我們搞工業(yè)自動化的對PLC、變頻器、伺服這些東西熟悉得很但一說到網(wǎng)絡(luò)很多人其實心里是發(fā)虛的。尤其是“交換原理”這四個字聽起來像通信專業(yè)才需要啃的硬骨頭跟咱們寫梯形圖、調(diào)PID沒什么關(guān)系。但實際在產(chǎn)線上跑過幾回你就會發(fā)現(xiàn)一條生產(chǎn)線幾十臺設(shè)備全靠那臺不起眼的工業(yè)交換機在中間撐著它要是鬧脾氣什么程序邏輯、工藝參數(shù)全白搭。這一講我就把工業(yè)網(wǎng)絡(luò)里最核心也最容易被忽略的交換原理掰開揉碎講一遍。這一講不是給通信工程師看的是給咱們搞設(shè)備、搞電氣、搞集成的工程師看的。你不需要搞懂芯片級的轉(zhuǎn)發(fā)機制但你必須明白交換機為什么要學(xué)MAC地址、為什么會出現(xiàn)廣播風(fēng)暴、環(huán)網(wǎng)冗余到底在冗余什么、VLAN和QoS在工業(yè)現(xiàn)場到底怎么用。講清楚這些再去排查那些“網(wǎng)線明明插著但PLC時通時斷”的詭異故障心里就有底了。1. 為什么工業(yè)網(wǎng)絡(luò)需要交換——先理解交換要解決什么問題1.1 從Hub到交換機工業(yè)現(xiàn)場經(jīng)歷了什么很多年輕工程師可能沒見過集線器Hub但在前些年的老產(chǎn)線上Hub還是能碰到的。Hub的工作原理是物理層設(shè)備它沒有任何“智能”收到電信號就往所有端口廣播一遍。一臺PLC發(fā)包其余所有設(shè)備都得跟著聽一遍。這就帶來兩個問題一是帶寬全被浪費了10M的Hub接8臺設(shè)備每臺設(shè)備理論上只能分到十分之一的流量而且設(shè)備越多沖突越嚴(yán)重二是安全性為零誰都能聽到誰的數(shù)據(jù)想隔離都隔離不了。交換機就是沖著這兩個問題來的。它是數(shù)據(jù)鏈路層設(shè)備核心能力是能“記住”每個MAC地址在哪個端口然后只把數(shù)據(jù)幀從對應(yīng)端口發(fā)出去。這就像以前一個辦公室十個人公用一部電話誰打電話全屋人都聽得見現(xiàn)在每個人桌上分了一部內(nèi)線電話交換機就是那個接線員知道張三的分機號就只接通張三。這個“只發(fā)給該收的人”的動作就是交換。工業(yè)現(xiàn)場為什么比辦公網(wǎng)絡(luò)更需要交換因為工業(yè)協(xié)議對實時性和確定性要求極高。比如Profinet的實時通信一個數(shù)據(jù)包晚到幾毫秒可能導(dǎo)致整個運動控制系統(tǒng)抖一下甚至觸發(fā)安全急停。Hub那種大家一起搶信道的模式在這種場景下根本沒法用所以工業(yè)網(wǎng)絡(luò)必須靠交換來保證每個端口獨享帶寬、降低延遲。1.2 工業(yè)交換機的定位不只是“能通就行”經(jīng)常有人問我“辦公室那種50塊錢的交換機插到產(chǎn)線上用行不行”這個問題得分兩層看。從純交換原理上說商用交換機和工業(yè)交換機干的是同一件事都在做MAC地址學(xué)習(xí)和轉(zhuǎn)發(fā),傳輸數(shù)據(jù)包的能力沒有本質(zhì)區(qū)別。但從現(xiàn)場長期可靠性來說差別就大了。工業(yè)交換機的“工業(yè)”二字體現(xiàn)在幾個維度。一是環(huán)境適應(yīng)性寬溫設(shè)計常見的是-40℃到75℃放在沒有空調(diào)的配電柜里也不會死機二是冗余供電雙路電源輸入一路掛了另一路頂上三是安裝方式DIN導(dǎo)軌卡扣直接卡在柜體上不占地方四是電磁兼容產(chǎn)線變頻器一啟動就是強干擾源工業(yè)交換機在EMC抗干擾方面有明顯強化商業(yè)交換機在這種環(huán)境下可能會出現(xiàn)偶發(fā)丟包甚至重啟。再往功能層面說工業(yè)交換機通常內(nèi)置了環(huán)網(wǎng)冗余協(xié)議、VLAN、QoS、端口鏡像、風(fēng)暴抑制這些特性這些是商業(yè)交換機不一定具備或者即使具備也沒針對工業(yè)協(xié)議做優(yōu)化的功能。所以我的建議很直接如果只是臨時調(diào)試用手頭有什么交換機都行如果是長期跑產(chǎn)線一定要用工業(yè)交換機。不要在這上面省錢一次非計劃停機造成的損失夠你買一柜子交換機了。2. 交換核心機制拆解一臺工業(yè)交換機到底在忙什么2.1 MAC地址學(xué)習(xí)交換機的“記憶”怎么建立交換機的核心工作機制第一件事就是學(xué)MAC地址。MAC地址就是網(wǎng)卡的物理地址每張網(wǎng)卡出廠時燒錄了一個全球唯一的48位十六進(jìn)制編號就像設(shè)備的身份證號。交換機內(nèi)部維護(hù)著一張表叫MAC地址表或者叫CAM表至少要記錄三項信息MAC地址、所屬VLAN、所在端口。這張表是動態(tài)學(xué)習(xí)的。假設(shè)PLC1MAC為AA-AA-AA-AA-AA-01接在交換機的1號口PLC2MAC為BB-BB-BB-BB-BB-02接在3號口。當(dāng)PLC1向PLC2發(fā)包時交換機先從幀頭里讀出源MAC是AA-AA-AA-AA-AA-01就把“AA-AA-AA-AA-AA-01 → 端口1”記到表里。這是第一步學(xué)習(xí)源MAC。然后它再查目的MAC看看表里有沒有BB-BB-BB-BB-BB-02的記錄。如果已經(jīng)學(xué)過直接查到它在3號口就把這個幀只從3號口發(fā)出去其他端口不受打擾。這個過程聽起來不復(fù)雜但它是所有交換行為的基礎(chǔ)。如果哪一天你發(fā)現(xiàn)網(wǎng)絡(luò)行為不正常先查這張表的記錄有沒有錯亂往往能快速鎖定問題。大多數(shù)工業(yè)交換機都支持通過命令行或者Web界面查看MAC地址表比如用show mac-address-table命令能看到每一臺設(shè)備在哪個端口下。這是一線排查故障時最常用的一個命令。2.2 轉(zhuǎn)發(fā)決策命中、泛洪與丟棄MAC地址表的關(guān)鍵用途是轉(zhuǎn)發(fā)決策。交換機會對每個收到的數(shù)據(jù)幀執(zhí)行三步判斷第一查源MAC學(xué)習(xí)并更新到表里如果表里已有刷新一下老化計時器。第二查目的MAC看表里有沒有匹配項。第三根據(jù)查表結(jié)果執(zhí)行動作有匹配項就從對應(yīng)端口單播轉(zhuǎn)發(fā)沒有匹配項就把幀從除接收端口以外的所有端口發(fā)出去這個行為叫“泛洪”如果這個幀是廣播幀或組播幀也要做泛洪處理。泛洪這個機制很多人不理解為什么會有“未知單播”這種包想一想剛開機的場景交換機剛上電MAC地址表是空的此時任何一臺設(shè)備發(fā)包交換機都不知道該往哪送只能“問”所有端口。這個“問”的動作其實挺不講道理但它保證了任何設(shè)備剛接入網(wǎng)絡(luò)時彼此之間都能通過廣播讓其他人發(fā)現(xiàn)自己。ARP請求就是以廣播形式發(fā)出去的——我要找某臺IP地址對應(yīng)哪個MAC所有人都聽得到只有目標(biāo)IP回復(fù)我其他人保持沉默。用生活類比來理解你手里有一封信要送給某個人但只知道名字不知道住址快遞站的一般做法是抄送一份給全樓住戶讓那個真正收信的人站出來認(rèn)領(lǐng)。這個“抄送全樓”的動作就是泛洪。泛洪是必要的但如果網(wǎng)絡(luò)上這種泛洪流量太多就會形成廣播風(fēng)暴這個后面細(xì)聊。還有一種情況是丟棄。如果某個數(shù)據(jù)幀的目的MAC地址指向的端口恰好就是接收這個幀的端口交換機就不會把它再翻回去直接在內(nèi)部丟棄。這種情況比較少見但在配置了端口鏡像或者特殊VLAN場景下會遇到知道交換機有“丟棄”這個動作就好。2.3 地址表老化與靜態(tài)綁定地址表不是永遠(yuǎn)不變的。交換機給每條動態(tài)學(xué)習(xí)到的MAC表項加了一個生存時間通常是300秒這個時間叫老化時間。每次收到源MAC匹配的數(shù)據(jù)幀這個計時器就刷新一次。如果在一個老化周期內(nèi)沒再收到該設(shè)備的幀交換機就把這條記錄刪掉了。為什么要老化為了適應(yīng)設(shè)備移動的場景。假如某臺設(shè)備從1號口拔下來插到5號口如果表里永久保留“該MAC在1號口”這條記錄交換機就會一直把發(fā)給它的幀往1號口送結(jié)果這臺設(shè)備永遠(yuǎn)收不到數(shù)據(jù)。有了老化機制設(shè)備在5號口重新發(fā)包時交換機會學(xué)習(xí)到新的映射關(guān)系覆蓋舊記錄通信自然就恢復(fù)了。老化機制本身是為了“靈活”但也帶來一個問題如果某個設(shè)備的幀流量不大超過300秒不發(fā)一次包它的表項可能被清掉下次再發(fā)包時交換機就要泛洪一次可能引起短暫的轉(zhuǎn)發(fā)延遲。關(guān)鍵設(shè)備如果要避免這種情況可以做靜態(tài)MAC綁定手動在交換機上把某個MAC地址固定指向某個端口永不過期。這在一些安全要求高或者對實時性要求極高的場景里很有用。工業(yè)交換機一般支持靜態(tài)MAC配置比如在接入PLC的端口上做綁定既能防止其他設(shè)備冒用MAC又能避免因老化導(dǎo)致的首包泛洪延遲。3. 工業(yè)場景下的關(guān)鍵交換特性3.1 環(huán)形冗余為什么工業(yè)網(wǎng)絡(luò)不能忍受斷網(wǎng)聊完基礎(chǔ)交換原理咱們進(jìn)入工業(yè)網(wǎng)絡(luò)的專屬領(lǐng)域——環(huán)網(wǎng)冗余這是工業(yè)交換機和交換機最關(guān)鍵的差異之一。先想想現(xiàn)場為什么會需要環(huán)網(wǎng)。一條產(chǎn)線如果全部用星型拓?fù)渌性O(shè)備都連到中心交換機那這根“中心”一旦出了故障整條線癱瘓。工業(yè)現(xiàn)場不允許這種單點故障常見做法是讓設(shè)備組成環(huán)形拓?fù)涿颗_交換機都有兩條物理路徑可以到達(dá)主站一條斷了數(shù)據(jù)還能走另一條。但這里有一個邏輯矛盾物理上成環(huán)之后如果哪臺交換機哪個端口還傻傻地做泛洪廣播幀就會在環(huán)里繞圈一臺交換機的端口一進(jìn)一出再出門再進(jìn)門循環(huán)往復(fù)瞬間就把網(wǎng)絡(luò)帶寬耗盡形成廣播風(fēng)暴。所以環(huán)網(wǎng)協(xié)議的核心思路就是物理上允許成環(huán)邏輯上用協(xié)議讓交換機“阻塞”某個端口把環(huán)切斷讓它在邏輯上仍然是一條鏈。正常時所有數(shù)據(jù)都走這條鏈鏈路斷了協(xié)議自動把阻塞端口恢復(fù)為轉(zhuǎn)發(fā)狀態(tài)讓數(shù)據(jù)走另一條路徑。RSTP是通用的快速生成樹協(xié)議收斂速度通常在1~2秒。但對于運動控制這種對中斷時間要求極高的系統(tǒng)1秒的恢復(fù)時間太長了所以工業(yè)現(xiàn)場更常用的是專為工業(yè)設(shè)計的MRPIEC 62439-2標(biāo)準(zhǔn)協(xié)議。MRP會在環(huán)上指定一臺交換機作為環(huán)網(wǎng)管理器MRM它會周期性發(fā)送測試幀在環(huán)上跑一圈如果收不到說明鏈路斷了立刻把阻塞端口放開恢復(fù)時間能做到50毫秒以內(nèi)有些設(shè)備甚至能到10毫秒以內(nèi)。10毫秒是什么概念操作員可能還沒來得及看到報警燈閃一下網(wǎng)絡(luò)就已經(jīng)恢復(fù)通信了。3.2 廣播風(fēng)暴與環(huán)路防護(hù)廣播風(fēng)暴這個坑基本每個搞網(wǎng)絡(luò)的人都踩過?，F(xiàn)象很典型某天產(chǎn)線突然全線通信超時交換機所有端口指示燈瘋狂閃爍CPU使用率飆到接近百分之百你ping誰都丟包甚至整個網(wǎng)絡(luò)癱掉。廣播風(fēng)暴的常見根源有兩個物理環(huán)路加上沒有配置冗余協(xié)議或者協(xié)議沒生效形成了一個“環(huán)路泛洪”的完美風(fēng)暴循環(huán)。廣播幀在環(huán)里被各臺交換機反復(fù)學(xué)習(xí)、轉(zhuǎn)發(fā)每一圈都不重樣風(fēng)暴指數(shù)級放大。另一個根源是某臺設(shè)備的網(wǎng)卡或者交換機端口出現(xiàn)故障持續(xù)發(fā)出大量廣播或錯誤包超過交換機CPU承載極限。怎么防護(hù)最簡單的思路是上聯(lián)網(wǎng)絡(luò)前先檢查拓?fù)鋭e把環(huán)連成“錯環(huán)”。但現(xiàn)場接線有時候就是會混亂特別是臨時調(diào)試接了幾根跳線。此時交換機自身必須有防護(hù)能力工業(yè)交換機一般會有這三種措施一是配置環(huán)網(wǎng)協(xié)議RSTP/MRP邏輯上打破拓?fù)洵h(huán)二是配置廣播風(fēng)暴抑制設(shè)定廣播幀的速率上限比如每秒只能通過3000個廣播包超出的直接丟棄三是開環(huán)路檢測功能交換機能識別到端口出現(xiàn)了“自己收到自己發(fā)出去的幀”這種異常就自動把端口關(guān)掉或者告警。實操細(xì)節(jié)上我曾經(jīng)排查過一個現(xiàn)場PLC站和遠(yuǎn)程IO站之間偶爾通信超時查了半天最后發(fā)現(xiàn)是一條廢棄的跳線兩端都插在了交換機上形成了一個物理環(huán)而正好那臺交換機老型號不支持STP也沒有人工配置風(fēng)暴抑制結(jié)果廣播幀在環(huán)里自我繁殖系統(tǒng)接近癱瘓。后來把跳線拔掉網(wǎng)絡(luò)秒恢復(fù)。從那以后我接手任何項目的第一件事就是檢查所有交換機是否開啟了RSTP或MRP、是否配置了風(fēng)暴抑制。這兩個措施是工業(yè)網(wǎng)絡(luò)的保險絲平時看不出作用關(guān)鍵時刻能救你一條產(chǎn)線。3.3 VLAN與QoS在工業(yè)現(xiàn)場的實戰(zhàn)價值接下來說說VLAN和QoS。這兩個概念在辦公網(wǎng)絡(luò)里也常用但在工業(yè)現(xiàn)場它們的價值更直接。VLAN是虛擬局域網(wǎng)核心作用是劃分廣播域。交換機天然會把廣播幀泛洪到所有端口而通過VLAN可以把端口分組讓廣播幀只在同一VLAN內(nèi)部泛洪?，F(xiàn)場最常見的做法是把控制網(wǎng)絡(luò)和視頻網(wǎng)絡(luò)分開PLC、伺服、HMI這些實時控制設(shè)備放進(jìn)VLAN 10監(jiān)控攝像頭和錄像機放進(jìn)VLAN 20。這樣攝像頭的視頻流再怎么滿天飛也不會擠占PLC的控制通信帶寬。第二個場景是不同工段的數(shù)據(jù)隔離一個車間可能有A線和B線兩條線的PLC之間不需要互相通信用VLAN隔開既提高安全性也減少無關(guān)廣播流量。QoS則是解決優(yōu)先級問題的。想象一下交換機一個出站口同時要發(fā)兩個包一個是PLC的位置控制指令一個是攝像頭的視頻幀。從“公平”角度先到先發(fā)但這樣會讓控制指令排在視頻幀后面。工業(yè)控制的實時性要求不能接受這種排隊所以QoS機制會讓關(guān)鍵幀“插隊”。QoS通過檢查幀里的802.1p優(yōu)先級字段位于VLAN Tag的優(yōu)先級域中范圍0~7或DSCP字段把高優(yōu)先級報文放入高優(yōu)先級隊列交換機的出站調(diào)度器會優(yōu)先清空高優(yōu)先級隊列再處理低優(yōu)先級隊列。底層機制通常是嚴(yán)格優(yōu)先SP或加權(quán)輪詢WRR工業(yè)交換機里SP更常用因為它能保證高優(yōu)先級幀永遠(yuǎn)不被低優(yōu)先級擠掉。實操中配置QoS時要記住兩個方向都要考慮。PLC發(fā)給交換機的上行幀你要在交換機入口方向信任或改寫優(yōu)先級交換機轉(zhuǎn)發(fā)給PLC的下行幀也要在出口方向按優(yōu)先級調(diào)度。有些工程師只配了入方向結(jié)果從站到主站的路徑還是被視頻流擠占排查起來特別隱蔽。配QoS的時候把每個端口的入口和出口策略都過一遍能省很多后續(xù)排障時間。4. 實操案例一臺工業(yè)交換機的配置過程4.1 場景規(guī)劃與需求梳理光講原理比較抽象我拿一個去年做的模擬項目X來走一遍完整配置流程。這個項目的拓?fù)浜芎唵我慌_8口千兆導(dǎo)軌式工業(yè)交換機某國產(chǎn)型號支持RSTP/MRP、VLAN、QoS、風(fēng)暴抑制下掛設(shè)備如下端口接的設(shè)備用途IP段1PLC1主站控制192.168.0.1/242PLC2從站控制192.168.0.2/243PLC3從站控制192.168.0.3/244HMI1監(jiān)控192.168.0.10/245伺服驅(qū)動器1控制192.168.0.20/246高速攝像頭1視頻192.168.1.6/247高速攝像頭2視頻192.168.1.7/248上位機管理/查看192.168.0.100/24需求梳理一下控制層PLC、HMI、伺服必須與視頻層攝像頭隔離互不干擾控制層的關(guān)鍵報文要有高優(yōu)先級交換機本身要有一個獨立的管理IP方便遠(yuǎn)程維護(hù)所有端口都要開啟風(fēng)暴抑制為了以后擴展交換機要支持后續(xù)接入冗余環(huán)網(wǎng)?；谶@些需求規(guī)劃的方案是VLAN 10承載控制層VLAN 20承載視頻層端口1/2/3/4/5/8劃入VLAN 10端口6/7劃入VLAN 20。管理IP單獨用VLAN 10的一個空閑地址比如192.168.0.99/24。QoS方面對PLC和伺服的端口在入方向改寫優(yōu)先級為5高攝像頭端口不信任優(yōu)先級維持默認(rèn)0。這樣視頻流量再大也不會讓控制報文排隊。4.2 命令行配置實例一般在現(xiàn)場操作用console線連交換機的console口然后用終端軟件如SecureCRT波特率設(shè)115200登錄。不同廠商的命令風(fēng)格有差異但思路一致。以這款設(shè)備的命令行風(fēng)格為例關(guān)鍵配置過程大致是這樣第一步進(jìn)入系統(tǒng)視圖配置設(shè)備基礎(chǔ)信息enable config hostname IES-3108第二步創(chuàng)建VLAN并把端口劃入對應(yīng)VLANvlan 10 vlan 20 interface gigabit-ethernet 0/1 port mode access port access vlan 10 interface gigabit-ethernet 0/2 port mode access port access vlan 10 interface gigabit-ethernet 0/3 port mode access port access vlan 10 interface gigabit-ethernet 0/4 port mode access port access vlan 10 interface gigabit-ethernet 0/5 port mode access port access vlan 10 interface gigabit-ethernet 0/6 port mode access port access vlan 20 interface gigabit-ethernet 0/7 port mode access port access vlan 20 interface gigabit-ethernet 0/8 port mode access port access vlan 10這里有個細(xì)節(jié)視頻口我用的是access模式端口直接歸屬VLAN 20。如果一臺下掛設(shè)備需要同時承載多個VLAN的幀比如上位機既訪問控制網(wǎng)又訪問視頻網(wǎng)那時端口才需要配trunk模式加上tagged幀處理。在這個項目里設(shè)備到交換機的連接都是單VLAN直連所以用access簡單清零。第三步配置各業(yè)務(wù)VLAN三層管理地址如果交換機支持三層可配置如果純二層管理地址走管理VLANinterface vlan-interface 10 ip address 192.168.0.99 255.255.255.0第四步開啟RSTP防止拓?fù)涑森h(huán)spanning-tree spanning-tree mode rstp第五步配置廣播風(fēng)暴抑制端口入方向限制廣播包的轉(zhuǎn)發(fā)速率interface gigabit-ethernet 0/1 storm-control broadcast pps 3000 interface gigabit-ethernet 0/2 storm-control broadcast pps 3000 interface gigabit-ethernet 0/3 storm-control broadcast pps 3000 interface gigabit-ethernet 0/4 storm-control broadcast pps 3000 interface gigabit-ethernet 0/5 storm-control broadcast pps 3000 interface gigabit-ethernet 0/6 storm-control broadcast pps 3000 interface gigabit-ethernet 0/7 storm-control broadcast pps 3000 interface gigabit-ethernet 0/8 storm-control broadcast pps 30003000 pps這個值是拍腦袋定的嗎不是。常規(guī)PLC廠家的標(biāo)準(zhǔn)以太網(wǎng)廣播幀很小但每臺設(shè)備正常ARP請求、DHCP、協(xié)議周期廣播加起來也就幾十到幾百pps。普通產(chǎn)線一個廣播域里50臺設(shè)備每秒廣播包總量通常在1000pps以內(nèi)設(shè)3000pps足夠兜底又能防止風(fēng)暴蔓延。如果你有廠商設(shè)備支持以帶寬百分比做閾值那更簡單直接設(shè)總帶寬的5%。第六步配置QoS優(yōu)先處理控制關(guān)鍵報文priority mapping interface gigabit-ethernet 0/1 traffic priority 802.1p 5 interface gigabit-ethernet 0/2 traffic priority 802.1p 5 interface gigabit-ethernet 0/3 traffic priority 802.1p 5 interface gigabit-ethernet 0/5 traffic priority 802.1p 5上面這樣配置之后交換機在這幾個端口上會把收到的幀改寫成高優(yōu)先級標(biāo)記。出口調(diào)度則保持默認(rèn)的嚴(yán)格優(yōu)先隊列也就是只要隊列里有高優(yōu)先級的幀就優(yōu)先把它發(fā)出去。第七步配置靜態(tài)MAC地址綁定防止未授權(quán)設(shè)備接入interface gigabit-ethernet 0/1 mac-address static AA-AA-AA-AA-AA-01 vlan 10 interface gigabit-ethernet 0/2 mac-address static BB-BB-BB-BB-BB-02 vlan 10這里我只綁定了PLC1和PLC2的MAC因為這兩臺是核心控制器防止有人惡意或者無意地仿冒它們的MAC。其他端口不用一個個綁按需來做。4.3 驗證與測試配置完成以后不要急著收工驗證環(huán)節(jié)很關(guān)鍵。先在交換機上查看MAC地址表確認(rèn)所有設(shè)備都已經(jīng)被學(xué)習(xí)到正確端口enable show mac-address-table你會看到這樣一張表MAC Address VLAN Port Type AA-AA-AA-AA-AA-01 10 GE0/1 Static BB-BB-BB-BB-BB-02 10 GE0/2 Static CC-CC-CC-CC-CC-0C 10 GE0/3 Dynamic ...然后從上位機分別ping PLC1、PLC2和攝像頭IP確認(rèn)VLAN之間的隔離是否生效。注意VLAN 10里的上位機默認(rèn)是ping不通VLAN 20里的攝像頭IP的要跨VLAN通信必須有三層路由設(shè)備。在這個項目里管理端想看視頻走的是另一條通道不在VLAN 10的網(wǎng)絡(luò)里這里就不展開。測試QoS是否生效用兩臺電腦一臺接在VLAN 20的攝像頭口上跑大流量比如不斷向網(wǎng)絡(luò)里灌視頻流另一臺接在VLAN 10的PLC口上一邊做長時間ping測試一邊觀察是否存在明顯的延遲抖動。實測下來我這邊打500M視頻流量進(jìn)去高優(yōu)先級隊列的控制報文延遲依然是幾毫秒以內(nèi)而低優(yōu)先級報文的延遲已經(jīng)沖到了幾百毫秒。差異非常明顯QoS的效果不需要抓包分析看延遲曲線就夠了。最后測試RSTP把兩根線臨時接成物理環(huán)路把接線架上兩根網(wǎng)線都插到交換機相鄰口形成環(huán)然后觀察交換機告警燈再拔掉其中一根記錄控制通信的恢復(fù)時間。實測這臺設(shè)備RSTP恢復(fù)時間在1.5秒左右而如果后續(xù)接到支持MRP的環(huán)網(wǎng)上恢復(fù)時間可以做到50毫秒以內(nèi)。這兩種協(xié)議的選擇要看你的實時性需求如果設(shè)備間是Profinet IRT這類對時延極其敏感的應(yīng)用就直接選MRP方案。提示所有配置完成后一定要保存配置。現(xiàn)場最悲催的事情就是配置完交換機忘了執(zhí)行保存命令斷電重啟后一切回到解放前。不同廠商保存命令不同常見的如copy running-config startup-config或save自己記牢自己設(shè)備的命令。5. 常見問題與排查技巧實錄5.1 現(xiàn)象網(wǎng)口燈亮但PLC通信時通時斷這類問題在工業(yè)現(xiàn)場太常見了。首先確認(rèn)交換機的端口協(xié)商是否正常連接或斷開時端口指示燈是否穩(wěn)定。多數(shù)PLC網(wǎng)口與外置交換機連接是1G全雙工協(xié)商或者100M全雙工如果協(xié)商異常比如出現(xiàn)半雙工就很容易出現(xiàn)時通時斷。查看交換機端口狀態(tài)可以用show interface命令確認(rèn)速率和雙工模式。如果這邊顯示400M或者半雙工就說明鏈路有問題通常是網(wǎng)線質(zhì)量差、水晶頭接觸不良、或者屏蔽層破損。換根網(wǎng)線往往立刻解決。還有一類情況是MAC地址表抖動。如果交換機上兩臺設(shè)備用了同一個MAC地址這臺發(fā)包MAC表就學(xué)過去那臺再發(fā)包表項又被改過來兩邊來回改結(jié)果兩邊通信都不穩(wěn)定。排查辦法是在交換機上查看MAC地址表找連續(xù)學(xué)不定的表項然后用靜態(tài)MAC綁定把它釘住。有時候設(shè)備誤配置了相同的MAC比如兩臺工控機的克隆MAC就用這種手段識別出來。5.2 現(xiàn)象大流量時整個網(wǎng)絡(luò)卡頓CPU告警先看是不是廣播風(fēng)暴登錄交換機看CPU利用率如果持續(xù)接近滿負(fù)荷優(yōu)先考慮廣播包是否過多再看端口統(tǒng)計里的廣播包計數(shù)show port statistics當(dāng)一個端口每秒收到數(shù)千個廣播幀時大概率有問題。處理方式是按第3.2節(jié)講到的三件套來辦啟用RSTP/MRP打破環(huán)、開啟風(fēng)暴抑制限制pps、檢查是否有設(shè)備網(wǎng)卡故障在瘋狂發(fā)包。另一種可能是因為組播流量沒被管控。工業(yè)協(xié)議里會用到一些組播通信比如Profinet的實時通信就大量使用組播MAC地址。如果交換機不配置IGMP Snooping交換機就把組播幀當(dāng)成廣播幀來泛洪所有端口都收一遍流量大時也會把出口帶寬吃滿。工業(yè)交換機里啟用IGMP Snooping是個好習(xí)慣它讓組播幀只發(fā)送到訂閱了該組播組的端口大幅減輕無關(guān)端口流量。很多工程師對VLAN很重視卻忽略了IGMP Snooping實際上它對Profinet設(shè)備多的網(wǎng)絡(luò)尤其重要。5.3 現(xiàn)象交換機重啟后配置丟失或者管理IP訪問不了先確認(rèn)保存配置的操作做了沒有。設(shè)備重啟后如果恢復(fù)出廠狀態(tài)十有八九是沒執(zhí)行保存命令。工業(yè)交換機的配置保存機制和路由器類似運行配置在內(nèi)存中掉電即失必須顯式保存。管理IP訪問不了可以從三個方向排查。第一管理IP是不是跟業(yè)務(wù)IP段沖突如果管理IP跟PLC在同一網(wǎng)段又恰好跟某臺PLC的IP重復(fù)就有沖突了。所以在實際項目中管理VLAN最好單獨劃一個管理網(wǎng)段跟業(yè)務(wù)VLAN徹底分開。第二檢查PC的IP跟交換機的管理IP是否同網(wǎng)段。第三看看管理口是不是只允許特定VLAN通過。比如我習(xí)慣把管理地址放在VLAN 10如果管理口的PVID配成了VLAN 20那從VLAN 10里來的上位機自然訪問不了。5.4 現(xiàn)象環(huán)網(wǎng)協(xié)議設(shè)了但鏈路斷了還是不恢復(fù)這種情況最坑因為理論上該收斂的沒收斂。第一步確認(rèn)所有交換機上環(huán)網(wǎng)協(xié)議都啟用了嗎——很多項目里只在一臺交換機上開了另外幾臺沒開導(dǎo)致協(xié)議協(xié)商不出來整個環(huán)沒有邏輯阻斷點。第二步確認(rèn)“阻塞端口”選在哪臺設(shè)備上。如果你指定某臺設(shè)備為環(huán)網(wǎng)管理器MRM把其他設(shè)備設(shè)為環(huán)網(wǎng)客戶機MRC那狀態(tài)的判斷就看MRM的端口——你可以在MRM上看它的主端口和副端口狀態(tài)正常是副端口處于“Discarding”或“Blocking”狀態(tài)。如果副端口一直是“Forwarding”說明協(xié)議沒收斂成功整個環(huán)處于風(fēng)暴邊緣。第三步把環(huán)斷開一處確認(rèn)是否恢復(fù)再做拔線測試。我通常的做法是把環(huán)路分幾次斷每斷一處等幾秒看MRM的狀態(tài)是否切換用日志確認(rèn)收斂時間是否符合標(biāo)稱值全部通過才算是真正配好了。6. 一個現(xiàn)場小技巧和我的經(jīng)驗體會最后分享一個我個人的習(xí)慣。每次做完交換機的配置我會把設(shè)備信息貼在交換機外殼的角落上管理IP、VLAN劃分、環(huán)網(wǎng)角色、端口分配表。這個習(xí)慣救過我很多次。人不是機器半年后回訪這個現(xiàn)場誰記得當(dāng)年把攝像頭劃到哪個VLAN、把哪個端口設(shè)成了靜態(tài)MAC綁定有了這張紙條哪怕?lián)Q了一個完全不熟悉項目的工程師來處理故障他也能快速掌握這臺交換機的邏輯架構(gòu)不用爬到柜子里一根線一根線捋。還有一個小技巧如果交換機不支持Web界面或者命令行操作不熟很多國產(chǎn)工業(yè)交換機配有上位機管理工具基本上圖形化界面端口劃VLAN、開RSTP、風(fēng)暴抑制都是打勾勾的事。對很多做設(shè)備維護(hù)的工程師來說這種方式比命令行更直觀。但不管用什么界面你理解的交換原理都是一樣的界面的差異只是工具形態(tài)的差異不是一個“懂網(wǎng)絡(luò)”和“不懂網(wǎng)絡(luò)”的分界線。說實話交換原理這門知識不是那種天天都用的技能但一旦用到就是救火級別的。能在現(xiàn)場把“廣播風(fēng)暴”“VLAN隔離”“QoS優(yōu)先級”“環(huán)網(wǎng)收斂”這些機制講清楚排起故障來就有章法。我遇到過太多設(shè)備工程師程序?qū)懙煤芎迷O(shè)備組裝也沒問題網(wǎng)絡(luò)一卡就抓瞎最后只能靠廠商遠(yuǎn)程支持。其實只要把交換原理的核心機制過一次腦很多故障的判斷就不再是玄學(xué)而是有據(jù)可查的邏輯推理。希望這一講能幫你在下一次遇到網(wǎng)絡(luò)故障時多一層思路少一點焦慮。