更新日期：2018年3月8日

在之前的帖子中，我讨论了物联网安全的多个方面，特别是关于机器、设备、传感器、网关等的边缘基础设施，以及如何应用企业IT安全的良好和既定原则和实践，是如何与SAP软件产品联系在一起的。我们提出的建议相当笼统，适用范围很广。这些建议在SAP内外都是绝对有效的，并且仍然是概述SAP物联网安全的一般方法的良好来源。本系列之前的这些文章以及其他文章都侧重于保护边缘，以及如何将数据从边缘安全地导入云环境，包括SAP云平台。这是确保工业物联网解决方案安全的一个关键组成部分。

然而，我们总能得到更具体和实用的解决方案。通过查看实际产品的整个解决方案环境，我们可以更好地了解所有产品是如何结合在一起的。还有什么比研究一个最有价值同时也是最安全关键的领域更好的候选人：数字制造——商业系统的结合，SCADA和ICS的操作技术世界，智能工厂解决方案，AI/ML，传感器和云。

工业物联网通常被描述为弥合IT-OT鸿沟，或者它-不收敛。这对安全的影响是严重的，我在这里写了更多关于OT网络安全的文章。SAP在制造业有着悠久的历史，人工智能的技术有哪些，您可以在本文档中阅读更多有关SAP数字化制造愿景的信息。因此，从安全角度勾勒出这一前景似乎是一个自然的步骤。

数字制造业前景

下面您可以看到数字制造业前景及其各种数据流的图表：

由于这是一个相当复杂的画面，这是同一个图表的一个版本，强调了堆栈中各个组件的功能。

在最底部，我们有机器、PLC和其他OT特定组件的OT网络，以及一个传感器网络，提供对该环境的额外监控（温度、湿度、压力、振动等）。它通过一个具有边缘处理功能的IT-OT网关与IT环境连接，该网关（主要）与SAP的制造套件（特别是MII）交换数据，该套件本身与ERP系统交互。

顶部是SAP云平台，托管SAP制造云，由许多基于云的制造应用程序组成，如Digital Manufacturing Insights（DMI）和Predictive Quality Management（PQM）以及未来的制造应用程序。他们通过云连接器（本质上是一个受信任的VPN隧道）安全地接收数据，该隧道将客户在工厂或办公室的IT环境与SAP云平台连接起来。这些应用程序还可以利用和集成其他云应用程序，如资产智能网（AIN）、预测维护（PdMS）和大数据服务（BDS）以及该平台的ML/AI功能。

这是一个非常快速的运行过程，但可能已经出现了一种模式：我们有许多不同的网络，其中网络交叉的明显可识别点。我之前讨论过，淘客什么意思，物联网是一个由孤立的网络组成的网络，这本质上是物联网的一个具体实现。让我们再将图覆盖一次，这次显示涉及的独立网络：

OT网络仅通过IT-OT网关与IT网络通信，该网关有两个网卡，一个面向OT层，另一个面向IT网络。连接是通过PlantConnectivity（PCo）组件实现的，最好是通过OPC-UA，后者使用X.509 PKI证书在组件之间提供加密和互信。虽然PCo支持多种工业协议，但其中许多协议并不是特别安全的，而且OPC-UA的设计基本上（从安全角度来看）是为了提供一个类似TLS的加密隧道，并进行相互签名，以确保通信中的每个组件都可以确保另一个组件的身份。这实际上意味着PCo将知道它正在与正确的PLC通信，并且PLC知道它正在与正确的PCo实例通信。OPC-UA是SAP连接OT层的首选方法。我们知道OPC-UA还没有被普遍采用，但我们鼓励您将其列入您的路线图，如果还没有的话。这是保护OT网络免受外界伤害的重要因素。

PCo通过HTTPS将从机器层接收到的数据发送到MII数据服务层。或者，它可以被发送到另一个PCo实例。根据网络拓扑（例如，通过在OT网络本身中运行PCo，将数据传递到IT网络中的PCo实例），或者解决方案如何跨多个制造工厂部署，这在体系结构上有助于进一步将OT环境与IT系统分离。此外，数据可以先发送到HANA数据库，然后由MII从那里检索。这提供了更多的选项。

在同一个网关上，我们有一个边缘服务实例，可用于批量和收集数据，并对其应用计算（例如，在一个时间段内平均值），或对数据应用业务规则。边缘服务有两种类型，一种是本地版本（以前称为动态边缘处理）和云版本。在这两种情况下，它与PCo共享结果，PCo本身与其他系统组件共享数据，并且可以将数据推送到本地数据池。即使在同一台主机上，这两个通信流也是加密的。云版本依赖于IoT服务网关边缘（虚线框），该边缘与云中的IoT服务通信，并由边缘服务策略服务器支持。这允许对边缘服务进行集中生命周期管理，并共享数据，以便在SAP云平台内进行长期分析，可供其他应用程序以及机器学习服务使用。