冗余通过多重通道降低单一故障导致误判的概率
别名: 通道冗余 · fault tolerance
概念解释
通道冗余用多个独立的传感、计算或执行路径去测量或执行同一件事，目的是不让某一个随机故障单独决定安全功能的结果。它确实能降低系统对单点失效的敏感性，但这个效果不是自动获得的——只有当各通道彼此足够独立、故障能够被检测出来、并且把多个通道结果组合成一个判断的逻辑本身是正确的，冗余才真正兑现它承诺的可靠性。
机制
多个通道给出一致的结果会提高对这个结果的可信度，出现分歧则暴露了至少有一路已经出问题——这是冗余发挥作用的基本逻辑，但它成立的前提是各通道的故障是相互独立的随机事件。物理上把通道分开安装、接不同的电源、用不同厂商或不同实现方式的传感器，都是为了压低"共同原因"同时打倒多路通道的概率。反过来，如果三路"冗余"传感器只是同一型号、装在同一个位置、接同一路电源、用同一套校准程序标定出来的三份拷贝，它们看起来是三条独立通道，实际上共享着几乎所有可能导致同时失效的原因——环境温度一超标，三个传感器可能同时漂移到同一个方向，这时"三取二"式的一致性反而是假象，是表面冗余（apparent redundancy），不是真冗余。
边界
冗余处理的是随机硬件故障，对系统性的需求错误无能为力——如果需求本身定义错了（比如错误地把某个信号当成安全判据），三条通道会一致地按错误需求工作，一致性反而掩盖了这个错误，不会因为通道多就被发现。冗余系统的复杂度和维护接触点也随通道数量增加，这本身会引入新的故障来源，通道数量因此不能被直接换算成安全性的提升——独立性够不够、诊断覆盖率有多高，都需要具体证据支撑，不能凭"有三路"这个数字本身下结论。
怎么落地
为每一条通道分别记录它依赖的电源、安装环境、软件版本、通信路径和维护责任，在这个基础上做故障树分析和共因分析，把可能同时打倒多条通道的共同原因显式列出来。
- 验证办法：分别注入单通道故障、精心设计的共因故障（比如让所有通道同时经历一次同一方向的环境应力）、以及潜伏故障（故障已发生但尚未被任何检测机制发现），逐一验证系统能否正确检测、正确隔离故障通道、并保留应有的剩余功能，三类测试都要做，只测单通道故障无法暴露表面冗余的问题。