计算机科技笔记： 容错计算机设计05 n模冗余系统 TMR 三模冗余系统 K大数表决 & TMR 3-2-1系统

表决器的设计：

• 两个相同结构的温度传感器测得的温度不一定相同。

• K大数表决：

• 两个输出相同的定义：

  • 两个值差异“不大”，表决器容错设置门限的情况：
  • 2大数表决示例：
    

三二一系统

• 三二一系统核心思想是通过降级运行 + 故障检测 + 修复能力，在任务时间较长的情况下，最大限度地延长系统的可靠运行时间。

工作机制

初始状态（三级）：

• 系统有 3 个独立冗余单元（“文化”模块）。
• 同时运行，通过 多数表决（TMR） 来输出结果。
• 正常运行时可抵御 1 个模块故障。

一次故障后（二级）：

• 若检测到 1 个模块故障，系统降级为 双模块系统（DMR）。
• 使用两个模块进行比对，若结果一致，输出可信。
• 同时尝试自检或维护损坏模块。

再次故障后（一级）：

• 若又损坏 1 个模块，系统降级为单模块运行。
• 如果系统具备强自检测能力，可以识别哪个模块是正常的，从而继续运行。
• 但风险较高，因为此时已无冗余。

（可选）维修升级（0级 → 回到3级）：

• 如果系统支持热维护或远程修复，可以在运行状态下修复故障模块，恢复到高冗余级别。
• 这比传统 TMR 更适合长期任务。

可用性计算

若每个模块的可靠度为 $R(t)=e^{-\lambda t}$，则三二一系统可靠性为：

$$R_{\text{321}}(t)=P(\text{3个模块好})+P(\text{2个模块好})+P(\text{1个模块好})$$

$$R_{\text{321}}(t)=C_3^3{R}^3+C_3^2{R}^2(1-R)+C_3^{1}R(1-R{)}^2$$

• 注意：最后一项（只剩一个好模块）只有在系统能识别“哪个是好模块”的前提下才可靠。

对比TMR