2. 高可用控制需求分析
在TwinCAT冗余与高可用控制工程中，需求分析不是“先买两台PLC再说”的采购动作，而是把工艺连续运行要求翻译成可验证的可用性目标、故障假设和冗余架构约束的过程。若跳过这一步，常见后果是：冗余等级过高导致成本浪费，或冗余等级不足导致单点故障仍然停机。本节围绕五个核心问题展开：可用性如何量化、故障如何系统识别、冗余等级如何定义、停机成本如何折算，以及如何从工艺需求反推冗余方案。
一、可用性指标：把“不能停”变成可计算的目标
可用性（Availability）最常用的工程表达为：
A = MTBF / (MTBF + MTTR)其中MTBF为平均无故障时间，MTTR为平均修复时间。例如某包装线控制器历史统计MTBF≈8760 h（约1年），故障后平均修复时间MTTR=8 h，则A≈8760/(8760+8)=99.909%。若工艺要求年停机不超过4 h，则允许不可用度为4/8760≈0.0457%，对应可用性约99.954%，当前方案不达标。此时有两种方向：提高MTBF（选用更高等级硬件、降低负载、改善环境），或压缩MTTR（热备切换、在线更换、远程诊断）。冗余主要作用于后者，把“修复时间”从小时级压缩到秒级甚至毫秒级。
除可用性外，还需同时定义：切换时间（主站故障到备站接管的时长）、数据一致性窗口（允许丢失的过程数据时长）、RTO（恢复时间目标）与RPO（恢复点目标）。对TwinCAT而言，RTO对应PLC切换与EtherCAT重建时间，RPO对应过程映像与保持型变量的同步周期。这三个指标必须与工艺允许的扰动时间对齐，否则冗余只是“看起来可靠”。
二、故障模式与影响分析（FMEA）：找出真正会停机的路径
FMEA的目标不是罗列所有故障，而是识别导致整线停机的单点故障与共因故障。建议按“部件—故障模式—局部影响—系统影响—现有探测—严重度S/频度O/探测度D—RPN”组织。以下为某TwinCAT冗余包装线控制系统的简化FMEA示例（示例数据，用于教学演示）：
| 部件 | 故障模式 | 系统影响 | S | O | D | RPN | 建议措施 |
|---|---|---|---|---|---|---|---|
| 主PLC CPU | 看门狗复位/死机 | 整线停机 | 9 | 3 | 2 | 54 | 热备冗余+心跳 |
| EtherCAT主站网口 | 链路中断 | 从站失联停机 | 8 | 4 | 2 | 64 | 环网冗余+线缆双路径 |
| 24 V供电 | 电源模块失效 | PLC与IO掉电 | 9 | 2 | 3 | 54 | 双电源并联+二极管解耦 |
| 交换机 | 端口/整机故障 | 上位与PLC通信中断 | 6 | 3 | 4 | 72 | 环网+冗余耦合器 |
| 同步光纤 | 断裂 | 主备失同步 | 7 | 2 | 3 | 42 | 双路径光纤+链路监测 |
FMEA中要特别警惕共因故障：主备PLC若共用同一电源、同一交换机、同一机柜风扇或同一根同步光纤，则冗余在共因失效下同时失效。因此冗余设计的第一原则是物理与电气路径分离，第二原则是同步链路本身也要冗余或可监测。
三、冗余等级定义：从L0到L5的工程含义
冗余等级不是越高越好，而是与工艺允许的扰动时间、投资预算和维护能力匹配。工程上可划分为：
- L0 单机：无冗余，故障即停机。适用于非关键辅机、可离线维修的工位。
- L1 冷备：备用控制器断电或未加载程序，故障后人工上电、下载、启动，切换时间分钟级。
- L2 温备：备机运行但不同步过程映像，切换时需重新初始化，切换时间秒级，可能丢失部分状态。
- L3 热备：主备同时运行，通过同步链路周期同步过程映像与保持变量，主站故障后备站在一个周期内接管，切换时间可做到≤200 ms甚至更低。TwinCAT冗余通常落在此等级。
- L4 容错：不仅控制器冗余，IO、电源、网络均双路径，单点故障无扰动，成本最高。
- L5 多站点：跨机柜、跨车间甚至跨厂区冗余，应对火灾、水淹等区域级灾难。
对TwinCAT热备而言，关键参数包括：同步周期（如10 ms）、同步数据量（过程映像+保持变量）、心跳超时（如3个周期）、切换判据（心跳丢失、看门狗、IO故障）。这些参数直接决定RTO与RPO，必须在需求阶段就与工艺确认。
四、停机成本评估：让冗余投入有经济依据
停机成本通常由四部分构成：直接停产损失（产能×单位利润）、废品与返工、重启与清洗（化工、食品行业尤为显著）、合同违约金与信誉损失。示例：某产线每小时产值1.2万元，毛利率30%，则每小时停产毛利损失约3600元；若每次停机还需2 h清洗与首件验证，则单次停机综合损失约3600×2+清洗人工与物料约5000元≈1.22万元。若年故障停机4次，年损失约4.9万元。而L3热备冗余增加硬件与工程投入约8万元，按3年折旧，年分摊约2.7万元，低于停机损失，方案在经济上成立。若年停机仅0.5次，则需重新评估是否降为L2或加强预防性维护。
五、从工艺需求推导冗余方案的方法
推荐按以下五步推导，避免“拍脑袋选型”：
- 量化工艺允许扰动：明确最大允许停机时间、允许数据丢失窗口、是否允许降级运行。例如“允许≤200 ms扰动，不允许丢失批次号”。
- 计算可用性目标：由年允许停机时间反推A，并分解为MTBF与MTTR目标。
- 开展FMEA：识别单点故障与共因故障，按RPN排序，确定必须消除的故障路径。
- 匹配冗余等级：根据允许扰动时间选择L0～L5，并确定同步周期、心跳超时、切换判据等关键参数。
- 停机成本校核：比较冗余投入年分摊与年停机损失，必要时调整等级或增加预防性维护措施。
以某高速灌装线为例：工艺允许扰动≤200 ms，年允许停机≤4 h，FMEA显示CPU与EtherCAT网口为高RPN单点故障，停机损失约1.2万元/h。推导结果：选择L3热备（TwinCAT冗余PLC），同步周期10 ms，心跳超时30 ms，EtherCAT环网冗余，双电源与双交换机路径。校核：年停机损失从约4.9万元降至约0.6万元，冗余年分摊约2.7万元，净收益约1.6万元/年，方案成立。
总结来说，高可用需求分析的核心是把“不能停”翻译成可计算的可用性目标、可识别的故障路径、可选择的冗余等级和可校核的经济账。只有这四者对齐，后续的TwinCAT冗余配置、同步参数设置和切换测试才有明确的验收依据。