|
作者：楊福宇 這是二個(gè)真實(shí)的故事，一個(gè)是技術(shù)層面的，知道了對(duì)你可能有用，一個(gè)是管理層面的，可能會(huì)觸動(dòng)你的良心，使你更為堅(jiān)強(qiáng)。 有冗余就不會(huì)再出問題嗎？這里舉出例子，說明冗余只有在關(guān)鍵性部位才有用，如果還存在失效單點(diǎn)，就不能保證不出問題了。這涉及常說的短板理論，短板理論是指水桶的容量由最短的那塊板決定，別的板再長也不起作用。有的控制系統(tǒng)用了多重冗余，那么能否避免通信造成的故障呢？這要看冗余措施是否對(duì)癥下藥，不然也是空有其表。下面是有4重冗余的系統(tǒng)，它依然失效了： https://wiki.sei.cmu.edu/aadl/images/9/97/Honeywell-NetworkModeling-AADL-4-17-12.pdf 
2008年5月13日12：12分NASA的航天飛機(jī)加氫燃料時(shí)發(fā)生了4臺(tái)控制計(jì)算機(jī)的不一致，情況是3比1，3臺(tái)是一致的，3秒之后，不一致變?yōu)?比1比1，診斷時(shí)剩下的2臺(tái)還不一致，4臺(tái)計(jì)算機(jī)變?yōu)?比1比1比1，整個(gè)系統(tǒng)全不一致。但是沒有一臺(tái)計(jì)算機(jī)有錯(cuò)，它們間的通信也沒有錯(cuò)。有錯(cuò)的是MDM FA2儀表盒，它通過多掛接口的總線（類似于MIL STD1553）對(duì)4臺(tái)計(jì)算機(jī)發(fā)消息。查出的結(jié)果是數(shù)據(jù)接口的二極管內(nèi)有一裂紋，將二極管變?yōu)?a href="http://m.qingdxww.cn/keyword/電容" target="_blank" class="relatedlink">電容的特性了。 據(jù)稱，在其它實(shí)踐中還有別的變化例子，如電容變?yōu)?a href="http://m.qingdxww.cn/keyword/電阻" target="_blank" class="relatedlink">電阻，晶體管變?yōu)?a href="http://m.qingdxww.cn/keyword/可控硅" target="_blank" class="relatedlink">可控硅，放大器變?yōu)?a href="http://m.qingdxww.cn/keyword/振蕩器" target="_blank" class="relatedlink">振蕩器。 就通信而言，硬件損壞能造成這樣的后果，軟件故障也能造成這樣的后果，例如在電磁干擾下通信接口會(huì)有局部的暫時(shí)的錯(cuò)，CAN就會(huì)有錯(cuò)幀漏檢，多重冗余的計(jì)算機(jī)就收到不同的值，造成不一致。CAN通信接口會(huì)局部的暫時(shí)的中斷服務(wù)，也就使冗余的計(jì)算機(jī)得不到消息，而造成不一致。 又如有的應(yīng)用采用二條CAN總線來傳送同一條消息，或者在同一CAN總線上送二次。這樣的措施對(duì)錯(cuò)幀漏檢是無效的，因?yàn)槭盏蕉䲢l“合法”的然而值不相同的消息，你是沒法判斷那條是對(duì)的。對(duì)這種拜占庭錯(cuò)要用到專門的表決方法（參見：楊福宇,“分布式嵌入系統(tǒng)中的交互一致性“，《單片機(jī)與嵌入式系統(tǒng)應(yīng)用》，2011, No.3，p.4-7）。當(dāng)采用附加的軟件CRC檢驗(yàn)時(shí)，對(duì)檢驗(yàn)結(jié)果要有一個(gè)反饋消息（ACK或NACK），節(jié)點(diǎn)間對(duì)同一消息要取得一致，更要對(duì)這個(gè)反饋消息實(shí)行表決，通信系統(tǒng)的瑕疵用主機(jī)上的軟件來糾正，需要大量帶寬與充分的響應(yīng)時(shí)間，嚴(yán)格論證多種錯(cuò)誤交互影響時(shí)的失效概率的復(fù)雜性大為增加。 對(duì)于廣大年輕工程師來說，對(duì)自己不了解的東西不妨多問幾個(gè)為什么，不要覺得是對(duì)權(quán)威的不尊重，不要?jiǎng)e人說已經(jīng)有了冗余就認(rèn)為萬事大吉了。當(dāng)你心中有了短板的概念，你就會(huì)找到你的系統(tǒng)可靠性上的短板。你的問題也許正切中了要害，也許幫助澄清了問題，甚至挽救了事業(yè)，避免了危機(jī)。
我在1986年觀看美國挑戰(zhàn)者11號(hào)發(fā)射失敗實(shí)況轉(zhuǎn)播時(shí)的印象是永遠(yuǎn)不會(huì)忘卻的。我在這里提這件事是因?yàn)樗呀?jīng)久遠(yuǎn)，現(xiàn)在當(dāng)權(quán)的人已經(jīng)沒有印象，許多80后的工程師還沒有出生或難以記憶那時(shí)發(fā)生過的事。當(dāng)時(shí)現(xiàn)場的人們就在渡假，無比輕松愉快，孩子們歡呼地送他們的老師進(jìn)入艙門，但是73秒后爆炸奪取了7名宇航員的生命，人們驚恐萬狀，難以面對(duì)這一悲劇。那時(shí)我在英國，與同事談起此事時(shí)，大家的表情都十分沉痛，因?yàn)槟遣恢皇敲绹拇煺�，也是全人類的挫折�，F(xiàn)在，真相已披露出來，請(qǐng)看： 挑戰(zhàn)者號(hào)航天飛機(jī)_百度百科http://baike.baidu.com/view/317208.htm “其實(shí)本來這場事故本來可以避免。在發(fā)射前13小時(shí)，一位重要工程師向公司上級(jí)召開了電話會(huì)議，指出了上次“挑戰(zhàn)者”號(hào)的發(fā)射由于助推器O型環(huán)失效差點(diǎn)毀滅，但上級(jí)由于急著完成快捷而便宜的太空旅行，保持了自己的觀點(diǎn)�！� “博伊斯喬利在總統(tǒng)委員會(huì)的聽證會(huì)上對(duì)瑟奧科爾公司的經(jīng)理們連連發(fā)炮。他的做法受到公司的指責(zé)，公司認(rèn)為他不該把相關(guān)的文件披露給總統(tǒng)委員會(huì)，同事們更是對(duì)他懷恨在心，因?yàn)樗蛩榱怂麄兊摹敖痫埻搿�。�?br /> “挑戰(zhàn)者”的悲劇在于，博伊斯喬利在發(fā)射前6個(gè)月就對(duì)“O圈”提出質(zhì)疑，因?yàn)橐荒昵八H自跑到佛羅里達(dá)，對(duì)上一次發(fā)射時(shí)使用的火箭進(jìn)行了檢查，讓他吃驚的是，第一層“O圈”失靈，熱氣跑了出來，幸運(yùn)的是，第二層“O圈”攔住了熱氣。博伊斯喬利現(xiàn)在仍保存著當(dāng)時(shí)拍攝的“O圈”照片，本應(yīng)是蜜色的潤滑油被熏成了黑色。第一層“O圈”的很多部分不見了，很顯然，它們被烤焦了。他說：“我看到這一切時(shí)，心口像堵上了一團(tuán)棉花。那次發(fā)射，航天飛機(jī)竟然沒有爆炸，簡直是奇跡！” “博伊斯喬利的分析引起了宇航局的注意，把“O圈”列入需要認(rèn)真檢查名單。瑟奧科爾公司也成立了一支“特遣部隊(duì)”，專門解決這一問題。然而，由于器材和人手短缺，課題進(jìn)展緩慢。作為“特遣部隊(duì)”一員的博伊斯喬利給瑟奧科爾公司副總裁發(fā)去一件備忘錄，請(qǐng)求對(duì)“O圈”進(jìn)行全面的更嚴(yán)格的試驗(yàn)。他在備忘錄中寫道：“我誠實(shí)地說，我真的非常擔(dān)心，如果我們不迅速采取措施，不僅發(fā)射會(huì)失敗，連發(fā)射平臺(tái)也會(huì)付之一炬，而最嚴(yán)重的后果將是災(zāi)難性的人機(jī)俱毀！” “討論進(jìn)行了近5個(gè)小時(shí)，宇航局終于表示，它不會(huì)不聽火箭設(shè)計(jì)者的建議而強(qiáng)行發(fā)射。就在這個(gè)時(shí)候，瑟奧科爾公司副總裁請(qǐng)求暫停會(huì)議5分鐘。接著，瑟奧科爾總裁杰里·馬森就開口說：“我們必須作出一個(gè)可操作的決定�！辈┮了箚汤R上意識(shí)到，公司主管為了取悅最主要的客戶——宇航局，態(tài)度已從“不要發(fā)射”變成了“可以發(fā)射”。 公司內(nèi)部的討論持續(xù)了不是5分鐘而是30分鐘。包括博伊斯喬利在內(nèi)的工程師被排除在外，4名高級(jí)經(jīng)理投票贊成發(fā)射。博伊斯喬利站起來，抓起那張被燒毀的“O圈”的照片，放到4名高級(jí)經(jīng)理面前的桌子上。但他們連看都不看。老板隨即接通了電視會(huì)議，通知宇航局，瑟奧科爾的態(tài)度有了變化，“挑戰(zhàn)者”可以發(fā)射。在隨后的一段時(shí)間里，宇航局一直在詢問瑟奧科爾公司關(guān)于發(fā)射的問題，但就是沒有問一問瑟奧科爾高層為什么突然改變了主意，他們只是請(qǐng)瑟奧科爾公司把他們改變主意的原因?qū)懗晌淖�。�?dāng)載著新建議的傳真在午夜時(shí)分傳到卡納維拉爾角時(shí)，宇航局已經(jīng)下定了在第二天上午發(fā)射“挑戰(zhàn)者”的決心。悲劇于是發(fā)生了……“ 我之所以大段引用，是因?yàn)樵谖覀冎車匀淮嬖谥@樣的土壤：有人可以為了一己私利不顧大局；有人可以為了取悅客戶不惜冒險(xiǎn)；有人為了自己的金飯碗打擊那些正直的講科學(xué)的同事；….。 所以當(dāng)你們?cè)谶@種環(huán)境中奮斗時(shí)不僅要增長自己的知識(shí)，更要有負(fù)責(zé)任的決心與勇氣，你的肩上有我們的寄托。 |
