Расчеты показателей безотказности и безопасности системы железнодорожной автоматики и телемеханики

Размещено на http://www.allbest.ru/

РАСЧЕТЫ ПОКАЗАТЕЛЕЙ БЕЗОТКАЗНОСТИ И БЕЗОПАСНОСТИ СИСТЕМЫ ЖЕЛЕЗНОДОРОЖНОЙ АВТОМАТИКИ И ТЕЛЕМЕХАНИКИ

1. Методы повышения надежности и безопасности микроэлектронных систем

При создании новой СЖАТ разработчик должен обеспечить высокие показатели всех составляющих надежности: безотказности, безопасности, ремонтопригодности и долговечности. Однако приоритетной является задача обеспечения безопасности. Этот приоритет означает, что с целью повышения уровня безопасности системы допускается идти на снижение других показателей надежности.

Основная концепция безопасности, которая используется в большинстве случае в современных микроэлектронных системах, состоит в следующем: одиночные дефекты аппаратных и программных средств не должны приводить к опасным отказам систем и должны обнаруживаться при рабочих или тестовых воздействиях не позднее, чем в системе возникает второй дефект [27].

Данная концепция выполняется за счет применения разнообразных методов, классификация которых приведена на рис. 1. Эти методы реализуют два пути повышения надежности (рис. 2): маскировку и обнаружение отказов. Маскировка отказов дает возможность системе управления работать правильно при наличии в ней некоторого числа неисправностей внутренних элементов (система не "чувствует" свои неисправности). Это свойство обеспечивается постоянным резервированием (см. рис. 2.6). Недостатком маскировки отказов является возможность накопления со временем внутренних неисправностей в результате чего система потеряет свои резервные способности.

Обнаружение отказов, наоборот, требует выявления возникающих неисправностей как можно быстрее. Это позволяет либо выключить систему из работы, либо подключить холодный резерв (резервирование замещением - рис. 2.6). Обнаружение отказов достигается с помощью применения специальных контролирующих средств ("сторожей"). Индикация о возникновении неисправностей в элементах или блоках позволяет в этом случае существенно улучшить показатели ремонтопригодности систем. Наибольший эффект с точки зрения повышения безотказности, безопасности и ремонтопригодности получают при одновременном применении принципов маскировки и обнаружения отказов, что и делается при разработке большинства современных микроэлектронных СЖАТ.

При организации резервирования можно идти двумя путями: резервировать аппаратные или программные средства (рис. 3). Резервирование аппаратных средств заключается в использовании многоканальных систем (рис. 4). В этом случае организуются m независимых одинаковых вычислительных канала обработки входной информации (микроЭВМ), которые работают одновременно и параллельно во времени (m-кратное постоянное резервирование). Выходные сигналы микроЭВМ поступают на входы восстанавливающего устройства (ВУ). Последнее с помощью того или иного алгоритма производит восстановление (в случае возникновения ошибок в вычислениях) истинных значений выходных сигналов.

При резервировании программных средств используются многопрограммные системы (рис. 5). В них в одном вычислительном канале организуются последовательно во времени m одинаковых вычислений. Эффективно при этом применение принципа m-верси-онного программирования, когда каждая программа П 1, П 2,…, Пm имеет отличную от других версию на уровне алгоритма или структуры программы. Возможно использование m-версионного программирования и в многоканальных системах.

Обнаружение отказов организуется с помощью внутрипроцессорного или межпроцессорного контроля. В первом случае (рис. 6) каждый i-й вычислительный канал имеет собственные аппаратные или программные контрольные средства (КСi). Эти средства выполняют тестовое диагностирование, принципы самоконтроля или сигнатурного анализа. Блоки КС формируют сигналы контроля, которые поступают в блок ВУ для реализации алгоритма восстановления истинных значений выходных сигналов. В системах с межпроцессорным контролем (рис. 7) блоки КС осуществляют сравнение работы вычислительных каналов между собой. Это сравнение может состоять во взаимной проверке работы процессоров на уровне системных шин, памяти и выходов (контроль с сильными связями). При контроле с умеренными связями осуществляется сравнение выходов. Применяется также вариант, когда один процессор реализует вычисления, а другой их проверяет (контроль со слабыми связями).

2. Анализ двухканальных систем

При построении безопасных микроэлектронных СЖАТ в настоящее время наибольшее применение имеют различные варианты двухканальных и трехканальных (мажоритарных) структур. На рис. 8 показана двухканальная (дублированная) система с безопасным сравнением. В ней две одинаковые микроЭВМ работают параллельно во времени. Их аналогичные выходные сигналы сравниваются безопасной схемой сравнения (БСС). Сигнал на управление формируется только при совпадении соответствующих сигналов обоих микроЭВМ. Такую систему называют также системой "два из двух" (сокращенно системой "2 2").

В табл. 1 приведены состояния системы в зависимости от состояний каналов. Один канал будем называть системой "один из одного" или системой 1 1. Схема БСС считается абсолютно надежной. Система работоспособна только в том случае, если работоспособны обе микроЭВМ. Это означает, что с точки зрения безотказности мы имеем логически последовательное соединение каналов (см. раздел 2.1). Система переходит в опасное состояние, если неработоспособны обе микроЭВМ. В этом случае может оказаться, что неправильные значения одноименных выходных сигналов обоих каналов совпадают, и система выдает неправильное воздействие на управляемые объекты. Следовательно, с точки зрения безопасности имеем логически параллельное соединение каналов (см. раздел 2.1). Заметим, что к самим микроЭВМ не предъявляются требования безопасности, то есть их отказы не делятся на защитные и опасные.

Таблица 1

№ п/п	Состояние	Состояние системы 2 2
	МикроЭВМ 1	МикроЭВМ 2
1	Работоспособное	Работоспособное	Работоспособное
2	Работоспособное	Неработоспособное	Защитное
3	Неработоспособное	Работоспособное	Защитное
4	Неработоспособное	Неработоспособное	Опасное

Кроме того, поскольку при одновременном отказе обоих каналов может и не происходить искажение сигналов на одноименных выходах, оценка безопасности в соответствии с табл. 1 является несколько заниженной, что допустимо с точки зрения безопасности.

Если известна интенсивность отказов одной микроЭВМ, то, согласно (2.21) - (2.24), показатели безотказности одного канала рассчитываются по формулам:

; (1)

; (2)

. (3)

Пример 1. Пусть = 10^-5 и t = 1000 час. Тогда = = 0,99005; = 0,00995; = 10⁵ час = 11,4 года.

Из формулы (1) следует, что вероятность безотказной работы убывает по экспоненциальному закону (рис. 9) и по истечении времени:

,

уменьшается в раз, так как:

0,3679.

Величина может быть представлена в виде степенного ряда

= . (4)

При небольших значениях , пренебрегая третьим и последующими слагаемыми, можно использовать простые формулы:

; (5)

. (6)

Геометрический смысл использования формулы (5) состоит в том, что кривая (убывающая экспонента) заменяется прямой - касательной в точке = 0 (см. рис. 9). Угол наклона прямой определяется значением производной в этой точке:

.

Поэтому

и касательная пересекает ось абсцисс в точке

.

В табл. 2 приведены значения погрешностей расчетов величины при различных значениях . Из нее следует, что использование приближенных формул (5) и (6) возможно, если , когда погрешность не превышает 0,53 %.

Если в двухканальной системе "два из двух" (рис. 8) оба канала идентичны (), то ее показатели безотказности, согласно (2.21), определяются по формулам:

; (7)

; (8)

; (9)

. (10)

Пример 2. Для данных из примера 1 имеем: = 0,9802; = 0,0198; = 2 10^-5; = 5 10⁴ час = 5,7 года. Таким образом, для = 1000 час. вероятность отказа двухканальной системы увеличилась в 1,99 раза, а средняя наработка до отказа уменьшилась в два раза.

В табл. 3 и на рис. 10 показаны соотношения между безотказностью одноканальной и двухканальной систем для различных значений . Для данного момента времени вероятность безотказной работы системы 2 2 уменьшается по сравнению с вероятностью безотказной работы одного канала в раз, так как:

. (11)

Таблица 2

	0,01	0,02	0,05	0,07	0,1	0,2	0,3	0,5	1,0
	0,99005	0,9802	0,9512	0,9324	0,9048	0,8187	0,7408	0,6065	0,3679
1 -	0,99	0,98	0,95	0,93	0,9	0,8	0,7	0,5	0
Погрешность %	0,005	0,02	0,13	0,26	0,53	2,23	5,83	17,56	100

Таблица 3

	0,01	0,02	0,05	0,07	0,1	0,2	0,3	0,5	1,0
	0,99005	0,9802	0,9512	0,9324	0,9048	0,8187	0,7408	0,6065	0,3679
	0,9802	0,9608	0,9048	0,8694	0,8187	0,6703	0,5488	0,3679	0,1353
	0,99	0,98	0,95	0,93	0,90	0,82	0,74	0,61	0,37
	1,99	1,98	1,95	1,93	1,90	1,82	1,74	1,61	1,37

Величина отношения значений вероятностей отказа:

(12)

лежит в пределах от 2 до 1 (см. рис. 10).

В области малых значений величина примерно в 2 раза превышает величину . В области больших значений величина вероятности отказа системы "два из двух" приближается к величине вероятности отказа одного канала.

Поскольку:

, (13)

то в двухканальной системе 2 2 в интервале времени относительное изменение вероятности отказа равно относительному изменению вероятности безотказной работы.

Показатели безопасности системы "два из двух", согласно табл. 1 и (2.13) - (2.16) вычисляются по формулам:

; (14)

; (15)

; (16)

. (17)

Пример 3. Для данных из примеров 1 и 2 имеем: = 0,000099; = 0,999901; = 1,97 10^-7 1/час; = 1,5 10⁵ час = 17,1 год. Таким образом, по сравнению с одноканальной системой для = 1000 час вероятность опасного отказа двухканальной системы уменьшилась в 100 раз, интенсивность опасных отказов уменьшилась в 50 раз, а средняя наработка до опасного отказа увеличилась в полтора раза.

Из формулы (16) следует, что интенсивность опасных отказов двухканальной системы является функцией времени несмотря на то, что интенсивность отказов одного канала является постоянной величиной. При значение . При величина растет и стремится к пределу - интенсивности отказов одного канала (рис. 11), поскольку:

. (18)

Чтобы понять этот результат, вспомним определение интенсивности отказов (см. раздел 2.3). Выделим на временной оси два интервала времени и , причем (рис. 12). Согласно (2.10) вероятности опасного отказа на этих интервалах равны:

; (19)

, (20)

где и - условные вероятности опасного отказа системы за время , найденные в предположении, что она не имела опасного отказа соответственно за время и .

В двухканальной системе > , поскольку может оказаться, что в момент времени оба канала исправны, а в момент времени - один канал отказал (но опасного отказа системы еще не произошло).

Поэтому:

> ,

несмотря на то, что старение аппаратуры отсутствует. При один из каналов с вероятностью 1 отказывает и поэтому интенсивность опасных отказов системы становится равной интенсивности отказов одного канала.

В табл. 4 и на рис. 10 показано соотношение между безопасностью системы "два из двух" и безотказностью одного канала.

Для данного момента времени вероятность безопасной работы системы "два из двух" увеличивается по сравнению с вероятностью безотказной работы одного канала в раз, так как

. (21)

Поскольку , то вероятность безопасной работы двухканальной системы 2 2 не может превысить вероятность безотказной работы одного канала более чем в 2 раза. Например, при это превышение составит 1,999955. Чтобы получить бульшее увеличение безопасности, необходимо увеличивать число каналов в многоканальной системе (кратность резервирования).

Величина отношения значений вероятностей опасного отказа:

(22)

лежит в пределах от 0 до 1 (см. рис. 10). В области малых значений величина примерно в 100 раз меньше величины . В области больших значений величина вероятности опасного отказа системы 2 2 приближается к величине вероятности отказа одного канала. надежность безопасность безотказность микроэлектронная

Аналогично (15) имеет место соотношение:

. (23)

Таблица 4

	0,01	0,02	0,05	0,07	0,1	0,2	0,3	0,5	1,0
	0,99005	0,9802	0,9512	0,9324	0,9048	0,8187	0,7408	0,6065	0,3679
	0,9999	0,9997	0,9976	0,9954	0,9909	0,9671	0,9328	0,8451	0,6005
	1,01	1,02	1,05	1,07	1,1	1,18	1,25	1,39	1,63
	0,01	0,02	0,05	0,07	0,1	0,18	0,25	0,39	0,63

Это означает, что в двухканальной системе 2 2 в интервале времени относительные изменения вероятности безопасной работы и вероятности опасного отказа равны.

В табл. 5 показано соотношение между безопасностью и безотказностью двухканальной системы. В момент времени вероятность безопасной работы системы 2 2 больше вероятности безотказной работы в раз, так как:

. (24)

На рис. 13 приведены характеристики надежности системы 2 2. Имеет место равенство:

.

Поэтому по отношению к одному каналу в двухканальной системе "2 из 2" для произвольного момента времени приращение вероятности безопасной работы равно убыванию вероятности безотказной работы. Это положение является существенным недостатком системы "2 из 2": безопасность обеспечивается за счет уменьшения безотказности.

3. Дублирование двухканальных систем

Для устранения указанного недостатка применяется дублирование двухканальных систем с межпроцессорным контролем (система "два из четырех" или система "2 4"). Структура системы показана на рис. 14. Полная группа событий с точки зрения исправности самой системы и ее блоков приведена в табл. 6 При этом контрольная схема КС 1, безопасные схемы сравнения БСС 1 и БСС 2, устройство переключения УП считаются абсолютно надежными.

Таблица 5

	0,01	0,02	0,05	0,07	0,1	0,2	0,3	0,5	1,0
	0,9802	0,9608	0,9048	0,8694	0,8187	0,6703	0,5488	0,3679	0,1353
	0,9999	0,9997	0,9976	0,9954	0,9909	0,9671	0,9328	0,8451	0,6005
	1,02	1,04	1,1	1,14	1,21	1,44	1,7	2,3	4,43

В столбце 1 табл. 6 указан номер события. В столбцах 2, 3, 4 и 5 указано состояние блоков С 11, С 12, С 21 и С 22, которое может быть в момент времени работоспособным Р или неработоспособным Н. Последнее означает, что за интервал времени 0 - данный блок отказал хотя бы один раз. Состояние всей системы может быть работоспособным Р, защитным З или опасным О.

Алгоритм работы устройств контроля состоит в следующем. Нормально к рабочим выходам подключены через УП выходы системы С 1 (выходы БСС 1). Система С 2 находится в горячем резерве. Если система С 1 переходит в состояния РН или НР, это фиксирует КС 1 (одновременный отказ блоков С 11 и С 12 считается невозможным за время реакции схемы КС 1). Схема КС 1 воздействует на УП и происходит отключение рабочих выходов от выходов БСС 1 и подключение их к выходам системы С 2 (к выходам БСС 2). Система С 1 больше не используется по назначению, а система реконфигурируется в систему "2 из 2".

При такой организации контроля система работоспособна, если работоспособны С 1 или С 2 (строки 0, 1, 2, 3, 4, 8, 12 - см. табл. 6). Система переходит в опасное состояние, если переходят в опасное состояние НН обе системы С 1 и С 2 (строка 15) или если С 1 переходит в защитное состояние (НР, РН), а С 2 - в опасное состояние НН (строки 7 и 11). В остальных случаях система переходит в защитное состояние. Пусть, например, в момент времени система оказалась в состоянии 13. Это означает, что в какой-то момент времени произошел отказ блока С 11 или блока С 12 и система С 1 перешла в состояние РН или в состояние НР. Осуществилось отключение выходов С 1 и подключение выходов С 2. За промежуток времени система С 1 перешла в состояние НН, а система С 2 - в состояние РН. Следовательно, произошел защитный отказ системы .

Таблица 6

№	С 11	С 12	С 21	С 22		Вероятность i-го события
1	2	3	4	5	6	7
0	Р	Р	Р	Р	Р
1	Р	Р	Р	Н	Р
2	Р	Р	Н	Р	Р
3	Р	Р	Н	Н	Р
4	Р	Н	Р	Р	Р
5	Р	Н	Р	Н	З
6	Р	Н	Н	Р	З
7	Р	Н	Н	Н	О
8	Н	Р	Р	Р	Р
9	Н	Р	Р	Н	З
10	Н	Р	Н	Р	З
11	Н	Р	Н	Н	О
12	Н	Н	Р	Р	Р
13	Н	Н	Р	Н	З
14	Н	Н	Н	Р	З
15	Н	Н	Н	Н	О

Показатели безотказности системы "два из четырех", согласно табл. 6, вычисляются по формулам:

; (25)

; (26)

. (27)

Пример 4. Для данных из примера 2 имеем: = 0,9996; = 0,0004; = 6,7 10^-7 1/час; = 0,75 10⁵ час = 8,56 года. Таким образом, по сравнению с системой 2 2 для 1000 час вероятность отказа системы 2 4 уменьшилась в 50 раз, а средняя наработка до отказа увеличилась в полтора раза.

В табл. 7 и на рис. 15 показано соотношение между безотказностью систем 2 2 и 2 4 для различных значений . В области малых значений ( 0,01) величина примерно в 50 раз меньше величины . В области больших значений вероятность отказа системы 2 4 приближается к величине вероятности отказа , поскольку при система 2 4 реконфигурируется в систему 2 2. При малых значениях ( 0,01) величины и примерно равны, а в области больших значений безотказность системы 2 4 в два раза превышает безотказность системы 2 2.

На рис. 16 приведен график изменения отношения величин и от времени. Из формулы (26) следует, что:

. (28)

Поэтому интенсивность отказов системы 2 4 при стремится к интенсивности отказов системы 2 2.

Показатели безопасности системы "два из четырех", согласно табл. 6, вычисляются по формулам:

Таблица 7

	0,01	0,02	0,05	0,1	0,2	0,3	0,5	1,0	1,5
	0,9802	0,9608	0,9048	0,8187	0,6703	0,5488	0,3679	0,1353	0,0498
	0,9996	0,9985	0,9909	0,9672	0,8913	0,7964	0,6002	0,2525	0,0971
	1,02	1,04	1,09	1,18	1,32	1,45	1,63	1,86	1,95
	0,02	0,04	0,09	0,18	0,32	0,45	0,63	0,86	0,95

; (29)

; (30)

= . (31)

Пример 5. Для данных из примера 3 имеем: = 0,999998; 0,000002; = 3,96 10^-9; = 1,58 10⁵ час = 18,04 года. Таким образом, по сравнению с системой 2 2 для = 1000 час вероятность опасного отказа системы 2 4 уменьшилась в 50 раз, интенсивность опасных отказов уменьшилась также в 50 раз, а средняя наработка до опасного отказа увеличилась в 1,05 раз.

В табл. 8 и на рис. 17 показано соотношение между безопасностью систем 2 4 и 2 2 для различных значений . Рассмотрим величину:

. (32)

Имеет место:

и .

Поэтому в областях малых значений и больших значений ( > 5) величины и примерно равны, но всегда > . Максимального значения данное превышение достигает при:

Это объясняется тем, что при один из блоков С 11 или С 12 (см. рис. 14) отказывает с высокой вероятностью и система 2 4 реконфигурируется в систему 2 2. После этого . Рассмотрим величину.

Таблица 8

0,01	0,999998	0,999901	1,000097	0,0202
0,02	0,999979	0,999607	1,00028	0,0377
0,05	0,999773	0,997617	1,00218	0,0869
0,07	0,999403	0,995429	1,00402	0,1306
0,1	0,998359	0,990943	1,00753	0,1812
0,2	0,989157	0,967118	1,02281	0,3298
0,3	0,969696	0,932835	1,03955	0,4512
0,5	0,9023	0,8451	1,06768	0,6307
1,0	0,6545	0,6005	1,08993	0,8648
1,5	0,4265	0,3964	1,1256	0,9501
2,0	0,26597	0,25228	1,0543	0,9817
5,0	0,01348	0,01343	1,0033	0,9999

. (33)

Используя правило Лопиталя, получаем:

и .

В области малых значений величина существенно меньше величины . Например, при = 0,01 - в 50 раз. В области больших значений вероятность опасного отказа системы 2 4 приближается к величине вероятности опасного отказа системы 2 2.

Из формул (16) и (30) найдем величину отношения:

. (34)

График функции (34) приведен на рис. 18. При , используя правило Лопиталя, имеем:

= =

= = 0.

В области малых значений величина (см. табл. 9). При 1,0 величина начинает незначительно превышать величину . Наибольшее превышение имеет место при 1,5 (на 4,4 %), когда . Чтобы объяснить этот факт, оценим условные вероятности опасного отказа систем 2 4 и 2 2 и за время по истечении времени (рис. 19):

Таблица 9

	0,01	0,02	0,05	0,1	0,5	1,0	1,5	2,0	5,0
	0,005	0,068	0,1	0,26	0,81	1,007	1,0443	1,0439	1,003

= ,

= .

Предполагается, что к началу интервала система не имела опасных отказов. По отношению к системе 2 2 это означает, что к моменту времени двухканальная система (С 1, С 2) может находиться в одном из трех состояний (РР), (РН), (НР). Для того, чтобы произошел опасный отказ за время , достаточно возникновение отказа хотя бы одного канала из двух. В системе 2 4 ((С 11, С 12), (С 21, С 22)) в момент времени блок (С 21, С 22) может также находиться в одном из указанных трех состояний (независимо от состояния блока (С 11, С 12)). Кроме того, система 2 4 может находиться в состоянии ((РР), (НН)) - состояние № 3 в табл. Переход из этого состояния в опасные состояния № 7 или № 11 ((РН, НН) или (НР, НН)) может произойти при отказе одного канала из двух (С 11 или С 12). Таким образом, опасный отказ в системе 2 4 может произойти при отказе хотя бы одного канала из четырех (в отличие от системы 2 2). По этой причине при , когда с достаточно высокой вероятностью происходит отказ одного из блоков С 1 или С 2 (см. рис. 14), имеем > и, следовательно, > .

В области больших значений имеем:

,

т.е. интенсивность отказов системы 2 4 стремится к интенсивности отказов одного канала, что определяется реконфигурацией системы.

4. Мажоритарные системы

Широкое применение при построении безопасных управляющих систем имеют трехканальные мажоритарные структуры (системы "два из трех" или системы 2 3). Такая структура показана на рис. 20. В ней три одинаковые микроЭВМ С 1, С 2 и С 3 работают параллельно во времени. Их аналогичные выходные сигналы сравниваются безопасными мажоритарными элементами (БМЭ). Значение сигнала на выходе БМЭ совпадает со значением сигналов на большинстве входов.

В табл. 10 приведена таблица состояний системы 2 3 в зависимости от состояний каналов. Схема БМЭ считается абсолютно надежной.

Таблица 10

№	С 1	С 2	С 3	2 3	Вероятность -го события
0	Р	Р	Р	Р
1	Р	Р	Н	Р
2	Р	Н	Р	Р
3	Р	Н	Н	О
4	Н	Р	Р	Р
5	Н	Р	Н	О
6	Н	Н	Р	О
7	Н	Н	Н	О

Из табл. 10 следуют принципы работы мажоритарной системы 2 3:

1) система работоспособна, если работоспособны хотя бы два блока из трех;

2) при отказе двух блоков система переходит в опасное состояние;

3) защитных состояний не существует.

Показатели безотказности системы "два из трех", согласно табл. 10, вычисляются по формулам:

; (35)

; (36)

= . (37)

Поскольку все отказы системы 2 3 являются опасными, то имеют место равенства:

; ; .

Пример Для данных из примеров 2 и 3 имеем: = 0,9998; 0,0002; = 5,85 10^-7; = 0,83 10⁵ час = 9,47 года. Таким образом, для t = 1000 час по сравнению с системой 2 2 вероятность отказа системы 2 3 уменьшилась в 100 раз, интенсивность отказа - в 34 раза, а средняя наработка до отказа увеличилась в 1,66 раза. Однако, вероятность опасного отказа увеличилась в 2 раза, интенсивность опасного отказа - в 2,97 раза, а средняя наработка до опасного отказа уменьшилась в 1,8 раза. По сравнению с одноканальной системой 1 1 вероятность отказа и интенсивность отказа уменьшились соответственно в 50 и 17 раз. Однако средняя наработка до отказа уменьшилась в 1,2 раза.

В табл. 11 и на рис. 21 показано соотношение между безотказностью систем 2 3 и 1 1.

Из формул (1) и (35) получаем:

. (38)

Из графика функции (38) следует (см. рис. 21,б), что при имеет место соотношение > . Наибольший выигрыш в безотказности достигается при 0,28. Для данных из примера 6 ( = 10^-5 1/час) это происходит по истечении времени 0,28 10⁵ час = 3,2 года. При значениях > 0,69 (в этом случае безотказность системы 2 3 становится меньше безотказности одного канала. Для примера 6 это происходит по истечении 7,88 лет. Происходит это потому, что при низкой надежности одного канала (р < 0,5) вероятность отказа двух каналов из трех становится больше вероятности отказа одного канала.

По этой же причине средняя наработка до отказа мажоритарной системы меньше чем у одного канала . На первый взгляд, это представляется серьезным недостатком системы 2 3. Однако, смысл применения отказоустойчивых систем состоит в том, что они дают существенное повышение надежности в первые годы работы системы. То, что будет с системой по истечении времени Т (в нашем примере через 9,47 года) не так важно. К этому времени система либо будет заменена на новую (по причине морального старения), либо ресурс системы будет восстановлен в результате ремонтных и профилактических работ.

В табл. 12 и на рис. 22 показаны соотношения между безотказностью систем 2 3, 2 2 и 2 4. Из формул (7), (25) и (35) следует, что

; (39)

. (40)

Таблица 11

	0,01	0,05	0,1	0,2	0,28	0,5	0,69	1,0	2,0	5,0
	0,9998	0,9932	0,9747	0,9135	0,8502	0,6572	0,5024	0,3063	0,05	0,00013
	1,0098	1,044	1,077	1,116	1,1249	1,084	1,0016	0,833	0,3695	0,0198

Таблица 12

	0,01	0,02	0,05	0,07	0,1	0,2	0,5	1,0	2,0	5,0
	1,02	1,04	1,098	1,135	1,19	1,363	1,79	2,264	2,73	2,98
	1,0002	1,0003	1,0023	1,004	1,007	1,025	1,095	1,213	1,37	1,489

Из графиков функций (39) и (40) видно, что безотказность мажоритарной системы превышает безотказность систем 2 2 и 2 4 при всех значениях . В области больших значений величина превышает величину в 3 раза и величину в 1,5 раза.

Безопасность мажоритарной системы, напротив, меньше безопасности систем 2 2 и 2 4 при всех значениях (см. табл. 13 и рис. 23). Это связано с тем, что, как следует из табл. 10, в системе 2 3 все отказы системы являются опасными (нет защитных отказов). Как видно из табл. 13 в области малых значений ( < 0,2) это уменьшение незначительно. Например, при = 0,2 по отношению к системе 2 2 безопасность мажоритарной системы уменьшается на 5,5 %, в то время как безотказность увеличивается на 36,3 % (см. табл. 12 и 13).

Рассмотрим соотношения интенсивностей отказов систем 2 2 и 2 3. Из формул (9), (16) и (36) получаем:

; (41)

. (42)

Из формул (36) и (41) следует, что

. (43)

Равенство (43) означает, что с течением времени, когда один канал в системе 2 3 отказывает, эта система с точки зрения безотказности становится эквивалентной системе 2 2 (для отказа системы достаточно отказа одного канала). Поэтому,

(см. табл. 14 и рис. 24).

Функция (42) имеет пределы (см. табл. 14 и рис. 24):

, (44)

. (45)

Равенство (44) имеет следующий смысл. Пусть система 2 3 состоит из блоков С 1, С 2, С 3, а система 2 2 из блоков С 1, С 2. В области малых значений , когда все блоки еще работоспособны, существуют три равновероятных события, которые приводят к опасному отказу системы 2 3. Это сочетания отказов двух блоков из трех: (С 1, С 2); (С 1, С 3); (С 2, С 3). К опасному отказу системы 2 2 приводит только одно такое событие (в три раза меньше событий) - (С 1, С 2).

Смысл равенства (45) следует из соотношения:

. (46)

Равенство (46) означает, что в области больших значений , когда один канал в системе 2 3 отказывает, интенсивность опасных отказов этой системы становится в 2 раза больше интенсивности опасных отказов системы 2 2. В этой ситуации опасный отказ в системе 2 3 происходит при отказе хотя бы одного канала из двух работоспособных, а в системе 2 2 - при одновременном отказе двух каналов.

Также имеет место равенство:

. (47)

Таблица 13

	0,01	0,02	0,05	0,07	0,1	0,2	0,5	1,0	2,0	5,0
	0,9999	0,9991	0,9956	0,9917	0,9836	0,9446	0,7777	0,5101	0,1983	0,01
	0,9998	0,9988	0,9934	0,9876	0,9763	0,9235	0,7284	0,4679	0,188	0,0099

Таблица 14

	0,01	0,02	0,05	0,07	0,1	0,2	0,5	1,0	2,0	5,0
	0,029	0,057	0,133	0,179	0,24	0,399	0,661	0,837	0,95	0,998
	2,971	2,943	2,867	2,821	2,76	2,601	2,339	2,163	2,05	2,002

Откуда следует, что в сравнении с системой 2 2 относительное изменение интенсивности отказов системы 2 3 равно относительному изменению интенсивности опасных отказов. В целом система 2 3 по сравнению с системой 2 2 дает существенное увеличение безотказности при определенном уменьшении безопасности.

Чтобы улучшить показатели безопасности мажоритарной структуры, сохраняя при этом тот же уровень безотказности, применяется система 2 3 с реконфигурацией (система 2 3Р). В этой системе при отказе одного канала выходы этого канала отключаются и структура 2 3 (рис. 20) преобразуется в структуру 2 2 (рис. 8).

В табл. 15 приведены состояния системы 2 3Р. У нее в отличие от системы 2 3 состояния с номерами 3, 5 и 6 являются защитными (ср. с табл. 10).

Таблица 15

№	С 1	С 2	С 3	2 3Р
0	Р	Р	Р	Р
1	Р	Р	Н	Р
2	Р	Н	Р	Р
3	Р	Н	Н	З
4	Н	Р	Р	Р
5	Н	Р	Н	З
6	Н	Н	Р	З
7	Н	Н	Н	О

Поэтому:

; (48)

; (49)

= . (50)

Пример 7. Для данных из примеров 2, 3 и 6 имеем: = 0,999999; 0,000001; = 2,94 10^-9; = 20,9 года. Таким образом, по сравнению с системой 2 3 для = 1000 час вероятность опасного отказа системы 2 3Р уменьшилась в 200 раз, интенсивность отказа также уменьшилась в 200 раз, а средняя наработка до опасного отказа увеличилась в 2,2 раза.

В табл. 16 приведены соотношения между безопасностью системы 2 3Р и безопасностью ранее рассмотренных систем. На рис. 25 показаны графики функций:

; (51)

; (52)

; (53)

. (54)

; ; ; .

Таким образом, в области больших значений вероятность безопасной работы системы 2 3Р в три раза превышает величину , поскольку опасный отказ в ней происходит при одновременном отказе всех трех каналов (см. табл. 15). В то же время величина превышает величины и в 1,5 раза, так как опасный отказ в системах 2 2 и 2 4 происходит при одновременном отказе двух каналов (см. табл. 6).

Таблица 16

0,01	0,999999	1,01005	1,000099	1,000001	0,999706
0,02	0,999983	1,0202	1,000392	1,000004	0,998977
0,05	0,999885	1,051183	1,002272	1,000112	0,993195
0,1	0,999137	1,10426	1,008272	1,0078	0,975397
0,2	0,994	1,21412	1,027783	1,0049	0,919014
0,5	0,939125	1,54843	1,11118	1,041	0,6998
1,0	0,7474	2,03153	1,244734	1,148	0,4098
2,0	0,3535	2,61271	1,401142	1,329	0,1414
5,0	0,02008	2,97923	1,49456	1,4897	0,006673

Рассмотрим соотношения интенсивностей опасных отказов систем 2 3Р, 1 1, 2 2 и 2 3 (табл. 17 и рис. 26). Из формулы (49) следует, что

.

Следовательно, в области больших значений интенсивность отказов системы 2 3Р стремится к интенсивности отказов одного канала. В то же время:

.

Таким образом, в области больших значений интенсивность опасных отказов системы 2 3 в два раза превышает величину .

5. Сравнение избыточных безопасных структур

В табл. 18 и 19 показаны вместе формулы для расчета показателей безотказности и безопасности основных избыточных структур, а в табл. 20 - результаты расчетов из примеров 1-7.

С точки зрения безотказности в области малых значений наилучшие показатели имеет мажоритарная система "два из трех" и система с реконфигурацией 2 3Р. Особенно это преимущество перед другими системами велико при высокой надежности одного канала.

В области больших значений безотказность структур 2 4, 2 3 и 2 3Р становится меньше безотказности одного канала. Например, у системы 2 3 это происходит при > 0,69. При эти системы реконфигурируются в дублированные системы и их интенсивность отказов приближается к величине 2 (см. табл. 19). Происходит это потому, что в структурах 2 4 и 2 3Р отдается приоритет безопасности в ущерб безотказности. Этим же обстоятельством объясняется тот факт, что одноканальная система имеет наибольшее значение средней наработки до отказа:

.

С точки зрения безопасности наилучшими показателями обладает система 2 3Р. В области малых значений эта система обеспечивает высокий уровень безопасности. Например, при = 0,01 вероятность безопасной работы имеет шесть "девяток" после запятой (см. табл. 20). В структуре 2 3Р удачно сочетаются высокие качества безотказности мажоритарных систем и высокие качества безопасности структур конъюнктивного совпадения.

Таблица 18

Показатель	Система
	1 1	2 2	2 4	2 3	2 3Р
			2-	3- 2	3- 2
		2
Т
		2-	2- 2+	3- 2	3- 3+

Таблица 19

Показатель	Система
	1 1	2 2	2 4	2 3	2 3Р
		2	2	2	2
				2

Таблица 20

Показатель за 1000 час	Система = 10-51/час
	1 1	2 2	2 4	2 3	2 3Р
	0,99005	0,9802	0,9996	0,9998	0,9998
	0,00995	0,0198	0,0004	0,0002	0,0002
	10-5	210-5	6,710-7	5,8510-7	5,8510-7
	11,4	5,7	8,56	9,47	9,47
	0,99005	0,999901	0,999998	0,9998	0,999999
	0,00995	0,000099	0,000002	0,0002	0,000001
	10-5	1,9710-7	3,9610-9	5,8510-7	2,9410-9
	11,4	17,1	18,04	9,47	20,9

Система 2 3Р имеет наибольшее значение средней наработки до опасного отказа 1,83/. Близкой по своим качествам к структуре 2 3Р является система 2 4.

6. Учет надежности устройств контроля при расчете показателей безотказности и безопасности

Расчетные формулы, приведенные в предыдущих разделах данной главы, получены при предположении абсолютной надежности устройств контроля и переключающих устройств. На самом деле их надежность во многом определяет показатели безотказности и безопасности любой структуры с резервированием. В принципе надежность таких структур не может быть выше надежности устройств контроля и переключения. Однако сложность последних намного меньше сложности всей структуры, и поэтому они могут быть выполнены по более дорогим, особым технологиям, обеспечивающим повышенную надежность и безопасность.

С учетом надежности устройств контроля для двухканальной системы 2 2 (рис. 8) расчетные формулы (7) и (17) принимают вид:

; (55)

, (56)

где п - число информационных выходов одного канала; , - интенсивность отказов и интенсивность опасных отказов безопасных схем сравнения; , - вероятности безотказной и безопасной работы безопасных схем сравнения.

Пример 8. Для двухканальной системы имеем: = 10^-5 1/час, = 10^-8, = 10^-12, п = 100, t = 1000 час. Тогда:

;

Из сравнения полученных результатов с величинами и в примерах 2 и 3 видно, что их уменьшение незначительно (соответственно на 0,8 % и 0,0001 %), если показатели безотказности и безопасности БСС удовлетворяют требованиям, предъявляемым к безопасным элементам (см. раздел 5.2).

Для расчета вероятностей безотказной и безопасной работы мажоритарной системы используются формулы (см. (35)):

; (57)

(58)

где п - число мажоритарных элементов; , - интенсивности отказов и опасных отказов мажоритарного элемента; , - вероятности безотказной и безопасной работы мажоритарного элемента.

Пример 9. Для системы 2 3 имеем: = 10^-5 1/час, = 10^-8, = 10^-12, п = 100, t = 1000 час. Тогда

Учет надежности мажоритарного элемента в данном случае уменьшает величины и на 0,1 % и 0,0001 % соответственно (см. пример 6).

7. Расчет показателей надежности систем со сложной структурой

Сложные системы железнодорожной автоматики строятся, как правило, с использованием нескольких микроЭВМ, которые выполняют различные функциональные задачи и могут иметь разные виды и кратность резервирования. К таким системам относятся микропроцессорные и диспетчерские централизации, системы горочной автоматики и др. В этом случае для вычисления показателей безотказности и безопасности используется метод преобразования структурной схемы надежности, описанный в разделе 2.1.

Рассмотрим, в качестве примера, структурную схему микропроцессорной централизации (МПЦ), показанную на рис. 27 [2]. Она состоит из подсистемы ввода-вывода информации ПВВИ, центральной подсистемы управления маршрутами ЦПУМ, подсистемы диагностики ПД и периферийной подсистемы управления напольными объектами ППУО. В каждую подсистему входят три параллельно и независимо работающих микроЭВМ с аппаратным мажорированием входных и выходных сигналов с помощью мажоритарных устройств ввода-вывода. На структурной схеме (рис. 27) в качестве элементов показаны процессорный модуль обработки информации МОИ, мажоритарное устройство для связи подсистем УМ, схемы непосредственного управления и контроля объектами СНУК и мажоритарные элементы сопряжения с напольными устройствами М.

Как видно из рис. 27 в данной системе применена избыточная (3.3) - структура, осуществляющая каскадное соединение по мажоритарному принципу блоков МОИ и УМ. Эта структура описана в разделе 2.5. Используя формулы (2.8) - (2.10), (2.54), (35), получаем, что вероятность безотказной работы системы МПЦ:

. (59)

Структурная схема (рис. 27) может быть использована и для расчета вероятности безопасной работы. Отказы блока ПВВИ не нарушают безопасности системы. Система работает безопасно, если не имеют опасных отказов блоки ЦПУМ, ПД, ППУО, мажоритарные элементы М и схемы СНУК. Поскольку элементы М и СНУК не резервируются и непосредственно осуществляют выход на управляемые объекты, они должны быть безопасными элементами, у которых . Используя формулы (2.9) и (35) получаем:

. (60)

Рассчитаем характеристики МПЦ при следующих данных: = = 30 10^-6 1/ч, = 0,1 10^-6 1/ч, = 0,1 10^-9 1/ч, = 4 10^-6 1/ч, = 4 10^-9 1/ч, т = 20, r = 20, t = 1000 час.

;

.

8. Влияние периодического контроля на показатели безопасности

Применение систем с постоянным резервированием дает наибольший выигрыш надежности и безопасности в области малых значений . С течением времени эффект от резервирования существенно падает. Интенсивность отказов возрастает и стремится в пределе к интенсивности отказов нерезервированной системы (см. раздел 2.2, рис. 2.8).

Эффективным средством повышения безопасности в этом случае является организация периодического контроля испр...