S7-400H 由通过光纤电缆同步的两个冗余组态子系统组成，这两个子系统构成了一个容错自动化系统，该系统基于“主动冗余”原理使用双通道(2选1)结构进行操作。
冗余系统架构如下图：
该系统硬件安装所需的模块：
1. S7-400H系统组件：
1个UR2–H机架（机架UR1、UR2）
2个PS407 10A电源单元
2个H–CPU
4个同步模块(用于链接两个CPU，安装在CPU中并通过光缆互连)
2根光缆
2.一个带有源背板总线的ET 200M分布式I/O设备，其配有
2个IM153–2
1个数字量输入模块SM321 DI 16 x DC24V
1个数字量输出模块SM322 DO 16 x DC24V
3.所有必需的附件，例如，PROFIBUS 电缆
说明：
1.机架号通过CPU背面的开关来设置（默认为0），设置不正确会影响在线通信，CPU也可能无法正常启动。
2. 务必将CPU的两个上游同步模块与两个下游同步模块互连，敷设光纤电缆。在接通电源或系统前，务必将光纤电缆连接到这两个CPU，否则两个CPU都会作为主CPU来执行用户程序。
3. 将编程设备连接到第一个容错CPU(CPU0)，该CPU将成为S7-400H的主CPU。
4. 上电后执行高质量RAM测试，该过程大约需要10分钟，期间不能访问CPU，且STOP LED灯会一直闪烁，若使用备用电池，以后通电时将不再执行此测试。
主从站分配：
一般来说，两个CPU具有相同的权限，因此任何一个CPU都可作为主CPU或备用CPU。
1. 首次接通S7-400H的电源时，先启动的CPU进入主站模式，而伙伴CPU进入备用站模式。
2. 两个CPU同时上电时，将保持预设的主站/备用站分配。
3. 以下情况，主站/备用站分配将发生更改：备用CPU在主CPU之前启动(时间间隔至少3 秒)；在冗余系统模式下，主CPU发生故障或进入STOP模式；在ERROR-SEARCH模式下并未发现错误。
同步：
主CPU与备用CPU通过光纤电缆链接，并通过此链接保持事件同步程序执行。
在下列情况下，同步主从CPU：直接访问I/O；发生中断；更新用户定时器；通信功能修改了数据。西门子采用事件同步，同步周期比定时同步稍短。
自动CPU同步的链接备份过程如下图所示：
S7-400H及CPU的系统状态与运行状态如下表所示：
说明：
1.若启动成功，主CPU(CPU0)将切换到单模式，单独执行用户程序。在向link-UP 系统模式过渡期间，无法通过“监视”选项打开任何块，且不能激活任何变量表。
2. 若备用CPU (CPU1)请求link-UP，主CPU和备用CPU将比较它们的用户程序。如果发现用户程序之间存在差异，主CPU会更新备用CPU的用户程序。
3. 链接成功后，开始更新，主CPU会更新备用CPU的动态数据(包括输入、输出、定时器、计数器、位存储器和数据块）。更新后，两个CPU的存储器将具有相同的内容。
4. 更新后，主CPU和备用CPU都处于RUN模式，两个CPU彼此同步地处理用户程序。
5.当系统处于单模式、链接、更新、冗余状态时，主CPU处于RUN模式，并以单模式执行用户程序。
6.在冗余系统模式下运行时，主CPU和备用CPU始终处于RUN模式。两个CPU同步执行用户程序，并互相执行检查。在该模式下，不能使用断点测试用户程序，且互连的模块必须是一对相同的模块。
7. HOLD模式具有特殊的作用，只能用于测试目的，处于该模式的S7-400H CPU的行为与标准S7-400 CPU的行为一致，容错CPU不能进行链接和更新操作，备用CPU保持STOP模式并输出一条诊断消息。
8. 只能从冗余系统模式进入ERROR-SEARCH模式，当系统处于冗余状态，自检例程会比较主CPU和备用CPU，并在发现差异时报告错误，故障排除期间，退出冗余系统模式，另一个CPU成为主站并在单模式下继续工作。
I/O的控制权问题：
在任何给定时刻，容错系统都只使用从站中的一个接口。激活接口由相应IM153-2或IM157上的ACT LED指示。在S7–400H中使用I/O通过当前活动接口(IM153-2或IM157)的路径称为主动通道，通过另一接口的路径称为被动通道。DP周期始终在两个通道上都处于活动状态。但只有主动通道的输入和输出值才会在用户程序中进行处理或输出到I/O。
特点：
1.平稳的主从切换，切换时间<100ms，切换期间输出保持，信息或者报警/中断不会丢失，实现无扰切换
2.自动事件同步，保证所有的信息，报警或中断不丢失
3.下载时，程序自动复制到两个CPU中
4.在线维修，在运行状态下，可随意换下所有部件，维修后CPU自动进入冗余状态
5.所有冗余功能由CPU处理不需要用户处理
6.与主控制器的距离可高达10km
I/O冗余
1.中央和扩展设备中的I/O冗余
信号模板成对安装在 CPU 0 和 CPU 1 子系统中，如下图所示：
当一个CPU因故障掉电时，连接的I/O模块被认为故障而不能被识别。
2.单边DP 从站中的I/O冗余
信号模板成对安装在带有有源底板总线的分布式I/O设备ET200M中，如下图所示：
当其中一个从站PROFIBUS断线或主站CPU因故障掉电时，连接的I/O模块被认为故障而不能被识别。
3.切换式DP 从站中的I/O冗余
信号模板成对安装在带有有源底板总线的分布式I/O设备ET200M中，如下图所示：
在这种方式下，即使连接I/O从站CPU故障也不会影响I/O模块的可用性。
4.单机模式H CPU中的I/O冗余，连接方式如下图所示：
当主站CPU因故障而停机时，I/O冗余不能实现。
