Привет.
Подскажите пожалуйста существует ли литература по сабжу? Интересует как делать по уму апппаратную избыточность для повышения надежности системы управления.
В моем случае - система управляет силовой электроникой в системах энергоснабжения. И ее отказ приведет к отключению света во многих городах. Пока решаем так - система управления (Процессоры и FPGA) полностью продублирована, включая датчики и разнесена физически, вплоть до того, что в разные здания. Обмен данными между системами только по оптике.
Выходы задублированных систем в виде оптики приходят в один контрольный блок, а с него в виде одного сигнала к исполнительным устройствам - тиристорам. Каждая система имеет встроенную самодиагностику, и блок, основываясь на этих данных решает, данные с какой системы посылать на выход. Контрольный блок сделан очень надежным с минимумом компонентов.
Конечно не самое лучшее решение и оно не всегда работает, поэтому хочется сделать как-то лучше и по уму.
Хочется, чтобы вообще не было Single Point Failure - то есть узлов, отказ которых приводит к выходу из строя всей системы. Горячая замена - тоже интересно как по уму делается.

Почитайте Федоров Ю.Н. "Основы построения АСУТП взрывоопасных производств". В этой книге есть информация по поводу резервирования, дублирования.

или
Федоров Ю.Н. - Справочник инженера по АСУ ТП: проектирование и разработка (2008)
оно, вроде, посвежее

Спасибо, почитаю

Скорее всего то о чем вы говорите можно найти в области работы критических систем,
таких как космос/авиация, впк, ядерные технологии, химия, ж/д. Тот критерий который
был озвучен соответствует требованиям к безопасности например для ж/д и атомных
станций (принцип единичного отказа). Авиация и космос более выдвигают более жесткие
требования.

Относительно литературы - более менее качественная на английском, в чистом виде
консолидированной информации я не находил пока. Начать можно с простых вещей,
как ни странно в лабораторках для ВУЗов хорошо изложен сам подход.

Выкладываю одну их них "Анализ безопасных схем...".

Если будут более предметные вопросы постараюсь ответить.

Почитал я этот справочник - более менее интересно - но он там сконцентрирован на системах безопасности, а мне надо системы управления. Плюс там описывается применение, но не разработка.
Помоему для систем управления подход должен немного отличаться.
Есть еще что-нибудь интересное? Классификация типа 1002,2004 и т.д. - интересная. Есть по ним что-нибудь прочитать кроме стандартов?

Когда я в свое время столкнулся с аналогичной проблемой - выходом послужили материалы
Space Shuttle Technical Conference (NASA,1985) - там детально проанализированы подходы
и рекомендации к проектированию челнока. Идеи резервирования с тех пор не изменились.
Немного выводы расходятся с Федоровым, но как мне кажется из-за специфики приложения,
ведь на земле можно выпасть в "защитный отказ" и ничего, а на борту безопасные но дохлые
мозги никому не нужны.

Почитайте в принципе материалы NASA - в сети можно найти. У меня эти материалы - 67 Мб,
выложу по запросу.

делаю запрос, спасибо!

Попробуйте здесь:
https://rapidshare.com/files/3397393777/Spa...ttle1.pdf?bin=1
https://rapidshare.com/files/1899921035/Spa...ttle2.pdf?bin=1

спасибо

Да, было бы интересно посмотреть на практические, желательно схемотехнические, простые приемы горячего резервирования...Типа есть выходной аналоговый сигнал, который формируется 2-мя одинаковыми блоками, и вот один блок отказал, а сигнал все равно есть ... Как сделать выходной "сумматор", чтобы он на все это не влиял....

К сожалению, ссылки уже не актуальны, а материалы нужные и полезные. Не могли бы "освежить" ссылки? Или положить на фтп? Спасибо!

Предлагаю не использовать термин "гарячее" резервирование - т.к. он неинформативен.
Если имеется ввиду работа в режиме нагруженного резервирования (см. ГОСТ 27.002-89 п.7.8),
то нужно понять что за аналоговый сигнал у вас используется.
В большинстве случаев можно обойтись облегченным или ненагруженным резервированием
и рассмотреть выходной каскад более детально по вашим требованиям.
Рассмотрите допустимое время переключения между каналами - обеспечение достаточно
быстрой коммутации может решить проблему намного быстрее и проще, даже с аналоговым
выходом.

"Освежаю" ссылки

https://rapidshare.com/files/483140708/Spac...ttle1.pdf?bin=1
https://rapidshare.com/files/245387110/Spac...ttle2.pdf?bin=1

Для "суммирования" аналоговых сигналов применяют аналоговый кворум (КЭ), который состоит из ячеек ограничителей тока (ОТ) - см. прикреплённый файл.

ОТ - обычный диодный мост, вертикальная диагональ которого питается источником тока I1 - I3. Если ток сигнала Iс через горизонтальную диагональ меньше тока ограничения Io (вертикальной диагонали), то точки А и Б эквипотенциальны (равны).

Три соединённых ОТ образуют КЭ (можно и два, можно и двадцать два). Если сигналы Е1 - Е3 равны, то на Rн естественно имеем напряжение Е1. Если сигналы не равны, то на Rн будет напряжение, равное среднему по уровню источнику, например,
Е1 = 1 В; Е2 = 5 В; Е3 = 2 В - на Rн будет напряжение, равное Е3 (2 В).
- это так называемое мягкое отключение.

К точкам А и Б каждого подканала надо подключить компаратор, который при превышении заданного порога отключит соответствующий источник тока. - Жёсткое отключение

Из двух оставшихся на выход КЭ пройдёт меньший по уровню сигнал. Если они до отключения первого неисправного были равны, то рывков на Rн не будет.
Если два оставшихся будут иметь разную полярность, то на выходе КЭ будет ноль (иногда надо учитывать). Из двух оставшихся система не сможет выбрать правильный (КЭ как в жизни - два человека могут спорить до посинения), поэтому надо отключать оба.

"Безнадёжность" такого резервирования = 3*Q*Q, где Q - "безнадёжность" одного подканала.

Приведите пример такого случая. Ваша схема не предусматривает обратную полярность источников E1-Е3.

Я не понял, в каком месте она (схема) не предусматривает. Например, Е1 может быть и +1 В, и -1 В. Если останется только, например, Е1= (+1) В и Е2= (-5) В, то на выходе будет ноль.

У нас четыре подканала работают через такие кворум-элементы. Если вследствие разброса параметров два подканала будут чуть-чуть в плюсе, а два других - чуть-чуть в минусе, то в районе нуля образуется зона нечувствительности.

Есть места, очень критичные к зоне нечувствительности, поэтому сигнал искусственно перед КЭ смещается, а после КЭ обратным смещением возвращается на место.

См. приложенный файл.
На первой странице набрана в microCAP схема из трёх подканалов, работающих через КЭ на общую нагрузку.
На второй странице (амплитуда и частота) трёх источников:
v(1) = 10 В, 1 Гц;
v(2) = 9 В, 0,9 Гц;
v(3) = 11 В, 1,1 Гц
и v(6) = напряжение на R1

Это просто пример для понимания, как меняется выходной сигнал КЭ от разброса входных. Нет проблем это смоделировать для двух подканалов (но не дома).

На третьей странице соединение ОТ в кворум-элементы (именно во множественном числе) для частичного резервирования при четырёх подканалах. Например, закорачивание R1 не влияет на сигналы на остальных трёх резисторах. Естественно, питание источников сигнала и сборок ОТ у каждого подканала своё.

Есть случаи, когда надо с трёх подканалов перейти на четыре подканала, при этом, как просили в здесь, без общей точки - для этого надо выкинуть четвёртый источник сигнала и самую нижнюю сборку ОТ.

Я вроде как обещал смоделировать работу двух подканалов с кворум-элементом.

См. прилагаемый файл.
Схему оставил ту же, что и в предыдущем сообщении. Надеюсь, Вы помните сказанное в сообщении №15

Т.е. если Ic > Io, то на выход сигнал не проходит.
Поэтому я просто приравнял амплитуду источников тока первого (верхнего) ОТ (диодного моста) к нулю и, соответственно, ток сигнала первого источника не стал проходить на выход КЭ.

Простите, что подымаю тему. Но вот не нахожу я похожего чего-то по книжкам или стандартам. У меня вроде как и не космос, и не защита для атомных станций. Просто требуется обеспечить отказоустойчивость на высоком уровне, с возможностью полного восстановления системы без остановки.
Пока все решается двумя полностью идентичными системами управления, из которых одна активна, а другая в ждущем режиме. Если активная диагностирует неисправность - переключаемся на ждущую. Неисправную тогда можно ремонтировать вплоть до полного отключения.
Пока проблема в том, что в конце концов сигнал от активной системы подается на управляющие элементы. И это делает недублированный блок, который является единой точкой отказа (SPOF)
Не хочется делать отсебятину - может есть еще какие европейские стандарты по этому поводу? IEC 61508 уже читал. Ближе всего по ихней классификации мне подходит 1oo2D, но только по структуре.

Посоветуйте хорошую книжку (желательно американскую) по резервированным системам управлению и их математическому расчету

На родном языке:
Коваленко А.Е., Гула В.В. - Отказоустойчивые микропроцессорные системы. 1986
Пашковский Г.С. - Задачи оптимального обнаружения и поиска отказов в РЭА (Радио и связь, Надёжность и качество). 1981
Синтез сложных многофункциональных отказоустойчивых систем электроники. А. А. Авакян, В. В. Клюев (Спектр). 2014
Согомонян Е.С., Слабаков Е. В. - Самопроверяемые устройства и отказоустойчивые системы (Радио и связь). 1989
Бортовые системы управления космическими аппаратами: Учебное пособие. Под ред. А.С. Сырова (МАИ-ПРИНТ). 2010
Проектирование и испытание бортовых систем управления. Учебное пособие. Под ред. А.С. Сырова (МАИ-ПРИНТ). 2011

На английском:
http://libgen.io/search.php?req=fault+tole...&column=def

А есть какие то известные цифры, о связи между резервированием и увеличением надежности в аппаратуре, которые опубликованы, и на которые можно просто ссылаться, без собственного расчета?

Я где то слышал, что дублирование повышает надежность в 1.4 раза, а троирование в 1.7. Но сам никогда не считал, не умею. Поэтому хотелось бы увидеть это в виде таблицы, включая четверное резервирование, восьмерное и т.д.

Не совсем уверен в цифрах, но кажется вы правы. Была где-то логарифмическая характеристика надёжности от количества каналов. При количестве каналов больше 3-4 существенного прироста уже не происходит из-за пропорционального увеличения количества элементов, которое в свою очередь, уменьшает надёжность.

Обычно считают так: при дублировании для работы устройства достаточно работы одного канала, поэтому вероятность отказа всего устройства (т.е. обоих каналов одновременно) равна вероятности отказа одного канала, возведенной во вторую степень. При таком расчете не учитывается возможность выдачи каналом недостоверной информации, т.е. для цепей питания пойдет, для информационных - нет. Чтобы обезопаситься от выдачи недостоверной информации используют троирование и мажоритарный элемент для определения наиболее правдоподобного результата.
Стоит почитать ГОСТ Р 51891-2008, ISO 1161_1984 Менеджмент риска. Структурная схема надежности и булевы методы, там хорошо и понятно (что удивительно для стандарта) написано.

По идее, если дублирование дает увеличение надежности в 1.4, а троирование в 1.7, то ближайшая формула - квадратный корень из числа каналов.
Но почему и спрашиваю - хотелось бы взглянуть на готовую таблицу или формулу расчета, а не гадать, или разбираться с методикой.

За ссылку на ГОСТ спасибо, но я пока не готов с ним разбираться. У меня просто казуальный интерес, касающийся проектирования интегральных микросхем для космоса. С одной стороны я в курсе, что почти каждый рад. стойкий чип делается с обязательным аппаратным резервированием (обычно троирование) и мажорированием. Один такой процессор стоит как новые жигули. С другой стороны, ходит слух что тот же Илон Маск положил болт на резервирование на уровне интегральной схемы, и в свои аппараты ставит обычную коммерческую ЭКБ, но с каким то чудовищным (10х, 40х ?)резервированием на уровне аппаратных блоков и узлов. В результате он здорово экономит деньги, а получает результат как минимум не хуже. Поэтому было бы просто интересно узнать (но не считать самому) - как увеличивается надежность при резервировании, скажем, 40х. Если извлечь квадратный корень из 40, получится 6 -что навряд ли (оборудования то стало больше в 40 раз!).

Посмотрите у Тексаса, как они делают резервирование в контроллерах повышенной безотказности, серия "Геркулес" помнится, или еще как то.

Ответ зависит от вида резервирования, показателя надежности, момента времени, закона распределения и др.
Для резервирования с постоянно включенным резервом можете посмотреть книгу В.А. Острейковского "Теория надежности"
В книге редакции 2003 года смотрите раздел 5.2 страница 131, формула 5.9.

Ещё 2 источника полностью отвечающие на вопрос о связи между резервированием и увеличением надёжности в аппаратуре:
Dubrova E. - Fault-Tolerant Design (Springer-Verlag New York). 2013 - раздел 4.2.2 N-Modular Redundancy и диаграмма 4.10.
Фёдоров Ю.Н. - Основы построения АСУТП взрывоопасных производств. Том 1. Методология (Синтег). 2006 - раздел 4.

Спасибо большое!
График интересен, но не понятен. К примеру - что такое лямда-Т. Понял только, что это какое то время, но осталось загадкой, что за точка 0.69 лямда-Т, где все кривые сходятся.
Еще непонятно, что такое R. Это вероятность работы без сбоев - чем дальше, тем ниже? В таком случае смущает, что после времени 0.69 лямда-Т любой (2 и более) резерв даст меньшую надежность, чем у одного канала. Это по теории так - резервирование дает бенефит только ограниченное время, а потом только вредит?

Спасибо, разобрался.

Что вам мешает выходы обеих управляющих половинок дублировать, ставить 2 свича и дублировать входы управления исполнительных устройств/исполнительные устройства ?

Это кто жъ Вам такую чушь сказал?

.

Часто даже опытные электронщики говорят:"чем меньше деталей в схеме - тем она надёжней".
Но это же не правда.
Если бы это было так, то никто бы не делал троированные системы для увеличения надёжности

таких "опытных электронщиков" надо гнать ссаными тряпками.

Еще понятие "надёжность" можно трактовать по разному. В результате в резервированных системах часто отказывающая схема будет БОЛЕЕ НАДЁЖНОЙ, чем схема, где отказы редки.

Странно. ДА?

А я объясню в чем дело.
Просто в той схеме, что отказывает часто, схема диагностики обнаруживает скрытые отказы. И они устраняются.
А в той, что отказывает редко - отказы так и остаются скрытыми. И поэтому есть риск начать работу когда у тебя есть скрытые отказы в резервированной системе


Тем не менее довольно часто встречаю таких "Дядя Вась", которые именно так учат молодёжь: "чем проще схема, чем меньше в ней элементов, - тем она надёжней. Запомни это малец"

Ну почему? Это вполне статистически доказуемое утверждение.


Это как раз выплывает из утверждения выше. Если задачу можно решить только с помощью сложного устройства, но тем не менее требуется определенная высокая надежность, то дешевле сделать резервирование, чем пытаться упрощать.

Я-то думал, сейчас выкладки из статистики и теории надёжности будут. Там это всё правда достаточно просто и наглядно. А тут очередная "аудиофилия с добавлением слёз девственницы в медь и массированием кабелей".


И она постепенно превращается в схему, которая отказывает редко, и тут вы сами себе наступаете на горло:


А ларчик просто открыается:

Если вы необразованы, то несомненно всё именно так.

Простой пример: усилитель можно сделать на одном каскаде. Но почему-то электронщики мудрят, наворачивают схемы стабилизации режима, обратные связи и т.п.
Пример немного по-сложнее: цифровые схемы можно делать с асинхронной работой, иногда это даже работает и дает удовлетворительные результаты. Но, опять же, почему-то крайне рекомендуется синхронный дизайн, хотя схемные решения при этом, в общем случае, сложнее.
Вот и получается, что проблема может иметь простое и всем понятное неправильное решение. А для получения правильного, т.е. стабильно работающего, решения надо схему усложнить. И в результате получить надежно работающую схему.

Нет. Не выплывает.
Утверждение выше говорит, что для увеличения надёжности нужно уменьшать кол-во элементов ("чем меньше элементов - тем надёжней"), а в троированных системах мы его (количество) увеличиваем.


Да куда уж мне. С вами, "образованными", тягаться.
Я просто лет 30 занимаюсь системами с повышенными требованиями к надёжности, поэтому полагал, что моё мнение будет тут не лишним. И возможно, кому-то интересным.
А оказывается нефиг мне было лезть. С суконным-то рылом да в калашный ряд, в общество образованных.


Пожалейте ребят. Не рвите им шаблон. Им дядя Вася сказал, "чем меньше элементов в схеме - тем она надёжней" - и они в это верят.


Очень печально когда умение манипулировать математическими значками заменяет инженеру здравый смысл.

Студент Заборостроительного ? )

Да, но насколько увеличиваем? Дает ли это больший выигрыш в надежности?

Что делать, если количество элементов уменьшить невозможно? Как в примере с усилителем. Как увеличить надежность в этом случае?

Если добавить "холодный резерв" и переключаться на него в случае отказа основного усилителя, то вероятность отказа обоих усилителей сразу равна произведению вероятностей отказа каждого усилителя. Например, если один откажет с вероятностью 1%, то два сразу - уже с вероятностью 0,01%. Конечно, этот расчет без учета надежности переключателя с основного усилителя на резервный.
С аналоговыми схемами реализовать "горячий резерв" сложнее: есть риск, что отказ приведет к нарушению работы исправного блока, например, закоротит выход и основного и резервного усилителей (если их соединить параллельно).

Как минимум в 3 раза при троировании


Если бы не давало - разве бы использовали троирование в ответственных системах управления?


Ответ очевиден: увеличивать кол-во элементов

иногда и однокаскадного достаточно, все эти "навороты" для получения необходимых характеристик при ограничениях элементной базы (технологии для ИМС), а не для надежности
расчет ведется в предположении, что элементы в схеме находятся в ОБР, но ее нужно обеспечить:
плохо спроектированный усилитель будет менее надежен в эксплуатации при меньшем количестве элементов. Например, УНЧ без защиты от КЗ в нагрузке, элементов меньше - надежность по расчету выше, но гореть такой усилитель будет чаще чем УНЧ с защитой (и большим кол-вом элементов)
с "цифрой" почти аналогично, схема с МК без защиты входов тоже меньше элементов содержит

облегчать условия их работы, делать дублирование/троирование блоков

http://stu.scask.ru/book_info.php?id=33

Господа, прекращаем нести отсебятину и пороть чушь. Обращаем свои взоры к основоположнику. DIXI.

Чушь Вы порете. Сейчас. Нашли какую-то книжку и тыкаете ей всем.
А понимания-то нету. Опыта проектирования ответственных систем нету. Умения думать головой никакие книжки не заменят.
P.S.А где в моих словах Вы увидели чушь?

Эх, Мануилыч! На воре, как грится, шапка горит. Я вовсе не имел в виду Вас. Это Вы сами себя в дураки назначили, назвав Клода Шеннона какой-то книжонкой. Во всей красе безумия, так сказать. Больше никому не говорите, что проектируете надежные ответственные системы. Это как не знать закон Ома. Стыдно!

В этой работе впервые была обоснована и доказана возможность построения системы с ЛЮБОЙ наперёд заданной надёжностью из НЕНАДЕЖНЫХ элементов. Отсюда есть пошли все ваши резервирования, троирования и прочие дублирования. Бараны их применяют, не зная основ. Ну как редкий электрик понимает закон Ома. А про тот же закон для полной цепи , Мануилыч, из них не знает никто. Так что прочтите на досуге. Раздвиньте горизонты. Мир так красив!

Как правило книжки пишут ДУРАКИ, графоманы, которые сами НИЧЕГО крупного в жизни не проектировали.
Можно досконально знать всю теорию какая только есть на свете и при этом быть кретином и НИКАКУЩИМ инженером-разработчиком. Много таких видел. "теоретиков". Они теорию знают, а как начинают проектировать, то руки бы им оторвать за то, что они напроектировали.

Поэтому учиться проектированию нужно у практикующих инженеров, а не у графоманов, пишущих макулатуру

Много ли крупных троированных систем управления спроектировал ЛИЧНО Ваш Шенном за свою жизнь?

А я около десятка.
И Вы полагаете, что раз я не написал книжку - я дурней Шеннона?
И таки да. Проектировщики троированных систем, которых я знаю, про Шеннона н ничего не слышали. Он больше известен как математик и как автор теории информации.
Поэтому с ним больше знакомы математики и программисты

Теоретик он короче. А не разработчик