如何使用托管型以太網(wǎng)交換機為 IIoT 實現(xiàn)安全的時間敏感網(wǎng)絡

作者：Jeff Shepard

工業(yè)物聯(lián)網(wǎng) (IIoT) 需要為各種設備提供安全、實時和高帶寬的連接。工業(yè) 4.0 自動化、水管理、油氣處理、運輸、公用事業(yè)電力管理以及類似關鍵應用中的 IIoT 網(wǎng)絡也需要一種高效靈活的方式為設備供電，而且需要一種端口密度高的連接解決方案，以便在最小的空間內(nèi)支持大量設備。下一代托管型以太網(wǎng)交換機可以滿足這些需求以及其他更多需求。

托管型以太網(wǎng)交換機可進行遠程配置和控制，簡化了網(wǎng)絡部署和更新。它們可以實現(xiàn)各種網(wǎng)絡架構，如具有冗余運行功能的星形和線形拓撲結構，包括符合適用于高可用性自動化網(wǎng)絡的 IEC 62439-1。它們支持 IEEE 802.1 時間敏感網(wǎng)絡 (TSN) 標準以及 IEEE 802.3 以太網(wǎng)供電 (PoE) 和 PoE+ 標準。

這些交換機通過了 ISASecure 計劃認證，適用于基于國際自動化學會/國際電工委員會 (ISA/IEC) 62443 系列標準的現(xiàn)成即用型自動化和控制系統(tǒng)。它們可進行配置，將用于銅纜互連的 10/100BASE TX / RJ45 插槽與可調(diào)速度為 100 Mb/秒(Mb/s)、1 Gb/秒(Gb/s) 和 2.5 Gb/s 的三速光纖小型可插拔 (SFP) 插槽組合在一起。

本文首先簡要介紹了從工業(yè) 3.0 的自動化金字塔到工業(yè) 4.0 的自動化支柱的過渡，回顧了部署網(wǎng)絡以承載緊急和非緊急流量的幾種選擇，并探討了如何融入和實現(xiàn) TSN。然后，探討了 PoE 和 PoE+ 如何簡化 IIoT 上傳感器、控制裝置和其他設備的供電，并介紹了安全的重要性，包括 ISASecure 認證以及線速訪問控制列表 (ACL) 和自動拒絕服務 (DoS) 防護等高級安全功能。最后，闡述了使用托管型以太網(wǎng)交換機的好處，并介紹了 [Hirschmann] 的幾款典型 [BOBCAT 托管型交換機]。

從金字塔到支柱

從工業(yè) 3.0 的金字塔工廠架構到工業(yè) 4.0 的支柱架構的轉換，就是 TSN 發(fā)展的動力。金字塔將工廠的職能劃分為從車間到中央控制和管理職能的不同層次。實時通信主要需要在工廠車間的最底層進行，因為傳感器數(shù)據(jù)控制著生產(chǎn)流程。工業(yè) 4.0 改變了這種情況。

工業(yè) 4.0 的自動化支柱將層級從四個減少到兩個：現(xiàn)場層級和工廠骨干層級?，F(xiàn)場層級包括越來越多的傳感器和越來越豐富的控制器。一些控制器正從金字塔控制/可編程邏輯控制器 (PLC) 層向下移到現(xiàn)場層。與此同時，以前屬于控制/PLC 層的其他功能正在向工廠骨干網(wǎng)移動，與制造執(zhí)行系統(tǒng) (MES)、監(jiān)控和數(shù)據(jù)采集 (SCADA) 功能以及企業(yè)資源規(guī)劃 (ERP) 一起組成虛擬 PLC。

連接層將現(xiàn)場層和骨干層聯(lián)系在一起。連接層和現(xiàn)場層網(wǎng)絡必須提供高速、低延遲的通信，并能同時傳輸?shù)蛢?yōu)先級流量和時間關鍵型流量。TSN 通過在標準以太網(wǎng)網(wǎng)絡上實現(xiàn)實時確定性網(wǎng)絡 (DetNet) 流量來滿足這一要求（圖 1）。

圖 1：從自動化金字塔過渡到自動化支柱具有 TSN 功能的連接鏈路。（圖片：Belden）

三種 TSN 配置

IEEE 802.1 以太網(wǎng)標準詳細說明了 TSN 的三種配置：集中式、去中心化式（也稱為完全分布式），以及集中式網(wǎng)絡和去中心化用戶的混合配置。在每種情況下，配置都是高度自動化的，以簡化 TSN 部署，首先要確定網(wǎng)絡中支持的 TSN 功能，然后激活所需的功能。此時，通話發(fā)送設備可發(fā)送有關要傳輸?shù)臄?shù)據(jù)流的信息。這三種方法在網(wǎng)絡中處理設備和數(shù)據(jù)流要求的方式上有所不同。

在集中式配置中，通話者和監(jiān)聽者通過集中式用戶配置 (CUC) 邏輯設備進行通信。CUC 根據(jù)通話者和監(jiān)聽者信息創(chuàng)建數(shù)據(jù)流要求，并將其發(fā)送到集中式網(wǎng)絡配置 (CNC) 設備。CNC 根據(jù)網(wǎng)絡拓撲和資源可用性等因素確定下一個數(shù)據(jù)流的時隙，并向交換機發(fā)送所需的配置信息（圖 2）。

圖 2：集中式 TSN 架構使用 CUC 連接通話方和監(jiān)聽方，并使用 CNC 向交換機發(fā)送配置信息。（圖片來源：Belden）

在去中心化配置中，取消了 CUC 和 CNC，設備要求根據(jù)每個設備內(nèi)部的信息通過網(wǎng)絡傳播。在混合配置中，CNC 用于 TSN 配置，通話設備和監(jiān)聽設備通過網(wǎng)絡共享其需求（圖 3）。集中式和混合式方法可對網(wǎng)絡交換機進行集中配置（托管式）。

圖 3：去中心化（上）和混合式（下） TSN 配置示例。（圖片來源：Belden）

PoE 總和 PoE+

在工業(yè) 4.0 自動化支柱中，以太網(wǎng)供電 (PoE) 是對 TSN 的有力補充。工業(yè) 4.0 的驅(qū)動力之一是由許多傳感器、執(zhí)行器和控制器組成的 IIoT。PoE 的開發(fā)是為了應對為整個工廠或其他設施的 IIoT 設備供電的挑戰(zhàn)。

PoE 支持通過單根網(wǎng)線同時傳輸高速數(shù)據(jù)（包括 TSN）和電力。例如，使用 PoE 技術，48 伏直流電源可通過 CAT 5/5e 電纜傳輸長達 100 米。除了簡化網(wǎng)絡安裝外，PoE 還能簡化不間斷電源和冗余電源的實現(xiàn)，提高工業(yè)流程和設備的可靠性。

PoE 使用兩類設備：向網(wǎng)絡注入電力的電源設備 (PSE) 和提取并使用電力的用電設備 (PD)。PoE 有兩種類型?；?PoE 可為 PD 提供最大 15.4 W 的功率。PoE+ 是最近發(fā)展起來的，可為 PD 提供最高 30 W 的功率。

網(wǎng)絡安全

ISA 和 IEC 已制定了一系列工業(yè)自動化和控制系統(tǒng) (IACS) 標準。ISA/IEC 62443 系列包括四個部分。第 4 部分適用于設備供應商。IEC 62443-4-2 認證設備經(jīng)過獨立評估，采用安全設計，納入了針對網(wǎng)絡安全的最佳實踐。IACS 安全的兩個重要工具是訪問控制列表 (ACL) 和拒絕服務 (DoS) 攻擊保護。在這兩種情況下，網(wǎng)絡工程師都可以采用多種方法。

ACL 用于允許或拒絕流量進入或離開網(wǎng)絡接口。使用 ACL 的一個好處是，它們以網(wǎng)絡速度運行，不會影響數(shù)據(jù)吞吐量，這是 TSN 實現(xiàn)中的一個重要考慮因素。Hirschmann 的 HiOS 將 ACL 分成三類：

針對 TCP/IP 流量的基本 ACL，配置選項最少，只可設置權限規(guī)則，如“設備 A 只能與這組設備通信”，或“設備 A 只能向設備 B 發(fā)送特定類型的信息”，或“設備 A 不能與設備 B 通信”。使用基本 ACL 可以簡化和加快部署。

針對 TCP/IP 流量的高級 ACL，除了上述配置選項外，還提供更精細的控制。可以根據(jù)流量的優(yōu)先級、報頭中設置的標志和其他準則來允許或拒絕流量。有些規(guī)則只能在一天中的某些時間適用?？蓪⒘髁跨R像到另一個端口進行監(jiān)控或分析?？梢詫⑻囟愋偷牧髁繌娭苽鬏?shù)街付ǖ亩丝冢还芷湓瓉淼哪康牡厥悄睦铩?/p>

有些 IACS 設備不使用 TCP/IP，而 HiOS 還允許根據(jù)媒體訪問控制 (MAC) 尋址在以太網(wǎng)幀級別設置 ACL。這些 MAC 級 ACL 可根據(jù)一系列準則進行過濾，包括流量類型、時間、源或目標 MAC 地址等（圖 4）。

圖 4：MAC 級 ACL 可用于不使用 TCP/IP 的設備。（圖片來源：Belden）

雖然 ACL 必須配置，但 DoS 防護通常已嵌入設備并自動實現(xiàn)。它可以處理通過 TCP/IP、傳統(tǒng) TCP/UDP 和互聯(lián)網(wǎng)控制消息協(xié)議 (ICMP) 發(fā)起的攻擊。在 TCP/IP 和 TCP/UDP 情形下，DoS 攻擊采取與協(xié)議棧相關的各種形式，即向受攻擊設備發(fā)送不符合標準的數(shù)據(jù)包?；蛘呤褂檬芄粼O備的 IP 地址向該設備發(fā)送數(shù)據(jù)包，從而可能導致無休止的循環(huán)回復。以太網(wǎng)交換機可以通過自動過濾惡意數(shù)據(jù)包來保護自己和網(wǎng)絡上的傳統(tǒng)設備。

另一種常見的 DoS 攻擊來自 ICMP ping。Ping 的目的是確定整個網(wǎng)絡上設備的可用性和響應時間，但也可用于 DoS 攻擊。例如，攻擊者可以發(fā)送一個有效載荷足夠大的 ping，導致接收設備的緩沖區(qū)溢出，使協(xié)議棧崩潰。如今的托管型以太網(wǎng)交換機可以自動防止基于 ICMP 的 DoS 攻擊。

托管型交換機

Hirschmann 的 BOBCAT 托管型以太網(wǎng)交換機支持 TSN，通過將 SFP 從 1 Gb/s 調(diào)整到 2.5 Gb/s，無需更換交換機即可擴展帶寬能力。其端口密度很高，單個設備最多可容納 24 個端口，并提供 SFP 或銅纜上行鏈路端口選擇（圖 5）。其他特性包括：

• ISASecure CSA / IEC 62443-4-2 認證，包括 ACL 和自動 DoS 防護
• 8 個 PoE/PoE+ 端口無需負載分擔即可支持最高 240 W 的功率
• 標準環(huán)境工作溫度范圍為 0°C 至 +60°C，擴展溫度型號的工作溫度范圍為 -40°C 至 +70°C
• 通過 ISA12.12.01 危險場所使用認證的型號

圖 5：BOBCAT 托管型以太網(wǎng)交換機有多種配置可供選擇。（圖片來源：Hirschmann）

Hirschmann BOBCAT 交換機實例包括：

• [BRS20-4TX] 配有四個 10/100 BASE TX / RJ45 端口，額定環(huán)境溫度為 0°C 至 +60°C
• [BRS20-4TX/2FX]配備四個 10/100 BASE TX / RJ45 端口和兩個 100 Mb/s 光纖端口，額定環(huán)境溫度為 0°C 至 +60°C
• [BRS20-4TX/2SFP-EEC-HL]配有四個 10/100 BASE TX / RJ45 端口和兩個 100 Mb/s 光纖端口，額定環(huán)境溫度為 -40°C 至 +70°C，通過 ISA12.12.01 危險場所使用認證
• [BRS20-4TX/2SFP-HL] 配有四個 10/100 BASE TX / RJ45 端口和兩個 100 Mb/s 光纖端口，額定環(huán)境溫度為 0°C 至 +60°C，通過 ISA12.12.01 危險場所使用認證
• [BRS30-12TX]配備 8 個 10/100 BASE TX / RJ45 端口和 4 個 100 Mb/s 光纖端口，額定環(huán)境溫度為 0°C 至 +60°C
• [BRS30-16TX/4SFP]配有十六個 10/100 BASE TX / RJ45 端口和四個 100 Mb/s 光纖端口，額定環(huán)境溫度為 0°C 至 +60°C

結語

托管型以太網(wǎng)交換機一般支持 TSN、PoE 和 PoE+，能夠提供高水平的網(wǎng)絡安全，并提供 IIoT 和工業(yè) 4.0 支柱網(wǎng)絡結構所需的高帶寬連接。這些交換機易于配置、端口密度高、工作溫度范圍廣，并提供通過 ISA12.12.01 危險場所使用認證的版本。

審核編輯 黃宇