産業用ネットワーク冗長化設計｜MRP・RSTP・PRP・HSRを比較

タイ工場で産業用ネットワークの冗長化設計を検討するとき、「リングにすれば止まらない」という説明だけでは発注できません。ケーブル断、スイッチ故障、電源断、PLC停止のどこまでを対象にし、制御通信が何周期まで欠けても工程が安全に続くかを先に定める必要があります。本稿はMRP、RSTP、PRP、HSRの適用境界、PTPとQoSへの影響、RFPとFAT/SATの試験条件を、稼働中のタイ工場を想定して整理します。

最初に決めるのはプロトコルではなく、止めてよい範囲

冗長化は単一の機能名ではありません。PLCとリモートI/Oの間のケーブル1本が抜けたときにI/O更新を継続すること、工場棟間の光ファイバーが切れたときにMESへのデータを再送すること、監視画面が落ちても設備の安全停止が維持されることは、必要な応答と責任者が異なります。まず工程単位で「何が失われると製品品質、安全、納期にどう影響するか」を書きます。通信が途絶してもローカルPLCが制御を継続できる工程と、リモートI/Oの更新停止で直ちに安全側へ移行すべき工程を同じ許容時間で扱ってはいけません。

要件表には、障害の始点、影響を受ける通信、アプリケーションが観測する中断、許容できる欠落フレームまたは制御周期、検知方法、復旧手順、合否判定者を並べます。たとえば「スイッチ間リンク断でリングが切り替わる」はネットワークの動作であり、「搬送設備が停止せずに正常運転を継続する」は工程の結果です。前者だけのデモで後者を保証したことにはなりません。安全機能はネットワークの可用性とは別に、機械安全の設計と検証で成立させます。

既設網のゾーン分割、機器台帳、OT/IT境界が未整備なら、産業用ネットワーク構築の設計ガイドから着手してください。本稿は、その上で必要な通信経路の耐障害性をどう買い、どう受け入れるかを扱います。

「一重故障」を具体的な故障リストへ変える

「単一障害に耐える」は便利ですが、現場では意味が曖昧です。想定するのはリング内の一本のケーブル断か、スイッチ1台の故障か、二つの経路が同じ配線ラックで同時に焼損するケースか。PRPでLAN AとLAN Bを論理的に分けても、同じ盤の同じ電源回路と同じダクトを共有すれば共通原因故障には弱いままです。RFPでは、装置・ポート・SFP・ケーブル・ダクト・電源・UPS・時刻源・管理サーバーを故障ドメインごとに記述します。何を二重化し、何を単一に残すかを図に色分けし、故障注入で確かめます。

冗長化には費用、設定、監視、予備品、変更管理の負担もあります。故障確率をゼロにできない以上、すべてを二重化することが正解ではありません。停止損失の大きい工程へ投資を集中し、非制御の履歴データはバッファと再送で耐える、といった使い分けを先に決めます。

MRP・RSTP・PRP・HSRの違いを一枚で比較

PIのPROFINET資料はMRPを非シームレスなメディア冗長とし、標準的なPROFINET RTにはMRP、より厳しいIRTにはMRPDという別機構を説明しています。PIのシステム説明にはMRPの典型的な再構成時間として200 ms未満という記述がありますが、特定工場のアプリケーション停止が200 ms未満になるという保証ではありません。MRPでは全リング機器の対応、役割、リングポート、リンク速度、実装上のノード上限を確認し、実構成で測ります。MRPD、コントローラのシステム冗長、二重電源はMRPと同じ意味ではありません。

IEC 62439-3:2021はPRPとHSRを、ネットワーク要素の故障時に回復時間ゼロのシームレスな切替を実現する関連方式として規定します。PRPは独立した二つのLANに、HSRはリングまたは適切なメッシュに複製フレームを流します。これは規格の対象となる単一ネットワーク要素故障に対する特性であり、PLC CPU、共通電源、共通経路、アプリケーション、誤設定まで無停止になる意味ではありません。PRP/HSRの「ゼロ回復時間」を工場全体の「ゼロ停止時間」と読み替えないことが購買上の要点です。

RSTPは汎用L2で広く使えますが、別メーカーの機器を挿せば必ず所定時間で収束するという単純な保証はありません。ルートブリッジ、エッジポート、トポロジー変更、リンク障害とスイッチ電源断の差を含めた試験が必要です。Ciscoの産業ネットワーク設計資料も方式ごとに典型的な収束特性を並べていますが、数値は製品・ノード数・設定・障害形態に依存するため、RFPにはサイト固有の合格値を記載します。

MRP：PROFINETリングの入口として扱う

MRPの強みは、対応したPROFINETリングで運用条件を統一しやすいことです。リングを一箇所で論理的に開いてループを防ぎ、断線時に代替経路を使用します。計画図では管理者とクライアント、リングポート、接続する非リング設備、障害通知先を明記します。機器交換時にはリング設定を復元し、再結線後にループと二重障害を検査します。

一方、MRPの切替中には通信中断を想定します。I/O更新周期、ウォッチドッグ、ドライブ、PLCプログラムのタイムアウトを机上で照合し、FATで実際のタグや設備を模した負荷を掛けて確認します。MRPの「典型値」だけを根拠に、サーボ同期や安全機能へ無条件に採用しないでください。MRP対応というカタログ表記だけでなく、同一リング内の全装置のファームウェアと役割を確認します。

RSTP：汎用性と収束の不確実性をセットで評価

RSTPはIEEE 802.1w由来の迅速なスパニングツリー機構です。複数メーカーのスイッチが混在する既設基幹網で候補になります。ブリッジを多数つなぐほど「どのポートが遮断され、障害後にどちらへ開くか」が見えにくくなるため、ルート、優先度、許可する接続、ポート役割を図面に固定します。工場棟間や監視系のようにアプリ側に再送・バッファがある通信と、厳しい周期で動く制御通信を分けて評価します。

収束時間の試験はケーブル抜去だけで終わらせません。スイッチ電源断、ポートのフラップ、保守後の再接続、誤ったルート候補の投入も検討します。無制御にループを作る試験は稼働網で行わず、隔離したFAT環境と承認したSAT窓で実施します。通信が戻ってもMAC学習、マルチキャスト、PLC接続の再確立が遅ければ工程は戻りません。

PRP：二つの独立網を維持できる場合の選択

PRPでは送信ノードが同じ情報をLAN AとLAN Bへ複製し、受信側が重複を除去します。一方のLANで単一障害が起きても、他方のフレームが届けば切替待ちを必要としません。導入条件は、端末側のPRP対応または単一接続端末を収容するRedBoxの設計、二つのLANの物理的・電気的独立性、監視と障害処理です。二網の正常性を見ないまま片系故障を放置すると、次の故障で停止します。

LAN A/Bを二つのVLANとして同じスイッチ群に入れるだけでは、スイッチ故障に対する二網独立とは呼べません。設置盤、電源供給、ケーブルルート、保守作業、ファームウェア更新の同時適用まで、共通原因を洗い出します。予算比較にはスイッチと光モジュールだけでなく、二経路の配線工事、監視、予備品、設定バックアップ、障害訓練を含めます。

HSR：対応端末のリングを前提とする

IEC 62439-3のHSRは、端末が複製したフレームをリングの両方向へ送る方式です。異種プロトコルのリングを何でも混ぜてよい仕組みではありません。端末、ポート、冗長機能、異種ネットワークへの接続装置、マルチキャスト、帯域を一組として設計します。二方向へ流れるトラフィックの影響は、通常時と片側断の双方で測ります。

資料によってHSRという略称が別のメーカー独自の「High Speed Redundancy」を指すことがあります。発注書には「IEC 62439-3:2021 High-availability Seamless Redundancy」と正式名と規格を併記し、メーカーがどの方式を実装するか確認します。略称だけで相互接続を約束させないことが重要です。

回復時間だけでは工程の可用性を説明できない

障害時の現象は少なくとも四層で記録します。第一に物理リンクが落ちた時刻、第二に冗長機構が新しい経路を利用できた時刻、第三にPLCまたはSCADAが正常データを再び受けた時刻、第四に設備の運転や品質判定が正常に戻った時刻です。ネットワークの収束が速くても、TCPセッションの再確立、PLC接続のタイムアウト、HMIの再読込、MESへの再送、時刻同期の再安定化が残ります。これらを一つの「切替時間」に混ぜると、業者間の見積比較ができません。

判定に使う指標はアプリごとに変えます。リモートI/Oなら欠落した更新周期数とPLCの状態遷移、映像検査ならフレーム欠落と判定不能品の隔離、設備データ収集なら欠番と後送完了、品質トレースならレコードの重複・順序・タイムスタンプ、SCADAならアラーム欠落とオペレータ表示の回復を見ます。現場の合格値はリスク分析から決め、ベンダーの標準値をそのまま貼らないでください。

PRP/HSRは両経路へ同じフレームを出すため、帯域を倍に見積もる箇所や、重複除去を行う境界が重要です。MRP/RSTPも通常時の片経路に余裕があっても、障害後の迂回経路で映像・バックアップ・制御が競合します。正常時と単一故障時の最悪負荷を両方モデル化し、スイッチポートのキュー、マルチキャスト制御、バースト、上位通信を含めて実測します。

PTPとQoSは冗長化の横に独立した設計として置く

時刻同期が重要な工程では、冗長化でデータが届き続けても時刻が乱れれば結果を使えません。PTPまたはIEEE 802.1ASを使う場合、時刻源、境界クロックや透過クロックの対応、経路ごとの遅延非対称、片系障害後の再同期、ホールドオーバーを確認します。最新のIEEE 802.1ASの仕様は正常時だけでなくネットワーク構成要素の追加・除去・故障後の同期維持を対象にします。だからこそ、配線が戻ったかだけでは試験不足です。工場の時刻源と受入値の整理は工場のPTP時刻同期ガイドも参照してください。

QoSは「優先度を上げれば制御通信が必ず守られる」設定ではありません。各スイッチで802.1p/DSCPの分類、信頼境界、キュー、シェーピング、帯域予約、ポリシング、マルチキャストの扱いが一致する必要があります。IEEE 802.1Qbvの予定トラフィックは802.1AS由来の時刻を使います。したがって、時刻品質が劣化した障害状態で予定送信がどう動くかは、採用した製品とプロファイルで確認します。TSN機能を導入するなら、単に「TSN対応」と書かず、適用するプロファイル、エンド機器、設定ツール、互換性、試験ケースまで指定します。

片系故障時のPTP/QoS受入例

次の値は発注書の書式例であり、すべての工場に適用する数値ではありません。「通常時／片系故障時」の二行を分け、制御アプリが必要とする値を設計者が記入します。

試験では「PTPが同期済みと表示された」だけを合格にしません。タイムスタンプを使う品質データで順序逆転や大きな段差がないかまで見ます。逆に、設備データが数秒遅れても後送で復元できる工程へ、高価なゼロ中断構成を押し付ける必要はありません。

物理経路、電源、装置を分離して初めて強い設計になる

論理経路を二つ描いても、盤外へ出る瞬間に同じケーブル束へ入れば一台のフォークリフトや一箇所の火災で同時に失われます。タイの稼働中工場では既設ダクトの空き、建屋間の通線、保守時の高所作業、粉じん・熱・振動、電気盤のスペース、停止可能時間を現地調査で確認します。図面上の「A/B」は現場で目視できる色・タグ・台帳と一致させます。

電源についてはスイッチの二重電源端子と、実際に独立した供給源があるかを分けて確認します。二つの端子を同じブレーカーへつなげても電源冗長にはなりません。UPSの容量と保持時間、電源監視、ブレーカーの分離、交換時の手順を確認します。冗長経路を持つPLCでも、制御器本体、I/O、アクチュエータ、時刻源、上位サーバーに単一故障点が残り得ます。ネットワーク冗長と装置・システム冗長を別の図、別の試験番号で管理します。

保守のしやすさも可用性です。片系を計画停止してファームウェア更新する際、もう一方だけでどの負荷まで運転できるかを試します。二系統を同じ日に同じ設定ファイルで誤更新すると、独立した配線も助けになりません。変更審査、設定差分、バックアップ、ロールバック、予備機の復元を設計成果物に含めます。

タイ工場での方式選定を五つの質問に落とす

第一に、守るのは制御の周期、工程の連続運転、監視の可視性、データの完全性のどれか。第二に、制御プロトコルと全端末の冗長機能は何か。第三に、一本のケーブル断だけでなくスイッチ・電源・共通ダクト障害まで対象にするか。第四に、別系統を維持する配線と運用の予算があるか。第五に、実アプリでFAT/SATを実施できるか。この五問の答えが揃えば、候補の絞り込みは可能です。

既設PROFINETリングの一重断対策ならMRPが自然な候補です。制御が切替中断を許容しない場合は、PIのMRPDやアプリ・機器の別の冗長設計まで確認します。混在スイッチの監視・上位集約で、アプリに再送があるならRSTPが候補になります。単一のネットワーク要素故障でもフレームを切れ目なく届ける必要があり、二網を実際に独立させられるならPRPを評価します。対応機器のリングと異種接続境界を整えられる場合にはHSRを評価します。どの方式もPLCや電源を同時に二重化する魔法ではありません。

複数方式を段階的に組み合わせる場合、境界装置が新たな単一障害点にならないか確認します。装置の仕様書がいう「冗長対応」の対象は、ポート、プロトコル、電源、CPU、ファームウェア、ライセンスで異なります。ベンダーへ適合マトリクスを提出させ、デモ機ではなく納入する型式とファームウェアで試験します。

RFPに記載する九つの設計・試験条項

1. 対象工程と影響：ライン、設備、PLC、HMI、リモートI/O、SCADA、MES、保全端末の接続と、通信断時の安全側動作を記す。
2. 故障モデル：リンク断、スイッチ停止、電源断、SFP障害、片系保守、再接続を分け、同時二重故障と共通原因故障の扱いを明記する。
3. アプリ合格値：パケットだけでなく制御周期、ウォッチドッグ、アラーム、品質記録、再送、時刻誤差について要求値と測定点を指定する。
4. 方式と互換性：MRP/RSTP/PRP/HSRの規格版、対応機器、ファームウェア、設定、境界装置、リング・二網の上限条件を提出させる。
5. 物理・電源独立：A/Bのケーブルルート、盤、スイッチ、電源、UPS、接地、ラベル、保守導線を図面と現地で照合する。
6. PTP/QoS：時刻源、プロファイル、優先度、キュー、障害中の挙動、負荷条件、監視項目を記す。
7. セキュリティ：OT/IT境界、許可通信、管理アクセス、設定保護、ログ、変更権限を指定する。NIST SP 800-82 Rev.3はOTの性能・信頼性・安全性に配慮したセキュリティ設計を求める参考資料になる。
8. FAT/SAT：故障注入の手順、試験負荷、時刻付き証拠、合否、再試験、工場停止窓、ロールバックを定める。
9. 引渡しと保守：as-built図、設定、IP/VLAN/ポート台帳、予備機、監視アラーム、復元手順、教育、サポート窓口、瑕疵対応を含める。

見積比較表では「スイッチ台数」だけを横並びにせず、装置費、二経路配線、盤・電源、ライセンス、FAT、夜間SAT、停止調整、教育、保守を分離します。障害注入を契約範囲から外した安い提案は、可用性を証明する費用が後に残る提案です。金額を本文で一律に提示しないのは、既設設備と停止窓の差が大きく、現地調査なしでは誤解を招くためです。

ベンダーへの具体的な確認質問

「故障時も止まりませんか」では、答えが曖昧になります。「LAN Aのスイッチ1台を電源断したとき、指定PLCのI/O更新欠落は何周期で、どのログから証明できますか」と聞きます。「PTPのグランドマスターを切った後、品質計測端末の時刻オフセットは許容範囲へいつ戻りますか」と聞きます。「二経路は敷設図のどこで同じダクトに入りますか」と聞きます。「片系の予備機交換を保全担当が実演した場合、設定の正本はどれですか」と聞きます。回答を議事録ではなく、試験仕様と受入表に転記します。

FATからSATまでの受入計画

FATでは現地の全設備を再現できなくても、納入予定機器、同じファームウェア、スイッチ設定、代表PLC、通信負荷、監視を用意します。通常時のベースラインを取り、一本ずつのリンク断、スイッチ電源断、再接続、片系保守、時刻源喪失、キュー混雑を注入します。各試験でネットワークカウンタとアプリのイベントを同一の時刻軸で記録し、どの障害がどの工程結果へつながったか追えるようにします。試験の間に設定を変えたら、版と理由を記録して同じ条件で再試験します。

SATでは、稼働中工場の安全と生産を優先し、事前承認した停止窓・手順・連絡網で実施します。ライブ環境で予定外のループや二重故障を作らず、試験できない故障はFATの証拠と現地配線検査を組み合わせます。実際のケーブルルート、電源供給、実端末、上位接続、稼働時負荷で測ることに価値があります。合否判定には生産、保全、品質、IT/OT、ベンダーの各責任者を入れます。

SATで不合格になったら、暫定運転の許容範囲、責任者、修正期限、再試験条件を決めます。ベンダーが「ネットワーク側は合格」と言い、現場が「設備が止まった」と言う状態を放置しないため、四層の時刻記録と試験責任を契約時に結びます。受入完了後も監視のアラームが実際に担当者へ届くこと、片系故障が未処理のまま長期間残らないことを運用訓練で確認します。

引渡し後の片系故障を「気づける故障」にする

冗長化が本当に役立つのは最初の故障を運転中に吸収でき、しかも保全担当がその故障にすぐ気づける場合です。片系が切れても操業が続く構成では、画面に何も表示されなければ数週間そのまま運転し、次の定期点検やケーブル工事で残りの経路も失うことがあります。したがって、冗長機能のアラームは「リンクが切れた」という技術イベントから、「どのラインのどちらの経路が失われ、誰がいつまでに修復するか」という保全作業へつなぎます。監視システムに通知を出すだけでなく、通知先、夜間連絡、障害票、エスカレーション、復旧確認の担当を決めてください。

運用ダッシュボードでは、正常／片系故障／冗長性喪失／復旧作業中／二重障害の状態を区別します。MRPならリング開放とマネージャー状態、RSTPならルートとポート役割、PRPならLAN A/Bの受信状態と重複フレーム、HSRならリング各方向の状態を観測対象にします。装置が出すカウンタの名称は製品で異なるため、納入時に「この数値が増えたら何を確認するか」を機種ごとに一覧化します。アラームの試験はFATだけで終えず、SATで実際の担当者の端末まで届くことを確認します。

予備品も数量だけでは不十分です。交換用スイッチや光モジュールの型式、ファームウェア、ライセンス、設定バックアップ、ポート割付、IPアドレス、交換手順、製造終了時の代替機を紐づけます。予備機が倉庫にあっても、古いファームウェアでリングに入れない、管理パスワードが分からない、設定ファイルが別盤用だった、という状態では復旧時間が伸びます。F-05の予備機交換試験は、ベンダーではなく現地保全員が手順書を見て実行し、分からなかった箇所を手順へ戻す方法が有効です。

変更時は「片側ずつ更新する」を計画書に書くだけでなく、更新する側を切り離した状態で残りの経路が必要な制御・監視トラフィックを運べるか事前確認します。まず設定の正本と差分を承認し、監視基準値を保存し、片系を更新し、障害アラームと通常負荷を確認してからもう片系へ進みます。更新後に両系統のファームウェアと設定が意図した組合せか、再起動で役割が逆転しても正常かを確かめます。失敗した場合に戻す設定版、担当者、停止判断時点を決めておくと、夜間作業の現場判断を減らせます。

見積比較では総所有費用と未検証範囲を並べる

PRPの二網、HSR対応機器、MRPリング、RSTP基幹網を価格だけで横並びにすると、試験範囲や配線工事の差が隠れます。比較表には初期機器、ケーブルと光芯線、盤・電源・UPS、設計・設定、FAT/SAT、生産停止調整、運用監視、保守契約、交換予備品、将来拡張の欄を設けます。工場内で既設ケーブルを再利用できるという前提は、光損失測定、経路確認、占有状況の証拠がある場合だけ認めます。見積の「除外事項」欄も要求し、時刻同期、セキュリティ設定、設備メーカー立会い、休日試験、切戻しがどちらの責任か明らかにします。

5年間など評価期間をそろえる場合も、機器更新、ライセンス、UPS電池、予備品、監視運用、再試験の時期を各提案で同じ前提にします。費用対効果は「停止損失を何年分取り戻すか」という単純な計算だけでは決まりません。品質不良の隔離、仕掛品の再投入、夜間保全の負荷、顧客への納入影響、サイバー事故時の拡大範囲もあります。ただしそれらを根拠なく金額化すると意思決定を誤ります。工場の過去の障害記録から頻度・時間・影響工程を整理し、金額にできる項目と定性的に管理する項目を分けます。冗長化後もゼロにならないリスクを残余リスクとして明記し、運用訓練と復旧手順へつなげてください。

よくある質問：産業用ネットワーク冗長化設計

MRPとRSTPのどちらが速いですか？

一律には言えません。MRPの資料には典型的な再構成時間が示されていますが、RSTPも構成と実装で大きく変わります。比較すべき値は、その工場の機器、負荷、障害形態で測ったアプリ側の中断と工程影響です。PROFINETリングか、混在した上位L2網かという適用条件も先に確認します。

PRPまたはHSRなら工場は絶対に止まりませんか？

いいえ。IEC 62439-3が規定するのは対象となるネットワーク要素の単一故障に対するシームレスな切替です。PLC、電源、時刻源、共通ダクト、ソフトウェア、二重障害の全てが守られるわけではありません。FAT/SATで端末と工程を含む結果を検証します。

リングを二重化すればPTPの時刻も維持されますか？

必ずしもそうではありません。経路変更による遅延、クロックの切替、ポート機能、プロファイルの違いを評価し、正常時と障害時の時刻オフセットと再同期を測ります。時刻要求の厳しい工程では、時刻源と経路の冗長設計を別項目にします。

冗長化の見積は何で比較しますか？

対象故障、アプリ合格値、二経路の独立性、対応機器、PTP/QoS、FAT/SAT、予備品、復元訓練まで同じ前提にそろえて比較します。機器台数やカタログの切替時間だけでは同等比較になりません。

既設の稼働中工場でも導入できますか？

可能性はありますが、既設図面の照合、停止可能時間、盤・ダクト・電源の余力、旧機器の冗長対応を先に調べます。試験系を先に組み、ラインや建屋ごとに段階移行し、切戻し手順を用意します。稼働網への無計画な障害注入は避けます。

まとめ：冗長化は「方式名」ではなく故障時の工程結果で受け入れる

MRPとRSTPは切替に伴う中断を実アプリの許容範囲へ収める設計です。PRPとHSRは対象となる単一ネットワーク要素故障でシームレスな通信を目指します。いずれも、物理配線、電源、制御器、時刻、QoS、監視、保守が残す単一障害点を消すわけではありません。タイ工場の調達では、故障モデルと工程影響を先に定義し、RFPへ測定可能な要求を記載し、FAT/SATで同じ指標を測って引き渡すことが重要です。

方式や機種をまだ決めていない段階でも、既設経路の棚卸し、止められない工程の整理、RFPの受入表から始められます。タイ工場のOTネットワーク更新を検討中なら、TOMAS TECHへのお問い合わせから現状と停止制約をご相談ください。

出典・一次情報

• PROFIBUS & PROFINET International, PROFINET Planning Redundancy Guideline。MRPの前提と切替時の中断。
• PROFIBUS & PROFINET International, PROFINET System Description。MRPの典型的な再構成時間。
• IEC, IEC 62439-3:2021。PRPとHSRの対象と定義。
• IEEE 802.1, TSN standards and projects。802.1AS、802.1Qbv、802.1CBの位置づけ。
• IEEE 802.1, 802.1Qbv project description。予定トラフィックと時刻の関係。
• Cisco, Industrial Automation Design and Implementation Guide。RSTP/MRP等の比較（数値は当該設計例）。
• NIST, SP 800-82 Rev.3。OTの信頼性・安全性を考慮した設計。