Сети промышленной автоматизации. Машиностроение и производство

1. Сети промышленной автоматизации. Машиностроение и производство.
Алексей Залужный,
Менеджер Системных Инженеров
© 2014 Cisco and/or its affiliates. All rights reserved.
24.11.2014

2. План презентации
•
Современное промышленное производство и автоматизация
•
Перспективные области применения коммуникационных технологий для решения задач промышленной автоматизации
•
Коммуникационные стандарты в системах производственной автоматизации
•
Практические аспекты реализаций задач в производственной автоматизации
© 2014 Cisco and/or its affiliates. All rights reserved.
24.11.20142

3. Современное промышленное производство и автоматизация
24.11.2014
© 2014 Cisco and/or its affiliates. All rights reserved. 3

4. Промышленный Ренессанс
24.11.2014
© 2014 Cisco and/or its affiliates. All rights reserved.
4
Технологии
IoTкак катализатор процесса
Гибкий
Процесс
Производства
Репатриация
Производства
Ускоренный
Вывод
Нового
Продукта
‘Большие
Данные’
на
Производстве
Конвергентная
Инфраструктура
Развитие
Робототехники
и
Технологий
Печати
* “The Truth About Robotics White Paper,” Seegrid Corporation, Fall 2013
** “US Manufacturing Nears the Tipping Point: Which Industries, Why and How Much, BSG April 2013
*** “Manufacturing Moneyball: using big data and business intelligence to spur operational excellence”, Forbes 11, 2011

5. Оборудование и Механизмы как Сервис
24.11.2014
© 2014 Cisco and/or its affiliates. All rights reserved. 5
Расширенный Доступ к Данными и Анализ для Совершенствования Операций
• Множественные производственные
процессы требуют исходных операционных
и диагностических данных, которые часто
находятся на необъединенных в сеть
машинах и системах управления
• Недостоверность и непрозрачность
Бизнес Проблематика
Возможности для Бизнеса
•Повсеместно подключенные машины передают данные для централизованной обработки и использования
•Производители Машин и Оборудования реализуют дополнительные сервисы для клиентов без дополнительных капитальных затрат
•Повышение качества и выявление отклонений
РеализуемыеПреимущества
•Общая Эффективность Оборудования OEE (Качествоx Производительностьx Доступное Время) увеличивается до95%
•Перенос с капитальных затрат на операционные с улучшенными сервисами от производителя
•Повышение прозрачности производственного процесса, качества продукта, прибыльности
Бизнес Сценарий
1.Производитель Оборудования предлагает Услугу с заданным временем доступности, производительностью и качеством
2.Объединенные в коммуникационную инфраструктуру Машины дают представление о процессе в реальном времени благодаря сбору и анализу диагностики
4.Улучшенное качество данных, прозрачность процессовснижают затраты связанные с качеством исоответствием
3.
Предиктивная аналитика обеспечивает проактивнуюреакцию Производителя Оборудования, увеличивает время доступности и производительность

6. Единая Шина Управления Роботизированным Оборудованием
© 2014 Cisco and/or its affiliates. All rights reserved.
24.11.20146
• Небезопасный удаленный и гостевой
доступ к производственным
‘ячейкам’
• Отдельные сети для управления и
обслуживания
• Сложные схемы внедрения
роботизированных
‘ячеек’
Бизнес Проблематика Возможности для Бизнеса
•Безопасный локальный и удаленный доступ к ‘ячейке’, мониторинг, сервис, корпоративные приложения
•Прозрачность, мониторинг, диагностическая аналитика внутри и между ‘ячейками’
•Ускоренное внедрение и поиск неисправностей
Реализуемые Преимущества
•Повышение Общей Эффективности Оборудования OEE (+10%) и операционной маржинальности(+2-5 пунктов)
•Низкие первоначальные затраты ($2k+/коммутатор)
•Быстрое внедрение и снижение общей стоимости владения (~$20k/’время жизни ‘ячейки’)
Бизнес Сценарий
1.Автономные ‘ячейки’ внедряются дольше, требуют увеличенный состав ЗиПа, локального обслуживающего персонала и имеют неочевидные ключевые показатели операционной эффективности
2.Aggregated view of real time supply and production data is securely delivered to Cisco DC for real time analytics
4.Sensors securely share information internally and with suppliers, partners, and customers for real time decision engine
3.
Снижение стоимости, ускоренное внедрение роботизированного оборудования, мониторинг и удаленный доступ к оборудованию, повышение качествапроизводственного процесса внутри ‘ячейки’и между ‘ячейками’
ОТ…
К…

7. Беспроводные Коммуникации для Переносных Инструментов
24.11.2014
© 2014 Cisco and/or its affiliates. All rights reserved. 7
Повышение Производительности и Доступности
• Инструменты, имеющие возможность
сбора данных
(например, динамометрические отвертки) связаны со сборочной линией и являются дорогими в установке, перемещении, замене
• Незакрепленный инвентарь теряется
• Калибровка инструмента затратна и
ненадежна, что вызывает проблемы с
качеством
Бизнес Проблематика
Возможности для Бизнеса
•‘Отвязанные’ инструменты имеющие возможность передавать параметры качества и соответствия через WiFi
•Гибкость в проектировании сборочной линии и оптимизации процедур
•Повышение надежности и доступности через сервисы определения местоположения и диагностики с использованием WiFi
Реализуемые Преимущества
•Сокращение производственного цикла и повышение качества (+5-10% производительности)
•Снижение стоимости установки($1M+/в масштабе завода)
•Контроль за инструментами и приспособлениями, повышение Общей Эффективности Оборудования(+5-10% OEE)
Бизнес Сценарий
Неподключенный инструмент теряется, проблемы с калибровкой
ОТ…
Подключенный инструмент, требующий затратной инсталляции и ремонта
Заводская инфраструктура WiFiдля оптимизации использования подключенного инструмента
Connected Factory WiFiдля отслеживания инструментов и приспособлений
К…

8. Управление Энергопотреблением на Производстве
© 2014 Cisco and/or its affiliates. All rights reserved.
24.11.20148
• Энергопотребление производства может
быть оценено только после получения
счетов
• Электроэнергия составляет
25-75% затрат на производство продукта для производителя
• Потребители ценят предсказуемость при
принятии решений о закупке
Бизнес Проблематика Возможности для Бизнеса
•Контроль потребления в реальном времени и влияния на расписание и другие факторы для оптимизации потребления электроэнергии
•Профили энегропотребленияоборудования также используются для превентивногоподхода в техническом обслуживании
Реализуемые Преимущества
•Экономия потребления до 25%, улучшая операционную маржинальностьна 15-18%
•Данные реального времени о влиянии на окружающую среду
Бизнес Сценарий
1.Сегодня машиныи роботыпотребляют энергию в периоды простоя, выходные и во время экстренной остановки производства. Например, 12% потребления сборочного автомобильного производства приходится на перерывы.
3.
Сбор и использование данных о потреблении оборудования.
ОТ…
К…

9. Заводские Беспроводные Сети
24.11.2014
© 2014 Cisco and/or its affiliates. All rights reserved. 9
Определение Местоположения и
Six SigmaQuality
• Получить более достоверные данные в
реальном времени о соответствии
текущего процесса нормативам
• Необходимость понимать эффективность
проводимых изменений в сменах и
перераспределения ресурсов
• Повысить контроль за Общей
Эффективностью Производства
Бизнес Проблематика
Возможности для Бизнеса
•RFID Wi-Fi метки интегрируются с ПЛК
•Оператор получает черезWi-Fiданные о производственном процессе
Реализуемые Преимущества
•Увеличение Общей Эффективности Производства на24%
•СнижениеDPMOмаркировки на 16%
•Рост производительности труда с 80 до92 процентов
Бизнес Сценарий
1.Ошибки в маркировке и сборке не отслеживаются вовремя. Нет возможности оптимизировать процессы смены продукции или переход рабочих смен.
2.Пост-производственное выявление проблем может колебаться в диапазоне от минут до часов. Нет достоверной отчетности для нескольких сборочных линий. Непрозрачность для руководства.
4.Уменьшающееся количество гарантийных случаев. Соответствие нормативным показателям.

Работники могут незамедлительно информировать супервайзера о проблемах с качеством продукции. Возможность для руководства получать информацию в реальном времени, быстрое принятие решений.
ОТ…
К…

10. Cisco Connected Factory
© 2014 Cisco and/or its affiliates. All rights reserved.
24.11.201410
Конвергированная Сеть
Снижение Затрат
Безостановочное
Производство
Гибкое производство
Общая
Эффективность
Производства
КонвергированнаяИнформация
Удаленный Эксперт
ERP / PLC /HMIИнтеграция
FOGи
IOX
Поставки в Реальном Времени
Трэкинг
Управление Энергопотре- блением
Превентив- ноеТО
Визуали- зация
Управля- емость
Прозрач- ность
Устойчи- вость
Гибкое производство
Автомати- зация
Снижение Рисков
КонвергированнаяБезопасность
КиберБезопасность
Промышленная
DMZ
Оборудование как Сервис
Физическая Безопасность
Производительность Труда
Гибкое Производство
ОЭП
КонвергированнаяБеспроводная Сеть
Управление Активами
VoWiFi
Сенсорные Сети
Беспроводнойввод/вывод
Мобильная Диагностика

11. Перспективные Области Применения Коммуникационных Технологий для Решения Задач Промышленной Автоматизации
24.11.2014
© 2014 Cisco and/or its affiliates. All rights reserved. 11

12. Использование Ethernet для Реализации Единой Коммуникационной Шины Оборудования
© 2014 Cisco and/or its affiliates. All rights reserved.
24.11.201412
ЧМИ
ЧМИ
Сканер
Инструмент
Видео
Робот
Робот
Контроллер
Контроллер
Сервисный Модуль
•
Современный подход базируется на концепции единой шины вместо изолированных островов
•
Пропускная способность не является критическим фактором
•
Производители машин используют стратегию второго вендорав отношении комплектующих
•
Конфигурация сетевых устройств в основном производится автоматизированными скриптами

13. Использование Ethernet для Реализации Единой Коммуникационной Шины Оборудования
© 2014 Cisco and/or its affiliates. All rights reserved.
24.11.201413
• Часто используется несколько контроллеров внутри машины
• Контроллеры сегментируются при помощи виртуальных локальных сетей
• Важно время загрузки коммутатора
L3 SW 1
L2 SW 2
L2 SW 3
L2 SW 4
L2 SW 5
L2 SW 6
Контроллер1
Profinet
Контроллер2
Profinet
Контроллер3
CIP
Коммуникационный Модуль1
Модуль ввода/вывода1.1
Модуль ввода/вывода 1.2
Модуль ввода/вывода 1.3
VLAN 11
Модуль ввода/вывода 2.1
Модуль ввода/вывода 2.2
VLAN 21
VLAN 31
Модуль ввода/вывода 3.1
Модуль ввода/вывода 3.2
Модуль ввода/вывода 3.3
Модуль ввода/вывода 3.4
Модуль ввода/вывода 3.5
ЧМИ1
ЧМИ2
VLAN 2
VLAN 1
Контроллер
1
Контроллер
2
Контроллер
3
Коммуника- ционныйМодуль
1

14. Использование WiFiв Оборудовании
© 2014 Cisco and/or its affiliates. All rights reserved.
24.11.201414
Роботизиро-
ванный
Процесс
Роботизиро-
ванный
Процесс
Инструмен-
тальный
Модуль
Модуль
Контроля Качества
ЧМИ
Панель Управления
Панель
Управления
Логистическая Зона
Логистическая
Зона
Оператор
Класс исполнения (IP):
Вне СтойкиIP65
Внутри СтойкиIP 20/30
•
WIFI сокращает время ввода в эксплуатацию
•WIFI (выделенныйSSID) дает возможность удобно и безопасно обслуживать оборудование
Конструкция, предусматривающая транспортировку
Зона WIFI
До нескольких сотен метров
Все внешние компоненты конструкции должны иметь защищенное исполнение для возможности транспортировки

15. Коммуникационные стандарты в системах производственной автоматизации
24.11.2014
© 2014 Cisco and/or its affiliates. All rights reserved. 15

16. Общие Характеристики Протоколов
© 2014 Cisco and/or its affiliates. All rights reserved.
24.11.201416
 Важной характеристикой является
реализация формата данных
 Цикличные
 Изохронные
 Детерминированные
 Происходят от оригинального
стандарта
HART оперирует описанием устройства. В то время как Profinetобменивается данными вGDSML (формат XML) для описания устройства.
Форматы зависят от производителя
 Большинство поддерживается
“независимымистандартизующимиорганизациями”
 Некоторые стандарты открыты,
некоторые базируются на
коммерческой модели
 В основном ориентируются на принцип
универсального протокола для:
Управления
Безопасности
Синхронизации
Контроля перемещений
Конфигурации
Информационного обмена
 Чем более закрытый стандарт, тем более
детерминированный и характеризуется
меньшими задержками

17. Стандарты в Системах Автоматизации
© 2014 Cisco and/or its affiliates. All rights reserved.
24.11.201417
Контроль перемещений
Ethercat
SERCOS III
Powerlink
ProfinetIRT
SynqNet
IEEE 1588
Промышленность
OPC
Modbus TCP
Profinet
Foundation Fieldbus HSE
Ethernet/IP
NTP
DeviceNet
ControlNet
Profibus
Hart
CC-Link
Транспорт
ARINC 664
Flexray
AS6802 (TTE)
CAN
MOST
Энергетика
IEC 61850
IEC 60870
DNP 3.0
Примечание
: Существует большое количество частных реализаций, не приведенных здесь

18. Промышленная Автоматизация
© 2014 Cisco and/or its affiliates. All rights reserved.
24.11.201418
 CIP - Common Industrial Protocol.
Общий уровень приложений для DeviceNet,CompoNet,ControlNetиEtherNet/IP
 EtherCAT –
высокопроизводительные полевые шины, базирующиеся на Ethernetи открытых стандартах.
 EtherNet/IP – IP
-аббревиатура от"Industrial Protocol". РеализацияCIP (Common Industrial Protocol.)
 Ethernet Powerlink –
детерминированный открытый протокол, регулируемый Ethernet POWERLINK Standardisation Group.
 FOUNDATION fieldbus – H1 & HSE –
последовательныйL2 стандарт, общий дляProfibus/Modbus и др.
 HART Protocol -
Используется для коммуникаций по устаревшим4-20 mA аналоговым коммуникационным трассам.
 Modbus RTU
илиASCII илиTCP
 PROFIBUS/PROFINET –
поддерживаетсяPROFIBUS International, используется Siemens.
 SERCOS –
В основном в приводах. Ethernet-версияSERCOS III
 OPC – OLE
дляProcess Control.
 CC-Link Industrial Networks,
поддерживаетсяCC-Link Partner Association. CC-Link IE базируется наEthernet.
 DNP3 – Distributed Network Protocol.
Используется в распределенных сетях, таких, как водопровод и электричество.
 IEC 61850 –
Стандарт электроэнергетики.

19. Ethernet/IP
© 2014 Cisco and/or its affiliates. All rights reserved.
24.11.201419
 CIP:
Управляющий(Скрытыйобмен)
Данные реального времени
, управление приводами и др.
Использует
UDP(multicast иunicast)
 CIP:
Информационный (Направленныйобмен)
ЧМИ
, сообщения, загрузка ПО
Использует
TCP
 Общий трафик
HTTP, Email, SNMP,
другой.
Виды обмена
Ethernet/IP в системах автоматизации
Преимущества
EtherNet/IP
 Использует стандартный
Ethernet иIP
 Распространенный
—150+ вендоров
 Защита инвестиций
—использует стандартный Ethernet
 Совместимость
—продуктыEIPтестируются на совместимость
FTP
HTTP
OPC
SNMP
BOOTPDHCP
IP
IEEE 802.3 Ethernet
OSPF
ICMP
IGMP
RARP
ARP
Направленный
Скрытый
UDP
CIP
TCP
Layer 2
Layer 3
Layers 5–7
Layer 4
Ethernet/Industrial Protocol илиEthernet/IP (EIP) описывает процедуру передачи коммуникационных пакетов протокола CIP через Ethernetи TCP/IP.

20. PROFINET CBA, RT и IRT
© 2014 Cisco and/or its affiliates. All rights reserved.
24.11.201420
PROFINET CBA (NRT) –
обмен сообщениями, загрузка программ, диагностика. Межмашинный. TCP/UDP/IP
PROFINET RT –
коммуникационный класс PROFINET IO. Layer 2. UDP.
 Ethertype 0x8892.
Упоминается после802.1Q метки.
 Передача данных, управляющих команд и аварийных сообщений
 Время цикла
5-30мс
PROFINET IRT –
коммуникационный класс PROFINET IO. Layer 2.
 Контроль перемещений
 IRT
совместимые устройства имеют функционал коммутатора
 Время цикла от нескольких
100мксдо нескольких мс
 Высокодетерминированный
. Девиация в размере 1мкс
 Частная элементная база
PROFINET
используетGSD file (General Station Description) для описания характеристик и функций устройств.
www.profibus.com

21. Практические Аспекты Реализаций Задач в Производственной Автоматизации
24.11.2014
© 2014 Cisco and/or its affiliates. All rights reserved.
Ethernet I/O – Connected Routing
21

22. Ethernet I/O. Сборочное Производство
24.11.2014
© 2014 Cisco and/or its affiliates. All rights reserved. 22
Первоначальная Архитектура Решения, Уровень Ячейки
Архитектура
Connected Routing
ASA
6500
120.1.x.x
Архитектура Ячейки
К другим ячейкам
Зональный коммутатор
Ядро
ДМЗ
IO
IO
IO
Робот1
IO
IO
IO
Привод
Привод
192.168.1.2
192.168.1.3
192.168.1.4
IO
IO
IO
Робот2
192.168.1.2
192.168.1.3
192.168.1.4
192.168.1.7
192.168.1.8
120.1.1.4
ПЛК
Блок
ввода/
вывода
3750
ПЛК действует как шлюз уровня приложений и разрешает доступ к подключенным устройствам по протоколу CIP
Контроллеры Роботов блокируют прямой доступ к вводу/выводу компонент роботов
Взаимодействие с приложениями верхних уровней, включая корпоративные системы управления, затруднено, по причинам изолированности сегментов и использования закрытых архитектурных решений
Затруднена диагностика. При сбое робота нет возможности однозначно установить причину –сбой датчика, проблема с сетевой инфраструктурой или другая причина
Контроллер Робота
Шина Device Net
Контроллер
Робота
L3
NAT

23. Ethernet I/O.Сборочное Производство
24.11.2014
© 2014 Cisco and/or its affiliates. All rights reserved. 23
Первоначальная Архитектура Решения, Общий Вид
Приложения
Производителей
Общая Архитектура Решения
Internet / Корпоративная Сеть
Сегмент Заводской Сети
Сегмент Промышленного Ethernet
Корпоративные Приложения
ДМЗ/ Управление Доступом
Производственные Приложения
Зона 1
ASA
Cisco ISE
Bayshore Single Key
6500
Зона 2
Зона Х
Ячейка 1
3750
ПЛК
Что находится в зоне?
I/O
DLR
Контроллер Робота
FANUC Роботы
Cisco IE или
Rockwell Stratix
Ячейка 2
Ячейка 1
Ячейка 2

24. Ethernet I/O. Сборочное Производство
24.11.2014
© 2014 Cisco and/or its affiliates. All rights reserved. 24
Итоговая Архитектура Решения
,Connected Routing
Архитектура
Connected Routing ASA
6500
172.x.x.x
Архитектура Ячейки
К другим
коммутаторам
ячеек
Коммутатор
ячейки
Коммутатор зоны
Ядро
ДМЗ
IO
IO
IO
Контроллер
Робота
Робот1
Коммутатор
Робота
IO
IO
IO
Привод
Привод
192.168.1.2
192.168.1.3
192.168.1.4
120.1.1.2
VLAN 30
IO
IO
IO
Контроллер Робота
Робот2
Коммутатор
Робота
192.168.1.2
192.168.1.3
192.168.1.4
192.168.1.2
192.168.1.3
192.168.1.4
192.168.1.7
192.168.1.8
120.1.1.3
120.1.1.4
ПЛК
Блок
ввода/
вывода
VLAN 20
VLAN 10
192.x.x.x
120.x.x.x
3750
VLAN 30 Уникальные адреса только на уровне ячейки.Локально маршрутизируемые
VLAN 20Перекрывающиеся адреса, не маршрутизируемые локально или в заводской сети
VLAN 10 Уникальные для ячейки,зоны и заводской сети. Анонсируются в заводскую сеть

25. Практические Аспекты Реализаций Задач в Производственной Автоматизации
24.11.2014
© 2014 Cisco and/or its affiliates. All rights reserved.
Беспроводные Коммуникации для Инструментов
25

26. Беспроводной Инструмент на Сборочном Производстве
© 2014 Cisco and/or its affiliates. All rights reserved.
24.11.201426
Контроллер имеет три
подключения
Ethernet, DeviceNetи электропитание/коммуникационный интерфейс
Коммуникационный интерфейс и
кабель электропитания между
инструментом и контроллером
Фаза 1: Удаление
кабелей сетевых
интерфейсов
контроллера
Фаза 2: Удаление
кабелей
инструмента

27. Беспроводной Инструмент
© 2014 Cisco and/or its affiliates. All rights reserved.
24.11.201427
Около
8 пакетов за6 мс
Работа
инструмента
Такт
1.6 секунды
Длительность цикла
305 мс
Стабильная работа
при 80% загрузке канала

28. Беспроводной Контроллер
© 2014 Cisco and/or its affiliates. All rights reserved.
24.11.201428Error ProofingPOWERAllen-BradleyQUALITYRUNBATI/ORs232OKRUNPROGREMLogix5550DC INPUTOK STSTSTST0 1 2 3 4 5 6 71 1 1 1 2 2 2 26 7 8 9 0 1 2 32 2 2 2 2 2 3 34 5 6 7 8 9 0 11 1 1 1 1 10 1 2 3 4 58 9DC INPUTOK STSTSTST0 1 2 3 4 5 6 71 1 1 1 2 2 2 26 7 8 9 0 1 2 32 2 2 2 2 2 3 34 5 6 7 8 9 0 11 1 1 1 1 10 1 2 3 4 58 9DC OUTPUTOK STST0 1 2 3 4 5 6 78 9 10 11 12 13 14 15
3 транзакции
6.08 секунды
В отсутствии интерференции
3 транзакции
6.44 секунды
Интерференция
>70%
Транзакция от
6 до8 пакетов

29. Результаты Тестов и Рекомендации
© 2014 Cisco and/or its affiliates. All rights reserved.
24.11.201429
 Компоненты взаимодействуют корректно
даже в условиях сильной интерференции
 Роуминг на новую точку доступа занимает
от 47 до 58 мс
 В случае отказа ТД инструменту
требуется от 7 до 8 секунд для
переключения на альтернативную
 Сбой контроллера беспроводного
доступа требует более 75 секунд для
восстановления
 Количество повторно передаваемых
данных тем ниже, чем ниже скорость
передачи в радиосреде
 Рекомендации для инструмента
(использовался
Atlas Copco):
Улучшить время роуминга, базируясь на количестве переприемов/смещения скорости
Улучшить время роуминга в случае отказа ТД
Имплементировать WMM (QoS) клиента
 Рекомендации для беспроводного
контроллера/точки доступа:
Следование рекомендациям по QoS
Отдельный SSID для инструментов
Внедрение с использованием диапазона 5 ГГц
Отказаться от использование высоких скоростей передачи (54 и 48 Мб/с)
Настройки таймеров EAP для улучшения времени роуминга

30. Практические Аспекты Реализаций Задач в Производственной Автоматизации
24.11.2014
© 2014 Cisco and/or its affiliates. All rights reserved.
Безопасность
30

31. Архитектура Проводного Доступа
© 2014 Cisco and/or its affiliates. All rights reserved.
24.11.201431
Постановка проблемы
:Как изолировать ПК подключенные через неуправляемые DLR/ETAP порты Ethernet?
Приложения
производителей
Интернет
Доступ заблокирован
Блокировки нет
Сегмент Промышленного Ethernet
Корпоративные приложения
Управление доступом
Производственные приложения
I/O
DLR
ПЛК
Ячейка 1
Ячейка 2
I/O
DLR
ПЛК
Инструменты
ПК
ETAP
3750
RA 5700 / IE 2K
Стратегия:
1)Использовать центральный контроллер политик, управляющий доступом к сети
2)Нет необходимости создавать политики безопасности на каждом коммутаторе/контроллере, перенаправление на ISE
3)Коммутатор Cisco может проводить аутентификацию тремя способами:
a)802.1x
b)Web аутентификация
c)MAB –mac address by-pass
4)ISE динамически реагирует на результат авторизации:
a)Меняетvlan
b)ПрименитьdACL
c)ПрименитьSGT
5)Например,dACLприменяется на входящем порту коммутатора Cisco, позволяя устройству взаимодействовать с сервером А и только при подключении через порт D.
ASA
6500
Преимущества:
1)Улучшенное масштабирование и безопасность
a)Политика создается один раз в одном месте
b)Устройствам не разрешается доступ, пока политика однозначно не позволяет это сделать
2)Вендорыизолируются друг от друга при помощи ролевого доступа
3)На управляемых коммутаторах точка контроля доступа перемещается из заводской сети вячейки сегмента промышленного Ethernet
4)Блокировка портов Ethernetна управляемых коммутаторах в ячейке
Точка контроля
Cisco ISE
RA 5700 / IE 2K
IO
Инструменты
Сегмент Заводской Сети

32. Постоянный и Аварийный Удаленный Доступ
© 2014 Cisco and/or its affiliates. All rights reserved.
24.11.201432
Постановка проблемы
:Как организовать постоянный или аварийный удаленный доступ для мониторинга и сбора информации, одновременно ограничивая пользователя в возможности изменять настройки оборудования?
Приложения
производителей
Интернет
Доступ заблокирован
Блокировки нет
Сегмент Заводской Сети
Сегмент Промышленного Ethernet
Корпоративные Приложения
Управление доступом
Производственные приложения
ПЛК
Ячейка1
Ячейка 2
I/O
DLR
ПЛК
Инструменты
ПК
RA 5700 / IE 2K
Стратегия:
1)Применить центральный контроллер политик доступа к сети–Cisco ISE
2)Применить приложение с возможностью контроля данных для наложения политики на индустриальную сеть
3)Интегрировать политику доступа к сети на ISEс функционалом контроля данных на Single Key
4)Маршрутизировать или перенаправлять трафик из VPN наSingle Key после аутентификации на ASA иISE
5)Bayshoreпроксируетудаленную сессию и мониторит на соответствие политике
6)Нарушение политики: Пользователь пытается выполнить операцию записи и изменить настройки робота
7)Корректирующее действие:
a)СбросTCPсессии
b)Выборочная фильтрация команд и трафика без сброса соединения
c)Отправка сообщения на Cisco ISE для применения политики на сети
d)Отправка уведомления на консоль мониторинга
ASA
Преимущества:
1)Мониторинг сессии удаленного доступа на предмет нарушений целостности продукта
2)ОбъединениеIT иOT политик через интеграциюISEиSingle Key
3)Позволяет улучшить Общую Эффективность Оборудования благодаря возможности удаленного безопасного мониторинга
4)Улучшенное масштабирование и безопасность
a)Политика создается один раз и в одном месте
b)Устройствам не разрешается доступ, пока политика не позволяет однозначно это сделать
Точка контроля
Cisco ISE
RA 5700 / IE 2K
I/O
DLR
Bayshore Single Key
6500
Контроллер робота
3750

33. Логическая Модель Удаленного Доступа
© 2014 Cisco and/or its affiliates. All rights reserved.
24.11.201433
ПК
Заводская
Сеть
Классификация
Транспорт
Действие
Интернет
ПК
B
A
C
ПромышленыйСегмент Сети
4
SXP
SXP
D
CoA
1
2
3
4
5
Логическая цепочка:
1Пользователь инициирует VPN-соединение
2ASA аутентифицирует через ISE, ISE отправляетCoA w/ dACL& SGT
3ASA отправляетSXP таблицу на3750X
4ASA также отправляетSXP таблицу наBayshoreSingleKey
5Сессия будет заперта на определенном порту - Bayshoreобеспечит гранулярный контроль
SingleKey
ASA
ISE
3750X
AD/DNS/Cert/DHCP
VPN
Удаленный доступ–по запросу

34. Логическая Модель Проводного Доступа
© 2014 Cisco and/or its affiliates. All rights reserved.
24.11.201434
Промышленная Сеть
Классификация
Транспорт
Действие
Интернет
2
3
4
Логическая цепочка:
1Пользователь подключается кETAP
2‘Интересный’трафик появляется на входном портуStratix/ IE
3Коммутатор запускает процесс Web Auth
4Коммутатор запрашивает ISE
5ISE отвечает с CoA и отправляет dACL, назначаемый на входной порт
6Устройство подключается к 10.1.1.1 через порт 410.
ISE
3750X
AD/DNS/Cert/DHCP
Проводной Доступ–Управляемый
Приложения
Производителя
ETAP
Заводская Сеть
Вендор
6500
1
5
6
Ячейка
Stratix/ IE

35. Ваши Вопросы
24.11.2014
© 2014 Cisco and/or its affiliates. All rights reserved. 35

36. CiscoRu Cisco CiscoRussia
Ждем Ваших сообщений с хештегом
#CiscoConnectRu
24.11.2014
© 2014 Cisco and/or its affiliates. All rights reserved.
Пожалуйста, используйте код для оценки доклада
6342
Ваше мнение очень важно для нас
Спасибо
!