1. 冗余系统需求分析
在讨论MELSEC iQ-R冗余系统之前，必须先回答一个更基础的问题：这套系统到底为谁而建、要解决什么问题。冗余不是一种“更高级”的默认配置，而是一种用成本换取连续性的工程手段。如果停机代价很低、恢复时间可以接受，那么冗余带来的硬件翻倍、编程复杂度上升和调试工作量增加就未必划算。因此，需求分析的实质，是把“不能停”这个模糊诉求，翻译成可量化的可用性指标和可验证的故障模式清单。
一、停机成本：决定是否值得冗余的第一把尺子
停机成本通常由四部分构成：直接损失（废品、原料报废、能耗空转）、产能损失（单位时间产出乘以停机时长）、恢复成本（重启、清洗、重新标定、试生产）以及安全与环境风险（联锁失效、排放超标、设备损伤）。以一条中型灌装线为例，假设其设计产能为每小时12000瓶，单瓶毛利0.35元，则每小时产能损失约4200元；若每次非计划停机平均持续45分钟，并伴随约8000元的清洗与废品损失，则单次停机成本约为4200×0.75+8000≈11150元。若该线每年发生6次非计划停机，年损失约6.7万元。这个数字本身并不足以支撑冗余投资，但如果停机还会导致下游连续工艺中断、批次报废或合同违约罚款，实际代价可能放大数倍。
因此，判断是否采用冗余，不能只看单次停机金额，而要看“停机频率×单次代价×可容忍中断时间”三者叠加后的年度风险敞口。当年度风险敞口显著超过冗余系统的全生命周期成本（硬件、工程、维护、备件）时，冗余才具备经济合理性。
二、可用性指标：把“不能停”变成可计算的目标
可用性A通常表示为 A = MTBF / (MTBF + MTTR)，其中MTBF为平均无故障时间，MTTR为平均修复时间。对于单CPU系统，若MTBF为20万小时、MTTR为8小时，则A≈99.996%。看似很高，但换算成年度不可用时间约为21分钟。对于连续生产装置，这21分钟可能恰好落在关键批次中间。
冗余系统的价值在于把MTTR从“修复时间”压缩为“切换时间”。MELSEC iQ-R冗余系统采用主备CPU冗余架构，正常运行时主CPU执行控制，备用CPU通过跟踪电缆同步接收数据；当主CPU故障时，系统自动切换到备用CPU，切换时间通常在数十毫秒量级。此时可用性公式中的MTTR被切换时间替代，若切换时间为50ms，则同样MTBF下年度不可用时间可降至约0.5秒量级。这就是冗余对可用性指标的根本贡献：不是消除故障，而是消除故障导致的长时间中断。
三、故障模式：冗余能覆盖什么、不能覆盖什么
冗余设计必须建立在故障模式分析之上。MELSEC iQ-R冗余系统主要覆盖以下故障：主CPU模块硬件故障、电源模块故障、主基板故障、控制网络通信异常、以及部分程序运行异常。对于这些故障，系统可通过备用CPU接管维持控制输出。
但冗余并非万能。以下故障模式需要特别警惕：
- 共因故障：主备CPU共用同一电源、同一接地、同一环境，若电源浪涌或接地干扰同时损坏两套系统，冗余失效。
- I/O层单点故障：若输入模块或输出模块未冗余，CPU切换后仍无法获取现场信号或驱动执行机构。
- 网络单点故障：若主备CPU共用一条控制网络路径，网络中断会导致两套CPU同时失去远程I/O。
- 程序逻辑错误：主备CPU运行相同程序，若程序存在系统性缺陷，切换后故障依旧。
- 切换失败：备用CPU未正确跟踪、跟踪电缆断开、切换条件配置不当，都会导致切换不成功。
因此，冗余需求分析必须同时输出两份清单：一份是“冗余可覆盖的故障模式”，另一份是“冗余无法覆盖、需要靠其他手段（如冗余电源、冗余网络、双路I/O、看门狗、安全PLC）处理的故障模式”。
四、适用场景判断：什么情况下应该上冗余
结合上述三个维度，可以形成一套判断逻辑。以下场景通常适合采用MELSEC iQ-R冗余系统：
- 连续流程工业：化工、制药、水处理等，停机后重启周期长、批次报废代价高。
- 关键基础设施：隧道通风、轨道交通、电力监控，中断直接影响公共安全。
- 高价值制造：半导体、面板、精密装配，单次停机损失可达数十万元。
- 远程或无人值守站点：维修人员到达时间长，MTTR天然偏大，冗余切换可显著降低不可用时间。
反之，对于间歇式生产、单班制、停机后可快速重启且无安全风险的场合，优先考虑提高单机可靠性、备件储备和快速维修能力，而非直接上冗余。
五、从需求到设计输入：一份可执行的检查清单
需求分析的最终产出，应是一组可直接指导选型与编程的设计输入。以下清单可作为工程起点：
| 分析项 | 需要明确的内容 | 示例值 |
|---|---|---|
| 允许中断时间 | 工艺可容忍的最长控制中断 | ≤ 100ms |
| 切换成功率 | 主备切换必须成功的概率 | ≥ 99.9% |
| 冗余范围 | CPU、电源、网络、I/O哪些层冗余 | CPU+电源+网络 |
| 共因故障对策 | 双路供电、独立接地、物理隔离 | 双UPS+独立接地 |
| 切换测试周期 | 定期验证备用CPU可接管 | 每季度一次 |
| 备件策略 | 关键模块备件库存与更换时间 | CPU/电源各1块 |
需要强调的是，冗余系统的设计目标不是“永远不停”，而是“在可接受的切换时间内，把单点故障的影响限制在可控范围”。MELSEC iQ-R冗余系统提供了主备CPU热备、跟踪同步和自动切换机制，但它必须与冗余电源、冗余网络和合理的I/O规划配合，才能形成完整的可用性方案。需求分析阶段把这些边界划清楚，后续的硬件选型、程序结构和测试方案才有据可依。
在实际项目中，建议把上述检查清单与工艺HAZOP分析、电气单线图和网络拓扑图对照使用，逐项确认每个单点故障是否有对应措施。只有当“故障模式—冗余措施—验证方法”三者形成闭环，冗余系统才算真正完成了需求分析阶段的任务。