1. 冗余与高可用控制工程导论
在流程工业、电力、轨道交通、水处理等连续生产场景中，控制系统一旦停机，损失往往不是"重启一下"就能弥补的：反应釜可能因失控而报废整批物料，锅炉可能因保护失效而触发安全事故，城市供水可能因泵站停机造成大面积停水。这类场景对控制系统的要求，已经从"能控制"升级为"几乎不能停"。冗余与高可用控制工程，正是为满足这种要求而发展起来的一整套设计方法、硬件体系与工程实践。
1.1 四个必须分清的核心概念
初学者最容易把"冗余""容错""可用性""故障切换"混为一谈，但它们描述的是不同层面的问题，工程上必须分开对待。
冗余（Redundancy）指的是为完成同一功能而额外配置的备用资源。它回答的是"我多准备了什么"。例如给CPU配两套、给电源配两个、给网络配两条独立链路。冗余是手段，不是目的——多配一套硬件并不自动等于系统更可靠，如果两套资源共用同一个电源或同一条电缆沟，冗余就是"假冗余"。
容错（Fault Tolerance）指的是系统在部分部件发生故障时，仍能继续正确执行功能的能力。它回答的是"坏了以后还能不能干活"。容错依赖冗余，但更依赖故障检测、故障隔离和降级运行机制。一个只有双CPU、却没有故障检测逻辑的系统，谈不上容错。
可用性（Availability）是衡量系统"可工作时间占比"的指标，常用公式为 A = MTBF / (MTBF + MTTR)。其中 MTBF 是平均无故障时间，MTTR 是平均修复时间。这个公式揭示了一个常被忽视的事实：提高可用性有两条路——降低故障率，或者缩短修复时间。冗余主要作用于前者，而热插拔、在线更换、快速诊断则作用于后者。工程上常说的"99.99%可用性"，对应一年允许停机约52分钟；"99.999%"则只允许约5分钟。
故障切换（Failover）指的是主用部件失效后，系统将控制权移交到备用部件的过程。它回答的是"怎么交接、交接多快"。切换时间、切换时是否丢失数据、切换后输出是否平滑，是评价切换质量的关键。西门子冗余PLC的切换时间通常在毫秒级，对大多数过程控制而言，这个中断短到工艺过程几乎察觉不到。
1.2 西门子冗余PLC家族定位
西门子的冗余PLC产品线主要分为两代：较早的 S7-400H 和较新的 S7-1500R/H。它们并非简单的"新旧替代"关系，而是面向不同项目阶段和不同规模的选择。
S7-400H 是西门子经典的冗余控制器，采用"双机架 + 光纤同步"架构，两个CPU通过同步光纤模块（如IF 964-DP或集成同步接口）实时交换数据。它的优势在于成熟稳定、在存量项目中装机量巨大，大量石化、电力项目仍在使用。缺点是体积大、成本高、编程与诊断体验相对老旧。
S7-1500R/H 是当前主推的冗余平台。其中 R 代表"软冗余"（Redundant），H 代表"高可用"（High Availability）。S7-1500R 采用两个CPU通过背板或集成接口组成冗余对，成本更低、组态更简单，适合中小规模的高可用需求；S7-1500H 则提供更高的可用性等级，支持更完善的冗余诊断和更快的切换，适合对连续性要求极高的场合。两者都使用 TIA Portal 统一组态，编程体验与标准 S7-1500 一致，这是相比 S7-400H 的巨大进步。
1.3 典型应用场景与工程价值
冗余PLC不是"越贵越好"的通用选择，它有自己的适用边界。判断一个项目是否需要冗余，可以从三个维度提问：停机是否会造成人身安全风险？停机是否会造成重大经济损失？停机后是否难以在短时间内恢复？只要有一个答案是"是"，就值得认真评估冗余方案。
典型场景包括：化工反应釜控制，一旦控制器失效，温度压力失控可能引发爆炸；电厂锅炉保护系统，FSSS（炉膛安全监控系统）要求极高的可用性；城市供水泵站，夜间无人值守，停机意味着大面积停水；地铁隧道通风与排水，关系到乘客安全；制药洁净车间，停机可能导致整批药品报废并触发GMP偏差调查。
工程价值可以从三个层面理解。第一层是直接经济损失的避免：一次非计划停机的损失，往往远超冗余硬件的采购成本。第二层是安全与合规：在功能安全（如IEC 61508/61511）和行业规范要求下，冗余是满足SIL等级或可用性指标的必要手段。第三层是运维效率：现代冗余PLC支持在线更换故障模块、在线下载程序、在线诊断，MTTR从数小时缩短到数分钟，这直接体现在可用性公式的分母上。
1.4 从概念到工程：一个判断示例
假设某污水处理厂需要升级控制系统，工艺要求"全年非计划停机不超过4小时"。我们可以做一个简化的可用性估算：若采用单套标准PLC，假设MTBF为8年（约70080小时），平均修复时间MTTR为6小时，则可用性 A = 70080 / (70080 + 6) ≈ 99.9914%，年停机约0.75小时——看起来够用。但这是"理想值"，实际中故障可能集中在调试期、备件到货期，且单点故障一旦发生就是全停。
若采用冗余PLC，MTBF提升到约30年，MTTR因在线更换缩短到1小时，则 A = 262800 / (262800 + 1) ≈ 99.9996%，年停机约0.035小时。更重要的是，冗余系统在单点故障时不会停机，只有"共因故障"（如两套同时被雷击、共用电源失效）才会导致停机，而这类故障可以通过物理隔离进一步降低。
这个估算说明：冗余的价值不在于把MTBF数字做大，而在于把"单点故障导致全停"这个最危险的情况消除掉。这也是后续章节要展开的核心——如何从电源、网络、CPU、I/O到程序逻辑，逐层构建真正可用的冗余体系。