Bezpieczeństwo

Fail-operational

AktywnyOpublikowano: 24 października 2026Aktualizacja: 24 października 2026Opublikowany

Reżim niezawodności systemów krytycznych, w którym po awarii system nadal realizuje funkcję (choćby zdegradowaną) zamiast się wyłączać. Wymaga redundancji; kluczowy dla pojazdów L4/L5 i lotnictwa.

Kluczowa innowacja

Zamiast przechodzić w stan bezpiecznego wyłączenia po awarii, system nadal realizuje swoją funkcję (choćby w zdegradowanym zakresie), co umożliwia autonomię bez ludzkiego fallbacku.

Kategoria

Bezpieczeństwo

Poziom abstrakcji

Wzorzec

Poziom operacji

SystemSterowanie robotemWdrożenie

Zastosowania

Pojazdy autonomiczne (SAE L4/L5)Układy fly-by-wire w lotnictwieRedundantne sterowanie steer-by-wire i brake-by-wireRedundantne platformy obliczeniowe w robotach mobilnychSygnalizacja i sterowanie w kolejnictwie

Jak działa

System dubluje lub triplikuje krytyczne tory — zasilanie, obliczenia (compute), czujniki oraz aktuatory steer-by-wire i brake-by-wire. Moduł wykrywania i izolacji awarii identyfikuje uszkodzony kanał, a arbitraż lub głosowanie większościowe (np. TMR) odrzuca błędne wyjścia. Po utracie kanału system przechodzi w tryb zdegradowany, realizując minimalną wymaganą funkcję (np. bezpieczny manewr zatrzymania) przy zachowaniu sterowności. Aby redundancja była skuteczna, kanały muszą być niezależne, co ogranicza awarie o wspólnej przyczynie (common-cause failures).

Rozwiązany problem

W systemach autonomicznych pozbawionych ludzkiego fallbacku (pojazdy SAE L4/L5, bezzałogowe statki powietrzne) natychmiastowe wyłączenie po awarii samo w sobie tworzy zagrożenie. Fail-operational zapewnia, że pojedyncza awaria nie pozbawia systemu zdolności do kontrolowanego, bezpiecznego kontynuowania lub zakończenia misji.

Komponenty

Redundantne tory (kanały)Zapewniają zapasową ścieżkę realizacji funkcji po awarii jednego elementu.

Zwielokrotnienie krytycznych komponentów w układzie dual lub triple modular redundancy (TMR); przy TMR trzy podsystemy muszą zawieść, by zawiódł cały system.

Detekcja i izolacja awarii (FDI)Wykrywa uszkodzony kanał i odłącza go od funkcji.

Monitoruje zachowanie torów i rozpoznaje błędy (np. błędne dane, brak komunikatu), umożliwiając rekonfigurację.

Arbitraż / głosowanie większościoweWybiera poprawne wyjście spośród redundantnych kanałów.

W architekturze TMR błąd pojedynczego komponentu zostaje przegłosowany przez dwa pozostałe (majority voting / voting logic).

Kontroler trybu zdegradowanegoUtrzymuje minimalną bezpieczną funkcję po utracie redundancji.

Po awarii przełącza system w ograniczony tryb pracy realizujący bezpieczny manewr (np. kontrolowane zatrzymanie) zamiast nagłego wyłączenia.

Implementacja

Pułapki implementacyjne

Awarie o wspólnej przyczynieWysoka

Redundancja zawodzi, gdy wszystkie kanały dzielą tę samą podatność (np. przepięcie od uderzenia pioruna, wspólna szyna zasilania, identyczny błąd oprogramowania).

Rozwiązanie:Zasilanie z niezależnych szyn, separacja fizyczna i elektryczna oraz redundancja odmienna (dissimilar redundancy / N-version programming).

Złożoność redundancji obniżająca niezawodnośćŚrednia

Redundancja bywa źródłem mniejszej, a nie większej niezawodności: tworzy bardziej złożony system, sprzyja zaniedbaniu obsługi i może prowadzić do przeciążenia przez wyższe wymagania.

Rozwiązanie:Ograniczanie zbędnej złożoności, rygorystyczna walidacja mechanizmów arbitrażu i jasny podział odpowiedzialności za obsługę.