Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
IEC TR 63123：工业通信网络——高可用性自动化网络
使用 PRP、HSR、MRP 和其他冗余协议实现五个九可用性自动化网络的全面设计指导。
一、IEC TR 63123 的范围与动机
IEC TR 63123 为工业通信系统设计和实现高可用性 (HA) 自动化网络提供了全面指导。在现代制造和过程控制环境中，网络停机直接转化为生产损失、安全风险和重大财务影响。本技术报告涵盖了使自动化网络能够达到 99.999%（五个九）或更高可用性水平的网络架构、冗余协议、容错拓扑结构和验证方法。
报告涵盖了有线和无线通信技术。它适用于离散制造和连续过程工业。选择正确的冗余策略需要对应用的恢复时间要求、预算和现有基础设施进行仔细评估。
五个九的可用性目标每年仅允许约 5 分钟的停机时间。在工业网络中实现这一目标需要仔细的架构规划、冗余硬件和严格的测试——这不是偶然发生的。
二、高可用性网络拓扑与冗余机制
该标准描述了几种 HA 拓扑。最常推荐的是基于 IEC 62439-3 的并行冗余协议 (PRP)，其中每个设备连接到两个独立的网络。帧同时在两个网络上发送，接收节点丢弃重复帧。这在单个网络故障时提供了零恢复时间。
| 冗余协议 | 恢复时间 | 拓扑结构 | 最佳应用场景 |
|---|---|---|---|
| PRP（并行冗余协议） | 0 ms | 双星型 / 双环型 | 过程控制、变电站自动化 |
| HSR（高可用性无缝冗余） | 0 ms | 环型 / 网状 | 关键任务工厂单元 |
| MRP（介质冗余协议） | <200 ms | 环型 | 标准工厂自动化 |
| RSTP（快速生成树协议） | <10 s（通常 1–2 s） | 网状 / 树型 | 非时间关键型工厂网络 |
| DRP（分布式冗余协议） | <10 ms | 环型 | 高性能运动控制 |
对于无线网络，报告建议采用具有无缝漫游和双频段运行的冗余接入点覆盖，以减轻干扰。在 5G URLLC 部署中，网络切片和冗余用户面路径提供了电信级可用性。
在 HA 网络设计中一个常见陷阱是忽视电源基础设施中的单点故障。如果两个交换机同时断电，即使最冗余的网络拓扑也是无用的。始终实施双冗余电源供电和电池备份 UPS，最好来自不同的电气配电盘。
三、网络设计方法与工程见解
该报告介绍了一种结构化的 HA 网络设计方法。第一步是业务影响分析，以确定每个自动化区域所需的可用性水平。接下来是网络风险评估，识别单点故障，然后根据所需恢复时间和预算限制进行拓扑选择，最后使用故障注入测试进行验证阶段。
关键工程建议包括：在所有骨干链路上保持至少 20% 的备用容量以适应未来增长；在需要冗余链路但不需要零恢复时间的情况下使用链路聚合 (LACP)；实施基于 SNMPv3 和 syslog 的网络管理以实现主动故障检测；以及部署基于 IEEE 1588 PTP 的网络时间同步，以确保所有设备上的协调事件记录。
报告还将软件定义网络 (SDN) 视为一种新兴的工业 HA 网络方法。SDN 通过预计算流表实现集中式网络控制和快速故障切换，在某些配置下可实现与 PRP 相当的恢复时间，同时降低硬件成本。
最具成本效益的 HA 策略之一是采用双环拓扑结构配合 MRP。它以 PRP 成本的一小部分提供低于 200 毫秒的恢复时间，并且大多数工业以太网交换机都支持。对于能够容忍 200 毫秒数据中断的应用，MRP 通常是成本和可用性之间的最佳平衡。
四、常见问题
问：PRP 和 HSR 有什么区别？
答：PRP 使用两个独立网络，而 HSR 使用单个环网，每个节点转发帧。PRP 更昂贵但提供更好的故障隔离；HSR 对于较小的环网更具成本效益。
答：PRP 使用两个独立网络，而 HSR 使用单个环网，每个节点转发帧。PRP 更昂贵但提供更好的故障隔离；HSR 对于较小的环网更具成本效益。
问：现有的非 HA 网络能否升级为高可用性？
答：可以，但可行性取决于现有设备。PRP 需要每个设备具备双附加节点功能。如果设备只有一个网络端口，则必须使用 MRP 或 RSTP 在网络层面实现冗余。
答：可以，但可行性取决于现有设备。PRP 需要每个设备具备双附加节点功能。如果设备只有一个网络端口，则必须使用 MRP 或 RSTP 在网络层面实现冗余。
问：高可用性如何影响网络安全？
答：冗余路径可能增加攻击面。报告建议实施具有状态故障切换功能的主备模式冗余防火墙，并在冗余链路上使用 MACsec 进行链路层加密。
答：冗余路径可能增加攻击面。报告建议实施具有状态故障切换功能的主备模式冗余防火墙，并在冗余链路上使用 MACsec 进行链路层加密。
问：典型工厂适合什么可用性水平？
答：大多数工厂自动化应用在 99.99% 可用性（每年约 53 分钟停机时间）下可达到满意运行。五个九通常保留给安全关键和高价值连续过程应用。
答：大多数工厂自动化应用在 99.99% 可用性（每年约 53 分钟停机时间）下可达到满意运行。五个九通常保留给安全关键和高价值连续过程应用。
