3、硬件架构设计：冗余架构（1oo1、1oo2、2oo2）、诊断覆盖率与安全失效分数（SFF）、共因失效（CCF）的预防

各位工程师朋友，咱们今天聊点硬核的——硬件架构设计。说实话，搞多轴防碰撞，光有软件逻辑是不够的。硬件架构才是安全的“地基”。地基不稳，楼盖得再高也白搭。

我这些年调试过不少现场，见过最惨的一次，是某产线因为传感器单点故障，直接导致两台机械臂“打架”。嗯，从那以后，我对硬件冗余这件事，就特别较真。

3.1 冗余架构：1oo1、1oo2、2oo2 到底怎么选？

冗余架构，说白了就是“多几道保险”。但保险不是越多越好，你得看性价比。我习惯把常见的三种架构放在一起对比，你一看就明白。

架构类型	描述	安全完整性等级（SIL）	典型应用场景
1oo1	单通道，一个传感器/控制器	SIL 2（需高诊断覆盖率）	低风险、低成本产线
1oo2	双通道，任意一个触发即动作	SIL 3	高安全要求，如机器人围栏
2oo2	双通道，两个都触发才动作	SIL 3（防误跳闸）	不允许误停机的关键工艺

1oo1 是最简单的。一个传感器，一个控制器。成本低，但风险也高。我在一个包装线上用过，当时觉得够用了。结果有一次传感器线缆被老鼠咬断，系统完全没反应。所以，1oo1 必须配合高诊断覆盖率，否则就是裸奔。

1oo2 是我个人最喜欢的架构。两个通道并联，只要有一个检测到危险，系统就停机。你想想看，这相当于两个保安同时值班，一个打瞌睡，另一个还能拉警报。我在汽车焊装线上，所有安全光幕都用的 1oo2，从来没出过漏报。

2oo2 就有点意思了。它要求两个通道都认为有危险，才执行动作。这主要是为了防止“误跳闸”。比如在半导体制造中，一次误停机可能损失几十万。2oo2 能有效避免单点故障导致的误动作。但要注意，它牺牲了一点安全性——如果其中一个通道坏了，系统可能无法检测到真实危险。

3.2 诊断覆盖率（DC）与安全失效分数（SFF）

这两个概念，很多工程师容易搞混。我简单解释一下。

诊断覆盖率（DC），指的是系统能检测出自身故障的比例。比如一个传感器有 10 种故障模式，你的诊断电路能发现其中 8 种，那 DC 就是 80%。

安全失效分数（SFF），则是衡量系统整体安全性的指标。它等于“安全失效”加上“被诊断出的危险失效”，除以所有失效的总和。SFF 越高，系统越安全。

我记得有一次，一个供应商跟我说他们的安全模块 SFF 达到 99%。我追问了一句：“DC 是多少？”他支支吾吾说只有 60%。你看，这就是典型的“数据好看，实际拉胯”。SFF 再高，如果 DC 低，那些没被诊断出来的危险失效，就是定时炸弹。

这里有个简单的计算公式，你可以参考：

SFF = (λ_s + λ_dd) / (λ_s + λ_dd + λ_du)

其中：
λ_s = 安全失效率
λ_dd = 被诊断出的危险失效率
λ_du = 未被诊断出的危险失效率

说白了，你的目标就是让 λ_du 尽可能小。怎么小？靠诊断覆盖率。

3.3 共因失效（CCF）的预防

共因失效，是冗余架构的“天敌”。你想想看，两个通道都用了同一批次的传感器，结果这批传感器都有设计缺陷，温度一高就漂移。那你的 1oo2 架构，瞬间变成 1oo0——两个都失效了。

我曾经在一个项目中吃过这个亏。当时为了省成本，两个安全继电器用了同一个电源模块。结果电源模块过压，两个继电器同时烧毁。嗯，从那以后，我再也不敢在冗余设计里共享任何“单点”。

预防 CCF，我总结了四个字：“异、分、隔、诊”。

• 异： 使用不同品牌、不同原理的传感器。比如一个用光电，一个用磁感应。
• 分： 电源、通信、接地都要分开。两个通道走不同的线槽。
• 隔： 物理隔离。两个通道的电路板之间留足爬电距离，或者用光耦隔离。
• 诊： 定期做交叉诊断。让通道 A 检查通道 B，通道 B 检查通道 A。

3.4 知识体系总览

为了让你更直观地理解这些概念之间的关系，我画了一张图。你可以把它当作本章的“思维导图”。

这张图把本章的三个核心知识点串起来了。你仔细看，冗余架构是骨架，诊断覆盖率和 SFF 是肌肉，CCF 预防是免疫系统。三者缺一不可。

---

公众号:蓝海资料掘金营，微信deep3321