不完全无关性覆盖模型下容错系统可靠性分析方法

Reliability Evaluation of Fault-Tolerant System Based on Imperfect Irrelevant Coverage Model

摘要

针对实际工程应用中系统无关部件的检测、定位和隔离可能出现失败的问题，分别探究无关部件隔离成功与失败时其覆盖失效与未覆盖失效对系统可靠性的影响，厘清它们之间的逻辑关系，提出一种不完全无关性覆盖模型（Imperfect Irrelevance Coverage Model， IICM）。在IICM中提出将隔离因子用于量化无关部件隔离的成功率。IICM可以兼容不完全故障覆盖模型（Imperfect Fault Coverage Model， IFCM）与无关性覆盖模型（Irrelevance Coverage Model， ICM）。此外，提出一种基于二元决策图的不完全无关性覆盖下容错系统可靠性组合定量分析方法。案例分析结果表明：1） IICM具有通用性，其组合定量分析方法具有有效性；2） IICM相比IFCM可在不增加冗余的前提下提高系统可靠性，相比ICM在考虑无关性部件隔离效果方面做出了进一步优化。

Abstract

To address the issue that the detection, location, and isolation of irrelevant system components may fail in actual engineering applications, this paper explores the impact of coverage failure and uncovered failure on the system under conditions of successful and unsuccessful isolation of the irrelevant components, clarifies the logical relationship between them, and proposes the Imperfect Irrelevance Coverage Model (IICM). In the IICM, an isolation factor is proposed to quantify a probability of successful isolation related to the irrelevant component. The IICM can be compatible with the imperfect fault coverage model (IFCM) and the irrelevance coverage model (ICM). Also, a combinatorial method is proposed for the fault-tolerant system reliability quantitative analysis based on the binary decision diagram considering imperfect irrelevance coverage. The results of the case study show that: 1) IICM is universal and its combinatorial quantitative analysis method is effective; 2) Compared with the IFCM, the IICM can improve system reliability without increasing redundancy. Also, the IICM improves the ICM by considering the isolation impact of irrelevant components.

Graphical abstract

关键词

不完全故障覆盖模型 / 无关性覆盖模型 / 故障树 / 二元决策图 / 可靠性分析

Key words

imperfect fault coverage model / irrelevance coverage model / fault tree / binary decision diagram / reliability analysis

0　 引 言

随着工业数字化进程不断深入，相关系统需求也随之提高，系统结构也变得愈发复杂。然而，系统结构复杂性的增加往往会导致风险故障率上升。尽管系统内部的故障无法完全消除，但是工程师们仍在努力抑制其影响。特别是在高风险的关键领域，为确保系统的高性能和安全性，必须对系统的可靠性进行彻底分析，稍有不慎，就可能会引发灾难性的后果，如汽车的安全气囊，航天飞船的推进器等，这些设备都对可靠性有着极高的要求，一旦发生故障，往往会带来极其严重的后果。

容错技术被广泛应用于保障安全关键系统高可靠性，例如，神威太湖之光超级计算机系统可靠性设计与分析^[1]，桁架机器人系统可靠性分析^[2]等。容错技术包括诊断技术、错误防范技术和错误影响弱化技术、冗余技术等。其中，冗余技术指用功能相近的若干决策方案或措施代替单一方案。在正常情况下，这些备用方案看似“多余”，但当原方案失效时，它们可以自动依次接替原方案，从而维持决策实施的正常进行。然而，冗余部件并不能完全保障系统的可靠性。当系统缺乏可用冗余时，可覆盖的部件故障会导致系统失效；而即使有足够的冗余，无法覆盖的部件故障也会直接导致系统失效，且后果更为严重。因此，部件故障覆盖是系统可靠性研究的一个经典问题。

为了避免因无法覆盖的部件故障而导致的生命财产损失、环境破坏与资源浪费，可靠性评估应尽可能应用于系统的早期设计阶段，以最大程度降低潜在风险。根据不完全故障覆盖模型（Imperfect Fault Coverage Model, IFCM）^[3]，系统容错机制对部件故障的检测、定位和隔离（覆盖）并非完全（非百分百成功）。无论是否存在可用冗余，部件未覆盖故障引发的失效状态（部件未覆盖失效）都可能直接导致系统失效（包括未被成功检测的故障在系统中传播，或由未被成功隔离的故障引起的系统重构失败），从而大幅度降低系统的可靠性。例如，未被检测到的物理破坏、突发的部件起火爆炸、感染计算机病毒的文件等都可能使得整个系统崩溃。

然而，在基于不完全覆盖模型的系统可靠性分析过程中，通常假设部件始终与系统相关，忽略了运行过程中部件的相关性变化。例如，在某深远海养殖平台供电系统中，风力电机为电池组充电，电池组作为主电源，柴油发电机则作为备用电源。如果电池组失效，系统会切换到柴油发电机供电，此时风力电机因无法继续为电池组充电而成为一个无关部件。在这种情况下，电池组的失效触发了风力电机从相关部件转变为无关部件。尽管无关部件并非故障部件，不会被容错机制隔离，但根据部件故障覆盖的不完全性理论，它仍可能存在未覆盖失效的风险，从而直接导致系统失效。例如，因海洋恶劣气候导致风力电机电路短路，可能引发整个养殖平台断电。

为了防范此类风险，Xiang等^[4]提出了一种无关性覆盖模型（Irrelevance Coverage Model, ICM）。该模型不仅考虑了部件故障覆盖的不完全性，还引入了对无关部件的检测与隔离机制。随后，相关学者针对系统的动态失效行为^[5]、多阶段性^[6]、多态性^[7]、失效传递性^[8]、冗余优化性^[9]对ICM进行了改进。然而，在所有相关改进工作中，均假设无关部件的隔离是完美的。但在实际工程中，无关部件的检测与隔离装置也可能发生故障，导致无关部件隔离失败。例如，装置物理结构损坏或传感器灵敏度降低等因素都可能影响隔离效果，从而进一步影响系统的可靠性。

因此，需要关注无关部件隔离失败的场景，明确无关部件隔离的决定性因子，分析无关部件隔离失败前后对系统可靠性的影响，重新定义ICM。针对上述问题，本文提出了一种不完全无关性覆盖模型（Imperfect Irrelevance Coverage Model, IICM），结合二元决策图算法，实现了对系统的可靠性分析。最后，案例分析结果表明，相比IFCM，IICM能在不增加额外冗余部件的前提下提高系统可靠性。

1　 不完全无关性覆盖模型

1.1　不完全故障覆盖模型

对于不完全覆盖系统而言，因为系统内部自动覆盖机制覆盖（检测、定位和隔离）部件故障并不完美（存在失败的可能性），所以这种未覆盖成功的故障可能直接导致系统失效。根据部件故障的传播效果，IFCM分为单点故障覆盖模型和多故障覆盖模型。而在本文中，IFCM只关注单点故障模型，其结构如图1所示。

图1单点故障覆盖模型中，出口R表示部件发生故障但可瞬时恢复并继续工作（例如，电力不稳引发的部件失效）；出口Co表示无法瞬间恢复的部件故障，如果该故障能够被系统成功隔离，那么这种故障引起的失效称为覆盖失效；出口S表示可以直接导致系统失效的部件故障，这种部件故障引发的失效称为未覆盖失效。未覆盖失效与覆盖失效不同，无论系统中是否存在适用的冗余，未覆盖失效都可以直接导致系统失效。由于同一部件同一时间只能处于一种故障状态，可得R、Co和S之间是互斥的关系。设P_R，P_{\mathrm{C}\mathrm{o}}和P_S为三个出口的概率，有P_R+P_{\mathrm{C}\mathrm{o}}+P_S=\mathrm{1}。R和Co出口都被认为是故障处理机制的一种成功的行为，所以覆盖因子c=\left(P_R+P_{\mathrm{C}\mathrm{o}}\right)=\left(\mathrm{1}-P_S\right)。在实际应用中，因为R出口并不会对系统有所影响，所以往往被忽略。因此，c被重新推导为c=P_{\mathrm{C}\mathrm{o}}/\left(\mathrm{1}-P_R\right)=P_{\mathrm{C}\mathrm{o}}/\left(P_S+P_{\mathrm{C}\mathrm{o}}\right)^[10]。此时，设\mathrm{P}\mathrm{r}\{i\}，\mathrm{P}\mathrm{r}\{\overline{i}\}和\mathrm{P}\mathrm{r}\{\underline{i}\}分别表示部件{\theta }_i的失效概率，覆盖失效概率和未覆盖失效概率，c_i为{\theta }_i的不完全覆盖因子，即部件覆盖失效对于部件（整体）失效的占比。那么可得\mathrm{P}\mathrm{r}\{i\}=\mathrm{P}\mathrm{r}\{\overline{i}\}+\mathrm{P}\mathrm{r}\{\underline{i}\}，\mathrm{P}\mathrm{r}\{\overline{i}\}=c_i\mathrm{P}\mathrm{r}\{i\}和\mathrm{P}\mathrm{r}\{\underline{i}\}=\left(\mathrm{1}-c_i\right)\mathrm{P}\mathrm{r}\{i\}。

设x表示部件{\theta }_x失效；\overline{x}表示其覆盖失效；\underline{x}表示其未覆盖失效，\overline{F}表示基于部件覆盖失效的系统失效函数。根据单点故障覆盖模型和上述分析，可得不完全故障覆盖下系统失效函数如（1）式所示：

F_{\mathrm{I}\mathrm{F}\mathrm{C}\mathrm{M}}=\overline{F}+{\displaystyle \sum _{i=\mathrm{1}}^n}\underline{x_i}（1）

1.2　部件不完全无关性覆盖

1.2.1　无关性部件检测

在系统运行过程中，某一部件的覆盖失效可能会引发另一部件与系统的相关性发生改变。例如，某一串并联系统，部件A的覆盖失效会触发部件B为无关部件，其故障树模型如图2所示。

根据图2中故障树模型，得出其布尔表达式F=\left(A+B\right)\cdot C，其中F表示系统失效。当B=\mathrm{1}时（部件B失效），F=\left(A+\mathrm{1}\right)\cdot C=C。此时，线路一不可用，部件A是否处于覆盖失效状态均不会对系统（失效函数）产生任何影响。因此，部件A被部件B的覆盖失效触发为无关部件。此刻，部件A并未发生任何故障，不会被容错机制隔离，其依然被保留在了系统内。但是，根据IFCM，部件B可能会由未覆盖故障引发未覆盖失效状态导致系统失效。为了消除这类隐患，需要及时检测无关部件并及时与系统隔离。针对这一问题，基于系统故障树表达式，结合布尔函数变量无关性的概念，进行部件相关性推导，如（2）式所示：

F(x=\mathrm{1})=F(x=\mathrm{0})\iff \left\{\begin{array}{l}F(x=\mathrm{1})-F(x=\mathrm{0})=\mathrm{0}\iff \neg F(x=\mathrm{1})+F(x=\mathrm{0})=\mathrm{1}\\ F(x=\mathrm{0})-F(x=\mathrm{1})=\mathrm{0}\iff F(x=\mathrm{1})+\neg F(x=\mathrm{0})=\mathrm{1}\end{array}\right.（2）

式中，x为布尔变量表示{\theta }_x的失效状态；F为故障树表达式，F(x=\mathrm{1})与F(x=\mathrm{0})分别表示当x（覆盖）失效与未失效时系统状态对应的表达式。由（2）式可得，当x使F同时满足\neg F(x=\mathrm{1})+F(x=\mathrm{0})=\mathrm{1}（\neg表示逻辑非）及F(x=\mathrm{1})+\neg F(x=\mathrm{0})=\mathrm{1}时，x为无关部件。根据（2）式，可触发x为无关部件的其他部件覆盖失效集合的推导如（3）式所示：

\mathrm{M}\mathrm{I}\mathrm{T}[x]=\mathrm{P}\mathrm{P}\mathrm{I}\left(\left(\neg F(x=\mathrm{1})+F(x=\mathrm{0})\right)\cdot \left(F(x=\mathrm{1})+\neg F(x=\mathrm{0})\right)\right)/\mathrm{P}\mathrm{I}\left(F\right)（3）

式中，MIT[A]表示{\theta }_x的最小无关触发（Minimal Irrelevance Triggers）^[11]，即能够导致x无关的其他部件最小（覆盖）失效集合；PI(F)表示取布尔函数F的质蕴含式，当系统为单调结构时可利用系统故障树的最小割集MCS(F)代替；PPI(F)表示取布尔函数F的正质蕴含式，它表明无关部件的最小触发必须为其他失效部件（排除逻辑非）；“/”表示排除运算，排除PI(F)确保只有当系统正常工作的状态下的MIT才有意义。

根据图2所示故障树和（3）式，可计算部件A的串并联系统的MIT，如下所示：

F(A=\mathrm{1})=C,F(A=\mathrm{0})=B\cdot C

\neg F(A=\mathrm{1})=\neg C,\neg F(A=\mathrm{0})=\neg (B\cdot C)=

\neg B+\neg C

\mathrm{M}\mathrm{I}\mathrm{T}[\overline{A}]=

\mathrm{P}\mathrm{P}\mathrm{I}((\neg C+B\cdot C)\cdot (C+\neg B+\neg C))/\mathrm{M}\mathrm{C}\mathrm{S}(F)=

\mathrm{P}\mathrm{P}\mathrm{I}(\neg C+B\cdot C)/\mathrm{M}\mathrm{C}\mathrm{S}(F)=\overline{B}/(\overline{AB}+\overline{AC})=

\overline{B}

同理，可计算得出\mathrm{M}\mathrm{I}\mathrm{T}[B]=\overline{A}，\mathrm{M}\mathrm{I}\mathrm{T}[C]=\mathrm{0}。\mathrm{M}\mathrm{I}\mathrm{T}[C]=\mathrm{0}表示部件C不会被触发为无关部件，始终与系统相关。另外，当某一部件X初始无关时，其MIT计算结果为\mathrm{M}\mathrm{I}\mathrm{T}[X]=\mathrm{1}。

1.2.2　不完全无关性覆盖模型

根据IFCM定义，{\theta }_x未覆盖失效状态可以直接导致系统失效。而根据ICM定义，由于无关部件会被系统检测隔离，那么只有相关部件才可能发生未覆盖故障从而处于未覆盖失效状态，则{\theta }_x的未覆盖失效表达式应为\neg \mathrm{M}\mathrm{I}\mathrm{T}[x]\cdot \underline{x}，其表示只有当未被触发无关部件（\mathrm{M}\mathrm{I}\mathrm{T}[x]\ne \mathrm{1}）时，{\theta }_{x_i}才会发生未覆盖失效。依据MIT对（1）式进行推导，得到（4）式：

F_{\mathrm{I}\mathrm{F}\mathrm{C}\mathrm{M}}=\overline{F}+{\displaystyle \sum _{i=\mathrm{1}}^n}\underline{x_i}=\overline{F}+

{\displaystyle \sum _{i=\mathrm{1}}^n}\left(\mathrm{M}\mathrm{I}\mathrm{T}[x_i]\cdot \underline{x_i}+\neg \mathrm{M}\mathrm{I}\mathrm{T}[x_i]\cdot \underline{x_i}\right)（4）

依据ICM，隔离后的无关部件不会处于未覆盖失效状态，即令\mathrm{M}\mathrm{I}\mathrm{T}[x_i]\cdot \underline{x_i}=\mathrm{0}。实际上，无关部件的隔离机制并不完美，和IFCM理论类似，无关部件的检测、定位、隔离也可能失败，导致其依然保留在系统之中，显然此时无法直接令\mathrm{M}\mathrm{I}\mathrm{T}[x_i]\cdot \underline{x_i}=\mathrm{0}。这里存在两种可能：1） 隔离成功，则对应无关部件未覆盖失效风险消除；2） 隔离失败，则对应无关部件未覆盖失效风险依然存在。针对这一问题，结合IFCM理论，本文提出了不完全无关性覆盖模型（IICM），其部件无关性覆盖与单点故障结构关系如图3所示。

如图3所示，当系统部件经无关性检测判定为无关部件后则立即被系统隔离（关停），如隔离失败则会与相关部件一起保留在系统中，可能出现瞬时恢复、覆盖失效与未覆盖失效三类状态。特别注意的是，Is出口表示无关部件被成功隔离，消除了其故障引发所有失效的风险。实际上，由于无关部件覆盖失效不会对系统失效产生任何影响，只消去了未覆盖失效的风险。隔离失败时，虽然该部件依然具备无关性，但系统容错机制仍然会检测它的故障状态并做出相应的处理。与传统ICM相比，IICM关注了无关部件隔离成功与否对系统可靠性的影响。

设I_{x_i}为一个布尔变量，表示无关部件的隔离因子，I_{x_i}=\mathrm{1}表示无关部件{\theta }_{x_i}隔离成功，I_{x_i}=\mathrm{0}表示无关部件{\theta }_{x_i}隔离失败。无关部件{\theta }_{x_i}隔离成功时的未覆盖失效表达式F_{\mathrm{s}\mathrm{u}\mathrm{c}\mathrm{e}\mathrm{s}\mathrm{s}}如（5）式所示。

F_{\mathrm{s}\mathrm{u}\mathrm{c}\mathrm{e}\mathrm{s}\mathrm{s}}=I_{x_i}\cdot \neg \mathrm{M}\mathrm{I}\mathrm{T}[x_i]\cdot \underline{x_i}（5）

式中，\neg \mathrm{M}\mathrm{I}\mathrm{T}[x_i]表示非{\theta }_{x_i}的最小无关触发（即没有触发{\theta }_{x_i}为无关部件的条件）；\underline{x_i}表示{\theta }_{x_i}为覆盖失效。

（5）式表明，当无关部件{\theta }_{x_i}能够隔离成功，才能利用MIT约束\underline{x_i}的发生。当隔离失败时，无关部件{\theta }_{x_i}隔离不成功的未覆盖失效表达式F_{\mathrm{f}\mathrm{a}\mathrm{i}\mathrm{l}\mathrm{u}\mathrm{r}\mathrm{e}}如（6）式所示。

F_{\mathrm{f}\mathrm{a}\mathrm{i}\mathrm{l}\mathrm{u}\mathrm{r}\mathrm{e}}=\neg I_{x_i}\cdot \underline{x_i}（6）

式中，\neg I_{x_i}表示无关部件{\theta }_{x_i}隔离不成功。（6）式表明，当无法成功隔离无关部件{\theta }_{x_i}，则\underline{x_i}的发生不受任何约束。其次，设定当\mathrm{M}\mathrm{I}\mathrm{T}[x_i]=\mathrm{0}时，I_{x_i}=\mathrm{0}，其表明相关部件、无关部件不受隔离因子约束。依据公式（4）~（6），可以推导出系统基于IICM的失效函数，如（7）式所示：

F_{\mathrm{I}\mathrm{I}\mathrm{C}\mathrm{M}}=\overline{F}+{\displaystyle \sum _{i=\mathrm{1}}^n}\left(I_{x_i}\cdot \neg \mathrm{M}\mathrm{I}\mathrm{T}[x_i]\cdot \underline{x_i}+\neg I_{x_i}\cdot \underline{x_i}\right)（7）

在（7）式中，如果设定I_{x_i}\equiv \mathrm{1}，即在完美无关性覆盖假设下F_{\mathrm{I}\mathrm{I}\mathrm{C}\mathrm{M}}=\overline{F}+{\displaystyle \sum _{i=\mathrm{1}}^n}\left(\neg \mathrm{M}\mathrm{I}\mathrm{T}[x_i]\cdot \underline{x_i}\right)=F_{\mathrm{I}\mathrm{C}\mathrm{M}}；如不考虑无关性覆盖，即I_{x_i}\equiv \mathrm{0}，则F_{\mathrm{I}\mathrm{I}\mathrm{C}\mathrm{M}}=\overline{F}+{\displaystyle \sum _{i=\mathrm{1}}^n}\underline{x_i}=F_{\mathrm{I}\mathrm{F}\mathrm{C}\mathrm{M}}；因此，（7）式是一种兼容IFCM、ICM的通用函数。综合上述，在概率上可得\mathrm{P}\mathrm{r}(x_i)\ge \mathrm{P}\mathrm{r}\left((I_{x_i}\cdot \neg \mathrm{M}\mathrm{I}\mathrm{T}[x_i]+\neg I_{x_i})\cdot x_i\right)\ge \mathrm{P}\mathrm{r}\left(\neg \mathrm{M}\mathrm{I}\mathrm{T}[x_i]\cdot x_i\right)，则有系统失效概率\mathrm{P}\mathrm{r}\left(F_{\mathrm{I}\mathrm{F}\mathrm{C}\mathrm{M}}\right)\ge \mathrm{P}\mathrm{r}\left(F_{\mathrm{I}\mathrm{I}\mathrm{C}\mathrm{M}}\right)\ge \mathrm{P}\mathrm{r}(F_{\mathrm{I}\mathrm{C}\mathrm{M}})。

依据图2所示系统故障树，结合上述公式和理论，其不完全无关性覆盖下系统失效函数如（8）式所示。

F_{\mathrm{I}\mathrm{I}\mathrm{C}\mathrm{M}}=\overline{A}\cdot \overline{C}+\overline{B}\cdot \overline{C}+I_A\cdot \neg \overline{B}\cdot \underline{A}+I_B\cdot \neg \overline{A}\cdot \underline{B}+\neg I_A\cdot \underline{A}+\neg I_B\cdot \underline{B}+\underline{C}（8）

1.3　基于二元决策图的可靠性分析

基于（8）式进行定量分析，如利用容斥原理，则需要计算{\mathrm{2}}^{\mathrm{7}}-\mathrm{1}=\mathrm{127}项。因此，为了减少计算量，获取不相交积之和（Sum of Disjoint Products, SDPs），可以利用二元决策图（Binary Decision Diagram, BDD）^[12]。BDD作为一种可用于故障树分析的算法^[13-15]，与其他传统方法相比，在计算机内存需求和计算时间上具有优势。它是一种基于香农分解^[12]的有根无环图。其香农分解公式如（9）式所示。

f=x\cdot f_{x=\mathrm{1}}+\neg x\cdot f_{x=\mathrm{0}}=\mathrm{i}\mathrm{t}\mathrm{e}(x,F_{\mathrm{1}},F_{\mathrm{0}})（9）

其中，ite表示“if-then-else”，式中\mathrm{i}\mathrm{t}\mathrm{e}(x,F_{\mathrm{1}},F_{\mathrm{0}})表示如果x=1则选F_{\mathrm{1}},否则x=0选F_{\mathrm{0}}。

设覆盖因子、隔离因子、部件故障为一个二元节点，其最小BDD与一般BDD如图4所示。

BDD间合并操作规则为一般布尔代数运算。令\diamond表示布尔逻辑与或操作，G和H分别对应IICM失效函数子式，则G\diamond H=\mathrm{i}\mathrm{t}\mathrm{e}(x,G_{\mathrm{0}},G_{\mathrm{1}})\diamond \mathrm{i}\mathrm{t}\mathrm{e}(y,H_{\mathrm{0}},H_{\mathrm{1}})的合并运算如（10）式所示：

G\diamond H=

（10）

式中，\mathrm{i}\mathrm{n}\mathrm{d}\mathrm{e}\mathrm{x}表示布尔变量的索引顺序，这种顺序影响BDD的结构。但是，当前没有一种通用的索引策略适用于BDD中布尔变量排序，一般多为启发式^[16]、基于相邻节点优先^[17]等方法。为了迎合BDD的结构，引入覆盖因子c,有x=\overline{x}+\underline{x}=cx+\neg cx,其中，cx表示{\theta }_{x_i}覆盖失效，\neg cx表示{\theta }_{x_i}未覆盖失效。对于覆盖因子c与隔离因子I，它们对应BDD的0-边分别表示{\theta }_{x_i}未覆盖失效状态与无关{\theta }_{x_i}隔离失败，1-边分别表示{\theta }_x覆盖失效状态与无关{\theta }_{x_i}隔离成功。对于{\theta }_x对应BDD的0-边与1-边分别表示正常状态（\neg x_i）与失效状态（x_i）。那么对于{\theta }_{x_i}覆盖失效、（相关）未覆盖失效、（无关）未覆盖失效对应的最小BDD结构如图5所示。

设变量索引，根据（10）式与图5所示BDD结构，对（8）式进行BDD建模。其中，I_A\cdot \neg \overline{B}\cdot \underline{A}+\neg I_A\cdot \underline{A}项BDD合并过程如图6所示，最终BDD如图7所示。

根据图7所示BDD，可获得8条不相交路径（即从C到终点“1”的路径），转换为不相交项之和（Sum of disjoint Products， SDPs）后系统不可靠度计算表达式如（11）式所示：

\mathrm{P}\mathrm{r}\{F_{\mathrm{I}\mathrm{I}\mathrm{C}\mathrm{M}}\}=\mathrm{P}\mathrm{r}\{\neg C\cdot \neg A\cdot \underline{B}\}+

\mathrm{P}\mathrm{r}\{\neg C\cdot \neg I_A\cdot \underline{A}\}+\mathrm{P}\mathrm{r}\{\neg C\cdot I_A\cdot \underline{A}\cdot \neg \overline{B}\}+

\mathrm{P}\mathrm{r}\{\neg C\cdot \overline{A}\cdot \neg I_B\cdot \underline{B}\}+\mathrm{P}\mathrm{r}\{\underline{C}\}+

\mathrm{P}\mathrm{r}\{\overline{C}\cdot A\}+\mathrm{P}\mathrm{r}\{\overline{C}\cdot \neg A\cdot B\}（11）

假设各个部件变量对应的时间失效概率分布均为指数分布函数。例如，A和C的累计分布函数（Cumulative Distribution Function, CDF）为f_A\left(t\right)=\mathrm{1}-{\mathrm{e}}^{-\mathit{\lambda }t}，f_C\left(t\right)=\mathrm{1}-{\mathrm{e}}^{-\mathit{\lambda }t}。设覆盖因子c_A的概率为0.99，{\theta }_A的隔离因子I_A的概率为0.95（通常情况下，I_A与c_A类似，需要工程师们经过反复测试从而统计出的一种概率），\lambda =\mathrm{5}\times {\mathrm{10}}^{-\mathrm{6}}/\mathrm{h}，时间t为1 000 h，可计算\mathrm{P}\mathrm{r}\{\neg C\cdot \neg I_A\cdot \underline{A}\}，如（12）式所示：

\mathrm{P}\mathrm{r}\{\neg C\cdot \neg I_A\cdot \underline{A}\}=\left(\mathrm{1}-(\mathrm{1}-{\mathrm{e}}^{-\mathit{\lambda }t})\right)\cdot

\left(\mathrm{1}-\mathrm{0.95}\right)\cdot \left(\mathrm{1}-\mathrm{0.99}\right)\cdot \left(\mathrm{1}-{\mathrm{e}}^{-\mathit{\lambda }t}\right)=\mathrm{1.148}\mathrm{2}\times{\mathrm{10}}^{-\mathrm{6}}（12）

同理，依次计算其他各项，通过求和可计算无关性覆盖下系统1 000 h后的不可靠度。

2　 飞机左前缘襟翼系统可靠性分析

2.1　系统故障树

前缘襟翼系统是飞机机翼的重要组成部分，在大迎角飞行时，机翼上表面前缘就开始产生气流分离，最大升力系数大大降低。图8所示为飞机左前缘襟翼（Left Leading Edge Flap, Left LEF）的（部件覆盖失效）非单调关联故障树^[18]。

如图8所示，如果\overline{\mathrm{S}\mathrm{E}\mathrm{R}\mathrm{V}}（伺服传动装置单元覆盖失效），\overline{\mathrm{A}\mathrm{S}\mathrm{Y}\mathrm{M}}（非对称控制单元覆盖失效） 和\overline{\mathrm{L}\mathrm{L}\mathrm{E}\mathrm{F}}（左前缘襟翼单元自身覆盖失效）中任意一个事件发生，则顶层事件\overline{F}（左前缘襟翼子系统失效）发生。其他可以导致\overline{F}发生的情况分别为：\overline{\mathrm{C}\mathrm{H}\mathrm{1}}到\overline{\mathrm{C}\mathrm{H}\mathrm{4}}（信道覆盖失效）的发生，\overline{\mathrm{F}\mathrm{C}\mathrm{C}\mathrm{A}}和\overline{\mathrm{F}\mathrm{C}\mathrm{C}\mathrm{B}}（飞行控制计算机A和B覆盖失效）的发生，\overline{\mathrm{F}\mathrm{C}\mathrm{C}\mathrm{A}}和\overline{\mathrm{C}\mathrm{H}\mathrm{3}}的发生，\overline{\mathrm{F}\mathrm{C}\mathrm{C}\mathrm{B}}和\overline{\mathrm{C}\mathrm{H}\mathrm{2}}的发生以及\overline{\mathrm{C}\mathrm{H}\mathrm{2}}和\overline{\mathrm{C}\mathrm{H}\mathrm{3}}的发生。从图中可以直观地看出\overline{\mathrm{C}\mathrm{H}\mathrm{1}}和\overline{\mathrm{C}\mathrm{H}\mathrm{4}}初始与\overline{F}无关。因为，\overline{\mathrm{C}\mathrm{H}\mathrm{2}}和\overline{\mathrm{C}\mathrm{H}\mathrm{3}}的发生足以引起系统失效，不需要\overline{\mathrm{C}\mathrm{H}\mathrm{1}}到\overline{\mathrm{C}\mathrm{H}\mathrm{4}}的发生。由此可知，图8所示是一个非单调关联故障树。

2.2　基于IICM的系统可靠性分析

根据（3）式和\overline{F}，计算所有部件的MIT：

\mathrm{M}\mathrm{I}\mathrm{T}[\mathrm{S}\mathrm{E}\mathrm{R}\mathrm{V}]=\mathrm{M}\mathrm{I}\mathrm{T}[\mathrm{A}\mathrm{S}\mathrm{Y}\mathrm{M}]=\mathrm{M}\mathrm{I}\mathrm{T}[\mathrm{L}\mathrm{L}\mathrm{E}\mathrm{F}]=\mathrm{0}，

\mathrm{M}\mathrm{I}\mathrm{T}[\mathrm{F}\mathrm{C}\mathrm{C}\mathrm{A}]=\overline{\mathrm{C}\mathrm{H}\mathrm{2}}，\mathrm{M}\mathrm{I}\mathrm{T}[\mathrm{F}\mathrm{C}\mathrm{C}\mathrm{B}]=\overline{\mathrm{C}\mathrm{H}\mathrm{3}}，

\mathrm{M}\mathrm{I}\mathrm{T}[\mathrm{F}\mathrm{C}\mathrm{C}\mathrm{B}]=\overline{\mathrm{C}\mathrm{H}\mathrm{3}}，

\mathrm{M}\mathrm{I}\mathrm{T}[\mathrm{C}\mathrm{H}\mathrm{3}]=\overline{\mathrm{F}\mathrm{C}\mathrm{C}\mathrm{A}}，\mathrm{M}\mathrm{I}\mathrm{T}[\mathrm{C}\mathrm{H}\mathrm{3}]=\overline{\mathrm{F}\mathrm{C}\mathrm{C}\mathrm{B}}，

\mathrm{M}\mathrm{I}\mathrm{T}[\mathrm{C}\mathrm{H}\mathrm{1}]=\mathrm{1}，\mathrm{M}\mathrm{I}\mathrm{T}[\mathrm{C}\mathrm{H}\mathrm{4}]=\mathrm{1}

依据（7）式、\overline{F}和MIT，建立不完全无关性覆盖下左前缘襟翼失效表达式，如（13）式所示：

F_{\mathrm{I}\mathrm{F}\mathrm{C}\mathrm{M}}=\overline{F}+\underline{\mathrm{S}\mathrm{E}\mathrm{R}\mathrm{V}}+\underline{\mathrm{A}\mathrm{S}\mathrm{Y}\mathrm{M}}+\underline{\mathrm{L}\mathrm{L}\mathrm{E}\mathrm{F}}+

I_{\mathrm{F}\mathrm{C}\mathrm{C}\mathrm{A}}\cdot \underline{\mathrm{F}\mathrm{C}\mathrm{C}\mathrm{A}}\cdot \neg \overline{\mathrm{C}\mathrm{H}\mathrm{2}}+I_{\mathrm{F}\mathrm{C}\mathrm{C}\mathrm{B}}\cdot \underline{\mathrm{F}\mathrm{C}\mathrm{C}\mathrm{B}}\cdot \neg \overline{\mathrm{C}\mathrm{H}\mathrm{3}}+

I_{\mathrm{C}\mathrm{H}\mathrm{2}}\cdot \underline{\mathrm{C}\mathrm{H}\mathrm{2}}\cdot \neg \overline{\mathrm{F}\mathrm{C}\mathrm{C}\mathrm{A}}+I_{\mathrm{C}\mathrm{H}\mathrm{3}}\cdot \underline{\mathrm{C}\mathrm{H}\mathrm{3}}\cdot \neg \overline{\mathrm{F}\mathrm{C}\mathrm{C}\mathrm{B}}+

\neg I_{\mathrm{F}\mathrm{C}\mathrm{C}\mathrm{A}}\cdot \underline{\mathrm{F}\mathrm{C}\mathrm{C}\mathrm{A}}+\neg I_{\mathrm{F}\mathrm{C}\mathrm{C}\mathrm{B}}\cdot \underline{\mathrm{F}\mathrm{C}\mathrm{C}\mathrm{B}}+

\neg I_{\mathrm{C}\mathrm{H}\mathrm{1}}\cdot \underline{\mathrm{C}\mathrm{H}\mathrm{1}}+\neg I_{\mathrm{C}\mathrm{H}\mathrm{2}}\cdot \underline{\mathrm{C}\mathrm{H}\mathrm{2}}+

\neg I_{\mathrm{C}\mathrm{H}\mathrm{3}}\cdot \underline{\mathrm{C}\mathrm{H}\mathrm{3}}+\neg I_{\mathrm{C}\mathrm{H}\mathrm{4}}\cdot \underline{\mathrm{C}\mathrm{H}\mathrm{4}}(13)

其中，\overline{F}=\overline{\mathrm{S}\mathrm{E}\mathrm{R}\mathrm{V}}+\overline{\mathrm{A}\mathrm{S}\mathrm{Y}\mathrm{M}}+\overline{\mathrm{L}\mathrm{L}\mathrm{E}\mathrm{F}}+\overline{\mathrm{F}\mathrm{C}\mathrm{C}\mathrm{A}}\cdot \overline{\mathrm{F}\mathrm{C}\mathrm{C}\mathrm{B}}+\overline{\mathrm{F}\mathrm{C}\mathrm{C}\mathrm{A}}\cdot \overline{\mathrm{C}\mathrm{H}\mathrm{3}}+\overline{\mathrm{F}\mathrm{C}\mathrm{C}\mathrm{B}}\cdot \overline{\mathrm{C}\mathrm{H}\mathrm{2}}+\overline{\mathrm{C}\mathrm{H}\mathrm{2}}\cdot \overline{\mathrm{C}\mathrm{H}\mathrm{3}}。依据参考文献[4]，假设左前缘襟翼中所有部件的失效时间CDF为指数分布且拥有恒定的失效率λ。设定相关部件失效率分别为：{\lambda }_{\mathrm{L}\mathrm{L}\mathrm{E}\mathrm{F}}=\mathrm{1.0}\times {\mathrm{10}}^{-\mathrm{10}} h^-1，{\lambda }_{\mathrm{A}\mathrm{S}\mathrm{Y}\mathrm{M}}=\mathrm{1.0}\times {\mathrm{10}}^{-\mathrm{8}} h^-1，{\lambda }_{\mathrm{S}\mathrm{E}\mathrm{R}\mathrm{V}}=\mathrm{1.0}\times {\mathrm{10}}^{-\mathrm{8}} h^-1，{\lambda }_{\mathrm{F}\mathrm{C}\mathrm{C}\mathrm{s}}=\mathrm{1.0}\times {\mathrm{10}}^{-\mathrm{5}} h^-1，{\lambda }_{\mathrm{C}\mathrm{H}\mathrm{s}}=\mathrm{1.0}\times {\mathrm{10}}^{-\mathrm{6}} h^-1。为了简化计算，假设所有部件覆盖因子相同，每个部件覆盖因子c=\mathrm{0.9}，每个部件的隔离因子I相同。根据公式（10）和公式（13），构建BDD，可计算不完全无关性覆盖（覆盖因子c=0.9）下1 000 h内(不同隔离因子)左前缘襟翼失效概率，其3D分布如图9所示。

为了对比基于不同覆盖模型的左前缘襟翼失效概率计算结果，以不同覆盖因子c与不同隔离因子I分组计算基于IFCM、ICM、IICM的左前缘襟翼失效概率，其结果如表1所示。

依据表1数据可知，当c=\mathrm{0.0}且I=\mathrm{0.0}时，所有部件失效均为未覆盖失效且所有无关部件隔离失败（无法避免无关部件的未覆盖失效），此时，IFCM的失效概率等于IICM的失效概率；当c=\mathrm{0.0}且I=\mathrm{1.0}时，所有部件失效均为未覆盖失效且所有无关部件完美隔离，此时ICM的失效概率等于IICM的失效概率，IFCM失效概率不变（IFCM不考虑无关部件的隔离因子）；当c=\mathrm{0.9}且I=\mathrm{0.0}时，与c=\mathrm{0.0}且I=\mathrm{0.0}时情形类似，IFCM的失效概率等于IICM的失效概率；同理，当c=\mathrm{0.9}且I=\mathrm{1.0}时，与c=\mathrm{0.0}且I=\mathrm{1.0}时情形类似。当c=\mathrm{0.9}且I=\mathrm{0.8}时，IFCM包含了所有部件未覆盖失效概率，IICM避免了部分（隔离成功的）无关部件未覆盖失效风险，ICM消去了所有无关部件未覆盖失效概率。当c=\mathrm{1.0}时，部件故障完美覆盖，不考虑部件未覆盖失效；此时，无论I取何值，3个模型的失效概率全部相同。经过上述分析可知，IICM在c和I特定取值下可与IFCM和ICM进行转换。

3　 结 语

本文针对传统ICM中无关部件完美隔离的假设，结合实际工程中的应用环境，提出了一种改进的ICM，即IICM。IICM是一种通用模型，可通过设定覆盖因子c和隔离因子I的取值，兼容IFCM和ICM。结合BDD算法，提出了一种基于IICM的系统可靠性组合定量分析方法。通过案例分析表明，相比IFCM，IICM可在不增加任何冗余的条件下提高系统可靠性，相比ICM，IICM针对无关部件隔离成败与系统可靠性间的关联问题做出了进一步的优化。本文仅针对单阶段系统，面对多态、多阶段复杂系统，IICM还面临的诸多挑战，后续工作可以通过进一步改进IICM相关无关部件判断、隔离机制，扩大该模型的应用范围。

参考文献

[1] 高剑刚， 胡晋， 龚道永， 等. 神威太湖之光可靠性及可用性设计与分析［J］. 计算机研究与发展， 2021， 58（12）： 2696-2707. DOI： 10.7544/issn1000-1239.2021.20200967 .

[2] GAO J G， HU J， GONG D Y， et al. Design and analysis of reliability and availability on sunway TaihuLight［J］. Journal of Computer Research and Development， 2021， 58（12）： 2696-2707. DOI： 10.7544/issn1000-1239.2021.20200967（Ch ）.

[3] 武滢， 杨帅军， 韦康. 基于T-S动态故障树的桁架机器人系统可靠性分析［J］. 组合机床与自动化加工技术， 2024（8）： 38-42. DOI： 10.13462/j.cnki.mmtamt.2024.08.008 .

[4] WU Y， YANG S J， WEI K. Reliability analysis of truss robot system based on T-S dynamic fault tree［J］. Modular Machine Tool & Automatic Manufacturing Technique， 2024（8）： 38-42. DOI： 10.13462/j.cnki.mmtamt.2024.08.008（Ch ）.

[5] MISRA K B. Handbook of Performability Engineering［M］. London： Springer， 2008： 321-348. DOI: 10.1007/978-1-84800-131-2 .

[6] XIANG J W， MACHIDA F， TADANO K， et al. An imperfect fault coverage model with coverage of irrelevant components［J］. IEEE Transactions on Reliability， 2015， 64（1）： 320-332. DOI：10.1109/TR.2014.2363155 .

[7] ZHOU S W， YE L Y， XIONG S W， et al. Reliability analysis of dynamic fault trees with Priority-AND gates based on irrelevance coverage model［J］. Reliability Engineering & System Safety， 2022， 224： 108553. DOI：10.1016/j.ress.2022.108553 .

[8] YANG M， ZHAO D D， YE L Y， et al. Reliability analysis of phased-mission system in irrelevancy coverage model［C］//2019 IEEE 19th International Conference on Software Quality， Reliability and Security （QRS）. New York： IEEE Press， 2019： 89-96. DOI：10.1109/QRS.2019.00025 .

[9] SONG K N， ZHOU S W， YE L Y， et al. Reliability analysis of multi-state system based on irrelevance coverage model［C］//2022 IEEE 27th Pacific Rim International Symposium on Dependable Computing （PRDC）. New York： IEEE Press， 2022： 184-193. DOI：10.1109/PRDC55274.2022.00032 .

[10] WU C L， WANG Z X， ZHOU S W， et al. Reliability analysis of systems subject to imperfect fault coverage considering failure propagation and component relevancy［C］//2021 IEEE International Symposium on Software Reliability Engineering Workshops （ISSREW）. New York： IEEE Press， 2021： 210-217. DOI：10.1109/ISSREW53611.2021.00065 .

[11] WANG Z X， ZHOU S W， ZHAO D D， et al. Reliability-redundancy allocation problem considering imperfect fault coverage［C］//2021 IEEE 21st International Conference on Software Quality， Reliability and Security （QRS）. New York： IEEE Press， 2021： 394-403. DOI：10.1109/QRS54544.2021.00051 .

[12] DOYLE S A， DUGAN J B. Fault trees and imperfect coverage： A combinatorial approach［C］//Annual Reliability and Maintainability Symposium 1993 Proceedings. New York： IEEE Press， 2002： 214-219. DOI：10.1109/RAMS.1993.296853 .

[13] ZHOU S W， XIANG J W， WONG W E. A generalized ternary decision diagram for reliability analysis on fault-tolerant systems in different coverage models［J］. Journal of Nuclear Science and Technology， 2022， 59（11）： 1417-1435. DOI：10.1080/00223131.2022.2062473 .

[14] RAUZY A. New algorithms for fault trees analysis［J］. Reliability Engineering & System Safety， 1993， 40（3）： 203-211. DOI：10.1016/0951-8320（93）90060-C .

[15] ZHOU S W， XIANG J W， WONG W E. Reliability analysis of dynamic fault trees with spare gates using conditional binary decision diagrams［J］. Journal of Systems and Software， 2020， 170： 110766. DOI：10.1016/j.jss.2020.110766 .

[16] ZHOU S W， SIWEI ZHOU Y Y， YINGHUAI YU X P. Reliability analysis of cold-standby systems with subsystems using conditional binary decision diagrams［J］. Journal of Internet Technology， 2023， 24（4）： 931-943. DOI：10.53106/160792642023072404011 .

[17] ZHOU S W， LI Z， XIANG J W. Reliability analysis of dynamic fault trees with Priority-AND gates using conditional binary decision diagrams［J］. Reliability Engineering & System Safety， 2025， 253： 110495. DOI：10.1016/j.ress.2024.110495 .

[18] MO Y C， ZHONG F R， LIU H W， et al. Efficient ordering heuristics in binary decision diagram–based fault tree analysis［J］. Quality and Reliability Engineering International， 2013， 29（3）： 307-315. DOI：10.1002/qre.1382 .

[19] DU S G， YAN S. A novel ordering method of binary decision diagram［C］//2007 International Conference on Management Science and Engineering. New York： IEEE Press， 2007： 299-304. DOI: 10.1109/icmse.2007.4421864 .

[20] DOYLE S A， DUGAN J B. Dependability assessment using binary decision diagrams （BDDs）［C］//Twenty-Fifth International Symposium on Fault-Tolerant Computing. New York： IEEE Press， 2002： 249-258. DOI：10.1109/FTCS.1995.466973 .

基金资助

国家自然科学基金(61672398)

湛江市科技计划项目(2024B01067)

广东海洋大学科研启动基金(060302102302)

广东海洋大学科研启动基金(R20079)