Schneller Transport sicherheitsrelevanter Daten über Ethercat

Anbieter zum Thema

Beckhoff Automation GmbH & Co. KG

Klinkhammer Intralogistics GmbH

COSCOM Computer GmbH

Shining 3D Tech Co., Ltd

Die Berechnung der Restfehlerwahrscheinlichkeit für das Safety-over-Ethercat-Protokoll nimmt keinen Kredit von den Fehlererkennungsmechanismen des Kommunikationssystems. Damit ist eine Übertragung des Protokolls auch über andere Kommunikationssysteme möglich.

Safety-Frame wird ohne Einschränkung an sichere I/O-Terminals weitergereicht

Genutzt wird dies unter anderem bei der Verwendung von internen Subbus-Systemen in den Komponenten, wie sie in modularen I/O-Systemen verwendet werden, die einen Buskoppler zum Anschluss an das Steuerungsbussystem besitzen und einen eigenen Subbus zum Einsammeln des Prozessabbilds der gesteckten I/O-Komponenten. Der Safety-Frame kann ohne Einschränkungen vom Ethercat-Buskoppler über den Subbus an die sicheren I/O-Terminals weitergereicht werden.

Ein erster Grundsatz für die Prüfung und Zertifizierung von Bussystemen für die Übertragung sicherheitsrelevanter Nachrichten wurde erstmals vom Fachausschuss Elektrotechnik des HVBG im Jahr 2000 vorgestellt. Dieser Prüfgrundsatz in der aktuellen Version [GSET26] ist Grundlage für die internationale Norm pre-IEC 61784-3.

In dieser Norm werden unter anderem folgende Fehlerannahmen für ein solches Netzwerk getroffen: Verfälschung, Wiederholung, Vertauschung, Verlust, Verzögerung, Einfügung, Maskerade und falsche Adressierung von Nachrichten. Alle diese Fehler müssen von einem Sicherheitsprotokoll über geeignete Maßnahmen beherrscht werden, das heißt, sie müssen entsprechend der angestrebten Sicherheitskategorie aufgedeckt werden.

Verzögerung der Daten spielt für die Sicherheit eine wichtige Rolle

Besonders die Annahme der Verzögerung von Nachrichten gewinnt für ethernetbasierte Systeme an Bedeutung. Durch die Verwendung von Infrastrukturkomponenten wie Switches oder Router, die nicht sicherheitsrelevant abgenommen werden, besteht grundsätzlich die Möglichkeit, dass Nachrichten verzögert werden. Selbst eine Zeitüberwachung (Watchdog) der eintreffenden Nachrichten ist nicht ausreichend.

In Bild 5 ist eine Producer-Consumer-Beziehung dargestellt. Der Consumer überwacht das zyklische Eintreffen der Nachrichten vom Producer mit Hilfe eines Watchdogs. In der Netzwerkkomponente werden die Nachrichten aber in jedem Zyklus um ein Δt verzögert, das von der Zeitüberwachung nicht erkannt wird.

Wenn sich diese Verzögerung über mehrere Zyklen aufsummiert, dann kann der Consumer nicht erkennen, dass eine Nachricht bereits über das erlaubte Maß hinaus veraltet ist. Im Extremfall heißt das, dass eine Not-Aus-Anforderung eines Sensors (Producers) erst nach Minuten am Antrieb (Consumer) gemeldet wird.

Globale Uhrzeit schließt Verzögerungszeitfehler aus

Eine Maßnahme zur Beherrschung solcher Fehler ist die Einführung einer globalen Uhrzeit und das Übertragen von Nachrichten mit einem Zeitstempel. Dabei ist allerdings zu beachten, dass ein gegebenenfalls im Kommunikationssystem vorhandener Uhrzeitsynchronisationsmechanismus nicht ohne weiteres verwendet werden kann: Die Synchronisation muss zusätzlich auf Ebene des Sicherheitsprotokolls erfolgen.

Safety-over-Ethercat nutzt daher eine einfachere Methode. Über die Verwendung einer eindeutigen Master-Slave-Beziehung zwischen zwei Teilnehmern, der Safety-over-Ethercat-Connection, kann gewährleistet werden, dass jeder Teilnehmer erst nach dem Erhalt einer neuen Nachricht seine eigene neue Nachricht zurücksendet.

(ID:255288)