Aktualisiert Juli 2026 · 7 Min. Lesezeit · Serkan İnkaya · Mechanical Engineer, ODTÜ
Was bedeutet OT/IT-Trennung für eine Bildverarbeitungszelle?
OT/IT-Trennung ist die Praxis, das operative Technologie-Netz, das den Werksboden betreibt, vom Informationstechnologie-Netz zu trennen, das das Geschäft betreibt, sodass ein Problem auf der einen Seite nicht auf die andere überspringen kann. Die gängige Referenz ist das Purdue-Modell, das eine Anlage vom physischen Prozess und den Steuerungen unten (Ebene 0-2), über den Standortbetrieb (Ebene 3), bis hinauf zur Unternehmens-IT und zum Internet oben (Ebene 4-5) schichtet. Eine Bildverarbeitungszelle, die Teile prüft und eine Ausschleusung antreibt, gehört nach unten, neben die SPS, der sie signalisiert.
Die Trennungsfrage für die Prüfung ist daher konkret: Erfordert das Hinzufügen der Bildverarbeitungszelle einen neuen Pfad über die OT/IT-Grenze, oder bleibt sie in der OT-Zone, wo der Rest der Zelle bereits lebt. Die Antwort hängt ganz davon ab, wo die Prüfentscheidung berechnet wird.
Adente Vision ist eine Edge-KI-Einheit für die visuelle Inspektion, entwickelt von ADENTE Advanced Engineering Technologies innerhalb der Aden Group und vertrieben über Automatisierungs-Systemintegratoren, und sie ist darauf ausgelegt, in der OT-Zone zu sitzen und nur mit der Zelle zu sprechen.
Warum erzwingt Cloud-Bildverarbeitung ein Loch in der OT-Grenze?
Cloud-Bildverarbeitung erzwingt ein Loch, weil die Entscheidung außerhalb des Werks getroffen wird. Wenn das Gut/Schlecht von einem Modell kommt, das auf einem externen Dienst gehostet wird, dann braucht jede Zelle eine Route vom OT-Boden, hinauf durch die Trennungsebenen, hinaus ins Internet und zurück, was eine ausgehende Firewall-Regel bedeutet und eine lebende Abhängigkeit, die die Grenze überquert, zu deren Schutz die Trennung existiert. Dieser Pfad ist genau das, was ein Werks-Sicherheitsteam zu minimieren versucht.
Ein ausgehendes Loch ist nicht nur ein Richtlinienproblem, es ist ein Angriffsflächenproblem. Jede Zelle mit einer Route zu einem externen Endpunkt ist eine weitere Sache zu authentifizieren, zu patchen, zu überwachen und zu berücksichtigen, wenn beurteilt wird, was die Steuerungen erreichen könnte. Je mehr Zellen die Grenze geöffnet brauchen, desto schwerer ist das Netz zu verteidigen und desto schwächer wird die Trennung in der Praxis.
Wo sitzt eine Edge-Prüfeinheit im Purdue-Modell?
Eine Edge-Prüfeinheit sitzt tief, auf den Zell- und Steuerungsebenen, und muss nie über den Standortbetrieb hinausreichen. Die Einheit erfasst das Bild, führt das Modell auf dem Gerät aus und gibt das Ergebnis direkt an die SPS, sodass die gesamte Entscheidungsschleife auf Ebene 1-2 in der OT-Zone bleibt. Kein Schenkel der Entscheidung reist hinauf zu Ebene 4 oder 5, und so gibt es kein ausgehendes Loch, das für die Prüfung zu öffnen wäre.
| Anliegen | Cloud- oder vernetzte Bildverarbeitung | Edge-Einheit in der Zelle |
|---|---|---|
| Purdue-Platzierung | Braucht einen Pfad von Ebene 2-3 hinaus zu einem externen Dienst | Lebt auf Ebene 1-2, neben der SPS |
| Ausgehende Firewall-Regel | Erfordert ein ausgehendes Loch zu einem Cloud-Endpunkt | Keine; keine ausgehende Abhängigkeit für die Entscheidung |
| Protokolle auf der Leitung | Fügt Cloud-APIs über IT-Netzwerk hinzu | Nur Feldbus und 24V-E/A, im OT-Netz |
| Angriffsfläche | Neue externe Exposition pro Zelle | Keine Cloud-Abhängigkeit anzugreifen |
| Daten verlassen das Werk | Rohbilder überqueren die Grenze | Bilder bleiben auf der Linie; nichts überquert |
Lesen Sie quer über die Tabelle, und die Trennungsgeschichte ist einseitig: Die Edge-Einheit fügt der Zelle einen Prüfer hinzu, ohne eine Grenzüberquerung hinzuzufügen. Weil die Inferenz auf einem lüfterlosen Board der Jetson-Klasse im Gehäuse läuft und Ergebnisse über Feldbus oder diskrete E/A hinausgehen, gewinnt die Zelle eine vollständige KI-Prüfung, während das Netzwerkdiagramm nichts gewinnt, das die OT/IT-Linie überquert.
Welche Protokolle halten die Bildverarbeitungszelle im Werksnetz?
Die Einheit spricht mit der Zelle über dieselben Industrieprotokolle, die der Rest des Bodens bereits nutzt, sodass nichts das OT-Netz verlassen muss. Adente Vision spricht PROFINET, EtherNet/IP, Modbus TCP, EtherCAT und OPC UA und trägt diskrete Signale über 4 Eingänge und 4 Ausgänge mit 24V. Ein Gut/Schlecht, ein Variantencode oder ein Ausschleusbefehl reist als Feldbus-Tag oder fest verdrahtetes Signal zur SPS, alles im Werksnetz, nichts davon zu einem externen Dienst geroutet.
Dieser Protokollsatz ist für die Trennung wichtig, weil er den Prüfer zu einem Peer der SPS macht, nicht zu einem Client der Cloud. Wo ein Fern-Dashboard zur Überwachung gewünscht ist, kann es mit Kennzahlen gespeist werden, ohne Rohbilder zu bewegen, und auf einer air-gapped Linie kommen Modell-Updates per USB-Stick, sodass selbst der Update-Pfad kein Öffnen der Grenze erfordert.
Was übergeben Sie der Werks-IT zur Freigabe?
Was Sie der Werks-IT übergeben, ist eine kurze, geschlossene Liste: ein OT-seitiges Gerät, das Feldbus und 24V-E/A spricht, seine Entscheidung auf dem Gerät berechnet und keine ausgehende Cloud-Abhängigkeit für die Prüfung hat. Teile-Rohbilder, die sensibles Prozess-IP sind, bleiben auf der Linie, es gibt also keine Datenausgangsregel zu schreiben und keine externe Region zu riskieren. Die Exposition der Einheit ist dieselbe Klasse wie jedes andere Zellengerät, kein neuer ins Internet gerichteter Dienst.
Das ist das praktische Argument dafür, einen Edge-Prüfer in die OT-Zone zu setzen: Er lässt sich wie ein intelligenter Sensor in die Zelle einsetzen, hält die Trennung intakt und gibt dem Integrator eine saubere Antwort, wenn das Sicherheitsteam des Kunden fragt, wohin die Bildverarbeitungseinheit gehört und was sie erreichen kann. Dazu, wie die Einheit in ein Integrator-Programm passt, und zur breiteren Edge-versus-Cloud-Abwägung siehe den Schwesterbeitrag zu Edge vs. Cloud in der visuellen Inspektion, und zur vollständigen Methode im Pillar-Leitfaden zur KI-Sichtprüfung.