📚 课程目录第2章厂务系统总体架构

2. 厂务系统总体架构：分层模型、数据流与架构设计原则

半导体厂务系统（Facility Management System, FMS）是一个典型的工业物联网（IIoT）与信息物理系统（CPS）融合体。为了应对超大规模晶圆厂对高可靠性（99.9999%+）、实时性（毫秒级响应）和数据一致性的严苛要求，业界普遍采用四层分层架构模型。本章将深入解析该模型的每一层、数据与业务流的走向，以及核心架构设计原则。

架构核心观点： 厂务系统的分层并非简单的物理隔离，而是基于“控制实时性”与“管理抽象度”两个维度的逻辑解耦。每一层只与相邻层交互，形成严格的“洋葱模型”，从而将复杂系统的故障域隔离在单层之内。

2.1 厂务系统四层分层模型

标准厂务系统架构从下至上依次为：设备层、控制层、监控层和管理层。下图展示了各层之间的典型拓扑关系与核心组件。

2.2 各层详细定义与职责

层级	典型设备/系统	通信协议	实时性要求	数据粒度
设备层	传感器、变送器、执行器、智能仪表	4-20mA、IO-Link、HART	毫秒级（采样周期）	原始物理量（如 12.34 mA）
控制层	PLC、DCS、RTU、边缘控制器	Profinet、EtherCAT、Modbus TCP	10-100 ms（控制周期）	工程值（如 25.6 °C）
监控层	SCADA 服务器、HMI、Historian	OPC UA、REST API、MQTT	1-5 s（刷新周期）	聚合数据（如 1min 平均值）
管理层	EAM、CMMS、MES、BI 平台	WebService、JDBC、文件传输	分钟级 ~ 天级	业务指标（如 OEE、MTBF）

  关键设计要点： 控制层是厂务系统的“心脏”。它必须独立于上层网络运行，即使监控层或管理层完全瘫痪，控制层仍能维持设备的基本联锁保护与闭环调节。这是半导体厂务“永不宕机”的第一道防线。

2.3 数据流与业务流

厂务系统的运行本质上是数据流与业务流的双向交织。数据流自下而上提供“感知”，业务流自上而下下达“指令”。

2.3.1 数据流（上行方向）

设备层 → 控制层： 传感器采集的模拟量（4-20mA）或数字量信号，通过硬接线或现场总线传输至 PLC/DCS 的 I/O 模块。控制层完成信号调理、量程转换和初步滤波。
控制层 → 监控层： 控制层通过 OPC UA 或 Modbus TCP 将处理后的工程值（如冷却水温度、纯水流量）发布给 SCADA 系统。SCADA 负责数据归档、报警检测和可视化。
监控层 → 管理层： 历史数据库（Historian）将 SCADA 的实时数据压缩存储，并通过 REST API 或数据库接口提供给 EAM/CMMS 系统，用于计算设备综合效率（OEE）、预测性维护等。

2.3.2 业务流（下行方向）

管理层 → 监控层： 生产计划部门在 MES 中下达“提升冷冻水出水温度设定点”的指令，通过 WebService 下发至 SCADA 系统。
监控层 → 控制层： SCADA 操作员在 HMI 上修改设定值（SP），通过 OPC UA 写入 PLC 的设定值寄存器。
控制层 → 设备层： PLC 执行 PID 算法，输出 4-20mA 信号驱动变频器，调节冷冻水泵转速，从而改变出水温度。

2.4 架构设计原则

在半导体厂务系统架构设计中，以下六大原则是经过大量工程验证的黄金法则，直接决定了系统的可用性、可维护性和可扩展性。

原则	描述	工程实践示例
1. 严格分层与单向依赖	每一层只依赖其直接下层，禁止跨层调用。管理层不能直接读写设备层寄存器。	管理层通过 SCADA 的 OPC UA 接口间接获取数据，而非直接访问 PLC 的 I/O 地址。
2. 控制层自治与降级运行	控制层必须能在脱离上层网络的情况下独立运行，确保基本安全联锁不失效。	PLC 内部编写独立的“看门狗”逻辑，当与 SCADA 通信中断时，自动切换至本地安全模式。
3. 数据单向性与写保护	设备层数据默认只向上层发布，上层对下层的写操作必须经过严格的权限校验和限幅保护。	SCADA 下发设定值给 PLC 时，PLC 侧做“高/低限幅”检查，防止误操作导致设备超限。
4. 实时性与非实时性分离	控制层网络（如 Profinet）与监控/管理层网络（如办公以太网）必须物理或逻辑隔离。	采用工业交换机划分 VLAN，将 PLC 网段与 SCADA 网段隔离，避免广播风暴影响控制周期。
5. 水平扩展与标准化接口	各层之间的接口（如 OPC UA 信息模型）应标准化，支持未来新增设备或系统时的“即插即用”。	所有新接入的冷水机组必须遵循统一的 OPC UA Companion Specification 信息模型。
6. 安全纵深防御	在每一层边界部署安全控制点，包括网络防火墙、应用白名单、身份认证和审计日志。	在管理层与监控层之间部署工业防火墙，仅允许 OPC UA 和特定 REST API 流量通过。

常见架构反模式： 部分项目为了“方便”，让 MES 系统直接通过 Modbus TCP 读取 PLC 寄存器。这违反了“严格分层”和“数据单向性”原则，一旦 MES 侧出现异常写操作或网络风暴，将直接导致控制层 PLC 宕机，引发全厂停线事故。务必避免此类设计。

2.5 架构设计原则的权衡矩阵

在实际项目中，六大原则之间可能存在冲突。例如，“控制层自治”与“数据实时上传”在带宽有限时需做权衡。下表给出了典型场景下的优先级建议。

场景	最高优先级原则	可妥协原则	说明
新建 12 英寸晶圆厂	严格分层与单向依赖	水平扩展（初期设备少）	先建立严格的架构规范，后期再逐步扩展。
老旧厂务系统改造	控制层自治与降级运行	实时性与非实时性分离	旧设备可能不支持 VLAN，优先保障控制层独立运行。
高安全等级（如特种气体）	安全纵深防御	水平扩展	安全高于一切，宁可牺牲扩展性也要确保隔离。
追求极致能效优化	数据单向性与写保护	控制层自治（允许远程调参）	能效优化需要频繁调整设定值，但必须做好限幅保护。

架构师建议： 在项目启动阶段，使用“架构决策记录（ADR）”文档化每个原则的取舍原因。例如，在改造项目中，如果决定暂时不实施 VLAN 隔离，必须在 ADR 中记录风险（如广播风暴可能导致控制中断）以及对应的缓解措施（如限制广播域大小、启用风暴控制）。