[論文レビュー] A Taxonomy to Unify Fault Tolerance Regimes for Automotive Systems: Defining Fail-Operational, Fail-Degraded, and Fail-Safe

Torben Stolte, Stefan Ackermann+5 more|arXiv (Cornell University)|Jun 21, 2021

Safety Systems Engineering in Autonomy参考文献 54被引用数 42

ひとこと要約

本論文は、自動車システムにおけるフォールトトレランス運用形態—フェイルオペレーション、フェイルデグレード、フェイルセーフ—の定義を統一化する標準化された分類体系を提案する。ISO 26262およびシステム工学の原則に基づき、機能性、定格および利用可能性能、および洗練された安全状態の定義の4つの基準を導入することで、階層的システムレベルにわたる一貫性のある分類を可能にし、2つの自動車例を通じて検証されている。

ABSTRACT

This paper presents a taxonomy that allows defining the fault tolerance regimes fail-operational, fail-degraded, and fail-safe in the context of automotive systems. Fault tolerance regimes such as these are widely used in recent publications related to automated driving, yet without definitions. This largely holds true for automotive safety standards, too. We show that fault tolerance regimes defined in scientific publications related to the automotive domain are partially ambiguous as well as taxonomically unrelated. The presented taxonomy is based on terminology stemming from ISO 26262 as well as from systems engineering. It uses four criteria to distinguish fault tolerance regimes. In addition to fail-operational, fail-degraded, and fail-safe, the core terminology consists of operational and fail-unsafe. These terms are supported by definitions of available performance, nominal performance, functionality, and a concise definition of the safe state. For verification, we show by means of two examples from the automotive domain that the taxonomy can be applied to hierarchical systems of different complexity.

研究の動機と目的

• 自動車セーフティ文書および規格におけるフォールトトレランス運用形態の標準化された定義の欠如に対処すること。
• 出版物および規格において、フェイルオペレーション、フェイルデグレード、フェイルセーフの定義に見られる一貫性の欠如および曖昧さを解消すること。
• 自動車システムの部品レベルから車両レベルまでの異なるシステムレベルに適用可能な整合的で検証可能な分類体系を確立すること。
• セーフティアーギュメンテーションを支援するため、機能性、定格性能、利用可能性能、および安全状態といったコア用語の明確で形式的な定義を提供すること。
• 特にSAEレベル4+自動運転車を対象として、異種別開発プロジェクトおよびセーフティクリティカルシステムにおける一貫性のあるコミュニケーションと仕様化を可能にすること。

提案手法

• ISO 26262およびシステム工学の用語に基づく分類体系を構築し、機能性、定格性能、利用可能性能、および安全状態の4つの主要基準を用いる。
• 安全状態を、システム動作に起因するいかなる害にも帰着しない状態として定義することで、ISO 26262 や ISO/TR 4804 などの先行規格における不整合を解消する。
• 機能性および安全性の結果に基づいてフォールトトレランス運用形態を区別するための基礎的概念として、『運用可能』および『フェイルアンサーフ』という用語を導入する。
• 分類体系を2つの自動車例（ステア・バイ・ワイヤー制御系および車両制御系）に適用し、異なるアーキテクチャレベルでの使用法を示す。
• 定められた故障条件下での故障組み合わせおよびシステム動作の分析を通じて、分類体系の一貫性および適用可能性を検証する。
• 特にISO 26262に準拠しつつ、車両レベルに限らずサブシステムおよび部品レベルへの応用を可能にするように、既存のセーフティ規格と整合性を保つ。

実験結果

リサーチクエスチョン

• RQ1 自動車システムの文脈において、フェイルオペレーション、フェイルデグレード、フェイルセーフといったフォールトトレランス運用形態を曖昧さを排除するように一貫して定義する方法は何か？
• RQ2 セーフティ工学および検証を支援するため、フォールトトレランス運用形態を区別するために必要な基準は何か？
• RQ3 既存の規格における矛盾を解消するため、安全状態の概念を形式的かつ明確に定義する方法は何か？
• RQ4 提案された分類体系は、部品から車両までさまざまなシステムレベルにどの程度適用可能か？
• RQ5 分類体系は、複数の同時故障下でのシステム評価に使用可能か？また、SAEレベル4+自動運転車のセーフティアーギュメンテーションをどのように支援するか？

主な発見

• 本論文は、4つの基準（機能性、定格性能、利用可能性能、および洗練された安全状態の定義）を用いてフォールトトレランス運用形態を区別する形式的な分類体系を確立した。
• 安全状態は、システム動作に起因するいかなる害にも帰着しない状態として定義され、ISO 26262、ISO/DIS 21448、およびISO/TR 4804における不整合を解消した。
• 分類体系により、特定の故障組み合わせ下でのシステムの一貫した分類が可能となり、フォールトトレランス運用形態が一般化されてではなく、文脈に応じて適用されることを保証した。
• 分類体系は、ステア・バイ・ワイヤー制御系および車両制御系の2つの自動車例を通じて検証され、異なるシステムレベルでの適用可能性が示された。
• 提案された定義は、ISO 26262およびISO/TR 4804と互換性があるが、サブシステムおよび部品レベルへの応用を可能にする点でそれらの範囲を超えて拡張された。
• 分類体系により、人間のバックアップに依存しない形で、SAEレベル4+自動運転車のセーフティアーギュメンテーションが可能となり、フォールトトレランス動作が形式化された。