基于馬爾科夫的多路控制器可靠性及安全評估

(陜西科技大學(xué)電氣與信息工程學(xué)院，陜西 西安 710021)

0 引言

工業(yè)控制系統(tǒng)是自動化技術(shù)、計算機技術(shù)、網(wǎng)絡(luò)通信技術(shù)和傳感器技術(shù)相結(jié)合的產(chǎn)物，已被廣泛應(yīng)用于諸如石油、化工、電力、冶金等各種工業(yè)生產(chǎn)領(lǐng)域。隨著工業(yè)控制系統(tǒng)的不斷完善，工業(yè)控制器隨之不斷發(fā)展，但同時也面臨著一系列新的挑戰(zhàn)和問題。

工業(yè)控制器作為工業(yè)控制系統(tǒng)的核心部件，它的可靠性直接決定了整個控制系統(tǒng)的穩(wěn)定、可靠和安全。由于工業(yè)控制器的軟硬件隨機失效導(dǎo)致的系統(tǒng)失效以及維護過程中因誤操作造成的設(shè)備故障，給工業(yè)生產(chǎn)現(xiàn)場造成了嚴重的生產(chǎn)事故，高溫、高壓、易燃易爆等因素還會造成嚴重的人身傷害和財產(chǎn)損失。如何有效提升工業(yè)控制器的可靠性已經(jīng)成為工業(yè)控制系統(tǒng)設(shè)計中的關(guān)鍵問題。

自動控制系統(tǒng)的安全性和可靠性已成為衡量系統(tǒng)是否完善的重要指標(biāo)。一個安全可靠的控制系統(tǒng)所帶來的經(jīng)濟效益不僅體現(xiàn)在減少停機時間、提高產(chǎn)品質(zhì)量、減少維修成本、降低投資風(fēng)險等方面，還體現(xiàn)在維修的調(diào)度性等。因此，本文以多路控制器為對象，建立馬爾科夫模型。該模型為該控制器及系統(tǒng)的維修與測試提供了有效的依據(jù)[1]。

1 多路控制器的特點

本文安全評估的對象是以嵌入式系統(tǒng)為基礎(chǔ)，以ARM為內(nèi)核的遠程且通用的多路控制器，在控制過程中，運用典型的PID算法，對被控參數(shù)進行調(diào)節(jié)。多路控制器具有實時記錄數(shù)據(jù)和報錯預(yù)警的功能。

多路控制器的主要特點有：①能實現(xiàn)友好、操作便捷的用戶圖形界面；②能實現(xiàn)控制器的實時性、快速性和準(zhǔn)確性；③加入擴展接口，方便用戶根據(jù)需求對內(nèi)存的擴展；④運用以太網(wǎng)通信電路，能實現(xiàn)控制器的通信能力；⑤在輸入輸出上能實現(xiàn)通用的多路控制[2-4]。

多路控制器應(yīng)使用不同參數(shù)的傳感器去測量和獲取模擬量。例如運用最常見的溫度傳感器來測量獲取被控對象的溫度參數(shù)。本文后續(xù)將以測量溫度參數(shù)為例，對該控制器系統(tǒng)建立馬爾可夫模型，并對其安全性和可靠性進行評估[5]。

2 安全與可靠性評估

現(xiàn)如今，工業(yè)控制器的功能越來越復(fù)雜，性能也越來越高，同時對微處理器和存儲器等復(fù)雜電子器件的依賴程度也越來越強，多數(shù)工業(yè)控制器都是復(fù)雜電子系統(tǒng)，屬于軟硬件相結(jié)合的電子系統(tǒng)。這類電子系統(tǒng)的一個特點是存在較為復(fù)雜的硬件隨機失效。這種隨機失效可能是由于電子器件引起的，也可能是由于生產(chǎn)過程所造成的，它的出現(xiàn)會導(dǎo)致工業(yè)控制器的控制功能受到嚴重影響甚至失效，從而影響系統(tǒng)整體功能和性能，甚至影響生產(chǎn)安全。

除了硬件隨機失效可能導(dǎo)致的工業(yè)控制器故障之外，由于復(fù)雜功能和高性能設(shè)計所帶來的其他類型的不可避免的系統(tǒng)失效，也必須考慮到工業(yè)控制器的可靠性和安全性設(shè)計中。所謂的系統(tǒng)失效是由于設(shè)計及實現(xiàn)上的缺陷和考慮不周所導(dǎo)致的，例如硬件設(shè)計缺陷、軟件機制漏洞或程序缺陷。雖然系統(tǒng)失效理論上能夠通過嚴格的開發(fā)設(shè)計流程和設(shè)計實現(xiàn)經(jīng)驗來消除，但在實際工業(yè)控制系統(tǒng)中是不可能做到100%消除的。因此，如果得到某系統(tǒng)的穩(wěn)態(tài)可用率或計算出一個系統(tǒng)處于失效狀態(tài)的平均概率，就可依照獲得的數(shù)據(jù)來提高設(shè)備或系統(tǒng)的安全性、可靠性[6]。

2.1 軟硬件失效

多路控制器系統(tǒng)的失效可分為三種，一種是由硬件造成的，稱之為硬件失效；第二種是由軟件造成的，稱之為軟件失效；最后一種為人為失效[6]。軟件失效不同于其他類型的系統(tǒng)失效，該失效是軟件設(shè)計人員在不經(jīng)意間“設(shè)計”到系統(tǒng)的。由于軟件本身不會磨損，因此不存在不能被發(fā)現(xiàn)的重復(fù)性錯誤，也不存在潛在的制造缺陷。這種情況使得部分人認為軟件失效不能通過統(tǒng)計的方法來進行建模。他們認為系統(tǒng)完全是確定性的，而不是隨機的。這種觀點是正確的，但是卻忽略了計算機實際運行情況。實際上，輸入序列的數(shù)目是非常巨大的，并且是符合統(tǒng)計原理的。我們發(fā)現(xiàn)，當(dāng)有大量輸入序列“進入”系統(tǒng)時，有些系統(tǒng)將會發(fā)生故障[7]。

綜上所述，對軟件失效舉例說明。工程師將新的控制邏輯裝入PLC，系統(tǒng)安裝了模擬量輸入模件。輸入該模擬量模件的正常信號是由電位器給定的1～4 V的信號，電位器是用來測量機械位移的。啟動時，系統(tǒng)運行正常，所有其他的測試也都全部通過。幾個月后，該機械不能正常停止，電位器的電刷超出了它的正常使用范圍，PLC停止工作。即PLC軟件發(fā)生故障，失效信息定義為“除以0”。

在工業(yè)控制過程中，對于硬件失效即物理(隨機)失效，舉一簡單例子說明。由單板控制器模件構(gòu)成的系統(tǒng)，如果發(fā)展故障，則控制器輸出中斷并且不再給電磁閥提供電流，在這種情況下，通過控制器診斷，發(fā)現(xiàn)了一個失效的輸出晶體管部件。將輸出晶體管拆開，檢查后發(fā)現(xiàn)它不能導(dǎo)通，即晶體管發(fā)生開路故障而導(dǎo)致系統(tǒng)不能正常工作，這種系統(tǒng)失效叫做硬件失效[7]。

硬件失效和軟件失效對于控制系統(tǒng)安全性和可靠性的分析都具有重要性。我們需要通過失效信息來幫助決策如何避免發(fā)生失效或在失效前給予維修。

對于前文所述的軟件失效，其失效分析如表1所示。

表1 軟件失效分析表

在工業(yè)領(lǐng)域，大多數(shù)系統(tǒng)都是可維修系統(tǒng)。維修就需要花時間，簡單的可靠性網(wǎng)絡(luò)建模方法不能直接計算維修時間。概率方法可以提供維修時間的近似解，但是它只能在低失效率和短維修時間的條件下才能獲得誤差比較小的結(jié)果。對于失效率和維修時間大范圍變化的情形，對可維修系統(tǒng)失效性能的建模需要采用另外一種方法，即建立馬爾科夫模型[8]。這種方法必須考慮實際的維修時間、不同的系統(tǒng)配置等因素。

2.2 馬爾科夫模型

馬爾可夫模型是一種通過采用狀態(tài)圖，對可靠性和安全性進行建模的方法[8]，其狀態(tài)圖僅使用兩個簡單的符號。雖然圖形簡單，但與其他的可靠性和安全性評估技術(shù)相比，馬爾科夫模型提供了一套完整的評估工具。馬爾可夫模型中的基本符號如圖1所示。

圖1 馬爾可夫模型符號

圖1(a)表示正常的工作部件與發(fā)生失效的部件組合狀態(tài)符號，圖1(b)表示由一種狀態(tài)向另一種狀態(tài)轉(zhuǎn)換。模型特點是多數(shù)失效模式可以表示在一幅圖上。

馬爾可夫模型可以在一幅圖上表示容錯系統(tǒng)的各種工作狀態(tài)，其示意圖如圖2所示。如果模型建立得很完整，那么它將表達系統(tǒng)的全部正常狀態(tài)。同時馬爾可夫模型也表示系統(tǒng)的各種降級狀態(tài)，此時系統(tǒng)還可以正常工作，但是不能再進一步失效了。

圖2 馬爾可夫模型工作狀態(tài)示意圖

圖2中，λi表示部件的瞬時失效率，即部件由一個狀態(tài)轉(zhuǎn)移到下一個狀態(tài)的失效轉(zhuǎn)換；μi表示維修率。

2.3 求解馬爾可夫模型

馬爾可夫建模技術(shù)包括：定義系統(tǒng)中全部成功/失效狀態(tài)。這些狀態(tài)由帶有編號的圓來表示。系統(tǒng)由一種狀態(tài)向另一狀態(tài)轉(zhuǎn)換，狀態(tài)之間的轉(zhuǎn)換用箭頭轉(zhuǎn)移弧表示，并標(biāo)注相關(guān)的失效率[6]。如對于單個不可維修部件來說，有0和1這2個狀態(tài)，在狀態(tài)0，部件正常工作；在狀態(tài)1，部件發(fā)生失效，失效率為λ。單個不可維修部件模型如圖3所示。

圖3 單個不可維修部件模型

本文以多路控制器為對象，以控制溫度過程中監(jiān)測被控對象的溫度參數(shù)為例，條件為：每10 min測量一次溫度，測量100次則會產(chǎn)生一次失效，平均維修時間為20 min。該過程適合于馬爾可夫離散時間模型，時間間隔選為10 min，一共需要2個狀態(tài)，狀態(tài)0表示正常工作，狀態(tài)1表示失效。系統(tǒng)起始于狀態(tài)0，即正常工作狀態(tài)。由狀態(tài)0開始，系統(tǒng)在每個時間間隔內(nèi)有2種狀態(tài)：穩(wěn)定在狀態(tài)0或移動至狀態(tài)1。系統(tǒng)有1%的概率由狀態(tài)0轉(zhuǎn)移到狀態(tài)1。對于每個時間間隔，系統(tǒng)不是移動到新的狀態(tài)就是停留在當(dāng)前的狀態(tài)，這2種概率和為1，因此，系統(tǒng)停留在狀態(tài)0的概率是99%(1-0.01=0.99)。一旦系統(tǒng)失效，那么系統(tǒng)則可能停留在狀態(tài)1(還沒有修好)，或移動到狀態(tài)0(已經(jīng)修好)，因此，在任何時間間隔內(nèi)，由狀態(tài)1移動到狀態(tài)0的概率為0.5(10 min時間間隔、20 min維修時間)，則系統(tǒng)停留在狀態(tài)1的概率即為1-0.5=0.5。馬爾可夫模型如圖4所示。

圖4 馬爾可夫模型

馬爾可夫模型可以用概率矩陣的形式來表達，即用一個n×n維矩陣(n為狀態(tài)數(shù))來表示各個概率，定義為隨機轉(zhuǎn)移概率矩陣(轉(zhuǎn)移矩陣)，記為P。

由上述分析可得轉(zhuǎn)移矩陣P的表達式為：

(1)

矩陣的每一行每一列均代表其中的一種狀態(tài)，如果存在更多的狀態(tài)，則可用更多的行和列來表示。位于某行某列的數(shù)字表示為由某行代表的狀態(tài)到某列代表的狀態(tài)的轉(zhuǎn)移概率。

針對圖4所示馬爾可夫模型，對式(1)解釋如下：第一行第一列的數(shù)字(0.99)，代表下一個時間段由狀態(tài)0轉(zhuǎn)移到狀態(tài)0(即停留在狀態(tài)0)的概率；第一行第二列的數(shù)字(0.01)，代表下一個時間間隔內(nèi)由狀態(tài)0到狀態(tài)1的轉(zhuǎn)移概率；第二行第一列數(shù)字(0.5)代表下一個時間間隔內(nèi)由狀態(tài)1到狀態(tài)0的轉(zhuǎn)移概率；第二行第二列的數(shù)字(0.5)代表下一個時間間隔內(nèi)由狀態(tài)1到狀態(tài)1的轉(zhuǎn)移概率。

在控制系統(tǒng)中，人們最關(guān)心系統(tǒng)預(yù)計的停機時間。以本文之前提出的多路控制器為例，則問題就轉(zhuǎn)化為“求解系統(tǒng)在狀態(tài)1時的平均概率”。求解系統(tǒng)在狀態(tài)1的平均概率，即求解系統(tǒng)的不可用率。由于在同一個系統(tǒng)中，可用率和不可用率是一對互斥事件，因此求得系統(tǒng)的可用率就可得到其不可用率。

求解穩(wěn)態(tài)可用率有以下3種方法。

① 樹型圖

樹型圖即畫出像樹杈的直觀圖，其簡圖如圖5所示。先運用概率規(guī)則把每個狀態(tài)發(fā)生的概率進行計算標(biāo)注，再根據(jù)路徑方向把標(biāo)注的概率依此相乘，得到每條路徑的獨立概率。要得到每一種狀態(tài)在該時態(tài)之后的總概率，則把給定狀態(tài)下的所有路徑概率相加即可。列出不同時間段的狀態(tài)概率，在圖中尋找狀態(tài)1的概率，然后把得到的概率相加，就可求得停機時間(即不可用率)。在任何時間段，所有狀態(tài)概率之和為1，運用這一原理可以檢驗計算過程是否出錯。這種樹型圖方法計算繁瑣，容易出錯，不適用于實際規(guī)模的馬爾可夫模型求解。

圖5 樹型圖簡圖

② 計算穩(wěn)態(tài)概率

轉(zhuǎn)移矩陣P(n×n維矩陣)表示在一個時間段內(nèi)由一種狀態(tài)轉(zhuǎn)移到另一種狀態(tài)的概率。這個矩陣可以與自身相乘，而得到多個時間段的轉(zhuǎn)移概率。

計算過程中，當(dāng)P做平方運算時，其結(jié)果為一個n×n維矩陣。2步狀態(tài)之間的轉(zhuǎn)換概率可表示為：

如果上述結(jié)果矩陣左乘以P，就可以獲得3步狀態(tài)之間的轉(zhuǎn)移概率，即：

(2)

這個過程一直繼續(xù)到獲得n步概率轉(zhuǎn)移矩陣，在不斷相乘后，得到的每一步之間的變化會越來越小，如18步狀態(tài)之間轉(zhuǎn)移概率為：

(3)

由式(3)可以得到：P18=P17,即P17+1=P17。最后到達Pn+1=Pn，矩陣中的數(shù)值不再變化。記不再隨時間段而變化的矩陣為PL，該矩陣被稱為“極限狀態(tài)概率”矩陣。此時極限狀態(tài)概率矩陣的上行和下行都是相同的數(shù)，即第n步進入狀態(tài)0的概率是相等的，表示該方法計算時與起始狀態(tài)無關(guān)。但是，實際起始狀態(tài)仍會影響時變概率。采用第三種方法可以很好地解決上述問題。

③ 代數(shù)關(guān)系直接求解

起始狀態(tài)概率是以行矩陣表示的(1×n矩陣)。這個行矩陣是一個數(shù)值表，它表示了系統(tǒng)處于每一個狀態(tài)的概率。設(shè)S0為起始概率表(即第0時間段)。如果一個系統(tǒng)總是起始于一個特定的狀態(tài)，那么S0就會有一個元素為1，而其余的元素為0。

以多路控制器為對象，以檢測溫度為例，得出：系統(tǒng)總是起始于狀態(tài)0。因此，起始概率S0=[1 0]，對于任何特定時間段的狀態(tài)矩陣Sn，可以通過Sn-1乘以P或S0乘以Pn-1得到。

通過大量的計算驗證了以上結(jié)論的正確性，且當(dāng)Sn+1乘以P等于Sn時，即達到極限狀態(tài)概率(記為SL)。所以，可用代數(shù)關(guān)系直接求解。

當(dāng)極限狀態(tài)概率存在時，有：

(4)

如果對式(4)做矩陣乘，得到代數(shù)關(guān)系為：

(5)

由式(5)得到：

(6)

又因為在同一個系統(tǒng)內(nèi)出現(xiàn)的兩個狀態(tài)為互斥事件，所以有：

(7)

結(jié)合式(6)和式(7)得到：

(8)

最后得到結(jié)果為：

(9)

3 結(jié)束語

本文簡述了ARM多路控制器的特點，并且以該

控制器監(jiān)測溫度為實例，建立馬爾可夫模型，分別運用3種不同的極限概率(即穩(wěn)態(tài)概率)計算方法求解馬爾可夫模型。經(jīng)過對比得出，直接代數(shù)法是最快并且最符合實際(誤差最小)的求解方法。

在可維修系統(tǒng)中，隨著時間段的增加，概率值的變化越來越小，最終概率值逐漸到達穩(wěn)態(tài)。此時就可以得到系統(tǒng)的穩(wěn)態(tài)可用率，該穩(wěn)態(tài)可用率為日后維修和檢測提供了安全保證[9]。目前，在系統(tǒng)設(shè)計時，為了得到最優(yōu)方案，必須綜合考慮設(shè)計約束條件，控制系統(tǒng)的安全性和可靠性是重要的設(shè)計約束條件；在優(yōu)化過程中，則需要考慮安全性和可靠性的量化指標(biāo)和定量評估方法，通過馬爾科夫模型的建立與求解該模型，則可定性地分析系統(tǒng)的安全性與可靠性。相信有了統(tǒng)一的控制系統(tǒng)[10-12]設(shè)計的安全性和可靠性參數(shù)，就能真正實現(xiàn)對控制系統(tǒng)安全、可靠的設(shè)計。

[1] 陳高翔,馮冬芹.安全儀表系統(tǒng)硬件失效概率的評估方法[C]//第八屆工業(yè)儀表與自動化學(xué)術(shù)會議集(上),2007.

[2] 田澤.嵌入式系統(tǒng)開發(fā)與應(yīng)用[M].北京：北京航空航天大學(xué)出版社，2005：208-619.

[3] 程韜波，曾敏，呂小青，等.磨具多路溫度控制器的研制與分析[J].機電產(chǎn)品開發(fā)與創(chuàng)新，2004，17(5)：81-83.

[4] 史健芳.智能儀器設(shè)計基礎(chǔ)[M].北京：電子工業(yè)出版社，2012：216-278.

[5] 周昕，林軼翚，崔遠智.基于實時控制的多路溫度檢測系統(tǒng)[J].控制系統(tǒng)，2004，20(8)：64-71.

[6] 劉志勇.工業(yè)控制器可靠性若干問題的研究與開發(fā)[D].杭州：浙江大學(xué)，2012.

[7] 胡慧芳，沈元隆.硬軟件交互的可靠性建模及應(yīng)用[J].微型機與應(yīng)用，2011，30(5)：64-66.

[8] Goble W M.控制系統(tǒng)的安全評估與可靠性[M].北京：中國電力出版社，2008：95-239.

[9] 林瀾，馬堅勇.智能儀表中運用抗干擾措施的體會[J].自動化與儀表，2004(5)：23-27.

[10]馬中梅，馬廣云，徐英慧，等.ARM嵌入式處理器結(jié)構(gòu)與應(yīng)用基礎(chǔ)[M].北京：北京航空航天大學(xué)出版社，2002：60-89.

[11]劉建昌,于紅磊,辛紅，等.S7-00/400 PLC工業(yè)網(wǎng)絡(luò)通信技術(shù)指南[M].北京：機械工業(yè)出版社，2009.

[12]王嘯東.PLC 控制系統(tǒng)設(shè)計方法解析[J].自動化與儀器儀表，2011(1):43-48.