[論文レビュー] Average probability of a dangerous failure on demand: Different modelling methods, similar results

Florent Brissaud, Fernando Luíz|arXiv (Cornell University)|Jan 20, 2015

Risk and Safety Analysis被引用数 4

ひとこと要約

本論文は、安全関連システムにおける要求応答時の危険故障の平均確率（PFDavg）を計算するための4つの異なるモデリング手法—故暲木解析、マルチフェーズマルコフモデル、確率的ペトリネット、および近似解析式—を評価する。共通の事例研究を用いて、IEC 61508の要件に従って適用された場合、すべての手法が非常に一貫性のあるPFDavgの結果をもたらすことが示された。これは、手法選択が理論的教条主義ではなく、モデリング作業量やシステム特性といった実用的要因に従うべきであることを示している。

ABSTRACT

According to the IEC 61508 functional safety standard, it is required to estimate the achieved safety integrity of the system due to random hardware failures. For a safety function operating in a low demand mode, this measure is the average probability of a dangerous failure on demand (PFDavg). In the present paper, four techniques have been applied to various configurations of a case study: fault tree analyses supported by GRIF/Tree, multi-phase Markov models supported by GRIF/Markov, stochastic Petri nets with predicates supported by GRIF/Petri, and approximate equations (developed by DNV and different from those given in IEC 61508) supported by OrbitSIL. It is shown that all these methods yield very similar results for PFDavg, taking the characteristics required by the standard into account. The choice of a method should therefore not be determined by dogmatic assumptions, but should result of a balance between modelling effort and objectives, given the system properties. For this task, a discussion about pros and cons of each method is proposed.

研究の動機と目的

• 安全関連システムにおける異なるモデリング手法のPFDavg推定値の整合性を評価すること。
• 低需要モードの安全機能において、IEC 61508基準に従う場合、多様なモデリングアプローチが同等の結果をもたらすかどうかを評価すること。
• 各手法の長所と短所を比較分析し、システム特性とプロジェクト目標に基づく手法選択を支援すること。
• 標準が適切に適用された場合、手法上の違いがPFDavgの結果に顕著に影響しないことを検証すること。

提案手法

• GRIF/Treeツールを用いた故暲木解析による、システム故障シナリオのモデリング。
• GRIF/Markovツールを用いたマルチフェーズマルコフモデルの実装による、時間依存故障行動の捉え込み。
• GRIF/Petriツールを用いた、述語を含む確率的ペトリネットによる、複雑な状態遷移のモデリング。
• OrbitSILツールを用いた、近似解析式（IEC 61508とは異なるDNVが開発）の適用による、迅速なPFDavg推定。
• すべての手法が同じ事例研究設定に適用され、一貫性のある比較が保証された。
• 結果は、安全適合性レベル（SIL）決定のためのIEC 61508要件に基づいて評価された。

実験結果

リサーチクエスチョン

• RQ1 同じ安全システム構成に適用された場合、異なるモデリング手法が顕著に異なるPFDavg値をもたらすか？
• RQ2 故暲木解析、マルコフモデル、確率的ペトリネット、および近似方程式は、PFDavg推定における正確さと作業量の観点からどのように比較できるか？
• RQ3 標準化されたIEC 61508基準下で、手法上の違いが最終的なPFDavg結果にどの程度影響を及ぼすか？
• RQ4 近似解析式は、マルコフモデルやペトリネットのようなより複雑なモデルと同等の結果を提供できるか？
• RQ5 実際のPFDavg計算において、モデリング手法の選択を導く要因は何か？

主な発見

• 故暲木解析、マルチフェーズマルコフモデル、確率的ペトリネット、および近似方程式という4つのモデリング手法が、同じシステム構成に対して非常に類似したPFDavg結果をもたらした。
• IEC 61508における安全適合性レベル付与のための必要な精度しきい値と比較すると、手法間のPFDavg値の差は無視できるほど小さかった。
• システムが標準要件に従って一貫してモデリングされていれば、手法選択が最終的なPFDavg結果に顕著に影響しない。
• 各手法には、モデリング作業量、明確さ、拡張性という点で明確な利点があるが、テスト条件下ではいずれの手法も一貫して他を上回る正確さを示さなかった。
• 単純化または高速化された手法（例：近似方程式）を、十分な正確性が保証され、モデリング作業量を最小限に抑えたい場合に使用することが支持された。
• 結果は、手法選択が理論的好みではなく、作業量、システム複雑性、プロジェクト目標との実用的トレードオフに基づくべきであることを裏付けた。