9.1 嵌入式系统开发：安全性与可靠性相关基本概念

1、安全性与可靠性的定义

1.1 安全性（Safety）

安全性关注的是系统运行时不会引起危险或不可接受的风险。例如，在工业控制系统中，安全性的关注点可能是确保机器在任何时候都不会对操作人员或者环境造成伤害。

• 目标：防止具有危险性的事故和故障发生。
• 重点：主要是减少或消除事故带来的风险，确保人员和环境的安全。
• 措施：包括风险评估、事故预防策略、安全设计以及紧急应对措施。
• 评价标准：是根据事故发生的概率以及事故后果的严重性来衡量。

1.2 可靠性（Reliability）

可靠性则关注的是系统在规定条件下保持其性能水平的能力，通常与系统的持续正常运行和故障频率密切相关。

• 目标：确保系统在给定时间内能持续正常工作。
• 重点：维持系统的正常运行，减少故障发生。
• 措施：包括使用高质量的组件、优化设计、定期维护以及冗余设计等。
• 评价标准：通常以平均无故障时间（MTBF）等指标来衡量。

2、安全性与可靠性的关系

虽然安全性和可靠性是两个不同的概念，但它们在实践中有交集和相互作用。

• 安全的系统可能频繁失败，但只要不引起事故就可以接受。
•  一个可靠的系统往往会较少出现可能引发不安全事件的故障，但高可靠性并不等同于高安全性。

有时候，一个系统可能非常可靠，却因为一个低概率的重大故障而具有安全风险。相反，一个设计为具有高安全性的系统可能会容忍某些非关键的故障以保障人员和环境不受伤害，即使这样会牺牲一定的可靠性。

例如：

• 在核电站的控制系统中，安全性是最重要的考量，即使在损失部分可靠性的情况下也要确保系统在任何情况下都不会导致辐射泄漏等严重后果。
• 而在数据中心的服务器集群中，尽管安全性也很重要，但可靠性可能是更主要的考虑因素，以确保服务的持续性和数据的完整性。

因此，系统设计时必须同时考虑安全性和可靠性，并根据系统的应用领域和具体需求，制定相应的策略来确保一个合适的安全性和可靠性平衡点。

3、冗余在安全性与可靠性中的作用

• 系统设计中的冗余是识别危险条件或故障并采取纠正措施的必要条件。
• 冗余可以用来增强安全性或可靠性，有时两者兼顾。

3.1 在可靠性中的作用

减少单点故障：

• 冗余通过引入备份部件或系统来减少单点故障的影响。如果一个组件失效，系统可以自动切换到备用组件，继续无缝运行。

提高平均无故障时间（MTBF）

• 多个组件的并联可以增加系统整体的平均无故障运行时间。理论上，如果一个系统由两个具有相同MTBF的独立组件组成，那么这个系统的MTBF将是单个组件的两倍。

容错能力

• 冗余可以帮助系统在部分组件出现故障时继续工作，直至维修或更换，从而提高系统的容错能力。

负载共享

• 在某些系统中，冗余的组件可以共同工作，分担负载，这样即使一个组件性能下降，也不会立即影响到系统的整体性能。

3.2 在安全性中的作用

安全关键系统

• 对于那些需要绝对安全保障的系统，例如医疗设备、航空控制系统等，冗余是一个关键的安全措施。一旦主要系统失效，备用系统将立即接管，保证系统不会因故障而处于危险状态。

风险分散

• 冗余意味着风险的分散。如果一个系统出现致命错误，其他的系统可以维持功能，防止错误蔓延至整个系统。

减少意外故障导致的危险

• 通过冗余设计，即使在某些非预期的故障出现时，也可以确保安全性不受威胁。例如，在飞机上多个独立的飞行控制系统可以确保即使其中一个出现故障，飞机仍然可以安全飞行。

安全监控

•  冗余系统也可以作为实时监控用，以确保主要系统的安全状况。

3.3 实现冗余的方法

硬件冗余

• 如使用多台服务器运行相同的应用程序，或在飞机上使用多个引擎。

软件冗余

• 如应用软件冗余算法，包括错误检测和校正。

数据冗余

• 通过复制数据在多个存储设备上，确保数据不会因单个设备故障而丢失。

时间冗余

• 通过重复读取或计算来校验数据的正确性。

综上所述，冗余是设计高可靠性和高安全性系统时的一个关键因素。它能够在组件出现故障时保持系统的正常运行，减轻故障影响，为安全隐患提供缓冲时间，确保事故和故障不会导致灾难性的后果。然而，冗余也会带来成本、复杂性和重量的增加，因此需要根据系统需求和资源来合理设计冗余级别。

4、故障的类型

在软件工程和系统设计中，故障(分为两类：系统故障(systematic faults)和随机故障(random faults)。两者的特点及区别如下：

4.1 系统故障（Systematic Faults）

系统故障通常是指那些由于系统设计、实现或配置不当而导致的失效模式。它们通常是可重现的，因为它们通常与特定的条件或序列相关。系统故障可以通过改进设计、编程实践、测试和验证来预防和修复。

原因：通常由错误的设计决策、编程错误、硬件设计问题或者操作失误所引起。
特点：可预测性较强，情况常常重复发生。
识别方式：通过代码审查、测试、静态分析等手段可以识别出来。
解决措施：一旦识别出来，可以通过修改设计方案或代码、更新配置等方式修正。
预防措施：增强设计和实现的健壮性，提供良好的文档，进行彻底的测试等。

4.2 随机故障（Random Faults）

随机故障与系统故障相对，它们没有明显的模式，通常是无法预测的。随机故障常常是由于硬件故障（如内存损坏、电路故障等）、外界因素（如电磁干扰、环境因素变化）等原因引起。

原因：通常由不可预测的硬件故障或外部环境影响所引起。
特点：不可预测性强，通常不可重现。
识别方式：难以通过常规测试发现，通常需要长期运行中的监控和故障记录来辅助识别。
解决措施：一般采用冗余备份、错误检测和纠正技术（EDAC）、故障隔离等方法。
预防措施：提高硬件的可靠性，使用故障容忍设计，以及在设计时考虑外部环境因素。

在实际应用中，系统设计者必须考虑这两种故障类型，并采取措施减少故障发生的可能性，提高系统的健壮性和可靠性。例如，高可靠性的系统设计会采用冗余设计、自我修复机制等策略来对抗随机故障，同样，通过精心设计和严格测试，也能大幅降低系统故障發生的机率。

5、安全性与可靠性的共同点

• 安全性和可靠性的处理都需要设计中的冗余。
• 安全性和可靠性的提高通常涉及到不同的设计模式。

以下是这两者之间的一些共同特性：

5.1 预防故障的目的

• 安全性和可靠性都旨在通过预防、减少或控制故障来保护系统不受损害，保障系统和用户的安全。

5.2 系统性能的衡量指标

• 它们都用来衡量系统的性能，尤其是在面临潜在失效情况下的响应能力。

5.3 风险管理

• 安全性和可靠性都涉及到风险管理的策略，通过识别、评估和减缓潜在的风险，降低事故发生的可能性。

5.4 设计理念

• 设计一个系统时都需要考虑这两个方面，以确保系统的稳定运行并防止任何潜在的故障导致危险。

5.5 制定标准和规程的需要

• 在编制和执行标准操作程序（SOPs）、安全规程和质量控制时，通常需要考虑到安全性和可靠性。

5.6 评价和测试

• 为了验证系统的安全性和可靠性，需要进行各种测试和评估，如压力测试、故障模式与影响分析（FMEA）等。

5.7 维护与监控的需求

• 运行和维护系统通常需要定期的检查和监控，以确保高水平的安全性和可靠性。

5.8 提高用户信任

• 一个既安全又可靠的系统能够提高用户或消费者的信任度。

5.9 复杂性的管理

• 在处理复杂系统时，安全性和可靠性都需要通过精心的设计和管理来保持系统运作。

5.10 冗余的使用

• 在两者的实现中，冗余往往是一个共同的策略，既能提高安全性，也能提高可靠性。

尽管二者有这么多共同点，关键的区别在于它们的主要关注点不同: 安全性主要关注预防严重事故和伤害，而可靠性关注的是功能的持续性和预防系统故障。在实际操作中，提高了可靠性往往也会顺带增加系统的安全性，同样，为了安全考虑的设计决策也会使得系统更加可靠。

6、安全性与可靠性的不同点

• 安全措施旨在通过检测不安全条件并采取适当措施来提高安全性。
• 可靠的系统侧重于确保它们正确执行，具有高可用性。

尽管安全性（Safety）和可靠性（Reliability）有很多相似之处，但它们也有一些关键的不同点：

6.1 目标差异

• 安全性的主要目标是防止造成伤害或损害的事故发生，特别是注重防止可能导致人员伤害或环境损害的严重事故。
• 可靠性的目标是确保系统或产品能够在规定的条件和时间内无故障运行，重点是系统功能的持续性和性能的稳定。

6.2 测量标准

• **安全性**的衡量通常基于风险评估和事故发生的概率，以及事故影响的严重程度。
•  **可靠性**则是通过统计数据衡量，常见的量化指标包括平均故障间隔时间（MTBF）和故障率。

6.3 应对措施：

• **安全性**要求设立保护层和风险控制措施。在设计时，安全至关重要的系统可能需要实现故障安全（fail-safe）或者故障隔离（fail-secure）措施。
• **可靠性**则更多关注在组件和系统级别上采取预防措施，如使用经过时间测试的技术，采用优质材料，执行定期维护。

6.4 事故与故障：

• 在**安全性**方面，即使系统可靠性较低，也可能通过设计来保证单个故障不会导致严重后果，例如通过限制系统在故障发生时能执行的操作。
• 在**可靠性**方面，一个系统可能高度可靠，但如果发生故障可能会引发安全事件，因此高可靠性并不总是意味着高安全性。

6.5 例子：

• 消防系统设计时，更注重**安全性**，要保证在紧急情况下能够可靠地启动和操作，即使这意味着日常可能会有较高的误报率。
• 数据中心的UPS（不间断电源）系统的设计，则侧重于**可靠性**，确保在电源中断时能够无缝提供电力，尽管在非关键情况下其可能不会直接危及人身安全。

总结来说，安全性强调避免或最小化可能导致伤害或损失的事件发生；可靠性强调的是产品或系统在预期的生命周期内正常运行的能力。一个安全的系统未必是最可靠的，反之亦然，但理想的是二者都能达到较高标准，形成互补。在实际应用中，通常根据不同场景和需求权衡这两者之间的关系。

7、故障安全状态

• 许多安全关键系统有一个被认为是安全的存在条件，即故障安全状态。
• 故障安全状态通常是“关闭”或断电的状态。

8、安全性与可靠性的管理策略

1. 当系统有故障安全状态时，安全性和可靠性可能相互矛盾。
2. 如果没有故障安全状态，增强可靠性可能会提高安全性。

9、故障处理

9.1 故障发生流程

当一个系统在运行时，可能会遇到多种故障。故障的处理流程通常包含以下几个步骤：

1. **故障检测**：首先，系统需要有能力察觉到自身的异常状态。
2. **故障诊断**：然后，系统要能判定异常的性质和原因。
3. **故障应对**：最后，系统根据故障的类型采取相应措施，如自我修正或进入安全状态。

9.2 冗余的应用

为了保证在故障发生时系统依然可以安全、可靠地运行，可以采取的冗余措施包括：

• **硬件冗余**：引入硬件副本，例如同质或异质冗余，保证如果一个部分失效，其他部分可以接管功能。
• **软件冗余**：在软件级别实施额外的检查点，比如理智检查模式和看门狗模式，以确保数据的正确性及系统的响应。

3. 防故障策略

面对故障，系统可能采用的策略包括：

1. **反馈故障校正**（比如重试操作）
2.  **前馈错误校正**（例如使用数据冗余进行自我修复）
3. 故障可以被内置的冗余机制检测到，这些方法包括：
   • **循环冗余校验（CRC）**：用来检测数据传输或存储过程中的错误。
   • **数据副本比较**：通过保持和比较数据的多个副本来发现不一致性。
4.  **安全模式**（当自我修复不可能时，转入保护状态）
5. **监控响应**（警告监控人员进行人工干预）
6.  **系统重启**（在无法修复的情况下回到初始状态）

10、小结

本章节中所介绍的模式目的是：通过冗余来提高系统的安全性和可靠性。冗余可以用来识别危险条件或故障，并采取适当的措施。例如，如果系统有一个安全状态并且检测到潜在危险，那么正确的做法是进入安全状态。如果系统没有安全状态，那么就需要使用标准的可靠性机制。这些模式通常用于实时系统，以确保时间依赖的处理适当进行。