過剰確率の調整

しかしながら前稿の注※確率調整で示すように、ユニオンエレメントに関して解いて得られたPMHF(488.6)は余分な場合を2パターン含みます。余分な場合とはユニオンが2回フォールトする時、

　①IFのフォールトに引き続いてIFがフォールトする
　②SM1のフォールトに引き続いてSM1がフォールトする

となる場合が含まれるため、そのPMHFを差し引く必要があるからです。

すると、①のPMHFは(489.5)であり、 $$ M_\text{PMHF,DPF,IF⇒IF}＝ \frac{K_\text{IF,RF}}{2}\lambda_\text{IF}^2[(1-K_\mathrm{DPF})T_\text{lifetime}+K_\mathrm{DPF}\tau] \tag{490.1} $$ また②のPMHFも同様に(489.8)であるため、 $$ M_\text{PMHF,DPF,SM⇒SM}＝\frac{K_\text{IF,RF}}{2}\lambda_\text{SM}^2[(1-K_\mathrm{DPF})T_\text{lifetime}+K_\mathrm{DPF}\tau] \tag{490.2} $$ 従って、PMHFのDPF部分は、(488.6)から(490.1)及び(490.2)を差し引いて、 $$ \begin{eqnarray} M_\text{PMHF,DPF}&=&M_{\text{PMHF,DPF,IF}\cup\text{SM}}-M_\text{PMHF,DPF,IF⇒IF}-M_\text{PMHF,DPF,SM⇒SM}\\ &＝&[(\lambda_\text{IF}+\lambda_\text{SM})^2-\lambda_\text{IF}^2-\lambda_\text{SM}^2]\frac{K_\text{IF,RF}}{2}[(1-K_\mathrm{DPF})T_\text{lifetime}+K_\mathrm{DPF}\tau]\\ &＝&K_\text{IF,RF}\lambda_\text{IF}\lambda_\text{SM}[(1-K_\mathrm{DPF})T_\text{lifetime}+K_\mathrm{DPF}\tau] \end{eqnarray} \tag{490.3} $$ これは過去記事で求めた、(222.9)のPMHF値のDPF項と完全に一致します。このように、得られた方程式に対して別の角度から整合性のある解釈ができることは、大変に面白いだけでなく方程式の妥当性を裏付けるものと考えます。

また、確率コントリビューションの考えから1st editionの式を出発点として、2nd editionの式ではなく、2020年論文の式が導出されることも大変興味深い事実です。

なお、本稿はRAMS 2023に投稿中のため一部を秘匿していますが、論文公開後の2023年2月頃に開示予定です。RAMS 2023が終了したため、秘匿部分を開示します。

前のブログ 次のブログ

IFとSMのユニオンエレメント$\text{IF}\cup\text{SM}$を考えます。PMHFのDPFに関する第1確率コントリビューションは、 $$ \text{Pc}^\text{1R}\{\mathrm{(IF\cup SM)\ up/down}\}: \tag{489.1} $$ となり、第2確率コントリビューションは、 $$ \text{Pc}^\text{2U}\{\text{(IF}\cup\text{SM) down}\}:=K_\text{IF,RF}(\lambda_\text{IF}+\lambda_\text{SM})T_\text{lifetime} \tag{489.2} $$ と定義されます。これらの積からDPFのPMHFを作成したいのですが、問題は以下の2つのケースを除く必要があることです。

　①IFのフォールトに引き続いてIFのフォールト、及び、
　②SM1のフォールトに引き続いてSM1のフォールト

理由は、同じエレメントの引き続くフォールトではDPFとならないからです。それぞれの確率コントリビューションのマルコフ図は、

図489.1において、OPR⇒LAT⇒OPRを繰り返している間はIF$\cup$SM、すなわちIFかSMかのいずれかのフォールトが起きますが、LAT⇒DPFの遷移の場合のみ、IFがダウンしている場合にIFのフォールトが起きる事象です。

従って、合成エレメントの第1確率コントリビューションの$\text{Pc}^\text{1R}$は$\text{IF}\cup\text{SM}$の最後の状態において、$\text{IF}\cup\text{SM}$の不信頼度のところを、IFのみの不信頼度に減らす必要があります。他方、第2確率コントリビューションの$\text{Pc}^\text{2U}$は、エレメントはIFのみとすれば良いわけです。従って、減少分も含めた第1確率コントリビューションは、時刻$t$で第2フォールトが起きるとして、 $$ \require{color} \definecolor{yellow}{rgb}{1.0,1.0,0.7} \require{cancel} \text{Pc}^\text{1R}\{\mathrm{(IF\cup SM)\ up/down}\}\cdot\bbox[#ffffcc,2pt]{\frac{Q_\text{IF}(t)}{Q_{\text{IF}\cup\text{SM}}(t)}} \approx\text{Pc}^\text{1R}\{\mathrm{(IF\cup SM)\ up/down}\}\bbox[#ffffcc,2pt]{\frac{F_\text{IF}(t)}{F_{\text{IF}\cup\text{SM}}(t)}}\\ \approx(\lambda_\text{IF}+\lambda_\text{SM})[(1-K_\mathrm{DPF})T_\text{lifetime}+K_\mathrm{DPF}\tau] \bbox[#ffffcc,2pt]{\frac{\lambda_\text{IF}\bcancel{t}}{\lambda_\text{IF}\bcancel{t}+\lambda_\text{SM}\bcancel{t}}}\\ =\bcancel{(\lambda_\text{IF}+\lambda_\text{SM})}[(1-K_\mathrm{DPF})T_\text{lifetime}+K_\mathrm{DPF}\tau] \bbox[#ffffcc,2pt]{\frac{\lambda_\text{IF}}{\bcancel{\lambda_\text{IF}+\lambda_\text{SM}}}}\\ =\lambda_\text{IF}[(1-K_\mathrm{DPF})T_\text{lifetime}+K_\mathrm{DPF}\tau] \tag{489.3} $$ となり、第2確率コントリビューションはIFのみなので、 $$ \text{Pc}^\text{2U}\{\text{IF down}\}=K_\text{IF,RF}\lambda_\text{IF}T_\text{lifetime} \tag{489.4} $$ となります。従って、これらをかけ合わせれば除外するPMHFは、 $$ M_\text{PMHF,DPF,IF⇒IF} =\frac{K_\text{IF,RF}}{2}\lambda_\text{IF}^2[(1-K_\mathrm{DPF})T_\text{lifetime}+K_\mathrm{DPF}\tau] \tag{489.5} $$ となります。

全く同様に、SM⇒SMに関する確率コントリビューションのマルコフ図は、

同様に、減少分も含めた第1確率コントリビューションは、 $$ \require{cancel} \text{Pc}^\text{1R}\{\mathrm{(IF\cup SM)\ up/down}\}\cdot\bbox[#ffffcc,2pt]{\frac{Q_\text{SM}(t)}{Q_{\text{IF}\cup\text{SM}}(t)}}\\ \approx\lambda_\text{SM}[(1-K_\mathrm{DPF})T_\text{lifetime}+K_\mathrm{DPF}\tau] \tag{489.6} $$ となり、第2確率コントリビューションはSMのみなので、 $$ \text{Pc}^\text{2U}\{\text{SM down}\}=K_\text{IF,RF}\lambda_\text{SM}T_\text{lifetime} \tag{489.7} $$ となります。従って、これらをかけ合わせれば除外するPMHFは、 $$ M_\text{PMHF,DPF,SM⇒SM} =\frac{K_\text{IF,RF}}{2}\lambda_\text{SM}^2[(1-K_\mathrm{DPF})T_\text{lifetime}+K_\mathrm{DPF}\tau] \tag{489.8} $$ となります。

なお、本稿はRAMS 2023に投稿中のため一部を秘匿していますが、論文公開後の2023年2月頃に開示予定です。RAMS 2023が終了したため、秘匿部分を開示します。

前のブログ 次のブログ

IFとSM1のユニオン

ここまでは1st editionと同様、IFUモデル、つまりSM1がリペアラブル、IFがアンリペアラブルでした。ここからは2nd editionに対応するべく、IFRモデル、つまりSM1もIFもリペアラブルで考えます。

ここで、IFとSM1のユニオンのIF$\cup$SMを考えます。2つのユニオンと見ると、1回のダウンでは不稼働にならず、2回ダウンして初めて不稼働となります。図488.1で考えるとLAT状態ではIFもSM1もリペアラブルですが、リペアされないうちに再度フォールトが起きるとDPFに移行します。従って、最初のIF$\cup$SMのフォールトはリペアラブル、2番目のIF$\cup$SMのフォールトはアンリペアラブルです。

これにより、SM1とIFの両方がリペアラブルであっても、$e1$⇒IF$\cup$SM、$e2$⇒IF$\cup$SMと置き換えることによりIFUモデルのCTMCを用いることができます。※確率調整：ただし、最後のIFの次にIFのフォールトと、SMの次にSMのフォールトでDPFになる場合は除く必要があります。

ユニオンの第1確率コントリビューション

まずユニオンエレメントの故障率を計算します。ユニオンエレメントの故障率は、 $$ \lambda_\mathrm{IF\cup SM}= \lambda_\mathrm{IF}+\lambda_\mathrm{SM} \tag{488.1} $$ となります。証明は過去記事#484で記載しています。

次に、ユニオンに対する見逃し率は、IFに対する2nd SMとSMに対する2nd SMの両方が見逃す率であるため、過去記事#485で証明したとおり(488.3)は $$ \Pr\{\overline{\mathrm{(IF\cup SM)\ detected}}\}=(1-K_\text{IF,DPF})(1-K_\text{SM,DPF}) \tag{488.2} $$ となります。これよりユニオンに対する検出率$K_\text{DPF}$は、 $$ K_\text{DPF}:=\Pr\{\mathrm{(IF\cup SM)\ detected}\}\\= 1-(1-K_\text{IF,DPF})(1-K_\text{SM,DPF})=K_\text{IF,DPF}+K_\text{SM,DPF}-K_\text{IF,DPF}K_\text{SM,DPF}\tag{488.3} $$ となります。これらにより、第1確率コントリビューションは(488.5)において$e1$⇒$\text{IF}\cup\text{SM}$と置き換えた後(488.1)、(488.3)を用いて $$ \text{Pc}^\text{1R}\{\mathrm{(IF\cup SM)\ up/down}\}\\ =\lambda_\mathrm{(IF\cup SM)}\left[\Pr\{\overline{\mathrm{(IF\cup SM)\ detected}}\}T_\text{lifetime}+\Pr\{\mathrm{(IF\cup SM)\ detected}\}\tau\right]\\ =(\lambda_\text{IF}+\lambda_\text{SM})\left[(1-K_\mathrm{DPF})T_\text{lifetime}+K_\mathrm{DPF}\tau\right] \tag{488.4} $$ となります。

ユニオンの第2確率コントリビューション

第2確率コントリビューションは(488.5)において$e2$⇒$\text{IF}\cup\text{SM}$と置き換えた後(488.1)を用いて、 $$ \require{cancel} \text{Pc}^\text{2U}\{\text{(IF}\cup\text{SM) down}\}=\Pr\{(\text{IF}\cup\text{SM})\text{ prevented}\}\lambda_{(\text{IF}\cup\text{SM})}T_\text{lifetime}\\ =K_{\text{(IF}\bcancel{\cup\text{SM)}}\text{,RF}} \lambda_{\text{(IF}\cup\text{SM)}} T_\text{lifetime}=K_\text{IF,RF}(\lambda_\text{IF}+\lambda_\text{SM})T_\text{lifetime} \tag{488.5} $$ SM1にはSPFもRFも無いことを用いています。

PMHF計算

以上から、(488.2)は(488.4)及び(488.5)の積を用いて、 $$ \begin{eqnarray} M_{\text{PMHF,DPF,IF}\cup\text{SM}} &=&\frac{1}{2T_\text{lifetime}}\text{Pc}^\text{1R}\{\text{(IF}\cup\text{SM) up/down}\} \cdot\text{Pc}^\text{2U}\{\text{(IF}\cup\text{SM) down}\}\\ &=&\frac{1}{2\bcancel{T_\text{lifetime}}}(\lambda_\text{IF}+\lambda_\text{SM})[(1-K_\mathrm{DPF})T_\text{lifetime}+K_\mathrm{DPF}\tau]\\ & &\quad\cdot K_\text{IF,RF}(\lambda_\text{IF}+\lambda_\text{SM})\bcancel{T_\text{lifetime}}\\ &=& \frac{K_\text{IF,RF}}{2}(\lambda_\text{IF}+\lambda_\text{SM})^2[(1-K_\mathrm{DPF})T_\text{lifetime}+K_\mathrm{DPF}\tau] \tag{488.6} \end{eqnarray} $$ となりそうですが、上記※確率調整を考慮する必要があります。

なお、本稿はRAMS 2023に投稿中のため一部を秘匿していますが、論文公開後の2023年2月頃に開示予定です。RAMS 2023が終了したため、秘匿部分を開示します。

前のブログ 次のブログ

最初にSM1に、次にIFにフォールトが起きた場合

図487.2にIFUモデルのCTMCを示します。IFUモデルは最初のSM1のフォールトがリペアラブル、2番目のIFのフォールトがアンリペアラブルです。※便宜上「最初」と「2番目」と記述しましたが、厳密には「最後から2番目」と「最後」です。

CTMCによるPMHFの導出

(1st Editionの)規格第1式のPMHF式のDPF項の導出は以下の(487.1)のとおり、遷移確率と状態確率を掛けた確率微分方程式を車両寿命間で積分することにより導出します。 $$ \begin{eqnarray} M_\text{PMHF,DPF}&=&\overline{q_\mathrm{DPF,IFU}}\\ &=&\frac{1}{T_\text{lifetime}}\Pr\{DPF\mathrm{\ at\ }T_\text{lifetime}\}\\ &=&\frac{1}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}\Pr\{LAT\mathrm{ at\ }t\cap\mathrm{IF^U\ down\ in\ }(t, t+dt]\cap\mathrm{IF\ preventable}\}\\ &=&\frac{1}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}\Pr\{\mathrm{IF^U\ down\ in\ }(t, t+dt]\ |\ LAT\mathrm{\ at\ }t\}\\ & &\ \ \ \ \cdot\Pr\{LAT\mathrm{ at\ }t\}\Pr\{\mathrm{IF\ preventable}\}\\ &=&\frac{K_\text{IF,RF}}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}Q_\mathrm{SM}(t)R_\mathrm{IF}(t)\lambda_\mathrm{IF}dt\\ &=&\frac{K_\text{IF,RF}}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}\left[(1-K_\mathrm{SM,DPF})F_\mathrm{SM}(t)+K_\mathrm{SM,DPF}F_\mathrm{SM}(t\bmod\tau)\right]f_\mathrm{IF}(t)dt,\\ &\approx&\frac{1}{2}K_\mathrm{IF,RF}\lambda_\mathrm{IF}\lambda_\mathrm{SM}[(1-K_\mathrm{SM,DPF})T_\text{lifetime}+K_\mathrm{SM,DPF}\tau] \end{eqnarray} \tag{487.1} $$ となります。これには弊社の積分公式を用いています。このPMHF式は1st editionのPMHF第1式と完全に一致します。

PMHFを第1、第2確率コントリビューションに分解

このPMHFをIFとSM1の第1及び第2確率コントリビューションに分解します。第1及び第2確率コントリビューション$\text{Pc}^\text{1R}$及び$\text{Pc}^\text{2U}$は確率ではありませんが、掛け合わせてPMHFに貢献する要素です。

SM1を$e1$: repairable 1st fault elementと置き、IFを$e2$: unrepairable 2nd fault elementと置けば(487.1)は、 $$ M_\text{PMHF,DPF}=\frac{1}{2T_\text{lifetime}}\text{Pc}^\text{1R}\{e1\text{ up/down}\}\text{Pc}^\text{2U}\{e2\text{ down}\}\\ =\frac{1}{2T_\text{lifetime}}\lambda_\mathrm{e1}[(1-K_\mathrm{e1,DPF})T_\text{lifetime}+K_\mathrm{e1,DPF}\tau]\cdot K_\mathrm{e2,RF}\lambda_\mathrm{e2}T_\text{lifetime} \tag{487.2} $$ と書けます。確率コントリビューションは単独では意味を持たず、(487.2)のDPF積の場合にのみ使用します。

ここで、(487.2)において、$K_\mathrm{e1,DPF}$はe1のLF検出率であり、それぞれ、 $$ \begin{cases} 1-K_\mathrm{e1,DPF}=\Pr\{\overline{e1\text{ detected}}\}\\ K_\mathrm{e1,DPF}=\Pr\{e1\text{ detected}\} \end{cases} \tag{487.3} $$ と書けます。また(487.2)において、$K_\mathrm{e2,RF}$は、e2のVSG prevented確率であるため、 $$ K_\mathrm{e2,RF}=\Pr\{e2\text{ prevented}\}\tag{487.4} $$ と書けます。

よって$e1$と$e2$の確率コントリビューションは、第1と第2がそれぞれ、 $$ \begin{cases} \text{Pc}^\text{1R}\{e1\text{ up/down}\}:= \lambda_{e1}(\Pr\{\overline{e1\text{ detected}}\}T_\text{lifetime}+\Pr\{e1\text{ detected}\}\tau)\\ \text{Pc}^\text{2U}\{e2\text{ down}\}:= \Pr\{e2\text{ prevented}\}\lambda_{e2}T_\text{lifetime} \tag{487.5} \end{cases} $$ と定義されます。

なお、本稿はRAMS 2023に投稿中のため一部を秘匿していますが、論文公開後の2023年2月頃に開示予定です。RAMS 2023が終了したため、秘匿部分を開示します。

前のブログ 次のブログ

弊社の考えるPMHF式について、再度DPFについて考察します。

2nd Editionから引用したシステムアーキテクチャ図を図486.1に示します。IFがVSGとなるのを抑止する(抑止確率$K_\mathrm{IF,RF}$)のと同時に、IFがレイテントとなるのを抑止する(抑止確率$K_\mathrm{IF,DPF}$)SM1が存在します。また、SM1がレイテントとなるのを抑止する(抑止確率$K_\mathrm{SM,DPF}$)SM2が存在します。

このモデルには一点問題があります。それは、冗長の場合、すなわち、IFとSM1が同機能である場合はSM2の存在が曖昧になることです。SM1の機能はIFのVSG抑止(1st SMの機能)及びLF抑止(2nd SMの機能)となっているのに対して、SM2はSM1に対するLF抑止(2nd SMの機能)です。

問題になるのはLATの場合です。これはSM1にフォールトが起きた場合に到達する状態ですが、この際に問題はIFに対する1st SMの機能喪失は当然として、2nd SM機能まで喪失するか否かです。

• 喪失する場合 --- おそらく2nd editionの想定はこのようですが、この場合はLATに来た時刻により、LATの状態確率が変わってくるため、マルコフ性が成立しません。マルコフ性が成立しない場合の確率積分は非常に難しくなり解けないと言われています。
• 喪失しない場合 --- LATの状態確率は来た時刻に依存しないため、マルコフ性が成立します。

そもそも1st SMと2nd SMが別エレメントと考えると2nd SMは故障しないという定理から、2番目が良いと考えられます。

なお、本稿はRAMS 2023に投稿中のため一部を秘匿していますが、論文公開後の2023年2月頃に開示予定です。RAMS 2023が終了したため、秘匿部分を開示します。

前のブログ 次のブログ

IFとSMのそれぞれがお互いのレイテントフォールトカバレージを持つとして、$K_\text{IF,DPF}$及び$K_\text{SM,DPF}$で表します。前記事で記載したように、 $$ \begin{eqnarray} \left\{ \begin{array}{l} K_\text{IF,DPF}=\Pr\{\text{IF detectable}\}\\ K_\text{SM,DPF}=\Pr\{\text{SM detectable}\} \end{array} \right. \end{eqnarray} \tag{485.1} $$

ここで、IFとSMの合体エレメント$\text{IF}\cup\text{SM}$を考えると、合体エレメントのレイテントカバレージ$K_\text{DPF}$は、IFに対してはSM、SMに対してはIFのカバレージです。従って、合体エレメントが単一フォールトしても、IFのフォールトの場合はSMのカバレージ、SMのフォールトの場合はIFのカバレージとなり、合体カバレージは一切棄損しません。よって、 $$ \Pr\{(\text{IF}\cup\text{SM) detectable}\}=\Pr\{\text{IF detectable}\cup\text{SM detectable}\}\\ =\Pr\{\text{IF detectable}\}+\Pr\{\text{SM detectable}\} -\Pr\{\text{IF detectable}\}\Pr\{\text{SM detectable}\}\\ =K_\text{IF,DPF}+K_\text{SM,DPF}-K_\text{IF,DPF}K_\text{SM,DPF}\equiv K_\text{DPF} \tag{485.2} $$ 反対に、 $$ \Pr\{\overline{(\text{IF}\cup\text{SM) detectable}}\}=\Pr\{\overline{\text{IF detectable}}\cap\overline{\text{SM detectable}}\}\\ =(1-\Pr\{\text{IF detectable}\})(1-\Pr\{\text{SM detectable}\})=(1-K_\text{IF,DPF})(1-K_\text{SM,DPF})\\ =1-K_\text{DPF} \tag{485.3} $$

なお、本稿はRAMS 2023に投稿中のため一部を秘匿していますが、論文公開後の2023年2月頃に開示予定です。RAMS 2023が終了したため、秘匿部分を開示します。

前のブログ 次のブログ

IFとSMのユニオンエレメント$\text{IF}\cup\text{SM}$を考えます。ユニオンエレメントの故障率は、(484.1)のようにそれぞれの故障率の和になります。 $$ \lambda_{\text{IF}\cup\text{SM}}= \lambda_{\text{IF}}+\lambda_{\text{SM}} \tag{484.1} $$ 以降では(484.1)を証明します。まず故障率の定義式から、 $$ \lambda_{\text{IF}\cup\text{SM}}=\Pr\{\text{(IF}\cup\text{SM) down in }(t, t+dt]\ |\ \text{(IF}\cup\text{SM) up at }t\} \tag{484.2} $$ となります。ここで、故障率とは「ユニオンエレメントが$t$の直前までupで次の瞬間の$dt$間にdownすること」なので、ユニオンをIFとSMに分解して考えれば、直前のup条件はIFとSMの$\cap$であり、次の瞬間のdown条件はIFとSMの$\cup$となります。

これを用いれば(484.2)は、 $$ (484.2)=\Pr\{\text{IF down in }(t, t+dt]\cup\text{SM down in }(t, t+dt]\ |\\ \text{IF up at }t\cap\text{SM up at }t\} \tag{484.3} $$ となります。ここで条件付き確率の公式 $$ \Pr\{\text{A}\ |\ \text{B}\}=\frac{\Pr\{\text{A}\cap\text{B}\}}{\Pr\{\text{B}\}} \tag{484.4} $$ を用いれば、

$$ (\text{A}\cap\text{B of }484.3)=\Pr\{(\text{IF down in }(t, t+dt]\cap\text{IF up at }t\cap\text{SM up at }t)\\ \cup(\text{SM down in }(t, t+dt]\cap\text{IF up at }t\cap\text{SM up at }t)\} \tag{484.5} $$

さらに、和積の公式 $$ \Pr\{\text{C}\cup\text{D}\}=\Pr\{\text{C}\}+\Pr\{\text{D}\}-\Pr\{\text{C}\cap\text{D}\}\\ \approx\Pr\{\text{C}\}+\Pr\{\text{D}\}\quad s.t.\quad\Pr\{\text{C}\cap\text{D}\}\approx 0 \tag{484.6} $$ を用いれば、IFとSMのフォールトは独立事象であることも用いて、

$$ (484.5)=\Pr\{\text{IF down in }(t, t+dt]\cap\text{IF up at }t\}\Pr\{\text{SM up at }t\}\\ +\Pr\{\text{SM down in }(t, t+dt]\cap\text{SM up at }t\}\Pr\{\text{IF up at }t\} \tag{484.7} $$

さらに、 $$ (\text{B of }484.3)=\Pr\{\text{IF up at }t\}\Pr\{\text{SM up at }t\} \tag{484.8} $$ であるから、

$$ \require{cancel} (484.3)=\frac{(484.7)}{(484.8)}=\frac{\Pr\{\text{IF down in }(t, t+dt]\cap\text{IF up at }t\}\bcancel{\Pr\{\text{SM up at }t\}}}{\Pr\{\text{IF up at }t\}\bcancel{\Pr\{\text{SM up at }t\}}}\\ +\frac{\Pr\{\text{SM down in }(t, t+dt]\cap\text{SM up at }t\}\bcancel{\Pr\{\text{IF up at }t\}}}{\Pr\{\text{SM up at }t\}\bcancel{\Pr\{\text{IF up at }t\}}}\\ =\Pr\{\text{IF down in }(t, t+dt]\ |\ \text{IF up at }t\}+\Pr\{\text{SM down in }(t, t+dt]\ |\ \text{SM up at }t\}\\ =\lambda_\text{IF}+\lambda_\text{SM}\hspace{100pt}■ \tag{484.9} $$

なお、本稿はRAMS 2023に投稿中のため一部を秘匿していますが、論文公開後の2023年2月頃に開示予定です。RAMS 2023が終了したため、秘匿部分を開示します。

前のブログ 次のブログ

前稿でご紹介した、2023年1月26日からフロリダ州オーランドのホテル・カンファレンスセンターで開催される予定のRAMS 2023(69th Annual Reliability and Maintainability Symposium)に、弊社代表が投稿した論文のアブストラクトが採択されたとの連絡が届きました。まだアブストラクトの採択ですが、正式採択されれば4年連続採択となります。正式採択に向け、8月の締め切りまでに論文をブラッシュアップしていくことになります。

表483.1はRAMS 2023正式採択までのマイルストーンであり、今後適宜更新します。

前のブログ 次のブログ

来年のRAMS 2023の日程が、2023/1/23～26と発表されました。場所はフロリダ州オーランドのフロリダホテル・カンファレンスセンターです。弊社は今年もアブストラクトを提出済みです。アブストラクトの採択の発表は例年どおり、6月初旬とのことです。

前のブログ 次のブログ

ISO 26262規格の疑問

そもそも論ですが、ISO 26262規格第2版の考え方には疑問があり、過去に何度も書いています。記事#68、#69、#109、#130、#313、#329、#344、#473。弊社の見方では、

• 第1版(the first edition, 2011年版)
  SMにはIFの代替機能無し。従ってIFがfailするとSMは機能を代替できないため、その場で故障が起きる。一方SMはフォールトしてもサブシステムは故障しない。すなわち、SMはリペアラブル、IFはアンリペアラブルが前提。
  
  PMHF式のべースとなるモデルは弊社に依れば図481.1のとおりIFU-SMUモデルとして構成されており、導出されたPMHF結果式は正しい。

  図481.1 1st edition CTMC

• 第2版(the second edition, 2018年版)
  SMにはIFの代替機能有り。従ってIFがfailするとSMは機能を代替する。例えば冗長構成が対象。IFもSMもフォールトすると代替機構が働くことにより、サブシステムは故障しない。すなわち、IFもSMもリペアラブルが前提。
  
  PMHF式のべースとなるモデルは図481.2のとおりIFRモデルとして構成されておらず、IFU-SMUモデルとして構成されている。従って、導出されたPMHF結果式は誤り。さらにPattern 2, 4には計算誤りまで含まれている。

  図481.2 2nd edition CTMC

2nd editionの誤りは1st editionで用いたIFUモデルを引き続き用いたところにあります。本来は両方のエレメントがリペアラブルでなくてはなりません。ところが、2nd editionでは最初にIFがフォールトするとその後SMはアンリペアラブルとなります。逆に最初にSMがフォールトするとその後IFはアンリペアラブルとなります。つまり、最初にフォールトしたエレメントのみがリペアラブルという前提です。

例えばIFフォールト⇒IFフォールトリペア⇒SMフォールト⇒IFフォールトとなることはできません。(479.1)において、カッコ内の式に $$ \left[\int_t^{T_\text{lifetime}}f_\text{IF}(t')dt'\cdot\color{red}{R_\text{IF}(t)}\right] $$ とあるように、$R_\text{IF}(t)$が意味するところは時刻$t$まではIFは一度もダウンしていないことを表します。これはIFはアンリペアラブルであることを意味します。本来、IFのアベイラビリティである$A_\text{IF}(t)$でなくてはなりません。 従って、サブシステムは図481.3のとおりIFRモデルでなくてはなりません。

第2版の誤りは、DPFのケース分類をする時に、

　①IF⇒SM1、もしくは
　②SM1⇒IF

の2通りしかないとしたところは正しかったのですが、本来は

　①(IF/SM1のup/downが0回以上起きる)⇒最後から2つ目のフォールトがIF⇒最後のフォールトがSM1、もしくは
　②(IF/SM1のup/downが0回以上起きる)⇒最後から2つ目のフォールトがSM1⇒最後のフォールトがIF

とすべきところを、なぜか、

　①最初のフォールトがIF⇒(IFのup/downが0回以上起きる)⇒最後のフォールトがSM1、もしくは
　②最初のフォールトがSM1⇒(SM1のup/downが0回以上起きる)⇒最後のフォールトがIF

と誤ったところにあると考えます。最初のフォールトが起きるエレメントを決めてしまうと、相手のエレメントフォールトが起きる場合にはDPFになってしまいます。従って相手のエレメントのフォールトは最後に起きるしかありません。従って最後のフォールトが起きる、相手のエレメントは非修理系でなくてはならない過剰な制約がつきます。黄色で示した無視された部分の違いが示すように、本来はIFもSM1も修理系のはずです。

DPF項はPMHF全体に対して3%未満であるという経験からすると、どちらでも良いと考えがちですが、EOTTIにはこのDPFが大きく効いてくるため、無視はできません。弊社の計算では30～40倍もEOTTIが異なるため、規格式による設計では耐故障システムに関しては数十倍の厳しい設計制約となります。

なお、本稿はRAMS 2024に投稿予定のため一部を秘匿していますが、論文公開後の2024年2月頃に開示予定です。

前のブログ 次のブログ