如何使用托管型以太網交換機為 IIoT 實現安全的時間敏感網絡

作者：Jeff Shepard

工業物聯網 (IIoT) 需要為各種設備提供安全、實時和高帶寬的連接。工業 4.0 自動化、水管理、油氣處理、運輸、公用事業電力管理以及類似關鍵應用中的 IIoT 網絡也需要一種高效靈活的方式為設備供電，而且需要一種端口密度高的連接解決方案，以便在最小的空間內支持大量設備。下一代托管型以太網交換機可以滿足這些需求以及其他更多需求。

托管型以太網交換機可進行遠程配置和控制，簡化了網絡部署和更新。它們可以實現各種網絡架構，如具有冗余運行功能的星形和線形拓撲結構，包括符合適用于高可用性自動化網絡的 IEC 62439-1。它們支持 IEEE 802.1 時間敏感網絡 (TSN) 標準以及 IEEE 802.3 以太網供電 (PoE) 和 PoE+ 標準。

這些交換機通過了 ISASecure 計劃認證，適用于基于國際自動化學會/國際電工委員會 (ISA/IEC) 62443 系列標準的現成即用型自動化和控制系統。它們可進行配置，將用于銅纜互連的 10/100BASE TX / RJ45 插槽與可調速度為 100 Mb/秒(Mb/s)、1 Gb/秒(Gb/s) 和 2.5 Gb/s 的三速光纖小型可插拔 (SFP) 插槽組合在一起。

本文首先簡要介紹了從工業 3.0 的自動化金字塔到工業 4.0 的自動化支柱的過渡，回顧了部署網絡以承載緊急和非緊急流量的幾種選擇，并探討了如何融入和實現 TSN。然后，探討了 PoE 和 PoE+ 如何簡化 IIoT 上傳感器、控制裝置和其他設備的供電，并介紹了安全的重要性，包括 ISASecure 認證以及線速訪問控制列表 (ACL) 和自動拒絕服務 (DoS) 防護等高級安全功能。最后，闡述了使用托管型以太網交換機的好處，并介紹了 [Hirschmann] 的幾款典型 [BOBCAT 托管型交換機]。

從金字塔到支柱

從工業 3.0 的金字塔工廠架構到工業 4.0 的支柱架構的轉換，就是 TSN 發展的動力。金字塔將工廠的職能劃分為從車間到中央控制和管理職能的不同層次。實時通信主要需要在工廠車間的最底層進行，因為傳感器數據控制著生產流程。工業 4.0 改變了這種情況。

工業 4.0 的自動化支柱將層級從四個減少到兩個：現場層級和工廠骨干層級?，F場層級包括越來越多的傳感器和越來越豐富的控制器。一些控制器正從金字塔控制/可編程邏輯控制器 (PLC) 層向下移到現場層。與此同時，以前屬于控制/PLC 層的其他功能正在向工廠骨干網移動，與制造執行系統 (MES)、監控和數據采集 (SCADA) 功能以及企業資源規劃 (ERP) 一起組成虛擬 PLC。

連接層將現場層和骨干層聯系在一起。連接層和現場層網絡必須提供高速、低延遲的通信，并能同時傳輸低優先級流量和時間關鍵型流量。TSN 通過在標準以太網網絡上實現實時確定性網絡 (DetNet) 流量來滿足這一要求（圖 1）。

圖 1：從自動化金字塔過渡到自動化支柱具有 TSN 功能的連接鏈路。（圖片：Belden）

三種 TSN 配置

IEEE 802.1 以太網標準詳細說明了 TSN 的三種配置：集中式、去中心化式（也稱為完全分布式），以及集中式網絡和去中心化用戶的混合配置。在每種情況下，配置都是高度自動化的，以簡化 TSN 部署，首先要確定網絡中支持的 TSN 功能，然后激活所需的功能。此時，通話發送設備可發送有關要傳輸的數據流的信息。這三種方法在網絡中處理設備和數據流要求的方式上有所不同。

在集中式配置中，通話者和監聽者通過集中式用戶配置 (CUC) 邏輯設備進行通信。CUC 根據通話者和監聽者信息創建數據流要求，并將其發送到集中式網絡配置 (CNC) 設備。CNC 根據網絡拓撲和資源可用性等因素確定下一個數據流的時隙，并向交換機發送所需的配置信息（圖 2）。

圖 2：集中式 TSN 架構使用 CUC 連接通話方和監聽方，并使用 CNC 向交換機發送配置信息。（圖片來源：Belden）

在去中心化配置中，取消了 CUC 和 CNC，設備要求根據每個設備內部的信息通過網絡傳播。在混合配置中，CNC 用于 TSN 配置，通話設備和監聽設備通過網絡共享其需求（圖 3）。集中式和混合式方法可對網絡交換機進行集中配置（托管式）。

圖 3：去中心化（上）和混合式（下） TSN 配置示例。（圖片來源：Belden）

PoE 總和 PoE+

在工業 4.0 自動化支柱中，以太網供電 (PoE) 是對 TSN 的有力補充。工業 4.0 的驅動力之一是由許多傳感器、執行器和控制器組成的 IIoT。PoE 的開發是為了應對為整個工廠或其他設施的 IIoT 設備供電的挑戰。

PoE 支持通過單根網線同時傳輸高速數據（包括 TSN）和電力。例如，使用 PoE 技術，48 伏直流電源可通過 CAT 5/5e 電纜傳輸長達 100 米。除了簡化網絡安裝外，PoE 還能簡化不間斷電源和冗余電源的實現，提高工業流程和設備的可靠性。

PoE 使用兩類設備：向網絡注入電力的電源設備 (PSE) 和提取并使用電力的用電設備 (PD)。PoE 有兩種類型?；?PoE 可為 PD 提供最大 15.4 W 的功率。PoE+ 是最近發展起來的，可為 PD 提供最高 30 W 的功率。

網絡安全

ISA 和 IEC 已制定了一系列工業自動化和控制系統 (IACS) 標準。ISA/IEC 62443 系列包括四個部分。第 4 部分適用于設備供應商。IEC 62443-4-2 認證設備經過獨立評估，采用安全設計，納入了針對網絡安全的最佳實踐。IACS 安全的兩個重要工具是訪問控制列表 (ACL) 和拒絕服務 (DoS) 攻擊保護。在這兩種情況下，網絡工程師都可以采用多種方法。

ACL 用于允許或拒絕流量進入或離開網絡接口。使用 ACL 的一個好處是，它們以網絡速度運行，不會影響數據吞吐量，這是 TSN 實現中的一個重要考慮因素。Hirschmann 的 HiOS 將 ACL 分成三類：

針對 TCP/IP 流量的基本 ACL，配置選項最少，只可設置權限規則，如“設備 A 只能與這組設備通信”，或“設備 A 只能向設備 B 發送特定類型的信息”，或“設備 A 不能與設備 B 通信”。使用基本 ACL 可以簡化和加快部署。

針對 TCP/IP 流量的高級 ACL，除了上述配置選項外，還提供更精細的控制?？梢愿鶕髁康膬炏燃?、報頭中設置的標志和其他準則來允許或拒絕流量。有些規則只能在一天中的某些時間適用?？蓪⒘髁跨R像到另一個端口進行監控或分析?？梢詫⑻囟愋偷牧髁繌娭苽鬏數街付ǖ亩丝?，而不管其原來的目的地是哪里。

有些 IACS 設備不使用 TCP/IP，而 HiOS 還允許根據媒體訪問控制 (MAC) 尋址在以太網幀級別設置 ACL。這些 MAC 級 ACL 可根據一系列準則進行過濾，包括流量類型、時間、源或目標 MAC 地址等（圖 4）。

圖 4：MAC 級 ACL 可用于不使用 TCP/IP 的設備。（圖片來源：Belden）

雖然 ACL 必須配置，但 DoS 防護通常已嵌入設備并自動實現。它可以處理通過 TCP/IP、傳統 TCP/UDP 和互聯網控制消息協議 (ICMP) 發起的攻擊。在 TCP/IP 和 TCP/UDP 情形下，DoS 攻擊采取與協議棧相關的各種形式，即向受攻擊設備發送不符合標準的數據包?；蛘呤褂檬芄粼O備的 IP 地址向該設備發送數據包，從而可能導致無休止的循環回復。以太網交換機可以通過自動過濾惡意數據包來保護自己和網絡上的傳統設備。

另一種常見的 DoS 攻擊來自 ICMP ping。Ping 的目的是確定整個網絡上設備的可用性和響應時間，但也可用于 DoS 攻擊。例如，攻擊者可以發送一個有效載荷足夠大的 ping，導致接收設備的緩沖區溢出，使協議棧崩潰。如今的托管型以太網交換機可以自動防止基于 ICMP 的 DoS 攻擊。

托管型交換機

Hirschmann 的 BOBCAT 托管型以太網交換機支持 TSN，通過將 SFP 從 1 Gb/s 調整到 2.5 Gb/s，無需更換交換機即可擴展帶寬能力。其端口密度很高，單個設備最多可容納 24 個端口，并提供 SFP 或銅纜上行鏈路端口選擇（圖 5）。其他特性包括：

• ISASecure CSA / IEC 62443-4-2 認證，包括 ACL 和自動 DoS 防護
• 8 個 PoE/PoE+ 端口無需負載分擔即可支持最高 240 W 的功率
• 標準環境工作溫度范圍為 0°C 至 +60°C，擴展溫度型號的工作溫度范圍為 -40°C 至 +70°C
• 通過 ISA12.12.01 危險場所使用認證的型號

圖 5：BOBCAT 托管型以太網交換機有多種配置可供選擇。（圖片來源：Hirschmann）

Hirschmann BOBCAT 交換機實例包括：

• [BRS20-4TX] 配有四個 10/100 BASE TX / RJ45 端口，額定環境溫度為 0°C 至 +60°C
• [BRS20-4TX/2FX]配備四個 10/100 BASE TX / RJ45 端口和兩個 100 Mb/s 光纖端口，額定環境溫度為 0°C 至 +60°C
• [BRS20-4TX/2SFP-EEC-HL]配有四個 10/100 BASE TX / RJ45 端口和兩個 100 Mb/s 光纖端口，額定環境溫度為 -40°C 至 +70°C，通過 ISA12.12.01 危險場所使用認證
• [BRS20-4TX/2SFP-HL] 配有四個 10/100 BASE TX / RJ45 端口和兩個 100 Mb/s 光纖端口，額定環境溫度為 0°C 至 +60°C，通過 ISA12.12.01 危險場所使用認證
• [BRS30-12TX]配備 8 個 10/100 BASE TX / RJ45 端口和 4 個 100 Mb/s 光纖端口，額定環境溫度為 0°C 至 +60°C
• [BRS30-16TX/4SFP]配有十六個 10/100 BASE TX / RJ45 端口和四個 100 Mb/s 光纖端口，額定環境溫度為 0°C 至 +60°C

結語

托管型以太網交換機一般支持 TSN、PoE 和 PoE+，能夠提供高水平的網絡安全，并提供 IIoT 和工業 4.0 支柱網絡結構所需的高帶寬連接。這些交換機易于配置、端口密度高、工作溫度范圍廣，并提供通過 ISA12.12.01 危險場所使用認證的版本。

審核編輯 黃宇