Datenausfälle sind keine Option Kernpunkte sicherheitskritischer Kommunikationsnetze

Für die Betreiber von Kommunikationsnetzen bei Polizei, Feuerwehren, Rettungsdiensten, Elektrizitätswerken, Wasserversorgung, Eisenbahnen, Straßenverkehr und Luftfahrt zählen höchste Verfügbarkeit anwendungskritischer Daten und eine sichere Übertragung sensibler Informationen. Datenausfälle haben gravierende Auswirkungen und müssen verhindert werden. Keymile nennt die drei wichtigsten Anforderungen an sicherheitskritische Kommunikationsnetze.

Anbieter zum Thema

WatchGuard Technologies GmbH

Heidelberg iT Management GmbH & Co. KG

Zadara Ltd.

KEYMILE GmbH

In vielen Bereichen verwenden sicherheitskritische Anwendungen die gleichen Technologien wie öffentliche Telekommunikationsnetze. Es gibt jedoch wesentliche Unterschiede, die bei der Planung und für den Betrieb solcher Netze berücksichtigt werden müssen. Keymile, ein Hersteller von Next-Generation-Datenübertragungssystemen, hat die wichtigsten Anforderungen in drei Punkten zusammengefasst.

1. Höchste Verfügbarkeit des Netzes

Während für das öffentliche Netz eine Verfügbarkeit von 99,999 Prozent (entspricht einem Ausfall von maximal fünf Minuten pro Jahr) gefordert ist, beträgt der entsprechende Wert für sicherheitskritische Anwendungen, etwa bei der Energieversorgung, 99,9999 Prozent – also maximal 32 Sekunden Ausfall pro Jahr. Zu den wirksamen und etablierten Maßnahmen, um diese Anforderung zu erfüllen, zählt die redundante Auslegung der kritischen Hardwarekomponenten wie Stromversorgung und Zentralkarten. Bei der Stromversorgung werden sowohl die Netzteile als auch die Anschlüsse doppelt geführt. Dazu kommt zusätzlich die redundante Auslegung der Übertragungspfade mit schnellen Umschaltmechanismen.

Die Kommunikation basiert auf der Transportebene zum größten Teil auf SDH-Netzen. Hier werden die Übertragungswege mit Funktionen wie „Path Protection“ (Schutzschaltung auf Leitungsebene) oder „Multiplex Section Protection“ (eine Ersatzverbindung schützt genau eine Faserverbindung) abgesichert. Typischerweise sind Umschaltzeiten unter 50 Millisekunden nötig. Bestimmte Ethernet/IP-basierte Schutzmechanismen (RSTP, redundante Routing-Pfade), wie sie teilweise in öffentlichen Netzen eingesetzt werden, eignen sich für den Einsatz in hochverfügbaren Netzen nicht.

2. Konservatives Netzdesign

Dienstausfälle in sicherheitskritischen Kommunikationsnetzen sind zum Glück sehr selten. Wenn sie auftreten, liegt es oft nicht am Versagen einer Systemkomponente, sondern an Designfehlern bei der Netzarchitektur oder bei Geräten. So musste man feststellen, dass die Konvergenz- oder Umschaltzeit in Spanning-Tree-Netzen bei komplexeren Netztopologien stark variieren kann. Bei den Netzelementen macht sich vor allem die wachsende Komplexität der Software bemerkbar. Auch bei umfangreichen Entwicklungs- und Systemtests lassen sich nicht alle Fälle abdecken, sodass es im Alltag zu unerwarteten Ereignissen und Fehlverhalten kommen kann. Netzbetreiber setzen deshalb neue Technologien erst ein, wenn diese sich in weniger kritischen Anwendungen über mehrere Jahre bewährt haben.

Eine Schlüsselfrage in diesem Bereich ist seit vielen Jahren die Migration der traditionellen leitungsvermittelten (circuit-switched) auf die paketvermittelte Übertragung. Paketbasierende Technologien wie IP und MPLS kommen in sicherheitskritischen Kommunikationsnetzen für weniger sicherheitsrelevante Dienste bereits zum Einsatz. Es wird aber noch einige Jahre dauern, bis die QoS-Mechanismen (Quality-of-Service) von Ethernet-Netzen eine Reife erreicht haben, die eine vollständige Ablösung der heute im Einsatz befindlichen TDM-Infrastruktur erlauben.

3. Berücksichtigung langer Innovations- und Ersatzzyklen

Kommunikationsnetze für sicherheitskritische Anwendungen finden sich vorwiegend in Infrastrukturen wie Eisenbahnnetzen, wo sie über viele Jahre im Einsatz bleiben. Bei der Auswahl von Komponenten und Lieferanten wird daher eine langjährige Verfügbarkeit von Ersatzkomponenten und Wartung gefordert. Hier geht es um einen Zeitraum von 20 bis 25 Jahren. Ein weiterer Aspekt ist die dauerhafte Sicherstellung der Unterstützung wichtiger traditioneller Schnittstellen wie X.21/V.11 oder V.24/RS232, damit durch die Abkündigung von Systemkomponenten nicht weitere Netzelemente oder Endgeräte ersetzt werden müssen, deren Schnittstellen nicht mehr zur Verfügung stehen würden.

Die Weiterentwicklung sicherheitskritischer Kommunikationsnetze bewegt sich immer im Spannungsfeld zwischen Kompatibilität mit den Bestandssystemen und der Integration von Standardkomponenten in individuelle Lösungen, sowie zwischen nationalen und internationalen Sicherheitsstandards wie CENELEC 50159 (sicherheitsrelevante Kommunikation in Übertragungssystemen für Bahnanwendungen) oder IEC 61508 (funktionale Sicherheit sicherheitsbezogener elektrischer/elektronischer/programmierbarer elektronischer Systeme).

„Die geforderte hohe Verfügbarkeit setzt eine große Stabilität sicherheitskritischer Kommunikationsnetze voraus. Es ist unverzichtbar, dass die Systeme kompromisslos redundant ausgelegt sind. Stromversorgung, kritische Systemkomponenten und die Übertragungswege werden doppelt geführt, damit bei einem Ausfall des einen Weges ein Dienst nicht beeinträchtigt wird“, erklärt Mario Wolf, Projektleiter für sicherheitskritische Systeme bei Keymile. „Die Zusammenarbeit mit erfahrenen Spezialisten erleichtert Betreibern sicherheitskritischer Kommunikationsnetze, die Übersicht zu behalten und entscheidende Dienste durch eine nachhaltige Netzplanung langfristig zu sichern.“

(ID:2051775)