冗長性（エンジニアリング）

工学およびシステム理論において、冗長性とは、システムの信頼性を高めることを目的として、通常はバックアップやフェイルセーフの形で、またはGNSS受信機やマルチスレッドコンピュータ処理の場合などの実際のシステム パフォーマンスを向上させることを目的として、システムの重要なコンポーネントまたは機能を意図的に複製することです。

航空機のフライ・バイ・ワイヤや油圧システムなど、多くのセーフティクリティカルなシステムでは、制御システムの一部が3重化されていることがあり、^[1]これは正式には三重モジュール冗長性（TMR）と呼ばれています。1つのコンポーネントのエラーは、他の2つのエラーによって上回られる可能性があります。三重冗長システムでは、システムには3つのサブコンポーネントがあり、システムが故障する前に3つすべてが故障する必要があります。各サブコンポーネントが故障することはめったになく、サブコンポーネントは一般的な故障モード（独立した故障としてモデル化できる）を排除するように設計されているため、3つすべてが故障する確率は非常に小さいと計算されます。多くの場合、人為的エラーなどの他のリスク要因の方が重要です。落雷によって発生する電気サージは、コンポーネントが独立した電源バスから電力供給され、相互接続に直接の電気経路がない限り（投票には何らかの方法による通信が必要）、完全に分離するのが難しい故障モードの例です。冗長性は「多数決システム」^[2]または「投票ロジック」^{[3]と呼ばれることもあります。}

冗長性は、信頼性を高めるどころか、むしろ信頼性を低下させることがあります。冗長性によって、さまざまな問題が発生しやすい複雑なシステムが構築され、人間の職務怠慢につながる可能性があり、生産要求が高まり、システムに過度の負荷がかかって安全性が低下する可能性があります。^[4]

冗長性は、コンピュータ サイエンスで実践されている堅牢性の 1 つの形式です。

データセンター業界では、自然災害や政情不安からデータを守るために、地理的な冗長性が重要になっています(下記参照)。

コンピュータサイエンスでは、冗長性には4つの主要な形式があります。^[5]

• デュアルモジュラー冗長性やトリプルモジュラー冗長性などのハードウェア冗長性
• エラー検出や訂正方法などの情報の冗長性
• 時間冗長性、プログラムの複数回の実行や送信されたデータの複数コピーなど、同じ操作を複数回実行すること
• Nバージョンプログラミングなどのソフトウェア冗長性

ハードウェアに適用されるソフトウェア冗長性の修正形式は次のようになります。

• 車の機械式ブレーキと油圧式ブレーキのような、明確な機能冗長性。ソフトウェアの場合に適用され、独立して記述され、明確に異なるが、同じ入力に対して同じ結果を生成するコード。

構造物は通常、冗長部品も備えて設計されており、1 つの部品が破損しても構造全体が崩壊することはありません。冗長性のない構造物は破壊危険構造と呼ばれ、1 つの部品が破損すると構造全体が崩壊する可能性があります。冗長性の欠如により崩壊した橋には、シルバー ブリッジやスカジット川にかかる州間高速道路 5 号線の橋などがあります。

並列システムと複合システムは異なるレベルの冗長性を示します。これらのモデルは信頼性と安全工学の研究対象となっています。^[6]

同じものを複数使用する従来の冗長性とは異なり、異種冗長性では異なるものを使用します。異なるものに同一の欠陥が含まれる可能性は低いという考え方です。2 つのものにかかる時間が異なる場合、投票方式はさらに複雑になる可能性があります。異種冗長性はソフトウェアでよく使用されます。同一のソフトウェアには同一の欠陥が含まれるためです。

以下のそれぞれ少なくとも2つの異なるタイプを使用することで、失敗の可能性が減ります。

• プロセッサ、
• オペレーティングシステム、
• ソフトウェア、
• センサー、
• アクチュエータの種類（電動、油圧、空気圧、手動機械など）
• 通信プロトコル、
• 通信ハードウェア、
• 通信ネットワーク、
• 通信経路^{[7] [8] [9]}

地理的冗長性は、バックアップ デバイスを地理的に分離することで、配備された冗長デバイスの脆弱性を修正します。地理的冗長性により、停電、洪水、HVAC の故障、落雷、竜巻、建物火災、山火事、銃乱射事件などのイベントによって、システム全体ではないにせよ大部分が使用不能になる可能性が減ります。

地理的な冗長性の場所は

• 621マイル（999 km）以上の大陸、^[10]
• 62マイル以上93マイル（150 km）未満離れている、^[10]
• 62マイル以内の距離だが、同じキャンパスではない、または
• 同じキャンパス内で 300 フィート (91 メートル) 以上離れた異なる建物。

以下の方法により、火災による被害のリスクを軽減できます。

• 大きな建物は少なくとも80フィート（24メートル）から110フィート（34メートル）離れているが、場合によっては最低210フィート（64メートル）離れている。^{[11] [12] ：9}
• 高層ビルは少なくとも82フィート（25メートル）離して設置する^{[12] : 12  [13]}
• 物体の両側200フィート（61メートル）以内に可燃性の植物のない空き地^[14]
• 同じ建物内の異なる棟にあり、部屋間の距離が 300 フィート (91 メートル) 以上離れている
• 建物の同じ棟の異なる階にある部屋は、水平方向に最低 70 フィート (21 メートル) 離れており、異なる階にある部屋の間には防火壁が設置されている
• 2つの部屋が別の部屋で区切られており、2つの部屋の間には少なくとも70フィートの隙間がある
• 少なくとも2つの独立した防火壁があり、廊下の反対側にあるべきである^[10]

地理的冗長性は、Amazon Web Services（AWS）、Google Cloud Platform（GCP）、Microsoft Azure、Netflix、Dropbox、Salesforce、LinkedIn、PayPal、Twitter、Facebook、Apple iCloud、Cisco Merakiなど多くの企業で、地理的冗長性、高可用性、フォールトトレランスを提供し、クラウドサービスの可用性と信頼性を確保するために使用されています。^[15]

別の例として、激しい暴風や水害による被害のリスクを最小限に抑えるために、建物は海岸から少なくとも2マイル（3.2 km）離れた場所、海抜5フィート（1.5 m）以上の場所に建てることができます。さらに保護するために、建物は洪水氾濫原から少なくとも100フィート（30 m）離れた場所に建てることができます。^{[16] [17]}

冗長性には、パッシブ冗長性とアクティブ冗長性の 2 つの機能があります。どちらの機能も、追加容量を使用して、人間の介入なしに仕様制限を超えるパフォーマンスの低下を防ぎます。

パッシブ冗長性は、余剰容量を使用してコンポーネント障害の影響を軽減します。パッシブ冗長性の一般的な形態の 1 つは、橋梁で使用されるケーブルと支柱の強度を高めることです。この強度を高めることで、一部の構造コンポーネントが故障しても橋が崩壊することはありません。設計で使用される強度を高めることは、安全余裕と呼ばれます。

目と耳は、受動的冗長性の実例です。片方の目の視力低下は失明にはなりませんが、奥行き知覚が損なわれます。片方の耳の聴力低下は難聴にはなりませんが、方向感覚が失われます。限られた数の障害が発生した場合、パフォーマンスの低下は一般に受動的冗長性と関連しています。

アクティブ冗長性は、個々のデバイスのパフォーマンスを監視することでパフォーマンスの低下をなくし、この監視は投票ロジックで使用されます。投票ロジックは、コンポーネントを自動的に再構成するスイッチングにリンクされています。エラー検出と修正、および全地球測位システム(GPS) は、アクティブ冗長性の 2 つの例です。

電力配電は、アクティブ冗長性の一例として挙げられます。複数の電力線が各発電施設と顧客を接続します。各電力線には、過負荷を検出するモニターが含まれています。各電力線には回路ブレーカーも含まれています。電力線を組み合わせることで、余剰容量が確保されます。モニターが過負荷を検出すると、回路ブレーカーが電力線を切断します。電力は残りの線に再分配されます。^[要出典] トロント空港には、4 本の冗長電力線があります。4 本の線はそれぞれ、空港全体に十分な電力を供給します。スポット ネットワーク変電所は、逆電流リレーを使用して、故障した線へのブレーカーを開きますが、空港への電力は引き続き流れます。

電力システムは、電力スケジュールを使用してアクティブな冗長性を再構成します。コンピューティング システムは、他の発電施設が突然失われた場合に、各発電施設の生産出力を調整します。これにより、地震などの大災害時に停電状態が回避されます。

『Normal Accidents 』の著者チャールズ・ペローは、冗長性は時には裏目に出て、信頼性を高めるどころか低下させると述べている。これは3つの場合に起こる可能性がある。第一に、安全装置の冗長性によってシステムが複雑化し、エラーや事故が発生しやすくなる。第二に、冗長性によって労働者の責任回避につながる可能性がある。第三に、冗長性によって生産圧力が高まり、システムが高速で稼働するが安全性が低下する可能性がある。^[4]

投票ロジックは、パフォーマンス監視を使用して、システム全体の仕様制限に違反することなく操作を継続できるように、個々のコンポーネントを再構成する方法を決定します。投票ロジックにはコンピューターが関係することがよくありますが、コンピューター以外のアイテムで構成されたシステムも、投票ロジックを使用して再構成できます。サーキットブレーカーは、コンピューター以外の投票ロジックの一例です。

コンピューティング システムにおける最も単純な投票ロジックには、プライマリと代替の 2 つのコンポーネントが含まれます。どちらも同様のソフトウェアを実行しますが、代替からの出力は通常の動作中は非アクティブのままです。プライマリは自身を監視し、すべてが正常である限り、定期的にアクティビティ メッセージを代替に送信します。プライマリが障害を検出すると、アクティビティ メッセージを含むプライマリからのすべての出力が停止します。アクティビティ メッセージが停止すると、代替は出力をアクティブ化し、少し遅れてプライマリから引き継ぎます。投票ロジックのエラーにより、両方の出力が同時にアクティブまたは非アクティブになったり、出力がオンとオフを交互に繰り返したりすることがあります。

より信頼性の高い投票ロジックには、奇数の 3 台以上のデバイスが含まれます。すべてのデバイスが同一の機能を実行し、その出力が投票ロジックによって比較されます。投票ロジックは、意見の不一致がある場合に多数決を確立し、多数決は、意見の不一致がある他のデバイスからの出力を非アクティブ化するように動作します。単一の障害では、通常の動作が中断されることはありません。この手法は、スペース シャトルの運用を担う航空電子工学システムなどで使用されています。

システムに重複コンポーネントを追加すると、次の式に従ってシステム障害の確率が低下します。

${\displaystyle {p}=\prod _{i=1}^{n}p_{i}}$

どこ：

• ${\displaystyle n}$– コンポーネントの数
• ${\displaystyle p_{i}}$– コンポーネント i が故障する確率
• ${\displaystyle p}$– すべてのコンポーネントが故障する確率（システム障害）

この式は、障害イベントの独立性を前提としています。つまり、コンポーネント A がすでに障害を起こしている場合にコンポーネント B が障害を起こす確率は、コンポーネント A が障害を起こしていない場合にコンポーネント B が障害を起こす確率と同じです。ただし、同じソケットに 2 つの電源装置を接続し、一方の電源装置が障害を起こすともう一方も障害を起こすような状況では、この式は不合理です。

また、システムを稼働させるために必要なコンポーネントは 1 つだけであると想定しています。

冗長性によって、より高い可用性を実現できます。3 つの冗長コンポーネント (A、B、C) があるとします。システム全体の 可用性を計算するには、次の式を使用できます。

冗長コンポーネントの可用性 = 1 - (1 - コンポーネントAの可用性) X (1 - コンポーネントBの可用性) X (1 - コンポーネントCの可用性) ^{[18] [19]}

同様に、それぞれが X 個の可用性を持つ N 個の並列コンポーネントがある場合、次のようになります。

並列コンポーネントの可用性 = 1 - (1 - X)^ N

冗長コンポーネントを使用すると、システム全体の可用性が飛躍的に向上します。^[19] たとえば、各ホストの可用性が50%しかない場合、10台のホストを並列に使用すると、99.9023%の可用性を達成できます。

冗長性は必ずしも可用性の向上につながるわけではないことに注意してください。実際、冗長性は複雑さを増し、可用性を低下させます。Marc Brookerによると、冗長性を活用するには、次の点を確認してください。^[20]

1. システム全体の可用性が正味で向上します
2. 冗長コンポーネントが独立して故障する
3. システムは正常な冗長コンポーネントを確実に検出できます
4. システムは、冗長コンポーネントを確実にスケールアウトおよびスケールインできます。

• 高度な冗長制御による安全な推進
• 電力線を冗長通信チャネルとして使用する
• Flammini, Francesco; Marrone, Stefano; Mazzocca, Nicola; Vittorini, Valeria (2009)。「不完全なメンテナンスが存在する場合の N モジュール冗長コンピュータ システムの安全性評価に対する新しいモデリング アプローチ」。信頼性工学とシステム安全性。94 (9): 1422–1432。arXiv : 1304.6656。doi : 10.1016 /j.ress.2009.02.014。S2CID 6932645  。