Day31-35｜11.4.4 边云协同：在现场实时性与中心全局能力之间建立闭环

一、教材定位

本节是《系统架构设计师教程（第2版）》第11章边缘计算概述的第四节，承接边缘计算的概念、定义和特点。边缘计算解决了数据靠近现场处理的问题，但边缘节点资源有限、数量众多、管理分散；云计算具有集中资源和全局视角，却存在网络时延和现场自治不足。边云协同就是把端、边缘、区域平台和中心云组织成职责清晰、状态可同步、故障可降级的整体。

边云协同是考试案例中非常重要的架构主题。题目可能要求说明哪些功能部署在边缘、哪些功能放在云端；也可能要求处理边缘离线、策略下发、模型更新、数据同步、任务迁移和多节点协同。高质量答案要写清协同依据、数据流、控制流、状态权威、版本机制和异常恢复，而不是只写一句“云边端协同”。

二、边云协同的基本思想

边云协同是指终端、边缘节点、区域平台和中心云根据业务时延、数据规模、资源条件、隐私要求和全局性进行功能分工，并通过网络、消息、数据模型、策略和运维机制共同完成业务目标。

协同不是把同一个功能同时复制到边缘和云端，也不是所有数据在两端实时完全一致，而是让每一层承担最适合自己的职责：

1. 端侧接近物理对象，负责感知、执行、实时控制和安全互锁。
2. 边缘侧接近现场，负责协议接入、实时分析、局部自治和区域协同。
3. 云端拥有全局资源，负责模型训练、历史数据、跨区域优化、统一资产和治理。
4. 管理平面贯穿各层，负责身份、版本、策略、监控、审计和运维。

三、边云协同的分层职责

分层职责不是绝对固定的。某些边缘节点也可能承担区域云的功能，某些端设备也可以执行轻量推理。关键是按照时延和风险划分闭环边界，并保证上层不可用时下层仍能保持安全。

四、协同的四类关系

1. 数据协同

边缘产生和处理数据，云端接收事件、摘要、特征和必要原始样本，用于训练、统计和全局分析。云端也可以向边缘发送数据字典、规则和模型。数据协同要解决格式、时间、质量、权限、压缩、断点续传和重复处理问题。

2. 模型协同

云端通常负责模型训练、评估和注册，边缘负责推理和现场反馈，端侧可能运行轻量模型。模型下发要包含版本、适用设备、资源需求、指标、有效期和回退版本；推理结果和人工修正回流云端，形成持续改进闭环。

3. 任务协同

云端可以根据全局订单、资源和优先级生成任务，边缘根据现场状态分解、排队和调整，端侧执行技能并反馈结果。任务需要唯一编号、状态机、有效期和幂等语义，避免网络重试导致重复执行。

4. 运维协同

云端统一管理边缘节点和设备资产，边缘执行现场代理和健康检查，端侧提供状态与日志。升级、配置、证书和策略通过管理平面分发，现场保留安全校验、灰度、健康检查和回退能力。

五、边云协同的部署模式

1. 云端集中控制模式

大部分业务逻辑和决策在云端，边缘主要负责接入和缓存。优点是集中管理简单，缺点是对网络依赖强、时延和断网风险高。适合非实时监控、跨区域统计和对现场自治要求低的场景。

2. 边缘自治、云端管理模式

边缘承担主要现场业务，云端负责策略、模型、资产和历史分析。优点是现场可用性和低时延较好，缺点是边缘节点资源和运维复杂。适合工业、交通、机器人和敏感数据场景。

3. 云边动态协同模式

云端和边缘根据网络、负载、数据和任务动态选择计算位置。例如网络良好时上传更多数据，资源紧张时把任务迁移到区域平台；云端不可用时边缘进入自治模式，恢复后重新同步。该模式灵活，但需要任务可迁移、状态可恢复和策略可验证。

六、功能放置的决策方法

可以使用“时延—数据—资源—风险—全局性”五个维度进行功能放置。

例如，设备急停必须在端侧；产线异常检测可在边缘；跨工厂产能预测适合云端；工厂内短期任务调度可以在区域边缘；模型训练通常在云端，推理可以在边缘。对同一能力也可以采用分层版本，例如云端高精度模型、边缘轻量模型和端侧规则模型。

七、数据协同机制

1. 数据模型统一

云端和边缘必须对设备、测点、单位、时间、事件、质量码和版本使用一致语义。边缘可以增加现场扩展字段，但不能改变核心含义。数据字典和模式版本要随数据传输，保证旧边缘和新云端能够兼容。

2. 流式与批量协同

告警、控制结果和关键事件采用流式传输，历史遥测和日志可以批量上传；大文件采用分片和断点续传。根据数据重要性设置队列优先级，网络恢复时先同步安全和审计数据，再同步普通历史数据。

3. 数据一致性

实时控制状态需要较强一致和确认，监控指标可以最终一致。每条事件要有唯一 ID、来源、时间、序列和处理状态，云端和边缘都要幂等。不能用简单的最后写入覆盖设备实际状态，应区分命令、确认和观测。

4. 数据回流

边缘的异常样本、人工修正、推理结果和任务结果回流云端，用于模型训练、规则调整和运营分析。回流数据要保留边缘版本、模型版本、现场条件和处理链，避免“只回传结果、不知道如何得到结果”。

八、模型与策略协同

1. 模型生命周期

云端完成数据准备、训练、验证、注册和发布；边缘下载模型、验证签名和资源、灰度运行并反馈指标；异常时回退旧模型或规则。模型发布不应跳过现场适用性检查，不同设备和环境可能需要不同版本。

2. 策略下发

规则、阈值、参数和任务策略要有版本、适用范围、优先级、有效期和审批记录。边缘接收后校验签名、设备能力、资源和当前状态；安全规则不能被普通业务策略覆盖。

3. 联邦或分布式学习

在隐私敏感场景，可以让边缘保留原始数据，仅上传模型更新或统计信息。此类协同要处理更新质量、通信成本、聚合安全、数据偏差和模型回退。上传参数也可能泄露信息，需要进行安全和隐私保护。

九、任务协同与迁移

1. 任务状态机

任务可以经历创建、分配、接受、执行、部分完成、暂停、失败、取消和确认完成等状态。边缘与云端要对状态转换条件和权威来源达成一致，任务执行结果不能只由“请求发送成功”表示。

2. 任务迁移

当边缘节点负载过高、网络变化或设备故障时，任务可以迁移到其他节点或机器人。迁移要保存任务上下文、已完成步骤、资源占用、有效期和补偿动作。不可重复的物理动作要有确认点，不能从头执行导致重复搬运或重复控制。

3. 任务超时和过期

现场状态变化后，云端旧任务可能已经不适用。任务必须有截止时间和取消机制，边缘发现过期时拒绝执行并上报原因。恢复连接时也不能重放过期任务。

十、边云故障与恢复

1. 云端不可用

边缘继续执行本地安全规则和已授权的局部任务，暂停需要全局信息的新任务；缓存重要事件和审计日志；超过自治时限后进入保守模式或请求人工。云端恢复后重新认证和校验策略，不应直接覆盖现场状态。

2. 边缘节点故障

端侧进入安全策略；如果有冗余边缘节点，可以迁移非实时服务和未开始任务。节点修复后先恢复数据和版本，再重新加入调度。关键控制回路不能依赖节点故障转移的瞬时成功，应由端侧安全控制保证底线。

3. 网络分区

不同边缘区域可能互相不可达，区域内可以继续自治，但不能假设全局状态一致。系统要限制跨区域动作，网络恢复后通过版本、时间和业务规则合并状态，并对冲突进行告警和人工处理。

十一、边云协同的安全设计

边云之间要建立双向身份认证、加密通道、证书轮换和最小权限。边缘节点只访问必要的云服务，云端不能默认拥有所有现场控制权限。控制命令应包含来源、目标、序列号、有效期和签名，并由边缘和端侧再次校验。

管理平面要与业务平面隔离，升级和配置操作必须审计；节点上线要检查固件、应用、模型和配置完整性；异常流量、重复命令和策略冲突要告警。边云协同越强，跨层权限和信任链越需要清晰设计。

十二、案例分析：跨园区能源管理的边云协同

某集团在 20 个园区部署能源采集和控制系统。园区内有光伏、储能、空调和充电桩，要求本地根据负荷实时调整设备，集团云端负责跨园区能源预测和统一策略。园区网络偶尔中断，设备控制不能因云端不可用而失效。

问题一：如何划分端、边缘和云端职责？

参考答案：设备端负责采集、电池保护、功率和安全互锁；园区边缘负责多协议接入、负荷计算、局部优化、实时控制、缓存和园区内调度；集团云负责历史数据、跨园区预测、模型训练、资源比较和策略建议。云端策略下发后，边缘要依据园区实时状态、设备能力和安全边界校验，不能直接覆盖本地保护规则。

问题二：园区断网时如何运行？

参考答案：边缘使用最近一次经过验证的局部策略和设备保护规则，继续执行安全范围内的负荷调节；停止接受需要集团全局信息的新策略，策略超过有效期时进入保守运行；本地保存负荷、告警、控制命令和执行结果；网络恢复后先同步实际状态和关键事件，再校验策略版本并重新发布，处理冲突后恢复全局协同。

问题三：如何评价协同效果？

参考答案：评价端到端控制时延、负荷预测误差、能源成本、峰值削减、设备可用率、断网自治时间、策略执行成功率、数据完整率、恢复时间、人工接管次数和安全事件。不能只看云端报表是否生成，还要验证现场控制是否稳定和节能目标是否实现。

十三、综合知识练习

题1

边云协同与简单的数据上云有什么区别？

参考答案：数据上云只是传输数据，边云协同还包括功能分工、模型和策略下发、任务编排、状态同步、故障降级、远程运维和安全治理。协同强调端、边缘和云共同完成业务闭环。

题2

边云协同为什么需要明确状态权威？

参考答案：离线和网络延迟会使云端、边缘和设备暂时持有不同状态。如果不明确谁确认实际状态、谁发布期望配置、谁推进任务，恢复后容易用旧状态覆盖新状态或重复执行动作。状态权威、版本和时间是解决冲突的基础。

题3

为什么边缘不能无条件执行云端下发的策略？

参考答案：云端策略可能过期、与本地设备能力不匹配、违反现场安全边界或不适用于当前环境。边缘和端侧最了解现场状态，必须校验签名、版本、有效期、资源、权限和安全约束，异常时拒绝或回退。

题4

任务从一个边缘节点迁移到另一个节点时，至少要保存哪些信息？

参考答案：任务唯一编号、版本、目标、已完成步骤、当前状态、资源占用、设备和技能、输入数据、有效期、重试次数、补偿动作、权限和审计信息。涉及不可重复物理动作时，还要保存执行确认和现场状态。

十四、论文写作素材

论文可以围绕“边云协同架构在工业互联网中的应用”展开。正文先说明中心云无法满足现场实时和断网连续性，再分层描述端侧控制、边缘自治、区域协同和云端全局优化；随后写数据、模型、任务和运维协同，最后写一致性、安全和故障恢复。

可使用如下段落：

“本项目没有采用云端集中控制，而是按照闭环时延和业务风险划分端、边缘和云的职责。设备端负责采集、执行和安全互锁，边缘节点负责协议接入、实时分析、局部优化、缓存和区域调度，中心云负责模型训练、历史分析、跨区域优化和统一治理。数据通过统一模型、事件编号和质量码进行协同，控制策略携带版本、有效期和签名，并在边缘和设备侧根据当前状态再次校验。网络中断时边缘进入自治模式，超过有效期后采用保守策略；恢复连接后先同步实际状态和审计事件，再处理配置和任务冲突，从而保证系统既有全局能力又保持现场可控。”

十五、今日复盘

1. 边云协同是端、边缘、区域平台和中心云按时延、数据、资源、风险和全局性进行职责分工。
2. 协同包括数据协同、模型协同、任务协同和运维协同，不只是把数据传到云端。
3. 端侧保实时控制和安全，边缘保现场自治和区域协同，云端保训练、历史、全局和治理。
4. 任务和策略必须带版本、有效期、唯一编号和幂等语义，避免离线重放和重复执行。
5. 网络中断、节点故障和分区恢复时，要先保护现场安全，再同步状态和恢复全局协同。
6. 案例题要写清职责、数据流、控制流、状态权威、一致性、安全和故障恢复；论文要体现协同收益与代价。

本节的核心结论是：边云协同不是把云和边缘简单连接起来，而是建立一个有边界、有状态、有版本、有故障策略的分布式闭环。只有当现场能安全运行、中心能持续优化、恢复后能正确收敛，才称得上真正的边云协同。