2、容错基本概念：故障、错误与失效的定义、容错系统的评价指标、冗余管理的基本思想

各位同学，咱们今天聊点实在的。搞飞控这么多年，我最大的体会就是：飞控系统不怕你功能少，就怕你关键时刻掉链子。容错，说白了就是让系统在出问题的时候还能「扛得住」。这一章，咱们把容错的基本概念掰开揉碎了讲清楚。

2.1 故障、错误与失效——这三个词千万别搞混

我在项目评审会上，经常看到有人把「故障」和「失效」混着用。其实在容错领域，这三个词有严格的层次关系。我习惯用一个比喻来理解：

• 故障（Fault）：是「病根」。比如一个焊点虚焊、一个电阻老化、一段代码被单粒子翻转打翻了。它是物理或设计层面的缺陷。
• 错误（Error）：是「病症」。故障被激活了，系统内部某个状态不对了。比如内存里某个bit从0变成了1，但还没影响到输出。
• 失效（Failure）：是「病发」。错误传播到了系统外部，导致系统不能提供预期服务。比如舵面卡死、输出错误指令。

举个例子。我在某型无人机项目中遇到过：一个加速度计的电源滤波电容虚焊（故障），导致ADC采样值偶尔跳变（错误）。但因为我们做了中值滤波和余度表决，这个错误被抑制了，最终没有导致飞控输出异常（未失效）。你看，这就是容错的价值。

2.2 容错系统的三大评价指标

评价一个容错系统好不好，不能光看它「能不能扛」。你得有量化指标。我个人最看重三个：

指标	英文	定义	我关注的点
可靠性	Reliability	系统在指定时间内、指定条件下，无失效工作的概率	MTBF（平均无故障时间）是硬指标
可用性	Availability	系统在任意时刻能正常工作的概率	MTTR（平均修复时间）直接影响可用性
安全性	Safety	系统发生失效时，不会导致灾难性后果的能力	失效模式影响分析（FMEA）是基本功

你想想看，一个飞控系统如果可靠性很高（MTBF 10万小时），但一旦失效就炸机，那安全性就是0。反过来，如果系统动不动就降级保护，可用性很低，飞行员也会骂娘。所以这三个指标要一起看。

2.3 冗余管理的基本思想

冗余管理，说白了就是「多准备几手牌」。但怎么打这副牌，有讲究。

我把它归纳为四个核心思想：

1. 检测（Detection）：先得知道有没有出问题。常用方法有自检测（BIT）、交叉比较、看门狗等。
2. 隔离（Isolation）：发现问题后，把故障部分「切出去」，别让它污染其他通道。我在项目中用过故障总线隔离电路，效果不错。
3. 重构（Reconfiguration）：把故障通道剔除后，剩下的通道要能重新组织工作模式。比如三余度变双余度，或者降级为单通道。
4. 恢复（Recovery）：如果条件允许，尝试让故障通道恢复。比如复位、重新加载配置等。

下面这张图，是我自己总结的冗余管理核心逻辑，你一看就明白：

这张图展示的是冗余管理的闭环流程。你注意看那个虚线反馈回路——如果恢复失败，系统会重新进入检测和隔离环节。这就是容错系统的「自愈」能力。

2.4 小结

这一章咱们把容错的基本概念捋了一遍。故障、错误、失效，这三个词以后别用错了。评价指标记住三个：可靠性、可用性、安全性。冗余管理的四个步骤：检测、隔离、重构、恢复，这是基本功。

我个人觉得，搞容错设计最重要的不是技术有多炫，而是对故障模式的敬畏。你永远想不到系统会在什么奇葩情况下出问题。所以，多留一手，总没错。

---

公众号:蓝海资料掘金营，微信deep3321