10 FIT・1万時間では 2 回目以降の寄与はどれくらいか

前稿の (1062.7) は、PFH と PMHF 型の量の厳密な差が、寿命区間 $[0,T]$ における 2 回目以降の危険事象の寄与であることを示していました。ここでは、その差が実用上どの程度の大きさになるのかを、一定危険故障率を仮定した数値例で見ておきます。

前稿の記号をそのまま使えば、

$$ \mathrm{PFH}(0,T)-\mathrm{PMHF}^{\ast}(T) =\frac{1}{T}\sum_{n\ge2}(n-1)\Pr\{N_\text{DF}(T)=n\} \tag{1066.1} $$

です。

ここで、危険事象の発生率を一定とみなし、寿命区間内の危険事象回数 $N_\text{DF}(T)$ をポアソン分布で近似します。たとえば、危険故障率を 10 FIT、車両寿命を 1 万時間とすると、

$$ \lambda = 10\,\mathrm{FIT}=10^{-8}\,\mathrm{h}^{-1},\qquad T = 10^{4}\,\mathrm{h},\qquad \lambda T = 10^{-4} \tag{1066.2} $$

です。

このとき、寿命区間内に 2 回以上危険事象が起きる確率は

$$ \Pr{N_\text{DF}(T)\ge2} =1-e^{-\lambda T}(1+\lambda T) \approx 4.99966668\times10^{-9} \tag{1066.3} $$

となります。これは寿命全体で見ても約 5 ppb です。

これを寿命で割って FIT 風に書けば、

$$ \frac{1}{T}\Pr\{N_\text{DF}(T)\ge2\} \approx 4.99966668\times10^{-13}\,\mathrm{h}^{-1} =4.99966668\times10^{-4}\,\mathrm{FIT} \tag{1066.4} $$

です。

同じ仮定の下で、(1066.1) の厳密差そのものは

$$ \mathrm{PFH}(0,T)-\mathrm{PMHF}^{\ast}(T) =\lambda-\frac{1-e^{-\lambda T}}{T} \approx 4.99983334\times10^{-13}\,\mathrm{h}^{-1}\\ =4.99983334\times10^{-4}\,\mathrm{FIT} \tag{1066.5} $$

となります。(1066.4) とほとんど同じ値になるのは、この条件では 3 回目以降の寄与がさらに極小だからです。

10 FIT という目標値に対する比で見れば、

$$ \frac{4.99983334\times10^{-4}}{10} \approx 4.99983334\times10^{-5} \approx 0.005\,\% \tag{1066.6} $$

です。

したがって、10 FIT・1 万時間という典型的な条件では、PFH と PMHF 型の量の厳密差は数値的には約 $5\times10^{-4}$ FIT にすぎず、2 回目以降の危険事象の寄与は実務上ほぼ無視できる範囲にあります。

この数値例が示しているのは、前稿の (1062.7) が表している「厳密な差」は確かに存在するものの、寿命区間全体に希少事象近似を拡張しても、多くの実用条件ではその差が十分小さい、ということです。

前のブログ 次のブログ

PFH の $\sum\lambda$ 式は何を省略しているか

前々稿の結果を一般の潜在状態モデルの記号で表すと、PFH 側で、危険事象の直前にある潜在状態の時点不稼働確率を $U_\text{LAT}(t)$、そこから危険事象を生じさせる最後の危険故障率を $\lambda_\text{last}$、単独で危険事象を生じさせる SPF 寄与を $\lambda_\text{SPF}$ としたとき、

$$ \mathrm{PFH}(0,H)\approx\lambda_\text{SPF}+\frac{\lambda_\text{last}}{H}\int_0^H U_\text{LAT}(t)\,dt \tag{1065.1} $$

と書けます。

ここで、各サブシステム $i$ の内部時間依存を平均化した量を

$$ \lambda_i:=\frac{1}{H}\int_0^H w_i(t)\,dt \tag{1065.2} $$

と書きます。規格で見える $\lambda$ は、このような平均量として読めます。

本稿で問題にしたいのは、サブシステム内部で潜在状態を経由する 2 次項が表示式から省略されていることです。すなわち、(1065.1) の第2項

$$ \Delta_\text{2nd}(H):=\frac{\lambda_\text{last}}{H}\int_0^H U_\text{LAT}(t)\,dt \tag{1065.3} $$

に対して

$$ \Delta_\text{2nd}(H)\ll\lambda_\text{SPF} \tag{1065.4} $$

として、これを無視します。すると

$$ \mathrm{PFH}(0,H)\approx\lambda_\text{SPF} \tag{1065.5} $$

となります。

さらに、互いに独立な SPF 寄与が $m$ 個あり、それぞれの平均危険故障率を $\lambda_i$ とすると

$$ \lambda_\text{AVG}\approx\sum_{i=1}^{m}\lambda_i\approx\sum_{i=1}^{m}\lambda_{\text{SPF},i} \tag{1065.6} $$

です。これが規格で見える $\sum\lambda$ 形です。

このことは、1059 で得た PMHF の DPF 項

$$ \frac{1}{2}\lambda_\text{IF,DPF}\lambda_\text{SM}\bigl((1-K_\text{SM,DPF})T+K_\text{SM,DPF}\tau\bigr) \tag{1065.7} $$

と比較すると分かりやすくなります。前稿の PFH の 2 次項とこの DPF 項は、どちらも

「第1故障率 × 平均露出時間 × 第2故障率」

という同じ 2 次構造を持っています。したがって、規格を素直に読む限り PFH は SPF の和として理解されますが、状態モデルを復元すると PFH 側にも 2 次項は現れ、そこで初めて PMHF の DPF 項と同じ数理構造が見えてきます。

前のブログ 次のブログ

規格上のPFHの計算式

前稿では、同じ IF-SM 潜在状態モデルを PFH 側にも持ち込むと、PFH も PMHF と同じ形の 2 次項を持つことを示しました。これに対して、IEC 61508 の本文では(図1064.1) PFH は各サブシステムの $\lambda$ を加える形で提示されており、その加法形がどの状態モデルの縮約であり、どの仮定の下で妥当かは、その箇所では明示されていません。

この文の和訳は以下です。したがって、規格を素直に読む限り、PFH は実質的に $\sum\lambda$ で与えられる量として受け取られます。

これに慣れていると、ISO 26262においても故障率は全て加え合わせれば良いと誤解します。逆にこれこそがPMHFの誤った計算法が無くならない理由かもしれません。

前のブログ 次のブログ

同じ IF-SM 潜在状態モデルを PFH 側に持ち込んだときの形

前稿では、PFH と PMHF 型の量の厳密な差が、区間内における 2 回目以降の危険事象の寄与として表されることを示しました。本稿では、1057〜1059 で用いた IF-SM 潜在状態モデルをそのまま PFH 側にも適用すると、どのような式になるかを示します。

同じ IF-SM 潜在状態モデルを用いると、時刻 $t$ における危険事象への総流入頻度は

$$ w_D(t) =\Pr\{\eta_t^\text{IF}\in\mathcal M_\text{IF}\}\lambda_\text{IF,SPF} +\Pr\{\eta_t^\text{SM}\in\mathcal P_\text{SM},\ \eta_t^\text{IF}\in\mathcal M_\text{IF}\}\lambda_\text{IF,DPF} \tag{1063.1} $$

と書けます。第1項は IF の SPF 寄与、第2項は SM の潜在故障状態における IF の危険遷移です。

ここで IF 側については、$\lambda_\text{IF}t\ll1$のときは小確率近似より

$$ \Pr\{\eta_t^\text{IF}\in\mathcal M_\text{IF}\} =e^{-\lambda_\text{IF}t}\approx1-\lambda_\text{IF}t\approx1 \tag{1063.2} $$

です。また、1060 の (1060.10) より、第2項の同時確率は $U_\text{SM}(t)$ で近似できるので、

$$ w_D(t)\approx\lambda_\text{IF,SPF}+\lambda_\text{IF,DPF}U_\text{SM}(t) \tag{1063.3} $$

となります。

評価区間を $H$ とすると、PFH は

$$ \mathrm{PFH}(0,H) =\frac{1}{H}E\{N_D(H)\} =\frac{1}{H}\int_0^H w_D(t)\,dt \tag{1063.4} $$

なので、(1063.3)及び(1063.4)から

$$ \mathrm{PFH}(0,H)\approx\lambda_\text{IF,SPF}+\frac{\lambda_\text{IF,DPF}}{H}\int_0^H U_\text{SM}(t)\,dt \tag{1063.5} $$

です。

ここで、$U_\text{SM}(t)$ の式は (1057.8)、小確率近似は (1057.9) に与えられています。また、その寿命平均の計算は (1059.3)〜(1059.7) と同様です。したがって、

$$ \frac{1}{H}\int_0^H U_\text{SM}(t)\,dt \approx\frac{1}{2}\lambda_\text{SM}\bigl((1-K_\text{SM,DPF})H+K_\text{SM,DPF}\tau\bigr) \tag{1063.6} $$

となります。

これを (1063.5) に代入すると

$$ \mathrm{PFH}(0,H)\approx\lambda_\text{IF,SPF}+\frac{1}{2}\lambda_\text{IF,DPF}\lambda_\text{SM}\bigl((1-K_\text{SM,DPF})H+K_\text{SM,DPF}\tau\bigr) \tag{1063.7} $$

です。さらに、1058 の (1058.5) を代入すると、

$$ \mathrm{PFH}(0,H)\approx(1-K_\text{IF,RF})\lambda_\text{IF}+\frac{1}{2}K_\text{IF,RF}\lambda_\text{IF}\lambda_\text{SM}\bigl((1-K_\text{SM,DPF})H+K_\text{SM,DPF}\tau\bigr) \tag{1063.8} $$

を得ます。

この式は、1059 で得た PMHF の最終式と同じ形です。したがって、同じ IF-SM 潜在状態モデル、同じ近似、同じ評価区間を用いるなら、PFH と PMHF は 1 次近似では同じ式になります。

ただし、IEC 61508 の本文では PFH は各サブシステムの $\lambda$ を加える形で提示されており、その加法形がどの状態モデルの縮約であり、どの仮定の下で妥当かは明示されていません。したがって、規格を素直に読む限り、PFH は実質的に $\sum\lambda$ で与えられる量として受け取られます。少なくとも規格に表れている式では、潜在状態を経由する二重故障経路は明確化されていません。

前のブログ 次のブログ

PFH と PMHF の厳密量の差

前稿の (1061.8) により、PFH は区間 $[0,T]$ における危険事象発生回数の期待値を $T$ で割った量として定義されます。本稿では、同じ危険事象に対して PMHF 型の量を定義し、両者が厳密にはどこで異なるのかを整理します。結論を先に言えば、その差は区間内における 2 回目以降の危険事象の寄与です。

同じ危険事象に対して、その初回発生時刻を

$$ \sigma_\text{DF}:=\inf\{t\ge0\mid N_\text{DF}(t)\ge1\} \tag{1062.1} $$

と定義します。

このとき、

$$ \{\sigma_\text{DF}\le T\}=\{N_\text{DF}(T)\ge1\} \tag{1062.2} $$

が成り立ちます。したがって、同じ危険事象に対する PMHF 型の量は

$$ \mathrm{PMHF}^{\ast}(T):=\frac{1}{T}\Pr\{\sigma_\text{DF}\le T\} =\frac{1}{T}\Pr\{N_\text{DF}(T)\ge1\} \tag{1062.3} $$

と書けます。VSG を吸収集合として扱う PMHF は、この形の量に対応します。

一方、前稿の PFH 定義に現れる期待回数は

$$ E\{N_\text{DF}(T)\} =\sum_{n\ge1}n\,\Pr\{N_\text{DF}(T)=n\} \tag{1062.4} $$

です。

これに対して、初回到達確率は

$$ \Pr\{N_\text{DF}(T)\ge1\} =\sum_{n\ge1}\Pr\{N_\text{DF}(T)=n\} \tag{1062.5} $$

です。したがって両者の差は

$$ E\{N_\text{DF}(T)\}-\Pr\{N_\text{DF}(T)\ge1\} =\sum_{n\ge2}(n-1)\Pr\{N_\text{DF}(T)=n\} \tag{1062.6} $$

となります。

前稿の PFH 定義と (1062.3), (1062.6) より、

$$ \mathrm{PFH}(0,T)-\mathrm{PMHF}^{\ast}(T) =\frac{1}{T}\sum_{n\ge2}(n-1)\Pr\{N_\text{DF}(T)=n\} \tag{1062.7} $$

です。

この式が示しているのは、PFH と PMHF 型の量の厳密な差が、区間 $[0,T]$ における 2 回目以降の危険事象の寄与そのものである、ということです。修理系では危険事象発生後も修理復帰し得るため、この項は一般には消えません。

これに対して、寿命区間 $[0,T]$ において危険事象は高々 1 回しか起きないという希少事象近似を

$$ \Pr\{N_\text{DF}(T)\ge2\}\approx0 \tag{1062.8} $$

と置けば、

$$ E\{N_\text{DF}(T)\}\approx\Pr\{N_\text{DF}(T)\ge1\} \tag{1062.9} $$

となります。したがって、PFH と PMHF 型の量の差は 1 次では見えなくなります。

要するに、PFH と PMHF の違いは、厳密には繰返し発生を数える量と初回到達をみる量の違いです。しかし希少事象近似を寿命区間全体にまで拡張すると、その差は 2 回目以降の発生確率に押し込められ、1 次では見えなくなります。次稿では、1057〜1059 で用いた IF-SM 潜在状態モデルを PFH 側にも持ち込み、同じ一次近似の下でどのような式になるかを示します。

前のブログ 次のブログ

PFH の定式化（修理系の危険事象と計数過程）

前稿までは、VSG を吸収集合とするサブシステムに対して PMHF を導きました。本稿からは PFH 側へ移ります。PFH 側では、危険状態に入った後も点検や修理により稼働状態へ復帰し得るので、危険状態集合は一般には吸収集合ではありません。本稿では区間平均量としての PFH を定義します。

サブシステム過程を $(\eta_t^\text{PFH})_{t\ge0}$ とし、稼働集合を $\mathcal M$、危険状態集合を $\mathcal P_\text{DF}$ とします。状態確率行ベクトルと生成行列を

$$ \begin{eqnarray} \left\{ \begin{array}{l} \mathbf p^\text{PFH}(t) =\bigl[\mathbf p_M(t)\ \mathbf p_P(t)\bigr], \\ \frac{d}{dt}\mathbf p^\text{PFH}(t)=\mathbf p^\text{PFH}(t)\mathbf Q^\text{PFH}, \\ \mathbf Q^\text{PFH} =\left(\matrix{ \mathbf Q_{MM} & \mathbf Q_{MP} \cr \mathbf Q_{PM} & \mathbf Q_{PP} }\right) \end{array} \right. \end{eqnarray} \tag{1061.1} $$

と表します。ここで修理系では、一般に $\mathbf Q_{PM}\neq\mathbf 0$ です。

危険状態の時点不稼働確率を

$$ U_\text{DF}(t) :=\Pr\{\eta_t^\text{PFH}\in\mathcal P_\text{DF}\} =\mathbf p_P(t)\mathbf 1 \tag{1061.2} $$

と定義します。ここで $\mathbf 1$ は適切な次元の全成分 1 の列ベクトルです。

一方、稼働集合から危険状態集合への条件付き遷移率、すなわち Vesely 故障率は

$$ \lambda_V^\text{PFH}(t) :=\lim_{dt\to0}\frac{\Pr\{\eta_{t+dt}^\text{PFH}\in\mathcal P_\text{DF}\mid\eta_t^\text{PFH}\in\mathcal M\}}{dt} =\frac{\mathbf p_M(t)\mathbf Q_{MP}\mathbf 1}{\mathbf p_M(t)\mathbf 1} \tag{1061.3} $$

です。

したがって、時刻 $t$ における危険状態への総流入頻度は

$$ w_\text{DF}(t) :=\mathbf p_M(t)\mathbf Q_{MP}\mathbf 1 =\Pr\{\eta_t^\text{PFH}\in\mathcal M\}\lambda_V^\text{PFH}(t) \tag{1061.4} $$

と書けます。これは、その時刻に稼働集合にいる確率と、その条件の下で危険状態へ移る率との積です。

他方、$U_\text{DF}(t)$ の時間変化は、危険状態への流入だけではなく、危険状態からの修理復帰にも依存します。(1061.2)を微分し、(1061.1)のブロック行列から $P$成分の前進方程式を取り出し、さらに生成行列の行和ゼロ$\mathbf{Q}_{PP}\mathbf{1}=-\mathbf{Q}_{PM}\mathbf 1$を用いると、危険状態確率の増加率は『流入 minus 流出』に書き直せるので

$$ \begin{eqnarray} \frac{d}{dt}U_\text{DF}(t) &=& \frac{d}{dt}\bigl(\mathbf p_P(t)\mathbf 1\bigr)\\ &=& \mathbf p_M(t)\mathbf Q_{MP}\mathbf 1+\mathbf p_P(t)\mathbf Q_{PP}\mathbf 1\\ &=& \mathbf p_M(t)\mathbf Q_{MP}\mathbf 1-\mathbf p_P(t)\mathbf Q_{PM}\mathbf 1 \end{eqnarray} \tag{1061.5} $$

となります。最後の等号では、各行の行和が 0 であることから $\mathbf Q_{PP}\mathbf 1=-\mathbf Q_{PM}\mathbf 1$ を用いました。したがって、修理系では一般に $dU_\text{DF}(t)/dt$ と $w_\text{DF}(t)$ は一致しません。

ここで、危険状態集合への進入回数を数える計数過程を $N_\text{DF}(t)$ とします。微小時間 $dt$ の間にその期待増分は

$$ E\{N_\text{DF}(t+dt)-N_\text{DF}(t)\} =w_\text{DF}(t)dt+o(dt) \tag{1061.6} $$

となるので、$W_\text{DF}(t):=E\{N_\text{DF}(t)\}$ とおけば、(1061.6)を$dt$で割って $dt\rightarrow0$とすると

$$ \frac{d}{dt}W_\text{DF}(t)=w_\text{DF}(t) \tag{1061.7} $$

です。

したがって、区間 $[0,T]$ における平均危険事象発生頻度は

$$ \mathrm{PFH}(0,T) :=\frac{1}{T}W_\text{DF}(T) =\frac{1}{T}\int_0^T w_\text{DF}(t)\,dt \tag{1061.8} $$

と定義できます。

さらに、希少事象近似の下で

$$ \Pr\{\eta_t^\text{PFH}\in\mathcal M\}\approx1 \tag{1061.9} $$

とみなせるとき、(1061.4)から

$$ w_\text{DF}(t)\approx\lambda_V^\text{PFH}(t) \tag{1061.10} $$

となります。したがって PFH は、Vesely 故障率の時間平均としても読めます。

ここで重要なのは、修理系では危険事象が繰返し起こり得るため、PFH が本質的に計数過程 $N_\text{DF}(t)$ に基づいて定義される、という点です。次稿では、この修理系の PFH と、吸収型の初回到達量としての PMHF とを、同じ確率論の枠で比較します。

前のブログ 次のブログ

結論

最後に本論文$\dagger$の結論部分では、

安全機構とミッションブロックが異なる場合、冗長アーキテクチャMooNは異なる非同一チャネルを持つ。この場合、MooN冗長アーキテクチャの一般化PMHF公式の開発は非常に複雑になる。しかし、異なるチャネルを持つアーキテクチャ1oo2に対して式(13)で得られた結果は、両方の公式式において同一のチャネルを仮定した場合の式(9)で得られた結果と等しい。

と述べており、非対称冗長について一般化PMHFが複雑になると言いながら、同一のチャネルを仮定しているのは理解できません。複雑であっても"m"と"sm"は非対称冗長の場合、異なる故障率を持つためです。これは前稿で指摘の(iv)項です。

同じく結論部分において、

今後の研究課題としては、本論文で開発したPMHF公式をMooN冗長アーキテクチャ向けに拡張し、多点欠陥検出間隔を持つ安全機構のテストや、非同一チャネルの考慮を含めることが考えられる。

と書いており、これらが考慮されていないことは著者自身でも課題(ないしは問題)だと思っているようです。これら2つの課題は、

• MPF検出率(DC)及び検出周期$\tau$を持つ2nd SMの効果
• 非対称冗長チャネル

であり、それぞれ前稿で指摘の(ii)(iii)及び(iv)項にあたります。著者はこの考慮を今後の研究課題としていますが、ISO 26262コンプライアンスを考えれば、本来は最初からこれらの条件を含めるべきでした。

また、本論文も例に漏れず、揃って規格のPMHF式を無視していますが、一つにはPart 10は参考情報であり、そのため読まれていないのではないでしょうか？どうも規格式について全般的にリスペクトが不足しており、まともに読んで批判しているのは弊社だけのように思います。

PFHとPMHFの比較と言うのは良い着眼であり、弊社でも過去に取り上げています。それに従えば、どちらも定義は「$\img[-1.35em]{/images/withinseminar.png}$」ですが、PFHが非修理系を対象にしているのに比べ、PMHFは定期検査修理を前提にしているため、その反映により計算式は異なってくるわけです。具体的には$\img[-1.35em]{/images/withinseminar.png}$が異なり、それらが次回RAMS 2025投稿論文のテーマです。

なお、本稿はRAMS 2025に投稿予定のため一部を秘匿しています。

$\dagger$E. Rogova, C. Nowak, M. Ramold, et al., "Comparison of Analytical Formulas of PFH and PMHF Calculation for M-out-of-N Redundancy Architecture," Europ. Safe. Reliab. Conf.,, pp.1-5, 2019

前のブログ 次のブログ

アブストラクトの最後

本論文$\dagger$の最初に戻ってみると、アブストラクトの最後に、

本論文で示す比較分析により、PFH公式とPMHF公式が異なるケーススタディに対して同様の結果を与えることが実証された。

と主張していますが、ISO 26262の仮定を捨ててIEC 61508と同様な非修理系という誤った仮定を導入すれば、似たような式が得られても当然です。

本来はPeriodic inspection and repair (PIR) 保守戦略に基づく不稼働度を計算すべきであり、その仮定の元ではPMHF式は似たような式にはなりません。

誤りの背景

総じてこれらの仮定の誤りはISO 26262を良く分析していないことからくるものと思われ、これはIEC 61508出身の研究者にしばしば見られる現象です。それは、IEC 61508の観点からしかISO 26262を眺められないところに原因があります。

彼らの論文や資料には特有のパターンがあり、ISO 26262の論文や資料であるにも関わらずDU, DDで始まったら要注意です。そもそもISO 26262にはDU, DD等の用語はなく、かつDU, DD故障率はオブザーバブルではないため、以下のように1st SMのカバレージであるKパラメータ$K_\text{RF}$を用いて示すべきです。 $$ \lambda_\text{DD}=K_\text{RF}\lambda_\text{IF},\ \lambda_\text{DU}=(1-K_\text{RF})\lambda_\text{IF} $$

さらに、ISO 26262に存在する故障の区別、具体的にはSPFとDPFの区別がIEC 61508には存在しません。DPFは1oo2として取り扱うべきです。多くの著者はIEC 61508には存在しないLF(以下の式の$\lambda_\text{MPF,l}$)の概念が理解できずに故障率を以下の誤りの式の如く、全て加算してしまいがちです。過去記事中の論文や資料にも同様な誤りが見られます。 $$ \lambda_\text{DD}=\lambda_\text{SPF}+\lambda_\text{RF}+\lambda_\text{MPF,l} $$

さらに、修理の概念が無いようで、ISO 26262の基本の仮定であるPIRを考慮していません。

「ISO 26262などはIEC 61508の派生ないし亜流だ」と言う誤った考えを持たないことが、ISO 26262の理解の秘訣となります。

$\dagger$E. Rogova, C. Nowak, M. Ramold, et al., "Comparison of Analytical Formulas of PFH and PMHF Calculation for M-out-of-N Redundancy Architecture," Europ. Safe. Reliab. Conf.,, pp.1-5, 2019

前のブログ 次のブログ

仮定のまとめ

本論文$\dagger$はその中程に、置いた4つの仮定をまとめてリストしています。

(i) すべての危険故障の故障率は，λD である（IEC 61508 の概念では DD と DU を区別せず，ISO 26262 の概念では SPF，RF，DPF 及び MPF を区別しない）
(ii) PFH 公式におけるプルーフテスト間隔$\tau$は、PMHF 公式における運転寿命間隔 $T_{Lifetime}$と等価である
(iii) システムは修理不可能である
(iv) チャネルが同一で独立している

これはいずれも誤りです。一項目ずつ見ていきます。

• IEC 61508はいざ知らず、ISO 26262においてはSPF, RFとは区別せず、DPF, MPFも区別せずで良いですが、それら2グループには明確な区別があります。言うまでもなく故障によるVSG確率が全く異なるため、それを考慮しなければなりません。具体的にはDPFは2重故障を意味するため、故障確率の2乗項が出現します。
• 「PMHF式では$\tau=T_{lifetime}$として良い」と言っていますが、前稿で指摘したようにこれは誤りで、ISO 26262にもプルーフテストというか定期検査修理は存在するため、テスト周期は$\tau$となり、車両寿命ではありません。反対にこう仮定すると、2nd SMの存在が無いことになります。規格書では2nd SMの存在がブロック図に書かれているにも関わらず、それが無視されています。
• ISO 26262で対象とするサブシステムは修理可能です。Part 10のPMHF式の箇所に、ドライバーがMPFを通知され、修理工場へ持ち込む表現があります。もちろんMPFを検出するのが2nd SMです。
• チャネルは前項のように、独立であっても同一ではありません。「冗長」は必ずしも対称冗長を意味しません。

以上から、論文途中の仮定リストの全点が誤っている(=ISO 26262非互換である)ため、ここから先の検討は不要となります。

$\dagger$E. Rogova, C. Nowak, M. Ramold, et al., "Comparison of Analytical Formulas of PFH and PMHF Calculation for M-out-of-N Redundancy Architecture," Europ. Safe. Reliab. Conf.,, pp.1-5, 2019

前のブログ 次のブログ

不当な仮定1

正しく引用されたことは良かったのですが、本論文$\dagger$では弊社の式に対して新たに以下の(12)という仮定を加えており、残念なことにこれでは一般性を失う不要な仮定です。

$$ \lambda_{m,MPF}=\lambda_{sm,MPF}=\lambda_{MPF}=\lambda_{D}\tag{12} $$

この(12)の意味するところは"m"も"sm"も同じ故障率を持つこと、すなわち対称冗長を意味しており、これは特殊な場合に限られます。

反例を示すと、例えば過去記事の図70.1に示すヘッドライト装置の実例のように、

メカスイッチからのON信号をメインのチャネルではマイコンで点灯し、バックアップチャネルではトランジスタで点灯するような非対称冗長には(12)は当てはまりません。以下のように"m"系の故障率のほうが"sm"系よりも巨大になるためです。 $$ \lambda_{m,MPF}\gg\lambda_{sm,MPF} $$ さらに言えば、このような非対称冗長は、特にASIL分解においては、規格ではむしろ推奨されています。マイコンに低いASILを割り当てておき、複雑なシステムの開発を容易にできる一方、壊れにくい単純なトランジスタで元の安全要求を保証できるためです。

不当な仮定2

さらに別の仮定の問題があります。弊社の式における2nd SMの検査周期である$\tau$について、$\tau=T_{lifetime}$と仮定してしまったことです。これは2nd SMが存在しないか、あるいはDCがゼロであることを意味します。これは誤った仮定です。

なぜそうしたかはその箇所には書かれていませんが、アンリペアラブルという仮定を置いているのが後からわかります。

$\dagger$E. Rogova, C. Nowak, M. Ramold, et al., "Comparison of Analytical Formulas of PFH and PMHF Calculation for M-out-of-N Redundancy Architecture," Europ. Safe. Reliab. Conf.,, pp.1-5, 2019

前のブログ 次のブログ