VERFAHREN UND VORRICHTUNGEN ZUR ÜBERTRAGUNG VON DATEN ZWISCHEN EINEM ERSTEN NETZ UND EINEM ZWEITEN NETZ EINES

SCHIENENFAHRZEUGS

Die Erfindung betrifft eine Gateway-Vorrichtung, ein Kommunikationsverfahren sowie ein Kommunikationssystem für ein Fahrzeug, insbesondere ein Schienenfahrzeug. Gateway-Vorrichtungen sind grundsätzlich bekannt zur Verbindung von Netzen, insbesondere Datennetzen, welche auf unterschiedlichen Netzwerkprotokollen basieren.

Eine Lösung zur Verbindung eines ersten und zweiten Netzes ist in der DE 10 2015 108 109 AI beschrieben. Dabei wird zur unidirektionalen Übertragung von Daten in einer Anlage, welche ein erstes und ein zweites Netz umfasst, zwischen einem Sender des ersten Netzes und einem Empfänger des zweiten Netzes eine Datendiode geschaltet.

DE 10 2010 052 486 B4 beschreibt eine Lösung für eine Über ^¬ tragung von Daten zwischen einem für die Sicherheit des Fahrzeugs und seiner Passagiere relevanten System (insbesondere die Fahrzeugsteuerung) und einem fahrzeugextern ansteuerbaren Reisenden-Informationssystem.

Vor diesem Hintergrund ist es Aufgabe der Erfindung eine si ^¬ chere Übertragung von Daten zwischen einem ersten Netz und einem zweiten Netz zu verbessern.

Diese Aufgabe wird gelöst durch eine Gateway-Vorrichtung für ein Fahrzeug, insbesondere ein Schienenfahrzeug, welche aus ^¬ gebildet ist, eine Übertragung von Daten zwischen einem ersten Netz des Fahrzeugs und einem zweiten Netz des Fahrzeugs in Abhängigkeit eines Fahrzeugzustands zu steuern.

Die Erfindung beruht auf der Erkenntnis, dass bei einer Ver ^¬ bindung zweier Netze mittels einer Datendiode lediglich eine Übertragung von Daten in einer Richtung möglich ist. Bei bestimmten Netzwerkkonfigurationen, insbesondere wenn das zweite Netz vor einer unerwünschten Übertragung von Daten aus dem ersten Netz geschützt werden soll, ist eine Flexibilität bei der Übertragung von Daten dahingehend wünschenswert, dass be ^¬ stimmte Daten in beide Richtungen (d. h. von dem ersten Netz zu dem zweiten Netz oder von dem zweiten Netz zu dem ersten Netz) übertragen werden können. Inwieweit eine Übertragung von Daten in die eine oder andere Richtung zugelassen werden soll, wird erfindungsgemäß in Abhängigkeit des Fahrzeugzu ^¬ stands gesteuert. Auf diese Weise wird die Flexibilität bei der Übertragung von Daten zwischen dem ersten und zweiten Netz erhöht. So können bestimmte Daten in einem vorbestimmten Fahrzeugzustand von dem ersten Netz in das zweite Netz über- tragen werden, welche in einem anderen Fahrzeugzustand nicht für eine Übertragung von dem Betreibernetz an das Steuernetz zugelassen werden (Mit anderen Worten: Datenflüsse, die in einem vorbestimmten Fahrzeugzustand erlaubt sind, werden in einem andere Fahrzeugzustand unterbunden) . Die Kopplung der Datenübertragung an den Fahrzeugzustand stellt dabei eine

Hürde dar, die eine ausreichende Sicherheit für das zu schüt ^¬ zende Netz sicherstellt.

Das erste und zweite Netz sind vorzugsweise jeweils als Kom- munikations- oder Datennetz ausgebildet.

Gemäß einer bevorzugten Ausführungsform der erfindungsgemäßen Gateway-Vorrichtung umfasst das erste Netz ein Betreibernetz und das zweite Netz ein Steuernetz.

Der Fachmann versteht den Begriff „Steuernetz" als ein Netz, welches eine oder mehrere Komponenten zur Fahrzeugsteuerung umfasst. Dieses Verständnis basiert auf der Kenntnis, dass in heutigen Schienenfahrzeugen - neben den klassischen leittech- nischen (z.B. antriebs- und bremstechnischen) Funktionen - zahlreiche Aufgaben automatisiert durchgeführt werden. Dazu gehören z.B. der Betrieb und die Verwaltung eines Systems zur Ausgabe von Informationen an Fahrgäste und Bordpersonal, der automatisierte Betrieb einer Sanitärzelle, die Verwaltung ei ^¬ ner Kommunikation zwischen dem Schienenfahrzeug und der Landseite, etc. Die entsprechenden Komponenten sind steuerungs- und kommunikationstechnisch über das Steuernetz miteinander verbunden.

Des Weiteren versteht der Fachmann den Begriff „Betreibernetz" als ein physikalisch und/oder logisch von dem Steuernetz getrenntes Netz. Beispielsweise ist das Fahrgastinforma- tionssystem (FIS) und/oder das Kameraüberwachungssystem zur Überwachung des Innen- und Außenbereichs des Schienenfahrzeugs (CCTV: Closed Circuit Television) an das Betreibernetz datentechnisch angebunden. Die entsprechenden Komponenten des FISs bzw. Kameraüberwachungssystems sind kommunikationstech- nisch über das Betreibernetz miteinander verbunden.

Das dieser Ausführungsform zugrunde liegende Problem ergibt sich aus dem Wunsch, Datenflüsse zwischen dem Steuernetz und dem Betreibernetz zu ermöglichen. Eine derartige Übertragung von Daten ist trotz der physikalischen und/oder logischen

Trennung erforderlich, da Funktionseinheiten des Betreibernetzes für deren Betrieb leittechnische Daten aus dem Steuer ^¬ netz einerseits benötigen und das Steuernetz Zustandsdaten von Funktionseinheiten des Betreibernetzes andererseits sam- melt und auswertet. Ein Beispiel kann die Anzeige der Zugge ^¬ schwindigkeit auf einer Anzeige des Fahrgastinformationssys ^¬ tems sein. Ein weiteres Beispiel kann die Sammlung von Diag ^¬ nosedaten von Betreibernetz-Funktionseinheiten durch eine an das Steuernetz angeschlossene Einheit sein. Eine solche Ein- heit kann ein System-Server sein (z.B. SP SR: SIBAS PN Systemserver; SIBAS PN: SIBAS Profinet; SIBAS: Siemens Bahnauto ^¬ matisierungssystem) .

Bei einer bevorzugten Weiterbildung der Ausführungsform ist das Fahrzeug ausgebildet, als Fahrzeugzustand zumindest einen Wartungszustand, welcher für eine Wartung des Fahrzeugs vor ^¬ gesehen ist, und einen Betriebszustand, welcher für einen Betrieb des Fahrzeugs vorgesehen ist, einzunehmen, wobei die Gateway-Vorrichtung ausgebildet ist, die Übertragung vorbestimmter Daten von dem Betreibernetz zu dem Steuernetz ausschließlich in einem Wartungszustand zuzulassen. Das Fahrzeug ist vorzugsweise in der Lage - neben dem Betriebszustand und Wartungszustand - weitere Zustände einzunehmen, beispielswei ^¬ se einen Inbetriebnahme-Zustand und/oder einen Abstell- Zustand .

Bei einer weiteren bevorzugten Weiterbildung ist die Gateway- Vorrichtung ausgebildet, eine Zustandsinformation, welche für den Fahrzeugzustand repräsentativ ist, von dem Steuernetz zu empfangen und eine Übertragung auf Basis der Zustandsinforma ^¬ tion zu steuern. Vorzugsweise wird die Zustandsinformation von einem Server des Steuernetzes ausgesendet und mittels der Gateway-Vorrichtung empfangen. Weiter vorzugsweise ist die

Gateway-Vorrichtung ausgebildet, die Zustandsinformation ausschließlich von dem Steuernetz zu empfangen. Eine von dem Betreibernetz empfangene Zustandsinformation wird dann nicht berücksichtigt. Dies hat den Vorteil, dass ein Angriffsver- such auf Basis einer von Dritten erzeugten Zustandsinformati ^¬ on aus dem Betreibernetz vermieden werden kann.

Bei einer weiteren bevorzugten Ausführungsform umfasst die erfindungsgemäße Gateway-Vorrichtung eine erste Firewall- Einheit, welche für eine dem Betreibernetz zugewandte Daten ^¬ schnittstelle vorgesehen ist und welche ausgebildet ist, Da ^¬ ten, die für eine Übertragung von dem Betreibernetz zu dem Steuernetz vorgesehen sind, anhand eines ersten Firewall- Regelsatzes weiterzugeben oder zu verwerfen und/oder eine zweite Firewall-Einheit, welche für eine dem Steuernetz zuge ^¬ wandte Datenschnittstelle vorgesehen ist und welche ausgebil ^¬ det ist, Daten, die für eine Übertragung von dem Steuernetz zu dem Betreibernetz vorgesehen sind, anhand eines zweiten Firewall-Regelsatzes weiterzugeben oder zu verwerfen.

Mit anderen Worten: Die erste und/oder zweite Firewall- Einheit dient zum Filtern von Daten, die an der jeweiligen Datenschnittstelle eingehen. Die Datenschnittstelle ist vor- zugsweise als Ethernet-Schnittstelle ausgebildet. Die erste bzw. zweite Firewall-Einheit ist vorzugsweise ausgebildet, den ersten bzw. zweiten Firewall-Regelsatz bei Inbetriebnahme des Fahrzeugs zu laden. Weiter vorzugsweise weist die jewei- lige Firewall-Einheit vor der Inbetriebnahme einen Firewall- Regelsatz auf, welcher ausschließlich für eine Übertragung von Daten im Rahmen der Inbetriebnahme geeignet ist.

Gemäß einer weiteren bevorzugten Ausführungsform umfasst die erfindungsgemäße Gateway-Vorrichtung eine Eingriffserkennungseinheit, welche ausgebildet ist, zumindest Daten, die für eine Übertragung von dem Betreibernetz an das Steuernetz vorgesehen sind, zu überwachen. Die Eingriffserkennungseinheit ist vorzugsweise als Intrusion-Detection-System ausge- bildet und dient zum Erkennen von Angriffen, Missbrauchsversuchen und/oder Sicherheitsverletzungen, die das Steuernetz betreffen. Das Überwachen umfasst vorzugsweise ein Protokol ^¬ lieren von Ereignissen, Erstellen und Absenden von Werkstattmeldungen und/oder Erstellen und Absenden von betrieblichen Meldungen. Das Überwachen umfasst weiter vorzugsweise ein

Filtern bzw. Verwerfen von Daten, wenn die Daten vorgegebene Eigenschaften und/oder Vorgaben nicht erfüllen. Weiter vorzugsweise ist die Eingriffserkennungseinheit ausgebildet, Da ^¬ ten, die für eine Übertragung von dem Steuernetz zu dem Be- treibernetz vorgesehen sind, zu überwachen (hierbei dient die Eingriffserkennungseinheit zum Erkennen von Angriffen, Miss ^¬ brauchsversuchen und/oder Sicherheitsverletzungen, die das Betreibernetz betreffen) . Nach einer weiteren bevorzugten Ausführungsform umfasst die erfindungsgemäße Gatewayvorrichtung eine Eingriffsverhinde ^¬ rungseinheit, welche ausgebildet ist, eine Übertragung von Daten, die für einen unerwünschten Zugriff auf das Steuernetz vorgesehen sind, zu verhindern. Die Eingriffsverhinderungs- einheit ist vorzugsweise als Intrusion-Prevention-System (IPS) ausgebildet und dient zum Verhindern von Angriffen, Missbrauchsversuchen und/oder Sicherheitsverletzungen, die das Steuernetz betreffen. Das Verhindern der Übertragung er- folgt vorzugsweise, indem Daten, die eine vorbestimmte Eigen ^¬ schaft und/oder Vorgabe nicht erfüllen, gefiltert bzw. ver ^¬ worfen werden. Die Eingriffsverhinderungseinheit ist weiter vorzugsweise ausgebildet, eine Übertragung von Daten, die aus dem Steuernetz stammen und für einen unerwünschten Eingriff in das Betreibernetz vorgesehen sind, zu verhindern.

Vorzugsweise werden Eingriffserkennungseinheit und Eingriffs ^¬ verhinderungseinheit von einer gemeinsamen Komponente der Ga- teway-Vorrichtung gebildet. Weiter vorzugsweise bildet die

Eingriffserkennungseinheit ein Element der Eingriffsverhinde ^¬ rungseinheit. Was die Funktionen angeht, umfasst die Ein ^¬ griffsverhinderungseinheit die Funktionen der Eingriffserken ^¬ nungseinheit und stellt - neben dem Überwachen von Daten - auch Funktionen zur Verhinderung einer Übertragung von Daten zu Verfügung.

Gemäß einer weiteren bevorzugten Ausführungsform ist die Eingriffserkennungseinheit ausgebildet, das Überwachen anhand eines ersten Erkennungsregelsatzes auszuführen, und/oder die Eingriffsverhinderungseinheit ausgebildet, das Verhindern anhand eines ersten Verhinderungsregelsatzes auszuführen.

Gemäß einer weiteren bevorzugten Ausführungsform umfasst die erfindungsgemäße Gatewayvorrichtung eine Begrenzungseinheit, welche ausgebildet ist, einen Datenverkehr zwischen dem Betreibernetz und dem Steuernetz zu begrenzen. Den Begriff „Datenverkehr" (welcher fachmännisch häufig auch als Traffic bezeichnet wird) versteht der Fachmann vorzugsweise als eine pro Zeiteinheit übertragene Datenmenge. Die Begrenzungsein ^¬ heit ist weiter vorzugsweise ausgebildet, einen aus dem Be ^¬ treibernetz stammenden Datenverkehr, welcher für die Übertragung an das Steuernetz vorgesehen ist, zu begrenzen. Die Begrenzungseinheit stellt sicher, dass die Übertragung von Da- ten an das Steuernetz unter dem Gesichtspunkt einer maximalen Bandbreite und/oder eines Bursts erzielt wird. Die Begren ^¬ zungseinheit ist weiter vorzugsweise ausgebildet, einen aus dem Steuernetz stammenden Datenverkehr, welcher für die Übertragung an das Betreibernetz vorgesehen ist, zu begrenzen.

Bei einer weiteren bevorzugten Weiterbildung umfasst die Ga- tewayvorrichtung eine Fahrzeugzustand-Verwaltungseinheit, welche ausgebildet ist, der ersten Firewall-Einheit der vor ^¬ stehend beschriebenen Art einen dritten Firewall-Regelsatz in Abhängigkeit des Fahrzeugzustands bereitzustellen, der Ein ^¬ griffserkennungseinheit der vorstehend beschriebenen Art ei- nen zweiten Erkennungsregelsatz in Abhängigkeit des Fahrzeugzustands bereitzustellen und/oder der Eingriffsverhinderungs ^¬ einheit der vorstehenden beschriebenen Art einen zweiten Verhinderungsregelsatz in Abhängigkeit des Fahrzeugzustands be ^¬ reitzustellen.

Die Verwendung der Fahrzeugzustands-Verwaltungseinheit hat den Vorteil, dass individuelle Wünsche eines Betreibers der Fahrzeuge berücksichtigt werden können, indem entsprechend angepasste Regelsätze für die Firewall-Einheit, die Ein- griffserkennungseinheit und/oder Eingriffsverhinderungseinheit auf die Fahrzeugzustand-Verwaltungseinheit geladen wer ^¬ den .

Gemäß einer weiteren bevorzugten Weiterbildung ist die erste Firewall-Einheit ausgebildet, auf Basis des dritten Firewall- Regelsatzes einen erweiterten Zugriff von dem Betreibernetz auf das Steuernetz zuzulassen, die Eingriffserkennungseinheit ausgebildet, auf Basis des zweiten Erkennungsregelsatzes ei ^¬ nen erweiterten Zugriff von dem Betreibernetz auf das Steuer- netz zuzulassen und/oder die Eingriffsverhinderungseinheit ausgebildet, auf Basis des zweiten Verhinderungsregelsatzes einen erweiterten Zugriff von dem Betreibernetz auf das Steuernetz zuzulassen. Die Formulierung „erweiterter Zugriff" versteht der Fachmann dahingehend, dass vorbestimmte Daten, die anhand des ersten Firewall-Regelsatzes von der Firewall- Einheit und/oder anhand des ersten Verhinderungsregelsatzes verworfen werden, anhand des dritten Firewall-Regelsatzes von der Firewall-Einheit und/oder des zweiten Verhinderungsregel- satzes von der Eingriffsverhinderungseinheit weitergegeben werden. Auf diese Weise kann besonders einfach und sicher ei ^¬ ne Übertragung von Daten zwischen dem ersten und zweiten Netz in Abhängigkeit des Fahrzeugzustands gesteuert werden.

Bei einer bevorzugten Weiterbildung der Gateway-Vorrichtung ist das Bereitstellen des dritten Firewall-Regelsatzes, zwei ^¬ ten Erkennungsregelsatzes und/oder zweiten Verhinderungsre ^¬ gelsatzes ausschließlich von einer aus dem Steuernetz stam- menden Information, insbesondere der vorstehend beschriebene Zustandsinformation, auslösbar. Eine derartige Ausgestaltung hat den Vorteil, dass ein Schutz des Steuernetzes dadurch er ^¬ zielt wird, dass ausschließlich eine von dem Steuernetz stammende Information eine Änderung der Datenübertragung in Rich- tung Steuernetz auslösen kann. Mit anderen Worten: Ein erweiterter Zugriff auf das Steuernetz kann ausschließlich von dem Steuernetz selbst ausgelöst werden.

Vorzugsweise wird die von der Gateway-Vorrichtung empfangene Zustandsinformation von der Fahrzeugzustand- Verwaltungseinheit verarbeitet.

Bei einer weiteren bevorzugten Ausführungsform umfasst die Gateway-Vorrichtung eine Anwendungsschicht-Gateway-Einheit, welche ausgebildet ist, die Daten zwischen dem ersten und zweiten Netz zu vermitteln. Der Fachmann versteht den Begriff „Anwendungsschicht-Gateway-Einheit" vorzugsweise als eine Einheit, welche zur Weiterleitung, Analyse und/oder Konvertierung von Daten auf der Anwendungsebene des OSI- Referenzmodells dient. Weiter vorzugsweise wird die Übertra ^¬ gung von Daten mittels der Anwendungsschicht-Gateway-Einheit derart gesteuert, dass eine Rückwirkungsfreiheit zwischen ei ^¬ ner Quelle der Daten (erstes bzw. zweites Netz) und einer Senke der Daten (zweites bzw. erstes Netz) erzielt wird.

Die Anwendungsschicht-Gateway-Einheit wird nach dem fachmän ^¬ nischen Verständnis vorzugsweise von einem Application-Layer- Gateway gebildet. Weiter vorzugsweise ist die Anwendungs- schicht-Gateway-Einheit datentechnisch mit dem System-Server (z.B. SP SR) auf der dem Steuernetz zugewandten Seite verbunden. Weiter vorzugsweise ist die Anwendungsschicht-Gateway- Einheit datentechnisch mit einem Server des Betreibernetzes verbunden.

Der Fachmann versteht den Begriff „vermitteln" vorzugsweise dahingehend, dass die Anwendungsschicht-Gateway-Einheit eine Vermittlungsinstanz repräsentiert, welche als Stellvertreter Daten, die für eine Übertragung zwischen dem ersten und zweiten Netz vorgesehen sind, weitergibt. So besteht vorzugsweise keine unmittelbare datentechnische Verbindung zwischen dem ersten und zweiten Netz. Stattdessen ist die Anwendungsschicht-Gateway-Einheit datentechnisch mittels einer ersten Verbindung mit dem Steuernetz und mittels einer zweiten Verbindung mit dem Betreibernetz verbunden.

Die Erfindung betrifft ferner ein Kommunikationsverfahren für ein Fahrzeug, insbesondere ein Schienenfahrzeug, umfassend: Übertragen von Daten zwischen einem ersten Netz des Fahrzeugs und einem zweiten Netz des Fahrzeugs und Steuern der Übertra ^¬ gung zwischen dem ersten und zweiten Netz mittels einer Gateway-Vorrichtung in Abhängigkeit eines Fahrzeugzustands. Die Erfindung betrifft ferner ein Kommunikationssystem für ein Fahrzeug, insbesondere ein Schienenfahrzeug, umfassend: ein erstes Netz des Fahrzeugs und ein zweites Netz des Fahr ^¬ zeugs und eine Gateway-Vorrichtung, welche ausgebildet ist, eine Übertragung von Daten zwischen dem ersten und zweiten Netz in Abhängigkeit eines Fahrzeugzustands zu steuern.

Bei einer bevorzugten Ausführungsform des Kommunikationssystems umfasst das erste Netz ein Betreibernetz und das zweite Netz ein Steuernetz.

Bei einer bevorzugten Weiterbildung des Kommunikationssystems ist das Fahrzeug ausgebildet, als Fahrzeugzustand zumindest einen Wartungszustand, welcher für eine Wartung des Fahrzeugs vorgesehen ist, und einen Betriebszustand, welcher für einen Betrieb des Fahrzeugs vorgesehen ist, einzunehmen, wobei die Gateway-Vorrichtung ausgebildet ist, die Übertragung vorbestimmter Daten von dem Betreibernetz zu dem Steuernetz aus- schließlich in dem Wartungszustand zuzulassen.

Bei einer weiteren bevorzugten Weiterbildung des Kommunikationssystems ist die Gateway-Vorrichtung ausgebildet, eine Zu ^¬ standsinformation, welche für den Fahrzeugzustand repräsenta- tiv ist, von dem Steuernetz zu empfangen und eine Übertragung auf Basis der Zustandsinformation zu steuern.

Bei einer besonders bevorzugten Ausführungsform des Kommunikationssystems umfasst das Betreibernetz einen Drahtlos- Zugangspunkt, welcher einen drahtlosen Zugang zu dem Betreibernetz für ein mobiles Endgerät bereitstellt, wobei die Ga ^¬ teway-Vorrichtung ausgebildet ist, im Wartungszustand einen datentechnischen Zugriff des mobilen Endgeräts auf das Steuernetz zuzulassen. Auf diese Weise kann einem Wartungsperso- nal beispielsweise mittels eines Wartungs-PCs als Endgerät ermöglicht werden, unter Nutzung des Drahtlos-Zugangspunkts Wartungsaufgaben im Steuernetz durchzuführen. Der Zugang über den Drahtlos-Zugangspunkt erhöht die Handhabbarkeit für das Wartungspersonal .

Bei einer weiteren bevorzugten Ausführungsform des Kommunikationssystems umfasst die Gatewayvorrichtung eine erste Fire ^¬ wall-Einheit, welche für eine dem Betreibernetz zugewandte Datenschnittstelle vorgesehen ist und welche ausgebildet ist, Daten, die für eine Übertragung von dem Betreibernetz zu dem Steuernetz vorgesehen sind, anhand eines ersten Firewall- Regelsatzes weiterzugeben oder zu verwerfen und/oder eine zweite Firewall-Einheit, welche für eine dem Steuernetz zuge ^¬ wandte Datenschnittstelle vorgesehen ist und welche ausgebil- det ist, Daten, die für eine Übertragung von dem Steuernetz zu dem Betreibernetz vorgesehen sind, anhand eines zweiten Firewall-Regelsatzes weiterzugeben oder zu verwerfen. Gemäß einer weiteren bevorzugten Ausführungsform des Kommunikationssystem umfasst die Gateway-Vorrichtung eine Eingriffserkennungseinheit, welche ausgebildet ist, zumindest Daten, die für eine Übertragung von dem Betreibernetz an das Steuer- netz vorgesehen sind, zu überwachen.

Nach einer weiteren bevorzugten Ausführungsform des Kommunikationssystems umfasst die Gatewayvorrichtung eine Eingriffs ^¬ verhinderungseinheit, welche ausgebildet ist, eine Übertra- gung von Daten, die für einen unerwünschten Zugriff auf das Steuernetz vorgesehen sind, zu verhindern.

Bei einer weiteren bevorzugten Ausführungsform des Kommunikationssystems ist die Eingriffserkennungseinheit ausgebildet, das Überwachen anhand eines ersten Erkennungsregelsatzes aus ^¬ zuführen, und/oder die Eingriffsverhinderungseinheit ausge ^¬ bildet, das Verhindern anhand eines ersten Verhinderungsre ^¬ gelsatzes auszuführen. Gemäß einer weiteren bevorzugten Ausführungsform des Kommunikationssystems umfasst die Gatewayvorrichtung eine Begren ^¬ zungseinheit, welche ausgebildet ist, einen Datenverkehr zwi ^¬ schen dem Betreibernetz und dem Steuernetz zu begrenzen. Bei einer weiteren bevorzugten Weiterbildung des Kommunikationssystems umfasst die Gatewayvorrichtung eine Fahrzeugzu ^¬ stand-Verwaltungseinheit, welche ausgebildet ist, der ersten Firewall-Einheit der vorstehend beschriebenen Art einen drit ^¬ ten Firewall-Regelsatz in Abhängigkeit des Fahrzeugzustands bereitzustellen, der Eingriffserkennungseinheit der vorste ^¬ hend beschriebenen Art einen zweiten Erkennungsregelsatz in Abhängigkeit des Fahrzeugzustands bereitzustellen und/oder der Eingriffsverhinderungseinheit der vorstehenden beschrie ^¬ benen Art einen zweiten Verhinderungsregelsatz in Abhängig- keit des Fahrzeugzustands bereitzustellen.

Gemäß einer weiteren bevorzugten Weiterbildung des Kommunikationssystem ist die erste Firewall-Einheit ausgebildet ist, auf Basis des dritten Firewall-Regelsatzes einen erweiterten Zugriff von dem Betreibernetz auf das Steuernetz zuzulassen, die Eingriffserkennungseinheit ausgebildet, auf Basis des zweiten Erkennungsregelsatzes einen erweiterten Zugriff von dem Betreibernetz auf das Steuernetz zuzulassen und/oder die Eingriffsverhinderungseinheit ausgebildet, auf Basis des zweiten Verhinderungsregelsatzes einen erweiterten Zugriff von dem Betreibernetz auf das Steuernetz zuzulassen. Bei einer bevorzugten Weiterbildung des Kommunikationssystems ist das Bereitstellen des dritten Firewall-Regelsatzes, zwei ^¬ ten Erkennungsregelsatzes und/oder zweiten Verhinderungsre ^¬ gelsatzes ausschließlich von einer aus dem Steuernetz stammenden Information, insbesondere der vorstehend beschriebene Zustandsinformation, auslösbar.

Die Erfindung betrifft ferner ein Schienenfahrzeug, welches ein Kommunikationssystem der vorstehend beschriebenen Art um- fasst .

Zu Ausführungsformen, Weiterbildungen, Ausführungsdetails und/oder Vorteilen des erfindungsgemäßen Kommunikationsverfahrens sowie des erfindungsgemäßen Kommunikationssystems wird auf die Beschreibung zu den entsprechenden Merkmalen der Gateway-Vorrichtung Bezug genommen.

Ein Ausführungsbeispiel der Erfindung wird nun anhand der Zeichnungen erläutert. Es zeigen: Figur 1 einen schematischen Aufbau eines Kommunikations ^¬ systems gemäß einem Ausführungsbeispiel der Er ^¬ findung,

Figur 2 einen funktionalen Aufbau der in Figur 1 gezeig- ten Gateway-Vorrichtung, und Figur 3 ein schematisches Ablaufdiagramm eines erfindungsgemäßen Kommunikationsverfahrens gemäß einem Ausführungsbeispiel . Figur 1 zeigt ein Schienenfahrzeug 1 in einer schematischen Seitenansicht. Das Schienenfahrzeug 1 ist als ein Verband von mehreren Wagen ausgebildet, die miteinander mechanisch gekoppelt sind und eine Zugeinheit bilden. In der betrachteten Ausführung ist das Schienenfahrzeug 1 als sogenannter

Triebzug ausgebildet.

Das Schienenfahrzeug 1 weist ein Kommunikationssystem 10 auf, welches zumindest ein erstes Netz 12 und ein zweites Netz 14 umfasst. Das erste Netz 12 ist ein Betreibernetz 15 des

Schienenfahrzeugs 1 und das zweite Netz 14 ist ein Steuernetz 17 des Schienenfahrzeugs 1. Das Betreibernetz 15 und das Steuernetz 17 sind jeweils als Ethernet-Netzwerk ausgebildet.

Das Steuernetz 17 ist für einen Betrieb nach dem Profinet- Standard ausgelegt. Das Steuernetz 17 umfasst einen Zugbus, beispielsweise einen Ethernet Train Backbone (ETB) , und einen Profinet-Ring, an welchen zumindest eine Subsystemsteuereinheit 110, 112, 114 bzw. 116 angeschlossen ist, die zur Steuerung eines oder mehrerer Betriebsmittel des Fahrzeugs vorge- sehen ist. Die Subsystemsteuereinheiten 110, 112, 114 und 116 sind jeweils zur Steuerung einer Aufgabe in Verbindung mit der dem jeweiligen Subsystem zugeordneten Funktionalität vorgesehen. Die Subsystemsteuereinheiten 110, 112, 114 und 116 sind jeweils an das Steuernetz 17 angeschlossen. In dem in Figur 1 gezeigten Ausführungsbeispiel ist als Subsystemsteu ^¬ ereinheit 110 eine Antriebssteuerung, als Subsystemsteuereinheit 112 eine Bremssteuerung, als Subsystemsteuereinheit 114 eine Steuerung des Fahrzeugtürsystems, als Subsystemsteuer ^¬ einheit 116 eine Steuerung der Zugsicherung dargestellt.

Das Betreibernetz 15 ist physikalisch und/oder logisch von dem Steuernetz 17 getrennt. Beispielsweise ist ein Fahrgast ^¬ informationssystem 118 und ein Kameraüberwachungssystem 120 zur Überwachung des Innen- und Außenbereichs des Schienenfahrzeugs an das Betreibernetz 15 datentechnisch angebunden. Die entsprechenden Komponenten des Fahrgastinformationssys ^¬ tems 118 und des Kameraüberwachungssystems 120 sind kommuni- kationstechnisch über das Betreibernetz 15 miteinander verbunden .

Eine Gateway-Vorrichtung 20 dient zum Übertragen von Daten zwischen dem ersten Netz 12 und dem zweiten Netz 14 gemäß ei- nem Verfahrensschritt A. Die Gateway-Vorrichtung 20 weist ei ^¬ ne erste Datenschnittstelle, insbesondere eine Ethernet- Schnittstelle 22, auf, über die eine Anbindung der Gateway- Vorrichtung 20 an das Betreibernetz 15 erfolgt. Die Gateway- Vorrichtung 20 weist eine zweite Datenschnittstelle, insbe- sondere eine Ethernet-Schnittstelle 24, auf, über die eine

Anbindung der Gateway-Vorrichtung 20 an das Steuernetz 17 erfolgt .

Die Gateway-Vorrichtung 20 steuert in einem Verfahrensschritt B die Übertragung von Daten zwischen dem Steuernetz 17 und dem Betreibernetz 15 in Abhängigkeit eines Fahrzeugzustands. Das Schienenfahrzeug 1 kann als Fahrzeugzustand einen Be ^¬ triebszustand einnehmen, welcher für einen Betrieb, bei ^¬ spielsweise einen Fahrbetrieb, des Schienenfahrzeugs 1 vorge- sehen ist. Zudem kann das Schienenfahrzeug 1 einen Wartungs ^¬ zustand, welcher für eine Wartung des Fahrzeugs vorgesehen ist, einen Inbetriebnahme-Zustand und/oder einen Abstell- Zustand einnehmen. Die Gateway-Vorrichtung lässt in einem Verfahrensschritt BB eine Übertragung vorbestimmter Daten ausgehend von dem Betreibernetz 15 zu dem Steuernetz 17 ausschließlich in dem Wartungszustand zu. Mit anderen Worten: Vorbestimmte Daten, die im Betriebszustand nicht für eine Übertragung ausgehend von dem Betreibernetz 15 zu dem Steuernetz 17 zugelassen werden, können im Wartungszustand übertra- gen werden.

Der Fahrzeugzustand wird mittels der Gateway-Vorrichtung 20 anhand einer Zustandsinformation 39 ermittelt. Die Zustands- Information 39 wird von einem System-Server 44 des Steuernetzes 17 ausgesendet und von der Gateway-Vorrichtung 20 empfangen . Daten, die ausgehend von dem Betreibernetz 15 über die erste Ethernet-Schnittstelle 22 in die Gateway-Vorrichtung 20 ein ^¬ gehen und für eine Übertragung an das Steuernetz 17 vorgesehen sind, werden von einer Firewall-Einheit 26 gefiltert. Das Filtern mittels der Firewall-Einheit 26 erfolgt, indem die Daten anhand eines ersten Firewall-Regelsatzes 28 weitergege ^¬ ben oder verworfen werden.

Daten, die ausgehend von dem Steuernetz 17 über die zweite Ethernet-Schnittstelle 24 in die Gateway-Vorrichtung 20 ein- gehen und für eine Übertragung an das Betreibernetz 15 vorgesehen sind, werden von einer Firewall-Einheit 27 gefiltert. Das Filtern mittels der Firewall-Einheit 27 erfolgt, indem die Daten anhand eines zweiten Firewall-Regelsatzes 29 wei ^¬ tergegeben oder verworfen werden.

Daten, die ausgehend von dem Betreibernetz 15 für eine Übertragung an das Steuernetz 17 vorgesehen sind und die Firewall-Einheit 26 passieren, werden von einer Eingriffserkennungseinheit 32, welche als Intrusion-Detection-System ausge- bildet ist, und einer Eingriffsverhinderungseinheit 34, wel ^¬ che als Intrusion-Prevention-System ausgebildet ist, empfangen .

Die Eingriffserkennungseinheit 32 filtert bzw. verwirft einen Datenverkehr, wenn sie eine Verletzung eines vorgegebenen Musters und/oder einer Regel erkennt. Die Eingriffserkennungseinheit 32 überwacht Daten anhand eines ersten Erken ^¬ nungsregelsatzes 31. Wird eine vergleichsweise signifikante Verletzung eines vorgegebenen Musters und/oder einer Regel von der Eingriffserkennungseinheit 32 erkannt, wird zudem die Ethernet-Schnittstelle 22 zum Betreibernetz 15 hin abgeschal ^¬ tet . Die Eingriffsverhinderungseinheit 34 filtert bzw. verwirft Daten von einem Absender, wenn diese Daten eine vorgegebene Eigenschaft und/oder Vorgabe nicht erfüllen. Die Eingriffs ^¬ verhinderungseinheit 32 verhindert eine Übertragung von Daten anhand eines ersten Verhinderungsregelsatzes 37. Empfangene Daten, insbesondere über eine OPC-Verbindung (OPC: Open Piat- form Communications) übertragene Daten, werden im Wege der Deep Packet Inspection auf eine Einhaltung von Vorgaben analysiert. Desweiteren analysiert die Eingriffsverhinderungs- einheit 34 empfangene Daten, die über eine HTTP-Verbindung übertragen werden. Eine HTTP-Verbindung wird beispielsweise aufgebaut, wenn das Fahrzeug einen Wartungszustand einnimmt. Die HTTP-Verbindung dient in einem Wartungszustand beispiels ^¬ weise dazu, Werkstattmeldungen abzurufen. Der Abruf wird bei- spielsweise von einem Wartungspersonal initiiert, welches mittels eines Wartungs-PCs 33 über eine Zugangsschnittstelle 35 am Betreibernetz 15 auf das Steuernetz 17 zugreift. Zudem kann die HTTP-Verbindung dazu dienen, eine Softwareverteilung für Komponenten, wie einen System-Server und/oder eine Sub- Systemsteuereinheit 110, 112, 114 bzw. 116, durchzuführen.

Die Eingriffserkennungseinheit 32 sowie die Eingriffsverhin ^¬ derungseinheit 34 sind ausgebildet, ein Ereignis, welches ei ^¬ nen Eingriff repräsentiert, zu protokollieren und zudem eine Werkstattmeldung zu erzeugen und auszusenden, die für ein

Auslesen im Rahmen einer Wartung vorgesehen ist, und außerdem eine Betriebsmeldung zu erzeugen und auszusenden, welche für ein Auslesen während eines Betriebs des Schienenfahrzeugs 1 vorgesehen ist. Die Betriebsmeldung kann einem Schienenfahr- zeugführer oder -begleiter mittels einer Mensch-Maschine- Schnittstelle, welche eine Anzeige aufweist, bereitgestellt werden .

Daten, die ausgehend von dem Betreibernetz 15 für eine Über- tragung an das Steuernetz 17 vorgesehen sind und die Eingriffserkennungseinheit 32 und einer Eingriffsverhinderungs ^¬ einheit 34 passieren, werden von einer Anwendungsschicht- Gateway-Einheit 36 empfangen. Die Anwendungsschicht-Gateway- Einheit 36 ist ausgebildet, Daten auf der Anwendungsebene des OSI-Referenzmodells zu analysieren und gegebenenfalls zu kon ^¬ vertieren und weiterzuleiten. Die Anwendungsschicht-Gateway- Einheit 36 ist als Application Layer Gateway ausgebildet.

Die Anwendungsschicht-Gateway-Einheit 36 hält eine Verbindung zu einem Train-Server 42 des Betreibernetzes 15 und eine wei ^¬ tere Verbindung zu dem System-Server 44 des Steuernetzes 17 und dient als Vermittlungsinstanz 40 zwischen Betreibernetz 15 und Steuernetz 17. Mit anderen Worte: Eine unmittelbare datentechnische Verbindung zwischen dem Train-Server 42 und dem System-Server 44 besteht nicht. Beispielsweise wird eine datentechnische Verbindung des Train-Servers 42 für eine Übertragung von Daten zu dem Steuernetz 17 an der Anwendungs- schicht-Gateway-Einheit 36 terminiert und eine neue daten ^¬ technische Verbindung mit dem System-Server 44 initiiert.

Eine Fahrzeugzustand-Verwaltungseinheit 38 der Gateway- Vorrichtung 20 ist ausgebildet, Prozessdaten bzw. Prozesssig- nale aus dem Steuernetz 17 zu empfangen. Auf Basis der Prozessdaten bzw. Prozesssignale kann die Fahrzeugzustand- Verwaltungseinheit 38 ermitteln, ob das Schienenfahrzeug 1 als Fahrzeugzustand einen Wartungszustand einnimmt oder nicht. Prozessdaten bzw. Prozesssignale, welche das Bereit- stellen des Firewall-Regelsatzes beeinflussen, werden durch die Fahrzeugzustands-Verwaltungseinheit 38 ausschließlich von dem Steuernetz 17 empfangen.

Insbesondere empfängt die Fahrzeugzustand-Verwaltungseinheit 38 von dem Systemserver 44 des Steuernetzes 17 eine Zustands ^¬ information 39, welche den Fahrzeugzustand repräsentiert. Auf Basis der Zustandsinformation 39 ermittelt die Fahrzeugzu ^¬ stand-Verwaltungseinheit 38 den Fahrzeugzustand. Wird als Fahrzeugzustand der Wartungszustand ermittelt, stellt die Fahrzeugzustands-Verwaltungseinheit 38 der Firewall-Einheit 26 einen dritten Firewall-Regelsatz 46 zur Verfügung, auf dessen Basis ein erweiterter Zugriff von dem Betreibernetz 15 auf das Steuernetz 17 ermöglicht wird. Mit anderen Worte: Während das Schienenfahrzeug 1 als Fahr ^¬ zeugzustand den Betriebszustand einnimmt, nutzt die Firewall- Einheit 26 den Firewall-Regelsatz 28 zum Filtern von Daten. Wenn das Schienenfahrzeug 1 den Wartungszustand einnimmt, stellt die Fahrzeugzustands-Verwaltungseinheit 38 den dritten Firewall-Regelsatz 46 an die Firewall-Einheit 26 zur Verfü ^¬ gung. Anhand des dritten Firewall-Regelsatzes 46 filtert die Firewall-Einheit 26 die Daten.

Auch der Eingriffserkennungseinheit 32 bzw. der Eingriffsverhinderungseinheit 34 kann mittels der Fahrzeugstand- Verwaltungseinheit 38 ein geänderter Regelsatz, beispielswei ^¬ se ein zweiter Erkennungsregelsatz bzw. ein zweiter Verhinde- rungsregelsatz , für den Wartungszustand zur Verfügung gestellt werden. Alternativ oder zusätzlich kann ein von der Firewall-Einheit 27, der Eingriffserkennungseinheit 32 sowie der Eingriffsverhinderungseinheit 34 verwendeter Regelsatz für den Wartungszustand durch die Fahrzeugzustand- Verwaltungseinheit 38 deaktiviert werden, um einen erweiter ^¬ ten Zugriff von dem Betreibernetz 15 auf das Steuernetz 17 zuzulassen .

Beispielsweise wird durch das Bereitstellen eines dritten Re- gelsatzes 46 an die Firewall-Einheit 27 und des zweiten Er ^¬ kennungsregelsatzes an die Eingriffserkennungseinheit 32 so ^¬ wie des zweiten Verhinderungsregelsatzes an die Eingriffsver ^¬ hinderungseinheit 34 ermöglicht, dass Wartungspersonal mit ^¬ tels eines Wartungs-PCs 33 (PC: Personal Computer) über eine Zugangsschnittstelle des Betreibernetzes 15 einen Zugriff auf das Steuernetz 17 erhält.

Die Gateway-Einrichtung 38 umfasst zudem eine Begrenzungseinheit 48, welche ausgebildet ist, einen Datenverkehr zwischen dem Betreibernetz 15 und dem Steuernetz 17 hinsichtlich einer pro Zeiteinheit übertragenen Datenmenge (d.h. Traffic) zu be ^¬ grenzen .