S7-400H 由通過光纖電纜同步的兩個冗余組態子系統組成，這兩個子系統構成了一個容錯自動化系統，該系統基于“主動冗余”原理使用雙通道(2選1)結構進行操作。
冗余系統架構如下圖：

該系統硬件安裝所需的模塊：
1. S7-400H系統組件：
1個UR2–H機架（機架UR1、UR2）
2個PS407 10A電源單元
2個H–CPU
4個同步模塊(用于鏈接兩個CPU，安裝在CPU中并通過光纜互連)
2根光纜
2.一個帶有源背板總線的ET 200M分布式I/O設備，其配有
2個IM153–2
1個數字量輸入模塊SM321 DI 16 x DC24V
1個數字量輸出模塊SM322 DO 16 x DC24V
3.所有必需的附件，例如，PROFIBUS 電纜
說明：
1.機架號通過CPU背面的開關來設置（默認為0），設置不正確會影響在線通信，CPU也可能無法正常啟動。
2. 務必將CPU的兩個上游同步模塊與兩個下游同步模塊互連，敷設光纖電纜。在接通電源或系統前，務必將光纖電纜連接到這兩個CPU，否則兩個CPU都會作為主CPU來執行用戶程序。
3. 將編程設備連接到第一個容錯CPU(CPU0)，該CPU將成為S7-400H的主CPU。
4. 上電后執行高質量RAM測試，該過程大約需要10分鐘，期間不能訪問CPU，且STOP LED燈會一直閃爍，若使用備用電池，以后通電時將不再執行此測試。
主從站分配：
一般來說，兩個CPU具有相同的權限，因此任何一個CPU都可作為主CPU或備用CPU。
1. 首次接通S7-400H的電源時，先啟動的CPU進入主站模式，而伙伴CPU進入備用站模式。
2. 兩個CPU同時上電時，將保持預設的主站/備用站分配。
3. 以下情況，主站/備用站分配將發生更改：備用CPU在主CPU之前啟動(時間間隔至少3 秒)；在冗余系統模式下，主CPU發生故障或進入STOP模式；在ERROR-SEARCH模式下并未發現錯誤。
同步：
主CPU與備用CPU通過光纖電纜鏈接，并通過此鏈接保持事件同步程序執行。
在下列情況下，同步主從CPU：直接訪問I/O；發生中斷；更新用戶定時器；通信功能修改了數據。西門子采用事件同步，同步周期比定時同步稍短。
自動CPU同步的鏈接備份過程如下圖所示：

S7-400H及CPU的系統狀態與運行狀態如下表所示：

說明：
1.若啟動成功，主CPU(CPU0)將切換到單模式，單獨執行用戶程序。在向LINK-UP 系統模式過渡期間，無法通過“監視”選項打開任何塊，且不能激活任何變量表。
2. 若備用CPU (CPU1)請求LINK-UP，主CPU和備用CPU將比較它們的用戶程序。如果發現用戶程序之間存在差異，主CPU會更新備用CPU的用戶程序。
3. 鏈接成功后，開始更新，主CPU會更新備用CPU的動態數據(包括輸入、輸出、定時器、計數器、位存儲器和數據塊）。更新后，兩個CPU的存儲器將具有相同的內容。
4. 更新后，主CPU和備用CPU都處于RUN模式，兩個CPU彼此同步地處理用戶程序。
5.當系統處于單模式、鏈接、更新、冗余狀態時，主CPU處于RUN模式，并以單模式執行用戶程序。
6.在冗余系統模式下運行時，主CPU和備用CPU始終處于RUN模式。兩個CPU同步執行用戶程序，并互相執行檢查。在該模式下，不能使用斷點測試用戶程序，且互連的模塊必須是一對相同的模塊。
7. HOLD模式具有特殊的作用，只能用于測試目的，處于該模式的S7-400H CPU的行為與標準S7-400 CPU的行為一致，容錯CPU不能進行鏈接和更新操作，備用CPU保持STOP模式并輸出一條診斷消息。
8. 只能從冗余系統模式進入ERROR-SEARCH模式，當系統處于冗余狀態，自檢例程會比較主CPU和備用CPU，并在發現差異時報告錯誤，故障排除期間，退出冗余系統模式，另一個CPU成為主站并在單模式下繼續工作。
I/O的控制權問題：
在任何給定時刻，容錯系統都只使用從站中的一個接口。激活接口由相應IM153-2或IM157上的ACT LED指示。在S7–400H中使用I/O通過當前活動接口(IM153-2或IM157)的路徑稱為主動通道，通過另一接口的路徑稱為被動通道。DP周期始終在兩個通道上都處于活動狀態。但只有主動通道的輸入和輸出值才會在用戶程序中進行處理或輸出到I/O。
特點：
1.平穩的主從切換，切換時間<100ms，切換期間輸出保持，信息或者報警/中斷不會丟失，實現無擾切換
2.自動事件同步，保證所有的信息，報警或中斷不丟失
3.下載時，程序自動復制到兩個CPU中
4.在線維修，在運行狀態下，可隨意換下所有部件，維修后CPU自動進入冗余狀態
5.所有冗余功能由CPU處理不需要用戶處理
6.與主控制器的距離可高達10km
I/O冗余
1.中央和擴展設備中的I/O冗余
信號模板成對安裝在 CPU 0 和 CPU 1 子系統中，如下圖所示：

當一個CPU因故障掉電時，連接的I/O模塊被認為故障而不能被識別。
2.單邊DP 從站中的I/O冗余
信號模板成對安裝在帶有有源底板總線的分布式I/O設備ET200M中，如下圖所示：

當其中一個從站PROFIBUS斷線或主站CPU因故障掉電時，連接的I/O模塊被認為故障而不能被識別。
3.切換式DP 從站中的I/O冗余
信號模板成對安裝在帶有有源底板總線的分布式I/O設備ET200M中，如下圖所示：

在這種方式下，即使連接I/O從站CPU故障也不會影響I/O模塊的可用性。
4.單機模式H CPU中的I/O冗余，連接方式如下圖所示：

當主站CPU因故障而停機時，I/O冗余不能實現。