Busunabhängige Sicherheit mit openSafety

OpenSafety steht nun für alle wichtigen Echtzeit-Ethernet-Protokolle zur Verfügung und bietet für rund 90% des Industrial-Ethernet-Marktes eine einsatzbereite und unabhängige Safety-Technologie. Mit Kommunikationszyklen im Mikrosekundenbereich garantiert das von TÜV Rheinland und TÜV Süd zertifizierte Protokoll kurze Reaktionszeiten sowie hohe Sicherheit und eignet sich für die Verwendung in Systemen mit bis zu SIL 3. Im Folgenden wird erklärt, wieso sich bei openSafety mit beliebigen Transportprotokollen sichere Netzwerke realisieren lassen und durch welche Mechanismen das sicherheitsgerichtete Protokoll die Datenintegrität gewährleistet. Das \’Black-Channel-Prinzip\‘ Durch das vollständige \’Black-Channel-Prinzip\‘ lässt sich openSafety für alle Industrial-Ethernet-Lösungen, aber auch Feldbusse und branchenspezifische Kommunikationslösungen verwenden. \’Black-Channel-Prinzip\‘ bedeutet, dass es für die Funktionalität des Sicherheitsprotokolls keine Rolle spielt, durch welches Transportprotokoll seine Safety-Frames transportiert werden, da alle sicherheitsgerichteten Mechanismen ausschließlich auf der Anwendungsebene integriert sind und ihre Funktionalität von der unterlagerten Transportschicht unabhängig ist. Im standardisierten \’Open-Systems Interconnection\‘-Datenkommunikat-ionsmodell (OSI) werden die Aufgaben, die informationsverarbeitende Systeme zur Übermittlung von Daten bewältigen müssen, in einem hierarchisch gegliederten Ebenensystem mit sieben Schichten dargestellt. Die grundlegenden, untersten Schichten sind die Bit-Übertragungsschicht und die Sicherungsschicht, die gemeinsam auch als physikalische Schichten bezeichnet werden. Die dritte und vierte Schicht werden als \’Übertragungsschichten\‘ bezeichnet. Sie regeln sowohl die zeitliche und logische Übertragung der Daten als auch ihre Zuordnung zu den Anwendungen. Gemeinsam umfassen diese vier Schichten alle transportorientierten Dienste. Die Anwendungsschicht ist die oberste Schicht im OSI-Modell. Sie stellt den eigentlichen Anwendungen, die von diesem Modell nicht mehr erfasst werden, unterschiedliche Dienste zur Verfügung. Bild 3 veranschaulicht in einer Anlehnung an das OSI-Modell, dass openSafety nur die oberen, anwendungsorientierten Schichten des Protokollstacks spezifiziert. Die hier angesiedelten Safety-Mechanismen sorgen für die sicherheitsgerichtete Codierung bzw. Decodierung der Nutzdaten der jeweiligen sicherheitskritischen Applikation. Der blaue Bereich fasst vereinfachend die transportorientierten Schichten 2-6 zusammen. Welches Transportprotokoll für openSafety gewählt wird, ist somit zweitrangig. Deshalb kann openSafety ebenso für individuell angepasste, nicht zertifizierte Bussysteme verwendet werden. Auch einkanalige, unsichere Transportnetzwerke können ohne Einschränkung der Sicherheitsfunktionalität als Kommunikationsbasis verwen­det werden, da openSafety alle übermittelten Dateninhalte auf Vollständigkeit überprüft, die Übertragungsdauer kontinuierlich überwacht und somit jeden Übertragungsfehler sofort registriert. Der openSafety-Frame OpenSafety zeichnet sich im Wesentlichen durch die Einkapselung der sicherheitsrelevanten Daten in ein flexibles Telegrammformat aus. So nutzt das Protokoll, ganz gleich, ob es Nutzdaten trägt oder ob es der Konfiguration oder zeitlichen Synchronisation dient, für alle Anwendungen einen Frame mit einheitlichem Format. Dabei verdoppelt openSafety den ursprünglich zu übertragenden Frame und fügt die beiden identischen Frames in einem Frame zusammen. Der openSafety-Frame besteht also aus zwei Unterframes mit identischem Inhalt. Jeder Unter-Frame wird mit einer eigenen Prüfsumme gesichert. Der Empfänger vergleicht den identischen Inhalt beider Unterframes. Die Wahrscheinlichkeit, dass in zwei Frames die gleichen Daten verändert bzw. zerstört werden, ist extrem gering und nimmt bei zunehmender Frame-Länge immer weiter ab. Davon abgesehen, dienen selbst im Ausnahmefall immer noch die Prüfsummen als Korrektiv. Die Länge des Frames ändert sich ebenso variabel wie ökonomisch mit der Menge der Daten, die er zu transportieren hat. Die Safety-Knoten im Netzwerk erkennen automatisch den Inhalt, wodurch sich die Konfiguration von Frametyp und -länge erübrigt. Gewährleistung der Datenintegrität OpenSafety überprüft die übermittelten Dateninhalte mittels Check-Summen-Verfahren unablässig auf ihre Vollständigkeit und überwacht die Übertragungsdauer der Daten. Dabei führen die kurzen Zykluszeiten zu einer fast verzögerungsfreien Erkennung von Ausfällen. Weil auf diese Weise alle Unregelmäßigkeiten im Datenverkehr registriert werden, stellen auch unsichere Netzwerke keine Einschränkung der Sicherheitsfunktionalität dar. Der Zeitstempel gehört zu den wichtigsten Mechanismen von openSafety und verhindert Wiederholungen, vertauschte Reihenfolgen und Verzögerungen. Jedem Datenpaket wird bei seinem Versand die aktuelle Zeit aufgeprägt, wodurch der Empfänger sowohl doppeltes Auslesen vermeidet als auch die zeitliche Reihenfolge verschiedener Pakete sowie Verzögerungen feststellen kann. Open­Safety setzt keine verteilten Uhren voraus; ein spezielles Verfahren synchronisiert die Zeitgeber der Microcontroller in den Teilnehmern verlässlich untereinander. Bei der Zeitüberwachung zur Verhinderung von Fehlern, die durch den Verlust oder übermäßige Verzögerung von Daten verursacht werden, werden die Knoten ständig auf Lebensfunktion und ordnungsgemäßes Funktionieren überwacht. Außerdem erkennt der Consumer an den Anfragen, dass die Datenverbindung nicht unterbrochen ist. Dieser \’Watchdog\‘ genannte Mechanismus wird bei openSafety als softwarebasierte Funktion umgesetzt. Der Identifier schließt Verwechslungen seitens des Empfängers aus: openSafety-Frames verfügen über eine eindeutige Kennung, die 8 oder 16Bit groß sind und aus einem Code besteht, der aus Teilen des Adressfeldes, des enthaltenen Telegrammtypus und des Frametyps gebildet wird. Das zuverlässigste Mittel, um Veränderungen des ursprünglichen Inhaltes zu erkennen, ist das CRC-Verfahren, das aus jedem Datensatz durch Polynomdivision eine Prüfsumme bildet, die gemeinsam mit dem Polynom als Bitfolge dem Datensatz angehängt wird. Die Prüfsumme codiert in unverwechselbarer Form den Datensatz. Der Empfänger errechnet aus der Bitfolge und dem Schlüssel den ursprünglichen Datensatz und vergleicht das Ergebnis mit dem uncodierten Datensatz. Bei Abweichungen des ursprünglichen Dateninhalts wird die Nachricht ignoriert. Unterstützung durch die EPSG Die EPSG unterstützt aktiv die Verwendung von openSafety mit beliebigen Transportprotokollen und bietet z.B. bei der Zertifizierung und bei Conformance-Tests ihre Hilfe an. Die Offenheit von openSafety gilt sowohl in technischer als auch in rechtlicher Hinsicht: Das Protokoll steht als Open-Source-Software zum kostenfreien Download zur Verfügung. Die BSD-Lizenz sowie die busunabhängige Einsatzmöglichkeit garantieren allen Anwendern und Nutzern der Technologie höchste Investitionssicherheit und ermöglichen Herstellern und Anlagenbetreibern eine deutliche Reduzierung des Entwicklungsaufwands. Hannover Messe 2011 / Halle 9, Stand A30