1 无线网络的架构设备

    （1）仅仅考虑现场仪表的无线应用时，依靠无线仪表本身的路由即可实现无线通讯：

    组态具有路由的无线现场仪表——XYR6000无线变送器；

    现场设备无线接入点（FDAP）——构建自组织、自愈合的无线主干网络，仅支持无线变送器（ISA 100.11标准）的无线通讯。

    （2）支持多种无线应用时，不仅支持符合ISA100.11 标准的无线现场仪表，还支持802.11无线设备，支持有线设备的无线转接：

    路由式或非路由式ISA100.11a 无线现场仪表；

    可靠的、工业等级的多功能节点。

    在有线成本过高，或者危险区域，可采用XYR6000无线现场仪表来采集过程数据。符合ISA100.11a工业无线国际标准，可组态为路由或非路由。设置路由功能的无线现场仪表不仅可以无线传输自己的数据，也可以为相邻的无线现场仪表进行无线路由。

    对于上述两类工业应用场合的无线网络架构，最终通过FDAP或多功能节点作为网关同有线控制网络连接，实现数据集成。

    FDAP的主要特点：

    双天线结构设计，确保mesh多路径通讯环境时无线数据可靠性；

    450米的无线通讯距离（相互之间，或同无线现场仪表之间），无线中转、路由；

    采用24V DC和 110/230V AC电源；

    ATEX 1区和ATEX 2区 ，可以应用在危险区域。

    多功能节点：

    多功能节点可以构建一个工业用的、冗余通讯的无线网络，把过程控制网络延伸到现场。可以用在工业危险环境1类2区/ATEX 2区，支持符合工业无线标准的多种过程控制应用的无线设备。多功能节点支持同无线变送器的无线通讯，支持同802.11a/b/g无线设备的无线通讯，如移动操作站、巡检手持终端、无线摄像机等；也同时支持有线设备的无线转接。

    多功能节点配置3个无线发射天线：其中有两个符合IEC802.11a/b/g标准，另一个用于同XYR6000无线变送器的通讯。主要特点如下：

    2个天线支持802.11a/b/g设备，另一个天线支持无线变送器；

    两个以太网通讯接口可以接入有线设备，转接有线设备或同上位系统实现数据集成；

    使用场合：1类2区 / ATEX 2区；

    防护等级IP66；

    配置LED状态指示灯；

    支持红外功能通讯，设备安全密码授权。

    在工厂安装后，FDAP和多功能节点，自组织、自愈合，构建一个可靠安全的无线主干网络。配置智能的无线路由功能，FDAP或多功能节点可动态优化连接到其它FDAP或多功能节点的最佳路径，抗干扰，确保无线网络的可靠性、安全水平，和数据处理能力。

    2 工业无线技术的内在冗余设计

    通过内在的冗余通讯设计，提高OneWireless基础架构的可靠性和灵活性。既体现在多功能节点、FDAP之间形成的智能动态无线网格，有效保证通向上位控制系统的最优数据路径；同时也设计同上位控制系统数据集成的网关的冗余设计，可防止关键过程数据丢失。工业无线架构内置冗余设计，确保集成到控制的数据和信息的可靠性和安全性，可以应用于非关键的过程控制。

    3 ISA100工业无线国际标准介绍

    ISA100工业无线标准在2009年9月被ISA100工业无线标准委员会批准，成为开放的工业无线标准。ISA100标准针对用户需要一个网络快速、有效的管理多种通讯协议，而提供多功能网络解决方案：即一个网络支持多种通讯协议、支持多种应用。ISA100系列标准旨在满足工厂级需求，适用于很多无线应用，如无线变送器（现场仪表）、监测和控制、无线视频、振动监测、移动操作、无线巡检、人员跟踪等。

    ISA100支持用户为整个工厂部署一个统一的无线架构。支持多种协议的现场设备的无线通信： 4-20mA；Modbus；Profibus；HART；Foundation Fieldbus；DeviceNet。

    这种设计，能够为用户已有的协议投资和未来的协议需求提供保障。其网络和基本设计可以满足几乎所有的无线需求。因而用户只需要：

    采购一个无线架构；

    安装一个无线架构；

    管理一个无线网络；

    维护一个无线网络；

    实现一种无线网络统一的安全管理；

    实现一种无线网络支持多种无线应用功能；

    综上，ISA100.11a 标准主要可以给用户带来如下好处：

    与多种通信协议之间的互操作性，其中包括HART、Profibus、Foundation 现场总线和Device Net；

    可以通过统一的网管支持大量现场设备，从而实现扩展；

    通过客户系统浏览数据的延迟时间很短，或者说现场设备产生数据后的响应很快，响应时间只有100ms或者更短；

    因为电池寿命很长，所以降低了维护工作量；采用ISA100.11a标准，现场设备不需要像其它无线协议中的网格方案那样进行强制数据路由操作。

    4 无线网络的安全设计和最佳实践

    用户在工厂全面安装无线架构（包括802.11无线设备和无线变送器）的过程中，非常关心无线网络的安全问题。用户的操作人员和IT工作人员需要了解在安装任何无线架构时存在的安全威胁。

    OneWireless网络通过如下方式实现工业等级的安全：

    物理授权：多功能节点、无线变送器必须经过不透明的、物理授权，才能够自动加入到OneWireless?无线构架，进行无线通讯；

    OneWireless?无线防火墙——专门为希望通过OneWireless?网络将其过程控制网络扩展到现场的用户设计的一种安全工具；

    SSID设定、MAC地址过滤、VLAN 802.1Q等多重安全管理；

    OneWireless安全最佳实践。

    4.1 安全措施：物理授权

    霍尼韦尔设计了一种高度可靠的红外安全密钥管理系统。在无线变送器、多功能节点或者FDAP加入无线网络之前，必须通过带有红外端口的手持设备与该设备传递一个安全密钥。该密钥是不透明的，以确保安全；所有的无线设备如多功能节点、FDAP和现场仪表都有一个允许在设备上部署密钥的红外端口。在将密钥部署到设备上之后，它会自动加入网络。密钥只需要部署一次。下图说明了这个过程：
                    

    4.2 无线防火墙

    无线网络同有线控制系统的数据集成时，采用无线防火墙，以保证网络安全。无线防火墙专门为霍尼韦尔公司Experion控制系统把控制网络延伸至无线网络而设计的。该无线防火墙可以同时保护Experion有线网络的安全和无线网络的安全。

    OneWireless防火墙安装在第2层OneWireless无线系统网关（WSG）和第2层FTE交换机。无线系统网关和OneWireless?服务器在第2层连接，以便能够通过Modbus或霍尼韦尔专有控制数据访问（CDA）协议从Experion控制器方便地访问无线I/O设备。防火墙预先设定只允许无线I/O数据沿双向流动，同时禁止不必要的第2层信息。OneWireless网络支持的过程控制OLE（OPC）等其它数据类型可以通过在第3.5层相连的多功能节点（DMZ区）访问。

    无线防火墙是预组态好的、即插即用，只允许wireless I/O 数据双向通过，而阻隔有线网络不必要的网络风暴、可能的病毒和垃圾信息。有效保护Experion 有线网络和无线网络，避免通讯中断或丢失数据等情形的发生；使用环境-40℃～+70℃，Class I/Div2，Zone 2。
                  
                                 图2  无线防火墙示意图

    4.3 支持多个SSID设定 / VLAN 802.1Q 虚拟功能设定通过设定

    多个SSID，用户可在每个多功能节点上创建多个网络名称或服务设置标识符，并可以定制各自的安全和广播配置。这些SSID服务设置标识符可以与不同的虚拟局域网相关联，从而创建虚拟无线局域网。这种功能可以用来实现不同网络用户或应用的逻辑分离，提高了安全性，如下图所示。同时支持MAC地址过滤，进一步提高安全水平。
             
                                 图3  虚拟网线局域网示意图

    4.4 最佳安全实践

    OneWireless工业无线架构，支持多种无线应用，包括三个的无线网络：

    无线变送器网络：即无线变送器配置路由功能时，相互无线通讯；或不配置路由功能时，无线变送器同FDAP和多功能节点直接无线通讯；

    无线主干网格：FDAP或多功能节点之间的相互无线通讯；

    802.11a/b/g网络：802.11无线设备同多功能节点的无线通讯，如无线视频、移动操作站等。这3个部分都配置安全机制，再加上采用如下最佳安全实践，借助先进的安全技术确保OneWireless?网络的工业等级的安全水平。

    4.4.1 无线变送器网络的安全实践

    无线变送器和执行器加入无线网络后，默认在安全模式下运行。所有数据都会经过AES 128位加密，并且有物理授权、非透明的安全设置功能。为了保证无线变送器网络的安全，客户应该遵守如下规则：

    每次将新的无线变送器添加到无线系统中后，都必须备份关键服务器和目录服务器数据库。以备关键硬件故障后，备份信息可以用来恢复系统操作。

    物理授权设备必须保存在安全的场所，并且只能由授权安装人员负责保管和使用。

    经过授权的无线变送器，如果需要维护返库，那么其所有密钥都必须擦除，以防止未经授权的使用行为。

    授权设备必须有与需要进行预配置的设备数量相当的密钥。密钥的到期日必须设置在合理的时间范围内。

    定期检查密钥服务器日志，诊断可能的攻击或设备可能出现的错误行为。

    4.4.2 无线主干网络的安全实践

    无线主干网络可以在非安全或安全模式下运行。强烈建议启用安全功能。在启用此功能之后，通过无线主干网络发送的所有消息都会通过128位AES加密算法加密。通过多功能节点配置工具来配置主干网络的安全功能，如禁用广播SSID、MAC地址过滤等。在配置主干网络的安全功能时，应遵守如下规则：

    使用静态AES-CCM算法来启用主干网络的安全功能，实现数据包加密；

    保密为主干网络设定的安全密钥，只允许授权人员使用；

    为防止主干网络安全密钥丢失造成无法恢复的情况，支持更换故障多功能节点或添加新的多功能节点，应采用多功能节点配置备份功能。备份的配置包含安全密钥。

    多功能节点需要物理安全授权；

    采用禁用广播SSID、MAC地址过滤等措施，确保主干网络的节点的安全；

    4.4.3 802.11a/b/g无线接入点设备网络的安全实践

    如果没有为多功能节点的802.11a/b/g访问提供合适的安全机制，那么笔记本电脑、平板电脑、PDA和其它802.11无线设备的客户端会存在严重的安全风险。在设置802.11接入点安全功能时，应遵守如下准则：

    802.11接入点设备的安全功能应该设置到802.11无线设备所能支持的最高等级 ，如IEEE 802.11i （WPA2），针对最终用户设备采用IEEE 802.1x和远程授权拨入用户服务（RADIUS）服务器。RADIUS服务器是微软为互联网授权服务或IAS而推出的，随Windows Server 2003免费提供，很容易添加到一个活动目录域控制器。不要在OneWireless?网络上使用不支持安全功能的无线设备；

    为了能在网格覆盖区域内漫游，需要在所有多功能节点上配置相同的通行密钥。应为通行密钥保密，仅允许授权人员访问它；

    采用禁用广播SSID、MAC地址过滤确保802.11无线接入点设备的安全；

    5 无线网络的扩展能力和规模

    OneWireless网络的设计具有非常灵活的扩展性——既可以是单一的无线变送器网络，也可以是支持全厂多种无线应用的、全面的工厂级无线网络。如果把无线网络延伸到更大的覆盖面积、更多的无线应用，或采集更多的过程参数，只需要添加多个多功能节点、FDAP和无线现场仪表即可扩展整个无线网络的规模。

    OneWireless网络的规模如下：

    （1）大规模多种无线应用时：

    最多40个多功能节点和FDAP构建无线主干网络；每个多功能节点和FDAP均可同时作为有线和无线网络之间的无线网关，有线接入DCS；网关可冗余配置；

    一个mesh无线网络的40个多功能节点中，可同时作为网关。每个网关可带100台无线变送器（1秒刷新）。每个多功能节点都可以带20台变送器（1s刷新）或80台（大于1s）；

    该无线网络同时支持多种无线应用，如移动操作站、无线视频、振动检测等。

    （2）小规模、仅仅是无线变送器的应用时：

    无线变送器组态为带路由功能，无线通讯通过通讯速度较慢的无线变送器本身的路由来实现，自组织、自愈合。满足非确定性应用的要求，如时间滞后允许大于1秒 ；变送器刷新速度允许大于30秒。


     摘自《自动化博览》2010年第十一期