技術的概要：セットベース設計における機能要件の分解

問題定義

商用航空機などの複雑な工学システムを初期段階で設計することは、本質的な不確実性と曖昧さを特徴とする。セットベース設計（SBD）は、並列開発を通じて代替案の探索と不確実性の低減を可能にする堅牢な枠組みを提供するが、現在の文献には、このパラダイム内で機能要件をどのように分解するかに関する形式的な指針が存在しない。具体的には、既存の SBD アプローチは、要件を単なる性能範囲として扱う傾向があり、入力と出力の間の写像として定義される機能が関与するソフトウェアと機械的相互作用を伴う複雑なシステムには不十分である。さらに、SBD が下位レベルのチームによる自律的な並列開発を可能にするという主張には、厳密な形式的証明が欠けている。チームの自律性を支援しつつ、結果として生じるシステムが上位レベルの要件を満たすことを保証する、機能要件を分解するための形式的な手法が緊急に必要とされている。

手法

本論文は、セットベース推論を用いて機能要件を階層的に分解するための 4 段階の形式的手法を提案する。このアプローチは、システム機能を数学的な入力 - 出力変換（$f: (x, u, c) \to y$）として扱う。ここで、$x$ は入力、$y$ は出力、$u$ は制御不能な不確実パラメータ、$c$ は制御可能な不確実パラメータである。

手法は以下のように構成される：

1. 機能アーキテクチャの定義と分析：

   • 機能アーキテクチャは、接続されたサブ機能の集合として定義される。
   • 本手法は、サブ機能からの変数を集約し、共有変数と固有の設計・性能空間を特定する。
   • 変数は、その定義コンテキストに基づいて 6 つの排他的なグループに分類される（例：上位レベルでのみ定義される入力、サブ機能間で共有される出力など）。
   • このステップにより、システムの初期設計空間と性能空間が確立される。

2. 初期実行可能空間の探索：

   • 各サブ機能について、実行可能な実装に基づき初期実行可能空間が特徴付けられる。
   • これらの空間は、システムレベルの制約が適用される前の、入力、出力、およびパラメータの最も広範な可能な範囲を表す。

3. 実行可能空間の絞り込み：

   • 交差： 複数のサブ機能で定義された変数の範囲を交差させ、統合された初期実行可能設計空間（$FDS_1$）および性能空間（$FPS_1$）を作成する。
   • 制約充足： 定量化された制約充足問題を適用して空間をさらに絞り込む。具体的には、制御可能なパラメータ（$c$）を絞り込み（$R^\downarrow_c$）、すべての制御不能パラメータ（$u$）および入力（$x$）の値に対して、システム出力が実行可能な性能空間内に留まるようにする。
   • 到達可能性分析： 絞り込まれた設計空間（$FDS_2$）に基づき、到達可能な性能空間（$FPS_2$）の過大近似を計算するために到達可能性分析を使用する。これにより、絞り込まれた制約下でのすべての可能なシステム動作が捕捉されることを保証する。

4. サブ要件の決定：

   • 不確実性の拡大： 初期の不確実性の過小評価に対応するため、望ましい性能空間（$FPS^*$）を $FPS_2$ から $FPS_1$ に向かって拡大する。この拡大は恣意的ではなく、トレードオフ研究によって管理される。
   • 最適化： $FPS^*$ の最適な境界を決定するために、バリア関数に基づく最適化問題が定式化される。目的関数は、設計者の好みに応じて重み付けされた $FPS_1$ の境界への「距離」（不確実性バッファを許容するため）と $FPS_2$ の境界への「距離」（実装の困難さを回避するため）を最小化する。
   • 最終割り当て： 得られた絞り込まれた設計空間（$FDS_2$）と拡大された性能空間（$FPS^*$）が、各サブ機能の形式的なサブ要件（$R^*_x, R^*_c, R^*_u, R^*_y$）として割り当てられる。

主要な貢献

本論文は、SBD 文献に対して 2 つの主要な貢献を行う：

1. 複雑なシステム向けの形式的分解手法：

   • 既存の SBD アプローチが要件を性能空間の範囲（機械部品に適している）として定義するのとは異なり、本手法は要件を入力範囲と出力範囲の間の写像として定義する。この定式化は、機械、ソフトウェアなど多様なコンポーネントを伴う複雑なシステムのために特別に設計されている。
   • 本手法は、これらの写像をサブ要件に分解するための厳密で反復可能な手順を提供する。

2. 並列開発（自律性）の形式的証明：

   • 本論文は、2 つの重要な性質を導入し証明する：洗練（Refinement）（上位レベルから下位レベルへの不確実性の低減）と合成可能性（Composability）（サブ要件間のインターフェースの互換性）。
   • 定理： 各レベルのサブ要件が合成可能であり、それらの合成が上位レベルの機能要件を洗練している場合、これらのサブ要件を独立して実装することによって形成される合成システムは、上位レベルの機能要件を満たす。
   • これにより、分散設計チーム間での自律的な並列開発を SBD が可能にするという主張に対して、初めて形式的な正当性が提供される。

3. バッファと超過の区別：

   • 本手法は、「バッファ」（制御可能な不確実性を補うパラメータ値）と「超過」（過小評価された初期不確実性を収容する余剰）を明確に区別する。この区別は、手法の絞り込みおよび拡大ステップに統合されている。

結果

提案された手法は、クルーズコントロールシステムの設計に関するケーススタディを通じて実証された。

• 上位レベル要件： システムは、初期速度（$v_0$）と目標速度（$v_r$）を、特定の時間内に有界であり目標範囲に収束する実速度軌道（$v(t)$）にマッピングしなければならない。
• 分解： 上位レベル機能は、物理的ダイナミクス（力、摩擦、空気力学）と制御ロジック（PID コントローラ）を表す 8 つのサブ機能に分解された。
• プロセス実行：
  • 本手法は、設計空間（入力とエンジン最大回転数 $\omega_m$ などの制御可能パラメータ）および性能空間（中間的な力、トルク、速度）を正常に特定した。
  • 交差と到達可能性分析（CORA ツールを使用）を通じて、実行可能設計空間が絞り込まれ、特に安定性を確保するために制御可能パラメータ $\omega_m$ が $[350, 480]$ rad/s から $[365, 450]$ rad/s に制約された。
  • 最適化ステップにより最終的なサブ要件が決定され、サブ機能が合成可能（共有変数が一貫した範囲を持つ）であり、かつ合成システムが上位レベル要件を洗練していることが保証された。
• 結果： 得られたサブ要件により、サブシステム（エンジン、タイヤ、コントローラなど）の独立した実装が可能となり、数学的に統合システムが上位レベルの安定性と収束基準を満たすことが保証された。

意義と主張

本論文は、セットベース設計の理論的利点と、要件工学における形式的かつ実行可能な指針の必要性との間のギャップを埋める点で意義があると主張している。

• 定性的アプローチに対する形式化： 著者らは、SBD は広く使用されている（特にトヨタのプロセスにおいて）ものの、しばしば定性的な方法に依存していると論じる。本論文は、分解における曖昧さを排除する形式的数学的枠組みを提供する。
• 自律性の実現： 合成可能性と洗練が上位レベルの充足のための十分条件であることを証明することで、本手法は SBD がもたらすチームの自律性の約束を検証し、分散チームが恒常的な手戻りや統合の失敗なしに並列して作業することを可能にする。
• 不確実性の処理： このアプローチは、「バッファ」と「超過」を通じて不確実性を管理する構造化された方法を提供し、単純な安全率を超えて、認識的不確実性と偶然的不確実性のより微妙な処理へと移行する。

著者らは、手法がすべての要件工学の課題（引き出しや検証など）を解決するものではなく、最適化ステップにおける特定の係数についてはエンジニアの判断に依存していることを認め、範囲については謙虚である。彼らは、この作業を、どのように 基礎的な最適化問題を解決するかという特定の計算ツールを規定するものではなく、何を 解決する必要があるか（制約と性質）を規定する枠組みとして位置付けている。