Was ist ein Parallel Redundancy Protocol und warum ist es für SCADA-Systeme in Umspannwerken von Bedeutung?

• Das Parallel Redundancy Protocol (PRP) ermöglicht ein Failover ohne Zeitverzögerung, indem doppelte Daten gleichzeitig über zwei getrennte Netzwerke gesendet werden. Fällt ein Netzwerk aus, sind die Daten bereits über das andere angekommen. Es entsteht keine Verzögerung bei der Wiederherstellung.

• Nicht alle Redundanzverfahren sind gleich. RSTP, die gängige Alternative, benötigt Hunderte von Millisekunden für die Wiederherstellung. Für GOOSE-Schutzsignale nach IEC 61850 ist dieses Zeitfenster zu lang. PRP und HSR schließen diese Lücke.

• Ein Parallel Redundancy Protocol funktioniert mit Standard-Ethernet-Switches und erfordert keinen Austausch der vorhandenen Netzwerkhardware. Dadurch eignet es sich sowohl für Neubauten als auch für Modernisierungen bestehender Anlagen.

• zenon unterstützt PRP für den MMS-Client und die GOOSE-Kommunikation und ermöglicht so eine redundante Kommunikation für die kritischen Datenpfade in einem SCADA-System einer Schaltanlage.

Ein Kommunikationsausfall während einer Netzstörung kann dazu führen, dass Schutzsignale ihr Ziel nicht erreichen, wodurch aus einem beherrschbaren Ereignis ein schwerwiegender Vorfall wird. Eine hohe Verfügbarkeit im SCADA-System von Umspannwerken ist daher eine Sicherheitsanforderung. Diese wird durch die Kombination redundanter Serverarchitekturen mit Netzwerk-Redundanzprotokollen erreicht, die sicherstellen, dass die Steuerung auch bei Ausfall einer einzelnen Komponente aufrechterhalten bleibt.

Im Stromsektor ist ein Ausfall des Kommunikationsnetzwerks keine bloße Unannehmlichkeit. Er stellt ein Risiko für Sicherheit und Zuverlässigkeit dar. Das SCADA-System muss die kontinuierliche Überwachung und Steuerung der Umspannwerksanlagen gewährleisten, selbst wenn ein Netzwerk-Switch ausfällt, ein Kabel beschädigt ist oder ein Gerät zu Wartungszwecken vom Netz genommen wird.

Die in Energieumgebungen verwendeten Kommunikationsprotokolle sind auf Zuverlässigkeit ausgelegt. DNP3 wurde speziell für die Fernkommunikation über Verbindungen mit geringer Bandbreite oder unterbrechungsanfällige Verbindungen entwickelt und nutzt ereignisgesteuerte Meldungen sowie Integritätsabfragen, um die Datenübertragung sicherzustellen. IEC 60870-5-101/104 bietet eine ähnliche Robustheit für Fernsteuerungsanwendungen. IEC 61850, das in der Umspannwerksautomatisierung weit verbreitet ist, definiert Hochgeschwindigkeits-Kommunikationsdienste für Schutz und Steuerung. Diese Protokolle beinhalten Mechanismen zur Erkennung und Bewältigung von Kommunikationsproblemen innerhalb des Datenaustauschs selbst.

Die Zuverlässigkeit auf Protokollebene allein kann jedoch einen Netzwerkausfall nicht kompensieren. Wenn der physische oder logische Netzwerkpfad zwischen den Geräten unterbrochen wird, können die Anwendungsdaten nicht übertragen werden, unabhängig davon, wie robust das Protokoll ist. Hier wird Netzwerkredundanz unerlässlich. Ein Umspannwerk muss in der Lage sein, den Ausfall einer einzelnen Netzwerkkomponente – sei es ein Switch, ein Kabel oder eine Schnittstelle – ohne Unterbrechung der Schutz- oder Steuerungsfunktionen zu überstehen.

Um dies zu erreichen, setzen Energieversorger redundante Architekturen ein: mehrere SCADA-Server, mehrere Ethernet-Kommunikationsschnittstellen und Netzwerkpfade, die den Ausfall einzelner Komponenten überstehen können. zenon unterstützt dies durch den synchronisierten Betrieb von Primär- und Standby-Servern. Der Primär- und der Standby-Server unterhalten eine redundante Verbindung zu allen zugehörigen Geräten. Fällt der Primärserver aus, übernimmt der Standby-Server ohne Datenverlust. zenon unterstützt zudem einen präventiven Modus namens „Rated Redundancy“, bei dem das System bestimmte Kennzahlen überwacht und eine kontrollierte Umschaltung auf den Standby-Server auslösen kann, bevor ein kritischer Zustand erreicht wird.

Redundante Server lösen einen Teil des Verfügbarkeitsproblems. Der andere Teil betrifft das Netzwerk selbst. Wenn der Kommunikationspfad zwischen dem SCADA-Server und den Geräten der Umspannstation ausfällt, reicht die Serverredundanz allein nicht aus. Hier kommen Netzwerk-Redundanzprotokolle ins Spiel.

In Umspannwerksnetzwerken kommen in der Regel eines von drei Redundanzprotokollen zum Einsatz: RSTP, PRP oder HSR. RSTP konfiguriert das Netzwerk nach einem Ausfall neu und stellt den Betrieb innerhalb von wenigen hundert Millisekunden wieder her. Sowohl PRP als auch HSR ermöglichen eine Failover-Zeit von null, indem sie doppelte Datenrahmen gleichzeitig über separate Pfade senden und so sicherstellen, dass bei einem Netzwerkausfall keine Daten verloren gehen.

In der Umspannwerksautomatisierung werden üblicherweise drei Redundanzverfahren diskutiert:

• RSTP (Rapid Spanning Tree Protocol) erstellt eine logische Baumstruktur über alle Switches hinweg. Wird ein Ausfall erkannt, konfiguriert sich das Netzwerk neu, um einen Ausweichpfad zu nutzen. Die Wiederherstellung erfolgt in der Regel innerhalb weniger hundert Millisekunden. Für viele industrielle Anwendungen ist dies ausreichend. Für Schutzsignale in Umspannwerken, die über IEC 61850 GOOSE übertragen werden, ist dies jedoch möglicherweise nicht der Fall. GOOSE-Nachrichten müssen innerhalb von Millisekunden eintreffen, um Schutzfunktionen wie Auslösung und Verriegelung zu koordinieren. RSTP kann auch in Kombination mit Link-Aggregation eingesetzt werden, um die Leistung zu verbessern, erreicht jedoch nicht das für die kritischsten Funktionen erwartete Verhalten ohne Wiederherstellungszeit.

• PRP (Parallel Redundancy Protocol) verfolgt einen anderen Ansatz. Anstatt auf einen Ausfall zu warten und anschließend eine Neukonfiguration durchzuführen, verhindert PRP, dass der Ausfall überhaupt Auswirkungen hat. Dies geschieht, indem jeder Datenrahmen dupliziert und gleichzeitig über zwei völlig unabhängige Netzwerke gesendet wird.

• HSR (High-availability Seamless Redundancy) erreicht denselben Failover ohne Wiederherstellungszeit wie PRP, nutzt jedoch eine Ringtopologie anstelle von zwei parallelen Netzwerken. Die Daten werden in beide Richtungen um den Ring herum gesendet. Wenn der Ring an einer beliebigen Stelle unterbrochen wird, erreichen die Daten ihr Ziel dennoch aus der anderen Richtung. HSR erfordert, dass die Geräte in einer Ringkonfiguration verbunden sind, und ist hinsichtlich des Netzwerkdesigns weniger flexibel als PRP.

Ein PRP-fähiges Gerät verfügt über zwei Netzwerkanschlüsse, die jeweils mit einem separaten Netzwerk verbunden sind. Wenn Daten gesendet werden müssen, überträgt das Gerät identische Frames gleichzeitig über beide Anschlüsse. Das empfangende Gerät akzeptiert den zuerst eintreffenden Frame und verwirft den doppelten. Wenn ein Netzwerk vollständig ausfällt, kommen die Daten dennoch über das andere an. Es gibt keine Umschaltung, keine Verzögerung durch Neukonfiguration und keinen Datenverlust.

Ein Parallel Redundancy Protocol erfordert keine speziellen Switches. Die beiden Netzwerke können mit Standard-Ethernet-Switches betrieben werden und identisch oder unterschiedlich aufgebaut sein. Geräte mit nur einem Netzwerkanschluss können über eine Redundancy Box (RedBox) angeschlossen werden, die den Zugang zu beiden Netzwerken ermöglicht. Dadurch lässt sich PRP sowohl in Neubauten als auch bei Modernisierungen bestehender Anlagen (Brownfield-Upgrades) praktisch umsetzen.

Es ist möglich, die Anforderungen der Norm IEC 61850 durch eine Kombination aus RSTP und Link-Aggregation zu geringeren Kosten zu erfüllen. Bei der Ausführung kritischer Funktionen in einem SCADA-System wird jedoch allgemein empfohlen, PRP oder HSR zu verwenden, um die erforderlichen Netzwerk-Failover-Zeiten zu erreichen. PRP bietet durch die Nutzung von zwei getrennten, unabhängigen Netzwerken betriebliche Vorteile für die Wartung und wird häufig für Lösungen bevorzugt, die eine hohe Verfügbarkeit erfordern.

Die Norm IEC 61850 definiert Hochgeschwindigkeits-Kommunikationsdienste für die Automatisierung von Umspannwerken, darunter GOOSE-Nachrichten, die innerhalb von Millisekunden ankommen müssen. Um diese Anforderungen zu erfüllen, verweist die Norm auf PRP und HSR als Redundanzprotokolle. Die Fähigkeit von PRP, Standard-Ethernet-Switches zu nutzen und unabhängige Netzwerkkonzepte zu unterstützen, macht es zu einer weit verbreiteten Wahl für SCADA-Systeme in Schaltanlagen.

Die Norm IEC 61850 legt Kommunikationsverfahren für intelligente elektronische Geräte (IEDs) in elektrischen Schaltanlagen fest. Er definiert Dienste wie MMS für die Client-Server-Kommunikation, GOOSE für Hochgeschwindigkeits-Schutzmeldungen und Sampled Values für die Übertragung digitalisierter Messwerte. Diese Protokolle laufen über ein Hochgeschwindigkeits-Switched-Ethernet, um die Anforderungen an die Reaktionszeiten von Schutzsystemen zu erfüllen.

Der Standard verweist auf PRP und HSR als Redundanzprotokolle zur Verbesserung der Kommunikationsausfallsicherheit. Dies ergibt sich aus der Notwendigkeit von Wiederherstellungszeiten, die für kritische Schutzfunktionen praktisch bei Null liegen müssen. IEC-61850-GOOSE-Nachrichten müssen ihr Ziel innerhalb von Millisekunden erreichen. Eine Netzwerkwiederherstellungszeit im Bereich von Hunderten von Millisekunden, wie sie beispielsweise bei RSTP auftritt, bedeutet, dass Schutzsignale während dieses Zeitfensters verloren gehen können. PRP und HSR eliminieren dieses Wiederherstellungsfenster vollständig.

Für SCADA-Anwendungen in Schaltanlagen ist das Parallel Redundancy Protocol aufgrund seiner Kompatibilität mit Standard-Ethernet-Switches, seiner Unterstützung für unabhängige Netzwerkkonzepte und seiner Flexibilität bei der Integration bestehender Ein-Port-Geräte eine weit verbreitete Wahl. Es ermöglicht, Wartungsarbeiten an einem Netzwerk durchzuführen, während das andere den gesamten Datenverkehr ohne Unterbrechung weiterleitet.

Die Softwareplattform zenon unterstützt hochverfügbare SCADA-Systeme durch die Kombination von PRP-Netzwerkredundanz mit Serverredundanz, Kommunikationsüberwachung und Umschaltung auf alternative Datenquellen. Dieser integrierte Ansatz stellt sicher, dass kritische Kommunikationspfade auch bei Netzwerkausfällen betriebsbereit bleiben, während automatisierte Überwachungs- und Umschaltfunktionen dazu beitragen, Störungen zu verhindern, bevor sie auftreten.

zenon unterstützt PRP über alle seine Ethernet-basierten Kommunikationsdienste hinweg, wie beispielsweise IEC 61850 einschließlich MMS-Client für die Datenerfassung, MMS-Server für die Datenbereitstellung und GOOSE für die Schutzsignalisierung. Das bedeutet, dass kritische Kommunikationswege zwischen dem SCADA-System und den Geräten der Schaltanlage auch dann weiter funktionieren, wenn eine Netzwerkkomponente ausfällt. Für den Bediener ändert sich nichts am Systemverhalten. Der Fehler kann untersucht und behoben werden, während das Umspannwerk voll funktionsfähig bleibt.

Über die Redundanz auf Netzwerkebene hinaus bietet zenon zusätzliche Funktionen zur Aufrechterhaltung der Verfügbarkeit:

• Server-Redundanz. zenon unterstützt den synchronisierten Betrieb von Primär- und Standby-Server mit Hot-Standby-Redundanz. Fällt der Primärserver aus, übernimmt der Standby-Server ohne Datenverlust. Der „Rated Redundancy“-Modus überwacht kontinuierlich den Systemzustand und kann eine vorbeugende Umschaltung auslösen, bevor ein kritischer Zustand erreicht wird.

• Kommunikationsüberwachung. Die Protokolltreiber von zenon liefern Statistiken zum Verbindungsstatus und zur Datenqualität. Bei einer Verschlechterung der Kommunikationsqualität kann das System das Wartungspersonal benachrichtigen, Alarme auslösen oder automatisch auf alternative Datenquellen umschalten. Dies ermöglicht es Energieversorgern, Kommunikationsprobleme während des Normalbetriebs zu untersuchen und zu beheben.

• Alternative Datenquellen. zenon verfügt über eine native Funktion zur Einbindung von Datenpunkten aus mehreren Quellen. Wenn eine primäre Datenquelle unzuverlässig wird, kann das System gemäß eines konfigurierbaren Algorithmus automatisch auf eine alternative Quelle umschalten und so zur Aufrechterhaltung der Betriebskontinuität beitragen.

• Konformität und Sicherheit. Der IEC 61850-Client-Treiber von zenon ist vom TÜV SÜD nach Edition 2.0 zertifiziert, was einen zuverlässigen Betrieb mit aktuellen Protokollfunktionen bestätigt. Im Bereich Cybersicherheit unterstützt zenon die TLS-Verschlüsselung gemäß IEC 62351-3. Sicherheitsmechanismen wie Verschlüsselung und Authentifizierung tragen zudem zur Kommunikationszuverlässigkeit bei, indem sie die Datenintegrität und die Authentizität der kommunizierenden Entitäten überprüfen.

Das Simple Network Management Protocol (SNMP) bietet Einblick in den Betriebszustand von Netzwerkgeräten wie Switches, Routern und Firewalls. Es ermöglicht Betreibern zu überwachen, ob Geräte ordnungsgemäß funktionieren, welche Ports belegt sind und ob Fehler aufgetreten sind.

zenon enthält einen SNMP-Treiber und kann als SNMP-Manager fungieren, der Daten von Netzwerkgeräten erfasst und diese als Variablen innerhalb des SCADA-Systems anzeigt. Diese Daten können in Prozessgrafiken dargestellt, in Berichten ausgewertet oder in Archiven gespeichert werden. zenon kann zudem auf Basis von SNMP-Daten Alarme auslösen und bei entsprechender Konfiguration automatisch eingreifen.

Darüber hinaus kann zenon als SNMP-Agent fungieren und Betriebszustandsinformationen über das zenon Process Gateway an einen übergeordneten SNMP-Manager senden. Dies ermöglicht es einem übergeordneten System, den Betriebszustand von zenon selbst zu überwachen, beispielsweise wenn zenon als Steuerungssystem in einem unbemannten Umspannwerk eingesetzt wird.

SNMP ergänzt ein Parallel Redundancy Protocol und andere Redundanzmaßnahmen, indem es eine Überwachungsebene bereitstellt, die Probleme erkennt, bevor sie zu Ausfällen führen. Während PRP sicherstellt, dass das Netzwerk einen Ausfall übersteht, hilft SNMP den Betriebsteams dabei, beeinträchtigte Komponenten zu identifizieren und proaktiv darauf zu reagieren.