联邦: 联邦与冗余：多站点和双机接管理解方式
联邦建立站点之间的方向性信任与能力边界；冗余决定同一台 PLC 当前由哪个节点直接采集。两者都不会为同一台 PLC 建立第二条活动采集连接。
联邦是方向性的站点关系
Site 表示一个独立 HQControl 运行站点，Local site 是当前服务器所属站点，Remote site 是当前站点主动加入的远端站点。A 加入 B 后，A 可以按 B 授予的能力使用远端服务；B 不会自动加入 A。每个站点应使用稳定的站点编码和其他站点可访问的 HTTPS 地址。
- 单站点项目只需确认本地站点和本地节点。
- 多站点项目分别配置需要的方向，不要把单向加入理解成双向互信。
- 经反向代理发布时，远端地址应与实际 HTTPS 入口一致。
- Web、IO、报警和趋势是可分别启用的能力，不必一次全部开放。
冗余只改变当前采集责任
同一台 PLC 在同一时刻只有一个 active IO Owner 负责直接轮询。备用节点满足接管条件后才能成为新的 Owner；非 Owner 不会同时建立另一条 PLC 连接。PLC 本身离线时，切换 Owner 也不能恢复数据。
用值、质量和来源一起判断
排障时依次检查系统状态、站点、设备连接和 Tag 诊断：先确认联邦与 IO 模块健康，再确认当前 Owner，最后检查关键 Tag 的值、质量、来源和时间戳。远端源不可达时，质量必须降级；不要把缓存或持久化旧值当作当前 Good 值。
