Embedded

Wat is Embedded?

Een embedded systeem (ingebed systeem) is een combinatie van processor, geheugen, I/O en software die is ingebouwd in een groter apparaat om daar één specifieke functie of een beperkte set functies uit te voeren, vaak onder realtime-eisen. In plaats van een algemeen besturingssysteem zoals op een pc draait een embedded systeem firmware direct op de hardware (bare metal), een RTOS of een afgeslankte embedded-Linux. De gebruiker ziet meestal geen computer, maar een apparaat: een transmitter, een frequentieregelaar of een bedieningspaneel.

In de OT-wereld zijn embedded systemen overal aanwezig: van sensoren en actuatoren tot PLC’s, HMI’s en IED’s in schakelstations.

🧠 Wat kenmerkt een embedded systeem?

Die laatste eigenschap is tegelijk een kracht en een zwakte. Een embedded apparaat dat twintig jaar betrouwbaar draait, draait ook twintig jaar met de software en de beveiligingsaannames van het jaar waarin het is ontworpen.

🧱 Uit welke onderdelen bestaat een embedded systeem?

• Processor - een microcontroller (MCU) met CPU, flash en RAM op één chip, of een krachtiger System-on-Chip (SoC) met meerdere kernen, grafische processor en netwerkinterfaces. Veelgebruikte architecturen zijn ARM Cortex-M (microcontrollers), ARM Cortex-A (applicatieprocessoren) en in opkomst RISC-V.
• Geheugen - flash voor de firmware en configuratie, RAM voor de werkdata, soms EEPROM voor kalibratiewaarden.
• Software - bare-metal code, een RTOS zoals FreeRTOS (MIT-licentie), Zephyr (Linux Foundation, Apache 2.0), VxWorks of QNX, of embedded Linux. Sinds kernelversie 6.12 (eind 2024) zit realtime-ondersteuning via PREEMPT_RT in de standaard Linux-kernel.
• In- en uitgangen - digitale en analoge I/O, seriële bussen als UART, SPI en I²C op de print, en naar buiten toe CAN, veldbussen, Ethernet of IO-Link.
• Beveiligingshardware - steeds vaker een secure element of TPM voor sleutelopslag en een hardware-root-of-trust voor secure boot.

⚙️ Waar vind je embedded systemen in OT?

Het verwante artikel Embedded controller gaat dieper in op de besturingseenheden zelf. Een soft PLC is het tegenovergestelde: PLC-logica op een standaard industriële pc in plaats van op dedicated hardware.

🔁 Wat is het verschil tussen embedded en een general-purpose computer?

Een embedded systeem is geen computer in klassieke zin, maar een intelligent onderdeel van een groter apparaat.

🔐 Waarom zijn embedded systemen een beveiligingsrisico?

Embedded apparaten waren lange tijd ontworpen voor geïsoleerde netwerken. Door OT-convergentie en het IIoT hangen ze nu aan Ethernet en soms aan internet, terwijl beveiliging niet in het ontwerp zat. Typische zwakke plekken:

• Gedeelde softwarecomponenten - veel fabrikanten gebruiken dezelfde ingekochte TCP/IP-stack. URGENT/11 (2019) trof met 11 kwetsbaarheden de IPnet-stack van VxWorks, Ripple20 (2020) met 19 kwetsbaarheden de Treck-stack in apparaten van meer dan 70 leveranciers, en INFRA:HALT (2021) met 14 kwetsbaarheden de NicheStack-stack in OT-apparatuur van meer dan 200 leveranciers. Een SBOM laat zien welke componenten in een apparaat zitten.
• Standaardwachtwoorden en open diensten - Telnet, FTP en webservers met fabriekswachtwoorden; via inloggen met standaardwachtwoorden op Telnet nam het Mirai-botnet in 2016 honderdduizenden IoT-apparaten over.
• Ongetekende firmware - zonder firmwareondertekening en secure boot kan een aanvaller gemanipuleerde firmware laden.
• Moeilijk patchen - updates vereisen vaak stilstand, een onderhoudsvenster en hertest; zie patchmanagement en legacy systemen.
• Geen ruimte voor beveiligingssoftware - een microcontroller kan geen endpoint-agent draaien, dus detectie moet via het netwerk.

🏭 Welke normen en wetten gelden voor embedded apparaten?

Voor fabrikanten betekent dit dat een embedded product niet meer “af” is bij levering: kwetsbaarheden moeten jarenlang worden opgespoord, gemeld en verholpen.

🔧 Hoe beveilig je embedded systemen in de praktijk?

Voor een eindgebruiker of systeemintegrator in Nederland werkt een vaste aanpak:

1. Breng ze in kaart - leg in de asset inventory per apparaat fabrikant, type, firmwareversie en netwerkdiensten vast. Passieve asset discovery vindt apparaten zonder ze te verstoren.
2. Koppel aan kwetsbaarheden - vergelijk firmwareversies met CVE’s en advisories van fabrikanten en CISA; vraag leveranciers om een SBOM.
3. Verklein het aanvalsoppervlak - schakel ongebruikte diensten uit, wijzig standaardwachtwoorden en zet schrijfbeveiliging of de run-sleutel van de PLC in de juiste stand.
4. Segmenteer - plaats embedded apparaten in zones volgens het Purdue Model en netwerksegmentatie, en beperk de communicatie tot wat het proces nodig heeft.
5. Monitor het netwerk - omdat er geen agent op het apparaat kan, is passieve netwerkmonitoring de belangrijkste detectiebron.
6. Plan updates en vervanging - neem firmware-updates op in het onderhoudsplan en de levenscyclus (lifecycle management); stel in inkoopeisen een supportperiode en ondersteuning voor secure boot en getekende firmware verplicht.

❓ Veelgestelde vragen

Is een PLC een embedded systeem?

Ja, een PLC is een embedded systeem: de CPU-module bevat een processor, geheugen en een realtime besturingssysteem dat maar één taak heeft, namelijk het cyclisch uitvoeren van het besturingsprogramma. IEC 62443-4-2 noemt PLC’s daarom expliciet als voorbeeld van een embedded device.

Wat is het verschil tussen firmware en embedded software?

Firmware is de software die vast in het flashgeheugen van een apparaat staat en de hardware aanstuurt, zoals het RTOS en de communicatiestack van een PLC. Embedded software is het bredere begrip voor alle software in een embedded systeem, inclusief de applicatielogica die een gebruiker soms zelf laadt.

Draaien embedded systemen altijd een RTOS?

Nee, embedded systemen draaien niet altijd een RTOS. Eenvoudige sensoren draaien vaak bare-metal code zonder besturingssysteem, terwijl HMI’s en edge-gateways meestal embedded Linux gebruiken; een RTOS wordt gekozen wanneer meerdere taken met harde deadlines moeten samenwerken.

Waarom worden embedded apparaten in OT zelden gepatcht?

Embedded apparaten in OT worden zelden gepatcht omdat een update vaak stilstand van het proces, een hertest en soms een nieuwe veiligheidsvalidatie vereist. Bovendien leveren fabrikanten voor oudere apparaten soms geen updates meer, waardoor segmentatie en monitoring de enige maatregelen zijn.

Wat betekent de Cyber Resilience Act voor embedded apparaten?

De Cyber Resilience Act verplicht fabrikanten van embedded apparaten die vanaf 11 december 2027 op de EU-markt komen tot veilig ontwerp, levering zonder bekende uitbuitbare kwetsbaarheden en beveiligingsupdates gedurende de supportperiode. Actief misbruikte kwetsbaarheden moeten sinds 11 september 2026 al worden gemeld, ook voor apparaten die al in gebruik zijn.

Wat is het verschil tussen een microcontroller en een System-on-Chip?

Een microcontroller combineert een eenvoudige processor met flash en RAM op één chip en is geschikt voor kleine, realtime taken met weinig energie. Een System-on-Chip integreert krachtigere processorkernen, grafische functies en netwerkinterfaces en draait meestal een volwaardig besturingssysteem zoals embedded Linux.

📌 Samengevat

Embedded systemen vormen het brein van industriële apparaten: kleine, taakgerichte computers die jarenlang betrouwbaar en voorspelbaar hun werk doen. Juist die lange levensduur, gedeelde softwarecomponenten en beperkte updatemogelijkheden maken ze kwetsbaar; inventarisatie, segmentatie, netwerkmonitoring en eisen uit IEC 62443 en de Cyber Resilience Act houden ze beheersbaar.