Redundancja systemowa
Jak działa
System wyposaża się w więcej zasobów, niż minimalnie potrzeba do działania. Mechanizm monitorujący (health-check, watchdog, diagnostyka) wykrywa niesprawność elementu, po czym następuje przełączenie awaryjne (failover) na element rezerwowy — natychmiastowe przy hot standby, z opóźnieniem przy warm/cold standby. W architekturach głosujących (TMR/NMR) wiele modułów przetwarza to samo wejście równolegle, a układ głosujący porównuje wyniki i przekazuje dalej wartość wskazaną przez większość, maskując błąd pojedynczego modułu bez przerwy w działaniu. W trybie active-active obciążenie jest rozkładane na wiele węzłów i przy awarii jednego pozostałe przejmują jego ruch. Kluczowe dla skuteczności jest zapewnienie niezależności elementów redundantnych (osobne zasilanie, okablowanie, lokalizacje, a w redundancji programowej — różne implementacje), aby jedna przyczyna nie uszkodziła wszystkich kopii naraz.
Rozwiązany problem
Pojedynczy punkt awarii (single point of failure) powoduje, że uszkodzenie jednego elementu zatrzymuje cały system. Redundancja usuwa ten problem, zapewniając ciągłość działania i bezpieczeństwo mimo awarii pojedynczych komponentów — w systemach, w których przestój lub awaria mają wysoki koszt lub zagrażają życiu.
Komponenty
Fizyczny lub logiczny zasób (zasilacz, dysk, procesor, węzeł, instancja usługi) dodany ponad minimum wymagane do pracy systemu.
Oficjalna
Health-check, watchdog i diagnostyka wykrywające awarię — warunek konieczny skutecznej redundancji; nieuchwycona awaria rezerwy pozostaje ukryta (latent fault).
Układ porównujący wyjścia kilku równoległych modułów i przekazujący wartość wskazaną przez większość, maskując błąd pojedynczego modułu.
Oficjalna
Logika przełączania — natychmiastowa (hot standby), opóźniona (warm/cold standby) lub ciągłe rozłożenie obciążenia (active-active).
Oficjalna
Implementacja
Identyczne elementy redundantne mogą ulec awarii jednocześnie z tej samej przyczyny (ten sam błąd projektowy/programowy, wspólne zasilanie, wadliwa partia sprzętu), co niweczy korzyść z redundancji.
Sam voter lub przełącznik failover może stać się pojedynczym punktem awarii, który obala całą redundancję.
Nieaktywna rezerwa (cold/warm standby) może być uszkodzona niezauważenie i zawieść dopiero w chwili, gdy jest potrzebna.
W systemach rozproszonych utrata łączności może doprowadzić do split-brain, gdy dwa węzły uznają się za aktywne i uszkadzają spójność danych.
Pełna redundancja (2N) podwaja koszt sprzętu, zasilania i utrzymania oraz zwiększa złożoność operacyjną.
Ewolucja
John von Neumann formalizuje budowę niezawodnych układów z zawodnych komponentów (multiplexing / majority voting) — teoretyczna podstawa TMR i NMR.
Redundancja sprzętowa z failoverem trafia do komercyjnych systemów ciągłej dostępności, popularyzując high availability w przetwarzaniu transakcyjnym.
Jazda autonomiczna wymusza zdublowanie sterowania, hamowania, zasilania i torów obliczeniowych, aby system pozostał operacyjny mimo pojedynczej awarii.
Hiperparametry (konfigurowalne osie)
Ile zasobów rezerwowych zapewnia się ponad minimum N. N+1 to jeden element rezerwowy; 2N to pełne zdublowanie niezależnych torów.
Stan gotowości elementu rezerwowego, decydujący o czasie przełączenia i koszcie utrzymania rezerwy.
Czy węzły rezerwowe obsługują ruch na bieżąco (active-active), czy przejmują go dopiero po failoverze (active-passive).
Liczba równoległych modułów w architekturze głosującej; TMR używa trzech, NMR uogólnia to na N modułów.
Stopień różnicowania elementów redundantnych (różne konstrukcje, dostawcy, implementacje, lokalizacje), ograniczający awarie o wspólnej przyczynie.
Wymagania sprzętowe
Redundancja systemowa to zasada architektoniczna niezależna od konkretnego typu sprzętu — stosuje się ją na dowolnej platformie obliczeniowej i infrastrukturze.