潘計(jì)輝, 張盛兵, 王黨輝

(1.西北工業(yè)大學(xué) 計(jì)算機(jī)學(xué)院, 陜西 西安 710072; 2.西安愛(ài)生技術(shù)集團(tuán)公司飛控室, 陜西 西安 710065)

余度容錯(cuò)技術(shù)成功地運(yùn)用到有人機(jī)飛控系統(tǒng)中，軍用的戰(zhàn)斗機(jī)[1-2]飛控系統(tǒng)的失效概率達(dá)到1.0×10-7飛行小時(shí)。民航客機(jī)B777和A320/A340的利用非相似余度技術(shù)對(duì)同態(tài)故障進(jìn)行了有效抑制，飛控系統(tǒng)的失效概率達(dá)到1×10-10～1.0×10-9飛行小時(shí)[3-4]。無(wú)人機(jī)的機(jī)體小、機(jī)艙內(nèi)空間小、載重能力弱，對(duì)飛控系統(tǒng)重量體積和功耗的限制較大，有人機(jī)飛控系統(tǒng)無(wú)法直接應(yīng)用于無(wú)人機(jī)中。傳統(tǒng)無(wú)人機(jī)使用的是無(wú)余度飛控計(jì)算機(jī)，單個(gè)通道的故障失效概率一般可以達(dá)到1×10-4～1.0×10-3飛行小時(shí)[5]，其可靠性要求低于有人駕駛飛機(jī)。

高空長(zhǎng)航時(shí)無(wú)人機(jī)要求飛行高度高、續(xù)航時(shí)間長(zhǎng)、戰(zhàn)場(chǎng)環(huán)境復(fù)雜，單通道飛控計(jì)算機(jī)不能滿足高空長(zhǎng)航時(shí)無(wú)人機(jī)的高可靠性要求[6]。針對(duì)幾種常用的余度結(jié)構(gòu)飛控計(jì)算機(jī)體系結(jié)構(gòu)進(jìn)行了可靠性研究，提出了一套滿足高空長(zhǎng)航時(shí)無(wú)人機(jī)的雙因子余度飛控計(jì)算機(jī)新方案，該方案結(jié)合通道自監(jiān)控和比較監(jiān)控2個(gè)因子判定通道的有效性，半實(shí)物仿真試驗(yàn)，有效提高了飛控機(jī)故障覆蓋及故障隔離率，降低了系統(tǒng)的失效概率。針對(duì)高空長(zhǎng)航時(shí)無(wú)人機(jī)多等級(jí)余度飛控系統(tǒng)，提出一種基于核心參數(shù)完整性的通道有效性方法,使主備傳感器以分級(jí)余度結(jié)構(gòu)進(jìn)行冗余，該余度管理方法能有效提高飛控計(jì)算機(jī)的容錯(cuò)能力。

1 余度體系結(jié)構(gòu)研究

常用的余度體系結(jié)構(gòu)有主動(dòng)余度結(jié)構(gòu)；n模冗余結(jié)構(gòu)；比較監(jiān)控結(jié)構(gòu)[6]。為了研究余度結(jié)構(gòu)和可靠性的關(guān)系，給出3種余度結(jié)構(gòu)的失效概率函數(shù)。定義：n表示飛控計(jì)算機(jī)的余度數(shù)目；F表示飛控計(jì)算機(jī)的不可靠度；r表示單個(gè)通道的可靠度；f表示每個(gè)通道的不可靠度函數(shù)；c表示通道內(nèi)故障測(cè)試覆蓋率。

對(duì)3種余度結(jié)構(gòu)進(jìn)行可靠性研究。

1.1 主動(dòng)余度結(jié)構(gòu)

主動(dòng)余度結(jié)構(gòu)中的多個(gè)通道并行連接同時(shí)運(yùn)行，一個(gè)通道作為輸出通道控制整個(gè)系統(tǒng)，其余通道作為備份通道，如圖1所示。若輸出通道自監(jiān)控到本通道失效，則立刻關(guān)閉該通道的輸出，同時(shí)依據(jù)其他通道有效性和優(yōu)先級(jí)重新選取輸出通道，保證系統(tǒng)能夠正常運(yùn)行。當(dāng)最后一個(gè)備份計(jì)算機(jī)的通道失效后判定為余度系統(tǒng)失效。

圖1 主動(dòng)余度邏輯結(jié)構(gòu)

主動(dòng)余度結(jié)構(gòu)優(yōu)點(diǎn)是通道之間不需要進(jìn)行復(fù)雜的數(shù)據(jù)交換，利用通道內(nèi)自監(jiān)控進(jìn)行故障檢測(cè)，余度管理算法較簡(jiǎn)單。主動(dòng)余度結(jié)構(gòu)中系統(tǒng)的失效概率為：

(1)

其可靠性取決于通道的自監(jiān)控故障測(cè)試覆蓋率,系統(tǒng)的失效概率是c的函數(shù)。c是單位時(shí)間內(nèi)正確檢測(cè)到故障數(shù)與故障總數(shù)之比,在實(shí)際工程實(shí)現(xiàn)中,通道的自監(jiān)控故障測(cè)試覆蓋率c一般都在0.7以下[7]。可見(jiàn)主動(dòng)余度結(jié)構(gòu)的有效性依賴于通道的故障測(cè)試覆蓋率c,當(dāng)c遠(yuǎn)小于1時(shí),該結(jié)構(gòu)難以滿足高可靠的飛行控制系統(tǒng)要求。

1.2 n模冗余結(jié)構(gòu)

n模冗余結(jié)構(gòu)中n個(gè)通道互為備份關(guān)系,每個(gè)表決周期將計(jì)算結(jié)果送至表決器進(jìn)行表決,采用少數(shù)服從多數(shù)的原則來(lái)確定各通道的有效性,依據(jù)通道的優(yōu)先級(jí)和通道有效性輸出通道,如圖2所示。

圖2 n模冗余邏輯結(jié)構(gòu)

當(dāng)表決的通道數(shù)目n大于2時(shí),通道間的表決結(jié)果準(zhǔn)確可靠。當(dāng)只剩2個(gè)通道工作時(shí),通過(guò)通道的自監(jiān)控進(jìn)行故障檢測(cè),這時(shí)的測(cè)試成功率取決于c,其失效概率為:

F=nfn-1r(1-c)+fn

n模冗余結(jié)構(gòu)優(yōu)點(diǎn)是多數(shù)表決結(jié)構(gòu)對(duì)通道的自監(jiān)控能力沒(méi)有特殊要求。但該結(jié)構(gòu)中通道之間邏輯復(fù)雜,通道間需同步運(yùn)行,需要設(shè)置適當(dāng)?shù)能浖蛴布頉Q器對(duì)數(shù)據(jù)進(jìn)行表決,余度管理方法復(fù)雜。并且,所有通道表決數(shù)據(jù)都輸出到表決器,整個(gè)系統(tǒng)的工作流會(huì)因?yàn)楸頉Q器的一個(gè)單點(diǎn)的失敗而停止,存在單點(diǎn)故障模式,一旦這一共享數(shù)據(jù)結(jié)構(gòu)發(fā)生故障,整個(gè)系統(tǒng)將因無(wú)法通信而癱瘓。大型有人機(jī)中表決器也采用余度結(jié)構(gòu),以規(guī)避單點(diǎn)故障,該結(jié)構(gòu)較為復(fù)雜,成本較高。

1.3 比較監(jiān)控余度結(jié)構(gòu)

比較監(jiān)控余度結(jié)構(gòu)中每個(gè)通道內(nèi)有2個(gè)計(jì)算機(jī),n個(gè)通道并行連接同時(shí)運(yùn)行,依據(jù)通道的有效性和優(yōu)先級(jí)確定控制通道,如圖3所示。通道的有效性依賴于通道內(nèi)2個(gè)計(jì)算機(jī)計(jì)算結(jié)果,若2臺(tái)計(jì)算機(jī)的差值超過(guò)規(guī)定的閾值,則該通道失效,關(guān)閉該通道的輸出,若在該值在閾值范圍內(nèi),視為本通道正常。

圖3 比較監(jiān)控余度邏輯結(jié)構(gòu)

比較監(jiān)控余度的通道某個(gè)計(jì)算機(jī)失效或2個(gè)計(jì)算機(jī)同時(shí)失效,則該通道故障。該方法準(zhǔn)確可靠,可認(rèn)為通道的c=1。比較監(jiān)控余度失效概率為:

F=(2fr+f2)n

比較監(jiān)控結(jié)構(gòu)采用通道內(nèi)比較監(jiān)控的方法,使得通道故障覆蓋率可以達(dá)到100%。然而,比較監(jiān)控結(jié)構(gòu)每個(gè)通道2個(gè)計(jì)算機(jī),結(jié)構(gòu)復(fù)雜、成本高。

1.4 雙因子余度結(jié)構(gòu)

從資源使用率角度講,主動(dòng)余度結(jié)構(gòu)的控制通道基于通道自監(jiān)控,該方法最簡(jiǎn)單;n模冗余結(jié)構(gòu)增加了余度表決器,通道之間互聯(lián)及余度管理方法復(fù)雜;比較監(jiān)控余度結(jié)構(gòu)的每個(gè)通道內(nèi)2臺(tái)計(jì)算機(jī),其硬件最復(fù)雜?，F(xiàn)役大型有人機(jī)的飛控計(jì)算機(jī)大都采用以上3種余度結(jié)構(gòu),或者采用3種余度結(jié)構(gòu)的組合。如F-22采用n模冗余結(jié)構(gòu)的三余度電傳系統(tǒng);A320采用比較監(jiān)控余度結(jié)構(gòu)主控計(jì)算機(jī);B777主控制計(jì)算機(jī)系統(tǒng)的每個(gè)通道為比較監(jiān)控余度結(jié)構(gòu)和備用替換的主動(dòng)余度結(jié)構(gòu)的組合,3個(gè)通道并行工作又構(gòu)成n模冗余結(jié)構(gòu),B777的主控制計(jì)算機(jī)系統(tǒng)是幾種基本余度結(jié)構(gòu)的典型組合[7-9]。

針對(duì)高空長(zhǎng)航時(shí)無(wú)人機(jī)飛行控制系統(tǒng)的高可靠性指標(biāo)要求,提出一種雙因子余度結(jié)構(gòu)。該結(jié)構(gòu)硬件結(jié)構(gòu)與主動(dòng)余度相似,每個(gè)通道內(nèi)置通道故障邏輯,通道間通過(guò)交叉通道數(shù)據(jù)鏈路進(jìn)行數(shù)據(jù)交換,通道結(jié)合通道自監(jiān)控和比較監(jiān)控2個(gè)因子判定通道的有效性,其三余度結(jié)構(gòu)如圖4所示。與主動(dòng)余度結(jié)構(gòu)比較雙因子余度結(jié)構(gòu)通過(guò)通道間的交叉比較提高了通道故障檢測(cè)率,并且規(guī)避了n模冗余結(jié)構(gòu)表決器單點(diǎn)故障的缺陷。

雙因子余度結(jié)構(gòu)將通道故障因子劃分為2類(lèi),第1類(lèi)故障因子為通道內(nèi)部故障因子,可通過(guò)自監(jiān)控進(jìn)行診斷,如中央處理器故障、存儲(chǔ)器故障、供電故障等;第2類(lèi)為通道輸入輸出接口故障因子,僅通過(guò)自監(jiān)控技術(shù)難以實(shí)現(xiàn)故障的診斷(如通道的輸入接口電路故障和輸入接口電路正常但外部設(shè)備通信故障表現(xiàn)形式一致)。

針對(duì)這2類(lèi)故障采用不同的檢測(cè)方法,第1類(lèi)采用自監(jiān)控進(jìn)行故障診斷;第2類(lèi)輸入輸出接口采用自監(jiān)控技術(shù)結(jié)合通道間交叉比較進(jìn)行故障診斷。首先自監(jiān)控本通道通信狀態(tài)是否正常,若正常則輸入輸出接口有效;若異常則結(jié)合其他2個(gè)通道通信狀態(tài)進(jìn)行有效性判斷,若其他2個(gè)通道正常,則該通道輸入輸出接口失效;若其他2個(gè)通道異常,則認(rèn)為本通道輸入輸出接口有效,輸入輸出接口有效性邏輯如圖5所示。

圖5 輸入輸出接口有效性邏輯

雙因子余度結(jié)構(gòu)硬件結(jié)構(gòu)與主動(dòng)余度相似,結(jié)構(gòu)較為簡(jiǎn)單,通過(guò)交叉比較技術(shù),提高了通道的故障檢測(cè)覆蓋率。其失效概率與n模冗余結(jié)構(gòu)相同,并且規(guī)避了n模冗余結(jié)構(gòu)表決器單點(diǎn)故障的缺陷。雙因子余度結(jié)構(gòu)失效概率為:

F=3f2r(1-c)+f3

2 通道有效性方法

2.1 典型通道有效性分析

高空長(zhǎng)航時(shí)無(wú)人機(jī)采用多等級(jí)余度飛行控制系統(tǒng)結(jié)構(gòu),如圖6所示。

圖6 多等級(jí)余度飛行控制系統(tǒng)示意圖

飛行控制系統(tǒng)傳感器子系統(tǒng)采用部件級(jí)的雙余度技術(shù),滿足一次故障安全飛行;飛行控制計(jì)算機(jī)采用三余度配置,滿足一次故障工作,二次故障可應(yīng)急飛行;伺服子系統(tǒng)采用氣動(dòng)冗余。

余度數(shù)目相同但采用不同的余度管理方法,系統(tǒng)的可靠度和容錯(cuò)能力也會(huì)相應(yīng)不同。典型余度飛控系統(tǒng)的通道有效性方法是通過(guò)自監(jiān)控或信號(hào)表決相結(jié)合的方法對(duì)系統(tǒng)余度管理方法進(jìn)行研究[10-12]。通過(guò)對(duì)通道的輸入數(shù)據(jù)、輸出數(shù)據(jù)進(jìn)行交叉比較表決通道的有效性。

以傳感器為例,主傳感器和備份傳感器各自串聯(lián)作為整體并聯(lián)接入飛控計(jì)算機(jī)。可靠性結(jié)構(gòu)為整機(jī)余度結(jié)構(gòu)。其可靠性結(jié)構(gòu)為整機(jī)結(jié)構(gòu),圖7所示。

圖7 傳感器可靠性結(jié)構(gòu)

2.2 基于核心參數(shù)完整性通道有效性方法

針對(duì)典型通道有效性方法的瑕疵,提出一種基于核心參數(shù)完整性的通道有效性方法。該方法依靠通道的內(nèi)自監(jiān)控,同時(shí)綜合通道接收到的傳感器飛行參數(shù)進(jìn)行通道的有效性判斷。通道首先進(jìn)行自監(jiān)控測(cè)試,若不通過(guò),則該通道失效;若通過(guò)自監(jiān)控測(cè)試,若通道核心參數(shù)完整,則通道有效。

核心參數(shù)指影響無(wú)人機(jī)飛行安全的飛行參數(shù),主要包含:俯仰角、滾轉(zhuǎn)角、航向角、三軸角速率、經(jīng)緯度、氣壓高度、空速、起降高度、攻角、側(cè)滑角。每個(gè)飛行參數(shù)可以從主傳感器和備傳感器,如圖8所示,因此飛行核心參數(shù)余度結(jié)構(gòu)為分級(jí)余度結(jié)構(gòu)。

2.3 可靠性分析

用R(t)表示產(chǎn)品的可靠度,F(t)表示產(chǎn)品的不可靠度,則有:

R(t)=1-F(t)

故障概率密度函數(shù)f(t)是不可靠度函數(shù)的導(dǎo)數(shù),則有:

即故障概率密度函數(shù):

f(t)=λe-λt(t≥0,λ≥0)

可靠度函數(shù):

R(t)=e-λt

產(chǎn)品平均失效前的工作時(shí)間,通常稱為平均故障間隔時(shí)間:

n個(gè)單元組成的串聯(lián)系統(tǒng),可靠度函數(shù):

n個(gè)單元組成的并聯(lián)系統(tǒng),可靠度函數(shù):

以多等級(jí)余度飛行控制系統(tǒng)為樣本,傳感器平均無(wú)故障時(shí)間如表1所示。

表1 傳感器平均無(wú)故障時(shí)間列表

典型余度飛控系統(tǒng)的通道有效性方法中,主傳感器和備份傳感器各自串聯(lián)作為整體并聯(lián)。表示Msensor表示傳感器平均無(wú)故障時(shí)間,λhost表示主傳感器組的故障率,λbackup表示備份傳感器組的故障率。

將表1中值代入公式計(jì)算,傳感器平均無(wú)故障時(shí)間為:

采用基于核心參數(shù)完整性通道有效性方法,對(duì)飛控計(jì)算機(jī)通道傳感器接口可靠性計(jì)算。

基于核心參數(shù)完整性通道有效性,提高了傳感器子系統(tǒng)的可靠性,同時(shí)也提高了飛控機(jī)計(jì)算機(jī)接口的容錯(cuò)能力。

3 試驗(yàn)結(jié)果與分析

FDR故障檢測(cè)率指系統(tǒng)發(fā)生故障的狀況時(shí),通過(guò)自監(jiān)控技術(shù)正確檢測(cè)到的故障數(shù)與實(shí)際發(fā)生的故障總數(shù)之比。

其定量數(shù)學(xué)模型可表示為:

式中，ND單位時(shí)間內(nèi)正確檢測(cè)到故障數(shù);NT單位時(shí)間內(nèi)實(shí)際發(fā)生的故障總數(shù)。

式中，n表示故障模式數(shù);λDi表示第i個(gè)被檢測(cè)出的故障模式的故障率;λD系統(tǒng)被檢測(cè)出的故障模式的總故障數(shù);λi表示第i個(gè)故障模式的故障率;λ表示所有故障模式的總故障率。

FIR故障隔離率指系統(tǒng)發(fā)生故障的時(shí),檢測(cè)到的故障并且能夠隔離到可更換單元的故障與被檢測(cè)到得故障的百分比。

其定量數(shù)學(xué)模型可表示為:

式中，λD表示被檢測(cè)出的所有故障模式的故障率之和;λL表示可隔離的所有故障模式的故障率之和。

在半實(shí)物仿真環(huán)境中采用通道故障注入技術(shù)對(duì)內(nèi)部和輸入輸出接口2類(lèi)因子進(jìn)行故障模擬,對(duì)雙因子三余度飛控機(jī)進(jìn)行故障診斷和容錯(cuò)試驗(yàn)驗(yàn)證,以分析雙因子三余度飛控機(jī)的故障檢測(cè)率和故障隔離率[13]。模擬故障如表2所示,注入故障數(shù)558,檢測(cè)出故障558,故障隔離數(shù)510。

對(duì)雙因子三余度飛控機(jī)和主動(dòng)余度三余度飛控機(jī)進(jìn)行故障診斷性能進(jìn)行比較,統(tǒng)計(jì)結(jié)果如表3所示。試驗(yàn)表明雙因子三余度飛控機(jī)故障覆蓋率達(dá)到100%,同時(shí)故障隔離率達(dá)到91.4%,較主動(dòng)三余度計(jì)算機(jī)極大提高。

表2 故障檢測(cè)統(tǒng)計(jì)表

表3 三余度飛控機(jī)故障隔離對(duì)照表

4 結(jié) 論

針對(duì)高空長(zhǎng)航時(shí)無(wú)人機(jī)飛行控制系統(tǒng)的高可靠性指標(biāo)要求,提出了一套雙因子的飛控計(jì)算機(jī)方案,結(jié)構(gòu)較為簡(jiǎn)單,有效提高了通道的故障檢測(cè)覆蓋率和故障隔離率。規(guī)避了n模冗余結(jié)構(gòu)表決器單點(diǎn)故障的缺陷,滿足無(wú)人機(jī)高空長(zhǎng)航高可靠、低成本、小體積等要求。

針對(duì)高空長(zhǎng)航時(shí)多等級(jí)余度飛控系統(tǒng),提出一種基于核心參數(shù)完整性的通道有效性方法。該方法中主備傳感器可靠性結(jié)構(gòu)由整機(jī)余度結(jié)構(gòu)優(yōu)化為分級(jí)余度結(jié)構(gòu)。最大限度的提高系統(tǒng)的資源利用率,有效提高飛控計(jì)算機(jī)的容錯(cuò)能力,同時(shí)也提高了傳感器子系統(tǒng)的可靠性。該方法可以應(yīng)用于其他多余度飛行控制系統(tǒng)中。