4. 集中监控系统网络架构设计

多产线集中监控系统的网络架构，核心不是“把设备连起来”，而是把不同安全等级、不同实时性要求、不同管理职责的流量分开，并在分开的基础上保证关键链路不中断。典型做法是划分为三层：控制网承载PLC、远程IO、变频器、伺服等实时控制通信；监控网承载SCADA、HMI、历史数据库、报警服务器等监控数据；信息网承载MES、ERP、报表、远程运维等管理数据。三层之间通过工业防火墙做受控互通，而不是简单用交换机堆叠。

一、三层网络的功能定位与边界

控制网位于最底层，直接连接现场控制器与IO设备。其通信协议多为Profinet、EtherNet/IP、Modbus TCP、OPC UA等，对时延和抖动敏感。控制网内部通常按产线或工艺段划分子网，例如1号线控制网使用192.168.10.0/24，2号线使用192.168.20.0/24，避免广播域过大导致故障扩散。

监控网位于中间层，连接SCADA服务器、操作员站、工程师站、报警服务器和历史库。它从控制网采集数据，但不直接参与控制闭环。监控网的关键要求是“可读不可写”——即监控网可以读取控制网数据，但一般不允许反向写入控制逻辑，除非经过严格授权和防火墙策略控制。

信息网位于最上层，连接MES、ERP、质量管理系统和远程运维平台。它从监控网获取生产统计、批次、能耗等数据，但不直接访问控制设备。信息网与监控网之间同样需要防火墙隔离，防止办公网病毒或扫描流量进入生产区。

二、冗余环网设计

控制网和监控网的核心交换机之间通常采用工业以太环网。以西门子SCALANCE或赫斯曼交换机为例，可配置MRP（Media Redundancy Protocol）或RSTP。环网中一台交换机作为冗余管理器，周期性发送测试帧；当某段链路断开时，冗余管理器在毫秒级内切换备用路径，保证PLC与SCADA通信不中断。

环网设计要点：环内交换机数量不宜过多，一般建议不超过20台；环网带宽建议千兆；冗余管理器应设置在环网中相对中心的节点；环网与非环网设备之间用普通交换机扩展时，需注意生成树收敛时间。对于跨产线的主干环，可采用双环或环间耦合，但耦合点必须配置冗余管理，避免形成广播风暴。

三、VLAN划分与IP规划

VLAN划分的目标是限制广播域、隔离故障、简化安全策略。建议按“产线+功能”划分，例如：

交换机互联端口配置为Trunk，允许对应VLAN通过；接入端口配置为Access，只允许本VLAN。控制网与监控网之间的路由由工业防火墙完成，而不是由三层交换机直接路由，以便实施深度包检测和访问控制。

四、工业防火墙部署策略

工业防火墙部署在控制网与监控网之间、监控网与信息网之间。以西门子Scalance S或赫斯曼EAGLE系列为例，典型策略如下：

• 控制网→监控网：仅允许SCADA服务器IP访问PLC的OPC UA端口（如4840）和Modbus TCP端口（502），其余拒绝。
• 监控网→控制网：默认拒绝，仅允许工程师站IP在维护窗口访问PLC编程端口，且需记录日志。
• 监控网→信息网：仅允许历史库向MES推送数据，使用固定端口和单向规则。
• 信息网→监控网：默认拒绝，远程运维通过VPN接入后，再经防火墙二次认证。

五、配置示例与验证

以下为某产线控制网与监控网之间防火墙规则的简化示例（以iptables风格表达，实际设备请使用厂商配置语法）：

# 允许SCADA服务器读取1号线PLC数据
-A FORWARD -s 192.168.100.10 -d 192.168.10.0/24 -p tcp --dport 502 -j ACCEPT
-A FORWARD -s 192.168.100.10 -d 192.168.10.0/24 -p tcp --dport 4840 -j ACCEPT
# 允许工程师站维护窗口访问
-A FORWARD -s 192.168.100.20 -d 192.168.10.0/24 -p tcp --dport 102 -j ACCEPT
# 默认拒绝
-A FORWARD -j DROP

验证时，可从SCADA服务器ping PLC，应通；从信息网ping控制网设备，应不通；从工程师站访问PLC编程端口，应通且防火墙日志有记录。同时观察环网冗余切换：拔掉环网中一段光纤，SCADA数据刷新不应中断超过200ms。

整体来看，分层隔离解决“安全边界”，冗余环网解决“可用性”，VLAN解决“广播域与策略粒度”，工业防火墙解决“受控互通”。四者配合，才能让多产线集中监控系统既看得全，又控得住，还不怕单点故障。