工业物联网避坑：不要强行上云，私有化本地采集方案

工业物联网改造方案适用场景：安全合规要求、涉密车间、内网隔离、甲方禁止数据出厂区、网络不稳定、老旧设备不支持外网、担心公网安全风险;不是硬逼着上云，而是两套路线：【纯内网私有化闭环】+【云边按需选择性上云(可控上云)】

一、先梳理：设备不上云常见4类根源

1. 安全/合规原因：军工、精密制造、化工、涉密车间，OT网和互联网物理隔离，禁止生产数据流出厂区公网;等保、数据安全管控要求

2. 设备本身原因：老旧PLC、老机床、仪表无网口、私有协议、无通讯能力，本身不支持直接联网上云

3. 网络原因：车间无外网、信号差、4G/宽带不稳定、带宽不足，频繁断连，上云后经常离线、丢数据

4. 管理顾虑：担心云平台被攻击、数据泄露、平台服务费、远程被反向控制产线

二、两大改造路线(二选一，也可混合)

路线A：完全不上公有云，本地私有化闭环(最常用)

核心架构：设备→采集网关→本地内网服务器/边缘平台→本地看板、MES、SCADA，全程不走公网，数据不出厂区内网

1. 底层采集改造(解决老旧设备无通讯)

- 有PLC/RS485/Modbus/Profibus等接口：工业多协议网关(485集线器、协议转换网关)，协议转OPC UA / MQTT内网转发

- 无通讯口的老旧设备：非侵入式加装传感器(电流、振动、温度、转速传感器)，不改动原有控制程序，不影响原有设备运行，通过传感器采集运行状态、启停、能耗、故障信号

- 严禁直接把PLC接到外网;OT网、IT网做单向网闸/防火墙隔离

2. 本地平台部署

在厂区机房部署本地服务器/工控机，私有化部署物联网平台(SCADA、本地MQTT、本地时序库、可视化看板)，和MES、ERP在内网对接;

功能和公有云一致：实时监控、曲线、告警、报表、历史存储、权限管理、组态画面，只是平台跑在内网

3. 本地告警与交互：车间本地触摸屏、内网Web看板、内网短信/本地声光报警器，不需要外网推送

4. 优势：零公网依赖、数据不出厂、满足等保、断网也能正常监控;缺点：需要本地运维、服务器、机房资源

路线B：云边协同，选择性可控上云(折中方案，很多工厂选这个)

不是所有数据都上云，边缘网关做过滤、缓存、权限控制，按需上传，就算云端断开，车间本地监控照常运行(边缘自治)

1. 边缘网关本地先采集、解析、存储、规则判断、本地告警;

2. 配置数据分级策略：

- 不上云：原始高频采集数据、工艺参数、配方、核心生产数据，只留在本地内网

- 可上云：汇总统计数据、能耗日报、故障告警事件、OEE汇总、运维工单(轻量化、脱敏后再上传)

3. 网关自带本地缓存+断网续传：外网断了，数据存在网关本地;网络恢复后自动补传，不丢记录;支持QoS、时间戳、去重，防止重复数据

4. 网络隔离方案：OT网→网关→单向隔离设备→专线/加密VPN再上云，禁止云侧反向写控制指令，只允许只读查看，关闭远程下装程序权限，守住安全底线

> 适合：总部需要远程看汇总报表、异地运维、多工厂集中管理，但核心工艺数据不能外流

三、网络隔离与安全规范(重中之重)

1. OT工控网和办公IT网物理隔离或者单向网闸，禁止直接打通;

2. 网关做访问白名单，只允许内网服务器或者指定云地址访问;

3. 控制链路单向：云只可读，不可写、不可下发控制指令，防止云端入侵影响产线;

4. 协议标准化：统一OPC UA/MQTT，方便后续对接MES，避免协议孤岛;

5. 无线方案备选：车间内网LoRa、工业Wi-Fi，自建局域网，不走运营商公网，适合分散点位、仪表采集(水泵、电表、温湿度)

四、落地实施步骤(轻量化改造顺序，低成本优先)

1. 现场摸排：梳理设备清单、协议类型、点位、安全等级、是否允许外网、采集需求(启停/能耗/温度/故障)

2. 方案选型：

- 涉密/强隔离：选【纯内网私有化】

- 总部需要远程看板、多厂汇总：选【云边分级上传】

3. 试点先行：先选1台设备/一条产线试点，验证采集、告警、存储稳定性，再批量铺开

4. 调试：协议转换、点位映射、本地看板、告警规则、权限;设置缓存策略

5. 对接：内网对接SCADA/MES，打通工厂原有系统

6. 运维：本地备份、定期巡检网关、日志审计

五、典型硬件清单(聚英电子这类工业物联网方案配套)

- 多协议采集网关：Modbus、485、CAN、Profibus转OPC UA/MQTT

- 缓存型485集线器、IO采集模块(DAM系列)

- 传感器：电流、振动、温度、压力、霍尔启停传感器

- 本地服务器/工控机、时序数据库、内网MQTT broker

- 单向网闸、工业交换机、LoRa集中器(内网无线采集)

六、常见坑规避

1. 不要为了采集强行修改原有PLC控制逻辑，优先非侵入监听、旁路采集;

2. 不要把控制指令开放给云平台，只读是底线;

3. 高频原始数据不要全部上云，带宽大、成本高，边缘端做聚合;

4. 网关必须支持本地存储，不能依赖云端存数据;

5. 网络改造前先做等保、安全评审，满足企业内控要求。