4. 三模冗余（TMR）架构：三取二表决机制、表决器设计（硬件与软件实现）、TMR在航空电子与核电中的应用

各位好，我是老张。今天咱们聊一个在安全关键系统里绕不开的话题——三模冗余，也就是TMR。

说实话，我入行那会儿，第一次接触TMR是在一个航空电子的项目里。当时带我的老工程师跟我说了句话，我到现在还记得：「你想想看，一个系统如果只有一个大脑，那它出错了怎么办？但如果给它三个大脑，少数服从多数，是不是就稳了？」嗯，这就是TMR最朴素的思想。

4.1 三取二表决机制：为什么是“三”而不是“二”或“四”？

先回答一个大家常问的问题：为什么偏偏是三模？两模不行吗？四模不是更安全？

两模冗余，说白了就是双机热备。但这里有个坑——如果两个模块给出不同的结果，你听谁的？这就陷入了死锁。我在一个核电项目中就遇到过这种情况，两个传感器读数不一致，系统直接挂起，等人工裁决。这在航空上是要出大事的。

三模就不一样了。三个模块，两个说对，一个说错，那我们就听多数派的。这就是「三取二」表决机制的核心逻辑。

四模呢？理论上更安全，但成本翻倍，而且表决逻辑复杂得多。我个人习惯，在满足安全等级的前提下，三模是最优解——性价比最高。

表决的数学逻辑其实很简单：

// 三取二表决的真值表逻辑
output = (A & B) | (B & C) | (A & C);
// 只要任意两个一致，就输出那个值

嗯，就这么一行代码。但实际工程里，远没这么简单。

4.2 表决器设计：硬件实现与软件实现

表决器是TMR架构的「裁判」。这个裁判怎么当，有两种思路。

4.2.1 硬件表决器

硬件表决器，说白了就是用逻辑门搭出来的电路。我最早在FPGA上做过一个，用的是三输入与或门。

// VHDL 硬件表决器示例
entity voter is
    Port ( A : in STD_LOGIC;
           B : in STD_LOGIC;
           C : in STD_LOGIC;
           Y : out STD_LOGIC);
end voter;

architecture Behavioral of voter is
begin
    Y <= (A and B) or (B and C) or (A and C);
end Behavioral;

硬件表决器的好处是快，延迟只有几个门级。但有个坑——表决器本身如果坏了怎么办？

4.2.2 软件表决器

软件表决器更灵活，但要注意时序问题。三个模块的计算结果到达表决器的时间可能不同步。

// C语言软件表决器示例
int majority_vote(int a, int b, int c) {
    if (a == b || a == c) {
        return a;  // a与至少一个一致
    } else if (b == c) {
        return b;  // b与c一致
    } else {
        // 三个全不一致，进入错误处理
        return ERROR_STATE;
    }
}

我个人习惯在软件表决器里加一个「投票窗口」——设定一个时间窗口，窗口内收到的有效票才参与表决。超过窗口的，视为超时故障。

对比项	硬件表决器	软件表决器
延迟	纳秒级	微秒级（取决于CPU）
灵活性	低（固化逻辑）	高（可动态调整）
可靠性	高（无软件bug）	依赖OS和编译器
适用场景	高速、硬实时	复杂逻辑、可升级

4.3 TMR在航空电子中的应用

航空电子是TMR的老本行。波音777的飞控计算机系统，用的就是三模冗余架构。三个通道独立供电、独立计算，最后通过表决器输出。

我记得有个案例：一架飞机在飞行中，其中一个飞控计算机的CPU因为宇宙射线发生了位翻转（单粒子翻转）。如果是双模系统，这时候就抓瞎了。但三模系统里，另外两个通道正常工作，表决器直接屏蔽了那个错误通道的输出。飞机照常飞行，飞行员甚至都没察觉到。

4.4 TMR在核电中的应用

核电领域对安全的要求，说实话比航空还严。因为核电站不能像飞机一样「迫降」，一出事就是几十年的事。

核电站的保护系统（RPS，Reactor Protection System）广泛采用TMR架构。比如反应堆紧急停堆系统，三个独立的传感器监测中子通量，任何一个传感器触发停堆信号，系统不会立即动作——必须至少两个传感器同时触发，才执行停堆。

为什么要这么设计？

你想想看，如果一个传感器误报就导致停堆，那核电站三天两头停机，经济上受不了。但如果是真事故，两个传感器同时报，那基本可以确定不是误报。这就是三取二在「安全性」和「可用性」之间的平衡。

// 核电保护系统表决逻辑（简化）
if (sensor1 > THRESHOLD && sensor2 > THRESHOLD) {
    execute_scram();  // 执行停堆
} else if (sensor2 > THRESHOLD && sensor3 > THRESHOLD) {
    execute_scram();
} else if (sensor1 > THRESHOLD && sensor3 > THRESHOLD) {
    execute_scram();
} else {
    // 正常状态，继续监测
}

4.5 本章知识体系总览

下面这张图，是我自己画的TMR知识结构图。你可以把它当作一个「地图」，方便回顾。

这张图把TMR的核心要素串起来了。你从中心往外看，先看表决机制，再看表决器怎么设计，最后落到具体应用。底部的三个「关键设计考量」，是我在实际项目中踩过坑之后总结出来的，建议你重点留意。

---

公众号:蓝海资料掘金营，微信deep3321