ご希望の方は、お問い合わせページから資料閲覧パスワードをお問い合わせ頂きログインをお願い致します。アカウント名は"opendocument"です。rate"既に発行済みのブログであっても適宜修正・追加することがあります。2020ここで前稿の図207.1の左端の事象E1について、説明を加えます。AとBの同時故障とは2とおり考えられます。Tree前述のように、C1は誤りです。同時に故障するDPF確率はほぼ確実にゼロだからです。C2の場合は妥当です。t)$においてBが故障する確率はそれぞれ有限の値を持ちます。時刻$t$においてその両方が起きているDPF確率は、(AとBが独立に起こる場合)それらの確率の積で表される有限の値だからです。それでは、前稿の図207.1の左端の事象E1は上記のどちらの意味でしょうか?図208.2に前稿の図207.1を弊社で書き直した図を示します。E3を削除しています。E3を削除しE4とE5が残ったのですが、E1を削除した判断を確認します。上記のC2の場合であれば妥当なので。以上から、左端事象はAとBが同時に故障するC1の場合を指すと考えられ、それは確率ゼロのため、削除可能と判断できます。2020詳細を見れば誤りはさらに種々あります。TreeのTOPの図を示します。ここで、エレメントAやBは冗長を構成する2つのエレメントを指します。FT図5つの場合分けをして考えています。確実に)0なので、このサブツリー以下は考える必要がありません。E4}は先にAに故障が起き、次にBに故障が起きるDPFを意味しています。その中で、Aの故障をさらにRFとLFに分解しています。ここで、(書かれていませんが)AにSPFが起こらないのは正しいです。Aに故障が起きても必ず(従属故障が無い限り)Bが代替機能を果たすため、系(サブシステム)としてSPFにはなりません。次にE2においてAにRFが起きるという記述が誤りです。AにRFが起きるということは、Aの1点故障によりSG侵害されるということなので、Aに故障が起きても必ず(従属故障が無い限り)Bが代替機能を果たすため、SG侵害は起きません。従って、Aの故障の場合はLFとなり、全てE4に集約されます。従って、E2は考慮する必要がありません。E5のみが残ることになります。図202.1に対して図203.1の書き換えを適用したものが図204.1のFTです。このFTに対してカットセット分析を実施し、TOP事象の確率を求めます。図204.2中のC_DC_OL_MONは、1からオンラインモニタのDCを引いた定数であるため、これはエレメント故障数にカウントされません。図204.1のFTのMCSこのように、PMHF式を尊重せず、RFを見逃しDPFのみとすることで、2.6倍も故障確率を甘く(低く)見る事になります。保守的に(高く)見積もるのであれば安全側なのでOKですが、不稼働確率の過小評価は危険側のため、良くありません。再度整理すると、正しい考え方は、2つのエレメントにより冗長構成される(これを系とする)それぞれのエレメントは修理可能(つまり不信頼度$F(t)$ではなく、不稼働度$Q(t)$となる)系として状態はマルコフ連鎖で表される(その理由は、1つのエレメントの故障が他方の状態に影響を与えるため。4.が満足されていません。1.は当たり前のため、ほとんど間違いということになります。2021に投稿予定であり、そのため、ブログの一部一旦非開示としました。26262の考え方と合いません。規格では主機能と安全機構のDPFまで考慮する必要があり、安全機構は修理可能として扱います。SMが必要であり、周期的な検出(検出周期=$\tau$)と修理(検出カバレッジ=$K_\text{SM,MPF}$)が前提となります。SMが無い(カバレージがゼロ、$K_\text{SM,MPF}=0$として評価します。これは保守的な評価です。従って、基本的にFTはこの評価式を実装することになります。FTの書き換え参照論文ではRFを考慮せずに、単純にDPFとしていましたが、これは問題です。上記のようにRF+DPFとして表す必要があります。なり、図203.1のFTの書き換えのように構成します。図の左は参照論文のFTであり、右は変更後のFTです。timeの計算は自動的に行われるため、明示的に$T_\text{lifetime}$を掛ける必要はありません。2021に投稿予定であり、そのため、ブログの一部一旦非開示としました。Set)分析を行っており、問題は2つあります。26262規格のPMHF式を参照していないOn-lineモニタのカバレッジが参照されていない。残余故障(RF)を無視しており、けた違いに小さい確率のMPFとして扱っている。この2つは関連する問題ですが、特に2番目が問題です。MPFはRFより確率が小さいため、けた違いの過小評価となります。具体的に表202.1のとおり数値を入れてみてみます。On-lineモニタは参照論文に数値が無かったため、SMとして低めの数値を入れました。10^{-7}$この数値に基づき、参照論文のEBDサブシステムのFTをツール(SAPHIRE)により構成すれば、図202.1のようになります。参照論文のEBDサブシステムのFT図202.1は論文のFTですが、このFTに対してカットセット分析を実施し、EBDサブシステムの故障確率を求めます。10^{-3}$となります。26262では3つ以上のエレメント故障は安全故障としています。これは(書かれていませんが)確率が非常に低くなるためです。10^{-3}$となります。26262のFTA関連の2つの論文を紹介します。PMHFターゲットに対してシステムをFTAを用いて分析し、弱い部分を定量的に抽出し、そこにSMを追加し、最終的にPMHF目標を満たす設計手法を提案するという、大変興味深いものです。残念ながらこの論文にはランダムハードウェア故障の確率の評価値(いわゆるPMHF)について問題があるため、それを取り上げます。この論文(以下参照論文と言う)は以下のところから取得できます。system)を題材としています。Tree)を示します。AEBシステムAEBはかなり大規模なシステムであるため、FTの一部を抜き出します。図201.2がその一部で、これにEBDサブシステムと名付けます。AEBシステムの一部(EBDサブシステム)EBDサブシステムは図201.2のように、EBDノード4冗長で構成されます。Monitorを付加してPMHFを下げたと主張しています。EditionのPMHF第1式及び第3式を示します。第1式はIFによりSPFもしくはDPFが発生する場合のみを数え上げた式であり、第3式はそれに加えてSM1によるDPFも加えた式です。従って、全ての場合を考えるならば第3式を使うのが正しいと考えます。EditionにおいてはIFがアンリペアラブル、SM1がリペアラブルという前提での計算に基づいていると考えらえます。その理由は、この前提で、前項のCTMCから平均PUDを求めると、正確に上2式と一致するためです。EditionのPMHF式を示します。Editionとpattern3、4が異なっており、対称性からみて前提が追加されていると考えます。4)つまりIFがリペアラブル、SM1がアンリペアラブルの場合の両側についてPMHFを求めていると推測します。$T_{\mathrm{lifetime}}$項と$T_{\mathrm{service}}$項がなぜ2倍異なるのかの理由は判明していません。弊社ではこの前提は誤りではないかと思います。初期状態、つまりフォールトが起きていない状態においては、IF、SM1の両方ともがリペアラブルが正しく、上記の仮定においては故障確率を過大に見積もりすぎています。規格ではこの場合は最初にSM1がフォールトしてしまうと、最終的にはIFのフォールトによりDPFとなる場合のみがカウントされます。どちらかがリペアラブルだと他方はアンリペアラブルだからです。この場合、SM1がリペアラブルの場合は自動的にIFはアンリペアラブルという前提です。2020に投稿中であり、そのため、最新の研究#103~108を一旦非開示としました。2020終了後に公開とします。2020での発表が終了したため、当該記事を開示とさせて頂きます。2020SPFの再計算?前記事ではDPF1に関する平均PUDを再計算しました。IFの条件がアンリペアラブルからリペアラブルに変更され、リペアすることにより(一部の)OPRの状態確率が上がったためです。SPFの確率は上がりません。up状態に戻ったということは、元のdownした時にはVSG抑止されていたはずです。そのため、リペアはDPF確率のみに影響し、SPFは全く無関係となります。Editionの規格式とは異なるものの、これが正解と考えます。2020DPF1の再計算ところがこの3.の場合は、DPF1について再計算する必要があります。その理由は、IFの条件がアンリペアラブルからリペアラブルに変更され、リペアすることによりOPRの状態確率が上がり、結果としてDPF1の確率が下がるためです。(104.1)IFUをIFRに変更した上でそのまま用います。書けるように思われますが、誤りです。preventable}}$の部分はSM1によりVSG抑止できないということは、一発VSGで修理が不可であるため、アンリペアラブルです。LAT1でのフォールトは周期の最後でリペアされ、そうでないものはDPF2に遷移する場合ケース2.の場合の計算です。Editionの中にPattern4が以下の図のように書かれています。IFが先にフォールトし、それが検出される場合についてはリペアされると推測されます。従って、この3.の場合であると推定されます。EditionではIFRモデルを前提としており、本ケース2.が妥当と思われます。CTMCにおいてLAT1⇒DPF2の遷移(105.1)のIFUをIFRに変更した上でそのまま用います。IFとSM1の稼働状態は独立事象であり、IF、SM1は共にリペアラブルです。