陈 强 陈垦伦 李 骞 雷柏茂 ＊

（1.工业和信息化部电子第五研究所，广东 广州 511370；2.广东省电子信息产品可靠性技术重点实验室，广东 广州 511370）

0 引言

多层流模型（Multilevel Flow Models，MFM）是丹麦科技大学M.Lind 教授于20 世纪80 年代提出的一种以目标为导向的系统功能性建模方法，可高度层次化、抽象化地表达系统构成，适合复杂系统建模。MFM通过“部分”到“整体”，“手段”到“目的”两种途径将系统进行拆解，在不同的层次上实现对系统、部件及其行为的功能性描述，可体现系统及部件的设计意图和使用目的，易于理解，在缺乏详细系统资料的情况下也可完成建模并清晰描述系统设计的意图。目前，MFM 在不确定推理分析、故障诊断、报警分析、危险与可操作性分析、可靠性分析等方面等均有应用，本文将重点介绍MFM 在可靠性分析方面的应用。

1 MFM 建模方法

MFM 运用特定的符号通过目标、功能以及关系来构建系统的模型。功能是物理部件的抽象化表达，物理部件是实现功能的载体，物理部件不会出现在MFM 中。

MFM 使用的基本元素如下：

（1）目标：系统要实现的设计目的，分为子目标和主目标。

（2）功能：实现目标的途径或方法，是对物理部件的高度抽象，如图1 所示。

图1 MFM 中的符号

源：向外提供物质、信息、能量的能力。对应的物理部件如油箱、信号发生器、燃烧室等。

传输：物质、信息、能量从一处传输至另一处的能力。对应的物理部件如管道、数据线、电源线等。

转化：对物质、信息、能量的转化能力。对应的物理部件如压差式传感器、数模转换器等。

阻碍：阻碍物质、信息、能量从一处传输到另一处的能力。对应的物理部件如阀门、闭锁错误信号的装置、隔热材料等。

平衡：输入和输出保持相对平衡的能力。多用于故障诊断领域，本应处于平衡状态的物理部件发生失衡时，结合上下游传感器的信息可用于故障定位。

存储：存储物质、信息的能力。对应的物理部件如油箱、硬盘、超级电容等。

决策：逻辑处理的能力，可由操作者或者控制部件实现。

执行：将信息转为物理结果的能力。对应的物理部件为系统中的各类执行机构。

观测：将被监测状态转为信息的能力，如各类传感器及各类操作者等。

阱：接收或消耗物质、能量和信息的能力，符合守恒原理。

流：分为物质流、能量流、信息流，目的是将相互连接的功能组成流结构，描述其产生、传播、消耗的过程。

此外，杨明将逻辑门引入多层流模型中用于表示目标和子目标之间的逻辑关系。

MFM 中的关系：

MFM 中有实现关系、达成关系、条件关系三种常用的关系，三种关系将物质流、能量流、信息流组成为一个有机整体，表示其之间的逻辑关系。

图2 是一个简化的三取二逻辑的反应堆紧急停堆系统，系统由三个控制单元U、U、U，六个停堆断路器a、a、b、b、c、c，两个控制棒r、r组成以及相互连接的线缆组成。图3 是三取二逻辑的反应堆紧急停堆系统的MFM，其中sou、sou、sou分别对应三个控制单元U、U、U输出控制信号，act、act、act、act、act、act分别对应六个停堆断路器a、b、a、c、b、c动作，G、G、G、G、G、G分别对应相应的停堆断路器已成功断开，G、G、G分别代表实现一种三取二逻辑，G代表系统实现三取二逻辑并发出停堆信号，sou代表停堆信号，act代表控制板r动作，act代表控制板r动作，G代表反应堆成功停堆。可以看出，作为一种功能化建模方法，MFM 与系统结构图有较好的对应关系，易于理解，相对于故障树等其他建模方法，规模也较小，随着实际系统的改进完善MFM 也易于维护、修改。

图2 三取二逻辑紧急停堆系统结构简图

图3 三取二逻辑紧急停堆系统MFM

2 MFM 在可靠性分析中的应用

MFM 符合质量和能量守恒定律，图形化的MFM 已经包含了一部分系统知识，但这些知识还不足以提供足够的信息来进行系统可靠性分析，通过离散系统状态和引入决策表可以将其他有用的系统知识融入MFM 中。决策表描述了输入、输出事件的关系，决策表建立之后，MFM 就包含了足够的开展可靠性分析的知识。

2.1 可靠性定性分析

基于MFM 可靠性定性分析主要有两种形式，一是基于MFM 的故障模式和影响分析（FMEA）；二是研究MFM 与故障树的转化规则，借助成熟商业软件开展可靠性定性分析工作。

基于MFM 的FMEA 是将MFM 融入FMEA 的过程中去：在预备阶段便建立系统的MFM，按照MFM中的层次结构依次开展各层次的故障模式分析、故障原因分析、故障影响及严酷度分析、故障检测方法分析、设计改进措施分析、防范措施分析等工作，最终输出FMEA 报告。MFM 中包含了能量流、物质流和信息流，符合能量和质量守恒定律，MFM 中功能的故障模式可描述为系统中设备在产生、传输、存储、消耗能量和物质时流量、温度、水位、压力等的异常事件以及信息的误输出、拒输出等状态。

在相同的边界条件和基本假设下，MFM 与故障树对同一系统的可靠性逻辑关系的描述上是等价的，因此可以通过研究两种模型的转化关系来借助商业化的故障树软件开展可靠性定性分析工作。对于两状态系统，提出了多层流模型向故障树转化的算法，分别开发了多层流模型建模平台及多层流多状态故障树转化的程序，为快速建立故障树提供了一种新思路，可直接借助于故障树商业软件开展可靠性分析。其中主要以决策表中的知识为依据建立故障树，每个决策表都可以生成若干个故障子树，决策表通过MFM 中的流结构关系产生联系，从而将故障子树连接为系统的故障树。文献[7]以MFM 中目标、功能、逻辑门与故障树中事件、逻辑门的对应关系为思路建立了故障树，其中基本目标对应底事件或未展开器件、中间目标对应中间事件、主目标对应顶事件，MFM 中与门（或门）对应故障树中或门（与门）；中间事件下添加或门，或门输入为该功能对应的物理部件的故障事件（只考虑本质故障）和系统故障事件；系统故障事件下添加或门，或门输入是上游功能故障和支持功能故障事件；若有多个上游功能，依据上游功能间的关系添加相应的逻辑门，并依次为逻辑门添加上游功能故障原因。对于多状态系统，基于MFM 建模平台开发了程序将MFM 模型转化为Isograph Reliability Workbench（RWB）可以识别的XML 格式的故障树文件，基于RWB 的分析结果，首先基于动态一致性原则（Dynamic consistency）、物理一致性原则（Physical consistency）对RWB 分析的结果进行简化，而后基于文献[8]、文献[9]提出的立方体表示法和Quine 原理求出多状态系统的质蕴含集，实现对多状态系统的可靠性定性分析工作。

2.2 可靠性定量分析

基于MFM 可靠量定性分析主要有两种形式，一是基于MFM 建模平台直接开发可靠性定量分析算法；二是通过研究MFM 与其他可靠性分析模型的转化规则，调用其他可靠性定量分析软件开展可靠性定量分析工作。

J.E.Larsson 提出了基于MFM 进行可靠性定量分析的思想，但缺少对功能的可靠性定义，采用将系统简化为全串联模型的处理方法，得到的是系统可靠性的保守分析结果。通过对MFM 功能进行可靠性定义开展可靠性定量分析工作，系统目标的实现取决于目标的功能，而目标的功能是由对应该功能的物理部件，为实现该功能系统需提供的输入功能、支持功能共同决定的。那么系统目标的成功概率则由部件的成功概率、条件的成功概率和输入信号的成功概率的联合概率决定。某功能的实现可能是以其他功能的实现作为条件输入的，因此功能与功能之间可能存在关联，不一定是相互独立的，尽管物理部件彼此是独立的。文献[11]给出了基于MFM 的可靠定量分析的一般步骤，并用贝叶斯分析法处理了共有信号的问题。

对于两状态系统，MFM 转化为故障树后则可以直接借助于商业化故障树软件得到可靠性定量分析的结果。对于有时序系统可靠性定量分析的问题，给出了MFM 的目标、功能、关系与GO-FLOW 中操作符的对应关系，建立了MFM 转化为GO-FLOW 模型的规则，借助于GO-FLOW 分析软件，实现对有时序系统的可靠性定量分析。对于多状态系统可靠性定量分析问题，文献[13]对蕴含集或者质蕴含集开展不交化运算进而求得系统的故障率。则基于BDD（Binary Decision Diagram）给出了多状态系统可靠性定量分析的算法。

2.3 MFM 在软件可靠性分析中的应用

流网模型（Flow Network Model，FNM）是一种基于软件结构和软件测试的软件可靠性定量分析方法，可有效提高软件测试的效率。但利用FNM 定量评估软件可靠性时需要不断地对串联边和并联边进行等效分析，手动建模耗时费力且模型不宜更新，其中边代表代码的执行路径，假设一条边被执行，则其中的每一行代码均被执行，即每条边内无分支。文献[16]利用MFM去构建FNM，MFM 可在不同抽象层次上表示软件结构，使模型更容易被理解和修改。其中，源表示代码起始；阱表示代码结束；网络表示代码的功能模块；目标表示代码目的；传输可分为实功能与虚功能，实功能表示单边，虚功能通过条件连接目标，表示虚功能的实现是以实现目标为条件的，即虚功能是实现目标的模块的等效边。利用MFM 概念构建FNM 可清晰的表示软件结构，通过一次分析可以获得总目标及所有子目标的可靠度，便于识别软件设计中的薄弱环节。

3 结语

MFM 是一种以目标为导向的系统功能性建模方法，可清晰地描述复杂系统工艺过程，高度抽象化、层次化地组织系统结构知识，与系统原理图、结构图对应清晰，易于建立、修改和维护。笔者认为MFM 是一种优秀的建模方法，完全可以应用于可靠性分析，基于MFM 的可靠性分析方法研究在可靠性定性分析、可靠性定量分析、软件可靠性分析等方面也已经有了很多有益的探索，表明MFM 在可靠性分析方面有着良好的应用前景。但相关文献中的基于MFM 的可靠性分析算例都相对简单，虽然从原理上说明了方法的可行性，距离工程应用还有一定的距离。