Ein cyber-physisches System sicher abgrenzen und ergänzen

Eine Kühlstation darf das Bauteil nicht zu früh freigeben

Die Nordwerk Fertigung GmbH kühlt frisch bearbeitete Metallbauteile in einer geschlossenen Station. Ein Temperaturfühler misst das Bauteil. Ein Näherungssensor erkennt, ob es korrekt im Halter liegt. Ein Lüfter führt Wärme ab. Erst wenn die gemessene Temperatur über mehrere Messungen im freigegebenen Bereich liegt, darf ein Verriegelungsantrieb die Schutztür freigeben.

Die Steuerung soll nun ein Netzwerk-Dashboard erhalten. Dort möchte die Schichtleitung Temperaturverlauf, Anlagenzustand und Störungen sehen. Ein erster Entwurf sendet alle Messwerte an einen Server. Der Server entscheidet, wann der Lüfter läuft und wann die Tür entriegelt wird.

Diese Erweiterung klingt zunächst bequem. Sie verlagert aber eine Entscheidung über den physischen Prozess in ein Netz, dessen Verzögerungen und Ausfälle nicht vollständig unter Kontrolle der Station liegen. Deine Aufgabe ist deshalb nicht nur, Sensoren zu benennen. Du grenzt das cyber-physische System (CPS) ab, modellierst seinen Regelkreis und entscheidest, welche Funktionen lokal bleiben.

Nach dieser Lektion kannst du:

• die Teile eines CPS anhand ihrer Aufgabe einordnen,
• Messung, digitale Verarbeitung und physische Wirkung als Rückkopplung darstellen,
• eine begründete Systemgrenze ziehen,
• Zeit-, Sicherheits- und Ausfallanforderungen formulieren,
• eine Erweiterung auf gefährliche Abhängigkeiten prüfen.

Du brauchst keine Vorkenntnisse in Regelungstechnik. Das Szenario und alle Anforderungen wurden für diese Lektion neu erstellt. Die genannten Grenzwerte sind Vorgaben des fiktiven Betriebs, keine allgemeingültigen Werte für reale Kühlanlagen.

Ein CPS verbindet Berechnung und physischen Prozess

Die Kühlstation ist nicht allein deshalb ein CPS, weil sie einen Sensor und eine Netzwerkverbindung besitzt. Entscheidend ist das Zusammenspiel: Die digitale Verarbeitung beobachtet einen physischen Prozess, trifft anhand eines hinterlegten Modells oder von Regeln eine Entscheidung und wirkt wieder auf den Prozess ein.

In der Station übernehmen die Teile verschiedene Aufgaben:

• Der physische Prozess ist das Abkühlen des Bauteils in der geschlossenen Station.
• Sensoren wandeln beobachtbare physische Größen oder Zustände in auswertbare Signale um. Hier liefern Temperaturfühler und Näherungssensor Messwerte.
• Die eingebettete Verarbeitung läuft auf einem Rechner innerhalb der Anlage. Sie prüft Messwerte, führt die Zustandslogik aus und erzeugt Stellbefehle.
• Aktoren setzen elektrische Stellbefehle in eine physische Wirkung um. Lüfter und Verriegelungsantrieb verändern den Prozess oder den Anlagenzustand.
• Die Kommunikation verbindet die lokale Steuerung mit dem Dashboard. Sie überträgt Zustände, Verläufe und freigegebene Bedienbefehle.
• Die digitale Repräsentation hält den für die Entscheidung nötigen Ausschnitt des realen Zustands fest. Dazu gehören beispielsweise bauteilErkannt, temperaturGueltig, kuehlungAktiv und tuerVerriegelt.

Die digitale Repräsentation ist kein perfektes Abbild der Wirklichkeit. Ein Messwert kann veraltet, gestört oder unplausibel sein. Deshalb muss die Steuerung neben dem Wert auch seine Qualität und seinen Zeitpunkt berücksichtigen.

Rückkopplung macht aus Messwerten einen Regelkreis

Ein offener Steuerungsablauf gibt einen Befehl aus, ohne die tatsächliche Wirkung erneut zu messen. Ein geschlossener Regelkreis führt die Wirkung als neue Messung zurück. Diese Rückkopplung erlaubt der Steuerung, auf Abweichungen zu reagieren.

Bei der Kühlstation beginnt ein Zyklus mit einer Messung. Die lokale Verarbeitung prüft zuerst, ob der Wert plausibel und frisch genug ist. Danach vergleicht sie den Zustand mit der Vorgabe. Ist das Bauteil noch zu warm, bleibt die Tür verriegelt und der Lüfter läuft. Die veränderte Temperatur wird erneut gemessen. Erst mehrere gültige Messungen innerhalb des Freigabebereichs erlauben den Zustandswechsel zur Freigabe.

Die Systemgrenze folgt der Verantwortung

Eine Systemgrenze legt fest, welche Teile du als zusammengehöriges System analysierst und wofür dieses System verantwortlich ist. Sie ist keine beliebige Linie um alle Geräte mit Netzwerkanschluss.

Für die Kühlstation umfasst die Grenze:

• beide Sensoren einschließlich ihrer Signalwege,
• den lokalen Anlagenrechner mit Zustandslogik,
• die Ausgänge zu Lüfter und Verriegelung,
• die lokalen Bedien- und Not-Halt-Funktionen,
• die Kommunikationsschnittstelle bis zum definierten Übergabepunkt.

Dashboard, zentrales Benutzerkonto und Langzeitspeicher liegen außerhalb. Sie tauschen Daten mit der Station aus, doch die Station darf ihre sichere Grundfunktion nicht verlieren, wenn diese Dienste ausfallen. Die Systemgrenze macht diese Verantwortung sichtbar: Die lokale Station entscheidet über Kühlung und Freigabe. Der Server visualisiert, speichert und übermittelt nur freigegebene Vorgaben.

Diese Grenze ist kein Naturgesetz. Ein anderer Auftrag kann eine andere Grenze brauchen. Entscheidend ist, dass du Abhängigkeiten, Verantwortlichkeiten und Schnittstellen ausdrücklich benennst. Wenn eine externe Komponente eine sicherheitsrelevante Entscheidung trifft, gehört ihre Verfügbarkeit zur Sicherheitsbetrachtung. Eine gezeichnete Linie entfernt diese Abhängigkeit nicht.

Abgrenzung zu IoT und reiner Sensorintegration

Das Internet der Dinge (Internet of Things, IoT) betont häufig die Vernetzung und den Datenaustausch von Geräten. Ein CPS betont die enge Kopplung von Berechnung und physischem Prozess. Die Begriffe können sich überschneiden. Sie sind aber nicht austauschbar.

Ein vernetzter Temperatursensor, der alle fünf Minuten einen Messwert an ein Dashboard sendet, ist zunächst eine Sensorintegration. Wenn die lokale Verarbeitung Messwerte bewertet, Aktoren steuert und die Wirkung erneut erfasst, liegt ein gekoppelter Steuerungs- oder Regelungsablauf vor. Ob das Gerät zusätzlich über das Internet erreichbar ist, entscheidet darüber nicht.

Zeit ist eine Anforderung, kein Werbewort

“In Echtzeit” ist keine ausreichende Anforderung. Du brauchst eine messbare Frist und eine beschriebene Folge, wenn sie überschritten wird. NIST SP 800-82 ordnet für Operational Technology ein, dass Zeitverhalten, Verfügbarkeit und Safety je nach Prozess eine andere Bedeutung als in typischen Bürosystemen haben können.

Für das fiktive Szenario legt der Betrieb fest:

• Die lokale Steuerung liest beide Sensoren mindestens alle 100 ms ein.
• Eine Statusanzeige im Dashboard darf bis zu 2 s verzögert sein.
• Eine Messung älter als 300 ms gilt für die Freigabeentscheidung als ungültig.
• Nach drei ungültigen Temperaturmessungen wechselt die Station in den Störungszustand. Die Tür bleibt verriegelt und der Lüfter läuft nach der betrieblich geprüften Rückfallregel weiter.
• Ein Bedienbefehl aus dem Dashboard darf niemals direkt einen Aktorausgang setzen. Er fordert nur einen Zustandswechsel an, den die lokale Logik gegen ihre Bedingungen prüft.

Diese Fristen widersprechen sich nicht. Der lokale Regelkreis braucht kurze und vorhersagbare Reaktionen. Die reine Visualisierung darf langsamer sein. Deshalb wäre es unnötig, das Dashboard mit derselben Frist wie den lokalen Sensorzugriff zu planen.

Safety und Security schützen unterschiedliche Wege

Safety betrachtet Schäden, die durch Fehlfunktionen oder gefährliche Anlagenzustände entstehen können. Security betrachtet unter anderem unbefugten Zugriff, Manipulation und Störung. In einem CPS hängen beide zusammen: Ein manipulierter Sensorwert oder Stellbefehl kann eine physische Wirkung auslösen.

Für die Erweiterung brauchst du deshalb mehrere Schutzebenen:

• Sicherer Zustand: Ohne gültige Freigabe bleibt die Tür verriegelt.
• Eingangsprüfung: Messwerte brauchen Bereichs-, Plausibilitäts- und Altersprüfung.
• Befehlsprüfung: Das Dashboard sendet Anforderungen. Die lokale Steuerung prüft Identität, Berechtigung, zulässigen Wertebereich und aktuellen Anlagenzustand.
• Begrenzte Schnittstelle: Das Netzwerk erhält keine allgemeine Schreibmöglichkeit auf Speicher oder Aktorausgänge.
• Lokale Rückfallebene: Netz, Dashboard oder Zeitserver dürfen die sichere Grundfunktion nicht außer Kraft setzen.
• Nachvollziehbarkeit: Zustandswechsel, verworfene Befehle und Störungen werden mit lokaler Zeitbasis protokolliert.

Ein “Fail-safe” lässt sich nicht pauschal mit “alles ausschalten” übersetzen. Bei der Kühlstation ist die verriegelte Tür der vorgesehene sichere Zustand. Ob der Lüfter bei einem bestimmten Fehler weiterlaufen oder stoppen soll, muss aus der Gefährdungsbeurteilung und der technischen Auslegung der realen Anlage folgen. Die Lektion ersetzt diese fachkundige Planung nicht.

Prüfe die Erweiterung an den Grenzen

Ein erfolgreicher Normalfall reicht nicht. Der Testplan muss zeigen, wie das System auf gestörte Sensorik, verzögerte Kommunikation und unzulässige Befehle reagiert.

Für die Kühlstation gehören mindestens diese Fälle in den Test:

1. Normalfall: Das Bauteil wird erkannt, gültige Temperaturwerte sinken und die Freigabebedingung wird erfüllt.
2. Sensorfehler: Der Temperaturwert fehlt, springt unplausibel oder ist älter als 300 ms. Die Tür bleibt verriegelt.
3. Netzausfall: Das Dashboard ist nicht erreichbar. Der lokale Regelkreis arbeitet weiter und protokolliert die Kommunikationsstörung.
4. Verspätete Nachricht: Ein alter Mess- oder Befehlsdatensatz trifft nach einer neueren Nachricht ein. Die Steuerung verwirft ihn anhand von Sequenz oder Zeitbezug.
5. Unberechtigter Befehl: Eine nicht freigegebene Identität fordert die Türfreigabe an. Das System lehnt den Befehl ab und protokolliert den Versuch.
6. Aktorabweichung: Die Steuerung fordert die Verriegelung an, erhält aber keine passende Rückmeldung. Sie meldet eine Störung und nimmt keine Freigabe an.

Damit prüfst du nicht nur einzelne Geräte. Du prüfst die Kopplung an den Stellen, an denen ein digitales Signal eine physische Wirkung haben kann.

Übertrage die Systemgrenze auf eine Dosierstation

Was du aus der Lektion mitnimmst

Ein CPS koppelt digitale Verarbeitung an einen physischen Prozess. Sensoren erfassen den Zustand, die eingebettete Verarbeitung bewertet ihn und Aktoren wirken auf den Prozess zurück. Kommunikation erweitert diesen Ablauf, ist aber nicht automatisch sein sicherer Kern.

Eine gute Systemgrenze zeigt Verantwortung und Abhängigkeiten. Zeitvorgaben werden messbar formuliert. Safety und Security werden gemeinsam betrachtet, sobald digitale Befehle physische Folgen haben. Für Erweiterungen gilt deshalb ein ruhiger Grundsatz: Externe Systeme dürfen Anforderungen stellen, doch die lokale Steuerung prüft sie gegen den aktuellen, gültigen Anlagenzustand.

Belegmatrix