Аппаратное дублирование, избыточность, отказоустойчивые системы, горячая замена, Где почитать? Опции

[syoma]

Привет.
Подскажите пожалуйста существует ли литература по сабжу? Интересует как делать по уму апппаратную избыточность для повышения надежности системы управления.
В моем случае - система управляет силовой электроникой в системах энергоснабжения. И ее отказ приведет к отключению света во многих городах. Пока решаем так - система управления (Процессоры и FPGA) полностью продублирована, включая датчики и разнесена физически, вплоть до того, что в разные здания. Обмен данными между системами только по оптике.
Выходы задублированных систем в виде оптики приходят в один контрольный блок, а с него в виде одного сигнала к исполнительным устройствам - тиристорам. Каждая система имеет встроенную самодиагностику, и блок, основываясь на этих данных решает, данные с какой системы посылать на выход. Контрольный блок сделан очень надежным с минимумом компонентов.
Конечно не самое лучшее решение и оно не всегда работает, поэтому хочется сделать как-то лучше и по уму.
Хочется, чтобы вообще не было Single Point Failure - то есть узлов, отказ которых приводит к выходу из строя всей системы. Горячая замена - тоже интересно как по уму делается.

[Моисей Самуилови...]

Часто даже опытные электронщики говорят:"чем меньше деталей в схеме - тем она надёжней".
Но это же не правда.
Если бы это было так, то никто бы не делал троированные системы для увеличения надёжности

Сообщение отредактировал Моисей Самуилович - Apr 29 2018, 07:31

[syoma]

Часто даже опытные электронщики говорят:"чем меньше деталей в схеме - тем она надёжней".
Но это же не правда.

Ну почему? Это вполне статистически доказуемое утверждение.

Если бы это было так, то никто бы не делал троированные системы для увеличения надёжности

Это как раз выплывает из утверждения выше. Если задачу можно решить только с помощью сложного устройства, но тем не менее требуется определенная высокая надежность, то дешевле сделать резервирование, чем пытаться упрощать.

[Моисей Самуилови...]

Это как раз выплывает из утверждения выше.

Нет. Не выплывает.
Утверждение выше говорит, что для увеличения надёжности нужно уменьшать кол-во элементов ("чем меньше элементов - тем надёжней"), а в троированных системах мы его (количество) увеличиваем.

Если вы необразованы

Да куда уж мне. С вами, "образованными", тягаться.
Я просто лет 30 занимаюсь системами с повышенными требованиями к надёжности, поэтому полагал, что моё мнение будет тут не лишним. И возможно, кому-то интересным.
А оказывается нефиг мне было лезть. С суконным-то рылом да в калашный ряд, в общество образованных.

Простой пример: усилитель можно сделать на одном каскаде. Но почему-то электронщики мудрят, наворачивают схемы стабилизации режима, обратные связи и т.п.
Пример немного по-сложнее: цифровые схемы можно делать с асинхронной работой, иногда это даже работает и дает удовлетворительные результаты. Но, опять же, почему-то крайне рекомендуется синхронный дизайн, хотя схемные решения при этом, в общем случае, сложнее.
Вот и получается, что проблема может иметь простое и всем понятное неправильное решение. А для получения правильного, т.е. стабильно работающего, решения надо схему усложнить. И в результате получить надежно работающую схему.

Пожалейте ребят. Не рвите им шаблон. Им дядя Вася сказал, "чем меньше элементов в схеме - тем она надёжней" - и они в это верят.

Я-то думал, сейчас выкладки из статистики и теории надёжности будут.

Очень печально когда умение манипулировать математическими значками заменяет инженеру здравый смысл.

Сообщение отредактировал Моисей Самуилович - May 2 2018, 18:37

[syoma]

Утверждение выше говорит, что для увеличения надёжности нужно уменьшать кол-во элементов ("чем меньше элементов - тем надёжней"), а в троированных системах мы его (количество) увеличиваем.

Да, но насколько увеличиваем? Дает ли это больший выигрыш в надежности?

Что делать, если количество элементов уменьшить невозможно? Как в примере с усилителем. Как увеличить надежность в этом случае?

[novikovfb]

Да, но насколько увеличиваем? Дает ли это больший выигрыш в надежности?

Что делать, если количество элементов уменьшить невозможно? Как в примере с усилителем. Как увеличить надежность в этом случае?

Если добавить "холодный резерв" и переключаться на него в случае отказа основного усилителя, то вероятность отказа обоих усилителей сразу равна произведению вероятностей отказа каждого усилителя. Например, если один откажет с вероятностью 1%, то два сразу - уже с вероятностью 0,01%. Конечно, этот расчет без учета надежности переключателя с основного усилителя на резервный.
С аналоговыми схемами реализовать "горячий резерв" сложнее: есть риск, что отказ приведет к нарушению работы исправного блока, например, закоротит выход и основного и резервного усилителей (если их соединить параллельно).