Ein Echtzeitfähigkeit, funktionale Sicherheit und Betriebsschutz integrierender Feldbus

In der industriellen Automatisierung, wo Feldrechner zunehmend mit öffentlichen Netzen verbunden und Kommunikationswege durch öffentliche Bereiche geführt werden, gewinnt der Betriebsschutz vor externen Bedrohungen zunehmend an Bedeutung. Dies gilt insbesondere, wenn Automatisierungseinrichtungen durch ihre vorbestimmten Funktionen potenzielle Gefahren bergen und die Feldrechner deshalb funktional sichere Steuerungsfunktionen zur Risikominderung ausführen. Da die Nachrüstung marktgängiger Feldbusse oft ungünstige Kompromisse erfordert, zielt diese Arbeit darauf ab, ein Kommunikationssystem für die Feldebene zu spezifizieren, das fehlertolerante Echtzeitdienste für sichere Steuerungen bietet und zugleich durch inhärente Schutzmaßnahmen immunisiert ist.

Das entwickelte System unterstützt sowohl einkanalige als auch parallelredundante Feldrechner und ermöglicht fehlertolerante Echtzeitkommunikation für zyklische oder ereignisinitiierte Datenübertragung. Gemäß einer Bedrohungsanalyse integrierte Schutzmaßnahmen immunisieren die funktionalen Eigenschaften aller Komponenten gegen zufällige Fehler sowie gegen systematisch gestörte Feldrechner und Kommunikationswege. Diese hinreichenden Maßnahmen werden ausschließlich in unteren Kommunikationsschichten implementiert und sind unabhängig betriebsfähig. Dabei wird verlustfreie Kommunikation unter Störbedingungen durch eine verzögerungsfreie, zweistufige Laststeuerung optimiert. Diese sorgt für kanalübergreifende Lastnivellierung und kanalspezifische Leistungsreduktion bei drohender Überlast zugunsten sicherheitsgerichteter Kommunikation. Zur weiteren Absicherung werden zwei neue Verfahren für kombinierte kryptographische Kanalcodierungen vorgestellt, die die Bedingungen für fehlertolerante Echtzeitkommunikation ausnutzen und Vorwärtsfehlerkorrektur mit gleichzeitiger Sicherung der Übertragungsintegrität mittels Symbolgrenzenverschleierung und Einmalverschlüsselung bieten. Teilnehmerspezifische Authentifikation verhindert unautorisierte Einflussnahme auf die Datenübertragung und ist ferner Grundlage zum Schutz der Synchronisations- und Zeitabläufe. Durch autarke Analyse des Kommunikationsverhaltens erkennt und blockiert zudem eine gerätetechnisch unveränderliche Schutzeinrichtung Verletzungen des Kommunikationsprotokolls und unerwartete Übertragungsversuche.

Im Ergebnis wird ein neuartiger und integrierter Ansatz für ein Feldbussystem präsentiert, das Fehlertoleranz und Echtzeitfähigkeit mit Betriebsschutz verbindet. Der Betriebsschutz in den untersten Protokollebenen zeichnet sich durch eine bisher unerreichte Immunität gegenüber Störungen oder Implementierungsfehler in den Feldrechnern aus, da er autark betriebsfähig und isoliert ist. In Kombination mit applikationsspezifischen Schutzmaßnahmen in höheren Protokollebenen wird eine neue, zusätzliche Schutzebene zur Stärkung der Tiefenwirkung geschaffen, wobei beide Ebenen jedoch voneinander unabhängig bleiben und negative Wechselwirkungen somit ausgeschlossen werden.  Die Wirksamkeit der Schutzmaßnahmen wird anhand von Auswirkungs- und Fehlerbaumanalysen überprüft. Berechnungen belegen die Einhaltung der korrekten Zeitabläufe auf und zwischen den einzelnen Übertragungskanälen. Ergänzend wird ein Regelwerk aufgestellt, mit dem applikationsspezifische Kommunikationspläne auf ihre zeitgerechte und schützbare Verarbeitung hin geprüft werden können.