SCADA-Systemarchitektur: Entwurf eines robusten industriellen Überwachungssystems

Ein schlecht konzipiertes SCADA-System verbringt sein gesamtes Dasein damit, geflickt, umgangen und entschuldigt zu werden. Wir haben Projekte übernommen, bei denen der SCADA-Server am selben Netzwerk-Switch hing wie der Bürodrucker, bei denen Tag-Namen zufällige Zeichenfolgen ohne jegliche Konvention waren und bei denen ein einziger Serverausfall die Überwachung für 200.000 Kunden lahmlegte. Eine gut durchdachte SCADA-Architektur hingegen ist unsichtbar – sie läuft zuverlässig, skaliert mühelos und stellt den Bedienern die benötigten Daten bereit, ohne sie zu zwingen, gegen das System zu kämpfen. Dieser Leitfaden führt durch jede Ebene einer robusten industriellen SCADA-Architektur, von den Feldsensoren bis zum Bildschirm des Bedieners.

1. Grundlagen der SCADA-Architektur

Moderne SCADA-Systeme folgen einer mehrschichtigen, verteilten Architektur basierend auf dem ISA-95 / Purdue-Modell. Jede Ebene hat eine spezifische Funktion, kommuniziert über definierte Schnittstellen und kann unabhängig skaliert oder aktualisiert werden. Die fünf Ebenen sind:

1. Feldgeräte (Ebene 0-1): Sensoren und Aktoren, die den physischen Prozess messen und steuern
2. Steuerungen (Ebene 1): SPS und RTUs, die Echtzeitsteuerung und Datenerfassung ausführen
3. Kommunikationsnetzwerk (Ebene 1.5-2): Industrienetzwerke, die Steuerungen mit Leitsystemen verbinden
4. SCADA-Server (Ebene 2-3): Datenerfassungs-, Alarmverarbeitungs-, Historian- und Anwendungsserver
5. HMI und Clients (Ebene 2-3): Bedienerarbeitsplätze, Web-Clients und mobile Endgeräte

Die Architektur muss nach drei nicht verhandelbaren Prinzipien gestaltet werden: deterministische Steuerung (die SPS muss auch bei SCADA-Ausfall die Steuerung übernehmen), Defense in Depth (Sicherheit auf jeder Ebene, nicht nur am Perimeter), und Skalierbarkeit (das Hinzufügen einer neuen Station oder eines neuen Tags sollte keine Neukonzeption des Systems erfordern).

2. Ebene 1: Feldgeräte

Die Feldebene ist die Schnittstelle, an der das SCADA-System auf die physische Welt trifft. Die Auswahl der Geräte beeinflusst die Datenqualität, den Wartungsaufwand und die Systemzuverlässigkeit:

• Sensoren: Druckmessumformer, Füllstandsensoren, Durchflussmesser, Temperaturfühler und Analysegeräte. Für die SCADA-Integration sind Geräte mit 4-20mA HART, Modbus RTU oder PROFINET/PROFIBUS-Ausgang zu wählen. Intelligente HART-Messumformer liefern nicht nur die Prozessvariable, sondern auch Diagnosedaten (Sensorzustand, Kalibrierstatus), die im Historian protokolliert werden können.
• Stellglieder: Motorstarter, Frequenzumrichter, Regelventile und Magnetventile. Stellen Sie für die SCADA-Überwachung sicher, dass jedes Stellglied eine Rückmeldung (Betriebsstatus, Fehler, Position) liefert und nicht nur einen Befehlsausgang. Ein Befehl ohne Rückmeldung ist eine Vermutung – der Bediener kann nicht bestätigen, dass die Aktion ausgeführt wurde.
• Auswahl des Signaltyps: Verwenden Sie 4-20mA für analoge Signale (störsicherer als 0-10V), digitale Eingänge für Status (vorzugsweise potentialfreie Kontakte) und RTD/Temperaturmodule für Temperaturmessungen. Vermeiden Sie den direkten Anschluss von Thermoelementen über lange Strecken – verwenden Sie einen Temperaturmessumformer mit 4-20mA-Ausgang.
• Eigensicherheit und explosionsgefährdete Bereiche: Für Öl- und Gas-, Chemie- oder Bergbauanwendungen in explosionsgefährdeten Bereichen sind Ex-zugelassene Feldgeräte sowie Trennbarrieren oder Eigensicherheitsmodule im Schaltschrank zu verwenden.

3. Ebene 2: Steuerungen (SPS/RTU)

Die Steuerungsebene bildet den Randbereich des SCADA-Systems – sie erfasst Daten von Feldgeräten, führt lokale Steuerungslogiken aus und kommuniziert aufwärts zu den SCADA-Servern.

SPS vs. RTU

Die Unterscheidung ist heute fließend, aber traditionell gilt:

• SPS (Speicherprogrammierbare Steuerung): Optimiert für lokale, schnelle Steuerungen innerhalb einer Anlage oder Maschine. Umfangreiche IEC 61131-3-Programmierung, kurze Zykluszeiten, umfangreiche Auswahl an E/A-Modulen. Ideal für die Fabrikautomation, Prozessanlagen und Maschinensteuerung.
• RTU (Remote Terminal Unit): Optimiert für geografisch verteilte Standorte mit bandbreitenschwacher Kommunikation. Geringerer Stromverbrauch, größerer Temperaturbereich, integrierte Funk-/Mobilfunkkommunikation sowie Store-and-Forward-Datenpufferung. Ideal für Pipeline-Pumpstationen, Bohrköpfe und abgelegene Versorgungsstandorte.

Moderne Steuerungen – einschließlich der Siemens S7-1200/1500 und Allen-Bradley CompactLogix – kombinieren SPS- und RTU-Funktionen, wodurch die Unterscheidung für Neuinstallationen weitgehend theoretisch wird. Das wichtigste Auswahlkriterium ist, ob die Steuerung bei Kommunikationsausfällen autonom die Kontrolle behalten, Daten lokal puffern und bei wiederhergestellter Konnektivität resynchronisieren kann.

Steuerungsredundanz

Für kritische Prozesse sind redundante Steuerungen zu spezifizieren (z. B. Siemens S7-1500R/H, Allen-Bradley ControlLogix L8x mit Redundanz). Zwei CPUs synchronisieren sich über eine dedizierte Glasfaserverbindung; fällt die primäre CPU aus, übernimmt die Backup-CPU in unter 100 ms, ohne die E/A zu unterbrechen. Redundante Steuerungen sind Standard in der Wasseraufbereitung, der Stromerzeugung sowie der Öl- und Gasindustrie – Branchen, in denen ungeplante Ausfallzeiten Kosten von über 50.000 $ pro Stunde verursachen.

4. Ebene 3: Kommunikationsnetzwerk

Das Netzwerk ist das Rückgrat des SCADA-Systems. Das Netzwerkdesign beeinflusst direkt die Datenaktualität, die Alarmlatenz und die Cybersicherheit.

Netzwerkarchitektur

• Prozessnetzwerk (Ebene 1-2): Verbindet SPSen, Remote-I/O und SCADA-Datenserver. Verwenden Sie industrielle Managed Switches (z. B. Siemens SCALANCE, Hirschmann, Moxa) mit PROFINET/EtherNet/IP. Für hochverfügbare Systeme konfigurieren Sie MRP-Ringe (Media Redundancy Protocol) mit einer Umschaltzeit von unter 200 ms.
• Leitnetzwerk (Ebene 2-3): Verbindet SCADA-Server, HMI-Clients und Historian-Systeme. Über eine Firewall vom Prozessnetzwerk trennen. Für den Server-zu-Server- und Server-zu-Client-Datenverkehr Gigabit-Ethernet verwenden.
• DMZ (Ebene 3.5): Eine demilitarisierte Zone zwischen dem Steuerungsnetzwerk und dem Unternehmensnetzwerk hostet alle Server, die externen Zugriff benötigen (Web-HMI, OPC UA Gateway, Remote-Access-Server). Es fließt kein direkter Datenverkehr von Ebene 4 (Unternehmen) zu Ebene 2 (Steuerung) – die gesamte Kommunikation läuft über die DMZ.
• Feld-WAN: Für entfernte Standorte sollten Sie 4G/LTE mit VPN, lizenzierte Funkstrecken oder Glasfaser verwenden. Geben Sie für kritische Stationen immer duale Kommunikationswege (z. B. 4G primär + Funk-Backup) mit automatischem Failover vor.

5. Ebene 4: SCADA-Server

Die Serverebene verarbeitet, speichert und stellt SCADA-Daten bereit. Ein mittelgroßes bis großes SCADA-System umfasst in der Regel mehrere Serverrollen:

• I/O-Datenserver (SCADA Runtime): Fragt Steuerungen ab, pflegt die Echtzeit-Tag-Datenbank, wertet Alarmbedingungen aus und führt übergeordnete Skripte aus. Für Redundanz sollten primäre/Standby-Server mit automatischem Failover und synchronisierten Echtzeitdaten bereitgestellt werden.
• Historian-Server: Speichert Zeitreihen-Prozessdaten für Trendanalysen und Berichte. Verwenden Sie einen dedizierten Historian (z. B. OSIsoft PI, Aveva Historian, Ignition Historian oder InfluxDB für Open Source) anstatt in eine relationale Datenbank zu loggen – Historians sind für die Zeitreihenkomprimierung und -abfragen optimiert und erzielen eine 10- bis 100-mal bessere Performance.
• Webserver: Stellt HMI-Grafiken für browserbasierte Clients ohne Installation einer Client-Software bereit. Für externen Zugriff in der DMZ hosten.
• Alarmserver: Dedizierter Server für Alarmverarbeitung, Routing und Benachrichtigung (SMS, E-Mail, Sprachanruf). Bei großen Systemen stellt die Trennung der Alarmverarbeitung von der Datenerfassung sicher, dass die Alarmreaktion nicht durch hohe Datenabfragelasten verzögert wird.
• Engineering-/Workstation-Server: Wird für die SCADA-Konfiguration, SPS-Programmierung und Systemwartung verwendet. Isoliert von den Laufzeitsystemen, um versehentliche Änderungen während des Betriebs zu verhindern.

Servervirtualisierung

Moderne SCADA-Implementierungen nutzen zunehmend Virtualisierung (VMware vSphere, Hyper-V), um mehrere Serverrollen auf redundanten physischen Hosts zu betreiben. Die Virtualisierung bietet Hardware-Unabhängigkeit, Snapshot-basierte Backups und einfachere Disaster-Recovery. Überprüfen Sie jedoch immer, ob der SCADA-Hersteller die Virtualisierung unterstützt – einige ältere Plattformen haben Lizenz- oder Timing-Einschränkungen. Verwenden Sie für Echtzeit-I/O-Server Direct Hardware Pass-Through für Netzwerkadapter, um die Latenz zu minimieren.

6. Ebene 5: HMI und Client-Stationen

Das HMI ist das Fenster des Bedieners zum Prozess. Designentscheidungen hier wirken sich direkt auf die Effektivität und Sicherheit des Bedieners aus:

• Leitstand-Workstations: Dual-Monitor-Setups mit der primären Prozessgrafik auf einem Bildschirm und der Alarmliste/Trends auf dem anderen. Verwenden Sie Industrie-PCs mit Solid-State-Drives und redundanten Netzteilen.
• Großbildschirme: Für Leitstände, die mehrere Bereiche verwalten, zeigt eine Videowand oder ein Großformat-Display die Netzwerkübersicht mit dem Alarmstatus. Konfigurieren Sie das Display so, dass Alarmbanner unabhängig davon angezeigt werden, was ein Bediener auf seiner Workstation geöffnet hat.
• Web-Clients: Browserbasierter HMI-Zugriff für Schichtleiter, Instandhaltung und Bereitschaftspersonal. Web-Clients sollten standardmäßig nur Lesezugriff bieten, wobei Steuerungsaktionen eine zusätzliche Authentifizierung erfordern.
• Mobiler Zugriff: Responsives Web-HMI oder dedizierte mobile Apps für den Zugriff über Smartphone/Tablet. Der mobile Zugriff erfolgt immer über VPN und sollte für die meisten Benutzer schreibgeschützt sein – die Fernsteuerung über ein Smartphone birgt ein erhebliches Risiko für versehentliche Bedienvorgänge.

7. Wann benötigen Sie redundante SCADA-Server?

Redundanz eliminiert Single Points of Failure. Eine hochverfügbare SCADA-Architektur bietet Redundanz auf mehreren Ebenen:

Nicht jedes System erfordert vollständige Redundanz. Passen Sie den Redundanzgrad an die Kritikalität des Prozesses an. Eine kleine Verpackungslinie benötigt möglicherweise nur ein UPS. Eine Wasseraufbereitungsanlage, die 500.000 Menschen versorgt, benötigt redundante Steuerungen, Netzwerke und Server.

8. Design der Tag-Datenbank

Die Tag-Datenbank ist das Fundament jedes SCADA-Systems. Eine schlecht strukturierte Tag-Datenbank erschwert die HMI-Entwicklung, die Alarmkonfiguration und die Wartung exponentiell. Befolgen Sie diese Regeln:

• Namenskonvention: Verwenden Sie ein hierarchisches, selbstdokumentierendes Format: [Area].[Equipment].[Parameter]. Zum Beispiel: PS03.Pump01.MotorCurrent, WT02.Filter04.InletPressure. Verwenden Sie niemals Abkürzungen, die nicht in einem dokumentierten Datenwörterbuch enthalten sind. Tag-Namen sollten für einen Bediener lesbar sein, der das System noch nie gesehen hat.
• Datentypen: Verwenden Sie geeignete Datentypen: Boolean für Status, Integer für Zählwerte, Float für Analogwerte, String für Bezeichnungen. Vermeiden Sie die Verwendung von Floats für Werte, die Integer sein sollten – dies verursacht Probleme bei Vergleichen und Alarmen. Verwenden Sie strukturierte Datentypen (UDTs) für wiederkehrende Anlagen (z. B. ein "Pump"-UDT mit RunCmd, RunStatus, Fault, Current, Speed, RunHours), um Konsistenz sicherzustellen.
• Scan-Klassen: Gruppieren Sie Tags nach der erforderlichen Aktualisierungsrate. Kritische Parameter (Druck, Durchfluss, Notfalle) werden mit 1 Sekunde abgefragt. Routine-Status (Motorbetriebsstunden, Tanktemperatur) können mit 5-30 Sekunden abgefragt werden. Nicht-kritische Daten (Umgebungstemperatur, Energiegesamtstände) können mit 1-5 Minuten abgefragt werden. Dies optimiert die Kommunikationsbandbreite und die SPS-Last.
• Skalierung und Einheiten: Definieren Sie die Skalierung der ingenieurtechnischen Einheiten (Rohwert 4-20 mA → 0-10 bar) in der SCADA-Tag-Konfiguration, nicht in der HMI-Grafik. Jeder analoge Tag muss eine definierte Einheit (bar, °C, m³/h, kW) und sinnvolle Min./Max.-Grenzwerte für die Alarmierung haben.

9. Wie sollten Sie ein SCADA-Alarmsystem gestalten?

Das Alarmsystem ist oft der am stärksten kritisierte Teil einer SCADA-Implementierung. Gestalten Sie es fachgerecht nach ISA-18.2:

• Alarmprioritäten: Verwenden Sie drei Prioritätsstufen: Kritisch (sofortiges Handeln erforderlich), Hoch (Handeln innerhalb von 30 Minuten) und Niedrig (Information, kein sofortiges Handeln). Die Verteilung sollte einem ungefähren Verhältnis von 5 %/15 %/80 % folgen – wenn mehr als 10 % der Alarme "kritisch" sind, werden die Bediener sie ignorieren.
• Alarmattribute: Jeder Alarm muss Folgendes umfassen: Sollwert, Totband, Ein-/Ausschaltverzögerung, Priorität, Beschreibung, erforderliche Reaktion und zugehörige Grafik. Konfigurieren Sie einen Alarm-Hilfetext, der dem Bediener sagt, was zu tun ist, und nicht nur, was schiefgelaufen ist.
• Alarm-Routing: Kritische Alarme lösen akustische/visuelle HMI-Alarme sowie externe Benachrichtigungen (SMS/Telefon) aus. Hohe Alarme erscheinen im Alarmbanner und werden protokolliert. Niedrige Alarme werden nur protokolliert und erscheinen in der täglichen Zusammenfassung.
• Alarm-Ausblendung und -Unterdrückung: Erlauben Sie Bedienern, Störalarme während der Wartung vorübergehend zu unterdrücken, mit automatischer Reaktivierung. Erlauben Sie niemals die dauerhafte Deaktivierung von Alarmen ohne Genehmigung des Vorgesetzten und Audit-Protokollierung.
• Alarm-Analytik: Überwachen Sie die Alarmhäufigkeit, identifizieren Sie "prellende" Alarme (Alarme, die schnell umschalten) und überprüfen Sie monatlich die Alarmprotokolle, um Sollwerte zu optimieren und Störalarme zu entfernen. Ein gut verwaltetes System sollte im Normalbetrieb weniger als 10 Alarme pro Stunde und Bediener generieren.

10. Historian- und Datenspeicherstrategie

Der Historian ist das Langzeitgedächtnis des SCADA-Systems. Designentscheidungen beeinflussen die Abfrageleistung, die Speicherkosten und die Datenverfügbarkeit:

• Erfassungsraten: Protokollieren Sie kritische Analogwerte mit einer Auflösung von 1 Sekunde (oder bei einer Änderung von 0,5 %), Standardwerte mit 5-15 Sekunden und Gesamtwerte/Zähler in 1-Minuten-Intervallen. Verwenden Sie die ausnahmebasierte Protokollierung (Protokollierung nur, wenn sich der Wert um mehr als einen Schwellenwert ändert), um das Speichervolumen für langsam veränderliche Parameter um 50-80 % zu reduzieren.
• Aufbewahrungsrichtlinie: Speichern Sie rohe 1-Sekunden-Daten für 90 Tage, 1-Minuten-Mittelwerte für 1 Jahr, 15-Minuten-Mittelwerte für 5 Jahre und stündliche/tägliche Mittelwerte unbegrenzt. Dieser abgestufte Ansatz gleicht detaillierte Daten zur Fehlerbehebung mit langfristiger Trendberichterstattung ab, ohne dass das Speicherwachstum unbegrenzt ist.
• Speicherdimensionierung: Als grobe Schätzung generieren 10.000 Tags mit 1-Sekunden-Auflösung etwa 5-15 GB komprimierte Historian-Daten pro Jahr (variiert je nach Komprimierungsalgorithmus und Datenvariabilität). Moderne Historians erreichen bei typischen Prozessdaten eine Komprimierung von 80-95 %.
• Backup und Notfallwiederherstellung: Sichern Sie den Historian täglich auf einem separaten Speichersystem. Für kritische Systeme replizieren Sie die Daten auf einen externen Server. Testen Sie die Wiederherstellung vierteljährlich – ein Backup, das Sie nicht wiederherstellen können, ist kein Backup.

11. Wie segmentieren Sie ein SCADA-Netzwerk mit einer DMZ?

Die Netzwerksegmentierung ist die effektivste Cybersicherheitsmaßnahme für SCADA-Systeme. Eine fachgerecht segmentierte Architektur teilt das Netzwerk in Sicherheitszonen ein:

Industrielle Firewalls (z. B. Fortinet Rugged, Cisco ISA, Hirschmann EAGLE) setzen diese Grenzen mit Stateful Packet Inspection und protokollbewusster Filterung durch. Sie verstehen industrielle Protokolle (OPC UA, Modbus TCP, PROFINET) und können spezifische Funktionscodes oder Registerbereiche zulassen, während alles andere blockiert wird – eine Fähigkeit, die Standard-IT-Firewalls fehlt.

12. Cybersicherheitsstandards: IEC 62443

Die IEC 62443 ist der internationale Standard für die Cybersicherheit von industriellen Automatisierungs- und Steuerungssystemen (IACS). Sie definiert einen Defense-in-Depth-Ansatz mit Anforderungen auf jeder Ebene:

• IEC 62443-2-1 (Security-Programm): Einrichtung eines IACS-Sicherheitsmanagementsystems mit Risikobewertung, Richtlinien und Verfahren.
• IEC 62443-3-2 (Risikobewertung): Identifizierung von Zonen und Conduits, Risikobewertung und Definition der Sicherheitsstufen (SL 1-4) für jede Zone.
• IEC 62443-3-3 (Systemsicherheit): Technische Anforderungen an Steuerungssysteme: Authentifizierung, Autorisierung, Datenvertraulichkeit, Flusskontrolle und Audit-Logging.
• IEC 62443-4-2 (Komponentensicherheit): Anforderungen an SPS, Switches und andere IACS-Komponenten.

Praktische Mindestmaßnahmen für jedes SCADA-System: Ändern Sie alle Standardpasswörter, deaktivieren Sie ungenutzte Dienste und Ports, spielen Sie Firmware-Sicherheitspatches ein, implementieren Sie eine rollenbasierte Zugriffskontrolle, aktivieren Sie das Audit-Logging, segmentieren Sie das Netzwerk und nutzen Sie VPN für jeglichen Fernzugriff. Laut ICS-CERT-Daten beheben diese Maßnahmen über 80 % der bekannten ICS-Schwachstellen.

13. Leitfaden zur SCADA-Dimensionierung

14. Performance-Optimierung

• Abfrageoptimierung: Verwenden Sie eine ereignisbasierte Abfrage (Report-by-Exception) anstelle von kontinuierlichem Polling. Gruppieren Sie Tags nach SPS, um den Verbindungs-Overhead zu minimieren. Vermeiden Sie das Abfragen desselben Tags von mehreren SCADA-Servern – verwenden Sie einen Datenkonzentrator.
• Verwaltung der Tag-Anzahl: Eine aufgeblähte Tag-Datenbank verlangsamt jeden SCADA-Betrieb. Überprüfen und entfernen Sie regelmäßig nicht genutzte Tags (von stillgelegten Anlagen, aufgegebenen Berechnungen und Testpunkten). Wir haben Systeme gesehen, bei denen 40 % der Tags veraltet waren.
• HMI-Performance: Begrenzen Sie die Bildschirmelemente auf weniger als 200 pro Grafik. Verwenden Sie Vorlagen und indirekte Adressierung für wiederkehrende Anlagen, anstatt Grafiken zu duplizieren. Vermeiden Sie Animationen, die schneller aktualisiert werden als die Daten.
• Netzwerkbandbreite: Verwenden Sie für WAN-verbundene Remote-Standorte eine Protokolloptimierung (Report-by-Exception, Datenkomprimierung), um den mobilen Datenverbrauch zu minimieren. Ein gut konzipiertes Remote-SCADA-System kann mit 100-500 MB/Monat pro Standort über 4G betrieben werden.

15. Typische Architektur nach Anlagengröße

Kleines System (100-1.000 Tags): Ein einzelner Industrie-PC führt die SCADA-Laufzeitumgebung, den Historian und den HMI-Client in einer Anwendung aus. Er verbindet sich über Ethernet mit einer oder zwei SPS. Ein oder zwei zusätzliche HMI-Clients greifen über das Werksnetz auf den Server zu. Keine Redundanz – ein Serverausfall bedeutet, dass die lokale Steuerung über die SPS weiterläuft, aber die Bediener verlieren die Sichtbarkeit, bis der Server wiederhergestellt ist. Typische Kosten: $15.000-$50.000 einschließlich Hardware, Software und Engineering.

Mittleres System (1.000-10.000 Tags): Zwei redundante SCADA-Server (primär/standby) mit einem separaten Historian. Ein Managed Switch verbindet 5-20 SPS über PROFINET. 5-10 HMI-Clients im gesamten Werk. Eine DMZ hostet einen Webserver für Management-Reporting. USV und Netzwerkredundanz. Typische Kosten: 80.000-300.000 $.

Großes System (über 10.000 Tags): Verteilte Serverarchitektur mit separaten I/O-Servern pro Bereich, einem dedizierten Historian-Cluster, Alarmserver, Webserver in der DMZ und Engineering-Workstation. Dual redundante Netzwerke (Prozess und Leittechnik). Redundante Steuerungen an kritischen Standorten. 20-100 HMI-Clients. Cybersecurity-Appliances, VPN für Fernzugriff und vollständige IEC 62443-Konformität. Typische Kosten: 300.000-2.000.000+ $.

Bei SENTRADO entwerfen wir SCADA-Architekturen, die auf die Größe, Kritikalität und das Budget jedes Kunden zugeschnitten sind – von der Einzelplatz-HMI bis hin zu unternehmensweiten verteilten Systemen. Unser Engineering-Team betreut den gesamten Stack: SPS-Schaltschränke, Netzwerkinfrastruktur, SCADA-Konfiguration, Cybersecurity und Bediener-Schulungen. Wir bieten zudem detaillierte Fallstudien aus realisierten SCADA-Projekten in den Bereichen Wasser, Energie und Fertigung.