Beispiel-Applikation DiagMonitor OPC UA Server

Transkript

1 SIMATIC Industrie-PC Produktinformation Inhaltsverzeichnis Security-Hinweise... 1 Übersicht... 2 Projektierungsübersicht... 2 Verwendete Hard- und Software-Komponenten... 3 Einleitung... 3 Inbetriebnahme SIMATIC DiagMonitor... 4 Inbetriebnahme WinCC... 5 Security-Hinweise Siemens bietet Produkte und Lösungen mit Industrial Security-Funktionen an, die den sicheren Betrieb von Anlagen, Systemen, Maschinen und Netzwerken unterstützen. Um Anlagen, Systeme, Maschinen und Netzwerke gegen Cyber-Bedrohungen zu sichern, ist es erforderlich, ein ganzheitliches Industrial Security-Konzept zu implementieren (und kontinuierlich aufrechtzuerhalten), das dem aktuellen Stand der Technik entspricht. Die Produkte und Lösungen von Siemens formen nur einen Bestandteil eines solchen Konzepts. Der Kunde ist dafür verantwortlich, unbefugten Zugriff auf seine Anlagen, Systeme, Maschinen und Netzwerke zu verhindern. Systeme, Maschinen und Komponenten sollten nur mit dem Unternehmensnetzwerk oder dem Internet verbunden werden, wenn und soweit dies notwendig ist und entsprechende Schutzmaßnahmen (z. B. Nutzung von Firewalls und Netzwerksegmentierung) ergriffen wurden. Zusätzlich sollten die Empfehlungen von Siemens zu entsprechenden Schutzmaßnahmen beachtet werden. Weiterführende Informationen über Industrial Security finden Sie unter: Industrial Security ( Die Produkte und Lösungen von Siemens werden ständig weiterentwickelt, um sie noch sicherer zu machen. Siemens empfiehlt ausdrücklich, Aktualisierungen durchzuführen, sobald die entsprechenden Updates zur Verfügung stehen und immer nur die aktuellen Produktversionen zu verwenden. Die Verwendung veralteter oder nicht mehr unterstützter Versionen kann das Risiko von Cyber-Bedrohungen erhöhen. Um stets über Produkt-Updates informiert zu sein, abonnieren Sie den Siemens Industrial Security RSS Feed unter: Technical Support ( A5E AA, 08/2016 1

2 Übersicht Projektierungsübersicht Schema Die folgende Abbildung zeigt schematisch die wichtigsten Komponenten der Lösung: Aufbau In diesem Beispiel sind exemplarisch die IPC477D und IPC647D eingesetzt. Beide IPCs sind über Ethernet miteinander verbunden. Auf dem IPC477D ist DiagMonitor und WinCC Runtime installiert. Auf dem IPC647D ist DiagMonitor installiert. Funktion Auf dem IPC477D laufen DiagMonitor mit aktiviertem OPC UA Server und WinCC Runtime. Auf dem IPC647D läuft ebenfalls DiagMonitor mit aktiviertem OPC UA Server. WinCC Runtime kommuniziert mit den OPC UA Servern auf beiden IPCs. 2 A5E AA, 08/2016

3 Verwendete Hard- und Software-Komponenten Hardware-Komponenten Komponente Anzahl Bestellnummer (MLFB) Hinweis SIMATIC IPC647D 1 6AG Microsoft Windows 7 Ultimate (64 Bit) SIMATIC IPC477D 1 6AV Microsoft Windows 7 Ultimate (32 Bit) Software-Komponenten Komponente Anzahl Bestellnummer (MLFB) Hinweis SIMATIC IPC DiagMonitor V ES7648-6CA05-0YX0 WinCC RT Advanced V13 SP1 1 6AV STEP 7 Professional V13 SP1 1 6ES Disclaimer für Fremdsoftware-Updates Dieses Produkt beinhaltet Fremdsoftware. Für Updates/Patches an der Fremdsoftware übernimmt die Siemens AG die Gewährleistung nur, soweit diese im Rahmen eines Siemens Software Update Servicevertrags verteilt oder von der Siemens AG offiziell freigegeben wurden. Andernfalls erfolgen Updates/Patches auf eigene Verantwortung. Mehr Informationen rund um unser Software Update Service Angebot erhalten Sie im Internet unter: Software Update Service ( Hinweise zur Absicherung von Administrator-Accounts Einem Benutzer mit Administratorrechten stehen an dem System weitreichende Zugriffs- und Manipulationsmöglichkeiten zur Verfügung. Achten Sie daher auf eine angemessene Absicherung der Administrator-Accounts, um unberechtigte Veränderungen zu verhindern. Verwenden Sie dazu sichere Passwörter und nutzen einen Standard-Benutzer-Account für den regulären Betrieb. Weitere Maßnahmen wie beispielsweise der Einsatz von Security-Richtlinien sind nach Bedarf anzuwenden. Einleitung Einführung/Einleitung Ziel dieses Dokumentes ist darzustellen, wie mehrere SIMATIC IPCs gleichzeitig in WinCC über OPC UA überwacht werden können. Hierzu wurde ein Beispielprojekt erstellt, auf das sich das weitere Dokument bezieht. Überblick Das WinCC Beispielprojekt berücksichtigt folgende Stationen. A5E AA, 08/2016 3

4 Inbetriebnahme SIMATIC DiagMonitor 1. Installieren Sie die DiagMonitor Software auf allen IPCs (hier im Beispiel: IPC477D und IPC647D). 2. Verbinden Sie alle IPCs mit dem Ethernet-Netzwerk. 3. Vergeben Sie für alle IPCs die gleiche Arbeitsgruppe und einen eindeutigen Rechnernamen. Hinweis Die Rechnernamen sollten eine sinnvolle systematische Benennung haben, da diese später verwendet werden, aber in der Applikation nicht verändert werden können. Für das Beispiel wurden folgende Rechnernamen verwendet: IPC477D IPC647D 4. Vergeben Sie für alle IPCs feste IP-Adressen im gleichen Sub-Netz. 5. Konfigurieren und starten Sie den OPC UA Server des DiagMonitor auf allen IPCs. 4 A5E AA, 08/2016

5 Inbetriebnahme WinCC Voraussetzung STEP 7 Professional und WinCC RT Advanced sind auf dem IPC477D installiert. Vorgehensweise STEP 7 Projekt erstellen 1. Starten Sie STEP 7 Professional (TIA Portal) und erstellen Sie ein neues Projekt. 2. Wechseln Sie zur Projektansicht und öffnen Sie "Geräte & Netze. SIMATIC IPC hinzufügen 1. Fügen Sie aus dem Hardwarekatalog den IPC477D hinzu. A5E AA, 08/2016 5

6 2. Fügen Sie WinCC zum IPC477D mit einem Doppelklick auf "PC-Systeme > SIMATIC HMI Application > WinCC RT Advanced hinzu. 6 A5E AA, 08/2016

7 OPC UA Verbindung einrichten 1. Wählen Sie in der Portalansicht "Visualisierung bzw. ein "HMI-Bild projektieren. 2. Um Überwachungsdaten der IPCs über OPC UA in WinCC anzeigen zu können, müssen zuerst Verbindungen zu den OPC UA Servern erstellt werden. Doppelklicken Sie auf "Verbindungen. A5E AA, 08/2016 7

8 3. Doppelklicken Sie unter Verbindungen auf "<Hinzufügen>. Es wird eine neue Verbindung angelegt. Geben Sie einen Namen für die Verbindung an, z. B. "IPC477D. Wählen Sie als Kommunikationstreiber den Eintrag "OPC UA. 8 A5E AA, 08/2016

9 4. Geben Sie nun unter "URL UA-Serversuchdienst die Adresse des lokalen OPC UA Servers an. In diesem Beispiel lautet die Adresse "opc.tcp://ipc477d: Ändern Sie ggf. die "Security Policy der OPC UA Verbindung. A5E AA, 08/2016 9

10 5. Legen Sie anschließend eine weitere Verbindung für den IPC647D an. In diesem Beispiel lautet die Server Adresse "opc.tcp://ipc647d: A5E AA, 08/2016

11 HMI Variablen anlegen 1. Da nun die Verbindungen zu den OPC UA Servern projektiert sind, können Variablen zur Verwendung in HMI Bildern hinzugefügt werden. Wechseln Sie zur Portalansicht und doppelklicken Sie unter "Visualisierung auf "Default tag table. 2. Fügen mit einem Doppelklick auf "<Hinzufügen> eine neue Variable hinzu. Geben Sie einen eindeutigen Namen ein, z. B. "PC1_Name. 3. Die Variable "PC1_Name soll in diesem Beispiel den Stationsnamen des IPC477D beinhalten. Wählen Sie unter "Verbindung" die eben erstellte Verbindung "IPC477D aus. 4. Stellen Sie sicher, dass Ihre Firewall richtig konfiguriert ist. A5E AA, 08/

12 5. Wählen Sie die Variable des OPC UA Servers, die mit "PC1_Name verknüpft werden soll. Klappen Sie das rot markierte Feld "Adresse aus. Es wird der OPC UA Server des IPC477D angezeigt. Wählen Sie unter "Root > Objects >Station die Variable "Name aus und klicken Sie auf den grünen Haken. Hinweis Abhängig von der Konfiguration des OPC UA Servers kann es sein, dass Sie zuerst das Zertifikat des WinCC OPC UA Clients in die Vertrauensliste des DiagMonitor OPC UA Server aufnehmen müssen, siehe dazu nachfolgenden Schritt. Die WinCC Variable "PC1_Name ist nun mit der OPC UA Variable verknüpft. 12 A5E AA, 08/2016

13 6. Kann keine Verbindung zum OPC UA Server des IPC aufgebaut werden, wurde wahrscheinlich das Zertifikat des WinCC OPC UA Client nicht akzeptiert. Öffnen Sie im Installationsverzeichnis des DiagMonitor den Ordner "OpcUaCertStore\rejected. Hier ist das Zertifikat (*.der) des WinCC Client abgelegt. Kopieren Sie die Zertifikatsdatei nach "OpcUaCertStore\trusted\certs. Das Zertifikat von WinCC ist nun in der Zertifikatsvertrauensliste eingetragen. Wiederholen Sie anschließend den vorhergehenden Schritt. Hinweis Wenn Sie die Ablagepfade der Zertifikate in der Konfigurationsdatei des DiagMonitor OPC UA Servers angepasst haben, kopieren Sie das Zertifikat in den von Ihnen konfigurierten Ordner. 7. Fügen Sie auf gleiche Weise weitere Variablen hinzu. A5E AA, 08/

14 HMI Bild anlegen 1. Da jetzt alle benötigten Variablen erstellt sind, können Sie nun ein Bild anlegen. Doppelklicken Sie im Projektbaum unter "IPC477D > WinCC > Bilder auf den Punkt "Neues Bild hinzufügen. Es wird ein neues Bild erstellt. 14 A5E AA, 08/2016

15 2. Fügen Sie nun ein E/A-Feld zu Ihrem Bild hinzu. A5E AA, 08/

16 3. Das E/A-Feld soll den Stationsnamen der Variable "PC1_Name anzeigen. Wählen Sie in den Eigenschaften als Anzeigeformat den Wert "Zeichenkette und als Modus den Wert "Ausgabe. Anschließend wählen Sie unter "Prozess> Variable: die Variable "PC1_Name aus. Die Variable ist nun mit dem E/A-Feld verknüpft. 4. Fügen Sie auf gleiche Weise weitere Elemente ein. 5. Speichern und übersetzen Sie das Projekt. 16 A5E AA, 08/2016

17 WinCC Runtime starten 1. Starten Sie die WinCC Runtime. Es wird das erstellte Bild angezeigt. 2. Wenn keine Werte angezeigt werden, nehmen Sie die Zertifikate der DiagMonitor OPC UA Server in die Zertifikatsvertrauensliste von WinCC auf. Öffnen Sie dazu den Ordner "C:\ProgramData\Siemens\CoRtHmiRTm\OPC\PKI\CA\default\rejected und kopieren Sie die Sicherheitszertifikate in den Ordner "C:\ProgramData\Siemens\CoRtHmiRTm\OPC\PKI\CA\default\certs. Siemens AG Division Digital Factory Postfach NÜRNBERG DEUTSCHLAND A5E AA, 08/

18 SIMATIC Industrial PC Product Information Table of contents Security information Overview Configuration overview Hardware and software components used Introduction Commissioning SIMATIC DiagMonitor Initial startup of WinCC Security information Siemens provides products and solutions with industrial security functions that support the secure operation of plants, systems, machines and networks. In order to protect plants, systems, machines and networks against cyber threats, it is necessary to implement and continuously maintain a holistic, state-of-the-art industrial security concept. Siemens products and solutions only form one element of such a concept. Customer is responsible to prevent unauthorized access to its plants, systems, machines and networks. Systems, machines and components should only be connected to the enterprise network or the Internet if and to the extent necessary and with appropriate security measures (e.g. use of firewalls and network segmentation) in place. Additionally, Siemens guidance on appropriate security measures should be taken into account. For more information about industrial security, please visit: Industrial Security ( Siemens products and solutions undergo continuous development to make them more secure. Siemens strongly recommends to apply product updates as soon as available and to always use the latest product versions. Use of product versions that are no longer supported, and failure to apply latest updates may increase customer s exposure to cyber threats. To stay informed about product updates, subscribe to the Siemens Industrial Security RSS Feed under: Technical Support ( Siemens AG All rights reserved 18 A5E AA, 08/2016

19 Overview Configuration overview Schematic The figure below is a schematic diagram of the key components of the solution: Design IPC477D and IPC647D are used in this example. Both IPCs are interconnected via Ethernet. DiagMonitor and WinCC Runtime are installed on the IPC477D. DiagMonitor is installed on the IPC647D. Function DiagMonitor with activated OPC UA server and WinCC Runtime run on the IPC477D. DiagMonitor with activated OPC UA server and also runs on the IPC647D. WinCC Runtime communicates with the OPC UA server on both IPCs. A5E AA, 08/

20 Hardware and software components used Hardware components Component Numb er Order No. (MLFB) SIMATIC IPC647D 1 6AG Microsoft Windows 7 Ultimate (64- bit) SIMATIC IPC477D 1 6AV Microsoft Windows 7 Ultimate (32- bit) Software components Note Component Numb er Order No. (MLFB) SIMATIC IPC DiagMonitor V ES7648-6CA05-0YX0 WinCC RT Advanced V13 SP1 1 6AV STEP 7 Professional V13 SP1 1 6ES Note Disclaimer for third-party software updates This product includes third-party software. Siemens AG only provides a warranty for updates/patches of the third-party software, if these have been distributed as part of a Siemens software update service contract or officially released by Siemens AG. Otherwise, updates/patches are undertaken at your own risk. You can find more information about our Software Update Service offer on the Internet at Software Update Service ( Notes on protecting administrator accounts A user with administrator privileges has extensive access and manipulation options in the system. Therefore, ensure there are adequate safeguards for protecting the administrator accounts to prevent unauthorized changes. To do this, use secure passwords and a standard user account for normal operation. Other measures, such as the use of security policies, should be applied as needed. Introduction Introduction The aim of this document is to show how several SIMATIC IPCs can be monitored simultaneously in WIN CC via OPC UA. To this end, a sample project was created, which is referred to in the rest of the document. Overview The WinCC example project takes the following stations into consideration. 20 A5E AA, 08/2016

21 Commissioning SIMATIC DiagMonitor 1. Install the DiagMonitor software on all IPCs (in this example: IPC477D and IPC647D). 2. Connect all IPCs to the Ethernet network. 3. Assign the same workgroup and a unique computer name for all IPCs. Note The computer name should be systematic and meaningful as it will be used later but will not be able to be changed in the application. The following computer names have been used for the example: IPC477D IPC647D 4. Assign fixed IP addresses in the same subnet for all IPCs. 5. Configure and start the OPC UA server of the DiagMonitor on all IPCs. A5E AA, 08/

22 Initial startup of WinCC Requirement STEP 7 Professional and WinCC RT Advanced are installed on the IPC477D. Procedure Creating a STEP 7 project 1. Start STEP 7 Professional (TIA Portal) and create a new project. 2. Switch to the project view and open "Devices & Networks". Add SIMATIC IPC 1. Add the IPC477D from the hardware catalog. 22 A5E AA, 08/2016

23 2. Add WinCC to the PC477D by double-clicking on "PC systems > SIMATIC HMI Application > WinCC RT Advanced". A5E AA, 08/

24 Setting up an OPC UA connection 1. In the Portal view, select "Visualization" or "Configure an HMI screen". 2. To be able to show monitoring data of the IPCs in WinCC via OPC UA, connections to the OPC UA servers must be first be created. Double-click on "Connections". 24 A5E AA, 08/2016

25 3. Double-click on "<Add>" under Connections. A new connection is created. Enter a name for the connection, e.g. "IPC477D". Select the entry "OPC UA" as the communications driver. A5E AA, 08/

26 4. Now, enter the address of the local OPC UA server under "UA server discovery URL". In this example, the address is "opc.tcp://ipc477d:48010". If necessary, change the "Security Policy" of the OPC UA connection. 26 A5E AA, 08/2016

27 5. Then create another connection for the IPC647D. In this example, the server address is "opc.tcp://ipc647d:48010". A5E AA, 08/

28 Creating HMI tags 1. As the connections to the OPC UA servers are now configured, tags can be added for use in HMI screens. Switch to the Portal view and double-click on "Default tag table" under "Visualization". 2. Add a new tag by double-clicking on "<Add>" Enter a unique name, e.g."pc1_name". 3. In this example, the tag "PC1_Name" is to include the station name of the IPC477D. Select the connection you just created "IPC477D" under "Connection". 4. Ensure that your firewall is correctly configured. 28 A5E AA, 08/2016

29 5. Select the tag of the OPC UA server to be linked to "PC1_Name". Open the field marked red "Address". The OPC UA server of the IPC477D is displayed. Select the "Name" tag under "Root > Objects > Station" and click on the green check mark. Note Depending on the configuration of the OPC UA server, you may have to first add the certificate of the WinCC OPC UA client to the trust list of the DiagMonitor OPC UA server, see the following step for this. The WinCC tag ""PC1_Name" is now linked to the OPC UA tag. A5E AA, 08/

30 6. If it is not possible to establish a connection to the OPC UA server of the IPC, it may be that the certificate of the WinCC OPC UA client was not accepted. In the installation directory of the DiagMonitor, open the folder "OpcUaCertStore\rejected". The certificate (*.der) of the WinCC client is stored here. Copy the certificate file to "OpcUaCertStore\trusted\certs". The certificate of WinCC has now been entered in the certificate trust list. Then repeat the previous step. Note If you have changed the storage paths of the certificates in the configuration file of the DiagMonitor OPC UA server, copy the certificate to the folder you configured. 7. Add additional tags in the same way. 30 A5E AA, 08/2016

31 Creating an HMI screen 1. As all required tags have now been created, you can now create a screen. Double-click "Add new screen" in the project tree under "IPC477D > WinCC > Screens". A new screen is created. A5E AA, 08/

32 2. Now add an I/O field to your screen. 32 A5E AA, 08/2016

33 3. The I/O field is to display the station name of the tag "PC1_Name". In the properties, select the value "String" as the display format and the value "Output" as the mode. Then select the "PC1_Name" tag under "Process > Tag:" The tag is now linked to the I/O field. 4. Add additional elements in the same way. 5. Save and compile the project. A5E AA, 08/

34 Starting WinCC Runtime 1. Start WinCC Runtime. The created screen is displayed. 2. If no values are displayed, add the certificates of the DiagMonitor OPC UA server to the certificate trust list of WinCC. To do this, open the folder "C:\ProgramData\Siemens\CoRtHmiRTm\OPC\PKI\CA\default\rejected" and copy the security certificates to the folder "C:\ProgramData\Siemens\CoRtHmiRTm\OPC\PKI\CA\default\certs". Siemens AG Division Digital Factory Postfach NÜRNBERG GERMANY 34 A5E AA, 08/2016 A5E AA, 08/2016