安全联锁系统的可靠性及可用性分析_可靠性分析的基本步骤_系统可靠性可用性mtbf(4)

2oo3体系结构及其失效分析2oo3体系结构，又称为三重冗余、三模冗余结构，在航空、航天、军事上的应用相当广泛，兼顾安全性和可用性。顾名思义，2oo3是一种三通道系统，它包含输入、逻辑控制和输出，输出部分还有表决电路。在安全相关系统中，2oo3结构保证当系统中最少有两路处于安全状态时，系统是安全的。2oo3系统的输入、输出都包含有“投票”（Vote），用以判断和纠正其输入和输出值。图 2oo3体系结构如图所示的三重冗余系统，在该图中的危险失效是“该开路而短路”。分析图结构，可以发现输出电路的失效模式有两种：“该开路而短路”和“该短路而开路”，前者是危险失效（使安全相关系统处于潜在的危险或丧失功能状态的失效），后者是安全失效（不可能使安全相关系统处于潜在的危险或丧失功能状态的失效）。在本文中的所有示例中，危险失效均为“该开路而短路”。在图所示的体系结构中，输出部分使用了两两串联再并联的结构，其等效电路如图所示，AB串联、AC串联、BC串联，然后再将三者并联起来，这样，当A、B、C三者任何两个短路，从+极到-极的通路才能导通，执行器才能够得到激励；这样就实现了3取2的投票。 2oo3失效的条件是A、B、C中，至少有两者是失效短路，则系统危险失效。

以AB失效为例，如果发生检测到或者未检测到的A、B发生共因危险失效，则系统危险失效；或者A、B同时发生非共因危险失效，系统发生危险失效，其他AC、BC同理。无论A，B发生的危险失效是否被检测到，因为没有额外的诊断电路，都不能将危险失效转化为安全失效（实际应用中可以采取某些技术措施把检测到的危险失效转化为安全失效）。3 各种体系结构的分析对比1oo1体系结构即常规的单通道系统，没有太多考虑安全性和可用性方面的问题，如果按照IEC61508的规定严格执行，是可以达到SIL1安全等级以上的。可用性方面，由于1oo1系统并没有任何形式的冗余和备份，所以系统的可用性和安全性都比较低。 双通道系统略强于单通道系统，双通道系统如果从安全性角度考虑，则需要两个通道并行工作，同时输出结果，然后把输出的结果进行比较和分析；如果是考虑可用性，则两个通道之中需要有一个是主，一个是热备。双通道系统相比单通道系统能够提供更好的安全性和可用性，双通道系统共有两种：1oo2和2oo2，其中，1oo2能够获得更好的安全性，其输出是被同时考量的，只有两个输出相同时才会产生有效的输出，逻辑上相当于与。而2oo2可以保证更好的可用性，两个输出逻辑上相当于或，任意一个有输出，则系统就有输出。

一种改进型的双通道系统1oo2D含有两个通道，同时具备独立的诊断电路。诊断电路可以发现某些错误，可将危险失效转化为安全失效，所以1oo2D具备更高的安全性。在保障安全所采用的技术上，1oo2D本质上是依赖于诊断技术的，1oo2D体系结构设计合理的话，可以达到SIL3标准。只有需要达到较高SIL等级如SIL3时才考虑选用1oo2D体系结构，否则会造成成本的巨大浪费。2oo4D是一种新型的安全仪表系统体系结构。它考虑安全性的同时也保证了可用性，2oo4D是使用两路1oo2D的设备，每个1oo2D的设备安全完整性均达到SIL3，每个设备都可以独立工作；两个1oo2D设备之间是热备关系，藉此以保证可用性。 2oo3系统的设计思路不同于1oo2D，主要使用比较技术来保障安全性。典型的2oo3系统包含三个通道，当输出至少有两路相同时才进行输出。2oo3系统本身的可用性并不高，因为只有三个通道同时有效才能保证系统安全性，一旦有通道故障，系统的安全性必然降级。从可用性角度上讲，2oo3系统不如2oo4D系统，而两者所能达到的安全性基本相同。一个弥补2oo3系统可用性不足的措施是替换，三个主控制器相互独立，如果有一个出错则在规定时间内替换掉（限时修改），系统不必停机，提高了系统的可用性。

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/jisuanjixue/article-31231-4.html