Posts Tagged with "ISO 26262"

既に発行済みのブログであっても適宜修正・追加することがあります。
We may make changes and additions to blogs already published.
posted by sakurai on February 20, 2020 #205

次は前回紹介した論文も参照している論文$\dagger$です。本稿ではこれを参照論文といいます。 参照論文の対象は冗長構成のEPSですが、まず一般的な完全冗長サブシステムで議論します。

図%%.1
図205.1 完全冗長サブシステム

参照論文もPMHF式を使用していません。その代わりに定量FTAのそれぞれの基事象において確率が時間変化する、つまり確率過程であることをマルコフチェインを組み合わせて解いています。図205.2に参照論文の概念図を示します。これは論文中には無く、弊社が作成したものですが、前述の言葉で説明したものを図化したものです。

図%%.2
図205.2 論文の概念図

マルコフチェインを用いる考え方は概ね正しいものの、実はマルコフチェインを用いてPMHFを求めたものが、規格のPMHF式であり(ブログ記事#102~109を参照)、PMHF式に従えばこの定期検査修理を含む確率過程を織り込んだものとなっているため、再度基事象を確率過程として捉える必要はありません。

上で概ねと書いた部分ですが、本来マルコフチェインは修理を考慮する必要があります。SM1 (1st order SM)が先に故障する場合、SM2 (2nd order SM)により定期検査を受け、故障が検出された場合は直ちにゼロ時間で修理されるのが、ISO 26262の考え方です。ということは'1'の状態から'00'状態に戻る場合が存在します。


$\dagger$ https://www.researchgate.net/publication/323450274_A_mixed_model_to_evaluate_random_hardware_failures_of_whole-redundancy_system_in_ISO_26262_based_on_fault_tree_analysis_and_Markov_chain


左矢前のブログ 次のブログ右矢

posted by sakurai on February 14, 2020 #204

書き換えたFTの評価

図202.1に対して図203.1の書き換えを適用したものが図204.1のFTです。このFTに対してカットセット分析を実施し、TOP事象の確率を求めます。

図%%.1
図204.1 弊社提案のEBDサブシステムのFT(ワーストケース)

同様にツールを用いてMCSを求めると、MC数は42個に増加します。しかし前述のように、これには3個以上のエレメント故障が含まれるためツールで削除します。すると、表204.1のように24個のMCが得られ、TOP事象の確率は$4.35\times 10^{-5}$、PMHFは8.70[FIT]となります。表204.1中のC_DC_OL_MONは、1からオンラインモニタのDCを引いた定数であるため、これはエレメント故障数にカウントされません(青字で定数を表示)

表204.1 図204.1のFTのMCS
表%%.1

このように、PMHF式を尊重せず、LFを見逃しDPFのみとすることで、2.7倍も故障確率を甘く(低く)見る事になります。保守的に(高く)見積もるのであれば安全側なのでOKですが、不稼働確率の過小評価は危険側のため、良くありません。

再度整理すると、正しい考え方は、

  1. E1及びE2の2つのエレメントにより構成される冗長系は、マルコフ連鎖で表される。
  2. E1、E2それぞれのエレメントは修理可能(つまり不信頼度$F(t)$ではなく、不稼働度$Q(t)$となる)
  3. PMHF式はこれらを考慮し、系の車両寿命における平均不稼働確率Q(T)を表したものであり、 PMHF式に基づきFault Treeを構成する

ですが、参照論文はこのうち、2., 3.が満足されていません。1.は当然なので、ほとんどが間違いということになります。

RAMS 2021において、PMHF式に基づくFTA構築法の論文発表が終了したため、本記事を開示します。


左矢前のブログ 次のブログ右矢

posted by sakurai on February 13, 2020 #203

保守的なPMHF式

さらに、参照論文では不信頼度 $$F(t)=1-e^{-\lambda t}$$ を用いた非修理系として扱っていますが、これはISO 26262の考え方と合いません。規格では主機能と安全機構のDPFまで考慮する必要があり、安全機構は修理可能として扱います。そのため2nd order SMが必要であり、周期的な検出(検出周期=$\tau$)と修理(検出カバレッジ=$K_\text{SM,MPF}$)が前提となります。修理系において不信頼度$F(t)$は不稼働度$Q(t)$となり、

$$Q(t)=(1-K_\text{SM,MPF})F(t)+K_\text{SM,MPF}F(t\bmod\tau)\\ =(1-K_\text{SM,MPF})(1-e^{-\lambda t})+K_\text{SM,MPF}(1-e^{-\lambda(t\bmod\tau)})$$ これからPMHFを求めると、

$$M_\text{PMHF}=(1-K_\text{IF,RF})\lambda_\text{IF}+K_\text{IF,RF}\lambda_\text{IF}\lambda_\text{SM}[(1-K_\text{SM,MPF})T_\text{lifetime}+K_\text{SM,MPF}\tau]$$

ここでワーストケースを考え、2nd order SMが無い(カバレージがゼロ、$K_\text{SM,MPF}=0$として評価します。これは保守的な評価です。すると、上式のPMHFは、

$$M_\text{PMHF}=(1-K_\text{IF,RF})\lambda_\text{IF}+K_\text{IF,RF}\lambda_\text{IF}\lambda_\text{SM}T_\text{lifetime}\\ =\lambda_\text{IF}[(1-K_\text{IF,RF})+K_\text{IF,RF}\lambda_\text{SM}T_\text{lifetime}]$$ 従って、基本的にFTはこの評価式を実装することになります。

FTの書き換え

参照論文ではLFを考慮せずに、単純にDPFとしていましたが、上記のようにLFを考慮したほうが正確です。これを確率式で表せば、

$$(\lambda_\text{IF}T_\text{lifetime})(\lambda_\text{SM}T_\text{lifetime})\to(\lambda_\text{IF}T_\text{lifetime})[(1-K_\text{IF,RF})+K_\text{IF,RF}(\lambda_\text{SM}T_\text{lifetime})]$$

となり、図203.1のFTの書き換えのように構成します。図の左は参照論文のFTであり、右は変更後のFTです。

図%%.1

図203.1 DPFの書き換え(LFを追加)

FTAツールは確率で取り扱い、ミッション時間の計算は自動的に行われるため、明示的に$T_\text{lifetime}$を掛ける必要はありません。

RAMS 2021において、PMHF式に基づくFTA構築法の論文発表が終了したため、本記事を開示します。


左矢前のブログ 次のブログ右矢

posted by sakurai on February 12, 2020 #202

参照論文の問題点

参照論文では、EBDノードを含めた全体について、定量的にFault Treeを用いたMCS(Minimal Cut Set)分析を行っており、問題は2つあります。

  • ISO 26262規格のPMHF式を参照していない
  • On-lineモニタのカバレッジが参照されていない。

この2つは関連する問題です。具体的に表202.1のとおり数値を入れてみてみます。On-lineモニタは参照論文に数値が無かったため、SMとして低めの数値を入れました。

表202.1
Subsystem Component Failure Rate [1/h]
EBD Node Brake ECU $3.3\times 10^{-7}$
Electronics Brake Module (EBM) $4.2\times 10^{-7}$
On-line monitor for EBM $1.1\times 10^{-7}$

誤ったFTA

この数値に基づき、参照論文のEBDサブシステムのFTをツール(SAPHIRE)により構成すれば、図202.1のようになります。

図%%.1
図202.1 参照論文のEBDサブシステムのFT

誤ったMCS

図202.1は論文のFTですが、このFTに対してカットセット分析を実施し、EBDサブシステムの故障確率を求めます。ツールを用いてMCSを求めると、表202.2のように24個の積項(Minimal Cut)が得られ、EBDサブシステムの故障確率は$1.63\times 10^{-5}$となります。参照論文ではミッション時間を5,000[H]としているため、"PMHF"(本当は車両故障確率の時間平均)は3.26[FIT]となります。

表202.2 EBDサブシステムのFTのMCS
表%%.2

ISO 26262では3つ以上のエレメント故障は安全故障としています。これは(規格には明確に書かれていませんが)確率が非常に低くなるためです。従って、3つ以上の故障を枝刈り(slice)すれば、表202.3のMCSとなります。積項数は6個に減少するものの、故障確率も"PMHF"も変わりません。

表202.3 枝刈りをしたMCS
表%%.3
便宜上、時間平均VSG確率を"PMHF"としましたが、本来PMHFと呼ぶためにはPMHF式を尊重しなければなりません。以上のように、本論文の手法では"PMHF"が非常に低く計算されます。その理由はon-lineモニタのカバレージをほぼ100%としているためです。

左矢前のブログ 次のブログ右矢

posted by sakurai on February 11, 2020 #201

ISO 26262のFTA関連の2つの論文を紹介します。

最初に紹介するのは"ISO 26262 ASIL-Oriented Hardware Design Framework for Safety-Critical Automotive Systems"という論文$\dagger$で、 PMHFターゲットに対してシステムをFTAを用いて分析し、弱い部分を定量的に抽出し、そこにSMを追加し、最終的にPMHF目標を満たす設計手法を提案するという、大変興味深いものです。ただ、残念ながらこの論文にはランダムハードウェア故障の確率の評価値(いわゆるPMHF)について問題があるため、それを取り上げます。

この論文(以下参照論文と言う)は以下のところから取得できます。

この論文ではAEB(autonomous emergency braking system)を題材としています。以下にAEBシステムのFT(Fault Tree)を示します。

図%%.1
図201.1 AEBシステム

AEBはかなり大規模なシステムであるため、FTの一部を抜き出します。図201.2がその一部で、これにEBDサブシステムと名付けます。

図%%.2
図201.2 AEBシステムの一部(EBDサブシステム)

EBDサブシステムは図201.2のように、EBDノード4冗長で構成されます。参照論文では図201.3のように、EBDノード1チャネルのEBM(Electronic Brake Module)に対してOn-line Monitorを付加してPMHFを下げたと主張しています。

図%%.3
図201.3 EBDノード1チャネル

$\dagger$Chen, Yung-Yuan & Lu, Kuen-Long. (2019). ISO 26262 ASIL-Oriented Hardware Design Framework for Safety-Critical Automotive Systems. 10.1109/ICCVE45908.2019.8965235.


左矢前のブログ 次のブログ右矢

確率論 (22)

posted by sakurai on February 10, 2020 #200

2項過程

時間間隔$[0, t]$において、$k$個の故障が起きる確率を考えます。まず離散時間の場合、単一の部品の故障確率を$p$、故障個数を表す確率変数を$X$とすれば、 $$\Pr\{X=k\}={}_n\mathrm{C}_k(1-p)^{n-k}p^k\ \ \ \ \ \ \ \text{for }k=1,2,...,n$$ 前回と同様に、単一の部品の故障率を$\lambda$、時間間隔$[0, t]$を$n$等分した一つの時間間隔を$\Delta t$とすれば、 $$p=\lambda\Delta t=\lambda\frac{t}{n}$$ よって、 $$\Pr\{X=k\}=\frac{n!}{(n-k)!k!}\left(1-\frac{\lambda t}{n}\right)^{n-k}\left(\frac{\lambda t}{n}\right)^k\ \ \ \ \ \ \ \text{for }k=1,2,...,n$$ 確率変数$X$は2項分布し、この確率変数は時間によって変化するため、$X(\omega)$と時刻$t$の直積をとった確率変数$X(\omega, t)$の集合$\{X(\omega, t)\}$を2項過程といいます。

ポアソン過程

前式において、$n\to\infty$の極限を取れば、 $$\Pr\{X=k\}=\lim_{n\to\infty}{}_n\mathrm{C}_k(1-p)^{n-k}p^k$$

$$=\lim_{n\to\infty}\frac{n!}{(n-k)!k!}\left(1-\frac{\lambda t}{n}\right)^{n-k}\left(\frac{\lambda t}{n}\right)^k$$

$$=\lim_{n\to\infty}\frac{n(n-1)...(n-k+1)}{n^k}\cdot\frac{1}{k!}\left(1-\frac{\lambda t}{n}\right)^{n-k}\left(\lambda t\right)^k\\ =\frac{(\lambda t)^k}{k!}e^{-\lambda t}$$ これをポアソン過程と呼びます。部品の故障は連続時間中に起こり、その確率は低いので、ポアソン過程として取り扱うことができます。


左矢前のブログ 次のブログ右矢

posted by sakurai on February 5, 2020 #109

1st EditionのPMHF式

以下に1st EditionのPMHF第1式及び第3式を示します。第1式はIFによりSPFもしくはDPFが発生する場合のみを数え上げた式であり、第3式はそれに加えてSM1によるDPFも加えた式です。従って、全ての場合を考えるならば第3式を使うのが正しいと考えます。

図%%.1
図109.1 1st EditionのPMHF第1式

図%%.2
図109.2 1st EditionのPMHF第3式

1st EditionにおいてはIFがアンリペアラブル、SM1がリペアラブルという前提での計算に基づいていると考えらえます。その理由は、この前提で、前稿のCTMCから平均PUDを求めると、正確に上2式と一致するためです。

2nd EditionのPMHF式

以下に2nd EditionのPMHF式を示します。

図%%.3
図109.3 2nd EditionのPMHF式

ISO 26262の2nd EditionのPMHF式は、1st Editionとpattern3、4が異なっており、対称性からみて前提が追加されていると考えます。2nd Editionでは1st Editionの前提(pattern 1, 2)に加えて、その反対の状態(pattern 3, 4)つまりIFがリペアラブル、SM1がアンリペアラブルの場合の両側についてPMHFを求めていると推測します。ただし、$T_{\mathrm{lifetime}}$項と$T_{\mathrm{service}}$項がなぜ2倍異なるのかの理由は判明していません。追記:2年後に判明したのでこの記事に記載しました。

しかしながら、弊社ではこの前提は誤りではないかと思います。初期状態、つまりフォールトが起きていない状態においては、IF、SM1の両方ともがリペアラブルが正しく、上記の仮定においては故障確率を過大に見積もりすぎています。

例えば、SM1がフォールトし、そのフォールトがSM2により検出され、検出周期の最後でリペアされる場合(pattern 2)を考えます。規格ではこの場合は最初にSM1がフォールトしてしまうと、最終的にはIFのフォールトによりDPFとなる場合のみがカウントされます。なぜなら、どちらかがリペアラブルだと他方はアンリペアラブルだからです。つまりこの場合、SM1がリペアラブルの場合は自動的にIFはアンリペアラブルという前提です。

ところが、実際にはSM1がリペアされた場合は初期状態と同じ状態に戻るため、次にIFがフォールトし、SM1により検出されリペアされる場合(pattern 4)もありえます。典型的な例は、SM1がフォールトしリペアされ、次にIFがフォールトしリペアされるように、交互にリペアされる場合です。この場合はDPFが起きないにも関わらず、2nd EditionではSM1がフォールトから始まると、SM1はリペアラブルに固定されます。そしてIFはアンリペアラブルに固定されます。

従って、実際にはDPFは起きませんが、IFのフォールトでDPFとカウントされ、結論として過大にフォールト確率を見積もっています。

もしかすると、LAT2にいる状態ではSM1がフォールトしているので、IFはリペアされない(IFはアンリペアラブル)と考えたのではないでしょうか。ところが、IFのリペアラビリティはSM1ではなく、SM2にのみ依存し、かつSM2は故障しないため、IFはリペアラブルです。従って、本稿のほうが正しいと考えます。

RAMS 2020においてPMHF式の論文発表が終了したため、本記事を開示します。


左矢前のブログ 次のブログ右矢

posted by sakurai on February 5, 2020 #108

SPFの再計算は必要?

前記事ではDPF1に関する平均PUDを再計算しました。IFの条件がアンリペアラブルからリペアラブルに変更され、リペアすることにより(一部の)OPRの状態確率が上がったためです。

しかし、SPFの確率は上がりません。その理由は、リペアによってIF downからIF up状態に戻ったということは、元のdownした時にはVSG抑止されていたはずです。そのため、リペアはDPF確率のみに影響し、SPFは全く無関係となります。従って、

$$ \overline{q_{\mathrm{SPF,IFR}}}=\overline{q_{\mathrm{SPF,IFU}}}\tag{108.1} $$

よって、(103.7)(107.8)(106.4)を加え合わせて、 $$ \begin{eqnarray} \require{cancel} M_{\mathrm{PMHF}}&=&\overline{q_{\mathrm{SPF,IFR}}}+\overline{q_{\mathrm{DPF1,IFR}}}+\overline{q_{\mathrm{DPF2,IFR}}}\\ &=&(1-K_\text{IF,RF})\lambda_\text{IF}-\bcancel{(1-K_\text{IF,RF})\alpha}+\bcancel{(1-K_\text{IF,RF})\alpha}+K_\text{IF,RF}\beta+K_\text{IF,RF}\beta\\ &=&(1-K_\text{IF,RF})\lambda_\text{IF}+2K_\text{IF,RF}\beta\\ &=&(1-K_{\mathrm{IF,RF}})\lambda_{\mathrm{IF}}+ K_{\mathrm{IF,RF}}\lambda_{\mathrm{IF}}\lambda_{\mathrm{SM}}[(1-K_{\mathrm{MPF}})T_\text{lifetime}+K_{\mathrm{MPF}}\tau], \\ & &ただし、K_{\mathrm{MPF}}:=K_{\mathrm{IF,MPF}}+K_{\mathrm{SM,MPF}}-K_{\mathrm{IF,MPF}}K_{\mathrm{SM,MPF}} \tag{108.2} \end{eqnarray} $$ 2nd Editionの規格式とは異なるものの、これが正解と考えます。

一旦結論が出ましたが、次の記事に続きます。

RAMS 2020においてPMHF式の論文発表が終了したため、本記事を開示します。


左矢前のブログ 次のブログ右矢

posted by sakurai on February 5, 2020 #107

DPF1の再計算

ところがこのケース2.の場合は、(無関係と思われた)DPF1について再計算する必要があります。その理由は、IFの条件がアンリペアラブルからリペアラブルに変更され、リペアすることによりOPRの状態確率が上がり、結果としてDPF1の確率が下がるためです。図107.1に図104.1を再掲します。LAT2においてはIF=upであったのに対し、DPF1においてはIF=downとなります。

図%%.1
図107.1 CTMCにおいてLAT2DPF1の遷移

(104.1)を参考に、IFRモデルに変更します。 $$ \begin{eqnarray} \overline{q_{\mathrm{DPF1,IFR}}}&=&\frac{1}{T_\text{lifetime}}\Pr\{\mathrm{DPF1\ at\ }T_\text{lifetime}\}\\ &=&\frac{1}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}\Pr\{\mathrm{LAT2\ at\ }t\cap\mathrm{IF\ down\ in\ }(t, t+dt]\}\\ &=&\frac{1}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}\Pr\{\mathrm{IF\ down\ in\ }(t, t+dt]\ |\ \mathrm{LAT2\ at\ }t\}\\ & &\cdot\Pr\{\mathrm{LAT2}\mathrm{\ at\ }t\} \end{eqnarray} \tag{107.1} $$ ここまでは(104.1)と同じです。LAT2はIFの稼働状態でかつSM1の不稼働状態であるから、 $$ \Pr\{\mathrm{LAT2\ at\ }t\}=\Pr\{\mathrm{IF\ up\ at\ }t\cap\mathrm{SM\ down\ at\ }t\}\tag{107.2} $$ IFとSM1の稼働状態は独立事象であり、IFRモデルではIF、SM1共にリペアラブルであることから、(107.2)は $$ (107.2)=\Pr\{\mathrm{IF^R\ up\ at\ }t\}\Pr\{\mathrm{SM\ down\ at\ }t\}\\ =A_{\mathrm{IF}}(t)Q_{\mathrm{SM}}(t)\tag{107.3} $$ と書けるように思われますが誤りです。IFのフォールトはVSG non preventableとVSG preventableに分けられるので、分配則より、 $$ \Pr\{\mathrm{IF\ up\ at\ }t\}=\Pr\{\left(\overline{\text{IF preventable}}\cup\text{IF preventable}\right)\cap\mathrm{IF\ up\ at\ }t\}\\ =\Pr\{\left(\overline{\text{IF preventable}}\cap\mathrm{\color{red}{IF^U}\ up\ at\ }t\right)\cup\left(\text{IF preventable}\cap\mathrm{IF^R\ up\ at\ }t\right)\}\tag{107.4} $$ となります。$\mathrm{\color{red}{IF^U}}$に注意してください。$\overline{\text{IF preventable}}$とはSM1によりVSG抑止できないことを意味し、修理は不可能であるため、その部分のIFはアンリペアラブルとなります。

ちなみに、この部分の確率はSMの状態によらずVSGとなるため、本質的にはSPFに入りそうですが、形式的にはSMがdownしているときのIFのフォールトなので、本稿ではDPFに入れます。なお、SPFに分類してもDPFに分類しても最終的には確率の総和を取るため、結果に変わりはありません。

従って、(107.4)のIFの前半がアンリペアラブル、後半がリペアラブルなので、(107.4)は、 $$ \require{cancel} \Pr\{\mathrm{IF\ up\ at\ }t\}=(1-K_{\text{IF,RF}})R_\text{IF}(t)+K_{\text{IF,RF}}A_\text{IF}(t)\\ (新規追加)=(1-\bcancel{K_{\text{IF,RF}}})R_\text{IF}(t)+K_{\text{IF,RF}}(\bcancel{1}-K_{\text{IF,MPF}})R_\text{IF}(t)+K_{\text{IF,RF}}K_{\text{IF,MPF}}R_\text{IF}(u)\\ =(1-K_{\text{IF,RF}}K_{\text{IF,MPF}})R_\text{IF}(t)+K_{\text{IF,RF}}K_{\text{IF,MPF}}R_\text{IF}(u), ただし、u:=t\bmod\tau \tag{107.5} $$ となるため、(107.2)は(107.5)を用いて、 $$ \Pr\{\mathrm{LAT2\ at\ }t\}=\Pr\{\mathrm{IF\ up\ at\ }t\}\Pr\{\mathrm{SM\ down\ at\ }t\}\\ =\left[(1-K_{\text{IF,RF}})R_\text{IF}(t)+K_{\text{IF,RF}}A_\text{IF}(t)\right]Q_{\mathrm{SM}}(t)\\ (新規追加)=\left[(1-K_{\text{IF,RF}}K_{\text{IF,MPF}})R_\text{IF}(t)+K_{\text{IF,RF}}K_{\text{IF,MPF}}R_\text{IF}(u)\right]Q_{\mathrm{SM}}(t),\\ ただし、u:=t\bmod\tau \tag{107.6} $$ と書けます。

さらに、(107.1)の右辺積分中の条件付き確率式に、独立条件付き確率式(103.4)、及び微小故障条件付き確率式(66.8)を用いれば、DPF時の2つ目のフォールトはIF、SM1共にアンリペアラブルとなるため、 $$ \require{cancel} \Pr\{\mathrm{IF^U\ down\ in\ }(t, t+dt]\ |\ \mathrm{LAT2\ at\ }t\}\\ =\Pr\{\mathrm{IF^U\ down\ in\ }(t, t+dt]\ |\ \mathrm{IF^U\ up\ at\ }t\cap\bcancel{\mathrm{SM\ down\ at\ }t}\}\\ =\Pr\{\mathrm{IF^U\ down\ in\ }(t, t+dt]\ |\ \mathrm{IF^U\ up\ at\ }t\}=\lambda_{\mathrm{IF}}dt\tag{107.7} $$ となります。

よって、(107.1)に(107.7)、(107.6)を適用した上で、PUA(59.8)、PA(59.7)故障率(66.6)及び弊社積分公式(60.1)及び(60.2)を用いれば、 $$ \begin{eqnarray} \overline{q_{\mathrm{DPF1,IFR}}}&=&\frac{1-K_{\mathrm{IF,RF}}}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}Q_{\mathrm{SM}}(t)R_{\mathrm{IF}}(t)\lambda_{\mathrm{IF}}dt+\frac{K_{\mathrm{IF,RF}}}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}Q_{\mathrm{SM}}(t)A_{\mathrm{IF}}(t)\lambda_{\mathrm{IF}}dt\\ &=&\frac{1-K_{\mathrm{IF,RF}}}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}Q_{\mathrm{SM}}(t)f_{\mathrm{IF}}(t)dt+\frac{K_{\mathrm{IF,RF}}}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}Q_{\mathrm{SM}}(t)q_{\mathrm{IF}}(t)dt\\ &=&\frac{1-K_{\mathrm{IF,RF}}}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}[(1-K_{\mathrm{SM,MPF}})F_{\mathrm{SM}}(t)+K_{\mathrm{SM,MPF}}F_{\mathrm{SM}}(u)]f_{\mathrm{IF}}(t)dt\\ & &+\frac{K_{\mathrm{IF,RF}}}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}[(1-K_{\mathrm{SM,MPF}})F_{\mathrm{SM}}(t)+K_{\mathrm{SM,MPF}}F_{\mathrm{SM}}(u)]\\ & &\cdot\left[(1-K_{\mathrm{IF,MPF}})f_{\mathrm{IF}}(t)+K_{\mathrm{IF,MPF}}f_{\mathrm{IF}}(u)\right]dt,\\ & &ただし、u:=t\bmod\tau\\ &\approx&\frac{1-K_{\mathrm{IF,RF}}}{2}\lambda_{\mathrm{IF}}\lambda_{\mathrm{SM}}[(1-K_{\mathrm{SM,MPF}})T_\text{lifetime}+K_{\mathrm{SM,MPF}}\tau]\\ & &+\frac{K_{\mathrm{IF,RF}}}{2}\lambda_{\mathrm{IF}}\lambda_{\mathrm{SM}}[(1- K_{\mathrm{MPF}})T_\text{lifetime}+K_{\mathrm{MPF}}\tau]\\ &=&(1-K_{\mathrm{IF,RF}})\alpha+K_{\mathrm{IF,RF}}\beta,\\ \end{eqnarray} \tag{107.8} $$

$$ ただし、\begin{cases} \begin{eqnarray} \alpha&:=&\frac{1}{2}\lambda_{\mathrm{IF}}\lambda_{\mathrm{SM}}[(1-K_{\mathrm{SM,MPF}})T_\text{lifetime}+K_{\mathrm{SM,MPF}}\tau]\\ \beta&:=&\frac{1}{2}\lambda_{\mathrm{IF}}\lambda_{\mathrm{SM}}[(1-K_{\mathrm{MPF}})T_\text{lifetime}+K_{\mathrm{MPF}}\tau]\\ K_{\mathrm{MPF}}&:=&K_{\mathrm{IF,MPF}}+K_{\mathrm{SM,MPF}}-K_{\mathrm{IF,MPF}}K_{\mathrm{SM,MPF}}\\ \end{eqnarray} \end{cases} $$ となります。

(2021年1月新規追加)これを整理すれば、 $$ \begin{eqnarray} (107.8)&=&\frac{1}{2}\lambda_{\mathrm{IF}}\lambda_{\mathrm{SM}}[(1- K_{\mathrm{MPF2}})T_\text{lifetime}+K_{\mathrm{MPF2}}\tau]\\ & &ただし、K_{\mathrm{MPF2}}:=K_{\mathrm{IF,RF}}K_{\mathrm{IF,MPF}}+K_{\mathrm{SM,MPF}}-K_{\mathrm{IF,RF}}K_{\mathrm{IF,MPF}}K_{\mathrm{SM,MPF}}\\ \end{eqnarray} \tag{107.9} $$ となります。これは(107.6)の新規追加式を積分した結果と同一になります。

RAMS 2020においてPMHF式の論文発表が終了したため、本記事を開示します。


左矢前のブログ 次のブログ右矢

posted by sakurai on February 5, 2020 #106

2. LAT1において、検出周期内ではSM1のフォールトに応じて確率的にDPF2に遷移する。一方検出周期の最後で、検出されたIFのフォールトはリペアされOPRに戻る場合(IFRモデル)

ケース2.の場合の計算です。2nd Editionの中にPattern4が以下の図のように書かれています。IFが先にフォールトし、それが検出される場合についてはリペアされると推測され、Pattern4はこのケース2.の場合であると考えられます。

図%%.1
図106.1 2nd edition中のPattern 4の記述

(日本語訳)IFのフォールトは軽減され、SM1によって通知されます。フォールトの露出時間は、ドライバーが車両を修理に持ち込むのに必要な予想時間と見なされます。

これが成立するのは、(規格には書かれていませんが1)SM1にIFの代替機能がある場合に限られます。それが無い場合は前稿のIFUモデルに対応します。それがある場合はIFRモデルに対応します。2nd EditionではPattern3及び4が追加され、IFRモデルを前提としており、本ケース2.が相当すると考えます。

図%%.2
図106.2 CTMCにおいてLAT1DPF2の遷移

前ページの(105.1)のIFUモデルをIFRモデルに変更します。 $$ \begin{eqnarray} \overline{q_{\mathrm{DPF2,IFR}}}&=&\frac{1}{T_\text{lifetime}}\Pr\{\mathrm{DPF2\ at\ }T_\text{lifetime}\}\\ &=&\frac{1}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}\Pr\{\mathrm{LAT1\ at\ }t\cap\mathrm{SM\ down\ in\ }(t, t+dt)\}\\ &=&\frac{1}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}\Pr\{\mathrm{SM\ down\ in\ }(t, t+dt]\ |\ \mathrm{LAT1\ at\ }t\}\\ & &\ \ \ \ \cdot\Pr\{\mathrm{LAT1\ at\ }t\} \end{eqnarray} \tag{106.1} $$

ここで、LAT1はIFの不稼働状態でかつSM1によりVSGは抑止されるがSM2により検出されず、かつSM1の稼働状態であるから、 $$ \Pr\{\mathrm{LAT1\ at\ }t\}=\Pr\{\mathrm{IF\ down\ at\ }t\cap\text{VSG of IF preventable}\cap\mathrm{SM\ up\ at\ }t\}\tag{106.1} $$ IFとSM1の稼働状態は独立事象であり、IF、SM1は共にリペアラブルです。前稿にならいリペアラブルなIFを$\mathrm{IF^R}$と書くことにします。

SM1のVSG prevent能力はアーキテクチャ的に決定されるため、他の事象とは独立と考え、$K_\text{IF,RF}$(101.3)を用いると、(106.1)は $$ \Pr\{\mathrm{LAT1\ at\ }t\}=\Pr\{\mathrm{IF^R\ down\ at\ }t\}\Pr\{\text{VSG of IF preventable}\}\Pr\{\mathrm{SM\ up\ at\ }t\}\\ =K_{\mathrm{IF,RF}}Q_{\mathrm{IF}}(t)A_{\mathrm{SM}}(t)\tag{106.2} $$ と書けます。

さらに、(105.1)の右辺積分中の条件付き確率式に(106.1)、独立条件付き確率式(103.4)、及び微小故障条件付き確率式(66.8)を用い、DPF時の2つ目のフォールトはIF、SM1共にアンリペアラブルとなるため、 $$ \require{cancel} \Pr\{\mathrm{SM\ down\ in\ }(t, t+dt]\ |\ \mathrm{LAT1\ at\ }t\}\\ =\Pr\{\mathrm{SM\ down\ in\ }(t, t+dt]\ |\ \mathrm{SM\ up\ at\ }t\cap\bcancel{\mathrm{IF^R\ down\ at\ }t}\cap\bcancel{\text{VSG of IF preventable}}\}\\ =\Pr\{\mathrm{SM\ down\ in\ }(t, t+dt]\ |\ \mathrm{SM\ up\ at\ }t\}=\lambda_{\mathrm{SM}}dt\tag{106.3} $$ よって、(105.1)に(106.3)、(106.2)を適用した上で、PUA(59.8)、PA(59.7)故障率(66.6)及び弊社積分公式を用いれば、 $$ \begin{eqnarray} \overline{q_{\mathrm{DPF2, IFR}}}&=&\frac{1}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}K_{\mathrm{IF,RF}}Q_{\mathrm{IF}}(t)A_{\mathrm{SM}}(t)\lambda_{\mathrm{SM}}dt\\ &=&\frac{K_{\mathrm{IF,RF}}}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}\left[(1-K_{\mathrm{IF,MPF}})F_{\mathrm{IF}}(t)+K_{\mathrm{IF,MPF}}F_{\mathrm{IF}}(u)\right]\\ & &\cdot\left[(1-K_\text{SM,MPF})f_\text{SM}(t)+K_\text{SM,MPF}f_\text{SM}(u)\right]dt,\\ & &ただし、u:=t\bmod\tau\\ &\approx&\frac{K_{\mathrm{IF,RF}}}{2}\lambda_{\mathrm{SM}}\lambda_{\mathrm{IF}}\left[(1-K_{\mathrm{MPF}})T_\text{lifetime}+K_{\mathrm{MPF}}\tau\right], \\ & &ただし、K_{\mathrm{MPF}}:=K_{\mathrm{IF,MPF}}+K_{\mathrm{SM,MPF}}-K_{\mathrm{IF,MPF}}K_{\mathrm{SM,MPF}}\\ &=&K_{\mathrm{IF,RF}}\beta, \\ & &ただし、\beta:=\frac{1}{2}\lambda_{\mathrm{IF}}\lambda_{\mathrm{SM}}[(1-K_{\mathrm{MPF}})T_\text{lifetime}+K_{\mathrm{MPF}}\tau] \end{eqnarray} \tag{106.4} $$

RAMS 2020においてPMHF式の論文発表が終了したため、本記事を開示します。


左矢前のブログ 次のブログ右矢


ページ: