4. 1oo1架构：单通道架构详解、失效模式分析、适用场景与局限性
好，咱们今天聊聊功能安全里最基础、也最容易被轻视的一种架构——1oo1。
说白了，1oo1就是“单通道架构”。一个传感器、一个处理器、一个执行器，从头到尾就一条路走到黑。没有冗余，没有备份，全靠硬件自身的可靠性硬扛。
我刚开始做功能安全那会儿，总觉得1oo1太简单，没什么好讲的。后来在项目里吃过亏，才明白——越是简单的东西，越容易在细节上翻车。今天咱们就把这个架构掰开揉碎了讲清楚。
4.1 什么是1oo1架构？
1oo1，全称是“1 out of 1”，意思是“1个通道中选出1个”。
你想想看，系统里只有一个通道在工作。这个通道如果正常，系统就正常；这个通道如果挂了，系统就跟着挂。没有第二条路可走。
用公式表达就是：
系统安全状态 = 通道正常 ? 正常运行 : 进入安全状态嗯，就是这么直白。
4.2 架构详解
咱们来看一个典型的1oo1架构框图：
传感器 → 输入处理 → 逻辑运算 → 输出驱动 → 执行器
↑ ↓
诊断模块 ←————— 反馈回路注意看，这里虽然有一个诊断模块，但它不是冗余通道。诊断模块的作用是监控主通道的健康状态，一旦发现异常，就触发系统进入安全状态。
我在项目中遇到过一种情况：有人把诊断模块当成了第二个通道，觉得“有诊断就是2oo2”。这是不对的。诊断模块不参与主功能，它只是“看门狗”。主通道挂了，诊断模块能做的只有喊停，不能接替工作。
所以，1oo1架构的核心特征就三点：
- 单一路径：信号从输入到输出只有一条物理路径
- 无冗余：没有热备份、冷备份或任何形式的备用通道
- 诊断覆盖：通常配有诊断机制，但诊断本身不提供功能冗余
4.3 失效模式分析
1oo1架构的失效模式，说白了就两种：
4.3.1 危险失效（Dangerous Failure）
这是最要命的。通道发生了故障，但系统没检测到，或者检测到了但没来得及反应。结果就是——系统该停的时候不停，该保护的时候不保护。
举个例子：一个压力传感器的输出卡死在正常值，但实际压力已经超标了。诊断模块没发现这个卡死，系统继续运行。这就是典型的危险失效。
我个人的经验是，1oo1架构中80%以上的危险失效都来自“共因失效”——比如电源纹波导致所有芯片同时复位，或者温度过高让传感器和处理器一起漂移。单通道架构对这类问题几乎没有抵抗力。
4.3.2 安全失效（Safe Failure）
这个相对好理解。通道故障了，诊断模块也正确检测到了，系统进入了安全状态。虽然系统停机了，但至少没出事。
安全失效的典型场景：电源掉电、晶振停振、看门狗超时。这些故障一旦发生，系统会立刻进入安全状态，不会造成危险。
但要注意——安全失效多了，系统的可用性就差了。你想想看，一个设备动不动就停机，用户能接受吗？
4.3.3 诊断覆盖率的影响
这里有个关键参数：诊断覆盖率（DC）。
诊断覆盖率越高，危险失效被检测到的概率就越大。但1oo1架构有个天然的限制——诊断模块本身也可能失效。
我曾经在一个项目里遇到过：诊断模块的ADC参考电压漂了，导致它误判主通道正常。结果主通道已经坏了，诊断模块还在那说“一切正常”。这就是诊断模块的“共因失效”问题。
所以，1oo1架构的SIL等级通常被限制在SIL 2以下。想做到SIL 3？对不起，单通道架构基本没戏。
4.4 适用场景
1oo1架构虽然简单，但并不是一无是处。在以下场景中，它反而是最优解：
| 场景 | 原因 | 我的建议 |
|---|---|---|
| 低成本产品 | 单通道硬件成本最低，适合对价格敏感的市场 | 但一定要算清楚风险，别为了省钱埋雷 |
| 低安全要求（SIL 1） | 失效后果不严重，允许偶尔停机 | 比如家用电器、简单传感器 |
| 高可用性要求 | 1oo1架构没有冗余切换的延迟，响应最快 | 但前提是故障率要足够低 |
| 诊断能力强的场景 | 如果诊断覆盖率能做到99%以上，1oo1也能用 | 但诊断模块本身要足够可靠 |
我记得有一次给一个工业阀门控制器做设计。客户要求SIL 2，但预算只有200块。我最后选了1oo1架构，搭配一个高精度的电流检测诊断模块。做了FMEA分析，危险失效概率刚好压线通过。嗯，这种“刀尖上跳舞”的感觉，做功能安全的都懂。
4.5 局限性
1oo1架构的局限性，说白了就是“单点故障”问题。任何一个环节出问题，系统就完蛋。
具体来说：
- 无法容忍单点故障：任何一个硬件失效都可能导致系统失效
- SIL等级受限：通常只能做到SIL 1或SIL 2，很难达到SIL 3
- 诊断模块本身不可靠：诊断模块的失效会直接降低系统安全性
- 共因失效风险高：温度、电源、电磁干扰等共因因素容易同时影响所有器件
- 维修成本高：一旦失效，系统必须停机维修，影响生产
我曾经在一个项目里，为了省成本，把1oo1架构用在了SIL 2要求的系统上。结果FMEA分析时发现，一个简单的电源纹波就能让整个系统失效。最后不得不加了一个电源监控芯片，成本没省下来多少，反而增加了设计复杂度。
所以我的建议是：如果系统要求SIL 2以上，别犹豫，直接上冗余架构。1oo1架构只适合SIL 1或低风险场景。
4.6 设计建议
如果你决定用1oo1架构，我有几条经验供你参考：
- 诊断覆盖率要往高了做：至少90%以上，最好99%。诊断模块的精度和可靠性要单独验证。
- 关注共因失效：电源、时钟、复位这些公共资源要单独设计保护电路。比如用独立的LDO给诊断模块供电。
- 做FMEA分析：把每个器件的失效模式列出来，算清楚危险失效概率。别凭感觉，要拿数据说话。
- 留好测试接口：1oo1架构一旦失效就是停机，所以生产测试和现场维护的接口一定要方便。我习惯在每个关键节点加测试点，方便故障定位。
- 考虑退化模式：如果主通道部分失效（比如精度下降），系统能不能继续运行？这个要在设计阶段就想清楚。
1oo1架构虽然简单，但它的失效模式分析是学习冗余架构的基础。你如果能把1oo1的FMEA做透了，后面学1oo2、2oo2、2oo3会轻松很多。
我个人习惯是：先用1oo1架构把系统功能跑通，然后逐步增加冗余和诊断。这样既能控制成本，又能保证安全性。
4.7 小结
1oo1架构，说白了就是“一条路走到黑”。它简单、便宜、响应快，但扛不住单点故障。适合SIL 1或低风险场景，不适合高安全要求的系统。
记住一句话：1oo1架构不是不能用，但你要清楚它的底线在哪里。
下一章咱们聊1oo2架构——两条路，总有一条能走通。到时候你会发现，冗余架构的设计思路和1oo1完全不同。