基于准则和层次化分析的失效风险评估方法
谭正超1，李伟2
(1.中国工程物理研究院电子工程研究所，四川绵阳621999;
2.工业和信息化部电子第五研究所，广东
广州510610)摘要：考虑到装备事故的严重后果，引信安全系统一直是引信研究中的重点课题之一。在传统的系统安全 性评价中，主要通过故障底事件来计算安全系统中保险件的固有可靠性的安全失效概率，以此来评价引信能否满足安全失效指标。然而，由于引信安全系统中错综复杂的物理和电气连接，即使采用同样的保险件，当系统架构设计思想不同时，产生的失效风险也会有一定的差异。鉴于一般引信的安全性设计中，往往以设计准则的贯彻为主，首先，通过设计准则满足情况作为切入点，建立基于设计准则的安全性评估模型；然后，应用层次化分析方法进行优化分析。分析发现两种方法得到的分析结果相近，不过层次分析法的建模过程相对更客观一些。 关键词：引信安全系统；安全性评估；设计准则；层次分析法中图分类号:TB 114.33
文献标志码:A
文章编号:1672-5468(2021)01-0063-06
doi:10.3969/j.issn.1672-5468.2021.01.013Failure Risk Assessment Method Based on Criteria and
Analytic Hierarchy Process
TAN Zhengchao 1,LI Wei 2
(1.Institute of Electronic Engineering ,China Academy of Engineering Physics ,Mianyang 621999,China ;
2.CEPREI ,Guangzhou 510610,China )
Abstract :In view of the serious consequences of equipment accidents ,fuze safety and arming
system has always been one of the focuses in fuze research.In traditional system safety evaluation ,the safety failure probability of the inherent reliability of the safety parts in the safety system is calculated through the fault bottom event to evaluate whether the fuze can meet the safety failure index.However ,because of the complicated physical and electrical connections in the fuze safety system ,even if the same safety parts are used ,the failure risk will be different when the design idea of the system architecture is different.In view of the fact that in the general fuze safety design
2010年广东高考数学
the implementation of design criteria is often the main focus ,firstly ,by taking the satisfaction of design criteria as an entry point ,the safety evaluation model based on design criteria is
established.Then ,the optimization analysis is carried out by applying hierarchical analysis method .It is found that the results of the two methods are similar ,but the modeling process of
analytic hierarchy process is relatively objective.Keywords :fuze safety and arming system ;safety assessment ;design principle ;analytic
hierarchy process
收稿日期:2020-03-01修回日期:2020-03-06
作者简介：谭正超(1986-)，男，湖北荆州人，中国工程物理研究院电子工程研究所高级工程师，硕士研究生，主要从事
电子产品可靠性与安全性分析评估工作。
电子产品可靠性与环境试验
ELECTRONIC PRODUCT RE L IABIL I TY AND ENVI R ONMENTAL TESTING
网络安全与系统可靠性6apa
电子产品可靠性与环境试验2021年
0引言
引信安全系统(SAS:Safety and Arming System)的设计经过半个多世纪的发展，无论是炮弹还是战略导弹，都基本上形成了一套相对合理的理论分析与设计方法。由于SAS担任的任务就是区分正常、异常的工作环境，因此，该系统需要从理论上做到安全性的完备分析与设计、从工程上做到安全性功能的准确实现。在弹道环境安全性的设计方面，不同的武器系统形成了具有各自特点的影响安全系统架构，而不同的安全性设计往往无法通过精确的量化计算对其优劣进行评价。
1引信安全系统评估现状
针对SAS的安全性评估，是评价其设计优劣的最直接的手段，现阶段，一般通过描述SAS的安全失效率来对其安全性能进行量化。在美国军标MIL-STD-1316[1]、国军标GJB373A-1997[2]中，均提出“在预定的解除保险程序开始前，防止引信解除保险或不论是否解除保险而作用的失效率为10E-6”。然而，这种方法落后，已经对我国引信安全技术发展产生了一定的不利影响，相关学者针对我国引信安全性技术和管理方面存在的问题，分析了我国与美国的差距。结果表明，技术基础薄弱、引信核心元器件水平低、缺乏有效的安全评估和审查是产生差距的主要原因[3]。
在正常的使用环境下，引信的输入输出相对比较容易量化，目前针对SAS的安全性评估均以通过对安全子系统的工程设计进行FTA，结合硬件失效概率，最终获得安全子系统失效率的思路进行评价。在此整体评估思路的基础上，针对评估工作的科学合理性，相关学者也开展了进一步的研究。
1.1考虑安全系统固有可靠性的安全性评估Alanna Sharp等学者近期针对集束引信的安全性开展了研究[4]，利用包括概率设计法、故障物理分析方法探索如何确保技术的安全性指标“未爆弹概率”低于0.01。完整的分析表明，对于满足可靠性目标0.9975而言，必须选择成熟的技术并增加驱逐传感器和安全臂装置组件的冗余度。
基于信息论的SAS分析理论为引信安全性设计提供了一定的理论基础[5-8]，相关学者建立了系统状态转移的马尔科夫模型，通过构建5种不同的保险控制逻辑，对给定正常环境激励出现概率下的系统安全失效率进行了评估与比较，但该方法并未考虑系统硬件失效率。上述文献利用马尔科夫理论并未对SAS的作用可靠性进行验证。在前文的基础上，针对SAS的解保功能进行“作用可靠失效率”的分析[9]，并与“安全性失效率”进行了对比。
1.2考虑外部环境作用可靠性的安全性评估
上节安全性评估方法的研究，都是基于具体的设计情况下，从系统的工作可靠性出发，对系统的安全失效率进行的估计，其是否科学值得商榷。由于引信在全寿命周期可能面临的环境包括正常使用环境
和异常使用环境，据此，安全性评估的工作一般应针对正常环境安全性和典型异常环境安全性分别进行评估。然而，对于异常环境的界定，相关标准并未给出定性或定量的描述，因此，针对异常环境的安全性评估在业内属于难题，其主要的难点在于如何界定异常环境，如何量化异常环境所产生的激励，如何量化异常环境出现的概率等等。
针对安全性评估指标层次多，难以量化等问题，相关研究提出了层次分析法，并综合模糊综合评估法的安全性评估方法[10]，以舰载反武器为对象，采用层次分析法来确定各层评估指标的权重，进一步地采用模糊综合评估法来计算指标体系，以获得最底层评估结果，有效地考虑了安全系统架构设计对安全性的影响。
弹药中的安全性主要以准则判断为主，其中安全性设计标准提供了很好的参考，相关文献从美军标出发进行分析，认为嵌套保险不能独立作为冗余保险中的一道保险，但可以作为子引信用于启动一道保险的解除保险程序；引信的自毁装置启动时机与引信是否解除隔离无关[11]。
从信息论的角度出发，有学者认为安全系统环境识别装置的可靠性包括两项内容:1)环境识别方法(对环境辨识算法)的可靠性;2)硬件的可靠性，只有在两种可靠度同时满足要求时，才能满足SAS设计的可靠性要求[12]。
可见，要科学合理地对SAS的安全性进行评价，仅考虑设计中存在的安全失效率是不够的,
第1期
如何将除SAS自身可靠性因素之外的环节(有效环境信息出现的概率、环境辨识的方法等)进行量化，是完善安全性评估方法值得研究的方向。
目前主要的安全性量化分析方法优劣比较如表1所示。然而，在实际的工程设计中，面对复杂系统，按表1中的方法来开展相关安全性分析，往往需要大量的底事件、复杂的模型和一些潜在的独立性假设，面对设计简单、可操作、不追求绝对量化分析的安全性评价需求时，相关方法显得效费比较差。
2基于层次分析法的安全性评估
在SAS中，在架构层面的安全性设计的考虑一般都是依赖于原则或设计准则进行，没有进行量化分析比较的通用方法，在实际的设计过程中，很难评价系统架构方案的优劣。据此拟通过对设计准则的满足情况，进行数学建模，实现不同安全系统架构设计的比较分析。
2.1SAS安全性设计准则
通过对常见引信设计的研究，结合相关军用标准的要求,SAS的核心设计原则包括冗余、独立、保险件物理设计和安全系统设计，具体情况如表2所示。
基于对一般SAS的设计理解，建立针对安全系统架构的相对评价模型如下:
星辉车模S=-lg(P s(N n-(3N x+N y+N z)/5-N c·S c))
3+N d·S d+N s·S s+N e·S e(1)式(1)中:P——
—概率;
S——
—安全指数;
N——
—数量。
2.1.1冗余原则
保险级数为N n，假定各种保险类型的安全失效率为P s=10-3。
2.1.2独立原则
a)传感器信号独立性：完全独立N x=0，存在两两相关N x=1；当保险级数N n=3时，完全不独立N x=2。
b)控制器原理独立性：完全不同N y=0，存在两个相同N y=1；当保险级数时N n=3，完全相同N y=2。
c)执行器类型独立性：完全不同N z=0，存在两个相同N y=2；当保险级数时N n=3，完全相同N z
表2SAS安全性设计准则
类型内容
冗余设
计原则
SAS至少包括3级独立的保险，且任何一级均
能阻断起爆;
供能端应包含至少两级保险
独立设
计原则
每级保险件的环境激励需来自不同的环境;
每级保险件应物理上隔离，以防止共因失效;
每级保险件应采用不同的物理实现方法，以防
止共因失效;
每级保险件应采用不同的解保能量，以防止共
因失效
保险件
物理设
计原则
环境激励与保险件之间应直接耦合;
保险件功能应最小化;
感知解保激励的传感器应该放置在保险件内部;
保险件的解保能量应最大化
安全系
统设计
原则
各级保险件解保应按照预定的时间序列或逻辑
执行;
SAS具备对保险件状态监测的能力，且工作能
源与保险件解保能源不兼容;
SAS设计应防止在装配、维护和测试过程中,
以及损坏情况下保险被跨越或误解保
表1常用安全风险分析方法的优缺点比较方法优点缺点
FTA因果关系清晰;
可定性和定量
分析复杂系统难以构造完备的故障树;
潜在假设部件与部件独立
FMEA综合归纳分析;
设计阶段开始
考虑难以定量分析;
通常考虑单因素失效；假设故障间独立
DET/ETA事故发生和发
展过程清晰
潜在假设事件与事件独立
Petri网图形化强;
灵活性高以故障树为基础;
潜在假设部件与部件独立
Markov法分析系统状态
变化;
不需了解系统
内部构造
假设系统各状态相互独
立;
忽略系统内部关系
BN较好处理不确
定信息;
网络直观形象存在两个条件独立假设
独
立
性
假
设
谭正超等院基于准则和层次化分析的失效风险评估方法妇科新药
电子产品可靠性与环境试验2021年
2.1.3保险设计原则
a)使能信号是否自主感知：若非自主感知, S e=-0.1,N e表示非自主感知的保险数量。
b)是否具备电子解码类复杂保险件。若是, S d=-0.1,N d表示保险件数量。
c)是否具备机械解码类复杂保险件。若具备, S s=0.5,N s表示保险件数量。
2.1.4能源激活控制设计原则
控能源激活的保险:N c为仅控制能源激活的保险数量，若能源已激活，则N c=1；否则N c=0。
2.2SAS安全性评价模型
针对基于设计准则的评价模型，其缺点在于根据主观经验判断的成分偏多。为了提升其客观性，尽可能地反映系统真实设计情况，可以采取层次分析方法(AHP:Analytic Hierarchy Process)进行进一步优化。AHP是对一些较为复杂、较为模糊的问题作出决策的简易方法，它特别适用于那些难以完全定量分析的问题。它是美国运筹学家Saaty T L教授于20世纪70年代初期提出的一种简便、灵活而又实用的多准则决策方法[13]，该方法适用于安全性这种需要根据设计经验进行模糊判断的场景。运用AHP建模，大体上可按下面3个步骤进行。
2.2.1建立递阶层次结构模型
根据评价对象的情况，确定评价指标，由于评价因素有很多，可将各个评价因素分类组合，形成一种层次结构，一般层次模型分3层，如图1所示。
2.2.2构造出各个层次中的所有判断矩阵
根据聚类因子指标体系图，将同一层中各个因素相对于上一层而言两两进行比较，对每一层中各个因素的相对重要性给出一定的判断，采用2.2.3一致性检验
应用AHP保持判断思维的一致性非常重要。因为同时比较的事物多于9个时，分析判断的结果就会出现较大的思维一致性偏差。分别针对不同层次开展单排序及一致性检验、层次总排序及一致性检验。
对拥有n个元素的集合，直接通过n-1比较进行排序，通常是很困难的，且容易出错，但是进行n(n-1)/2次两两判断却相对容易和准确。3安全性评估计算比较
3.1按照设计原则的安全性量化评估
假定3类SAS按照如下设计原则进行设计。a)A设计：采取2级冗余保险，且保险控制器、执行器原理相同，此外还有1级保险使能信号为非自主感知。
b)B设计：采取2级冗余保险，此外还有1级用于控制能源激活通路和1级电子解码类保险。
c)C设计：采取3级冗余保险，此外还有1级用于控制能源激活通路、1级电子解码类保险和1级机械解码类保险。
各种设计对准则的满足情况如表3所示。
按照前一章的所述模型，评估3类设计方案的安全性量化相对结果如图2
所示。
表3各种设计对准则的满足情况
图1递阶层次结构模型设计方案N n N x N y N z N c N d N s N e A方案20110001 B方案20001100 C方案
30001110
图2按照设计原则的安全性量化评估结果
第1期3.2层次分析法的安全性量化评估优化
在基于原则评估的基础上对评估对象进行层次化分析，其中假设第2章中提出的设计原则为
“冗余原则=独立原则>安全系统设计原则>保险设计原则”。
3.2.1准则层判断矩阵
准则层次判断矩阵如表4所示。
3.2.2方案层判断矩阵
根据3.1节所定的方案，获得方案层信息特
征，如表4所示。据此，根据准则判断，可获得每种准则下不同方案的判断矩阵，如表5-8所示。
3.2.3层次总排序
层次单排序和总排序如表9所示，并且均通
过一致性检验。
3.2.4安全性量化评价后果
基于层次分析的各种方案安全性量化评价结
果如图3所示。从图3中可以看出，通过相对客观的层次分析并进行进一步的优化后，安全性量化评价结果与按照准则开展的评价结果基本一致。
4结束语
hgtSAS 量化分析是甄别系统设计优劣的有效手段
之一，而SAS 的安全性设计往往依赖于设计准则实现。本文尝试通过从设计准则的满足情况入手，根据设计经验设置不同的权重，建立量化评估模型，能够对采用不同设计思想的方案进行量化比较分析，并且分析结果与对安全系统设计优劣的
表5冗余原则判断矩阵
表4准则层判断矩阵
准则层冗余原则
独立原则
安全系统设计原则
保险设计原则
冗余原则1123独立原则1123安全系统设计原则1/21/212保险设计原则
1/3
1/3
1/2
1
方案A B C A 11/51/5B 511C
5
野麻草1
1
表6独立原则判断矩阵
方案A B C A 11/31/3B 311C
3
1
1
表7安全系统设计原则判断矩阵
方案A B C A 1
31
B 1/311/3C
13
1表8保险设计原则判断矩阵
方案A B C A 111/3B 111/3C
3
3
1
表9层次总
排序图3基于层次分析法的归一化相对评分
准则准则层权值方案层单排序权值A B C 冗余原则0.35090.06250.06250.1875独立原则0.35090.04390.12270.1286安全系统设计原则0.18910.15580.05390.1558保险设计原则总排序权值
0.1091
0.02960.0700
0.15580.0922
0.15580.1574
谭正超等院基于准则和层次化分析的失效风险评估方法
豫公网安备41160202000603
站长QQ:729038198
关于我们
投诉建议