IT与OT融合之路：深度防御、边缘计算与标准以太网实践

在工厂网络改造项目中，IT 与 OT 如何打通是绕不开的问题。传统上两个域各自独立：OT 保障生产连续运行，IT 管理企业业务系统。随着工业物联网的发展，两边需要在数据层面互通，但融合过程中有几个反复出现的难点：网络安全边界如何划分、OT 数据缺少上下文导致上层系统难以直接使用、以及异构设备协议不统一。本文结合实践，梳理三个关键技术点。

图1

一、用深度防御思路划分安全区

IT 侧成熟的深度防御（Defense in Depth）思路同样适用于工业网络，核心是多层控制而不是单点防护。入门做法是按功能划分安全区域与通信通道：

• 用 VLAN 做逻辑隔离，二层交换机即可实现，产线、设备层、管理层各占独立网段；
• 区域之间只开放必要的通信路径，通过路由器或防火墙做边界，默认拒绝、按需放行；
• 用访问控制列表（ACL）按 IP/MAC 做设备级准入，避免任意终端接入控制网；
• 开启日志与告警：工业设备普遍支持 Syslog，把日志集中收集，异常访问、端口状态变化及时告警，给工程师留出处置时间，避免小故障演变成停机。

需要注意的是，OT 侧对可用性的优先级高于保密性，分区策略要先保证生产连续性，再逐步收紧权限，忌一次性大改。

二、在边缘侧补齐数据上下文

OT 数据上不去、或者上去了用不了，很多时候问题不在带宽，而在上下文缺失。边缘采集时如果只把裸数值送上去，上层系统不知道数据来自哪台设备、什么时间产生、质量是否可信，后续清洗和建模成本很高。

实践中一般在边缘网关侧完成这几件事：

• 采集时同步打上时间戳、数据源标识和质量码；全网用 NTP 对时，保证多设备数据可对齐；
• 做协议转换：现场常见的 Modbus RTU/TCP、EtherNet/IP、PROFINET 等协议，在边缘侧统一转换成 OPC UA 或 MQTT 这类上层系统易消费的格式；
• 支持断网续传与本地缓存，网络恢复后补发，避免数据断档；
• 把阈值告警、变化上送等逻辑放在边缘侧，减少无效数据上行，也降低上层系统压力。

数据在边缘侧整理成带上下文的标准格式后，再对接 MES、数据库或云端分析，整体链路会顺畅很多。

三、标准以太网与开放协议降低集成成本

融合的另一个前提是物理与协议层面的统一。EtherNet/IP 和 PROFINET 都构建在标准 IEEE 802.3 以太网之上，使用同一套诊断与管理工具就能跨 IT/OT 查看设备状态，减少两边工具链不一致带来的排查成本。

安全方面，除了边界防火墙的允许/拒绝列表和深度包检测，设备级安全机制也值得纳入整体方案，例如基于 CIP Security 的设备身份认证与加密通信。攻击手段在不断演进，只靠边界防护不够，把设备级防护纳入深度防御体系，才能形成完整闭环。

四、边缘网关的工程选型要点

落在设备选型上，位于 IT/OT 交汇点的边缘网关通常要满足：

• 协议覆盖广：能同时接入传感器、老旧串口设备、主流 PLC 与操作面板，减少额外转换器数量；
• 具备安全远程访问能力：VPN 通道配合 RADIUS 等认证方式，远程维护不裸奔；
• 可扩展：I/O 与通信模块能按需增减，产线改造时不用整机更换；
• 支持本地逻辑与数据记录：简单的联锁、报警和历史数据缓存放在本地，网络中断时不影响现场运行。

满足这些条件的网关，本质上充当 OT 设备与 IT 系统之间的桥梁，也是后续做预测性维护的数据基础：基于边缘侧持续采集的状态数据，可以把维护模式从事后维修、定期预防，逐步推进到基于状态的主动预测。

结语

IT/OT 融合没有一步到位的方案，比较稳妥的推进顺序是：先做网络分区与日志告警，把安全底线建起来；再在边缘侧把数据上下文补齐，让数据真正可用；最后依托标准以太网和开放协议逐步统一工具链。每一步都不依赖特定产品，关键是把架构原则落到现有产线里。