Аппаратное дублирование, избыточность, отказоустойчивые системы, горячая замена, Где почитать? Опции

[syoma]

Привет.
Подскажите пожалуйста существует ли литература по сабжу? Интересует как делать по уму апппаратную избыточность для повышения надежности системы управления.
В моем случае - система управляет силовой электроникой в системах энергоснабжения. И ее отказ приведет к отключению света во многих городах. Пока решаем так - система управления (Процессоры и FPGA) полностью продублирована, включая датчики и разнесена физически, вплоть до того, что в разные здания. Обмен данными между системами только по оптике.
Выходы задублированных систем в виде оптики приходят в один контрольный блок, а с него в виде одного сигнала к исполнительным устройствам - тиристорам. Каждая система имеет встроенную самодиагностику, и блок, основываясь на этих данных решает, данные с какой системы посылать на выход. Контрольный блок сделан очень надежным с минимумом компонентов.
Конечно не самое лучшее решение и оно не всегда работает, поэтому хочется сделать как-то лучше и по уму.
Хочется, чтобы вообще не было Single Point Failure - то есть узлов, отказ которых приводит к выходу из строя всей системы. Горячая замена - тоже интересно как по уму делается.

[haker_fox]

"не убиваемыми" судьями.

Уважаемый Ильдус, как я понял вы "в теме" Расскажите, пожалуйста, как делается "судья"? Ведь от него зависит будет ли отключен неисправный элемент. А если даст сбой сам судья? В чём его соль и надёжность? прост как тапок? Или просто считаем, что он не может дать сбой?

Если один вычислитель противоречит двум, то "судья" его исключает.

Были случаи в гражданской авиации, когда из трёх приёмников воздушного давления два выходили из строя (или обмерзали) и каким-то образом выдавали "левые", но одинаковые значения. Судья отключал третьего, который выдавал значения не совпадающие ни с кем, но зато правильные! Вот и нюанс)))

Поэтому не слушайте дураков

В-первую очередь на этом форуме исчезает желание слушать вас, и ваших многочисленных клонов. Страдающих манией величия и уникальными знаниями, недоступными простым людям.

Но когда Вы сгорите, Вам вряд ли будет легче от понимания, что по расчётам получалось, что вероятность отказа дублированной системы даже меньше, чем троированной.

А станет легче от того, что какой-то "умник" с форума призывал не читать книжек, а слушать его советы, не привязанные к жизни?

Вы тут говорили, что разработали таких устройств около десятка. Я даже не прошу показать, т.к. они секретные. Назовите их по пунктам.

Как правило книжки пишут ДУРАКИ, графоманы, которые сами НИЧЕГО крупного в жизни не проектировали.

И откуда такие умники как вы знание-то получаете? В беседах под деревом? Собираетесь в научный кружок, и передаёте знания только избранным?

[Моисей Самуилови...]

Были случаи в гражданской авиации, когда из трёх приёмников воздушного давления два выходили из строя (или обмерзали) и каким-то образом выдавали "левые", но одинаковые значения. Судья отключал третьего, который выдавал значения не совпадающие ни с кем, но зато правильные! Вот и нюанс)))

Учите матчасть на предмет того, от чего защищают троированные системы.
А троированные системы гарантированно защищают от отказа ОДНОГО канала резервирования.
ОДНОГО, Карл

Поэтому всякие инсинуации на тему "а что будет если откажут два канала из трёх" от того, что человек не в теме. "Будет" всё что угодно. Троированные системы и не должны гарантировать правильную работу при отказе более чем одного канала резервирования

В-первую очередь на этом форуме исчезает желание слушать вас, и ваших многочисленных клонов. Страдающих манией величия и уникальными знаниями, недоступными простым людям.
А станет легче от того, что какой-то "умник" с форума призывал не читать книжек, а слушать его советы, не привязанные к жизни?

Я не призываю не читать книжки "теоретиков" и математиков. Я призываю не верить им слепо. Относится к инфе в книжках критически и включать голову. И больше слушать "практиков". Т.е. инженеров, которые сами, лично, проектировали троированные системы

Вот взять хотя бы утверждение Шеннона из-за которого и разгорелся весь "сыр-бор" в данной теме.

Я про то, что "из не надёжных компонентов можно сделать устройство с как угодно высокой степенью надёжности".

Сказать можно всё что угодно.
А ты мне сделай из гавна систему с надёжностью 9 девяток после запятой.
Замучаешься пыль глотать.

Потому что "теория" имеет дело с абстрактными, идеальными обобщенными моделями.
А в жизни всегда есть куча нюансов



Сообщение отредактировал Моисей Самуилович - May 17 2018, 03:28

[тау]

Учите матчасть на предмет того, от чего защищают троированные системы.
А троированные системы гарантированно защищают от отказа ОДНОГО канала резервирования.
ОДНОГО, Карл

возможно ли гарантированно защитить от единичного необратимого отказа (компонента/канала) систему , в которой 90% ( весу/количеству элементов) только дублированные подсистемы а остальные как придется - троированные и т.д ?

[Ильдус]

возможно ли гарантированно защитить от единичного необратимого отказа (компонента/канала) систему , в которой 90% ( весу/количеству элементов) только дублированные подсистемы а остальные как придется - троированные и т.д ?

Напридумывать можно без проблем, например, на реальном самолёте тормозные щитки (ТЩ) дублируётся методом секционирования.
Каждая секция выпускается / убирается подачей питания на электрогидроклапан по двух-проводной схеме.
- Если любой транзистор станет "гвоздиком", то ложного перемещения не будет.
- Если любой транзистор станет изолятором, то сработает одна из секций ТЩ (с пониженной эффективностью).

При проектировании надёжных систем всегда приходится выбирать между "плохо" и "очень плохо"

Прикрепленные файлы

 _________.doc ( 298 килобайт ) Кол-во скачиваний: 20

 

[haker_fox]

При проектировании надёжных систем всегда приходится выбирать между "плохо" и "очень плохо"

Не подскажете, есть ли какие-либо книги, по проектированию (ну или хотя бы подробно описывающие) ЭДСУ, её особенности? Есть, конечно, в сети отрывочные документы для Airbus, но на книги не похоже.

[Моисей Самуилови...]

Не подскажете, есть ли какие-либо книги, по проектированию (ну или хотя бы подробно описывающие) ЭДСУ, её особенности? Есть, конечно, в сети отрывочные документы для Airbus, но на книги не похоже.

Книг очень мало.
И причем у разных авторов зачастую прямо противоположный взгляд на методы резервирования и по разному идут расчеты надёжности.
Так что всё равно самому придётся головой думать

Кроме того, хочу заметить, что в ответственных системах кроме обеспечения низкой "вероятности отказа" не менее важно обеспечивать БЕЗОПАСНОСТЬ. А "надёжность" и "безопасность" - не тождественные понятия

Поэтому даже идут на уменьшение надежности если это приведет к большей безопасности.

Т.е. отказы бывают более критичные и менее критичные.

И зачастую чтобы снизить вероятность "опасного" отказа приходится увеличивать вероятность безопасных отказов

А что касается книг. То даташиты читайте на троированные системы.
Хороших книг по троированным системам управления практически нет.

Сообщение отредактировал Моисей Самуилович - May 17 2018, 18:06

[Ильдус]

. . . . .
Кроме того, хочу заметить, что в ответственных системах кроме обеспечения низкой "вероятности отказа" не менее важно обеспечивать БЕЗОПАСНОСТЬ. А "надёжность" и "безопасность" - не тождественные понятия

Поэтому даже идут на уменьшение надежности если это приведет к большей безопасности.
. . . . .

То, что надёжность и безопасность — не одно и тоже, подтверждается хотя бы наличием стандартов по БНКТ — Безопасность, Надёжность, Контролепригодность и Технологичность, например ГОСТ Р 56079-2014 (в интернете легко найти).

А вот по поводу повышения безопасности за счёт надёжности — не согласен, они скорее дополняют друг друга. Точнее - надёжность является одной (только одной) из составляющих безопасности.

Интернет-коллеги, обратите внимание, что в одном ГОСТе находятся вместе с Безопасностью и Надёжностью ещё Контролепригодность и Технологичность.
- Если изделие не контролепригодно - качество его не возможно проконтролировать, то верить в безопасность и надёжность такого изделия могут только очень наивные.
- Если технология изготовления изделия требует золотые руки дяди Васи, то безопасность и надёжность изделия будут зависеть от того, как похмелился дядя Вася.

. . . . .
. . . сделайте из гамна систему с надёжностью 9 девяток после запятой.
. . . . .

Коллега, извините, зачем Вы так пугаете народ? Девять девяток после запятой — это 1*10 в минус девятой степени (мне так привычнее).

Например, выписка из реальных требований из реального Тех.задания на ЭДСУ для реального самолёта:

Вероятность пассивного отказа аппаратной части, при котором рулевые поверхности и механизация останавливаются или отрабатывают в нейтральное (исходное) положение, должна быть:
- не более 1*10 минус 9 на один час полета для управления РВ;
- не более 1*10 минус 9 на один час полета для управления РН;
- не более 1*10 минус 9 на один час полета для управления элеронами;
. . . . .
Вероятность отказа, приводящего к самопроизвольному перемещению любой управляемой поверхности за пределы зоны детекции отказа не должна превышать 0,5*10 минус 9 на один час полета.
* * * * *
Эти требования обеспечивают четыре работающих в параллель подканала. Расчётная вероятность отказа 10 минус 12 и меньше. Расчёт надёжности согласовывался с экспертами из ЛИИ им. Громова.

Реализовано: на операционных усилителях 140УД6 и 1401УД2; самые маленькие транзисторы — 2Т3117 и 2Т3108; диоды — 2Д510 и матрицы 2Д906; резисторы С2-36 и С2-33Н не менее 0,125 Вт; логика собрана на 564 серии, внешние соединители — СНЦ23. Блоки вторичного электропитания — импульсные, с рабочей частотой 2400 Гц (не ошибка, именно 2,4 кГц).

Вся электроника расположена в двух шкафах по 30 кг, разнесённых по разным бортам. Потребление — 1 кВт.

Сообщение отредактировал Ильдус - May 20 2018, 11:36

[AlexandrY]

Интернет-коллеги, обратите внимание, что в одном ГОСТе находятся вместе с Безопасностью и Надёжностью ещё Контролепригодность и Технологичность.
- Если изделие не контролепригодно - качество его не возможно проконтролировать, то верить в безопасность и надёжность такого изделия могут только очень наивные.
- Если технология изготовления изделия требует золотые руки дяди Васи, то безопасность и надёжность изделия будут зависеть от того, как похмелился дядя Вася.

Например, выписка из реальных требований из реального Тех.задания на ЭДСУ для реального самолёта:

Вероятность пассивного отказа аппаратной части, при котором рулевые поверхности и механизация останавливаются или отрабатывают в нейтральное (исходное) положение, должна быть:
- не более 1*10 минус 9 на один час полета для управления РВ;
- не более 1*10 минус 9 на один час полета для управления РН;
- не более 1*10 минус 9 на один час полета для управления элеронами;

Вы неправильно интерпретируете стандарт.

Контролепригодность - это возможность контроля заданными средствами.
И там не про технологичность, а про ремонтную технологичность

А цифры 10^-9 как-то выглядят нереально.
Т.е. их нельзя перепроверить на промежутке менее 100 лет. А именно такой горизонт принято считать предельным в промышленности.
У самого высокого уровня эффективности защиты в промышленности стоит цифра 10^-7
И эта цифра применяется к рискам с катастрофическими последствиями.

[Ильдус]

. . . . .
А цифры 10^-9 как-то выглядят нереально.
Т.е. их нельзя перепроверить на промежутке менее 100 лет. А именно такой горизонт принято считать предельным в промышленности.
У самого высокого уровня эффективности защиты в промышленности стоит цифра 10^-7
И эта цифра применяется к рискам с катастрофическими последствиями.

Вы о "промышленности", а я об авиации. Для примера выписка из "Библии" разработчиков авиационной техники:
4.7. Отказное состояние (функциональный
отказ, вид отказа системы) может быть отнесе-
но к событиям практически невероятным, если
выполняется одно из следующих условий:
(а) Указанное состояние возникает в резуль-
тате двух и более независимых последователь-
ных отказов различных элементов рассматри-
ваемой системы или взаимодействующих с ней
систем с вероятностью менее 10 в минус 9 на час полета
по типовому профилю;
"Авиационные правила. Часть 25. Нормы лётной годности самолётов транспортной категории"
(См. файл)
* * * * *
Кстати, это согласуется с "Вашими промышленными" 10 в минус 7.
Если мне не изменяет склероз, то в НЛГС (Нормы лётной годности гражданских самолётов СССР) было приведено обоснование этих требований:
– по экономическим соображением и экспертным оценкам для общества приемлема авиакатастрофа (гибель людей) не чаще, грубо говоря, чем один случай на 10 млн. часов полёта (вспоминаем исландский вулкан Э́йяфьядлайё̀кюдль, из-за которого авиационные власти Европы отменили авиарейсы 16—20 апреля 2010 года в его районе – сколько было недовольных пассажиров, а авиакомпании даже проводили опытные полёты без пассажиров для доказательства безопасности). Далее, по экспертным оценкам на абстрактном самолёте 100 критических систем (которые могут угробить пассажиров и экипаж) – отсюда требование 10 в минус 9 степени.
* * * * *
Поскольку эти цифры действительно нельзя проверить опытным путём, то эксперты по авиационной безопасности расчёты надёжности с результатом хуже 10 в минус 12 даже смотреть не будут.
* * * * *
В АП-25 на стр. 236 (электронной) приведены определения разных ситуаций на самолёте с соответствием показателей надёжности.

Странно. В одном из постов вы сказали, что ничего не знали о микроконтроллерах, а о процессорах - только слышали. Вот я и сделал вывод, что сделали на том, что знали. Это не хорошо и не плохо. Если прибор выполняет то, что он него требуют.
. . . . .

Ничего странного! Я же сказал о себе, а не за всю авиацию.
В соседнем отделе разрабатывали (и разработали) систему автоматического управления (САУ-10) на процессоре на тот же Су-27. Но !!! САУ можно отключить. Из той же "Библии" АП-25:
8.2.7.12. При автоматическом управлении
полетом самолета с исправной САУ пилотам
должна быть обеспечена возможность взятия
управления на себя (вмешательства в управле-
ние самолетом) путем воздействия на основные
рычаги управления без каких-либо дополни-
тельных действий по отключению САУ.

На ручке управления самолётом даже есть (была) кнопка КБО - кнопка быстрого отключения САУ. Причём КБО располагалась так, что бы можно было быстро на неё нажать большим пальцем держащей ручку руки.

Т.е. в критических системах к вычислительной технике относились в то время с большой опаской.
К тому же на истребителе военному лётчику платят (или думают, что платят) за то, что он рискует жизнью.
В гражданской авиации пассажир платит, что бы его доставили из тчк. А в тчк. Б без повреждений.

Сообщение отредактировал Ильдус - May 23 2018, 19:59

Прикрепленные файлы

 AP_25.pdf ( 2.75 мегабайт ) Кол-во скачиваний: 13

 

[AlexandrY]

Кстати, это согласуется с "Вашими промышленными" 10 в минус 7.

Далее, по экспертным оценкам на абстрактном самолёте 100 критических систем (которые могут угробить пассажиров и экипаж) – отсюда требование 10 в минус 9 степени.

Да нее...
Я думаю считается так -


Т.е. берем самую обычную ненадежную электронику, хуже чем те же Safety контроллеры с фоток выше и резервируем каждую, т.е. далаем так чтобы поломка была только когда сбойнут обе вместе.
И тогда мы для 100 независимых таких систем и получим ту заветную десятку с 9-ю нулями после запятой.

Очевидный трюк.
В промышленности делается точно также - оговаривается обязательность дублирования функций безопасности.