Wat is een Edge Device?
Een edge device is een apparaat aan de rand van een netwerk, dicht bij machines, sensoren en processen, dat data verzamelt, lokaal verwerkt en gecontroleerd doorstuurt naar IT-systemen of de cloud. In plaats van ruwe meetwaarden ongefilterd naar een datacenter te sturen, filtert, aggregeert en verrijkt het edge device de data ter plaatse. Het is daarmee de fysieke bouwsteen van edge computing en de praktische brug tussen de OT-werkvloer en de IT-wereld van MES, ERP en analyse.
Een edge device leest mee, rekent en publiceert, maar bestuurt het proces niet: dat blijft de taak van de PLC.
🧠 Wat doet een edge device precies?
Een edge device combineert vijf functies die u in vrijwel elke industriële toepassing terugziet:
| Functie | Toelichting | Voorbeeld |
|---|---|---|
| Data-acquisitie | Leest waarden uit PLC’s, O, sensoren en meters | Tellerstanden en temperaturen uit een S7-PLC |
| Protocolconversie | Vertaalt veldprotocollen naar IT-vriendelijke protocollen | Modbus RTU of Modbus TCP naar MQTT of OPC UA |
| Voorbewerking | Filtert, comprimeert en aggregeert ruwe data | Duizenden trillingsmetingen per seconde terug naar één RMS-waarde |
| Lokale analyse | Draait regels, scripts of machine learning-modellen | Afwijking in stroomopname signaleren voor voorspellend onderhoud |
| Publiceren en bufferen | Stuurt resultaten door en houdt data vast bij een storing (store-and-forward) | Publiceren naar een Unified Namespace of historian |
Belangrijk is wat een edge device niet doet. Deterministische besturing met cyclustijden van enkele milliseconden blijft in de PLC, RTU of het DCS. Veiligheidsfuncties, zoals een noodstop, horen in bedrade veiligheidscircuits of een safety PLC en nooit op een edge device. Een edge device werkt doorgaans in zachte realtime: snel genoeg voor monitoring en advies, niet voor harde regeltaken.
🔄 Wat is het verschil tussen een edge device, gateway en sensor?
De begrippen lopen in de praktijk in elkaar over, maar de rollen zijn wel te onderscheiden:
| Component | Primaire rol | Rekenkracht | Typische plek |
|---|---|---|---|
| Sensor | Meet een fysieke grootheid (druk, temperatuur, niveau) | Minimaal, soms ingebouwde diagnose | In het proces |
| Gateway | Verbindt netwerken en vertaalt protocollen | Beperkt, vaak vaste functies | Schakelkast, DIN-rail |
| Edge device | Verzamelt, verwerkt en analyseert data, draait apps | Gemiddeld, vaak met containers | Schakelkast of naast de machine |
| Industriële PC (IPC) | Draait zwaardere software, HMI of analyses | Hoog | Schakelkast of bedieningspaneel |
| Edge server | Meerdere workloads per site, virtualisatie of Kubernetes | Hoog tot zeer hoog | Lokale serverruimte |
Veel moderne gateways kunnen inmiddels ook Docker-containers draaien, en een IPC met edge-software is functioneel gewoon een edge device. Kijk daarom vooral naar de functie: zodra een apparaat zelf data verwerkt en apps draait, gedraagt het zich als edge device en verdient het dezelfde beheer- en beveiligingsaandacht.
Let op een tweede betekenis. In IT-security gebruiken overheden de term edge device ook voor apparaten op de netwerkgrens, zoals firewalls, routers en VPN-gateways. De Five Eyes-diensten publiceerden op 5 februari 2025 een reeks richtlijnen over die categorie, waaronder internetbereikbare OT-systemen en IoT-apparaten. Een industrieel edge device dat zelf een verbinding naar buiten opzet, valt in de praktijk onder beide betekenissen.
🔧 Welke kenmerken heeft industriële edge-hardware?
| Kenmerk | Typische uitvoering |
|---|---|
| Montage | DIN-rail of wandmontage in de schakelkast |
| Voeding | 24 V DC, vaak met redundante voedingsingang |
| Temperatuurbereik | Ventilatorloos; industriële modellen vaak −25 tot +60 °C, wide-temp-varianten −40 tot +70 °C |
| Veldinterfaces | RS-485, CAN, digitale I/O, 4-20 mA, PROFINET of EtherNet/IP |
| Netwerk | Twee of meer Ethernet-poorten (OT en IT gescheiden), optioneel 5G, wifi of LoRa/LoRaWAN |
| Software | Linux of een real-time OS, container-runtime, apps zoals Node-RED |
| Beveiliging | Secure boot, TPM voor sleutelopslag, ondertekende firmware |
Twee afzonderlijke netwerkpoorten zijn meer dan een detail. Daarmee kan het apparaat aan de OT-kant uitlezen en aan de IT-kant publiceren, zonder dat beide netwerken direct met elkaar verbonden raken. Schakel IP-forwarding tussen die poorten dan wel uit, anders wordt het edge device ongemerkt een router tussen OT en IT.
🏭 Waar worden edge devices ingezet?
- Waterbeheer - een edge device bij een gemaal leest niveaus en pompstatus uit de lokale PLC en stuurt kenwaarden over een smalle mobiele verbinding naar het centrale SCADA-systeem; de pompbesturing zelf blijft in de PLC
- Discrete productie - berekening van OEE per machine uit tellers en storingssignalen, zonder de bestaande PLC-software aan te passen
- Procesindustrie - meelezen van diagnosedata uit slimme veldapparaten, zoals bij de tweede-kanaalaanpak van NAMUR Open Architecture
- Energie - meten van verbruik en pieken per installatie en signaleren van afwijkingen voor energiemanagement
- Kwaliteitscontrole - een vision-model beoordeelt camerabeelden aan de lijn, zonder dat beelden het terrein verlaten
- Brownfield-ontsluiting - oudere machines met alleen Modbus of seriële interfaces aansluiten op moderne datastructuren
🔐 Hoe beveiligt u een edge device?
Een edge device staat per definitie op een grens: tussen OT en IT, en vaak ook tussen het bedrijf en een cloudplatform. Dat maakt het een aantrekkelijk doelwit. Een goed ingericht edge device kan de cybersecurity juist verbeteren, omdat minder systemen rechtstreeks met de PLC praten en verbindingen alleen naar buiten worden opgezet.
| Maatregel | Uitwerking |
|---|---|
| Zonering | Plaats het apparaat in een eigen zone volgens het Purdue Model en IEC 62443; cloudverkeer loopt via de IDMZ |
| Alleen uitgaande verbindingen | MQTT over TLS (poort 8883) vanaf het device, geen open inkomende poorten |
| Hardening en security by design | Minimaal besturingssysteem, ongebruikte diensten en poorten uit, geen standaardwachtwoorden |
| Identiteit en toegang | Eigen certificaat per apparaat, beheerd via certificaatbeheer; persoonlijke accounts en rolgebaseerde rechten voor beheer- en data-interfaces |
| Updates | Patchmanagement voor OS, container-runtime en apps, met terugrolmogelijkheid, als onderdeel van lifecycle management |
| Zichtbaarheid | Opnemen in de asset-inventaris, logging naar syslog of security monitoring |
Voor de componenteisen is IEC 62443-4-2 het referentiekader. Die norm onderscheidt softwareapplicaties, embedded devices, host devices en network devices. Een edge device met een volwaardig Linux-systeem en containers lijkt in de praktijk het meest op een host device, een compacte gateway met vaste firmware meer op een embedded device.
🧱 Welke Europese regels gelden voor edge devices?
| Regel | Sinds | Gevolg voor edge devices |
|---|---|---|
| Radioapparatuurrichtlijn met EN 18031 | 1 augustus 2025 | Edge devices met wifi, Bluetooth of mobiele modem moeten cybersecurity-eisen halen voor CE-markering |
| Cyber Resilience Act - meldplicht | 11 september 2026 | Fabrikanten melden actief misbruikte kwetsbaarheden en ernstige incidenten, met een eerste waarschuwing binnen 24 uur |
| Cyber Resilience Act - volledige eisen | 11 december 2027 | Veilige standaardinstellingen, SBOM, beveiligingsupdates gedurende een ondersteuningstermijn van in principe minimaal vijf jaar |
| NIS2 / Cyberbeveiligingswet | 15 augustus 2026 (NL) | Gebruikers nemen edge devices op in hun risicobeheer, monitoring en leveranciersbeheer |
Onder de CRA is een gemiddeld edge device een standaardproduct met zelfbeoordeling. Heeft het apparaat kernfuncties uit bijlage III, zoals router, switch of VPN, dan geldt de strengere klasse I. Firewalls en container-runtimes als product vallen in klasse II.
🧭 Hoe kiest en implementeert u een edge device?
- Begin bij de use case - welke data heeft u nodig, hoe vaak en voor wie? Een OEE-dashboard vraagt iets anders dan een trillingsanalyse met duizenden samples per seconde.
- Inventariseer de bronnen - welke PLC’s, protocollen en tags zijn er, en mag u ze alleen lezen of ook schrijven? Kies standaard voor alleen lezen.
- Kies hardware op levensduur - machines gaan vaak tien tot twintig jaar mee; vraag naar de ondersteuningstermijn van firmware en platform, niet alleen naar de prijs.
- Ontwerp de datastroom - leg zone, richting van het verkeer en het datamodel vast, bijvoorbeeld MQTT Sparkplug B (Sparkplug 3.0 is sinds 2023 ook ISO/IEC 20237) of het informatiemodel van OPC UA.
- Regel centraal beheer - uitrol, updates, back-ups en certificaten vanuit één beheeromgeving, met duidelijke afspraken tussen IT en OT over wie wat doet.
- Test en monitor - controleer bij een FAT of het device de PLC niet belast, en bewaak daarna CPU, opslag, buffervulling en verbindingsstatus.
❓ Veelgestelde vragen
Kan een edge device een PLC vervangen?
Een edge device vervangt in de regel geen PLC, omdat het niet deterministisch is ontworpen en geen gecertificeerde veiligheidsfuncties uitvoert. Er bestaan wel soft-PLC’s die op edge-hardware draaien, maar die vragen extra aandacht voor realtime gedrag en beschikbaarheid. De gangbare architectuur is daarom PLC voor besturing en edge device voor data.
Welke protocollen ondersteunt een edge device meestal?
Een edge device ondersteunt meestal aan de veldkant protocollen als Modbus, S7, PROFINET en EtherNet/IP. Aan de IT-kant zijn MQTT, OPC UA en REST/HTTPS gangbaar. Welke combinatie u nodig heeft, hangt af van de bestaande installatie en van het doelplatform.
Wat gebeurt er met de data als de verbinding wegvalt?
Een goed edge device buffert data lokaal bij een storing en verstuurt die opnieuw zodra de verbinding terug is, het zogeheten store-and-forward-principe. Hoeveel uren of dagen het apparaat kan overbruggen, hangt af van de opslagcapaciteit en de hoeveelheid data. Leg die buffertijd vast als eis bij de aanschaf.
Valt een edge device onder de Cyber Resilience Act?
Een edge device dat in de EU op de markt komt, is een product met digitale elementen en valt daarmee onder de Cyber Resilience Act. De meldplicht voor fabrikanten geldt sinds 11 september 2026, de volledige eisen gelden vanaf 11 december 2027. Meestal is het een standaardproduct, tenzij het ook als router, switch of VPN-gateway functioneert.
Waar plaatst u een edge device in het Purdue-model?
Een edge device staat meestal op niveau 2 of 3 van het Purdue Model, in een eigen netwerkzone naast de besturing. Verbindingen naar de cloud of het kantoornetwerk lopen via de IDMZ en worden bij voorkeur vanaf het device naar buiten opgezet. Zo hoeven er geen inkomende poorten naar het OT-netwerk open.
Is een Raspberry Pi geschikt als industrieel edge device?
Een consumentenbord zoals een Raspberry Pi is geschikt voor proefopstellingen, maar meestal niet voor productie. Het mist vaak industriële temperatuurbereiken, 24 V-voeding, langdurige leverbaarheid en een gegarandeerde updatetermijn. Er bestaan wel industriële afgeleiden met behuizing, DIN-railmontage en langere ondersteuning.
📌 Samengevat
Een edge device verzamelt en verwerkt OT-data dicht bij de bron en publiceert alleen wat nodig is naar IT en cloud, terwijl besturing en veiligheid in de PLC blijven. Kies het apparaat op functie, levensduur en beheerbaarheid, plaats het in een eigen zone met alleen uitgaande verbindingen en behandel het als volwaardig systeem in uw OT-architectuur: geïnventariseerd, gepatcht en bewaakt.