Hirschmann: вести с коммуникационного фронта

Для большинства специалистов бренд Hirschmann – это промышленные коммутаторы. Отдельные «буквоеды» вспомнят, что это компания с уже 87-летней историей, начавшая свою деятельность с изобретения разъёма типа banana plug. Конечно, тогда Ethernet не было и в помине, и компания занималась разработкой и производством антенн для радио и телевидения. Первый промышленный концентратор (серия ASGE) Ethernet от Hirschmann появился спустя всего 3 года после публикации стандарта сетевого Ethernet – в 1983 году. С тех пор Hirschmann – генератор инноваций и своего рода законодатель мод в мире промышленных коммутаторов: первая оптоволоконная сеть, резервированное кольцо, модульный коммутатор и прочие уже привычные вещи вышли из дизайнерского центра компании.

За последние годы фирма Hirsch­­mann сменила сразу нескольких владельцев. В 1997 году компания Ричарда Хиршмана вошла в известный немецкий концерн Rheinmetall AG, но уже через 3 года была продана компании-инвестору HgCapital. Последняя юридическая встряска произошла в 2007 году – с переходом в собственность крупного американского производителя кабеля – компании Belden.

На данный момент за Hirschmann остался только сам бренд и, что наиболее важно, историческое производство и разработка в немецком городке Neckartenzlingen недалеко от Шту­т­гарта.

После пары лет естественного за­тишья, связанного с переходным пе­ри­одом и сменой руководства, в ли­ней­ке Hirschmann появились новые мо­ди­фи­кации существующих продуктов, произошло серьёзное обновление программ­ного обеспечения, началось ак­тивное сотрудничество со сторонними компаниями. Но обо всем по по­рядку.

Firmware – богатый внутренний мир

Встроенное программное обеспечение управляемого коммутатора, больше известное как прошивка, или firmware, отвечает за все функции, выходящие за рамки пересылки пакетов данных. На данный момент в коммутаторы Hirschmann интегрирован широкий набор функций диагностики, управления трафиком и пр., полный их список можно найти по ссылке ftp://ftp.prosoft.ru/pub/Hardware/Hirschmann/datasheets/Platform_SW-60.pdf. Набор функций постоянно оттачивается и дополняется, на текущий момент анон­­сировано уже седьмое поколение прошивок. Наиболее значительное но­вовведение – расширение функциональности резервированного кольца HIPER-Ring до возможности построения множественных резервированных колец в пределах одного коммутатора.

Цель любого резервирования сети – повышение устойчивости к отказам кабелей связи или коммутаторов.

В 1997–98 годах был опубликован стандарт IEC 62439, в котором среди прочих был описан протокол кольцевого резервирования сетей Ethernet – MRP (Media Redundancy Protocol), разработанный специалистами Hirsch­mann. MRP позволяет объединять в резервированное кольцо более 50 коммутаторов, один из которых является «менеджером кольца», и обеспечивает время восстановления связи порядка 200 мс, в зависимости от настроек.

Компания Hirschmann персонализировала для себя данный протокол в 1998 году – так появилась известная пользователям технология HIPER-Ring. Однако MRP никуда не делся и также интегрируется в управляемые коммутаторы Hirschmann. Кроме того, именно он стал базовым для технологии множественных резервированных колец Multi-Ring, доступной с 2010 года в версии прошивок 5.0 и 6.0.

Идея Multi-Ring в том, чтобы соединить несколько резервированных ко­лец типа HIPER-Ring без использования дополнительных линий связи. Про­стейший пример показан на ри­сунке 1.

RM – менеджер кольца HIPER-Ring – отслеживает состояние сети. Как показано на рисунке, с интеграцией дополнительного кольца Sub-Ring в базовом кольце появляются два коммутатора – это SRM-менеджеры стороннего кольца. Их функция аналогична коммутатору RM – задерживать трафик по резервному пути до момента прекращения связи по основному. Логический разрыв в резервной линии показан символом «||».

На рисунке 2 показаны возможные топологии множественных колец. 

Здесь сто́ит отметить, что один и тот же коммутатор в базовом кольце (это мо­жет быть HIPER-Ring, Fast HIPER-Ring и MRP-Ring) может быть менеджером для нескольких сторонних ко­лец, при этом в кольце Sub-Ring ис­пользуется только протокол MRP. При сочетании нескольких колец в одном коммутаторе они разделяются по разным виртуальным сетям VLAN. Также в текущей реализации резервированные кольца нельзя каскадировать дальше второго уровня, то есть стороннее кольцо может быть присоединено толь­ко к базовому кольцу.

Конечно, на практике едва ли кому-то понадобится проектировать столь сложные топологии сети. Зато подключение подсетей к магистральной резервированной сети станет более удобным и практичным, чем ранее, тем более что сами коммутаторы Hirsch­mann обновлять не требуется, достаточно скачать новые прошивки и обновить их по сети.

Описанные технологии работают на коммутаторах Hirschmann серий Open­Rail, MICE, MACH, RSR, Octopus.

Ethernet на новом физическом уровне

С распространением Ethernet на различных уровнях промышленной автоматизации неизбежно встал вопрос о сопряжении его с другими интерфейсами, например RS-232/422/485.

У Hirschmann всегда была линейка продукции OZD (оптико-электрические преобразователи RS-485, PROFI­BUS, Modbus), но преобразование протокола передачи данных в этих устройствах не производится. Инженеры компании не стали изобретать велосипед и заключили договор с другой не­мецкой кампанией-разработчиком Per­­­le Sys­tems. Так в линейке Hirsch­mann появилось 4 сервера последовательных интер­фейсов с широким температурным диапазоном –40…+74°С, специальным конформным покрытием платы и количеством последовательных интерфейсов от 1 до 16.

Самый продвинутый сервер – мо­дель IOLAN SDS16C HV – имеет 16 кон­фи­гурируемых портов RS-232/422/485 и два порта Gigabit Ethernet. Сервер со­ответствует стандартам МЭК 61850-3 и IEEE 1613 для коммуникационного обо­рудования на электрических подстан­циях.

Устройство выполнено в корпусе высотой 1U и предназначено для установки в 19" стойку. Питание обеспечивается от источников 88–300 В постоянного или 85–265 В переменного тока. Внешний вид IOLAN SDS16C HV представлен на рисунке 3.

Более компактные серверы с возможностью установки на DIN-рейку и полку Hirschmann IOLAN SDS4, IOLAN SDS3 и IOLAN DS1 T имеют 4, 3 и 1 последовательный порт соответственно.

Серверы IOLAN обладают широким набором функций: могут конфигурироваться через Web, имеют весьма продвинутую поддержку защищённых Ethernet-соединений (соответствует американскому стандарту безопасности NERC CIP), могут создавать защищённые IP-тоннели для передачи данных в зашифрованном виде, поддерживают RADIUS, SNMP v3, IPSec v4/v6, SSH, SSL и др.

Серверы могут передавать данные в необработанном виде (raw) или в формате Modbus (RTU, ASCII, режим шлюза в Modbus TCP), поддерживается модемное соединение, протокол DNP3. В сети Ethernet могут использоваться протоколы TCP и UDP с адресацией по IP v4 и новому формату IP v6.

Удалённое управление IOLAN может осуществляться через Web-интерфейс, специальную утилиту Perle Device Ma­nager. Утилита виртуального COM-пор­та TruePort поддерживает операционные системы Windows, Linux, Unix, Solaris.

Ещё два не совсем типичных для Hirschmann устройства появились благодаря сотрудничеству с немецкой ком­­панией FMN. Модули FMN alpha DSL WTM HS A/B и FMN alpha UMTS WTM 3 HS обеспечивают удалённый доступ к промышленной сети через технологии ADSL и сетей мобильной связи формата 3G UMTS.

Компактные модули предназначены для установки на DIN-рейку и значительно расширяют возможности сети по удалённому мониторингу, управлению и считыванию показателей/па­раметров в тех местах, где отсутствуют высокоскоростные и качественные ли­нии связи. Для модуля UMTS достаточно находиться в зоне покрытия сети мобильного оператора. Внешний вид модулей показан на рисунке 4.

Модуль ADSL поддерживает все стандарты для этой технологии, включая ADSL2+, ADSL2, ADSL. Скорость скачивания достигает соответственно 24, 12, 8 Мбит/с, скорость передачи – до 1 Мбит/с. Кроме того, существуют версии ADSL over POTS и ADSL over ISDN, каждая для соответствующего типа телефонных станций.

Модуль UMTS поддерживает сети 1G, 2G, 3G и 3G+ соответственно технологиям GPRS, EDGE, HSDPA/HSUPA. Максимальная скорость входящего трафика – 7,2 Мбит/с, исходящего – 1,2 Мбит/с. Кроме того, данный модуль имеет второй выход для антенны GPS – это и определение мес­тоположения, и синхронизация точного времени, и виртуальный COM-порт. Модуль имеет два порта Fast Ethernet и предоставляет базовые функ­ции межсетевого экрана, маршрутизатора, DHCP-сервера. Под­дер­жи­ва­ются ре­жимы доступа PPPoE и OpenVPN.

Оба модуля имеют широкий диапазон рабочих температур –25…+55°C, исполнение IP40, входное напряжение питания 10–60 В постоянного тока и питание РоЕ.

Продвинутый бит-контроль

Ещё одна новинка последнего года – дальнейшее развитие серии промышленных межсетевых экранов серии Eag­le. Средства сетевой безопасности Eagle существуют у Hirschmann уже более пяти лет, однако широким спросом не пользуются. Причины, скорее всего, связаны с возможностью их замены коммерческими аналогами известных марок, так как функциональные возможности этих межсетевых экранов схо­­­жи. Различия наблюдались только во внешнем исполнении.

С обновлением данной линейки ситуация может измениться благодаря серьёзной адаптации устройств к промышленным сетям и протоколам. Но­вая серия, названная EAGLE 20 Tofino, является симбиозом аппаратной платформы Hirschmann и программной начинки от эксперта в области кибербезопасности – компании Byres Se­cu­rity Inc. Как у любого стационарного межсетевого экрана, у EAGLE 20 Tofino есть список правил для фильтрации вхо­дящего и исходящего трафика. К данному устройству предлагаются го­товые шаблоны этих списков правил, учитывающих специфику отдельных серий ПЛК многих известных производителей (Siemens, ABB и пр.), различных выявленных сетевых угроз (на­пример, StuxNet) и более 50 промыш­ленных сетевых протоколов.

Физически устройство выполнено в компактном корпусе с креплением на DIN-рейку, имеет 2 порта Fast Ethernet (защищённый и внешний). Про­грамм­ная часть состоит из ПО для централизованного управления устройствами Tofino и загружаемых в конкретное уст­ройство программных мо­дулей, каждый из которых отвечает за определённую функцию.

Типовая конфигурация сети показана на рисунке 5. 

На верхнем уровне расположена станция управления, где среди прочего ПО (SCADA и др.) установлено управляющее ПО Tofino, через которое осуществляется управление и мониторинг безопасности для всех аппаратных устройств Tofino в сети. Ап­паратные межсетевые экраны отделяют промышленные сегменты от об­щей корпоративной сети. На каждом устройстве установлены программные модули. Как минимум, это модуль Tofino™ Firewall, который даёт возможность устанавливать правила, и модуль сетевой безопасности Tofino™ Security Asset Management, позволяющий от­слеживать подключения к сети. Также могут быть полезны модули:

• Modbus TCP Enforcer – глубокий ана­лиз трафика соответствующего протокола;

• OPC Enforcer – анализ трафика при использовании OPC-серверов в SCADA-системе;

• VPN server/client – реализация виртуальных сетей с шифрованием данных;

• Event Logger – протоколирование различных изменений в сети.

При использовании готовых шаблонов из интеллектуальных возможностей устройства по самообучению пользователю требуется минимальная IT-подготовка, так как специфических знаний протоколов и программирования не требуется. Одновременно продвинутые системные администраторы могут производить «тонкую» настройку устройства, расширяя его возможности.

Коммутаторы рабочих групп: Gigabit Ethernet и РоЕ в цифрах

Одной из популярных серий продукции Hirschmnann является серия коммутаторов рабочих групп MACH100. Данный ­коммутатор выполнен в формате 1U для установки в 19" стойку с пи­танием 220 В. Устройство выпуска­ется в модульном варианте в конфигурации 8×10/100Base-TX + 2 комби-пор­­та 1000Base-TX/SFP с двумя отсеками под модули расширения (всего до 26 пор­тов) и в фиксированной конфигурации 24×10/100Base-TX + 2×1000­-Base-TX/SFP. Модули расширения пред­лагаются с медными, оптическими одномодовыми и многомодовыми портами, а также под SFP-модули. Та­ким образом, в модульной конфигурации можно получить 16 оптических портов.

Чтобы сделать удобным применение данного коммутатора в системах безопасности, не так давно появился дополнительный модуль Power-over-Ethernet для коммутатора MACH100 с индексом M1-8TP-RJ45 PoE. Модуль имеет индивидуальное питание +48 В и позволяет оснастить коммутатор 8 портами с питанием конечных устройств по витой паре. С двумя такими модулями к коммутатору можно подключить уже 16 IP-видеокамер и затем передать сигнал по магистральным портам.

С ростом потребности в увеличении пропускной способности сетей Ether­net всё более актуальными становятся коммутаторы с гигабитной шиной данных, все порты которых поддерживают скорость 1000 Мбит/с. В начале 2010 го­да появилась высокоскоростная модификация серии MACH100 – MACH104-20TX с 20 портами 10/100/1000Base-TX и 4 комбинированными портами 1000­Base-TX/SFP, которая уже может ис­поль­зоваться на верхнем уровне промышленной сети Ethernet.

Новые решения из серии MACH100 с поддержкой РоЕ появятся ориентировочно в 3-м квартале 2011 года. Модель MACH104-16TX-PoEP предлагается с 16 портами Gigabit Ethernet с поддержкой PoE и PoE+ и 4 портами 1000Base-TX/SFP. Будет специальная модификация с двумя дополнительными портами 10 Gigabit Ethernet, которые могут ис­поль­зоваться для объединения коммутаторов в стек. Такой коммутатор с ин­дексом MACH104-16TX-PoEP +2X пред­­­ставлен на рисунке 6.

Коммутатор MACH104-16TX-PoEP +2X необходим при использовании IP-камер высокого разрешения (несколько мегапикселов) и беспроводных то­чек доступа, работающих в стандарте IEEE 802.11n.

Серия MACH100 отличается широкими функциональными возможностями по диагностике, управлению трафиком, резервированию каналов. На данную се­рию ставится самый «продвинутый» тип прошивок – Professional, все возможности которых можно найти по уже упомянутой ссылке ftp://ftp.prosoft.ru/pub/Hardware/Hirschmann/datasheets/Platform_SW-60.pdf. Среди функций стоит отметить встроенный DHCP-сервер, обнаружение конфликтов IP-адресов, определение подключённого ак­тивного сетевого оборудования по протоколу IEEE 802.1AB, поддержку технологии RADIUS и различных технологий резервирования, включая кольцевые. MACH100 рекомендован в качестве коммутатора рабочих групп и коммутатора на уровне сегментов сети, так как его функциональность ограничена вторым уровнем OSI.

Коммутация на третьем уровне

На верхнем, магистральном уровне промышленной сети Ethernet при боль­шом количестве узлов применяют коммутаторы 3-го уровня. Маршру­ти­зирующие коммутаторы более мощные, так как на лету производят более глубокий анализ данных, и, следовательно, более дорогие. Их применение сокращает нагрузку на сеть, разделяя её на сегменты и блокируя паразитный трафик. Популярная серия таких коммутаторов – Hirshmann MACH3000, которая до сих пор эксплуатируется на многих российских и европейских от­ветственных объектах (АЭС, машиностроительные заводы, международные аэропорты).

Несколько лет назад она была заменена 48-портовыми магистральными коммутаторами серии MACH4000. Однако коммутатор уровня ядра сети по определению не приспособлен для промышленных условий эксплуатации, так как устанавливается в оборудованной серверной комнате. MACH­4000 отличается сложной модульной конструкцией, активной схемой охлаж­дения (вентиляторы), поэтому работает лишь в диапазоне температур 0…+60°С, не приспособлен для запылённых, влажных помещений и т.п.

С постепенным внедрением распределённых интеллектуальных систем управления (таких как Smart Grid) на промышленных объектах потребность в промышленных коммутаторах 3-го уровня возрастает, поэтому летом 2011 года вышел в свет маршрутизирующий коммутатор серии MACH1000.

Серия MACH1000 – это стоечные коммутаторы с интересной конфигурируемой структурой, сертифицированные по стандарту МЭК 61850-3 для энергетики и по EN 50155 для транспорта. На выбор пользователя предоставляются шина коммутатора (Fast, Fast+ Gigabit, Gi­gabit Ethernet), тип всех 28 портов (медь, оптика), выбираемый для каждой пары индивидуально, диапазон рабочих температур (0…+60°С, –40…+85°С для устройств с конформным покрытием) и тип питания (постоянный или переменный ток, одиночный и резервированный источник питания). Для полностью гигабитного коммутатора конфигурация портов фик­сированная – 16 комбинированных портов 10/100/1000­Base-TX/SFP. Также теперь на выбор отдана функциональность встроенного ПО – 2-й и 3-й уровень OSI.

Коммутатор MACH1000 3-го уровня осуществляет коммутацию и маршрутизацию трафика по всем портам на полной скорости шины. Поддерживаются протоколы маршрутизации ECMP (Equ­­al Cost Multiple Path), CIDR (Class­less Inter Domain Routing), IRDP (ICMP Router Discovery), управление виртуальными сетями по протоколам DVMRP, IGMP v1/v2/v3, PIM-DM, протоколы резервирования сетей VRRP, HIVRRP, OSPF v2, RIP v1/v2.

На практике серию MACH1000 чаще всего применяют в энергетике, по­скольку устройства этой серии соответствуют стандарту МЭК 61850-3.

Управление беспроводными сетями

Беспроводные сети Ethernet являются незаменимым вариантом для автоматизации объектов со сложным рельефом местности, где трудности прокладки сигнальных кабелей перекрывают недостатки применения сетей Wi-Fi. Главные достоинства беспроводных сетей – простой и быстрый доступ, мобильность клиента. Недостатки – прак­­тические проблемы с зоной по­кры­тия, скоростью передачи, ограничением доступа.

В последнем принятом стандарте Wi-Fi – IEEE 802.11n пропускная способность увеличена до 300 Мбит/с (с 54 Мбит/с в IEEE 802.11b/g). Как следствие, увеличилась зона покрытия, качество которого выросло благодаря технологии улучшенного распространения сигнала внутри помещений (подробнее – в статье «Новые горизонты беспроводного Ethernet: 300 Мбит/с из воздуха», опубликованной в журнале «СТА» 2/2011). Таким образом, беспроводные сети стали более производительными, удобными в использовании. Их ресурсов достаточно для передачи множества потоков данных, в том числе VoIP, потокового видео и пр.

При построении больших распределённых беспроводных сетей возникают вопросы об управлении оборудованием доступа по стандарту IEEE 802.11a/b/g/n, о защите от несанкционированного доступа, о разграничении беспроводного сегмента сети и остальной локальной сети. Для решения этих задач весной 2011 г. под брендом Hirsch­­mann вышла новая аппаратная платформа Hirschmann BAT-Controller WLC. Подробнее о ней в статье «Же­лезный ключ к управлению беспроводными сетями IEEE 802.11a/b/g/h» в этом номере «СТА».

HiVision: вся сеть Ethernet «под колпаком» 

SCADA-система – неотъемлемая часть современной АСУ ТП. Авто­ма­ти­зированный контроль доходит до са­мых крайних узлов систем – датчиков, приводов и прочих механизмов. Сеть передачи данных Ethernet также явля­ется важной подсистемой АСУ ТП, без которой невозможно сообщение рабочих станций, а часто уже и ПЛК между собой. Сеть и сетевое оборудование также нуждаются в автоматизированном контроле. Современ­ные коммутаторы предлагают ряд средств администрирования, например протокол ко­ротких сообщений SNMP. Его понимают как SCADA-системы, так и коммутаторы, но возможности по диагностике и управлению ограничены типовыми функциями. Такой компонент, как OPC-сервер для коммутаторов Ethernet, – достаточно редкое явление, наличествует у единичных производителей коммуникационного оборудования. Полнофункцио­наль­ным инструментом по удалённому конт­ролю и управлению сетевым оборудованием можно считать Web-ин­тер­фейс, но он относится к средствам индивидуальной диагностики и на­строй­ки.

Для комплексной диагностики и управ­ления сетью Hirschmann предлагает ПО HiVision. В 2011 году вышла обновлённая версия этого программного обеспечения с индексом 4.1. Обновлённое ПО, как и в предыдущих версиях, следит за состоянием сети Ethernet в реальном времени, предоставляет полную информацию, автоматически отстраивает топологию се­ти, обеспечивает персональную и групповую настройку активного оборудования и умеет реагировать на события в сети (рис. 7). 

Новая версия получила распределённую архитектуру, при ко­торой серверная часть ПО работает на выделенной рабочей станции, а опе­ра­торы сети могут контролировать сеть с любого компьютера через браузер In­ternet. Ещё одно нововведение – расширенная интеграция со SCADA-сис­темами. HiVision имеет встроенный OPC-сервер, способный считывать и записывать все необходимые параметры коммутаторов, и компоненты Ac­ti­veX, позволяющие встроить окна HiVision в интерфейс SCADA-систе­-мы. Также новая версия программного продукта стала ещё лояльнее к сетевому оборудованию сторонних производителей: самые разные устройства, в том числе неуправляемые коммута-торы, ПЛК, IP-камеры и пр., могут быть интегрированы в систему и контролироваться всеми возможными способами.

Описать все возможности ПО Hirsch­mann HiVision 4.1 вряд ли получится – это тема отдельной статьи. Можно только добавить, что работать данное ПО может под управлением 21 операционной системы, в том числе под новыми ОС Windows 7 (32/64 бит), Windows Server 2008 R2 64 бит, Debian Linux 5.0 (32/64 бит). Для операторских машин список операционных систем ограничен лишь поддержкой браузера Internet c Java.

Что будет дальше?

На ближайший год у Hirschmann, как у «паровоза» Industrial Ethernet, можно выделить два основных направления развития: увеличение производительности коммуникационного оборудования и разработка путей повышения безопасности и надёжности сетей In­dustrial Ethernet.

Для повышения производительности планируется увеличение пропускной способности магистральных коммутаторов серии MACH4000, модульных коммутаторов серии PowerMICE, то есть будет больше портов Gigabit Ethernet. Также ожидается обновление линейки беспроводных точек доступа BAT300 стандарта 802.11n, при этом максимальная скорость передачи достигнет 450 Мбит/с. Гигабитного рубежа скорости достигнут и межсетевые экраны серии Eagle, которые не только станут быстрее, но и получат полное право применяться на электрических подстанциях согласно стандарту МЭК 61850.

Что касается повышения безопасности и надёжности сетей, то, во-первых, новые версии ПО HiVision станут ещё функциональнее в плане оперативной диагностики сети, коэффициент до­ступ­ности будет выше за счёт уменьшения времени устранения внештатных ситуаций. Во-вторых, сами коммутаторы Ethernet станут умнее: уже сейчас идут работы по внедрению новых функ­ций контроля доступа на базе протокола 802.1x, а также инновационной технологии резервирования каналов HSR (High-availability Seamless Re­dun­dancy). «Бесшовное резервирование», описанное в стандарте IEC 61439-3 п. 5, подразумевает нулевое время восстановления сети в случае отказа оборудования, сложную топологию с множественными кольцами и резервированными цепочками и интеграцию с технологиями параллельного резервирования. Так как технология HSR потребует применения специальной микросхемы FPGA, то опробовать её смогут только пользователи новых коммутаторов. Зато остальные функции будут доступны всем после обновления прошивки оборудования. ●

Автор – сотрудник фирмы ПРОСОФТ
Телефон: (495) 234-0636
E-mail: info@prosoft.ru