劉捷

摘要：在許多工業(yè)系統(tǒng)中，冗余系統(tǒng)和冗余設(shè)備被廣泛地采用來保證工業(yè)過程的安全性，但是共因失效的發(fā)生卻顯著地降低了冗余設(shè)計所帶來的好處。為了改善這種情況，許多定性的原則被提出來以達到降低共因失效率的目的，然而這些定性的原則卻沒有經(jīng)過定量的檢驗。對于系統(tǒng)的安全來說，如何評判設(shè)計的改變對共因失效的影響是非常重要的。將利用stress-strength 模型，模擬冗余系統(tǒng)的失效情況，通過β因子模型計算出共因失效率，對定性原則進行定量檢驗，同時，對共因失效率的降低進行定量評估。

關(guān)鍵詞：冗余系統(tǒng)；共因失效；stress-strength仿真模型

中圖分類號：TB

文獻標識碼：A

文章編號：16723198（2015）12019603

1 引言

共因失效就是由于冗余組件互相關(guān)聯(lián)的錯誤而導致的系統(tǒng)可靠性的降低。也就是說，一個單一的壓力，有可能造成兩個或更多個冗余組件的錯誤。比如：高溫可以使至少三個冗余設(shè)備失敗，一個電子“浪涌”可以造成多個冗余I/O模塊的失敗。因此，共因失效能夠顯著地降低和否定冗余系統(tǒng)的效果，大量研究和數(shù)據(jù)都顯示了共因失效對系統(tǒng)可靠性和安全性的影響。

但是，共因失效對系統(tǒng)可靠性影響的程度大小，目前還沒有達成共識。有的學者認為只有不到2%，因此可以忽略它對系統(tǒng)可靠性的影響，而有的學者認為這個比例要高一些，大概可達到5%-10%。據(jù)對可靠性數(shù)據(jù)的分析，共因失效所造成的系統(tǒng)失效比例甚至達到了11%-14%，這說明共因失效對系統(tǒng)可靠性的影響是非常嚴重的，必須予以重視。

2 stress-strength模型

2.1 單一單元系統(tǒng)失效的stress-strength模型

Brombacher 提出了單一單元系統(tǒng)失效的stress-strength模型，他認為當刺激源所造成的壓力超過了設(shè)備靈敏度，就會發(fā)生系統(tǒng)失效。靈敏度相當于設(shè)備的強度。設(shè)備的強度越大，可以承受的壓力就越大，反之亦然。刺激源可能是電子的，如電壓、電流、電磁等；可能是機械的，如震動、搖晃；可能是物理的，如溫度和濕度；也可能是化學的，如腐蝕性空氣；還有可能是人為的，如操作和維護錯誤等。

刺激源是一個隨機變量，具有概率密度函數(shù)的特性（pdfs）。刺激源的隨機變化主要是由于設(shè)備的操作模式，生產(chǎn)單元之間的變化和環(huán)境變量等原因引起的。圖1所示，左邊是壓力的pdf，通過一個標準正態(tài)曲線來代表刺激源的密度函數(shù)，并不是所有的刺激源都表現(xiàn)出類似的統(tǒng)計學特性，但是基本是類似的。設(shè)備強度也是一個隨機變量，因為在生產(chǎn)過程中，設(shè)備是變化的，因此也可以用一個密度函數(shù)來表示，圖1的右邊的曲線代表強度的密度函數(shù)，同樣我們也假設(shè)它是服從標準正態(tài)分布的。

根據(jù)可靠性stress-strength原理，當壓力大于強度時，失效就會發(fā)生。一個設(shè)計比較好的系統(tǒng)，在一般情況下，強度總是大于壓力的。顯然，如果壓力密度曲線和強度曲線出現(xiàn)重疊，壓力就有可能超過強度，就會發(fā)生系統(tǒng)失效，重疊的越多，失效的概率也就越大。

2.2 多單元冗余系統(tǒng)失效的壓力—強度模型

在一個多單元冗余系統(tǒng)中，如果壓力超過兩個或兩個以上單元的強度，冗余系統(tǒng)就可能發(fā)生共因失效。如圖2所示，下面我們以一個雙單元冗余系統(tǒng)為例來考慮承受相同壓力的情況，兩個單元在某一個特定的時刻都具有特定的強度值，當壓力水平同時大于兩個單元的強度時，就有可能造成共因失效。

3 共因失效防護原則

從上面兩個模型中，可以看出壓力（如溫度、濕度、電子和人為錯誤）會產(chǎn)生共因失效，主要不同在于，多單元冗余系統(tǒng)的失效大多是耦合的，耦合因子的概念被用來描述這種情況。針對共因失效的防護原則可以歸納為以下三個：降低共同的壓力，增加設(shè)計的差異性和提高設(shè)計的強度。

3.1 減少共同壓力發(fā)生的概率

控制柜中松散的接線柱會在I/O導體中產(chǎn)生一定的電阻，這些電阻會產(chǎn)生一定的熱量。

假設(shè)在一個控制柜冗余系統(tǒng)中安裝了兩塊微處理器卡，隨著溫度的升高，有可能造成數(shù)字指示的精確計時超過了限度，兩個微處理器就同時失效了，進而導致整個系統(tǒng)失效，這是典型的由于共同壓力所造成的失效。

經(jīng)常利用降低兩個冗余單元暴露在同樣壓力的機會來降低共因失效，當冗余單元被物理地分開時，就會出現(xiàn)更少的耦合和共同的壓力，大多數(shù)物理地壓力因子是物理距離的非線性函數(shù)，如果冗余單元距離太近，物理和電子壓力幾乎是相同的，耦合就容易達到最大化。

具有冗余設(shè)備的可編程電子系統(tǒng)被物理地分開，這樣就會減少環(huán)境的影響，因此我們可以將冗余設(shè)備安裝到不同的控制柜里。

3.2 冗余單元設(shè)計的差異性

第二個共因失效防護原則就是差異性，差異性指的是在一個冗余系統(tǒng)中，不同的單元被放在一起使用，目的是不同的單元對待共同的壓力時，會產(chǎn)生不同的反應，也就是說不同的單元由于設(shè)計和制造的不同，會對同樣的壓力具有不同強度，這樣耦合就被降低了。

這項技術(shù)無論是在硬件還是在軟件方面都被檢驗是可以有效地降低共因失效的，但同時，它也不可能完全消除所有的共因失效，此外，也產(chǎn)生了了許多新的問題，如同步性、校正性和數(shù)據(jù)的匹配等問題。

對于來自環(huán)境的刺激源來說，不同設(shè)計技術(shù)的冗余組件會增加抵抗共因的強度，因為不同的設(shè)計對共因的反應是不同的。例如，一個機械冗余單元和一個電子冗余單元，是差異性較好的使用，另外，選擇不同生產(chǎn)商的冗余組件也會降低共因失效的概率。

3.3 冗余組件設(shè)計的具有更高的強度

帶有冗余控制塊的控制器被安裝在現(xiàn)場，以降低布線成本，控制塊的電路板被封裝在塑料套里以抵御潮濕和腐蝕。在極端炎熱的天氣里，腐蝕性氣體從容器中泄漏出來，通過管道通風口進入控制柜中，控制塊可以抵御腐蝕，繼續(xù)工作，但是控制柜中的幾個其他配件在幾個小時內(nèi)失效了，這樣共因失效就有可能在冗余控制器中發(fā)生。

可以通過提高冗余組件的強度，降低系統(tǒng)的共因失效率。具有較強的抵御外界壓力的設(shè)計技術(shù)，例如抗熱性、塑封的電路板、堅硬的模塊表面和安全的機械連接等都會提高組件的強度，如果一個模塊很少因為外界壓力而失效，那么它也不太可能出現(xiàn)共因失效的情況。因此增加設(shè)計的強度，就會降低共因失效率。

4 共因模型：β因子模型

共因失效有幾種建模技術(shù)，其中較為常用的為β因子模型，它將每一個組件的失敗率分為共因（兩個及兩個以上單元失效）和標準（單一單元失效）兩種情況。β因子被用來區(qū)分這兩種情況。

盡管β因子模型相對來說比較容易理解和使用，但是它不能分辨一個共同壓力下兩個、三個或更多的錯誤，這種要求對于兩重系統(tǒng)的冗余系統(tǒng)來說也許是不必要的，但是對于一個三重系統(tǒng)的冗余系統(tǒng)來說，就需要分辨是兩個還是三個系統(tǒng)同時失效。

其他的建模方法，如：ɑ因子模型和擴展β因子模型都可以用來描述冗余系統(tǒng)的兩個或三個失效單元，因為β模型比較常用，因此我們的研究工作主要使用了擴展β模型。

5 共因失效的仿真

5.1 失效率仿真

在仿真過程中，遵循下面的原理：當壓力大于強度時，失效就會發(fā)生；如果壓力和強度的密度函數(shù)已知，則失效的概率就確定了。與時間有關(guān)的失效率可以通過Monte Carlo仿真來實現(xiàn)。

5.2 共因失效的壓力——強度特點

在共因失效模型中，可以用β因子的特點開展壓力——強度失效率仿真，為了達到這個目的，我們利用服從正態(tài)分布的一個固定的壓力密度函數(shù)和強度密度函數(shù)做一系列仿真。在有關(guān)于壓力的特定數(shù)據(jù)缺失的前提下，正態(tài)壓力密度函數(shù)參數(shù)任意地設(shè)置平均值為0，標準差為1。對每一次仿真，兩個或三個冗余單元每一個都被指定了一個特定的強度水平，該水平是從強度密度函數(shù)上隨機選取的。這種利用不同的強度水平來開展仿真的方法，可以適用生產(chǎn)運行過程中的制造過程。失效時間計時器在每一次開始記錄生產(chǎn)時間時都先設(shè)置為0。

第一個系列的仿真是隨機地選取一個壓力水平，然后將冗余測試單元的強度與這個壓力相比較，如果壓力大于強度，那么就記錄一次失效，如果沒有失效發(fā)生，時間計數(shù)就會增加，同時測試重復直到失效發(fā)生（或者達到計數(shù)的最大值）。每一個單元的“失效時間”被記錄下來，這些失效的時間就被用來估計全部的失效率。

在某些仿真中，只有冗余系統(tǒng)中的一個單元失效，這并不是共因失效，只有隨著時間的增加，超過一個以上的單元失效，這才是共因失效。分析顯示兩個或三個單元同時失效的次數(shù)非常多的，這種情況有助于計算β因子，對于不同的強度概率密度函數(shù)，仿真可以重復地進行。

第二個系列的仿真遵循相同的過程，但是每一個單元服從于一個獨立的隨機壓力水平，這代表最好的情況，利用分離的原則來降低耦合。兩組數(shù)據(jù)的對比顯示通過物理的和電子的隔離來降低耦合的價值。

5.3 仿真結(jié)論

法則1：共同壓力與獨立壓力。

對于給定的壓力-強度參數(shù)，在第一組仿真中，冗余系統(tǒng)都服從于一個共同的壓力，這表示冗余單元都被物理地安裝在很近的位置（也就是說具有很強的耦合性）。在第二組仿真中，冗余單元承受不同的壓力，但是服從同樣的壓力密度函數(shù)，這表示冗余系統(tǒng)并沒有發(fā)生物理或電子耦合。這兩組不同的仿真提供了法則1效果的上限和下限。

總之，當隨機壓力是獨立的時候，共因失效的概率就可以顯著地降低。盡管我們已經(jīng)認識到在一個實際的容錯系統(tǒng)中完全的壓力水平獨立是不可能的，但是結(jié)論顯示這個法則所帶來的效果。

法則2：冗余組件相對強度的差異性。

共因β因子與強度的變化緊密關(guān)聯(lián)，尤其在極端的情況下，更是表現(xiàn)出來。如果冗余系統(tǒng)的所有單元具有相同的強度，就會同時失效，同樣β因子也再現(xiàn)出來，當然這種情況不現(xiàn)實，但是它隱含了相同性能的單元將更容易發(fā)生共因失效。這一點證實了法則2“設(shè)計差異性對抗共因失效”。因為差異性是有效的，因此冗余系統(tǒng)必須具有對給定壓力不同的強度。

法則3：共因與相對失效率。

結(jié)論同樣也顯示了失效率和β因子之間關(guān)系，較低的失效率，就有較低的β因子，這證明了法則3“增加強度可以減少所有的失效”。較高的強度，就有較低的失效率和較低的共因失效機會。

6 結(jié)論

仿真結(jié)果證實了共因失效的三條法則，同時證實可以通過減少共因失效來提高可靠性。結(jié)果表明冗余系統(tǒng)的物理性隔離對降低共因失效具有顯著的好處，差異性可以提供一些益處，但是比較難以實施和測量實施效果，較高的組件強度可以降低共因失效率。