2. 愚直に場合分けする導出法

前稿のようにエレガントに導出するのではなく、全ての場合を愚直に場合分けすることを行います。そのほうが抜け漏れが防止でき、確実そうです。

ただし、任意の検査時刻$\tau_i,\ i=1,...,n$で考えると、区間がn+1個、検査がn回であるため、区間$[\tau_{i-1}, \tau_i)$でのフォールトの生起有/無が$2^{(n+1)}$とおり、検査時点$\tau_i$でのフォールト検出可/不可が$2^n$とおりあるので、検討の組み合わせが$2^{(2n+1)}$とおりと膨大になります。

ところが幸いなことに、フォールト検出は確率的に行われるのではなく、アーキテクチャ的に行われる前提です(ブログ記事の前提の2項を参照)。従って、いつフォールトが起きてもその次の周期での検査(時刻=$\tau_i$)ではなく、最近の検査(時刻=$\tau_n$)まで です。

従って、フォールトの生起を単に「生起」、フォールトの検出を単に「検出」と省略して書けば、最近の検査までの生起の有/無、最近の検査での検出の可/不可、その後の生起の有/無の$2^3$とおりを考えれば良いわけです。この絞り込みは愚直とは言えず、むしろエレガントかもしれませんが。

この絞り込みを表現するために、3つ組記法を考え、

　(($0$から$\tau_n$までの生起の有/無),($\tau_n$での検出の可/不可),($\tau_n$からtまでの生起の有/無))

の全ての組み合わせを考えます。有/無や可/不可をYes(有)/No(無)で表せば、全ての場合は$2^3$とおりあり、

1. (Yes, Yes, Yes)
2. (Yes, No, Yes)
3. (Yes, Yes, No)
4. (Yes, No, No)
5. (No, Yes, Yes)
6. (No, No, Yes)
7. (No, Yes, No)
8. (No, No, No)

の8とおりです。このうち、時刻$t$でSMが不稼働状態になるのは、

1. (Yes, Yes, Yes)⇒不稼働
2. (Yes, No, Yes)⇒不稼働
3. (Yes, Yes, No)
4. (Yes, No, No)⇒不稼働
5. (No, Yes, Yes)⇒不稼働
6. (No, No, Yes)⇒不稼働
7. (No, Yes, No)
8. (No, No, No)

の1, 2, 4, 5, 6の5とおりです。これらの不稼働になる場合を、真ん中の検出可(=Yes)でまとめれば、

　1. (Yes, Yes, Yes)⇒不稼働
　5. (No, Yes, Yes)⇒不稼働

の2とおりとなります。検出可の条件で不稼働となる確率は、上記の2とおりです。従って、この条件での時刻$t$での不稼働確率は、次の確率式 $$ \Pr\{\text{fault detected at }\tau_n\ \cap\ \text{SM receives a fault in }(\tau_n, t]\}\tag{349.1} $$ で表されます。

一方、真ん中の検出不可(=No)でまとめれば、

　2. (Yes, No, Yes)⇒不稼働
　4. (Yes, No, No)⇒不稼働
　6. (No, No, Yes)⇒不稼働

の2, 4, 6の3とおりとなります。検出不可の条件で不稼働となる確率は、上記の3とおりです。従って、この条件での時刻$t$での不稼働確率は、次の確率式 $$ \Pr\{\text{fault not detected at }\tau_n\ \cap \text{SM receives a fault in }(0, t]\}\tag{349.2} $$ で表されます。

以上から、

1. 検出の可不可のそれぞれの場合は排反事象である(ためそれぞれの確率は足すことができる)
2. フォールトの生起と検出可不可はそれぞれ独立事象である(ため積事象の場合それぞれの確率は掛けることができる)

従って、不稼働度は、(349.1)と(349.2)を用いて $$ Q_\text{SM}(t)\equiv\Pr\{\text{SM is down at }t\}\\ =\Pr\{\text{fault not detected at }\tau_n\ \cap \text{SM receives a fault in }(0, t]\ \cup\\ \text{fault detected at }\tau_n\ \cap\ \text{SM receives a fault in }(\tau_n, t]\}\\ =\Pr\{\text{fault not detected at }\tau_n\}\Pr\{\text{SM receives a fault in }(0, t]\}\\ +\Pr\{\text{fault detected at }\tau_n\}\Pr\{\text{SM receives a fault in }(\tau_n, t]\}\\ =\img[-1.35em]{/images/withinseminar.png} \tag{349.3} $$ と導出されます。

なお、本稿はRAMS 2025に投稿予定のため一部を秘匿しています。

前のブログ 次のブログ

1. エレガントな導出法

図347.1を以下に再掲します。

図347.1において、SMが$t$においてダウンしている確率を考えます。SMに起こったフォールトが、任意の$\tau_i$で2nd SMにより検出可能(=修理可能)か不可能かで分類します。

• 検出可能な場合：時刻$0$から$\tau_n$未満の間にフォールトが起きる場合、次の定期検査$\tau_i\ (i=1,...,n)$の時点で検出され修理されるので、最近の検査時刻$\tau_n$でフォールトはありません。あるいは、フォールトが起きない場合も$\tau_n$の時点ではフォールトはありません。従って、時刻$t$でダウンしている確率は$\tau_n$直後から$t$までの間にフォールトが起きる場合に限られます。
• 検出不可能な場合：2nd SMが無いのと同じことであるため、全ての時間、つまり時刻$0$から$t$までの間にフォールトが起きる確率、すなわち不信頼度$F(t)$が、時刻$t$でダウンしている確率となります。

以上を合わせ、SMが時刻$t$でダウンしている確率を求めます。

1. 検出の可不可のそれぞれの場合は排反事象である(ためそれぞれの確率は足すことができる)
2. フォールトの生起と検出可不可はそれぞれ独立事象である(ため積事象の場合それぞれの確率は掛けることができる)

上記から不稼働度は、

$$ Q_\text{SM}(t)\equiv\Pr\{\text{SM is down at }t\}\\ =\Pr\{\text{fault not detected at }\tau_n\ \cap \text{SM recieves a fault in }(0, t]\ \cup\\ \text{fault detected at }\tau_n\ \cap\ \text{SM recieves a fault in }(\tau_n, t]\}\\ =\Pr\{\text{fault not detected at }\tau_n\}\Pr\{\text{SM recieves a fault in }(0, t]\}\\ +\Pr\{\text{fault detected at }\tau_n\}\Pr\{\text{SM recieves a fault in }(\tau_n, t]\}\\ =\img[-1.35em]{/images/withinseminar.png} \tag{348.1} $$ と導出されます。

なお、本稿はRAMS 2025に投稿予定のため一部を秘匿しています。

前のブログ 次のブログ

不稼働度$Q(t)$の導出準備

定期検査を持つリペアラブルエレメントの不稼働度(Unavailability, PUA)$Q(t)$の方程式は、世界で初めて弊社が導出したものです。このリペアラブルエレメントの不稼働度$Q(t)$の導出について解説します。

定義

不稼働度の定義は(66.10)に示します。

前提

一般にはSMにフォールトが起きても直ちにVSGとならないため、意図機能が動作している間に修理が可能であり、これをリペアラブルエレメントと言います。

図347.1のように、2nd SMによるSMに対する定期検査が、周期$\tau$で行われます。$i$番目の検査時刻は$\tau_i,\ i=1, ..., n$です。このときのSMの、時刻$t$での不稼働度を考えます。最近の検査時刻を$\tau_n$とすれば、 $$ \tau_n=n\tau=\lfloor\frac{t}{\tau}\rfloor\tau\tag{347.1} $$

前提をまとめると以下のようになります。

• 定期検査・修理をこれら時間間隔の総和であり、規格ではこれらを合わせたものを露出時間と呼ぶ。
• 2nd SMには診断カバレージ(DC)があるものの、このDCを$K_\text{FMC,MPF}$で表す。

なお、本稿はRAMS 2025に投稿予定のため一部を秘匿しています。

前のブログ 次のブログ

第5節は、前節で求めたPMHFの評価です。図のレイアウト上、空白が多めになっています。

規格はケース見落としにより、過剰なPMHFの見積もりとなっています。ということは保守的な見積もりであるため、安全側ではありますが、EOTTIとしてはその過剰見積もりが厳しい設計制約として見えてきます。

上図左は弊社による、EOTTIの最大値を示す不等式です。一方、上図右は、2nd editionに掲載されているEOTTIの最大値を示す不等式です。表に示すように、規格自体に含まれている例で計算すると、規格がPMHFを過大に見積もっていることから、EOTTIも過小見積もりとなっています。正しくは965時間で良いのに、規格式では31時間となり、その倍率は31倍ともなります。

結論として、規格に従えば、PMHFが保守的な見積もりであることから、EOTTIに関して31倍も設計が厳しくなります。

前のブログ 次のブログ

第4節は弊社の導出したPMHF式を2つ示しています。IFU、IFRの2つのモデルを構築し、それぞれのモデルに基づいて確率微分方程式を立てます。それを解くことにより、PMHF方程式を求めます。

IFUモデルから求められたPMHF式は、1st editionの規格式とは完全に一致しました。一方、IFRモデルから求めると、2nd editionの規格式と一致しませんでした。その理由は、2nd editionの規格式は場合分けを行っており、それはIFもしくはSM1のいずれか(後からフォールトする方)がアンリペアラブルであるという前提になっているからです。

本来両方がリペアラブルである必要があり、いずれか片方がアンリペアラブルというのは不当な制約です。実際にIFがフォールトしてLFとなり、2nd SMにより検出され修理され、次にSM1がフォールトしてLFとなり、2nd SMにより検出され、修理工場で修理されるというシーケンスがカバーされていません。

前のブログ 次のブログ

第3節はモデルの構築です。ここで言うモデルは、構造と動作の2つの側面を持ちます。

構造は、左端図に示すとおり規格第2版に掲載されているもので、一種類のみです。

• 主機能であるIFと、
• 主機能がVSGとなるフォールトを抑止するための1st SMで、かつ主機能がLFとなることを抑止するための2nd SMであるSM1と、
• SM1がLFとなることを抑止するための2nd SMであるSM2

の3つのエレメントからなるものです。ここでは2つのモデルを構築しますが、構造は2つのモデルに共通です。

一方、動作は2とおりあります。その動作を連続時間系マルコフ連鎖で表したものが中及び右図です。SM2はフォールトしないので、フォールトの可能性は両方無し、IFのみ、SM1のみ、及びIF、SM1両方の4通りです。フォールト無しをグリーンのOPRステート、片方のみがフォールトしているのを黄色のLAT1またはLAT2ステート、両方がフォールトするDPFステートをDPF1またはDPF2ステートで表します。SPFステートは例外的に、IFに起きる単一フォールトがVSGとなるときに移行するステートです。

動作の違いは右図の赤丸で示した遷移のみであり、IFUモデルの動作が、IFがアンリペアラブルなのに比べてIFRモデルの動作は、IFはリペアラブルです。そのため、IFRモデルにおいては、IFのフォールトによりLAT1ステートに移行しても、2nd SMにより検出可能である場合は、修理によりOPRステートに戻ります。

前のブログ 次のブログ

第2節では、数学的な定義式を説明します。規格には数学的な定義が無いため、弊社独自の定義を考案しました。とはいえ、結果が規格と一致している必要があります。

PMHFは規格の文字通りの定義である、アイテムが車両寿命においてダウンしている確率を時間平均したものと定義します。時刻$t$においてダウンしている確率は、不稼働度関数$Q(t)$で表します。不稼働度$Q(t)$は不稼働密度$q(t)$を時刻$0$から$t$まで積分したものであり、不稼働密度$q(t)$の車両寿命間での平均$\bar{q}$を意味します。

それぞれの関数の意味は、ISO 14289の信頼性各種関数の定義というブログ記事に記載しています。

前のブログ 次のブログ

タイトルは論文と同じですが、Probabilistic Metric for Random Hardware Failuresの文字を赤く強調し、さらにカッコ書きでPMHFの注記を入れています。

論文の題名は、ISO 26262に適合したPMHFの一般式です。一般式の意味は、規格1st editionがSMのみがリペアラブルという特殊なサブシステムが対象だったのに対し、IFもSMもリペアラブルの場合という、冗長を含む一般的なサブシステムが対象であるという意味です。

第1節です。文字通り、PMHFとは何かを説明しています。

PMHFとは、自動車の機能安全設計において重要な目標数値で、おおよそシステム全体の故障率と言えます。車両サブシステムの設計者は、サブシステムの安全レベルに従った数値以下に減らさなければなりません。

図はヘッドライトにASIL-Aが、エンジン制御にASIL-Dが割り当てられている場合です。ヘッドライトは特に数値目標無し、エンジン制御はPMHFは10 FITで設計する必要があります。

PMHFの規格上の定義は、"車両寿命における単位時間当たりの平均(故障)確率"です。しかしながら、規格には数学的な定義がありません。

PMHF式は2011年発行の規格である1st editionから、2018年発行の2nd editionに改訂されました。図示するように、パターン3及び4の場合が追加されています。パターン1及び2が、SM1がリペアラブルなのに対して、パターン3及び4はIFがリペアラブルな場合です。IFがリペアラブルな場合は、SM1が代替しなければ直ちにVSGとなるため、実際には冗長構成となります。つまり、弊社のPMHF第1論文で2017年に指摘したとおり、1st editionで対応していない冗長サブシステムに対して、規格が2nd editionで対応したものと受け取ることができます。

しかしながら、その対応には問題がありました。その問題は、記事RAMS 2020ポスター解説 (5)により説明します。

前のブログ 次のブログ

本年1月にUSのパームスプリングスで開催された、第67回国際信頼性学会のRAMS 2020において、投稿論文に対するポスターセッションを行いました。

以下はそのポスターの図で、論文ではほとんど文字や数式でしたが、図や表を多用して解説したものです。これからそれを解説していきます。

前のブログ 次のブログ

A paper by Atsushi Sakurai, President of FS Micro, Inc. (Nagoya, Japan), an ISO 26262 functional safety (Note 1) consulting firm, has been accepted for publication on December 3, 2020, at the 67th RAMS 2021, an international conference on reliability sponsored by the IEEE (Note 2). RAMS 2021 (Note 3) will be held January 25-28, 2021, in Orlando, Florida, USA. The author's paper was accepted by RAMS for the second consecutive time, following in January 2020. The author also received the best paper award at the 14th ISPCE 2017 (Note 4), an international conference on product safety, in 2017.

The title of the paper is "A Framework for Performing Quantitative Fault Tree Analyses for Subsystems with Periodic Repairs." This paper proposes a method to correctly evaluate "Random Hardware Failure Probabilistic Metrics" (PMHF, Note 5) of automotive electronics using quantitative "Fault Tree Analysis" (FTA, Note 6).

In 2018, the second edition of ISO 26262, the international standard for functional safety in automotive electronics, was published. In this second edition, the mathematical definition of the PMHF formula is not clearly stated. Furthermore, the method of quantitative FTA is not clear, and therefore there were no guidelines for calculating the PMHF value, as a design target.

This paper provides a concrete framework for calculating PMHF values using quantitative FTAs, based on the PMHF formula presented by the same author at RAMS 2020 in January 2020. It prevents underestimation of the PMHF value. This paper is expected to improve the safety of fault-tolerant systems (Note 7), such as automated driving systems, and to deter accidents due to failures.

Notes
Note 1: Functional safety is the concept of improving safety at the system level by implementing various safety measures. ISO 26262 is an international standard for functional safety for electrical and electronic equipment in vehicles.
Note 2: IEEE is an abbreviation for Institute of Electrical and Electronics Engineers. It is the world's largest conference on electrical and electronic engineering technology in terms of the number of participants and countries.
Note 3: RAMS 2021 means The 67th Annual Reliability & Maintainability Symposium, an annual international conference on reliability engineering sponsored by the IEEE Reliability Society. http://rams.org/
Note 4: ISPCE is an abbreviation for IEEE Symposium on Product Compliance Engineering. It is an annual international conference on product safety sponsored by the IEEE Product Safety Society. http://2017.psessymposium.org/
Note 5: PMHF is an abbreviation for Probabilistic Metric for Random Hardware Failures. In automotive electrical and electronic systems, it is a design target value for hardware, averaging the probability of system failure over the lifetime of the vehicle.
Note 6: FTA is an abbreviation for Fault Tree Analysis. A deductive safety analysis method that quantitatively demonstrates the likelihood of hazardous events by constructing a tree structure of failure events and calculating the safety goal violation probability.
Note 7: A fault-tolerant system is a safety system that can substitute its original function without immediate loss of function in the event of a failure.

前のブログ 次のブログ