(陜西科技大學(xué)電氣與信息工程學(xué)院，陜西 西安 710021)

0 引言

工業(yè)控制系統(tǒng)是自動(dòng)化技術(shù)、計(jì)算機(jī)技術(shù)、網(wǎng)絡(luò)通信技術(shù)和傳感器技術(shù)相結(jié)合的產(chǎn)物，已被廣泛應(yīng)用于諸如石油、化工、電力、冶金等各種工業(yè)生產(chǎn)領(lǐng)域。隨著工業(yè)控制系統(tǒng)的不斷完善，工業(yè)控制器隨之不斷發(fā)展，但同時(shí)也面臨著一系列新的挑戰(zhàn)和問(wèn)題。

工業(yè)控制器作為工業(yè)控制系統(tǒng)的核心部件，它的可靠性直接決定了整個(gè)控制系統(tǒng)的穩(wěn)定、可靠和安全。由于工業(yè)控制器的軟硬件隨機(jī)失效導(dǎo)致的系統(tǒng)失效以及維護(hù)過(guò)程中因誤操作造成的設(shè)備故障，給工業(yè)生產(chǎn)現(xiàn)場(chǎng)造成了嚴(yán)重的生產(chǎn)事故，高溫、高壓、易燃易爆等因素還會(huì)造成嚴(yán)重的人身傷害和財(cái)產(chǎn)損失。如何有效提升工業(yè)控制器的可靠性已經(jīng)成為工業(yè)控制系統(tǒng)設(shè)計(jì)中的關(guān)鍵問(wèn)題。

自動(dòng)控制系統(tǒng)的安全性和可靠性已成為衡量系統(tǒng)是否完善的重要指標(biāo)。一個(gè)安全可靠的控制系統(tǒng)所帶來(lái)的經(jīng)濟(jì)效益不僅體現(xiàn)在減少停機(jī)時(shí)間、提高產(chǎn)品質(zhì)量、減少維修成本、降低投資風(fēng)險(xiǎn)等方面，還體現(xiàn)在維修的調(diào)度性等。因此，本文以多路控制器為對(duì)象，建立馬爾科夫模型。該模型為該控制器及系統(tǒng)的維修與測(cè)試提供了有效的依據(jù)[1]。

1 多路控制器的特點(diǎn)

本文安全評(píng)估的對(duì)象是以嵌入式系統(tǒng)為基礎(chǔ)，以ARM為內(nèi)核的遠(yuǎn)程且通用的多路控制器，在控制過(guò)程中，運(yùn)用典型的PID算法，對(duì)被控參數(shù)進(jìn)行調(diào)節(jié)。多路控制器具有實(shí)時(shí)記錄數(shù)據(jù)和報(bào)錯(cuò)預(yù)警的功能。

多路控制器的主要特點(diǎn)有：①能實(shí)現(xiàn)友好、操作便捷的用戶圖形界面；②能實(shí)現(xiàn)控制器的實(shí)時(shí)性、快速性和準(zhǔn)確性；③加入擴(kuò)展接口，方便用戶根據(jù)需求對(duì)內(nèi)存的擴(kuò)展；④運(yùn)用以太網(wǎng)通信電路，能實(shí)現(xiàn)控制器的通信能力；⑤在輸入輸出上能實(shí)現(xiàn)通用的多路控制[2-4]。

多路控制器應(yīng)使用不同參數(shù)的傳感器去測(cè)量和獲取模擬量。例如運(yùn)用最常見(jiàn)的溫度傳感器來(lái)測(cè)量獲取被控對(duì)象的溫度參數(shù)。本文后續(xù)將以測(cè)量溫度參數(shù)為例，對(duì)該控制器系統(tǒng)建立馬爾可夫模型，并對(duì)其安全性和可靠性進(jìn)行評(píng)估[5]。

2 安全與可靠性評(píng)估

現(xiàn)如今，工業(yè)控制器的功能越來(lái)越復(fù)雜，性能也越來(lái)越高，同時(shí)對(duì)微處理器和存儲(chǔ)器等復(fù)雜電子器件的依賴程度也越來(lái)越強(qiáng)，多數(shù)工業(yè)控制器都是復(fù)雜電子系統(tǒng)，屬于軟硬件相結(jié)合的電子系統(tǒng)。這類(lèi)電子系統(tǒng)的一個(gè)特點(diǎn)是存在較為復(fù)雜的硬件隨機(jī)失效。這種隨機(jī)失效可能是由于電子器件引起的，也可能是由于生產(chǎn)過(guò)程所造成的，它的出現(xiàn)會(huì)導(dǎo)致工業(yè)控制器的控制功能受到嚴(yán)重影響甚至失效，從而影響系統(tǒng)整體功能和性能，甚至影響生產(chǎn)安全。

除了硬件隨機(jī)失效可能導(dǎo)致的工業(yè)控制器故障之外，由于復(fù)雜功能和高性能設(shè)計(jì)所帶來(lái)的其他類(lèi)型的不可避免的系統(tǒng)失效，也必須考慮到工業(yè)控制器的可靠性和安全性設(shè)計(jì)中。所謂的系統(tǒng)失效是由于設(shè)計(jì)及實(shí)現(xiàn)上的缺陷和考慮不周所導(dǎo)致的，例如硬件設(shè)計(jì)缺陷、軟件機(jī)制漏洞或程序缺陷。雖然系統(tǒng)失效理論上能夠通過(guò)嚴(yán)格的開(kāi)發(fā)設(shè)計(jì)流程和設(shè)計(jì)實(shí)現(xiàn)經(jīng)驗(yàn)來(lái)消除，但在實(shí)際工業(yè)控制系統(tǒng)中是不可能做到100%消除的。因此，如果得到某系統(tǒng)的穩(wěn)態(tài)可用率或計(jì)算出一個(gè)系統(tǒng)處于失效狀態(tài)的平均概率，就可依照獲得的數(shù)據(jù)來(lái)提高設(shè)備或系統(tǒng)的安全性、可靠性[6]。

2.1 軟硬件失效

多路控制器系統(tǒng)的失效可分為三種，一種是由硬件造成的，稱(chēng)之為硬件失效；第二種是由軟件造成的，稱(chēng)之為軟件失效；最后一種為人為失效[6]。軟件失效不同于其他類(lèi)型的系統(tǒng)失效，該失效是軟件設(shè)計(jì)人員在不經(jīng)意間“設(shè)計(jì)”到系統(tǒng)的。由于軟件本身不會(huì)磨損，因此不存在不能被發(fā)現(xiàn)的重復(fù)性錯(cuò)誤，也不存在潛在的制造缺陷。這種情況使得部分人認(rèn)為軟件失效不能通過(guò)統(tǒng)計(jì)的方法來(lái)進(jìn)行建模。他們認(rèn)為系統(tǒng)完全是確定性的，而不是隨機(jī)的。這種觀點(diǎn)是正確的，但是卻忽略了計(jì)算機(jī)實(shí)際運(yùn)行情況。實(shí)際上，輸入序列的數(shù)目是非常巨大的，并且是符合統(tǒng)計(jì)原理的。我們發(fā)現(xiàn)，當(dāng)有大量輸入序列“進(jìn)入”系統(tǒng)時(shí)，有些系統(tǒng)將會(huì)發(fā)生故障[7]。

綜上所述，對(duì)軟件失效舉例說(shuō)明。工程師將新的控制邏輯裝入PLC，系統(tǒng)安裝了模擬量輸入模件。輸入該模擬量模件的正常信號(hào)是由電位器給定的1～4 V的信號(hào)，電位器是用來(lái)測(cè)量機(jī)械位移的。啟動(dòng)時(shí)，系統(tǒng)運(yùn)行正常，所有其他的測(cè)試也都全部通過(guò)。幾個(gè)月后，該機(jī)械不能正常停止，電位器的電刷超出了它的正常使用范圍，PLC停止工作。即PLC軟件發(fā)生故障，失效信息定義為“除以0”。

在工業(yè)控制過(guò)程中，對(duì)于硬件失效即物理(隨機(jī))失效，舉一簡(jiǎn)單例子說(shuō)明。由單板控制器模件構(gòu)成的系統(tǒng)，如果發(fā)展故障，則控制器輸出中斷并且不再給電磁閥提供電流，在這種情況下，通過(guò)控制器診斷，發(fā)現(xiàn)了一個(gè)失效的輸出晶體管部件。將輸出晶體管拆開(kāi)，檢查后發(fā)現(xiàn)它不能導(dǎo)通，即晶體管發(fā)生開(kāi)路故障而導(dǎo)致系統(tǒng)不能正常工作，這種系統(tǒng)失效叫做硬件失效[7]。

硬件失效和軟件失效對(duì)于控制系統(tǒng)安全性和可靠性的分析都具有重要性。我們需要通過(guò)失效信息來(lái)幫助決策如何避免發(fā)生失效或在失效前給予維修。

對(duì)于前文所述的軟件失效，其失效分析如表1所示。

表1 軟件失效分析表

在工業(yè)領(lǐng)域，大多數(shù)系統(tǒng)都是可維修系統(tǒng)。維修就需要花時(shí)間，簡(jiǎn)單的可靠性網(wǎng)絡(luò)建模方法不能直接計(jì)算維修時(shí)間。概率方法可以提供維修時(shí)間的近似解，但是它只能在低失效率和短維修時(shí)間的條件下才能獲得誤差比較小的結(jié)果。對(duì)于失效率和維修時(shí)間大范圍變化的情形，對(duì)可維修系統(tǒng)失效性能的建模需要采用另外一種方法，即建立馬爾科夫模型[8]。這種方法必須考慮實(shí)際的維修時(shí)間、不同的系統(tǒng)配置等因素。

2.2 馬爾科夫模型

馬爾可夫模型是一種通過(guò)采用狀態(tài)圖，對(duì)可靠性和安全性進(jìn)行建模的方法[8]，其狀態(tài)圖僅使用兩個(gè)簡(jiǎn)單的符號(hào)。雖然圖形簡(jiǎn)單，但與其他的可靠性和安全性評(píng)估技術(shù)相比，馬爾科夫模型提供了一套完整的評(píng)估工具。馬爾可夫模型中的基本符號(hào)如圖1所示。

圖1 馬爾可夫模型符號(hào)

圖1(a)表示正常的工作部件與發(fā)生失效的部件組合狀態(tài)符號(hào)，圖1(b)表示由一種狀態(tài)向另一種狀態(tài)轉(zhuǎn)換。模型特點(diǎn)是多數(shù)失效模式可以表示在一幅圖上。

馬爾可夫模型可以在一幅圖上表示容錯(cuò)系統(tǒng)的各種工作狀態(tài)，其示意圖如圖2所示。如果模型建立得很完整，那么它將表達(dá)系統(tǒng)的全部正常狀態(tài)。同時(shí)馬爾可夫模型也表示系統(tǒng)的各種降級(jí)狀態(tài)，此時(shí)系統(tǒng)還可以正常工作，但是不能再進(jìn)一步失效了。

圖2 馬爾可夫模型工作狀態(tài)示意圖

圖2中，λi表示部件的瞬時(shí)失效率，即部件由一個(gè)狀態(tài)轉(zhuǎn)移到下一個(gè)狀態(tài)的失效轉(zhuǎn)換；μi表示維修率。

2.3 求解馬爾可夫模型

馬爾可夫建模技術(shù)包括：定義系統(tǒng)中全部成功/失效狀態(tài)。這些狀態(tài)由帶有編號(hào)的圓來(lái)表示。系統(tǒng)由一種狀態(tài)向另一狀態(tài)轉(zhuǎn)換，狀態(tài)之間的轉(zhuǎn)換用箭頭轉(zhuǎn)移弧表示，并標(biāo)注相關(guān)的失效率[6]。如對(duì)于單個(gè)不可維修部件來(lái)說(shuō)，有0和1這2個(gè)狀態(tài)，在狀態(tài)0，部件正常工作；在狀態(tài)1，部件發(fā)生失效，失效率為λ。單個(gè)不可維修部件模型如圖3所示。

圖3 單個(gè)不可維修部件模型

本文以多路控制器為對(duì)象，以控制溫度過(guò)程中監(jiān)測(cè)被控對(duì)象的溫度參數(shù)為例，條件為：每10 min測(cè)量一次溫度，測(cè)量100次則會(huì)產(chǎn)生一次失效，平均維修時(shí)間為20 min。該過(guò)程適合于馬爾可夫離散時(shí)間模型，時(shí)間間隔選為10 min，一共需要2個(gè)狀態(tài)，狀態(tài)0表示正常工作，狀態(tài)1表示失效。系統(tǒng)起始于狀態(tài)0，即正常工作狀態(tài)。由狀態(tài)0開(kāi)始，系統(tǒng)在每個(gè)時(shí)間間隔內(nèi)有2種狀態(tài)：穩(wěn)定在狀態(tài)0或移動(dòng)至狀態(tài)1。系統(tǒng)有1%的概率由狀態(tài)0轉(zhuǎn)移到狀態(tài)1。對(duì)于每個(gè)時(shí)間間隔，系統(tǒng)不是移動(dòng)到新的狀態(tài)就是停留在當(dāng)前的狀態(tài)，這2種概率和為1，因此，系統(tǒng)停留在狀態(tài)0的概率是99%(1-0.01=0.99)。一旦系統(tǒng)失效，那么系統(tǒng)則可能停留在狀態(tài)1(還沒(méi)有修好)，或移動(dòng)到狀態(tài)0(已經(jīng)修好)，因此，在任何時(shí)間間隔內(nèi)，由狀態(tài)1移動(dòng)到狀態(tài)0的概率為0.5(10 min時(shí)間間隔、20 min維修時(shí)間)，則系統(tǒng)停留在狀態(tài)1的概率即為1-0.5=0.5。馬爾可夫模型如圖4所示。

圖4 馬爾可夫模型

馬爾可夫模型可以用概率矩陣的形式來(lái)表達(dá)，即用一個(gè)n×n維矩陣(n為狀態(tài)數(shù))來(lái)表示各個(gè)概率，定義為隨機(jī)轉(zhuǎn)移概率矩陣(轉(zhuǎn)移矩陣)，記為P。

由上述分析可得轉(zhuǎn)移矩陣P的表達(dá)式為：

(1)

矩陣的每一行每一列均代表其中的一種狀態(tài)，如果存在更多的狀態(tài)，則可用更多的行和列來(lái)表示。位于某行某列的數(shù)字表示為由某行代表的狀態(tài)到某列代表的狀態(tài)的轉(zhuǎn)移概率。

針對(duì)圖4所示馬爾可夫模型，對(duì)式(1)解釋如下：第一行第一列的數(shù)字(0.99)，代表下一個(gè)時(shí)間段由狀態(tài)0轉(zhuǎn)移到狀態(tài)0(即停留在狀態(tài)0)的概率；第一行第二列的數(shù)字(0.01)，代表下一個(gè)時(shí)間間隔內(nèi)由狀態(tài)0到狀態(tài)1的轉(zhuǎn)移概率；第二行第一列數(shù)字(0.5)代表下一個(gè)時(shí)間間隔內(nèi)由狀態(tài)1到狀態(tài)0的轉(zhuǎn)移概率；第二行第二列的數(shù)字(0.5)代表下一個(gè)時(shí)間間隔內(nèi)由狀態(tài)1到狀態(tài)1的轉(zhuǎn)移概率。

在控制系統(tǒng)中，人們最關(guān)心系統(tǒng)預(yù)計(jì)的停機(jī)時(shí)間。以本文之前提出的多路控制器為例，則問(wèn)題就轉(zhuǎn)化為“求解系統(tǒng)在狀態(tài)1時(shí)的平均概率”。求解系統(tǒng)在狀態(tài)1的平均概率，即求解系統(tǒng)的不可用率。由于在同一個(gè)系統(tǒng)中，可用率和不可用率是一對(duì)互斥事件，因此求得系統(tǒng)的可用率就可得到其不可用率。

求解穩(wěn)態(tài)可用率有以下3種方法。

① 樹(shù)型圖

樹(shù)型圖即畫(huà)出像樹(shù)杈的直觀圖，其簡(jiǎn)圖如圖5所示。先運(yùn)用概率規(guī)則把每個(gè)狀態(tài)發(fā)生的概率進(jìn)行計(jì)算標(biāo)注，再根據(jù)路徑方向把標(biāo)注的概率依此相乘，得到每條路徑的獨(dú)立概率。要得到每一種狀態(tài)在該時(shí)態(tài)之后的總概率，則把給定狀態(tài)下的所有路徑概率相加即可。列出不同時(shí)間段的狀態(tài)概率，在圖中尋找狀態(tài)1的概率，然后把得到的概率相加，就可求得停機(jī)時(shí)間(即不可用率)。在任何時(shí)間段，所有狀態(tài)概率之和為1，運(yùn)用這一原理可以檢驗(yàn)計(jì)算過(guò)程是否出錯(cuò)。這種樹(shù)型圖方法計(jì)算繁瑣，容易出錯(cuò)，不適用于實(shí)際規(guī)模的馬爾可夫模型求解。

圖5 樹(shù)型圖簡(jiǎn)圖

② 計(jì)算穩(wěn)態(tài)概率

轉(zhuǎn)移矩陣P(n×n維矩陣)表示在一個(gè)時(shí)間段內(nèi)由一種狀態(tài)轉(zhuǎn)移到另一種狀態(tài)的概率。這個(gè)矩陣可以與自身相乘，而得到多個(gè)時(shí)間段的轉(zhuǎn)移概率。

計(jì)算過(guò)程中，當(dāng)P做平方運(yùn)算時(shí)，其結(jié)果為一個(gè)n×n維矩陣。2步狀態(tài)之間的轉(zhuǎn)換概率可表示為：

如果上述結(jié)果矩陣左乘以P，就可以獲得3步狀態(tài)之間的轉(zhuǎn)移概率，即：

(2)

這個(gè)過(guò)程一直繼續(xù)到獲得n步概率轉(zhuǎn)移矩陣，在不斷相乘后，得到的每一步之間的變化會(huì)越來(lái)越小，如18步狀態(tài)之間轉(zhuǎn)移概率為：

(3)

由式(3)可以得到：P18=P17,即P17+1=P17。最后到達(dá)Pn+1=Pn，矩陣中的數(shù)值不再變化。記不再隨時(shí)間段而變化的矩陣為PL，該矩陣被稱(chēng)為“極限狀態(tài)概率”矩陣。此時(shí)極限狀態(tài)概率矩陣的上行和下行都是相同的數(shù)，即第n步進(jìn)入狀態(tài)0的概率是相等的，表示該方法計(jì)算時(shí)與起始狀態(tài)無(wú)關(guān)。但是，實(shí)際起始狀態(tài)仍會(huì)影響時(shí)變概率。采用第三種方法可以很好地解決上述問(wèn)題。

③ 代數(shù)關(guān)系直接求解

起始狀態(tài)概率是以行矩陣表示的(1×n矩陣)。這個(gè)行矩陣是一個(gè)數(shù)值表，它表示了系統(tǒng)處于每一個(gè)狀態(tài)的概率。設(shè)S0為起始概率表(即第0時(shí)間段)。如果一個(gè)系統(tǒng)總是起始于一個(gè)特定的狀態(tài)，那么S0就會(huì)有一個(gè)元素為1，而其余的元素為0。

以多路控制器為對(duì)象，以檢測(cè)溫度為例，得出：系統(tǒng)總是起始于狀態(tài)0。因此，起始概率S0=[1 0]，對(duì)于任何特定時(shí)間段的狀態(tài)矩陣Sn，可以通過(guò)Sn-1乘以P或S0乘以Pn-1得到。

通過(guò)大量的計(jì)算驗(yàn)證了以上結(jié)論的正確性，且當(dāng)Sn+1乘以P等于Sn時(shí)，即達(dá)到極限狀態(tài)概率(記為SL)。所以，可用代數(shù)關(guān)系直接求解。

當(dāng)極限狀態(tài)概率存在時(shí)，有：

(4)

如果對(duì)式(4)做矩陣乘，得到代數(shù)關(guān)系為：

(5)

由式(5)得到：

(6)

又因?yàn)樵谕粋€(gè)系統(tǒng)內(nèi)出現(xiàn)的兩個(gè)狀態(tài)為互斥事件，所以有：

(7)

結(jié)合式(6)和式(7)得到：

(8)

最后得到結(jié)果為：

(9)

3 結(jié)束語(yǔ)

本文簡(jiǎn)述了ARM多路控制器的特點(diǎn)，并且以該

控制器監(jiān)測(cè)溫度為實(shí)例，建立馬爾可夫模型，分別運(yùn)用3種不同的極限概率(即穩(wěn)態(tài)概率)計(jì)算方法求解馬爾可夫模型。經(jīng)過(guò)對(duì)比得出，直接代數(shù)法是最快并且最符合實(shí)際(誤差最小)的求解方法。

在可維修系統(tǒng)中，隨著時(shí)間段的增加，概率值的變化越來(lái)越小，最終概率值逐漸到達(dá)穩(wěn)態(tài)。此時(shí)就可以得到系統(tǒng)的穩(wěn)態(tài)可用率，該穩(wěn)態(tài)可用率為日后維修和檢測(cè)提供了安全保證[9]。目前，在系統(tǒng)設(shè)計(jì)時(shí)，為了得到最優(yōu)方案，必須綜合考慮設(shè)計(jì)約束條件，控制系統(tǒng)的安全性和可靠性是重要的設(shè)計(jì)約束條件；在優(yōu)化過(guò)程中，則需要考慮安全性和可靠性的量化指標(biāo)和定量評(píng)估方法，通過(guò)馬爾科夫模型的建立與求解該模型，則可定性地分析系統(tǒng)的安全性與可靠性。相信有了統(tǒng)一的控制系統(tǒng)[10-12]設(shè)計(jì)的安全性和可靠性參數(shù)，就能真正實(shí)現(xiàn)對(duì)控制系統(tǒng)安全、可靠的設(shè)計(jì)。

[1] 陳高翔,馮冬芹.安全儀表系統(tǒng)硬件失效概率的評(píng)估方法[C]//第八屆工業(yè)儀表與自動(dòng)化學(xué)術(shù)會(huì)議集(上),2007.

[2] 田澤.嵌入式系統(tǒng)開(kāi)發(fā)與應(yīng)用[M].北京：北京航空航天大學(xué)出版社，2005：208-619.

[3] 程韜波，曾敏，呂小青，等.磨具多路溫度控制器的研制與分析[J].機(jī)電產(chǎn)品開(kāi)發(fā)與創(chuàng)新，2004，17(5)：81-83.

[4] 史健芳.智能儀器設(shè)計(jì)基礎(chǔ)[M].北京：電子工業(yè)出版社，2012：216-278.

[5] 周昕，林軼翚，崔遠(yuǎn)智.基于實(shí)時(shí)控制的多路溫度檢測(cè)系統(tǒng)[J].控制系統(tǒng)，2004，20(8)：64-71.

[6] 劉志勇.工業(yè)控制器可靠性若干問(wèn)題的研究與開(kāi)發(fā)[D].杭州：浙江大學(xué)，2012.

[7] 胡慧芳，沈元隆.硬軟件交互的可靠性建模及應(yīng)用[J].微型機(jī)與應(yīng)用，2011，30(5)：64-66.

[8] Goble W M.控制系統(tǒng)的安全評(píng)估與可靠性[M].北京：中國(guó)電力出版社，2008：95-239.

[9] 林瀾，馬堅(jiān)勇.智能儀表中運(yùn)用抗干擾措施的體會(huì)[J].自動(dòng)化與儀表，2004(5)：23-27.

[10]馬中梅，馬廣云，徐英慧，等.ARM嵌入式處理器結(jié)構(gòu)與應(yīng)用基礎(chǔ)[M].北京：北京航空航天大學(xué)出版社，2002：60-89.

[11]劉建昌,于紅磊,辛紅，等.S7-00/400 PLC工業(yè)網(wǎng)絡(luò)通信技術(shù)指南[M].北京：機(jī)械工業(yè)出版社，2009.

[12]王嘯東.PLC 控制系統(tǒng)設(shè)計(jì)方法解析[J].自動(dòng)化與儀器儀表，2011(1):43-48.