CN202856779U

CN202856779U - 用于自动化网络的网络设备，安全模块和自动化网络

Info

Publication number: CN202856779U
Application number: CN 201220028564
Authority: CN
Inventors: 约尔格·克吕格尔
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2011-01-28
Filing date: 2012-01-21
Publication date: 2013-04-03
Anticipated expiration: 2022-01-21
Also published as: DE202012000035U1; DE102011003310A1

Abstract

本实用新型涉及一种用于自动化网络（100）的网络设备（102；104），一种用于自动化网络中的网络设备的安全模块，和一种自动化网络。该网络设备具有：用于在第一和第二子网的至少两个不同的网络参与者之间实现通信的通信装置；安全模块（106；108），其中，该安全模块设计用于通过第一子网以有规律的时间间隔产生和发送控制信息，并且其中，该控制信息显示出安全模块的正常功能；以及数据处理装置（116），用于处理断开信号，从而控制通信装置，以便中断在第一子网的参与者和第二子网的参与者之间的每次通信。

Description

用于自动化网络的网络设备,安全模块和自动化网络

技术领域

本实用新型涉及一种用于自动化网络的网络设备，尤其是一种用于连接自动化网络的两个子网的网络设备。

背景技术

自动化网络可以分成不同的子网。例如，能够分成安全的子网和不安全的子网。在此情况下，需要将自动化网络的安全部分与不安全部分相连接的网络设备。在该网络设备中，为了监视和控制从不安全子网到安全子网的访问和数据传输，使用了所谓的安全模块。

实用新型内容

与此相对地，本实用新型的目的在于，实现一种改进的网络设备；一种改进的安全模块；一种改进的自动化网络。利用独立权利要求的特征来实现该目的。在从属权利要求中提出了本实用新型的实施方式。

本实用新型涉及一种用于自动化网络的、具有通信装置的网络设备。该通信装置能够在第一子网和第二子网的至少两个不同的网络参与者之间实现通信。此外，通信装置设计用于接收第一子网的断开信号。换言之，该网络设备还将第一子网与第二子网相连接。由此，该网络设备属于自动化网络的第一子网和第二子网。

自动化网络例如可以设计为工业自动化网络。这种工业自动化网络例如可以设计，设定和/或设置用于控制和/或调节工业的设备（例如，生产设备、输送设备等）、机器和/或装置。该自动化网络或者说工业自动化网络尤其可以具有用于至少在参与控制任务和/或调节任务的组件之间（例如，在控制单元和待控制的装置和/机器之间）进行通信的实时通信协议（例如过程现场网络，现场总线，实时以太网）。同样提供了通过存储介质进行的安全的数据传输。

另外，除了实时通信协议以外，还可以在自动化网络或者说工业自动化网络中设置至少一个额外的通信协议（其例如不需要是实时性的），该额外的通信协议用于例如监视、设定、再编程和/或再参数化自动化网络中的一个或多个控制单元。

自动化网络可以包括例如有线连接的通信组件和/或无线的通信组件。另外，自动化网络可以包括至少一个自动化装置。

自动化装置例如可以是带有控制任务或控制功能的计算机、PC和/或控制器。自动化装置例如尤其可以是工业自动化装置，其例如设计，设定和/或设置专门用于控制和/或调节工业设备。这种自动化装置或者说工业自动化装置尤其可以是实时性的，也就是说，能够实时地进行控制或调节。为此，自动化装置或工业自动化装置例如可以包括实时运行系统和/或至少还对用于通信的实时性通信协议（例如，过程现场网络，现场总线，实时以太网）加以支持。

自动化网络包括多个传感器和激发器。激发器和传感器由至少一个控制装置进行控制。激发器、传感器以及至少一个控制装置彼此交换数据。使用自动化协议来进行数据交换。至少一个控制装置控制激发器、传感器以及数据交换，从而进行机械的制造过程，例如在该制造过程中制造产品。

工业自动化装置例如可以是可存储编程的控制装置、可存储编程的控制装置的模块或部分、集成在计算机或PC中的可存储编程的控制装置以及相应的现场设备、传感器和/或激发器、输入装置/输出装置或类似装置，用于连接可存储编程的控制装置或包括以上这些装置。

根据本实用新型，自动化协议理解成各种根据以上说明设置、适合和/或设定用于与自动化装置进行通信的协议。这些自动化协议例如可以是现场总线协议（例如，根据IEC 61158/EN50170）、现场总线DP协议；现场总线PA协议、过程现场网络协议、过程现场网络-IO-协议；根据AS界面的协议；根据IO-链路的协议；KNX-协议；根据多点接口（多点界面，MPI）的协议；用于点对点连接（点对点，PtP）的协议；根据S7通信规格的协议（该协议例如设置和设定用于西门子公司的可存储编程的控制装置的通信），或也可以是工业以太网协议或实时以太网协议，或用于和自动化装置进行通信的其它专用协议。根据以上说明，自动化协议也可以设置为上述协议的任意组合。

此外，该网络设备包括安全模块。该安全模块设计用于检测是否允许通过网络设备实现第一子网和第二子网的第一网络参与者和第二网络参与者之间的通信。当通信不被允许时，该安全模块将阻止该通信。另外，该安全模块设计用于通过第一子网以有规律的时间间隔产生和发送控制信息。该控制信息显示出安全模块的正常功能并且优选地被发送给第一子网中的另一个网络设备。

该网络设备还包括用于处理断开信号的数据处理装置。该数据处理装置设计用于中断在第一子网的参与者和第二子网的参与者之间的每次通信。换言之，当通信装置接收到断开信号并且通过数据处理装置处理断开信号时，将中断第一子网与第二子网的连接。

例如可以这样设计断开信号，使得该断开信号包括用于通信装置的指令，在实施用于中断在第一子网的参与者与第二子网的参与者之间的每次通信的指令时，该指令阻止通信装置。通信装置例如可以包括处理器，该处理器设计用于实施指令。该处理器例如可以处理被网络设备所接收的信号并且执行在那里包括的指令。

例如，可以从另一个网络设备将断开信号发送给网络设备。例如可以有利的是，即检测对网络设备的攻击并且将每次通过网络设备的通信归为不安全的。在这种情况下，在接收到断开信号之后，网络设备可以将每次通信都中断，从而防止了危害到网络或单个的网络参与者。

该断开信号例如也还可以包括信息，从而检测对网络设备的攻击。在此情况下，网络设备的通信装置设计用于：当该信息被接收和处理时，中断在第一子网的参与者与第二子网的参与者之间的每次通信。

通过规律地发送显示出安全模块的正常功能的控制信息，网络设备例如可以为另一个网络设备显示出，即安全模块正常工作。如果由于安全模块处在功能不正常的状态中而取消该控制信息的话，那么将不再发送控制信息。在此情况下例如其它的网络设备会向根据本实用新型的网络设备发送断开信号，由此断开在安全的子网和不安全的子网之间的连接。例如当不安全的子网对安全模块进行攻击时，该设置是很有利的。如果这种攻击被检测到，则在不安全的子网和安全的子网之间的连接将立刻被断开。

可以例如这样实现安全子网和不安全子网的划分，即第一子网具有第一较高的安全级，而第二子网则具有第二、较低的安全级。

根据本实用新型的实施方式，通信装置包括至少两个第一接口和一个连接节点。该安全模块包括一个用于连接网络设备的第二接口以及两个用于连接第二子网的第三接口。安全模块与第二子网的连接可以直接在安全模块上实现或间接地通过设置在网络设备中的数据线来实现。在后一种情况下，通信装置包括两个用于将安全模块连接在网络设备的数据线上的第三接口，并且该网络设备包括至少两个用于连接第二子网的第四接口。

安全模块设计用于：通过第二接口将通过第三接口之一接收的第一数据传输给连接节点。安全模块还设计用于：通过第三接口之一将通过第二接口接收的第二数据传输给第二子网。

网络设备设计用于：在通过第一接口之一接收到断开信号之后阻止第一和第二数据的传输。

根据本实用新型的实施方式，该安全模块设计用于：通过第二接口与第一子网的网络参与者一同建立VPN-隧道，和/或对第一数据进行加密。

根据本实用新型的实施方式，安全模块设计用于：当检测到对安全模块的攻击时，不发出控制信息。

根据本实用新型的实施方式，安全模块包括处理器并且设计用于：检测处理器的负载；检测从第二子网接收的广播电报的数量；和/或对第一数据的内容进行分析并且将该内容划分到第一类别或第二类别中。安全模块还设计用于：如果处理器的负载超过负载阈值，并且广播电报的数量超过电报阈值和/或被划分到第一类别中的数据的数据量超过数据量阈值，则检测攻击。

对安全模块的攻击例如可能由此形成，即处理器被有针对性地由于请求而过载并且由此危害到安全模块的安全。可以通过检测处理器的负载并且将其与负载阈值进行比较来检测这类攻击。如果处理器超过了该负载阈值，那么将不再发出控制信息。如果处理器仍旧受到严重过载以至于使得其本身无法再检测到负载超过了负载阈值的情况，则也不能再自动地以有规律的时间间隔发送控制信息。还可以以如下方式将处理器的过载作为攻击来检测，即通常是以有规律的时间间隔发送控制信息。在处理器过载的情况下，将不再发送控制信息或在较大的时间段中发送控制信息。

对安全模块的攻击的另一种可能方式是广播电报。如果这种从低安全级的第二子网发送到高安全级的第一子网的广播电报超过了电报阈值，那么这同样会被检测为攻击并且将不再发送控制信息。

另一种检测攻击的可能途径是对通过第三接口之一进行接收并且通过第二接口发出给连接节点的第一数据进行分析。在分析完毕之后便将该数据划分到第一类别或第二类别中。第一类别例如包括通常在第二子网和第一子网之间进行交换的数据。该数据例如可以是用于自动化网络机器或用于传输与生产过程或制造过程相关的数据的控制命令。而被划分到第二类别中的数据不在通用的生产过程或制造过程中进行交换或仅极少地在第一子网和第二子网之间进行交换。该数据例如可以是所有其它数据或仅仅有限数量的数据类型，例如，从第二子网的参与者到第一子网的参与者的读取访问或写入访问。

根据本实用新型的实施方式，通信装置设计用于：将控制信息传输给另一个网络设备并且接收其它网络设备的其它控制信息。在这种情况下，在自动化网络中也就还存在两个根据本实用新型的网络设备。数据处理装置设计用于：产生另一个断开信号并且控制通信装置，以便将其它断开信号发送给其它网络设备。网络设备也就设计用于：向其它网络设备发出断开信号。

在自动化网络中使用根据本实用新型的实施例的两个网络设备是有利的，这是因为当检测到对其它网络设备的安全模块的攻击时，一个网络设备可以通过其它网络设备断开第二子网与第一子网之间的连接。

这两个网络设备可以双方同时从第一子网向第二子网传输数据并且可以反向传输。可替换地将一个网络设备限定为所谓的主机，而将一个网络设备限定为所谓的辅机。在正常的运行中，通过主机-网络设备传输数据并且通过辅机-网络设备检测主机-网络设备的安全模块所受到的攻击。在此情况下，辅机-网络设备向主机-网络设备发送断开信号并且因此断开在主机-网络设备内部的、第二子网与第一子网的连接。其它的从第二子网到第一子网的数据传输以及反向传输通过辅机-网络设备进行。

在另一个方面，本实用新型涉及一种用于自动化网络中的网络设备的安全模块。该安全模块包括一个用于连接网络设备的第二接口以及两个用于连接自动化网络的其它设备的第三接口。该安全模块设计用于：通过第二接口将通过第三接口之一接收的第一数据传输给网络设备。另外，该安全模块还设计用于：通过第三接口之一将通过第二接口接收的第二数据传输给其它设备之一。

根据本实用新型的实施方式，安全模块具有第四接口，用于连接另一个网络设备的另一个安全模块。该安全模块设计用于：在运行状态中通过第四接口以有规律的时间间隔将控制信息传输给其它安全模块。该控制信息是对于安全模块的运行状态的提示。当发出控制信息时，安全模块处于正常的运行状态中。换言之，安全模块在该状态中正常工作。当检测到对安全模块的攻击时，将不再传输或以较大的时间间隔传输控制信息。

在另一个方面，本实用新型涉及一种自动化网络，具有根据本实用新型的实施方式的至少一个第一网络设备和一个第二网络设备。

根据本实用新型的实施方式，该自动化网络包括第一子网和第二子网。第一子网包括第一安全级的第一设备，而第二子网包括第二安全级的第二设备。第一安全级高于第二安全级。

第二子网的设备分别通过第三接口与第一和/或第二网络设备相连接。第一子网的设备通过第一接口与网络设备相连接。第一网络设备设计用于：以有规律的时间间隔向第二网络设备发送第一控制信息。第二网络设备设计用于：以有规律的时间间隔向第一网络设备发送第二控制信息。

第一网络设备设计用于：当第一网络设备没有接收到第二控制信息时，检测对第二网络设备的安全模块的攻击。第二网络设备设计用于：当第二网络设备没有接收到第一控制信息时，检测对第一网络设备的安全模块的攻击。

第一网络设备设计用于：当检测到对第二网络设备的安全模块的攻击时，向第二网络设备发送第一断开信号。第二网络设备设计用于：在接收第一断开信号时中断在第一子网的参与者和第二子网的参与者之间的每次通信。

第二网络设备设计用于：当检测到对第一网络设备的安全模块的攻击时，向第一网络设备发送第二断开信号。第一网络设备设计用于：在接收第二断开信号时中断在第一子网的参与者和第二子网的参与者之间的每次通信。

根据本实用新型的实施方式，第一网络设备和第二网络设备设计用于：同时将数据从不安全的设备传输给安全的设备并且反向传输。该实施方式是有利的，这是因为由此可以在第一网络设备和第二子网之间分配待传输的数据并且避免了网络设备的负载过高。这例如可以由此实现，即通过所谓的分成两部分的链路群将数据传输给第一和第二网络设备。在此情况下，数据既被发出给第一网络设备又被发出给第二网络设备。例如，在第二子网中设有在其上既连接了第一网络设备又连接了第二网络设备的网络节点。由于网络节点通过链路群连接无法在第一网络设备和第二网络设备之间进行区分，所以该网络节点既将数据传输给第一网络设备又将数据传输给第二网络设备。由此，数据既被传输给第一网络设备又被传输给第二网络设备并且避免了网络设备的过载。

另一方面提出了一种用于在自动化网络中传输数据的方法，该自动化网络具有第一安全级的第一子网、第二安全级的第二子网、第一网络设备以及第二网络设备。第一和第二网络设备分别是根据本实用新型的实施方式的网络设备。第一安全级高于第二安全级。

首先，数据被从第一子网的参与者通过处在正常的运行状态中的第一网络设备传输给第二子网的参与者并且可以反向传输。也可以将正常的运行状态描述成第一网络设备正常工作的状态。换言之，当检测到没有对安全模块的攻击时，网络设备就是处在正常的运行状态中。

控制信息由第一网络设备产生并且以有规律的间隔传输给第二网络设备。当第二网络设备没有接收到控制信息时，第二网络设备就检测到了对第一网络设备的攻击。在此情况下，数据被从第二子网的参与者传输给第一子网的参与者并且随后通过第二网络设备进行反向传输。另外，通过第一网络设备断开在第一子网和第二子网之间的连接。该实施方式可以这样实现，即第二网络设备向第一网络设备发送断开信号，而第一网络设备则随后断开该连接。

根据本实用新型的实施方式，在正常的运行状态中，既可以通过第一网络设备又可以通过第二网络设备将数据从第一子网的参与者传输给第二子网的参与者并且可以反向传输。

附图说明

下面借助附图详细描述本实用新型的实施方式。图中示出：

图1示出了具有第一网络设备和第二网络设备的自动化网络；

图2示出了具有第一网络设备和第二网络设备的自动化网络，其中，既通过第一网络设备又通过第二网络设备实现数据传输；

图3示出了在自动化网络中传输数据的方法的流程图。

具体实施方式

利用相同的附图标记来表示下面附图的彼此相应的元件。

图1是具有第一网络设备102和第二网络设备104的自动化网络100的框图。第一网络设备102包括安全模块106，而第二网络设备104包括第二安全模块108。

安全模块106包括处理器110和交换机112。另外，第一网络设备102包括一个交换机（或者说连接节点）114、一个处理器（或者说数据处理装置）116以及多个网络接口（或者说第一接口）118_1-n。第一安全模块106的处理器110通过接口x1与交换机114相连接。安全模块106还包括两个网络接口（或者说第三接口）120和122。网络接口120和122用于将安全模块106连接到自动化网络100的第二子网103上，而网络接口118_1-n设计用于将第一网络设备102连接到自动化网络100的第一子网101上。

第一安全模块106和第二安全模块108分别包括用于彼此直接通信的网络接口124。第二网络设备104的安全模块108同样包括处理器126、交换机128以及网络接口（或者说第三接口）130和132。

第二网络设备104包括交换机134、处理器（或者说数据处理装置）136以及网络接口（或者说第一接口）138_1-n。第二网络设备104通过第二安全模块108的网络接口130和132与自动化网络100的第二子网103相连接。第二网络设备104通过网络接口138_1-n与自动化网络100的第一子网101相连接。

第一子网101是安全级高于第二子网103的子网。例如，可以由此确保该较高的安全级，即仅对第一子网中的数据传输进行加密并且仅通过验证过的设备来进行该数据传输。与此相反，也可以不对第二子网103中的数据传输进行加密并且在没有访问授权的情况下进行该数据传输。安全模块106和108将第一子网101与第二子网103彼此分开。通过处理器110和/或126分析和传输或阻止所有从第二子网103传输到第一子网101中并且反向传输的数据。例如当数据来源于未被授权与第一子网101的网络参与者进行通信的第二子网103的网络参与者时，可以阻止该数据。安全模块106或108将应从第二子网103传输给第一子网101的参与者的数据转输给交换机114或134，该交换机通过处理器116或136这样控制，从而通过分别相应的网络接口118_i或138_i将数据发出给第一子网101的相应的网络参与者。可以通过网络接口118_1-n和138_1-n接收源于第一和第二网络设备102和104以及第一子网101的数据。然后，可以通过接口x1和x2将该数据发出给安全模块106和108的处理器110和126并且在此通过交换机112和128以及网络接口120，122，130和132发出给第二子网103。

在正常的运行状态中或换言之表达在功能正常的情况下，应从第二子网103传输给第一子网101的数据被通过第一网络设备102从第二子网103传输给第一子网101。由此也可以将第一网络设备102的安全模块106称为主机。只要第一安全模块106正常工作，就能以有规律的时间间隔将控制信息传输给第二网络设备104的第二安全模块108。例如可以通过所谓的安全备用线路（Security Sandby-Leitung）利用网络接口124传输该控制信息。还可以可替换地或附加地通过第一子网101利用网络接口118_n和138₁传输该控制信息。

只要安全模块106有规律地将控制信息传输给安全模块108，那么安全模块106就正常地发挥作用。如果控制信息不规律地传输，以较大的时间间隔传输或完全不传输，那么第二安全模块108的处理器126检测到安全模块106所受到的攻击。这种攻击例如可以源于广播电报对安全模块106造成的过载。在此情况下，处理器110的负载超过了负载阈值并且不再传输控制信息或仅以较大的时间间隔向安全模块108传输控制信息。如果处理器110到达其负载极限，那么将自动推迟控制信息的发送。

优选地通过第一子网101或安全备用线路来实现控制信息的发送，并且利用网络接口124加密和确保安全，由此可以不再出现“中间人攻击”。控制信息也可以通过第二子网103进行传输。但这种方式并不安全并且由此成为了潜在的攻击者的另一个攻击点。

另一个攻击安全模块106的方式是由第二子网103的参与者传输给第一子网101的参与者的电报，该电报带有有害内容或被用于读取第一子网101的参与者未授权允许其进行读取的信息。为了检测这种攻击，处理器110会对由第二子网103传输给第一子网101的电报进行分析并且将其分到两个类别中。带有正常内容的电报被划分到第一类别中。这些电报是那些在正常的生产过程或制造过程中由第二子网103发送给第一子网101的电报。例如，该电报可以是测量数据。被处理器110划分到第二类别中的电报的内容并不正常。也就是说，第二类别中的电报内容不会出现或仅极少出现在普通的生产过程或制造过程中。当被划分到第二类别中的电报的数量超过电报阈值的时候，就会对安全模块106所受到的攻击进行检测并且不再向安全模块108传输控制信息。

当安全模块108不再接收到控制信息或仅以不规律的时间间隔或以较大的时间间隔接收到控制信息时，那么处理器126将检测安全模块106所受到的攻击。然后，处理器126向处理器116发送断开信号。处理器116在接收到该断开信号时通过接口x1断开与安全模块106的连接。该断开信号通过第一子网101传输。也就通过安全模块106来断开第一子网101与第二子网103的连接。该连接则被通过第二安全模块108所产生的连接所代替。第二安全模块108也就替代了被断开的安全模块106。从第二子网103到第一子网101的数据传输以及反向的数据传输现在也就可以通过具有第二安全模块108的第二网络设备104来实现，这与通过具有第一安全模块106的第一网络设备102的数据传输类似。

一旦可以确定安全模块106受到攻击的原因并且可以阻止安全模块106受到其它攻击，那么现在就可以运行作为所谓的辅机的第一网络设备 102，该网络设备在安全模块108失效时再次承担了数据传输任务。安全模块108在承担了数据传输任务之后，正如之前的安全模块106的情况那样作为所谓的主机运行。可以手动确定，两个安全模块中哪个是主机哪个是辅机。

图2是如图1的自动化网络100的框图。与图1的区别在于，通过所谓的链路群来实现从第二子网103到网络设备102和104以及反向的数据传输。第二子网103的交换机200利用多个网络连接部202与第一网络设备102的和第二网络设备104的网络接口120，122，130和132相连接。交换机200通过网络连接部202将应被传输给第一子网101的数据提供给第一和第二网络设备102和104。在此交换机200并未得知，哪些网络连接部202通向第一网络设备102和哪些网络连接部通向第二网络设备104。交换机200将接收到的数据分配给四个网线202，从而既可以由第一网络设备102又可以由第二网络设备104来传输数据并且减小了网络设备的负载。也可以应用更多的网络连接部202来代替四条网线202。

如果现在检测到两个安全模块106和108受到攻击，将如图1所描述的那样同样利用相关的网络设备断开该安全模块的连接。由此，该数据传输将如图1已经描述过的那样通过单独的网络设备来实现。

在链路群的情况下，可以既不将第一网络设备102也不将第二网络设备104描述为主机或辅机。第一安全模块106向第二安全模块108发送控制信息并且可以反向发送。可以如图1所描述的那样检测攻击并且也可以类似地实现安全模块的断开。

图3是方法的流程图。在自动化网络中，利用第一安全级的第一子网、第一安全级的第二网络、第二安全级的第二子网、网络设备以及第二网络设备来传输数据。在此，第一安全级高于第二安全级。

在第一个步骤S1中，通过第一网络设备将数据从第一子网的参与者传输给第二子网的参与者并且可以反向传输。这被描述成第一网络设备的和第一网络设备中的安全模块的正常的运行状态或正常功能。在第二步骤S2中产生和传输控制信息。该信息以规律的间隔被从第一网络设备传输到第二网络设备。在第二网络设备中，这以信号表现了第一网络设备的正常的运行状态。更准确地说，在第二网络设备的安全模块中，控制信息以信号表现了第一网络设备的安全模块的正常功能。

在步骤S3中，通过第二网络设备检测第一网络设备所受到的攻击。当第二网络设备的第二安全模块不再接收到第一网络设备的第一安全模块的控制信息时，就出现了上述攻击。当出现过载或检测到攻击时，第一网络设备的第一安全模块不再传输控制信息或仅不规律地或以比正常的运行状态更长的时间间隔传输控制信息。例如可以由此来检测攻击，即对从第一子网络传输到第一子网络的电报进行分析并且将其划分到两个类别中。在此，第一类别包括带有正常内容的电报，这就是说，这些电报是那些在正常的生产过程或制造过程中进行传输的电报。第二类别包括那些通常不会出现或仅极少出现在普通的生产过程或制造过程中的电报。当被划分到第二类别中的电报的数量超过电报阈值的时候，第一网络设备的第一安全模块就会检测到攻击并且将不再向第二网络设备的第二安全模块传输控制信息。

在步骤S4中，当检测出第一网络设备的第一安全模块所受到的攻击时，随后通过第一网络设备中断从第二子网的参与者到第一子网的参与者的数据传输。这例如可以由此实现，即第二网络设备向第一网络设备传输断开信号并且第一网络设备接下来断开通过第一网络设备的第二子网和第一子网之间的连接。

然后，在步骤S5中，通过第二网络设备将数据从第二子网的参与者传输给第一子网的参与者并且可以反向传输。

参考标号表

100自动化网络 200交换机

101第一子网 202网络连接部

102第一网络设备

103第二子网

104第二网络设备

106第一安全模块

108第二安全模块

110处理器

112交换机

114交换机

116处理器

118_1-n网络接口

120网络接口

122网络接口

124网络接口

126处理器

128交换机

130网络接口

132网络接口

134交换机

136处理器

138_1-n网络接口

Claims

1.一种用于自动化网络（100）的网络设备（102；104），其特征是，所述网络设备具有：

-用于在第一和第二子网的至少两个不同的网络参与者之间实现通信的通信装置，其中，所述通信装置设计用于接收所述第一子网的断开信号，

-安全模块（106；108），其中，所述安全模块设计用于检测是否允许通过所述网络设备实现所述第一和第二子网的第一和第二网络参与者之间的通信，其中，当所述通信不被允许时，所述安全模块设计用于阻止所述通信，其中，所述安全模块设计用于通过所述第一子网以有规律的时间间隔产生和发送控制信息，并且其中，所述控制信息显示出所述安全模块的正常功能，以及

-数据处理装置（116；136），用于处理所述断开信号，从而控制所述通信装置，以便中断在所述第一子网的参与者和所述第二子网的参与者之间的每次通信。

2.根据权利要求1所述的网络设备，其特征是，所述通信装置包括至少两个第一接口（118_1-n；138_1-n）和一个连接节点（114；134），

其中，所述安全模块具有一个用于连接所述网络设备的第二接口（X1；X2），

其中，所述安全模块具有至少两个用于连接所述第二子网的第三接口（120；122；130；132），

其中，所述安全模块设计用于：通过所述第二接口将通过所述第三接口之一接收的第一数据传输给所述连接节点，

其中，所述安全模块设计用于：通过所述第三接口之一将通过所述第二接口接收的第二数据传输给所述第二子网，和

其中，所述网络设备设计用于：在通过所述第一接口之一接收到所述断开信号之后阻止所述第一和第二数据的传输。

3.根据权利要求1或2中任一项所述的网络设备，其特征是，所述安全模块设计用于：通过所述第二接口与所述第一子网的网络参与者一同建立VPN-隧道，和/或对所述第一数据进行加密。

4.根据权利要求1或2中任一项所述的网络设备，其特征是，所述安全模块设计用于：当检测到对所述安全模块的攻击时，不发出控制信息。

5.根据权利要求3所述的网络设备，其特征是，所述安全模块设计用于：当检测到对所述安全模块的攻击时，不发出控制信息。

6.根据权利要求4所述的网络设备，其特征是，

所述安全模块包括处理器（110；126）并且设计用于：

-检测所述处理器的负载，

-检测从所述第二子网接收的广播电报的数量，和/或

-对所述第一数据的内容进行分析并且将所述内容划分到第一类别或第二类别中；

其中，所述安全模块设计用于：如果

-所述处理器的负载超过负载阈值，

-所述广播电报的数量超过电报阈值，和/或

-被划分到所述第一类别中的所述数据的数据量超过数据量阈值，

则检测对所述安全模块的攻击。

7.根据权利要求5所述的网络设备，其特征是，

所述安全模块包括处理器（110；126）并且设计用于：

-检测所述处理器的负载，

-检测从所述第二子网接收的广播电报的数量，和/或

其中，所述安全模块设计用于：如果

-所述处理器的负载超过负载阈值，

-所述广播电报的数量超过电报阈值，和/或

则检测对所述安全模块的攻击。

8.根据权利要求4所述的网络设备，其特征是，

其中，所述通信装置设计用于：将所述控制信息传输给另一个网络设备并且接收其它网络设备的其它控制信息，并且

其中，所述数据处理装置设计用于：产生另一个断开信号并且控制所述通信装置，以便将其它所述断开信号发送给其它所述网络设备。

9.根据权利要求7所述的网络设备，其特征是，

10.根据权利要求1或2中任一项所述的网络设备，其特征是，所述第一子网具有第一安全级，而所述第二子网具有第二安全级，并且其中，所述第一安全级高于所述第二安全级。

11.根据权利要求9所述的网络设备，其特征是，所述第一子网具有第一安全级，而所述第二子网具有第二安全级，并且其中，所述第一安全级高于所述第二安全级。

12.一种用于自动化网络（100）中的网络设备（102；104）的安全模块，其特征是，所述安全模块具有：

-一个第二接口（X1；X2），用于连接所述网络设备，以及

-两个第三接口（120；122；130；132），用于连接所述自动化网络的第二子网（103），

其中，所述安全模块设计用于：通过所述第二接口将通过所述第三接口之一接收的第一数据传输给所述网络设备，

其中，所述安全模块设计用于：通过所述第三接口之一将通过所述第二接口接收的第二数据传输给其它所述设备之一。

13.根据权利要求12所述的安全模块，其特征是，

其中，所述安全模块具有用于连接另一个安全模块的第四接口（124），

其中，所述安全模块设计用于：在运行状态中通过所述第四接口以有规律的时间间隔将控制信息传输给其它所述安全模块，并且

其中，所述控制信息是对于所述安全模块的所述运行状态的提示。

14.一种自动化网络（100），其特征是，所述自动化网络具有分别根据权利要求1至11中任一项所述的至少一个第一网络设备（102）和一个第二网络设备（104）。

15.根据权利要求14所述的自动化网络，其特征是，

其中，所述自动化网络包括第一子网（101）和第二子网（103），

其中，所述第一子网包括第一安全级的第一设备，而所述第二子网包括第二安全级的第二设备，

其中，所述第一安全级高于所述第二安全级，

其中，所述第二子网的所述设备分别通过所述第三接口与所述第一和/或第二网络设备相连接，

其中，所述第一子网的所述设备通过所述第一接口与所述网络设备相连接，

其中，所述第一网络设备设计用于：以有规律的间隔向所述第二网络设备发送第一控制信息，

其中，所述第二网络设备设计用于：以有规律的间隔向所述第一网络设备发送第二控制信息，

其中，所述第一网络设备设计用于：当所述第一网络设备没有接收到所述第二控制信息时，检测对所述第二网络设备的安全模块的攻击，

其中，所述第二网络设备设计用于：当所述第二网络设备没有接收到所述第一控制信息时，检测对所述第一网络设备的安全模块的攻击，

其中，所述第一网络设备设计用于：当检测到对所述第二网络设备的所述安全模块的攻击时，向所述第二网络设备发送第一断开信号，

其中，所述第二网络设备设计用于：在接收所述第一断开信号时中断在所述第一子网的参与者和所述第二子网的参与者之间的每次通信，

其中，所述第二网络设备设计用于：当检测到对所述第一网络设备的所述安全模块的攻击时，向所述第一网络设备发送第二断开信号，

其中，所述第一网络设备设计用于：在接收所述第二断开信号时中断在所述第一子网的参与者和所述第二子网的参与者之间的每次通信。

16.根据权利要求14或15中任一项所述的自动化网络，其特征是，所述第一网络设备和所述第二网络设备设计用于：同时将数据从不安全的所述设备传输给安全的所述设备并且可以反向传输。