システム・運用#151

信頼性工学の基礎 — MTBFと直列・並列系の信頼度で読み解く冗長設計の数理

探査機RFフロントエンドの回で軽く触れた「プライム・バックアップの2系統」という冗長設計を、信頼性工学の一般理論として体系的に扱う。指数分布による故障モデルR(t)=e^{-λt}の導出から、直列系・並列系の信頼度計算、冗長化の限界とスイッチのボトルネック、FMEAによるクリティカリティ解析まで、なぜ探査機の冗長設計が地上システム以上に死活的かを数式で理解する。

前提知識: 探査機のEMI/EMC設計 — 同じ筐体の中で電波を汚さないための電磁両立性

信頼性工学MTBF冗長系設計FMEAクリティカリティ解析

この回で学ぶこと

探査機RFフロントエンドの回では、トランスポンダやTWTAをプライム系統とバックアップ系統の2台搭載し、クロスストラップスイッチで切り替える冗長設計を扱いました。そこでは $R_{\text{pair}}(t) = 1-(1-R(t))^2$ という並列系の信頼度の式を、いわば「使える道具」として天下りに導入し、数値例を1つ確認しただけで先に進みました。またリンク可用性の回では、複数の非稼働要因が独立に効いてくる状況を「直列系」とみなし、可用性 $\mathcal{A}=\prod_i(1-p_i)$ という積の形の式を使いました。

この回では、これらの回で「借りてきた」直列系・並列系の信頼度公式そのものを、信頼性工学(reliability engineering) という1つの体系的な理論として、故障率のモデル化から出発してきちんと導出し直します。扱うトピックは次の4つです。

故障率と信頼度関数: 故障率 $\lambda$ が時間に対して一定であるという仮定のもとで、指数分布による信頼度関数 $R(t)=e^{-\lambda t}$ を微分方程式から導出し、平均故障間隔 $\text{MTBF}=1/\lambda$ を定義する。
直列系と並列系の信頼度: 「すべての部品が正常でないと機能しない」直列系の信頼度 $R_{series}=\prod_i R_i$ と、「少なくとも1つが正常であればよい」並列系(冗長系)の信頼度 $R_{parallel}=1-\prod_i(1-R_i)$ を、具体的な数値で両者の劇的な差を確認する。
冗長化の限界とスイッチのボトルネック: 冗長化しても信頼度の伸びには収穫逓減があること、そして系統を切り替えるスイッチ自体の信頼度が、冗長化によって稼いだはずの信頼度を食いつぶしてしまう危険性を定量的に見る。
クリティカリティ解析とFMEA: なぜ探査機は「全部品を2重化する」のではなく、重要な部分だけを選んで冗長化するのか、その設計判断を支える故障モード影響解析(FMEA)という設計プロセスを概観する。

まず最初に、なぜ深宇宙探査機にとって信頼性設計がここまで死活的な問題になるのか、地上システムとの違いを直感的に確認するところから始めましょう。

直感的導入

地上の通信基地局や、私たちが日常使うサーバーやルーターは、故障すれば技術者が現地に赴いて部品を交換すれば復旧します。ダウンタイムは数時間から数日程度で済み、信頼性設計の目標は「なるべく壊れないこと」と「壊れてもすぐ直せること」の両方に置かれます。この「壊れてもすぐ直せる」という保険があるからこそ、地上システムでは全部品を2重化するようなコストのかかる設計を避け、多少のリスクを許容できます。

これに対して深宇宙探査機は、打ち上げた瞬間から物理的に修理不可能になります。数千万km、数億km彼方を飛行する機体の中で1つのトランジスタが焼き切れても、地球から手を伸ばして交換することはできません。できることは、あらかじめ用意しておいた予備の系統に、地上からのコマンドで切り替えることだけです。つまり深宇宙探査機の信頼性設計は、「壊れないこと」ではなく「打ち上げ前にありとあらゆる故障を想定し尽くし、どの故障が起きても機体が生き延びられるように、あらかじめ全部作り込んでおくこと」に懸かっています。

この違いを定量的に扱うのが信頼性工学です。信頼性工学は、個々の部品の故障のしやすさ(故障率)を確率的にモデル化し、それらの部品がどう組み合わさってシステムを構成しているか(直列か、並列か)によって、システム全体としての「生き延びる確率」がどう決まるかを数式で計算する学問です。実は私たちはすでにこの考え方の断片を、探査機RFフロントエンドの回のクロスストラップ冗長や、リンク可用性の回の複数要因の合成で使っていました。この回はそれを理論として一段深く掘り下げます。

数式定式化

故障率と信頼度関数

ある部品(あるいはシステム)が、使用開始から時刻 $t$ までの間、故障せずに動作し続ける確率を $R(t)$ (信頼度関数, reliability function)と呼びます。 $R(0)=1$ で、時間とともに単調に減少していきます。故障までの時間を確率変数 $T$ とすれば、 $R(t) = \Pr[T > t]$ です。

信頼性工学ではしばしば、 $R(t)$ そのものよりも扱いやすい瞬間故障率(ハザード関数) $h(t)$ を考えます。これは「時刻 $t$ まで生き延びた部品が、その直後の微小時間 $dt$ のうちに故障する条件付き確率密度」で、

h(t) = \lim_{dt \to 0}\frac{\Pr[t < T \le t+dt \mid T > t]}{dt} = \frac{f(t)}{R(t)} = -\frac{1}{R(t)}\frac{dR(t)}{dt} = -\frac{d}{dt}\ln R(t)

と定義されます。ここで $f(t) = -dR(t)/dt$ は故障時刻 $T$ の確率密度関数です。

一般に、電子部品の $h(t)$ を実測すると、横軸に時間、縦軸に故障率を取ったグラフが浴槽のような形になることが知られています(バスタブ曲線)。

初期故障期: 製造不良などによる故障率が高く、時間とともに減少していく期間。
偶発故障期: 故障率がほぼ一定値 $\lambda$ に落ち着く期間。摩耗や劣化ではなく、偶発的な要因(宇宙線シングルイベントや予期しない過渡現象など)による故障が支配的。
摩耗故障期: 経年劣化により故障率が再び増加していく期間。

探査機に搭載される部品は、打ち上げ前にバーンインや**環境ストレススクリーニング(ESS)**と呼ばれる選別試験を受け、初期故障を起こしやすい個体をあらかじめふるい落とした上で機体に組み込まれます。さらにミッション期間は、部品の設計寿命に対して十分余裕を持たせ、摩耗故障期に入る前に運用を終えるように計画されます。この結果、実際のミッション運用期間の大部分は、故障率がほぼ一定とみなせる偶発故障期に収まるという近似が正当化されます。

そこで $h(t) = \lambda$ (定数)とおいてみましょう。先の定義式は

-\frac{d}{dt}\ln R(t) = \lambda

という単純な1階の微分方程式になります。両辺を積分すると $\ln R(t) = -\lambda t + C$ 、初期条件 $R(0)=1$ から $C=0$ が決まるので、

\boxed{\ R(t) = e^{-\lambda t}\ }

という指数分布による信頼度モデルが得られます。対応する故障時刻の確率密度は $f(t) = \lambda e^{-\lambda t}$ です。

この信頼度関数の期待値、すなわち平均故障間隔(MTBF, Mean Time Between Failures) は、非負確率変数の期待値の一般公式 $E[T]=\int_0^\infty R(t)\,dt$ を使って、

\text{MTBF} = E[T] = \int_0^{\infty} e^{-\lambda t}\, dt = \frac{1}{\lambda}

と計算できます。つまり故障率の逆数がそのままMTBFになるという、指数分布特有の簡潔な関係です(単位は例えば時間の逆数で $\lambda$ を与えれば、MTBFは時間の単位で得られます)。

指数分布のもう1つの重要な性質が**無記憶性(memoryless property)**です。

\Pr[T > t+s \mid T > t] = \frac{R(t+s)}{R(t)} = \frac{e^{-\lambda(t+s)}}{e^{-\lambda t}} = e^{-\lambda s} = \Pr[T > s]

つまり「今まで $t$ 時間生き延びた部品」の、そこから先 $s$ 時間生き延びる確率は、部品が新品だろうと $t$ 時間使用済みだろうと変わりません。これは偶発故障期にある部品だからこそ成り立つ性質で、後で見る冗長系の計算(バックアップ系統がプライム系統と統計的に同一の $\lambda$ を持つとみなせること)の前提になっています。

直列系と並列系の信頼度

複数の部品からなるシステム全体の信頼度は、部品同士の論理的な接続関係によって決まります。ここでいう接続とは物理的な配線ではなく、「システムが機能し続けるために、どの部品の生存が必要か」という機能的な依存関係です。

直列系(series system) は、 $n$ 個の部品のうちすべてが正常でなければシステム全体が機能しない構成です。各部品の故障が互いに独立だとすると、システムが時刻 $t$ まで機能し続ける確率は、各部品が個別に機能し続ける確率の積になります。

R_{series}(t) = \Pr[\text{全部品が生存}] = \prod_{i=1}^{n} R_i(t)

すべての部品が同一の指数分布(故障率 $\lambda_i$ )に従うと仮定すると、

R_{series}(t) = \prod_{i=1}^n e^{-\lambda_i t} = \exp\left(-\Big(\sum_{i=1}^n \lambda_i\Big) t\right)

となり、独立な指数分布の故障率は単純に足し合わされるという美しい閉性(クロージャ性)が現れます。すなわち直列系全体も指数分布に従い、実効故障率は $\lambda_{series} = \sum_i \lambda_i$ 、実効MTBFは

\text{MTBF}_{series} = \frac{1}{\sum_i \lambda_i} < \min_i \frac{1}{\lambda_i}

です。直列系のMTBFは、必ず構成部品の中で最も信頼度の低い(MTBFが最も短い)部品よりもさらに短くなります。 これが「鎖の強さは一番弱い輪で決まる」という直感の数式的な表現です。

並列系(parallel system) は逆に、 $n$ 個の部品のうち少なくとも1つが正常であればシステムが機能する構成です(いわゆる冗長系)。システムが故障するのは全部品が同時に故障したときだけなので、その確率は各部品の故障確率の積になり、

R_{parallel}(t) = 1 - \Pr[\text{全部品が故障}] = 1-\prod_{i=1}^{n}\big(1-R_i(t)\big)

と表せます。すべて同一の部品( $R_i(t)=R(t)$ )を $n$ 台並列に置いた場合は、

R_{parallel}(t) = 1-\big(1-R(t)\big)^n

数値でこの2つの構造がどれほど違う結果を生むか見てみましょう。信頼度 $R=0.9$ (ミッション期間中に10%の確率で故障する)という、決して優秀とは言えない部品を考えます。

これを5個直列につないだ場合: $R_{series} = 0.9^5 \approx 0.590$ 。故障確率はなんと41%にまで跳ね上がります。部品点数が増えるほど全体の信頼度が急激に悪化することが、この数値からもよくわかります。
同じ部品を1個ずつ、5つの独立な機能ブロックそれぞれで**2重化(並列化)**した場合、各ブロックの信頼度は $1-(1-0.9)^2 = 1-0.01=0.99$ となり、5ブロック直列につないだシステム全体では $R = 0.99^5 \approx 0.951$ 。

同じ「部品の信頼度0.9、部品10個」という土俵で比較しても、シングルストリング(直列のみ)では59.0%、要所を2重化した設計では95.1%と、故障確率にして実に12倍以上の差が生まれます。これが冗長設計が深宇宙ミッションで不可欠とされる理由を、数式が裏付けている場面です。

冗長化の限界 — 収穫逓減とMTBFの伸び

「2台にすれば2倍長持ちする」と直感的に思うかもしれませんが、これは正しくありません。同一の故障率 $\lambda$ を持つ部品2台をホット冗長(両方とも常時通電・動作させ、どちらか一方が生きていればよい構成)にしたときのMTBFを計算してみましょう。

R_{parallel}(t) = 1-(1-e^{-\lambda t})^2 = 2e^{-\lambda t}-e^{-2\lambda t}

\text{MTBF}_{parallel} = \int_0^\infty \big(2e^{-\lambda t}-e^{-2\lambda t}\big)\,dt = \frac{2}{\lambda}-\frac{1}{2\lambda} = \frac{3}{2}\cdot\frac{1}{\lambda} = 1.5 \times \text{MTBF}_{single}

2台に増やしてもMTBFは2倍にはならず、1.5倍にしかなりません。 これは「収穫逓減(diminishing returns)」の一例で、部品を追加するほど、追加1台あたりが稼いでくれる信頼性向上の量は小さくなっていきます。一般に $n$ 台の並列冗長のMTBFは

\text{MTBF}_{n\text{-parallel}} = \frac{1}{\lambda}\sum_{k=1}^{n}\frac{1}{k}

という調和級数の形になり( $n\to\infty$ でも発散は対数的にしか進まない)、3台目・4台目と増やしても得られる伸びはどんどん小さくなっていきます。同時に、部品を1台増やすたびに、質量・電力・コスト・試験工数は素直に加算的に増えていきます。冗長化によるMTBFの伸びが収穫逓減する一方、冗長化のコストはほぼ線形に増えるという非対称性こそが、後述するように「全部品を無制限に冗長化する」のではなく「重要な部分に絞って冗長化する」という設計判断が合理的である理由です。

スイッチのボトルネック — 部分冗長構成の信頼度

探査機RFフロントエンドの回で見たクロスストラップ冗長は、プライム系統とバックアップ系統をスイッチで切り替える構成でした。ここではこれを一般化し、なぜスイッチ自体の信頼性が設計の急所になるのかを、より丁寧に見ます。

$n$ 台の同一部品(信頼度 $R(t)$ )を並列冗長化し、それらをスイッチ(信頼度 $R_{sw}(t)$ )を介して1系統だけ選択・接続する構成を考えます。冗長部品群とスイッチは機能的に直列(スイッチが壊れればどれだけ部品が生きていても無意味)なので、

R_{total}(t) = R_{sw}(t)\cdot\Big[1-\big(1-R(t)\big)^n\Big]

具体的な数値で、この構造がどう効いてくるか確認しましょう。部品単体の信頼度を $R=0.9$ 、これを $n=3$ 台並列に冗長化したとします。冗長化された部品ブロックだけの信頼度は

1-(1-0.9)^3 = 1-0.001 = 0.999

3重化によって故障確率はわずか0.1%まで下がっています。ところがこれを信頼度 $R_{sw}=0.99$ のスイッチにつなぐと、

R_{total} = 0.99 \times 0.999 \approx 0.98901

システム全体の故障確率は約1.1%となり、その内訳を見ると冗長化された部品ブロック自身が寄与する故障確率はわずか0.1%、残り約1.0%はスイッチ単体の故障確率にほぼそのまま起因していることがわかります。つまり部品を3重化しようが10重化しようが、 $1-(1-R)^n \to 1$ に漸近していく一方で、直列に入っているスイッチの信頼度 $R_{sw}$ は $n$ に関わらず一定の天井として残り続けます。

\lim_{n\to\infty} R_{total}(t) = R_{sw}(t)\cdot 1 = R_{sw}(t)

したがって冗長化された系統の信頼度は、原理的にスイッチの信頼度を超えることができません。 これが前回の回で述べた「切替スイッチには、保護対象の部品よりも高い信頼性が要求される」という設計原則の、 $n$ を一般化した形での定量的な根拠です。深宇宙探査機の冗長スイッチに、可動部を極力減らしたラッチング型フェライトスイッチのような特別に高信頼な部品が採用されるのは、まさにこの「スイッチが新たなボトルネックにならないように」という要請から来ています。

実務での使われ方

ここまでの数理は「部品を並列化すれば信頼度は劇的に上がる」ことを示していますが、実際の探査機ではすべての部品を2重化するわけではありません。冗長化の対象は、クリティカリティ解析(criticality analysis) と呼ばれる設計プロセスを通じて、意図的に絞り込まれます。

冗長化を全部品に適用しない理由は単純です。前節で見た通り、冗長化のコスト(質量・電力・体積・配線・試験工数)はほぼ部品数に比例して増える一方、信頼度の伸びは収穫逓減します。探査機に搭載できる質量・電力には厳しい上限があるため、「ミッション全体を左右する少数の重要部品」に冗長化の予算を集中投下するのが合理的な設計判断になります。

この判断を体系的に行うための手法が FMEA(Failure Mode and Effects Analysis, 故障モード影響解析)、および故障の深刻度まで含めて評価する FMECA(FMEAにCriticality Analysisを加えたもの) です。ボトムアップ型の解析プロセスで、おおむね次の手順で進みます。

システムを構成する部品を1つずつ洗い出す。
各部品について、起こりうる故障モード(断線、短絡、機械的固着、性能劣化など)を列挙する。
各故障モードが、上位のサブシステム・システムレベルにどんな影響を及ぼすかを追跡する。
その影響の深刻度(severity)と発生確率を評価し、クリティカリティ(重大度) を格付けする。

米国の代表的な標準である MIL-STD-1629A (Procedures for Performing a Failure Mode, Effects and Criticality Analysis)や、欧州の ECSS-Q-ST-30-02C (Space Product Assurance — Failure Modes, Effects (and Criticality) Analysis)では、故障モードをおおよそ次のようなカテゴリに分類します。

Criticality 1 (Cat 1): 単一故障(単一故障点, Single Point of Failure)がミッションの喪失に直結する故障モード。設計上、原則としてこれをゼロにすることが求められる。
Criticality 1R: Cat 1相当の重大な影響を持つが、冗長系によって単一故障点が解消されている故障モード(冗長系自体は引き続き重点的な監視対象になる)。
Criticality 2 / 2R: ミッションの主要目的の一部喪失につながるが、ミッション全体の喪失には至らない故障モード。
Criticality 3: 軽微な性能低下にとどまる故障モード。

この格付けにもとづき、Criticality 1に分類された故障モードは、設計変更(冗長化などによる単一故障点の解消)によって解消されるか、それが技術的・コスト的に不可能な場合は、プロジェクト上層部の正式な承認(ウェーバー)を得た上で「許容されたリスク」として明示的に記録されます。この考え方は、リンク可用性の回で触れたECSS-Q-ST-30C(Dependability, 依存性)という上位標準とも整合しています。

この結果、実際の探査機ではすべてのサブシステムが均等に冗長化されるわけではありません。

電源系(電力の供給が止まれば機体全体が即座に機能を失う)、C&DH系(コマンド&データハンドリング、機体全体を統括するオンボードコンピュータ)、通信系(この講座で扱ってきたトランスポンダ・TWTAなど、地球との唯一の接点)、推進系の重要バルブなど、故障すればミッション全体が終わってしまう部分は、典型的にCriticality 1(または1R)に分類され、探査機RFフロントエンドの回で見たようなプライム・バックアップの2重化が施されます。
一方、多くの科学観測装置は、1台が故障してもその観測データが失われるだけでミッション全体は継続できるため、Criticality 2や3に分類され、あえてシングルストリング(冗長系を持たない)で設計されることが一般的です。観測装置を2重化すれば質量・電力・コストが増大し、その分だけ他の重要部位の冗長化や、そもそもの科学ペイロード搭載量を圧迫してしまうためです。

実際のミッションでも、この設計思想の濃淡ははっきり見て取れます。ボイジャーやカッシーニのような長期運用を前提とした大型フラッグシップミッションは、通信系・電源系・姿勢制御系を含む多くのCriticality 1系統について手厚い冗長構成を持っています。一方、質量制約が極めて厳しいニューホライズンズのような小型・低コストの探査機では、冗長化される範囲がより絞り込まれ、多くのサブシステムがシングルストリングに近い構成を取っています。NASAのプロジェクトリスク分類(NPR 8705.4など)でも、フラッグシップ級の「クラスA」ミッションほど高い信頼性・冗長性が要求され、実験的・低コストな「クラスC/D」ミッションではより高いリスクが許容されるという、ミッションの重要度に応じた段階的な要求水準が制度化されています。信頼性工学とクリティカリティ解析は、こうした「どこにどれだけ冗長化の予算を割くか」という設計判断を、感覚ではなく定量的な根拠にもとづいて行うための土台になっています。

演習問題

瞬間故障率が時間に依存しない定数 $h(t)=\lambda$ であるという仮定から出発し、微分方程式 $-\frac{d}{dt}\ln R(t) = \lambda$ を初期条件 $R(0)=1$ のもとで解いて $R(t)=e^{-\lambda t}$ を導出してください。さらに $\text{MTBF}=\int_0^\infty R(t)\,dt$ の定義から $\text{MTBF}=1/\lambda$ を示してください。
あるサブシステムが、信頼度0.995(ミッション期間全体で)の部品4個の直列接続でできているとします。(a) このサブシステム全体の信頼度 $R_{series}$ を計算してください。(b) このうち最も故障しやすい部品1個だけを、理想的なスイッチ(信頼度1と仮定)で並列2重化したとき、サブシステム全体の信頼度はどう変化するか計算し、改善幅を評価してください。
本文中の式 $\text{MTBF}_{parallel} = \frac{3}{2\lambda}$ を、 $R_{parallel}(t)=2e^{-\lambda t}-e^{-2\lambda t}$ を実際に積分することで確認してください。また、これが単純に「2台だからMTBFも2倍」という素朴な予想 $2/\lambda$ より小さくなる理由を、収穫逓減の観点から自分の言葉で説明してください。
信頼度 $R=0.85$ の部品を $n=3$ 台並列冗長化し、信頼度 $R_{sw}=0.97$ のスイッチで接続したシステムを考えます。(a) $R_{total}=R_{sw}\cdot[1-(1-R)^n]$ を計算してください。(b) スイッチを信頼度1の理想スイッチに置き換えた場合の $R_{total}$ と比較し、システム全体の故障確率のうちどれだけの割合がスイッチに起因しているか評価してください。(c) この結果を踏まえ、なぜ実際の探査機ではすべての部品を無制限に冗長化するのではなく、FMEAによるクリティカリティ解析にもとづいて冗長化の対象を絞り込むのか、本文の議論を踏まえて説明してください。

まとめと次回予告

この回では、故障率が時間に対して一定であるという仮定(バスタブ曲線の偶発故障期に相当)から出発し、指数分布による信頼度モデル $R(t)=e^{-\lambda t}$ と $\text{MTBF}=1/\lambda$ を導出しました。その上で、直列系の信頼度 $R_{series}=\prod_i R_i$ が部品点数とともに急速に悪化する一方、並列系(冗長系)の信頼度 $R_{parallel}=1-\prod_i(1-R_i)$ がそれを劇的に改善しうることを、具体的な数値で確認しました。同時に、冗長化にはMTBFの伸びが収穫逓減するという限界があり、また部分冗長構成では接続用のスイッチ自体の信頼度がシステム全体の信頼度の天井になってしまうことも見ました。最後に、これらの数理にもとづいて実際にどこを冗長化するかを決める設計プロセスとして、クリティカリティ解析とFMEA/FMECAの考え方を概観しました。

ここまで私たちは、PCM/PSK/PMのような変調方式から、ダイプレクサやEMI/EMC、そして今回の信頼性工学まで、探査機の通信サブシステムを構成する個々の技術要素とその設計原理を積み上げてきました。次回は少し視点を引いて、これらの技術要素が「宇宙機システム全体の開発プロセス」の中でどのように計画され、要求定義され、検証されていくのかという、システムズエンジニアリングのVモデルに軽く触れます。要求分析からミッション運用までを一直線ではなく「V字」を描くように進めるこの開発プロセスの中に、今回学んだFMEAやクリティカリティ解析がどう位置づけられるのかを見ていきます。

参考文献

MIL-STD-1629A, Procedures for Performing a Failure Mode, Effects and Criticality Analysis
ECSS-Q-ST-30-02C, Space Product Assurance — Failure Modes, Effects (and Criticality) Analysis (FMEA/FMECA)
MIL-HDBK-338B, Electronic Reliability Design Handbook
E. A. Elsayed, Reliability Engineering, 2nd ed., Wiley, 2012
J. H. Yuen (ed.), Deep Space Telecommunications Systems Engineering, JPL Publication 82-76