[科普中國]-故障安全

簡介

故障安全在計算機(jī)系統(tǒng)或數(shù)據(jù)通信系統(tǒng)中發(fā)生故障或錯誤時，為了使系統(tǒng)不至于完全不能工作而采取適當(dāng)?shù)膶Σ呋虼胧┓Q為故障安全。例如，執(zhí)行中的程序如果發(fā)生錯誤，替代程序便會馬上投入運行，從而使系統(tǒng)能繼續(xù)運轉(zhuǎn)。又如用備用設(shè)備自動切入或備用計算機(jī)接替工作，使得系統(tǒng)能繼續(xù)運行，從而避免造成災(zāi)難性損失。具有故障安全措施的系統(tǒng)稱為故障安全系統(tǒng)(failsafe system)。2

當(dāng)然故障安全系統(tǒng)的性能相對原系統(tǒng)而言可能有些下降。要求鐵路信號設(shè)備或系統(tǒng)一旦發(fā)生安全故障后，能防止出現(xiàn)災(zāi)難性后果自動導(dǎo)向安全一方的重要設(shè)計原則。

故障安全系統(tǒng)對于重要場合下使用的安全性相關(guān)控制系統(tǒng)，在系統(tǒng)設(shè)計中，除了一般可靠性技術(shù)外，還需要采用一種應(yīng)付意外故障的手段，以使電路或系統(tǒng)故障后導(dǎo)向安全，即故障安全技術(shù)。對故障安全技術(shù)和安全系統(tǒng)的研究從20世紀(jì)60年代初就開始了，它主要使用在一些高危系統(tǒng)，例如核反應(yīng)、航空航天和國防軍事等領(lǐng)域，以避免給人類造成巨大的損失和災(zāi)難。

必要性對故障安全技術(shù)和安全系統(tǒng)的研究從20世紀(jì)60年代初就開始了，它主要使用在一些高危系統(tǒng)，例如核反應(yīng)、航空航天和國防軍事等領(lǐng)域，以避免給人類造成巨大的損失和災(zāi)難。從系統(tǒng)安全的后果來分析，可以將其功能損壞和后果分成不同類型，例如以一架航空器的功能安全為例，可以分為：

（1）災(zāi)難性功能破壞，航空器全部功能失效，既不能飛行，也不能著落，其后果是不可接受的；

（2）危險性功能損壞，航空器部分功能喪失，不能完成正常飛行任務(wù)；

（3）嚴(yán)重功能損壞，航空器小部分功能喪失，對飛行有一定影響；

（4）輕微功能損壞，航空器有輕微損傷和功能失效，但是基本上不影響正常飛行。3

特征對于重要場合下使用的安全性相關(guān)控制系統(tǒng)，在系統(tǒng)設(shè)計中，除了一般可靠性技術(shù)外，還需要采用一種應(yīng)付意外故障的手段，以使電路或系統(tǒng)故障后導(dǎo)向安全，即故障安全技術(shù)。

在故障安全技術(shù)的研究中，日本、歐美和我國的學(xué)者作了許多廣泛深入的理論探索，他們的研究在容錯、可靠性和故障安全理論之間建立了密切的聯(lián)系，為故障安全技術(shù)的實際應(yīng)用奠定了堅實的理論基礎(chǔ)。隨著微電子技術(shù)的飛速發(fā)展，一些新穎的故障安全系統(tǒng)已成為結(jié)構(gòu)復(fù)雜的計算機(jī)系統(tǒng)，它們大多具備以下特征：（1）地理上分散或者是一種集散式系統(tǒng)；（2）由于結(jié)構(gòu)的分散性，對涉及控制安全性的信息具有更嚴(yán)格的時限要求，因而是時間相關(guān)的系統(tǒng)；（3）分散的子系統(tǒng)相互關(guān)聯(lián)，其間又有非故障安全單元（例如通信裝置）介入，各個子系統(tǒng)的故障安全性緊密相關(guān)。故障安全系統(tǒng)的這些新特征，要求對故障安全技術(shù)作更深入的研究。4

提高安全性沒能方法數(shù)字系統(tǒng)的安全性可以通過以下兩種方式得到較好的保證：

（1）充分利用系統(tǒng)所采用技術(shù)本身固有的安全性能，保證安全性；

（2）應(yīng)充分利用系統(tǒng)的結(jié)構(gòu)冗余技術(shù)，提高安全性。

利用固有的安全性固有安全性是指為了保證系統(tǒng)的安全，對系統(tǒng)的每一個部件（元器件）在生產(chǎn)、制造過程中，都已經(jīng)考慮到產(chǎn)品的安全性能，并且有一定的安全技術(shù)指標(biāo)特征。由于固有安全性同具體系統(tǒng)、產(chǎn)品有密切關(guān)系，因此無法提出統(tǒng)一的標(biāo)準(zhǔn)或解決方案。

利用結(jié)構(gòu)冗余技術(shù)的安全性結(jié)構(gòu)冗余技術(shù)，可以提高系統(tǒng)的安全性，其主要原理是采用結(jié)構(gòu)冗余技術(shù)后，可以將一部分認(rèn)為有嚴(yán)重后果的狀態(tài)分離出來作為是冗余狀態(tài)，這樣就可以降低發(fā)生嚴(yán)重后果的概率。事實上，這種技術(shù)旨在（如果不能控制系統(tǒng)中故障本身的話）控制系統(tǒng)在發(fā)生故障后所產(chǎn)生的影響和后果，使得系統(tǒng)在有可能發(fā)生嚴(yán)重后果時，立即將系統(tǒng)從該（嚴(yán)重）狀態(tài)轉(zhuǎn)換到一種無害的“中立狀態(tài)”，以免發(fā)生這種嚴(yán)重后果。雖然系統(tǒng)不會繼續(xù)運行，但是也不會產(chǎn)生嚴(yán)重的結(jié)果。3