4、静态冗余技术：三模冗余（TMR）、双模冗余（DMR）、N模冗余
好，咱们今天聊聊静态冗余。说白了，就是通过多复制几份硬件，让系统在出故障时还能继续干活。这招在航天、核电、金融交易系统里用得特别多。我最早接触这玩意儿，是在一个卫星控制器的项目里——那会儿我才明白，有时候“多就是好”这句话在安全设计里是真谛。
4.1 三模冗余（TMR）——最经典的“三选二”
TMR 是静态冗余里最出名的代表。三个一模一样的模块同时跑，输出结果通过一个“多数表决器”来定。只要两个模块结果一致，系统就认为那是正确的。
核心逻辑：三个模块，两个以上正确，系统就正确。能容忍任意一个模块失效。
我习惯把 TMR 比作“三个臭皮匠，顶个诸葛亮”。但注意，这里不是三个臭皮匠，而是三个一模一样的“诸葛亮”。他们同时算同一个题，然后投票。两个说 5，一个说 3，那系统就认 5。
代码实现其实不复杂，我写个简单的表决器逻辑给你看看：
// 三模冗余表决器（伪代码）
int tmr_vote(int a, int b, int c) {
if (a == b) return a;
if (a == c) return a;
if (b == c) return b;
// 三个全不同？那说明至少两个模块坏了，系统已不可信
return ERROR;
}嗯，这里要注意：如果三个结果全不一样，那系统就彻底挂了。这种情况虽然概率极低，但设计时一定要考虑——我见过有人忘了处理这个分支，结果系统直接崩溃。
避坑指南：我曾经在一个项目中，TMR 的三个模块用的是同一批芯片、同一版固件。结果有个设计缺陷导致三个模块同时出错——表决器投了个寂寞。记住：TMR 只能防随机故障，防不了共性故障。模块之间最好有物理隔离或多样性设计。
4.2 双模冗余（DMR）——两兄弟互相监督
DMR 就两个模块。两个结果一比较，一致就通过，不一致就报错。它不能像 TMR 那样自动纠错，但胜在成本低、结构简单。
你想想看，两个模块同时出错的概率比三个里出两个要低得多。所以 DMR 常用于“检测故障”而不是“容忍故障”。一旦发现不一致，系统就切换到备用模式或触发告警。
| 特性 | TMR | DMR |
|---|---|---|
| 模块数量 | 3 | 2 |
| 容错能力 | 容忍1个故障 | 只能检测不一致 |
| 输出方式 | 自动纠错输出 | 需外部决策 |
| 典型场景 | 航天、核电 | 安全仪表、告警系统 |
我个人习惯在 DMR 里加一个“心跳检测”。两个模块不仅要比较计算结果，还要互相发心跳信号。如果某个模块心跳停了，另一个直接接管。这招我在一个工业控制器里用过，效果不错。
4.3 N模冗余（NMR）——从3到N的扩展
NMR 就是 TMR 的泛化版本。N 个模块，取多数结果。N 通常是奇数，比如 5、7、9。为什么？因为偶数的话可能出现平局——两个对两个，谁说了算？
我见过一个金融交易系统用了 5 模冗余。当时我问架构师为什么不用 3 模？他说：“我们这系统一秒几百万笔交易，错一笔就是几千万。多花点硬件成本，买个安心。” 说白了，N 越大，容错能力越强，但成本也直线上升。
经验之谈：N 模冗余的可靠性公式是：R = Σ(C(N,k) * p^k * (1-p)^(N-k))，其中 k 从 (N+1)/2 到 N。看着复杂，其实意思就是：模块越多，系统越稳。但别盲目堆数量——我见过有人搞了 9 模冗余，结果表决器本身成了单点故障。
4.4 三种技术的选型建议
选哪个？我一般这么判断：
- 预算充足、安全要求极高：上 TMR 或 NMR。航天、核电、自动驾驶这些领域，TMR 是标配。
- 成本敏感、但需要故障检测：用 DMR。比如工业传感器、安全仪表系统，检测到不一致就报警或切换。
- 模块数量不是越多越好：N 越大，表决器越复杂，延迟越高。我做过测试，5 模冗余比 3 模冗余的延迟高了约 30%。
最后说一句：静态冗余不是万能药。它解决的是“硬件随机故障”，但解决不了“设计缺陷”和“共因失效”。我见过一个团队把 TMR 当成了银弹，结果软件里一个空指针异常让三个模块同时崩溃——那场面，啧啧。
好了，静态冗余就聊到这儿。下一节咱们讲讲动态冗余，那又是另一番天地了。