用于提高可靠性的關(guān)鍵電路的雙工，三重甚至四重冗余技術(shù)已經(jīng)存在了很長(zhǎng)時(shí)間。自然，如此設(shè)計(jì)的第一個(gè)系統(tǒng)是用于軍事航空航天應(yīng)用的，因?yàn)槿哂嗪馨嘿F。它使飛機(jī)可以通過(guò)計(jì)算機(jī)安全地飛行，這是一種稱(chēng)為“ 電傳飛行”的技術(shù)，從而使飛機(jī)的性能超出了人類(lèi)飛行員的能力范圍。 1960年代的Apollo Saturn V火箭制導(dǎo)計(jì)算機(jī)具有三重冗余，這可能是其在極端發(fā)射條件下令人難以置信的可靠性的原因。為了防止不安全操作而使用相同或重復(fù)的相同電路模塊稱(chēng)為雙重模塊化冗余（DMR）或三次模塊化冗余（TMR）。

傳感器冗余

我們可以請(qǐng)參見(jiàn)圖1中的傳感器DMR和TMR操作的基礎(chǔ)知識(shí)。大多數(shù)現(xiàn)代芯片傳感器都具有串行數(shù)字輸出（例如UART，SPI或I2C總線），因此用于比較每個(gè)數(shù)據(jù)的表決邏輯設(shè)備可能是小型，低功耗的微控制器。模塊化冗余是一種傳感器融合技術(shù)，旨在提高系統(tǒng)的可靠性。以DMR形式，它可以檢測(cè)到嚴(yán)重故障并允許系統(tǒng)受控關(guān)閉。換句話說(shuō)，它可以提高“故障保護(hù)” 方案的可能性。 TMR引入了單個(gè)“容錯(cuò)” 的概念，直到第二個(gè)傳感器出現(xiàn)故障時(shí)才中斷服務(wù)。在每種情況下，都不會(huì)以任何方式合并或處理來(lái)自每個(gè)傳感器的數(shù)據(jù)，只是將它們進(jìn)行身份比較，從而允許實(shí)際組件之間的輸出發(fā)生細(xì)微的變化。

傳感器重復(fù)（a）或重復(fù)三次（b），而投票籌碼則不是，現(xiàn)在變成'單點(diǎn)故障危險(xiǎn)（SPF）。可以通過(guò)添加冗余的表決邏輯來(lái)解決此問(wèn)題，但是在進(jìn)行所有麻煩之前，有必要比較制造商提供的傳感器和表決芯片的故障率。例如，Microchip為大多數(shù)微控制器提供了平均故障時(shí)間（MTTF）統(tǒng)計(jì)信息。傳感器在正常操作中通常會(huì)承受很高的壓力，因此MTTF的值極有可能比投票芯片小得多。在計(jì)算系統(tǒng)故障率時(shí)，投票邏輯的貢獻(xiàn)可能經(jīng)常被低估。

處理器冗余的發(fā)展

在嵌入式控制系統(tǒng)中，傳感器輸入數(shù)據(jù)將通過(guò)某種方式進(jìn)行處理。在微控制器上運(yùn)行的算法的流程圖，微控制器產(chǎn)生用于驅(qū)動(dòng)致動(dòng)器和顯示器的輸出數(shù)據(jù)。該微控制器（MCU）具有嚴(yán)重的SPF危害，并且在用于安全關(guān)鍵型應(yīng)用中時(shí)，將需要合并冗余電路。

具有冗余功能的線控飛行系統(tǒng)自Saturn V出現(xiàn)以來(lái)就已經(jīng)存在。從1988年的空客A320開(kāi)始，是1960年代的火箭，以及最近在民用飛機(jī)上使用的火箭。冗余系統(tǒng)代表了非常重大的額外投資，不僅在物理硬件上，而且更重要的是，工程師在設(shè)計(jì)電路時(shí)必須投入大量時(shí)間，以使其有效運(yùn)行。實(shí)現(xiàn)成功完成任務(wù)的目標(biāo)。該目標(biāo)適用于有人值守和無(wú)人值守任務(wù)，但包括在涉及人員的情況下對(duì)安全性的假設(shè)。數(shù)十年來(lái)，成功完成任務(wù)的要求沒(méi)有改變，冗余的概念也沒(méi)有。發(fā)生的變化是最可能的故障條件（硬性或瞬態(tài)）以及每種情況的可能故障率。現(xiàn)代芯片比以前更不容易發(fā)生硬故障，但其密度更高的技術(shù)更容易因雜散（宇宙）粒子而引起臨時(shí)故障。

TMR和容錯(cuò)

經(jīng)典TMR涉及運(yùn)行相同代碼的相同處理器一式三份，將它們的輸出數(shù)據(jù)通過(guò)比較器邏輯傳遞，以確認(rèn)這三個(gè)處理器均產(chǎn)生相同的結(jié)果。也就是說(shuō)，可以正常運(yùn)行而不會(huì)出錯(cuò)（圖2）。如果一個(gè)處理器“犯了一個(gè)錯(cuò)誤”，則可以忽略它的輸出，因?yàn)槠渌麅蓚€(gè)處理器將達(dá)成一致，并且它們的輸出將通過(guò)“多數(shù)表決”正確地通過(guò)。之所以稱(chēng)為 fault masking （故障屏蔽），是因?yàn)樵谄溆嗵幚砥鞑煌庵埃梢圆婚g斷地繼續(xù)安全運(yùn)行。據(jù)說(shuō)該系統(tǒng)是 Fault Tolerant （容錯(cuò)），因?yàn)閱蝹€(gè)瞬態(tài)或硬故障不會(huì)中斷輸出數(shù)據(jù)流。非常適合實(shí)時(shí)控制應(yīng)用。但是，這樣的系統(tǒng)不一定能保護(hù)您免受相同處理器的設(shè)計(jì)缺陷或每個(gè)處理器上運(yùn)行的相同程序代碼中的錯(cuò)誤的影響。

每個(gè)處理器可以從單個(gè)非冗余傳感器接收相同的輸入數(shù)據(jù)，如圖所示，盡管更好的主意是也使用冗余傳感器，如圖1所示。這種形式的TMR的缺點(diǎn)是比較器邏輯和確保“正確”數(shù)據(jù)應(yīng)用于最終輸出所需的電路的復(fù)雜性。檢查電路可能也必須一式三份，這并不容易。這是有關(guān)該主題的最新論文。

DMR和故障恢復(fù)

大多數(shù)實(shí)際的安全系統(tǒng)設(shè)計(jì)人員都會(huì)通過(guò)犧牲 Fault Recoverable來(lái)解決容錯(cuò)TMR的復(fù)雜性。 DMR配置。用于控制空中客車(chē)A320客機(jī)上的飛行表面（電梯，方向舵等）的各種計(jì)算機(jī)均由兩個(gè)相互交叉檢查的獨(dú)立處理器組成。任何故障都會(huì)導(dǎo)致關(guān)機(jī)，并將功能轉(zhuǎn)移到另一臺(tái)計(jì)算機(jī)。這些計(jì)算機(jī)中有五臺(tái)巧妙地互連在一起，驅(qū)動(dòng)冗余執(zhí)行器。一種故障對(duì)飛機(jī)性能沒(méi)有影響。如果發(fā)生更多故障，性能將下降，直至一無(wú)所獲，保留了對(duì)電梯的控制，再加上冗余的舵系統(tǒng)，飛機(jī)就可以安全轉(zhuǎn)向和降落。有關(guān)A320冗余飛行控制系統(tǒng)的更多詳細(xì)信息，請(qǐng)閱讀此技術(shù)說(shuō)明。

不相似

A320上解決了具有相同軟件且產(chǎn)生相同錯(cuò)誤答案的相同計(jì)算機(jī)的問(wèn)題。介紹不相似的概念。五臺(tái)計(jì)算機(jī)中的三臺(tái)均基于一對(duì)Intel 80186 16位微處理器。另外兩個(gè)包含Motorola 68010 16/32bit單元。單獨(dú)的承包商設(shè)計(jì)，構(gòu)建和編程每種類(lèi)型：唯一的共性是冗余的外部總線接口及其協(xié)議。安全并不便宜。

安全微控制器和“鎖步”

硅技術(shù)的進(jìn)步導(dǎo)致具有多個(gè)“核心”的處理器芯片極大地提高了性能或吞吐量。多核設(shè)備不包含冗余，僅包含真正并行運(yùn)行多個(gè)不同程序的能力。如今，無(wú)人駕駛機(jī)器的概念似乎已成為現(xiàn)實(shí)，例如無(wú)人駕駛汽車(chē)甚至整個(gè)制造工廠。自然，安全已成為一個(gè)非常大的問(wèn)題。幸運(yùn)的是，已經(jīng)創(chuàng)建了管理自主產(chǎn)品的設(shè)計(jì)和安全認(rèn)證的標(biāo)準(zhǔn)：用于一般工業(yè)控制的IEC 61508和用于汽車(chē)應(yīng)用的ISO 26262。芯片制造商已經(jīng)對(duì)新型設(shè)備做出了回應(yīng)：安全微控制器。這些新設(shè)備大多數(shù)都基于DMR原理，但有一些額外的變化。兩個(gè)處理器內(nèi)核運(yùn)行相同的程序，但是一個(gè)或多個(gè)時(shí)鐘周期彼此不同步（圖3）。為了錯(cuò)誤檢測(cè)的目的，重新調(diào)整了輸出。

兩個(gè)處理器之間的固定延遲確保了不會(huì)同時(shí)檢測(cè)到同時(shí)影響兩個(gè)內(nèi)核的某些瞬態(tài)情況。據(jù)說(shuō)這些內(nèi)核在“ Lockstep ”中運(yùn)行。包括更多的冗余以處理翻轉(zhuǎn)的存儲(chǔ)位（糾錯(cuò)碼或ECC邏輯）和通信通道上的翻轉(zhuǎn)位（循環(huán)冗余碼或CRC檢查）。然后是內(nèi)置自測(cè)（BIST）邏輯，只要檢測(cè)到核心數(shù)據(jù)不匹配，就會(huì)激活該邏輯。如果沒(méi)有發(fā)現(xiàn)硬故障，則可以通過(guò)完全重置來(lái)實(shí)現(xiàn)瞬態(tài)故障恢復(fù)。不僅如此：該芯片的布局可最大程度地減少兩個(gè)內(nèi)核共有的錯(cuò)誤。圖3顯示了德州儀器為其Hercules TMS570系列產(chǎn)品采取的一些措施。這些措施包括將兩個(gè)內(nèi)核相互之間以90°的最小間距布置為100μm。

其他鎖步安全微控制器的示例包括Infineon的AURIX，STMicro的SPC5和NXP的S32S24。

人工智能和冗余系統(tǒng)

處理器冗余可能在克服安全關(guān)鍵系統(tǒng)中采用AI的主要障礙方面很有用。問(wèn)題在于，除非非常仔細(xì)地選擇“教學(xué)”圖像，否則用于對(duì)象識(shí)別的深度學(xué)習(xí)會(huì)受到無(wú)意間的偏見(jiàn)。您可以想象這會(huì)導(dǎo)致無(wú)人駕駛汽車(chē)的視覺(jué)系統(tǒng)犯下災(zāi)難性錯(cuò)誤。一種可能的解決方案是使用三重系統(tǒng)，其中，汽車(chē)上運(yùn)行的每個(gè)“推理引擎”都使用從不同圖像集創(chuàng)建的不同數(shù)據(jù)集來(lái)工作。很有可能至少有兩個(gè)處理器可以同時(shí)正確處理它！

滿圈

這些鎖步設(shè)備可以檢測(cè)到瞬時(shí)核心故障，進(jìn)行測(cè)試并完全重置后，將處理器恢復(fù)到完全運(yùn)行狀態(tài)。如果您需要像Saturn V火箭計(jì)算機(jī)這樣的完全容錯(cuò)功能，那么多虧了歐洲航天局，您就可以擁有它。他們創(chuàng)立了LEON系列容錯(cuò)內(nèi)核，這些內(nèi)核可以處理大多數(shù)單事件翻轉(zhuǎn)（由于宇宙粒子的撞擊而不會(huì)中斷服務(wù)）。

冗余（應(yīng)）保存生活

最近發(fā)生的埃塞俄比亞航空公司EA302航班墜機(jī)事件涉及最新版本的波音737客機(jī)，突顯了設(shè)計(jì)上的微小變化會(huì)導(dǎo)致災(zāi)難。所有現(xiàn)代客機(jī)均具有廣泛的冗余安全系統(tǒng)，通常以座艙中“重復(fù)的”飛行員為基礎(chǔ)。復(fù)制的飛行傳感器為復(fù)制的飛行控制計(jì)算機(jī)提供數(shù)據(jù)，并顯示在駕駛艙的每一側(cè)。計(jì)算機(jī)之間會(huì)進(jìn)行交叉核對(duì)，以確認(rèn)有效的傳感器數(shù)據(jù)，并作為最后的備份，飛行員可以俯身比較彼此的讀數(shù)。新型737 Max的問(wèn)題在于，增加了一個(gè)稱(chēng)為MCAS的附加系統(tǒng)，以在起飛過(guò)程中施加全部發(fā)動(dòng)機(jī)功率時(shí)，對(duì)可能的失速情況提供附加警告。鼻子趨于“后仰”，就像摩托車(chē)表演“助步車(chē)”一樣。 737 Max需要此預(yù)警系統(tǒng)，因?yàn)槠涓蟮陌l(fā)動(dòng)機(jī)安裝在更高的位置并向前行駛會(huì)對(duì)原始設(shè)計(jì)的空氣動(dòng)力學(xué)產(chǎn)生負(fù)面影響。

新的預(yù)警系統(tǒng)僅監(jiān)視兩個(gè)攻擊角之一（ AOA）傳感器–鑒于其古老的機(jī)械“風(fēng)向標(biāo)”格式，這種錯(cuò)誤是不可靠的。在航班302上，被監(jiān)視的AOA突然以新MCAS系統(tǒng)只能解釋為猛烈的鼻子俯仰的角度卡住。如果連接了另一個(gè)冗余AOA，將發(fā)出AOA異議警告，然后飛行員可以禁用MCAS。確實(shí)，一個(gè)經(jīng)過(guò)適當(dāng)設(shè)計(jì)的冗余系統(tǒng)也可以使用皮托管傳感器和加速度計(jì)中的信息作為健全性檢查。由于沒(méi)有冗余，故障傳感器使MCAS認(rèn)為即將發(fā)生失速，并將飛行員的控制柱向右推。另一個(gè)致命的設(shè)計(jì)缺陷是假定任何失速情況都是由于飛行員錯(cuò)誤造成的：MCAS迫使操縱桿向前，而飛行員沒(méi)有力量將其拉回。制造商可能已提出AOA異議警告-作為“可選附加項(xiàng)”。在這種情況下，更多的機(jī)器冗余可能節(jié)省了一天的時(shí)間。讓人類(lèi)飛行員有效地“冗余”會(huì)導(dǎo)致災(zāi)難。