4. ETB冗余核心概念
ETB（Ethernet Train Backbone，列车骨干以太网）承载的是列车级控制与监视数据，一旦骨干链路中断，可能同时影响多节车厢的诊断、显示与远程控制功能。因此ETB标准（IEC 61375-2-5）从一开始就把冗余作为架构性要求，而不是可选的可靠性增强。理解冗余，需要把"冗余到什么程度""多久能恢复""备份处于什么状态""冗余的是链路还是节点""由谁裁决切换"这五个问题分开看，它们分别对应冗余级别、故障切换时间、热备与冷备、链路冗余与节点冗余、冗余管理状态机。
冗余级别：从链路到路径的分层
ETB的冗余不是单点措施，而是分层设计的。最底层是端口级冗余：每个ETBN（ETB节点）的两个骨干端口分别接入两条独立的物理链路，端口本身互为备份。往上一层是链路级冗余：列车骨干由两条并行的物理链路组成，正常情况下一条承载业务、另一条待命或分担。再往上是路径级冗余：当某段链路或某个节点失效时，冗余管理协议在拓扑中重新计算出一条绕行路径，使两端节点仍能互通。最高层是节点级冗余：关键位置（如列车两端车头、编组连接处）部署冗余ETBN，单个节点掉电或故障不影响骨干连通性。
这四层的关系是"逐层兜底"：端口冗余处理单端口故障，链路冗余处理单段线缆故障，路径冗余处理节点或链路组合故障，节点冗余处理整机故障。工程上要根据列车编组方式和关键业务分布决定冗余做到哪一层——短编组列车可能链路冗余加端口冗余已足够，长编组或重联运营的列车则需要路径冗余与节点冗余配合。
故障切换时间：冗余是否有效的硬指标
冗余的价值最终体现在故障切换时间上，即从故障发生到业务恢复可用的时间。它由三部分构成：故障检测时间、冗余决策时间、路径重建与收敛时间。检测依赖链路层心跳或BFD类快速检测机制；决策由冗余管理状态机完成；重建则涉及拓扑更新与转发表刷新。
以教学示例说明：假设某ETB配置心跳周期为100 ms、连续丢失3个心跳判定链路故障，则检测时间约300 ms；状态机裁决与拓扑重算假设为50 ms；新路径收敛假设为150 ms，则总切换时间约500 ms。若业务对中断敏感，可缩短心跳周期至20 ms、丢失2次判定，检测时间降至约40 ms，总切换时间可压缩到200 ms以内，代价是心跳流量与误判风险上升。这里的关键判断是：切换时间必须小于业务允许的中断窗口，而不是盲目追求越快越好。实际工程中应把检测参数、拓扑规模和业务容忍度一起权衡，并通过注入故障实测验证，而非仅凭理论计算。
热备与冷备：备份处于什么状态
热备指备份链路或备份节点处于通电、运行、持续同步状态，主用失效时可立即接管，切换时间短，但备份资源长期占用带宽或算力。冷备指备份处于断电或未激活状态，故障后才启动并建立连接，资源占用低但切换时间长，且启动过程本身可能引入不确定性。
ETB中更常见的是介于两者之间的温备：备份链路物理连通、端口激活，但不承载业务流量，仅维持心跳与拓扑信息同步。这样既避免了冷备的启动延迟，又不像热备那样长期占用带宽。选择哪种方式，取决于业务中断窗口与资源成本的平衡：对列车控制类业务，倾向热备或温备；对非实时诊断数据，冷备可接受。
链路冗余与节点冗余：冗余的对象不同
链路冗余保护的是"路"，节点冗余保护的是"点"。链路冗余通过双链路并行，使单段线缆断裂或连接器松动时业务仍可通行；节点冗余通过冗余ETBN，使单个节点整机故障时骨干不被割裂。两者不能互相替代：只有链路冗余，遇到节点掉电仍会断链；只有节点冗余，遇到线缆断裂仍会中断。
在环形或线性编组中，链路冗余通常表现为环网或双归接入，节点冗余则体现在编组连接处和车头位置的双ETBN部署。设计时要明确每个故障场景由哪一层冗余覆盖，避免出现"以为有冗余、实际存在单点"的盲区。
冗余管理状态机：谁来决定切换
冗余管理状态机是冗余的"大脑"，负责监测链路与节点状态、裁决主备角色、触发切换并防止频繁抖动。典型状态包括：初始化（上电后建立拓扑视图）、正常/主用（业务承载中）、检测（心跳异常，进入观察）、切换（裁决并启用备份）、恢复（原路径修复后决定是否回切）。
状态机设计中最容易被忽视的是防抖与回切策略：链路瞬时抖动若立即触发切换，会造成业务反复中断；因此需要设置确认次数与抑制时间。回切同样需要策略——是故障修复后立即回切，还是保持当前路径直到下次维护窗口，取决于业务连续性与路径稳定性的权衡。下面用一张状态关系图把上述五个概念串起来。
把五个概念放在一起看，冗余设计的实质是一次故障场景与冗余层次的对照：先列出可能的故障（端口、线缆、节点、整机），再确认每一类由哪一层冗余覆盖、备份处于什么状态、状态机在多长时间内完成裁决与切换。只有这张对照表没有空白，冗余才是真正闭环的。工程实践中，建议在调试阶段主动注入链路断开、端口关闭、节点掉电等故障，记录实际切换时间并与业务容忍窗口比对，同时观察状态机是否出现抖动或误回切——这比任何纸面参数都更能说明冗余是否可靠。