Redundanz (Technik)

aus Wikipedia, der freien Enzyklopädie
Wechseln zu: Navigation, Suche

Redundanz (von lateinisch redundare ‚überlaufen‘, ‚sich reichlich ergießen‘) ist das zusätzliche Vorhandensein funktional gleicher oder vergleichbarer Ressourcen eines technischen Systems, wenn diese bei einem störungsfreien Betrieb im Normalfall nicht benötigt werden. Ressourcen können z. B. redundante Informationen, Motoren, Baugruppen, komplette Geräte, Steuerleitungen und Leistungsreserven sein. In der Regel dienen diese zusätzlichen Ressourcen zur Erhöhung der Ausfall-, Funktions- und Betriebssicherheit.

Man unterscheidet verschiedene Arten der Redundanz: Funktionelle Redundanz zielt darauf ab, sicherheitstechnische Systeme mehrfach parallel auszulegen, damit beim Ausfall einer Komponente die anderen den Dienst gewährleisten. Zusätzlich versucht man, die redundanten Systeme voneinander räumlich zu trennen. Dadurch minimiert man das Risiko, dass sie einer gemeinsamen Störung unterliegen. Schließlich verwendet man manchmal Bauteile unterschiedlicher Hersteller, um zu vermeiden, dass ein systematischer Fehler sämtliche redundanten Systeme ausfallen lässt (diversitäre Redundanz). Die Software von redundanten Systemen sollte sich möglichst in den folgenden Aspekten unterscheiden: Spezifikation (verschiedene Teams), Spezifikationssprache, Programmierung (verschiedene Teams), Programmiersprache, Compiler.

Untergliederung der Redundanzauslegung[Bearbeiten]

  • Heiße Redundanz (engl. Hot-Spare) bedeutet, dass im System mehrere Systeme die Funktion parallel ausführen. Ein Voter bewertet die Ergebnisse anhand des Mehrheitsentscheides (min. 3 parallele Systeme). Es muss gewährleistet sein, dass die Wahrscheinlichkeit für den gleichzeitigen Ausfall von zwei Geräten gegen 0 strebt.
  • Kalte Redundanz bedeutet, dass im System mehrere Funktionen parallel vorhanden sind, aber nur eine arbeitet. Die aktive Funktion wird bewertet und im Fehlerfall durch einen Schalter auf die parallel vorhandene Funktion umgeschaltet. Es muss gegeben sein, dass für die Gesamtaufgabe die Umschaltzeit zulässig ist und das System mit vorhersagbaren Aufgaben arbeitet. Die Zuverlässigkeit des Schalters muss weitaus größer sein als die der Funktionselemente.
  • Standby-Redundanz (passive Redundanz) Zusätzliche Mittel sind eingeschaltet/bereitgestellt, werden aber erst bei Ausfall oder Störung an der Ausführung der vorgesehenen Aufgabe beteiligt.
  • N+1-Redundanz bedeutet, dass ein System aus n funktionierenden Einheiten die zu einem Zeitpunkt aktiv sind und einer passiven Standby-Einheit besteht. Fällt eine aktive Einheit aus, so übernimmt die Standby-Einheit die Funktion der ausgefallenen Einheit. Bei einem weiteren Ausfall einer aktiven Einheit steht das System nicht mehr voll zur Verfügung und wird in der Regel als ausgefallen betrachtet.

Beim Aufbau eines redundant arbeitenden Systems kann man über gleichartige Komponenten zwei Arten unterscheiden, wie sie beispielsweise im Zusammenhang mit der IEC 61508 verwendet wird:

  • Bei einer homogenen Redundanz arbeiten gleiche Komponenten parallel. Mit dieser Auslegung lässt sich der Entwicklungsaufwand durch identische Komponenten reduzieren, die Auslegung sichert aber nur gegen zufällige Ausfälle, z.B. Alterung, Verschleiß oder Bitkipper im RAM durch Störeinstrahlungen.
  • Bei der diversitären Redundanz arbeiten unterschiedliche Komponenten von unterschiedlichen Herstellern zusammen. Dadurch besteht eine gute Aussicht, dass auch systematische Fehler (Konstruktionsfehler) im Betrieb erkannt werden. Da die Entwicklung entsprechend aufwendiger ist (mögliche Gründe: unterschiedliche Berechnungszeiten kompensieren, verschiedene Controller einbinden, mehr Tests) ist der Aufwand entsprechend höher.

Beispiel: Der Pentium-FDIV-Bug wäre mit homogener Redundanz nicht erkennbar. Wenn das System diversitär redundant aufgebaut wird, beispielsweise aus einem Intel- und einem AMD-Prozessor, könnte ein Voter unterschiedliche Berechnungsergebnisse als Fehler erkennen.

Ausfallverhalten redundanter Systeme[Bearbeiten]

Tritt in redundanten Anlagen ein Fehler auf, so sind diesem Ausfallverhalten folgende Begriffe zugeordnet worden:

  1. Fail-Safe bedeutet, dass im Fehlerfall die ausgefallene Anlage nicht mehr zur Verfügung steht und einen beherrschbaren Ausgangszustand einnimmt. Der Ausfall einer Komponente muss durch zusätzliche Maßnahmen in der Anlage zu einem beherrschbaren Endergebnis führen. Ein Beispiel dafür wären gegenüber der Automatik im manuellen Betrieb größer dimensionierte Hydraulikzylinder. So kann gewährleistet werden, dass man mit einer manuellen Maßnahme eine fehlerhafte Automatik immer „überstimmt“.
  2. Fail Passive bedeutet, dass die Anlage aus 2 Fail-Safe-Systemen aufgebaut sein muss und über eine Fehlererkennung und Fehlerunterdrückung verfügen muss. Beide Systeme müssen ihre Ausgangsergebnisse miteinander vergleichen können. Kommen sie zu verschiedenen Ergebnissen, muss das resultierende Ausgangsergebnis Null sein. Somit verhält sich die Anlage passiv.
  3. Fail Operational bedeutet, dass die Anlage im Fehlerfall weiterarbeitet. Die Anlage nimmt keinen Fehlerzustand ein, sie bleibt operativ. Um das zu erreichen, muss die Anlage mindestens aus 3 Systemen bestehen, die ebenfalls über eine Fehlerdiagnose und Fehlerunterdrückung verfügen müssen. Durch den Vergleich der Systeme untereinander lässt sich herausfinden, dass ein Fehler vorliegt und auch welches System den Fehler hat. Diesen Anlagenaufbau kann man dann auch als fehlertolerant bezeichnen.[1]

Industrielle Anwendungen[Bearbeiten]

In der Anlagentechnik unterscheidet man zwischen zwei Fällen:

Siehe auch[Bearbeiten]

Einzelnachweise[Bearbeiten]

  1. http://www.easa.eu.int/home/certspecs_en.html Certification specifications all weather operations der EASA (CS-AWO)