四种接入模式
OT 数据上云有多种模式，安全强度与运维成本差别很大：网关直连云平台最简单，却把互联网暴露面引入现场；经工业 DMZ 代理上送增加一跳但可审计、可限流；单向网关保证数据只出不进；边缘侧先聚合与分析再上送，可以显著减少数据量与外部依赖。选型的核心不是技术是否先进，而是云侧能对现场施加什么影响，理想答案是几乎没有。
模式对照
| 网关直连 | 设备侧网关直接连接云平台，配置简单，现场暴露面最大 |
|---|---|
| DMZ 代理 | 经工业 DMZ 的代理服务上送，可审计、可限流、可断开 |
| 单向上传 | 单向网关保证只出不进，需要写入时另设独立通道 |
| 边缘预聚合 | 边缘侧完成聚合与分析，仅上送结果或特征，减少数据量与依赖 |
| 凭据位置 | 凭据集中在 DMZ，不下发到现场设备 |
| 降级能力 | 边缘保留本地逻辑与缓存，云不可用不影响生产 |
风险与控制点
| 风险 | 成因 | 控制点 |
|---|---|---|
| 现场被反向控制 | 直连通道支持下发 | 经 DMZ 代理并限制只读 |
| 凭据被提取 | 网关内保存云侧长期凭据 | 凭据集中在 DMZ，最小权限且可吊销 |
| 数据外流 | 数据归属与脱敏要求不清 | 先分类再上送，明确责任方 |
| 链路中断影响生产 | 处理逻辑依赖云端 | 边缘保留本地逻辑与缓存 |
| 合规风险 | 数据出境与行业监管要求 | 上送前确认数据分类与合规边界 |
实施建议
- 先做数据分类：明确哪些数据必须上送，哪些属于核心工艺资产
- 把云侧权限限制在读取与分析，任何写回都单独评估与审批
- 凭据集中管理在 DMZ，现场设备只与 DMZ 通信，不直接持有云侧凭据
- 边缘节点保留断网运行与缓存能力，云端不可用不得影响生产
- 上送链路与云侧账号纳入监控与审计，异常时可立即断开
「云侧只读」需要在链路与协议层面实现，仅靠应用配置声明只读并不可靠。若云侧确实需要下发参数，应把写入路径单独设计为经审批与限流的高风险通道。
边缘网关常保存云平台的长期凭据：现场设备一旦被物理接触，凭据就可能被提取。凭据应以最小权限签发、可远程吊销，并避免长期有效。