S7-400的冗余电源具有以下特性。电源模块提供一个符合NAMUR的接通闭合限制器。当一个电源模块故障时，其他的每个电源模块均能向整个基板供电，因此不会停止工作。整个系统工作时可以更换每个电源模块，当插拔模块时不会影响系统运行。每个电源模块均具有监视功能，当发生故障时将发送故障信息。一个电源模块的故障不会影响其他正常工作的电源模块的电压输出。当每个电源模块有两个电池时，其中一个必须是冗余电池。如查每个电源模块只有一个电池，则不能进行冗余后备，因为冗余时需要两个电池都工作。通过插拔中断登记电源模块的故障（默认值为STOP），如果只在CR2的第二个段中使用，当电源模块故障时，不发送任何报告。如果插入两个电源模块但只有一个上电，则上电时将发生1min的启动延时。
（3）后备电池 S7-400的电源模块有一个电池盒，可以装1～2个后备电池。这些电池是选件。
SIMATIC S7系统的有的I/O模块都可以在S7-400H中使用。I/O模块可以插入到中央控制器、扩展机架或分布式I/O站。I/O模块可按下列方式配置：
①常规单通道单路I/O配置 两个子系统中只有一个有一套I/O模块（单通道），它们可以在一个中央控制器中，或者是分布式的I/O站。I/O模块只能被该子系统访问，读出的I/O信息同时提供给两个中央控制器。如果出现故障，属于故障控制器的I/O模块退出运行。
②单通道切换式配置 单通道切换式配置的I/O模块虽然是单通道设计，但是两个中央控制器都可以通过冗余的PROFIBUS-DP网络访问I/O模块，切换式I/O模块只能在ET-200M远程I/O站中。
③双通道I/O模块容错冗余配置 系统中有两套相同的容错冗余配置的I/O模块，每一个子系统都可以访问这两套I/O模块。
④FM和CP的冗余 功能模块（FM）和通信处理器（CP）有两种冗余配置方法：
a.可切换的冗余配置：FM和CP分别插到可切换的ET200中。
b.双通道冗余配置：FM和CP分别插到两个子单元或两个单元的扩展设备中
⑤通信 S7-400H可以使用系统总线（例如工业以太网）或点对点通信，从简单的线性网络结构到冗余式双光缆环路。S7的通信功能完全支持PROFIBUS或工业以太网的容错通信。
出现通信故障时，通过多4个冗余连接，使通信继续下去。切换过程不需要用户编程，冗余功能在参数设置时建立，用户的通信程序与标准通信程序一样。S7-400H和PC支持冗余通信，PC冗余需要有连接程序软件包。由于对冗余的要求不同，网络可以配置为冗余的或非冗余的总线，可以是总线型或环形结构。
（3）S7-400H冗余控制PLC的工作原理 CPU417-H的操作系统自动地执行S7-400H需要的附加功能，包括数据通信，故障响应（切换到备用控制器），两个子单元的同步和自检功能等。
S7-400H采用“热备用”模式的主动冗余原理，在发生故障时，无扰动地自动切换。无故障时两个子单元都处于运行状态，如果发生故障，正常工作的子单元能独立完成整个过程的控制。
为了保证无扰动切换，必须实现中央控制器链路之间的快速度、可靠的数据交换。两个控制器必须使用相同的用户程序，自动地接收相同的数据块、过程映像和相同的内部数据，例如定时器、计数器、位存储器等。这样可以确保两个子控制器同步地更新内容，在任意一个子系统有故障时，另一个可以承担全部控制任务。
S7-400H采用“事件驱动同步”，当两个子单元的内部状态不同时，例如在直接I/O访问、中断、报警和修改实时钟时，就会进行同步操作。通过通信功能修改数据，由操作系统自动执行同步功能，不需要用户编程。
S7-400H对中央控制器之间的链接、CPU模块、处理器/ASIC和存储器进行自检。再启动后每个子单元完整地执行所有的测试功能。自检功能被分为几部分，每个周期只执行部分自检功能，以减轻CPU的负担。
（4）S7-400H冗余控制PLC的编程与组态 容错式连接只需要进行组态，不需要其他专门的编程工作。从用户程序的观点看，S7-400H的作用几乎和标准系统一样。运行容错功能所需的通信功能和同步功能都已经集成在容错CPU的操作系统中，通信连接的监视以及发生故障事件时的自动切换在后台自动运行。在用户程序中完全没有必要考虑这些功能。
浔之漫智控技术（上海）有限公司
本公司是西门子授权代理商 自动化产品，全新，西门子PLC,西门子屏，西门子数控，西门子软启动，西门子以太网西门子电机，西门子变频器，西门子直流调速器，西门子电线电缆我公司**供应，德国进口
S7-400F/FH的结构
①单通道单路I/O配置 设备需要带安全性保护的PLC来控制，不必是容错性的。配置如下：1个带F运行许可证的CPU417-4，1条PROFIBUS-DP通信线，带IM153-2FO的ET200M，和无冗余设计的安全型信息模块。出现故障时I/O停止工作，安全型信号模块被关闭。
②单通道切换式I/O配置 设备需要带安全性保护的PLC来控制，CPU一侧采用容错技术，配置如下：两个带F运行许可证的CPU417-4H，两条PROFIBUS-DP通信线，两个有两块IM153-FO（冗余）的ET200M，和无冗余设计的安全型信息模块。如果其中的1个CPU417-4H、1条PROFIBUS-DP通信线或1块IM153-3FO出现故障，系统还能继续工作。如果安全型信号模块或ET200M出现故障，I/O停止工作，安全型模块被关闭。
③S7-400FH冗余切换式I/O配置 设备需要带安全性保护的PLC来控制，CPU一侧采用容错技术，配置如下：两个带F运行许可证的CPU417-4，两条PROFIBUS-DP通信线，两个有两块IM153-2FO（冗余）的ET200M，和冗余设计的安全型信息模块，如果其中的1个CPU，1条PROFIBUS-DP通信线，1套安全型信号模块或1个ET200M出现故障，系统还能继续工作，在S7-400F/FH自动化系统中要使用标准模块，但是它们不能与ET200M一起使用。
1.10 多CPU处理
多CPU处理运行是指在S7-400中央机架上，多4个具有多CPU处理能力的CPU同时运行。这些CPU自动地、同步地变换其运行模式。也就是说它们同时启动，同时进入STOP模式，这样可以同步地执行控制任务。
多CPU处理适用于以下情况：对于一个CPU来说用户程序太长，或者存储空间不够，需要将程序分配给多个CPU执行。如果整个系统由多个不同的部分组成，并且这些部分可以很容易地彼此拆开并可以单独控制，则各CPU分别处理不同的部分，每个CPU访问分配给它的模块。
通过通信总线，CPU彼此互连。如果组态正确，通过编程软件可以访问MPI网络上的全部CPU。
在启动时，多CPU运行的CPU将自动检查彼此间是否能同步。只有满足下列条件，才能同步：组态的所有CPU必须插好；已创建了正确的组态数据（SDB），并已下载到已插入的所有CPU中。如果有一条不满足，在诊断缓冲区中将出现错误信息。
退出STOP模式时，将比较RESTART/REBOOT启动类型。如果启动类型不同，CPU将不会进入RUN模式。
在多CPU处理运行时，每个CPU可以访问用STEP7为其组态分配的模块，模块的地址区总是单独分配给一个CPU。每个具有中断能力的模块被分配给一个CPU，这样的模块产生的中断不能被其他CPU接收。
S7-400H用STEP7进行组态和编程，完成配置后可以把S7-400H看成一般的S7-400系统。冗余单元的工作由操作系统来监视，出现故障后可以独立地执行切换工作，用STEP7组态时已经将所需信息组态进去，并通知系统。
组态和编程需要可选的H软件包，能在S7-400系统上使用的所有的标准软件工具、工程用软件工具和运行软件工具都可以在S7-400H上使用。
适合标准S7-400系统设计的编程的规则同样适用于S7-400H，用户程序以相同的形式存储在两个中央处理器中，并且被同时执行。
如果已经装入后备电池，则在电源发生故障时，参数设置和存储器内容将通过背板总线备份到CPU和可编程模块中。电池电压必须在允许的范围内。此外，在上电后，后备电池可以对CPU执行重启动。电源模块和后备模块均可监视电池电压。
一些电源模块有容纳两个电池的电池盒。如果用两个电池，并将开关拨到2BATT，则电源模块将两个电池中的一个定义为后备电池。当电池充足时该设置始终有效；当后备电池放完电后，则系统将另一个电池切换到后备方式。后备电池的状态也存储在电源故障的事件中。
后备电池的长后备时间取决于后备电池的容量以及在基板上的后备电流。后备电流是指当电源关闭时，所插入的后备模块的电流及电源模块所需要的电流的总和。【例1-1】 计算对于一个具有PS407 4A和CPU417-4的中央机架的后备时间。
后备电池容量为1.9A·h，电源的大后备电流（包括电源关闭时自己所需的电流）为100μA，CPU417-4典型的后备电流为75μA，当计算后备时间时，因在电源打开时后备电池也会受影响，所以额定能力将低于。
一个具有63%额定容量的电池具有：后备时间=1.9A·h×0.63÷（100+75）μA=（1.197÷175）×1000000=6840h，得出大后备时间为285天。