Идея дублировать важные элементы сложных систем не нова и очевидна. Но вот когда это на самом деле стоит усилий, а когда нет можно определить только строгим математическим расчетом. Чтобы быть уверенным в том, что ваш самолет или любая другая сложная конструкция не откажет в самый неподходящий момент, существуют достаточно простые методики оценки общей надежности системы, доступные всем, кто не прогуливал школьную математику.

Итак, знакомьтесь: закон Луссера & co.

Вообще, тервер — штука совершенно не интуитивная. Интуиция подсказывает, что надежность всей цепочки определяется надежностью самого слабого звена. Так полагал даже всем известный фон Браун! Однако это весьма ошибочное мнение.

Но начнем с определения вероятности. В быту мы привыкли к процентам — что-то на 90% надежно, что-то на 50%. Для расчетов это не годится. Вероятность записывают числом от 0 до 1, где 1 соответствует полностью достоверному событию (которое в результате испытаний обязательно произойдет), а 0 — невозможному. Таким образом, вероятность в 99% (одна неудача случается в среднем на 100 попыток) мы запишем как 0.99, а вероятность в 50%, она же 1/2 (классический бросок монеты с равновероятным выпадением орла или решки) как 0.5.

Ну и самый главный закон тервера состоит в том, что вероятности совместных событий (т.е. тех, которые должны обязательно случиться,причем не обязательно в один и тот же момент времени, главное чтобы они все случились) перемножаются. Если с неба регулярно падают кирпичи и вероятность выжить за день равна 0.5 (т.е. 50%), то вероятность выжить в течении двух дней (надо выжить И сегодня И завтра, т.е. мы ставим требованием совместные события) равна произведению этих вероятностей: 0.5*0.5=0.25. Упс, вероятность прожить в таких условиях два дня всего лишь 25%. А шансы выжить в течении недели уже меньше процента (0.5^7=0.0078125). Если надеть каску и повысить выживаемость в каждом отдельном случае до 0.75, то шансы прожить неделю повысятся где-то до 0.7^7=0.08235423, т.е. примерно до 8 процентов.

Удивительно, но формула Луссера, прямо вытекающая из основ теории вероятностей, была сформулирована очень поздно, уже после Второй Мировой войны. Ее сформулировал в процессе создания теории надежности в 50-е годы в Америке Роберт Луссер — немецкий инженер, конструктор крылатых ракет Fieseler V-1 (Фау-1). Итак: если устройство состоит из определенного количества элементов и мы знаем надежность каждого элемента, то общая надежность системы определяется произведением всех надежностей. Например, если у нас вероятность безотказной работы оси двуколки в течении поездки 0.999, подшипника 0.93 (а их два), а колеса 0.9 (а их тоже два), то получаем 0.999*0.93*0.93*0.9*0.9=0.699868431. Иными словами, наша двуколка надежна всего где-то на 70% и будет ломаться в среднем один раз на 3 поездки… грустно, не так ли?

Такое соединение компонентов называют последовательным. Это не означает, что они соединены в цепочку физически, важно то, что поломка любого из компонентов ведет к выходу из строя всей системы. И не важно, что именно отказало: левый подшипник, правый, или развалилась сама ось. Телега встала, и это главное.

Если у нас в наличии имеются только ненадежные компоненты, можно попытаться сделать из них надежную систему, используя несколько одинаковых компонентов вместо одного. Например, в авиационных поршневых двигателях обязательно используется как минимум два магнето, работающих с отдельными свечами зажигания. Если одно магнето откажет, то двигатель все равно продожит работу. Такое соединение компонентов называется параллельным (опять же, речь идет не о физическом соединении компонентов, а о их роли в системе), а расчитывается оно по простой формуле: 1-(1-p1)*(1-p2)*(1-p3)… где p1, p2, p3 и т.д. есть вероятность безотказной работы каждого из компонентов. Если каждое из магнето имеет надежность 0.99 (1% отказов), то параллельное использование двух магнето будет иметь надежность 1-(1-0.99)*(1-0.99)=0.9999. Имеем 4 девятки после нуля, это уже неплохо. А если поставить три независимых магнето, то получим надежность 0.999999 — один отказ на миллион! Конкретно на эту систему уже можно положиться.

Сложнее, когда надо вычислить надежность работы минимум k элементов из общего количества n. Например, трехмоторный самолет, которому одного мотора не хватает для продолжения полета, но который может спокойно лететь на двух моторах. Для этого надо сложить вероятности наступления всех «хороших» событий, в нашем случае как полета на трех моторах, так и на двух. Вероятность безотказной работы ровно k элементов из n определяется произведением C(n,k)*p^k*(1-p)^(n-k), где C(n,k) — биномиальный коэффициент, который вычисляется как n!/(k!*(n-k)!), p — вероятность безотказной работы одного элемента, n — общее количество элементов и k— минимальное необходимое количество работающих элементов. Полностью формула для системы, состоящей из n одинаковых и равнонадежных элементов, безотказно работают не менее k элементов выглядит так:

где p(t) — вероятность безотказной работы элемента системы, q(t) = 1 — p(t), ну а биномиальный коэффициент приведен выше.

Итак, пусть надежность работы одного мотора у нас 0.99 (скажем, один отказ на сотню вылетов). Тогда считаем. Считать руками или рисовать красивые красивые картинки с формулами мне было влом, поэтому я просто запустил питон (впрочем, расчет прост и может быть выполнен вручную при необходимости):


>>> from scipy.special import binom
>>> binom(3,2)*pow(0.99,2)*pow((1-0.99),3-2) + binom(3,3)*pow(0.99,3)*pow((1-0.99),0)
0.99970200000000009


Итак, получаем надежность 0.9997 — три фатальных отказа на десять тысяч вылетов, что для боевого самолета уже более-менее приемлемо, тогда как одномоторный самолет с тем же двигателем и одним отказом на сотню вылетов быстро бы забраковали. Кстати, та же самая логика стояла за появлением трехмоторных пассажирских лайнеров для пересечения Атлантики, надежность турбин того времени оставляла желать лучшего. Сейчас же, при нынешней надежности двигателей и способности лайнера лететь на одном двигателе допустимы полеты машин с двумя двигателями.

Вы все еще хотите сесть за штурвал своего самопального пепелаца без предварительного расчета его надежности?