Toen Profibus in 1989 werd geïntroduceerd verliep de automatisering binnen de industriële wereld in een geheel ander tempo en met duidelijk ander gereedschap dan in de IT-sector. Met de brede acceptatie van het World Wide Web (WWW) ging Internet zijn vleugels uitslaan en kregen de Ethernet en TCP/IP gebaseerde protocollen de overhand in de IT-wereld en daarbuiten bij de consumenten. De ‘consumerization’ van de IT zette de digitalisering van de samenleving in een hogere versnelling. De robuuste veldbus-technologie wist zich binnen de industriële automatisering te handhaven door de convergentie met Ethernet in de vorm van Profinet. Die telt inmiddels wereldwijd 58 miljoen aansluitingen, terwijl Profibus nog steeds ruim 20 miljoen nodes kent. De onlangs in Veenendaal gehouden Profidag maakte duidelijk dat de Process Field Bus en de afgeleide technologieën Profinet en IO-Link meesurfen op de golfen van verandering.
Profibus is ooit ontwikkeld door een tiental bedrijven in de procesindustrie en een aantal onderzoeksinstituten, die als gebruikers van elektronische instrumenten behoefte hadden aan een gestandaardiseerde transmissie van toen nog voornamelijk analoge signalen. Met de sterke betrokkenheid van de gebruikers onderscheidt de veldbus-technologie zich van de latere internet gebaseerde communicatieprotocollen, waar de invloed van leveranciers op de ontwikkeling veel groter is.
In zijn voordracht schetste Xaver Schmidt, voorzitter van de internationale PI-vereniging, de huidige stand van zaken en het toekomstperspectief van een robuuste technologie die onder invloed van de steeds verdergaande digitalisering zich staande moet houden in de vijandige internetwereld vol hackers met criminele dan wel politiek geïnspireerde doelstellingen. Schmidt illustreerde de positie van diverse industriële communicatieprotocollen aan de hand van Omdia’s Industrial Communications Report uit 2022 die aangeeft dat Profinet met een aandeel van 30% de markt domineert. Met 26% is EtherNet/IP een goede tweede. Pas daarna volgen: Ethernet TCP/IP (13%); EtherCAT (11%); CC-Link (6%); Modbus TCP/IP (6%) en andere protocollen (8%).
Beveiliging en machineveiligheid
Met meer data vanuit diverse apparaten komt er meer informatie beschikbaar voor preventief onderhoud en adequaat monitoren van bedrijfsprocessen. Inmiddels is er binnen de industrie veel aandacht voor energieverbruik en CO2-uitstoot. Invoering van Industrie 4.0-principes met een streven naar volledige digitalisering van de informatiestroom binnen bedrijven en tussen bedrijven in de productieketen vragen om andere functionaliteit voor data uitwisseling en operabiliteit. OPC UA heeft in diverse varianten, afgestemd op de applicaties zijn weg gevonden in Profinet en IO-Link. Meer toegangsmogelijkheden van apparaten en applicaties op het OT-netwerk, impliceert ook meer kwetsbaarheden. Dus zag PN-beveiliging het licht met mogelijkheden voor het gebruik van algoritmen voor versleuteling in de industriële datacommunicatie en certificering daarvan volgens de IEC62443 standaard. Beveiliging en machineveiligheid gaan hand in hand met OPC UA Safety, PROFIsafe en IO-LinkSafety.
Met SRCI, Standard Robot Command Interface, laat de programmering van robots en PLC’s zich aanzienlijk vereenvoudigen, terwijl met de introductie van het Digital Twin-concept, prototyping, simulatie en optimalisering realiteit werd. In de proceswereld geldt Ethernet-APL als een ‘game-changer’ in connectiviteit waarmee de verschillende signalen, gegenereerd door uiteenlopende apparaten zich op een centraal punt laten monitoren. Met NOA (Namur Open Architectuur) voorziet de PI-functionaliteit in het gemakkelijk, maar ook veilig beschikbaar stellen van productiedata naar applicaties voor monitoring en optimalisering. MTP, oftewel Module Type Package Plant-level Integration, zorgt voor integratie van moderne apparatuur en oudere PI-technologie. De semantische beschrijving van de samengestelde apparatuur biedt mogelijkheden voor modelering.
PI-technologie doorstaat de digitaliseringsslag dankzij de brede keuze aan communicatievormen, gekoppeld aan diverse datamodellen, gericht op het verbinden van sensoren in het veld aan geautomatiseerde systemen op edge-niveau en in de cloud. En al die ontwikkelingen weten zich gesteund door een sterke PI-gemeenschap.
Patchen van OT-software niet zonder risico’s
De convergentie van operationele technologie (OT) en informatietechnologie (IT) is niet vanzelfsprekend bij heel veel organisaties met industriële automatiseringsoplossingen. In sommige gevallen kiest men bewust om beide domeinen gescheiden te laten. Veel OT-voorzieningen zijn nooit ontwikkeld met beveiliging in gedachte. Dikwijls betreft het legacy-systemen die altijd real-time functioneren en continu beschikbaar zijn. De gevolgen zijn zeer groot wanneer ze ‘eruit’ liggen. Het aanbrengen van updates en patches, zoals in de IT-omgeving gebruikelijk, is aan de OT-kant met alle fysieke processen niet zonder risico’s. De in de IT gebruikelijke beheertaken laten zich niet 1-op-1 overnemen in een OT-omgeving met apparaten, aangestuurd met embedded software en vaak gebaseerd op verouderde besturingssystemen. Tegelijkertijd vragen juist veel meer toeleveranciers van systemen en apparaten om faciliteiten voor remote beheer, zodat zij van buitenaf hun oplossingen kunnen monitoren en eventueel falen vroegtijdig detecteren.
Aan het thema Profinet & Security werd veel aandacht besteed op de recente Profidag, onder meer door vertegenwoordigers van Phoenix Contact. Zij herinnerden de aanwezige industriële communicatiespecialisten aan het feit dat er initieel in Ethernet geen enkele beveiligingsfuncties was opgenomen en derhalve ook niet in Profinet. Segregatie van netwerken en afscherming via cel-gebaseerd plant management, gescheiden van ’manufacturing execution’ (PLC’s), leek aanvankelijk voldoende waarborgen te bieden. De toegenomen integratie van applicaties binnen een Industrie 4.0-implementatietraject en de toegenomen aanvallen van criminelen op kwetsbaarheden binnen de OT- en IT-infrastructuur, maken binnen Profinet beveiligingsuitbreidingen onmisbaar. Gefaseerd zien zij het levenslicht, zodat er duidelijk sprake is van verschillende security classes. Daarvan zijn er nu drie gedefinieerd:
- Klasse 1: Discovery and Configuration Protocol alleen leesbaar; SNMP (Simpel Network Management Protocol) v1/2 geconfigureerd; digitale handtekening (volgens certificaat) van veilig verpakte GSDX-files.
- Bij klasse 2 beveiliging draait het om integriteit en verificatie, waarbij controle op de vertrouwelijkheid van IO data niet is vereist,
- terwijl dat bij klasse 3 wel het geval is.
Functionaliteit voor authenticatie en verificatie
Voorzieningen die altijd in de een of andere vorm van invloed zijn, blijven natuurlijk maatregelen tegen fysieke toegang en het afsluiten van verzekering tegen digitale inbraak. Bij Phoenix raden ze aan om de specificaties van de basis van OT-beveiliging, de IEC 62443-norm, nog eens na te lezen. Fundamentele vereisten zijn dan:
- multi-factor authenticatie (MFA)
- controle op de beveiliging van mobiele apparaten en signalering van ongeautoriseerde draadloze apparatuur
- verificatie van oorspronkelijkheid
- voorzieningen voor beperken van de data toevoer (RDF) zodat men vanuit een geïsoleerde omgeving kan doorwerken, onafhankelijk van Industriële Automatisering en controle systemen (IACS)
- programmeerbare toegang tot log-data zoals IDS en Syslog analyse
- en automatische aanmaak van backups en machinaal leesbare rapportering van de actuele beveiligingsinstellingen.
Bij het vergroten van de beveiliging van Profinet-omgevingen spelen drie partijen een rol: de PI-vereniging, de makers van apparatuur en de gebruikers. Van de laatste mogen we verwachten dat ze de specificaties, richtlijnen en ervaringen registreren en communiceren. De producenten van apparaten en systemen zullen die voorzieningen in hun producten moeten implementeren, terwijl de gebruikers consequent de richtlijnen en praktijkvoorbeelden moeten volgen. Daarbij valt niet te ontkomen aan het regelmatig invoeren van beveiligingspatches, hoe lastig dat ook moge zijn in de operationele omgeving waar elke vorm van systeemuitval of het niet beschikbaar zijn van apparaten of systemen resulteert in lastig door te belasten kosten.