3. SCADA系统架构与食品工厂部署

食品工厂的SCADA系统不是一台电脑加几个画面，而是一套从车间传感器一直延伸到厂级管理网络的分层体系。理解这套体系的关键，是搞清楚每一层"管什么、放什么设备、和上下层交换什么数据"。业界普遍采用三层或四层模型来描述它，两者的差别主要在于是否把现场设备层单独拆出来。对于食品工厂这种设备密集、卫生要求高、批次追溯严格的场景，四层模型更利于划清责任边界。

四层架构的职责划分

自下而上，第一层是现场设备层，包括温度/压力/流量变送器、液位开关、称重传感器、CIP电导率探头、阀门定位器、变频器和各类执行机构。这一层只负责"感知"和"动作"，输出的是4～20mA模拟信号、干接点或Modbus RTU等现场总线数据。第二层是控制层，核心是PLC（如西门子S7-1500、罗克韦尔ControlLogix）和远程I/O站，它把现场信号采集进来，执行联锁、PID回路、批次步序等逻辑，再把状态量、设定值和报警字上传。第三层是监控层，由SCADA服务器、操作员站、工程师站和历史数据库组成，承担画面监视、报警管理、趋势记录、配方下发和报表生成。第四层是信息层，对接MES、ERP、WMS，把批次产量、能耗、OEE、质量放行数据向上汇总，供计划排产和追溯查询使用。

层与层之间的数据流向是有明确方向的：控制层向监控层上传过程值，监控层向控制层下发设定值和配方参数；信息层从监控层取汇总数据，一般不直接穿透到PLC。这种"逐层收敛"的设计，既降低了上层网络对实时控制的干扰，也让权限和审计更容易落地。

冗余设计：不是"多买一台服务器"

食品工厂的杀菌、灌装、CIP清洗往往连续运行，停机意味着整批产品报废甚至微生物风险。冗余要按"故障后能否继续生产"来设计，而不是简单堆硬件。常见做法有三处：其一，SCADA服务器做双机热备，主备之间通过心跳线同步实时数据库和报警状态，主站故障时备站接管，操作员画面不中断，切换时间通常控制在数秒内；其二，PLC采用热备冗余机架，主CPU故障时备CPU在一个扫描周期内接管，I/O不中断；其三，控制网络采用环网拓扑（如工业以太网环网），单点断线时环网在毫秒级重构，避免一条网线故障导致整段设备失联。

需要提醒的是，冗余只覆盖"硬件故障"，不覆盖"组态错误"和"网络风暴"。因此冗余设计必须配合变更管理和网络流量控制，否则双机同时被错误配方带偏的情况并不罕见。

网络分区：OT、DMZ、IT 三道边界

把办公网和车间控制网直接连通，是食品工厂最常见的隐患。正确做法是划分三个区域：OT区承载PLC、SCADA服务器和操作员站，只允许授权工程师站接入；DMZ区放置历史数据镜像、OPC UA网关和补丁服务器，作为OT与IT之间唯一的数据交换点；IT区是MES、ERP和办公网络。OT到IT的数据流必须经过DMZ，且原则上只允许"上行只读"，下行写操作要经过审批和网关白名单。防火墙规则应细化到"源IP+目的IP+端口+协议"，例如只放行SCADA服务器到DMZ网关的OPC UA 4840端口，而不是整段放通。

典型拓扑案例：乳品厂杀菌灌装线

以一条日处理200吨的乳品杀菌灌装线为例。现场设备层布置PT100温度传感器（杀菌段进出口各一支）、流量计、CIP电导率探头和灌装机伺服；控制层用一套S7-1500热备PLC负责杀菌温度PID和CIP步序，另一套PLC负责灌装和贴标，两套PLC通过工业以太网接入同一环网；监控层配置两台冗余SCADA服务器、三台操作员站（杀菌中控、灌装、包装）和一台工程师站，历史库按1秒采样存储关键温度点；DMZ部署OPC UA网关和历史镜像；信息层对接MES做批次追溯。网络分区上，杀菌与灌装划为OT-A子网，包装与仓储划为OT-B子网，两者经工业防火墙互通，仅允许必要的状态字交换。

部署时有一个容易被忽略的细节：时间同步。SCADA服务器、PLC、历史库若时间不一致，报警记录和批次追溯的时间戳就会错位。工程上通常由监控层的一台NTP服务器向OT区授时，PLC和服务器统一对时，误差控制在100ms以内，这是事后排查"某批产品杀菌温度是否达标"的基础。

把这套架构落到图纸上时，建议同时画出"数据流方向"和"网络边界"两条线：数据流回答"谁给谁供数"，边界回答"谁能进谁"。两者都清楚，后续的权限配置、防火墙策略和故障排查才有依据，而不是等到出问题再回头猜哪台设备连在哪一层。