油庫(kù)控制系統(tǒng)改造中關(guān)鍵點(diǎn)的設(shè)計(jì)研究

李野

（中國(guó)航發(fā)沈陽(yáng)發(fā)動(dòng)機(jī)研 究所科研保障部，遼寧 沈陽(yáng) 110015）

1 引言

試驗(yàn)基地的供油控制系統(tǒng)，擔(dān)負(fù)著發(fā)動(dòng)機(jī)試驗(yàn)過(guò)程的供油任務(wù)。運(yùn)行過(guò)程中，控制系統(tǒng)要對(duì)供油壓力進(jìn)行連續(xù)的采樣監(jiān)控，反饋的壓力經(jīng)過(guò)PID 運(yùn)算后，輸出信號(hào)到泵組，由此保持油壓的恒定。為了提高動(dòng)力供應(yīng)質(zhì)量、保障設(shè)備可靠運(yùn)行，系統(tǒng)采取了如的冗余措施：三點(diǎn)壓力反饋和雙泵組備份，以保證試驗(yàn)過(guò)程的連續(xù)性。

冗余技術(shù)是保證系統(tǒng)安全和可靠運(yùn)行的主要手段，通常是采用多模冗余的方式。目前，常用的冗余結(jié)構(gòu)主要有雙機(jī)熱備份結(jié)構(gòu)、二乘二取二結(jié)構(gòu)和三取二結(jié)構(gòu)等。IEC61508-1997 推薦了5 種安全系統(tǒng)的結(jié)構(gòu)，并計(jì)算了各種結(jié)構(gòu)的可靠性，三取二結(jié)構(gòu)是其中可靠性最高的一種。因此，實(shí)際控制系統(tǒng)中的油壓反饋采用了三點(diǎn)方式，通過(guò)軟件進(jìn)行三取二表決，以實(shí)現(xiàn)拋棄異常數(shù)據(jù)及故障，而且不影響系統(tǒng)正常運(yùn)行的功能。

三取二是一種三模冗余結(jié)構(gòu)，它的關(guān)鍵是：表決器的設(shè)計(jì)以及表決器如何通過(guò)特定算法來(lái)實(shí)現(xiàn)。本文試圖對(duì)泛泛的煩瑣理論描述如何能夠轉(zhuǎn)化并應(yīng)用于實(shí)際進(jìn)行探討。由于表決器的算法受到數(shù)據(jù)的實(shí)時(shí)同步、運(yùn)算量和運(yùn)算速度等因素制約，如何提出簡(jiǎn)潔實(shí)用的算法是本文關(guān)心和討論的焦點(diǎn)，對(duì)不同算法的安全性和可靠性僅做簡(jiǎn)單評(píng)估。

2 三取二表決的實(shí)現(xiàn)方法

三取二的關(guān)鍵是如何進(jìn)行表決，其實(shí)現(xiàn)方法有兩種：采用針對(duì)系統(tǒng)設(shè)計(jì)專用附加模塊（通過(guò)CPU 或FPGA 模塊）實(shí)現(xiàn)；利用系統(tǒng)自身的CPU 計(jì)算功能實(shí)現(xiàn)。對(duì)于實(shí)時(shí)性要求不嚴(yán)格的大多數(shù)控制系統(tǒng)而言，如果能夠設(shè)計(jì)一個(gè)簡(jiǎn)單合理的算法，系統(tǒng)中的處理器完全有能力來(lái)完成表決功能，相比較采用附加模塊而言，這種方式更加經(jīng)濟(jì)、可靠和靈活。針對(duì)此方法進(jìn)行討論如下：

2.1 三取二表決結(jié)構(gòu)模型

三取二的表決可將其視為一個(gè)軟件系統(tǒng)模塊（以下簡(jiǎn)稱表決模塊），它通常嵌入整個(gè)軟件系統(tǒng)中。表決模塊的輸出是對(duì)輸入信號(hào)進(jìn)行少數(shù)服從多數(shù)的表決結(jié)果，表決是多模冗余安全系統(tǒng)中最主要的功能。

三取二表決結(jié)構(gòu)根據(jù)不同的應(yīng)用要求，可分為多環(huán)節(jié)表決或單環(huán)節(jié)表決。多環(huán)節(jié)表決的結(jié)果其可靠性更高，但對(duì)于算法設(shè)計(jì)、硬件和運(yùn)算速度的要求也高，這種適合安全和穩(wěn)定性要求極高的場(chǎng)合，它可以大幅度提高系統(tǒng)的整體可靠性；反之，單一環(huán)節(jié)的表決結(jié)果可靠性相對(duì)較低，但可以滿足安全性和穩(wěn)定性一般的場(chǎng)合。

三取二表決結(jié)構(gòu)模型如圖1 所示。

圖1 三取二表決結(jié)構(gòu)模型

圖1 是一個(gè)多環(huán)節(jié)分布式三取二表決結(jié)構(gòu)，在多個(gè)環(huán)節(jié)進(jìn)行多點(diǎn)三取二表決。

2.2 三取二表決的數(shù)學(xué)表達(dá)及模型選擇

三取二理論簡(jiǎn)單描述是：當(dāng)且僅當(dāng)兩個(gè)以上的模塊同時(shí)出現(xiàn)故障時(shí)（發(fā)生概率較低）才輸出錯(cuò)誤結(jié)果。這種描述似乎使得多數(shù)人在邏輯上發(fā)生混亂，背離了“三取二”字面的上的含義（有一個(gè)不正確的時(shí)候取兩個(gè)正確的輸出）。三取二表決可用如下三個(gè)數(shù)學(xué)表達(dá)來(lái)描述：

這三個(gè)表達(dá)式代表了三種三取二表決模型的布爾代數(shù)（Boolean algebra）方程。它們均可完成三取二表決。其中A、B 和C 代表三個(gè)輸入變量的狀態(tài)，Y 為輸出結(jié)果；雖然三種不同的三取二表決完成了相同的功能，但是，使用馬爾可夫建模分析其安全性和可靠性時(shí)，所得到的狀態(tài)轉(zhuǎn)移圖（馬爾可夫連）不同，最終獲得的可靠性和安全性的結(jié)果是不一樣的。同時(shí)，它們運(yùn)算的復(fù)雜程度也不同。

參考使用馬爾可夫模型對(duì)系統(tǒng)建模仿真分析的結(jié)果，綜合考慮它們的可靠性和安全性評(píng)估結(jié)果后，最優(yōu)的選擇應(yīng)該使用表達(dá)式（2）對(duì)應(yīng)的模型2；其次，是表達(dá)式（1）對(duì)應(yīng)的模型1；最后是表達(dá)式（3）對(duì)應(yīng)的模型3。

模型1 于模型2 的差別是：模型1 的安全性在理論100小時(shí)前差一些，但此后會(huì)表現(xiàn)出與模型2 相同的可靠性。考慮到模型1 的表達(dá)式中均為相同的邏輯“與”運(yùn)算項(xiàng)，便于編程設(shè)計(jì)和模塊化處理。因此，實(shí)際使用中采用模型1 完成三取二表決，完成壓力信號(hào)的處理和故障判斷。

2.3 可行性論證

2.3.1 表達(dá)式的適應(yīng)性分析

三取二表決的實(shí)現(xiàn)，是建立在布爾狀態(tài)下的。換句話說(shuō)，它們是基于數(shù)字電路來(lái)完成的，其電路原型如圖2 所示，圖2 是表達(dá)式①的電路。

圖2

參考表達(dá)式（1）以及電路原型可以看出：三個(gè)輸入變量狀態(tài)僅有真（True=1）和假（False=0）兩個(gè)狀態(tài)。當(dāng)其中一個(gè)變量的輸入狀態(tài)出現(xiàn)錯(cuò)誤時(shí)，假設(shè)變量C 的狀態(tài)為false，表達(dá)式中僅A·B 項(xiàng)結(jié)果為真（True 或1），另外兩個(gè)分項(xiàng)（B·C）和（A·C）均為假（false 或0）。就是說(shuō)，表達(dá)式（1）的結(jié)果Y 是取用了A 和B 兩項(xiàng)輸出，拋棄了C 項(xiàng)。從電路中也可看出，Y 輸出采用了A 和B，完成了三取二的功能，這正是我們所期望結(jié)果。試想，如果我們不使用電路而是采用軟件方式來(lái)實(shí)現(xiàn)，即在軟件中分別執(zhí)行表達(dá)式（1）中的三個(gè)分項(xiàng)的“與”運(yùn)算，根據(jù)運(yùn)算結(jié)果同樣可判斷各個(gè)輸入變量的真和假的狀態(tài)。

2.3.2 輸入變量狀態(tài)轉(zhuǎn)換的提出

將表達(dá)式（1）應(yīng)用于實(shí)際時(shí)會(huì)遇到一個(gè)限制且需要解決的問(wèn)題是：當(dāng)輸入變量為模擬量時(shí)（而且我們的實(shí)際系統(tǒng)就是模擬量的壓力反饋值），表決模塊無(wú)法判斷該值的真假（或者說(shuō)對(duì)與否），因?yàn)槟M量不是二態(tài)的變量，無(wú)法應(yīng)用于布爾代數(shù)的運(yùn)算。為了實(shí)現(xiàn)對(duì)模擬量進(jìn)行三取二表決，就要將模擬量 形式的輸入變量轉(zhuǎn)換為布爾量，然后，才能根據(jù)表達(dá)式（1）中的描述，分三次對(duì)三個(gè)變量分別做布爾“與”運(yùn)算，得到對(duì)應(yīng)的運(yùn)算結(jié)果；最后根據(jù)運(yùn)算結(jié)果，判定并拋棄失效數(shù)據(jù)。

本文現(xiàn)提出“互為參考標(biāo)準(zhǔn)模式”的方法，將布爾的“與”運(yùn)算過(guò)程，換為數(shù)據(jù)的減法運(yùn)算，間接地將輸入變量為模擬量狀態(tài)轉(zhuǎn)換為布爾狀態(tài)，同時(shí)完成等效的布爾“與”運(yùn)算結(jié)果，最終實(shí)現(xiàn)三取二表決的運(yùn)算。公式如下。

上述公式中，引入了K 判定因子，數(shù)據(jù)的絕對(duì)值與判定因子K 的運(yùn)算結(jié)果，即代表各分項(xiàng)的布爾“與”運(yùn)算結(jié)果。因子K 可以在前也可以在后，視編程方便確定。

當(dāng)運(yùn)算結(jié)果大于0 時(shí)，判定為真（True）；當(dāng)運(yùn)算結(jié)果小于0 時(shí)，判定為假（False）。

若判定因子K 置于絕對(duì)值運(yùn)算后，則做如下更改：當(dāng)運(yùn)算結(jié)果小于0 時(shí)，判定為真（True）；當(dāng)運(yùn)算結(jié)果大于0 時(shí)，判定為假（False）。

運(yùn)算輸出結(jié)果S1、S2和S3分別代表了公式（1）中的A·B、B·C 和A·C 的布爾狀態(tài)。

上面結(jié)果成立的條件是：三個(gè) 反饋單元的動(dòng)態(tài)響應(yīng)速度在規(guī)定的范圍內(nèi)（遠(yuǎn)小于采樣周期）；三個(gè)參數(shù)必須為同步數(shù)據(jù)（同一時(shí)刻測(cè)采樣值）；兩個(gè)以上的反饋單元不會(huì)在同一時(shí)刻均出現(xiàn)故障。

2.3.3 算法分析和驗(yàn)證

依據(jù)公式（4），若A-B 的絕對(duì)值小于K 值時(shí)，S1（Status1）的結(jié)果大于0，S1為真。說(shuō)明A 變量和B 變量的差在允許的范圍內(nèi)，可判定A 和B 正常；反之，當(dāng)它們的差值超過(guò)K 規(guī)定值時(shí)，S1（Status1）的結(jié)果小于0，S1為假，可判定A 或B 的數(shù)據(jù)有一個(gè)異常。當(dāng)S1為假時(shí)，繼續(xù)判斷S2，若S2為真，說(shuō)明A 變量的數(shù)據(jù)不能采用；同樣，依據(jù)公式（5）和（6）可以確認(rèn)狀態(tài)S2和S3的真和假。3 個(gè)狀態(tài)僅有如下組合：

（1）全部為真：3 個(gè)數(shù)據(jù)均可信，反饋單元（變送器）均為正常；

（2）僅其中一個(gè)為真：對(duì)應(yīng)的兩個(gè)數(shù)據(jù)可信，另外一個(gè)反饋單元數(shù)據(jù)不可信；

（3）全部為假：有2 個(gè)數(shù)據(jù)以上不可信，需報(bào)警處理。

2.3.4 數(shù)據(jù)的采用

當(dāng)S1、S2和S3全部為真時(shí)，表決系統(tǒng)可取三個(gè)數(shù)據(jù)的平均值輸出；

當(dāng)S1為真時(shí)，表決系統(tǒng)應(yīng)取A 和B 兩個(gè)數(shù)據(jù)的平均值輸出。C 為故障；

當(dāng)S2為真時(shí)，表決系統(tǒng)應(yīng)取B 和C 兩個(gè)數(shù)據(jù)的平均值輸出。A 為故障；

當(dāng)S3為真時(shí)，鏢局系統(tǒng)應(yīng)取A 和C 兩個(gè)數(shù)據(jù)的平均值輸出。B 為故障。

2.4 算法限制

2.4.1 使用考慮因素

使用本文提出的算法時(shí)，需要考慮如下問(wèn)題：數(shù)據(jù)的同步；數(shù)據(jù)異常的判斷標(biāo)準(zhǔn)；數(shù)據(jù)過(guò)程狀態(tài)（動(dòng)態(tài)過(guò)程還是穩(wěn)態(tài)過(guò)程）。這三個(gè)因素是完成準(zhǔn)確判斷的必要條件。

數(shù)據(jù)同步：三個(gè)數(shù)據(jù)必須是同一時(shí)刻的數(shù)據(jù)。

數(shù)據(jù)異常的標(biāo)準(zhǔn)：取決于K 值的選用。

數(shù)據(jù)過(guò)程狀態(tài)：動(dòng)態(tài)過(guò)程還是穩(wěn)態(tài)過(guò)程。當(dāng)三個(gè)數(shù)據(jù)嚴(yán)格同步時(shí)，適合動(dòng)態(tài)狀態(tài)下的表決判定。反之，應(yīng)予以考慮。

2.4.2 判定因子的取值考慮

判定因子K 值的大小，決定了數(shù)據(jù)不一致的嚴(yán)格性。應(yīng)考慮實(shí)際中反饋源的誤差、現(xiàn)場(chǎng)的干擾等不確定因素。

K 值過(guò)小，容易造成誤報(bào)警；反之，K 值過(guò)大，會(huì)導(dǎo)致報(bào)警失敗。

K 值選擇應(yīng)當(dāng)遵循“故障—安全”的原則。

2.4.3 安全性考慮因素

針對(duì)輸入的初態(tài)和動(dòng)態(tài)過(guò)程，其安全性有待商榷。

算法的安全性和可靠性目前尚未進(jìn)行分析，但可以使用狀態(tài)轉(zhuǎn)移圖做評(píng)估。

2.4.4 判定邏輯的優(yōu)化

在“算法分析和驗(yàn)證”以及“數(shù)據(jù)的采用”章節(jié)中，簡(jiǎn)單描述了數(shù)據(jù)真和假的判斷以及如何采用數(shù)據(jù)。實(shí)際使用時(shí)，應(yīng)當(dāng)窮盡所有分項(xiàng)的狀態(tài)判斷，組織嚴(yán)格的邏輯以減少誤判的可能并保證數(shù)據(jù)輸出的正確性。對(duì)非法邏輯出現(xiàn)的響應(yīng)，應(yīng)采取相關(guān)措施來(lái)保證系統(tǒng)的安全性和可靠性。判定邏輯的優(yōu)化在此不再描述。

3 實(shí)現(xiàn)與結(jié)果分析

根據(jù)本算法實(shí)施的模擬量三取二表決和故障判斷模塊，已用于試驗(yàn)基地供油控制系統(tǒng)的軟件中。控制系統(tǒng)使用新的控制軟件已正常運(yùn)行至今，并且成功判定出反饋器件的故障并做出正確報(bào)警指示，系統(tǒng)拋棄了故障器件的數(shù)據(jù)繼續(xù)平穩(wěn)運(yùn)行，沒(méi)有導(dǎo)致壓力的波動(dòng)或停機(jī)事件發(fā)生。根據(jù)事后的實(shí)際檢測(cè)，報(bào)警指示的反饋器件確有問(wèn)題，目前尚未發(fā)生誤報(bào)記錄。從實(shí)際結(jié)果可以證明這種表決算法可行。

4 結(jié)語(yǔ)

本文提出的模擬量三取二表決算法，簡(jiǎn)潔實(shí)用、便于普通編程者理解和編程；因運(yùn)算簡(jiǎn)單且運(yùn)算量及小，不會(huì)占用控制系統(tǒng)中CPU 的大量時(shí)間；方便程序的移植和修改。

本方法的提出僅當(dāng)拋磚引玉，相信有很多同行有更簡(jiǎn)潔和巧妙的思路，實(shí)現(xiàn)并完成模擬量形式的三取二表決算法，歡迎探討和指教！