脑袋的表决是 脑袋的表决, Io是单独的表决.
一个脑袋的时候,也可以 Io 1:1 冗余,也可以2取1,2取2,3取2.
三个脑袋的时候,也可以 Io 1:1 冗余,也可以2取1,2取2,3取2.

目前的系统,已经很少有 1个 CPU挂 1个Io, 然后整体上 3套 投票表决的情形了.
3个脑袋在一起跑的理论可靠性比2个脑袋跑的双机冗余来比还是要高一些.
大约好像是 99.99% 跟 99.9999%的差距.并不是很大,但是成本差很多.
这也是 西门子现在几乎不搞 3机表决系统的 原因之一.

因为 Io是接现场的,情况比较复杂.
不一定是 3取2 表决的那种.
有些时候.比如是AO,一般都是 1:1 AO模块冗余.到现场去的是一路信号线接设备.目前 我见过 这么多ESD,还没见过一个现场的AO是 3取2表决型的!
再比如DO. 有很多搞法. 比如有象西门子这样 1:1 DO 模块冗余, 现场接线一路信号线的. 我们可认为其是 2取1的典型搞法. 而还有的系统则是 2个DO,2路接线,接到现场的继电器或者电磁阀线圈才并起来.这样可以放置断线.
还有种 2取2的,要求 必须2个DO都输出 才可动作,这时候有些系统就是 2个DO点,2路信号线, 一路控火,一路控零.接在同一个继电器或者线圈上. 另外的做法是,2个DO,2路线,接2个继电器,2个继电器的触点串起来 接一个现场设备.
这样也是 2取2的效果.
Do用3取2 会导致接线 异常复杂,比如一般是Do1,2,3 输出到继电器A,B,C
然后A-B串联/A-C串联/B-C串联, 这3路再并联 去接现场设备.
只有DI 是最简单的.信号读上来按 逻辑要求进行 表决操作.

关于 IO配线的冗余. 西门子实用 MTA,基本上都是 Y型方式.而且只能是1:1 冗余. 2路 Io接 MTA,到MTA变成 1路线去现场. 在配线上并不是很麻烦.
但是,实际上,我却不是很推荐这种方式. IO模块是冗余了,但是现场接线不冗余.这会导致较大的现场隐患. 我们知道其实很多问题都是出在现场,真正因 控制系统本身部件失效而导致的问题反而是很少的.
目前中国区的ESD系统的现象是 电源冗余,通讯冗余. CPU 表决或容错.
IO模块 表决.但是现场信号(传感器及执行机构)不冗余.

我个人认为一个 足够安全的安全系统,应该在此基础上 再加上 信号冗余,甚至设备冗余.
比如要一个安全阀动作,DO.要实现2取1.
可以2个DO,2路线,2个继电器,去2个阀, 在现场的 设备罐顶,2个阀并行安装.
这样,中间任意一处 坏一个不影响整体的安全功能.

而在中国,经常是 2个DO,并起来 1路线,接一个继电器,到1个安全阀去.
那一路现场接线 断线会有问题; 哪一个独苗继电器坏,会有问题;
那一个安全阀有问题,也会导致事故.

跟晕的是 AI,设计院的"白痴" 经常是一个变送器来接一路线,进信号分配隔离器,然后变3路并行出来,进3个AI,进行表决.
这样,控制系统再 表决有何意义? 8个脑袋也不够玩的,一旦 现场的哪个变送器坏,或者那一路线断开,或者哪个破烂信号分配器损坏. 3个AI是一样的结果,
表决不表决的 结果都是一样的.
ESD类安全系统,事关人命,绝非儿戏!

顺道再说一下,西门子的FH是 CPU 2取1.但是IO还是很灵活的.
除了经典的 1:1 冗余外. 也支持 你做表决的.
比如,假如真的很极端的工况.
外部来3个DI 信号,3路线, 你可以让他进3个MTA, 最终接 6个DI点上去.
在F库程序中 有专门的 3取2表决块, 你当成3个来搞就行了. 另外的哪些是透明冗余的. 这个时候是 表决+冗余.
Do的话,你可以4个DO 进2个MTA,去2路线到现场,并接一个设备.
在程序中调用 F库的 或操作即可. 就当成2个独立的Do点来做.

很多东西都是取决于成本的...
比如设备冗余,至今没在 国内的设计中见到,倒是老外配套过来的很多.