賀偉超，馬吉強(qiáng)，龍 威（北京廣利核系統(tǒng)工程有限公司，北京 100094）

1 引言

冗余技術(shù)作為提高系統(tǒng)可靠性非常重要的一種手段，越來越被現(xiàn)代工業(yè)的設(shè)計(jì)者們所采用，它在現(xiàn)代工業(yè)生產(chǎn)中扮演越來越重要的角色，尤其是在重要工業(yè)生產(chǎn)線上承擔(dān)神經(jīng)大腦的數(shù)字控制系統(tǒng)更是大量采用冗余設(shè)計(jì)的理念，比如核電站儀控系統(tǒng)就大量采用了冗余設(shè)計(jì)的方法來提高系統(tǒng)可靠性。本文從冗余方法、冗余機(jī)理、和與它相關(guān)聯(lián)的技術(shù)及在實(shí)際中的工程應(yīng)用來闡述數(shù)字儀控系統(tǒng)的冗余設(shè)計(jì)。

2 冗余技術(shù)應(yīng)用

系統(tǒng)的冗余一般都是通過設(shè)備并聯(lián)來實(shí)現(xiàn)的，比如N取P系統(tǒng)中的二取一冗余方法、三取二冗余方法、四取二冗余方法、二取二方法、五取四方法等。每種冗余方法的基本機(jī)理都是通過設(shè)備并聯(lián)并輔以相應(yīng)的決策機(jī)制來完成冗余設(shè)計(jì)的，高冗余機(jī)制在其中有設(shè)備發(fā)生故障時(shí)，可以降級(jí)到低冗余機(jī)制運(yùn)行，比如：四取二冗余方法當(dāng)出現(xiàn)兩個(gè)設(shè)備同時(shí)故障時(shí)，可以降級(jí)到二取二方法運(yùn)行。下面介紹一下具體冗余方法在實(shí)際工程中的一些應(yīng)用：

? 控制器冗余

控制器是整個(gè)數(shù)字儀控系統(tǒng)的核心，絕大多數(shù)的控制任務(wù)都由它來完成，控制器冗余配置后，一對控制器按照主從二取一冗余模式運(yùn)行，在工作模式下，主機(jī)承擔(dān)系統(tǒng)的控制命令的發(fā)出，從機(jī)則處于熱備狀態(tài)，在執(zhí)行對主機(jī)診斷、監(jiān)視任務(wù)時(shí)，實(shí)時(shí)同步系統(tǒng)的運(yùn)行數(shù)據(jù)，在主機(jī)功能異常的情況下，接替主機(jī)，成為系統(tǒng)任務(wù)的發(fā)出者。在考慮主從機(jī)切換時(shí)，必須實(shí)現(xiàn)主從無擾切換，從而保持系統(tǒng)工藝運(yùn)行的平穩(wěn)性。

在具體實(shí)現(xiàn)控制器冗余時(shí)，有的平臺(tái)系統(tǒng)是以從機(jī)定時(shí)拷貝主機(jī)運(yùn)行數(shù)據(jù)的方式運(yùn)行，有的系統(tǒng)通過主從機(jī)自然同步的方法（即通過主從控制器上冗余的通信接口各自同時(shí)獲取同一信息源相同的信息）實(shí)現(xiàn)從機(jī)對系統(tǒng)信息的獲取，無論采用哪種方法，都要保證主從機(jī)切換對系統(tǒng)的影響滿足現(xiàn)場工藝無擾切換要求。采用主從機(jī)自然同步機(jī)制，系統(tǒng)的無擾能力會(huì)更好。

主從控制器在自然同步過程中必然會(huì)面臨主從數(shù)據(jù)可能不一致的問題，一旦差異產(chǎn)生，數(shù)據(jù)很難消除，所以當(dāng)系統(tǒng)發(fā)現(xiàn)主從數(shù)據(jù)有不一致時(shí)必須有機(jī)制保障主從機(jī)數(shù)據(jù)的一致性，通常采用數(shù)據(jù)強(qiáng)制的方法，可采用初始化全盤賦值或者在運(yùn)行的每個(gè)周期對重要變量進(jìn)行比較賦值的方法來保障主從機(jī)數(shù)據(jù)的一致性。

? 數(shù)據(jù)服務(wù)器冗余

數(shù)據(jù)服務(wù)器作為系統(tǒng)數(shù)據(jù)的核心及數(shù)據(jù)鏈路的橋梁，它的健康狀況直接影響系統(tǒng)的正常運(yùn)行。在單層網(wǎng)系統(tǒng)中，數(shù)據(jù)服務(wù)器為系統(tǒng)提供數(shù)據(jù)查詢服務(wù)，當(dāng)數(shù)據(jù)服務(wù)器工作異常時(shí)，會(huì)導(dǎo)致上位機(jī)相關(guān)的數(shù)據(jù)查詢統(tǒng)計(jì)工作失效。在雙層網(wǎng)絡(luò)中，數(shù)據(jù)服務(wù)器承擔(dān)著更為重要的工作，比如輸入輸出轉(zhuǎn)換、歷史數(shù)據(jù)存儲(chǔ)、趨勢、報(bào)警、日志查詢服務(wù)、特殊運(yùn)行復(fù)雜工藝數(shù)據(jù)的統(tǒng)計(jì)計(jì)算等任務(wù)，數(shù)據(jù)站的工作異常，直接會(huì)導(dǎo)致上位機(jī)操作故障，系統(tǒng)只能依賴下位機(jī)控制器的自主判斷及連鎖保護(hù)，系統(tǒng)的運(yùn)行是非常危險(xiǎn)的。所以在重要的儀控系統(tǒng)中，必須為儀控系統(tǒng)提供冗余的數(shù)據(jù)源，保證系統(tǒng)整體數(shù)據(jù)鏈路的正常工作，一般儀控系統(tǒng)采用二取一冗余方法運(yùn)行。

一般系統(tǒng)配置兩臺(tái)數(shù)據(jù)站，在系統(tǒng)規(guī)模較大、計(jì)算處理任務(wù)較多時(shí)系統(tǒng)需要配置多于兩臺(tái)的數(shù)據(jù)站，分別具體處理特殊的交換任務(wù)。如歷史數(shù)據(jù)站、打印服務(wù)站、計(jì)算服務(wù)站、輸入輸出轉(zhuǎn)換服務(wù)站等。為了進(jìn)一步增加數(shù)據(jù)站的可靠性，每臺(tái)數(shù)據(jù)站本身還需要配置冗余的電源模塊、磁盤陣列、冗余風(fēng)扇、冗余網(wǎng)卡等設(shè)備。當(dāng)主數(shù)據(jù)站故障時(shí)系統(tǒng)可以無擾的切換到輔助數(shù)據(jù)站進(jìn)行正常運(yùn)行。

? 電源冗余

電源作為儀控系統(tǒng)的能量來源，它的可靠性直接決定了儀控系統(tǒng)的可靠度，所以必須保障電源系統(tǒng)能夠安全、可靠、長期、穩(wěn)定的運(yùn)行。在儀控系統(tǒng)的設(shè)計(jì)中，經(jīng)常采用多組電源模塊組成冗余電路對系統(tǒng)進(jìn)行供電，比如采用二取一冗余方法的1+1型、N+1型等供電設(shè)計(jì)。當(dāng)某一組或幾組電源出現(xiàn)故障無法正常工作時(shí)，則由其他熱備電源進(jìn)行供電。因此，在對控制系統(tǒng)進(jìn)行電源冗余設(shè)計(jì)時(shí)，必須根據(jù)所用電源的功率、可靠性以及系統(tǒng)所規(guī)定的最短平均無故障時(shí)間等參數(shù)來考慮電源的搭配設(shè)計(jì)。

典型電源組合示意圖如圖1、圖2所示。

圖1 1+1型

圖2 N+1型

? 網(wǎng)絡(luò)冗余

數(shù)字儀控系統(tǒng)的各個(gè)組成部分包括主控制器、網(wǎng)關(guān)、網(wǎng)絡(luò)連接模件、輸入輸出模件，它們之間的通信都是通過網(wǎng)絡(luò)通訊的方式來實(shí)現(xiàn)，如DCS（FCS）系統(tǒng)的設(shè)計(jì)極大的發(fā)揮了現(xiàn)代通訊技術(shù)的優(yōu)勢，極大的提升了現(xiàn)代工業(yè)的制造能力，所以網(wǎng)絡(luò)作為數(shù)字儀控系統(tǒng)的核心部件之一，它的可靠性是非常重要的。數(shù)字儀控系統(tǒng)的通訊技術(shù)中大量植入了冗余的設(shè)計(jì)理念，一般通過雙網(wǎng)進(jìn)行通訊，一條網(wǎng)絡(luò)的缺失不會(huì)影響到系統(tǒng)本身的功能運(yùn)行，給在線維修工作帶來了可能，并能保障生產(chǎn)系統(tǒng)的連續(xù)運(yùn)行，其中各層的網(wǎng)絡(luò)設(shè)備通過冗余配置的交換機(jī)進(jìn)行鏈路通訊連接。

在工控行業(yè)中，根據(jù)各自技術(shù)的特點(diǎn)采用的網(wǎng)絡(luò)結(jié)構(gòu)也不同，有把儀控系統(tǒng)網(wǎng)絡(luò)分成三層網(wǎng)運(yùn)行的：控制器到輸入輸出模塊級(jí)網(wǎng)絡(luò)、控制器到數(shù)據(jù)服務(wù)器網(wǎng)絡(luò)、數(shù)據(jù)服務(wù)器到操作員站網(wǎng)絡(luò)；有把儀控系統(tǒng)網(wǎng)絡(luò)分成兩層網(wǎng)運(yùn)行的：控制器到輸入輸出模塊級(jí)網(wǎng)絡(luò)、控制器到數(shù)據(jù)站/操作站網(wǎng)絡(luò)，雖然具體網(wǎng)絡(luò)形態(tài)不同，但網(wǎng)絡(luò)都采用了冗余的設(shè)計(jì)理念。

在正常運(yùn)行時(shí)，系統(tǒng)能夠?qū)νㄓ嵕W(wǎng)絡(luò)狀態(tài)進(jìn)行檢測，并選擇其中一條作為工作數(shù)據(jù)鏈路，另一條備用。當(dāng)某工作鏈路出現(xiàn)故障時(shí)，系統(tǒng)能夠自動(dòng)的判斷并無擾的將通信任務(wù)切換到另一條鏈路上以保障通訊的正常進(jìn)行，同時(shí)給出網(wǎng)絡(luò)狀態(tài)提示信息。

典型的網(wǎng)絡(luò)結(jié)構(gòu)如圖3、圖4所示。

? 散熱設(shè)備冗余

儀控系統(tǒng)工作時(shí)需要考慮環(huán)境溫度的因素，周圍環(huán)境溫度太高會(huì)影響系統(tǒng)的穩(wěn)定性，當(dāng)系統(tǒng)自然通風(fēng)不能滿足系統(tǒng)環(huán)境溫度要求時(shí)，需要設(shè)計(jì)系統(tǒng)為強(qiáng)制通風(fēng)散熱。在重要的儀控系統(tǒng)中采用冗余的散熱設(shè)備，比如采用二取一冗余方法的1+1散熱風(fēng)扇設(shè)計(jì)，保障在其中一臺(tái)風(fēng)扇故障時(shí)，另外一臺(tái)風(fēng)扇單獨(dú)工作也能保持儀控系統(tǒng)溫度場的穩(wěn)定性。

? 操作站、工程師站冗余

系統(tǒng)配置多臺(tái)相同功能的操作員站及工程師站，各個(gè)操作員站在正常工作時(shí)按照工藝系統(tǒng)進(jìn)行分工，當(dāng)出現(xiàn)操作員站故障時(shí)，可以使用其他操作員站接替故障操作員站的工作，保證操作員站工作的正常進(jìn)行，同時(shí)所有的工程師站作為操作員站的備份，當(dāng)出現(xiàn)所有操作員站故障時(shí)，工程師站可以接替操作員站進(jìn)行操作執(zhí)行。

圖3 兩層網(wǎng)絡(luò)結(jié)構(gòu)

圖4 三層網(wǎng)絡(luò)結(jié)構(gòu)

3 冗余方法的失效概率分析

（1）并聯(lián)系統(tǒng)的正常工作概率分析

兩個(gè)部件分別為A和B，假設(shè)部件的失效模式是完全獨(dú)立的，如果A或B正常工作，系統(tǒng)就會(huì)正常工作，只有當(dāng)A和B同時(shí)失效時(shí)，系統(tǒng)才能失效。

圖5 并聯(lián)系統(tǒng)

RA設(shè)備A正常工作的概率；

FA設(shè)備A失效的概率；

RB設(shè)備B正常工作的概率；

FA設(shè)備B失效的概率；

RS系統(tǒng)正常工作的概率；

FS系統(tǒng)失效的概率。

系統(tǒng)正常工作的概率：

RS= RA+RB- RA.RB

系統(tǒng)失效率：

FS=FA.FB

把并聯(lián)系統(tǒng)擴(kuò)展到N個(gè)具有獨(dú)立失效模式的設(shè)備并聯(lián)，可以計(jì)算出系統(tǒng)的失效概率：

FS=F1.F2¨¨¨FN

系統(tǒng)正常工作的概率：

RS= 1- FS

（2）幾種實(shí)用并聯(lián)冗余方法的機(jī)理失效模式分析

? 二取一冗余方法

假設(shè)兩個(gè)設(shè)備完全相同，二取一冗余方法的正常工作概率為：

系統(tǒng)失效率：

FS=1- RS

系統(tǒng)正常工作的概率、系統(tǒng)失效率具體計(jì)算：

假設(shè)設(shè)備A、B的正常工作概率都為0.98

RS=2*0.98-0.928=0.9996

FS=1-0.9996=0.0004

典型的正邏輯算法如圖6所示。

圖6 二取一冗余正邏輯算法

典型的繼電器電路如圖7所示。

圖7 二取一冗余繼電器電路

? 三取二冗余方法

假設(shè)三個(gè)設(shè)備完全相同，三取二冗余方法的正常工作概率為：

系統(tǒng)失效率：

FS=1- RS

系統(tǒng)正常工作的概率、系統(tǒng)失效率具體計(jì)算：

假設(shè)設(shè)備A、B、C的正常工作概率都為0.98

RS=3*0.928-3*0.948+0.968=0.999937900864

FS=1-0.999937900864=0.000062099136

典型的正邏輯算法如圖8所示。

圖8 三取二冗余正邏輯算法

典型的繼電器電路如圖9所示。

圖9 三取二冗余繼電器電路

? 四取二冗余方法

假設(shè)四個(gè)設(shè)備完全相同，四取二冗余方法的正常工作概率為：

系統(tǒng)失效率：

FS=1- RS

系統(tǒng)正常工作的概率、系統(tǒng)失效率具體計(jì)算：

假設(shè)設(shè)備A、B、C、D的正常工作概率都為0.98

RS=6*0.928-15*0.948+20*0.968-15*0.988+6*0.9108-0.9128=0.99999999614

FS=1-0.99999999614=0.00000000386

典型的正邏輯算法如圖10所示。

圖10 四取二冗余正邏輯算法

典型的繼電器電路如圖11所示。

圖11 四取二冗余繼電器電路

? 二取二方法

假設(shè)兩個(gè)設(shè)備完全相同，系統(tǒng)正常工作的概率：

系統(tǒng)失效率：

FS=1- RS

系統(tǒng)正常工作的概率、系統(tǒng)失效率具體計(jì)算：

假設(shè)設(shè)備A、B的正常工作概率都為0.98

RS=0.928= 0.9604

FS=1- 0.9604=0.0396

典型的正邏輯算法如圖12所示。

圖12 二取二正邏輯算法

典型的繼電器電路如圖13所示。

圖13 二取二繼電器電路

? 五取四冗余方法

假設(shè)五個(gè)設(shè)備完全相同，五取四冗余方法的正常工作概率為：

系統(tǒng)失效率：

FS=1- RS

系統(tǒng)正常工作的概率、系統(tǒng)失效率具體計(jì)算：

假設(shè)設(shè)備A、B、C、D、E的正常工作概率都為0.98

RS=3*0.948-3*0.988+0.9128=0.99953213598

FS=1-0.99953213598=0.00046786402

典型的正邏輯算法如圖14所示。

圖14 五取四正邏輯算法

典型的繼電器電路如圖15所示。

圖15 五取四繼電器電路

（3）幾種實(shí)用并聯(lián)冗余方法的機(jī)理失效模式比較冗余方法正常工作概率曲線圖如圖16所示。

圖16 正常工作概率曲線圖

從圖16中可以看出，系統(tǒng)正常工作概率依次從二取一、三取二、四取二開始逐漸提高，但當(dāng)系統(tǒng)增加到五取四冗余時(shí)，系統(tǒng)的可靠性反而下降。當(dāng)系統(tǒng)從四取二冗余降級(jí)到二取二時(shí)，系統(tǒng)的可靠性有一個(gè)顯著的下降，實(shí)際此時(shí)系統(tǒng)已經(jīng)不是嚴(yán)格意義上的冗余工作模式運(yùn)行。所以如何選擇冗余方法，必須結(jié)合實(shí)際的系統(tǒng)可靠性要求，根據(jù)冗余方法的機(jī)理及實(shí)際系統(tǒng)的復(fù)雜度要求綜合考慮冗余方法的取用。

4 可靠性設(shè)計(jì)中的其他技術(shù)

在此處簡單介紹一下數(shù)字儀控系統(tǒng)可靠性設(shè)計(jì)中經(jīng)常采用的一些技術(shù)，方便讀者了解冗余性技術(shù)與其他可靠性保障技術(shù)的關(guān)系。

? 容錯(cuò)技術(shù)

容錯(cuò)技術(shù)就是當(dāng)由于種種原因在系統(tǒng)中出現(xiàn)了數(shù)據(jù)、文件損壞或丟失時(shí)，系統(tǒng)能夠自動(dòng)將這些損壞或丟失的文件和數(shù)據(jù)恢復(fù)到發(fā)生事故以前的狀態(tài)，使系統(tǒng)能夠連續(xù)正常運(yùn)行的一種技術(shù)。比如服務(wù)器磁盤存儲(chǔ)陣列中的RAID5、通訊校驗(yàn)中使用的CRC算法等。

? 故障診斷

利用各種檢查、測試、驗(yàn)證、判斷方法，發(fā)現(xiàn)系統(tǒng)和設(shè)備是否存在故障的過程是故障診斷。冗余技術(shù)必須依賴準(zhǔn)確的故障診斷機(jī)制才能真正發(fā)揮作用，就像醫(yī)生給病人看病一樣，醫(yī)生的診病過程就是數(shù)字儀控系統(tǒng)的故障診斷的過程，只有看準(zhǔn)了病因，才能對癥下藥。在故障診斷后，及時(shí)由帶病單元切換為健康單元工作，并給出系統(tǒng)提示報(bào)警，及時(shí)進(jìn)入在線更換維護(hù)流程，保持現(xiàn)場工藝機(jī)組的健康、長期、穩(wěn)定運(yùn)行。良好的診斷機(jī)制是在充分考慮現(xiàn)場控制設(shè)備、工藝安全運(yùn)行的基礎(chǔ)上得來的，有時(shí)儀控系統(tǒng)本身的設(shè)備安全往往和現(xiàn)場工藝設(shè)備的故障處理相矛盾，到底是先保設(shè)備還是先保工藝安全，需要綜合評(píng)價(jià)，最終找到一個(gè)平衡點(diǎn)，一般現(xiàn)在的儀控系統(tǒng)平臺(tái)都提供給了工程人員一定的手段去調(diào)整兩種情況的選擇。

? 降額

數(shù)字儀控系統(tǒng)的設(shè)備一般都為電氣設(shè)備，這些電氣設(shè)備又都是由一些電子元器件有機(jī)的組合而成，它們都有一定的使用條件，這些使用條件是以元器件的某些額定參數(shù)值來表示的。實(shí)踐證明，當(dāng)元器件的工作條件低于額定值時(shí)，其工作比較穩(wěn)定，發(fā)生故障的機(jī)會(huì)也比較少。所以為了提高可靠性，往往將元器件降額使用。降額的幅度要從可靠性和經(jīng)濟(jì)性兩方面綜合考慮，因?yàn)樵骷念~定參數(shù)越高，價(jià)格也越高，所以要結(jié)合實(shí)際系統(tǒng)應(yīng)用場合，進(jìn)行合理的器件降額使用。降額技術(shù)的合理采用，可有效地減少系統(tǒng)對于冗余性的依賴，在同樣冗余設(shè)計(jì)能力下，可有效的提高系統(tǒng)的整體可靠度。

? 后備盤設(shè)備

后備盤設(shè)計(jì)本身也是一種冗余的理念設(shè)計(jì)，設(shè)計(jì)者對重要設(shè)備或控制回路可以采用手動(dòng)后備的方法來提高整個(gè)系統(tǒng)的可靠性。一旦主設(shè)備操作失靈，可以切換到后備裝置控制生產(chǎn)過程。具體的后備設(shè)備可以由純電氣操作盤組成，也可以由獨(dú)立的數(shù)字系統(tǒng)組成，如核電數(shù)字儀控系統(tǒng)中：提供緊急停堆后備盤，來應(yīng)對處理反應(yīng)堆緊急狀態(tài)下的停堆操作。

? 系統(tǒng)故障輸出保持鎖定

當(dāng)系統(tǒng)關(guān)鍵設(shè)備損壞（包含冗余設(shè)備）時(shí)，根據(jù)現(xiàn)場工藝系統(tǒng)設(shè)備安全位的要求，儀控系統(tǒng)通過輸出卡件故障保持安全輸出的方式來為現(xiàn)場工藝運(yùn)行增加一道安全保護(hù)，把因?yàn)閮x控系統(tǒng)本身故障造成的損失減少到最小。

? 電氣輔助回路保護(hù)

儀控系統(tǒng)指令信號(hào)的執(zhí)行一般都是通過電氣輔助回路進(jìn)行轉(zhuǎn)換控制的，當(dāng)儀控系統(tǒng)本身故障，失去相關(guān)機(jī)能時(shí)，可以通過電氣輔助回路保護(hù)回路的設(shè)計(jì)進(jìn)一步減小故障造成的設(shè)備、工藝運(yùn)行的損失，達(dá)到系統(tǒng)整體安全性的更優(yōu)化。

? 耐環(huán)境設(shè)計(jì)技術(shù)

在系統(tǒng)硬件的設(shè)計(jì)上，需要充分考慮各種環(huán)境因素的影響，采用適當(dāng)?shù)睦鋮s、抗震、防塵、防腐等技術(shù)措施，以提高系統(tǒng)抵御外部環(huán)境侵襲的能力。如核電儀控系統(tǒng)中不同安全等級(jí)的儀控設(shè)備對抗震、防塵的要求都不同，設(shè)計(jì)者必須根據(jù)實(shí)際核安全要求，定制進(jìn)行抗震、防塵、防腐設(shè)計(jì)，保障核電儀控系統(tǒng)的可靠性。

? 信號(hào)隔離

在機(jī)組信號(hào)通道分配時(shí)，注意機(jī)組重要信號(hào)的隔離，使同一設(shè)備的重要信號(hào)不在同一模件上配置。同時(shí)系統(tǒng)采用繼電器隔離的方式來實(shí)現(xiàn)模塊通道與現(xiàn)場全部隔離的要求，使現(xiàn)場的故障最大限度的與控制裝置本身隔離。隔離的技術(shù)從深層次上還是冗余設(shè)計(jì)的思想，保障系統(tǒng)關(guān)鍵部件在損壞的情況下，對系統(tǒng)造成的影響最小。

5 結(jié)論

數(shù)字儀控系統(tǒng)冗余設(shè)計(jì)策略作為一種被動(dòng)的可靠性保障技術(shù)已經(jīng)廣泛的應(yīng)用到了我們實(shí)際的生產(chǎn)生活之中，從圖16中的數(shù)據(jù)可以得出，過于復(fù)雜的冗余設(shè)計(jì)并不一定能夠取得滿意的效果，隨著系統(tǒng)復(fù)雜性的提高，導(dǎo)致系統(tǒng)失效的故障也將隨之增多，系統(tǒng)反而可靠性下降，所以一套冗余系統(tǒng)是否可靠，必須結(jié)合生產(chǎn)工藝的實(shí)際情況進(jìn)行設(shè)計(jì)，如核電廠中安全級(jí)儀控系統(tǒng)，儀控系統(tǒng)的冗余機(jī)制必須實(shí)際結(jié)合核安全保護(hù)系統(tǒng)實(shí)際的工藝需求進(jìn)行量身定制（包含硬件、軟件），這樣才能夠真正保障核電站的可靠穩(wěn)定運(yùn)行。

[1] 威廉?戈布爾, 白焰(譯), 董玲(譯), 楊國田(譯). 控制系統(tǒng)的安全評(píng)估與可靠性[M]. 中國電力出版社. 2008.

[2] 黃文君, 余建祥, 馮冬芹, 褚健. 控制系統(tǒng)的冗余策略和實(shí)現(xiàn)準(zhǔn)則[J]. 儀器儀表學(xué)報(bào).2004, 8.

[3] GB/T13626-2008, 單一故障準(zhǔn)則應(yīng)用于核電廠安全系統(tǒng)[S].

[4] 田仲, 石君友. 系統(tǒng)測試性設(shè)計(jì)分析與驗(yàn)證[M]. 北京航空航天大學(xué)出版社. 2003, 4,1.