Sicherer Blick in die Anlage

Ganz gleich, ob es um Produktbeschaffenheit, Kosten, komplexe Lieferketten oder unterschiedlichste Stückzahlen geht; heute gilt es für produzierende Unternehmen, sich immer schneller auf veränderte Kundenwünsche einzustellen. Für die notwendige Flexibilität sorgt hierbei ein hoher Automatisierungsgrad. Ungeplante Stillstände sind dabei zu vermeiden, denn in der Regel greift das Wartungspersonal bei komplexen Anlagen und Maschinen im Störfall auf Spezialisten des Herstellers zurück. Insbsondere der Besuch vor Ort kann kosten- und zeitintensiv sein. Die Fernwartung kann hier Abhilfe schaffen. Weidmüller bietet maßgeschneiderte Services, die auf den gesamten Lebenszyklus einer Maschine abzielen. Die Systemlösung besteht aus Netzwerkkomponenten wie Industrial Security Router und Ethernet Switch, dem Remote I/O-System U-remote inklusive integriertem Webserver für detaillierte Systemdiagnosen, zusätzlichen kommunikationsfähigen Automatisierungskomponenten und nicht zuletzt der webbasierten Fernwartungslösung U-link. Einige dieser Produkte lassen sich auch kundenindividuell konfigurieren und auf spezielle Bedürfnisse anpassen, beispielsweise das U-remote-System.

Zu den Vorteilen des U-link-Portals zählen ein abgesicherter Remote-Zugang, eine flexible Systemstruktur, ein effizientes Management, eine schnelle Ferndiagnose sowie ein beschleunigter Anlagenservice. Für den sicheren Remote-Zugang dient ein Webportal mit integriertem VPN-Rendezvous-Server in Deutschland, ein Router mit integrierter SPI-Firewall (stateful inspection), die Authentifizierung durch x.509-basierte Zertifikate (OpenVPN mit SSL-Verschlüsselung) und die manuelle Zugriffsfreigabe an der Maschine.

Neben all den technischen Möglichkeiten, die industrielle Router- und Cloud-Systeme bieten, darf die IT-Sicherheit industrieller Automatisierungssysteme (IACS) nicht vernachlässigt werden. In der Normenreihe IEC 62443 werden sieben grundlegende technische Systemanforderungen genannt, die eine Grundlage für die zu erreichenden Security-Level (SL) für Automatisierungssysteme darstellt. Die nach IEC 62443 grundlegenden technischen Systemanforderungen sind:

Alle sieben grundlegenden Systemanforderungen haben noch jeweils vier untergeordnete Security-Level (SL1 bis SL4). SL1 stellt dabei den geringsten, SL4 den höchsten Sicherheitsanspruch dar. Über die Security-Level kann eine Systemlösung flexibel und nach den individuellen Bedürfnissen der Endnutzer klassifiziert werden. Dabei ist es jedoch unabdingbar, dass alle grundlegenden technischen Systemanforderungen berücksichtigt werden. So sollen industrielle Router- und Cloud-Lösungen zum Beispiel nicht nur alle Nutzer identifizieren und authentifizieren, sondern auch die dauerhafte Integrität der übertragenden Daten durch kryptologische Algorithmen, Schlüsselgrößen und Mechanismen der Schlüsselerstellung gewährleisten.

Neben den technischen Systemanforderungen, stellt die Architektur in einem industriellen Automatisierungssystem ebenfalls eine Herausforderung dar. Aus diesem Grund sollte schon bei der Planung und Integration von Fernwartungslösungen stets beachtet werden, dass Automatisierungssysteme von Nicht-Automatisierungssystemen und kritische von unkritischen Systemen logisch getrennt werden sollten. Nach Empfehlung des Bundesamts für Sicherheit in der Informationstechnik (BSI) sollten Fernwartungskomponenten statt direkt im Produktionsnetz möglichst in einer vorgelagerten Zone (DMZ) angebracht sein. Fernwartungszugänge dürfen nicht dazu führen, vorhandene Sicherheitsmechanismen zu umgehen. Des Weiteren sollte ein Fernwartungszugriff möglichst nicht pauschal auf das Produktionsnetz erfolgen, sondern klar und strukturiert pro IP und Port, z. B. 1194 oder 443, geregelt werden. Dies grenzt nicht nur den erreichbaren IP-Adressraum in der Anlage ein, sondern schottet die übrigen IP-Adressbereiche ab. Ein Lösungsansatz bietet die direkte Punkt-zu-Punkt-Verbindung mit dem Industrial Router und dem Webportal U-link, das eine sichere und schnelle Kommunikation zwischen User und Anlage garantiert. Diese gesicherte und verschlüsselte Kommunikation ermöglicht eine durchgängige Diagnosefunktion aller kommunikationsfähigen Geräte. Ein effizientes Management unterstützt die intuitive Bedienoberfläche mit klarer Benutzerführung, die eine User-, Gruppen- und Rechteverwaltung nach individuellem Bedarf ermöglicht.

Ferndiagnosen von Maschinen oder Anlagen erfolgen mit dem U-link-Portal nicht nur schnell, sondern ganzjährig rund um die Uhr, außerdem besteht ein direkter Zugriff auf alle TCP/IP-basierten Geräte. Die Fernwartungslösung gestattet einen beschleunigten Anlagenservice, sodass Nutzer einen direkten Fernzugriff auf alle Systemfunktionen vor Ort haben und sie die Konfigurationen sowie Programme anpassen und Firmware-Updates einspielen können. Zu beachten ist, dass ein Fernzugriff – sofern möglich – ausschließlich aus der Anlage heraus initiiert werden sollte. Um etwaige Gefahrensituationen an lokalen Anlagen zu verhindern, beschreibt zum Beispiel die Norm für Sicherheit von Holzbearbeitungsmaschinen DIN EN ISO 18217, dass ein Anlagenbetreiber den Fernzugriff aktivieren bzw. freigeben muss. Durch die eventuelle Fernsteuerung einer Anlage darf kein Gefährdungspotenzial für Anlage und Mensch entstehen.

www.prozesstechnik-online.deSuchwort: cav0716weidmüller

Produktmanager Industrial Ethernet, Weidmüller