3. 安全机制概述
硬件冗余，说白了就是「多准备几份」。在逆变器这种高可靠性要求的系统里，单份电路一旦失效，整个系统就停摆。冗余设计就是给关键路径多配几个「备胎」。
我刚开始做逆变器时，总觉得冗余是浪费成本。直到有一次，一台 500kW 的光伏逆变器在并网测试时，IGBT 驱动板上的一个光耦突然失效，整机直接跳闸，现场一片混乱。从那以后，我对冗余设计再也不敢马虎。
3.1 冗余架构的四种基本形态
冗余架构不是越多越好，而是要在成本、体积、可靠性之间找平衡。常见的四种架构如下：
| 架构 | 全称 | 含义 | 典型应用 |
|---|---|---|---|
| 1oo1 | 1 out of 1 | 单通道，无冗余 | 低成本消费级逆变器 |
| 1oo2 | 1 out of 2 | 双通道并联，任一通道工作即可 | 高可靠性电源、安全仪表系统 |
| 2oo2 | 2 out of 2 | 双通道串联，两通道都正常才能工作 | 故障安全型系统（如急停回路） |
| 2oo3 | 2 out of 3 | 三通道表决，至少两通道正常 | 航空、核电、高端工业逆变器 |
关键点：1oo2 提升可用性（系统不容易停），2oo2 提升安全性（系统不容易误动），2oo3 两者兼顾但成本最高。
3.2 冗余对可靠性的提升：MTBF 计算
MTBF（Mean Time Between Failures）是衡量可靠性的核心指标。冗余架构能显著提升 MTBF，但提升幅度取决于通道间的独立性。
假设单个通道的失效率为 λ，MTBF = 1/λ。我们来看看不同架构的 MTBF 变化：
| 架构 | 系统失效率公式 | MTBF 提升倍数（λ=10⁻⁶/h） |
|---|---|---|
| 1oo1 | λ | 1×（基准） |
| 1oo2 | λ² × 平均修复时间 | 约 1000×（可修复时） |
| 2oo2 | 2λ | 0.5×（反而降低） |
| 2oo3 | 3λ² | 约 300× |
我的经验：1oo2 的 MTBF 提升有个前提——通道之间必须独立，且系统支持在线修复。如果两个通道共用同一个电源模块，那这个电源一坏，两个通道一起挂，MTBF 直接打回原形。
为什么会这样？我们拿 1oo2 举例。两个通道同时失效的概率是 λ × λ = λ²。如果平均修复时间（MTTR）是 1 小时，那系统失效率大约是 λ² × 1。相比单通道的 λ，确实低了几个数量级。
但 2oo2 就惨了。两个通道必须都正常，系统才能工作。任何一个通道失效，系统就停。所以系统失效率是 2λ，MTBF 反而只有单通道的一半。这种架构一般用在「故障安全」场景——宁可停机，也不能误动作。
3.3 共因失效（CCF）的预防
冗余设计最大的敌人，不是单个通道的随机失效，而是共因失效（Common Cause Failure, CCF）。
什么叫共因失效？就是同一个原因导致多个通道同时失效。比如：
- 两个通道共用同一个电源，电源浪涌把两个通道的驱动芯片都打坏了
- 两个通道的采样电阻来自同一批次，电阻值同时漂移
- 两个通道的散热器紧贴在一起，一个 IGBT 炸了，碎片把另一个也带走了
避坑指南：我曾经在一个项目中，用了 1oo2 冗余设计，两个通道的电流传感器共用同一个 5V 供电。结果一次雷击浪涌，两个传感器同时烧毁，系统直接停机。后来我学乖了——冗余通道的供电、采样、通信、时钟，全部要物理隔离。
预防 CCF 的常用手段：
- 物理隔离——通道之间保持安全距离，不同 PCB，不同机箱
- 电气隔离——使用隔离电源模块、光耦、磁隔离
- 多样性设计——两个通道用不同型号的器件，不同批次，甚至不同供应商
- 诊断覆盖——每个通道定期自检，发现异常立即上报
你想想看，如果两个通道用的都是同一款光耦，那光耦的寿命特性完全一样。一旦环境温度超过光耦的耐受极限，两个通道同时失效，冗余等于白做。
3.4 冗余架构的知识体系
下面这张图总结了本章的核心逻辑，方便你对照理解：
我的建议：做冗余设计时，先问自己三个问题：
- 这个通道失效后，系统会怎样？（停机？误动？）
- 两个通道之间有没有共用任何东西？（电源、时钟、通信线？）
- 如果两个通道同时失效，我能不能检测出来？
这三个问题想清楚了，冗余架构基本不会出大错。
嗯，冗余设计这块内容比较多，但核心就两句话：架构选型决定可靠性上限，CCF 预防决定可靠性下限。上限再高，下限被 CCF 拉穿，一切白搭。