基于概率行為樹的保護系統(tǒng)建模與可靠性定量評估

熊海軍 ，朱永利，張 琦 ，王德文

（1.華北電力大學 控制與計算機工程學院，河北 保定 071003；2.華北電力大學 科技學院，河北 保定 071003）

0 引言

可靠性是指元件、產(chǎn)品、系統(tǒng)在一定時間內、在一定條件下無故障地執(zhí)行指定功能的能力或可能性。繼電保護系統(tǒng)的可靠性是電網(wǎng)安全運行的關鍵，對保護系統(tǒng)可靠性定量評估有助于發(fā)現(xiàn)系統(tǒng)的薄弱環(huán)節(jié)，為保護系統(tǒng)的設計和運行檢修提供指導［1-5］。因此，研究保護的可靠性評估方法具有重要現(xiàn)實意義。

學者對可靠性分析計算及其應用進行了大量研究，但由于保護系統(tǒng)可靠性評估涉及因素眾多、建模難度大，工程領域至今尚無廣泛使用的可靠性評估方法?，F(xiàn)有的定量評估方法主要有基于狀態(tài)的馬爾科夫（Markov）方法［6-9］和基于系統(tǒng)結構的 GO法［10-12］。Markov方法在處理復雜系統(tǒng)動態(tài)可靠性時存在狀態(tài)劃分和求解困難等不足；GO法基于系統(tǒng)靜態(tài)結構，且元素較多不易使用、編程實現(xiàn)相對困難。上述2類方法進行可靠性分析時使用的是專用模型，與分析設計階段的模型均不一致。

目前，在保持與系統(tǒng)需求分析和設計模型一致的基礎上進行可靠性建模與評估方面尚缺乏相應的研究。行為樹BT（Behavior Trees）是一種能夠用于系統(tǒng)行為建模的新方法，因其具有嚴格的形式語義、方便的圖形語法及良好的層次特性而被越來越多的領域所使用。需求工程和游戲領域已使用行為樹方法成功進行系統(tǒng)分析和設計階段的建模，但未給出其可靠性建模方法［13-18］。 文獻［19-20］給出了行為樹的相關定義并提出采用行為樹進行智能電子設備（IED）的交互過程建模與驗證，但該方法未考慮系統(tǒng)中的失效行為及其概率，不適用于保護系統(tǒng)的可靠性評估。

行為樹作為一種具有嚴格形式語義的形式化方法用于保護系統(tǒng)建模與可靠性分析計算具有以下幾點優(yōu)勢：

a.基于行為樹的建模方法在建模過程中著眼于系統(tǒng)行為及其關系而忽略隱含在其中的系統(tǒng)狀態(tài)，其建模思路符合系統(tǒng)設計實現(xiàn)的自然思維，可以復用系統(tǒng)分析和設計階段所建模型，建模過程及生成的模型簡單；

b.由于行為樹模型與形式化的通信順序進程（CSP）模型具有對應關系，行為樹模型可以很容易地轉化為CSP模型后采用過程分析工具（PAT）進行各個行為的概率求取，采用模型工具進行求解，無需人工搜索行為路徑并推導計算公式，直接在PAT中設定需要計算的目標即可由模型給出計算結果，大幅簡化了計算復雜度，適合工程化應用。

本文采用行為樹對保護系統(tǒng)進行建模和可靠性定量分析，主要做了以下幾點工作：

a.對硬件部件、軟件行為、順序和選擇關系的可靠度模型進行定義，給出行為發(fā)生概率的計算公式；

b.對原行為樹模型進行擴展后完成了保護系統(tǒng)的建模，給出通過已知的基礎行為條件概率計算后續(xù)行為概率的方法；

c.針對具體算例，采用過程分析工具對所提方法進行可靠性計算、薄弱環(huán)節(jié)識別與冗余可靠性分析。

1 保護系統(tǒng)可靠性特點

影響保護系統(tǒng)可靠性的因素較多，主要包括環(huán)境、一次設備、保護設備及人為因素等。由于除保護設備本身外其他影響因素對保護系統(tǒng)可靠性的影響難以準確評估，保護系統(tǒng)可靠性的定量評估多以保護設備部件的可靠性計算為出發(fā)點。就保護設備而言，其可靠性存在如下特點：

a.保護系統(tǒng)可靠性受其硬件部件（如電源、CPU和網(wǎng)絡接口等）及軟件可靠性影響，部件的可靠性與其本身的質量、環(huán)境、部件成熟度及運行時間等因素相關；

b.保護設備之間及部件之間通過協(xié)作完成系統(tǒng)功能，其間存在一定的邏輯關系，不同的邏輯關系對整體可靠性的影響也會有所不同。

2 行為及其關系的可靠度模型

2.1 行為的可靠度模型

保護設備硬件部件及軟件常常是構成系統(tǒng)功能的基礎部件，本文將其視為系統(tǒng)的基礎行為。目前常用的硬件元件及其模塊的可靠性模型主要是美國軍用標準中發(fā)布的電子設備可靠性預計模型，模型給出了電子元件及由其構成的硬件模塊的失效概率模型。文獻［6］給出了其中元件及模塊的失效模型。

軟件系統(tǒng)的可靠性與硬件模塊的可靠性有較大區(qū)別，軟件系統(tǒng)的可靠性與其漏洞被發(fā)現(xiàn)和修補的次數(shù)相關，隨著時間的推移其可靠性可由于其漏洞修復而逐步增加，常采用Logarithmic exponential模型［6］表示保護軟件的可靠性。

本文將元件及軟件的功能視為系統(tǒng)基礎行為，其可靠性可由文獻所述失效率導出。由于文獻所述均為恒定失效率模型，基礎行為的可靠度與其失效率間存在式（1）所示關系：

其中，F(xiàn)i（t）為 0～ t時間段內行為 i的可靠度；pi（t）為0～t時段內行為i發(fā)生的概率；λi為行為i的失效率。

2.2 行為交互關系的可靠度模型

為方便后續(xù)描述，下面首先給出概率行為樹的形式化定義。

定義1概率行為樹T可以用一個四元組表示：T=＜CT，N，r，p＞。 其中，CT為控制子樹集合，CT=｛LT，QT｝，LT為選擇子樹集合，為一選擇子樹，QT為順序控制子樹，NQi，rQi，pQi＞為一順序控制子樹；N 為葉子節(jié)點集合，N=｛O，Cd｝，O=｛o1，o2，…，ot｝為原子行為節(jié)點集合，Cd=｛c1，c2，…，cp｝為條件集合；r為行為樹的根節(jié)點，r∈T；p= ｛pL，pQ｝為不同類型的節(jié)點到父節(jié)點啟動后其子節(jié)點發(fā)生概率的映射函數(shù)集合。

系統(tǒng)的多個行為之間的交互關系可用控制子樹（分為選擇子樹和順序子樹2種類型）描述。

2.2.1 選擇子樹

保護系統(tǒng)中，電源模塊的“電源工作”這一抽象行為可分為“供電”和“停電”2個原子行為，2種行為只能任選其一，此類關系可稱為選擇關系，可用行為樹選擇子樹表示。

若為一選擇子樹，其子節(jié)點可以為和NL類型。若其所有子節(jié)點采用集合｛B1，B2，…，Bn｝來表示，在父節(jié)點執(zhí)行的情況下執(zhí)行某子節(jié)點行為的條件概率形成集合pL=｛p（B1/rL），p（B2/rL），…，p（Bn/rL）｝，則有式（2）所示關系。

式（2）表明所有子節(jié)點行為構成其父節(jié)點這一抽象行為的劃分。

2.2.2 順序子樹

保護設備的硬件行為包括：傳感器變換、輸入、CPU加工、輸出等，這些行為順序發(fā)生，前一行為結束后順序執(zhí)行后續(xù)行為，行為間的這種關系稱為順序關系。對順序關系下的子節(jié)點而言，后繼行為的執(zhí)行前提是其前驅行為的成功執(zhí)行。

為簡化描述，本文將“傳感器變換AI”等基礎行為進一步細分為“AI正?！焙汀癆I異?！?個原子行為，它們滿足選擇關系。根據(jù)式（2）可知“傳感器變換AI”的2個子節(jié)點的概率和為1，即節(jié)點“傳感器變換AI”啟動的前提下完成執(zhí)行的概率為1。因此，在這種結構下順序關系的第1個子行為啟動后各個后繼基礎行為啟動的概率為1。

若為一順序控制子樹，其子節(jié)點可以為和NQ類型，若其所有子節(jié)點采用集合｛B1，B2，…，Bn｝來表示，pQ=｛p（B1/rQ），p（B2/rQ），…，p（Bn/rQ）｝表示在父節(jié)點執(zhí)行的條件下子各節(jié)點執(zhí)行的條件概率集合，則有式（3）所示關系。

需要說明的是在特定情況下，順序關系中若前面某個子行為正常是后續(xù)行為啟動的條件，則它們間形成守護關系，行為樹可完成該關系的建模，但其建模方法應與上述方法有所區(qū)別。本文所述模型不涉及守護關系，因此未給出其建模方法。

3 保護系統(tǒng)的行為樹模型

3.1 行為樹的概率擴展

采用行為樹進行系統(tǒng)建模時，常用其圖形表示法。現(xiàn)有行為樹圖形表示法不能描述上述條件概率，本文將概率引入原行為樹中，用于修飾父節(jié)點與子節(jié)點的連接，其結構如圖1所示。

圖1 中，P1、P2、…、PN分別為行為樹執(zhí)行到“選擇 L”的前提下，執(zhí)行行為 L1、L2、…、LN的條件概率，右圖概率的定義與左圖相似；虛線框中的行為表示抽象行為，其實際類型可以是葉子節(jié)點、選擇和順序控制子樹等。

圖1 BT的概率修飾Fig.1 Probabilistic definition of behavior trees

行為樹從根節(jié)點開始運行，若所建模型能通過可達性驗證，則行為樹可運行至任意節(jié)點。若從根節(jié)點運行至行為BN的運行路徑為：BN，則行為BN在r啟動情況下的發(fā)生概率為：

其中，為Bi的父節(jié)點Bif執(zhí)行的前提下執(zhí)行Bi的條件概率。

3.2 保護系統(tǒng)可靠性的行為樹建模

采用行為樹通過分層建模的方法能夠逐步構建系統(tǒng)的完整模型。建模過程可采用自頂向下或自底向上的方法，本例中采用自頂向下的方法，即先對系統(tǒng)的抽象行為進行建模后逐步求精并最終完成保護系統(tǒng)的建模。

3.2.1 保護系統(tǒng)概要建模

可將“保護系統(tǒng)SYS”這一根行為分為“供電運行R”和“停電拒動d”2個子行為，行為間構成選擇關系，它們的發(fā)生概率分別為和通?？杉俣ㄐ袨闃涓?jié)點“保護系統(tǒng)SYS”啟動的概率為1。R和d的啟動概率與電源的可靠性相關，若電源的可靠性為 Fd（t），則保護系統(tǒng)概要建模用概率行為樹圖形表示如圖2所示。

圖2 保護系統(tǒng)的概要BT模型Fig.2 Brief behavior tree model of relay protection system

圖2中，“停電拒動d”為原子行為，不可繼續(xù)展開；“供電運行R”為順序子樹，需要進一步展開。

3.2.2 保護系統(tǒng)詳細建模

“供電運行 R”行為由“變送 AI”、“輸入 DI”、“處理 CPU”、“軟件判斷 SF”及“輸出 DO”等行為順序構成，其行為關系及其可靠性的描述如圖3（a）所示。

圖3 保護系統(tǒng)的詳細BT模型Fig.3 Detailed behavior tree model of relay protection system

圖3（b）為圖 3（a）中“故障運行 E”的細化展開。圖中，F(xiàn)DI（t）、FSF（t）為相關部件的可靠度；c 為故障的自檢檢出率；p為系統(tǒng)故障運行的前提下發(fā)生“誤動 w”的概率。 “變送 AI”、“處理 CPU”和“輸出 DO”均為硬件部件的行為，其展開過程與“輸入DI”相似，本文不再一一展開。由于“軟件判斷SF”故障自檢無法檢出，其展開與“輸入信號DI”有所區(qū)別。

需要說明的是，上述行為樹模型并非保護系統(tǒng)通用模型，僅代表一般系統(tǒng)結構。若某保護系統(tǒng)結構不同于此，則其行為樹模型也需要作相應調整。

4 行為樹模型的可靠性問題求解

4.1 可靠性問題求解

經(jīng)過上述方法建模后，可根據(jù)式（4）思路計算到達行為樹任意節(jié)點的概率。

“停電拒動d”行為的發(fā)生概率為：

“誤動w”和“帶電拒動j”行為在保護系統(tǒng)中出現(xiàn)多次，AI、DI、CPU、軟件和DO的行為子樹下都有這一行為，其發(fā)生概率的計算公式分別為：

其中，i取 1、2、3、4 時，F(xiàn)i（t）分別為 AI、DI、CPU 和 DO硬件的可靠度。

本文將系統(tǒng)的整體可靠度定義為不發(fā)生以上3種行為的概率，其計算公式如下。

將式（5）—（7）代入式（8）展開后，如式（9）所示。

至此，根據(jù)上述公式可以計算出系統(tǒng)的可靠度。但復雜行為樹可靠性模型中人工路徑搜索及概率計算復雜，為了進一步提高算法的工程實用性，本文將行為樹模型轉為CSP后采用PAT進行求解。

4.2 行為樹模型到PAT描述的映射

由于現(xiàn)階段尚缺乏直接對行為樹進行驗證計算的方法和工具，本文將其映射到CSP這一經(jīng)典模型，以便采用PAT對模型進行求解。行為樹模型與CSP模型元素間的映射關系可以參考文獻［20］。經(jīng)過文獻所述轉化步驟后，行為樹模型可完全轉化為滿足PAT語法格式的CSP模型。

圖2所示行為樹模型轉化為PAT所定義的語句如式（10）所示。

其中，R為行為子樹，需要進一步展開，R展開后如式（11）所示。

式（11）中的行為均是抽象行為，都需要進一步展開。本文僅以“輸入DI”為例進行說明，該行為被完整展開后如式（12）—（14）所示。

AI、CPU和DO與DI的展開過程相似，SF則少了故障檢出環(huán)節(jié)，經(jīng)過上述方法可將行為樹模型轉化為完整的PAT語法的CSP模型。

4.3 基于PAT的可靠性問題求解

完成模型轉化后，系統(tǒng)模型已經(jīng)能夠在PAT下仿真運行，但要實現(xiàn)特定計算目標，需用PAT提供的斷言（assert）進行目標問題描述。

由于斷言中不便描述某行為是否發(fā)生，本文用PAT中的變量來記錄某行為是否發(fā)生，因此需對上述模型進行簡單修改。例如在PAT中定義變量ww（初始值設置為0）用于記錄“誤動w”行為是否發(fā)生，則需要在w行為發(fā)生時修改變量ww的值為1，即將上述PAT描述中的w更改為w｛ww=1｝即可。計算“誤動w”的發(fā)生概率，需要定義如下斷言：

其中，第1個斷言為設定目標；第2個斷言為驗證目標的可達性及其可達概率，經(jīng)PAT驗證可輸出其可達性及其概率；pmax表示達到設定目標的最大概率值。

5 算例

目前，能用于驗證算法有效性的實際案例樣本還很缺乏，本文使用文獻［6］的部分數(shù)據(jù)進行算例分析。各個參數(shù)的取值如表1所示。表1中，t為從設備投運開始的小時數(shù)。從表中可以看出，在沒有發(fā)生維修更換的情況下，硬件及軟件部件的可靠度隨時間增長逐步下降。

表1 參數(shù)取值Table 1 Parameters

選取部分時間取值計算各參數(shù)的可靠度，結果表2所示。由于本文中模塊的可靠性與元件參數(shù)及使用時長等因素相關，維修更換部分元件甚至整體部件換新，使得維修部件的可靠性發(fā)生變化。設備維修后需要修改部件的失效率及部件的使用時長，然后計算得到新的部件可靠性，再計算系統(tǒng)的整體可靠性。

表2 部件可靠度隨時間的變化關系Table 2 Relationship between component reliability and duration

5.1 系統(tǒng)可靠性及薄弱環(huán)節(jié)分析

所建模型按表2中的數(shù)據(jù)進行仿真計算，可算出誤動概率、拒動概率（分為帶電拒動和停電拒動）及系統(tǒng)可靠度，結果如圖4所示。

圖4 誤動概率、拒動概率及系統(tǒng)可靠度Fig.4 Variation of misoperaion probability，refuse-to-operation probability and system reliability along with duration

從結果可以看出，系統(tǒng)可靠度隨時間增長逐漸降低，誤動和拒動發(fā)生的概率逐漸增加；實例系統(tǒng)在10000 h的可靠度僅為0.761。

為了進一步分析各參數(shù)對系統(tǒng)可靠度的影響，分別將表2中不同時刻下各部件的可靠度單獨降低10%后，仿真計算系統(tǒng)可靠度結果如表3所示。

表3 系統(tǒng)可靠度隨參數(shù)下降的變化關系Table 3 Relationship between system reliability and duration for 10%reliability deduction of different components

從結果可以看出，各參數(shù)可靠度在不同時間降低10%后，均引起系統(tǒng)可靠度的下降。電源及軟件的影響較大，檢出率c次之，其他參數(shù)的影響相對較小。為了更清楚地分析各環(huán)節(jié)的重要度隨時間的變化關系，將表3的計算結果進行變換后，可靠度下降比例如圖5所示。

圖5 部件可靠度降低后的系統(tǒng)可靠度Fig.5 Variation of system reliability deduction along with duration for 10%reliability deduction of different components

從圖5可以看出，在給定的參數(shù)情況下CPU等硬件部件引起的可靠度下降比例較小，且隨時間增長呈緩慢下降趨勢；電源和軟件引起可靠性的下降比例較大且呈緩慢上升趨勢；檢出率在1000 h以內影響最小（小于0.8%），隨后其影響逐步超過CPU等硬件影響，10000 h時增至7.7%。

CPU等硬件對可靠度下降比例的影響較小的主要原因是其故障有自檢后修復機會，而模型中電源及軟件故障沒有。檢出率對可靠性的影響隨時間變化較大的主要原因是在運行初期各個部件的可靠度本身較高，故障檢出率對整體系統(tǒng)可靠的影響相對較小；而后隨時間增長部件可靠度逐步下降，故障檢出率的影響則逐漸增加。由此可見，該方法能夠計算出不同時期的系統(tǒng)薄弱環(huán)節(jié)及系統(tǒng)可靠度，能為保護系統(tǒng)的運行檢修提供指導。

就實例模型而言，其薄弱環(huán)節(jié)主要體現(xiàn)為電源和軟件，檢出率隨時間增長也逐步成為系統(tǒng)薄弱環(huán)節(jié)。軟件和檢出率分別對應于功能程序和自檢程序，均可通過漏洞修補逐步提升其可靠度。而硬件部件則常通過冗余方式實現(xiàn)可靠度的提升。

5.2 冗余可靠性分析

系統(tǒng)中的關鍵部件常常采用冗余結構以提高系統(tǒng)可靠性。算例中電源屬系統(tǒng)薄弱環(huán)節(jié)，下面增加一個同型號電源模塊為熱備用電源后對系統(tǒng)可靠性進行分析。電源熱備用冗余結構可以用行為樹中的選擇結構表達，如圖6所示。

圖6 雙電源系統(tǒng)BT模型Fig.6 Behavior tree model of dual power-supply system

電源采用熱備用結構后，對原有系統(tǒng)模型做簡單修改，將式（10）更改為式（15）、（16）即可。

采用表2所示參數(shù)及雙電源模型進行系統(tǒng)可靠度計算，結果如圖7所示。

圖7 冗余結構系統(tǒng)可靠度Fig.7 Deduction of system reliability along with duration for single and dual power-supply systems

從結果可以看出，采用雙電源結構后系統(tǒng)可靠度明顯提升，隨時間增長系統(tǒng)可靠度逐漸下降，但下降速率明顯降低。由此可見，硬件部件類薄弱環(huán)節(jié)采用冗余結構后可顯著提升系統(tǒng)可靠性。

雙電源情況下，每個電源可靠度單獨降低10%后，引起的系統(tǒng)可靠度下降比例與單電源的對比如圖8所示。

從圖8結果可以看出，對原薄弱環(huán)節(jié)電源部分采用雙電源冗余結構后，其單一電源的可靠度下降10%對整體系統(tǒng)的可靠度的影響明顯減小，系統(tǒng)薄弱環(huán)節(jié)也因此發(fā)生變化?？梢姡摲椒転楸Ｗo系統(tǒng)的設計提供指導。

圖8 冗余結構系統(tǒng)可靠度下降比例Fig.8 Variation of system reliability deduction along with duration for single and dual power-supply systems

6 結論

本文給出了保護系統(tǒng)行為的條件概率、交互關系的可靠度的定義，完成了保護系統(tǒng)的概率行為樹建模，并給出了行為及系統(tǒng)的可靠度計算方法。采用過程分析工具對所建模型進行了仿真運行，并對系統(tǒng)可靠度隨時間的變化、薄弱環(huán)節(jié)及冗余結構進行了分析。

a.模型真實反映了保護系統(tǒng)中硬件部件、軟件行為及抽象行為間的關系，有助于防止扁平化建模對可靠度計算帶來的影響。

b.給出了順序和選擇2種關系的定義及其可靠性計算方法，采用圖形化方法完成了保護系統(tǒng)可靠性的完整建模，建模思路清晰、過程簡單。

c.計算了系統(tǒng)可靠度隨時間的變化關系；探討了各行為對系統(tǒng)可靠度的影響，發(fā)現(xiàn)了系統(tǒng)中的薄弱環(huán)節(jié)及其隨時間的變化趨勢。

d.采用選擇關系完成了冗余結構的建模與分析，實驗表明模型具有較強的描述能力，對于不同廠家，不同硬件結構只需調整行為樹模型即可。本文方法能為保護系統(tǒng)運行檢修和設計提供指導，但還要針對保護可靠性基礎數(shù)據(jù)進行大量細致系統(tǒng)的積累、分析和挖掘，才能使該模型更好地服務于工程實際。

［1］IEC.Communication networks and systems in substations part 5：communication requirements for functions and device models：IEC61850-5［S］.Geneva，Switzerland：IEC，2003.

［2］李鋒，謝俊，蘭金波，等.智能變電站繼電保護配置的展望與探討［J］.電力自動化設備，2012，32（2）：122-126.LI Feng，XIE Jun，LAN Jinbo，et al.Prospect and discussion of relay system configuration for intelligent substation［J］.Electric Power Automation Equipment，2012，32（2）：122-126.

［3］張春合，陸征軍，李九虎，等.數(shù)字化變電站的保護配置方案和應用［J］.電力自動化設備，2011，31（6）：122-125.ZHANG Chunhe，LU Zhengjun，LI Jiuhu，et al.Protection configuration scheme and application in digital substation［J］.Electric Power Automation Equipment，2011，31（6）：122-125.

［4］戴志輝，李芷筠，焦彥軍，等.基于BP神經(jīng)網(wǎng)絡的小樣本失效數(shù)據(jù)下繼電保護可靠性評估［J］.電力自動化設備，2014，34（11）：129-134.DAI Zhihui，LI Zhijun，JIAO Yanjun，et al.Reliability assessment based on BP neural network for relay protection system with a few failure data samples［J］.Electric Power Automation Equipment，2014，34（11）：129-134.

［5］徐志超，李曉明，楊玲君，等.數(shù)字化變電站系統(tǒng)可靠性評估與分析［J］. 電力系統(tǒng)自動化，2012，36（5）：67-71.XU Zhichao，LI Xiaoming，YANG Lingjun，et al.Reliability assessment and analysis on digital substation system［J］.Automation of Electric Power Systems，2012，36（5）：67-71.

［6］王剛，丁茂生，李曉華，等.數(shù)字繼電保護裝置可靠性研究［J］.中國電機工程學報，2004，24（7）：47-52.WANG Gang，DING Maosheng，LIXiaohua，etal.Reliability analysis of digital protection［J］.Proceedings of the CSEE，2004，24（7）：47-52.

［7］戴志輝，王增平，焦彥軍.基于動態(tài)故障樹與蒙特卡羅仿真的保護系統(tǒng)動態(tài)可靠性評估［J］. 中國電機工程學報，2011，31（19）：105-113.DAI Zhihui，WANG Zengping，JIAO Yanjun.Dynamic reliability assessment of protection system based on dynamic fault tree and Monte Carlo simulation［J］.Proceedings of the CSEE，2011，31（19）：105-113.

［8］戴志輝，王增平，焦彥軍，等.階段式保護原理性失效風險的概率評估方法［J］. 電工技術學報，2012，27（6）：175-182.DAI Zhihui，WANG Zengping，JIAO Yanjun，et al.Probabilistic assessment method for failure risk of stepped protection philosophy［J］.Transactions of China Electrotechnical Society，2012，27（6）：175-182.

［9］郭創(chuàng)新，俞斌，郭嘉，等.基于IEC61850的變電站自動化系統(tǒng)安全風險評估［J］. 中國電機工程學報，2014，34（4）：685-694.GUO Chuangxin，YU Bin，GUO Jia，et al.Security risk assessment of the IEC61850-based substaion automation system ［J］.Proceedings of the CSEE，2014，34（4）：685-694.

［10］徐荊州，李揚.基于GO法的復雜配電系統(tǒng)可靠性評估［J］.電工技術學報，2007，22（1）：149-153.XU Jingzhou，LI Yang.Reliability assessment of complex distribution system using GO method［J］.Transactions of China Electrotechnical Society，2007，22（1）：149-153.

［11］沈祖培，黃祥瑞.GO法原理及應用：一種系統(tǒng)可靠性分析方法［M］.北京：清華大學出版社，2004.

［12］王超，高鵬，徐政，等.GO法在繼電保護可靠性評估中的初步應用［J］. 電力系統(tǒng)自動化，2007，31（24）：52-56.WANG Chao，GAO Peng，XU Zheng，et al.Application of GO methodology in reliability assessment of protective relays［J］.Automation of Electric Power Systems，2007，31（24）：52-56.

［13］WINTER K.Formalising behaviour trees with CSP［J］.Integrated Formal Methods，2004，2999：148-167.

［14］COLVIN R J，HAYES I J.A semantics for behavior trees using CSP with specification commands［J］.Journal Science of Computer Programming，2011，76（10）：891-914.

［15］WANG Zhiliang，YIN Xia，JING Chuanming.A formal method to real-time protocol interoperability testing［J］.Science in China Series F：Information Sciences，2008（51）：1723-1744.

［16］SUN J，LIU Y，DONG J S，et al.Verifying stateful timed CSP using implicit clocks and zone abstraction［C］∥Proceedings of the 11th International Conference on Formal Engineering Methods：Formal Methods and SoftwareEngineering.Berlin，Germany：Springer-Verlag，2009：581-600.

［17］SWIGART J.Omni-Bot：building flexible AI for enemy territory and multiplayer action games［EB /OL］. （2010-10-22）［2013-07-12］.http：∥aigamedev.com /plus /interview /omnibot-enemyterritory.

［18］LINDSAY P A，WINTER，K，YATAPANAGE N.Safety assessment using behavior trees and model checking［C］∥2010 8th IEEE International Conference on Software Engineering and Formal Methods（SEFM）. ［S.l.］：IEEE，2010：181-190.

［19］熊海軍，朱永利，張凡，等.基于行為樹的IEC61850智能電子設備互操作性描述與驗證［J］. 電力系統(tǒng)自動化，2013，37（24）：66-71.XIONG Haijun，ZHU Yongli，ZHANG Fan，et al.Formal specification and verification of IEC61850 IED interoperability based on behavior tree［J］.Automation of Electric Power Systems，2013，37（24）：66-71.

［20］熊海軍，王曉輝，朱永利，等.IEC61850智能電子設備交互實時性建模與驗證［J］. 電力系統(tǒng)自動化，2014，38（19）：90-95.XIONG Haijun，WANG Xiaohui，ZHU Yongli，et al.A specification and verification method of real-time interoperability for IEC61850 IED［J］.Automation of Electric Power Systems，2014，38（19）：90-95.