1．0概述

在工业控制的应用中，有一类应用需要系统连续地运行，甚至在控制系统组件发生故障时。本文描述一个2层协议，可用于EtherNet/IP网络，实现网络基础架构和终端设备接口的多重容错。这种容错网络可以实现高可用性控制系统。比如，它可以结合传感器/执行器的表决机制和控制器/执行器的热备机制实现高可靠的控制系统。

容错网络有多种方法可以实现。 一种方法是使用两个或者多个网络，每个容错设备对每个网络都有一个接口。设备使用诊断信息检测故障，一旦发现故障就进行从一个网络到另一个网络的切换。这种方法有一个失效检测和重新配置的过程，用时约 20-30秒。另一种方法是使用单一网络，但有两个或者多个网络基础设施（如：交换机）。设备使用诊断信息检测故障和中间件路由信息。这种方法在霍尼韦尔的容错以太网中使用，检测失效、重新配置的用时为 1秒钟。然而，这两种方法都不适合某些实时的网络，诸如： EtherNet/IP，因为应用要求网络的故障检测和切换时间小于 10毫秒。

本文描述一种新方法，可以适用于 EtherNet/IP网络。它基于信标冗余协议或者称BRP（Beacon Redundancy Protocol）。基于BRP协议的网络可称为 BRP网络。 BRP网络基于ISO/IEC 8802 3（以太网）和IEEE 802.1标准以及冗余基础架构。在BRP网络中，网络切换由终端设备自己决定。

这种技术有以下的特性： BRP网络可以在网络基础架构和终端设备接口之间实现多重容错； BRP协议可适用于多种网络，诸如EtherNet/IP，应用要求故障检测和切换时间小于10毫秒； BRP协议可以用于有10,000个或更多终端设备的网络，最遭情况，典型的故障检测和切换时间小于或等于10毫秒。 BRP网络的快速切换时间可以满足控制系统的实时性要求； 在BRP网络中，可以连接非容错终端设备，可以随时增加和删减终端设备，设备可以是容错或非容错的，所以在网络运行时，它可以是动态变化的； 在BRP网络中，如果需要的话，可以支持IEC 61588（和 IEEE 1588的版本2）时间同步协议。 可以把这种方法扩展至吉比特（千兆）以太网和或者N-重冗余的网络。

2．0工作原理

BRP网络拓扑可以描绘成两个相互连接的顶部交换机，每个头顶的下面可以有星形、环形、或者线形（菊花链）的拓扑。图 1展现了一个星形BRP网络的例子。

BRP网络基础架构可以由商用的、遵从 IEEE 802.1D和 IEEE 802.3标准的交换机搭建。交换机不用支持BRP协议。网络的层数和每层交换机的个数按照应用的需要决定。

图1列举了一个BRP网络的例子，采用 2重冗余的模式。它使用两套网络基础设施： A和 B（用不同颜色显示）。使用三层结构甚至都可以构成非常大的网络。例如，采用交换机作为网络的基础设施时，八个标准口和一个上行口可以建成超过 500个终端设备的网络， 24个标准口和一个上行口可以建成超过10,000个设备的网络。虽然例子中的交换机采用对称布局，但这不是必须。

顶层的两个骨干交换机相互连接，使用两根或者多根 IEEE 802.3电缆连接。采用这种方法，通信能力由两个或多个链路共同承担，一个链路的失效不会带来网络的瘫痪。通过这样的安排，网络基础架构 A和B各自形成了单一网络。

BRP网络可以连接两种类型的终端设备：双口设备和单口设备。能够完成 BRP功能的双口终端设备就是一个BRP终端设备。虽然双口终端设备有两个网口连到两个网络基础设施 A和 B，但它们仅使用一个 MAC地址和一个 IP地址。单口终端设备也可以连接到BRP网络，但它们不支持BRP协议。

在任何给定时间、给定点， BRP终端设备会在它的一个口进行通信，而在另一个口阻止通信，例外的是接收信标帧和失效通知帧。 一个BRP终端设备会连续监视网络的连接状态和到达两口的信标帧。终端设备是按照分布式的连接，通过对端口从阻止通信到有效通信状态的切换，来实现容错功能。在后面的 2.1到 2.5章节中，还会举几个例子进一步阐述。

顶层骨干交换机总是要连接两个信标设备，且这两个设备总是有效。这是一种BRP信标设备，执行信标的发生和发送。在网络上的信标设备，会周期地发送一个信标帧。和一般的BRP终端设备一样，在给定时间，信标设备也是使用一个口通信，另一个口阻信，除了失效通知帧。BRP的信标都按最高优先级信息在网络上传送，使用IEEE 802.3标签帧。

信标间隔是一个可配置的参数，要根据特定系统来选择。比如，对于一个3层交换机系统，信标间隔为450微秒。这个时间是在最遭的情况下，信标帧从信标设备到最远的终端设备经过延时也可以到达的时间。终端设备采用一种超时机制，即当信标帧在一个端口在给定时间内还一直收到时，这个端口就要宣布发生了故障。比如，对于450微秒的信标间隔，超时周期可以定为950微秒。超时报警应在至少有两个信标间隔之后再宣布。根据在一个端口的检测故障条件，终端设备可以切换到另一个端口。

商用的以太网交换机现在可以执行多种通信功能，诸如学习过滤和多播（IGMP）侦听。广播信息通常不受这些功能的影响，并且会在整个网络中传播。为了快速实现重新配置，应该屏蔽交换机的多播过虑功能。多播传输就像广播传输一样对待。

学习和过滤特性会影响单播包。在终端设备完成端口重新配置后，交换机没有相关的记忆地址。交换机要通过学习更新它的地址数据库，当新端口接收到一个带有源MAC地址的信息后，交换机的学习功能会把该地址存储在数据库中。当一个 BRP终端设备从有效口切换到 非有效口时，要做的第一件事是：通过它的新有效口，发送一个多播短帧，称为学习更新帧。因为这个帧发送到整个网络，交换机通过它来更新地址数据，在快速多播传送中，完成重新配置。网络其他终端设备对这个信息不感兴趣因而被它们扔掉。

BRP栈包含两个相同的ISO/IEC 8802-3端口，这里用端口A和B来识别， 连接到网络基础设施。这些接口带有MAC子层，遵从 ISO/IEC 8802-3标准。

BRP链接实体连续监视两个口的连接状态。 所有通信仅通过有效端口，另一个非有效端口阻止所有通信，除了接收信标帧。

如果连接的有效端口物理层失效，且另一个端口没有故障，终端设备会把自己从这个失效口切换到另一个有效口，链接实体将重新配置端口配置完成之后，所有通信将通过新的有效端口。

BRP链接实体还监视两个口的信标帧的到达情况。当一个信标帧在超时周期里，没有到达有效端口，这个端口就宣布为故障模式。BRP链接实体将重新配置端口，提供其他不是故障模式的端口。重新配置后所有通信将通过新的有效口。

下面的章节将提供不同类型的单一故障举例，帮助读者理解BRP终端设备怎样处理不同的单一故障。

2.1 单一故障举例 1

图 3表示了单一故障举例 1。假设所有容错终端设备的端口 1为有效，在故障发生前， 连接到网络基础设施A 。因为故障发生在终端设备的连接位置，它会马上被 IEEE 802.3链接实体检测机制检测到，终端设备将重新配置它的有效端口 1至无效，把无效端口 2切换到有效，从故障出现到切换完成的整个延时为10微秒或更少。马上，这个终端设备用新的有效端口2在网络上会发送多播学习更新帧，网络交换机完成学习更新。随后，网络通过基础实施B进行设备的有效通信而其他容错设备继续通过基础实施 A进行通信。

2.2 单一故障举例 2

图4表示单一故障举例 2。在这种场合，故障发生在交换机或者在上级链路上。假设所有容错终端设备的端口1有效，在故障发生前连接到网络基础设施 A。如果故障发生在交换机，在物理层出现，三个受影响的下行终端设备能立刻检测出来，在10微秒或者更短的周期里重新配置它们的端口。如果故障发生在交换机，不出现在物理层，或者故障出现在上级，三个受影响的终端设备在信标超时周期里收不到信标帧。因此，这些终端设备会在小于1毫秒的时间里重新配置它们的端口。马上，通过新的有效端口2， 发送学习更新帧，使网络交换机学习更新。随后，网络会通过基础设施B进行设备的有效通信，而其他容错设备仍旧通过基础设施A进行通信。

2.3单一故障举例 3

图5表示单一故障举例3。在这种情况下，故障发生在网络基础设施A的顶层骨干交换机或者连接顶层骨干交换机的一根连接电缆。如果故障发生在一根连接电缆上，它基本不会影响网络的运行。暂时可能会丢失一些数据包，但系统会在保持连接的电缆中,继续运行。

图5：单个故障举例3

如果故障发生在网络基础设施A的顶层骨干交换机 ，那么所有BRP终端设备，包括信标终端设备将切换到基础设施B。只要在基础设施B不出现双故障，系统就会继续运行。

2.4单一故障举例 4

图6表示单一故障举例4。在这种情况下，故障发生在骨干交换机连接信标设备的电缆上或者故障发生在一个信标设备上。假设两个信标设备的端口1为有效，出故障前连接到网络基础设施 A。如果故障在连接信标设备的电缆上，它会立刻会被设备的链接实体检测到，信标设备会重新配置它的端口。随后，网络会通过基础设施B进行信标设备的通信，而其他终端设备继续通过网络基础设施A进行通信。需要注意的是，一个信标帧可能在这个过程中丢失，它不会影响系统运行。

如果故障发生在一个信标设备上，因为另一个信标设备仍然有效，所以系统仍会继续运行，没有任何问题。

2.5多个故障举例

图7表示一种多点故障的可能性。从这个讨论可以弄清楚，这种情况是怎样处理的。在重新配置后，一些设备会使用基础设施A， 而其他设备使用基础设施B。

结合多个单一故障的可能性我们可以观察到，BRP网络可以容错所有的单一故障。要注意的是，一个2重冗余系统没有容错两个故障的能力，一个双故障是发生在同一个子树中的两个或者多个单一故障。为了处理双故障，需要一种3重或者多重冗余系统。

通常，有可能应用BRP协议到 3、4或 N重冗余中。例如实现3重冗余，终端设备应该提供三个端口连接到三套基础设施中。在顶层的骨干交换机应该连接三个信标设备，骨干交换机之间应该相互连接，使用网格拓扑实现多个连接 。诸如一个3重冗余系统会容错所有单一故障，所有双重故障和所有单一和双重故障的组合。

3.0结论

BRP协议适合于EtherNet/IP网络。 BRP网络可以在网络基础设施和终端设备网络接口容忍多个故障。BRP协议可以在一万个终端设备或者更大的网络中使用，在最遭的情况下，典型的故障检测和切换时间等于或者小于 1毫秒。短的切换时间使得 BRP网络可以用于需要实时的控制系统。BRP网络可以实现高可靠性控制网络。