過去記事において、レイテントフォールトを取り上げました。1st SMにより検出されたフォールトはMPF detectedとなるが、このフォールトは、修理されるのか修理されないのかのどちらだろうかという、大変良い疑問です。

疑問については過去記事を見て頂くとして、以下にその回答を引用します。

1. 主機能フォールトは100%検出され(修理されない)ため、レイテントにならないとの立場
   検出されても修理されないならば、いつかSMのフォールト発生によりDPFとなる。これはPMHF式のSMが、MPF detectedであっても検出周期内ではレイテントとなることからも分かる。よってレイテントフォールトとなることから前提と矛盾する。
2. 主機能フォールトは100%検出され修理されるため、レイテントにならないとの立場
   修理されるのでDPFとならない。ところが、PMHF式は式の前提から、主機能は非修理系であり、PMHF式の前提と矛盾する。
3. 主機能フォールトは、100%検出されてもレイテントになるとの立場
   上記議論から、100%検出されても修理されなければレイテントとなるが、故障分類フローではMPF detectedとMPF latentを明白に分けているため、故障分類フローと矛盾する。また、LFMの定義にはMPF detectedは除かれているため、LFMの定義とも矛盾する。

どの立場を取っても矛盾するということは、規格内部に矛盾があることを意味します。

と回答しました。すなわち、どのように考えても矛盾するというのが結論です。

しかしながらその後、矛盾を解消する提案を論文として投稿し、RAMS 2022に採択されました。

矛盾の解消案は以下のとおりです。

1. の矛盾点は解消できない。MPF detectedとなっても修理されない状態で運転を継続すれば、SMのフォールトとの合わせ技でVSGとなるから、それはLFと同じである。
   
2. の矛盾点は主機能も修理系であると変更する。ただしその修理はあたかも車両に修理人及びスペアパーツが搭載されているかの如く、瞬時に行われ運転は継続可能。これはIFが絶対にMPFフォールトしないのと同値である。これならLFMとも矛盾は生じない。
   
3. の矛盾点は1.と同様LFとなるため、矛盾は解消できない。

RAMS 2022採択論文においてありうべきシナリオを検討したので、それを示します。

前のブログ 次のブログ

次は(15)の導出です。

論文"Generic Equations for a Probabilistic Metric for Random Hardware Failures According to ISO 26262"において、以下の2か所の式変形過程が分からないが、どうして次の式(13), (15)が導出されるのか？

(13)　省略、前ページで解説

これは既に過去ブログでも記載済みなのでその箇所を返信しました。

Equation (103.6) in the following blog post is what you are looking for.
次のブログ記事の式(103.6)があなたが探しているものです。
https://fs-micro.com/post/show/id/103.html
Here's the trick: we transform it using $F(t)$ instead of $R(t)$. Because our integral formula
ここにトリックがあります。$R(t)$の代わりに$F(t)$を用います。なぜなら、我々の積分公式
https://fs-micro.com/post/show/id/60
can be used.
が使えるからです。

返信の際に$F(t)$に言及したのは、読者の方がご自分で変形し、$R(t)$の形式を導出した後行き詰っていたのでヒントを示しています。以下に記事の(103.6)を再掲します。

よって、(103.1)に(103.1.5)、(103.1.3)、$\Pr\{\overline{\text{VSG of IF preventable}}\}=1-K_\text{IF,RF}$(100.3)を用いた上で、故障率(66.6)及びPUA(59.8)を適用すれば、平均PUDは、 $$ \begin{eqnarray} \overline{q_\text{SPF,IFU}}&=&\frac{1}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}(1-K_\text{IF,RF})R_\text{IF}(t)A_\text{SM}(t)\lambda_\text{IF}dt\\ &=&\frac{1-K_\text{IF,RF}}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}\left[1-Q_\text{SM}(t)\right]f_\text{IF}(t)dt\\ &=&\frac{1-K_\text{IF,RF}}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}f_\text{IF}(t)dt-\frac{1-K_\text{IF,RF}}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}Q_\text{SM}(t)f_\text{IF}(t)dt\\ &=&\frac{1-K_\text{IF,RF}}{T_\text{lifetime}}F_\text{IF}(T_\text{lifetime})\\ & &-\frac{1-K_\text{IF,RF}}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}\left[(1-K_\text{SM,MPF})F_\text{SM}(t)+K_\text{SM,MPF}F_\text{SM}(u)\right]f_\text{IF}(t)dt,\\ & &\text{ただし、}u:=t\bmod\tau \tag{103.1.6} \end{eqnarray} $$ よって、$F_\text{IF}(t)=1-e^{-\lambda_\text{IF}t}\approx\lambda_\text{IF}t$と近似する0におけるTaylor展開(すなわちMaclaurin展開)及び弊社積分公式により、 $$ \overline{q_\text{SPF,IFU}}\approx(1-K_\text{IF,RF})\lambda_\text{IF}-\frac{1-K_\text{IF,RF}}{2}\lambda_\text{IF}\lambda_\text{SM}\left[(1-K_\text{SM,MPF})T_\text{lifetime}+K_\text{SM,MPF}\tau\right]\\ \tag{103.1.7} $$

1st editionでは定期修理期間を$\tau$で表していましたが、2nd editionでは表記が$T_\text{service}$に変わりました。従って、 $$ \overline{q_\text{SPF,IFU}}\approx(1-K_\text{IF,RF})\lambda_\text{IF}-\frac{1}{2}(1-K_\text{IF,RF})\lambda_\text{IF}\lambda_\text{SM}\left[(1-K_\text{SM,MPF})T_\text{lifetime}+K_\text{SM,MPF}T_\text{service}\right] $$ となり、(15)が成立します。

前のブログ 次のブログ

台湾の読者からご質問を頂きました。原文は英語です。

論文"Generic Equations for a Probabilistic Metric for Random Hardware Failures According to ISO 26262"において、以下の2か所の式変形過程が分からないが、どうして次の式(13), (15)が導出されるのか？

(15)　省略、次ページで解説

当該論文の発表記事は#199です。そして式(13)の導出はブログに書かれていない部分の式変形です。そのため、今回新たにChatGPTに導出させたのでそれを示します。メールに英語で回答する都合上ChatGPTと英語で会話したので、併せて和訳を付けます。ChatGPTには元の式(13)の一部 $$ F_\text{SM}(T_\text{service})\sum_\text{i=0}^{n-1}R_\text{SM}(t-(i+1)T_\text{service}) $$ について変形させました。

ChatGPT:
The original equation is:
元の方程式は以下のとおりである。: $$ (1-R_\text{SM}(T_\text{service}))\sum_\text{i=0}^{n-1}R_\text{SM}(t-(i+1)T_\text{service}) $$ First, we apply the distributive law. This involves multiplying $1-R_\text{SM}(T_\text{service})$ with each term inside the summation. Doing so transforms the equation into:
まず、分配法則を適用する。これは$1-R_\text{SM}(T_\text{service})$を和の中の各項と乗算する。そうすることで次の式を得る。 $$ \sum_\text{i=0}^{n-1}\left[R_\text{SM}(t-(i+1)T_\text{service})-R_\text{SM}(T_\text{service}) R_\text{SM}(t-(i+1)T_\text{service})\right] $$ Next, we apply the product rule for reliability functions, which is $ R_\text{SM}(a)R_\text{SM}(b)=R_\text{SM}(a+b) $. It's important to remember that this rule applies only to terms in the form of $ R_\text{SM} $. We can apply this rule to the second term in the expanded equation:
次に、信頼性関数の積則を適用する。$R_\text{SM}(a)R_\text{SM}(b)=R_\text{SM}(a+b)$である。$R_\text{SM}$の形の項だけに適用されるので、この規則を展開された方程式の第2項に適用できる。 $$ \sum_\text{i=0}^{n-1}\left[R_\text{SM}(t-(i+1)T_\text{service})-R_\text{SM}(T_\text{service}+t- (i+1)T_\text{service})\right] $$ Upon simplifying further, the equation becomes:
さらに単純化すると方程式は次のようになる。 $$ \sum_\text{i=0}^{n-1}\left[R_\text{SM}(t-(i+1)T_\text{service})-R_\text{SM}(t-iT_\text{service})\right] $$ We can separate this into two distinct summations by splitting the terms within the summation:
我々は項を分割し2つの異なる和に分けることができる。 $$ \sum_\text{i=0}^{n-1}R_\text{SM}(t-(i+1)T_\text{service})-\sum_\text{i=0}^{n-1}R_\text{SM}(t-iT_\text{service}) $$ Now, to further transform the equation, we change the variable in the first summation from $i$ to $j=i+1$. This results in adjusting the limits of the summation as well. The transformed equation becomes:
この方程式をさらに変形するために、最初の和の変数を$i$から$j=i+1$に変更すると変換された方程式は次のようになる。 $$ \sum_\text{j=1}^{n} R_\text{SM}(t - jT_\text{service}) - \sum_\text{i=0}^{n-1} R_\text{SM}(t - iT_\text{service}) $$ We observe that for each term in the first summation, there is a corresponding term in the second summation that cancels it out, except for the terms at the boundaries. What remains are the terms for $j=n$ in the first summation and $i=0$ in the second summation. Therefore, the simplified result of the equation is:
最初の和の各項について、それを打ち消す2番目の和の対応する項があることがわかる。 残るのは、最初の和の$j=n$の項と、2番目の和の$i=0$の項である。 よって、この式を簡略化すると次のようになる。 $$ R_\text{SM}(t-nT_\text{service})-R_\text{SM}(t) $$ This represents the remaining terms after all other terms in the summations have canceled each other out.
これは、和の他の項がすべて相殺された後の残りの項を表している。

ここでこの結果を元の式(13)に代入し、$u\equiv t \bmod T_\text{service}=t-nT_\text{service}$とおけば、 $$ \begin{eqnarray} A_\text{SM}(t)&=&R_\text{SM}(t)+K_\text{SM,MPF}\left[R_\text{SM}(u)-R_\text{SM}(t)\right]\\ &=&(1-K_\text{SM,MPF})R_\text{SM}(t)+K_\text{SM,MPF}R_\text{SM}(u),\ \ \ \text{s.t. }u\equiv t \bmod T_\text{service} \end{eqnarray} $$ これにより論文(13)の最後の式が導出されました。

前のブログ 次のブログ

過去記事にも記載しましたが、RAMSポータルに例年どおりプログラム表が掲載されました。弊社代表の発表枠は、最終日グリーンで色を塗ったセッションの"信頼性モデリング4"です。

以下の図は会場であるCryde HotelのEnchantボールルームの写真です。この会場を3つに区切って使用するようです。

前のブログ 次のブログ

Session Chairから連絡があり、弊社代表の発表枠が確定しました。以下のように最終日のReliablity Modeling 4の発表枠となります。

前のブログ 次のブログ

FS Micro Corporation (Headquarters: Nagoya, Japan), a provider of professional consulting services for functional safety (Note 1) of in-vehicle systems, has been accepted for publication in RAMS 2024 (Note 2), an international conference on reliability organized by IEEE (Note 3) on October 27, 2023. This is the fifth consecutive year that the author's paper has been accepted to RAMS. The author's paper also won the Best Paper Award at the 14th ISPCE 2017 (Note 4), an international conference sponsored by IEEE in 2017.

RAMS 2024 will be held January 22-25, 2024, at the Clyde Hotel in Albuquerque, NM, USA, and this presentation will be made during the Reliability Modeling 4 slot on January 25.

In 2018, the second edition of ISO 26262 (Note 5), the international standard for functional safety in automotive electronics, was published, and the PMHF (Note 6) equation was also revised. In RAMS 2020, the author clarified the mathematical background of the PMHF formula and proposed a new PMHF formula that can calculate more optimal values.

The title of this paper is "Identifying and Rectifying the Systematic Faults in the Probabilistic Metric (PMHF) Formula in ISO 26262."

The paper identifies 11 problems with the PMHF formula by analyzing the derivation process of the standard PMHF formula. It is then shown that correcting all of these problems results in a PMHF equation that is consistent with the previously proposed PMHF equation. Using the proposed PMHF equation prevents the overestimation of PMHF values. Therefore, this approach is expected to make the design of high-reliability systems, as typified by AD (Note 7), easier.

Contact Information
Company　　　　　　Name FS Micro Corporation
Representative　　　　Atsushi Sakurai
Date of establishment　August 21, 2013
Capital　　　　　　　32 million yen (including capital reserve)
Business Description　ISO 26262 functional safety consulting and seminars for in-vehicle electronic devices
Head Office Address　4-1-57 Osu, Naka-ku, Nagoya, Aichi, Japan
Phone　　　　　　　 052-263-3099
E-mail address　　　info@fs-micro.com
URL　　　　　　　　https://fs-micro.com/

Note 1: Functional safety is the concept of enhancing safety at the system level by implementing various safety measures.
Note 2: RAMS 2024 stands for The 70th Annual Reliability & Maintainability Symposium, an international conference on reliability engineering organized by the IEEE Reliability Division. http://rams.org/
Note 3: IEEE stands for Institute of Electrical and Electronics Engineers. It is the world's largest academic society for electrical and electronic engineering technology, both in terms of the number of participants and the countries involved. http://ieee.org/
Note 4: ISPCE stands for IEEE Symposium on Product Compliance Engineering, an international conference on product safety organized by the IEEE Product Safety Division http://2017.psessymposium.org/
Note 5: ISO 26262 is a functional safety standard for in-vehicle electrical and electronic systems. It is an international standard that aims to reduce to an acceptable level the possibility of safety goal violations due to failures of in-vehicle electrical and electronic systems during vehicle operation.
Note 6: PMHF stands for Probabilistic Metric for Random Hardware Failures. PMHF is one of the hardware design targets of ISO 26262, which is a time-averaged probability of safety target violations due to failures of in-vehicle electrical and electronic systems over the life of the vehicle.
Note 7: AD stands for Autonomous Driving.

前のブログ 次のブログ

車載システムに関する機能安全(注1)の専門的なコンサルティングを提供するFSマイクロ株式会社(本社：名古屋市)代表取締役社長 桜井 厚が執筆した論文が、2023年10月27日、IEEE(注2)主催の信頼性に関する国際学会であるRAMS 2024(注3)に採択されました。同著者によるRAMSへの採択は今回で5年連続となります。また同著者の論文は、2017年にIEEE主催の国際学会である第14回ISPCE 2017(注4)において最優秀論文賞を受賞しています。

次回のRAMS 2024は、2024年1月22日から25日まで、米国ニューメキシコ州アルバカーキのクライドホテルで開催され、本発表は1月25日の信頼性モデル4枠において行われる予定です。

2018年に車載電子機器における機能安全の国際規格であるISO 26262(注5)第2版が発行され、併せてPMHF(注6)式も改訂されました。同著者はRAMS 2020において、このPMHF式の数学的な背景を明らかにし、より最適な値が算出可能である新しいPMHF式を提案しました。

本論文のタイトルは、"Identifying and Rectifying the Systematic Faults in the Probabilistic Metric (PMHF) Formula in ISO 26262"です。邦題は「ISO 26262における確率的メトリック式（PMHF）のシステマティック・フォールトの特定と修正」となります。

本論文は規格PMHF式の導出過程を分析することでPMHF式の問題点11か所を識別します。さらに、それらの問題点を全て修正すると先に提案されたPMHF式と一致することを示します。提案するPMHF式を使用することでPMHF値の過剰見積もりを防ぐことができます。従ってこのアプローチにより、AD（注7）に代表される高信頼システムの設計がより容易になることが期待されます。

【お問い合わせ先】
商号　　　　　 FSマイクロ株式会社
代表者　　　　 桜井 厚
設立年月日　　 2013年8月21日
資本金　　　　 3,200万円(資本準備金を含む)
事業内容　　　 ISO 26262車載電子機器の機能安全のコンサルティング及びセミナー
本店所在地　　 〒460-0011
　　　　　　　 愛知県名古屋市中区大須4-1-57
電話　　　　　 052-263-3099
メールアドレス　info@fs-micro.com
URL　　　　　 https://fs-micro.com/

【注釈】
注1：機能安全とは、様々な安全方策を講じることにより、システムレベルでの安全性を高める考え方
注2：IEEE(アイトリプルイー)とはInstitute of Electrical and Electronics Engineersの略称。電気工学・電子工学技術に関する、参加人数、参加国とも世界最大規模の学会 http://ieee.org/
注3：RAMS(ラムズ)2024とはThe 70th Annual Reliability & Maintainability Symposiumの略称。IEEE信頼性部会が主催する、信頼性工学に関する国際学会 http://rams.org/
注4：ISPCE(アイスパイス)とはIEEE Symposium on Product Compliance Engineeringの略称。IEEE製品安全部会が主催する、製品安全に関する国際学会 http://2017.psessymposium.org/
注5：ISO 26262とは、車載電気・電子システムに関する機能安全規格であり、自動車の運行中に車載電気・電子システムが故障することで安全目標違反となる可能性を、許容できる範囲に低減させることを目的とした国際規格
注6：PMHF(ピーエムエイチエフ)とはProbabilistic Metric for Random Hardware Failuresの略称。車載電気・電子システムが故障することで安全目標違反となる確率を車両寿命間で時間平均した、ISO 26262のハードウェアに関する設計目標のひとつ
注7：ADとはAutonomous Drivingで自動運転の略語。

前のブログ 次のブログ

Annex F

ISO 26262-5:2018、すなわち規格Part 5のAnnex Fには「4.2に従った第9節の目的を満足するという論理的根拠の例」が掲載されています。

ここで、4.2とはPart 5の一般的な要件であり第9節とはランダムハードウエア故障による安全目標侵害の評価です。つまりPart 5の第9節の要請に従ったメトリクス評価の実例が書かれています。ここでメトリクスとはランダムハードウエア故障による安全目標侵害のメトリクスであり、PMHFを指します。

もっとも第9節では第1の手法として「ランダムハードウエア故障の確率的メトリック」すなわちPMHFの要件を挙げ、第2の手法として「安全目標侵害の各原因の評価」すなわちEECを挙げていて、メトリクスはいずれかとなりますが、第2の手法には弊社は疑念があるため、第1の手法であるPMHFを採用したほうが良いと考えます。

PMHF式

出発点はAnnex Eで実施したFMEDAによるSPFM/LFMの導出の表です。この例に基づき、Annex FではPMHFの簡易評価式を次のように定めています。

$$M_\text{PMHF,est}\equiv \lambda_\text{SPF}+\lambda_\text{RF}+\lambda_\text{DPF_det}\cdot\lambda_\text{DPF_latent}\cdot T_\text{Lifetime}\tag{678.1}$$

一方、本来のPMHF式は規格において

• 1st edition、すなわちISO 26262:2011のPMHFを適用する、もしくは
• 2nd editionのパターン3, 4をゼロとみなす

のいずれかを適用します。後者を用いるとPMHFは次の図329.1において、パターン3, 4を無視する形となります。

さらに、定期検査・修理期間内で発生するDPFによるVSG確率は小さいため無視します。つまり図329.1においてパターン2も無視します。すると図329.1はパターン1のみが残るため、

$$M_\text{PMHF}\equiv \lambda_\text{IF,SPF}+\lambda_\text{IF,RF}+\frac{1}{2}\lambda_\text{IF,DPF,det}\cdot\lambda_\text{SM,DPF,lat}\cdot T_\text{Lifetime}\tag{678.2} $$ ここで、(678.1)と(678.2)のSPF/RFに関する項は同一なので、DPFに関する項のみを比較すれば、

1. $\lambda_\text{IF,DPF,det}$を$\lambda_\text{DPF_det}$とみなしている
2. $\lambda_\text{SM,DPF,lat}$を$\lambda_\text{DPF_latent}$とみなしている
3. $\frac{1}{2}$を無視している

の3つの近似を行っていることになります。それぞれを評価すれば、

1. 本来 $$ \begin{eqnarray} \lambda_\text{DPF_det}&=&\lambda_\text{(IF+SM),DPF,det}\\ &=&\lambda_\text{IF,DPF,det}+\lambda_\text{SM,DPF,det} \end{eqnarray} $$ であるが、非冗長系ではIFに比べてSMの物量は一般に小さいことから $$\lambda_\text{IF,DPF,det}\gg\lambda_\text{SM,DPF,det}$$ 従ってSMに関する項は無視可能
2. 本来 $$ \begin{eqnarray} \lambda_\text{DPF_latent}&=&\lambda_\text{(IF+SM),DPF,lat}\\ &=&\lambda_\text{IF,DPF,lat}+\lambda_\text{SM,DPF,lat} \end{eqnarray} $$ であるが、非冗長系ではIFのフォールトはLFにならないため、 $$\lambda_\text{IF,DPF,lat}=0$$ よってこの式は成立
3. 係数$\frac{1}{2}$は近似のため無視

以上より、もともとDPF項はSPF/RF項と比較して小さいことから本近似式は成立するといえます。

前のブログ 次のブログ

指摘事項

最終(?)の査読結果が届きました。指摘は1点あり、

• systematic faultは筆者の推定ではないか？その場合は規格にバグがあるとは言えない
• 問題を見つけて修正したとあるが、修正の具体的な方法が書かれていない

というもので、いまだにsystematic faultであると決めつけていると疑念を持たれているようです。論拠は全て示しているのですが、systematic faultが特殊なフォールトであるという認識のためか、論証が弱いと思われています。

本来systematic faultは偶然に発現するランダムフォールトとは異なり、必ず発現する類のバグです。ところが、どうしてもその点に納得されないため、systematic faultを弱めてpotential faultと修正しました。

タイトル

タイトルもそれに合わせてpotential faultとします。 Identifying and Rectifying the Potential Faults in the Probabilistic Metric (PMHF) Formula in ISO 26262

また、修正法が書かれていないという指摘はそのとおりであるため、過去論文[4]を引用してそこに導出がある旨を追加しました。

対応状況

• systematic faultを弱めてpotential faultと修正しました。
• 修正法が書かれていないという点は、過去論文[4]を引用してそこに導出がある旨を追加しました。

修正は限定的なためAJEによる英文修正は省略し、RAMSに提出済です。

前のブログ 次のブログ

指摘事項

最終(?)の査読結果が届きました。指摘は1点あり、

Systematic Faultは筆者の推定ではないか？その場合は規格にバグがあるとは言えず、「全て修正した場合にAF2となることを証明した」とは言えないのでその文言を削除すべき。

とのことです。なかなかSystematic Faultが理解してもらえないため、図667.1の規格での定義を抜き出して送付したら、その定義により論理のチェインを繋げるべきというコメントをもらいました。

3.165 系統的障害
プロセスまたは設計の対策を適用することによってのみ防ぐことができる、決定論的な方法で故障が顕在化する障害

ただし、この表現は抽象的でわかりにくいです。一般的に系統的障害とはバグや論理ミスと言われているものです。

対応状況

AEJによる英文修正後にRAMSに提出予定です。

前のブログ 次のブログ