要考慮的故障模式：

• 過熱。這會改變芯片的時序屬性，並最終導致錯誤。在看似正常的操作過程中，這可能表現為單位錯誤。它最終會崩潰，但可能會首先輸出錯誤數據。
• 水災。表現為板上的寄生電阻，可能會導致您誤認為位是高還是低。可能是外殼漏水，結露等。
• 電磁干擾。 （系統應該對此具有抵抗力，但是仍然值得考慮）。
• 物理連接問題。在施工期間（焊接故障）或之後引起的（熱，振動）。木板或接縫中的細微裂紋可以通過質量檢查，但會導致間歇性故障。再一次，這可能一次讓您失去一點點。這與Xbox的“死亡紅圈”問題有關。
• 其他組件失敗。電容器通常是可疑的。電解，鉭，陶瓷都有不同的失效模式。同樣，這可能會導致系統主要工作，但易於誤解邊際值或遭受時間漂移的影響。
• 奇怪的材料科學（“紫色瘟疫”，由於無鉛焊料導致的錫須）
• 零件質量檢查可能未達到您期望的標準（供應商以劣質的“航空級”標籤運送劣質零件）。

很重要的一點是要認識到，在高速數字系統中，您得不到很好的“一”和“零”，因此會得到一系列上升和下降沿會被佈線的寄生電容和電感所抹去。這天生就容易在邊際電氣條件下被誤解。

其他答案指出：CPU可能會發生故障。

此外，所有計算機都受到宇宙輻射的影響，該輻射有時會翻轉內存中的一些信息（此外還有短路等其他錯誤源）。 ..）。這就是為什麼科學實驗和運行時間較長的服務器使用 ECC內存的原因。太空飛船還使用特定的加固CPU來限制這種影響，因為它們不受此類干擾的影響。

即使發生這種情況非常少見（但並非聞所未聞），您也必須確保結果是100％準確的。翻轉一點可能會以無法預測的方式改變飛機的行為，例如反轉控件，反轉飛行包絡保護法則，...

為何關鍵飛行計算機具有冗餘性？

軟件

缺少的一點是冗餘系統通常是獨立的設計，尤其是軟件。這樣可以防止在很少發生的情況組合下可能導致問題的設計錯誤（或軟件錯誤）。

硬件

即使微處理器是高度可靠的，也有很多可能與飛機相關的一些因素

• 飛機在高空飛行，其中大氣層對宇宙射線的防護作用較小。這不僅影響機組人員健康，而且具有干擾電子設備的潛力。
• 航空電子系統不僅由微處理器組成，而且肯定有還有其他更容易發生故障的設備-例如電容器。電子產品可能有數不清的故障方式，例如振動引起的接地故障導致對數據線的干擾（例如來自模擬傳感器的干擾）。

我從沒聽說過微處理器突然發生故障。 strong>

可靠性≠安全

• 發生許多事故，沒有任何“故障”組件
  
  • 由設備引起在可靠性分析所依據的參數和時間限制之外進行操作。
  • 由均按照規范運行的組件相互作用引起的。
  • 高度可靠的組件不一定安全

^{來自麻省理工學院 Nancy Leveson，通過UCSD sup>}

我知道這個問題已經收到了很少的答案，但是似乎沒有一個能解決為什麼冗餘集中有三個系統而不是兩個的問題。

首先，正如 Simon， Jan Hudec和 RedGrittyBrick所指出的那樣，設計完全不同。確實，它們常常完全不同，這有很好的理由：任何給定問題將影響所有冗餘系統，並且尤其以相同方式影響所有冗餘系統的可能性，從“小”到“完全不存在”。比較冗余飛行控制計算機有何不同？

第二，關於為什麼每個冗餘設置中有三個系統。當一切正常，並且飛機處於穩定飛行狀態時，對於某些值和某些給定的輸入值，所有系統均報告需要校正0（無論任何單位）。在這一點上沒有問題，並且計算機僅用於維持當前狀態。現在，一個組件系統由於任何原因無法正常工作，並開始報告需要修正+50個單位。也就是說，響應集從[0,0,0]變為[0,0，+ 50]。兩個系統都同意，第三個系統報告了其他內容，因此我們可以放心地忽略異常值，並選擇兩個報告相同的系統：將結果視為[0,0，incorrect]，並在記錄技術詳細信息時忽略不正確的結果，顯示某種顯著的警告，表明需要盡快檢查系統。但是，如果我們只有兩個系統，而其中兩個之一卻以相同的方式失敗，那該怎麼辦呢？確定的所需校正從[0,0]變為[0，+ 50]。現在快說：哪個值正確？您應該維持狀態還是將其修正為+50？

到那時，沒有辦法知道是將0校正還是+50校正是正確的做法。您可以取一個平均值，但使用兩個數字的平均值（其中一個可能不正確）實際上比每個值本身都更糟糕。

通過添加一個將第三個系統添加到冗餘集，則在出現一個系統故障的情況下添加一個決勝分局。只有當三個系統中的兩個同時開始出現故障時，您才有實際問題，並且如果飛機出現這樣的問題，即三個冗餘系統中有兩個給出錯誤的輸出，那麼您可能會遇到一些嚴重的麻煩

大多數答案都圍繞著潛在的計算機硬件錯誤和此類問題而展開。儘管這都是真的，但沒有人提到計算機的實際用途。

假設您正在使用方法，準備進行CAT III自動著陸，並且您只有兩台計算機系統。兩種計算機系統都比較了＃1和＃2無線電高度儀系統。僅無線電高度計系統之一發生故障，導致某些任意值的差異不在限制之內。

計算機如何知道哪一個是錯誤的？一台計算機查看無線電高度儀系統＃1的高度為500英尺。另一台計算機查看系統＃2的高度為1000 ft。哪一個是正確的，哪個是錯誤的？計算機可能如何做出決定？

輸入第三台計算機。如果所看到的值與其他兩台計算機的值相稱，則可以有效地“投票”無效的“離島”讀數。

我應該注意，這些計算機中大多數都具有兩個到四個處理器之間的任意位置，它們都比較它們自己的結果。這是內部冗餘以避免硬件故障，但是外部系統的大量交叉比較在很大程度上是第三個系統存在的原因。

注意：作為一名A&P機械師，十分之九的外部系統發生故障（無線電高度計，MMR / ILS比較不正確等），從而導致性能下降-並非計算機本身。

計算機始終自發地發生故障。您不習慣這種做法，因為您沒有使用很多計算機。但是考慮一下像Google這樣的人，他運行著包含數千台計算機的大型數據中心。運行Google的軟件是基於這樣的明確假設而設計的：計算機每天都會發生多次故障，因此會發生故障。現在，一架飛機並沒有太多的計算機，但是它包含的計算機對安全至關重要。因此，將它們複製以確保其失敗不會引起問題。

如果從嚴格的工程學角度來看這一點，那麼像任何東西一樣的微處理器都具有循環壽命。通常來說，它很長，您發布此PC的PC很可能會過時，直到達到生命週期為止。儘管微處理器沒有活動部件，但它確實從各種傳感器獲取輸入。我只能假設輸入以某種方式融合，但這並不意味著尖峰確實消除並隔離。就其價值而言，即使相對較小的浪湧也會使微處理器炸毀。請記住，要謹慎使用多個系統。隨著技術規模的不斷縮小，攜帶備件變得越來越容易和便宜，因此從銷售的角度來看，您可以放心。同樣，擁有它而不使用它比在需要時沒有它更好。

要直接解決您的問題，我已經在微處理器，微控制器等領域工作了很長時間。在那段時間裡，我可能自發地發生了兩到三個故障，通常與熱量有關。在飛機上，這似乎不是問題，但實際上，對於電子產品，極冷會導致問題以及極熱。話雖這麼說，我已經用超負荷輸入擊中了無數單位。假設您的飛機被照明擊中（我知道現代航空公司對此有所保護），但出於爭論的緣故，我們要說一個地面不好：這很容易舉起一個單位。

側面說明：如今，內存芯片/驅動器發生故障的可能性更大。這可能是您永遠不會知道的，因為大多數現代計算機都可以處理磁盤或系統內存中的死內存。

在特定冗餘方面，這些系統的安裝環境可能是最大的因素。不僅許多系統在狹窄的空間內緊密地擠在一起，而且那裡的氣流通常非常有限。熱量是許多微處理器的巨大破壞者。由於發動機旋轉，飛行中的湍流以及簡單的降落，飛機也會產生很大的振動。不良的焊點和低於標準的壓接工作或鬆動的連接器後蓋，或者連接不良，或更糟的是，斷續。

通常，如果您需要冗餘，則在工作中體驗BSOD，相對而言沒什麼大不了的。您可能會丟失正在處理的文檔，僅此而已。如果飛機系統失靈，您將面臨真正的問題。這很難實現，但是存在冗餘是因為數百人的生活都依賴它。

處理器故障的可能性確實很小，但不為零。處理器出現故障時，在故障和重新引導後的全部功能之間的過渡時間內會發生什麼？如果發生這樣的罕見事件，我們是否可以積累足夠的經驗來確保我們已經在所有情況下進行了測試？我們在這裡談論的是< $ 10 ^ {-9} $數字。

備份很容易出現隱藏的故障。通常不使用備份，僅在需要時才打開備份-備份後的東西生鏽了，或者時髦的模具緊貼在舒適的熱點中，導致啟動時短路？墨菲仍然困擾著航空航天應用。備份可以在起飛前進行測試，但是如果搖晃 並且主處理器出現故障怎麼辦？機會很小，但是如今所有重大事故都是由類似這樣的不太可能的事件引起的。 。如果您可以在沒有主設備的情況下使用備用系統，或者可以保證備用系統始終可以正常工作，例如手動操作飛行控制，則可以使用備用系統。

巡航中的自動駕駛儀並非如此飛行關鍵，可能會斷開連接而不會造成嚴重後果。在CAT III降落中，只有在您駕車上才能看到跑道，它們絕對至關重要。您不希望自動駕駛儀在距跑道10米的地方斷開連接，沒有能見度，一陣陣陣側風-沒有時間進行後備飛行。

如果微處理器過熱或過載並自發地發生故障，我希望它停止執行任何操作並且不產生任何輸出。

您是否曾經超頻CPU或觀看舊的硬件死了嗎？當CPU仍在運行時，您會獲得各種奇怪的工件。

在飛機上，安全比任何其他因素都更為重要（此後才是實現燃油效率的最佳重量，而總成本則排在第三位）。如果飛機不安全，就不會有足夠的人飛行，航空業就會崩潰。這就是為什麼有FAA規定的原因，也就是為什麼有這麼多航空公司規定的原因。 （機場安全檢查是另一個主題，與移民的國家/政治安全等相關，因此，當我們說飛機的“安全性”時，我指的是工程方面的信息）

機載關鍵系統（即需要飛行飛機的系統）將需要冗餘。就像噴氣發動機中的燃燒器有2個點火器，即使一個也足夠。同樣，如果一個引擎發生故障，另一個引擎可以使飛機飛行，並且計算機將補償左右力的不平衡。飛機上的許多系統都依賴計算機，因此它需要一個“計劃b”（冗餘是“計劃b”之一）

因為，儘管理論是好的，但事實是並非所有計算機組件都是平等的。

上世紀90年代初的一個具體例子：英特爾生產486/33 CPU（這是非常先進的而且一天的速度非常快）。大多數人都離開工廠就好了，但是有些人在FPU中有一個深奧的錯誤，可能會產生錯誤的答案。當天的雜誌中充斥著各種計算結果，您可以將這些計算結果放入電子表格中，如果您的CPU良好，則將生成X；如果存在錯誤，則將生成Y。

如果您的飛機碰巧在其中一個運行中其中有故障的CPU，恰好收集到正確的數據集並將其輸入到任何飛行控製程序中，並遇到此FPU錯誤，您會很高興其他兩個CPU計算出正確的值並將其踢出錯誤地退出循環。