Wat is WinCC?
WinCC is de software van Siemens voor procesvisualisatie en bediening, die als HMI op een machinepaneel en als SCADA-systeem op servers draait en operators laat bedienen, alarmeren, trends bekijken en procesdata vastleggen. Het pakket verscheen in 1996 en groeide uit tot een familie: de klassieke WinCC V7/V8 voor SCADA, de HMI-edities in TIA Portal, de webgebaseerde WinCC Unified en het zeer schaalbare WinCC Open Architecture (OA). WinCC wordt breed ingezet binnen industriële automatisering en procesautomatisering, en vormt ook het Operator Station van het DCS PCS 7. Omdat het de schakel is tussen PLC’s en hogere systemen zoals MES en historians, is WinCC een kernonderdeel van veel OT-architecturen en daarmee ook een aantrekkelijk aanvalsdoel.
🧱 Welke WinCC-varianten zijn er?
De naam WinCC dekt vier productlijnen met elk een eigen technologie. Dat leidt in de praktijk vaak tot verwarring, bijvoorbeeld tussen “WinCC Professional” in TIA Portal en de losse WinCC V7/V8.
| Variant | Technologie en engineering | Typische toepassing |
|---|---|---|
| WinCC V7 / V8 (klassiek) | Losse engineeringomgeving (Graphics Designer), VBScript en ANSI-C, logging in Microsoft SQL Server | Fabrieks- en procesbrede SCADA, basis van het PCS 7 Operator Station |
| WinCC in TIA Portal (Basic, Comfort, Advanced, Professional) | Engineeringedities binnen TIA Portal, gedeelde tags met de SIMATIC-PLC | Basic voor Basic Panels, Comfort voor Comfort Panels, Advanced voor PC-runtime, Professional voor SCADA-runtime |
| WinCC Unified | Sinds TIA Portal V16 (2019); runtime op HTML5, SVG en JavaScript | Nieuwe generatie panelen (Unified Comfort/Basic) en PC- of serverruntime met webclients |
| WinCC Open Architecture (OA) | Oorspronkelijk PVSS van ETM (Eisenstadt, Oostenrijk), sinds 2007 Siemens-dochter, in 2010 hernoemd | Grote, gedistribueerde systemen: energie, water, verkeer, olie en gas, onderzoek |
De klassieke WinCC V8.0 verscheen in maart 2023 en is onder meer de basis voor PCS 7 V10.0. Projecten vanaf V7.2 kunnen direct naar V8.1 worden overgezet. Siemens richt de verdere vernieuwing van visualisatie vooral op WinCC Unified, terwijl WinCC OA een eigen ontwikkellijn houdt.
🔧 Hoe werkt WinCC technisch?
Een WinCC-systeem bestaat uit een engineeringdeel waarin u schermen, tags, alarmen en archieven configureert, en een runtime die het project uitvoert. De runtime leest en schrijft procesvariabelen in de controller via communicatiekanalen (drivers) en toont die in procesbeelden.
Belangrijke bouwstenen zijn:
- Procesbeelden - grafische weergave van installaties met dynamische objecten, bij Unified als schaalbare SVG-graphics
- Alarm logging - meldingen met prioriteit, klasse, bevestiging en historie, ingericht volgens alarmmanagement-principes zoals ISA-18.2
- Tag logging - archivering van proceswaarden en setpoints voor trending en analyse
- Scripting - VBScript en ANSI-C in de klassieke WinCC, JavaScript in WinCC Unified
- Gebruikersbeheer - rollen en rechten, in Unified ook koppeling met centrale gebruikersadministratie
- Rapportage - ploeg-, batch- en alarmrapporten, in de klassieke WinCC opgemaakt met de Report Designer
Welke opties en licenties kent de klassieke WinCC?
De klassieke WinCC V7/V8 wordt in runtime gelicentieerd op PowerTags: procesvariabelen die met de controller communiceren. De pakketten lopen in stappen van 128, 512, 2048, 8192, 65.536 en 102.400 PowerTags tot onbeperkt, en een te klein pakket is een bekende verrassing bij uitbreidingen. Veel functies zitten in losse opties met een eigen licentie:
| Optie | Functie |
|---|---|
| WinCC/Redundancy | Twee gekoppelde servers die elkaar overnemen en archieven synchroniseren |
| WinCC/User Archives | Tabelgegevens zoals recepten, ordergegevens en parametersets |
| WinCC/WebNavigator en WebUX | Bediening en bewaking via een webclient of browser, met eigen clientlicenties |
| WinCC/ProDiag | Machine- en procesdiagnose: waarom staat een stap of beweging stil |
| WinCC/Audit | Audit trail van bedieningen en wijzigingen, onder meer voor gereguleerde farmaceutische productie |
Welke protocollen ondersteunt WinCC?
| Protocol | Rol in WinCC |
|---|---|
| S7 Comm / S7 Comm Plus | Standaardverbinding met SIMATIC S7-controllers, bij S7-1500 met beveiligde communicatie |
| ProfiNET | Industrieel Ethernet waarover de S7-verbinding met de controller loopt |
| OPC UA | Leverancieronafhankelijke koppeling als client en server, onder meer naar MES en historians |
| Modbus TCP | Koppeling met apparatuur van andere leveranciers |
| MQTT | Via aanvullende connectiviteitsopties of een edge-gateway voor IIoT en cloud |
| TCP / UDP | Transportlaag onder de bovenstaande protocollen |
🏭 Waar wordt WinCC toegepast?
WinCC komt voor in zowel discrete productie als continue en batchprocessen. Typische omgevingen zijn productielijnen in de maakindustrie, chemie en farmacie, voedingsmiddelen (batchvisualisatie), waterzuivering en drinkwater (pompgemalen en zuiveringsstappen), energieopwekking en gebouwautomatisering. WinCC OA wordt daarnaast ingezet voor tunnelbesturing, verkeersmanagement, hoogspanningsnetten en grote onderzoeksinstallaties, waar honderdduizenden datapunten over meerdere locaties verspreid zijn.
In het Purdue Model zit WinCC op niveau 2 (supervisie en bediening). Een WinCC-panel staat vaak direct aan de machine, terwijl WinCC-servers in een aparte supervisiezone draaien en via OPC UA of een database-interface gegevens doorgeven aan MES, historians en ERP op niveau 3 en hoger. Zo levert WinCC de realtime data waar Industrie 4.0-toepassingen zoals Industrial AI en voorspellend onderhoud op voortbouwen.
⚡ Hoe regelt WinCC redundantie en beschikbaarheid?
Voor kritieke infrastructuur is stilstand van de bedieningslaag geen optie. De klassieke WinCC heeft daarvoor de optie WinCC/Redundancy, waarmee twee gekoppelde servers elkaar overnemen en hun archieven synchroniseren. Sinds TIA Portal V20 is er ook een redundantie-optie voor WinCC Unified-PC-runtimes; die vereist dat de historische data in Microsoft SQL Server staat in plaats van SQLite. WinCC OA is van origine gebouwd op gedistribueerde, redundante servers over meerdere locaties.
| Maatregel | Doel |
|---|---|
| Redundant serverpaar | Bediening blijft beschikbaar bij uitval van één server |
| Archiefsynchronisatie | Geen gaten in alarm- en trendhistorie |
| Redundant netwerk (ring) | Continuïteit bij kabel- of switchstoring |
| Client-failover | Operatorstations schakelen automatisch om |
| Virtualisatie | Snellere hersteltijd en eenvoudiger beheer van servers |
Zie ook Redundantie en High Availability voor de algemene principes.
🛡️ Welke rol speelt WinCC bij safety?
WinCC toont veiligheidsstatussen, emergency shutdown-meldingen, safety-alarmen en PROFIsafe-diagnose, maar voert zelf geen veiligheidsfunctie uit. De veiligheidsfunctie hoort in een safety-PLC of SIS die is ontworpen volgens IEC 61508, IEC 61511 (procesindustrie) of ISO 13849 (machines). Een noodstop of trip mag dus nooit afhankelijk zijn van een WinCC-scherm of -script.
🔐 Welke cybersecurityrisico’s horen bij WinCC?
WinCC draait op Windows en een SQL-database, en combineert daarmee IT-kwetsbaarheden met directe toegang tot het proces. Het bekendste voorbeeld is Stuxnet: die worm misbruikte in 2010 een hardgecodeerd wachtwoord voor de SQL Server-database van WinCC (CVE-2010-2772, CVSS 3.1-score 7,8) als onderdeel van de aanval op S7-controllers. Operators zagen intussen normale waarden in hun beelden.
Typische risico’s zijn ongeautoriseerde toegang tot operator- en engineeringstations, ransomware op Windows-servers, misbruik van remote access, manipulatie van historische data en verouderde, niet gepatchte installaties. De gevolgen variëren van productiestilstand tot verlies van zicht op het proces, met mogelijke safetyrisico’s.
| Maatregel | Doel |
|---|---|
| Netwerksegmentatie | WinCC-servers in een eigen zone, alleen noodzakelijke verbindingen |
| MFA en rollen | Sterke authenticatie, vooral voor engineering en remote toegang |
| Application Whitelisting | Alleen goedgekeurde software op operator- en serverstations |
| Logging | Audit trail van bedieningen, wijzigingen en aanmeldingen |
| Patchmanagement | Windows- en WinCC-updates na compatibiliteitstest |
| Backup | Herstelbare projecten, archieven en systeembeelden |
| Jump Server | Gecontroleerde remote toegang in plaats van directe verbindingen |
Siemens publiceert kwetsbaarheden via ProductCERT-advisories. Richt de beveiliging in volgens IEC 62443 en behandel het engineeringstation als kroonjuweel. Voor organisaties die onder de Cyberbeveiligingswet vallen (van kracht sinds 15 augustus 2026) is aantoonbaar beheer van zulke SCADA-systemen onderdeel van de zorgplicht.
🧪 Hoe pakt u een WinCC-project of -migratie praktisch aan?
Veel installaties draaien nog op WinCC V7.x of op oudere TIA-runtimes. Een gestructureerde aanpak voorkomt verrassingen:
- Inventariseer versies, opties, licenties (WinCC V7/V8 wordt gelicentieerd op het aantal PowerTags; controleer of het pakket de geplande uitbreiding aankan) en besturingssystemen. Gebruik de Siemens-compatibiliteitstool voor toegestane combinaties.
- Kies het doelplatform - blijf op de klassieke lijn (directe upgrade vanaf V7.2 naar V8.1) of migreer naar WinCC Unified, wat vaak betekent dat schermen en VBScript/C-scripts opnieuw moeten worden gebouwd in JavaScript.
- Let op Windows-limieten - op Windows 10 en 11 staat WinCC V8 maximaal drie clientverbindingen per server-clientsysteem toe; grotere systemen hebben Windows Server 2019 of 2022 nodig.
- Standaardiseer met bibliotheken, faceplates en naamgevingsconventies, en volg ISA-101 voor effectieve, rustige bedieningsschermen.
- Test in een OTAP-straat of met virtuele inbedrijfstelling, gevolgd door een FAT en SAT.
- Borg de levenscyclus - plan updates, back-ups en vervanging vooruit als onderdeel van lifecyclebeheer, zodat geen legacy-systeem ontstaat.
⚖️ Wat zijn de voor- en nadelen van WinCC?
| Voordelen | Nadelen |
|---|---|
| Diepe integratie met SIMATIC-PLC’s en TIA Portal | Sterke binding aan het Siemens-ecosysteem (vendor lock-in) |
| Schaalbaar van paneel tot gedistribueerde SCADA | Vier productlijnen met verschillende technologie en licenties |
| Uitgebreide alarm-, archief- en diagnosefuncties | Migraties tussen generaties vragen veel herengineering |
| Webgebaseerde bediening met WinCC Unified | Windows- en SQL-basis vraagt intensief patch- en securitybeheer |
❓ Veelgestelde vragen
Is WinCC een HMI of een SCADA-systeem?
WinCC is beide. Op machinepanelen werkt WinCC als lokale HMI, terwijl WinCC V7/V8, WinCC Professional, WinCC Unified-PC-runtime en WinCC OA als SCADA-systeem meerdere installaties centraal bewaken en archiveren.
Wat is het verschil tussen WinCC V8 en WinCC Unified?
WinCC V8 is de klassieke SCADA-lijn met een eigen engineeringomgeving, VBScript/ANSI-C-scripting en Microsoft SQL Server-archieven. WinCC Unified wordt in TIA Portal geconfigureerd, gebruikt HTML5, SVG en JavaScript en is bedoeld als nieuwe generatie voor zowel panelen als PC-systemen.
Wat is WinCC OA?
WinCC Open Architecture is een apart SCADA-platform dat oorspronkelijk PVSS heette en door het Oostenrijkse ETM werd ontwikkeld. Siemens nam ETM in 2007 volledig over en hernoemde PVSS in 2010 tot WinCC OA, dat vooral wordt gebruikt voor zeer grote, gedistribueerde systemen in energie, water en verkeer.
Hoe was WinCC betrokken bij Stuxnet?
Stuxnet misbruikte in 2010 een hardgecodeerd databasewachtwoord in Siemens WinCC (CVE-2010-2772) als onderdeel van de aanval op S7-controllers. Het incident maakte duidelijk dat SCADA-software zelf een aanvalsvector is en dat WinCC-omgevingen gesegmenteerd en gehard moeten worden.
Vervangt WinCC een safety-systeem?
Nee, WinCC visualiseert alleen veiligheidsstatussen en -alarmen. De veiligheidsfunctie zelf hoort in een safety-PLC of SIS die voldoet aan IEC 61508, IEC 61511 of ISO 13849.
Welke normen zijn relevant voor de beveiliging van WinCC?
De belangrijkste norm voor de beveiliging van WinCC-omgevingen is IEC 62443, met zones en conduits, security levels en eisen aan leveranciers en componenten. Daarnaast geven ISA-18.2 en ISA-101 richtlijnen voor alarmmanagement en bedieningsschermen.
📌 Samengevat
WinCC is de visualisatie- en SCADA-familie van Siemens, van machinepaneel tot gedistribueerd controlesysteem, met de klassieke WinCC V7/V8, de TIA Portal-edities, het webgebaseerde WinCC Unified en WinCC OA. Het koppelt SIMATIC-controllers aan operators en hogere IT-systemen, en vraagt daarom om zorgvuldige keuze van variant, redundantie en een beveiliging volgens IEC 62443.
WinCC is het venster van de operator op het proces: kies de juiste variant, maak het redundant waar nodig en beveilig het als kritiek OT-systeem.