2. Experion系统核心组件与冗余机制

Experion PKS 的高可用性并不是靠某一个部件“永不故障”实现的，而是由控制器、网络、服务器和 I/O 四条冗余链路共同构成的容错体系。理解这套体系的关键，是分清每一层冗余的切换对象、切换触发条件和切换后的状态表现。本节围绕 C300 控制器、FTE 网络、服务器冗余和 I/O 冗余四条主线展开，说明它们各自的冗余原理与协同关系。

C300 控制器冗余：主备并行，无扰切换

C300 控制器采用双机热备（Redundant）结构，两个控制器模块通过专用冗余链路（通常为光纤或专用同步电缆）持续交换数据。正常运行时，一个为 Primary（主控），另一个为 Backup（备用）。主控控制器执行控制策略、驱动输出、与 FTE 网络通信；备用控制器同步接收主控的数据库、算法状态、I/O 映像和通信状态，但不驱动输出。

冗余切换的核心是“状态同步 + 输出保持”。主控每个扫描周期把内部状态推送给备用，备用保持与主控一致的运算上下文。当主控发生故障（电源丢失、CPU 异常、通信中断、看门狗超时）时，备用在毫秒级内升为主控，接管输出。由于备用已持有最新状态，切换过程对现场回路几乎无扰动。工程上需要关注三个参数：同步链路的健康状态、主备切换次数记录、以及切换后备用是否重新进入同步。若同步链路断开，备用会进入“不同步”状态，此时主控仍运行，但系统已失去冗余保护，必须尽快处理。

FTE 网络冗余：并行双网，故障透明

FTE（Fault Tolerant Ethernet）是 Experion 的容错以太网。它的冗余不是简单的“主网 + 备网”，而是让每个节点同时接入两台交换机，形成并行的双网路径。节点通过两条独立链路发送和接收数据，网络层对上层应用透明：应用只看到一条逻辑网络，底层由 FTE 驱动完成路径选择和故障切换。

FTE 的容错能力体现在三个层面：链路冗余（节点到交换机的双上行）、交换机冗余（两台交换机互为备份）、以及路径冗余（跨交换机形成环网或冗余路径）。当一条链路或一台交换机故障时，流量在极短时间内切换到另一条路径，TCP 连接不中断，控制器与服务器之间的通信保持连续。实际工程中，FTE 交换机通常成对配置，节点双网卡分别接入两台交换机，交换机之间通过冗余端口互联。判断 FTE 健康度的常用观察点是：节点双链路状态、交换机端口状态、以及 FTE 诊断中的路径切换计数。

服务器冗余：主备角色与数据一致性

Experion 服务器冗余通常采用主/备（Primary/Standby）模式。主服务器承担实时数据服务、历史数据采集、报警处理和操作站访问；备服务器通过心跳和数据库复制保持与主服务器一致。当主服务器故障时，备服务器自动升为主服务器，操作站重新连接到新的主服务器，历史数据和报警不丢失。

服务器冗余的关键在于“数据一致性”和“角色仲裁”。数据一致性依赖实时数据库复制和 Historian 的同步机制；角色仲裁则通过心跳网络判断对方是否存活。工程上需要关注：心跳网络是否独立于 FTE 业务网络、复制延迟是否在可接受范围、以及切换后操作站的重连时间。若心跳网络与业务网络共用，业务网络拥塞可能导致误判切换，因此建议心跳走独立路径。

I/O 冗余：通道级与模块级容错

I/O 冗余分为模块冗余和通道冗余两种常见形式。模块冗余指同一测点接入两个 I/O 模块，控制器同时读取两个模块的数据，按预设策略（如取中值、取高值、取低值或主通道优先）选择有效值。当主模块故障时，控制器自动切换到冗余模块，现场信号不中断。通道冗余则是在同一模块内对关键通道做双通道采集，适用于高价值单点。

I/O 冗余的工程要点包括：冗余模块必须安装在同一 I/O 机架或通过冗余 I/O 链路连接；现场信号通过分线器或双接线方式同时接入两个模块；控制器需配置冗余 I/O 的读取策略和故障判定阈值。判断 I/O 冗余是否生效，可以观察模块状态字、通道质量码和控制器中的 I/O 冗余诊断计数。

四层冗余的协同关系

这四层冗余不是孤立的。C300 主备切换依赖 FTE 网络保持与服务器和 I/O 的通信；服务器切换依赖 FTE 网络和心跳网络；I/O 冗余依赖控制器对双模块的并行读取。任何一层失去冗余，系统仍能运行，但容错能力下降。因此日常巡检应同时检查四层状态：控制器主备同步、FTE 双链路、服务器主备心跳、I/O 冗余模块在线。只有四层都处于健康状态，系统才具备完整的容错能力。