本文作者周东华先生，清华大学自动化系教授、博士生导师。 关键词： 动态系统　容错控制　故障诊断　集成　鲁棒性 一 引言 现代系统正朝着大规模、复杂化的方向发展，这类系统一旦发生事故就有可能造成人员和财产的巨大损失。例 如，1998年8月至1999年5月短短的10个月间，美国的3种运载火箭——“大力神”、“雅典娜”、“德尔他”共发生了5次发射失败，造成了30多亿美元的直接经济损失，迫使美国航天局于1999年5月下令停止了所有的商业发射计划，给美国的航天计划造成了严重的打击。人们迫切需要提高现代系统的可靠性与安全性。基于解析冗余的动态系统的故障诊断与容错控制(Fault Tolerant Control, FTC)则为提高复杂系统的可靠性开辟了一条新的途径。 动态系统的容错控制是伴随着基于解析冗余的故障诊断技术的发展而发展起来的。如果当执行器、传感器或元部件发生故障时，闭环控制系统仍然是稳定的，并具有较理想的特性，就称此闭环控制系统为容错控制系统。1991年，瑞典的Astrom教授明确指出容错控制具有使系统的反馈对故障不敏感的作用。容错控制方法一般可以分成两大类，即被动容错控制(passive FTC)和主动容错控制(active FTC)。 容错控制的思想最早可以追溯到1971年，以Niederlinski提出完整性控制(Integral Control)的新概念为标志，Siljak于1980年发表的关于可靠镇定的文章是最早开始专门研究容错控制的文章之一。然后，直到1993年，国际上才出现了由现任IFAC技术过程的故障诊断与安全性专业委员会主席、英国的Patton教授撰写的容错控制的综述文章。目前尚未见到国际上有容错控制的专著问世。值得骄傲的是，我国在容错控制理论上的研究基本上与国外同步。1987年，叶银忠等就发表了容错控制的论文，并且于次年发表了这方面的第一篇综述文章。1994年，葛建华等出版了我国第一本容错控制的学术专著。 动态系统的故障检测与诊断(Fault Detection and Diagnosis, FDD)是容错控制的重要支撑技术之一。FDD技术的发展已大大超前于容错控制，其理论与应用成果也远远多于容错控制。目前国际上每年发表的有关FDD方面的论文与报告在数千篇以上。基于解析冗余的故障诊断技术被公认为起源于Beard于1971年发表的博士论文。1976年，Willsky在《Automatica》上发表了第一篇FDD方面的综述文章。Himmelblau于1978年出版了国际上第一本FDD方面的学术著作。 我国开始动态系统FDD技术的研究要比国外晚10年左右。清华大学的方崇智教授等从1983年起开始了FDD技术的研究工作。1986年，叶银忠等在《信息与控制》上发表了国内第一篇FDD技术的综述文章。1994年，周东华等在清华大学出版社出版了国内第一本FDD技术的学术专著。 国际自动控制界对容错控制的发展给予了高度重视。1986年9月，在美国Santa Clara大学举行的自动控制高峰会议上，把多变量鲁棒、自适应和容错控制列为控制科学面临的富有挑战性的研究课题。在国际上，领导着容错控制学科发展的是1993年成立的IFAC技术过程的故障诊断与安全性技术委员会。从1991年起，IFAC每3年定期召开FDD与FTC方面的国际专题学术会议。在近几届的IFAC世界大会上，FDD与FTC方面的论文在不断增加。据笔者统计，1999年7月在北京召开的第十四届IFAC世界大会上，这方面的学术论文已达60篇，成为最热门的几个研究方向之一。 容错控制发展至今只有20年左右的历史，因此这是一门新兴交叉学科。促使这门学科迅速发展的一个最重要的动力来源于航空航天领域。美国空军从20世纪70年代起就不断投入巨资支持容错控制的发展，力求开发出具有高度容错能力的战斗机，甚至在多个翼面受损时，也能够保持战斗机的生存能力。 作为一门交叉性学科，容错控制与鲁棒控制、故障检测与诊断、自适应控制、智能控制等有着密切的联系。现代控制理论、信号处理、模式识别、最优化方法、决策论、统计数学等构成了容错控制的理论基础。 二 经典容错控制方法 1. 被动容错控制 被动容错控制大致可以分成可靠镇定、完整性与联立镇定3种类型。 a. 可靠镇定 使用多个补偿器进行可靠镇定的概念是由Siljak于1980年最先提出的，随后一些学者又对其进行了深入研究。可靠镇定实际上是关于控制器的容错问题。针对单个被控对象，现已证明，当采用两个补偿器时，存在可靠镇定解的主要条件是被控对象是强可镇定的(Strongly Stabilizable)(即此对象可以被稳定的控制器所镇定)。然而，当被控对象不满足强可镇定条件时，补偿器就会出现不稳定的极点，受过程噪声的影响，闭环系统就会出现不稳定。后来的研究者部分解决了上述问题，给出了设计两个动态补偿器的参数化方法，来得到可靠镇定问题的解；同时还给出了把一个稳定的控制器分解成两个并联的动态补偿器，进而实现可靠镇定问题的有效方法，其前提仍然是被控对象必须是强可镇定的。 综上所述，可靠镇定问题已趋于成熟。 b. 完整性 完整性问题也称作完整性控制，它一直是被动容错控制中的热点研究问题。此问题有很高的应用价值，这是因为控制系统中的传感器是最容易发生故障的部件。此问题研究的对象一般都是MIMO线性定常系统，难度很大，其主要问题是对高维系统缺乏有效的综合方法。人们已研究了关于执行器断路故障的完整性问题，提出了求解静态反馈增益阵的一种简单的伪逆方法。然而，该方法并不能保证故障状态下的闭环系统是稳定的。基于n-线性特征系数理论及参数空间设计方法，有学者给出了关于执行器断路故障的完整性问题的求解方法。该方法的一个特点是可以在实现完整性的同时，在执行器的各种故障下，都可以将系统的闭环极点配置在预定的区域内。因此，此方法在满足容错控制的条件下还可以兼顾闭环系统的动态特性。该方法的一个缺陷是，当系统的维数大于3时，其解析解就不再存在，只能采用CAD技术来求数值解，并可能无解。此外，近年来，分散大系统的完整性问题也受到了广泛关注。 由此可见，完整性问题还远未彻底解决，主要是缺乏有效地求解容错控制律的构造性方法，尤其是对高维多变量系统。 c. 联立镇定 联立镇定有两个主要作用：(1)当被控对象发生故障时，可以使其仍然保持稳定，具有容错控制的功能；(2)对非线性对象，经常采用线性控制方法在某一工作点上对其进行控制，当工作点变动时，对应的线性模型也会发生变化，此时，具有联立镇定能力的控制器就仍然可以镇定被控对象。 十几年来，此问题已引起了许多学者的关注。1982年发表在IEEE AC上的文章是最早开始研究联立镇定问题的文章之一。在此方向上取得的主要进展是：基于广义的采样数据保持函数(Generalized Sampled-data Hold Function，GSHF)。人们已取得如下成果：(1)给出了联立镇定问题有解的充分条件，以及此控制律的构造方法；(2)给出了在满足联立镇定的基础上，同时实现线性二次型最优控制的充分条件，以及相应的控制律的构造方法。 2. 主动容错控制 主动容错控制在故障发生后需要重新调整控制器的参数，也可能需要改变控制器的结构。多数主动容错控制需要FDD子系统，少数不需要FDD子系统，但需要已知各种故障的先验知识。主动容错控制这一概念正是来源于需要对发生的故障进行主动处理这一事实。众多的FDD方法可以分成基于定性模型的方法与定量模型的方法两大类。经过近30年的发展，FDD技术已日趋成熟，所提出的各种方法详见有关文献。主动容错控制大致可以分为3大类：控制律重新调度；控制器重构设计；模型跟随重组控制。 (1)控制律重新调度 这是一类最简单的也是最近几年才发展起来的主动容错控制方法，其基本思想是离线计算出各种故障下所需的合适的控制律的增益参数，并列表储存在计算机中。当基于在线FDD技术得到了最新的故障信息后，就可以挑选出一个合适的增益参数，得到容错控制律。显然，采用实时专家系统进行增益调度将会产生很好的效果。这类控制方法特别适合于具有多个冗余机翼的战斗机的容错控制。 (2)控制律重构设计 即在FDD单元确诊故障后，在线重组或重构控制律。这是一个目前很受关注的研究方向，现有的成果还比较少。有人采用了“控制混合器”的概念，设计了一个具有自修复功能的飞行控制系统。当诊断出某个机翼受损时，可以重新分配其应尽的作用到剩余的执行器中去。随后有人提出了一种控制器的重新设计技术，通过极大化一个频域的性能指标，来重建控制律。一些学者还给出了一种飞机的模型参考容错控制方法。针对飞机的元部件故障，他们用检测滤波器理论设计了相应的故障检测器和故障参数估计器，并在此基础上，用Lyapunov方法设计了模型参考容错控制律，保证在发生内部故障时飞机能稳定运行。 (3)模型跟随重组控制 这类主动容错控制的基本原理是，采用模型参考自适应控制的思想，使得被控过程的输出始终自适应地跟踪参考模型的输出，而不管是否发生了故障。因此，这种容错控制不需要FDD单元。当发生故障后，实际被控过程随之发生变动，控制律就会相应地并自适应地进行重组，保持被控对象对参考模型输出的跟踪。可以看出，这类容错控制是采用隐含的方法来处理故障的。 人们已提出了一种基于模糊学习系统的专家监督控制方法，用于F16战斗机的容错控制，其基本控制器是由参考模型