CN113875195B - 网络分配器、自动化网络和用于在自动化网络中传输数据的方法 - Google Patents

Abstract

网络分配器(115)具有多个输入/输出端口PX、处理器单元(400)和存储器单元(405)。多个输入/输出端口PX被设计成分别通过数据线网络(200)附接网络用户(300)，其中，网络用户(300)可以包括协议用户(101)，所述协议用户(101)被设计用于处理被构造为协议报文的报文。处理器单元(400)被设计成通过输入/输出端口PX接收报文并且通过另一输入/输出端口PX输出报文，所述另一输入/输出端口存储在存储器单元(405)中的路由表中。此外，处理器单元(400)被设计用于检查报文：所述报文是否是协议报文并且是否已通过输入/输出端口PX被接收，对于该输入/输出端口PX预先调设成没有附接协议用户(101)，并且用于在检查为肯定的情况下拒绝该报文。报文的检查和拒绝可以在待由处理器单元(400)考虑的前提条件下设置，其中，特别地，满足前提条件可以导致对报文的拒绝的例外。

Description

网络分配器、自动化网络和用于在自动化网络中传输数据的 方法

发明领域

本发明涉及一种自动化网络中的网络分配器。此外，本发明还涉及一种自动化网络以及一种用于在自动化网络中传输数据的方法。

背景技术

自动化网络通常作为“现场总线系统”运行。这些是工业总线系统，所述工业总线系统能够实现对自动化网络的机器或设备的有实时能力的控制，其中，自动化网络的机器或设备借助于可存储器编程的控制器(SPS)来控制。为了使现场设备、例如自动化网络的机器或设备的传感器和执行器与SPS通信，SPS使用现场总线系统。如果多个网络用户通过自动化网络中的、可以构造为有线或无线的总线系统的同一数据线发送报文，则必须存在这样的可能性，即网络用户可以共享同一数据线用于数据传输。为此目的，存在确定的层次结构和标准化的协议。

现场总线系统通常在所谓的“主-从运行”中工作。也就是说，至少一个网络用户被构造为主用户并且承担对过程的控制，而能够被设计为协议用户的其余网络用户作为从协议用户在自动化网络的控制运行中承担对子任务的处理。在这种情况下，数据的交换在自动化网络中借助于报文进行，所述报文从主用户输出到从协议用户。从协议用户从报文读取寻址给他们的输出数据，并且将他们的输入数据放入报文中并且将报文发送回给主用户。

通常，自动化网络构造为基于以太网的网络或基于以太网的现场总线。这意味着自动化网络中的报文通信所基于的有实时能力的协议可以形成例如EtherCAT协议。由现有技术已知的具有底层EtherCAT协议的自动化网络(以下简称EtherCAT网络)包括主用户与各个网络用户或从协议用户之间的直接连接。因此，主用户和网络用户或从协议用户分别通过没有中间站(例如呈网络分配器的形式)的点对点连接通过数据线网络彼此连接。

上述可存储器编程的控制器可以构造为本地的机器控制器，并且可以与其他机器或设备的其他机器控制器联网。通常，机器或设备具有至少一个用于外部连接、例如互联网的接口和/或至少一个用于导向层的接口。在此，导向层表示机器或设备的中央控制层。即中央监控层，其包括各个机器或设备及其各自的本地控制器。因此，本地机器控制器可以通过另一以太网连接到导向层或互联网。

与互联网的连接恰恰带来了对本地机器控制器和/或中央机器控制器的不期望的黑客攻击的危险。针对这种黑客攻击的补救措施可以提供用于本地机器控制器的防火墙的安装，所述本地机器控制器也包括主用户。这已经足够了，因为只能通过主用户访问从协议用户。

如果EtherCAT网络通过可以构造为所谓的交换机或分支的网络分配器来扩展，则可以通过网络分配器的输入/输出端口对从协议用户和/或另一协议用户进行外部攻击，特别是当所述输入/输出端口连接到互联网时。由于这种黑客攻击，EtherCAT网络中的控制任务或控制运行可能被操纵。在其他基于以太网的现场总线中，如PROFINET现场总线系统，也可能出现此问题。根据现有技术已知的解决该问题的可能性在于对控制器、即主用户与外围设备、即从协议用户之间的连接进行加密。

然而，该连接的加密的缺点是，报文的加密会造成巨大耗费。最重要的是，然后必须确保通过可信连接将用于例如由主用户加密并且由各个从协议用户解密报文的密钥传输到各个从协议用户。此外，对报文的加密导致时间延迟，这可能导致不能立即开始处理报文或报文中的一部分，而是必须等待直到接收到以字节为单位的一定的报文长度，然后才能在实际处理之前进行解密。这特别可能形成处理与控制相关的数据、例如过程数据的主要缺点，因为为此需要短的反应时间。

发明内容

因此，本发明的任务是，给出一种自动化网络中的优化的网络分配器，该网络分配器提供防止不允许的访问的保护。此外，本发明的任务是，提供一种改进的自动化网络以及一种用于在自动化网络中传输数据的改进的方法。

该任务通过独立权利要求的特征来解决。本发明的其他有利的实施方式在从属权利要求中给出。

根据本发明，提出了一种网络分配器、自动化网络和用于在自动化网络中传输数据的方法。所述自动化网络具有多个网络用户，所述多个网络用户通过数据线网络相互连接。此外，自动化网络具有至少一个网络分配器，所述网络分配器包括多个输入/输出端口、处理器单元和存储器单元。所述多个输入/输出端口被设计成分别通过数据线网络来附接网络用户。处理器单元被设计成通过输入/输出端口接收报文并且通过另一输入/输出端口输出报文，所述另一输入/输出端口存储在存储器单元中的路由表中。此外，处理器单元被设计成如下检查报文：该报文是否是协议报文并且是否已通过输入/输出端口被接收，对于所述输入/输出端口预先调设成没有附接协议用户，并且被设计成在检查为肯定的情况下拒绝所述报文。报文的检查和拒绝可以在待由处理器单元考虑的前提条件下设置，其中特别地，满足前提条件可以导致对报文的拒绝的例外。

所提出的本发明提供了防止对自动化网络的控制运行的不允许的访问的保护，并且可以通过以下方式保护本地机器控制器和/或中央机器控制器免受操纵：被构造为协议报文的报文由未被构造为协议用户的网络用户通过网络分配器的输入/输出端口接收，被网络分配器拒绝并且因此被阻止。在此，协议用户包括从协议用户以及至少一个主用户，所述主用户同样构造为协议用户。这样的报文不被传输到自动化网络中的协议用户，而是直接在网络分配器中被阻止。特别地，通过拒绝确定的报文，可以完全放弃使用耗时的加密，以保护自动化网络中与控制相关的数据的传输免受第三方干预，例如，如果一个网络用户附接到网络分配器的输入/输出端口，该网络用户具有互联网连接并因此被全局联网。特别地，通过拒绝通过网络分配器的输入/输出端口接收的协议报文(对于所述协议报文预先调设成没有附接协议用户)，可以提供对与控制相关的数据的改进的数据保护。

自动化网络中的网络用户可以以主-从系统的形式来构造，其中，这意味着主用户和从协议用户的逻辑结构或分层结构。为了通过自动化网络中的数据线网络进行数据传输，通常有一个传输通道可用。该传输通道必须由协议用户彼此协调地来分享。在此，主用户是如下协议用户，所述协议用户具有对该传输通道的无请求的访问资格并且能够为此向构造为从协议用户的其他协议用户授予资格。网络分配器可以被设计用于通过数据线网络将被构造为协议报文的报文分配给通过网络分配器的输入/输出端口附接的网络用户和协议用户。此外，如上所述，网络分配器也可以被设计用于拒绝或阻止确定的协议报文。从协议用户可以被设计成通过协议报文彼此可靠地与主用户通信。

在另一实施方式中，处理器单元被设计成借助于存储器单元中的端口标识符来检查通过网络分配器的输入/输出端口附接的、发送了报文的网络用户是否被构造为协议用户。当通过输入/输出端口附接的网络用户被构造为协议用户时，端口标识符被存储在存储器单元中。用于区分通过网络分配器的各个输入/输出端口附接的网络用户的简单且经济的可能性提供用于网络分配器的各个输入/输出端口的端口标识符的使用。端口标识符还可以确保改进的网络结构并且有助于自动化网络的简化维护并且改善自动化网络中的数据保护。

根据另一实施方式，处理器单元被设计用于检查通过输入/输出端口接收的协议报文是否具有报文标识符。此外，处理器单元被设计为基于报文标识符将报文识别为协议报文。报文可以被构造为具有确定的现场总线协议的协议报文，例如，该确定的现场总线协议可以是有实时能力的EtherCAT协议。然而，所确定的现场总线协议也可以不同于EtherCAT协议，并且可以以另一现场总线协议的形式构造，例如以PROFINET标准(PROFINET：过程现场网络)的形式构造。对于PROFINET标准，使用在报文的协议字段中的自己的以太网类型值，其在十六进制系统中具有值0x8892。此外，对于PROFINET标准，使用分配给OSI层模型(OSI：开放系统互连)的传输层的UDP协议(UDP：用户数据报协议)。OSI模型是呈分层架构形式的用于协议的参考模型，其中，传输层对应于第四层。在这两种情况下，报文标识符可以用于识别协议报文，并且可以针对与PROFINET标准或另一现场总线协议不同的EtherCAT协议来构造。

所提出的方法特别可以灵活地匹配于自动化网络和网络分配器的要求，并且可以改变各个方法步骤，即例如检查所述报文是否具有报文标识符，或者检查在存储器单元中是否存储有用于通过网络分配器的输入/输出端口附接的协议用户的端口标识符。如果检查到报文标识符的存在，则可以立即确定是否是协议报文，即与控制相关的报文。如果首先检查到端口标识符，则可以立即确定是否通过相应的输入/输出端口附接有未被构造为协议用户的网络用户。

在另一实施方式中，被构造为协议报文的报文被构造为以太网报文。以太网报文具有以太网头段和以太网数据段。所述报文标识符包括第一标识符和第二标识符，其中，所述以太网头段包括所述报文标识符的所述第一标识符。处理器单元被设计用于评估以太网头段中的报文标识符的第一标识符。如果协议报文被构造为以太网报文，则可以使用具有根据IEEE 802.3标准确定的数据帧结构的经过验证的以太网技术用于以太网数据包。例如，如果EtherCAT协议报文嵌入UDP/IP数据帧中，则报文标识符的第一标识符可以被构造为上述协议字段中的以太网类型值并且对于EtherCAT协议报文具有十六进制系统中的值0x88A4或对于IP协议(IP：互联网协议)具有值0x0800。因此，具有与其不同的现场总线协议的协议报文具有另一以太网类型值。例如，用于PROFINET(PROFINET：过程现场网络)协议的十六进制系统中的0x8892。以太网类型值提供关于有效载荷数据内、即以太网数据段内的下一较高的层所使用的协议的信息，其中，一个层和下一较高的层根据OSI模型来定义。

根据另一实施方式，被构造为协议报文的报文被构造为以太网报文。以太网报文具有以太网头段和以太网数据段，其中，以太网数据段具有现场总线协议头段。报文标识符包括第一标识符和第二标识符。以太网头段包括报文标识符的第一标识符，现场总线协议头段包括报文标识符的第二标识符。处理器单元被设计为评估以太网头段中的报文标识符的第一标识符和现场总线协议头段中的报文标识符的第二标识符。已知的以太网标准可以用于所提出的网络分配器和所提出的方法。

如果现场总线协议头段被构造为EtherCAT头段，则可以使用经过验证的有实时能力的EtherCAT标准。在这种情况下，报文标识符的第一标识符例如可以被构造为以太网头段中的以太网类型值，类似于上面的解释。例如，如果使用EtherCAT现场总线协议，则现场总线协议头段中的报文标识符的第二标识符可以被构造为类型字段中的EtherCAT协议类型值。借助在底层EtherCAT现场总线协议的情况下十六进制系统中的值0x1可以为从协议用户的处理单元指示，该处理单元可以处理可以被构造为EtherCAT协议报文的该协议报文。因此，报文标识符的第二标识符可以具有表征相应现场总线协议的现场总线协议值。此外，在替代地使用的另一现场总线协议的情况下，报文标识符的第一标识符和第二标识符可以具有不同的以太网类型值以及不同的现场总线协议值。

提出，检查和拒绝报文所依据的前提条件包括确定报文的地址是否对应于预先给定的地址。因此，来自未被构造为协议用户的网络用户的、可以被构造为协议报文的报文不被网络分配器的处理器单元排他性地拒绝，而是也可以通过确定协议报文的地址与协议用户的预先给定的地址的对应关系而被归类为可信的，并且由处理器单元转发给相应的接收器。在此可以考虑的是，网络分配器的处理器单元的主用户预先给定地址并且例如将该地址存储在网络分配器的存储器单元中。在此，预先给定的地址例如可以构造为发送器的MAC地址(MAC：媒体访问控制)，即构造为发送器地址。通过VLAN ID(VLAN：虚拟局域网)对发送器预先给定的地址或用于EtherCAT段的段地址不同的构型也是可能的。

根据另一实施方式，自动化网络被设计为主-从系统。自动化网络的协议用户被构造为主用户，其被设计为通过数据线网络输出被构造为协议报文的报文。从协议用户被设计用于处理协议报文。主用户进一步被构造为在网络分配器的处理器单元中调设出没有协议用户附接在网络分配器的输入/输出端口。通过自动化网络中确定的层次结构，可以实现透明的网络结构，其中，主用户可以被设计用于调设网络分配器的处理器单元以及用于调设从协议用户。

在另一实施方式中，主用户被设计为预先给定网络用户的网络结构，并且通过数据线网络将预先给定的网络结构传送到网络分配器的处理器单元。处理器单元被设计成基于预先给定的网络结构用存储器单元中的端口标识符来标记网络分配器的输入/输出端口，协议用户通过数据线网络附接在所述网络分配器上。如果主用户为网络分配器预先给定具有通过输入/输出端口附接的网络用户的网络结构，则这可以有利地节省耗费和时间，因为处理器单元可以立即创建用于网络分配器的输入/输出端口的端口标识符并将其存储在网络分配器的上存储器单元中。

根据另一实施方式，主用户被设计用于借助查询报文来检测网络用户的网络结构。如果被构造为协议用户的网络用户接收到查询报文，则协议用户被设计成将协议用户信息输入到查询报文中并且将查询报文发送回主用户，如果没有后续的协议用户通过数据线网络附接。如果网络分配器通过输入/输出端口接收到查询报文，则网络分配器被设计用于将端口信息输入到查询报文中并且将查询报文发送回主用户。主用户被设计成基于端口信息向网络分配器输出进一步的查询报文。网络分配器的处理器单元通过针对相应查询报文存储在存储器单元中的路由表中的另一输入/输出端口将另外的查询报文转发给通过数据线网络附接的网络用户。

主用户被设计为基于接收到的进一步查询报文的协议用户信息向网络分配器的处理器单元传输：协议用户通过数据线网络附接到网络分配器的多个输入/输出端口中的哪个端口。处理器单元被设计成用存储器单元中的端口标识符来标记网络分配器的输入/输出端口，协议用户通过数据线网络附接到该输入/输出端口。通过主用户动态地检测网络结构，可以在自动化网络连同其网络用户的构型和配置方面获得高度的灵活性。

本发明的上述和/或在从属权利要求中给出的有利的设计方案和扩展方案可以(除了例如在明确的相关性或不相容的替代方案以外)单独地或者也可以彼此任意组合地使用。

附图说明

本发明的上面描述的特性、特征和优点以及实现这些特性、特征和优点的方式和方法结合下面对实施例的描述变得更加清楚和明确可理解，所述实施例结合示意性附图更详细地阐述。示出：

图1示出了具有网络用户的自动化网络的示意性结构；

图2示出了网络分配器的示意性结构；和

图3示出了用于在自动化网络中进行数据传输的方法中使用的数据结构的第一至第三报文结构的示意性结构。

要指出的是，附图仅仅是示意性的并且不是按比例的。在该意义上，为了更好地理解，在附图中示出的组件和元件可以放大地或缩小地示出。此外要指出的是，当涉及相同地构造的元件和/或组件时，附图中的附图标记选择不变。

具体实施方式

自动化网络100通常实现为现场总线系统，其中，网络用户300通过现场总线彼此联网。自动化网络100可以具有主用户105和至少一个网络分配器115。网络分配器115可以被设计成通过数据线网络200向通过各个输入/输出端口PX附接的网络用户300发送可以被构造为协议报文并且由作为协议用户101的主用户105通过数据线网络200输出的报文，所述网络用户可以包括被构造为从协议用户110的协议用户101。所提到的网络用户300或协议用户101可以被设计用于与控制单元交换数据，其中，为此通常使用有实时能力的协议，例如EtherCAT协议。自动化网络100可以被构造为主-从系统。下面借助有实时能力的EtherCAT协议示例性地解释本发明，并且不限于主从层次结构。

在下文中，术语“传输中(英文:on the fly)”被理解为，从协议用户110的处理单元被设计用于在协议报文通过从协议用户110的输入端口已被完全接收之前开始处理协议报文。如果在下文中谈到在传输中对协议报文的处理，则由此也包括读出寻址到相应的从协议用户110的输出数据以及将输入数据并入到协议报文中以及将协议报文转发到后续的从协议用户110。

在下文中，协议报文被理解为如下报文，通过该报文，作为协议用户101的主用户105与作为协议用户101的从协议用户110通信，以便交换与控制相关的数据。优选地，协议报文构造为EtherCAT协议报文。从协议用户110独立地不发送协议报文。然而，不构成为从协议用户110的网络用户300可以独立地向协议用户101发送协议报文。主用户105可以通过不同构造的报文与其他网络用户300通信，例如通过以太网报文或具有底层OPC-UA协议(OPC-UA：公开通信平台统一架构)的报文。特别地，网络用户300可以通过OPC-UA协议与协议用户101通信。

在下文中，名称“拒绝协议报文”应可以等同于阻止协议报文通过网络分配器115的另一输入/输出端口PX进行转发，使得协议报文在网络分配器115之后不能通过自动化网络100内的数据线网络200到达并且不能到达接收器，所述接收器可以是主用户105和/或从协议用户110，即协议用户101。

本发明的核心思想在于提供网络分配器115，该网络分配器有针对性地阻止被识别为协议报文并且通过网络分配器115的输入/输出端口PX接收的报文，对于该输入/输出端口PX预先调设成没有协议用户101被附接。在此，对报文的检查和拒绝可以在要考虑的前提条件下设置。如果网络用户300通过数据线网络200附接到多个输入/输出端口PX，则协议报文的阻止在此可以扩展到网络分配器115的任意数量的输入/输出端口PX，所述网络用户300不被构造为协议用户101。可以设置报文的检查和拒绝所依据的前提条件导致，如果满足该前提条件，则将报文或协议报文排除在阻止或拒绝之外。

本发明不限于使用具有实时能力的EtherCAT协议报文(即使这些协议报文是优选的协议报文)，而是可以在所有自动化网络100中使用，其中，主用户105可以通过确定的协议的报文与从协议用户110通信，并且网络用户300可以通过另一协议的报文与从协议用户110和/或主用户105交换数据或信息。

下面根据图1至3描述根据本发明的自动化网络100和网络分配器115的结构和工作原理，其中，在说明中，如果有意义和必要，则使用三个图中的相关附图标记。

图1示出了具有网络用户300的自动化网络100的示意性结构，所述自动化网络被设计用于在自动化网络100中传输数据的方法。自动化网络100包括多个网络用户300，所述多个网络用户通过数据线网络200彼此连接。自动化网络100具有协议用户101，其中，主用户105和从协议用户110被构造为协议用户101。自动化网络100以主-从结构的形式构造。主-从结构在此将访问层次结构映射到数据线网络200上，也就是说，主用户105具有对数据线网络200的访问资格并且可以分别向自动化网络100中的从协议用户110提供访问。

主用户105通过第一数据线205与第一网络分配器160的第一输入/输出端口P0连接。第一网络分配器160包括多个输入/输出端口PX，其中，输入/输出端口PX的附图标记中的X用作相应的输入/输出端口PX的索引，即例如在第一网络分配器160中用于第一至第八输入/输出端口P0至P7。第一网络分配器160可以通过第四输入/输出端口P3通过第二数据线210连接到第一协议用户120。主用户105可以被设计用于执行自动化网络100连同各个从协议用户110的中央配置。第一协议用户120可以设计为从协议用户110并且具有在图1中未示出的处理单元。第一协议用户120的处理单元可以被设计用于，在传输中对作为协议报文由主用户105输出的报文进行处理。例如，第一协议用户120可以被构造为来自BeckhoffAutomation GmbH&Co.KG公司的耦合器元件EK1100，其中，另外的从协议用户110可以附接到耦合器元件EK110。为了清楚起见，在图1中仅示出了网络分配器115的输入/输出端口PX。然而，自动化网络100中的其他网络用户300连同协议用户101具有输入/输出端口PX，网络用户300和协议用户101通过所述输入/输出端口通过数据线网络200彼此连接。以下不再讨论该方面。

通过第一网络分配器160的第五输入/输出端口P4和通过第三数据线215，第一网络分配器160可以连接到第二协议用户125。例如，第二协议用户125可以构造为耦合器元件。该耦合器元件也可以用于附接另外的协议用户，所述另外的协议用户可以被构造为从协议用户110。也与第一协议用户120一样，第二协议用户125可以被构造为从协议用户110。例如，通过第一网络分配器160的第三输入/输出端口P2以及第六输入/输出端口P5，分别没有网络用户300通过数据线被附接。然而，原则上可以通过第一网络分配器160的第三输入/输出端口P2以及第六输入/输出端口P5附接网络用户300和/或协议用户101。

此外，第一网络分配器160可以通过第八输入/输出端口P7和通过第四数据线220连接到第一网络用户305。第一网络用户305例如可以被构造为以太网用户。特别地，第一网络用户305可以被设计成独立地通过第四数据线220向自动化网络100中的第一网络分配器160的第八输入/输出端口P7发送也可以被构造为协议报文的报文。与此相比，从协议用户110仅将数据或信息存储到来自主用户105的协议报文中，或者从协议报文中提取数据或信息。协议报文的主动的独立的发送不是由从协议用户110进行，而是通常仅由主用户105进行。

通过第七输入/输出端口P6并且通过第五数据线225，第一网络分配器160可以连接到第二网络用户310。第二网络用户310可以类似于第一网络用户305地构造。例如，第二网络用户310也可以被构造为以太网用户，并且可以被设计为通过第五数据线225将也可以被构造为协议报文的报文独立地发送到第一网络分配器160的第七输入/输出端口P6。此外，第一网络分配器160通过第二输入/输出端口P1和第六数据线230与第三协议用户130连接，并且通过第二网络分配器170的第一输入/输出端口P0与第二网络分配器170连接。第三协议用户130可以类似于第一协议用户120和第二协议用户125构造为从协议用户110。与第一协议用户120和第二协议用户125不同，第三协议用户130例如可以不被构造为可以附接有另外的从协议用户110的耦合器元件，而是第三协议用户130可以被构造为单个从协议用户110。第二网络分配器170可以具有多个输入/输出端口PX，在图1所示的实施例中具有三个输入/输出端口PX，即第一至第三输入/输出端口P0至P2。

通过第二输入/输出端口P1和第七数据线235，第二网络分配器170可以连接到第四协议用户135。与第二协议用户125类似，第四协议用户135可以被构造为从协议用户110和耦合器元件。取消对第四协议用户135的上述特征的重复。第二网络分配器170可以通过第三输入/输出端口P2和第八数据线240连接到第五协议用户140，并且通过第三网络分配器180的第一输入/输出端口P0连接到第三网络分配器180。与第三协议用户130类似，第五协议用户140可以被构造为用于在传输中处理协议报文的从协议用户110。第三网络分配器180同样可以具有多个输入/输出端口PX，在图1中示出的实施例中具有四个输入/输出端口PX，即第一至第四输入/输出端口P0至P3。通过第二输入/输出端口P1和第十一数据线255，第三网络分配器180与第六协议用户145连接。类似于第二协议用户125并且类似于第四协议用户135，第六协议用户145可以被构造为用于在传输中处理协议报文的从协议用户110并且被构造为耦合器元件。

第三网络分配器180通过第四输入/输出端口P3和通过第十数据线250连接到第七协议用户150。第七协议用户150可以类似于第三协议用户130并且类似于第五协议用户140被构造为用于在传输中处理协议报文的从协议用户110。第三网络分配器180通过第三输入/输出端口P2并且通过第九数据线245连接到第三网络用户315。第三网络用户315可以类似于第一网络用户305并且类似于第二网络用户310被构造为以太网用户。例如，第三网络用户315可以被构造为以太网交换机。

作为以太网交换机的第三网络用户315可以不同于第一至第三网络分配器160，170，180。第一至第三网络分配器160，170，180可以分别包括处理器单元400，所述处理器单元使第一至第三网络分配器160，170，180能够像从协议用户110那样在传输中处理协议报文，特别是当协议报文是具有实时能力的EtherCAT报文时。第三网络用户315不具有作为以太网交换机的该功能。然而，与第一网络用户305和第二网络用户310一样，第三网络用户315可以被设计成通过第九数据线245独立地向第三网络分配器180的第三输入/输出端口P2发送也可以包括协议报文的报文。

在其中报文通信基于EtherCAT标准(以下称为EtherCAT网络)的自动化网络100中，第一网络分配器160、第二网络分配器170以及第三网络分配器180特别可以被构造为所谓的“分支”或“交换机”，并且如上所述被设计用于处理协议报文。网络用户300、主用户105和从协议用户110的网络结构以及自动化网络100的网络分配器115是示例性地选择的，并且本发明不局限于此。图1中的自动化网络100也可以具有未示出的另外的网络用户300。这可以是另外的从协议用户110和/或一个或多个网络分配器115，其中，从协议用户110可以通过另外的数据线附接到一个或多个网络分配器115的多个输入/输出端口PX。

下面将参照图1和图2解释自动化网络100连同网络用户300、协议用户101的特征以及特别是网络分配器115的结构和工作原理。

网络结构可以由主用户105预先给定，并且通过至少一个网络分配器115的多个输入/输出端口PX通过数据线网络200附接的各个网络用户300可以被传输到至少一个网络分配器115的在图2中示出的处理器单元400，所述各个网络用户也可以包括从协议用户110。处理器单元400可以被设计为基于预先给定的网络结构在图2中的网络分配器115的存储器单元405中用端口标识符来标识网络分配器115的输入/输出端口PX，协议用户101通过数据线网络200附接到所述输入/输出端口PX。存储器单元405例如可以包括端口表，该端口表包括输入/输出端口PX的端口标识符。此外也可以考虑的是，存储器单元405中的路由表包括端口标识符。端口标识符可以被构造为值或符号，并且因此可以标识网络分配器115的输入/输出端口PX，协议用户101连接到所述输入/输出端口PX。替代地，端口标识符也可以被设计用于标识网络分配器115的所有输入/输出端口PX，例如通过具有两个状态的变量，其中一个状态指示：通过输入/输出端口附接有协议用户101，并且通过变量的另一状态可以表达出：通过相应的输入/输出端口附接有网络用户300。

在一个替代方案中，主用户105可以被设计成借助于查询报文来检测自动化网络100中的网络用户300的网络结构。该替代方案特别可以在网络分配器115和协议用户101的第一配置之前考虑，其中，查询报文同样可以构造为EtherCAT报文，如协议报文。如果被构造为协议用户101的网络用户300接收到查询报文，则协议用户101被设计用于将协议用户信息输入到查询报文中并且将查询报文通过数据线网络200发送回主用户105，如果没有后续的可以被构造为从协议用户110的协议用户101通过数据线网络200附接。如果通过数据线网络200附接有随后的协议用户101，则同样可以被构造为从协议用户110的前一个协议用户101将查询报文发送给随后的协议用户101，并且协议用户101的链中的最后一个协议用户101将该查询报文发送回主用户105。协议用户信息可以是值、符号或类似物，所述值、符号或类似物给主用户105明确地识别出：网络用户300是协议用户101。协议用户信息也可以给出关于协议用户101被设计用于哪个数据传输速率或符号速率的信息。

如果网络分配器115通过第一输入/输出端口P0接收到查询报文，则网络分配器115被设计为将端口信息输入到查询报文中并且将查询报文发送回主用户105。与协议用户信息一样，端口信息可以被构造为值、符号等，并且可以向主用户105给出关于网络分配器115的输入/输出端口PX的信息，网络用户300通过数据线网络200附接到所述输入/输出端口PX。端口信息也可以说明相应的输入/输出端口PX被设计用于哪个数据传输速率或符号速率。主用户105被设计为基于端口信息向网络分配器115输出另外的查询报文，网络分配器115的处理器单元400通过针对相应查询报文存储在存储器单元405中的路由表中的输入/输出端口PX将所述另外的查询报文转发给通过数据线网络200附接的网络用户300。主用户105被设计为基于所接收的另外的查询报文的协议用户信息向网络分配器115的处理器单元400传输：协议用户101通过数据线网络200附接到网络分配器115的多个输入/输出端口PX中的哪个输入/输出端口。处理器单元被设计成用存储器单元405中的端口标识符标记网络分配器115的输入/输出端口PX，协议用户101通过数据线网络200附接在所述输入/输出端口PX。

此外，主用户105被设计用于在图2中的网络分配器115的处理器单元400中调设成，网络分配器115的处理器单元400对报文进行检查：该报文是否是协议报文并且已经通过网络分配器115的输入/输出端口PX被接收，对于该输入/输出端口PX预先调设成：没有协议用户101附接。在检查结果为肯定的情况下，网络分配器115的处理器单元400被设计用于拒绝报文。主用户105可以特别如下地配置处理器单元400，即，处理器单元400必须考虑以下前提条件：在该前提条件下可以对来自主用户105的报文进行检查和拒绝。检查和拒绝报文所依据的前提条件包括由处理器单元400确定：报文的地址是否对应于预先给定的地址。如果报文的地址对应于预先给定的地址，即例如预先给定的发送器地址，则处理器单元400可以在由主用户105给定预先调设的情况下被设计成在检查过程的范围内不拒绝报文。

该地址可以被设计为呈MAC地址(MAC：媒体访问控制)形式的发送器地址，VLAN ID(VLAN：虚拟局域网)或用于具有一个或多个协议用户的EtherCAT段的段地址。可以考虑的是，主用户105向网络分配器115的处理器单元400传送由任何协议用户发送到网络分配器115的输入/输出端口PX的协议报文的发送器地址形式的地址，该地址被归类为可信的。如果该地址对应于预先给定的地址，即检查和拒绝报文所依据的前提条件，则处理器单元400然后可以通过数据线网络200通过为相应的协议用户101存储在路由表中的输入/输出端口PX将协议报文转发给相应的协议用户101。

此外可以考虑的是，也可以以替代的方式实现主用户105对报文的检查和拒绝所依据的前提条件。如果自动化网络100具有通过网络分配器115的输入/输出端口PX附接的另外的主用户，则处理器单元400可以在该前提条件的替代设计方案中被设计为确定是否通过网络分配器115的输入/输出端口PX附接有另外的主用户。如果网络分配器115通过输入/输出端口PX从另外的主用户没有接收到可以被构造为协议报文的报文，则代替对报文的拒绝的例外，该前提条件也可以以拒绝其他主用户的报文的形式来构造。

特别地，主用户105在网络分配器115的处理器单元400中调设成，处理器单元400在检查为肯定的情况下拒绝该报文，即，对于该报文是协议报文并且已经通过输入/输出端口PX被接收的情况，对于该输入/输出端口预先调设成：没有协议用户101附接。在没有协议用户101附接在网络分配器的输入/输出端口的预先调设的情况下，处理器单元400可以被设计用于检查存储器单元405中是否没有存储用于网络分配器115的输入/输出端口PX的端口标识符。当通过网络分配器115的输入/输出端口PX附接的网络用户300是协议用户101时，端口标识符存储在存储器单元405中。此外，网络分配器115的协议单元400在该上下文中可以被设计用于检查通过输入/输出端口PX接收的协议报文是否具有报文标识符，因为处理器单元400可以基于报文标识符识别协议报文。

图2示出了图1中的自动化网络100中的网络分配器115的示意性结构。为了解释，示例性地选择第三网络分配器180的图示。然而，本发明不限于第三网络分配器180的构型。第一网络分配器160和第二网络分配器170也可以分别被设计用于拒绝通过输入/输出端口PX接收的协议报文(没有协议用户101通过数据线网络200附接在所述输入/输出端口上)，以保护自动化网络100免受不允许的访问和操纵。在这种情况下，如上所述，可以在一前提条件下设置报文的检查和拒绝，其中，满足该前提条件(报文的地址与预先给定的地址的一致性)也导致网络分配器115，即网络分配器115的处理器单元400，不拒绝没有由协议用户101通过输入/输出端口已接收的协议报文，而是将其转发给接收器。

第三网络分配器180包括第一输入/输出端口P0，第三网络分配器180通过该第一输入/输出端口通过第八数据线240与图1中的自动化网络100中的第五协议用户140连接。通过第一输入/输出端口P0，第三网络分配器180接收由主用户105输出的协议报文。第一输入/输出端口P0借助第一交互线600连接到处理器单元400。第一交互线600构造为双箭头并且简化地表明，在第一输入/输出端口P0和处理器单元400之间的双向通信或访问是可能的。其中，访问首先涉及存储器单元405中的路由表以及存储在存储器单元405中的端口标识符。此外，可以被构造为发送器地址的一个或多个预先给定的地址可以被存储在存储器单元405中，用于检查前提条件，在该前提条件下可以设置报文的检查和拒绝。针对第一交互线600的所述特性同样适用于随后的交互线。处理器单元400还包括存储器单元405。这同样示例性地选择。存储器单元405可以实现为FIFO(FIFO：先进先出)存储器，作为由处理器单元400访问的单独单元。处理器单元400可以实现为呈处理器芯片形式的硬件模块，或者实现为软件模块，或者实现为组合的硬件和软件模块。也可以考虑的是，一个模块包括多个单独的单元。在构造为EtherCAT网络的自动化网络100中，处理器单元400优选构造为EtherCAT从控制器。

处理器单元400通过第二交互线605连接到第二输入/输出端口P1，第三网络分配器180通过该第二交互线通过第十一数据线255连接到第六协议用户145。此外，处理器单元400通过第三交互线610与第三输入/输出端口P2连接。通过第三输入/输出端口P2，第三网络分配器180借助第九数据线245与第三网络用户315连接。第三网络用户315不是协议用户101。此外，处理器单元400通过第四交互线615连接到第四输入/输出端口P3。通过第四输入/输出端口P3，第三网络分配器180借助于第十数据线250与第七协议用户150连接。

第三网络分配器180可以具有在图2中未示出的其他组件，例如路由单元，该路由单元接管也可以构造为协议报文的报文的路由。路由单元可以为此访问存储器单元405中的路由表。此外，处理器单元400可以包括单独的处理单元，用于在传输中处理协议报文，如果第三网络分配器180对于第一输入/输出端口P0和第二输入/输出端口P1被设计为从协议用户110。所述特性同样适用于第一网络分配器160和第二网络分配器170。

第三网络用户315例如可以具有到互联网的连接，并且由此构成对自动化网络100的外部黑客攻击的潜在危险。也可以考虑的是，第三网络用户315与导向层连接，其中，导向层表示中央监控层，所述中央监控层包括各个机器或设备连同其相应的本地控制器。这是因为本地机器控制器可以通过另一以太网网络连接到导向层或互联网。所述特性同样适用于第一网络用户305以及第二网络用户310。例如，第三网络用户315可以生成协议报文，该协议报文被构造为EtherCAT报文并且通过第九数据线245发送到第三网络分配器180的第三输入/输出端口P2。作为发送器地址，EtherCAT协议报文例如可以具有呈MAC地址形式的第一发送器地址MAC1，即第三网络用户315的发送器的地址。作为目标地址，EtherCAT协议报文例如可以具有图1中的第一段地址a，应利用该第一段地址来对第六协议用户145寻址。在存储器单元405中的路由表中存储了，处理器单元400通过第二输入/输出端口P1通过第十一数据线255将具有目标地址、第一段地址a的协议报文输出给第六协议用户145。

第三网络分配器180的处理器单元400首先被设计为，通过处理器单元400将例如存储在第三网络分配器180的存储器单元405中的预先给定的地址与EtherCAT协议报文的地址进行比较来考虑对报文进行检查和拒绝所依据的前提条件，其中，预先给定的地址和EtherCAT协议报文的地址都可以分别被构造为发送器地址。特别地，以发送器地址的形式预先给定的地址可以被设置用于在第三网络分配器180的存储器单元405中标识可信的发送器。例如，第一发送器地址MAC1，即作为EtherCAT协议报文的发送器的第三网络用户315的地址没有作为预先给定的地址存储在存储器单元405中。因此，不能满足检查和拒绝协议报文所依据的前提条件，因为预先给定的地址与EtherCAT协议报文的地址不一致。处理器单元400将在满足该前提条件的情况下将第三网络分配器180通过第三输入/输出端口P2从第三网络用户315已接收的EtherCAT协议报文例如排除在拒绝过程之外。

因此，网络分配器115的处理器单元400还被设计用于借助于第三网络分配器180的存储器单元405中的端口标识符来检查通过第三网络分配器180的第三输入/输出端口P2附接的、协议报文所源自的第三网络用户315是否被构造为协议用户101。因为第三网络用户315不构造为协议用户101，所以在存储器单元405中没有存储用于第三输入/输出端口P2的端口标识符。

附加地，协议单元400检查通过第三输入/输出端口P2接收的协议报文是否具有报文标识符。报文标识符可以包括第一标识符和第二标识符。报文标识符的第一标识符可以位于协议报文的以太网头段505中的协议字段570(参见图3)中，并且可以被构造为用于有实时能力的EtherCAT协议的十六进制系统中的以太网类型值0x88A4。报文标识符的第二标识符可以位于以太网数据段510内的现场总线协议头段525中的类型字段585中，并且例如可以被构造为十六进制系统中的具有值为0x1的EtherCAT协议类型，其中，现场总线协议头段525然后以EtherCAT头段的形式来构造。具有值0x1的EtherCAT协议类型向协议用户110的处理单元指示用于在传输中处理协议报文的审批。替代于此地，报文标识符可以仅具有以太网头段505中的第一标识符。替代地，当协议报文基于另一现场总线协议时，现场总线协议头段525也可以以不同于EtherCAT头段的头段的形式构造。然后，报文标识符的第二标识符可以以另一类型值和/或另一类型字段的形式构造，并且报文标识符的第一标识符可以以协议字段570中的另一以太网类型值的形式构造。

由第三网络用户315发送的协议报文例如具有以太网头段505中的报文标识符的第一标识符和EtherCAT头段525中的报文标识符的第二标识符，使得处理器单元400可以评估报文标识符的第一标识符和报文标识符的第二标识符，并且基于评估可以将该协议报文本身识别为EtherCAT协议报文。由于作为发送器的第三网络用户315的地址没有作为预先给定的地址存储在存储器单元405中并且第三网络用户315没有被构造为协议用户101，因为没有端口标识符存储在第三网络分配器180的存储器单元405中，并且由于该报文可以通过第三网络分配器180的处理器单元400基于报文标识符的第一和第二标识符被识别为EtherCAT协议报文，因此处理器单元400被设计为拒绝通过第三网络分配器180的第三输入/输出端口P2接收的EtherCAT协议报文。

在自动化网络100的配置阶段中，主用户105可以调设第三网络分配器180的处理器单元400，用于检查并且必要时拒绝没有由协议用户101通过第三输入/输出端口P2接收到的协议报文。附加地，主用户105例如可以在第一网络分配器160的在图1和图2中未示出的存储器单元中存储第一网络用户305的第二发送器地址MAC2作为预先给定的地址，以便将第一网络用户305归类为可信的网络用户300。第二发送器地址MAC2可以类似于第一发送器地址MAC1地构造为MAC地址。此外，主用户105可以将第二段地址c存储在第一网络分配器160的存储器单元中，第一网络分配器160可以利用该第二段地址c通过第四输入/输出端口P3和第二数据线210对第一协议用户120进行寻址。

由第一网络分配器160通过第八输入/输出端口P7所接收的、具有作为目标地址的第二段地址c和第一网络用户305的预先给定的地址、即第二发送器地址的协议报文在上述检查出存在或满足前提条件之后不被处理器单元400拒绝，因为在EtherCAT协议报文的地址、即第二发送器地址MAC2和预先给定的发送器地址，即第二发送器地址MAC2一致的情况下满足了该前提条件。因此，处理器单元知道，在第一网络用户305和第一协议用户120之间的连接已经被主用户105归类为可信的。因此，处理器单元通过存储在第一网络分配器160的存储器单元中的路由表中的第四输入/输出端口P3通过第二数据线210将EtherCAT协议报文输出给第一协议用户120。对端口标识符的存在、对报文标识符的第一标识符的存在或对报文标识符的第一标识符和报文标识符的第二标识符的存在的另外检查在上下文中例如不需要由第一网络分配器160的处理器单元执行。替选地可设想的是，尽管如此仍执行另外的检查。

与所述示例相关的、关于第三网络分配器180的、对在第三网络分配器180的存储器单元405中的端口标识符的存在以及对由处理器单元400对第三网络用户315的协议报文的报文标识符的具有的上述检查也可以按顺序变化。例如，处理器单元400可以在第一方法步骤中检查前提条件，在该前提条件下设置协议报文的检查和拒绝。即，如上所述，该地址，即第一发送器地址MAC1与预先给定的地址、预先给定的发送器地址是否一致。在第二方法步骤中，第三网络分配器180的处理器单元400可以被设计用于检查第三网络分配器180的第三输入/输出端口P2的端口标识符是否被存储用于第三网络用户315的协议报文。在第三方法步骤中，处理器单元400还可以检查该协议报文是否具有报文标识符，并且通过现有的报文标识符来识别协议报文本身。此外，处理器单元400还可以被设计成以相反的顺序执行方法步骤，即首先检查该协议报文是否具有报文标识符，然后检查是否存储了用于第三网络分配器180的第三输入/输出端口P2的端口标识符。然而，有意义的是，该第一方法步骤本身继续作为第一方法步骤保留。

所阐述的示例不将本发明限制于通过第三网络分配器180的第三输入/输出端口P2阻止来自第三网络用户315的EtherCAT协议报文，或者限制于通过第一网络分配器160的第八输入/输出端口P7从第一网络用户305转发EtherCAT协议报文。上述示例仅示例性地选择，以解释网络分配器115的方法和工作原理。

例如，除了阻止通过第三网络分配器180的第三输入/输出端口P2从没有协议用户101接收的协议报文之外，主用户105还可以类似地阻止第一网络分配器160的第三输入/输出端口P2、第六输入/输出端口P5和第七输入/输出端口P6以及所述的用于接收来自未被设计为协议用户101的未知网络用户300的协议报文的输入/输出端口。如果通过第一网络分配器160的第八输入/输出端口P7附接的第一网络用户305未被归类为对于EtherCAT协议报文的输出是可信的，则主用户105也可以类似地用于阻止第一网络分配器160的上述输入/输出端口PX。

为了使第三网络用户315以及第一网络用户305和第二网络用户310能够例如通过来自导向层或互联网的作为报文基础的OPC-UA协议与主用户105和协议用户110通信以便能够执行诊断或将数据存储在云中，主用户105必须将各个通信连接存储在网络分配器115的路由表中。例如，第一网络分配器160将具有OPC-UA协议的报文从第一网络用户305通过第一输入/输出端口P0通过第一数据线205输出到主用户105，或者将具有OPC-UA协议的报文通过第四输入/输出端口P3和第二数据线210输出到第一协议用户120，等等，还例如，第三网络分配器180被设计为通过第三输入/输出端口P2、通过第三网络分配器180的第一输入/输出端口P0以及通过第八数据线240由第五协议用户140将由第三网络分配器180所接收的第三网络用户315的OPC-UA协议的报文输出到第二网络分配器170的第三输入/输出端口P2。第二网络分配器170被设计为通过第三输入/输出端口P2从第三网络用户315接收具有OPC-UA协议的报文，并且通过第一输入/输出端口P0通过第六数据线230通过第三协议用户130发送到第一网络分配器160，并且此外，第一网络分配器160，即其处理器单元400被设计为通过第一输入/输出端口P0将报文发送到主用户105。这里省略了与输入/输出端口PX相关联的报文的各个目标地址和发送器地址的说明。

图3示出了数据结构500的示意性构造，所述数据结构用于在图1所示的自动化网络100中用于数据传输的方法中使用。数据结构500可以被构造为协议报文并且包括64至1518字节的长度，或者在存在标签字段的情况下包括64至1522字节，如果协议报文被构造为以太网报文。图3中的数据结构500具有第一报文结构TEL1，并且包括以太网头段505、以太网数据段510以及以太网端段515。例如，数据结构500可以根据IEEE标准802.3构造并且包括用于数据的分组定向传输的以太网数据帧格式。如果数据结构500除了符合以太网数据帧结构之外还被设计用于具有实时能力的EtherCAT协议，则数据结构500具有第二报文结构TEL2。优选地，由主用户105输出的协议报文以及由第一网络用户305、第二网络用户310和/或第三网络用户315输出的协议报文被构造为EtherCAT报文，并且因此可以在基本结构中具有第二报文结构TEL2。如果自动化网络100中的其他现场总线协议用于在传输中控制报文通信，则报文结构可以类似于第二报文结构TEL2和/或类似于第一报文结构TEL1地构造。

以太网头段505具有目标地址字段555，所述目标地址字段包括目标地址，所述目标地址识别图1中的网络用户300，所述网络用户应接收EtherCAT报文(所谓的单播地址)。目标地址在此也可以构造为多播地址(对自动化网络100中的多个网络用户300进行寻址)或广播地址(对自动化网络100中的所有网络用户300进行寻址)。目标地址可以构造为MAC地址。如果目标地址实现为EtherCAT段的VLAN ID或段地址，则标签字段565可以具有转换为VLAN ID或段地址的目标地址。在目标地址字段555之后，以太网头段505具有发送器地址字段560。发送器地址字段560包括发送器地址，该发送器地址可以被构造为MAC地址并且识别发送器。特别地，发送器地址可以是如下地址，图2中的处理器单元400利用该地址执行与存储在存储器单元405中的预先给定的地址的比较(该预先给定的地址然后同样构造为发送器地址)，以便检查协议报文的检查和拒绝所依据的前提条件的存在或满足。目标地址字段555和发送器地址字段560在此分别包括6个字节。

此外，以太网头段505在发送器地址字段560之后具有标签字段565。该标签字段例如可以根据IEEE 802.1Q标准构造为VLAN TAG标签字段(VLAN：虚拟局域网)并且包括4个字节。当目标地址作为段地址被容纳在标签字段565中时，标签字段565也可以被构造为ROUT标签标签字段。在标签字段565之后，以太网头段505具有上述协议字段570。协议字段570可以被构造为所谓的以太网类型字段，具有2个字节并且包括以太网类型值，该以太网类型值指示有效载荷数据内、即以太网数据段510内的下一更高层的所使用的协议。一层和下一更高层是根据OSI模型(OSI：开放系统互连)即根据用于分层架构中的协议的参考模型来定义的。例如，当协议报文被构造为EtherCAT报文时，协议字段570具有以太网类型值0x88A4(在十六进制系统中)，因为该值与具有实时能力的EtherCAT协议相关联。如果报文被构造为协议报文，则以太网类型字段(即协议字段570)具有报文标识符的第一标识符。特别是当协议报文被构造为EtherCAT报文时，协议字段在十六进制系统中具有以太网类型值0x88A4。处理器单元400可以根据以太网类型值将EtherCAT协议报文识别为协议报文。

在第二报文结构TEL2中，数据结构500的以太网数据段510包括另一头段。在这种情况下，另一头段被构造为现场总线协议头段525，其包括用于自动化网络100中的协议用户的指令。优选地，现场总线协议头段525构造为EtherCAT头段。此外，以太网数据段510包括可以以数据报文的形式实现的EtherCAT数据。例如，以太网数据段510可以包括第一数据报530、第二数据报535和第n数据报540，其中，第n数据报540指示数据结构500可以总共包括任意数量的数据报。然而，在这一点上，不应限制成数据结构500中的确定数量的数据报。

此外，以太网端段515在第二报文结构TEL2中具有校验和字段550。此外，以太网端段515可以具有未示出的填充字段。填充字段是必要的，以便通过将作为Pad添加的附加字节插入到EtherCAT报文中来将以太网数据帧中的EtherCAT报文调整到所需的最小以太网数据帧大小64字节。如果要利用EtherCAT报文作为有效载荷数据来传输例如小于46或42字节(没有或具有符合IEEE 802.1Q标准的VLAN标签)，则可能需要填充字段，其中，不包括图3中未包含的前导码和起始帧分隔符(SFD)字段。借助校验和字段550可以确保发送的数据的完整性检查。校验和字段550为此例如可以包括计算出的CRC校验和(CRC：循环冗余校验)，所述CRC校验和通过以太网数据帧、数据结构500计算，以目标地址开始并且以填充字段结束，使得校验和本身不包含在CRC校验和中。CRC校验和由发送器创建并附加到填充字段。接收器在接收到EtherCAT报文后执行相同的CRC校验和计算，并且如果由接收器计算的CRC校验和与借助EtherCAT协议报文传输的CRC校验和不一致，则接收器认为数据传输不正确。在这种情况下，接收器可以拒绝EtherCAT协议报文。

在数据结构500的第三报文结构TEL3中，被构造为现场总线协议头段525并且优选地被构造为EtherCAT头段的另一头段在被构造为EtherCAT头段的情况下包括长度字段575。长度字段575提供关于以太网数据段510中的数据报的长度的信息。长度字段575包括11位。在长度字段575之后，被构造为EtherCAT头段的现场总线协议头段525包括具有1位的储备字段580。默认情况下，未使用储备字段。在储备字段580之后，被构造为EtherCAT头段的现场总线协议头段525包括具有4位的类型字段585。类型字段585可以具有报文标识符的第二标识符。报文标识符的第二标识符可以构造为EtherCAT协议类型。对于EtherCAT协议类型，有16个不同的值可供显示，即从零到15的值，其中的值0x1在十六进制系统中可以用作报文标识符的第二标识符，用于显示协议用户110的处理单元对EtherCAT协议报文的处理。可以想到的是，处理器单元400通过报文标识符的第一标识符，即在协议字段570中用于EtherCAT协议的十六进制系统中的以太网类型值，或者通过协议字段570中的报文标识符的第一标识符和类型字段585中的报文标识符的第二标识符、即在十六进制系统中具有值0x1的EtherCAT协议类型来识别EtherCAT协议报文。

此外，EtherCAT协议报文也可以嵌入到UDP/IP(UDP：用户数据报协议，IP：互联网协议)数据帧结构中，但这在图3中未示出。在这种情况下，以太网头段505具有目标地址字段555以及发送器地址字段560。在发送器地址字段560之后，以太网头段505包括协议字段570，其中，协议字段570具有值0x0800(在十六进制系统中)，该值指示互联网协议(IPv4，互联网协议版本4)。在以太网头段505中，在协议字段570之后是IP头段和UDP头段。在这种情况下，被构造为EtherCAT头段的现场总线协议头段525、数据报和以太网端段515可以被构造为类似于上面的解释，其中，以太网端段515包括校验和字段550以及必要时包括填充字段。此外，EtherCAT协议报文除了嵌入到UDP/IP数据帧结构中之外还可以具有标签字段565，其中，标签字段565在此可以构造为VLAN标签。然后，标签字段565被布置成类似于第二报文结构TEL2或类似于第三报文结构TEL3。也可以考虑的是，EtherCAT协议报文具有上述ROUT标签而不是VLAN标签。因此，处理器单元400也可以由主用户105调设为，处理器单元400在嵌入到UDP/IP数据帧结构中时通过以太网类型值0x0800将EtherCAT协议报文识别为报文标识符的第一标识符。

本发明不仅限于具有实时能力的EtherCAT协议，还可应用于导向层(即中央机器控制层)和现场层(即通过传感器和执行器直接执行过程控制的层)中的其他协议。

通过优选的实施例详细描述了本发明。代替所描述的实施例，可以考虑另外的实施例，所述另一实施例可以具有所描述的特征的另一变型或组合。出于该原因，本发明不受所公开的实施例的限制，因为本领域技术人员可以从中推导出其他变型方案，而在此不脱离本发明的保护范围。

附图标记列表

100 自动化网络

300 网络用户

101 协议用户

105 主用户

110 从协议用户

115 网络分配器

PX 输入/输出端口

120 第一协议用户

125 第二协议用户

130 第三协议用户

135 第四协议用户

140 第五协议用户

145 第六协议用户

150 第七协议用户

160 第一网络分配器

170 第二网络分配器

180 第三网络分配器

200 数据线网络

205 第一数据线

210 第二数据线

215 第三数据线

220 第四数据线

225 第五数据线

230 第六数据线

235 第七数据线

240 第八数据线

245 第九数据线

250 第十数据线

255 第十一数据线

305 第一网络用户

310 第二网络用户

315 第三网络用户

P0 第一输入/输出端口

P1 第二输入/输出端口

P2 第三输入/输出端口

P3 第四输入/输出端口

P4 第五输入/输出端口

P5 第六输入/输出端口

P6 第七输入/输出端口

P7 第八输入/输出端口

400 处理器单元

405 存储器单元

a 第一段地址

MAC1 第一发送器地址

c 第二段地址

MAC2 第二发送器地址

600 第一交互线

605 第二交互线

610 第三交互线

615 第四交互线

500 数据结构

505 以太网头段

510 以太网数据段

515 以太网端段

525 EtherCAT头段

530 第一数据报

535 第二数据报

540 第n数据报

550 校验和字段

555 目标地址字段

560 发送器地址字段

565 标签字段

570 协议字段

575 长度字段

580 储备字段

585 类型字段

TEL1 第一报文结构

TEL2 第二报文结构

TEL3 第三报文结构

Claims (15)

1.一种网络分配器(115)，具有多个输入/输出端口(PX)、处理器单元(400)和存储器单元(405)，

其中，所述多个输入/输出端口(PX)被设计成分别通过数据线网络(200)附接网络用户(300)，其中，所述网络用户(300)能够包括协议用户(101)，所述协议用户(101)被设计用于处理被构造为协议报文的报文，

其中，所述处理器单元(400)被设计成通过输入/输出端口(PX)接收报文并且通过另一输入/输出端口(PX)输出报文，所述另一输入/输出端口存储在所述存储器单元(405)中的路由表中，

其特征在于，所述处理器单元(400)还被设计用于检查报文：所述报文是否是协议报文并且已通过输入/输出端口(PX)被接收，对于接收报文的所述输入/输出端口预先调设成没有附接协议用户(101)，

其中，所述处理器单元(400)被设计成检查通过所述输入/输出端口(PX)接收的所述报文是否具有包括第一标识符或包括第一标识符和第二标识符的报文标识符，

其中，所述处理器单元(400)被设计成基于包括第一标识符或包括第一标识符和第二标识符的所述报文标识符将所述报文识别为协议报文并且用于在检查为肯定的情况下拒绝所述报文，并且

其中，所述报文的检查和拒绝在待由所述处理器单元(400)考虑的前提条件下设置，

其中，满足所述前提条件导致对所述报文的拒绝的例外。

2.根据权利要求1所述的网络分配器(115)，

其中，所述处理器单元(400)被设计成借助于所述存储器单元(405)中的端口标识符来检查通过所述网络分配器(115)的所述输入/输出端口(PX)附接的、发送了所述报文的所述网络用户(300)是否被构造为协议用户(101)，并且

其中，当通过所述输入/输出端口(PX)附接的所述网络用户(300)被构造为协议用户(101)时，在所述存储器单元(405)中存储有端口标识符。

3.根据权利要求1所述的网络分配器(115)，

其中，被构造为协议报文的报文被构造为以太网报文，

其中，所述以太网报文具有以太网头段(505)和以太网数据段(510)，

其中，所述报文标识符包括所述第一标识符，

其中，所述以太网头段(505)包括所述报文标识符的第一标识符，并且

其中，所述处理器单元(400)被设计用于评估所述以太网头段(505)中的所述报文标识符的第一标识符。

4.根据权利要求1所述的网络分配器(115)，

其中，被构造为协议报文的报文被构造为以太网报文，

其中，所述以太网报文具有以太网头段(505)和以太网数据段(510)，

其中，所述以太网数据段(510)具有现场总线协议头段(525)，

其中，所述报文标识符包括所述第一标识符和所述第二标识符，

其中，所述以太网头段(505)包括所述报文标识符的第一标识符，并且所述现场总线协议头段(525)包括所述报文标识符的第二标识符，并且

其中，所述处理器单元(400)被设计为评估所述以太网头段(505)中的所述报文标识符的所述第一标识符和所述现场总线协议头段(525)中的所述报文标识符的所述第二标识符。

5.根据权利要求1至4中任一项所述的网络分配器(115)，

其中，检查和拒绝报文所依据的所述前提条件包括确定所述报文的地址是否对应于预先给定的地址。

6.一种自动化网络(100)，具有多个网络用户(300)，所述网络用户通过数据线网络(200)相互连接，

其中，所述网络用户(300)被设计为用于处理被构造为协议报文的协议用户(101)，

其中，所述自动化网络(100)具有至少一个网络分配器(115)，所述网络分配器(115)包括所述多个输入/输出端口(PX)、处理器单元(400)和存储器单元(405)，

其中，所述多个输入/输出端口(PX)被设计成分别通过数据线网络(200)附接所述网络用户(300)，

其中，所述处理器单元(400)被设计成通过输入/输出端口(PX)接收报文并通过另一输入/输出端口(PX)输出报文，所述另一输入/输出端口存储在所述存储器单元(405)中的路由表中，

其特征在于，所述处理器单元(400)还被设计用于检查报文：所述报文是否是协议报文并且已通过输入/输出端口(PX)被接收，对于接收报文的所述输入/输出端口预先调设成没有附接协议用户(101)，并且用于在检查为肯定的情况下拒绝所述报文，

其中，所述报文的检查和拒绝在待由所述处理器单元(400)考虑的前提条件下设置，

其中，满足所述前提条件导致对所述报文的拒绝的例外，并且

其中，所述自动化网络(100)被设计为主-从系统，

其中，协议用户(101)被构造为主用户(105)，所述主用户被设计为通过所述数据线网络(200)输出被构造为协议报文的报文，

其中，所述主用户(105)被进一步构造为在所述网络分配器(115)的所述处理器单元(400)中调设没有协议用户(101)附接在所述网络分配器(115)的输入/输出端口(PX)上。

7.根据权利要求6所述的自动化网络(100)，

其中，所述处理器单元(400)被设计成借助于所述存储器单元(405)中的端口标识符来检查通过所述网络分配器(115)的所述输入/输出端口(PX)附接的、发送了所述报文的所述网络用户(300)是否被构造为协议用户(101)，并且

其中，当通过所述输入/输出端口(PX)附接的所述网络用户(300)被构造为协议用户(101)时，在所述存储器单元(405)中存储有端口标识符。

8.根据权利要求6或7所述的自动化网络(100)，

其中，所述处理器单元(400)被设计成检查通过所述输入/输出端口(PX)接收的所述报文是否具有报文标识符，并且

其中，所述处理器单元(400)被设计成基于所述报文标识符将所述报文识别为协议报文。

9.根据权利要求6所述的自动化网络(100)，

其中，所述主用户(105)被设计用于预先给定所述网络用户(300)的网络结构，并且通过所述数据线网络(200)将所述预先给定的网络结构传输到所述网络分配器(115)的所述处理器单元(400)，并且

其中，所述处理器单元(400)被设计用于基于所述预先给定的网络结构用所述存储器单元(405)中的端口标识符来标识所述网络分配器(115)的输入/输出端口(PX)，所述协议用户(101)通过所述数据线网络(200)附接在所述输入/输出端口上。

10.根据权利要求6所述的自动化网络(100)，

其中，所述主用户(105)被设计用于借助查询报文来检测所述网络用户(300)的网络结构，

其中，当被构造为协议用户(101)的网络用户(300)接收到查询报文时，所述协议用户(101)被设计成将协议用户信息输入到所述查询报文中并且将所述查询报文发送回所述主用户(105)，如果没有后续的协议用户(101)通过所述数据线网络(200)被附接，

其中，当所述网络分配器(115)通过所述输入/输出端口(PX)接收到查询报文时，所述网络分配器(115)被设计成将端口信息输入到所述查询报文中并且将所述查询报文发送回所述主用户(105)，

其中，所述主用户(105)被设计为基于所述端口信息向所述网络分配器(115)输出另外的查询报文，所述网络分配器(115)的所述处理器单元(400)通过针对相应查询报文存储在所述存储器单元(405)中的路由表中的另一输入/输出端口(PX)将所述另外的查询报文转发给通过所述数据线网络(200)附接的所述网络用户(300)，

其中，所述主用户(105)被设计成基于所接收的所述另外的查询报文的所述协议用户信息向所述网络分配器(115)的所述处理器单元(400)传输：所述协议用户(101)通过所述数据线网络(200)将附接到所述网络分配器(115)的所述多个输入/输出端口(PX)中的哪个端口上，并且

其中，所述处理器单元(400)被设计成用所述存储器单元(405)中的端口标识符来标识所述网络分配器(115)的输入/输出端口(PX)，所述协议用户(101)通过所述数据线网络(200)附接在所述输入/输出端口上。

11.一种用于在自动化网络(100)中传输数据的方法，所述自动化网络具有多个网络用户(300)和至少一个网络分配器(115)，所述多个网络用户和至少一个网络分配器通过数据线网络(200)相互连接，

其中，所述网络用户(300)能够包括协议用户(101)，所述协议用户被设计用于处理被构造为协议报文的报文，

其中，所述网络分配器(115)具有多个输入/输出端口(PX)、处理器单元(400)和存储器单元(405)，

其中，所述多个输入/输出端口(PX)被设计成分别通过所述数据线网络(200)附接网络用户(300)，

其中，所述处理器单元(400)通过输入/输出端口(PX)接收报文并通过另一输入/输出端口(PX)输出报文，所述另一输入/输出端口存储在所述存储器单元(405)中的路由表中，

其特征在于，所述处理器单元(400)检查报文：所述报文是否是协议报文并且已通过输入/输出端口(PX)被接收，对于接收报文的所述输入/输出端口预先调设成没有附接协议用户(101)，

其中，所述处理器单元(400)为此检查所述报文是否具有包括第一标识符或包括第一标识符和第二标识符的报文标识符，所述报文标识符将所述报文标识为协议报文，并且所述处理器单元在检查为肯定的情况下拒绝所述报文，并且

其中，所述报文的检查和拒绝在待由所述处理器单元(400)考虑的前提条件下设置，

其中，满足所述前提条件导致对所述报文的拒绝的例外。

12.根据权利要求11所述的方法，

其中，所述处理器单元(400)检查：在所述存储器单元(405)中是否存储有用于通过所述网络分配器(115)的输入/输出端口(PX)附接的协议用户(101)的端口标识符。

13.根据权利要求11所述的方法，

其中，被构造为协议报文的报文被构造为以太网报文，

其中，所述以太网报文具有以太网头段(505)和以太网数据段(510)，

其中，所述报文标识符包括所述第一标识符，

其中，所述以太网头段(505)包括所述报文标识符的第一标识符，并且

其中，所述处理器单元(400)被设计为评估所述以太网头段(505)中的所述报文标识符的第一标识符。

14.根据权利要求11所述的方法，

其中，被构造为协议报文的报文被构造为以太网报文，

其中，所述以太网报文具有以太网头段(505)和以太网数据段(510)，

其中，所述以太网数据段(510)具有现场总线协议头段(525)，

其中，所述报文标识符包括所述第一标识符和所述第二标识符，

其中，所述以太网头段(505)包括所述报文标识符的第一标识符，并且所述现场总线协议头段(525)包括所述报文标识符的第二标识符，并且

其中，所述处理器单元(400)被设计为评估所述以太网头段(505)中的所述报文标识符的所述第一标识符和所述现场总线协议头段(525)中的所述报文标识符的所述第二标识符。

15.根据权利要求11至14中任一项所述的方法，

其中，检查和拒绝报文所依据的所述前提条件包括确定所述报文的地址是否对应于预先给定的地址。

Images