Thiết kế dự phòng mạng công nghiệp: MRP, RSTP, PRP và HSR

Khi thiết kế dự phòng mạng công nghiệp cho nhà máy tại Thái Lan, câu “làm mạng vòng là không dừng” chưa đủ để đưa vào hồ sơ mua sắm. Cần xác định sự cố cần chịu được là đứt cáp, hỏng switch, mất điện hay dừng PLC; đồng thời xác định quy trình có thể bỏ lỡ bao nhiêu chu kỳ điều khiển mà vẫn an toàn. Bài viết so sánh MRP, RSTP, PRP và HSR, sau đó chuyển tác động tới PTP, QoS và ứng dụng thành yêu cầu RFP cùng bằng chứng FAT/SAT.

Bắt đầu từ hậu quả đối với quy trình, không phải tên giao thức

Dự phòng có nhiều mục tiêu khác nhau. Liên kết giữa PLC và I/O từ xa có thể phải duy trì cập nhật khi một cáp đứt. Bộ thu thập MES có thể chịu gián đoạn ngắn nếu có bộ đệm và gửi lại. HMI có thể tạm mất hiển thị trong khi điều khiển tại máy vẫn giữ trạng thái an toàn. Mỗi trường hợp có giới hạn, chủ sở hữu và phép thử riêng. Với từng công đoạn, hãy ghi rõ mất truyền thông ảnh hưởng thế nào tới an toàn con người, chất lượng, sản lượng và giao hàng. Không thể lấy một thời gian khôi phục chung cho tất cả dây chuyền.

Bảng yêu cầu cần nêu điểm phát sinh lỗi, lưu lượng bị ảnh hưởng, gián đoạn mà ứng dụng nhìn thấy, số khung hoặc chu kỳ điều khiển được phép mất, cách phát hiện, thao tác phục hồi và người ký nghiệm thu. “Mạng vòng chuyển tuyến thành công” là quan sát của mạng; “băng tải tiếp tục tạo sản phẩm đạt chất lượng” là kết quả của công đoạn. Chứng minh điều đầu không tự động chứng minh điều sau. Chức năng an toàn máy phải được thiết kế và xác nhận theo quy trình an toàn riêng.

Nếu mạng hiện có chưa có danh mục tài sản và ranh giới OT/IT, hãy bắt đầu từ hướng dẫn xây dựng mạng công nghiệp. Bài này tập trung vào cách mua sắm và chứng minh khả năng chịu lỗi của các đường truyền trọng yếu.

Biến “một lỗi” thành danh sách sự cố cụ thể

“Một lỗi” có thể là một sợi cáp trong vòng, một switch, một nguồn cấp hoặc cả máng cáp chung bị hỏng do một sự kiện. Hai đường logic cùng tủ và aptomat vẫn có nguyên nhân hỏng chung. RFP cần liệt kê thiết bị, cổng, module quang, cáp, máng, nguồn, UPS, nguồn thời gian và thành phần quản lý theo miền lỗi. Tô màu phần được nhân đôi và phần còn đơn trên bản vẽ hoàn công, rồi thử đúng ranh giới đó.

Dự phòng cũng cần ngân sách, băng thông, cấu hình, giám sát và vật tư. Không nhất thiết nhân đôi mọi luồng. Có thể bảo vệ vòng điều khiển với chi phí dừng cao, còn dữ liệu lịch sử không dùng điều khiển thì dùng bộ đệm và phát lại. Phân biệt các nhu cầu này trước khi chọn topology.

So sánh MRP, RSTP, PRP và HSR

PROFIBUS & PROFINET International (PI) mô tả MRP là media redundancy không seamless. PROFINET RT thông thường có thể dùng MRP; IRT nghiêm ngặt hơn có thể cần MRPD bổ sung. Tài liệu hệ thống PI nêu thời gian tái cấu hình MRP điển hình dưới 200 ms. Đây không phải cam kết ứng dụng của mọi nhà máy gián đoạn dưới 200 ms. Phải kiểm tra thiết bị thực giao, vai trò, cổng vòng, giới hạn số node và firmware, rồi đo trên cấu hình thực tế. MRPD, dự phòng controller và hai nguồn điện là các khái niệm khác với MRP.

IEC 62439-3:2021 định nghĩa PRP và HSR nhằm chuyển mạch seamless với thời gian khôi phục bằng không đối với lỗi phần tử mạng thuộc phạm vi. PRP nối node vào hai LAN riêng; HSR gửi khung lặp theo hai hướng trên vòng hoặc mesh phù hợp. Thuộc tính này không có nghĩa sản xuất không dừng nếu CPU PLC hỏng, mất nguồn chung, chung tuyến cáp bị hư, phần mềm lỗi hoặc xảy ra nhiều lỗi đồng thời. Không chuyển “khôi phục mạng bằng không” thành “nhà máy không bao giờ dừng”.

RSTP là lựa chọn Layer 2 linh hoạt giữa nhiều hãng, nhưng switch tuân thủ chuẩn không tự đảm bảo thời gian hội tụ riêng của nhà máy. Cần kiểm tra root bridge, edge port, thay đổi topology, khác biệt giữa rút cáp và mất nguồn switch. Tài liệu thiết kế công nghiệp của Cisco có bảng so sánh mang tính tham khảo; RFP phải ghi giới hạn đo tại ứng dụng của chính công trình.

MRP cho vòng PROFINET

MRP chặn logic một đường để tránh loop và dùng đường còn lại khi vòng bị đứt. Bản vẽ phải thể hiện manager, client, ring port, thiết bị ngoài vòng và nơi nhận cảnh báo. Khi thay thiết bị, phải khôi phục cấu hình vòng, kiểm tra loop và đảm bảo không còn lỗi thứ hai trước khi vận hành bình thường.

Cần dự kiến gián đoạn khi MRP đổi đường. So sánh chu kỳ I/O, watchdog, drive và timeout của ứng dụng trước trên giấy, rồi dùng tag và tải đại diện để FAT. Không lấy trị số “điển hình” trong catalog làm chấp thuận vô điều kiện cho đồng bộ servo hoặc chức năng an toàn. Kiểm tra chính xác firmware và vai trò của mọi thành viên vòng.

RSTP cho mạng tầng trên nhiều hãng

RSTP có thể phù hợp khi switch hiện hữu nhiều hãng phục vụ mạng tổng hợp hoặc giám sát. Cố định root, priority, kết nối được phép và vai trò cổng trong bản vẽ có kiểm soát phiên bản. Đánh giá riêng lưu lượng ứng dụng có bộ đệm/gửi lại và vòng điều khiển chu kỳ ngắn. Bridge domain càng lớn, việc tìm lỗi càng khó.

Không chỉ thử rút một cáp. Xem xét mất nguồn switch, cổng chập chờn, nối lại sau bảo trì và một thiết bị bất ngờ trở thành root. Chỉ tạo loop nguy hiểm trong FAT cách ly hoặc kế hoạch SAT được duyệt. Đường vật lý đã phục hồi vẫn có thể cần thêm thời gian cho MAC learning, multicast, phiên PLC và phát lại ứng dụng.

PRP khi duy trì được hai LAN độc lập

Nguồn PRP gửi cùng dữ liệu qua LAN A và LAN B; đầu nhận loại bản lặp. Nếu một LAN hỏng, bản còn lại có thể tới mà không phải chờ mạng hội tụ. Cần endpoint tương thích hoặc RedBox được thiết kế đúng cho thiết bị chỉ có một đường, đồng thời phải tách biệt thật và giám sát sức khỏe cả hai mạng. Nếu một phía hỏng âm thầm mà không sửa, sự cố kế tiếp sẽ lấy đi đường cuối cùng.

Hai VLAN trên cùng một cụm switch không phải hai miền lỗi độc lập đối với hỏng switch. Kiểm tra tủ, aptomat, tuyến cáp, quy trình bảo trì và cập nhật firmware đồng thời. Tính cả thi công tuyến thứ hai, module quang, switch, vật tư dự phòng, sao lưu cấu hình và diễn tập lỗi trong giá.

HSR cho vòng thiết bị tương thích

HSR theo IEC 62439-3 gửi khung lặp theo hai hướng quanh vòng. Điều này không cho phép trộn bất kỳ giao thức vòng hoặc endpoint nào. Thiết kế node, cổng, kết nối sang mạng khác, multicast và năng lực truyền tải như một hệ thống. Đo tải trong trạng thái bình thường và khi mất một phía.

Một số tài liệu hãng dùng chữ HSR cho tính năng khác có tên “High Speed Redundancy”. Hãy ghi đầy đủ IEC 62439-3:2021 High-availability Seamless Redundancy trong RFP và yêu cầu xác nhận tính tương thích theo đúng mã thiết bị giao hàng. Một chữ viết tắt không đủ cho nghiệm thu.

Thời gian khôi phục chỉ là một tầng của tính sẵn sàng

Ghi ít nhất bốn mốc: lúc đường vật lý hỏng, lúc đường dự phòng dùng được, lúc PLC hoặc SCADA lại nhận dữ liệu hợp lệ, và lúc sản xuất cùng chất lượng trở về bình thường. Chuyển tuyến nhanh vẫn có thể kéo theo TCP reconnect, PLC timeout, HMI refresh, MES replay hoặc tái đồng bộ đồng hồ. Gộp tất cả vào “thời gian chuyển mạch” khiến các báo giá không thể so sánh thực chất.

Chọn chỉ số theo ứng dụng. Với I/O từ xa, đếm chu kỳ cập nhật mất và thay đổi trạng thái PLC. Với kiểm tra ảnh, đếm khung ảnh mất và sản phẩm phải cách ly. Với thu thập dữ liệu, xem số thứ tự thiếu và hoàn tất phát lại. Với truy xuất nguồn gốc, kiểm tra thứ tự, trùng bản ghi và timestamp. Với SCADA, kiểm tra lịch sử cảnh báo và khả năng quan sát của người vận hành. Giới hạn phải xuất phát từ đánh giá rủi ro công đoạn, không sao chép default của nhà cung cấp.

PRP/HSR nhân đôi khung nên cần tính băng thông và vị trí loại khung trùng. MRP/RSTP cũng có thể dồn toàn bộ tải sang tuyến hẹp hơn sau lỗi. Mô hình hóa cả tải bình thường và tải đỉnh có thể xảy ra khi một lỗi, gồm video, sao lưu, multicast và burst điều khiển. Đo hàng đợi và sử dụng cổng thay vì chỉ nhìn tốc độ danh định.

Thiết kế PTP và QoS song song với dự phòng

Nếu quy trình dựa vào timestamp chính xác, dữ liệu đến liên tục vẫn vô ích khi đồng hồ không ổn định. Với PTP hoặc IEEE 802.1AS, hãy ghi grandmaster, boundary/transparent clock, độ bất đối xứng trễ từng tuyến, hành vi khi chuyển và holdover. IEEE 802.1AS đề cập duy trì đồng bộ trong hoạt động bình thường cũng như khi thành phần mạng được thêm, bỏ hoặc hỏng. Vì vậy phải thử offset và tái đồng bộ sau lỗi, không chỉ ping. Xem thêm hướng dẫn đồng bộ PTP cho nhà máy.

QoS không phải nút bấm tự bảo vệ lưu lượng điều khiển. Phân loại, trust boundary, ánh xạ 802.1p/DSCP, hàng đợi, shaping, policing và multicast phải thống nhất trên mọi hop. IEEE 802.1Qbv xếp lịch truyền dựa trên thời gian từ 802.1AS. Nếu triển khai, phải xác minh sản phẩm và profile sẽ làm gì khi chất lượng thời gian giảm. Nhãn “TSN capable” thiếu tên profile, endpoint, công cụ cấu hình và trường hợp thử chưa phải đặc tả kỹ thuật.

Mẫu bằng chứng nghiệm thu khi một phía hỏng

Đây là mẫu bảng, không phải ngưỡng số áp dụng chung. Điền giới hạn theo phân tích công đoạn và tách điều kiện bình thường với điều kiện lỗi.

Đèn “đã đồng bộ” không phải đủ bằng chứng; phải xem dữ liệu chất lượng có timestamp để phát hiện đảo thứ tự hoặc bước nhảy thời gian. Ngược lại, không ép dùng giải pháp seamless đắt tiền cho dữ liệu có thể đệm và phát lại an toàn.

Tách tuyến vật lý, nguồn điện và thiết bị

Hai đường logic nhập vào cùng một máng cáp có thể mất cùng lúc do xe nâng hoặc cháy cục bộ. Với nhà máy Thái đang hoạt động, khảo sát chỗ trống trong máng, tuyến giữa các tòa, lối tiếp cận an toàn, bụi, nhiệt, rung, không gian tủ và thời gian dừng được phép. Tuyến A/B trên bản vẽ phải khớp nhãn thực và danh mục tài sản.

Switch có hai đầu vào điện không tạo dự phòng nguồn nếu cả hai nối cùng aptomat. Xác minh nguồn độc lập, thời gian UPS duy trì, giám sát, phân tách aptomat và quy trình thay thế. PLC hai đường vẫn có thể còn CPU, I/O, actuator, nguồn thời gian hoặc server tầng trên là điểm lỗi duy nhất. Quản lý bản vẽ và mã thử riêng cho network, power, controller và application redundancy.

Khả năng bảo trì là một phần của availability. Khi cập nhật một phía, phải chứng minh phía còn lại chịu tải đã thỏa thuận. Cập nhật sai cùng lúc hai phía khiến cáp tách biệt cũng không cứu được. Đưa phê duyệt thay đổi, so sánh cấu hình, backup, rollback và thay vật tư vào hồ sơ bàn giao.

Năm câu hỏi chọn phương án cho nhà máy Thái

Một: cần bảo vệ chu kỳ điều khiển, sản xuất liên tục, tầm nhìn giám sát hay tính toàn vẹn dữ liệu? Hai: giao thức công nghiệp và tính năng dự phòng mà từng endpoint thực sự hỗ trợ là gì? Ba: phạm vi chỉ là một cáp hay còn switch, nguồn và máng chung? Bốn: nhà máy có thể chi trả và vận hành hai tuyến độc lập thật không? Năm: có thể thử ứng dụng thực trong FAT/SAT không? Trả lời xong mới thu hẹp lựa chọn thiết bị.

Vòng PROFINET hiện hữu chấp nhận gián đoạn ngắn có thể xem xét MRP. Nếu không chấp nhận, đánh giá MRPD hoặc thiết kế controller/ứng dụng khác theo trường hợp. Mạng giám sát tầng trên nhiều hãng có cơ chế phát lại có thể hợp RSTP. Nếu khung phải vượt qua lỗi một phần tử mạng thuộc phạm vi mà không đợi hội tụ và có thể xây hai LAN độc lập, hãy đánh giá PRP. Với endpoint vòng tương thích và ranh giới kết nối rõ, đánh giá HSR. Không phương án nào tự nhân đôi PLC hay nguồn cấp.

Khi các phương án gặp nhau ở gateway hoặc RedBox, xem điểm đó có trở thành single point of failure không. “Hỗ trợ dự phòng” có thể chỉ nói về cổng, giao thức, nguồn, CPU hoặc license. Yêu cầu ma trận tương thích theo đúng part number và firmware giao hàng, rồi thử các phiên bản đó.

Chín điều khoản cần có trong RFP

1. Công đoạn được bảo vệ: Liệt kê dây chuyền, PLC, HMI, I/O từ xa, SCADA, MES, thiết bị bảo trì và hành vi an toàn khi mất truyền thông.
2. Mô hình lỗi: Phân biệt đứt link, switch dừng, mất điện, transceiver lỗi, bảo trì một phía và khôi phục; nêu xử lý lỗi chung/nhiều lỗi.
3. Tiêu chí ứng dụng: Đặt điểm đo và giới hạn cho chu kỳ, watchdog, alarm, bản ghi chất lượng, replay và sai lệch đồng hồ.
4. Phương án và tương thích: Ghi phiên bản tiêu chuẩn, thiết bị, firmware, cấu hình, gateway, giới hạn vòng hoặc LAN kép.
5. Tách biệt vật lý và điện: Đối chiếu tuyến A/B, tủ, switch, aptomat, UPS, nối đất, nhãn và tiếp cận bảo trì với khảo sát.
6. PTP/QoS: Nêu nguồn giờ, profile, ưu tiên, queue, hành vi khi lỗi, tải thử và chỉ số giám sát.
7. An ninh: Nêu ranh giới OT/IT, lưu lượng cho phép, quyền quản trị, bảo vệ cấu hình, log và quyền thay đổi. NIST SP 800-82 Rev.3 là nguồn tham khảo chính cân nhắc độ tin cậy và an toàn OT.
8. FAT/SAT: Hợp đồng hóa bước tạo lỗi, tải đại diện, bằng chứng có thời gian, đạt/trượt, thử lại, cửa sổ dừng và rollback.
9. Bàn giao: Gồm bản vẽ hoàn công, cấu hình, sổ IP/VLAN/port, vật tư, alarm, runbook phục hồi, đào tạo và đầu mối hỗ trợ.

So sánh báo giá theo thiết bị, thi công tuyến thứ hai, tủ/điện, license, FAT, SAT ngoài giờ, điều phối dừng máy, đào tạo và bảo trì. Báo giá rẻ không bao gồm fault injection chỉ dời chi phí chứng minh availability về sau. Mức giá chung trong bài sẽ gây hiểu lầm nếu chưa khảo sát nhà máy và định nghĩa cửa sổ dừng.

Câu hỏi giúp nhà cung cấp trả lời cụ thể

Hãy hỏi: “Khi ngắt nguồn switch LAN A này, PLC chỉ định mất bao nhiêu chu kỳ I/O và log nào chứng minh?” Hỏi: “Sau khi grandmaster PTP mất, khi nào terminal chất lượng trở lại offset yêu cầu?” Hỏi hai tuyến dùng chung máng ở đâu và kỹ thuật viên dùng bản backup nào để thay switch. Đưa câu trả lời vào quy trình thử, không để nằm trong biên bản họp.

Trình tự nghiệm thu FAT và SAT

FAT không cần mô phỏng toàn nhà máy, nhưng phải dùng phần cứng/firmware theo hợp đồng, cấu hình switch thật, PLC đại diện, tải và giám sát. Ghi baseline bình thường, rồi lần lượt tạo lỗi một link, mất nguồn switch, nối lại, bảo trì một phía, mất nguồn thời gian và tắc queue. Căn chỉnh counter mạng và sự kiện ứng dụng trên cùng trục thời gian. Nếu sửa cấu hình, ghi phiên bản và thử lại điều kiện tương đương.

SAT phải ưu tiên an toàn và sản xuất. Dùng cửa sổ dừng, bước cô lập và danh sách liên hệ đã duyệt. Không tạo loop hoặc lỗi thứ hai ngoài kế hoạch trên mạng đang chạy. Với lỗi không thể an toàn thử tại hiện trường, kết hợp bằng chứng FAT và kiểm tra tuyến cáp thực. Giá trị của SAT là đo cáp, nguồn, endpoint, uplink và tải sản xuất thực. Đại diện sản xuất, bảo trì, chất lượng, IT/OT và nhà cung cấp nên ký cùng biên bản.

Nếu SAT trượt, chỉ định chủ xử lý, cách vận hành tạm an toàn, hạn sửa và điều kiện thử lại. Tránh tình trạng nhà cung cấp nói “mạng đã đạt” nhưng sản xuất nói “dây chuyền đã dừng” mà không có bốn mốc thời gian và tiêu chí hợp đồng chung. Sau nghiệm thu, xác nhận cảnh báo tới đúng người và lỗi một phía không bị bỏ quên.

Vận hành sau bàn giao và tổng chi phí sở hữu

Dự phòng chỉ có ích khi hấp thụ được lỗi đầu tiên và đội bảo trì biết ngay. Nếu không cảnh báo, nhà máy có thể chạy nhiều tuần trên một đường; lần sửa cáp kế tiếp sẽ lấy đi đường cuối. Biến sự kiện kỹ thuật thành phiếu ghi dây chuyền, phía lỗi, người phụ trách và hạn sửa. Dashboard nên phân biệt bình thường, hỏng một phía, mất khả năng dự phòng, đang sửa và hỏng hai phía. Kiểm tra cảnh báo thực sự tới người trực trong SAT.

Vật tư dự phòng cần gắn mã hàng, firmware, license, bản backup, port map, IP và thao tác thay. Switch trong kho nhưng firmware cũ hoặc không có mật khẩu có thể không gắn vào vòng được. Trong F-05, để kỹ thuật viên tại nhà máy tự thay theo runbook và sửa các bước chưa rõ. Khi cập nhật lần lượt từng phía, phải kiểm tra phía còn lại chịu tải, lưu baseline, duyệt diff, thử alarm rồi mới làm phía thứ hai; chuẩn bị rollback.

Bảng tổng chi phí nên tách thiết bị, cáp/quang, tủ, nguồn, UPS, thiết kế, FAT/SAT, dừng sản xuất, giám sát, bảo trì, vật tư và mở rộng. Chỉ chấp nhận giả định dùng cáp cũ nếu có đo suy hao và xác nhận tuyến. Yêu cầu danh sách loại trừ như PTP, an ninh, kỹ sư hãng máy tham gia và thử ngày nghỉ. Nếu so sánh chi phí trong năm năm, dùng cùng giả định cho thay thiết bị, license, pin UPS, vật tư, giám sát và thử lại. Thiệt hại dừng máy gồm phế phẩm, việc bảo trì và khách hàng; phần chưa thể định giá nên ghi là rủi ro còn lại, không tự tạo số tiền.

Câu hỏi thường gặp về dự phòng mạng công nghiệp

MRP có nhanh hơn RSTP không?

Không có câu trả lời chung cho ứng dụng thực. PI nêu giá trị MRP điển hình, còn RSTP thay đổi theo topology và thiết bị. So sánh gián đoạn và tác động quy trình được đo trên chính hệ thống giao, theo từng loại lỗi. Cần xét đó là vòng PROFINET hay mạng tầng trên pha nhiều hãng.

PRP hoặc HSR có đảm bảo nhà máy không bao giờ dừng không?

Không. IEC 62439-3 nói về xử lý seamless cho lỗi phần tử mạng thuộc phạm vi, không che chắn mọi lỗi controller, điện, phần mềm hoặc tuyến chung. Phải xác minh endpoint và công đoạn trong FAT/SAT.

Vòng dự phòng có tự giữ PTP đúng giờ không?

Không. Độ trễ tuyến, vai trò clock, chức năng cổng và profile đều quan trọng. Đo offset và tái đồng bộ khi bình thường và có lỗi; thiết kế dự phòng nguồn thời gian như yêu cầu riêng.

So sánh báo giá theo tiêu chí nào?

Dùng cùng danh sách lỗi, giới hạn ứng dụng, mức tách biệt tuyến, thiết bị tương thích, thiết kế PTP/QoS, phạm vi FAT/SAT, vật tư và diễn tập phục hồi. Số switch và thời gian trong catalog không đủ để coi là tương đương.

Có thể cải tạo nhà máy đang sản xuất không?

Thường có thể, nhưng phải xác minh bản vẽ, cửa sổ dừng, chỗ cáp/tủ, công suất nguồn và khả năng thiết bị cũ. Thử cấu hình trong môi trường riêng, chuyển từng dây chuyền hoặc tòa nhà và giữ đường rollback. Tránh tự ý tạo lỗi trên mạng sản xuất.

Kết luận: nghiệm thu bằng kết quả quy trình khi có lỗi

MRP và RSTP yêu cầu ứng dụng chịu được gián đoạn đo được khi đổi đường. PRP và HSR hướng tới truyền khung seamless qua lỗi một phần tử mạng thuộc phạm vi. Không phương án nào tự loại bỏ mọi điểm đơn ở cáp, điện, controller, đồng hồ, QoS, bảo trì hoặc nguyên nhân chung. RFP hữu ích cho nhà máy Thái bắt đầu từ mô hình lỗi và kết quả công đoạn, rồi đo cùng tiêu chí trong FAT/SAT.

Ngay cả khi chưa chọn giao thức hay mã hàng, đội dự án có thể kiểm kê tuyến hiện tại, xác định công đoạn không thể dừng và lập bảng nghiệm thu. Nếu đang cân nhắc nâng cấp mạng OT tại Thái Lan, hãy trao đổi các ràng buộc hiện trường với TOMAS TECH.

Nguồn sơ cấp

• PROFIBUS & PROFINET International, PROFINET Planning Redundancy Guideline.
• PROFIBUS & PROFINET International, PROFINET System Description.
• IEC, IEC 62439-3:2021.
• IEEE 802.1, TSN standards and projects.
• IEEE 802.1, 802.1Qbv project description.
• Cisco, Industrial Automation Design and Implementation Guide.
• NIST, SP 800-82 Rev.3.