ａは、図４におけるエンジンのセンサーによって生成された信号を示す。
【図６Ｂ】図６Ｂは、図４におけるエンジンの検証モジュールによって送り出された信号、及び、関連付けられた信頼度を示す。
【図７】図７は、図４におけるエンジンの１つ以上の故障検出モジュールによって生成された未処理の故障メッセージを示す。
【図８】図８は、図４におけるエンジンのデータ併合モジュールによって生成された統合故障メッセージを示す。
【図９】図９は、本発明による故障検出システムにおける意思決定モジュールで、疑いを解消するために用いることができる機能の例を表すフローチャートである。
【図１０Ａ】図１０Ａは、本発明の１つの実施形態に従ったファジー理論意思決定モジュールにおいて用いられ得る集合包含（set-inclusion）関数を示す。
【図１０Ｂ】図１０Ｂは、本発明の１つの実施形態に従ったファジー理論意思決定モジュールにおいて用いられ得る集合包含（set-inclusion）関数を示す。
【発明を実施するための形態】
【００２２】
図１は、本発明の１つの実施形態に従う故障検出システムを示す。
【００２３】
本システムは、１以上のサブシステムからなり、これらサブシステムは１以上のコンポーネントからなる複雑なシステムの故障検出を可能とする。
【００２４】
本発明による故障検出システムは、一定数のセンサーＣＡＰを含み、これらセンサーのそれぞれは、前記複雑なシステムの少なくとも１つのコンポーネントＣＯＭＰの動作を表す信号ＳCAPを送り出すことができる。
【００２５】
図１に示される例では、２つのコンポーネントＣＯＭＰが示され、互いに関連するセンサーＣＡＰは、コンポーネントを表す信号ＳCAPを送り出すことができ、該信号はコンポーネントに関連する。
【００２６】
センサーＣＡＰによって送り出された信号ＳCAPは、例えば、とりわけ、これらのセンサーが動作、流量、圧力、温度又は速度を測定する場合において、低周波信号となり得る。
【００２７】
また、信号ＳCAPは、それらが関連するセンサーが、特に、急速な変化を受けそうな振動又は圧力を測定する場合において、高周波信号ともなり得る。
【００２８】
本発明の検出システムは、センサーＣＡＰのぞれぞれの適切な機能を検証する検証モジュールＭＯＤVALを含む。
【００２９】
本明細書に記載された実施形態の例では、検証モジュールＭＯＤVALは、
−  参照モデル２１；
−  バイアス検出モジュール２２；および
−  ノイズ検出モジュール２３
を含む。
【００３０】
本明細書に記載された実施形態の例では、検証モジュールＭＯＤVALは：
−  信号ＳCAPの冗長性及び／又は参照モデル２１の出力を用いて、当該信号中のバイアスを検出すること、
−  信号ＳCAP中のノイズを検出することのいずれかによって、低周波信号を送り出すセンサーＣＡＰに影響を及ぼす故障を検出する。ゼロノイズは、センサーＣＡＰが停止していることを示し、過度のノイズは、電気的性質の問題を示す。
【００３１】
本明細書に記載される実施形態では、検証モジュールＭＯＤVALは、信号ＳCAPにおける非対称性を検出することによって、高周波信号ＳCAPを送り出すセンサーに影響を及ぼす故障を検出する。
【００３２】
本発明によると、センサーが稼働中である場合に、それぞれの測定に対して、検証モジュールＭＯＤVALは、一次信頼度に関連付けられた検証済みの信号ＳＩＧVALを送り出し、さもなければ、センサー故障を表すメッセージＭＳＧCAPを送り出す。
【００３３】
センサー故障を表すメッセージＭＳＧCAPは、後で説明するデータ併合モジュールＭＯＤFDに送信される。
【００３４】
検証済みの信号ＳＩＧVAL及びそれに関連付けられた一次信頼度ＮＣ１は、故障検出モジュールＭＯＤDPに送信される。
【００３５】
故障検出モジュールＭＯＤDPは、コンポーネント、複雑なシステムの全体、又は当該複雑なシステムのサブシステムに影響を及ぼす故障を検出することができる。
【００３６】
故障検出のために用いられるアルゴリズムは、様々なタイプのものがあり、特に、しきい値の計算、確認、誤差の計算、フィルタリング、物理或いは行動モデルの比較などに対する機能を利用する。
【００３７】
図２を参照すると、エンジン故障を検出するという特定の状況で、故障検出モジュールＭＯＤDPの機能は、明確に記載されている。
【００３８】
コンポーネント、サブシステム又は全体としてのシステムに影響を及ぼす故障を検出する場合に、故障検出モジュールＭＯＤDPは、二次信頼度ＮＣの未処理の故障メッセージＭＳＧPBを生成することができ、該故障メッセージＭＳＧPBは、この故障及び二次信頼度ＮＣ２に関する生情報ＩＮＦPBを含み。
【００３９】
さらに、本発明による故障検出システムは：
−  第一に、センサー故障を表すメッセージＭＳＧCAP；及び
−  第二に、未処理の故障メッセージＭＳＧPB
を受信することができるデータ併合モジュールＭＯＤFDも含む。
【００４０】
データ併合モジュールＭＯＤFDの目的は、特に、未処理の故障メッセージＭＳＧPBやセンサー故障メッセージＭＳＧCAPで受信された複数の生情報の項目を突き合わせてまとめることであり、これにより、結果として生じる情報について不確定性を減らす。
【００４１】
したがって、データ併合モジュールＭＯＤFDは、システム全体又は複雑なシステムのサブシステム又はコンポーネントに影響を及ぼす故障に関する統合情報ＩＮＦPCと、三次信頼度とを含む統合故障メッセージＭＳＧPCを生成する。
【００４２】
統合故障メッセージＭＳＧPCは、データ併合モジュールＭＯＤFDによって、意思決定モジュールＭＯＤPDに送信される。
【００４３】
意思決定モジュールＭＯＤPDは、故障に関する統合故障情報ＩＮＦPC、当該故障に対して得られた三次信頼度、及び、データベースＢＣに含まれる当該故障の重大性レベルに応じてとるべき行動についての意思決定をすることができる。
【００４４】
図１の例では、意思決定モジュールＭＯＤPDは、故障の分析から導き出されたデータベースから形成されるデータベースＢＣへのアクセス手段を含み、当該故障は複雑なシステムやそれら故障に関する臨界性に影響を及ぼす。
【００４５】
図２は、本発明に従った故障検出システムで用いられ得る統合故障メッセージＭＳＧPCの例を示す。
【００４６】
当該メッセージは、５つのフィールドを含む。すなわち：
−  故障の日付を含むＤＡＴＥフィールド；
−  故障によって影響が及ぼされるサブシステムの識別子、又は、利用可能な場合には、故障がシステムの全体に影響を及ぼすならば、該システムの識別子を含むＩＤSSフィールド；
−  故障によって影響を及ぼされるコンポーネントの識別子ＩＤCOMP；
−  データ併合モジュールＭＯＤFDによって得られた３次信頼度ＮＣ３；
−  当該故障の識別子ＩＤFAILURE；
統合故障メッセージＭＳＧPCの第一、第二及び第三フィールドにおけるデータは、本発明の目的である、統合情報ＩＮＦPCを形成する。
【００４７】
故障メッセージＭＳＧPCは、結果の高速解釈のための端末に並列に送ることができる。
【００４８】
本明細書に記載された実施形態の例では、未処理の故障メッセージＭＳＧPBは、第四フィールドにおいて、二次信頼度ＮＣ２を含むことを除いては、統合故障メッセージＭＳＧPCと全く同じフォーマットを備える。
【００４９】
図３は、データベースＢＣのレコードを示す。
【００５０】
このレコードは、四つのフィールドを含み、すなわち：
−  サブシステムの識別子を含むＩＤSSフィールド；
−  故障の識別子を含むＩＤFAILUREフィールド；
−  当該故障の重大性レベルを含むＮＧフィールド；
−  前記故障に関して採用される、予め定められた行動の識別子を含むＩＤActionフィールド
である。
【００５１】
図４は、本発明に従うロケットエンジンを示す。
【００５２】
当該エンジンは、それぞれポンプ１１１，１１２の上流に、２つの推進剤タンク１３１及び１３２を含む。これら推進剤のそれぞれの流量は、バルブ１２１，１２２によって調節され得る。本明細書に記載された実施形態では、当該エンジンは：
−  ポンプ１１１の振動Ｖ111又は加速度を測定し、これらの振動を表す信号ＳCAP1を送り出すことができる第一センサーＣＡＰ１と、
−  ポンプ１１１の出力における圧力Ｐ111を測定し、当該圧力を表す信号ＳCAP2を送り出すことができる第二センサーＣＡＰ２と
を含む。
【００５３】
これらの信号ＳCAP1及びＳCAP2は、図５Ａ及び６Ａに示される。
【００５４】
これらの図を参照すると、タービンのブレード（羽根）は時間Ｔ1で劣化し始め、この劣化は時間Ｔ2でブレードの欠損をもたらし、時間０からＴ1までの間では、ブレードは通常どおり動作しているものとする。
【００５５】
したがって、時間Ｔ1は、ブレードの破壊開始時刻と考えられる。
【００５６】
これらのグラフにおいて注目することは、ポンプ１１１の出力における圧力Ｐ111が、時間Ｔ1からＴ2の間では、わずかに低下するが、ブレードの欠損後に相当する時間Ｔ2以降は、突然低下する。
【００５７】
当該エンジンは、本発明に従う故障検出および診断システム１０５を含む。
【００５８】
本発明によると、信号ＳCAP1及びＳCAP2は検証モジュールＭＯＤVALによって処理される。
【００５９】
したがって、本発明に基づく、当該検証モジュールは、図５Ｂ及び６Ｂに示された２つの検証済みの信号ＳＩＧVAL1及びＳＩＧVAL2を送り出す。それぞれは、図５Ｂ及び６Ｂに点線で示された一次信頼度ＮＣ１１、ＮＣ１２とそれぞれ関連する。
【００６０】
この例では、センサーＣＡＰ１の一次信頼度ＮＣ１１は、高い値（すなわち、０．９５）で推移する。
【００６１】
他方、センサーＣＡＰ２の一次信頼度ＮＣ１２は、時間Ｔ2でわずかに減少し始め、その後、約０．４５の値に至るまで急激に減少する。
【００６２】
本明細書で記載された例では、センサーＣＡＰ２の一次信頼度ＮＣ１２において低下があるが、それにもかかわらず、この例では、ＣＡＰ２の信頼度は、ポンプ１１１の出力における圧力を測定するのに十分なままである。
【００６３】
したがって、この例では、検証モジュールＭＯＤVALは、センサー故障メッセージＭＳＧCAPを生成しない。
【００６４】
本明細書で記載された実施形態の例では、信号ＳＩＧVAL1はＳCAP1に対応するが、信号ＳＩＧVAL2は、測定されるノイズを除去することで、信号ＳCAP2から得られる。
【００６５】
信号ＳＩＧVAL1及びＳＩＧVAL2は、故障検出モジュールＭＯＤDPによって、一次信頼度ＮＣ１１及びＮＣ１２で受信される。
【００６６】
本明細書に記載された実施形態の例では、当該故障検出モジュールＭＯＤDPは、エンジンタービンに影響を及ぼす故障を検出することができる（本発明の解釈において、当該タービンはサブシステムである）。
【００６７】
このために、当該モジュールは：
−  まず、タービンの振動を分析でき、
−  次に、タービンの動作を分析できる
２つのアルゴリズムを用いる。
【００６８】
本明細書に記載された実施形態では、故障検出モジュールＭＯＤDPは、図７にそれぞれ示された時間Ｔ3及びＴ4において：
−  ０．９の二次信頼度ＮＣ２２を伴う第一動作不良（《高いタービン振動レベル》）、および
−  ０．４５の二次信頼度ＮＣ２２を伴う第二動作不良（《低いタービン出力》）
を検出する。
【００６９】
これらのデータ項目は、本発明において生情報を形成する。
【００７０】
それら情報は、時間Ｔ3及びＴ4に、未処理の故障メッセージＭＳＧPB1及びＭＳＧPB2とともに、データ併合モジュールＭＯＤFDに送信される。
【００７１】
本発明によると、データ併合モジュールＭＯＤFDは、時間Ｔ3及びＴ4に受け取られた未処理の故障メッセージＭＳＧPB1及びＭＳＧPB2から、１つ以上の統合故障メッセージを生成する。
【００７２】
本明細書に記載された実施形態の例では、データ併合モジュールＭＯＤFDは、故障メッセージＭＳＧPB1及びＭＳＧPB2に含まれる生情報をマージすると：
−  故障メッセージＭＳＧPB1と同じ内容の第一の統合故障メッセージＭＳＧPC1、および
−  ２つの未処理の故障メッセージＭＳＧPB1及びＭＳＧPB2に含まれる生情報をマージすることによって得られた第二の統合故障メッセージＭＳＧPC2
をそれぞれ時間Ｔ3及びＴ4で生成する。
統合故障メッセージＭＳＧPC2は図８に示される。
【００７３】
この例では、データ併合モジュールは、０．７の三次信頼度ＮＣ３２とともに、ターボポンプ１１１のブレードの欠損を検出できるとすると、ブレードの欠損の時点をＴ4に見積もられる。
【００７４】
統合故障メッセージＭＳＧPC1及びＭＳＧPC2は、それぞれ時間Ｔ3及びＴ4で、意思決定モジュールＭＯＤPDに送信される。
【００７５】
本発明に従って、意思決定モジュールＭＯＤPDは、２つの統合メッセージＭＳＧPC1及びＭＳＧPC2に基づいて、行動をとる必要があるか否かを検討する。
【００７６】
本明細書に記載された実施形態の例では、第一統合メッセージＭＳＧPC1を受け取ると、意思決定モジュールＭＯＤPDは、エンジンの部材について物理的な行動を開始する前、別の統合メッセージの受け取るまで待機することを決定する。
【００７７】
他方、第二の統合メッセージＭＳＧPC2を受け取ると、意思決定モジュールＭＯＤPDは、二つの行動、すなわち：
−  故障メッセージの発行；および
−  故障を埋め合わせるために、推力低下コマンドの起動
といった行動をとる。
【００７８】
当該第二の行動は、図４に、矢印ＡＣＴPERFORMEDとして示される。この例では、制御システムによって実行され、制御システムは、推進剤タンク１３１及び１３２の流量を調節するバルブ１２１について作用する。
【００７９】
本明細書に記載された実施形態の例では、意思決定モジュールＭＯＤPDは、当業者に知られているファジー理論の手法を用いる。その詳細は以下に述べる。
【００８０】
本発明によると、とられる（または、とられない）行動に関してなされる決定は、三次信頼性レベルＮＣ３及び検出された故障の重大性レベルＮＧに応じて策定される。
【００８１】
本発明の実施形態の例を説明するために、意思決定モジュールＭＯＤPDは、２つのテーブルＴNC3、ＴNGを用い、その集合包含関数は、以下のテーブルによって特徴付けられ、図１０Ａ及び１０Ｂにおいて台形の形で表されると考えられる：
【００８２】
【表１】
2013520740.tif 000003
【００８３】
【表２】
2013520740.tif 000004
【００８４】
意思決定モジュールＭＯＤPDの出力は、診断された故障に関して、修正するための行動を始めるか否かを決定する。本明細書に記載された実施形態の例では、この《決定》変数は、入力データＮＣ３、ＮＧと同じ領域内で変化し、集合包含関数は、以下のテーブルＴDECにおいて定められる分類に従う。
【００８５】
【表３】
2013520740.tif 000005
【００８６】
３つのテーブルＴNC3，ＴNG及びＴDECは、意思決定モジュールＭＯＤPDによってメモリーに格納される。
【００８７】
下記のテーブルＴREGは、上述した規則を要約したものである：
【表４】
2013520740.tif 000006
【００８８】
本明細書に記載された実施形態の例では、「疑い」区間にある各事象は、この状況での最大残留時間の値ＴMAXを関連付けられ、もしこの値に達したら、システム停止のための命令が安全対策のため与えられる。
【図１】
2013520740.tif 000007
【図２】
2013520740.tif 000008
【図３】
2013520740.tif 000009
【図４】
2013520740.tif 000010
【図５Ａ】
2013520740.tif 000011
【図５Ｂ】
2013520740.tif 000012
【図６Ａ】
2013520740.tif 000013
【図６Ｂ】
2013520740.tif 000014
【図７】
2013520740.tif 000015
【図８】
2013520740.tif 000016
【図９】
2013520740.tif 000017
【図１０Ａ】
2013520740.tif 000018
【図１０Ｂ】
2013520740.tif 000019
【国際調査報告】
2013520740.tif 000020
2013520740.tif 000021
2013520740.tif 000022
2013520740.tif 000023