Quadrupel-Redundanz

Herkunft und Begriff

Der Begriff setzt sich aus lateinisch quadruplus (vierfach) und redundantia (Überfluss) zusammen. Im Englischen ist „quadruple redundancy“ oder „quadruplex“ gebräuchlich.

Vierfach redundante Rechnersysteme entstanden mit der elektronischen Flugsteuerung (Fly-by-Wire) in Luft- und Raumfahrt. Die NASA berechnete in den 1970er-Jahren für Fly-by-Wire-Flugzeuge, dass dreifach ausgelegte Steuerungen etwa drei Flugzeuge je eine Million Flüge verlieren würden, vierfach ausgelegte etwa vier je eine Milliarde Flüge.

Funktionsweise

Das bekannteste Beispiel ist das Space Shuttle (1981 bis 2011). Es hatte fünf baugleiche Bordcomputer. Beim Start und bei der Landung arbeiteten vier davon als redundanter Verbund mit identischer Software:

• Synchronisation: Die Rechner glichen sich an festen Punkten des Programmablaufs ab und tauschten mehrmals pro Sekunde Prüfsummen ihrer Ergebnisse aus. Ein Rechner, der dreimal hintereinander abwich oder zu spät antwortete, galt als ausgefallen.
• Abstimmung: Abgestimmt wurde an den ebenfalls vierfach ausgelegten Stellgliedern. Die Befehle eines fehlerhaften Rechners wurden von den drei übrigen überstimmt.
• Fail operational, fail safe: Nach einem Ausfall blieb das System voll einsatzfähig, nach einem zweiten noch sicher. Eine dritte Stufe hätte fünf Rechner im Verbund erfordert; die NASA verzichtete aus Kosten- und Zeitgründen darauf.

Der fünfte Rechner lief mit eigenständig entwickelter Ersatzsoftware, dem Backup Flight System, und konnte von der Besatzung zugeschaltet werden. Er sollte Fehler abfangen, die alle vier Hauptrechner wegen ihrer gemeinsamen Software gleichzeitig betreffen.

Varianten

Dass vier Teilnehmer die Mindestzahl sind, um einen einzelnen beliebig fehlerhaften Teilnehmer zu verkraften, folgt aus dem 1982 veröffentlichten Ergebnis zur byzantinischen Fehlertoleranz.

Anwendung

Quadrupel-Redundanz kommt in Flugsteuerungen, in der Raumfahrt und in sicherheitskritischen Industriesteuerungen vor. Im Oktober 2026 schlug der Computerlinguist Hans Uszkoreit in der ZDF-Sendung „Markus Lanz“ vor, das Prinzip auf künstliche Intelligenz zu übertragen: Kritische Entscheidungen sollten von mehreren gleich leistungsfähigen, getrennt trainierten KI-Systemen gemeinsam abgesichert werden, statt einem einzelnen System zu vertrauen. Er schrieb die Architektur dabei dem Apollo-Programm zu; die beschriebene Anordnung aus vier Rechnern und einem fünften mit anderer Software entspricht dem Space Shuttle.

Abgrenzung zu verwandten Begriffen

Kritik und Grenzen

• Gemeinsame Fehler: Redundanz wirkt nur gegen voneinander unabhängige Fehler. Identische Software oder ein gemeinsamer Konstruktionsfehler trifft alle Einheiten gleichzeitig.
• Komplexität: Der Abgleich selbst kann Fehler verursachen. Der erste Startversuch des Space Shuttles am 10. April 1981 wurde abgebrochen, weil sich der Ersatzrechner wegen eines Zeitfehlers nicht mit den Hauptrechnern abstimmen konnte.
• Aufwand: Vier Einheiten bedeuten mehr Kosten, Gewicht, Energiebedarf und Wartung.
• Übertragung auf KI: Sprachmodelle lernen aus ähnlichen Daten mit ähnlichen Verfahren. Ihre Fehler sind deshalb oft korreliert, was die Wirkung einer Mehrheitsabstimmung zwischen Modellen begrenzt.

Siehe auch

• Byzantinische Fehlertoleranz
• N-Versionen-Programmierung
• KI-Agent
• Praxis: Quadrupel-Redundanz: Was KI-Agenten von der Raumfahrt lernen können