AT526785B1

AT526785B1 - Vorrichtung zum anlassbezogenen Unterbrechen einer zwei Netzwerkschnittstellen verbindenden Signalleitung

Info

Publication number: AT526785B1
Application number: ATA50632/2023A
Authority: AT
Inventors: Roth Markus
Original assignee: Creative Bits Og
Priority date: 2023-08-07
Filing date: 2023-08-07
Publication date: 2024-07-15
Also published as: AT526785A4

Abstract

Die Erfindung bezieht sich auf eine Vorrichtung zum anlassbezogenen Unterbrechen einer zwei Netzwerkschnittstellen (2a,2b) verbindenden Signalleitung (1). Um eine Vorrichtung der eingangs genannten Art zu schaffen, wird vorgeschlagen, dass in der Signalleitung (1) zu deren physischen Trennung ein mit einer Steuereinheit (4) verbundener Schalter (3) vorgesehen ist und dass die Steuereinheit (4) über eine interne Steuerschnittstelle (6) mit einer ansonsten von der Steuereinheit (4) getrennten Betätigungseinheit (5) verbunden ist, die eine Netzwerkschnittstelle (2c) zum Empfang von Steuernachrichten aufweist, wobei die Steuereinheit (4) mit keiner der Netzwerkschnittstellen (2a,2b,2c) unmittelbar verbunden ist.

Description

Beschreibung

[0001] Die Erfindung bezieht sich auf Vorrichtung zum anlassbezogenen Unterbrechen einer zwei Netzwerkschnittstellen verbindenden Signalleitung.

[0002] Aus dem Stand der Technik ist es bekannt, zwei physisch voneinander getrennte Netzwerke vorzusehen, oder aber eine Firewall zwischen den Netzwerken einzusetzen, um einen unbefugten Datenverkehr zwischen diesen Netzwerken zu verhindern. Eine physische Trennung hat dabei den Vorteil, dass das Einschleusen von Schadsoftware bzw. von schadhaften Konfigurationen, welche den ordnungsgemäßen Betrieb beeinträchtigen, nur über den Austausch von Datenträgern erfolgen kann, aber den Nachteil, dass jeglicher Datenverkehr auf einen eben solchen Austausch von Datenträgern angewiesen ist. Der Einsatz einer Firewall bietet den Vorteil, dass ein Datenverkehr direkt und ohne den Umweg von gesonderten Datenträgern erfolgen kann, dass die Firewall aber selbst durch Schadsoftware kompromittiert werden kann, sodass unbefugter Datenverkehr zwischen den Netzwerken nicht mehr verhindert werden kann. In diesem Fall bleibt nur die Möglichkeit, die Verbindung zwischen den Netzwerken durch Trennung der physischen Netzwerkverbindung zu unterbrechen. Nachteilig daran ist allerdings, dass die Trennung in der Regel durch eine Benutzerinteraktion vor Ort erfolgen muss, was eine rasche Reaktion auf eine Sicherheitsbedrohung erschwert.

[0003] Der Erfindung liegt somit die Aufgabe zugrunde, eine Vorrichtung zum anlassbezogenen Unterbrechen einer zwei Netzwerkschnittstellen verbindenden Signalleitung vorzuschlagen, die zwar eine physische Verbindung zwischen zwei Netzwerken zulässt, aber auch eine zuverlässige Trennung der Netzwerke im Fall einer Sicherheitsbedrohung ermöglicht.

[0004] Die Erfindung löst die gestellte Aufgabe dadurch, dass in der Signalleitung zu deren physischen Trennung ein mit einer Steuereinheit verbundener Schalter vorgesehen ist und dass die Steuereinheit über eine interne Steuerschnittstelle mit einer ansonsten von der Steuereinheit getrennten Betätigungseinheit verbunden ist, die eine Netzwerkschnittstelle zum Empfang von Steuernachrichten aufweist, wobei die Steuereinheit mit keiner der Netzwerkschnittstellen unmittelbar verbunden ist. Der Erfindung liegt der Gedanke zugrunde, die Sicherheit einer physischen bzw. einer galvanischen Trennung über einen Schalter mit dem Bedienungskomfort und der damit verbundenen Reaktionszeit einer elektronischen Steuerung zu verbinden, ohne dabei durch die elektronische Steuerung ein Sicherheitsrisiko einzuführen. Dies wird erfindungsgemäß dadurch gelöst, dass die den Schalter für die physische, vorzugsweise galvanische Trennung der Signalleitung ansteuernde Steuereinheit sowohl von den durch die Signalleitung verbundenen Netzwerkschnittstellen als auch von einer Netzwerkschnittstelle zum Empfang von Steuernachrichten getrennt ist. Somit kann auf die Steuereinheit, welche in aus dem Stand der Technik bekannter Weise eine oder mehreren Steuereinheitgruppen umfassen kann, selbst nicht zugegriffen werden, sondern lediglich auf ihre interne Betätigungseinheit, sodass die Steuereinheit nicht mit Schadsoftware bzw. von schadhaften Konfigurationen, welche den ordnungsgemäßen Betrieb beeinträchtigen, kompromittiert werden kann, da sie keine Netzwerkschnittstelle aufweist. Das Kommunizieren mit der Steuereinheit erfolgt erfindungsgemäß über die getrennte Betätigungseinheit, welche über eine interne Steuerschnittstelle mit der Steuereinheit verbunden ist. Intern bedeutet in diesem Zusammenhang, dass die Steuerschnittstelle im Gegensatz zu den Netzwerkschnittstellen nicht von außen zugänglich ist. Die Betätigungseinheit weist jedoch eine Netzwerkschnittstelle auf, sodass von außen auf diese zugegriffen werden kann, indem von einem Benutzer initiierte Steuernachrichten an die Betätigungseinheit gesendet werden. Im Zusammenhang mit der Erfindung kann die Netzwerkschnittstelle zur kabelgebundenen, aber auch zur drahtlosen Datenübertragung eingerichtet sein. So kann die getrennte Betätigungseinheit samt deren Netzwerkschnittstelle beispielsweise ein internes GSM-Modem sein, das eine Schnittstelle zu einem Mobilfunknetz darstellt, was eine besonders einfache Bedienmöglichkeit erlaubt. Die Steuereinheit ist einerends mit einem Schalter und anderends über eine Steuerschnittstelle mit der Betätigungseinheit verbunden, sodass die Steuereinheit mit keiner der Netzwerkschnittstellen unmittelbar signalverbunden ist. Wird nun ein Angriff ausgehend von einem der Netzwerke, welche über die Signalleitung verbunden sind, erkannt und die Signalleitung zwischen den beiden Netzwerk-

schnittstellen getrennt, ist das andere Netzwerk für den Angreifer aufgrund der physischen Trennung nicht zugänglich und sicher vor einem Angriff. Selbiges gilt für das Netzwerk, welches zur Kommunikation mit der Betätigungseinheit eingesetzt wird, da dieses auch keine Signalverbindung zum Datenaustausch mit dem kompromittierten Netz aufweist. Dadurch, dass die Steuereinheit keinerlei unmittelbare Verbindung zur einer der Netzwerkschnittstellen aufweist, die einen das Einschleusen schädlicher Software ermöglichenden Datenaustausch zuließe, könnte im Falle eines Angriffs lediglich der Schalter betätigt und damit die Signalleitung physisch, vorzugsweise galvanisch getrennt werden. Ein Zugriff auf die übermittelten Daten über die Signalleitung wird damit aber verhindert. Wesentlich ist es demnach, dass der Schalter die Funktion einer physischen Trennung der die zwei Netzwerkschnittstellen verbindenden Signalleitung erfüllt. Eine solche Trennung der zwei Netzwerkschnittstellen kann auch dadurch erreicht werden, dass mit der Trennung der Signalleitung eine der Netzwerkschnittstellen mit einer von den zwei Netzwerkschnittstellen unabhängigen Sicherungsschnittstelle verbunden wird. Demnach kann der Schalter ein Umschalter sein, der dazu eingerichtet ist, die Signalleitung zwischen den zwei Netzwerkschnittstellen zu trennen und wenigstens eine der zwei Netzwerkschnittstellen mit einer Sicherungsschnittstelle zu verbinden. Uber die Sicherungsschnittstelle können etwaige über die zwei Netzwerkschnittstellen verbundenen Netzwerke, beispielsweise Maschinenanlagen, mit Updates versorgt werden, ohne dabei wiederum Zugang auf die Steuereinheit zu haben.

[0005] Zwar ergibt sich dadurch, dass die Steuereinheit keine Netzwerkschnittstellen aufweist, bereits eine hohe Sicherheit bezüglich etwaiger Angriffe auf die Steuerung der erfindungsgemäßen Vorrichtung, jedoch können Kompromittierungsversuche noch effektiver abgewehrt werden, wenn die Steuereinheit dazu eingerichtet ist, einen beschränkten Befehlssatz von über die Steuerschnittstelle übertragenen Steuerbefehlen zu verarbeiten und andere Steuerbefehle zu verwerfen. Dadurch, dass die Steuereinheit nur beschränkte, vorgegebene Steuerbefehle verarbeitet, kann von der Steuereinheit kein anderer Programmcode, beispielsweise zum Umprogrammieren der Funktionalität der Steuereinheit, aufgenommen werden. Eine solche Einrichtung der Steuereinheit kann dadurch erreicht werden, dass die Betätigungseinheit, beispielsweise ein GSM-Modem, über deren Netzwerkschnittstelle eine Steuernachricht empfängt und der Steuereinheit ein Signal über den Erhalt einer Steuernachricht übergibt, wonach die Steuereinheit auf die auf der Betätigungseinheit gespeicherte Steuernachricht zugreift und daraus nur Steuerbefehle eines beschränkten, vorgegeben Befehlssatzes verarbeitet und Steuerbefehle, die nicht Teil des beschränkten Befehlssatzes sind, verwirft. Beispielsweise kann eine Steuernachricht von einem GSM-Modem als Betätigungseinheit empfangen und in einen Steuerbefehl übersetzt werden. Ein solcher Steuerbefehl kann beispielsweise der Inhalt einer SMS-Nachricht sein, der von der Steuereinheit abgerufen wird, insofern der Inhalt der SMS-Nachricht auch einem Steuerbefehl des beschränkten Befehlssatzes entspricht. Entspricht der Steuerbefehl nicht dem beschränkten Befehlssatz, so wird dieser gar nicht von der Steuereinheit verarbeitet, sondern sofort verworfen, sodass über die Steuerschnittstelle gar keine Schadsoftware bzw. schadhaften Konfigurationen, welche den ordnungsgemäßen Betrieb beeinträchtigen, auf die Steuereinheit übertragen werden können. Im Sinne der Erfindung wird unter einem beschränkten Befehlssatz eine vordefinierte Menge von vorgegebenen Steuerbefehlen verstanden, wie beispielsweise „Verbindung herstellen“ und „Verbindung trennen“. Die Steuereinheit ist dabei so ausgestaltet, dass ausschließlich Steuerbefehle dieses beschränkten Befehlssatzes übertragen werden können. Beispielsweise kann vorgesehen sein, dass auf Seiten der Betätigungseinheit lediglich ein Steuerbefehl für die Übertragung ausgewählt, nicht aber ein vorab nicht definierter Steuerbefehl übertragen werden kann.

[0006] Eine weitere Möglichkeit, das Risiko eines Angriffs der Steuereinheit zu reduzieren, ergibt sich dadurch, dass die Steuerschnittstelle einen beschränkten Befehlssatz und dass die Betätigungseinheit eine Verarbeitungseinrichtung zum Übersetzen der Steuernachrichten in Steuerbefehle des beschränkten Befehlssatzes aufweist. Zufolge dieser Maßnahmen kann über die Steuerschnittstelle keine schadhafte Software übertragen werden, da die Steuerschnittstelle Steuernachrichten nicht ungefiltert an die Steuereinheit weitergibt, sondern lediglich Steuerbefehle eines beschränkten, vorgegebenen Befehlssatzes. Die eigentlichen Steuerbefehle werden erst durch eine Verarbeitungseinrichtung, die die Steuernachrichten in Steuerbefehle übersetzt, erhalten.

Selbst wenn also die Steuernachricht kompromittiert ist, so kann dies nach der Übersetzung nur zu vorgebbaren Steuerbefehlen eines beschränkten Befehlssatzes führen, nicht aber zu einem Programmcode, der die Steuereinheit umprogrammieren kann. Die Betätigungseinheit bzw. ihre Verarbeitungseinrichtung kann dabei so ausgeführt sein, dass die zu ihrem Betrieb erforderliche Software in einem unveränderlichen Speicher abgelegt und somit im Betrieb nicht mehr verändert werden kann. Im Sinne der Erfindung wird unter einem beschränkten Befehlssatz eine vordefinierte Menge von vorgegebenen Steuerbefehlen verstanden, wie beispielsweise „Verbindung herstellen“ und „Verbindung trennen“. Die interne Steuerschnittstelle kann dabei so ausgestaltet sein, dass ausschließlich Steuerbefehle dieses beschränkten Befehlssatzes übertragen werden können. Dies bedeutet, dass auf Seiten der Betätigungseinheit lediglich ein Steuerbefehl für die Übertragung ausgewählt, nicht aber ein vorab nicht definierter Steuerbefehl übertragen werden kann.

[0007] Um einen besonders sicheren Schutz der Steuereinheit zu gewähren, kann die Steuerschnittstelle eine 1-zu-1-Verbindung zwischen der Steuereinheit und der Betätigungseinheit bilden. Dies bedeutet, dass die Betätigungseinheit ausgangsseitig nur mit der Steuereinheit und die Steuereinheit eingangsseitig nur mit der Betätigungseinheit verbunden ist, sodass eine Kompromittierung über mögliche andere Komponenten eines Bus-Systems ausgeschlossen werden kann. Insgesamt ergibt sich dadurch eine besonders kompakte Vorrichtung, insbesondere dann, wenn Schalter, Steuereinheit und Betätigungseinheit in einer Baueinheit angeordnet sind, was eine Plug&Play-Funktionsweise begünstigt, und keine aufwändigen Installationsmaßnahmen erfordert. Als 1-zu-1-Verbindung kann beispielsweise eine serielle Schnittstelle dienen.

[0008] Ein zusätzlicher Schutz zum Verhindern eines Angriffs auf die Steuereinheit ergibt sich, wenn die Netzwerkschnittstelle zum Empfang von Steuernachrichten von den übrigen Netzwerkschnittstellen getrennt ist. Auf diese Weise kann nämlich kein Datenaustausch zwischen dem Steuernetzwerk zur Übermittlung von Steuernachrichten und den über die Signalleitung verbundenen und gegebenenfalls getrennten Netzwerken erfolgen.

[0009] Neben den oben genannten einfachen Steuerbefehlen kann der beschränkte Befehlssatz auch Steuerbefehle für den automatischen Betrieb der Steuereinheit umfassen. Beispielsweise kann die Signalleitung zu bestimmten Zeitpunkten getrennt bzw. verbunden werden, um beispielsweise nur während eines Sicherungszeitfensters den Zugriff auf einen Sicherungsdatenspeicher zuzulassen. Hierzu kann die Steuereinheit zur Vorgabe von Zeitpunkten der Unterbrechung der Signalleitung eine Zeitsteuereinheit aufweisen.

[0010] Um eine Messung des Datenverkehrs zu ermöglichen, ohne dabei eine Schwachstelle zum Angriff auf die Steuereinheit einzuführen, wird vorgeschlagen, dass die Steuereinheit zur Messung von Datenverkehr auf der Signalleitung einen Sensor aufweist. Vorzugsweise wird ein Sensor eingesetzt, der physikalische Größen erfasst, ohne dabei höherwertige Übertragungsprotokolle der Datenkommunikation auf der Signalleitung zu berücksichtigen. Beispielsweise kann ein induktiver Sensor zur Bestimmung eines Stromflusses über die Signalleitung vorgesehen sein. In Abhängigkeit der Zeitpunkte eines solchen Datenverkehrs oder erfassten Signalmusters kann somit von der Steuereinheit ein unerwünschter Datenverkehr detektiert und in einem hierfür vorgesehenen Betriebsmodus die Signalleitung über den Schalter unterbrochen werden.

[0011] Grundsätzlich ist es durch die erfindungsgemäße Vorrichtung möglich, dass die Verbindung zwischen zwei Netzwerken völlig gekappt wird, wenn nur eine Signalleitung zwischen diesen vorgesehen ist. Zwischen den zwei Netzwerkschnittstellen kann auch eine Gruppe von Signalleitungen vorgesehen sein, wobei in jeder Signalleitung der Gruppe zu deren galvanischer Trennung ein mit der Steuereinheit verbundener Schalter vorgesehen ist. Auf diese Weise können nur in Empfangsrichtung (RX) oder Senderichtung (TX) wirkende Signalleitungen einer Netzwerkverbindung getrennt werden, sodass nur eine Richtung der Signalübertragung gekappt wird. Es können auch Signalleitungen unterschiedlicher Übertragungsgeschwindigkeiten vorgesehen sein, sodass beispielsweise bei einem Angriff lediglich die Ubertragungsgeschwindigkeit gedrosselt wird, indem die Signalleitungen mit hoher Bandbreite getrennt werden. Beispielsweise können auch nur jene Signalleitungen getrennt werden, die für eine Datenübertragung erforderlich

sind, während Signalleitungen für eine Stromversorgung verbunden bleiben.

[0012] Mithilfe der erfindungsgemäßen Vorrichtung kann eine Netzwerkanordnung aufgebaut werden, wobei die über die Signalleitung verbundenen Netzwerkschnittstellen zwei Segmente eines Datennetzwerks miteinander verbinden, und wobei die Netzwerkschnittstelle zum Empfangen von Steuernachrichten mit einem vom Datennetzwerk getrennten Steuernetzwerk verbunden ist. Das Datennetzwerk kann kabelgebunden sein. Das Steuernetzwerk kann ein Funknetzwerk, beispielsweise ein Mobilfunknetzwerk, sein.

[0013] In einem besonders benutzerfreundlichen Ausführungsbeispiel können von einem Benutzer über eine Betätigungsapplikation gewünschte Unterbrechungskriterien zum Unterbrechen der Signalleitung angegeben werden, welche als Steuernachrichten über die Netzwerkschnittstelle an die Betätigungseinheit, beispielsweise über ein GSM-Modem, übergeben werden. Diese Steuernachrichten werden in Steuerbefehle übersetzt und über die interne Steuerschnittstelle an die Steuereinheit übertragen, wobei die Steuereinheit den Schalter ausschließlich in Abhängigkeit von übermittelten Steuerbefehlen eines beschränkten Befehlssatzes ansteuert und andere übermittelte Steuerbefehle verwirft. Zwar können also über beispielsweise eine Betätigungsapplikation gewünschte Kriterien vorgegeben werden, die tatsächliche Unterbrechung erfolgt jedoch immer nur aufgrund der Steuerbefehle des vorgegebenen Befehlssatzes. Wird also beispielsweise das Netz, über welches die Betätigungsapplikation mit der Betätigungseinheit kommuniziert, angegriffen, so stellt der beschränkte Befehlssatz eine Schutzbarriere dar, da etwaige kompromittierte Steuernachrichten nur in Steuerbefehle des beschränkten Befehlssatzes übersetzt werden können, sodass eine etwaige Datenübertragung auf die Steuereinheit abseits der vorgegebenen Steuerbefehle nicht möglich ist und somit die Steuereinheit nicht mit beliebiger schadhaften Software infiziert werden kann.

[0014] In der Zeichnung ist der Erfindungsgegenstand beispielshaft dargestellt. Es zeigen

[0015] Fig. 1 eine schematische Darstellung eines erstens Ausführungsbeispiels einer erfindungsgemäßen Vorrichtung und

[0016] Fig. 2 eine schematische Darstellung eines zweiten Ausführungsbeispiels einer erfindungsgemäßen Vorrichtung.

[0017] Eine erfindungsgemäße Vorrichtung kann zum anlassbezogenen Unterbrechen einer Signalleitung 1 eingesetzt werden, welche zwei Netzwerkschnittstellen 2a,2b miteinander verbindet. Zum Unterbrechen in Form einer physischen, insbesondere galvanischen Trennung der Signalleitung 1 wird, wie beispielsweise der Fig. 1 zu entnehmen ist, ein Schalter 3 eingesetzt, der mit einer Steuereinheit 4 verbunden ist. Erfindungsgemäß kann von außen nicht auf die Steuereinheit 4 direkt zugegriffen werden, da diese keine Netzwerkschnittstelle aufweist und auch mit keiner der der Netzwerkschnittstellen unmittelbar verbunden ist. Die Kommunikation mit der Steuereinheit 4 durch einen Benutzer erfolgt nämlich über eine Betätigungseinheit 5, welche lediglich über eine interne Steuerschnittstelle 6 mit der Steuereinheit 4 verbunden ist.

[0018] Die Steuereinheit 4 kann dazu eingerichtet sein, einen beschränkten Befehlssatz von über die Steuerschnittstelle 6 übertragenen Steuerbefehlen zu verarbeiten und andere Steuerbefehle zu verwerfen, sodass etwaige schadhafte Steuerbefehle, welche nicht dem beschränkten, vorgegebenen Befehlssatz entsprechen, nicht die Steuereinheit 4 kompromittieren können.

[0019] Die Betätigungseinheit 5 kann der Steuereinheit 4 Steuerbefehle aus einem beschränkten Befehlssatz übergeben. Die Auswahl der Steuerbefehle aus dem Befehlssatz kann von einem Benutzer über Steuernachrichten erfolgen, welche über ein Steuernetzwerk 7 mittels einer Netzwerkschnittstelle 2c an die Betätigungseinheit 5 übergeben und von deren Verarbeitungseinrichtung 8 in die Steuerbefehle übersetzt werden können. Uber die Netzwerkschnittstelle 2c können somit keine beliebigen Daten auf die Steuereinheit 4 übertragen werden, sondern lediglich eine Auswahl aus vorgegebenen Steuerbefehlen getroffen werden. Da die Steuereinheit 4 mit keiner der Netzwerkschnittstellen 2a,2b,2c unmittelbar verbunden ist, kann auf dieses nicht von außen zur beliebigen Datenübertragung zugegriffen werden.

[0020] Um die potentiellen Angriffsmöglichkeiten der Steuereinheit 4 möglichst gering zu halten,

kann die die Steuerschnittstelle 6 eine 1-zu-1-Verbindung zwischen der Steuereinheit 4 und der Betätigungseinheit 5 bilden. Zusätzlich oder alternativ kann als weitere effektive Schutzvorkehrung die Netzwerkschnittstelle 2c zum Empfang von Steuernachrichten von den übrigen Netzwerkschnittstellen 2a,2b getrennt sein, sodass kein Datenaustausch zwischen den nicht über den Schalter 3 trennbaren Netzen erfolgen kann.

[0021] Damit die Signalleitung 1 in Abhängigkeit einer Zeitkomponente unterbrochen und auch wieder verbunden werden kann, kann die Steuereinheit 4 eine Zeitsteuereinheit 9 aufweisen.

[0022] Die Steuereinheit 4 kann einen oder mehrere Sensoren 10 aufweisen, durch welche der Datenverkehr auf der Signalleitung 1 erfasst werden kann. Hierfür eignen sich induktive Sensoren, da diese durch das Messen physikalischer Größen keinen Zugriff auf den Datenstrom benö6tigen.

[0023] Im Rahmen einer Netzwerkanordnung können über die über die Signalleitung 1 verbundenen Netzwerkschnittstellen 2a,2b zwei Segmente 11a,11b eines Datennetzwerks miteinander verbunden sein. Die Netzwerkschnittstelle 2c zum Empfangen von Steuernachrichten kann mit einem vom Datennetzwerk getrennten Steuernetzwerk 7 verbunden sein.

[0024] Fig. 2 zeigt eine zweite Ausführungsform der erfindungsgemäßen Vorrichtung mit zwei Gruppen von Signalleitungen 1. Eine Gruppe von Signalleitungen 1 umfasst drei Signalleitungen, nämlich, von oben nach unten gesehen, die erste, zweite und vierte Signalleitung 1. Alle Signalleitungen dieser Gruppe weisen zu deren galvanischer Trennung einen mit der Steuereinheit 4 verbundenen Schalter 3 auf. Eine zweite Gruppe von Signalleitungen 1 umfasst eine Signalleitung, nämlich, von oben nach unten gesehen, die dritte Signalleitung 1. Diese Gruppe kann keinen Schalter 3 aufweisen. So ist es möglich, nur in Empfangsrichtung (RX) oder Senderichtung (TX) wirkende Signalleitungen 1 zu trennen, oder die Übertragungsgeschwindigkeit zu drosseln, indem die Signalleitungen 1 mit hoher Bandbreite getrennt werden. Darüber hinaus können auch nur für eine Datenübertragung erforderliche Signalleitungen 1 getrennt werden, während Signalleitungen 1 für eine Stromversorgung verbunden bleiben.

Claims

Patentansprüche

1. Vorrichtung zum anlassbezogenen Unterbrechen einer zwei Netzwerkschnittstellen (2a,2b) verbindenden Signalleitung (1), dadurch gekennzeichnet, dass in der Signalleitung (1) zu deren physischen Trennung ein mit einer Steuereinheit (4) verbundener Schalter (3) vorgesehen ist und dass die Steuereinheit (4) über eine interne Steuerschnittstelle (6) mit einer ansonsten von der Steuereinheit (4) getrennten Betätigungseinheit (5) verbunden ist, die eine Netzwerkschnittstelle (2c) zum Empfang von Steuernachrichten aufweist, wobei die Steuereinheit (4) mit keiner der Netzwerkschnittstellen (2a,2b,2c) unmittelbar verbunden ist.

2. Vorrichtung nach Anspruch 1, dadurch gekennzeichnet, dass die Steuereinheit (4) dazu eingerichtet ist, einen beschränkten Befehlssatz von über die Steuerschnittstelle (6) übertragenen Steuerbefehlen zu verarbeiten und andere Steuerbefehle zu verwerfen.

3. Vorrichtung nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass die Steuerschnittstelle (6) einen beschränkten Befehlssatz und dass die Betätigungseinheit (5) eine Verarbeitungseinrichtung (8) zum Ubersetzen der Steuernachrichten in Steuerbefehle des beschränkten Befehlssatzes aufweist.

4. Vorrichtung nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass die Steuerschnittstelle (6) eine 1-zu-1-Verbindung zwischen der Steuereinheit (4) und der Betätigungseinheit (5) bildet.

5. Vorrichtung nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, dass die Netzwerkschnittstelle (2c) zum Empfang von Steuernachrichten von den übrigen Netzwerkschnittstellen (2a,2b) getrennt ist.

6. Vorrichtung nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, dass die Steuereinheit (4) zur Vorgabe von Zeitpunkten der Unterbrechung der Signalleitung eine Zeitsteuereinheit (9) aufweist.

7. Vorrichtung nach einem der Ansprüche 1 bis 6, dadurch gekennzeichnet, dass die Steuereinheit (4) zur Messung von Datenverkehr auf der Signalleitung (1) einen Sensor (10) aufweist.

8. Vorrichtung nach einem der Ansprüche 1 bis 7, dadurch gekennzeichnet, dass eine Gruppe von Signalleitungen (1) zwischen den zwei Netzwerkschnittstellen (2a,2b) vorgesehen ist und dass in jeder Signalleitung (1) der Gruppe zu deren galvanischer Trennung ein mit der Steuereinheit (4) verbundener Schalter (3) vorgesehen ist.

9. Netzwerkanordnung mit einer Vorrichtung nach einem der vorangegangenen Ansprüche, wobei die über die Signalleitung (1) verbundenen Netzwerkschnittstellen (2a,2b) zwei Segmente (11a,11b) eines Datennetzwerks miteinander verbinden, und wobei die Netzwerkschnittstelle (2c) zum Empfangen von Steuernachrichten mit einem vom Datennetzwerk getrennten Steuernetzwerk (7) verbunden ist.

10. Verfahren zum Betrieb einer Vorrichtung der Ansprüche 2 bis 8, dadurch gekennzeichnet, dass über die Netzwerkschnittstelle (2c) der Betätigungseinheit (5) Steuernachrichten übermittelt und in Steuerbefehle übersetzt werden, die über die interne Steuerschnittstelle (6) an die Steuereinheit (4) übertragen werden, wobei die Steuereinheit (4) den Schalter (3) ausschließlich in Abhängigkeit von übermittelten Steuerbefehlen eines beschränkten Befehlssatzes ansteuert und andere übermittelte Steuerbefehle verwirft.

Hierzu 2 Blatt Zeichnungen