Transportneutral
Dieselbe Datencodierung läuft über rohes Ethernet und über Dual-Port-RAM zwischen zwei Prozessoren derselben Baugruppe.
Software
GA SafeTP
Sichere Kommunikation zwischen redundanten Steuerungsbaugruppen
Worum es geht
SafeTP (Safe Transport Protocol) ist das hauseigene Übertragungsprotokoll, mit dem die Rechenbaugruppen einer sicherheitsgerichteten Steuerung sich gegenseitig auf dem gleichen Stand halten. Eine redundante Steuerung rechnet mehrfach parallel – und genau der ständige Abgleich dieser Rechenwege ist die Aufgabe von SafeTP.
Zyklisch übertragen werden Ein- und Ausgangszustände, Ausgabebefehle, Status- und Gesundheitsdaten (inklusive Prüfsummen und der Frage, welche Einheit gerade führt), der Zustand des laufenden Anwenderprogramms sowie die Verbindungsdaten der Modbus-Feldbusanbindung.
Weil diese Daten Ausgänge schalten und Sicherheitsentscheidungen tragen, ist eine falsche Nachricht nie nur ein Datenproblem. Ob sie von einem Angreifer stammt oder durch einen zufälligen Bitfehler entstanden ist, ändert an ihrer Wirkung nichts. Deshalb schützt SafeTP in zwei Richtungen gleichzeitig: gegen absichtliche Manipulation (Security) und gegen zufällige Übertragungsfehler (Safety).
Funktionale Sicherheit
SafeTP ist als sichere Kommunikationsschicht über einem „Black Channel“ ausgelegt: das darunterliegende Netzwerk muss selbst nicht sicherheitsgerichtet sein, weil alle Schutzmaßnahmen Ende-zu-Ende zwischen den Baugruppen wirken. Die klassischen Übertragungsfehler nach EN 50159 werden gezielt adressiert.
| Übertragungsfehler | Erkennung durch |
|---|---|
| Verfälschung (Bitfehler, Abschneiden) | Kryptografisches Echtheitssiegel über Kopf und Nutzdaten |
| Unbeabsichtigte Wiederholung | Frischezähler mit Wiedereinspielfenster |
| Falsche Reihenfolge | Telegrammzähler, Frischezähler, Zeitstempel-Monotonie |
| Verlust | Lückenerkennung plus Empfangsüberwachung je Übertragungsweg |
| Unzulässige Verzögerung | Zeitstempelauswertung gegen eine gelernte Laufzeit-Basislinie |
| Einfügung und Maskerade | Quell- und Zieladresse, fest in das Echtheitssiegel eingebunden |
| Adressierungsfehler | Hersteller-, Kanal- und Adressprüfung gegen die Erwartung des Empfängers |
Entscheidend ist nicht nur die Erkennung, sondern die Reaktion: Ein Telegramm, das eine Prüfung nicht besteht, wird gar nicht erst zugestellt. Bleibt ein Partner stumm, meldet die dreistufige Empfangsüberwachung (Anlauf → in Ordnung → Zeitüberschreitung) den Ausfall an die Anwendung, die dessen Daten daraufhin als ungültig behandelt und die Steuerung in den sicheren Zustand führen kann.
Angriffssicherheit
Jedes Telegramm trägt ein schlüsselbasiertes Echtheitssiegel (MAC) über Kopf und Nutzdaten. Damit sind Herkunft und Unversehrtheit prüfbar; eingeschleuste oder veränderte Telegramme fallen durch. Ein Paar aus Schlüsselgeneration und laufender Nummer verhindert das Wiedereinspielen mitgeschnittener Telegramme, und weil Quelle, Ziel und Kanalkennung mit versiegelt sind, lässt sich ein gültiges Telegramm auch nicht auf eine andere Verbindung umlenken.
Die Schlüssel werden im Feld über einen geschützten Wartungsbefehl in einen eigenen, neustartfesten Speicherbereich eingebracht und lassen sich rollierend wechseln – es gibt keinen fest eingebauten Werksschlüssel. Die Prüfreihenfolge ist bewusst von billig nach teuer gestaffelt, sodass eine Flut gefälschter Telegramme früh und günstig abgewiesen wird.
Damit ist SafeTP zugleich ein Baustein der Vorbereitung auf den EU Cyber Resilience Act (Verordnung (EU) 2024/2847).
Aufbau und Eigenschaften
Redundante Wege je Verbindung
Ein logischer Gesprächspartner kann über zwei physikalische Wege erreichbar sein; fällt der bevorzugte Weg aus, trägt der zweite weiter – jeder Weg wird dabei einzeln überwacht, damit ein Ausfall den anderen nicht verdeckt.
Vier Kommunikationsrichtungen
Einheit ↔ Einheit, Prozessor ↔ Prozessor innerhalb einer Einheit, Kernpaar A ↔ B einer Baugruppe sowie Hauptmodul ↔ E/A-Erweiterung – jeweils mit eigener Kanalkennung, sodass sich die Datenströme nicht vermischen können.
Zyklisch und ohne Interrupt-Kopplung
Der Ablauf wird aus dem zyklischen Programmlauf getrieben, was das Zeitverhalten nachvollziehbar hält.
Diagnosefähig
Durchsatz, Fehler- und Zeitüberschreitungszähler sowie der Sicherheitszustand jeder einzelnen Verbindung – bis hin zu der Frage, ob der richtige Schlüssel installiert ist – sind aus dem Engineering-Werkzeug auslesbar. Schlüsselmaterial verlässt das Gerät dabei nie, nur eine Prüfsumme des Schlüssels.
Einordnung
SafeTP ist Bestandteil der Firmware der Baugruppe MPU-M1 und für Steuerungen bis SIL 3 nach IEC 61508 ausgelegt. Die ausführliche technische Darstellung findet sich in der Protokollbeschreibung, dem Safety-Konzept und dem Security-Konzept der Produktdokumentation.
Fragen zu diesem Produkt?
Unsere Projektingenieure beraten Sie gern bei Auswahl und Auslegung.