不稼働度$Q(t)$の導出準備

定期検査を持つリペアラブルエレメントの不稼働度(Unavailability, PUA)$Q(t)$の方程式は、世界で初めて弊社が導出したものです。このリペアラブルエレメントの不稼働度$Q(t)$の導出について解説します。

定義

不稼働度の定義は(66.10)に示します。

前提

一般にはSMにフォールトが起きても直ちにVSGとならないため、意図機能が動作している間に修理が可能であり、これをリペアラブルエレメントと言います。

図347.1のように、2nd SMによるSMに対する定期検査が、周期$\tau$で行われます。$i$番目の検査時刻は$\tau_i,\ i=1, ..., n$です。このときのSMの、時刻$t$での不稼働度を考えます。最近の検査時刻を$\tau_n$とすれば、 $$ \tau_n=n\tau=\lfloor\frac{t}{\tau}\rfloor\tau\tag{347.1} $$

前提をまとめると以下のようになります。

• 定期検査・修理をこれら時間間隔の総和であり、規格ではこれらを合わせたものを露出時間と呼ぶ。
• 2nd SMには診断カバレージ(DC)があるものの、このDCを$K_\text{FMC,MPF}$で表す。

なお、本稿はRAMS 2025に投稿予定のため一部を秘匿しています。

前のブログ 次のブログ

第5節は、前節で求めたPMHFの評価です。図のレイアウト上、空白が多めになっています。

規格はケース見落としにより、過剰なPMHFの見積もりとなっています。ということは保守的な見積もりであるため、安全側ではありますが、EOTTIとしてはその過剰見積もりが厳しい設計制約として見えてきます。

上図左は弊社による、EOTTIの最大値を示す不等式です。一方、上図右は、2nd editionに掲載されているEOTTIの最大値を示す不等式です。表に示すように、規格自体に含まれている例で計算すると、規格がPMHFを過大に見積もっていることから、EOTTIも過小見積もりとなっています。正しくは965時間で良いのに、規格式では31時間となり、その倍率は31倍ともなります。

結論として、規格に従えば、PMHFが保守的な見積もりであることから、EOTTIに関して31倍も設計が厳しくなります。

前のブログ 次のブログ

RAMS委員会から本日(2021年1月13日)連絡があり、本年1月末にフロリダ州オーランドで開催予定だったRAMS 2021は約4か月延期され、5月末同場所で開催されることになりました。詳細は以下の通りです。

前のブログ 次のブログ

第4節は弊社の導出したPMHF式を2つ示しています。IFU、IFRの2つのモデルを構築し、それぞれのモデルに基づいて確率微分方程式を立てます。それを解くことにより、PMHF方程式を求めます。

IFUモデルから求められたPMHF式は、1st editionの規格式とは完全に一致しました。一方、IFRモデルから求めると、2nd editionの規格式と一致しませんでした。その理由は、2nd editionの規格式は場合分けを行っており、それはIFもしくはSM1のいずれか(後からフォールトする方)がアンリペアラブルであるという前提になっているからです。

本来両方がリペアラブルである必要があり、いずれか片方がアンリペアラブルというのは不当な制約です。実際にIFがフォールトしてLFとなり、2nd SMにより検出され修理され、次にSM1がフォールトしてLFとなり、2nd SMにより検出され、修理工場で修理されるというシーケンスがカバーされていません。

前のブログ 次のブログ

第3節はモデルの構築です。ここで言うモデルは、構造と動作の2つの側面を持ちます。

構造は、左端図に示すとおり規格第2版に掲載されているもので、一種類のみです。

• 主機能であるIFと、
• 主機能がVSGとなるフォールトを抑止するための1st SMで、かつ主機能がLFとなることを抑止するための2nd SMであるSM1と、
• SM1がLFとなることを抑止するための2nd SMであるSM2

の3つのエレメントからなるものです。ここでは2つのモデルを構築しますが、構造は2つのモデルに共通です。

一方、動作は2とおりあります。その動作を連続時間系マルコフ連鎖で表したものが中及び右図です。SM2はフォールトしないので、フォールトの可能性は両方無し、IFのみ、SM1のみ、及びIF、SM1両方の4通りです。フォールト無しをグリーンのOPRステート、片方のみがフォールトしているのを黄色のLAT1またはLAT2ステート、両方がフォールトするDPFステートをDPF1またはDPF2ステートで表します。SPFステートは例外的に、IFに起きる単一フォールトがVSGとなるときに移行するステートです。

動作の違いは右図の赤丸で示した遷移のみであり、IFUモデルの動作が、IFがアンリペアラブルなのに比べてIFRモデルの動作は、IFはリペアラブルです。そのため、IFRモデルにおいては、IFのフォールトによりLAT1ステートに移行しても、2nd SMにより検出可能である場合は、修理によりOPRステートに戻ります。

前のブログ 次のブログ

第2節では、数学的な定義式を説明します。規格には数学的な定義が無いため、弊社独自の定義を考案しました。とはいえ、結果が規格と一致している必要があります。

PMHFは規格の文字通りの定義である、アイテムが車両寿命においてダウンしている確率を時間平均したものと定義します。時刻$t$においてダウンしている確率は、不稼働度関数$Q(t)$で表します。不稼働度$Q(t)$は不稼働密度$q(t)$を時刻$0$から$t$まで積分したものであり、不稼働密度$q(t)$の車両寿命間での平均$\bar{q}$を意味します。

それぞれの関数の意味は、ISO 14289の信頼性各種関数の定義というブログ記事に記載しています。

前のブログ 次のブログ

タイトルは論文と同じですが、Probabilistic Metric for Random Hardware Failuresの文字を赤く強調し、さらにカッコ書きでPMHFの注記を入れています。

論文の題名は、ISO 26262に適合したPMHFの一般式です。一般式の意味は、規格1st editionがSMのみがリペアラブルという特殊なサブシステムが対象だったのに対し、IFもSMもリペアラブルの場合という、冗長を含む一般的なサブシステムが対象であるという意味です。

第1節です。文字通り、PMHFとは何かを説明しています。

PMHFとは、自動車の機能安全設計において重要な目標数値で、おおよそシステム全体の故障率と言えます。車両サブシステムの設計者は、サブシステムの安全レベルに従った数値以下に減らさなければなりません。

図はヘッドライトにASIL-Aが、エンジン制御にASIL-Dが割り当てられている場合です。ヘッドライトは特に数値目標無し、エンジン制御はPMHFは10 FITで設計する必要があります。

PMHFの規格上の定義は、"車両寿命における単位時間当たりの平均(故障)確率"です。しかしながら、規格には数学的な定義がありません。

PMHF式は2011年発行の規格である1st editionから、2018年発行の2nd editionに改訂されました。図示するように、パターン3及び4の場合が追加されています。パターン1及び2が、SM1がリペアラブルなのに対して、パターン3及び4はIFがリペアラブルな場合です。IFがリペアラブルな場合は、SM1が代替しなければ直ちにVSGとなるため、実際には冗長構成となります。つまり、弊社のPMHF第1論文で2017年に指摘したとおり、1st editionで対応していない冗長サブシステムに対して、規格が2nd editionで対応したものと受け取ることができます。

しかしながら、その対応には問題がありました。その問題は、記事RAMS 2020ポスター解説 (5)により説明します。

前のブログ 次のブログ

本年1月にUSのパームスプリングスで開催された、第67回国際信頼性学会のRAMS 2020において、投稿論文に対するポスターセッションを行いました。

以下はそのポスターの図で、論文ではほとんど文字や数式でしたが、図や表を多用して解説したものです。これからそれを解説していきます。

前のブログ 次のブログ

A paper by Atsushi Sakurai, President of FS Micro, Inc. (Nagoya, Japan), an ISO 26262 functional safety (Note 1) consulting firm, has been accepted for publication on December 3, 2020, at the 67th RAMS 2021, an international conference on reliability sponsored by the IEEE (Note 2). RAMS 2021 (Note 3) will be held January 25-28, 2021, in Orlando, Florida, USA. The author's paper was accepted by RAMS for the second consecutive time, following in January 2020. The author also received the best paper award at the 14th ISPCE 2017 (Note 4), an international conference on product safety, in 2017.

The title of the paper is "A Framework for Performing Quantitative Fault Tree Analyses for Subsystems with Periodic Repairs." This paper proposes a method to correctly evaluate "Random Hardware Failure Probabilistic Metrics" (PMHF, Note 5) of automotive electronics using quantitative "Fault Tree Analysis" (FTA, Note 6).

In 2018, the second edition of ISO 26262, the international standard for functional safety in automotive electronics, was published. In this second edition, the mathematical definition of the PMHF formula is not clearly stated. Furthermore, the method of quantitative FTA is not clear, and therefore there were no guidelines for calculating the PMHF value, as a design target.

This paper provides a concrete framework for calculating PMHF values using quantitative FTAs, based on the PMHF formula presented by the same author at RAMS 2020 in January 2020. It prevents underestimation of the PMHF value. This paper is expected to improve the safety of fault-tolerant systems (Note 7), such as automated driving systems, and to deter accidents due to failures.

Notes
Note 1: Functional safety is the concept of improving safety at the system level by implementing various safety measures. ISO 26262 is an international standard for functional safety for electrical and electronic equipment in vehicles.
Note 2: IEEE is an abbreviation for Institute of Electrical and Electronics Engineers. It is the world's largest conference on electrical and electronic engineering technology in terms of the number of participants and countries.
Note 3: RAMS 2021 means The 67th Annual Reliability & Maintainability Symposium, an annual international conference on reliability engineering sponsored by the IEEE Reliability Society. http://rams.org/
Note 4: ISPCE is an abbreviation for IEEE Symposium on Product Compliance Engineering. It is an annual international conference on product safety sponsored by the IEEE Product Safety Society. http://2017.psessymposium.org/
Note 5: PMHF is an abbreviation for Probabilistic Metric for Random Hardware Failures. In automotive electrical and electronic systems, it is a design target value for hardware, averaging the probability of system failure over the lifetime of the vehicle.
Note 6: FTA is an abbreviation for Fault Tree Analysis. A deductive safety analysis method that quantitatively demonstrates the likelihood of hazardous events by constructing a tree structure of failure events and calculating the safety goal violation probability.
Note 7: A fault-tolerant system is a safety system that can substitute its original function without immediate loss of function in the event of a failure.

前のブログ 次のブログ

ISO 26262機能安全(注1)コンサルティングを提供するFSマイクロ株式会社(本社：名古屋市)代表取締役社長 桜井 厚の論文が、2020年12月3日、IEEE(注2)主催の信頼性に関する国際学会である第67回RAMS 2021(注3)に採択されました。RAMS 2021は、2021年1月25日から28日まで、米国フロリダ州オーランドにて開催される予定です。同著者の論文がRAMSで採択されるのは、2020年1月に続いて2年連続となります。また、同著者は2017年に製品安全に関する国際学会である第14回ISPCE 2017(注4)において、最優秀論文賞を受賞しています。

論文の題名は「A Framework for Performing Quantitative Fault Tree Analyses for Subsystems with Periodic Repairs」であり、邦題は「定期修理を伴うサブシステムにおける定量フォールトツリー解析のためのフレームワーク」です。本論文は、定量「フォールトツリー解析」(FTA, 注5)を用いて、車載電子機器の「ランダムハードウェア故障の確率的メトリクス」(PMHF, 注6)を正しく評価する手法を提案します。

2018年に、車載電子機器における機能安全の国際規格であるISO 26262の第2版が発行されました。この第2版にはPMHF式の数学的な定義は明確に記載されていません。さらに定量FTAの手法も明確ではないため、設計目標であるPMHF値を算出するためのガイドラインがありませんでした。

本論文は、2020年1月に開催されたRAMS 2020で同著者が発表したPMHF式に基づき、定量FTAを用いてPMHF値を算出するための具体的なフレームワークを提供します。それによりPMHF値の過小見積りを防止することが可能となります。本論文により、自動運転システムに代表される耐故障システム(注7)の安全性が向上し、故障による事故が抑止されることが期待されます。

【お問い合わせ先】
商号　　　　　 FSマイクロ株式会社
代表者　　　　 桜井 厚
設立年月日　　 2013年8月21日
資本金　　　　 3,200万円
事業内容　　　 ISO 26262車載電子機器の機能安全のコンサルティング及びセミナー
本店所在地　　 〒460-0011
　　　　　　　 愛知県名古屋市中区大須4-1-57
電話　　　　　 052-263-3099
メールアドレス info@fs-micro.com
URL　　　　　 http://fs-micro.com/

【注釈】
注1：機能安全は、様々な安全方策を講じることにより、システムレベルでの安全性を高める考え方。ISO 26262は車載電気・電子機器を対象とする機能安全の国際規格
注2：IEEE(アイトリプルイー)は、Institute of Electrical and Electronics Engineersの略称。電気工学・電子工学技術に関する、参加人数、参加国とも世界最大規模の学会 https://www.ieee.org/
注3：RAMS(ラムズ)は、The 67th Annual Reliability & Maintainability Symposiumの略称。IEEE信頼性部会が毎年主催する、信頼性工学に関する国際学会 http://rams.org/
注4：ISPCE(アイスパイス)は、IEEE Symposium on Product Compliance Engineeringの略称。IEEE製品安全部会が毎年主催する、製品安全に関する国際学会 http://2017.psessymposium.org/
注5：FTA(エフティーエー)は、Fault Tree Analysisの略称。故障事象をツリー構造で構築し、安全目標侵害確率を算出することにより、危険事象の起きる可能性を定量的に論証する演繹的な安全分析手法
注6：PMHF(ピーエムエイチエフ)は、Probabilistic Metric for Random Hardware Failuresの略称。車載電気・電子システムにおいて、車両寿命間にシステムが不稼働となる確率を時間平均した、ハードウェアに関する設計目標値
注7：耐故障システムは、故障した場合に直ちに機能を失うことなく、本来の機能を代替することができる安全性向上のためのシステム

前のブログ 次のブログ