Die Edge-Box für die Zustandsüberwachung: Aufbau, Aufgaben und Verhalten bei Netzausfall

Jede Zustandsüberwachung braucht einen Rechner in der Nähe der Maschine. Bei uns ist das die Edge-Box. Sie ist das einzige Teil unseres Systems, das im Netz Ihrer Werkhalle steht. Deshalb haben wir bei ihr besonders genau festgelegt, was sie tut, wie sie sich bei Störungen verhält und was sie niemals tut. Dieser Artikel beschreibt den Aufbau der Edge-Box für die Zustandsüberwachung so, wie er in unserer Software umgesetzt ist. Ein bestimmtes Hardware-Modell nennen wir bewusst nicht: Die Software ist festgelegt, die Auswahl der Hardware und der Messkarte ist noch offen.

Die sechs Aufgaben der Edge-Box

Die Software der Box läuft als ein Programm mit mehreren parallelen Abläufen. Jeder Ablauf hat eine Aufgabe, und ein Fehler in einem Ablauf bringt die anderen nicht zum Stillstand.

Dazu kommt ein siebter Ablauf, der den Zustand der Box selbst meldet. Dazu weiter unten mehr.

Die Steuerung: nur lesen, vierfach abgesichert

Die Box verbindet sich per OPC UA mit der Steuerung. Welche Signale sie liest, steht in ihrer Konfiguration, nicht im Programmcode. Die Pfade der Signale werden vor Ort mit einem Werkzeug ermittelt, das den Adressraum der Steuerung durchsucht und eine Tabelle aller Knoten erstellt. Auch dieses Werkzeug liest nur.

Das Lesen ist in vier Ebenen abgesichert: Die Treiber-Schnittstelle enthält keine Schreibfunktionen. Jede OPC-UA-Anfrage läuft durch eine einzige Stelle mit einer Positivliste, die nur Lesen, Durchsuchen, Abonnieren und Sitzungsverwaltung durchlässt. Schreiben, Methodenaufrufe, Anlegen und Löschen werden blockiert, bevor etwas gesendet wird. Automatische Tests beweisen das. Und an der Steuerung wird ein eigener Benutzer nur mit Leserechten eingerichtet. Die Abfrage läuft in der Grundeinstellung einmal pro Sekunde, nie öfter als alle 0,1 Sekunden.

Bei verschlüsselter Verbindung verlangt die Box das Zertifikat der Steuerung. Ohne dieses Zertifikat würde sie jeder Gegenstelle vertrauen, die sich als Steuerung ausgibt. Details stehen in den Artikeln Nur lesen: Schreibschutz an der CNC-Steuerung und SINUMERIK und HEIDENHAIN per OPC UA anbinden.

Warum die Rechnung vor Ort passiert

Lagerdiagnose braucht Schwingungssignale im Kilohertz-Bereich. Ein solches Rohsignal ist umfangreich, und es fällt ununterbrochen an. Würde man es in die Cloud schicken, bräuchte jede Maschine eine dauerhaft breite Leitung, und ein Netzausfall würde große Datenmengen aufstauen. Die Box rechnet deshalb die rechenintensiven Schritte selbst: Spektrum, Hüllkurve, Ordnungsanalyse, Suche der Lagerfrequenzen. Übertragen werden nur die Kennwerte und, wenn vorhanden, der Lagerbefund mit seinem Abstand zum Rauschen.

Das hat drei Folgen. Erstens bleibt die Datenmenge klein und planbar. Zweitens verlassen weniger Daten Ihr Netz, was die Prüfung durch Ihre IT vereinfacht. Drittens kann die Box auch bei längerer Netzstörung weiter messen, weil sie nur Kennwerte speichern muss.

Ein Messfenster wird nur ausgewertet, wenn die Drehzahl laut Steuerung vor und nach dem Fenster um höchstens 2 % abweicht und über 300 min⁻¹ liegt. Die Analyse läuft in einem eigenen Rechenstrang, damit die Box während der Rechnung weiter auf die Steuerung und das Netz reagiert. Was mit den Kennwerten auf der Plattform passiert, erklärt der Artikel Von der Schwingung zur Meldung.

Verhalten bei Netzausfall: Puffer ohne Lücken und ohne Duplikate

Netzstörungen kommen in jeder Werkhalle vor. Die Box ist so gebaut, dass dabei weder Daten verloren gehen noch doppelt ankommen. Der Mechanismus hat vier Teile:

1. Fortlaufende Nummern: Jeder Datensatz bekommt beim Speichern eine aufsteigende Nummer, die nie wiederverwendet wird.
2. Sicheres Speichern: Der Puffer ist eine SQLite-Datenbank, die jeden Schreibvorgang vollständig auf den Datenträger bringt. Ein Stromausfall verliert keine bereits gespeicherten Datensätze.
3. Löschen erst nach Bestätigung: Die Box sendet ein Paket, wartet auf die Bestätigung der Plattform und löscht erst dann die bestätigten Datensätze. Kommt keine Bestätigung, sendet sie dasselbe Paket erneut.
4. Duplikate erkennen: Die Plattform merkt sich zu jeder Box, welche Nummern sie schon gespeichert hat. Ein erneut gesendeter Datensatz wird erkannt und nicht ein zweites Mal gespeichert.

Aus diesen Regeln folgt: Nach einer Störung sendet die Box alles in der ursprünglichen Reihenfolge nach. Kommt eine Bestätigung verloren, entsteht schlimmstenfalls ein Doppel, das die Plattform verwirft. Eine Lücke entsteht nicht.

Auch die Verbindungen selbst sind auf Ausfälle ausgelegt. Bricht die Verbindung zur Steuerung oder zur Plattform ab, versucht die Box es erneut, mit wachsenden Pausen bis zu einer Obergrenze. Die Box stürzt dabei nicht ab und braucht keinen Neustart von Hand.

Konfiguration, Identität und Übertragung

Eine Datei, keine Geheimnisse

Alles, was die Box über ihre Maschine wissen muss, steht in einer einzigen Konfigurationsdatei: Geräte- und Maschinenkennung, Adresse der Steuerung, die gelesenen Signale, Messstelle, Messfenster und Messabstand, Frequenzband der Hüllkurve, die Lagergeometrie aus dem Datenblatt, Pufferzeit und Verbindung zur Plattform. Die Datei wird beim Start vollständig geprüft. Unbekannte Einträge, fehlende Pflichtangaben oder widersprüchliche Einstellungen führen zu einer klaren Fehlermeldung statt zu einem stillen Fehlbetrieb.

Einige Regeln sind in der Prüfung fest verankert:

• Passwörter stehen nie in der Datei. Sie kommen aus Umgebungsvariablen. Zertifikate und Schlüssel werden nur über ihren Dateipfad angegeben.
• Unverschlüsselte Übertragung zur Plattform ist nur zum eigenen Rechner erlaubt, also für Tests. Für jede echte Adresse ist TLS Pflicht.
• Verschlüsselte OPC-UA-Verbindungen brauchen Zertifikat und Schlüssel der Box und das Zertifikat der Steuerung.
• Die Lagergeometrie wird aus dem Datenblatt übernommen, nie geschätzt.
• Updates werden nur über https abgeholt.

Eigene Identität, nur ausgehend

Jede Box hat eine eigene Identität. Ihr privater Schlüssel wird auf der Box selbst erzeugt und verlässt sie nie. Nach außen gibt sie nur eine Zertifikatsanfrage mit ihrer Gerätekennung. Aus dieser Anfrage stellen wir das Gerätezertifikat aus. Ein vorhandener Schlüssel wird nie überschrieben.

Die Übertragung läuft per MQTT über TLS ab Version 1.2, ausgehend auf Port 8883, bei gesperrtem Port über Port 443. Die Box öffnet keinen Port für eingehende Verbindungen. Der Broker erlaubt jeder Box nur Nachrichten unter ihrer eigenen Kennung. Welche Box zu welchem Kunden gehört, entscheidet allein die Plattform anhand ihres Geräteverzeichnisses. Zusätzlich prüft die Plattform, ob die Maschinenkennung in den Daten zur registrierten Maschine der Box passt, und verwirft abweichende Datensätze. Mehr dazu auf der Seite Datensicherheit und im Artikel Gerätezertifikate und signierte Updates.

Updates und Gesundheitsmeldungen

Die Box fragt in der Grundeinstellung alle sechs Stunden nach einem Update. Ein Update wird nur akzeptiert, wenn seine Beschreibung mit einem unserer hinterlegten Schlüssel signiert ist, sie noch gültig ist und die Version neuer ist als die höchste je akzeptierte. Ein Zurückstufen auf eine ältere Version ist damit ausgeschlossen, auch nach einem Neustart. Die heruntergeladene Datei muss Größe und Prüfsumme aus der signierten Beschreibung exakt treffen. Ist das alles erfüllt, legt die Box das Update bereit. Installiert wird es von einem getrennten Dienst, der vor der Installation noch einmal alles prüft. Ein abgelehntes Update meldet die Box mit Begründung.

Damit Sie und wir sehen, ob die Box selbst gesund ist, sendet sie in der Grundeinstellung jede Minute eine Gesundheitsmeldung. Sie enthält:

• die installierte Softwareversion,
• ob die Verbindung zur Steuerung steht,
• wie viele Datensätze im Puffer auf Versand warten und wie alt der älteste ist,
• wie viele Tage das Gerätezertifikat noch gültig ist.

Läuft das Zertifikat in weniger als 30 Tagen ab, meldet die Box das zusätzlich als Ereignis. Verbindungsabbrüche zur Steuerung, verworfene Pufferdaten und Updates erscheinen ebenfalls als Ereignisse. Ein wachsender Puffer bei bestehender Steuerungsverbindung zeigt zum Beispiel sofort, dass die Netzverbindung nach außen gestört ist.

Was die Box nie tut

Für die Freigabe durch Ihre IT ist oft wichtiger, was ein Gerät nicht tut. Für unsere Box gilt:

• Sie schreibt nie in die Steuerung, startet keine Programme, ruft keine Methoden auf und ändert keine Parameter.
• Sie nimmt keine eingehenden Verbindungen an.
• Sie überträgt kein Rohsignal der Schwingung, nur Kennwerte.
• Sie installiert keine unsignierten oder älteren Softwarestände.
• Sie gibt ihren privaten Schlüssel nicht heraus.
• Sie bewertet nicht selbst, ob eine Maschine auffällig ist. Diese Entscheidung trifft die Plattform mit der gelernten Normallage.

Wie die Box bei Ihnen eingerichtet wird, beschreibt die Seite Ablauf. Ob Ihre Steuerung anbindbar ist, klären wir in einem Erstgespräch.

Häufige Fragen