Es könnte so einfach sein: Sowohl der deutsche Maschinenbauer als auch sein Kunde in Asien haben einen breitbandigen Internet-Anschluss. Im Vertrag ist daher festgehalten, dass darüber ein Fernwartungszugang eingerichtet wird. Dieser soll sowohl bei der Inbetriebnahme helfen, als auch umgehenden Service im Fehlerfall ermöglichen. Das reine Formulieren im Vertrag bleibt bis zur Inbetriebnahme leider oftmals die einzige Maßnahme zur Einrichtung des Zugangs. Erst in der Inbetriebnahmephase kommt die Frage auf, wie genau das nun funktioniert und wo man „hinklicken" muss, um beispielsweise Zugriff auf ein Bedienpanel zu erhalten.

Es reicht jedenfalls nicht aus, wenn beide Seiten der Fernverbindung - die Zentrale des Lieferanten und die Anlage des Anwenders - einfach nur „am Internet hängen". Auf beiden Seiten sind zusätzliche technische Einrichtungen in Form von Hardware oder Software nötig. Um aber herauszufinden, welche Lösung für die gegebene Situation die optimale ist, ist die Erstellung eines schrittweisen Konzeptes dringend zu empfehlen.

Die erste Frage, die sich gleichermaßen Maschinen- und Anlagenbauer sowie die Betreiber stellen sollten, befasst sich mit dem physikalischen Weg der Kommunikation. Sprich: Geht es um eine drahtgebundene oder eine Mobilfunk-Lösung? Lässt sich die Anlage aufgrund ihrer geografischen Lage oder aus technischen Gründen nicht mit einem drahtgebundenen Anschluss verbinden, so ist diese Entscheidung schnell gefällt.

Ob dann an betreffender Stelle Mobilfunk-Empfang gewährleistet ist, lässt sich im Vorfeld selbst bei „Grüne-Wiese-Projekten" leicht feststellen. Unter der Web-Adresse www.gsmworld.com/technology/roaming finden sich so genannte Coverage Maps, die weltweit und länderspezifisch die Mobilfunk- Abdeckung sowie Listen mit den jeweiligen Providern zeigen.

Ein erster Blick auf die für alle Erdteile verfügbaren „Coverage Maps“ verschafft einen schnellen Überblick über die Versorgung mit dem jeweiligen Mobilfunk- Standard, hier die GSM-Funkabdeckung für Südostasien.

© Siemens, gsmworld.com

Ist die erste Frage beantwortet, folgt die zweite grundlegende Unterscheidung: Kommt eine internetbasierte Lösung in Frage oder ist der Remote-Service nur über herkömmliche Wählverbindungen möglich beziehungsweise gewünscht. Wählverbindungen - ob analog oder ISDN - sind mitunter der einfachste Weg, da auf beiden Seiten lediglich ein Telefonanschluss sowie ein Modem nötig sind.

Auf Anlagenseite steckt dieses in der Regel in einem Teleservice-Adapter, der nicht nur die Anwahl eines einzelnen Geräts, sondern unter Umständen gleich den Anschluss eines ganzen Profibus- Segments oder eines Netzwerks auf der Basis von Industrial-Ethernet ermöglicht. In Kombination mit einem GSM-Mobilfunk- Modem lässt sich dieser Weg ebenso drahtlos beschreiten. Wesentlich schneller und dabei häufig kostengünstiger sind Lösungen auf Internetbasis. Da es sich beim Internet allerdings um ein offenes und damit unsicheres Netz handelt, ist eine Verschlüsselung der Kommunikation unverzichtbar.

Dazu wird die Kommunikation in einen so genannten VPN-Tunnel „verpackt", in dem die Daten übertragbar sind, ohne dass sie mitgelesen oder gar manipuliert werden können. Durch eine Authentifizierung beider über den VPN-Tunnel verbundenen Seiten mittels Passwort oder Zertifikat ist zudem die Echtheit der Teilnehmer sichergestellt.

Der Weg zur sicheren VPN-Verbindung

Um die sichere VPN-Verbindung auf der Basis des IPsec-Protokolls zwischen zwei Teilnehmern herzustellen - etwa dem Service-PC in der Zentrale des Maschinenbauers (Lieferant) und einer Maschine beim Betreiber -, gibt es prinzipiell drei Kombinationen aus Hard- und Software: Dabei muss auf einer Seite stets eine so genannte VPN-Appliance installiert sein, also ein VPN-Hardware- Gerät.

Ob die Verbindung dorthin dann mittels einer VPN-Software (Variante 1: Software-zu-Hardware) oder einer weiteren VPN-Appliance (Variante 2: Hardware- zu-Hardware) erfolgt, spielt prinzipiell keine Rolle. Die Software bietet allerdings die Flexibilität, den Service-PC von jedem beliebigen Internet-Anschluss aus mit der Anlage zu verbinden - sei es vom Hotelzimmer oder vom Home-Office. Dazu muss allerdings der VPN-Tunnelaufbau durch die Software gestartet werden. Genau umgekehrt verhält es sich beim Einsatz der internetbasierten Mobilfunk- Lösung (Variante 3: (Mobilfunk-) Hardware-zu-Hardware): Hier muss zwingend in der Zentrale eine VPN-Appliance vorhanden sein und der Verbindungsaufbau erfolgt von der Betreiberseite.

Aus Gründen der Datensicherheit erlauben die Mobilfunk-Provider nämlich den Aufbau eines VPN-Tunnels nur aus der Richtung der mobilen Station. Diese muss als Gegenstelle eine feste IPAdresse oder einen Domänennamen - zum Beispiel zentrale.dyndns.org - ansprechen können. Bei der Software-Lösung ist dies nicht gegeben, da sie keine eigene Adresse hat und sich hinter der des jeweiligen Internet-Anschlusses „versteckt".

Für alle drei Varianten gilt allerdings die gleiche dringende Empfehlung: Ist es unter technischen und wirtschaftlichen Gesichtspunkten möglich beziehungsweise vertretbar, so sollte sowohl für die Servicezentrale als auch für die Maschine oder Anlage ein separater und möglichst breitbandiger Internet-Anschluss eingerichtet werden.

Hintergrund ist: Findet ein bereits vorhandener unternehmensweiter Internet-Anschluss Verwendung, so unterliegt dieser in der Regel zahlreichen Sicherheitsvorschriften - sprich einer IT-Security-Policy. Diese regelt beispielsweise die Art der Kommunikation und wie diese den Internet-Zugang und den dafür eingesetzten Router passieren darf. Daher kann es sein, dass die für den VPN-Tunnel benötigten TCP- oder UDP-Ports (vergleichbar mit „Türen") nicht geöffnet werden dürfen oder bereits belegt sind. Oftmals erfolgt durch diese Ports nämlich der „Remote Access", um beispielsweise Mitarbeitern des Betreibers Fernzugriff auf das eigene Firmennetz zu gewähren.

Risiken abwägen

Selbst wenn dieses Problem nicht besteht, bleibt ein weiteres Risiko. Da der Internetzugang eines Unternehmens üblicherweise der Kontrolle der IT-Administration und nicht der Automatisierungsabteilung unterliegt, ist folgendes zu bedenken: Ein heute noch funktionierender Fernwartungszugang kann aufgrund einer Änderung durch die IT-Administration morgen nicht mehr zur Verfügung stehen, ohne dass es jemand in der Automatisierung bemerkt - bis zum nächsten dringend benötigten Remote-Service.

Sofern separate Zugänge nicht durchsetzbar sind, sollte man sich mit der IT-Abteilung zumindest darauf einigen, dass diese den Fernwartungszugang mit eigenen Mitteln bereitstellt und verwaltet. Voraussetzung hierfür ist in jedem Fall eine frühzeitige Abstimmung zwischen allen Parteien, also der IT, der Automatisierung und den Vertretern des Lieferanten. Welche Lösung sich letztendlich anbietet, der Weg dorthin führt nur über ein gut durchdachtes Fernwartungskonzept. Dazu eignet sich beispielsweise eine Beschreibung aller möglichen Szenarien mit darauf basierenden Empfehlungen oder ein Entscheidungsdiagramm.

Kosten versus Nutzen

Jede Fernwartungslösung bringt Kosten mit sich, seien es die Anschaffungskosten für Hard- und Software, die Gebühren für DSL- oder Mobilfunk-Anschlüsse oder die Verbindungseinheiten. Dass „unter dem Strich" dennoch Kostenvorteile im Vergleich mit einem klassischen Service- Einsatz für alle Beteiligten entstehen, lässt sich unter genauer Betrachtung der Total Cost of Ownership (TCO) einer Anlage oder eines Anlagenteils inklusive Servicebedarf darstellen. Ein wichtiger Faktor bei dieser Berechnung ist die Entfernung zwischen dem Service-Erbringer - also dem Lieferanten - und dem Kunden, der den Service benötigt.

Ausschnitt eines Entscheidungsdiagramms zur Findung der geeigneten Fernwartungsalternative.

© Siemens, gsmworld.com

Bei Entfernungen von wenigen hundert Kilometern kann es durchaus sein, dass sich ein einfacher VPN-basierter Fernwartungszugang, bestehend aus einer kombinierten Software-Hardware-Lösung, trotz Reiseaufwand des Servicetechnikers erst nach vier oder fünf Einsätzen amortisiert. Bei größeren Entfernungen, etwa innerhalb Europas, spätestens aber bei Service-Einsätzen mit interkontinentalen Reisen, ist ein Vor-Ort-Einsatz immer teurer als ein Fernwartungszugang über Internet oder eine Modem-Einwahlverbindung - selbst unter Berücksichtigung der laufenden Kosten zum Beispiel für den DSL-Anschluss.

Dies gilt natürlich nur, wenn es sich um eine Service- Aufgabe handelt, die nicht zwingend größere Tätigkeiten mechanischer Art vor Ort erfordert. Einfache Handgriffe kann bei Bedarf auch ein Bediener des Betreibers erledigen. Ein weiterer Vorteil, der sich durch die Fernwartung ergeben kann, ist die Erhöhung der Anlagenverfügbarkeit. Indem der Zugriff auf die Anlage jederzeit und ohne großen Aufwand online möglich ist, lassen sich auf Lieferanten- und Kundenseite Kosten sparen und Nerven schonen.

Und für den Lieferanten besteht gegebenenfalls sogar die Möglichkeit, den Fernwartungsservice im Rahmen eines intelligenten Geschäftsmodells als wertschöpfende Zusatzkomponente zu seiner Maschine oder Anlage zu verkaufen.

Autor: Jochen Koch ist Marketing Manager Industrial Network Components bei Siemens.