IIoT 邊緣運算是什麼？不是把雲端搬進工廠：從斷線、延遲到 PoC 選型指南

外網中斷時，機台仍在生產，雲端儀表板卻整片變灰；品檢程式仍能判斷，緩衝空間滿了以後，事件開始無聲消失；系統整合商能遠端登入，值班工程師卻不知道對方是否有權修改控制參數。這三種狀況不會因為機台旁多了一台「edge box」就自動消失。真正要先談的是：哪項工作由誰負責、失聯後維持多久、失敗時如何退回可控狀態。

本文所稱 IIoT（工業物聯網）邊緣運算，是把資料收集、轉換、暫存、規則判斷或模型推論等責任，配置在設備與遠端平台之間的現場節點。它可能落在控制器、閘道、工業電腦或廠內伺服器。距離機台近只是現象；能否在指定期限與故障條件下完成工作，才是選型依據。

先釐清三個角色。PLC 是可程式邏輯控制器，負責依掃描週期與控制邏輯處理現場輸入輸出；OT 是營運技術，涵蓋會監測或影響實體製程的系統；SI 是系統整合商，常負責跨設備、軟體與網路的建置交付。一般 Linux 節點可以輔助 PLC，卻不能只憑「邊緣」名稱接管既有控制或安全聯鎖。

快速判斷：先看最嚴格的工作條件

先找出逾時後果最嚴重的工作，再判斷跨線、跨班或跨廠資料是否有價值。選的是每一項工作的配置，不是替整座工廠貼上 edge 或 cloud 標籤。

同一條產線也可能同時採三種答案：聯鎖留在 PLC，瑕疵判讀在現場運算，跨班品質趨勢再送遠端分析。混合配置不是折衷，而是把不同期限的責任拆開。

一、先寫「不能停的工作」，再談要買哪一台 edge

用期限與逾時後果取代「即時」

先把工作分成四級。安全與機械保護沿用經驗證的安全設計，不交給一般 edge 或公網；製程控制與節拍相關工作留在確定性控制層；秒到分鐘的品檢、告警與異常偵測，才依後果評估是否移到現場運算；跨班報表與模型訓練則多半可批次處理。這不是用時間數字硬切，而是先問「逾時會發生什麼」。

規格不要只寫平均延遲。P95／P99 是第九十五／第九十九百分位，代表百分之九十五／九十九的觀測值不超過該數字；兩者能看出尾端延遲，仍不能取代最差值、抖動與逾時次數。PoC 應在正常、尖峰、補送與資源競爭下量端到端時間，並記錄 deadline miss 後是忽略、告警、降級或人工接管。

四種失聯都要有答案

除了 WAN 或 VPN 斷線，也要分別模擬 DNS、時間同步、身分或授權服務不可用；雲端 API 可連但延遲或遭限流；以及 edge 主機、儲存、容器或單一服務故障。若本地程式啟動時仍要向外部授權，或憑證驗證依賴不可達的時間與撤銷服務，「程式裝在現場」仍不等於能離線營運。

把責任簽給人，不簽給產品

每項資產至少列出廠方 OT、IT、SI、設備商與平台商的負責、核准、諮詢及知會關係。帳號誰開、映像誰簽、憑證誰換、備份誰驗、弱點誰判斷、版本終止支援後誰提出替代方案，都應有姓名或職務。未寫入契約的工作，事故時通常會落到最靠近現場的人身上。

實作時可為每項工作建立一張責任卡。例如「每十秒讀取空壓機狀態」要寫資料來源、允許位址、擁有者、執行節點、反應期限、失敗告警與人工查核方式。另一張「更新異常模型」則要寫核准人、測試資料、版本、部署窗口與回滾條件。兩張卡即使跑在同一台主機，也不應共用相同寫入權限。這種拆法能讓採購規格、網路規則與值班手冊使用同一套工作名稱。

圖中的「可讀、可建議、可寫入」是三種不同權限。模型產生建議值，不代表可以直接覆寫 PLC；任何寫入都要有限值、時效、聯鎖、去重、稽核與人工撤回路徑。

二、把每一項工作放對位置：edge、cloud 或 hybrid

六欄配置法

為每項工作填六欄：反應期限、失聯容忍時間、資料敏感度、原始資料率、跨廠價值、現場維護能力。法規、客戶契約與安全完整性另列為硬限制。例如刀具異常告警若容許幾秒，但原始振動率高且外網不穩，可先在 edge 萃取特徵；跨廠刀具壽命比較則由遠端平台承接。若現場無人能更新模型，還要把受管維運或簡化演算法納入選項。

Edge、cloud 與 hybrid 不是成熟度排名。現場配置適合失聯後仍須完成、價值立即產生的工作，代價是每個節點都要維護；雲端適合長期資料、集中算力與跨站協作，代價是連線依賴、資料治理與持續費用；混合式讓現場維持最低營運閉環，遠端負責長期工作，但同步、版本與責任會更複雜。

六欄填完後，還要畫出依賴圖。把資料源、名稱解析、時間、身分、授權、訊息代理、資料庫、模型檔與操作介面逐一連線，標出哪些位於站內。只要最低營運閉環依賴一個失聯後不可用的服務，就必須補上本地替代、快取寬限或安全降級。這張圖也能揭露表面上是 hybrid，實際上卻由單一雲端帳號決定現場能否啟動的脆弱點。

協定、AI 標籤與硬體都只是輸入

MQTT 適合發布／訂閱式訊息分發，OPC UA 可承載服務與資訊模型，Modbus 常見於暫存器或線圈存取；寫著「支援」不等於單位、時間戳、品質碼、身分與權限已整合。QoS 也不是業務端不重複的保證，接收程式、資料庫與寫回動作仍要處理冪等性。

同樣地，NPU 或 AI 標籤不會自動滿足誤報率、漏報率、吞吐量與熱設計。採購前先固定輸入尺寸、樣本分布、班次、產品換線、輸出用途及失敗處理，再用候選硬體量測。若規則或統計方法已達門檻，就不必為了展示 AI 增加模型生命週期負擔。

三、斷線不是暫停鍵：先設計 store-and-forward 狀態

把「可離線」畫成狀態機

正常上傳時仍要監測連線與雲端確認水位；偵測失聯後，以防抖時間避免網路閃斷造成反覆切換；進入本地緩衝時，保留事件時間、裝置序號與品質碼；容量接近上限時，依資料等級降採樣、淘汰或停止非必要來源；復線後限制補送速率，避免舊資料淹沒即時流量；最後核對遺失、重複、亂序與雲端水位。

store-and-forward 只處理資料暫存與補送，不代表控制功能能自治。舊的量測值可以補傳，過期的啟動、復歸或配方命令卻不得在復線時重新執行。命令應有有效期限、唯一識別、程序狀態檢查與明確的重送語意。

容量估算要連同磁碟滿行為

規劃起點可寫成：

最低可用容量 = 每秒資料量 × 目標離線秒數 × 格式／索引／副本係數 × 安全餘裕

這個算式還未包含檔案系統保留空間、事件尖峰、壓縮差異、寫入放大、儲存耐久，以及補送期間持續進來的新資料。不要用標稱儲存容量直接承諾離線時長；應以實際格式、實際寫入率壓測，並驗證空間不足時會先丟哪一級資料、如何告警、能否繼續安全營運。

驗收紀錄要能回答容量警戒的每一道門檻。例如剩餘空間降到第一水位時先停止除錯日誌，第二水位改送彙總，最後水位保留停機與品質事件。門檻由專案依資料價值與儲存特性設定，不套用通用百分比。測試人員還要在補送途中再次斷線，確認游標不倒退、已確認資料不重送，且新進事件不會長期餓死。

分開 RPO、RTO 與生產持續性

RPO 是復原點目標，表示可接受回復到多早以前、也就是可容許的資料缺口；RTO 是復原時間目標，表示故障後恢復指定服務所容許的時間。兩者都不等於「產線會繼續」。決策單應另外列控制是否持續、操作員看見什麼降級狀態，以及 backlog 何時回到正常水位。時間漂移、無法解析的資料與 stale data 也要有隔離區，不可默默混入報表。

四、不是資料都上雲：用價值與追溯需求做白名單

四層資料各有去處

第一層是現場控制資料，只供控制或短期診斷，預設不離站；第二層是事件與品質碼，如停機、告警、異常及工單關聯；第三層是特徵與彙總，如班次產量、能耗或健康指標；第四層是受控原始樣本，例如異常前後波形與影像。後三層是否上傳，仍須依用途、敏感性、保存期限與接收者決定。

資料白名單至少含欄位名稱、擁有者、用途、頻率、單位、時間戳、品質碼、敏感分類、保存期限、接收者、離場條件與刪除方式。若說不出要支援哪一個決策、稽核或模型，就先不要以「未來可能有用」為由永久蒐集。資料最小化可能降低部分傳輸與暴露面，也可能刪掉追因證據，因此需要跨 OT、品質、IT 與法務共同核准。

白名單也要管版本。設備韌體更新後，暫存器尺度、單位或狀態碼可能改變；同名欄位若沒有資料字典版本，跨月趨勢就可能把不同語意接在一起。edge 應保留來源裝置、映射版本、採集時間與接收時間，並把超界、逾時、替代值及感測器失效寫成品質碼。遠端分析遇到未知版本時應隔離，不要自行猜測單位後繼續計算。

節流不應切斷追因

以沖壓機振動為例，平時可上傳每分鐘特徵與設備狀態，edge 以環形空間保存短期原始波形。異常觸發時鎖定事件前後片段，再依工單與資料政策核准上傳。若模型誤報增加，團隊仍能回看原始訊號、轉速與模具批次，而不是只剩「異常分數 0.8」這種無法重建的結論。

五、讓 edge 進入 OT，不讓它變成繞過控制邊界的捷徑

先決定 zone，再開 conduit

DMZ 是非軍事區，在此指隔開 OT 與企業 IT、用來中介資料交換與受控維運的網路區域。先把機台／cell、產線監控、工業 DMZ、企業 IT 與外部服務分區，再為每一條 conduit（區域間受控通道）列來源、目的、方向、協定、連接埠、帳號、用途、負責人與到期日。VLAN 只是分段工具；若路由、防火牆、管理介面或維修筆電能繞過規則，隔離就沒有完成。

讀取趨勢、下載配方、遠端桌面、更新韌體與寫入 PLC 必須是不同權限。跨區流量採白名單，寫入預設拒絕；必要遠端維運走受控入口、限時身分與稽核記錄，專案結束後可以撤銷。edge 不應直接暴露公網，也不應成為企業網路通往 PLC 的捷徑。

維運鏈要從上線寫到退場

最低清單包含資產與軟體版本、每台裝置唯一身分、最小權限、受控更新、弱點通知、設定與資料備份、回滾測試、時間同步、生命週期終點及備品。產品能更新不代表更新包有簽章、斷電後可恢復或新版不破壞驅動；修補前要在測試環境或維護窗驗證，緊急風險則依現場後果決定補償措施。

現場還有企業機房不常遇到的條件。瞬間掉電、電壓波動、粉塵、油霧、振動、高溫與未受控 USB 都可能讓軟體設計失效。候選設備的電源、接地、隔離、外殼、散熱、儲存與安裝位置必須依實際環境核對。若規格未提供某項額定，就把它列為未知並以外部防護或更合適設備處理，不能用「工業」名稱補足證據缺口。

SI 交接時，廠方應取得系統圖、資料字典、帳號權責、部署清單、憑證輪替方式、備份與復原程序。由非原建置人員依文件完成一次復原，才算把系統交給組織，而不是繼續綁在某位工程師的筆電與記憶裡。

六、用 PoC 淘汰錯的架構，不只證明 demo 會動

先鎖定基準、邊界與成功條件

PoC 應挑一項非安全、可回復且能量測現況的工作，例如把人工抄錄的空壓機狀態轉成有品質碼的趨勢資料。先記錄目前遺失率、人工時間、告警到處理時間與誤報狀況；再寫出不可碰的控制位址、成功門檻、觀察班次、產品型態與不通過後的回復方法。只在展示日成功一次，不能代表可量產。

硬體選擇要對應 PoC 階段，而非把開發板一律包裝成工業設備。需要受控環境中的 Linux 資料處理、容器與儀表板驗證，可評估 Raspberry Pi 5 4GB（約 NT$3,680）；它不是工業級電腦，機殼、電源、散熱、儲存耐久與 I/O 保護都要另設計。若要驗證 Linux 高階應用與 MCU 輸入輸出如何分工，可用 Arduino UNO Q（約 NT$2,330） 做混合原型；它是開發板，不是工業 PLC，也沒有原生工業隔離 I/O。

若 PoC 本身包含機台旁 I/O 與控制器角色，可把 Arduino Opta RS485（約 NT$8,900） 列為工業微型 PLC／邊緣控制器候選，再核對電氣、防護、程式與現場負載需求。它具 RS485 與 Ethernet；兩種介面存在，並不能證明裝置已提供完整的 Modbus 協定轉換角色。以上價格均為 2026-08-09 核實的約價；促銷與庫存會變動，採購前請以商品頁或報價為準。價格只涵蓋板卡或控制器本體，電源、外殼、儲存、隔離轉接、配線、工程與維保應另列。

六組故障驗收

1. 延遲與負載：量正常、尖峰、資源競爭及補送時的 P95、P99、最差值、抖動與逾時數。
2. 斷線依賴：依序切斷 WAN、DNS、NTP、授權與身分服務，確認功能、時長、告警與操作介面。
3. 資料完整性：核對遺失、重複、亂序、品質碼、時間漂移、補送速率與陳舊資料標示。
4. 故障復原：重啟主機、塞滿儲存、終止服務、突然斷電，再還原設定與映像。
5. 資安權限：驗證流量白名單、越權拒絕、帳號撤銷、更新與稽核記錄。
6. 接管退場：由不同工程師照文件重建，匯出資料與設定，確認不依賴單一帳號或雲端租戶。

PoC 通過只代表當時硬體、韌體、模型、負載與拓樸。安全邊界未定、離線授權不明、資料權屬不清或維護無人承接時，應停止擴大，不可直接複製到全廠。

七、總成本不是工業電腦報價：算三年責任成本

一次性、持續與風險成本分開算

一次性成本包含主機與備品、機櫃、電源、UPS、網路配線、停機施工、驅動、資料模型、資安設計、驗收與教育訓練。持續成本包含平台或裝置授權、雲端傳輸與儲存、監控、憑證、修補、到場維護、備份演練、模型再驗證、版本相容與電力。這兩層都可能遠高於開發板或工業電腦的採購價。

第三層是風險與退場：停線、資料缺口、供應商停止支援、離線授權寬限、備品交期、資安事件、設定匯出與替代平台遷移。比較兩個方案時，應採相同三年工作量、服務水準與故障情境，而非一邊只報硬體、另一邊含完整維保。edge 可能減少某些上傳或雲端運算，也會增加分散節點的更新與到場責任，是否划算要由同口徑 TCO 驗證。

成本表應做至少三種情境：日常負載、資料量或站點增加，以及供應商服務結束或設備提早故障。每項成本標出數量、單價、工時、發生頻率、責任方與估算依據。無法報價的項目先保留風險區間，不填成零。最後再做敏感度比較，找出最容易翻轉選型結論的假設，例如到場次數、儲存成長、授權計價或停線一小時的損失。

TCO 討論的核心不是猜哪個平台永遠便宜，而是把「誰要在何時做什麼」轉成可估工時與契約。若備份從未還原、備品從未上機、替代方案從未演練，那些項目仍是未償風險，不是已具備能力。

八、帶著一頁決策單去開會

五欄填完，才開始比型號

各角色下一步只問一個關鍵問題

廠長先問：斷線時哪段營運必須繼續，損失上限是多少？OT 或設備工程問：哪些控制週期與寫入權限不得離開既有控制層？IT 與資安問：資產、身分、更新、備份與遠端入口由誰治理？SI 問：如何交付資料完整性、復線補送與接管證據，而非只交展示畫面？設備商則要把離線依賴、資料模型、授權寬限、支援終點與替代料寫進規格。

第一次做 IIoT 的團隊，不妨從單線、唯讀、非安全且可回復的工作開始。先把不能停的工作、可接受的斷線損失與確實有用途的上雲資料寫清楚，再選硬體與平台。若供應商無法把這三件事改寫成可量測、可故障注入、可由他人接管的條款，選型仍未完成。