BLUF: Platzieren Sie industrielle KI dort, wo sie sicher ausfallen kann – nicht dort, wo eine Herstellergrafik sie einzeichnet. Ein Geräte- oder Linien-Edge ist begründet, wenn eine lokale Entscheidung einen Werksnetz- oder WAN-Ausfall überstehen muss. Ein Werks-Edge ist meist der betriebliche Standard für gemeinsamen Standortkontext und lokale Wiederherstellung. Eine zentrale Plattform passt für Flottenlernen, aufwändiges Training und werksübergreifende Governance, muss bei einer Standorttrennung jedoch kontrolliert degradieren.
Mit der Ausfalldomäne beginnen, dann Lokalität prüfen
„Edge oder Cloud“ ist keine binäre Architekturentscheidung. Relevant sind unabhängig ausfallende Domänen: Gerät, Linie, Werksnetz, Identity Service, WAN, regionale Cloud und zentrale Datenplattform. Benennen Sie für jede KI-Funktion die Folge eines Ausfalls, die maximal tolerierbare Unterbrechung (RTO), den zulässigen Datenverlust (RPO) und den Einfluss auf einen physischen Steuerpfad.
NIST SP 800-82 Rev. 3 behandelt OT als besondere Domäne, weil sie mit der physischen Umgebung interagiert und Performance-, Zuverlässigkeits- und Safety-Anforderungen erfüllen muss. Ein beratender Qualitätsklassifikator und ein handlungsfähiger Optimierungsdienst dürfen deshalb nicht dieselbe Platzierungsregel erhalten. Der Beitrag zur OT-Safety- und Security-Grenze erläutert die notwendige Trennung von Beobachtung, Empfehlung und Steuerautorität.
Referenzarchitektur: partitionstolerant entwerfen
Diagramm: Sensoren und SPSen → Geräte-/Liniensammler → signierter lokaler Artefakt-Cache → Werks-Edge mit Datenvertrag und Inferenzdienst → Store-and-Forward-Queue → zentrale Plattform mit Registry, Flottenanalytik und Training. Ein roter Interlock trennt Inferenzempfehlungen vom Safety-SPS-/Steuerpfad. Bei WAN-Trennung arbeitet das Werk mit dem letzten freigegebenen lokalen Artefakt und begrenzter lokaler Datenhaltung weiter; reine Cloud-Anreicherung wird sichtbar als nicht verfügbar markiert.
Der Geräte- oder Linien-Edge verantwortet Signalerfassung, Protokolladaption und schnelle lokale Filterung. Der Werks-Edge verantwortet Standortkontext: Asset-Identität, Historian-Zugriff, freigegebene Modellartefakte, Authentifizierungsproxys, Observability und eine dauerhafte Outbound-Queue. Die zentrale Plattform verantwortet Flotten-Training, Evaluation, Artefaktsignierung, werksübergreifende Analysen und Promotionsregeln. Lokale Ausführung repariert keine fehlenden Einheiten, Zeitstempel oder Asset-Semantik; dafür braucht es semantische Datenverträge von OPC UA bis AAS.
Entscheidungsmatrix für die Platzierung
| Workload | Standardplatzierung | Entscheidende Evidenz | Abwägung | Wiederherstellung |
|---|---|---|---|---|
| Machine-Vision-Ausschleushinweis mit begrenzter lokaler Reaktion | Geräte-/Linien-Edge | Nähe zum Steuerpfad, lokaler Verfügbarkeitsbedarf, definierter Safe Fallback | Begrenzte Compute-Ressourcen und aufwendiger Flottenbetrieb | Signiertes Fallback-Artefakt; Rückfall auf Regel oder Stop-Zustand |
| Standort-Energie- oder Wartungsempfehlung | Werks-Edge | gemeinsamer Standortkontext, Betrieb bei WAN-Ausfall, lokale Datensensitivität | Verantwortung für Werksinfrastruktur und Patches | Lokale Queue, nachgelagerte Reconciliation |
| Werksübergreifende Prognose, Training und Evaluation | Zentrale Plattform | beherrschbare Data Gravity; RTO von Minuten/Stunden akzeptabel | WAN- und Regionalabhängigkeit | Versionierte Snapshots, verzögerte Batch-Verarbeitung |
| Remote-Experten-Copilot mit Live-Werkskontext | Hybrid | lokales Read-Gateway plus zentrale Reasoning-Schicht, expliziter Offline-Modus | mehr Integrationsflächen | Read-only-lokal oder klarer Nichtverfügbar-Status |
Praktischer Platzierungstest
1. Zerlegen Sie Funktionen statt Produkte: Erfassung, Feature-Extraktion, Inferenz, Empfehlung, Aktionsfreigabe, Training, Artefaktverteilung und Audit. 2. Schreiben Sie RTO und RPO mit dem Prozessverantwortlichen fest. 3. Simulieren Sie den Verlust von WAN, Werks-Edge, Identity Provider und Artefakt-Registry. 4. Bewerten Sie Data Gravity: Rohvideo oder hochfrequente Signale werden oft lokal gefiltert, kompakte signierte Events zentral verarbeitet. 5. Definieren Sie einen Vertrag für den Offline-Modus. 6. Üben Sie Wiederherstellung inklusive Signaturprüfung und duplikatsicherem Queue-Replay.
Store-and-Forward ist ein Datenvertrag, kein Retry-Loop
Ein belastbares Queue-Element enthält Event-ID, Asset- und Schema-Version, Quellzeitstempel samt Clock-Quality-Marker, Sequenznummer, Payload-Digest, Aufbewahrungsklasse und Zustellstatus. Konsumenten müssen idempotent sein, weil eine Wiederverbindung Events erneut liefern kann. Cloud-Quittungen dürfen niemals als Freigabe für physische Aktionen gelten. Trennen Sie Telemetriereplikation und Command Authority und machen Sie Lücken nach der Wiederverbindung sichtbar.
Fehlermodi vor dem Rollout
WAN-Trennung legt eine versteckte Cloud-Abhängigkeit offen: Die lokale Inferenz startet, aber Entitlement oder Feature Lookup liegen remote. Gegenmaßnahme: vollständigen Dependency Graph im Inselbetrieb testen und für fehlende Autorität sicher sperren.
Ein veraltetes Modellartefakt läuft nach einer sicherheitsrelevanten Änderung weiter. Gegenmaßnahme: Artefakte mit Ablauf- und Kompatibilitätsregel versehen; Last-Known-Good nur innerhalb einer expliziten Betriebsgrenze weiterverwenden.
Queue-Replay verfälscht Flottenanalytik durch Duplikate oder falsche Reihenfolge. Gegenmaßnahme: unveränderliche Event-IDs, Ordnungsmetadaten, idempotente Konsumenten und Reconciliation-Berichte.
Ein zentrales Update überschreibt eine lokale Werkskonfiguration. Gegenmaßnahme: signierte Promotionsbundles, standortspezifische Kompatibilitätsprüfung und Rollback-Test wie beim LLM-Release-Bundle.
Was damit nicht gelöst ist
Eine Platzierung nach Ausfalldomänen macht ein Modell nicht korrekt, validiert keine Safety-Funktion und beseitigt keine Cybersecurity-Risiken. Edge-Hardware benötigt weiterhin Patches, physischen Schutz, Monitoring und Kapazitätsplanung. Lokale Bereitstellung erhöht Betriebsaufwand; Cloud kann richtig sein, wenn der Prozess Unterbrechungen toleriert und der Datenpfad kontrolliert ist. Änderungen mit Auswirkungen auf Safety-Funktionen, regulierte Aufzeichnungen oder Beschäftigtenentscheidungen benötigen Safety-, Security-, Datenschutz- und gegebenenfalls Rechtsprüfung. Dieser Beitrag ist technische Orientierung, keine Rechtsberatung.
Sinnvoller Einstieg
Beginnen Sie mit einem Werk-Workflow und einem 90-minütigen Workshop zu Ausfalldomänen. Ergebnis sind Platzierungsmatrix, Offline-Vertrag, signierter Artefaktfluss und ein Recovery-Test. Die Antwort lautet nicht „Edge“ oder „Cloud“, sondern eine Systemgrenze, die Ihr Betrieb testen und verantworten kann.
Quellen
NIST, SP 800-82 Rev. 3: Guide to Operational Technology Security; 5G-ACIA, Industrial 5G Edge Computing: Use Cases, Architecture and Deployment; OPC Foundation, OPC UA for AI und Companion Specifications; CISA et al., Principles for the Secure Integration of AI in OT.
