第4章：冷备冗余系统
4.1 冷备的定义与工作原理
冷备冗余，说白了就是“一主一备，备机不干活”。
我刚开始接触这个术语时，总觉得它跟“冷启动”有点像。确实如此。冷备系统里，主设备正常运行时，备用设备完全处于断电或待机状态。它不参与任何运算，不处理任何数据。就像你车里的备胎，平时就安静地躺在后备箱里。
冷备的工作原理其实很简单：
- 正常工况：主设备承担全部负载，备用设备处于断电状态
- 故障切换：主设备失效后，系统检测到故障，启动备用设备
- 切换过程：备用设备上电、初始化、加载配置、接管业务
这里有个关键点——切换时间。我在某石化项目里遇到过，冷备切换花了整整3分钟。为什么？因为备用PLC要从头加载程序、建立通信、同步数据。那3分钟里，整个反应釜处于失控状态。嗯，后来我们改成了热备。
4.2 冷备系统的可靠性建模
可靠性建模，说白了就是算一算“这套系统到底有多可靠”。
冷备系统的可靠性模型，分两种情况讨论：开关完美和开关不完美。
4.2.1 开关完美情况
什么叫“开关完美”？就是故障检测和切换机制绝对可靠，不会误判，不会漏判，切换瞬间完成。
这种情况下，冷备系统的可靠性函数为：
R(t) = e^(-λt) + λt · e^(-λt)其中λ是单台设备的失效率。这个公式怎么理解？
- 第一项 e^(-λt)：主设备一直没坏的概率
- 第二项 λt · e^(-λt)：主设备在t时刻前坏了，备用设备接替后一直运行到t的概率
我个人的习惯是，先画一个状态转移图，再列微分方程。这样不容易漏项。
4.2.2 开关不完美情况
现实世界哪有那么多“完美”？
开关不完美，通常指两种情况：
- 检测失败：主设备坏了，但系统没发现
- 切换失败：发现了故障，但备用设备启动不起来
我曾经在一个DCS项目中踩过这个坑。切换继电器触点氧化，导致切换信号没传过去。备用控制器一直没上电。主控制器挂了，整个系统就瘫了。
开关不完美时，可靠性函数变成：
R(t) = e^(-λt) + c · λt · e^(-λt)其中c是切换成功率（0 ≤ c ≤ 1）。
你看，当c=1时，就回到了完美情况。当c=0时，系统退化为单机系统。
4.3 冷备系统的平均寿命计算
平均寿命（MTTF）是衡量系统可靠性的重要指标。
对于冷备系统，平均寿命的计算公式为：
MTTF = 2/λ （开关完美时）
MTTF = (1+c)/λ （开关不完美时）对比一下：
| 系统类型 | MTTF | 说明 |
|---|---|---|
| 单机系统 | 1/λ | 一台设备，坏了就完 |
| 冷备（完美） | 2/λ | 寿命翻倍，理想情况 |
| 冷备（c=0.9） | 1.9/λ | 接近翻倍，但打点折扣 |
| 热备 | 1.5/λ | 备用设备也在老化 |
从表格能看出来，冷备在理论上的寿命优势很明显。但前提是——切换必须可靠。
我记得有个核电项目，要求冷备系统的MTTF不低于20年。单台设备的MTTF是15年。算下来，只要切换成功率c大于0.33就能满足。但实际设计时，我们要求c必须大于0.99。为什么？因为20年的设计寿命，容不得半点马虎。
4.4 冷备系统的适用场景
冷备不是万能的。我总结了几条经验：
- 适合：对功耗敏感的场景（如野外基站）、切换时间可接受的场景（如数据备份系统）
- 不适合：要求毫秒级切换的场景（如工业控制）、备用设备需要保持状态同步的场景
你想想看，如果是一个飞行控制系统，你敢用冷备吗？飞机在空中抖一下，备用系统还没启动完，飞机已经掉下去了。
但如果是某个油田的SCADA系统，数据采集间隔是5分钟，冷备完全够用。切换那几十秒的空白期，用缓存数据补上就行。
4.5 本章小结
冷备冗余，核心思想就是“平时不干活，关键时候顶上”。
它的可靠性模型，开关完美时很简单，MTTF是单机的两倍。开关不完美时，切换成功率c成了关键参数。
我个人觉得，冷备最适合那些对功耗敏感、切换时间要求不高的场景。如果你正在设计一个冷备系统，记得把切换机制做扎实，定期做切换测试。别让备胎变成摆设。
公众号:蓝海资料掘金营，微信deep3321