Bestandsaufnahme im Produktionsnetz ohne Stillstand

Der aktive Suchlauf ist nicht verboten — er kommt zuletzt.

1. Den Beobachtungsplatz einrichten

   Vor Ort

   Mitgeschnitten wird dort, wo der Verkehr des Anlagenteils zusammenläuft: am Switch, über einen Spiegelport oder einen Abgriff. Wer die Topologie einer ganzen Linie braucht, bekommt sie am Spiegelport nur für die direkt gespiegelten Leitungen; der Rest wird beim gezielten Nachfragen im Stillstand über die Netzwerkverwaltung der Geräte abgefragt. Über die Ausbeute entscheidet der Zeitpunkt: Ein Mitschnitt, der einen Anlauf enthält, ist mehr wert als ein längerer im eingeschwungenen Betrieb — beim Anlauf sucht die Steuerung jedes projektierte Gerät über seinen Namen (PROFINET DCP), das Gerät antwortet mit seiner Hardware-Adresse und bekommt seine IP-Adresse zugewiesen; die Zuordnung von Name, Adresse und Gerät liegt damit einmal komplett im Mitschnitt. Diese Suche läuft beim Anlauf der Steuerung und immer dann, wenn ein Gerät neu ins IO-System kommt, im eingeschwungenen Betrieb sonst nicht. Der Mitschnitt gehört deshalb an einen geplanten Wiederanlauf, etwa nach einem Wartungsstopp.

   Und der Beobachtungsrechner selbst muss passiv bleiben, sonst ist ausgerechnet er der erste, der unerwartete Anfragen ins Netz stellt. Passiv heißt konkret: an der Mitschnitt-Schnittstelle alle Protokoll- und Dienstbindungen bis auf den Mitschnitttreiber entfernen — keine IPv4-Adresse, kein DHCP, IPv6 sowie Namens- und Nachbarschaftsdienste des Betriebssystems aus —, denn eine Schnittstelle ohne Adresse fragt sonst von selbst nach einer. Im Analysewerkzeug die Namensauflösung abschalten, die Änderung notieren, damit der Adapter danach zurückgestellt wird, und nach der ersten Minute im Mitschnitt nachsehen, ob der Beobachtungsrechner selbst als Absender auftaucht.

   Der Mitschnitt ist ab der ersten Minute ein vertrauliches Dokument: Er enthält Topologie, Namen und Adressen, Fernwartungssitzungen und bei alten Protokollen auch Zugangsdaten im Klartext — etwa die SNMP-Community-Strings. Er bleibt verschlüsselt auf einem Rechner ohne Verbindung ins Büronetz, geht nur an Personen, die ihn brauchen, und wird nach der Auswertung gelöscht.

2. Offene Punkte einzeln klären

   Im Stillstand

   Erst der Abgleich mit den Unterlagen zeigt, was offen bleibt: der Firmware-Stand — er steht in keinem zyklischen Telegramm und wird meist erst beim gezielten Auslesen der Identifikationsdaten sichtbar —, ein Gerät, das gerade nicht kommuniziert, ein Anlagenteil, der nur im Rüstbetrieb aktiv ist, oder der Inhalt einer verschlüsselten Verbindung, bei der der Mitschnitt nur noch zeigt, wer mit wem spricht. Für diese Reste gilt:

   • Im Stillstand, nicht im laufenden Betrieb. Ein geplanter Wartungsstopp ist der richtige Zeitpunkt — mit der Frage vorab, was in diesem Stillstand noch läuft: Sicherheitsfunktionen, Temperatur- oder Druckhaltung, Lager mit Medien. Ein Gerät, das daran hängt, wird auch im Stillstand nicht angefragt, ohne dass jemand den Ausfall abfangen kann.
   • Einzeln und gezielt, nicht als Suchlauf über einen Adressbereich. Die Frage lautet „welche Firmware hat dieses Gerät“, nicht „was ist alles da“.
   • Mit Protokoll: Was wurde wann von welcher Adresse aus abgefragt. Das schützt beim nächsten unerklärlichen Stillstand vor der falschen Vermutung.

   Herstellerseitige Diagnosewerkzeuge sprechen das Protokoll, das das Gerät erwartet, und sind hier meist die bessere Wahl als allgemeine Netzwerkwerkzeuge — aber nur mit Bedacht: Auch sie suchen das Netz ab, mit derselben Anfrageart, mit der die Steuerung ihre Geräte beim Anlauf findet. In ihrer Grundeinstellung sprechen sie die ganze Broadcast-Domäne auf einmal an, manche zusätzlich ganze IP-Bereiche, und die Hersteller warnen selbst vor der Verkehrslast. Dauersuche und Adressbereichs-Suche abschalten, das einzelne Gerät gezielt und nur lesend ansprechen — Namens- oder Adressvergabe und Werksreset sind Schreibzugriffe — und auch das im Stillstand. „Suchlauf“ meint in diesem Artikel den Netzwerkscanner der IT, der Adressbereiche und Ports mit Anfragen abklopft, die ein Feldgerät nie erwartet.

3. Die Liste um das ergänzen, was nicht im Netz steht

   Gespräche

   Die Angaben aus der Prüfliste oben stehen in keinem Paket — bis auf den Zugangsweg, den der Mitschnitt zeigt, nicht aber seinen Grund. Sie kommen aus Gesprächen: mit der Instandhaltung, mit dem Anlagenverantwortlichen, mit der Person, die eine Fernwartungsfreigabe erteilt hat — und, beim Lebenszyklusstatus, aus den Produktauslauf-Mitteilungen des Herstellers.

   Dieser Schritt bleibt am häufigsten liegen, weil die Geräteliste nach der Auswertung bereits vollständig aussieht. Sie ist es nicht: Eine Liste ohne Verantwortlichkeit und ohne Abhängigkeiten beantwortet im Störungsfall keine einzige Frage.

Jeder dieser Anlässe ist ein Vorgang, der ohnehin dokumentiert wird. Die Liste hängt sich daran, statt einen eigenen Termin zu brauchen.