アブストラクトの最後

本論文$\dagger$の最初に戻ってみると、アブストラクトの最後に、

本論文で示す比較分析により、PFH公式とPMHF公式が異なるケーススタディに対して同様の結果を与えることが実証された。

と主張していますが、ISO 26262の仮定を捨ててIEC 61508と同様な非修理系という誤った仮定を導入すれば、似たような式が得られても当然です。

本来はPeriodic inspection and repair (PIR) 保守戦略に基づく不稼働度を計算すべきであり、その仮定の元ではPMHF式は似たような式にはなりません。

誤りの背景

総じてこれらの仮定の誤りはISO 26262を良く分析していないことからくるものと思われ、これはIEC 61508出身の研究者にしばしば見られる現象です。それは、IEC 61508の観点からしかISO 26262を眺められないところに原因があります。

彼らの論文や資料には特有のパターンがあり、ISO 26262の論文や資料であるにも関わらずDU, DDで始まったら要注意です。そもそもISO 26262にはDU, DD等の用語はなく、かつDU, DD故障率はオブザーバブルではないため、以下のように1st SMのカバレージであるKパラメータ$K_\text{RF}$を用いて示すべきです。 $$ \lambda_\text{DD}=K_\text{RF}\lambda_\text{IF},\ \lambda_\text{DU}=(1-K_\text{RF})\lambda_\text{IF} $$

さらに、ISO 26262に存在する故障の区別、具体的にはSPFとDPFの区別がIEC 61508には存在しません。DPFは1oo2として取り扱うべきです。多くの著者はIEC 61508には存在しないLF(以下の式の$\lambda_\text{MPF,l}$)の概念が理解できずに故障率を以下の誤りの式の如く、全て加算してしまいがちです。過去記事中の論文や資料にも同様な誤りが見られます。 $$ \lambda_\text{DD}=\lambda_\text{SPF}+\lambda_\text{RF}+\lambda_\text{MPF,l} $$

さらに、修理の概念が無いようで、ISO 26262の基本の仮定であるPIRを考慮していません。

「ISO 26262などはIEC 61508の派生ないし亜流だ」と言う誤った考えを持たないことが、ISO 26262の理解の秘訣となります。

$\dagger$E. Rogova, C. Nowak, M. Ramold, et al., "Comparison of Analytical Formulas of PFH and PMHF Calculation for M-out-of-N Redundancy Architecture," Europ. Safe. Reliab. Conf.,, pp.1-5, 2019

前のブログ 次のブログ

仮定のまとめ

本論文$\dagger$はその中程に、置いた4つの仮定をまとめてリストしています。

(i) すべての危険故障の故障率は，λD である（IEC 61508 の概念では DD と DU を区別せず，ISO 26262 の概念では SPF，RF，DPF 及び MPF を区別しない）
(ii) PFH 公式におけるプルーフテスト間隔$\tau$は、PMHF 公式における運転寿命間隔 $T_{Lifetime}$と等価である
(iii) システムは修理不可能である
(iv) チャネルが同一で独立している

これはいずれも誤りです。一項目ずつ見ていきます。

• IEC 61508はいざ知らず、ISO 26262においてはSPF, RFとは区別せず、DPF, MPFも区別せずで良いですが、それら2グループには明確な区別があります。言うまでもなく故障によるVSG確率が全く異なるため、それを考慮しなければなりません。具体的にはDPFは2重故障を意味するため、故障確率の2乗項が出現します。
• 「PMHF式では$\tau=T_{lifetime}$として良い」と言っていますが、前稿で指摘したようにこれは誤りで、ISO 26262にもプルーフテストというか定期検査修理は存在するため、テスト周期は$\tau$となり、車両寿命ではありません。反対にこう仮定すると、2nd SMの存在が無いことになります。規格書では2nd SMの存在がブロック図に書かれているにも関わらず、それが無視されています。
• ISO 26262で対象とするサブシステムは修理可能です。Part 10のPMHF式の箇所に、ドライバーがMPFを通知され、修理工場へ持ち込む表現があります。もちろんMPFを検出するのが2nd SMです。
• チャネルは前項のように、独立であっても同一ではありません。「冗長」は必ずしも対称冗長を意味しません。

以上から、論文途中の仮定リストの全点が誤っている(=ISO 26262非互換である)ため、ここから先の検討は不要となります。

$\dagger$E. Rogova, C. Nowak, M. Ramold, et al., "Comparison of Analytical Formulas of PFH and PMHF Calculation for M-out-of-N Redundancy Architecture," Europ. Safe. Reliab. Conf.,, pp.1-5, 2019

前のブログ 次のブログ

不当な仮定1

正しく引用されたことは良かったのですが、本論文$\dagger$では弊社の式に対して新たに以下の(12)という仮定を加えており、残念なことにこれでは一般性を失う不要な仮定です。

$$ \lambda_{m,MPF}=\lambda_{sm,MPF}=\lambda_{MPF}=\lambda_{D}\tag{12} $$

この(12)の意味するところは"m"も"sm"も同じ故障率を持つこと、すなわち対称冗長を意味しており、これは特殊な場合に限られます。

反例を示すと、例えば過去記事の図70.1に示すヘッドライト装置の実例のように、

メカスイッチからのON信号をメインのチャネルではマイコンで点灯し、バックアップチャネルではトランジスタで点灯するような非対称冗長には(12)は当てはまりません。以下のように"m"系の故障率のほうが"sm"系よりも巨大になるためです。 $$ \lambda_{m,MPF}\gg\lambda_{sm,MPF} $$ さらに言えば、このような非対称冗長は、特にASIL分解においては、規格ではむしろ推奨されています。マイコンに低いASILを割り当てておき、複雑なシステムの開発を容易にできる一方、壊れにくい単純なトランジスタで元の安全要求を保証できるためです。

不当な仮定2

さらに別の仮定の問題があります。弊社の式における2nd SMの検査周期である$\tau$について、$\tau=T_{lifetime}$と仮定してしまったことです。これは2nd SMが存在しないか、あるいはDCがゼロであることを意味します。これは誤った仮定です。

なぜそうしたかはその箇所には書かれていませんが、アンリペアラブルという仮定を置いているのが後からわかります。

$\dagger$E. Rogova, C. Nowak, M. Ramold, et al., "Comparison of Analytical Formulas of PFH and PMHF Calculation for M-out-of-N Redundancy Architecture," Europ. Safe. Reliab. Conf.,, pp.1-5, 2019

前のブログ 次のブログ

M-out-of-N冗長アーキテクチャにおいて、PFHとPMHFを比較するという大変興味深い論文$\dagger$をたまたま見つけたので読んでいきます。弊社の論文が引用されていたにも関わらず最近まで知りませんでした。

アブストラクト

例によって、DeepLで翻訳しながら見ていきます。まずアブストラクトから。

道路運送車両の国際機能安全規格ISO 26262は、ランダムなハードウェア故障が安全目標に違反する確率を定量的に推定する方法として、ランダムなハードウェア故障に対する確率的指標（PMHF）を用いることを提案している。PMHFの計算例はISO 26262に示されている。しかし、この規格にはM-out-of-Nの冗長アーキテクチャに対するPMHFの計算公式は含まれていない。 この公式は、冗長性の問題と冗長アーキテクチャの確率論的メトリクスの計算が特に関連するドライブ・バイ・ワイヤ・システムにおいて重要な応用を見出すことができる。

本論文では、M-out-of-N冗長アーキテクチャのPMHF計算公式を開発し、国際機能安全規格IEC 61508で定義されている高需要モードと連続需要モードの安全システムの平均危険故障頻度(PFH)公式と比較した。本論文で示す比較分析により、PFH公式とPMHF公式が異なるケーススタディに対して同様の結果を与えることが実証された。これらのケーススタディは、IEC 61508とISO 26262で定義されているさまざまなタイプの故障を考慮して調査されている。

アブストラクトに示すように、IEC 61508で定義されているPFDとPFHと、ISO 26262で定義されているPMHFを比較し、さらにMooN冗長サブシステムへの式の拡張を行ったものです。

弊社論文

弊社でも2018年以前にISO 26262のPMHFを実際のプロジェクトに適用した経験があり、さらにそのサブシステムが冗長構成であったので、PMHFの適用には悩みました。というのは2011年に発行された規格初版において、規格PMHF式は冗長に対応していなかったためです。そこで、弊社は2017年に冗長構成に対応したPMHF式の拡張を提案する論文を発表しましたが、本論文にはきちんと弊社論文が引用されています。

異なるチャネルを持つ2チャネル冗長アーキテクチャのPMHF公式は桜井によって得られている（桜井, 2018）。非同一チャネルを持つMooN冗長アーキテクチャのための一般化されたPMHF公式は非常に複雑になる。式(13)は非同一チャネルを持つ2チャネル冗長アーキテクチャのPMHF公式を示す。桜井は、一次安全機構（冗長ミッション機能を果たす）に加えて、二次安全機構（潜在的欠陥の防止）も考慮している（桜井, 2018）。本節では、桜井が開発した公式を、"M "と "SM "の二次安全機構を持たないことを念頭に、図2bに示したケーススタディに適用する：
$$ PMHF^{1oo2}=\frac{1}{2}\lambda_{m,MPF}\lambda_{sm,MPF}T_{lifetime}+\frac{1}{2}\lambda_{m,MPF}\lambda_{sm,MPF}T_{lifetime}\tag{13} $$ 式(12)で示されるように、同一チャネルの故障率は等しいことを考慮すると、式(13)は、同一チャネルを持つ1oo2アーキテクチャのPMHFの値を示す式(14)に変換できる： $$ PMHF^{1oo2}=\lambda_D^2T_{lifetime}\tag{14} $$

$\dagger$E. Rogova, C. Nowak, M. Ramold, et al., "Comparison of Analytical Formulas of PFH and PMHF Calculation for M-out-of-N Redundancy Architecture," Europ. Safe. Reliab. Conf.,, pp.1-5, 2019

前のブログ 次のブログ

次回RAMS 2025に投稿する論文「Point Unavailability and Its Density Processes of Repairable Element with Periodic Inspections in ISO 26262」を作成し、AJEに入稿しました。入稿前にはDeepLで翻訳し、ChatGPTにより論文査読を行ったうえで、ネイティブチェックのためAJEに入稿しています。

過去に掲載した論文の実績と予定をアップデートします。

前のブログ 次のブログ

図738.3の修正したSF2モデルは過去論文でAF2を導出した際のCTMC図と見かけは異なりますが、同一であることを以下に証明します。

2つの分岐に橋を架けたことによりOKはそれぞれ同一状態となり、またDPFは元々同一状態であったので、このようにマージすることができます。

以上より、図739.2に示すように両者が実質は同一であることが証明できたため、そのモデルから得られるPMHF方程式は同一であることが証明されました。つまり、SF2の11か所の誤りを全て修正するとAF2となることが言えます。

前のブログ 次のブログ

RAMS 2024で発表した論文のプレゼンテーション資料から一部を示します。

SF2式

過去論文により冗長アーキテクチャに対応した新しいPMHF式を提案しました。これをここではAF2と呼びます。

$$ M_\text{PMHF}=(1-K_\text{IF,RF})\lambda_\text{IF}+K_\text{IF,RF}\lambda_\text{IF}\lambda_\text{SM}\left[(1-K_\text{MPF})T_\text{lifetime}+K_\text{MPF}\tau\right]\\ s.t.\quad K_\text{MPF}:=K_\text{IF,MPF}+K_\text{SM,MPF}-K_\text{IF,MPF}K_\text{SM,MPF} \tag{AF2} $$

一方で、規格第2版に掲載の以下のPMHF式をSF2と呼ぶと、明らかに両者は異なります。

ここでAF2のSPF項である$(1-K_\text{IF,RF})\lambda_\text{IF}$とSF2のSPF項である$\lambda_\text{SPF}+\lambda_\text{RF}$は等しいため、AF2とSF2の違いはDPF項のみとなります。

両方の式どうしが等しいことを簡単に証明します。まず、$K_\text{IF,RF}=0$とするとこれはSMが存在しない場合を表し、$\lambda_\text{SPF}=\lambda_\text{IF}$です。次に$K_\text{IF,RF}\ne0$の場合は、$\lambda_\text{RF}=(1-K_\text{IF,RF})\lambda_\text{IF}$であり、これはRFの定義式です。

SF2の状態遷移図

我々は2019年に日本で発行された第2版規格式の解説書により、SF2の導出過程には11か所の誤りがあることを識別しました。それを全て修正したものがAF2となることを今回のRAMS 2024で発表しました。最も重大な誤りであるステート遷移の誤りについてここに示します。

図738.1は規格式SF2の元になったと推測されるステート遷移図です。ただしこれは規格に書かれているわけではなく、図738.1のSF2から逆に求めた状態遷移図であることに注意が必要です。

修正したSF2の状態遷移図

規格のステート遷移図はIFとSMのリペアビリティが誤っていると考えるため、弊社では図738.3のようにグリーンで橋渡しを行い、SF2モデルを修正しました。弊社の考える規格の誤りは、初期のOK状態からIFもしくはSMの一方が非修理となっている点です。本来はIFもSMもリペアラブルでなくてはならないと考えます。

図738.2が図738.1のとおり、4つのパターンにしか対応していないのに対して、図738.3は無限のパターンに対応している点が異なります。

両者のリペアラビリティの違い

規格によるパターン分析は、DPFにおいて、SM⇒IFもしくはIF⇒SMの引き続くフォールト順の2つにケース分けをしている点で正しいように見えますが、修理順が誤っています。図738.2のように一旦SMのフォールトが起きると、それがリペアされても初期状態には戻らず、次はSMのフォールトしか許されていません。

一方、弊社の修正によれば図738.3のように、一旦リペアされればSMのフォールトでもIFのフォールトでも生起することが可能です。これが本来の意味のIFとSMのリペアラブルという意味です。

ただし、一見すると状態遷移図が複雑になったように見えます。

前のブログ 次のブログ

過去記事に記載のとおり、RAMS 2024は、2024年1月22日から25日まで、米国ニューメキシコ州アルバカーキのクライドホテルで開催されました。弊社代表は最終日に論文発表を行いました。

本論文のタイトルは、"Identifying and Rectifying the Potential Faults in the Probabilistic Metric (PMHF) Formula in ISO 26262"です。邦題は「ISO 26262における確率的メトリック式（PMHF）の潜在的フォールトの特定と修正」となります。潜在的フォールトもしくはシステマティックフォールトとは規格用語であり、一般的には、エラーとか誤りとか呼ばれる欠陥を意味します。

本論文は規格PMHF式の導出過程を分析することでPMHF式の問題点11か所を識別します。さらにそれらの問題点を全て修正すると、先に弊社が提案したPMHF式と一致することを示します。提案するPMHF式を使用することでPMHF値の過剰見積もりを防ぐことができます。従ってこのアプローチにより、自動運転に代表される高信頼システムの設計がより容易になることが期待されます。

質問は2件ありましたが、ほぼ同一内容でした。

Q: マルコフ連鎖状態遷移は時間依存であるのに、なぜPMHFは定数なのか？

A: マルコフ連鎖状態遷移で確率微分方程式を建てると、ご質問のように時間依存の関数となります。これは確率密度関数であり、具体的には修理を考慮した、我々の用語でいう不稼働確率密度です。これは定数として扱うことができる故障率と異なり時間依存の関数です。規格はこれについて車両寿命間の平均を取り、PMHFとして定数として扱います。

前のブログ 次のブログ

次は(15)の導出です。

論文"Generic Equations for a Probabilistic Metric for Random Hardware Failures According to ISO 26262"において、以下の2か所の式変形過程が分からないが、どうして次の式(13), (15)が導出されるのか？

(13)　省略、前ページで解説

これは既に過去ブログでも記載済みなのでその箇所を返信しました。

Equation (103.6) in the following blog post is what you are looking for.
次のブログ記事の式(103.6)があなたが探しているものです。
https://fs-micro.com/post/show/id/103.html
Here's the trick: we transform it using $F(t)$ instead of $R(t)$. Because our integral formula
ここにトリックがあります。$R(t)$の代わりに$F(t)$を用います。なぜなら、我々の積分公式
https://fs-micro.com/post/show/id/60
can be used.
が使えるからです。

返信の際に$F(t)$に言及したのは、読者の方がご自分で変形し、$R(t)$の形式を導出した後行き詰っていたのでヒントを示しています。以下に記事の(103.6)を再掲します。

よって、(103.1)に(103.1.5)、(103.1.3)、$\Pr\{\overline{\text{VSG of IF preventable}}\}=1-K_\text{IF,RF}$(100.3)を用いた上で、故障率(66.6)及びPUA(59.8)を適用すれば、平均PUDは、 $$ \begin{eqnarray} \overline{q_\text{SPF,IFU}}&=&\frac{1}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}(1-K_\text{IF,RF})R_\text{IF}(t)A_\text{SM}(t)\lambda_\text{IF}dt\\ &=&\frac{1-K_\text{IF,RF}}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}\left[1-Q_\text{SM}(t)\right]f_\text{IF}(t)dt\\ &=&\frac{1-K_\text{IF,RF}}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}f_\text{IF}(t)dt-\frac{1-K_\text{IF,RF}}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}Q_\text{SM}(t)f_\text{IF}(t)dt\\ &=&\frac{1-K_\text{IF,RF}}{T_\text{lifetime}}F_\text{IF}(T_\text{lifetime})\\ & &-\frac{1-K_\text{IF,RF}}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}\left[(1-K_\text{SM,MPF})F_\text{SM}(t)+K_\text{SM,MPF}F_\text{SM}(u)\right]f_\text{IF}(t)dt,\\ & &\text{ただし、}u:=t\bmod\tau \tag{103.1.6} \end{eqnarray} $$ よって、$F_\text{IF}(t)=1-e^{-\lambda_\text{IF}t}\approx\lambda_\text{IF}t$と近似する0におけるTaylor展開(すなわちMaclaurin展開)及び弊社積分公式により、 $$ \overline{q_\text{SPF,IFU}}\approx(1-K_\text{IF,RF})\lambda_\text{IF}-\frac{1-K_\text{IF,RF}}{2}\lambda_\text{IF}\lambda_\text{SM}\left[(1-K_\text{SM,MPF})T_\text{lifetime}+K_\text{SM,MPF}\tau\right]\\ \tag{103.1.7} $$

1st editionでは定期修理期間を$\tau$で表していましたが、2nd editionでは表記が$T_\text{service}$に変わりました。従って、 $$ \overline{q_\text{SPF,IFU}}\approx(1-K_\text{IF,RF})\lambda_\text{IF}-\frac{1}{2}(1-K_\text{IF,RF})\lambda_\text{IF}\lambda_\text{SM}\left[(1-K_\text{SM,MPF})T_\text{lifetime}+K_\text{SM,MPF}T_\text{service}\right] $$ となり、(15)が成立します。

前のブログ 次のブログ

台湾の読者からご質問を頂きました。原文は英語です。

論文"Generic Equations for a Probabilistic Metric for Random Hardware Failures According to ISO 26262"において、以下の2か所の式変形過程が分からないが、どうして次の式(13), (15)が導出されるのか？

(15)　省略、次ページで解説

当該論文の発表記事は#199です。そして式(13)の導出はブログに書かれていない部分の式変形です。そのため、今回新たにChatGPTに導出させたのでそれを示します。メールに英語で回答する都合上ChatGPTと英語で会話したので、併せて和訳を付けます。ChatGPTには元の式(13)の一部 $$ F_\text{SM}(T_\text{service})\sum_\text{i=0}^{n-1}R_\text{SM}(t-(i+1)T_\text{service}) $$ について変形させました。

ChatGPT:
The original equation is:
元の方程式は以下のとおりである。: $$ (1-R_\text{SM}(T_\text{service}))\sum_\text{i=0}^{n-1}R_\text{SM}(t-(i+1)T_\text{service}) $$ First, we apply the distributive law. This involves multiplying $1-R_\text{SM}(T_\text{service})$ with each term inside the summation. Doing so transforms the equation into:
まず、分配法則を適用する。これは$1-R_\text{SM}(T_\text{service})$を和の中の各項と乗算する。そうすることで次の式を得る。 $$ \sum_\text{i=0}^{n-1}\left[R_\text{SM}(t-(i+1)T_\text{service})-R_\text{SM}(T_\text{service}) R_\text{SM}(t-(i+1)T_\text{service})\right] $$ Next, we apply the product rule for reliability functions, which is $ R_\text{SM}(a)R_\text{SM}(b)=R_\text{SM}(a+b) $. It's important to remember that this rule applies only to terms in the form of $ R_\text{SM} $. We can apply this rule to the second term in the expanded equation:
次に、信頼性関数の積則を適用する。$R_\text{SM}(a)R_\text{SM}(b)=R_\text{SM}(a+b)$である。$R_\text{SM}$の形の項だけに適用されるので、この規則を展開された方程式の第2項に適用できる。 $$ \sum_\text{i=0}^{n-1}\left[R_\text{SM}(t-(i+1)T_\text{service})-R_\text{SM}(T_\text{service}+t- (i+1)T_\text{service})\right] $$ Upon simplifying further, the equation becomes:
さらに単純化すると方程式は次のようになる。 $$ \sum_\text{i=0}^{n-1}\left[R_\text{SM}(t-(i+1)T_\text{service})-R_\text{SM}(t-iT_\text{service})\right] $$ We can separate this into two distinct summations by splitting the terms within the summation:
我々は項を分割し2つの異なる和に分けることができる。 $$ \sum_\text{i=0}^{n-1}R_\text{SM}(t-(i+1)T_\text{service})-\sum_\text{i=0}^{n-1}R_\text{SM}(t-iT_\text{service}) $$ Now, to further transform the equation, we change the variable in the first summation from $i$ to $j=i+1$. This results in adjusting the limits of the summation as well. The transformed equation becomes:
この方程式をさらに変形するために、最初の和の変数を$i$から$j=i+1$に変更すると変換された方程式は次のようになる。 $$ \sum_\text{j=1}^{n} R_\text{SM}(t - jT_\text{service}) - \sum_\text{i=0}^{n-1} R_\text{SM}(t - iT_\text{service}) $$ We observe that for each term in the first summation, there is a corresponding term in the second summation that cancels it out, except for the terms at the boundaries. What remains are the terms for $j=n$ in the first summation and $i=0$ in the second summation. Therefore, the simplified result of the equation is:
最初の和の各項について、それを打ち消す2番目の和の対応する項があることがわかる。 残るのは、最初の和の$j=n$の項と、2番目の和の$i=0$の項である。 よって、この式を簡略化すると次のようになる。 $$ R_\text{SM}(t-nT_\text{service})-R_\text{SM}(t) $$ This represents the remaining terms after all other terms in the summations have canceled each other out.
これは、和の他の項がすべて相殺された後の残りの項を表している。

ここでこの結果を元の式(13)に代入し、$u\equiv t \bmod T_\text{service}=t-nT_\text{service}$とおけば、 $$ \begin{eqnarray} A_\text{SM}(t)&=&R_\text{SM}(t)+K_\text{SM,MPF}\left[R_\text{SM}(u)-R_\text{SM}(t)\right]\\ &=&(1-K_\text{SM,MPF})R_\text{SM}(t)+K_\text{SM,MPF}R_\text{SM}(u),\ \ \ \text{s.t. }u\equiv t \bmod T_\text{service} \end{eqnarray} $$ これにより論文(13)の最後の式が導出されました。

前のブログ 次のブログ