Sieci przemysłowe. Dobór i cyberbezpieczeństwo

Sieć przemysłowa jest tym dla systemu automatyki tym, czym jest kręgosłup dla człowieka. Dzięki niej dany system może realizować złożone procesy. Wśród sieci można wyróżnić rozwiązania bezprzewodowe oraz przewodowe. Wśród tych drugich – sieci polowe oraz sieci oparte na protokole Ethernet. Te ostatnie zdecydowanie zyskują na popularności i coraz śmielej wypierają połączenia typu polowego z przestrzeni przemysłowych, w szczególności w systemach projektowanych od podstaw.

Rozwiązania fieldbus

Jedną z grup przemysłowych sieci komunikacyjnych stanowią sieci typu fieldbus (polowe). Wśród nich duży udział rynkowy ma Profibus, który został opracowany przez firmę Siemens. W opisywanym standardzie można wyróżnić trzy profile – DP, FMS i PA. Idea komunikacji w Profibus DP opiera się na istnieniu urządzeń stanowiących węzły nadrzędne, które odpytują podległe sobie komponenty, czyli węzły podrzędne. Tym samym wykorzystuje architekturę typu master – slave. Urządzenia podrzędne nie komunikują się ze sobą, a komponenty – węzły nadrzędne inicjują komunikację i odpytują urządzenia sobie podległe. Warstwę fizyczną opisywanego standardu stanowi interfejs szeregowy RS-485.

Innym standardem z grupy sieci fieldbus jest DeviceNet, który został opracowany przez Rockwell Automation. Również w tym przypadku wymiana informacji następuje na poziomie pojedynczych urządzeń. Dana zmienna może mieć tylko jednego nadawcę, liczba odbiorców może być większa. Magistrala DeviceNet składa się z dwóch par skręconych przewodów. Jedna z nich służy do zasilania, zaś druga do komunikowania się między urządzeniami i przesyłania danych.

Elastyczność

Modbus jest kolejnym z protokołów komunikacyjnych używanych w sieciach przemysłowych. Jego twórcą jest firma Schneider Electric. Wyróżnia się trzy rodzaje komunikacji Modbus – RTU, ASCII oraz TCP.

Pierwszy z nich bazuje na asynchronicznej transmisji szeregowej RS-232 i RS-485. Dane są transmitowane w formie binarnej, a sprawdzaniu poprawności przesyłu służą sumy kontrolne. W zapytaniu występuje oznaczenie adresata wiadomości. Modbus ASCII różni się od RTU formatem danych, które są zapisywane w kodzie szesnastkowym, z wykorzystaniem znaków kodu ASCII.

Rosnąca popularność komunikacyjnych rozwiązań ethernetowych w przemyśle spowodowała wyodrębnienie się ze standardu Modbus sieci Modbus TCP. Ważnym wyzwaniem było osiągnięcie kompatybilności wstecznej. Typowe pakiety Modbus RTU są poprzedzane odpowiednimi nagłówkami, a następnie przesyłane z użyciem sieci Ethernet zamiast połączeniami szeregowymi.

Regulacja dostępności

Jednym ze standardów sieci przemysłowych opartym na protokole Ethernet jest również Ethernet Powerlink, którego twórcą była firma B&R. Obecnie można spotkać go jako element zintegrowany ze sterownikami w urządzeniach takich firm jak Kuka czy Yaskawa. Nad jego rozwojem czuwa organizacja Ethernet Powerlink Standardization Group. Wyróżnikiem opisywanego standardu jest podział czasu przesyłu na dane izochroniczne i asynchroniczne. Dzięki takiemu działaniu wszystkie urządzenia uczestniczą w przesyle danych podczas cyklicznego odpytywania przez sterownik. Odpowiedź jest natychmiastowa, co zapobiega ewentualnym kolizjom danych. Po czasie na to przeznaczonym następuje asynchroniczna transmisja niekrytycznych danych, która angażuje tylko wybrane urządzenie. Za koordynację procesu transmisji odpowiada węzeł nadrzędny, który przydziela uprawnienia innym węzłom.

Ekspresowa ramka

Kolejnym standardem sieci przemysłowej typu Ethernet jest EtherCAT opracowany przez firmę Beckhoff Automation. Inni producenci coraz częściej umożliwiają korzystanie z EtherCAT, dostosowując do niego swoje komponenty. Tak robią m.in. ABB, Festo, Mitsubishi Electric czy Schneider Electric. EtherCAT swój rozwój zawdzięcza organizacji EtherCAT Technology Group. Opiera swoje działanie na ramce, która wygenerowana przez nadrzędny sterownik przechodzi przez kolejne urządzenia podpięte do sieci. Każde z nich sprawdza obecność komunikatów i zapytań skierowanych bezpośrednio do nich. W tym samym cyklu przesyłu ramki, urządzenie odpowiada w razie istnienia takiej potrzeby na zapytania oraz kreuje zapytania do innych urządzeń, a następnie przekazuje uzupełnioną w ten sposób ramkę do kolejnego urządzenia. Wymiana informacji następuje więc w locie, a ramka przypomina pociąg, który przejeżdża przez wszystkie urządzenia na swojej trasie. Na kolejnych stacjach dekodowany jest tylko fragment ramki z odpowiednim adresem, co zapobiega zbędnemu odczytywaniu przez każde urządzenia całej ramki, która zawiera dużo informacji. Tym samym można osiągnąć dużo lepszy czas transmisji.

Priorytetyzacja

Innym standardem komunikacji spotykanym w przemyśle jest opracowany przez firmę Rockwell Automation standard EtherNet/IP. Kluczowy jest podział pakietów na te zawierające dane konfiguracyjne i diagnostyczne o zwykłym priorytecie, które są wysyłane za pomocą protokołu TCP oraz pakiety zawierające dane krytyczne czasowo. Dzięki odpowiedniej synchronizacji oraz priorytetyzacji możliwa jest szybka transmisja tych drugich z użyciem protokołu UDP. Komponenty przystosowane do komunikowania się za pomocą
EtherNet/IP można znaleźć w ofertach takich firm jak: Rockwell Automation, Bosch Rexroth, Parker Hannifin czy Wago.

Bardzo popularnym standardem komunikacyjnym jest Profinet, który został opracowany przez firmę Siemens. Podstawowa jego wersja służy przesyłaniu danych niekrytycznych czasowo, np. konfiguracyjnych. W przypadku danych krytycznych czasowo wymagane jest używanie sieci Profinet w wersji czasu rzeczywistego, gdzie kluczowe informacje są przesyłane w pierwszej kolejności. Inną odmianą jest Profinet z transmisją izochroniczną wykorzystywany w aplikacjach, w których istotną rolę odgrywa synchronizacja czasowa. Możliwość komunikacji za pomocą standardu Profinet jest spotykana w urządzeniach firm Danfoss, SEW Eurodrive, Phoenix Contact czy Siemens.

Ethernet czy fieldbus?

Jedną z zalet stosowania Ethernet przemysłowego jest duża prędkość transmisji danych. Jednak nie każda aplikacja potrzebuje tej właściwości. Często zdarza się, że ilość przesyłanych danych ogranicza się do kilku bitów lub nawet jednego bita, który odpowiada za sterowanie jakimś wyjściem cyfrowym, na dodatek zmiana stanu następuje rzadko – co kilka sekund. Wtedy nie ma potrzeby szybkiej transmisji, którą zapewnia przemysłowy Ethernet. Dobrym przykładem jest sterowanie wylotem zasobnika z surowcem, który uzupełnia układ cyklicznie.

Warto zauważyć, że sprzęt różnych marek używany do budowania sieci opartych na protokole Ethernet jest kompatybilny ze sobą, łatwo w razie potrzeby zamienić go na nowy, można rozbudować sieć i zintegrować z już istniejącymi w przedsiębiorstwie innymi sieciami. Wiedza o sieciach Ethernet jest też powszechniejsza niż ta o rozwiązaniach fieldbusowych. Do sterowania i kontroli rozproszonych systemów automatyki doskonale nadają się światłowody, które pozwalają ograniczyć zakłócenia oraz są odporne na zaburzenia elektromagnetyczne pochodzące z maszyn i urządzeń. Argumentem przemawiającym za siecią fieldbus jest to, że przesył danych między urządzeniami z nim kompatybilnymi jest odizolowany od innych systemów. W związku z powyższym automatycznie powstaje fizyczna bariera, która likwiduje możliwość nieautoryzowanego dostępu czy cyberataku z zewnątrz.

Bezpieczeństwo sieci przemysłowych

Korzystanie z sieci przemysłowych w przedsiębiorstwie wiąże się z ryzykiem związanym z nieprawidłowym działaniem, nieautoryzowanym dostępem czy instalacją złośliwego oprogramowania. To ostatnie wiąże się z opóźnienieniem w czasie wyrządzenia szkód i większym problemem z identyfikacją źródła zagrożenia. Co wzmaga zagrożenie? Używanie komponentów i urządzeń z niewspieranymi już systemami operacyjnymi, których polityki bezpieczeństwa nie są już aktualizowane. Innymi czynnikami podwyższającymi ryzyko są: brak ochrony antywirusowej, stosowanie nieszyfrowanych haseł o niskim poziomie skomplikowania, funkcjonowanie w sieci urządzeń niezweryfikowanych lub nieznanych.

W związku z tymi zagrożeniami należy zadbać o kwestie bezpieczeństwa podczas projektowania oraz wdrażania sieci przemysłowej. W dobie cyfryzacji zagrożenia cybernetyczne są coraz większym problemem, a ataki są przygotowywane na coraz wyższym poziomie zaawansowania. Zapobieganie zagrożeniom lub minimalizacja problemów wynikających z ewentualnych szkód cyberataków opiera się w głównej mierze na ograniczaniu dostępu do sieci. Należy zadbać w odpowiednim stopniu o ochronę przed nieautoryzowanym dostępem do urządzeń sieci. Jest to ważne zarówno ze względu na ochronę przed zewnętrznymi cyberatakami, jak i stanowi zabezpieczenie wewnętrzne przed nadużyciami nieuprawnionych pracowników.

Jednym z podstawowych rozwiązań chroniących sieci przed nieautoryzowanym dostępem jest zastosowanie fizycznych barier, jak routery. Warto wydzielić w przedsiębiorstwie podsieci, co pozwoli odseparować sieć przemysłową od biurowej. Poszczególne urządzenia automatyki powinny mieć dostęp wyłącznie do podsieci koniecznych do ich prawidłowego funkcjonowania. Sterownik PLC powinien mieć dostęp do sieci przemysłowej w celu komunikowania się np. z panelem HMI, ale nie potrzebuje dostępu do podsieci dedykowanej stanowiskom biurowym. Odpowiedni podział na podsieci może być trudny, ale im będzie bardziej przemyślany, tym lepiej dla bezpieczeństwa sieciowego w przedsiębiorstwie. W przypadku cyberataku straty są ograniczone, łatwiej jest również o sprawne wznowienie procesu. Dodatkowo odpowiednie wydzielenie podsieci ogranicza ruch sieciowy, co korzystnie wpływa na wydajność całości.

Podstawową linię obrony przed cyberatakami stanowią zapory sieciowe, które filtrują połączenia komunikacyjne, pozwalając na nawiązywanie tylko tych dozwolonych. Zapory są często zintegrowane z komponentami automatyki. Warto również zwrócić uwagę na bezpieczeństwo związane ze zdalnym dostępem. W tym przypadku należy pamiętać o szyfrowaniu połączenia. Wszystkie wymienione wyżej aspekty wymagają funkcjonowania w przedsiębiorstwie odpowiednich procedur bezpieczeństwa sieciowego. Ponadto konieczne jest zatrudnienie wyszkolonego personelu informatycznego, który odpowiednio zabezpiecza i szyfruje dane wrażliwe, nie udostępnia ich osobom postronnym, nadaje użytkownikom sieci tylko konieczne uprawnienia, nie narażając przedsiębiorstwa na zbędne ryzyko.

Warto choć na chwilę zastanowić się nad skutkami potencjalnych cyberataków w odniesieniu do sieci przemysłowych. W zależności od charakteru zaatakowanego obiektu zmiana w konfiguracji lub algorytmie jego systemu sterującego może poskutkować dużymi stratami materialnymi. Zabezpieczenia programowe mogą przestać działać, a urządzenie może zacząć wykonywać ruchy i czynności o charakterze destrukcyjnym, których wykonanie było wcześniej uniemożliwione. Innym źródłem niebezpieczeństwa może być atak związany z systemami diagnostycznymi i wczesnego ostrzegania. Ich zablokowanie lub opóźnienie w czasie może powodować, że obsługa systemów nie zostanie w porę zaalarmowana o potencjalnie niebezpiecznym zdarzeniu. Przestępcy cybernetyczni mogą również próbować zakłócić komunikację między urządzeniami lub celowo zablokować przepływ danych procesowych w sieci. W zależności od jakości projektu sieci może spowodować to w najlepszym przypadku przestój systemu automatyki lub w skrajnych przypadkach jego nieprawidłowe działanie.

Potencjalnie oprócz strat materialnych może dojść do zagrożenia zdrowia i życia osób pracujących w danym przedsiębiorstwie lub w skrajnych przypadkach na większym obszarze dotkniętym skutkami cyberataku. Przykładem takiego zagrożenia może być ingerencja w systemy bezpieczeństwa zintegrowane z urządzeniami automatyki. Warto pamiętać również o możliwości doprowadzenia przez przestępców cybernetycznych do katastrofy ekologicznej. Łatwo sobie wyobrazić, że atak na elektrownię czy oczyszczalnię może mieć bardzo dotkliwe skutki oraz dotyczyć dużych obszarów. W dobie ataków zbrojnych, którym towarzyszą również działania cybernetyczne, tematyka bezpieczeństwa sieciowego jest niezwykle istotnym aspektem przy projektowaniu oraz administrowaniu sieci przemysłowych.

Z przewodami czy bez?

Sieci przewodowe stanowią w przemyśle dużo większy udział niż rozwiązania bezprzewodowe. Należy jednak zwrócić uwagę na duże przyrosty roczne dotyczące sieci bezprzewodowych, co wskazuje na ich dynamicznie rosnącą popularność. Czynnikami, które decydują o dużej popularności sieci przewodowych jest istnienie konieczności zasilania urządzeń oraz rosnące ilości danych procesowych, które są pozyskiwane z urządzeń pracujących w sieci. Warto jednak podkreślić, że stosowanie połączeń przewodowych ma wady w postaci kosztów okablowania oraz trudności, które dotyczą przeprowadzania potencjalnych rekonfiguracji w przyszłości. Sieci bezprzewodowe pozwalają uniknąć kosztów z tym powiązanych. Umożliwiają ponadto większą elastyczność oraz mobilność. Urządzenia pracujące w sieci mogą przemieszczać się w jej zasięgu.

Sieci bezprzewodowe są podatne na interferencje, zaniki oraz zakłócenia, co jest głównym argumentem wykorzystywanym przez zwolenników rozwiązań przewodowych. Faktem jest, że sygnał rozchodzący się wewnątrz hal produkcyjnych ulega dyfrakcji, rozpraszaniu, odbijaniu i tłumieniu. Podczas projektowania systemów bezprzewodowych należy brać te czynniki pod uwagę. Pomocne mogą okazać się modele propagacyjne, czyli algorytmy uwzględniające wymienione zjawiska. Warto jednak dla przeciwwagi zauważyć, że przerwanie ciągłości przewodu czy uszkodzenie komponentu sieciowego również może spowodować problemy komunikacyjne.

Ciekawym rozwiązaniem jest hybryda opisywanych typów sieci. Komunikacja bezprzewodowa może stanowić doskonałe uzupełnienie rozwiązań przewodowych. Oba typy sieci mogą być dla siebie wsparciem i z powodzeniem ze sobą współpracować.

Przykładem zastosowania rozwiązań bezprzewodowych, najlepiej obrazującym potrzebę ich stosowania w przemyśle, są pojazdy autonomiczne AGV. Coraz częściej są one wykorzystywane w nowoczesnych zakładach produkcyjnych do transportowania surowców i produktów, ponieważ charakteryzują się dużą elastycznością. Kluczową zaletą ich stosowania jest właśnie uniezależnienie się od przewodów.

Komponenty sieci przemysłowych

Na rynku automatyki można znaleźć wiele rodzajów oraz modeli komponentów związanych z sieciami przemysłowymi. Na wstępie należy zauważyć, że o jakości działania, bezawaryjności oraz stopniu zabezpieczenia całej sieci decyduje najsłabszy jej element. To niezwykle istotne w kontekście ogromnej ilości sprzętu dostępnego na rynku, często atrakcyjnego cenowo, ale nieposiadającego stosownych certyfikatów czy odpowiednich parametrów.

Podstawowymi komponentami sieci przemysłowych są switche. W zależności od modelu, oprócz standardowych portów, mogą mieć porty światłowodowe oraz być zintegrowane z punktami dostępowymi sieci bezprzewodowych. Switche umożliwiają transmisję danych, zarządzanie podłączonymi urządzeniami, szyfrowanie oraz limitowanie transmisji. Jedną z firm, która posiada w swojej ofercie dedykowane do przemysłu rozwiązania z kategorii switchy jest Cisco. Przykładem bardzo zaawansowanego modelu jest Seria Cisco Catalyst IE3400Heavy Duty. Stopień ochrony IP67 zapewnia wysoką odporność na zapylenie oraz wodoodporność. Urządzenie umożliwia segmentowanie sieci oparte na oprogramowaniu oraz kontrolę przepływu danych, która pomaga wykrywać zagrożenia i je izolować w celu niedopuszczenia do niepożądanych zachowań urządzeń przyłączonych do sieci.

Kolejnym typem komponentów są konwertery, które służą zamianie medium transmisyjnego, np. na łączenie światłowodowe lub bezprzewodowe. Przy doborze konkretnego modelu należy zwrócić uwagę na odległość transmisji, która będzie realizowana oraz jej prędkość, deklarowane zużycie energii przez konwerter, wymagania związane z zasilaniem przyłączanych urządzeń. Warto również zwrócić uwagę na dostępność takich funkcji jak LFP (Link Fault Pass – through) i FEF (Far End Fault). Mają one zastosowanie wtedy, gdy konwertery tego samego rodzaju są stosowane parami po obu stronach sieci transmisyjnej. Pierwsza z nich zabezpiecza sieć przed kontynuacją połączenia i pracą bez zgłoszenia błędu w przypadku przerwania łączności między switchem a jednym z konwerterów. Wtedy urządzenia znajdujące się za drugim konwerterem nie mają informacji o błędzie w transmisji. Druga ze wspomnianych funkcji jest wykorzystywana, gdy jeden z przewodów łączących konwertery ulegnie uszkodzeniu i transmisja między nimi odbywa się tylko jednokierunkowo. Oczywiste jest, że dochodzi wtedy do nieprawidłowości w działaniu urządzeń przyłączonych do sieci, na co konwertery muszą być przygotowane. Bogatą gamę konwerterów ma w swojej ofercie Moxa, której autoryzowanym dystrybutorem w Polsce jest Elmark Automatyka. W ofercie firmy znajdują się różnorodne konwertery umożliwiające łączenie różnych typów sieci przemysłowych.

Wśród komponentów sieciowych należy również wyróżnić moduły wejść/wyjść. Zapewniają one możliwość dołączenia do sieci czujników oraz urządzeń wykonawczych, w tym napędów. Moduły występują w wielorakich kombinacjach o charakterze cyfrowym oraz analogowym. Łatwo rozbudować sieć, używając kolejnych modułów.

Innymi produktami stosowanymi w sieciach przemysłowych są karty sieciowe. Umożliwiają one fizyczne realizowanie interfejsu. Obecnie jednak są to najczęściej elementy zintegrowany z płytami głównymi komputerów i sterowników.

Wśród komponentów sieciowych można również znaleźć punkty dostępowe, które znajdują zastosowanie w bezprzewodowych sieciach przemysłowych. Jednym z przykładów może posłużyć Aaeon FWS-2280 z oferty firmy CSI, która specjalizuje się w przemysłowych urządzeniach związanych z komputerami oraz sieciami. Wspomniany komponent ma certyfikat flexiWAN, uwzględniając potrzeby sieci, w której pracuje. Zapewnia bezpieczne szyfrowanie połączenia, jest wyposażony w cztery miedziane porty Ethernet, jeden światłowodowy, ma sześć portów antenowych i trzy gniazda miniPCIe, umożliwia instalację do trzech modułów bezprzewodowych. Urządzenie jest ponadto wyposażone w redundantne zasilanie.

Podsumowanie

Niezaprzeczalnie tematyka sieci przemysłowych jest kluczowa dla współczesnego przemysłu. Przesył danych pomiędzy poszczególnymi urządzaniami umożliwia budowanie złożonych systemów automatyki o wysokim stopniu zautomatyzowania. Mnogość możliwości, które są oferowane na rynku sprawia, że każdy powinien znaleźć rozwiązanie odpowiednie dla swojej aplikacji. Bardzo popularne jest łączenie różnego typu sieci w jeden organizm, np. użycie technologii bezprzewodowej do sterowanie jednym z urządzeń w przedsiębiorstwie, w którym cała sieć jest przewodowa.

Wydaje się, że z biegiem czasu zaobserwowane trendy, dotyczące wyborów przedsiębiorców w zakresie sieci przemysłowych, będą kontynuowane i w szczególności nowe aplikacje oraz systemy automatyki budowane od podstaw będą wyposażane w sieci bazujące na protokole Ethernet. Cały czas należy mieć na uwadze bezpieczeństwo przesyłu danych. W związku z przebiegłością cyberprzestępców nieustanne trzeba aktualizować bazę wiedzy i znajdować nowe rozwiązania prewencyjne.

źródło: Automatyka 10/2022