特開 2022-13803 技術システムのテストのための方法およびコンピュータプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2022013803

(43)【公開日】2022-01-18

(54)【発明の名称】技術システムのテストのための方法およびコンピュータプログラム

(51)【国際特許分類】

   G06F 11/36 20060101AFI20220111BHJP

   G06F 8/30 20180101ALI20220111BHJP

【ＦＩ】

G06F11/36 196

G06F8/30

【審査請求】未請求

【請求項の数】11

【出願形態】ＯＬ

【外国語出願】

(21)【出願番号】P 2021106225

(22)【出願日】2021-06-28

(31)【優先権主張番号】20182923

(32)【優先日】2020-06-29

(33)【優先権主張国・地域又は機関】EP

(71)【出願人】

【識別番号】591245473

【氏名又は名称】ロベルト・ボッシュ・ゲゼルシャフト・ミト・ベシュレンクテル・ハフツング

【氏名又は名称原語表記】ＲＯＢＥＲＴ ＢＯＳＣＨ ＧＭＢＨ

(74)【代理人】

【識別番号】100118902

【弁理士】

【氏名又は名称】山本 修

(74)【代理人】

【識別番号】100196508

【弁理士】

【氏名又は名称】松尾 淳一

(74)【代理人】

【識別番号】100161908

【弁理士】

【氏名又は名称】藤木 依子

(72)【発明者】

【氏名】アルネ・ノルトマン

(72)【発明者】

【氏名】ペーター・ムンク

(72)【発明者】

【氏名】アンドレアス－ユルゲン・ロハチェク

(72)【発明者】

【氏名】アイケ・マルティン・ターデン

(72)【発明者】

【氏名】リディア・ガウアーホフ

(72)【発明者】

【氏名】マルクス・シュバイツァー

【テーマコード（参考）】

5B042

5B376

【Ｆターム（参考）】

5B042GB08

5B042HH11

5B376BC03

(57)【要約】

【課題】技術システムのテストのための方法を提供する。
【解決手段】ソフトウェアを含む安全関連技術システムをテストするための方法（１００）であって、このシステムが、少なくとも２つ以上のコンポーネント（２１０、２２０）を含むモデル（２００）によって表され、かつ、想定（Ａ）であって、それぞれ１つのコンポーネント（２１０、２２０）の、安全関連システムに関する想定（Ａ）と、保証（Ｇ）であって、それぞれ１つのコンポーネント（２１０、２２０）の、安全関連システムへの保証（Ｇ）とが、安全契約によって規定されている方法（１００）において、ステップ（１１０）では、少なくとも１つの想定（Ａ）および少なくとも１つの保証（Ｇ）に基づいて実行可能なプログラムコード（Ｃ）が生成され、かつさらなるステップ（１２０）では、安全関連システムがプログラムコード（Ｃ）の実行によってテストされることを特徴とする方法（１００）。
【選択図】図２

【特許請求の範囲】

【請求項1】

とりわけソフトウェアコンポーネントおよび／またはハードウェアコンポーネントを含むとりわけ安全関連技術システムをテストするための方法（１００）であって、前記システムが、少なくとも２つ以上のコンポーネント（２１０、２２０）を含むモデル（２００）によって表され、かつ、想定（Ａ）であって、それぞれ１つのコンポーネント（２１０、２２０）の、前記安全関連システムに関する、とりわけさらなるコンポーネント（２１０、２２０）に関する想定（Ａ）と、保証（Ｇ）であって、それぞれ１つのコンポーネント（２１０、２２０）の、前記とりわけ安全関連技術システムへの、とりわけさらなるコンポーネント（２１０、２２０）への保証（Ｇ）とが、安全契約によって規定されている方法（１００）において、ステップ（１１０）では、少なくとも１つの想定（Ａ）および少なくとも１つの保証（Ｇ）に基づいて、実行可能なプログラムコード（Ｃ）が生成され、かつさらなるステップ（１２０）では、前記とりわけ安全関連技術システムが、前記プログラムコード（Ｃ）の実行によってテストされることを特徴とする方法（１００）。

【請求項2】

前記プログラムコード（Ｃ）の前記生成（１１０）が、前記安全契約に基づく前記コンポーネント（２１０、２２０）の前記保証（Ｇ）が守られるかどうかチェックするために少なくとも１つのコンポーネント（２１０、２２０）の少なくとも１つの機能をテストするためのプログラムコード（Ｃ）の生成を含んでいる、請求項１に記載の方法（１００）。

【請求項3】

前記テスト（１２０）が、少なくとも１つのコンポーネント（２１０、２２０）の前記機能をテストするための前記プログラムコード（Ｃ）の実行をさらに含んでいる、請求項２に記載の方法（１００）。

【請求項4】

前記プログラムコード（Ｃ）の前記生成（１１０）が、前記安全契約に基づく前記コンポーネント（２１０、２２０）の前記想定（Ａ）が守られるかどうかチェックするために少なくとも１つのコンポーネント（２１０、２２０）を、とりわけ前記コンポーネント（２１０、２２０）の入力部（２３０）を監視するためのプログラムコード（Ｃ）の生成を含んでいる、請求項１から３のいずれか一項に記載の方法（１００）。

【請求項5】

前記テスト（１２０）が、とりわけ前記安全関連システムの動作中の、とりわけ前記安全関連システムのランタイムでの、少なくとも１つのコンポーネント（２１０、２２０）を監視するための前記プログラムコード（Ｃ）の実行をさらに含んでいる、請求項４に記載の方法（１００）。

【請求項6】

前記プログラムコード（Ｃ）の前記生成（１１０）が自動的に行われる、請求項１から５のいずれか一項に記載の方法（１００）。

【請求項7】

前記プログラムコード（Ｃ）の前記生成（１１０）が、システムレベルでの、前記とりわけ安全関連システムの少なくとも１つの機能をテストするためのおよび／または前記とりわけ安全関連システムを監視するためのプログラムコード（Ｃ）の生成をさらに含んでいる、請求項１から６のいずれか一項に記載の方法（１００）。

【請求項8】

前記テスト（１２０）が、システムレベルでの、前記とりわけ安全関連システムの少なくとも１つの機能をテストするためのおよび／または前記とりわけ安全関連システムを監視するための前記プログラムコード（Ｃ）の実行をさらに含んでいる、請求項７に記載の方法（１００）。

【請求項9】

前記方法（１００）が、以下のシステム要求、すなわち安全性、快適性、認証の観点の少なくとも１つに基づく実行可能なプログラムコード（Ｃ）の生成をさらに含んでいる、請求項１から８のいずれか一項に記載の方法（１００）。

【請求項10】

安全関連システムをテストするための装置であって、前記装置が、請求項１から９のいずれか一項に記載の方法（１００）を実行するために形成されている装置。

【請求項11】

実行可能なプログラムコード（Ｃ）を含むコンピュータプログラムであって、前記プログラムコード（Ｃ）が、安全関連システムと、前記安全関連システムの少なくとも１つのコンポーネント（２１０、２２０）との間の安全契約に基づいており、前記コンポーネント（２１０、２２０）の、前記安全関連システムに関する少なくとも１つの想定（Ａ）および／または前記コンポーネント（２１０、２２０）の、前記安全関連システムへの少なくとも１つの保証（Ｇ）を含む前記安全契約に基づいているコンピュータプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、とりわけ安全関連システムをテストするための方法および装置に関する。
本開示はさらに、システムをテストするための装置および／または方法において使用され得るコンピュータプログラムに関する。

【背景技術】

【0002】

このシステムは、とりわけソフトウェアコンポーネントおよび／またはハードウェアコンポーネントを含む技術システムである。
このようなシステムの作成および／または設計は、なかでも通常はモデルベースシステムエンジニアリングの枠内で行われる。このシステムは、例えば、典型的にはポートを備えたコンポーネントおよびこれらポート間の結合の形態での、ＵＭＬまたはＳｙｓＭＬを使用してモデリングされる。このシステムは、１つのコンポーネントが１つまたは複数のさらなるコンポーネントを含み得る階層的なモデルとしてもモデリングされ得る。

【0003】

モデルベースの安全性分析、略してＭＢＳＡは、システムに、システムへのさらなる安全志向視点を付加することにより、これらのモデルを利用する。１つの可能性は、コンポーネントにいわゆる安全契約を付加することにある。安全契約は、契約に基づく設計から導き出され、かつ既に現況技術から知られており、例えば、非特許文献１から知られている。

【0004】

安全契約は、安全関連システムの安全要求の構成仕様を詳述しており、このシステムは、階層的なシステムモデルのコンポーネント構造に従っており、かつこのシステムモデルとリンクしている。各コンポーネントに対し、１つの安全契約が、そのコンポーネントの直接的な周囲（例えばそのコンポーネントの上位に置かれたコンポーネント）によって果たされるべき安全関連「想定」と、そのコンポーネントの方で提供する相応の安全関連「保証」とを詳述している。

【0005】

安全契約の目標は、システムモデルの安全性の評価、とりわけ、選択されたコンポーネント構造の、すべての安全要求を果たす能力の評価の際に、開発者および安全管理者を補助することである。

【先行技術文献】

【非特許文献】

【0006】

【非特許文献1】Warg, F.; Vedder, B.; Skoglund, M. & Soaderberg, A.: “Safety ADD: A Tool for Safety-Contract Based Design” In: 2014 IEEE International Symposium on Software Reliability Engineering Workshops, 2014, p.527-529.

【発明の概要】

【0007】

一実施形態は、とりわけソフトウェアコンポーネントおよび／またはハードウェアコンポーネントを含むとりわけ安全関連技術システムをテストするための方法であって、このシステムが、少なくとも２つ以上のコンポーネントを含むモデルによって表され、かつそれぞれ１つのコンポーネントの、安全関連システムに関する想定と、それぞれ１つのコンポーネントの、安全関連システムへの保証とが、安全契約によって規定されている方法において、１つのステップでは、少なくとも１つの想定および少なくとも１つの保証に基づいて、実行可能なプログラムコードが生成され、かつさらなるステップでは、安全関連システムが、プログラムコードの実行によってテストされることを特徴とする方法に関する。

【0008】

現況技術からは、システムの機能をテストするためのプログラムコードを、システムの開発の最中または後に生成し、かつシステムの実装機能から導き出すことが知られている。しかしながら仕様は、最終製品における機能の実際の実装とは相違し得る。この場合、実装からプログラムコードを導き出すことにより、最終製品が実際に仕様を果たすことが保証され得ない。

【0009】

これとは異なり、本開示による方法は、システムをテストするためのプログラムコードを、安全契約において規定された想定および保証に基づいて生成することを提案する。つまり、プログラムコードの実行により、安全契約において規定された想定および保証がシステムの実装の際に履行されたかどうかがテストされる。

【0010】

コンポーネントは、典型的にはポート、とりわけデータを受信するための入力部およびデータを送信するための出力部を含んでいる。モデルでは、様々なコンポーネントのポート間のさらなる結合がモデリングされている。

【0011】

それぞれ１つのコンポーネントの想定は、このコンポーネントの周囲、例えば上位に置かれたコンポーネントによって果たされ得る。したがって想定は、通常は、コンポーネントの入力部で受信されるデータに関連する。

【0012】

それぞれ１つのコンポーネントの保証は、このコンポーネント自体によって果たされ得る。したがって保証は、通常は、コンポーネントの出力部で送信されるデータに関連する。

【0013】

一実施形態によれば、プログラムコードの生成は、安全契約に基づくコンポーネントの保証が守られるかどうかチェックするために少なくとも１つのコンポーネントの少なくとも１つの機能をテストするためのプログラムコードの生成を含んでいることが企図される。

【0014】

一実施形態によれば、テストは、少なくとも１つのコンポーネントの機能をテストするためのプログラムコードの実行をさらに含んでいることが企図される。
一実施形態によれば、プログラムコードの生成は、安全契約に基づくコンポーネントの想定が守られるかどうかチェックするために少なくとも１つのコンポーネントを、とりわけこのコンポーネントの入力部を監視するためのプログラムコードの生成を含んでいることが企図される。

【0015】

一実施形態によれば、テストは、とりわけ安全関連システムの動作中の、とりわけ安全関連システムのランタイムでの、少なくとも１つのコンポーネントを監視するためのプログラムコードの実行をさらに含んでいることが企図される。

【0016】

一実施形態によれば、プログラムコードの生成が自動的に行われる。安全契約が形式化されている場合、プログラムコードの生成は、したがってシステムのテストも、自動的に実施され得ることが企図される。

【0017】

想定および保証は、安全契約では例えば自然言語によって表現されているが、例えばテキスト認識方法を使用して自動的に論理式に変換され得る。論理式はその後、相応にプログラムコードに変換される。アサーションの連なった構造は、とりわけ、連続的にプログラムコード内の相応の表現に変換され得る。

【0018】

一実施形態によれば、プログラムコードの生成は、システムレベルでの、とりわけ安全関連システムの少なくとも１つの機能をテストするためのおよび／またはとりわけ安全関連システムを監視するためのプログラムコードの生成をさらに含んでいることが企図される。

【0019】

一実施形態によれば、テストは、システムレベルでの、とりわけ安全関連システムの少なくとも１つの機能をテストするためのおよび／またはとりわけ安全関連システムを監視するためのプログラムコードの実行をさらに含んでいることが企図される。

【0020】

一実施形態によれば、本方法は、以下のシステム要求、すなわち安全性、快適性、認証の観点の少なくとも１つに基づく実行可能なプログラムコードの生成をさらに含んでいる。システム要求は、例えば仕様書では自然言語によって表現されているが、例えばテキスト認識方法を使用して自動的に論理式に変換され得る。論理式はその後、相応にプログラムコードに変換される。アサーションの連なった構造は、とりわけ、連続的にプログラムコード内の相応の表現に変換され得る。

【0021】

さらなる一実施形態によれば、本方法の適用により、システムが設計され得ることが企図される。例えば、ある特定のコンポーネントが、とりわけ類似の機能性を有する別のコンポーネントによって置き換えられ得るか否か、したがって安全契約に基づく想定および保証がその後も果たされるかどうかが分析され得る。

【0022】

さらなる実施形態は、とりわけ少なくとも部分的に自動化された車両の、例えば走行システム、ブレーキシステム、操縦システム、または支援システム用の、ソフトウェアコンポーネントおよび／またはハードウェアコンポーネントを含む制御機器をテストするための本方法の適用に関する。制御機器は、本方法の適用により、セーフティクリティカルな要求についてテストされ得る。

【0023】

さらなる実施形態は装置に関し、この装置は、実施形態による方法を実行するために形成されている。
さらなる実施形態は、実行可能なプログラムコードを含むコンピュータプログラムに関し、このプログラムコードは、安全関連システムと、この安全関連システムの少なくとも１つのコンポーネントとの間の安全契約に基づいており、このコンポーネントの、安全関連システムに関する少なくとも１つの想定および／またはこのコンポーネントの、安全関連システムへの少なくとも１つの保証を含む安全契約に基づいている。

【0024】

本発明のさらなる特徴、適用可能性、および利点は、図面の図に示している本発明の例示的実施形態の以下の説明から明らかである。これに関し、すべての説明されたまたは図示された特徴は、特許請求項またはその従属請求項における特徴の要約に関係なく、および明細書または図面での特徴の表現または図示に関係なく、単独でまたは任意の組合せで、本発明の対象である。

【図面の簡単な説明】

【0025】

【図1】一実施形態による技術システムをテストするための方法のステップを概略的に示したフロー図である。

【図2】モデルとしての技術システムの概略図である。

【図3】さらなる一実施形態による方法のステップを概略的に示したブロック図である。

【発明を実施するための形態】

【0026】

図１に関連して、以下に技術システムをテストするための方法１００を説明する。
技術システムは、とりわけソフトウェアコンポーネントおよび／またはハードウェアコンポーネントを含む安全関連システムである。

【0027】

このシステムは、図示した実施形態によれば、モデル２００（図２を参照）によって表される。
モデル２００は、図示した実施形態によれば、例示的にコンポーネント２１０およびさらなるコンポーネント２２０を含んでいる。

【0028】

コンポーネント２１０、２２０は、ポート２３０、とりわけデータを受信するための入力部およびデータを送信するための出力部を含んでいる。コンポーネント２１０、２２０のポート２３０の間に結合２４０がモデリングされている。

【0029】

モデル２００は安全契約をさらに含んでおり、安全契約では、想定Ａであって、コンポーネント２１０、２２０の、システムに関する、とりわけシステムのさらなるコンポーネント２１０、２２０に関する想定Ａと、保証Ｇであって、コンポーネント２１０、２２０の、システムへの、とりわけシステムのさらなるコンポーネント２１０、２２０への保証Ｇとが規定されている。図２では、コンポーネント２２０に対するコンポーネント２１０の想定Ａと、コンポーネント２２０に対するコンポーネント２１０の保証Ｇとが概略的に示されている。

【0030】

このシステムは、例えば車両の技術システムである。コンポーネント２１０は、例えば、とりわけ自動車を駆動するための制御機器または制御機器の計算ユニットである。コンポーネント２２０は、例えば、とりわけ光学的捕捉のためのセンサならびに／またはとりわけ車両の駆動ユニットおよび／もしくは車両の操縦ユニットを制御するためのアクチュエータである。コンポーネント２２０、とりわけセンサは、データをコンポーネント２１０、とりわけ制御機器に伝送する。コンポーネント２１０もまた、データをコンポーネント２２０に伝送する。この場合にはコンポーネント２１０の想定Ａは、例えば、設定可能な時間にコンポーネント２２０がコンポーネント２１０にデータを伝送するという想定である。この場合にはコンポーネント２１０の保証Ｇは、例えば、設定可能な時間にコンポーネント２１０がコンポーネント２２０にデータを伝送するという保証である。

【0031】

以下に、再び図１に関連してテストのための方法１００をさらに説明する。
図示した実施形態によれば、方法１００のステップ１１０では、安全契約の想定および保証に基づいて、実行可能なプログラムコードが生成される。

【0032】

図示した実施形態によれば、方法１００のステップ１２０では、安全関連システムが、プログラムコードの実行によってテストされる。
一実施形態によれば、プログラムコードの生成１１０は、安全契約に基づくコンポーネントの保証が守られるかどうかチェックするために少なくとも１つのコンポーネントの少なくとも１つの機能をテストするためのプログラムコードの生成を含んでいることが企図される。

【0033】

一実施形態によれば、テスト１２０は、少なくとも１つのコンポーネントの機能をテストするためのプログラムコードの実行をさらに含んでいることが企図される。
一実施形態によれば、プログラムコードの生成１１０は、安全契約に基づくコンポーネントの想定が守られるかどうかチェックするために少なくとも１つのコンポーネントを、とりわけコンポーネントの入力部を監視するためのプログラムコードの生成を含んでいることが企図される。

【0034】

一実施形態によれば、テスト１２０は、とりわけ安全関連システムの動作中の、とりわけ安全関連システムのランタイムでの、少なくとも１つのコンポーネントを監視するためのプログラムコードの実行をさらに含んでいることが企図される。

【0035】

一実施形態によれば、プログラムコードの生成１１０が自動的に行われることが企図される。想定および保証は、安全契約では例えば自然言語によって表現されているが、例えばテキスト認識方法を使用して自動的に論理式に変換され得る。論理式はその後、相応にプログラムコードに変換される。アサーションの連なった構造は、とりわけ、連続的にプログラムコード内の相応の表現に変換され得る。

【0036】

一実施形態によれば、プログラムコードの生成１１０は、システムレベルでの、とりわけ安全関連システムの少なくとも１つの機能をテストするためのおよび／またはとりわけ安全関連システムを監視するためのプログラムコードの生成をさらに含んでいることが企図される。

【0037】

一実施形態によれば、テスト１２０は、システムレベルでの、とりわけ安全関連システムの少なくとも１つの機能をテストするためのおよび／またはとりわけ安全関連システムを監視するためのプログラムコードの実行をさらに含んでいることが企図される。

【0038】

一実施形態によれば、方法１００は、以下のシステム要求、すなわち安全性、快適性、認証の観点の少なくとも１つに基づく実行可能なプログラムコードの生成をさらに含んでいることが企図される。

【0039】

図３は、コンポーネント２１０の想定Ａおよび保証Ｇの概略図である。想定Ａおよび保証Ｇに基づいて、方法１００により、実行可能なプログラムコードＣが生成される。

【符号の説明】

【0040】

１００ 方法
１１０ 生成
１２０ テスト
２００ モデル
２１０、２２０ コンポーネント
２３０ ポート、入力部、出力部
２４０ 結合
Ａ 想定
Ｃ プログラムコード
Ｇ 保証

【図1】

【図2】

【図3】

【外国語明細書】