1. 高可用过程控制平台设计导论
在流程工业中，控制系统一旦失效，轻则导致批次报废、产品质量波动，重则引发联锁停车、设备损坏甚至安全事故。因此，现代过程控制平台的设计目标早已不只是"能控制"，而是"持续、可靠、可预期地控制"。DeltaV 作为面向流程行业的分布式控制系统（DCS），其高可用设计正是围绕这一目标展开的。本章从 DeltaV 的系统架构入手，建立高可用性的定义、量化指标与设计目标，为后续各章的冗余配置、故障切换、诊断与维护打下概念基础。
一、DeltaV 系统架构的分层认识
理解高可用，首先要理解系统由哪些层构成、每一层失效会带来什么后果。DeltaV 在逻辑上可划分为四个层次：
- 现场层：变送器、执行机构、阀门定位器等，通过 4–20 mA、HART、FF、Profibus 等信号接入。
- I/O 与控制器层：I/O 卡件完成信号采集与输出，控制器执行控制策略（PID、顺序控制、联锁逻辑）。
- 通信网络层：DeltaV 采用冗余控制网络，工作站、控制器、远程 I/O 之间通过交换机构成确定性通信。
- 操作与信息层：操作站、工程站、应用站、历史数据库及 OPC/以太网接口，面向人员与上层系统。
高可用设计的关键在于：任何单一部件的失效都不应导致整条控制链中断。因此冗余不是"多加一台设备"，而是按层识别单点故障（SPOF），并在关键路径上提供可切换的备份。下图给出 DeltaV 典型高可用架构中各层的冗余关系与故障切换路径。
二、高可用性的定义与边界
高可用性（High Availability, HA）指系统在规定的运行条件下和规定的时间内，处于可执行规定功能状态的能力。它包含两个维度：可靠性（不发生故障的概率）与可维护性（故障后能多快恢复）。需要特别区分三个容易混淆的概念：
- 冗余：为关键部件提供备份，是手段；
- 容错：故障发生时系统仍能继续运行，是能力；
- 高可用：长期运行中可用时间占比极高，是结果。
DeltaV 的高可用并非追求"永不失效"，而是通过冗余控制器、冗余网络、冗余电源、冗余操作站，把单点故障的影响限制在可接受范围内，并保证切换过程对过程变量扰动最小。例如控制器冗余对在正常运行时主控制器执行控制、备用控制器实时同步数据库与状态；主控制器故障时，备用控制器在一个控制周期内接管，阀门输出不中断，PID 积分项不跳变。
三、可用性指标与量化
可用性通常用稳态可用度 A 表示：
A = MTBF / (MTBF + MTTR) × 100%
其中：
MTBF —— 平均无故障时间（Mean Time Between Failures）
MTTR —— 平均修复时间（Mean Time To Repair）举例说明（以下为教学示例参数，非实测数据）：某控制器 MTBF 为 200,000 小时，若采用单机配置，故障后平均修复需 8 小时，则 A ≈ 200000/(200000+8) ≈ 99.996%。若采用 1:1 冗余，单机故障不影响运行，系统级 MTTR 可视为切换时间（约 1 秒以内），则 A ≈ 200000/(200000+0.0003) ≈ 99.9999998%。可见冗余对可用度的提升主要来自 MTTR 的大幅压缩，而非 MTBF 的延长。
工程上更常用"每年停机时间"来直观衡量：
| 可用度 | 年停机时间（约） | 典型适用场景 |
|---|---|---|
| 99.9% | 8.76 小时 | 一般辅助装置 |
| 99.99% | 52.6 分钟 | 常规过程控制 |
| 99.999% | 5.26 分钟 | 关键反应/联锁回路 |
| 99.9999% | 31.5 秒 | 极高风险工艺 |
四、设计目标与工程取舍
高可用设计不是"全部冗余"，而是基于风险与成本的平衡。建议按以下思路确定目标：
- 识别关键回路：涉及安全联锁、放热反应、高价值批次的回路，优先冗余。
- 确定可用度目标：根据工艺停车损失与设备投资，选择 99.99% 或 99.999%。
- 消除单点故障：逐层检查电源、控制器、网络、I/O、操作站是否存在 SPOF。
- 验证切换行为：通过在线拔卡、断电、断网等测试，确认切换时间与输出扰动在允许范围内。
- 保留诊断与维护通道：冗余部件必须可在线更换，否则 MTTR 无法压缩。