Industrielle Ethernet-Netzwerke bilden das Rückgrat der modernen Fabrikautomation und verbinden speicherprogrammierbare Steuerungen (SPS), verteilte Leitsysteme (DCS) und Mensch-Maschine-Schnittstellen (HMIs). Die Wahl der geeigneten Netzwerk-Switch-Architektur bestimmt die allgemeine Systemverfügbarkeit, den Datendurchsatz und die Cyberresilienz der OT.

Diese technische Bewertung untersucht die betrieblichen Unterschiede, Sicherheitsfunktionen, Protokollunterstützung und praktischen Auswahlkriterien zwischen managed und unmanaged Industrieswitches.

Unmanaged Industrieswitches verstehen

Ein unmanaged Switch stellt eine grundlegende Netzwerkverbindung mit fester Konfiguration ohne Benutzereinrichtung bereit. Das Gerät arbeitet ausschließlich als unkonfigurierte Bridge und lernt dynamisch MAC-Adressen, um eingehende Ethernet-Frames an die vorgesehenen Ports weiterzuleiten.

Ingenieure bevorzugen unmanaged Switches für eine unkomplizierte Plug-and-play-Installation. Techniker verbinden einfach Feldgeräte, lokale HMIs oder kleine IO-Module, ohne IP-Adressen zuzuweisen oder Parameter zu konfigurieren.

Allerdings bieten unmanaged Geräte weder eine Priorisierung des Datenverkehrs noch Diagnosemöglichkeiten. Netzwerküberlastungen, Broadcast-Stürme oder Kabelfehler können den Switch ungehindert passieren und dadurch möglicherweise den Echtzeit-Steuerungsverkehr beeinträchtigen.

Managed Industrieswitches verstehen

Ein managed Industrieswitch ermöglicht eine detaillierte Kontrolle über das Portverhalten, die Weiterleitung des Netzwerkverkehrs und die Systemdiagnose. Automatisierungsingenieure konfigurieren diese Geräte über Weboberflächen, Kommandozeilenschnittstellen (CLI) oder SNMP-Plattformen.

Managed Switches segmentieren den Ethernet-Datenverkehr mithilfe virtueller lokaler Netzwerke (VLANs), um deterministische I/O-Daten vom allgemeinen Anlagenverkehr zu isolieren. Sie unterstützen Quality-of-Service-(QoS-)Protokolle wie IEEE 802.1p/Q, um kritische SPS-Steuerungspakete gegenüber Datenströmen mit niedrigerer Priorität zu bevorzugen.

Darüber hinaus integrieren managed Switches Medienredundanzprotokolle wie MRP, RSTP oder DLR, um den Netzwerkverkehr innerhalb von Millisekunden umzuleiten, wenn ein physisches Kabel ausfällt.

Vergleichende Analyse: Managed und unmanaged Switches

Die Auswahl der passenden Netzwerkhardware erfordert eine Bewertung der betrieblichen Kritikalität, des Sicherheitsrisikos und der Diagnoseanforderungen in der gesamten Fertigung.

Auswahlkriterien für die Entwicklung und Netzwerksicherheit

Während unmanaged Switches eine kostengünstige Lösung für einfache Maschinen darstellen, bergen sie bei der Verbindung mit umfassenderen Anlagennetzwerken Cyberrisiken. Unmanaged Ports bleiben für unbefugten Zugriff und das Einschleusen nicht autorisierter Hardware offen.

Managed Switches bilden eine grundlegende Verteidigungsschicht im Rahmen eines mehrschichtigen Sicherheitskonzepts. Integratoren können nicht verwendete Ports deaktivieren, eine 802.1X-Authentifizierung implementieren und MAC-Adressen beschränken, um den unbefugten Zugang zum Netzwerk zu verhindern.

Daher müssen Anlagenplaner unmanaged Switches auf isolierte, nicht kritische Maschineninseln beschränken. Kernnetzwerke der Automatisierung, Sicherheitskreise und anlagenweite DCS-Backbones erfordern managed Switches, um deterministische Leistung und die Einhaltung von Sicherheitsvorgaben zu gewährleisten.

Technische Expertenanalyse: Praktische Perspektiven der Netzwerkplanung

Aus fünfzehn Jahren Erfahrung mit industriellen Netzwerken zeigt sich, dass der Einsatz unmanaged Switches in primären Schaltschränken häufig zu erheblichen Diagnoseblindstellen bei Produktionsausfällen führt.

Wenn ein unmanaged Switch doppelte IP-Adressen oder einen durch eine versehentliche Schleifenverkabelung verursachten Broadcast-Sturm erlebt, kann die Fehlersuche Stunden dauern. Wartungsteams müssen Kabel manuell abziehen, um den Fehler zu lokalisieren.

Managed Switches protokollieren dagegen Linkabbrüche, Portfehler und Schleifenzustände sofort über SNMP-Traps in SCADA-Alarmen. Der Aufpreis für managed Switches macht sich bereits bei der ersten Netzwerkanomalie bezahlt, da sich die mittlere Reparaturzeit (MTTR) drastisch verkürzt.

Anwendungsszenario: Modernisierung des Ethernet-Netzwerks einer Automobilmontagelinie

Ein großer Automobilhersteller modernisierte das Netzwerk in seiner Schweißerei, um wiederkehrende Ausfälle der Feldbuskommunikation zu beseitigen.

Die Herausforderung: Die Schweißlinie nutzte unmanaged Switches zur Verbindung von 30 Industrierobotern, Sicherheits-SPSen und Bildverarbeitungssystemen. Ein hohes Broadcast-Aufkommen der Kameras für die Bildverarbeitung überlastete das Netzwerk regelmäßig und verursachte sporadische Kommunikations-Timeouts zwischen der Master-SPS und den Sicherheitsrelais.

Die Lösung: Die Automatisierungsintegratoren ersetzten die unmanaged Geräte durch managed Gigabit-Switches. Sie konfigurierten VLANs, um Bildverarbeitungsdaten vom Echtzeit-PROFINET-I/O-Datenverkehr zu trennen, und aktivierten die QoS-Priorisierung für sicherheitskritische Pakete. Zusätzlich implementierten sie eine Ringtopologie mit dem Resilient Ethernet Protocol (REP).

Das Ergebnis: Das Netzwerk erreichte Wiederherstellungszeiten von unter 10 Millisekunden bei Ringfehlern und eliminierte den Verlust von PROFINET-Paketen vollständig. Die Isolierung der bandbreitenintensiven Bildverarbeitungsdaten stabilisierte den Anlagenbetrieb und ersparte dem Werk schätzungsweise 120.000 $ pro Jahr durch ungeplante Stillstände der Produktionslinie.

Über den Autor

Chen Wei ist ein leitender Spezialist für industrielle Automatisierung und Netzwerke mit über 15 Jahren internationaler Erfahrung bei der Inbetriebnahme robuster Ethernet-Architekturen für SPS-, DCS- und SCADA-Systeme. Seine Schwerpunkte sind die Härtung der OT-Cybersicherheit, die Planung industrieller Netzwerktopologien und fehlertolerante Kommunikationsringe in der Automobil-, Pharma- und Energiebranche.