01
Что такое KNX Secure и когда он появился?
KNX Secure — набор протоколов защиты стандарта KNX. KNX Association официально представила его в 2015 году в двух вариантах — KNX Data Secure и KNX IP Secure. В 2019 году KNX IP Secure признан международным стандартом безопасности EN ISO 22510, а в 2022 году KNX Secure получил сертификат VDE «Information security tested Smart Home and Building»[1].
Без KNX Secure данные в установке передаются открыто: их может прочитать и изменить любой, у кого есть доступ к шине, поэтому защита сводится к тому, чтобы не пустить посторонних к шине и устройствам. Устройства с KNX Secure шифруют информацию и проверяют подлинность при обмене с ETS и с другими защищёнными устройствами[2]. Старые обзоры, где сказано, что в KNX нет защиты, описывают систему без KNX Secure.
02
Чем KNX Data Secure отличается от KNX IP Secure?
KNX Data Secure защищает связь внутри KNX-установки: защищённые устройства передают друг другу зашифрованные телеграммы, а защиту выбирают для каждого группового адреса. KNX IP Secure работает только в среде IP — между защищёнными KNX-IP соединителями, устройствами и интерфейсами. Оба вида можно использовать одновременно в одной установке[2].
KNX Data Secure и KNX IP Secure — по руководствам Zennio
| Вопрос | KNX Data Secure | KNX IP Secure |
|---|---|---|
| Что защищает | Телеграммы между защищёнными устройствами и ввод в эксплуатацию из ETS | Обмен по IP: туннельные подключения и маршрутизацию между IP-роутерами |
| Где работает | Внутри установки, в том числе на линиях витой пары | Только в среде IP; для основной линии и подлиний нужен ещё Data Secure |
| Что включают в ETS | Secure Commissioning у устройства и защиту групповых адресов | Secure Commissioning и Secure Tunneling; у каждого туннельного адреса свой пароль |
| Что хранить | Пароль проекта, сертификаты устройств | Плюс пароль ввода в эксплуатацию и код аутентификации каждого IP-устройства |
| Устройства Zennio | Актуаторы, клавиши, контроллеры, соединители — таблица ниже | ALLinBOX, ZennIoT, IP Router |
Где работает KNX Secure
Проект ETS
- ETS 5.7 и новеепроект с паролем
- Сертификат устройствасерийный номер и FDSK
Ввод в эксплуатацию
- Tool Keyсвой ключ у каждого устройства
Шина TP
MAXinBOX 16 v4Data Secure по групповым адресам- Устройства без Secureоткрытые групповые адреса
03
Можно ли смешивать защищённые и обычные устройства?
Да. Включать защиту на устройствах с KNX Secure не обязательно; если её включают, то для каждого группового адреса отдельно — часть объектов защищена, остальные работают с обычными устройствами. Защищённое устройство без включённой защиты обменивается данными так же, как устройство без KNX Secure[2].
- Одно устройство — два вида адресов. У одного устройства могут быть и защищённые, и обычные групповые адреса, но все объекты, связанные с защищённым адресом, должны быть защищёнными[2].
- Режим «Automatic». В свойствах группового адреса защиту ставят «Automatic», «On» или «Off»; в режиме «Automatic» ETS сама включает шифрование, если оба связанных объекта умеют работать в защищённом режиме. Защищённые объекты ETS помечает синим щитом[2].
- Security Proxy. Если защищённую группу нужно передать устройствам без Secure на другой линии или в IP-сети, Linecoupler и IP Router принимают защищённые групповые телеграммы на одной стороне и отправляют их открытыми на другой. Функция работает только в ETS6 и при включённой KNX Security[8][3].
- Смена адреса. Если в проекте несколько запрограммированных защищённых устройств с общими групповыми адресами, смена физического адреса одного из них требует заново загрузить все устройства, которые делят с ним адреса[2].
04
Как включить KNX Secure в ETS?
- 1Проверьте версию ETS
Работа с защищёнными устройствами доступна с ETS 5.7[2]; Security Proxy в соединителях Zennio — только в ETS6[3].
- 2Включите Secure Commissioning
Вкладка «Configuration» в окне «Properties» устройства. Так ETS будет обмениваться с устройством в защищённом режиме; это обязательно, если хотя бы один объект устройства связан с защищённым групповым адресом[2].
- 3Задайте пароль проекта
С включённым Secure Commissioning пароль проекта обязателен. Его можно задать и в главном окне ETS «Overview», в разделе «Details» выбранного проекта[2].
- 4Добавьте сертификат устройства
ETS запросит сертификат: 36 символов, полученных из серийного номера и заводского ключа FDSK. Он прилагается к устройству вместе с QR-кодом для сканирования; добавить его можно и в разделе «Security» окна «Overview»[2].
- 5Выберите защиту групповых адресов
Параметр «Security» (Automatic / On / Off) на вкладке «Configuration» в свойствах группового адреса[2].
- 6Для IP-устройств — Secure Tunneling
У устройств с IP Secure включают ещё Secure Tunneling: у каждого туннельного адреса свой пароль. На вкладке IP задаются пароль ввода в эксплуатацию и код аутентификации; код Zennio советует оставить индивидуальным для каждого устройства, лучше тот, что ETS задаёт по умолчанию[2].
- 7Загрузите устройство
При первом защищённом вводе ETS заменяет FDSK устройства новым ключом Tool Key, который создаётся для каждого устройства отдельно[2].
Когда в ETS выбирают защищённый KNX-IP интерфейс для подключения, программа спрашивает пароль ввода в эксплуатацию с вкладки IP; код аутентификации при этом необязателен[2]. Интерфейсы, через которые подключают ETS, разобраны на странице системных устройств.
05
Что будет, если потерять проект ETS?
Проект ETS хранит ключи Tool Key всех защищённых устройств. Если проект потерян, ключи теряются вместе с ним, и устройства нельзя перепрограммировать — остаётся ручной заводской сброс, который возвращает заводской ключ FDSK. Пока исходный проект цел, FDSK возвращает и выгрузка прикладной программы из того проекта, в котором был первый защищённый ввод[2].
- Устройство из чужого проекта не загрузить. Если устройство уже запрограммировано с защитой в другом проекте, загрузить его — ни в защищённом режиме, ни обычным способом — не получится: нужен исходный проект или заводской сброс[2].
- Пароль BCU тоже пропадает — и при ручном сбросе, и при выгрузке[2].
- После сброса устройство вводят заново. ETS видит, что используется FDSK, и просит подтвердить создание нового Tool Key[2]. У IP Router заводской сброс стирает и параметры, и настройки KNX Security — роутер программируют из ETS заново; свой индивидуальный адрес он при этом сохраняет[3].
Поэтому проект ETS с паролем, сертификаты устройств и пароли KNX-IP устройств передают владельцу при сдаче системы. Полный состав пакета — в гайде «Интегратор KNX: как выбрать и что получить при сдаче».
06
Как сбросить устройство Zennio к заводскому ключу?
- Переведите устройство в безопасный режим: подайте питание шины с нажатой кнопкой программирования и держите её, пока не замигает светодиод программирования[2]. Мигает он у разных моделей по-разному: у QUAD v3 — красным каждые полсекунды[9], у IP Router — раз в секунду[3].
- Отпустите кнопку — светодиод продолжает мигать[2].
- Нажмите кнопку программирования и держите 10 секунд. Пока она нажата, светодиод горит красным; сброс происходит, когда он на мгновение гаснет[2].
Сброс удаляет Tool Key и пароль BCU и возвращает индивидуальный адрес 15.15.255[2]; исключение — IP Router, он свой адрес сохраняет[3]. Ту же процедуру — удерживать кнопку 10 секунд в безопасном режиме — описывают даташиты конкретных моделей, например модулей входов BIN-T и QUAD v3 и контроллера CX50[10][9][11].
07
Какие устройства Zennio поддерживают KNX Secure?
Таблица собрана по даташитам и руководствам Zennio и включает модели нашего каталога. Если в документации модели KNX Secure не упомянут, её здесь нет: отсутствие строки не означает ни «да», ни «нет» — уточняйте по документации модели. Последняя строка — модели, у которых отсутствие KNX Secure прямо указано в руководстве Zennio.
KNX Secure у устройств Zennio в нашем каталоге — по даташитам и руководствам (проверено 01.11.2026)
| Группа | Модели | KNX Secure |
|---|---|---|
| Системные | ZennIoT, IP Router | Data Secure и IP Secure |
| Системные | KIPI SC, Linecoupler, RemoteBOX | Data Secure |
| Системные | KNX USB SC | «Secure KNX communication» — вид защиты в даташите не уточнён |
| Всё в одном | ALLinBOX 46 v2, 88 v2, 1612 v3, Hospitality v2 | Data Secure и IP Secure |
| Панели и контроллеры | Z35 v3, CX33, CX35, CX40, CX50 | Data Secure |
| Клавиши | Flat RGB, Flat RGB XL, Flat RGB 55, Flat RGB 70, Flat RGB 55 и 70 Display; Tecla RGB, Tecla RGB XL, Tecla RGB 55, Tecla RGB 70; KNX Soft 55 и 70 | Data Secure |
| Релейные актуаторы | MAXinBOX 8 v4, 12, 16 v4, 20, 66 v3, 88, 1212; MINiBOX 20 v2, 25 v3, 40 v3, 45 v3; MicroBOX 12 и 22; IndustrialBOX 2, 4, 8, 12 и IndustrialBOX Current 2, 4, 8, 12 | Data Secure |
| Шторы | MAXinBOX SHUTTER 4CH v3 и 8CH v3; ShutterBOX Drive 2CH, 4CH, 6CH и 8CH | Data Secure |
| Освещение | DALI BOX Interface 64 X2, inBOX DALI 16, DALI BOX Broadcast 4CH v2 и 6CH v2, DIMinBOX 1-10V X4, Lumento X2 v2, X3 v2, X4 v2 и DX4 v2, AmbianceBOX | Data Secure |
| Климат | MAXinBOX Hospitality v3, MAXinBOX FC 0-10V, KLIC-FJT, KLIC-MDI | Data Secure |
| Климат | KLIC-DA v2 | «KNX Security» — вид защиты в руководстве не уточнён |
| Входы и датчики | BIN-T, QUAD v3, RailQUAD 4, 6, 8 v2 и 12, Presentia C MultiSensor | Data Secure |
| Доступ и отель | IWAC Out, IWAC Out Keypad, Securel v3, KILock, KIRN, RingBOX | Data Secure |
| Без KNX Secure по руководству | Z50, Z70 v2, Z100; MAXinBOX 24 v2, inBOX 20 v3, inBOX 24 v3; DALI BOX Interface 64 v3 | Нет |
Как подобрать актуатор под нагрузку — в гайде «Как выбрать актуатор KNX», клавиши — в гайде «Как выбрать выключатель KNX».
08
Нужен ли KNX Secure в доме, офисе и отеле?
Решение принимают в проекте. Главный вопрос — может ли посторонний добраться до шины или до IP-сети, по которой идёт KNX: без KNX Secure защита держится только на том, что доступа к ним нет[2]. Обратная сторона — дисциплина: пароль проекта, сертификаты и ключи нужно хранить, иначе любое изменение начинается с заводского сброса.
- Устройства снаружи
Вызывные и уличные устройства стоят там, куда есть доступ с улицы. Для таких мест есть модели с Data Secure — например, IWAC Out для наружной установки со степенью защиты IP56[81].
- Общая IP-сеть
Если KNX идёт по сети, которой пользуются и другие, обмен по IP защищает IP Secure — у ALLinBOX, ZennIoT и IP Router[5][6][3]. Подробнее о бизнес-центре — в решении для офисов.
- Многоквартирный дом
Автор статьи на сайте KNX Association советует для блока квартир линейный соединитель и KNX Secure на каждую квартиру[91].
- Отель
Устройства номера доступны гостю. Data Secure заявлен у MAXinBOX Hospitality v3, CX40, KILock и KIRN, а ALLinBOX Hospitality v2 поддерживает ещё и IP Secure[71][26][84][85][22]. Схема номера — в гайде о гостиничном номере.
- Квартира или дом
Если шина целиком внутри жилья, а сеть своя, Secure — выбор владельца. Включая его, заранее решите, где хранится проект с паролем: без проекта защищённое устройство не перенастроить[2].
Что понадобится для установки с KNX Secure
- ETS по сети
KIPI SC: KNX-IP интерфейс до 5 туннельных подключений с поддержкой KNX Data Security[16]; для туннеля с KNX IP Secure — ZennIoT, IP Router или ALLinBOX (строки ниже).
- Всё в одном с IP Secure
ALLinBOX 1612 v3: блок питания, KNX-IP интерфейс, 16 выходов и 12 входов, KNX Data Secure и KNX IP Secure[5].
- Актуатор с Data Secure
MAXinBOX 16 v4 — многофункциональный актуатор с KNX Data Secure[4].
