Рассмотрим свойства двух базовых структур безопасных микропроцессорных систем – двухканальной (дублированной) и трехканальной (мажоритарной). В двухканальной системе (рис. 3.16) две одинаковые микроЭВМ работают параллельно во времени. Их аналогичные выходные сигналы сравниваются безопасной схемой сравнения БСС. Сигнал на управление формируется только при совпадении соответствующих сигналов обоих микроЭВМ. Такую систему также называют системой «два из двух» (сокращенно системой "2 Ú 2").

В табл. 3.8 приведены состояния системы в зависимости от состояний каналов. Один канал будем называть системой «один из одного» или системой "1 Ú 1". Схему БСС будем считать абсолютно надежной. Если известна интенсивность отказов  одной микроЭВМ, то показатели безотказности одного канала рассчитываются по формулам:

,                                 (3.8)

,                              (3.9)

.                                  (3.10)

Система «два из двух» работоспособна только в том случае, если работоспособны обе микроЭВМ. Поэтому

,                     (3.11)

,                          (3.12)

,                               (3.13)

.                                  (3.14)

Т а б л и ц а  3.8

На рис. 3.28 показаны соотношения между безотказностью одноканальной и двухканальной систем. Для данного момента времени t вероятность безотказной работы системы "2 Ú 2" уменьшается по сравнению с вероятностью безотказной работы одного канала в  раз. В области малых значений  (  0,1) величина  примерно в 2 раза превышает величину .

Система "2 Ú 2" переходит в опасное состояние только в том случае, если неработоспособны обе микроЭВМ (см. табл. 3.8). Поэтому

,                 (3.15)

,            (3.16)

,                       (3.17)

.                               (3.18)

Пример 3.1. Пусть  = 10^–5  и t = 1000 ч.

Тогда, используя формулы (3.8)–(3.18) получаем для одной микроЭВМ:

 0,99005;  0,00995;  Т = 10⁵ ч = 11,4 года;

для системы "2Ú2":

 0,9802;  0,0198;

 2 × 10^–5; 5 × 10⁴ ч = 5,7 года;

 0,999901;  0,000099;

 1,97 × 10⁷; 1,5 × 10⁵ ч = 17,1 год.

Таким  образом,  по сравнению с одноканальной системой для t = 1000 ч вероятность отказа двухканальной системы увеличилась в 1,99 раза, а средняя наработка до отказа уменьшилась в два раза. В то же время вероятность опасного отказа системы уменьшилась в 100 раз, интенсивность опасных отказов уменьшилась в 50 раз, а средняя наработка до опасного отказа увеличилась в полтора раза.

На рис. 3.28 показано соотношение между безопасностью системы «два из двух» и безотказностью одного канала. Для данного момента времени t вероятность  увеличивается по сравнению с вероятностью безотказной работы одного канала в  раз. Поскольку

 2,

то вероятность безопасной работы двухканальной системы "2 Ú 2" не может превысить вероятность безотказной работы одного канала более, чем в 2 раза. Например, при t = 10Т это превышение составит 1,999955. Чтобы получить бóльшее увеличение безопасности, необходимо увеличивать число каналов (кратность резервирования) в многоканальной системе. В области малых значений  (  < 0,01) величина  примерно в 100 раз меньше величины .

    На рис. 3.29 приведены характеристики надежности системы «два из двух». Имеет место равенство

 – .

Поэтому по отношению к одному каналу в двухканальной системе "2 Ú 2" для произвольного момента времени t приращение вероятности безопасной работы равно убыванию вероятности безотказной работы. Это положение является существенным недостатком системы "2 Ú 2": безопасность обеспечивается за счет уменьшения безотказности. Для устранения данного недостатка применяется реконфигурируемая структура с дублированием двухканальных систем (см. рис. 3.21). Подробно свойства этой структуры рассмотрены в [3.4].

Широкое применение при построении безопасных управляющих систем имеют трехканальные мажоритарные структуры (системы «два из трех» или системы "2 Ú 3"). Такая структура показана на рис. 3.20. В ней три одинаковые микроЭВМ работают параллельно во времени. Их аналогичные выходные сигналы сравниваются безопасными мажоритарными элементами БМЭ. Значение сигнала на выходе БМЭ совпадает со значением сигнала на большинстве входов.

В табл. 3.9 приведена таблица состояний мажоритарной системы в зависимости от состояний каналов. Схема БМЭ считается абсолютно надежной. В крайнем левом столбце таблицы указан номер события. В момент времени t каждая микроЭВМ может быть работоспособной (Р) или неработоспособной (Н). Последнее означает, что за интервал времени 0 … t данный блок отказал хотя бы один раз. Состояние всей системы "2 Ú 3" может быть работоспособным или опасным (О). Полную группу событий составляют восемь событий, перечисленных в табл. 3.9. Из нее следуют принципы работы мажоритарной системы "2 Ú 3":

Т а б л и ц а  3.9

№ события	Состояние				Вероятность i-го события
	микро ЭВМ1	микро ЭВМ2	микро ЭВМ3	Система 2 Ú 3
0	Р	Р	Р	Р
1	Р	Р	Н	Р
2	Р	Н	Р	Р
3	Р	Н	Н	О
4	Н	Р	Р	Р
5	Н	Р	Н	О
6	Н	Н	Р	О
7	Н	Н	Н	О

1) система работоспособна, если работоспособным хотя бы два канала из трех;

2) при отказе двух каналов система переходит в опасное состояние;

3) защитных состояний не существует.

Показатели безотказности системы "2 Ú 3", согласно табл. 3.9, вычисляются по формулам:

           (3.19)

;                 (3.20)

.                         (3.21)

Поскольку все отказы системы "2 Ú 3" являются опасными, то имеют место равенства:

;                           (3.22)

;                           (3.23)

.                               (3.24)

Пример 3.2. Для данных из примера 3.1 имеем:  = 0,9998;  = 0,0002;  = 5,85×10^–7;  = 0,83×10⁵ ч = = 9,47 года. Таким образом, для t = 1000 ч по сравнению с системой "2 Ú 2" вероятность отказа системы "2 Ú 3" уменьшилась в 100 раз, интенсивность отказа – в 34 раза, а средняя наработка до отказа увеличилась в 1,66 раза. Однако вероятность опасного отказа увеличилась в 2 раза, интенсивность опасного отказа – в 2,97 раза, а средняя наработка до опасного отказа уменьшилась в 1,8 раза. По сравнению с одноканальной системой вероятность отказа и интенсивность отказа уменьшились соответственно в 50 и 17 раз. Однако средняя наработка до отказа уменьшилась в 1,2 раза.

На рис. 3.30 показано соотношение между безотказностью систем "2 Ú 3" и "1 Ú 1". Из формул (3.1) и (3.19) получаем

.                        (3.25)

Из графика функции (3.25) следует (см. рис. 3.30, б), что при  имеет место соотношение . Наибольший выигрыш в безотказности достигается при  = 0,28. Для данных из примера 3.2 (  = 10^–5 1/ч) это происходит по истечении времени 0,28 × 10⁵ ч = 3,2 года. При значениях  0,69 (в этом случае  0,5) безотказность системы "2 Ú 3" становится меньше безотказности одного канала. Для примера 3.2 это происходит по истечении 7,88 лет, т.к. при низкой надежности одного канала (р < 0,5) вероятность отказа двух каналов из трех становится больше вероятности отказа одного канала.

По этой же причине средняя наработка до отказа мажоритарной системы (5/6 ) меньше, чем у одного канала (1/ ). На первый взгляд, это представляется серьезным недостатком системы "2 Ú 3". Однако смысл применения отказоустойчивых систем и состоит в том, что они дают существенное повышение надежности в первые годы работы системы. То, что будет с системой по истечении времени Т (в нашем примере через 9,47 года), уже не так важно. К этому времени система либо будет заменена на новую (по причине морального старения), либо ресурс системы будет восстановлен в результате ремонтных и профилактических работ.

На рис. 3.31 приведен график соотношения безотказности систем "2 Ú 3" и "2 Ú 2". Из него следует, что безотказность мажоритарной системы превышает безотказность системы "2 Ú 2" при всех значениях . В области больших значений это превышение равно 3. Безопасность мажоритарной системы, напротив, всегда меньше безопасности системы "2 Ú 2" (рис. 3.32). Это связано с тем, что, как следует из табл. 3.9, в системе "2 Ú 3" все отказы являются опасными. В области малых значений  (  0,2) это уменьшение незначительно. Например, при  = 0,2 по отношению к системе "2 Ú 2" безопасность мажоритарной системы уменьшается на 5,5%, в то время как безотказность увеличивается на 36,3%.

В целом система "2 Ú 3" по сравнению с системой "2 Ú 2" дает существенное увеличение безотказности при определенном уменьшении безопасности. Чтобы улучшить показатели безопасности, сохраняя при этом тот же уровень безотказности, применяется реконфигурируемая мажоритарная структура (рис. 3.22). Подробно свойства этой структуры рассмотрены в [3.4].