Отказоустойчивость: повышение надежности, доступности и безопасности в критических системах

Системы, лишенные отказоустойчивости, по определению менее надежны. Для инженеров, фокусирующихся на RAMS — надежности, доступности, обслуживаемости и безопасности — проектирование с отказоустойчивостью является, следовательно, существенным, особенно для критического оборудования, где отказ может поставить под угрозу всю систему.

В этой статье мы описываем основные характеристики отказоустойчивых систем и демонстрируем, как избыточное проектирование может повысить надежность.

Что такое отказоустойчивость?

Отказоустойчивость — это способность системы продолжать работу при возникновении сбоя. Высокоотказоустойчивые проекты — будь то через аппаратную избыточность, программную избыточность или активный мониторинг — должны устранять единичные точки отказа (SPOF) для поддержания частичной или полной операции.

Суть отказоустойчивых проектов

Разработка отказоустойчивого дизайна требует глубокого понимания потенциальных режимов отказа на протяжении жизненного цикла оборудования, их корневых причин и последствий. Инженеры должны балансировать желаемую надежность против затрат и ресурсных ограничений. Это заблуждение, что отказоустойчивая система должна защищаться от любого возможного сбоя; вместо этого толерантность должна соответствовать критичности сбоя для достижения затратной эффективности.

Характеристики отказоустойчивых систем

Создание отказоустойчивой системы предполагает намеренные действия на каждом этапе жизненного цикла — спецификация, дизайн, валидация и верификация (V&V), обслуживание, операция и утилизация. Следующие техники обычно применяются:

1. Обнаружение и отображение сбоя
2. Диагностика и локализация сбоя
3. Маскирование и компенсация сбоя

1) Обнаружение и отображение сбоя

Обнаружение — основной элемент любого отказоустойчивого дизайна. Без точного сенсирования сбоя и уведомления последующие слои митигации не могут функционировать. Например, система мониторинга давления в шинах (TPMS) использует датчик давления для оповещения водителя, когда шина перекачана. Единственная приемлемая толерантность в этом случае — точное обнаружение и алертинг; любое корректирующее действие выходит за рамки TPMS.

Представление активации TPMS

2) Диагностика и локализация сбоя

В критических приложениях обнаружение следует диагностическим алгоритмам, которые локализуют сбой и запускают меры по локализации. Распределенная система управления (DCS) для технологического завода мониторит датчики, идентифицирует аномальное давление и автоматически открывает предохранительный клапан для сброса избыточного давления в факел, предотвращая пожар или взрыв.

Представление системы DCS

3) Маскирование и компенсация сбоя

Маскирование сбоя особенно ценно в IoT-оборудовании, где кибератаки могут внедрять ложные данные. Обнаруживая аномальные потоки и подменяя правильные значения, система предотвращает распространение ошибочной информации о состоянии. В электрических сетях SCADA-системы мониторят напряжение и частоту; кибератака, манипулирующая этими пределами, может вызвать отключение электричества. Алгоритмы маскирования защищают от такого вмешательства.

Представление системы SCADA

Улучшение отказоустойчивости через избыточные проекты

Избыточность — развертывание альтернативной системы, способной взять на себя функцию при отказе основной — самый прямой способ повысить отказоустойчивость. Однако слепая избыточность может раздуть стоимость и сложность, поэтому решение должно обосновываться строгим анализом затрат-выгод.

Хотя избыточность улучшает отказоустойчивость, хаотичное добавление систем не должно быть целью, так как стоимость добавления любой новой системы может значительно перевешивать достижимую выгоду надежности.

Типы избыточности широко классифицируются как активные или пассивные.

Активные избыточности

Активная избыточность работает несколькими блоками одновременно. Простой пример — два насоса, работающих на полумощности; вместе они достигают целевого давления. Более продвинутые схемы — K-из-N избыточность и плавная деградация — позволяют подмножеству блоков оставаться онлайн, в то время как другие служат горячими резервами, обеспечивая продолжение операции при отказе компонентов.

K-из-N избыточность держит заданное подмножество блоков работающими, позволяя большему пулу резервов взять управление при отказе. Плавная деградация позволяет производительности системы снижаться пропорционально потере компонентов, избегая необходимости в дорогих идентичных резервных наборах.

Пассивные избыточности

Пассивная избыточность ставит резервное оборудование, активирующееся только при отказе основного. Существует два варианта:

1. Работающие пассивные избыточности — горячие резервы, сидящие в безнагруженных условиях. Например, резервный альтернатор синхронизируется автоматически, если основной альтернатор выходит из строя.
2. Неработающие пассивные избыточности — холодные резервы, которые должны быть включены или запущены вручную. Муниципальный водяной насос, включаемый вручную при отказе основного насоса, — типичный пример.

Методы надежности для анализа отказоустойчивости

Анализ отказоустойчивости опирается на проверенные инструменты инженерии надежности: Анализ режимов отказов и их последствий (FMEA) и Анализ дерева отказов (FTA). FMEA исследует отдельные компоненты снизу вверх, в то время как FTA моделирует распространение отказов сверху вниз. Марковские модели и Монте-Карло симуляции дополнительно kvantифицируют, как вероятности отказов эволюционируют во времени и как неопределенность влияет на общую производительность.

Отказоустойчивость и операции обслуживания

Отказоустойчивые системы не устраняют обслуживание, но они предоставляют буфер безопасности, удлиняющий интервал между вмешательствами. Система компьютерно-помощного управления обслуживанием (CMMS) остается необходимой для планирования корректирующих действий до накопления сбоев, приводящих к катастрофическому отказу. На практике отказоустойчивость дает командам обслуживания передышку, позволяя им приоритизировать критические ремонты, откладывая нескорейшие работы.

Несмотря на более высокие предварительные затраты и сложность дизайна, отказоустойчивые проекты доставляют измеримые приросты в надежности оборудования и времени бесперебойной работы системы.