波音737——两个发动机，坏一个还能飞。空客A380——四个发动机，坏两个还能飞。两个型号，两种思路，但骨子里是同一个逻辑：不把鸡蛋放在一个篮子里。这就是冗余设计。
但同样是“多保险”，NASA用三台计算机同时计算、相互校验，而你家楼下停车场的道闸——就是个直流电机直接驱动，没有任何备份。
为什么？
因为冗余设计从来不是技术问题，是经济问题。
01 冗余的逻辑：1oo2到底好在哪？
先说最简单的情况：两台一模一样的东西，并联着跑，只要有一台活着系统就不崩。
这叫“1-out-of-2”，简称1oo2。
R_{1oo2}(t) = 2R – R² = 1 – (1-R)²
你可能觉得这公式眼熟——对，它跟并联系统公式完全一样。并联就是冗余，冗余就是并联。
区别在于：并联是空间上的备份，冗余是时间上的接力。并联的两台同时跑，冗余的两台一主一备。
02 三种冗余，各有各的命
主动冗余（Hot Standby）：两台一起跑
最直接的思路：两台设备同时上电、同时跑、相互盯着。
坏了一台？另一台无缝接管，用户完全感知不到。
-
优点：切换时间接近零，可靠性极高
-
缺点：两台设备同时跑，磨损也同时发生，第一台坏的时候第二台也已经疲劳了
备用冗余（Cold Standby）：平时闲着，用时启动
跟主动冗余相反：备用设备平时不上电，完全不磨损、不老化。只有主设备挂了，才通电启动。
-
优点：备用设备几乎零损耗，寿命等于主设备；理论MTTF提升更显著
-
缺点：切换有延迟（启动时间），需要开关机构，开关本身也可能失效
k/n冗余：投票决定要不要罢工
NASA的三取二（2oo3）计算机就是典型例子：三台计算机同时计算，结果由“投票”决定——两台以上给出相同答案，就信那个答案。
03 冗余的代价：为什么汽车不用冗余
回到开头的飞机问题。
航空级冗余不是因为航空公司又傻又有钱，而是因为一次坠机的代价是几十亿美元加几百条人命。多加两台发动机、多加几套飞控计算机，是划算的。
汽车不一样。
一辆15万的车，消费者对价格极其敏感。多加一套刹车备份系统，车价涨8000块，销量直接腰斩。这不是技术问题，是市场问题。
04冗余设计的三个坑
坑1：冗余了，但切换机械成了单点故障
这是最隐蔽的陷阱：设备本身有备份，但切换开关没有备份。主设备挂了，备用设备也有，但开关失效了——备用设备永远接不上。
坑2：主备设备共享同一个环境应力
冗余设计假设“两台设备独立失效”。但如果它们部署在同一个物理环境中——同一房间、同一供电线路、同一散热系统——那么环境应力会让它们“同生共死”
坑3：冷备设备长期不用，到用的时候发现也坏了
冷备听起来很美好——平时不跑、不磨损。但现实是：冷备设备虽然不通电，但仍然会受到存储环境的影响。
-
潮湿：电路板氧化、插件腐蚀
-
温度循环：热胀冷缩导致焊点微裂纹
-
电池自放电：UPS电池在冷备状态下仍然会缓慢放电
05 什么时候该上冗余？
| 层级 | 适用场景 | 决策逻辑 |
|---|---|---|
| Tier 1（必须冗余） | 安全关键系统（失效直接导致人员伤亡）、法规强制要求（如航空、核电） | 不做冗余就是违法，没得选 |
| Tier 2（推荐冗余） | 停机成本极高的系统（数据中心、医院）；维修周期极长的系统（卫星、海底设施） | 故障代价 > 冗余成本，值得做 |
| Tier 3（谨慎冗余） | 故障经济损失大但可量化 | 完整建模：冗余成本 vs. 故障概率 × 停机损失 |
| Tier 4（不建议冗余） | 消费级商业产品（成本竞争激烈）；故障后果轻微（普通家电） | 冗余成本 > 故障代价，不做 |
冗余设计是工程世界里为数不多的 “用钱换命”的手段。
问题是：你愿意花多少钱，你面对的“命”值多少钱？
作者提示:个人观点，仅供参考
![[连载10]”领导拍板的”不算规划——可靠性目标到底怎么定？](https://img.rfjia.cn/wp-content/uploads/2026/07/连载10领导拍板的不算规划——可靠性目标到底怎么定？.jpg)