Industrial Ethernet im Unternehmens-Netz: Lösungswege für die \’vertikale Integration\‘ von Produktionsanlagen

Nach ihrer Entwicklung in den 80er-Jahren haben die Feldbusse in den 90er-Jahren eine weite Verbreitung in der Industrie gefunden. Anfangs stand die Einsparung von Verkabelungskosten im Vergleich zur Parallelverkabelung im Vordergrund, später schätzten die Anlagenhersteller die Wiederverwendbarkeit der Konstruktionen, und die Anlagenbetreiber wollten die weit reichenden Möglichkeiten der Fehlerdiagnose nicht mehr missen. Ethernet stand aus Kostengründen und wegen der fehlenden Echtzeitfähigkeit für die Signalübertragung in der Feldebene nicht zur Diskussion. Nachdem Ende der 90er-Jahre in einer beispielhaften herstellerübergreifenden Arbeitsgruppe Regeln für die Übertragung sicherheitsrelevanter Signale festgelegt wurden, standen Sicherheits-Feldbusse (z.B. SafetyBus p, Profisafe und Interbus Safety) zur Verfügung, sodass typische Produktionsanlagen in der Automobilindustrie mit einem zweiten, zusätzlichen Bussystem ausgerüstet wurden. Die in den Produktionsanlagen vorhandenen Steuerungen waren in vielen Fällen mit übergeordneten Leitrechnern mittels Ethernet verbunden, sodass insgesamt drei Kommunikationssysteme (Feldbus, Safety-Feldbus und Ethernet) zum Einsatz kamen (Bild 1). Über das Werksnetz war auch bei Verwendung von Feldbussen eine Ferndiagnose über das Internet möglich. In den ersten Jahren des neuen Jahrtausends änderten die Feldbus-Hersteller ihre Strategie. Anstatt die vorhandenen Feldbusse in Richtung höherer Leistungsfähigkeit weiterzuentwickeln, wurde eine neue Generation Ethernet-basierter Feldbusse entwickelt. Getrieben wurde diese Entwicklung von Anwendungen in der Antriebstechnik, bei denen die herkömmlichen Feldbusse an Leistungsgrenzen stießen. Außerdem entstand die Vision, man könne bei Verwendung von Ethernet künftig Automatisierungsgeräte so einfach koppeln, wie dies im Bereich der Personal Computer (\’Plug&Play\‘) möglich war. Ab 2002 setzte ein spannender Wettkampf der Automatisierungshersteller um die beste Lösung für das Echtzeit-Problem von Ethernet ein, der zum Leidwesen der Anwender zu einer Vielfalt inkompatibler Lösungen führte. Auf der Internetseite www.echtzeit-ethernet.de der Hochschule Reutlingen sind zurzeit 28 Lösungen aufgelistet. Mehrere deutsche Automobilhersteller entschieden bereits 2004 in einem Positionspapier, diese Lösungsvielfalt bei künftigen Werksplanungen einzuschränken und sich auf den Einsatz von Profinet zu fokussieren. Die Daimler AG verfolgt diese Entscheidung weiterhin, zusätzlich kann für Werke in den Ländern Amerikas das System Ethernet/IP verwendet werden. Bild 2 zeigt den Ersatz der beiden Feldbusse aus Bild 1 durch Ethernet. Wenn ein Feldbus-Ersatz durch Ethernet technische Vorteile und betriebswirtschaftlichen Nutzen hat, kommt in den Werken der Daimler AG das System Profinet zum Einsatz. Von dem Ethernet-Einsatz im Feldbereich werden folgende Vorteile erwartet: – Einspareffekte durch vollständige Integration der Sicherheitstechnik. – Konventionelle und sicherheitsgerichtete Kommunikationssysteme können mit einheitlichen Tools projektiert und diagnostiziert werden. – Kostensenkung durch Reduktion der Vielfalt von Feldbuskomponenten. – Offener Ethernet-Standard steht Third-Party-Herstellern zur Verfügung. Dadurch große Produktvielfalt und Reduzierung der Hardwarekosten durch vermehrten Wettbewerb. Aufgabenstellung und Anforderungen an die Integration Für die Aufgabe der Netzintegration von Automatisierungssystemen gelten die generellen Ziele, die die Daimler AG bei der Gestaltung neuer Produktionsanlagen verfolgt: – Erhöhung der Anlagenverfügbarkeit und der Stabilität des Produktionsprozesses. – Reduzierung der Investitionskosten, der Anzahl von Ersatzteilkomponenten und der Komplexität der Abläufe bei gleichzeitiger Optimierung des Anlagenbetriebs. Für die hier betrachteten Kommunikationssysteme in automatisierten Anlagen ergeben sich daraus folgende technische Ziele: – Hohe Verfügbarkeit: Sie kann durch redundanten Aufbau wichtiger Verbindungen erreicht werden. Außerdem soll die Struktur des Anlagennetzes eine klare Trennung von dem Werksnetz aufweisen, damit die Funktion der Anlagen weitestgehend unabhängig von der Verfügbarkeit des Werksnetzes ist. Auch die Verwendung von Komponenten, die im Fehlerfall einfach, das heißt ohne langwierige Parametrierung, austauschbar sind, erhöht die Verfügbarkeit. – Hohe IT-Sicherheit: Gefährdungen, die durch Angriffe, durch Viren oder schadensstiftende Software entstehen können, sind zu verhindern. – Benutzerfreundliche Konfigurationstools: Für die Konfiguration des Anlagennetzes sind Tools einzusetzen, die bedienerfreundlich sind und problemlos mit den eingesetzten Tools für die speicherprogrammierbaren Steuerungen (SPS) zusammenarbeiten. – Das Anlagennetz muss für die Inbetriebnahme beim Lieferanten weitgehend autark, das heißt ohne Verwendung des Werksnetzes, lauffähig sein. Strukturierung der Automatisierungssysteme Es ist sinnvoll, die Automatisierungssysteme eines Automobilwerks, die nicht nur in der Produktion, sondern auch in Logistikbereichen und der Gebäudeautomation vorhanden sind, so zu strukturieren, dass in sich abgeschlossene Subsysteme entstehen, die im Folgenden Steuerungsbereiche genannt werden. Nach heutigem Stand der Ethernet-Technik ist es weiterhin sinnvoll, diese Steuerungsbereiche als separate V-LANs auszuführen (V-LANs bilden eine logische Struktur, bei der Broadcast-Verkehr auf die dem V-LAN angehörenden Teilnehmer begrenzt bleibt). Somit entsteht eine Strukturierung der Automatisierungssysteme nach Bild 3. Jeder Steuerungsbereich wird mit dem Werksnetz über einen einzigen Switch verbunden. Da über ihn der Zugriff (Access) zum Werksnetz erfolgt, wird er Automation-Access-Switch (AA-Switch) genannt. Die Kopplung kann, wie später gezeigt wird, auch redundant ausgeführt sein. Betrachtet man die auftretenden Kommunikationsbeziehungen in einer derartigen Struktur, sind die in Bild 4 dargestellten Fälle zu unterscheiden: (1) Lokale Kommunikation im Steuerungsbereich: Hier werden in der Regel die ausgewählten Protokolle Profinet und Ethernet/IP verwendet. Die Verantwortung für diese Kommunikation liegt bei dem Anlagenbetreber. (2) Kommunikation des Steuerungsbereichs mit zentralen Servern und Hosts: Hier sind nur die von IEEE standardisierten Protokolle nach 802.3 sowie die von IETF festgelegten Protokolle TCP/IP und UDP/IP zulässig. Der Betreiber des Werksnetzes trägt eine Mitverantwortung für diese Kommunikation. Beispiele für diesen Fall sind Leitwarten und Archivierung von Qualitätsdaten. (3) Kommunikation der Steuerungsbereiche untereinander über das Werksnetz: Hier können ebenfalls nur die in Fall (2) genannten Protokolle zum Einsatz kommen. Ein Beispiel für diesen Fall ist die Synchronisation von Produktionsabläufen zwischen mehreren Steuerungsbereichen. (4) Kommunikation der Steuerungsbereiche untereinander über Speziallösungen: Dieser Fall beinhaltet Lösungen, bei denen Steuerungssignale, z.B. Not-Aus, mit hohen Echtzeitanforderungen zwischen zwei oder mehreren Steuerungsbereichen ausgetauscht werden müssen. Dies erfolgt häufig direkt über Parallel-I/O-Verbindungen, die unter dem Gesichtspunkt von LANs nicht zu betrachten sind. Aus dieser Betrachtung ergibt sich, dass in den Fällen (2) und (3) ein Datenaustausch zwischen den Steuerungsbereichen und dem Werksnetz erfolgt. Traditionell sind in der Automobilindustrie der Betrieb der Produktionsanlagen und der Betrieb des Werksnetzes jedoch in getrennten Verantwortlichkeiten. Hier wird deutlich, dass das Ziel eines hochverfügbaren Betriebs des Gesamtsystems nur möglich ist, wenn die Verantwortlichen beider Seiten bestimmte Regeln einhalten. Lösungsmöglichkeiten für die Integration Im Folgenden werden drei Teilaufgaben für die Integration von Steuerungsbereichen in das Werksnetz beschrieben sowie Lösungsalternativen vorgestellt und bewertet. Strukturierung des Gesamtnetzes Um eine möglichst große Unabhängigkeit zwischen dem Bereich Automation und dem vorhandenen Werksnetz zu erreichen, gibt es theoretisch die Möglichkeit, ein eigenes übergeordnetes Netz, sozusagen ein zweites Werksnetz, aufzubauen und dieses an nur einer Stelle mit dem vorhandenen Werksnetz zu verbinden. Diese Möglichkeit scheidet jedoch aufgrund der hohen Kosten aus. Besser geeignet sind die in Bild 5 und Bild 6 gezeigten Lösungsmöglichkeiten 1 und 2. Lösung 1 (Bild 5) stellt eine direkte Ankopplung der Steuerungsbereiche dar. Die Ankopplung der Steuerungsbereiche erfolgt wie bei den herkömmlich am Werksnetz angeschlossenen Rechnern über einen Access-Switch, der in diesem Fall, wie bereits ausgeführt, Automation-Access-Switch heißt. Zur Sicherstellung eines störungsfreien Betriebs können die Access-Switches auch über Firewalls mit dem Werksnetz verbunden werden. Ob dieser Aufwand gerechtfertigt ist, kann derzeit nur schwer abgeschätzt werden, da mit einer derartigen Ankopplung von Steuerungsbereichen zurzeit noch keine Erfahrungen vorliegen. Die Lösung 2 (Bild 6) trennt das vorhandene Werksnetz in zwei logische Netze auf. Das logische Netz 1 ist für die herkömmlichen Nutzer des Werksnetzes reserviert, während das logische Netz 2 für die Daten des Bereichs Automation bestimmt ist. Damit wird sichergestellt, dass die Datenströme der jeweiligen logischen Subsysteme nur die ihnen zugeordneten Rechner erreichen. Das Werksnetz wird also zwei getrennten Benutzergruppen (engl. user group) zugewiesen. Deshalb wird diese Lösung als \’Closed User Group\‘ bezeichnet. Lösung 2 bietet gegenüber Lösung 1 zwar den Vorteil einer klaren Trennung des Gesamtnetzes in zwei Teilnetze, dieser Vorteil erfordert jedoch einen erheblichen Verwaltungsaufwand und führt zu einer Steigerung der Komplexität. Dies wird negative Auswirkungen auf die Gesamtkosten und die Dauer von Fehlerbeseitigungen haben. Aus diesem Grund wird Lösung 2 nicht empfohlen. Ankopplungsvarianten von Automatisierungssystemen an das Werksnetz Um das Ziel einer hohen Verfügbarkeit der Produktionsanlagen zu erreichen, besteht die Möglichkeit, die Ankopplung der Automation-Access-Switches der Steuerungsbereiche redundant auszuführen (Bild 7). Die Automation-Access-Switches verfügen bei dieser Lösung je über einen zweiten Uplink-Port, der mit einem zweiten Switch im Werksnetz verbunden ist (in Bild 7 rot gezeichnet). Als Protokolle kommen in diesem Fall für das Werksnetz das weit verbreitete Routing-Protokoll OSPF und für die Anbindung des AA-Switches das Spanning-Tree-Protokoll zum Einsatz. Die im Werksnetz verwendeten Redundanzmechanismen und solche, die evt. im Bereich Automation zum Einsatz kommen, sollten grundsätzlich voneinander getrennt sein. Man könnte z.B. im Bereich Automation das Redundanzprotokoll MRP verwenden. Dann muss der Automation-Access-Switch in der Lage sein, beide Protokolle (STP und MRP) zu bedienen. Es ist zu bedenken, dass die Verwendung von Redundanzprotokollen die Komplexität des Gesamtsystems erhöht. Wenn im Werksnetz bereits ein Spanning-Tree-Prozess vorhanden ist, führt die Ankopplung von Steuerungsbereichen mit internen Spanning-Tree-Prozessen zu einer höheren Rechneranzahl bei der Bestimmung der Baumstruktur. Dies führt zu erhöhten Umschaltzeiten, was in der Regel nicht erwünscht ist. Erfahrungen aus realisierten Anlagen zeigen, dass Spanning-Tree-Prozesse nicht über mehrere Netzebenen hinweg geführt werden sollten. Lösungen für das Problem der IP-Adressierung Obwohl die meisten Lösungen für Echtzeit-Ethernet die eigentliche Echtzeit-Kommunikation ohne Verwendung des IP-Protokolls durchführen, ist die weltweite Knappheit an IP-Adressen auch in dem hier betrachteten Anwendungsfall ein Problem. Der Grund hierfür ist die Tatsache, dass bei den ausgewählten Systemen Profinet und Ethernet/IP für die Erstellung der Netzkonfiguration jedem Teilnehmer eine eindeutige IP-Adresse zugewiesen werden muss. Die Daimler AG hat die langfristig benötigte Anzahl von IP-Adressen für die Produktionsanlagen folgendermaßen abgeschätzt: Das Unternehmen verfügt über vier große Produktionsstandorte mit zwischen 500 und 2.500 Steuerungsbereichen sowie 17 kleinere Standorte mit zwischen 50 und 500 Steuerungsbereichen. Die Summe dieser Steuerungsbereiche beträgt 8.600. Rechnet man mit durchschnittlich 200 Ethernet-Teilnehmern pro Steuerungsbereich, ergibt sich eine Zahl von 1,72Mio. erforderlichen IP-Adressen. Außerdem ist es erforderlich bzw. wünschenswert, bei der Bestimmung der IP-Adresse folgende Forderungen zu erfüllen: – Das Anlagennetz muss beim Anlagenhersteller für die Vorinbetriebnahme autark, das heißt ohne Netzinfrastuktur des Zielsystems, lauffähig sein. – Ganze Anlagen oder Teile von Anlagen sollen einfach kopierbar sein. Wenn eine Anlage z.B. aus mehreren gleichen Teilen besteht oder mehrfach realisiert werden soll, ist die Kopierbarkeit der kompletten Steuerungssoftware sehr hilfreich. – Es ist in Betracht zu ziehen, dass weitere neue Technologien, wie VoIP oder Gebäudeleittechnik, ebenfalls IP-Adressen benötigen werden. – Für Diagnosezwecke soll ein Remote-Zugriff über das Werksnetz möglich sein. Um diese Forderungen zu erfüllen, wurden folgende Lösungen untersucht: 1. Verwendung von Adressen des Formats IPv6. Das Nachfolgeformat des derzeit verbreiteten IPv4 wurde bereits 1995 entwickelt. Es soll den seit Langem absehbaren weltweiten Mangel an verfügbaren IP-Adressen beseitigen. Die Adressen besitzen eine Länge von 16Byte (128Bit). Die Umstellung auf dieses Format erfolgt weltweit nur langsam. Das größte mit IPv6 betriebene Netz befindet sich in China und verbindet 25 Universitäten in 20 Städten. Die Firma Siemens teilte auf Anfrage mit, dass nicht daran gedacht ist, Profinet auf IPv6-Adressen umzustellen. Somit ist diese zukunftsweisende Lösung leider derzeit nicht realisierbar. 2. Verwendung der offiziell registrierten Class-A-Adresse der Daimler AG. Aufgrund der oben genannten großen Anzahl benötigter Adressen scheidet diese Lösung ebenfalls aus. 3. Verwendung eines NAT-Routers zur Ankopplung der Steuerungsbereiche an das Werksnetz. Der Adress-Engpass kann umgangen werden, wenn man in den Anlagen private Adressen verwendet, die nicht der weltweiten zentralen Adressvergabe unterliegen. Diese Adressen können in verschiedenen Standorten mehrfach verwendet werden, sodass deutlich weniger Adressen benötigt werden. Zur Kommunikation zwischen LANs, die private Adressen verwenden, und dem Internet verwendet man NAT-Router, die eine \’Network Address Translation\‘ durchführen. Sie verfügen über eine Adressumsetzungstabelle, mit der die Umwandlung zwischen privaten und öffentlichen Adressen erfolgt. Wie Bild 8 zeigt, ist der NAT-Router an der Schnittstelle zwischen Steuerungsbereich und Werksnetz einzufügen. Gerätetechnisch kann dies mit einer Firewall kombiniert werden. Folgende Adressbereiche sind als private IP-Adressen festgelegt: – 10.x.x.x (16 777 216 Teilnehmer), – 172.16.x.x 172.31.x.x ( 1 048 576 Teilnehmer) – 192.168.0.x 192.168.255.x (65 536 Teilnehmer) Somit wären bei Verwendung der mit 10 beginnenden Adressen keine Engpässe zu erwarten. 4. Verwendung privater IP-Adressen, die unternehmensweit geroutet werden. Geht man davon aus, dass die Internet-Kommunikation mit den Steuerungsbereichen im Wesentlichen nur aus dem Unternehmensnetz erfolgt, ist eine Umsetzung von privaten auf öffentliche IP-Adressen nicht erforderlich. Steht ein genügend großer privater Adressbereich zur Verfügung, kann die Kommunikation mit den Steuerungsbereichen unternehmensweit mit Routing privater Adressen erfolgen. Der 10er-Bereich mit seinen 16Mio. möglichen Teilnehmern stellt einen solchen Bereich dar. Die Vergabe dieser Adressen muss natürlich im weltweiten Unternehmensnetz koordiniert werden, es darf keine Adresse mehrfach genutzt werden. Für den Zugriff von Fremdunternehmen, z.B. Maschinenherstellern, über das Internet auf die Steuerungsbereiche muss allerdings eine Lösung, z.B. Web-Konferenz-Software, bereitgestellt werden. Die Frage, ob Lösung 3 oder Lösung 4 als Werksstandard festgelegt werden soll, war nicht einfach zu entscheiden, da, wie in Tabelle 1 dargestellt, beide Lösungen unter bestimmten Aspekten wesentliche Vorteile aufweisen. Einige Aussagen zum Thema Security Für einen störungsfreien Betrieb des Gesamtnetzes ist sicherzustellen, dass weder vom Automatisierungsbereich Gefährdungen für das Werksnetz ausgehen noch in umgekehrter Richtung unerwünschte Daten in den Automatisierungsbereich eindringen. Durch die direkte Kopplung der Steuerungsbereiche mit dem Werksnetz erhalten viele neu entwickelte Geräte einen Netzzugang, über deren Gefährdungspotenzial derzeit keine Erfahrungen vorliegen. Wünschenswert wäre eine verbindliche Aussage der Hersteller von Automatisierungsgeräten, dass von den Geräten keine Gefährdungen im Sinne von IT-Risiken ausgehen. Auch Zertifizierungsstellen, wie akkreditierte Labors der PNO, könnten entsprechende Zertifikate erteilen. Derartige Qualitätsaussagen sind allerdings derzeit nicht zu erhalten. Der Arbeitskreis der Daimler AG hat das Ziel formuliert, den Security-Aufwand bei der Ankopplung von Automatisierungsbereichen auf ein notwendiges Mindestmaß zu beschränken. Es wird versucht, die Ermittlung des Schutzbedarfs der Endgeräte in Steuerungsbereichen mit den für die Geräte im Werksnetz üblichen Methoden zu bestimmen. Auch für die Absicherung sind die seither bewährten Schutzbausteine zu verwenden. Anwenderforderungen an die Hersteller von Industrial-Ethernet-Komponenten Ein großer genereller Kritikpunkt aus Anwendersicht ist die große Zahl von Echtzeit-Ethernet-Varianten. Das Ziel, die Feldbus-Vielfalt durch die Verwendung von Ethernet zu verringern, ist nicht erreicht worden. Im Gegenteil, es gibt derzeit mehr Ethernet-Varianten als bedeutende Feldbusse. Die Hersteller von Automatisierungskomponenten sollten Proprietäre Lösungen vermeiden und die Lösungsvielfalt einschränken. Das Verwenden weniger, standardisierter Echtzeit-Lösungen würde sicherlich die Anwenderakzeptanz von Industrial Ethernet vergrößern. Die sogenannte vertikale Integration wurde als einfach lösbare Aufgabe dargestellt. In der Praxis stellt die Integration jedoch, wie dieser Beitrag zeigt, eine komplexe Herausforderung dar. Zu den Fragen der Netzintegration, der Problematik der IP-Adressierung, den Redundanzstrukturen und der IT-Sicherheit wurden von Seiten der Hersteller und Feldbus-Nutzerorganisationen nur in geringem Maße Lösungsansätze bereitgestellt. Mit den erarbeiteten Lösungen des Arbeitskreises der Daimler AG für die vertikale Integration von Industrial Ethernet ist es nun möglich, Fertigungsanlagen für neue Baureihen komplett mit Industrial Ethernet auszurüsten. Eine erste Fertigungsanlage nach diesen Konzepten ging bereits 2008 in Produktion.