基于SDG的飞机航电系统安全性分析

孙毅刚，薛 蛟，赵 珍

(1. 中国民航大学航空工程学院，天津 300300；2. 中国民航大学电子信息与自动化学院，天津 300300)

1 引言

作为现代飞机“中枢神经”的航电系统(全称：航空电子系统)，涉及了完成飞机正常飞行任务所必备的各项功能如：飞行管理、显示、导航、通信等，已成为飞机的重要组成部分之一，无论是运输旅客到达目的地的民航班机，还是拦截敌机、攻击地面目标、侦查或海上巡逻的军用飞机，航电系统都是保证机组人员安全地、有效地执行飞行任务的必备系统之一。随着电子技术、微处理技术的发展及其在航空领域的应用，现代飞机的航电系统越来越趋向于综合化、模块化方向发展。而飞机航电系统一旦出现故障问题，必然会对飞机的飞行安全造成重大影响，航电系统的安全性和可靠性问题日益凸显。例如：F-15型号的飞机，其航电系统所发生的故障数占整个飞机故障数的40%以上，对航电系统的维修工时占全机维修工时的1/3左右[1]。同时，现代航电系统的综合化、复杂化也导致了对其进行安全性分析具有较大的难度。因此，研究航电设备的安全性分析技术对保障航电系统的可靠性与安全性、提高故障诊断的精度和安全性分析工作的效率具有十分重要的理论和实际意义。

经过半个多世纪的理论与工程实践的经验积累，安全性分析技术已经日趋完善。在民用机载系统的安全性分析领域，ARP4754A安全性标准、ARP4761安全性标准、AC.25.1309安全性标准等依旧占据主体地位[2，3]，对系统进行安全性分析的方法主要有：基于功能危害分析(FHA)求出故障原因和确定故障模式[4]；基于故障树分析(FTA)来确定故障模式和故障概率；基于故障模式和影响分析(FMEA)来对故障模式进行预测[5]；基于潜在路径分析(SCA)用于辨别在组件正常运行的情况下可能发生的故障的隐藏路径[6]；基于Petri网将危害因素结合起来进行系统的安全性分析[7]；基于危害与可操作性(HAZOP)来识别可能危害到系统正常运行的因素[8]；基于共因分析(CCA)来识别导致不同组件故障的相同致因的原因[9]。

针对航电系统的安全性分析问题，本文以甚高频通信子系统左侧VHF提供通信功能模块为例展开相关研究。首先，深入分析了甚高频通信子系统的结构和运行原理，其次，以提高航电系统安全性分析效率和精确度为目标，以图形化的形式将航电系统的结构表现出来，最后，在综合考虑故障率、故障影响度、动态故障传播属性、故障传播强度等多种影响安全性要素的同时，提出安全性分析算法对模型进行求解。

2 航电系统工作原理

2.1 概述

本节根据航电系统的基本功能架构对其进行层次划分，将航电系统划分为四个层级：系统层级、子系统层级、模块层级以及零部件层级，图1详细表示了各个层级所包含的具体内容。

图1 航电系统功能结构层次划分图

2.2 甚高频通信子系统

通信子系统综合化程度高，其主要功能为通过有线通信设备、无线通信设备，实时与地面之间保持通信联络，进而保证在飞行过程中，能够按照空中交通管理与控制中心的要求执行组织调度，进行协调作业，最终完成安全航行。

机载通信系统中有两个用于短距离语音通信的VHF通信系统，或者除此之外还可以加装用于语音或数据通信功能的VHF收发机。从飞机启动到飞机停止运行的整个飞行过程中，VHF通信系统都必须保持在正常的工作运行状态下，以确保飞机和航空公司与空中交通管制部门可以一直保持联系。因此，为了保证VHF-1收发机在任何情况下即使是紧急状态时都不会断电，左侧的紧急直流汇流条L-ESS DC BUS持续为其供电，加装的VHF收发机也由其进行供电。同理，VHF-2收发机也必须一直保持在工作状态，由右侧紧急直流汇流条R 28V DC BUS供电。

甚高频通信子系统的架构如图2所示。图中包含两组为机长和副机长提供音频控制界面的音频控制面板(ACP)；包含两组为机长和副机长对两套甚高频(VHF)收发机进行功能选择的无线电调谐装置(RTU)；其中还包括由驻留在集成处理柜中的通用计算模块(CCM)中的无线电调谐应用程序软件(RTSA)提供的一条调谐补充路径。

图2 甚高频通信子系统

通过控制显示单元(CDC)机长可以向RTSA输入调谐命令，调谐命令通过IOC输出，以此来驱动RTU。采用将IOC和飞机电缆进行分割的方式，来将系统不同通道之间的传输进行隔离。第三条调谐路径可以在避开RTU和RIU的情况下，经过RTSA和IOC直接到达VHF收发器的C端口。通过对图2的分析可知，系统中的VHF收发机都包括端口A、端口B和端口C三个调谐输入端口，它们分别接收来自不同调谐方式的与之相对应的调谐命令。此外，第一组VHF收发机除了上述功能外，还可以通过RSP接收紧急调谐频率(121.5MHz)。上述VHF通信的结构可以很好的提高系统的安全性与可靠性，但是，同时带来了一些缺陷，使系统的冗余度有所增加。

3 基于SDG的故障传播模型构建

3.1 SDG模型

基于SDG (Signed Directed Graph，SDG)模型的故障诊断方法是基于模型的故障诊断方法的一种。SDG模型由Shiozak等人提出，它以图形的方式描述系统的各个组件之间的因果关系及其相互影响，对系统的完整性也可以做出良好的解释。目前，基于SDG模型的故障诊断方法广泛应用于工业工程系统的故障诊断与安全性分析中[10-14]。

SDG模型G的精确数学表示如式(1)所示

G=(V，E，φ)

(1)

其中，V={vi|vi为系统的各个组件，1≤i≤n}代表系统所有组件的集合，G中所有组件的数目为n；E={eij|eij为连接组件vi，vj的有向边}代表所有系统连接组件的路径集合；用函数φ来表示组件有向边eij的符号，函数φ的取值为：“+”和“-”，“+”表示组件之间的影响关系为正，有向边的方向由组件vi指向组件vj，“-”表示组件之间的影响关系为负，有向边的方向由组件vi指向组件vj。

vi代表系统组件的工作状态变量，并且根据给定的组件正常工作范围来判断这个组件是否处于正常工作状态，当组件正常工作时，其处于正常范围内，而不管组件高于或低于正常范围，都将会导致部分系统甚至整个系统的故障。将组件vi工作的正常范围定义为正常阈值。

将SDG模型G中全部组件的实时工作状态进行采集，并将其作为一个样本集合，则组件的实时工作状态函数为：φ：φ(vi)：vi∈V，φ→{+，-，0}，称为组件vi的符号，如式(2)所示：

(2)

G的实时样本集合中，若φ(vi)≠0，那么vi是有效组件：如果φ(vi)φ(vj)=φ(eij)，SDG模型G中的组件间的路径eij就是相容支路，组件的相容支路组成的路径定义为相容通路。

如图3所示为SDG模型的组件、有向边示意图。

图3 SDG模型示意图

图中A组件符号为“+”，表示组件的工作范围高于正常阀值，C组件符号为“-”，表示组件工作范围低于正常阀值；A、B之间有一个由A指向B的实线箭头，表示A对B有正影响，即A的值增大，B的值也增大，A的值减小，B的值也减小，A、C之间有一个由A指向C的虚线箭头，表示A对C有负影响，即A的值增大，C的值减小，A的值减小，C的值增大；B、D、E各自的符号和它们的连线同上。φ(vA)φ(vB)=φ(eAB)，φ(vB)φ(vE)=φ(eBE)，φ(vA)φ(vC)=φ(eAC)，φ(vC)φ(vD)=φ(eCD)，φ(vD)φ(vE)=φ(eDE)这五条都为相容支路，eAC、eCD、eDE三条相容支路构成了一条相容通路，eAB、eBE两条相容支路构成了一条相容通路。当系统中的组件发生故障时，故障只能通过相容通路在系统中传播。

3.2 SDG模型的矩阵化与分层重构

通过SDG对系统建模可以清晰的以图形化的方式对系统组件与组件之间的相互连接关系进行描述。但是，当对复杂系统进行建模时，由于组成系统的组件过多，导致系统的图形化语言过于繁杂，而且图形化语言无法使用计算机对其进行识别和求解。因此，当把系统模型转化为SDG模型后，还应通过相应的数学语言来表示模型，以便在图形化语言的基础上展开对系统的分析和数据之间的传递。

以邻接矩阵P=(Pij)n×n来表示有向图G，其中n为有向图G中所有组件的个数，矩阵中的元素Pij代表：Pij≠0表示组件vi到组件vj之间存在有向边，Pij=0表示组件vi到组件vj之间不存在有向边。图3对应的邻接矩阵如式(3)所示。

(3)

尽管邻接矩阵可以很好的反应SDG模型中系统各组件组件之间的相互关系，但是，从故障诊断的角度来看，看中的是系统组件之间的故障传播关系和相互之间的故障影响程度的大小，这涉及到了“可达”的概念，“可达”的定义是系统中某一组件发生故障时，可能直接或间接导致系统中另一组件产生故障。

一个故障传播SDG模型当中全部故障间的可达关系，以矩阵C=(Cij)n×n来表示，其中n表示矩阵中所有组件的个数，矩阵中的元素Cij代表：Cij≠0表示组件vi可以到达到组件vj，Cij=0表示组件vi不可以到达到组件vj。可通过Warshall算法[15]将邻接矩阵Pij转化为可达矩阵Cij。图3对应的可达矩阵如式(4)所示。

(4)

SDG故障传播模型一般都不止包含一个故障模式，假设其中包含n个故障模式，在模型中如果任意两个故障xi和故障xj之间可以用可达矩阵表示，那么这种关系就可以用邻接矩阵P的n-1次乘幂来表示。假设系统组件的所有故障模式都可以到达自身，则系统的邻接矩阵与可达矩阵之间的关系如式(5)所示

C=1∪P2∪…∪Pn-1

(5)

现实系统大多为由众多组件构成的综合性复杂系统，使用SDG进行建模，模型将会很复杂，不利于后期的研究与分析。为了对模型进行简化，将故障传播SDG模型进行分层重构，定义“组件深度”的概念来表示SDG模型中每个组件的最大层数。在图3中，故障E的组件深度为4，故障D的组件深度为3，根据这种方法，可以获得每个组件的组件深度。对图3的SDG模型采用基于可达性的分层方法，最终得到的分层重构SDG模型如图4所示。

图4 分层重构SDG故障传播模型

4 航电系统安全性分析方法

4.1 基于故障影响度的模型结构性指标评估

PageRank的数学表示如式(6)所示

(6)

式中，v和u表示超链接网络中的网页，N(v)表示链接到网页v的数量，即出链数量；B(u)表示超链接网络中所有网页u所受到的所有链接的集合。

通过分析PageRank算法计算超网络链接中每个网页节点PR值的过程，将其应用到计算航电系统组件故障影响度的过程中来：基于航电系统故障传播分层重构SDG模型，将模型中的每个组件替换为超链接网络中的网页节点，并将航电系统组件之间的故障传播关系替换为网页之间的链接关系，组件故障影响度pr大小表示系统中某组件发生故障可能性的大小和故障向其它组件传播能力的大小，而pr(vi)用于表示组件vi的故障影响度。

如果组件vi发生故障，并且故障可以传播到组件vj，那么组件vi的故障影响度同样会有一部分授予组件vj；如果组件vi的故障影响度值比较高，那么组件vj所接受的故障影响度值可能会较高，进而导致连接两个组件之间的有向边的故障影响度也将提高，从而增强组件之间的故障传播能力。依据这种分析方法，根据故障传播SDG模型G=(V，E，φ)，则模型中的有向边故障影响度pr(ei→j)如式(7)所示

(7)

式中，pr(vi)与pr(vj)分别表示组件vi与组件vj的故障影响度pr值。

由上文可知，组件的故障传播能力既受组件本身故障率的影响，又受到系统中其它组件的影响。而由式(7)可知，有向边的故障影响度表示的是与其相连的组件之间的相互影响程度。因此，可以采用将故障传播SDG模型G=(V，E，φ)中的组件的故障率Pvi和组件之间的有向边故障影响度pr(ei→j)相结合的方式，来定义航电系统组件之间的有向边动态故障传播属性。组件vi到组件vj的动态故障传播属性P(ei→j)如式(8)所示

P(ei→j)=Pvipr(ei→j)

(8)

式中，Pvi为组件的故障率，pr(ei→j)为有向边ei→j的故障影响度。

在许多研究中，有向边的边介数越大，则认为该有向边对与其连接的组件的影响程度越大，故障沿着这条有向边传播的可能性就越大，即用边介数来表示有向边对与其相连的组件的控制效果。定义边介数Le为故障传播SDG模型G=(V，E，φ)中任意两个组件之间最短路径中经过有向边ei→j的比例。用L(ei→j)表示组件vi到组件vj的有向边的边介数，其表达式如式(9)所示

(9)

式中，Nok为任意两个组件vo、vk之间最短路径的数量；Nok(ei→j)为模型中经过有向边ei→j的任意两个组件vo、vk之间最短路径的数量。

边介数用来表示有向边对与其相连的组件的控制效果和故障沿着这条有向边的故障传播能力。因此，将有向边的边介数和有向边动态故障传播属性相结合，来定义有向边进行故障传播强度，即当发生故障时，故障通过某有向边传播的强度值，它将组件本身的安全性标准和组件之间的故障传播模型的结构标准相结合，进而来判断组件之间的故障传播能力。即故障传播强度越大，故障沿着这条路径进行传播的概率也就越高。根据故障传播SDG模型G=(V，E，φ)，定义有向边故障传播强度I(ei→j)如式(10)所示

(10)

式中，P(ei→j)为有向边ei→j的动态故障传播属性；L(ei→j)为有向边的边介数值。

4.2 基于PR-DFTS-Dij算法的安全性分析方法

为了更精确实现航电系统安全性分析，本节在综合考虑故障率、故障影响度、动态故障传播属性、故障传播强度等多种影响航电系统安全性的要素的同时，将基于栈的深度优先遍历算法(简称DFTS算法)、Dijkstra算法、PageRank算法相结合，提出PR-DFTS-Dij算法进行航电系统的安全性分析。具体步骤如下：

步骤 1：创建集合L、M、N、O。初始状态时，M中只包含开始组件v0，L包含所有组件的故障率Pvi，并通过式(6)计算出所有组件的故障影响度pr(vi)并存放于O中，N包含除v0外的所有组件；

步骤 2：定义数组l，p，q，r，s，t，l数组用来存储起始组件v0到系统中各个组件路径的最短距离，p数组用来存储前一个组件的下标号，q数组用来存储每个组件的符号，r数组用来存储每条路径的符号，s用来存储最短路径所经过每一个组件的次数，t用来存储最短路径所经过每一条有向边的次数；

步骤 3：从N中取与v0相连接的组件vi，满足v0到vi的路径长度小于到其它组件的长度，把vi加到M中，并把vi从N中删去，则最短路径就是v0→vi；

步骤 4：把vi作为新起点，找到集合N中和vi相连的组件，若v0→vi的距离加vi→vi+1的距离比v0→vi+1的不经过vi的距离短(vi+1为N集合中的组件)，则vi+1为路径中的下一个组件，把vi+1加到M中，并把vi+1从N中删去；

步骤 5：重复执行步骤1到4，直到所有组件都从N中删去，加到M中，则这些组件首尾相连就构成了故障传播的最短路径。l数组存储了起始组件到系统中各个组件路径的最短距离，p数组存储了所有前置组件的下标号，q数组存储了各组件的符号，s存储了最短路径所经过每一个组件的次数，t存储了最短路径所经过每一条有向边的次数；

步骤 6：根据式(9)计算每一条有向边的边介数L(ei→j)，并输出；

步骤 7：结合基于栈的深度优先遍历算法从起始组件开始遍历有向图中每个组件，每经过一个组件时，将该组件进行标记，表示该组件已经访问过，同时将想这个组件入栈，入栈状态设置为1，通过不断的入栈操作，将遍历过的所有组件都进行入栈和标记。当遍历到终止组件时，此时栈中有一条两个组件之间的路径，将此路径保存。同时通过式(7)计算每条有向边的故障影响度pr(ei→j)，式(8)计算每条有向边的动态故障传播属性P(ei→j)，式(10)计算每条有向边的故障传播强度I(ei→j)，分别输出，并将路径符号保存到r数组中，将当前组件执行出栈操作，然后从上一个组件开始，继续执行遍历算法，一旦搜索到有其它路径，就将其进行保存，最后就得到了所有的路径。并将每两个相连组件的符号相乘与r数组中对应路径符号比较，得到相容支路；

步骤 8：对每条路径的故障传播强度I(ei→j)进行求和，比较每条路径的故障传播强度I(ei→j)，并单独输出故障传播强度I(ei→j)最大的路径。

步骤 9：根据故障传播强度I(ei→j)从大到小输出所有相容支路组成的路径，算法结束。

在此基础上，当航电系统的组件发生故障时，由有向边故障传播强度的定义可知，故障沿着有向边故障传播强度I(ei→j)值大的支路进行故障传播到达下一个故障节点的概率最大，然后继续选择有向边故障传播强度I(ei→j)大的支路进行故障传播，以此类推，直到故障传播到无法传播为止，这个时候就确定了故障最可能的传播路径，同时还得到这个故障传播的所有路径和每条路径的故障传播强度I(ei→j)，有助于提高航电系统安全性分析工作的效率。

5 仿真与分析

由于甚高频通信子系统的高度集成和含有大量内部组件，因此故障传播关系变得复杂，同一故障具有多种表现形式，并且故障原因多样，在一个模型中很难完整的表示，因此，须通过将系统中负责相近功能的组件取出的方式对模型进行模块化处理，建立子SDG模型，并不会破坏完整模型的结构，从而发生进一步推理错误。选取左侧VHF通信功能模块作为SDG模型中的组件，如表1所示，SDG模型如图5所示。

表1 左侧VHF通信功能模块所选组件

图5 左侧VHF通信功能模块SDG模型

根据3.2节描述的邻接矩阵和可达矩阵的定义，通过分析图5 SDG模型各个组件间有向边的邻接关系，得出它的邻接矩阵如图6所示，可达矩阵如图7所示。

图6 左侧VHF通信功能模块邻接矩阵

图7 左侧VHF通信功能模块可达矩阵

依据图7所示的可达矩阵，计算每个组件的组件深度，将各个组件的组件深度对应为相应的层级用L表示，采用基于可达性的分层方法得到分层重构SDG模型如图8所示。

图8 分层重构SDG模型

由于深度优先遍历的递归算法搜索时间长，效率低，而且空间占用率高，所以在实际应用过程中往往将其改进，在借助栈的基础上采用非递归算法，即：基于栈的深度优先遍历算法，主要用于遍历或者对树和有向图进行搜索。采用DFTS算法对系统的故障组件进行分析，虽然可以很好的反映出组件之间的故障传播关系，并且得到相应的故障传播路径，但是并不能确定引发系统故障的故障源，达到故障定位进而保证系统安全性的目的。

Dijkstra算法进行故障传播分析的核心思想为：以相邻组件之间的故障传播时间为依据来判断组件之间的故障传播能力，进而求出故障传播的最短路径，从而对故障进行定位。采用Dij算法与DFTS算法相结合，即DFTS-Dij算法，对图8所建立的左侧VHF通信功能模块分层重构SDG模型进行故障传播分析。当左VHF功能即组件B20出现故障时，故障传播最短路径为：B6->B5->B4->B20；B14->B11->B4->B20；B12->B11->B4->B20；B13->B11->B4->B20；B1->B2->B19->B20；B3->B2->B19->B20；B17->B18->B19->B20；B21->B18->B19->B20，故障源可能为组件B6、组件B14、组件B12、组件B13、组件B1、组件B3、组件B17、组件B21。采用DFTS-Dij算法对系统的故障组件进行分析，虽然在一定程度上减少了故障定位的工作量，有助于提高故障诊断的效率，但是由于其考虑的故障影响因素较少，依旧不能够准确对故障源进行定位，所以其进行系统故障诊断的精确度有待提高。

当左侧VHF通信功能模块左VHF功能即组件B20出现故障时，通过PR-DFTS-Dij算法进行安全性分析，根据组件的故障率Pvi，并通过式(6)计算出故障影响度pr(vi)，如表2所示，每条有向边的边介数L(ei→j)、故障影响度pr(ei→j)、动态故障传播属性P(ei→j)、故障传播强度I(ei→j)如表3所示，所有故障传播路径和每条传播路径的故障传播强度如表4所示。

表2 组件的故障影响度及故障概率

表3 有向边故障传播参数

表4 故障传播路径与故障传播强度

输出的故障传播强度I(ei→j)最大的路径为：B9->B8->B5->B4->B20，如图9所示，其故障传播强度为0.69700391，最有可能的故障源为组件B9即ACP2组件出现故障，缩小了故障搜索空间，缩短了对故障进行定位的时间，提高了诊断效率，而且输出了故障传播的所有路径，在此基础上，还可以得出某一组件发生故障时，其故障传播路径，判断当故障继续传播时，预测故障会传播到哪一组件，达到及时预防的作用，保证了系统的安全性。

图9 故障传播路径

6 结论

本文针对飞机的航电系统安全性分析方法展开研究，建立了甚高频通信子系统左侧VHF通信功能模块的分层重构SDG模型，在综合考虑故障率、故障影响度、动态故障传播属性、故障传播强度等多种影响航电系统安全性要素的基础上，基于PR-DFTS-Dij算法进行安全性分析。结果表明，所提出的方法能够准确快速地确定故障源，与DFTS算法和DFTS-Dij算法相比具有更高的准确性和实用性，达到提高安全性分析效率的目的，而且这个分析过程的实现是自动化的，结果的客观性得到了保证。本文的研究，对航电系统的安全性分析具有重要的理论与工程应用价值。