(57)【要約】      （修正有）【課題】高度に自動化された方式で単一及び複数システムの故障を評価する。【解決手段】故障作用検証システムは、複合システムの故障モードの蓄積作用モデルを発展させるように構成された作用モデラを含み、このモデルにより、複合システムのモデルは拡張可能となって拡張された複合システムモデルを形成する。作用モデラは検索標的を発展させるようにも構成されており、検索標的のそれぞれは、注目に値するハザードと、乗務員作業量、安全マージン（、及び／又は生理的作用といった蓄積作用に寄与する他の因子との論理式を含む。モデル解析システムは、拡張複合システムモデルと検索標的とを用いて自動解析を実行するように構成されており、この自動解析には、検索標的を見つけるための拡張複合システムモデルの可能な状態のグラフ検索が含まれる。【選択図】なし【特許請求の範囲】
【請求項１】
複合システムの故障モード（３０２）の蓄積作用モデル（６００）を発展させるように構成されており、前記蓄積作用モデルにより前記複合システムのモデルを拡張して拡張モデルを形成することができる、作用モデラ（１０４）であって、
さらに、各々が、注目に値するハザード（３０４）と、乗務員作業量（３０６）、安全マージン（６０６）、又は生理的作用（６０８）のうちの一又は複数との論理式を含む、一又は複数の検索標的を発展させるように構成される前記作用モデラ（１０４）、並びに
前記作用モデラ（１０４）に連結されており、一又は複数の検索標的を見つけるために前記拡張モデルの可能な状態のグラフ検索を含む自動解析を実行するように構成されたモデル解析システム（１０６）であって、前記自動解析は、前記故障モード（３０２）の少なくともいくつかの蓄積作用（６００）を同定するために実行されて、前記自動解析の結果は、前記蓄積作用（６００）の評価を可能にするレイアウトに表示可能である、前記モデル解析システム（１０６）
を備える故障作用検証システム（１００）。
【請求項２】
前記複合システムが複数のシステムを含み、前記作用モデラ（１０４）が、
複合システムレベル及びシステムレベルのハザード（３０４）のハザード（３０４）モデルを発展させるように構成されたハザードモデラ、並びに
一又は複数の検索標的を発展させるように構成された検索標的エンコーダ（３１２）であって、前記検索標的において注目に値するハザード（３０４）は、複合システムレベル及びシステムレベルのハザード（３０４）の閾値計測数を上回るものとして定義される、前記検索標的エンコーダ（３１２）
を含む、請求項１に記載の前記故障作用検証システム（１００）。
【請求項３】
前記一又は複数の検索標的の各々が、注目に値するハザード（３０４）、乗務員作業量（３０６）、及び生理的作用（６０８）の論理式を含み、前記作用モデラ（１０４）がさらに、
乗務員作業量（３０６）のモデルを発展させるように構成された乗務員作業量（３０６）モデラであって、前記モデルにおいて注目に値する乗務員作業量（３０６）は、警報メッセージの計測数、補償的動作又は補償的動作のページの計測数、或いは補償的動作を完了させるまでの時間のうちの一又は複数を含むものと定義される、前記乗務員作業量モデラ（３０６）、並びに
生理的作用（６０８）のモデルを発展させるように構成された生理的作用モデラ（１０４）であって、前記モデルにおいて生理的作用（６０８）は、生理的又は身体的な快適性又は不快感に影響する一又は複数の条件の測定値を含むものと定義される、前記生理的作用モデラ
を含み、
前記検索標的エンコーダ（３１２）が、一又は複数の検索標的を発展させるように構成されるうえで、さらに、乗務員作業量（３０６）が、警報メッセージの閾値計測数、補償的動作又は補償的動作のページの閾値計測数、或いは補償的動作を完了させるまでの閾値時間を上回るものとして定義されており、且つ注目に値する生理的作用（６０８）が前記一又は複数の条件の閾値測定値を上回る又は下回るものとして定義されている、
請求項２に記載の前記故障作用検証システム（１００）。
【請求項４】
前記一又は複数の検索標的の各々が、注目に値するハザード（３０４）及び乗務員作業量（３０６）の論理式を含み、前記作用モデラ（１０４）が、
乗務員作業量（３０６）のモデルを発展させるように構成された乗務員作業量モデラであって、前記モデルにおいて乗務員作業量（３０６）は、警報メッセージの計測数、補償的動作又は補償的動作のページの計測数、或いは補償的動作を完了させるまでの時間のうちの一又は複数を含むものと定義される、前記乗務員作業量モデラ（３０６）、並びに
一又は複数の検索標的を発展させるように構成される検索標的エンコーダ（３１２）であって、前記検索標的において注目に値する乗務員作業量（３０６）は、警報メッセージの閾値計測数、補償的動作又は補償的動作のページの閾値計測数、或いは補償的動作を完了させるまでの閾値時間を上回るものと定義される、前記検索標的エンコーダ（３１２）
を含む、請求項１に記載の前記故障作用検証システム（１００）。
【請求項５】
前記補償的動作は、乗務員手順及び非正規動作手順を含み、
前記乗務員作業量モデラは前記乗務員作業量（３０６）のモデルを発展させるように構成されており、前記モデルにおいて乗務員の作業量（３０６）は、警報メッセージ、乗務員手順又は乗務員手順のページ、並びに非正規動作手順又は非正規動作手順のページのそれぞれの計測数を含むものと定義され、
前記検索標的エンコーダ（３１２）は一又は複数の検索標的を発展させるように構成されており、前記検索標的において注目に値する乗務員作業量（３０６）は、警報メッセージ、乗務員手順又は乗務員手順のページ、並びに非正規動作手順又は非正規動作手順のページのそれぞれの閾値計測数を上回るものの前記論理和として定義される、
請求項４に記載の前記故障作用検証システム（１００）。
【請求項６】
前記一又は複数の検索標的の各々が、注目に値するハザード（３０４）及び安全マージンの論理式を含み、前記作用モデラ（１０４）が、
安全マージン（３０８）のモデルを発展させるように構成された安全マージンモデラであって、前記モデルにおいて安全マージン（６０６）は、一又は複数の動作因子と、安全マージンに影響する一又は複数の条件の測定値とを含むものと定義される、前記安全マージンモデラ、並びに
一又は複数の検索標的を発展させるように構成された検索標的エンコーダ（３１２）であって、前記検索標的において安全マージン（６０６）の注目に値する喪失は、前記一又は複数の条件の閾値測定値を上回る又は下回るものと定義される、検索標的エンコード（３１２）
を含む、請求項１に記載の前記故障作用検証システム（１００）。
【請求項７】
前記一又は複数の検索標的の各々が、注目に値するハザード（３０４）及び生理的作用（６０８）の論理式を含み、前記作用モデラ（１０４）が、
生理的作用（６０８）のモデルを発展させるように構成された生理的作用モデラ（１０４）であって、前記モデルにおいて生理的作用（６０８）は、生理的又は身体的な快適性又は不快感に影響する一又は複数の条件の測定値を含むものと定義される、前記生理的作用モデラ（１０４）、並びに
一又は複数の検索標的を発展させるように構成された検索標的エンコーダ（３１２）であって、前記検索標的において注目に値する生理的作用（６０８）は、前記一又は複数の条件の閾値測定値を上回る又は下回るものと定義される、検索標的エンコーダ（３１２）
を含む、請求項１に記載の前記故障作用検証システム（１００）。
【請求項８】
前記一又は複数の条件が、客室の気圧、温度、照明レベル、客室の視界度、又は通気性のうちの二つ以上を含み、
前記生理的作用モデラ（１０４）は前記生理的作用（６０８）のモデルを発展させるように構成されており、前記モデルにおいて生理的作用（６０８）は、前記複数の条件のそれぞれの測定値を含むものと定義され、
前記検索標的エンコーダ（３１２）は一又は複数の検索標的を発展させるように構成されており、前記検索標的において注目に値する生理的作用（６０８）は、前記複数の条件のそれぞれの閾値測定値を上回る又は下回るものの前記論理和として定義される、
請求項７に記載の前記故障作用検証システム（１００）。
【請求項９】
複合システムの故障モード（３０２）の蓄積作用モデル（６００）を発展させることであって、前記モデルにより、前記複合システムのモデルを拡張して拡張モデルを形成することができる、発展させること、
各々が、注目に値するハザード（３０４）と、乗務員作業量（３０６）、安全マージン（６０６）、又は生理的作用（６０８）のうちの一又は複数との論理式を含む一又は複数の検索標的を発展させること、並びに
一又は複数の検索標的を見つけるための前記拡張モデルの可能な状態のグラフ検索を含む自動解析を実行することであって、前記自動解析が、前記故障モード（３０２）の少なくともいくつかの蓄積作用（６００）を同定するために実行されて、前記自動解析の結果は、前記蓄積作用（６００）の評価を可能にするレイアウトに表示可能である、実行すること
を含む方法。
【請求項１０】
前記複合システムが複数のシステムを含み、前記蓄積作用モデル（６００）を発展させることが、複合システムレベル及びシステムレベルのハザード（３０４）のハザード（３０４）モデルを発展させることを含み、
一又は複数の検索標的を発展させることは、注目に値するハザード（３０４）が複合システムレベル及びシステムレベルのハザード（３０４）の閾値計測数を上回るものとして定義される一又は複数の検索標的を発展させること含む、
請求項９に記載の前記方法。
【請求項１１】
前記一又は複数の検索標的の各々が、注目に値するハザード（３０４）、乗務員作業量（３０６）、及び生理的作用（６０８）の論理式を含み、前記蓄積作用モデル（６００）を発展させることはさらに、
乗務員作業量（３０６）モデルを発展させることであって、前記モデルにおいて乗務員作業量（３０６）は、警報メッセージの計測数、補償的動作又は補償的動作のページの計測数、或いは補償的動作を完了させるまでの時間のうちの一又は複数を含むものと定義される、発展させること、並びに
生理的作用（６０８）のモデルを発展させることであって、前記モデルにおいて生理的作用（６０８）は、生理的又は身体的な快適性又は不快感に影響する一又は複数の条件の測定値を含むものと定義される、発展させること
を含み、
一又は複数の検索標的を発展させることは、さらに、乗務員作業量（３０６）が、警報メッセージの閾値計測数、補償的動作又は補償的動作のページの閾値計測数、或いは補償的動作を完了させるまでの閾値時間を上回るものとして定義されており、且つ注目に値する生理的作用（６０８）が、前記一又は複数の条件の閾値計測数を上回る又は下回るものとして定義されている、一又は複数の検索標的を発展させることを含む、
請求項１０に記載の前記方法。
【請求項１２】
前記一又は複数の検索標的の各々が注目に値するハザード（３０４）及び乗務員作業量（３０６）の論理式を含み、前記蓄積作用モデル（６００）を発展させることは、乗務員作業量（３０６）のモデルを発展させることであって、前記モデルにおいて乗務員作業量（３０６）は、警報メッセージの計測数、補償的動作又は補償的動作のページの計測数、或いは補償的動作を完了させるまでの時間のうちの一又は複数を含むものと定義される、発展させることを含み、
一又は複数の検索標的を発展させることは、注目に値する乗務員作業量（３０６）が、警報メッセージの閾値計測数、補償的動作又は補償的動作のページの閾値計測数、或いは補償的動作を完了させるまでの閾値時間を上回るものと定義される、一又は複数の検索標的を発展させることを含む、
請求項９に記載の前記方法。
【請求項１３】
前記補償的動作は乗務員手順及び非正規動作手順を含み、
前記乗務員作業量（３０６）のモデルを発展させることは、乗務員の作業量（３０６）が、警報メッセージ、乗務員手順又は乗務員手順のページ、並びに非正規動作手順又は非正規動作手順のページのそれぞれの計測数を含むものと定義される、前記乗務員作業量（３０６）のモデルを発展させることを含み、
一又は複数の検索標的を発展させることは、注目に値する乗務員作業量（３０６）が、警報メッセージ、乗務員手順又は乗務員手順のページ、並びに非正規動作手順又は非正規動作手順のページのそれぞれの閾値計測数を上回るものの前記論理和として定義される、一又は複数の検索標的を発展させることを含む、
請求項１２に記載の前記方法。
【請求項１４】
前記一又は複数の標的の各々が、注目に値するハザード（３０４）及び安全マージンの論理式を含み、前記蓄積作用モデル（６００）を発展させることは、安全マージンのモデル（３０８）を発展させることであって、前記モデルにおいて安全マージン（６０６）は、一又は複数の動作因子と、安全マージンに影響する一又は複数の条件の測定値とを含むものと定義される、発展させることを含み、
一又は複数の検索標的を発展させることは、安全マージン（６０６）の注目に値する喪失が、前記一又は複数の条件の閾値測定値を上回る又は下回るものと定義される、一又は複数の検索標的を発展させることを含む、
条項９に記載の前記方法。
【請求項１５】
前記一又は複数の検索標的の各々が、注目に値するハザード（３０４）及び生理的作用（６０８）の論理式を含み、前記蓄積作用モデル（６００）を発展させることは、生理的作用（６０８）のモデルを発展させることであって、前記モデルにおいて生理的作用（６０８）は、生理的又は身体的な快適性又は不快感に影響する一又は複数の条件の測定値を含むものと定義される、発展させることを含み、
一又は複数の検索標的を発展させることは、注目に値する生理的作用（６０８）が、前記一又は複数の条件の閾値測定値を上回る又は下回るものと定義されている、一又は複数の検索標的を発展させることを含み、
前記一又は複数の条件は、客室の気圧、温度、照明レベル、客室の視界度、又は通気性のうちの二つ以上を含み、
前記生理的作用（６０８）のモデルを発展させることは、生理的作用（６０８）が前記複数の条件のそれぞれの測定値を含むものと定義される前記生理的作用（６０８）のモデルを発展させることを含み、且つ
一又は複数の検索標的を発展させることは、注目に値する生理的作用（６０８）が前記複数の条件のそれぞれの閾値測定値を上回る又は下回るものの前記論理和として定義される一又は複数の検索標的を発展させることを含む、
請求項９に記載の前記方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、概してシステム故障の蓄積作用を評価することに関し、特に高度に自動化された方式で単一及び複数システムの故障を評価することに関する。
【背景技術】
【０００２】
航空機のような複合システムは、通常複数のシステムから構成されており、それら個々のシステムより大きな機能性を可能にしている。航空宇宙産業、自動車産業、海洋産業、医療産業、及びエレクトロニクス産業におけるもののような、航空機その他を含む多数の複合システムの技術的進歩は、相互に依存する多数のシステムをもたらし、それらの少なくとも一部は、異なる地理的位置にある異なる会社の異なるチームにより設計される場合がある。これらシステムのうちの一又は複数の故障又は異常は、直接的に又は間接的に、時に他のシステムに影響し、これら作用の集積は「カスケード」効果と呼ばれることがある。加えて、これらシステムの故障／異常及び複合システムのレベルにおけるそれらのカスケード効果の解析が、認可プロセスの一部として時に必要とされる。一般に、このような解析は、このような解析を容易にすることができるプロセスを考慮することなく、システムアナリストのグループによって手動で実行される。複合システム及び複合システムを構成するシステムの統合が進むにつれて、従来の解析法は、対象範囲の幅及び発生する労働コストの点でもはや実用的でない。
【０００３】
航空宇宙産業において、例えば、航空機の製造者は、予想されるすべての動作条件の下で装備が意図されているように動作することを確認するために、セーフティクリティカルシステム故障の蓄積作用を評価する。連邦規制基準（１４ＣＦＲ）２５．１３０９といった規則により確立された基準により、故障のハザード分類がすべての関連因子を考慮することが求められている。これら因子は、車両に対する作用（機能／性能の喪失又は劣化、安全マージンの低減）、乗務員に対する作用（作業量の増大、作業上又は環境上の悪条件）、及び／又は乗客に対する作用を含みうる。
【０００４】
航空宇宙産業には複数の安全性解析手法が存在する。例えば、機能的ハザード評価（ＦＨＡ）は、故障の影響度を同定及び分類するための、機能のトップダウン解析である。フォルトツリー解析（ＦＴＡ）は、故障の作用の原因を、原因となる故障を組み合わせる論理（例えば、ブール論理）を用いて解析するトップダウン解析である。故障モード影響解析（ＦＭＥＡ）は、システムの機能及び動作に対する故障の作用を同定するためのボトムアップ解析アプローチである。ＦＭＥＡは、時にＦＴＡと併せて用いられ、ＦＡＴを完全なものにし、且つ検証するために役立つ。モデルに基づく安全性解析（ＭＢＳＡ）は、システム設計及び安全性評価プロセスにより、最小カットセット（ＭＣＳ）フォルトツリー及びＦＭＥＡ要約を含め、安全性アーチファクトの一貫した組を自動的に生成するために使用される共通モデルを開発する新しい手法である。
【０００５】
したがって、既存の手法を改良するシステムと方法を有することが望まれている。
【０００６】
本出願は、２０１２年６月１５日出願の米国特許出願番号第１３／５２４１７３号（発明の名称「ＦａｉｌｕｒｅＡｎａｌｙｓｉｓＶａｌｉｄａｔｉｏｎａｎｄＶｉｓｕａｌｉｚａｔｉｏｎ」）に関連している。
【発明の概要】
【０００７】
本発明の例示的実装態様は、概して、複合システムのレベルにおけるシステム故障の蓄積作用を評価するためのシステムの改良を目的としている。例示的実装態様のシステム及び方法は、複数のハザード（又は故障状態）を招くようなカスケード故障の蓄積作用を同定及び評価し（或いはその同定及び評価を容易にし）、且つそれを効率的、包括的、及び少なくとも部分的には自動的に行うことができる。例示的実装態様は、統合型モジュール方式アビオニクス（ＩＭＡ）アーキテクチャを有するものを含め、航空機のような複合システムの統合の拡大に対処しうる。例示的実装態様は、現行の手順及び標準的な解析方法を凌駕し、同定及び評価の実質的な側面を自動化しうる。例示的実装態様は、さらに、オペレータ、設計者、安全技師、認可専門家などといった主題専門家（ＳＭＥ）による、モデルに基づく開発、モデルに基づく安全解析、解析の自動化、並びに解析結果の検討を容易にするための、結果の視覚的レイアウトの生成において、従来技術の手順を組み合わせ、拡張しうる。
【０００８】
例示的実装態様の一態様によれば、複数のシステムを含むか、或いは複数のシステムから構成される複合システムの、一又は複数の故障（カスケードシステム故障）の蓄積作用を評価するための故障作用検証システムが提供される。故障作用検証システムは、互いに連結された作用モデラ及びモデル解析システムを含む。作用モデラは、複合システムの故障モードの蓄積作用モデルを発展させるように構成されており、このモデルにより、複合システムのモデルを拡張して拡張された（複合システム）モデルを形成することができる。作用モデラは、さらに、それぞれが注目に値するハザードの論理式を含む一又は複数の検索標的と、乗務員の作業量、安全マージン、及び／又は生理的作用といった蓄積作用に寄与する一又は複数の他の因子とを発展させるように構成されている。
【０００９】
モデル解析システムは、一又は複数の検索標的を見つけるための、拡張モデルに可能な状態のグラフ検索を含む自動解析を実行するように構成されている。自動解析は、故障モードの少なくともいくつかの蓄積作用を同定するために実行され、その結果は、蓄積作用の評価を可能にするレイアウトに表示される。いくつかの実施例では、モデル解析システムは、レイアウトを生成するように構成された作用評価システムに連結される。これに関し、作用評価システムは、拡張モデルの少なくとも一部と自動解析の結果とを含む故障解析データのレイアウトを選択的に生成するように構成することができる。
【００１０】
種々の実施例において、作用モデラは、ハザードモデラ及び検索標的エンコーダを含む。これら実施例では、ハザードモデラは、複合システムレベル及びシステムレベルのハザードのハザードモデルを発展させるように構成される。そして、検索標的エンコーダは、一又は複数の検索標的を発展させるように構成され、ここで注目に値するハザードは、複合システムレベル及びシステムレベルのハザードの閾値計測数を上回るものとして定義される。
【００１１】
他の因子が乗務員の作業量を含む一実施例では、作用モデラは、乗務員の作業量のモデルを発展させるように構成された乗務員作業量モデラを含み、この乗務員作業量モデルでは、乗務員の作業量は、警報メッセージの計測数、補償的動作又は補償的動作のページの計測数、或いは補償的動作を完了させるまでの時間のうちの一又は複数を含むものと定義される。この実施例では、検索標的エンコーダは、一又は複数の検索標的を発展させるように構成され、この検索標的では、注目に値する乗務員作業量は、警報メッセージの閾値計測数、補償的動作の又は補償的動作のページの閾値計測数、或いは補償的動作完了までの閾値時間を上回るものとして定義される。
【００１２】
さらなる実施例では、補償的動作は、乗務員手順及び非正規動作手順を含みうる。このさらなる実施例では、乗務員作業量モデラは乗務員作業量のモデルを発展させるように構成され、この乗務員作業量モデルでは、乗務員の作業量は、警報メッセージ、乗務員手順又は乗務員手順のページ、並びに非正規動作手順又は非正規動作手順のページのそれぞれの計測数を含むものと定義される。そして、検索標的エンコーダは一又は複数の検索標的を発展させるように構成され、この検索標的では、注目に値する乗務員作業量は、警報メッセージ、乗務員手順又は乗務員手順のページ、並びに非正規動作手順又は非正規動作手順のページのそれぞれの閾値計測数を上回るものの論理和として定義される。
【００１３】
他の因子が安全マージンを含む一実施例では、作用モデラは、安全マージンのモデルを発展させるように構成された安全マージンモデラを含み、この安全マージンモデルでは、安全マージンは、安全マージンに作用する一又は複数の動作因子と一又は複数の条件の測定値とを含むものと定義される。この実施例では、検索標的エンコーダは一又は複数の検索標的を発展させるように構成され、この検索標的では、安全マージンの注目に値する喪失は、一又は複数の条件の閾値測定値を上回る又は下回るものと定義される。
【００１４】
他の因子が生理的作用を含む一実施例では、作用モデラは、生理的作用のモデルを発展させるように構成された生理的作用モデラを含み、この生理的作用モデルでは、生理的作用は、生理的又は身体的な快適性又は不快感に作用する一又は複数の条件の測定値を含むものと定義される。この実施例では、検索標的エンコーダは一又は複数の検索標的を発展させるように構成され、この検索標的では、注目に値する生理的作用は一又は複数の条件の閾値測定値を上回る又は下回るものと定義される。
【００１５】
さらなる実施例では、条件は、客室の圧力、温度、照明度、客室の視界度、又は通気性のうちの二つ以上を含む複数の条件を含む。このさらなる実施例では、生理的作用モデラは乗務員作業量のモデルを発展させるように構成され、この乗務員作業量モデルでは、乗務員作業量は複数の条件のそれぞれの測定値を含むものと定義される。そして検索標的エンコーダは、一又は複数の検索標的を発展させるように構成され、この検索標的では、注目に値する生理的作用は複数の条件のそれぞれの閾値測定値を上回る又は下回るものの論理和と定義される。
【００１６】
例示的実装態様の他の態様では、故障の蓄積作用を評価するための方法及びコンピュータで読み取り可能な記憶媒体が提供される。本明細書で説明されるフィーチャ、機能及び利点は、種々の例示的実装態様において単独で実現可能であるか、又はさらに別の例示的実装態様において組み合わせることができる。このような実装態様のさらなる詳細は、後述の説明及び添付図面に見ることができる。
【図面の簡単な説明】
【００１７】
上述では本発明の例示的実装態様を一般的な用語で説明した。後述では添付図面を参照する。これらの図面は、必ずしも正確な縮尺で描かれていない。
【００１８】
【図１】例示的一実装態様による蓄積故障評価システムを示している。
【図２】本発明の例示的一実装態様による、適切なシステムモデラを示している。
【図３】本発明の例示的一実装態様による、適切な作用モデラを示している。
【図４】本発明の例示的一実装態様による、適切なモデル解析システムを示している。
【図５】本発明の例示的一実装態様による、適切な作用評価システムを示している。
【図６】例示的一実装態様による、検索標的の例示的なグラフィック表現を示している。
【図７】例示的一実施形態による適切なレイアウトモデルの概略図である。
【図８】例示的一実施形態による別の適切なレイアウトモデルの概略図である。
【図９】例示的一実施形態によるまた別の適切なレイアウトモデルの概略図である。
【図１０】例示的一実施形態によるまた別の適切なレイアウトモデルの概略図である。
【発明を実施するための形態】
【００１９】
添付図面を参照して本発明のいくつかの実装態様についてより詳細に説明するが、添付図面には本発明のすべての実装態様が示されているわけではない。実際、本発明の種々の実装態様は、多くの異なる形態で実施可能であり、ここで説明される実装態様に限定されるものと解釈されるべきではなく、本開示が包括的で完全となるように、且つ当業者に本発明の範囲を十分に伝えるために、これらの例示的実装態様が提供される。また、何か別のもの（特に明記されない限り）の上にあるとして図示及び説明されるものが代わりに下にあってもよく、逆もまた同じである。同様に、何か別の物の左にあるとして図示及び説明される物が代わりに右にあってもよく、逆もまた同じである。全体を通して、類似の参照番号は類似の要素を示している。
【００２０】
本発明の例示的実装態様は、概して複合システムのシステム故障の蓄積作用を評価することに関し、特に、高度に自動化された方式で、高度に統合された複合システムにおける単一及び複数システムの故障の蓄積作用を評価することに関する。例示的実装態様について、主に複合システムが航空機である航空宇宙産業での用途との関連で記載する。しかしながら、例示的実装態様は、航空宇宙産業及び航空宇宙産業以外（例えば、自動車、海洋、エレクトロニクス）の両方における種々の他の用途と併せて利用できるということが理解されるべきである。安全性、動作、整備、エンジニアリングサポートなどを含む装備の動作の複数の側面に影響しうることから、正確で一貫性のある故障データにアクセスできることが重要である。
【００２１】
航空機のような複合システムは、通常、一又は複数のコンポーネント、サブシステムなど（各々は通常「サブシステム」と呼ばれる）から構成され、各サブシステムは一又は複数の部品から構成され、各部品は一又は複数のフィーチャを含んでいる。複合システムの部品は、任意の数のサブシステムに組み立てられ、サブシステムは次いで複合システムに組み立てられる。航空機においては、一又は複数の部品或いはサブシステムは、時に「列線で交換可能なユニット（ＬＲＵ）」と呼ばれる航空機のモジュール式コンポーネントとして設計されることがあり、単独の航空機のそのようなコンポーネントには、任意の数のＬＲＵ及び他の部品又はサブシステムが含まれうる。任意の複合システムそのもの、或いはそのサブシステム、（サブシステムの）部品、（部品）のフィーチャなどのうちの任意のものを、概して「システム」と呼ぶことがある。
【００２２】
本明細書に記載するように、システムは、一又は複数の故障により生じる故障状態（時にハザードとも呼ぶ）を呈しうる。システムは、異常、劣化、又は故障によるなど、任意の数の異なる様式のいずれかで故障することがあり、それら様式の各々を故障モードと呼ぶ（本明細書に記載するように、故障という場合、時に具体的には故障モードに等しく当てはまる）。いくつかの実施例では、故障の場合又はシナリオ（概して「シナリオ」）は、複合システムレベルの故障を説明しており、それは複合システムレベルの故障状態につながる一又は複数の起点となるシステムレベルの故障作用から始まる。故障作用は、故障の結果、すなわち、故障モードがシステムの動作、機能、又はステータスに対して有する結果としてのシステムの動作を指す。そしていくつかの実施例では、故障、又は故障作用は、故障状態又はハザードとなりうる。
【００２３】
システムレベルの故障の作用には一又は複数の直接的作用が含まれ、種々の事例には一又は複数の間接的作用が含まれ、それらの各々は間接的故障を引き起こしうる。すなわち、一のシステムの故障、及びその故障作用は別のシステムに影響し、次いでその別のシステムがそれ自体の故障作用を有する。システム故障の影響の集積は、時に「カスケード」故障作用と呼ばれる。各カスケード作用は、「順序」に関連付けられる。例えば、１番目の故障作用は直ちに故障状態に関連付けられ、２番目の故障作用は１番目の作用に関連付けられ、というように連続する。
【００２４】
例えば、航空機は、航空機の電気バス又は航法システムの故障（故障状態）を生じうる。この故障状態は、油圧に対する作用、航法に対する作用、及び／又はアビオニクスに対する作用など、それぞれの故障作用（例えば、１番目の故障作用）を有する他のシステムに影響する可能性があり、それらの一又は複数はさらなるカスケード作用（例えば、２番目、３番目、など）を招きうる。例えば、油圧に対する作用は、操縦系統に対する作用を招き、これは次いで機体の振動作用を招きうる。次いで、さらに一般的に、故障のシナリオは、起点となる故障システムから始まり、おそらくは一又は複数のさらなる（例えば、２番目、３番目の）故障システムも含むシステム故障を説明する。
【００２５】
図１は、本発明の例示的実装態様による故障作用検証システム１００を示している。このシステムは、一又は複数の機能又は動作を実行するための任意の数の異なるサブシステム（各々が独立のシステム）のいずれかを含むことができる。図示のように、例えば、システムは、システムモデラ１０２、作用モデラ１０４、モデル解析システム１０６、及び／又は作用評価システム１０８を含む。故障作用検証システムの一部として示されているが、システムモデラ、故障モデラ、モデル解析システム、及び／又は作用評価システムのうちの一又は複数は、代わりに、故障作用検証システムとは別個で同システムと通信してもよい。サブシステムのうちの一又は複数は、他のサブシステムとは関係なく、一の別個のシステムとして機能又は動作可能であることも理解されるべきである。さらに、故障作用検証システムは、図１に示されるサブシステムに対し、一又は複数の付加的な又は代替的なサブシステムを含んでもよい。
【００２６】
故障作用検証システム１００のシステムモデラ１０２は、概して、複合システムの複合システムレベルのモデルを発展させるように構成される。作用モデラ１０４は、複合システム（又はそのシステム）の故障モードの蓄積作用モデルを発展させるように構成され、これにより複合システムレベルのモデルが拡張可能となる。蓄積作用モデルは、故障モード、ハザード、及び／又は蓄積作用に寄与する他の因子に関するモデルを含む種々のモデルから構成される。いくつかの実施例では、このとき、作用モデラはさらに、これらモデルに基づいて、注目に値する（又は過度の）ハザード、又は他の寄与因子を定義する論理式発展させるように構成される（論理式は検索標的と呼ばれることもある）。モデル解析システム１０６は、拡張された複合システムモデル及び検索標的を用いて自動解析を実行するように構成される。モデル解析システムは、故障モードの少なくともいくつかの蓄積作用を同定する解析を実行するように構成される。そして作用評価システム１０８は、蓄積作用の複合システムレベルの評価を実行するか、又はそうでない場合にそのような評価を可能にするように構成される。
【００２７】
次に図２、３、４、及び５に、本発明の例示的実装態様による、適切なシステムモデラ１０２、作用モデラ１０４、モデル解析システム１０６、及び作用評価システムそれぞれのさらに詳細な実施例を示す。
【００２８】
図２はシステムモデラ２００を示し、このシステムモデラは例示的一実装態様においてシステムモデラ１０２に相当する。システムモデラは、通常、複合システムの複合システムレベルのモデルを発展させるように構成され、複合システムモデルを構成する複合システムの態様をモデル化するように構成された任意の数のモデラを含む。図示のように、例えば、システムモデラは、アーキテクチャモデラ２０２、動作モードモデラ２０４、挙動／相互作用モデラ２０６、及び／又は再構成ロジックモデラ２０８を含む。
【００２９】
アーキテクチャモデラ２０２は、複合システムのアーキテクチャのモデルを発展させるように構成される。これに関して、アーキテクチャモデラは、複合システムのアーキテクチャ、機能、システム、機能的フロー（例えば、エネルギー、事柄、情報）などをモデル化することができる。アーキテクチャモデラは、複合システムのセーフティクリティカルシステム及びフロー（例えば、エネルギー、事柄、情報）をモデル化することができる。さらに、アーキテクチャモデラは、オペレータ（例えば、パイロット）のコマンド、一又は複数の（例えば、主要な）センサ（例えば、大気データ）などをモデル化することができる。
【００３０】
動作モードモデラ２０４は、複合システムの動作モードのモデルを発展させるように構成される。動作モードモデラは、システム境界に見えるものなど、種々のシステムの一又は複数の（例えば、主要な）複合システムレベルの動作モード、及び／又はシステムレベルの動作モードをモデル化することができる。一実施例では、動作モードモデラは、飛行フェーズに依存する挙動といった動作依存性挙動をモデル化する。
【００３１】
挙動／相互作用モデラ２０６は、複合システムのシステムの挙動及び／又は相互作用のモデルを発展させるように構成される（挙動／相互作用モデル）。すなわち、挙動／相互作用モデラは、複合システムの種々のシステムのシステムレベルの挙動及び／又は相互作用をモデル化することができる。いくつかの実施例では、この挙動／相互作用モデルは、システム間の論理的関係を含み、この論理的関係はそれぞれのシステム間の論理的インターフェースにより反映される。一のシステムと一又は複数の他のシステムとの論理的インターフェースは、それぞれのシステムが万一故障した場合に作用（例えば、実際の作用、重複性の低減、「作用なし」など）が予測されるシステムを示すことができる。論理的インターフェースは、インターフェース管理文書（ＩＣＤ）により提供されるものといった適切な情報により提供される。一実施例では、挙動／相互作用モデルは（抽象化の何らかのレベルに）伝達関数を含む。いくつかの実施例では、挙動／相互作用モデルは、特にセーフティクリティカルな故障モードを有するシステムを含む。
【００３２】
再構成ロジックモデラ２０８は、複合システムの再構成ロジックのモデルを発展させるように構成される。この再構成ロジックは、例えば、電気負荷管理（ＥＬＭ）データ、及び／又はシステム境界に見える再構成ロジック（例えば、環境制御、油圧、操縦系統）を含む。一実施例では、ＥＬＭデータは、複合システムの種々の動作状態における一又は複数の電気システムの電力状態（例えば、給電されている、給電されていない、断続的に給電されている）を説明する電気負荷データを含む。航空機の観点から、特定の動作状態（例えば、駐機、起動、一のエンジンを停止など）において、電気システムは種々の電力状態（例えば、電力半値、４分の１の電力、など）にありうる。これら状況においては、給電されているシステムと給電されていないシステムとが混在しうる。したがって、ＥＬＭデータは、いずれのシステムが「負荷制限対象」であるか（例えば、一部の装備から電力を除去することにより、特定のシナリオ下で基本的機能性を維持する）を示すことができる。一実施例では、このとき、一又は複数の「負荷制限対象」リストに電気負荷データが提供される。
【００３３】
図３は、作用モデラ３００を示し、この作用モデラは例示的一実装態様において作用モデラ１０４に相当する。作用モデラは、複合システムの故障モードの蓄積作用モデルを発展させるように構成され、故障モード、ハザード、及び／又は種々の故障モードの蓄積作用に寄与しうる他の因子をモデル化するように構成された任意の数のモデラを含む。作用モデラは、種々の故障モードの検索標的を発展させるようにも構成されうる。図示のように、例えば、作用モデラは、互いに、並びに検索標的エンコーダ３１２に連結される、故障モードモデラ３０２、ハザードモデラ３０４、乗務員作業量モデラ３０６、安全マージンモデラ３０８、及び／又は生理的作用モデラ３１０を含む。
【００３４】
故障モードモデラ３０２は、複合システム（又はそのシステム）の故障モードのモデルを発展させるように構成される。すなわち、故障モードモデラは、複合システム及び又は種々の関連システムが生じうる故障モードをモデル化することができる。適切な故障モードのいくつかの例には、任意の数のシステム、又はそれぞれのシステムの動作、例えば液体の冷却、装備品ベイの冷却、空調、電気バス、ポンプ、変換器−整流器などの故障が含まれる。適切な故障モードの他の例には、制動の喪失又は劣化、逆推進装置の故障／遅延などが含まれる。適切な故障モードモデラの態様に関するさらなる情報について、２０１０年８月３日発行の米国特許第７７７００５２号（発明の名称「Ｃｏｌｌａｂｏｒａｔｉｖｅ  Ｗｅｂ−Ｂａｓｅｄ  Ａｉｒｐｌａｎｅ  Ｌｅｖｅｌ  Ｆａｉｌｕｒｅ  Ｅｆｆｅｃｔｓ  Ａｎａｌｙｓｉｓ  Ｔｏｏｌ」）を参照されたい。この特許文献の内容は、ここで参照することによりその全体を本明細書に包含する。
【００３５】
ハザードモデラ３０４は、複合システムレベル及びシステムレベルのハザードのハザードモデルを発展させるように構成される。ハザードモデラは、複合システム及び／又は種々の関連システムにより提示されうるハザード、ハザードを提示するロジック、及び／又はハザードが招きうる又は寄与しうる故障モードをモデル化する。いくつかの実施例では、このとき、ハザードモデラは、ハザードが招きうる又は寄与しうる伝搬された（カスケード）故障及び作用をモデル化する。伝搬された故障の例には、負荷制限に起因する衛星通信の喪失、バスへの電力の停止によるトランシーバの喪失、液体冷却の停止によるモータコントローラの喪失などが含まれる。
【００３６】
いくつかの実施例では、複合システムレベル又はシステムレベルのハザードは、それぞれのハザードを提示するロジックの観点から表現される。これに関して、ハザードは論理的にコード化され、複合システムレベルのモデルの変数、条件的及び数学的演算子などを含む。例えば、通信の喪失は、短距離通信及び長距離通信機能の喪失により定義される。次に、短距離通信の喪失は、すべての重複する衛星通信システムがオフになっていること、又は使用不能になっているという観点から定義される。これは、航空機に特有の、以下の一組のブール演算式により表現される。
通信の喪失＝短距離通信の喪失＆長距離通信の喪失、
短距離通信の喪失＝（ａｖ．ＳＡＴＣＯＭ−Ｌ．ｓｔａｔｅ＝オフ  ＆  ａｖ．ＳＡＴＣＯＭ−Ｒ．ｓｔａｔｅ＝オフ）、
長距離通信の喪失＝（ａｖ．ＨＦ−Ｌ．ｓｔａｔｅ＝オフ  ＆  ａｖ．ＨＦ−Ｒ．ｓｔａｔｅ＝オフ）
【００３７】
ハザードモデラ３０４は、ハザードに関する影響度（又はハザードレベル）及び／又は確率も含みうる。いくつかの実施例では、影響度は、複合システムの乗客及び／又は動作に対するハザードの作用を示し、確率はハザードが生じる可能性を示す。一実施例では、ハザード、ロジック、レベル、及び確率は、システム安全性評価（ＳＳＡ）、及び／又は機能的ハザード評価（ＦＨＡ）により与えられる。一実施例では、影響度は、例えば影響度が小さい順に「１」から「５」で数字的に表現される。別の実施例では、影響度は、影響度が小さい順に「安全への作用がゼロ」、「微小」、「有意」、「重大」、及び「壊滅的」といった分類により与えられる。
【００３８】
乗務員作業量モデラ３０６、安全マージンモデラ３０８、及び／又は生理的作用モデラ３１０は、（ハザード、或いはハザードが招きうる、又は寄与しうる作用に加えて）種々の故障モードの蓄積作用に寄与しうるそれぞれの因子のモデルを発展させるように構成される。示唆されるように、これら他の因子には、作業量、安全マージン、生理的作用などが含まれる。
【００３９】
乗務員作業量モデラ３０６は、乗務員の作業量のモデルを発展させるように構成される。いくつかの実施例では、乗務員の作業量は、ハザード又は故障モードに応えて生成される警報メッセージの計測数を含むものと定義される。警報メッセージには、例えば、故障作用に応えて生成される警報メッセージ、ステータスメッセージ、整備メッセージなどが含まれる。例えば、警報メッセージは、飛行乗務員に対して表示される、適切な客室の与圧がされていないことを示すすぐに実施可能な乗務員警報メッセージである。一実施例では、警報メッセージには、行動の必要性が低い順に「注意」、「警戒」、及び「警報」といった、優先順位を付けることができる。
【００４０】
ハザード又は故障モードに応じて、乗務員は、乗務員手順、非正規動作手順などといった一又は複数の補償的動作をとるように仕事を課され、これはいくつかの実施例では一又は複数のチェックリストに反映される、文書に割り付けられるなどする。適切な補償的動作の例には、別の電源へ切り替える、航空機を降下させるなどが含まれる。補償的動作を完了させるために利用可能な時間は、動作の異なるフェーズ、例えば航空機に関しては巡航又は着陸などで異なる。いくつかの実施例では、このとき、乗務員作業量は、警報メッセージの計測数に加えて又は代えて、補償的動作又は補償的動作のページの計測数、及び／又は補償的動作を完了させるための時間を含むものと定義される。具体的には、例えば、乗務員作業量は、乗務員手順（のページ）の計測数、非正規動作手順（のページ）の計測数、及び／又は補償的動作を完了させるための時間を含む。いくつかの実施例では、乗務員作業量モデラは、さらに詳細な様式で人と機械の相互作用をモデル化することができる。
【００４１】
安全マージンモデラ３０８は、安全マージンのモデルを発展させるように構成される。安全マージンは、予想される用法と危険条件とのギャップと考えることができ、一又は複数の動作因子に関連している場合がある。航空機の安全マージンには、例えば、航空機間の間隔、航空機と地面との間隔、航空機と天候との間隔、燃料及び飛行因子の組合せについての航空機範囲、離陸／上昇時の障害物により制限される滑走路、短い滑走路上での停止／操縦などが含まれる。
【００４２】
例示的実装態様によれば、安全マージンモデラ３０８は、例えば複合システムのミッション、飛行フェーズ、又は環境のための、一又は複数の動作因子をモデル化することができ、それらのいずれか又はすべては、特定の故障状態と相互作用するか、又は特定の故障状態を限定しうる。ミッションの例には、渡洋飛行（近くに空港がない）などが含まれる。飛行フェーズの例には、タキシング、離陸、上昇、巡航、降下、着陸、サブフェーズなどが含まれる。そして環境の例には、天候、火山灰雲、密な航空交通などが含まれる。
【００４３】
安全マージンモデラ３０８は、安全マージンに影響する一又は複数の条件の測定値もモデル化することができる。いくつかの実施例では、これら測定値は他のモデル変数の観点からモデル化されうる。適切な条件の例には、上昇速度、燃料消費速度、制動力などが含まれる。
【００４４】
生理的作用モデラ３１０は、生理的作用のモデルを発展させるように構成される。いくつかの実施例では、生理的作用は、人の生理的又は身体的な快適性又は不快感に影響する一又は複数の条件の測定値を含むものと定義される。適切な条件の例には、客室の気圧、温度、照度、視界度（例えば、煙）、通気性などが含まれる。
【００４５】
検索標的エンコーダ３１２は、種々のモデラ（例えば、故障モードモデラ３０２、ハザードモデラ３０４、乗務員作業量モデラ３０６、安全マージンモデラ３０８、生理的作用モデラ３１０）の一つ一つから入力を受け取り、それらそれぞれのモデルに基づいて一又は複数の検索標的を生成する。通常、検索標的は、モデル変数、計測数、閾値などからなる命題論理又は時相論理における論理式又はアルゴリズムであり、見たいと思う故障シナリオの蓄積作用を表すものである。いくつかの実施例では、検索標的は、式又はアルゴリズムにおいて、十分に大きな蓄積作用を有する故障シナリオを選択するために使用される評価基準を定式化することにより、主題専門家（ＳＭＥ）によるさらなる評価を保証することができる。これにより、検索標的に合致する単一の故障及び複数の故障シナリオを自動的に発見することが可能になる。このような自動化は作業量を減らすことができ、他のもっと特殊なアプローチと比べてシステマチック及び／又は効率的である。
【００４６】
具体的には、例えば、検索標的は、複合システムの故障モードに関するハザード、乗務員作業量、安全マージン、生理的作用などの表現又は定量化を組み合わせる命題論理又は時相論理の論理式又はアルゴリズムとすることができる。検索標的は、故障シナリオの場合に、注目に値する（又は過度の）ハザード、乗務員作業量、安全マージンの喪失、及び／又は生理的作用をエンコードすることができる。いくつかの実施例では、注目に値するハザードは、複合システムレベル及びシステムレベルのハザードの閾値計測数を上回るものとして定義される。乗務員作業量は、故障シナリオの場合に乗務員作業量を注目に値するものにしうる、故障シナリオについて生成される警報メッセージ、及び／又は補償的動作（乗務員手順、非正規動作手順）（のページ）の閾値計測数（群）、並びに／或いは補償的動作を完了させるための閾値時間を上回るものとして定義されうる。安全マージンの注目に値する喪失は、一又は複数の動作因子と、安全マージンに影響する条件（群）の閾値測定値を上回る又は下回るものとして定義することができる。そして注目に値する生理的作用は、人の生理的／身体的快適性／不快感に影響する条件（群）の閾値測定値を上回る又は下回るものとして定義することができる。種々の実施例では、式は、それぞれの計測数、閾値などの論理積（ＡＮＤゲート）、及び／又は論理和（ＯＲゲート）を含むことができる。
【００４７】
いくつかの実施例では、安全マージンに影響する条件（群）の閾値測定値は、予想される用法（例えば、安全マージンの低減がない）の最小／最大測定値といった予想される用法閾値と、危険条件（例えば、大惨事を引き起こす危険条件）の最小／最大測定値といった危険条件閾値を含みうる。この場合、安全マージンは、予想される用法閾値と危険条件閾値との差と考えることができる。
【００４８】
加えて、いくつかの実施例では、安全マージンは、異なるレベルの影響度（例えば、重大、有意、微小）に対応する安全マージンの部分的喪失を特徴付ける一又は複数の中間閾値を含むことができる。定量測定は、それぞれの定性記述に関連付けられる。例えば、大幅低減閾値は、安全マージンの有意な低減を超えるものを引き起こすが、安全マージンの完全な喪失は引き起こさない（重大な）状態に関連付けられる。重度低減閾値は、最も極端な動作上の悪条件のほかは他の故障が存在しない場合に、安全な飛行及び着陸を行うことができると予測することが妥当な（有意な）状態に関連付けられる。そして軽度低減閾値は、作用がないわけでないが重度の作用には満たない（微小な）状態に関連付けられる（例えば、重度低減については上記のとおり）。
【００４９】
検索標的は、ハザードモデラ３０４によりモデル化された複合システムレベル及びシステムレベルのハザードと、故障シナリオの場合に注目に値するかどうかに関するそれらの閾値計測数及び影響度とを含むことができる。これに加えて又は代えて、検索標的は、乗務員作業量モデラ３０６によりモデル化された、警報メッセージ、補償的動作（乗務員手順、非正規動作手順）（のページ）、及び／又は補償的動作を完了するための時間と、故障シナリオの場合に注目に値するかどうかに関するそれらの閾値計測数とを含むことができる。これに加えて又は代えて、検索標的は、安全マージンモデラ３０８によりモデル化された安全マージンと、故障シナリオの場合に注目に値するかどうかに関するそれらの閾値喪失とを含むことができる。そしてさらにこれに加えて又は代えて、検索標的は、生理的作用モデラ３１０によりモデル化された生理的／身体的快適性／不快感と、故障シナリオの場合のそれらの閾値測定値とを含むことができる。
【００５０】
一実施例では、検索標的は、複数の有意なハザードを生じさせる故障シナリオ、及び飛行の着陸フェーズの間に生じる過剰な乗務員作業量を同定するために使用される。別の実施例では、検索標的は、何らかの飛行中に二つ以上の「重大な」故障状態を生じる故障シナリオを同定するために使用される。また別の実施例では、検索標的は、四つ以上の有意な故障状態及び二つ以下の故障モードを有する故障シナリオと、過剰な乗務員作業量又は二つ以上の生理的作用とを同定するために使用される。この実施例では、検索標的は以下のようにエンコードされる。
検索標的１：＝  有意なハザード計測数＞３  ＆  故障モード計測数＜３  ＆  （過剰な作業量＝真｜生理的作用＞１）  ＆  飛行フェーズ＝着陸
【００５１】
一実施例では、検索標的は、末端に障害物を有する滑走路から離陸する（動作因子）間に、推力の喪失／低下及びギヤの後退可能性により航空機が十分な上昇速度に達することが妨げられる故障シナリオ（安全マージンに影響する条件）を同定するために使用される。別の実施例では、検索標的は、着陸（動作因子）の間に、制動及び方向制御の喪失／低下により航空機が短い滑走路の末端の手前で停止するために十分な総制動エネルギーを生成することが妨げられる故障シナリオ（安全マージンに影響する条件）を同定するために使用される。そしてまた別の実施例では、検索標的は、客室の気圧の喪失、或いは空気表面（ａｅｒｏ−ｓｕｒｆａｃｅ）制御及び燃料制御の双方の喪失／低下により、渡洋ルート上の双発航空機がその最寄りの空港に到達すること（動作要件）が妨げられる故障シナリオを同定するために使用され、この場合、安全マージンに影響する条件には、最寄りの空港からの距離に対する残りの範囲の割合が含まれる。
【００５２】
図６は、適切な検索標的６００のグラフィック表現の一実施例を示している。図示のように、例示的な検索標的には、ハザード６０２（機能の喪失／劣化）、乗務員作業量６０４、安全マージン６０６、及び生理的作用６０８のためのノードが含まれる。この検索標的は、複合システムレベル及びシステムレベルの第１の閾値（Ｔ１）計測数を上回る故障シナリオを同定するために使用される。検索標的における過剰な作業量には、警報メッセージの第２の閾値（Ｔ２）計測数、乗務員手順のページの第３の閾値（Ｔ３）計測数、及び非正規動作手順のページの第４の閾値（Ｔ４）計測数を上回るものの論理和が含まれる。安全マージンの注目に値する喪失には、動作因子（群）と、第５の閾値（Ｔ５）を下回る安全マージンに影響する条件との論理和、動作因子（群）と、第６の閾値（Ｔ６）を上回る安全マージンに影響する条件との論理和、動作因子（群）と、第７の閾値（Ｔ７）及び第８の閾値（Ｔ８）間の安全マージンに影響する条件との論理和が含まれる。そして注目に値する身体的作用には、第９の閾値（Ｔ９）を上回る客室の気圧、第１０の閾値（Ｔ１０）を下回るか又は第１１の閾値（Ｔ１１）を上回る客室の温度、並びに第１２の閾値（Ｔ１２）を上回る煙濃度の論理和が含まれる。
【００５３】
図６に示す論理式は、例示される検索標的の事例の完全な組を構成するものではないことに注意されたい。例えば、乗務員作業量６０４において、聴覚警報はパイロットに対し、パイロットによる応答を要する緊急情報を与え、作業量を増加させる。例えば、安全マージン６０６において、異なる方式でモデル化されて論理和式への他の入力を構成する多数の安全マージンが他に存在しうる。例えば、身体的作業６０８において、別の作用は照明の喪失であり、これは緊急避難又はコックピット内で紙文献を読むことに影響しうる。
【００５４】
したがって、検索標的は、複数のハザード又は故障を、作業量、安全マージン、生理的作用などといった蓄積作用に寄与する他の因子と組み合わせる。ハザード／故障、作業量、安全マージン、生理的作用などの数／影響度といった因子の様々な組み合わせを網羅する複数の検索標的が存在しうる。いくつかの実施例では、複数の故障又は故障シナリオの他の因子は、単一のシステムレベルのハザードの影響度を上回る複合システムレベルの影響度を評価するために組み合わせられる。例えば、三つの「有意な」故障（個別に航空機又はシステムＦＨＡに分類される）を引き起こす二重故障は、ＣＦＲ２５．１３０９のガイドラインに従って評価されるとき、「重大な」又は「壊滅的な」組み合わされた影響度を有する。
【００５５】
図４はモデル解析システム４００を示し、このシステムは、例示的一実装態様においてモデル解析システム１０６に相当する。上記に示唆したように、いくつかの実施例では、複合システムモデルは、蓄積作用モデルを含むように拡張され、それにより拡張複合システムモデルを形成する。モデル解析システムは、解析用の故障シナリオを開始するように構成されたシナリオイニシエータ４０２を含み、これは、拡張複合システムモデル（その故障モードを含む）、検索標的、解析の種類などの選択（例えば、ユーザ選択）を含む。一実施例では、複合システムモデルは、システムモデラ１０２が発展させたものとすることができ、作用モデラ１０４が発展させた蓄積作用モデルを含むように拡張される。同様に、検索標的は、作用モデラが発展させたものとすることができる。そして解析の種類は、拡張複合システムモデル及び検索標的を用いて実行することが可能な、任意の数の異なる種類の解析のいずれかとすることができる。
【００５６】
モデル解析システム４００は、検索標的に基づき、シナリオイニシエータ４０２で選択された解析の種類に応じて、拡張複合システムモデルを解析するように構成されたシナリオエグゼキュタ４０４を含む。いくつかの実施例では、シナリオエグゼキュタは、拡張複合システムモデルの可能な状態のグラフ検索を実行することにより、一又は複数の検索標的を見つけることができ、これを適切な解析アルゴリズムに従って行うことができる。アルゴリズムはトップダウン型又はボトムアップ型とすることができる。いくつかの実施例では、アルゴリズムは、拡張複合システムモデルの状態空間（グラフ）を横断することにより、検索標的が発見可能かどうかを決定することができる。アルゴリズムは、到達可能な状態が検索標的と交差する場合に最小カットセット（ＭＣＳ）を記録し、各ＭＣＳについてトレースを記録することができる。
【００５７】
検索標的が到達可能であるかどうかを決定するためにシナリオエグゼキュタ４０４が使用できる適切なアルゴリズムの例には、状態空間の列挙、象徴的状態空間の列挙、抽象解釈、象徴的シミュレーション、象徴的軌跡評価、象徴的実行などが含まれ、これらそれぞれは種々の実装態様を有しうる。例えば、象徴的状態空間列挙の分類において、解析シナリオエグゼキュタは、二分決定グラフ（ＢＤＤ）、ゼロサプレス型決定グラフ（ＺＤＤ）、有界モデル検査、充足可能性（ＳＡＴ）解析、充足可能性モジュロ理論（ＳＭＴ）解析などを使用することができる。いくつかのさらに具体的な実施例では、シナリオエグゼキュタは、反例（違反）を記録する追加的拡張機能を使用し、ＭＣＳフォルトツリー、並びに故障モード及び作用解析（ＦＭＥＡ）要約又は他のアーチファクト（例えば、モデルに基づく安全性解析（ＭＢＳＡ）に使用されるもの）を生成することができる。
【００５８】
シナリオエグゼキュタ４０４は、解析結果を生成して結果評価器４０６に出力することができる。この評価器は、解析の結果を検討することができ、又はいくつかの実施例では、ユーザ（アナリスト）に結果を提示することにより結果の検討を容易にすることができる。いくつかの実施例では、結果には、フォルトツリー、ＭＣＳフォルトツリー、ＦＭＥＡ表、ＦＭＥＡ要約、タイミング図、又は同等のデータが含まれる。フォルトツリーは、故障状態を招く一連のイベントの表現であり、これらイベントは論理（例えば、ＡＮＤ、ＯＲ）ゲートにより接続されている。ＭＣＳフォルトツリーは、故障状態を引き起こしうるイベントの最小の組合せである。ＦＭＥＡ表は、故障状態及びそれら局所的作用の表現である。ＦＭＥＡ要約は、最初の故障及び結果的な全体的故障状態に関する情報を提示する。フォルトツリー、ＭＣＳフォルトツリー、又はＦＭＥＡ要約は、故障状態を招く一連の動作に関する情報を提供する適切なタイミング図を有する。タイミング図は、モデル内変数の経時的な値を表し、変数間のタイミグ関係を示す。故障状態を招く一連の故障をよりよく理解するために、利害関係者がタイミング図を閲覧できるか、それを引き起こすイベントをシミュレータに入力して一連の動作を辿ることができる。
【００５９】
モデル解析システム４００は、フィルタリング、ソート、グループ化などにより結果を編成するように構成された結果編成器４０８をさらに含むことができる。例えば、結果編成器は、結果をソートすることができるか、又はＭＣＳ確率に基づいて、例えば確率が特定の閾値に満たないときにＭＣＳの生成を（シナリオエグゼキュタ４０４により）打ち切ることができる。結果編成器は、結果の類似性（例えば、重複／鏡像）に基づいて結果をグループすることができるか、一実施例では、重複する構成要素のリストを使用して類似性を同定することができる。別の実施例では、結果編成器は、重複する故障モード又は重複する故障状態により故障シナリオをグループ化することができる。いくつかの実施例では、結果編成器は、自動的に結果を編成することができる。或いは、他の実施例では、結果編成器は、ユーザ（例えば、解析結果評価器４０６により提示される結果を閲覧するユーザ）による入力に応じて結果を編成することができる。
【００６０】
図５は作用評価システム５００を示し、このシステムは、例示的一実装態様では作用評価システム１０８に相当する。図示のように、作用評価システムは、結果レイアウトシステム５０２（時にデータレイアウトシステムと呼ばれる）、ＳＭＥリビューワシステム５０４、ハザード割当てシステム５０６、及び／又は文書化システム５０８を含みうる。結果レイアウトシステムは、拡張複合システムモデルの少なくとも一部と、同モデル上で、モデル解析システム１０６などにより実行された故障解析の結果（集合的に、時に「故障解析データ」と呼ばれる）とを受け取るように構成することができる。いくつかの実施例では、故障解析データは、ファイル記憶装置、データベース記憶装置、クラウド記憶装置などのそれぞれの記憶装置内に維持され、それぞれの記憶装置により任意の数の異なる方式のいずれかでフォーマット化されて記憶される。
【００６１】
結果レイアウトシステム５０２は、故障解析データの複数の異なるレイアウトの一又は複数を生成することができ、故障解析データの少なくとも一部は異なるレイアウトの少なくともいくつかの間で共有される。具体的ないくつかの実施例では、結果レイアウトシステムは、ＭＣＳのトレースの後処理を行って故障解析データを生成し、レイアウトする。レイアウトは、視覚的に提示され、一実施例では、レイアウトの視覚的提示は、ディスプレイにより提示されるグラフィックユーザインターフェース（ＧＵＩ）などに表示可能である。別の実施例では、視覚的提示は、レイアウトのプリントアウトを生成するように構成されたプリンタによるなどしてプリント可能である。レイアウトの視覚的提示は、時に一般的に単にレイアウトと呼ばれる。
【００６２】
結果レイアウトシステム５０２は、故障解析データを選択及び編成するための複数のレイアウトモデルから一のレイアウトモデルを選択するように構成することができる。一実施例では、レイアウトエンジンは、特定のレイアウトモデルを示すか、又は別の方法で反映させる故障解析データに対するリクエストに従って、レイアウトモデルを選択するように構成することができる。レイアウトモデルは、故障解析データを編成するための、任意の数の種々のレイアウトを含むことができる。後述でさらに説明するように、適切なレイアウトモデルの例には、カスケード作用レイアウトモデル、フライトデッキレイアウトモデル、飛行側面図レイアウトモデル、機能的影響レイアウトモデルなどが含まれる。他の例は、一又は複数の上述のレイアウトモデルの組み合わせを含むことができる。レイアウトモデルは、ファイル記憶装置、データベース記憶装置、クラウド記憶装置などのそれぞれの記憶装置内に維持され、それぞれの記憶装置により任意の数の異なる方法でフォーマット化されて記憶される。
【００６３】
結果レイアウトシステム５０２は、選択されたレイアウトモデルに従って編成される故障解析データのレイアウトを生成するように構成することができ、このレイアウトをＧＵＩ、プリンタなどに通信することができる。いくつかの実施例では、結果レイアウトシステムは、選択されたレイアウトモデルを変更することにより故障解析データの異なるレイアウトが実現されるように、選択されたレイアウトモデルに従ってレイアウトを動的に生成する。このとき一実施例では、結果レイアウトシステムは、故障解析データの異なる編成に対するリクエストを受け取り、リクエストに応じて、異なるレイアウトモデルを選択し、故障解析データの異なるレイアウトを生成する。これは、選択された異なるレイアウトモデルに従って故障解析データを再編成するように構成されている解析結果レイアウトシステムを含む。
【００６４】
ＳＭＥリビューワシステム５０４は、解析された故障シナリオの様々な側面、例えばその拡張複合システムモデル及び検索標的、故障解析の結果、及び／又はそれぞれのモデル及び結果の少なくとも一部を含む故障解析データのレイアウトを提示するように構成されている。ＳＭＥリビューワシステムは、解析された故障シナリオの側面を一又は複数のユーザに提示することにより、それらユーザによる故障シナリオ及びその蓄積作用の検討を容易にすることができる。これらユーザには、例えば、複合システムの利害関係者のチーム、例えばシステムエンジニア、正式代表者（ＡＲ）、安全技師、個々のシステム主題専門家（ＳＭＥ）、パイロットなどが含まれる。
【００６５】
ハザード割当てシステム５０６は、解析された故障シナリオの側面の検討に基づいて、解析された故障シナリオにより説明される複合システムレベルの故障に対する複合システムレベルの影響度の割当てを受取るように構成することができ、ハザード割当てシステムはまた、割当ての理論的根拠を捕えることができる。種々の実施例では、割当て及びその理論的根拠は、認められた方針に従って一又は複数のユーザ（例えば、利害関係者のチーム）により作られる。
【００６６】
次いで、文書化システム５０８は、解析された故障シナリオとその割り当てられた影響度及び理論的根拠とを組立てるように構成される。上記に示唆したように、解析された故障シナリオには、例えば、その拡張複合システムモデル及び検索標的、故障解析の結果、及び／又は故障解析データのレイアウトが含まれ、さらにはその割り当てられた影響度及び理論的根拠が含まれる。いくつかの実施例では、文書化システムは、ファイル記憶装置、データベース記憶装置、クラウド記憶装置などの記憶装置のために上記を組立て、それぞれの記憶装置に従って任意の数の異なる方式のいずれかで上記をフォーマット化して記憶することができる。
【００６７】
ここで上述の結果レイアウトシステム５０２に戻ると、この結果レイアウトシステムは、任意の数の異なるレイアウトモデルに従って故障解析データのレイアウトを生成することができる。そして、レイアウトモデルは、故障解析データを編成するための、任意の数の異なる種類のレイアウトを含むことができる。ここで航空機の場合の適切なレイアウトモデルの実施例を概略的に示す図７〜１０を参照する。図示のように、これら実施例は、カスケード作用レイアウト、フライトデッキレイアウト、飛行側面図レイアウト、機能的影響レイアウトなどを含む。
【００６８】
図７は、例示的一実装態様によるカスケード作用レイアウトモデル７００を示す。カスケード作用レイアウトモデルは、通常、一又は複数の直接的作用と、種々の事例においては一又は複数の間接的作用とを含むカスケード故障作用のグラフィック表現を提供する。上述のように、直接的作用は、発生元のシステムレベル故障に直接的に起因する一次的（又は起点となる）作用である。間接的作用は、発生元のシステムレベル故障に間接的に起因する二次的（又は二番目の）作用、三次的（又は三番目の）作用、四次的（又は四番目の）作用といった、複合システムレベルにわたる作用のいずれかである。このレイアウトモデルは、複合システムのシステム全体にわたる作用及び影響の背後にある理由を理解するために特に興味深いものである。このレイアウトモデルは、複合システムの任意の数の異なる利害関係者、例えばシステムエンジニア、ＡＲ、安全技師、個々のシステムＳＭＥ、パイロットなどにとって有用でありうる。
【００６９】
図７に示すように、故障シナリオ（又は故障の場合の）カスケード作用レイアウトモデル７００において、複合システムの各システムは、ノード７０２として表され、それぞれの故障データ７０４（例えば、一又は複数の警報メッセージ、システムレベルのハザードレベル、及び／又は追加的な作用の説明）を含んでいる（図７には一のノードだけが対応の故障データと共に示されている）。カスケード作用レイアウトモデルは、ノード７０２間のリンク７０６（一のリンクだけが示されている）も示しており、このリンクは、複合システムの一のシステムの故障が、どのようにして複合システムの一又は複数の他のシステムの故障を直接的又は間接的に招きうるのかを示している。一実施例では、これらリンクは、システム故障のカスケード作用を示すように提示される。これに関して、カスケード作用レイアウトモデルは、故障の一又は複数の直接的作用を受けうる、発生元の故障システムを同定することができる。発生元の故障システムは、次いで、それぞれ一又は複数の間接的な高次の作用を受けうる一又は複数の高次の故障システムに直接的又は間接的にリンクされる。例えば、発生元の故障システムは、それぞれ一又は複数の二次的作用を受けうる一又は複数の二次的な故障システムに直接的にリンクされる。それぞれの二次的故障システム（群）は、次いで、それぞれ一又は複数の三次的作用を受けうる複合システムの一又は複数の三次的故障システムにリンクされる。複合システムの場合、これは発生元の故障システムから除去されるｎ次のシステムについて起こる。
【００７０】
一実施例では、カスケード作用レイアウトモデル７００のノード７０２は、それら作用の次数により編成される。発生元の故障システムは、それが直接的作用７０８を受けることにより編成される。この発生元故障システムは、次いで、二次的作用７１０を受けることにより編成された一又は複数の二次的故障システムにリンクされ、二次的故障システムは、三次的作用７１２を受けることにより編成された一又は複数の三次的故障システムにリンクされる。このようなリンクは次いで、ｎ次の作用７１４を受けることにより一又は複数の高次の故障システムへと続いていく。図７のカスケード作用レイアウトモデルは、発生元の故障の結果である少なくとも二次の作用を示すように見えるが、発生元の作用から二次より少ない作用が結果として生じることもありうる（発生元の故障が直接的作用のみを有する場合が含まれる）。
【００７１】
図８は、例示的一実装態様によるフライトデッキレイアウトモデル８００を示す。フライトデッキレイアウトモデルは、概して一又は複数のフライトデッキシステムが受けうるカスケード故障作用のグラフィック表現を提供する。フライトデッキレイアウトモデルは、特定の故障が航空機又は他の同様の複合システムの乗務員にどのように見えるかを理解するうえで特に有益である。この情報は、利害関係者、例えばシステムエンジニア、ＡＲ、安全技師、システムＳＭＥ、パイロットなどにとって有用でありうる。
【００７２】
図８に示すように、フライトデッキレイアウトモデル８００は、その様々なシステムの一つ一つがそれぞれ概略図８０４により示される（図８にはすべてではなく一部が示されている）フライトデッキ８０２の概略図を含む。一実施例では、フライトデッキ及びそのシステムは、フライトデッキの乗務員に見えるシステム（又は一実施例として具体的にはそれらのコントロール）の位置を反映するような方式で概略的に示される。一実施例では、このような概略図は、フライトデッキの設計データから生成される。
【００７３】
故障シナリオについて、フライトデッキレイアウトモデル８００は、発生元及び／又は高次故障システムを含む一又は複数の故障システムを同定し、またこれをそれらそれぞれの概略図８０４上で直接行うことができる。一実施例では、フライトデッキレイアウトモデルは、一又は複数の故障システムの概略図を、テキストを用いて、図式的に、又は他の方法で強調することができる。さらなる実施例では、フライトデッキレイアウトモデルは、一又は複数の故障システムを、故障システムの機能的状態（又は故障モード）のような追加的故障データを反映するような方式で強調することができる。例えば、図８に示すように、フライトデッキレイアウトモデルは、「劣化」状態を有する故障システムの図を囲み８０６、「故障」状態を有する故障システムの図に×印を付ける８０８ことができる。
【００７４】
上記に加えて、フライトデッキレイアウトモデル８００は、フライトデッキ内に故障システムの追加的故障データを含みうる。一実施例では、この追加的故障データには、少なくとも故障システムのいくつかについての、故障に応じて生成されるか又は取られる一又は複数の警報メッセージ８１０及び／又は補償的動作が含まれる。これに加えて、又は代えて、例えば、追加的故障データには、故障システムの少なくともいくつかについてのシステムレベルのハザードレベル及び／又は追加作用の説明が含まれる。
【００７５】
図９は、例示的一実装態様による飛行側面図レイアウトモデル９００を示す。飛行側面図レイアウトモデルは、概して概念的飛行断面図上にカスケード故障作用のグラフィック表現を提供する。このレイアウトモデルは、他の「平面」レイアウトとは異なり、故障シナリオの時間フェーズ／飛行フェーズビューを提供する。すべてのシステム故障が同時に起こるわけではない。カスケード故障には時間遅延が生じうる。例えば、冷却機能の喪失により、特定の温度を上回ったところで劣化又は故障であるシステム故障が生じるが、一度冷却されたシステムがそのような温度を上回るまでには時間がかかる。この情報は、利害関係者、例えばシステムエンジニア、ＡＲ、安全技師、システムＳＭＥ、パイロットなどにとって有用でありうる。
【００７６】
図９に示すように、飛行断面図レイアウトモデル９００は、航空機の飛行についての飛行断面図９０２のグラフィック表現を含み、これは、一実施例では、時間の経過に伴う航空機高度の線グラフと同様に見える。この場合、飛行断面図レイアウトモデルは、飛行中に発生する一又は複数の故障シナリオの時系列を含むことができ、またそれを飛行断面図上に含むことができる。一実施例では、飛行断面図レイアウトモデルは、一又は複数の発生元又は高次の故障９０４、並びに／或いは一又は複数の追加的作用の説明９０６、警報メッセージ９０８、並びに／或いは補償的動作９１０の同定といった故障データを含むことができる（図９にはすべてではなく一部が示されている）。
【００７７】
飛行断面図レイアウトモデル９００の故障データの少なくともいくつかは、時間に関連付けることができる（同定された飛行フェーズにより）。したがって、飛行断面図レイアウトモデルは、飛行断面図上に故障データと時間とのリンク９１２を含む（一実施例では矢印として示されている）（リンクのすべてではなく一部のみが示されている）。例えば、発生元又は高次の故障９０４は、故障が発生した時間に関連付けられ、故障の追加作用９０６は、それら作用が生じた時間に関連付けられる。別の実施例では、警報メッセージ９０８は、システムがそれぞれのメッセージを生成した時間に関連付けられ、補償的動作９１０は、乗務員がそれぞれの動作をとった時間に関連付けられる。一実施例では、飛行側面図レイアウトモデルは、故障と、故障に応じて生成された又はとられた故障データとの間の時間遅延９１４をさらに示すことができる。
【００７８】
図１０は、例示的一実装態様による機能的影響のレイアウトモデル１０００を示す。機能的影響のレイアウトモデルは、概して、個々のシステムレベルの作用、及び複合システムレベルの機能に対するそれらの影響をまとめた表を提供する。このレイアウトモデルは、各複合システムレベルの機能に対する劣化の全体的影響を評価する方法を技師に提供しているという点で他のレイアウトモデルとは異なっている。この情報は、利害関係者、例えばシステムエンジニア、ＡＲ、安全技師、システムＳＭＥ、パイロットなどにとって有用でありうる。
【００７９】
図１０に示すように、機能的影響レイアウトモデル１０００は、一又は複数の故障シナリオそれぞれに関する一又は複数の行（又はレコード）１００２と、それぞれの故障シナリオ（群）に関する情報を特定する一又は複数の列（又はフィールド）１００４とを有する表を含む。一行に示される各故障シナリオについて、列は、故障、及び／又は一又は複数の作用、或いはそれにより現れる高次の故障を同定することができ、またそれぞれの故障及び／又は高次の故障により影響を受けた複合システムレベルの機能を同定するか、或いは他の方法で要約することができる。一実施例では、各故障シナリオについて、列の一つは、すべてのサブシステムレベルの機能の劣化の作用と、システムレベルの全体的安全性に対するそれらの作用とをまとめた要約をさらに提供することができる。
【００８０】
本発明の例示的実装態様によれば、故障作用検証システム１００と、システムモデラ１０２、作用モデラ１０４、モデル解析システム１０６、及び作用評価システム１０８を含むそのサブシステムとは、種々の手段により実施可能である。同様に、システムモデラ２００、作用モデラ３００、モデル解析システム４００、及び作用評価システム５００は、それらそれぞれの各要素を含め、例示的実装態様による種々の手段により実施可能である。システム、サブシステム、及びそれらのそれぞれの要素を実施するための手段は、単独のハードウェア、或いは、コンピュータで読込可能な記憶媒体からの一又は複数のコンピュータプログラムコード命令、プログラム命令、又は実行可能なコンピュータで読込可能なプログラムコード命令（一般的に「コンピュータプログラム」、例えば、ソフトウェア、ファームウェアなど）と呼ばれることがある）の指示下にあるハードウェアを備えることができる。
【００８１】
いくつかの実施例では、システム、サブシステム、又はそれらそれぞれの要素は、市販のコンピュータプログラムの利益を享受してもよい。例えば、故障作用検証システム１００は、モデル化の対象である複合システム（及びその種々のシステム）の種々の要件を受け取るために、ＩＢＭ  Ｒａｔｉｏｎａｌ  ＤＯＯＲＳ（Ｄｙｎａｍｉｃ  Ｏｂｊｅｃｔ  Ｏｒｉｅｎｔｅｄ  Ｒｅｑｕｉｒｅｍｅｎｔｓ  Ｓｙｓｔｅｍ）の利益を享受することができる。システムモデラ１０２、作用モデラ１０４、及び／又はそれらの種々の要素は、Ｓｉｍｕｌｉｎｋ（登録商標）、Ｓｔａｔｅｆｌｏｗ（登録商標）などの種々のモデル化ツールの利益を享受することができる。それぞれのモデラ及び／又はそれらの種々の要素は、ＳｙｓＭＬ（Ｓｙｓｔｅｍｓ  Ｍｏｄｅｌｉｎｇ  Ｌａｎｇｕａｇｅ）、ＡＡＤＬ（Ａｒｃｈｉｔｅｃｔｕｒｅ  Ａｎａｌｙｓｉｓ  ＆  Ｄｅｓｉｇｎ  Ｌａｎｇｕａｇｅ）などの適切な言語に従って種々のモデルを発展させるか、又は発展を容易にすることができる。そしてモデル解析システム１０６は、ＮｕＳＭＶ３  Ｃｅｃｉｌｉａ  ＯＣＡＳなど種々の解析ツールの利益を享受することができる
【００８２】
一実施例では、本明細書において図示及び記載されるシステム、サブシステム、及びそれぞれの要素として機能するか、又は他の方法でそれらを実施するように構成された一又は複数の装置が提供される。複数の装置を含む実施例では、それぞれの装置は、互いに接続されるか、或いは、有線又は無線ネットワークなどを介して直接的に又は間接的になど、任意の数の異なる方法で互いに通信することができる。
【００８３】
概して、本発明の例示的実装態様の装置は、一又は複数の固定又は持ち運び可能な電子装置を備える、含む、又はそのような電子装置内において実施されうる。適する電子機器の例は、スマートフォン、タブレット型コンピュータ、ノート型コンピュータ、デスクトップコンピュータ、ワークステーションコンピュータ、サーバコンピュータなどを含む。装置は、メモリ（例えば、記憶装置）に接続されたプロセッサ（例えば、プロセッサユニット）などの任意の数のコンポーネントそれぞれの一又は複数を含んでもよい。
【００８４】
プロセッサは、通常、例えば、データ、コンピュータプログラム、及び／又は他の適切な電子情報などの情報を処理できる任意のコンピュータハードウエア部分である。プロセッサは、一部が一の集積回路又は相互接続された複数の集積回路としてパッケージされた一組の電子回路（もっと一般的には「チップ」と呼ばれる集積回路）から構成される。プロセッサは、プロセッサに搭載された状態で記憶された、又はそうでない場合はメモリ（同じ又は別の装置の）に記憶された、コンピュータプログラムを実行するように構成することができる。
【００８５】
プロセッサは、特定の実装態様に応じて、任意の数のプロセッサ、マルチプロセッサコア、又は他の何らかの種類のプロセッサとしてもよい。さらに、プロセッサは、単一のチップ上に主要プロセッサと共に一又は複数の二次プロセッサが存在する任意の数の異種プロセッサシステムを使用して実施されてもよい。別の実施例としてプロセッサは同種のプロセッサを複数個含む対称型マルチプロセッサシステムであってもよい。さらに別の実施例では、プロセッサは、一又は複数の特定用途向け集積回路（ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）などとして実施されるか、又はそうでない場合はそれらを含むことができる。ゆえに、プロセッサは一又は複数の機能を実行するためのコンピュータプログラムを実行できるが、種々の実施例のプロセッサは、コンピュータプログラムの支援がなくとも一又は複数の機能を実行することができる。
【００８６】
メモリは、概して、一時的及び／又は恒久的に、データ、コンピュータプログラム及び／又は他の適切な情報などの情報を記憶できる任意のコンピュータハードウエア部分である。メモリは、揮発性及び／又は不揮発性メモリを含み、固定でも取り外し可能でもよい。適切なメモリの例は、ランダムアクセスメモリ（ＲＡＭ）、読出し専用メモリ（ＲＯＭ）、ハードドライブ、フラッシュメモリ、サムドライブ、取り外し可能なコンピュータディスケット、光ディスク、磁気テープ又はそれらの何らかの組み合わせを含む。光ディスクには、コンパクトディスク−リードオンリーメモリ（ＣＤ−ＲＯＭ）、コンパクトディスク−リード／ライト（ＣＤ−Ｒ／Ｗ）、及びＤＶＤなどが含まれる。種々の例では、メモリはコンピュータで読込可能な記憶媒体と呼ばれ、情報を記憶できる永続的装置として、一の場所から別の場所へ情報を運搬できる電子的な一時的信号などのコンピュータで読込可能な伝送媒体とは区別される。本明細書に記載されるコンピュータで読込可能な媒体は、一般に、コンピュータで読込可能な記憶媒体又はコンピュータで読込可能な伝送媒体を指している。
【００８７】
メモリに加えて、プロセッサは、情報を表示、伝送、及び／又は受信するための一又は複数のインターフェースに接続することもできる。インターフェースは、通信インターフェース（例えば、通信ユニット）、及び／又は一又は複数のユーザインターフェースを含む。通信インターフェースは、他の装置やネットワークなどへ及び／又は他の装置やネットワークなどから、情報を伝送及び／又は受信するように構成することができる。通信インターフェースは、物理的（有線）及び／又は無線通信リンクにより情報を伝送及び／又は受信するように構成することができる。適切な通信インターフェースの例は、ネットワークインターフェースコントローラ（ＮＩＣ）、無線ＮＩＣ（ＷＮＩＣ）などを含む。
【００８８】
ユーザインターフェースは、ディスプレイ及び／又は一又は複数のユーザ入力インターフェース（例えば、入出力ユニット）を含むことができる。ディスプレイは、適切例として液晶ディスプレイ（ＬＣＤ）、発光ダイオードディスプレイ（ＬＥＤ）、プラズマディスプレイパネル（ＰＤＰ）などを含む、ユーザに情報を提示又は他の方法で表示するように構成することができる。ユーザ入力インターフェースは、有線又は無線とすることができ、処理、記憶及び／又は表示用などの装置内にユーザから情報を受信するように構成することができる。ユーザ入力インターフェースの適切な例は、マイク、画像又はビデオキャプチャー装置、キーボード又はキーパッド、ジョイスティック、タッチセンシティブサーフェス（タッチスクリーンとは別個の、又はタッチスクリーンに統合されたもの）、生物測定センサなどを含む。ユーザインターフェースは、プリンタやスキャナなどの周辺機器と通信する一又は複数のインターフェースをさらに含むことができる。
【００８９】
上述のように、プログラムコード命令は、本明細書に記載されるシステム、サブシステム及びそれらそれぞれの要素の機能を実施するために、メモリに記憶されてプロセッサにより実行される。理解されるように、任意の適切なプログラムコード命令は、コンピュータで読込可能な記憶媒体からコンピュータ又はその他のプログラマブルな装置にローディングされ、ここに特定される機能を実施する手段となるように特定のマシンが制作される。また、これらのプログラムコード命令は、コンピュータで読み取り可能な記憶媒体に記憶することができ、この記憶媒体は、コンピュータ、プロセッサ、又はその他のプログラマブルな装置を特定の方式で機能させることにより特定のマシン又は特定の製造品を生成することができる。コンピュータで読込可能な記憶媒体に記憶された命令は、製造品を生産することができ、この製造品は本明細書に記載される機能を実施するための手段となる。プログラムコード命令をコンピュータで読込可能な記憶媒体から読み出してコンピュータ、プロセッサ、又はその他のプログラマブルな装置に読み込むことにより、コンピュータ、プロセッサ、又はその他のプログラマブルな装置上で又はそれらにより実行される工程を実行するコンピュータ、プロセッサ、又はその他のプログラム可能装置を構成することができる。
【００９０】
一の命令が一度に読み出され、ローディングされ且つ実行されるように、プログラムコード命令の読み出し、ローディング及び実行を連続して行うことができる。いくつかの例示的実装態様では、複数の命令をまとめて読み出し、ローディングし及び／又は実行するために、読み出し、ローディング、及び／又は実行を並行して行なうことができる。コンピュータ、プロセッサ、又はその他のプログラマブルな装置により実行される命令が本明細書に記載される機能を実施するための工程を提供するように、プログラムコード命令の実行により、コンピュータで実施されるプロセスが生成される。
【００９１】
プロセッサによる命令の実行、又はコンピュータで読込可能な記憶媒体での命令の記憶により、特定の機能を実行するための工程の組み合わせがサポートされる。一又は複数の機能、及び機能の組み合わせは、特殊目的ハードウェアに基づくコンピュータシステム及び／又は特定の機能を実行するプロセッサ、或いは特殊目的のハードウェアとプログラムコード命令との組み合わせによって実施することができることも理解されたい。
【００９２】
これらの開示内容に関連して、上述の説明及び添付図面に提示された教示の恩恵を有する本発明の多数の修正例及び他の実装態様が、当業者には想起されるであろう。したがって、本発明は開示した特定の実装態様に限定されるものでなく、変形及び他の実装態様は特許請求の範囲に含まれることを意図しているものと理解されたい。さらに、上述の説明及び添付図面は、要素及び／又は機能の特定の例示的組み合わせの観点から例示的実装態様を説明しているが、特許請求の範囲から逸脱せずに、別の実装態様によって要素及び／又は機能の異なる組み合わせを提供することができる。これに関して、例えば、要素及び／又は機能の、上述に明記したものとは異なる組み合わせも、特許請求の範囲の一部に提示されるものとして考慮される。本明細書では特定の用語を使用しているが、それらは、一般的及び説明的な意味でのみ使用されているのであって、限定を目的として使用されているのではない。
【００９３】
本明細書は、以下の条項による実施形態も記載する。
【００９４】
条項１  故障作用検証システム（１００）であって、
複合システムの故障モード（３０２）の蓄積作用モデル（６００）を発展させるように構成されて、このモデルにより、複合システムのモデルを拡張して拡張モデルを形成することができる、作用モデラ（１０４）であって、
さらに、各々が、注目に値するハザード（３０４）と、乗務員作業量（３０６）、安全マージン（６０６）、又は生理的作用（６０８）のうちの一又は複数との論理式を含む、一又は複数の検索標的を発展させるように構成される作用モデラ（１０４）、並びに
作用モデラ（１０４）に連結されており、一又は複数の検索標的を見つけるための拡張モデルの可能な状態のグラフ検索を含む自動解析を実行するように構成されたモデル解析システム（１０６）であって、自動解析は、故障モード（３０２）の少なくともいくつかの蓄積作用（６００）を同定するために実行されて、自動解析の結果は、蓄積作用（６００）の評価を可能にするレイアウトに表示可能である、モデル解析システム（１０６）
を備える故障作用検証システム（１００）。
【００９５】
条項２  複合システムが複数のシステムを含み、作用モデラ（１０４）が、
複合システムレベル及びシステムレベルのハザード（３０４）のハザード（３０４）モデルを発展させるように構成されたハザードモデラ、並びに
一又は複数の検索標的を発展させるように構成された検索標的エンコーダ（３１２）であって、この検索標的において注目に値するハザード（３０４）は、複合システムレベル及びシステムレベルのハザード（３０４）の閾値計測数を上回るものとして定義される、検索標的エンコーダ（３１２）
を含む、条項１に記載の故障作用検証システム（１００）。
【００９６】
条項３  一又は複数の検索標的の各々が、注目に値するハザード（３０４）、乗務員作業量（３０６）、及び生理的作用（６０８）の論理式を含み、作用モデラ（１０４）がさらに、
乗務員作業量（３０６）のモデルを発展させるように構成された乗務員作業量（３０６）モデラであって、このモデルにおいて乗務員の作業量は、警報メッセージの計測数、補償的動作又は補償的動作のページの計測数、或いは補償的動作を完了させるまでの時間のうちの一又は複数を含むものと定義される、乗務員作業量モデラ（３０６）、並びに
生理的作用（６０８）のモデルを発展させるように構成された生理的作用モデラ（１０４）であって、このモデルにおいて生理的作用（６０８）は、生理的又は身体的な快適性又は不快感に影響する一又は複数の条件の測定値を含むものと定義される、生理的作用モデラ
を含み、
検索標的エンコーダ（３１２）が、一又は複数の検索標的を発展させるように構成されるうえで、さらに、注目に値する乗務員作業量（３０６）が、警報メッセージの閾値計測数、補償的動作又は補償的動作のページの閾値計測数、或いは補償的動作を完了させるまでの閾値時間を上回るものとして定義されており、且つ注目に値する生理的作用（６０８）が、一又は複数の条件の閾値測定値を上回る又は下回るものとして定義されている、
条項２に記載の故障作用検証システム（１００）。
【００９７】
条項４  一又は複数の検索標的の各々が、注目に値するハザード（３０４）及び乗務員作業量（３０６）の論理式を含み、作用モデラ（１０４）が、
乗務員作業量（３０６）のモデルを発展させるように構成された乗務員作業量モデラであって、このモデルにおいて乗務員作業量（３０６）は、警報メッセージの計測数、補償的動作又は補償的動作のページの計測数、或いは補償的動作を完了させるまでの時間のうちの一又は複数を含むものと定義される、乗務員作業量モデラ（３０６）、並びに
一又は複数の検索標的を発展させるように構成される検索標的エンコーダ（３１２）であって、この検索標的において注目に値する乗務員作業量（３０６）は、警報メッセージの閾値計測数、補償的動作又は補償的動作のページの閾値計測数、或いは補償的動作を完了させるまでの閾値時間を上回るものと定義される、検索標的エンコーダ（３１２）
を含む、条項１に記載の故障作用検証システム（１００）。
【００９８】
条項５  補償的動作は、乗務員手順及び非正規動作手順を含み、
乗務員作業量モデラは乗務員作業量（３０６）のモデルを発展させるように構成され、このモデルにおいて乗務員の作業量（３０６）は、警報メッセージ、乗務員手順又は乗務員手順のページ、並びに非正規動作手順又は非正規動作手順のページのそれぞれの計測数を含むものと定義され、
検索標的エンコーダ（３１２）は一又は複数の検索標的を発展させるように構成され、この検索標的において注目に値する乗務員作業量（３０６）は、警報メッセージ、乗務員手順又は乗務員手順のページ、並びに非正規動作手順又は非正規動作手順のページのそれぞれの閾値計測数を上回るものの論理和として定義される、
条項４に記載の故障作用検証システム（１００）。
【００９９】
条項６  一又は複数の検索標的の各々が、注目に値するハザード（３０４）及び安全マージンの論理式を含み、作用モデラ（１０４）が、
安全マージン（３０８）のモデルを発展させるように構成された安全マージンモデラであって、このモデルにおいて安全マージン（６０６）は、一又は複数の動作因子と、安全マージンに影響する一又は複数の条件の測定値とを含むものと定義される、安全マージンモデラ、並びに
一又は複数の検索標的を発展させるように構成された検索標的エンコーダ（３１２）であって、この検索標的において安全マージン（６０６）の注目に値する喪失は、一又は複数の条件の閾値測定値を上回る又は下回るものと定義される、検索標的エンコード（３１２）
を含む、条項１に記載の故障作用検証システム（１００）。
【０１００】
条項７  一又は複数の検索標的の各々が、注目に値するハザード（３０４）及び生理的作用（６０８）の論理式を含み、作用モデラ（１０４）が、
生理的作用（６０８）のモデルを発展させるように構成された生理的作用モデラ（１０４）であって、このモデルにおいて生理的作用（６０８）は、生理的又は身体的な快適性又は不快感に影響する一又は複数の条件の測定値を含むものと定義される、生理的作用モデラ（１０４）、並びに
一又は複数の検索標的を発展させるように構成された検索標的エンコーダ（３１２）であって、この検索標的において注目に値する生理的作用（６０８）は、一又は複数の条件の閾値測定値を上回る又は下回るものと定義される、検索標的エンコーダ（３１２）
を含む、条項１に記載の故障作用検証システム（１００）。
【０１０１】
条項８  一又は複数の条件が、客室の気圧、温度、照明レベル、客室の視界度、又は通気性のうちの二つ以上を含み、
生理的作用モデラ（１０４）は生理的作用（６０８）のモデルを発展させるように構成され、このモデルにおいて生理的作用（６０８）は、複数の条件のそれぞれの測定値を含むものと定義され、
検索標的エンコーダ（３１２）は一又は複数の検索標的を発展させるように構成され、この検索標的において注目に値する生理的作用（６０８）は、複数の条件のそれぞれの閾値測定値を上回る又は下回るものの論理和として定義される、
条項７に記載の故障作用検証システム（１００）。
【０１０２】
条項９
複合システムの故障モード（３０２）の蓄積作用モデル（６００）を発展させることであって、このモデルにより、複合システムのモデルを拡張して拡張モデルを形成することができる、発展させること、
各々が、注目に値するハザード（３０４）と、乗務員作業量（３０６）、安全マージン（６０６）、又は生理的作用（６０８）のうちの一又は複数との論理式を含む一又は複数の検索標的を発展させること、並びに
一又は複数の検索標的を見つけるための拡張モデルの可能な状態のグラフ検索を含む自動解析を実行することであって、自動解析が、故障モード（３０２）の少なくともいくつかの蓄積作用（６００）を同定するために実行されて、自動解析の結果は、蓄積作用（６００）の評価を可能にするレイアウトに表示可能である、実行すること
を含む方法。
【０１０３】
条項１０  複合システムが複数のシステムを含み、蓄積作用モデル（６００）を発展させることが、複合システムレベル及びシステムレベルのハザード（３０４）のハザード（３０４）モデルを発展させることを含み、
一又は複数の検索標的を発展させることが、注目に値するハザード（３０４）が複合システムレベル及びシステムレベルのハザード（３０４）の閾値計測数を上回るものとして定義される一又は複数の検索標的を発展させること含む、
条項９に記載の方法。
【０１０４】
条項１１  一又は複数の検索標的の各々が、注目に値するハザード（３０４）、乗務員作業量（３０６）、及び生理的作用（６０８）の論理式を含み、蓄積作用モデル（６００）を発展させることがさらに、
乗務員作業量（３０６）モデルを発展させることであって、このモデルにおいて乗務員作業量（３０６）は、警報メッセージの計測数、補償的動作又は補償的動作のページの計測数、或いは補償的動作を完了させるまでの時間のうちの一又は複数を含むものと定義される、発展させること、並びに
生理的作用（６０８）のモデルを発展させることであって、このモデルにおいて生理的作用（６０８）は、生理的又は身体的な快適性又は不快感に影響する一又は複数の条件の測定値を含むものと定義される、発展させること
を含み、
一又は複数の検索標的を発展させることは、さらに、乗務員作業量（３０６）が、警報メッセージの閾値計測数、補償的動作又は補償的動作のページの閾値計測数、或いは補償的動作を完了させるまでの閾値時間を上回るものとして定義されており、且つ注目に値する生理的作用（６０８）が、一又は複数の条件の閾値計測数を上回る又は下回るものとして定義されている、一又は複数の検索標的を発展させることを含む、
条項１０に記載の方法。
【０１０５】
条項１２  一又は複数の検索標的の各々が注目に値するハザード（３０４）及び乗務員作業量（３０６）の論理式を含み、蓄積作用モデル（６００）を発展させることは、乗務員作業量（３０６）のモデルを発展させることであって、このモデルにおいて乗務員作業量（３０６）は、警報メッセージの計測数、補償的動作又は補償的動作のページの計測数、或いは補償的動作を完了させるまでの時間のうちの一又は複数を含むものと定義される、発展させることを含み、
一又は複数の検索標的を発展させることは、注目に値する乗務員作業量（３０６）が、警報メッセージの閾値計測数、補償的動作又は補償的動作のページの閾値計測数、或いは補償的動作を完了させるまでの閾値時間を上回るものと定義される、一又は複数の検索標的を発展させることを含む、
条項９に記載の方法。
【０１０６】
条項１３  補償的動作は乗務員手順及び非正規動作手順を含み、
乗務員作業量（３０６）のモデルを発展させることは、乗務員の作業量（３０６）が、警報メッセージ、乗務員手順又は乗務員手順のページ、並びに非正規動作手順又は非正規動作手順のページのそれぞれの計測数を含むものと定義される、乗務員作業量（３０６）のモデルを発展させることを含み、
一又は複数の検索標的を発展させることは、注目に値する乗務員作業量（３０６）が、警報メッセージ、乗務員手順又は乗務員手順のページ、並びに非正規動作手順又は非正規動作手順のページのそれぞれの閾値計測数を上回るものの論理和として定義される、一又は複数の検索標的を発展させることを含む、
条項１２に記載の方法。
【０１０７】
条項１４  一又は複数の標的の各々が、注目に値するハザード（３０４）及び安全マージンの論理式を含み、蓄積作用モデル（６００）を発展させることは、安全マージンのモデル（３０８）を発展させることであって、このモデルにおいて安全マージン（６０６）は、一又は複数の動作因子と、安全マージンに影響する一又は複数の条件の測定値とを含むものと定義される、発展させることを含み、
一又は複数の検索標的を発展させることは、安全マージン（６０６）の注目に値する喪失が、一又は複数の条件の閾値測定値を上回る又は下回るものと定義される、一又は複数の検索標的を発展させることを含む、
条項９に記載の方法。
【０１０８】
条項１５  一又は複数の検索標的の各々が、注目に値するハザード（３０４）及び生理的作用（６０８）の論理式を含み、蓄積作用モデル（６００）を発展させることは、生理的作用（６０８）のモデルを発展させることであって、このモデルにおいて生理的作用（６０８）は、生理的又は身体的な快適性又は不快感に影響する一又は複数の条件の測定値を含むものと定義される、発展させることを含み、
一又は複数の検索標的を発展させることは、注目に値する生理的作用（６０８）が、一又は複数の条件の閾値測定値を上回る又は下回るものと定義されている、一又は複数の検索標的を発展させることを含む、
条項９に記載の方法。
【０１０９】
条項１６  一又は複数の条件が、客室の気圧、温度、照明レベル、客室の視界度、又は通気性のうちの二つ以上を含み、
生理的作用（６０８）のモデルを発展させることは、生理的作用（６０８）が、複数の条件のそれぞれの測定値を含むものと定義される生理的作用（６０８）のモデルを発展させることを含み、且つ
一又は複数の検索標的を発展させることは、注目に値する生理的作用（６０８）が、複数の条件のそれぞれの閾値測定値を上回る又は下回るものの論理和として定義される、一又は複数の検索標的を発展させることを含む、
条項１５に記載の方法。
【０１１０】
条項１７  コンピュータで読込可能なプログラムコードを内部に格納するコンピュータで読込可能な記憶媒体であって、前記プログラムコードは、プロセッサによって実行されると、装置に、少なくとも：
複合システムの故障モード（３０２）の蓄積作用モデル（６００）を発展させることであって、このモデルにより、複合システムのモデルを拡張して拡張モデルを形成することができる、発展させること、
各々が、注目に値するハザード（３０４）と、乗務員作業量（３０６）、安全マージン（６０６）、又は生理的作用（６０８）のうちの一又は複数との論理式を含む一又は複数の検索標的を発展させること、並びに
一又は複数の検索標的を見つけるための拡張モデルの可能な状態のグラフ検索を含む自動解析を実行することであって、自動解析が、故障モード（３０２）の少なくともいくつかの蓄積作用（６００）を同定するために実行されて、自動解析の結果は、蓄積作用（６００）の評価を可能にするレイアウトに表示可能である、実行すること
を行わせる、コンピュータで読込可能な記憶媒体。
【０１１１】
条項１８  複合システムが複数のシステムを含み、装置に蓄積作用モデル（６００）を発展させることは、複合システムレベル及びシステムレベルのハザード（３０４）のハザードモデルを発展させることを含み、
装置に一又は複数の検索標的を発展させることは、注目に値するハザード（３０４）が複合システムレベル及びシステムレベルのハザード（３０４）の閾値計測数を上回るものとして定義される、一又は複数の検索標的を発展させること含む、
条項１７に記載のコンピュータで読込可能な記憶媒体。
【０１１２】
条項１９  一又は複数の検索標的の各々が、注目に値するハザード（３０４）、乗務員作業量（３０６）、及び生理的作用（６０８）の論理式を含み、装置に蓄積作用モデル（６００）を発展させることはさらに、少なくとも
乗務員作業量（３０６）モデルを発展させることであって、このモデルにおいて乗務員作業量（３０６）は、警報メッセージの計測数、補償的動作又は補償的動作のページの計測数、或いは補償的動作を完了させるまでの時間のうちの一又は複数を含むものと定義される、発展させること、並びに
生理的作用（６０８）のモデルを発展させることであって、このモデルにおいて生理的作用（６０８）は、生理的又は身体的な快適性又は不快感に影響する一又は複数の状態の測定値を含むものと定義される、発展させること
を含み、
装置に一又は複数の検索標的を発展させることは、さらに、乗務員作業量（３０６）が、警報メッセージの閾値計測数、補償的動作又は補償的動作のページの閾値計測数、或いは補償的動作を完了させるまでの閾値時間を上回るものとして定義されており、且つ注目に値する生理的作用（６０８）が、一又は複数の条件の閾値計測数を上回る又は下回るものとして定義されている、一又は複数の検索標的を発展させることを含む、
条項１８に記載のコンピュータで読込可能な記憶媒体。
【０１１３】
条項２０  一又は複数の検索標的の各々が注目に値するハザード（３０４）及び乗務員作業量（３０６）の論理式を含み、装置に蓄積作用モデル（６００）を発展させることは、乗務員作業量モデルを発展させることであって、このモデルにおいて乗務員作業量（３０６）は、警報メッセージの計測数、補償的動作又は補償的動作のページの計測数、或いは補償的動作を完了させるまでの時間のうちの一又は複数を含むものと定義される、発展させることを含み、
装置に一又は複数の検索標的を発展させることは、注目に値する乗務員作業量（３０６）が、警報メッセージの閾値計測数、補償的動作又は補償的動作のページの閾値計測数、或いは補償的動作を完了させるまでの閾値時間を上回るものと定義される、一又は複数の検索標的を発展させることを含む、
条項１７に記載のコンピュータで読込可能な記憶媒体。
【０１１４】
条項２１  補償的動作は、乗務員手順及び非正規動作手順を含み、
装置に乗務員作業量（３０６）のモデルを発展させることは、乗務員の作業量（３０６）が、警報メッセージ、乗務員手順又は乗務員手順のページ、並びに非正規動作手順又は非正規動作手順のページのそれぞれの計測数を含むものと定義される、乗務員作業量（３０６）のモデルを発展させることを含み、
装置に一又は複数の検索標的を発展させることは、注目に値する乗務員作業量（３０６）が、警報メッセージ、乗務員手順又は乗務員手順のページ、並びに非正規動作手順又は非正規動作手順のページのそれぞれの閾値計測数を上回るものの論理和として定義される、一又は複数の検索標的を発展させることを含む、
条項２０に記載のコンピュータで読込可能な記憶媒体。
【０１１５】
条項２２  一又は複数の標的の各々が、注目に値するハザード（３０４）及び安全マージンの論理式を含み、装置に蓄積作用モデル（６００）を発展させることは、安全マージン（３０８）のモデルを発展させることであって、このモデルにおいて安全マージン（６０６）は、一又は複数の動作因子と、安全マージン（６０６）に影響する一又は複数の条件の測定値とを含むものと定義される、発展させることを含み、
装置に一又は複数の検索標的を発展させることは、安全マージン（６０６）の注目に値する喪失が、一又は複数の条件の閾値測定値を上回る又は下回るものと定義される、一又は複数の検索標的を発展させることを含む、
条項２２に記載のコンピュータで読込可能な記憶媒体。
【０１１６】
条項２３  一又は複数の検索標的の各々が、注目に値するハザード（３０４）及び生理的作用（６０８）の論理式を含み、装置に蓄積作用（６００）モデルを発展させることは、生理的作用（６０８）のモデルを発展させることであって、このモデルにおいて生理的作用（６０８）は、生理的又は身体的な快適性又は不快感に影響する一又は複数の状態の測定値を含むものと定義される、発展させることを含み、
装置に一又は複数の検索標的を発展させることは、注目に値する（６０８）が、一又は複数の条件の閾値測定値を上回る又は下回るものと定義される、一又は複数の検索標的を発展させることを含む、
条項１７に記載のコンピュータで読込可能な記憶媒体。
【０１１７】
条項２４  一又は複数の条件が、客室の気圧、温度、照明レベル、客室の視界度、又は通気性のうちの二つ以上を含み、
装置に生理的作用（６０８）のモデルを発展させることは、生理的作用（６０８）が、複数の条件のそれぞれの測定値を含むものと定義される生理的作用（６０８）のモデルを発展させることを含み、
装置に一又は複数の検索標的を発展させることは、注目に値する生理的作用（６０８）が、複数の条件のそれぞれの閾値測定値を上回る又は下回るものの論理和として定義される、一又は複数の検索標的を発展させることを含む、
条項２３に記載のコンピュータで読込可能な記憶媒体。
【図１】
2015018543.tif 000002
【図２】
2015018543.tif 000003
【図３】
2015018543.tif 000004
【図４】
2015018543.tif 000005
【図５】
2015018543.tif 000006
【図６】
2015018543.tif 000007
【図７】
2015018543.tif 000008
【図８】
2015018543.tif 000009
【図９】
2015018543.tif 000010
【図１０】
2015018543.tif 000011
【外国語明細書】
2015018543000001.pdf
2015018543000002.pdf
2015018543000003.pdf
2015018543000004.pdf