1. 课程导入与冗余高可用全景

在炼油、化工、天然气、电力等连续流程工业中，控制系统一旦失效，轻则导致装置停车、产品报废，重则引发安全与环保事故。Yokogawa 的过程控制系统（如 CENTUM VP、ProSafe-RS）之所以被广泛用于关键装置，核心并不只是控制算法本身，而是其围绕"可用性"构建的一整套冗余与高可用机制。本课程的目标，是让读者从架构层面理解这些机制，并能在实际工程中判断、配置与验证它们。

一、Yokogawa 过程控制系统的整体架构

要理解冗余，先要理解系统由哪些部分组成。以 CENTUM VP 为例，一个典型的系统自上而下可分为四层：

• 操作层（HIS）：人机接口站，操作员通过它监视流程、下发指令。通常由多台 HIS 组成，互为备份。
• 控制层（FCS）：现场控制站，执行 PID、顺序控制、联锁等逻辑，是系统的"大脑"。其内部又分为处理器卡、电源、通信卡等模块。
• 网络层（Vnet/IP）：连接操作层与控制层、控制层与现场层的实时控制网络，是数据流动的"高速公路"。
• 现场层（I/O 与现场设备）：包括 I/O 模块、变送器、执行器、安全仪表等，直接与工艺过程交互。

冗余可以发生在上述任意一层：HIS 冗余、FCS 处理器冗余、电源冗余、网络冗余、I/O 冗余。不同层的冗余解决不同的问题，代价与收益也各不相同。理解这一点，是后续所有配置决策的基础。

二、冗余与高可用的定义

冗余（Redundancy）是指为同一功能配置额外的、可替代的组件或通道，使单一组件故障时系统仍能继续工作。冗余是"手段"，不是"目的"。

高可用（High Availability）是指系统在给定时间内保持可服务状态的能力，是冗余、故障检测、切换机制、维护策略共同作用的结果。一个系统可以有冗余组件，但如果切换逻辑不可靠，可用性依然不高。

两者关系可以概括为：冗余提供"备用能力"，故障检测与切换提供"启用备用的能力"，而高可用是二者叠加后的最终表现。

三、可用性指标

衡量高可用最常用的指标是可用性 A：

A = MTBF / (MTBF + MTTR)

其中 MTBF 为平均无故障时间，MTTR 为平均修复时间。例如某控制器 MTBF 为 200,000 小时，MTTR 为 8 小时，则单机可用性约为 99.996%。若采用 1:1 冗余并假设切换可靠，可用性可提升到 99.9999% 量级。这里的关键启示是：降低 MTTR 与提高 MTBF 同样重要，而冗余主要作用在"故障后仍可运行"这一环节，相当于把 MTTR 对生产的影响降到接近零。

工程上还常用可用性等级（如 99.9%、99.99%、99.999%）来约定设计目标。需要注意的是，这些数字必须结合具体装置的年运行小时数来理解，不能脱离场景空谈。

四、典型行业需求

不同行业对可用性的要求差异很大。炼油常减压装置可能允许短时停车，而乙烯裂解、大型压缩机、海底管道等场景则要求数年不停机。安全仪表系统（SIS）还叠加了功能安全要求，冗余结构需满足 SIL 等级。因此，冗余方案不能"一刀切"，必须根据工艺连续性、安全等级、维护窗口综合确定。

五、课程路线图

本课程将按"概念—架构—配置—验证—运维"的顺序展开：先建立冗余与高可用的基本概念和指标，再逐层剖析 HIS、FCS、网络、I/O 的冗余实现，随后进入实际配置与切换测试，最后讨论故障排查与长期运维。每一节都会结合具体对象、参数和判断依据，帮助读者形成可落地的工程能力。