3. EcoStruxure平台网络规划与设计
EcoStruxure 平台横跨现场设备层、控制层、监控层与管理层，网络规划不是“把设备连起来”这么简单，而是要在带宽、实时性、可靠性和安全性之间做出取舍。本节围绕工业以太网、现场总线、无线网络的选型方法，以及 IP 地址规划、VLAN 划分、冗余环网和网络安全分区四个设计动作展开，最终形成可落地的网络拓扑与设备选型清单。
一、三层网络选型：先定层级，再定协议
EcoStruxure 的典型网络可划分为三层：现场层负责传感器、执行器与控制器之间的数据交换；控制层承载 PLC、远程 IO、变频器之间的实时通信；监控与管理层承载 SCADA、Historian、Engineering Workstation 与上层 MES/云平台的数据流。选型时先判断设备所处层级，再决定通信介质与协议。
工业以太网是控制层与监控层的主干。EtherNet/IP 适合与 Rockwell/施耐德 M580、M340 等控制器配合，支持 CIP 显式与隐式报文；Modbus TCP 结构简单、兼容性好，适合中小型系统与第三方设备接入；Profinet 在西门子生态中常见，若项目以施耐德为主则通常不作为首选。选型判断依据可归纳为：控制器原生协议优先、第三方设备协议兼容性其次、实时性要求（周期 ≤10 ms 选 EtherNet/IP 或 Profinet，≥100 ms 可选 Modbus TCP）、以及是否需要时间同步（PTP/IEEE 1588）。
现场总线用于连接底层仪表与远程 IO。Modbus RTU 成本低、布线简单，适合 9600～115200 bps 的低速场景；Profibus DP 在 12 Mbps 下可带 32 个从站，适合电机控制与变频器群；CANopen 适合运动控制与分布式 IO。现场总线选型要关注距离与速率的关系：RS-485 在 115200 bps 下理论距离约 1200 m，速率升高距离迅速下降，超过 500 m 时应考虑加中继或改用光纤。
无线网络用于布线困难、设备移动或临时接入的场景。Wi-Fi 6（802.11ax）适合 AGV、移动 HMI 和巡检终端；LoRa/NB-IoT 适合低功耗、低速率、远距离的仪表数据回传；WirelessHART 适合过程仪表。无线选型必须评估现场电磁环境、遮挡与漫游需求，并在设计阶段预留信道规划与 AP 冗余。
二、IP 地址规划：结构化、可扩展、可追溯
IP 地址规划要避免“随手分配”，推荐按“区域 + 设备类型 + 序号”三段式编码。例如采用 10.10.0.0/16 作为园区私有地址池，第三段表示区域（10.10.10.x 为控制区、10.10.20.x 为监控区、10.10.30.x 为现场区），第四段表示设备类型与序号（1～49 为 PLC、50～99 为交换机、100～149 为 HMI、150～199 为服务器）。这样一眼就能从 IP 判断设备归属，便于排障和 ACL 编写。
子网划分建议按 VLAN 一一对应，控制层每个环网或每个工艺段一个 /24 子网，监控层按服务器角色划分 /25 或 /26。DHCP 仅用于办公与无线终端，PLC、交换机、服务器等关键设备必须使用静态 IP，并在地址规划表中登记设备名、MAC、IP、VLAN、所在机柜与责任人。地址规划表是后续 VLAN、防火墙策略和资产台账的共同基础。
三、VLAN 划分与冗余环网
VLAN 的作用是把广播域隔离到可控范围。典型划分方式为：VLAN 10 控制层（PLC 与远程 IO）、VLAN 20 监控层（SCADA/Historian）、VLAN 30 现场总线网关、VLAN 40 无线接入、VLAN 50 管理网（交换机管理口、iDRAC/iLO）、VLAN 99 隔离区（DMZ）。跨 VLAN 通信必须经过三层交换机或防火墙，禁止在二层直接放通，这样既控制广播风暴，也为安全策略提供执行点。
冗余环网用于消除单点链路故障。工业以太网常用 RSTP 或厂商快速环网协议（如施耐德的 RSTP、Hirschmann 的 HIPER-Ring），环网中一台交换机作为主节点，正常时阻塞备用链路，故障时在 50 ms 内切换。设计要点包括：环网节点数建议不超过 20 台、环网内不接非环网设备、环网与环网之间通过双上行或冗余网关互联。若对切换时间要求更高（如运动控制），可采用 PRP/HSR 并行冗余，但需设备支持。
四、网络安全分区与设备选型清单
安全分区遵循 IEC 62443 的“区域与管道”思想：把企业区、控制区、现场区划分为不同信任级别，区域之间用工业防火墙或三层交换机 ACL 作为管道，只放通必要协议与端口。例如监控区到控制区只放通 EtherNet/IP（TCP 44818、UDP 2222）和 Modbus TCP（TCP 502），控制区到现场区只放通 Modbus RTU 网关所需端口，管理网禁止从企业区直接访问。远程运维必须经过 VPN 与跳板机，并开启日志审计。
设备选型清单应覆盖交换机、防火墙、无线 AP、网关与线缆。以下为示例清单（参数为教学假设，实际项目需按现场核算）：
| 设备类型 | 选型要点 | 示例型号/规格 | 数量 |
|---|---|---|---|
| 控制层交换机 | 支持 RSTP、VLAN、IGMP Snooping、-40～75℃ | 8 口千兆工业交换机，2 光 6 电 | 6 |
| 监控层交换机 | 三层交换、ACL、端口镜像 | 24 口千兆三层交换机 | 2 |
| 工业防火墙 | 支持 Modbus/EtherNet/IP 深度解析、VPN | 工业防火墙，4 电 2 光 | 2 |
| 无线 AP | Wi-Fi 6、支持快速漫游、PoE 供电 | 双频 AP，IP67 防护 | 4 |
| 现场总线网关 | Modbus RTU 转 Modbus TCP | 串口服务器，2 串口 | 3 |
| 光纤与线缆 | 环网用单模光纤，现场用屏蔽双绞线 | 单模 4 芯室外光缆、STP Cat6 | 按距离核算 |
网络规划的质量最终体现在故障时的表现：一条链路断开，生产是否继续；一个广播风暴，是否被限制在单个 VLAN；一次外部访问，是否被防火墙拦截并记录。把这三件事在设计阶段想清楚，EcoStruxure 平台的网络才具备可运维的基础。