Technischer Leitfaden

Reduzierung der Einsätze vor Ort: -60 % dank industriellem Fernzugriff

Reduzieren Sie Wartungsfahrten durch einen sicheren Fernzugriff auf SPSen, HMI-Systeme und OT-Anlagen: VPN, Protokolle, ROI und bewährte Verfahren.

Die Reduzierung von Wartungsfahrten in der Industrie bedeutet nicht, dass alle Einsätze vor Ort durch Ferndiagnosen ersetzt werden. Bestimmte Arbeiten erfordern nach wie vor eine physische Anwesenheit: Austausch von Bauteilen, Absperrungen, mechanische Kontrollen, Messungen vor Ort oder sicherheitsrelevante Maßnahmen. Dagegen kann ein Großteil der Diagnosen, Freigaben, Überprüfungen, Parametereinstellungen, Alarmanalysen und Herstellerunterstützung aus der Ferne durchgeführt werden, sofern die Techniker über einen gesicherten Zugriff auf die Steuerungen, HMIs, SCADA-Systeme und IP-Geräte des Standorts verfügen.

Das Problem

In der Industrie ist die Wartung automatisierter Anlagen mit zahlreichen Einsätzen verbunden: Alarme müssen bearbeitet, Störungen diagnostiziert, Parameter angepasst, SPS-Programme überprüft, Protokolle eingesehen, Neustarts begleitet oder der Support durch den Lieferanten organisiert werden. Jeder Einsatz verursacht direkte Kosten, aber auch Opportunitätskosten: Der Techniker steht für andere Standorte nicht zur Verfügung, die Fehlerdiagnose beginnt später und die Produktion läuft manchmal im Notbetrieb weiter.

Die Schwierigkeiten sind sehr konkret.

  • Ein nächtlicher Notfalleinsatz kann einen Techniker mehrere Stunden lang in Anspruch nehmen, obwohl die Maßnahme selbst nur wenige Minuten dauert, sobald eine Verbindung zur Benutzeroberfläche oder zur Steuerung hergestellt ist.

  • Die Anfahrtszeit schmälert die tatsächliche Effizienz erheblich: Zwei Stunden Fahrt für zwanzig Minuten Diagnose verursachen eine unsichtbare Belastung in den Terminplänen.

  • Die Reaktionszeit verlängert Ausfälle oder den Notbetrieb: Der Standort wartet darauf, dass die richtige Person physisch vor Ort eintrifft.

  • Entlegene Standorte werden weniger gut abgedeckt, da ein Techniker einen weit verstreuten Maschinenpark nicht effizient betreuen kann, wenn er sich ausschließlich vor Ort begeben muss.

  • Seltene Fachkräfte, zum Beispiel Automatisierungstechniker mit Spezialisierung auf Siemens, Schneider oder Rockwell, werden zu Engpässen.

  • Notfalleinsätze verstärken die Ermüdung, den Stress und die mit den Fahrten verbundenen Risiken.

  • Externe Dienstleister müssen manchmal vor Ort erscheinen, obwohl ein vorübergehender, nachverfolgbarer Zugriff eine schnelle Diagnose ermöglicht hätte.

  • Der CO₂-Fußabdruck von Wartungsfahrten wird für Unternehmen mit mehreren Standorten zu einem wichtigen Steuerungsfaktor.

Der industrielle Fernzugriff ermöglicht es, die Vorgehensweise umzukehren: Erst diagnostizieren, dann erst vor Ort handeln, wenn ein physischer Eingriff wirklich notwendig ist.

Welche Fahrten lassen sich vermeiden?

Nicht alle Dienstreisen lassen sich vermeiden. Der richtige Ansatz besteht darin, die Einsätze nach Art der Maßnahme zu klassifizieren.

Art der MaßnahmeAus der Ferne durchführbarBeispiel
SPS-DiagnoseJaFehlermeldungen von CPU, Modulen und Kommunikation auslesen
HMI- oder SCADA-AbfrageJaAlarme, Trends und Zustände anzeigen
ParametereinstellungJa, je nach VerfahrenSchwellenwert, Verzögerungszeit und Sollwert ändern
HerstellerunterstützungJaVorübergehender Zugriff für einen Experten
Software-NeustartJa, sofern zulässigDienst, IP-Gerät oder Tunnel neu starten
Hardware-AustauschNeinSensor, Frequenzumrichter, Netzteil, Schütz
Mechanische ÜberprüfungNeinLager, Ausrichtung, Leckage, Verschleiß
Elektrische ProtokollierungNeinSicherheitsmaßnahmen vor Ort
Validierung kritischer ProzesseTeilweiseVorbereiten und unterstützen, aber vor Ort validieren

Der Gewinn ergibt sich oft bereits aus der Erstdiagnose. Selbst wenn ein Vor-Ort-Einsatz weiterhin erforderlich ist, ermöglicht der Fernzugriff, mit dem richtigen Ersatzteil, dem richtigen Experten und dem richtigen Vorgehen vor Ort zu erscheinen.

Unser Ansatz

Eziwan stellt eine sichere Fernzugriffsverbindung zwischen dem Techniker und den autorisierten Geräten am Industriestandort her. Über ein Gateway kann der Techniker je nach den festgelegten Berechtigungen auf SPSen, HMIs, SCADA-Systeme, verwaltete Switches, IP-Überwachungskameras, Netzwerkanalysatoren oder Datenlogger zugreifen.

Der Zugang ist kein VPN, das für das gesamte Netzwerk offen ist. Er ist so konzipiert, dass er kontrolliert, protokolliert und widerrufbar ist.

  • Zugriff auf SPS-Steuerungen mit den entsprechenden Fachanwendungen: TIA Portal, STEP 7, EcoStruxure Control Expert, Unity Pro, Studio 5000, GX Works oder andere Softwareprogramme je nach Bestandslage.

  • Zugriff auf HMI und SCADA: Abruf von Alarmen, Trends, Zuständen, Protokollen und Echtzeitwerten.

  • Zugriff auf IP-Geräte, die für die Diagnose nützlich sind: verwaltete Switches, Überwachungskameras, Datenlogger, Netzwerkanalysatoren, Modbus- oder OPC-UA-Gateways.

  • Namenskonten: Jeder Techniker oder Dienstleister wird namentlich erfasst.

  • Gebühren nach Standort, Zone, Ausrüstung und Dauer.

  • Verschlüsselte Verbindungen über ein industrielles VPN oder einen sicheren Tunnel.

  • Einsatzprotokolle: Identität, Uhrzeit, Dauer, betroffene Ressource und Zugriffsereignisse.

  • Vorübergehender Zugriff für externe Experten mit automatischer Ablauffunktion.

Dieser Ansatz lässt sich in das Eziwan-Gateway, in Architekturen für die industrielle Vernetzung und in die Überwachung über die Eziwan-Cloud integrieren.

Architektur eines industriellen Fernzugriffs

Eine robuste Architektur trennt den Remote-Benutzer, die Zugangsplattform und das OT-Netzwerk des Standorts voneinander. Das Gateway wendet die Zugriffsregeln an und protokolliert die Verbindungen.

Das OT-Netzwerk ist nicht direkt im Internet erreichbar. Die Datenströme werden über einen Kontrollpunkt geleitet, der den Zugriff auf das absolut Notwendige beschränkt.

Zugriff auf funktionsfähige SPS-Steuerungen

Der Nutzen eines Fernzugriffs lässt sich an seiner Kompatibilität mit den von Automatisierungstechnikern verwendeten Tools messen. Der Techniker muss mit der Software arbeiten können, die in seiner Umgebung bereits vorhanden ist.

Anwendungsbeispiele:

  • Den Status einer Siemens S7-1200- oder S7-1500-Steuerung mit TIA Portal auslesen.

  • Eine PROFINET-Kommunikation diagnostizieren.

  • Ein Schneider-M340- oder M580-Programm mit Control Expert anzeigen.

  • Einen Rockwell ControlLogix- oder CompactLogix-Controller mit Studio 5000 überprüfen.

  • Einen Modbus/TCP-, EtherNet/IP- oder OPC-UA-Datenaustausch testen.

  • Die Alarme einer Benutzeroberfläche auslesen.

  • Den Zustand eines Frequenzumrichters, eines Gateways oder eines E/A-Moduls überprüfen.

Der Zugriff muss kontrolliert bleiben: Ein Automatiker muss nicht das gesamte industrielle Netzwerk einsehen können, wenn der Eingriff nur eine einzige Linie oder eine einzige Maschine betrifft.

Echtzeit-Überwachung von Alarmen

Viele Einsätze beginnen mit einem eher vagen Alarm: „Die Anlage läuft nicht an“, „Das Bedienfeld zeigt eine Störung an“, „Die Pumpe ist im Sicherheitsmodus“, „Der Frequenzumrichter reagiert nicht mehr“. Der Fernzugriff ermöglicht es, schnell die HMI, das SCADA-System oder die SPS-Daten einzusehen, um den Schweregrad des Problems einzuschätzen.

Per Fernzugriff kann der Techniker oft:

  • Den genauen Alarm identifizieren.

  • Überprüfen Sie, ob der Fehler noch besteht.

  • Den letzten Verlauf anzeigen.

  • Die Prozesswerte überprüfen.

  • Den Zustand der Sensoren vergleichen.

  • Bestätigen Sie, ob ein Neustart zulässig ist.

  • Feststellen, ob ein Teil oder ein Einsatz vor Ort erforderlich ist.

Diese erste Analyse reduziert unnötige Fahrten und optimiert diejenigen, die weiterhin notwendig sind.

Gleichzeitiger Zugriff über mehrere Geräte

Für eine industrielle Fehlerdiagnose ist selten nur ein einziges Gerät erforderlich. Eine Störung an einer SPS kann von einem Switch, einem Frequenzumrichter, einem Netzwerksensor, einer Bedienoberfläche, einem lokalen Server oder einer Kamera verursacht werden. Über einen sicheren Tunnel zum Standort kann gleichzeitig auf die autorisierten Ressourcen zugegriffen werden.

GerätDiagnostische Verwendung
SPSFehler, Programmstatus, Module, Variablen
HMIAlarme, Quittierungen, Bedienerstatus
SCADATrends, Ereignisse, Verlauf
Managed SwitchPorts, Fehler, Topologie, VLAN
IP-KameraVisuelle Überprüfung ohne Vor-Ort-Einsatz
NetzwerkanalysatorSpannung, Strom, Stromnetzqualität
DatenloggerLokaler Verlauf und Messwerte
Modbus-GatewayStatus der Feldkommunikation

Dieser ganzheitliche Ansatz verringert die Zahl der unvollständigen Diagnosen. Außerdem wird dadurch vermieden, dass ein Techniker entsandt wird, ohne zu wissen, ob das Problem im Bereich der Elektrik, des Netzwerks, der SPS oder des Prozesses liegt.

Mobiler Zugriff für schnelle Diagnosen

Ein Bereitschaftstechniker befindet sich nicht immer an seinem Arbeitsplatz. Ein mobiler Zugriff kann dabei helfen, einen Alarm schnell einzuschätzen: ein Dashboard einsehen, den Status eines Standorts überprüfen, einen Alarm ablesen oder die entsprechenden Maßnahmen einleiten.

Die mobilen Anwendungen müssen weiterhin geeignet sein.

  • Abruf von Warnmeldungen.

  • Zustandsprüfung.

  • Zugriff auf eine Web-Benutzeroberfläche, sofern diese dafür vorgesehen ist.

  • Eskalation an einen Experten.

  • Bestätigung, dass eine Dienstreise erforderlich ist.

Sensible Vorgänge, wie beispielsweise eine Änderung an einem SPS-Programm, müssen im Rahmen der betrieblichen Verfahren erfolgen und von einem dafür vorgesehenen Arbeitsplatz aus durchgeführt werden.

Automatische Einsatzprotokolle

Die Protokolle für den Fernzugriff bieten eine Nachverfolgbarkeit, die bei manuellen Eingriffen vor Ort nicht immer gegeben ist. Anhand dieser Protokolle lässt sich feststellen, wer sich wann, für wie lange und auf welche Ressource zugeschaltet hat.

Ein aussagekräftiges Protokoll muss Folgendes enthalten:

  • Personalien des Technikers.

  • Organisation oder Funktion.

  • Betroffene Website.

  • Start- und Endzeit.

  • Erreichte Ressourcen.

  • Angewandte Zugriffsregel.

  • Abgelehnte Versuche.

  • Einem Sachverständigen wurde vorübergehend Zutritt gewährt.

  • Gründe für den Widerruf oder das Erlöschen.

Diese Protokolle sind nützlich für Wartungsverträge, interne Audits, NIS2- oder IEC 62443-Maßnahmen sowie für die Analyse wiederkehrender Störungen.

Sitzungsfreigabe für einen Remote-Experten

Wenn ein Problem über die lokale Ebene hinausgeht, ist es oft notwendig, einen Bauexperten, einen erfahrenen Automatiker oder einen Prozessspezialisten hinzuzuziehen. Ohne Fernzugriff muss dieser Experte vor Ort erscheinen oder das Team „blind“ anleiten.

Mit einem vorübergehenden Zugang:

  • Der Experte erhält einen Zugriff, der auf die Website und die Dauer des Einsatzes beschränkt ist.

  • Der Standort- oder Wartungsleiter kann benachrichtigt werden.

  • Die Aktionen werden protokolliert.

  • Der Zugriff läuft automatisch ab.

  • Das Team vor Ort kann die Diagnose parallel dazu verfolgen.

Mit diesem Modell lassen sich die richtigen Kompetenzen mobilisieren, ohne einen dauerhaften Zugang einzurichten.

Proaktive Warnmeldungen und vorbeugende Wartung

Die Anzahl der Einsätze zu reduzieren bedeutet nicht nur, Probleme aus der Ferne zu lösen. Es gilt auch, Notfälle zu vermeiden. Proaktive Warnmeldungen ermöglichen es, Abweichungen zu erkennen, bevor sie einen sofortigen Einsatz erfordern.

Beispiele für nützliche Benachrichtigungen:

  • Kommunikationsausfall mit einer SPS.

  • Schwacher 4G-Empfang an einem abgelegenen Ort.

  • Temperatur, Vibration oder Stromstärke über einem Schwellenwert.

  • Wiederkehrender Fehler an einem Frequenzumrichter.

  • Ausfall eines Modbus-Geräts.

  • Ungewöhnlicher Neustart eines Gateways.

  • Hohe Netzwerkfehlerrate an einem Switch.

  • Instabile VPN-Verbindung.

Anhand dieser Warnmeldungen lassen sich die entsprechenden Maßnahmen planen: Ferndiagnose, Anpassung, Vorbereitung von Bauteilen, gebündelte Maßnahmen oder gezielte Einsätze.

Berechnung des ROI der industriellen Fernwartung

Der ROI eines Fernzugriffs hängt von der Anzahl der Standorte, der Häufigkeit der Einsätze, den durchschnittlichen Reisekosten, den vermiedenen Ausfallzeiten und der Erfolgsquote bei der Fernbehebung ab. Man sollte pauschale Versprechungen vermeiden und die Berechnungen auf der Grundlage der unternehmensspezifischen Daten durchführen.

Einfache Formel:

gain_annuel = interventions_evitees * cout_moyen_deplacement
+ heures_arret_evitees * cout_horaire_arret
- cout_solution

Beispiel für einzugebende Parameter:

ParameterBeispiel zur Anpassung
Anzahl der Standorte50
Einsätze pro Standort und Jahr6
Fernwartbar30 %
Durchschnittliche Anfahrtskosten450 €
Vermeidbare Ausfallzeit pro Einsatz0,5 h
Kosten pro AusfallstundeJe nach Anlage oder Verfahren
Kosten der LösungAbonnement, Gateway, Bereitstellung

Ein ROI-Dashboard muss zwischen tatsächlich vermiedenen Einsätzen, besser vorbereiteten Einsätzen und Einsätzen, die physisch durchgeführt werden mussten, unterscheiden. Diese Unterscheidung macht die Berechnung glaubwürdig.

Beispiel für ein ROI-Dashboard

IndikatorWas er misst
FernwartungseinsätzeAnzahl der ohne Anfahrt durchgeführten Maßnahmen
Vermeidbare AnfahrtenEinsätze, die eine Anwesen vor Ort erfordert hätten
Besser vorbereitete AnfahrtenVor-Ort-Einsätze mit vorheriger Diagnose
Durchschnittliche DiagnosezeitZeitaufwand zwischen Alarm und Einstufung
Vermeidbare AusfallzeitMit der Produktion abgestimmte Schätzung
Vermeidbare AnfahrtskostenTransport, Bereitschaftsdienst, Zeitaufwand des Technikers
Aktivste StandortePriorisierung von Verbesserungsmaßnahmen
Hinzugezogene ExpertenMessung der temporären Zugriffe
FernbehebungsquoteEffizienz der Fernwartung
Vermeidbare EmissionenSchätzung basierend auf nicht zurückgelegten Strecken

Diese Kennzahlen helfen dabei, die Investition gegenüber der Geschäftsleitung zu begründen, tragen aber auch zur Verbesserung der Instandhaltungsorganisation bei.

Sicherheit: eine unverzichtbare Voraussetzung

Ein schlecht konzipierter industrieller Fernzugriff kann das Cyberrisiko erhöhen. Die Reduzierung von Reisen darf niemals dazu führen, dass eine SPS, eine HMI oder ein RDP direkt im Internet exponiert wird.

Die bewährten Vorgehensweisen lauten wie folgt.

  • Es gibt keine öffentlich zugänglichen OT-Dienste.

  • Persönliche Konten für jeden Techniker.

  • Starke Authentifizierung für den Fernzugriff.

  • Die Rechte sind je nach Standort, Ausrüstung und Dauer begrenzt.

  • Befristete Fenster für Dienstleister.

  • Protokollierung von Verbindungen.

  • Schnelle Sperrung von Zugriffsrechten.

  • Trennung zwischen IT, DMZ und OT.

  • Benachrichtigungen an den Standortleiter.

  • Regelmäßige Überprüfung der Rechte.

Dieser Ansatz steht im Einklang mit den Zero-Trust-Prinzipien und den Anforderungen an die Rückverfolgbarkeit, die in modernen industriellen Umgebungen erwartet werden.

Schrittweise Einführung

Ein Projekt für industriellen Fernzugriff sollte bei den Standorten und Anwendungsfällen ansetzen, die den größten Mehrwert bieten, ohne zu versuchen, sofort alles abzudecken.

SchrittZielErwartetes Ergebnis
BestandsaufnahmeIdentifizierung bestehender Standorte, Steuerungen, Benutzeroberflächen und ZugängeErste Bestandsaufnahme
PilotprojektTest an einigen repräsentativen StandortenTechnische und sicherheitstechnische Validierung
ProfileFestlegung von Berechtigungen nach RolleKontrollierte Zugriffe
ProtokolleAktivierung von Protokollierung und BenachrichtigungenRückverfolgbarkeit
ErweiterungEinsatz nach Region oder MaschinenfamilieSchrittweise Abdeckung
ROIVermeidbare Dienstreisen messenQuantifizierte Rechtfertigung
OptimierungBerechtigungen, Warnmeldungen und Verfahren anpassenNachhaltiger Betrieb

Der Treiber muss die tatsächlichen Fachanwendungen enthalten: TIA Portal, Control Expert, Studio 5000, Web-HMI, Überwachung und Netzwerkdiagnose.

Checkliste vor der Inbetriebnahme

KontrolleFragePriorität
BestandsaufnahmeSind die zugänglichen Geräte aufgelistet?Hoch
BerechtigungenVerfügen die Benutzer über personalisierte Konten?Hoch
MFAIst die starke Authentifizierung aktiviert?Hoch
SegmentierungIst der Zugriff auf die erforderlichen Ressourcen beschränkt?Hoch
ProtokolleWerden die Verbindungen protokolliert?Hoch
BenachrichtigungWird die Website über externe Zugriffe informiert?Mittel
SperrungKann ein Zugriff sofort gesperrt werden?Hoch
GeschäftstestsFunktionieren die Automatisierungsprogramme aus der Ferne?Hoch
VerfahrenSind die aus der Ferne zulässigen Aktionen definiert?Hoch
ROIWerden die vermiedenen Dienstreisen gemessen?Mittel

Diese Checkliste hilft dabei, die Falle eines zu weit gefassten VPNs zu vermeiden, das zwar technisch funktioniert, das OT-Netzwerk jedoch unnötig gefährdet.

Häufige Fehler, die es zu vermeiden gilt

Ein VPN zum gesamten OT-Netzwerk einrichten

Ein allgemeines VPN kann Zugriff auf weitaus mehr Geräte gewähren, als eigentlich erforderlich ist. Die Zugriffsrechte sollten nach Standort, Bereich, Steuerung, Bedienoberfläche und Dauer eingeschränkt werden.

Maßnahmen vor Ort zu früh einstellen

Der Fernzugriff ist ein Werkzeug zur Diagnose und Optimierung. Er ersetzt weder physische Überprüfungen noch Sicherheitsverfahren, Absperrmaßnahmen und mechanische Eingriffe.

Die Zugriffe von Dienstleistern nicht protokollieren

Ein Dienstleister kann zwar effektiv aus der Ferne tätig werden, sein Zugriff muss jedoch namentlich zugeordnet, befristet, eingeschränkt und protokolliert sein.

Fachspezifische Werkzeuge vernachlässigen

Ein Fernzugriff muss mit der tatsächlichen Software getestet werden. Eine einfache Netzwerkverbindung garantiert nicht, dass TIA Portal, Studio 5000 oder eine Web-HMI vor Ort einwandfrei funktionieren.

Die Verstärkung nicht messen

Ohne entsprechende Messungen wird der Fernzugriff weiterhin als rein technischer Komfortfaktor wahrgenommen. Durch die Erfassung der vermiedenen Wege wird er jedoch zu einem wirtschaftlichen und betrieblichen Hebel.

Wie Eziwan die Fahrten vor Ort reduziert

BedarfAntwort von EziwanNutzen
Schnelle FehlerdiagnoseFernzugriff auf SPS, HMI und SCADAKürzere Wartezeiten bis zur Fehlerbehebung
Vermeidung unnötiger FahrtenAbfrage von Alarmen und ZuständenWeniger Dienstreisen
Experten hinzuziehenTemporärer externer ZugriffFachwissen ohne Vor-Ort-Einsatz
Zugriff sichernVPN, MFA, eingeschränkte RechteKeine direkte Gefährdung der OT
Einsätze nachverfolgenZugriffsprotokolleAudit und Wartungsverträge
Notfälle vorbeugenProaktive WarnmeldungenBesser geplante Einsätze
ROI messenDashboard für EinsätzeWirtschaftliche Rechtfertigung
Standortübergreifende BereitstellungEziwan-Gateway und CloudSkalierbare Wartung

Eziwan macht den Fernzugriff zu einem Betriebsinstrument: Diagnose, Sicherheit, Rückverfolgbarkeit, Zusammenarbeit und wirtschaftliche Steuerung.

Fazit

Die Reduzierung von Einsätzen vor Ort durch industriellen Fernzugriff bedeutet nicht, Wartungsarbeiten „um jeden Preis aus der Ferne“ durchzuführen. Es bedeutet vielmehr, Diagnosen schneller zu stellen, die richtigen Fachkräfte einzuschalten, unnötige Fahrten zu vermeiden, Einsätze vor Ort besser vorzubereiten und den Zugang zu OT-Anlagen zu sichern.

Mit einem Eziwan-Gateway, verschlüsselten Tunneln, namentlich zugeordneten Konten, eingeschränkten Zugriffsrechten, Protokollen der Eingriffe, temporären Expertenzugängen und einem ROI-Dashboard können Wartungsteams ihre Dienstreisen deutlich reduzieren und gleichzeitig die Reaktionsfähigkeit verbessern. Für standortübergreifende Anlagenparks, OEMs und Industriebetreiber ist dies ein konkreter Hebel, um Zeit zu sparen, Kosten zu senken und den Betrieb zuverlässiger zu gestalten.

Weiterführende Informationen

Häufig gestellte Fragen

Das könnte Sie auch interessieren