Posts Tagged with "PMHF"

既に発行済みのブログであっても適宜修正・追加することがあります。
Even in the already published blog, we may modify and add appropriately.

$M_{\mathrm{PMHF,SPF}}$の計算

posted by sakurai on May 19, 2019

前項までの議論を踏まえ、ここからは$M_{\mathrm{PMHF}}$の計算を行います。

OPR⇒SPF1のADRの計算

さて、IFがアンリペアラブルの場合を考えます。これをIFUモデルとします。まずOPRステートからSPFステートへの、$t$から$t+dt$までの微小遷移確率を0から$T_{lifetime}$まで積分したものの時間平均、つまりADRを計算します。ADRの定義については前記事をご覧ください。

SM1のVSG prevent能力はアーキテクチャ的に決定されるため、他の事象とは独立と考えます。さらに条件付き確率の式より、 $$ \overline{\varphi_{\mathrm{SPF1,IFU}}}=\frac{1}{T_{lifetime}}\Pr\{\mathrm{SPF1\ at\ }T_{lifetime}\}\\ =\frac{1}{T_{lifetime}}\int_0^{T_{lifetime}}\Pr\{\mathrm{OPR\ at\ }t\cap\mathrm{IF\ down\ in\ }(t, t+dt]\cap\mathrm{IF\ unpreventable}\}\\ =\frac{1}{T_{lifetime}}\int_0^{T_{lifetime}}\Pr\{\mathrm{IF\ down\ in\ }(t, t+dt]\ |\ \mathrm{OPR\ at\ }t\}\\ \cdot\Pr\{\mathrm{OPR\ at\ }t\}\Pr\{\mathrm{IF\ unpreventable}\}\tag{102.1} $$ IFとSMは独立事象であり、IFはアンリペアラブルであることから、 $$ \Pr\{\mathrm{OPR\ at\ }t\}=\Pr\{\mathrm{IF\ up\ at\ }t\}\Pr\{\mathrm{SM\ up\ at\ }t\}=R_{\mathrm{IF}}(t)A_{\mathrm{SM}}(t)\tag{102.2} $$ ここで使用する条件付き確率の独立の公式を証明しておくと、CはAともBとも独立であるとき、 $$ \Pr\{\mathrm{A}\ |\ \mathrm{B}\cap\mathrm{C}\}=\frac{\Pr\{\mathrm{A}\cap\mathrm{B}\cap\mathrm{C}\}}{\Pr\{\mathrm{B}\cap\mathrm{C}\}}=\frac{\Pr\{\mathrm{A}\cap\mathrm{B}\}\cdot\Pr\{\mathrm{C}\}}{\Pr\{\mathrm{B}\}\cdot\Pr\{\mathrm{C}\}}=\Pr\{\mathrm{A}\ |\ \mathrm{B}\} $$ であることと(102.2)を用いれば、 $$ \Pr\{\mathrm{IF\ down\ in\ }(t, t+dt]\ |\ \mathrm{OPR\ at\ }t\}\\ =\Pr\{\mathrm{IF\ down\ in\ }(t, t+dt]\ |\ \mathrm{IF\ up\ at\ }t\cap\mathrm{SM\ up\ at\ }t\}\\ =\Pr\{\mathrm{IF\ down\ in\ }(t, t+dt]\ |\ \mathrm{IF\ up\ at\ }t\}=\lambda_{\mathrm{IF}}dt\tag{102.3} $$ (102.1)に(102.2)、(102.3)及び$\Pr\{\mathrm{IF\ unpreventable}\}=1-K_{\mathrm{IF,RF}}$を代入すれば、 $$ \overline{\varphi_{\mathrm{SPF1,IFU}}} =\frac{1}{T_{lifetime}}\int_0^{T_{lifetime}}(1-K_{\mathrm{IF,RF}})R_{\mathrm{IF}}(t)A_{\mathrm{SM}}(t)\lambda_{\mathrm{IF}}dt\\ =\frac{1-K_{\mathrm{IF,RF}}}{T_{lifetime}}\int_0^{T_{lifetime}}f_{\mathrm{IF}}(t)A_{\mathrm{SM}}(t)dt\\ =\frac{1-K_{\mathrm{IF,RF}}}{T_{lifetime}}\int_0^{T_{lifetime}}[1-Q_{\mathrm{SM}}(t)]f_{\mathrm{IF}}(t)dt\\ =\frac{1-K_{\mathrm{IF,RF}}}{T_{lifetime}}\int_0^{T_{lifetime}}f_{\mathrm{IF}}(t)dt -\frac{1-K_{\mathrm{IF,RF}}}{T_{lifetime}}\int_0^{T_{lifetime}}Q_{\mathrm{SM}}(t)f_{\mathrm{IF}}(t)dt \tag{102.4} $$ (102.4)式右辺第一項目は、 $$ =\frac{1-K_{\mathrm{IF,RF}}}{T_{lifetime}}F_{\mathrm{IF}}(T_{lifetime})\approx(1-K_{\mathrm{IF,RF}})\lambda_{\mathrm{IF}}\tag{102.5} $$ (102.4)式右辺第2項目は、 $$ =-\frac{1-K_{\mathrm{IF,RF}}}{T_{lifetime}}\int_0^{T_{lifetime}}[(1-K_{\mathrm{SM,MPF}})F_{\mathrm{SM}}(t)+K_{\mathrm{SM,MPF}}F_{\mathrm{SM}}(u)]f_{\mathrm{IF}}(t)dt\\ =\img[-1.35em]{/images/withinseminar.png} \leq 0, ただし、u\equiv t\mod\tau\tag{102.6} $$ よって(102.5)及び(102.6)を加えて、ADRの上限値は$\overline{\varphi_{\mathrm{SPF,MAX}}}=\img[-1.35em]{/images/withinseminar.png}\tag{102.7}$となります。


左矢前のブログ 次のブログ右矢

Kパラメータは条件付き確率か(3)

posted by sakurai on May 12, 2019

前稿(100.1)において、時刻$t$から$t+dt$において、IFのフォールトがVSG抑止される微小確率を求めると、 $$ \Pr\{\mathrm{IF\ prevented}\cap\mathrm{IF\ failed\ in\ }(t, t+dt]\cap\mathrm{IF\ not\ failed\ before\ }t\}\\ =\Pr\{\mathrm{IF\ prevented}\ |\ \mathrm{IF\ failed\ in\ }(t, t+dt]\cap\mathrm{IF\ not\ failed\ before\ }t\}\\ \cdot\Pr\{\mathrm{IF\ failed\ in\ }(t, t+dt]\ |\ \mathrm{IF\ not\ failed\ before\ }t\}\cdot\Pr\{\mathrm{IF\ not\ failed\ before\ }t\}\\ =K_{\mathrm{FMC,RF}}(t)\lambda_{\mathrm{IF}}R_{\mathrm{IF}}(t)dt \tag{101.1} $$ ここで、 $$ \Pr\{\mathrm{IF\ prevented}\ |\ \mathrm{IF\ failed\ at\ }t\cap\mathrm{IF\ not\ failed\ before\ }t\}=K_{\mathrm{FMC,RF}}(t)\\ \Pr\{\mathrm{IF\ failed\ in\ }(t, t+dt]\ |\ \mathrm{IF\ not\ failed\ before\ }t\}=\lambda_{\mathrm{IF}}dt\\ \Pr\{\mathrm{IF\ not\ failed\ before\ }t\}=R_{\mathrm{IF}}(t) $$ となりましたが、「DCはSMのアーキテクチャにより決定される」ことを前提とし、フォールト発生とフォールト検出は独立な事象と考えれば、同じ確率式は、 $$ \Pr\{\mathrm{IF\ prevented}\cap\mathrm{IF\ failed\ in\ }(t, t+dt]\cap\mathrm{IF\ not\ failed\ before\ }t\}\\ =\Pr\{\mathrm{IF\ preventable}\}\cdot\Pr\{\mathrm{IF\ failed\ in\ }(t, t+dt]\ |\ \mathrm{IF\ not\ failed\ before\ }t\}\\ \cdot\Pr\{\mathrm{IF\ not\ failed\ before\ }t\}=K_{\mathrm{FMC,RF}}\lambda_{\mathrm{IF}}R_{\mathrm{IF}}(t)dt \tag{101.2} $$ ここで、 $$ \Pr\{\mathrm{IF\ preventable}\}=K_{\mathrm{FMC,RF}}\\ \Pr\{\mathrm{IF\ failed\ in\ }(t, t+dt]\ |\ \mathrm{IF\ not\ failed\ before\ }t\}=\lambda_{\mathrm{IF}}dt\\ \Pr\{\mathrm{IF\ not\ failed\ before\ }t\}=R_{\mathrm{IF}}(t) $$ と求められます。従って、(101.1)の$\Pr\{\mathrm{IF\ prevented}\ |\ \mathrm{IF\ failed\ at\ }t\}$という確率的な$t$の関数を、(101.2)の$\Pr\{\mathrm{IF\ preventable}\}$という定数に置き換えることができます。

2nd SMの属性である$K_{\mathrm{FMC,MPF}}$についても同様の議論が成り立ち、Kパラメータは条件付き確率ではなく、アーキテクチャ的に決定している能力(定数)として扱います。


左矢前のブログ 次のブログ右矢

Kパラメータは条件付き確率か(2)

posted by sakurai on May 10, 2019

(99.1)の定義は便利に使用できます。例えば時刻$t$から$t+dt$において、IFのフォールトがVSG抑止される微小確率を求めると、条件付き確率のチェインルールを用いれば、 $$ \Pr\{\mathrm{IF\ prevented}\cap\mathrm{IF\ failed\ in\ }(t, t+dt]\cap\mathrm{IF\ not\ failed\ before\ }t\}\\ =\Pr\{\mathrm{IF\ prevented}\ |\ \mathrm{IF\ failed\ in\ }(t, t+dt]\cap\mathrm{IF\ not\ failed\ before\ }t\}\\ \cdot\Pr\{\mathrm{IF\ failed\ in\ }(t, t+dt]\ |\ \mathrm{IF\ not\ failed\ before\ }t\}\cdot\Pr\{\mathrm{IF\ not\ failed\ before\ }t\}\\ =K_{\mathrm{FMC,RF}}(t)\lambda_{\mathrm{IF}}R_{\mathrm{IF}}(t)dt \tag{100.1} $$ と、IFに関する故障率や信頼度関数で表すことができます。

しかしながら、Kパラメータ、具体的には$K_{\mathrm{FMC,MPF}}$や$K_{\mathrm{FMC,RF}}$が定数だと矛盾が起きます。まず、条件が確率的に作用することにより、例えば1回目にはVSG抑止されたフォールトが、2回目にはVSG抑止されないことが起こりえます。あるいは1回目にはリペアされたフォールトが2回目にはリペアされないことが起こりえます。検出が確率的になされるからといって、同じ故障が検出されたりされなかったりするのは、なんとなく納得がいきません。

次に問題になるのが、このKは定数にはならないことです。例えば、VSG抑止率について考えると、長時間が経ちVSG抑止を長く続けると、VSG抑止されないフォールト確率(不信頼度)は上昇し続けます。明らかに、VSG抑止されるフォールトの確率が高まりそうであるのに、これが一定であるとは感覚に反します。

フォールト検出のたびにサイコロで検出を決めているならそうなりますが、一般的には診断カバレージ(Diagnostic Coverage; DC)はSMのアーキテクチャにより決定され、確率的には検出されないとここでは考えることにします。そうすれば、上記の問題点は解消されます。


左矢前のブログ 次のブログ右矢

posted by sakurai on April 28, 2019

PMHF式において、あるいはその前提となる故障分類フローにおいて、Kパラメータが2種存在します。 具体的には$K_{\mathrm{FMC,RF}}$と$K_{\mathrm{FMC,MPF}}$の2種類です。それぞれ、1st order SMのフォールト検出率及び2nd order SMのフォールト検出率を意味します。

ここで1st order SMとは、主機能IFのフォールトによるSG侵害を抑止する働きを持つSMであり、2nd order SMとは、(主機能やSM等の)エレメントのフォールトがレイテントフォールトとなることを阻止する働きを持つSMです。

さらに、Kパラメータは、主機能とSMにそれぞれ存在するため、IF-SM-2nd SMモデル全体では $$ K_{\mathrm{IF,FMC,RF}}\\ K_{\mathrm{IF,FMC,MPF}}\\ K_{\mathrm{SM,FMC,MPF}} $$ の3種類が存在します。一般的にはSMのフォールトはVSGとならないため、$K_{\mathrm{SM,FMC,RF}} $は存在しません。

さて、当初はこのKパラメータは定数であり、条件付き確率であると認識していました。例えば、 $$ K_{\mathrm{IF,FMC,RF}}:=\Pr\{\mathrm{IF\ prevented}\ |\ \mathrm{IF\ failed}\}\tag{99.1}\\ K_{\mathrm{IF,FMC,MPF}}:=\Pr\{\mathrm{IF\ detected}\ |\ \mathrm{IF\ prevented}\}\\ K_{\mathrm{SM,FMC,MPF}}:=\Pr\{\mathrm{SM\ detected}\ |\ \mathrm{SM\ prevented}\}\\ $$ と定義されます。ただし上記は若干省略して書かれており、詳細に書けば、$\Pr\{\mathrm{IF\ prevented}\ |\ \mathrm{IF\ failed} \}$は$\Pr\{\mathrm{VSG\ of\ IF\ is\ prevented}\ |\ \mathrm{IF\ is\ failed} \}$であり、$\Pr\{\mathrm{IF\ detected}\ |\ \mathrm{IF\ prevented}\}$は、$\Pr\{\mathrm{The\ fault\ of\ IF\ is\ detected}\ |\ \mathrm{VSG\ of\ IF\ is\ prevented}\}$となります。いずれにしろ、Kパラメータが定数であることを前提として考えます。


左矢前のブログ 次のブログ右矢

2nd EditionにおけるPMHF式(3)

posted by sakurai on April 21, 2019

前記事の続きです。

弊社の考えるPMHF式について、再度DPFについて考察します。

2nd Editionから引用したシステムアーキテクチャ図を図98.1に示します。IFがVSGとなるのを抑止する(抑止確率$K_{\mathrm{IF,RF}}$)のと同時に、IFがレイテントとなるのを抑止する(抑止確率$K_{\mathrm{IF,MPF}}$)SM1が存在します。また、SM1がレイテントとなるのを抑止する(抑止確率$K_{\mathrm{SM1,MPF}}$)SM2が存在します。

図98.1
図98.1 System Architectural Design of the example

(1st Editionの)規格第1式のPMHF式のDPF項は以下の(98.1)のとおりです。規格第1式が合っていることは前記事で確認しています。ここで、第1式の条件は、最初のSM1のフォールトはリペアラブル、2番目のIFのフォールトはアンリペアラブルです。 $$ M_{PMHF,DPF}=\frac{1}{2}K_{\mathrm{IF,RF}}\lambda_{\mathrm{IF}}\lambda_{\mathrm{SM1}}[(1-K_{\mathrm{SM,MPF}})T_{lifetime}+K_{\mathrm{SM,MPF}}\tau_{\mathrm{SM1}}]\tag{98.1} $$ これをIFとSMのそれぞれに関係する部分に分解します。SM1のレイテント確率が平均 $$ \frac{1}{2}\lambda_{\mathrm{SM1}}[(1-K_{\mathrm{SM,MPF}})T_{lifetime}+K_{\mathrm{SM,MPF}}\tau_{\mathrm{SM1}}] $$ あるところに、IFの故障確率が $$ K_{\mathrm{IF,RF}}\lambda_{\mathrm{IF}}T_{lifetime} $$ であり、そのDPF確率積について、車両寿命$T_{lifetime}$で割ったものと解釈できます。

正規に求めれば、前記事のようにマルコフ遷移図をきちんと書いて、それぞれの場合に分けて求めることが王道ですが、ここでは簡略的な求め方を実施してみます。

システム全体(IFとSM1の合体)で考えると、IFの故障率が$K_{\mathrm{IF,RF}}\lambda_{\mathrm{IF}}$、SM1の故障率が$\lambda_{\mathrm{SM1}}$であるときに、合体システムの故障率は $$ \lambda_{合体}=K_{\mathrm{IF,RF}}\lambda_{\mathrm{IF}}+\lambda_{\mathrm{SM1}} $$ となります。ここで、IFの故障率を$\lambda_{\mathrm{IF}}$ではなく、$K_{\mathrm{IF,RF}}\lambda_{\mathrm{IF}}$としたのには理由があり、IFにとっての故障率は$\lambda_{\mathrm{IF}}$ですが、そのうち、SM1でVSG抑止できない部分の故障率を$(1-K_{\mathrm{IF,RF}})\lambda_{\mathrm{IF}}$、VSG抑止された部分の故障率を$K_{\mathrm{IF,RF}}\lambda_{\mathrm{IF}}$と分解したとき、DPFとなるのは後者の部分のみだからです。

話を戻して、合体システムのフォールトを考えると、1点フォールト目まではリペアラブルであり、合体システムのフォールトが検出されない場合は車両寿命まで、検出されても$\tau$以内の時間間隔ではレイテント状態となります。それが修理されてしまえば、最初に戻ります。が、フォールトが起きている状態で、引き続いて2点目のフォールトが起きるとDPFとなります。よって、合体システムの最初のフォールトはリペアラブル、2番目のフォールトはアンリペアラブルとなります。従って、(98.1)を参考にすれば、合体システムの最初のフォールトの平均レイテント確率が $$ \frac{1}{2}\lambda_{合体}[(1-K_{\mathrm{合体,MPF}})T_{lifetime}+K_{\mathrm{合体,MPF}}\tau]\tag{98.2} $$ となり、引き続くフォールト確率が $$ \lambda_{合体}T_{lifetime}\tag{98.3} $$ となることから、その確率積を車両寿命$T_{lifetime}$で割り、 $$ M_{\mathrm{PMHF,DPF}}=\frac{1}{2}(\lambda_{合体})^2[(1-K_{\mathrm{合体,MPF}})T_{lifetime}+K_{\mathrm{合体,MPF}}\tau]\tag{98.4} $$ となりそうです。ここで$K_{\mathrm{合体,MPF}}$をSM1もしくはSM2によるいずれかで検出する検出確率とします。すなわち、 $$ K_{\mathrm{合体,MPF}}=K_{\mathrm{IF,MPF}}+K_{\mathrm{SM1,MPF}}-K_{\mathrm{IF,MPF}}K_{\mathrm{SM1,MPF}} $$ ただ、これでは確率を多めに見て過ぎています。余分な確率が2例含まれています。というのは、合体システムが2度フォールトする時に、①IFに引き続いてIF、及び②SM1に引き続いてSM1となる、2つの場合はDPFとならないため、その確率を差し引く必要があります。

すると、①の確率積は、 $$ \frac{1}{2}K_{\mathrm{IF,RF}}\lambda_{\mathrm{IF}}[(1-K_{\mathrm{合体,MPF}})T_{lifetime}+K_{\mathrm{合体,MPF}}\tau]\cdot K_{\mathrm{IF,RF}}\lambda_{\mathrm{IF}}T_{lifetime}\cdot\frac{1}{T_{lifetime}}\\ =\frac{1}{2}K_{\mathrm{IF,RF}}^2\lambda_{\mathrm{IF}}^2[(1-K_{\mathrm{合体,MPF}})T_{lifetime}+K_{\mathrm{合体,MPF}}\tau]\tag{98.5} $$ また②の確率積は、 $$ \frac{1}{2}\lambda_{\mathrm{SM1}}[(1-K_{\mathrm{合体,MPF}})T_{lifetime}+K_{\mathrm{合体,MPF}}\tau]\cdot\lambda_{\mathrm{SM1}}T_{lifetime}\cdot\frac{1}{T_{lifetime}}\\ =\frac{1}{2}\lambda_{\mathrm{SM1}}^2[(1-K_{\mathrm{合体,MPF}})T_{lifetime}+K_{\mathrm{合体,MPF}}\tau]\tag{98.6} $$ 従って、PMHFのDPF部分は、(98.4)から(98.5)及び(98.6)を差し引いて、 $$ M_{\mathrm{PMHF,DPF}}=\frac{1}{2}[(\lambda_{合体})^2-(K_{\mathrm{IF,RF}}\lambda_{\mathrm{IF}})^2-\lambda_{\mathrm{SM1}}^2][(1-K_{\mathrm{合体,MPF}})T_{lifetime}+K_{\mathrm{合体,MPF}}\tau]\\ =\frac{1}{2}[(K_{\mathrm{IF,RF}}\lambda_{\mathrm{IF}}+\lambda_{\mathrm{SM1}})^2-(K_{\mathrm{IF,RF}}\lambda_{\mathrm{IF}})^2-\lambda_{\mathrm{SM1}}^2][(1-K_{\mathrm{合体,MPF}})T_{lifetime}+K_{\mathrm{合体,MPF}}\tau]\\ =\img[-1.35em]{/images/withinseminar.png} \tag{98.7} $$ これは前記事で求めた、PMHF値のDPF項と完全に一致します。このように、得られた方程式に対して、別の角度から整合性のある解釈ができることは、大変に面白いと思いますし、得られた方程式の妥当性を裏付けるものと考えます。


左矢前のブログ 次のブログ右矢

posted by sakurai on November 12, 2018

非対称冗長という用語を本稿のみ、以下のように定義します。

  • 非対称冗長 --- 冗長構成のうち、主系と従系において数値的な違いがあるもの。通常、冗長構成は故障率等の数値的には非対称であるため、わざわざ非対称冗長と言わなくても良いのですが、本稿のみ、注意喚起のため非対称冗長と呼ぶことにします。機能的には対称なのでご注意ください。

ちなみに、冗長構成とは以下のように定義されます。

  • 冗長構成 --- 機能的に対称な冗長。1oo2の冗長であり、2つのチャネルから成り、主系も従系もどちらも主機能を果たす一方、他方が故障した場合にVSGを抑止するSMの機能を果たす。

この非対称(数値)冗長構成サブシステムにPMHFの値は2つあるのでしょうか?

具体例でみてみましょう。図のヘッドライト回路において、マイコンとトランジスタスイッチの両方からヘッドライトを点灯する機能があるとします。両者ともコンビネーションスイッチ情報を読み込み、点灯するものとします。さて、この場合、どちらが主機能でどちらが安全機構でしょうか?

図70.1
図70.1 非対称冗長システム例

この場合は冗長構成であるため、両方とも主機能となります。両方ともヘッドライト点灯という主目的をはたしているからです。一方で両方とも安全機構です。他方がフォールトしたときに、ライト消灯という、システムとしての機能喪失を抑止するためです。すると、PMHFの計算において困難が生じます。PMHF規格第1式は主機能、安全機構に関して非対称であるためです。マイコンのほうが故障率が一桁大きいので、どちらを主機能とするかでPMHFに2つの値があるよう思えます。

1st Editionに沿って説明します。2つのエレメント主機能(M)、安全機構(SM)から構成されるサブシステムのPMHFは、MのフォールトによるVSGを考えるとPMHF規格第1式となります。一方でSMのフォールトによるVSGの場合を加え合わせればPMHF規格第3式となります。従って、非対称冗長構成サブシステムがあるとき、片方のみを考えてPMHF規格第1式を適用するからPMHFが2つあると誤解を生じてしまうわけです。M, SM双方によるDPFを考えるためには、本来はPMHF規格第3式を使用するべきです。PMHF規格第3式はPMHF規格第2式の近似も含んでいるため、その元になる(65.3)式を再掲すれば、

$$M_{PMHF}\approx\lambda_{M,RF}+\lambda_{M,DPF}(\lambda_{SM,DPF,lat}T_{lifetime}+\lambda_{SM,DPF,det}\tau_{SM})\tag{65.3} $$

おや?M, SMに関して対称となっていませんね。故障率は非対称であっても機能的に対称なので、式は対称、つまりMとSMを入れ替えても同じ式となるはずです。

これを含めると2つの問題が存在しているようです。

  1. PMHF規格第1式のみでサブシステムのPMHFを評価する
  2. 冗長構成を表すPMHF規格式は、M, SMに対して非対称

それぞれの原因を考えると、1.は規格式の理解誤り、2.は論文で指摘したとおり、規格式が冗長に対応していないためです。従って、PMHF規格第3式を用いることで1.は解決しますが、2.が解決されません。

1.の問題に関して言えば、どちらかを主機能と見るのは、設計意図ではあるものの、モノは設計意図どおり故障しません。従ってサブシステムが車両寿命間にダウンする確率の時間平均であるPMHFが2種類あるはずがありません。

2nd Editionでは、1st EditionのPMHF規格第3式の「順番によらない場合」(=主機能によるVSG及びSM1によるVSGの両方)について初めから考慮されているので、1st Editionのような誤解は生じないと思います。つまり1.は解決されていますし、2.も表面的にはM, SM対称となっているので解決されているように見えますが、既述のとおりある問題が残っています。つまり問題は3つあったのでした。


左矢前のブログ 次のブログ右矢

posted by sakurai on November 5, 2018

デュアルポイントフェイリャ

次にDPFについて、弊社が考える式とどこが相違しているかを見ていきます。

まず、SMがVSGとならない場合のパターン1式は特定条件(※1)でのみ合っています。この条件は1st Edition規格第1式とも同じです。次にパターン2は特定条件(※1)において前述のように2倍だけ異なっています。この2倍の理由は不明です。
※1 $K_{IF,lat}=0\cap K_{SM1,det}=1$の場合。これを言い換えると、IFはVSGの可能性があるが修理不可能、かつ、SM1はVSGの可能性無しで修理可能。

さらにパターン3、4式は特定条件(※2)でのみ合っています。単にパターン1, 2をひっくり返した(IFとSM1を入れ替えた)式のように見えます。
※2 $K_{SM1,lat}=0\cap K_{IF,det}=1$の場合。これを言い換えると、SM1はVSGの可能性があるが修理不可能、かつ、IFはVSGの可能性無しで修理可能。

これは以下の条件からくるものと推測します。以下は2nd Edition Part10 8.3.2.3 Table 2の引用です。

表69.1
First fault:SM1⇒Second fault:IF First fault:IF⇒Second fault:SM1
Cannot notify the driver Pattern 1 Pattern 3
Can notify the driver Pattern 2 Pattern 4

つまり、Pattern1及び2はIFフォールトによるVSGであり、SM1は修理系、IFは非修理系を仮定しています。 一方、Pattern3及び4はSM1フォールトによるVSGであり、Pattern1及び2のIF/SM1を入れ替えたものとなっているところから推測すればIFは修理系、SM1は非修理系を仮定しています。

いずれも最初のフォールトが起きるエレメントは、upしたりdownしたりを繰り返しても良いのですが(=修理可能という意味)、2番目にフォールトが起きるエレメントは、(最初のフォールトがリペアされた場合)downしたりupしたりするはずが、2番目にdownすることしか許されていません。これは非修理系を意味します。つまり後からフォールトするエレメントの制約が強すぎます。このことは言葉の定義だけで理解されるものではなく、その仮定から導出された1st Editionの式の意味まで考えて初めて理解されることです。

いずれにしろ、この前提はIFもSM1も$t=0$において修理系という一般的なサブシステムに対して、修理不可能という制約をかけすぎているため、PMHFの過大評価につながります。

弊社が考えるPMHFの一般式

IFとSM1が$t=0$において修理系という条件で、マルコフ状態遷移図を書き、確率微分方程式を立て積分してADRを算出した式において、Edition 1の方法で上界を求めた式は、 $$ M_{PMHF}=\lambda_{IF,RF}+\lambda_{SM1,RF}+\img[-1.35em]{/images/withinseminar.png}\tag{69.1} $$ となります。

規格の式(図68.1)は、特殊状況のみを数え上げた、※1または※2のみで成立する式です。


左矢前のブログ 次のブログ右矢

2nd EditionにおけるPMHF式

posted by sakurai on October 29, 2018

ISO 26262 2nd Edition

今年春発行と予定されていた2nd EditionはFDISの状況となっていますが、正式発行が遅れているようです。FDISは最終的な規格から語句のレベルしか修正されないとのことで、FDISで検討すればほぼ問題無いと考えられます。

さて、PMHFの部分はだいぶ変更されています。公式が変わっただけでなく、SMが安全目標侵害するケースまで想定されています。元々弊社では一般的なサブシステムを検討対象としており、両方のエレメントが安全目標侵害する場合を対象としていましたので、好都合です。

図68.1のパターン1と2はいずれもSM1が先にフォールトし、次にIF(Intended Function)がフォールトするケースです。そのうち、パターン1はフォールトが検出されない場合、パターン2はフォールトが検出される場合です。一方、パターン3と4はいずれもその逆順にフォールトするケースです。そのうちパターン3はフォールトが検出されない場合、パターン4はフォールトが検出される場合です。

図68.1
図68.1 2nd Edition, Part10-8.3.2.4 PMHF規格 第1式

実はパターン1と2あるいは3と4は特に分ける必要はありません。弊社の式に従えば不稼働率の関数$Q(t)$(59.8)で自然に表されるからです。一方、パターン1と3、2と4はフォールト順序なので、マルコフ状態遷移図に基づく検討が必要です。

重要 1st Editionでは主機能が非修理系であるという前提から、ケース分類で確率を求めても良かったのですが、2nd Editionも同様な方法でPMHF式を求めているようです。主機能も安全機構も非修理系では全く成り立たないので、2nd Editionになって対称的に扱うのであれば両方とも修理系にせざるを得ません。そうすると、主機能であってもVSGとならないフォールト(MPフォールト)を起した後、2nd SMにより検出される部分は修理されることになります。すると、本ケース分けには当てはまらなくなります。例えば、主機能がMPフォールトし、2nd SMにより検出され修理される。次にSM1がMPフォールトし、検出され修理される。これが繰り返されることは十分あり得ますが、規格のケース分類だとこの場合は、Pattern3+Parttern4に相当します。これはマルコフ状態遷移図を書いて初めて理解されることなので、ISO 26262のPMHF理解のためにはマルコフ状態遷移図は必須です。

シングルポイントフェイリャ

ここで、$\lambda_{SPF}, \lambda_{RF}$は定義が書かれていませんので、IFによるものか、SM1によるものも含むのかが定かではありません。それ以外にもパターン1と2ではパターン2のほうにだけ2倍の係数がかかっていますが、その理由は定かではありません。

図68.2
図68.2 2nd Edition, Part10-8.3.2.4 PMHF規格説明

このように、SM1のPVSG、つまりSM1の安全目標侵害の可能性があると、ECCの例まで挙げて言っているので、おそらく$\lambda_{RF}$は以下のようになると考えられます。これは、2エレメントがどちらも主機能、SMとなるような一般モデル式で考えると良いはずです。

$$ \lambda_{RF}=\lambda_{IF,RF}+\lambda_{SM1,RF}=(1-K_{FMC,SM1,RF})\cdot \lambda_{IF}+(1-K_{FMC,SM2,RF})\cdot \lambda_{SM1}\tag{68.1} $$


左矢前のブログ 次のブログ右矢

posted by sakurai on October 21, 2018

upやdownを数式で書いてみます。

ランダムプロセス$\eta_s$において、確率変数$X$を無故障稼働時間とします。$\mathcal{M}$を稼働状態のサブセットとし、$\mathcal{P}$を不稼働状態のサブセットとすれば、$X=\inf\lbrace s:\eta_{s}\in\mathcal{P}\rbrace$と示すことができます。 non-repairable elementの故障率$\lambda(t)$は、 $$\lambda(t)=\lim_{dt\to 0}\frac{\Pr\lbrace X\le t+dt\ |\ t\lt X\rbrace}{dt}\tag{67.1}$$ より形式的に瞬間故障確率(故障率$\times dt$)が求められ、 $$\lambda(t)dt=\Pr\lbrace X\le t+dt\ |\ t\lt X\rbrace=\frac{\Pr\lbrace t\lt X\le t+dt\rbrace}{\Pr\lbrace t\lt X\rbrace}=\frac{f(t)}{R(t)}dt\tag{67.2}$$

repairable elementのダウン$\varphi(t)$率は、論文"The Failure Rate in Reliability. Numerical Treatment"によれば、

$$\varphi(t)=\lambda_V(t)=\lim_{dt\to 0}\frac{\Pr\lbrace \eta_{t+dt}\in\mathcal{P}\ |\ \eta_t\in\mathcal{M}\rbrace}{dt}\tag{67.3}$$ より形式的に瞬間ダウン確率(ダウン率$\times dt$)が求められ、条件付き確率の公式より、 $$\varphi(t)dt=\Pr\lbrace \eta_{t+dt}\in\mathcal{P}\ |\ \eta_t\in\mathcal{M}\rbrace=\frac{\Pr\lbrace \eta_{t}\in\mathcal{M}\cap\eta_{t+dt}\in\mathcal{P}\rbrace}{\Pr\lbrace\eta_{t}\in\mathcal{M}\rbrace}=\frac{q(t)}{A(t)}dt\tag{67.4}$$ となります。さらに前記論文が引用している同著者の論文The failure rate in reliability: approximations and boundsの(3.17)式の証明に、

$$\varphi(t)=\lambda_V(t)=\frac{1}{\Pr\lbrace \eta_{t}\in\mathcal{M}\rbrace}\lim_{dt\to 0}\frac{1}{dt}\int_{\mathcal{M}}\Pr\lbrace \eta_{t+dt}\in\mathcal{P}\ |\ \eta_t=\eta\rbrace\Pr\lbrace\eta_{t}\in d\eta\rbrace\tag{67.5}$$ とあります。(67.4)と(67.5)を比較すれば、 $$q(t)dt=\Pr\lbrace \eta_{t}\in\mathcal{M}\cap\eta_{t+dt}\in\mathcal{P}\rbrace=\int_{\mathcal{M}}\Pr\lbrace \eta_{t+dt}\in\mathcal{P}\ |\ \eta_t=\eta\rbrace\Pr\lbrace\eta_{t}\in d\eta\rbrace\tag{67.6}$$

が得られます。


左矢前のブログ 次のブログ右矢

posted by sakurai on October 16, 2018

ISO/TR 12489:2013(E)において、信頼性用語の定義がまとめてあるため、それを記載します。ただし、弊社の考えを交えており、そのまま引用しているわけではありません。以下に$X_{item}$をアイテム$item$の無故障運転継続時間(failure free operating time)とするとき、

☆信頼度(Reliability)

$$ R_{item}(t):=\Pr\lbrace\text{item not fail in }(0, t]\rbrace=\Pr\lbrace\mathrm{item\ up\ at\ }t\rbrace=\Pr\lbrace t\lt X_{item}\rbrace $$ 非修理系システムで、時刻$t$までに一度も故障していない確率。非修理系なので、一度でも故障すると故障しっぱなしになるため、一度も故障していない確率です。

☆不信頼度(Unreliability)

$$ F_{item}(t):=\Pr\lbrace\mathrm{item\ failed\ in\ }(0, t]\rbrace=\Pr\lbrace\mathrm{item\ down\ at\ }t\rbrace=\Pr\lbrace X_{item}\le t\rbrace $$ 非修理系システムで、時刻$t$までに故障する確率。非修理系なので、一度でも故障すると故障しっぱなしになるため、時刻が0からtまでに故障したことがある確率です。等号は有っても無くても値は変わりません。

☆故障密度(Probability Density, PDF)

$$ f_{item}(t):=\lim_{dt \to 0}\frac{\Pr\lbrace\mathrm{item\ failed\ in\ }(t, t+dt]\cap\mathrm{item\ up\ at\ } t\rbrace}{dt}=\frac{dF_{item}(t)}{dt} $$ 又は、微小故障確率形式として、 $$ f_{item}(t)dt=\Pr\lbrace t\lt X_{item}\le t + dt\rbrace $$ 非修理系システムで、時刻$t$で、単位時間あたりに故障する確率。正確には、時刻$t$から$t+dt$までに故障する微小確率を$dt$で割り、単位時間あたりに直したもの。PDF(Probability Density Function)。

【証明】 条件付き確率公式及び、確率の加法定理を用いて、 $$ f_{item}(t):=\lim_{dt \to 0}\frac{\Pr\lbrace t\lt X_{item}\le t + dt\rbrace}{dt} \\ =\lim_{dt \to 0}\frac{\Pr\lbrace t\le X_{item}\rbrace + \Pr\lbrace X_{item}\le t + dt\rbrace - \Pr\lbrace t\le X_{item} \cup X_{item}\le t + dt\rbrace}{dt} \\ =\lim_{dt \to 0}\frac{R(t)+F(t+dt)-1}{dt}=\lim_{dt \to 0}\frac{F(t+dt)-F(t)}{dt}=\frac{dF_{item}(t)}{dt} $$

☆(瞬間)故障率(Failure Rate)

$$ \lambda_{item}(t):=\lim_{dt \to 0}\frac{\Pr\lbrace\mathrm{item\ failed\ in\ }(t, t+dt]\ |\ \mathrm{item\ up\ at\ } t\rbrace}{dt}=\frac{f_{item}(t)}{R_{item}(t)} $$ 非修理系システムで、時刻$t$で稼働している条件において、単位時間あたりに故障する条件付き確率。正確には、時刻$t$から$t+dt$までに故障する条件付き確率を$dt$で割り、単位時間あたりとしたもの。ISO 26262の場合は、確率分布が指数分布のため、故障率は定数です。

【証明】 条件付き確率の式及び、上記$f_{item}(t)$の式を用いて $$ \lambda_{item}(t):=\lim_{dt \to 0}\frac{\Pr\lbrace X_{item}\le t+dt \cap t \le X_{item}\rbrace}{dt}\frac{1}{\Pr\lbrace t \le X_{item}\rbrace}=\frac{f_{item}(t)}{R_{item}(t)} $$

☆稼働度(Availability)

$\mathcal{M}$を稼働状態のサブセットとし、$\mathcal{P}$を不稼働状態のサブセットとすれば、 $$ A_{item}(t):=\Pr\lbrace\mathrm{item\ up\ at\ }t\rbrace=\Pr\lbrace\eta_{t}\in\mathcal{M}\rbrace $$ 修理系システムで、時刻$t$で稼働している確率。Point Availablity。

☆不稼働度(Unavailability)

$$ Q_{item}(t):=\Pr\lbrace\mathrm{item\ down\ at\ }t\rbrace=\Pr\lbrace\eta_{t}\in\mathcal{P}\rbrace $$ 修理系システムで、時刻$t$で不稼働な確率。

☆不稼働密度(Unavailability Density, PUD)

$$ q_{item}(t):=\lim_{dt \to 0}\frac{\Pr\lbrace\mathrm{item\ down\ at\ }t + dt\cap\mathrm{item\ up\ at\ } t\rbrace}{dt} =\frac{dQ_{item}(t)}{dt} $$ 又は、微小不稼働確率形式として、 $$ q_{item}(t)dt=\Pr\lbrace\mathrm{item\ down\ at\ }t + dt\cap\mathrm{item\ up\ at\ } t\rbrace=\Pr\lbrace\eta_{t+dt}\in\mathcal{P}\cap \eta_{t}\in\mathcal{M}\rbrace $$ 修理系システムで、時刻$t$で単位時間あたりに不稼働になる確率。正確には、時刻$t$から$t+dt$までに不稼働になる微小確率を$dt$で割り、単位時間あたりに直したもの。Point Unavailability Density (PUD)。failure frequency (故障頻度), unconditional failure intensity (UFI; 無条件故障強度)。

☆PFH(Probability of Failure per Hour)

注意:Probablity of Failure per Hourは古い定義で現在はaverage failure frequency (平均故障頻度), average unconditional failure intensity (平均無条件故障強度)。PMHFも同様の定義。average unavailability density (平均不稼働密度; AUD)
$$ PFH:=\overline{q_{item}}=\frac{1}{T}\int_0^T q_{item}(t)dt=\frac{1}{T}Q_{item}(T)=\frac{1}{T}\Pr\lbrace\mathrm{item\ down\ at\ }T\rbrace =\frac{1}{T}\Pr\lbrace\eta_{T}\in\mathcal{P}\rbrace, ただしTは車両寿命 $$

☆(瞬間)ダウン率(Down Rate)

$$ \varphi_{item}(t):=\lim_{dt \to 0}\frac{\Pr\lbrace\mathrm{item\ down\ at\ }t + dt\ |\ \mathrm{item\ up\ at\ }t\rbrace}{dt}=\frac{q_{item}(t)}{A_{item}(t)} $$ 又は、微小ダウン確率形式として、 $$ \varphi_{item}(t)dt=\Pr\lbrace\mathrm{item\ down\ at\ }t + dt\ |\ \mathrm{item\ up\ at\ } t\rbrace=\Pr\lbrace\eta_{t+dt}\in\mathcal{P}\ |\ \eta_{t}\in\mathcal{M}\rbrace $$ 修理系システムで、時刻$t$で稼働している条件において、単位時間あたりに不稼働になる条件付き確率。正確には、時刻$t$から$t+dt$までに不稼働になる条件付き確率を$dt$で割り単位時間あたりとしたもの。conditional failure intensity (条件付き故障強度), Vesely failure rate (Veselyの故障率)。

☆平均ダウン率(Average Down Rate, ADR)

$ADR:=\overline{\varphi_{item}}$の存在を仮定し、$\varphi_{item}(t)A_{item}(t)=q_{item}(t)$の両辺を$0$から$T$まで積分すれば、 $$\int_0^T\overline{\varphi_{item}}A_{item}(t)dt=\int_0^T q_{item}(t)dt$$ ここで、$\int_0^T A(t)dt\approx T$を用いれば、 $$ADR=\overline{\varphi_{item}}\approx\frac{1}{T}\int_0^T q_{item}(t)dt=\frac{1}{T}Q_{item}(T)=\frac{1}{T}\Pr\lbrace\mathrm{item\ down\ at\ }T\rbrace=M_{PMHF}$$

これは結果的としてPFHと同じになりますが、FSマイクロではPMHFはADRであると考え、PFHであるとは考えていません。その理由はエンジニアにとって故障率$\lambda$は大変なじみのある値で、それを修理系に拡張したダウン率$\varphi(t)$やその車両寿命における平均値ADRを算出するのが自然ですが、不稼働密度$q(t)$の平均値を算出するのは不合理であるためです。故障確率という意味では、むしろ密度よりもアイテムの車両寿命における不稼働確率$Q(T)$を知りたいところですが、なぜ密度の平均値を知りたいのでしょう?


左矢前のブログ 次のブログ右矢


ページ: