翟禹尧，史贤俊，吕佳朋

(海军航空大学，山东 烟台 264001)

0 引言

目前信息流模型和多信号流模型是应用最广泛的建模方法[1]，但这两种建模方法存在着一定的缺点：用元素(0，1)定性地描述系统故障与测试之间的关系来得到相关性矩阵，系统之间的内在联系不能完整地表达出来；该建模方法存在局限性，适用于定性分析, 而定量分析需用其他或者新的建模方法；主要针对电子产品，并且假定测试为理想测试，这个假设在面向包含机电、控制系统等其他装备时不再适用；忽略大量有用信息，如测试不可靠、延时性以及故障与故障之间的相关性等，导致模型不够完备，所建模型与实际模型误差较大。

导弹系统具有长期储存、一次性使用的特点。反映到实际工作中，由于其体积与质量要求，系统不能设置太多机内测试(BIT)电路，变相提高了测试难度，需要限制测试的数量来达到规定的测试性指标要求；由于其一次性使用，会造成数据少，没有足够的先验信息。这些因素给测试性工作带来了很大难题，主流模型很难满足导弹系统测试性指标需求，需要研究一种新的测试性建模方法。

广义随机Petri网(GSPN)是随机Petri网的进一步扩展，通过在随机Petri网中引入瞬时变迁的概念，使瞬时变迁优先级高于延时变迁，求解相对容易[2]。方欢等[3]对随机Petri网的建模方法进行了分析总结，比较了不同类型的Petri网在可靠性分析中的优缺点；石健等[4]将分层聚类和GSPN相结合，目的是获取机载液压系统的可靠性模型，并根据该模型得到故障检测率与系统可靠性之间关系；李展等[5]研究了舰载服务器的可靠性分析方法，对舰载服务器系统进行全局GSPN建模；王小强等[6]根据飞机航线级维修过程来构建其GSPN模型，并对飞机测试性指标确定方法进行了研究。

目前对导弹系统建模的方法研究匮乏，测试性指标评估缺乏有效手段，因此本文提出采用GSPN模型对导弹系统进行建模，并对其测试性指标进行评估。

1 导弹系统的故障检测及维修过程

导弹系统工作过程包括以下3个阶段：

1)贮存阶段。贮存阶段，采用弹上BIT对导弹各个系统进行定期检查。检测到故障后，可以进行故障定位；不能检测或隔离的故障能够通过弹上总线与外部自动测试设备(ATE)相连接，进行下一步处理。

2)部署阶段。将ATE和BIT两种检测方式相结合，对导弹系统进行全面联调测试。

3)发射阶段。发射阶段，完全由BIT进行最后检测。以缩短自检时间为首要目标，约束条件为保证低虚警率和高故障检测率；如果发生故障，先将其隔离到外场可更换单元(LRU)，然后将其隔离到车间可更换单元(SRU)。导弹系统检测及维修过程如图1所示。

2 导弹系统的GSPN模型

2.1 建模分析

主流模型对装备建模后得到相关性矩阵，继而对其测试性指标进行分析，更适用于新型武器[7]。针对导弹系统，弹体结构限制了施加测试的位置；目前大部分导弹没有达到数字化水平，相对飞机等装备开展测试性工作会更加艰难。GSPN模型只需要少量信息，经过严格的数学推导，根据系统可用度和平均故障间隔时间等参数对系统测试性指标进行求解。这对某些型号导弹的测试性指标研究具有实际意义。

2.2 GSPN建模元素的图形化表示

GSPN定义：GSPN由8种元素构成[8]，记为GSPN=(P,T,I,O,H,M0,W,λ)，其中P为有限位置集合，T={T1,T2,…,Tm}为有限变迁集合，I为P={P1,P2,…,Pn}输入弧的集合，O为输出弧的集合，H为禁止弧的集合，M0为初始标识的集合，W为弧权函数的集合，λ={λ1,λ2，…，λm}为变迁平均实施速率的集合。

在导弹系统的GSPN模型[9]中，元素、符号以及基本含义如表1所示。

图1 导弹维修过程Fig.1 Maintenance process of missile

元素符号基本含义库所系统的状态、资源或条件瞬时变迁改变系统状态的事件,且延时为0赋时变迁改变系统状态的事件,延时服从指定要求令牌系统中拥有资源的数量有项弧系统状态与事件间双向的因果关系禁止弧与禁止弧相连的库所满足变迁,禁止变迁

2.3 系统的GSPN模型分析

图2为系统串联和并联的GSPN模型，每个系统都是由n个子系统组成[10]。pi.on表示子系统i正常，pi.ft表示子系统出现故障，系统处于正常状态和发生故障分别用ps.on、ps.ft表示；变迁t2n-1、t2n为赋时变迁，表示子系统从正常状态到故障状态再到故障修复的过程；引起子系统状态改变的事件用瞬时变迁t0,t2n+1,…,t3n,t3n+1表示。由于模型需要，在ps.ft至t1,t3,t2n-1,t2n+1,…,t3n之间，以及ps.on至t0之间设置禁止弧。

图2 系统的GSPN模型Fig.2 GSPN model of system

图2(a)所示为串联系统的运行过程。系统处于正常状态，on库所存在令牌，变迁t0,t1,t3，…,t2n-1使能，瞬时变迁t0立即激发，令牌从系统的on库所中移出，流向ps.on库所和子系统的on库所。此时令牌在ps.on库所中，瞬时变迁t0被禁止。系统运行一段时间后，发现子系统1发生故障，条件变迁t1激发，令牌从子系统1的on库所中流入ft库所中，此时条件变迁t2、t2n+1使能。瞬时变迁t2n+1激发后，令牌流入ps.ft库所中，变迁t3n+1满足激发条件、立即激发，令牌从库所ps.on和库所ps.ft中移出。变迁t2n+1再次激发，令牌再次流入库所ps.ft中。此时变迁t2n+1，t2n+2,…，t3n以及t1,t3,…,t2n-1被禁止弧禁止。发现故障后及时修理，变迁t2激发，令牌流入子系统1的on库所中，变迁t0激发，令牌流入ps.on库所中，与此同时ps.ft中的令牌移出，子系统1故障维修完毕，系统恢复健康状态。图2(b)为并联系统模型，并联模型与串联模型不同的是取消系统到子系统的禁止弧，当所有子系统都发生故障时，才会导致系统发生故障，其运行过程不再赘述。

2.4 导弹系统的GSPN模型

本文根据国家军用标准GJB/Z1391—2006故障模式影响及危害性分析指南相关规定，将导弹系统的故障模式划分为4类[11-12]：Ⅰ 灾难级——红(RD)；Ⅱ 严重级——橙(OG)；Ⅲ 轻度级——黄(YW)；Ⅳ 轻微级——蓝(BL)。本文定义的系统故障模式颜色属性与传统有色Petri网概念不同，本文定义的有色仅用于区别模型中各库所表示的故障模式，增强模型可视性。若将本文库所的有色属性删除，则GSPN 的模型结构并不会发生变化[13]。

图3为LRU元件正常状态的库所(GR.1、GR.2、GR.3)依照延时变迁服从的分布随机被激发，激发后绿色令牌流向表示故障模式状态的库所(RD.1、OG.1、YW.1)[14]。

图3 变迁在Petri网中的表达形式Fig.3 Expression of transition in Petri net

图4 导弹基本结构图Fig.4 Basic structure diagram of missile

图5 导弹系统结构框图Fig.5 Structure diagram of missile system

图4为导弹系统的基本结构图，对其结构进行分析，如图5所示。根据该结构框图确定GSPN模型中的8个子系统，任何子系统发生故障都会导致导弹系统不能正常工作。多数子系统不具有BIT功能，需要通过弹上计算机进行综合处理。导弹子系统故障作为建模基本单位，不再对元件内部结构进行细分。

考虑系统故障和维修过程，选取导弹系统一部分故障模式及影响分析和危害性分析(FMECA)表，如表2所示。

首先建立导弹系统立体结构的GSPN模型如图6(a)所示，图7为图6(a)中虚线部分，表示子系统的维修过程。举例分析，当雷达系统发生故障，反馈到弹上计算机，计算机处理后发送指令到雷达系统进行BIT检测，然后进行故障诊断和修理。导弹系统平面的GSPN模型如图6(b)所示，用变迁tF、tR表示子系统的故障和维修过程；子系统i处于正常状态用绿色库所pi. GR表示，处于故障状态用其他颜色库所pi.OO表示(OO表示RD、OG、YW、BL)，pi.ft所代表的弹上计算机为系统故障库所，当令牌存于该库所中，表明导弹系统出现故障，需要对导弹进行维修。

表2 导弹系统FMECA信息

2.5 导弹子系统的GSPN模型

导弹装备任何一个子系统发生故障都会影响整个导弹系统，因此对其中一个子系统(舵机系统)进行分析，建立其维修过程的GSPN模型，如图7所示。

图7 GSPN模型中库所和变迁的具体含义如表3所示。

图6 导弹系统测试性分析的GSPNFig.6 GSPN model for testability analysis of missile system

图7 导弹舵机系统维修过程的GSPNFig.7 GSPN model for maintenance process of missile rudder system

3 模型求解及测试性指标确定

3.1 求解对象

本文对子系统的模型进行分析，通过各个子系统反映到整个系统中。如果每个子系统的测试性指标满足指定要求，则相应的整个系统测试性指标也会满足要求，这里涉及测试性指标分配，不作赘述。每个子系统的求解方式相同，本文只给出舵机系统的一个求解示例。

表3 库所和变迁的具体含义

3.2 模型的求解

基于GSPN模型可达标识图与嵌入马尔可夫链(EMC)同构，对相应的EMC进行求解，是求解GSPN模型稳定状态解的一种基本方式，因此在对测试指标求解时可以采用同构法[15-17]。设GSPN的状态空间为S，该空间包括实存状态集合和消失状态集合两部分，实存状态代表时间变迁，消失状态代表立即变迁，分别用数学集合T和V表示。

则GSPN相应的转移矩阵[18]为

(1)

式中：矩阵A的元素由两部分组成，一是状态空间中由消失状态转移到消失状态(矩阵XVV)的转移率，二是消失状态转移到实存状态(矩阵XVT)的转移率；矩阵B的元素也由两部分组成，一是状态空间中由实存状态转移到消失状态(矩阵XTV)的转移率，二是实存状态转移到实存状态(矩阵XTT)的转移率。定义一个压缩的EMC(REMC)，该REMC中只有实存状态，将状态空间中的消失状态全部剔除。系统实存状态的转移矩阵为

U′=XTT+XTV(I-XVV)-1XVT，

(2)

式中：I为单位矩阵。

REMC的状态转移矩阵Q由U′得到，矩阵Q中的元素Qij为

(3)

设π=[π1,π2,…,πk,…]为系统实存状态概率，则其满足：

(4)

通过求解(4)式可求得系统REMC的概率解。

根据上述理论，对图7的GSPN模型进行求解，过程如下：

1){M0,M1,…,M8}为模型的可达标识集合。{M0,M2,M3,M5,M6,M7,M8,M9}为实存状态集合，{M1,M4}为消失状态集合[19]。系统的状态可达图根据状态集合构造，如图8所示。

图8 导弹子系统维修过程的状态可达图Fig.8 Status of missile subsystem maintenance process

2)根据(5)式求得实存状态的状态转移矩阵：

(5)

3)根据(3)式构造REMC的稳态转移矩阵，如(6)式所示：

(6)

4)根据(4)式进行求解，求得导弹舵机系统的稳态概率π0，即为系统的稳态使用可用度A0：

(7)

3.3 导弹子系统测试性指标确定

3.3.1 可用度与故障检测率的关系分析

可用度对故障检测率求导：

(8)

3.3.2 可用度与故障隔离率的关系分析

可用度对故障隔离率求导：

(9)

考虑到故障可以通过BIT检测时，默认为ATE检测率为100%，则用(8)式除以(9)式，得

(10)

3.3.3 平均修复时间和平均故障时间间隔

(11)

通过求解(7)式和(11)式，得出MTTR和各参数之间的关系为

(12)

4 工程实例

某导弹系统的舵机系统故障检测和维修过程如图7所示，引用文献[6]的一些系统参数，该子系统的故障率λ≤1/10，其他与维修相关的指标分别为直接更换维修时间1 h(μ1=1 h-1)、交替更换维修时间2 h(μ2=1/2 h-1)、更换维修时间1 h(μ3=1 h-1)、检测校准时间10 min (μ4=6 h-1)。设导弹系统可用度为A0，并要求A0≥0.87，根据上述条件对导弹舵机系统测试性指标进行求解。

首先将上述参数代入(7)式和(12)式，为降低计算难度，假设故障检测时间和故障隔离时间都服从指数分布，且二者相等。以故障检测速率、故障隔离速率和ATE检测速率为变量，通过改变故障检测率参数(0.70、0.80、0.90、0.95)，这里故障隔离率与之相同。获得故障检测速率、故障隔离速率以及ATE检测速率与稳态使用可用度和MTTR之间的关系，如图9所示。

图9 关系曲线Fig.9 Relationship curves

图9(a)和图9(b)所示曲线呈现出相同的变化趋势：MTTR随着平均故障检测速率和平均故障隔离速率不断增大而逐渐减小；稳态可用度A0的变化趋势与MTTR相反。当平均故障检测速率和平均故障隔离速率增大到30左右时，MTTR和稳态可用度A0变化趋势不明显，此时趋于稳定状态，即使增大速率对于降低MTTR和提高A0无实际意义，可能会导致导弹系统更加复杂，实现成本也会过高。综合上述分析，采用BIT检测的平均故障检测速率ηD≥30，ηI与其相同，满足ηI≥30. 为简化计算过程，将故障检测速率设为ηD=30，平均故障检测时间合理值为1 h/30=2 min，平均故障隔离时间与之相同。

从图9(c)中可以得出结论：MTTR曲线的变化趋势是随着ATE检测速率的增大而减小，A0的变化趋势与MTTR相反。当ηATE>0.50时，随着平均故障检测速率的增大，MTTR和稳态使用可用度A0几乎没有发生明显变化，说明此时ATE检测速率对MTTR与稳态可用度A0影响很小，考虑检测过程中ATE具有很多不确定因素，取ηATE=1，即ATE检测隔离时间为1 h.

图10 关系曲线Fig.10 Relationship curves

ηD、ηI和ηATE代入(7)式和(12)式，分析故障检测率和故障隔离率这两个测试性参数与稳态可用度和MTTR之间的关系，如图10所示。

根据第4节工程实例中的约束条件：A0≥0.87和MTTR≤1.60 h. 当故障隔离率为0.80时，从图10(a)中可以得出故障检测率必须大于0.92，而图10(b)则需故障检测率大于0.78，权衡之后，故障检测率需大于0.92；当故障隔离率为0.90时，要同时满足A0和MTTR的要求，则需要故障检测率分别大于0.83和0.71. 在导弹装备检测过程中，模糊组的出现会加大检测难度，严重影响检测时间和维修效率，因此尽可能将故障隔离到单个LRU；考虑到导弹装备特性，以及现阶段导弹的测试性水平、测试性设计成本等因素，故障检测率和故障隔离率需要选取合适的参数来进行评估。综合以上分析，BIT的rFD为0.92，隔离到单个LRU的rFI为0.90.

5 结论

本文采用GSPN模型对导弹进行建模，根据国家军用标准GJB/Z 1391—2006 对系统故障模式进行划分，并提出采用同构法对模型进行求解，最后以某导弹子系统为例，对其测试性指标进行评估。得出主要结论如下：

1)完成了导弹系统的三维立体结构、平面结构、故障检测和维修结构的GSPN模型的构建，所建模型与系统实际模型更加相近，可以得到更全面的分析结果。

2)采用同构法对GSPN模型进行求解，利用1阶偏导数得到可用度与故障检测率、故障隔离率之间关系，这对测试性指标的权衡分析与评估具有重要意义。

3)通过工程实例对导弹舵机系统进行测试性指标评估，得到92%的故障检测率和90%的故障隔离率，验证了所提建模方法和相应算法的有效性。