Аппаратное дублирование, избыточность, отказоустойчивые системы, горячая замена, Где почитать? Опции

[syoma]

Привет.
Подскажите пожалуйста существует ли литература по сабжу? Интересует как делать по уму апппаратную избыточность для повышения надежности системы управления.
В моем случае - система управляет силовой электроникой в системах энергоснабжения. И ее отказ приведет к отключению света во многих городах. Пока решаем так - система управления (Процессоры и FPGA) полностью продублирована, включая датчики и разнесена физически, вплоть до того, что в разные здания. Обмен данными между системами только по оптике.
Выходы задублированных систем в виде оптики приходят в один контрольный блок, а с него в виде одного сигнала к исполнительным устройствам - тиристорам. Каждая система имеет встроенную самодиагностику, и блок, основываясь на этих данных решает, данные с какой системы посылать на выход. Контрольный блок сделан очень надежным с минимумом компонентов.
Конечно не самое лучшее решение и оно не всегда работает, поэтому хочется сделать как-то лучше и по уму.
Хочется, чтобы вообще не было Single Point Failure - то есть узлов, отказ которых приводит к выходу из строя всей системы. Горячая замена - тоже интересно как по уму делается.

[Ильдус]

Извините интернет-коллеги, но, спор об абстрактных дублированных и троированных системах – спор ни о чём.

Например, надо, что бы лампочка ночью обязательно горела. Очень просто: ставим два включателя параллельно, но, при этом возрастает вероятность ложного включения лампочки днём.

А если вместо лампочки пиропатрон в ящике с динамитом? – Два включателя ставим последовательно, но, при этом возрастает вероятность того, что в нужный момент взрыва не будет.
* * * * *
В сложных системах всё сложнее, например, вычислитель автопилота. Ставим параллельно два вычислителя… а что делать, если один вычислитель говорит: "Влево" – а другой – "Вправо"? Ещё должен быть электронный судья, который выключит обоих (!). Безнадёжность возрастает более, чем в два раза, но, лётчик проживёт дольше. Кстати, это дублированная система или как? В моём кругу это называется "канал с контролем".
– У нас двухканальный автопилот это две пары вычислителей. После второго критического отказа лётчик берёт управление на себя.

А если это бесчеловечный САМолёт (сам летает, без лётчика)? – Ставим в параллель три вычислителя и "не убиваемого" судью (правильней говорить: "не убиваемых судей"). Если один вычислитель противоречит двум, то "судья" его исключает. Если появляется разногласие между двумя оставшимися, то "судья" фактически случайным образом оставляет одного – вероятность правильного выбора 0,5.

– Если это было бы три выключателя на лампочку, то говорили бы о троировании, а здесь говорим об одноотказной системе: после любого одного критического отказа функция управления сохраняется.
В электродистанционных системах управления ставят либо три пары вычислителей, либо четыре параллельных вычислителя с "не убиваемыми" судьями.

P.S. Это очень утрировано.

Можете порекомендовать работы по повышению надежности (резервирование и т.п.) аналоговых схем, в том числе - устойчивости к параметрическим отказам?

Посмотрите здесь http://stu.scask.ru/book_ar2.php?id=94

Кворум-элементы (КЭ) обычно дополняются контролем разницы (разбежки) между выходом подканала вычислителя и выходом КЭ. При превышении заданного порога разбежки этот подканал выключается из контура управления.

[Моисей Самуилови...]

Извините интернет-коллеги, но, спор об абстрактных дублированных и троированных системах – спор ни о чём.

Например, надо, что бы лампочка ночью обязательно горела. Очень просто: ставим два включателя параллельно, но, при этом возрастает вероятность ложного включения лампочки днём.

"А мужики-то не знали"©
Судя по Вашим словам Вы только только открыли для себя мир резервированных систем и дивитесь.
Да. Именно так. Как Вы сказали.
И в реальной жизни приходится мириться с недостатками разных схем резервирования.
Приходится делать выбор, что Вам важней: надёжное включение или надёжное выключение.
В ПАЗ-ах важней отключение. Поэтому там мирятся с тем, что велика вероятность ложного отключения. Почему? Потому что "лучше перебдеть, чем недобдеть".
При ложном отключении просто будет материальный ущерб.
А при не отключении - человеческие жертвы.

Поэтому на что-то приходится "закрывать глаза".

Это жизнь.

Это только в книжках всё идеально.
А в реальной жизни приходится идти на компромис

Ильдус
Поэтому не слушайте дураков, которые предлагают Вам сэкономить с десяток тысяч евро за счет использования дублированной системы управления вместо троированной.

Они Вам что-то будут твердить про математику, про вероятность отказа и прочее.
Но когда Вы сгорите, Вам вряд ли будет легче от понимания, что по расчётам получалось, что вероятность отказа дублированной системы даже меньше, чем троированной.

Поэтому где реально ответственные системы и речь идёт о жизни людей, то инженеры не "мудрствуют лукаво" и юсают троированные системы

В системе управления, отказ которой принесёт убыток в сотни миллионов евро вряд ли стоит "экономить на спичках", использую дублирование вместо троирования под эгидой "а это позволит сэкономить нам пару десятков тысяч евро"