具有重叠救援程序和共用救援资源的冗余系统中任务失败风险与系统损失风险的权衡

《RELIABILITY ENGINEERING & SYSTEM SAFETY》：Balancing Risks of Mission Failure and System Loss in Redundant System with Overlapping Rescue Procedures and Common Rescue Resource

　　

• •
  考虑具有重叠救援程序的双组件系统。
• •
  在联合救援过程中，组件会受到共同冲击的影响。
• •
  当两个组件同时被救援时，救援过程会减慢。
• •
  开发了概率框架以推导归一化预期损失。
• •
  提出了最小化预期损失的任务中止策略。

引言

关键任务系统通常在不可预测的环境中运行，其中极端天气事件、干扰攻击或电磁干扰等随机冲击可能逐步劣化系统组件[1]。如果这些退化不及时通过维护或恢复措施加以缓解，它们可能升级为组件故障/损失，最终导致任务失败。一种被广泛采用的保存资产并减少潜在损失的战略是，根据系统健康指标（如累计经历的冲击数量或组件退化的其他度量）有意暂停任务执行并启动救援程序（RP）[2,3]。这种基于退化状态的任务中止方法已应用于众多领域，包括化工过程[4,5]、军事[6]、太空任务[7]、云系统[8]、医疗系统[9]和无人机（UAV）[10,11]。

一项前沿综述[12]表明，任务中止策略（MAPs）已使用十四种健康指标进行开发，包括例如：

• •
  累计冲击事件数量[8,13]，
• •
  通过已完成工作量[14,15]或已执行时间[16,17,18]衡量的任务进度，
• •
  故障或强制下线的组件数量[16,19]，
• •
  系统退化等级/状态[20,21]，
• •
  剩余使用寿命估计值[22]，
• •
  预测的系统可靠性值[23]，
• •
  连续冲击事件之间的时间间隔[24]，
• •
  平衡度[25]，
• •
  不健康系统状态的后验概率[26]，以及
• •
  性能低于预定阈值的多状态组件数量[27]。

此外，Finkelstein和Cha[4]提出了一种基于利润的新决策参数，并为受预测性维护[28]或任务期间单次检查[29]影响的系统设计了基于预期利润的MAPs。这些决策参数单独或组合应用，导致形成了多样化的MAPs。为冲击环境中运行的系统开发的MAPs的显著示例包括将冲击计数与另一参数（如已完成工作量[30]或任务执行时间[31,32]）相结合。

本文对由冲击计数和已执行任务时间定义的MAPs进行建模，针对的是在硬截止时间前异步执行任务的两个组件冗余系统。系统组件不仅在运行期间受到独立冲击的影响，而且在RP期间还可能受到可同时劣化两个组件的共同冲击的影响[33,34]。

现有冗余系统的MAP模型通常假设任务中止后每个组件的恢复行动是独立的，且具有专用的救援资源。近期研究[35]通过为两个组件同时救援被禁止的双组件系统设计MAP扩展了现有技术。本文提出的模型放宽了这些限制，针对了一个更现实的情况，即两个组件的RP执行可能重叠并竞争共享救援资源，导致任务继续与组件存活之间存在新的依赖性。这种资源依赖在现实世界的关键任务系统中很常见，可靠性研究领域已对此进行了研究。例如，在[36]中，备用系统的可靠性模型考虑了受限资源和资源共享，其中多个组件共享有限的备用单元。在[37]中，资源限制被纳入关键任务系统的可靠性模型，其中有限的电池电量或燃料限制了任务运行时间和维护决策。在[38]中，为最大化异构备用系统的任务可靠性，研究了资源受限组件的启动序列。然而，据我们所知，现有的MAPs尚未被设计用于显式地考虑系统组件之间的资源依赖。本文提出的工作通过为资源依赖系统开发特定的MAP填补了这一空白，将现有MAP模型扩展到先前未被处理的系统设置。具体而言，本文的贡献如下：

• •
  开发概率建模框架，以推导任务成功概率（MSP）、组件损失预期成本和归一化预期损伤等任务性能指标，同时捕获任务继续、通过RP执行实现的组件存活以及资源竞争之间的相互作用。
• •
  建立MAP优化问题以最小化归一化预期损伤。
• •
  以两版本编程基础设施控制系统为例说明MAP建模和优化过程，并对关键模型参数进行敏感性分析，包括任务开始时间（或组件激活时间）、组件损失成本、因共享资源竞争导致的RP减慢因子和冲击速率，为平衡任务失败和系统损失风险提供若干管理建议。

本文其余部分安排如下：第2节介绍冗余系统模型、任务中止模型，建立NED优化问题并给出动机示例。第3节介绍概率框架以推导MSP、ECCL和NED等任务指标。第4节进行案例研究和敏感性分析。第5节总结工作和发现，并指出未来研究方向。

各章节摘要

系统模型与问题建模

一个系统由两个功能相同的组件执行任务，且必须在硬截止时间T前完成。组件的索引为1和2，若考虑索引为j∈{1,2}的组件，则另一组件的索引为3-j。两个组件在成本和任务执行时间上存在差异。具体而言，组件j的损失将产生成本C_j，且完成任务执行需要时间${\tau }_j$$.$任务执行是异步的，一个组件先启动

组件存活概率与冲击发生概率

组件在遭受冲击事件时的损失概率通常随着组件经历并幸存的冲击次数增加而增大。为对此行为进行建模，给定组件j在第一冲击下存活的概率${\Omega }_j$，我们计算组件j在所有先前冲击中均幸存的条件下在第i次冲击中幸存的条件概率为q_j(i)=${\Omega }_j{{\omega }_j}^{i?1}$（i>0），以及q_j(0)1[39]，其中${\Omega }_j$是组件在第一冲击下的存活概率，$0<{\omega }_j<1$是组件的抗冲击能力

示例说明

考虑一个用于自主基础设施控制的关键软件系统。为提高对软件设计故障的韧性，该系统采用两版本编程，其中两台虚拟机（VM）独立执行同一控制应用的不同实现。两台VM处理不同的数据集并运行在独立的处理器核心上。两台VM均需在任务周期（虚拟机迁移与任务更新之间的时间）$T=100$小时内完成其分配的任务。VM$j$需要${\tau }_j$

结论与未来研究

现有MAP模型在独立RP和每个系统组件具有专用恢复资源的简化假设下平衡任务失败和系统损失风险。本文通过显式建模两个组件的RP可能重叠并竞争共同救援资源的双组件冗余系统推进了相关研究。此外，该模型同时考虑了组件运行期间的独立冲击和重叠RP期间的共同冲击。

CRediT作者贡献声明

Gregory Levitin：撰写——初稿，软件，方法论。Liudong Xing：撰写——初稿，形式化分析。

Gregory Levitin|Liudong Xing