因数分解

前稿のMCSにおいて因数分解を行います。このステップは必須のステップではありません。論理的には前のツリーと等価なツリーなのですが、冗長構成となっていることをひとめで明らかにするために因数分解を行います。上記のMCS論理式を因数分解したものを以下のFTに示します。因数分解はAND-OR形式をOR-AND形式に変換するものですが、残念ながら自動的には困難であるため、人力で行います。

図29.1 FTA例のMCSと等価のFT

論理等価なのでMCSは上記MCSと同じです。メインマイコン各部(8箇所)の故障とサブマイコン各部(8箇所)の故障が互いに主機能・安全機構の関係となりSPFを防止しており、共通部分の回路のみがSPFとなっていることがひとめでわかります。MCの数は前と同じく8×8+1=65項となります。

ISO26262の目的は安全に関する論証なので、このようにアセッサー等の第三者が見てわかりやすいドキュメントを生成することが重要です。マイコンやLSIのように比較的故障率の大な部品を使用する際に、マイコン単体でASIL-Dを達成するのは困難ですが、このような冗長構成をとればSPF/RFが冗長部分で微小となるため、ASIL-D対応が可能となります。

---

前のブログ 次のブログ

実際の例

システムFTAの実例をご紹介します。これはあるECUの安全分析を実施したもので、メインマイコンとサブマイコンによる冗長制御を行っているECUの例です。電源回路は共通で、共通の信号が両マイコンに入力され、両マイコンの出力が揃って初めて動作するという回路構成となっています。主機能としてはマイコンはひとつで成立するのですが、ECUがASIL-D対応をする必要があるため、冗長構成をとり故障率を低減しています。

システムFTAと称する理由は、基事象が部品の故障モードではなく、エレメントの故障モードとなっているためです。

トップ事象を侵害する分析は、このように一般的に非常に複雑になり、マイコンの故障が複数個所に出てくることになります。以下はFTの図です。

図28.1 ECUのFTA例

MCSの導出

この例のMCSを取得したものが以下の図です。SAPHIREにより155個の積項(ミニマルカット=MC)が得られました。カラムは順番に、その事象の「連番」、「ケース」、「確率」、「確率のパーセント表記」、「ミニマルカット」です。

〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜 図28.2 FTA例のMCS

3次以上の次数項の省略

次にSAPHIREの分析の際に、3次以上の積項を省略したMCSを取得してみます。3次以上の積項を省略する理由は、ISO26262において3点故障はセーフフォルトとして良いとあるためであり、3次以上の積項は一般的に確率的に非常に小さいので省略可能なためです。

これを行うにはSAPHIREにおいて、Fault Treeを選択しSolveコマンドを実行する際に、Sizeに2を設定します。すると155個得られた積項が65個と減少します。以下のMCSの論理式を確認すると1次と2次の積項のみであることがわかります。今回はTOP事象の侵害確率は、155項の積算でも65項の積算でも2.218E-5と変わりませんでした。これからも3次以上の積項を省略することが可能と言えます。

〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜〜 図28.3 FTA例のMCS(2次以下)

これを論理式として出力し、FTL(Fault Tree Language)に(手で)変換してからSAPHIREに取り込むと、SAPHIREがツリーを構成してくれます。その図を以下に示します。

図28.4 FTA例のMCSのFT

---

前のブログ 次のブログ

MCSのFault Tree

SAPHIREではMCSの論理式は出力してくれるのですが、残念ながらFault Tree図(FT図)は構成されません。そこで、論理式からのインポートを行います。まず論理式は図26.2のように出力されるので、それをFTL(Fault Tree Language)に変換しますが、変換したものを以下に示します。

WARWICKFTA, TOP-MCS =
TOP-MCS OR TOP0 TOP1
TOP0 AND E1 E3 E4
TOP1 AND E2 E3 E4

その後、SAPHIREのインポート機能により取り込み、FT図を作成したものが、図27.1となります。

図27.1 MCSのFT図

---

前のブログ 次のブログ

論理圧縮の実際

前回ご紹介した、英国Warwick大学のFTに対して、SAPHIREでTOP事象侵害確率を求めてみます。 FTのイベントに対して、$A=e_1$、$B=e_2$、$C=e_3$、$D=e_4$と置き直して、FTA(5)の表24.1のイベントの故障率に基づけば、

表26.1

基事象ID	故障率[FIT]
e1	8.74
e2	1.80
e3	1.53
e4	5.08

これらに基づきSAPHIREでFTを構成すると図26-1のようになります。

図26.1 FT図

SAPHIREによりMCSを求め、TOP事象侵害確率を求めると以下の表のようになります。車両寿命を$10^5$時間とすれば、平均的な故障率は$8.186\cdot 10^{-6}[FIT]$となります。

表26.2

MCSは同じく{{A, C, D}, {B, C, D}}と求められます。

---

前のブログ 次のブログ

論理圧縮の実際

さらにツールを用いてやや複雑なFTに関して論理圧縮を実行してみましょう。英国Warwick大学のFTAの説明資料に以下のようなやや複雑なFTが例示されています。

図25.1

これにFTA(4)のMCSアルゴリズムで示したブール代数により手作業で論理圧縮を実施すると、以下のようになります。

\[ (A\cup B)\cap((A\cap C)\cup(A\cap B))\cap(D\cap C) =(A+B)(AC+DB)DC\\ =AACDC+ADBDC+BACDC+BDBDC\\ =ACD+ABCD+ABCD+BCD\\ =ACD(1+B)+BCD(1+A)\\ =ACD+BCD \]

図25.2

MCSは{{A, C, D}, {B, C, D}}と求められます。一方、WinCUPLで論理圧縮を行うには、以下のようなファイルを用意します。

Name MinimalCutSet;
PartNo 00 ;
Date 2016/03/28 ;
Revision 01 ;
Designer Engineer ;
Company FS Micro Corporation;
Assembly None ;
Location ;
Device ;

Pin [1..4] = [A, B, C, D];
Pin 5 = Q;

/* EQUATIONS */
Q.t = (A # B) & ((A & C) # (D & B)) & (D & C);

図25.3

WinCUPLにより論理圧縮をかけた結果、以下のような出力が得られます。手作業で実施したのと同じ論理式が得られます。

*******************************************************************************
MinimalCutSet
*******************************************************************************

CUPL(WM) 5.0a Serial# 60008009
Device virtual Library DLIB-h-40-1
Created Tue Mar 29 09:37:27 2016
Name Minimal Cut Set
Partno 00
Revision 01
Date 2016/03/28
Designer Engineer
Company FS Micro Corporation
Assembly None
Location

===============================================================================
Expanded Product Terms
===============================================================================

Q.t =>
B & C & D
# A & C & D

図25.4

MCSは同じく{{A, C, D}, {B, C, D}}と求められます。

---

前のブログ 次のブログ

WinCUPL

前稿でMCSの導出はブール則による論理圧縮であることを説明しました。論理圧縮ツールの具体例として、WinCUPLというツールをご紹介します。これは大学で開発されたCUPLというPLDのプログラミングツールをAtmelがWindows用に移植したもので、無料で使用可能です。 PLDプログラミング機能のうちのlogic minimization(論理圧縮)機能を使用します。論理圧縮とは、入力された複雑なブール式をespresso法等で簡略化するもので、本稿ではFTAのMinimal Cut Setを導出するために流用します。

PMHF値の算出

実際にWinCUPLにより論理圧縮を実施し、MCSを求め、PMHF値を算出してみましょう。PMHFとは、車両寿命間での故障確率(正確には平均不稼働確率)を求め、車両寿命で割った平均故障率(正確には平均不稼働率)を意味します。ただしこの場合、DPFは小さいため無視するものとします。FTA(1)でご紹介したFTを対象とします。さらに基事象の故障確率は以下の表で与えられるものとし、車両寿命を$10^5$[H](10万時間)として確率を計算します。

表24.1

基事象ID	故障率[FIT]
e1	8.74
e2	1.80
e3	1.53
e4	5.08
e5	9.69
e6	5.36
e7	8.22
e8	6.23

手順としてはまず、このFTをWinCUPLにより簡単化します。

FTA(1)でご紹介したFTをCUPLの入力論理式で記述すると、以下のようになります。

Name MinimalCutSet;
PartNo 00 ;
Date 2016/03/28 ;
Revision 01 ;
Designer Engineer ;
Company FS Micro Corporation;
Assembly None ;
Location ;
Device ;

/* *************** INPUT PINS *********************/
Pin [10..18] = [e1..e8];

/* *************** OUTPUT PINS *********************/
Pin 1 = top;

top = (e1 # e2) # (e3 & e4 & e5) # (e6 # (e7 & e8));

図24.1

WinCUPLによる論理圧縮

前述の入力をWinCUPLで処理すると、以下のようなドキュメントが出力されます。

*******************************************************************************
MinimalCutSet
*******************************************************************************

CUPL(WM) 5.0a Serial# 60008009
Device virtual Library DLIB-h-40-1
Created Tue Mar 29 09:37:27 2016
Name Minimal Cut Set
Partno 00
Revision 01
Date 2016/03/28
Designer Engineer
Company FS Micro Corporation
Assembly None
Location

===============================================================================
Expanded Product Terms
===============================================================================

top =>
e3 & e4 & e5
# e7 & e8
# e6
# e2
# e1

(省略)

図24.2 ここで、上記論理式は、{{e1}, {e2}, {e6}, {e7, e8}, {e3, e4, e5}}というMCSを意味します。従って、TOP事象侵害確率をレアイベント近似で求める場合、FTA(2)で見たように(21.2)で求められます。 \[ P\{TOP\}\approx P\{e_1\}+P\{e_2\}+P\{e_3\}P\{e_4\}P\{e_5\}+P\{e_6\}+P\{e_7\}P\{e_8\}\tag{24.1} \]

これらの基事故障率に基づいて、車両寿命を$10^5$[H]とした場合の「Exponential1次近似」を用い、さらにレアイベント近似を用いた計算を行うと、

0.000874+0.00018+0.000153*0.000508*0.000969+0.000536+0.000822*0.000623=1.591e-03

図24.3

となります。PMHFは故障率の次元を持つので上記確率を車両寿命$10^5[H]$で割ると、PMHF=$1.591\cdot 10^{-8}=15.91$[FIT]と求められます。

SAPHIREによる計算

SAPHIREではMCS導出とTOP事象侵害確率計算まで自動で可能です。この結果を次図に示します。

図24.4 MCS図

SAPHIREでも同じく{{e1}, {e2}, {e6}, {e7, e8}, {e3, e4, e5}}というMCSが取得できました。また、TOP事象確率は$1.590\cdot 10^{-3}$と手計算と比較して若干小さい結果となりました。同様に上記確率を車両寿命$10^5[H]$で割れば、PMHF=$1.590\cdot 10^{-8}=15.9$[FIT]となります。手計算の結果のほうが若干大きいのは、レアイベント近似によるダブルカウントのためと考えられます。

---

前のブログ 次のブログ

FTAツール

商用ツールが各種でていますが、ここではフリーで使用可能なツールをご紹介します。まずALDのFault Tree Analyzerはwebベースで無料でFTA解析が可能なようです。ただしFAQにもあるようにこのツールはwebベースであるためサーバ側にデータを蓄積することから、守秘性の高い情報を扱う場合には同社の有償のツールRAM Commanderを使うほうが良いと書かれています。

続いて本ブログでも使用している米国原子力規制委員会で開発されたSAPHIRE。バージョン8.0.9まではRSICCにより無償で提供されています。ただし米国の公的機関で開発されたためか、守秘契約や会社の情報や使徒について、米国の安全保障に問題が無いことが確認される必要があります。最新版は8.1.3であり、SAPHIREユーザーズグループによって有償で提供されます。

無償版のSAPHIREによりFTA(1)で示したFT図を入力したものを示します。

図23.1 FT図

これのMCSを導出すると、

図23.2 FTのMCS図

のようになります。1st orderが{E1}, {E2}, {E6}、2nd orderが{E7, E8}、3rd orderが{E3, E4, E5}の計5個のcut setがえられました。ただし元々のFTが複雑でないため、MCSの論理圧縮のご利益はあまりありませんでした。後述するような複雑なFTの場合にはツールの論理圧縮の威力が発揮されます。

本来FTAは基事象の確率に基づきTOP事象の確率を計算するためのものですから、これから基事象の確率を仮定した上でTOP事象確率を計算してみます。

MCSアルゴリズム

実際にMCSを求めるのはどのようなアルゴリズムでしょうか？基本的にはブール代数の基本則に従って論理圧縮を行います。具体的にはブール代数の冪等則、交換則、結合則、吸収則、分配則を用いて 論理の簡単化を行います。

---

前のブログ 次のブログ

FTAの確率計算の一般式

前稿の例を一般化してみます。FTAの計算は確率計算であるため、確率の包除原理を用いて、TOP事象を侵害する確率$Q_{TOP}$は、 \[ Q_{TOP}(\bigcup_i^nMCS_i)=\sum_{i=1}^nQ(MCS_i)-\sum_{i\lt j}Q(MCS_i\cap MCS_j)+\sum_{i\lt j\lt k}Q(MCS_i\cap MCS_j\cap MCS_k)-\cdots+(-1)^{n-1}Q(\bigcap_{i=1}^n MCS_i)\tag{22.1} \] となります。それぞれのMCSの確率$Q(MCS_i)$は単純に \[ Q(MCS_i)=\prod_{j=1}^mQ(B_j)\tag{22.2} \] で求まります。ここで$Q(B_j)$は$i$番目のMCSに含まれる基事象$B_j$の確率です。 前稿のレアイベント近似を用いれば、$MCS_i$が同時に成立する確率が無視できるものとして、(22.1)は初項のみが残り、 \[ Q_{TOP}(\bigcup_i^nMCS_i)\approx\sum_{i=1}^nQ(MCS_i)\tag{22.3} \] と近似されます。

---

前のブログ 次のブログ

レアイベント近似

アイテムが故障する確率＝トップ事象確率を求めるのがFTAの役割であるため、基事象の確率を求め、それを積算します。それぞれのイベントを$e_i$で表し、イベントの確率を$P\{e_i\}$で表すとき、MCSが$\{1\},\{2\},\{3,4,5\},\{6\},\{7,8\}$で表されるTOP事象の侵害確率P{TOP}は、直列アイテムでの不信頼度の(8.4)と並列アイテムでの不信頼度の(9.2)とを用いて、(21.1)と表されます。 \[ P\{TOP\}=1-(1-P\{e_1\})(1-P\{e_2\})(1-P\{e_3\}P\{e_4\}P\{e_5\})(1-P\{e_6\})(1-P\{e_7\}P\{e_8\})\tag{21.1} \]

ここで、(21.1)の比較的小さい値の項を省略した、ORを加算、ANDを乗算とする計算で求めるレアイベント近似方法があります。 \[ P\{TOP\}\approx P\{e_1\}+P\{e_2\}+P\{e_3\}P\{e_4\}P\{e_5\}+P\{e_6\}+P\{e_7\}P\{e_8\}\tag{21.2} \]

アイテムの故障率(2)で議論したように、これが可能なのは基事象確率が低い場合です。本来はダブルカウント分の確率を引くべきところ、ダブルカウント分の確率が小さく無視可能である場合に限り、レアイベント近似が成立します。

---

前のブログ 次のブログ

FTAとは

Wikipediaの記事FTAによって定義が示されるとおり、下位アイテム又は外部事象、若しくはこれらの組合せのフォールトモードのいずれが、定められたフォールトモードを発生させ得るか決めるための、フォールトの木形式で表された解析を意味します。基事象(Basic Event)は故障確率を持ち、TOP事象を侵害する確率計算を行います。

FTAの例

図20.1 WikipediaのFTA図

図20.1はWikipediaに掲載されているFT(Fault Tree)図です。

MCS, MPS

FTでは基事象、TOP事象は故障の時にtrueとなるという前提をとります。ここでTOP事象=故障を引き起こすための基本事象の組み合わせのうち、最も少ない組み合わせのことをMC(Minimal Cut, 最小カット)と呼び、一般的にそれらは複数あるため全体をMCS(Minimal Cut Set, 最小カット集合)と呼びます。例えば上記のFTAではMCは$\{1\},\{2\},\{3,4,5\},\{6\},\{7,8\}$となります。1のとき、または2のとき、または3かつ4かつ5のとき、または6のとき、または7かつ8のとき、と読みます。

一方、TOP事象が動作のときにtrueとなるツリーも構成できます。この場合、TOP事象=動作となる基本事象の組み合わせのうち、最も少ない組み合わせのことをMP(Minimal Path, 最小パス)と呼び、一般的にそれらは複数あるため全体をMPS(Minimal Path Set, 最小パス集合)と呼びます。

FT解析ではTOP事象＝故障となる分析を行うため、MCSが重要です。

RBD図

RBD(Reliability Block Diagram)では、FTとは逆に、動作をtrue、故障をfalseとしてシステム図を構成します。このときに、動作するパスをカットして動作しなくなる最小の組み合わせがMC(=最小カット)となり、その集合がMCSです。

具体的に、上記RBD図に先のMCSを適用すると、$\{1\},\{2\},\{3,4,5\},\{6\},\{7,8\}$のMCはそれぞれがRBDの成功パスをカットして、機能動作をさせなくするカットだということがわかります。例えば$\{1, 2\}$のように複数箇所をカットしても機能動作しなくなりますがこれはMinimalではなく、$\{1\}, \{2\}, ..., \{7, 8\}$がMCとなります。このように、MCSはFTの双対構造であるRBDにおいて定義して初めてその意味を理解できます。その意味では、FTにおいてFTを成立させる(=TOP事象を侵害する)最小の事象の組み合わせは、むしろMPSと呼ぶべきでしょうが、慣用的にRBDでの定義であるMCSと呼ばれます。

---

前のブログ 次のブログ