3. 高可用性需求分析与可用性计算

在PCS 7项目中，冗余不是“越贵越好”的堆砌，而是从工艺连续性要求出发，逐级推导出的可用性目标。可用性（Availability）定义为系统在任意时刻处于可工作状态的概率，工程上常用稳态公式 A = MTBF / (MTBF + MTTR) 表示，其中 MTBF 为平均无故障时间，MTTR 为平均修复时间。这个公式揭示了一个关键事实：提高可用性有两条路径——延长无故障时间，或缩短修复时间。对于连续生产装置，后者往往更经济，因为冗余切换、在线更换和诊断覆盖都能显著压缩MTTR。

从工艺连续性到可用性目标

需求分析的第一步不是算数字，而是把工艺要求翻译成可量化的停机容忍度。通常按停车后果分级：

• 安全联锁相关：失效可能导致人身伤害或重大设备损坏，要求可用性极高，通常采用冗余或表决结构，目标可用性可达 99.99% 以上。
• 连续生产主流程：非计划停车造成重大产量损失，允许年停机时间以小时计，目标可用性约 99.9%～99.99%。
• 辅助单元：短时停车可由缓冲或旁路吸收，目标可用性 99.5% 左右即可。

以某连续聚合装置为例，工艺专业给出的要求是“年非计划停车不超过4小时”。按年8760小时折算，允许不可用时间约0.046%，即目标可用性约99.954%。这个数字就是后续所有冗余配置和计算的总约束。

串联、并联与表决模型

把系统拆成功能块后，用可靠性框图描述其逻辑关系。串联模型表示所有环节都必须工作，系统才可用，其可用性为各环节可用性之积：A_串 = A₁ × A₂ × … × A_n。串联环节越多，整体可用性越低，这是“单点越多越脆弱”的数学表达。

并联模型表示任一环节工作即可维持功能，其不可用性为各环节不可用性之积：A_并 = 1 − (1−A₁)(1−A₂)…。1oo2（二取一）结构即典型并联，两个通道同时失效才导致功能丧失。表决模型介于两者之间：2oo3（三取二）要求至少两个通道正常，其可用性高于单通道但低于1oo2，代价是必须处理“降级运行”状态——当一路故障时系统仍可用，但已失去容错能力，必须尽快修复。

工程上常用近似估算：若单通道可用性 A=0.99，则1oo2结构可用性约为 1−(0.01)² = 0.9999；2oo3结构可用性约为 3A²−2A³ ≈ 0.9997。可见并联提升显著，但表决结构在保证安全性的同时牺牲了部分可用性，需要与安全完整性等级（SIL）要求权衡。

MTBF与MTTR的估算方法

MTBF通常由设备制造商提供，或依据现场故障统计用“总运行时间 / 故障次数”估算。需要注意区分“危险失效”与“安全失效”，安全仪表功能只关心危险失效的MTBF。MTTR则包含故障检测时间、诊断定位时间、备件获取时间、实际更换时间和恢复投运时间。PCS 7的冗余和诊断能力主要压缩前两项：CPU冗余使主站故障时无扰切换，I/O冗余和通道级诊断能直接定位到具体通道，在线更换模块无需停车。

估算时建议采用保守值：例如控制器MTBF取30万小时，MTTR取8小时（含备件和确认），则单控制器可用性 A = 300000/(300000+8) ≈ 0.999973。若采用1oo2冗余，可用性提升至约 1−(2.7×10⁻⁵)² ≈ 0.9999999993，但实际受共因失效限制，工程上通常按β模型修正，取共因因子β=5%～10%，此时冗余带来的提升会明显收敛。这一点在需求分析中必须说明，避免给出过于乐观的数字。

计算示例与结果判读

假设某控制回路包含：1个控制器、1个AI通道、1个AO通道、1段PROFIBUS网络。单通道可用性分别取：控制器0.99997、AI 0.9999、AO 0.9999、网络0.9998。若全部串联，系统可用性约为 0.99997×0.9999×0.9999×0.9998 ≈ 0.99957，对应年停机约3.8小时，已接近但未达到4小时目标。若将控制器改为1oo2冗余、网络改为冗余环网，控制器可用性提升至约0.9999999，网络提升至约0.99999996，重新串联后系统可用性约0.9998，年停机约1.7小时，满足目标并留有余量。

判读结果时要注意三点：第一，串联链中可用性最低的环节对整体影响最大，应优先冗余化；第二，冗余带来的提升会被共因失效（如共用电源、共用机架、同一软件缺陷）削弱，工程上需通过物理分离、独立供电和多样化设计降低β；第三，MTTR的估算必须包含备件和人员响应时间，否则可用性会被高估。建议在需求分析阶段就建立一张“功能块—可用性—冗余方式—MTTR假设”的对照表，作为后续硬件选型和验收测试的依据。