CN103124224B - 用于工业控制的多故障容许以太网 - Google Patents

Abstract

通过使用向终端设备提供双重端口的特殊接口来提供故障容许以太网，该双重接口可以在通过丢失来自信标设备的消息来检测故障的情况下，利用同一网络地址交替启用。通过从终端设备到信标设备的路径检查消息来检测在从终端设备到信标设备的方向上的单向网络错误。通过交叉连接最低级的交换机，在不增加终端设备上的端口数目的情况下，通过添加顶级交换机，可以在没有网络中断的情况下适应多个故障。

Description

用于工业控制的多故障容许以太网

技术领域

本发明总体上涉及故障容许电子通信网络，具体地，涉及一种适用于实时工业控制的、迅速操作以纠正当网络部件故障时出现的故障的故障容许网络。

背景技术

工业控制器是提供制造设备和机器以及过程的实时的、高度可靠的控制的专用计算机。典型地，工业控制器执行所存储的程序以通过一组输入/输入（I/O）电路通过连接到工业控制器的传感器读取来自机器或过程的输入。基于这些输入，工业控制器生成通过致动器等控制机器或过程的输出信号。

工业控制系统的部件常常将遍布工厂分布并且因此将在利用专用协议来提供高速操作（以允许实时控制）以确保可靠地和可预测地传送数据的专用通信网络上通信。

如所期望的，工业控制系统的部件可以使用例如公共可用以太网部件的公共网络部件进行互连。该能力可以削减建立和维持网络的成本并且在一些情况下将允许使用现有的网络基础设施。此外，使用诸如以太网的公共网络的能力可以便于与工业控制系统外部的或者控制过程中没有直接牵涉的设备通信。

采用以太网和相似标准网络的一个障碍是它们不容许故障，就是说，少至一个网络部件中的故障就能够使网络失效，这对于其中可靠性是关键的工业控制系统是不可接受的概率。

现有技术提供了增加以太网和相似网络的故障容许的若干方法。第一种方法是使用环形拓扑，其中每个终端设备（节点）通过环连接到其他节点。环中的一个部件或介质片段的故障仍提供每个节点之间的第二路径。缺陷在于不能适应多个故障（例如两个介质片段故障）。

第二种方法使每个节点配备有软件“中间件”，其控制节点针对两个或更多个不同网络中的一个的连接。在部件或介质故障的情况下，中间件改变本地网络接口以使用新的以太网地址在备份网络上传送和接收消息。该方法能够容许多个故障，但是重新配置网络所需的时间可能多达30秒。后一种方法的另一问题在于需要多个独立网络（一个用于主要用途并且一个用于备份），这些网络可能难于维持，不可避免地具有配置和性能上的差异。

在第三种方法中，使用具有两个或更多个冗余网络基础设施的单个网络并且每个设备配备有多个端口，并且每个端口连接到该网络的冗余基础设施。再次地，每个设备中的中间件配备有通过多个基础设施到达网络中的所有其他设备的替选路径。

当网络故障时需要重新配置每个节点，这在根本上限制了在这些方法中纠正网络故障的速度，原因在于需要复杂的软件（中间件）来检测故障以及坐标地址或者路径状态改变，以及与网络上的其他节点通信所需的时间两者。

出于该原因，如通过引用合并于此的受让于本发明的受让人的于2010年10月19日授权的题为“Fault-Tolerant Ethernet Network”的美国专利7,817,538中所述，已开发了第四种方法。该方法使用具有地址相同的多个端口的终端设备。在故障的情况下监视信标信号的硬件系统迅速地切换端口，基本上消除了网络重新学习网络设备的新地址所需的时间。检测到的故障触发了针对其他网络部件的“学习更新”消息，以便于学习网络设备的新路径。

通过增加终端设备上的端口数目，例如从两个增加到三个，可以扩展该方法以处置影响单个终端设备的多个故障。利用三个端口，可以适应两个故障；利用四个端口，可以适应三个故障，等等。作为一个实际问题，向每个终端设备添加额外的端口的额外的硬件成本在超过两个端口的情况下不能证明是合理的。

发明内容

本发明人已确定，通过增加顶级处的关键网络骨干交换机的数目而不必增加终端设备上的端口数目，可以改进网络故障容许。这允许以更加可升级的方式来适应多个故障。此外，本发明人已确定，与信标消息流动方向相反，引起信号的单向损失的故障可以在延伸的时间段中未被检测到，特别是在与终端设备的未使用的端口相关联时。因此，本发明提供了添加“路径检查”协议和/或基于时间间隔而非故障的发生来定期交换活跃和备份端口。因此获得了改进的网络可靠性。

具体地，本发明在一个实施例中提供了一种故障容许工业控制设备，其具有主处理器，提供将在控制设备和工业控制网络之间通信的数据，以及在主处理器和控制设备上的至少两个端口之间通信的网络通信电路。这些端口使用单个MAC地址并且可连接到可以通向不同交换机的工业控制网络的不同的网络介质。在发生影响端口中的第一端口的故障时，通信电路可切换地将主处理器从端口中的第一端口连接到端口中的第二端口而不改变MAC地址。这两个端口可以通过监视来自在工业控制网络上与控制设备通信的至少一个信标设备的规则信号，同时检测网络级故障，而与哪个端口可切换地连接到终端设备无关。网络通信电路定期地向信标设备传送路径检查请求消息并且在预定间隔内未从信标设备接收到响应路径检查响应的情况下触发故障。

因此，本发明的至少一个实施例的特征在于，在该类型的冗余网络中检测单向网络故障。

网络通信电路可以进一步在故障之后从活跃端口传送学习更新信号，该学习更新信号向工业控制网络上的其他设备指示它们的路由表格应被更新。

因此，本发明的至少一个实施例的特征在于，如工业控制情况所需的那样，提供从单向网络故障的极为迅速的恢复。

网络通信电路可以从多个信标设备接收信号并且可以根据预定序列改变接收定期传送的路径检查请求消息的目标信标设备。

因此，本发明的至少一个实施例的特征在于，通过复用路径检查请求消息来解决终端设备对信标的一对多关系，允许检测速度和带宽使用之间的权衡。

网络通信电路可以在未发生故障的情况下定期地在第一端口和第二端口之间切换通信。

因此，本发明的至少一个实施例的特征在于，防止在未使用的端口上发生隐藏的单向网络故障。

网络通信电路可以按照比来自信标设备的规则信号的时段长的时段，定期地传送路径检查请求消息。

因此，本发明的至少一个实施例的特征在于，允许检测速度和带宽使用之间的灵活的调节。

预定间隔可以包括路径检查请求消息的至少两次重复。

因此，本发明的至少一个实施例的特征在于，提供了通过执行多次重试来调整故障级阈值的能力。

网络通信电路包括在端口之间切换的硬件电路。

因此，本发明的至少一个实施例的特征在于，提供了可以在硬件中处置的协议以获得极快的响应速度。

这些特定目的和优点可以应用于在所附权利要求范围内的一些实施例，并且因此并非限定本发明的范围。

附图说明

图1是具有作为以太网上的节点连接的控制器和其他终端设备的工业控制系统的框图，其中每个节点与多个以太网交换机通信；

图2是提供了使用相同地址的两个端口以连接到多个交换机的图1的终端节点使用的通信电路的框图，并且示出了用于在两个端口之间切换的电路；

图3是被配置用于将多个终端设备冗余地连接到顶级处的两个不同的骨干交换机中的每个的以太网的示图；

图4是与图3相似的示图，示出了网络上的单个本地故障；

图5是与图4相似的示图，示出了网络上的单个远程故障；

图6是与图5相似的示图，示出了交换机故障；

图7是与图6相似的示图，示出了骨干交换机之间的互连故障；

图8是与图7相似的示图，示出了影响信标的本地故障；

图9是与图8相似的示图，示出了信标的故障；

图10是与图9相似的示图，示出了多个故障；

图11是示出如在通信电路的硬件中实现的、在故障条件下的图2的网卡的操作的流程图；

图12示出了扩展以上概念以提供多个冗余的与图10相似的片段视图；

图13是与图12相似的示图，示出了用于处置多个故障而不增加终端设备上的输入端口的本发明的系统；

图14是根据示出单向故障的图2或13的网络的信标和终端设备之间的信号链的片段视图；

图15是示出如在通信电路的硬件中实现的、图2的网卡响应于单向故障条件的操作的流程图；以及

图16是示出如在信标设备的电路中实现的、图2的信标响应于单向故障的操作的流程图。

具体实施方式

I.工业控制系统

现在参照图1，工业控制系统10可以包括许多终端设备12a-12e，每个终端设备具有经由以太网接口电路20（图1中未示出）通过独立的网络介质18分别与不同的交换机16a和16b通信的两个连接14a和14b。

如下文将描述的，交换机16、网络介质18和以太网接口电路20一起提供故障容许网络11。

终端设备12a-12e可以是任何工业控制设备，诸如可编程逻辑控制器（终端设备12a）、人机接口（终端设备12b）、标准个人计算机（终端设备12c）、电机控制器（终端设备12d）或者输入/输出机架（终端设备12e）。

每个交换机16a和16b可以是本领域已知类型的标准以太网交换机。就交换机16可以具有以太网多播地址的IGMP侦听和过滤而言，通过本发明该特征可以优选地被禁用以允许这些交换机更迅速地工作。就交换机16可以具有以太网单播地址的“学习”和过滤而言，优选地，交换机可以提供所学习的地址的可配置的老化机制；然而，这不是必需的。

网络介质18可以是例如电缆、光纤或无线传送器/接收器对等。

II.来自美国专利7,817,538的背景

A.故障容许接口电路

现在参照图2，如上文提及的，每个终端设备12可以包括提供针对网络11的剩余部分的两个连接14a和14b的以太网接口电路20。连接14a和14b通过分别接受附接到网络介质18的连接器24a和24b的两个标准物理端口22a和22b来实现。

物理端口22a和22b连接到硬件切换电路26，其诸如可以例如使用现场可编程门阵列（FPGA）和/或专用集成电路（ASIC）来实现，提供端口22a和22b中的一个或者另一个与主微处理器28之间的通信。在这一点上，切换电路26可以包括多线端口选择器32，其根据端口选择器32的状态将来自端口22a或端口22b的数据流切换到主微处理器28。作为切换电路26的一部分的逻辑电路34根据通常检测故障的状态机来控制端口选择器32并且在端口22a和22b之间切换。在任何给定时间，端口选择器32仅启用一个端口22a并且禁用另一端口22b，反之亦然。所有通信仅通过启用端口22流动。

主微处理器28典型地执行实现终端设备12的特定特征的程序。重要地，主微处理器28保存由端口22a和22b中的单个激活端口使用的单个媒体访问控制（MAC）网络地址30，作为当它们被交替启用时的网络地址。

在优选实施例中，当已发生故障或其他重要网络事件时，在逻辑电路34向主微处理器28提供中断之后，主微处理器28授权逻辑电路34在端口22a和22b之间切换。主微处理器28的切换授权需要执行极少的代码，使得主微处理器28可以以小于10微秒的延迟重新配置端口。在该短的切换时间期间，一些分组将丢失，但是较高级的网络协议将正确发挥作用以如同因其他网络错误丢失的分组那样处置这些丢失的分组。在该延迟时段期间将不太可能接收复制的分组，但是如果接收到少量的复制分组，则它们将被较高级的网络协议检测。

仍参照图2，逻辑电路34可以根据故障是以太网接口电路20“本地的”还是“远程的”，借助两个手段来直接检测故障，就是说，与以太网接口电路20隔开至少一个开关16。

为了检测“远程”故障，逻辑电路34优选地包括信标生成器/检测器35，其提供用于在两个端口22a和22b上同时接收信标分组（如将描述的）或者在这样配置时在端口22a和22b中的单个激活端口上传送信标分组的手段。在该模式中，将在两个端口22a和22b处检测到信标分组，不论哪个端口活跃用于数据传输。

通常，当信标生成器/检测器35检测到任何信标分组未能在预先限定的超时时段内从网络中的远程信标到达端口22a或22b中的活跃端口时，未能检测信标分组的特定端口被宣布处于故障模式。在此发生时，逻辑电路34使主微处理器28中断，并且主微处理器28指令逻辑电路34切换到另一端口22（假设其先前未故障）。相似地，当故障端口22再次变为启用时，其可以在逻辑电路34的中断时由主微处理器28恢复。因此一个或更多个信标的正确定位允许每个以太网接口电路20检测远离给定接口电路20及其直接连接的交换机16的远程故障。

逻辑电路34还使用IEEE 802.3标准的机制来检测以太网接口电路20和最近的交换机20之间的“本地”故障。这些故障如同“远程”故障那样被传递到主微处理器28并且按同样的方式进行处理以触发端口22a和22b的改变。

如上文所述，当信标生成器/检测器35被配置成生成器时，其提供信标分组按规则间隔的传送以帮助检测远程故障。使用交换机16被配置成支持的IEEE 802.3优先级标记帧在网络上以最高优先级传送信标分组。

在优选实施例中，生成器/检测器35出于效率的目的组合这两个信标分组生成和信标分组检测的功能，然而，从下面的描述将认识到，信标生成功能可由分离的设备执行。在优选实施例中，切换电路26使用IEEE802.3媒介独立接口（MII）总线与主微处理器28以及端口22a和22b通信。主微处理器28的地址和数据总线允许主微处理器28使用存储器映射寄存器来配置逻辑电路34，并且可以提供中断信号的传送。切换电路26还可以提供多播地址过滤，使得主微处理器28不会被交换机16中的IGMP侦听和过滤的禁用所导致的多播业务所淹没。

B.故障容许网络

现在参照图3，尽管本发明可以与提供至少一些冗余的任何网络拓扑一起工作，但是理想地通过不重叠子树建立网络以获得对称冗余或非对称冗余，其中每个终端设备12使其连接14a和14b中的一个直接连接到如下两个网络基础设施中的不同的网络基础设施中的交换机16：（1）网络基础设施A和（2）网络基础设施B。在每个网络基础设施中可以使用多层交换机16，每个网络基础设施中的所有连接通向形成网络基础设施顶级40的两个交换机16’和16”中的一个或另一个。顶级交换机16’和16”在骨干42上直接彼此通信，骨干42并入了两个或更多个提供根据IEEE802.3Part III“Carrier sense multiple access withcollision detection(CSMA/CD)Access Method and Physical Layer Specifications,2002”的链路聚合功能的链路。通过链路聚合功能，在两个顶级交换机16’和16”之间的链路中共享业务，使得骨干42的一条线路的故障将不会阻碍这种通信。通过该布置，网络基础设施A和网络基础设施B形成单个逻辑网络。

如此描述的网络11提供了网络基础设施A和网络基础设施B两者中的每个终端设备12和交换机16之间的冗余连接，并且通过顶级交换机16’和16”确保了网络基础设施A和网络基础设施B之间的高度可靠的连接。通常交换机16的准确数目和层级将取决于应用需要。本发明考虑到可能构造极大的网络。例如，对于三级交换机，使用每个交换机的八个本地链路加上一个上行链路，可以构造具有大于500个节点的网络，并且通过每个交换机的24个本地链路加上一个上行链路，可以构造具有超过10,000个节点的网络。

在优选实施例中，两个终端设备12’被单独设计成提供信标分组（经由信标生成器/检测器35）并且剩余的终端设备12被配置成检测这样传送的信标分组。传送信标分组的两个终端设备12’优选地在它们的连接14a和14b中的一个的外部传送这些分组，使得来自一个终端设备12’的一组信标分组直接去往顶级交换机16’并且来自另一终端设备12”的另一组信标分组直接去往顶级交换机16”。

如上文所述，信标终端设备12’在网络上定期地广播短信标分组。信标分组传送的周期由信标分组从信标终端设备12’行进到特定网络11的最远终端设备12的最差情况延迟确定。该周期被编程到每个以太网接口电路20中，使得信标检测器可以使用超时测量来确定信标分组已丢失并且宣布端口22a或22b上的故障。通常超时时段略大于最差情况延迟的两倍以预防误触发。例如，对于诸如所示出的三个交换机级的系统，信标时段可以是450微秒并且超时时段是950微秒，略大于两个信标时段。

C.示例故障条件

现在参照图2、4和11，在终端设备12和在网络基础设施A上连接的交换机16之间可能发生单个“本地”故障60。该故障可以位于形成设备12和交换机16之间的连接的介质18中、将介质18连接到交换机16或终端设备12的连接器中或者交换机16或终端设备12的独立的物理层电接口中。在该示例中，将假设终端设备12通过连接14a和端口22a（第一端口）连接到交换机16。

如图11中所示，如在判断块50中指示的，逻辑电路34使用检测这种本地连接故障的标准IEEE 802.3机制来检测该故障60。如处理块52所指示的，故障60的检测使以太网接口电路20向主微处理器28发送中断（由处理块52指示）。在判断块54处，逻辑电路34确定另一端口22b是否也故障（意味着在其和两个顶级交换机之间的某处存在故障），其反映为未能从信标接收信标或本地故障接收信标分组。如果是这样，则在处理块55处报告故障并且网络在双故障条件下故障。

然而，更典型地，逻辑电路34将在判断块54处确定另一端口22b未故障并且如处理块56所指示的，以太网接口电路20将切换到端口22b，同时禁用端口22a。在随后的处理块58处，以太网接口电路20发送出允许由居间交换机学习的短广播学习更新消息。

此时，网络继续与终端设备12一起操作，然而，通过连接14b和端口22b进行通信。如上文所讨论的，如果端口22a将其故障纠正，则可以继续通过端口22a的通信。

现在参照图2、5和11，在第二情况下，故障60可能位于交换机16和顶级交换机16’之间，前者的交换机16服务于许多终端设备12a-12c。如同前文，将假设这些设备12a-12c中的每个在故障时经由其连接14a和端口22a与网络11通信。对于该故障，终端设备12a-12c不能根据判断块50直接检测故障，但是当在预先限定的超时时段内未接收到信标分组时，必须根据判断块62从通常经过交换机16的缺失的信标分组推断远程故障。当检测到该远程故障时，逻辑电路34前往处理块64并且中断被发送到主微处理器28，使得针对每个终端设备12a至12c再次根据处理块54、56和58将端口从端口22a切换到22b。

现在参照图图2、6和11，通过IEEE 802.3标准机制不能根据判断块50将交换机内部的直接连接到终端设备12a、12b和12c的交换机16上的故障检测为本地故障；然而，如上文所述将根据判断块62通过信标分组的丢失来检测该故障。逻辑电路34前往处理块64并且中断被发送到主微处理器28，使得针对每个终端设备12a至12c再次根据处理块54、56和58将端口从端口22a切换到22b。应当注意，如果故障在顶级交换机16’或16”上发生，则所有终端设备12将切换到网络基础设施B并且系统将继续操作。

现在参照图2、7和11，在网络骨干42上可能发生故障60。该故障由作为IEEE 802.3的标准部分的上述链路聚合过程来处置。

现在参照图2、8和11，在信标终端设备12’和骨干的顶级交换机16”之间可能发生单个故障。由于故障位于针对信标终端设备12’和顶级交换机16”的即时链路上，因此信标终端设备12’将根据判断块50立即检测到它并且开始向交换机16’传送。交换机16’将通过交换机16”将信标信号中继到网络基础设施A。

最后，如图2、9和11中所示，与交换机16”通信的信标终端设备12’自身可能故障。然而，由于其他信标终端设备12’仍活跃，因此系统将继续操作而没有任何问题，例如信标分组被从信标终端设备12’传送到交换机16’，随后被传送到交换机16”用于在网络基础设施A上分送。

参照图2、10和11，将根据以上描述理解，本发明能够处置所有单个故障以及所有多个单个故障的组合，如所示出的60a-60f是一个这样的组合。

现在参照图12，出于清楚起见针对两个基础设施A和B描述了本发明；然而，如将根据以上描述理解的，本发明可以容易地扩展到任意数目的网络基础设施，例如，具有顶级交换机16’、16”和16”’以及与每个基础设施划分相关联的三个信标终端设备12’的网络基础设施A、B和C。再次地，该网络11’是单个网络，每个终端设备12具有网络上的唯一地址。对于三个网络基础设施，可以容许所有单个故障，所有两个故障以及所有多个单个和两个故障的组合。

通过这里的描述将理解，交换机16中的多播分组的转发可能受到IGMP侦听和过滤的影响。因此，如果IGMP侦听和过滤被打开，则系统中的交换机16在终端设备改变端口22a和22b的重新配置之后将具有无效的知识。这将使多播分组被转发到错误端口并且重新配置的端口将不接收这些分组。出于该原因，如上文所述，在交换机16中关闭IGMP侦听和过滤。

单播分组受到可能并入到交换机16中的学习和过滤特征的影响。在重新配置（即，从端口22a切换到22b）之后，交换机16将具有无效知识。然而，当在与数据库中存储的学习的端口不同的端口上接收具有源字段中的学习的MAC地址的分组时，正确地实现学习的交换机16将更新其数据库。出于该原因，如上文所述，当终端设备12重新配置其端口时，其根据图11的处理块58发出短广播学习更新消息。其他终端设备对该广播分组没有兴趣并且该广播分组将被放弃。

一些交换机16还提供了关于学习的地址的可配置的老化机制。该特征还可以被用作用于便于迅速重新配置的回退机制。

II.本发明的改进

暂时参照图10，除了先前针对故障60a-60c描述的网络故障之外，由故障60d或60e指示的额外的网络故障可以产生双故障情况，其中给定的终端设备12b不再接收网络通信。

参照图13，通过添加顶级交换机16”’连同在顶级交换机16’、16”和16”’之中的相应的骨干42，可以在不增加终端设备12上的连接14的数目的情况下（如上文讨论的图12中所示）避免该故障模式。因此，顶级交换机16’可以通过骨干42连接到交换机16”和16”’，而交换机16”通过骨干42连接到交换机16’和交换机16”’两者，使得交换机16”’通过骨干42连接到交换机16’和交换机16”。

可以添加额外的信标设备12（也具有两个连接14），提供了三个信标设备12’，每个信标设备12’与不同的交换机16’-16”’对通信。

由直接连接到终端设备12的最低级的交换机16a-16d之间的互连提供避免向终端设备12添加第三端口的能力。这些交换机16a-16d通过连接19成对地彼此交叉连接，使得交换机16a和16b与相互排斥的终端设备12组通信并且彼此通信，并且交换机16c和16d也与相互排斥的终端设备12组通信并且彼此通信。

在图10的示例中，对于终端设备12b可以通过如下数据来适应错误60a-60e，该数据从交换机16”（通过居间交换机16）传递到交换机16a以避免故障60a，并且随后在连接19上传递到交换机16b，其可以传送到正式从网络排除的终端设备12b。在不增加终端设备上的连接14的数目的情况下处置这些多个错误，并且因此极大地降低了实现这种额外的保护级的成本，这允许网络在具有一个错误的情况下继续，并且在出现额外的错误的情况下仍具有恢复的裕度。

现在参照图14，本发明人已认识到，特定的终端设备12a可以从信标12’接收信号，即使在信标12’和终端设备12a之间通信的网络中存在网络故障，条件是该故障仅影响例如在（交换机16”和交换机16b之间的）网络链路18’中的如单向故障60a指示的网络通信的一个方向。由于该单向故障60g仅影响从终端设备12a朝向信标12’传送的网络数据，因此不会引起信标信号的丢失或者另外指示故障。

通常，不需要终端设备12在正常操作期间与信标12通信，然而，该数据流的方向对于在交换机16之间传输的信息是关键的，并且因此未能接收从终端设备12到信标12的数据提供了关于任何两个终端设备12之间的其他关键故障的代理。

因此，除了上文参照图11描述的步骤之外，每个终端设备12可以实现协议步骤（例如，在逻辑电路34的固件中），用于识别这些单向故障60g。就该协议仅可以通过活跃连接14（其可以沿或不沿暴露单向故障60g的路径传递）执行而言，该例程还定期地交换连接14，即使在没有触发故障的情况下。

现在参照图15，在该协议的第一判断块70处，确定提供活跃连接14的定期切换的定时器是否期满，并且如果是这样，则程序前往处理块72并且在连接14a活跃的情况下从连接14a切换到连接14b或者在连接14b活跃的情况下从连接14b切换到连接14a。该定时器的时段典型地比信标信号的时段长得多。

改变活跃连接14的处理块72的切换处理另外与上文描述的在故障情况下的连接14之间的切换相同。具体地，切换将触发由处理块74指示的学习更新分组的发送，其后程序返回到判断块70。如本领域中理解的，学习更新分组指令网络基础设施交换机16、16a-d、16’、16”和16”’更新它们的路由表格以适应与连接14a和14b相关联的不同路径。

如果在判断块70处连接14的活跃时间未期满，则该协议前往处理块76，其中活跃连接14向与其通信的信标设备12中的一个传送“路径检查请求”消息。“路径检查请求”消息可以是预先布置用于指示该功能的任何消息。由于典型地将存在与特定终端设备12通信的多个信标12，因此在处理块76处该协议使用例如轮叫调度技术来选择不同的目标信标设备以定期地接收路径检查请求。

如果如判断块78指示的那样获得来自信标设备12的路径检查响应消息，则程序再次循环回到判断块70。否则，在判断块80处，确定是否已执行预定次数的处理块76的路径检查请求传送的重试。如果不是这样，则程序循环回到判断块70，使得能够执行针对其他信标设备12的额外的重试。另一方面，如果所分配的重试次数已耗尽，则在处理块82处指示错误条件并且如上文所述在处理块72处交换端口。

现在参照图16，如信标12执行的程序83所指示的，将由每个信标设备12执行相似的错误检查协议（例如，在信标设备12的逻辑电路34的固件中）。类似于图15中所示的判断块70，由判断块84指示的该协议的第一步骤检查活跃端口定时器以确定在处理中是否应进行信标设备12的连接14的定期切换。如果连接14应改变，则程序前往处理块86以按照终端设备12的处理块72的方式引发连接14的切换，并且随后前往处理块88以按照与处理块74相似的方式传送学习更新消息，然而，从信标设备12传送。

如果判断块84的活跃端口定时器未期满，则程序前往判断块90以确定是否已从终端设备12接收到路径检查请求。如果是这样，则如处理块92指示的那样传送路径检查响应，并且程序返回判断块84。如果不是这样，则在判断块94处确定在预定时间间隔内是否未接收到路径检查请求。

如果在判断块94中检查的预定时间间隔未期满，则程序回到判断块84，否则如处理块96所示指示故障条件并且程序随后前往前述处理块86和88。

这里使用的某些术语仅用于参考的目的，并且因此不应成为限制。例如，诸如“上（upper）”、“下（lower）”、“上（above）”和“下（below）”指示所参考的图中的方向。诸如“前（front）”、“后（back）”、“后（rear）”、“底（bottom）”和“侧（side）”的术语描述了在一致但任意的参考框架内的部件的各部分的取向，通过参考描述所讨论的部件的文本和相关联的附图使得它们是清楚的。这些术语可以包括上文具体提及的词语，它们的派生词以及相似意思的词语。相似地，除非上下文清楚地指出，否则指示结构的术语“第一”、“第二”和其他这样的数字术语并不意指序列或顺序。

将认识到，归于主处理器和通信电路的许多功能可以在这两个设备之间自由分配，并且事实上这两个设备可以由充分强大的集成电路或微处理器来实现。信标设备的设计可以基本上在硬件上取为终端设备12的镜像。

当介绍本公开的元件或特征以及示例性实施例时，冠词“一个（a、an）”、“该（the）”和“所述（said）”应意指存在一个或更多个这样的元件或特征。术语“包括（comprising）”、“包括（including）”和“具有（having）”应是包含性的，并且意指可能存在除了具体指出的元件或特征之外的额外的元件或特征。应进一步理解，这里描述的方法步骤、过程和操作不应被解释为必须按所讨论或说明的特定顺序执行它们，除非被具体确认为执行顺序。还将理解，可以使用额外的或替选的步骤。

所提到的“微处理器”和“处理器”或者“该微处理器”和“该处理器”可以被理解成包括一个或更多个微处理器，它们能够在独立的和/或分布式环境中通信，并且因此能够被配置成经由有线或无线通信与其他处理器通信，其中这样的一个或更多个处理器可被配置成对作为相似或不同设备的一个或更多个处理器控制的设备进行操作。此外，除非另外说明，否则所提到的存储器可以包括一个或更多个处理器可读和可访问的存储器元件和/或部件，它们可以位于处理器控制的设备内部、处理器控制的设备外部，并且可以经由有线或无线网络对它们进行访问。

具体地，本发明不应限于这里包含的实施例和说明，并且权利要求应被理解为包括这些实施例的修改形式，其包括所附权利要求范围内的实施例的各部分以及不同实施例的元件的组合。这里描述的所有公布文献（包括专利和非专利文献）的整体内容通过引用合并于此。

Claims (18)

1.一种故障容许工业控制设备，包括：

主处理器，提供将在所述控制设备和工业控制网络之间通信的数据；

网络通信电路，在所述主处理器和所述控制设备上的至少两个端口之间通信，所述端口使用单个MAC地址并且能够连接到通向不同交换机的所述工业控制网络的不同的网络介质，在发生影响所述端口中的第一端口的故障时，所述通信电路能够切换地将所述主处理器从所述端口中的第一端口连接到所述端口中的第二端口而不改变所述MAC地址；

其中这两个端口通过监视来自在所述工业控制网络上与所述控制设备通信的至少一个信标设备的规则信标消息来检测网络级故障；

其中所述网络通信电路进一步定期地向目标信标设备传送路径检查请求消息，所述网络通信电路从多个信标设备接收信标消息，所述网络通信电路根据预定序列，将接收被定期传送的路径检查请求消息的所述目标信标设备改变为所述多个信标设备之一，并且所述网络通信电路在预定间隔内未从所述目标信标设备接收到路径检查响应的情况下触发故障。

2.根据权利要求1所述的故障容许工业控制设备，其中所述网络通信电路进一步在故障之后从活跃端口传送广播学习更新消息，所述学习更新消息向所述工业控制网络上的其他设备指示它们的路由表格应被更新。

3.根据权利要求1所述的故障容许工业控制设备，其中所述网络通信电路在未发生故障的情况下定期地在所述第一端口和所述第二端口之间切换通信。

4.根据权利要求1所述的故障容许工业控制设备，其中所述网络通信电路按照比来自信标设备的规则信标消息的时段长的时段，定期地传送所述路径检查请求消息。

5.根据权利要求1所述的故障容许工业控制设备，其中所述预定间隔包括所述路径检查请求消息的至少两次重复。

6.根据权利要求1所述的故障容许工业控制设备，其中所述网络通信电路包括在端口之间切换的硬件电路。

7.一种故障容许以太网，包括：

经由网络连接通过网络介质与网络交换机通信的一组终端设备，其中至少一些终端设备具有在所述终端设备的主处理器和至少两个端口之间通信的网络通信电路，每个终端设备的端口使用由所述主处理器提供的单个MAC地址并且连接到通向不同的交换机的不同的网络介质，在发生影响所述端口中的第一端口的故障时，所述网络通信电路能够切换地将所述终端设备连接到所述端口中的第二端口；

其中这两个端口通过监视来自在所述网络介质上与所述终端设备通信的至少一个信标设备的规则信标消息来检测网络级故障；

其中所述网络通信电路进一步定期地向目标信标设备传送路径检查请求消息，所述网络通信电路从多个信标设备接收信标消息，所述网络通信电路根据预定序列，将接收被定期传送的路径检查请求消息的所述目标信标设备改变为所述多个信标设备之一，并且所述网络通信电路在预定间隔内未从所述目标信标设备接收到路径检查响应的情况下触发故障；

其中至少两个交换机被设计成顶级交换机并且经由故障容许骨干彼此通信；其中每个终端设备经由一个端口直接地或间接地与所述顶级交换机中的第一顶级交换机通信并且经由所述第二端口与所述顶级交换机中的第二顶级交换机通信，并且至少两个信标设备在所述网络介质上传送信标消息；

其中每个信标设备连接到所述顶级交换机中的一个；

其中通过在端口处在预先限定的超时时段内不存在任何信标消息来检测故障。

8.根据权利要求7所述的故障容许以太网，其中至少三个交换机被设计成顶级交换机并且经由故障容许骨干彼此通信；其中每个终端设备仅具有两个端口，其中第一端口直接地或间接地与所述顶级交换机中的第一顶级交换机通信并且其中第二端口经由所述第二端口与所述顶级交换机中的第二顶级交换机通信，以及

至少三个信标设备在所述网络介质上传送信标消息；每个信标设备直接连接到所述顶级交换机中的一个。

9.根据权利要求8所述的故障容许以太网，其中至少一些终端设备具有第一端口和第二端口，所述第一端口通过第一交换机与所述顶级交换机中的第一顶级交换机通信并且所述第二端口通过第二交换机经由所述第二端口与所述顶级交换机中的第二顶级交换机通信；以及

其中所述第一交换机和第二交换机彼此直接通信。

10.根据权利要求9所述的故障容许以太网，其中所述顶级交换机提供IEEE 802.3链路聚合功能。

11.根据权利要求7所述的故障容许以太网，进一步包括在所述网络介质上传送信标消息的至少三个信标设备；每个信标设备直接连接到至少两个顶级交换机；

其中通过在端口处在预先限定的超时时段内不存在任何信标消息来检测故障。

12.根据权利要求7所述的故障容许以太网，其中所述网络通信电路进一步在故障之后从活跃端口传送广播学习更新消息，所述学习更新消息向所述故障容许以太网上的其他设备指示它们的路由表格应被更新。

13.根据权利要求7所述的故障容许以太网，其中所述网络通信电路在未发生故障的情况下定期地在所述第一端口和所述第二端口之间切换通信。

14.根据权利要求7所述的故障容许以太网，其中所述网络通信电路按照比来自信标设备的规则信标消息的时段长的时段，定期地传送所述路径检查请求消息。

15.根据权利要求7所述的故障容许以太网，其中所述预定间隔包括所述路径检查请求消息的至少两次重复。

16.根据权利要求7所述的故障容许以太网，其中所述网络通信电路包括在端口之间切换的硬件电路。

17.一种创建故障容许以太网的方法，包括：

(a)提供一组终端设备，其具有在所述终端设备的主处理器和至少两个端口之间通信的网络通信电路，每个终端设备的端口使用由所述主处理器提供的单个MAC地址并且能够连接到通向不同的交换机的不同的网络介质，

(b)经由网络连接通过网络介质将所述终端设备连接到网络交换机；其中至少两个交换机被设计成顶级交换机并且经由故障容许骨干彼此通信；其中每个终端设备经由一个端口直接地或间接地与所述顶级交换机中的第一顶级交换机通信并且经由第二端口与所述顶级交换机中的第二顶级交换机通信；以及

(c)将至少两个信标设备附接到所述网络，所述信标设备在所述网络介质上传送信标消息；每个信标设备直接连接到所述顶级交换机中的一个；其中通过在端口处在预先限定的超时时段内不存在任何信标消息来检测故障；

(d)在发生影响任何通信电路的所述端口中的第一端口的故障时，将所述终端设备切换到所述端口中的第二端口，其中通过在端口处在预先限定的超时时段内不存在任何信标消息来检测故障；以及

(e)在所述网络上定期地从所述终端设备向选自所述至少两个信标设备之一的目标信标设备传送路径检查请求消息，其中，根据预定序列而改变被发送所述路径检查请求消息的所述目标信标设备，并且

(f)在预定间隔内未从所述目标信标设备接收到路径检查响应的情况下触发故障。

18.根据权利要求17所述的方法，其中所述网络通信电路在未发生故障的情况下定期地在所述第一端口和所述第二端口之间切换通信。