Оценка рассогласований между каналами цифровой системы управления, вызванных сбоями информации Текст научной статьи по специальности «Электротехника, электронная техника, информационные технологии»

Том ХЫ

УЧЕНЫЕ ЗАПИСКИ ЦАГИ 2010

№ 6

УДК 629.7.05

ОЦЕНКА РАССОГЛАСОВАНИЙ МЕЖДУ КАНАЛАМИ ЦИФРОВОЙ СИСТЕМЫ УПРАВЛЕНИЯ, ВЫЗВАННЫХ СБОЯМИ ИНФОРМАЦИИ

С. Г. БАЖЕНОВ

Проведен вероятностный анализ процессов в цифровых системах управления, вызванных сбоями информации. Математическая модель сбоев сигнала основана на распределении Пуассона по времени и равномерном распределении по уровню. Исследованы вероятностные характеристики сигналов прямой цепи и апериодического фильтра, а также счетчика несрав-нений алгоритма контроля. Показано, что эти сигналы являются дискретными марковскими процессами, определены их стационарные распределения. Проведен анализ зависимости вероятности срабатывания системы контроля от интенсивности сбоев, величины порога срабатывания, времени подтверждения алгоритма контроля и постоянной времени апериодического фильтра.

Ключевые слова: ложное срабатывание, марковский процесс, порог срабатывания, сбой, система контроля, цифровая система управления.

Весьма важным вопросом при разработке систем контроля резервированных цифровых систем управления является анализ последствий сбоев цифровой информации. Под сбоями понимается случайное изменение значений сигналов, хранящихся в оперативной памяти вычислителя. На рис. 1 приведены сигналы датчиков нормальной перегрузки и интегральных звеньев разных каналов трехканальной системы управления при ступенчатом входном сигнале от летчика. Переходные процессы демонстрируют расхождение интегралов вследствие сдвигов нулей, наличия «шумов» в сигналах датчиков разных каналов и сбоев значений интегралов. Расхождение сигналов разных каналов может привести к следующим отрицательным последствиям:

отрицательному результату контроля сигнала отдельного вычислителя в течение установленного времени подтверждения, что может привести к отключению этого вычислителя. Если подобные события происходят в вычислителях различных каналов, то возможно отключение всей системы управления;

импульсным входным воздействиям на привод (в случае больших порогов срабатывания алгоритмов контроля, почти одинаковых сбоев в различных каналах и т. п.).

Ниже рассматриваются процессы, происходящие в одноканальной и двухканальной системах управления, вызванные сбоями сигналов прямой цепи, интегрального звена и апериодического фильтра. Основное внимание уделяется статистическим характеристикам рассогласований между каналами.

Считаем, что сбои сигнала — события независимые, описываемые по времени распределением Пуассона. В качестве распределения по уровню будем использовать равномерное распределение.

Анализ сбоев типовых динамических звеньев. Рассмотрим процессы, происходящие при сбоях в типовых звеньях (прямая цепь, апериодический фильтр, интегральное звено, счетчик несравнений).

БАЖЕНОВ Сергей Георгиевич

кандидат технических наук, начальник отдела ЦАГИ

О 0.5 1 1.5 2 2.5 3 3.5 4 4.5 С 5

Рис. 1. Расхождение интегралов при наличии случайных сигналов во входном сигнале и при наличии сбоев интегралов

Основное внимание уделено одноканальному варианту, поскольку результаты анализа одноканальной системы обобщаются на многоканальный вариант.

Рассмотрим процессы, связанные со сбоями одной переменной. Найдем вероятность того, что за время Т произойдет т сбоев. Поскольку процесс описывается распределением Пуассона,

(ХТ )

то искомая вероятность Рт = -

-ХТ

т!

. Найдем время, в течение которого данная переменная

находится в состоянии сбоя. Для этого введем понятие времени восстановления — Твосст. Пусть в момент времени ^ произошел сбой переменной. После этого переменная восстанавливается либо сама собой, либо принудительным образом. Промежуток времени, через который переменная восстановится, т. е. когда ее отличие от эталонного значения станет меньше порога срабатывания алгоритмов контроля, есть время восстановления. Время, в течение которого переменная находится в состоянии сбоя, составляет

Тс

сб

^ (ХТ)т Є-ХТ

т = 1

т!

тТ = Х ТТ

восст восст•

В случае прямой цепи время восстановления изменяется от нуля до Т — периода обновления информации ЦВМ, и время, в течение которого выходной сигнал находится в состоянии

б Т ХТТ0

сбоя, есть Тсб =—

Для случая сбоя выходного значения апериодического фильтра время восстановления зависит от амплитуды сбоя и порога срабатывания алгоритмов контроля. Пусть в момент Т0 = 0 произошел сбой на величину Н, после чего идет апериодический переходной процесс с постоянной

г

времени Тф, т. е. у () = Не Тф . Пусть к — порог срабатывания алгоритмов контроля. При у = к

выходной сигнал фильтра входит в допустимый коридор и считается кондиционным, т. е. закан-

т

1восст

Т

чивается состояние сбоя. При этом к = Не ф и, следовательно,

Твосст = Тф 1п (Н1к ).

Среднее время восстановления есть

Т

восст

к

тах

| Р(Н)Тф 1п (Н/к)Н,

где Р (Н) — распределение сбоев по уровню. Пусть Р (Н ) = 1/ Нтах — равномерное распределение. Можно получить

Т = Т

восст ф

1пI Нтах I-1-

Н

тах у

Очевидно, что уменьшение порога срабатывания ведет к увеличению времени восстановления. Поскольку время восстановления пропорционально постоянной времени фильтра, то при

малых порогах срабатывания (к < 0.1Нтах ) и больших постоянных времени (ф > 0.4 с) время

восстановления фильтра составляет одну и более секунд, что может оказаться недопустимым и потребовать принудительного восстановления фильтра.

Контроль типовых звеньев с использованием счетчика несравнений. Рассмотрим следующую задачу. В двухканальной системе (рис. 2) имеется переменная, которая может быть выходным сигналом прямой цепи, апериодического фильтра или интеграла. Эта переменная подвержена сбоям, причем считается, что сбои возможны лишь в первом канале, т. е. переменная второго канала используется в качестве эталонного сигнала. Эта переменная контролируется монитором с использованием счетчика несравнений, работающего следующим образом:

если переменные у1 и у2 отличаются более чем на порог срабатывания, значение счетчика несравнений увеличивается на единицу вплоть до его максимального значения, которое определяет в мониторе время подтверждения отказного состояния контролируемого сигнала;

если разница между У1 и У2 меньше порога срабатывания, значение счетчика несравнений уменьшается на единицу вплоть до нуля;

если счетчик несравнений достигает максимального значения, монитор считает переменную неисправной, что ведет к реконфигурации системы.

Далее считается, что счетчик несравнений также подвержен сбоям, т. е. счетчик может достичь своего максимального значения как за счет сбоев переменной, так и за счет сбоев самого счетчика. Интенсивность сбоев датчика обозначим XJ, поскольку она может отличаться от интенсивности сбоев контролируемого сигнала. Определим вероятность достижения счетчиком несравнений максимального значения для двух вариантов:

сбой сигнала прямой цепи (восстановление за один шаг);

сбой сигнала апериодического фильтра (самовосстановление по апериодическому закону).

Рис. 2. Блок-схемы прямой цепи и апериодического фильтра при наличии сбоев

Вариант сбоя интегральной переменной приводится к одному из этих двух случаев в зависимости от того, каким образом происходит ее восстановление. Рассмотрим эти варианты.

Сигнал прямой цепи. Имеем распределение для случайного процесса у (nT0 ):

P (y К )) = + (1 -XT0 )5(y ),

max

y е [0, Hmax ].

Если сбоя нет (вероятность этого события 1 - XTo), то рассматриваемый сигнал принимает номинальное нулевое значение — слагаемое (1-XTo)5(у). Если сбой есть (вероятность этого события XTo), то имеем равномерное распределение переменной у в пределах у е [ Hmax ]. Что касается счетчика несравнений, то его распределение в момент времени t = nTo зависит от его значения в момент времени (n -1)70, т. е. это марковский процесс. Пусть h — порог срабатывания алгоритмов контроля, J, Jmax — текущее и максимальное значения счетчика несравнений. Распределение P (j(nT0 )) определяется следующим образом:

P(J(«Tg )) = (1 - ЯJTo) f 1 -XTg + XT0 І5 (J) + XTg 11 - |S(j -1)

_V max J V max J

1 Jmax

J +1 Z 5(J-k).

tvi OV 1 1 J „

+ ЯJTG'

max ' * k=0

Здесь 5(n) можно трактовать как импульсную функцию целочисленного аргумента

5(0) = 1, 5(N) = 0, N Ф 0.

2. J ((N - 1)T0 ) = Jmax. В этом случае распределение P ( J ( nT0 )) есть

P (J К )) = (1 -X jT ) f1 -XT, +XT0 -H- 15 (J - Jmax + 1)0 U - -H- ^5 (J - Jmax)

_V max J V max J

+ \/TG

лггг I5JJ -k >•

k=G

3. 0 < J((n - l)TG) = M < Jmax. В этом случае

P (J (nTo)) = (l-Я jTg)

1 -XTG +XTG H_ |5(J-M + 1) + XTG I 1 -H |s(J-M-1)

+ \/TG

l Jmax

k=G

Чтобы найти интенсивность достижения счетчиком несравнений максимального значения, нужно определить стационарное распределение P (J), что является вполне разрешимой задачей.

На рис. 3 приведены зависимости интенсивности достижения счетчиком несравнений максимального значения для прямой цепи при отсутствии сбоев счетчика несравнений для различных значений Jmax. Видно, что увеличение Jmax повышает наклон логарифмической характеристики. Это приводит к резкому снижению вероятности достижения максимального значения при больших значениях Jmax.

Рис. 3. Интенсивность отказов сигнала прямой цепи при отсутствии сбоев счетчика несравнений

))

шах _о_ I = ^ шах

18(Х)

-5

-3

-2

Рис. 4. Интенсивность отказов сигнала прямой цепи при наличии сбоев счетчика несравнений

На рис. 4 приведены аналогичные зависимости при наличии сбоев счетчика несравнений, причем их интенсивность равна интенсивности сбоев элементарной ячейки памяти. Видно, что возможность сбоев счетчика несравнений весьма существенно влияет на вероятность достижения им максимального значения. Таким образом, для сигнала прямой цепи введение защиты счетчика несравнений от сбоев весьма значительно увеличивает эффективность системы контроля, поскольку в данном случае принятие решения об отказе контролируемого сигнала сильно зависит от сбоев счетчика несравнений.

Сигнал апериодического фильтра. Для апериодического фильтра распределение выходного сигнала у (пТ0 ) зависит от его значения в момент времени (п - 1)Т0, т. е. случайный процесс у (пТо ) является марковским. Обозначим у (пТо ) = уп, J(пТо ) = Jn. Можно показать, что для искомого распределения справедлива формула

Р (Уп ) =

»0

н

Т

у-

ф

Тф + То

-Уп-1

у ^ [°, Ншах ].

Если сбоя нет (вероятность 1 - ХТо), то уп =

Тф

ф

■уп-1, т. е. происходит списывание сиг-

о

нала к нулю с постоянной времени Тф. Если сбой есть, вероятность — АТо, то имеем равномерное распределение переменной у в пределах [о, Нтах ]. Необходимо найти стационарное распределение сигнала уп. Для этого рассмотрим изменение распределения по времени. Имеем уравнение перехода: уп = Р(уп-1) и распределение Рп (у) в момент времени t = пТо. Если в этот момент времени значение переменной лежит в промежутке [у, у + ёу], то вероятность этого события есть Рп (у)ёу. Если сбоев нет, то значение переменной в момент времени (п - 1)То было Р(у) (Р(у) — обратная функция к Р(у)), а промежуток был [Р(у), Р(у) + Р'(у)ёу]. Поскольку вероятность не меняется, то для плотности вероятности распределения справедливо уравнение перехода

рп (у )=Рп-1 (Р (у))Р ’(у).

Pn (у) = (1 - XT0 )Pn_, ((y)))'(у) + ХГ0 (1)

max

С помощью данного уравнения можно определить стационарное распределение. Пусть h — порог срабатывания алгоритмов контроля апериодического фильтра. Разобьем область изменения сигнала у на следующие промежутки:

0. у е [0, h] = Lq — переменная лежит ниже порога срабатывания алгоритмов контроля. Вероятность того, что в момент времени t = nTo переменная у будет лежать внутри этого отрезка, назовем P (у е L0 ).

L у е[^ F (h)] = Li — этот отрезок характеризуется тем, что если переменная у лежит в нем в момент (n - 1)Tq, то при отсутствии сбоев она в момент времени nTo попадет в промежуток Lq . Соответствующую вероятность назовем P (у е Li ). Обозначим

F ( h ) = h1.

m. у е[_, Hmax ] = Lm — этот промежуток обладает всеми свойствами описанных ранее промежутков, кроме того, он оканчивается максимальным значением Hmax переменной у. Видно, что уравнение (1) при этом переходит в следующую систему уравнений для P(у е Lj ):

P(n еLq) = (1 _XTq)(P(n_1 еLq) + P(n_1 еL1 ))Tq h

H

max

P (у. є Li ) = (l-XTo ) (у.-і є L2 ) + ATo

max

P (у. є Lj) = (l - XTo )P (у.-і є Lj+l) + XTo -1-H~J~, (2)

lit-,---

P (уn є Lm ) = XTo Hmax hm~l

H

max

Для получения стационарного распределения необходимо решить систему уравнений (2), положив Р(уп є Lj ) = Р (уп-і є Lj), ) = 0, 1, .., т. Систему уравнений (2) можно представить в виде

P ( у. ) = R ( у.\у.-l) P ( у.-1 ),

[ P(у є L)"

где P (у. ) =

вектор вероятностей различных состояний сигнала апериодическо-

р (уп е Ао)

_Р (уп е Ат )_

го фильтра; Я — матрица перехода. Подобный способ описания широко используется в теории марковских процессов. В данном случае имеем следующие выражения для элементов матрицы перехода:

*0,0 = *0,1 = 1 ^T0 + ^T0 H ’

max

Rm = ^o , i >1;

max

R. i+1 = 1 _ XTq + XTq hHr—, i = 1, • -,m _ 1;

max

D t, ф Hmax hm_1 ■ _ r\ i

Rm,i = ^To H 5 0, * * *,m;

max

hj _ hj _1

R j = XTq ——------- во всех остальных случаях.

H

max

Рассмотрим распределение счетчика несравнений. Его распределение в момент времени t = nTo зависит от значений счетчика несравнений и апериодического фильтра в момент времени

(n _ 1)T0, т. е. это также марковский процесс. Уравнение перехода для этого процесса можно записать в виде

P(уп е Li, Jn = j) = ZP(уп е Li, Jn = j I уп_1 е Lk, Jn_1 =l)P(уп_1 е Lk, Jn_1 =l),

k, i

где P (уп е L., Jn = j) — совместное распределение событий, состоящих в том, что в момент времени t = nTo значение сигнала фильтра будет лежать в промежутке Lt, а значение счетчика несравнений будет равно j.

Очевидно, что P (уп е L., Jn = j) = P (Jn = j | уп е L.) P (уп е L.). Поскольку функционирование фильтра не зависит от счетчика несравнений, то распределение P (уп е L.) можно брать из предыдущего рассмотренного случая. Рассмотрим условную вероятность P (уп е Lt,

Jn = j I уп_1 е Lk, Jn_1 = l). Поскольку имеется соотношение P(ab | c) = P(a | bc)P(b | c), то

P (уп е (, Jn = j | уп_1 е Lk, Jn_1 = l) = P ()n = j | уп е Li , уп_1 е Lk, Jn_1 = l) ,

P (уп е Li | уп_1 е Lk, Jn_1 = l).

Можно показать, что

P (Jn = j | уп_1 е Lk, Jn_1 = l) = P ()n = j | уп е Li , Jn_1 = l) , P (уп е Li | уп_1 е Lk, Jn_1 = l) = P (уп е Li | уп_1 е Lk ).

После этого можно получить следующее уравнение перехода для совместного распределения:

P (п = j | уп е Li ) (уп е Li ) = Z P (Jn = j | уп е Li , Jn_1 = l),

k, l

P (уп е Li | уп_1 е Lk )P (уп_1 е Lk )P (Jn_1 = l | уп_1 е Lk ). (3)

При решении уравнения (3) в качестве P (уп е L.) берется ранее определенное распределение апериодического фильтра. Коэффициенты P (уп е L. | уп_1 е Lk ) есть не что иное, как элементы матрицы в уравнении перехода для распределения выходного сигнала апериодического фильтра. Соответствующие коэффициенты уравнения перехода равны:

1. 0 < уп-т < h. Сигнал фильтра сравнивается с эталонным.

P (jn = 0| J.-l = 0,у. є Lo ) = 1 - XTo + XTo J +Т;

max

P (n = i - T| Jn-1 = ^ уn є L0 ) = 1-XT0 +XT0 J 1 + Т , i = Jmax;

max

P (n = i I Jn-i = J, у. є L0 ) = XT0 j—-—Т во всех остальных случаях.

J max + 1

2. уп-т > h. Сигнал фильтра не сравнивается с эталонным.

P (n = Jmax | Jn—1 = Jmax, уn є Ls ) = 1 - XT0 + XT0 J +Т;

max

P (Jn = i | Jn—1 = i - Т, уn є Ls ) = 1 - XT0 + XT0 J + i , i = T, ..., Jmax ;

max

P (Jn = i I Jn-i = J, у. є Ls) = XT0 j—-—Т во всех остальных случаях.

J max + 1

В результате решения уравнения (3) получаем стационарное условное распределение P (J = JI у є Lk), после чего легко найти вероятность

р (J = Jmax P = Z P (J = Jmax | у є Lk ) у у є Li), которая определяет интенсивность достижения

k

счетчиком несравнений максимального значения.

На рис. 5, б приведены зависимости интенсивности достижения счетчиком несравнений максимального значения для апериодического фильтра, причем на рис. 5 приведены зависимости при отсутствии сбоев счетчика несравнений, а на рис. б приведены характеристики при их наличии.

Следует отметить, что интенсивность достижения счетчиком несравнений максимального значения для апериодического фильтра значительно выше, нежели для прямой цепи. Это объясняется тем, что у апериодического фильтра существенно большее, чем у сигнала прямой цепи, время восстановления. Поэтому даже одного сбоя сигнала фильтра может быть достаточно для достижения счетчиком несравнения максимального значения. Поскольку счетчик несравнений

2

і

о

■1

-2 -3

-4

-5

-6

-5 -4 -3 -2 -1 О

Рис. 5. Интенсивность отказов сигнала апериодического фильтра при отсутствии сбоев счетчика несравнений

о -

-2

-3 -•

-4

-5 -■

-6

•ёИ-^Ли*)) \

—“ =0.8 -°- Тф = 0.2 Тф = 0.05

-3

-2

Рис. 6. Интенсивность отказов сигнала апериодического фильтра при наличии сбоев счетчика несравнений

предназначен для того, чтобы внести инерционность в процесс принятия решения об отказе сигнала фильтра, то логично требовать от счетчика несравнений, чтобы он отличал сбой апериодического фильтра от его отказа. Поэтому при любом сбое сигнала фильтра счетчик несравнений не должен достигать максимального значения. Следовательно, должно выполняться условие Jmax > т. Поскольку

т = 181 Ятах

(г + т \ то+ тф

Тф

то

J > 181 Ятах

тах о I

( т + т \ то+ Тф

V Тф ,

Это неравенство определяет условие, накладываемое на параметры фильтра и алгоритмы контроля, выполнение которого гарантирует, что при сбоях апериодического фильтра счетчик несравнений не достигнет максимального значения, т. е. не будет выработан признак неисправности апериодического фильтра. На рис. 7 приведены области допустимых параметров фильтра и

Рис. 7. Область параметров апериодического фильтра, при которых нет срабатываний системы контроля после сбоев

алгоритма контроля. В совокупности с ограничениями на порог срабатывания и на максимальное значение счетчика несравнений это условие ограничивает максимальную постоянную времени фильтра, при которой допускается его самовосстановление. Видно, что ограничение весьма жесткое. Так, при h = 0.1Hmax, T0 = 0.05 с и Jmax = 4 максимальная постоянная времени фильтра Tф = 0.05 с, а при h = 0.3Hmax постоянная времени увеличивается до Tф = 0.1 с. Возвращаясь к зависимости A(J = Jmax) = f (А,), следует отметить, что интенсивности событий A (J = Jmax)

для апериодического фильтра и прямой цепи различаются более чем на четыре порядка.

Кроме того, следует отметить единичный наклон логарифмической характеристики P (J = Jmax ) = F (А). Это говорит о том, что доминирующей причиной искомого события является единичный сбой фильтра (в данном случае Jmax < m). Это невозможно для случая прямой цепи. При увеличении порога срабатывания наклон характеристики увеличивается, как только количество промежутков, на которые разбивается область изменения сигнала апериодического фильтра, достигает значения Jmax.

Заключение. Исследование влияния сбоев информации на работу типовых элементов системы управления, таких как прямая цепь, интегральное звено и апериодический фильтр, выходные сигналы которых контролируются с использованием счетчика несравнений, выявило, что к увеличению вероятности достижения счетчиком несравнений максимального значения (т. е. формированию признака отказа сигнала) ведут следующие факторы: уменьшение порога срабатывания алгоритмов контроля; увеличение постоянной времени апериодического фильтра; уменьшение времени подтверждения отказного состояния.

Сформулированы условия, связывающие постоянную времени апериодического фильтра, период обновления информации, порог срабатывания алгоритмов контроля и время подтверждения, при выполнении которых допустимо самовосстановление сигнала фильтра.

ЛИТЕРАТУРА

1. Карлин С. Основы теории случайных процессов. — М.: Мир, 1971.

2. Фомин Я. А. Теория выбросов случайных процессов. — М.: Связь, 1980.

3. Moir Ian, Seabridge Allan. Civil avionics system // AIAA Educational Series,

2002.

Рукопись поступила 16/IV 2009 г.