阀口独立控制系统及其安全性能评估方法、装置

摘要

本发明提供一种阀口独立控制系统及其安全性能评估方法、装置，所述方法包括：基于阀口独立控制系统的结构和四象限负载工况下不同工作模式，建立多个独立的故障树模型；考虑多模式特点，基于布尔代数运算将多个故障树模型合并简化；考虑常规控制并增加故障诊断和主动容错控制，将简化后的故障树模型关联至ISO 13849标准预定义的功能安全结构框图；基于功能安全结构框图计算每个通道平均危险故障时间MTTFd，确定安全结构类别，并基于实际的安全评估参数评估阀口独立控制系统安全性能等级PL。本发明以ISO 13849标准为基础，可以准确评估阀口独立控制系统的安全等级，且流程简单，评估快速、准确。

权利要求

1.一种阀口独立控制系统的安全性能评估方法，其特征在于，包括以下步骤：

基于阀口独立控制系统的结构和四象限负载工况下不同工作模式，建立阀口独立控制系统的多个独立的故障树模型；

考虑阀口独立控制系统多模式特点，基于布尔代数运算将多个故障树模型合并简化；

考虑常规控制并增加故障诊断和主动容错控制，将简化后的故障树模型关联至 ISO 

13849 标准预定义的功能安全结构框图；

基于所述功能安全结构框图计算每个通道平均危险故障时间MTTFd，确定安全结构类别，并基于阀口独立控制系统实际的安全评估参数评估阀口独立控制系统安全性能等级PL ，其中，所述安全评估参数包括：诊断覆盖率DC、类别Cat.、每个通道平均危险故障时间MTTFd，其中，所述通道包括：常规控制通道和容错控制通道。

2.根据权利要求1所述的阀口独立控制系统的安全性能评估方法，其特征在于，所述阀口独立控制系统包括：双三位三通比例方向阀构型和4个二位二通比例阀构型的多种回路构型，其中，建立阀口独立控制系统的多个独立的故障树模型，具体包括：将所述阀口独立控制系统的安全功能所涉及的元件作为基础事件，并运用故障树分析法对系统不同工况下的安全性进行建模。

3.根据权利要求1所述的阀口独立控制系统的安全性能评估方法，其特征在于，基于布尔代数运算将多个故障树模型合并简化，具体包括：基于故障树模型的最小割集，将故障树转化为等效的布尔方程，并通过布尔代数的规则得到简化后的故障树。

4.根据权利要求1所述的阀口独立控制系统的安全性能评估方法，其特征在于，考虑常规控制并增加故障诊断和主动容错控制，将简化后的故障树模型关联至 ISO 13849 标准预定义的功能安全结构框图，具体包括：将所述故障树模型中与门等价于安全结构框图中并行排列；将所述故障树模型中或门等价于安全结构框图中串行排列；

将所述常规控制的阀口独立控制系统安全结构框图建立为单通道结构；

将增加所述故障诊断的阀口独立控制系统安全结构框图建立为单通道，且并联一个检测通道，所述检测通道不涉及元件；

将增加所述主动容错控制的阀口独立控制系统的主动容错控制与常规控制的通道并联，分析不同故障下阀口独立控制系统主动容错控制所涉及复用的非故障元件，将其作为并联容错控制通道包含的元件。

5.根据权利要求1所述的阀口独立控制系统的安全性能评估方法，其特征在于，所述安全结构框图中阀的平均危险故障时间MTTFd取值参考ISO 13849‑1附录C给出的液压元件给定值，或者依据元件制造商给出的平均危险故障时间MTTFd，传感器元件的平均危险故障时间取值参考传感器制造商给出的平均危险故障时间MTTFd。

6.根据权利要求5所述的阀口独立控制系统的安全性能评估方法，其特征在于，基于所述功能安全结构框图计算每个通道平均危险故障时间MTTFd，确定安全结构类别，具体包括：如果常规控制的阀口独立控制系统的功能安全结构框图为单通道，且类别为Cat.1，通过以下公式（1）确定通道平均危险故障时间MTTFd：（1）

其中，MTTFd为通道平均危险故障时间，MTTFd,V1R、 MTTFd,V2R、 MTTFd,V1L、 MTTFd,V2L、 MTTFd, Pa 、 MTTFd,Pb、 MTTFd,Ps、 MTTFd,x1 和MTTFd,x2分别是阀口独立控制系统中对安全功能有作用的元件阀1右位V1R、阀2右位V2R、阀1左位 V1L、阀2右位V2L、执行器进口压力传感器 pa、执行器出口压力传感器pb、泵出口压力传感器ps、阀1阀芯位移传感器x1和阀2阀芯位移传感器x2的MTTFd值；

如果增加故障诊断的阀口独立控制系统的功能安全结构框图为单通道，且类别为Cat.2，则采用公式（1）计算通道平均危险故障时间MTTFd；

如果增加故障诊断的阀口独立控制系统的功能安全结构框图在单通道基础上并联了容错控制通道，且类别变为Cat.3或Cat.4，则通过以下公式（2）计算通道平均危险故障时间MTTFd：  （2）；

MTTFdC1是常规控制通道的平均危险故障时间MTTFd值，MTTFdC2是容错控制通道的平均危险故障时间MTTFd值。

7.根据权利要求5所述的阀口独立控制系统的安全性能评估方法，其特征在于，基于阀口独立控制系统实际的安全评估参数评估阀口独立控制系统安全性能等级PL，具体包括：根据ISO 13849‑1附录K中表K.1，绘制不同诊断覆盖率DC值和类别Cat.情况下，阀口独立控制系统安全性能等级PL值关于通道平均危险故障时间MTTFd值的变化图，并基于阀口独立控制系统实际的安全评估参数分别确定出常规控制、增加故障诊断和增加主动容错控制方法的阀口独立控制系统安全性能等级 PL 值。

8.一种阀口独立控制系统的安全性能评估装置，其特征在于，包括：

建立模块，所述建立模块用于基于阀口独立控制系统的结构和四象限负载工况下不同工作模式，建立阀口独立控制系统的多个独立的故障树模型；

简化模块，所述简化模块用于考虑阀口独立控制系统多模式特点，基于布尔代数运算将多个故障树模型合并简化；

关联模块，所述关联模块用于考虑常规控制并增加故障诊断和主动容错控制，将简化后的故障树模型关联至 ISO 13849 标准预定义的功能安全结构框图；

评估模块，所述评估模块用于基于所述安全结构框图计算每个通道平均危险故障时间MTTFd，确定安全结构类别，并基于阀口独立控制系统实际的安全评估参数评估阀口独立控制系统安全性能等级PL ，其中，所述安全评估参数包括：诊断覆盖率DC、类别Cat.、每个通道平均危险故障时间MTTFd，其中，所述通道包括：常规控制通道和容错控制通道。

9.根据权利要求8所述的阀口独立控制系统的安全性能评估装置，其特征在于，所述阀口独立控制系统包括：双三位三通比例方向阀构型和4个二位二通比例阀构型的多种回路构型，所述建立模块具体用于：将所述阀口独立控制系统的安全功能所涉及的元件作为基础事件，并运用故障树分析法对系统不同工况下的安全性进行建模。

10.一种阀口独立控制系统，其特征在于，包括根据权利要求8或9所述的阀口独立控制系统的安全性能评估装置。

说明书

阀口独立控制系统及其安全性能评估方法、装置

技术领域

[0001] 本发明涉及电液控制系统技术领域，具体涉及一种阀口独立控制系统的安全性能评估方法、一种阀口独立控制系统的安全性能评估装置和一种阀口独立控制系统。

背景技术

[0002] 电液控制系统是工程机械、液压机器人等重载移动装备的核心驱动与控制装置，其智能化势在必行。传统液压系统依赖大量的机液反馈与控制回路，智能化程度低。阀口独立控制系统不仅打破传统液压系统控制阀存在的进出节流口结构耦合，还引入电子反馈与驱动，具备多自由度控制、多变量反馈、多模式切换等功能，可实现“硬件决定功能”到“软件决定功能”的革命性转变。

[0003] 尽管如此，该系统在国内外仍仅限小批量示范应用，还未大规模市场化推广，究其原因，电子化反馈与控制，以及复杂的控制策略等导致的安全性问题，是制约其大规模市场化应用的瓶颈之一。因此建立一种阀口独立电液控制系统安全性能评估方法是有重大意义且必要的。

发明内容

[0004] 本发明为解决上述技术问题，提供了一种阀口独立控制系统的安全性能评估方法。

[0005] 本发明还提供了一种阀口独立控制系统的安全性能评估装置。

[0006] 本发明采用的技术方案如下：

[0007] 本发明第一方面实施例提出了一种阀口独立控制系统的安全性能评估方法，包括以下步骤：基于阀口独立控制系统的结构和四象限负载工况下不同工作模式，建立阀口独立控制系统的多个独立的故障树模型；考虑阀口独立控制系统多模式特点，基于布尔代数运算将多个故障树模型合并简化；考虑常规控制并增加故障诊断和主动容错控制，将简化后的故障树模型关联至 ISO 13849 标准预定义的功能安全结构框图；基于所述功能安全结构框图计算每个通道平均危险故障时间MTTFd，确定安全结构类别，并基于阀口独立控制系统实际的安全评估参数评估阀口独立控制系统安全性能等级PL，其中，所述安全评估参数包括：诊断覆盖率DC、类别Cat.、每个通道平均危险故障时间MTTFd。

[0008] 本发明上述提出的阀口独立控制系统的安全性能评估方法，还具有如下附加技术特征：

[0009] 根据本发明的一个实施例，所述阀口独立控制系统包括：双三位三通比例方向阀构型和4个二位二通比例阀构型的多种回路构型，其中，建立阀口独立控制系统的多个独立的故障树模型，具体包括：将所述阀口独立控制系统的安全功能所涉及的元件作为基础事件，并运用故障树分析法对系统不同工况下的安全性进行建模。

[0010] 根据本发明的一个实施例，基于布尔代数运算将多个故障树模型合并简化，具体包括：基于故障树模型的最小割集，将故障树转化为等效的布尔方程，并通过布尔代数的规则得到简化后的故障树。

[0011] 根据本发明的一个实施例，考虑常规控制并增加故障诊断和主动容错控制，将简化后的故障树模型关联至 ISO 13849 标准预定义的功能安全结构框图，具体包括：将所述故障树模型中与门等价于安全结构框图中并行排列；将所述故障树模型中或门等价于安全结构框图中串行排列；将所述常规控制的阀口独立控制系统安全结构框图建立为单通道结构；将增加所述故障诊断的阀口独立控制系统安全结构框图建立为单通道，且并联一个检测通道，所述检测通道不涉及元件；将增加所述主动容错控制的阀口独立控制系统的主动容错控制与常规控制的通道并联，分析不同故障下阀口独立控制系统主动容错控制所涉及复用的非故障元件，将其作为并联容错控制通道包含的元件。

[0012] 根据本发明的一个实施例，所述安全结构框图中阀的平均危险故障时间MTTFd取值参考ISO 13849‑1附录C给出的液压元件给定值，或者依据元件制造商给出的平均危险故障时间MTTFd，传感器元件的平均危险故障时间取值参考传感器制造商给出的平均危险故障时间MTTFd。

[0013] 根据本发明的一个实施例，基于所述功能安全结构框图计算每个通道平均危险故障时间MTTFd，确定安全结构类别，具体包括：如果常规控制的阀口独立控制系统的功能安全结构框图为单通道，且类别为Cat.1，通过以下公式（1）确定通道平均危险故障时间MTTFd： （1）；其中，MTTFd为通道平均危险故障时间，MTTFd,V1R 、 MTTFd,V2R 、 MTTFd,V1L 、 MTTFd,V2L 、 MTTFd , Pa 、 MTTFd,P b 、 MTTFd,Ps 、 MTTFd,x 1 和MTTFd,x2分别是阀口独立控制系统中对安全功能有作用的元件阀1右位V1R、阀2右位V2R、阀1左位V1L、阀2右位V2L、执行器进口压力传感器pa、执行器出口压力传感器pb、泵出口压力传感器ps、阀1阀芯位移传感器x1和阀2阀芯位移传感器x2的MTTFd值；如果增加故障诊断的阀口独立控制系统的功能安全结构框图为单通道，且类别为Cat.2，则采用公式（1）计算通道平均危险故障时间MTTFd；如果增加故障诊断的阀口独立控制系统的功能安全结构框图在单通道基础上并联了容错控制通道，且类别变为Cat.3或Cat.4，则通过以下公式（2）计算通道平均危险故障时间MTTFd：
（2）；MTTFdC1是常规控制通
道的平均危险故障时间MTTFd值，MTTFdC2是容错控制通道的平均危险故障时间MTTFd值。

[0014] 根据本发明一个实施例，基于阀口独立控制系统实际的安全评估参数评估阀口独立控制系统安全性能等级PL，具体包括：根据ISO 13849‑1附录K中表K.1，绘制不同诊断覆盖率DC值和类别Cat.情况下，阀口独立控制系统安全性能等级PL值关于通道平均危险故障时间MTTFd值的变化图，并基于阀口独立控制系统实际的安全评估参数分别确定出常规控制、增加故障诊断和增加主动容错控制方法的阀口独立控制系统安全性能等级PL值。

[0015] 本发明的第二方面实施例提出了一种阀口独立控制系统的安全性能评估装置，包括：建立模块，所述建立模块用于基于阀口独立控制系统的结构和四象限负载工况下不同工作模式，建立阀口独立控制系统的多个独立的故障树模型；简化模块，所述简化模块用于考虑阀口独立控制系统多模式特点，基于布尔代数运算将多个故障树模型合并简化；关联模块，所述关联模块用于考虑常规控制并增加故障诊断和主动容错控制，将简化后的故障树模型关联至 ISO 13849 标准预定义的功能安全结构框图；评估模块，所述评估模块用于基于所述安全结构框图计算每个通道平均危险故障时间MTTFd，确定安全结构类别，并基于阀口独立控制系统实际的安全评估参数评估阀口独立控制系统安全性能等级PL，其中，所述安全评估参数包括：诊断覆盖率DC、类别Cat.、每个通道平均危险故障时间MTTFd。

[0016] 本发明上述的阀口独立控制系统的安全性能评估装置还具有如下附加技术特征：

[0017] 根据本发明的一个实施例，所述阀口独立控制系统包括：双三位三通比例方向阀构型和4个二位二通比例阀构型的多种回路构型，所述建立模块具体用于：将所述阀口独立控制系统的安全功能所涉及的元件作为基础事件，并运用故障树分析法对系统不同工况下的安全性进行建模。

[0018] 本发明第三方面实施例还提出一种阀口独立控制系统，包括本发明第二方面实施例所述的阀口独立控制系统的安全性能评估装置。

[0019] 本发明具有如下有益效果：

[0020] 本发明以 ISO 13849 标准为基础，对阀口独立控制系统的安全性能进行了评估。考虑阀口独立控制系统多模式特点，建立不同工作模式下的多个故障树模型，并通过布尔代数运算合并简化成单个故障树模型，从而可以将复杂的阀口独立控制系统关联至ISO 
13849标准预定义的单通道安全结构框图，解决了不同工作模式下系统液压回路与控制系统结构差异导致的PL值无法评估的问题，且评估流程简单、快速。

[0021] 首次同时引入故障诊断与容错控制，将故障诊断或容错作为与常规控制器并联的检测或控制通道，建立了双通道安全结构框图，考虑容错控制复用的非故障元件计算双通道的MTTFd值，以取代单通道MTTFd值，实现了阀口独立控制系统安全性能更为准确的评估。

附图说明

[0022] 图1是根据本发明一个实施例的阀口独立控制系统安全性能评估方法流程图。

[0023] 图2是基于双三位三通比例方向阀构型的阀口独立控制系统图。

[0024] 图3是基于4个二位二通比例阀构型的阀口独立控制系统图。

[0025] 图4是阀口独立控制系统四象限工作模式图。

[0026] 图5是采用常规控制器的阀口独立控制系统安全性故障树模型图。

[0027] 图6是采用常规控制器的阀口独立控制系统安全性故障树简化图。

[0028] 图7是NO模式下的pa传感器故障主动容错控制原理框图。

[0029] 图8是包含pa传感器故障主动容错的详细完整控制方法图。

[0030] 图9是针对阻抗伸出模式下出口阀v2R小开口位置失效的主动容错控制原理框图。

[0031] 图10是针对阻抗伸出模式下出口阀v2R异常关闭故障的主动容错控制原理框图。

[0032] 图11是类别为B，DC为无，阀口独立控制系统安全性能等级PL值关于MTTFd值的变化图。

[0033] 图12是类别为1，DC为无，阀口独立控制系统安全性能等级PL值关于MTTFd值的变化图。

[0034] 图13是类别为2，DC为低，阀口独立控制系统安全性能等级PL值关于MTTFd值的变化图。

[0035] 图14是类别为2，DC为中，阀口独立控制系统安全性能等级PL值关于MTTFd值的变化图。

[0036] 图15是类别为3，DC为低，阀口独立控制系统安全性能等级PL值关于MTTFd值的变化图。

[0037] 图16是类别为3，DC为中，阀口独立控制系统安全性能等级PL值关于MTTFd值的变化图。

[0038] 图17是类别为3，DC为高，阀口独立控制系统安全性能等级PL值关于MTTFd值的变化图。

[0039] 图18是采用常规控制器的阀口独立控制系统安全性能评估图。

[0040] 图19是增加故障诊断的阀口独立控制系统安全性能评估图。

[0041] 图20是阻抗伸出模式，pa故障，增加主动容错安全性能评估图。

[0042] 图21是低压再生缩回模式，pa故障，增加主动容错安全性能评估图。

[0043] 图22是阻抗伸出模式，阀V2R小开口位置失效故障，增加主动容错安全性能评估图。

[0044] 图23是阻抗伸出模式，阀V2R异常关闭故障，增加主动容错安全性能评估图。

具体实施方式

[0045] 下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

[0046] 下面是结合附图来描述本发明实施例提出的阀口独立控制系统的安全性能评估方法、阀口独立控制系统的安全性能评估装置和一种阀口独立控制系统。

[0047] 图1是根据本发明一个实施例的阀口独立控制系统的安全性能评估方法的流程图，如图1所示，该方法包括以下步骤S1‑S4。

[0048] S1，基于阀口独立控制系统的结构和四象限负载工况下不同工作模式，建立阀口独立控制系统的多个独立的故障树模型。

[0049] 在本发明的一个实施例中，阀口独立控制系统包括：双三位三通比例方向阀构型和4个二位二通比例阀构型的多种回路构型，其中，建立阀口独立控制系统的多个独立的故障树模型，具体包括：将阀口独立控制系统的安全功能所涉及的元件作为基础事件，并运用故障树分析法对系统不同工况下的安全性进行建模。

[0050] 具体地，如图2所示，基于双三位三通比例方向阀构型的阀口独立控制系统包括以下子系统：输入单元（操纵手柄）、输出单元（阀1左位V1L、阀1右位V1R、阀2左位V2L、阀2右位V2R）、执行器进口压力传感器pa、执行器出口压力传感器pb、泵出口压力传感器ps、阀1阀芯位移传感器x1、阀2阀芯位移传感器x2、执行机构（液压缸）、供油单元（泵、油箱等）。

[0051] 如图3所示，基于4个二位二通比例阀构型的阀口独立控制系统包括以下子系统：输入单元（操纵手柄）、输出单元（阀V1L、阀V1R、阀V2L、阀V2R）、执行器进口压力传感器pa、执行器出口压力传感器pb、泵出口压力传感器ps、执行机构（液压缸）、供油单元（泵、油箱等）。

[0052] 如图4所示，两种构型的四象限工作模式是相同的，首先，阀口独立控制系统可以实现四种普通模式（NO），包括阻抗伸出模式、超越缩回模式、阻抗缩回模式、超越伸出模式。 除了上述四种普通模式外，阀口独立控制系统独特的结构还有三种更为节能的工作模式：1）低压再生伸出模式；2）低压再生缩回模式；3）高压再生伸出模式。本发明统一将两种低压再生模式定义为LPR，高压再生模式定义为HPR。

[0053] 考虑系统工作模式多样性，运用故障树分析法对系统不同工况下的安全性进行建模。故障树构建的前提是定义顶层事件，而顶层事件的定义则取决于系统的安全性要求。本发明的阀口独立控制系统应用于挖掘机、旋挖钻机等工程机械，考虑到工程机械施工环境周围人员的生命安全，本发明故障树顶层事件定义为：安全功能“安全停止”，即达到安全姿态下电液控制系统无能量流动。

[0054] 如图5所示，采用常规控制器的阀口独立控制系统安全性故障树模型。阀口独立控制系统在不同工作模式下，其参与控制的阀单元、传感器有所不同。考虑全部四个工作象限下能效最优的工作模式建立多个独立的故障树模型，以覆盖整个工作周期。将安全功能所涉及的相关阀、压力传感器和位移传感器等作为基础事件，并运用故障树分析法对系统不同工况下的安全性进行建模。QI象限安全功能涉及的阀、位移传感器、压力传感器包括pb、ps、x2、V2R、V2L；QII象限安全功能涉及的阀、位移传感器、压力传感器包括pa、x1、V1L、V1R；QIII象限安全功能涉及的阀、位移传感器、压力传感器包括pa、x1、V1R、V1L；QIV象限安全功能涉及的阀、位移传感器、压力传感器包括pb、x2、V2R、V2L。

[0055] 如 图 5 中 安 全 性 相 关 故 障 树 的 故 障 函 数F S 通 过 下 式 计 算 ：，

[0056] 其中， 代表V2R、pb、x2、V2L和ps的故障函数的和，代表V1R、pa、x1和V1L的故障函数的和， 代
表V1R、pa、x1和V1L的故障函数的和， 代表V2R、pb、x2和V2L的故障函
数的和。

[0057] S2，考虑阀口独立控制系统多模式特点，基于布尔代数运算将多个故障树模型合并简化。

[0058] 进一步地，根据本发明的一个实施例，基于布尔代数运算将多个故障树模型合并简化，具体包括：基于故障树模型的最小割集，将故障树转化为等效的布尔方程，并通过布尔代数的规则得到简化后的故障树。

[0059] 具体地，故障树模型在构建时包含来自同一类型的多个基本事件，这可能会导致系统连接描述不清楚，必须生成最小割集。最小割集是基本事件的组合，这些基本事件的同时发生确保了顶层事件的发生。基于最小割集将故障树模型转化为等效的布尔方程，即故障树模型的故障函数，并通过布尔代数的规则得到简化后的故障树模型。

[0060] 如图6所示，简化后的采用常规控制器的阀口独立控制系统安全性故障树模型，阀口独立控制系统四象限工作模式下安全功能涉及的阀元件包括V1L、V1R、V2L、V2R；位移传感器元件包括x1、x2；压力传感器元件包括pa、pb、ps。故障函数FS应用布尔代数规则可简化为：

[0061] ；

[0062] 其中， 代表V1R、V2R、pa、pb、ps、V2L、V1L、x1和x2的故障函数的和。

[0063] S3，考虑常规控制并增加故障诊断和主动容错控制，将简化后的故障树模型关联至 ISO 13849 标准预定义的功能安全结构框图。

[0064] 进一步地，根据本发明的一个实施例，考虑常规控制并增加故障诊断和主动容错控制，将简化后的故障树模型关联至 ISO 13849 标准预定义的功能安全结构框图，具体包括：将故障树模型中与门等价于安全结构框图中并行排列；将故障树模型中或门等价于安全结构框图中串行排列；将常规控制的阀口独立控制系统安全结构框图建立为单通道结构；将增加故障诊断的阀口独立控制系统的安全结构框图建立为单通道，且并联一个检测通道，检测通道不涉及元件；将增加主动容错控制的阀口独立控制系统的主动容错控制与常规控制的通道并联，分析不同故障下阀口独立控制系统主动容错控制所涉及复用的非故障元件，将其作为并联容错控制通道包含的元件。

[0065] 具体地，基于ISO 13849的阀口独立控制系统安全性能评估方法所需评估参数包括：1)安全性能所需性能等级PLr，“PLr是为了实现每个安全功能所需的风险降低而应用的PL”。本发明所研究的阀口独立控制系统的应用对象为工程机械，依据C类标准 ISO/TS 15998‑2，移动机械安全功能所需的性能级别为PLr≥d。2)诊断覆盖率DC，它是诊断有效性的度量，是可诊断的危险故障的故障率与所有的危险故障的故障率之间的比率，其中，DC<
60%，等级为无；60%≤DC<90%，等级为低；90%≤DC<99%，等级为中；99%≤DC，等级为高。3)类别Cat.，类别是控制系统的安全相关零部件在防止故障能力以及故障条件下后续行为方面的分类，反映到电液控制系统中可通过回路结构、元件布置、故障检测和（或）部件可靠性来达到，在 ISO 13849‑1中，包括五个预定义的类别，Cat.B、Cat.1、Cat.2、Cat.3和Cat.4。
Cat.B、Cat.1均为单通道结构，Cat.2也为单通道结构，但是带有安全检测通道，Cat.3和Cat.4为双通道结构。4)每个通道平均危险故障时间MTTFd。

[0066] 为了将阀口独立控制系统关联至ISO 13849的预定义类别中，将故障树模型转换为安全结构框图。故障树模型至安全结构框图的转换基本原则是故障树中与门等价于安全结构框图中并行排列；故障树中或门等价于安全结构框图中串行排列。常规控制方法的阀口独立控制系统安全结构框图为单通道，单通道涉及的阀元件包括V1R、V2R、V1L、V2L；位移传感器元件包括x1、x2；压力传感器元件包括pa、pb、ps。增加故障诊断方法的阀口独立控制系统安全结构框图也为单通道，但并联一个检测通道，检测通道不涉及元件。故通道涉及的阀、位移传感器、压力传感器元件与常规控制方法所涉及元件相同。增加主动容错控制方法在故障工况下将使用系统非故障元件，通过备用的容错控制方法替代原有常规控制方法，以保障系统的功能安全、减少性能衰退。因此，将主动容错控制方法作为与常规控制方法并联的通道，即阀口独立控制系统单通道安全结构框图由单通道变为双通道，分析不同故障下阀口独立控制系统主动容错控制方法所涉及复用的非故障元件，将其作为并联容错控制通道包含的元件。常规控制通道所涉及元件与常规控制方法单通道涉及元件相同。

[0067] 举例而言，考虑故障容错控制的阀口独立控制系统安全性能评估实施例：

[0068] 以pa传感器故障为例，如图7所示，NO模式下的pa传感器故障主动容错控制原理。多变量控制方式为进口阀uv1控制速度，出口阀uv2控制压力。故障发生后，进口阀pa反馈信号异常，无法执行正常控制。为此，故障容错控制该速度环和压力环交换。

[0069] 如图8所示，包含pa传感器故障主动容错的详细完整控制方法：基于无故障的压力信号pb反馈的闭环控制调节进口阀uv1控制背腔压力；出口阀uv2控制环在线计算跟踪目标背腔压力pref所需的进口压力 。并根据 和目标速度vref控制进口阀 。因此，故障信号pa的重建是通过进口阀uv1同时跟踪vref和pref实现的。并利用在线重建的 作为泵控制器的输入，进一步执行泵的控制。

[0070] 因此对于阻抗伸出模式，pa传感器未故障时，安全结构框图常规通道涉及的阀元件包括V2R、V1L，位移传感器元件包括x1、x2，压力传感器元件包括pa、pb、ps。pa传感器故障后，系统通过故障信号的在线重建实现阀口独立控制。安全结构框图容错通道涉及的阀元件包括V2R、V1L，位移传感器元件包括x1、x2，压力传感器元件包括pb、ps。

[0071] 对于低压再生缩回模式，pa传感器未故障时，安全结构框图常规控制通道涉及的阀元件包括V2R、V1R，位移传感器元件包括x1、x2，压力传感器元件包括pa、pb。pa传感器故障后，系统通过故障信号的在线重建实现阀口独立控制。故安全结构框图容错控制通道涉及的阀元件包括V2R、V1R，位移传感器元件包括x1、x2，压力传感器元件包括pb。

[0072] 以阀V2R故障为例，如图9所示，针对阻抗伸出模式下出口阀V2R小开口位置失效的主动容错控制原理。采用控制环重构，利用非故障阀的协调动作，恢复运动轨迹跟踪能力，即将V2R当作固定节流口，增大V1L阀口开度、增加系统流量以完全恢复运动控制性能。

[0073] 因此对于阻抗伸出模式，阀V2R未发生小开口位置失效故障时，安全结构框图常规通道涉及的阀元件包括V2R、V1L，位移传感器元件包括x1、x2，压力传感器元件包括pa、pb、ps。阀V2R小开口位置失效故障后，系统通过故障信号的在线重建实现阀口独立控制。故安全结构框图容错通道涉及的阀元件包括V1L，位移传感器元件包括x1，压力传感器元件包括pa、ps。

[0074] 以阀V2R故障为例，如图10所示，针对阻抗伸出模式下出口阀V2R异常关闭故障的主动容错控制原理。将图4中第一象限阻抗伸出工作模式切换为可能次优的高压再生伸出模式，即重新激活无故障的V2L，以执行安全保护功能。

[0075] 因此对于阻抗伸出模式，阀V2R未发生异常关闭故障时，安全结构框图常规通道涉及的阀元件包括V2R、V1L，位移传感器元件包括x1、x2，压力传感器元件包括pa、pb、ps。阀V2R异常关闭故障后，系统通过工作模式重构实现阀口独立控制。故安全结构框图容错通道涉及的阀元件包括V1L，V2L，位移传感器元件包括x1，x2，压力传感器元件包括pa、pb、ps。

[0076] S4，基于功能安全结构框图计算每个通道平均危险故障时间MTTFd，确定安全结构类别，并基于阀口独立控制系统实际的安全评估参数评估阀口独立控制系统安全性能等级PL，其中，安全评估参数包括：诊断覆盖率DC、类别Cat.、每个通道平均危险故障时间MTTFd。

[0077] 根据本发明的一个实施例，创建相应的功能安全结构框图后，计算每个通道中元件的平均危险故障时间MTTFd。阀的MTTFd取值参考ISO 13849‑1附录C给出的液压元件的值，取为150 a。传感器元件则依据制造商给出的MTTFd（压力传感器1422 a，位移传感器820 a）。同时各元件必须是根据标准ISO 13849‑2中所给的基本且经过充分验证的安全原则制造的。

[0078] 在本发明的一个实施例中，常规控制的阀口独立控制系统安全框图为单通道，类别为Cat.1，单一通道结构MTTFd通过以下公式（1）确定：

[0079]  （1）；

[0080] 其中，MTTFd为通道平均危险故障时间，MTTFd,V1R 、 MTTFd,V2R 、 MTTFd,V1L 、 MTTFd,V2L 、 MTTFd  , Pa 、 MTTFd,Pb 、 MTTFd,Ps 、 MTTFd,x 1 和MTTFd,x2分别是阀口独立控制系统中对安全功能有作用的元件阀1右位V1R、阀2右位V2R、阀1左位V1L、阀2右位V2L、执行器进口压力传感器pa、执行器出口压力传感器pb、泵出口压力传感器ps、阀1阀芯位移传感器x1和阀2阀芯位移传感器x2的MTTFd值；

[0081] 如果增加故障诊断的阀口独立控制系统的功能安全结构框图并联一个检测通道，但也为单通道类别为Cat.2，单一通道结构MTTFd与常规控制的MTTFd相同，即也采用公式（1）计算通道平均危险故障时间MTTFd。

[0082] 如果增加主动容错控制方法的阀口独立控制系统的功能安全结构框图并联一个容错通道，由单通道变为双通道，类别变为Cat.3或Cat.4，计算双通道平均危险故障时间MTTFd值。双通道结构除了要确定每个通道的MTTFd值外，还需要对两个通道的MTTFd进行一个平衡，以确定整体结构的MTTFd值，双通道结构MTTFd值通过以下公式（2）确定：

[0083] （2）；

[0084] 其中，MTTFdC1是常规控制通道的平均危险故障时间MTTFd值，MTTFdC2是容错控制通道的平均危险故障时间MTTFd值。

[0085] 在阻抗伸出模式pa传感器故障时，常规控制通道；容错控制通道
。

[0086] 在 低 压 再 生 缩 回 模 式 p a 传 感 器 故 障 时 ，常 规 控 制 通 道容错控制通道。

[0087] 在阻 抗伸出模 式 ，v 2R小开口 位置失 效故障时 ，常规 控制通 道；容错控制通道
。

[0088] 在 阻 抗 伸 出 模 式 ，v 2 R 异 常 关 闭 故 障 时 ，常 规 控 制 通 道；容 错控 制通 道。

[0089] 根据本发明的一个实施例，基于阀口独立控制系统实际的安全评估参数评估阀口独立控制系统安全性能等级PL，具体包括：根据ISO 13849‑1附录K中表K.1，绘制不同诊断覆盖率DC值和类别Cat.情况下，阀口独立控制系统安全性能等级PL值关于通道平均危险故障时间MTTFd值的变化图，并基于阀口独立控制系统实际的安全评估参数分别确定出常规控制、增加故障诊断和增加主动容错控制方法的阀口独立控制系统安全性能等级PL值。

[0090] 如图11‑17所示，阀口独立控制系统安全性能等级PL值关于MTTFd值的变化图。根据ISO 13849‑1附录K中表K.1，绘制不同诊断覆盖率DC值和类别Cat.情况下，确定MTTFd值的图(阴影部分代表两边等级都存在可能性，且阴影部分不包括边界，例如图11中，3a≤MTTFd≤11a，PL=a，11a

[0091] 如图18所示，采用常规控制器的阀口独立控制系统安全性能评估，确定类别为Cat.1，诊断覆盖率DC为0%，并经过单一通道结构MTTFd的公式计算MTTFd为32 a，参考图12，常规控制下的单通道结构安全性能水平仅能达到b级，无法满足前述的移动机器控制系统所需要求(PLr≥d)。采用常规控制方法的阀口独立控制系统安全性能水平仅为b级。通过故障诊断/容错两方面进行安全性能的优化，并评估其安全性能。

[0092] 如图19所示，增加故障诊断的阀口独立控制系统安全性能评估。增加故障诊断系统安全结构框图并联的诊断通道作用仅为在监测到故障时触发适当的控制动作，以提高系统的DC值，虽然不影响系统整体的MTTFd，但是系统安全结构类别由Cat.1变为Cat.2。参考图13，假设DC值等级为低(60%≤DC<90%)，安全性能等级PL则由b级提升至c级，安全性能水平有一定的提升，但是仍未满足所需安全性能d级及以上要求。参考图14，即使进一步将DC值提高至中级(90%≤DC<99%)，可PL值依然为c级。结果表明，系统中加入故障诊断通道后DC值得以提高，并准确评估了系统安全性能，系统安全性能水平得到提升，但是依旧不能满足所需求的安全性能。

[0093] 增加故障诊断通道后，系统安全结构仅由Cat.1转变为Cat.2，仍为单通道。基于故障诊断的冗余保护将系统结构转变为双通道并联的Cat.3和Cat.4，则可在低级别DC值的情况下，进一步提高系统PL值。

[0094] 针对传感器故障，对系统进行准确评估。如图20所示，阻抗伸出模式，pa故障，增加主动容错安全性能评估。参考图15，此时系统为双通道结构，当DC值等级为低时(60%≤DC<90%)，类别为Cat.3，MTTFd为57a，安全性能等级就达到了d级，此时就能够满足前述所需安全性能要求。参考图16，DC值若能够提高至中级(90%≤DC<99%)，系统便可达到d或e级安全性能。参考图17，高级（即99%以上）的DC值，系统PL值为e级，系统安全性会更高，综上，本发明方法对系统进行了准确评估。

[0095] 如图21所示，低压再生缩回模式，pa故障，增加主动容错安全性能评估。系统安全结构为双通道结构，类别为Cat.3，MTTFd为60a，参考图15，DC为低级(60%≤DC<90%)时，PL值为d级，能够满足前述所需的安全性能要求。参考图16，DC为中级(90%≤DC<99%)时，PL达到d或e级。参考图17，若DC可到高级(即99%以上)，PL可实现e级，综上，本发明方法对系统进行了准确评估。

[0096] 针对阀故障，对系统进行准确评估。如图22所示，阻抗伸出模式，阀V2R小开口位置失效故障，增加容错安全性能评估。系统安全结构为双通道结构，类别为Cat.3， 为85a，参考图15，DC为低级(60%≤DC<90%)时，PL值为d级，能够满足前述所需的安全性能要求。参考图16，DC为中级(90%≤DC<99%)时，PL达到e级。参考图17，若DC可到高级(即99%以上)，PL可稳定实现e级。由上，本发明提出的方法对系统进行了准确评估。

[0097] 如图23所示，阻抗伸出模式，阀V2R异常关闭故障，增加主动容错安全性能评估。系统安全结构为双通道结构，类别为Cat.3， 为56a，参考图15，DC为低级(60%≤DC<90%)时，PL值为d级，能够满足前述所需的安全性能要求。参考图16，DC为中级(90%≤DC<
99%)时，PL达到d级。参考图17，若DC可到高级(即99%以上)，PL可实现e级。由上，本发明方法对系统进行了准确评估。

[0098] 综上，本发明以 ISO 13849 标准为基础，对阀口独立控制系统的安全性能进行了评估，考虑阀口独立控制系统多模式特点，建立不同工作模式下的多个故障树模型，并通过布尔代数运算合并简化成单个故障树模型，从而可以将复杂的阀口独立控制系统关联至ISO 13849标准预定义的单通道安全框图，解决了不同工作模式下系统液压回路与控制系统结构差异导致的PL值无法评估的问题，且评估流程简单、快速。首次同时引入故障诊断与容错控制，将故障诊断或容错作为与常规控制器并联的检测或控制通道，建立了双通道安全结构框图，考虑容错控制复用的非故障元件计算双通道的MTTFd值，以取代单通道MTTFd值，实现了阀口独立控制系统安全性能更为准确的评估。

[0099] 此外，本发明还提出一种阀口独立控制系统的安全性能评估装置，包括：建立模块、简化模块、关联模块和评估模块。

[0100] 其中，建立模块用于基于阀口独立控制系统的结构和四象限负载工况下不同工作模式，建立阀口独立控制系统的多个独立的故障树模型；简化模块用于考虑阀口独立控制系统多模式特点，基于布尔代数运算将多个故障树模型合并简化；关联模块用于考虑常规控制并增加故障诊断和主动容错控制，将简化后的故障树模型关联至 ISO 13849 标准预定义的功能安全结构框图；评估模块用于基于安全结构框图计算每个通道平均危险故障时间MTTFd，确定安全结构类别，并基于阀口独立控制系统实际的安全评估参数评估阀口独立控制系统安全性能等级PL，其中，安全评估参数包括：诊断覆盖率DC、类别Cat.、每个通道平均危险故障时间MTTFd。

[0101] 根据本发明的一个实施例，阀口独立控制系统包括：双三位三通比例方向阀构型和4个二位二通比例阀构型的多种回路构型，建立模块具体用于：将阀口独立控制系统的安全功能所涉及的元件作为基础事件，并运用故障树分析法对系统不同工况下的安全性进行建模。

[0102] 根据本发明实施例的阀口独立控制系统的安全性能评估装置，考虑阀口独立控制系统多模式特点，建立不同工作模式下的多个故障树模型，并通过布尔代数运算合并简化成单个故障树模型，从而可以将复杂的阀口独立控制系统关联至ISO 13849标准预定义的单通道安全框图，解决了不同工作模式下系统液压回路与控制系统结构差异导致的PL值无法评估的问题，且评估流程简单、快速。

[0103] 此外，本发明还提出一种阀口独立控制系统，包括本发明上述的阀口独立控制系统的安全性能评估装置。

[0104] 根据本发明实施例的阀口独立控制系统，通过上述的阀口独立控制系统的安全性能评估装置，考虑阀口独立控制系统多模式特点，建立不同工作模式下的多个故障树模型，并通过布尔代数运算合并简化成单个故障树模型，从而可以将复杂的阀口独立控制系统关联至ISO 13849标准预定义的单通道安全框图，解决了不同工作模式下系统液压回路与控制系统结构差异导致的PL值无法评估的问题，且评估流程简单、快速。

[0105] 在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不必针对相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任一个或多个实施例或示例中以合适的方式结合。此外，在不相互矛盾的情况下，本领域的技术人员可以将本说明书中描述的不同实施例或示例以及不同实施例或示例的特征进行结合和组合。

[0106] 流程图中或在此以其他方式描述的任何过程或方法描述可以被理解为，表示包括一个或更多个用于实现定制逻辑功能或过程的步骤的可执行指令的代码的模块、片段或部分，并且本发明的优选实施方式的范围包括另外的实现，其中可以不按所示出或讨论的顺序，包括根据所涉及的功能按基本同时的方式或按相反的顺序，来执行功能，这应被本发明的实施例所属技术领域的技术人员所理解。

[0107] 应当理解，本发明的各部分可以用硬件、软件、固件或它们的组合来实现。在上述实施方式中，多个步骤或方法可以用存储在存储器中且由合适的指令执行系统执行的软件或固件来实现。如，如果用硬件来实现和在另一实施方式中一样，可用本领域公知的下列技术中的任一项或他们的组合来实现：具有用于对数据信号实现逻辑功能的逻辑门电路的离散逻辑电路，具有合适的组合逻辑门电路的专用集成电路，可编程门阵列（PGA），现场可编程门阵列（FPGA）等。

[0108] 本技术领域的普通技术人员可以理解实现上述实施例方法携带的全部或部分步骤是可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，该程序在执行时，包括方法实施例的步骤之一或其组合。

[0109] 尽管已经示出和描述了本发明的实施例，对于本领域的普通技术人员而言，可以理解在不脱离本发明的原理和精神的情况下可以对这些实施例进行多种变化、修改、替换和变型，本发明的范围由所附权利要求及其等同物限定。