2. 船舶PLC冗余系统架构解析
冗余不是简单地把两台PLC并排放进控制柜，而是围绕“故障发生时系统仍能继续执行控制任务”这一目标，在CPU、电源、网络和I/O四个层面同时构建可切换的备用通路。理解冗余架构，关键是看清每一层的“主用—备用”关系、切换触发条件以及切换过程中数据是否连续。本节以船舶机舱监控系统为背景，解析双机热备、冗余CPU、冗余电源、冗余网络与冗余I/O的拓扑结构，并对照DNV、ABS、CCS的典型要求。
一、双机热备：冗余系统的运行核心
双机热备指两台PLC同时上电运行，一台处于主用（Primary）状态执行输出，另一台处于备用（Standby）状态持续跟踪主机的程序状态与数据。备用机并非“停机等待”，而是每个扫描周期通过冗余链路同步过程映像、数据块和内部标志，因此切换时不需要重新初始化。以船舶常见的机舱报警与泵组控制为例，主机CPU负责采集液位、压力、温度并驱动泵接触器；备用CPU同步接收相同输入映像，一旦主机故障，备用机在一个扫描周期内接管输出，泵组不会因控制器切换而停转。
热备切换的典型触发条件包括：主机CPU硬件故障、看门狗超时、电源异常、冗余链路中断、主机被手动切换。工程上需要关注两个参数：一是同步链路的带宽与周期，它决定备用机数据的新旧程度；二是切换时间，通常要求在一个控制周期到数百毫秒量级。对于船舶推进辅助系统，切换期间输出应保持“保持最后有效值”而非复位，避免泵阀误动作。配置时一般需设定主备优先级、切换使能条件和故障恢复后的回切策略，回切应延时并确认原主机状态稳定，防止反复切换。
二、冗余CPU与冗余电源
冗余CPU有两种常见形态：一种是机架内双CPU模块，通过背板或专用同步光纤互联；另一种是两台独立机架，通过冗余通信模块互联。前者结构紧凑，后者物理隔离性更好，适合对可用性要求高的推进控制或安全相关回路。无论哪种形态，CPU冗余都要求程序、组态和固件版本一致，否则同步会失败。实际调试中，版本不一致是热备无法建立的常见原因，应在上电前核对。
冗余电源则为CPU机架、I/O机架和网络设备提供双路供电。典型做法是两路独立24V DC电源分别取自不同的配电回路，经二极管解耦或冗余电源模块并联后送入负载，任一路失电时另一路无缝承担全部负载。船舶环境中还需考虑电源模块的均流与告警：当一路电源电压跌落或熔断器动作，系统应产生电源故障报警，但控制不中断。设计时要核算单路电源容量应能覆盖全部负载，而不是两路各承担一半，否则一路故障后剩余电源过载。
三、冗余网络：环网与双星型
船舶PLC冗余网络主要有环网和双星型两类拓扑。环网结构中，各站点通过交换机首尾相连成环，正常运行时任一段链路中断，环网协议会在毫秒级重构，数据沿另一方向到达目的地。环网节省线缆、覆盖范围大，适合沿船体纵向分布的远程I/O站。双星型结构则以两台核心交换机为中心，每个站点分别上联到两台交换机，形成两条独立路径；其优点是故障域清晰、单点故障不影响另一路径，适合机舱集控室与驾驶台之间的主干通信。
无论环网还是双星型，冗余网络都要求站点具备双网口，并配置冗余协议（如MRP、PRP或设备厂商的环网协议）。工程上要避免“物理冗余、逻辑单网”的错误：两个网口若配置在同一IP子网且未启用冗余管理，可能形成广播风暴。正确做法是明确冗余域、设置环网管理器与备用管理器，并验证断链后重构时间满足控制周期要求。对于跨舱室长距离布线，还应考虑电磁干扰与接地，屏蔽层单端接地是常见做法。
四、冗余I/O与船级社规范要求
冗余I/O通常针对关键测点配置双模块、双通道或双端子，例如主机滑油压力、舵机反馈、舱底水位等高影响信号。常见方式包括：同一信号接入两个输入模块，由程序做“二选一”或“取中值”判断；或采用冗余输出模块并联驱动同一执行器，任一模块故障仍能维持输出。需要注意的是，冗余I/O并不等于所有点都双份，应按故障影响与规范要求分级配置，避免成本与接线复杂度失控。
船级社规范对冗余控制的要求各有侧重。DNV相关规范强调控制系统的可用性与故障安全，要求关键控制功能在单点故障下仍可运行，并对冗余切换、报警和试验提出验证要求；ABS规范关注自动化与远程控制系统的可靠性，通常要求对冗余电源、网络和控制器进行故障模拟试验并记录；CCS《钢质海船入级规范》对无人机舱等附加标志下的自动化系统提出冗余与报警要求，强调主备切换不应引起被控设备误动作。实际项目中，应把规范条款转化为可验证的试验项，例如断开一路电源、拔掉一段环网链路、模拟主机CPU停机，观察系统报警与切换结果，并形成试验记录。
把四层放在一起看，冗余系统的可用性取决于最薄弱的一环：CPU双机热备做得再好，若只有一路电源或单条网络，单点故障仍会导致停机。因此工程实施时应先做故障模式分析，列出每个关键回路的单点，再决定在哪一层增加冗余。调试阶段建议按“电源—网络—CPU—I/O”的顺序逐层做切换试验，每层试验都记录报警信息、切换时间和被控设备状态，作为船级社验收和后续维护的基线。对于规范要求的关键控制功能，还应保留手动切换与强制手段，确保自动冗余失效时操作人员仍能介入。