3、智慧工厂网络架构：OT与IT融合、工业网络拓扑、边缘网关在工厂网络中的部署位置

智慧工厂的网络架构是支撑设备互联、数据采集、边缘计算与云端协同的物理基础。传统工厂中，OT（操作技术）网络与IT（信息技术）网络长期处于隔离状态：OT侧以PLC、DCS、CNC、传感器、执行器为核心，依赖Modbus RTU、Profinet、EtherCAT、OPC UA等工业协议，强调实时性、确定性和高可用性；IT侧则以服务器、数据库、ERP/MES系统为核心，依赖TCP/IP、HTTP/REST、MQTT等通用协议，强调吞吐量、灵活性和数据共享。随着智能制造对数据贯通和业务协同的要求不断提高，OT与IT的深度融合成为必然趋势，而边缘网关正是这一融合过程中的关键枢纽设备。本章将系统阐述OT与IT融合的架构模型、工业网络的分层拓扑，以及边缘网关在工厂网络中的具体部署位置与连接关系。

上图展示了智慧工厂中OT与IT融合的三层网络架构。边缘网关位于OT层与IT层之间的“夹层”位置，向下通过工业以太网或现场总线连接PLC、传感器、机器人等设备，向上通过MQTT、OPC UA、HTTPS等协议与边缘服务器、MES/ERP系统或云平台通信。这种部署方式使得边缘网关成为数据流转的“交通枢纽”，既承担协议转换和实时控制的职责，又为上层应用提供标准化、可消费的数据服务。

3.1 OT与IT融合的核心原理与架构模型

OT与IT融合的本质是打破传统的信息孤岛，让生产现场的实时数据能够安全、高效地流向管理与决策层。在传统工厂中，OT网络通常采用专用的工业协议和封闭的网络架构，IT系统难以直接访问底层设备数据；而IT网络虽然具备强大的计算和存储能力，却无法理解工业协议的语义。边缘网关的出现，正是为了解决这一“语言不通”和“信任缺失”的问题。

从架构模型来看，OT与IT融合通常采用“三层两域”模型：

• OT域（现场层+控制层）：包括传感器、执行器、PLC、DCS、CNC等设备，采用实时以太网或现场总线组网，循环周期通常在1ms~100ms之间，对时延和确定性要求极高。
• 边缘域（边缘层）：由边缘网关、边缘服务器、工业防火墙等组成，负责协议转换、数据预处理、本地推理和临时存储，是OT与IT之间的“翻译官”和“缓冲带”。
• IT域（管理层+云端）：包括MES、ERP、SCADA、数据中台和云平台，采用标准TCP/IP网络，数据以JSON、Parquet等格式存储，通过REST API或消息队列进行交互。

在融合过程中，需要重点关注三个关键点：数据语义的统一（将Modbus寄存器地址映射为有意义的标签名）、时间同步（通过NTP或PTP确保OT与IT侧数据具有一致的时间戳）、安全隔离（通过工业防火墙和VLAN划分实现OT与IT的逻辑隔离，而非物理隔离）。

维度	OT网络	IT网络	边缘网关的融合作用
通信协议	Modbus RTU/TCP、Profinet、EtherCAT	HTTP/REST、MQTT、AMQP	协议转换，双向翻译
数据特征	点位数据、寄存器值、实时状态	结构化记录、事件、业务对象	数据建模、标签化、上下文补充
实时性要求	ms级确定性时延	秒级或分钟级响应	本地缓存与异步上报，解耦实时性差异
安全策略	物理隔离、专网专用	防火墙、VPN、身份认证	边缘侧安全过滤、白名单机制
运维模式	设备厂商维护、现场调试	IT部门统一运维、远程管理	远程配置下发、状态监控、OTA升级

3.2 工业网络拓扑结构与分层设计

智慧工厂的工业网络拓扑通常采用三层两网结构：核心层、汇聚层、接入层，以及工业控制网络和工业信息网络两张逻辑网络。接入层连接现场设备（传感器、变送器、远程I/O），汇聚层连接接入层交换机并实现VLAN间路由，核心层则负责跨区域的数据交换和与上层IT网络的连接。

在实际部署中，工业网络拓扑需要遵循以下设计原则：

1. 控制网络与信息网络物理或逻辑隔离：控制网络承载实时控制流量，信息网络承载数据采集和远程访问流量。物理隔离成本较高，逻辑隔离（VLAN+防火墙策略）是当前主流方案。
2. 环形或冗余拓扑：在关键工段采用工业以太网环网（如MRP、ERPS协议），实现链路故障时毫秒级切换，保证控制网络的可用性。
3. 接入层靠近设备：接入层交换机部署在设备附近（如电控柜内），通过屏蔽双绞线或光纤连接PLC、机器人控制器等设备，减少电磁干扰。
4. 汇聚层承担协议转换：汇聚层通常部署边缘网关或协议转换器，将不同子网的工业协议统一为OPC UA或MQTT，向上层提供标准数据接口。

以一个典型的汽车零部件制造车间为例，其网络拓扑可描述为：每条生产线配置一台接入层工业交换机（支持Profinet），连接约20台PLC和50台远程I/O站；接入层交换机通过光纤上行至车间汇聚层交换机；汇聚层部署边缘网关，通过OPC UA采集所有PLC数据，同时通过Modbus TCP连接电表、水表等能源计量设备；汇聚层再通过千兆光纤连接至工厂核心交换机，核心交换机与MES服务器、数据中台相连。整个网络划分为控制VLAN（VLAN 10）、数据采集VLAN（VLAN 20）和办公VLAN（VLAN 30），通过防火墙策略实现跨VLAN访问控制。

3.3 边缘网关在工厂网络中的部署位置与连接方式

边缘网关的部署位置直接决定了数据采集的实时性、网络的安全性和系统的可维护性。根据工厂规模和网络架构的不同，边缘网关主要有以下三种部署模式：

模式一：车间级集中部署。在车间汇聚层机柜中部署一台或多台边缘网关，通过车间工业交换机连接所有设备。这种模式适用于设备数量适中（50~200台）、车间布局相对集中的场景。优点是便于统一管理、硬件利用率高；缺点是所有数据汇聚到单一节点，存在单点故障风险，且对网关的并发处理能力要求较高。

模式二：产线级分布部署。在每条生产线或每个工艺段部署一台小型边缘网关，就近接入本产线的PLC和传感器。这种模式适用于产线独立性强、设备分布分散的大型工厂。优点是数据采集实时性好、故障隔离性好（单条产线网关故障不影响其他产线）；缺点是网关数量多、运维成本高。

模式三：设备级嵌入式部署。将边缘网关功能嵌入到设备控制器（如高端PLC、机器人控制器）或独立的嵌入式盒子中，直接与单台设备对接。这种模式适用于高价值单机设备或对数据安全要求极高的场景。优点是数据不出设备、安全性最高；缺点是计算能力有限，难以进行复杂的模型推理。

在连接方式上，边缘网关通常提供以下接口：

• 下行接口：RS-485/RS-232（Modbus RTU）、以太网口（Modbus TCP、Profinet、EtherNet/IP）、CAN总线等，用于连接现场设备。
• 上行接口：千兆/万兆以太网口（连接IT网络）、4G/5G模块（用于远程站点或临时部署）、Wi-Fi（用于移动设备或临时网络）。
• 扩展接口：USB（用于外接存储或调试）、HDMI（用于本地显示）、数字量/模拟量IO（用于直接采集传感器信号）。

典型边缘网关部署配置示例（产线级）：
- 设备：边缘网关 EG-2000
- 下行：2× 千兆工业以太网口（Profinet + Modbus TCP）
        1× RS-485（Modbus RTU，连接电表）
- 上行：1× 千兆以太网口（连接车间汇聚交换机）
        1× 4G模块（备用链路）
- 数据采集：50台PLC × 100点位 × 500ms周期
- 本地推理：设备健康度评分模型（TensorFlow Lite，每5秒推理一次）
- 上报策略：实时数据每5秒批量上报；告警数据立即上报

3.4 实战案例：某电子制造工厂边缘网关部署与网络改造

某电子制造工厂（SMT贴片车间）原有网络架构为：每条SMT产线配置一台PLC（西门子S7-1500），通过Profinet连接贴片机、回流焊、AOI检测设备；车间共8条产线，PLC分散在各产线电控柜内。工厂MES系统需要获取每台设备的运行状态、产量计数、报警信息和工艺参数，但原有网络为纯OT架构，MES无法直接访问PLC数据。

初始目标与约束：MES需要每5秒获取一次设备状态数据，每次数据量约200字节/设备；同时要求不影响现有控制网络的实时性（Profinet循环周期为4ms）；网络改造不能导致产线停机超过2小时。

方案设计与实施：采用产线级分布部署模式，在每条产线的电控柜内新增一台边缘网关（支持Profinet从站功能），通过Profinet接口与PLC通信，读取设备状态数据。边缘网关同时通过Modbus TCP连接车间电表，采集能耗数据。上行通过千兆光纤连接至车间汇聚交换机，汇聚交换机通过防火墙连接至MES服务器。

关键实施步骤：

1. 在每条产线电控柜内安装边缘网关，接入Profinet网络，配置为IO设备（从站），PLC无需修改程序。
2. 在边缘网关中配置数据采集规则：从PLC的DB块中映射设备状态、产量、报警等标签，采集周期设为500ms。
3. 配置上行MQTT连接，将数据转换为JSON格式，通过TLS加密上报至MES的数据接入服务。
4. 在边缘网关中部署轻量级推理模型，对设备振动数据进行异常检测（通过额外的振动传感器接入网关的模拟量输入），当检测到异常时立即上报告警。
5. 配置防火墙策略：仅允许边缘网关的IP地址访问MES服务器的特定端口，禁止其他OT设备直接访问IT网络。

结果对比：改造后，MES系统成功获取到实时设备数据，数据延迟小于2秒；Profinet控制网络未受任何影响（通过抓包验证循环周期仍为4ms）；边缘网关的本地推理功能成功识别出2起轴承早期故障，避免了非计划停机。整个改造过程利用周末停产窗口完成，每条产线改造时间约1.5小时。

风险与代价：初期遇到的主要问题是Profinet网络拓扑变更导致PLC的IO设备配置需要重新编译下载，通过提前在离线环境验证解决了该问题。另外，边缘网关在高温车间环境下的散热问题需要关注，最终在电控柜内增加了通风风扇。

3.5 常见误区与设计总结

在智慧工厂网络架构设计中，工程团队常犯以下错误：

• 误区一：将边缘网关当作普通IT设备。边缘网关需要适应工业环境（宽温、防尘、抗振动），且必须支持工业协议栈，不能使用普通商用服务器替代。
• 误区二：忽视网络时延和抖动对控制的影响。在OT网络中增加边缘网关时，必须确保其接入不影响原有控制网络的实时性。建议采用旁路接入（通过镜像端口或从站方式）而非串接在控制链路中。
• 误区三：数据上报频率过高导致网络拥塞。应根据实际需求设置合理的数据采集和上报周期，避免无意义的高频上报。例如，温度数据每10秒上报一次即可，无需100ms级上报。
• 误区四：安全策略过于宽松或过于严格。过于宽松会导致OT设备暴露在IT网络中，增加安全风险；过于严格则可能导致数据无法正常流转。建议采用“白名单+最小权限”原则，只开放必要的IP和端口。

总结而言，智慧工厂网络架构设计的核心在于：以边缘网关为枢纽，实现OT数据的“上得来”和IT指令的“下得去”。在部署位置选择上，应综合考虑设备分布、数据量、实时性要求和运维能力，灵活采用车间级、产线级或设备级部署模式。同时，网络拓扑设计必须兼顾实时性、安全性和可扩展性，为后续的智能应用（如预测性维护、质量追溯、能耗优化）预留足够的网络带宽和计算资源。