Em TI, mais hardware é redundância, mas na aviação um responsabilidade

Resposta curta

• Em TI, ter redundância e diversidade é de baixo custo e nenhuma responsabilidade, mas altos ganhos na confiabilidade do serviço.

• Na aviação, redundância e diversidade são um alto custo e um passivo, sem aumento na confiabilidade do serviço.

A resposta longa

A grande diferença é que, no caso de uma falha de hardware na TI, você perde apenas um pouco de capacidade. O serviço permanece ativo, os clientes nem percebem, a receita permanece intacta. Em TI, uma falha está correta e pode acontecer.

Na aviação, falha significa que você perde todo o serviço. Todas as operações estão centradas na filosofia de que falhar não é uma opção, no sentido: podemos lidar com isso ... mas custa muito e realmente não queremos fazê-lo.

Vamos passar por todas as consequências de um fracasso ...

Lesão, perda de vidas

• IT: um blade de servidor cai. E daí? Ninguém está ferido, ninguém morre.
• Aviação: Um motor se despedaça. Que. Is. Não. bom. Perder / prejudicar colegas e / ou clientes no trabalho não deve acontecer.

Interrupção no serviço, perda de receita

• IT: um blade de servidor cai. E daí? O desempenho do serviço é um pouco degradado. Mas os clientes não são afastados. Você não perde receita com isso.

• Aviação: um motor se desfaz. Agora você está perdendo dinheiro rapidamente, porque a partir desse momento a aeronave é um custo, não uma fonte de receita.

A principal diferença aqui é que, em TI, você está perdendo apenas uma porcentagem do serviço. Na aviação, assim que ocorre uma falha no motor, você perde o todo serviço. Isso significa que mais motores são um passivo, porque significam mais pontos possíveis de falha.

Primeiro, o voo em questão é instantaneamente cancelado / interrompido, porque você não continua voando como se nada tivesse acontecido. Você está pousando a aeronave no chão e está fazendo agora. Isso significa acomodar todos os passageiros, hospedando-os em um hotel ou reagendando-os em outros voos ... tarifas para as quais você deve escolher a guia.

Segundo: a aeronave está agora sem comissão para reparos não programados. Isso é importante, porque os aviões ganham toda a sua receita enquanto voam; eles não ganham nada enquanto estão em uma oficina. Um avião de passageiros gasta cerca de 2 / 3 de sua vida útil no ar. Ou seja: 16 fora do 24 horas todos os dias, durante os anos 20-30, supõe-se que um avião esteja no ar ganhando dinheiro.

Terceiro, você pode apostar que alguém estava com o telefone - mesmo que você tenha dito para desligá-lo - e filmou tudo. Em seguida, ligam para o tablóide e enviam o e-mail pelo link do clipe do YouTube. O logotipo da sua companhia aérea está agora no noticiário da noite, seu fracasso foi publicado em todo o país e no mundo. Isso significa perda de confiança do cliente, o que significa mais perda de receita.

Substituindo o hardware interrompido

• IT: o custo do hardware quebrado e as horas necessárias para substituí-lo raramente são contabilizados em excesso de 10 000 USD. Agora concedido, isso acontece muito mais frequentemente do que uma falha no motor de uma aeronave, mas, em geral, esse é um custo muito pequeno.
• Aviação: O custo de um mecanismo está na faixa de 5 000 000 USD e superior. Uma nova Rolls Royce Trent 1000 é 15 000 000 USD. Acrescente a isso centenas de horas de trabalho para retirar o motor de reposição, enviá-lo para o local do pássaro ferido, remover o motor preso, inspecionar a aeronave quanto a danos e certificar-se de que ele se encaixa o suficiente para voar, colocar o novo motor, obter a aeronave de volta ao serviço.

Manutenção

Outros já passaram por isso, então vou mencionar brevemente: os custos de manutenção são contados por unidade na aviação. O dobro de motores = o dobro do custo de manutenção. Esse não é o caso em TI.

Além disso - e este é o cerne da sua pergunta - você pergunta por que, na aviação, alguém procura comunalidade em vez de diversidade. Isso ocorre porque, na aviação, o conhecimento e a experiência de um sistema são mercadorias. Dobrar o número de tipos de sistemas (como mecanismos diferentes) e dobrar a quantidade de pessoas que você precisa contratar, além de dobrar a quantidade de experiência que você precisa acumular.

Além disso, a infraestrutura de suporte necessária para lidar com um tipo de sistema é diferente da seguinte. Novamente: você multiplica o custo de manutenção para cada tipo de sistema que você adiciona à sua organização.

Conclusão

A única razão pela qual os aviões não passaram a usar apenas um motor por aeronave é por motivos de segurança ... já que a única coisa mais inaceitável do que ter um motor parado no meio do vôo é ter todos motores parar.

Em TI, ter redundância é de baixo custo e sem responsabilidade, mas oferece altos ganhos na confiabilidade do serviço. Na aviação, a redundância é de alto custo e um passivo, sem aumento na disponibilidade do serviço. O mesmo vale para a diversidade: não há ganhos a serem obtidos com ela.

Então, em conclusão: o fracasso não é uma opção. Podemos lidar com isso, mas - diferentemente da TI - qualquer falha desse tipo é um evento caro e muito perturbador. Nós simplesmente não queremos ter que lidar com isso. Como mais hardware e diversidade de hardware, aumenta tanto o risco de falha quanto os custos de manutenção e suporte, não há nada a ser ganho com a diversidade e redundâncias redundantes.

Os motores não falham, em média. E se o fizerem, é muito baixa a probabilidade de dois motores falharem ao mesmo tempo.

Os modernos motores a jato são extremamente confiáveis, com taxas de falha na ordem de 0.01 / 1000hrs. E se você do falha, você tem redundância, pois possui dois (ou mais) mecanismos. Um avião pode permanecer no ar e pousar com um único motor.

Isso acrescentaria muitos custos de complexidade e manutenção, sem benefícios reais.

Se a falha for externa, como água no combustível, falta de combustível ou ingestão de cinzas, é improvável que dois motores diferentes ajudem, porque todos os motores a jato funcionam de maneira muito semelhante. O problema externo simplesmente afetaria os dois, talvez a taxas ligeiramente diferentes, mas, no final, os encerraria de qualquer maneira.

Portanto, agrega custo e complexidade, sem fornecer nenhuma melhoria real. Os revestimentos a jato simplesmente não batem porque todos os motores param devido a problemas internos.

O único caso em que seria a ajuda é se houver uma falha de projeto no motor, por exemplo, manifestando-se na quebra da turbina após x horas. Mas os motores são extensivamente testados antes de serem colocados em produção em série, e isso ocorre muito raramente em aeronaves de produção. Além disso, a probabilidade de o mesmo problema ocorrer em dois motores em um período de tempo esportivo como um voo, mas não durante os testes, é uma probabilidade bastante baixa.

Os custos de manutenção são um grande negócio. Os custos de manutenção em vários tipos de motores para uma frota do mesmo avião seriam um grande negócio - treinamento, peças, etc. O rastreamento e relatórios meteorológicos em todo o mundo permitem que os pilotos evitem cinzas, tempestades na maioria das vezes e outros tipos de clima severo que são difíceis de voar e pode deixar os clientes irritados.

Eu não acho que ter um motor que seja forte em uma coisa e fraco em outra em comparação com o outro motor acabaria sendo o cenário mais econômico em termos de combustível, e as companhias aéreas têm tudo a ver com eficiência de combustível. Qualquer coisa que aumente os custos não voará, por assim dizer, a menos que as agências de supervisão do governo o tornem um requisito obrigatório.

Uma coisa ainda não abordada é a Modo de falha de sistemas de computadores versus sistemas mecânicos.

Em sistemas de computador, a redundância pode não ser suficiente se os modos de falha não forem independentes um do outro; isto é, se houver um falha de design. Se os dois sistemas contiverem exatamente o mesmo bug e realizarem exatamente os mesmos cálculos, os dois computadores terão o mesmo erro. A solução é ter dois computadores programados independentemente trabalhando em hardware diferente. Isso é feito na aviação para os computadores de vôo mais críticos.

É muito menos provável que os sistemas mecânicos sejam exatamente os mesmos em dois componentes. Embora uma falha de design possa levar a uma eventual falha de um componente, é improvável que isso ocorra em vários componentes ao mesmo tempo. As condições mais extremas são tratadas durante o teste inicial; portanto, a maioria dos problemas "despercebidos" são falhas graduais como fadiga. Como a fadiga depende de defeitos aleatórios no material, é extremamente improvável que dois sistemas falhem ao mesmo tempo.

Para ter uma idéia de como é improvável que uma falha de mecanismo duplo possa ser evitada por mecanismos diferentes, verifique a Wikipedia Lista de voos de companhias aéreas que exigiram planagem, que suponho ser uma compilação razoável de falhas de mecanismo duplo. A grande maioria é causada por exaustão de combustível, desligamento do motor errado ou condições extremas que desabilitariam qualquer motor. Embora não esteja contido nesta lista, acho que o único acidente em que eu poderia me beneficiar com dois motores diferentes é British Airways vôo 38 que caiu perto da pista devido a trocadores de calor de combustível / óleo igualmente obstruídos.

@CrossRoads aborda bem as implicações de manutenção

Além disso, manter os motores do mesmo modo simplifica muito a operação e evita possíveis erros do usuário. Lembre-se de que muitas das estruturas comuns existentes são de design antigo (> 20 anos) e geralmente vêm de uma época em que a mentalidade sobre computadores não era mais o que é hoje. FADEC tornou o controle do motor em aeronaves muito mais simples e potencialmente tornaria sua situação possível. Mas em um período anterior a esse número de parâmetros que variariam entre os motores, um piloto seria responsável por saber o dobro da quantidade de números críticos apenas para pilotar o avião. Por exemplo

• Queima de combustível: Mesmo motores semelhantes na mesma estrutura terão diferentes queimaduras de combustível. Isso é importante para o planejamento de viagens, a eficiência e os cálculos de reserva. Geralmente em uma aeronave multimotor, você pode fazer certas suposições sobre todos os motores serem iguais.

• Parâmetros de empuxo: Nos dias de pistão, isso era Pressão de admissão em jatos sua N1, N1 e EGT. Se você tem um tipo de mecanismo, deveria veja praticamente os mesmos números no painel para uma determinada configuração de energia. Se você introduzir uma situação em que os mecanismos sejam diferentes, precisará conhecer todas as combinações para cada mecanismo independente. A digitalização rápida do painel também geraria muita confusão.

• Parâmetros de operação do mecanismo: nem todos os mecanismos têm os mesmos parâmetros de operação; portanto, agora você cria uma situação em que deve conhecer os parâmetros dos dois mecanismos e essencialmente o conjunto resultante de parâmetros operacionais que permitirão que você faça alguma coisa. Digamos que o motor 1 tenha um limite de impulso máximo de minuto 5 e o motor dois tenha uma limitação de impulso máximo de 4 minuto de 30, agora você só pode fazer aumentos de empuxo máximo por 4 minutos de 30 segundos devido ao número mais baixo. Você também pode ter procedimentos de emergência diferentes, o que pioraria ainda mais as situações de alto estresse.

• Conexões: você também encontra (em algum nível) um simples problema de conexão. Motores diferentes podem exigir montagens físicas diferentes, bem como montagens elétricas / de controle diferentes, o que significa que você precisará de uma mistura confusa de componentes.

O fracasso é um grande problema, mas é tratado de maneira diferente do que você descreve. Na aviação, a noção é que você atenua a falha do motor apenas com um segundo mecanismo. Não há realmente um benefício adicional (na prática) misturando os tipos de motores em uma aeronave. Ignorar situações em que os motores falharam por razões externas (falta de combustível, nuvem de cinzas vulcânicas etc.) falha recente do motor incidentes que temos só vi um único mecanismo falhar Apesar de ambos são do mesmo tipo.

FWIW alguns gêmeos de pistão resolva o problema da rotação contrária, com motores que realmente giram (na manivela) em direções opostas. Embora quase sempre tenham o mesmo design de motor com cames e manivelas feitas para girar na direção oposta, eles são, estritamente falando, motores diferentes.

No mundo da TI, o hardware redundante normalmente fica em espera para ser usado como failover. Esta comparação não voa [sic] quando se trata de aviões.

• Os motores de um avião estão em uso contínuo o tempo todo, portanto não há redundância lá. Um avião não pode decolar com apenas um motor.
• Como você afirmou, deseja um desempenho semelhante entre os motores esquerdo e direito, que precisariam ser compensados ​​o tempo todo se os motores fossem de um tipo diferente de um fornecedor diferente.
• Na verdade, você tem o dobro do risco de ter um avião aterrado devido a problemas imprevistos com um determinado tipo de motor (pense em diretivas de aeronavegabilidade)
• Há também o problema de manutenção destacado pelo CrossRoads. Você precisará de peças de reposição e técnicos treinados para os dois tipos de motores, o que será muito mais complicado e dispendioso.

Esta resposta é da perspectiva da manutenção:

A manutenção da aeronave parece tão fácil até que o avião esteja cheio de passageiros e / ou carga, haja um puxão de empurrão, esteja chovendo ou nevando e todo mundo esteja olhando para VOCÊ fazer algo rápido para que o avião saia a tempo. Por que isso é relevante?

Imagine que você tem dois motores diferentes instalados em um avião. A equipe relata pelo rádio que o motor certo tem um problema, mas a transmissão estava meio distorcida. Seu líder / capataz o despacha e informa que o mecanismo certo tem algo errado. Você chega no avião e a tripulação diz: “Sim, o mecanismo do meu mecanismo esquerdo não funciona.” Você diz: “Ah. ESTÁ BEM. Foi-me dito que era o motor certo. ”A equipe diz:“ Não, afirmei no rádio que o motor esquerdo estava ruim, o motor certo NÃO tinha o problema. ”OK ... Não há tempo a perder em um ligeira falha de comunicação, você desce para olhar o motor esquerdo. Você o abre e, com base em algumas soluções preliminares, decide que a "Troca de Widget" é ruim. Nenhuma parte existe, mas chamaremos assim.

Você, com pressa, liga para o seu líder / chefe e diz: “Ei, chefe ... Envie-me uma troca de widget. Ah, a propósito ”, e naquele momento alguém da rampa entra na sua conversa, pensando que é a pessoa mais importante do mundo, e pergunta:“ O avião vai partir? ”Você responde e o piloto está parado. seu ombro querendo saber o que você pensa que é. Você explica tudo isso e depois cuida da sua empresa removendo a parte antiga enquanto sua liderança (que ainda pensa que é o mecanismo certo, recebe uma ordem para você).

A nova peça aparece, assim como você remove a antiga. Para todos os efeitos, ambas as partes parecem idênticas, mas uma é capaz de suportar internamente pressões muito mais altas que a outra. Você puxa-o para fora da caixa e joga o novo. Tudo parece bom e fica ótimo.

Você sobe as escadas para fazer uma rápida corrida no motor para garantir que tudo funcione. Isso é tudo o que o manual diz para fazer assim mesmo. Você liga o motor, mas como existem dois tipos diferentes de motores instalados, existem limites diferentes de EGT, limites de pressão de óleo e limites de fluxo de combustível. Também existem limites diferentes de "widget". Na pressa, você não percebe que os limites do seu widget são diferentes dos limites do mecanismo oposto. Afinal, são apenas algumas unidades de detecção de widget diferentes umas das outras.

Você decide que é bom e assina o diário de bordo. Você sai do avião, volta à loja e inicia o processo de iniciar sua papelada. Ao processar a peça, você percebe que os números das peças não correspondem. Só então você ouve o seu jato rugir acima na decolagem. Você tem aquela sensação de afundamento no estômago. Após os minutos 5-10, outra chamada é feita pelo rádio. O avião que você “consertou” está girando com um desligamento do motor.

A investigação é concluída com você como o único proprietário da culpa, porque você não conseguiu verificar se estava colocando a parte certa. Talvez seja verdade, mas quando todos os buracos no queijo suíço se alinham, é exatamente isso que acontece. Mau tempo, transmissões de rádio ilegíveis, interrupções, todo mundo acredita em um ambiente de cabine estéril, mas ninguém parece acreditar em um ambiente de manutenção estéril, confusão na troca de peças, etc ... Todos eles jogam contra você.

O termo técnico para esse problema é falha no modo comum, e é um foco central do design de aeronaves modernas. Onde a segurança é garantida pelo uso de redundância, as falhas no modo comum são uma ameaça à eficácia dessa redundância, sendo eliminadas ou mitigadas a cada passo.

Quando se trata de mecanismos, falhas no modo comum quase sempre se originam de lado de fora o próprio motor.

Todos os motores conectados à mesma aeronave geralmente voam pelos mesmos riscos ambientais (cinzas, animais selvagens) ao mesmo tempo e, como resultado, estão sujeitos aos mesmos modos de falha. O uso de tipos diferentes de motores só aumentaria a segurança se um desses tipos fosse menos suscetível a esses modos de falha do que o outro - mas, nesse caso, por que não torná-los todos desse tipo em primeiro lugar?

Todos os motores são alimentados pelo mesmo conjunto de tanques de combustível; portanto, se todos ficarem secos (o que geralmente ocorre devido a um erro do piloto e não a uma falha mecânica), todos serão acionados quase ao mesmo tempo - a menos que os motores estejam so diferente para exigir diferentes tipos de combustível. Com isso dito, na prática os dois lados da aeronave operam sistemas de combustível independentes em circunstâncias normais, de modo que um vazamento que passa despercebido por um tempo só tem a chance de drenar metade dos tanques de combustível e desativar a metade dos motores. Esse é o tipo de mitigação geralmente aplicado a falhas no modo comum.

aeronave existiram com motores diferentes, no entanto.

O exemplo mais óbvio e famoso seria as versões posteriores do Convair B-36 Peacemaker, que tinha seis hélices "empurrador" e quatro turbojatos, na esperança de obter os benefícios de desempenho de ambos os tipos, em vez de confiabilidade:

Beginning with the B-36D, Convair added a pair of General Electric J47-19 jet engines suspended near the end of each wing; these were also retrofitted to all extant B-36Bs. [...] The jet pods greatly improved takeoff performance and dash speed over the target. In normal cruising flight, the jet engines were shut down to conserve fuel. When the jet engines were shut down, louvers closed off the front of the pods to reduce drag and to prevent ingestion of sand and dirt.

As engine fires occurred with the B-36's radial engines, some crews humorously changed the aircraft's slogan from "six turning, four burning" into "two turning, two burning, two smoking, two choking, and two more unaccounted for." This problem was exacerbated by the propellers' pusher configuration, which increased carburetor icing. [...] Three engine fires of this nature led to the first loss of an American nuclear weapon when a B-36 crashed in February 1950.

Como experiência, um avião comercial VC-10 em serviço militar substituiu um par de seus motores turbojatos originais por um único turbofan muito maior. O objetivo do exercício era ajudar no programa de teste de voo do novo motor. Segundo informações, o VC-10 voou bem nessa configuração, mas posteriormente foi constatado que sofreu uma distorção severa na estrutura da aeronave devido às cargas de pressão assimétricas e foi retirado de serviço imediatamente.

O De Havilland Hornet, essencialmente um derivado de caça-pesado do mais conhecido bombardeiro Mosquito, foi equipado com um par de motores Rolls-Royce Merlin - mas com dois números diferentes de marcas (130, 131). Em quase todos os aspectos, esses motores eram idênticos, exceto a caixa de câmbio de tração final; um deles inverteu a direção da direção do propulsor, enquanto o outro não. Isso tornou a aeronave igualmente fácil de virar para qualquer um dos lados (muito mais importante em um caça do que em um bombardeiro) e também tornou mais perdoável voar em uma situação de queda de motor.

Indiscutivelmente, aeronaves em configuração push-pull, como o Cessna Skymaster, poderiam ser descritas como possuindo essa propriedade. Embora ambos os motores sejam nominalmente semelhantes, suas montagens são suficientemente diferentes para induzir diferentes modos de falha em diferentes circunstâncias adversas. No entanto, as taxas individuais de falha por motor serão comparáveis ​​às aeronaves convencionais de monomotor e bimotor, e qualquer falha de motor será tratada como uma emergência que requer um retorno rápido a solo sólido.

Todos os aviões comerciais têm pelo menos dois tipos de motores. Isso é verdade mesmo para aeronaves monomotor.

O primeiro tipo de motor é, obviamente, o que o avião usa. O segundo motor é a gravidade.

Como parte dos testes de aeronavegabilidade, todos os aviões comerciais devem ser aerodinamicamente estáveis. Para que um avião seja aerodinamicamente estável, ele deve ter a propriedade de ter uma margem estática positiva. Margem estática é uma medida aerodinâmica da estabilidade de um avião.

No termo leigo, a margem estática é freqüentemente chamada de "pode ​​deslizar". Aviões que não podem planar simplesmente não são estáveis ​​o suficiente para serem controlados por um humano. Observe que aviões que não podem deslizar podem ser controlados por computadores. De fato, muitos caças modernos são deliberadamente projetados para serem instáveis ​​(não podem deslizar), a fim de melhorar o desempenho de combate em área.

Por esse motivo, não há nada a ganhar com o uso de motores diferentes em uma aeronave, ao mesmo tempo em que incorrem em desvantagens significativas em termos de engenharia, manutenção, gerenciamento de arrasto e combustível.

Note: for a reference on how far commercial airliners can glide, google "Gimli glider". A typical airliner is almost as efficient as a purpose-designed glider or sailplane.

Also note: I used the word "airplane" instead of "aircraft" because this does not apply to helicopters or (in the near future) multirotors. For helicopters there is a similar reasoning due to autorotation. For multirotors most designs cannot survive total power lost so will just drop like a rock. Some designs are based on helicopter collective pitch so they can also do autorotation

Esse princípio de segurança através do uso de projetos diferentes para o mesmo objetivo é realmente usado em aviões reais, mas não para os motores.

Para alguns dos sistemas mais críticos de um avião (como, por exemplo, tudo o que é necessário para fazer as abas se moverem quando o piloto decide), geralmente há um sistema totalmente eletrônico complementado com um fallback mecânico. A redundância é apenas uma das várias maneiras disponíveis para fabricantes de aviões e sistemas para provar que seu avião é seguro para as autoridades de certificação. As normas atualmente usadas na maior parte do mundo realmente definem com muita precisão o que é esperado quando dois sistemas são redundantes. Uma dessas expectativas é que os dois sistemas venham de duas empresas diferentes e que os engenheiros não se encontrem para o almoço (estou parafraseando). O ponto é que modos comuns de falha causados ​​por defeitos de projeto são evitados, garantindo que a engenharia dos dois sistemas seja realizada de forma independente.

Segurança tem tudo a ver com trocas e experiência (e às vezes, as tradições da autoridade ...). Não são muitas as empresas que fabricam motores a jato ... Eu posso supor que os problemas do motor quase sempre ocorrem devido ao ambiente (e, portanto, afetariam todos os motores da mesma maneira) e não são uma falha na maneira como o motor foi fabricado. Os motores são testados com um rigor incrível. Considerando tudo isso e os problemas de logística / pilotagem que o uso de motores diferentes traria, há pouco sentido em não usar os mesmos motores.