SINUMERIK und HEIDENHAIN per OPC UA lesen: Voraussetzungen, Optionen, Sicherheit

Wer Daten aus einer CNC-Steuerung lesen will, landet heute fast immer bei OPC UA. Siemens bietet für die SINUMERIK einen OPC-UA-Server als Option an, HEIDENHAIN den OPC UA NC Server. Beide sind ausgereift, beide verlangen aber Vorbereitung: eine Lizenz, einen passenden Benutzer, einen Zertifikatsaustausch und eine Abfragerate, die die Steuerung nicht belastet. Dieser Artikel zeigt, wie Sie SINUMERIK und HEIDENHAIN per OPC UA lesen, welche Optionen nötig sind, wie die Verbindung abgesichert wird und wo die Grenzen der Schnittstelle liegen. Die Angaben stammen aus den Projektierungshandbüchern und Produktseiten der Hersteller. Was eine konkrete Maschine liefert, hängt vom Softwarestand und von der Arbeit des Maschinenherstellers ab und lässt sich nur an der Maschine selbst klären.

Welche Steuerungen welche Option brauchen

OPC UA ist bei keiner der gängigen Steuerungen einfach eingeschaltet. Es ist eine lizenzierte Software-Option, die bestellt und freigeschaltet sein muss.

Bei HEIDENHAIN lohnt ein genauer Blick auf die Zahl der Optionen. Jede Anwendung, die sich mit dem OPC UA NC Server verbindet, belegt eine Option. Nutzt Ihr Betrieb schon StateMonitor, ein MES oder die Fernwartung des Maschinenherstellers über OPC UA, kann für ein weiteres System eine zusätzliche Option nötig sein. Auch ein Laptop, der bei der Inbetriebnahme den Adressraum ausliest, belegt für die Dauer der Verbindung eine.

HEIDENHAIN hat zudem angekündigt, TNC 640 und TNC 620 nicht weiterzuentwickeln. Neue Funktionen des OPC UA NC Servers erscheinen nur noch für die TNC7. Listenpreise für die Optionen beider Hersteller sind nicht öffentlich. Fragen Sie Ihren Maschinenhersteller oder Händler.

Der schnellste Weg zur Klarheit: ein Foto des Versions- und des Optionsbildschirms. Bei SINUMERIK finden Sie beides unter Diagnose, bei HEIDENHAIN im Optionen- bzw. SIK-Menü. Daran sehen wir vor dem Termin, ob die Option vorhanden ist und der Softwarestand passt. Den gesamten Ablauf beschreibt die Seite Ablauf und Voraussetzungen.

Der Lese-Benutzer: nur SinuReadAll und AlarmRead

OPC-UA-Server von Steuerungen können mehr als lesen. Bei der SINUMERIK gibt es Methoden zur Programmanwahl, zur Dateiübertragung und zur Werkzeugverwaltung. Der HEIDENHAIN OPC UA NC Server bietet unter anderem eine beschreibbare Betriebsart, Methoden zur Programmanwahl und zum Löschen von Fehlermeldungen. Für die Zustandsüberwachung braucht man nichts davon. Deshalb gehört zu jeder Anbindung ein eigener Benutzer mit reinen Leserechten.

Die SINUMERIK vergibt Rechte in Bereichen. Laut Handbuch gibt es reine Lesebereiche wie StateRead, ToolRead, DriveRead, PlcRead, AlarmRead und SinuReadAll. Unsere Empfehlung für einen Lese-Benutzer, etwa mit dem Namen forbach_ro:

• Erteilen: SinuReadAll und AlarmRead.
• Nicht erteilen: alle Bereiche mit „Write“ im Namen und ApWrite, das die Programmanwahl erlaubt.
• Anonymen Zugang nicht nutzen: Siemens empfiehlt ihn nur für die Inbetriebnahme.

Bei HEIDENHAIN legt man in der Benutzerverwaltung der Steuerung eine Rolle mit reinen Leserechten an. Die genaue Bezeichnung und die Bedienschritte hängen vom Softwarestand ab. Wir klären sie am Termin gemeinsam mit Ihrem Bediener.

Der Lese-Benutzer ist bei uns die letzte von vier Sperren. Die Software enthält keinen Code, der in eine Steuerung schreibt. Eine vorgelagerte Schutzschicht lässt nur Dienste passieren, die nichts verändern können: Lesen, Browsen, Abonnieren. Schreiben, Methodenaufrufe und jeder unbekannte Dienst werden blockiert, bevor ein Byte die Steuerung erreicht. Automatische Tests prüfen bei jeder Änderung, dass kein Schreibpfad entstanden ist. Selbst wenn alle drei Schichten versagen würden, hätte der Benutzer an der Steuerung keine Rechte zum Schreiben. Mehr dazu auf der Seite Datensicherheit und IT-Integration.

Basic256Sha256, Zertifikate und Port 4840

OPC UA bringt eigene Sicherheitsmechanismen mit. Die SINUMERIK bietet laut Handbuch die Sicherheitsrichtlinie Basic256Sha256 in den Modi „Sign“ und „SignAndEncrypt“. Wir verbinden uns standardmäßig mit Basic256Sha256 und SignAndEncrypt: Jede Nachricht ist signiert und verschlüsselt.

Grundlage ist ein gegenseitiger Zertifikatsaustausch. Beide Seiten müssen sich ausdrücklich vertrauen:

1. Server-Zertifikat der Steuerung: Die SINUMERIK erzeugt es beim ersten Start selbst. Es wird über den Zertifikatsdialog exportiert und in der Konfiguration unserer Box hinterlegt. Ohne dieses Zertifikat lehnt die Box eine verschlüsselte Verbindung ab. So kann sich kein anderes Gerät als Steuerung ausgeben.
2. Client-Zertifikat der Box: Wir erzeugen es vor dem Termin. An der Steuerung wird es manuell als vertrauenswürdig markiert, nicht über ein automatisches Vertrauen für alle Clients. Den Fingerabdruck vergleichen wir dabei mit einem Ausdruck.
3. Uhrzeit: Bei der SINUMERIK muss die Uhr der Bedienoberfläche stimmen, sonst scheitert die Prüfung der Zertifikate.

HEIDENHAIN arbeitet standardmäßig ebenfalls mit X.509-Zertifikaten und bietet einen Assistenten in der Steuerung, der den Austausch führt.

Netzwerkseitig ist die Anbindung schlicht. Der OPC-UA-Server lauscht standardmäßig auf TCP-Port 4840, der Port kann je Maschine abweichen. Die Box baut die Verbindung zur Steuerung auf, die Steuerung muss sich nie zur Box verbinden. Das Passwort des Lese-Benutzers liegt auf der Box nur als Umgebungsvariable, nie in einer Konfigurationsdatei. Auch Richtung Plattform gibt es nur ausgehende Verbindungen per MQTT über TLS, die Box nimmt keine eingehenden Verbindungen an. Den Vergleich der beiden Protokolle beschreibt der Artikel OPC UA oder MQTT.

Abfragerate: einmal pro Sekunde, nie öfter als alle 0,1 Sekunden

Ein OPC-UA-Server läuft auf derselben Hardware wie die Bedienoberfläche. Jede Abfrage kostet Rechenzeit. Die Handbücher von Siemens nennen klare Grenzen:

Siemens weist zudem darauf hin, dass die erreichbare Leistung von der Auslastung der Steuerung abhängt. Für HEIDENHAIN ist kein fester Mindestwert veröffentlicht. Er muss an der Steuerung ermittelt werden.

Unsere Box liest die Steuerung deshalb in der Grundeinstellung einmal pro Sekunde. Die Software lässt technisch kein kürzeres Intervall als 0,1 Sekunden zu. Für Drehzahl, Last, Temperaturen und Alarme reicht das völlig, denn die schnellen Signale für die Lagerdiagnose kommen ohnehin vom Schwingungssensor. Am Termin bitten wir den Bediener, die Reaktion der Bedienoberfläche mit und ohne Box zu vergleichen. Wird sie spürbar langsamer, verlängern wir das Intervall. Laufen auf der Maschine bereits andere OPC-UA-Clients wie ein MES, teilen sich alle das Budget der Steuerung.

umati, OPC 40501 und Browse-Pfade statt fester NodeIds

umati ist das Informationsmodell des VDW für Werkzeugmaschinen, als Companion Specification OPC 40501 bei der OPC Foundation veröffentlicht. Es verspricht eine einheitliche Sicht auf Maschinen verschiedener Hersteller. Für die Zustandsüberwachung muss man wissen, was es enthält und was nicht.

• Enthalten: Betriebsart, Kanal- und Spindelstatus wie „dreht“ oder „Programm aktiv“, Overrides, Programmname, Werkzeugdaten, Zähler und Meldungen. Das ist wertvoller Kontext, etwa um nur Messungen im Automatikbetrieb zu bewerten.
• Nicht enthalten: Spindeldrehzahl, Spindellast, Drehmoment oder Antriebstemperaturen. Diese Werte kommen aus den herstellereigenen Bereichen des Adressraums.
• SINUMERIK: umati wird nicht fertig mitgeliefert. Es existiert nur, wenn der Maschinenhersteller ein eigenes Modell mit dem Siemens-Werkzeug SiOME angelegt hat.
• HEIDENHAIN: Der OPC UA NC Server verwendet ein eigenes Informationsmodell. Ab Modellversion 1.07 für die TNC7 enthält es Achs- und Spindeldaten wie Drehzahl, Positionen und Motortemperatur, im Standard aber keine Last-, Strom- oder Momentwerte. Solche Werte gibt es nur, wenn der Maschinenhersteller sie ergänzt hat.

Daraus folgt eine wichtige Regel für jede Software, die Steuerungen liest: keine festen NodeIds. Der Namespace-Index, der in jeder NodeId steckt, kann von Server zu Server verschieden sein. Die Instanzen eines umati-Modells haben keine festgelegten NodeIds, man findet sie über Browse-Pfade. Unsere Box löst den Namespace-Index deshalb bei jeder Verbindung über die Namespace-URI auf.

Am Termin liest die Box den Adressraum der Steuerung mit derselben Lesesperre aus wie im Betrieb und schreibt ihn in eine Tabelle mit Pfad, Datentyp, aktuellem Wert und Zugriffsrecht. Die Tabelle zeigt auch, ob umati oder das CNC-Modell OPC 40502 vorhanden ist. Dann startet der Bediener ein normales Programm, und wir prüfen, welche Werte sich plausibel mit Drehzahl und Last ändern. Erst diese geprüften Signale kommen in die Konfiguration der Maschine. Steht in der Spalte für das Zugriffsrecht bei unserem Benutzer „schreiben“, ist er zu mächtig, und die Rechte werden reduziert.

Grenzen: Abtastrate, ältere Steuerungen, FANUC

Die wichtigste Grenze ist physikalisch. Über OPC UA kommen bei der SINUMERIK höchstens zehn Werte pro Sekunde. Ein Lagerschaden erzeugt aber Stöße mit Frequenzen weit darüber. Eine eigene Beispielrechnung: Eine Spindel mit 12.000 min⁻¹ dreht mit 200 Hz. Bei einem Lager mit 15 Kugeln liegt die Überrollfrequenz des Außenrings dann grob bei 1.200 Hz. Ein Datenstrom mit 10 Hz kann nur Frequenzen bis 5 Hz abbilden.

Die Hintergründe zur Hüllkurvenanalyse stehen im Artikel Wälzlagerschaden früh erkennen.

iTNC 530 und TNC 320 haben keinen OPC UA NC Server. Diese Steuerungen sind in vielen Betrieben noch im Einsatz. Ein Zugang wäre über die HEIDENHAIN-DNC-Schnittstelle möglich, die einen Windows-Rechner als Brücke braucht. Das bieten wir heute nicht an. Die Schwingungsmessung selbst ist von der Steuerung unabhängig. Was das Fehlen der Steuerungsdaten für Ihre Maschine bedeutet, klären wir im Erstgespräch.

FANUC hat nach unserer Recherche keinen bestätigten OPC-UA-Server in der CNC. Der übliche Weg ist die FOCAS-Schnittstelle über Ethernet, die unter anderem die Spindellast liefert. Diese Anbindung ist bei uns für eine spätere Phase geplant.

Gewährleistung und Wartungsvertrag

Die Anbindung nutzt die OPC-UA-Schnittstelle, die Siemens und HEIDENHAIN selbst anbieten und lizenzieren. Es wird nichts umgebaut, keine Software in der Steuerung installiert und nichts in die Steuerung geschrieben. Trotzdem gehört eine Frage vor jeden Termin: Wer darf an Ihrer Steuerung Benutzer und Zertifikate anlegen?

• Manche Wartungsverträge behalten Eingriffe an der Steuerung dem Maschinenhersteller vor. Dann richtet dessen Service den Lese-Benutzer ein, und wir sagen, welche Rechte nötig sind.
• Bedienen darf die Steuerung nur Ihr Bediener oder der Service des Herstellers. Wir sehen zu, dokumentieren und fotografieren die Rechte des Benutzers.
• Maschinenparameter, NC-Programme, Werkzeug- und PLC-Daten bleiben unberührt, auch auf Wunsch nicht „nur kurz“.

Klären Sie diese Punkte am besten vorab mit Ihrem Maschinenhersteller. Wenn Sie möchten, nehmen wir an diesem Gespräch teil. Eine Anfrage können Sie über die Kontaktseite stellen.

Häufige Fragen