Ein Industrial-IoT-Gateway ist ein Gerät oder eine Software auf einem kleinen Industrierechner, das zwischen den Maschinen in der Fertigung und den Systemen sitzt, die deren Daten benötigen. Es liest Werte aus SPS, Antrieben und Zählern in den Protokollen, die diese sprechen, übersetzt sie in ein Format, das IT- und Cloud-Systeme verstehen, und leitet sie sicher weiter, in der Regel ohne dass jemand an den Maschinen selbst etwas ändern muss.

Wenn Sie SPS- und Maschinendaten in einem Dashboard, einem Historian oder einem Instandhaltungssystem brauchen, drehen sich die meisten praktischen Entscheidungen um das Gateway. Welche Protokolle muss es lesen? Wie viel Verarbeitung sollte direkt an der Maschine stattfinden? Und wo im Werksnetz sollte es sitzen, damit es nicht zur Schwachstelle wird? Dieser Artikel geht diese Fragen der Reihe nach durch.

Kurz erklärt

  • Ein Gateway liest auf der einen Seite Industrieprotokolle wie Modbus, OPC UA oder EtherNet/IP und veröffentlicht die Daten auf der anderen Seite, oft per MQTT.
  • Außerdem puffert es Daten, wenn die Verbindung abbricht, und hält das Steuerungsnetz nach außen geschlossen.
  • Edge Computing auf dem Gateway reduziert rohe, hochfrequente Daten auf die relevanten Werte, bevor sie das Werk verlassen.
  • Gateway-Hardware für die Fabrik ist für den Schaltschrank gebaut: Hutschiene, 24 V DC, großer Temperaturbereich, serielle Schnittstellen und mehrere Ethernet-Ports.

Wie funktioniert ein Industrial-IoT-Gateway?

Verfolgen Sie einen einzelnen Wert durch ein Gateway, dann werden seine Aufgaben klar. Angenommen, Sie möchten den Motorstrom eines Extruders erfassen, den dessen SPS bereits misst.

Die Southbound-Seite des Gateways ist mit der Maschine verbunden. Sie bringt Treiber für Industrieprotokolle mit: Modbus RTU über eine serielle RS-485-Leitung, Modbus TCP, OPC UA, EtherNet/IP, PROFINET oder herstellerspezifische Protokolle wie Siemens S7. Sie konfigurieren, welches SPS-Register oder welchen OPC-UA-Knoten mit dem Motorstrom das Gateway lesen soll und wie oft, zum Beispiel einmal pro Sekunde.

Als Nächstes gibt das Gateway der rohen Zahl eine Bedeutung. Ein Modbus-Register enthält vielleicht 1523, was der SPS-Programmierer als 152,3 Ampere gemeint hat. Das Gateway wendet die Skalierung an, ergänzt Name, Einheit und Zeitstempel und kann Werte nach von Ihnen festgelegten Regeln verwerfen oder zusammenfassen.

Beim Abfragen ist an dieser Stelle etwas Sorgfalt nötig. Die Kommunikationskapazität einer SPS müssen sich alle teilen, die mit ihr kommunizieren, auch HMI und SCADA. Zweihundert verstreute Register einmal pro Sekunde einzeln abzufragen, kann diese anderen Verbindungen ausbremsen. Gute Gateway-Konfigurationen fassen benachbarte Register zu einer einzigen Anfrage zusammen, lesen sich langsam ändernde Werte wie Temperaturen nur alle paar Sekunden statt in jedem Zyklus und veröffentlichen einen Wert erst, wenn er sich um mehr als einen festgelegten Betrag ändert – das nennt man Totband.

Dann kommt die Northbound-Seite, über die die Daten das Gateway verlassen. Die meisten modernen Gateways veröffentlichen per MQTT, einem schlanken Publish/Subscribe-Protokoll, bei dem Geräte Nachrichten unter benannten Topics an einen Broker senden und jedes berechtigte System sie abonnieren kann. Manche bieten zusätzlich HTTPS, OPC UA für andere Systeme im Werk oder Sparkplug B, eine Spezifikation, die MQTT-Topics und -Payloads für den industriellen Einsatz standardisiert.

Zwei weitere Aufgaben laufen unauffällig im Hintergrund. Store-and-Forward-Pufferung hält Nachrichten zurück, wenn die Netzwerkverbindung abbricht, und sendet sie mit ihren ursprünglichen Zeitstempeln, sobald sie wieder steht. Und die Sicherheit: Das Gateway baut verschlüsselte ausgehende Verbindungen auf, sodass von außerhalb des Werks kein Zugang nach innen nötig ist.

Gateways gibt es in vielen Formen, von Node-RED-Flows auf einem Industrie-PC über Modbus2MQTT sowie Hardware von Moxa und Advantech bis zu kommerzieller Edge-Software wie Ignition Edge. Jedes davon verbinden Sie mit Kilo, indem Sie seine MQTT-Ausgabe auf einen Broker richten: entweder auf Cloud-MQTT, das Kilo für Sie bereitstellt und das ausschließlich TLS-verschlüsselte Verbindungen annimmt, oder über Externes MQTT auf Ihren eigenen Broker. Anschließend legen Sie fest, wie jede Nachricht in Kilo ihr Gerät findet, per Topic oder per Geräte-ID in der JSON-Payload. Stellen Ihre Maschinen einen OPC-UA-Server bereit, ist eine Bridge, die dessen Knoten abonniert und JSON per MQTT veröffentlicht, der übliche Weg, um OPC-UA-Anlagen anzubinden.

Wie plant man ein Industrial-IoT-Netzwerk?

Ein Industrial-IoT-Netzwerk muss zwei Dinge leisten, die in entgegengesetzte Richtungen ziehen: Daten einfach aus dem Werk herausbringen und gleichzeitig das Steuerungssystem schützen. Eine mehrschichtige IIoT-Architektur löst diesen Widerspruch, indem sie festlegt, wo jedes Gerät sitzt und in welche Richtung Datenverkehr fließen darf.

Der Aufbau, bei dem die meisten Werke am Ende landen, sieht von der Maschine nach außen so aus:

  • Maschinen- und Zellennetze. SPS, Antriebe, dezentrale Peripherie und HMIs kommunizieren über ihren eigenen Feldbus oder Industrial Ethernet. Hier findet die Echtzeitsteuerung statt, und nichts davon sollte von der Cloud abhängen.
  • Steuerungsnetz des Werks. SCADA-Server, Engineering-Arbeitsplätze und Systeme auf Linienebene verbinden die Zellen. Firewalls trennen es vom Büronetz.
  • Industrielle DMZ. Eine Pufferzone zwischen Steuerungsnetz und Unternehmensnetz. Das Gateway sitzt oft hier oder direkt auf der Grenze, mit je einem Netzwerkport auf jeder Seite, sodass es von den Steuerungen lesen und nach außen veröffentlichen kann, ohne Datenverkehr zwischen beiden Netzen zu routen.
  • Unternehmensnetz und Cloud. ERP, Instandhaltungssysteme, Dashboards und Cloud-Plattformen empfangen die Daten.

Die Regeln für den Datenverkehr ergeben sich aus diesem Aufbau. Das Gateway baut Verbindungen zu den Steuerungen im Inneren und zum Broker außen auf; nichts von außen baut eine Verbindung nach innen auf. Muss ein Cloud-System einen Befehl an eine Anlage zurückschicken, sollte auch dieser Befehl über die ausgehende Verbindung des Gateways ankommen, und die lokale Steuerung der Maschine entscheidet, ob sie ihn annimmt.

Funksensoren bilden einen parallelen Pfad. Batteriebetriebene Sensoren, die an älteren Maschinen Vibration oder Temperatur überwachen, melden sich meist an ein LoRaWAN-Gateway oder eine mioty-Basisstation, die ihre Nachrichten an einen Netzwerkserver weiterleiten. Dieser Pfad berührt das Steuerungsnetz überhaupt nicht, was ein Grund dafür ist, dass Nachrüstungen an Bestandsanlagen ihn oft nutzen.

Eine praktische Prüfung des Entwurfs: Zeichnen Sie jeden Pfeil auf eine einzige Seite – jedes Gerät, in welchem Netz es sitzt und in welche Richtung jede Verbindung geöffnet wird. Zeigt ein Pfeil vom Internet ins Steuerungsnetz, sollten Sie den Entwurf noch einmal prüfen.

Edge Computing oder Cloud im industriellen IoT?

Edge Computing im industriellen IoT bedeutet, Daten auf dem Gateway oder in seiner Nähe zu verarbeiten, bevor sie das Werk verlassen. Die Cloud oder ein zentrales Rechenzentrum übernimmt, was Daten von vielen Maschinen oder Standorten braucht. Die meisten Projekte nutzen beides, die sinnvolle Frage ist also, welche Aufgabe wohin gehört.

Vibrationsdaten zeigen, warum Edge-Verarbeitung sinnvoll ist. Ein Vibrationssensor, der 10.000-mal pro Sekunde abgetastet wird, erzeugt 864 Millionen Messpunkte am Tag. Bei zwei Bytes pro Messpunkt sind das etwa 1,7 GB pro Tag für eine Messachse an einer Maschine. Das für ein Werk mit hundert überwachten Lagern in die Cloud zu schicken, ist weder günstig noch nützlich. Ein Edge-Gerät, das einmal pro Minute die effektive Schwinggeschwindigkeit (RMS) und einige Spektralwerte berechnet, sendet stattdessen 1.440 Wertesätze am Tag und behält die rohe Wellenform lokal für einen Analysten, der sie braucht.

Dieselbe Überlegung gilt für gewöhnliche Prozesswerte. Ein Tankfüllstand, der jede Sekunde gelesen, aber nur veröffentlicht wird, wenn er sich um mehr als 0,5 % ändert, erzeugt vielleicht ein paar Hundert Nachrichten am Tag statt 86.400, ohne dass etwas verloren geht, worauf ein Mensch reagieren würde. Diese Totbänder pro Signal zu wählen, gehört zu den nützlichsten Teilen der Edge-Konfiguration – und zu denen, die am häufigsten auf dem Standardwert bleiben.

Aufgabe Besser am Edge Besser in der Cloud
Hochfrequente Signale auf Kennwerte reduzieren Ja
Pufferung bei Netzwerkausfällen Ja
Schnelle lokale Reaktionen (Millisekunden) Ja, die Steuerung bleibt aber in der SPS
Maschinen über Linien und Standorte hinweg vergleichen Ja
Langzeitverlauf und Berichte Ja
Alarme, die Menschen überall erreichen müssen Ja
Logik für viele Standorte gleichzeitig aktualisieren Ja

Aus der Tabelle ergeben sich zwei Faustregeln. Alles, was funktionieren muss, wenn das Internet ausfällt, gehört an den Edge oder in die SPS. Alles, was einen Überblick über Maschinen, Standorte oder Monate braucht, gehört in die zentrale Ebene. Sicherheitsfunktionen gehören in keines von beiden; sie bleiben in eigenen Sicherheitssteuerungen.

Welche Hardware braucht man für industrielles IoT?

Die IIoT-Hardware für ein Projekt im Werk läuft meist auf drei Arten von Geräten hinaus: Gateways für verkabelte Anlagen, Sensoren für Dinge, die bisher nicht gemessen werden, und Funk-Gateways für drahtlose Sensoren.

Achten Sie bei einem Gateway, das SPS ausliest, auf Eigenschaften, die zu einem Schaltschrank passen und nicht zu einem Büro:

  • Hutschienenmontage und ein 24-V-DC-Versorgungseingang, damit es neben die SPS passt und deren Stromversorgung mitnutzt;
  • ein Betriebstemperaturbereich, der zum Schaltschrank passt, in dem es in einer heißen Halle über 50 °C werden kann;
  • serielle RS-485-Schnittstellen für ältere Modbus-RTU-Anlagen sowie mindestens zwei Ethernet-Ports, damit Steuerungsnetz und ausgehendes Netz getrennt bleiben;
  • genug Speicher, um bei einem Ausfall die Daten mehrerer Tage zu puffern;
  • Secure Boot und signierte Firmware-Updates, damit das Gateway nicht unbemerkt umprogrammiert werden kann;
  • ein Hersteller, der über die gesamte Lebensdauer des Geräts Sicherheitsupdates veröffentlicht.

Das Gateway muss keine eigene Box sein. Gateway-Software kann auch auf einem Industrie-PC laufen, der ohnehin im Schaltschrank sitzt, oder in einer virtuellen Maschine auf einem Server im Werk – das passt zu Standorten, die eine einheitliche Hardwareplattform für viele Zwecke nutzen. Der Haken ist die Zuständigkeit: Ein eigenes Gateway hat eine Aufgabe und einen Update-Zyklus, während gemeinsam genutzte Hardware eine Absprache zwischen OT und IT braucht, wer sie wann patcht.

Viele Maschinen haben außerdem Signale, die bisher niemand misst: eine Lagertemperatur, einen Tankfüllstand, den Betriebszustand eines Motors. Hier ersparen batteriebetriebene Funksensoren eine neue Verkabelung, und ein einziges Funk-Gateway, hoch in der Halle montiert, kann meist ein ganzes Gebäude abdecken.

Ältere Anlagen, die nur Modbus sprechen, lassen sich auch über kleine Konverter anbinden, die ihre Register lesen und die Werte weitergeben. Kilo Electronics führt Modbus-Geräte für diese Art der Anbindung.

Häufige Fragen zu Industrial-IoT-Gateways

Was ist der Unterschied zwischen einem IIoT-Gateway und einem Router?

Ein Router leitet Netzwerkpakete zwischen Netzen weiter, ohne ihren Inhalt zu verstehen. Ein IIoT-Gateway versteht Industrieprotokolle: Es liest bestimmte Werte aus Maschinen, wandelt und beschriftet sie und veröffentlicht sie in einem neuen Format. Manche Geräte vereinen beide Funktionen in einem Gehäuse.

Kann eine SPS als Industrial-IoT-Gateway dienen?

Teilweise. Viele neuere SPS haben einen OPC-UA-Server oder einen MQTT-Client integriert und können Daten so direkt teilen. Ein separates Gateway ist trotzdem verbreitet, wenn ein Werk Steuerungen mehrerer Hersteller oder Generationen hat, denn es bietet einen einheitlichen Anbindungspunkt und der Prozessor der SPS kann sich auf die Steuerung konzentrieren.

Unterstützen Industrial-IoT-Gateways Sparkplug B?

Viele schon. Sparkplug B wird von der Eclipse Foundation gepflegt und definiert eine Topic-Struktur, ein kompaktes binäres Payload-Format sowie „Birth“- und „Death“-Nachrichten, die Abonnenten mitteilen, wann ein Gerät online geht oder die Verbindung verliert. Dieses Wissen um den Gerätezustand ist sein Hauptvorteil gegenüber einfachem MQTT mit eigenem JSON.

Wählen Sie eine Maschine, deren SPS bereits Daten über Modbus TCP oder OPC UA bereitstellt, und richten Sie daneben ein Gateway ein, das vier Tags per MQTT veröffentlicht: Motorstrom, Drehzahl, eine Temperatur und einen Fehlercode. Stellen Sie diese im kostenlosen Tarif von Kilo als Diagramm dar, ziehen Sie dann eine Stunde lang das ausgehende Kabel des Gateways ab und beobachten Sie, ob sein Puffer die fehlenden Messwerte nachsendet, sobald die Verbindung wieder steht.