IIoT-Konnektivität in der intelligenten Fertigung: Ein Leitfaden für die Netzwerkarchitektur
Aktualisiert: vor 4 Tagen
Eine Maschine kann ihre lokale Steuerung fortsetzen, während Wartungsteams keine Alarme, Zustände oder Fernzugänge mehr erreichen. Diese Lücke lässt sich nicht allein durch die Wahl eines 5G-Routers schließen. Die Architektur muss zeigen, welche Geräte Daten austauschen, wo diese verarbeitet werden, welcher Übertragungsweg genutzt wird und wer auf die Systeme zugreifen darf.
Beginnen Sie mit diesen Wegen und Zuständigkeiten. Erst danach lässt sich entscheiden, ob Ethernet, WLAN, Mobilfunk wie 5G, ein Industrie-Gateway oder eine Kombination benötigt wird.
Das Wichtigste
Erfassen Sie Daten- und Fernzugriffswege mit Endpunkten, Richtung, Protokoll, Eigentümer und betrieblicher Bedeutung, bevor Sie Geräte vergleichen.
Lokale Steuerungs- und Sicherheitsfunktionen bleiben in den dafür freigegebenen Systemen. Fernüberwachung, Engineering-Zugriff und Cloud-Berichte sind eigene Datenflüsse mit definierten Grenzen.
Ein Router leitet IP-Verkehr weiter. Protokollwandlung, Datenerfassung, Edge-Verarbeitung und flächendeckendes Funknetz sind andere Aufgaben, sofern ihre Umsetzung nicht für das konkrete Produkt nachgewiesen wurde.
5G ist eine mögliche Zugangstechnik. Entscheidend sind Standort, Datenverkehr, Mobilität, Betreiber und Anwendung; geprüft wird der vollständige Ende-zu-Ende-Weg.
Akzeptanzkriterien ergeben sich aus der Anwendung. Verbindungsanzeige und Ping allein belegen weder Leistung noch Sicherheit, Ausfallschutz oder Wiederanlauf.
Von der Produktionsaufgabe ausgehen
„Die Fabrik mit der Cloud verbinden“ ist kein überprüfbarer Auftrag. Wartungsalarme, Kamerabilder, eine Engineering-Sitzung mit einer SPS und zeitkritische Bewegungssteuerung haben unterschiedliche Endpunkte, Zeitvorgaben und Ausfallfolgen.
Dokumentieren Sie für jeden geplanten Datenfluss:
Quelle und Ziel, etwa Zähler und Historian oder Engineering-Rechner und freigegebene SPS-Schnittstelle.
Richtung und Zweck: Telemetrie, Konfiguration, Fernwartung oder Steuerung.
Schnittstelle und Protokoll an beiden Enden sowie Gateways oder Anwendungen, die Daten umsetzen oder speichern.
Aktualisierungsrate, Antwortzeit, Verfügbarkeit und Verhalten bei Verbindungsverlust. Die zuständigen Personen für Steuerung und Betrieb müssen diese Werte für die konkrete Anwendung festlegen.
Zuständigkeit für Betrieb, Schutz und Support jeder Verbindung.
Diese Liste macht offene Fragen sichtbar. „Modbus“ bestimmt weder Registerplan noch serielle Parameter oder Client- und Serverrolle. „MQTT“ bestimmt weder Broker noch Topic-Rechte, Datenmodell oder den Publisher [5][6]. Klären Sie dies mit den Gerätehandbüchern und der Anwendungskonfiguration.
Netzwerkrollen trennen
Mehrere Funktionen können im selben Schaltschrank liegen, müssen aber im Entwurf und in der Fehleranalyse unterscheidbar bleiben.
Feld- und Steuerungssysteme
SPS, Antriebe, Sensoren, HMIs, Roboter, Kameras und Sicherheitssteuerungen erzeugen oder nutzen Betriebsdaten. Das freigegebene Steuerungssystem bleibt für lokales Maschinenverhalten, Verriegelungen und Sicherheit zuständig. Externe Cloud-Konnektivität darf keine stillschweigende Voraussetzung für lokale Steuerung sein; Ausnahmen benötigen eine ausdrückliche Systemauslegung und Sicherheitsprüfung.
Switching und Routing
Industrie-Switches verbinden Geräte innerhalb eines lokalen Netzes. Router leiten IP-Verkehr zwischen Netzen weiter und können einen WAN-Zugang bereitstellen. Firewall, VPN-Gateway, WLAN-Zugangspunkt oder Mobilfunkmodem können je nach Architektur getrennte Funktionen sein. Prüfen Sie Anschlüsse, Funk, Routing, Sicherheit und Management am exakten Gerät; eine Produktkategorie allein belegt diese Fähigkeiten nicht.
Protokoll-Gateway und Edge-Computing
Ein Protokoll-Gateway setzt definierte Daten oder Protokolle um. Ein Edge-Computer übernimmt zum Beispiel lokale Erfassung, Pufferung, Filterung oder Analyse. Beides ist von der reinen IP-Weiterleitung zu unterscheiden. Ein Produkt kann Rollen bündeln, wenn Schnittstellen, Protokolle, Ressourcen, Berechtigungen und Wartungszyklus konkret geprüft wurden.
Soll Software auf einem Router laufen, betrachten Sie ihren Ressourcenbedarf und ihre Rechte zusammen mit Routing, VPN, Firewall und Updates. Bei hohem Rechenbedarf, dauerhaftem Speicher oder unabhängigem Wartungszyklus kann ein separates Edge-Gateway besser passen. Die Entscheidung vertieft Docker auf einem Industrierouter oder separates Edge-Gateway.
SCADA, MES, Historian und Cloud
Diese Anwendungen empfangen, zeigen, speichern oder verarbeiten Informationen entsprechend ihrer Rolle. Legen Sie fest, welches System jeden Messwert, Alarm, Befehl und Datensatz besitzt.
Ein IP-Anschluss allein konfiguriert kein Datenmodell und integriert kein Gerät in SCADA, MES oder eine Cloud-Anwendung.
Datenwege zeichnen und schützen
Zeichnen Sie beide Richtungen. Ein Überwachungsweg könnte so aussehen:
Sensor oder SPS → lokales Steuerungsnetz → freigegebener Datensammler oder SCADA-Schnittstelle → Historian oder Überwachungsdienst
Ein Fernwartungsweg könnte so aussehen:
namentlich berechtigte Fachkraft → verwalteter Fernzugriff → Sicherheitsgrenze am Standort → freigegebener Wartungsendpunkt
Jede Grenze zwischen Betriebstechnik, Leitsystemen, Unternehmens-IT und externen Diensten braucht dokumentierte Quellen, Ziele, Protokolle und Richtungen. Beschränken Sie den Zugriff auf berechtigte Personen und benötigte Systeme; protokollieren Sie ihn und regeln Sie Freigabe, Überprüfung und Entzug. Ein VPN schützt einen Übertragungsweg, ersetzt aber keine Identitätsprüfung, Segmentierung, Firewall-Regeln, Gerätehärtung oder OT-Sicherheitsprozesse. NIST SP 800-82 Rev. 3 berücksichtigt dabei auch Leistung, Zuverlässigkeit und Sicherheit industrieller Systeme [1].
Stellen Sie SPS- oder HMI-Schnittstellen nicht direkt ins öffentliche Internet. Fernzugriff für Engineering gehört hinter einen verwalteten Zugang mit eng gefasster, von OT- und Sicherheitsverantwortlichen geprüfter Route. Legen Sie auch das Verhalten bei Ausfall von WAN, Zugangsdienst oder Plattform fest.
WAN-Technik passend zum Standort wählen
Das WAN verbindet das Werksnetz mit einem anderen Standort oder Dienst. Möglich sind unter anderem Glasfaser, kabelgebundenes Ethernet, private Mobilfunknetze und öffentliche 4G/5G-Dienste. Die Wahl hängt von Installation, Versorgung am Standort, Verkehr, Mobilität, Adressierung, Betriebsverantwortung und Wiederherstellung ab.
5G kommt infrage, wenn Mobilfunk zur Anwendung und zum Standort passt [4], etwa wenn keine feste Leitung verfügbar ist, ein Standort verlegt wird oder ein dokumentierter Ersatzweg benötigt wird. Ein Mobilfunkrouter am WAN-Rand erzeugt jedoch nicht automatisch Funkabdeckung in der gesamten Halle. Dafür sind Funknetz, Gebäude, Antennen- oder Zugangspunktposition, Geräte und Konfiguration gesondert zu planen und zu prüfen.
Ebenso garantiert „5G“ keine bestimmte Antwortzeit oder Verfügbarkeit der Anwendung. 5G-ACIA empfiehlt, Systemleistung aus Sicht der industriellen Anwendung mit definierten Ausgangs- und Messparametern zu prüfen [2]. Die QoS-Leitlinien ordnen Kommunikationsqualität den Anforderungen der jeweiligen verteilten Anwendung zu [3]. Bei Zeitvorgaben testen Sie den vollständigen Anwendungspfad unter repräsentativer Last und am vorgesehenen Standort; ein Funkkennwert ist keine Garantie für die Steuerung.
WLAN, Mobilfunk und industrielles Ethernet können sich ergänzen. Verwenden Sie das für die Steuerung freigegebene Netz und wählen Sie Funk für passende Geräte, Mobilität und Abdeckung. Für die WAN-Auswahl hilft die Checkliste zur Standortprüfung eines Industrie-5G/LTE-Routers; sie beweist nicht, dass ein bestimmtes Modell die Anforderungen dieses Werks erfüllt.
Architektur vor dem Einsatz validieren
Machen Sie aus dem Entwurf einen Testplan mit Verantwortlichen und dokumentierten Ergebnissen.
Inventar abgleichen. Endpunkte, Schnittstellen, Adressen, Protokolle und Datenverantwortung mit Geräten und Anwendungsdokumentation vergleichen.
Ausgangslage messen. Verkehr und Anwendungsverhalten im Normal- und Spitzenbetrieb erfassen; für zeitkritische Wege Messpunkte und Grenzwerte mit der Steuerungsverantwortung vereinbaren.
WAN am Einbauort testen. Betreiber, Tarif oder Dienst, Gerät, Antennen oder Zugangspunkte, Standort und Bedingungen festhalten. Eine Messung am Fenster ersetzt die Prüfung am vorgesehenen Einbauort nicht.
Echte Anwendung prüfen. Eintreffende Daten am Ziel, berechtigten Fernzugriff und Verhalten unter Last kontrollieren. Ping und Verbindungsanzeige reichen nicht.
Ausfall und Rückkehr testen. Bei Ersatzwegen die Primärverbindung unterbrechen, wiederhergestellte Datenflüsse, Zustand, Dauer und Bedieneranzeige prüfen und anschließend den Normalweg zurücksetzen.
Zugriff und Betrieb prüfen. Erlaubte und gesperrte Wege, Identität, Rechte, Protokolle, Alarmzuständigkeit, Updates, Konfigurationssicherung und Eskalation testen.
Nachweise sichern. Zeichnung, Konfigurationen, Testbedingungen, Beobachtungen, Ausnahmen und Abnahmeverantwortliche festhalten. Wesentliche Änderungen an WAN, Firmware, Routing, Firewall oder Anwendung erfordern betroffene Tests erneut.
Ein universeller Grenzwert für Latenz, Signalstärke, Paketverlust oder Umschaltzeit macht nicht jede Fabrik einsatzbereit. Leiten Sie Werte aus der Produktionsaufgabe ab und messen Sie den vollständigen Pfad. Die Prüfleitlinien von 5G-ACIA bieten dafür einen Rahmen [2].
Fazit
Eine Smart-Factory-Verbindung besteht aus definierten Wegen zwischen Produktionsgeräten und den Systemen, die ihre Daten benötigen. Erfassen Sie Anwendung, Endpunkte, Richtung, Zeitvorgaben, Zuständigkeit und Sicherheitsgrenzen. Weisen Sie Routing, Protokollwandlung, Edge-Verarbeitung und Funkzugang erst dann den dafür nachweislich geeigneten Komponenten zu.
Wählen Sie 5G, wenn Standort- und Anwendungsdaten dafür sprechen, und testen Sie den gesamten Pfad. Als nächster Schritt bietet sich ein gemeinsames Flussinventar mit Steuerung, IT und Sicherheit an, bevor Geräte ausgewählt werden.
FAQ
Ersetzt 5G industrielles Ethernet oder WLAN in einer Smart Factory?
Nicht grundsätzlich. Jede Technik erfüllt eine andere Rolle. Steuerungsverkehr bleibt auf dem dafür freigegebenen Netz; WLAN und Mobilfunk werden anhand von Endpunkten, Mobilität, Abdeckung und Anwendungsanforderungen bewertet.
Versorgt ein einzelner 5G-Industrierouter die gesamte Fabrik mit Funk?
Das lässt sich aus der Gerätebezeichnung nicht ableiten. Ein Mobilfunkrouter kann unter passenden Hardware-, Dienst- und Einbaubedingungen einen WAN-Endpunkt bereitstellen. WLAN- oder private Mobilfunkabdeckung benötigt eine eigene Standortplanung und Messung der Funkinfrastruktur.
Wandelt ein Industrierouter Modbus-Daten in MQTT um?
Nicht zwangsläufig. IP-Routing, serieller Zugriff, Modbus-Kommunikation, Datenumsetzung und MQTT-Publishing sind verschiedene Funktionen. Prüfen Sie Rollen und Konfiguration am konkreten Produkt und bestimmen Sie Registerplan und Broker getrennt.
Ist Fernzugriff auf eine SPS über VPN möglich?
VPN kann Teil eines verwalteten Zugangswegs sein. Zusätzlich braucht der Standort Berechtigung, erlaubte Route, Firewall-Regeln, Überwachung und einen abgestimmten Wartungsprozess. SPS- und HMI-Schnittstellen sollten nicht direkt öffentlich erreichbar sein.
Wie prüft ein Werk, ob 5G geeignet ist?
Definieren Sie Verkehrs- und Antwortanforderungen der Anwendung, messen Sie am vorgesehenen Einbauort und prüfen Sie den vollständigen Weg mit repräsentativen Geräten und Last. Halten Sie Bedingungen sowie Ausfall- und Wiederanlauftests fest.
Kann diese Konnektivität Bewegungssteuerung oder Sicherheitssignale übertragen?
Nur wenn das Gesamtsystem ausdrücklich dafür ausgelegt und validiert wurde. Dieser Beitrag qualifiziert weder WAN noch Router für solche Funktionen. Anforderungen und Abnahme liegen bei den zuständigen Steuerungs- und Sicherheitsfachleuten.
