1. 高可用架构设计导论
在工业监控与SCADA领域，AVEVA监控平台往往承担着生产数据采集、实时画面监视、报警管理、历史存储与操作控制等关键任务。一旦平台不可用，操作员可能失去对现场状态的感知，报警无法及时送达，控制指令无法下发，甚至导致非计划停车。因此，高可用架构设计不是单纯的IT技术优化，而是保障生产连续性与安全性的基础工程。
1.1 什么是AVEVA监控平台的高可用
高可用（High Availability，HA）指系统在计划内维护和计划外故障条件下，仍能以可接受的服务水平持续对外提供服务的能力。对AVEVA监控平台而言，高可用并不等于“永不宕机”，而是通过冗余、故障检测、自动切换、数据同步和快速恢复等机制，把单点故障对业务的影响降到最低。
具体来说，AVEVA监控平台的高可用通常覆盖以下层面：
- 采集层高可用：现场PLC、RTU或DCS通过冗余通信路径接入，避免单一通道中断导致数据丢失。
- 服务层高可用：数据采集服务、报警服务、历史归档服务、画面发布服务等以主备或集群方式运行。
- 数据层高可用：实时数据库与历史数据库采用镜像、复制或集群存储，保证数据一致性与可恢复性。
- 网络与接口高可用：关键链路采用双网冗余，客户端访问通过负载均衡或虚拟地址切换。
- 站点级高可用：在异地部署备用节点，应对机房级灾难。
需要强调的是，高可用架构的核心目标是“业务连续”，而不是“设备永不故障”。设计时应先识别关键业务路径，再围绕这些路径消除单点故障。
1.2 业务价值：为什么必须做高可用
AVEVA监控平台的高可用价值可以从四个维度理解：
| 维度 | 不可用带来的影响 | 高可用带来的收益 |
|---|---|---|
| 安全 | 操作员失去监视手段，异常工况无法及时处置 | 报警与画面持续可用，支撑安全操作 |
| 生产 | 非计划停车、产量损失、设备损坏 | 减少停机时间，保障连续生产 |
| 合规 | 历史数据缺失，无法追溯与审计 | 数据完整留存，满足监管要求 |
| 成本 | 紧急抢修、加班、备件消耗 | 计划性维护，降低运维成本 |
以一个中型化工装置为例，若监控平台每年意外停机4小时，按每小时产值20万元估算，直接损失约80万元；若引发非计划停车，损失可能扩大数倍。高可用架构的投入，通常远低于一次重大停机带来的综合损失。
1.3 核心指标：如何衡量高可用水平
衡量高可用不能只凭感觉，需要量化指标。AVEVA监控平台常用的核心指标包括：
- 可用性（Availability）：系统正常运行时间占总时间的比例，常用“几个9”表示。例如99.9%对应年停机约8.76小时，99.99%对应约52.6分钟。
- MTBF（平均无故障时间）：两次故障之间的平均运行时长，反映系统可靠性。
- MTTR（平均修复时间）：从故障发生到恢复服务的平均耗时，反映可维护性。
- RTO（恢复时间目标）：灾难或故障后，业务恢复所需的最长可接受时间。
- RPO（恢复点目标）：灾难或故障后，可接受的数据丢失时间窗口。
- 切换时间：主备切换实际耗时，直接影响操作连续性。
可用性计算公式为：
可用性 = MTBF / (MTBF + MTTR) × 100%例如，某AVEVA监控平台MTBF为2000小时，MTTR为2小时，则可用性约为99.90%。若将MTTR压缩到0.5小时，可用性可提升至99.975%。这说明，缩短故障恢复时间对提升可用性非常关键。
1.4 设计原则：高可用架构的底层逻辑
高可用架构设计应遵循以下原则：
- 消除单点故障：任何关键组件都应有冗余，包括服务器、网络、电源、存储和通信链路。
- 故障域隔离：冗余节点应分布在不同的物理位置、供电回路和网络区域，避免同一故障同时影响主备。
- 自动检测与切换：通过心跳、健康检查和仲裁机制，在主节点故障时自动切换到备用节点，减少人工干预。
- 数据一致性优先：切换过程中必须保证实时数据、报警状态和历史数据不丢失、不错乱。
- 可观测性：对关键服务、链路和资源进行监控，提前发现隐患，避免故障扩大。
- 可演练、可恢复：高可用方案必须经过定期切换演练，确保真实故障时能够按预期工作。
- 适度冗余：根据业务重要性和成本约束选择冗余级别，避免过度设计。
1.5 高可用架构的典型组成与关系
下图展示了AVEVA监控平台高可用架构的典型组成及其关系。图中以采集层、服务层、数据层和客户端层为主线，突出冗余节点、心跳检测、数据同步和故障切换路径。
从图中可以看出，高可用架构不是简单地把设备翻倍，而是通过分层冗余、心跳检测、自动切换和数据同步，形成一条从现场采集到操作员画面的连续服务链。任何一层出现故障，都应有对应的备用路径或恢复机制。
1.6 设计前必须明确的输入条件
在进入具体架构设计之前，需要先收集和确认以下信息，否则高可用方案容易偏离实际需求：
- 业务关键性：该监控平台是否直接参与控制？停机是否允许？允许停机多久？
- RTO/RPO要求：例如RTO≤5分钟，RPO≤10秒，决定了切换方式和数据同步频率。
- 现场规模：I/O点数、报警量、历史数据量、客户端数量，影响服务器规格和冗余模式。
- 现有基础设施：机房、供电、网络、机柜空间和预算约束。
- 运维能力：是否有7×24小时运维团队，能否支持自动切换和定期演练。