// Sicherheit und Betrieb
Läuft IndustrialFlow ohne Internetverbindung?
Zuletzt fachlich geprüft: · Andreas Schönfeld
Ja, der Betrieb ist vollständig ohne Verbindung nach außen möglich.
IT-Zone
Git-Server
Projekte als Text, SIMATIC SD · Merge Requests mit Review
Jenkins-Kern · IT-Phase
Export, Compile, PLCSim-Test · IEC-62443-Gate, SBOM, Signatur
Dashboard und KI-Assistent
Flotte, Freigaben, Nachweise · KI lokal über Ollama
DMZ
OT-Proxy
TLS-Tunnel, Zonen nach IEC 62443
OT-Zone an der Maschine
OPC-UA-Pre-Check
Betriebsart, laufender Auftrag · Wartungsfenster, Snapshot
SPS-Steuerung
TIA Portal, CODESYS, TwinCAT · Rollback zum letzten Stand
Edge-IPC
OPC-UA-Gateway, Node-RED · Argo CD oder Flux, automatisch
In die OT-Zone gelangt es nur über den OT-Proxy, auf die Steuerung erst nach Freigabe und bestandenem Pre-Check; die Edge-Schicht hält sich dagegen automatisch auf dem freigegebenen Stand.
// 01 Offline-Betrieb
Was ersetzt die Verbindung nach außen?
Private Container-Registry, lokaler Plugin-Mirror und ein lokales Sprachmodell über Ollama ersetzen alle externen Quellen.
- /01Private Container-Registry
- /02Lokaler Plugin-Mirror
- /03Lokales Sprachmodell über Ollama; dafür planen wir einen GPU-Server mit mindestens 24 GB Grafikspeicher ein
- /04Git-Server im eigenen Netz, etwa Gitea oder GitLab
KI-Assistent, auch ohne Cloud
Der Assistent analysiert gescheiterte Builds, bewertet das Risiko eines Merge Requests und erzeugt Pipelines aus einer Beschreibung in Klartext.
Im Werksnetz läuft er lokal über Ollama mit einem Open-Weight-Modell, sonst über die Claude API; Build-Logs werden vor jedem externen Aufruf bereinigt.
Für das lokale Modell planen wir einen GPU-Server mit mindestens 24 GB Grafikspeicher ein.
// 02 Zonen und Conduits
Wie erreicht ein Stand die Fertigungszone?
Nur über den OT-Proxy in der DMZ, per TLS-Tunnel nach dem Zonen- und Conduit-Modell der IEC 62443.
Der OT-Proxy sitzt in der DMZ und bringt Deployments per TLS-Tunnel in die OT-Zone, nach dem Zonen- und Conduit-Modell der IEC 62443.
Er baut seine Verbindung von innen nach außen auf, eingehende Verbindungen in die Fertigungszone gibt es nicht.
Bei Versorgern übernimmt diese Rolle ein OT-Agent in der Zone der Leittechnik, der Stände liest und nur im Auftrag einer freigegebenen Pipeline schreibt.
OPC UA · IEC 60870-5-104 · IEC 61850 · Modbus TCP
// 03 Schreibzugriff
Wer darf auf eine Steuerung schreiben?
Nur eine freigegebene Pipeline mit ihren Gates; das Dashboard greift nie selbst schreibend auf eine Steuerung zu.
Die Weboberfläche zeigt für jede Maschine oder Station den freigegebenen und den gelesenen Stand, dazu Vorlagen für industrielle Pipelines und einen Pipeline-Assistenten im Chat.
Das Dashboard greift nie selbst schreibend auf eine Steuerung zu.
Jede Änderung läuft über die Pipeline mit ihren Gates.
Was IndustrialFlow bewusst nicht tut.
- H.01SPS-Code wird nicht im Dashboard bearbeitet.
Das bleibt im Engineering-Werkzeug. - H.02Aus der Oberfläche gibt es keinen direkten Download auf eine Steuerung, nur den Start einer Pipeline.
- H.03IndustrialFlow steuert keine Prozesse und ersetzt weder Netzleitsystem noch Prozessleitsystem.
- H.04Die Installed-Base-Verwaltung bleibt im ERP oder CRM; IndustrialFlow liest diese Daten.
Häufige Fragen
Q.03Läuft IndustrialFlow ohne Internetverbindung?
Ja, der Betrieb ist vollständig ohne Verbindung nach außen möglich.
Private Container-Registry, lokaler Plugin-Mirror und ein lokales Sprachmodell über Ollama ersetzen alle externen Quellen; für das Modell planen wir einen GPU-Server mit mindestens 24 GB Grafikspeicher ein.
Der OT-Proxy baut seine Verbindung von innen nach außen auf, eingehende Verbindungen in die OT-Zone gibt es nicht.
Q.09Steuert IndustrialFlow Prozesse oder ersetzt es ein Leitsystem?
Nein, IndustrialFlow steuert keine Prozesse und ersetzt weder Netzleitsystem noch Prozessleitsystem.
SPS-Code wird weiter im Engineering-Werkzeug bearbeitet, und aus der Oberfläche gibt es keinen direkten Download auf eine Steuerung, nur den Start einer Pipeline mit ihren Gates.
Schreibzugriff auf eine Station hat der OT-Agent ausschließlich im Auftrag einer freigegebenen Pipeline.
Nächster Schritt
Erstgespräch zum Pilot.
Ob sich ein Pilot für Ihre Anlagen lohnt, klären wir vorher.
Im Erstgespräch gehen wir Toolchain, Baureihe oder Anlage und die Rolle Ihres Systemhauses durch, und Sie wissen danach, wie die erste Pipeline aussähe.
30 Minuten · unverbindlich · kein Vertriebsgespräch