CN112204485A

CN112204485A - 用于解决多部件系统的自动故障树分析中的闭环的计算机实现的方法和设备

Info

Publication number: CN112204485A
Application number: CN201980038096.1A
Authority: CN
Inventors: K·黑菲希; F·蒙特罗内; M·策勒
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2018-06-07
Filing date: 2019-05-09
Publication date: 2021-01-08
Also published as: WO2019233700A1; EP3579074B1; EP3579074A1; US20210223766A1; US11853048B2

Abstract

本发明涉及一种用于解决多部件系统的自动故障树分析中的闭环的方法，该闭环对应于例如多部件设备的闭环控制电路。闭环首先在故障传播路径内以自上而下的方法被标识。接下来，通过将每个环路互连设置为布尔真、以特定方式调整故障树并且最后将每个环路互连设置为布尔假来解决环路。本发明特别地与分析安全性关键系统相关。然而，本概念不限于这些应用，并且可以应用于其中故障树分析适用的一般用例。本发明的解决方案有利地提供了一种以线性复杂度为特征的方法。

Description

用于解决多部件系统的自动故障树分析中的闭环的计算机实现的方法和设备

本发明涉及一种用于解决多部件系统的自动故障树分析中的闭环的计算机实现的方法。本发明进一步涉及一种包括被配置为执行这样的方法的处理器的设备。

在诸如航空航天、铁路、医疗保健、汽车和工业自动化之类的嵌入式系统的许多应用领域中，安全性关键系统的重要性不断增长。因此，随着系统复杂性的增长，对于安全性保证的需要及其努力正在增加，以便保证这些应用领域中的高质量需求。安全性保证的目的是确保系统不导致可能伤害人或危害环境的危险情形。在安全性关键系统的应用领域中，安全性保证借助于标准来定义，所述标准例如参见国际电工委员会（IEC）61508的“Functional Safety of Electrical/Electronic/Programmable Electronic Safety-related Systems”（1998）。

传统上，系统在安全性方面的评估基于自下而上的安全性分析方法，诸如故障模式和效应分析（FMEA），参见IEC 60812的“Analysis Techniques for System Reliability- Procedure for Failure Mode and Effects Analysis（FMEA）”（1991）。替代地，根据参考实现的对系统的评估基于自上而下的方法，诸如故障树分析（FTA），参见例如Vesely等人的“故障树手册（Fault Tree Hand book）”（美国核管理委员会，1981）。通过这样的技术，可能的是标识系统故障状态、其原因以及对系统安全性有影响的效应。系统的架构经常包含环路。环路的示例是闭环控制器（PID）。闭环控制指代其中物理变量（例如环境温度）将被带到特定的值而同时被稳定化以抵抗干扰的过程。基于测量物理变量的可观察指示而获得的反馈用于设置影响物理变量的致动器的操作。控制器是获取实际值并且从设置点与实际值之间的差值中导出控制信号的部件。控制器然后激活最终控制元件，例如补偿控制偏差的加热器。

由于故障传播模型经常使用布尔逻辑，例如，要驱动故障树（FT），（闭合）环路或环闭合是有问题的。因为布尔逻辑一般不能包含环路，所以存在用于防止在这样的模型中的环路的技术，例如，如在Höfig等人的“Streamlining Architectures for IntegratedSafety Analysis Using Design Structure Matrices（DSMS）”（安全性和可靠性：方法和应用2014年）中所描述的。对于其中例如当生成架构时自动组成故障传播模型的应用而言，这样的预防性技术不能帮助。这样的环路经常不能被防止，因为它们仅在从故障传播模型的现有部件和现有部分组成系统的期间而开发。因此，需要一种能够处理使用布尔逻辑的故障传播模型中的环路的技术。

在Yang等人的“Analytic Method to Break Logical Loops Automatically inPSA”（可靠性工程与系统安全性，56（2）：101-105, 1997）中，作者以分析的方式自动打开环路。他们使用布尔方程的自上而下的扩展，直到他们通过在连结中两次寻址相同的结构元素而检测到环路为止。该项然后从方程中移除，从而认为更大倍数的基本事件导致总体可靠性的更小部分。结果可能变得不精确和不看好，并且故障随着检测到的环路的数量而增长。

在Cuenot等人的“Proposal for extension of meta-model for error failureand propagation analysis”（安全性汽车软件架构（SAFE），ITEA2项目，2013）中，从故障传播模型中移除了环路，但该项工作仅解决仅具有一个入口和一个出口点的一维环路。因此，不可能、或仅可能在有限的程度上、将具有多个入口和出口点的多维任意环路打开成其他环路。

在Vaurio等人的“A Recursive Method for Breaking Complex Logic Loops inBoolean System Models”（可靠性工程与系统安全性，92（10）：1473-1475，2007）中，作者使用自上而下的方法来通过所有现有的环路递归地扩展布尔公式。在其中进一步展开环路不再改变布尔方程的割集的步骤之后，他们停止了该递归。假设这是用于终止算法的有效标准，因为割集的数量是有限的。没有证据表明展开将不在两个解之间交替。而且，割集的数量呈指数增长，并且算法也是如此，其应该按O（nⁿ）。

另一种方法可以在Lim等人的“Systematic Treatment of Circular Logics ina Fault Tree Analysis”（核工程和设计，245（增刊C）：172-179，2012）中找到，其中研究了系统的初始条件以处理循环逻辑。循环逻辑的初始条件是其中环路闭合的点。如果下一个门属于“未能运行”或“未能启动”的类型，则不同地处理循环逻辑。这些条件指示支持系统是否处于待机，并且是否需要启动以满足其功能，或者系统是否正在运行并且未能执行其操作。该知识对于使环路闭合的故障树逻辑的所有门都是必需的，以使用该算法自动处理循环逻辑。这限制了使从自动生成的故障树中移除循环逻辑的过程完全自动化的能力。

针对该背景，存在对于分析安全性关键系统的先进技术的需要。特别地，存在对于标识和重新解决故障树中的环路的先进技术的需要。

该目的通过具有权利要求1的特征的方法和具有权利要求4的特征的设备来实现。

根据本发明的方面，提供了一种用于在多部件系统的自动故障树分析中解决闭环的计算机实现的方法。该方法包括使用故障树对多部件系统建模，该故障树包括与多部件系统的部件相关联的元素以及与部件之间的功能相关性相关联的元素之间的互连；经由互连从故障树的输出元素朝向故障树的一个或多个输入元素回溯故障传播路径；对于所有故障传播路径，通过以下来检查相应故障传播路径是否包含闭环：标识相应故障传播路径的下游元素，所述下游元素的输出值具有对故障传播路径的上游元素的输出值的相关性；将对应于每个这样的下游元素的环路互连的输入值设置为布尔真；利用相应的下游元素与相应的上游元素之间的布尔或门替换任何布尔与门，该布尔与门独立于输入元素的特定值而具有布尔真作为输出值；切断对在相应下游元素与相应上游元素之间剩余的任何布尔与门的任何布尔真输入；以及将对应于环路互连的每个相应下游元素的输入值设置为布尔假。

根据本发明的另一方面，提供了一种设备。该设备包括被配置为执行根据本发明的方法的处理器。

本发明的一个想法是提供一种通过遵循由定点迭代启发的方法来解决闭环的方法，即通过一种计算方程解的方法，该方程可以以x = f (x)的形式编写。给定定义在具有实值的实数上的这样的函数，并且给定在f的域中的起始点x_o，一个人可以示出序列x_n+1 =f (x_n)，n = 0，1，2...在特定情况之下收敛于x = f (x)的解x。在当前情况下，考虑到底层的布尔逻辑，对于变量仅有两个值是可能的，即布尔真和布尔假。故障树或故障树内的故障传播路径可以视为某种形式的方程或耦合方程组。本发明现在将布尔真视为其中闭环已被发现的所有故障传播路径的起始值，这样的闭环是通过从输出到一个或多个输入迭代地遍历故障树来找到的。基于此，评价故障树的某些性质，并且以特定的方式修改故障树，以移除故障树中存在的任何闭环。随后，插入布尔假作为第二个起始值，以致使剩余的故障树可分析。

在下面进一步参考如所附的附图中描绘的示例性实施例，根据本发明的方法的细节将变得更显然。简而言之，简单的故障树可以已经通过简单地将任何环路互连设置为布尔真来解决。在出现重言式的情况下，这意味着故障树的输出元素独立于输入元素值给出布尔真，则在后续步骤中必须将环路互连设置为布尔假，这然后可以致使故障树可分析，即没有任何剩余的环路。然而，对于特定的复杂故障树，可能出现问题，这使得有必要移除故障树中的任何伪布尔与门，该伪布尔与门是独立于输入元素的特定值而具有布尔真作为输出值的任何布尔与门（即，表示重言式的布尔与门）。此外，在重言式布尔与门的该移除之后剩余的布尔与门可能仍然具有有问题的输入，即独立于输入元素的特定值而具有布尔真作为输入值的输入。这些输入被切断。在下一步骤中将任何环路互连设置为布尔假然后致使任何故障树可分析，这意味着剩余的故障树不再包含环路，并且因此可以被表述为和/或扩展为确定的布尔表达式。

与常规方法相比，根据本发明的解决方案高度有效。本发明的方法特别以线性复杂度O(n)为特征，并且因此比迄今已知的任何方法都快得多。该方法可以使能技术产品和/或系统在可靠性、可用性、可维护性和/或安全性（RAMS要求）方面的自动化优化。此外，可以考虑这样的RAMS要求以用于优化像例如效率等之类的进一步的技术系统性质。本发明特别提供了一种用于分析安全性关键系统的先进技术。

在从属权利要求中发现了本发明的有利实施例和改进。

根据该方法的实施例，可以通过迭代地将故障树扩展成元素处的布尔表达式，例如通过从输出元素经由互连朝向输入元素行进，而在布尔代数内表述故障树。

根据该方法的实施例，故障树的闭环可以与多部件系统的闭环控制电路相关联。

将参考如所附的附图中描绘的示例性实施例更详细地解释本发明。

附图被包括在内以提供对本发明的进一步理解，并且被并入并且构成本说明书的一部分。附图图示了本发明的实施例，并且与描述一起用于解释本发明的原理。通过参考下面的详细描述，本发明的其他实施例和本发明的许多预期优点将被容易地领会，因为它们变得更好理解。附图的元素不一定相对于彼此成比例。在各图中，除非另有指示，否则相似的参考标记表示相似或功能上相似的部件。

图1示出了具有执行根据本发明的方法的处理器的设备。

图2-4示出了利用图1的设备分析的故障树。

图5-6示出了利用图1的设备分析的另一个故障树。

图7-8示出了利用图1的设备分析的另一个故障树。

尽管在本文中图示和描述了特定的实施例，但是本领域的普通技术人员将领会到，在不脱离本发明的范围的情况下，可以用各种替代和/或等同的实现方式来代替示出和描述的特定实施例。通常，本申请旨在覆盖本文中讨论的特定实施例的任何修改或变型。

在本文中，描述了在故障树（FT）中可靠地和低计算成本地检测闭环和/或环闭合的技术。为此，从FT的输出朝向FT的一个或多个输入回溯多个故障传播路径。然后，对于每个故障传播路径，可以做出相应的故障传播路径是否形成闭环的检查。然后，如果标识了闭环，则可以有可能采取适当的对抗措施来减轻闭环对FT的可分析性的负面效应。

通常，本文中描述的技术可以发现在各种种类和类型的安全性关键系统中的应用。例如，本文中描述的技术可以发现在例如控制或致动器系统的多部件系统中的应用。这样的控制或致动器系统可以为某些机器提供控制功能或激活功能。多部件安全性关键系统的一些元素可以实现为硬件，而一些部件可以替代地或附加地使用软件来实现。可能的是针对其采用该技术的安全性关键系统包括一输出，其提供用于致动或控制一个或多个机器的致动器力或控制信号。可以从本文中描述的技术中受益的安全性关键系统的特定示例包括但不限于：包括诸如晶体管、线圈、电容器、电阻器等之类的有源和/或无源电子部件的电子电路；用于诸如火车或客车或飞机之类的载具的动力传动系统；装配线，包括传送带、机器人、可移动零件、控制区段、用于检查制成品（后端测试）的测试区段；医疗系统，诸如包括磁共振成像或计算机断层摄影、粒子治疗系统的成像系统；发电厂；等等。

作为一般规则，在本文中描述的各种示例中，可以使用不同种类和类型的FT。在本文中描述的技术中可以依赖的FT的示例实现包括分量FT（CFT）。为了简单起见，在下文中，在CFT的上下文中描述了各种示例，而通常也可以采用FT。

例如在Kaiser等人的“A new component concept for FTs”（第八届澳大利亚安全性关键系统和软件研讨会论文集，卷33, pp. 37-46, 2003）中描述了CFT。CFT为FT分析提供了基于模型和部件的方法，其支持模块化和组合式的安全性分析策略。CFT包括多个元素。所述元素与系统的部件相关联。CFT还包括元素之间的多个互连。互连与系统的部件之间的功能相关性相关联。这样的功能相关性可以对控制信号的输入/输出或力的流进行建模。CFT可以对系统的误差行为进行建模。系统的误差行为可以通过CFT使用层级分解的方法来建模。在这里，系统的总体行为可以基于部件的个体行为来预测。换言之，导致总体系统行为的因果链可以由部件误差的因果链来建模。CFT可以包括相邻元素之间的布尔互连，以对误差在整个系统中的传播进行建模。CFT可以使用图来对系统进行建模；这里，图的节点可以对应于元素，并且图的边可以对应于互连。

本文中描述的各种技术是基于这样的发现，即如果使用布尔逻辑表达式对系统建模的CFT包括闭环和/或环闭合，则它们可能出现故障。如果CFT元素的输入值是从具有包括该输入值的相关联布尔逻辑表达式的输出中导出的，则通常存在闭环。

图1示出了具有处理器6的设备10，处理器6执行根据本发明的方法M，用于解决多部件系统（未描绘）的自动故障树分析中的闭环。该多部件系统可以是例如安全性关键系统等，其可以包括闭环控制器（PID）的闭环控制电路。例如，PID可以被配置为基于闭合的控制环路来控制多部件系统的部件。PID可以例如控制物理变量，像温度、压力、力等。

将参考图2至图4针对故障树1的一个特定示例来详细解释方法M。故障树1对多部件系统进行建模，并且包括与多部件系统的部件相关联的多个元素4和与部件之间的功能相关性相关联的元素4之间的互连2。因而，方法M包括在MI之下使用故障树1对多部件系统进行建模。故障树1包括一个输出元素4a和四个输入元素4b。每个元素4（标记为X_i其中i =1...9）与门3或事件5相关联。在该特定的示例中，存在三个布尔或门3b和两个布尔与门3a。此外，存在不同的基本事件b₁、b₂、g₁、g₂。如在图2中可以看到的。门X₅和X₆两者都具有源于故障树中的上游的门的输入，即分别源于X₃和X₂。因此，这两个门X₅和X₆导致故障树1内的环路，这使得自动分析故障树1是有问题的，因为由于环路，没有任何有意义的布尔表达式可以容易地被分配给故障树1。

方法M进一步包括在M2之下从故障树1的输出元素4a经由互连2朝向故障树1的输入元素4b回溯故障传播路径11。该回溯在图3中被图示，其中可以看到故障树1被基本分解成两个故障传播路径11，每个路径以一个闭环7为特征。或者，以不同的方式描述它，故障树1是“展开的”。每个环路7到相应故障传播路径11的互连在下文中标记为

。因此，图3中在左侧的故障传播路径11具有一个闭环7，该闭环7在环路互连

处将元素X₆的一个输入与元素X₂的输出相连。对应地，图3中在右侧的故障传播路径11具有一个闭环7，该闭环7在环路互连

处将元素X₅的一个输入与元素X₃的输出相连。

如果相应的故障传播路径11包含下游元素4d，该下游元素4d的输出值具有对故障传播路径11的上游元素4c的输出值的相关性，则可以通过检查所有故障传播路径11而以一般方式标识这样的引起环路的门。因此，方法M包括在M3之下，对于所有故障传播路径11，通过标识相应故障传播路径11的下游元素4d——其输出值具有对故障传播路径11的上游元素4c的输出值的相关性，检查相应故障传播路径11是否包含闭环7。

接下来，方法M移除故障树1中的这两个闭环7。为此，方法M包括在M4之下将对应于每个这样的下游元素4d的环路互连

的输入值设置为布尔真。或者，换言之，出现在该点处的对应布尔表达式中的有问题的元素被表达式

重新放置。此外，该方法包括在M5之下利用在相应的下游元素4d与相应的上游元素4c之间的布尔或门3b替换任何布尔与门3a，该布尔与门3a独立于输入元素4b的特定值具有布尔真作为输出。参考图4，可以看到，没有发现满足这些标准的布尔与门3a，并且因此，没有布尔与门3a被布尔或门3b替换（然而，对于其他示例，参见在图5至图8中的示例）。

方法M进一步包括在M5之下切断对在相应下游元素4d与相应上游元素4c之间剩余的任何布尔与门3a的任何布尔真输入。如在图4中可以看到，对于X₆和X₅二者，一个相应的输入被切断，即环路互连

和

（在图4中被表示为切断互连8）。最后，方法M包括在M6之下将对应于环路互连

的每个相应下游元素4d的输入值设置为布尔假。在该特定示例中，环路互连

无论如何都被切断，因此该方法步骤没有结果（然而，参见图5至图8中的示例）。如在图4中可以看到，闭环7已经被移除，即它们已经切断了故障传播路径11，仅定义明确的布尔门3和基本事件b_i、g_i剩余在故障树1中。因此，图2中的故障树1现在可以被评价，也就是说，它可以在元素4处迭代地扩展成明确的布尔表达式，从而从输出元素4a经由互连2朝向输入元素4b行进，或者反之亦然。因此，故障树1可以被表述为：

。

图5-6示出了利用图1的设备10分析的另一个故障树1。再次，故障树1包括两个闭环7。然而，与图2至图4中的示例相反，这两个闭环7彼此耦合，并且不能如在图2至图4中那样被分离成两个不同的故障传播路径11（注意元素X₁，其被两个故障传播路径11和两个环路7共享）。

事实上，当

和

被设置为布尔真时，在元素X₁处的布尔与门独立于输入元素X4和X5的特定值而具有布尔真作为输出值，并且因此用作伪与门（这是由于布尔或门X₂和X₃）。因此，图1的方法M利用布尔或门（其在图6中在参考符号9之下表示）替换在元素X₁处的该布尔与门。接下来，

和

被设置为布尔假，并且故障树1被迭代地扩展为以下布尔表达式：

。

图7-8示出了利用图1的设备10分析的另一个故障树1。再次，故障树1包括两个闭环7。以与图5-6中的故障树1相似的方式，该故障树1在X₁处包括伪与门，该伪与门通过方法M用布尔或门9替换（参见图8）。此外，当

和

被设置为布尔真时，剩余的布尔与门Xs（它不是伪与门，并且因此没有用布尔或门替换），独立于基本事件B1和b2的特定值使其输入值之一为布尔真。因此，方法M切断该输入（在图8中表示为切断互连8）。接下来，

和

被设置为布尔假，并且故障树1可以迭代地扩展为以下布尔表达式，因为不再存在任何闭环7：

。

概括地，描述了一种能够从故障树中移除任意循环逻辑的以O(n)的算法。利用该算法，自动生成的架构可以容易地针对安全性功能被分析，而不需要除了普通FT信息之外的任何其他附加信息。此处呈现的算法由此为安全性关键系统的数字化设计过程提供了一种基本的使能技术。

在前面的详细描述中，各种特征被一起分组在一个或多个示例中，其目的是流线型化本公开。应理解的是，以上描述意图是说明性的，而不是限制性的。意图覆盖所有的替代物、修改和等同物。对于本领域技术人员而言，在阅读了以上说明书后，许多其他示例将是显然的。

选择和描述实施例以便最好地解释本发明的原理及其实际应用，从而使得本领域的其他技术人员能够最好地利用本发明和各种实施例，其中具有各种修改以适合预期的特定用途。对于本领域技术人员而言，在阅读了以上说明书后，许多其他示例将是显然的。

Claims

1.一种用于解决多部件系统的自动故障树分析中的闭环（7）的计算机实现的方法（M），所述方法（M）包括：

使用故障树（1）对多部件系统进行建模（M1），故障树（1）包括与多部件系统的部件相关联的元素（4）和与部件之间的功能相关性相关联的元素（4）之间的互连（2）；

经由互连（2）从故障树（1）的输出元素（4a）朝向故障树（1）的一个或多个输入元素（4b）来回溯（M2）故障传播路径（11）；

对于所有故障传播路径（11），通过标识相应故障传播路径（11）的下游元素（4d）来检查（M3）相应故障传播路径（11）是否包含闭环（7），所述下游元素（4d）的输出值具有对故障传播路径（11）的上游元素（4c）输出值的相关性；

将对应于每个这样的下游元素（4d）的环路互连（

）的输入值设置（M4）为布尔真；

利用在相应下游元素（4d）与相应上游元素（4c）之间的布尔或门（3b）替换（M5）任何布尔与门（3a），所述任何布尔与门（3a）独立于输入元素（4b）的特定值而具有布尔真作为输出值；

切断（M5）对在相应下游元素（4d）与相应上游元素（4c）之间剩余的任何布尔与门（3a）的任何布尔真输入；和

将对应于环路互连（

）的每个相应下游元素（4d）的输入值设置（M6）为布尔假。

2.根据权利要求1所述的方法（M），其中通过在元素（4）处迭代地将故障树（7）扩展成布尔表达式而在布尔代数内表述故障树（7）。

3.根据权利要求1或2所述的方法（M），其中故障树（1）的闭环（7）与多部件系统的闭环控制电路相关联。

4.一种设备（10），包括被配置为执行根据权利要求1至3中的一项的方法（M）的处理器（6）。