3. 高可用性需求分析与风险评估

高可用性不是一句“系统要可靠”的口号，而是一组可以被量化、被验证、被追踪的工程约束。在 Experion 高可用 DCS 设计中，需求分析与风险评估是全部冗余设计的起点：它决定了哪些节点必须冗余、冗余到什么程度、允许多长的中断时间，以及当冗余失效时系统应如何降级运行。本节围绕 HA 需求定义、故障模式分析、风险矩阵和可用性目标设定四个环节展开，并给出可直接用于工程讨论的示例参数与判断依据。

一、HA 需求定义：把“不能停”翻译成可测量指标

HA 需求定义的核心是把工艺和业务语言转换为可测量的可用性指标。常用指标包括：可用度 A（A = MTBF / (MTBF + MTTR)）、年允许停机时间、单次最大允许中断时长（MTD）、数据允许丢失窗口（RPO）以及切换时间上限。对连续流程装置，通常要求控制器与网络可用度不低于 99.99%（年停机约 52.6 分钟），关键控制回路切换时间不超过 1 个控制周期（示例：500 ms 周期下切换 ≤ 500 ms），操作站与服务器允许短暂重连但不得丢失历史数据。

需求定义还应明确范围边界：哪些是安全相关（SIS 联动、紧急停车）、哪些是生产关键（反应器温度、压缩机防喘振）、哪些是辅助监视（公用工程趋势）。不同等级对应不同的冗余策略与投资强度。示例需求条目可写成：“反应器温度控制回路：控制器 1:1 冗余，I/O 冗余，切换时间 ≤ 500 ms，年非计划中断 ≤ 1 次，单次 ≤ 5 min”。

二、故障模式分析：从单点故障到共因失效

故障模式分析（FMEA）用于识别每个部件可能的失效方式及其影响。对 Experion 系统，典型对象包括 C300 控制器、FTE 网络、服务器、操作站、电源、I/O 卡件与现场仪表。分析时需区分：单点故障（SPOF，无冗余即导致功能丧失）、可检测故障（能触发报警并切换）、不可检测故障（潜伏失效，最危险）以及共因失效（同一电源、同一机柜、同一软件版本导致的同步失效）。

以控制器为例：CPU 故障、电源故障、通信端口故障、固件异常、I/O 卡件故障分别对应不同的检测与切换路径。若冗余控制器共用同一路 24 V 电源，则电源故障属于共因失效，冗余无法生效。因此 FMEA 的结论往往直接转化为设计约束：冗余对必须独立供电、独立网络路径、独立机柜空间，并定期做切换测试以暴露潜伏故障。

三、风险矩阵：用 RPN 排序冗余优先级

风险矩阵把故障模式的严重度（S）、发生度（O）和可检测度（D）相乘得到风险优先数 RPN = S × O × D。S 取 1~5，5 表示可能造成人身伤害或重大环保事故；O 取 1~5，5 表示频繁发生；D 取 1~5，5 表示极难在故障前发现。示例判定规则：RPN ≥ 60 必须冗余并配置自动切换；RPN 30~59 应冗余或设计降级运行方案；RPN < 30 可通过定期维护与监视控制。

以“C300 控制器 CPU 故障”为例：S=5（关键回路失控）、O=2（年发生概率较低）、D=3（部分故障可被诊断覆盖），RPN=30，落入“冗余或降级”区间，但结合工艺连续性要求，最终仍选择 1:1 冗余。而“操作站硬盘故障”S=2、O=3、D=1，RPN=6，可通过服务器冗余与快速更换解决，不必为每台操作站做双机热备。风险矩阵的价值在于把有限的投资集中到高 RPN 项上。

四、可用性目标设定与验证闭环

可用性目标应写成可验证的验收条件，而不是模糊承诺。示例目标：控制器与 FTE 网络可用度 ≥ 99.99%；关键回路切换时间 ≤ 500 ms；单次最大中断 ≤ 5 min；历史数据 RPO ≈ 0；冗余切换成功率 100%。验证方式包括：计划性切换测试（每季度）、电源拉闸测试（每年）、网络断链测试、潜伏故障巡检以及年度高可用演练。若测试结果不达标，应回到 FMEA 重新评估，形成“需求—分析—目标—验证—再评估”的闭环。

综上，HA 需求定义给出量化边界，FMEA 找出失效路径，风险矩阵排序优先级，可用性目标与验证闭环确保设计落地。四者共同构成 Experion 高可用 DCS 设计的需求与风险基线，后续的控制器冗余、FTE 网络、服务器与操作站设计都应以此为依据展开。