Oppsettet: alt på én dedikert Linux-server
Vi installerer hele løsningen på én dedikert server, en «all in one»-server. Det gir få bevegelige deler, lav pris og enkel feilsøking. Serveren er bare deres, og dere deler ikke prosessor, minne eller disk med andre kunder.
- Server: Dedikert server med speilede disker (RAID) og doble strømforsyninger, i vårt datasenter i Norge. Maskinvaren har redundans hele veien, fra strøm og fiber inn i datasenteret til disk i serveren.
- Operativsystem: Linux med langtidsstøtte (LTS), sikkerhetsoppdateringer og herdet oppsett. Stabilt, uten lisenskostnad for operativsystemet, og godt støttet av Ignition.
- Ignition Gateway: Ignition installert som tjeneste, med HTTPS og gyldige sertifikater som fornyes automatisk. Dere logger inn i Gateway og Designer som vanlig og jobber med prosjektene selv.
- Historikk: PostgreSQL som database for Tag Historian, med partisjonering og lagringstid tilpasset behovet. Rask spørring på lange tidsserier, og en database vi har lang erfaring med å drifte.
- Lokasjoner: VPN mellom serveren og edge-enhetene på hver lokasjon, med Tailscale eller WireGuard. Ingen åpne porter mot internett for SCADA-trafikken.
- Brukertilgang: Vår ferdige WireGuard VPN-portal på en egen VPN-server, adskilt fra Ignition-serveren. Den som har ansvaret hos dere inviterer nye ansatte fra kontrollpanelet, og hver ansatt får automatisk sin egen VPN-fil som bare gir tilgang til serveren deres. Dere styrer selv hvem som har tilgang, uten å vente på oss.
- Innlogging: Keycloak med tofaktorautentisering (2FA) foran HMI og Gateway der det trengs, i tillegg til VPN. Tilganger styres ett sted.
- Nettverk: Fysisk brannmur foran serveren, og adskilte nett for SCADA, database og det som er eksponert mot internett. Databasen og SCADA-trafikken nås ikke direkte fra internett.
- Backup: Automatisk backup av Ignition Gateway (.gwbk) og databaseeksport, lagret i et annet datasenter i Norge. Dere har alltid en kopi av prosjektene og historikken utenfor serveren.
- Overvåking: Overvåking av server, tjenester, disk, database og VPN-tunneler døgnet rundt. Vi får varsel om feil og fulle disker før de blir et problem for dere.
Har dere allerede Ignition Edge eller andre gatewayer ute på lokasjonene, kobler vi dem til serveren over VPN, via Ignition Gateway Network eller MQTT, avhengig av hva dere bruker i dag. Ignition-lisensen kjøper dere som vanlig fra Inductive Automation eller forhandleren deres. Vi installerer og aktiverer den på serveren.
Sikkerhet som standard, ikke som tillegg
SCADA-systemer skal ikke ligge åpent på internett. Derfor er sikkerhetstiltakene en del av grunnoppsettet, og ikke noe dere må bestille i tillegg:
- VPN i stedet for åpne porter. Edge-enhetene kobler seg til serveren over Tailscale eller WireGuard, etter det som passer utstyret og rutinene deres. Brukerne kobler seg til via vår WireGuard VPN-portal, der dere selv inviterer nye ansatte og de automatisk får sin egen VPN-fil.
- Tofaktorautentisering med Keycloak foran HMI og administrasjon, der det er behov for det.
- Fysisk brannmur foran serveren, i tillegg til brannmuren i operativsystemet.
- Adskilte nett for SCADA, databasen og det som er eksponert mot internett.
- Sikkerhetsoppdateringer av operativsystem og programvare, i avtalte vinduer.
Trygge oppgraderinger av Ignition
Mange har opplevd en Ignition-oppgradering som gikk galt. Vi gjør det på en fast måte:
- Vi tar snapshot av serveren og backup av Gateway før hver endring, slik at vi kan rulle tilbake.
- Arbeidet gjøres i et avtalt vedlikeholdsvindu, ofte kveld eller natt, og dere får varsel på forhånd.
- Etter omstart kjører vi automatiske kontroller av Gateway, database og tilkoblingene til lokasjonene.
Hjelp med NIS2 og leverandørkrav
Stadig flere anleggseiere og leverandører får spørsmål om informasjonssikkerhet fra egne kunder, revisorer og myndigheter, blant annet som følge av NIS2. Vi hjelper dere å oppfylle leverandørkravene med en fast dokumentasjonspakke for plattformen:
- Arkitekturtegning og oversikt over systemene, nettverket og tilgangene
- Rutine for backup og gjenoppretting
- Rutine for varsling ved hendelser
- Oversikt over oppgraderinger og endringer
Ved et etablert kundeforhold får dere også tilgang til en felles dokumentasjonsbase for løsningen, som både dere og vi kan oppdatere ved endringer. Den er nyttig når leverandøren av programvaren, en revisor eller en kunde stiller spørsmål.
Stabil drift, og hva som skjer hvis noe feiler
Datasenteret er heleid, norsk og bygget for formålet, med to uavhengige føringer for både strøm og fiber. Serveren har doble strømforsyninger og speilede disker. Vi overvåker serveren og tjenestene døgnet rundt, og responstiden står i avtalen.
Med én server er det som regel operativsystem, oppdateringer og konfigurasjonsendringer som er det sårbare, ikke maskinvaren. Det er derfor vi tar snapshot før endringer og jobber i avtalte vinduer. Skulle serveren likevel få en feil som ikke kan rettes raskt, har vi reserveservere klare som vi kan starte og gjenopprette backup til. Trenger dere høyere tilgjengelighet, kan vi sette opp redundans med en ekstra server som et eget tillegg.
Riktig server fra start
Begge serverne under takler en typisk installasjon med en sentral Ignition-server, en håndfull lokasjoner, noen brukere som ser HMI fra andre steder, og PostgreSQL for historikk.
- Standard Server passer de fleste installasjoner med flere lokasjoner og moderat mengde historikk.
- Lynrask server har dobbelt så mange kjerner, dobbelt så mye minne og NVMe-disker som er 7 til 10 ganger raskere enn SSD. Den gir mye ledig kapasitet for mange tagger, høy loggefrekvens, lang lagringstid og tunge trender og rapporter.
Vi gir dere råd om Historian, hvor lenge data bør lagres og hvor mye kapasitet dere trenger, basert på tall fra installasjoner vi drifter i dag.
Norsk drift, og dataene er deres
Serveren står i Norge, og dataene deres blir i Norge. Dere eier prosjektene og historikken. Avslutter dere avtalen, får dere med dere backup av Ignition Gateway og eksport av databasen, slik at dere kan flytte løsningen videre.
