CN103731361A

CN103731361A - 基于硬件的颗粒级业务风暴保护

Info

Publication number: CN103731361A
Application number: CN201310475706.9A
Authority: CN
Inventors: 布赖恩·A·巴特克; 西瓦拉姆·巴拉苏布拉马尼安
Original assignee: Rockwell Automation Technologies Inc
Current assignee: Rockwell Automation Technologies Inc
Priority date: 2012-10-12
Filing date: 2013-10-12
Publication date: 2014-04-16
Also published as: US20140105004A1; EP2720412A1; US9374387B2; EP2720412B1

Abstract

公开了基于硬件的颗粒级业务风暴保护。本发明的各方面提供了利用对工业控制协议分组的基于硬件的颗粒级评估来经受住业务风暴的装置、方法和系统。在实施例中，耦合到端口的分组评估电路可被适配成在交换电路可以将入站分组发送到适当的目的地之前对包含在每个入站分组中的一个或多个协议字段进行评估。如果是特定消息，则交换电路可发送入站分组，或者如果入站分组不包含用于发送的特定消息以及如果在给定时间段期间入站分组类型的总字节数超过出站端口的阈值则，可选择性地禁止交换电路发送入站分组。这样，在存在业务风暴的情况下关键的工业应用可继续进行操作。

Description

基于硬件的颗粒级业务风暴保护

技术领域

本发明涉及工业控制系统，具体地，涉及工业控制系统中的基于硬件的颗粒级业务风暴保护（granular traffic storm protection）。

背景技术

用于工业控制器之间的通信的控制网络与标准网络的不同之处在于它们必须操作用于在预定时间限制内可靠地传输数据。通常这是通过另外的通信协议来实现的，这些通信协议保留了网络带宽并且对消息进行调度以防止可能将不可预测的延迟引入网络通信中的冲突等。通常用在工业控制系统中的这样的网络包括例如控制网（ControlNet）、设备网（DeviceNet）、以太网/IP（EtherNet/IP）和串行实时通信协议（Sercos），它们的规范被公开并且它们的通用工业协议（CIP）被大量的制造者和供应者广泛使用。

在存在业务风暴的情况下，如许多其它系统的工业系统还可能易受应用中断影响。例如，由上线的新装置、发送广播业务的故障装置和来自发送广播或单播消息的攻击者的故意中断引起的消息的突发都可能是引起这样的中断的业务风暴的潜在源。

当前的实现一般可对广播、多播或单播数据包执行基于硬件的过滤，并且当达到阈值时，这些分组可能被落下或者端口可能被禁用，而不管分组提供了关键的工业应用消息还是较不重要的额外信息。一些实现可以更具体地以软件或固件监测消息并且在业务风暴中禁止对低优先级消息的处理或处置。然而，这样的软件或固件处理需要CPU处理资源，当提供这些CPU处理资源时剥夺了其它应用处理的资源。在消息业务的连续流可能对于维持工业处理是关键的工业应用（诸如运动中的用于制造的一台或多台机器）中，这可能尤其成为问题。

发明内容

本发明人已认识到，对于工业控制系统，可以以硬件有利地监测消息。这样，在存在业务风暴的情况下关键的工业应用可继续操作而不损失完整性。

本发明的各方面在一个实施例中提供了一种用于工业控制系统的网络装置，该网络装置包括一个或多个端口，其中每个端口被适配成通过工业控制网络传输工业控制协议分组。缓冲存储器可以可选地耦合到每个端口，该缓冲存储器被适配成将入站分组（inbound packet）存储在入站队列中以及将出站分组存储在出站队列中。交换电路可耦合到每个端口，该交换电路被适配成基于包含在入站分组中的寻址信息将入站分组从每个端口发送到其适当的目的地（诸如发送到其它端口的出站队列或发送到处理器和/或工业处理电路）。分组评估电路可耦合到每个端口或可选的缓冲存储器，该分组评估电路针对每个入站分组而被适配成：（a）在交换电路可以将入站分组发送到适当的目的地之前，评估包含在入站分组中的并且在各个分层的协议级的一个或多个协议字段，诸如地址（例如，源或目的地）、端口号、通信类型（例如，广播、单播或多播）、应用协议消息类型（例如，CIP运动、CIP I/O或IEEE1588）或者状态协议字段（诸如建立的有效CIP连接ID）；（b）如果入站分组包含由所评估的一个或多个协议字段表示的特定消息，则允许交换电路发送该入站分组；以及（c）如果入站分组不包含用于发送的特定消息以及如果在给定时间段期间入站分组类型的总字节数超过出站端口的阈值，则选择性地禁止交换电路发送入站分组。

分层的协议级可包括例如控制网络级（例如，控制网、设备网、以太网/IP或串行实时通信协议实现级）、因特网协议级（例如，TCP或UDP）以及应用级，包括针对各种类型的协议。另外，进站分组中的用于发送的特定消息的指示可被设置并且可以是可配置的。例如，可基于CIP运动分组、CIP I/O分组或IEEE1588分组的存在或者入站分组源自有效CIP连接ID还是有效CIP装置ID来标识用于发送的特定消息。

可经由寄存器设置来配置所评估的协议字段。可通过丢弃入站分组或者通过将入站分组移动到单独的存储器并且排队以进行随后的处理来禁止发送入站分组。

另一实施例可提供一种用于通过工业控制网络传输分组的方法，该方法包括：（a）接收通过工业控制网络传输的入站工业控制协议分组；以及（b）评估入站分组的一个或多个协议字段，以及如果协议字段等于特定值，则以硬件进行确定，并且如果协议字段等于特定值，则将入站分组发送到适当地址。

一个协议字段可表示例如入站分组是CIP运动分组还是CIP I/O分组还是IEEE1588分组、或者入站分组源自有效CIP连接ID还是有效CIP装置ID。该方法还可包括：如果协议字段不等于特定值以及如果在给定时间段期间入站分组类型的总字节数超过出站端口的阈值，则丢弃入站分组，或者如果协议字段不等于特定值以及如果在给定时间段期间入站分组类型的总字节数超过出站端口的阈值，则将入站分组移动到单独的存储器并排队以进行随后的处理。阈值可被设置为表示入站队列中的入站分组的最大存储量。

又一实施例可提供一种工业控制系统，其包括在端口之间转发和接收工业控制协议分组的多个交换节点，每个交换节点至少具有可连接到网络介质的第一端口和第二端口，交换节点布置成环，其中，每个交换节点的第一端口和第二端口连接到该环的不同交换节点。每个交换节点可被适配成在将分组转发到任何其它交换节点之前，以硬件评估包含在所接收的分组中的一个或多个协议字段。如果入站分组包含由所评估的一个或多个协议字段表示的特定消息，则每个交换节点可将入站分组发送到适当的目的地。每个交换节点还可基于所评估的一个或多个协议字段，在给定时间段期间入站分组类型的总字节数至少等于出站端口的阈值的情况下，选择性地禁止将所接收的分组转发到任何其它交换节点。

本发明的这些和其它目的、优点和方面将根据以下描述而变得明显。这里描述的特定目的和优点可适用于落入权利要求内的仅一些实施例，因此不限定本发明的范围。在描述中，参照构成其一部分的附图，并且在附图中，示出了本发明的优选实施例。这样的实施例不一定表示本发明的完全范围，因此，这里参考权利要求来解释本发明的范围。

附图说明

图1是根据本发明的实施例的被配置以供使用的工业控制网络的图；

图2是根据本发明的实施例的图1所示的工业控制网络的节点的逻辑图；

图3是根据本发明的实施例的图2所示的节点的交换元件的逻辑图；以及

图4是根据本发明的实施例的流程图。

具体实施方式

以下将描述本发明的一个或多个具体实施例。具体地，本发明不旨在限于这里包含的实施例和图示，而是包括这些实施例的变型形式，这些变型形式包括这些实施例的部分以及落入所附权利要求的范围内的不同实施例的元素的组合。应理解，在任何这样的实际实现的开发中，如在任何工程或设计项目中，必须做出大量实现特有的决定以实现开发者的特定目标，诸如遵照可能随不同的实现而变化的系统相关和业务相关的约束。另外，应理解，这样的开发努力可能是复杂且耗时的，但是对得益于本公开的普通技术人员来说是进行设计、制作和制造的例行程序。本申请中没有什么被认为对本发明是关键或重要的，除非明确表示为“关键的”或“重要的”。

现在参照附图，其中相同的附图标记在多幅视图中对应于类似的部件，并且具体参照图1，将在工业控制网络10的上下文中来描述本发明。工业控制网络10可包括例如可编程逻辑控制器12，可编程逻辑控制器12执行所存储的程序以提供对工业处理14的实时控制。在该上下文中，实时控制是指经受可编程逻辑控制器12生成的输出信号与发送到工业处理14中的致动器的电信号之间的定义好的最大延迟时段以及类似地在工业处理14中的传感器生成信号与可编程逻辑控制器12接收和处理该信号之间的定义好的最大延迟时期的控制。

通常，可编程逻辑控制器12包括执行所存储的程序的电子计算机，所存储的程序为所需控制提供详细逻辑。通常，针对特定工业处理14而唯一地生成所存储的程序。

可编程逻辑控制器12可与允许对工业控制器的配置（包括控制程序的生成和工业控制器的部件的初始化）的终端装置16进行通信。可编程逻辑控制器12还可与实现适合于传输工业控制协议分组的以太网、控制网、设备网、以太网/IP或串行实时通信协议或因特网协议（IP）的协议或者其它控制网络协议的网络节点18（在该示例中为网络节点18A）进行通信。网络节点18A可以是以太网节点，其具有处理器44、一个或多个端口20（仅作为示例示出的、分别标记为A和B的两个端口）以及在一个或多个端口与处理器44之间交换网络业务的交换装置45。在该示例中，节点18A可提供层2协议以实现全双工/半双工IEEE802.3以太网网络。

这里，仅作为示例示出的两个端口（端口A和端口B）均连接到网络介质22（例如，在全双工模式下具有至少100Mbps的带宽的铜导线或光纤链路）。介质22可连接到其它网络节点18B、18C、18D和18E，网络节点18B、18C、18D和18E中的每一个均也具有处理器44、一个或多个端口20（A和B）以及交换装置45。

介质可例如将网络节点18的端口20互连以产生各种拓扑，包括交换节点的环形拓扑，即，通过沿着介质22，一旦通过每个节点18的端口A和B中的每一个就可连续到达每个节点18的拓扑。环形拓扑表示物理连接并且与分组或帧是否可实际通过端口A和B无关、同时可能因介质22或一个或多个网络节点18的故障而被阻止。在美国专利申请第12/493,838号中进一步描述了环形拓扑，其全部内容通过引用合并于此。尽管仅作为示例描述了环形拓扑，但是可类似地实现其它类型的拓扑，诸如总线、星形或线性拓扑或混合。

现在参照图2，示出了根据本发明的实施例的示例节点18b的逻辑图。网络节点18B可包括处理器44、一个或多个端口20（分别标记为A和B）、用于在一个或多个端口与处理器44之间交换网络业务的交换装置45以及工业处理电路48，工业处理电路48用于与沿着导线24提供来自工业处理14的信号以及将信号提供到工业处理14以进行其控制的I/O电路或其它控制装置进行通信。

现在参照图3，示出了根据本发明的实施例的交换装置45的逻辑图，交换装置45可被实现为例如本领域公知的专用集成电路（ASIC）或现场可编程门阵列（FPGA）内的嵌入式交换装置。交换装置45包括一个或多个端口20（分别标记为A和B）和附加端口49（标记为C）。每个端口20被适配成通过工业控制网络传输工业控制协议分组。在交换装置45外部，端口A和B均可与如上所述类似地连接到网络介质22，并且端口C可连接到处理器44。在交换装置45内，端口A、B和C分别可包括耦合到端口的可选缓冲存储器50、52和54。缓冲存储器50、52和54可被适配成分别将入站工业控制协议分组存储在入站队列60、62和64中以及将出站工业控制协议分组存储在出站队列70、72和74中。可以是纵横交换装置的交换电路80例如可耦合到缓冲存储器50、52和54中的每一个。交换装置电路80被适配成基于包含在入站分组中的寻址信息而将来自每个端口的入站队列的入站分组发送到其适当的目的地，诸如发送到其它端口的出站队列。

端口A、B和C或者可选地缓冲存储器50、52和54分别可具有与其耦合的基于硬件的颗粒级分组评估电路90、92和94。分组评估电路可耦合到配置逻辑96，配置逻辑96又可耦合到配置寄存器98。分组评估电路针对每个入站分组而被适配成在交换电路80可以将入站分组发送到适当的目的地（诸如其它端口的出站队列）之前对包含在入站分组中的在各个分层的协议级的一个或多个协议字段进行评估。如上所述，在各个分层的协议级的协议字段可包括例如地址（例如，源或目的地）、端口号、通信类型（例如，广播、单播或多播）、消息类型（例如，CIP运动、CIP I/O或IEEE1588）或建立的连接（例如，有效CIP连接ID或有效CIP装置ID）。

对于工业系统，一个或多个协议字段可有利地传达入站分组是否与重要或优先消息业务（其可包括例如运动同步分组（诸如通用工业协议（CIP）运动分组）和/或时间同步分组（诸如IEEE1588精确时间协议分组））相关。一个或多个协议字段还可传达例如入站分组源自有效CIP连接ID还是有效CIP装置ID以及入站分组是广播分组、多播分组还是单播分组。可在分组工业功能分类表中阐述协议字段和/或将协议字段与分组工业功能分类表进行比较。可经由配置逻辑96和配置寄存器98来配置所评估的特定协议字段，配置逻辑96和配置寄存器98可例如通过本地硬件、固件和/或可编程逻辑控制器12来初始化和/或更新。

分组评估电路还针对每个入站分组而被适配成如果入站分组包含可以是重要或优先消息业务的、由所评估的一个或多个协议字段表示的特定消息，则允许交换电路发送入站分组。分组评估电路还针对每个入站分组而被适配成如果入站分组不包含特定消息以及如果在给定时间段期间入站分组类型的总字节数超过出站端口的阈值，则选择性地禁止交换电路将入站分组发送到诸如其它端口的出站队列。禁止发送入站分组可包括完全丢弃入站分组，或者在优选实施例中，将入站分组移动到单独的较大存储器并且排队以便交换电路80进行可能的随后处理。

另外，还可经由配置逻辑96和配置寄存器98来配置可禁止交换电路发送入站分组类型的、出站端口的阈值。例如，阈值可被设置为要求在可在出站端口20或49禁止广播类型的入站分组之前，入站广播分组的总字节数超过每秒512字节。另外，多个协议字段和阈值水平可被安排和更新以便以变化的程度来禁止交换电路发送入站分组。例如，可设置在第一阈值水平（例如，入站广播分组的总字节数超过每秒512字节）进行禁止的第一较小程度连同在第二阈值水平（例如，入站广播、多播或单播分组的总字节数超过每秒4096字节）进行禁止的第二较大程度。

现在参照图4，示出了根据本发明的实施例的流程图。节点可通过工业控制网络接收从其它节点传输的入站工业控制协议分组100。节点可以可选地将入站分组存储在缓冲存储器的入站队列中102。然后，节点可确定入站分组是否包含由所评估的一个或多个协议字段表示的特定消息104。如果入站分组包含特定消息（真），则分组评估电路可允许交换电路将入站分组发送到适当的目的地106。然而，如果入站分组不包含特定消息（假），以及如果在给定时间段期间入站分组类型的总字节数超过出站端口的阈值108（真），则分组评估电路可选择性地禁止交换电路发送入站分组110。替选地，如果入站分组不包含特定消息（假）108，但是在给定时间段期间入站分组类型的总字节数没有超过出站端口的阈值108（假），则分组评估电路可允许交换电路将入站分组发送到适当的目的地106。

在这里使用某些术语仅出于引用目的，因此不旨在进行限制。例如，诸如“上”、“下”、“以上”和“以下”的术语是指所参照的附图中的方向。诸如“正面”、“背面”、“后面”、“底部”、“侧面”、“左”和“右”的术语描述一致但任意的参考框内的部件的各部分的朝向，其通过参考描述所讨论的部件的文本和相关联附图而变得清楚。这样的术语可包括以上具体阐述的词、其衍生词以及类似意思的词。类似地，涉及结构的术语“第一”、“第二”和其它这样的数字术语不暗示次序或顺序，除非上下文清楚指出。

当介绍本公开和示例性实施例的元素或特征时，冠词“一个（a或an）”、“该”和“所述”旨在表示存在一个或多个这样的元素或特征。术语“包括”、“包含”和“具有”旨在为包括性的并且表示可存在除具体指出的元素或特征之外的附加元素或特征。还应理解，这里描述的方法步骤、处理和操作不应被解释为必须要求按所讨论或示出的特定顺序来执行，除非具体标识为执行顺序。还应理解，可采用附加的或替选的步骤。

对“微处理器”和“处理器”或“该微处理器”和“该处理器”的引用可以被理解为包括一个或多个微处理器，这一个或多个微处理器可以在独立的和/或分布式环境中进行通信，因此可以被配置成经由有线或无线通信与其它处理器通信，其中，这样的一个或多个处理器可以被配置成在可以是类似的或不同的装置的一个或多个处理器控制装置上进行操作。此外，除非相反指定，否则对存储器的引用可以包括可以在处理器控制装置的内部、处理器控制装置的外部以及可以经由有线或无线网络访问的一个或多个处理器可读且可访问的存储器元件和/或部件。

具体地旨在为本发明不限于这里所包含的实施例和图示，并且权利要求应被理解为包括这些实施例的变型形式，这些变型形式包括这些实施例的部分和落入所附权利要求的范围内的不同实施例的元素的组合。包括专利和非专利公布的这里所述的所有公布在此通过引用全部合并于此。

关于包括以上各实施例的实施方式，还公开下述附记：

附记：

1.一种用于工业控制系统的网络装置，包括：

端口，被适配成通过工业控制网络传输工业控制协议分组；

耦合到所述端口的交换电路，被适配成基于包含在入站分组中的寻址信息而将所述入站分组从所述端口发送到目的地；以及

耦合到所述端口的分组评估电路，其中，所述分组评估电路针对每个所述入站分组而被适配成：

（a）在所述交换电路能够发送所述入站分组之前，评估包含在所述入站分组中的一个或多个协议字段；

（b）如果所述入站分组包含由所评估的一个或多个协议字段表示的特定消息，则允许所述交换电路发送所述入站分组；以及

（c）如果所述入站分组不包含用于发送的所述特定消息以及如果在给定时间段期间入站分组类型的总字节数超过阈值，则选择性地禁止所述交换电路发送所述入站分组。

2.根据附记1所述的网络装置，其中，如果所评估的协议字段表示通用工业协议运动分组，则所述入站分组包含用于发送的所述特定消息。

3.根据附记1所述的网络装置，其中，如果所评估的协议字段表示有效通用工业协议I/O分组，则所述入站分组包含用于发送的所述特定消息。

4.根据附记1所述的网络装置，其中，如果所评估的协议字段表示IEEE1588分组，则所述入站分组包含用于发送的所述特定消息。

5.根据附记1所述的网络装置，其中，如果所评估的协议字段表示有效通用工业协议连接ID或有效通用工业协议装置ID，则所述入站分组包含用于发送的所述特定消息。

6.根据附记1所述的网络装置，其中，所述一个或多个协议字段中的一个协议字段表示所述入站分是广播消息、单播消息还是多播消息的一部分。

7.根据附记1所述的网络装置，其中，所评估的一个或多个协议字段是经由寄存器设置来配置的。

8.根据附记1所述的网络装置，其中，通过丢弃所述入站分组来禁止发送所述入站分组。

9.根据附记1所述的网络装置，其中，通过将所述入站分组移动到单独的存储器并且排队以进行随后的处理来禁止发送所述入站分组。

10.根据附记1所述的网络装置，还包括耦合到所述端口的缓冲存储器，所述缓冲存储器被适配成将入站分组存储在入站队列中以及将出站分组存储在出站队列中。

11.根据附记1所述的网络装置，还包括：

第二端口，被适配成通过工业控制网络传输工业控制协议分组；

耦合到所述第二端口的交换电路，被适配成基于包含在入站分组中的寻址信息而将所述入站分组从所述第二端口发送到目的地；以及

耦合到所述第二端口的分组评估电路，其中，所述分组评估电路针对每个所述入站分组而被适配成：

（c）如果所述入站分组不包含用于发送的所述特定消息以及如果在给定时间段期间入站分组类型的总字节数超过阈值，则选择性地禁止发送所述入站分组。

12.一种用于通过工业控制网络传输分组的方法，所述方法包括：

（a）接收通过工业控制网络传输的入站工业控制协议分组；

（b）在将入站分组发送到目的地之前，评估包含在所述入站分组中的一个或多个协议字段；

（c）如果所述入站分组包含由所评估的一个或多个协议字段表示的特定消息，则允许将所述入站分组发送到目的地；以及

（d）如果所述入站分组不包含用于发送的所述特定消息以及如果在给定时间段期间入站分组类型的总字节数超过阈值，则选择性地禁止发送所述入站分组。

13.根据附记12所述的方法，其中，如果所评估的协议字段表示通用工业协议运动分组，则所述入站分组包含用于发送的所述特定消息。

14.根据附记12所述的方法，其中，如果所评估的协议字段表示通用工业协议I/O分组，则所述入站分组包含用于发送的所述特定消息。

15.根据附记12所述的方法，其中，如果所评估的协议字段表示IEEE1588分组，则所述入站分组包含用于发送的所述特定消息。

16.根据附记12所述的方法，其中，如果所评估的协议字段表示有效通用工业协议连接ID或有效通用工业协议装置ID，则所述入站分组包含用于发送的所述特定消息。

17.根据附记12所述的方法，还包括：将所述入站分组存储在入站队列中以及将出站分组存储在出站队列中。

18.根据附记12所述的方法，其中，选择性地禁止所述入站分组还包括丢弃所述入站分组。

19.根据附记12所述的方法，其中，选择性地禁止所述入站分组还包括对所述入站分组排队以进行随后的处理。

20.一种工业控制系统，包括：

多个交换节点，在端口之间接收和转发工业控制协议分组，每个交换节点至少具有能够连接到网络介质的第一端口和第二端口，所述交换节点被布置成环，其中，每个交换节点的第一端口和第二端口连接到所述环的不同交换节点，

其中，每个交换节点被适配成：

（a）在将所述分组转发到任何其它交换节点之前，以硬件评估包含在所接收的分组中的一个或多个协议字段；

（b）如果所接收的分组包含由所评估的一个或多个协议字段表示的特定消息，则允许发送所接收的分组；以及

（c）如果所接收的分组不包含用于发送的所述特定消息以及如果在给定时间段期间所接收的分组类型的总字节数超过出站端口的阈值，则选择性地禁止将所接收的分组发送到所述出站端口。

Claims

1.一种用于工业控制系统的网络装置，包括：

端口，被适配成通过工业控制网络传输工业控制协议分组；

2.根据权利要求1所述的网络装置，其中，如果所评估的协议字段表示通用工业协议运动分组，则所述入站分组包含用于发送的所述特定消息。

3.根据权利要求1所述的网络装置，其中，所述一个或多个协议字段中的一个协议字段表示所述入站分是广播消息、单播消息还是多播消息的一部分。

4.根据权利要求1所述的网络装置，其中，所评估的一个或多个协议字段是经由寄存器设置来配置的。

5.根据权利要求1所述的网络装置，其中，通过丢弃所述入站分组来禁止发送所述入站分组。

6.根据权利要求1所述的网络装置，其中，通过将所述入站分组移动到单独的存储器并且排队以进行随后的处理来禁止发送所述入站分组。

7.根据权利要求1所述的网络装置，还包括耦合到所述端口的缓冲存储器，所述缓冲存储器被适配成将入站分组存储在入站队列中以及将出站分组存储在出站队列中。

8.根据权利要求1所述的网络装置，还包括：

9.一种用于通过工业控制网络传输分组的方法，所述方法包括：

（a）接收通过工业控制网络传输的入站工业控制协议分组；

10.一种工业控制系统，包括：

其中，每个交换节点被适配成：