Newsletter Abonnieren
Newsletter

Verbunden mit der Siemens-Welt

Viele Wege führen in die Cloud

Mit ihrer Rechenleistung und Speicherkapazität eignen sich Cloud-Infrastrukturen sehr gut, um aus den Daten der Automatisierungssysteme nützliche Informationen zu gewinnen. Dafür müssen die Daten aber erst einmal sicher in die Cloud gelangen. Am Beispiel von Siemens Mindsphere und anderer Produkte des Herstellers lassen sich verschiedene Ansätze illustrieren.

Siemens-Mindsphere als Beispiel eines Cloudkonzeptes
Bild: Siemens AG

Zwei wesentliche Merkmale der Digitalisierung sind die engmaschigere Vernetzung von Industrieanlagen und mehr dezentrale Intelligenz: In einer Anlage sind mehr Geräte in der Lage, Daten abseits ihres eigentlichen Einsatzweckes zu liefern. Gleichzeitig steigen die Fähigkeiten, diese Daten zu transportieren. Um diese im Industrial Internet of Things (IIoT) generierten Daten nutzbar zu machen, also aus Daten Wissen und wirtschaftlichen Nutzen zu generieren, braucht es passende Speicher- und Rechenkapazitäten. Systeme auf Cloud-Basis können dies mit ihrer Flexibilität und Skalierbarkeit sehr gut leisten und Siemens hat mit Mindsphere eine entsprechende Lösung auf dem Markt. Alle verfügbaren Informationen direkt in die Cloud zu übertragen, ist aber nur bedingt zu empfehlen. Hier ist nicht mehr die Frage, wie sich benötigte Daten überhaupt generieren lassen, sondern wo die Vorverdichtung dieser Daten sinnvoll ist. Denn die in der Infrastruktur verfügbare Bandbreite steigt zwar, aber meist nicht im gleichen Maß wie das Datenaufkommen. Vorausschauende Planung bei der Auslegung der Infrastruktur kann helfen, spätere Engpässe zu vermeiden. Die die Lösung bereits in die Anlagensteuerung integriert, können die Daten dort vorverarbeitet werden. Die Steuerung hilft somit, die Netzwerklast nicht unnötig zu erhöhen. Ein Kommunikationsprozessor mit Funktionen zur IT-Sicherheit ergänzt bei Bedarf das System. Denn selbst wenn die zu generierenden Daten und die Siemens-Cloud als Plattform gesetzt sind, braucht es in vielen Fällen einen Mechanismus für den abgesicherten Datentransfer. Der Münchener Technologiekonzern hat unter dem Namen Mindconnect auch für diese Aufgabe ein Portfolio gebündelt.

Extern oder integriert

Grundsätzlich lassen sich zwei Methoden der Cloud-Anbindung unterscheiden: Über externe Hardware – als sogenannte Black Box für Maschinen- und Anlagensteuerungen – oder als integrierte Lösung, etwa als Funktionsbausteine in der SPS. Bei der externen Variante werden Informationen aus der Anlage durch ein separates Gerät eingesammelt und anschließend mittels gesicherter Kommunikation in die Cloud geschickt. Diese Aufgabe kann beispielsweise die Lösung Mindconnect Nano oder Mindconnect IOT übernehmen. Diese Produkte sind für Szenarien ausgelegt, in denen die Maschinen- oder Anlagensteuerung unangetastet bleiben soll und Sicherheitsupdates die Automatisierungsseite nicht beeinflussen dürfen. Eine integrierte Lösung über die Funktionsbausteine von Mindconnect nutzt vorhandene Simatic S7-1500-Hardware, beispielsweise die Anlagensteuerung, und erweitert deren Funktionalitäten um die Möglichkeit, Daten abgesichert in die Cloud zu senden. Ein Vorteil bei diesem Vorgehen ist, dass die Hardware im Sinn eines Datenkonzentrators zur bereits erwähnten Vorverarbeitung genutzt werden. Über das dafür erforderliche Prozesswissen verfügt der Anlagenbauer. Die Cloud-Anbindung kann so direkt bei der Erstellung des Steuerungsprogramms berücksichtigt werden. Zum anderen kann bestehende oder ohnehin anzuschaffende Hardware verwendet werden. Schlussendlich kann allerdings nicht in jedem Fall direkt auf alle in einer Anlage verfügbaren Messwerte zugegriffen werden. Denn der Vernetzungsgrad in den Anlagen und die Verbreitung von Ethernet-Infrastruktur steigt zwar, erstreckt sich aber meist nicht auf die unterste Sensorebene. Vor allem aus Kostengründen ist sie oft noch über Bus-Systeme oder analoge Signale angebunden. Die Informationen solcher Sensoren stehen auf der Anlagensteuerung jedoch zur Verfügung und können durch eine integrierte Cloud-Anbindung für Auswertungen genutzt werden.

Sicher mit der Cloud sprechen

Um über die Siemens-Funktionsbausteine eine Verbindung zu Mindsphere herzustellen und abzusichern, ist man an eine Reihe anderer Produkte des Unternehmens gebunden. Voraussetzung ist eine Simatic S7-1500-Steuerung mit Firmware 2.0 oder höher, die Engineering-Umgebung Step7 ProfessionalV14 (TIA Portal) SP1 oder höher sowie ein Mindsphere-Account. Aus der Steuerung werden über die Bausteine Daten an die Cloud gesendet. Die Kommunikation erfolgt zertifikatsbasiert verschlüsselt, Unterbrechungen in der Kommunikationsverbindung können durch einen Datenbaustein-Puffer auf der Steuerung überbrückt werden. Die Daten liegen nun im Cloud-System und können mit Applikationen auf der Plattform analysiert werden. Die Anbindung selbst erfolgt in drei Stufen:

Anlegen des Objektes (Asset). Zunächst werden die Grundeinstellungen, wie die Art der Anbindung an Mindsphere (Agent) festgelegt, in diesem Fall Mindconnect FB 1500. Mit den daraus generierten Registrierungsdaten kann die Steuerung konfiguriert werden

Hardware konfigurieren und programmieren. In TIA Portal wird die Hardware angelegt und das Programm erstellt. Die für die Anbindung an die Cloud benötigten Bausteine werden als frei verfügbare Programmbibliothek angeboten und können in das TIA-Projekt integriert werden. Durch die freie Erstellung von Datenmodellen und Datenquellen kann ein für die jeweilige Anlage passendes Set von Informationen definiert werden. Die Vorverarbeitung dieser Informationen geschieht im normalen Programm der Steuerung. Zur Zuordnung und Verschlüsselung der Verbindung werden die im ersten Schritt generierten Registrierungsdaten sowie Zertifikate im Projekt hinterlegt.

Auswertung von Daten. Nach Inbetriebnahme der Steuerung und dem Start der Datenübertragung, kann mit der Analyse der Daten begnonnen werden, etwa mit einer Verfügbarkeitsanalyse im Programm Fleet Manager.

IT-Security stets mitdenken

Bei Cloud-basierten Systemen werden Daten in aller Regel über Enterprise- oder sogar öffentliche Netze übertragen. Daher sollte die Datensicherheit bereits im Gesamtkonzept berücksichtigt werden. Augenmerk sollte etwa auf die Anbindung der Automatisierungszelle oder Anlage gelegt werden. Da für den Datenverkehr mit der Cloud eine Verbindung zum übergeordneten Netz herzustellen ist, muss dieser potentielle Zugriffspunkt für Angreifer geschützt werden. Wie groß das Bedrohungspotential ist, hängt vom überlagerten Netz und dessen Schutzmaßnahmen ab. In vielen Fällen ist ein zusätzlicher Schutzmechanismus in der Zelle sinnvoll, auch weil so die Zugriffsberechtigung unabhängig von eventuell überlagerten Mechanismen gesteuert werden kann. Eine Möglichkeit ist zum Beispiel der Einsatz separater Hardware, wie eines LAN-Routers zur Anbindung über das vorhandene Firmennetzwerk. Einige Produkte von Siemens der Scalance-Reihe können als konfigurierbare Firewall dienen. Bei entsprechender Einrichtung kann auf alle Geräte im unterlagerten Netz auf IP-Basis zugegriffen werden. Eine weitere Möglichkeit ist es, die CPU-Schnittstellen durch einen Kommunikationsprozessor (CP) zu erweitern. Durch den Einsatz eines CP wird der Steuerung eine weitere Schnittstelle hinzugefügt, über die externe Kommunikation abgewickelt werden kann, etwa die Mindsphere-Anbindung. Gleichzeitig stellt der CP Security-Funktionen wie eine Firewall zur Verfügung. Der Betriebszustand des CP hat dabei keine Auswirkung auf die eigentliche Steuerung. Selbst im Fall einer Denial-of-Service-Attacke, die die Funktion des CP beeinträchtigt, kann die Steuerung unbeeinflusst weiterarbeiten. Mit dieser Lösung auch die Netztrennung realisiert: Aus dem überlagerten Netz kann die Steuerung erreicht werden, der Zugriff auf unterlagerte Geräte ist aber blockiert, da kein IP-Routing stattfindet.

Autoren: Frederik Nitsche arbeitet im Produkt Management bei der Siemens AG
Thematik: Allgemein, Cloud Computing, Internet of Things – IoT | Fachartikel, Industrie 4.0

News

das könnte sie auch interessieren