通过硬件中断可以监控过程信号，并且，可以触发针对信号变化的响应。

数字量输入模块：
根据参数设置的不同，针对每个通道组，当信号状态发生改变时，模块都可以发起硬件中断，触发沿可以选用上升沿、下降沿或者混合使用上升沿和下降沿。CPU会中断用户程序或较低优先级任务的执行，并接下来执行相关的诊断中断块（OB 40）。信号模块可以缓冲一次中断/通道。

模拟量输入模块：
通过上限值和下限值的参数值，可以设定其工作范围。模块将数字化测量值与这些极限值进行比较。当测量值违反了其中任何一个限定值时，就会触发硬件中断。CPU会中断用户程序或较低优先级任务的执行，并接下来执行相关的诊断中断块（OB 40）。如果极限高于/低于过量程/欠量程，则无法进行比较。

S7-400H

容错通讯

带有容错通信功能的SIMATIC提供了一种新的通信类型，该通信类型具有以下特点：

可用性更高：
发生故障时，凭借其多达4个的冗余连接，可以继续通信。必要的切换工作对于用户来说是透明的。

工作简单；
容错处理对于用户也是透明的。可使用用于标准通讯的用户程序，无需修改。冗余功能的定义仅需在参数化阶段就可以完成。

容错通讯目前由 S7-400H（冗余和非冗余配置）和 PC 所支持。对于 PC 来说，需要使用 Redconnect 软件包（参见“SIMATIC NET 通讯系统”）。

取决于对可用性的需求，可以使用不同的组态选项：

单一总线或冗余总线。

线型拓扑和环型拓扑总线。

工作模式

CPU 417-4H、CPU 414-4H 和 CPU 412-3H 的操作系统可自主执行 S7-400H 的所有必要附加功能：

数据交换

故障响应（控制转换给备用设备）

两个子设备的同步

自检

冗余原理

S7-400H的工作符合“热备份”模式的主动冗余原理（支持故障发生时的无重启自动切换功能）。根据该原理，在*运行期间，两个子单元都处于工作状态。当故障发生时，未出现故障的设备将独立地接管过程控制。

为了确保平稳的控制接管，必须通过*控制器链路实现高速、可靠的数据交换。

在控制转移期间，设备自动地使用

相同的用户程序

相同的数据块

相同的过程图像内容

相同的内部数据，例如定时器、计数器、位存储单元等

这意味着，这两个设备的更新操作始终*一样，并可以在出现故障时独立地继续执行控制功能。

I/O 工作于冗余模式时，其结果将是：

在*的工作期间，两个模块均处于工作状态，即，在存在冗余输入的情况下，例如通过两个模块读入的共用传感器（也可以设置两个传感器）的信号，会对其结果进行比较，以将*性的值提供给用户以进一步处理。对于冗余输出来说，由用户程序计算出的值通过两个模块来输出。

如果出现了故障，例如输入模块中有一个或者两个均出现了故障，则不再寻址故障模块，且对故障进行报告处理，此后，仅使用未出现故障的模块继续工作。联机修理工作完成之后，又可以寻址两个模块。

对于无重启切换，必须实现两个子单元的同步。

S7-400H采用“事件驱动同步”技术。

同步操作伴随着导致两个子单元内部状态出现差异的每个事件而进行。这些事件的发生情况例如有：

直接访问 I/O

中断、报警

更新用户时间，或

使用通信功能更改数据。

同步由操作系统自动完成，程序编制期间无需处理。

自检

S7-400H 可执行大量自检。这涉及到以下部分的检测工作：

*控制器的连接。

CPU

处理器/ASIC

存储器

每个检测到故障都将被报告。

启动时自检

启动时，每个子单元都会完整地执行全部自检功能。

循环工作期间的自检

完整的自检需要多个循环。每个循环仅执行一小部分的自检，因此，施加至物理控制器上的负荷很小。

组态、编程

S7-400H 的编程与 S7-400 相类似。所有可用的 STEP 7 功能都可以使用。

对 S7-400H 进行编程需要使用 STEP 7 V5.2。

I/O模块的组态

硬件组态时，用户必须通过HW Config明确地指出彼此相互冗余的模块。这仅需指出需要工作于冗余模式的模块和需要作为“冗余伙伴”的第二个模块。在用户程序中，程序编制时使用地址zui低的那个模块。第二个地址对用户来说不可见，无论是冗余还是非冗余I/O，控制部分的编程工作都*相同。与非冗余I/O*的差别是，冗余I/O程序有两个块库中的功能块（RED_IN 和 RED_OUT），且在用户程序的起始和结束部分调用这两个功能块。

自STEP 7 V5.3起，该库作为标准组件已经集成在STEP 7中。

S7-400F/FH

S7-400F/FH 满足下列安全要求：

安全级别为AK 1 至 AK 6，符合标准DIN V 19250/DIN V VDE 0801的要求。

安全需求级别为SIL 1 - SIL 3，符合标准IEC 61508的要求。

符合安全标准EN 954-1的类别1-4。

工作模式

S7-400F/FH的安全功能包含在CPU的F程序中，并且位于故障安全信号模块之内。

信号模块采用差异分析方法和测试信号注入技术实现输出和输入信号的监控。

借助周期性自检、指令检测、程序逻辑检测和程序顺序流检测等方法，CPU可以检测控制器是否工作正常。此外，通过“活跃标志（sign-of-life）”请求，还可以对I/O进行检测。

若判定系统中存在故障，则将该系统切换至安全状态。

F-Runtime *

F-Runtime许可证加载至CPU 417-4H之后，S7-400F/FH才能工作。每个S7-400F/FH均需要一个许可证。

编程

S7-400F/FH 的编程方法同其他 SIMATIC S7 编程方法相同。使用现场实证过的编程工具，例如STEP 7，创建用于非故障安全工厂区段的用户程序。

S7 F 系统选项软件包

编制安全相关的程序段时，选项软件包“S7 F Systems”*。该软件包含有创建F程序所需要的全部功能和块。PG/PC上加载了以下软件包之后，S7 F系统才能运行：

STEP 7 V5.1 以上

CFC，V5.23及以上版本

S7-SCL，V5.1 SP 1及以上版本

S7 H Systems V5.1（可选，用于S7-400FH）

对于含安全功能的F程序，使用CFC调用F库中的功能块，且这些功能块可能彼此互相调用。使用CFC，可以简化工厂的组态和编程工作，且，可以在整个工厂范围内使用*性表达，从而也简化了验收测试工作。无需借助额外的功具，程序员就可以*专注于编制安全相关的应用程序。