Relacje katalogowe

Obsługiwane urządzenia

AVEVA System Platform jest przemysłową platformą SCADA i operations management, wcześniej rozwijaną pod marką Wonderware System Platform. Łączy model obiektowy instalacji, centralne repozytorium konfiguracji, rozproszone silniki aplikacyjne, komunikację ze sterownikami, interfejs operatorski OMI/InTouch oraz procesowy Historian. W katalogu bioreaktorów najdokładniej udokumentowane zastosowanie stanowi X-Station systemu Cytiva XDR-200 MO z wydaniem System Platform 2020 R2 P01.

Nazwa System Platform nie oznacza jednego procesu ani jednej stacji roboczej. W instalacji mogą występować oddzielne serwery Galaxy Repository, Application Object Server, Historian, stacje inżynierskie IDE, klienty OMI/InTouch, serwery komunikacyjne OI oraz usługi licencyjne. Zakres podatności, portów i procedur kopii trzeba dlatego ustalać dla każdego komponentu oraz wydania osobno.

Najważniejsze dane

Pole Potwierdzona wartość
Producent AVEVA Group Limited; historycznie Wonderware, następnie portfolio Schneider Electric Software
Nazwy AVEVA System Platform, Wonderware System Platform, System Platform
Rola rozproszona platforma SCADA, HMI, historian i model obiektowy dla aplikacji przemysłowych
Główne składniki Galaxy Repository, IDE, Application Server, WinPlatform, AppEngine, OMI, InTouch HMI, Historian, OI Server/Communication Drivers, Platform Common Services i Enterprise Licensing
Potwierdzone wydanie bioprocesowe System Platform 2020 R2 P01 na X-Station Cytiva XDR-200 MO
Bieżąca udokumentowana linia System Platform i OMI 2026; zachowana dokumentacja migracyjna 2023 R2/P01/SP1
System hosta 64-bit Microsoft Windows; role bazodanowe wymagają zgodnego 64-bit Microsoft SQL Server
Backend konfiguracji osobna baza SQL Server dla każdej Galaxy
Dane procesu AVEVA Historian: bloki historii oraz baza konfiguracyjna Runtime w SQL Server
Wizualizacja AVEVA Operations Management Interface (OMI) i InTouch HMI
Komunikacja OI Server/Communication Drivers, SuiteLink, OPC/OPC UA oraz sterowniki zależne od instalacji
Model licencji AVEVA Enterprise Licensing z plikiem XML Entitlement File i Activation ID; oferta wieczysta lub subskrypcyjna zależnie od pakietu
Nośnik licencji aktywacja programowa online albo offline; udokumentowany workflow nie wymaga dongla USB
Dystrybucja pełne produkty i aktualizacje przez AVEVA Knowledge & Support Centre/Product Hub; publiczna próba dotyczy InTouch HMI
Cena wycena System Platform/Operations Control przez AVEVA lub dystrybutora; InTouch jest odrębnym zakresem licencji

Ciągłość Wonderware, Schneider Electric i AVEVA

Wonderware stworzyło linię InTouch i architekturę ArchestrA, na której rozwinęła się System Platform. W 2014 r. Schneider Electric przejął Invensys, właściciela Wonderware. Po połączeniu działalności przemysłowego oprogramowania Schneider Electric z AVEVA portfolio zostało ujednolicone pod marką AVEVA. Z tego powodu w dokumentacji jednej instalacji mogą równolegle występować nazwy Wonderware, ArchestrA, Schneider Electric Software i AVEVA.

Nazwy te są wskazówką chronologiczną, a nie dowodem istnienia czterech odrębnych produktów. Przy identyfikacji stanowiska rozstrzygające są pełna lista zainstalowanych programów, ekran About, wersje plików, numer Galaxy, pakiet Communication Drivers, wersja Historian oraz stan poprawek.

Generacje i granice wersji

Generacja Znaczenie techniczne
Wonderware System Platform 2014 R2 SP1 starsza linia z klasycznym stosem ArchestrA; nadal pojawia się w zakresach podatności SuiteLink
System Platform 2017–2017 Update 2 linia objęta problemem ujawnienia ArchestrA Network User; granicą naprawczą jest 2017 Update 3
System Platform 2017 Update 3 zmieniony model uprawnień usług oraz poprawka problemu poświadczeń opisanego jako LFSEC00000135/CVE-2019-6525
System Platform 2020 wydanie, z którym dostarczano Platform Common Services 4.4.6
System Platform 2020 R2 i 2020 R2 P01 linia obecna w dokumentacji X-Station; P01 jest objęte biuletynami AutoBuild, SuiteLink, PCS Portal i ochrony poświadczeń
System Platform 2023 R2 wydanie z OMI Web Client, AVEVA Connect sign-on, mniejszą zależnością od DCOM i zmianami w Historian
System Platform 2023 R2 P01 poprawione wydanie z osobnym kompletem podręczników instalacyjnych i Application Server
System Platform 2023 R2 SP1 obecna linia dokumentacji wdrożeniowej i wymagań hosta; poprawki P02/P03 są istotne dla CVE Application Server IDE
System Platform i OMI 2026 usunięcie DCOM z funkcji produktu na rzecz gRPC, TLS 1.3-only, Diagnostics Manager, Universal Trust, niższe uprawnienia aplikacji oraz skrypty C#/Python w OMI

Wersja pakietu Cytiva nie powinna być podnoszona na podstawie bieżącej dokumentacji AVEVA. 2020 R2 P01 jest faktem o udokumentowanym X-Station XDR-200 MO, a linie 2023 R2/SP1 i 2026 opisują rozwój produktu oraz służą do porównania migracyjnego.

Architektura systemu

Przykładowa architektura AVEVA System Platform

Przykładowe wdrożenie z Development Studio, redundantnymi Application Servers, Historian, PLC/RTU, stacjami operatorskimi oraz opcjonalną warstwą enterprise. Źródło: AVEVA — System Platform. Obraz przedstawia możliwości platformy, nie topologię X-Station Cytiva.

Warstwa Funkcja Artefakty identyfikacyjne
Galaxy Repository, GR centralny magazyn modelu aplikacji i konfiguracji Galaxy nazwa Galaxy, instancja SQL, baza, wersja schematu i pliki backupu .cab
IDE projektowanie templates, instances, graphics, platforms i deployment wydanie IDE, użytkownik/grupa aaConfigTools, historia check-in oraz eksporty
Bootstrap ustanowienie zarządzanego węzła i komunikacja wdrożeniowa wersja usługi, Network Account i przypisanie do platformy
WinPlatform reprezentacja zarządzanego komputera w Galaxy nazwa obiektu, host, redundancja, deployment state i zasoby
AppEngine uruchamianie obiektów aplikacyjnych i skryptów przypisane obiekty, scan groups, wersje template i stan runtime
Application Object Server, AOS host dla WinPlatform/AppEngine i runtime objects rola serwera, partner redundantny, usługi i porty 30000/30001
OI Server / Communication Drivers komunikacja z PLC, RTU i urządzeniami nazwa drivera, wersja, topic/device group, adresacja i port protokołu
OMI / InTouch interfejs operatorski desktop/web, alarmy, trendy i nawigacja kontekstowa ViewApp, layout, graphics, użytkownicy i build runtime
Historian zapis wartości czasowych, alarmów i zdarzeń wersja serwera, storage paths, bloki historyczne, baza Runtime i retencja
Platform Common Services wspólne usługi portalu, tożsamości i komunikacji wersja PCS, endpointy, certyfikaty i składniki OPC UA
Enterprise Licensing wydawanie i odzyskiwanie licencji komponentów Entitlement File, Activation ID, License Server i rezerwacje

System może działać na jednym komputerze laboratoryjnym, ale duże wdrożenia rozdzielają role na wiele serwerów i stacji roboczych. Rozdzielenie poprawia skalowanie i redundancję, jednocześnie zwiększając liczbę przepływów sieciowych, kont usługowych, certyfikatów i kopii wymaganych do pełnego odtworzenia.

Galaxy Repository i IDE

Każda Galaxy otrzymuje własną bazę w Microsoft SQL Server. Repozytorium przechowuje definicje templates, instancje, konfigurację platform, obiekty aplikacyjne, wdrożenia i zasoby graficzne. IDE służy do tworzenia i wersjonowania tej struktury oraz do deploymentu na węzły runtime.

Obiektowy model pozwala dziedziczyć konfigurację z templates i tworzyć wiele instancji urządzeń. W instalacji bioprocesowej mogą to być zbiorniki, regulatory temperatury/pH/DO, pompy, MFC, zawory, fazy, alarmy i obliczenia. Zmiana template może więc propagować się do wielu obiektów; kontrola zmian powinna obejmować template, instancje pochodne, deployment i test procesu.

Edytor responsywnego układu OMI

Edytor układu OMI z narzędziami ArchestrA IDE widocznymi na pasku zadań. Źródło: AVEVA — System Platform. Kadr dokumentuje środowisko projektowe rodziny, bez numeru builda.

Application Server, WinPlatform i AppEngine

Application Server wykonuje logikę modelu poza sterownikiem PLC. WinPlatform reprezentuje host, a AppEngine uruchamia przypisane obiekty, zbiera dane i wykonuje skrypty. Redundantna para AOS może podtrzymywać runtime po awarii jednego serwera.

Ta warstwa nie zastępuje deterministycznych zabezpieczeń procesu w PLC lub niezależnym systemie safety. Skrypty AppEngine mogą jednak zmieniać setpointy, tryby, fazy i dane przekazywane operatorowi, dlatego projekt Galaxy, wersja templates oraz prawa do deploymentu są artefaktami krytycznymi dla integralności procesu.

OMI i InTouch

Operations Management Interface buduje interfejs z reusable content, asset hierarchy i kontekstową nawigacją. Ten sam ViewApp może dopasowywać układ do stacji operatorskiej, przeglądarki i rozdzielczości ekranu. InTouch pozostaje powiązanym środowiskiem HMI; w starszych instalacjach nazwa InTouch lub Wonderware może być widoczna bez współczesnej nazwy OMI.

Ekran operatorski InTouch OMI

Runtime InTouch OMI z mapą, obrazem, trendem i listą alarmów. Źródło: AVEVA — System Platform. Jest to demonstracyjna aplikacja producenta, nie ekran bioreaktora.

Wydanie 2023 R2 wprowadziło OMI Web Client oraz AVEVA Connect sign-on. Funkcji tych nie należy automatycznie przypisywać X-Station z 2020 R2 P01. W tym modelu najpierw sprawdza się zainstalowane komponenty, aktywne strony IIS/PCS, certyfikaty i faktyczne przepływy sieciowe.

Historian i SQL Server

AVEVA Historian wykorzystuje własne bloki historii do szybkiego zapisu danych procesowych, a konfigurację i metadane utrzymuje w bazie SQL Server Runtime. Osobno występują systemowe bazy SQL master i msdb. Alarmy, zdarzenia, dane bieżące, bloki historyczne i raporty nie tworzą jednego samowystarczalnego pliku Galaxy.

AVEVA Historian Client Web

Historian Client Web z trendami różnych typów danych, osią batch i szczegółem alarmu. Źródło: AVEVA — System Platform.

W środowisku bioprocesowym Historian może przechowywać wartości pH, DO, temperatury, ciśnienia, przepływów gazów, rpm, masy i objętości dozowania, a także stany faz i alarmów. Integralność rekordu wymaga powiązania danych z wersją projektu Galaxy, konfiguracją PLC, identyfikatorem batch, synchronizacją czasu i kontem wykonującym zmianę.

Communication Drivers łączą platformę z PLC, RTU oraz urządzeniami polowymi. Konkretny protokół zależy od zainstalowanego drivera. Dokumentacja portów obejmuje między innymi Siemens S7, Modbus TCP, MQTT, Allen-Bradley/EtherNet/IP i starsze kanały DAS/SuiteLink, ale sama instalacja System Platform nie dowodzi, że wszystkie te protokoły są aktywne.

SuiteLink jest protokołem komunikacyjnym Wonderware/AVEVA działającym standardowo na TCP/5413. OPC UA może występować po stronie Platform Common Services, InTouch albo wybranego OI Servera. DCOM/RPC i klasyczny OPC DA pozostają istotne dla starszych architektur. W inwentaryzacji zapisuje się nazwę modułu, jego wersję, skonfigurowane endpointy oraz rzeczywisty kierunek ruchu.

Wymagania hosta linii 2023

Dokumentacja 2023 R2 SP1 wymaga 64-bitowego Windows. Galaxy Repository, Historian i System Monitor używają 64-bitowego SQL Server, a platforma wymaga .NET Framework 4.8. Dobór wspieranej edycji Windows i SQL zależy od roli oraz wydania System Platform.

Wirtualizacja jest obsługiwana jako sposób rozmieszczenia ról, lecz snapshot maszyny nie zastępuje spójnej kopii Galaxy i Historian. Stan VM, bazy SQL, bloki historii, licencje i zależności domenowe muszą być odtwarzane jako jeden udokumentowany plan.

System Platform i OMI 2026

One-sheet AVEVA dla wydania 2026 dokumentuje kolejną istotną granicę architektoniczną. DCOM został usunięty z funkcji produktu i zastąpiony komunikacją gRPC, podczas gdy 2023 R2 jedynie zmniejszało ślad DCOM. Platforma może działać w środowisku dopuszczającym wyłącznie TLS 1.3, a aplikacje natywne pracują z niższymi uprawnieniami.

W warstwie utrzymaniowej pojawia się pierwsze produkcyjne wydanie Diagnostics Manager oraz Universal Trust dla komunikacji między wieloma Galaxy. Instalator Application Server pozwala wybierać komponenty, dzięki czemu węzeł runtime nie musi otrzymywać zbędnych narzędzi. Aktualizacje Historian, InTouch i OMI mają wspólny workflow ograniczający liczbę ponownych deploymentów.

OMI 2026 dodaje namespace methods oraz hostowane skrypty C# i Python. Templates można eksportować i importować jako CSV, a grafikę jako XML. Pliki te stają się artefaktami wykonawczymi i importowymi, które powinny podlegać review, kontroli źródła i skanowaniu przed wprowadzeniem do Galaxy. Zmiany 2026 nie są właściwościami X-Station z 2020 R2 P01 bez udokumentowanej modernizacji.

Licencjonowanie, aktywacja i cena

AVEVA Enterprise Licensing przekazuje zakupione uprawnienia w pliku XML Entitlement File. Plik zawiera co najmniej jeden Activation ID. License Manager importuje uprawnienie do wskazanego License Servera, a uruchamiane komponenty pobierają i zwalniają licencje. System obsługuje rezerwacje dla urządzeń lub użytkowników oraz aktywację online i offline.

Element Działanie
Entitlement File przenosi listę zakupionych uprawnień i Activation IDs do License Managera
License Server przechowuje aktywacje i wydaje licencje klientom
License Manager import, aktywacja, deaktywacja, pairing i administracja
rezerwacja wiąże wybrane uprawnienie z urządzeniem albo użytkownikiem
aktywacja online serwer licencji komunikuje się z usługą aktywacyjną AVEVA
aktywacja offline pliki żądania i odpowiedzi przenosi się przez drugi komputer z Internetem
redundancja para License Servers może synchronizować stan aktywacji

Workflow jest programowy i plikowy. Dokumentacja Enterprise Licensing nie opisuje dongla USB jako wymaganego nośnika licencji System Platform. Port USB może być użyty do kontrolowanego przeniesienia pliku aktywacji offline, ale nie pełni roli sprzętowego klucza licencyjnego.

System Platform może być kupowany w ramach AVEVA Operations Control/Flex. Oferta obejmuje kombinacje System Platform, InTouch, Historian, raportów i communication drivers w poziomach Edge, Supervisory oraz Enterprise albo w wariancie unlimited. AVEVA publikuje ceny InTouch Unlimited i InTouch Workstation, lecz są to ceny osobnej oferty HMI. Kompletne wdrożenie System Platform podlega konfiguracji i wycenie AVEVA lub partnera.

Instalatory, aktualizacje i wersja próbna

Pełne obrazy produktu, poprawki, readme i kompatybilność wersji są obsługiwane przez AVEVA Knowledge & Support Centre oraz Product Hub. Pobranie wymaga konta; dostęp do produktu zależy od przypisanych uprawnień i umowy Customer FIRST, a część paczek ma dodatkowy etap akceptacji.

Materiał Publiczny sposób dostępu Zakres
System Platform — pełny produkt Product Hub po zalogowaniu obrazy instalacyjne właściwe dla zakupionych produktów
poprawki i update Knowledge & Support Centre po zalogowaniu paczki, readme i informacje kompatybilności
podręczniki portal docs.aveva.com, nośnik instalacyjny albo KSC instalacja, Application Server, deployment, OMI, Historian i licensing
InTouch HMI Trial formularz AVEVA Engage oddzielna próba InTouch, nie pełna próba System Platform
WindowMaker free development bieżąca oferta InTouch bezpłatne środowisko developerskie InTouch
WindowViewer demo mode mechanizm InTouch sesja demonstracyjna do 120 minut bez ważnej licencji

Pobrany plik ISO, ZIP lub hotfix należy powiązać z numerem zgłoszenia/umowy, zachować oryginalną nazwę i hash, a przed wdrożeniem porównać wymagania OS/SQL oraz kolejność instalacji komponentów. Publiczny trial InTouch nie powinien być używany jako dowód dostępności bezpłatnego System Platform.

Konta Windows, Network Account i grupy

Instalator tworzy lub wskazuje ArchestrA Network Account używane przez komunikujące się węzły. Ta sama nazwa i hasło muszą obowiązywać na właściwych komputerach. Nie jest to jedno fabryczne konto AVEVA z publicznym hasłem; dane wybiera wdrażający.

Bieżąca konfiguracja blokuje Network Account możliwość interaktywnego logowania lokalnego i przez RDP. Konta nie usuwa się zwykłymi narzędziami Windows, ponieważ jest zarządzane przez mechanizmy platformy. Przy rotacji poświadczenia zmianę trzeba przeprowadzić spójnie na wszystkich objętych węzłach.

Grupa lub konto Znaczenie
aaConfigTools grupa wymagana do pracy z narzędziami konfiguracji, w tym IDE
Performance Monitor Users od 2017 Update 3 wspiera pracę usług bez pełnych praw administratora
PSMS Administrators grupa związana z zarządzaniem platformą/usługami w nowszym modelu uprawnień
Administrators pozostaje częścią ścieżki migracyjnej dla instalacji aktualizowanych z 2017 U2 i starszych
Distributed COM Users znaczenie przede wszystkim w starszych architekturach DCOM i przy migracji

Uwierzytelnianie Galaxy

Galaxy obsługuje tryby None, Galaxy, OS User Based, OS Group Based oraz authentication providers. Dla środowisk regulowanych AVEVA wskazuje integrację z systemem operacyjnym i Active Directory, ponieważ pozwala stosować centralną politykę hasła, wyłączanie kont i grupy domenowe.

W trybie Galaxy istnieją wbudowane konta Administrator i DefaultUser. Początkowo mają pełne uprawnienia, a podczas pierwszego ustawiania ich haseł pole starego hasła może być puste. Jest to właściwość trybu Galaxy, nie hasło blank przypisane każdemu X-Station. Inwentaryzacja powinna zapisać aktywny tryb uwierzytelniania, przypisania ról, źródło tożsamości i konta techniczne bez przechowywania jawnych sekretów w katalogu.

Porty — linia 2020 R2 P01

Poniższa macierz opisuje udokumentowane komponenty linii 2020. Port pojawia się w profilu hosta wyłącznie wtedy, gdy odpowiedni składnik jest zainstalowany i aktywny.

Port/protokół Komponent lub funkcja
TCP 135 Microsoft RPC Endpoint Mapper i DCOM
TCP 139, 445 NetBIOS/SMB używane przez zależności Windows i wdrożenia
TCP 49152–65535 dynamiczny zakres DCOM współczesnego Windows
TCP/UDP 30000 komunikacja WinPlatform i platform management
TCP 30001 komunikacja pary redundantnej WinPlatform/AOS
TCP 8090 aaGR, dostęp do Galaxy Repository
TCP 32568 aaEngine oraz klasyczny kanał Historian
TCP 5026 Network Message Exchange service, NmxSvc
TCP 80, 443, 808 Platform Common Services i funkcje webowe zależne od konfiguracji
UDP 1900 discovery PCS/SSDP w odpowiedniej konfiguracji
TCP 7084, 7085 usługi Platform Common Services
TCP 3575, 3586 usługi zdarzeń platformy
TCP 1433 domyślna instancja Microsoft SQL Server
UDP 1434 SQL Server Browser i nazwane instancje
TCP 5413 SuiteLink Server
TCP 80, 443, 55555, 59200 AVEVA Enterprise Licensing linii 2020

SQL może działać na porcie niestandardowym, a named instance nie musi używać 1433. DCOM może zostać ograniczony do mniejszego zakresu administracyjnie. Macierz zapory powinna wynikać z rozmieszczenia ról, a nie z otwarcia wszystkich portów na każdym węźle.

Porty — linia 2023 R2/SP1

Port/protokół Zmiana lub funkcja w linii 2023
TCP 32565 Historian Client Access Point NG
TCP 32568 kanał legacy Historian zachowany dla zgodności
TCP 32573 zabezpieczony endpoint REST Historian
TCP 48031 OPC UA w Platform Common Services
TCP 48032–65000 zakres endpointów InTouch OPC UA zależny od konfiguracji
TCP 50051, 55559, 59201 nowsze przepływy Enterprise Licensing
TCP 102 Siemens S7 wyłącznie z odpowiednim driverem
TCP 502 Modbus TCP wyłącznie z odpowiednim driverem
TCP 1883/8883 MQTT bez TLS/z TLS wyłącznie w skonfigurowanej integracji
TCP/UDP 2221–2223 wybrane drivery urządzeń i discovery
TCP 18245 wybrany kanał drivera AVEVA
TCP/UDP 44818 EtherNet/IP wyłącznie z driverem Allen-Bradley

W 2023 R2 część komunikacji platformowej przeniesiono z DCOM do gRPC, zmniejszając zależność od dynamicznych portów. Migracja nie oznacza automatycznego zamknięcia DCOM: zależy to od zainstalowanych komponentów, starszych klientów i konfiguracji OPC.

Kopia Galaxy Repository

Galaxy Database Manager w SMC/OCMC tworzy archiwum .cab. Kopia obejmuje pliki, konfigurację i stany deploymentu potrzebne do odtworzenia Galaxy w pustym Galaxy Repository. Podczas backupu repozytorium nie powinno przyjmować zapisów. Przed restore obiekty należy undeployować, a klientów odłączyć od repozytorium.

Archiwum Galaxy jest kopią konfiguracji aplikacji. Nie zawiera pełnej historii procesu, wszystkich plików systemu operacyjnego ani obrazu dysku stacji. Plan odtworzenia powinien osobno uwzględniać system Windows, SQL Server, sterowniki komunikacyjne, certyfikaty, konfigurację zapory, konta usługowe, licencje i projekt PLC.

Kopia Historian i licencji

Historian wymaga kopii bazy Runtime, baz systemowych master i msdb oraz katalogów history blocks. VSS pozwala przygotować spójną kopię bloków podczas pracy serwera. Odtwarzanie wykonuje się po zatrzymaniu Historian, w prawidłowej kolejności dla SQL i bloków.

License Server może działać redundantnie i synchronizować aktywacje. Wymiana węzła wymaga kontrolowanej deaktywacji, ponownego pairing oraz reaktywacji. Skopiowanie pliku .cab Galaxy lub obrazu starego dysku nie przenosi automatycznie prawa licencyjnego na nowy host.

Aktualizacja i odtworzenie stanowiska

Pakiet aktualizacyjny należy zestawić z compatibility matrix dla System Platform, InTouch/OMI, Historian, Communication Drivers, SQL Server i Windows. Bezpieczna kolejność prac obejmuje:

  1. zapis wersji wszystkich komponentów, aktywacji i deployment state;
  2. kopię Galaxy, Historian, konfiguracji driverów, certyfikatów i systemu;
  3. test odtworzenia na odseparowanym środowisku;
  4. aktualizację zgodnie z readme konkretnego wydania;
  5. ponowny deployment i test komunikacji;
  6. test alarmów, historii, receptur, synchronizacji czasu i redundancji;
  7. test procesu na bezpiecznym medium przed powrotem do produkcji.

W przypadku X-Station lista obejmuje także wersję aplikacji Cytiva/Figurate, projekt PLC, mapę I/O, recipe management i interfejsy urządzenia. Sama aktualizacja AVEVA może naruszyć zwalidowany zestaw dostawcy, dlatego musi być oceniona razem z change-control Cytiva.

Historia podatności — przegląd

CVE Komponent Zakres istotny dla System Platform Typ i skutek
CVE-2019-6525 Application Server / Network User 2017 Update 2 i starsze niewłaściwa ochrona poświadczeń i uprawnień; dostęp do danych ArchestrA Network User
CVE-2021-32977 AutoBuild 2017–2020 R2 P01 niewłaściwa weryfikacja podpisu, CWE-347
CVE-2021-32981 AutoBuild 2017–2020 R2 P01 path traversal, CWE-22
CVE-2021-32985 AutoBuild 2017–2020 R2 P01 niewłaściwa walidacja pochodzenia, CWE-346
CVE-2021-33008 AutoBuild 2017–2020 R2 P01 brak uwierzytelnienia funkcji krytycznej, CWE-306
CVE-2021-33010 AutoBuild 2017–2020 R2 P01 nieobsłużony wyjątek i DoS, CWE-248
CVE-2021-32959 SuiteLink Server 2014 R2 SP1 P02–2020 R2 P01 heap buffer overflow, CWE-122; możliwe RCE lub DoS
CVE-2021-32971 SuiteLink Server ten sam zakres NULL pointer dereference, CWE-476; DoS
CVE-2021-32987 SuiteLink Server ten sam zakres NULL pointer dereference, CWE-476; DoS
CVE-2021-32999 SuiteLink Server ten sam zakres niewłaściwa obsługa warunków wyjątkowych, CWE-755; DoS
CVE-2021-38410 Platform Common Services Portal PCS 4.4.6–4.5.2 DLL hijacking / uncontrolled search path, CWE-427
CVE-2022-0835 Application Server, OMI, Historian i Historian Client 2020 R2 P01 i starsze jawne poświadczenia w pamięci i diagnostic dumps, CWE-316/CWE-312
CVE-2023-33873 Operations Control Logger 2020 R2 SP1 P01 i starsze lokalne podniesienie uprawnień do SYSTEM, CWE-250
CVE-2023-34982 Operations Control Logger 2020 R2 SP1 P01 i starsze usuwanie pliku jako SYSTEM i DoS, CWE-73
CVE-2024-7113 SuiteLink Server SuiteLink do 3.7.0 nieograniczona alokacja zasobów, CWE-770; zdalny DoS
CVE-2025-8386 Application Server IDE do 2023 R2 SP1 P02 stored XSS w pomocy App Object, CWE-80

Tabela obejmuje 16 identyfikatorów CVE. Nie wszystkie występują równocześnie na jednym hoście: decydują wersje AutoBuild, SuiteLink, PCS, Logger i IDE oraz to, czy dany składnik został zainstalowany.

AutoBuild — pięć CVE z 2021 r.

Biuletyn AVEVA-2021-002 obejmuje System Platform od 2017 do 2020 R2 P01 włącznie. Pięć błędów AutoBuild można łączyć w scenariusz prowadzący do wykonania kodu jako SYSTEM albo do odmowy usługi. Poprawkę dostarcza Communication Drivers Pack 2020 R2.1.

AutoBuild powinien być wyłączony na węzłach runtime. Na Galaxy Repository pozostaje aktywny tylko wtedy, gdy jest wymagany przez rzeczywisty workflow. Kontrola ogranicza powierzchnię ataku, lecz nie zastępuje aktualizacji komponentu.

Biuletyn AVEVA-2021-003 dotyczy SuiteLink Server od System Platform 2014 R2 SP1 P02 do 2020 R2 P01. CVE-2021-32959 obejmuje heap buffer overflow dla komend 0x05/0x06; pozostałe błędy dotyczą komend 0x07, 0x0b i 0x01 oraz prowadzą do DoS. Poprawione wydanie to SuiteLink 3.2.002.

Zakres odnosi się do serwera SuiteLink. Sam klient SuiteLink nie jest objęty tym biuletynem. Na hoście identyfikuje się obecność usługi/biblioteki serwera i nasłuch TCP/5413.

CVE-2024-7113 jest późniejszym problemem alokacji zasobów w SuiteLink do 3.7.0. Poprawkę zawiera SuiteLink 3.7.100. Ta podatność dotyczy wyłącznie węzłów z SuiteLink Server, nie każdego klienta System Platform.

PCS Portal i DLL hijacking

CVE-2021-38410 obejmuje Platform Common Services Portal 4.4.6–4.5.2. Wersja 4.4.6 była dostarczana z System Platform 2020, a 4.5.2 z 2020 R2 i 2020 R2 P01. Błąd uncontrolled search path umożliwiał DLL hijacking.

Poprawione wersje to PCS 4.4.7 dla System Platform 2020 oraz PCS 4.5.3 dla 2020 R2/P01. Dla XDR-200 MO z udokumentowanym 2020 R2 P01 jest to bezpośredni punkt weryfikacyjny: należy odczytać wersję PCS, zamiast wnioskować o podatności wyłącznie z wersji głównego produktu.

Poświadczenia w starszych generacjach

LFSEC00000135/CVE-2019-6525 dotyczy System Platform 2017 Update 2 i starszych. Interfejs API pozwalał uzyskać poświadczenia ArchestrA Network User wskutek niewłaściwej ochrony danych i uprawnień. Granicą naprawczą jest 2017 Update 3.

AVEVA-2021-007/CVE-2022-0835 obejmuje 2020 R2 P01 i wcześniejsze wersje Application Server, OMI, Historian oraz Historian Client. Poświadczenia Network User lub zalogowanego użytkownika mogły pozostać w postaci jawnej w pamięci procesu i trafić do diagnostic dump. Ochrona obejmuje aktualizację, ograniczenie dostępu do dumpów, kontrolowaną diagnostykę i rotację ujawnionych sekretów.

Operations Control Logger

AVEVA-2023-003 dotyczy System Platform 2020 R2 SP1 P01 i wszystkich wcześniejszych wydań korzystających z podatnego Operations Control Logger. CVE-2023-33873 pozwala lokalnemu użytkownikowi podnieść uprawnienia do SYSTEM, a CVE-2023-34982 umożliwia usunięcie pliku z prawami SYSTEM, co może doprowadzić do DoS.

AVEVA zaleca System Platform 2023 lub nowszy albo Logger 22.1+, z uwzględnieniem zgodności całego stosu. Ponieważ są to błędy lokalne, szczególne znaczenie mają prawa do logowania na stacji, konta serwisowe, RDP oraz możliwość uruchamiania plików z nośników wymiennych.

Application Server IDE — CVE-2025-8386

CVE-2025-8386 obejmuje Application Server IDE do 2023 R2 SP1 P02. Uwierzytelniony użytkownik należący do aaConfigTools może zapisać payload XSS w pomocy obiektu aplikacyjnego. Kod wykonuje się podczas pracy z treścią w IDE. Poprawkę zawiera 2023 R2 SP1 P03 lub nowsze wydanie wskazane przez AVEVA.

Jest to podatność stanowiska inżynierskiego i danych projektowych, a nie runtime OMI. Kontrola obejmuje ograniczenie aaConfigTools, review importowanych templates/Galaxy oraz aktualizację IDE.

InTouch Access Anywhere jako składnik opcjonalny

InTouch Access Anywhere rozszerza HMI o klienta przeglądarkowego i ma własną historię biuletynów. Obecność InTouch albo System Platform nie oznacza automatycznie instalacji Access Anywhere. Tę warstwę dodaje się do profilu podatności dopiero po wykryciu gateway, usług, certyfikatów lub pakietu ITAA.

Powiązane urządzenia

Urządzenie Siła relacji Zakres potwierdzony
Cytiva XDR-200 MO dokładna wersja X-Station z AVEVA System Platform 2020 R2 P01 i Microsoft SQL Server
Cytiva XDR-50 MO historyczna rodzina Wonderware X-Station z Wonderware HMI/historian; karta nie przenosi wersji 2020 R2 P01 z XDR-200
Pall iCELLis 500+ rodzina ArchestrA bieżący opis warstwy AVEVA ArchestrA i starsza nazwa Wonderware
Pierre Guérin ICEM Turnkey opcja projektowa System Platform jest jedną z platform możliwych w dużym projekcie, obok Siemens i Rockwell

Pierwsza relacja pozwala mapować zakresy wersjiowe CVE do konkretnego X-Station. Pozostałe relacje służą do odnalezienia rodziny technologicznej albo opcji integracyjnej; nie są podstawą do przypisania urządzeniu wersji, portu czy podatności.

Inwentaryzacja instalacji

Minimalny rekord System Platform powinien zawierać:

  • nazwę Galaxy, host Galaxy Repository i instancję SQL;
  • wersje System Platform, Application Server, IDE, OMI/InTouch, Historian, PCS, SuiteLink, Logger i Communication Drivers;
  • role każdego hosta, WinPlatform, AppEngine oraz partnerów redundantnych;
  • wydanie Windows, SQL Server, .NET i stan poprawek;
  • tryb uwierzytelniania Galaxy, źródło tożsamości i członkostwo aaConfigTools;
  • tożsamość Network Account bez utrwalania jawnego hasła;
  • endpointy OI/OPC/SuiteLink, rzeczywiste porty i reguły zapory;
  • certyfikaty, daty ważności i zaufane urzędy;
  • lokalizacje bloków Historian, bazy SQL i politykę retencji;
  • Entitlement File, Activation IDs, License Servers i procedurę aktywacji offline;
  • datę ostatniego backupu Galaxy/Historian oraz wynik testu odtworzenia;
  • hash projektu Galaxy, eksportów konfiguracji driverów i pakietów aktualizacyjnych;
  • powiązanie z projektem PLC, recepturami, batchami i dokumentacją change-control dostawcy urządzenia.

Zalecany profil ochrony

  1. Rozdzielić stacje inżynierskie, serwery runtime, Historian, SQL i klientów operatorskich zgodnie z rolami.
  2. Dopuścić między segmentami tylko przepływy wynikające z konkretnej macierzy komponentów.
  3. Usunąć AutoBuild z węzłów runtime i wyłączyć go na GR, jeżeli workflow go nie używa.
  4. Zaktualizować SuiteLink, PCS Portal, Logger i IDE do wydań naprawczych zgodnych z całym stosem.
  5. Ograniczyć aaConfigTools, konta lokalne, RDP i możliwość tworzenia diagnostic dumps.
  6. Stosować OS/AD authentication dla środowisk regulowanych i indywidualne konta operatorów.
  7. Chronić Galaxy Repository, Historian, Entitlement Files, Activation IDs i kopie konfiguracji jako zasoby uprzywilejowane.
  8. Monitorować deployment, zmiany templates, importy obiektów, modyfikacje driverów i nietypowy ruch na 5413, 30000/30001, 8090 oraz portach SQL.
  9. Testować backup Galaxy, SQL i history blocks na odseparowanym stanowisku.
  10. Po aktualizacji wykonać test alarmów, trendów, komunikacji PLC, redundancji i funkcji procesu na bezpiecznym medium.

Materiały techniczne i pobieranie

Materiał Zawartość Dostęp
System Platform datasheet funkcje OMI, Historian, architektura i przykładowe ekrany PDF AVEVA
System Platform — przykładowe architektury wariant basic, expanded i comprehensive oraz rozdział ról PDF AVEVA
System Platform i OMI 2026 gRPC bez DCOM, TLS 1.3-only, Diagnostics Manager, Universal Trust i skrypty C#/Python PDF AVEVA
System Platform 2023 R2 — What's New OMI Web Client, Connect sign-on, gRPC i zmiany Historian artykuł AVEVA
Installation Guide 2023 R2 P01 wymagania, instalacja, konta, porty i role węzłów dokumentacja AVEVA
Application Server Guide 2023 R2 P01 Galaxy, IDE, templates, obiekty i runtime dokumentacja AVEVA
System Platform Deployment 2023 R2 architektura, dokumenty wdrożeniowe i 21 CFR Part 11 dokumentacja AVEVA
System Platform Get Started 2023 R2 narzędzia, workflow i wsparcie dokumentacja AVEVA
Knowledge & Support Centre pełne produkty, update, readme i compatibility portal AVEVA
InTouch HMI Trial formularz próby oddzielnego produktu InTouch AVEVA Engage

Biuletyny bezpieczeństwa

Biuletyn Temat
LFSEC00000135 ArchestrA Network User i CVE-2019-6525
AVEVA-2021-002 pięć podatności AutoBuild
AVEVA-2021-003 cztery podatności SuiteLink Server
AVEVA-2021-007 poświadczenia w pamięci i diagnostic dumps, CVE-2022-0835
AVEVA-2021-008 PCS Portal i CVE-2021-38410
AVEVA-2023-001 opcjonalny InTouch Access Anywhere
AVEVA-2023-003 Operations Control Logger
AVEVA-2024-007 SuiteLink CVE-2024-7113
AVEVA-2025-005 Application Server IDE CVE-2025-8386

Źródła