「ISO 26262第2版解説書」(日本規格協会)のPMHF式の解読を行います。この記事の続きです。

パターン1

パターン1を規格に従って計算します。

• Pattern 1: SM1⇒IFの順にフォールトが発生し、SM1のフォールトはSM2によって緩和されるが通知されない、または緩和されない。フォールトの暴露時間は、最悪の場合の暴露時間である車両寿命となる。

規格にはマルコフ図が記載されていないので推測すると、パターン1は、SM1のフォールトが2nd SM(SM2)で検出されないため、SM1のフォールト全体に対するパターン1の割合は$1-K_\text{SM,DPF}$となり、マルコフ図は以下のようになります。時刻パラメータ$t$が最初のSMのフォールトが起きた時刻、$t'$がVSGとなる2つ目のIFのフォールトが起きた時刻とします。

図471.1 2nd editionパターン1マルコフ図

規格によるPMHFの求め方は、
1. 後に起きるIFのフォールトの確率密度を$t$から$T_\text{lifetime}$まで$t'$について積分し$t$で表します。$t'$まではIFはフォールトしないことに注意します。
2, 先に起きるSMのフォールトの確率密度を0から$T_\text{lifetime}$まで$t$について積分します。

まず、IFの$LAT2S$での状態確率は、 $$ \Pr\{\text{IF in }LAT2S\}=\Pr\{\text{IF up at }t'\cap\text{VSG of IF prevented}\}=K_\text{IF,DPF}R_\text{IF}(t') \tag{471.1} $$ $LAT2S$から$DPF1$への微小時間での遷移確率は、IFがDPFする場合であり、 $$ \Pr\{\text{IF down in }(t', t'+dt']\ |\ \text{IF in }LAT2S\}\\ =\Pr\{\text{IF down in }(t', t'+dt']\ |\ \text{IF up at }t'\cap\text{VSG of IF prevented}\}\\ =\Pr\{\text{IF down in }(t', t'+dt']\ |\ \text{IF up at }t'\}=\lambda_\text{IF}dt' \tag{471.2} $$

規格のとおりIFの確率を求めるには、IFは時刻$0$から$t'$まではフォールトせず(解説書の$t$は誤り)、かつ、$t'$から$T_\text{lifetime}$までにフォールトする確率となります。

従って、(471.1)、(471.2)から、IFの後故障の確率を求めると $$ K_\text{IF,DPF}\int_t^{T_\text{lifetime}}R_\text{IF}(t')\lambda_\text{IF}dt'=K_\text{IF,DPF}\int_t^{T_\text{lifetime}}f_\text{IF}(t')dt'\\ =K_\text{IF,DPF}\left[F_\text{IF}(t')\right]^{T_\text{lifetime}}_t=K_\text{IF,DPF}\left[F_\text{IF}(T_\text{lifetime})-F_\text{IF}(t)\right]\\ \approx K_\text{IF,DPF}\lambda_\text{IF}(T_\text{lifetime}-t) \tag{471.3} $$ ところが、解説書パターン1では以下のようになっており、2か所の誤りが存在します。

図471.2 解説書パターン1のIFに関する計算部分

次にSMの$OPRS$での状態確率は、 $$ \Pr\{\text{SM in }OPRS\}=\Pr\{\text{SM is up at }t\}=R_\text{SM}(t) \tag{471.4} $$ $OPRS$から$LAT2S$への微小時間での遷移確率は、SMがフォールトする場合であり、 $$ \Pr\{\text{SM down in }(t, t+dt] | \text{SM is up at }t\}=(1-K_\text{SM,DPF})\lambda_\text{SM}dt \tag{471.5} $$

IFの項とSMの項を$0$から$T_\text{lifetime}$まで積分し時間平均すると、(471.3)～(471.5)を用いて、 $$ \require{cancel} M_\text{PMHF,P1}\approx\frac{1}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}(1-K_\text{SM,DPF})R_\text{SM}(t)\lambda_\text{SM}K_\text{IF,DPF}\lambda_\text{IF}(T_\text{lifetime}-t)dt\\\ \approx\frac{1}{\bcancel{T_\text{lifetime}}}(1-K_\text{SM,DPF})K_\text{IF,DPF}\lambda_\text{IF}\lambda_\text{SM}\left[T_\text{lifetime}\bcancel{t}-\frac{1}{2}t^\bcancel{2}\right]_0^{T_\text{lifetime}}\\ =\frac{1}{2}K_\text{IF,DPF}(1-K_\text{SM,DPF})\lambda_\text{IF}\lambda_\text{SM}T_\text{lifetime}\\ =\frac{1}{2}\lambda_\text{SM,DPF,lat}\lambda_\text{IF,DPF}T_\text{lifetime} \tag{471.6} $$

これは図104.2の初版PMHF式(パターン1, 2のみ)の、DPFにおけるパターン1に相当する部分と(IF⇒mと読み替えることにより)正確に一致します。

図471.3 1st edition規格第1式

なお、本稿はRAMS 2024に投稿予定のため一部を秘匿していますが、論文公開後の2024年2月頃に開示予定です。

ほぼ同様な議論ですが、記事#476に再掲します。

---

前のブログ 次のブログ

次稿において、規格第2版のやり方に従ってPMHF計算をすると、新たに以下の2つの公式が必要になるので、公式の導出を示します。近似のポリシーは$\lambda$の2乗までを残すものとします。

No.1

$$ \frac{1}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}f_\text{SM}(t)f_\text{IF}(t)dt=\lambda_\text{SM}\lambda_\text{IF} \tag{470.1} $$ 証明:(470.1)に$f_\text{SM}(t)=\lambda_\text{SM}e^{-\lambda_\text{SM}t}$及び、$f_\text{IF}(t)=\lambda_\text{IF}e^{-\lambda_\text{IF}t}$を用いて、 $$ \require{cancel} \text{L.H.S of }(470.1)=\frac{\lambda_\text{SM}\lambda_\text{IF}}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}e^{-(\lambda_\text{SM}+\lambda_\text{IF})t}dt=\frac{\lambda_\text{SM}\lambda_\text{IF}}{T_\text{lifetime}}\left[\frac{1}{\lambda_\text{IF}+\lambda_\text{SM}}e^{-(\lambda_\text{IF}+\lambda_\text{SM})t}\right]^0_{T_\text{lifetime}}\\ =\frac{\lambda_\text{SM}\lambda_\text{IF}}{T_\text{lifetime}(\lambda_\text{IF}+\lambda_\text{SM})}\left(1-e^{-(\lambda_\text{IF}+\lambda_\text{SM})T_\text{lifetime}}\right)\approx\frac{\lambda_\text{SM}\lambda_\text{IF}}{\bcancel{T_\text{lifetime}}\bcancel{(\lambda_\text{IF}+\lambda_\text{SM})}}\bcancel{(\lambda_\text{IF}+\lambda_\text{SM})}\bcancel{T_\text{lifetime}} $$

No.2

$$ \frac{1}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}f_\text{SM}(t)R_\text{IF}(t)F_\text{IF}(t)dt=\frac{1}{2}\lambda_\text{SM}\lambda_\text{IF}T_\text{lifetime} \tag{470.2} $$ 証明:同様に、 $$ \text{L.H.S of }(470.2)=\frac{1}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}\lambda_\text{SM}e^{-\lambda_\text{SM}t}e^{-\lambda_\text{IF}t}(1-e^{-\lambda_\text{IF}t})dt\\ =\frac{\lambda_\text{SM}}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}e^{-(\lambda_\text{SM}+\lambda_\text{IF})t}dt-\frac{\lambda_\text{SM}}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}e^{-(\lambda_\text{SM}+2\lambda_\text{IF})t}dt\\ =\frac{\lambda_\text{SM}}{T_\text{lifetime}}\left[\frac{e^{-(\lambda_\text{SM}+\lambda_\text{IF})t}}{\lambda_\text{SM}+\lambda_\text{IF}}\right]^0_{T_\text{lifetime}}-\frac{\lambda_\text{SM}}{T_\text{lifetime}}\left[\frac{e^{-(\lambda_\text{SM}+2\lambda_\text{IF})t}}{\lambda_\text{SM}+2\lambda_\text{IF}}\right]^0_{T_\text{lifetime}}\\ =\frac{\lambda_\text{SM}}{T_\text{lifetime}(\lambda_\text{SM}+\lambda_\text{IF})}\left(1-e^{-(\lambda_\text{SM}+\lambda_\text{IF})T_\text{lifetime}}\right)-\frac{\lambda_\text{SM}}{T_\text{lifetime}(\lambda_\text{SM}+2\lambda_\text{IF})}\left(1-e^{-(\lambda_\text{SM}+2\lambda_\text{IF})T_\text{lifetime}}\right)\\ \approx\frac{\lambda_\text{SM}}{\bcancel{T_\text{lifetime}}\bcancel{(\lambda_\text{SM}+\lambda_\text{IF})}}\left(\bcancel{(\lambda_\text{SM}+\lambda_\text{IF})}\bcancel{T_\text{lifetime}}-\frac{1}{2}(\lambda_\text{SM}+\lambda_\text{IF})^\bcancel{2} T_\text{lifetime}^\bcancel{2}\right)\\ -\frac{\lambda_\text{SM}}{\bcancel{T_\text{lifetime}}\bcancel{(\lambda_\text{SM}+2\lambda_\text{IF})}}\left(\bcancel{(\lambda_\text{SM}+2\lambda_\text{IF})}\bcancel{T_\text{lifetime}}-\frac{1}{2}(\lambda_\text{SM}+2\lambda_\text{IF})^\bcancel{2} T_\text{lifetime}^\bcancel{2}\right)\\ =\lambda_\text{SM}\left(\bcancel{1}-\frac{1}{2}(\bcancel{\lambda_\text{SM}}+\bcancel{\lambda_\text{IF}})T_\text{lifetime}-\bcancel{1}+\frac{1}{2}(\bcancel{\lambda_\text{SM}}+\bcancel{2}\lambda_\text{IF})T_\text{lifetime}\right)=\frac{1}{2}\lambda_\text{IF}\lambda_\text{SM}T_\text{lifetime} $$ No.1, 2から、以下のような簡便公式が得られます。

$$ \int_0^{T_\text{lifetime}}f(t)dt\approx \lambda\int_0^{T_\text{lifetime}}dt \tag{470.3} $$

$$ \int_0^{T_\text{lifetime}}R(t)dt\approx\int_0^{T_\text{lifetime}}dt \tag{470.4} $$

なお、本稿はRAMS 2024に投稿予定のため一部を秘匿していますが、論文公開後の2024年2月頃に開示予定です。

---

前のブログ 次のブログ

ここまでRAMS 2020論文と2022論文をレビューしてきて、ポイントは1st SMと2nd SMのdetectabilityの違いで結果が変わることがわかります。それを以降でまとめます。

RAMS 2020論文

以下の表はRAMS 2020論文において、IFのfaultがSMにより検出されるかどうかを示しています。なお、1st SMのfaultは常にdetectableです。その時のDCは$K_\text{SM,MPF}$。

表449.1　RAMS 2020のDetectabilityの表

	IF non-detectable (IFU)	Partialy detectable (IFR)
1st SM	IF non-detectable ($K_\text{IF,det}=0$)
2nd SM	IF non-detectable ($K_\text{IF,MPF}=0$)	IF detectable ($K_\text{IF,MPF}>0$)
PMHF equ. RAMS 2020	$(1-K_\text{IF,RF})\lambda_\text{IF}+2K_\text{IF,RF}\alpha$ (19), (221.9), (447.2)	$(1-K_\text{IF,RF})\lambda_\text{IF}+2K_\text{IF,RF}\beta$ (22), (222.9), (447.1)

$K_\text{IF,det}=0$(かつ$K_\text{IF,RF}=1$)のみなので、冗長時のみを考えておりあまり良くありません。$K_\text{IF,det}=1$も考える必要があります。

RAMS 2022論文

さらにRAMS 2022では$K_\text{IF,det}=1$を検討しました。特にMPF detectedを従来のLFと同一視するのではなく、SFとしました。そのためPMHF結果式も変わってきます。

ここで、1st SMがIF detectableであれば、そのDC(カバレージ)は$K_\text{IF,RF}$であり、一般に2nd SMまでは設置しないと思われます。逆に言えば2nd SMが必要なのは、1st SMのDCがゼロの時、つまりIF non-detectable ($K_\text{IF,det}=0)$であり、すなわち1st SMが主機能代替機能を持ついわゆる冗長の場合となります。

表449.2　Detectabilityの表($K_\text{IF,det}=1$を追加)

	IF non-detectable (IFU)	Partialy detectable (IFR)	Fully detectable
1st SM	IF non-detectable ($K_\text{IF,det}=0$)		IF detectable ($K_\text{IF,det}=1$)
2nd SM	IF non-detectable ($K_\text{IF,MPF}=0$)	IF detectable ($K_\text{IF,MPF}>0$)	-

次に1st SMがIF non-detectable ($K_\text{IF,MPF}=0$)であれば、2nd SMはIFフォールトのレイテント防止のため、なにがしかのDC(検出率、カバレージ)を持つと考えられます。上記表はそのDCがゼロの場合はIFUモデル、ゼロでない場合はIFRモデルとしましたが、そのDCを$K_\text{IF,MPF}$で表し、ゼロの場合と非ゼロの場合をまとめ、かつRAMS 2020及び2022のPMHF式を追加すれば、以下の表となります。

表449.3　DetectabilityとPMHF式の表

	Partialy detectable (IFU/IFR)	Fully detectable
1st SM	IF non-detectable ($K_\text{IF,det}=0$)	IF detectable ($K_\text{IF,det}=1$)
2nd SM	Partialy detectable ($K_\text{IF,MPF}>=0$)	-
PMHF equ. RAMS 2020	$(1-K_\text{IF,RF})\lambda_\text{IF}+2K_\text{IF,RF}\beta$	$(1-K_\text{IF,RF})\lambda_\text{IF}+\color{red}{2}K_\text{IF,RF}\alpha$
PMHF equ. RAMS 2022		$(1-K_\text{IF,RF})\lambda_\text{IF}+K_\text{IF,RF}\alpha$

• RAMS 2020では$K_\text{IF,det}=0$のみを検討したため、$K_\text{IF,det}=1$は薄墨色としています。
• 1st SMがfully detectable ($K_\text{IF,det}=1$)において、RAMS 2022のPMHF値のDPF部分が$\frac{1}{2}$になっているのは、RAMS 2022においてMPF detectedの定義を変え、レイテントではなく完全にリペアラブルとしたためです。SMがレイテントになる部分はそのままですが、IFがレイテントになる部分が全て修理されるとしたため、半分になっています。

---

前のブログ 次のブログ

$K_\text{IF,det}$の意味

ここで、$K_\text{IF,det}$の意味を考えてみます。

• $K_\text{IF,det}=0$の時
  1st SMがIFのフォールトをVSGから$K_\text{IF,RF}$分だけpreventしているにも関わらず、1st SMの機能はIFのフォールトを検出しない場合。すなわち、1st SMはIF代替機能を持つはずであり、これは冗長構成と呼ばれる。冗長の場合は$K_\text{IF,RF}=1$となる。従って、$K_\text{IF,det}=0$かつ$K_\text{IF,RF}=1$。
  規格1st editionではこの場合は考慮されていなかったが、2nd editionで考慮されることになった。

• $K_\text{IF,det}=1$の時
  1st SMがIFのフォールトをVSGから$K_\text{IF,RF}$分だけpreventしており、1st SMの機能はIFのフォールトを検出する場合。その検出率は$K_\text{IF,RF}$であり、すなわち、1st SMはIF代替機能を持たない。
  1st SMがフォールト検出機能を持つため、IFの2nd SMは不要($K_\text{IF,MPF}=0$)。一方、1st SMに対しては2nd SMが必要。これは規格の構造図、すなわち「1st SMがSM1であり2nd SMがSM2である図」に一致する。

---

前のブログ 次のブログ

RAMS 2020

次にRAMS 2020でのPMHF式を示します。これは規格1st editionのIFUモデルをIFRモデルに拡張したものでした。ただし、表368.1で示せば、SM1 undetectableのみを扱います。従って、RAMS 2022で言う$K_\text{IF,det}=0$の時の式となります。

$$ \begin{eqnarray} \require{cancel} M_\text{PMHF,RAMS2020}&=&M_\text{PMHF,IFR}\\ &=&M_\text{PMHF,RAMS 2022}\lvert_{K_\text{IF,det}=0}\\ &=&(1-K_\text{IF,RF})\lambda_\text{IF}+2K_\mathrm{IF,RF}\beta \end{eqnarray}\tag{447.1} $$ ただし、 $$ \begin{cases} \begin{eqnarray} \alpha&:=&\frac{1}{2}\lambda_{\mathrm{IF}}\lambda_{\mathrm{SM}}[(1-K_{\mathrm{SM,MPF}})T_\text{lifetime}+K_{\mathrm{SM,MPF}}\tau],\\ \beta&:=&\frac{1}{2}\lambda_{\mathrm{IF}}\lambda_{\mathrm{SM}}[(1-K_{\mathrm{MPF}})T_\text{lifetime}+K_{\mathrm{MPF}}\tau],\\ K_{\mathrm{MPF}}&:=&K_{\mathrm{IF,MPF}}+K_{\mathrm{SM,MPF}}-K_{\mathrm{IF,MPF}}K_{\mathrm{SM,MPF}} \end{eqnarray} \end{cases} $$ これは以前の式(222.9)と一致します。

一方、規格1st editionの式はIFUモデルであり、(447.1)において、$K_{\mathrm{IF,MPF}}=0$とおけば、$K_{\mathrm{MPF}}=K_\mathrm{SM,MPF}$であるから、$\beta=\alpha$となり、

$$ \begin{eqnarray} \require{cancel} M_\text{PMHF,1st edition}&=&M_\text{PMHF,IFU}\\ &=&M_\text{PMHF,RAMS 2022}\lvert_{K_\text{IF,det}=0,K_\text{IF,MPF}=0}\\ &=&(1-K_\text{IF,RF})\lambda_\text{IF}+2K_\mathrm{IF,RF}\alpha\\ \end{eqnarray}\tag{447.2} $$ となります。これは2020論文(19)ですが、規格1st editionの第3の式に相当し、(221.9)と同一です。

RAMS 2020では$K_\text{IF,det}=0$の時しか検討しませんでしたが、RAMS 2022のベースである表375.1及びそれに基づくPMHF計算を用いて、$K_\text{IF,det}=1$の時も併せた式を示せば、 $$ \bbox[#ccffff,2pt]{M_\text{PMHF,RAMS2020}=(1-K_\text{IF,RF})\lambda_\text{IF}+ \color{red}{2}K_\text{IF,RF}K_\text{IF,det}\alpha+2K_\text{IF,RF}(1-K_\text{IF,det})\beta}\\ \tag{447.3} $$ となります。RAMS 2022との相違は(447.3)の係数2の違いとなります。

---

前のブログ 次のブログ

さて、RAMS 2022にRAMS 2020で発表したPMHF式を修正した式を投稿し採択されましたが、ここで両方の式をまとめておきます。便宜上RAMS 2022の式はより広い範囲をカバーするため、RAMS 2022の式から先に説明します。

RAMS 2022

RAMS 2022では、後述のRAMS 2020の式を拡張しました。具体的にはISPCE 2017で筆者が導入した$K_\text{IF,det}$を再び導入したものです。$K_\text{IF,det}$の意味は、1st SMのIFに対する機能であるVSG抑止能力に対する検出能力の比であり、以下のように条件付き確率で表される係数です。

$$ K_\text{IF,det}=\Pr\{\text{IF detected}\ |\ \text{IF prevented}\} $$

しかしながらこの条件付き確率はSMのアーキテクチャにより一意に決定され、 $$ K_\text{IF,det}= \begin{cases} \begin{eqnarray} &0&\ \ \text{if subsystem is redundant}\\ &1&\ \ \text{if subsystem is nonredundant} \end{eqnarray} \end{cases} $$ のように2値をとります。

この$K_\text{IF,det}$及び、$K_\text{IF,RF}$, $K_\text{IF,MPF}$を加えたIFに関するKパラメータ及び、$K_\text{SM,MPF}$のSMに関するKパラメータによりフォールトを分類し、以前示した表368.1を導出しています。

そして、$K_\text{IF,det}=1$の場合にMPF detectedをレイテントフォールト扱いとしないとして確率微分方程式を立て、それを解いています。その結果を示せば、 $$ \require{color} \bbox[#ccffff,2pt]{M_\text{PMHF,RAMS2022}=(1-K_\text{IF,RF})\lambda_\text{IF}+K_\text{IF,RF}K_\text{IF,det}\alpha+2K_\text{IF,RF}(1-K_\text{IF,det})\beta\\ } \tag{446.1} $$ ただし、 $$ \begin{cases} \begin{eqnarray} \alpha&:=&\frac{1}{2}\lambda_{\mathrm{IF}}\lambda_{\mathrm{SM}}[(1-K_{\mathrm{SM,MPF}})T_\text{lifetime}+K_{\mathrm{SM,MPF}}\tau],\\ \beta&:=&\frac{1}{2}\lambda_{\mathrm{IF}}\lambda_{\mathrm{SM}}[(1-K_{\mathrm{MPF}})T_\text{lifetime}+K_{\mathrm{MPF}}\tau],\\ K_{\mathrm{MPF}}&:=&K_{\mathrm{IF,MPF}}+K_{\mathrm{SM,MPF}}-K_{\mathrm{IF,MPF}}K_{\mathrm{SM,MPF}} \end{eqnarray} \end{cases} $$

これにおいて、まずnon redundantの場合である$K_\text{IF,det}=1$とすれば、

$$ \begin{eqnarray} M_\text{PMHF,NRD}&=&M_\text{PMHF,RAMS 2022}\lvert_{K_\text{IF,det}=1}\\ &=&(1-K_\text{IF,RF})\lambda_\text{IF}+K_\text{IF,RF}\alpha \end{eqnarray}\tag{446.2} $$ これは(374.1)と同一です。

他方、redundantの場合である、$K_\text{IF,det}=0$かつ$K_\text{IF,RF}=1$とすれば、 $$ \begin{eqnarray} M_\text{PMHF,RD}&=&M_\text{PMHF,RAMS 2022}\lvert_{K_\text{IF,det}=0,K_\text{IF,RF}=1}\\ &=&2\beta \end{eqnarray}\tag{446.3} $$ これは(374.2)と同一です。

また、IFRモデルでは、 $$ \begin{eqnarray} M_\text{PMHF,IFR}&=&M_\text{PMHF,RAMS 2022}\lvert_{K_\text{IF,det}=0}\\ &=&(1-K_\text{IF,RF})\lambda_\text{IF}+2K_\text{IF,RF}\beta\\ \end{eqnarray}\tag{446.4} $$ これは2020論文(22)、(108.2)及び(222.9)と同一です。

さらにIFUモデルでは、 $$ \begin{eqnarray} M_\text{PMHF,IFU}&=&M_\text{PMHF,RAMS 2022}\lvert_{K_\text{IF,det}=0,K_\text{IF,MPF}=0}\\ &=&(1-K_\text{IF,RF})\lambda_\text{IF}+2K_\text{IF,RF}\alpha \end{eqnarray}\tag{446.5} $$ これは2020論文(19)、(221.9)と同一です。

---

前のブログ 次のブログ

On October 26, 2021, a paper by Atsushi Sakurai, CEO of FS Micro Corporation (Nagoya, Japan), a leading provider of ISO 26262 functional safety (Note 1) consulting services, was accepted at the 68th RAMS (RAMS 2022: Note 2). RAMS 2022 will be held in Tucson, Arizona, U.S.A., from January 24 to 27, 2022, and is sponsored by the Reliability Society of IEEE (Note 3).

Atsushi Sakurai received the Best Paper Award at the 14th ISPCE (ISPCE 2017: Note 4), an international conference on Product Safety of IEEE in 2017. In addition, his papers have been accepted to RAMS for three consecutive years since 2020. The title of the paper for RAMS 2022 is "Formulas of the Probabilistic Metric for Random Hardware Failures (PMHF: Note 5) to Resolve a Dilemma in ISO 26262."

Although the PMHF formula was revised in the second edition of ISO 26262, which took effect in 2018, its mathematical definition was not fully described. Atsushi Sakurai clarified the ambiguity in the second edition and derived a new PMHF equation in his paper in 2020. However, this equation is based on the assumption that detected multipoint faults (MPFs: Note 6) are considered as latent faults (LFs: Note 7), which is also present in the second edition of the standard. However, this assumption contradicts the latent fault metric (LFM: Note 8) specified in the standard itself.

This paper aims to solve the dilemma of this standard and strengthen the previous paper by deriving a new PMHF formula based on the assumption that the detected MPF is not a LF. This formula is expected to evaluate the PMHF value correctly, to reduce the design constraint on the Emergency Operating Time Tolerance Interval (EOTTI: Note 9) by 40 times, and to minimize the design effort in fault-tolerant systems (Note 10).

Company name: FS Micro Corporation
Representative: Atsushi Sakurai
Date of establishment August 21, 2013
Capital: 32 million yen
Business description Consulting and seminars on functional safety of ISO 26262 automotive electronic devices
Address of Head Office 460-0011 4-1-57 Osu, Naka-ku, Nagoya, Aichi, Japan
Phone: +81-52-263-3099
E-mail address info@fs-micro.com
URL http://fs-micro.com/

Notes
Note 1: Functional safety is the concept of enhancing safety at the system level by taking various safety measures. ISO 26262 is an international standard for functional safety for automotive electrical and electronic equipment.
Note 2: RAMS stands for The Annual Reliability & Maintainability Symposium, an international conference on reliability engineering organized annually by the IEEE Reliability Society. http://rams.org/
Note 3: IEEE stands for the Institute of Electrical and Electronics Engineers. It is the world's largest conference on electrical and electronic engineering technology in terms of number of participants and participating countries. http://ieee.org/
Note 4: ISPCE stands for IEEE Symposium on Product Compliance Engineering, an international conference on product safety organized annually by the IEEE Product Safety Society. http://2017.psessymposium.org/
Note 5: PMHF stands for Probabilistic Metric for Random Hardware Failures. It is one of the design target values for hardware in ISO 26262, which is a time average of the probability of system failure during the vehicle lifetime.
Note 6: MPF stands for Multiple-point Fault, which is a fault that does not violate the safety goal at a single point, but becomes a violation of the safety goal when multiple faults are combined.
Note 7: LF stands for Latent Fault. Among MPFs, it is a fault that is not detected by the safety mechanism.
Note 8: LFM stands for Latent Fault Metric, which is a coverage of how many LFs are in the system and how many of them can be detected, and is one of the design target values for hardware in ISO 26262.
Note 9: EOTTI stands for Emergency Operation Tolerant Time Interval. It is a time interval during which a violation of safety objectives will not occur if the system is repaired or switched to an alternative process within this period.
Note 10: A fault-tolerant system is a safety-enhancing system that can substitute the original function without immediately losing the function in the event of a failure.

---

前のブログ 次のブログ

ISO 26262機能安全(注1)コンサルティングを提供するFSマイクロ株式会社(本社：名古屋市)代表取締役 桜井 厚の論文が、2021年10月26日、第68回RAMS 2022(注2)に採択されました。RAMS 2022は、2022年1月24日から27日まで米国アリゾナ州ツーソンにて開催予定の、IEEE(注3)信頼性部会主催の国際学会です。

弊社代表 桜井 厚は2017年にIEEEの製品安全に関する国際学会である第14回ISPCE 2017(注4)において、最優秀論文賞を受賞しました。同著者の論文は2020年から3年連続でRAMSに採択されており、IEEE学会としては今回で4回目の採択となります。今回RAMS 2022で採択された論文は「Formulas of the Probabilistic Metric for Random Hardware Failures to Resolve a Dilemma in ISO 26262」と題し、ランダムハードウェア故障の確率的メトリクス(PMHF：注5)を正しく計算する数式を提案するものです。

2018年に発効したISO 26262第2版ではPMHF式が改訂されていますが、その数学的な定義が明確ではありませんでした。桜井　厚は2020年に第2版で曖昧だった点を明確にし、新たなPMHF式を導出しました。しかしながら、この式は規格第2版にも存在する、検出された多点フォールト(MPF：注6)をレイテントフォールト(LF：注7)とみなすという前提に基づいており、一方でその前提は、規格自身の規定するレイテントフォールトメトリック(LFM：注8)と矛盾します。

本論文はこの規格の矛盾を解消することを目的とし、検出されたMPFがLFにならないという前提の下に、新たなPMHF式を導出しました。この式によりPMHF値が正しく評価され、緊急操作許容時間間隔(EOTTI：注9)に関する設計制約が40倍軽減されることから、耐故障システム(注10)での設計工数の削減が期待されています。

【お問い合わせ先】
商号　　　　　 FSマイクロ株式会社
代表者　　　　 桜井 厚
設立年月日　　 2013年8月21日
資本金　　　　 3,200万円
事業内容　　　 ISO 26262車載電子機器の機能安全のコンサルティング及びセミナー
本店所在地　　 〒460-0011
　　　　　　　 愛知県名古屋市中区大須4-1-57
電話　　　　　 052-263-3099
メールアドレス info@fs-micro.com
URL　　　　　 http://fs-micro.com/

【注釈】
注1：機能安全は、様々な安全方策を講じることにより、システムレベルでの安全性を高める考え方。ISO 26262は車載電気・電子機器を対象とする機能安全の国際規格
注2：RAMS(ラムズ)はThe Annual Reliability & Maintainability Symposiumの略。IEEE信頼性部会が毎年主催する、信頼性工学に関する国際学会 http://rams.org/
注3：IEEE(アイトリプルイー)はInstitute of Electrical and Electronics Engineersの略。電気工学・電子工学技術に関する、参加人数、参加国とも世界最大規模の学会 http://ieee.org/
注4：ISPCE(アイスパイス)はIEEE Symposium on Product Compliance Engineeringの略。IEEE製品安全部会が毎年主催する、製品安全に関する国際学会 http://2017.psessymposium.org/
注5：PMHF(ピーエムエイチエフ)はProbabilistic Metric for Random Hardware Failuresの略。車載電気・電子システムにおいて、車両寿命間にシステムが不稼働となる確率を時間平均した、ISO 26262におけるハードウェアに関する設計目標値のひとつ
注6：MPF(エムピーエフ)はMultiple-point Faultの略。 一点のフォールトでは安全目標を侵害せず、複数のフォールトの組み合わせにより安全目標侵害となるようなフォールト
注7：LF(エルエフ)はLatent Faultの略。潜在フォールトと訳される。MPFのうち、安全機構により検出されないフォールト
注8：LFM(エルエフエム)はLatent Fault Metricの略。LFがシステムにどれほどあり、そのどれほどが検出できるかのカバレージであり、ISO 26262におけるハードウェアに関する設計目標値のひとつ
注9：EOTTI(イーオーティーティーアイ)はEmergency Operation Tolerant Time Intervalの略。この期間内に修理するか代替処理に切り替えれば安全目標侵害が起こらない時間間隔
注10：耐故障システムは、故障した場合に直ちに機能を失うことなく、本来の機能を代替することができる安全性向上のためのシステム

---

前のブログ 次のブログ

10/10までに最終版を登録しました。査読者2名はパスしたものの、Reliability ModelingのVice Chairは保留中であり、他のエキスパートの意見を聞いているとのことです。

表441.1　RAMS 2022へのマイルストーン

年月日	マイルストーン	状態
2021/8/1	論文、プレゼン投稿締め切り(名前、所属無し版)	済
2021/9/1	第1回論文、プレゼン資料査読コメント受領	済
2021/9/15	改訂版論文、プレゼン投稿締め切り(名前、所属無し版)	済
2021/10/1	最終査読コメント受領	済
2021/10/10	学会出席登録締め切り	済
2021/10/10	最終論文、プレゼン投稿締め切り(名前、所属有り版)	済

表441.1はRAMS 2022正式採択までのマイルストーンであり、今後適宜更新します。

---

前のブログ 次のブログ

10/1までに査読に対応した修正を実施し、修正版を登録しました。

表439.1　RAMS 2022へのマイルストーン

年月日	マイルストーン	状態
2021/8/1	論文、プレゼン投稿締め切り(名前、所属無し版)	済
2021/9/1	第1回論文、プレゼン資料査読コメント受領	済
2021/9/15	改訂版論文、プレゼン投稿締め切り(名前、所属無し版)	済
2021/10/1	最終査読コメント受領	済
2021/10/10	学会出席登録締め切り	済
2021/10/10	最終論文、プレゼン投稿締め切り(名前、所属有り版)

表439.1はRAMS 2022正式採択までのマイルストーンであり、今後適宜更新します。

---

前のブログ 次のブログ