2. Yokogawa冗余体系核心概念
在讨论 Yokogawa CENTUM VP、ProSafe-RS 等系统的冗余实现之前，必须先厘清一组容易被混用的概念。很多现场讨论之所以陷入“到底要不要做冗余”的争论，往往是因为把容错、故障切换、热备、冗余等级、SIL与可用性当成了同义词。它们描述的是不同层面的问题：容错讲的是系统承受故障的能力，故障切换讲的是故障发生后如何转移，热备讲的是备用单元处于什么状态，冗余等级讲的是冗余做到什么程度，SIL 讲的是安全完整性，可用性讲的是系统可用的概率。理解这些概念的边界，才能正确选型和配置。
容错与故障切换：能力与动作的区别
容错（Fault Tolerance）指系统在部分组件发生故障时，仍能继续执行规定功能的能力。它是一种“结果属性”——故障发生了，但功能没有中断。容错可以通过冗余实现，也可以通过降级运行、错误纠正、表决机制等实现。例如三重化表决（2oo3）在单个通道故障时仍能输出正确结果，这就是容错。
故障切换（Failover）则是容错实现过程中的一个“动作”。当主单元被判定为故障，控制权或输出权转移到备用单元，这个过程就是故障切换。切换可以是自动的，也可以是手动的；可以是无扰的，也可以是有扰的。关键指标是切换时间和切换扰动。Yokogawa 的冗余 CPU 通常采用硬件级同步与跟踪，切换时间在毫秒级，过程输出基本无扰；而某些软件级切换可能达到数百毫秒甚至秒级，对连续过程可能造成可观测的扰动。
需要强调：有冗余不等于能容错。如果备用单元长期未同步、切换逻辑未经过测试、或切换后输出跳变，那么冗余只是“存在”，并未真正形成容错能力。
热备、温备与冷备：备用单元的状态差异
备用单元的状态决定了切换的速度和扰动程度，常见分为三类：
- 热备（Hot Standby）：备用单元与主单元同时运行，实时同步程序、数据库、I/O 状态和内部变量，随时可接管。切换时间最短，通常无扰。Yokogawa 冗余 CPU、冗余电源、冗余网络多采用热备。
- 温备（Warm Standby）：备用单元已启动并加载部分配置，但未实时同步过程状态，切换时需要一定初始化时间，可能造成短时扰动。
- 冷备（Cold Standby）：备用单元未运行或未加载，切换需要人工启动和加载，切换时间长，通常用于非关键或可停机场景。
在 CENTUM VP 中，冗余 CPU 的备用侧处于热备状态，通过专用同步总线持续跟踪主侧；而某些冗余 I/O 模块的备用通道也处于热备，但若未启用通道级冗余，则可能只是温备甚至冷备。选型时必须确认“备用到底处于什么状态”，而不是只看“有没有备用”。
冗余等级：从部件到系统的分层
冗余不是“有或无”的二元概念，而是分层的。常见的冗余等级包括：
- 部件级冗余：如冗余电源、冗余风扇、冗余 CPU、冗余网络接口。
- 设备级冗余：如冗余控制器、冗余 I/O 模块、冗余通信模块。
- 系统级冗余：如冗余控制站、冗余网络、冗余操作站、冗余服务器。
- 站点级冗余：如异地冗余控制站、冗余历史站、冗余域控制器。
冗余等级越高，可用性通常越高，但成本和复杂度也越高。工程上常用“N+1”“1+1”“2oo3”等表示冗余配置。例如 1+1 表示一主一备，2oo3 表示三取二表决。Yokogawa 的 ProSafe-RS 安全系统常采用 2oo3 或 1oo2 结构，而 CENTUM VP 的过程控制站常采用 1+1 冗余。
SIL 与可用性的关系：安全与可用的平衡
SIL（Safety Integrity Level，安全完整性等级）是 IEC 61508 和 IEC 61511 中定义的安全仪表功能（SIF）可靠性指标，分为 SIL 1～4。SIL 关注的是安全功能失效的概率，即要求时失效概率（PFD）或每小时危险失效概率（PFH）。而可用性（Availability）关注的是系统处于可工作状态的时间比例，通常用 A = MTBF / (MTBF + MTTR) 表示。
两者并不总是同向变化。例如，1oo1 结构简单、可用性高，但安全完整性低；2oo3 结构安全完整性高，但任一通道故障都需要维护，若维护不及时，可用性反而下降。因此，安全系统设计需要在 SIL 和可用性之间做权衡。Yokogawa 的 ProSafe-RS 通过诊断覆盖率、表决结构和在线维护设计，在满足 SIL 3 的同时尽量提高可用性。
常见术语与标准
在 Yokogawa 冗余体系中，以下术语和标准需要熟悉：
| 术语/标准 | 含义 |
|---|---|
| MTBF | 平均无故障时间，衡量可靠性 |
| MTTR | 平均修复时间，衡量可维护性 |
| PFD | 要求时失效概率，SIL 核心指标 |
| PFH | 每小时危险失效概率，高要求模式 SIL 指标 |
| 1oo1 / 1oo2 / 2oo3 | 表决结构，数字表示“几取几” |
| IEC 61508 | 功能安全通用标准 |
| IEC 61511 | 过程工业功能安全标准 |
| IEC 62443 | 工业网络安全标准，影响冗余通信设计 |
| ISA-84 | 美国过程安全标准，与 IEC 61511 对应 |
这些术语在 Yokogawa 的选型手册、安全手册和系统规格书中频繁出现。例如，ProSafe-RS 的 SIL 3 认证依据 IEC 61508，其冗余架构和诊断覆盖率直接影响 PFD 计算。理解这些标准，才能正确解读厂商提供的安全参数和冗余配置建议。
把上述概念串起来看：冗余是手段，容错是目标，故障切换是动作，热备是状态，冗余等级是程度，SIL 和可用性是评价维度，标准是依据。在 Yokogawa 系统中，这些概念最终落到具体的硬件配置、软件参数和测试验证上。例如，配置一对冗余 CPU 时，需要确认备用侧是否处于热备、同步总线是否正常、切换测试是否通过、SIL 认证是否覆盖该配置、可用性计算是否满足工艺要求。只有把这些概念逐一对应到实际配置和验证项，冗余设计才不会停留在纸面。