Posts Tagged with "PMHF"

既に発行済みのブログであっても適宜修正・追加することがあります。
We may make changes and additions to blogs already published.

PMHFの誤解 (5)

posted by sakurai on October 5, 2022 #524

別の論文 "Functional Safety BMS Design Methodology for Automotive Lithium-Based Batteries"において、PMHF式が記載されています。この論文は他と異なりDPFが考慮されています。現在までに弊社の論文を除き、PMHF式でDPF項まで考慮されているものはほとんど発見されていません。

この論文の当該部分を図524.1に示します。

図%%.1
図524.1 論文のPMHF式

式の前後の文には式の出典等は書かれておらず、いきなり(3)が現れます。問題は$\lambda_\text{MP_DP}$と$\lambda_\text{MP_L}$が何を意味するかです。論文には故障分類フローが書かれており、それにより正しく$\lambda_\text{MP_DP}$と$\lambda_\text{MP_L}$を分類していました。

弊社提案式は過去記事でまとめましたが、非冗長系に関して $$ M_\text{PMHF,NRD}={(1-K_\text{IF,RF})\lambda_\text{IF}+2K_{\text{IF,RF}}\alpha}\\ =(1-K_\text{IF,RF})\lambda_\text{IF}+K_{\text{IF,RF}}\lambda_{\mathrm{IF}}\lambda_{\mathrm{SM}}[(1-K_{\mathrm{SM,MPF}})T_\text{lifetime}+K_{\mathrm{SM,MPF}}\tau] \tag{524.1} $$ ここで、$T_\text{lifetime}$に関する項と$\tau$に関する項があり、それぞれレイテントフォールトのリスク、ディテクテッドフォールトのリスクです。後者は定期修理期間$\tau$以内のリスクしかないのでその項を無視すれば、 $$ (524.1)\approx(1-K_\text{IF,RF})\lambda_\text{IF}+K_\text{IF,RF}\lambda_\text{IF}\lambda_\text{SM}(1-K_\text{SM,MPF})T_\text{lifetime}\\ =\lambda_\text{SPF/RF}+\lambda_\text{IF,DPF}\lambda_\text{SM,DPF,lat}T_\text{lifetime} \tag{524.2} $$ となります。論文の故障率が、 $$ \lambda_\text{MPF_DP}=\lambda_\text{IF,DPF,det}+\lambda_\text{SM,DPF,det}=\sum\lambda_\text{DPF,det}\\ \lambda_\text{MPF_L}=\lambda_\text{IF,DPF,lat}+\lambda_\text{SM,DPF,lat}=\sum\lambda_\text{DPF,lat} $$ なので、若干不正確ではありますが、まあまあ良いPMHF式だと思われます。DPFの評価は本来、レイテントとなるSMのフォールトにIFのフォールトが起きる2重故障なので、IFとSMは対応する必要があります。この分析にはFTAを用いてMCSを導出することで最小の組み合わせを得ることができます。

しかしながら、本論文ではFMEDAを用いて計算すると書かれているため、積をとってから$\sum$を計算するのではなく$\sum$の後積をとっていますが、DPF項は比較的小さいためこれでも問題ないと考えます。

安全目標や安全要求の分析、FMEDAによるSPFM/LFM/PMHFの導出等、誤りなく記述されいて参考になる論文だと思いますが、唯一の欠点は出版社がMDPIだというところです。


左矢前のブログ 次のブログ右矢

PMHFの誤解 (4)

posted by sakurai on October 4, 2022 #523

またPMHF式の誤り論文$\dagger$(記事はここ)の誤りが他の論文に波及しているのを発見しました。 "A Novel Method to Speed-Up the Evaluation of Cyber-Physical Systems (ISO 26262)"という論文です。

この論文の当該部分を図523.1に示します。

図%%.1
図523.1 論文のPMHF式

和訳を付けると、

ランダムハードウェア故障のための確率的メトリック(PMHF): PMHFは、一点故障、残留故障、二点故障による安全目標違反の残留リスクを評価する。 違反の最大確率の定量的な目標値を定義する。 以下の式は、単一点故障、残留故障、二点故障を引き起こす各ハードウェア部品の故障モードに対する故障率を推定する(ISO 61508)。

まずISO 61508という規格は有りません。IEC 61508のtypoだとして、その中にPMHFは定義されていません。おそらくPMHF式の誤り論文$\dagger$において、

ISO 26262にはPMHF式が出ていないため(実際はPart 10に書かれている)、IEC 61508を参照する

と書かれていたので、その誤りが伝播したものと思われます。裏を取ることをしないのでしょうか。


$\dagger$Y. Chang, L. Huang, H. Liu, C. Yang and C. Chiu, "Assessing automotive functional safety microprocessor with ISO 26262 hardware requirements," Technical Papers of 2014 International Symposium on VLSI Design, Automation and Test, Hsinchu, 2014, pp. 1-4, doi: 10.1109/VLSI-DAT.2014.6834876.


左矢前のブログ 次のブログ右矢

PMHFの誤解 (3)

posted by sakurai on October 3, 2022 #522

Business Cubeのプレゼン資料においてPMHFの誤りを発見しました。ASIL-Dでは0.01[FIT]、ASIL-Cでは0.1[FIT]とありますが、いずれも誤りです。1st editionの時点からそれぞれ10[FIT]、100[FIT]でした。2nd editionでは緩和されましたが、10FITの目標値は変わっていません。

図%%.1
図522.1 BCのプレゼン資料(表紙)

その次のページには矛盾した数値が書かれています。ASIL-Dではこの10[FIT]が正しい目標値です。

図%%.2
図522.2 BCのプレゼン資料(PMHF計算)

このページ(図522.2)のとおりです。、PMHFの目標値は2nd editionではサブシステム毎になり、アイテムとしてはおよそ10倍まで緩和されたものの、サブシステムとしては10[FIT]です。


左矢前のブログ 次のブログ右矢

PMHFの誤解 (2)

posted by sakurai on September 30, 2022 #521

TIのプレゼン資料においてPMHFの誤解の続きです。

本資料では他の例でも全て計算が誤っていました。一貫してPMHF=RF+MPF-Lとしています。

図%%.1
図521.1 本資料の別の計算式

図521.1左の計算は $$ \lambda_\text{RF}+\lambda_\text{MPF,lat}=11+10=21 [FIT] $$ 図521.1右の計算は $$ \lambda_\text{RF}+\lambda_\text{MPF,lat}=1.5+20=21.5 [FIT] $$ のようにそのまま加算を行っていますが、これは誤りです。

これは前述のようにPMHF式の誤り論文$\dagger$(図326.1)から来たものと推測します。このように一か所の"欠陥"が複数に伝播し"カスケード故障"を起こしているところを見ると、システマティックフォールトに対して"安全機構"が働いていないようです。言うまでも無く"安全機構"はこの場合、自分の頭で考えることであり、論文を鵜呑みにすることではありません。

図326.1
図326.1 ある論文中のPMHF式

これが誤りである理由を定性的に説明します。

  1. 故障率に車両寿命をかけると、車両寿命間に故障する故障確率になります。
  2. 故障確率から考えると、SPF及びRFは一点の部品欠陥で車両の故障につながるため、この項はOKです。
  3. ところが、MPF-Lはレイテントフォールトなので、一点のフォールトが起きても直ちに車両の故障とはなりません。つまりMPF-Lを過大に評価していることになります。
  4. 本来はレイテントフォールトは別のフォールトとの組み合わせにより車両故障、つまり安全目標違反となるため、確率としてはもう一つ別の故障率が必要となります。
  5. 本来はこの項は桁違いに小さくなるはずです。

過去記事でも同じことを指摘しています。

LFは単一ではVSGを引き起こさないため、アイテムのVSG確率としては、他のフォールトとのDPFとして計算しなければなりません

以上から、単一点(シングルポイント)及び残余(レシデュアル)の故障率と、レイテントフォールトの故障率を単純に加えることは誤りです。


左矢前のブログ 次のブログ右矢

PMHFの誤解

posted by sakurai on September 29, 2022 #520

TIのプレゼン資料においてPMHFの誤解を発見しました。これも以前の記事で指摘したように、PMHF式の誤り論文$\dagger$が波及したのかもしれません。図520.1は表紙です。

図%%.1
図520.1 TIのプレゼン資料(表紙)

資料中のPMHF計算の誤りを図520.2に示します。

図%%.2
図520.2 TIのプレゼン資料(PMHF計算)

図520.2の部分を拡大します。

図%%.3
図520.3 TIのプレゼン資料(PMHF計算、当該部分の拡大)

図520.1では $$ \lambda_\text{RF}+\lambda_\text{MPF,lat}=11+55=66 [FIT] $$ のようにそのまま加えていますが、これは誤りです。

$\dagger$Y. Chang, L. Huang, H. Liu, C. Yang and C. Chiu, "Assessing automotive functional safety microprocessor with ISO 26262 hardware requirements," Technical Papers of 2014 International Symposium on VLSI Design, Automation and Test, Hsinchu, 2014, pp. 1-4, doi: 10.1109/VLSI-DAT.2014.6834876.


左矢前のブログ 次のブログ右矢

posted by sakurai on September 28, 2022 #519

表519.1に弊社代表の投稿した論文の実績と予定を示します。

表519.1 PMHF論文の実績と予定表
No. 学会 論文タイトル 内容 採択/未
1 2017 ISPCE Generalized formula for the calculation of a probabilistic metric for random hardware failures in redundant subsystems PMHF式を初めて冗長系に拡張 採択
2 2020 RAMS Generic Equations for a Probabilistic Metric for Random Hardware Failures According to ISO 26262 PMHF式を初めて理論的に導出 採択
3 2021 RAMS A Framework for Performing Quantitative Fault Tree Analyses for Subsystems with Periodic Repairs 理論的に導出したPMHFのFTA構成法 採択
4 2022 RAMS Formulas of the Probabilistic Metric for Random Hardware Failures to Resolve a Dilemma in ISO 26262 LFMと整合するPMHF式 採択
5 2023 RAMS Stochastic Constituents for the Probabilistic Metric for Hardware Failures 確率構成要素を用いたIFRモデルの証明 レビュー修正中
6 2024 RAMS 未定 2nd editionの誤りの分析
7 2025 RAMS 未定 Q(t)の導出
8 2026 RAMS 未定 EOTTIの導出


左矢前のブログ 次のブログ右矢

確率コントリビューション(6)

posted by sakurai on July 7, 2022 #491

ストレートフォワード

そもそもIFとSM1のコンビネーションの確率全体を求め、以下の

 ①IF⇒IF
 ②IF⇒SM1
 ③SM1⇒IF
 ④SM1⇒SM1

①~④の和から①と④を引いたのですが、各々を求められるのであれば、DPFの対象は異なるエレメントのフォールトの組み合わせなので、②と③の和で良いはずです。

従って、②のPMHFは記事#489を参照して、 $$ M_\text{PMHF,DPF,IF⇒SM1}=\img[-1.35em]{/images/withinseminar.png}\\ \tag{491.1} $$

また③のPMHFも同様に $$ M_\text{PMHF,DPF,SM1⇒IF}=\img[-1.35em]{/images/withinseminar.png}\\ \tag{491.2} $$ 従って、PMHFのDPF部分は、(491.1)及び(491.2)を加えて $$ \require{cancel} \begin{eqnarray} M_\text{PMHF,DPF}&=&M_\text{PMHF,DPF,IF⇒SM1}+M_\text{PMHF,DPF,SM1⇒IF}\\ &\approx&\img[-1.35em]{/images/withinseminar.png}\\ \end{eqnarray} \tag{491.3} $$ これは過去記事で求めた、(222.9)のPMHF値のDPF項と完全に一致します。

さらに、2021年論文のようにLFMと互換性のあるPMHFを考えるのであれば、IFのMPFフォールトはレイテントにならずに直ちに修理されると考えると、DPFのケースは③のみとなります。従って、PMHFは $$ \begin{eqnarray} M_\text{PMHF,DPF}&=&\img[-1.35em]{/images/withinseminar.png}\\ \end{eqnarray} \tag{491.4} $$

となります。ただし、非冗長系においてはIFのフォールトは即時修理され、レイテントとならないことから$K_\text{IF,MPF}=0$となるので、これを代入すれば、$K_\text{MPF}=K_\text{SM,MPF}$となり、(491.4)は、

$$ \begin{eqnarray} M_\text{PMHF,DPF}&=&\img[-1.35em]{/images/withinseminar.png}\\ \end{eqnarray} \tag{491.5} $$ となります。

なお、本稿はRAMS 2023に投稿中のため一部を秘匿していますが、論文公開後の2023年2月頃に開示予定です。

確率コントリビューションの稿 完■


左矢前のブログ 次のブログ右矢

確率コントリビューション(5)

posted by sakurai on June 27, 2022 #490

過剰確率の調整

しかしながら前稿の注※確率調整で示すように、ユニオンエレメントに関して解いて得られたPMHF(488.6)は余分な場合を2パターン含みます。余分な場合とはユニオンが2回フォールトする時、

 ①IFのフォールトに引き続いてIFがフォールトする
 ②SM1のフォールトに引き続いてSM1がフォールトする

となる場合が含まれるため、そのPMHFを差し引く必要があるからです。

すると、①のPMHFは(489.5)であり、 $$ M_\text{PMHF,DPF,IF⇒IF}=\img[-1.35em]{/images/withinseminar.png}\\ \tag{490.1} $$ また②のPMHFも同様に(489.8)であるため、 $$ M_\text{PMHF,DPF,SM⇒SM}=\img[-1.35em]{/images/withinseminar.png} \tag{490.2} $$ 従って、PMHFのDPF部分は、(488.6)から(490.1)及び(490.2)を差し引いて、 $$ \begin{eqnarray} M_\text{PMHF,DPF}&=&M_{\text{PMHF,DPF,IF}\cup\text{SM}}-M_\text{PMHF,DPF,IF⇒IF}-M_\text{PMHF,DPF,SM⇒SM}\\ &=&\img[-1.35em]{/images/withinseminar.png}\\ \end{eqnarray} \tag{490.3} $$ これは過去記事で求めた、(222.9)のPMHF値のDPF項と完全に一致します。このように、得られた方程式に対して別の角度から整合性のある解釈ができることは、大変に面白いだけでなく方程式の妥当性を裏付けるものと考えます。

また、確率コントリビューションの考えから1st editionの式を出発点として、2nd editionの式ではなく、2020年論文の式が導出されることも大変興味深い事実です。

なお、本稿はRAMS 2023に投稿中のため一部を秘匿していますが、論文公開後の2023年2月頃に開示予定です。


左矢前のブログ 次のブログ右矢

確率コントリビューション(4)

posted by sakurai on June 24, 2022 #489

IFとSMのユニオンエレメント$\text{IF}\cup\text{SM}$を考えます。PMHFのDPFに関する第1確率コントリビューションは、 $$ \text{Pc}^\text{1R}\{\mathrm{(IF\cup SM)\ up/down}\}:=\img[-1.35em]{/images/withinseminar.png} \tag{489.1} $$ となり、第2確率コントリビューションは、 $$ \text{Pc}^\text{2U}\{\text{(IF}\cup\text{SM) down}\}:=\img[-1.35em]{/images/withinseminar.png} \tag{489.2} $$ と定義されます。これらの積からDPFのPMHFを作成したいのですが、問題は以下の2つのケースを除く必要があることです。

 ①IFのフォールトに引き続いてIFのフォールト、及び、
 ②SM1のフォールトに引き続いてSM1のフォールト

理由は、同じエレメントの引き続くフォールトではDPFとならないからです。それぞれの確率コントリビューションのマルコフ図は、

図%%.1
図489.1 IF⇒IFの場合

図489.1において、OPRLATOPRを繰り返している間はIF$\cup$SM、すなわちIFかSMかのいずれかのフォールトが起きますが、LATDPFの遷移の場合のみ、IFがダウンしている場合にIFのフォールトが起きる事象です。

従って、合成エレメントの第1確率コントリビューションの$\text{Pc}^\text{1R}$は$\text{IF}\cup\text{SM}$の最後の状態において、$\text{IF}\cup\text{SM}$の不信頼度のところを、IFのみの不信頼度に減らす必要があります。他方、第2確率コントリビューションの$\text{Pc}^\text{2U}$は、エレメントはIFのみとすれば良いわけです。従って、減少分も含めた第1確率コントリビューションは、時刻$t$で第2フォールトが起きるとして、 $$ \require{color} \definecolor{yellow}{rgb}{1.0,1.0,0.7} \require{cancel} \text{Pc}^\text{1R}\{\mathrm{(IF\cup SM)\ up/down}\}\cdot\bbox[#ffffcc,2pt]{\frac{Q_\text{IF}(t)}{Q_{\text{IF}\cup\text{SM}}(t)}} \approx\text{Pc}^\text{1R}\{\mathrm{(IF\cup SM)\ up/down}\}\bbox[#ffffcc,2pt]{\frac{F_\text{IF}(t)}{F_{\text{IF}\cup\text{SM}}(t)}}\\ \approx(\lambda_\text{IF}+\lambda_\text{SM})[(1-K_\mathrm{DPF})T_\text{lifetime}+K_\mathrm{DPF}\tau] \bbox[#ffffcc,2pt]{\frac{\lambda_\text{IF}\bcancel{t}}{\lambda_\text{IF}\bcancel{t}+\lambda_\text{SM}\bcancel{t}}}\\ =\bcancel{(\lambda_\text{IF}+\lambda_\text{SM})}[(1-K_\mathrm{DPF})T_\text{lifetime}+K_\mathrm{DPF}\tau] \bbox[#ffffcc,2pt]{\frac{\lambda_\text{IF}}{\bcancel{\lambda_\text{IF}+\lambda_\text{SM}}}}\\ =\lambda_\text{IF}[(1-K_\mathrm{DPF})T_\text{lifetime}+K_\mathrm{DPF}\tau] \tag{489.3} $$ となり、第2確率コントリビューションはIFのみなので、 $$ \text{Pc}^\text{2U}\{\text{IF down}\}=K_\text{IF,RF}\lambda_\text{IF}T_\text{lifetime} \tag{489.4} $$ となります。従って、これらをかけ合わせれば除外するPMHFは、 $$ M_\text{PMHF,DPF,IF⇒IF} =\img[-1.35em]{/images/withinseminar.png} \tag{489.5} $$ となります。

全く同様に、SM⇒SMに関する確率コントリビューションのマルコフ図は、

図%%.2
図489.2 SM⇒SMの場合

同様に、減少分も含めた第1確率コントリビューションは、 $$ \require{cancel} \text{Pc}^\text{1R}\{\mathrm{(IF\cup SM)\ up/down}\}\cdot\bbox[#ffffcc,2pt]{\frac{Q_\text{SM}(t)}{Q_{\text{IF}\cup\text{SM}}(t)}}\\ \approx\lambda_\text{SM}[(1-K_\mathrm{DPF})T_\text{lifetime}+K_\mathrm{DPF}\tau] \tag{489.6} $$ となり、第2確率コントリビューションはSMのみなので、 $$ \text{Pc}^\text{2U}\{\text{SM down}\}=K_\text{IF,RF}\lambda_\text{SM}T_\text{lifetime} \tag{489.7} $$ となります。従って、これらをかけ合わせれば除外するPMHFは、 $$ M_\text{PMHF,DPF,SM⇒SM} =\img[-1.35em]{/images/withinseminar.png} \tag{489.8} $$ となります。

なお、本稿はRAMS 2023に投稿中のため一部を秘匿していますが、論文公開後の2023年2月頃に開示予定です。


左矢前のブログ 次のブログ右矢

確率コントリビューション(3)

posted by sakurai on June 23, 2022 #488

IFとSM1のユニオン

ここまでは1st editionと同様、IFUモデル、つまりSM1がリペアラブル、IFがアンリペアラブルでした。ここからは2nd editionに対応するべく、IFRモデル、つまりSM1もIFもリペアラブルで考えます。

ここで、IFとSM1のユニオンのIF$\cup$SMを考えます。2つのユニオンと見ると、1回のダウンでは不稼働にならず、2回ダウンして初めて不稼働となります。図488.1で考えるとLAT状態ではIFもSM1もリペアラブルですが、リペアされないうちに再度フォールトが起きるとDPFに移行します。従って、最初のIF$\cup$SMのフォールトはリペアラブル、2番目のIF$\cup$SMのフォールトはアンリペアラブルです。

図%%.1
図488.1 IFとSM1のユニオンのマルコフ連鎖

これにより、SM1とIFの両方がリペアラブルであっても、$e1$⇒IF$\cup$SM、$e2$⇒IF$\cup$SMと置き換えることによりIFUモデルのCTMCを用いることができます。※確率調整:ただし、最後のIFの次にIFのフォールトと、SMの次にSMのフォールトでDPFになる場合は除く必要があります。

ユニオンの第1確率コントリビューション

まずユニオンエレメントの故障率を計算します。ユニオンエレメントの故障率は、 $$ \lambda_\mathrm{IF\cup SM}=\img[-1.35em]{/images/withinseminar.png} \tag{488.1} $$ となります。証明は過去記事#484で記載しています。

次に、ユニオンに対する見逃し率は、IFに対する2nd SMとSMに対する2nd SMの両方が見逃す率であるため、過去記事#485で証明したとおり(488.3)は $$ \Pr\{\overline{\mathrm{(IF\cup SM)\ detected}}\}=(1-K_\text{IF,DPF})(1-K_\text{SM,DPF}) \tag{488.2} $$ となります。これよりユニオンに対する検出率$K_\text{DPF}$は、 $$ K_\text{DPF}:=\Pr\{\mathrm{(IF\cup SM)\ detected}\}\\= 1-(1-K_\text{IF,DPF})(1-K_\text{SM,DPF})=K_\text{IF,DPF}+K_\text{SM,DPF}-K_\text{IF,DPF}K_\text{SM,DPF}\tag{488.3} $$ となります。これらにより、第1確率コントリビューションは(488.5)において$e1$⇒$\text{IF}\cup\text{SM}$と置き換えた後(488.1)、(488.3)を用いて $$ \text{Pc}^\text{1R}\{\mathrm{(IF\cup SM)\ up/down}\}\\ =\lambda_\mathrm{(IF\cup SM)}\left[\Pr\{\overline{\mathrm{(IF\cup SM)\ detected}}\}T_\text{lifetime}+\Pr\{\mathrm{(IF\cup SM)\ detected}\}\tau\right]\\ =(\lambda_\text{IF}+\lambda_\text{SM})\left[(1-K_\mathrm{DPF})T_\text{lifetime}+K_\mathrm{DPF}\tau\right] \tag{488.4} $$ となります。

ユニオンの第2確率コントリビューション

第2確率コントリビューションは(488.5)において$e2$⇒$\text{IF}\cup\text{SM}$と置き換えた後(488.1)を用いて、 $$ \require{cancel} \text{Pc}^\text{2U}\{\text{(IF}\cup\text{SM) down}\}=\Pr\{(\text{IF}\cup\text{SM})\text{ prevented}\}\lambda_{(\text{IF}\cup\text{SM})}T_\text{lifetime}\\ =K_{\text{(IF}\bcancel{\cup\text{SM)}}\text{,RF}} \lambda_{\text{(IF}\cup\text{SM)}} T_\text{lifetime}=K_\text{IF,RF}(\lambda_\text{IF}+\lambda_\text{SM})T_\text{lifetime} \tag{488.5} $$ SM1にはSPFもRFも無いことを用いています。

PMHF計算

以上から、(488.2)は(488.4)及び(488.5)の積を用いて、 $$ \begin{eqnarray} M_{\text{PMHF,DPF,IF}\cup\text{SM}} &=&\frac{1}{2T_\text{lifetime}}\text{Pc}^\text{1R}\{\text{(IF}\cup\text{SM) up/down}\} \cdot\text{Pc}^\text{2U}\{\text{(IF}\cup\text{SM) down}\}\\ &=&\frac{1}{2\bcancel{T_\text{lifetime}}}(\lambda_\text{IF}+\lambda_\text{SM})[(1-K_\mathrm{DPF})T_\text{lifetime}+K_\mathrm{DPF}\tau]\\ & &\quad\cdot K_\text{IF,RF}(\lambda_\text{IF}+\lambda_\text{SM})\bcancel{T_\text{lifetime}}\\ &=&\img[-1.35em]{/images/withinseminar.png} \tag{488.6} \end{eqnarray} $$ となりそうですが、上記※確率調整を考慮する必要があります。

なお、本稿はRAMS 2023に投稿中のため一部を秘匿していますが、論文公開後の2023年2月頃に開示予定です。


左矢前のブログ 次のブログ右矢


ページ: