车间设备联网的网络与安全设计：工控网段划分、数据单向传输与权限控制

结论：设备联网首先是网络和安全设计问题，其次才是协议问题。核心原则：生产网与办公网隔离，数据尽量单向上送，控制指令默认不下发。

一、网段怎么划

1. 设备层：PLC、数控、仪表，独立VLAN，固定IP，不接入外网。
2. 采集层：边缘网关或采集服务器，双网卡，一侧接设备网，一侧接车间汇聚网。
3. 应用层：MES、数据库，位于机房或云端。 各层之间通过防火墙放行必要端口，例如OPC UA默认4840、Modbus TCP默认502，只开放采集服务器的源地址。

二、数据单向上送

采集网关只读设备寄存器或节点，不写入；对确需下发的参数（如程序号、工单信息），单独审批并记录日志。边缘侧建议本地缓存：断网时存入本地队列（带时间戳和序号），恢复后补传，服务端按序号去重。

三、权限与审计

采集账号只授予读取权限；OPC UA使用证书加用户名认证，不用匿名；网关管理口使用独立运维账号，禁用默认密码。所有配置变更和远程访问留审计记录。

四、云边协同的取舍

实时性要求高的判断（报警、联锁）放边缘；统计分析、报表放云端或中心服务器。上传内容以聚合值和事件为主，不必把每个点的原始高频数据全部上云，既省带宽也降低暴露面。

五、常见坑

1. 设备默认IP冲突，现场临时改网段后无记录；
2. 网关与办公网同一网段，病毒横向传播；
3. 采集频率过高，拖慢老旧PLC的通信；
4. 时钟不同步，导致事件顺序错乱，应统一NTP。

FAQ

问：老设备没有网口怎么办？答：用串口服务器转以太网，或加IO采集模块。

问：可以直接远程改PLC程序吗？答：不建议默认开放，应走审批和专用通道。

小结：先规划网段与权限，再接协议，数据单向、可缓存、可审计，设备联网才能长期稳定。