Die moderne Fabrikautomation ist in hohem Maße auf robuste industrielle Ethernet-Kommunikation angewiesen. Steuerungssystemingenieure setzen gemanagte Ethernet-Switches ein, um speicherprogrammierbare Steuerungen (SPS), verteilte Leitsysteme (DCS), Mensch-Maschine-Schnittstellen (HMIs) und dezentrale Feld-I/O-Geräte zu verbinden. Die Wahl zwischen einer Layer-2- und einer Layer-3-Switching-Architektur wirkt sich direkt auf den Netzwerkdurchsatz, die Routing-Funktionen und die allgemeine Cybersicherheit in Netzwerken der Betriebstechnik (OT) aus.

Grundlagen des Ethernet-Switchings in der Fabrikautomation

Ein Ethernet-Switch fungiert innerhalb einer Steuerungssystemarchitektur als zentrale Kommunikationsinstanz. Punkt-zu-Punkt-Verkabelungen zwischen einzelnen industriellen Steuerungen führen schnell zu komplexen Kabelschleifen und Hardwareengpässen. Ethernet-Switches beseitigen diese Routing-Herausforderungen, indem sie den Datenverkehr mehrerer Geräte über eine einzige physische Netzwerkinfrastruktur verwalten. Switches untersuchen eingehende Datenpakete und leiten sie direkt an die vorgesehenen Hardwareschnittstellen weiter, um eine deterministische Kommunikation zwischen den Anlagenkomponenten in der Produktion zu gewährleisten.

Layer-2-Switches und die Weiterleitung anhand von MAC-Adressen

Layer-2-Switches arbeiten auf der Sicherungsschicht des Open-Systems-Interconnection-Modells (OSI-Modells). Diese Geräte leiten den Datenverkehr ausschließlich anhand von Media-Access-Control-(MAC-)Adressen weiter, die in die physischen Netzwerkschnittstellenkarten eingebrannt sind. Wenn eine SPS I/O-Nachrichten überträgt, untersucht der Layer-2-Switch die Ziel-MAC-Adresse und leitet die Frames an den vorgesehenen Port weiter.

Layer-2-Switches arbeiten jedoch ausschließlich innerhalb einer einzigen Broadcast-Domäne und eines einzigen Subnetzbereichs. Beispielsweise kann ein Gerät mit der IP-Adresse 192.168.1.10 über einen reinen Layer-2-Switch nicht mit einem Gerät unter 192.168.2.10 kommunizieren. Daher eignen sich diese Switches für lokale Steuerungszellen mit identischen IP-Adressierungsschemata.

Layer-3-Switches und die Leistung des IP-Routings

Layer-3-Switches arbeiten auf der OSI-Netzwerkschicht und kombinieren Switching-Geschwindigkeit mit IP-Routing-Funktionen. Diese Switches verarbeiten neben den Hardware-MAC-Adressen auch logische IP-Adressen. Daher leiten Layer-3-Switches Pakete über verschiedene Subnetze und virtuelle lokale Netzwerke (VLANs) weiter, ohne dass separate externe Router erforderlich sind.

Darüber hinaus verwalten industrielle Layer-3-Switches erweiterte Netzwerkfunktionen wie statisches Routing, dynamische Routingprotokolle und Zugriffskontrolllisten (ACLs). Dadurch können Steuerungstechniker verschiedene Subnetze in groß angelegten Produktionsanlagen miteinander verbinden und gleichzeitig hohe Paketweiterleitungsraten aufrechterhalten.

Vergleich der betrieblichen Unterschiede in industriellen Anwendungen

In industriellen Netzwerken unterscheiden sich Layer-2- und Layer-3-Switches in wesentlichen Architekturmerkmalen:

Technische Erkenntnisse zur Planung der Netzwerkarchitektur

In meinen 15 Jahren Erfahrung mit der Planung groß angelegter DCS- und SPS-Installationen läuft die Entscheidung zwischen Layer-2- und Layer-3-Switches auf die richtige Festlegung von Segmentgrenzen hinaus. Techniker dimensionieren Netzwerke häufig über, indem sie Layer-3-Switches direkt auf Ebene der Maschinenmodule einsetzen. Lokale Maschinenzellen benötigen nur selten Routing-Funktionen, und einfache gemanagte Layer-2-Switches ermöglichen eine schnellere Weiterleitung mit Leitungsgeschwindigkeit und minimalem Einrichtungsaufwand.

Der Einsatz von Layer-3-Switches im OT-Kernnetz oder am Unternehmensrand bleibt jedoch unverzichtbar. Die Segmentierung der Produktionsabläufe in isolierte VLANs begrenzt Broadcast-Stürme und schränkt unbefugte laterale Bewegungen innerhalb der Steuerungsnetzwerke ein. Der Einsatz von Layer-3-Switches auf der Leitebene ermöglicht eine präzise Kontrolle des Inter-VLAN-Routings und gewährleistet gleichzeitig eine niedrige Latenz bei kritischen Automatisierungsprozessen.

Anwendungsszenario: Netzwerkarchitektur einer Anlage mit mehreren Zellen

Betrachten wir eine große Automobilproduktionsanlage mit drei getrennten Produktionszellen: Stanzen (Subnetz 10.10.10.0/24), Schweißen (Subnetz 10.10.20.0/24) und Montage (Subnetz 10.10.30.0/24). Jede einzelne Zelle verwendet lokale Layer-2-Switches, um SPSen, Antriebe und Robotersteuerungen innerhalb ihres eigenen IP-Bereichs zu verbinden.

Damit ein zentraler SCADA-Server im Subnetz 10.10.100.0/24 Diagnosedaten aus allen drei Zellen zusammenführen kann, verbinden die Techniker die lokalen Layer-2-Switches mit einem zentralen industriellen Layer-3-Switch im Schaltschrank des Leitstands. Der Layer-3-Switch leitet den Datenverkehr zwischen den Subnetzen weiter und wendet gleichzeitig Zugriffskontrolllisten (ACLs) an, um direkten, unbefugten Datenverkehr zwischen den Zellen zu blockieren und so Netzwerkisolierung und Betriebssicherheit zu gewährleisten.

Über den Autor

Chen Ming ist Senior Automation Engineer mit mehr als 15 Jahren Erfahrung in der Planung industrieller Netzwerke, der DCS-Integration und dem Schutz von Stromversorgungssystemen. Er ist auf die Planung robuster OT-Infrastrukturen, die Stationsautomation nach IEC 61850 und hochverfügbare Ethernet-Netzwerke für die Schwerindustrie und die Prozessindustrie spezialisiert.