Hersteller können Produktionsdaten jedem Unternehmenssystem bereitstellen, ohne das Produktionsnetz für diese Systeme erreichbar zu machen. Diese Referenzarchitektur mit Datendiode zeigt, wie das gelingt: i-flow Edge läuft in der Produktion, und eine ArrowLinx-Datendiode von Allied Solutions sitzt zwischen i-flow Edge und dem i-flow Unified Namespace (UNS). Modellierte Daten fließen von der OT in die IT, einen Rückweg über die Grenze gibt es nicht. Der erste Teil dieser Serie hat erklärt, warum sich Datendiode und UNS ergänzen. Dieser zweite Teil bildet die Architektur für zwei typische Ausgangslagen auf die Purdue-Ebenen ab: Werke, die direkt über i-flow Edge angebunden sind, und Werke, die bereits Kepware einsetzen. Außerdem behandelt er den Datenpfad, die Skalierung über mehrere Werke, die zentrale Governance und ein Vorgehen zur Umsetzung in acht Schritten.
Die Referenzarchitektur mit Datendiode im Überblick
Die Referenzarchitektur mit Datendiode betreibt i-flow Edge auf Level 3 und setzt je Werk eine ArrowLinx-Datendiode in die Industrial DMZ. Dadurch ist jedes Byte, das den UNS erreicht, an der Quelle modelliert und hat eine hardwareseitig erzwungene Einweg-Grenze passiert. Die Architektur folgt den bekannten Purdue-Ebenen, vom physischen Prozess (Level 0) bis zum Unternehmensnetz und zur Cloud (Level 5).
Werk A auf der linken Seite bindet seine Quellen direkt über i-flow Edge an. Werk B … n auf der rechten Seite behält eine bestehende Kepware-Schicht, die i-flow Edge speist. Ab der Diode folgen beide Werke demselben Muster und publizieren in einen globalen i-flow UNS.
Durchgezogene Pfeile zeigen den einseitigen Datenfluss von der OT in die IT. Die gestrichelte Linie steht für Management und Governance. Das rote Kreuz markiert den Rückweg, der über die Diode physisch nicht verfügbar ist.
| Level | Zone | Komponenten | Rolle in der Architektur |
|---|---|---|---|
| 5 · Unternehmensnetz & Cloud | IT | Globaler i-flow UNS: i-flow Hub für die zentrale Governance und ein NATS Supercluster als globales Messaging-Backbone; ERP, Cloud / Data Lake, Analytics & BI, KI/ML | Alle Werke publizieren in den NATS Supercluster; Unternehmenssysteme abonnieren ihn |
| 4 · Werksplanung & Logistik | IT | Lokaler i-flow UNS (i-flow Broker mit MQTT und NATS); Werks-Apps: MES, Dashboards, Qualität, OEE | Der Werks-UNS empfängt modellierte Daten von der Diode und versorgt die Anwendungen am Standort |
| 3.5 · Industrial DMZ | IT/OT-Grenze | ArrowLinx-Datendiode: Sendeseite TX (OT), Empfangsseite RX (IT) | Hardwareseitig erzwungene Einweg-Übertragung; kein Rückweg |
| 3 · Werksbetrieb | OT | i-flow Edge: verbinden, verarbeiten, harmonisieren; optional gespeist von einer bestehenden Kepware-Schicht | Macht aus Rohdaten der Maschinen UNS-fertige Informationen und übergibt sie an die Diode |
| 2 · Bereichsleitebene | OT | HMI / SCADA | Steuert weiterhin den Werksbetrieb; nicht auf dem Exportpfad |
| 1 · Steuerungsebene | OT | SPS und Controller | Quelle der Prozess- und Maschinendaten |
| 0 · Physischer Prozess | OT | Maschinen, Sensoren, Aktoren | Erzeugen die zugrunde liegenden Signale |
Von der Quelle in den UNS: der Datenpfad
Daten durchlaufen sechs Stufen nach oben und müssen nie zurück nach unten. Jede Stufe hat genau einen Verantwortlichen, sodass sich Fehler oder Änderungen leicht verorten lassen. In jedem Werk, das der Referenzarchitektur mit Datendiode folgt, sind die Stufen identisch:
- Erzeugen: Maschinen, Sensoren und Aktoren (Level 0) speisen SPS und Controller (Level 1).
- An der Quelle verbinden und modellieren: i-flow Edge (Level 3) verbindet sich mit den benötigten Quellen, entweder direkt oder über eine bestehende Kepware-Schicht. Es verarbeitet und harmonisiert die Daten und modelliert sie in die UNS-Struktur.
- Die Grenze passieren: Nur der benötigte ausgehende Datenstrom gelangt auf die TX-Seite der ArrowLinx-Datendiode (OT). Er passiert die Diode in eine Richtung und verlässt die RX-Seite (IT) in der Industrial DMZ (Level 3.5).
- Im Werk publizieren: Der lokale i-flow UNS (Level 4) empfängt die modellierten Daten und publiziert sie über
MQTTundNATSauf dem i-flow Broker des Werks. Die Unterschiede erklärt unser Vergleich NATS vs. MQTT. - Den Standort versorgen: Werksanwendungen wie MES, Dashboards, Qualität und OEE abonnieren den Werks-UNS.
- Global zusammenführen: Die Werks-Broker sind über einen NATS Supercluster (Level 5) verbunden, das globale Messaging-Backbone für alle Werke. ERP, Cloud / Data Lake, Analytics & BI sowie KI/ML abonnieren die Daten dort.
Warum Daten an der Quelle modelliert werden
Mit i-flow Edge in der Produktion finden Harmonisierung und Kontextualisierung vor der Grenze statt. Nur die Informationen, die das Unternehmen braucht, passieren die Diode, und zwar bereits in der UNS-Struktur. So läuft ein durchgängiges i-flow Datenmodell von der Maschine bis ins Unternehmen. Die Diode überträgt genau das, was definiert wurde, und der UNS auf der IT-Seite erhält sofort nutzbare Daten. Wie ein solches Modell aufgebaut ist, erklärt unser Leitfaden zur Datenmodellierung im UNS.
Kepware in Kombination mit i-flow Edge
Kepware kann Teil der Architektur bleiben, wo es bereits im Einsatz ist oder wo seine Treiber für bestimmte Steuerungen nötig sind. Kepware erfasst dann die Daten aus der Produktionsumgebung und stellt sie i-flow Edge auf der OT-Seite bereit, zum Beispiel über OPC UA. i-flow Edge modelliert die Daten anschließend genau wie in Werk A. Dieser Ansatz schützt bestehende Investitionen: Kepware muss nicht ersetzt werden, nur weil das Werk einen modernen UNS einführt.
Skalierung über mehrere Werke und zentrale Governance
Eine Referenzarchitektur mit Datendiode zahlt sich nur aus, wenn sie sich wiederholen lässt. Deshalb gilt an jedem Standort dasselbe Muster: i-flow Edge, eine ArrowLinx-Datendiode und ein lokaler i-flow UNS. Jedes Werk publiziert in dasselbe globale Backbone. Ein neuer Standort bringt also neue Daten, aber keine neuen Integrationen. Wie ein solches Muster Werk für Werk wächst, beschreibt unser Artikel zur Evolution des UNS vom Pilot zum globalen Rollout.
Governance ohne Weg in die OT
Der i-flow Hub auf Level 5 übernimmt das zentrale Management, die Governance und das Monitoring für jeden lokalen i-flow UNS (die gestrichelte Linie im Diagramm). Der gesamte Governance-Verkehr bleibt auf der IT-Seite der Diode. Nichts in der Management-Ebene erfordert, dass die Diode Verkehr in Richtung Produktion überträgt. Da die Diode nichts nach unten überträgt, nimmt das Werk Konfigurations- und Lifecycle-Änderungen an i-flow Edge und Kepware auf der OT-Seite vor, nach seinen eigenen Change-Control-Verfahren.
Einmal publizieren, überall nutzen
Da Konsumenten den UNS abonnieren, statt sich mit Maschinen zu verbinden, kommen neue Dashboards, Modelle oder Geschäftssysteme auf der IT-Seite hinzu. Weder die Produktion noch die Konfiguration der Diode muss sich dafür ändern.
Die Architektur in acht Schritten umsetzen
Das folgende Vorgehen macht aus der Referenzarchitektur mit Datendiode einen Projektplan. Es beginnt mit den Daten, die die OT verlassen müssen, und endet mit einem dokumentierten Muster für weitere Werke:
- Daten definieren: Ermitteln Sie die Datenquellen der Produktion und legen Sie genau fest, welche Geschäftsinformationen die OT verlassen müssen.
- Quellanbindung wählen: Entscheiden Sie je Werk, ob i-flow Edge die Quellen direkt anbindet oder ob eine bestehende Kepware-Schicht i-flow Edge speist.
- Grenze festlegen: Definieren Sie die Vertrauenszonen von Quelle und Ziel sowie die OT/IT-Sicherheitsgrenze. Stellen Sie sicher, dass der Anwendungsfall keinen Rückkanal benötigt.
- Einwegpfad aufbauen: Platzieren Sie die ArrowLinx-Datendiode an der OT/IT-Grenze und validieren Sie den einseitigen Datenpfad.
- i-flow ausrollen: Setzen Sie i-flow Edge und i-flow Broker in jedem Werk auf, verbinden Sie die Broker mit dem NATS Supercluster und richten Sie den i-flow Hub zentral ein.
- UNS definieren: Legen Sie in i-flow die Namespace-Struktur, Schemas, Zugriffsrichtlinien und nachgelagerten Abonnements fest.
- Betrieb testen: Testen Sie Fehlerfälle, Datenintegrität, Monitoring, Verfügbarkeit, Wiederherstellung und betriebliche Verantwortlichkeiten. Ergänzen Sie die Gesamtarchitektur um Defense-in-Depth-Maßnahmen.
- Dokumentieren und replizieren: Dokumentieren Sie die Referenzarchitektur und das Betriebs-Runbook für künftige Standorte und Linien.
Die Datendiode bleibt eine Schicht innerhalb eines umfassenderen Sicherheitskonzepts. Welche weiteren Maßnahmen dazugehören, beschreibt unser Artikel zu sicheren UNS-Architekturen.
Fazit: ein wiederholbares Muster für jedes Werk
Die Referenzarchitektur mit Datendiode verbindet eine moderne industrielle Datenbasis mit einer klar definierten und durchsetzbaren Sicherheitsgrenze. i-flow liefert Konnektivität, Edge-Verarbeitung, Kontextualisierung, Messaging und die zentrale UNS-Governance. ArrowLinx liefert einen hardwareseitig erzwungenen Einwegpfad für Szenarien, in denen Produktionsdaten nach außen fließen müssen. Eingehende Verbindungen sind dort weder nötig noch erwünscht. Das Muster passt zu sicherheitskritischen Branchen, in denen der einseitige Export von OT-Daten besonders wertvoll ist: kritische Fertigung, Energie, Pharma, Lebensmittel und Getränke sowie Automotive.
Drei zentrale Erkenntnisse
- Eine Architektur für zwei Ausgangslagen: Werke binden ihre Quellen direkt über i-flow Edge an oder behalten Kepware, wo es bereits im Einsatz ist oder seine Treiber nötig sind. In beiden Fällen modelliert i-flow Edge die Daten auf der OT-Seite.
- Daten fließen nach oben, nie nach unten: Sechs Stufen mit klaren Verantwortlichkeiten bringen die Daten von der Maschine in den globalen UNS. Die Governance bleibt auf der IT-Seite, und Änderungen auf der OT-Seite folgen dem Change-Control des Werks.
- Wiederholbar von Werk A bis Werk n: Jeder neue Standort ergänzt i-flow Edge, eine Datendiode und einen lokalen UNS. Er bringt neue Daten ins globale Backbone, aber keine neuen Integrationen.
Über Allied Solutions: Allied Solutions (Allied Solutions Pte Ltd) ist ein Unternehmen für industrielle Automatisierung, digitale Fertigung und OT-Cybersicherheit mit Hauptsitz in Singapur und Niederlassungen in Vietnam, Malaysia und China. Im Zentrum seines OT-Cybersecurity-Portfolios steht die ArrowLinx-Datendiode, ein hardwareseitig erzwungenes unidirektionales Gateway mit Common-Criteria-Zertifizierung nach EAL4+. Mit mehr als 25 Jahren Erfahrung in industriellen Umgebungen unterstützt das Unternehmen Hersteller, Versorger und Betreiber kritischer Infrastrukturen dabei, ihren Betrieb sicher zu modernisieren: von industrieller Datenkonnektivität, MES und Industrial Analytics bis zum Schutz der OT-Netze, auf denen dieser Betrieb läuft.
