三模冗余（Triple Modular Redundancy，TMR）是一种经典的硬件容错技术，核心是通过 “三取二” 多数表决机制屏蔽单个模块故障，保障关键系统在极端环境下的高可靠运行，广泛用于航空航天、汽车电子、核电等领域。
核心原理与架构
TMR 的基本架构由 3 个独立模块 + 1 个表决器组成，工作流程如下：
- 三个功能完全相同的模块并行接收同一输入，独立执行相同运算。
- 三个模块的输出送入表决器，按 “少数服从多数” 原则裁决（2 个及以上一致则输出该结果）。
- 单个模块故障时，另外两个正常模块的一致输出可覆盖错误，系统保持正确运行。
- 仅当两个及以上模块同时故障（极小概率事件），才可能导致表决错误。
关键实现要点
| 要点 | 说明 |
|---|---|
| 模块独立性 | 需独立供电、时钟、计算资源，避免共模故障（如电磁干扰同时影响多模块）；可选异构设计（不同芯片 / 算法）降低系统性缺陷风险 |
| 同步机制 | 确保三模块输入一致、执行时序同步，防止表决因时序差异失效 |
| 表决器设计 | 硬件表决器：延迟低、成本高，适合航空航天；软件表决器：灵活但需控制时序，适合自动驾驶 ECU 等场景 |
| 故障处理 | 可搭配诊断与重构机制：检测到模块故障后，隔离故障模块并启用备用模块，提升长期可靠性 |
可靠性与数学模型
- 单模块失效率为 λ 时，TMR 系统理论失效率约为 3λ²（假设模块故障独立），远低于单模块的 λ，可靠性显著提升。
- 局限：无法应对三个模块输出全不同的情况；表决器本身故障可能导致误判，极端场景可采用 “表决器三重冗余”（TMR-of-TMR）进一步强化。
典型应用场景
- 航空航天：卫星、航天器的控制单元，抵御宇宙射线导致的单粒子翻转（SEU）等软故障。
- 汽车电子：自动驾驶的决策 ECU、制动控制模块，保障行车安全。
- 工业控制：核电站、化工生产的安全仪表系统（SIS），防止故障引发重大事故。
- 医疗设备：心脏起搏器、手术机器人的核心控制模块，确保医疗过程可靠。
优缺点总结
| 优点 | 缺点 |
|---|---|
| 有效屏蔽单个模块故障，容错能力强 | 硬件成本高（3 倍资源开销），体积与功耗增加 |
| 无需中断系统即可实时纠错，可用性高 | 设计复杂，需解决同步、表决器可靠性等问题 |
| 理论可靠性提升显著，数学模型成熟 | 无法应对共模故障，需额外设计隔离与异构机制 |
嵌入式 C 语言实现思路（简化示例）
#include <stdint.h> // 三模块计算函数（示例：计算输入的平方） uint32_t module_calc(uint32_t input) { return input * input; } // 多数表决器：返回三个值中的多数结果 uint32_t voter(uint32_t a, uint32_t b, uint32_t c) { if ((a == b) || (a == c)) return a; return b; // 此时b == c } // TMR主函数 uint32_t tmr_system(uint32_t input) { uint32_t res1 = module_calc(input); uint32_t res2 = module_calc(input); uint32_t res3 = module_calc(input); return voter(res1, res2, res3); }- 说明：实际嵌入式系统中，需确保三个模块的独立性（如独立定时器、ADC 通道），并处理同步与故障诊断，该示例仅展示核心逻辑。