工廠的生產工藝對自動化網絡提出了高可用性的要求，為此，國際電工委員會制定了IEC62439國際標準。本文通過用高可用性網絡的基本概念和幾種高可用性網絡的工作原理，對高可用性網絡的技術做簡要介紹，希望能對讀者有所裨益。

1.高可用自動化網絡的概念

1.1網絡失效的恢復

        工廠要依靠自動化系統的正常運行。工廠僅能容忍自動化系統短時的失效，這個時間被稱為容許時間。網絡的恢復時間應該小于這個容許時間，在工廠回到正常運行狀態之前，應用必須要執行額外的任務（與協議、數據處理、下一個通信周期的等待相關）。應用可以按他們的容許時間進行分類，見表1。

表1 ――應用容許的時間

        當有些工廠需要連續運行時，要求就會更加嚴格，不許有停機時間，只能在大修時間段進行維護和再配置。在這種情況下，容許時間就是這個嚴格要求，比如，這就規定了設備部件的熱切換的時間。

        自動化系統可以用不同的冗余方法來解決失效問題。方法的不同在于怎樣進行冗余, 但他們的關鍵性能要素都是恢復時間，比如，在中斷發生后恢復運行所需的時間。如果恢復時間超過了工廠容許時間，保護機制會引發（安全）停車，這可能會使生產帶來巨大損失。

        恢復時間的一個關鍵特性是它的確定性，比如，保證恢復時間肯定低于某個特定值，滿足基本要求（某個時間的單一失效，沒有共模失效，小于最大容許時間）。

        無論工廠是否依靠自動化網絡的正常運行，增加網絡的可用性都是非常必要的。這里不討論使用元件的可靠性或者增加維護來提高可用性。我們只考慮系統一旦失效，協議帶來的冗余功能，以及如何自動重新配置網絡中的元件。

1.2網絡冗余的分類

        考慮兩類網絡冗余：
        ? 在網絡內的冗余管理；
        ? 在終節點的冗余管理。

        在網絡內的冗余管理
        網絡內的冗余應用在廣域網上，以前現場總線3層路由器會根據鏈接失效計算可變的路徑。相應的協議作為IP簇的一部分，已經得到很好的驗證。根據拓撲結構，恢復時間為幾十秒，或者要幾分鐘。這種恢復時間僅能被很緩慢的應用所接受。

        自動化網絡通常運行在一個的局域網（LAN）上，比如，操作的報文穿通常梭于1層的重發器或者2層的交換機之間，但不會跨越路由器。雖然通過路由器或者防火墻發出和進入的報文確實存在，但不是關鍵和主要的。

        傳統上，在一個局域網內的冗余由協議來處理，當連接丟失后，重新配置局域網，并進行切換。使用冗余連接并切換的方法有：根據IEEE 標準的快速生成樹協議（RSTP）。

        改進的2層冗余協議建立在與RSTP相似的原理上，但提供了一種更快的恢復，它是根據自動化網絡具有環行拓撲的假定而設計。終節點（end node）是不變化的自動化節點。

        在終節點內的冗余管理
        對恢復時間的進一步加快需要在終節點內管理冗余，需要配備多個、冗余連接的終節點。通常，雙重連接（doubly attached）終節點提供了兩通道冗余。這種類型的冗余，不用考慮在局域網內的切換。

        對于實時應用，例如：同步驅動器，并行運行對斷開的網絡保證了無間斷的恢復，但需要網絡的完全雙重化。有些關鍵應用還需要雙重連接節點，來對付單一連接失效，甚至都沒有恢復時間。

[DividePage:NextPage]

1.3幾種冗余協議的比較和性能指標

        每種協議提供了：
        ? 一個最大的、確定的和保證的恢復時間（有時要取決于拓撲結構）；
        ? 針對應用在不同環境下的實際通信透明度；并且
        ? 雙重連接節點可與單一連接節點互操作（如：市售產品、IT設備）。

表2 一些冗余協議的部分特性比較，按恢復時間進行排序

        注：表2中的保證恢復時間必須使用特定的設置和參數才能實現。在用戶的實踐和不斷總結中，采用不同的設置和參數可能達到更短的恢復時間。

        當用戶進行具體實施時，不同解決方案的參考指標包括：
        ? 失效恢復時間；
        ? 修理恢復時間；
        ? 復原恢復時間；
        ? 最差恢復時間；
        ? 對正常運行的影響。

        失效的情況包括：
        ? 當前有效網絡管理器（如果存在）的失效，然后修理和復原；
        ? 當前網絡時間源（如果存在）的失效，然后修理和復原。

2. MRP（Media Redundancy Protocol）――基于環型拓撲的介質冗余協議

2.1 MRP 概述
        介質冗余協議指定了一種基于環型拓撲的恢復協議。MRP是對使用交換機、可能發生單一失效、具有確定性反應的網絡而設計。MRP 是基于ISO/IEC 8802-3 (IEEE 802.3) 和IEEE 的特性，包括過慮數據庫（FDB）功能，MRP位于數據鏈路層和應用層之間（參見圖1）。

        遵從協議的網絡應具有環型的拓撲結構，帶有多個節點。網絡中的一個節點扮演介質冗余管理器（MRM）的角色。MRM的功能是監視和控制環型拓撲結構，一旦網絡出現失效便立即反應。MRM通過一個環端口（ring port）往環上發送幀，然后在另一個環端口接收這些幀來完成其作用的，在相反方向上也是一樣的。

        在環中的其他節點扮演介質冗余客戶機（MRC）的角色。一個MRC在接收來自MRM的重新配置幀時起作用，可以在它的兩個環端口上改變連接。

        遵從協議的節點應能執行下面的功能：
        ? 介質冗余管理器（MRM）；
        ? 介質冗余客戶機（MRC）；或者
        ? 既是MRM又是MRC（但兩個角色不能同時有效）。

        每個MRP兼容節點都有一個內置交換機，帶兩個環端口，連接在環上。環上的每個節點能夠探測失效或者恢復內部交換機連接，或者恢復相鄰節點。

        MRP由一個服務和一個協議實體組成，參看圖1中的棧模型。

[DividePage:NextPage]

圖1 – MRP 棧

2.2 環端口

        MRM和MRC應該有兩個環端口。 MRM和MRC應該能夠探測失效或者使用基于IEEE 802.3機制，對一個環端口恢復連接。

2.3 介質冗余管理器（MRM）

        MRM的第一個環端口應連接到MRC的一個環端口。MRC的另一個環端口一個連接到另一個MRC的環端口或者MRM的第二個環端口，從而形成一個如圖2所示的環型拓撲結構。

圖2 ―帶有一個管理器和多個客戶機的MRP環型拓撲

        MRM應該監控環的狀態：
        ? 在配置周期，往環的兩個方向上，發送MRP_Test幀；
        ? 設置一個環端口為轉發（FORWARDING）狀態，如果另一個環端口接收到自己的MRP_Test幀（這意味著環是閉合的，見圖2），則把它設置成阻止（BLOCKED）狀態；
        ? 如果在一個MRP_TSTdefaultT或MRP_TSTshortT或MRP_TSTNRmax時間的配置周期里，另一個環端口不能接收到自己的MRP_Test幀（這意味著環是斷開的，見圖3），把兩個環端口都設置為轉發（FORWARDING）狀態。

圖3 ―MRP MRM 在環斷開的情況

        下面的機制保證MRM和MRC之間在環拓撲變化時的同步。
        MRM應該指出環狀態的變化，給所有MRC發送MRP_TopologyChange幀。當探測到環路斷開時，那么MRM通過它的兩個環端口發送 MRP_TopologyChange 幀。這個幀帶有一個延時時間，延時后執行環型拓撲的改變。這個延時參數稱為MRP_Interval。當這個時間結束，所有MRC應該清除它們的過慮數據庫（FDB）。.

        每個MRC應該對延時參數MRP_Interval，返回一個MRP_linkUp或者MRP_linkDown 幀到MRM，告訴MRM在這個時間結束后，MRC將改變它的端口狀態，從BLOCKED 到 FORWARDING（MRP_linkUp幀）或者到DISABLED（MRP_linkDown幀）。

[DividePage:NextPage]

2.4 介質冗余客戶機（MRC）

        每個MRC應該在一個環端口接收MRP_Test幀，然后從另一個環端口轉發，反方向也一樣。

        如果MRC探測到一個失效或者恢復一個環端口連接，MRC可以通過它的兩個環端口，發送MRP_linkChange幀通知這個變化。每個MRC應該從一個環端口接收MRP_linkChange 幀，然通過另一個環端口后轉發，反方向的情況也一樣。

        每個MRC應能從一個環端口接收MRP_TopologyChange幀，然后轉發到另一個環端口， 反方向也一樣。每個MRC應能處理這些幀。如果在一個給定間隔（MRP_TOPchgT）收到MRP_TopologyChange 幀，它應該清除它的過慮數據庫FDB。

2.5 冗余域

        冗余域表示一個環。缺省時，所有MRM 和MRC都屬于整個缺省域。每個域分派了一個獨一無二的身份標識ID，做為它的關鍵屬性，特別當一個MRM或者一個MRC為多個環的成員時，這樣就不會造成混淆。在每個冗余域中，一個節點應該嚴格指派兩個唯一的環端口。

（羅克韋爾自動化（中國）有限公司 華镕）