基于SysML 的載人航天故障模式分析及建模方法

胡云鵬 張亞男彭祺擘* 武新峰 葉東明 周建平

(1.中國載人航天工程辦公室, 北京 100071; 2.中國人民解放軍61623 部隊,北京 100036;3.中國航天員科研訓(xùn)練中心, 北京 100094; 4.北京航空航天大學(xué), 北京 100083)

1 引言

載人航天是一項十分復(fù)雜的系統(tǒng)工程。近年來,為解決各領(lǐng)域復(fù)雜系統(tǒng)設(shè)計、管理、論證評估的難題,系統(tǒng)工程從以文檔為核心轉(zhuǎn)向以模型為核心,形成了基于模型的系統(tǒng)工程(Model-Based System Engineering,MBSE)解決方案及相關(guān)的方法論[1]。

可靠性、安全性分析是載人航天工程的重要組成部分,關(guān)乎航天員的生命安全。以MBSE 為基礎(chǔ),近年來發(fā)展出了基于模型的可靠性系統(tǒng)工程理論,試圖將六性設(shè)計融入到產(chǎn)品設(shè)計之中,解決可靠性設(shè)計“兩張皮”的問題[2-4]。

故障模式分析是可靠性、安全性分析的重要環(huán)節(jié)。20 世紀中葉,航空、航天、汽車和電子等各大工程領(lǐng)域運用4F(功能危險分析(Functional Hazard Analysis, FHA),故障模式、影響及危害性分析(Failure Mode and Effect Analysis, FMEA),故障樹分析(Fault Tree Analysis, FTA),故障報告、分析、糾正措施系統(tǒng)(Failure Report Analysis and Corrective Action System, FRACAS))技術(shù)來提高產(chǎn)品的可靠性、安全性[5]。但目前,數(shù)據(jù)的不暢通、利用率不高導(dǎo)致了可靠性、安全性分析的低效。基于模型的可靠性、安全性分析雖解決了這樣的難題,但要想運用到一個復(fù)雜系統(tǒng)之中,必須要有一定的規(guī)范。

在諸多基于模型的可靠性、安全性分析技術(shù)中,如何定義故障模式是一個基礎(chǔ)且重要的問題。故障模式區(qū)別于正常工作模式,在基于模型的系統(tǒng)設(shè)計中通常難以體現(xiàn)。一種常用的方式是用系統(tǒng)建模語言(Systems Modeling Language,SysML)的活動圖、狀態(tài)機圖或時序圖進行描述,當(dāng)系統(tǒng)處于某一狀態(tài)、無法執(zhí)行某一活動,即定義為故障模式[6]。這種方式也被運用于美國的噴氣與動力實驗室基于統(tǒng)一建模語言(Unified Modeling Language, UML)開發(fā)的故障分析插件中,可以實現(xiàn)對系統(tǒng)故障、故障模式的自動診斷,自動進行FMEA 和FTA[7-9],類似的方法和插件在歐洲的工業(yè)界也得到開發(fā)和使用[10-11]。目前,相關(guān)的工具已成功運用到系統(tǒng)級的分析中,其功能還在不斷完善。對象管理組織(Object Management Group,OMG)綜合了在可靠性、安全性工程領(lǐng)域中形成的標(biāo)準規(guī)范IEC-60812,61025[12-13],試圖提出標(biāo)準的擴展建議[14-15],并于2021 年1 月發(fā)布了基于SysML 的風(fēng)險分析與評估建模語言(Risk Analysis and Assessment Modeling Language, RAAML)[16],為基于模型的可靠性、安全性分析提供了與SysML 同源的專用語言。達索公司基于RAAML,在2021 版的MagicDraw 軟件中開發(fā)了FMEA 工具,提出了包含可靠性、安全性分析的MBSE 方法論[17]。

國內(nèi)也開展了基于模型的FMEA 和FTA 構(gòu)建方法的研究[18-19]。這些方法借鑒了目前的主流模式,先依靠SysML 構(gòu)建系統(tǒng)模型,經(jīng)過對故障、故障模式的定義后,再導(dǎo)入到專有軟件中進行后續(xù)分析。

目前,在航天領(lǐng)域還沒有一套相關(guān)建模規(guī)范,都在嘗試和探索合適的基于模型的故障建模與分析方法。本文在現(xiàn)有方法的基礎(chǔ)上,初步探索利用SysML 進行載人航天工程總體的故障模式分析及模型的構(gòu)建。不同于達索公司的工具和方法論,根據(jù)RAAML 和SysML 擴展機制構(gòu)建的基礎(chǔ)模型更能滿足本領(lǐng)域分析的需要,便于進一步開發(fā)、擴展,為完成更為復(fù)雜的可靠性、安全性分析打下基礎(chǔ)。

2 基礎(chǔ)模型的構(gòu)建

SysML 本身具有局限性,無法對專有分析領(lǐng)域的概念進行明確、無歧義地描述和定義。但SysML 卻具有很強的擴展性,基于SysML,通過繼承、重定義等方式可以建立專用的分析模型。通過對可靠性、安全性分析領(lǐng)域概念、方法的抽象,建立與SysML 同源的模型,便可實現(xiàn)系統(tǒng)設(shè)計與可靠性和安全性分析的一體化,即在開展系統(tǒng)設(shè)計的同時進行故障模式分析,并進一步開展詳細的可靠性和安全性分析。

2.1 基礎(chǔ)模型構(gòu)建的思路

基礎(chǔ)模型在構(gòu)建前首先要對領(lǐng)域知識進行抽象,這是一個從具體到一般的過程,有助于形成基礎(chǔ)模型的基本結(jié)構(gòu)。圖1 為可靠性和安全性領(lǐng)域知識的抽象過程。最末端的是可靠性、安全性分析中通常使用的一些方法,例如FMEA、FTA。這些方法相互獨立,但均使用了一些在可靠性、安全性領(lǐng)域定義的概念和術(shù)語,例如,FMEA、FTA 等都以故障、故障模式、后果等為基本要素進行表達。這些共性的知識能夠抽象出來形成基礎(chǔ)模型的一部分。此外,可靠性、安全性只是“六性”中的兩部分,將“六性”所共有的知識抽象出來,便可進一步形成更為頂層的基礎(chǔ)模型。

圖1 基礎(chǔ)模型概念的抽取Fig.1 Concept abstraction for basic model

在基礎(chǔ)模型建立的過程中,使用了面向?qū)ο蟮慕Ｋ悸?即采取了從一般到具體化的過程。OMG 所發(fā)布的RAAML 就包含了從一般到具體的三層基本結(jié)構(gòu)。其目的是: ①使基礎(chǔ)模型結(jié)構(gòu)更清晰、管理更容易; ②充分利用SysML 的擴展機制和模型的繼承能力,建模者在后續(xù)建模過程中,可以根據(jù)實際需求,在不同層增加對相關(guān)領(lǐng)域知識、概念的定義,易于實現(xiàn)對基礎(chǔ)模型的改進。在每層模型中,為了實現(xiàn)對SysML 原本構(gòu)造類型的重用和擴展,并方便使用者定義更多自己所需要的類型,分別設(shè)置了概況(Profile)和類型庫(Library)。其中,Profile 是為了通過重用SysML來定義擴展的版型(stereotype),而Library 則是使用stereotype 定義用戶期望的類型及關(guān)聯(lián)關(guān)系。

2.2 基礎(chǔ)模型元素

本文以RAAML 為主體,構(gòu)建了基礎(chǔ)模型。表1 列出了基礎(chǔ)模型中所包含的基本元素(類和關(guān)聯(lián)關(guān)系),模型視圖詳見文獻[16],本文不再贅述。

在核心層模型中,為了能對普遍的工程問題進行描述,定義了狀態(tài)或情況(Situation)這樣的最為抽象的基礎(chǔ)類型。例如,飛行器在某一時刻的狀態(tài)、某個系統(tǒng)所需要完成的功能等都能由Situation 這一類型定義。同時,該類型也能夠承載一些定量的屬性,例如風(fēng)險概率、特定的狀態(tài)值、與需求相關(guān)的約束等。此外,也定義了一些在Situation 間能夠?qū)崿F(xiàn)狀態(tài)轉(zhuǎn)換的關(guān)聯(lián)關(guān)系,例如,Violates 表示邏輯違反關(guān)系這一關(guān)聯(lián)屬性,同時本文也根據(jù)實際需要,增加LeadTo 來表達因果關(guān)系,如表1 所示。

表1 基礎(chǔ)模型的元素Table 1 Components of basic model

在中層模型中,根據(jù)故障模式分析的需求,通過對上層模型的泛化,分別定義了便于故障傳播邏輯構(gòu)建、可靠性與安全性分析的模型,包括故障模式(FailureMode)、原因(Cause)、后果(Effect),以及表示對后果起到減緩關(guān)系的連接Mitigation。此外,為了初步開展風(fēng)險評估,讓FailureMode 承載了可檢出度這一屬性,用于表示故障模式的可檢測性;讓Cause 承載了發(fā)生度這一屬性,表示其發(fā)生的概率等級;讓Effect 承載了嚴酷程度這一屬性,表示后果的危害性。

在應(yīng)用層模型中,針對未來需要具體開展的分析方法進行基礎(chǔ)模型的定義,例如FMEA 和FTA。其中,FMEA 的目的是為了生成FMEA 的條目,便于對全任務(wù)剖面的故障模式及其影響進行管理。因此,定義了表示FMEA 條目類型的FMEAItem 及其內(nèi)在結(jié)構(gòu),同時為了表達故障模式對應(yīng)的處置措施,增加了Measure 這一基本類型。

除此之外,為了初步地評估所有故障模式的風(fēng)險等級,定義了風(fēng)險系數(shù)(Risk Priority Number, RPN),若某一事件發(fā)生度為OCC、嚴酷程度為SEV、故障可檢出度為DEC,則RPN為式(1):

RPN值越大表示該故障模式的綜合風(fēng)險越高,越需要被關(guān)注。為了使RPN的計算能夠被定義的模型重用,通過構(gòu)造FMEAItem 類型的參數(shù)圖對RPN進行了定義[16],如圖2 所示。每一個FMEA 條目可通過繼承和重定義的手段實現(xiàn)其本身RPN 的快速計算。

圖2 用參數(shù)圖定義的RPN 計算方法Fig.2 Calculation of RPN defined by parametric diagram

基礎(chǔ)模型并不是一成不變的,在后續(xù)工作的過程中,如果能夠抽象出新的概念以便于分析建模的開展,可以進一步擴展基礎(chǔ)模型,在不同層中增加相關(guān)類和關(guān)系的定義。基礎(chǔ)模型的這種易擴展性使其能夠適應(yīng)不同領(lǐng)域分析建模的需要。

總結(jié)來看,基礎(chǔ)模型是定義了一類進行可靠性、安全性分析的特有的基本模型,類似于SysML中的block(塊)、activity(活動)等,這些定義的基礎(chǔ)模型不但能夠更加直觀地表達系統(tǒng)的失效狀態(tài)及與之相關(guān)的內(nèi)容,便于模型的管理和閱讀,而且還具有特殊的領(lǐng)域?qū)傩?便于進一步開展詳細的可靠性和安全性分析。這些基礎(chǔ)模型在使用過程中,其核心思想都是先通過SysML 的泛化關(guān)系繼承基礎(chǔ)模型中的屬性,再通過重定義來將基礎(chǔ)模型中抽象的屬性有選擇性地具體化。后續(xù)的建模分析過程都將基于所構(gòu)建的這套模板展開,有利于形成規(guī)范化的建模分析方式。

3 基于功能的故障模式識別方法

載人航天為了實現(xiàn)預(yù)定的任務(wù),確保航天員順利返回,需要由多個系統(tǒng)協(xié)同完成,是十分復(fù)雜的系統(tǒng)工程。在頂層設(shè)計中,首要考慮的是如何能順利完成相應(yīng)的任務(wù),為了完成這樣的任務(wù),需要哪些活動或功能才能實現(xiàn),進而再考慮需要哪些系統(tǒng)共同支持來實現(xiàn)這些活動或功能。結(jié)合這樣的特點,基于活動或功能的故障識別方法[3,20]更為適用。而基于結(jié)構(gòu)的故障識別方法[3]更加適用于功能分解到系統(tǒng)以及產(chǎn)品層面。

3.1 系統(tǒng)層級劃分及活動或功能的分解

以某次載人航天任務(wù)為例,任務(wù)可分解為:載人飛船發(fā)射場測試階段、載人飛船發(fā)射進入近地軌道階段、載人飛船近地軌道飛行階段等[21],每個階段都具有相對較高的獨立性。為了進一步研究每個飛行階段所面臨的關(guān)鍵問題,需要再將其向下分解,得到支撐該飛行階段的關(guān)鍵活動或功能。

例如針對載人飛船發(fā)射進入近地軌道這一階段[22],通過活動圖可以定義該階段的關(guān)鍵功能(圖3)。由此,可得到對整個任務(wù)功能的分解,如圖4 所示,形成了一個典型的3 層樹狀結(jié)構(gòu)。

圖3 載人飛船發(fā)射進入近地軌道活動圖Fig.3 Activities of launching manned spacecraft into the low earth orbit

圖4 活動或功能的分解Fig.4 Decomposition of activity or function

3.2 故障模式的識別

通過活動或功能的分解可以發(fā)現(xiàn),每一個飛行階段中的每一個子活動或子功能的失效會導(dǎo)致該活動或功能本級失效,進而可能導(dǎo)致頂層任務(wù)的失敗。通過識別這些故障模式,才能有針對性地對系統(tǒng)的設(shè)計進行改進,提高系統(tǒng)的可靠性,并設(shè)計對應(yīng)的逃逸與應(yīng)急救生方案來降低風(fēng)險,以保證航天員的生命安全。

以前述的3 層結(jié)構(gòu)為例,在底層中,每個活動表示了一種預(yù)定的動作或要完成的功能。通過例舉該活動或功能的反面,就可識別出對應(yīng)的故障模式。識別出的故障模式(用基礎(chǔ)類型Failure Mode 定義)與原來的活動塊之間的關(guān)系用定義的Violates 表示,如圖5 所示。在一個3 層結(jié)構(gòu)中,底層的故障模式可以作為上一層活動或功能的失效原因。因此,依據(jù)FMEA 方法,從最底層識別出的本層的故障模式出發(fā),依次分析其對上層和最終任務(wù)的影響。

圖5 故障模式的識別Fig.5 Identification of failure modes

值得注意的是,本文所使用的這種分析建模方法也為打通與其他系統(tǒng)的聯(lián)系提供了接口。即識別出的底層故障模式可以往下開展自上至下的故障分析,例如主邏輯分析或故障樹分析,查找引起該故障模式的下層原因。各系統(tǒng)也可以用FMEA開展自下至上的分析,得出系統(tǒng)級的故障模式。各系統(tǒng)可以將其傳遞到工程總體層面后,再進行迭代分析,最終形成完整的故障模式庫和分析模型。因此,本文使用的故障模式分析及建模方法也為全面識別復(fù)雜系統(tǒng)故障模式打下基礎(chǔ)。

4 故障模式分析模型的構(gòu)建

故障建模分析的目的是: ①正向識別系統(tǒng)的故障模式,結(jié)合基礎(chǔ)模型提供的模板,有利于分析、建模的規(guī)范性; ②形成故障模式庫、影響后果庫、逃逸和應(yīng)急救生方案庫,便于管理和模型重用; ③為未來全任務(wù)的可靠性、安全性分析打下基礎(chǔ)。

4.1 FMEA 條目模型

如圖5 所示,在識別出底層的故障模式后,它們將作為上一層故障模式的原因,通過開展自底向上的FMEA,得到其對上層系統(tǒng)的影響。因此,針對每一個底層的故障模式,都將對應(yīng)一個FMEA 條目,包括原因、故障模式、后果、處置措施(逃逸與應(yīng)急救生方案)。

圖6 給出了載人飛船發(fā)射進入近地軌道段所識別出故障模式的FMEA 條目模型。例如,對于運載火箭芯級發(fā)動機推力下降或喪失,在載人飛船發(fā)射進入近地軌道這一階段表現(xiàn)出的故障模式可以概括為運載火箭一級飛行彈道偏離預(yù)定彈道。在本飛行階段將會導(dǎo)致運載火箭無法進入預(yù)定軌道,如果不進行任何處置措施,最終會導(dǎo)致任務(wù)的失敗和航天員的傷亡。因此,在圖6 中,芯級發(fā)動機推力下降或喪失繼承了定義的Cause 的屬性,而為了表示其影響,分別定義了對上層系統(tǒng)和最終任務(wù)的影響后果,它們都繼承了所定義的Effect 的屬性。

為了將故障模式與逃逸與應(yīng)急救生方案聯(lián)系起來,也將與該故障模式對應(yīng)的處置措施(用活動圖定義)囊括在每個FMEA 條目之中,與故障模式之間的關(guān)系用已定義的Mitigation,同時增加完成處置措施后得到的最終后果(Mitigation Effect)。通過增加這些要素,可以得到從故障模式發(fā)生到其影響的完整條目,同時形成故障模式與其處置措施的關(guān)聯(lián)關(guān)系,便于以后進一步開展設(shè)計和分析。

至此,通過對所識別的每一個底層故障模式構(gòu)建的FMEA 條目(圖7),便可建立起整個系統(tǒng)的故障模式庫、后果庫、逃逸與應(yīng)急救生策略庫,以及它們之間的關(guān)聯(lián)關(guān)系(用LeadTo 定義)。最終可以得到圖8 所示的FMEA 條目化結(jié)果,包含了傳統(tǒng)FMEA 表中的關(guān)鍵要素。載人航天任務(wù)包含多個飛行階段,每個階段得到的模型與圖6至圖8 類似,此處不再贅述。

圖6 用BDD 建立的載人飛船發(fā)射進入近地軌道段的FMEA 條目Fig.6 FMEA item models for the phase of launching manned spacecraft into low earth orbit with BDD

圖7 載人飛船發(fā)射進入近地軌道段故障模式分析及建模Fig.7 Failure analysis and modeling for the phase of launching manned spacecraft into low earth orbit

圖8 FMEA 條目化結(jié)果Fig.8 Results of FMEA items

4.2 風(fēng)險分析

根據(jù)第2 節(jié)對RPN計算方法的定義,每個FMEA 條目模型都可通過重用圖2 所示的參數(shù)圖初步地綜合評估各故障模式帶來的風(fēng)險。

定義載人航天任務(wù)中5 種互斥的后果,并參考文獻[23]中對衛(wèi)星故障嚴酷度定義的方式,按照后果的影響程度,其嚴酷程度及相關(guān)說明如表2 所示。圖6 中繼承了FailureMode 類型的故障模式承載了可檢出度這一屬性。如果故障難以發(fā)現(xiàn),就無法發(fā)送處置指令,從而直接導(dǎo)致任務(wù)的失敗。在本文所述的故障模式分析中,假定所識別出的故障模式均能被檢測到,因此可檢出度均賦值為1。圖6 中繼承了Cause 類型的故障模式承載了發(fā)生度這一屬性。作為任務(wù)層的底層故障模式,該模塊也是連接其與各系統(tǒng)分析結(jié)果的橋梁,一般任務(wù)層底層的故障模式的發(fā)生率由各系統(tǒng)通過計算給出。發(fā)生度通常根據(jù)發(fā)生概率的范圍賦值,根據(jù)文獻[24],本文假定所識別故障模式發(fā)生概率及其發(fā)生度的賦值情況如表3 所示。

表3 故障發(fā)生度定義Table 3 Definition of fault occurrence degree

在完成相關(guān)值屬性的定義后,通過調(diào)用圖2所示的參數(shù)圖,便可得到所有底層故障模式對應(yīng)的RPN值,如圖9 所示。通過對比RPN值的大小,便可初步判定本層級故障模式的重要性。例如,本文給出的示例中,芯級發(fā)動機推力喪失或下降的RPN值最大,因此該故障模式最應(yīng)值得關(guān)注。

圖9 RPN 計算結(jié)果Fig.9 Results of RPN calculation

5 討論

基于模型的故障模式分析是開展詳細的任務(wù)可靠性、安全性分析的前序步驟。因此,將故障模式分析相關(guān)的內(nèi)容通過基礎(chǔ)模型明確地、無歧義地定義出來,能夠有效為后續(xù)開展基于模型的可靠性、安全性定量分析提供必要的信息。

作為基于模型的載人航天任務(wù)可靠性、安全性分析的第一步,本文將RAAML 應(yīng)用到故障模式的分析建模中。雖然,達索公司已經(jīng)在其2021版的MagicDraw 軟件中開發(fā)了FMEA 的工具,使得分析建模更為高效,但從基于RAAML 和SysML 擴展的模型出發(fā),進行分析及建模的好處在于:

1) 便于擴展。復(fù)雜系統(tǒng)可靠性、安全性分析不只涉及FMEA、FTA,可能還需要更為復(fù)雜的分析方法。利用基礎(chǔ)模型的擴展性,能夠結(jié)合領(lǐng)域特色,得到滿足分析需求的模型。

2) 便于定制化開發(fā)。基于模型的可靠性、安全性自動分析能夠極大提升效率,而開發(fā)自動分析工具的基礎(chǔ)就是通過專用領(lǐng)域語言定義的模型。因此,本文所使用的基礎(chǔ)模型和構(gòu)建的故障模式分析模型是未來自動生成故障傳播邏輯,開展基于模型的可靠性、安全性自動分析的基礎(chǔ)。

6 結(jié)論

論文基于SysML 的擴展機制,將基于模型的故障模式分析方法在載人航天任務(wù)的設(shè)計中進行了初步應(yīng)用,得到以下結(jié)論:

1) 基于SysML 擴展機制定義的基礎(chǔ)模型和本文所提出的建模方法為開展故障模式分析及建模提供了一套模板,SysML 擴展的基礎(chǔ)模型也是未來開展基于模型的可靠性、安全性分析的基礎(chǔ)。

2) 基于活動、功能的故障模式識別方法是在進行系統(tǒng)設(shè)計的同時,得到的系統(tǒng)故障模式。結(jié)合基礎(chǔ)模型,該方法能夠使系統(tǒng)設(shè)計與故障模式分析并行,提高系統(tǒng)設(shè)計分析的效率。

3) 所建立的故障分析模型可以進一步得到各個層級的故障模式庫、后果庫、逃逸與應(yīng)急救生方案庫,便于管理和重用,通過RPN 值的計算,也可以初步評估故障模式的風(fēng)險水平。

本文為未來通過插件或其他手段開展基于模型的任務(wù)可靠性、安全性自動分析打下基礎(chǔ)。未來需開展如下工作:

1) 結(jié)合可靠性安全性分析需求,開展層次式故障分析方法研究,探索能夠基于模型全面識別復(fù)雜系統(tǒng)故障、故障模式的方法;

2) 基于所建立的模型,進一步探索故障樹、事件樹的自動生成方法,并開展數(shù)值計算。