二乘二取二系統(tǒng)的一種新降級(jí)策略研究

張永賢，鄒力棒，吳文杰，廖肇聰

（華東交通大學(xué)電氣與自動(dòng)化工程學(xué)院，江西 南昌 330013）

二乘二取二系統(tǒng)的一種新降級(jí)策略研究

張永賢，鄒力棒，吳文杰，廖肇聰

（華東交通大學(xué)電氣與自動(dòng)化工程學(xué)院，江西 南昌 330013）

隨著國(guó)內(nèi)軌道交通行業(yè)的高速發(fā)展，系統(tǒng)的安全性和可靠性越來(lái)越受到重視。以提高軌道交通控制中常用的二乘二取二安全計(jì)算機(jī)的可靠性和安全性為目標(biāo)，分析了幾種常用冗余結(jié)構(gòu)的可靠性，進(jìn)一步提出了一種基于三取二冗余結(jié)構(gòu)及二乘二取二冗余結(jié)構(gòu)的新降級(jí)工作策略。在考慮多模故障的情況下，分析了該系統(tǒng)所有工作狀態(tài)以及各狀態(tài)之間的轉(zhuǎn)移關(guān)系，依此建立馬爾可夫狀態(tài)轉(zhuǎn)移模型，通過(guò)MATLAB分析新降級(jí)工作策略下系統(tǒng)的安全性和可靠性。與傳統(tǒng)二乘二取二系統(tǒng)進(jìn)行對(duì)比，新降級(jí)工作策略下系統(tǒng)具有更高的可靠性。

二乘二取二；可靠性；安全性；多模故障；馬爾可夫模型

隨著高速鐵路及城市軌道交通的快速發(fā)展，安全控制問(wèn)題受到越來(lái)越多的關(guān)注。安全計(jì)算機(jī)是軌道交通列車(chē)車(chē)載與地面控制系統(tǒng)的核心，直接影響到列車(chē)能否安全可靠并且高效地運(yùn)行[1]。采用冗余容錯(cuò)結(jié)構(gòu)可提高安全計(jì)算機(jī)的可靠性和安全性，常用的冗余容錯(cuò)結(jié)構(gòu)有二乘二取二、帶自診斷的雙機(jī)熱備、三取二表決等[1-5]。文獻(xiàn)[6]中列出了所有表決冗余系統(tǒng)可靠性的基礎(chǔ)計(jì)算方法，這種計(jì)算方法有一定的局限性，只適用于初步的冗余結(jié)構(gòu)研究，現(xiàn)有文獻(xiàn)中大多使用馬爾科夫模型結(jié)合系統(tǒng)工作情況進(jìn)行分類(lèi)[7-9]。現(xiàn)有二乘二取二可靠性和安全性分析相關(guān)文獻(xiàn)沒(méi)有考慮由共因失效[9]導(dǎo)致的多模故障率（包括雙模失效和三模失效），而多模故障在在安全性和可靠性分析中不可忽略。幾種常見(jiàn)安全結(jié)構(gòu)體系中，三取二表決系統(tǒng)可靠性比二乘二取二系統(tǒng)可靠性要高。為了提高二乘二取二系統(tǒng)的可靠性，提出了一種基于總線表決的新的二乘二取二結(jié)構(gòu)的降級(jí)工作策略，在考慮多模故障的情況下，利用馬爾可夫理論將系統(tǒng)工作狀態(tài)進(jìn)行劃分，詳細(xì)研究該模式下的狀態(tài)轉(zhuǎn)移，分析新工作策略下系統(tǒng)的可靠性和安全性。

1 二乘二取二冗余系統(tǒng)工作策略

1.1 傳統(tǒng)降級(jí)策略

如圖1所示，二乘二取二結(jié)構(gòu)包含兩個(gè)比較子系統(tǒng)，分別為A系和B系，系內(nèi)包括兩個(gè)具有故障檢測(cè)功能的運(yùn)算模塊和二取二表決器。處于主系狀態(tài)的二取二表決器對(duì)兩個(gè)模塊的輸出進(jìn)行比較，相同則該系的輸出作為系統(tǒng)的輸出，不同則進(jìn)行主備切換，由于備系和主系一直保持任務(wù)同步，備系接替主系任務(wù)并轉(zhuǎn)為主系。如切換成功則原主系進(jìn)入維修狀態(tài)，不成功則進(jìn)入停機(jī)狀態(tài)，系統(tǒng)輸出導(dǎo)向安全側(cè)。

1.2 新降級(jí)策略

如圖2所示，4個(gè)模塊的輸出通過(guò)4條具有安全協(xié)議的總線（BUS1，BUS2，BUS3，BUS4）傳入總線控制器，與傳統(tǒng)二乘二取二結(jié)構(gòu)相比，不再需要主備切換和二取二表決器，但增加了1個(gè)多功能的總線控制器。總線控制器可進(jìn)行一定故障診斷、主備系數(shù)據(jù)同步、狀態(tài)信息記錄等功能，但其主要功能是根據(jù)四路總線上的信息進(jìn)行表決。

所設(shè)計(jì)的二乘二取二新降級(jí)工作策略是當(dāng)A系或B系之中任意一個(gè)模塊產(chǎn)生可檢測(cè)故障時(shí)，由二乘二取二結(jié)構(gòu)降級(jí)為三取二表決結(jié)構(gòu)，當(dāng)再次出現(xiàn)可測(cè)故障時(shí)，進(jìn)入二取二表決結(jié)構(gòu)。而傳統(tǒng)工作策略中當(dāng)單一模塊出現(xiàn)故障后直接降級(jí)為二取二結(jié)構(gòu)，故障模塊系中另一模塊沒(méi)有發(fā)揮出應(yīng)有的作用，而二乘二取二新降級(jí)工作策略能使得系統(tǒng)充分發(fā)揮故障系非故障模塊的作用，使系統(tǒng)具有更高的可靠性。

圖1 二乘二取二系統(tǒng)結(jié)構(gòu)圖Fig.1 Architecture of double 2-out-of-2

圖2 基于總線表決的二乘二取二結(jié)構(gòu)圖Fig.2 Architecture of double 2-out-of-2 based on bus voting

當(dāng)檢測(cè)出單一故障模塊時(shí)，故障系無(wú)故障模塊通過(guò)該路總線發(fā)送屏蔽同系故障模塊碼及當(dāng)前計(jì)算結(jié)果，總線控制器根據(jù)接收到屏蔽碼來(lái)改變表決策略，發(fā)送模式碼給各模塊，各模塊可在完成基本任務(wù)的同時(shí)還可進(jìn)行故障診斷和故障恢復(fù)任務(wù)，而總線控制器進(jìn)行數(shù)據(jù)備份且進(jìn)行表決輸出，總線控制器工作流程見(jiàn)圖3。圖中A1、A2、B1、B2分別是A系、B系的兩模塊輸出。關(guān)于該總線控制器，需要說(shuō)明的是：① 總線控制器的表決輸出使用動(dòng)態(tài)驅(qū)動(dòng)和安全輸出接口，保證總線控制器在發(fā)生輸出故障時(shí)也不會(huì)導(dǎo)向危險(xiǎn)側(cè)；② 總線控制器的表決功能具有安全協(xié)議的，且表決的信息需通過(guò)總線與A系和B系模塊進(jìn)行核對(duì)，總線控制器的表決輸出可認(rèn)為是二乘二取二冗余系統(tǒng)的表決輸出，總線控制器負(fù)責(zé)組合A、B系模塊1與模塊2的輸出結(jié)果并進(jìn)行表決。因此，在后文建立馬爾科夫模型時(shí)，不考慮總線控制器故障，其表決可靠度與傳統(tǒng)二乘二取二冗余系統(tǒng)中的二取二表決器一致。

圖3 總線控制器工作流程圖Fig.3 Bus controller diagnosis and voting flow

2 系統(tǒng)的可靠性和安全性分析

可靠性R（t）是指系統(tǒng)在一定的環(huán)境下，在給定的時(shí)間內(nèi)完成預(yù)定功能的概率,可靠的系統(tǒng)只能在一定程度上保證是個(gè)相對(duì)安全的系統(tǒng)，安全性S（t）是系統(tǒng)避免不可接受的傷害風(fēng)險(xiǎn)的概率，本文中是指不考慮其他外部因素下系統(tǒng)不產(chǎn)生危險(xiǎn)輸出的概率。設(shè)單個(gè)模塊的可靠度為R（t），不可靠度為1-R（t），則n個(gè)模塊冗余結(jié)構(gòu)的可靠度RS（t，n）為[9]

其中n中取k表決冗余結(jié)構(gòu)的可靠度RS（t，k/n）為[2]

式中i取值為1～k-1，表示該冗余結(jié)構(gòu)中i個(gè)模塊正常工作，n-i個(gè)模塊失效。假設(shè)單個(gè)模塊的在t時(shí)刻的可靠度R=0.9，根據(jù)式（1）和式（2），分別得出該時(shí)刻的三取二、二乘二取二、四取三冗余結(jié)構(gòu)的可靠度

結(jié)果表明，三取二表決系統(tǒng)比二乘二取二冗余表決系統(tǒng)在可靠性上具有一定優(yōu)勢(shì)，而四取三表決可靠性反而比三取二可靠性低。二乘二取二系統(tǒng)要在可靠性上獲得進(jìn)展必須在其工作策略上進(jìn)行優(yōu)化。在更為詳細(xì)地分析二乘二取二冗余系統(tǒng)時(shí)，作以下假設(shè)：

1）4個(gè)模塊的設(shè)計(jì)完全相同，即單模故障率、修復(fù)率和故障檢測(cè)覆蓋率均相同且是常數(shù)，共因失效導(dǎo)致的雙模故障率等于三模故障率且是常數(shù)。

2）具有安全通信協(xié)議總線的表決可靠度與傳統(tǒng)二乘二取二系統(tǒng)中的硬件二取二比較器相同，同設(shè)為1。

3）在某一時(shí)刻只能同時(shí)發(fā)生一種類(lèi)型的故障，即單模故障、雙模故障或三模故障。

系統(tǒng)模塊失效不僅分為單模失效、雙模失效、三模失效，還可進(jìn)一步分為可測(cè)失效和不可測(cè)失效。設(shè)單模失效率為λ，雙模失效率和三模失效率都為β。故障覆蓋率為c，1-c為故障未檢測(cè)到的概率，單模塊維修率為μ，假設(shè)系統(tǒng)各模塊在t時(shí)刻正常工作，故障失效服從指數(shù)分布，則在t+Δt時(shí)刻發(fā)生可測(cè)單模故障的概率是p=1-e-cλΔt，當(dāng)Δt很小時(shí)，可簡(jiǎn)化為cλΔt。依此可推出雙模或三模可測(cè)故障概率為cβΔt，其不可測(cè)雙模或三模故障概率（1-c）βΔt。

基于以上假設(shè)，二乘二取二冗余系統(tǒng)傳統(tǒng)工作策略狀態(tài)如表1。本文設(shè)計(jì)的新降級(jí)工作策略見(jiàn)表2，與傳統(tǒng)工作策略相比，增加2種狀態(tài)，一種是可修復(fù)三取二狀態(tài)，一種是不可修復(fù)三取二狀態(tài)。

表1 傳統(tǒng)工作策略狀態(tài)表Tab.1 State of traditionalworking strategy

表2 新降級(jí)工作策略狀態(tài)表Tab.2 State of new degradation working strategy

2.1 傳統(tǒng)降級(jí)策略下的狀態(tài)轉(zhuǎn)換馬爾可夫模型

用來(lái)分析系統(tǒng)可靠性和安全性常用的方法有動(dòng)態(tài)故障樹(shù)分析法[11]、馬爾可夫模型分析法。動(dòng)態(tài)故障樹(shù)法必須區(qū)分任何一種失效模式，特別適用于具有動(dòng)態(tài)隨機(jī)相關(guān)性故障的容錯(cuò)、冗余系統(tǒng)以及順序相關(guān)性系統(tǒng)的可靠性建模和分析。但是它對(duì)于研究新的工作模式并不合適，過(guò)程復(fù)雜。馬爾可夫模型分析法是一種常用的分析可靠性和安全性的方法，且模型簡(jiǎn)易明了，能夠很好的描述系統(tǒng)在正常運(yùn)行、故障、維修、虛警等狀態(tài)之間的轉(zhuǎn)移過(guò)程[12]。缺點(diǎn)是模型狀態(tài)空間的增加隨冗余系統(tǒng)規(guī)模大大增加，使得難以計(jì)算。

本文對(duì)新系統(tǒng)進(jìn)行了合理的模式分類(lèi)，其系統(tǒng)模型較小，求解簡(jiǎn)單。根據(jù)傳統(tǒng)工作策略，結(jié)合表1，其傳統(tǒng)二乘二取二系統(tǒng)狀態(tài)轉(zhuǎn)換圖見(jiàn)圖4。

圖4 傳統(tǒng)二乘二取二系統(tǒng)狀態(tài)轉(zhuǎn)換圖Fig.4 Markov state transition of traditional double 2-out-of-2 system

狀態(tài)0到狀態(tài)1含義為正常二乘二取二狀態(tài)下發(fā)生單個(gè)模塊的可測(cè)故障和發(fā)生雙模可測(cè)失效轉(zhuǎn)換到二取二狀態(tài)，根據(jù)其任一單模塊可測(cè)故障導(dǎo)致的狀態(tài)改變可理解為四個(gè)串聯(lián)的系統(tǒng)，每個(gè)系統(tǒng)的可靠性為e-cλΔt，其總概率等于e-4cλΔt。根據(jù)其兩個(gè)雙模可測(cè)故障導(dǎo)致的狀態(tài)改變可理解為兩個(gè)串聯(lián)的系統(tǒng)，每個(gè)系統(tǒng)的可靠性為e-cβΔt，其總概率等于e-2cβΔt。這兩種可測(cè)故障又可看出一個(gè)串聯(lián)系統(tǒng)，發(fā)生任意一種都會(huì)導(dǎo)致?tīng)顟B(tài)改變。最終由狀態(tài)0到狀態(tài)1的總概率為1-（e-2cβΔt，e-4cλΔt），由于其Δt很小，Pij（t）（i=0，j=1）可簡(jiǎn)化為（4cλ+2cβ）Δt。同理得出系統(tǒng)各個(gè)狀態(tài)之間的齊次馬爾可夫轉(zhuǎn)移概率Pij。

記Pij（t）是齊次馬爾可夫過(guò)程的轉(zhuǎn)移概率，qii，qij為轉(zhuǎn)移密度，定義為

結(jié)合式（3）和式（4）可得其轉(zhuǎn)移密度矩陣A

利用柯?tīng)柲缏宸蛳蚯胺匠桃布词剑?）將求解馬爾可夫鏈轉(zhuǎn)移概率的問(wèn)題轉(zhuǎn)變?yōu)榍蠼饩仃囄⒎址匠痰膯?wèn)題。再利用MATLAB求解矩陣微分方程，得出各個(gè)狀態(tài)在t時(shí)刻的概率P（t）。從而求得該系統(tǒng)的可靠度R（t）和安全度S（t），其中Px（t）中x代表狀態(tài)序號(hào)，在傳統(tǒng)工作策略下除狀態(tài)3之外都屬于輸出安全狀態(tài)，除狀態(tài)3和狀態(tài)4之外的狀態(tài)都屬于結(jié)果可靠狀態(tài)。有

2.2 新降級(jí)工作策略下的狀態(tài)轉(zhuǎn)換馬爾可夫模型

分析各狀態(tài)之間的轉(zhuǎn)移原理，圖5中詳細(xì)地標(biāo)明了各狀態(tài)之間轉(zhuǎn)換的轉(zhuǎn)移概率。以下是部分狀態(tài)之間轉(zhuǎn)移的含義。

圖5 新降級(jí)策略下二乘二取二系統(tǒng)狀態(tài)轉(zhuǎn)換圖Fig.5 Markov state transition of double 2-out-of-2 system based on new degradation

1）0→1：二乘二取二中任一可測(cè)單模故障導(dǎo)向三取二。

2）0→2：二乘二取二中任一系發(fā)生可測(cè)雙模故障導(dǎo)向二取二。

3）0→3：二乘二取二中任一系發(fā)生不可測(cè)單模故障和主系不可測(cè)雙模故障導(dǎo)向二取二，二乘二取二中發(fā)生單模不可測(cè)故障時(shí)，不能自檢出具體哪個(gè)模塊故障，只能默認(rèn)該系出故障，發(fā)生雙模主系可測(cè)故障時(shí)，其總線表決或硬件表決器能檢出故障系，使得導(dǎo)向二取二。

4）0→6：二乘二取二中主系發(fā)生不可測(cè)雙模故障導(dǎo)向故障-危險(xiǎn)。

5）1→2：三取二中發(fā)生任一可測(cè)單模故障導(dǎo)向二取二。

6）3→4：不可修復(fù)的二取二發(fā)生單模故障和可測(cè)雙模故障導(dǎo)向故障-安全。

7）5→3：不可修復(fù)的三取二只是其中不可測(cè)故障單元不可修復(fù)，當(dāng)二乘二取二轉(zhuǎn)移至三取二時(shí)的可測(cè)故障又重新修復(fù)時(shí)，導(dǎo)致5狀態(tài)轉(zhuǎn)為0狀態(tài)，但是由于還有不可測(cè)故障，又導(dǎo)向至3狀態(tài)。

8）5→4：不可修復(fù)三取二狀態(tài)下發(fā)生雙模或三模可測(cè)故障導(dǎo)向故障-安全，發(fā)生單模故障則轉(zhuǎn)移至狀態(tài)3（二取二），但是由于存在未檢測(cè)單模故障，立即轉(zhuǎn)向安全側(cè)。

9）5→6：不可修復(fù)三取二狀態(tài)下發(fā)生未檢測(cè)雙模故障或三模故障系統(tǒng)導(dǎo)向故障-危險(xiǎn)。當(dāng)發(fā)生未檢測(cè)單模故障時(shí)，和另一未檢測(cè)單模（1-5狀態(tài)時(shí)產(chǎn)生）共同組成未檢測(cè)雙模故障，同樣導(dǎo)向故障-危險(xiǎn)。

由于存在二取二點(diǎn)對(duì)點(diǎn)通信系內(nèi)表決和總線表決或其他方式的硬件表決器。安全冗余結(jié)構(gòu)下的未檢測(cè)故障并非沒(méi)有發(fā)現(xiàn)系統(tǒng)故障，而是發(fā)現(xiàn)故障時(shí)不能確定其故障模塊是系內(nèi)哪一個(gè)模塊，且不可修復(fù)。

結(jié)合式（6），式（7）和圖5推出其轉(zhuǎn)移密度矩陣A，并根據(jù)轉(zhuǎn)移密度矩陣每行元素相加等于0的特性驗(yàn)證其轉(zhuǎn)移密度矩陣A是否正確。

2.3 仿真結(jié)果與分析

使用MATLAB對(duì)式（9）進(jìn)行編程求解。假設(shè)系統(tǒng)的單模故障率為0.000 1次/h，共模故障率β為0.000 1次/h,模塊維修率μ=0.01次/h，故障檢測(cè)覆蓋率c為0.99，運(yùn)行時(shí)間為5 000h。考察在相同的條件下2種不同的工作策略下的系統(tǒng)在可靠性上和安全性上優(yōu)劣，利用MATLAB求解式（9），結(jié)果代入式（10）和式（11），將不同策略下的可靠性和安全性進(jìn)行比較，其可靠性比較結(jié)果如圖6，安全度比較結(jié)果如圖7。

圖6 可靠度對(duì)比圖Fig.6 Reliability of system s

圖7 安全度對(duì)比圖Fig.7 Safety of systems

圖6表明新降級(jí)工作策略下的二乘二取二系統(tǒng)可靠性比傳統(tǒng)工作策略下的二乘二取二系統(tǒng)高，這主要是由于新工作策略比傳統(tǒng)工作策略上多了一層三取二的高安全可靠過(guò)渡段，提高了整體的可靠性。從圖7中可知，兩種工作策略在安全性上沒(méi)有明顯差別。

3 結(jié)論

本文研究了二乘二取二系統(tǒng)的基本工作策略和結(jié)構(gòu)，提出了一種基于總線表決的二乘二取二新降級(jí)工作策略，新降級(jí)工作策略同時(shí)帶來(lái)了三模故障的情況發(fā)生。有必要在考慮多模故障的情況下建立其馬爾可夫模型，使用MATLAB對(duì)其進(jìn)行微分方程求解，并與傳統(tǒng)工作策略的二乘二取二系統(tǒng)的安全度以及可靠度進(jìn)行對(duì)比研究。當(dāng)故障識(shí)別能力相同以及其他可影響可靠性和安全性的條件一致時(shí)，新降級(jí)工作策略下的二乘二取二冗余系統(tǒng)的可靠性?xún)?yōu)于傳統(tǒng)二乘二取二冗余系統(tǒng)，安全性沒(méi)有明顯差別。所設(shè)計(jì)的新降級(jí)工作策略為提高二乘二取二冗余結(jié)構(gòu)的可靠性提供一種新的解決思路。

[1]劉立月.GNSS列車(chē)定位有效性及安全完整性研究[J].華東交通大學(xué)學(xué)報(bào)，2014，31（1）：39-43.

[2]劉真.一種三取二安全計(jì)算機(jī)系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)[J].鐵路計(jì)算機(jī)應(yīng)用，2016，25（11）：49-52.

[3]黃波，曹幫林，張福鑫，等.一種三模混合冗余總線控制系統(tǒng)設(shè)計(jì)研究[J].航天控制，2015，33（6）：76-80.

[4]程詩(shī)佳，張丹紅，戈樂(lè)，等.計(jì)算機(jī)聯(lián)鎖系統(tǒng)中可靠冗余結(jié)構(gòu)的研究[J].工業(yè)控制計(jì)算機(jī)，2016，29（8）：78-79.

[5]王芃，劉劍，李博.二乘二取二系統(tǒng)的安全性與可靠性分析[J].鐵道通信信號(hào)，2013，49（S1）：104-105.

[6]孫懷義，劉斌，曹曉莉.表決冗余系統(tǒng)可靠性與安全性研究[J].電子測(cè)量與儀器學(xué)報(bào)，2011，25（7）：661-664.

[7]陳州，倪明.三模冗余系統(tǒng)的可靠性與安全性分析[J].計(jì)算機(jī)工程，2012，38（14）：239-241.

[8]DWYER V M.Reliability of various 2-out-of-4：G redundant systemswithminimal repair[J].IEEE Transactions on Reliability，2012，61（1）：170-179.

[9]張本宏，陸陽(yáng)，韓江洪，等.二乘二取二冗余系統(tǒng)的可靠性和安全性分析[J].系統(tǒng)仿真學(xué)報(bào)，2009，21（1）：256-261.

[10]方云根，曾小清，王剛.軌道交通列控系統(tǒng)共因失效分析[J].上海交通大學(xué)學(xué)報(bào)，2015，49（7）：1052-1057.

[11]張文韜，張友鵬，蘇宏升，等.基于動(dòng)態(tài)故障樹(shù)的CTCS-3級(jí)ATP系統(tǒng)可靠性分析[J].工程設(shè)計(jì)學(xué)報(bào)，2014，21（1）：18-26

[12]楊其國(guó).基于Markov過(guò)程的冗余系統(tǒng)可靠性分析[J].計(jì)算機(jī)仿真，2011，28（1）：356-359.

New Degradation Strategy of Double 2-out-of-2 System

Zhang Yongxian，Zou Libang，Wu Wenjie，Liao Zhaocong
（School of Electrical and Automation Engineering，East China Jiaotong University，Nanchang 30013，China）

With rapid development of railway in China,safety and reliability of systemshave been paidmore andmore attention.In order to improve the reliability and safety of double 2-out-of-2 system which is widely used in railway vital computers，the reliability of several commonly used redundant architectureswere analyzed and a new degradation strategy was proposed based on the analysis of the architecture of double 2-out-of-2 and 2-out-of-3.In the case of simultaneous failure ofmultiplemodules,the working strategy and the transition of all states of the system were analyzed，and the Markov state transitionmodel was established.Its reliability and safety were evaluated by MATLAB.Compared with the traditional double 2-out-of-2 system，the new degradation strategy systemhashigher reliability.

double 2-out-of-2；reliability；safety；multiplemodule failure；Markovmodel

1005-0523（2017）05-0099-07

U284.3；TP39

A

2017－04－19

江西省教育廳科學(xué)技術(shù)研究項(xiàng)目（GJJ160496）；華東交通大學(xué)校立科研基金（14DQ06）

張永賢（1975—），男，副教授，研究方向?yàn)檐壍澜煌刂婆c安全。

（責(zé)任編輯 姜紅貴）