第4章通信网络规划

4、通信网络规划：风电场环网拓扑设计、冗余网络（RSTP/PRP）配置、网络安全基础（防火墙、VPN）

通信网络，说白了就是风电场的神经系统。

我见过不少项目，风机装得挺好，变流器也选得不错，结果一联网就出问题——要么环网断了没察觉，要么被病毒攻击导致全场停机。嗯，这章咱们就把这块硬骨头啃下来。

4.1 风电场环网拓扑设计

风电场里风机分布很散，少则十几台，多则上百台。你想想看，如果每台风机都单独拉一根光纤到中控室，那成本得多高？所以环网拓扑成了主流方案。

什么叫环网？ 说白了就是每台风机里的交换机手拉手连成一个圈。数据可以从左边走，也可以从右边走。一条路断了，另一条还能顶上。

我个人习惯把风电场分成几个区域：

集电线路环网：每串集电线路上的风机组成一个小环
主干环网：各集电线路环网汇聚到主干环，再连接到升压站
升压站核心网：SCADA服务器、操作员站、工程师站都在这里

我在项目中遇到过一种情况：某风场把50台风机全串在一个大环里。结果环上任意一点故障，整个环都要重新收敛，耗时十几秒。这期间所有风机都处于失控状态。后来我建议拆成5个小环，每个环10台风机，问题就解决了。

  设计原则：
  单个环网节点数不超过16台（工业交换机推荐值）
环网总带宽预留30%余量
光纤类型建议用单模，距离超过2公里必须用单模

4.2 冗余网络配置（RSTP/PRP）

环网的好处是冗余，但冗余得靠协议来实现。目前主流的有两种：RSTP 和 PRP。

4.2.1 RSTP（快速生成树协议）

RSTP 是 STP 的升级版。STP 收敛要30-50秒，RSTP 能压缩到1-3秒。嗯，这里要注意：1-3秒对于风电场来说还是有点长。

我曾经在一个海上风场调试时，RSTP 收敛时间实测是2.8秒。这2.8秒里，风机控制器收不到调度指令，直接切到了就地模式。后来我优化了交换机参数，把收敛时间压到了0.8秒，才算过关。

RSTP 配置要点：

必须指定根桥（Root Bridge），选升压站核心交换机
备用根桥（Secondary Root）选另一台核心交换机
边缘端口（Edge Port）接风机控制器，加速收敛
关闭不用的端口，防止环路

// 华为交换机 RSTP 配置示例
system-view
stp mode rstp
stp root primary                    // 指定本机为根桥
interface GigabitEthernet0/0/1
 stp edged-port enable              // 设置边缘端口
 stp bpdu-filter enable             // 过滤BPDU，防止攻击
interface GigabitEthernet0/0/2
 stp point-to-point                 // 点对点链路，加速收敛

4.2.2 PRP（并行冗余协议）

PRP 是更高端的玩法。它要求设备有两个网口，同时收发两份一模一样的数据包。一份走A网，一份走B网。接收端只取先到的那份，后到的直接丢弃。

说白了，PRP 能做到零切换时间。A网断了，B网的数据已经在路上了。这对风电场来说太重要了——尤其是那些需要实时控制的应用场景。

PRP 部署注意事项：

需要交换机支持PRP功能（一般工业交换机才有）
风机控制器必须双网口，且支持PRP协议栈
A网和B网必须物理隔离，不能共用光纤
带宽翻倍，网络规划时要考虑

特性	RSTP	PRP
切换时间	0.5-3秒	0秒（无缝切换）
硬件要求	普通工业交换机	支持PRP的交换机+双网口设备
带宽占用	正常	翻倍
适用场景	常规风电场	海上风电、关键控制回路
成本	低	高

4.3 网络安全基础（防火墙、VPN）

风电场网络以前是封闭的，现在都要求远程监控、远程运维。一联网，安全问题就来了。

我记得有个项目，风场SCADA系统被勒索病毒攻击，所有风机数据被加密。厂家要了20万比特币才给解密。后来查原因，就是远程维护端口直接暴露在公网上，连个防火墙都没配。

4.3.1 防火墙部署

防火墙是风电场网络安全的第一道防线。我建议在以下几个位置部署：

升压站出口：连接调度数据网的地方
远程接入点：运维人员远程访问的入口
各分区之间：比如生产控制区和管理信息区之间

  防火墙策略原则：
  默认拒绝所有流量，只放行必要的端口
SCADA通信端口（如104、61850）单独放行
远程维护端口（如SSH、RDP）只允许特定IP访问
开启日志记录，定期审计

4.3.2 VPN 配置

VPN 解决的是远程安全接入问题。风电场运维人员经常需要从家里或者办公室远程查看风机状态，直接暴露端口太危险，VPN 隧道就派上用场了。

我个人习惯用 IPsec VPN，原因有三：

兼容性好，几乎所有防火墙都支持
加密强度高，AES-256 基本破解不了
支持证书认证，比密码安全得多

// 华为防火墙 IPsec VPN 配置片段
ipsec proposal proposal1
 encryption-algorithm aes-256
 authentication-algorithm sha256
 dh group14

ike proposal 1
 encryption-algorithm aes-256
 authentication-algorithm sha256
 dh group14
 sa duration 86400

ike peer remote_peer
 ike-proposal 1
 remote-address 202.96.128.166
 pre-shared-key cipher %^%#加密密钥%^%#

ipsec policy policy1 10 isakmp
 security acl 3000
 ike-peer remote_peer
 proposal proposal1

VPN 配置避坑指南：

不要用预共享密钥（PSK）做生产环境，用证书认证
VPN 隧道要配置心跳检测（DPD），防止死隧道
分片问题要注意，MTU 建议设为1400
日志要开启，出了问题好排查

好了，这章的内容就到这儿。通信网络规划这块，说白了就是三个字：稳、快、安。环网拓扑保证稳，冗余协议保证快，防火墙和VPN保证安。三者缺一不可。

下一章咱们聊聊数据采集与协议解析，那又是另一片天地了。

公众号:蓝海资料掘金营，微信deep3321