DE102019217626A1

DE102019217626A1 - Machine and method for protecting devices in a fieldbus network

Info

Publication number: DE102019217626A1
Application number: DE102019217626.7A
Authority: DE
Inventors: Christian Kaufmann; Julian Hartmann; Julien Rausch; Jose Pedro Magalhaes Reboredo
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2019-11-15
Filing date: 2019-11-15
Publication date: 2021-05-20

Abstract

Es sind eine Maschine (10; 20) und ein Verfahren zum Schutz von Geräten (110; 151 bis 15N; 210; 251 bis 25N) in einem Feldbusnetzwerk (4; 15; 25) bereitgestellt. Die Maschine (10; 20) hat mindestens zwei Geräte (110; 151 bis 15N; 210; 251 bis 25N) zur gemeinsamen Lösung einer Aufgabe, und mindestens einen Feldbus (15; 25) zum Austausch von Daten (40; 41; 42) zwischen den mindestens zwei Geräten (110; 151 bis 15N; 210; 251 bis 25N) der Maschine (10; 20) oder mit einer anderen Maschine (20; 10), wobei mindestens eines der zwei Geräte (110; 210) eine Firewall (113; 213) aufweist, die zwischen ein externes Netzwerk (5) und den mindestens einen Feldbus (15; 25) geschaltet ist, und wobei in der Firewall (113; 213) mindestens eine Filterregel (1131; 2131) einstellbar ist, die bestimmt, ob Daten (50) aus dem externen Netzwerk (5) an den mindestens einen Feldbus (15; 25) weitergeleitet werden oder nicht.

A machine (10; 20) and a method for protecting devices (110; 151 to 15N; 210; 251 to 25N) in a field bus network (4; 15; 25) are provided. The machine (10; 20) has at least two devices (110; 151 to 15N; 210; 251 to 25N) for the common solution of a task, and at least one field bus (15; 25) for the exchange of data (40; 41; 42) between the at least two devices (110; 151 to 15N; 210; 251 to 25N) of the machine (10; 20) or with another machine (20; 10), wherein at least one of the two devices (110; 210) has a firewall ( 113; 213), which is connected between an external network (5) and the at least one field bus (15; 25), and wherein at least one filter rule (1131; 2131) can be set in the firewall (113; 213) which determines whether or not data (50) from the external network (5) are forwarded to the at least one fieldbus (15; 25).

Description

Die vorliegende Erfindung bezieht sich auf eine Vorrichtung und ein Verfahren zum Schutz von Geräten in einem Feldbusnetzwerk.The present invention relates to an apparatus and a method for protecting devices in a field bus network.

In einer Maschine oder einer industriellen Anlage ist eine Vielzahl von Geräten vorhanden, die über ein Feldbusnetzwerk, wie beispielsweise EtherCAT, Sercos III, usw., Daten miteinander austauschen können. Die Daten werden verwendet, damit die Geräte beispielsweise gemeinsam mindestens eine Aufgabe lösen können. Derartige Daten sind insbesondere Sensordaten, also Istwerte aus dem Betrieb der Maschine, oder Steuerbefehle mit Sollwerten zur Steuerung eines Antriebs, oder Ähnliches.A machine or an industrial system has a large number of devices that can exchange data with one another via a fieldbus network such as EtherCAT, Sercos III, etc. The data is used so that the devices can, for example, solve at least one task together. Such data are in particular sensor data, that is to say actual values from the operation of the machine, or control commands with setpoint values for controlling a drive, or the like.

Zudem werden bei einigen Anwendungen Daten an Vorrichtungen übertragen, die extern von der Maschine oder der industriellen Anlage angeordnet sind. Solche Vorrichtungen sind beispielsweise übergeordnete Steuereinrichtungen oder Datenverwaltungssysteme. In den Vorrichtungen werden gegebenenfalls auch Daten von anderen Maschinen oder industriellen Anlagen gespeichert und verwendet.In addition, in some applications, data is transmitted to devices that are external to the machine or the industrial plant. Such devices are, for example, higher-level control devices or data management systems. If necessary, data from other machines or industrial systems are also stored and used in the devices.

Um Daten über Netzwerkgrenzen hinweg zu übertragen, ist es möglich, Datenpakete in einem Übertragungsprotokoll des externen Netzwerks in das Feldbusprotokoll zu tunneln. Hierfür werden die Datenpakete in dem Übertragungsprotokoll des externen Netzwerks als Nutzdaten in das Feldbusprotokoll eingesetzt. Insbesondere können die Daten in einem Übertragungsprotokoll des externen Netzwerks in einen Zeitschlitz des Feldbusprotokolls eingefügt werden. In einem Feldbusgerät können die Daten dann entpackt und mit dem Übertragungsprotokoll des externen Netzwerks interpretiert und dann weiterverwendet werden. In order to transmit data across network boundaries, it is possible to tunnel data packets into the fieldbus protocol in a transmission protocol of the external network. For this purpose, the data packets in the transmission protocol of the external network are used as user data in the fieldbus protocol. In particular, the data can be inserted into a time slot of the fieldbus protocol in a transmission protocol of the external network. The data can then be unpacked in a fieldbus device, interpreted using the transmission protocol of the external network and then used further.

Beispielsweise ist es zur Erfüllung von Echtzeitanforderungen in der Automatisierungstechnik möglich, für einen Feldbus nicht IP-basierte Echtzeitprotokolle (IP = Internet-Protokoll) einzusetzen. Dies wird beispielsweise bei EtherCAT, Sercos III, usw. praktiziert. Diese nicht IP-basierten Echtzeitprotokolle haben in vielen Fällen die Möglichkeit, Daten gemäß IP-basierter Protokolle oder Ethernet-basierter Protokolle, wie ARP (= Address Resolution Protocol, LLDP (= Link Layer Discovery Protocol), zu tunneln oder zeitschlitzbasiert einzuleiten. Somit gelten in dem Feldbusnetzwerk die besonderen Anforderungen an die Zeitvorgaben (Timinganforderungen) des Feldbusses. Weiterhin stehen über einen solchen IP-Kanal die IP-Dienste aller Feldbus-Teilnehmer außerhalb des Maschinennetzes zur Verfügung, indem der Feldbus-Master diese Dienste nach außen exponiert. Dadurch ist beispielsweise, neben anderen Anwendungen, eine Konfiguration der Feldbus-Teilnehmer möglich.For example, in order to meet real-time requirements in automation technology, it is possible to use non-IP-based real-time protocols (IP = Internet Protocol) for a fieldbus. This is practiced with EtherCAT, Sercos III, etc., for example. In many cases, these non-IP-based real-time protocols have the option of tunneling data in accordance with IP-based protocols or Ethernet-based protocols, such as ARP (= Address Resolution Protocol, LLDP (= Link Layer Discovery Protocol)), or introducing them based on time slots In the fieldbus network, the special requirements for the time specifications (timing requirements) of the fieldbus. Furthermore, the IP services of all fieldbus participants outside the machine network are available via such an IP channel, as the fieldbus master exposes these services to the outside world For example, in addition to other applications, it is possible to configure the fieldbus participants.

Problematisch ist, wenn die Daten des externen Netzwerks bzw. die Daten in dem IP-basierten Protokoll oder Ethernet-basierten Protokollen, wie ARP, LLDP, nicht sicher sind bzw. eine Manipulation des Geräts oder der Maschine bewirken. Hierbei sind von extern unerwünschte Daten einspielbar, die beispielsweise Daten von Sensoren der Maschine verfälschen oder andere, schlimmstenfalls falsche, Sollwerte vorgeben. Dadurch kann der Betrieb der Maschine manipuliert werden. Dies führt meist zu mindestens unerwünschten Ergebnissen im Maschinenbetrieb oder sogar zu gefährlichen Zuständen der Maschine. Die Folge können beispielsweise unerwünschte Stillstandszeiten oder sonstiges nicht gewolltes Verhalten der Maschine sein.It is problematic if the data of the external network or the data in the IP-based protocol or Ethernet-based protocols such as ARP, LLDP, are not secure or cause manipulation of the device or the machine. Here, unwanted data can be imported from the outside, for example falsifying data from sensors of the machine or specifying other, in the worst case incorrect, setpoint values. This can manipulate the operation of the machine. This usually leads to at least undesirable results in machine operation or even to dangerous machine states. The consequence can be, for example, undesired downtimes or other undesired behavior of the machine.

Alles dies ist auch in Bezug auf die Sicherheit der Maschinen vor allem im industriellen Umfeld nicht hinnehmbar, in dem vorbestimmte Anforderungen an die Sicherheit bestehen.All of this is unacceptable with regard to the safety of the machines, especially in an industrial environment, in which there are predetermined safety requirements.

Daher ist es Aufgabe der vorliegenden Erfindung, eine Maschine und ein Verfahren zum Schutz von Geräten in einem Feldbusnetzwerk bereitzustellen, mit welchen die zuvor genannten Probleme gelöst werden können. Insbesondere sollen eine Maschine und ein Verfahren zum Schutz von Geräten in einem Feldbusnetzwerk bereitgestellt werden, mit welchen der Betrieb einer Maschine mit großer Sicherheit und ohne ungeplante Stillstandszeiten aufgrund von unsicheren Daten möglich ist.It is therefore the object of the present invention to provide a machine and a method for protecting devices in a field bus network, with which the aforementioned problems can be solved. In particular, a machine and a method for protecting devices in a field bus network are to be provided, with which the operation of a machine is possible with a high degree of safety and without unplanned downtimes due to insecure data.

Die zuvor genannte Aufgabe wird gelöst durch eine Maschine wie in Anspruch 1 beschrieben. Die Maschine hat mindestens zwei Geräte zur gemeinsamen Lösung einer Aufgabe, und mindestens einen Feldbus zum Austausch von Daten zwischen den mindestens zwei Geräten der Maschine oder mit einer anderen Maschine, wobei mindestens eines der zwei Geräte eine Firewall aufweist, die zwischen ein externes Netzwerk und den mindestens einen Feldbus geschaltet ist, und wobei in der Firewall mindestens eine Filterregel einstellbar ist, die bestimmt, ob Daten aus dem externen Netzwerk an den mindestens einen Feldbus weitergeleitet werden oder nicht.The aforementioned object is achieved by a machine as described in claim 1. The machine has at least two devices for jointly solving a task, and at least one field bus for the exchange of data between the at least two devices of the machine or with another machine, with at least one of the two devices having a firewall that connects an external network and the at least one field bus is switched, and at least one filter rule can be set in the firewall that determines whether or not data from the external network is forwarded to the at least one field bus.

Die Maschine ist derart ausgestaltet, dass eine Firewallfunktion vorhanden ist, welche Möglichkeiten zur Abschottung zu mindestens einem externen Netzwerk schafft (Defense in Depths). Dadurch wird der Datenverkehr mit externen Netzwerken gemäß speziellen Filterregeln gefiltert. Eine ungefilterte Weiterleitung von getunnelten IP-Datenpaketen oder Datenpaketen gemäß Ethernet-basierten Protokollen, wie ARP, LLDP, in ein unterlagertes Feldbusnetz ist somit unterbindbar.The machine is designed in such a way that a firewall function is available, which creates options for isolation from at least one external network (defense in depths). As a result, the data traffic with external networks is filtered according to special filter rules. Unfiltered forwarding of tunneled IP data packets or data packets in accordance with Ethernet-based protocols, such as ARP, LLDP, into a subordinate fieldbus network can thus be prevented.

Folglich können mit der Maschine die Daten zu und über Netzwerkgrenzen hinweg bzw. zwischen Netzwerken nicht mehr derart bereitgestellt werden, dass die Daten für jeden einsehbar sind und uneingeschränkt auf einen Feldbus-Teilnehmer, insbesondere ein Feldbusgerät, wirken können. Mit den Filterregeln wird für die Feldbus-Teilnehmer der jeweils benötigte Schutz bereitgestellt. Im Ergebnis können damit die jeweils zu beachtenden Sicherheitsaspekte eingehalten werden. Dadurch ist der bisherige Mangel des transparenten und uneingeschränkten Datenverkehrs oder gar keiner Kommunikation zwischen einem Feldbus-IP-Netzwerk und einem Maschinen-IP-Netzwerk behebbar.As a result, the machine can no longer provide the data to and across network boundaries or between networks in such a way that the data can be viewed by everyone and can act on a fieldbus user, in particular a fieldbus device, without restriction. The filter rules provide the required protection for the fieldbus participants. As a result, the safety aspects to be observed in each case can be complied with. As a result, the previous lack of transparent and unrestricted data traffic or no communication at all between a fieldbus IP network and a machine IP network can be remedied.

Im Ergebnis ist die Manipulation von Daten der Maschine oder eines Maschinenverbunds aus mindestens zwei Maschinen oder von Daten einer technischen Anlage, für welche das Feldbusnetzwerk verwendet wird, durch die Ausgestaltung der Vorrichtung zumindest deutlich schwieriger als bisher. Der Datenverkehr kann selektiv eingeschränkt oder auf das notwendige Mindestmaß beschränkt oder temporär zugelassen werden. In Folge dessen wird die Sicherheit der übergeordneten Maschine oder des Maschinenverbunds oder der technischen Anlage erhöht. Dies trägt darüber hinaus dazu bei, dass Maschinenstillstände so selten und kurz wie möglich gehalten werden können.As a result, the manipulation of data from the machine or a machine network comprising at least two machines or data from a technical system for which the fieldbus network is used is at least significantly more difficult than before due to the design of the device. The data traffic can be selectively restricted or restricted to the necessary minimum or temporarily permitted. As a result, the safety of the higher-level machine or the machine network or the technical system is increased. This also helps ensure that machine downtimes can be kept as infrequent and as short as possible.

Insgesamt gestattet die zuvor beschriebene Maschine einen sehr sicheren und zuverlässigen Betrieb einer Maschine oder eines übergeordneten Maschinenverbunds oder einer übergeordneten industriellen Anlage. Dies resultiert in einem sehr effizienten Betrieb der Maschine und/oder des übergeordneten Maschinenverbunds und/oder der übergeordneten industriellen Anlage.Overall, the machine described above allows very safe and reliable operation of a machine or a higher-level machine network or a higher-level industrial plant. This results in a very efficient operation of the machine and / or the higher-level machine network and / or the higher-level industrial plant.

Vorteilhafte weitere Ausgestaltungen der Maschine sind in den abhängigen Ansprüchen angegeben.Advantageous further configurations of the machine are given in the dependent claims.

Ein Gerät der mindestens zwei Geräte in dem Feldbus kann ein Feldbus-Master sein, wobei mindestens ein Gerät der mindestens zwei Geräte in dem Feldbus ein Feldbus-Slave ist, der dem Feldbus-Master steuerungsmäßig untergeordnet ist, und wobei die Firewall in dem Gerät vor dem Feldbus-Master oder im Feldbus-Master vorgesehen ist.One device of the at least two devices in the fieldbus can be a fieldbus master, with at least one device of the at least two devices in the fieldbus being a fieldbus slave that is subordinate to the fieldbus master in terms of control, and the firewall in the device the fieldbus master or in the fieldbus master.

Gemäß einem Ausführungsbeispiel bestimmt die mindestens eine Filterregel, an welche Adresse der mindestens zwei Geräte die Daten gerichtet sind.According to one embodiment, the at least one filter rule determines the address of the at least two devices to which the data is directed.

Gemäß einem anderen Ausführungsbeispiel berücksichtigt die mindestens eine Filterregel, in welchem Betriebszustand sich die Maschine befindet.According to another exemplary embodiment, the at least one filter rule takes into account the operating state of the machine.

Möglicherweise ist die Firewall ausgestaltet, die Daten aus dem externen Netzwerk nur an den Feldbus weiterzuleiten, wenn sich die Maschine nicht in einem Produktivbetrieb befindet.The firewall may be designed to only forward the data from the external network to the fieldbus when the machine is not in productive operation.

Gemäß noch einem anderen Ausführungsbeispiel bestimmt die mindestens eine Filterregel, ob für die Daten aus dem externen Netzwerk ein Lesezugriff und/oder Schreibzugriff auf mindestens eines der zwei Geräte des mindestens einen Feldbusses zuzulassen ist oder nicht.According to yet another exemplary embodiment, the at least one filter rule determines whether or not read access and / or write access to at least one of the two devices of the at least one fieldbus is to be permitted for the data from the external network.

Optional ist die Firewall derart ausgestaltet, dass mindestens eine Filterregel aus Maschinenergebnissen im Betrieb der Maschine erzeugbar ist.The firewall is optionally designed in such a way that at least one filter rule can be generated from machine results when the machine is in operation.

Möglicherweise ist eines der Geräte eine Steuereinrichtung und ein anderes der Geräte ist eine Antriebseinrichtung oder ein Werkzeug oder eine Transporteinrichtung oder ein Sensor oder ein Aktuator. Hierbei können die Daten der mindestens zwei Geräte Betriebszustandsdaten sein oder einen Steuerbefehl eines Geräts aufweisen.Possibly one of the devices is a control device and another of the devices is a drive device or a tool or a transport device or a sensor or an actuator. In this case, the data of the at least two devices can be operating status data or have a control command from a device.

Denkbar ist, dass die Daten Parameter umfassen, die bei der Steuerung des Antriebs mindestens eines Geräts der Maschine verwendbar sind. Zusätzlich oder alternativ umfassen die Daten eine IP-Adresse und/oder einen Namen des Geräts.It is conceivable that the data include parameters that can be used to control the drive of at least one device of the machine. Additionally or alternatively, the data include an IP address and / or a name of the device.

Mindestens eine zuvor beschriebene Maschine kann Teil eines Systems sein, wobei das externe Netzwerk ausgestaltet ist, Daten mit einem IP-basierten Protokoll auszutauschen.At least one machine described above can be part of a system, the external network being designed to exchange data using an IP-based protocol.

Die zuvor genannte Aufgabe wird zudem durch ein Verfahren zum Schutz von Geräten in einem Feldbusnetzwerk gelöst, wie in Anspruch 12 beschrieben. Das Verfahren wird von einer Maschine ausgeführt, die mindestens zwei Geräte zur gemeinsamen Lösung einer Aufgabe und mindestens einen Feldbus aufweist zum Austausch von Daten zwischen den mindestens zwei Geräten der Maschine oder mit einer anderen Maschine. Das Verfahren hat die Schritte Filtern, mit einer Firewall, von Daten aus einem externen Netzwerk, wobei mindestens eines der zwei Geräte die Firewall aufweist, die zwischen das externe Netzwerk und den mindestens einen Feldbus geschaltet ist, und Bestimmen, mit mindestens einer in der Firewall eingestellten Filterregel, ob Daten aus dem externen Netzwerk an den mindestens einen Feldbus weitergeleitet werden oder nicht.The aforementioned object is also achieved by a method for protecting devices in a field bus network, as described in claim 12. The method is carried out by a machine that has at least two devices for jointly solving a task and at least one field bus for exchanging data between the at least two devices of the machine or with another machine. The method has the steps of filtering, with a firewall, of data from an external network, wherein at least one of the two devices has the firewall, which is connected between the external network and the at least one fieldbus, and determining, with at least one in the firewall set filter rule, whether data from the external network is forwarded to the at least one fieldbus or not.

Das Verfahren erzielt die gleichen Vorteile, wie sie zuvor in Bezug auf die Maschine genannt sind.The method achieves the same advantages as mentioned above with regard to the machine.

Weitere mögliche Implementierungen der Erfindung umfassen auch nicht explizit genannte Kombinationen von zuvor oder im Folgenden bezüglich der Ausführungsbeispiele beschriebenen Merkmale oder Ausführungsformen. Dabei wird der Fachmann auch Einzelaspekte als Verbesserungen oder Ergänzungen zu der jeweiligen Grundform der Erfindung hinzufügen.Further possible implementations of the invention also include those that are not explicitly mentioned Combinations of features or embodiments described above or below with regard to the exemplary embodiments. The person skilled in the art will also add individual aspects as improvements or additions to the respective basic form of the invention.

Nachfolgend ist die Erfindung unter Bezugnahme auf die beiliegende Zeichnung und anhand von Ausführungsbeispielen näher beschrieben. Es zeigt:

1 zeigt ein Blockschaltbild eines Systems mit mehreren Maschinen gemäß einem ersten Ausführungsbeispiel.

The invention is described in more detail below with reference to the accompanying drawings and with the aid of exemplary embodiments. It shows:

1 FIG. 11 shows a block diagram of a system with multiple machines according to a first exemplary embodiment.

In den Figuren sind gleiche oder funktionsgleiche Elemente, sofern nichts Anderes angegeben ist, mit denselben Bezugszeichen versehen.In the figures, elements that are the same or have the same function are provided with the same reference symbols unless otherwise specified.

1 zeigt schematisch ein System 1 gemäß einem ersten Ausführungsbeispiel, in dem Gegenstände 2, 3 behandelt werden können. Das System 1 hat eine erste und eine zweite Maschine 10, 20 und eine übergeordnete Vorrichtung 30. Die Maschinen 10, 20 sind über eine Kommunikationsverbindung 4 miteinander verbunden, so dass die Maschinen 10, 20 Daten 40 austauschen können. Außerdem sind die Maschinen 10, 20 und die Vorrichtung 30 mit einem externen Netzwerk 5 verbunden, mit dem auch externe Vorrichtungen 6, 7 verbunden sind. Dadurch kann beispielsweise die Vorrichtung 30 Daten 50 an mindestens eine der Maschinen 10, 20 senden. Zudem kann mindestens eine der externen Vorrichtungen 6, 7 an das System 1, insbesondere eine der Maschinen 10, 20 und/oder an die Vorrichtung 30, Daten 50 senden. Das externe Netzwerk 5 ist insbesondere das Internet oder Intranet, in dem Daten gemäß dem Internet-Protokoll (IP) versendet werden. Das System 1 ist von einem Benutzer 8 bedienbar. 1 shows schematically a system 1 according to a first embodiment, in which objects 2 , 3 can be treated. The system 1 has a first and a second machine 10 , 20th and a superordinate device 30th . The machines 10 , 20th are via a communication link 4th interconnected so that the machines 10 , 20th Data 40 can exchange. Besides, the machines are 10 , 20th and the device 30th with an external network 5 connected, with which also external devices 6th , 7th are connected. As a result, for example, the device 30th Data 50 to at least one of the machines 10 , 20th send. In addition, at least one of the external devices 6th , 7th to the system 1 , especially one of the machines 10 , 20th and / or to the device 30th , Data 50 send. The external network 5 is especially the Internet or Intranet, in which data is sent in accordance with the Internet Protocol (IP). The system 1 is from a user 8th operable.

Das System 1 ist insbesondere eine industrielle Anlage. Eine industrielle Anlage ist beispielsweise eine Demontage und/oder Montageanlage oder eine sonstige Fertigungsanlage, in der Gegenstände 2, 3 aus mindestens einem einzelnen Bauteil behandelt, wie lackiert oder geschliffen, optisch oder auf eine andere Art inspiziert, gehäckselt, usw. oder in irgendeiner Art gefertigt werden und/oder Gegenstände 2, 3 aus mindestens zwei Bauteilen montiert und/oder demontiert werden. Hierbei können verschiedene Behandlungsverfahren zum Einsatz kommen, wie Fügeverfahren, insbesondere Schweißen, Schrauben, Nieten, Nageln, usw. oder Techniken, wie Sägen, Ätzen, Stanzen, Pressen, Bohren, Laminieren, Schmelzen, Drucken, usw.The system 1 is in particular an industrial plant. An industrial plant is, for example, a dismantling and / or assembly plant or some other manufacturing plant in which objects 2 , 3 treated from at least one single component, such as painted or sanded, optically or in any other way inspected, chopped, etc. or manufactured in any way and / or objects 2 , 3 be assembled and / or disassembled from at least two components. Various treatment processes can be used here, such as joining processes, in particular welding, screwing, riveting, nailing, etc. or techniques such as sawing, etching, punching, pressing, drilling, lamination, melting, printing, etc.

Die Maschinen 10, 20 können beispielsweise eine Transportmaschine 10 zum Transport von Bauteilen zu einer Fügemaschine 20 bilden. In diesem Fall bilden die Maschinen 10, 20 einen Maschinenverbund. Mit den Maschinen 10, 20 könnten die Gegenstände 2 derart bearbeitet werden, dass daraus Gegenstände 3 hergestellt werden. Selbstverständlich sind andere Beispiele denkbar.The machines 10 , 20th can for example be a transport machine 10 for transporting components to a joining machine 20th form. In this case the machines form 10 , 20th a machine network. With the machines 10 , 20th could the items 2 are processed in such a way that objects 3 getting produced. Other examples are of course conceivable.

Die Maschine 10 hat eine Steuervorrichtung 11 und ein Feldbusnetzwerk, das nachfolgend kurz Feldbus 15 genannt ist. Der Feldbus 15 verbindet mindestens zwei Geräte der Maschine 10. Die mindestens zwei Geräte der Maschine 10 sind Feldbus-Teilnehmer des Feldbusses 15. Bei den mindestens zwei Geräten der Maschine 10 ist ein Gerät der Feldbus-Master 150 und mindestens ein Gerät ist ein Feldbus-Slave. Die Maschine 10 hat als Beispiel einen ersten bis N-ten Feldbus-Slave 151 bis 15N. Der Feldbus-Master 150 ist dem ersten bis N-ten Feldbus-Slave 151 bis 15N steuerungsmäßig übergeordnet. In dem Feldbus 15 werden Daten 41 gemäß einem vorbestimmten Feldbusprotokoll versendet. Der Feldbus ist beispielsweise Ethercat, Sercos III, usw. oder ein sonstiger Feldbus.The machine 10 has a control device 11 and a fieldbus network, hereinafter referred to as fieldbus 15th is called. The fieldbus 15th connects at least two devices of the machine 10 . The at least two devices of the machine 10 are fieldbus users of the fieldbus 15th . With at least two devices in the machine 10 is a device of the fieldbus master 150 and at least one device is a fieldbus slave. The machine 10 has a first to Nth fieldbus slave as an example 151 to 15N . The fieldbus master 150 is the first to the Nth fieldbus slave 151 to 15N superordinate in terms of control. In the fieldbus 15th become data 41 sent according to a predetermined fieldbus protocol. The field bus is, for example, Ethercat, Sercos III, etc. or another field bus.

Die Steuervorrichtung 11 hat eine Paketweiterleitungseinrichtung 110 und eine IP-Daten-Behandlungseinrichtung 115. Zudem ist die Funktion des Feldbus-Masters 150 der Steuervorrichtung 11 zugeordnet. Die Paketweiterleitungseinrichtung 110, die IP-Daten-Behandlungseinrichtung 115 und der Feldbus-Master 150 sind optional Teil eines Betriebssystems der Steuervorrichtung 11. Die Paketweiterleitungseinrichtung 110 ist Teil einer Schnittstelle zur Filterung der Daten 50, die Daten gemäß dem Internet-Protokoll (IP) bzw. kurz IP-Daten sind. In der Paketweiterleitungseinrichtung 110 ist ein erster Netzwerkkoppler 111 zum Anschluss an den Feldbus 15 vorgesehen. Zudem ist in der Paketweiterleitungseinrichtung 110 ein zweiter Netzwerkkoppler 112 zum Anschluss an das externe Netzwerk 5 vorgesehen. Außerdem hat die Paketweiterleitungseinrichtung 110 eine Firewall 113. Die Firewall 113 ist zwischen den ersten und zweiten Netzwerkkoppler 111, 112 geschaltet.The control device 11 has a packet forwarder 110 and an IP data handler 115 . In addition, the function of the fieldbus master 150 the control device 11 assigned. The packet forwarder 110 , the IP data handler 115 and the fieldbus master 150 are optionally part of an operating system of the control device 11 . The packet forwarder 110 is part of an interface for filtering the data 50 , which are data according to the Internet Protocol (IP) or IP data for short. In the packet forwarder 110 is a first network coupler 111 for connection to the fieldbus 15th intended. It is also in the packet forwarding facility 110 a second network coupler 112 for connection to the external network 5 intended. In addition, the packet forwarder has 110 a firewall 113 . The firewall 113 is between the first and second network coupler 111 , 112 switched.

Die Maschine 20 hat eine Steuervorrichtung 21 und ein Feldbusnetzwerk, das nachfolgend kurz Feldbus 25 genannt ist. Der Feldbus 25 verbindet mindestens zwei Geräte der Maschine 20. Die mindestens zwei Geräte der Maschine 20 sind Feldbus-Teilnehmer des Feldbusses 25. Bei den mindestens zwei Geräten der Maschine 20 ist ein Gerät der Feldbus-Master 250 und mindestens ein Gerät ist ein Feldbus-Slave. Die Maschine 20 hat als Beispiel einen ersten bis N-ten Feldbus-Slave 251 bis 25N. Der Feldbus-Master 250 ist dem ersten bis N-ten Feldbus-Slave 251 bis 25N steuerungsmäßig übergeordnet. In dem Feldbus 25 werden Daten 42 gemäß einem vorbestimmten Feldbusprotokoll versendet. Der Feldbus ist beispielsweise Ethercat, Sercos III, usw. oder ein sonstiger Feldbus.The machine 20th has a control device 21 and a fieldbus network, hereinafter referred to as fieldbus 25th is called. The fieldbus 25th connects at least two devices of the machine 20th . The at least two devices of the machine 20th are fieldbus users of the fieldbus 25th . With at least two devices in the machine 20th is a device of the fieldbus master 250 and at least one device is a fieldbus slave. The machine 20th has a first to Nth fieldbus slave as an example 251 to 25N . The fieldbus master 250 is the first to the Nth fieldbus slave 251 to 25N superordinate in terms of control. In the fieldbus 25th become data 42 sent according to a predetermined fieldbus protocol. The field bus is, for example, Ethercat, Sercos III, etc. or another field bus.

Die Steuervorrichtung 21 hat eine Paketweiterleitungseinrichtung 210 und eine IP-Daten-Behandlungseinrichtung 215. Zudem ist die Funktion des Feldbus-Masters 250 der Steuervorrichtung 21 zugeordnet. Die Paketweiterleitungseinrichtung 210, die IP-Daten-Behandlungseinrichtung 215 und der Feldbus-Master 250 sind optional Teil eines Betriebssystems der Steuervorrichtung 11. Die Paketweiterleitungseinrichtung 210 ist Teil einer virtuellen Schnittstelle zur Filterung der Daten 50 bzw. IP-Daten. In der Paketweiterleitungseinrichtung 210 ist ein erster Netzwerkkoppler 211 zum Anschluss an den Feldbus 25 vorgesehen. Zudem ist in der Paketweiterleitungseinrichtung 210 ein zweiter Netzwerkkoppler 212 zum Anschluss an das externe Netzwerk 5 vorgesehen. Außerdem hat die Paketweiterleitungseinrichtung 210 eine Firewall 213. Die Firewall 213 ist zwischen den ersten und zweiten Netzwerkkoppler 211, 212 geschaltet.The control device 21 has a packet forwarder 210 and an IP data handler 215 . In addition, the function of the fieldbus master 250 the control device 21 assigned. The packet forwarder 210 , the IP data handler 215 and the fieldbus master 250 are optionally part of an operating system of the control device 11 . The packet forwarder 210 is part of a virtual interface for filtering the data 50 or IP data. In the packet forwarder 210 is a first network coupler 211 for connection to the fieldbus 25th intended. It is also in the packet forwarding facility 210 a second network coupler 212 for connection to the external network 5 intended. In addition, the packet forwarder has 210 a firewall 213 . The firewall 213 is between the first and second network coupler 211 , 212 switched.

Die Kommunikationsverbindung 4 verbindet somit den Feldbus 15 der Maschine 10 als ein erstes Netzwerk und den Feldbus 25 der Maschine 20 als ein zweites Netzwerk. Somit werden auch die Daten 40 über die Kommunikationsverbindung 4 gemäß dem vorbestimmten Feldbusprotokoll versendet. Die Kommunikationsverbindung 4 kann drahtgebunden und/oder drahtlos ausgeführt sein. Zusätzlich oder alternativ ist der Feldbus 15 drahtgebunden und/oder drahtlos ausgeführt.The communication link 4th thus connects the fieldbus 15th the machine 10 as a first network and the fieldbus 25th the machine 20th as a second network. Thus, the data 40 over the communication link 4th sent according to the predetermined fieldbus protocol. The communication link 4th can be wired and / or wireless. The fieldbus is also or alternatively 15th wired and / or wireless.

In dem externen Netzwerk 5 wird mit einem anderen Kommunikationsprotokoll kommuniziert als über die Kommunikationsverbindung 4 bzw. in den Feldbussen 15, 25. In dem externen Netzwerk 5 werden insbesondere IP-basierte Protokolle (IP = Internet-Protokoll) zur Kommunikation verwendet, oder beispielsweise Ethernet, usw. oder TSN-Fähigkeiten (TSN = Time-Sensitive Networking = zeitempfindliches Netzwerken) verwendet. Das externe Netzwerk 5 kann drahtgebunden und/oder drahtlos ausgeführt sein.In the external network 5 is communicated with a different communication protocol than via the communication link 4th or in the field buses 15th , 25th . In the external network 5 In particular, IP-based protocols (IP = Internet Protocol) are used for communication, or, for example, Ethernet, etc. or TSN capabilities (TSN = Time-Sensitive Networking) are used. The external network 5 can be wired and / or wireless.

Die Vorrichtungen 6, 7 sind beliebige Vorrichtungen, die mit dem externen Netzwerk 5 verbunden sind.The devices 6th , 7th are any devices that are connected to the external network 5 are connected.

Die Vorrichtung 30 kann eine Steuervorrichtung sein, die mindestens einer der Maschinen 10, 20 übergeordnet ist. Die Vorrichtung 30 ist beispielsweise eine übergeordnete Steuervorrichtung und/oder ein Datenverwaltungssystem und/oder ein zentrales Rechensystem einer Firma, das mit mehreren Firmenstandorten verbunden ist, an denen verschiedene Maschinen 10, 20 und/oder einzelne Maschinen 10, 20 aufgestellt sind. Alternativ ist die Vorrichtung 30 eine Cloud. In der Vorrichtung 30 werden gegebenenfalls auch Daten von anderen Maschinen oder industriellen Anlagen gespeichert und verwendet. The device 30th may be a control device that controls at least one of the machines 10 , 20th is superior. The device 30th is, for example, a higher-level control device and / or a data management system and / or a central computing system of a company that is connected to several company locations where different machines 10 , 20th and / or individual machines 10 , 20th are set up. Alternatively, the device is 30th a cloud. In the device 30th If necessary, data from other machines or industrial systems are also stored and used.

Dadurch ist sowohl in jeder Maschine 10, 20 als auch bei der extern angeordneten Vorrichtung 30 eine Vielzahl von Daten zu verwalten.This is both in every machine 10 , 20th as well as in the externally arranged device 30th manage a variety of data.

Bei der Maschine 10 kann der erste Netzwerkkoppler 111 als Router oder Switch oder ein sonstiges Gerät ausgeführt sein, der/das Datenpakete zwischen der Firewall 113 und dem Feldbus 15 weiterleiten kann. Der zweite Netzwerkkoppler 112 kann als Router oder Switch oder ein sonstiges Gerät ausgeführt sein, der Datenpakete zwischen der Firewall 113 und dem externen Netzwerk 5 weiterleiten kann.At the machine 10 can the first network coupler 111 be designed as a router or switch or some other device that carries data packets between the firewall 113 and the fieldbus 15th can forward. The second network coupler 112 can be implemented as a router or switch or some other device, the data packets between the firewall 113 and the external network 5 can forward.

Bei der Maschine 20 kann der erste Netzwerkkoppler 211 als Router oder Switch oder ein sonstiges Gerät ausgeführt sein, der Datenpakete zwischen der Firewall 213 und dem Feldbus 25 weiterleiten kann. Der zweite Netzwerkkoppler 212 kann als Router oder Switch oder ein sonstiges Gerät ausgeführt sein, der Datenpakete zwischen der Firewall 213 und dem externen Netzwerk 5 weiterleiten kann.At the machine 20th can the first network coupler 211 be designed as a router or switch or other device, the data packets between the firewall 213 and the fieldbus 25th can forward. The second network coupler 212 can be implemented as a router or switch or some other device, the data packets between the firewall 213 and the external network 5 can forward.

Die Firewall 213 hat dieselbe Funktion wie die Firewall 113, so dass die nachfolgende Beschreibung der Firewall 113 und der Steuervorrichtung 110 auch für die Firewall 213 und die Steuervorrichtung 210 gilt.The firewall 213 has the same function as the firewall 113 so the following description of the firewall 113 and the control device 110 also for the firewall 213 and the control device 210 applies.

Die Firewall 113 ist in der Steuervorrichtung 110, dem Gerät des Feldbus-Masters 150, vor der virtuellen Feldbus-IP-Schnittstelle angeordnet. Somit ist die Firewall 113 am Übergang zwischen Maschinen-IP-Netzwerk und dem Feldbus-IP-Netzwerk in dem Gerät des Feldbus-Masters 150 angeordnet. Dadurch werden keine Feldbus-Telegramme oder Daten 40, 41, 42 gefiltert, sondern an die Geräte der Feldbus-Teilnehmer 150 bis 15N, 250 bis 25N adressierte IP-Telegramme.The firewall 113 is in the control device 110 , the device of the fieldbus master 150 , arranged in front of the virtual fieldbus IP interface. Thus is the firewall 113 at the transition between the machine IP network and the fieldbus IP network in the device of the fieldbus master 150 arranged. This means that no fieldbus telegrams or data are sent 40 , 41 , 42 filtered, but to the devices of the fieldbus participants 150 to 15N , 250 to 25N addressed IP telegrams.

Im Betriebssystem der Steuervorrichtung 110 werden die Daten 50 bzw. IP-Telegramme aus dem externen Netzwerk 5 mittels der Firewall 113 gefiltert. Dabei filtert die Firewall 113 die Daten 50 gemäß vorbestimmten Filterregeln 1131. Derartige Filterregeln 1131 sind bei dem vorliegenden Ausführungsbeispiel Identifikationsmerkmale, wie beispielsweise MAC-Adressen, IP-Adressen, TCP-/UDP-Anschlüsse (Ports), feldbusspezifische Adressen oder sonstige Merkmale zur Identifikation des Absenders der Daten 50. Hierbei steht MAC für Media Access Control, TCP für Transmission Control Protocol, ein Transportprotokoll im Internet und UDP für User Datagram Protocol, ein Netzwerkprotokoll.In the operating system of the control device 110 will be the data 50 or IP telegrams from the external network 5 using the firewall 113 filtered. The firewall filters the process 113 the data 50 according to predetermined filter rules 1131 . Such filter rules 1131 are identification features in the present exemplary embodiment, such as MAC addresses, IP addresses, TCP / UDP connections (ports), fieldbus-specific addresses or other features for identifying the sender of the data 50 . MAC stands for Media Access Control, TCP for Transmission Control Protocol, a transport protocol on the Internet, and UDP for User Datagram Protocol, a network protocol.

In diesem Fall führt die Firewall 113 nur eine Analyse der Daten 50 in Bezug auf Adressdaten und/oder den Adressaten der Daten 50 durch. Jedoch führt die Firewall 113 nur optional eine Analyse des Inhalts von Nutzdaten der Daten 50 durch.In this case the firewall performs 113 just an analysis of the data 50 with regard to address data and / or the addressee of the data 50 by. However, the firewall does 113 only optionally an analysis of the content of user data of the data 50 by.

Die Filterregeln 1131 der Firewall 113 sind von dem Benutzer 8 einstellbar. Alternativ oder zusätzlich können sich die Filterregeln 1131 der Firewall 113 anhand von Maschinenereignissen automatisch einstellen. In diesem Fall ist die Firewall 113 selbstlernend. Solche Maschinenereignisse können beispielsweise sein, dass die Maschine 10 in einen Fehlerzustand geht, nachdem Daten 50 ausgeführt wurden, dass eine Nutzerinteraktion via SPS (Speicherprogrammierbare Steuerung) oder anderen Anwendungen (Applikationen) stattgefunden hat, dass die Maschine 10 zeitgesteuert deaktivierbar ist, wie beispielsweise Maschinenereignis = Zeit x ist abgelaufen, z. B. Wartungszugang; dass Netzwerk-basierende Angriffe erkannt werden,, z.B. DDoS oder bestimmte neue Angriffsmuster. Die Angriffe können ggf. in der Maschine 10 erkannt werden oder außerhalb, und die Regel wird dann injiziert.The filter rules 1131 the firewall 113 are from the user 8th adjustable. Alternatively or in addition, the filter rules 1131 the firewall 113 automatically set based on machine events. In this case the firewall is 113 self-learning. Such machine events can be, for example, that the machine 10 goes into an error state after data 50 have been carried out, that a user interaction via PLC (programmable logic controller) or other applications (applications) has taken place that the machine 10 can be deactivated in a time-controlled manner, such as machine event = time x has expired, e.g. B. Maintenance Access; that network-based attacks are recognized, e.g. DDoS or certain new attack patterns. The attacks can possibly be in the machine 10 recognized or outside, and the rule is then injected.

Lässt die Firewall 113 nach Prüfung oder Filterung der Daten 50 mit den Filterregeln 1131 die Daten 50 zu dem ersten Netzwerkkoppler 111 durch, leitet der erste Netzwerkkoppler 111 die Daten 50 zu der IP-Daten-Behandlungseinrichtung 115. Die IP-Daten-Behandlungseinrichtung 115 wandelt die Daten 50 in ein Format, das an den Feldbus-Master 150 weitergeleitet wird.Leaves the firewall 113 after checking or filtering the data 50 with the filter rules 1131 the data 50 to the first network coupler 111 through, the first network coupler conducts 111 the data 50 to the IP data handling facility 115 . The IP data handling facility 115 converts the data 50 in a format that is sent to the fieldbus master 150 is forwarded.

Die IP-Daten-Behandlungseinrichtung 115 und/oder der Feldbus-Master 150 entpackt oder verpackt die Daten 50 in Feldbus-Telegramme bzw. Daten 41 oder schleust die Daten 50 in den passenden Zeitschlitz des Feldbusprotokolls ein. Die Daten 50 kommen zum Beispiel aus einem IP-Stapel (IP-Stack) bei dem zweiten Netzwerkkoppler 112 und somit des Betriebssystems der Steuervorrichtung 11. In diesem Fall wurden die Daten 50 von dem externen Netzwerk 5 empfangen und werden in Daten 41 an den Feldbus 15 versendet. Oder die Daten 50 werden von dem Feldbus-Master 150 und/oder der IP-Daten-Behandlungseinrichtung 115 an einen IP-Stapel (I P-Stack) bei dem ersten oder zweiten Netzwerkkoppler 111, 112 und somit des Betriebssystems der Steuervorrichtung 11 weitergegeben. In diesem Fall werden Daten 41 von dem Feldbus 15 an das externe Netzwerk 5 versendet.The IP data handling facility 115 and / or the fieldbus master 150 unpacks or packs the data 50 in fieldbus telegrams or data 41 or channel the data 50 into the appropriate time slot of the fieldbus protocol. The data 50 come, for example, from an IP stack at the second network coupler 112 and thus the operating system of the control device 11 . In this case the data was 50 from the external network 5 received and become in data 41 to the fieldbus 15th sent. Or the data 50 are from the fieldbus master 150 and / or the IP data handling facility 115 to an IP stack (IP stack) at the first or second network coupler 111 , 112 and thus the operating system of the control device 11 passed on. In this case, data 41 from the fieldbus 15th to the external network 5 sent.

Im Betrieb der Maschine 10 tauschen die Feldbusgeräte 150 bis 15N untereinander Daten 41 aus. Zudem tauschen im Betrieb der Maschine 20 die Feldbusgeräte 250 bis 25N untereinander Daten 42 aus. Die Daten 40, 41, 42 können Parameter oder Messwerte umfassen, die beispielsweise bei der Steuerung eines Antriebs von mindestens einem Element der Maschine 10, 20, wie einer Achse oder Welle, usw. verwendbar sind. Die Daten 40, 41, 42 umfassen eine Feldbusadresse und/oder einen Namen des mindestens einen Geräts 150 bis 15N, 250 bis 25N. Dadurch sind die Daten 40, 41, 42 noch genauer spezifizierbar.In operation of the machine 10 exchange the fieldbus devices 150 to 15N each other data 41 out. In addition, swap while the machine is in operation 20th the fieldbus devices 250 to 25N each other data 42 out. The data 40 , 41 , 42 can include parameters or measured values, for example when controlling a drive of at least one element of the machine 10 , 20th , such as an axis or shaft, etc. can be used. The data 40 , 41 , 42 include a fieldbus address and / or a name of the at least one device 150 to 15N , 250 to 25N . This is the data 40 , 41 , 42 can be specified even more precisely.

Somit schafft das System 1 bzw. deren Maschinen 10, 20 die Möglichkeit, für jeden einzelnen Feldbus-Teilnehmer 150 bis 15N, 250 bis 25N bzw. die Geräte der Maschine 10 festzulegen, ob ein Datenzugriff mittels IP-basierter Protokolle auf das Feldbusnetzwerk 4, 15, 25 zu verhindern oder freizugeben ist. Dadurch ist der Datenzugriff mittels IP-basierter Protokolle für das Feldbusnetzwerk 4, 15, 25 des Systems 1 feingranular festlegbar.Thus the system creates 1 or their machines 10 , 20th the possibility for each individual fieldbus participant 150 to 15N , 250 to 25N or the devices of the machine 10 determine whether data access to the fieldbus network using IP-based protocols 4th , 15th , 25th is to be prevented or released. This enables data access using IP-based protocols for the fieldbus network 4th , 15th , 25th of the system 1 can be defined with fine granularity.

Dadurch kann die Firewall 113 mit den Filterregeln 1131 eine Einschränkung oder Blockierung des IP-Verkehrs nur für einzelne oder für alle Feldbus-Teilnehmer 150 bis 15N vornehmen. Damit kann das Feldbusnetzwerk 4, 15, 25 des Systems 1 optional komplett von dem externen Netzwerk 5 getrennt werden.This allows the firewall 113 with the filter rules 1131 a restriction or blocking of the IP traffic only for individual or for all fieldbus participants 150 to 15N make. This enables the fieldbus network 4th , 15th , 25th of the system 1 optionally completely from the external network 5 be separated.

Gemäß einem zweiten Ausführungsbeispiel hat die Firewall 113 Filterregeln 1131, die den Betriebszustand der Maschine 10 berücksichtigen. Optional ist die Firewall 213 auf dieselbe Weise ausgeführt.According to a second exemplary embodiment, the firewall 113 Filter rules 1131 showing the operating status of the machine 10 consider. The firewall is optional 213 done in the same way.

Der Betriebszustand der Maschine 10 kann beispielsweise die Inbetriebnahme der Maschine 10 oder der Produktivbetrieb der Maschine 10 oder ein vorbestimmter Teilproduktivbetrieb der Maschine 10 oder ein Fehlerzustand der Maschine 10 sein. In dem Produktivbetrieb der Maschine 10 wird mit der Maschine 10 eine Produktion ausgeführt, also beispielsweise Gegenstände 2 bearbeitet. Selbstverständlich sind je nach Maschine 10 andere Betriebszustände der Maschine 10 möglich.The operating status of the machine 10 can, for example, commission the machine 10 or the productive operation of the machine 10 or a predetermined partial productive operation of the machine 10 or an error condition of the machine 10 be. In the productive operation of the machine 10 is with the machine 10 a production carried out, for example objects 2 processed. Of course, depending on the machine 10 other operating states of the machine 10 possible.

Beispielweise sind die Filterregeln 1131 derart ausgestaltet, dass die Firewall 113 die Daten 50 nur über den Netzwerkkoppler 111 in den Feldbus 15 weiterleitet, wenn eine Inbetriebnahme der Maschine 10 vorliegt.For example are the filter rules 1131 designed in such a way that the firewall 113 the data 50 only via the network coupler 111 in the fieldbus 15th forwards when a commissioning of the machine 10 is present.

Gemäß einem anderen Beispiel sind die Filterregeln 1131 derart ausgestaltet, dass die Firewall 113 die Daten 50 über den Netzwerkkoppler 111 nicht in den Feldbus 15 weiterleitet, wenn ein Produktivbetrieb der Maschine 10 vorliegt. Hierbei kann mit den Filterregeln 1131 zusätzlich oder alternativ geprüft werden, ob ein vorbestimmter Teilproduktivbetrieb der Maschine 10 vorliegt, beispielsweise, wenn eine vorbestimmte Achse der Maschine 10 angetrieben wird, um beispielsweise Flüssigkeiten zu mischen, usw.According to another example, the filter rules are 1131 designed in such a way that the firewall 113 the data 50 via the network coupler 111 not in the fieldbus 15th forwards when the machine is productive 10 is present. Here you can use the filter rules 1131 Additionally or alternatively, it can be checked whether a predetermined partial productive operation of the machine 10 exists, for example, when a predetermined axis of the machine 10 driven to mix liquids, etc.

Demzufolge richtet sich der Zustand der Firewall 113 danach, in welchem Betriebszustand sich die Maschine 10 befindet. Der Zustand der Firewall 113 ist beispielsweise, ob Pakete der Daten 50 grundsätzlich in den Feldbus 15 weitergeleitet werden oder nicht,The state of the firewall is determined accordingly 113 depending on the operating status of the machine 10 is located. The state of the firewall 113 is for example whether packets of data 50 basically in the fieldbus 15th be forwarded or not,

Somit kann die Firewall 113 in einem Produktivbetrieb der Maschine 10 das externe Netzwerk 5 optional vollständig abschirmen. Alternativ kann die Firewall 113 in einem Produktivbetrieb der Maschine 10 nur ein vorbestimmtes Kommunikationsprotokoll für Zugriffe auf den Feldbus 15 erlauben.Thus, the firewall 113 in a productive operation of the machine 10 the external network 5 optionally shield completely. Alternatively, the firewall 113 in a productive operation of the machine 10 only a predetermined communication protocol for access to the fieldbus 15th allow.

Ansonsten ist das System 1 gemäß dem vorliegenden Ausführungsbeispiel auf die gleiche Weise aufgebaut, wie zuvor in Bezug auf das erste Ausführungsbeispiel beschrieben.Otherwise the system is 1 according to the present embodiment is constructed in the same manner as previously described with respect to the first embodiment.

Gemäß einem dritten Ausführungsbeispiel hat die Firewall 113 Filterregeln 1131, die auf einzelne Feldbus-Teilnehmerdienste und deren Teilfunktionalität (Deep-Packet Inspection) filtern. Hierbei wertet die Firewall 113 den Inhalt der Daten 50 aus, um zu bestimmen, ob die Daten 50 in den Feldbus 15 weiterzuleiten sind oder nicht.According to a third exemplary embodiment, the firewall 113 Filter rules 1131 that filter for individual fieldbus subscriber services and their partial functionality (deep packet inspection). The firewall evaluates this 113 the content of the data 50 out to determine if the data 50 in the fieldbus 15th to be forwarded or not.

Beispielsweise kann die Firewall 113 mit Hilfe der Filterregeln 1131 bestimmen, dass an einen vorbestimmten Feldbus-Slave der Feldbus-Slaves 151 bis 15N keine Daten 50 weiterzuleiten sind. Die Nichtweiterleitung wird dabei aufgrund der Funktion bestimmt, die der vorbestimmte Feldbus-Slave ausführt. Insbesondere ist das Gerät des vorbestimmten Feldbus-Slaves ein Sensor oder ein Drehgeber oder ein Aktor.For example, the firewall 113 with the help of the filter rules 1131 determine that to a predetermined fieldbus slave the fieldbus slave 151 to 15N no data 50 are to be forwarded. The non-forwarding is determined on the basis of the function that the predetermined fieldbus slave performs. In particular, the device of the predetermined fieldbus slave is a sensor or a rotary encoder or an actuator.

Insbesondere ist es möglich, dass mit Hilfe der Filterregeln 1131 in einem vorbestimmten Produktivbetrieb der Maschine 10 nur ein lesender Zugriff auf Daten 41 mit einem bestimmten Protokoll und Protokolldienst erlaubt ist.In particular, it is possible that with the help of the filter rules 1131 in a predetermined productive operation of the machine 10 only read access to data 41 with a certain protocol and protocol service is allowed.

Insbesondere ist es möglich, dass mit Hilfe der Filterregeln 1131 nur bei einem vorbestimmten Produktivbetrieb der Maschine 10 ein schreibender und lesender Zugriff auf Daten 41 mit einem bestimmten Protokoll und Protokolldienst erlaubt ist.In particular, it is possible that with the help of the filter rules 1131 only with a predetermined productive operation of the machine 10 write and read access to data 41 with a certain protocol and protocol service is allowed.

Dadurch kann die Firewall 113 geräteabhängige und/oder betriebsartabhängige Lese-/Schreibrechte für die Feldbus-Teilnehmer 150 bis 15N vorgeben. Damit kann die Firewall 113 selektive Lese-/Schreibrechte vorgeben.This allows the firewall 113 Device-dependent and / or operating mode-dependent read / write rights for the fieldbus participants 150 to 15N pretend. This allows the firewall 113 Specify selective read / write rights.

Alle zuvor beschriebenen Ausgestaltungen des Systems 1, der Maschinen 10, 20 und des damit durchführbaren und zuvor beschriebenen Verfahrens können einzeln oder in allen möglichen Kombinationen Verwendung finden. Insbesondere können alle Merkmale und/oder Funktionen der zuvor beschriebenen Ausführungsbeispiele beliebig kombiniert werden. Zusätzlich sind insbesondere folgende Modifikationen denkbar.All the previously described configurations of the system 1 , the machines 10 , 20th and the method that can be carried out with it and described above can be used individually or in all possible combinations. In particular, all of the features and / or functions of the exemplary embodiments described above can be combined as desired. In addition, the following modifications in particular are conceivable.

Die in den Figuren dargestellten Teile sind schematisch dargestellt und können in der genauen Ausgestaltung von den in den Figuren gezeigten Formen abweichen, solange deren zuvor beschriebenen Funktionen gewährleistet sind.The parts shown in the figures are shown schematically and may differ in the exact configuration from the forms shown in the figures, as long as their functions described above are guaranteed.

Beispielsweise kann die Kommunikation, mit anderen Worten, der Austausch von Daten 40, 41, 42, 50, in dem System 1 zumindest teilweise drahtgebunden oder zumindest teilweise drahtlos erfolgen.For example, communication, in other words, the exchange of data 40 , 41 , 42 , 50 , in the system 1 at least partially wired or at least partially wireless.

Möglicherweise können alternativ oder zusätzlich Mittel zur Realisierung einer Nahfeldkommunikation und/oder einer Fernfeldkommunikation vorgesehen sein, welche während einer Grundparametrierung mindestens einer der Maschinen 10, 20 auswählbar sind/ist und deren Funkradius mittels einstellbarer Funkmodulparameter einstellbar ist.As an alternative or in addition, means for realizing a near-field communication and / or a far-field communication can possibly be provided, which during a basic parameterization of at least one of the machines 10 , 20th are / is selectable and their radio radius can be set using adjustable radio module parameters.

Claims

Machine (10; 20), with at least two devices (110; 151 to 15N; 210; 251 to 25N) for the common solution of a task, and at least one field bus (15; 25) for the exchange of data (40; 41; 42) between the at least two devices (110; 151 to 15N; 210; 251 to 25N) of the machine (10; 20) or with another machine (20; 10), wherein at least one of the two devices (110; 210) has a firewall ( 113; 213), which is connected between an external network (5) and the at least one fieldbus (15; 25), and wherein at least one filter rule (1131; 2131) can be set in the firewall (113; 213) which determines whether or not data (50) from the external network (5) are forwarded to the at least one fieldbus (15; 25).

Machine (10; 20) after Claim 1 , wherein one device (110; 210) of the at least two devices (110; 151 to 15N; 210; 251 to 25N) in the field bus (15; 25) is a field bus master (150; 250), at least one device being the at least two devices (110; 151 to 15N; 210; 251 to 25N) in the field bus (15; 25) is a field bus slave (151 to 15N; 251 to 25N) that controls the field bus master (150; 250) is subordinate, and wherein the firewall (113; 213) is provided in the device (110; 210) in front of the field bus master (150; 250) or in the field bus master (150; 250).

Machine (10; 20) after Claim 1 or 2 wherein the at least one filter rule (1131; 2131) determines to which address of the at least two devices (110; 151 to 15N; 210; 251 to 25N) the data (50) are directed.

Machine (10; 20) according to one of the preceding claims, wherein the at least one filter rule (1131; 2131) takes into account the operating state in which the machine (10; 20) is.

Machine (10; 20) after Claim 4 , the firewall (113; 213) being designed to forward the data (50) from the external network (5) only to the fieldbus (15; 25) when the machine (10; 20) is not in productive operation.

Machine (10; 20) according to one of the preceding claims, wherein the at least one filter rule (1131; 2131) determines whether read access and / or write access to at least one of the two devices for the data (50) from the external network (5) (110; 151 to 15N; 210; 251 to 25N) of the at least one field bus (15; 25) is to be permitted or not.

Machine (10; 20) according to one of the preceding claims, wherein the firewall (113; 213) is designed such that at least one filter rule (1131; 2131) can be generated from machine results during operation of the machine (10; 20).

Machine (10; 20) according to one of the preceding claims, wherein one of the devices (110; 151 to 15N; 210; 251 to 25N) is a control device (110; 210) and another of the devices (151 to 15N; 251 to 25N) ) is a drive device or a tool or a transport device or a sensor or an actuator.

Machine (10; 20) after Claim 8 , wherein the data (40; 41; 42) of the at least two devices (110; 151 to 15N; 210; 251 to 25N) are operating status data or have a control command of a device (110; 210).

Machine (10; 20) after Claim 7 or 8th , wherein the data (40; 41; 42) comprise parameters which can be used in controlling the drive of at least one device (151 to 15N; 251 to 25N) of the machine (10; 20), and / or wherein the data (40 ; 41; 42) an IP address and / or a name of the device (110; 151 to 15N; 210; 251 to 25N).

System (1) with at least one machine (10; 20) according to one of the preceding claims, wherein the external network (5) is designed to exchange data (50) with an IP-based protocol.

A method for protecting devices (110; 151 to 15N; 210; 251 to 25N) in a field bus network (4; 15; 25), the method being carried out by a machine (10; 20) which has at least two devices (110; 151 to 15N; 210; 251 to 25N) for jointly solving a task, and has at least one fieldbus (15; 25) for exchanging data (40; 41; 42) between the at least two devices (110; 151 to 15N; 210 ; 251 to 25N) of the machine (10; 20) or with another machine (20; 10), and wherein the method comprises the steps of filtering, with a firewall (113; 213), data (50) from an external network (5), wherein at least one of the two devices (110; 210) has the firewall (113; 213) which is connected between the external network (5) and the at least one fieldbus (15; 25), and determining with at least a filter rule (1131; 2131) set in the firewall (113; 213), whether data (50) from the external network (5) to the at least one fieldbus (15; 25) w be diverted or not.