【项目背景】
前天夜里十一点四十，东河区一家铝加工企业的生产调度给我打电话，声音压得很低，像怕被谁听见："杨工，电解车间的DCS今晚又抽风了，电流波动报警响了一宿，调度员说数据时好时坏，明早交班前要是再跳，车间就得降负荷。"我让他先把报警报文和趋势图发过来。看完数据我基本断定：不是DCS本身坏了，是车间里那套"数据靠U盘一层层拷"的土办法出了事——工艺参数、设备状态、质检数据，白天靠人抄表、晚上靠U盘拷进办公楼的Excel，U盘里混进了新版的Office插件，顺手把参数库的索引文件也"优化"了一遍。包头这种重工业城市，电解槽常年满负荷，车间电磁环境恶劣，数据链上任何一个软环节崩了，代价都是按小时计的吨位和电价。
【咨询设计】
我给出的方向是：数据不出车间、链路可审计、拷贝行为归零。整体分三层：第一层，车间侧部署一台工业边缘网关（研华UNO-2000A，-20℃~+60℃宽温，四串口+双千兆电口+WiFi/4G），直连DCS操作站的只读镜像口和两台PLC的Modbus TCP（端口502），把电流、电压、槽温、阳极抬升速度这些实时量以200ms周期采集进边缘数据库（InfluxDB，本地SSD RAID1）；第二层，办公楼与车间之间走一条专用链路——六类非屏蔽双绞线在车间走镀锌KBG管暗敷，两端各接一台H3C S5110S-EI做接入隔离，中间不做任何NAT，VLAN 210（数据回传）与VLAN 310（办公）在核心交换机上以ACL严格分离，办公网只能读、不能写，写操作必须走堡垒机；第三层，出口做一道工业防火墙（飞思TAL-2000），只放行到MES服务器的OPC UA（TCP 4840）和到数据仓库的SFTP（TCP 22），其余全拒，白名单之外一律打回并记录五元组。所有跨网传输走SM4加密隧道（国密SSL，SM2证书），U盘拷贝从流程上被物理取消——参数库只进不出，变更走版本管理。
【施工规划】
施工最大的坑在车间侧取数口。DCS操作站那台工控机，厂家预留的镜像口是百兆电口，离最近的机柜有四十多米，中间横着电解槽排，直接拉线不现实。我们的做法：操作站到最近桥架用一段屏蔽同轴做短跳，再转光纤（单模，1310nm）走桥架到车间边缘机柜，机柜里UNO-2000A的SFP光口接收，光电转换全程在机柜内完成。线缆全部走原有桥架，不新开工井；桥架过电解槽排的位置，每根线缆外加一层304不锈钢屏蔽管，两端接地，屏蔽层与桥架等电位连接。边缘网关的串口接线按Modbus RTU（9600/8N1）点对点，RS-485总线加120Ω终端电阻，总线长度实测38米，在规范之内。施工窗口选在凌晨交接班的四十分钟，DCS侧只动镜像口，不碰控制回路，方案提前三天给车间电气和自动化两个专业会签。
【安全补丁】
数据链路的安全，很多厂长只想到"防外人"，真正的风险在"防内鬼"和"防误操作"。我们做了四件事：第一，参数库变更全走堡垒机（启明星辰NF2000-GX），堡垒机与边缘网关之间做SM2双证书双向认证，任何写操作需要"工单号+短信验证码"双因素，操作录像与SQL日志保存180天；第二，对边缘数据库做了行级只读视图，调度员在办公网看到的永远是快照视图，刷新周期5分钟，杜绝了"抄到一半数据变了一半"的扯皮；第三，对全链路做了一次弱口令与暴露面审计——结果抄出三个问题：一台旧PLC的Web配置页开着、默认密码admin/admin；DCS操作站上一台共享打印机没加VLAN隔离，任何接入车间网的终端都能打印；U盘拷贝的Excel里有47处VLOOKAP，引用着已经改名的旧参数表，数据对不上还查不出原因。三处全部当场整改。第四，在工业防火墙上开了DLP策略：任何从车间网到办公网的文件，超过5MB或扩展名不在白名单（.csv/.json/.pcap）内的，先落盘审计再放行，防的是"数据没走U盘、改走微信发走了"。
【验收交付】
验收按三个场景跑：正常工况，边缘网关以200ms周期回传327路测点，全链路时戳偏差用NTP（内网主时钟，授时精度±1ms）对齐，实测DCS侧与边缘侧同一事件时间差≤3ms；断链工况，拔掉光纤，边缘数据库本地缓存实测持续6小时41分（RAID1容量余量），恢复后增量补传，数据零丢失，补传窗口11分钟；异常工况，模拟U盘直接插进边缘网关USB口，系统自动隔离该设备并告警，策略生效。交付文档：链路拓扑图、ACL与白名单策略表、SM2证书体系说明、DLP策略配置、Fluke DSX-8000线缆认证报告、6小时断链测试曲线。给调度员和电气工程师各做了半天培训，重点是"数据从哪来、往哪去、谁能改"三张图。
【售后承诺】
数据链路不是交付完就撒手。每季度上门做一次全链路健康检查：时戳偏差复测、DLP策略审计、边缘数据库容量与RAID状态、SM2证书到期提醒（提前30天）。新增测点、新增车间，杨工团队48小时内出扩展方案。车间交接班、大修停槽期间，打17704868686，2小时到厂。工业数据链路规划终身免费咨询。
【不舍昼夜技术 · 包头IT全生命周期服务】
业务全闭环：咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的：包头修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。
技术范畴：5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。
服务区域：昆区、青山区、九原区、东河区、高新区等包头全境，随叫随到。
技术热线：17704868686（本地专业团队，不舍昼夜为您守候！）