ES2382875T3

ES2382875T3 - Procedimiento para la redundancia múltiple frente a fallos en redes con topologías de anillo

Info

Publication number: ES2382875T3
Application number: ES10008887T
Authority: ES
Inventors: Oliver Kleineberg; Markus Rentschler; Sebastian Hagen
Original assignee: Hirschmann Automation and Control GmbH
Current assignee: Hirschmann Automation and Control GmbH
Priority date: 2009-08-28
Filing date: 2010-08-26
Publication date: 2012-06-14
Anticipated expiration: 2030-08-26
Also published as: ATE547868T1; EP2290882A1; EP2290882B1; DE102010035623A1

Abstract

Procedimiento para la operación de una red con una topología de anillo lineal y propiedades de redundancia, en que dentro de la red operan varios dispositivos de infraestructura de red y al menos uno de los dispositivos de 5 infraestructura de red opera, o puede operar en caso de fallo, como gestor de redundancia, en que el gestor de redundancia está conformado en particular para cortar uno respecto a otro en caso de que no haya fallos los extremos de línea conectados a él y unir entre sí en caso de fallo los dos extremos de línea, en que el gestor de redundancia sigue introduciendo a intervalos prefijados telegramas de prueba en los dos extremos de línea y deriva de la recepción por el respectivamente otro extremo de línea dentro de un intervalo de tiempo prefijado una orden para cortar o respectivamente unir extremos de línea, caracterizado porque se detecta si un segmento de la red está cortado del resto de la red, y entonces, cuando se ha detectado este caso, entre un dispositivo de infraestructura de red del segmento cortado y un dispositivo de infraestructura de red, en particular el gestor de red, del resto de la red, la red en anillo es nuevamente cerrada a través de al menos una unión adicional.

Description

Procedimiento para la redundancia múltiple frente a fallos en redes con topologías de anillo

La presente invención se refiere a un procedimiento para la operación de una red con una topología de anillo lineal y propiedades de redundancia, en que dentro de la red operan varios dispositivos de infraestructura de red y al menos 5 uno de los dispositivos de infraestructura de red opera, o puede operar en caso de fallo, como gestor de redundancia, en que el gestor de redundancia está conformado en particular para cortar uno respecto a otro en caso de que no haya fallos los extremos de línea conectados a él y unir entre sí en caso de fallo los dos extremos de línea, en que el gestor de redundancia sigue introduciendo a intervalos prefijados telegramas de prueba en los dos extremos de línea y deriva de la recepción por el respectivamente otro extremo de línea dentro de un intervalo de

10 tiempo prefijado una orden para un corte o respectivamente unión de extremos de línea, conforme a las características del preámbulo de la reivindicación 1.

Son conocidos y constituyen el estado de la técnica redes en anillo (redes con una topología de anillo con dispositivos de infraestructura de red tales con conmutadores, enrutadores, concentradores y similares) y los protocolos asociados, que hacen posible un aseguramiento frente a caídas de la infraestructura de red anular. En [1]

15 (WO99/046908: Lokales Netzwerk, insbesondere Ethernet-Netzwerk, mit Redundanzeigenschaften und Redundanzmanager) se describe una conformación así de una red.

En [2] (Draft IEC 62439-2 INDUSTRIAL COMMUNICATION NETWORKS HIGH AVAILABILITY AUTOMATION NETWORKS; Part 2: Media Redundancy Protocol (MRP)) se especifica un mecanismo así como estándar internacional.

20 Una desventaja de la topología de anillo física es la susceptibilidad a más de un fallo físico en la topología. Si aparece un defecto, la topología de anillo física se transforma en una topología lineal física. Si aparece otro fallo, la red es segmentada (véase para ello la figura 1 a modo de ejemplo, que representa la invención: la estructura de anillo física ha sido interrumpida por dos defectos. Dos de los dispositivos de red ya no son alcanzables ahora desde una estación de gestión de red (EGR) conectada).

25 A partir de SIVENCRONA H ET AL: “RedCAN: simulations of two fault recovery algorithms for CAN” DEPENDABLE COMPUTING, 2004. PROCEEDINGS. 10TH IEEE PACIFIC RIM INTERNATIONAL SYMPOSIUM ON MARCH 3-5, 2004, PISCATAWAY, NJ, USA, IEEE LNKD-DOI:10.1109/PRDC.2004.1276580, 3 de marzo de 2004 (2004-03-03), páginas 302-311, XP010690460 ISBN: 978-0-7695-2076-6 es conocido un concepto RedCAN, con el que debe mejorarse la tolerancia a fallos frente a fallos de nudo y de unión en un sistema de bus CAN (del inglés “Controller

30 Area Network”, red de área de controlador) mediante conmutadores configurables. En este caso, nudos defectuosos

o segmentos de bus que trabajan defectuosamente pueden ser retirados de la topología de red por conmutadores configurables mediante el recurso de que no obtienen ya acceso al sistema de bus.

A partir del documento EP 1 729 453 A1 es conocido un procedimiento para la conmutación de protección en una red de datos con al menos dos anillos con un segmento utilizado conjuntamente y varios nudos, en que cada anillo

35 tiene un gestor de anillo asociado para la comprobación de su anillo asociado y los gestores de anillo tienen diferentes prioridades asignadas fijamente, en que cada nudo de un segmento utilizado conjuntamente vigila el segmento utilizado conjuntamente y en caso de una caída del segmento envía un mensaje de caída a un gestor de red de mayor prioridad de un anillo asociado y el gestor de red de mayor prioridad termina de bloquear su puerto, mientras que el gestor de red de menor prioridad mantiene bloqueado su puerto.

40 Como consecuencia se producen en particular dos problemas:

1.: Los dispositivos deben reconocer automáticamente el comienzo y el final de una segmentación.

2.: Debe describirse el procedimiento, según el cual se produce de forma determinista una conmutación a tramos redundantes y se evitan bucles en la estructura de red. Los bucles en la estructura de red, que no son deshechos, llevan en particular en redes Ethernet a tramas de datos que dan vueltas sin fin y a la

45 incapacidad funcional de la red.

La invención tiene por ello como base la tarea de poner a disposición una solución para los problemas descritos al principio y mejorar en conjunto un procedimiento de operación de una red con una topología de anillo en el sentido de que la caída de dispositivos de infraestructura de red dentro de la topología de anillo como consecuencia de una interrupción de esta topología de anillo pueda ser subsanada nuevamente en el tiempo más corto.

50 Esta tarea es resuelta mediante las características de la reivindicación 1.

Conforme a la invención está previsto que se capte si un segmento de la red está cortado del resto de la red, y entonces, cuando este caso ha sido captado, la red en anillo sea nuevamente cerrada entre un dispositivo de infraestructura de red del segmento cortado y un dispositivo de infraestructura de red, en particular el gestor de redundancia, del resto de la red a través de exactamente una unión adicional o al menos una unión adicional.

Este modo de proceder tiene la ventaja de que con ello puede garantizarse que para el caso en que dentro de la topología de anillo lineal no exista sólo una interrupción, sino varias interrupciones que han llevado a una segmentación, sea detectada esta situación de fallo, y el segmento cortado de la red sea unido nuevamente a la red asociada con topología de anillo (red en anillo) a través de una unión añadida, es decir adicional e independiente de

5 la topología de anillo de la red. Esto significa que el segmento cortado de la red en anillo es unido a través de una unión adicional a la red en anillo asociada, de modo que se evitan medidas adicionales relativas a las uniones (tales como por ejemplo líneas de bus dobles).

La idea describe con ello cómo un mecanismo conocido para la configuración y la operación de redundancias en una estructura de red anular, por ejemplo una estructura de anillo de red Ethernet, puede ser complementado mediante

10 posibilidades de diagnóstico y seguridad frente a caídas adicionales.

Otras estructuraciones de la invención con las ventajas que resultan de ellas están indicadas en las reivindicaciones subordinadas y se describen en lo que sigue.

La solución conforme a la invención describe una estructura de anillo física, en la que se introducen y activan uniones adicionales de medios como soluciones de respaldo, cuando se detecta una segmentación de una parte de 15 la red (anillo). La solución se caracteriza por el hecho de que adicionalmente a las conexiones para una red, que dispone de una redundancia de medios según [2], es configurada al menos una conexión de red (unión) adicional, que es utilizada como solución de respaldo en caso de un corte completo de un segmento de red. La infraestructura de red, a través de la que se comunica el dispositivo a través del puerto de red adicional (interfaces), puede estar conformada entonces de forma arbitraria. En lo que sigue se asume igualmente una red en anillo para una

20 descripción más precisa del mecanismo para esta infraestructura.

En una estructura de anillo física, en la que se introduce un mecanismo de redundancia por ejemplo según [1] o [2], se diferencia entre dos clases participantes de dispositivos de infraestructura de red: gestor de redundancia (GR) y cliente de redundancia (CR). En particular se describe cómo el GR bloquea una de sus conexiones de anillo, para evitar que tramas de datos den vueltas, y cómo comprueba el estado de la red con ayuda de tramas de prueba 25 enviadas a la red. Estas tramas son enviadas por una conexión de anillo (un primer extremo de línea), son transmitidas a través del anillo y captadas por la respectivamente otra conexión de anillo (otro extremo de línea). Si estas tramas no llegan, existe un defecto del anillo y/o un problema del tráfico de red, y el gestor de redundancia abre su conexión de anillo, bloqueada hasta entonces, al tráfico normal de datos, para asegurar que todos los dispositivos en el anillo pueden ser alcanzados. Las tramas de prueba son recibidas y enviadas también a través de

30 puertos bloqueados para el tráfico normal de red, a diferencia del tráfico normal de datos. Con ello, en caso de una segmentación de una red, es decir cuando dos o más fallos cortan partes del anillo, resultan dos casos posibles para un segmento de red individual:

1.: El segmento de red no contiene el GR.

2.: El segmento de red contiene el GR.

35 Puede ser detectada con ello una segmentación de la red en el caso 1 mediante la ausencia de tramas de prueba en ambas interfaces de anillo de los dispositivos de infraestructura de este segmento de red.

En el caso 2, las tramas de prueba sólo están ausentes en una conexión de anillo en los dispositivos de infraestructura. Con ello no puede detectarse de forma indudable si existe un defecto único, que es captado por el gestor de redundancia o si se tiene una segmentación real de una parte del anillo. Un participante en la red no

40 puede diferenciar en este caso un defecto único del anillo físico respecto a una segmentación. Con ello, hay que señalizar al segmento con el gestor de redundancia que existe una segmentación.

La constitución de un segundo tramo de redundancia puede producirse por ejemplo como se muestra en la figura 2. El segundo tramo de redundancia (el segundo anillo en la figura 2) puede estar conformado para ello de forma arbitraria, por ejemplo como segundo anillo de cable, como red de radiotransmisión u otra estructura de red

45 arbitraria. La figura 2 sirve en lo que sigue como caso de ejemplo para la explicación del modo de operación del mecanismo de redundancia.

Las uniones entre el “anillo de redundancia” exterior (red adicional) y el “anillo productivo” interior (red primera o principal con topología de anillo) están bloqueadas entonces para el tráfico normal de red en la configuración sin fallos así como en la operación sin fallos del “anillo productivo”. La única unión entre las dos redes es el paso en el 50 gestor de redundancia: éste es mantenido abierto para el tráfico normal de red y un paso abierto único entre las dos redes no lleva todavía a tramas de datos que dan vueltas. En el caso de una conmutación a redundancia, únicamente debe ser borrado el contenido de una unidad de memoria de cada uno de los dispositivos de infraestructura de red, en particular la base de datos de filtrado (FDB, del inglés “Filtering DataBase”) de todos los conmutadores implicados, para hacer posible inmediatamente la transmisión de tramas a través del segmento de 55 redundancia. Esto se produce mediante el envío de una trama de información a través de un dispositivo participante (dispositivo de infraestructura de red) en un sector segmentado del anillo por su interfaz hacia la red adicional

(exterior), en particular hacia el anillo de redundancia exterior, junto con la apertura de esta interfaz para el tráfico regular de red. En lo que sigue se describe el comportamiento de dispositivos participantes para los dos casos posibles (segmento con GR y segmento sin GR), y sin la caída del gestor de redundancia. El caso particular de un fallo en el gestor de redundancia se explica a continuación de ello:

5 1. Comportamiento de los dispositivos en segmentos de red con gestor de redundancia: si un gestor de redundancia recibe a través de la unión entre el anillo productivo y el anillo de redundancia exterior una trama de información de un dispositivo, que apunta a la segmentación de una parte de la red, y ya no recibe sus tramas de prueba por sus dos interfaces hacia el anillo productivo, el gestor apaga el contenido de la unidad de memoria asociada, en particular su FDB. Con ello se hace posible la comunicación inmediata a

10 través de la unión hacia la segunda red de redundancia (anillo de redundancia). Simultáneamente, envía la indicación para borrar en particular las bases de datos FDB en todos los dispositivos de red en su segmento de red.

2. Comportamiento de los dispositivos en segmentos de red sin gestor de redundancia: si un dispositivo constata que ya no recibe más tramas de prueba por las dos interfaces hacia el anillo productivo, envía 15 entonces por sus interfaces de anillo una comunicación para la apertura de la interfaz de redundancia. Si dentro de un intervalo de tiempo definido no recibe ninguna comunicación de otro dispositivo con una mejor prioridad (por ejemplo en función de la dirección MAC (del inglés “Media Access Control”, control de acceso al medio)), abre su puerto de red hacia el anillo redundante y envía una trama de información hacia el anillo redundante con el contenido de que existe una segmentación. Esta trama es captada por el gestor de

20 redundancia a través de su interfaz. Si por el contrario recibe una notificación acerca de la apertura próxima de la interfaz de redundancia adicional de otro participante con una mejor prioridad, la interfaz de redundancia adicional permanece bloqueada, ya que otro dispositivo en el mismo segmento realiza la unión hacia la red redundante.

El dispositivo de red, que ha sido identificado mediante el procedimiento de selección como dispositivo de máxima

25 prioridad, abre su puerto hacia la red redundante, borra su base de datos FDB y envía simultáneamente por sus interfaces de anillo un mensaje relativo al borrado de las bases de datos FDB hacia su segmento de red conectado del anillo defectuoso. A intervalos fijos, el dispositivo de máxima prioridad sigue enviando su mensaje de apertura por sus conexiones de anillo. Otros dispositivos de red en este segmento pueden reconocer en la llegada o ausencia de este mensaje una posible caída de este dispositivo y escoger correspondientemente al procedimiento de

30 selección anteriormente descrito un nuevo dispositivo, que abre el puerto de redundancia adicional.

La estructura de red resultante de ello puede verse a modo de ejemplo en la figura 2. Los tramos de red (uniones a través de línea de datos, pero también tramos de radiotransmisión), que están bloqueados para el tráfico normal de protocolo (mediante al menos un puerto bloqueado), están representados en línea discontinua. En el ejemplo de la figura 2, el dispositivo con el número 2 tiene la mejor prioridad en el segmento de red sin gestor de redundancia y

35 tiene abierto su puerto de redundancia adicional. En la figura 2 existen simplemente dos segmentos de red, uno sin GR y otro con GR. Teóricamente, para un número arbitrario de dispositivos en el anillo pueden aparecer un número arbitrariamente grande de segmentos sin GR en caso de un número suficientemente grande de fallos. Estos segmentos se comportarían todos análogamente al procedimiento aquí descrito.

Si un dispositivo, que ha activado su puerto redundante para el tráfico normal de red, recibe una trama de

40 información por la apertura de otro puerto redundante a través del anillo redundante, envía igualmente una información de borrado de base de datos FDB por sus conexiones de anillo.

Caso particular: Caída del gestor de redundancia o segmentación repetida

La caída del gestor de redundancia significa para una red, que funciona por ejemplo según [1] o [2], simplemente la ausencia de las tramas de prueba. En caso de operación según el procedimiento aquí presentado, al producirse la

45 ausencia de las tramas de prueba por la caída del GR todo el segmento de red se comportará como un único segmento sin GR, como se ha descrito anteriormente. Si cae el gestor de redundancia y otro dispositivo o una unión entre los dispositivos (es decir si se llega a una segmentación adicional), puede reconocerse la segmentación adicional con ayuda de mensajes de apertura enviados cíclicamente por las conexiones de anillo o respectivamente su ausencia. Lo mismo es válido para una segmentación adicional de una red parcial ya segmentada.

50 En caso de reparación debe restablecerse la configuración original. Una reparación provoca el siguiente comportamiento:

Si el GR recibe por sus dos conexiones de red nuevamente sus propias tramas de prueba, envía un mensaje de borrado de base de datos FDB a las conexiones de anillo y bloquea una de sus conexiones de anillo, como está previsto en [1] y [2]. Los clientes de anillo, que deben encontrarse (ya que las tramas de prueba son recibidas

55 nuevamente por el gestor de redundancia) en consecuencia nuevamente en un segmento con el gestor de anillo, registran esto mediante la recepción de las tramas de prueba y bloquean nuevamente su puerto de redundancia adicional.

Si la reparación se produce primero en o respectivamente entre los segmentos, que no contienen ninguno de los dos un GR, los dispositivos, que tienen su puerto de redundancia adicional abierto, determinarán con ayuda del modo de proceder anteriormente descrito el dispositivo que mantiene abierta la unión, mientras que el otro dispositivo bloquea la unión. Así, en caso de una reparación de varios segmentos sin GR ventajosamente tampoco se llega a bucles ni a

5 tramas que dan vueltas.

El proceso previamente descrito puede acelerarse mediante el recurso de que un dispositivo, que constata el restablecimiento de la unión física por uno de sus puertos de anillo y sigue sin recibir tramas de prueba del gestor de redundancia, manda una notificación al segmento de anillo conectado a sus puertos de anillo, indicando que que el procedimiento de selección debe ser repetido.

10 Nuevamente y de forma brevemente resumida, la invención describe un procedimiento para garantizar redundancia adicional dentro de una topología de anillo, en que se definen en participantes de red (dispositivos de infraestructura de red) interfaces adicionales hacia vías redundantes de datos, a través de las cuales y en caso de caída de la comunicación a través del anillo previsto originalmente para la transmisión de datos pueden establecerse uniones adicionales hacia segmentos de red cortados.

15 Además, las vías redundantes de datos están conformadas igualmente como estructuras de anillo.

Igualmente también el control de los mecanismos de redundancia se produce a través de señales de control entre las interfaces de redundancia configuradas adicionalmente.

Finalmente, es particularmente importante que el reconocimiento de la segmentación se produce a través de la recepción de tramas de prueba, del reconocimiento físico de caídas de uniones o mediante estos dos

20 procedimientos.

El término “dispositivo de infraestructura de red” aparece en representación de conceptos como dispositivo, dispositivo de red, conmutador, dispositivo participante, cliente de anillo o similares. Igualmente se emplean como sinónimos entre sí los conceptos puerto, conexión de anillo, interfaz de anillo, interfaz y puerto de red.

Telegrama de prueba = trama de prueba

Claims

REIVINDICACIONES

1. Procedimiento para la operación de una red con una topología de anillo lineal y propiedades de redundancia, en que dentro de la red operan varios dispositivos de infraestructura de red y al menos uno de los dispositivos de 5 infraestructura de red opera, o puede operar en caso de fallo, como gestor de redundancia, en que el gestor de redundancia está conformado en particular para cortar uno respecto a otro en caso de que no haya fallos los extremos de línea conectados a él y unir entre sí en caso de fallo los dos extremos de línea, en que el gestor de redundancia sigue introduciendo a intervalos prefijados telegramas de prueba en los dos extremos de línea y deriva de la recepción por el respectivamente otro extremo de línea dentro de un intervalo de tiempo prefijado una orden

10 para cortar o respectivamente unir extremos de línea, caracterizado porque se detecta si un segmento de la red está cortado del resto de la red, y entonces, cuando se ha detectado este caso, entre un dispositivo de infraestructura de red del segmento cortado y un dispositivo de infraestructura de red, en particular el gestor de red, del resto de la red, la red en anillo es nuevamente cerrada a través de al menos una unión adicional.
2.

Procedimiento según la reivindicación 1, caracterizado porque la al menos una unión adicional es establecida a 15 través de una red añadida con dispositivos de infraestructura de red.
3.

Procedimiento según la reivindicación 1 ó 2, caracterizado porque la al menos una unión entre la red adicional y la red está bloqueada para el tráfico normal de red en la configuración sin fallos así como en la operación sin fallos y la única unión entre las dos redes es el paso en el gestor de redundancia, en que este paso es mantenido abierto para el tráfico normal de red y un único paso abierto entre las dos redes aún no lleva a tramas de datos que dan vueltas, 20 en que sin embargo en caso de una conmutación a redundancia es borrado el contenido de una unidad de memoria de cada uno de los dispositivos de infraestructura de red, en particular una base de datos de filtrado (FDB) de todos los conmutadores implicados, para hacer posible inmediatamente la transmisión de tramas a través del segmento redundante, en que esto se produce mediante el envío de una trama de información a través de un dispositivo de infraestructura de red en un sector segmentado del anillo por su interfaz hacia la red adicional junto con la apertura

25 de esta interfaz para el tráfico regular de red.
4. Procedimiento según la reivindicación 3, caracterizado porque un dispositivo de infraestructura de red que opera como gestor de redundancia recibe, a través de la unión entre la red y la red adicional, una trama de información de un dispositivo, que apunta a la segmentación de una parte de la red, en que cuando ya no recibe por sus dos interfaces hacia la red sus tramas de prueba, es borrado el contenido de la unidad de memoria, en particular su base

30 de datos FDB, con lo que se hace posible la comunicación inmediata a través de la unión hacia la red adicional y simultáneamente se envía por su segmento de red a todos los dispositivos de red la indicación para el borrado de los contenidos de las unidades de memoria, en particular de las bases de datos FDB.
5. Procedimiento según la reivindicación 3, caracterizado porque en el caso en que un dispositivo constata que ya no recibe más tramas de prueba por sus dos interfaces hacia la red, envía entonces por sus interfaces de anillo una 35 comunicación para la apertura de la interfaz de redundancia, en que, si dentro de un intervalo de tiempo definido no recibe ninguna comunicación de otro dispositivo con una mejor prioridad, abre su puerto de red hacia la red adicional y envía una trama de información hacia la red adicional con el contenido de que existe una segmentación, y en que, cuando por el contrario recibe una notificación acerca de la apertura próxima de la interfaz de redundancia adicional de otro participante con una mejor prioridad, la interfaz de redundancia adicional permanece bloqueada, ya que otro

40 dispositivo en el mismo segmento realiza la unión hacia la red redundante, y el dispositivo de red, que ha sido identificado a través del procedimiento de selección como dispositivo de máxima prioridad, abre su puerto hacia la red adicional y borra su contenido de memoria y simultáneamente envía por sus interfaces de anillo un mensaje relativo al borrado de contenidos de memoria, en particular de las bases de datos FDB, hacia su segmento de red conectado del segmento defectuoso.

45 6. Procedimiento según la reivindicación 5, caracterizado porque el dispositivo de máxima prioridad sigue enviando a intervalos fijos su mensaje de apertura por sus conexiones de anillo, otros dispositivos de red en este segmento reconocen en la llegada o ausencia de este mensaje una posible caída de este dispositivo y escogen un nuevo u otro dispositivo, que abre el puerto de redundancia adicional.
7. Procedimiento según al menos una de las reivindicaciones 3 hasta 6, caracterizado porque cuando el GR recibe

50 en sus dos conexiones de anillo nuevamente sus propias tramas de prueba, envía un mensaje de borrado a las conexiones de anillo y bloquea una de sus conexiones de anillo, en que los clientes de anillo, que (ya que las tramas de prueba son recibidas nuevamente a través del gestor de redundancia) se encuentran en consecuencia nuevamente en un segmento con el gestor de anillo, registran esto mediante la recepción de las tramas de prueba y bloquean nuevamente su puerto de redundancia adicional.

55 8. Procedimiento según la reivindicación 7, caracterizado porque cuando la reparación se produce primero en o respectivamente entre segmentos, que no contienen ninguno de los dos un GR, los dispositivos, que tienen su puerto de redundancia adicional abierto, se determina el dispositivo que mantiene abierta la unión, mientras que el otro dispositivo bloquea la unión.
9.

Procedimiento según la reivindicación 7 u 8, caracterizado porque un dispositivo, que constata un restablecimiento de la unión física por uno de sus puertos de anillo y sigue sin recibir tramas de prueba del gestor de redundancia, envía una notificación al segmento de anillo conectado a sus puertos de anillo, indicando que debe repetirse el procedimiento de selección.
10.

Procedimiento según al menos una de las reivindicaciones 3 hasta 9, caracterizado porque como unidad de memoria se emplea una base de datos de filtrado (FDB) de un dispositivo de infraestructura de red.