3. 冗余架构的基本类型与选择准则
冗余架构的设计，本质上是在“故障容忍能力”与“重量、成本、功耗、复杂度”之间寻找平衡点。工程上最常用的分类维度有两个：一是余度数量，即同一功能由几套独立通道并行承担；二是备份工作模式，即备份通道在正常状态下处于何种“待命”程度。两者组合，才构成一个完整的冗余方案描述，例如“三余度热备”或“双余度冷备”。
一、按余度数量划分：双余度、三余度、四余度
双余度（Dual Redundancy）指两条独立通道同时承担同一功能。它只能容忍一次故障：任一通道失效后，系统降级为单通道运行，此时若再发生第二次故障，功能即丧失。因此双余度通常用于“故障概率可接受、且失效后仍可安全降级”的场景，例如某些副驾显示通道、非关键作动回路。其典型判据是：单通道失效率 λ 与任务时间 t 满足 2λt 量级可接受，且降级后仍满足最低安全裕度。
三余度（Triple Redundancy）用三条通道并行工作，核心优势是可表决。三通道输出经多数表决器比较，若一路与另两路不一致，可将其隔离，系统仍以双通道继续运行；再坏一路，才降级为单通道。三余度因此能容忍两次故障，且第一次故障时无需立即降级，适合飞控计算机、大气数据系统等对连续可用性要求高的环节。代价是表决逻辑、通道同步和交叉通道数据链的复杂度显著上升。
四余度（Quadruple Redundancy）在四通道基础上实现“双故障后仍保持双通道表决”，即容忍两次故障后系统仍具备一次表决能力。它常见于电传飞控的主计算机，配合“双-双”分组表决策略：四路先两两比较，再对两组结果表决。四余度可靠性最高，但重量、功耗、布线和维护成本也最高，通常只在安全等级最高的功能上使用。
二、按工作模式划分：冷备、温备、热备
余度数量回答“有几套”，工作模式回答“备份以什么状态存在”。
冷备（Cold Standby）：备份通道平时不通电或不运行，故障时由切换逻辑上电并接管。优点是功耗低、磨损小；缺点是切换存在明显中断（毫秒到秒级），且切换瞬间的瞬态可能引入新风险。适用于对中断不敏感、但要求长时待命的设备，如应急电源、备用液压泵。
温备（Warm Standby）：备份通道通电并运行，但不参与输出，仅保持状态同步或周期自检。切换中断比冷备短，通常在数十毫秒内，且备份通道的健康状态可被持续监控。适用于需要较快接管、又不希望备份长期满负荷参与表决的场合。
热备（Hot Standby）：所有通道同时运行、同时输出，由表决器或仲裁逻辑实时选择结果。切换几乎无中断，故障隔离可在毫秒级完成，是三余度、四余度系统的默认模式。代价是功耗最高、通道间同步要求最严，且共因故障（如共用电源、共用时钟）风险更突出。
三、架构选择权衡方法
实际选型不是“余度越多越好”，而是按以下顺序收敛：
- 确定功能的安全等级与失效后果。若失效导致灾难性后果，至少三余度热备；若仅导致任务中断，双余度温备可能已足够。
- 计算所需的最小余度数。用“允许故障次数 N”反推：双余度容忍 1 次，三余度容忍 2 次，四余度容忍 2 次且保留表决。注意容忍次数不等于可靠度，还需代入通道失效率与任务时间。
- 评估共因故障。若多条通道共用电源、时钟或同一块背板，余度收益会被共因故障大幅抵消。此时应优先做物理隔离（独立电源、独立总线、分区域布线），再谈增加余度。
- 比较切换中断与任务容忍度。中断敏感环节选热备，非敏感环节可用冷备以节省功耗和成本。
- 核算重量、功耗与维护成本。四余度相比三余度，可靠度提升往往不足一个数量级，但重量和功耗可能增加 30% 以上，需用定量指标而非直觉决策。
下面这张图把“余度数量—工作模式—故障容忍—典型应用”四者的对应关系集中呈现，便于在方案评审时快速定位候选架构。
把这张图当作选型起点：先由失效后果锁定安全等级，再由“允许故障次数”确定余度数量，接着检查共因故障是否已隔离，最后用中断容忍度和成本指标在冷备、温备、热备之间做取舍。任何一步不满足，都应回到上一步重新评估，而不是直接堆叠余度。
最后给出一个可复用的判断口径：对某功能，若单通道失效率为 λ、任务时间为 t，双余度系统在忽略共因故障时的失效概率约为 (λt)²，三余度约为 (λt)³，四余度约为 (λt)⁴。数量级上的差异说明：余度提升对可靠度的贡献是乘性而非加性的，但每增加一余度，重量、功耗和同步复杂度的代价却是近似线性的。选型的本质，就是让这条“可靠度增益曲线”与“成本代价曲线”在任务要求处相交。