系统的可靠性分析与设计：让你的系统"死不了"

📊 17.1 可靠性六大指标——"死"和"修"的数学化

老板要"不死"，你得先量化"死"。可靠性圈子里有六个核心概念，每一个都是一把尺子：

失效率λ(单位时间挂几次)和修复率μ(单位时间修几次)是上面公式的心脏：MTTF=1/λ，MTTR=1/μ。指数分布下，从任意时刻到下次故障的期望时间都相等——这就是为啥宕机总爱在你最忙的时候来。

💥 17.2 系统故障模型——故障的"三态"和"四级"解剖

想防故障，先得分类。三个易混概念先分清：

• 🔴 失效(Failure)：硬件物理改变(芯片烧了)
• 🟡 故障(Fault)：因失效/干扰/设计错误/操作失误引起的硬件或软件错误状态
• 🟢 错误/差错(Error)：故障在程序或数据结构里的具体位置

故障按"持续时间"分三种形态——这才是考点：

故障模型可在四个级别建立，级别越低处理代价越低但覆盖越少：

1. 逻辑级：固定型(线恒0/恒1，接地/短路)、短路(输出=输入)、开路(输出悬空)、桥接(两条不该连的线连上)
2. 数据结构级（差错表现）：独立差错(1位翻转)、算术差错(数据±2ⁱ)、单向差错(向量中若干位同向改变)
3. 软件故障/差错：非法转移、误转移、死循环、空间溢出、数据执行(指令计数器指向数据)、无理数据。软件不会"疲劳衰老"，只跟设计有关
4. 系统级：功能错误——系统输出与设计说明不一致；若无保护机构则导致系统失效

🛠️ 17.3 系统配置方法——三种容错阵型

容错=某些部件挂了系统还能正常工作。你给老板画了三套阵型：

① 单机容错：自检 + 冗余

自检：出非致命故障时自动发现、定位、隔离。需配重复部件/备份部件/多通道，常配合冗余使用。

冗余分四种：硬件冗余(加硬件)、软件冗余(不同算法/不同人写的程序)、时间冗余(指令/程序重复执行)、信息冗余(加数据位)。

两种线路要分清：

• 🔁 重复线路：多个相同元件并联同时工作，只要一个不挂系统就正常
• 📦 备份线路：备份件平时不接入，主件挂了才切过来

② 双机热备份：心跳与三模式

两台服务器+共享磁盘阵列(或各自RAID卡)+双机软件。靠"心跳"信号互通——主从按时间间隔互发状态。主机心跳断了，备机立即接管。

③ 服务器集群：一群装成一个

一组独立服务器在网络中组合成单一系统，对外一个共同名字。任一节点挂了，其应用被另一节点自动接管；应用挂了重启或被接管；客户很快连到其他服务器。共享数据存储空间，各自存OS和应用本地。

🧮 17.4 系统可靠性模型——三种算"可靠"的法子

老板问"你这系统到底有多可靠"，你不能拍胸脯，得拿模型说话。三个经典模型：

① 时间模型(Shooman可靠性增长模型)

假设：t=0时软件故障数是常数，调试越久故障越少。剩余故障数 Er(τ)=E0−Ec(τ)，再除以指令数I归一化。风险函数 Z(t)=C·Er(τ)，可靠度 R(t)=e^(−C·Er(τ)·t)，MTTF=1/(C·Er(τ))。

② 故障植入模型(Mills 1972)

思路很骚：往程序里人为植入N1个已知bug，然后让测试员测，测出k个人为bug，按比例反推固有bug数N0。最大似然估计：N0 = N1·n/k − N1(n=测出总bug数)。前提假设：固有bug和人为bug被检概率相同、人为bug均匀植入、检到立即改。

③ 数据模型(Nelson 1973)

预定输入集E，导致差错的输入集Ee。一次运行出错概率 P1=|Ee|/|E|，一次正常概率 R1=1−P1。n次运行不差错(可靠度) R(n)=R1ⁿ=(1−P1)ⁿ。等概率输入；不等概率则按pi加权。知道每次运行时间就能转成时间模型R(t)。

🔗 17.5 可靠度计算——串联、并联与马尔柯夫

组合模型五假设：系统只两态(运行/失效)、部件只两态、部件失效独立、系统失效当且仅当剩余资源不满足最低要求、已知各部件可靠度。

① 串联系统：一个挂全挂

任意模块失效则系统失败。Rsys = R1·R2·…·Rn（各模块可靠度乘积）。可靠度比最差的还低——木桶效应的极限版。

② 并联系统：全挂才挂

只要一个能运行系统就能运行。失效概率分布 Qsys = Q1·Q2·…·Qn，可靠度 Rsys = 1 − ∏Qi = 1 − ∏(1−Ri)。冗余越多越可靠，但收益递减。

③ 串并联系统

N个并联子系统，每个子系统又由n个元件串联。若各Rij全相等为R：Rsys = 1 − (1 − Rⁿ)ᴺ。

④ 马尔柯夫模型：状态转移的高级玩家

核心：状态 + 状态转移。n模块系统有2ⁿ个状态。基本假设——转移概率只取决于当前状态（无记忆性）。运行→失效转移率=失效率λ，失效→运行转移率=修复率μ。

状态图分n+1层：第1层全运行(1态)，第i+1层有n个模块中i个失效的各种组合，第n+1层全失效(1态)。列出微分方程组 P(t)=T·P(t)，T为状态转移矩阵，这就是查普曼—科尔莫戈罗夫(Chapman-Kolmogorov)方程，常用拉普拉斯变换求解。

🛡️ 17.6 提高可靠性的措施——冗余两大流派

故障掩蔽(防故障→差错) + 系统重组(防差错→失效)，是容错的两条基本途径，都建立在资源冗余上。本节聚焦硬件冗余和信息冗余。

① 硬件冗余：TMR三模冗余

三个相同模块收相同输入，结果送多数表决器——三选二，一个挂了另两个掩蔽它。无修复TMR可靠度 RTMR = Rv·(3Rm² − 2Rm³)，Rm=e^(−λt)。带修复后可靠性大幅提升。表决器自己也可能挂，可对表决器也做3倍冗余。推广为N模冗余NMR（N>3奇数，方便多数表决）。

② 信息冗余：海明码与CRC

海明校验码(Hamming 1950)：k个数据位+r个校验位，码距均匀拉大。每位数据从属多个重叠奇偶组，根据哪些校验位出错可定位到具体哪位出错并取反纠错——检二错纠一错。它是一种(n,k)线性纠错码，用奇偶校验矩阵PCM描述，是(n−k)×n的0/1矩阵。

构造m位码字海明码四步：定最小校验位数k→编m+k位新码字选k校验位满足奇偶→接收方做k个奇偶检查→全对则无错，否则错误位由检查结果唯一确定。

循环冗余校验码CRC：K位信息+R位校验，编码长N=(N,K)码。存在最高次幂R=N−K的生成多项式G(x)。生成四步：G(x)转R+1位二进制→信息码左移R位(即C(x)·2ᴿ)→对G(x)做模2除取R位余数→余数拼到空位得完整CRC码。

💾 17.7 备份与恢复——最后的安全网

故障不可避免，所以得有"后悔药"。两大基础技术：数据转储和日志文件。

数据转储分两种：

• 🧊 静态转储：系统中无事务时转储，干净但需停机
• 🏃 动态转储：转储与事务并发，不影响运行，但副本不能保证完全正确有效

日志文件：把所有事务对系统的修改活动都登记下来。静态转储后可用日志重放恢复避免重跑事务；动态转储可结合副本+转储期间日志做故障恢复。

🏆 本章知识地图