📚 课程目录第4章 MINAS系统架构与安全分区

4. MINAS系统架构与安全分区

MINAS（Modular Integrated Network Automation System）系统架构的核心任务，是把现场控制层、监控层与管理层通过受控边界连接起来，同时保证任何单一网络故障或安全事件都不会直接穿透到生产控制核心。理解架构组成、安全分区、拓扑与冗余原则，是后续设备集成与安全配置的基础。

一、典型架构组成

一个典型的MINAS系统自上而下可分为四层：企业管理层（ERP/MES）、监控层（SCADA/工程师站/历史库）、控制层（PLC/安全PLC/远程IO）以及现场层（传感器、执行器、变频器）。层与层之间通过工业以太网或现场总线连接，但并非所有层都允许直接互通。

在工程实践中，控制层通常采用工业以太网环网（如PROFINET、EtherNet/IP），现场层则可能使用PROFIBUS、Modbus RTU或IO-Link。监控层与管理层之间必须设置明确的安全边界设备——工业防火墙或数据二极管，而不是普通办公路由器。这是MINAS架构与普通IT网络最本质的区别。

二、安全区与DMZ划分

依据IEC 62443与等保2.0的要求，MINAS网络应划分为若干安全区（Zone），区与区之间通过通道（Conduit）通信。典型划分如下：

控制区（Zone 1）：包含PLC、安全PLC、远程IO、驱动器和现场仪表。该区不允许任何来自管理层的直接访问，所有通信必须经过边界设备。
监控区（Zone 2）：包含SCADA服务器、工程师站、历史数据库、OPC UA服务器。该区可向控制区发起受控读写，但需经过工业防火墙的规则过滤。
DMZ（隔离区）：位于监控区与管理层之间，部署数据采集代理、OPC UA网关、跳板机、补丁服务器和日志服务器。DMZ的作用是“双向隔离”——管理层不能直接进入监控区，监控区也不能直接访问管理层。
管理层（Zone 3）：ERP、MES、办公网络。该区与DMZ之间通常只允许单向数据流（如OPC UA订阅或MQTT发布）。

DMZ的部署原则是：任何跨区数据流都必须在DMZ中终止并重建，而不是简单路由转发。例如，MES需要读取PLC的产量数据时，应由DMZ中的OPC UA网关主动向监控区OPC服务器订阅，再以另一套独立会话向MES发布，避免MES直接持有控制层IP可达性。

三、网络拓扑设计

MINAS控制层推荐采用冗余环网拓扑（如MRP、RSTP或PRP），而不是星型或总线型。环网的优势在于：任意一段链路断开时，网络可在毫秒级内重构，PLC与远程IO之间的通信不中断。对于安全PLC与安全IO之间的通信，应优先选择支持PRP（并行冗余协议）或HSR（高可用无缝冗余）的交换机，实现零切换时间。

监控层与管理层之间建议采用双上行链路连接至DMZ防火墙，两条链路分别接入不同物理路径。若条件允许，DMZ中的关键服务器（如OPC UA网关）应配置双网卡，分别接入监控区侧和DMZ侧，但两块网卡不得桥接，必须由应用层代理完成数据交换。

拓扑设计中的常见错误包括：将工程师站直接接入控制层交换机、用普通办公交换机替代工业交换机、以及把DMZ与监控区放在同一VLAN。这些做法都会使安全分区形同虚设。

四、冗余与可用性设计原则

冗余设计应遵循“分层冗余、故障隔离、可降级运行”三条原则：

分层冗余：控制层用环网冗余，监控层用服务器双机热备，管理层用双上行链路。不同层级的冗余机制相互独立，避免单点故障跨层传播。
故障隔离：任一安全区内的故障不得导致其他区不可用。例如，监控区SCADA服务器宕机时，控制层PLC应继续独立运行，现场设备不受影响。
可降级运行：当DMZ或管理层不可用时，控制层与监控层应能维持基本生产。MES数据中断只影响报表，不应影响安全联锁。

在可用性指标上，控制层环网重构时间应小于200ms，安全PLC的看门狗与安全IO的响应时间应满足安全回路要求（通常小于100ms）。监控层服务器切换时间建议小于30s，DMZ网关应支持会话保持与断线重连。

工程提示：安全分区不是“画在图纸上的框”，而是由防火墙规则、VLAN划分、网关代理和物理端口隔离共同实现的。每次新增设备接入前，应先确认其所属安全区、所需通信路径和允许的协议端口，再决定接入位置。

五、一个可参考的配置示例

以下为某MINAS项目中DMZ工业防火墙的规则片段示例（参数为教学假设值，非实测）：

# 工业防火墙规则示例（教学假设）
# 源区域: Zone2_SCADA  目的区域: Zone1_PLC
# 允许 OPC UA 只读订阅
permit tcp 10.20.2.0/24 10.20.1.10 eq 4840 \
  direction=Zone2->Zone1 \
  action=allow \
  log=session

# 禁止工程师站直接访问PLC编程端口
deny tcp 10.20.2.50 10.20.1.0/24 eq 102 \
  direction=Zone2->Zone1 \
  action=deny \
  log=alert

# DMZ OPC UA 网关向 Zone2 订阅
permit tcp 10.20.3.20 10.20.2.10 eq 4840 \
  direction=DMZ->Zone2 \
  action=allow \
  log=session

规则生效后，可通过防火墙日志观察：Zone2到Zone1的4840端口出现周期性会话，而102端口出现deny记录即说明有工程师站试图绕过边界。此时应检查该工程师站是否误接入了监控区，或是否缺少跳板机访问路径。

综上，MINAS系统架构与安全分区的落地，关键在于把“分区—通道—冗余”三个概念转化为可验证的拓扑、规则和切换指标。只有每一层都明确边界与故障行为，系统才能在安全事件或设备故障时保持可控与可用。