(57)【要約】【課題】ＳＩＬモデルを用い定量的な安全設計を行うことによって安全設計の合理化および設計効率の向上を図る。【解決手段】本発明の設計支援装置１０によれば、ＳＩＬモデルを用いて安全関連機器の安全度水準を評価するために必要な安全関連機器の設計パラメータの値の入力を受け付ける設計パラメータ入力部１２と、安全関連機器の安全度水準の目標値の入力を受け付ける安全度水準目標値入力部１４と、設計パラメータ入力部１２に入力された各設計パラメータの値を用いてＳＩＬモデルに基づいて安全関連機器の安全度水準を計算し、この計算結果と、安全度水準目標値入力部１４に入力された目標値とを表示する表示部３０とを備えている。【選択図】    図１
2004341814.tif 000002
【特許請求の範囲】
【請求項１】
安全関連機器を任意のタイミングで作動させ、作動確認することによって前記安全関連機器の安全度水準を評価するＳＩＬモデル（Ｓａｆｅｔｙ−Ｉｎｔｅｇｒｉｔｙ  Ｌｅｖｅｌｓ  Ｍｏｄｅｌ）を用いて、前記安全関連機器の安全度水準を評価し、評価結果に基づいて前記安全関連機器の設計支援を行う設計支援装置であって、
前記ＳＩＬモデルを用いて前記安全関連機器の安全度水準を評価するために必要な前記安全関連機器の設計パラメータの値の入力を受け付ける設計パラメータ入力手段と、
前記安全関連機器の安全度水準の目標値の入力を受け付ける安全度水準目標値入力手段と、
前記設計パラメータ入力手段に入力された各設計パラメータの値を用いて、前記ＳＩＬモデルに基づいて、前記安全関連機器の安全度水準を計算する安全度水準計算手段と、
前記安全度水準目標値入力手段に入力された目標値と、前記安全度水準計算手段によって計算された安全度水準とを表示する表示手段と
を備えた設計支援装置。
【請求項２】
請求項１に記載の設計支援装置において、
前記安全度水準計算手段によって計算された安全度水準が、前記目標値以上である場合には、前記設計パラメータ入力手段に入力された各設計パラメータの値が、前記安全関連機器の設計値として妥当であると判定する安全度水準判定手段と、
前記安全度水準計算手段によって計算された安全度水準が、前記目標値未満である場合には、前記安全度水準と前記目標値とを表示し、前記設計パラメータの値の変更を促す入力変更要求手段と
を備えた設計支援装置。
【請求項３】
請求項２に記載の設計支援装置において、
前記安全度水準判定手段によって妥当であると判定された各設計パラメータの値を用いて前記安全関連機器を設計した場合におけるコストを評価するコスト評価手段と、
前記コスト評価手段によって評価されたコストが、予め定めた上限コスト以下である場合には、前記設計パラメータ入力手段に入力された各設計パラメータの値を用いて設計した安全関連機器のコストが妥当であると判定するコスト判定手段とを備え、
前記入力変更要求手段は、前記コスト評価手段によって評価されたコストが、前記予め定めた上限コストを超える場合には、このコストと前記上限コストとを表示し、前記設計パラメータの値の変更を促すようにした設計支援装置。
【請求項４】
請求項１に記載の設計支援装置において、
前記安全度水準計算手段によって計算された安全度水準が、前記目標値未満である場合には、前記安全度水準が、前記目標値以上になるような前記各設計パラメータの値を、前記ＳＩＬモデルに基づいて計算する設計パラメータ逆算手段を備えた設計支援装置。
【請求項５】
安全関連機器を任意のタイミングで作動させ、作動確認することによって前記安全関連機器の安全度水準を評価するＳＩＬモデル（Ｓａｆｅｔｙ−Ｉｎｔｅｇｒｉｔｙ  Ｌｅｖｅｌｓ  Ｍｏｄｅｌ）を用いて、前記安全関連機器の安全度水準を評価し、評価された安全度水準を表示するＳＩＬモニタであって、
安全関連機器が適用された装置の運転データを取得する運転データ取得手段と、
前記運転データ取得手段によって取得された運転データ、および前記安全関連機器の仕様データを用いて、前記ＳＩＬモデルに基づいて、前記安全関連機器の安全度水準を計算する安全度水準計算手段と、
前記安全度水準計算手段によって計算された安全度水準に基づいて、前記安全関連機器が故障する確率である故障確率を計算する故障確率計算手段と、
前記故障確率計算手段によって計算された故障確率を表示する故障確率表示手段と
を備えたＳＩＬモニタ。
【請求項６】
請求項５に記載のＳＩＬモニタにおいて、
前記故障確率計算手段によって計算された故障確率が、予め定めた閾故障確率を超えた場合には、前記安全関連機器を作動させるように報知する報知手段を備えたＳＩＬモニタ。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ＳＩＬ（Ｓａｆｅｔｙ−Ｉｎｔｅｇｒｉｔｙ  Ｌｅｖｅｌｓ）モニタ、およびＳＩＬモデルを用いた設計支援装置に係り、更に詳しくは、例えば自動車のブレーキのような安全関連機器のリスクをその作動確認を行うことによって定量的に把握するＳＩＬモデルを用いたモニタと、ＳＩＬモデルを用いて安全関連機器の設計パラメータの値の妥当性を評価する設計支援装置に関する。
【０００２】
【従来の技術】
従来、化学プラントや原子力プラント、鉄道、自動車及び医療機器等の産業における安全に関わるシステムや電子機器等（安全関連機器と呼ぶ）の安全設計において、ＳＩＬ（Ｓａｆｅｔｙ  Ｉｎｔｅｇｒｉｔｙ  Ｌｅｖｅｌ）というリスク軽減率を用いた考え方は確立されていなかった。
【０００３】
しかし、近年、安全に関わる規格として制定された国際規格ＩＥＣ  ６１５０８、およびＪＩＳ規格のＪＩＳ  Ｃ  ０５０８においては、安全関連機器の安全性をより高めるためにＳＩＬという概念を導入して、リスクを軽減する安全設計手法が開発され、推奨されている。
【０００４】
下記非特許文献１乃至５に記載されているように、ＳＩＬは用途に応じて、低頻度作動要求モード（待機系）と高頻度作動要求モード（連続系）毎に４つの段階（ＳＩＬ１〜ＳＩＬ４）に分類され、潜在するリスクを目標とするリスクまで低減するための軽減率として定義されている。
【０００５】
例えば、安全関連機器において、リスクが大きいと想定される場合はより高いレベルのＳＩＬが要求され、逆にリスクが小さいと想定される場合は低いＳＩＬレベルが割り当てられる。
【０００６】
また、ＳＩＬの計算は安全関連機器である各機器の故障確率、故障の修復率、自己診断率、プルーフテストの頻度、平均修復時間等の入力用のデータと、共通原因故障を取り扱う数学モデルであるβファクタモデル等の複雑なモデル式を用いて求められる。これらの詳細については下記非特許文献１乃至５に詳しい。
【０００７】
【非特許文献１】
加藤栄一、佐藤吉信、堀籠教夫著「機能安全規格案における安全度水準モデルについて」、電子情報通信学会論文誌（Ａ）、Ｖｏｌ．  Ｊ８２−Ａ−Ｎｏ．２，  ｐｐ２４７−２５５，  Ｆｅｂ．  １９９９．
【０００８】
【非特許文献２】
加藤栄一、佐藤吉信、堀籠教夫著「機能安全規格案における安全度水準モデルについて−前報におけるアルゴリズムの若干の修正−」、信学技報、Ｒ９９−１８  （１９９９−１１）．
【０００９】
【非特許文献３】
川原卓也、佐藤吉信著「自己故障診断のある場合の安全度水準について」、信学技報、Ｒ２０００−１６  （２０００−９）．
【００１０】
【非特許文献４】
川原卓也、市塚昭弘、佐藤吉信、龍偉著「自己故障診断を有する安全度水準の安全度水準モデル」、信学技報、Ｒ２０００−４９  （２００１−３）．
【００１１】
【非特許文献５】
川原卓也、市塚昭弘、佐藤吉信、龍偉著「状態遷移モデルを用いた自己故障診断によるリスク軽減効果の解析」、信学技報、Ｒ２００１−３  （２００１−５）．
【００１２】
【発明が解決しようとする課題】
ところで、各産業の安全関連機器の設計において、上述の従来技術ではＳＩＬの割当てやＳＩＬの評価を行う場合に、計算に必要な入力条件の故障確率、自己診断率、故障の修復率のデータ等を用意するのに時間がかかり、また、設計時に条件を変えてＳＩＬの繰り返し計算をすることが必要な場合にも、データが多数のため、従来の手法ではすぐに結果が得られず、効率的ではなかった。
【００１３】
そのため、リスクを定量的に把握することにより、安全評価の品質の向上を図ることが可能なＳＩＬモニタの開発と、ＳＩＬモデルを適用することにより、設計効率の向上を図ることが可能なＳＩＬ評価支援ツールの開発が求められている。
【００１４】
本発明はこのような事情に鑑みてなされたものであり、その第１の目的は、安全評価の品質の向上を図ることが可能なＳＩＬモニタを提供することにある。
【００１５】
また、その第２の目的は、ＳＩＬモデルを用い定量的な安全設計を行うことによって安全設計の合理化および設計効率の向上を図ることが可能な設計支援装置を提供することにある。
【００１６】
【課題を解決するための手段】
上記の目的を達成するために、本発明では、以下のような手段を講じる。
【００１７】
すなわち、請求項１の発明は、安全関連機器を任意のタイミングで作動させ、作動確認することによって安全関連機器の安全度水準を評価するＳＩＬモデルを用いて、安全関連機器の安全度水準を評価し、評価結果に基づいて安全関連機器の設計支援を行う設計支援装置であって、ＳＩＬモデルを用いて安全関連機器の安全度水準を評価するために必要な安全関連機器の設計パラメータの値の入力を受け付ける設計パラメータ入力手段と、安全関連機器の安全度水準の目標値の入力を受け付ける安全度水準目標値入力手段と、設計パラメータ入力手段に入力された各設計パラメータの値を用いてＳＩＬモデルに基づいて安全関連機器の安全度水準を計算する安全度水準計算手段と、安全度水準目標値入力手段に入力された目標値と、安全度水準計算手段によって計算された安全度水準とを表示する表示手段とを備えている。
【００１８】
従って、請求項１の発明の設計支援装置においては、以上のような手段を講じることにより、入力された各設計パラメータに基づいて安全度水準を計算し、この計算された安全度水準を目標値と比較することができる。
【００１９】
請求項２の発明は、請求項１の発明の設計支援装置において、安全度水準計算手段によって計算された安全度水準が目標値以上である場合には設計パラメータ入力手段に入力された各設計パラメータの値が安全関連機器の設計値として妥当であると判定する安全度水準判定手段と、安全度水準計算手段によって計算された安全度水準が目標値未満である場合には安全度水準と目標値とを表示し設計パラメータの値の変更を促す入力変更要求手段とを更に備えている。
【００２０】
従って、請求項２の発明の設計支援装置においては、以上のような手段を講じることにより、各設計パラメータに基づいて計算された安全度水準を目標値と比較することができる。そして、計算された安全度水準が目標値を満足しない場合には設計パラメータの値を適宜変更することができる。
【００２１】
請求項３の発明は、請求項２の発明の設計支援装置において、安全度水準判定手段によって妥当であると判定された各設計パラメータの値を用いて安全関連機器を設計した場合におけるコストを評価するコスト評価手段と、コスト評価手段によって評価されたコストが、予め定めた上限コスト以下である場合には、設計パラメータ入力手段に入力された各設計パラメータの値を用いて設計した安全関連機器のコストが妥当であると判定するコスト判定手段とを備えている。そして入力変更要求手段は、コスト評価手段によって評価されたコストが予め定めた上限コストを超える場合にはこのコストと上限コストとを表示し設計パラメータの値の変更を促すようにしている。
【００２２】
従って、請求項３の発明の設計支援装置においては、以上のような手段を講じることにより、目標値以上の安全度水準を達成した設計パラメータの値であって、さらにこの値を用いて設計した安全関連機器のコストが現実的な範囲である場合にのみこの設計パラメータの値を採用することができる。その結果、安全関連機器の信頼性の向上を、現実的なコストで実現することが可能となる。
【００２３】
請求項４の発明は、請求項１の発明の設計支援装置において、安全度水準計算手段によって計算された安全度水準が目標値未満である場合には安全度水準が目標値以上になるような各設計パラメータの値をＳＩＬモデルに基づいて計算する設計パラメータ逆算手段を備えている。
【００２４】
従って、請求項４の発明の設計支援装置においては、以上のような手段を講じることにより、目標値以上の安全度水準を達成するような設計パラメータを計算することができる。更に、このように計算された設計パラメータの値を用いて安全関連機器を設計することによって、安全関連機器の信頼性の向上を図ることが可能となる。
【００２５】
請求項５の発明は、安全関連機器を任意のタイミングで作動させ、作動確認することによって安全関連機器の安全度水準を評価するＳＩＬモデルを用いて、安全関連機器の安全度水準を評価し、評価された安全度水準を表示するＳＩＬモニタであって、安全関連機器が適用された装置の運転データを取得する運転データ取得手段と、運転データ取得手段によって取得された運転データおよび安全関連機器の仕様データを用いてＳＩＬモデルに基づいて安全関連機器の安全度水準を計算する安全度水準計算手段と、安全度水準計算手段によって計算された安全度水準に基づいて安全関連機器が故障する確率である故障確率を計算する故障確率計算手段と、故障確率計算手段によって計算された故障確率を表示する故障確率表示手段とを備えている。
【００２６】
従って、請求項５の発明のＳＩＬモニタにおいては、以上のような手段を講じることにより、運転中の装置に適用された安全関連機器の故障確率をほぼリアルタイムで把握することができる。その結果、故障確率が高くなった場合には、安全関連機器の作動確認等を行うことにより故障を検知できるため、当該安全関連機器を取り替える等して所定の安全水準を維持することが可能となる。
【００２７】
請求項６の発明は、請求項５の発明のＳＩＬモニタにおいて、故障確率計算手段によって計算された故障確率が予め定めた閾故障確率を超えた場合には安全関連機器を作動させるように報知する報知手段を備えている。
【００２８】
従って、請求項６の発明のＳＩＬモニタにおいては、以上のような手段を講じることにより、運転中の装置に適用された安全関連機器の故障確率が、予め定めた閾故障確率を超えた場合には、安全関連機器を作動させるように報知される。したがって、これに基づいて安全関連機器を作動させ、作動確認を行うことにより故障を検知できるため、当該安全関連機器を取り替える等して所定の安全水準を維持することが可能となる。
【００２９】
【発明の実施の形態】
以下に、本発明の各実施の形態について図面を参照しながら説明する。
【００３０】
（第１の実施の形態）
本発明の第１の実施の形態を図１から図４を用いて説明する。
【００３１】
図１は、第１の実施の形態に係るＳＩＬ設計支援装置１０の一例を示す機能ブロック図である。
【００３２】
すなわち、本実施の形態に係るＳＩＬ設計支援装置１０は、自動車のブレーキのような非定常作動機器を任意のタイミングまたは所定の周期で作動させてプルーフ試験を行い、作動確認することによって非定常作動機器の安全度水準を評価するＳＩＬモデルを用いて、非定常作動機器の安全度水準を評価し、評価結果に基づいて非定常作動機器の設計支援を行う装置である。なお、ここでいう非定常作動機器は安全関連機器の一種である。ＳＩＬ設計支援装置１０は、設計パラメータ入力部１２と、安全度水準目標値入力部１４と、パラメータデータベース１６と、安全度水準計算部１８と、安全度水準判定部２０と、コスト評価部２４と、コスト判定部２６と、設計パラメータ逆算部２８、表示部３０とを備えている。
【００３３】
設計パラメータ入力部１２は、キーボードやマウス等の入力デバイスを備えており、オペレータがこの入力デバイスを操作することによって、ＳＩＬモデルを用いて非定常作動機器の安全度水準を評価するために必要な非定常作動機器の設計パラメータの値の入力するようにしている。そして、オペレータによって設計パラメータの値が入力されると、これら設計パラメータの値を、安全度水準計算部１８へと出力する。
【００３４】
安全度水準目標値入力部１４は、キーボードやマウス等の入力デバイスを備えており、非定常作動機器の安全度水準の目標値の入力を受け付けるようにしている。そして、オペレータによってこの目標値が入力されると、この目標値を、安全度水準判定部２０へと出力する。なお、安全度水準目標値入力部１４が備えている入力デバイスは、設計パラメータ入力部１２が備えている入力デバイスと共用するようにしても良い。
【００３５】
パラメータデータベース１６は、安全度水準計算部１８が安全度水準の計算を行うために必要なデータである故障確率、自己診断率、平均修復時間等を予め格納している。そして、パラメータデータベース１６に格納されたこれら各データは、安全度水準計算部１８が行う計算に用いられるようにしている。
【００３６】
安全度水準計算部１８は、設計パラメータ入力部１２に入力された各設計パラメータの値、およびパラメータデータベース１６に格納されているデータを用いて、ＳＩＬモデルに基づいて、非定常作動機器の安全度水準を計算する。そして、計算結果である安全度水準を、安全度水準判定部２０へと出力する。
【００３７】
安全度水準判定部２０は、安全度水準計算部１８から出力された安全度水準と、安全度水準目標値入力部１４から出力された安全度水準の目標値とを比較する。そして、安全度水準計算部１８から出力された安全度水準が、安全度水準目標値入力部１４から出力された安全度水準の目標値以上である場合には、設計パラメータ入力部１２に入力された各設計パラメータの値が、非定常作動機器の設計値として妥当であると判定する。そして、このように判定した判定結果、妥当と判定された各設計パラメータの値、安全度水準計算部１８から出力された安全度水準、および安全度水準目標値入力部１４から出力された安全度水準の目標値を、表示部３０とコスト評価部２４へ出力する。
【００３８】
一方、安全度水準計算部１８から出力された安全度水準が、安全度水準目標値入力部１４から出力された安全度水準の目標値未満である場合には、設計パラメータ入力部１２に入力された各設計パラメータの値が、非定常作動機器の設計値として妥当ではないと判定する。そして、このような妥当ではないものと判定された各設計パラメータの値、安全度水準計算部１８から出力された安全度水準、および安全度水準目標値入力部１４から出力された安全度水準の目標値を、表示部３０と設計パラメータ逆算部２８へ出力する。
【００３９】
コスト評価部２４は、安全度水準判定部２０から出力された各設計パラメータの値に基づいて、この各設計パラメータの値を用いて非定常作動機器を設計した場合におけるコストを評価する。そして、評価結果であるコストをコスト判定部２６へと出力する。
【００４０】
コスト判定部２６は、コスト評価部２４から出力されたによって評価されたコストが、予め定めた上限コスト以下である場合には、設計パラメータ入力部１２に入力された各設計パラメータの値を用いて設計した非定常作動機器のコストが妥当であると判定する。そして、その判定結果を表示部３０へと出力する。
【００４１】
設計パラメータ逆算部２８は、安全度水準計算部１８によって計算された安全度水準が、安全度水準の目標値以上になるような各設計パラメータの値を、ＳＩＬモデルに基づいて計算する。この場合、ある一つの設計パラメータの値のみを変数とし、その他全ての設計パラメータの値を固定した計算を行う。そして、ある一つの設計パラメータの値を変数とした計算が終了すると、次に、別の設計パラメータの値を変数とし、その他全ての設計パラメータの値を固定した計算を行う。これを繰り返すことにより、全ての設計パラメータを変数とした計算を行い、安全度水準が目標値以上になるような設計パラメータの値の組み合わせを求める。そして、このように計算された設計パラメータの値の組み合わせを表示部３０に出力する。
【００４２】
表示部３０は、安全度水準判定部２０から出力された判定結果、各設計パラメータの値、安全度水準、安全度水準の目標値を表示する。このように表示された結果を参照することによって、オペレータは、設計パラメータの値が妥当なのか否かを把握することができる。
【００４３】
すなわち、安全度水準計算部１８から各設計パラメータの値が妥当であるとの判定結果が出力された場合には、各設計パラメータの値が妥当であることを確認するとともに、安全度水準、および安全度水準の目標値を参照することによって、安全余裕を確認することができる。更に、この場合、コスト判定部２６から出力されるコスト判定結果を参照することによって、この設計パラメータの値を用いて非定常作動機器を設計した場合のコスト妥当性を確認することができる。コスト的に満足しない場合には、オペレータは、設計パラメータの値の見直しを行い、見直した値を、設計パラメータ入力部１２から入力し、安全度水準およびコストの評価を再度行う。
【００４４】
一方、安全度水準計算部１８から各設計パラメータの値が妥当ではないとの判定結果が出力された場合には、この判定結果を表示することによって、オペレータに対して設計パラメータの値の見直しを促す。また、この場合、設計パラメータ逆算部２８から出力された、安全度水準の目標値を満足するような各設計パラメータの値の組み合わせもまた表示するので、オペレータは、これを参照して、表示された組み合わせの中から適切な設計パラメータの値を決定するか、あるいは、設計パラメータの値の見直しを行い、見直した値を、設計パラメータ入力部１２から入力し、安全度水準およびコストの評価を再度行う。
【００４５】
次に、以上のように構成した本実施の形態に係るＳＩＬ設計支援装置の動作について、図２に示すフローチャートを用いて説明する。
【００４６】
まず、本実施の形態に係るＳＩＬ設計支援装置１０によって、自動車のブレーキのような非定常作動機器の設計を行う場合には、オペレータが、設計パラメータ入力部１２のキーボードやマウス等の入力デバイスを操作することによって、非定常作動機器の安全度水準を評価するために必要な設計パラメータの値の入力する。そして、入力された設計パラメータの値は、安全度水準計算部１８へと出力される（Ｓ１）。
【００４７】
更に、同様にオペレータが、安全度水準目標値入力部１４のキーボードやマウス等の入力デバイスを操作することによって、非定常作動機器の安全度水準の目標値を入力する。そして、入力された目標値は、安全度水準判定部２０へと出力される（Ｓ２）。
【００４８】
次に、安全度水準計算部１８において、設計パラメータ入力部１２に入力された各設計パラメータ、およびパラメータデータベース１６に格納されているデータが用いられ、ＳＩＬモデルに基づいて、非定常作動機器の安全度水準が計算される（Ｓ３）。そして、計算結果である安全度水準が、安全度水準判定部２０へと出力される（Ｓ４）。
【００４９】
ステップＳ４で出力された安全度水準は、安全度水準判定部２０によって、安全度水準目標値入力部１４から出力された安全度水準の目標値との比較がなされる（Ｓ５）。そして、安全度水準計算部１８から出力された安全度水準が、安全度水準目標値入力部１４から出力された安全度水準の目標値以上である場合（Ｓ６：Ｙｅｓ）には、設計パラメータ入力部１２に入力された各設計パラメータの値が、非定常作動機器の設計値として妥当であると判定される（Ｓ７）。
【００５０】
ステップＳ４において妥当と判定された各設計パラメータの値、安全度水準計算部１８から出力された安全度水準、および安全度水準目標値入力部１４から出力された安全度水準の目標値は、表示部３０およびコスト評価部２４へ出力される。そして、コスト評価部２４では、安全度水準判定部２０から出力された各設計パラメータの値に基づいて、この各設計パラメータの値を用いて非定常作動機器を設計した場合におけるコストが評価される。そして、評価結果であるコストがコスト判定部２６へと出力される（Ｓ８）。
【００５１】
コスト判定部２６では、ステップＳ８においてコスト評価部２４によって評価されたコストが、予め定めた上限コスト以下である場合（Ｓ９：Ｙｅｓ）には、設計パラメータ入力部１２に入力された各設計パラメータの値を用いて設計した非定常作動機器のコストが妥当と判定される（Ｓ１０）。そして、この判定結果、各設計パラメータの値、安全度水準、安全度水準の目標値が、表示部３０から表示される。そして、表示された各設計パラメータの値に基づいて、非定常作動機器の設計が行われる。なお、コスト評価部２４によって評価されたコストを、オペレータが参照し、オペレータ判断によって、そのコストが妥当であるか否かを決定するようにしてもよい。
【００５２】
一方、ステップＳ８においてコスト評価部２４によって評価されたコストが、予め定めた上限コストを超えている場合、あるいはオペレータ判断によって、妥当ではないとされた場合（Ｓ９：Ｎｏ）には、オペレータが、設計パラメータの値の見直しを行い、見直した値が、設計パラメータ入力部１２から入力され（Ｓ１１）、ステップＳ３以降の処理がなされる
一方、ステップＳ４で出力された安全度水準が、ステップＳ２で設定された安全度水準の目標値未満である場合（Ｓ６：Ｎｏ）には、設計パラメータ入力部１２に入力された各設計パラメータの値が、非定常作動機器の設計値として妥当ではないものと判定される（Ｓ１２）。そして、安全度水準計算部１８によって計算された安全度水準が、安全度水準の目標値以上になるような各設計パラメータの値が、設計パラメータ逆算部２８によって計算される（Ｓ１３）。この場合、ある一つの設計パラメータの値のみが変数とされ、その他全ての設計パラメータの値が固定された計算が、ＳＩＬモデルに基づいてなされる。そして、ある一つの設計パラメータの値を変数とした計算が終了すると、次に、別の設計パラメータの値が変数とされ、その他全ての設計パラメータの値を固定した計算が行われる。これを繰り返すことにより、全ての設計パラメータを変数とした計算が行われ、安全度水準が目標値以上になるような設計パラメータの値の組み合わせが求められる。そして、このように計算された設計パラメータの値の組み合わせが表示部３０に出力される。
【００５３】
ステップＳ１３によって計算された各設計パラメータの値は、安全度水準の目標値、この設計パラメータの値に対応する安全度水準とともに表示部３０から表示される。オペレータは、表示部３０から表示されたこれらの結果に基づいて、各設計パラメータの値が妥当であることを確認するとともに、安全度水準、および安全度水準の目標値を参照することによって、安全余裕を確認することができる。更に、ステップＳ１３によって計算された各設計パラメータの値に基づくコスト評価結果が、コスト評価部２４に出力され、ステップＳ８で説明したようにしてコスト評価がなされる。
【００５４】
上述したように、本実施の形態に係るＳＩＬ設計支援装置においては、上記のような作用により、ＳＩＬモデルを用いて安全関連機器（例えば非定常作動機器）について、安全度水準の目標値を満足するような設計パラメータの値を設定することができる。したがって、このように設定された設計パラメータの値に基づいて安全関連機器の設計を行ったり、あるいは作動確認を行うことによって、安全関連機器の信頼性の向上を図ることが可能となる。
【００５５】
また、設定した設計パラメータの値に基づきコスト評価を行うこともできるので、安全度水準の目標値に対する余裕が大きい場合には、その余裕が合理的な値になるように設計パラメータの値を見直すことによって、コストダウンを図ることも可能となる。
【００５６】
本実施の形態に係るＳＩＬ設計支援装置は、例えば、自動車のブレーキや、化学プラントの安全制御系、一般プラントのプロセス機器等に適用可能である。
【００５７】
自動車のブレーキの設計に適用した場合には、安全度水準の値に基づいて、ブレーキ部品の冗長度や危険頻度を決定したり、あるいはその安全度水準の走行時間依存性に基づいて、プルーフ試験の間隔を決定する。
【００５８】
一方、例えば図３に示すように、化学プラントにおいて、反応容器３２の圧力を制御する圧力制御系３４の設計に適用した場合には、圧力制御系３４を構成している圧力トランスミッタ３６、圧力制御部３８、ダイヤフラム３９、およびダイヤフラム３９によって制御される圧力調節バルブ４０のおのおのの安全度水準を求める。そして、圧力制御系３４の冗長度や危険頻度を決定したり、あるいは、当該化学プラントの運転時間に対する安全度水準の依存性に基づいて、プルーフ試験の間隔を決定する。
【００５９】
そして、安全度水準の目標値を確保するために、圧力制御系３４を２重化する必要がある場合には、例えば図４に示すように、圧力トランスミッタ４４、保護ロジック回路４６、モータ４８および保護バルブ５０から構成される圧力補助制御系４２を備えるようにする。
【００６０】
（第２の実施の形態）
本実施の形態では、ＳＩＬモニタについて、図５から図７を用いて説明する。
【００６１】
図５は、第２の実施の形態に係るＳＩＬモニタ５２の一例を示す機能ブロック図である。
【００６２】
すなわち、本実施の形態に係るＳＩＬモニタ５２は、例えば自動車のブレーキのような非定常作動機器６１を任意のタイミングあるいは所定周期で作動させて作動確認を行うプルーフ試験を行い、非定常作動機器の安全度水準を評価するＳＩＬモデルを用いて非定常作動機器６１の安全度水準を評価するＳＩＬモニタであって、運転データ取得部５４と、安全度水準計算部５５と、故障確率計算部５６と、故障確率表示部５８と、故障確率判定部５９と、報知部６０とを備えている。
【００６３】
運転データ取得部５４は、非定常作動機器６１が適用された装置６２の運転実績である運転データを取得し、取得した運転データを安全度水準計算部５５へと出力する。この運転データとは、例えば非定常作動機器６１が自動車のブレーキの場合、ブレーキの使用実績を含んだ自動車の運転履歴に該当する。
【００６４】
安全度水準計算部５５は、運転データ取得部５４よって取得された運転データ、および非定常作動機器６１の性能を示すデータである仕様データを用いて、ＳＩＬモデルに基づいて非定常作動機器６１の安全度水準を計算し、計算結果を故障確率計算部５６へと出力する。この仕様データとは、例えば非定常作動機器６１が自動車のブレーキの場合、ブレーキが有している停止能力に該当する。
【００６５】
故障確率計算部５６は、安全度水準計算部５５によって計算された安全度水準に基づいて、非定常作動機器６１が故障する確率である故障確率を計算し、計算結果を故障確率表示部５８および故障確率判定部５９へと出力する。
【００６６】
故障確率表示部５８は、故障確率計算部５６によって計算された故障確率を表示する。
【００６７】
故障確率判定部５９は、故障確率計算部５６によって計算された故障確率と、予め定められた閾故障確率とを比較する。そして、故障確率計算部５６によって計算された故障確率が、予め定められた閾故障確率を超えた場合には、報知部６０から、アラームを発することによって、装置６２の運転員に対して、非定常作動機器６１を作動させ、プルーフ試験をさせるように促す。
【００６８】
次に、以上のように構成した本実施の形態に係るＳＩＬモニタの動作について、図６および図７に示すフローチャートを用いて説明する。
【００６９】
まず、本実施の形態に係るＳＩＬモニタによって非定常作動機器６１の安全度水準を評価し、評価された安全度水準を表示するためには、運転データ取得部５４によって、非定常作動機器６１が適用された装置６２の運転データが取得される（Ｓ２１）。この取得された運転データは、過去に行った作動確認実績、すなわちプルーフ試験の実績が含まれており、運転データ取得部５４から安全度水準計算部５５へと出力される（Ｓ２２）。
【００７０】
次に、安全度水準計算部５５によって、非定常作動機器６１の仕様データが取得される（Ｓ２３）。更に安全度水準計算部５５では、ステップＳ２２において運転データ取得部５４から出力された運転データと、ステップＳ２３において取得した仕様データとが用いられ、ＳＩＬモデルに基づいて、非定常作動機器６１の安全度水準が計算される（Ｓ２４）。
【００７１】
ステップＳ２４で計算された安全度水準は、故障確率計算部５６へと出力される。そして、故障確率計算部５６では、この安全度水準に基づいて、非定常作動機器６１の故障確率が計算される（Ｓ２５）。そして、計算された故障確率は、故障確率表示部５８および故障確率判定部５９へと出力される。
【００７２】
故障確率表示部５８では、ステップＳ２５で計算された故障確率が表示される（Ｓ２６）。そして故障確率判定部５９では、ステップＳ２５で計算された故障確率と、予め定められた閾故障確率とが比較される（Ｓ２７）。これによって、非定常作動機器６１の安全度水準を定量的に把握することができる。例えば、ステップＳ２５で計算された故障確率が閾故障確率に比べて十分小さい値であれば、非定常作動機器６１の安全度水準は十分高いと判定することができる。また、ステップＳ２５で計算された故障確率が閾故障確率に比べて僅かに小さい値であれば、非定常作動機器６１の安全度水準は高いものの、十分に高い訳ではないと判定することができる。いずれにせよ故障確率計算部５６によって計算された故障確率が、予め定められた閾故障確率を超えない場合（Ｓ２８：Ｙｅｓ）には、非定常作動機器６１は安全度水準を満足しているものと判定され（Ｓ２９）処理を終了する。
【００７３】
一方、故障確率計算部５６によって計算された故障確率が、予め定められた閾故障確率を超えた場合（Ｓ２８：Ｎｏ）には、安全度水準を満足していないものと判定される（Ｓ３０）。この場合、報知部６０からアラームが発せられ、装置６２の運転員に対して非定常作動機器６１を作動するように喚起がなされる（Ｓ３１）。
【００７４】
これに対して運転員が非定常作動機器６１の作動確認をすることによってプルーフ試験がなされ、装置６２の作動確認がなされる（Ｓ３２）とともに、運転データが更新される。その後、ステップＳ２１に戻り、更新された運転データに基づく非定常作動機器６１の安全度水準の計算及び評価が繰り返しなされる。
【００７５】
上述したように、本実施の形態に係るＳＩＬモニタにおいては、上記のような作用により、運転中の装置６２に適用された非定常作動機器６１の故障確率をほぼリアルタイムで把握することができる。
【００７６】
その結果、非定常作動機器６１の故障確率が高くなり、閾故障確率を超えた場合には、アラーム等により運転員に対して非定常作動機器６１を作動するように喚起することができる。
【００７７】
これに対して、運転員が非定常作動機器６１を作動させ、作動確認を行うことにより故障を検知できるため、当該安全関連機器を取り替えるなどして所定の安全水準を維持することが可能となる。
【００７８】
以上、本発明の好適な実施の形態について、添付図面を参照しながら説明したが、本発明はかかる構成に限定されない。特許請求の範囲の発明された技術的思想の範疇において、当業者であれば、各種の変更例及び修正例に想到し得るものであり、それら変更例及び修正例についても本発明の技術的範囲に属するものと了解される。例えば、本発明における安全関連機器は、安全に関わるシステムや電子機器等であればいかなるものでも適用可能であり、非定常作動機器か定常作動機器かを問わない。
【００７９】
【発明の効果】
以上説明したように、本発明によれば、安全評価の品質の向上を図ることが可能なＳＩＬモニタを実現することができる。また、ＳＩＬモデルを用い定量的な安全設計を行うことによって安全設計の合理化および設計効率の向上を図ることが可能な設計支援装置を実現することができる。
【図面の簡単な説明】
【図１】第１の実施の形態に係るＳＩＬ設計支援装置の一例を示す機能ブロック図。
【図２】第１の実施の形態に係るＳＩＬ設計支援装置の動作を示すフローチャート。
【図３】第１の実施の形態に係るＳＩＬ設計支援装置を化学プラントの圧力容器に適用した場合の装置構成の一例を示す概念図。
【図４】図３に示す圧力容器の圧力制御系を２重化した場合の装置構成の一例を示す概念図。
【図５】第２の実施の形態に係るＳＩＬモニタの一例を示す機能ブロック図。
【図６】第２の実施の形態に係るＳＩＬモニタの動作を示すフローチャート（前半）。
【図７】第２の実施の形態に係るＳＩＬモニタの動作を示すフローチャート（後半）。
【符号の説明】
１０…ＳＩＬ設計支援装置、１２…設計パラメータ入力部、１４…安全度水準目標値入力部、１６…パラメータデータベース、１８…安全度水準計算部、２０…安全度水準判定部、２４…コスト評価部、２６…コスト判定部、２８…設計パラメータ逆算部、３０…表示部、３２…圧力容器、３４…圧力制御系、３６…圧力トランスミッタ、３８…圧力制御部、３９…ダイヤフラム、４０…圧力調節バルブ、４２…圧力補助制御系、４４…圧力トランスミッタ、４６…保護ロジック回路、４８…モータ、５０…保護バルブ、５２…ＳＩＬモニタ、５４…運転データ取得部、５５…安全度水準計算部、５６…故障確率計算部、５８…故障確率表示部、５９…故障確率判定部、６０…報知部、６１…非定常作動機器（安全関連機器）、６２…装置
【図１】
2004341814.tif 000003
【図２】
2004341814.tif 000004
【図３】
2004341814.tif 000005
【図４】
2004341814.tif 000006
【図５】
2004341814.tif 000007
【図６】
2004341814.tif 000008
【図７】
2004341814.tif 000009