# Profinet Struktur für den Einstieg in die TIA Welt



## A.Gashi (18 November 2021)

Guten Tag miteinander,

wir haben es möglichst lange rausgezögert bei uns im Betrieb Tia Portal Komponenten einzusetzen, doch mittlerweile ist die Version Tia V17 rausgekommen und
ich hoffe, dass sich das jetzt mal einpendelt und nicht alle 6 Monate eine neue Version kommt 

Ich arbeite in einem Konzern und ich habe die Aufgabe bekommen eine Struktur festzulegen, wie wir unsere Anlagen planen. Dies kann ich dann den Automationsspezialisten aller Standorte präsentieren 

IT-Security ist ein grosses Thema bei uns, deshalb gibt die IT vor, dass im Schaltschrank ein Switch (managed) von uns reinkommt und alle Profinet Teilnehmer eine IP von uns bekommen (Firmenspezifische IP). Also reden wir von der CPU, HMI und alle weiteren Profinet Teilnehmer wie zB. Frequenzumformer etc.
Ich finde dass das übertrieben ist wenn eine grosse Anlage reingestellt wird und gleich 50 IP's nötig sind. 

-> Meiner Meinung nach ist das unübersichtlich und unsere IP Range wird ziemlich schnell am Limit sein und die ganze Dokumentation zu pflegen wäre auch eine Herausforderung.

Ich stelle mir das so vor: Wir definieren eine IP für die CPU und das HMI. Diese haben ja meistens 2 Ethernet Anschlüsse. Ich verbinde die CPU mit dem HMI direkt beide an einem Netz. Und ich verbinde die CPU mit einem Scalance Switch von Siemens und dort schliesse ich alle Profinet Teilnehmer an in dem Standardnetz (192.168....)

Dies ermöglicht mir den Zugriff auf die CPU und das HMI per Fernwartung. Den Zugriff auf alle anderen Geräte (FU's etc) ist für mich eigentlich nicht nötig.

Hat jemand schon Erfahrung in diesem Gebiet, es nehmt mich wunder wie ihr das bei euch macht. Ich strebe eine möglichst einfache Lösung an.

Bin gespannt auf die Antworten


----------



## blackpeat (18 November 2021)

Ich hole da immer gerne dieses Beispiel raus. Die Frage brauchst du die CPU/HMI überhaupt im Officenetz?









						Festo schützt Datenübertragung im Produktionsnetz
					

Via Firewall und VPN-Verschlüsselung schützt Festo die Produktionsnetze in seiner Technologiefabrik gegen ungewollte Zugriffe.




					industrieanzeiger.industrie.de


----------



## DeltaMikeAir (18 November 2021)

A.Gashi schrieb:


> ich hoffe, dass sich das jetzt mal einpendelt und nicht alle 6 Monate eine neue Version kommt


Es kam damals schon nicht alle 6 Monate eine neue Version, die aktuelle Stategie ist "one year - one version, no more SP"



A.Gashi schrieb:


> Wir definieren eine IP für die CPU und das HMI. Diese haben ja meistens 2 Ethernet Anschlüsse.


Vorsicht, eine 1500ér CPU mit zwei PN-Anschlüssen hat nicht automatisch zwei separat projektierbare Ports.
X1P1 und X1P2 ist ein einfacher Switch.



A.Gashi schrieb:


> Dies ermöglicht mir den Zugriff auf die CPU und das HMI per Fernwartung. Den Zugriff auf alle anderen Geräte (FU's etc) ist für mich eigentlich nicht nötig.


Warum dann alle IP-Teilnehmer in ein Firmennetz legen? Das Chaos und schwer zu findende Probleme sind doch vorprogrammiert.

Als einfachste Lösung würde ich nur die CPU per zweiter PN-Schnittstelle oder CP ins Firmennetz bringen. Und Anbindung irgendwelcher PN Teilnehmer nicht über ein Office Netzwerk um Kabelverlegung zu sparen sondern das Maschinennetz komplett neu legen und getrennt lassen.


----------



## ducati (18 November 2021)

- oberstes Gebot: Netze trennen, also mehrere Netze anlegen!
- ins Office-Netzt kommt wenn überhaupt nur die SPS über nen CP bzw. das Panel ab TP1500 über die separate Schnittstelle
- Feldbus (also Umrichter usw. haben im Officenetz nichts zu suchen, also extra Netz, welches die IT NICHTS angeht!

Kannst gerne fragen, ob die IT dann auch die Umrichter programmiert, wenn die doch sowas wie nen PC sind 

usw...


----------



## A.Gashi (18 November 2021)

DeltaMikeAir schrieb:


> Vorsicht, eine 1500ér CPU mit zwei PN-Anschlüssen hat nicht automatisch zwei separat projektierbare Ports.
> X1P1 und X1P2 ist ein einfacher Switch.


Aber es gibt doch CPU's die zwei seperat projektierbare Ports haben oder?



DeltaMikeAir schrieb:


> Warum dann alle IP-Teilnehmer in ein Firmennetz legen? Das Chaos und schwer zu findende Probleme sind doch vorprogrammiert.
> 
> Als einfachste Lösung würde ich nur die CPU per zweiter PN-Schnittstelle oder CP ins Firmennetz bringen. Und Anbindung irgendwelcher PN Teilnehmer nicht über ein Office Netzwerk um Kabelverlegung zu sparen sondern das Maschinennetz komplett neu legen und getrennt lassen.


Ich verstehe das auch nicht das wurde so als Vorgabe gegeben aber habe mich quergestellt.. ich brauche nur die CPU und das HMI am Firmennetz.
Das HMI damit ich über Sm@rtClient drauf zugreifen kann und mein virtueller Programmierrechner ist nun mal im Firmennetz.


----------



## A.Gashi (18 November 2021)

ducati schrieb:


> - oberstes Gebot: Netze trennen, also mehrere Netze anlegen!
> - ins Office-Netzt kommt wenn überhaupt nur die SPS über nen CP bzw. das Panel ab TP1500 über die separate Schnittstelle
> - Feldbus (also Umrichter usw. haben im Officenetz nichts zu suchen, also extra Netz, welches die IT NICHTS angeht!
> 
> ...


Da versteht jemand meinen Ärger über die IT und das Angebot dass sie einen Umrichter programmieren sollen werde ich ihnen gerne unterbreiten 

Wie meinst du das mit dem Panel über die seperate Schnittstelle? Ich will möglichst ein Netzwerkkabel vom Schaltschrank zum Produktionsnetzswitch ziehen lassen.


----------



## A.Gashi (18 November 2021)

blackpeat schrieb:


> Ich hole da immer gerne dieses Beispiel raus. Die Frage brauchst du die CPU/HMI überhaupt im Officenetz?
> 
> 
> 
> ...


Ja ich brauche beide im Produktions bzw. Techniknetz


----------



## DeltaMikeAir (18 November 2021)

A.Gashi schrieb:


> Aber es gibt doch CPU's die zwei seperat projektierbare Ports haben oder?


Die gibt es schon, natürlich.



A.Gashi schrieb:


> Ich verstehe das auch nicht das wurde so als Vorgabe gegeben aber habe mich quergestellt.


Dann frag doch erst mal die Leute die die Vorgabe gegeben haben: "wie, warum, weshalb usw..."


----------



## DeltaMikeAir (18 November 2021)

A.Gashi schrieb:


> Wie meinst du das mit dem Panel über die seperate Schnittstelle?


Die Comfort Geräte TP1500 und größer haben eine zweite, eigens projektierbare Ethernetschnittstelle.


----------



## A.Gashi (18 November 2021)

DeltaMikeAir schrieb:


> Die gibt es schon, natürlich.
> 
> 
> Dann frag doch erst mal die Leute die die Vorgabe gegeben haben: "wie, warum, weshalb usw..."


Die Begründung war dass für die IT dann alles ersichtlich ist und Sie sehen welche Teilnehmer an diesem Port hängen. So könnten sie Support bieten. Wenn ich das mit einem Scalance Switch miteinander verbinde haben sie keine Übersicht mehr. Und man könnte Umrichter etc. per Fernwartung Parameter anpassen etc.

-> Ich habe mich quergestellt ich brauche keinen "IT Support" auf Maschinenebene, das ist mein Ding und ab dem Switchport hört die IT Infrastruktur für mich auf. Ausserdem muss ich auch nicht auf alle Umrichter Parameter per Fernwartung draufladen können. Ist mir sowieso zu kritisch, dafür muss ich vor Ort sein..


----------



## DeltaMikeAir (18 November 2021)

A.Gashi schrieb:


> Die Begründung war dass für die IT dann alles ersichtlich ist und Sie sehen welche Teilnehmer an diesem Port hängen. So könnten sie Support bieten.


Welchen Support können sie denn bitte bieten?????



> Wenn ich das mit einem Scalance Switch miteinander verbinde haben sie keine Übersicht mehr.


Für was brauchen Sie bei einer Anlage eine Übersicht? Was geht die das an?

Lass die halt auflaufen, sie sollen dir ein Lastenheft schreiben was sie sich vorstellen und wünschen.


----------



## MFreiberger (18 November 2021)

A.Gashi schrieb:


> Aber es gibt doch CPU's die zwei seperat projektierbare Ports haben oder?


Ja, aber: Je nach Firmwarestand gibt es dabei IP-Routing oder nicht. Wenn ja, ist der Zugriff von Außen prinzipiell möglich. Es kann nur eine Schnittstelle ein Router eingetragen haben.
Z.B. 1515:
X1.P1 => Schnittstelle 1 . Port 1 (für Profinet vorgesehen)
X1.P2 => Schnittstelle 1 . Port 2 (für Profinet vorgesehen)
X2.P1 => Schnittstelle 2 . Port 1 (für Ethernetanbindung vorgesehen (Office-Netz o.a.))




A.Gashi schrieb:


> Ich verstehe das auch nicht das wurde so als Vorgabe gegeben aber habe mich quergestellt.. ich brauche nur die CPU und das HMI am Firmennetz.
> Das HMI damit ich über Sm@rtClient drauf zugreifen kann und mein virtueller Programmierrechner ist nun mal im Firmennetz.


Machen wir eigentlich genauso. Profinet ist am Ende des Tages ein Bussystem. Es bietet Vorteile zum Profinet. Es basiert auf Ethernet. Es gibt aber gute Gründe, das nicht mit dem Office-Netz zu mischen.

Da hole ich immer wieder gerne diesen Film hervor: 




VG

MFreiberger


----------



## ducati (18 November 2021)

Die Panels ab TP1500 haben zwei Schnittstellen mit separater IP Adresse.
Gehst also von der 2. Schnittstelle zur CPU/CP und dann weiter ins Büronetz.
Die erste Schnittstelle vom Panel bleibt im Feldbus.

Ich würde der IT garnicht sagen, dass die Umrichter ne Rj45 Buchse haben. Das ist halt ne Feldbusschnittstelle z.B. Profibus und gut.

Grundsätzlich sollte man sich davon trennen, alles was ne Rj45 Buchse hat, miteinander verbinden zu wollen.
Nur diejenigen Geräte kommen in ein Netz, welche zwingend miteinander Daten austauschen müssen.

Zum Thema Sicherheit, alles was nicht in einem Netz hängt, kann auch nicht darüber "angegriffen" werden.


----------



## DeltaMikeAir (18 November 2021)

Du kannst deine IT ja auch mal fragen, was passiert wenn ihr >200 Teilnehmer im Netz habt, Anlagen, Office PC´s, Umrichter und
dann die Office PC´s alle zeitgesteuert ein Backup auf einen Server beginnen, oder große Datenmengen im Office-Netz verschoben
werden....


----------



## A.Gashi (18 November 2021)

MFreiberger schrieb:


> Ja, aber: Je nach Firmwarestand gibt es dabei IP-Routing oder nicht. Wenn ja, ist der Zugriff von Außen prinzipiell möglich. Es kann nur eine Schnittstelle ein Router eingetragen haben.
> Z.B. 1515:
> X1.P1 => Schnittstelle 1 . Port 1 (für Profinet vorgesehen)
> X1.P2 => Schnittstelle 1 . Port 2 (für Profinet vorgesehen)
> X2.P1 => Schnittstelle 2 . Port 1 (für Ethernetanbindung vorgesehen (Office-Netz o.a.))


Wie würde das dann in der Projektierung aussehen. Ich habe jetzt in diesem Beispiel die CPU1515-2PN genommen. Ein Port ist mit dem HMI verbunden, beide sind im Produktionsnetz. Der Switch und die sämtliche Peripherie im Standard Siemens Netz. Müsste ich dann den zweiten leeren Port am HMI auch im Produktionsnetz definieren und von dort aus auf die Dose für ins Produktionsnetz? Oder der dritte Port an der CPU, der in der Netzsicht nicht angezeigt wird, von dem dann aus ins Produktionsnetz







MFreiberger schrieb:


> X2.P1 => Schnittstelle 2 . Port 1 (für Ethernetanbindung vorgesehen (Office-Netz o.a.))





	

		
			
		

		
	
 Das wäre ja dieser Port


----------



## MFreiberger (18 November 2021)

Moin A.Gashi,

das sieht schon sehr gut aus!

Der "dritte" Port der CPU (Falls Du x1.p2 meinst) gehört ja zur Schnittstelle 1 (Profinet), kann also nicht für das Produktionsnetz verwendet werden.

Vielleicht noch einmal etwas (wie ich hoffe) klarer:

X1 = Schnittstelle 1 (üblicherweise Profinet)
X2 = Schnittstelle 2 (üblicherweise Industrial Ethernet)

Die X2 ist gut für das Produktionsnetz zu nutzen. Da kann auch gut das Panel angeschlossen werden (sm@rt server, Kamerabilder, etc.). Die X2 hat nur einen Port (Zugang/Tür).

Die X1 ist gut für das Bussystem der Maschine (Profinet) zu nutzen. Da hier häufig "durchverbunden" wird, d.h. Switche sinnvoll, aber nicht immer notwendig sein sollen, hat die X1 zwei sichtbare Ports (Zugänge) um Teilnehmer anzuschließen. Meistens handelt es sich sogar um einen 3-Port-Switch: ein Port nach innen (intern) und zwei Ports nach Außen geführt, um Peripherie anzuschließen.

Hinweis: ein Port bezeichet NICHT eine Schnittstelle (auch, wenn es hardwaremäßig so aussieht)!

Zu Deinem Bild mit der Frage nach dem Ethernetport: Ja, das ist richtig. Die Schnittstelle mit dem einzelnen Port ist die Ethernetschnittstelle.


Nachtrag: für das HMI bin ich mir nicht sicher, ob es zwei Schnittstellen oder nur eine Schnittstelle mit zwei Ports hat. Aber das kann man ja schnell in den technischen Daten nachlesen.
Aha: das TP1500 hat tatsächlich zwei Schnittstellen mit je einem Port. Das TP900 hat eine Schnittstelle mit zwei Ports. Da wäre ich drauf reingefallen, weil mir noch im Hinterkopf die Info rumlungert, wonach alle comfort-Panels (abgesehen vom KTP400, da Gehäuse zu klein), die gleichen Schnittstellen und die gleiche Firmware haben sollten. Kann ja nicht sein. 


VG

MFreiberger


----------



## DeltaMikeAir (18 November 2021)

Wissenswert im Bezug auf die X2 Schnittstelle ist noch ( vor allem wenn ihr Bestandsanlagen habt ):
Die X2 kann erst ab Firmware V2.0 als Profinet Controller projektiert werden. Also müsste man ggf.
die Firmware hochrüsten 
*ABER:*
Manche CPU´s kann man nur bis V1.8.5 hochrüsten
Beispiel: 6ES7 516-3AN00-0AB0
d.H. hier kann die X2 nie ein Profinet Controller sein.




Quelle:
Firmware-Update S7-1500 CPUs incl. Displays und ET 200 CPUs (ET 200SP, ET 200pro)


----------



## A.Gashi (18 November 2021)

MFreiberger schrieb:


> Moin A.Gashi,
> 
> das sieht schon sehr gut aus!
> 
> ...


Danke für die ausführliche Erklärung.

Was für mich aber noch unklar ist, der Port X2 P1 an der CPU ist ja wie du sagst die Schnittstelle für Industrial Ethernet. Und mein HMI, welches auch am Industrial Ethernet sein sollte, müsste ja auch an diesem Port mit der CPU verbunden werden. Nur muss ich dann ja noch einen Anschluss haben um auf das Produktionsnetz zu kommen. Bei einer bestehenden Anlage habe ich gesehen, dass die CPU an diesem Port mit dem HMI verbunden wurde. Und vom 2. Port am HMI dann ins Produktionsnetz. Ist das richtig so?


----------



## JesperMP (18 November 2021)

Verwende doch ein Router anstatt alle Geräte müssen 2 eigenständige Schnittstellen haben.
2 Schnittstellen gibt es manchmal, aber nicht immer.
Ein Router ist genau für diesen Zweck gemeint, und ist gang und gäbe.
Ein Router zu warten ist einfacher als x-mal Geräte. 
Die IT Abteilung kann die Verantwortlichkeit von die Router haben, dass machen sie zufrieden.
Die IP Adressen in Maschinennetz müssen nicht von IT vorgegeben sein.


----------



## A.Gashi (18 November 2021)

DeltaMikeAir schrieb:


> Wissenswert im Bezug auf die X2 Schnittstelle ist noch ( vor allem wenn ihr Bestandsanlagen habt ):
> Die X2 kann erst ab Firmware V2.0 als Profinet Controller projektiert werden. Also müsste man ggf.
> die Firmware hochrüsten
> *ABER:*
> ...


Zum Glück befinden wir uns noch am Anfang und wir entscheiden uns für eine CPU die wir verwenden wollen die möglichst alle Anwendungen abdeckt (auch wenn es teils überdimensioniert ist) wollen wir möglichst wenig Typen an Lager haben.
Das Problem sollten wir also nicht haben.


----------



## Gerhard Bäurle (18 November 2021)

A.Gashi schrieb:


> Die Begründung war dass für die IT dann alles ersichtlich ist und Sie sehen welche Teilnehmer an diesem Port hängen. So könnten sie Support bieten.


Klar, spielen dann während der laufenen Produktion Updates ein ....

Un plötzlich hat der Steuerungsrechner ein Servicepack installiert, das für die Software gar nicht freigegeben ist.

Hast Dur denen schon mal gesagt, dass die Anforderungen an die Produktions-IT ganz andere sind, als im Büro?


----------



## A.Gashi (18 November 2021)

Gerhard Bäurle schrieb:


> Klar, spielen dann während der laufenen Produktion Updates ein ....
> 
> Un plötzlich hat der Steuerungsrechner ein Servicepack installiert, das für die Software gar nicht freigegeben ist.
> 
> Hast Dur denen schon mal gesagt, dass die Anforderungen an die Produktions-IT ganz andere sind, als im Büro?


Nein das schon nicht, dies wird mit Patch Level geregelt wobei P0 bspw. jederzeit etwas gemacht werden kann und P3 nur nach Absprache mit dem Verantwortlichen.

Eine Regelung ist vorhanden, aber ich gebe dir Recht es ist nämlich schon mal passiert dass sie plötzlich irgendwelche Updates aufgespielt haben


----------



## DeltaMikeAir (18 November 2021)

A.Gashi schrieb:


> es ist nämlich schon mal passiert dass sie plötzlich irgendwelche Updates aufgespielt haben


Auf was für ein Gerät denn?


----------



## A.Gashi (18 November 2021)

DeltaMikeAir schrieb:


> Auf was für ein Gerät denn?


Ins Detail kann ich nicht gehen aber im Moment führen sie diverse Netzwerk Schwachstellen Scans durch und durch die Überlastung hatten wir Probleme mit Telegramm Übertragungen SPS seitig die nicht angekommen sind. Ich bin kurz davor die IT wieder abzutrennen von unserem Standort und das wieder auf eigene Faust zu übernehmen


----------



## Gerhard Bäurle (18 November 2021)

Mit genügend Broadcast- und Multicast-Telegrammen bringt man auch Profinet an die Grenzen ...









						Profinet in KI-Anwendungen - Industrial AI
					

Selbstlernende Systeme und Anwendungen mit Künstlicher Intelligenz benötigen eine umfangreiche Datenbasis. Das kann auch Auswirkungen auf Ihre Profinet-Installation haben – denn darüber werden die notwendigen Prozess- und Anlagendaten erfasst.




					www.ind-ai.net
				




Problematisch können einzelne Geräte sein, die nach einer Spec vor 2.3 in den Markt gebracht wurden.


----------



## ducati (19 November 2021)

A.Gashi schrieb:


> Ich will möglichst ein Netzwerkkabel vom Schaltschrank zum Produktionsnetzswitch ziehen lassen.


Naja... wie ich das bei den großen Firmen und der IT kenne, wird pro Port am IT-Switch nur eine vordefinierte MAC-Adresse erlaubt. Wenn da was anderes auftaucht, wird der Port gesperrt...

Also vermutlich lieber 2 Kabel ziehen lassen, bzw. gibts ja diese "doppelten" Netzwerkkabel.

Gruß.


----------



## ducati (19 November 2021)




----------



## Lipperlandstern (19 November 2021)

A.Gashi schrieb:


> Die Begründung war dass für die IT dann alles ersichtlich ist und Sie sehen welche Teilnehmer an diesem Port hängen. So könnten sie Support bieten. Wenn ich das mit einem Scalance Switch miteinander verbinde haben sie keine Übersicht mehr. Und man könnte Umrichter etc. per Fernwartung Parameter anpassen etc.
> 
> -> Ich habe mich quergestellt ich brauche keinen "IT Support" auf Maschinenebene, das ist mein Ding und ab dem Switchport hört die IT Infrastruktur für mich auf. Ausserdem muss ich auch nicht auf alle Umrichter Parameter per Fernwartung draufladen können. Ist mir sowieso zu kritisch, dafür muss ich vor Ort sein..



Hätte Siemens doch nur andere Stecker für Profinet entwickelt  ... oder hat jemand jemals gehört das sich die IT um Profibus-Adressen kümmert ?  Bei Profinet habe ich diese Diskussion auf jeder Baustelle. "Ihre IP entspricht aber nicht unserem Firmenstandart" Wenn ich dann 50 - 80 IP-Adressen haben will ist aber meist Ruhe 🤪


----------



## ducati (19 November 2021)

Lipperlandstern schrieb:


> Hätte Siemens doch nur andere Stecker für Profinet entwickelt


👍 Denk ich mir auch ständig.
Vor allem, weil auch kaum ein Elektriker die Rj45 Dinger ordentlich konfektionieren kann...


----------



## Eckenhart (20 November 2021)

Warum zeigst du der IT nicht mal die schöne Siemens Pyramide?
Baue das Anlagennetzwerk doch getrennt auf und lass ihnen zugriff.
Mit Siemens Swichen ist Profi Bus im Vorteil,, den diese Protokolle werden bevorzugt behandeltEin it sicherheitscheck hat keine Auswirkungen theoretisch


----------



## Eckenhart (20 November 2021)

Bei uns ist das nach PCS7 richlinie aufgebaut . Schaue es dir mal an  Und diesbezüglich sind wir vermutlich die besten


----------

