[bhadorn]

Ich arbeite für CyberTech Engineering im Bereich Maschinenvernetzung MDE & MES. Wir werden immer wieder mit der Frage konfrontiert, wie man sicher Maschinen mit OPC-UA verbinden kann. Ein OPC-UA Server stellt viele Sicherheits-Möglichkeiten zur Verfügung. Da der Server aber maschinenseitig läuft, müsste man private Zertifikate, Active Directory Joins oder ähnliches auf der Steuerungssoftware oder HMI durchführen. Aus Sicht IT ist das aber ein Alptraum. Server sollten in einem geschützten IT-Bereich existieren. Eigentlich sollten Maschinen Clients sein und nicht Server...

Nun meine Fragen:
Ist das ev. ein Design-Fehler von OPC-UA oder wird das Konzept von Maschinenbauer falsch angewendet?
Was würdet Ihr empfehlen - OPC-UA einsetzen? Oder gibt es sicherere Alternativen für SmartFactories, MDE und MES Lösungen?

Besten Dank für euer Feedback,

Benjamin Hadorn

Angehängte Datei(en)

 opcua.png ( 46.87KB ) Anzahl der Downloads: 4

 

[SeanClaud]

Gute Fragen

aber ich denke die Maschine muss der Server sein, es werden ja auch die Daten von der Maschine bereitgestellt.
mit OPC UA kann man User erstellen und die Daten verschlüsseln (empfohlen) und für die User Rechte erteilen (empfohlen)
am besten nur leserechte.
beim voll Zugriff bedeutet, das man alle Daten (Maschinendaten, PLC, usw...) einsehen und ändern kann.

der Maschinenhersteller kann sich nur nach dem richten was zur verfügung steht, (Client oder Server) der kann da nichts falsch interpretieren, denke ich.....

LG

[rwbm]

OPC UA implementiert ja auch eine eigene Zertifikatspolitik. Spannend aus deiner Sicht könnte auch die "Reverse-Connect" Funktion sein, bei der der Server derjenige ist, der die Verbindung initiiert. Schau mal auf den Seiten der OPC Foundation, da findet man echt ne Menge.

[christ_verlinked]

Grundsätzlich ist das Design so vorgesehen, dass bei OPC-UA die Maschine der Server ist. Das ist in der Tat problematisch für die IT und aus meiner Sicht auch ein Design-Fehler, aber was will man machen. Die Theorie der Absicherung über Zertifikate bekommt kaum einer wirklich hin in der Praxis.

Man kann sich auch unabhängig von diesen verschiedenen Möglichkeiten machen und eine Infrastruktur zur Datenerfassung schaffen. Das verlinked connect-Gateway ist zum Beispiel eine solche Software.

Das Daten-Gateway kann dabei zum Beispiel als OPC-UA Client agieren, die gewünschten Daten aufnehmen und flexibel an andere Systeme (auch über andere Protokolle) weiterreichen. Hierüber kann man die Daten ggf. auch aktiv pushen oder jede andere Art der Integration z.B. Richtung MES oder gar Cloud realisieren.

https://www.verlinked.com/connect/gateway

[aReichel]

Wie bereits von einigen anderen beantwortet, ist es richtig, dass die Maschinenseite OPC UA Server ist. Mit Zertifikaten und Verschlüsselung, wird der Kommunikationsweg abgesichert und über die integrierte Benutzerverwaltung sollte die Sicherheit zum Browsen, Lesen und Schreiben bis zum letzten Element durchgängig konfigurierbar sein per Spezifikation.

Daran hält sich bisher nicht jeder OPC UA-Server. Einer, der das zum Beispiel durchgängig bis in die letzte Ebene unterstützt, ist zum Beispiel der KEPServerEX.