VSG 計数過程を用いた PMHF と PFH の厳密比較

本稿では危険事象を最初から同じ VSG に固定し、その発生回数を数える計数過程を導入することで、PMHF と PFH を厳密に比較します。

確率空間 $(\Omega,\mathcal F,\Pr)$ 上で定義されたサブシステム過程 $(\eta_t^\text{sub})_{t\ge0}$ を考えます。VSG に対応する危険集合を $\mathcal P_\text{VSG}$ とし、時刻 $t$ までに発生した VSG の累積回数を表す計数過程を $(N_t^\text{VSG})_{t\ge0}$ とします。VSG の初回発生時刻を

$$ \sigma_\text{VSG}=\inf\{t\ge0\mid N_t^\text{VSG}\ge1\} \tag{1071.1} $$

と定義します。

このとき、寿命 $T$ までに少なくとも一度 VSG が発生した事象は

$$ \Pr\{\sigma_\text{VSG}\le T\}=\Pr\{N_T^\text{VSG}\ge1\} \tag{1071.2} $$

と書けます。したがって PMHF は

$$ \mathrm{PMHF}(T)=\frac{1}{T}\Pr\{\sigma_\text{VSG}\le T\}=\frac{1}{T}\Pr\{N_T^\text{VSG}\ge1\} \tag{1071.3} $$

で定義されます。

一方、同じ危険事象 VSG に対して PFH は、その発生回数の期待値から

$$ \mathrm{PFH}(0,T)=\frac{1}{T}E\{N_T^\text{VSG}\} \tag{1071.4} $$

と定義されます。

ここで、時刻 $T$ までにちょうど $n$ 回 VSG が発生する確率を

$$ p_n(T)=\Pr\{N_T^\text{VSG}=n\} \qquad (n=0,1,2,\ldots) \tag{1071.5} $$

と書けば、

$$ \Pr\{N_T^\text{VSG}\ge1\}=\sum_{n=1}^{\infty}p_n(T), \qquad E\{N_T^\text{VSG}\}=\sum_{n=1}^{\infty}n\,p_n(T) \tag{1071.6} $$

です。

したがって、PMHF と PFH の差は

$$ \mathrm{PFH}(0,T)-\mathrm{PMHF}(T)=\frac{1}{T}\left(\sum_{n=1}^{\infty}n\,p_n(T)-\sum_{n=1}^{\infty}p_n(T)\right) \tag{1071.7} $$

となり、さらに整理すると

$$ \mathrm{PFH}(0,T)-\mathrm{PMHF}(T)=\frac{1}{T}\sum_{n=2}^{\infty}(n-1)p_n(T) \tag{1071.8} $$

を得ます。

すなわち、PMHF と PFH の厳密差は、寿命区間内における 2 回目以降の VSG 発生の寄与そのものです。PMHF は「一度でも起きたか」を見るのに対し、PFH は「何回起きたか」を見るので、この差が生じます。

前のブログ 次のブログ

Geminiに設計してもらったプログラムを以下に示します。

// --- コンフィギュレーション設定（マイコンの基本動作設定） ---
#pragma config FOSC = INTOSC    // 内蔵クロックを使用
#pragma config WDTE = OFF       // ウォッチドッグタイマーOFF
#pragma config PWRTE = ON       // パワーアップタイマーON
#pragma config MCLRE = OFF      // 4番ピンをリセットに使わずGPIO(RA3)として使う
#pragma config CP = OFF         // コードプロテクトOFF
#pragma config BOREN = ON       // 電圧低下で安全停止
#pragma config CLKOUTEN = OFF   // クロック出力OFF
#pragma config LVP = OFF        // 低電圧プログラミングOFF（ICSP動作を安定させる）

#include <xc.h>

// 動作クロックの定義（__delay_msの計算に必要）
#define _XTAL_FREQ 4000000 

void main(void) {
    // --- マイコンの初期化 ---
    OSCCON = 0x6A;          // 内部クロック4MHzに設定
    ANSELA = 0x00;          // 全ピンをデジタルモードに設定（スイッチ入力に必須）
    TRISA = 0b00100000;     // RA5(2番ピン)を入力、他を出力に設定
    WPUA = 0b00100000;      // RA5を内部プルアップ設定
    OPTION_REGbits.nWPUEN = 0; // 内部プルアップ機能を有効化

    // PWM（調光）の初期設定
    PWM1CON = 0xC0;         // PWM1(5番ピン/RA2)を有効化
    PWM3CON = 0xC0;         // PWM3(3番ピン/RA4)を有効化
    T2CON = 0x04;           // Timer2 ON, プリスケーラ1:1
    PR2 = 255;              // PWMの周期設定

    // 制御用変数の宣言
    unsigned char mode = 1;      // 0:消灯, 1:交互ゆらぎ, 2:全点灯, 3:点滅
    unsigned char duty_L = 0;    // 左側の明るさ用変数
    signed char direction = 5;   // 明るさの変化量（プラスで明るく、マイナスで暗く）

    while(1) {
        // --- モード切り替えスイッチ判定（2番ピンをGNDに落とすと反応） ---
        if (RA5 == 0) {
            __delay_ms(20);      // チャタリング防止
            if (RA5 == 0) {      // 押し続けられているか再確認
                while(RA5 == 0); // 指を離すまで待機
                __delay_ms(20);  // 離した後の安定待ち
                
                mode++;          // モードを1つ進める
                if (mode > 3) mode = 0; // モード0〜3を循環
                
                // モード切替時に明るさ変数をリセット
                duty_L = 0;
                direction = 5;
            }
        }

        // --- 各モードの動作実行 ---
        switch(mode) {
            case 0: // 【全消灯】
                PWM1DCH = 0;
                PWM3DCH = 0;
                break;

            case 1: // 【アナログ交互ゆらぎ】★初期起動モード
                PWM1DCH = duty_L;           // 5番ピン(L)を出力
                PWM3DCH = (unsigned char)(255 - duty_L); // 3番ピン(R)は逆位相で出力
                
                // 明るさを変化させる
                if (direction > 0) {
                    if (duty_L < 250) {
                        duty_L += 5;
                    } else {
                        direction = -5; // 上限で反転
                    }
                } else {
                    if (duty_L > 5) {
                        duty_L -= 5;
                    } else {
                        direction = 5;  // 下限で反転
                    }
                }
                __delay_ms(40); // 変化のスピード調整（ニューヨークの夜景風）
                break;

            case 2: // 【全点灯】
                PWM1DCH = 255;
                PWM3DCH = 255;
                break;

            case 3: // 【同時点滅】
                PWM1DCH = 255;
                PWM3DCH = 255;
                __delay_ms(300);
                PWM1DCH = 0;
                PWM3DCH = 0;
                __delay_ms(300);
                break;
        }
        __delay_ms(10); // ループの安定用ウェイト
    }
}

コンパイル(build)は金槌のアイコンをクリックします。PICへの書き込みはダウンロードのような下向き矢印アイコンをクリックします。読み出しはアップロードのような上向き矢印アイコンをクリックします。書き込んだPICかみ書き込みかは読みだすとわかります。

前のブログ 次のブログ

ガーバーデータ及び完成したPCBを示します。

図1069.1　点滅回路ガーバー図

製造はいつものようにJLCPCBに依頼し、PCB製造は2.0日間で2 USD、配送料は3日で13.5 USDでした。 最終的に3月24日午前に発注して、3月27日にPCBを香港からの航空便で受け取れたので、中2日しかかかっていません。驚異的な速さです。

図1069.2　点滅回路PCB

前のブログ 次のブログ

次回RAMS 2027に投稿する論文「Stochastic Analytical Formulation of Rate-Based Metrics in Functional Safety Standards」のアブストラクトを作成し、投稿しました。従来だとAJEにネイティブチェックしてもらう段階ですが、LLMの精度が上がってるのでAJEには出さずに済みそうです。

過去に掲載した論文の実績と予定をアップデートします。

前のブログ 次のブログ

Studio 500 3D Pop Up Wall Artの修理をすることになりました。LEDが点滅しなくなったので、点滅回路を作成します。

まずPICを用いて点滅シーケンスを再現します。EAGLEで作成した回路図は以下のようになります。上部のコネクタはin-circuitでPICプログラミングするためのコネクタです。

以下にレイアウト図を示します。

前のブログ 次のブログ

10 FIT・1万時間では 2 回目以降の寄与はどれくらいか

前稿の (1062.7) は、PFH と PMHF 型の量の厳密な差が、寿命区間 $[0,T]$ における 2 回目以降の危険事象の寄与であることを示していました。ここでは、その差が実用上どの程度の大きさになるのかを、一定危険故障率を仮定した数値例で見ておきます。

前稿の記号をそのまま使えば、

$$ \mathrm{PFH}(0,T)-\mathrm{PMHF}^{\ast}(T) =\frac{1}{T}\sum_{n\ge2}(n-1)\Pr\\{N_\text{DF}(T)=n\\} \tag{1066.1} $$

です。

ここで、危険事象の発生率を一定とみなし、寿命区間内の危険事象回数 $N_\text{DF}(T)$ をポアソン分布で近似します。たとえば、危険故障率を 10 FIT、車両寿命を 1 万時間とすると、

$$ \lambda = 10\,\mathrm{FIT}=10^{-8}\,\mathrm{h}^{-1},\qquad T = 10^{4}\,\mathrm{h},\qquad \lambda T = 10^{-4} \tag{1066.2} $$

です。

このとき、寿命区間内に 2 回以上危険事象が起きる確率は

$$ \Pr\{N_\text{DF}(T)\ge2\} =1-e^{-\lambda T}(1+\lambda T) \approx 4.99966668\times10^{-9} \tag{1066.3} $$

となります。これは寿命全体で見ても約 5 ppb です。

これを寿命で割って FIT 風に書けば、

$$ \frac{1}{T}\Pr\\{N_\text{DF}(T)\ge2\\} \approx 4.99966668\times10^{-13}\,\mathrm{h}^{-1} =4.99966668\times10^{-4}\,\mathrm{FIT} \tag{1066.4} $$

です。

同じ仮定の下で、(1066.1) の厳密差そのものは

$$ \mathrm{PFH}(0,T)-\mathrm{PMHF}^{\ast}(T) =\lambda-\frac{1-e^{-\lambda T}}{T} \approx 4.99983334\times10^{-13}\,\mathrm{h}^{-1}\\\ =4.99983334\times10^{-4}\,\mathrm{FIT} \tag{1066.5} $$

となります。(1066.4) とほとんど同じ値になるのは、この条件では 3 回目以降の寄与がさらに極小だからです。

10 FIT という目標値に対する比で見れば、

$$ \frac{4.99983334\times10^{-4}}{10} \approx 4.99983334\times10^{-5} \approx 0.005\,\% \tag{1066.6} $$

です。

したがって、10 FIT・1 万時間という典型的な条件では、PFH と PMHF 型の量の厳密差は数値的には約 $5\times10^{-4}$ FIT にすぎず、2 回目以降の危険事象の寄与は実務上ほぼ無視できる範囲にあります。

この数値例が示しているのは、前稿の (1062.7) が表している「厳密な差」は確かに存在するものの、寿命区間全体に希少事象近似を拡張しても、多くの実用条件ではその差が十分小さい、ということです。

本稿はRAMS 2027に投稿予定であるため、重要な数式を一部秘匿しています。

前のブログ 次のブログ

PFH の $\sum\lambda$ 式は何を省略しているか

前々稿の結果を一般の潜在状態モデルの記号で表すと、PFH 側で、危険事象の直前にある潜在状態の時点不稼働確率を $U_\text{LAT}(t)$、そこから危険事象を生じさせる最後の危険故障率を $\lambda_\text{last}$、単独で危険事象を生じさせる SPF 寄与を $\lambda_\text{SPF}$ としたとき、

$$ \mathrm{PFH}(0,H)\approx\lambda_\text{SPF}+\frac{\lambda_\text{last}}{H}\int_0^H U_\text{LAT}(t)\,dt \tag{1065.1} $$

と書けます。

ここで、各サブシステム $i$ の内部時間依存を平均化した量を

$$ \lambda_i:=\frac{1}{H}\int_0^H w_i(t)\,dt \tag{1065.2} $$

と書きます。規格で見える $\lambda$ は、このような平均量として読めます。

本稿で問題にしたいのは、サブシステム内部で潜在状態を経由する 2 次項が表示式から省略されていることです。すなわち、(1065.1) の第2項

$$ \Delta_\text{2nd}(H):=\frac{\lambda_\text{last}}{H}\int_0^H U_\text{LAT}(t)\,dt \tag{1065.3} $$

に対して

$$ \Delta_\text{2nd}(H)\ll\lambda_\text{SPF} \tag{1065.4} $$

として、これを無視します。すると

$$ \mathrm{PFH}(0,H)\approx\lambda_\text{SPF} \tag{1065.5} $$

となります。

さらに、互いに独立な SPF 寄与が $m$ 個あり、それぞれの平均危険故障率を $\lambda_i$ とすると

$$ \lambda_\text{AVG}\approx\sum_{i=1}^{m}\lambda_i\approx\sum_{i=1}^{m}\lambda_{\text{SPF},i} \tag{1065.6} $$

です。これが規格で見える $\sum\lambda$ 形です。

このことは、1059 で得た PMHF の DPF 項

$$ \frac{1}{2}\lambda_\text{IF,DPF}\lambda_\text{SM}\bigl((1-K_\text{SM,DPF})T+K_\text{SM,DPF}\tau\bigr) \tag{1065.7} $$

と比較すると分かりやすくなります。前稿の PFH の 2 次項とこの DPF 項は、どちらも

「第1故障率 × 平均露出時間 × 第2故障率」

という同じ 2 次構造を持っています。したがって、規格を素直に読む限り PFH は SPF の和として理解されますが、状態モデルを復元すると PFH 側にも 2 次項は現れ、そこで初めて PMHF の DPF 項と同じ数理構造が見えてきます。

本稿はRAMS 2027に投稿予定であるため、重要な数式を一部秘匿しています。

前のブログ 次のブログ

規格上のPFHの計算式

前稿では、同じ IF-SM 潜在状態モデルを PFH 側にも持ち込むと、PFH も PMHF と同じ形の 2 次項を持つことを示しました。これに対して、IEC 61508 の本文では(図1064.1) PFH は各サブシステムの $\lambda$ を加える形で提示されており、その加法形がどの状態モデルの縮約であり、どの仮定の下で妥当かは、その箇所では明示されていません。

この文の和訳は以下です。したがって、規格を素直に読む限り、PFH は実質的に $\sum\lambda$ で与えられる量として受け取られます。

これに慣れていると、ISO 26262においても故障率は全て加え合わせれば良いと誤解します。逆にこれこそがPMHFの誤った計算法が無くならない理由かもしれません。

本稿はRAMS 2027に投稿予定であるため、重要な数式を一部秘匿しています。

前のブログ 次のブログ

同じ IF-SM 潜在状態モデルを PFH 側に持ち込んだときの形

前稿では、PFH と PMHF 型の量の厳密な差が、区間内における 2 回目以降の危険事象の寄与として表されることを示しました。本稿では、1057〜1059 で用いた IF-SM 潜在状態モデルをそのまま PFH 側にも適用すると、どのような式になるかを示します。

同じ IF-SM 潜在状態モデルを用いると、時刻 $t$ における危険事象への総流入頻度は

$$ w_D(t) =\Pr\{\eta_t^\text{IF}\in\mathcal M_\text{IF}\}\lambda_\text{IF,SPF} +\Pr\{\eta_t^\text{SM}\in\mathcal P_\text{SM},\ \eta_t^\text{IF}\in\mathcal M_\text{IF}\}\lambda_\text{IF,DPF} \tag{1063.1} $$

と書けます。第1項は IF の SPF 寄与、第2項は SM の潜在故障状態における IF の危険遷移です。

ここで IF 側については、$\lambda_\text{IF}t\ll1$のときは小確率近似より

$$ \Pr\{\eta_t^\text{IF}\in\mathcal M_\text{IF}\} =e^{-\lambda_\text{IF}t}\approx1-\lambda_\text{IF}t\approx1 \tag{1063.2} $$

です。また、1060 の (1060.10) より、第2項の同時確率は $U_\text{SM}(t)$ で近似できるので、

$$ w_D(t)\approx\lambda_\text{IF,SPF}+\lambda_\text{IF,DPF}U_\text{SM}(t) \tag{1063.3} $$

となります。

評価区間を $H$ とすると、PFH は

$$ \mathrm{PFH}(0,H) =\frac{1}{H}E\{N_D(H)\} =\frac{1}{H}\int_0^H w_D(t)\,dt \tag{1063.4} $$

なので、(1063.3)及び(1063.4)から

$$ \mathrm{PFH}(0,H)\approx\lambda_\text{IF,SPF}+\frac{\lambda_\text{IF,DPF}}{H}\int_0^H U_\text{SM}(t)\,dt \tag{1063.5} $$

です。

ここで、$U_\text{SM}(t)$ の式は (1057.8)、小確率近似は (1057.9) に与えられています。また、その寿命平均の計算は (1059.3)〜(1059.7) と同様です。したがって、

$$ \frac{1}{H}\int_0^H U_\text{SM}(t)\,dt \approx\frac{1}{2}\lambda_\text{SM}\bigl((1-K_\text{SM,DPF})H+K_\text{SM,DPF}\tau\bigr) \tag{1063.6} $$

となります。

これを (1063.5) に代入すると

$$ \mathrm{PFH}(0,H)\approx\lambda_\text{IF,SPF}+\frac{1}{2}\lambda_\text{IF,DPF}\lambda_\text{SM}\bigl((1-K_\text{SM,DPF})H+K_\text{SM,DPF}\tau\bigr) \tag{1063.7} $$

です。さらに、1058 の (1058.5) を代入すると、

$$ \mathrm{PFH}(0,H)\approx(1-K_\text{IF,RF})\lambda_\text{IF}+\frac{1}{2}K_\text{IF,RF}\lambda_\text{IF}\lambda_\text{SM}\bigl((1-K_\text{SM,DPF})H+K_\text{SM,DPF}\tau\bigr) \tag{1063.8} $$

を得ます。

この式は、1059 で得た PMHF の最終式と同じ形です。したがって、同じ IF-SM 潜在状態モデル、同じ近似、同じ評価区間を用いるなら、PFH と PMHF は 1 次近似では同じ式になります。

ただし、IEC 61508 の本文では PFH は各サブシステムの $\lambda$ を加える形で提示されており、その加法形がどの状態モデルの縮約であり、どの仮定の下で妥当かは明示されていません。したがって、規格を素直に読む限り、PFH は実質的に $\sum\lambda$ で与えられる量として受け取られます。少なくとも規格に表れている式では、潜在状態を経由する二重故障経路は明確化されていません。

前のブログ 次のブログ

PFH と PMHF の厳密量の差

前稿の (1061.8) により、PFH は区間 $[0,T]$ における危険事象発生回数の期待値を $T$ で割った量として定義されます。本稿では、同じ危険事象に対して PMHF 型の量を定義し、両者が厳密にはどこで異なるのかを整理します。結論を先に言えば、その差は区間内における 2 回目以降の危険事象の寄与です。

同じ危険事象に対して、その初回発生時刻を

$$ \sigma_\text{DF}:=\inf\{t\ge0\mid N_\text{DF}(t)\ge1\} \tag{1062.1} $$

と定義します。

このとき、

$$ \{\sigma_\text{DF}\le T\}=\{N_\text{DF}(T)\ge1\} \tag{1062.2} $$

が成り立ちます。したがって、同じ危険事象に対する PMHF 型の量は

$$ \mathrm{PMHF}^{\ast}(T):=\frac{1}{T}\Pr\{\sigma_\text{DF}\le T\} =\frac{1}{T}\Pr\{N_\text{DF}(T)\ge1\} \tag{1062.3} $$

と書けます。VSG を吸収集合として扱う PMHF は、この形の量に対応します。

一方、前稿の PFH 定義に現れる期待回数は

$$ E\{N_\text{DF}(T)\} =\sum_{n\ge1}n\,\Pr\{N_\text{DF}(T)=n\} \tag{1062.4} $$

です。

これに対して、初回到達確率は

$$ \Pr\{N_\text{DF}(T)\ge1\} =\sum_{n\ge1}\Pr\{N_\text{DF}(T)=n\} \tag{1062.5} $$

です。したがって両者の差は

$$ E\{N_\text{DF}(T)\}-\Pr\{N_\text{DF}(T)\ge1\} =\sum_{n\ge2}(n-1)\Pr\{N_\text{DF}(T)=n\} \tag{1062.6} $$

となります。

前稿の PFH 定義と (1062.3), (1062.6) より、

$$ \mathrm{PFH}(0,T)-\mathrm{PMHF}^{\ast}(T) =\frac{1}{T}\sum_{n\ge2}(n-1)\Pr\{N_\text{DF}(T)=n\} \tag{1062.7} $$

です。

この式が示しているのは、PFH と PMHF 型の量の厳密な差が、区間 $[0,T]$ における 2 回目以降の危険事象の寄与そのものである、ということです。修理系では危険事象発生後も修理復帰し得るため、この項は一般には消えません。

これに対して、寿命区間 $[0,T]$ において危険事象は高々 1 回しか起きないという希少事象近似を

$$ \Pr\{N_\text{DF}(T)\ge2\}\approx0 \tag{1062.8} $$

と置けば、

$$ E\{N_\text{DF}(T)\}\approx\Pr\{N_\text{DF}(T)\ge1\} \tag{1062.9} $$

となります。したがって、PFH と PMHF 型の量の差は 1 次では見えなくなります。

要するに、PFH と PMHF の違いは、厳密には繰返し発生を数える量と初回到達をみる量の違いです。しかし希少事象近似を寿命区間全体にまで拡張すると、その差は 2 回目以降の発生確率に押し込められ、1 次では見えなくなります。次稿では、1057〜1059 で用いた IF-SM 潜在状態モデルを PFH 側にも持ち込み、同じ一次近似の下でどのような式になるかを示します。

前のブログ 次のブログ