Gut gerüstet zur vernetzten Produktion Ratgeber für Ethernet-Switches

In industriellen Netzen stellen Switches die wichtigste Komponente der Infrastruktur dar. Über sie läuft der Datenaustausch zwischen den Controllern, SPSen, Historians und weiter upstream gelegenen Steuerungen. Die Nähe zur Produktion, wo sehr spezielle Umgebungsbedingungen herrschen, erfordert besondere Switch-Modelle, was deren Widerstandsfähigkeit, Abmessungen und Stromversorgung angeht. In der Regel ist die Montage auf einer DIN-Schiene nach EN 60715 (Hutschiene) notwendig. Je kleiner der Switch ist, desto besser, denn Platz ist in den Schaltschränken der Maschinen normalerweise Mangelware. Dadurch bedingt sich ein effizienter Umgang mit Abwärme und ein höherer zulässiger Temperaturbereich für diesen Typ Switch, der auch ohne Durchlüftung zuverlässig arbeiten muss. Andere Montagevarianten setzen die Switches der Umgebungsluft mit allen schädlichen Faktoren wie Staub und Feuchtigkeit direkt aus. Die Geräte müssen darum lüfterlos gekühlt werden können. Die Widerstandsfähigkeit gegen Feuchtigkeit und der Schutz gegen das Eindringen von Gegenständen wird über die IP-Schutzklasse angegeben. Leere Ports – und das gilt für jedes Stecker- und Modulformat – müssen mit einer passenden Schutzhülle verschlossen sein.

Erhöhte Anforderungen an die USV

Die Mehrzahl der industrietauglichen Switches ist für die Gleichspannungsversorgung mit 24 oder 48 Volt ausgelegt. Gegen die oft mit hochfrequenten Störungen belasteten Versorgungsspannungen bauen Hersteller normalerweise zusätzliche Filter sowie einen erweiterten Überspannungsschutz für einige Kilovolt ein. Auch Power-over-Ethernet wird heute von vielen Anwendern verlangt. Die Switches müssen dafür ein ausreichendes Energiebudget bereitstellen und die gebräuchlichen Standards 802.3af/at unterstützen. Die Ethernet-Ports sind normalerweise für Standard RJ-45-Stecker oder Glasfaser über GBICs mit LC-Format ausgelegt. Die RJ-45-Variante ist auch in speziellen Ausführungen mit Spritzschutz oder Verschraubung verfügbar. Noch robuster und sicherer sind Sonderformate wie der M12-Stecker (D-Codierung), der bis 100 Mbit/s freigegeben ist und M12 in X-Codierung, der selbst 10 Gbit/s übertragen kann.

Wurden früher im Automatisierungsbereich verschwindend geringe Datenmengen übertragen, sieht die Situation inzwischen anders aus: Zum einen werden mehr intelligente Elemente verbaut, die größere Datenmengen verschicken, zum anderen bietet sich das IP-basierte Netz auch für andere Aufgaben an. So können beispielsweise Videodaten von Überwachungskameras übertragen werden, was etwa im Umfeld von Industrie 4.0 gefragt ist. In der Folge unterstützen einige Hersteller zusätzlich zu Fast Ethernet (100 Mbit) Gigabit-Ports (1000 Mbit) und über GBICs auch höhere Geschwindigkeiten. Gerade aggregierende Switches, die Daten von mehreren Bereichen sammeln und weiterleiten, sollten im Hinblick auf die Zukunftssicherheit mit schnellen Uplink ausgestattet werden können.

Vielfältige Optionen für die Netzkopplung

Je nach Architektur kommt den Ethernet-Verbindungen große Bedeutung zu. Für höhere Verfügbarkeit haben einige Hersteller proprietäre redundante Kopplungsverfahren zwischen Switches entwickelt. Andere verlassen sich auf die im Ethernet-Standard definierten Mechanismen wie Spanning Tree Protocol (STP). Existiert bereits Spanning Tree im Netz, ist die Technik zum einen bekannt und etabliert, zum anderen wird es auch intern eine Expertise für die Konfiguration und den Betrieb geben. Die Redundanz über proprietäre Standards hat hingegen den Vorteil, vergleichsweise einfach konfigurierbar zu sein, sodass auch Techniker aus der Automatisierung damit schnell ausfallsichere Netze aufbauen können. Aber eine solche Kopplung ist nur mit den Switches und Routern eines Herstellers umsetzbar – eine herstellerübergreifende Kompatibilität gibt es nicht.

Die Switches transportieren Datenpakete der diversen Feldbusse wie Modbus als Payload innerhalb von Ethernet ohne Probleme. Wenn die Feldbus-Daten allerdings im Switch ausgelesen oder manipuliert werden sollen, muss sie der Switch explizit anbieten. Er kann dann beispielsweise die Registerinhalte eines Modbus-Frames auslesen und in einem eigenen Sub-Menü bereitstellen. Durch den direkten Zugriff haben die Anwender die Möglichkeit, nicht-zeitkritische Manipulationen im Switch durchzuführen, ohne damit ein weiteres übergeordnetes Gerät wie ein Gateway zu belasten.

Wichtige Funktionen berücksichtigen

Direkt am Einsatzort kommen normalerweise nicht managebare Layer-2-Modelle zum Einsatz, die lediglich als simple Infrastruktur dienen. Eine Ebene höher, wenn Daten aggregiert, manipuliert und weitere Eingriffsmöglichkeiten benötigt werden, sollten es Layer-3-Switches mit Managementfunktionen sein. Einige erweiterte Ethernet-spezifische Funktionen, mit denen sich das Netz und der Datenverkehr optimieren lassen, sind besonders wichtig. Dazu gehört das Trunking, also die Kombination mehrerer Ports zwischen Switches zu einer virtuellen, leistungsfähigeren Pipeline. Neben dem höheren Durchsatz hat es im Industrieumfeld zusätzlich den Vorteil der erhöhten Redundanz. Die wichtigste Implementation ist das Link Aggregation Control Protocol (LACP), entsprechend dem IEEE-Standard 802.3ad/802.1AX. Potenzielle Käufer sollten darauf achten, dass der Switch, selbst wenn eine proprietäre Lösung genutzt wird, zum Zweck der Investitionssicherheit trotzdem LACP unterstützt.

Multicast-Funktionen wie Internet Group Management Protocol (IGMP) gehören normalerweise bei Layer-3-Switchen zum Standard. Sie können sinnvoll sein, gerade wenn Videodaten aus IP-Kameras über den Switch transportiert werden. Meist sind sie in ein übergreifendes Quality-of-Service Framework (QoS) mit Traffic Shaping und Bandbreitenmanagement eingebunden. Noch wichtiger ist eine umfassende VLAN-Unterstützung, die den aktuellen Standard 802.1Q beherrscht und nahtlos integriert ist. VLANs sind in Produktionsnetzen eine effektive und schnell umsetzbare Sicherheitsmaßnahme um Produktions- und Managementdaten zu trennen.

Verwaltung und Sicherheit der Geräte

Während für das Management eine über HTTP erreichbare Web-Oberfläche Standard ist, sind nach wie vor Konsolen-basierte Zugänge wichtig. Terminal-Emulationen und Telnet sollten angeboten werden, aber auch abschaltbar sein, wenn sie nicht benötigt werden. Selbst die klassische serielle Verbindung mittels RS-232-Schnittstelle ist im Industrieumfeld noch üblich. Generell sind verschlüsselte Verbindungen über HTTPS und SSH vorzuziehen. Wenn am Switch DIP-Schalter vorhanden sind, um Parameter manuell einzustellen, sollten sie, wie auch USB-Ports oder SD-Karten-Slots über die Managementoberfläche abschaltbar sein. Eine Duale-Firmware-Verwaltung ist ebenfalls sinnvoll. So ist sichergestellt, dass stets eine funktionsfähige Firmware im Switch vorhanden ist.

Sicherheit ist ohnehin für Switches aufgrund ihrer exponierten Rolle ein maßgebliches Auswahlkriterium. Eine eigene Benutzerverwaltung mit Benutzername/Passwort und Rechtevergabe ist ebenso wichtig, wie die Möglichkeit, sie in übergeordnete Verzeichnisdienste per LDAP einzubinden. Benutzerauthentifizierung per RADIUS und 802.1X sollte, zusammen mit MAC-basierter Zugangskontrolle, als Option angeboten werden. Letztendlich müssen Switches im Produktionsumfeld in Absprache mit der IT-Abteilung immer ein fester Bestandteil des gemeinsamen IT-Sicherheitskonzepts sein.

Industriell genutzte Switches erfüllen zwar die gleichen Aufgaben wie Switches im Rechenzentrum, haben aber stellenweise ein deutlich abweichendes Anforderungsprofil. Doch inzwischen wachsen die Berührungspunkte von Automation und IT, vor allem was Sicherheit und gemeinsames Gerätemanagement angeht. Bei der Auswahl von Industrie-Switches sollten im Vorfeld strategische Entscheidungen der IT-Abteilung abgefragt und mit den eigenen Anforderungen in Einklang gebracht werden.