Qu'est-ce que le Protocole de redondance parallèle (PRP) et en quoi est-ce important pour les systèmes SCADA des postes électriques ?

• Le protocole PRP permet un basculement instantané en transmettant simultanément des données en double via deux réseaux distincts. Si l'un des réseaux tombe en panne, les données sont déjà parvenues via l'autre. Il n'y a donc aucun délai de reprise.

• Toutes les méthodes de redondance ne se valent pas. Le RSTP, alternative courante, nécessite plusieurs centaines de millisecondes pour se rétablir. Pour les signaux de protection GOOSE conformes à la norme CEI 61850, ce délai est trop long. Le PRP et le HSR comblent cette lacune.

• Le PRP fonctionne avec des commutateurs Ethernet standard et ne nécessite pas le remplacement du matériel réseau existant. Cela le rend pratique aussi bien pour les nouvelles installations que pour les mises à niveau d’installations existantes.

• zenon prend en charge le PRP pour le client MMS et la communication GOOSE, permettant ainsi une communication redondante pour les chemins de données critiques d’un système SCADA de sous-station.

Une défaillance de communication lors d’un incident sur le réseau peut empêcher les signaux de protection d’atteindre leur destination, transformant ainsi un événement gérable en un incident majeur. La haute disponibilité des systèmes SCADA des postes électriques constitue donc une exigence de sécurité. Elle est assurée par la combinaison d’architectures de serveurs redondants et de protocoles de redondance réseau qui garantissent le maintien du contrôle en cas de défaillance d’un composant quelconque.

Dans le secteur de l’électricité, une défaillance du réseau de communication n’est pas un simple désagrément. Il s’agit d’un risque pour la sécurité et la fiabilité. Le système SCADA doit maintenir une visibilité et un contrôle continus des équipements de la sous-station, même en cas de défaillance d’un commutateur réseau, d’endommagement d’un câble ou de mise hors ligne d’un équipement pour maintenance.

Les protocoles de communication utilisés dans les environnements énergétiques sont conçus dans un souci de fiabilité. Le protocole DNP3 a été spécialement développé pour la communication à distance sur des liaisons à faible bande passante ou sujettes à des interruptions ; il utilise des rapports déclenchés par des événements et des sondages d’intégrité pour garantir la transmission des données. La norme CEI 60870-5-101/104 offre une robustesse similaire pour les applications de télécontrôle. La norme CEI 61850, largement adoptée pour l’automatisation des postes électriques, définit des services de communication à haut débit destinés à la protection et au contrôle. Ces protocoles intègrent des mécanismes permettant de détecter et de gérer les problèmes de communication au sein même de l’échange de données.

Cependant, la fiabilité au niveau du protocole ne suffit pas à elle seule à pallier une défaillance du réseau. Si le chemin physique ou logique entre les appareils est interrompu, les données d’application ne peuvent pas circuler, quelle que soit la robustesse du protocole. C’est là que la redondance du réseau devient essentielle. Une sous-station doit être capable de résister à la défaillance de n’importe quel composant du réseau – un commutateur, un câble ou une interface – sans interruption des fonctions de protection ou de contrôle.

Pour y parvenir, les services publics déploient des architectures redondantes : plusieurs serveurs SCADA, plusieurs interfaces de communication Ethernet et des chemins réseau capables de résister aux défaillances de composants individuels. zenon prend cela en charge grâce au fonctionnement synchronisé des serveurs principal et de secours. Les serveurs principal et de secours maintiennent une connexion redondante avec tous les équipements concernés. En cas de défaillance du serveur principal, le serveur de secours prend le relais sans perte de données. zenon prend également en charge un mode préventif appelé « redondance nominale » (Rated Redundancy), dans lequel le système surveille des indicateurs spécifiques et peut déclencher une bascule contrôlée vers le serveur de secours avant qu’un état critique ne soit atteint.

Les serveurs redondants résolvent une partie du problème de disponibilité. L’autre partie concerne le réseau lui-même. Si le chemin de communication entre le serveur SCADA et les équipements de la sous-station tombe en panne, la redondance des serveurs à elle seule ne suffit pas. C’est là qu’interviennent les protocoles de redondance réseau.

Les réseaux de sous-stations utilisent généralement l’un des trois protocoles de redondance suivants : RSTP, PRP ou HSR. Le protocole RSTP reconfigure le réseau après une défaillance, permettant une reprise en quelques centaines de millisecondes. Les protocoles PRP et HSR assurent tous deux un basculement instantané en envoyant simultanément des trames de données en double via des chemins distincts, garantissant ainsi l’absence de perte de données en cas de défaillance du réseau.

Trois méthodes de redondance sont couramment évoquées dans le domaine de l’automatisation des postes électriques :

• Le RSTP (Rapid Spanning Tree Protocol) crée une structure arborescente logique entre tous les commutateurs. Lorsqu’une défaillance est détectée, le réseau se reconfigure pour utiliser un chemin de secours. La reprise s’effectue généralement en quelques centaines de millisecondes. Pour de nombreuses applications industrielles, cela est suffisant. En revanche, cela peut s’avérer insuffisant pour les signaux de protection des postes électriques transitant via le protocole GOOSE de la norme CEI 61850. Les messages GOOSE doivent arriver en quelques millisecondes pour coordonner les fonctions de protection telles que le déclenchement et le verrouillage. Le RSTP peut également être utilisé en combinaison avec l’agrégation de liaisons pour améliorer les performances, mais il ne permet pas d’atteindre le temps de rétablissement nul attendu pour les fonctions les plus critiques.

• Le PRP (Parallel Redundancy Protocol) adopte une approche différente. Au lieu d’attendre une défaillance pour ensuite procéder à une reconfiguration, le PRP empêche la défaillance d’avoir le moindre effet. Pour ce faire, il duplique chaque trame de données et l’envoie simultanément via deux réseaux totalement indépendants.

• Le protocole HSR (High-availability Seamless Redundancy) permet d’obtenir le même basculement instantané que le PRP, mais utilise une topologie en anneau au lieu de deux réseaux parallèles. Les données sont transmises dans les deux sens autour de l’anneau. Si l’anneau est rompu en un point quelconque, les données parviennent tout de même à leur destination depuis l’autre direction. Le protocole HSR nécessite que les périphériques soient connectés selon une configuration en anneau et offre moins de flexibilité que le PRP en termes de conception du réseau.

Un périphérique compatible PRP dispose de deux ports réseau, chacun connecté à un réseau distinct. Lorsqu’il faut envoyer des données, le périphérique transmet des trames identiques via les deux ports simultanément. Le périphérique récepteur accepte la première trame arrivée et rejette la trame en double. Si l’un des réseaux tombe complètement en panne, les données parviennent tout de même via l’autre. Il n’y a ni basculement, ni délai de reconfiguration, ni perte de données.

Le PRP ne nécessite pas de commutateurs spéciaux. Les deux réseaux peuvent utiliser des commutateurs Ethernet standard et être structurés de manière identique ou différente. Les appareils dotés d’un seul port réseau peuvent être connectés via un boîtier de redondance (RedBox) qui permet d’accéder aux deux réseaux. Cela rend le PRP facile à mettre en œuvre aussi bien dans les nouvelles installations que dans les mises à niveau d’installations existantes.

Il est possible de répondre aux exigences de la norme CEI 61850 en combinant le protocole RSTP et l’agrégation de liaisons, à moindre coût. Cependant, lors de l’exécution de fonctions critiques sur un système SCADA, il est largement recommandé d’utiliser le PRP ou le HSR pour atteindre les temps de basculement réseau requis. Le PRP, grâce à l’utilisation de deux réseaux distincts et indépendants, offre des avantages opérationnels en matière de maintenance et est largement privilégié pour les solutions nécessitant une haute disponibilité

La norme CEI 61850 définit des services de communication à haut débit destinés à l'automatisation des postes électriques, notamment la messagerie GOOSE dont les messages doivent être transmis en quelques millisecondes. Pour répondre à ces exigences, la norme fait référence aux protocoles PRP et HSR en tant que protocoles de redondance. La capacité du protocole PRP à utiliser des commutateurs Ethernet standard et à prendre en charge des architectures réseau indépendantes en fait un choix largement adopté pour les systèmes SCADA des postes électriques.

La norme CEI 61850 établit les méthodes de communication pour les dispositifs électroniques intelligents (IED) dans les postes électriques. Elle définit des services tels que le MMS pour la communication client/serveur, le GOOSE pour la messagerie de protection à haut débit, et les valeurs échantillonnées pour la transmission de mesures numérisées. Ces protocoles fonctionnent sur un réseau Ethernet commuté à haut débit afin de répondre aux exigences de temps de réponse des systèmes de protection.

La norme fait référence aux protocoles PRP et HSR comme protocoles de redondance visant à renforcer la résilience des communications. Cette exigence découle de la nécessité d’obtenir des temps de reprise pratiquement nuls pour les fonctions de protection critiques. Les messages GOOSE de la norme CEI 61850 doivent atteindre leur destination en quelques millisecondes. Un temps de rétablissement du réseau de l’ordre de plusieurs centaines de millisecondes, comme c’est le cas avec le RSTP, signifie que des signaux de protection peuvent être perdus pendant cette fenêtre. Les protocoles PRP et HSR éliminent totalement cette fenêtre de rétablissement.

Pour les applications SCADA des sous-stations, la capacité du PRP à fonctionner avec des commutateurs Ethernet standard, sa prise en charge d’une conception de réseau indépendante et sa flexibilité dans l’intégration de dispositifs à port unique existants en font un choix largement adopté. Il permet d’intervenir sur un réseau à des fins de maintenance tandis que l’autre continue à acheminer tout le trafic sans interruption.

La plateforme logicielle zenon prend en charge les systèmes SCADA à haute disponibilité en combinant la redondance réseau PRP avec la redondance des serveurs, la surveillance des communications et la commutation vers des sources de données alternatives. Cette approche intégrée garantit que les voies de communication critiques restent opérationnelles en cas de défaillance du réseau, tandis que les fonctionnalités de surveillance et de basculement automatisées permettent de prévenir les interruptions avant qu’elles ne se produisent.

zenon prend en charge le protocole PRP pour l’ensemble de ses services de communication basés sur Ethernet, tels que la norme CEI 61850 (notamment le client MMS pour l’acquisition de données, le serveur MMS pour la fourniture de données et le protocole GOOSE pour la signalisation de protection). Cela signifie que les voies de communication critiques entre le système SCADA et les équipements de la sous-station continuent de fonctionner même en cas de défaillance d’un composant du réseau. L’opérateur ne constate aucun changement dans le comportement du système. La panne peut être analysée et réparée tandis que la sous-station reste pleinement opérationnelle.

Au-delà de la redondance au niveau du réseau, zenon offre des fonctionnalités supplémentaires pour garantir la disponibilité :

• Redondance des serveurs. zenon prend en charge le fonctionnement synchronisé d’un serveur principal et d’un serveur de secours avec redondance en veille active. En cas de défaillance du serveur principal, le serveur de secours prend le relais sans perte de données. Le mode de redondance nominale surveille en permanence l’état du système et peut déclencher une bascule préventive avant qu’un état critique ne soit atteint.

• Surveillance des communications. Les pilotes de protocole zenon fournissent des statistiques sur l’état des connexions et la qualité des données. En cas de dégradation des communications, le système peut alerter le personnel de maintenance, déclencher des alarmes ou basculer automatiquement vers des sources de données alternatives. Cela permet aux services publics d’analyser et de résoudre les problèmes de communication pendant le fonctionnement normal.

• Sources de données alternatives. zenon intègre une fonction native permettant d’alimenter les points de données à partir de plusieurs sources. Si une source de données principale devient peu fiable, le système peut basculer automatiquement vers une source alternative selon un algorithme configurable, contribuant ainsi à maintenir la continuité de l’exploitation.

• Conformité et sécurité. Le pilote client IEC 61850 de zenon est certifié « Édition 2.0 » par TÜV SÜD, ce qui confirme son fonctionnement fiable avec les fonctions actuelles du protocole. En matière de cybersécurité, zenon prend en charge le chiffrement TLS conformément à la norme CEI 62351-3. Les mécanismes de sécurité tels que le chiffrement et l’authentification contribuent également à la fiabilité des communications en vérifiant l’intégrité des données et l’authenticité des entités communicantes.

Le protocole SNMP (Simple Network Management Protocol) offre une visibilité sur l'état de santé des périphériques réseau tels que les commutateurs, les routeurs et les pare-feu. Il permet aux opérateurs de vérifier si les périphériques fonctionnent correctement, quels ports sont utilisés et si des erreurs se sont produites.

zenon intègre un pilote SNMP et peut faire office de gestionnaire SNMP, en collectant les données des équipements réseau et en les affichant sous forme de variables au sein du système SCADA. Ces données peuvent être représentées dans des graphiques de processus, analysées dans des rapports ou stockées dans des archives. zenon peut également déclencher des alarmes sur la base des données SNMP et intervenir automatiquement s’il est configuré à cet effet.

De plus, zenon peut agir en tant qu’agent SNMP, en envoyant des informations sur l’état de fonctionnement à un gestionnaire SNMP de niveau supérieur via la passerelle de processus zenon. Cela permet à un système de niveau supérieur de surveiller l’état de fonctionnement de zenon lui-même, par exemple lorsque zenon est utilisé comme système de contrôle dans une sous-station sans personnel.

Le protocole SNMP complète le PRP et d’autres mesures de redondance en fournissant une couche de surveillance qui détecte les problèmes avant qu’ils ne provoquent des pannes. Alors que le PRP garantit la survie du réseau en cas de panne, le SNMP aide les équipes d’exploitation à identifier les composants défaillants et à y remédier de manière proactive.