Kommunikationssicherheit in Ethernet-Netzwerken

Der Einsatz von Ethernet im industriellen Umfeld wird seit einigen Jahren nachdrücklich vorangetrieben. Aus gutem Grund: Mit der Durchgängigkeit der Büro-IT zur Feldebene ist ein wichtiger Schritt in Richtung Transparenz der Produktionsprozesse und Integrität der Daten getan, die verarbeitet werden und die wiederum zur Unternehmenssteuerung eingesetzt werden können. In diesem Zusammenhang werden auch neue Komponenten eingesetzt, etwa ethernetbasierte Lösungen wie Profinet an Stelle von herkömmlichen Feldbussen. Der Plausibilität des Ethernetansatzes auf der einen Seite steht auf der anderen die immer noch zögerliche Umsetzung im Feld gegenüber. Die Gründe dafür sind nachvollziehbar: Das Know-how für die bisherigen Feldbuslösungen ist weit verbreitet. Neue, leistungsfähigere Lösungen wie Ethernet müssen deshalb auf der Anwendungsebene auf breiter Front erprobt und das Know-how verankert werden, bevor sie sich durch ihre bessere Performance durchsetzen können. Hinzu kommt, dass die Anwender sich von gewohnten Aufgabenteilungen verabschieden müssen. Automatisierungs-Know-how und IT-Know-how, die bislang institutionell voneinander deutlich getrennt waren, werden nun zusammengeführt. Ein Problem, das durch fachliche Kooperation beider Seiten oder durch die Neudefinition von Kompetenzprofilen häufig schon gelöst wurde. Determinismus als Anforderung Ein entscheidender Punkt bei der Integration von IT in die Automatisierung ist der Zwang auf der Automatisierungsebene, Anlagen präzise, schnell und vor allem zeitlich punktgenau steuern zu können. Ethernet kennt per se kein deterministisches Zeitverhalten. Die Automatisierung fordert aber genau das, sodass für die Umsetzung von Ethernet das technische Problem Determinismus gelöst werden muss. Der mangelnde Determinismus des Ethernet wird in folgendem Beispiel erkennbar (Bild 1). Sendet die Steuerung einen Automatisierungsbefehl über eine Strecke von drei Switchen z.B. zu einem Antrieb, kann die Übertragungszeit schnell die erforderliche Antwortzeit ansteigen. Der Ausgangsport des ersten Switches wird im Beispiel durch das Senden eines langen IT-Befehls blockiert. Der Automatisierungsframe muss warten, bis der Vorgang abgeschlossen ist, weil der IT-Befehl sich schon im Sendevorgang befindet. Die Priorisierung nach IEEE802.1p greift deshalb nicht. Bei einem Frame von 1.500Byte Länge kann dies in jedem Switch zu einer Wartezeit von 120µs führen. Im industriellen Umfeld, in dem meist ausgedehnte Linientopologien installiert sind, führt das zu nicht tolerierbaren Wartezeiten von mehreren Millisekunden. Lösungsvorschläge Derzeit werden verschiedene Lösungen diskutiert. Profinet sieht für diese Anforderung die Conformance Class C mit dem proprietären IRT-Ansatz vor. Dafür werden in jedem Zyklus Zeitphasen für Automatisierungsbefehle reserviert. Dazu muss die Grundidee des Ethernet aufgegeben werden, und es werden spezielle Hardware-Komponenten notwendig. In jedem Endgerät wird ein Hardware-Chip installiert, der für die Regelung des Zeitschemas und damit für den Determinismus der Applikation notwendig ist. So wird die Ethernetkommunikation zwar schnell, deterministisch und isochron, es entstehen jedoch hohe Realisierungskosten, die zu Lasten der Wirtschaftlichkeit des Ethernet-Ansatzes gehen. Bei näherer Betrachtung ist jedoch zu erkennen, dass der offene Ansatz von der Profinet Conformance Class B die meisten Anforderungen der Automatisierung bereits abgedeckt. Allein der Determinismus der Anlagensteuerungskommunikation ist nicht gewährleistet. Die Harting Technologiegruppe hat in der Vergangenheit den Ethernet-Ansatz vehement vorangetrieben und weit reichende Lösungsansätze entwickelt, die die Integration von Büro-IT und Automatisierung forcieren. Anwenderfreundlichkeit, Kostenorientierung und ein konsequent offener Ansatz stehen dabei im Vordergrund. Das hat auch die Lösung für das Determinismus-Problem beeinflusst: Fast Track Switching. Kern ist die Überlegung, dass der Switch aus der Vielzahl der Daten die Profinet-Automatisierungsframes herausliest und sie vorrangig behandelt. Die Automatisierungsframes werden statt im Store-and-forward im Cut-Through Verfahren verarbeitet, was die Latenzzeit im Switch reduziert. Blockiert ein Nicht-Automatisierungsframe einen Ausgangsport, den ein Automatisierungsframe nutzen will, wird der Sendevorgang unterbrochen, um den hochprioren Frame sofort weiter zu leiten. Auf diese Weise werden sie auf eine Überholspur geleitet, die gewährleistet, dass die Befehle unverzüglich und unabhängig von anderem Netzwerkverkehr weitergeleitet werden. Dadurch wird Determinismus mit der Conformance Class B erreicht. Anwender können aus verschiedenen Standard Ethernet Endgeräten wählen, was Kosten senkt und die Anwendungsflexibilität erhöht. Die Notwendigkeit von Chips im Endgerät entfällt. Mit Fast Track Switching lassen sich auch große Segmentlängen und hohe Netzwerklast, wie etwa durch Kameras verursacht, realisieren, was die Netzwerkplanung weiter vereinfacht. Die kurzen Latenzzeiten ermöglichen es, dass in einer Linientopologie mehr Geräte verschaltet werden können, unabhängig von der Netzwerklast. Mit Fast Track Switching wird also ein Determinismus möglich wie sonst nur in einem Conformance Class C Netz. Erfolgreich getestet