隨著工業(yè)物聯(lián)網(wǎng)在工業(yè)領域的應用日益普及，工業(yè)自動化安全威脅也越加復雜化，與消費者IoT不同的是，工業(yè)IoT (IIoT) 發(fā)生故障可能造成災難性甚至致命的后果，因此，對數(shù)據(jù)完整性、可靠性和安全性的要求要苛刻很多。崩潰的威脅對整個數(shù)字網(wǎng)絡造成巨大的安全風險。但是，IIoT前所未有的透明性和效率前景仍然非常誘人。
要在連接IIoT物體實現(xiàn)實時可視性和控制，需要高性能、低延時且具有遠程管理能力的網(wǎng)絡。而以太網(wǎng)具有包括標準化、多功能性、高性能和低成本在內(nèi)的優(yōu)點，因此一直是企業(yè)、數(shù)據(jù)中心和許多服務提供商的網(wǎng)絡技術選擇。但是，現(xiàn)時已存在的IIoT網(wǎng)絡大多數(shù)采用專用網(wǎng)絡協(xié)議和擁有各種舊有設備，使所有IP以太網(wǎng)基礎設施的現(xiàn)代化更為復雜。這些異構網(wǎng)絡的升級戰(zhàn)略，在遷移到以太網(wǎng)提供的標準化低成本網(wǎng)絡解決方案的，必須平衡工業(yè)設置必要的系統(tǒng)可靠性、確定性和安全性。
在本文中，我們將在系統(tǒng)級別上探討IIoT系統(tǒng)設計人員面臨的三大挑戰(zhàn) – 安全性、確定性和網(wǎng)絡遷移性 – 并利用從以太網(wǎng)交換解決方案、可編程器件、高精度定時、以太網(wǎng)供電和應用優(yōu)化軟件的技術組合，提供應對這些挑戰(zhàn)的技巧和策略。
安全性
今天，工業(yè)網(wǎng)絡安全性的前提是利用防火墻與公司網(wǎng)絡隔離，及與互聯(lián)網(wǎng)隔離。確保工業(yè)網(wǎng)絡安全更廣泛的做法，通常招致網(wǎng)絡停機或需要昂貴的網(wǎng)絡拓撲更改，甚至兩者結合，因而損害裝置生產(chǎn)力和公司收入，有時甚至危及安全。但是，對一個給定網(wǎng)絡來說，僅僅因為其與互聯(lián)網(wǎng)隔離，我們便相信它得到了保護，這種想法是錯誤的。正如最新網(wǎng)絡攻擊所示，將現(xiàn)代工業(yè)網(wǎng)絡與互聯(lián)網(wǎng)隔離，實際上使其更不安全，因為這樣的話，工業(yè)網(wǎng)絡更難管理和診斷問題。當公司更新供應鏈、采用新技術或響應新競爭威脅和機會而演變時，隔離網(wǎng)絡還難于擴展和重新配置。
IIoT網(wǎng)絡安全必須采用多層方法來保護數(shù)據(jù)平面、管理(網(wǎng)絡和元件)和控制(協(xié)議)平面。這三者都需要保護，特別是對M2M通信來說。典型的方法是依賴數(shù)據(jù)加密、管理和控制流量、開展驗證、授權和計費(AAA)，及數(shù)據(jù)完整性。網(wǎng)絡加密是保證所有網(wǎng)絡流量安全的另一層。在以太網(wǎng)中，MACsec (IEEE 802.1AE) 和Keysec (現(xiàn)在是IEEE 802.1X的一部分)是L2加密和關鍵管理協(xié)議，以確保以太網(wǎng)物理端口和VLAN的安全?，F(xiàn)在，IEEE 802.1AEbn包括某些政府機構要求的強大256位加密，進一步增強了保密性。雖然僅依賴加密無法足夠保證網(wǎng)絡安全，然而，聯(lián)網(wǎng)設備和端點采用強大的256位加密(如MACsec)，可以提供一種基于以太網(wǎng)的IIoT網(wǎng)絡所需的驗證、數(shù)據(jù)完整性和用戶保密的手段。此外，利用具有內(nèi)置安全能力的FPGA，可在系統(tǒng)中提供信任根。通常，這些設備用于安全地啟動外部處理器，增加另一個安全層，以防止利用網(wǎng)絡元件尋找密鑰進行篡改。
隨著IIoT應用更為廣泛，各大公司將日益依賴在網(wǎng)絡邊緣獲取數(shù)據(jù)、利用大型數(shù)據(jù)分析和云計算，從而擴展處理和實際利用所有這些數(shù)據(jù)?；ヂ?lián)網(wǎng)連接是必須的。中央安全編排方法在互聯(lián)網(wǎng)與分布式聯(lián)網(wǎng)硬件密切配合，能夠提供有效的方法以確保IIoT網(wǎng)絡安全。
最后，對工業(yè)網(wǎng)絡來說，若要確保網(wǎng)絡可靠性和正常運行時間，同時不限制運算，則采用多層安全方法是必須的。
圖1 工業(yè)自動化網(wǎng)絡。隨著網(wǎng)絡變得更為靈活，安全架構不斷演變。
確定性
當考慮以太網(wǎng)的確定性性能和網(wǎng)絡可靠性時，人們期望特定功能在精確的時間框架內(nèi)發(fā)生。當每個網(wǎng)絡元件都是時間感知的，并且能夠識別其是否“按時”傳輸以太網(wǎng)數(shù)據(jù)包時，這是可能的。但是，這僅僅是解決方案的一部分。今天，已經(jīng)擁有利用IEEE 1588v2在以太網(wǎng)內(nèi)同步和分配精確“時間”的機制，但是，最新時間敏感網(wǎng)絡(TSN)標準為系統(tǒng)開發(fā)者帶來了流量調(diào)度的時間定向方式。
TSN標準由IEEE 802工作組開發(fā)，拓寬了以太網(wǎng)的能力，使其成為真正的工業(yè)級實時通信協(xié)議，其元件包括時鐘同步、基于時間的消息處理、幀搶占和無縫冗余。
TSN (AVB Gen2)是一組標準，提供下述特征：
• 時間敏感應用的定時和同步(IEEE 802.1ASbt)
• 調(diào)度流量增強(IEEE 802.1Qbv)
• 幀搶占(IEEE 802.1Qbu)
• 冗余網(wǎng)絡路徑控制和保留(IEEE 802.1Qca)
• 流預留協(xié)議(SRP)增強，支持Qbu/Qbv/Qca/CB (IEEE 802.1Qcc)
• 無縫冗余(IEEE 802.1CB)
除改善可用性和性能之外，例如，IEEE 802.1ASbt還增加了一步時間戳支持，與前一代標準采用的兩步法相比，減少了傳達網(wǎng)絡定時信息所需數(shù)據(jù)包的數(shù)量。數(shù)據(jù)包流量和計算能力的降低，有益于廣泛的菊鏈時間感知網(wǎng)絡。IEEE 802.1ASbt還通過提供多級同步，在各網(wǎng)絡節(jié)點獲得準確定時，從而增強了定時信息的可用性。
新的TSN特征將賦予以太網(wǎng)IIoT應用通信所需的實時確定性和低延時。這應該可以消除可能阻礙IIoT網(wǎng)絡采用以太網(wǎng)作為其主要骨干的最后攔阻，推動關鍵和非關鍵控制和數(shù)據(jù)流量在單一網(wǎng)絡的融合。
雖然TSN以太網(wǎng)可能最終將成為工業(yè)網(wǎng)絡部署的確定性骨干，但至少在可以預見的未來，專有接口將仍然存在。能夠在以太網(wǎng)、IEEE 1588、TSN和專用工業(yè)協(xié)議之間轉(zhuǎn)換，同時保持確定性行為的FPGA/SoC將非常關鍵。與MCU相比，確定性是FPGA的關鍵優(yōu)點之一。例如，利用EtherCAT的聯(lián)網(wǎng)電機控制應用將從FPGA結構的確定性性質(zhì)中受益。FPGA可以執(zhí)行協(xié)議轉(zhuǎn)化和電機控制算法，且都具有可能最低的延時。與MCU相比，F(xiàn)PGA能夠與遠程節(jié)點同步，以確定性的方式傳輸數(shù)據(jù)和執(zhí)行確定性的電機控制。
網(wǎng)絡遷移
IIoT網(wǎng)絡最終必然會遷移到IP/以太網(wǎng)，但重要的是識別這種轉(zhuǎn)換所獨有的兩個主要因素：
• 設計用于局域網(wǎng)(LAN)的以太網(wǎng)標準、部件和系統(tǒng)，并非自然適合IIoT網(wǎng)絡。
• IIoT遷移需要平衡行動，以支持現(xiàn)有“非標準”協(xié)議和使網(wǎng)絡準備好利用初期的創(chuàng)新。
因此，當面臨采用幾種專用網(wǎng)絡協(xié)議的舊有設備的異構安裝基站所組成的典型工業(yè)網(wǎng)絡的時候，設計人員為了簡化其網(wǎng)絡向以太網(wǎng)的遷移，應該尋找的幾個關鍵元件是：
• 以太網(wǎng)多協(xié)議支持和現(xiàn)場總線接口，以確保大型異構網(wǎng)絡的互操作性和擴展性
• 優(yōu)化的以太網(wǎng)交換軟件堆棧，使部署和管理簡單
• 統(tǒng)一的硬件和軟件，用于可靠地提供工業(yè)通信所需的實時確定性和低延時
• 端口配置靈活性和同步選擇，同時要滿足IIoT的環(huán)境要求和操作要求
• 高達95w的以太網(wǎng)供電(PoE)，安全地為遠程器件供電，簡化部署
采用結合以下幾項硬件和軟件的實用組合，可能實現(xiàn)以上全部項目：
• 安全的低功耗FPGA解決方案
• 優(yōu)化用于工業(yè)部署的以太網(wǎng)交換硅
• 不僅提供管理性和監(jiān)測能力，而且具備安全編排軟件生態(tài)系統(tǒng)的軟件堆棧
• 設計用于工業(yè)設置的加固PoE解決方案
大家必須明白，對IIoT系統(tǒng)來說，不存在任何“普世通用的萬全之策”。支持PoE、同步需求和數(shù)據(jù)加密的選項，可以幫助提供基礎硬件和軟件解決方案的無縫升級。其它情況的計算需求或許能夠采用交換機中的集成CPU或FPGA或獨立CPU來實現(xiàn)。
結論
IIoT應用設計需要可感知的遷移路徑，以及采用實現(xiàn)確定性網(wǎng)絡的新技術，同時認識到在工業(yè)網(wǎng)絡存在的系統(tǒng)環(huán)境中，最大網(wǎng)絡正常運行時間比最新網(wǎng)絡升級更重要。在不能發(fā)生網(wǎng)絡崩潰的世界中，工業(yè)必須越過舊技術、協(xié)議和第一代工業(yè)以太網(wǎng)。
您可能也喜歡這些文章
a&s傳媒是全球知名展覽公司法蘭克福展覽集團旗下的專業(yè)媒體平臺，自1994年品牌成立以來，一直專注于安全&自動化產(chǎn)業(yè)前沿產(chǎn)品、技術及市場趨勢的專業(yè)媒體傳播和品牌服務。從安全管理到產(chǎn)業(yè)數(shù)字化，a&s傳媒擁有首屈一指的國際行業(yè)展覽會資源以及豐富的媒體經(jīng)驗，提供媒體、活動、展會等整合營銷服務。
粵公網(wǎng)安備 44030402000264號
