Raspberry PI - очень плохая плата, потому что сделана «универсальной», а при производстве наоборот нужно как можно более специализированные вещи делать. Ну и испытания она не пройдёт, потому что компоненты на ней не выдержат транспортных температурных диапазонов, все соединительные элементы не рассчитаны на вибрации, а так же нет никакой защиты от э/м помех.

Часто в таких системах есть несколько уровней надёжности.

То, что вот прямо управляет исполнительными механизмами и любой лаг == бабах, программируется на всяких МК с валидацией каждой строчки кода по различным стандартам и жёсткими ограничениям. Никаких линуксов там обычно нет. Максимум, сертифицированная RTOS, либо вообще кооперативная многозадачность (с заранее просчитанным worst case execution time для каждой задачи, чтобы ничего не поехало по таймингам). Отдельные штуки могут вообще на жёсткой логике или даже механике (например, ограничитель угла поворота сервопривода) быть реализованы.

Если хочется ещё больше надёжности, то контроллеров делают несколько и каждое управляющее воздействие выбирается путём голосования, а отбившийся от коллектива инстанс принудительно перезагружают.

Если хочется ещё больше надёжности, то каждый МК из голосующих должен быть от разных вендоров, запрограммирован на разных языках и компиляторах никак не связанными между собой командами программистов.

Однако сверху над этим часто один или даже несколько слоёв user-friendly абстракций, вплоть до системы управления на обычном десктопном/ноутбучном/планшетном железе с тачскринами и большими красивыми кнопками «сделать зашибись». Вот на этом уровне сбой это всего лишь матюки юзера и ожидание, пока терминал перезагрузится (быстро поднятое упавшим не считается). Там будут совстем другие технологии и требования к надёжности.

Вон интерфейс дракона вообще на электроне написан и едва ли кто-то устраивал полную формальную верификацию движка V8. А разгадка проста - электрон рисует рюшечки, а реально жизненноважные вещи делают совсем другие процессоры и программы.

В целом железо общего назначения вполне может выполнять всякие разные задачи - марсолёт от NASA недавно это доказал. Просто вопрос в количестве девяток в числе вероятности, что оно не откажет (при этом при грамотной настройке многие отказы лечатся перезагрузкой). А у каждой подсистемы даже одного автобуса/самолёта/космического корабля эта требуемая величина может отличаться.

Откуда ты взял про какую-то сертификацию? Я участвовал в подобном проекте, никакой там сертификации нет. Обычное железо из китая с коробками из китая и приклеенными наклейками с названием местной фирмы (приклеенной в китае же)

Вот. Если фирма очень серьезная и требования очень суровые, то железо из китая с коробками из китая проверяется по очень строгим правилам, вроде «идентификаторы должны быть записаны только в snake-case», и далее железяка отправляется в прод. Примерно как Boeing сделал.

Если хочется ещё больше надёжности, то контроллеров делают несколько и каждое управляющее воздействие выбирается путём голосования, а отбившийся от коллектива инстанс принудительно перезагружают

Этот подход лишь снижает шанс катастрофической ошибки, но не гарантирует ее отсутствие. В конце-концов, кому-то нужно принимать это самое решение.

Вон интерфейс дракона вообще на электроне написан и едва ли кто-то устраивал полную формальную верификацию движка V8. А разгадка проста - электрон рисует рюшечки, а реально жизненноважные вещи делают совсем другие процессоры и программы

А разгадка проста — Маск экономит на спичках. Работа квалифицированных программистов так-то денег стоит.

Ну просто надо отличать какие-то рандомные железки, занимающиеся ерундой от действительно значимых вещей. Для каких-нибудь чипов, которые там с тормозами работают, может и есть сертификация, хотя тоже сомневаюсь, учитывая известную историю со спагетти-кодом тоёты, но бог им судья. А принимать платежи за билеты - это же ерунда. Зачем тут что-то сертифицировать? Работает и ладно. Злые хакеры проедут без билета?

А что будет, если локомотив проработает 10 лет, мозг cгорит (а рано или поздно это произойдёт), а комплектующие сняты с производства? Быстро же меняется всё. Или нет?

а отбившийся от коллектива инстанс принудительно перезагружают

Так действительно делается? Мне казалось, что если что-то надо ребутить, чтобы работало, то это какой-то позор. Но я в теме жизненно важных железок никак.

Да. Каждый ребут у важных железок пишется на диск в специальном месте, и количество ребутов - это такая же характеристика железки, как версия ПО и контрольная сумма. На каждый не штатный ребут идёт разбирательство.

Для каких-нибудь чипов, которые там с тормозами работают, может и есть сертификация, хотя тоже сомневаюсь, учитывая известную историю со спагетти-кодом тоёты, но бог им судья

Ой, блин, там с тойотой вообще такой цирк был, что сами аутсорсные быдлокодеры тойоты нервно курят в сторонке по сравнению с «независимыми экспертами», которых возмутило использование в коде макросов вместо функций. Они лишь вскользь зацепили фундаментальную, пусть и не самую значимую проблему — влияние радиации на работу электронных компонентов. Абсолютно все потребительские автомобили на микроконтроллерах нынче могут без причины просто сойти с ума, ни с того ни с сего, потому что прилетела гамма-частица, крутанула транзистор, и контроллер накрылся медным тазом — как бы ни была корректна и надежна программа. И чем тоньше электроника, тем выше шанс такого сбоя.

То есть, абсолютная надежность принципиально недостижима, и эти клоуны в курсе сего факта, но продолжают рисовать в отчетах девятки в шансе сбоя. Примерно как девятки рисовали инженеры Фукусимы «одна авария на миллион лет», до тех пор пока та не звезданула. Ну че, правильно — раз в миллион лет, но в этом миллионе авария может произойти в любой год. Значит, в следующий миллион лет на Фукусиме аварий не будет.

А что будет, если локомотив проработает 10 лет, мозг cгорит (а рано или поздно это произойдёт), а комплектующие сняты с производства? Быстро же меняется всё. Или нет?

Тогда эксплуататору локомотива придется платить миллионы денег московскому заводу за восстановление производства. Всё просчитано на десять лет вперед, владельцы московского завода скоро купят себе парочку островов в атлантическом океане.

Да я на полном серьёзе спросил. Локомотив же не три года должен работать, а лет десять то уж точно, а то и 20. А регулярного ремонта электроники, особенно в тех условиях, никто не отменял.

Комплектующие, которые с тех сайтов, которые я рекомендовал выше, снимаются с производства не быстро - до 15 лет доступны к заказу легко. Если они всё-таки снимаются, есть линейки, которые продолжают дело. Например, решения на базе isa до сих пор в строю и даже не планируются к снятию с производства на ближайшие время.

Он тебе на полном серьёзе и ответил. Такие бизнессмены, действующие именно так, есть. И они - успешны.

Да я на полном серьёзе спросил. Локомотив же не три года должен работать, а лет десять то уж точно, а то и 20. А регулярного ремонта электроники, особенно в тех условиях, никто не отменял

Элементарно, Ватсон: микроконтроллер = неремонтопригодность. Сейчас подходит время, когда сгнивают блоки управления на первых автомобилях с микроконтроллерами, и возникают забавные ситуации, когда машина есть, движло исправно, а контроллер сдох и запчастей на него не существует.

На современные кредитопомойки сей феномен не распространяется, потому что на них по окончанию гарантии отваливается вообще всё, разве что кроме колес.

Абсолютно надёжных систем не существует. При проектировании любой реально надёжной системы в спецификациях всегда присутствует список возможных сбоев и для каждого уровня severity их максимально допустимое количество на единицу времени эксплуатации системы. Например, если мне не изменяет память, самолётам допускается падать с вероятностью 1^10-6 на час полёта по какое-то индустриальному стандарту.

Резервирование, возможность перезагрузки при сбое достаточно надёжные способы кратно, а то и на порядки уменьшить вероятность того, что ошибку заметят не только техники в логах, но и конечный пользователь.

То есть можно потратить в сотню раз больше денег, чтобы уменьшить в 10 раз вероятность того, что в коде есть ошибка. А можно потратить в 3 раза больше денег и сделать три независимые системы. Вероятность того, что во всех них есть ОДНА И ТА ЖЕ ошибка, будет точно также примерно в 10 раз меньше. А между тем сэкономленное можно пустить на повышение надёжности других частей системы, денег мало никогда не бывает.

Ещё существуют ошибки, которые неизбежны чисто физически. Например, для космических аппаратов это сбои памяти из-за радиации. Вот ничего с этим в межзведном пространстве поделать нельзя (во всяком случае в рамках текущих технологий и бюджетов). Но опять же, шанс того, что заряженная частица прошьет одновременно три процессора, да ещё и в критический момент... Достаточно мал, чтобы решать практические задачи.

Да, всякое случается. Но самолёты летают, GPS работает, а по Марсу ездят марсоходы. А если бы добивались 100% надёжности, то до сих пор сидели бы в пещерах.

А можно потратить в 3 раза больше денег и сделать три независимые системы

Можно, только независимыми они будут в головах юношей с горящими глазами и их боссов, с отстёгнутой совестью. Ещё никому не удалось сделать полностью независимую дублированную систему. А уж три независимых - звучит как насмешка.

и возникают забавные ситуации, когда машина есть, движло исправно, а контроллер сдох и запчастей на него не существует

Вот он, источник непомерного обогащения для уверенных пользователей ардуины

То есть можно потратить в сотню раз больше денег, чтобы уменьшить в 10 раз вероятность того, что в коде есть ошибка. А можно потратить в 3 раза больше денег и сделать три независимые системы. Вероятность того, что во всех них есть ОДНА И ТА ЖЕ ошибка, будет точно также примерно в 10 раз меньше. А между тем сэкономленное можно пустить на повышение надёжности других частей системы, денег мало никогда не бывает

А каков шанс, что накроется управляющий узел и заглушит сразу все три системы сразу?

Вот он, источник непомерного обогащения для уверенных пользователей ардуины

Да ничего ты ардуиной не сделаешь, потому что железо-то кастомное, кастомный проц, кастомный ввод-вывод — там сложность перепроектирования на ардуине сравнима со сложностью проектирования с нуля.

Того, что ты называешь «управлющим узлом», в таких системах тоже несколько и системы должны уметь отбраковывать заведомо неверные данные.

Ну в случае с тем же самолётом, разные компьютеры управляют физически разными плоскостями крыла. Причём распределение так подобрано, что выход из строя одного компьютера и потеря управления над его плоскостями не лишит возможности управления судном (распределение управляющих плоскостей такое, чтобы каждого подмножества было достаточно для маневрирования).

Точнее компьютера три и каждой плоскостью управляют два. Таким образом выход любого одного компьютера из строя не ухудшает управляемость вообще. Если он с собой прихватывает канал управления плоскостями (хотя там тоже есть дублирование), то в самом худшем случае треть всё равно останется и её должно хватить для маневрирования.

Ну и, наконец, сделать сверхнадежный тупой мультиплексор проще, чем целый процессор с программой. При наличии человека, можно вообще хоть механический переключатель сделать.

Однако, автобус или поезд - не кредитомобиль, и выкинуть его получится далеко не всегда, при всем желании, чинить его придётся.

Того, что ты называешь «управлющим узлом», в таких системах тоже несколько и системы должны уметь отбраковывать заведомо неверные данные

Исполнительный орган ведь один — кто-то должен выбрать для него управляющую программу. А при сбое одной из трех систем порой выясняется, что система может быть вообще неработоспособна, поскольку не может толком определить, кто из двух оставшихся управляющих компьютеров прав.

У самолётов столько всяких закрылков и т. п. неспроста. На самом деле для управления им достаточно лишь части из них. Остальные обеспечивают резервирование. В том числе управляющих каналов.

Касательно того, что с двумя процессорами не выйдет голосование - надо ещё чтобы случился второй сбой раньше, чем восстановится третий процессор. Пока два оставшихся процессора согласны между собой, проблемы нет. Также можно использовать больше 3 процессоров или даже каскады голосующих систем. Любой каприз за ваши деньги. Количество 9 в вероятности выполнения миссии вырастет.

Есть различные подходы. Например, тормозить, если одна из трёх программ сказала «тормози». Или две из трёх. Или три. Более сложные алгоритмы с диагностикой. В каждом конкретном случае свои соображения, и иногда они разумны, если исполнительные механизмы относительно просты. Но в большинстве случаев, дублирование управляющих систем добавляет только геморрой. И управлением занимается одна, остальные отдыхают.

У самолётов столько всяких закрылков и т. п. неспроста. На самом деле для управления им достаточно лишь части из них. Остальные обеспечивают резервирование. В том числе управляющих каналов

Проблема в том, что самолет — это не мешок с говном, его нельзя как попало бросить, «пусть примерно вот так лежит». Если половина самолета будет хотеть крутиться в одну сторону, а другая — в другую, то за считанные секунды положение самолета может стать таким, что дальше уже можно ничем не управлять — финал будет одинаковым. Это относится к сваливанию и к полетам на малой высоте. Если один компьютер внезапно начнет дергать управляющие плоскости как попало, то, как показывает практика, шанс крушения такого самолета весьма высок. Как это было на эйрбасе, когда пилот решил вручную перезагрузить компьютер в полете, или при ошибке контроллера одного из датчиков угла атаки, когда компьютер решил, что очень хорошей идеей будет влететь вертикально в землю.

Касательно того, что с двумя процессорами не выйдет голосование - надо ещё чтобы случился второй сбой раньше, чем восстановится третий процессор. Пока два оставшихся процессора согласны между собой, проблемы нет. Также можно использовать больше 3 процессоров или даже каскады голосующих систем

Ты сейчас вообще помойный сценарий описываешь, когда компьютеры настолько плохо реализованы, что регулярно падают. Собственно, именно из таких соображений Маск управлением своими ракетами и проектировал. В более серьезных системах компьютеры управления не падают просто так, и частенько после падения уже не могут выполнять свои задачи снова, поскольку упали они не от простого говнокода.

Но в большинстве случаев, дублирование управляющих систем добавляет только геморрой. И управлением занимается одна, остальные отдыхают

Да, именно так работает управление самолетом, а не так, как нафантазировал KivApple.

Есть различные подходы. Например, тормозить, если одна из трёх программ сказала «тормози». Или две из трёх. Или три. Более сложные алгоритмы с диагностикой. В каждом конкретном случае свои соображения, и иногда они разумны, если исполнительные механизмы относительно просты

Это простой и удобный подход типа «останавливаем всё, если в вычислениях несостыковки». Но подход не работает там, где остановка «здесь и сейчас» невозможна, вроде самолета или ракеты. А вот когда нужно реализовывать сложные алгоритмы согласования, то стоит присмотреться поближе, и выясняется, что они и являются основным звеном отказа, по-хорошему.

Если половина самолета будет хотеть крутиться в одну сторону, а другая — в другую, то…

ЕМНИП в Шаттле 3 канальная система управления вектором тяги была реализована 3 гидроприводами. Ежели 1 тянул не туда, то 2 оставшихся перетягивали в правильную сторону. Сила есть – ума не надо :)

ЕМНИП в Шаттле 3 канальная система управления вектором тяги была реализована 3 гидроприводами. Ежели 1 тянул не туда, то 2 оставшихся перетягивали в правильную сторону. Сила есть – ума не надо

Да, здесь система расчитана на отказ одного из исполнительных устройств. Что не отменяет возможности того, что «правильная сторона» окажется выбранной неправильно — а ведь она должна быть только одна.

Касательно того, что с двумя процессорами не выйдет голосование - надо ещё чтобы случился второй сбой раньше, чем восстановится третий процессор. Пока два оставшихся процессора согласны между собой, проблемы нет. Также можно использовать больше 3 процессоров или даже каскады голосующих систем. Любой каприз за ваши деньги. Количество 9 в вероятности выполнения миссии вырастет.

В отвественных местах чаще вообще нет понятий «сбой», «перезагрузка», «восстановление». Это терминология из области операционных систем, а в таких местах ставят железяки без лишнего софта и лишних логических состояний, по сути контроллер, логикой мало отличающийся от схемы на жесткой логике. Могут ставить однократно прошиваемые чипы, логика управления отвественными исполнительными механизмами в большинстве случаев укладывается в сотни байт, а то и меньше.

Тут тебе и дисплейчик, на котором остановки текстом, и баба электронная задорным голосом остановки объявляет, и кнопки, чтоб остановка была, и всякие валидаторы карт, билетов, деньгопринималки, наверное гпс есть и симкарты, ведь на остановках табло стоит и там показывает, когда автобус прибудет и прочая и прочая.

И меня прям как током подбросило на цветастом матерчатом сидении - кто всем этим сборищем периферии управляет?

приходящий админ?:)

елон муск

лучше бы на траллебас более-менее новый глянул. там дисплей - ЖК. т.е. все показометры скорости и прочие датчики - рисуются на дисплее.

по сути контроллер, логикой мало отличающийся от схемы на жесткой логике. Могут ставить однократно прошиваемые чипы, логика управления отвественными исполнительными механизмами в большинстве случаев укладывается в сотни байт, а то и меньше.

нечеткая логика, не слышал? оно и понятно. в этом веке используется чуть менее чем везде при управлении.

даже в твоей ссаной стиральной машиной или холодильнике (если конечно у тебя не громыхающая совкопараша из прошлого века).

Т80 хорош

Годы производства - 1976—1998, это устаревшее дерьмо в хорошем состоянии только 2-3 штуки для показа по ТВ, так что никуда он не доедет.

а Т72

это то что осталось в войсковых частях, которые то же дальше ворот гарнизона никогда не выезжают, так что то же мимо

Сейчас нередко путают танк и его начинку + обвес.

Сейчас путают то что показывают пропагандоны по ТВ про мощь российской армии, с реальностью и разрухой в войсковых частях.

Сейчас эффективность танка

А вот и эксперты по вооружению подъехали.

Сколько выстоит такой танк против Bayraktar TB2? На танках только в банановых бантустанах с диктаторским режимом воюют.

теоретик диванный, читатель новостей )

Ты видимо не понимаешь, что гонка средств и противосредств идет непрерывно.

На танках только в банановых бантустанах с диктаторским режимом воюют.

А что, когда-то была война не не периферии?

Вы не поняли нифига. Представьте автобус без водителя со всякой этой фигнёй. Автопилот будет под RTOS или в Windows 10? Вот что ТС спрашивает.

Ведь сейчас эмбедеров других возрастов не осталось, да?

Скорее понятие эмбеддер размазалось как кисель по бутерброду. Недавно только рассказывал как один знакомый не мог написать элементарную читалку ключей iButton, ибо никак не влезала в ATtiny13. Оказалось, что пишет на питоне, где одна библиотека весит больше, чем память в камне. На спор написал ему на сишечке, что заняло 11% памяти, на что в ответ обвинили «байтоYOBAом».

Я лично перестал об этом думать уже. Ничего страшного. Рано или поздно рынок потребует дедуль-байтодрочеров обратно, да только их не будет уже. И все придется осиливать заново. Да и похер. IT давно скатилось из круга интеллектуалов в сельский клуб любителей киндер-сюрпризов.

Что сейчас используют для промышленных очень-важных-и-надёжных конструкций?

Ты не поверишь, но даже малину на полном серьезе иногда пихают и каким-то боком это сдают. Обесценилось все. Соотношение цена-скорость разработки давно уже стало важнее качества, надежности и долговечности.

Какие-нибудь одноплатники суют или все колхозят свои текстолиты хлорным железом?

Ну эта эпоха ушла. Сейчас поделия из советских книжек «юный радиолюбитель» рисуют в смузи-веб-каде, а платки делают в китайских подвалах. Боюсь число тех, кто вообще в курсе, что такое хлорное железо, упало до нуля.

Embedded - это в промышленности обычно компьютер в составе прибора, например.

Не пори чушь. Ей больно.

Мне как раз рассказали хоть и совсем чуть чуть, но абсолютно не так, а что всё должно быть чуть ли не как для полёта на Марс

Кто тебе рассказал эту чушь? Пойми ты, уже нигде в мире не используется ОТК и иже с ним. Везде система менеджмент качества. А там показатели. И все проблемы решаются выкидыванием начинки на помойку без разбора и заменой другой такой же начинкой. И да, на малинах и прочем китайском шлаке. Сейчас надежность - это способность как можно быстрее вернуть в строй оборудование, а не его отказоустойчисвость. От того, что у кого-то не пробьется карта или просто встрянет автобус на середине маршрута ничего страшного не случится. А вот красивые циферки о внедрении очередного свистоб.ядства показывать надо. Поэтому нет никакой сертификации, все это оборудование идет совершенно под другим профилем и с никакущими требованиями.

Нет, недавно общался с одним разрабом, он занимался системами безопасности для башенных кранов, ему было 27 лет, вроде не дед еще.

Ты б уточнил как именно он этим занимается.

Да я на полном серьёзе спросил. Локомотив же не три года должен работать, а лет десять то уж точно, а то и 20. А регулярного ремонта электроники, особенно в тех условиях, никто не отменял.

Про плановое обслуживание и поверку оборудования ты разумеется не слышал?)

Ты как-то по-детски вопросы задаешь.

Да, всякое случается. Но самолёты летают, GPS работает, а по Марсу ездят марсоходы. А если бы добивались 100% надёжности, то до сих пор сидели бы в пещерах.

+1

Если быть точнее, то надежность нарабатывается годами эксплуатации.

А каков шанс, что накроется управляющий узел и заглушит сразу все три системы сразу?

Так не бывает.

Да ничего ты ардуиной не сделаешь, потому что железо-то кастомное, кастомный проц, кастомный ввод-вывод — там сложность перепроектирования на ардуине сравнима со сложностью проектирования с нуля.

Еще один эксперд. Ты еще скажи, что там кастомные протоколы, кастомное электричество и ваще кастомная физика. Харэ бредить!

это устаревшее дерьмо в хорошем состоянии только 2-3 штуки для показа по ТВ, так что никуда он не доедет.

Современным танкам большой ресурс не нужен: если в 1-3 боях, в которых он выстрелил 1-10 раз и поразил >2 целей, то это успешный танк.

Сколько выстоит такой танк против Bayraktar TB2?

Это не танковая задача. Без ПВО любой наиновейший танк – мишень. Кстати, cамолично измерял на полигонах своей аппаратурой: для старых ПТУРСов с ИК наведением Т80 – непростая мишень, ибо яркость теплового потока позади турбины существенно превосходит излучение от танка, мешая наведению.

Сейчас путают то что показывают пропагандоны по ТВ про мощь российской армии, с реальностью и разрухой в войсковых частях.

Т34 тоже был «хлам» по параметрическому сравнению с «Пантерой», однако до Берлина доехали они, а не «Пантеры» :)

да, на малинах и прочем китайском шлаке. Сейчас надежность - это способность как можно быстрее вернуть в строй оборудование, а не его отказоустойчисвость. От того, что у кого-то не пробьется карта или просто встрянет автобус на середине маршрута ничего страшного не случится. А вот красивые циферки о внедрении очередного свистоб.ядства показывать надо. Поэтому нет никакой сертификации, все это оборудование идет совершенно под другим профилем и с никакущими требованиями

Я бы сам точнее не описал. И про тролейбусы, и про теслу. Потому я предпочитаю старые автомобили. Потому половина мира летает на боингах 737 самых разных модификаций.

Если быть точнее, то надежность нарабатывается годами эксплуатации

Если электроника изначально сделана глючным куском дерьма, то сколько ты ее не эксплуатируй — а она все равно будет глючным куском дерьма, пока ее не переделают.

А каков шанс, что накроется управляющий узел и заглушит сразу все три системы сразу?

Так не бывает

Так не бывает потому, что такой хитрозадой системы управления, как ту, на которую я отвечал, на практике не применяется. Именно потому, что если бы применялась, то она бы и стала точкой отказа.