Tryby awarii do rozważenia:

• Przegrzanie. To zmienia właściwości czasowe chipa i ostatecznie prowadzi do błędu. Może się to objawiać jako błędy jednobitowe w trakcie pozornie normalnej pracy; w końcu ulegnie awarii, ale najpierw może wyprowadzić złe dane.
• Szkody spowodowane zalaniem. Przejawia się jako pasożytniczy opór na tablicy i może powodować błędną interpretację bitów jako wysokich lub niskich. Mogą to być nieszczelne obudowy, kondensacja itp.
• Zakłócenia elektromagnetyczne. (System ma być na to odporny, ale nadal warto się nad tym zastanowić).
• Problemy z połączeniem fizycznym. Albo podczas budowy (błędy lutowania), albo wywołane później (ciepło, wibracje). Mikroskopijne pęknięcia w płytach lub złączach mogą przejść kontrolę jakości, ale powodują sporadyczne usterki. Znowu to może cię stracić po kawałku. Jest to związane z problemem „czerwonego pierścienia śmierci” konsoli Xbox.
• Awaria innych składników. Podejrzane są kondensatory; elektrolityczne, tantalowe, ceramiczne mają różne tryby awarii. Znowu może to skutkować systemem, który przeważnie działa, ale jest podatny na błędną interpretację wartości marginalnych lub cierpi z powodu dryfu czasu.
• Dziwna nauka o materiałach ( „Purpurowa plaga”, wąsy cynowe z powodu lutu bezołowiowego)
• Część QA może nie odpowiadać oczekiwanym standardom (dostawcy wysyłają gorsze części z fałszywą etykietą „klasa lotnicza”). Trudne do wykrycia, nawet gdy to się wydarzy.

Ważne jest, aby zdawać sobie sprawę, że w szybkich systemach cyfrowych nie otrzymujesz czystego „jedynki” i „zera”, otrzymujesz serię wznoszące się i opadające krawędzie, które są rozmazane przez pasożytniczą pojemność i indukcyjność okablowania. Jest to z natury podatne na błędną interpretację w marginalnych warunkach elektrycznych.

Jak wskazała inna odpowiedź: CPU może zawieść. Albo częściowo (udzielając błędnych odpowiedzi), albo całkowicie.

Ponadto cały komputer jest poddawany promieniowaniu kosmicznemu, które może raz na jakiś czas przerzucić się trochę w pamięci (oprócz innych źródeł błędów, takich jak zwarcie,. ..). Dlatego eksperymenty naukowe i długotrwałe serwery używają pamięci ECC. Statki kosmiczne używają również specjalnych utwardzonych procesorów, aby ograniczyć ten efekt, ponieważ są mniej chronione przed takimi zakłóceniami. Samoloty latają na dużych wysokościach i są narażeni na więcej takich zakłóceń niż komputer podłączony do ziemi.

Nawet jeśli zdarzenie to jest bardzo rzadkie (ale nie niespotykane), MUSISZ upewnić się, że wyniki są w 100% dokładne. Jeden bit odwrócony może zmienić zachowanie samolotu w nieprzewidywalny sposób, na przykład odwrócenie elementów sterujących, odwrócenie przepisów ochrony obwiedni lotu, ...

Dlaczego krytyczne komputery pokładowe są zbędne?

Oprogramowanie

Jeden punkt, który pominięto, to fakt, że systemy nadmiarowe są często niezależnymi projektami, zwłaszcza oprogramowania. Chroni to przed błędami projektowymi (lub błędami oprogramowania), które w przeciwnym razie mogą powodować problemy w rzadko występujących kombinacjach okoliczności.

Sprzęt

Nawet jeśli mikroprocesor jest wysoce niezawodny, istnieje wiele czynniki, które mogą mieć znaczenie

• samoloty lecą na dużych wysokościach, gdzie atmosfera zapewnia słabszą ochronę przed promieniowaniem kosmicznym. Wpływa to nie tylko na zdrowie załogi, ale może też zakłócać działanie urządzeń elektronicznych.
• Systemy awioniki składają się nie tylko z mikroprocesorów, z pewnością istnieją także inne, bardziej podatne na awarie urządzenia - np. kondensatory. Elektronika może zawieść na niezliczone sposoby, np. awaria uziemienia wywołana wibracjami prowadząca do zakłóceń na liniach danych (np. z czujników analogowych).

Nigdy nie słyszałem o nagłej awarii mikroprocesorów.

Niezawodność ≠ Bezpieczeństwo

• Wiele wypadków ma miejsce bez „awarii” żadnego elementu
  
  • Spowodowane przez sprzęt działanie poza parametrami i ograniczeniami czasowymi, na których oparte są analizy niezawodności.
  • Spowodowane interakcjami wszystkich komponentów działających zgodnie ze specyfikacją.
  • Wysoce niezawodne komponenty niekoniecznie są bezpieczne.

^{Z Nancy Leveson, MIT, przez UCSD}

Wiem, że to pytanie doczekało się już kilku odpowiedzi, ale żadna z nich nie wydaje się odpowiadać na pytanie, dlaczego w zbiorze nadmiarowym są trzy systemy, a nie tylko dwa.

Po pierwsze, jak wskazali Simon, Jan Hudec i RedGrittyBrick, projekty wcale nie są identyczne. W rzeczywistości często są one zupełnie inne z bardzo dobrego powodu: prawdopodobieństwo, że dany problem wpłynie na wszystkie systemy nadmiarowe, a szczególnie wpłynie na wszystkie systemy nadmiarowe w ten sam sposób, wynosi od „małego” do „zupełnie malutkiego graniczącego z nieistniejącym”. Porównaj Jak różne są nadmiarowe komputery kontroli lotu?

Po drugie, dlaczego w każdej nadmiarowej konfiguracji są trzy systemy. Kiedy wszystko działa dobrze i samolot jest w stabilnym locie, dla jakiejś wartości i pewnego zestawu danych wejściowych, wszystkie systemy zgłaszają, że potrzebna jest korekta 0 (dowolnej jednostki). W tym momencie nie ma problemu, a komputery służą jedynie do utrzymania obecnego stanu. Teraz jeden z systemów składowych nie wykonuje swojego zadania poprawnie z jakiegokolwiek powodu i zaczyna raportować, że wymagana jest korekta o +50 jednostek. Oznacza to, że zestaw odpowiedzi zmienia się od [0,0,0] do [0,0, + 50]. Dwa systemy się zgadzają, a trzeci zgłasza coś innego, więc prawdopodobnie możemy bezpiecznie zignorować wartość odstającą i wybrać dwa systemy, które zgłaszają to samo: potraktuj wynik jako [0,0, nieprawidłowy] i zignoruj ​​nieprawidłowy wynik podczas rejestrowania szczegółów technicznych i wyświetlanie jakiegoś wyraźnego ostrzeżenia, że ​​systemy należy przejrzeć jak najszybciej. Ale co by było, gdybyśmy na początku mieli tylko dwa systemy, a jeden z nich zawodzi w ten sam sposób? Określona wymagana korekta wynosi od [0,0] do [0, + 50]. Teraz szybko: która wartość jest prawidłowa? Czy powinieneś zachować stan, czy poprawić o +50?

W tym momencie nie ma sposobu, aby dowiedzieć się , czy poprawianie o 0 lub +50 jest właściwym działaniem. Możesz wziąć średnią, ale użycie średniej z dwóch liczb (z których jedna prawdopodobnie będzie błędna) może w rzeczywistości być gorsze niż każda z tych wartości sama w sobie.

Dodając wartość trzeci system do zestawu redundantnego, dodajesz remis dla sytuacji, w której jest jeden nieprawidłowo działający system. Tylko jeśli dwa z trzech systemów zaczną działać nieprawidłowo w tym samym czasie, masz rzeczywisty problem, a samolot ma takie problemy, że dwa z trzech nadmiarowych systemów dają błędne wyjścia, prawdopodobnie masz poważne problemy na początku .

Większość odpowiedzi dotyczy potencjalnych błędów sprzętu komputerowego i tego typu rzeczy. Chociaż to wszystko prawda, nikt nie wspomniał, na co tak naprawdę patrzą komputery.

Powiedzmy, że zbliżasz się, przygotowujesz się do autolandu CAT III i masz tylko dwa systemy komputerowe. Oba systemy komputerowe porównują systemy wysokościomierzy radiowych nr 1 i 2. Jedynie występuje usterka w jednym z systemów wysokościomierza radiowego, powodująca rozbieżność pewnej arbitralnej wartości, która nie mieści się w granicach.

Skąd komputer wie, który z nich jest nieprawidłowy? Jeden komputer patrzy na system wysokościomierza radiowego nr 1 i widzi 500 stóp. Drugi patrzy na system nr 2 i widzi 1000 stóp. Który z nich jest prawidłowy, a który nie? W jaki sposób komputer mógłby podjąć taką decyzję?

Wpisz trzeci komputer. Jeśli wartość tego, co widzi, współczuje wartości któregokolwiek z pozostałych dwóch komputerów, może skutecznie „głosować” na nieważne czytanie „poza wyspą”.

Powinienem zauważyć, że większość tych komputerów ma od dwóch do czterech procesorów, z których każdy porównuje własne wyniki. To jest WEWNĘTRZNA nadmiarowość, aby uniknąć awarii sprzętu, ale liczne porównania krzyżowe systemów zewnętrznych są w dużej mierze przyczyną istnienia trzeciego systemu.

Uwaga: jako mechanik A&P 9 razy na 10 jest to jeden z systemów zewnętrznych, które uległy awarii (wysokościomierz radiowy, błędne porównanie MMR / ILS itp.), co powoduje pogorszenie możliwości - NIE sam komputer.

Komputery cały czas ulegają spontanicznym awariom. Nie jesteś do tego przyzwyczajony, ponieważ nie korzystałeś z wielu komputerów. Ale pomyśl o kimś takim jak Google, który prowadzi ogromne centra danych zawierające tysiące komputerów. Oprogramowanie działające w Google zostało zaprojektowane w oparciu o wyraźne założenie, że komputery zawodzą, ponieważ dzieje się to wiele razy dziennie. Obecnie samolot nie zawiera zbyt wielu komputerów, ale te, które zawiera, są krytyczne dla bezpieczeństwa. Są więc duplikowane, aby mieć pewność, że ich awaria nie spowoduje problemu.

Jeśli spojrzymy na to ze ściśle inżynierskiego punktu widzenia, mikroprocesory, jak wszystko inne, mają cykl życia. Ogólnie rzecz biorąc, jest to bardzo długie, a komputer, z którego to publikujesz, najprawdopodobniej będzie przestarzały na długo przed pojawieniem się, to cykl życia. Chociaż mikroprocesor nie ma ruchomych części, pobiera dane wejściowe z różnych czujników. Mogę tylko założyć, że wejścia są w jakiś sposób zabezpieczone, ale to nie znaczy, że skoki są całkowicie wyeliminowane i izolowane, jeśli się pojawią. Co za warte, nawet stosunkowo niewielkie przepięcia usmaży mikroprocesor. Mając to na uwadze, aby zachować ostrożność, używanych jest wiele systemów. Wraz ze zmniejszającym się rozmiarem technologii noszenie części zapasowej stało się łatwiejsze i tańsze, więc z punktu widzenia sprzedaży jest to spokój ducha. Znowu lepiej go mieć i nie używać, niż nie mieć go wtedy, gdy tego potrzebujesz.

Aby bezpośrednio odpowiedzieć na Twoje pytanie, od dawna zajmuję się mikroprocesorami, mikrokontrolerami i tym podobnymi. W tym czasie miałem może dwie lub trzy awarie spontaniczne, zwykle związane z upałem. W samolocie może się to nie wydawać problemem, ale w rzeczywistości ekstremalne zimno może powodować problemy, a także ekstremalne ciepło, jeśli chodzi o elektronikę. Biorąc to pod uwagę, wypaliłem niezliczone jednostki, uderzając je przeciążonymi wejściami. Powiedzmy, że w twój samolot uderzyło piorun (wiem, że nowoczesne linie lotnicze są przed tym chronione), ale ze względu na argumenty powiedzmy, że ziemia była zła: to z łatwością wzniosłoby toast za jednostkę.

Uwaga dodatkowa: w dzisiejszych czasach częściej zdarza się, że układy / dyski pamięci ulegają awariom. To jest coś, czego możesz nigdy nie wiedzieć, ponieważ większość nowoczesnych komputerów może radzić sobie z martwą pamięcią, czy to na dysku, czy w pamięci systemowej.

Jeśli chodzi o określoną nadmiarowość, środowisko instalacji tych systemów jest prawdopodobnie największym czynnikiem. Wiele systemów jest nie tylko stłoczonych blisko siebie w ciasnych przestrzeniach, ale przepływ powietrza jest tam często bardzo ograniczony. Ciepło jest wielkim niszczycielem wielu mikroprocesorów. Samoloty również bardzo wibrują z powodu obracających się silników, turbulencji podczas lotu i po prostu lądowania. Słabe połączenia lutowane i niedopracowane zaciski lub luźna tylna powłoka złącza i masz złe połączenie lub, co gorsza, przerywane połączenie.

Jeśli chodzi o ogólną redundancję, jeśli Doświadcz BSOD w pracy, stosunkowo nie jest to wielka sprawa. Mogłeś zgubić dokument, nad którym pracowałeś, ale to wszystko. Jeśli systemy samolotu ulegną awarii, masz prawdziwy problem. Jest to trudne do osiągnięcia, ale istnieje nadmiarowość, ponieważ zależy od niego życie setek ludzi .

Prawdopodobieństwo awarii procesora jest rzeczywiście bardzo niskie, ale nie zerowe. Co się dzieje w przypadku awarii procesora w czasie przejścia między awarią a pełną funkcjonalnością po ponownym uruchomieniu? Czy w przypadku tak rzadkiego wydarzenia moglibyśmy kiedykolwiek zdobyć wystarczające doświadczenie, aby mieć pewność, że przetestowaliśmy wszystkie okoliczności? Mówimy tutaj o liczbach < o wartości 10 $ {- 9} $.

Kopie zapasowe są podatne na ukryte błędy. Kopia zapasowa nie jest zwykle używana i włączana tylko wtedy, gdy jest potrzebna - ale czy coś przerdzewiała lub ma dziwną pleśń umieszczoną w wygodnym ciepłym miejscu i powodującą zwarcie po aktywacji? Murphy nadal nawiedza zastosowania lotnicze. Kopię zapasową można przetestować przed startem, ale co się stanie, jeśli się obluzuje i zawiedzie główny procesor? Szanse są niewielkie, ale wszystkie poważne wypadki w dzisiejszych czasach są spowodowane przez mało prawdopodobne ciągi takich zdarzeń.

Nadmiarowość jest przydatna, ponieważ stale pokazuje, że główne urządzenia działają prawidłowo i jest używana w sytuacjach krytycznych dla lotu . Systemy rezerwowe mogą być używane, jeśli możesz obejść się bez głównego urządzenia lub jeśli masz gwarancję, że rezerwowe będą zawsze działać, jak ręczne uruchamianie elementów sterujących lotem.

Autopilot w rejsie nie jest lot jest krytyczny i może zostać odłączony bez poważnych konsekwencji. Podczas lądowania CAT III, gdzie pas startowy można obserwować tylko podczas jazdy po nim, są one absolutnie niezbędne. Nie chcesz, aby autopilot odłączał się 10 metrów nad pasem startowym, brak widoczności, porywisty boczny wiatr - nie ma czasu na włączenie rezerwy.

Jeśli mikroprocesor jest przegrzany lub przeciążony i spontanicznie zawiedzie, spodziewałbym się, że przestanie robić cokolwiek i nie będzie generował żadnych wyników.

Czy kiedykolwiek przetaktowywałeś procesor lub oglądałeś stary kawałek sprzętu umiera? Możesz uzyskać wszelkiego rodzaju dziwne artefakty, gdy procesor nadal działa.

W samolocie bezpieczeństwo jest ważniejsze niż jakikolwiek inny czynnik (po nim następuje optymalna waga zapewniająca oszczędność paliwa, a na trzecim miejscu jest całkowity koszt). Gdyby samolot nie był bezpieczny, latałoby za mało ludzi, a branża lotnicza upadłaby. Dlatego istnieją przepisy FAA i dlatego istnieje tak wiele przepisów dotyczących linii lotniczych. (kontrola bezpieczeństwa na lotnisku to kolejny temat, związany z bezpieczeństwem narodowym / politycznym z imigracją itp., więc kiedy mówimy `` bezpieczeństwo '' samolotu, mam na myśli inżynierskie)

Krytyczne systemy na pokładzie (tj. systemy, które są wymagane do latania samolotem) będą wymagały redundancji. Podobnie jak palnik w silniku odrzutowym ma 2 zapalniki, chociaż jeden wystarczy. Ponadto, jeśli jeden silnik ulegnie awarii, drugi silnik może latać samolotem, a komputer zrekompensuje nierównowagę sił lewo / prawo. Wiele systemów w samolocie opiera się na komputerze, więc musi on mieć „plan b” (nadmiarowość jest jednym z „planu b”).

Ponieważ, mimo że teoria jest dobra, rzeczywistość jest taka, że ​​nie wszystkie komponenty komputera są równe.

Konkretny przykład z wczesnych lat 90 .: Intel wyprodukował procesor 486/33 (był całkiem nowatorski i niesamowicie szybko na cały dzień). Większość opuściła fabrykę w porządku, ale niektórzy mieli ezoteryczny błąd w FPU, który generował nieprawidłowe odpowiedzi. Dzisiejsze czasopisma były wypełnione obliczeniami, które można było wprowadzić do arkusza kalkulacyjnego, które dałyby X, jeśli twój procesor był dobry, lub Y, jeśli miał błąd.

Jeśli twój samolot leci z jednym z wadliwych procesorów, a akurat właściwy zestaw danych jest zbierany i wprowadzany do dowolnego programu sterującego lotem i napotyka ten błąd FPU, będziesz szczęśliwy, że pozostałe dwa procesory obliczyły prawidłową wartość i wykopały błędny jeden z pętli.