綜合模塊化航電系統(tǒng)失效模型分析*

王 鵬，趙長(zhǎng)嘯，馬 贊

(1.民用飛機(jī)模擬飛行國(guó)家重點(diǎn)實(shí)驗(yàn)室，上海201210;2.中國(guó)民航大學(xué)天津市民用航空器適航與維修重點(diǎn)實(shí)驗(yàn)室，天津300300)

1 引言

綜合模塊化航空電子系統(tǒng)(Integrated Modular A-vionics，IMA)的出現(xiàn)解決了由于功能需求增加而導(dǎo)致的系統(tǒng)尺寸、重量、能耗以及通信復(fù)雜度增加等問題，克服了聯(lián)合式體系結(jié)構(gòu)的固有缺陷[1]。IMA構(gòu)架簡(jiǎn)化了航電軟件與硬件的開發(fā)和驗(yàn)證，增強(qiáng)了系統(tǒng)的處理能力與可靠性，并被廣泛應(yīng)用于波音787、空客A380、F－22等新一代民用與軍用飛機(jī)的系統(tǒng)設(shè)計(jì)[2]。IMA最大限度地推進(jìn)系統(tǒng)綜合，通過在硬件核心處理平臺(tái)上加載相應(yīng)的功能軟件來滿足不同的應(yīng)用需求。這種系統(tǒng)綜合減少了系統(tǒng)專用模塊的種類，帶來了維修、認(rèn)證的便利，但同時(shí)各應(yīng)用資源的緊耦合給系統(tǒng)分析和失效機(jī)理分析帶來了挑戰(zhàn)[3]。

系統(tǒng)的可靠性保障一方面依靠系統(tǒng)的可靠性設(shè)計(jì)，另一方面，良好故障恢復(fù)策略也是保證系統(tǒng)安全運(yùn)行的重要措施[4]。失效狀態(tài)確認(rèn)、失效模式判別是進(jìn)行健康管理與故障預(yù)測(cè)的前提。聯(lián)邦式航電系統(tǒng)中各子系統(tǒng)擁有獨(dú)立的硬件平臺(tái)，這種物理隔離的方式具有天然的失效隔離特性。在IMA結(jié)構(gòu)中，各應(yīng)用共享通用的計(jì)算平臺(tái)，采用邏輯分區(qū)的手段隔離各功能模塊，各功能分區(qū)間資源緊密耦合，如何檢測(cè)系統(tǒng)故障、確認(rèn)失效模型以及定位故障變得十分困難。

國(guó)內(nèi)外學(xué)者對(duì)IMA系統(tǒng)進(jìn)行了廣泛的研究，在系統(tǒng)體系結(jié)構(gòu)[5]、健壯分區(qū)設(shè)計(jì)[6]、處理器關(guān)鍵任務(wù)調(diào)度[7]、網(wǎng)絡(luò)實(shí)時(shí)性分析[8]等方面有較多的研究成果，針對(duì)IMA系統(tǒng)失效模型及分析的研究較少。文獻(xiàn)[9]研究了航空電子裝備保障中的失效分析，介紹了失效模式影響分析(Failure Mode and Effects Analysis，F(xiàn)MEA)在航電領(lǐng)域的應(yīng)用;文獻(xiàn)[10]研究了航電故障診斷中的參數(shù)融合問題;文獻(xiàn)[11]從驗(yàn)證角度研究了IMA系統(tǒng)需要關(guān)注的幾類系統(tǒng)失效問題;文獻(xiàn)[12]從適航的角度研究了IMA系統(tǒng)的安全性問題。這些研究從多方面討論了IMA系統(tǒng)的故障確認(rèn)、安全分析等問題，但是沒有給出通用的IMA系統(tǒng)失效模型。本文從分析IMA系統(tǒng)的層次結(jié)構(gòu)入手，通過建立系統(tǒng)的功能分層模型，建立了IMA系統(tǒng)的層次化失效模型，對(duì)各失效模式進(jìn)行了分類，并給出了失效模型分析實(shí)例以及應(yīng)對(duì)策略。

2 IMA體系結(jié)構(gòu)

IMA通過在一系列標(biāo)準(zhǔn)化通用功能模塊上加載與硬件無關(guān)的軟件，完成航空電子系統(tǒng)各種功能。在IMA中，各子系統(tǒng)功能都是建立在通用功能模塊之上的，而通用功能模塊在機(jī)載資源基礎(chǔ)上，通過加載不同的軟件完成具體的功能。與傳統(tǒng)的聯(lián)邦式航電相比，各子系統(tǒng)不再擁有獨(dú)立的計(jì)算、I/O和通信等資源，IMA實(shí)際上是由統(tǒng)一的總線網(wǎng)絡(luò)連接通用的模塊構(gòu)成硬件基礎(chǔ)，并由系統(tǒng)軟件提供任務(wù)功能的信息交換和處理的實(shí)體。采用有限種類的通用模塊、標(biāo)準(zhǔn)的設(shè)備結(jié)構(gòu)和互連接口是開放式模塊化系統(tǒng)的特征[13]，聯(lián)合式航電系統(tǒng)與 IMA系統(tǒng)的結(jié)構(gòu)對(duì)比如圖1所示。

圖1 聯(lián)合式航電與IMA結(jié)構(gòu)對(duì)比Fig.1 Comparison between IMA and federate avionics

可以看出，傳統(tǒng)的聯(lián)邦式航電，各功能模塊獨(dú)立，不存在功能內(nèi)部的數(shù)據(jù)交換和資源共享，其一般是通過總線技術(shù)將各功能模塊聯(lián)系起來，如ARINC 429等。這為各功能模塊提供了物理隔離，而這樣設(shè)計(jì)的缺點(diǎn)也是顯而易見的，需要為各功能模塊設(shè)計(jì)專用的軟件和硬件，部件重用和升級(jí)較為困難。對(duì)于IMA架構(gòu)，多個(gè)航電子系統(tǒng)通過一個(gè)“虛擬系統(tǒng)”共享航電資源，各子系統(tǒng)間通過“分區(qū)”來進(jìn)行隔離，各系統(tǒng)的資源耦合更緊密，可被重用，硬件模塊可在不同的飛機(jī)上使用，系統(tǒng)容易升級(jí)和重配置，僅需少量備用資源。對(duì)于IMA系統(tǒng)，系統(tǒng)的各功能緊密耦合，難以像聯(lián)合式航電一樣，通過具體的子系統(tǒng)區(qū)分各模塊。本文通過功能層次來劃分IMA系統(tǒng)進(jìn)行系統(tǒng)失效模型的研究。

3 IMA失效模型分析

失效模型與失效機(jī)理研究是航電系統(tǒng)安全研究的重要組成部分，通過建立失效模型、分析失效機(jī)理可以為系統(tǒng)設(shè)計(jì)者和集成者提供指導(dǎo)，提高整體系統(tǒng)的安全性和可用性。傳統(tǒng)的聯(lián)合式航電系統(tǒng)，各子系統(tǒng)之間具有天然的物理邊界，系統(tǒng)的失效模型是針對(duì)各子系統(tǒng)的失效進(jìn)行建模。IMA系統(tǒng)為眾多應(yīng)用提供通用計(jì)算資源，同時(shí)通過互連網(wǎng)絡(luò)在各模塊和I/O設(shè)備間分享數(shù)據(jù)，其各部分資源緊密耦合，依據(jù)各子功能系統(tǒng)劃分IMA來分析失效模型和機(jī)理的方法已不適用，因此本研究從系統(tǒng)的資源解耦入手，建立層次化的功能失效模型，同時(shí)對(duì)IMA系統(tǒng)/服務(wù)進(jìn)行合理類別的劃分，以建立全面的系統(tǒng)失效分析模型。

3.1 IMA失效模型

針對(duì)不同的系統(tǒng)特征，系統(tǒng)層次劃分有兩種方法，如圖2所示，一種是按照系統(tǒng)的模塊組成，將系統(tǒng)分解為子系統(tǒng)、單元模塊、元件等，這種系統(tǒng)劃分方法適合于聯(lián)合式航電類的資源松耦合系統(tǒng)。對(duì)于IMA這種共享資源的綜合化系統(tǒng)，各子系統(tǒng)資源緊密耦合，難以進(jìn)行單元?jiǎng)澐郑疚牟捎霉δ?、服?wù)的層次系統(tǒng)劃分。按照 ARINC 651－1[14]、ARINC 653[15]相關(guān)說明，按照分層思想將系統(tǒng)分層，系統(tǒng)頂層為IMA功能層，其表征IMA功能的完整性，這里我們研究的功能不是各航電子系統(tǒng)完成的具體功能，如導(dǎo)航、飛行控制等，而是IMA可以提供的通用功能，如通信功能、數(shù)據(jù)處理功能等。IMA功能的完成需借助下層操作系統(tǒng)、軟件分區(qū)等提供的服務(wù)，而服務(wù)的完好性依賴于軟件、硬件本身的完整性和正確性。同一個(gè)功能可能會(huì)需要不同的服務(wù)支持，而各服務(wù)也可以支持不同的功能。

圖2 系統(tǒng)結(jié)構(gòu)分層與功能分層Fig.2 Structure system view and functional system view

針對(duì)IMA平臺(tái)通用化的特點(diǎn)，建立層次化的功能－服務(wù)－軟/硬件失效模型，分析其功能失效模型和服務(wù)失效模型。以故障樹方式描述IMA失效模型，我們將系統(tǒng)的失效按照系統(tǒng)分層，分解為服務(wù)失效，進(jìn)而分析硬件失效、軟件失效，軟件、硬件本身故障作為失效事件的元事件，我們可以進(jìn)一步分析引起這些元事件失效的機(jī)理。

圖3 IMA分層失效模型Fig.3 The layered failure model of IMA

3.2 IMA系統(tǒng)功能、服務(wù)劃分

在IMA系統(tǒng)的功能層次化失效模型下，需要對(duì)系統(tǒng)的功能/服務(wù)進(jìn)行合理劃分，減少各功能資源耦合，同時(shí)使分析能涵蓋所有的IMA系統(tǒng)功能，根據(jù)航電功能所需的通信、處理、存儲(chǔ)等需求，以及IMA系統(tǒng)執(zhí)行和架構(gòu)的生命周期[16]，將IMA系統(tǒng)功能分為以下5類:安全的數(shù)據(jù)存儲(chǔ)、可靠的計(jì)算能力、通信、資源接入控制以及健康監(jiān)視與故障管理。

首先，系統(tǒng)功能的完成需要處理相應(yīng)的數(shù)據(jù)，對(duì)于共享資源的IMA系統(tǒng)，各功能所需的數(shù)據(jù)存儲(chǔ)空間隔離是通過分區(qū)技術(shù)實(shí)現(xiàn)的，分區(qū)的內(nèi)存存儲(chǔ)必須受到保護(hù)以防止硬件故障或是其他分區(qū)崩潰造成的影響，各分區(qū)共享內(nèi)存資源，那么防止分區(qū)間影響就變得格外重要，將此功能歸納為安全的數(shù)據(jù)存儲(chǔ)。

IMA系統(tǒng)要完成相應(yīng)的功能必須依靠其計(jì)算模塊提供的計(jì)算能力，多功能共享計(jì)算資源時(shí)，為各功能分配合理可用的計(jì)算資源是IMA平臺(tái)必須考慮的問題。

通信功能也是IMA必須提供的功能之一，無論是分區(qū)內(nèi)的數(shù)據(jù)交換還是分區(qū)間的數(shù)據(jù)交換都需要可靠的通信協(xié)議。

IMA系統(tǒng)內(nèi)，計(jì)算資源、存儲(chǔ)資源、通信資源等被多個(gè)應(yīng)用所共享，為保證滿足各應(yīng)用的需求同時(shí)充分利用資源，必須限制各應(yīng)用的資源訪問，只有在規(guī)定的時(shí)間內(nèi)應(yīng)用才被賦予訪問特定資源的權(quán)限，以保證資源的隔離。

健康監(jiān)視和故障管理是IMA平臺(tái)提供的重要功能，資源的通用性使得IMA系統(tǒng)可以在部分功能故障時(shí)，采用資源重配置的方式來進(jìn)行系統(tǒng)重構(gòu)抵御系統(tǒng)失效，因此監(jiān)視系統(tǒng)故障，根據(jù)故障采取對(duì)應(yīng)的策略以提高系統(tǒng)的安全性。

IMA系統(tǒng)服務(wù)的分類是基于ARINC653和ARINC651－1標(biāo)準(zhǔn)，服務(wù)的完整列表如表1所示。

表1 IMA系統(tǒng)服務(wù)列表Table 1 The service list of IMA

續(xù)表1

每一個(gè)IMA功能由一個(gè)或多個(gè)較低級(jí)別的IMA服務(wù)所支持，這些服務(wù)還可以支持一個(gè)或多個(gè)上層的功能，如圖4所示。

圖4 IMA功能服務(wù)支持結(jié)構(gòu)Fig.4 The map between system function and services

3.3 IMA失效模型分類方法

系統(tǒng)失效模型是多種多樣的，為了得出系統(tǒng)的分析結(jié)果，在研究IMA系統(tǒng)功能和服務(wù)失效時(shí)，我們對(duì)失效模式進(jìn)行分類，依據(jù)導(dǎo)致系統(tǒng)失效的因素將失效模型分類如下:

(1)不作為:不能提供相應(yīng)的功能/服務(wù)，如系統(tǒng)斷電導(dǎo)致不能提供計(jì)算能力;

(2)冗余:提供某種不需要的功能/服務(wù)，如在飛機(jī)飛行過程中提供下放起落架服務(wù);

(3)超前:在預(yù)期時(shí)間之前提供了相應(yīng)功能/服務(wù);

(4)超時(shí):在預(yù)期時(shí)間之后提供了相應(yīng)功能/服務(wù);

(5)差值:提供的功能/服務(wù)能力與需求不符合。

4 分析實(shí)例

本節(jié)應(yīng)用本文提出的方法來研究IMA系統(tǒng)典型的失效模型，進(jìn)行失效機(jī)理分析和失效應(yīng)對(duì)/恢復(fù)策略的研究。

由圖4可知，通信功能的完成需要多種IMA服務(wù)的支持，按照層次化失效模式分析方法，將系統(tǒng)功能的功能失效分解為IMA平臺(tái)服務(wù)失效，依照3.3節(jié)的失效模型分類方法，可以將服務(wù)失效進(jìn)行分類，然后按照各類別的失效特征分析引起系統(tǒng)失效的元事件以及失效應(yīng)對(duì)策略等。圖5給出了通信功能的層次化失效模型故障樹。根據(jù)系統(tǒng)功能確定其失效模式后，可以進(jìn)一步分析各服務(wù)的失效模式、產(chǎn)生原因，以及應(yīng)對(duì)方式，表2給出了各服務(wù)失效的失效類別，針對(duì)分區(qū)間通信失效中通信不作為進(jìn)行進(jìn)一步分析，研究了導(dǎo)致失效的可能原因以及針對(duì)失效應(yīng)對(duì)措施，分析結(jié)果如表3所示。

圖5 通信功能失效模型Fig.5 The failure model of IMA communication function

表2 通信功能失效模式列表Table 2 The failure modes of communications

表3 分區(qū)間通信服務(wù)不作為分析示例Table 3 Analytical sample of inter－partition communication service failure

由此分析可得，本文所提出的IMA系統(tǒng)失效模型分析方法可以建立全面的系統(tǒng)失效模型，通過系統(tǒng)層次化功能失效模型分析建立全系統(tǒng)的失效分析框架，通過對(duì)服務(wù)失效類別的劃分可以進(jìn)一步細(xì)化分析結(jié)果，為后續(xù)分析失效原因及采取失效應(yīng)對(duì)策略提供了很好的理論指導(dǎo)。

5 結(jié)論及工作展望

本文首先分析了IMA系統(tǒng)的體系結(jié)構(gòu)，根據(jù)IMA資源緊耦合的特點(diǎn)，提出了一種層次化的功能失效模型，建立了系統(tǒng)故障樹模型;根據(jù)ARINC651和653標(biāo)準(zhǔn)定義了IMA通用功能和服務(wù)模型，細(xì)化了失效分析模型;為保證失效模型分析全面及系統(tǒng)化，在分析各系統(tǒng)功能、服務(wù)失效模型時(shí)，對(duì)各類失效進(jìn)行了分類;最后通過實(shí)例詳述了失效模型分析方法及失效應(yīng)對(duì)策略。

本文提出的IMA系統(tǒng)失效的分析方法可以有效地對(duì)IMA系統(tǒng)進(jìn)行失效分析，但I(xiàn)MA系統(tǒng)包含的功能、資源龐雜，采用本文方法建立的層次化失效模型規(guī)模巨大，在底層資源失效層面各不同功能存在交聯(lián)情況。今后的研究方向之一是失效樹中子樹的同構(gòu)確認(rèn)，剔除重復(fù)的失效子樹以減少分析的工作量;另一方面，如何高效地分析大規(guī)模失效樹模型也是必須考慮的另一個(gè)問題。

[1]熊華鋼，王中華.先進(jìn)航空電子綜合技術(shù)[M].北京:國(guó)防工業(yè)出版社，2009.XIONG Hua－gang，WANG Zhong－h(huán)ua.Advanced integrated avionics technology[M].Beijing:National Defense Industry Press，2009.(in Chinese)

[2]Itier Jean－Bernard.A380 integrated modular avionics[C]//Proceedings of the ARTIST2 Meeting on Integrated Modular Avionics.[S.l.]:IEEE，2007:72－75.

[3]陳世浩.基于IMA的大型客機(jī)CNS系統(tǒng)集成試驗(yàn)和驗(yàn)證[J].電訊技術(shù)，2013，53(5):543－547.CHEN Shi－h(huán)ao.Integrated Test and Validation for IMA－based Large Civil Aircraft CNS[J].Telecommunications Engineering，2013，53(5):543－547.(in Chinese)

[4]孫博，康銳，謝勁松.故障預(yù)測(cè)與健康管理系統(tǒng)研究和應(yīng)用現(xiàn)狀綜述[J].系統(tǒng)工程與電子技術(shù)，2007，29(10):1762－1767.SUN Bo，KANG Rui，XIE Jin－song.Research and application of the prognostic and health management system[J].Systems Engineering and Electronics，2007，29(10):1762－1767.(in Chinese)

[5]尤海峰，劉煜.大型民用飛機(jī)IMA系統(tǒng)應(yīng)用分析及發(fā)展建議[J].電訊技術(shù)，2013，53(1):110－116.YOU Hai－feng，LIU Yu.Application Analysis of and Development Suggestion for IMA System on Large Civil Aircrafts[J].Telecommunication Engineering，2013，53(1):110－116.(in Chinese)

[6]鄭朝輝，陳新中，張曉先.綜合模塊化航空電子系統(tǒng)的可靠性設(shè)計(jì)[J].計(jì)算機(jī)工程，2009，35(23):272－273.ZHENG Chao－h(huán)ui，CHEN Xin－zhong，ZHANG Xiao－xian.Reliability Design of Integrated Modular Avionics System[J].Computer Engineering，2009，35(23):272－273.(in Chinese)

[7]ZHOU Tian－ran，XIONG Hua－gang.Design of Energyefficient Hierarchical Scheduling for Integrated Modular Avionics Systems[J].Chinese Journal of Aeronautics，2012，25(1):109－114.

[8]鐘杰，何民，王懷勝，等.AFDX構(gòu)架及協(xié)議分析[J].電訊技術(shù)，2010，50(1):65－71.ZHONG Jie，HE Min，WANG Huai－sheng，et al.Avionics Full Duplex Switched Ethernet(AFDX)Frame and Specification Analysis[J].Telecommunication Engineering，2010，50(1):65－71.(in Chinese)

[9]林志博，王德功，常碩.失效分析在航空電子裝備保障中的應(yīng)用[J].裝備制造技術(shù)，2010(5):187－188.LIN Zhi－bo，WANG De－gong，CHANG Shuo.Failure Analysis in the Application of Aviation Electronic Equipment[J].Equipment Manufacturing Technology，2010(5):187－188.(in Chinese)

[10]Ding C，Xu J，Xu L.ISHM－based intelligent fusion prognostics for space avionics[J].Aerospace Science and Technology，2013，29(1):12－15.

[11]Bartley G，Lingberg B.Certification Concerns of Integrated Modular Avionics(IMA)Systems[C]//Proceedings of 2008 IEEE/AIAA 27th Digital Avionics Systems Conference.St.Paul，MN:IEEE，2008:1－10.

[12]CAI Yong，WANG Ze－xin，OU Xu－po，et al.Approach civil Integrated Modular Avionics Airworthiness Certification by Iterative Incremental Certification Process[C]//Proceedings of 20102nd International Conference on Information Science and Engineering.Hangzhou:IEEE，2010:148－151.

[13]褚文奎，張鳳鳴，樊曉光.綜合模塊化航空電子系統(tǒng)軟件體系結(jié)構(gòu)綜述[J].航空學(xué)報(bào)，2009，30(10):1912－1917.CHU Wen－kui，ZHANG Feng－ming，F(xiàn)AN Xiao－guang.Overview on Software Architecture of Integrated Modular Avionic Systems[J].Acta Aeronautica et Astronautica Sinica，2009，30(10):1912－1917.(in Chinese)

[14]ARINC 651，Design Guidancefor Integrated Modular A-vionics[S].

[15]ARINC 653，Avionics application Software Standard Interface[S].

[16]Watkins C B，Walter R.Transitioning from federated avionics architectures to Integrated Modular Avionics[C]//Proceedings of 2007 IEEE/AIAA 26th Digital Avionics Systems Conference.Dallas，TX:IEEE，2007:1－15.