直接回答

当某项功能必须在云端或广域网中断期间保持安全、及时或有用时，将其放在边缘。当某项功能从设备群全局数据、弹性计算、集中治理或频繁迭代中获益多于本地自治时，将其放在云端。大多数生产系统两者都需要：云端服务分发策略并协调设备群，边缘组件在物理过程附近执行有界决策。

不要一次性为整个产品做决定。将每个功能——采样、过滤、推理、命令仲裁、存储、报告和模型训练——对照明确的延迟预算和故障域放置。“边缘还是云端”是一个分配问题，而非平台身份。

范围与非范围

本指南涵盖跨设备、现场网关、区域服务和中心云的应用和数据处理放置。适用于遥测管道、工业网关、本地推理和设备控制。

不替代机械风险评估、功能安全设计或实时控制分析。通用网关不自动成为安全控制器。硬实时环路和认证保护功能应属于为这些职责设计和验证的设备。本指南也不规定某种边缘运行时、云提供商或协议。

从约束出发，而非潮流

从端到端延迟预算开始。包括传感器采集、批处理、序列化、网络传输、排队、处理、命令投递和执行器响应。如果通风控制器必须在 200 毫秒内响应，中位请求时间为 50 毫秒的云函数可能仍然不合适，因为尾部延迟和中断行为违反了实际要求。

接下来，定义离线行为。问自己：在没有云端的情况下五秒、五分钟、五天后会发生什么。本地过程可能需要保持其最后安全策略、拒绝新的远程命令、继续降级运行模式并缓冲有界遥测。“网络是可靠的”不是离线设计。

将数据引力和带宽作为独立标准。在本地过滤振动样本可以大幅减少上游流量，但丢弃原始数据可能阻碍后续诊断。一个有用的模式是在边缘计算连续特征，保留一个短的本地原始数据环形缓冲区，并在异常发生时上传相关窗口。

最后，为运维归属定价。每个边缘工作负载都创建一个分布式软件设备群：它需要身份、配置、健康报告、分阶段更新、回滚、存储限制和断电后恢复。将代码移到边缘可能减少云端成本但增加现场支持成本。

功能 通常放置 原因
保护联锁 专用本地控制器 不得依赖广域网或云端可用性
快速闭环控制 设备或本地控制器 确定性响应和直接 I/O
协议归一化 网关 靠近遗留设备和站点上下文
设备群策略编写 云端 一个治理源服务多站点
策略执行 边缘 断连期间持续运行
跨站点分析和训练 云端 需要广泛数据和弹性计算
运维仪表盘 云端，在需要时带本地回退 集中访问，带明确降级模式

经得起审查的放置方法

  1. 以有用的粒度盘点功能。“分析”太宽泛；分开捕获、特征提取、推理、告警和再训练。
  2. 记录功能的输入、输出、状态、延迟目标、数据量以及延迟或丢失的后果。
  3. 分配其故障域。说明设备、网关、站点网络、区域服务或中心云失败时必须发生什么。
  4. 选择满足需求的最窄本地职责。除非约束另有说明，否则保持设备群协调和昂贵学习集中化。
  5. 定义同步语义。策略和模型需要版本、激活条件、过期、兼容性规则和已知良好的回滚目标。
  6. 设计有界的本地状态。为队列、原始数据缓冲区、日志和缓存配置设置限制，包括达到每个限制时的策略。
  7. 用真实故障注入测试边界：广域网丢失、DNS 故障、高延迟、过期策略、断电、磁盘耗尽和中断的更新。

对于每个云端发出的命令，区分授权与执行。云端可以授权目标状态，但边缘应在执行前立即验证新鲜度、本地前置条件、参数边界和联锁。将已接受、已拒绝、已开始和已完成作为不同状态返回。

需要设计排除的故障模式

最危险的边界是隐藏依赖。一个“本地”工作流可能仍然调用云端 DNS、获取令牌或等待远程日志才能完成。在物理阻断广域网的情况下演练它，验证所承诺的本地行为。

过期状态是另一个常见故障。边缘节点可能保持在线但使用过时的模型或策略。为每个可部署构件版本化，报告活动版本，在过期运行不安全时设置过期，并定义过期意味着保持、降级还是停止。

无界缓冲将网络中断转化为磁盘中断。选择丢弃最旧遥测、丢弃最新数据、聚合采样还是停止采集；正确答案取决于审计和恢复需求。重连也可能淹没云端，因此以配额和抖动排空积压而非以线路速率。

跨网关的模型或规则差异使事件难以复现。保留签名构件、确定性配置、部署分组和审计追踪，将输出链接到产生它的代码、模型、策略和输入版本。

实施清单

  • 每个功能有测量过的延迟预算和指定负责人。
  • 云端丢失不能绕过本地安全控制。
  • 短时和长时间中断的离线行为已定义。
  • 边缘队列、缓存和原始数据缓冲区有强制限制。
  • 策略和模型已版本化、认证、可观测且可逆。
  • 命令携带身份、过期、边界和结果报告。
  • 积压恢复有限速并在设备群规模下测试。
  • 故障测试覆盖广域网丢失、过期配置、断电和存储满。

主要参考来源

NIST IoT 设备网络安全能力核心基线定义了设备能力，如安全配置、数据保护、逻辑访问控制、软件更新和网络安全状态感知——当工作负载移至边缘时这些能力仍然相关。关于标准化边缘术语和用例，使用ISO/IEC TR 30164:2020。将这些基线与管辖实际设备的安全和实时标准一起应用；放置图本身不建立安全运行。