（CWW）5G網絡作為我國“新基建”的代表，是經濟社會數字化、網絡化、智能化轉型的重要引擎。相比于以往的移動通信技術，5G具備超高帶寬、超低時延、超大規模連接的優勢，能夠面向豐富的垂直行業應用場景，提供高可靠、高可用、高靈活性的差異化服務能力，但5G傳統的通信模式尚不能完全匹配垂直行業的通信業務需求。

(資料圖)

傳統5G網絡不支持二層數據承載和局域網數據轉發，5G網絡若要滿足更多垂直行業業務需求，需疊加AR路由器、配置VPN/L2TP隧道等輔助方案，組網成本高、配置維護復雜，因此限制了5G在垂直行業的應用和發展。

為更高效地實現5G與垂直行業融合、降低組網復雜度、減少行業網絡的升級改造、滿足垂直行業終端即插即用和無感融合需要，打造行業定制、技術先進的5G局域網（5GLAN）增強方案十分必要。目前，3GPP R16標準的技術方案已初步滿足工業、電力等領域的局域網通信需求，但仍存在部分技術局限性，需進一步結合垂直行業的通信需求，開展相關的增強性技術研究。

5G局域網業務需求分析

隨著5G技術不斷深入千行百業，由5G網絡提供局域網通信的業務訴求明顯增多。尤其是在工業控制、電力能源、智慧樓宇等場景，要求5G網絡具備工業協議適配能力以及工業終端間的數據互通能力。

基于對行業用戶需求的理解，以及5G LAN技術可實現的業務場景，本文歸納并定義了三大5G局域網需求場景，并結合工業控制、電力能源、視頻采集等典型行業應用進行解釋和說明。

二層通信需求

二層通信需求主要指行業終端的業務上線、運行必須5G局域網技術方案分析通過二層協議參與才能完成。其中包括原有工業協議不具備TCP/IP協議棧、應用層數據直接承載于數據鏈路層的情況，也包括原有通信協議具備TCP/IP協議棧，但業務上線需要二層協議參與的情況。在傳統工業制造的工廠園區網絡中，基于二層協議的有線通信占據主要地位，各類接入終端設備也通常按照局域網接入方式進行設置，依賴于二層的廣播、組播協議開展協同工作。

以電力能源領域的配網差動保護業務為例，差動保護終端通過比較兩端或多端同時刻電流值(矢量)，實現故障狀態判定與快速隔離。該業務采用GOOSE協議通信，傳統GOOSE報文不具備標準的TCP/IP協議棧，應用層等高層協議數據直接承載于二層。這就要求終端間的通信方式能夠提供二層數據接入和通信能力。

終端互訪需求

終端互訪需求主要指在工業網絡中，業務終端之間實現直接互訪、互通和協作。其中包括兩個業務終端之間點對點的單播通信，也包括工業終端之間的多點組播與廣播通信。

以工業控制PLC為例，由于有線線纜的部署限制，設備之間的網絡連接只能采用串聯控制結構，即一條產線由主PLC控制整條產線中數個從PLC的機械控制及運動。其中主PLC與從PLC之間的通信采用工業電纜進行連接，一旦出現問題，后面串接的所有設備都會停止工作，影響主PLC與從PLC之間的通信穩定性，致使整個產線停機，而原有通信方式在此場景下生產效率也將受到影響。因此，想要通過5G網絡實現“剪辮子”，需要實現主從PLC之間的終端互通、互訪能力。

單網關、多終端地址管理與訪問需求

單網關、多終端地址管理和訪問需求主要指多個業務終端共用一個5G網關時，用戶需要對這些終端進行IP地址的靈活管理、分配和反向訪問。傳統5G在承載此類業務時，只能提供網關級的地址管理和訪問，無法提供CPE向的行業終端管理和訪問，需疊加DNAT轉換、后路由等復雜的輔助方案，因而組網復雜、維護成本高。

以視頻數據采集、安防攝像頭管理、電力高級計量為例，為實現5G網關的充分利用、降低成本并簡化組網，處于同一位置區域的多個數采、傳感設備可以通過同一個5G網關接入網絡，同時，隨著終端設備的智能升級，數采終端不僅進行單向的數據采集和回傳，也將接收控制面下發的管理控制信息，從而實現智能化管理。在這種需求場景下，數采終端的IP地址就需要能夠被靈活管理、配置和反向訪問。

5G LAN技術解決方案

5G LAN技術演進路線

2018年，5G LAN類型業務（5G LAN-type service）首次在3GPP SA1的業務需求研究中被提出，并在R16階段作為Vertical LAN項目的一項子課題進行基本功能定義，提出5G VN組（5G VN group）概念，從VN組管理、VN組會話管理、用戶面數據管理等方面制定多項關鍵技術能力，使一組UE通過5G系統實現了IP以及非IP類型數據的局域網接入和通信能力。5G LAN標準的演進如圖1所示，3GPP R17針對5G LAN的計費進行研究，提出了組管理事件計費方案并引入了新的CEF（Charging Enabling Function）；3GPP R18針對5G LAN的跨SMF組管理、組屬性管理、組狀態上報等方面進行了增強方案的研究與定義。R16標準技術解決方案依托于工業專網的總體組網架構，5G LAN技術通過UDM簽約管理層二或管理層三的5G VN組，并指定VN組成員，同時在UPF上為該組成員提供網絡接入。R16標準5G LAN技術架構如圖2所示。

圖1 5G LAN標準演進

圖2 R16標準5G LAN技術架構

在接入側，5G終端可以直接通過Ethernet類型的PDU會話或IP類型的PDU會話接入5G網絡。根據業務需求，不同的5G終端或CPE工業網關可以劃分在不同的組，5G LAN通過組管理能力實現不同組之間的數據通信隔離，同時實現組內終端點到點、點到多點的通信。

在網絡側，5G VN組可由內部組唯一的ID標識，通過UDM簽約方式進行組管理，指定一組用戶為5G LAN組成員。當5G LAN組成員發起PDU會話時，SMF從UDM下載用戶的組簽約信息，并根據組簽約管理相應的接入UPF，進行局域網通信管理。當多個UPF服務于同一個5G VN組時，UPF，之間可通過N19接口會話進行數據轉發。

1.二層數據承載傳統終端通信方案主要提供終端IP層數據的承載與通信，5G LAN支持5G VN組成員通過Ethernet的PDU會話接入，提供終端數據鏈路層的承載與通信。從協議棧角度來看，5G LAN技術方案對傳統5G方案進行了優化。

傳統PDU會話接入下，DN網絡只能感知到UE的IP層及以上的數據信息；在行業終端通過CPE網關接入組網下，DN網絡只能感知到CPE的IP信息。即在傳統5G通信模式下，服務端只能感知到末端網絡設備，若末端網絡設備再下掛額外設備則無法感知。IP與Ethernet PDU會話協議棧簡要對比如圖3所示。

圖3 IP與Ethernet PDU會話協議棧簡要對比

在Ethernet PDU會話接入下，DN網絡可以感知到UE的MAC層及以上的數據信息；在行業終端通過CPE網關接入組網下，DN網絡可以直接感知到CPE向行業終端中的MAC層及以上數據信息，類似于有線接入。即在5G LAN通信模式下，服務端可以感知到末端網絡設備，即使末端網絡設備再下掛額外設備也能夠感知。由此可見，5G LAN通過支持Ethernet PDU會話，實現了5G對行業終端數據更強的感知、承載和傳輸能力。

2.群組通信特性

傳統5G與5G LAN通信模式對比如圖4所示，傳統5G終端通信方案主要提供終端和服務器之間的數據承載與通信，5G LAN支持UPF采用雙檢測轉發機制，提供類似于以太交換機的數據處理與轉發功能，實現終端間的數據轉發，以滿足單播、組播、廣播的通信需求。

圖4 傳統5G與5G LAN通信模式對比

在傳統5G網絡中，UPF僅處理終端與DN網絡之間的上行與下行數據轉發，終端與終端的通信依賴于DN網絡側的服務器；在5G LAN網絡中，UPF通過檢測終端的目的地址并添加路由，在傳統上、下行數據轉發的能力之上，實現單UPF、跨UPF的終端間互通能力。

R18技術演進增強

3GPP R18主要在5G的VN組屬性管理、VN組狀態上報、VN組能力開放、跨SMF VN組通信等方面進行了增強方案研究。

VN組屬性管理：基于3GPP R17定義了服務區限制、LADN以及空間有效性，5G VN組管理參數中增加了服務區信息，并進行增強組服務區管理。

VN組狀態上報：將VN組成員的UE可達性、PDU會話狀態、區域內用戶數等事件，通過5GC現有的通知機制上報給AF。

NEF能力開放架構：允許第三方發起對VN組成員的流量與性能監控，實現對5G VN組成員的流量特征以及性能的監控。

跨SMF的VN組通信：將單SMF的VN組管理擴展到支持SMF set的VN組管理，實現多SMF，更具可靠性。對于跨SMF set的VN組通信，支持靜態UPF連接并且實現互聯互通。

相同報文發送至多個5G VN組：通過定義一個會話多個QoS Flow、多個會話等方式，實現相同報文通過不同的QoS，同時發送到不同的5G VN組或者同一5G VN組內不同的組播組。

5G LAN技術解決方案分析

R16技術能力優勢分析

5G LAN在二層協議上的數據接入能力和UPF上的終端間數據轉發能力，使該技術具備了基礎通信更便捷、IP地址易于維護、單網關無感接入多業務終端、簡化組網等優勢。

1.基礎通信更便捷

5G LAN技術的局域網通信能力，既可以實現傳統終端到DN網絡的通信，又可以實現多方向的數據通信，包括終端到內網互訪，終端間層二和層三互訪，跨區域終端層二和層三互訪，終端組內層二廣播、多播和終端組內層三廣播和多播場景的通信。5G LAN技術使基礎通信更便捷如圖5所示。

圖5 5G LAN技術使基礎通信更便捷

與傳統5G通信能力相比，5G LAN技術方案在基礎通信能力方面具備多項優勢，如表1所示。

表1 傳統5G與5G LAN技術方案對比

2.IP地址易于維護

傳統5G網絡中，終端一般由SMF/UPF動態分配IP地址。在部分情況下，為實現行業用戶的固定IP需求，運營商需在UDM/AAA上為5G終端固定IP地址。此外，還需額外部署AAA服務器，且業務終端的調整或IP重分配都需要運營商與行業用戶協同管理。

5G LAN技術使IP地址易于維護如圖6所示。5G LAN技術提供的二層數據接入能力，使運營商僅需提供二層數據接入，不同于傳統5G，還需為終端分配IP地址。運營商網絡不感知三層IP，企業可自主配置三層網絡。例如，用戶可通過自身DHCP服務器實現動態IP地址分配，或在行業終端上本地配置三層網絡。二層數據接入能力幫助企業實現了獨立的業務部署、業務調整、終端設備和CPE的靈活組合。

圖6 5G LAN技術使IP地址易于維護

3.單網關無感接入多業務終端

為減少端側5G網關數量、降低成本，單網關存在接入多個行業終端的情況。當用戶同時存在終端的反向訪問、管理需求時，傳統5G網絡需采取疊加后路由、DNAT轉換等方案，配置復雜且維護成本高。

單網關無感接入多業務終端如圖7所示。5G LAN技術提供的二層數據接入能力可將原有的第三層數據承載轉變為第二層數據承載，網絡對IP層無感知，用戶可按需在網關后側隨時添加業務終端，類似于有線網絡自主靈活管理、訪問業務終端IP，CPE即插即用，實現大量終端組網部署。

圖7 利用5G LAN技術實現單網關無感接入多業務、終端

R16技術能力局限性分析

5G LAN創新方案為5G無感網絡融入垂直行業提供了多項能力優勢，已基本滿足垂直行業對局域網通信的業務需求。然而，第一個版本的5G LAN技術方案在容災、安全等方面仍存在局限性，有待進一步提升與增強。

1.V N組與切片和DN N 1:1綁定

3GPP R16限定：一個“切片+DNN”的組合，只能關聯一個5G VN組，即不同的5G VN組必須分配專用的“切片+DNN”進行區分，這在大規模應用和部署中會造成以下兩方面問題。在運營方面，行業用戶每增加一個5G VN組，都需要開通新的“切片+DNN”，這增加了5G VN組的運營管理復雜度，難以在行業用戶側打通靈活的VN組管理通路。在資源消耗方面，每一個5G VN組將消耗運營商的一個“切片+DNN”資源。以電網配網差動保護和分布式FA為例，基于當前行業用戶需求，每2~3臺配網差動保護終端、每5~20臺配網分布式FA終端均需分配一個5G VN組。在規?；瘧脠鼍跋拢粋€地級市的配網終端保守估計在萬臺以上，當前的協議限定將極大消耗運營商的“切片+DNN”資源。

2.單SMF管理無容災能力

3GPP R16限定一個5G VN組必須由同一個SMF進行統一管理，因此在單SMF發生故障的情況下，5G VN組業務將全部掉線，無法接入和運行。

3.終端安全風險UPF

直接對終端發起的數據進行轉發處理，不經過DN網絡側防火墻、服務器等其他安全設備和處理網元的檢測處理，在終端故障或被攻擊的情況下，5G LAN的組網方案可能會產生不可控的數據風暴和信令沖擊。

4.環路安全風險

3GPP標準5G LAN方案通過N19接口的精準數據轉發、Outer Header接口數據標識等方式，防范了多UPF之間的環路問題，但由于DN網絡的不可控以及組網的不可控，仍存在以下兩種場景的環路風險。

一是人為連線造成的環路風險?？赡茉斐傻腘3+N3環路、N3+N 6環路風險如圖8所示，當端側的交換機接入兩個CPE之后，可能在UPF、CPE1、C P E 2、LS W 1之間產生N3+N3環路風險；同時端側交換機與DN網絡側交換機互聯后，也可能存在N3+N6的環路風險。

圖8 N3+N3環路及N3+N6環路風險

二是N19引入后造成的環路風險?？赡茉斐傻腘3+N19環路、N6+N19環路風險如圖9所示，當服務于同一個5G VN組的兩個UPF之間開啟N19，端側的交換機接入兩個CPE并分別接入不同的UPF，那么在UPF1、UPF2、CPE1、CPE2、LSW1之間可能產生N3+N19環路風險；同時兩個UPF均通過交換機接入DN網絡，且兩側的DN網絡通過交換機互通，那么在DN、UPF1、UPF2之間也可能產生N6+N19的環路風險。

圖9 N3+N19環路、N6+N19環路風險

5G LAN增強方案研究與部署建議

針對當前R16 5G LAN技術存在的局限性，3GPP R18由于研究項目排期等問題，并未開展針對性研究。結合當前行業應用的緊迫性，本文提出下列增強方案和部署建議，以解決當前技術局限性，使5G LAN可規模化應用。

精簡化5G VN組方案

從行業需求角度來看，部分典型5G VN組需求顆粒度小，組通信僅存在于VN組通信終端之間，組通信需求與DN網絡無關。例如在電力配網領域，電力配網差動保護和智能分布式FA雖然同時存在橫向的組通信需求和縱向的DN通信需求，但這兩種通信流量完全不同。橫向通信主要用于傳輸基于層二通信的SV和GOOSE協議，這部分組通信數據并不需要與DN側互通；縱向通信是基于IP層的三遙業務，實現終端到服務器的數據通信。

考慮組通信流量與DN網絡無關的這一業務通信特征，以及VN組與切片和DNN的綁定限制，本文提出一種精簡化的5G VN組方案，如圖10所示。

圖10 精簡化5G VN組方案

SMF從UDM/UDR獲取VN組的簽約信息，根據組簽約信息中的精簡化標識，指示UPF針對上行的組流量和非組流量進行分流。另外，將需要進行組通信的部分流量送到5G LAN的處理單元（VN internal）進行數據轉發，將其他的數據直接傳送到DN網絡側。

如此，不僅實現了組通信流量與DN解耦，也實現了VN組與DNN解耦。這樣的精簡化VN組在雙UPF組網下，消除了DN網絡的不可控性，實現了無環路風險的N19互聯組網。

單SMF容災冗余方案

在3GPP R18的增強演進中，定義了5G VN組可以通過SMF Set的方式實現多SMF的可靠性冗余。即服務于同一個5G VN組的SMF Set，其內部的每一個SMF可以共享與5G VN組（DNN+S-NSSAI）關聯的上下文信息。上下文信息包括了N19配置、5G VN組成員建立的PDU會話列表等內容，可實現多SMF的容災和冗余機制。

目前，國內運營商網絡尚不具備采用SMF set方式實現多個SMF管理同一個5G VN組的能力，因此本文提出一種可行的增強技術方案——單SMF容災冗余方案，如圖11所示。

圖11 單SMF容災冗余方案

單SMF容災冗余方案可在入駐式的雙UPF部署基礎上，通過SMF的切片/DNN配置，使2個或多個SMF可以服務于同一個5G VN組，每個SMF都可以管理5G LAN組所涉及的所有UPF。同時，UPF可接收多個SMF發送的VN組管理消息，并針對不同SMF下發的同一個5G LAN組會話的轉發表項在系統內進行統一匯聚和管理。在某一個SMF發生故障的情況下，VN組用戶重新激活其他可用的SMF，VN組業務即可恢復。

安全風險防范建議

針對終端故障、被攻擊情況下產生的終端安全風險，本文建議可采用以下3類技術方案進行防范。

1.MAC地址綁定

為防止非法、惡意終端接入5G CPE并進行網絡攻擊，MAC地址綁定方案建議在5G CPE設備上配置可信MAC地址，將CPE與行業終端MAC地址進行綁定，非可信MAC地址發來的數據在CPE設備上丟棄，進而實現CPE南向接入終端的訪問控制。

2.組播、廣播限速

組播、廣播限速方案建議在用戶會話粒度、組粒度、接口粒度方面進行數據限速。其中，在用戶的會話粒度上，傳統的QoS機制可防范過量發送數據報文造成的網絡負荷過高；組粒度、接口粒度的限速可以在SMF/UPF進行相關配置，防止組播、廣播風暴造成網絡設備過載。

3.控制轉發范圍

控制轉發范圍方案建議通過靜態的組播配置、IGMP Snooping的動態組播管理，實現精準的組播報文轉發，同時通過UPF的ARP代理能力，減少空口的廣播數據轉發，控制廣播范圍。

針對人為錯誤連線、N19組網造成的環路安全風險，建議在組網規劃過程中，防范以下3種組網方式。其一，防止端側交換機接入兩個或多個5G LAN CPE。其二，盡量選擇單UPF的Local Switch組網方案，在雙UPF均服務于同一個5G VN組且均接入DN網絡的組網下，不建議開啟N19接口，可通過N6疏導不同UPF下終端之間的互通流量。其三，防止端側交換機與DN網絡內的交換機互聯。

結語

隨著數字化轉型大潮的到來，5G作為新一代通信技術，其高速率、低時延、海量連接的特點，將全面賦能垂直行業數字化轉型升級。為實現“5G+工業”的新應用、新業務不斷深入拓展，秉持“無感融合、靈活建群”的設計理念，5G局域網技術能夠打破傳統終端到服務器的通信模式，通過為行業終端“建群”，實現群組內層二/層三廣播、單播通信以及5G與工業網絡的組網融通，在工業控制、電力等工業互聯網領域具有廣泛的應用前景。本文通過對標準技術方案的闡述和分析，結合實際部署應用需求，提出了單SMF容災、精簡化5G VN組等創新解決方案和部署建議。未來，面對更加豐富多樣的業務需求，運營商應持續完善技術方案，推動端到端產業成熟，助力5G融入千行百業的數智化轉型與升級。