1. EcoStruxure架构与高可用灾备概述

EcoStruxure 是施耐德电气面向楼宇、工业、数据中心与基础设施的开放式物联网架构。理解它的三层结构，是后续学习高可用与灾备工程的前提：只有先看清数据从哪里产生、在哪里被控制、又在哪里被分析与决策，才能判断一条链路中哪些环节一旦失效会造成业务中断，以及应当用冗余、切换还是异地恢复来应对。

三层架构：从现场设备到云端服务

EcoStruxure 的三层分别是互联互通的产品、边缘控制和应用、分析与服务。这三层不是简单的软件分层，而是对应着不同的物理位置、实时性要求和失效后果。

第一层：互联互通的产品。这一层是现场设备与传感执行层，包括断路器、保护继电器、变频器、PLC、智能电表、温度与压力传感器、阀门执行器等。它们直接连接一次设备与工艺过程，负责采集电流、电压、功率、温度、流量、开关状态等原始数据，并执行分合闸、调速、启停等动作。这一层的典型特征是强实时、强确定性：保护动作要求在毫秒级完成，通信中断可能直接导致设备失控。因此这一层的高可用主要依赖设备自身的冗余设计（如双电源、双通信口）和现场总线的冗余拓扑。

第二层：边缘控制。边缘控制层位于现场与控制室之间，典型对象包括边缘控制器、网关、工业服务器、SCADA 站、历史数据库和本地 HMI。它承担三项关键任务：一是汇聚第一层的数据并做协议转换；二是执行本地逻辑控制与联锁；三是在与上层网络断开时仍能维持基本运行。这一层是高可用设计的核心战场——因为一旦边缘控制器失效，现场设备可能失去协调控制，而云端再强大也无法在毫秒级介入。常见的可用性手段包括控制器冗余（热备/冷备）、双网上行、本地历史缓存和断点续传。

第三层：应用、分析与服务。这一层运行在数据中心或云平台上，包括监控软件、能效分析、预测性维护、资产管理和各类数字化服务。它的实时性要求最低，但数据量和业务价值最高。这一层的灾备重点是数据不丢、服务可恢复：通过数据库复制、虚拟机备份、异地容灾站点和应用集群来实现。需要特别注意的是，第三层的中断通常不会立即影响现场安全，但会造成数据缺失、报表中断和决策延迟，因此其 RTO 与 RPO 指标可以比边缘层宽松，但必须有明确的恢复预案。

高可用与灾备的基本概念

高可用（High Availability, HA）关注的是系统在正常运行期间尽量减少停机时间。它的核心手段是冗余与自动切换：当主控制器、主网络或主电源故障时，备用部件能够在可接受的时间内接管，使业务不中断或仅短暂降级。衡量高可用的常用指标是可用性，例如 99.9% 表示全年停机不超过约 8.76 小时，99.99% 则不超过约 52.6 分钟。

灾备（Disaster Recovery, DR）关注的是在发生区域性灾难（火灾、水淹、地震、大范围断电或网络攻击）后，如何从异地备份或容灾站点恢复业务。它有两个关键指标：RTO（恢复时间目标）指业务从中断到恢复所需的最长时间；RPO（恢复点目标）指可容忍丢失的数据时间窗口。例如 RPO=15 分钟，意味着灾难发生时最多丢失最近 15 分钟的数据。

两者的关系可以这样理解：高可用解决的是“局部故障不中断”，灾备解决的是“整体灾难能恢复”。在 EcoStruxure 架构中，第一层和第二层以高可用设计为主，第三层则同时需要高可用与灾备。一个常见的误区是认为做了控制器冗余就不需要灾备——冗余只能应对单点故障，无法应对整个控制室被淹或区域断电。

课程整体学习地图

本课程围绕 EcoStruxure 三层架构展开，后续章节将依次深入以下方向：

• 架构与概念基础：三层架构的职责边界、可用性指标定义、典型故障模式分类。
• 第一层高可用：现场设备冗余供电、双通信口配置、冗余总线拓扑与保护配合。
• 第二层高可用：控制器热备与冷备的切换逻辑、SCADA 冗余站、历史数据库缓存与断点续传。
• 第三层灾备：数据库复制策略、虚拟机备份与恢复、异地容灾站点设计、RTO/RPO 验证方法。
• 工程实践：切换测试用例、故障注入演练、恢复演练记录与改进闭环。

学习时建议始终带着一条主线：数据从现场产生，经过边缘汇聚与控制，最终到达云端分析与存储；在这条链路上，每一段的中断后果不同，因此冗余方式、切换时间和恢复指标也不同。后续每一章都会回到这条主线，帮助你把零散的技术点串成可落地的工程方案。