冗余Redundancy

给关键环节留备份和余量，让局部失效不至于变成整个系统停摆。

一艘原本准备登月的舱体，接过了让三名宇航员活着回家的任务。1970 年 4 月 13 日，阿波罗 13 号在飞往月球途中发生氧气罐爆炸，服务舱失去大量氧气，依赖氧气工作的燃料电池也无法继续正常供电。吉姆·洛弗尔、杰克·斯威格特和弗雷德·海斯放弃登月，转入登月舱，靠它的供电和生命保障设备维持生存。地面团队帮助他们节省资源、调整航线，最后再用指令舱返回地球。原计划中暂时用不上的另一套设备，此时撑住了整次任务。

为什么成立

备用通路把停摆条件变得更苛刻

一台泵就够供水时，再装一台能独立供水的泵，坏掉一台就不必停水。这就是冗余：多准备能接替关键功能的部件，或给现有部件留下承受额外负担的余量。

两台泵都在运行、任意一台足以供水时，系统只有在两台都失效后才会停水。设每台泵在同一时段内失效的概率都是 $p$ ，两台的失效相互独立，且没有其他停水原因，则：

$P (停水) = p^{2}$

白话说，系统停摆要碰上两次独立故障。每台失效概率为 10%，两台同时失效的概率就是 1%。

余量让负担增加后仍有承受空间

一根承重构件预计承受 10 千牛，按同一失效标准计算的承载能力为 20 千牛，安全系数就是：

$n = \frac{承载能力}{设计载荷} = 2$

白话说，设计载荷只用了承载能力的一半。备份靠另一条通路接替，安全系数靠同一构件多承受一些；它为载荷偏差和强度波动留下空间。

真正的备份要能躲过同一次故障

两台泵共用一条供电线，断电就会一起停。备用泵还必须有足够流量，能及时启动，并经过试运行。冗余的价值取决于故障后还剩多少可用能力，而不是平时多放了多少设备。

出处

冗余没有单一发明者，长期用于机械、土木和电气工程；安全系数则把承载余量写进设计。1956 年，数学家约翰·冯·诺伊曼发表《概率逻辑与由不可靠元件合成可靠系统》，研究如何通过增加元件和组织方式提高可靠性。阿波罗 13 号是备用能力挽救系统的著名工程实例。

换个领域看

商业运营

第二条供货路

面包店的备用供应商要能在主供应商停供后送来面粉。店主平时就向另一家磨坊少量订货，确认品质、交期和送货路线。主磨坊停机时，这家磨坊能接单，库存则撑过送货前的两天。若两家供应商都从同一座磨坊拿货，两份合同仍只有一条供货路。

航天工程

两套一起出错

1996 年，欧洲阿丽亚娜 5 号火箭首飞失败，主、备惯性基准系统先后因相同的软件错误停止工作。两套设备运行相同程序，遇到相同数据，就触发相同故障。备用系统能抵挡一台设备单独损坏，却挡不住两套程序共有的缺陷；这次事故把共同失效的代价暴露了出来。

个人投资

留钱等收入恢复

投资者留出的生活费，能让收入中断时的日常开支继续运转。一个家庭每月必要支出一万元，另留六万元可随时取用的现金。失业与股市下跌撞在一起时，这笔钱能支付六个月开支，让家人有时间寻找工作，也避免为付房租立刻卖出股票。这笔余量换来的是等待收入恢复的时间。

遇事时问自己

哪一个部件、人员或来源一旦失效，就会让整件事停下来？
它失效后，剩下的设备或资源能撑住最低需求多久？
主用和备用是否共用电源、地点、软件或上游，因而会一起失效？
我是否实际试过接管或恢复，确认备份能在可容忍的时间内起作用？
再加一份备份能减少多少损失，它的维护成本和新增故障点是否值得？

边界与误用

故障损失很小、恢复很快时，增加备份的成本会超过收益。多一套设备还会增加维护工作、切换环节和故障点；长期不用也不测试的备份，会在接管时暴露损坏。最常见的误用是把数量当成独立性：同一机房里的两台服务器会一起断电，同步备份会跟着复制误删。安全系数也只覆盖设计所考虑的载荷与失效方式，不能把漏算的故障变成安全。先修掉反复出错的源头，再为仍无法消除的故障留后路。

练一练

出版社的外文编辑要在周五下班前交付100页展览图录译稿。两位译员都熟悉术语，也能独立取得资料；每人当天最多完成60页，原计划各做50页。编辑认为，任何一人临时请假，另一人都能保证按时交稿。

哪种判断最站得住？

一名急诊护士下夜班回家，曾因忘带钥匙被锁在门外。她希望以后遇到同样情况，半小时内能进门。同层的退休住户愿意代管钥匙，通常十分钟内能来开门；她的备用钥匙和备用手机目前都放在屋内。

哪一步最能支持她的目标？

一名退休教师每季度整理一次基金收益记录。券商的报表工具过去一年卡住两次，每次重新运行十分钟就恢复，记录没有丢失，也没有耽误交易。她考虑每年花3000元订阅另一套工具，只为在卡住时立即生成同样的报表。

根据这些情况，哪种判断最站得住？