O que é Protocolo de Redundância Paralela (PRP) e por que ele é importante para o SCADA de subestações?

• O PRP alcança a transição de falha em tempo zero ao enviar dados duplicados por duas redes distintas simultaneamente. Se uma rede falhar, os dados já terão chegado pela outra. Não há atraso na recuperação.

• Nem todos os métodos de redundância são iguais. O RSTP, a alternativa comum, leva centenas de milissegundos para se recuperar. Para sinais de proteção GOOSE da norma IEC 61850, esse intervalo é muito longo. O PRP e o HSR eliminam essa lacuna.

• O PRP funciona com switches Ethernet padrão e não requer a substituição do hardware de rede existente. Isso o torna prático tanto para novas instalações quanto para atualizações em instalações já existentes.

• O zenon oferece suporte ao PRP para o MMS Client e para a comunicação GOOSE, possibilitando a comunicação redundante para os caminhos de dados críticos em um sistema SCADA de subestação.

Uma falha de comunicação durante um problema na rede elétrica pode impedir que os sinais de proteção cheguem ao seu destino, transformando um evento controlável em um incidente grave. A alta disponibilidade no sistema SCADA das subestações é, portanto, um requisito de segurança. Ela é alcançada pela combinação de arquiteturas de servidores redundantes com protocolos de redundância de rede que garantem a manutenção do controle mesmo quando um único componente falhar.

No setor de energia elétrica, uma falha na rede de comunicação não é um simples inconveniente. É um risco à segurança e à confiabilidade. O sistema SCADA deve manter visibilidade e controle contínuos dos equipamentos da subestação, mesmo quando um switch de rede falhar, um cabo for danificado ou um equipamento for desligado para manutenção.

Os protocolos de comunicação utilizados em ambientes de energia são projetados tendo a confiabilidade em mente. O DNP3 foi desenvolvido especificamente para comunicação remota em links de baixa largura de banda ou propensos a interrupções, utilizando relatórios acionados por eventos e sondagens de integridade para garantir a entrega dos dados. A norma IEC 60870-5-101/104 oferece robustez semelhante para aplicações de telecontrole. A norma IEC 61850, amplamente adotada para automação de subestações, define serviços de comunicação de alta velocidade para proteção e controle. Esses protocolos incorporam mecanismos para detectar e gerenciar problemas de comunicação dentro da própria troca de dados.

No entanto, a confiabilidade no nível do protocolo, por si só, não é capaz de compensar uma falha na rede. Se o caminho físico ou lógico da rede entre os dispositivos for interrompido, os dados da aplicação não poderão fluir, independentemente da robustez do protocolo. É nesse ponto que a redundância de rede se torna essencial. Uma subestação deve ser capaz de suportar a falha de qualquer componente individual da rede — seja um switch, um cabo ou uma interface — sem interromper as funções de proteção ou controle.

Para isso, as concessionárias implantam arquiteturas redundantes: vários servidores SCADA, várias interfaces de comunicação Ethernet e caminhos de rede capazes de suportar falhas em componentes individuais. O zenon oferece suporte a isso por meio da operação sincronizada de servidores primário e de reserva. Os servidores primário e de reserva mantêm uma conexão redundante com todos os dispositivos relacionados. Se o servidor primário falhar, o de reserva assume o controle sem perda de dados. O zenon também oferece um modo preventivo chamado “Redundância Nominal”, no qual o sistema monitora métricas específicas e pode acionar uma troca controlada para o servidor de reserva antes que um estado crítico seja atingido.

Servidores redundantes resolvem uma parte do problema de disponibilidade. A outra parte é a própria rede. Se o caminho de comunicação entre o servidor SCADA e os dispositivos da subestação falhar, a redundância do servidor por si só não é suficiente. É aí que entram os protocolos de redundância de rede.

As redes de subestações geralmente utilizam um dos três protocolos de redundância: RSTP, PRP ou HSR. O RSTP reconfigura a rede após uma falha, recuperando-se em centenas de milissegundos. Tanto o PRP quanto o HSR oferecem failover instantâneo, enviando quadros de dados duplicados por caminhos separados simultaneamente, garantindo que não haja perda de dados durante uma falha na rede.

Três métodos de redundância são comumente discutidos na automação de subestações:

• O RSTP (Rapid Spanning Tree Protocol) cria uma estrutura em árvore lógica em todos os switches. Quando uma falha é detectada, a rede se reconfigura para usar um caminho de backup. A recuperação ocorre normalmente em poucas centenas de milissegundos. Para muitas aplicações industriais, isso é suficiente. Para sinais de proteção de subestações que trafegam via GOOSE da norma IEC 61850, talvez não seja. As mensagens GOOSE devem chegar em milissegundos para coordenar funções de proteção, como disparo e intertravamento. O RSTP também pode ser usado em combinação com a agregação de links para melhorar o desempenho, mas não alcança o comportamento de tempo de recuperação zero esperado para as funções mais críticas.

• O PRP (Parallel Redundancy Protocol) adota uma abordagem diferente. Em vez de aguardar uma falha e, em seguida, reconfigurar, o PRP impede que a falha tenha qualquer efeito. Ele faz isso duplicando cada quadro de dados e enviando-o simultaneamente por duas redes completamente independentes.

• O HSR (High-availability Seamless Redundancy) alcança o mesmo failover com tempo zero que o PRP, mas utiliza uma topologia em anel em vez de duas redes paralelas. Os dados são enviados em ambas as direções ao redor do anel. Se o anel se romper em qualquer ponto, os dados ainda chegam ao seu destino pela outra direção. O HSR exige que os dispositivos estejam conectados em uma configuração em anel e é menos flexível que o PRP em termos de projeto de rede.

Um dispositivo compatível com PRP possui duas portas de rede, cada uma conectada a uma rede separada. Quando os dados precisam ser enviados, o dispositivo transmite quadros idênticos por ambas as portas ao mesmo tempo. O dispositivo receptor aceita o primeiro quadro a chegar e descarta a duplicata. Se uma rede falhar completamente, os dados ainda chegam pela outra. Não há comutação, nem atraso na reconfiguração, nem perda de dados.

O PRP não requer switches especiais. As duas redes podem utilizar switches Ethernet padrão e podem ser estruturadas de forma idêntica ou diferente. Dispositivos com uma única porta de rede podem ser conectados por meio de uma Caixa de Redundância (RedBox) que fornece acesso a ambas as redes. Isso torna o PRP prático para implementação tanto em novas instalações quanto em atualizações de instalações existentes.

É possível atender aos requisitos da norma IEC 61850 usando uma combinação de RSTP e agregação de links a um custo menor. No entanto, ao executar funções críticas em um sistema SCADA, é amplamente recomendado o uso do PRP ou do HSR para atingir os tempos de failover de rede necessários. O PRP, com o uso de duas redes separadas e independentes, oferece benefícios operacionais para a manutenção e é amplamente preferido para soluções que exigem alta disponibilidade

A norma IEC 61850 define serviços de comunicação de alta velocidade para automação de subestações, incluindo mensagens GOOSE que devem ser recebidas em milissegundos. Para atender a esses requisitos, a norma cita o PRP e o HSR como protocolos de redundância. A capacidade do PRP de utilizar switches Ethernet padrão e oferecer suporte a projetos de rede independentes o torna uma opção amplamente adotada para sistemas SCADA em subestações.

A norma IEC 61850 estabelece métodos de comunicação para dispositivos eletrônicos inteligentes (IEDs) em subestações elétricas. Ela define serviços que incluem MMS para comunicação cliente/servidor, GOOSE para mensagens de proteção em alta velocidade e Valores Amostrados para a transmissão de medições digitalizadas. Esses protocolos são executados em redes Ethernet comutadas de alta velocidade para atender aos requisitos de tempo de resposta dos sistemas de proteção.

A norma refere-se ao PRP e ao HSR como os protocolos de redundância para aumentar a resiliência da comunicação. Isso é motivado pela necessidade de tempos de recuperação efetivamente nulos para funções críticas de proteção. As mensagens GOOSE da IEC 61850 devem chegar ao seu destino em milissegundos. Um tempo de recuperação de rede medido em centenas de milissegundos, como no caso do RSTP, significa que sinais de proteção podem ser perdidos durante esse intervalo. O PRP e o HSR eliminam totalmente esse intervalo de recuperação.

Para aplicações SCADA em subestações, a capacidade do PRP de funcionar com switches Ethernet padrão, seu suporte ao projeto de rede independente e sua flexibilidade na integração de dispositivos de porta única existentes fazem dele uma opção amplamente adotada. Ele permite que uma rede seja submetida a manutenção enquanto a outra continua a transportar todo o tráfego sem interrupção.

A Plataforma de Software zenon oferece suporte a sistemas SCADA de alta disponibilidade, combinando redundância de rede PRP com redundância de servidores, monitoramento de comunicação e comutação para fontes alternativas de dados. Essa abordagem integrada garante que os caminhos críticos de comunicação permaneçam operacionais durante falhas na rede, enquanto os recursos automatizados de monitoramento e comutação ajudam a prevenir interrupções antes que elas ocorram.

O zenon oferece suporte ao PRP em todos os seus serviços de comunicação baseados em Ethernet, como a norma IEC 61850, incluindo o MMS Client para aquisição de dados, o MMS Server para fornecimento de dados e o GOOSE para sinalização de proteção. Isso significa que os caminhos críticos de comunicação entre o sistema SCADA e os dispositivos da subestação continuam operando mesmo que um componente da rede falhe. O operador não percebe nenhuma mudança no comportamento do sistema. A falha pode ser investigada e reparada enquanto a subestação permanece totalmente operacional.

Além da redundância no nível da rede, o zenon oferece recursos adicionais para manter a disponibilidade:

• Redundância de servidor. O zenon suporta a operação sincronizada de servidor primário e de reserva com redundância em standby ativo. Se o servidor primário falhar, o de reserva assume o controle sem perda de dados. O modo de Redundância Nominal monitora continuamente a integridade do sistema e pode acionar uma troca preventiva antes que um estado crítico seja atingido.

• Monitoramento de comunicação. Os drivers de protocolo do zenon fornecem estatísticas sobre o estado da conexão e a qualidade dos dados. Quando a comunicação se deteriora, o sistema pode alertar a equipe de manutenção, acionar alarmes ou alternar automaticamente para fontes de dados alternativas. Isso permite que as concessionárias investiguem e resolvam problemas de comunicação durante a operação normal.

• Fontes de dados alternativas. O zenon inclui uma função nativa para alimentar pontos de dados a partir de múltiplas fontes de valores. Se uma fonte de dados primária se tornar não confiável, o sistema pode alternar automaticamente para uma fonte alternativa de acordo com um algoritmo configurável, ajudando a manter a continuidade da operação.

• Conformidade e segurança. O driver cliente IEC 61850 do zenon possui certificação da Edição 2.0 pela TÜV SÜD, confirmando a operação confiável com as funções atuais do protocolo. Para a segurança cibernética, o zenon oferece suporte à criptografia TLS de acordo com a norma IEC 62351-3. Mecanismos de segurança, como criptografia e autenticação, também contribuem para a confiabilidade da comunicação, verificando a integridade dos dados e a autenticidade das entidades que se comunicam.

O Protocolo Simples de Gerenciamento de Rede (SNMP) oferece visibilidade sobre o estado dos dispositivos de rede, como switches, roteadores e firewalls. Ele permite que os operadores monitorem se os dispositivos estão funcionando corretamente, quais portas estão em uso e se ocorreram erros.

O zenon inclui um driver SNMP e pode atuar como um gerenciador SNMP, coletando dados de dispositivos de rede e exibindo-os como variáveis no sistema SCADA. Esses dados podem ser apresentados em gráficos de processo, avaliados em relatórios ou armazenados em arquivos. O zenon também pode acionar alarmes com base nos dados SNMP e intervir automaticamente, se configurado para tal.

Além disso, o zenon pode atuar como um agente SNMP, enviando informações sobre o estado operacional a um gerenciador SNMP de nível superior por meio do zenon Process Gateway. Isso permite que um sistema superordenado monitore o estado operacional do próprio zenon, por exemplo, quando o zenon é utilizado como sistema de controle em uma subestação não tripulada.

O SNMP complementa o PRP e outras medidas de redundância, fornecendo a camada de monitoramento que detecta problemas antes que eles causem falhas. Enquanto o PRP garante que a rede sobreviva a uma falha, o SNMP ajuda as equipes de operações a identificar componentes com desempenho reduzido e a resolvê-los de forma proativa.