4、网络架构设计：工业以太网拓扑、5G/WiFi6无线覆盖、VPN远程访问、网络安全隔离
网络架构，说白了就是风电场的“神经系统”。
我见过太多项目，风机装得漂漂亮亮，一联网就出问题。要么延迟高得离谱，要么数据丢包，要么被黑客盯上。嗯，这章咱们就把这块硬骨头啃下来。
4.1 工业以太网拓扑：别小看这“几根线”
风电场的网络拓扑，我个人习惯用环网+星型的混合结构。为什么？
你想想看，风电场少则几十台风机，多则上百台。如果全用星型连接，中心交换机挂了，整个场站就瘫痪了。环网的好处是——冗余。
核心思路：每台风机内部用工业交换机组成环网，再通过冗余链路汇聚到升压站的核心交换机。
我在项目中遇到过一个问题：某风场用的普通交换机，结果冬天低温导致端口频繁重启。后来全换成工业级宽温交换机，再没出过事。
典型拓扑结构
- 风机侧：每台风机内部部署一台工业交换机（支持环网协议，如RSTP/ERPS）
- 环网组网：相邻风机之间用光纤连接，形成物理环
- 汇聚层：环网两端接入升压站的汇聚交换机
- 核心层：汇聚交换机上联至核心交换机，连接SCADA服务器
避坑指南：我曾经吃过亏——环网协议没配好，导致广播风暴。记住：RSTP收敛时间要调到50ms以内，ERPS更优，能到20ms。
4.2 5G/WiFi6无线覆盖：风机的“最后一公里”
有线网络再稳，也架不住风机叶片旋转、机舱晃动。这时候无线就是救命稻草。
我个人习惯把无线覆盖分成两类：
4.2.1 机舱内WiFi6覆盖
每台风机机舱内部署一台工业级WiFi6 AP。为什么是WiFi6？
- 高带宽：单AP理论速率可达9.6Gbps，实际跑个500Mbps没问题
- 低延迟：平均延迟<10ms，满足实时控制需求
- 多设备：支持OFDMA，同时连接几十个传感器不卡顿
嗯，这里要注意：AP的天线要选定向天线，对准塔筒内部。我见过有人用全向天线，结果信号全打到铁皮上，白费功夫。
4.2.2 场站级5G专网
对于大型风电场（比如100台以上风机），我建议上5G专网。
| 对比项 | WiFi6 | 5G专网 |
|---|---|---|
| 覆盖范围 | 单AP覆盖100-200米 | 单基站覆盖500-1000米 |
| 移动性 | 一般（切换延迟高） | 优秀（无缝切换） |
| 可靠性 | 99.9% | 99.999% |
| 成本 | 低 | 高（需申请频段） |
注意：5G专网需要向当地无线电管理局申请频段，流程至少3个月。别等到项目上线了才想起来。
4.3 VPN远程访问：人在家中坐，数据天上来
风电场大多在荒郊野岭。运维人员不可能天天蹲在现场。这时候VPN就是远程运维的“生命线”。
我建议采用IPSec VPN + SSL VPN双通道方案：
- IPSec VPN：用于站点到站点的连接（比如总部到风电场）
- SSL VPN：用于个人远程接入（工程师用笔记本就能连）
配置示例（IPSec VPN）：
# 以华为AR系列路由器为例
ipsec proposal proposal1
esp authentication-algorithm sha2-256
esp encryption-algorithm aes-256
ike proposal 1
encryption-algorithm aes-256
dh group14
authentication-algorithm sha2-256
ike peer remote_peer
ike-proposal 1
remote-address 203.0.113.1
pre-shared-key cipher YourStrongKey123
ipsec policy-template policy1 10
security acl 3000
ike-peer remote_peer
proposal proposal1我曾经遇到一个坑：VPN配置好后，远程访问时断时续。查了半天，发现是NAT穿透没开。加上nat traversal命令后，问题解决。
4.4 网络安全隔离：别让风机变成“肉鸡”
风电场的网络一旦被攻破，后果不堪设想。轻则数据泄露，重则风机失控。
我总结了一套“三层隔离”策略：
4.4.1 物理隔离
- 生产网（SCADA、PLC）与办公网（OA、邮件）完全物理分开
- 使用独立的光纤、交换机、路由器
- 如果非要互通，必须经过工业防火墙
4.4.2 逻辑隔离
- VLAN划分：每台风机一个独立VLAN
- ACL控制：只允许特定IP和端口通信
- 例如：只开放Modbus TCP端口502，其他全封
避坑指南：我曾经见过一个风场，VLAN配了但ACL没写，结果一台风机中毒，全网瘫痪。记住：VLAN只是隔离广播域，不是安全手段。
4.4.3 应用层隔离
- 部署工业入侵检测系统（IDS）
- 所有远程访问必须经过堡垒机
- 日志审计：谁在什么时候做了什么，一清二楚
警告：不要为了省成本把SCADA系统直接暴露在公网上。我见过有公司用DDNS+端口映射来远程访问，结果被勒索病毒盯上，数据全被加密。
4.5 知识体系总览
下面这张图，是我自己总结的网络架构设计全景。你把它打印出来贴在工位上，做项目时对照着看，基本不会漏项。
网络架构设计，说白了就是平衡可靠性、实时性、安全性三者的关系。别追求极致，够用就好。我见过有人把网络搞得比数据中心还复杂，结果运维成本翻倍，得不偿失。
嗯，这章就到这里。记住：网络是风电场的中枢神经，设计时多花点心思，后期能省十倍的时间。