4. 高可用控制系统的可用性指标
在ctrlX AUTOMATION构建的高可用控制系统中，“高可用”不能停留在口号层面，必须用可量化、可验证的指标来描述。工程上最常用的三个基础量是MTBF（平均无故障时间）、MTTR（平均修复时间）和可用率A。它们共同回答两个问题：系统多久会坏一次，坏了之后多久能恢复。可用率的经典表达式为：
A = MTBF / (MTBF + MTTR) × 100%这个公式的含义非常直观：可用率是“正常工作的时间”在“总时间（正常+修复）”中所占的比例。举例来说，若某ctrlX控制柜的MTBF为87600小时（约10年），MTTR为8小时，则A = 87600 / (87600 + 8) ≈ 99.9909%，即年停机时间约0.8小时。若把MTTR压缩到4小时，可用率提升到99.9954%，年停机时间约0.4小时。可见在MTBF已经很高的情况下，继续提升可用率最有效的手段往往是缩短MTTR，而不是无限拉长MTBF。
在ctrlX系统中，MTBF通常由各部件（电源模块、CPU、耦合模块、I/O模块、驱动器、交换机）的失效率累加得到。若某部件失效率为λ（单位：次/10⁶小时，即FIT），则MTBF = 1/λ。串联系统的总失效率为各部件失效率之和，因此串联环节越多，MTBF越低。这正是需要冗余结构的原因。
当系统结构复杂、存在冗余和共因失效时，仅靠串并联公式不够，需要引入故障树分析（FTA）和可靠性框图（RBD）。FTA是自顶向下的演绎方法：以“系统失效”为顶事件，逐层分解为中间事件和底事件，用与门、或门描述逻辑关系。RBD则是自底向上的归纳方法：把系统画成功能方块的串并联网络，串联表示“全部正常才正常”，并联表示“任一正常即正常”。两者互为补充：FTA擅长定位失效原因和共因，RBD擅长快速计算整体可靠度。
下面这张图把本节的核心关系集中呈现：左侧是MTBF、MTTR与可用率的参数关系，右侧是ctrlX典型冗余架构的RBD与故障树对应关系，底部给出可用率计算与判读路径。
把上述方法落到ctrlX系统中，可以按以下顺序推进。第一步，列出系统所有关键部件及其失效率，数据来源可以是厂商MTBF手册、现场故障统计或行业数据库。第二步，依据实际接线和冗余方式画出RBD：电源双路并联、控制器热备并联、I/O与网络若为单路则按串联处理。第三步，对串联段求失效率和，对并联段用R_并 = 1 − (1−R₁)(1−R₂)求可靠度，再换算成等效MTBF。第四步，统计MTTR，包括故障检测时间、诊断定位时间、备件更换时间、系统切换或重启时间。第五步，代入可用率公式，与目标值比较。
故障树在这里的作用是防止“假冗余”。例如电源和控制器都做了并联，但两路电源共用同一路市电、同一接地排，或两个CPU共用同一散热风扇，那么共因失效会让并联结构在关键时刻同时失效。FTA以“系统停机”为顶事件，用或门展开电源全失效、双CPU同时故障、I/O或网络中断等中间事件，再继续下钻到共因底事件，就能把这类隐患显式暴露出来。ctrlX系统中常见的共因包括：同一24V供电母线、同一交换机、同一固件版本缺陷、同一环境温度超标。
下面给出一个可直接用于课程练习的计算表模板，字段按ctrlX实际对象设置，读者可填入自己项目的参数。
| 部件/环节 | 冗余方式 | λ（FIT） | MTTR（h） | 备注 |
|---|---|---|---|---|
| 24V电源 | 双路并联 | 5 | 2 | 需确认是否共市电 |
| ctrlX CORE | 热备 | 8 | 1 | 切换时间计入MTTR |
| I/O模块 | 单路 | 12 | 0.5 | 热插拔可缩短 |
| 工业交换机 | 环网冗余 | 6 | 1.5 | 关注收敛时间 |
| 共因（供电/环境） | — | 按FTA单独评估 | — | 不能简单并联 |
最后需要强调，MTBF、MTTR、可用率、FTA、RBD不是五套独立工具，而是一条完整的分析链：RBD给出结构化的可靠度计算骨架，FTA补上共因和单点失效的因果解释，MTBF和MTTR提供输入参数，可用率给出最终判据。在ctrlX AUTOMATION项目中，建议在方案设计阶段就完成这套分析，而不是等系统投运后再补。设计阶段改一个冗余结构，成本远低于投运后改一次现场接线。