Entenda PRP e HSR, LANs paralelas, anel, DANP, DANH, RedBox, IEC 61850, tráfego, PTP, supervisão e testes de redundância em subestações.
Confira!
PRP e HSR são protocolos de redundância Ethernet definidos pela IEC 62439-3 para aplicações que não podem aguardar a reconvergência da rede após uma falha. Os dispositivos enviam quadros duplicados por caminhos independentes, e o receptor utiliza o primeiro quadro válido e descarta a cópia. Assim, a aplicação não percebe interrupção quando um caminho falha.
PRP utiliza duas redes locais separadas, normalmente chamadas LAN A e LAN B. HSR utiliza uma topologia em anel na qual os quadros circulam nos dois sentidos. Ambos fornecem recuperação sem tempo de comutação para uma falha simples no caminho, desde que a arquitetura e os dispositivos estejam corretamente implementados.
Em subestações digitais, PRP e HSR podem transportar MMS, GOOSE, Sampled Values, PTP e outros protocolos Ethernet. Eles não substituem redundância de IEDs, fontes, servidores ou funções de proteção. Também não protegem contra falhas comuns que afetem simultaneamente os dois caminhos.
O que são PRP e HSR
PRP significa Parallel Redundancy Protocol. HSR significa High-availability Seamless Redundancy.
Os dois mecanismos duplicam quadros e eliminam duplicatas no destino. A aplicação recebe uma única cópia, mesmo que duas tenham sido transmitidas.
A redundância é transparente para protocolos superiores. O equipamento precisa suportar o mecanismo diretamente ou utilizar um RedBox para conexão.
IEC 62439-3
A IEC 62439-3 define PRP, HSR e aspectos relacionados a redes de alta disponibilidade.
A especificação estabelece tipos de nós, identificação de quadros, descarte de duplicatas, supervisão e interoperabilidade.
O projeto deve indicar a edição e compatibilidade. Equipamentos de gerações diferentes podem possuir diferenças de implementação.
Por que redundância sem tempo de recuperação
Protocolos como RSTP precisam detectar falha e recalcular caminho. O tempo pode ser aceitável para aplicações gerais, mas inadequado para mensagens rápidas de proteção.
PRP e HSR mantêm os dois caminhos ativos. Não existe espera para ativar o caminho de reserva.
O benefício depende de a falha afetar apenas um caminho. Uma configuração incorreta, IED travado ou falha comum continua causando indisponibilidade.
Como funciona o PRP
Um nó PRP duplamente conectado envia cada quadro pela LAN A e LAN B.
As redes devem ser independentes e não se conectar diretamente. O receptor recebe duas cópias e entrega a primeira à aplicação.
O mecanismo identifica as cópias por informações adicionadas ao quadro. A segunda é descartada.
Se uma rede falha, a outra continua entregando quadros sem reconvergência.
LAN A e LAN B
LAN A e LAN B devem possuir separação suficiente para reduzir falhas comuns.
Elas podem utilizar switches, fibras, fontes e caminhos físicos independentes. Duplicar apenas portas no mesmo switch não atende o objetivo.
A documentação precisa identificar claramente cada rede. Cabos, DIOs, painéis e switches devem ter rotulagem consistente.
Configuração de VLANs, prioridade e multicast precisa ser equivalente quando necessário.
DANP
DANP é um Double Attached Node implementing PRP. Ele possui interfaces para as duas LANs e executa duplicação e descarte.
IEDs, servidores e switches de borda podem ser DANP.
A implementação deve manter o mesmo endereço lógico para a aplicação conforme o modelo do protocolo.
O diagnóstico precisa mostrar estado de ambas as interfaces e contadores de duplicatas.
SAN
SAN é um Single Attached Node. Ele possui uma conexão Ethernet comum e não implementa PRP.
Um SAN pode conectar-se a apenas uma LAN, perdendo a redundância, ou utilizar RedBox.
Equipamentos de manutenção, impressoras ou legados podem ser SANs. A arquitetura deve indicar consequência de sua conexão.
Conectar um SAN simultaneamente às duas LANs sem mecanismo adequado pode criar loop.
RedBox no PRP
RedBox, ou redundancy box, conecta um SAN a uma rede PRP.
O RedBox duplica os quadros do SAN para LAN A e B e elimina duplicatas recebidas.
Ele se torna componente crítico para os SANs conectados. Redundância, alimentação e capacidade precisam ser avaliadas.
Um RedBox que concentra muitos equipamentos pode criar ponto único de falha ou gargalo.
Redundancy Control Trailer
PRP adiciona um trailer de controle ao quadro para identificar sequência e LAN.
O receptor utiliza essas informações para descartar duplicatas e monitorar caminhos.
Capturas de rede precisam ser analisadas com ferramentas que entendam o protocolo. Uma ferramenta comum pode mostrar quadros aparentemente duplicados sem explicar a redundância.
Quadros de supervisão PRP
Nós enviam quadros de supervisão para anunciar presença e estado.
Sistemas de gestão podem usar essas informações para identificar perda de uma LAN, mesmo quando a aplicação continua funcionando.
Essa visibilidade é essencial: a redundância pode estar degradada silenciosamente.
Alarmes devem indicar nó, rede e duração da degradação.
Como funciona o HSR
No HSR, os nós duplamente conectados formam um anel. Cada quadro é enviado pelas duas portas em sentidos opostos.
O destino recebe a primeira cópia e descarta a segunda. Outros nós encaminham os quadros ao longo do anel.
Se um enlace é interrompido, a cópia pelo sentido oposto continua chegando sem reconvergência.
O anel precisa ser fechado e todos os nós do caminho devem suportar HSR ou utilizar dispositivos de acoplamento apropriados.
DANH
DANH é um Double Attached Node implementing HSR.
Ele possui duas portas e participa diretamente do encaminhamento do anel.
A falha ou desligamento precisa manter continuidade física ou lógica conforme implementação. O projeto deve verificar comportamento das portas sem alimentação.
Nós HSR precisam processar e encaminhar tráfego com desempenho suficiente.
Tag HSR
HSR adiciona uma tag ao quadro com sequência e identificação necessária ao encaminhamento e descarte.
Os nós mantêm tabelas para reconhecer duplicatas e evitar circulação indefinida.
Captura em diferentes pontos do anel pode mostrar cópias nos dois sentidos. A análise deve considerar caminho e sequência.
Quadros de supervisão HSR
Mensagens de supervisão permitem descobrir nós e monitorar topologia.
A plataforma deve identificar perda de vizinho, abertura do anel e quadros ausentes em uma direção.
Uma falha simples não interrompe a aplicação, mas precisa gerar manutenção antes de uma segunda falha.
QuadBox
QuadBox interconecta anéis HSR ou segmentos compatíveis usando múltiplas portas.
Ela pode criar arquiteturas maiores, mas aumenta complexidade de encaminhamento e diagnóstico.
A capacidade, redundância e comportamento diante de falhas precisam ser analisados.
Topologias não devem ser improvisadas apenas porque os equipamentos possuem quatro portas.
RedBox no HSR
RedBox conecta SANs ou redes externas a um anel HSR.
Ele converte quadros e executa duplicação e descarte.
O dimensionamento deve considerar tráfego agregado e quantidade de endereços.
RedBoxes redundantes exigem arquitetura compatível para não criar loops ou duplicação indevida.
Redundância sem tempo de recuperação começa pela arquitetura física.
LAN A e LAN B, anéis, nós, RedBoxes, fontes, caminhos e capacidade precisam ser definidos antes da escolha entre PRP e HSR.
PRP versus HSR
PRP utiliza duas redes independentes e normalmente requer duplicação de switches e enlaces. HSR utiliza um anel e os nós encaminham tráfego.
PRP facilita independência física, mas aumenta quantidade de infraestrutura. HSR pode reduzir switches em algumas arquiteturas, mas cada nó participa do anel.
A escolha depende de topologia, quantidade de nós, equipamentos suportados, expansão e manutenção.
Nenhum é universalmente superior.
Comparação com RSTP e MRP
RSTP e MRP utilizam caminho bloqueado ou mecanismo de reconvergência. Após falha, existe tempo de recuperação.
PRP e HSR mantêm caminhos simultâneos e entregam sem comutação perceptível.
Para tráfego administrativo, RSTP pode ser suficiente. Para GOOSE ou Sampled Values críticos, o requisito pode exigir recuperação sem tempo.
A seleção deve partir da função e do tempo máximo tolerável.
Aplicação em IEC 61850
A subestação digital e IEC 61850 utiliza Ethernet para supervisão, eventos e processo.
PRP ou HSR pode transportar MMS, GOOSE e Sampled Values. Cada tipo possui perfil de tráfego e criticidade.
A SCD e os diagramas de rede devem registrar interfaces e redundância.
A redundância de comunicação não substitui redundância de proteção principal e alternada.
PRP e GOOSE
GOOSE possui requisitos de latência e repetição. PRP envia cópias pelas duas LANs.
O subscriber processa a primeira e descarta a duplicata na camada de redundância.
VLAN, prioridade, APPID, multicast e engenharia IEC 61850 continuam necessários.
Testes precisam interromper cada LAN e medir entrega e alarmes.
HSR e GOOSE
No HSR, GOOSE circula nos dois sentidos do anel.
A latência depende do número de nós e do caminho. O dimensionamento deve considerar o pior caso.
Anéis muito grandes aumentam tráfego e processamento. A segmentação precisa seguir recomendações de engenharia.
Sampled Values
Sampled Values produz tráfego contínuo de alta taxa. Duplicar os quadros dobra a carga transmitida nos caminhos relevantes.
A capacidade dos links, nós e RedBoxes precisa ser verificada. Perda, jitter e latência são críticos.
A arquitetura deve separar ou priorizar tráfego conforme projeto.
Ensaios em carga nominal e máxima são obrigatórios.
MMS e tráfego cliente-servidor
MMS também pode utilizar PRP ou HSR. A aplicação se beneficia da continuidade do caminho.
Entretanto, falha do servidor ou sessão não é resolvida pela redundância de rede.
Servidores SCADA e gateways podem precisar de redundância própria.
PTP em redes redundantes
PTP distribui tempo de alta precisão. Redes redundantes exigem perfil e comportamento compatíveis.
O artigo sobre Servidor NTP e sincronismo diferencia necessidades de tempo.
IEC/IEEE 61850-9-3 é utilizado em automação de energia para PTP. Grandmasters, transparent clocks e caminhos precisam ser projetados.
Uma falha de tempo comum pode afetar os dois caminhos mesmo quando a rede permanece disponível.
Endereços e nós
Nós redundantes apresentam identidade lógica consistente para as aplicações.
Tabelas de descarte e supervisão usam endereços e sequências.
MACs duplicados fora do mecanismo ou conexões incorretas podem causar comportamento imprevisível.
Inventário precisa registrar tipo de nó, portas, LAN e firmware.
Capacidade de rede
A duplicação aumenta tráfego físico. Em PRP, cada LAN carrega uma cópia completa. Em HSR, quadros atravessam vários nós.
O dimensionamento considera MMS, GOOSE, SV, PTP, gestão e margem.
Multicast pode consumir todas as portas se VLANs e filtros não forem planejados.
Uso médio baixo não demonstra capacidade durante faltas e rajadas de eventos.
Latência e jitter
A aplicação utiliza a primeira cópia, normalmente a de menor atraso.
Diferenças entre caminhos são aceitáveis dentro dos buffers e requisitos. A segunda cópia muito atrasada pode aumentar tabelas de descarte.
Medições precisam ser realizadas nos dois sentidos e durante falha.
Tamanho do anel HSR
Mais nós aumentam saltos, latência e tráfego encaminhado.
O limite prático depende de desempenho dos equipamentos e perfil de tráfego.
Anéis devem ser dimensionados e, quando necessário, divididos por QuadBoxes ou arquitetura PRP/HSR.
Não se deve expandir indefinidamente um anel existente sem estudo.
Interconexão PRP e HSR
RedBoxes podem interligar redes PRP e anéis HSR.
A conversão deve preservar duplicação e evitar loops. O ponto de interconexão precisa ser documentado.
Capacidade e falha do RedBox podem afetar vários segmentos.
Ensaios devem cobrir falhas em cada lado e no acoplamento.
PRP interligado a redes não redundantes
SANs podem conectar-se a uma LAN ou por RedBox.
Quando ligados a apenas uma LAN, não possuem redundância. Essa condição precisa aparecer no diagrama e monitoramento.
Serviços de manutenção não críticos podem aceitar essa limitação; funções críticas precisam de análise.
Falhas cobertas
PRP cobre falha simples em uma LAN, link, porta ou switch do caminho, desde que a outra LAN permaneça independente.
HSR cobre falha simples de enlace no anel e algumas falhas de caminho, conforme topologia.
O protocolo não cobre falha do próprio dispositivo final, aplicação, fonte comum ou erro de configuração replicado.
Falhas comuns
LAN A e B no mesmo duto, rack, fonte ou switch compartilham risco.
Configuração idêntica incorreta pode afetar ambos os caminhos. Atualização simultânea também pode causar indisponibilidade.
A separação precisa incluir infraestrutura física, energia e administração quando exigido.
Falha dupla
Após a primeira falha, a rede opera degradada. Uma segunda falha no outro caminho pode interromper.
Alarmes de degradação precisam ser atendidos rapidamente. A operação não deve considerar a rede saudável apenas porque não houve interrupção.
Métricas devem mostrar tempo em estado degradado.
Redundância de nós
Para cobrir falha de IED ou servidor, são necessários nós redundantes e lógica de aplicação.
PRP/HSR oferece caminhos, não duplica a função.
Proteção principal e alternada, servidores redundantes e fontes independentes precisam de projeto próprio.
Fontes e alimentação
Switches das LANs A e B devem possuir alimentação coerente com independência.
Se todos dependem da mesma fonte ou disjuntor, uma falha elimina ambos.
O artigo sobre serviços auxiliares ajuda a avaliar sistema CC, baterias e retificadores.
RedBoxes e QuadBoxes também precisam de alimentação e supervisão.
Separação física
Fibras redundantes no mesmo cabo ou bandeja podem falhar juntas.
Rotas físicas, DIOs, caixas e entradas no painel devem ser analisadas.
A separação possível depende da instalação, mas o risco residual precisa ser documentado.
VLAN e prioridade
PRP/HSR transporta quadros Ethernet. VLAN e IEEE 802.1p continuam relevantes.
GOOSE e SV podem receber prioridade conforme engenharia.
Configurações precisam ser equivalentes nos caminhos. Uma VLAN ausente em uma LAN deixa a redundância degradada.
Multicast
GOOSE e SV utilizam multicast. Switches PRP devem tratar o tráfego conforme projeto.
Filtros, VLANs e capacidade reduzem inundação desnecessária.
HSR encaminha quadros no anel; a carga multicast precisa ser dimensionada.
Mudanças de datasets podem alterar significativamente a banda.
Network Address Translation e roteamento
PRP e HSR operam no domínio Ethernet local. Não são mecanismos de redundância WAN ou roteamento IP.
Para enlaces entre subestações e centros, outras tecnologias e protocolos são usados.
MMS IP pode atravessar roteamento fora do domínio redundante, mas a proteção sem tempo não se estende automaticamente.
Gestão e SNMP
Equipamentos devem informar estado de portas, LANs, nós e duplicatas.
O SNMP pode alimentar monitoramento.
Alarmes relevantes incluem perda de LAN, abertura de anel, nó ausente e erro de sequência.
A plataforma deve correlacionar eventos para evitar múltiplos alarmes de uma mesma falha.
Supervisão da redundância
A redundância precisa ser monitorada continuamente.
Testes periódicos podem confirmar caminhos sem interromper operação. Inspeção de contadores identifica degradação silenciosa.
Um caminho que nunca transporta a primeira cópia pode ter latência excessiva ou problema.
Baselines ajudam a detectar mudanças.
Captura e análise de tráfego
Capturas podem mostrar duplicatas, tags, trailers e supervisão.
Pontos de captura em LAN A, B e nós ajudam a localizar falha.
Ferramentas precisam decodificar PRP/HSR. Analisar apenas no nível IP pode ocultar o mecanismo.
Sincronismo dos instrumentos facilita comparação.
Alta disponibilidade não equivale a comunicação segura.
Quadros maliciosos também podem ser duplicados; IEC 62351, segmentação, hardening, controle de gestão e monitoramento continuam necessários.
Cibersegurança
PRP e HSR aumentam disponibilidade, não autenticam mensagens.
Um quadro malicioso pode ser duplicado pelos dois caminhos. A IEC 62351 trata mecanismos de segurança dos protocolos elétricos.
Segmentação, hardening, controle de acesso e monitoramento continuam necessários.
As duas LANs não devem ser usadas como caminhos alternativos para administração não controlada.
Hardening de switches e RedBoxes
Contas padrão, serviços, SNMP, firmware e interface de gestão precisam ser protegidos.
A rede de gestão pode ser separada do tráfego de processo.
O hardening em ambientes OT deve ser adaptado a switches industriais.
Configurações precisam de backup e controle de versão.
Projeto de arquitetura PRP
O projeto deve apresentar LAN A e B, switches, enlaces, DANPs, SANs e RedBoxes.
Também precisa mostrar fontes, rotas físicas, VLANs, prioridades e gestão.
Cada equipamento deve ter interfaces e capacidade compatíveis.
A matriz de falhas demonstra quais cenários são cobertos.
Projeto de arquitetura HSR
O diagrama deve mostrar ordem dos nós, portas, RedBoxes, QuadBoxes e interconexões.
O cálculo considera quantidade de nós, tráfego e latência.
Expansão futura precisa de margem e pontos de inserção.
A remoção de um nó para manutenção não pode abrir o anel sem procedimento.
Arquivos IEC 61850
A SCD registra conexões e comunicações dos IEDs.
Configuração de PRP/HSR pode envolver parâmetros de fabricante além do SCL.
A documentação deve manter consistência entre SCD, switches e IEDs.
Mudanças precisam de teste de todos os publishers e subscribers afetados.
FAT
O FAT deve utilizar equipamentos representativos e tráfego realista.
Testes incluem perda de cada porta, switch, LAN ou enlace; supervisão; latência; GOOSE; SV; MMS e PTP.
A carga máxima precisa ser simulada. O resultado deve demonstrar ausência de perda percebida pela aplicação.
Falhas comuns e limites também devem ser documentados.
SAT e comissionamento
No campo, validar rotas físicas, alimentação, fibras, VLANs e configuração.
O roteiro mínimo inclui:
- interrupção de cada LAN PRP;
- abertura de cada trecho do anel HSR;
- falha de switch, RedBox e porta;
- geração e recebimento de GOOSE e SV aplicáveis;
- MMS, PTP e tráfego de gestão;
- alarmes de degradação e recuperação;
- carga nominal e pico;
- reinicialização de nós;
- comparação de latência nos caminhos;
- backup e restauração de configuração.
O Comissionamento e Aceite Técnico deve produzir evidências de cada cenário.
Manutenção
A rede redundante permite manutenção em um caminho, mas a operação fica degradada.
O procedimento deve confirmar saúde do outro caminho antes da intervenção.
Após manutenção, verificar supervisão, duplicatas e alarmes.
Atualizações devem ser escalonadas para evitar falha comum.
O aceite deve interromper cada caminho e comprovar a supervisão.
LANs, trechos do anel, switches, RedBoxes, GOOSE, Sampled Values, PTP, alarmes e carga precisam ser testados em cenários de falha.
Diagnóstico de falhas
Perda de uma LAN PRP exige verificar porta, fibra, switch, VLAN e alimentação. Aplicação pode continuar sem indicar diretamente.
Anel HSR aberto precisa ser localizado por supervisão e vizinhança.
Duplicatas ausentes em um caminho indicam degradação. Duplicatas não descartadas podem apontar incompatibilidade ou configuração.
Latência alta em um sentido pode resultar de nó sobrecarregado ou caminho extenso.
Erros comuns
Erros frequentes incluem conectar LAN A e B, compartilhar mesma fonte, considerar SAN como redundante e não monitorar degradação.
Também são comuns anéis HSR grandes sem cálculo, RedBox como ponto único de falha e testes apenas de ping.
Outro erro é afirmar redundância total quando somente a rede foi duplicada.
Conclusão
PRP e HSR oferecem redundância Ethernet sem tempo de recuperação ao enviar quadros por caminhos simultâneos. PRP usa duas LANs; HSR utiliza um anel.
Em subestações, eles atendem tráfego IEC 61850 e sincronismo quando corretamente dimensionados. A confiabilidade depende de independência física, capacidade, supervisão, segurança e testes de falha. Quando a primeira degradação é detectada e corrigida, a rede mantém disponibilidade sem ocultar o risco de uma segunda falha.
Referências técnicas
[1] INTERNATIONAL ELECTROTECHNICAL COMMISSION. IEC 62439-3 — Industrial communication networks — High availability automation networks — Parallel Redundancy Protocol and High-availability Seamless Redundancy.
[2] INTERNATIONAL ELECTROTECHNICAL COMMISSION. IEC 61850 series — Communication networks and systems for power utility automation.
[3] INTERNATIONAL ELECTROTECHNICAL COMMISSION; IEEE. IEC/IEEE 61850-9-3 — Precision time protocol profile for power utility automation.
[4] INTERNATIONAL ELECTROTECHNICAL COMMISSION. IEC TR 61850-90-4 — Network engineering guidelines.
[5] NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY. NIST SP 800-82 Rev. 3 — Guide to Operational Technology Security. Gaithersburg, 2023.
Perguntas frequentes
PRP é um protocolo de redundância que envia quadros por duas redes independentes e entrega a primeira cópia recebida.
HSR é um protocolo de redundância em anel que envia quadros nos dois sentidos e descarta duplicatas.
PRP utiliza duas LANs paralelas; HSR utiliza um anel no qual os nós encaminham os quadros.
A entrega continua sem reconvergência perceptível para uma falha simples no caminho.
É um nó duplamente conectado que implementa PRP.
É um nó duplamente conectado que participa de um anel HSR.
É um equipamento que conecta dispositivos sem suporte nativo a uma rede PRP ou HSR.
Não. Eles redundam caminhos de rede, não a função, o dispositivo ou a alimentação comum.
Sim, desde que capacidade, latência, VLAN, prioridade e equipamentos sejam corretamente projetados.
Devem ser interrompidos caminhos, switches, portas e RedBoxes, verificando tráfego, latência, alarmes e recuperação.
Materiais técnicos complementares
Soluções relacionadas
- Redes Industriais
- Sistemas Digitais de Supervisão e Controle
- Sistemas SCADA
- Zabbix — Monitoramento de Infraestrutura
Serviços relacionados
Artigos e materiais técnicos relacionados
