Вопросы

11. Мажоритарные системы.

12. Избыточные системы, использующие средства диагностирования.

13. Влияние характеристик средств диагностирования на надежность системы.

14. Надежность систем с холодным резервированием.

15. Надежность систем с горячим резервированием.

16. Простейший поток и его свойства.

17. Закон Пуассона.

18. Аппроксимация потока редких событий пуассоновским потоком.

19. Марковские модели функционирования технической системы.

20. Непрерывные цепи Маркова.

21. Уравнения Колмогорова.

22. Надежность систем с задержанным восстановлением.

3. Аппаратурная и информационная надежность навигационной системы

До сих пор в нашем изложении мы явно или неявно предполагали, что любой отказ объекта вызван появлением в нем некоторых необратимых изменений, а попросту поломки. Оказывается, что в общем случае это не так. Покажем это, выбрав для иллюстрации данного факта навигационную систему, которая в рассматриваемом случае является очень удобным объектом. Обратимся к анализу эффективности НС.

Получение адекватной оценки эффективности функционирования является важным этапом проектирования любой технической системы. Взгляд на эффективность технической системы принципиальным образом зависит от ее назначения, которое для НС, как и для всякой информационно-измерительной системы, состоит в выработке совокупности информационных параметров (в случае НС – навигационных) на основе данных, поступающих от датчиков. При этом обслуживаемые с помощью НС прикладные задачи весьма разнообразны. Среди них в морских приложениях можно выделить стабилизацию судна на заданной траектории, его динамическое позиционирование в точке, определение координат платформы при бурении скважин, определение координат буксируемого устройства при геодезической съемке рельефа дна и т.п. Ясно, что основными составляющими эффективности НС являются точность, обеспечиваемая ею при выработке навигационных параметров, и надежность.

Достижение необходимой точности представляет собой сложную научно-техническую задачу, решаемую путем усовершенствования первичных датчиков информации (чувствительных элементов), построения эффективных алгоритмов обработки информации, совместного использования различных навигационных систем. Характерной чертой многих современных НС и в особенности автономных НС, используемых на подводных объектах, является избыточность (структурная и информационная). Это видно из примерного состава современной НС (рис. 3.1).

В данную НС входят несколько подсистем, среди которых инерциальные навигационные системы (ИНС), измеритель скорости (лаг), приемник сигналов спутниковой навигационной системы (СНС), гирокомпас, а также ЭВМ, осуществляющая комплексную обработку информации.

Коротко остановимся на подходах, используемых при оценке точности НС. Под точностьюпонимается свойство НС обеспечивать нахождение в пределах некоторого допуска характеристик погрешностей вырабатываемых параметров. Как правило, погрешности параметров рассматриваются как случайные процессы, что объясняется множественностью причин, влияющих на показания датчиков информации, и вследствие этого подходы к оценке точности носят стохастический характер. При этом способы задания требований к точности могут быть различными, а их выбор зависит, прежде всего, от преследуемой цели. Здесь можно выделить два основных варианта. В первом варианте цель состоит в предъявлении требований по точности к проектируемой или сертифицируемой системе, во втором – к системе, находящейся в эксплуатации. Обычно при проектировании и сертификации требования формулируются в отношении статистических характеристик погрешностей, при эксплуатации – в отношении реализаций погрешностей.

Среди вариантов определения требований по точности к НС при ее проектировании и сертификации выделим два, один из которых состоит в использовании эллиптических и круговых ошибок, а второй – в использовании -квантилей погрешности.

При использовании понятий «эллиптической и круговой ошибок» требуемая точность определения местоположения отражается соответственно либо эллипсом, либо кругом, ограничивающими область возможного местоположения определяющегося объекта. По своему происхождению эллиптическая ошибка – это линия равного уровня двухмерной гауссовской плотности распределения вероятности вектора погрешностей выработки координат, а круговая ошибка – это статистически эквивалентное представление эллиптической ошибки в виде круга.

При использовании понятия «-квантиль погрешности» требование по точности выработки некоторого параметра формулируется путем задания такого значения(-квантиль) погрешности, вероятностьнепревышения которого в момент временине меньше заданной величины. Другим (более жестким) требованием может быть требование для той же-квантили, но на заданном интервале времени. В обоих случаях используются некоторый заданный допустимый уровень и вероятность непревышения этого уровня. На практике в этой части существуют определенные традиции, в соответствии с которыми значение уровня выбирают обычно равным, что в предположении гауссовости плотности распределения вероятностей значений погрешности означает квантиль уровня 0,997 (– среднеквадратическое значение погрешности).

На этапе эксплуатации НС для формулирования требований по точности выработки некоторого параметра может использоваться задание допустимого уровня для текущего значенияпогрешности, а именно

. (3.1)

При этом в качестве обычно выбирается значение квантили, соответствующее большому уровнюp. Все ограничения на характеристики погрешности назначаются исходя из условия той прикладной задачи, которая обслуживается данной НС. Так, например, если задача состоит в проводке судна через узкий пролив, то значениерассчитывается исходя из ширины пролива.

Другой не менее важной характеристикой эффективности НС является ее надежность. Далее будет показано, что если свойство надежности трактовать для НС строго в соответствии с ГОСТ, то оказывается, что оно включает в себя свойство точности.

Конкретизируем понятия работоспособного состояния и отказа применительно к НС. Очевидно, что НС находится в работоспособном состоянии, если она вырабатывает все навигационные параметры с погрешностями, определенные характеристики которых не превышают заданных допусков. Отсюда видно, что понятие работоспособного состояния, а значит, и понятие надежности для НС включают в себя понятие точности. Далее будем считать, что событие отказанаступает в НС в случае, когда хотя бы один из навигационных параметров вырабатывается в НС с повышенной погрешностью или вообще не вырабатывается. Отметим, что это определение отказа было введено в работе И.Б.Челпанова и Е.П.Гильбо [8]. Событие, представляющее отказ НС, может отличаться от выражения (3.1) и формулироваться, например, как появление в реализации погрешности выброса (ограниченного по времени превышения) длительностью не менеенад заданным уровнемили как появление не менееnвыбросов длительностью не менеев течение заданного интервала времени (0,t).

На рис. 3.2 приведены примеры отказов НС. Причем в моменты ,ивозникают выбросы реализации погрешности, которые могут быть признаны или не признаны отказами в зависимости от используемого определения отказа.

Очевидно, что к отказу НС могут приводить критические дефекты (отказы) ее элементов. Далее такие отказы НС будем называтьаппаратурными. Однако характерной особенностью НС является возможность ее отказа и при отсутствии критических дефектов в элементах. Такие отказы в противоположность аппаратурным будем называтьинформационными [10]. Важным свойством информационного отказа (ИО) НС является то, что после него система либо самовосстанавливается, либо для ее восстановления достаточно лишь коррекции ее внутренней информации и не требуется замены элементов. Именно это свойство послужило основанием для использования термина «информационный отказ».

Аналогично можно определить понятие информационного отказа для любой компоненты НС и, в частности, для ее подсистем и первичных датчиков информации, если для них сформулированы требования по точности. Таким образом, приходим к классификации отказов, представленной на рис. 3.3.

Как уже было сказано, причиной аппаратурного отка­за НС является критический дефект ее элемента. Причины возникновения информационных отказов весьма разнообразны и зависят от специфики конкретной НС. Так или иначе, это некоторые аномальные события, сопровождающие внутренние или внешние по отношению к НС физические процессы. Такие события в свою очередь приводят к аномальным событиям в погрешностях НС, которые далее будем называть информационными нарушениями.

Среди причин, приводящих к информационным нарушениям можно выделить следующие классы:

1. Причины, связанные с датчиками НС.

2. Причины, связанные с вычислительными устройствами обработки информации (сбои аппаратуры и ошибки программного обеспечения),

3. Причины организационного характера (отсутствие своевременной коррекции автономной НС, например, по причине неблагоприятных метеоусловий).

События, соотнесенные со вторым и третьим классами, ввиду их специфики далее не рассматриваются.

Раскроем содержание первого класса. Здесь, в свою очередь, можно выделить три подкласса:

• аномальные события во внутренних физических процессах, протекающих в исправных датчиках;

• малозначительные дефекты в датчиках, не приводящие к катастрофическим последствиям для их функционирования;

• аномалии во внешней среде, влияющие на работу датчиков.

Последний подкласс, например для морской НС, может включать аномалии в условиях плавания, в условиях распространения радио- и гидроакустических сигналов и т.п. К аномалиям в условиях плавания, кроме качки, можно также отнести неоднородности теплового, электромагнитного и гравитационного полей.

Заметим, что аномалии во внешней среде, вызывая в НС информационный отказ, могут создавать для нее нештатную ситуацию, не предусмотренную в требованиях к НС. Очевидно, что такие ИО не должны учитываться при оценке надежности НС.

В зависимости от того, как проявляются информационные нарушения, их можно подразделить на две группы. Информационные нарушения из первой группы проявляются в виде повышенных значений номинальной погрешности датчика, возникающих достаточно редко. В нее войдут информационные нарушения, являющиеся следствием первого подкласса физических причин. Информационные нарушения из второй группы проявляются в виде аномальной дополнительной погрешности датчика. В нее войдут информационные нарушения, являющиеся следствием второго и третьего подклассов физических причин. Первую группу информационных нарушений назовем выбросами в реализациях погрешности датчика, подсистемы, НС, вторую – дополнительными аномальными погрешностями.

Прокомментируем механизм возникновения выбросов в реализациях погрешности. Считается, что адекватным описанием погрешности является представление ее в виде случайного процесса. Причем в случае НС (подсистемы или датчика НС) описание, как правило, имеет сложную многокомпонентную структуру, т.е. погрешность представляется в виде суммы нескольких случайных процессов. Очевидно, что даже при номинальном поведении этих процессов возможны события, при которых значения разных компонент суммируются с одним знаком, создавая аномальный выброс для общей погрешности НС. В общем случае не исключается также ситуация, когда одна отдельно взятая компонента погрешности НС принимает аномально большое значение. В подобных фактах обычно усматривают основание для использования при описании погрешности гауссовской плотности распределения вероятности, которая фактически является нереализуемой математической моделью, поскольку допускает бесконечные значения для описываемых процессов.

Последствия информационного нарушения для НС могут быть различными. Оно может привести к информационному отказу НС, причем событие отказа по отношению к событию нарушения может произойти без задержки или с некоторой задержкой, порой весьма значительной, зависящей от структуры погрешности НС. Информационное нарушение может не привести к информационному отказу НС, но привести к информационному отказу подсистемы или первичного датчика информации, входящих в состав НС, если понятие отказа для них определено. Оно может не иметь ни одного из указанных последствий, если его величина незначительна.

Подводя итоги вышесказанному, отметим, что понятие надежности НС является комплексным и включает в себя две составляющие – аппаратурную надежность (надежность по аппаратурным отказам) и информационную надежность (надежность по информационным отказам) (рис. 3.4). Первая составляющая представляет свойство надежности НС в традиционном понимании, вторая составляющая представляет свойство точности. Практика показывает, что при функционировании НС информационный отказ является относительно частым событием. В связи с этим прецизионные НС всегда включают в свой состав средства для парирования ИО, основанные на использовании структурной, информационной и алгоритмической избыточности, а также средств контроля и диагностики информационных отказов и нарушений. Особую значимость средства парирования ИО имеют для автономных систем, погрешности которых являются нестационарными и с неизбежностью приводят к ИО в случае несвоевременного проведения корректирующих процедур.

Изложенная концепция позволяет уточнить традиционно используемый на практике подход к оценке надежности НС, однако более правильно рассматривать сказанное лишь как предложения по дополнительной оценке эффективности НС. Необходимо отметить еще одно важное следствие обсуждаемого подхода: он позволяет более корректно, нежели в известных методах, ставить и решать задачу контроля и диагностики НС, поскольку модель контролируемого процесса оказывается описанной более точно.

В заключение кратко прокомментируем введенный понятийный ряд. Прежде всего отметим, что в разбиении всех отказов НС на два класса – аппаратурные и информационные – есть определенная доля условности. В результате граница между этими классами оказывается нечеткой. Эта нечеткость не является привнесенной, а следует, в частности, из существующей нечеткости границы между понятиями «критический дефект» и «малозначительный дефект». Один и тот же дефект в разных приложениях НС и разными разработчиками может быть отнесен к разным классам. Иллюстрацией нечеткости используемой на практике терминологии могут служить понятия «сбой» и «отказ». Ясно, что одно из отличительных свойств сбоя – «кратковременность» – является нечетким.