Die Instandhaltung chemischer Produktionsanlagen ist aufwändig: Unzählige Filter, Rohre, Dichtungen, Pumpen, Steuergeräte u.v.a. müssen regelmäßig kontrolliert, gewartet und erneuert werden, um den sicheren Betrieb der Anlage zu gewährleisten. Ein Teil dieser Arbeiten kann während des laufenden Betriebs durchgeführt werden, für andere ist ein kompletter Anlagenstillstand erforderlich. Wartungsarbeiten und vor allem stehende Produktionsanlagen verursachen hohe Kosten. Wer bei der Wartung Aufwand und Stillstandszeiten minimiert, kann deutliche Wettbewerbsvorteile erreichen. Der verstärkte Einsatz von IT in Produktionsbereichen – Stichwort Industrie 4.0 – bietet hier neue Möglichkeiten, muss aber zuverlässig abgesichert werden.

Kritische Punkte von chemischen Anlagen, die regelmäßiger Wartung unterliegen, können zum Monitoring mit Sensoren ausgestattet werden. Diese erfassen Daten wie Drehzahlen, Druck, Temperatur oder Vibrationen, die Indikatoren für den Wartungsbedarf sind. Auch Daten aus den Steuerungssystemen der Anlage sind wichtig für das Condition Monitoring. Werden diese Informationen zusammengeführt und mittels ausgefeilter Big Data-Analysen ausgewertet, lassen sich bspw. diese Fragen zuverlässig beantworten: Wann sollten welche Komponenten der Anlage gewartet oder ausgetauscht werden, um Ausfälle zu vermeiden? Wann ist der optimale Zeitpunkt für die nächste Stillstandwartung? Welche Komponenten sollten beim nächsten Stillstand gewartet oder ausgetauscht werden, auch wenn ihr Lebenszyklus noch nicht abgelaufen ist, um eine möglichst lange Betriebszeit bis zum nächsten Wartungsfenster zu erreichen? Anlagenbetreibern in der Chemiebranche ermöglicht die IT-Unterstützung somit Predictive Maintenance, die zu längeren Anlagenlaufzeiten und Kosteneinsparungen führt.

Predictive Maintenance setzt ein umfassendes Condition Monitoring und somit die Vernetzung der Produktionsanlagen voraus. Hier ist zu beachten: Alle Systeme, die via Netzwerk Daten senden, sind über diese Verbindung in Gegenrichtung prinzipiell auch erreich- und somit angreifbar. Mit der zunehmenden Vernetzung wachsen die Angriffsflächen, über die Unbefugte oder Malware eindringen und die Produktionsanlage manipulieren können. Diese Risiken müssen ausgeschlossen werden. Die chemische Industrie benötigt somit Industrial Security-Lösungen zur sicheren Vernetzung kritischer Produktionsanlagen, um die Vorteile von Predictive Maintenance nutzen zu können.

Datendiode ermöglicht Monitoring hochkritischer Anlagen

Zur Anbindung kritischer Systeme ans Condition Monitoring hat der deutsche IT-Sicherheitshersteller genua die cyber-diode entwickelt. Die Diode lässt ausschließlich Einbahn-Datentransfers zu – in Gegenrichtung wird dagegen jeder Informationsfluss konsequent abgeblockt. Geschützt hinter der cyber-diode können Daten von Produktionsanlagen bspw. via Internet zum Monitoring an eine Leitstelle gesendet werden, ohne durch die Anbindung eine Angriffsfläche zu bieten.

Technologisch unterscheidet sich die cyber-diode grundlegend von konkurrierenden Lösungen anderer Hersteller. Während diese physikalische Dioden mit einer Glasfaser bieten, setzt genua auf Microkernel-Technologie. So besteht die zentrale Dioden-Funktion nur aus wenigen 100 Zeilen Code und läuft auf einem Microkernel-Betriebssystem, das ebenfalls auf das Allernotwendigste reduziert ist. Die Vorteile: Durch die geringe Komplexität ist der Code der cyber-diode überprüfbar. Programmierfehler, die zu ausnutzbaren Schwachstellen führen können, werden so vermieden. Zudem ist die Dioden-Funktion fest einprogrammiert und erfordert keine Konfiguration, so dass auch Administrationsfehler und dadurch verursachte Sicherheitslücken ausgeschlossen sind. Durch dieses Design ist garantiert, dass Daten die Diode nur in der gewünschten Richtung passieren können.

Aufgrund der eingesetzten Technologie kann die cyber-diode Daten neben UDP auch mit den Protokollen FTP (Dateien), SMTP (E-Mail) sowie TCP übertragen. Diese Protokolle garantieren schnelle und zuverlässige Transfers, da verlorengegangene Datenpakete noch einmal gesendet werden und die Übertragungsgeschwindigkeit optimal angepasst wird. Glasfaser-Dioden können diese performanten Protokolle nicht verarbeiten. Die cyber-diode erreicht so einen Datendurchsatz von bis zu drei Gbit/s und kann somit für Einbahn-Transfers großer Datenmengen eingesetzt werden, z. B. zur Archivierung von Log- oder Videodateien. Um den Anforderungen rauer Produktionsumgebungen standzuhalten, läuft die Datendiode auf kompakter Industrie-Hardware ohne Lüfter oder bewegliche Teile.

Komfortable Fernwartung muss abgesichert werden

IT ermöglicht aber nicht nur die vorausschauende Planung der Anlagenwartung, sondern erleichtert auch deren Durchführung. Denn nicht alle Arbeiten müssen Techniker vor Ort ausführen, vieles kann auch per Fernzugriff via Netzwerk erledigt werden, z. B. wenn an der Anlagensteuerung Einstellungen angepasst werden müssen. Häufig wird dieser komfortable Service vom Hersteller der Produktionsanlage oder externen Dienstleistern angeboten. Diese Fernwartung spart Zeit und Geld, erfordert aber einen Zugang via Internet auf die betreute Anlage und damit auf den sensiblen Produktionsbereich des Unternehmen. Hier muss unbedingt auf eine zuverlässige Absicherung geachtet werden: Nur berechtigte Personen dürfen Zugriff auf die Anlagensteuerung erhalten – und sonst niemand!

Zur sicheren Fernwartung von Anlagen in sensiblen Produktionsbereichen bietet die IT-Firma eine Lösung, in deren Mittelpunkt ein Rendezvous-Server steht. Das Konzept: Es werden keine einseitigen Wartungszugriffe von externen Dienstleistern in das Netz eines Industrieunternehmens zugelassen. Stattdessen führen alle Fernwartungs-Zugriffe auf einen Rendezvous-Server, der in einem speziellen Bereich neben der Firewall, der sog. demilitarisierten Zone (DMZ), installiert ist. Dorthin baut sowohl der Dienstleister als auch das Industrieunternehmen von innen aus dem Produktionsbereich eine verschlüsselte Verbindung auf. Erst wenn es auf dieser zentralen Wartungsplattform zum Rendezvous kommt, kann der Dienstleister die jetzt durchgängige Verbindung zum Zugriff auf die betreute Anlage nutzen.

Der Rendezvous-Server kann sowohl in der DMZ des Dienstleisters als auch des Industrieunternehmens eingerichtet werden. Da das Unternehmen zu einem verabredeten Zeitpunkt selbst aktiv werden muss, hat es stets die Übersicht, wer wann in seinem Netz unterwegs ist. Zudem lassen sich auf Seiten des Industrieunternehmens alle Wartungsaktionen über die Bedienoberfläche live mitverfolgen, zusätzlich wird ein Video-Mitschnitt abgespeichert. So behalten Unternehmen stets die volle Kontrolle und können jederzeit nachvollziehen, wer wann welche Wartungsarbeiten durchgeführt hat.

Im Produktionsbereich des Unternehmen sorgt zusätzlich die Fernwartungs-Appliance genubox für Sicherheit. Die Appliance wird an der per Fernzugriff betreuten Anlage installiert und separiert mit einer Firewall-Funktion den Wartungsbereich von den anderen Systemen in diesem Netzbereich. So kann der externe Dienstleister nur auf das Wartungsobjekt zugreifen – andere Systeme im Produktionsnetz sind nicht erreichbar. Somit könnte auch Schadcode, selbst wenn er hierhin vordringen sollte, von dieser isolierten Anlage aus keine weiteren Systeme infizieren.

Über den Rendezvous-Server können beliebig viele Fernwartungs-Verbindungen eingerichtet werden. Da Bedienung und Administration über eine App sowie  zentrale Management Station erfolgen, lässt sich mit geringem Aufwand ein sicheres Fernwartungs-System mit vielen Teilnehmer aufbauen und betreiben. Mit hochwertigen IT-Sicherheitslösungen können Chemieunternehmen somit die Vorteile von Predictive Maintenance und Fernwartung via Internet nutzen und ihre Wettbewerbsfähigkeit steigern.