Cyber-Physical Systems

Wat is een Cyber-Physical System (CPS)?

Een Cyber-Physical System (CPS) is een systeem waarin rekenkracht, netwerken en fysieke processen zo nauw zijn geïntegreerd dat software via sensoren de fysieke wereld waarneemt en via actuatoren direct terugstuurt, in een gesloten terugkoppeling. De fysieke toestand beïnvloedt de berekening en de berekening beïnvloedt de fysieke toestand. Een productielijn, een windturbine, een zelfrijdende auto en een slim elektriciteitsnet zijn allemaal voorbeelden. CPS is een sleutelbegrip binnen Industrie 4.0 en het IIoT, en het is in feite de technische vorm die OT-convergentie aanneemt.

🧠 Waar komt het begrip Cyber-Physical System vandaan?

De term werd in 2006 geïntroduceerd door Helen Gill, programmamanager bij de Amerikaanse National Science Foundation (NSF). Vanaf eind 2006 organiseerden Amerikaanse overheidsinstanties workshops over het onderwerp en de NSF financiert sindsdien een apart CPS-onderzoeksprogramma. Het voorvoegsel cyber verwijst naar de cybernetica van Norbert Wiener uit 1948: de leer van besturing en terugkoppeling, niet naar internet of cybercrime.

Twee definities worden veel aangehaald:

• Edward Lee (UC Berkeley) - CPS zijn integraties van berekening, netwerken en fysieke processen, waarin ingebedde computers fysieke processen bewaken en besturen via terugkoppellussen waarbij het fysieke proces de berekening beïnvloedt en omgekeerd.
• NIST - in het Framework for Cyber-Physical Systems (NIST SP 1500-201, juni 2017, opgesteld door de CPS Public Working Group) zijn CPS samenwerkende digitale, analoge, fysieke en menselijke componenten, ontworpen om te functioneren door geïntegreerde fysica en logica.

In Duitsland werd het begrip het fundament van Industrie 4.0. Het eindrapport van de Duitse werkgroep Industrie 4.0 (acatech, april 2013) beschrijft slimme fabrieken waarin machines, opslagsystemen en producten als CPS met elkaar communiceren. In die context spreekt men ook van cyber-physical production systems (CPPS).

🔄 Wat is het verschil tussen CPS, embedded systemen en IoT?

De begrippen overlappen sterk, maar leggen een ander accent.

Het kernverschil: IoT gaat vooral over connectiviteit en data, terwijl een CPS ook ingrijpt in de fysieke wereld. Een digital twin is vaak een onderdeel van een CPS: het cyberdeel dat het fysieke deel modelleert.

🧱 Uit welke lagen bestaat een CPS?

Een typisch Cyber-Physical System in de industrie bestaat uit:

• Fysieke componenten - machines, motoren, kleppen, transportbanden en het product zelf
• Sensoren - meten temperatuur, druk, positie, trilling of beeld en leveren realtime informatie over de fysieke toestand
• Actuatoren - voeren fysieke handelingen uit, zoals een motor aansturen of een klep openen
• Ingebedde besturing - lokale regeling en logica in een PLC, motion controller of embedded controller
• Netwerkconnectiviteit - veldbussen en Industrial Ethernet zoals ProfiNET en EtherCAT, aangevuld met TSN voor deterministisch verkeer
• Integratie en data - OPC UA en MQTT om data naar hogere lagen te brengen, bijvoorbeeld via een Unified Namespace of edge computing
• Besluitvorming - toezicht en optimalisatie via SCADA, MES of AI-algoritmes, lokaal of in de Cloud

Een veelgebruikt denkmodel is de 5C-architectuur van Jay Lee en collega’s (2015), die een CPS in de productie opbouwt in vijf niveaus: connection (sensoren aansluiten en betrouwbaar meten), conversion (data omzetten in informatie, zoals gezondheidsindicatoren), cyber (informatie van veel machines centraal bundelen), cognition (inzicht en beslisondersteuning) en configuration (terugkoppeling van de cyberwereld naar de machine, zodat die zich zelf aanpast).

⏱️ Waarom is timing zo belangrijk in een CPS?

In een gewoon IT-systeem is een late berekening alleen traag; in een CPS kan een late berekening fout zijn. Een robotarm die zijn stopcommando te laat krijgt, raakt het obstakel toch. Daarom eist een CPS deterministisch gedrag: niet alleen het juiste antwoord, maar het juiste antwoord binnen een vaste tijd. Het NIST-framework noemt timing dan ook als een van de negen aspecten waarop een CPS moet worden beoordeeld, naast onder meer functionaliteit, data, menselijke factoren, levenscyclus en betrouwbaarheid (trustworthiness).

Typische tijdschalen in een industrieel CPS:

Hieruit volgt een belangrijke ontwerpregel: hoe sneller de lus, hoe dichter bij het proces de logica moet staan. Cloud-AI kan setpoints optimaliseren of onderhoud voorspellen, maar zit niet in de snelle regelkring. Die indeling sluit aan bij de lagen van het Purdue Model.

🏭 Waar worden CPS toegepast?

🔐 Welke veiligheids- en securityrisico’s hebben CPS?

Door hun nauwe integratie van IT en OT hebben CPS een bijzonder risicoprofiel: een digitale fout of aanval kan fysieke schade, milieuschade of letsel veroorzaken. Bekende voorbeelden:

• Aurora-test (2007) - het Idaho National Laboratory liet zien dat digitale schakelcommando’s een dieselgenerator fysiek konden vernielen
• Stuxnet (ontdekt in 2010) - herprogrammeerde PLC’s om uraniumcentrifuges in Natanz te saboteren terwijl operators normale waarden zagen
• Industroyer (2016) - malware die in december 2016 de stroomonderbrekers van een hoogspanningsstation bij Kyiv direct via industriële protocollen zoals IEC 60870-5-104 aanstuurde
• TRITON (2017) - richtte zich op het Safety Instrumented System van een petrochemische fabriek in Saoedi-Arabië

Daarom moeten safety en security in een CPS samen worden ontworpen. Functionele veiligheid volgens IEC 61508 beschermt tegen toevallige en systematische fouten; IEC 62443 beschermt tegen opzettelijke aanvallen. Cyber-Informed Engineering gaat nog een stap verder door ontwerpkeuzes te maken die fysieke gevolgen beperken, ook als de digitale verdediging faalt, bijvoorbeeld met een mechanische overdrukbeveiliging die geen software nodig heeft.

Maatregelen zoals Defense in Depth, het Zone and Conduits-model, netwerksegmentatie en detectie op het OT-netwerk zijn daarom cruciaal bij CPS.

🛠️ Hoe pakt u een CPS-project veilig aan?

Een praktische aanpak voor een nieuw of uitgebreid CPS in de industrie:

1. Breng de fysieke gevolgen in kaart - welke procesafwijkingen kunnen letsel, milieuschade of grote productieschade veroorzaken? Begin bij het proces, niet bij de IT.
2. Bepaal de tijdseisen per lus - welke functies moeten deterministisch en lokaal blijven, en welke mogen via edge of cloud lopen?
3. Deel het systeem in zones in - groepeer componenten met dezelfde beveiligingsbehoefte en leg de verbindingen ertussen vast volgens IEC 62443-3-2.
4. Houd safety onafhankelijk - laat veiligheidsfuncties draaien op een gescheiden safety-PLC of SIS, niet in dezelfde software als de optimalisatie.
5. Ontwerp voor degradatie - bij uitval van netwerk of cloud moet het proces in een veilige, bekende toestand blijven draaien of stoppen (fail-safe).
6. Monitor en onderhoud - houd een assetregister bij, patch volgens een vast proces en volg de richtlijnen van NIST SP 800-82 (revisie 3, september 2023).

In Nederland en de EU wordt dit steeds vaker een wettelijke plicht. De Cyberbeveiligingswet (van kracht sinds 15 augustus 2026) vraagt zorgplicht en meldplicht van essentiële en belangrijke entiteiten. De Cyber Resilience Act eist dat fabrikanten van producten met digitale elementen actief misbruikte kwetsbaarheden en ernstige incidenten melden vanaf 11 september 2026 en volledig voldoen vanaf 11 december 2027. De Machineverordening (EU) 2023/1230 maakt vanaf 20 januari 2027 bescherming tegen corruptie van besturingssoftware onderdeel van de CE-markering van machines.

❓ Veelgestelde vragen

Is een PLC een Cyber-Physical System?

Een PLC op zichzelf is een ingebedde besturing, geen volledig Cyber-Physical System. Pas samen met de sensoren, actuatoren, het netwerk en het fysieke proces dat de PLC bestuurt, vormt het geheel een CPS. De PLC is daarin het rekenhart van de gesloten regelkring.

Wat is het verschil tussen een CPS en een digital twin?

Een Cyber-Physical System is het echte systeem waarin software en fysiek proces samenwerken. Een digital twin is een virtueel model van dat systeem dat met data uit het CPS wordt gesynchroniseerd. Een digital twin kan dus deel uitmaken van een CPS, maar een CPS heeft niet altijd een digital twin.

Waarom zijn Cyber-Physical Systems gevoelig voor cyberaanvallen?

Cyber-Physical Systems koppelen besturingen die oorspronkelijk voor gesloten netwerken zijn ontworpen aan IT-netwerken, edge en cloud. Daardoor kan een aanvaller via een digitale route fysieke schade veroorzaken, zoals Stuxnet en TRITON lieten zien. Veel OT-componenten gaan bovendien twintig jaar of langer mee en zijn moeilijk te patchen.

Welke normen gelden voor de beveiliging van CPS?

Voor industriële CPS is IEC 62443 de belangrijkste securitynorm, met eisen voor eigenaren, integrators en leveranciers. NIST SP 800-82 geeft aanvullende richtlijnen voor OT-beveiliging en IEC 61508 regelt functionele veiligheid. Het NIST Framework for Cyber-Physical Systems (SP 1500-201) biedt een algemeen kader om CPS te ontwerpen en te beoordelen.

Wat is de 5C-architectuur van een CPS?

De 5C-architectuur is een model voor Cyber-Physical Systems in de productie met vijf niveaus: connection, conversion, cyber, cognition en configuration. Het beschrijft de weg van ruwe sensordata via informatie en inzicht naar automatische bijsturing van de machine. Het model wordt veel gebruikt bij voorspellend onderhoud.

Hoort AI in de regelkring van een CPS?

AI wordt in een Cyber-Physical System meestal gebruikt voor optimalisatie, kwaliteitscontrole en voorspellend onderhoud, niet in de snelle regelkring zelf. Snelle en veiligheidskritische lussen blijven deterministisch in een PLC, motion controller of safety-systeem. AI levert dan bijvoorbeeld nieuwe setpoints aan, die de lokale besturing binnen veilige grenzen uitvoert.

📌 Samengevat

Cyber-Physical Systems zijn systemen waarin software, netwerken en fysieke processen elkaar in een gesloten terugkoppeling beïnvloeden, waardoor een digitale fout direct fysieke gevolgen kan hebben.

Het begrip ontstond in 2006 bij de NSF en werd de technische basis van Industrie 4.0. Een CPS combineert sensoren, actuatoren, ingebedde besturing en netwerken, met strenge eisen aan timing en determinisme. Omdat aanvallen als Stuxnet en TRITON fysieke schade kunnen veroorzaken, ontwerpt u safety en security samen, houdt u snelle lussen lokaal en volgt u normen als IEC 62443 en IEC 61508.