OPC UA für MES: Anbindung, Sicherheit und was Anbieter wirklich unterstützen
OPC UA ist der Standard, über den Fertigungsunternehmen im DACH-Raum ihre Maschinen an ein Manufacturing Execution System (MES) anbinden. Die OPC Foundation hat die erste Fassung 2008 veröffentlicht, seit Oktober 2011 ist der Standard zusätzlich als IEC 62541 international genormt. Im Lastenheft steht deshalb fast immer der Satz, das MES müsse OPC UA unterstützen. Was dieser Satz konkret bedeutet, steht dort selten: welches Profil, welche Companion Specification, welcher Security Mode, wie viele Server gleichzeitig, was bei Verbindungsabriss passiert. Diese Seite schließt genau diese Lücke zwischen Marketingaussage und Spezifikationstext. Sie richtet sich an Produktionsleitung, IT und OT-Architektur in mittelständischen und großen Fertigungsbetrieben, die Maschinendaten für Maschinen- und Betriebsdatenerfassung, OEE-Berechnung und Feinplanung brauchen und vor einer Auswahlentscheidung stehen.
Was OPC UA gegenüber älteren Protokollen
wirklich ändert
Modbus, PROFIBUS oder eine proprietäre Steuerungsschnittstelle transportieren Werte. OPC UA transportiert Werte mit Bedeutung, mit Zugriffsschutz und ohne Bindung an ein Betriebssystem. Drei Eigenschaften machen den praktischen Unterschied in einem MES-Projekt aus, und alle drei wirken sich direkt auf Projektdauer und Betriebskosten aus.
Informationsmodell statt nackter Registerwerte
Bei Modbus liest ein Client das Halteregister 40021 und erhält den Wert 1420. Was 1420 bedeutet, steht in einer Excel-Liste, die der Inbetriebnehmer vor sechs Jahren gepflegt hat. OPC UA kehrt das um: Der Server stellt einen Adressraum bereit, in dem jeder Knoten einen Namen, einen Datentyp, eine physikalische Einheit, einen Zeitstempel und einen Statuscode trägt. Ein Client kann diesen Adressraum durchsuchen, ohne die Maschine vorher zu kennen.
Für das MES-Projekt heißt das: Das Mapping zwischen Maschine und Datenmodell wird prüfbar statt geraten. Ein falsch interpretierter Skalierungsfaktor fällt beim Browsen auf und nicht erst, wenn eine OEE-Kennzahl im Managementbericht unplausibel wird.
- Browsen statt Registerlisten pflegen
- Datentyp, Einheit und Statuscode kommen mit
- Methoden und Ereignisse zusätzlich zu Messwerten
Integriertes Sicherheitsmodell statt nachgerüsteter Tunnel
Ältere Feldprotokolle kennen weder Authentifizierung noch Verschlüsselung. Wer sie über das Firmennetz führen will, baut VPN-Tunnel und Firewall-Regeln drumherum. OPC UA bringt die Mechanismen mit: gegenseitige Authentifizierung der Anwendungen über X.509-Zertifikate, Signierung und Verschlüsselung auf Nachrichtenebene, Benutzerauthentifizierung, rollenbasierte Berechtigungen nach OPC 10000-18 und Auditing nach OPC 10000-4, Abschnitt 6.5.
Das ist der Punkt, an dem OPC UA in einem Projekt an der Grenze zwischen SCADA und MES die Diskussion mit der IT-Sicherheit entschärft. Der Anhang A von OPC 10000-2 enthält eine informative Zuordnung der Mechanismen zu ISA/IEC 62443-4-2, was die Argumentation gegenüber einem Auditor deutlich vereinfacht.
- Sicherheit im Protokoll, nicht daneben
- Zuordnung zu ISA/IEC 62443-4-2 dokumentiert
- Auditierbare Zugriffe statt anonymer Leseoperationen
Plattformunabhängigkeit statt COM- und DCOM-Bindung
OPC Classic, 1996 eingeführt, basiert auf COM und DCOM und ist damit faktisch an Windows gebunden. Jede Server-Client-Verbindung über Rechnergrenzen hinweg wurde zum DCOM-Konfigurationsprojekt. OPC UA läuft nach Angaben der OPC Foundation auf klassischer PC-Hardware, in der Cloud, auf Steuerungen und auf Mikrocontrollern, unter Windows, Linux, macOS und Android.
Praktisch bedeutet das zweierlei: Der Server sitzt heute meist direkt in der Steuerung statt auf einem separaten Windows-Rechner im Schaltschrank, und der MES-Client kann containerisiert betrieben werden. Für Betriebe, die ihr MES in Richtung Industrie 4.0 und hybride Cloud-Architekturen entwickeln, ist das die Voraussetzung.
- Server auf der Steuerung statt im Schaltschrank-PC
- Kein DCOM, keine Windows-Domänenabhängigkeit
- Firewall-freundlich über definierte TCP-Ports
Begriffe nachschlagen: Adressraum, Companion Specification, Subscription, MonitoredItem und weitere Fachbegriffe aus diesem Text sind im MES-Glossar mit 93 Einträgen erklärt. Wer zuerst die Systemabgrenzung braucht, findet sie unter Was ist ein MES.
Client-Server versus PubSub
und was davon ins MES gehört
OPC UA kennt zwei Kommunikationsmuster. Client-Server ist das ursprüngliche, serviceorientierte Modell mit Sitzung, Abonnements und garantierter Zustellung an einen konkreten Client. PubSub wurde in OPC 10000-14 ergänzt und entkoppelt Sender und Empfänger über eine nachrichtenorientierte Zwischenschicht. Beide haben ihren Platz, aber nicht denselben. Die folgende Tabelle vergleicht die Kriterien, die in einem MES-Projekt tatsächlich zu einer Entscheidung führen.
| Kriterium | Client-Server | PubSub (OPC 10000-14) | Empfehlung für die MES-Anbindung |
|---|---|---|---|
| Kommunikationsmuster | Anfrage und Antwort in einer Sitzung. Der Client baut einen SecureChannel auf, erzeugt eine Session und legt Subscriptions mit MonitoredItems an. Jede Benachrichtigung ist an genau einen Client adressiert. | Der Publisher sendet DataSet-Nachrichten an eine nachrichtenorientierte Zwischenschicht, ohne zu wissen, ob und wie viele Subscriber es gibt. Subscriber melden Interesse an Datentypen an. | Client-Server Für die Erfassung pro Maschine, weil das MES gezielt wissen muss, welche Anlage welchen Wert geliefert hat. |
| Latenz | Bestimmt durch Sampling Interval des MonitoredItem und Publishing Interval der Subscription. Werte im Bereich von 100 Millisekunden bis wenigen Sekunden sind der Normalfall in MES-Projekten. | Niedriger, weil kein Sitzungs-Overhead pro Empfänger anfällt. Mit brokerloser Übertragung über OPC UA UDP oder OPC UA Ethernet sind deutlich kürzere Zyklen möglich. | Beide Für MDE, BDE und OEE reicht Client-Server. PubSub lohnt erst, wenn Zykluszeiten unter 100 Millisekunden gefordert sind. |
| Skalierung bei vielen Clients | Jeder zusätzliche Client erzeugt eine eigene Session und eigene Subscriptions auf dem Server. Bei Steuerungen mit begrenzten Ressourcen ist die Zahl gleichzeitiger Sessions ein hartes Limit. | Auf viele Empfänger ausgelegt. Der Publisher sendet einmal, unabhängig davon, ob ein oder fünfzig Subscriber mitlesen. Die Serverlast bleibt konstant. | PubSub Sobald MES, Instandhaltungssystem, Energiemonitoring und Data Lake dieselben Werte brauchen. |
| Netzwerklast | Steigt linear mit der Zahl der Clients, weil jede Benachrichtigung einzeln zugestellt wird. Zusätzlich Overhead durch Keep-Alive und Publish-Requests. | Bleibt bei brokerloser Übertragung weitgehend konstant, weil eine Nachricht per Multicast oder Broadcast alle Empfänger erreicht. Bei Brokerbetrieb verlagert sich die Last auf den Broker. | PubSub Bei mehreren Konsumenten derselben Daten. Sonst ist Client-Server im Netzbudget unauffällig. |
| Verhalten bei Verbindungsabriss | Die Subscription bleibt serverseitig eine definierte Lifetime bestehen. Der Client kann sie über Republish nachladen oder über TransferSubscriptions übernehmen. Durable Subscriptions nach OPC 10000-4, Abschnitt 6.8, verlängern die Pufferung. | Ohne Broker ist eine verpasste Nachricht verloren, weil der Publisher keine Empfängerliste führt. Mit Broker hängt es an dessen Quality of Service und Persistenz. | Client-Server Für lückenlose Betriebsdaten. Nachlieferung ist ein Muss-Kriterium im Lastenheft. |
| Transportprotokolle | OPC UA TCP als binärer Transport, zusätzlich HTTPS und WebSockets. Ein definierter TCP-Port, damit firewallfreundlich. | Brokerlos über OPC UA UDP und OPC UA Ethernet, brokerbasiert über MQTT und AMQP. Nutzlast als UADP binär oder als JSON. | Client-Server Ein Port, eine Regel, ein Ansprechpartner in der IT. PubSub über MQTT erst mit Broker-Betriebskonzept. |
| Sicherheitsmodell | SecureChannel mit Message Security Mode None, Sign oder SignAndEncrypt, gegenseitige Zertifikatsprüfung, Benutzeridentität pro Session, Auditing pro Aktion. | SecurityPolicy hängt am veröffentlichten DataSet, alle Subscriber nutzen dieselbe Policy. Schlüssel werden über einen Security Key Service verteilt, eine Benutzeridentität pro Empfänger gibt es nicht. | Client-Server Wenn Nachvollziehbarkeit auf Benutzerebene gefordert ist, etwa bei validierten Prozessen. |
| Schreibender Zugriff und Methoden | Vollständig unterstützt. Das MES kann Auftragsdaten schreiben, Rezepte übergeben und Methoden auf der Steuerung aufrufen. | Auf die Verteilung von Daten ausgelegt. Für Rückschreiben und Methodenaufrufe ist Client-Server vorgesehen. | Client-Server Zwingend, sobald das MES Aufträge oder Parametersätze an die Maschine übergibt. |
| Diagnose und Fehlersuche | Statuscodes je Wert, Session- und Subscription-Diagnosen im Adressraum, Verbindungszustand direkt sichtbar. Ein abgerissener Client fällt sofort auf. | Fehlersuche verteilt sich auf Publisher, Zwischenschicht und Subscriber. Ohne Broker gibt es keine zentrale Stelle, an der man fehlende Nachrichten sieht. | Client-Server Deutlich einfacher im laufenden Betrieb, gerade bei gemischten Maschinenparks. |
| Typischer Einsatz im MES-Kontext | Maschinen- und Betriebsdatenerfassung, Zustands- und Störungserfassung, Auftragsrückmeldung, Rückschreiben von Sollwerten, Qualitätsdaten je Los. | Hochfrequente Zustandsdaten für Condition Monitoring, Verteilung derselben Werte an mehrere Systeme, Weitergabe an Cloud-Plattformen über MQTT. | Client-Server als Basis, PubSub als Ergänzung für Analytics-Strecken. Nicht als Ersatz planen. |
Praxishinweis: In MES-Auswahlprojekten von Sectorlens seit 2022 hat PubSub in keinem Fall die Client-Server-Anbindung ersetzt. Es kam dort hinzu, wo dieselben Rohdaten zusätzlich in eine Analyseplattform fließen sollten. Wer PubSub im Lastenheft fordert, sollte begründen können, welcher konkrete Anwendungsfall damit abgedeckt wird. Andernfalls entsteht ein Ausschlusskriterium, das gute Anbieter aussortiert, ohne dass jemand davon profitiert.
Wo die Semantik herkommt,
die Ihr MES nicht selbst erfinden muss
Der Kernnutzen in einem Satz: Ohne Companion Specification muss jedes Maschinenmodell einzeln gemappt werden, mit ihr ist die Semantik vorgegeben. Eine Companion Specification legt fest, welche Objekte, Variablen und Methoden ein Maschinentyp im Adressraum bereitstellt und wie sie heißen. Zwei Werkzeugmaschinen unterschiedlicher Hersteller liefern dann denselben Knoten für dieselbe Größe, und der MES-Client kann beide ohne projektspezifisches Mapping lesen. Die OPC Foundation verweist auf über 150 marktspezifische Companion Specifications. Die folgende Auswahl ist auf opcfoundation.org belegbar und im Fertigungs- und Maschinenbaukontext relevant.
| Spezifikation | Anwendungsbereich | Was sie standardisiert | Relevanz für das MES |
|---|---|---|---|
| OPC 40001-1 OPC UA for Machinery, Part 1: Basic Building Blocks |
Maschinenbau übergreifend, Basisspezifikation für alle Maschinentypen | Maschinen- und Komponentenidentifikation sowie das Auffinden aller Maschinen in einem Server. Erste Fassung laut umati im September 2020 veröffentlicht, aktuell in Version 1.04.1. | Das Fundament. Wenn ein MES-Client diese Bausteine liest, kann er Maschinen automatisch inventarisieren statt sie einzeln zu konfigurieren. |
| OPC 40001-3 OPC UA for Machinery, Part 3: Job Management |
Maschinenbau übergreifend, Auftragsübergabe an die Anlage | Ein einheitliches Modell für Aufträge an einer Maschine, unabhängig vom Maschinentyp. | Direkt relevant, sobald das MES nicht nur liest, sondern Fertigungsaufträge an die Maschine übergibt und Rückmeldungen erwartet. |
| OPC 40001-101 OPC UA for Machinery, Part 101: Result Transfer |
Maschinenbau übergreifend, Ergebnis- und Messdatenübertragung | Ein generisches Modell für die Übertragung von Ergebnissen und Messwerten aus einem Bearbeitungsvorgang. | Der Anknüpfungspunkt für Qualitätsdaten im MES, weil Messergebnisse strukturiert statt als Dateiablage ankommen. |
| OPC 40501-1 OPC UA for Machine Tools, Part 1: Machine Monitoring and Job Management |
Werkzeugmaschinen, spanende Fertigung | Maschinenüberwachung und Auftragsverwaltung für Werkzeugmaschinen, aktuell in Version 1.02.0. | Die zentrale Spezifikation für Zerspanungsbetriebe und den Maschinen- und Anlagenbau. Liefert Betriebszustände und Auftragsbezug ohne Einzelmapping. |
| OPC 40502 OPC UA for Computerized Numerical Control (CNC) Systems |
CNC-Steuerungen | Ein Informationsmodell für CNC-Systeme unterhalb der Maschinenebene, etwa Achsen, Kanäle und Spindeln. | Relevant, wenn das MES nicht nur den Maschinenzustand, sondern Achs- und Spindeldaten für Zustandsüberwachung braucht. |
| OPC 40010-1 OPC UA for Robotics, Part 1: Vertical Integration |
Industrieroboter | Die vertikale Integration von Robotern in übergeordnete Systeme, aktuell in Version 1.02. | Ermöglicht, Roboterzellen im MES als Betriebsmittel mit Zustand und Auslastung zu führen und nicht als blinden Fleck in der OEE. |
| OPC 40077 OPC UA interfaces for plastics and rubber machinery: Data exchange between injection moulding machines and MES |
Spritzgießmaschinen, Kunststoffverarbeitung | Der Datenaustausch zwischen Spritzgießmaschine und MES. Diese Spezifikation nennt das MES ausdrücklich im Titel. | Der Referenzfall schlechthin. Wer in der Kunststoffverarbeitung ein MES auswählt, sollte diese Nummer im Lastenheft stehen haben. |
| OPC 40083 OPC UA for Plastics and Rubber Machinery: General Type Definitions |
Kunststoff- und Kautschukmaschinen übergreifend | Allgemeine Typdefinitionen, auf denen die spezifischeren Teile für Extrusion, Peripherie und Spritzguss aufbauen. | Wichtig zu kennen, weil ein Hersteller die allgemeinen Typen umsetzen kann, ohne den maschinenspezifischen Teil vollständig zu implementieren. |
| OPC 40100-1 OPC UA for Machine Vision, Part 1 |
Bildverarbeitungssysteme in der Fertigung | Steuerung, Konfigurationsverwaltung, Rezeptverwaltung und Ergebnisverwaltung von Machine-Vision-Systemen. | Verbindet die optische Prüfung mit dem MES, sodass Prüfergebnisse dem Auftrag und dem Bauteil zugeordnet werden können. |
| OPC 40451-1 OPC UA for Tightening Systems, Part 1: General |
Schraubsysteme, Montagetechnik | Ein Informationsmodell für Schraubsysteme, aktuell in Version 2.00.1. Ergänzt wird es durch OPC 40450-1 für Fügesysteme allgemein. | In der Montage und im Automotive-Umfeld die Grundlage für die lückenlose Dokumentation sicherheitsrelevanter Verschraubungen. |
| OPC 40503-1 OPC UA for Metal Forming, Part 1: General |
Umformtechnik, Pressen | Ein allgemeines Informationsmodell für umformende Maschinen. | Relevant für die Metallverarbeitung, wo Hubzahlen, Werkzeugstandzeiten und Störungsgründe bislang meist proprietär abgegriffen wurden. |
| OPC 40550-1 OPC UA for Woodworking Machines, Part 1: Vertical Interface |
Holzbearbeitungsmaschinen | Die vertikale Schnittstelle von Holzbearbeitungsmaschinen zu übergeordneten Systemen, aktuell in Version 1.02.0. | Für die Möbel- und Holzverarbeitung der Weg von der Insellösung je Anlage zu einer einheitlichen Maschinenanbindung. |
| OPC 30050 OPC UA for PackML |
Verpackungsmaschinen und Linien | Die Abbildung des PackML-Zustandsmodells nach ISA-TR88 auf OPC UA, also Betriebsarten und Maschinenzustände. | Standardisiert genau die Zustände, aus denen ein MES Verfügbarkeit und Störungsgründe berechnet. Wichtig in der Lebensmittel- und Getränkeindustrie. |
| OPC 10031-4 OPC UA for ISA-95, Part 4: Job Control |
Schnittstelle zwischen Fertigungsebene und Planungsebene | Die Auftragssteuerung nach ISA-95 als OPC-UA-Modell, aktuell in Version 2.00.0. Ergänzt durch OPC 10030, das ISA-95-Objektmodell. | Der Brückenkopf zwischen MES und ERP. Wer die Integration zu SAP plant, sollte prüfen, ob der Anbieter dieses Modell kennt. |
| OPC 10000-100 OPC Unified Architecture, Part 100: Devices |
Geräte und Komponenten unterhalb der Maschine | Das Device-Information-Model als gemeinsame Basis für Gerätetypen, Parameter und Diagnose, aktuell in Version 1.05.0. | Grundlage für Instandhaltungsdaten im MES, weil Komponenten mit Seriennummer und Zustand erkennbar werden. |
| OPC 30010 OPC UA for AutoID Devices |
Identifikationssysteme, RFID, Barcode, optische Leser | Ein einheitliches Modell für Identifikationsgeräte und deren Lesevorgänge. | Relevant überall dort, wo Werkstückträger, Chargen oder Bauteile am Arbeitsplatz identifiziert und im MES verbucht werden. |
Was diese Tabelle nicht sagt: Eine gelistete Companion Specification bedeutet nicht, dass Ihre Maschine sie umsetzt. Die Spezifikation beschreibt, wie das Modell aussehen müsste, nicht was der Hersteller tatsächlich gebaut hat. Die Prüffrage lautet deshalb nicht, ob eine Companion Specification unterstützt wird, sondern welche Version, welche optionalen Teile und mit welchem Nachweis. Die vollständige, gepflegte Liste steht in der Dokumentendatenbank der OPC Foundation unter opcfoundation.org und in der Online-Referenz unter reference.opcfoundation.org.
Sechs Irrtümer über OPC UA
in MES-Projekten
Diese sechs Annahmen tauchen in Auswahlprojekten regelmäßig auf. Keine davon ist böswillig, alle sind nachvollziehbar, und jede einzelne kostet Zeit, wenn sie erst im Rollout auffällt. Je Karte steht der Irrtum, die Realität nach Spezifikation und die Konsequenz für die Projektplanung.
OPC UA ist automatisch echtzeitfähig
Realität: Client-Server über OPC UA TCP kennt keine garantierte Zustellzeit. Die tatsächliche Latenz ergibt sich aus Sampling Interval, Publishing Interval, Netzweg und Serverlast. Harte Echtzeit adressieren erst die UAFX-Teile OPC 10000-80 bis 10000-84 und PubSub über Ethernet mit Time-Sensitive Networking, und das setzt entsprechende Hardware voraus.
Konsequenz: Schreiben Sie keine Millisekundenwerte ins Lastenheft, die Sie nicht messen können. Definieren Sie stattdessen, welche Abtastrate je Datenpunkt gefordert ist und welche Lücke akzeptabel bleibt.
Planungsrisiko: mittelJede Maschine mit OPC-UA-Server liefert dieselben Daten
Realität: Der Standard schreibt vor, wie ein Adressraum aufgebaut ist, nicht was darin steht. Ohne Companion Specification entscheidet der Hersteller frei über Namen, Struktur und Umfang. Zwei baugleiche Anlagen mit unterschiedlichem Steuerungsstand können unterschiedliche Knoten anbieten.
Konsequenz: Der Adressraum jeder Maschinenfamilie gehört vor der Aufwandsschätzung gebrowst und dokumentiert. Eine Aufwandsangabe pro Maschine ohne diesen Schritt ist eine Schätzung ohne Grundlage.
Planungsrisiko: hochOPC UA ist von Haus aus sicher konfiguriert
Realität: Der Standard stellt Mechanismen bereit, keine Voreinstellung. OPC 10000-4 listet den Message Security Mode None ausdrücklich als gültigen Wert, und viele Server werden mit aktiviertem anonymem Zugriff ausgeliefert, damit die Inbetriebnahme schnell geht. OPC 10000-2 weist ausdrücklich darauf hin, dass die Auswahl erlaubter Security Policies eine Administratorentscheidung ist.
Konsequenz: Ein Härtungsschritt je Server gehört als eigene Position in den Projektplan, nicht als Nebenaufgabe der Inbetriebnahme.
Planungsrisiko: hochEin Gateway ersetzt einen fehlenden Server
Realität: Ein Gateway erzeugt eine OPC-UA-Schnittstelle über einer Quelle, die diese Semantik nie hatte. Es übersetzt Modbus-Register oder S7-Datenbausteine in Knoten, aber es erfindet keine Bedeutung, keinen Statuscode und keinen Zeitstempel aus der Steuerung. Auch die Abtastrate bleibt durch das darunterliegende Protokoll begrenzt.
Konsequenz: Gateway-Anbindungen brauchen ein eigenes Mapping-Dokument und eine eigene Aufwandszeile. Behandeln Sie sie in der Planung nicht wie native Server.
Planungsrisiko: mittelCompanion Specification heißt vollständig umgesetzt
Realität: Companion Specifications enthalten verpflichtende und optionale Teile. Ein Hersteller kann korrekt angeben, die Spezifikation zu unterstützen, und dabei nur den Pflichtteil implementiert haben. Hinzu kommen Versionsstände: OPC 40001-1 liegt in Version 1.04.1 vor, ältere Implementierungen können auf einer früheren Fassung stehen.
Konsequenz: Fragen Sie nach Version, nach der Liste der umgesetzten optionalen Teile und nach einem Nachweis, etwa einer Zertifizierung im Rahmen des OPC-Foundation-Programms oder einem Plugfest-Ergebnis.
Planungsrisiko: hochOPC UA löst das Zeitstempelproblem
Realität: OPC UA unterscheidet in OPC 10000-4 zwischen SourceTimestamp, also dem Zeitpunkt aus der Datenquelle, und ServerTimestamp, dem Zeitpunkt der Verarbeitung im Server. Liefert ein Server keinen echten SourceTimestamp, entsteht ein Versatz, den kein MES nachträglich korrigieren kann. Ohne synchronisierte Uhren über NTP oder PTP driften die Zeitbasen ohnehin auseinander.
Konsequenz: Zeitsynchronisation ist ein eigener Projektschritt vor der ersten Anbindung. Störungsdauern, Schichtgrenzen und OEE hängen daran.
Planungsrisiko: hochOPC-UA-Sicherheit richtig konfigurieren,
bevor das MES produktiv geht
Das Sicherheitsmodell steht in OPC 10000-2 und ist vollständig. Was fehlt, ist die Konfiguration. Die folgenden zehn Punkte sind der Mindestumfang, den Sectorlens in MES-Auswahlprojekten seit 2022 als Prüfliste einsetzt. Jeder Punkt lässt sich am konkreten Server nachweisen oder widerlegen, und genau so sollte er auch abgenommen werden. Wer eine bestehende SCADA-Landschaft durch ein MES ergänzt oder ablöst, arbeitet diese Liste je Anlage einmal durch.
Security Policy und Message Security Mode festlegen
Der Message Security Mode kennt laut OPC 10000-4, Tabelle 139, die Werte None, Sign und SignAndEncrypt. Produktiv gehört SignAndEncrypt eingestellt, Sign nur dort, wo Vertraulichkeit nachweislich nicht gefordert ist. Die Security Policy bestimmt die verwendeten Algorithmen für Signatur, Verschlüsselung und Schlüsselableitung. Wählen Sie die aktuellste Policy, die Server und Client gemeinsam beherrschen, und dokumentieren Sie die Entscheidung. OPC 10000-2 weist ausdrücklich darauf hin, dass die Auswahl regelmäßig überprüft werden muss, weil Algorithmen altern.
Zertifikatsverwaltung und Trust List klären
Jede OPC-UA-Anwendung besitzt ein Application Instance Certificate. Server und Client prüfen sich gegenseitig gegen ihre Trust List. Entscheiden Sie vor der ersten Anbindung, ob Sie mit selbstsignierten Zertifikaten arbeiten, mit einer eigenen Zertifizierungsstelle oder mit einem Global Discovery Server nach OPC 10000-12. Ohne diese Entscheidung landen bei jeder Inbetriebnahme neue Zertifikate manuell in Verzeichnissen, und niemand weiß nach zwei Jahren, welche davon noch gültig sind.
Anonymen Zugriff abschalten
Der AnonymousIdentityToken nach OPC 10000-4, Abschnitt 7.40.3, erlaubt Verbindungen ohne Benutzeridentität. Viele Server liefern ihn aktiviert aus, damit die erste Verbindung ohne Konfiguration klappt. Für den Produktivbetrieb gehört er deaktiviert, sonst ist jede Aktion im Auditprotokoll anonym und die rollenbasierte Berechtigung wirkungslos. Nutzen Sie stattdessen UserName-, X509- oder ausgestellte Tokens.
Rollen und Berechtigungen sauber schneiden
OPC 10000-18 definiert rollenbasierte Sicherheit mit Rollen, die auf Knotenebene Leserechte, Schreibrechte und Methodenaufrufe steuern. Der MES-Client braucht in fast allen Fällen nur Leserechte auf einen definierten Teilbaum und Schreibrechte auf wenige Knoten. Vergeben Sie kein Administratorkonto an das MES. OPC 10000-2 formuliert das Prinzip der geringsten Rechte in Abschnitt 6.17 explizit.
Netzsegmentierung zwischen OT und IT nach IEC 62443
Der MES-Client sitzt in der Regel in der IT, die Server sitzen in der OT. Zwischen beiden gehört eine dokumentierte Zonengrenze mit definierten Conduits im Sinne der IEC-62443-Reihe. Anhang A von OPC 10000-2 enthält eine informative Zuordnung der OPC-UA-Mechanismen zu ISA/IEC 62443-4-2. Diese Zuordnung ist die kürzeste Argumentationshilfe gegenüber einer internen Revision oder einem externen Auditor.
Firewall-Regeln und Ports auf das Nötige begrenzen
OPC UA TCP ist firewallfreundlich, weil es einen einzigen konfigurierbaren Port nutzt und keine dynamischen Portbereiche wie DCOM. Nutzen Sie das: eine Regel je Server, gerichtet vom MES-Client zum Server, keine offene Gegenrichtung. Prüfen Sie zusätzlich, ob Multicast-Discovery im Produktivnetz aktiv sein muss. OPC 10000-2 behandelt Discovery in Abschnitt 7 ausdrücklich als ungesicherten Dienst.
Auditing aktivieren und die Protokolle auch auswerten
OPC 10000-4 beschreibt in Abschnitt 6.5 Auditprotokolle und Audit-Events für Discovery, SecureChannel, Session, Attributzugriffe und Methodenaufrufe. Ein Server kann Auditing unterstützen, ohne dass es eingeschaltet ist. Aktivieren Sie es, leiten Sie die Ereignisse in Ihr zentrales Logging weiter und definieren Sie mindestens einen Alarm, etwa auf wiederholt fehlgeschlagene Anmeldeversuche.
Zertifikatsablauf und Erneuerung vorab regeln
Zertifikate haben eine Laufzeit. Läuft eines ab, bricht die Verbindung ohne Vorwarnung, und die Maschine liefert keine Daten mehr an das MES. Legen Sie fest, wer die Restlaufzeit überwacht, mit welchem Vorlauf erneuert wird und wer im Störfall Zugriff auf die Steuerung hat. Nach Erfahrungswerten von Sectorlens aus Auswahlprojekten seit 2022 ist der abgelaufene Zertifikatsablauf die häufigste vermeidbare Ursache für Datenlücken im zweiten Betriebsjahr.
Umgang mit selbstsignierten Zertifikaten festlegen
OPC 10000-2 behandelt selbstsignierte Zertifikate in Abschnitt 9.2 als gültige Variante, allerdings mit erheblichem Verwaltungsaufwand: Jedes Zertifikat muss auf jeder Gegenstelle einzeln vertraut werden. Bei zehn Maschinen ist das machbar, bei zweihundert nicht. Ab welcher Anlagenzahl Sie auf eine Zertifizierungsstelle wechseln, ist eine Entscheidung, die vor dem Rollout fällt und nicht danach.
Server härten und Ressourcengrenzen setzen
OPC 10000-2 nennt in Kapitel 6 konkrete Maßnahmen: angemessene Timeouts, strikte Nachrichtenprüfung, Ratenbegrenzung und Flusskontrolle, kontrollierter administrativer Zugriff. Setzen Sie serverseitig eine Obergrenze für gleichzeitige Sessions und Subscriptions, damit ein fehlkonfigurierter Client die Steuerung nicht in die Ressourcenerschöpfung treibt. Deaktivieren Sie nicht benötigte Endpunkte und Transportvarianten.
Abnahmefähig formulieren: Jeder dieser zehn Punkte lässt sich als Abnahmekriterium schreiben, das ein Prüfer mit einem generischen OPC-UA-Client verifizieren kann. Beispiel: Der Endpunkt mit Message Security Mode None ist am Server nicht mehr verfügbar, ein Verbindungsversuch mit AnonymousIdentityToken wird abgewiesen, und der Versuch erscheint im Auditprotokoll. Formulierungen wie Sicherheit nach Stand der Technik sind nicht abnahmefähig und führen im Streitfall zu nichts.
OPC-UA-Anbindung im MES-Projekt
in sechs Schritten
Der Ablauf ist in jedem Projekt derselbe, unabhängig von Branche und Anbieter. Was sich unterscheidet, ist die Dauer, und die hängt fast vollständig an der Heterogenität des Maschinenparks. Die angegebenen Zeitspannen sind Erfahrungswerte von Sectorlens aus MES-Auswahl- und Einführungsprojekten seit 2022 für einen Standort mit 30 bis 150 Maschinen. Wer den Gesamtrahmen der Einführung sucht, findet ihn unter MES einführen: Phasen, Rollen und Erfolgsfaktoren.
Bestandsaufnahme: Welche Maschine hat einen Server
Jede Maschine einzeln erfassen: Steuerungstyp, Firmwarestand, ob ein OPC-UA-Server vorhanden ist, ob er lizenziert werden muss und welches Profil er erfüllt. Ergebnis ist eine Liste mit drei Kategorien: nativ anbindbar, per Gateway anbindbar, nicht anbindbar. Ohne diese Liste ist jede Aufwandsschätzung geraten.
Address Space und Namenskonvention festlegen
Vor der ersten Anbindung festlegen, wie Maschinen, Komponenten und Variablen benannt werden und welche Companion Specification gilt. Ohne diese Festlegung entsteht bei jeder Maschine ein neues Namensschema, das später manuell zusammengeführt werden muss. Der Aufwand dafür steigt mit jeder zusätzlich angebundenen Anlage.
Zeitsynchronisation sicherstellen
Alle Steuerungen, Gateways und MES-Server auf eine gemeinsame Zeitquelle über NTP oder PTP synchronisieren und prüfen, ob der Server einen SourceTimestamp aus der Steuerung liefert oder nur einen ServerTimestamp. Ohne diesen Schritt sind Schichtgrenzen, Störungsdauern und OEE-Werte nicht belastbar.
Security-Konzept und Zertifikate
Message Security Mode, Security Policy, Zertifikatsquelle und Trust-List-Prozess festlegen, anonymen Zugriff abschalten und die Netzsegmentierung zwischen OT und IT nach IEC 62443 dokumentieren. Der Prozess für Ablauf und Erneuerung von Zertifikaten wird hier definiert, nicht erst beim ersten Ausfall.
Pilotanbindung mit Lastmessung
Zwei bis drei repräsentative Maschinen anbinden und über mindestens eine volle Produktionswoche messen: Datenvollständigkeit, Latenz, Netzlast, Verhalten bei gewolltem Verbindungsabriss und Verhalten beim Steuerungsneustart. Erst diese Messung liefert die Grundlage für die Hochrechnung auf den gesamten Maschinenpark.
Rollout und Monitoring
Die restlichen Maschinen in Wellen anbinden und parallel ein Monitoring aufbauen, das Verbindungsabbrüche, Zertifikatsrestlaufzeiten, Statuscodes und Lücken in den Zeitreihen sichtbar macht. Eine Anbindung ohne Überwachung fällt erst dann auf, wenn eine Kennzahl im Managementbericht falsch ist.
Was den Zeitplan tatsächlich sprengt: Nicht die Technik, sondern die Beschaffung. Fehlende Serverlizenzen für Steuerungen, nicht verfügbare Firmwarestände und Wartungsfenster für Steuerungsupdates sind in Projekten von Sectorlens seit 2022 die häufigsten Ursachen für Verzögerungen im Rollout. Klären Sie Schritt 1 deshalb vollständig, bevor Sie einen Endtermin zusagen. Die Kostenseite dieser Punkte ist unter MES-Kosten aufgeschlüsselt.
Zwölf Fragen an Maschinen-
und MES-Anbieter
Sechs Fragen gehen an den Maschinenhersteller, sechs an den MES-Anbieter. Alle zwölf sind so formuliert, dass eine ausweichende Antwort auffällt. Nehmen Sie diese Liste in die Ausschreibung auf, verlangen Sie schriftliche Antworten und gleichen Sie sie später gegen die Pilotanbindung ab. Wer den Auswahlprozess insgesamt strukturieren will, findet das Vorgehen unter MES auswählen und die Marktübersicht im Anbietervergleich DACH.
Gibt es einen nativen OPC-UA-Server in der Steuerung, oder wird ein zusätzliches Gerät benötigt?
An den Maschinenhersteller. Nativ heißt: Der Server läuft in der Steuerung selbst und liefert Werte mit dem Zeitstempel der Quelle. Ein vorgeschaltetes Modul ist etwas anderes und gehört als eigene Position mit eigener Wartung geführt. Eine gute Antwort nennt Steuerungstyp, Firmwarestand und die Aussage, ob der Server im Auslieferungszustand aktiv ist.
Welches OPC-UA-Profil erfüllt der Server, und ist das Produkt zertifiziert?
An den Maschinenhersteller. Profile sind in OPC 10000-7 definiert und in der Profildatenbank der OPC Foundation gepflegt. Sie bestimmen, welche Funktionen tatsächlich verfügbar sind, etwa ob Methoden, Ereignisse oder historischer Zugriff unterstützt werden. Eine gute Antwort nennt das Profil beim Namen und verweist auf einen Zertifizierungsnachweis oder erklärt nachvollziehbar, warum keiner vorliegt.
Welche Companion Specification ist umgesetzt, in welcher Version und mit welchen optionalen Teilen?
An den Maschinenhersteller. Diese Frage trennt die belastbaren Angaben von den Marketingaussagen. Companion Specifications haben Pflicht- und Kürteile, und die Versionsstände unterscheiden sich. Eine gute Antwort lautet etwa: OPC 40501-1 in Version 1.02.0, verpflichtende Teile vollständig, Job Management nicht implementiert. Eine schlechte Antwort lautet: Ja, wir unterstützen umati.
Welche Datenpunkte stehen im Address Space, und bekommen wir die Liste vor der Bestellung?
An den Maschinenhersteller. Verlangen Sie eine exportierte Knotenliste oder eine NodeSet-Datei, nicht eine Beschreibung im Angebotstext. Prüfen Sie darin konkret: Betriebszustand, Störungscode mit Klartext, Stückzähler, Auftragsbezug, Rüstzustand. Fehlt der Störungscode im Klartext, wird Ihre Betriebsdatenerfassung später über eine manuell gepflegte Übersetzungstabelle laufen.
Welche Abtastrate liefert der Server je Datenpunkt, und was passiert bei hoher Steuerungslast?
An den Maschinenhersteller. Ein Server kann ein Sampling Interval von 100 Millisekunden akzeptieren und trotzdem nur alle zwei Sekunden einen neuen Wert liefern, wenn die Steuerung ausgelastet ist. Fragen Sie nach der zugesicherten Rate bei voller Zykluslast und danach, wie viele Variablen gleichzeitig in dieser Rate überwacht werden können.
Was kostet der OPC-UA-Server, und ist er an eine Lizenzstufe oder Stückzahl gebunden?
An den Maschinenhersteller. Bei mehreren Steuerungsherstellern ist der Server eine kostenpflichtige Option oder an eine Lizenzklasse gekoppelt, teils gestaffelt nach Zahl der Datenpunkte oder gleichzeitiger Verbindungen. Diese Kosten fallen je Maschine an und summieren sich über den Maschinenpark. Lassen Sie sich die Position im Angebot ausweisen, statt sie im Gesamtpreis untergehen zu lassen.
Ist der OPC-UA-Client Eigenentwicklung oder zugekaufte Komponente, und wer patcht ihn?
An den MES-Anbieter. Beides ist legitim, aber die Antwort bestimmt, wie schnell Sicherheitslücken geschlossen werden und wer bei Interoperabilitätsproblemen haftet. Fragen Sie nach dem eingesetzten Stack, nach dem Update-Zyklus und danach, wie mit Sicherheitshinweisen der OPC Foundation umgegangen wird.
Wie viele OPC-UA-Server kann eine Installation gleichzeitig anbinden, und wo liegt die getestete Grenze?
An den MES-Anbieter. Gefragt ist keine theoretische Zahl, sondern die größte produktiv laufende Installation mit Angabe der Datenpunktzahl und der Abtastrate. Fragen Sie außerdem, ob die Anbindung horizontal auf mehrere Konnektoren verteilt werden kann, wenn der Maschinenpark wächst. MPDV Mikrolab GmbH, MES-Hersteller aus Mosbach mit 530 Mitarbeitenden und über 45 Jahren Projekterfahrung, beziffert die realisierten Maschinenanbindungen auf 135.000 (Herstellerangabe, Stand 2026). Vergleichbare Zahlen sollten Sie von jedem Anbieter einfordern.
Was passiert bei einem Verbindungsabriss, und werden fehlende Werte nachgeliefert?
An den MES-Anbieter. OPC UA sieht Republish und TransferSubscriptions vor, und OPC 10000-4 kennt in Abschnitt 6.8 Durable Subscriptions für längere Pufferung. Nutzt der Client diese Mechanismen? Puffert er zusätzlich clientseitig? Über wie lange Ausfälle? Ohne Nachlieferung entsteht bei jedem Netzwerkwartungsfenster eine Lücke in Ihrer OEE-Berechnung, die niemand nachträglich schließen kann.
Wie werden Zertifikate im laufenden Betrieb verwaltet, und gibt es dafür eine Oberfläche?
An den MES-Anbieter. Bei fünf Maschinen reicht ein Dateiverzeichnis, bei zweihundert nicht. Fragen Sie, ob das MES Trust Lists zentral verwaltet, ob es ablaufende Zertifikate meldet, ob es mit einem Global Discovery Server nach OPC 10000-12 zusammenarbeitet und wer den Erneuerungsprozess im Betrieb ausführt.
Wie werden die OPC-UA-Verbindungen überwacht, und was sieht der Anwender davon?
An den MES-Anbieter. Verlangen Sie eine Sicht, in der je Maschine Verbindungsstatus, letzter empfangener Wert, Statuscode und Datenlücken sichtbar sind. Fragen Sie, ob es Alarme gibt und wohin sie gehen. Ohne diese Sicht merkt niemand, dass eine Maschine seit drei Tagen keine Daten liefert, bis die Auswertung im Führungskreis auffällt.
Gibt es eine Referenz mit derselben Steuerungsplattform und derselben Companion Specification?
An den MES-Anbieter. Eine allgemeine Referenzliste sagt wenig. Gefragt ist ein Kunde mit demselben Steuerungshersteller, derselben Steuerungsgeneration und derselben Companion Specification, mit dem Sie sprechen dürfen. Fragen Sie in diesem Gespräch nach der tatsächlichen Dauer der ersten Anbindung und nach der Zahl der Nacharbeiten am Mapping.
Wie Sie die Antworten verwenden: Tragen Sie die zwölf Antworten je Anbieter in eine Matrix ein und gewichten Sie sie. In MES-Auswahlprojekten von Sectorlens seit 2022 hat sich gezeigt, dass die Fragen 3, 4 und 9 die höchste Trennschärfe haben. Sie sind gleichzeitig die drei, die im Standardangebot am seltensten beantwortet werden. Wer hier präzise antwortet, hat das Thema wirklich durchdrungen.
Was tun mit Maschinen,
die kein OPC UA sprechen
In jedem gewachsenen Maschinenpark im DACH-Raum gibt es Anlagen aus den 1990er und frühen 2000er Jahren, die keinen OPC-UA-Server haben und keinen bekommen werden. Sie fallen deshalb nicht aus der Fertigungssteuerung heraus, sie brauchen nur einen anderen Weg. Drei Wege sind praxistauglich, und die Entscheidung zwischen ihnen ist eine Kosten- und Datenqualitätsfrage, keine technische Glaubensfrage.
Gateway zwischen Altprotokoll und OPC UA
Ein Gateway liest die Maschine über ihr vorhandenes Protokoll aus, etwa Modbus TCP, PROFIBUS über einen Koppler, das S7-Protokoll oder eine Dateischnittstelle, und stellt die Werte als OPC-UA-Adressraum bereit. Für das MES sieht die Anlage danach aus wie jede andere.
Aufwand: Nach Erfahrungswerten von Sectorlens aus Auswahlprojekten seit 2022 drei bis zehn Personentage je Maschinentyp, überwiegend für das Mapping und die Verifikation der Werte. Baugleiche Maschinen danach deutlich schneller. Hinzu kommen Hardwarekosten je Anlage und ein zusätzliches Gerät in der Wartungsliste.
Grenzen: Das Gateway kann keine Semantik erfinden. Wenn die Steuerung keinen Störungscode im Klartext liefert, liefert ihn auch das Gateway nicht. Zeitstempel entstehen im Gateway, nicht in der Steuerung, was einen systematischen Versatz erzeugt. Die Abtastrate bleibt durch das Altprotokoll begrenzt.
- Sinnvoll bei Anlagen mit mehr als fünf Jahren Restlaufzeit
- Sinnvoll bei mehreren baugleichen Maschinen
- Mapping-Dokument je Maschinentyp einplanen
Feldbus oder digitale Signale ohne Umweg
Statt eine OPC-UA-Hülle zu bauen, wird die Maschine direkt an ein Erfassungsmodul des MES angebunden: über digitale Ein- und Ausgänge für Takt, Störung und Betriebsart, über einen Zähler für Stückzahlen oder über eine direkte Feldbuskopplung. Die meisten MES-Anbieter im DACH-Raum haben dafür eigene Erfassungshardware im Portfolio.
Aufwand: Bei reiner Signalanbindung nach Sectorlens-Erfahrungswerten seit 2022 typischerweise ein bis drei Personentage je Maschine, dominiert von der Elektroinstallation und der Klärung, welche Klemme welchen Zustand führt. Es fällt Elektrikeraufwand an, oft mit Stillstand der Anlage.
Grenzen: Sie bekommen Zustände und Zähler, keine Prozesswerte. Für Verfügbarkeit und Stückzahl in der OEE reicht das vollständig aus, für Prozessparameter, Rezepte oder Qualitätsmesswerte nicht. Jede spätere Erweiterung bedeutet neue Verkabelung.
- Sinnvoll bei einfachen Anlagen ohne Prozessdatenbedarf
- Sinnvoll, wenn nur Laufzeit und Stückzahl gebraucht werden
- Elektroinstallation und Stillstandsfenster einplanen
Manuelle Erfassung als bewusste Zwischenlösung
Der Werker meldet Auftragsbeginn, Störung, Störgrund und Stückzahl am Terminal. Das ist keine elegante Lösung, aber es ist eine, die am Montag funktioniert und die Anlage in derselben Auswertung sichtbar macht wie alle anderen.
Aufwand: Nahezu kein technischer Integrationsaufwand, dafür laufender Erfassungsaufwand in der Produktion und ein realer Schulungsbedarf. Die Qualität hängt vollständig an der Disziplin im Schichtbetrieb.
Grenzen: Zeitstempel sind grob, Störgründe werden nachträglich zugeordnet, kurze Mikrostillstände fallen systematisch unter den Tisch. Deshalb gehört diese Variante mit einem Enddatum versehen, sonst wird aus dem Übergang ein Dauerzustand. Wer diesen Weg wählt, sollte gleichzeitig die Ablösung der Excel-Erfassung abschließen, damit wenigstens die Datenhaltung einheitlich ist.
- Sinnvoll bei Anlagen kurz vor der Ersatzinvestition
- Sinnvoll bei sehr geringer Auslastung der Anlage
- Immer mit Enddatum und Nachfolgeentscheidung versehen
Entscheidungsregel aus der Praxis: Rechnen Sie den Weg gegen die Restlaufzeit der Anlage. Liegt die Restnutzungsdauer unter drei Jahren und die Anlage liefert keine Prozessdaten, die Sie brauchen, ist die manuelle Erfassung mit Enddatum wirtschaftlich sinnvoll. Liegt sie darüber oder handelt es sich um eine Engpassanlage, lohnt der Retrofit fast immer, weil die Datenlücke an genau dieser Stelle die teuerste ist.
OPC UA und MES:
zwölf Fragen, zwölf Antworten
Die Antworten sind so formuliert, dass sie einzeln gelesen und zitiert werden können. Wo Zahlen genannt werden, steht die Quelle dabei. Wo etwas nicht belegbar ist, steht eine Prüffrage statt einer Behauptung.
Was ist OPC UA?
OPC UA steht für OPC Unified Architecture und ist ein herstellerunabhängiger Kommunikationsstandard für den Datenaustausch in der industriellen Automatisierung. Die OPC Foundation hat die erste Fassung 2008 veröffentlicht, seit Oktober 2011 ist der Standard zusätzlich als IEC 62541 international genormt. Anders als ein reines Übertragungsprotokoll beschreibt OPC UA nicht nur, wie Daten transportiert werden, sondern auch, wie sie semantisch beschrieben sind. Für ein MES bedeutet das: Eine Maschine liefert nicht nur den Zahlenwert 1420, sondern eine benannte Variable mit Datentyp, Einheit, Zeitstempel und Statuscode.
Was ist der Unterschied zwischen OPC UA und OPC Classic?
OPC Classic wurde 1996 eingeführt und basiert auf der Microsoft-Technologie COM und DCOM. Es läuft damit praktisch nur unter Windows, ist schwer über Firewalls zu führen und kennt keine durchgängige Informationsmodellierung. OPC UA fasst die Funktionen der Classic-Spezifikationen Data Access, Alarms and Events sowie Historical Data Access in einer einzigen serviceorientierten Architektur zusammen und ergänzt Plattformunabhängigkeit, ein integriertes Sicherheitsmodell und komplexe Informationsmodelle. Für Bestandsmaschinen mit OPC-Classic-Servern stellt die OPC Foundation Wrapper und Proxies bereit, die zwischen beiden Welten übersetzen.
Brauche ich OPC UA für ein MES?
Zwingend ist OPC UA nicht. Ein MES kann Maschinendaten auch über Feldbusse, digitale Signale, Dateischnittstellen oder proprietäre Steuerungsprotokolle erfassen. Der Unterschied liegt im Aufwand pro Maschine: Ohne OPC UA wird jede Anbindung ein Einzelprojekt mit eigener Treiberlogik, eigenem Mapping und eigener Wartung. Mit OPC UA und einer passenden Companion Specification ist ein wesentlicher Teil dieser Arbeit vorweggenommen. In der Praxis ist OPC UA deshalb im DACH-Maschinenpark der Normalfall für Neuanlagen und die Ausnahme für Anlagen aus den 1990er und frühen 2000er Jahren.
Was kostet eine OPC-UA-Anbindung?
Die Spezifikationen selbst gibt die OPC Foundation lizenzkostenfrei heraus. Kosten entstehen an drei anderen Stellen: Der OPC-UA-Server auf der Steuerung ist bei mehreren Herstellern eine kostenpflichtige Option oder an eine Lizenzstufe gebunden, das MES verlangt häufig eine Lizenz pro angebundener Maschine oder pro Datenpunkt, und für Maschinen ohne eigenen Server kommt Gateway-Hardware hinzu. Nach Erfahrungswerten von Sectorlens aus MES-Auswahlprojekten seit 2022 liegt der reine Integrationsaufwand bei einer Maschine mit nativem Server und vorhandener Companion Specification bei einem halben bis zwei Personentagen, bei einer Retrofit-Anbindung über Gateway bei drei bis zehn Personentagen. Die Lizenzstruktur gehört maschinenscharf durchgerechnet, bevor der Vertrag unterschrieben wird.
Ist OPC UA echtzeitfähig?
OPC UA in der klassischen Client-Server-Variante über TCP ist nicht echtzeitfähig im Sinne garantierter Zykluszeiten. Es gibt keine harte Zusage, dass ein Wert innerhalb einer definierten Frist ankommt. Für Echtzeitanforderungen auf Feldebene gibt es die UAFX-Erweiterungen in den Teilen OPC 10000-80 bis 10000-84 sowie PubSub über Ethernet in Verbindung mit Time-Sensitive Networking. Für MES-Anwendungsfälle wie Betriebsdatenerfassung, Zustandserfassung und OEE-Berechnung ist harte Echtzeit ohnehin nicht die Anforderung, sondern verlässliche Vollständigkeit und ein korrekter Zeitstempel.
Wie sicher ist OPC UA?
OPC UA bringt ein vollständiges Sicherheitsmodell mit, das in OPC 10000-2 beschrieben ist: gegenseitige Authentifizierung der Anwendungen über X.509-Zertifikate, Signierung und Verschlüsselung auf Nachrichtenebene, Benutzerauthentifizierung, rollenbasierte Berechtigungen nach OPC 10000-18 und Auditing. Sicher ist eine Installation dadurch aber nicht automatisch. Der Standard erlaubt ausdrücklich auch den Message Security Mode None ohne jede Absicherung, und viele Auslieferungszustände nutzen genau diesen. Sicherheit entsteht erst durch die Konfiguration: SignAndEncrypt, eine aktuelle Security Policy, gepflegte Trust Lists und abgeschalteter anonymer Zugriff.
Was ist eine Companion Specification?
Eine Companion Specification ist eine Ergänzungsspezifikation, die auf dem OPC-UA-Basismodell aufsetzt und für einen bestimmten Maschinen- oder Branchentyp festlegt, welche Objekte, Variablen und Methoden es gibt und wie sie heißen. Die OPC Foundation verweist auf über 150 marktspezifische Companion Specifications, darunter OPC 40001 OPC UA for Machinery, OPC 40501-1 für Werkzeugmaschinen und OPC 40077 für den Datenaustausch zwischen Spritzgießmaschinen und MES. Ohne Companion Specification muss ein MES-Projekt für jeden Maschinentyp ein eigenes Mapping bauen. Mit ihr ist die Semantik vorgegeben, und die Arbeit reduziert sich auf die Prüfung, ob der Hersteller den Standard vollständig umgesetzt hat.
Was ist umati?
umati steht für universal machine technology interface und ist keine eigene Spezifikation, sondern eine Community und ein Ökosystem rund um OPC UA. Verantwortlich zeichnet laut Impressum der VDW, der Verein Deutscher Werkzeugmaschinenfabriken in Frankfurt am Main, die Normungsarbeit läuft in gemeinsamen Arbeitsgruppen mit Fachverbänden des VDMA und der OPC Foundation. umati bündelt die relevanten Companion Specifications für den Maschinenbau, definiert Communication Default Requirements für Verschlüsselung, Authentifizierung, Ports und Serverkonfiguration und prüft die Umsetzung in gemeinsamen Plugfests. Für Einkäufer ist umati vor allem ein Signal, dass sich ein Hersteller mit der Interoperabilität seiner Schnittstelle beschäftigt hat.
Funktioniert OPC UA mit alten Maschinen?
Direkt in der Regel nicht. Eine Maschine ohne OPC-UA-Server im Steuerungssystem kann von sich aus keine OPC-UA-Kommunikation aufbauen. Es gibt drei gängige Wege: ein Gateway, das vorhandene Protokolle wie Modbus, PROFIBUS, S7 oder Dateiausgaben in ein OPC-UA-Adressmodell übersetzt, eine direkte Anbindung über digitale Ein- und Ausgänge an ein Erfassungsmodul, oder als Übergangslösung die manuelle Erfassung am Shopfloor-Terminal. Ein Gateway erzeugt allerdings nur die Protokollhülle. Semantik, Datenqualität und Zeitstempelgenauigkeit bleiben so gut oder so schlecht, wie die darunterliegende Quelle sie hergibt.
Was ist der Unterschied zwischen OPC UA und MQTT?
MQTT ist ein reines Transportprotokoll für Publish-Subscribe-Nachrichten über einen Broker und macht keine Aussage darüber, was in den Nachrichten steht. OPC UA ist ein vollständiger Interoperabilitätsstandard mit Informationsmodell, Adressraum, Diensten und Sicherheitsmodell. Beide schließen sich nicht aus: OPC UA PubSub kann laut OPC 10000-14 MQTT als brokerbasierten Transport nutzen und die Nutzlast als UADP oder als JSON kodieren. In MES-Projekten trifft man deshalb häufig auf die Kombination OPC UA für die Semantik und MQTT für den Transport in Richtung Cloud oder Data Lake.
Welche MES-Anbieter unterstützen OPC UA nativ?
Ein OPC-UA-Client gehört bei den etablierten MES-Anbietern im DACH-Raum inzwischen zum Standardumfang, wird aber unterschiedlich tief umgesetzt. Die MPDV Mikrolab GmbH aus Mosbach beziffert die über ihre Plattform realisierten Maschinenanbindungen auf 135.000 (Herstellerangabe, Stand 2026). Entscheidend ist weniger die Frage, ob ein Anbieter OPC UA kann, sondern wie: ob der Client Companion Specifications interpretiert oder nur Rohvariablen liest, wie viele Server parallel betrieben werden können, ob Werte nach einem Verbindungsabriss nachgeliefert werden und wie Zertifikate im laufenden Betrieb verwaltet werden. Diese Punkte gehören maschinenscharf ins Lastenheft und nicht in die Präsentation.
Wie viele Maschinen kann ein MES gleichzeitig anbinden?
Eine allgemeingültige Zahl gibt es nicht, weil die Last nicht von der Zahl der Maschinen abhängt, sondern vom Produkt aus Datenpunkten, Abtastrate und Anzahl der Sessions. Ein MES-Client, der 200 Maschinen mit je 30 Variablen im Sekundentakt liest, erzeugt eine völlig andere Last als einer, der 50 Maschinen mit je 400 Variablen im 100-Millisekunden-Takt überwacht. Nach Erfahrungswerten von Sectorlens aus Auswahlprojekten seit 2022 ist die belastbare Antwort immer eine Lastmessung im Pilotbetrieb mit realistischer Datenpunktzahl. Fragen Sie den Anbieter nach der größten produktiv laufenden Installation, nach der dort gemessenen Datenpunktzahl und danach, ob der Client horizontal skaliert werden kann.
OPC UA steht im Lastenheft.
Unsicher, welche Ihrer Maschinen wirklich mitspielen?
Zwischen der Anforderung, das MES müsse OPC UA unterstützen, und einer belastbaren Aufwandsschätzung liegt eine maschinenscharfe Bewertung, die kaum ein Anbieter unaufgefordert liefert. Sectorlens schließt genau diese Lücke, herstellerneutral und ohne Provision von MES-Anbietern.
MES-Matching mit Integrationsfokus
URL eingeben, KI analysiert die Fertigung anhand öffentlicher Daten und gleicht sie gegen 64 Kriterien mit dem Anbietermarkt ab.
- Shortlist mit Match-Score statt einer Anbieterliste ohne Ordnung
- Integrationsfähigkeit und Maschinenanbindung als eigene Kriteriengruppe
- Kein Formular, keine Registrierung, keine Weitergabe an Anbieter
MES Selection Portal mit OPC-UA-Kapitel im Lastenheft
Anforderungs-Workshop, Lastenheft aus über 150 Anforderungen, moderierter Anbieter-Dialog und eine Entscheidungsmatrix, die die Bewertung nachvollziehbar macht.
- Die zwölf Anbieterfragen von dieser Seite als geprüftes Kapitel im Lastenheft
- Companion Specifications und Security-Anforderungen abnahmefähig formuliert
- Angebotsvergleich inklusive Serverlizenzen, Gateways und Integrationstagen
Maschinenscharfe Bewertung der Anbindbarkeit vor Vertragsabschluss
Wir gehen Ihre Anlagenliste durch und ordnen jede Maschine ein: nativer Server, Gateway-Retrofit, Signalanbindung oder manuelle Erfassung mit Enddatum. 50+ Projekte seit 2022, herstellerneutral, keine Provision.
- Anlagenliste je Maschine in vier Anbindungsklassen mit Aufwandsspanne
- Prüfung der Anbieterzusagen zu Companion Specification, Profil und Nachlieferung
- 30 Minuten Erstgespräch kostenlos und unverbindlich
Von der Protokollfrage
zur belastbaren Entscheidung
Sechs Minuten für eine erste Shortlist, 30 Minuten für ein Gespräch über Ihren konkreten Maschinenpark. Herstellerneutral, provisionsfrei, mit Fokus auf Fertigungsunternehmen im DACH-Raum.
Quellen und Stand: Angaben zu OPC UA, den Kernteilen OPC 10000-1 bis 10000-84 und den Companion Specifications stammen von opcfoundation.org und reference.opcfoundation.org, Stand August 2026. Angaben zu umati stammen von umati.org einschließlich Impressum. Herstellerzahlen sind als Herstellerangabe gekennzeichnet. Alle Latenz-, Aufwands- und Dauerangaben ohne Normbezug sind Erfahrungswerte von Sectorlens aus MES-Auswahlprojekten seit 2022. Sectorlens erhält keine Provision von MES-Anbietern.