本發(fā)明屬于列車通信領域，尤其涉及一種列車網(wǎng)關冗余的控制系統(tǒng)和方法。

背景技術：

IEC61375-1標準規(guī)定的TCN列車通信網(wǎng)絡，是目前應用最為廣泛的列車通信標準，我國也引入該標準，作為中國列車通信網(wǎng)絡的推薦標準。TCN標準規(guī)定了WTB和MVB兩級總線結構實現(xiàn)對列車的控制，即連接各節(jié)車輛的絞線式列車總線WTB總線和連接車輛內(nèi)部設備的多功能車輛總線MVB總線。

根據(jù)TCN標準，WTB總線和MVB總線的物理層和鏈路層是不同的，列車網(wǎng)關負責實現(xiàn)WTB總線和MVB總線之間的通信協(xié)議轉換，完成兩級總線間過程數(shù)據(jù)、消息數(shù)據(jù)以及監(jiān)視數(shù)據(jù)的交換。當列車根據(jù)運營需求進行編組或者解編時，網(wǎng)關能識別列車的網(wǎng)絡拓撲變化，并根據(jù)新的網(wǎng)絡拓撲重新配置整車的網(wǎng)絡控制系統(tǒng)，從而實現(xiàn)列車間的互聯(lián)、互通、互操作。

網(wǎng)關是TCN網(wǎng)絡通信系統(tǒng)中的關鍵設備，當列車網(wǎng)關發(fā)生故障時，車輛之間的數(shù)據(jù)通信將會出現(xiàn)中斷，列車無法正常安全運行。網(wǎng)關根據(jù)功能可劃分為CPU、WTB、MVB等多個功能模塊。其中WTB模塊完成WTB總線的初運行功能，以及過程數(shù)據(jù)、消息數(shù)據(jù)和監(jiān)視數(shù)據(jù)通信功能；MVB模塊完成MVB總線的過程數(shù)據(jù)、消息數(shù)據(jù)和監(jiān)控數(shù)據(jù)通信功能；CPU模塊是網(wǎng)關主控單元，運行網(wǎng)關軟件，實現(xiàn)列車總線和車輛總線之間的數(shù)據(jù)通信協(xié)議轉換功能。當列車重聯(lián)編組或解編組時，引發(fā)初運行，網(wǎng)關能自動完成編組中各個節(jié)點的地址分配、方向識別，并獲取列車拓撲信息。

為滿足列車網(wǎng)絡控制系統(tǒng)的可靠性要求，現(xiàn)有技術中，通常采用關鍵設備冗余技術：針對網(wǎng)關采用雙網(wǎng)關冗余配置，即主網(wǎng)關和備份網(wǎng)關，其中，主網(wǎng)關處于激活狀態(tài)實現(xiàn)網(wǎng)關功能，備份網(wǎng)關不參與總線通信，即冗余雙網(wǎng)關在總線上表現(xiàn)為單個網(wǎng)關節(jié)點；備份網(wǎng)關通過冗余鏈路，判斷在預設時間內(nèi)主網(wǎng)關生命信號未發(fā)生變化，則切換為主網(wǎng)關，接替原主網(wǎng)關實現(xiàn)列車級和車輛級通信，確保列車的正常運行。故障網(wǎng)關將通過看門狗復位重啟，成為新的備份網(wǎng)關。

但是上述現(xiàn)有技術中的以下問題：(1)現(xiàn)有網(wǎng)關冗余檢測僅判斷主網(wǎng)關生命信號變化情況，不能及時獲取主網(wǎng)關的狀態(tài)信息，當主網(wǎng)關發(fā)生故障時，備用網(wǎng)關切換成主網(wǎng)關，備份網(wǎng)關將以新的節(jié)點加入總線，可能引發(fā)主權競爭，延長初運行時間；因為WTB總線初運行時，列車通信處于癱瘓狀態(tài)，盡管有保證安全的邏輯，仍應盡量減少初運行時間；(2)現(xiàn)有網(wǎng)關冗余檢測鏈路為單線，當出現(xiàn)冗余鏈路故障時，將誤發(fā)生冗余切換，造成總線混亂，影響列車網(wǎng)絡正常通信。

技術實現(xiàn)要素：

為了解決上述問題，本發(fā)明提供了一種列車網(wǎng)關冗余控制系統(tǒng)及其控制方法，該發(fā)明的主網(wǎng)關與備份網(wǎng)關可實時獲取雙方狀態(tài)信息，以在備份網(wǎng)關切換為主網(wǎng)關時，以主網(wǎng)關工作狀態(tài)加入至總線，避免了主權競爭，縮短了初運行時間。

為了達到上述目的，本發(fā)明采用的技術方案為：

一種列車網(wǎng)關冗余控制系統(tǒng)，包括第一網(wǎng)關，第二網(wǎng)關，以及連接第一網(wǎng)關和第二網(wǎng)關的中央控制單元，第一網(wǎng)關與第二網(wǎng)關之間連接有可傳遞信息的冗余鏈路，第一網(wǎng)關和第二網(wǎng)關內(nèi)設置有信息存儲模塊、識別模塊、總線執(zhí)行模塊、采集模塊、判斷模塊、調(diào)取模塊以及冗余控制模塊，其中，采集模塊連接冗余鏈路，用于采集對方網(wǎng)關通過冗余鏈路傳遞的對方網(wǎng)關信息；信息存儲模塊內(nèi)設有預設的靜態(tài)配置信息，信息存儲模塊連接采集模塊，信息存儲模塊用于采集模塊采集的信息按預設時間存儲，并將存儲信息反饋至總線執(zhí)行模塊；識別模塊連接于信息存儲模塊，用于讀取信息存儲模塊中預設的靜態(tài)配置，識別自身網(wǎng)關是否為主網(wǎng)關，并形成主網(wǎng)關信息和備份網(wǎng)關信息；總線執(zhí)行模塊連接識別模塊，用于根據(jù)識別模塊識別的網(wǎng)關信息選擇是否參與總線執(zhí)行，如識別模塊識別為主網(wǎng)關，則該網(wǎng)關參與總線執(zhí)行，并將該網(wǎng)關信息實時傳遞至中央控制單元，反之，則斷開總線執(zhí)行；判斷模塊連接識別模塊和采集模塊，用于通過接收識別模塊和采集模塊的信息判斷對方網(wǎng)關是否發(fā)生故障并作出回應；調(diào)取模塊連接判斷模塊和信息存儲模塊，用于接收判斷模塊判定的主網(wǎng)關故障信息，進一步調(diào)取信息存儲模塊中最近一次存儲的對方網(wǎng)關信息；冗余控制模塊的輸入端連接調(diào)取模塊，輸出端連接總線執(zhí)行模塊，用于根據(jù)調(diào)取模塊的輸出進入至總線執(zhí)行模塊的執(zhí)行。

作為本發(fā)明的進一步優(yōu)化，第一網(wǎng)關和第二網(wǎng)關進一步包括有自檢模塊，自檢模塊連接采集模塊，用于采集自身網(wǎng)關狀態(tài)信息。

作為本發(fā)明的進一步優(yōu)化，自檢模塊外連有看門狗，自檢模塊自檢正常，則在預設時間內(nèi)喂食看門狗；自檢模塊自檢不正常，則停止喂食看門狗。

作為本發(fā)明的進一步優(yōu)化，冗余鏈路為雙冗余鏈路，雙冗余鏈路包括MVB總線冗余鏈路和以太網(wǎng)總線冗余鏈路。

一種列車網(wǎng)關冗余控制方法，使用上述列車網(wǎng)關冗余控制系統(tǒng)，包括步驟(1)網(wǎng)關通過信息存儲模塊中預設的靜態(tài)配置信息設定第一網(wǎng)關和第二網(wǎng)關是否為主網(wǎng)關，并啟動主網(wǎng)關與備份網(wǎng)關，還包括以下步驟：

(2)主網(wǎng)關與備份網(wǎng)關之間通過采集模塊采集對方網(wǎng)關信息數(shù)據(jù)，如果識別對方網(wǎng)關已經(jīng)作為主網(wǎng)關，則將自身切換至備份網(wǎng)關；

(3)主網(wǎng)關和備份網(wǎng)關依據(jù)總線執(zhí)行模塊分別執(zhí)行主網(wǎng)關模式以及備份網(wǎng)關模式；

(4)根據(jù)判斷模塊判斷主網(wǎng)關以及備份網(wǎng)關是否發(fā)生故障：

如主網(wǎng)關發(fā)生故障，則進入主網(wǎng)關故障處理狀態(tài)，并重啟動系統(tǒng)，返回至步驟(1)；反之，則進入主網(wǎng)關模式；

如備份網(wǎng)關發(fā)生故障，則進入備份網(wǎng)關故障處理狀態(tài)，并重啟動系統(tǒng)，返回至步驟(1)；反之，執(zhí)行步驟(5)；

(5)備份網(wǎng)關根據(jù)主網(wǎng)關反饋的信息狀態(tài)判斷主網(wǎng)關是否正常運行，如主網(wǎng)關正常運行，則進入備份網(wǎng)關模式；如主網(wǎng)關出現(xiàn)故障，則進行冗余切換，備份網(wǎng)關調(diào)取信息存儲模塊中最近一次存儲的主網(wǎng)關信息，并在冗余切換時以該信息狀態(tài)進入至總線運行引發(fā)初運行，進一步執(zhí)行主網(wǎng)關模式。

作為本發(fā)明的進一步優(yōu)化，步驟(3)和步驟(5)中的主網(wǎng)關模式包括：與總線進行通信、主網(wǎng)關的自檢并根據(jù)自檢結果喂食或停止喂食看門狗、獲取備份網(wǎng)關狀態(tài)信息并上傳至中央控制單元和向備份網(wǎng)關發(fā)送主網(wǎng)關狀態(tài)信息。

作為本發(fā)明的進一步優(yōu)化，步驟(3)和步驟(5)中的備份網(wǎng)關模式包括：斷開與總線的通信、備份網(wǎng)關的自檢并根據(jù)自檢結果喂食或停止喂食看門狗和獲取主網(wǎng)關狀態(tài)信息。

作為本發(fā)明的進一步優(yōu)化，步驟(4)中的主網(wǎng)關故障處理狀態(tài)包括向備份網(wǎng)關發(fā)送故障信息、斷開與總線的通信和停止喂食看門狗三個步驟。

作為本發(fā)明的進一步優(yōu)化，步驟(4)中的備份網(wǎng)關故障處理狀態(tài)包括向主網(wǎng)關發(fā)送故障信息和停止喂食看門狗兩個步驟。

作為本發(fā)明的進一步優(yōu)化，總線執(zhí)行模塊執(zhí)行與總線通信斷開時，其具體操作方法如下：MVB總線為備份網(wǎng)關不發(fā)送主網(wǎng)關端口數(shù)據(jù)，避免端口沖突；WTB總線為斷開總線開關繼電器，執(zhí)行TCN標準所述的ls_t_Remove過程，命令節(jié)點將自身從配置中切除且轉為被動狀態(tài)。

與現(xiàn)有技術相比，本發(fā)明的優(yōu)點和積極效果在于：

1、本發(fā)明的列車冗余控制方法，采用冗余配置的主網(wǎng)關與備份網(wǎng)關，其均可對自身的狀態(tài)進行檢測，并將狀態(tài)信息反饋給對方網(wǎng)關，當主網(wǎng)關自檢出現(xiàn)故障時，備份網(wǎng)關中冗余控制模塊通過冗余鏈路獲取故障信息，進行冗余切換，按照原主網(wǎng)關狀態(tài)信息加入總線進行初運行，原主網(wǎng)關通過硬件看門狗進行復位，恢復網(wǎng)關功能，避免了主權競爭，縮短了初運行時間。

2、本發(fā)明的列車冗余控制方法，采用雙冗余鏈路，避免了單冗余鏈路故障時引發(fā)的誤操作。

附圖說明

圖1為本發(fā)明列車冗余控制系統(tǒng)的框圖；

圖2為本發(fā)明列車冗余控制系統(tǒng)中網(wǎng)關中模塊的連接框圖；

圖3為本發(fā)明列車冗余控制方法的流程圖。

具體實施方式

下面，通過示例性的實施方式對本發(fā)明進行具體描述。然而應當理解，在沒有進一步敘述的情況下，一個實施方式中的元件、結構和特征也可以有益地結合到其他實施方式中。

參見圖1，圖1是本發(fā)明列車網(wǎng)關冗余控制系統(tǒng)的框圖示意圖。如圖1所示，本發(fā)明的列車網(wǎng)關冗余控制系統(tǒng)，包括第一網(wǎng)關2，第二網(wǎng)關3，以及連接第一網(wǎng)關1和第二網(wǎng)關2的中央控制單元3，第一網(wǎng)關與第二網(wǎng)關之間連接有可傳遞信息的冗余鏈路4。此處需要說明的是，第一網(wǎng)關2和第二網(wǎng)關3均是相同的網(wǎng)關，此處僅是為了對本發(fā)明進行清晰描述而進行的名稱區(qū)別，其他并無區(qū)別。列車網(wǎng)關中首先具有現(xiàn)有網(wǎng)關中具有的CPU、WTB、MVB等多個功能模塊。WTB模塊完成WTB總線的初運行功能，以及過程數(shù)據(jù)、消息數(shù)據(jù)和監(jiān)視數(shù)據(jù)通信功能。MVB模塊完成MVB總線的過程數(shù)據(jù)、消息數(shù)據(jù)和監(jiān)控數(shù)據(jù)通信功能。CPU模塊是網(wǎng)關主控單元，運行網(wǎng)關軟件，實現(xiàn)列車總線和車輛總線之間的數(shù)據(jù)通信協(xié)議轉換功能。當列車重聯(lián)編組或解編組時，引發(fā)初運行，網(wǎng)關能自動完成編組中各個節(jié)點的地址分配、方向識別，并獲取列車拓撲信息。

進一步參見圖2，是本發(fā)明中網(wǎng)關具體模塊的框圖示意，圖2中所示的箭頭方向即代表信息的流向。如圖2所示，第一網(wǎng)關2和第二網(wǎng)關3內(nèi)設置有信息存儲模塊8、識別模塊5、總線執(zhí)行模塊6、采集模塊7、判斷模塊9、調(diào)取模塊10以及冗余控制模塊11，其中，

采集模塊7連接冗余鏈路4，用于采集對方網(wǎng)關通過冗余鏈路4傳遞的對方網(wǎng)關信息；該處的網(wǎng)關信息包括生命信號、狀態(tài)信息、故障信息等。

信息存儲模塊8內(nèi)設有預設的靜態(tài)配置信息，信息存儲模塊8連接采集模塊7，信息存儲模塊7用于將采集模塊采集的信息按預設時間存儲，并將存儲信息反饋至總線執(zhí)行模塊；該處的預設時間可根據(jù)具體要求而人為設定，對于其具體的時間間隔在此不限定。

識別模塊5連接于信息存儲模塊8，識別模塊5用于讀取信息存儲模塊8中預設的靜態(tài)配置，識別自身是否為主網(wǎng)關，并形成主網(wǎng)關信息和備份網(wǎng)關信息；

總線執(zhí)行模塊6連接識別模塊5和冗余控制模塊11，總線執(zhí)行模塊6用于根據(jù)識別模塊5識別的網(wǎng)關信息和冗余控制模塊11的輸出選擇是否參與總線執(zhí)行，如識別模塊5識別為主網(wǎng)關，則該網(wǎng)關參與總線執(zhí)行，并將該網(wǎng)關信息實時傳遞至中央控制單元1，反之，則斷開總線執(zhí)行；此處需要說明的是，總線執(zhí)行是指依據(jù)主網(wǎng)關傳遞的信息參與的總線運行。

信息存儲模塊8的輸入端連接采集模塊7，輸出端連接識別模塊5和調(diào)取模塊10，信息存儲模塊8用于將采集模塊7采集的信息按預設時間存儲，并將存儲信息最終反饋至總線執(zhí)行模塊；

判斷模塊9連接識別模塊5和采集模塊7，判斷模塊9用于通過接收識別模塊和采集模塊的信息判斷對方網(wǎng)關是否發(fā)生故障并作出回應。具體的，識別模塊5將該網(wǎng)關是否為主網(wǎng)關信息輸送至判斷模塊9，如判斷模塊9接收識別模塊5識別的網(wǎng)關為備份網(wǎng)關，則進一步根據(jù)采集模塊7采集的信息判斷對方網(wǎng)關是否發(fā)生故障，如發(fā)生故障則輸出主網(wǎng)關故障信息；如該判斷模塊9接收識別模塊5識別的網(wǎng)關為主網(wǎng)關，則進一步判斷自身網(wǎng)關是否發(fā)生故障，如發(fā)生故障，則復位該網(wǎng)關；

調(diào)取模塊10連接判斷模塊9和信息存儲模塊8，調(diào)取模塊10接收判斷模塊9判定的主網(wǎng)關故障信息，進一步調(diào)取信息存儲模塊8中最近一次存儲的對方網(wǎng)關信息；

冗余控制模塊11的輸入端連接調(diào)取模塊10，輸出端連接總線執(zhí)行模塊6，冗余控制模塊6根據(jù)調(diào)取模塊10輸出進入至總線執(zhí)行模塊的執(zhí)行。

本發(fā)明的上述技術方案，通過采集模塊不斷的采集對方網(wǎng)關信息，并將每次采集的網(wǎng)關信息存儲至信息存儲模塊，同時將采集信息輸入至判斷模塊，判斷模塊根據(jù)采集信息或采集時間的正常與否判斷對方網(wǎng)關是否正常，如對方網(wǎng)關正常，則不輸出信息；如對方網(wǎng)關不正常，且識別模塊輸出自身為備份網(wǎng)關，則輸出主網(wǎng)關故障信息至調(diào)取模塊，調(diào)取模塊根據(jù)該判斷信息調(diào)取信息存儲模塊中最新的主網(wǎng)關信息，并將該最新信息傳送至冗余控制模塊，冗余控制模塊控制冗余切換，并以最新信息狀態(tài)加入至總線執(zhí)行。在該過程中，當主網(wǎng)關出現(xiàn)故障后，備份網(wǎng)關即按照原主網(wǎng)關信息加入至總線進行初運行，避免了主權競爭，縮短了初運行時間。如對方網(wǎng)關不正常，且識別模塊輸出自身為主網(wǎng)關，則將備份網(wǎng)關故障信息通過總線執(zhí)行模塊，報告給中央控制單元，便于實現(xiàn)列車網(wǎng)絡系統(tǒng)的監(jiān)測和故障診斷。

繼續(xù)參見圖2，本發(fā)明的第一網(wǎng)關和第二網(wǎng)關進一步包括有自檢模塊12，以實時傳遞當前網(wǎng)關信息。自檢模塊12外連有看門狗，自檢模塊12自檢正常，則在預設時間內(nèi)喂食看門狗；自檢模塊12自檢不正常，則停止喂食看門狗。

進一步，本發(fā)明的冗余鏈路為雙冗余鏈路，雙冗余鏈路包括MVB總線冗余鏈路和以太網(wǎng)總線冗余鏈路。采用雙冗余鏈路的好處在于，只要其中一條鏈路正常通信，即可保證雙網(wǎng)關正常冗余工作，提高了工作效能。雙冗余鏈路的設置，同時可使主網(wǎng)關實時獲取備份網(wǎng)關狀態(tài)信息，在備份網(wǎng)關不參與總線通信時，仍可以向列車中央控制單元報告狀態(tài)信息，便于列車在途監(jiān)測和故障診斷。

參見圖3，是本發(fā)明列車網(wǎng)關冗余控制方法流程圖。如圖3所示，本發(fā)明的列車網(wǎng)關冗余控制方法，使用上述列車網(wǎng)關冗余控制系統(tǒng)，包括以下步驟：

(1)網(wǎng)關通過識別模塊識別第一網(wǎng)關和第二網(wǎng)關是否為主網(wǎng)關，并啟動主網(wǎng)關與備份網(wǎng)關。此處，為了描述方便清楚，定義第一網(wǎng)關為主網(wǎng)關，第二網(wǎng)關為備份網(wǎng)關，但在實際中，第一網(wǎng)關與第二網(wǎng)關是否為主網(wǎng)關，僅取決于靜態(tài)配置信息的默認；

(2)主網(wǎng)關與備份網(wǎng)關之間通過采集模塊采集對方網(wǎng)關信息數(shù)據(jù)，如果識別對方網(wǎng)關為主網(wǎng)關，則將自身切換至備份網(wǎng)關；

(3)主網(wǎng)關和備份網(wǎng)關依據(jù)總線執(zhí)行模塊分別執(zhí)行主網(wǎng)關模式以及備份網(wǎng)關模式；其中，主網(wǎng)關模式包括：與總線進行通信、主網(wǎng)關的自檢并根據(jù)自檢結果喂食或停止喂食看門狗、獲取備份網(wǎng)關狀態(tài)信息并上傳至中央控制單元和向備份網(wǎng)關發(fā)送主網(wǎng)關狀態(tài)信息；備份網(wǎng)關模式包括：斷開與總線的通信、備份網(wǎng)關的自檢并根據(jù)自檢結果喂食或停止喂食看門狗和獲取主網(wǎng)關狀態(tài)信息；

在該步驟中，自檢結果與看門狗的喂食與否的關系具體為：自檢結果如果正常，則按照預設時間定時喂食看門狗；如果自檢結果異常，則將停止喂食看門狗；

(4)根據(jù)判斷模塊判斷主網(wǎng)關以及備份網(wǎng)關是否發(fā)生故障：

如主網(wǎng)關發(fā)生故障，則進入主網(wǎng)關故障處理狀態(tài)，并重啟動系統(tǒng)，返回至步驟(1)；其中，主網(wǎng)關故障處理狀態(tài)包括向備份網(wǎng)關發(fā)送故障信息、斷開與總線的通信和停止喂食看門狗三個步驟；反之，則進入主網(wǎng)關模式；

如備份網(wǎng)關發(fā)生故障，則進入備份網(wǎng)關故障處理狀態(tài)，并重啟動系統(tǒng)，返回至步驟(1)，返回步驟(1)后，系統(tǒng)發(fā)現(xiàn)已經(jīng)存在工作主網(wǎng)關，將跳轉至備份網(wǎng)關工作狀態(tài)，執(zhí)行備份網(wǎng)關初始化過程；其中，備份網(wǎng)關故障處理狀態(tài)包括向主網(wǎng)關發(fā)送故障信息和停止喂食看門狗兩個步驟；反之，執(zhí)行步驟(5)；

(5)備份網(wǎng)關根據(jù)主網(wǎng)關反饋的信息數(shù)據(jù)判斷主網(wǎng)關是否正常運行，如主網(wǎng)關正常運行，則進入備份網(wǎng)關模式；如主網(wǎng)關出現(xiàn)故障，則進行冗余切換，備份網(wǎng)關調(diào)取信息存儲模塊中最近一次存儲的主網(wǎng)關信息，并在冗余切換時以該信息狀態(tài)進入至總線運行引發(fā)初運行，進一步執(zhí)行主網(wǎng)關模式。

該步驟中，需要進一步說明的是，主網(wǎng)關與備份網(wǎng)關之間信息的相互反饋，是根據(jù)預設時間進行周期性反饋，即，主網(wǎng)關向備份網(wǎng)關反饋信息時，其為具有最大預設周期的節(jié)點，當主網(wǎng)關出現(xiàn)故障時，主網(wǎng)關出現(xiàn)故障的表現(xiàn)包括備份網(wǎng)關在預設時間內(nèi)接收不到主網(wǎng)關信息，或者直接根據(jù)采集模塊采集的信息數(shù)據(jù)異常判斷為故障狀態(tài)，備份網(wǎng)關獲取故障信息，并按照最近一次接收的主網(wǎng)關信息節(jié)點進入至總線工作，這樣就避免了當主網(wǎng)關出現(xiàn)故障時，備份網(wǎng)關進入至總線時，以初始節(jié)點進入，這樣就會發(fā)生主權競爭，延長了初運行時間；而以主網(wǎng)關最近的狀態(tài)信息節(jié)點進入至總線，則避免了主權競爭的現(xiàn)象，縮短了初運行的時間。

另外，在上述步驟中，當需要網(wǎng)關與總線通信斷開時，其具體操作方法如下：MVB總線為備份網(wǎng)關不發(fā)送主網(wǎng)關端口數(shù)據(jù)，避免端口沖突，WTB總線為斷開總線開關繼電器，執(zhí)行TCN標準所述的ls_t_Remove過程，命令節(jié)點將自身從配置中切除且轉為被動狀態(tài)。

本發(fā)明通過上述冗余控制方法，主備網(wǎng)關均可獲取對方網(wǎng)關狀態(tài)，主網(wǎng)關可以向中央控制單元報告?zhèn)浞菥W(wǎng)關狀態(tài)信息，備份網(wǎng)關冗余切換時參考原主網(wǎng)關信息，避免發(fā)生主權競爭，提高列車網(wǎng)絡控制系統(tǒng)的可靠性。