基于随机peri网的机载液压系统可靠性分析

基于随机peri网的机载液压系统可靠性分析

飞机的自动驾驶系统是飞机姿态控制的重要组成部分。保证机载液压系统的可靠性和安全性是飞机可靠性设计的重要内容。在当前的机载液压作动系统设计中普遍采用了余度设计方案。余度技术在液压作动系统设计中的应用提高了系统的任务可靠性,同时,它也引入了潜在的薄弱环节。为了在液压系统故障早期发现故障并及时隔离故障系统进行维修从而减少液压系统崩溃并发生毁坏性故障的概率,液压系统普遍装备有故障检测系统。故障检测系统的引入使得飞机液压系统的故障行为具有时序和相关性,采用传统的可靠性建模方法很难实现其性能降级过程描述。虽然连续时间的马尔可夫链(ContinuousTimeMarkovChain,CTMC)方法能够描述动态系统模型,但是该方法假设状态的转移在很小的Δt内发生,且认为故障不可维修,加之解算的复杂性限制了该方法的使用。与此同时,广义随机Petri网(GeneralizedStochasticPetriNets,GSPN)模型因其具有并行性、不确定性、异步以及对动态系统的层次化和模块化描述能力和分析优势而得到了越来越广泛的应用[6,7,8,9,10,11,12,13,14,15]。本文在分析机载液压系统结构的基础上,基于GSPN建立了机载液压系统可靠性模型,并分析了故障检测系统对故障性能降级与系统可靠性的影响。1液压作动系统的建立机载液压作动系统由液压油源系统及液压作动系统组成。由于对系统高可靠性的要求,通常,液压油源和液压作动系统都采用余度配置方案,其结构如图1所示。机载液压系统中的油源子系统属于典型的机电系统,其主要的故障模式包括电气失效、机械磨损、疲劳及密封失效等。由于机载液压系统任务时间短,与机械故障相比,电气失效成为油源系统在任务期间典型的失效模式。而通常电气系统的失效密度函数可用指数分布函数进行描述,因此,为方便Petri网建模同时不失分析的准确性,本文假设油源1、2的故障分布和维修时间均服从指数分布,且故障率为λS和维修率为μS。如图1所示,液压油源系统由油源1和油源2组成。正常使用过程中,两组油源共同工作,为作动系统提供液压能源。根据其逻辑关系可知,两组油源形成并联的可靠性逻辑关系。油源系统状态主要有4个,如表1所示。为有效描述油源的状态,定义标识向量为:SHPS=[HPS1.upHPS1.dnHPS2.upHPS2.dnHPS.upHPS.dn]。其中,HPS1.up与HPS1.dn分别表示液压油源1的完好和故障状态;HPS2.up与HPS2.dn分别表示液压油源2的完好和故障状态。HPS1.up与HPS1.dn表示油源系统的完好与故障状态。油源的初始状态为MH0=,即:两组油源均处于完好,油源系统处于完好状态。由于系统仅存在两态:故障/正常,因此,定义SHPS中各分量的容量K=。油源系统存在的状态变化过程包括:油源1由完好状态到故障状态的转移tS1,其转移率即为油源故障率λS;油源1的维修过程tS2,其转移率即为油源维修率μS;油源2由完好状态到故障状态的转移tS3,其转移率同样为λS;油源1的维修过程tS4,其转移率为μS。上述4个转移过程均与故障-维修时间相联系,因此定义时间变迁集Tt=[tS1tS2tS3tS4],与变迁集相关联的平均变迁实施速率集合Λ=[λSμSλSμS]。除了与时间相联系的状态转移过程外,系统存在着因两组油源故障与否而导致的油源子系统级故障与否的逻辑判断过程,由于与时间变迁相比,该判断过程持续时间极短,因此定义瞬态变迁集Ti=[tS5tS6tS7tS8]。油源系统的动态转移行为THPS=Tt∪Ti,且Tt∩Ti=φ。根据对油源系统状态及动态行为的描述,七元组(SHPS,THPS;F,K,W,MH0,Λ)构成了油源系统GSPN模型。其中:F为模型的弧集;W为弧权。本文所述模型中,所有弧的权值均为1。液压作动系统由3组完全相同的作动器子系统组成,如图1所示。控制信号同时给3个通道指令,3个通道同时工作。当故障诊断系统检测到故障时,余度控制系统自动隔离故障通道并发出报警。与油源系统相似,假设各通道的故障分布和维修时间均服从指数分布,且各通道伺服阀故障率λ1和维修率μ1均相等,作动器故障率λ2和维修率μ2均相等。液压作动系统可靠性逻辑比较复杂。单通道的液压作动系统由伺服阀和作动器串联组成,单部件有正常和故障两种状态,定义SAi=[Valvei.upValvei.dnActuatori.upActuatori.dnSub1.upSub1.dn](i=1,2,3)为单通道作动系统的状态空间,初始时刻MSi0=。单通道液压作动系统中的状态变化过程包括:液伺服阀与压作动器的故障、维修过程,定义时间变迁集TAti=[ti1ti2ti3ti4],变迁集相关联的平均变迁实施速率集合ΛA=[λ1μ1λ2μ2]。三通道的液压作动系统在可靠性逻辑上构成并联关系。定义SAS=[Actuators.upActuators.dn]标识液压作动系统的状态空间。SASo=SAS∪SA1∪SA2∪SA3构成了无故障检测的液压作动系统的状态空间。为反映故障检测状态的漏检率,定义状态向量SFD=[Detected1Undetected1Detected2Undetected2Detected3Undetected3]表征每通道液压作动系统故障被检测/隔离与否。因此,SASFD=SASo∪SFD构成了带故障检测装置的液压作动系统的状态空间。由于漏检率的影响,带故障检测装置的作动系统的状态变化过程较为复杂。对该模型状态转移的描述将在系统建模中阐述。2重型装备系统的pspt建模2.1创建gspn模型机载液压油源系统由两组油源同时为液压作动系统提供液压能源。考虑设备的故障-维修过程,使用GSPN建立油源系统的可靠性模型如图2所示。在图2所示的油源子系统GSPN模型中,iff#(HPS1.up)=1∪#(HPS2.up)=1,#(HPS.up)=1,即只要有一套油源能够正常工作,油源系统可正常工作。iff#(HPS1.dn)=1∩#(HPS2.dn)=1,#(HPS.dn)=1,即两套油源均故障时,油源系统故障。在初始时刻,两套油源均处于正常工作状态,即:#(HPS1.up)=1,#(HPS2.up)=1,#(HPS.up)=1。使用CTMC建立与该GSPN模型相等效的系统模型如图3所示。图3中,状态0表示油源系统的工作状态;状态1表示油源1处于故障状态,油源2正常工作;状态2表示两套油源均发生故障状态,油源系统故障;状态3表示油源2发生故障,油源1正常工作。根据图3可以得到油源系统的状态转移速率矩阵为进而可得油源系统的状态方程为给定初始条件为[P0(0)P1(0)P2(0)P(3)]=及参数λS=4.3×10-6h-1,μS=7.2×10-6h-1,可得到模型各状态的变化曲线如图4所示。油源系统各状态可用度的稳态值为Ρ0=μ2S(λS+μS)2,Ρ1=λSμS(λS+μS)2Ρ2=λ2S(λS+μS)2,Ρ3=λSμS(λS+μS)2}(3)P0=μ2S(λS+μS)2,P1=λSμS(λS+μS)2P2=λ2S(λS+μS)2,P3=λSμS(λS+μS)2⎫⎭⎬⎪⎪(3)代入故障率和维修率数据,可得P0=0.391985,P1=P3=0.234102,P2=0.139811。2.2液压伺服阀串联液压作动系统由三通道的液压作动系统并联而成。每通道的液压作动系统有液压伺服阀与液压作动器串联工作。利用Petri网层次化及模块化建模优势,首先建立单通道液压作动系统模型,在此基础上,综合考虑故障检测装置的故障检测率,建立三余度液压作动系统整体模型。2.2.1gspn模型同构单通道液压作动系统由液压伺服阀与液压作动器串联组成,当考虑作动系统故障-维修的情况,可以建立系统的GSPN可靠性模型如图5所示。在图5所示的单通道液压作动子系统GSPN模型中,位置Valve1.up与Valve1.dn分别表示伺服阀的正常工作和故障状态。在初始时刻,伺服阀处于正常工作状态,Valve1.up中存在标记,即:#(Valve1.up)=1。变迁t11的触发模拟伺服阀的故障过程,其触发速率由伺服阀的故障率λ1决定。变迁t12的触发模拟伺服阀的维修过程,其触发速率由伺服阀的维修率μ1决定。位置Actuator1.up与Actuator1.dn分别表示作动器的正常工作和故障状态。初始时刻,作动器处于正常工作状态,即:#(Actuator1.up)=1。变迁t13的触发模拟作动器的故障过程,其触发速率由作动器的故障率λ2决定。变迁t14的触发模拟作动器的维修过程,其触发速率由作动器的维修率μ2决定。Sub1.up表示单通道液压作动子系统的正常工作状态,iff#(Valve1.up)=1∩#(Actuator1.up)=1,#(Sub1.up)=1。Sub1.dn表示单通道液压作动子系统的故障状态,iff#(Valve1.dn)=1∪#(Actuator1.dn)=1,#(Sub1.dn)=1。与图5所示的单通道液压作动系统GSPN模型同构的CTMC如图6所示。图6中:状态0表示子系统的工作状态;状态1表示伺服阀处于故障状态,子系统停机维修;状态2表示作动器处于故障状态,子系统停机维修。根据图6可以写出子系统的状态转移概率矩阵为状态转移速率矩阵为系统的状态方程为给定初始条件为[PTRM0(0)PTRM1(0)PTRM2(0)]=,对式(6)进行拉氏变换得到给定参数λ1=8.3×10-6h-1,λ2=5.6×10-6h-1,μ1=6.8×10-6h-1,μ2=7.8×10-6h-1。可得单通道液压作动子系统各状态的曲线如图7所示。对式(9)应用终值定理,得系统各状态可用度的稳态值为ΡΤRΜ0=(1+λ1μ1+λ2μ2)-1ΡΤRΜ1=λ1μ1(1+λ1μ1+λ2μ2)-1ΡΤRΜ2=λ2μ2(1+λ1μ1+λ2μ2)-1}(8)代入故障率和维修率数据,可得系统的稳态概率为:PTRM0=0.340305,PTRM1=0.415373,PTRM2=0.244322。2.2.2液压作动系统的仿真分析在无故障检测装置的理想三余度液压作动系统中,三通道的液压作动器构成理想的并联逻辑。在正常使用过程中,3个通道作动系统同时工作。当且仅当三通道的液压作动器均发生故障时,子系统发生故障。因此,在不考虑通道故障切除的理想状态下,根据其可靠性逻辑,建立其GSPN可靠性模型如图8所示。在理想的三余度液压作动系统可靠性模型中,位置Actuators.up表示作动系统的正常工作状态,iff#(Sub1.up)=1∪#(Sub2.up)=1∪#(Sub3.up)=1,#(Actuators.up)=1。位置Actuators.dn表示作动系统的故障状态,iff#(Sub1.dn)=1∩#(Sub2.dn)=1∩#(Sub3.dn)=1,#(Actuators.dn)=1。通过仿真分析发现,模型共有350个可达标识,其中有27个有效标识。由于版面限制,无法列出所有标识,现将标识合并(如表2所示)。通过对表中所示模型各标识及各标识稳态概率的分析可知,标识M0～M6为系统正常工作状态,即系统的可用度为与2.2.1节所示的单通道液压作动系统的可用性相比较,采用三余度并联工作方式可极大地提高系统的可用性。2.2.3系统潜在故障状态在2.2.2节所示的三余度液压作动系统模型中,三通道液压作动器同时参加工作。单独一个或两个通道发生故障后,系统仍然正常工作,系统中的故障被掩盖。在实际的应用中,由于故障通道可能会影响正常通道的运行,因此,在一个或两个通道发生故障后,故障检测装置会根据检测结果切除掉故障的通道。由于系统的复杂性及故障检测装置本身的可靠性的影响,故障检测装置存在一定的检测覆盖率,即:并非所有的故障均能被故障检测装置检测出来。因此,故障检测装置的检测率对系统的可靠性存在一定的影响。基于故障检测的液压作动系统可靠性模型如图9所示。在图9所示的模型中,瞬时变迁tdi,tudi(i=1,2,3)的引入反映了故障检测装置一定的故障检测覆盖率,且P(tdi)+P(tudi)=1,(i=1,2,3)。模型的工作原理如下:当i通道发生故障后,#(Subi.dn)=1,该故障通道以P(tdi)的概率被检测出并切除掉,随后#(Detectedi)=1;或者故障以P(tudi)的概率未被检测出来,而使#(Undetectedi)=1,进而禁止系统发展成为最终的故障,此时故障检测装置未能检测出系统的故障,从而使系统发生误判,进而处于潜在的危险运行状态。给定P(tdi)=0.85,P(tudi)=0.15,运行模型可得系统共计有3284个可达标识,其中有效标识233个。对各标识进行合并,可得到30个系统级状态,如表3所示。由表3中标识所反应出的系统工作状态可知,M0反映了3个通道的作动系统均正常工作;M6、M8和M29反映了系统中发生了一次故障,该故障被成功地检测并隔离;M4、M23和M27表示系统中发生了两次故障,两次故障均被成功地检测并隔离。当系统处于以上状态时,为正常工作状态,其可靠度为:0.553901。M5、M7和M28反映系统发生了一次故障,该故障未被成功地检测并隔离;M1、M20和M24反映了系统中发生了两次故障,两次故障均未被检测并隔离;M2、M3、M21、M22、M25和M26表示系统中出现两次故障,只有一次故障被成功的检测并隔离。当系统处于以上12个状态时,系统虽然仍处于工作状态,但由于未被检测和隔离的故障可能使系统误认为正常工作,进而使得系统处于潜在的故障状态。系统潜在故障状态的概率为:0.155424。在M9～M14,M16和M18中,系统发生了3次故障,但是由于系统中存在未被检测和隔离出来的故障使得故障检测装置误认为系统仍处于正常工作状态。这8个状态对系统的安全性和可靠性存在致命的影响,其发生的概率为0.085183。M15、M17和M19反映了系统在前两次发生故障被成功检测隔离的基础上,第3次故障导致系统停机的状态,此时为系统的正常故障状态,其不可靠度为:0.205485。由表4可知,M18表征的状态为系统两组油源均处于正常工作状态,且三通道的液压作动系统完好,此时系统处于完好工作状态;系统处于M0、M1、M12、M13、M14和M15时表示系统中的作动系统发生了可检测并隔离的故障,此时,系统处于降级工作状态;M17表示一组液压油源系统发生故障,三通道液压作动系统完好的状态,此时,系统工作在降级工作状态。系统处于降级工作状态的概率为:0.552047。系统处于M2、M3和M11时表示系统中存在未被检测出的故障,这些未被检测出的故障将会使得系统处于潜在的故障状态,故障得不到及时处理,将导致系统的误判等危险的发生。系统处于潜在故障状态的概率为:0.027054。当系统处于M4、M5、M8、M9和M10时,三通道液压作动系统已完全故障,但是由于存在未被检测到的故障,使得系统误认为整个系统的工作状态良好,系统的这组状态为系统的致命故障状态,其发生概率为:0.044501。M6、M7表征了由于液压作动系统的失效而导致的系统正常故障状态,M16为由于液压油源故障而导致的系统正常故障状态,系统处于正常故障状态的概率为:0.361273。续表续表通过与理想三余度液压作动系统的可靠性分析结果比较可知,由于基于故障检测的液压作动系统存在潜在危险状态及致命故障状态,使得其可靠性要低于理想模型得到的可靠性,这与实际情况吻合。2.3系统正常工作状态综合考虑2.1节、2.2节所示的机载液压油源系统及三余度液压作动系统可靠性模型,同时考虑故障检测装置的故障检测率对系统可靠性的影响,建立机载液压作动系统的完整模型如图10所示。在图10所示的机载液压系统GSPN模型中,位置Sys.up为整个液压系统正常工作状态的指示,iff#(HPS.up)=1∩#(Actuators.up)=1,#(Sys.up)=1。Sys.dn为整个液压系统故障状态的指示,iff#(HPS.dn)=1∪#(Actuators.dn)=1,#(Sys.dn)=1。对图10所示的模型进行仿真发现,系统共有16155个可达标识,其中有效标识为990个。对各标识进行合并,系统级的状态共有138个。对各系统状态进行进一步的合并,得到系统级的状态如表4所示。续表由上述分析可知,在给定的设备故障率、维修率及故障检测/隔离率下,系统主要工作在降级工作状态。同时,系统中存在潜在故障状态及致命故障状态,在两种情况下由于系统中的故障被掩盖,使得系统的状态判断及维修变得困难。因此在设计余度系统时,应根据系统的重要性合理设计系统参数,使得系统处于潜在故障状态及致命故障状态的概率尽可能小。3故障检测覆盖率余度系统设计的优劣的一个重要评价指标是故障覆盖率(Coverage)。根据美国军用标准MIL-F-9490D3.1.7飞行安全中规定:“飞行安全性分析及完成任务可靠性分析,都必须考虑监控和自监控分系统的故障型式。不管这种故障型式影响飞行安全性和完成任务可靠性的程度如何,还应考虑潜在的各种故障型式,即使使用了监控和检测系统,它们也可能没有被检测出来,因而没有被纠正。”。在通常的系统可靠性分析模型中,由于没有考虑故障检测覆盖率对系统可靠性的影响,通过传统模型得到的结果往往高于系统实际的可靠性数值。一方面,未检出的故障不利于系统的维修,同时,由2.2节和2.3节的分析结果可知,由于存在漏检而使得系统发生误判错误,使得系统存在致命的故障状态。图11给出了故障检测/隔离率对三余度液压作动系统的可靠性的影响。由图11可知,随着故障检测率的提高,系统中潜在的故障被逐步检测并隔离,系统的可靠度不断的提高;同时随着故障被系统检测出来,系统发生误判的概率也不