引き続き、前稿の発展形の積分公式を載せておきます。本稿では次の(357.1)及び(357.2)を求めます。 $$ \frac{1}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}R_\text{SM}(t)f_\text{IF}(t)dt\tag{357.1} $$

$$ \frac{1}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}R_\text{SM}(\color{red}{u})f_\text{IF}(t)dt,\ \ s.t.\ \ u:=t\bmod\tau\tag{357.2} $$ まず、(357.1)式に、$R_\text{SM}(t)=e^{-\lambda_\text{SM}t}$及び、$f_\text{IF}(t)=\lambda_\text{IF} e^{-\lambda_\text{IF} t}$を代入し、 $$ (357.1)=\frac{1}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}e^{-\lambda_\text{SM}t}\lambda_\text{IF}e^{-\lambda_\text{IF}t}dt=\frac{\lambda_\text{IF}}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}e^{-(\lambda_\text{SM}+\lambda_\text{IF})t}dt\\ =\frac{\lambda_\text{IF}}{T_\text{lifetime}}\left[\frac{e^{-(\lambda_\text{SM}+\lambda_\text{IF})t}}{-(\lambda_\text{SM}+\lambda_\text{IF})}\right]^{T_\text{lifetime}}_0 =\frac{\lambda_\text{IF}}{T_\text{lifetime}(\lambda_\text{SM}+\lambda_\text{IF})}\left(1-e^{-(\lambda_\text{SM}+\lambda_\text{IF})T_\text{lifetime}}\right)\tag{357.3} $$ ここで$\lambda t\ll 1$の条件で$e^{-\lambda t}$のMaclaurin展開は $$ e^{-\lambda t}=1-\lambda t + \frac{1}{2}\lambda^2 t^2-O((\lambda t)^3) $$ となるため、$O((\lambda t)^3)\approx 0$と近似し、これを(357.3)に代入すると、 $$ \require{cancel} (357.3)\approx\frac{\lambda_\text{IF}}{\bcancel{T_\text{lifetime}}\bcancel{(\lambda_\text{SM}+\lambda_\text{IF})}} \left(\bcancel{(\lambda_\text{SM}+\lambda_\text{IF})}\bcancel{T_\text{lifetime}} -\frac{1}{2}(\lambda_\text{SM}+\lambda_\text{IF})^\bcancel{2}{T_\text{lifetime}}^\bcancel{2}\right)\\ =\lambda_\text{IF}\left(1-\frac{1}{2}(\lambda_\text{SM}+\lambda_\text{IF})T_\text{lifetime}\right) =\lambda_\text{IF}-\frac{\lambda_\text{IF}}{2}(\lambda_\text{IF}+\lambda_\text{SM})T_\text{lifetime}\tag{357.4} $$ 以上から次のように(357.1)の値が求められました。 $$ \frac{1}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}R_\text{SM}(t)f_\text{IF}(t)dt\approx\lambda_\text{IF}\left(1-\frac{1}{2}(\lambda_\text{SM}+\lambda_\text{IF})T_\text{lifetime}\right)\tag{357.5} $$

次に(357.2)式はやや複雑になりますが、基本的には同様な計算を行います。まず、$u:=t\bmod\tau$であることから、$t=i\tau+u, i=0, 1, 2, ..., n-1, T_\text{lifetime}=n\tau$とおき、$t$を$i$と$u$で表します。従って(357.2)に$R_\text{SM}(u)=e^{-\lambda_\text{SM}u}$及び、$f_\text{IF}(i\tau+u)=\lambda_\text{IF} e^{-\lambda_\text{IF}(i\tau+u)}$を代入し、 $$ (357.2)=\frac{1}{T_\text{lifetime}}\sum_{i=0}^{n-1} \int_{i\tau}^{(i+1)\tau}e^{-\lambda_\text{SM}u}\lambda_\text{IF}e^{-\lambda_\text{IF}(i\tau+u)}du\\ =\frac{\lambda_\text{IF}}{T_\text{lifetime}}\sum_{i=0}^{n-1}e^{-\lambda_\text{IF}i\tau}\int_0^{\tau}e^{-(\lambda_\text{SM}+\lambda_\text{IF})u}du\tag{357.6} $$ ここで、$\sum_{i=0}^{n-1}e^{-\lambda_\text{IF}i\tau}$を計算すると、等比数列の和及びMaclaurin展開の1次近似より、 $$ \sum_{i=0}^{n-1}e^{-\lambda_\text{IF}i\tau} =\frac{1-e^{-\lambda_\text{IF}T_\text{lifetime}}}{1-e^{-\lambda_\text{IF}\tau}} \approx\frac{\bcancel{\lambda_\text{IF}}T_\text{lifetime}}{\bcancel{\lambda_\text{IF}}\tau} =\frac{T_\text{lifetime}}{\tau}\tag{357.7} $$ これを用いて、 $$ (357.5)=\frac{\lambda_\text{IF}}{\bcancel{T_\text{lifetime}}}\frac{\bcancel{T_\text{lifetime}}}{\tau}\left[\frac{e^{-(\lambda_\text{SM}+\lambda_\text{IF})u}}{-(\lambda_\text{SM}+\lambda_\text{IF})}\right]^{\tau}_0 =\frac{\lambda_\text{IF}}{\tau(\lambda_\text{SM}+\lambda_\text{IF})}\left(1-e^{-(\lambda_\text{SM}+\lambda_\text{IF})\tau}\right)\tag{357.8} $$ 同様にMaclaurin展開の2次近似を用いると、 $$ e^{-\lambda t}\approx1-\lambda t + \frac{1}{2}\lambda^2 t^2 $$ より、 $$ (357.7)\approx\frac{\lambda_\text{IF}}{\bcancel{\tau(\lambda_\text{SM}+\lambda_\text{IF}})} \left(\bcancel{(\lambda_\text{SM}+\lambda_\text{IF})\tau} -\frac{1}{2}(\lambda_\text{SM}+\lambda_\text{IF})^\bcancel{2}\tau^\bcancel{2}\right)\\ =\lambda_\text{IF}\left(1-\frac{1}{2}(\lambda_\text{SM}+\lambda_\text{IF})\tau\right) =\lambda_\text{IF}-\frac{\lambda_\text{IF}}{2}(\lambda_\text{IF}+\lambda_\text{SM})\tau\tag{357.9} $$ 以上から次のように(357.2)の値が求められました。 $$ \frac{1}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}R_\text{SM}(u)f_\text{IF}(t)dt\approx\lambda_\text{IF}\left(1-\frac{1}{2}(\lambda_\text{SM}+\lambda_\text{IF})\tau\right),\ \ s.t.\ \ u:=t\bmod\tau\tag{357.10} $$

前のブログ 次のブログ

積分公式に引き続き、次の(356.1)及び(356.2)について、あらかじめ結果を導出しておき、積分公式として使用します。 $$ \frac{1}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}R_\text{SM}(t)dt\tag{356.1} $$ 及び $$ \frac{1}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}R_\text{SM}(u)dt,\ \ s.t.\ \ u:=t\bmod\tau\tag{356.2} $$ まず、(356.1)式に、$R_\text{SM}(t)=e^{-\lambda_\text{SM}t}$を代入し、 $$ \require{cancel} \begin{eqnarray} (356.1)&=&\frac{1}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}e^{-\lambda_\text{SM}t}dt=\frac{1}{T_\text{lifetime}}\left[-\frac{e^{-\lambda_\text{SM}t}}{\lambda_\text{SM}}\right]^{T_\text{lifetime}}_0\\ &=&\frac{1}{T_\text{lifetime}\lambda_\text{SM}}\left(1-e^{-\lambda_\text{SM}T_\text{lifetime}}\right)\\ \end{eqnarray}\tag{356.3} $$ ここで$\lambda t\ll 1$の条件で$e^{-\lambda t}$のMaclaurin展開は $$e^{-\lambda t}=1-\lambda t + \frac{1}{2}\lambda^2 t^2-O((\lambda t)^3)$$であるから、$O((\lambda t)^3)\approx 0$と近似し、これを(356.3)に代入すると(356.3)は、 $$ \begin{eqnarray} (356.3)&\approx&\frac{1}{\bcancel{T_\text{lifetime}\lambda_\text{SM}}}\left(\bcancel{\lambda_\text{SM}}\bcancel{T_\text{lifetime}}-\frac{1}{2}\lambda_\text{SM}^\bcancel{2}T_\text{lifetime}^\bcancel{2}\right)\\ &=&1-\frac{1}{2}\lambda_\text{SM}T_\text{lifetime} \end{eqnarray}\tag{356.4} $$ 以上から次のように(356.1)の値が求められました。

$$ \frac{1}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}R_\text{SM}(t)dt\approx1-\frac{1}{2}\lambda_\text{SM}T_\text{lifetime}\tag{356.5} $$ 次に(356.2)は、 $$ \begin{eqnarray} (356.2)&=&\frac{1}{T_\text{lifetime}}\sum_{i=0}^{n-1}\int_{i\tau}^{(i+1)\tau}e^{-\lambda_\text{SM}u}du =\frac{n}{T_\text{lifetime}}\int_0^\tau e^{-\lambda_\text{SM}u}du\\ &=&\frac{\bcancel{n}1}{\bcancel{T_\text{lifetime}}\tau}\left[\frac{e^{-\lambda_\text{SM}u}}{-\lambda_\text{SM}}\right]^{\tau}_0 =\frac{1}{\tau\lambda_\text{SM}}\left(1-e^{-\lambda_\text{SM}\tau}\right) \end{eqnarray}\tag{356.6} $$ ここで同様に、$$e^{-\lambda t}\approx1-\lambda t + \frac{1}{2}\lambda^2 t^2$$を用いて、 $$ \begin{eqnarray} (356.3)&\approx&\frac{1}{\bcancel{\tau\lambda_\text{SM}}}\left(\bcancel{\lambda_\text{SM}}\bcancel{\tau}-\frac{1}{2}\lambda_\text{SM}^\bcancel{2}\tau^\bcancel{2}\right)\\ &=&1-\frac{1}{2}\lambda_\text{SM}\tau \end{eqnarray}\tag{356.7} $$ 以上から次のように(356.2)の値が求められました。 $$ \frac{1}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}R_\text{SM}(u)dt\approx1-\frac{1}{2}\lambda_\text{SM}\tau,\ \ s.t.\ \ u:=t\bmod\tau\tag{356.8} $$

前のブログ 次のブログ

動機

長い間MPF detectedの扱いに疑問が潜在していました。弊社では、MPF detectedは結局修理されないので、いつの日か2つ目のSMのフォールトによりDPFとなると考えます。従って、MPF detectedは結局MPF latent (=LF)となるとした上でPMHF式を導出しています。しかしながら、この考え方には、次の2点の問題があります。

• 規格のフォールト分類フローでは、MPF detectedとMPF latentが分離されているにも関わらず、弊社ではどちらもMPF latentと扱っているため、規格のフォールト分類と矛盾する。
• 規格LFMの計算式にMPF detectedが入っていない。これは、規格はMPF detectedは安全側だと考えているためだと推測されるが、弊社では上記の理由から危険側としている。

そこで、これらを満足する方法を検討します。最初の論文で導入された、SM1による検出率を意味する次の条件付き確率$K_\text{det}$を、ここで再び使用します。 $$ K_\text{det}:=\Pr\{\text{Fault detected}\ |\ \text{Fault prevented}\}\tag{355.1} $$

これはFMCというよりも、アーキテクチャ的に次のように0または1の値をとります。

• 検出系(非冗長系)：1st SMはIFのフォールトを検出することによりVSG抑止を行う場合。この場合は検出するから抑止されるのであり、抑止される部分に対する検出される割合は100%です。すなわち$K_\text{det}=1$となります。
• 冗長系：1st SMはIFの代替機能を持つことによりVSG抑止を行う場合。この場合はVSG抑止はしますが、1st SMは一切検出を行いません。従って、抑止される部分の検出される割合は0%です。すなわち$K_\text{det}=0$となります。また、両チャネルが同時にフォールトすることは無いため、VSG抑止率は100%、すなわち$K_\text{IF,RF}=1$となります。

さて、MPF detectedの考え方ですが、主機能のVSGが抑止されているので、運転はできないかもしれないものの、とりあえず安全状態は保たれます。従ってSPFもDPFも発生しません。しかるべき時間後に(レッカー車で)修理工場へ持っていき、修理が行われ、その後に運転が継続できると考えます。

主機能は動作しないので、通電はされず、運転時間は増大しません。従って、故障から修理までの時間は無視することができるので、1st SMにより検出された故障は瞬間的に修理された＝故障が起きなかったのと等価です。

やや無理がある解釈の感がありますが、今回このように仮定してPMHF式の導出を進めることにします。 ブログ記事#361に続きます。

RAMS 2022においてMPF detectedの再考に基づくPMHF式の論文発表が終了したため、秘匿部分を開示します。

前のブログ 次のブログ

引き続き、お客様との会話をシェアします。

Q. ソフトエラーはどう考えたら良いでしょうか？

A. ソフトエラーには、例えばメモリ化けのようなものが有ります。ハードウェアが恒久的に故障するのではなく、α線や中性子線等の放射線、もしくはノイズ等の原因により、記憶していた論理が反転することを指します。従って、正しいデータに再記憶すれば問題なく運用することが可能です。

メモリには、しばしば1bitの反転が起こりますが、この故障モードはSBU(Single Bit Upset)と呼ばれます。

元々ソフトエラーはダイナミックなメモリにのみ顕著に起こり、そのためにDRAMにはソフトエラーの検出・訂正のためにECCが設けられていました。近年のようにプロセステクノロジが進んでくると、従来は問題にならなかったロジックのソフトエラーも見えてくるようになったため、ロジックのソフトエラー対策が必要になります。

具体的なエレメントとしてはバスがあります。バスは昔は単なるアルミ配線でしたが、近年のAXI4になると巨大なマルチプレクサで構成されます。そのためバスマトリクスのソフトエラー対策として、end-to-endのECCを設けることがしばしば見られます。

前のブログ 次のブログ

引き続き、お客様との会話をシェアします。

Q. ISO 26262規格ではエレメントの独立とはどの程度やれば良いのでしょうか。規格では何か特定の定められた方策があるのでしょうか？

A. ISO 26262では具体的な技術的方策は規定していません。その理由は、技術は時間的に変わっていくものだからです。規格では変わらない根本の考え方を規定しています。

規格での「独立」の定義は、「エレメント間に従属故障が無いこと」です。ここで「従属故障」とは「カスケード故障」及び「共通原因故障」の2種を意味します。ここで故障は、基本的には同時に起こらないことが前提となっています。その例外が以下に述べる2つの従属故障です。

まず「カスケード故障」とは、あるエレメントが故障し、その結果として他のエレメントが故障する場合を指します。

一方、「共通原因故障」はそれぞれのエレメントには関連が無いものの、同じIPを使用していたり、同じソフトウェアを使用していたりすることで、故障が同時に起こることを指します。

従って、独立性はこのような観点から確認することになります。

前のブログ 次のブログ

お客様との会話において、コンサルティングが必要な理由を説明する機会がありましたので、シェアします。

Q. 社内標準プロセスがしっかりしていれば、スムーズに機能安全活動が可能でしょうか？

A. 機能安全活動のポイントのひとつに、ワークプロダクトを何十種類も、効率的に作成することがあります。社内で、どのワークプロダクトを、どのようなフェーズにおいて作成するかが定められていなければなりません。これは社内標準がきちんと整備されていることを要求しますが、それだけにとどまりません。なぜなら実際にはそれ以外に手順書が必要だからです。

抽象度の高い順に、規格(ISO 26262)⇒標準(社内)⇒手順書(部署内)となります。

弊社の経験では、強力な品質保証部隊を持つお客様において、社内標準はしっかり整備されていましたが、それには具体的な手順までは書かれていないため、現場では苦労がありました。標準には「何を記述するか」は書かれているものの、「どのように手を動かして導出するか」が書かれていないためです。初めてのエンジニアにとって、「どのように」がなければ実際には実施することはできません。二度目であれば暗黙知、もしくは手順書の執筆による形式知により、初めてのエンジニアでも実施可能になるのですが。

以上から逆説的ですが、標準プロセスがしっかりしていても、何らかの手助け(＝手順書)が無ければ機能安全活動が満足には実施できません。従って、これは弊社のようなコンサルティングが必要になる理由のひとつです。

前のブログ 次のブログ

前稿の式を評価します。

$$ A_\text{SM}(t)=R_\text{SM}(t)+K_\text{SM,FMC,MPF}\left[-R_\text{SM}(t)+R_\text{SM}(u)\right]\\ =R_\text{SM}(t)+K_\text{SM,FMC,MPF}\left[F_\text{SM}(t)-F_\text{SM}(u)\right]\\ \text{s.t. }u:=t-n\tau=t-\lfloor\frac{t}{\tau}\rfloor\tau\tag{351.1} $$ 教科書等のとおり、稼働度は信頼度と修理度の和で表され、(351.1)式の$$ K_\text{SM,FMC,MPF}\left[F_\text{SM}(t)-F_\text{SM}(u)\right] $$ は修理度を意味します。この式は、最期の区間を除いた全ての区間において起きた検出可能フォールトは、その検査周期の最後で完全に修理され、最後の区間のみが修理が行われないことを表しています。

このように、修理度は故障した部分に基づき不信頼度で表すのが便利なので、(351.1)のように、稼働度は信頼度と不信頼度で表されます。

一方、不稼働度は、 $$ Q_\text{SM}(t)=1-A_\text{SM}(t)=F_\text{SM}(t)-K_\text{SM,FMC,MPF}\left[F_\text{SM}(t)-F_\text{SM}(u)\right]\\ =\img[-1.35em]{/images/withinseminar.png}\\ \ \text{s.t. }u:=t-n\tau=t-\lfloor\frac{t}{\tau}\rfloor\tau\tag{351.2} $$ のように、不信頼度とマイナスの修理度の和で表されるので、結果として不稼働度は(351.2)のように不信頼度とSMの検出カバレージで表されます。

なお、本稿はRAMS 2025に投稿予定のため一部を秘匿しています。

前のブログ 次のブログ

3. 稼働度の定義からの導出

ついでに既出ですが、リペアラブルエレメントの不稼働度$Q(t)$の数式的な求め方を示します。基本的にはブログ記事に示す導出方法です。

$$ Q_\text{SM}(t):=\Pr\{\text{(repairable)SM down at }t\}=1-A_\text{SM}(t)\tag{350.1} $$ 一方、稼働度は、 $$ A_\text{SM}(t):=\Pr\{\text{(repairable)SM up at }t\}\\ =R(t)+\int_0^t m(x)R(t-x)dx\tag{350.2} $$ ここで、$A(t)$は時刻tにおけるポイントアベイラビリティ、$R(t)$は時刻tにおけるリライアビリティ(信頼度)、$m(t)$は時刻tにおけるリニューアル密度(修理密度)です。

規格に従えば、修理周期は教科書一般にあるように指数関数分布はとらず、定期的に$\tau$毎に行われるため、稼働度として(350.2)は(350.3)と表せます。ここで、$i$は$i$番目の定期検査・修理を意味し、時刻$t$までに$n$回の定期検査・修理が行われるものとします。 $$ A_\text{SM}(t)=R_\text{SM}(t)+K_\text{SM,MPF}F_\text{SM}(\tau)\sum_{i=1}^n R_\text{SM}(t-i\tau)\tag{350.3} $$ ここで、$K_\text{SM,FMC,MPF}$は少々長いので、$K_\text{SM,MPF}$と省略しました。PMHFの議論中のKはFMC(Failure Mode Coverage)に決まっているためです。

修理分$K_\text{SM,MPF}F_\text{SM}(\tau)$が時刻$t$の関数でないのは、検出能力$K_\text{MPF}$は一定で、かつ毎回の故障確率も一定で、検出した分は全て修理されるため、修理分が一定となるためです。(350.3)式の総和を展開すれば、 $$ \require{cancel} A_\text{SM}(t)=R_\text{SM}(t)+K_\text{SM,MPF}\left[1-R_\text{SM}(\tau)\right]\cdot\\ \left[R_\text{SM}(t-\tau)+R_\text{SM}(t-2\tau)+...+R_\text{SM}(t-(n-1)\tau)\right]\\ =R_\text{SM}(t)+K_\text{SM,MPF}\left[\bcancel{R_\text{SM}(t-\tau)}-R_\text{SM}(t)\\ +\bcancel{R_\text{SM}(t-2\tau)}-\bcancel{R_\text{SM}(t-\tau)}\\ ...\\ +R_\text{SM}(t-n\tau)-\bcancel{R_\text{SM}(t-(n-1)\tau)}\right]\\ =R_\text{SM}(t)+K_\text{SM,MPF}\left[-R_\text{SM}(t)+R_\text{SM}(t-n\tau)\right] \tag{350.4} $$ ここで、$u:=t-n\tau$とパラメータ$u$を定義し、(350.1)に(350.4)を代入すれば、 $$ Q_\text{SM}(t)=1-A_\text{SM}(t)=F_\text{SM}(t)-K_\text{SM,MPF}\left[F_\text{SM}(t)\bcancel{-1}+\bcancel{1}-F_\text{SM}(u)\right]\\ =\img[-1.35em]{/images/withinseminar.png} \tag{350.5} $$ 以上から、(348.1)、(349.3)、(350.5)で示されたように、導出手法は異なっても同一のPUA方程式が導出されることがわかります。

このリペアラブルエレメントの不稼働度$Q(t)$(350.5)及び、それを時間微分した不稼働密度$q(t)$の方程式(350.6)は、PMHF方程式の導出の根幹です。

$$ q_\text{SM}(t)=\frac{dQ_\text{SM}(t)}{dt}=(1-K_\text{SM,MPF})\frac{dF_\text{SM}(t)}{dt}+K_\text{SM,MPF}\frac{dF_\text{SM}(u)}{du}\frac{du}{dt}\\ =\img[-1.35em]{/images/withinseminar.png} \tag{350.6} $$

なお、本稿はRAMS 2025に投稿予定のため一部を秘匿しています。

前のブログ 次のブログ

2. 愚直に場合分けする導出法

前稿のようにエレガントに導出するのではなく、全ての場合を愚直に場合分けすることを行います。そのほうが抜け漏れが防止でき、確実そうです。

ただし、任意の検査時刻$\tau_i,\ i=1,...,n$で考えると、区間がn+1個、検査がn回であるため、区間$[\tau_{i-1}, \tau_i)$でのフォールトの生起有/無が$2^{(n+1)}$とおり、検査時点$\tau_i$でのフォールト検出可/不可が$2^n$とおりあるので、検討の組み合わせが$2^{(2n+1)}$とおりと膨大になります。

ところが幸いなことに、フォールト検出は確率的に行われるのではなく、アーキテクチャ的に行われる前提です(ブログ記事の前提の2項を参照)。従って、いつフォールトが起きてもその次の周期での検査(時刻=$\tau_i$)ではなく、最近の検査(時刻=$\tau_n$)まで です。

従って、フォールトの生起を単に「生起」、フォールトの検出を単に「検出」と省略して書けば、最近の検査までの生起の有/無、最近の検査での検出の可/不可、その後の生起の有/無の$2^3$とおりを考えれば良いわけです。この絞り込みは愚直とは言えず、むしろエレガントかもしれませんが。

この絞り込みを表現するために、3つ組記法を考え、

　(($0$から$\tau_n$までの生起の有/無),($\tau_n$での検出の可/不可),($\tau_n$からtまでの生起の有/無))

の全ての組み合わせを考えます。有/無や可/不可をYes(有)/No(無)で表せば、全ての場合は$2^3$とおりあり、

1. (Yes, Yes, Yes)
2. (Yes, No, Yes)
3. (Yes, Yes, No)
4. (Yes, No, No)
5. (No, Yes, Yes)
6. (No, No, Yes)
7. (No, Yes, No)
8. (No, No, No)

の8とおりです。このうち、時刻$t$でSMが不稼働状態になるのは、

1. (Yes, Yes, Yes)⇒不稼働
2. (Yes, No, Yes)⇒不稼働
3. (Yes, Yes, No)
4. (Yes, No, No)⇒不稼働
5. (No, Yes, Yes)⇒不稼働
6. (No, No, Yes)⇒不稼働
7. (No, Yes, No)
8. (No, No, No)

の1, 2, 4, 5, 6の5とおりです。これらの不稼働になる場合を、真ん中の検出可(=Yes)でまとめれば、

　1. (Yes, Yes, Yes)⇒不稼働
　5. (No, Yes, Yes)⇒不稼働

の2とおりとなります。検出可の条件で不稼働となる確率は、上記の2とおりです。従って、この条件での時刻$t$での不稼働確率は、次の確率式 $$ \Pr\{\text{fault detected at }\tau_n\ \cap\ \text{SM receives a fault in }(\tau_n, t]\}\tag{349.1} $$ で表されます。

一方、真ん中の検出不可(=No)でまとめれば、

　2. (Yes, No, Yes)⇒不稼働
　4. (Yes, No, No)⇒不稼働
　6. (No, No, Yes)⇒不稼働

の2, 4, 6の3とおりとなります。検出不可の条件で不稼働となる確率は、上記の3とおりです。従って、この条件での時刻$t$での不稼働確率は、次の確率式 $$ \Pr\{\text{fault not detected at }\tau_n\ \cap \text{SM receives a fault in }(0, t]\}\tag{349.2} $$ で表されます。

以上から、

1. 検出の可不可のそれぞれの場合は排反事象である(ためそれぞれの確率は足すことができる)
2. フォールトの生起と検出可不可はそれぞれ独立事象である(ため積事象の場合それぞれの確率は掛けることができる)

従って、不稼働度は、(349.1)と(349.2)を用いて $$ Q_\text{SM}(t)\equiv\Pr\{\text{SM is down at }t\}\\ =\Pr\{\text{fault not detected at }\tau_n\ \cap \text{SM receives a fault in }(0, t]\ \cup\\ \text{fault detected at }\tau_n\ \cap\ \text{SM receives a fault in }(\tau_n, t]\}\\ =\Pr\{\text{fault not detected at }\tau_n\}\Pr\{\text{SM receives a fault in }(0, t]\}\\ +\Pr\{\text{fault detected at }\tau_n\}\Pr\{\text{SM receives a fault in }(\tau_n, t]\}\\ =\img[-1.35em]{/images/withinseminar.png} \tag{349.3} $$ と導出されます。

なお、本稿はRAMS 2025に投稿予定のため一部を秘匿しています。

前のブログ 次のブログ

1. エレガントな導出法

図347.1を以下に再掲します。

図347.1において、SMが$t$においてダウンしている確率を考えます。SMに起こったフォールトが、任意の$\tau_i$で2nd SMにより検出可能(=修理可能)か不可能かで分類します。

• 検出可能な場合：時刻$0$から$\tau_n$未満の間にフォールトが起きる場合、次の定期検査$\tau_i\ (i=1,...,n)$の時点で検出され修理されるので、最近の検査時刻$\tau_n$でフォールトはありません。あるいは、フォールトが起きない場合も$\tau_n$の時点ではフォールトはありません。従って、時刻$t$でダウンしている確率は$\tau_n$直後から$t$までの間にフォールトが起きる場合に限られます。
• 検出不可能な場合：2nd SMが無いのと同じことであるため、全ての時間、つまり時刻$0$から$t$までの間にフォールトが起きる確率、すなわち不信頼度$F(t)$が、時刻$t$でダウンしている確率となります。

以上を合わせ、SMが時刻$t$でダウンしている確率を求めます。

1. 検出の可不可のそれぞれの場合は排反事象である(ためそれぞれの確率は足すことができる)
2. フォールトの生起と検出可不可はそれぞれ独立事象である(ため積事象の場合それぞれの確率は掛けることができる)

上記から不稼働度は、

$$ Q_\text{SM}(t)\equiv\Pr\{\text{SM is down at }t\}\\ =\Pr\{\text{fault not detected at }\tau_n\ \cap \text{SM recieves a fault in }(0, t]\ \cup\\ \text{fault detected at }\tau_n\ \cap\ \text{SM recieves a fault in }(\tau_n, t]\}\\ =\Pr\{\text{fault not detected at }\tau_n\}\Pr\{\text{SM recieves a fault in }(0, t]\}\\ +\Pr\{\text{fault detected at }\tau_n\}\Pr\{\text{SM recieves a fault in }(\tau_n, t]\}\\ =\img[-1.35em]{/images/withinseminar.png} \tag{348.1} $$ と導出されます。

なお、本稿はRAMS 2025に投稿予定のため一部を秘匿しています。

前のブログ 次のブログ