📚 课程目录第3章跨工厂网络与安全架构设计

3. 跨工厂网络与安全架构设计

跨工厂数据汇聚的本质，是把多个厂区、多个控制域中的 PI 数据安全地"搬"到一个统一治理层。这里的关键矛盾是：生产网络要求高可用、低延迟、少干预，而企业 IT 要求可审计、可管控、可追溯。解决这一矛盾不能靠单点设备，而要靠分层架构——工厂 DMZ、防火墙策略、PI Trust、PI Mapping、Kerberos/AD 集成，以及在高安全等级场景下的单向数据二极管，共同构成一条"可控、可审计、可收敛"的数据通道。

一、分层架构：从工厂 DMZ 到汇聚层

典型跨工厂架构分为四层：工厂控制层（PI Data Archive、Interface 节点）、工厂 DMZ（PI-to-PI Interface 或 PI Web API 中继）、企业 DMZ（汇聚 PI System 或数据总线）、企业治理层（PI AF、PI Vision、分析平台）。工厂 DMZ 是核心枢纽：它既不属于控制层，也不属于企业层，而是"缓冲区"。工厂内的 PI Data Archive 只向 DMZ 中的中继节点暴露必要端口，DMZ 再向企业层单向或双向转发。

这种分层带来的直接好处是：控制层不直接暴露给企业网络，企业侧的任何扫描、补丁、策略变更都不会穿透到生产网。DMZ 中的中继节点成为唯一"可被企业访问"的入口，其自身也处于受控状态。

二、防火墙策略：最小化端口与方向

防火墙策略的核心原则是"默认拒绝、按需放行、方向明确"。以 PI-to-PI Interface 为例，工厂侧 PI Data Archive 与 DMZ 中继之间通常需要放行：

TCP 5450：PI Data Archive 的 PI SDK/API 访问端口；
TCP 5457：PI AF Server 访问端口（若涉及 AF 同步）；
TCP 443：PI Web API 或 HTTPS 中继；
TCP 135/445：仅在必须使用 Windows 集成认证且无法改用 PI Trust 时谨慎放行，并严格限制源 IP。

方向必须明确：工厂侧只允许"主动出站"到 DMZ 中继，DMZ 不允许主动入站到工厂侧。这样即使 DMZ 被攻陷，攻击者也无法反向穿透到控制层。策略中还应记录每条规则的业务用途、负责人和复核周期，避免"临时放行"变成永久漏洞。

三、PI Trust 与 PI Mapping：身份与权限的落地

PI Trust 解决的是"谁可以连接 PI Data Archive"的问题。它基于 IP 地址、主机名或应用程序名建立信任关系，配置在 PI Data Archive 的 PI Trust 表中。例如，允许 DMZ 中继节点 PI-RELAY-01 以 piadmin 身份连接：

PI Trust 示例（PI System Explorer → Trusts）：
Name:        TRUST_DMZ_RELAY
IP Address:  10.20.30.41
Hostname:    PI-RELAY-01
Application: PItoPI Interface
Identity:    piadmin
Access:      Read/Write (按需最小化)

PI Mapping 则解决"连接进来后能访问哪些数据"的问题。它把 Windows 账户或 PI Identity 映射到 PI Data Archive 中的 PI Identity，从而控制点级、模块级权限。跨工厂场景中，建议为每个工厂建立独立的 PI Identity，例如 ID_FACTORY_A_READ、ID_FACTORY_B_READ，再通过 PI Mapping 把 DMZ 中继账户映射到对应 Identity，实现"一个中继、多厂隔离"。

PI Trust 管"能不能连"，PI Mapping 管"连上后能看什么"。两者必须成对设计，只配 Trust 不配 Mapping，等于把整个 PI Data Archive 暴露给中继账户。

四、Kerberos/AD 集成：统一身份与审计

当工厂数量增多、运维人员跨厂操作时，本地账户难以审计。此时应引入 Kerberos/AD 集成：PI Data Archive 和 PI AF 加入域，用户使用 AD 账户登录，PI Mapping 把 AD 组映射到 PI Identity。这样，谁在什么时间读取了哪个工厂的哪些点，都能在 PI Data Archive 的审计日志中追溯到具体 AD 账户。

Kerberos 集成的关键配置包括：确保 PI 服务器与域控时间同步（Kerberos 默认允许偏差 5 分钟）、注册 SPN、在 PI Mapping 中使用 DOMAIN\Group 形式。若跨域或跨林，需要建立域信任或使用只读域控，避免因认证路径过长导致连接超时。

五、单向数据二极管：高安全场景的终极隔离

在电力、核电、军工等高安全等级场景中，即使防火墙也可能被认为"可被穿透"。此时使用单向数据二极管（Data Diode）：物理上只允许数据从工厂侧流向企业侧，反向无物理链路。PI 数据通过二极管后，通常由企业侧的中继节点接收并写入汇聚 PI System。

二极管带来的工程约束是：无法使用需要双向握手的 PI-to-PI Interface 原生协议，必须改用支持单向传输的机制，例如基于 UDP 的 PI Interface for UFL、或通过文件摆渡 + PI Interface for CSV。此时数据延迟会从秒级上升到分钟级，需要在治理层明确"可接受延迟"指标。

六、数据汇聚安全合规要点

合规不是事后补文档，而是架构设计的一部分。跨工厂汇聚至少应满足：数据分类分级（哪些点可以出工厂）、传输加密（TLS 1.2+）、访问最小化（PI Mapping 按厂隔离）、审计留痕（PI Audit Trail + AD 登录日志）、变更管理（防火墙规则和 Trust 变更走审批）。此外，若涉及出口管制或行业监管，还需保留数据流向图、端口清单和年度复核记录。

把上述要素串起来看，跨工厂安全架构的落地顺序建议是：先画数据流向图，明确每个工厂的出口和汇聚点；再定防火墙策略，按"最小端口、明确方向"逐条放行；然后配置 PI Trust 和 PI Mapping，做到"一厂一 Identity"；最后引入 Kerberos/AD 统一身份，并在高安全场景评估是否上单向二极管。每一步都留下配置记录和复核依据，架构才真正可运维、可审计、可扩展。