对通信安全IEC 61784-3 的理解

        IEC 61784-3是国际电工委员会（IEC）发布的关于工业通信网络和系统的标准之一，它规定了工业通信网络和系统中使用的数据传输协议和通信规范。IEC 61784-3主要涉及工业自动化领域中的实时以太网通信，包括数据传输速率、数据传输方式、数据帧格式、数据传输控制以及网络拓扑结构等方面的内容。该标准的目的是为工业自动化领域提供一种可靠、高效的通信方式，以实现设备之间的数据交换和信息共享。

1. 通信错误的种类

(1)讹误 

        消息可能由于总线参与者内部的错误、传输介质上的错误或消息本身被干扰而导致传输的消息被损坏。

(2)意外重复

        由于错误、故障或干扰使得未更新的消息在不正确的时间节点被意外重发。

(3)错序

        由于错误、故障或干扰使得接收方接收到的消息中序列是未定义的序列或者接收方接收的序列号没有按照通讯双方约定的规则发送。

(4)丢失

        由于错误、故障或干扰接收方没有收到消息或确认。

(5)不可接受的延时

        消息可能会在其允许的到达时间窗口之外延迟到达。

(6)插入

        由于错误、故障或干扰接收了一个与非预期或未知来源的消息。

(7)伪装

        由于错误、故障或干扰，插入了一个预期来源的消息。因此非安全相关的消息可能被安全相关的通信参与者接收，并将其作为安全相关的消息进行处理。

(8)寻址

        由于错误、故障或干扰，安全相关消息被传递给不正确的安全相关通信参与方，通信参与方将其当作正确消息处理。这包括被称为回环(loopback)的错误情况，该情况下发送方接收到自身发送的消息。

2.通信错误的避免措施

(1)序列号

        序列号可以集成到发送方与接收方消息中，它可以用一个数字作为附加数据字段来实现，以预先设定的方式在相邻消息之间变化。

(2)时间戳

        在大多数情况下消息的内容 只在特定的时间点有效。时间戳可以是发送方在消息中包含的时间或时间和日期，时间戳要求时基是同步的，对于安全应用，需要定期监视同步，并将该机制失效的概率纳入总体安全功能的评估。

(3)预期时间

        在消息传输期间，消息接收方检查两个连续接收的消息之间的延迟，是否超过预定值。

(4)连接验证

        消息可能具有唯一的源或目的标识符，该标识符描述与安全相关通信参与者的逻辑地址。 

(5)反馈信息

        消息接收方向消息发送方返回一条反馈消息，以确认接收到原始消息，此反馈消息必须由安全通信层处理。

(6)数据完整性保证

        如果数据完整性保证方法不是从功能安全的角度设计的，与安全相关的应用程序不应信任这些方法，因此在消息中包含冗余数据，以便通过冗余检查检测数据损坏，用于安全相关的应用程序的通信系统可以使用以下方法以确保数据完整性，如CRC校验。

(7)带交叉检查的冗余

        与安全相关的现场总线应用程序中，安全相关数据可以在一个消息内或通过两个单独消息发送2次，使用相同或不同的完整性方法，独立于底层现场总线。

(8)不同的数据完整性保证系统。

        如果安全相关(SR)和非安全相关(NSR)的数据使用同一条总线进行传输，则可以使用不同数据完整性保证系统或编码规则(例如不同的CRC多项式和算法),以确保NSR消息不影响SR接收者中的任何安全功能。

3.残余错误率与SIL等级的关系

4.安全措施对通信错误的有效性

5.具体实现思路

(1)序列号

        发送方在消息体中增加序列号，每发送一次递增一次。接收方接收到序列号之后需要将序列号附在反馈包中一并发送给发送方，发送方收到反馈包之后对包中的序列号进行对比，对比成功后则序列号校验成功。

(2)时间戳

        发送方在消息体中增加时间戳，为时间戳选择合适的精度，并定时进行同步。接收方接收消息后，将自身的时间戳一并反馈给发送方，发送方收到消息后计算两个时间戳之间的差值，判断差值是否超过额定值，如果没有超过则时间戳校验成功。

(3)预期时间

        在消息传输期间，消息接收方检查两个连续接收的消息之间的延迟，判断是否超过预定值。适用于定时发送的包，接收方检测到此类包之后，计算收到两个包的时间差，判断是否超过固定时间，如果超过固定时间则报错。

(4)连接验证

        消息可能具有唯一的源或目的标识符，该标识符描述与安全相关通信参与者的逻辑地址。为每个参与通信的设备分配物理地址，将物理地址放到消息体中一并传送，各个设备收到包之后，对物理地址进行校验。 

(5)反馈信息

        消息接收方向消息发送方返回一条反馈消息，以确认接收到原始消息，此反馈消息必须由安全通信层处理。每次发送方发送消息后接收方都需要进行反馈，未反馈视为通信失败。

(6)数据完整性保证

        通过奇偶校验、crc校验、和校验及异或校验等方式对数据进行校验，保证数据的完整性。接收方和发送方都需要将校验数据附到消息体中，接收方接收到消息后对消息进行校验。

(7)带交叉检查的冗余

        第一种方式可以将消息按不同的组织形式通过同一个物理层进行两次发送，接收方收到后对两条消息进行校验对比，如全都无误则认为消息收发正常。第二种方式可以将同一条消息按同样的组织形式通过不同的物理层进行发送，接收方通过两个物理层接收消息后并进行对比，如都无误则认为消息收发正常。

(8)不同的数据完整性保证系统。

        如果安全类型的消息和非安全类型的消息通过同样的物理层进行通信。则需要对两种类型的数据设计不同的组织结构（包格式），需要给安全功能的消息更为严格的校验机制，防止非安全消息干扰安全消息的通信。

6.总结

（1）安全通信协议通过多种安全措施的叠加来保证通信的安全

（2）通信协议是否达标需要通过计算残余错误率是否达标来保证

（3）所传输的数据包越短，残余错误率越容易达标

（4）安全通信对可靠性要求较高，对通信的效率几乎无要求