Netzwerksicherheit und VPN

vpnBestandteil der LOYTEC-Hardware ist eine konfigurierbare Firewall, die über den integrierten Webserver per Browser, OPC XML‑DA oder OPC UA konfiguriert und ein- und ausgeschaltet werden kann. Der Zugriff auf den eingebauten Webserver erfolgt über das sichere HTTPS-Protokoll. Das vorinstallierte Zertifikat ist durch ein eigenes Zertifikat bzw. durch ein von einer Zertifizierungsstelle ausgestelltes Zertifikat ersetzbar. Die Datenübertragung wird mit TLS verschlüsselt. Durch die Verwendung von sicheren Zertifikaten werden „Man in the Middle“-Attacken verhindert. Der OPC UA Server bietet weiters eine sichere Alternative zu OPC XML‑DA. Er benutzt das installierte Server-Zertifikat und autorisiert OPC Clients anhand von Zertifikaten.

LOYTEC-Geräte können auch als Teil eines virtuellen, privaten Netzwerks (VPN) basierend auf der OpenVPN-Technologie betrieben werden. In einer VPN-Umgebung wählt sich das Gerät in einen VPN-Server ein und authentifiziert sich mittels einem Zertifikat. Das VPN bietet einen sicheren Netzwerkkanal und kann beliebige IP-Protokolle transportieren. In Verbindung mit einem VPN-Server auf einer öffentlichen Adresse können VPN-Geräte auch ohne öffentlich erreichbare Adresse angesprochen werden. Das bietet eine sichere Alternative zur Weiterleitung von NAT-Routern und macht die sichere Anbindung von Liegenschaften sehr einfach.

BACnet

BACnetBACnet (Building Automation and Control networks) ist ein standardisiertes Kommunikationsprotokoll für die Gebäudeautomation (ISO 16484: Building automation and control systems – Part 5: Data communication protocol). BACnet wurde unter der Federführung der American Society of Heating, Refrigerating and Air-Conditioning Engineers (ASHRAE) Ende der 80er Jahre entwickelt. Die Kommunikation im Netzwerk erfolgt über BACnet-Objekte, die als Server-Objekte von einem BACnet-Teilnehmer netzwerkweit zur Verfügung gestellt werden. Andere BACnet-Teilnehmer verbinden sich als Clients auf diese BACnet-Server-Objekte. Die Netzwerkintegration erfolgt über die Konfigurations-Tools der jeweiligen Hersteller.

LOYTEC-Geräte mit BACnet-Schnittstellen kommunizieren über BACnet-Server-Objekte (binär, analog, multistate) und über Client Mappings. Werteänderungen können per COV (Change-Of-Value) übertragen werden. Weiters bieten sie AST™-Funktionen über BACnet-Schedule- und Kalenderobjekte, BACnet-Trendlog-Objekte und BACnet-Notification-Class-Objekte. Die Anbindung an das BACnet-Netzwerk erfolgt über BACnet MS/‌TP (Twisted Pair, setzt auf RS-485 auf) BACnet/IP oder BACnet/SC. BACnet-Objekte werden mit der LOYTEC Konfigurations-Software über EDE-Import, Netzwerk-Scan oder manuell angelegt.

Standardmäßig verwenden BACnet-Objekte im Gerät ASCII-Zeichen in den Eigenschaften Objektname, Bezeichnung, Active/‌Inactive Text, Zustandstext etc. Mit dieser Einstellung sind die meisten Tools anderer Hersteller kompatibel. Um internationale Zeichensätze zu unterstützen, können LOYTEC-Geräte Zeichen gemäß ISO-8895-1 (für die meisten westeuropäischen Sprachen) oder UCS-2 (für Unicode-Zeichensätze wie z. B. Japanisch) darstellen.

Alle LOYTEC-Produkte mit BACnet/‌IP Schnittstelle können die Aufgabe eines BACnet Time Masters übernehmen. Es können also BACnet TimeSynchronization und UTCTimeSynchronization Pakete ausgesendet werden, wenn ein Zeitsychronisations-Ereignis eintritt. Solche Ereignisse finden nach einem Neustart des Geräts, bei Änderung der Systemuhr oder periodisch statt, wenn dies so konfiguriert wurde. Die Systemzeit von IP-basierten LOYTEC-Geräten kann per NTP (Network Time Protocol ) synchronisiert werden. Damit können alle BACnet-Geräte in einem Netzwerk über einen BACnet Time Master auf die NTP-Zeit gebracht werden.

LOYTEC BACnet-Router und BACnet-Geräte mit integriertem Router können zusätzlich die Funktion eines BACnet MS/‌TP Slave Proxys übernehmen. Ein Slave Proxy beantwortet BACnet Who-Is Broadcast-Anfragen, die sich an Slave-Geräte auf dem MS/‌TP Bus richten, für die Slave-Geräte mit passenden BACnet I-Am Paketen. Weil Slave-Geräte per Definition keine Kommunikation initiieren dürfen, können sie Broadcast-Anfragen nicht selbst beantworten. Über diese Funktion können MS/‌TP Slaves über einen BACnet-Scan gefunden werden, was ohne Slave Proxy-Funktion nicht möglich ist. LOYTEC BACnet-Router, BACnet-Geräte mit integriertem Router und L-GATE Gateways besitzen auch ein BACnet-Broadcast-Management-Device (BBMD), um BACnet/‌IP-Internetworks zu verwalten, die sich über IP-Router erstrecken. BACnet-Modelle ohne Router können sich als Foreign Device (FD) bei anderen BBMDs anmelden. Alle Modelle mit BACnet-Routing-Funktion können zwischen BACnet/IP, BACnet/SC und BACnet MS/TP routen.

Der BACnet/SC-Node auf LOYTEC-Geräten bietet einen sicheren Pfad für die BACnet-Kommunikation zu einem BACnet/SC-Hub. Bei Konfiguration mit separaten Ethernet-Ports kann BACnet/IP auf dem LAN-Port betrieben werden, der von BACnet/SC auf dem WAN-Port isoliert ist. Zusammen mit HTTPS bietet dies eine zusätzliche Schutzfunktion. Routing zwischen BACnet/IP (LAN) und BACnet/SC (WAN) ist möglich.

LOYTEC BACnet Geräte mit BACnet MS/‌TP Schnittstelle bieten die Möglichkeit zur Aufzeichnung des Datenverkehrs am BACnet MS/‌TP Kanal von remote über deren Ethernet/‌IP Schnittstelle. Die aufgezeichneten BACnet MS/‌TP-Protokolldaten können entweder online über Wireshark (freier Netzwerkprotokollanalysator www.wireshark.org) dargestellt oder offline am Gerät als Capture-Datei gespeichert werden. Die Capture-Datei kann dann über das Web-Interface geladen und in Wireshark geöffnet und analysiert werden.

BACnet-Details wie das unterstützte BACnet Standardized Device Profile, die BIBBs (BACnet Interoperability Building Blocks) und Objekt­eigenschaften (Properties) können dem jeweiligen PICS (Protocol Implementation Conformance Statement) entnommen werden. Weiters ist ein Großteil der LOYTEC-Geräte als BACnet Building Controller B-BC BTL-zertifiziert (siehe Produktbeschreibungen).

BACnet Operator Workstation (B-OWS)

BACnet Operator Workstation (B-OWS)Eine BACnet Operator Workstation versorgt einen Betreiber mit allen Informationen und Bearbeitungsfähigkeiten die benötigt werden, um ein System täglich zu managen. Zusätzlich zum Beobachten und Editieren ausgewählter BACnet-Objekte kann die Operator Workstation Trends, Schedules und andere spezifische Objekte darstellen. Des Weiteren können auch Berichte und Grafiken angezeigt werden. Eine BACnet Operator Workstation benachrichtigt den Betreiber wenn ein Alarm auftritt, lässt diesen den Alarm bestätigen, erstellt eine Alarmzusammenfassung und erlaubt, die Alarmschwellen der analogen Objekte anzupassen.

CEA-709

CEA-709 (LON)Das LON-Protokoll wurde Ende der 90er Jahre durch die Consumer Electronics Association (CEA) als CEA-709 Protokoll unter dem Titel „Control Network Protocol“ standardisiert. Heute ist das Protokoll als internationaler Standard ISO/‌IEC 14908 weltweit anerkannt. LOYTEC hat jahrzehntelange Erfahrungen mit der CEA-709-Technologie. So verwenden LOYTEC-Geräte zur Anbindung an das CEA-709 Netzwerk eine von LOYTEC entwickelte Technologie bestehend aus integrierten Schaltkreisen und dem ORION Protocol Stack, welcher auf leistungsfähigen 32-bit Mikroprozessoren läuft. Kommunikationsobjekte und Funktionsprofile sind durch LonMark International (www.LonMark.org) standardisiert und beschreiben die Kommunikationseigenschaften eines LonMark-Gerätes. Die „Configuration Properties“ erlauben die Eingabe bzw. Änderung von Parametern. Die Netzwerkintegration erfolgt über ein vom Hardware-Hersteller unabhängiges Netzwerkmanagement-Tool (z. B. NL220 oder LonMaker), mit dem die Geräteinstallationen und die Verknüpfungen (Bindings) zwischen Netzwerkvariablen vorgenommen und gesichert werden. Damit ergibt sich eine eindeutige Trennung zwischen der Anwendung und den Kommunikationsbeziehungen im Netzwerk. Konfigurationstools (LNS Plug‑ins) für LonMark-Knoten integrieren sich in das Netzwerkmanagement-Tool und ermöglichen eine einfache und schnelle Gerätekonfiguration.

LOYTEC-Geräte für den Einsatz in LonMark-Systemen verwenden Standardnetzwerkvariablen (SNVT) und benutzerdefinierte Netzwerkvariablen (UNVT). Diese können als statische oder dynamische Netzwerkvariablen angelegt werden. Zusätzlich können über „Externe NVs“ Netzwerkvariablen von anderen LonMark-Knoten zyklisch abgefragt (gepollt) oder explizit beschrieben werden, ohne dass statische oder dynamische NVs auf dem LOYTEC-Gerät bereitgestellt und verknüpft (Binding) werden müssen. LOYTEC-Geräte bieten zudem die Möglichkeit, auf Configuration Properties (CPs) anderer LonMark-Knoten zuzugreifen (LonMark File Transfer und Read Memory Access Method). Es werden Standard Configuration Properties (SCPTs) und benutzerdefinierte CPs (UCPTs) unterstützt. Netzwerkvariablen werden mit dem Konfigurations-Tool (Plug‑in) über den Import einer XIF-Datei, dem Auslesen der LNS-Datenbank, einem Netzwerk-Scan oder manuell angelegt. Die AST™-Funktionen Alarming (Alarmmanagement) und Scheduling (Zeitschalten) werden unter Verwendung von LonMark-Profilen unterstützt. Trenddaten können über technologieunabhängige, generische Trendlogs aufgezeichnet werden. Die Einbindung in das LonMark-System erfolgt über IP‑852 (100Base-T-Ethernet) oder TP/‌FT‑10 Kanal mit Twisted-Pair oder Power-Line-Link. Ein Teil der LOYTEC-Geräte ist LonMark-zertifiziert (siehe Produktbeschreibungen).

DALI

DALI (Digital Addressable Lighting Interface)DALI (Digital Addressable Lighting Interface) ist als Protokoll für die Beleuchtungssteuerung im IEC 62386 Standard definiert. DALI wird als Subsystem für die Beleuchtungssteuerung zum Dimmen und Schalten von Leuchten mit DALI-Schnittstelle verwendet, die über DALI-Kurzadressen einzeln angesteuert und abgefragt werden. Ebenso können freie DALI-Gruppen definiert und Beleuchtungsszenen festgelegt werden. Durch die bidirektionale Kommunikation melden DALI-Geräte Betriebsparameter und Fehler. Der DALI Standard spezifiziert auch die Farbansteuerung von Leuchten sowie Testen von Notlichtbeleuchtungssystemen mit DALI-Schnittstelle.

Der neuere DALI-2 Standard erfasst zusätzlich zu den Leuchten bzw. EVGs auch Schalter, Multisensoren, Busspannungsversorgungen und Steuerungen. Aus der Zeit vor DALI-2 existieren auch proprietäre Schalter und Multisensoren für den Anschluss an ein DALI-System. Diese sind je nach Hersteller interoperabel, sollten aber in neuen DALI-Systemen nicht mehr zum Einsatz kommen.

In einem DALI-System übernimmt ein DALI-Master nach dem Master-Slave-Prinzip die Ansteuerung und Abfrage von DALI-Geräten, wobei Leuchten als Slaves und Steuerungen sowie Sensoren und Schalter als Master agieren. Durch die Multimasterfähigkeit können mehrere DALI-Master existieren.

Für DALI-2 Geräte existiert auch eine Zertifizierung. Nur zertifizierte DALI-2 Geräte dürfen das DALI-2 Logo tragen. LOYTEC empfiehlt vorzugsweise DALI-2 zertifizierte Geräte einzusetzen. DALI und DALI-2 Geräte können innerhalb eines DALI-Kanals gemischt werden.

LOYTEC-Geräte mit DALI-Schnittstelle unterstützen DALI und DALI-2 Geräte und werden als DALI-Master mit Konstantlichtregelungsfunktion ins Netzwerk integriert. Die Konfiguration erfolgt über den integrierten Webserver oder geräteabhängig über ein Konfigurations-Tool. AST™-Funktionen für Alarming (Alarmmanagement), Scheduling (Zeitschalten) und Trending (Datenaufzeichnung) werden unterstützt. Als DALI-Master können die Geräte eigenständig installiert werden. Für die Integration in Gebäudeautomationssysteme bieten die DALI-Master von LOYTEC entweder eine BACnet- sowie eine Modbus/TCP- Schnittstelle oder die Integrationsmöglichkeit in LonMark-Systeme.