OT-Security für eine Extrusionslinie: Zonen, Conduits und IDMZ in der Praxis

Eine fünfte Maschine, ein neues Konzept

Für einen Fertigungsbetrieb mit zwei Standorten haben wir eine Bohreinheit als fünfte Maschine einer Extrusionslinie entwickelt – nach Extruder, Wasserbad, Bandabzug und Säge. Wer eine Maschine kauft, bekommt das Sicherheitskonzept vom Hersteller mitgeliefert. Wer sie selbst baut, muss es selbst schreiben. Und «Sicherheit» heisst hier drei Dinge gleichzeitig: dass niemand verletzt wird, dass die Elektrik und Mechanik den Regeln entsprechen, und dass die Maschine nicht über das Netzwerk manipuliert werden kann.

Wir haben das in einem Dokument zusammengefasst, das alle drei Ebenen abdeckt und von der Geschäftsleitung freigegeben wurde. Dieser Artikel beschreibt die Denkweise dahinter.

OT-Security: In Zonen denken

Der Ansatz stammt aus IEC 62443: Man teilt das Netz in Zonen mit ähnlichem Schutzbedarf und definiert Conduits – die kontrollierten Übergänge zwischen ihnen. Für die Extrusionslinie sah das so aus:

• Zone Maschine: Die Steuerung, die Antriebe, die Peripherie. Hier darf nur hin, was die Maschine braucht.
• Zone Linie: Die fünf Maschinen untereinander, plus die Bedienstationen.
• IDMZ: Eine industrielle DMZ zwischen Produktionsnetz und Büronetz. Daten, die nach oben müssen – Messwerte, Zustände, Aufträge –, gehen über einen definierten Punkt, nie direkt.
• Zone Büro/IT: Alles andere.

Die Bohreinheit hat eine Besonderheit: Die Steuerung läuft auf einer Phoenix Contact PLCnext, und die Bedienoberfläche ist ein FastAPI-Client, der per OPC UA mit der Steuerung spricht. Diese Verbindung ist ein Conduit und wird als solcher behandelt: authentifiziert, auf die nötigen Knoten beschränkt, dokumentiert.

Warum ein Härtungsskript für Maschinennetze

Ein Konzept auf Papier ist gut. Ein Skript, das das Konzept auf dem Netzwerkgerät umsetzt, ist besser. Wir haben deshalb ein Härtungsskript für Maschinennetze gebaut, das die Grundregeln durchsetzt: ungenutzte Ports deaktivieren, Verwaltungszugänge einschränken, Standardpasswörter entfernen, Protokolle abschalten, die niemand braucht.

Der Grund ist einfach: Maschinennetze wachsen. Es kommt ein Tablet dazu, ein Kameraportal, ein Node-RED-Dashboard. Jedes Gerät bringt seine Standardkonfiguration mit. Ohne ein wiederholbares Skript wird das Netz mit jeder Ergänzung ein bisschen offener – und niemand merkt es, bis etwas passiert.

Funktionale Sicherheit nach EN ISO 13849-1

Die zweite Ebene ist die, bei der es um Menschen geht. Für jede Gefährdung – Quetschen an den Achsen, die Bohrspindel, die Klemmung – haben wir das erforderliche Performance Level bestimmt und die Sicherheitsfunktion darauf ausgelegt: NOT-AUS-Kreis, Schutzeinrichtungen, sichere Zustände.

Ein Detail, das wir hervorheben wollen: Die Klemmbremse der Einheit hat eine eigene Firmware auf einem ESP32. Ihre Fail-safe-Logik lautet: Die Spindel wird angehalten, ohne die Klemme zu lösen. Das klingt trivial, ist aber genau die Art von Entscheidung, die man bewusst treffen und dokumentieren muss, statt sie dem Zufall der Einschaltreihenfolge zu überlassen.

Elektrische und mechanische Sicherheit

Die dritte Ebene ist die klassische: Schaltplan in EPLAN Electric P8 mit Einspeisung, NOT-AUS und Motorsträngen, Stückliste, Klemmenplan. Mechanisch: Abdeckungen, Schutzbereiche, Kennzeichnung. Das ist keine spannende Ingenieurskunst, aber es ist der Teil, der bei einer Abnahme zuerst geprüft wird – und der bei Eigenbauten am häufigsten fehlt.

Abnahme und Änderungsprozess

Der Teil des Konzepts, der langfristig am wichtigsten ist, hat nichts mit Technik zu tun: Wie wird die Maschine abgenommen, und was passiert, wenn jemand sie ändert?

Wir haben festgelegt:

• Eine Abnahme-Checkliste über alle drei Ebenen, die vor der Freigabe abgearbeitet und unterschrieben wird
• Jede Änderung an Steuerung, Sicherheitskreis oder Netzwerk durchläuft eine kurze Bewertung: Berührt sie eine Sicherheitsfunktion? Öffnet sie einen neuen Conduit?
• Änderungen werden versioniert – die Steuerungssoftware liegt im Repository, der Schaltplan hat einen Revisionsstand

Ohne diesen Prozess ist das schönste Konzept nach dem ersten «schnellen Fix» am Freitagnachmittag Makulatur.

Was wir mitnehmen

• OT-Security, funktionale Sicherheit und Elektrosicherheit gehören in ein Dokument, weil sie sich gegenseitig beeinflussen
• Zonen und Conduits sind auch für eine einzelne Linie sinnvoll, nicht nur für Grossanlagen
• Ein Härtungsskript ist die Versicherung gegen schleichende Aufweichung
• Der Änderungsprozess entscheidet, ob das Konzept in zwei Jahren noch gilt

Fazit

Eine selbst gebaute Maschine ist eine Chance, Sicherheit von Anfang an richtig zu machen, statt sie nachträglich anzuflicken. Der Aufwand für das Konzept war überschaubar im Vergleich zur Entwicklung selbst – und er ist das, was die Freigabe durch die Geschäftsleitung überhaupt erst ermöglicht hat.