Der EU-Cyber-Resilience-Act (CRA) wurde Anfang 2024 verabschiedet und findet ab 2027 Anwendung. Mit dem CRA soll die Cybersicherheit von Produkten, die miteinander oder mit dem Internet verbunden werden können, verbessert werden. Dies umfasst eine Vielzahl von Produkten, von Smart-Home-Geräten über industrielle Systeme bis hin zu kritischen Infrastrukturen.
Für Hersteller und Betreiber von Schienenfahrzeugen hat der Cyber-Resilience-Act weitreichende Implikationen, da moderne Züge zunehmend auf digitale Systeme angewiesen sind, sei es für den Betrieb, die Wartung oder die Fahrgastsicherheit. Hersteller und deren Lieferanten werden in Zukunft nachweisen müssen, dass die digitalen Systeme in ihren Fahrzeugen den Cybersicherheitsanforderungen entsprechen und ihre Fahrzeuge gegen Cyberbedrohungen geschützt werden können. Das betrifft sowohl die Hardware als auch die Software. Da Schienenfahrzeuge eine lange Lebensdauer haben, müssen Hersteller über den gesamten Lebenszyklus hinweg die Cybersicherheit ihrer Systeme sicherstellen, einschließlich der Bereitstellung von Sicherheitsupdates und dem Management von Schwachstellen.
„Safety“ und „Security“ in der Bahntechnik
In der IT im Allgemeinen und in der Bahntechnik im Speziellen werden unter dem Begriff „Safety“ alle Systeme zur funktionalen Sicherheit subsummiert und unter dem Begriff „Security“ das Thema IT-Sicherheit. „Safety“ stellt somit sicher, dass Fehlfunktionen von Systemen oder Komponenten nicht zu gefährlichen Zuständen führen könnten. „Safety“ befasst sich also mit der Zuverlässigkeit und Integrität von Datenübertragungen und Systemen, um Fehlfunktionen zu vermeiden. Hierbei spielt das SDTv2-Sicherheitslayer eine zentrale Rolle, da es Mechanismen zur Datenintegrität, Fehlererkennung und Redundanz bereitstellt. Ein Beispiel sind die Vital Data Packets (VDP), die sicherstellen, dass Sicherheitsdaten korrekt und ohne Manipulation übertragen werden.
Der Begriff „Security“ bezieht sich hingegen auf den Schutz von Systemen und Daten vor böswilligen Angriffen oder Manipulationen. Es geht also darum, Vertraulichkeit, Integrität und Verfügbarkeit von Informationen sicherzustellen. Dabei können „Safety-Funktionalitäten“ durchaus hilfreich sein um „Security-Anforderungen“ zu erfüllen. So können SDTv2 Sicherheitsmechanismen wie Verschlüsselung und Authentifizierung in modernen Bahnsystemen ergänzt werden, um Safety-Anforderungen zu erfüllen. Vereinfacht gesagt schützt „Safety“ den Mensch vor der Maschine, dagegen schützt „Security“ die Maschine vor dem Mensch.
Der CRA hat sowohl mit Safety als auch mit Security zu tun, da er die Widerstandsfähigkeit von vernetzten Produkten gegen Cyberangriffe erhöhen soll:
Security: Der CRA fordert, dass Produkte mit digitalen Elementen sicher gegenüber Cyberbedrohungen sein müssen. Das bedeutet, Hersteller müssen Schwachstellen minimieren, Sicherheitsupdates bereitstellen und Schutzmechanismen implementieren, um Angriffe zu verhindern.
Safety: Eine verbesserte Security trägt direkt zur Safety bei, da Cyberangriffe auf kritische Systeme (z. B. im Transport- oder Medizinbereich) die physische Sicherheit von Menschen gefährden könnten. Der CRA stellt somit sicher, dass Sicherheitslücken nicht zu potenziellen Gefährdungen führen.
Skalierbare Sicherheit in Schienenfahrzeugen
Das Thema Sicherheit wird seit vielen Jahren bei der Lütze Transportation mit Lion, dem modularen sicherheitsgerichteten Train Control Management System, abgebildet. Das Lion-Bussystem ist in unzähligen Schienenfahrzeugen weltweit im Einsatz. Lion bietet eine Komplettlösung für die zentrale und dezentrale Verarbeitung von sicheren und nicht sicheren Signalen. Mit Lion ist es also möglich, sichere und nicht sichere E/A-Module auf der gleichen E/A-Station zu kombinieren. Die Implementierung von Sicherheitsfunktionen bis SIL2 auf Schienenfahrzeugen ist möglich.
Das „technische Rückgrat“ (Backplane) von Lion ist der interne, sichere L-BUS2 (Lütze Bus) über den alle Daten mit 4,5 Mbit/s zwischen den I/O-Modulen (Slaves) und dem Buskoppler (Master) ausgetauscht werden. Der L-Bus arbeitet intern mit der physikalischen Schnittstelle RS485 und steuert die Kommunikation, Adressierung und Spannungsversorgung aller I/O Module. Im Falle einer Störung eines oder mehrerer E/A-Module kann der Master diese Störung eindeutig erfassen und die intakten Module weiter ansprechen.
Das Lion-System erfüllt alle wichtigen Bahnnormen, darunter EN 50155, EN 50121-3-2, EN 50124-1, EN 61373 und EN 45545-2. Lion erfüllt die Schutzart IP20 und ist in einem Temperaturbereich von -40 °C bis +70 °C einsetzbar.
SIL2 Buskoppler mit TRDP-Feldbusschnittstelle
Lion bietet seit vielen Jahren Flexibilität durch den Einsatz verschiedener Feldbusschnittstellen. Es standen bisher drei Buskoppler-Versionen mit MVB- oder TRDP-Schnittstelle zur Verfügung. Bereits 2024 stellte Lütze den vierten Buskoppler vor, einen sicheren TRDP-Koppler mit SDTv2-Sicherheitslayer. Folgende Buskoppler-Versionen gibt es:
Lion MVB Buskoppler als nicht sichere Variante
Lion MVB Buskoppler als sichere Variante auch mit SDTv2-Sicherheitslayer
Lion Ethernet TRDP Buskoppler als nicht sichere Variante
Neu: Lion Ethernet TRDP Buskoppler als sichere Variante mit SDTv2-Sicherheitslayer
Echtzeitüberwachung von Datenströmen
Der neue TRDP-Buskoppler setzt auf den SDTv2-Sicherheitslayer (Safe Data Transmission Layer (Version 2)). Der SDTv2-Sicherheitslayer ist eine spezialisierte Sicherheitsarchitektur, die entwickelt wurde, um den Schutz von Security-kritischen Infrastrukturen in der Eisenbahnindustrie zu gewährleisten. Beim SDTv2-Sicherheitslayer handelt es sich um eine mehrschichtige Sicherheitslösung, die verschiedene Schutzmechanismen kombiniert, um die Integrität von Systemen zu sichern.
Ein zentraler Bestandteil des SDTv2-Sicherheitslayers ist die Echtzeitüberwachung und -analyse von Datenströmen durch Mechanismen wie Prüfsummen (CRC) zur Integritätssicherung und Sequenzzähler zur Erkennung von Paketverlusten oder -wiederholungen.
Linux bietet Vorteile bei der Cybersicherheit
Um den TRDP-Buskoppler stets auf dem neuesten Stand der Sicherheitsanforderungen zu halten, setzt Lütze Transportation auf ein Linux-Betriebssystem. Dieses ermöglicht es, Sicherheitsupdates automatisch und kontinuierlich zu installieren. Der Betreiber kann so automatisierte Updates durchführen, wodurch sowohl reguläre als auch sicherheitsrelevante Aktualisierungen stets auf dem neuesten Stand bleiben. Potenzielle Sicherheitsrisiken werden durch diese automatisierten Prozesse effektiv minimiert. Durch die konsequente Trennung von funktionaler Sicherheit (Safety) und den IT-Sicherheitsfunktionen (Security) auf dem Linux-basierten Sitara-Controller können notwendige Security-Updates zeitnah eingespielt werden, ohne die zugrunde liegende SIL2-Zertifizierung der Safety-Applikation zu gefährden. Damit wird die Brücke zwischen den statischen Anforderungen der funktionalen Sicherheit und der dynamischen Update-Pflicht des Cyber Resilience Acts geschlagen.
Secure Boot als weiteres Sicherheitsfeature
Der neue TRDP-Buskoppler verfügt über eine neue Architektur, die auf dem leistungsstarken Sitara Controller von Texas Instruments aufsetzt. Die gesamte MVB- und TRDP-Buskoppler-Familie der Lütze Transportation wird schrittweise auf die neue Architektur mit Sitara-Controller umgestellt.
Der Sitara-Controller bietet sehr hohe Rechenleistungen, Energieeffizienz, integrierte Sicherheitsfunktionen, wie zum Beispiel Secure Boot, Konnektivität und die Unterstützung für Echtzeitbetrieb. Mit Secure Boot bietet der Sitara-Controller ein sicherheitsrelevantes Feature, das dazu dient, sicherzustellen, dass nur authentische und unveränderte Software auf dem Controller ausgeführt wird. Es handelt sich um einen mehrstufigen Verifizierungsprozess, der beim Starten des Systems abläuft. Der Prozess beginnt mit einem unveränderlichen Vertrauensanker (Root-of-Trust) im Hardware-ROM. Bei jedem Systemstart überprüft der Controller die Integrität der Boot-Software durch digitale Signaturen. Wird die Signaturprüfung bestanden, läuft der Bootvorgang weiter; andernfalls wird er abgebrochen, um Manipulationen zu verhindern. Im Kontext von industriellen Anwendungen, wie sie in der Schienenfahrzeugtechnik vorkommen, ist Secure Boot besonders wichtig, da es eine zuverlässige Sicherheitsbasis für kritische Steuerungssysteme bildet, die robust gegenüber Cyberangriffen sein müssen.
Dual Homing: mit zwei Netzwerken sprechen
Der neue TRDP Lion-Buskoppler ist bereits hardwareseitig und zukünftig auch softwareseitig für Dual Homing vorbereitet, was bedeutet, dass er über zwei Schnittstellen mit unterschiedlichen Netzwerken kommunizieren kann. Dual Homing spielt eine wichtige Rolle für die Verfügbarkeit da es eine zusätzliche Ausfallsicherheit bietet. Diese Architektur bietet mehrere Vorteile:
Dual Homing stellt sicher, dass im Falle eines Ausfalls einer Verbindung oder eines Netzwerkteilnehmers die zweite Verbindung den Datenverkehr übernehmen kann.
Indem eine zweite unabhängige Verbindung vorhanden ist, wird das Risiko eines Single Points of Failure SPOF minimiert.
Dual Homing kann dazu verwendet werden, den Datenverkehr auf zwei Verbindungen zu verteilen, was die Performance verbessern und Engpässe vermeiden kann.
Fazit
Mit dem neuen sicheren TRDP-Buskoppler demonstriert Lütze Transportation, welche modernen Sicherheitslösungen heute in Train Control Management Systemen im Bereich Cybersicherheit realisierbar sind. Durch den Einsatz des SDTv2- Safetylayers, eines Linux-basierten Betriebssystems, Dual Homing und Secure Boot wird ein äußerst hohes Sicherheitsniveau erreicht, das sowohl „Safety“ als auch „Security“ abdeckt und den Anforderungen des EU-Cyber-Resilience Acts gerecht werden kann.
.jpg "Drehverbindungen mit Torque-Motor")
