Резервирование надёжности: нагруженный и холодный резерв

Резервирование надёжности почти всегда считают для одного момента времени: задают надёжность элемента числом и подставляют в формулу параллельной группы. Но на практике элемент стареет, и его надёжность падает со временем по экспоненциальному закону отказов. Здесь появляется вопрос, который в статических расчётах теряется: КАК именно устроен резерв. Если все элементы включены и работают одновременно, это нагруженное (горячее) резервирование. Если резервные элементы простаивают и включаются только после отказа основного, это ненагруженное резервирование, и его надёжность считается уже не через простую степень, а через поток отказов Пуассона. Ниже разберём обе схемы, выведем формулы через интенсивность отказов и время, и посмотрим, насколько сильно способ резервирования меняет ответ при одинаковом числе элементов. Чтобы сразу увидеть разницу, покрути калькулятор ниже: он считает надёжность обеих схем по интенсивности отказов, наработке и числу элементов и строит две связанные диаграммы.

Надёжность одного элемента во времени

Для элемента с постоянной интенсивностью отказов $\lambda$ вероятность безотказной работы за наработку $t$ задаётся экспоненциальным законом:

$P(t) = e^{-\lambda t}.$

Эта формула и есть отправная точка расчёта резервирования: как только вместо статичного $p$ появляется $P(t)$, зависящее от времени, все дальнейшие рассуждения о резерве нужно вести именно через $\lambda$ и $t$, а не через одно число надёжности. Типичные значения $\lambda$ для электронных компонентов лежат в диапазоне $10^{-6} \ldots 10^{-3}$ $\text{ч}^{-1}$, и именно наработка $t$ определяет, насколько сильно надёжность успевает упасть за срок эксплуатации.

Нагруженное (горячее) резервирование

При нагруженном резервировании все $N$ элементов группы (основной и $N-1$ резервных) включены и работают одновременно, независимо друг от друга, с одинаковой интенсивностью отказов $\lambda$. Система отказывает только тогда, когда откажут все $N$ элементов сразу. Вероятность такого события - произведение вероятностей отказа каждого:

$Q_г(t) = \left(1 - e^{-\lambda t}\right)^N,$

а надёжность системы - вероятность противоположного события:

$P_г(t) = 1 - \left(1 - e^{-\lambda t}\right)^N.$

Рассчитать для своей задачи

Это прямое обобщение статического параллельного резерва на случай, когда надёжность элемента $p$ заменена на $P(t) = e^{-\lambda t}$. Формула та же по структуре, но результат теперь зависит от наработки: чем больше $t$, тем ниже $P(t)$ для одного элемента, и тем больше нагрузка на резервные элементы.

Ненагруженное резервирование и поток отказов Пуассона

Ненагруженное (холодное) резервирование устроено иначе: работает всегда только один элемент из группы, а остальные $N-1$ находятся в режиме ожидания и не стареют, пока не включены. Переключение считается идеальным и мгновенным. При этих допущениях отказы элементов образуют пуассоновский поток с интенсивностью $\lambda$: система отказывает в момент $N$-го по счёту отказа. Вероятность того, что за время $t$ произойдёт меньше $N$ отказов, и есть надёжность системы:

$P_х(t) = e^{-\lambda t} \sum_{k=0}^{N-1} \frac{(\lambda t)^k}{k!}.$

Каждое слагаемое суммы - это вероятность ровно $k$ отказов пуассоновского потока за время $t$; складывая вероятности $0, 1, \ldots, N-1$ отказов, получаем вероятность того, что резерв ещё не исчерпан. При $N = 1$ (резерва нет) сумма вырождается в единственное слагаемое, и формула даёт обычное $P(t) = e^{-\lambda t}$ - оба способа резервирования совпадают, если резервировать нечего.

Почему ненагруженный резерв надёжнее при том же N

Сравним обе схемы при одинаковых $\lambda$, $t$ и $N$. При $\lambda t = 1$ и трёх элементах группы ($N = 3$, то есть один основной и два резервных) нагруженный резерв даёт $P_г = 0{,}7474$, а ненагруженный - $P_х = 0{,}9197$. Разница заметная: холодная схема выигрывает потому, что резервные элементы не расходуют свой ресурс, пока не включены, тогда как при нагруженном резерве все элементы стареют одновременно, и «запас» надёжности исчерпывается быстрее.

Рассчитать для своей задачи

Выигрыш удобно измерять отношением вероятностей отказа:

$\text{выигрыш} = \frac{1 - P_г(t)}{1 - P_х(t)}.$

При $N = 3$ и $\lambda t = 1$ выигрыш равен $0{,}2526 / 0{,}0803 \approx 3{,}15$ - ненагруженный резерв снижает вероятность отказа более чем втрое. С ростом $N$ этот разрыв увеличивается ещё сильнее: при $N = 4$ выигрыш уже около $8{,}4$, при $N = 5$ - около $27{,}6$, а при $N = 6$ - свыше $107$. Именно поэтому в задачах, где резервные элементы физически можно не нагружать (запасной блок питания, дублирующий насос в режиме ожидания), схему замещения выбирают почти всегда, если позволяет конструкция.

Пример расчёта

Система состоит из четырёх одинаковых элементов ($N = 4$: один основной и три резервных) с интенсивностью отказов $\lambda = 0{,}002$ $\text{ч}^{-1}$. Требуется найти надёжность за $t = 500$ ч для обеих схем резервирования.

Сначала находим произведение $\lambda t = 0{,}002 \cdot 500 = 1$ и надёжность одного элемента:

$P(t) = e^{-1} \approx 0{,}3679.$

Для нагруженного резерва:

$P_г = 1 - (1 - 0{,}3679)^4 = 1 - 0{,}6321^4 \approx 1 - 0{,}1597 = 0{,}8403.$

Для ненагруженного резерва суммируем четыре слагаемых пуассоновского ряда при $\lambda t = 1$:

$P_х = e^{-1}\left(1 + 1 + \frac{1}{2} + \frac{1}{6}\right) = 0{,}3679 \cdot 2{,}6667 \approx 0{,}9810.$

Проверка выигрыша: $(1 - 0{,}8403)/(1 - 0{,}9810) = 0{,}1597/0{,}0190 \approx 8{,}41$ - ненагруженный резерв снижает вероятность отказа примерно в 8,4 раза при тех же $N$ и $t$. Оба калькулятора выше собирают эту цепочку расчётов автоматически при любых введённых значениях.

Сколько элементов нужно для нагруженного резерва

Обратная задача - по требуемой надёжности $P_\text{треб}$ подобрать минимальное число элементов $N$ при нагруженном резервировании. Условие $1 - (1 - P(t))^N \ge P_\text{треб}$ равносильно $(1 - P(t))^N \le 1 - P_\text{треб}$, откуда после логарифмирования:

$N \ge \frac{\ln(1 - P_\text{треб})}{\ln(1 - P(t))}.$

Например, при $\lambda = 0{,}0005$ $\text{ч}^{-1}$ и $t = 1000$ ч получаем $\lambda t = 0{,}5$, $P(t) = e^{-0{,}5} \approx 0{,}6065$. Если требуется $P_\text{треб} = 0{,}95$, подставляем: $N \ge \ln(0{,}05)/\ln(0{,}3935) \approx 3{,}21$, округляем вверх до $N = 4$. Проверка: при $N = 3$ надёжность лишь $0{,}9391$ (не хватает), а при $N = 4$ - уже $0{,}9760 \ge 0{,}95$. Для ненагруженного резерва аналитической формулы для $N$ нет (сумма ряда не обращается элементарно), поэтому число элементов там подбирают перебором, начиная с формулы параллельного резерва как нижней оценки.

Частые ошибки

• Подставляют статичную надёжность вместо $P(t)$. Формулы резервирования во времени работают через $\lambda$ и $t$, а не через постоянное число $p$. Если наработка меняется, обязательно пересчитывать $P(t) = e^{-\lambda t}$ заново.
• Путают нагруженный и ненагруженный резерв. Для горячего резерва - степень $(1-P(t))^N$, для холодного - сумма ряда Пуассона. Применение формулы горячего резерва к холодной схеме занижает реальную надёжность системы.
• Забывают, что при $N = 1$ обе формулы совпадают. Если резервных элементов нет, любые расчёты резервирования должны сводиться к обычному $P(t) = e^{-\lambda t}$ - это удобная проверка правильности формул.
• Не переводят единицы $\lambda$ и $t$. Если интенсивность отказов дана в $1/\text{год}$, а наработка - в часах, их нужно привести к одной единице измерения перед перемножением.
• Округляют число элементов $N$ вниз в задаче на подбор количества резервов. Дробный результат логарифмической формулы всегда округляют вверх, иначе требуемая надёжность не достигается.

FAQ

Почему ненагруженный резерв надёжнее нагруженного при одинаковом N? Потому что резервные элементы холодной схемы не стареют, пока не включены в работу: их часы наработки начинают идти только после отказа предыдущего элемента. При нагруженном резерве все элементы стареют одновременно с самого начала, поэтому запас надёжности расходуется быстрее.

Что если переключение резерва не идеальное? Тогда в формулу ненагруженного резерва добавляют вероятность безотказного срабатывания переключателя $P_\text{пер}$ как множитель к каждому резервному переходу, и реальная надёжность оказывается ниже, чем даёт идеализированная формула с рядом Пуассона.

Можно ли резервированием довести надёжность системы до единицы? Нет, ни для одной из схем. При любом конечном $N$ вероятность отказа положительна и лишь убывает с ростом $N$, приближаясь к нулю, но не достигая его - и для нагруженного, и для ненагруженного резерва.

Коротко

Резервирование надёжности во времени считают через интенсивность отказов $\lambda$ и наработку $t$: надёжность одного элемента $P(t) = e^{-\lambda t}$. Нагруженный (горячий) резерв из $N$ элементов даёт $P_г(t) = 1 - (1 - e^{-\lambda t})^N$, а ненагруженный (холодный, замещением) резерв - $P_х(t) = e^{-\lambda t}\sum_{k=0}^{N-1} (\lambda t)^k / k!$ через сумму пуассоновского ряда. При одинаковых $N$ и $t$ холодная схема всегда надёжнее горячей, и разрыв между ними быстро растёт с числом элементов, поэтому там, где резерв можно не нагружать, схему замещения предпочитают почти всегда.