1. 冗余与高可用工程导入
在工业自动化领域，控制系统一旦停机，轻则造成产线降速、批次报废，重则引发设备损坏甚至人身安全事故。因此，工程师在设计阶段就必须回答一个问题：当某个控制器、电源、网络或I/O模块发生故障时，系统还能不能继续运行？这正是冗余与高可用工程要解决的核心命题。本章不涉及具体组态操作，而是先把一组容易混淆的概念厘清，并说明TIA Portal冗余方案在自动化系统中的定位与价值。
一、五个核心概念：从"不出错"到"出错也不停"
很多初学者会把"可靠"和"可用"当成同义词，实际上它们描述的是不同维度。
可靠性（Reliability）指设备在规定条件和规定时间内无故障完成规定功能的概率，常用MTBF（平均无故障时间）衡量。它回答的是"多久坏一次"。一台MTBF为30万小时的PLC，并不意味着它能连续运行30万小时，而是指大量同类设备的平均故障间隔。
可用性（Availability）指系统在任意时刻处于可工作状态的概率，公式为 A = MTBF / (MTBF + MTTR)，其中MTTR是平均修复时间。它回答的是"一年里有多少时间能用"。举例来说，某单机系统MTBF为8760小时（约1年），MTTR为8小时，则可用性约为99.91%，年停机约8小时；若把MTTR压缩到1小时，可用性提升到99.99%，年停机约53分钟。可见提高可用性有两条路：降低故障率，或缩短修复时间。
容错（Fault Tolerance）指系统在部分部件发生故障时，仍能继续正确执行功能的能力。容错强调的是"故障已经发生，但系统不中断"。它通常依赖冗余实现，但冗余本身不等于容错——冗余部件若不能自动接管，就只是备用件。
冗余（Redundancy）指为完成同一功能而额外配置的备用资源，包括硬件冗余（双CPU、双电源、双网络）、软件冗余（冗余程序、数据同步）和信息冗余（校验码、表决）。冗余是手段，容错是能力，高可用是目标。
故障切换（Failover）指主设备故障后，备用设备接管控制权的动作过程。切换时间是关键指标：TIA Portal的S7-1500R/H冗余系统典型切换时间在毫秒级，而普通软冗余方案可能在数百毫秒到数秒。切换时间直接决定了生产设备能否"无扰"继续运行。
二、TIA Portal冗余方案的定位
西门子在TIA Portal平台中提供的冗余方案，主要围绕S7-1500R/H冗余控制器展开。R系列（如CPU 1513R-1PN、1515R-2PN）采用"无主从"的冗余对等架构，两个CPU通过专用光纤同步链路互联，任一CPU故障时另一CPU立即接管，切换时间典型值约50ms；H系列（如CPU 1517H-3PN、1518HF-4PN）面向更高可用性要求，支持更多同步带宽和更长距离，切换时间可低至毫秒级，并支持I/O冗余。
与早期的S7-400H相比，S7-1500R/H在TIA Portal中实现了统一工程组态：冗余CPU、冗余I/O、冗余网络都在同一项目里配置，无需额外的冗余软件包。这大幅降低了工程门槛，也让冗余系统的调试、诊断和版本管理更加规范。
需要明确的是，冗余方案并非"越贵越好"。选择哪种方案，取决于工艺对停机时间的容忍度。下表给出一个示例性的选型参考（参数为教学示例，实际项目需按工艺要求核算）：
| 方案类型 | 典型切换时间 | 适用场景 | 相对成本 |
|---|---|---|---|
| 单机非冗余 | —（停机） | 非关键辅助设备 | 低 |
| 软冗余（软件同步） | 数百ms～数秒 | 允许短时中断的场合 | 中 |
| S7-1500R | 约50ms | 连续生产、无扰切换要求 | 较高 |
| S7-1500H | 毫秒级 | 高可用、I/O冗余、长距离 | 高 |
三、冗余系统的价值边界
冗余能解决"单点故障"，但不能解决所有问题。以下三类风险，冗余方案本身无法覆盖：
- 共因故障：两个CPU接在同一路电源上，电源故障会同时击穿两者。因此冗余系统必须做到电源、网络、I/O通道的物理分离。
- 系统性错误：程序逻辑错误、组态错误会同时存在于主备CPU中，切换后故障依旧。冗余只防硬件随机故障，不防设计缺陷。
- 维护缺失：备用CPU长期不测试，真正需要切换时可能无法接管。冗余系统必须定期做切换测试和诊断检查。
四、从概念到工程：一个判断思路
面对一个具体项目，可以按以下思路判断是否需要冗余、需要哪一级冗余：
- 先算停机代价：一次非计划停机造成的产量损失、废品损失、设备损坏风险、安全风险分别是多少。
- 再定可用性目标：根据停机代价反推可接受的年停机时间，换算成可用性指标。
- 然后识别单点故障：列出电源、CPU、网络、I/O、传感器、执行器等环节，找出没有备用的关键点。
- 最后匹配方案：对切换时间要求苛刻的选R/H，对成本敏感且允许短时中断的选软冗余，非关键环节保持单机。