李杰，沈銳

（山東航天電子技術(shù)研究所，煙臺(tái) 264003）

概 述

空間計(jì)算機(jī)系統(tǒng)能否長(zhǎng)時(shí)間穩(wěn)定可靠地工作，對(duì)深空探測(cè)任務(wù)的成敗起著關(guān)鍵作用。提升空間計(jì)算機(jī)系統(tǒng)可靠性的主要途徑之一，是采用恰當(dāng)?shù)娜蒎e(cuò)策略和系統(tǒng)架構(gòu)，利用冗余資源來(lái)屏蔽故障對(duì)系統(tǒng)的影響，使系統(tǒng)正常發(fā)揮作用[1]。隨著計(jì)算技術(shù)的發(fā)展，空間計(jì)算機(jī)冗余從原來(lái)常見(jiàn)的雙機(jī)架構(gòu)，發(fā)展出三機(jī)架構(gòu)（Triple Modular Redundancy，TMR）[2]、四機(jī)架構(gòu)[3]等，容錯(cuò)策略上既有采用靜態(tài)的冷備[4]或熱備[5]，也有采用故障模塊修復(fù)后動(dòng)態(tài)重構(gòu)（如動(dòng)態(tài)重構(gòu)TMR[6]）。不同的架構(gòu)和策略各有其特點(diǎn)，可面向不同的應(yīng)用場(chǎng)景。

目前對(duì)空間計(jì)算機(jī)冗余架構(gòu)可靠性的研究主要集中在兩個(gè)方面:①?gòu)睦碚摻嵌冗M(jìn)行新的可靠性模型設(shè)計(jì)和軟硬件容錯(cuò)策略設(shè)計(jì)與分析[7-8]等；②對(duì)空間電子設(shè)備進(jìn)行可靠性預(yù)計(jì)評(píng)估，判斷是否滿(mǎn)足系統(tǒng)可靠性需求，為系統(tǒng)方案提供技術(shù)支撐[9-10]。但近年來(lái)在空間計(jì)算機(jī)架構(gòu)可靠性相互間比較研究這方面相對(duì)比較欠缺。

本文利用馬爾可夫鏈模型分析計(jì)算方法[11-12]，以虛擬的5年任務(wù)為背景，對(duì)6種典型空間計(jì)算機(jī)冗余架構(gòu)可靠性進(jìn)行了比較分析。

1 數(shù)學(xué)模型

1.1 約束條件

僅考慮計(jì)算節(jié)點(diǎn)數(shù)量不超過(guò)4的系統(tǒng)，包括:雙機(jī)冷備、雙機(jī)熱備、TMR、動(dòng)態(tài)重構(gòu)TMR、（2 + 1）三機(jī)、四機(jī)（4-3-2）共6種架構(gòu)。其中，有備份的如雙機(jī)冷備、雙機(jī)熱備、（2 + 1）三機(jī)，只考慮一個(gè)備份。隨著軟硬件容錯(cuò)技術(shù)的發(fā)展，可修復(fù)技術(shù)在高可靠空間電子系統(tǒng)中的應(yīng)用也越來(lái)越多。具有可修復(fù)能力的電子設(shè)備進(jìn)行可靠性分析時(shí)過(guò)程相對(duì)比較復(fù)雜。

本文以動(dòng)態(tài)重構(gòu)TMR作為可修復(fù)設(shè)備的代表進(jìn)行可靠性分析。在各架構(gòu)中，各節(jié)點(diǎn)失效率λ相同且不隨時(shí)間變化，單個(gè)節(jié)點(diǎn)的可靠度p呈指數(shù)分布，即p=e-λt。冷備份激活前可靠度為1，架構(gòu)中切換開(kāi)關(guān)、表決器及節(jié)點(diǎn)間信息交互通道等均認(rèn)為可靠度為1。

1.2 冗余架構(gòu)建模

1.2.1 雙機(jī)冷備

正常狀態(tài)下（S0），沒(méi)有故障節(jié)點(diǎn)，主節(jié)點(diǎn)當(dāng)班，備節(jié)點(diǎn)不加電，認(rèn)為此時(shí)備節(jié)點(diǎn)不會(huì)發(fā)生故障。當(dāng)1個(gè)節(jié)點(diǎn)（主節(jié)點(diǎn)）發(fā)生故障時(shí)（S1），備節(jié)點(diǎn)激活替換主機(jī)當(dāng)班。當(dāng)備節(jié)點(diǎn)再發(fā)生故障時(shí)（S2），系統(tǒng)失效，狀態(tài)轉(zhuǎn)移見(jiàn)圖1。

圖1 雙機(jī)冷備系統(tǒng)狀態(tài)轉(zhuǎn)移圖Fig.1 State transition of dual cold standby systems

建立狀態(tài)微分方程，得到

根據(jù)拉氏變換

初始條件pS0（0）=1，pS1（0）=0，解方程組式（1）可得

再由拉氏反變換得到

可得雙機(jī)冷備系統(tǒng)可靠度為

1.2.2 雙機(jī)熱備

正常狀態(tài)下（S0），主節(jié)點(diǎn)當(dāng)班，備節(jié)點(diǎn)處于加電但非當(dāng)班，沒(méi)有故障節(jié)點(diǎn)。與雙機(jī)冷備不同，此狀態(tài)下備節(jié)點(diǎn)也有發(fā)生故障的可能。當(dāng)2個(gè)節(jié)點(diǎn)中的1個(gè)節(jié)點(diǎn)發(fā)生故障時(shí)（S1），另一節(jié)點(diǎn)繼續(xù)當(dāng)班，當(dāng)2個(gè)節(jié)點(diǎn)都再發(fā)生故障時(shí)（S2），系統(tǒng)失效，狀態(tài)轉(zhuǎn)移見(jiàn)圖2。

圖2 雙機(jī)熱備系統(tǒng)狀態(tài)轉(zhuǎn)移圖Fig.2 State transition of dual hot standby systems

建立狀態(tài)微分方程，得到

根據(jù)拉氏變換

初始條件為ps0（0）=1，ps1（0）=0，解上述方程組式（6）可得

再由拉氏反變換，得

可得雙機(jī)熱備系統(tǒng)可靠度為

1.2.3 TMR

常規(guī)TMR的正常狀態(tài)下（S0），3個(gè)節(jié)點(diǎn)均正常工作，3個(gè)節(jié)點(diǎn)都有發(fā)生故障的可能。當(dāng)3個(gè)節(jié)點(diǎn)中的1個(gè)節(jié)點(diǎn)發(fā)生故障，另2個(gè)節(jié)點(diǎn)正常工作時(shí)（S1），TMR的3取2機(jī)制屏蔽掉故障節(jié)點(diǎn)的影響，系統(tǒng)輸出正確結(jié)果。當(dāng)再次出現(xiàn)1個(gè)節(jié)點(diǎn)或2個(gè)節(jié)點(diǎn)故障（S2）時(shí)，無(wú)法再根據(jù)3取2機(jī)制判斷哪個(gè)節(jié)點(diǎn)故障，系統(tǒng)失效，狀態(tài)轉(zhuǎn)移見(jiàn)圖3。

圖3 TMR系統(tǒng)狀態(tài)轉(zhuǎn)移圖Fig.3 State transition of TMR systems

根據(jù)圖3建立狀態(tài)微分方程，得到

通過(guò)拉氏變換

初始條件為pS0（0）=1，pS1（0）=0，解方程組式（11）可得

再由拉氏變換，得到

可得TMR系統(tǒng)可靠度

1.2.4 動(dòng)態(tài)重構(gòu)TMR

動(dòng)態(tài)重構(gòu)TMR發(fā)生一個(gè)節(jié)點(diǎn)故障時(shí)，系統(tǒng)通過(guò)內(nèi)嵌故障診斷、故障識(shí)別及故障清除等手段讓故障節(jié)點(diǎn)恢復(fù)正常，然后在不影響系統(tǒng)工作情況下，通過(guò)動(dòng)態(tài)重構(gòu)將修復(fù)后的節(jié)點(diǎn)重新接入系統(tǒng)，恢復(fù)到3節(jié)點(diǎn)正常工作狀態(tài)。

正常狀態(tài)下（S0），3個(gè)節(jié)點(diǎn)均無(wú)故障工作。當(dāng)3個(gè)節(jié)點(diǎn)中的1個(gè)節(jié)點(diǎn)發(fā)生故障，另2個(gè)節(jié)點(diǎn)正常工作時(shí)（S1），3取2機(jī)制有效，系統(tǒng)輸出正確結(jié)果。系統(tǒng)以概率μ修復(fù)故障節(jié)點(diǎn)并從S1恢復(fù)到S0狀態(tài)。當(dāng)再次出現(xiàn)1個(gè)節(jié)點(diǎn)或2個(gè)節(jié)點(diǎn)故障（S2）時(shí)，系統(tǒng)失效。狀態(tài)轉(zhuǎn)移見(jiàn)圖4。

圖4 可修復(fù)TMR系統(tǒng)狀態(tài)轉(zhuǎn)移圖Fig.4 State transition of repairable TMR systems

建立狀態(tài)微分方程，得到

通過(guò)拉氏變換，及初始條件pS0（0）=1，pS1（0）=0，解上述方程組式（16）可得

令a、b為方程s2+5λs+μs+6λ2兩個(gè)解，即

將式（19）代入pS0（s）和pS1（s）表達(dá)式，再由反拉氏變換，得

得到可修復(fù)TMR系統(tǒng)可靠度為

1.2.5 （2 + 1）三機(jī)

此處（2 + 1）三機(jī)指1個(gè)雙節(jié)點(diǎn)熱備加上1個(gè)冷備節(jié)點(diǎn)架構(gòu)。當(dāng)熱備雙節(jié)點(diǎn)中的1個(gè)發(fā)生故障時(shí)，系統(tǒng)以（2λΔt）的概率從S0轉(zhuǎn)移到S1，激活冷備節(jié)點(diǎn)，與正常節(jié)點(diǎn)重新構(gòu)成雙機(jī)熱備。其后的行為就如同一個(gè)雙機(jī)熱備架構(gòu)。狀態(tài)變化如圖5所示。

圖5 （2 + 1）三機(jī)系統(tǒng)狀態(tài)轉(zhuǎn)移圖Fig.5 State transition of（2 + 1）triple-unit systems

建立狀態(tài)微分方程，得到

通過(guò)拉氏變換

初始條件為pS0（0）=1，pS1（0）=0，pS2（0）=0，解上述方程組式（22）可得

再由拉氏反變換得到

可得（2 + 1）三機(jī)系統(tǒng)可靠度為

1.2.6 四機(jī)（4-3-2）

四機(jī)（4-3-2）指可降級(jí)的四節(jié)點(diǎn)冗余架構(gòu)。正常狀態(tài)下（S0），系統(tǒng)4個(gè)節(jié)點(diǎn)無(wú)故障工作，此時(shí)系統(tǒng)采取4取3的機(jī)制。當(dāng)有1個(gè)節(jié)點(diǎn)發(fā)生故障時(shí)（S1），系統(tǒng)剩余3個(gè)節(jié)點(diǎn)降級(jí)構(gòu)成1個(gè)TMR，此時(shí)系統(tǒng)是3取2機(jī)制。后續(xù)行為與常規(guī)TMR一樣，出現(xiàn)2個(gè)故障節(jié)點(diǎn)（S2）時(shí)，系統(tǒng)仍能正常輸出。如果出現(xiàn)3個(gè)及以上節(jié)點(diǎn)故障時(shí)（S3），則系統(tǒng)失效。實(shí)際上，四機(jī)（4-3-2）可以等效為1個(gè)TMR+1架構(gòu)，兩者可靠度相同，狀態(tài)轉(zhuǎn)移如圖6所示。

圖6 四機(jī)（4-3-2）系統(tǒng)狀態(tài)轉(zhuǎn)移圖Fig.6 State transition of（4-3-2）quad-unit systems

建立狀態(tài)微分方程，得到

通過(guò)拉氏變換

初始條件設(shè)為pS0（0）=1，pS1（0）=0，pS2（0）=0。

解上述方程組式（27）可得

再由拉氏反變換得到

于是可得四機(jī)（4-3-2）系統(tǒng)可靠度為

2 系統(tǒng)可靠度對(duì)比分析

假設(shè)單節(jié)點(diǎn)失效率λ=10-5/h[13]，動(dòng)態(tài)重構(gòu)TMR修復(fù)率為μ=100λ=10-3/h。根據(jù)公式（1）～（6），計(jì)算不同架構(gòu)的系統(tǒng)可靠度隨時(shí)間變化情況，所得曲線(xiàn)如圖7所示。

圖7 單節(jié)點(diǎn)失效率λ=10-5/h，動(dòng)態(tài)重構(gòu)TMR修復(fù)率為μ=100λ=10-3/h，各架構(gòu)可靠度變化曲線(xiàn)Fig.7 Reliability curves of different architectures.Failure rate of simplex unit is λ=10-5/h.Repair rate of dynamic re-configurable TMR is μ=100λ=10-3/h

5年后（4.38萬(wàn)h）只有雙機(jī)冷備、（2 + 1）三機(jī)和動(dòng)態(tài)重構(gòu)TMR這3種系統(tǒng)的可靠度還處于0.9之上。5年后的系統(tǒng)可靠度最終排序?yàn)閯?dòng)態(tài)重構(gòu)TMR最高（0.975），其次（2 + 1）三機(jī)（0.965），然后是雙機(jī)冷備（0.925），接下來(lái)是雙機(jī)熱備（0.869），四機(jī)（4-3-2）（0.861），最后是TMR（0.701）。其中，（2 + 1）三機(jī)一直高居首位，在3.6萬(wàn)h（約4.1年）后可靠度才低于動(dòng)態(tài)重構(gòu)TMR。在單節(jié)點(diǎn)失效率較低的情況下，冷備節(jié)點(diǎn)對(duì)系統(tǒng)可靠度提高的作用比較明顯。四機(jī)（4-3-2）可靠度一直略高于雙機(jī)熱備，在4.1萬(wàn)h左右（約4.7年）低于雙機(jī)熱備可靠度。

同是TMR基本架構(gòu)，具有單節(jié)點(diǎn)修復(fù)功能的動(dòng)態(tài)重構(gòu)TMR持續(xù)保持比較高的可靠度，而傳統(tǒng)TMR架構(gòu)則是所考察的架構(gòu)中可靠度下降最快的，2.3萬(wàn)h（2.62年）后TMR系統(tǒng)可靠度就降到0.9以下，表明擁有單節(jié)點(diǎn)修復(fù)功能對(duì)提升系統(tǒng)可靠性具有較大作用。

為更清晰地對(duì)架構(gòu)進(jìn)行比較，將節(jié)點(diǎn)失效率提高為λ=10-4/h，修復(fù)率分別取μ=10λ=10-3/h，和μ=100λ=10-2/h，并加入單節(jié)點(diǎn)可靠度變化曲線(xiàn)，如圖8所示。任務(wù)結(jié)束時(shí)，系統(tǒng)可靠度排序與圖7中基本一致。

圖8 單節(jié)點(diǎn)失效率λ=10-4/h，動(dòng)態(tài)重構(gòu)TMR修復(fù)率分別為μ=10λ=10-3/h，和μ=100λ=10-2/h，各架構(gòu)可靠度變化曲線(xiàn)Fig.8 Reliability curves of different architectures.Failure rate of simplex unit is λ=10-4/h.Repair rates of dynamic re-configurable TMR are set toμ=10λ=10-3/h and μ=100λ=10-2/h, respectively.

圖8中，傳統(tǒng)TMR架構(gòu)在經(jīng)過(guò)一段短暫時(shí)間后可靠度變得比單機(jī)還低。根據(jù)TMR及單節(jié)點(diǎn)可靠度表達(dá)式3e-2λt-2e-3λt-e-λt=0，可得兩可靠度曲線(xiàn)的交點(diǎn)為t=ln2/λ≈ 0.7 / 0.000 1=7 000 h處。由方程解表達(dá)式可知，交點(diǎn)位置與λ大小成反比。本算例中，λ的值相對(duì)較大，所以交點(diǎn)位置比較靠前；前一例中，λ數(shù)值相對(duì)小，交點(diǎn)位置超出了任務(wù)時(shí)間范圍。類(lèi)似情況也可從四機(jī)（4-3-2）上看到（大約在1.5萬(wàn)h處），且本例中四機(jī)更快地變得比雙機(jī)熱備可靠度更低。從TMR的架構(gòu)看，在TMR發(fā)生一個(gè)節(jié)點(diǎn)故障后，剩余的兩個(gè)正常節(jié)點(diǎn)雖是并行運(yùn)行著的，但此時(shí)在結(jié)構(gòu)上等效于一個(gè)雙機(jī)串聯(lián)結(jié)構(gòu)；如再發(fā)生一個(gè)節(jié)點(diǎn)故障則整個(gè)系統(tǒng)失效，兩個(gè)節(jié)點(diǎn)的冗余并沒(méi)有給系統(tǒng)可靠性帶來(lái)益處，反而起到了副作用。四機(jī)（4-3-2）相當(dāng)于一個(gè)TMR + 1結(jié)構(gòu)，因有一個(gè)備份，所以低于單節(jié)點(diǎn)可靠度的時(shí)間發(fā)生得晚很多。

具有冷備的架構(gòu)依然占據(jù)一點(diǎn)優(yōu)勢(shì)，但節(jié)點(diǎn)失效率的提高使得本例中的優(yōu)勢(shì)不如前一例中優(yōu)勢(shì)明顯。由圖8可以看到，提高故障節(jié)點(diǎn)修復(fù)率對(duì)提升系統(tǒng)可靠性效果顯著，動(dòng)態(tài)重構(gòu)TMR（μ=0.01）的可靠度一直處于較高水平。圖9中可見(jiàn)，動(dòng)態(tài)重構(gòu)TMR（μ=0.01）的可靠度一直高于雙機(jī)冷備和（2 + 1）三機(jī)，而動(dòng)態(tài)重構(gòu)TMR（μ=0.001）的可靠度在1.5萬(wàn)h后接近2萬(wàn) h處才超過(guò)雙機(jī)冷備和（2 + 1）三機(jī)。5年后，動(dòng)態(tài)重構(gòu)TMR（μ=0.01）與雙機(jī)冷備、（2 + 1）三機(jī)的可靠度差值，均超過(guò)動(dòng)態(tài)重構(gòu)TMR（μ=0.01）相應(yīng)可靠度差值的7倍。

圖9 第二例中具有不同修復(fù)率的動(dòng)態(tài)重構(gòu)TMR分別與雙機(jī)冷備、（2 + 1）三機(jī)可靠度差值變化Fig.9 Difference reliability curves of comparing dynamic re-configurable TMR with different repair rates in the second case with dual cold standby system and（2 + 1）system，respectively

3 結(jié) 論

本文對(duì)6種典型空間計(jì)算機(jī)冗余架構(gòu)建立了馬爾可夫鏈模型，根據(jù)可靠性理論對(duì)各架構(gòu)的可靠性進(jìn)行了計(jì)算、分析和比較。在不考慮開(kāi)關(guān)、表決、通信等影響的情況下，具有冷備的冗余架構(gòu)可靠性占有一定優(yōu)勢(shì)。這表明，如果實(shí)時(shí)性要求不強(qiáng)，從降低成本和系統(tǒng)復(fù)雜度等角度考慮，采用冷備架構(gòu)是一種相對(duì)合理的選擇。TMR架構(gòu)雖具有實(shí)時(shí)性強(qiáng)、發(fā)生一次故障系統(tǒng)工作不間斷等優(yōu)點(diǎn)，但從分析結(jié)果看，常規(guī)TMR架構(gòu)不適合長(zhǎng)時(shí)間任務(wù)（T＞ ln2/λ）。同樣的TMR架構(gòu)，具有了單機(jī)故障修復(fù)能力就可獲得高的系統(tǒng)可靠性，較高的修復(fù)率能使系統(tǒng)可靠性得到大幅提升。這意味著，除了單純追求極低的單機(jī)失效率指標(biāo)外，通過(guò)開(kāi)發(fā)高效的自主故障識(shí)別、診斷和修復(fù)技術(shù)，讓單機(jī)具有較強(qiáng)的從故障中恢復(fù)的能力，也是改善系統(tǒng)可靠性的有效途徑。