結論

最後に本論文$\dagger$の結論部分では、

安全機構とミッションブロックが異なる場合、冗長アーキテクチャMooNは異なる非同一チャネルを持つ。この場合、MooN冗長アーキテクチャの一般化PMHF公式の開発は非常に複雑になる。しかし、異なるチャネルを持つアーキテクチャ1oo2に対して式(13)で得られた結果は、両方の公式式において同一のチャネルを仮定した場合の式(9)で得られた結果と等しい。

と述べており、非対称冗長について一般化PMHFが複雑になると言いながら、同一のチャネルを仮定しているのは理解できません。複雑であっても"m"と"sm"は非対称冗長の場合、異なる故障率を持つためです。これは前稿で指摘の(iv)項です。

同じく結論部分において、

今後の研究課題としては、本論文で開発したPMHF公式をMooN冗長アーキテクチャ向けに拡張し、多点欠陥検出間隔を持つ安全機構のテストや、非同一チャネルの考慮を含めることが考えられる。

と書いており、これらが考慮されていないことは著者自身でも課題(ないしは問題)だと思っているようです。これら2つの課題は、

• MPF検出率(DC)及び検出周期$\tau$を持つ2nd SMの効果
• 非対称冗長チャネル

であり、それぞれ前稿で指摘の(ii)(iii)及び(iv)項にあたります。著者はこの考慮を今後の研究課題としていますが、ISO 26262コンプライアンスを考えれば、本来は最初からこれらの条件を含めるべきでした。

また、本論文も例に漏れず、揃って規格のPMHF式を無視していますが、一つにはPart 10は参考情報であり、そのため読まれていないのではないでしょうか？どうも規格式について全般的にリスペクトが不足しており、まともに読んで批判しているのは弊社だけのように思います。

PFHとPMHFの比較と言うのは良い着眼であり、弊社でも過去に取り上げています。それに従えば、どちらも定義は「$\img[-1.35em]{/images/withinseminar.png}$」ですが、PFHが非修理系を対象にしているのに比べ、PMHFは定期検査修理を前提にしているため、その反映により計算式は異なってくるわけです。具体的には$\img[-1.35em]{/images/withinseminar.png}$が異なり、それらが次回RAMS 2025投稿論文のテーマです。

なお、本稿はRAMS 2025に投稿予定のため一部を秘匿しています。

$\dagger$E. Rogova, C. Nowak, M. Ramold, et al., "Comparison of Analytical Formulas of PFH and PMHF Calculation for M-out-of-N Redundancy Architecture," Europ. Safe. Reliab. Conf.,, pp.1-5, 2019

前のブログ 次のブログ

アブストラクトの最後

本論文$\dagger$の最初に戻ってみると、アブストラクトの最後に、

本論文で示す比較分析により、PFH公式とPMHF公式が異なるケーススタディに対して同様の結果を与えることが実証された。

と主張していますが、ISO 26262の仮定を捨ててIEC 61508と同様な非修理系という誤った仮定を導入すれば、似たような式が得られても当然です。

本来はPeriodic inspection and repair (PIR) 保守戦略に基づく不稼働度を計算すべきであり、その仮定の元ではPMHF式は似たような式にはなりません。

誤りの背景

総じてこれらの仮定の誤りはISO 26262を良く分析していないことからくるものと思われ、これはIEC 61508出身の研究者にしばしば見られる現象です。それは、IEC 61508の観点からしかISO 26262を眺められないところに原因があります。

彼らの論文や資料には特有のパターンがあり、ISO 26262の論文や資料であるにも関わらずDU, DDで始まったら要注意です。そもそもISO 26262にはDU, DD等の用語はなく、かつDU, DD故障率はオブザーバブルではないため、以下のように1st SMのカバレージであるKパラメータ$K_\text{RF}$を用いて示すべきです。 $$ \lambda_\text{DD}=K_\text{RF}\lambda_\text{IF},\ \lambda_\text{DU}=(1-K_\text{RF})\lambda_\text{IF} $$

さらに、ISO 26262に存在する故障の区別、具体的にはSPFとDPFの区別がIEC 61508には存在しません。DPFは1oo2として取り扱うべきです。多くの著者はIEC 61508には存在しないLF(以下の式の$\lambda_\text{MPF,l}$)の概念が理解できずに故障率を以下の誤りの式の如く、全て加算してしまいがちです。過去記事中の論文や資料にも同様な誤りが見られます。 $$ \lambda_\text{DD}=\lambda_\text{SPF}+\lambda_\text{RF}+\lambda_\text{MPF,l} $$

さらに、修理の概念が無いようで、ISO 26262の基本の仮定であるPIRを考慮していません。

「ISO 26262などはIEC 61508の派生ないし亜流だ」と言う誤った考えを持たないことが、ISO 26262の理解の秘訣となります。

$\dagger$E. Rogova, C. Nowak, M. Ramold, et al., "Comparison of Analytical Formulas of PFH and PMHF Calculation for M-out-of-N Redundancy Architecture," Europ. Safe. Reliab. Conf.,, pp.1-5, 2019

前のブログ 次のブログ

仮定のまとめ

本論文$\dagger$はその中程に、置いた4つの仮定をまとめてリストしています。

(i) すべての危険故障の故障率は，λD である（IEC 61508 の概念では DD と DU を区別せず，ISO 26262 の概念では SPF，RF，DPF 及び MPF を区別しない）
(ii) PFH 公式におけるプルーフテスト間隔$\tau$は、PMHF 公式における運転寿命間隔 $T_{Lifetime}$と等価である
(iii) システムは修理不可能である
(iv) チャネルが同一で独立している

これはいずれも誤りです。一項目ずつ見ていきます。

• IEC 61508はいざ知らず、ISO 26262においてはSPF, RFとは区別せず、DPF, MPFも区別せずで良いですが、それら2グループには明確な区別があります。言うまでもなく故障によるVSG確率が全く異なるため、それを考慮しなければなりません。具体的にはDPFは2重故障を意味するため、故障確率の2乗項が出現します。
• 「PMHF式では$\tau=T_{lifetime}$として良い」と言っていますが、前稿で指摘したようにこれは誤りで、ISO 26262にもプルーフテストというか定期検査修理は存在するため、テスト周期は$\tau$となり、車両寿命ではありません。反対にこう仮定すると、2nd SMの存在が無いことになります。規格書では2nd SMの存在がブロック図に書かれているにも関わらず、それが無視されています。
• ISO 26262で対象とするサブシステムは修理可能です。Part 10のPMHF式の箇所に、ドライバーがMPFを通知され、修理工場へ持ち込む表現があります。もちろんMPFを検出するのが2nd SMです。
• チャネルは前項のように、独立であっても同一ではありません。「冗長」は必ずしも対称冗長を意味しません。

以上から、論文途中の仮定リストの全点が誤っている(=ISO 26262非互換である)ため、ここから先の検討は不要となります。

$\dagger$E. Rogova, C. Nowak, M. Ramold, et al., "Comparison of Analytical Formulas of PFH and PMHF Calculation for M-out-of-N Redundancy Architecture," Europ. Safe. Reliab. Conf.,, pp.1-5, 2019

前のブログ 次のブログ

不当な仮定1

正しく引用されたことは良かったのですが、本論文$\dagger$では弊社の式に対して新たに以下の(12)という仮定を加えており、残念なことにこれでは一般性を失う不要な仮定です。

$$ \lambda_{m,MPF}=\lambda_{sm,MPF}=\lambda_{MPF}=\lambda_{D}\tag{12} $$

この(12)の意味するところは"m"も"sm"も同じ故障率を持つこと、すなわち対称冗長を意味しており、これは特殊な場合に限られます。

反例を示すと、例えば過去記事の図70.1に示すヘッドライト装置の実例のように、

メカスイッチからのON信号をメインのチャネルではマイコンで点灯し、バックアップチャネルではトランジスタで点灯するような非対称冗長には(12)は当てはまりません。以下のように"m"系の故障率のほうが"sm"系よりも巨大になるためです。 $$ \lambda_{m,MPF}\gg\lambda_{sm,MPF} $$ さらに言えば、このような非対称冗長は、特にASIL分解においては、規格ではむしろ推奨されています。マイコンに低いASILを割り当てておき、複雑なシステムの開発を容易にできる一方、壊れにくい単純なトランジスタで元の安全要求を保証できるためです。

不当な仮定2

さらに別の仮定の問題があります。弊社の式における2nd SMの検査周期である$\tau$について、$\tau=T_{lifetime}$と仮定してしまったことです。これは2nd SMが存在しないか、あるいはDCがゼロであることを意味します。これは誤った仮定です。

なぜそうしたかはその箇所には書かれていませんが、アンリペアラブルという仮定を置いているのが後からわかります。

$\dagger$E. Rogova, C. Nowak, M. Ramold, et al., "Comparison of Analytical Formulas of PFH and PMHF Calculation for M-out-of-N Redundancy Architecture," Europ. Safe. Reliab. Conf.,, pp.1-5, 2019

前のブログ 次のブログ

M-out-of-N冗長アーキテクチャにおいて、PFHとPMHFを比較するという大変興味深い論文$\dagger$をたまたま見つけたので読んでいきます。弊社の論文が引用されていたにも関わらず最近まで知りませんでした。

アブストラクト

例によって、DeepLで翻訳しながら見ていきます。まずアブストラクトから。

道路運送車両の国際機能安全規格ISO 26262は、ランダムなハードウェア故障が安全目標に違反する確率を定量的に推定する方法として、ランダムなハードウェア故障に対する確率的指標（PMHF）を用いることを提案している。PMHFの計算例はISO 26262に示されている。しかし、この規格にはM-out-of-Nの冗長アーキテクチャに対するPMHFの計算公式は含まれていない。 この公式は、冗長性の問題と冗長アーキテクチャの確率論的メトリクスの計算が特に関連するドライブ・バイ・ワイヤ・システムにおいて重要な応用を見出すことができる。

本論文では、M-out-of-N冗長アーキテクチャのPMHF計算公式を開発し、国際機能安全規格IEC 61508で定義されている高需要モードと連続需要モードの安全システムの平均危険故障頻度(PFH)公式と比較した。本論文で示す比較分析により、PFH公式とPMHF公式が異なるケーススタディに対して同様の結果を与えることが実証された。これらのケーススタディは、IEC 61508とISO 26262で定義されているさまざまなタイプの故障を考慮して調査されている。

アブストラクトに示すように、IEC 61508で定義されているPFDとPFHと、ISO 26262で定義されているPMHFを比較し、さらにMooN冗長サブシステムへの式の拡張を行ったものです。

弊社論文

弊社でも2018年以前にISO 26262のPMHFを実際のプロジェクトに適用した経験があり、さらにそのサブシステムが冗長構成であったので、PMHFの適用には悩みました。というのは2011年に発行された規格初版において、規格PMHF式は冗長に対応していなかったためです。そこで、弊社は2017年に冗長構成に対応したPMHF式の拡張を提案する論文を発表しましたが、本論文にはきちんと弊社論文が引用されています。

異なるチャネルを持つ2チャネル冗長アーキテクチャのPMHF公式は桜井によって得られている（桜井, 2018）。非同一チャネルを持つMooN冗長アーキテクチャのための一般化されたPMHF公式は非常に複雑になる。式(13)は非同一チャネルを持つ2チャネル冗長アーキテクチャのPMHF公式を示す。桜井は、一次安全機構（冗長ミッション機能を果たす）に加えて、二次安全機構（潜在的欠陥の防止）も考慮している（桜井, 2018）。本節では、桜井が開発した公式を、"M "と "SM "の二次安全機構を持たないことを念頭に、図2bに示したケーススタディに適用する：
$$ PMHF^{1oo2}=\frac{1}{2}\lambda_{m,MPF}\lambda_{sm,MPF}T_{lifetime}+\frac{1}{2}\lambda_{m,MPF}\lambda_{sm,MPF}T_{lifetime}\tag{13} $$ 式(12)で示されるように、同一チャネルの故障率は等しいことを考慮すると、式(13)は、同一チャネルを持つ1oo2アーキテクチャのPMHFの値を示す式(14)に変換できる： $$ PMHF^{1oo2}=\lambda_D^2T_{lifetime}\tag{14} $$

$\dagger$E. Rogova, C. Nowak, M. Ramold, et al., "Comparison of Analytical Formulas of PFH and PMHF Calculation for M-out-of-N Redundancy Architecture," Europ. Safe. Reliab. Conf.,, pp.1-5, 2019

前のブログ 次のブログ

次回RAMS 2025に投稿する論文「Point Unavailability and Its Density Processes of Repairable Element with Periodic Inspections in ISO 26262」を作成し、AJEに入稿しました。入稿前にはDeepLで翻訳し、ChatGPTにより論文査読を行ったうえで、ネイティブチェックのためAJEに入稿しています。

過去に掲載した論文の実績と予定をアップデートします。

前のブログ 次のブログ

図738.3の修正したSF2モデルは過去論文でAF2を導出した際のCTMC図と見かけは異なりますが、同一であることを以下に証明します。

2つの分岐に橋を架けたことによりOKはそれぞれ同一状態となり、またDPFは元々同一状態であったので、このようにマージすることができます。

以上より、図739.2に示すように両者が実質は同一であることが証明できたため、そのモデルから得られるPMHF方程式は同一であることが証明されました。つまり、SF2の11か所の誤りを全て修正するとAF2となることが言えます。

前のブログ 次のブログ

RAMS 2024で発表した論文のプレゼンテーション資料から一部を示します。

SF2式

過去論文により冗長アーキテクチャに対応した新しいPMHF式を提案しました。これをここではAF2と呼びます。

$$ M_\text{PMHF}=(1-K_\text{IF,RF})\lambda_\text{IF}+K_\text{IF,RF}\lambda_\text{IF}\lambda_\text{SM}\left[(1-K_\text{MPF})T_\text{lifetime}+K_\text{MPF}\tau\right]\\ s.t.\quad K_\text{MPF}:=K_\text{IF,MPF}+K_\text{SM,MPF}-K_\text{IF,MPF}K_\text{SM,MPF} \tag{AF2} $$

一方で、規格第2版に掲載の以下のPMHF式をSF2と呼ぶと、明らかに両者は異なります。

ここでAF2のSPF項である$(1-K_\text{IF,RF})\lambda_\text{IF}$とSF2のSPF項である$\lambda_\text{SPF}+\lambda_\text{RF}$は等しいため、AF2とSF2の違いはDPF項のみとなります。

両方の式どうしが等しいことを簡単に証明します。まず、$K_\text{IF,RF}=0$とするとこれはSMが存在しない場合を表し、$\lambda_\text{SPF}=\lambda_\text{IF}$です。次に$K_\text{IF,RF}\ne0$の場合は、$\lambda_\text{RF}=(1-K_\text{IF,RF})\lambda_\text{IF}$であり、これはRFの定義式です。

SF2の状態遷移図

我々は2019年に日本で発行された第2版規格式の解説書により、SF2の導出過程には11か所の誤りがあることを識別しました。それを全て修正したものがAF2となることを今回のRAMS 2024で発表しました。最も重大な誤りであるステート遷移の誤りについてここに示します。

図738.1は規格式SF2の元になったと推測されるステート遷移図です。ただしこれは規格に書かれているわけではなく、図738.1のSF2から逆に求めた状態遷移図であることに注意が必要です。

修正したSF2の状態遷移図

規格のステート遷移図はIFとSMのリペアビリティが誤っていると考えるため、弊社では図738.3のようにグリーンで橋渡しを行い、SF2モデルを修正しました。弊社の考える規格の誤りは、初期のOK状態からIFもしくはSMの一方が非修理となっている点です。本来はIFもSMもリペアラブルでなくてはならないと考えます。

図738.2が図738.1のとおり、4つのパターンにしか対応していないのに対して、図738.3は無限のパターンに対応している点が異なります。

両者のリペアラビリティの違い

規格によるパターン分析は、DPFにおいて、SM⇒IFもしくはIF⇒SMの引き続くフォールト順の2つにケース分けをしている点で正しいように見えますが、修理順が誤っています。図738.2のように一旦SMのフォールトが起きると、それがリペアされても初期状態には戻らず、次はSMのフォールトしか許されていません。

一方、弊社の修正によれば図738.3のように、一旦リペアされればSMのフォールトでもIFのフォールトでも生起することが可能です。これが本来の意味のIFとSMのリペアラブルという意味です。

ただし、一見すると状態遷移図が複雑になったように見えます。

前のブログ 次のブログ

過去記事に記載のとおり、RAMS 2024は、2024年1月22日から25日まで、米国ニューメキシコ州アルバカーキのクライドホテルで開催されました。弊社代表は最終日に論文発表を行いました。

本論文のタイトルは、"Identifying and Rectifying the Potential Faults in the Probabilistic Metric (PMHF) Formula in ISO 26262"です。邦題は「ISO 26262における確率的メトリック式（PMHF）の潜在的フォールトの特定と修正」となります。潜在的フォールトもしくはシステマティックフォールトとは規格用語であり、一般的には、エラーとか誤りとか呼ばれる欠陥を意味します。

本論文は規格PMHF式の導出過程を分析することでPMHF式の問題点11か所を識別します。さらにそれらの問題点を全て修正すると、先に弊社が提案したPMHF式と一致することを示します。提案するPMHF式を使用することでPMHF値の過剰見積もりを防ぐことができます。従ってこのアプローチにより、自動運転に代表される高信頼システムの設計がより容易になることが期待されます。

質問は2件ありましたが、ほぼ同一内容でした。

Q: マルコフ連鎖状態遷移は時間依存であるのに、なぜPMHFは定数なのか？

A: マルコフ連鎖状態遷移で確率微分方程式を建てると、ご質問のように時間依存の関数となります。これは確率密度関数であり、具体的には修理を考慮した、我々の用語でいう不稼働確率密度です。これは定数として扱うことができる故障率と異なり時間依存の関数です。規格はこれについて車両寿命間の平均を取り、PMHFとして定数として扱います。

前のブログ 次のブログ

次は(15)の導出です。

論文"Generic Equations for a Probabilistic Metric for Random Hardware Failures According to ISO 26262"において、以下の2か所の式変形過程が分からないが、どうして次の式(13), (15)が導出されるのか？

(13)　省略、前ページで解説

これは既に過去ブログでも記載済みなのでその箇所を返信しました。

Equation (103.6) in the following blog post is what you are looking for.
次のブログ記事の式(103.6)があなたが探しているものです。
https://fs-micro.com/post/show/id/103.html
Here's the trick: we transform it using $F(t)$ instead of $R(t)$. Because our integral formula
ここにトリックがあります。$R(t)$の代わりに$F(t)$を用います。なぜなら、我々の積分公式
https://fs-micro.com/post/show/id/60
can be used.
が使えるからです。

返信の際に$F(t)$に言及したのは、読者の方がご自分で変形し、$R(t)$の形式を導出した後行き詰っていたのでヒントを示しています。以下に記事の(103.6)を再掲します。

よって、(103.1)に(103.1.5)、(103.1.3)、$\Pr\{\overline{\text{VSG of IF preventable}}\}=1-K_\text{IF,RF}$(100.3)を用いた上で、故障率(66.6)及びPUA(59.8)を適用すれば、平均PUDは、 $$ \begin{eqnarray} \overline{q_\text{SPF,IFU}}&=&\frac{1}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}(1-K_\text{IF,RF})R_\text{IF}(t)A_\text{SM}(t)\lambda_\text{IF}dt\\ &=&\frac{1-K_\text{IF,RF}}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}\left[1-Q_\text{SM}(t)\right]f_\text{IF}(t)dt\\ &=&\frac{1-K_\text{IF,RF}}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}f_\text{IF}(t)dt-\frac{1-K_\text{IF,RF}}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}Q_\text{SM}(t)f_\text{IF}(t)dt\\ &=&\frac{1-K_\text{IF,RF}}{T_\text{lifetime}}F_\text{IF}(T_\text{lifetime})\\ & &-\frac{1-K_\text{IF,RF}}{T_\text{lifetime}}\int_0^{T_\text{lifetime}}\left[(1-K_\text{SM,MPF})F_\text{SM}(t)+K_\text{SM,MPF}F_\text{SM}(u)\right]f_\text{IF}(t)dt,\\ & &\text{ただし、}u:=t\bmod\tau \tag{103.1.6} \end{eqnarray} $$ よって、$F_\text{IF}(t)=1-e^{-\lambda_\text{IF}t}\approx\lambda_\text{IF}t$と近似する0におけるTaylor展開(すなわちMaclaurin展開)及び弊社積分公式により、 $$ \overline{q_\text{SPF,IFU}}\approx(1-K_\text{IF,RF})\lambda_\text{IF}-\frac{1-K_\text{IF,RF}}{2}\lambda_\text{IF}\lambda_\text{SM}\left[(1-K_\text{SM,MPF})T_\text{lifetime}+K_\text{SM,MPF}\tau\right]\\ \tag{103.1.7} $$

1st editionでは定期修理期間を$\tau$で表していましたが、2nd editionでは表記が$T_\text{service}$に変わりました。従って、 $$ \overline{q_\text{SPF,IFU}}\approx(1-K_\text{IF,RF})\lambda_\text{IF}-\frac{1}{2}(1-K_\text{IF,RF})\lambda_\text{IF}\lambda_\text{SM}\left[(1-K_\text{SM,MPF})T_\text{lifetime}+K_\text{SM,MPF}T_\text{service}\right] $$ となり、(15)が成立します。

前のブログ 次のブログ