(57)【要約】  エレメントと安全機構（ＳＭ）とを含むマイクロコントローラ等の電子システムの偶発的なハードウェア故障の確率的メトリックを求める方法が、開示される。安全機構は第１層安全機構（ＦＬ−ＳＭ）と第２層安全機構（ＳＬ−ＳＭ）とを含む。第１層安全機構は部品の故障の少なくとも部分的なカバレッジを提供することができ、第２層安全機構は第１層安全機構の故障の少なくとも部分的なカバレッジを提供することができる。この方法は、第１層安全機構に対応付けられる第１組の確率（ＫＳＭ＿Ｄ）を計算するステップと、部品における直接侵害フォールトに対応付けられる第２組の確率（ＫＤｖＦ＿ｎ）を計算するステップと、部品における間接侵害フォールトに対応付けられる第３組の確率（ＫｒｖＦ＿ｎ）を計算するステップとを含む。この方法は、第１組、第２組、および第３組の確率に依拠して偶発的なハードウェア故障の確率的メトリックの値を取得するステップを含む。
2020517018.tif 000002
【特許請求の範囲】
【請求項１】
エレメントと安全機構とを含む電子システムの偶発的なハードウェア故障の確率的メトリックを求める方法であって、前記安全機構は第１層安全機構と第２層安全機構とを含み、第１層安全機構は部品の故障の少なくとも部分的なカバレッジを提供することができ、第２層安全機構は第１層安全機構の故障の少なくとも部分的なカバレッジを提供することができ、前記方法は、
前記第１層安全機構に対応付けられる第１組の確率を計算するステップと、
前記部品の直接侵害フォールトに対応付けられる第２組の確率を計算するステップと、
前記部品の間接侵害フォールトに対応付けられる第３組の確率を計算するステップと、
前記第１組、前記第２組、および前記第３組の確率に依拠して偶発的なハードウェア故障の確率的メトリックの値を取得するステップとを含む、方法。
【請求項２】
前記偶発的なハードウェア故障の確率的メトリックの値を取得するステップは、前記第１組、前記第２組、および前記第３組の確率を加算することを含む、請求項１に記載の方法。
【請求項３】
前記偶発的なハードウェア故障の確率的メトリックの値を取得するステップは、前記電子システムの推定寿命で除算することを含む、請求項２に記載の方法。
【請求項４】
前記第２層安全機構から生じる第４組の故障率寄与度を特定するステップをさらに含み、前記偶発的なハードウェア故障の確率的メトリックの値を取得するステップは、第１組、第２組、第３組、および第４組の故障率寄与度を加算することを含む、または、前記第１組および前記第２組の故障率寄与度は前記第４組の故障率寄与度を含む、先行する請求項のいずれか１項に記載の方法。
【請求項５】
前記偶発的なハードウェア故障の確率的メトリックの値は、ＩＳＯ２６２６２標準に準拠して取得される、先行する請求項のいずれか１項に記載の方法。
【請求項６】
第１層安全機構ごとに、
第１層安全機構に影響するフォールトが直接侵害フォールトであるか間接侵害フォールトであるかを判断するステップと、
前記フォールトが第２層安全機構によってカバーされるか否かを判断するステップと、
前記フォールトが前記第２層安全機構によってカバーされることに依拠して、前記第１層安全機構と前記第２層安全機構との間にリンクを構築するステップとをさらに含む、先行する請求項のいずれか１項に記載の方法。
【請求項７】
エレメントごとに、
エレメントに影響するフォールトが直接侵害フォールトであるか間接侵害フォールトであるかを判断するステップと、
前記フォールトが第１層安全機構によってカバーされるか否かを判断するステップと、
前記フォールトが前記第１層安全機構によってカバーされることに依拠して、前記部品と前記第１層安全機構との間にリンクを構築するステップとをさらに含む、先行する請求項のいずれか１項に記載の方法。
【請求項８】
前記第１組の確率を計算するステップは、第１層安全機構ごとに、
第１層安全機構における直接侵害フォールトによる寄与度、および、第２層安全機構において生じる第１のフォールトと前記第１レベル安全機構において生じるその後の第２の直接侵害フォールトとの組み合わせによる寄与度を計算することを含み、前記第１層安全機構における直接侵害フォールトは前記第２層安全機構によってカバーされる、先行する請求項のいずれか１項に記載の方法。
【請求項９】
前記第２組の確率を計算するステップは、部品ごとに、
前記部品が１つ以上の直接侵害フォールトを有するか否かを判断し、有すると判断した場合は、前記直接侵害フォールトによる寄与度を計算することと、
前記部品が１つ以上の間接侵害フォールトを有するか否かを判断し、有すると判断した場合は、前記間接侵害フォールトによる寄与度を計算することとを含む、先行する請求項のいずれか１項に記載の方法。
【請求項１０】
前記第２組の確率を計算するステップは、直接侵害フォールトによって引き起こされる一組の異なるフォールトおよび安全機構故障シナリオの確率を合計することを含む、請求項８または９に記載の方法。
【請求項１１】
前記第２組の確率を計算するステップは、間接侵害フォールトによって引き起こされる一組の異なるフォールトおよび安全機構故障シナリオの確率を合計することを含む、請求項８、９または１０に記載の方法。
【請求項１２】
前記第３組の確率を計算するステップは、部品ごとに、
前記部品が別の部品にリンクされているか否かを判断することと、
前記部品および前記別の部品について間接侵害フォールトによる前記偶発的なハードウェア故障の確率的メトリックに対する寄与度を求めることとを含む、先行する請求項のいずれか１項に記載の方法。
【請求項１３】
前記電子システムは、集積回路または複数の電子コンポーネントである、先行する請求項のいずれか１項に記載の方法。
【請求項１４】
複数のエレメントを含む電子システムの設計のための機能安全データを生成する方法であって、前記方法は、
フォールトに関連するデータと解析に関連するデータとを含む構成データを受けるステップと、
各エレメントの出力に対する１つ以上のフォールトの影響を示すデータを含むフォールト影響解析データを受けるステップと、
安全機構が各エレメントをカバーする程度を示すデータを含むフォールトカバレッジ解析データを受けるステップと、
前記構成データと前記フォールト影響解析データと前記フォールトカバレッジ解析データとを用いて機能安全データを生成するステップと、
先行する請求項のいずれか１項に記載の方法を用いて偶発的なハードウェア故障の確率的メトリックを求めるステップと、
前記構成データと前記フォールト影響解析データと前記フォールトカバレッジ解析データと前記機能安全データとを含むレポートを格納するステップとを含む、方法。
【請求項１５】
電子システムを設計する方法であって、前記方法は、
電子コンポーネントの設計を作成するステップと、
前記電子コンポーネントの第１の設計に対し、請求項１４に記載の機能安全データを生成するステップと、
前記機能安全データに依拠して前記電子コンポーネントの改定された設計を作成するステップとを含む、方法。
【請求項１６】
電子コンポーネントを製造する方法であって、
請求項１２に記載の電子コンポーネントを設計するステップと、
改定された設計に従って電子コンポーネントを製造するステップとを含む、方法。
【請求項１７】
請求項１６に記載の方法によって製造された電子コンポーネント。
【請求項１８】
データ処理装置によって実行されると請求項１〜１４のいずれか１項に記載の方法を前記データ処理装置に実行させるコンピュータプログラム。
【請求項１９】
データ処理装置を含む設計支援システムであって、前記設計支援システムは、
少なくとも１つのプロセッサと、
メモリとを備え、
前記少なくとも１つのプロセッサは、請求項１〜１４のいずれか１項に記載の方法を実行するように構成されている、設計支援システム。
【発明の詳細な説明】
【技術分野】
【０００１】
発明の分野
本発明は、偶発的なハードウェア故障の確率的メトリックに関する。
【背景技術】
【０００２】
背景
ＩＳＯ２６２６２−５の第９条は、偶発的なハードウェアフォールト（fault）による安全目標侵害の残留リスクを評価する、２つの二者択一的方法を提案している。一方の方法は、「偶発的なハードウェア故障の確率的メトリック（probabilistic metric for random hardware failures)」(ＰＭＨＦ）と呼ばれる確率的メトリックである。これは、安全目標侵害の残留リスクが十分に低いか否かを評価するために、たとえば、定量化されたフォールトツリー解析（Fault Tree Analysis）（ＦＴＡ）を用いて安全目標の侵害を評価することと、定量化された値の結果を目標値と比較することとを含む。他方の方法は、想定される安全目標の侵害につながる、各残存およびシングルポイントフォールトならびに各デュアルポイント故障を個別に評価することを含む。
【０００３】
ＰＭＨＦは、偶発的なハードウェアフォールトが原因で、あるアイテムが実際に故障することにより、その安全目標が侵害される確率である。これは、寄与するシングルポイントフォールト（single point fault）（ＳＰＦ）、残存フォールト（residual fault）（ＲＦ）、および妥当と思われるデュアルポイントフォールト（dual point fault）（ＤＰＦ）を考慮し、またそれらの時間との関係も考慮する。デュアルポイントフォールトを含めることにより、一層複雑な時間の関数になる可能性がある。
【０００４】
ＩＳＯ２６２６２−１０において、ＰＭＨＦはＦＴＡ手法を用いて評価される。この手法は、フォールトが分岐に発生する確率を計算し、（ＯＲゲートを通して）合計するまたは（ＡＮＤゲートを通して）乗算することにより、すべてのフォールトの確率を組み合わせて、解析中のシステムにおけるハザードの確率を得る。
【０００５】
ＦＴＡ手法は、この解析を理解し易くするのに役立ち得るグラフィカルシンボルを用いて表現することができる。しかしながら、この手法は、非常に大きなツリーをもたらす可能性があり、また、ＰＭＨＦはすべてのフォールトの確率を組み合わせることで評価されるので、遅く相当な処理を必要とし得る複雑な計算につながる可能性がある。
【発明の概要】
【課題を解決するための手段】
【０００６】
概要
本発明の第１の局面に従い、エレメントと安全機構（safety mechanism）（ＳＭ）とを含む、マイクロコントローラ等の電子システムの、偶発的なハードウェア故障の確率的メトリックを求める方法が提供される。安全機構は、第１層安全機構（first layer safety mechanism）（ＦＬ−ＳＭ）と、第２層安全機構（second layer safety mechanism）（ＳＬ−ＳＭ）とを含む。第１層安全機構は、部品の故障の少なくとも部分的なカバレッジを提供することができ、第２層安全機構は、第１層安全機構の故障の少なくとも部分的なカバレッジを提供することができる。この方法は、第１層安全機構に対応付けられる第１組の確率（ＫＳＭ＿ｉ）を計算するステップと、部品の直接侵害フォールトに対応付けられる第２組の確率（ＫＤＶＦ＿ｎ）を計算するステップと、部品の間接侵害フォールトに対応付けられる第３組の確率（ＫＩＶＦ＿ｎ）を計算するステップとを含む。この方法は、第１組、第２組、および第３組の確率に依拠して偶発的なハードウェア故障の確率的メトリックの値を取得するステップを含む。
【０００７】
これにより、故障モード影響解析（failure modes and effects analysis）（ＦＭＥＡ）のような解析を用いてＰＭＨＦをより迅速に計算することができる。
【０００８】
フォールトは、直接侵害フォールト（direct violation fault）（ＤＶＦ）の場合がある。ＤＶＦは、安全機構が何も存在しない場合に、安全目標を直接的に侵害する可能性がある。直接侵害フォールトに分類され安全機構によってカバーされないフォールトは、ＩＳＯ２６２６２のシングルポイントフォールト（ＳＰＦ）またはＩＳＯ２６２６２の残存フォールト（ＲＦ）につながる可能性がある。フォールトは、間接侵害フォールト（indirect violation fault）（ＩＶＦ）の場合がある。ＩＶＦは、その他１つ以上のフォールトと組み合わされた場合に限り、安全目標を侵害する可能性がある。間接侵害フォールトに分類されるフォールトは、ＩＳＯ２６２６２のマルチポイントフォールト（multiple point failure）（ＭＰＦ）につながる可能性がある。フォールトは、非侵害フォールト（no violation fault）（ＮＶＦ）の場合がある。ＮＶＦは、その他１つ以上のフォールトと組み合わされても、安全目標を侵害する可能性がない。非侵害フォールトに分類されるフォールトは、ＩＳＯ２６２６２の安全フォールト（safety fault）（ＳＦ）に分類することができる。
【０００９】
この方法は、第１、第２および／または第３組の確率を格納することおよび／または偶発的なハードウェア故障の確率的メトリックの値を格納することを含み得る。この方法は、偶発的なハードウェア故障の確率的メトリックの値を表示することを含み得る。この方法はさらに、偶発的なハードウェア故障の確率的メトリックの値を出力することを含み得る。
【００１０】
この方法は、偶発的なハードウェア故障の確率的メトリックの値を自動的に取得することを含み得る。この方法は、偶発的なハードウェア故障の確率的メトリックの値を自動的に出力することを含み得る。
【００１１】
偶発的なハードウェア故障の確率的メトリックの値を取得するステップは、第１組、第２組、および第３組の確率を加算することを含み得る。偶発的なハードウェア故障の確率的メトリックの値を取得するステップは、当該システムの推定寿命（Ｔｌｉｆｅ）で除算すること（すなわち、第１組、第２組、および第３組の確率の加算を含む結果を除算すること）を含み得る。
【００１２】
この方法は、第２層安全機構から生じる第４組の故障率寄与度を特定するステップをさらに含み得る。偶発的なハードウェア故障の確率的メトリックの値を取得するステップは、第１組、第２組、第３組、および第４組の故障率寄与度を加算することを含む、または、第１組および第２組の故障率寄与度は第４組の故障率寄与度を含む。
【００１３】
偶発的なハードウェア故障の確率的メトリックの値は、好ましくはＩＳＯ２６２６２標準に準拠して取得される。
【００１４】
この方法は、第１層安全機構ごとに、第１層安全機構に影響するフォールトが直接侵害フォールトであるか間接侵害フォールトであるかを判断するステップと、フォールトが第２層安全機構によってカバーされるか否かを判断するステップと、フォールトが第２層安全機構によってカバーされることに依拠して、第１層安全機構と第２層安全機構との間にリンクを構築するステップとをさらに含み得る。
【００１５】
この方法は、エレメントごとに、エレメントに影響するフォールトが直接侵害フォールトであるか間接侵害フォールトであるかを判断するステップと、フォールトが第１層安全機構によってカバーされるか否かを判断するステップと、フォールトが第１層安全機構によってカバーされることに依拠して、部品と第１層安全機構との間にリンクを構築するステップとをさらに含み得る。
【００１６】
第１組の確率を計算するステップは、第１層安全機構ごとに、第１層安全機構における１つの直接侵害フォールトによる寄与度、および、第２層安全機構において生じる第１のフォールトと第１レベル安全機構において生じるその後の第２の直接侵害フォールトとの組み合わせによる寄与度を計算することを含み得る。
【００１７】
第２組の確率を計算することは、部品ごとに、直接侵害フォールトによる寄与度をもしあれば計算することと、間接侵害フォールトによる寄与度をもしあれば計算することとを含む。
【００１８】
第２組の確率を計算することは、部品における直接侵害フォールトによる偶発的なハードウェア故障の確率的メトリックに対する寄与度を求めることを含み得る。第２組の確率を計算することは、部品における間接侵害フォールトによる偶発的なハードウェア故障の確率的メトリックに対する寄与度を求めることを含み得る。
【００１９】
第３組の確率を計算するステップは、部品ごとに、当該部品が別の部品にリンクされているか否かを判断することと、当該部品および上記別の部品について間接侵害フォールトによる偶発的なハードウェア故障の確率的メトリックに対する寄与度を求めることとを含み得る。
【００２０】
電子システムは、集積回路、または、複数の電子コンポーネントであってもよい。たとえば、集積回路はマイクロコントローラであってもよい。マイクロコントローラは、車台用途で使用されるように構成されたマイクロコントローラであってもよい。たとえば、マイクロコントローラは、ＦｌｅｘＲａｙ通信コントローラを含み得る。集積回路は、特定用途向け集積回路（ＡＳＩＣ）であってもよい。複数の電子コンポーネントは、集積回路、抵抗器、ダイオードその他などの離散コンポーネント、ＭＥＭＳデバイス、センサ、および／またはアクチュエータを含み得る。
【００２１】
本発明の第２の局面に従い、電子コンポーネントを設計する方法が提供される。この方法は、電子コンポーネントの設計を作成するステップと、電子装置の第１の設計の機能安全データを生成するステップと、当該機能安全データに依拠して電子装置の改定された設計を作成するステップとを含む。
【００２２】
本発明の第３の局面に従い、電子コンポーネントを製造する方法が提供される。この方法は、電子コンポーネントを設計するステップと、改定された設計に従って電子コンポーネントを製造するステップとを含む。
【００２３】
本発明の第４の局面に従い、データ処理装置によって実行されるとこのデータ処理装置に上記方法を実行させるコンピュータプログラムが提供される。
【００２４】
本発明の第５の局面に従い、上記コンピュータプログラムを格納するコンピュータ読取可能媒体を含むコンピュータプログラムプロダクト（非一時的なものであってもよい）が提供される。
【００２５】
本発明の第６の局面に従い、少なくとも１つのプロセッサと少なくとも１つのメモリとを備えるデータ処理装置を含む設計支援システムが提供される。上記少なくとも１つのプロセッサは上記方法を実行するように構成される。
【００２６】
本発明の第７の局面に従い、上記製造方法によって製造された電子システムが提供される。
【００２７】
次に、例示として、添付の図面を参照しながら本発明の特定の実施形態を説明する。
【図面の簡単な説明】
【００２８】
【図１】電子システムのエレメントと、当該エレメントの一部分の保護を提供する第１層安全機構（ＦＬ−ＳＭ）と、第１層安全機構の一部分の保護を提供する第２層安全機構（ＳＬ−ＳＭ）とを概略的に示す図である。
【図２Ａ】第１および第２のフォールトのＦＴＡ分岐を示す図である。
【図２Ｂ】図１Ａに示される第１および第２のフォールトのタイムラインを示す図である。
【図３】フォールトのタイムラインを示す図である。
【図４】その順序に意味がある２つのフォールトのタイムラインを示す図である。
【図５】その順序に意味がない２つのフォールトのタイムラインを示す図である。
【図６】その順序に意味がありタイムスパンτ内で発生する２つのフォールトのタイムラインを示す図である。
【図７】その順序に意味がなく、あるタイムスパン内で発生する、第１および第２のフォールトと、このタイムスパンの終了後に発生する第３のフォールトとを含む、３つのフォールトのタイムラインを示す図である。
【図８】第１のタイムスパン内で発生する第１のフォールトと、第１のタイムスパンの終了後に発生する第２のタイムスパン内で発生する第２のフォールトと、第２のタイムスパンの終了後に発生する第３のフォールトとを含む３つのフォールトのタイムラインを示す図である。
【図９】第１および第２の間接侵害フォールト（ＩＶＦ）フォールトのＦＴＡ分岐を示す図である。
【図１０】ＰＭＨＦ値を生成する方法のプロセスフロー図である。
【図１１】ＳＬ−ＳＭのラムダ値を導出する方法のプロセスフロー図である。
【図１２】ＦＬ−ＳＭのラムダ値を導出する方法のプロセスフロー図である。
【図１３】エレメントのラムダ値を導出する方法のプロセスフロー図である。
【図１４】ＦＬ−ＳＭからの基本寄与度を求める方法のプロセスフロー図である。
【図１５】部品からの基本寄与度を求める方法のプロセスフロー図である。
【図１６】ＩＶＦフォールトによるＰＭＨＦ寄与度を求める方法のプロセスフロー図である。
【図１７】ＰＭＨＦの算出を説明する図である。
【図１８】カスタマイズ可能な解析レポートを格納する安全データベースを含む設計支援システムの概略ブロック図である。
【図１９】顧客安全解析システムの概略ブロック図である。
【図２０】設計支援プロセスフロー図である。
【図２１】エレメント特徴付けデータの概略図である。
【図２２】電子システムまたはコンポーネントの概略ブロック図である。
【発明を実施するための形態】
【００２９】
特定の実施形態の詳細な説明
本明細書ではＰＭＨＦの値をＦＭＥＡのような解析を用いて取得できるプロセスを説明する。これを用いることにより、集積回路等の電子システムまたはその一部の安全性を、ＦＴＡのような手法を用いる場合よりも容易におよび／または迅速に評価することができる。
【００３０】
図１を参照して、ハードウェアを含み得るエレメント（本明細書では「部品」とも呼ぶ）が示されている。このエレメントは、たとえばマイクロコントローラである集積回路等のシステムに含まれている。エレメントは、たとえば、処理部、揮発性メモリ、不揮発性メモリ、データ転送部、各種のインターフェイス部、各種の通信部およびタイマ部であってもよい。当該システムには複数の安全機構を設けることができ、これらの安全機構は各々、ハードウェア、ソフトウェア、またはその組み合わせで実現し得る。安全機構（本明細書では「第１層安全機構」と呼ぶ）は、エレメントのすべてまたは一部分に対するカバレッジを提供し得る。安全機構（本明細書では「第２層安全機構」と呼ぶ）は、別の安全機構のすべてまたは一部分に対するカバレッジを提供し得る。機能安全解析を実行することにより、エレメントのＰＭＨＦ値を、すなわち、偶発的なハードウェアフォールトが原因で当該エレメントが故障する（そしてその安全目標を侵害する）確率を、求めることができる。このプロセスは、安全機構を考慮して、ｎ＝２とするＳＰＦ、ＲＦおよびＭＰＦ等のフォールトの範囲を検討することを含む。
【００３１】
一例として、エレメントは主発振器であってもよい。第１層安全機構はクロックモニタの形態で提供されてもよい。このようなクロックモニタは、当該クロックモニタの部分的な制御および検出（control and detection）（「Ｃ＆Ｄ」）カバレッジを提供し得る。しかしながら、クロックモニタのための安全機構は存在しない場合がある。言い換えると第２層安全機構が存在しない場合がある。安全目標の侵害につながり得る１つのフォールトまたは複数のフォールトの組み合わせは、（１）フォールトにリンクされた主発振器のカバーされていない部分の何らかのフォールトおよび（２）クロックモニタを利用できないようにするフォールトであって、その後クロックモニタのカバーされている部分にフォールトが生じる。あるエレメントのカバーされていない部分は、カバーされていない故障／フォールトにリンクされる。
【００３２】
よって、安全解析を用いることにより、主発振器の故障率をさまざまなラムダ値に分解することができる。
【００３３】
このプロセスは、ｎ＝２とするＳＰＦ、ＲＦおよびＭＰＦ等のフォールトのタイプごとに、本明細書では「基本寄与度（basic contribution）」（ＢＣ）と呼ぶ行動モデルを定義または使用し、寄与度ごとにハザードを生じさせる確率を導出し、寄与度を合計することで全体のＰＭＨＦ値を取得することに、基づいている。各基本寄与度は、ハザードを生じさせる可能性がある一連の独立したフォールトを表し得るものであり、これらのフォールトの正確な順序を示すタイムラインによって特徴付けられる。基本寄与度は、（タイムラインで示される）イベントが発生する確率である。
【００３４】
図２Ａおよび図２Ｂはそれぞれ、ＦＴＡ分岐の一例、および、対応する、基本寄与度に関する第１および第２のフォールトＦ１、Ｆ２のタイムラインを示す。基本寄与度を図示し説明するこれら２つのやり方は入れ替えが可能である。
【００３５】
図示されている例において、第２のフォールトＦ２は、第１のフォールトＦ１よりも後に発生した場合に限り、ハザードを生じさせる。ＦＴＡ分岐表現を用いる場合、この順序は、第２のフォールトＦ２の左側のボックスに入れられた文字「Ｌ」を用いて示される。よって、この例において、第２のフォールトＦ２は、ハザードを生じさせる、最後に生じるフォールトでなければならない。このため、ＦＴＡ分岐は対応する基本寄与度に置き換えることができる。
【００３６】
以下、さまざまな基本寄与度について説明する。
このプロセスは、１セットの仮定および複数のフォールトセットに基づく。１セットの仮定の例および複数のフォールトセットの例をそれぞれ表１および表２に示す。仮定は修正してもよい。たとえば、その他の仮定を使用してもよい。
【００３７】
【表１】
2020517018.tif 000003
【００３８】
【表２】
2020517018.tif 000004
【００３９】
指数「ｉ」および「ｊ」はそれぞれ、第１層安全機構（または「ＦＬ−ＳＭ」）および第２層安全機構（または「ＳＬ−ＳＭ」）に対して使用される。これらの指数は、ある部品（またはＦＬ−ＳＭ）とそれに対応する安全機構との間に明確なリンクを構築することを目的としている。部品の例は、たとえば、マイクロコントローラまたはその他の集積回路に含まれ得る、ＣＰＵコア、埋め込まれたメモリ、または通信ユニットを含む。
【００４０】
以下、簡潔にするために１つの第１層安全機構（または第２層安全機構）に注目する場合がある。しかしながら、実際は、ある部品に影響するフォールトは２つ以上の安全機構によってカバーすることが可能であり、第１層安全機構のフォールトは２つ以上の第２層安全機構によってカバーすることが可能である。したがって、たとえ本明細書において１度に言及するのが１つの安全機構であっても、本プロセスは、２つ以上の安全機構がともに作用する可能性を考慮することができる。
【００４１】
表２に示されるセットは、以下に記載の基本寄与度の説明を簡単にすることを意図する簡略化された例である。たとえば、「Ｐａ＿ＤＶＦ＿Ｄｉ＿Ｄｊ」および「Ｐａ＿ＤＶＦ＿Ｄｉ＿Ｕ」というセットには意味がない。なぜなら、部品Ｐａのフォールトは、ＦＬ−ＳＭｉの一部ではなく全体によってカバーされるからである。したがって、フォールトは、ＦＬ−ＳＭのサブ部分すべてによってカバーされる。言い換えると、より実用的な用途では、どちらのセットも含む１つのセット、すなわちＰａ＿ＤＶＦ＿Ｄｉを用いることができる。表２に示されるセットは、基本寄与度を如何にして使用するかをより分かり易くするのに役立つことを意図している。ＰＭＨＦの実際の評価は、表５に示されるセットを用いて行う。
【００４２】
基本寄与度の定義
このセクションにおける式は確率論から導き出される。簡潔にするために、このセクションでは以下の名称および記号を用いる。
Ｆｉ  フォールトｉ
λｉ  Ｆｉに対応付けられたＦＩＴ（または「故障率」）の一部分
ｔＦｉ  Ｆｉが生じる瞬間
Ｔｌｉｆｅ  解析中のアイテムの推定寿命
τ  可能な第２層ＳＭによる第１層ＳＭの２つの異なるテスト間の推定タイムスパン（本明細書では「テスト間隔」とも言う）
ＦＴＴ  フォールトトレラントタイム
ＢＣｓｉｎｇｌｅ
ＢＣｓｉｎｇｌｅは、全寿命期間中に起こり得る、どのＳＭによってもカバーされない１つのフォールトのＰＭＨＦに対する寄与度である。図３はこの寄与度のタイムラインを示す。確率論から、以下の式１を用いてＢＣｓｉｎｇｌｅのＰＭＨＦに対する定量的寄与度を評価することが可能である。
【００４３】
【数１】
2020517018.tif 000005
【００４４】
例：どのＳＭによってもカバーされないＤＶＦフォールトは、車の全寿命期間中においていつでもハザードを生じさせる可能性がある。よって、そのＰＭＨＦに対する寄与度は式１を用いて評価することができる。ＤＶＦフォールトの影響を受ける可能性がある部品全体を考慮して、この寄与度をフォールトごとに評価する必要がある。結果は以下の式２によって表される。
【００４５】
【数２】
2020517018.tif 000006
【００４６】
ＢＣｄｏｕｂｌｅ＿ｏｒｄ
ＢＣｄｏｕｂｌｅ＿ｏｒｄは、特定の順序で発生する２つのフォールトの寄与度である。すなわち、第１のフォールトＦ１が最初に発生し第２のフォールトＦ２が次に発生する。図４はこの寄与度のタイムラインを示す。確率論から、以下の式３を用いてＢＣｄｏｕｂｌｅ＿ｏｒｄのＰＭＨＦに対する定量的寄与度を評価することが可能である。
【００４７】
【数３】
2020517018.tif 000007
【００４８】
式３の独立変数（λＦ１，λＦ２）の順序は、ハザードを発生させるフォールトのシーケンスと同一である。なお、この式は乗算を含むので、項の順序には意味がない。
【００４９】
例：制御および検出（control and detection）（「Ｃ＆Ｄ」または簡単に「ＣＤ」とも呼ぶ）が可能な安全機構がカバーするＤＶＦフォールトは、フォールトが発生する前に安全機構が利用できなくなった場合に限り、ハザードを生じさせる可能性がある。この場合のハザードをもたらすフォールトのシーケンスは図４に示され、第１のフォールトＦ１は安全機構を利用不能にするフォールトであり、第２のフォールトＦ２はＤＶＦフォールトである。
【００５０】
部品に影響する１つのＤＶＦフォールトごとに、安全機構を利用できなくするすべてのフォールトについて、この寄与度を評価する必要がある。結果は以下の式４によって表される。
【００５１】
【数４】
2020517018.tif 000008
【００５２】
ＢＣｄｏｕｂｌｅ＿ｕｎｏｒｄ
ＢＣｄｏｕｂｌｅ＿ｕｎｏｒｄは、そのシーケンスに制限が課されずに発生する２つのフォールトの寄与度である。図５はこの寄与度のタイムラインを示す。フォールトとフォールトとの間の両矢印は、フォールトの発生の順序には意味がないのでフォールトを入れ替えることができることを示している。確率論から、以下の式５を用いてＢＣｄｏｕｂｌｅ＿ｕｎｏｒｄのＰＭＨＦに対する定量的寄与度を評価することができる。
【００５３】
【数５】
2020517018.tif 000009
【００５４】
例：制御を提供するが検出は提供しない安全機構がカバーするＤＶＦフォールトは、（１）安全機構がフォールトの発生前に利用できなくなる、および、（２）安全機構が、Ｐのフォールトが発生した（したがって潜在的な状態のままで制御されてきた）後に利用できなくなる、という条件のうちのいずれか一方が満たされると、ハザードを生じさせる可能性がある。これらの条件はどちらも図５に示され、式５はこのケースを表している。
【００５５】
部品に影響するＤＶＦフォールトごとに、安全機構を利用できなくするすべてのフォールトについて、この寄与度を評価する必要がある。結果は以下の式６によって表される。
【００５６】
【数６】
2020517018.tif 000010
【００５７】
ＢＣｔａｕ
ＢＣｔａｕは、限定されたタイムスパンτ内で特定の順序で発生する２つのフォールトの寄与度である。この基本寄与度はＢＣｄｏｕｂｌｅ＿ｏｒｄに似ているが、相違点は、寄与が可能になるタイムスパンが存在することである。図６は、この寄与度についてフォールトのシーケンスのタイムラインを示す。確率論から、ＢＣｔａｕのＰＭＨＦに対する定量的寄与度を以下の式７を用いて評価することが可能である。
【００５８】
【数７】
2020517018.tif 000011
【００５９】
例：これは、次に（τごとにテストを実行する）ＳＬ−ＳＭによってモニタリングされるＦＬ−ＳＭによって制御され（場合によっては検出され）るＤＶＦフォールトがハザードを生じさせ得る、可能な方法のうちの１つである。
【００６０】
ＳＬ−ＳＭによって実行される２つの連続するテストとテストとの間において、フォールト（Ｆ１）が発生してＦＬ−ＳＭを利用不能にしたか否かに気付く方法はない。よって、同じタイムスパンにおいて部品に別のフォールトが生じた場合、ハザードが生じるであろう。
【００６１】
この寄与度について、ＳＬ−ＳＭが利用不能である可能性は考慮してこなかった。なぜなら、ＳＬ−ＳＭには周期特性があるので（表１参照）、図５に示されるフォールトのシーケンスは、ＳＬ−ＳＭが正しく働いているか否かとは関係なく、ハザードを生じさせる可能性がある。
【００６２】
式８は、部品および安全機構に影響を与えるすべてのフォールトを考慮して、全体的なＢＣｔａｕ寄与度を提供する。
【００６３】
【数８】
2020517018.tif 000012
【００６４】
ＢＣｔｅｓｔ
ＢＣｔｅｓｔは、特定の時間制約の下で発生する３つのフォールトの寄与度である。この制約とは、第１および第２のフォールトＦ１、Ｆ２は同じ時間間隔［（ｎ−１）τ，ｎτ］内で発生しなければならず、第３のフォールトはｔＦ３＞ｎτ後に発生しなければならない、という制約である。第１および第２のフォールトＦ１、Ｆ２の発生順序は逆であってもよい。図７は、この寄与度に関するフォールトのシーケンスのタイムラインを示す。確率論から、以下の式９を用いて、ＢＣｔｅｓｔのＰＭＨＦに対する定量的寄与度を評価することができる。
【００６５】
【数９】
2020517018.tif 000013
【００６６】
例：これは、次に（τごとにテストを実行する）ＳＬ−ＳＭによってモニタリングされるＦＬ−ＳＭによって制御されるＤＶＦフォールトが、前のものとは無関係のハザードを生じさせ得る、もう１つの可能な方法である。
【００６７】
同じテスト間隔［（ｎ−１）τ，ｎτ］内で第１層安全機構および第２層安全機構双方が利用できなくなった場合、第１層安全機構がもはや機能していないことに気付く可能性はなく、したがってＰに発生するどのフォールトもカバーされず、ハザードが発生する。式１０は、ある部品、その関連する第１層および第２層安全機構全体に関連する全体的なＢＣｔｅｓｔ寄与度を提供する。
【００６８】
【数１０】
2020517018.tif 000014
【００６９】
ＢＣｃａｓｃａｄｅは、第１のフォールトＦ１が間隔［（ｍ−１）τ，ｍｔ］内で発生し、第２のフォールトＦ２がｔＦ２∈［（ｎ−１）τ，ｎτ］、ｎ＞ｍで発生し、第３のフォールトＦ３がｔＦ３＞ｎτで発生するというシーケンスで生じる３つのフォールトの寄与度である。図８はこの寄与度を生じさせるフォールトのシーケンスのタイムラインを示す。確率論から、式１１を用いて、ＢＣｃａｓｃａｄｅのＰＭＨＦに対する定量的寄与度を評価することが可能である。
【００７０】
【数１１】
2020517018.tif 000015
【００７１】
例：これもまた、次に（τごとにテストを実行する）ＳＬ−ＳＭによってモニタリングされるＦＬ−ＳＭによって制御されるＤＶＦフォールトが、前のものとは無関係のハザードを生じさせ得る、可能な方法である。
【００７２】
ＳＬ−ＳＭが最初に利用できなくされる場合（Ｆ１）、ＦＬ−ＳＭで発生するフォールト（Ｆ２）は検出することができず、したがって、ＤＶＦフォールトが発生すると（Ｆ３）、それはハザードを生じさせるであろう。なお、第３のフォールトＦ３は間隔［（ｎ−１）τ，ｎτ］内では発生し得ない。なぜなら、第２のフォールトＦ２、さもなければＢＣｃａｓｃａｄｅはＢＣｔａｕとは無関係であるからである。式１２は、ある部品、それに関連する第１層安全機構および第２層安全機構全体に関連する全体的なＢＣｃａｓｃａｄｅ寄与度を提供する。
【００７３】
【数１２】
2020517018.tif 000016
【００７４】
ＢＣ２Ｌａｙｅｒｓ
第１層および第２層安全機構双方が検出を実行している場合、これらの、ハザードをもたらす総確率のみを、無関係の３つのイベントＢＣｔａｕ、ＢＣｔｅｓｔ、およびＢＣｃａｓｃａｄｅの組み合わせとして計算することができる。結果として、３つの基本レイヤが一緒に使用されるので、式１３に記載される新たな寄与度（「ＢＣ２Ｌａｙｅｒｓ」）は、それらの総和として定義することができる。
【００７５】
【数１３】
2020517018.tif 000017
【００７６】
ＢＣの適用
安全解析プロセスにおいて、ＰＭＨＦは、ＦＬ−ＳＭがカバーし得るいずれかの種類のフォールト（ＤＶＦまたはＩＶＦのいずれか）から発生するハザードを生じさせることが可能な、交わらないまたは無関係のすべてのイベントに関連する基本寄与度のすべての組み合わせを合計することによって、計算できる。制御および／または検出機能を有するＦＬ−ＳＭは、ＳＬ−ＳＭによってモニタリングされる場合とされない場合とがある。
【００７７】
表３は、ＤＶＦフォールトのセットごとにＰＭＨＦを評価するためにどの基本寄与度を考慮するかを示す。ＩＶＦフォールトは表４において考慮されている。フォールトセットの詳細な説明については再び表２を参照されたい。
【００７８】
【表３】
2020517018.tif 000018
【００７９】
ＩＤ５の項「ＢＣｄｏｕｂｌｅ＿ｏｒｄ（λＰａ＿ＤＶＦ＿Ｃｉ＿Ｄｊ，λＦＬ−ＳＭｉ＿ＩＶＦ＿Ｄｊ）」は、ＦＬ−ＳＭｉには制御機能しかないので、必要である。Ｐａにフォールトが発生した場合、これは制御されるがＦＬ−ＳＭｊからの通知はない。その後フォールトが原因でＦＬ−ＳＭｉが利用できなくなった場合、ＳＬ−ＳＭｊとは無関係にハザードが派生する。手堅い仮定は、ＤＶＦのＦＴＴが０という仮定である。上述の基本寄与度の説明において提供した例は、表３のその他の項を説明するのに十分である。
【００８０】
図９を参照して、ＦＴＡ手法では、２つの独立したＩＶＦフォールトによるＰＭＨＦへの寄与度を、これら２つのフォールトに関連する２つの分岐の結果を乗算する（すなわちＡＮＤゲートを通して組み合わせる）ことによって評価する。ＦＴＡ手法と本明細書に記載の手法との間に類似性があるので、表４に示すように拡張によりＩＶＦフォールトからの寄与度を計算することが可能である
【００８１】
【表４】
2020517018.tif 000019
【００８２】
表４において、指数「ｈ」および「ｖ」はそれぞれ、部品Ｐｂに関連するＦＬ−ＳＭおよびＳＬ−ＳＭに対して用いられている。この変化を認識すると、表２を部品Ｐｂに関連するフォールトのセットを記述するために使用することもできる。
【００８３】
表４において、各式は係数０．５を含む。これは、ＩＶＦフォールトによる寄与度の過度の推定を避けるために導入される。上記表の例を考慮すると、部品ＰａおよびＰｂのＩＶＦフォールトによるＰＭＨＦに対する全体的な寄与度（ＫＰａ＿Ｐｂ）は次の通りである。
ＫＰａ＿Ｐｂ＝ＩＩＶＦ＿ａ・ＫＩＶＦ＿ｂ
Ｐａに関連するすべての寄与度を合計する（表４の列「ＰＭＨＦ寄与度」）と、結果（ＫＩＶＦ＿ａ）は次の通りになる。
ＫＩＶＦ＿ａ＝０．５・ＫＰａ・ＫＰｂ
また、このような合計をＰｂ（ＫＩＶＦ＿ｂ）に用いて、
ＫＩＶＦ＿ｂ＝０．５・ＫＰｂ・ＫＰａ
を得る。
【００８４】
そうすると、全体の寄与度は次のように評価できる。
ＫＰａ＿Ｐｂ＝ＫＩＶＦ＿ａ＋ＫＩＶＦ＿ｂ＝０．５・ＫＰａ・ＫＰｂ＋０．５・ＫＰｂ・ＫＰａ＝ＫＰａ・ＫＰｂ
上記表４を参照して、ＩＶＦの場合、ＦＴＴはＤＶＦの場合よりも大きく、ほとんどの場合、これは、ＳＬ−ＳＭはＦＬ−ＳＭの非可用性を検出することしかできないということである。ＦＬ−ＳＭの非可用性を検出することにより、ハザードを回避して、この寄与度を無視することができ、この場合、項「ＢＣｄｏｕｂｌｅ＿ｏｒｄ（λＰａ＿ＩＶＦ＿Ｃｉ＿Ｄｊ，λＦＬ−ＳＭｉ＿ＩＶＦ＿Ｄｊ）」の導入は、ＤＶＦの場合よりも一層手堅い。
【００８５】
引続き表４を参照して、列「注」のＫＰｂの式は、ＩＶＦフォールトに対して作用するＳＭ（ＦＬタイプおよびＳＬタイプ双方）の可能なすべての組み合わせを考慮して、最も一般的なやり方で書かれたものである。なお、部品Ｐｂにフォールトのセットが存在しない場合、ＦＩＴの関連する部分は０であり、対応付けられるＢＣもそうである。
【００８６】
たとえば、部品Ｐｂにおいて、ＦＬ−ＳＭによって検出されたフォールトがない場合、λＰｂ＿ＩＶＦ＿Ｄｈ＿ＵおよびλＰｂ＿ＩＶＦ＿Ｄｈ＿Ｄｖはどちらも０に等しく、結果として、これらを用いるＢＣである、λ（ＢＣｄｏｕｂｌｅ＿ｏｒｄ（λＦＬ−ＳＭｈ＿ＩＶＦ＿Ｕ＿Ｕ，λＰｂ＿ＩＶＦ＿Ｄｈ＿Ｕ），ＢＣ２Ｌａｙｅｒｓ（λＰｂ＿ＩＶＦ＿Ｄｈ＿Ｄｖ，λＦＬ−ＳＭｈ＿ＩＶＦ＿Ｄｖ，λＳＬ−ＳＭｖ））も、０に等しい。
【００８７】
設計全体についてすべての基本寄与度が評価されると、式１４に記載されるように、すべての基本寄与度を合計することによって総ＰＭＨＦ値を計算することが可能である。この式において、ＫＩＶＦは、ＩＶＦフォールトの影響を受ける部品による寄与度を考慮する。
【００８８】
【数１４】
2020517018.tif 000020
【００８９】
安全解析フローへの統合
図１０を参照して、ＰＭＨＦ値を求めるプロセスが示されている。このプロセスは、第２層安全機構のλの値を導出すること（ステップＳ８．１）と、第１層安全機構のλの値を導出すること（ステップＳ８．２）と、部品のλの値を導出すること（ステップＳ８．３）と、第１層安全機構からの基本寄与度を求めること（ステップＳ８．４）と、部品からの基本寄与度を求めること（ステップＳ８．５）と、ＩＶＦフォールトによるＰＭＨＦ寄与度を求めること（ステップＳ８．６）と、ＰＭＨＦを計算すること（ステップＳ８．７）とを含む。
【００９０】
先に述べたように、実際のＰＭＨＦ評価は、表２に記載されているものと異なるフォールトのセットを用いて行われる。このプロセスを詳細に説明する前に、フォールトのセットについて先ず説明する。
【００９１】
【表５】
2020517018.tif 000021
【００９２】
表５において、最後の列は、ＰＭＨＦ寄与度を評価するために提案する式の理解に役立つことを意図している。これは、どの記述セット（表２で使用）が実際のフォールトセットを構成するかを示している。さらに、実際のセットが２つの記述セットからなる場合、第４列の式は、異なる記述セットに関連する用語を区別するための異なる２つのフォントスタイル（通常およびイタリック）で書かれている。最後の列でも同じ表記を用いることで式およびセットをリンクさせ易くしている、すなわち、最後から２番目の列においてイタリック体で書かれた式は、最後の列のイタリック体の記述セットに関連している。
【００９３】
以下のステップは、表５を基準として構成されたものである。フォールトセットが部品（またはＦＬ−ＳＭ）に存在しなければ、ＦＩＴの対応する部分、したがって対応付けられた基本寄与度は、ゼロである。
【００９４】
ＳＬ−ＳＭのλ微分の導出（ステップＳ８．１）
図１０を参照して、このプロセスは、設計に提供された第２層安全機構に対応付けられたＦＩＴの部分を求める。モデルの開発に使用された仮定のうちの１つは、このような安全機構の誤った挙動がハザードを直接生じさせることはできないので、所与のＳＬ−ＳＭ（ＳＬ−ＳＭｊ）に対応付けられたＦＩＴ全体が  λＳＬ−ＳＭｊに加算される（ステップＳ８．１．１〜Ｓ８．１．７）という仮定である。
【００９５】
ＦＬ−ＳＭのλを導出（ステップＳ２）
図１１を参照して、本プロセスは、第１層安全機構に対応付けられたＦＩＴの部分を求める（ステップＳ８．２．１〜Ｓ８．２．１４）。これらの安全機構のうちの少なくともいくつかがハザードを直接生じさせる可能性があるというのが妥当な仮定である。そのため、第１のチェックをこれらの第１層安全機構に対して実行することにより、所与のＳＭ（ＦＬ−ＳＭｉ）に影響するフォールトがＤＶＦまたはＩＶＦであると特定する（ステップＳ８．２．３）。第２のチェックを実行することにより、フォールトが安全機構によってカバーされるか否かを判断する（ステップＳ８．２．４）。フォールトが安全機構によってカバーされることがわかると、ＦＬ−ＳＭとＳＬ−ＳＭとの間にリンクが構築される（ステップＳ８．２．５およびＳ８．２．１０）。このリンクは、少なくとも一時的に、ワーキングメモリ４８（図１９）におけるラムダ分類データ４７（図１９）に格納される。このリンクにより、基本寄与度を評価するときに、式で使用されるＦＩＴの正しい部分に対応することができる。２つ以上の安全機構によってフォールトがカバーされることが判明した場合は、ランクが最も高い安全機構についてのみ、リンクが発行される。
【００９６】
これらのチェックの結果、安全機構のＦＩＴは、以下の異なる（すなわち交わらない）セット、すなわち、λＦＬ−ＳＭｉ＿ＤＶＦ＿Ｕ、λＦＬ−ＳＭｉ＿ＤＶＦ＿Ｃｊ、λＦＬ−ＳＭｉ＿ＩＶＦ＿Ｕ、およびλＦＬ−ＳＭｉ＿ＩＶＦ＿Ｃｊに分割される。第２層安全機構はフォールトの検出のみが可能である（フォールトの制御はできない）と想定されているので、第１層安全機構におけるフォールトが制御のみであるのかまたは検出も可能なのかを区別する必要はない。
【００９７】
部品のλを導出（ステップＳ８．３）
図１２を参照して、本プロセスは、部品に対応付けられたＦＩＴの部分を求める（ステップＳ８．３．１〜Ｓ８．３．１８）。
【００９８】
部品のλの導出は、第１層安全機構のλの導出と同様であり、主な相違点は、制御のみが行われるフォールトと、検出も行われるフォールトとの区別がなされる点である。よって、本プロセスは、フォールトに対して制御のみ行われるか否かをチェックする（ステップＳ８．３．６およびＳ８．３．１３）。
【００９９】
第１層安全機構のλの導出の場合、部品と、そのフォールトをカバーする安全機構との間に、リンクが生成される（ステップＳ８．３．５およびＳ８．３．１２）。同様に、２つ以上の安全機構によってフォールトがカバーされることが判明すると、ランクが最も高い安全機構についてのみ、リンクが発行される。
【０１００】
このステップの最後に、以下のλのセット、すなわち、λＰｎ＿ＤＶＦ＿Ｕ、λＰｎ＿ＤＶＦ＿Ｄｉ、λＰｎ＿ＤＶＦ＿Ｃｉ、λＰｎ＿ＩＶＦ＿Ｕ、λＰｎ＿ＩＶＦ＿Ｄｉ、およびλＰｎ＿ＩＶＦ＿Ｃｉを用いることができる。ステップＳ１〜Ｓ３は、異なる順序で実行することができ、これらのステップうちの１つ以上を修正してもよい。
【０１０１】
ＦＬ−ＳＭからの基本寄与度を求める（ステップＳ８．４）
図１３を参照して、電子システム（マイクロコントローラ等）の部品および安全機構についてＦＩＴのサブセットが導出されると、本プロセスは、安全機構のＤＶＦフォールトによるＰＭＨＦ寄与度を求める（ステップＳ８．４．１〜Ｓ８．４．４）。ｉ番目の安全機構のＤＶＦフォールトによる寄与度をＫＳＭ＿ｉで示す。ｉ番目の安全機構ＳＭｉがＤＶＦフォールトの影響を受けない場合、ＫＳＭ＿ｉ＝０である。
【０１０２】
ＫＳＭ＿ｉが評価されると、このＫＳＭ＿ｉは、ＰＭＨＦの計算のための式において直接使用される。
【０１０３】
表３に従い、第１層安全機構については、ＤＶＦフォールトによる寄与度のみが考慮される。ＩＶＦフォールトによる寄与度は、安全機構自体がカバーする部品の解析中に直接考慮される。
【０１０４】
部品からの基本寄与度を求める（ステップＳ８．５）
図１４を参照して、本プロセスは、所与の部品Ｐｎに影響を与えるＩＶＦおよびＤＶＦフォールトによるＰＭＨＦへの寄与度を求める（ステップＳ８．５．１〜Ｓ８．５．７）。
【０１０５】
このステップの出力は次の通りである。
ＫＤＶＦ＿ｎ：ＤＶＦフォールトによる寄与度。ＰｎにＤＶＦフォールトがなければ、ＫＤＶＦ＿ｎ＝０である。ＫＤＶＦ＿ｎは、評価されると、ＰＭＨＦの計算のための式において直接使用される。
【０１０６】
ＫＩＶＦ＿ｎ：ＩＶＦフォールトによる寄与度。ＰｎにＩＶＦフォールトがなければ、ＫＩＶＦ＿ｎ＝０である。ＰＭＨＦの計算のための式でＫＩＶＦ＿ｎを使用する前に、別の評価ステップを実行する必要がある。
【０１０７】
項「ΣＢＣｄｏｕｂｌｅ＿ｕｎｏｒｄ（λＰｎ＿ＩＶＦ＿Ｃｉ，λＦＬ−ＳＭｉ＿ＩＶＦ＿Ｕ）」および「ΣＢＣ２Ｌａｙｅｒｓ（λＰｎ＿ＩＶＦ＿Ｄｉ，λＦＬ−ＳＭｉ＿ＩＶＦ＿Ｄｊ，λＳＬ−ＳＭｊ）」はそれぞれ、式１５および式１６に記載したように評価される。この例で使用されるＦＩＴのセットが表６に示される。
【０１０８】
【表６】
2020517018.tif 000022
【０１０９】
【数１５】
2020517018.tif 000023
【０１１０】
ＩＶＦフォールトによるＰＭＨＦ寄与度を求める（ステップＳ８．６）
図１５を参照して、本プロセスは、ＩＶＦによるＰＭＨＦに対する寄与度を求める（ステップＳ８．６．１〜Ｓ８．６．７）。ＩＶＦの場合、共在する（concurrent）２つの部品を各々識別することにより、ＰＭＨＦ寄与度を適切に評価する。ＰＢのＩＶＦが安全目標の侵害に至るにはＰＡに影響するＩＶＦが必要である場合、第１の部品ＰＡは第２の部品ＰＢと共在する。共在性は交換可能であり、第１の部品ＰＡが第２の部品ＰＢと共在する場合、第２の部品ＰＢは第１の部品ＰＡと共在する。
【０１１１】
このステップは、ある部品が安全機構を提供するか否かを判断し、当該部品が安全機構を提供するか否かに応じて寄与度を調整する。当該部品が安全機構を提供しない場合、寄与度は存在せず、当該部品が安全機構を提供するのであれば、寄与度はファクタ０．５だけ減じられる。
【０１１２】
安全解析プロセスにおいて、ＩＶＦ共在部品は、部品レベル解析レポート１０（図１８）のエレメント特徴付け１７（図２１）の「IVF_concurrent」属性を用いて識別することができる。
【０１１３】
場合によっては、共在部品を識別することが不可能な場合がある。たとえば、フォールトの影響が手動で推定される場合、フォールトはそれ自身ではハザードを生じさせることはできないと想定され、保守的なやり方で、フォールトがＮＶＦに分類されない場合、当該フォールトはＩＶＦになる。このような場合、当該プロセスは、設計の「最悪ＩＶＦ部品」、つまりＰｇの識別を可能にする。
【０１１４】
このプロセスは先ずＫＰｇを導出する（ステップＳ８．６．１）。ＫＰｇは、部品に影響するすべてのＩＶＦフォールトの寄与度であり、ＩＶＦフォールトによるＰＭＨＦへの寄与度を評価するのに必要な独立した分岐のうちの１つと考えられる。
【０１１５】
このプロセスは次に、ＩＶＦフォールトおよびブランクの「IVF_concurrent」属性を有するＰｎ部品のうちで、ＫＩＶＦ＿ｎが最も高い、Ｐｇを選択する（ステップＳ８．６．３およびＳ８．６．４）。次に、部品Ｐｇのフォールトは、その親部分が「IVF_concurrent」属性のブランク入力を有するＩＶＦフォールトに対して共在する（ステップＳ８．６．３）。
【０１１６】
２つの可能性がある。すなわち（１）部品が、エレメント特徴付け１７（図２１）における属性「IVF_concurrent」１７（図２１）を通して別の部品に明確にリンクされる、または、（２）部品がその他どの部品にもリンクされず、エレメント特徴付け１７（図２１）における関連する属性「IVF_concurrent」１７（図２１）はブランクのままである。
【０１１７】
第１のケースにおいて、計算は簡単であり、必要なのは２つの共在する部品の、前のステップで評価された基本寄与度を組み合わせることだけである（矢印Ａで示される、ステップＳ８．６．３、Ｓ８．６．８およびＳ８．６．１０）。第２のケースにおいて、ＰＭＨＦへの寄与度の評価は、追加のステップ、すなわち「最悪ＩＶＦ部品」の選択を必要とする（ステップＳ６．１）。
【０１１８】
ブランクの「IVF_concurrent」属性１７（図２１）を有する部品の場合、Ｐｎを最悪ＩＶＦ部品Ｐｇ（その選択については後述する）に対応付けるＫＩＶＦ＿ｎを計算する。そうでなければ、エレメント特徴付け１７（図２１）における「IVF_concurrent」属性１７（図２１）に表されるリンクに従い、共在分岐が評価される。
【０１１９】
チェック「ｎ＝ｇ？」（ステップＳ８．６．４）は、部品に影響するＩＶＦフォールトによる寄与度を、もし解析対象のこの部品が「最悪ＩＶＦ部品」に分類されるものである場合、スキップすることを可能にする。
【０１２０】
このステップを導入する理由を以下で説明する。
Ｐｇの解析は以下の寄与度を提供するはずである。
【０１２１】
【数１６】
2020517018.tif 000024
【０１２２】
ｋの値について、ＰｋはＰｇにリンクされた部品であり、一方、Ｐｇに対応付けられた各部品は、以下を提供するはずである。
【０１２３】
【数１７】
2020517018.tif 000025
【０１２４】
よって、Ｐｇの全体的な寄与度およびそれに対応付けられたすべての部品は容易に見出すことができ、ＫＰｇ＿Ｐｋは次の通りである。
【０１２５】
【数１８】
2020517018.tif 000026
【０１２６】
ＫＰｇを評価するために、理想的にはプロセスはＰｇに対応付けられたすべての部品を追跡する必要がある。しかしながら、これは処理リソースを要する。よって、より簡単な解決策を用いることにより、全体的なＫＰｇ＿Ｐｋを容易に推定する。チェック「ｎ＝ｇ？」のため、採用された解決策はＫ’ＩＶＦ＿ｇ＝０を提供し、（矢印Ｂで示される）一連のステップＳ６．４およびＳ６．９に従うと次の通りになる。
【０１２７】
【数１９】
2020517018.tif 000027
【０１２８】
Ｐｇの全体的な寄与度、および、これに対応付けられた、この異なる手法（Ｋ’Ｐｇ＿Ｐｋ）で評価されるすべての部品を計算することにより、以下のように、前に計算したものと全く等しくすることができる。
【０１２９】
【数２０】
2020517018.tif 000028
【０１３０】
ＰＭＨＦを計算（ステップＳ８．７）
図１６を参照して、本プロセスはＰＭＨＦを計算する（ステップＳ８．７）。これは、すべての寄与度ＫＳＭ＿ｉ、ＫＤＶＦ＿ｎ、およびＫＩＶＦ＿ｎｅを合計することによって行われる。
【０１３１】
設計支援システム１
図１７を参照して、マイクロコントローラ等の電子コンポーネントの機能安全データを生成するための設計支援システム１が示されている。
【０１３２】
設計支援システム１は、開発者安全解析システム２と、顧客安全解析システム３と、共有データベース４とを含み、共有データベースは、カスタマイズ可能な解析レポート６およびカスタマイズ可能な解析レポート６を作成するために使用されるフォールトリスト７を含む安全データを格納する。
【０１３３】
カスタマイズ可能な解析レポート６は、解析構成データ８と、解析レポート９と、部品レベル解析レポート１０と、安全機構レポート１１とを含む。解析レポート９は、フォールト影響解析データ１２と、フォールトカバレッジ解析データ１３と、ラムダ値１４と、ハードウェアメトリック値および偶発的なハードウェア故障の確率的メトリック（ＰＭＨＦ）値１５とを含む。部品レベル解析レポート１０は、エレメントのリスト１６と、エレメント特徴付けデータ１７と、フォールト依存解析１８とを含む。図１８に示されるように、フォールト依存解析１８は、フォールト影響解析データ１２と、フォールトカバレッジ解析データ１３とを含む。フォールトリスト７は、フォールト影響解析フォールトリスト１９と、フォールトカバレッジ解析フォールトリスト２０とを含む。カスタマイズ可能な解析レポート６および／またはフォールトリスト７は、一組のテーブルの形態で格納されてもよい。
【０１３４】
フォールト影響解析データ１２およびフォールトカバレッジ解析データ１３は、解析レポート９に含まれている必要はない。同様に、フォールト影響解析データ１２およびフォールトカバレッジ解析データ１３は、部品レベル解析レポート１０に含まれている必要はない。
【０１３５】
フォールト影響解析データ１２およびフォールトカバレッジ解析データ１３は、解析レポート９および／または部品レベル解析レポート１０とは別に格納することができる。フォールト影響解析データ１２およびフォールトカバレッジ解析データ１３を、（たとえばミラーリングによって）複製して解析レポート９および／または部品レベル解析レポート１０のうちの一方または双方に格納することができる。
【０１３６】
設計支援システム１はまた、一組の開発者データベース２１、２２、２３を含む。
ラムダ分類データ４７は、安全データベース４に格納されてもよい。ラムダ分類データ４７は、カスタマイズ可能な解析レポート６に含まれていてもよい。
【０１３７】
開発者は、マイクロコントローラ等の電子部品を設計するときに、カスタマイズ可能な解析レポート６を生成することができる。開発者および／または顧客は、解析構成データ８、フォールト影響解析データ１２およびフォールトカバレッジ１３を変更し、この変更による、ラムダ値１４ならびにハードウェアメトリック値およびＰＭＨＦ値１５への影響を調べてもよい。
【０１３８】
カスタマイズ可能な解析レポート６のうちのいくつかの部分は開発者からは見えるが顧客からは見えないものであってもよい。カスタマイズ可能な解析レポート６のうちのいくつかの部分は顧客から見えるが顧客が変更できないものであってもよい。カスタマイズ可能な解析レポート６のうちのいくつかの部分は、顧客による変更は可能であるものの、開発者が指定した特定の値を有するまたはある範囲に含まれる値の変更に顧客が制限されるものであってもよい。
【０１３９】
設計支援システム１は、データベースおよびデータベース管理システムの形態であってもよい。カスタマイズ可能な解析レポート６は、スプレッドシートおよびテキストファイルの形態で格納されてもよい。
【０１４０】
図１９は、設計支援システム１の開発者側をより詳細に示す。
図１９を参照して、設計支援システム１は、設計データベース２１とフォールトリストデータベース２２と仮定データベース２３とを含む、一組の開発者データベース２１、２２、２３を備える。設計データベース２１は、電子コンポーネントの設計の説明２４を、たとえばサイズ情報を含むレイアウト前のゲートレベルネットリストの形態で、格納する。しかしながら、説明２４は、ロジックブロック間の距離等の、レイアウトに関するその他の情報を含み得る。レイアウト情報を用いてブリッジフォールトを特定することができる。説明２４は、抽象化レベルがより高いまたは低い情報を含み得る。説明２４は、抽象化レベルが２つ以上である情報を含み得る。
【０１４１】
フォールトリストデータベース２２は、起こり得るフォールトのリスト２５を格納する。フォールトリスト２５は、テーブルの形態、たとえば、「０で衝突」または「１で衝突」といった起こり得るフォールトを列挙したスプレッドシートまたはテキストファイルの形態を取ることができる。
【０１４２】
仮定データベース２３は、電子コンポーネントがどのように使用されるかに関する仮定２６を格納する。仮定２６は、テーブルの形態、たとえば、「仮定１：システムは１０ミリ秒ごとにクリアされなければリセットを生成する外部ウォッチドッグを用いている」といった仮定を列挙したスプレッドシートまたはテキストファイルの形態を取ることができる。
【０１４３】
開発者安全解析システム２は、カスタマイズ可能な解析レポート６を生成するためのモジュール２７、２７、２９、３０、３０、３２、４６を含む。開発者安全解析システム２は、設計分割（design partitioning）モジュール２７、フォールト確率特徴付けモジュール２８、フォールト影響解析モジュール２９、安全機構解析モジュール３０、フォールトカバレッジ解析モジュール３１、安全パラメータ生成モジュール３２、およびＰＭＨＦ生成モジュール４６を含む。
【０１４４】
設計支援システム１は、電子コンポーネントの開発中に開発者と顧客とが協力して作業することを可能にする。本明細書に記載のシステム１およびプロセスを用いて、体系化された手法に従い、電子コンポーネントの安全能力を定量化しその成長を査定することができる。設計支援システム１は、電子コンポーネントの設計プロセスのスピードを高めることができる。
【０１４５】
図２１は、エレメント特徴付けデータ１７をより詳細に示す。
図２１を参照して、エレメント特徴付けデータ１７は、エレメントに関する一組のエントリ７０を含み、各エントリ７０は、エレメント識別子（ＩＤ）を含む第１の属性フィールド７１と、エレメント名を含む第２の属性フィールド７２と、ある部品が安全性に関係があるか否かを示すインジケータを含む第３の属性フィールド７３と、フォールト特徴付け名称を含む第４の属性フィールド７４と、故障率特徴付け名称を含む第５の属性フィールド７５  ３５と、当該エレメントがリンクされている別のエレメントの識別子または名称を含む第６の属性フィールド４９とを含み、リンクがなければ、属性は、たとえばナル値またはダミー値に設定されることにより、そういうものとして（本明細書では「ブランク」であると言う）フラグが立てられる。
【０１４６】
エレメント特徴付けデータ１７はまた、当該エレメントに関連するサイズ情報を含み得る。
【０１４７】
エレメント特徴付けデータ１７は、部品レベル解析レポート１０におけるセクションとして、安全データベース４（図１８）に格納される。
【０１４８】
安全解析の概要
図１８、図１９、図２０および図２２を参照して、電子コンポーネントの機能安全能力を解析するための手法全体を示す。本明細書では、マイクロコントローラの例を用いる。しかしながら、この手法は、システムオンチップ（ＳｏＣ）、メモリ、特定用途向け集積回路（ＡＳＩＣ）、アナログＩＣ、混合信号ＩＣ、およびパワーＩＣ、ならびにその他の電子コンポーネント等の、その他のタイプの集積回路に適用することができる。この手法は複数の電子コンポーネントを含む電子システムに適用することができる。
【０１４９】
この例ではマイクロコントローラである電子コンポーネントの設計５１を作成する（ステップＳ１）。
【０１５０】
設計５１を分割してエレメント５２を既定する。エレメント５２は、ＣＰＵコア、埋込まれたメモリおよび通信ユニット等の部品５２１と、マクロおよびデジタル標準セルブロック等のサブ部品５２２とを含む（ステップＳ２）。
【０１５１】
エレメント５２が特定されると、各エレメント５２に影響する可能性がある物理的欠陥を特定し、平均故障率（failures in time）（ＦＩＴ）（デバイス稼働１０億（１０９）時間当たりの予測されるフォールト回数）の単位で測定された故障率をエレメント５２に割り当て、１つ以上のフォールトモデルをエレメント５２に割り当て、２つ以上のフォールトモデルが存在する場合は異なるフォールトモデル間の故障率の分布を割り当てることにより、各エレメント５２を特徴付ける（ステップＳ３）。
【０１５２】
マイクロコントローラに埋め込まれているかまたはマイクロコントローラの外部にあると想定されるセルフチェッキングロジックまたはループバックロジック等の安全機構を特定し、その特性を調べる（ステップＳ４）。以下でより詳細に説明するように、安全機構は、その全体をハードウェアで、全体をソフトウェアでまたはハードウェアとソフトウェア双方を用いて、実現することができる、または、マイクロコントローラの外部に設けることができる。安全機構が特定されると、安全機構の総合的な有効性が判断される（ステップＳ５）。
【０１５３】
安全機構の検討とは無関係に、エレメント５２に対するフォールトの影響を判断する（ステップＳ６）。以下でより詳細に説明するように、マイクロコントローラの使用に関する仮定を行うことができる。
【０１５４】
フォールトのカバレッジおよびフォールトの影響が評価されると、フォールト分類が行われる。これにより、マイクロコントローラの故障率およびハードウェアメトリックが得られる（ステップＳ７）。
【０１５５】
レポート６における結果１４、１５が出力されて安全データベース４に格納される。以下で詳細に説明するように、レポート６はカスタマイズ可能である。開発者および／または顧客は、入力パラメータを変更し、結果１４、１５がどのように変化するかを知ることができる。
【０１５６】
偶発的なハードウェア故障による安全目標侵害の確率を評価することができる（ステップＳ８）。先に述べたように、ＰＭＨＦの値はＦＭＥＡと同様の解析を用いて得ることができる。
【０１５７】
定量的目標に対する結果のコンプライアンスをチェックすることができる（ステップＳ９）。これは、定められた目標に対し、ハードウェアメトリック値および偶発的なハードウェア故障の確率的メトリック（ＰＭＨＦ）／カットセット法をチェックすることにより、もっともらしさおよびコンプライアンスをチェックすることを含む。オンチップモジュール間のインタラクションを解析することができる（ステップＳ１０）。
【０１５８】
安全解析、ハードウェアメトリック値およびＰＭＨＦ／カットセット結果の見直しを行う。設計は更新することができ（ステップＳ１２）、本プロセスは、申し分ない設計が実現されるまで繰り返される。
【０１５９】
本システムのさらに他の詳細は、本明細書に引用により援用するＥＰ２７５７４７６Ａ２から知ることができる。本明細書およびＥＰ２７５７４７６Ａ２における同様の特徴には同様の参照番号が付されている。
【０１６０】
変形
上述の実施形態に対してさまざまな変形をなし得ることが理解されるであろう。このような変形は、安全解析システムおよびそのコンポーネント部品の設計、製造、および使用において既に周知でありかつ本明細書に記載の特徴の代わりにまたはそれに加えて使用し得る、均等なその他の特徴を含み得る。ある実施形態の特徴は別の実施形態の特徴によって置き換えるまたは補足することができる。
【０１６１】
請求項は本願において特定の特徴の組み合わせについて作成したが、本発明の開示の範囲は、いずれかの請求項において現在クレームされているものと同じ発明に関連するか否か、および、これが本発明と同一の技術的課題のうちのいずれかまたはすべてを緩和するか否かとは関係なく、本明細書に明示的または暗示的に開示されている特徴の新規の組み合わせまたは新規の特徴を含み得る。このような特徴および／またはこのような特徴の組み合わせについて、本願または本願から派生するその他いずれかの出願の手続中に、このような特徴および／またはこのような特徴の組み合わせに関して新たな請求項を作成し得ることを、出願人は通知する。
【図１】
2020517018.tif 000029
【図２Ａ】
2020517018.tif 000030
【図２Ｂ】
2020517018.tif 000031
【図３】
2020517018.tif 000032
【図４】
2020517018.tif 000033
【図５】
2020517018.tif 000034
【図６】
2020517018.tif 000035
【図７】
2020517018.tif 000036
【図８】
2020517018.tif 000037
【図９】
2020517018.tif 000038
【図１０】
2020517018.tif 000039
【図１１】
2020517018.tif 000040
【図１２】
2020517018.tif 000041
【図１３】
2020517018.tif 000042
【図１４】
2020517018.tif 000043
【図１５】
2020517018.tif 000044
【図１６】
2020517018.tif 000045
【図１７】
2020517018.tif 000046
【図１８】
2020517018.tif 000047
【図１９】
2020517018.tif 000048
【図２０】
2020517018.tif 000049
【図２１】
2020517018.tif 000050
【図２２】
2020517018.tif 000051
【手続補正書】
【提出日】令和2年3月11日(2020.3.11)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
エレメントと安全機構とを含む電子システムの偶発的なハードウェア故障の確率的メトリックを求める方法であって、前記安全機構は第１層安全機構と第２層安全機構とを含み、第１層安全機構は部品の故障の少なくとも部分的なカバレッジを提供することができ、第２層安全機構は第１層安全機構の故障の少なくとも部分的なカバレッジを提供することができ、前記方法は、
前記第１層安全機構に対応付けられる第１組の確率を計算するステップと、
前記部品の直接侵害フォールトに対応付けられる第２組の確率を計算するステップと、
前記部品の間接侵害フォールトに対応付けられる第３組の確率を計算するステップと、
前記第１組、前記第２組、および前記第３組の確率に依拠して偶発的なハードウェア故障の確率的メトリックの値を取得するステップとを含む、方法。
【請求項２】
前記偶発的なハードウェア故障の確率的メトリックの値を取得するステップは、前記第１組、前記第２組、および前記第３組の確率を加算することを含む、請求項１に記載の方法。
【請求項３】
前記偶発的なハードウェア故障の確率的メトリックの値を取得するステップは、前記電子システムの推定寿命で除算することを含む、請求項２に記載の方法。
【請求項４】
前記第２層安全機構から生じる第４組の故障率寄与度を特定するステップをさらに含み、前記偶発的なハードウェア故障の確率的メトリックの値を取得するステップは、第１組、第２組、第３組、および第４組の故障率寄与度を加算することを含む、または、前記第１組および前記第２組の故障率寄与度は前記第４組の故障率寄与度を含む、請求項１から請求項３のいずれか１項に記載の方法。
【請求項５】
前記偶発的なハードウェア故障の確率的メトリックの値は、ＩＳＯ２６２６２標準に準拠して取得される、請求項１から請求項４のいずれか１項に記載の方法。
【請求項６】
第１層安全機構ごとに、
第１層安全機構に影響するフォールトが直接侵害フォールトであるか間接侵害フォールトであるかを判断するステップと、
前記フォールトが第２層安全機構によってカバーされるか否かを判断するステップと、
前記フォールトが前記第２層安全機構によってカバーされることに依拠して、前記第１層安全機構と前記第２層安全機構との間にリンクを構築するステップとをさらに含む、請求項１から請求項５のいずれか１項に記載の方法。
【請求項７】
エレメントごとに、
エレメントに影響するフォールトが直接侵害フォールトであるか間接侵害フォールトであるかを判断するステップと、
前記フォールトが第１層安全機構によってカバーされるか否かを判断するステップと、
前記フォールトが前記第１層安全機構によってカバーされることに依拠して、前記部品と前記第１層安全機構との間にリンクを構築するステップとをさらに含む、請求項１から請求項６のいずれか１項に記載の方法。
【請求項８】
前記第１組の確率を計算するステップは、第１層安全機構ごとに、
第１層安全機構における直接侵害フォールトによる寄与度、および、第２層安全機構において生じる第１のフォールトと前記第１レベル安全機構において生じるその後の第２の直接侵害フォールトとの組み合わせによる寄与度を計算することを含み、前記第１層安全機構における直接侵害フォールトは前記第２層安全機構によってカバーされる、請求項１から請求項７のいずれか１項に記載の方法。
【請求項９】
前記第２組の確率を計算するステップは、部品ごとに、
前記部品が１つ以上の直接侵害フォールトを有するか否かを判断し、有すると判断した場合は、前記直接侵害フォールトによる寄与度を計算することと、
前記部品が１つ以上の間接侵害フォールトを有するか否かを判断し、有すると判断した場合は、前記間接侵害フォールトによる寄与度を計算することとを含む、請求項１から請求項８のいずれか１項に記載の方法。
【請求項１０】
前記第２組の確率を計算するステップは、直接侵害フォールトによって引き起こされる一組の異なるフォールトおよび安全機構故障シナリオの確率を合計することを含む、請求項８または９に記載の方法。
【請求項１１】
前記第２組の確率を計算するステップは、間接侵害フォールトによって引き起こされる一組の異なるフォールトおよび安全機構故障シナリオの確率を合計することを含む、請求項８、９または１０に記載の方法。
【請求項１２】
前記第３組の確率を計算するステップは、部品ごとに、
前記部品が別の部品にリンクされているか否かを判断することと、
前記部品および前記別の部品について間接侵害フォールトによる前記偶発的なハードウェア故障の確率的メトリックに対する寄与度を求めることとを含む、請求項１から請求項１１のいずれか１項に記載の方法。
【請求項１３】
前記電子システムは、集積回路または複数の電子コンポーネントである、請求項１から請求項１２のいずれか１項に記載の方法。
【請求項１４】
複数のエレメントを含む電子システムの設計のための機能安全データを生成する方法であって、前記方法は、
フォールトに関連するデータと解析に関連するデータとを含む構成データを受けるステップと、
各エレメントの出力に対する１つ以上のフォールトの影響を示すデータを含むフォールト影響解析データを受けるステップと、
安全機構が各エレメントをカバーする程度を示すデータを含むフォールトカバレッジ解析データを受けるステップと、
前記構成データと前記フォールト影響解析データと前記フォールトカバレッジ解析データとを用いて機能安全データを生成するステップと、
請求項１から請求項１３のいずれか１項に記載の方法を用いて偶発的なハードウェア故障の確率的メトリックを求めるステップと、
前記構成データと前記フォールト影響解析データと前記フォールトカバレッジ解析データと前記機能安全データとを含むレポートを格納するステップとを含む、方法。
【請求項１５】
電子システムを設計する方法であって、前記方法は、
電子コンポーネントの設計を作成するステップと、
前記電子コンポーネントの第１の設計に対し、請求項１４に記載の機能安全データを生成するステップと、
前記機能安全データに依拠して前記電子コンポーネントの改定された設計を作成するステップとを含む、方法。
【請求項１６】
電子コンポーネントを製造する方法であって、
請求項１２に記載の電子コンポーネントを設計するステップと、
改定された設計に従って電子コンポーネントを製造するステップとを含む、方法。
【請求項１７】
請求項１６に記載の方法によって製造された電子コンポーネント。
【請求項１８】
データ処理装置によって実行されると請求項１〜１４のいずれか１項に記載の方法を前記データ処理装置に実行させるコンピュータプログラム。
【請求項１９】
データ処理装置を含む設計支援システムであって、前記設計支援システムは、
少なくとも１つのプロセッサと、
メモリとを備え、
前記少なくとも１つのプロセッサは、請求項１〜１４のいずれか１項に記載の方法を実行するように構成されている、設計支援システム。
【国際調査報告】
2020517018.tif 000052
2020517018.tif 000053
2020517018.tif 000054