API网关在工业数据平台中的角色，与消费互联网有本质差异。消费互联网的网关面对的是高并发用户请求，工业场景面对的是异构设备协议、OT/IT双重安全域、以及产线级实时性约束。网关不再是简单的反向代理，而是协议适配层、安全边界和流量治理的复合组件。
南向与北向：两种API形态
工业平台的API流向是双向的，且两端协议栈完全不同。
南向API处理设备到平台的数据接入。设备侧协议碎片化严重——OPC UA（IEC 62541）是过程控制领域的事实标准，MQTT是物联网轻量协议，Modbus RTU/TCP在 legacy 设备中大量存在，Profinet和EtherNet/IP在运动控制场景占主导。网关需要在这层做协议终结：将不同协议的设备数据归一化为平台内部数据模型，统一打标、统一存储。
南向API的关键设计是连接管理。OPC UA的订阅模型（Subscription）与MQTT的发布订阅模型在语义上类似但实现差异大。OPC UA Subscription基于Server端定时推送，采样间隔和队列大小需在网关层统一配置。MQTT的QoS级别（0/1/2）决定了是否需要确认和重传，网关需根据设备类型选择QoS——高频振动数据用QoS 0（丢就丢），控制指令用QoS 2（确保一次送达）。
北向API处理平台到应用的数据服务。应用侧主要是REST API和GraphQL。REST API适合设备数据查询（GET /devices/{id}/metrics）、控制指令下发（POST /devices/{id}/commands）。GraphQL在聚合查询场景有优势——一个产线大屏需要设备状态、告警列表、产量数据，GraphQL允许客户端声明所需字段，网关聚合多个后端服务返回，减少网络往返。
WebSocket用于实时数据推送。设备数据变化时，网关通过WebSocket推送给前端大屏或分析服务。与MQTT的区别在于：MQTT是设备到平台的传输协议，WebSocket是平台到应用的传输协议。两者在网关处汇合——网关从MQTT/OPC UA订阅设备数据，经处理后通过WebSocket推送给应用。
认证授权：三重身份体系
工业平台的身份体系比消费互联网复杂，因为存在设备、用户、应用三类主体，且安全域不同。
设备认证采用证书或Token。X.509证书是OPC UA的标准认证方式，设备在接入时提交证书，网关校验CA签名后建立安全通道。MQTT支持证书认证和用户名/密码认证，生产环境推荐证书+Token双因素——证书建立TLS通道，Token做应用层鉴权。设备Token通常采用JWT格式，包含设备ID、权限范围、过期时间，签名算法用RS256（非对称密钥，公钥可安全分发）。
用户认证遵循OAuth 2.0/OIDC框架。工业场景的用户角色分层明显——操作工只能看本产线数据，工程师可查看全厂数据但不可下发控制指令，管理员有完整权限。OAuth 2.0的Scope机制适配这种分层：read:line_A、write:control、admin:system等Scope在Token签发时限定。
API Key管理用于服务间调用。第三方系统（MES/ERP）通过API Key访问平台数据，Key绑定到应用而非用户，权限范围固定。API Key的存储需加密（AES-256-GCM），传输只在Header（X-API-Key），不出现在URL参数中。Key轮转策略要求定期更换，旧Key在宽限期后失效。
认证方式 | 适用主体 | 安全等级 | 工业场景适配 |
X.509证书 | 设备 | 高 | OPC UA/TLS标准认证 |
JWT Token | 设备/服务 | 中 | 轻量鉴权，适合资源受限设备 |
OAuth 2.0 | 用户 | 高 | 多角色权限分层 |
API Key | 应用/服务 | 中 | 服务间调用，权限固定 |
流量控制：从限流到熔断
工业平台的流量控制不是简单设QPS阈值，需要区分数据面和控制面。
数据面流量（设备数据上报）通常是高频稳态流量，限流策略以容量保护为主。当设备接入数突增（新产线上线），数据上报QPS可能超出后端处理能力。令牌桶算法（Guava RateLimiter / Sentinel）在网关层对每设备或每产线维度限流，超出部分缓冲到消息队列而非直接拒绝——工业数据丢不得，缓冲比拒绝更合理。
控制面流量（API调用）需要更精细的控制。QPS限流按API路径设置不同阈值——设备状态查询允许1000 QPS，控制指令下发限制在50 QPS（控制操作本身低频但影响大）。并发限制防止慢查询拖垮后端，单API最大并发100，超出的请求排队等待。
熔断降级是后端故障时的保护机制。当存储服务响应时间超500ms持续10秒，网关自动熔断该API路由，直接返回降级数据（缓存值或默认值）而非等待超时。Sentinel的熔断策略支持慢调用比例熔断（RT阈值+比例阈值）和异常比例熔断（异常比例阈值），两者配合使用——慢调用保护延迟，异常比例保护可用性。
API版本管理
工业平台的API版本演进需要兼顾新功能迭代和旧系统兼容。工厂里跑的SCADA系统可能5年不升级，其对接的API版本必须持续可用。
URL路径版本（/api/v1/devices → /api/v2/devices）是最直观的方案。v1和v2可同时部署，通过路由规则分流。新功能在v2发布，v1冻结只修Bug。路径版本的缺点是版本膨胀——三年后可能有v1到v5同时在线，维护成本递增。
Header版本（Accept: application/vnd.platform.v2+json）不改变URL，通过Content Negotiation选择版本。适合微小变更（字段增减、格式调整），不适合不兼容变更。
灰度发布结合版本管理实现渐进迁移。新版本API先对10%流量开放，验证无异常后逐步扩大。灰度规则按租户（先A工厂再B工厂）或按设备类型（先温控设备再压力设备）划分，确保问题影响范围可控。
协议适配层的工程实现
网关的协议适配不是简单翻译，涉及数据模型转换和语义保持。OPC UA的信息模型是层次化的（Server→Folder→Node），Node ID携带命名空间（Namespace Index）。MQTT的Topic是扁平路径（factory/line_A/device_01/temp）。两者之间的映射需要在网关层维护一份配置表——OPC UA Node ID → MQTT Topic的对应关系，新设备接入时自动生成映射。
数据格式转换同样需要处理。OPC UA的数据类型包括Boolean、SByte、Int16、Float、Double、String、DateTime等，MQTT payload通常用JSON或Protobuf。网关层做类型转换时需注意精度——OPC UA的Float（32位）转JSON的Number（双精度）可能引入精度差异，对控制精度要求高的场景需用String保留原始值。
TDengine作为AI原生工业数据平台，原生提供RESTful API和MQTT直连能力。设备数据可通过MQTT直接写入TDengine，无需经过额外网关层中转，减少了网络跳数和延迟。RESTful API支持SQL查询，应用侧直接通过HTTP接口获取数据，网关层只需做认证和限流。这种架构简化了网关职责——网关不再是协议转换瓶颈，而是专注于安全治理和流量控制。
结语
API网关在工业互联网平台中的定位，正在从"统一入口"向"协议适配枢纽"演进。南向多协议终结、北向多形态服务、三重身份认证、数据面与控制面差异化流控——每一层都需要贴合工业约束的工程设计。
版本管理不是技术偏好问题，是工厂系统生命周期管理的现实约束。一个网关架构能否支撑5年以上的API向后兼容，决定了平台的工程寿命。在协议适配层面，原生支持多协议直连的数据平台可以有效压缩网关层的职责范围，让网关回归安全与治理的本质职能。
