3. 冗余设计基础
冗余设计不是“多买一套设备”这么简单。它要回答三个彼此耦合的问题：备用对象处于什么运行状态（冗余类型）、冗余覆盖到哪一层（冗余粒度）、以及主用失效后多快能接管、接管时数据是否一致（切换时间与数据一致性）。这三者共同决定了系统的可用性上限，也决定了投资成本。理解它们之间的取舍，是后续所有冗余方案设计的基础。
一、四种冗余类型：按备用对象的“就绪程度”划分
冗余类型的本质区别，在于备用单元平时是否上电、是否运行、是否与主用同步数据。就绪程度越高，切换越快，但资源浪费和同步复杂度也越高。
- 冷备（Cold Standby）：备用设备断电或停机，仅在主用故障后人工或自动上电启动。切换时间通常在分钟级到小时级，数据一致性依赖停机前的备份或事后补采。成本最低，适合非关键、可容忍长时间中断的场合，例如某些辅助泵站的就地控制柜。
- 温备（Warm Standby）：备用设备已上电、操作系统与SCADA软件已启动，但不同步实时数据，或仅周期性同步配置与历史库。切换时间约数十秒到数分钟，切换后需要重新建立与现场设备的通信并补齐数据。它是成本与可用性之间的折中。
- 热备（Hot Standby）：主备同时运行，备用实时接收主用的状态、报警、实时库更新，处于“待命接管”状态。切换时间通常在秒级甚至亚秒级，数据一致性高。这是电力调度、油气管道等关键SCADA系统的主流方案。
- 双活（Active-Active）：两个或多个节点同时对外提供服务，共同承担采集、计算与画面请求，任一节点故障后其余节点自动分担负载。它没有“主备”概念，切换表现为负载重新分配，用户几乎无感知。双活对数据同步和冲突处理要求最高，常见于大型集控中心的前置采集与历史服务。
需要强调：热备与双活的关键差异不在“快慢”，而在“是否同时对外服务”。热备的备用节点通常不响应客户端请求，只做同步；双活则两个节点都在响应，因此必须解决写冲突、会话保持和时钟一致性问题。
二、冗余粒度：部件、设备、系统三层
冗余粒度决定“冗余到哪一层为止”。粒度越细，故障影响面越小，但实现越复杂。
- 部件级冗余：针对电源模块、网卡、CPU、硬盘、通信端口等单个部件做1+1或N+1冗余。例如服务器双电源、交换机双上行链路、RTU双通信口。它解决的是“单点部件失效”，成本低、见效快，是冗余设计的第一道防线。
- 设备级冗余：整台服务器、交换机、RTU或PLC互为备用。例如两台SCADA服务器组成主备对，两台核心交换机做堆叠或VRRP。它覆盖了整机故障（主板、系统崩溃），是工程中最常见的冗余层级。
- 系统级冗余：整个SCADA系统（含采集、服务器、网络、电源、甚至机房）在异地或同城另建一套，形成“主中心+备用中心”。它应对的是火灾、水淹、区域性停电等灾难性事件，切换时间最长、成本最高，通常只用于核心调度系统。
三层粒度不是互斥的，而是叠加的。一个高可用SCADA通常同时具备：部件级双电源与双网卡、设备级双服务器热备、系统级异地备用中心。设计时要避免“只做系统级却忽略部件级”——一个电源模块故障就可能让整个主中心失效，再快的异地切换也救不了。
三、故障切换时间与数据一致性
切换时间（Failover Time）指从主用失效到备用开始正常提供服务的时间，包含故障检测、仲裁决策、角色切换、通信重建、数据恢复几个阶段。数据一致性则指切换后备用所持有的实时数据、报警状态、历史记录与主用失效瞬间的偏差程度。
两者往往互相制约。要缩短切换时间，就要让备用持续同步、随时可接管，这增加了同步开销和一致性维护难度；要保证强一致性，就可能需要等待数据确认，从而拉长切换时间。工程上通常按业务重要性分级设定指标，例如：
| 业务对象 | 冗余类型 | 切换时间目标 | 数据一致性要求 |
|---|---|---|---|
| 调度主站实时监控 | 热备/双活 | ≤ 5 s | 实时库偏差 ≤ 1 个扫描周期 |
| 前置采集服务 | 双活 | ≤ 2 s | 不丢报文，断点续传 |
| 历史数据服务 | 温备 | ≤ 60 s | 允许补录，历史不丢 |
| 辅助系统监控 | 冷备 | ≤ 30 min | 可接受人工补录 |
表中数值为示例性工程目标，实际项目需根据工艺要求、投资预算和验收标准确定。判断切换是否达标，不能只看“切过去了”，还要看切换后：实时数据是否跳变、报警是否重复或丢失、历史曲线是否有断点、与现场设备的通信是否全部恢复。这些才是数据一致性的可观测证据。
四、冗余类型、粒度与指标的对应关系
把三者放在一起看，可以形成一张设计决策图：横轴是冗余粒度（部件→设备→系统），纵轴是就绪程度（冷→温→热→双活），切换时间与一致性要求则决定你落在哪个区域。下面的SVG用一张关系图表达这种对应：左侧是四种冗余类型及其就绪程度，右侧是三层冗余粒度，中间用箭头连接典型组合，底部标注切换时间与数据一致性的变化方向。
从图中可以看出，冗余类型与粒度并非一一对应：部件级冗余既可以是冷备（备用电源模块不投入），也可以是热备（双电源均流）；系统级冗余通常是温备或热备，很少做双活，因为跨中心双活的同步代价过高。真正决定方案的是业务指标，而不是技术偏好。
五、工程落地时的关键检查点
在具体项目中，建议按以下顺序推进，避免返工：
- 列出单点故障清单：从电源、网络、服务器、存储、采集设备到软件进程，逐项标注“是否已有冗余、属于哪层粒度”。
- 为每项设定切换指标：明确允许中断时间和数据偏差，写入设计说明，作为验收依据。
- 选择冗余类型并验证同步机制：热备要确认同步周期与实时库刷新频率；双活要确认写冲突策略和会话保持方式。
- 做切换演练并记录证据：记录切换耗时、切换前后关键测点值、报警列表、历史曲线连续性，形成可复查的测试记录。
总结来说，冗余设计的基础是把“类型—粒度—指标”三者对齐：类型决定备用有多“热”，粒度决定冗余覆盖多“广”，指标决定方案是否“够用”。三者对齐后，再进入具体的冗余架构、同步机制与切换逻辑设计，才不会出现指标与实现脱节的问题。