Inbetriebnahme von OPC UA in KEPServerEX: Eine Checkliste für die Praxis

KEPServerEX, von PTC inzwischen als Kepware Server bezeichnet, kann Industriedaten über OPC UA bereitstellen. Die Inbetriebnahme dieser Schnittstelle bedeutet mehr, als nur einen Endpunkt zu finden. Ingenieure müssen für die jeweilige Installation nachweisen, dass die richtigen Tags, Vertrauensbeziehungen, Zugriffsregeln und das Wiederherstellungsverhalten korrekt funktionieren.

Mit dem Datenpfad beginnen

Zeichnen Sie den tatsächlichen Pfad vom Controller über Treiber und Server bis zur nutzenden Anwendung auf. Dokumentieren Sie die Controller-Adresse, das Protokoll, die Tag-Quelle, die erwarteten Aktualisierungen und den Verantwortlichen. OPC UA ist die Schnittstelle, die dem Client präsentiert wird; dadurch werden nicht alle zugrunde liegenden SPS-Verbindungen identisch.

Definieren Sie, welche Werte Messungen, Statusinformationen, Befehle oder Konfigurationseinstellungen sind. Schreibbare Tags verdienen besondere Aufmerksamkeit. Ein Dashboard, das nur Beobachtungsdaten benötigt, sollte nicht allein deshalb Schreibzugriff erhalten, weil der Server diesen anbietet.

Controllerdaten vor OPC UA überprüfen

Prüfen Sie zuerst die Kommunikation zwischen dem Controller und dem relevanten KEPServerEX-Treiber. Vergleichen Sie eine kleine Auswahl aktueller Werte mit einer freigegebenen technischen Referenz. Beziehen Sie nach Möglichkeit eine sich ändernde Messgröße, einen diskreten Status und einen bekannten Zustand mit schlechter Datenqualität ein.

Wenn der Quellwert falsch ist, wird der Fehler durch die Veröffentlichung über OPC UA lediglich weiterverbreitet. Dokumentieren Sie Skalierung, technische Einheiten, Tag-Namen und die Frage, ob ein veralteter Messwert mit einem ordnungsgemäßen Prozesswert verwechselt werden kann. Zur umfassenderen Eingrenzung von Netzwerkfehlern finden Sie weitere Informationen in unserem Leitfaden zur Fehlersuche in industriellen Netzwerken.

Endpunkt und Vertrauensstellung in Betrieb nehmen

Ermitteln Sie die URL des Server-Endpunkts und die von der installierten Version unterstützten Sicherheitseinstellungen. Stimmen Sie die Client-Richtlinie auf die freigegebene Sicherheitsgrundlage des Standorts ab. Richten Sie das Zertifikatsvertrauen auf beiden Seiten bewusst ein, überprüfen Sie die Identitäten und dokumentieren Sie den Ablauf sowie die Zuständigkeit für die Erneuerung der Zertifikate.

Deaktivieren Sie die Sicherheit nicht, um eine Produktionsverbindung funktionsfähig zu machen. Eine vorübergehende Ausnahme im Labor darf nicht unbemerkt zum Betriebskonzept werden. PTC stellt einen Leitfaden für OPC-UA-Client- und Serververbindungen bereit, der die unterstützten Kepware-Server-Versionen abdeckt. Prüfen Sie die Dokumentation, die dem eingesetzten Build entspricht.

Berechtigungen eng begrenzen

Verwenden Sie Konten und Berechtigungen, die zur Rolle des Clients passen. Wenn die Installation dies unterstützt, trennen Sie den Überwachungszugriff vom Steuerzugriff. Überprüfen Sie jeden Namespace und jedes dem Verbraucher bereitgestellte Tag. Ein umfassendes Abonnement kann den Datenverkehr erhöhen und Daten offenlegen, die die Anwendung nicht benötigt.

Platzieren Sie den Server und seine Clients innerhalb einer freigegebenen OT-Architektur. Firewall-Regeln sollten die tatsächlichen Endpunkte und die Kommunikationsrichtung festlegen. Der Katalog für Kommunikation und Netzwerktechnik am Standort veranschaulicht die in solchen Pfaden verwendeten Hardwarekategorien; Katalogkomponenten ersetzen jedoch kein Netzwerkdesign.

Fehler- und Wiederherstellungspfade nachweisen

Trennen Sie den Controller oder einen Testclient unter kontrollierten Bedingungen. Vergewissern Sie sich, dass die Anwendung schlechte Datenqualität oder den Kommunikationsverlust eindeutig meldet. Stellen Sie die Verbindung wieder her und überprüfen Sie, dass sich die Werte ohne unerklärte Konfigurationsänderung wieder erholen. Bestätigen Sie, ob Bediener alte Daten von aktuellen Daten unterscheiden können.

Dokumentieren Sie den Endpunkt, die Serverversion, die Treiberversion, die Zertifikatsverantwortlichen, die zugelassenen Clients, die Tag-Liste und die Ergebnisse der Basistests. Wiederholen Sie diese Prüfungen nach einem Treiber-Upgrade, dem Austausch eines Zertifikats, einer Controlleränderung oder einer Anpassung der Firewall. Eine Verbindung, die heute funktioniert, ist nur dann nützlich, wenn das Wartungsteam sie später reproduzieren und diagnostizieren kann.