Оценка вероятности возникновения опасных отказов при перезапуске двухканальных систем

1.Постановка задачи

Предполагается, что в двухканальной системе ЖАТ каналы идентичны и независимы, устройство сравнения безопасно (всегда выдает правильное решение о совпадении или несовпадении выходных результатов). Если возникли отказы или сбои в двух или более неэквивалентных элементах обоих каналов и выходные результаты работы каналов не совпадают, то имеют место неэквивалентные отказы. В этих случаях, несмотря на ошибки в выходных результатах работы обоих каналов, опасные отказы отсутствуют, поскольку работа системы прекращается и формируется сигнал защитного отказа. При сравнительно частых сбоях микропроцессорной техники подобные события возникают с недопустимой вероятностью и приводят к останову движения поездов. Отсюда возникает необходимость в перезапуске каналов для продолжения их работы, не дожидаясь выезда ремонтной бригады на объект для устранения отказа.

Если причиной защитного отказа были сбои, то при перезапуске они устраняются. Если же причиной защитного отказа были отказы неэквивалентных (разных) элементов обоих каналов, то после перезапуска одиночные отказы в каналах остаются, и возникает опасность появления новых отказов, при которых выходные результаты работы каналов совпадают. Такие отказы принято называть эквивалентными. В этой ситуации отказ в системе не обнаруживается, он становится опасным и может вызвать аварию поезда или привести к значительному ущербу. Следует отметить, что эквивалентный отказ может быть следствием различных событий. Например, при наличии одиночных отказов в обоих каналах после перезапуска возник второй отказ в одном из каналов, который оказался эквивалентным уже существующему отказу другого канала. Или, если все три отказа неэквивалентны, то после очередного перезапуска может возникнуть четвертый отказ (второй отказ в каждом из каналов или третий отказ в одном канале при одном отказе в другом канале), который может привести к эквивалентному (опасному) отказу в системе и т.д.

Задача заключается в оценке вероятности опасного отказа двухканальной системы вследствие ее перезапуска.

Принятые предпосылки:

• потоки отказов в обоих каналах микропроцессорных систем являются простейшими с одинаковыми интенсивностями λ;

• каждый канал содержит т составных элементов. Все элементы нумеруются в пределах значений от 1 до т. Предполагается, что все элементы одинаковы по объему оборудования и, следовательно, по интенсивности отказов. Это означает, что интенсивность отказов одного элемента равна λ /т ;

• накопленное количество отказов элементов в одном канале в результате перезапусков не может быть больше т-1;

• эквивалентный (опасный) отказ системы имеет место в том случае, если отказывают одинаковые элементы в обоих каналах.

. 2.Модель для оценки вероятности возникновения опасных отказов

При простейшем потоке отказов вероятность возникновения двух и более отказов элементов в одном канале в течение времени t определяется следующим выражением:

Данное выражение является модификацией формулы Пуассона для условия дискретно уменьшающейся интенсивности отказов канала по мере отказов его составных элементов. Справедливость данного выражения следует из теоремы Григелиониса, согласно которой в результате случайных разрежений простейшего потока образуется простейший поток с меньшим значением параметра потока.

Относительно двух каналов необходимо учитывать различные сочетания количества отказавших элементов в каналах после перезапусков, например, один элемент в одном канале и два или более отказавших элементов в другом канале, равное количество отказавших элементов и т.д. Все возможные ситуации показаны на графе рис. 1,где вершинами отмечены состояния отказов элементов каналов. Вершины пронумерованы цифрами 0,1,2,...М. Количество вершин конечное, поскольку в каждом канале системы не более m элементов. Ряд вершин пронумерован одинаковыми цифрами (1 и 1; 2 и 2; 4 и 4; 5 и 5 и т. д.).

Рис. 1

Такие вершины называются зеркальными, поскольку они зеркально отражают состояния отказов элементов в разных каналах. Например, вершина 2 соответствует отказу одного элемента в одном канале и трех элементов в другом канале. Вторая вершина 2 соответствует отказам трех элементов в одном канале и одного элемента в другом канале. Для пояснения этих состояний в вершинах графа приведены цифры. Первая цифра отражает количество отказов элементов одного канала, вторая цифра - другого канала. Например, в исходном состоянии 0 исследуемой системы до первого перезапуска отказали по одному элементу каждого канала.

Определим вероятности переходов из начального (исходного) состояния во все другие состояния графа. С этой целью найдем функцию распределения времени перехода из состояния 0 в состояние 1 (основное или зеркальное). Она определяется с помощью формулы (1) при п= 1:

Функция плотности условного времени пребывания системы в состоянии 0 до перехода в основное (или зеркальное) состояние 1 равна:

а вероятность перехода:

Тривиальные выкладки вероятностей переходов по методике, приведенной для определения

показали, что все вероятности переходов между смежными вершинами равны '/г. Это естественно для экспоненциальных распределений в двухканальной системе с двумя выходами из каждого предыдущего состояния. Однако веса путей из начальной вершины 0 в вершину i имеют различные значения. Так, вес пути из вершины 0 в вершину 2 равен l₀₂ = р₀₁р₁₂ = 1/4, а вес пути из вершины 0 в вершину 3 ₀₃ =2р₀₁р₁₃ =1/2. В свою очередь, суммарный вес путей из вершины 0 в вершину 5 равен

а вес пути в вершину 4 равен

Для определения общего выражения суммарного веса путей из начальной вершины 0 в вершину i слоя и, под которым понимается количество накопленных в обоих каналах отказов, необходимо, во-первых, определить общее выражение веса каждого пути, во - вторых, общее выражение количества путей, ведущих из начальной вершины в вершину i. Из графа на рис.1 и из приведенных выше аргументов следует, что вес одного пути равен l¹₀(i,n-i) = l¹_0n = 1/2ⁿ . Количество путей, ведущих из начальной вершины 0 в вершину i слоя п, как следует из рис.1, можно подсчитать с помощью треугольника Паскаля:

Таким образом, общее выражение количества путей, ведущих из начальной вершины 0 в вершину i слоя п, имеет следующий вид:

Тогда суммарный вес путей, ведущих из начальной вершины 0 в вершину i слоя п, определяется следующим общим выражением:

Заметим, что по формуле полной вероятности сумма весов путей из начальной вершины во все вершины i, n-i любого слоя n (см. рис.1) всегда равна 1, т.е.

Для решения поставленной задачи требуется найти функции распределения времени пребывания системы в состояниях l,2,...,i,..., М. Эти функции определяются с помощью графа рис.1 по следующей схеме:

для любой вершины с цифрами i, n-i, приведенными в вершинах графа, находятся по формуле (1) и перемножаются как независимые события вероятности отказов элементов каналов

Принятая предпосылка о независимости отказов элементов канала основывается на экспериментальных данных о простейшем потоке отказов цифровых устройств.

Руководствуясь приведенной схемой, находим:

В общем случае справедливо выражение

Теперь есть исходные условия для определения вероятности того, что в результате перезапусков в обоих каналах в течение времени t в сумме отказали n составных элементов из общего числа 2m

Подставив в данное выражение формулы (2) и (3), получим

Формула (4) определяет суммарную вероятность того, что в течение времени t отказали 1 пп-1 элементов первого и второго каналов соответственно, 2 и п-2 элементов..... г и п-1 элементов,..., п-1 и 1 элементов обоих каналов.

Для определения вероятности опасного отказа необходимо для каждого указанного выше события определить вероятность возникновения эквивалентного отказа в двух каналах. Под эквивалентным отказом в двух каналах понимается событие отказа двух одинаковых элементов в обоих каналах. Данное событие может иметь место тогда, когда в одном канале отказал элемент и в другом канале через некоторое время также отказал такой же элемент . С этой целью рассмотрим следующую модель:

пусть в двух урнах размещено одинаковое количество m шаров. Общее количество шаров в двух урнах равно 2т. Все шары в каждой урне пронумерованы натуральными числами 1,2,..., от. Из каждой урны произвольным образом изымается по одному шару до первого совпадения номеров шаров.

Лемма. Если суммарное количество шаров, изъятых из двух урн, равно т, из одной любой урны изъят хотя бы один шар, номера ранее изъятых из двух урн шаров не совпали, то вероятность совпадения номеров очередного изымаемого из любой урны шара и ранее изъятого шара равна h =1.

Доказательство. Предположим, из первой урны изъято т-1 шаров, а из второй урны - один шар. Поскольку номера всех изъятых шаров не совпали, то номер оставшегося в первой урне шара равен номеру шара, изъятого из второй урны. Если далее изымается шар из первой урны, то он обязательно совпадет с номером шара ранее изъятого из второй урны. Если же изымается второй шар из второй урны, то его номер обязательно совпадет с ранее изъятым шаром из первой урны. Теперь предположим, что из первой урны изъято т-2 шаров, а из второй урны - 2 шара. Любой изъятый из первой урны шар из двух оставшихся по номеру совпадет с одним из двух ранее изъятых из второй урны шаров, и наоборот, номер третьего шара, изъятого из второй урны, обязательно совпадет с номером шара, ранее изъятого из первой урны. Продолжая указанные рассуждения, приходим к состоянию изъятия из второй урны т-1 шаров при условии изъятия из первой урны одного шара. Поскольку все шары в урнах одинаковы и имеют идентичную нумерацию, то последнее состояние совпадает с первым. Это свидетельствует о том, что при всех возможных состояниях изъятия из двух урн m шаров (при условии, что из одной урны изъят хотя бы один шар) при очередном изъятии шара его номер с вероятностью «единица» совпадет с номером ранее изъятого шара. Лемма доказана.

Утверждение. Если каждый из двух одинаковых каналов системы можно разделить на т равных по интенсивности отказов функционально законченных элементов и число накопленных неэквивалентных отказов элементов в двух каналах равно п (где п=2,... ,т), то вероятность того, что очередной i-й отказ элемента одного канала будет эквивалентным отказу элемента другого канала, равна

где г-число отказов элементов в одном канале (i=1,2,...,n-1), а (п-1) - число отказов элементов в другом канале.

Доказательство. Для доказательства представим оба канала в виде линеек из m одинаковых (по интенсивности отказов) элементов в каждой линейке (рис.2). Эквивалентный отказ возникнет при отказе двух элементов в разных каналах с одинаковыми номерами. Отказавшие ранее элементы каналов на рис.1 выделены темным цветом.

Эквивалентный отказ в двух каналах наступит в том случае, если возникнет отказ одного из элементов 1...l-1 одного канала (обозначим вероятность этого события Р(А) при условии того, что не откажет один из элементов l...k-1 другого канала (обозначим условную вероятность этого события Р(В/А). Вероятность возникновения эквивалентного отказа

Рис.2

(обозначим ее P(B) = h_l(n) определяется по формуле произведения вероятностей зависимых событий Р(В) = Р(А)Р(В / А) , где Р(В1 А) - условная вероятность наступления события при условии того, что произошло событие А.

Согласно рис.1,

Это вероятность того, что отказал один из 1...k-1 элементов одного канала, причем отказ этого элемента эквивалентен отказу одного из 1...l-1 элементов другого канала.

В свою очередь,

Это условная вероятность того, что при условии отказа одного из 1...l-1 элементов первого канала не откажет ни один из 1...k-1 элементов другого канала.

Таким образом,

что и требовалось доказать.

Если суммарное количество отказов элементов в обоих каналах в результате перезапусков накопилось до минимального числа п=3, то

При и=4

При n=m, согласно формуле (5), имеет место равенство h₁(m) = h₂(m) =... = h_m-1(m) = 1, что соответствует доказанной выше лемме.

Приведенные примеры свидетельствуют о симметрии вероятностей возникновения эквивалентных отказов.

Подставив выражение (5) в формулу (4), находим вероятность возникновения опасного отказа в двухканальной системе в результате накопления п отказов при перезапусках каналов в течение времени t

- в реальном диапазоне значений интенсивностей отказов каналов в микропроцессорных СЖАТ (10^-81/ч < λ <10^-6 1/ч) в течение года вероятно накопление от 3 до 5 отказов в обоих каналах. При этом вероятность возникновения опасных отказов системы в течение 10000 ча сов менее 10^-10 и более 10^-22 (см.рис.4). Эти результаты (см. рис. 3 и 4) свидетельствуют, во - первых, о возможности и целесообразности для обеспечения пропускной способности железной дороги перезапусков каналов и , во - вторых, о нецелесообразности ограничения количества перезапусков каналов;

- увеличение длительности работы двухканальной системы с пере запуском каналов без обслуживания каналов на порядок приводит к увеличению интенсивности отказов системы почти на четыре порядка (см. рис.5). Это обстоятельство свидетельствует о необходимости обслуживать систему и восстанавливать работоспособность элементов каналов не реже одного раза в год.

Рис. 3 (а). Зависимость вероятности опасного отказа от количества накопленных отказов в каналах а) n=60; б) n=10

3. Основные результаты исследований

Основные результаты исследований вероятностей возникновения опасных отказов в двухканальной системе в результате накопления отказов приведены на рис.3-5. Они свидетельствуют о следующем:

- вероятность накопления в обоих каналах в течение года более 5 отказов и возникновения в результате этого опасных отказов ничтожно мала (менее Q_ОП (10000) = 10^-15 даже при явно завышенной интенсивности отказов канала λ = 10^-6 1/ч, см.рис. 3а, 3б);

Рис. 3 (б). Зависимость вероятности опасного отказа от количества накопленных отказов в каналах а) n=60; б) n=10

Рис.4. Зависимость вероятности опасного отказа от интенсивности отказов, количества накопленных отказов в каналах относительно времени работы t=10000 часов

Рис.5. Зависимость вероятности опасного отказа от интенсивности и отказов, количества накопленных отказов в каналах (n=3, n=5) относительно времени работы

4. Заключение

Обоснована необходимость и показана техническая возможность повышения живучести систем управления при воздействиях ненормативных мешающих внешних воздействий за счет применения операции перезапуска в многоканальных системах для восстановления их работоспособного состояния. Определена возможность увеличения времени перезапуска на несколько порядков по сравнению с известными системами с учетом одновременного использования дополнительных систем контроля функционирования СЖАТ.

....................................................................................................