WAPI无线专网解决方案：全栈国产化设备，为某部和电力行业构建端到端安全无线网络

一、时代背景与建设需求

随着数字化转型的深入，某部、电力等关键行业对无线网络的依赖程度日益提升。无论是某部营区的日常办公与战备训练，还是电力变电站的巡检作业与调度通信，无线接入的便捷性已成为提升工作效率和保障任务执行的关键支撑。

然而，传统Wi-Fi网络在安全性（WEP/WPA存在已知漏洞）、自主性（依赖国外标准与算法）和可控性（设备供应链安全隐患）等方面存在先天不足，无法满足等级保护和密码测评的合规要求。WAPI（无线局域网鉴别与保密基础结构）作为我国自主提出的无线网络安全标准，采用国产SM2/SM3/SM4密码算法，从协议层面解决了无线网络的身份认证和数据加密问题，是某部、电力等关键信息基础设施领域建设无线专网的必然选择。

我们基于全栈自研能力，推出了覆盖WAPI网络核心层、汇聚层、接入层和终端层的完整产品家族，为行业客户提供从证书签发管理、无线信号覆盖到末端数据采集的端到端安全无线解决方案。

二、WAPI核心基础设备：鉴别服务器AS与无线控制器AC

任何一张WAPI专网的骨架，都由两大核心设备共同构成——WAPI鉴别服务器（AS）和WAPI无线接入控制器（AC）。前者是整张网的“信任根”和“安全大脑”，后者则是所有AP和终端的“运维中枢”与“策略引擎”。

WAPI鉴别服务器（AS） 承担着整张无线网络的“信任根”职责。它全面符合GB 15629.11-2003及其第1号修改单XG1-2006标准要求，证书协议流程与数据格式完全合规。在密码体系上，AS采用SM2/SM3/SM4国产密码算法，证书采用X.509 V3格式，内置商密安全芯片用于根密钥与根证书的自主生成与存储。在证书管理方面，AS支持证书全生命周期管理，包括签发（符合PKCS#10标准）、查询（按序列号或持有者名称）、吊销（单张、批量、CRL发布）、更新与分组管理。在安全增强方面，AS支持“数字证书+MAC地址”双因子鉴别，仅开放UDP 3810端口，操作系统与中间件深度安全加固。在性能与可靠性上，AS鉴别性能达3200次/秒，证书容量20000张并可扩容，支持双机热备与双电源冗余（2×900W），确保核心鉴别服务7×24小时不中断。

WAPI无线接入控制器（AC） 则是整张WAPI网络的“运维中枢”和“策略引擎”。它支持IEEE 802.11 a/b/g/n/ac/ax全协议族，集中转发管理256个AP，本地转发管理512个AP。在接入能力上，AC整机接入用户数达8000个以上，转发性能达9.6Gbps，满足高密度终端并发接入需求。在运维管理方面，AC支持自动发现AP，基于MAC或SN的AP白名单（支持单张或批量设置），半自动或全自动上线模式，大幅简化大规模AP部署。在可靠性设计上，AC支持1:1双机热备，主备切换不超过500ms且业务不中断，保障战备级网络可靠性。在安全机制上，AC深度融合WAPI安全体系，支持远程安装AP的WAPI证书，支持证书认证与PSK认证双模式，支持基于全局AC或WLAN的用户隔离。此外，AC还具备射频模板管理、自动功率/信道/速率调整，以及离散、普通、密集等多种AP组布放类型管理能力，让无线运维从“手工调优”走向“智能自愈”。

部署位置：机房或数据中心，是WAPI专网的“大脑”与“心脏”。

三、无线信号接入层：室内全向AP、室内定向AP与防爆AP

有了核心层的管控，信号覆盖层决定了终端“能不能连得上、连得好不好”。针对不同室内环境和安全等级要求，我们提供三款差异化的AP产品。

WAPI室内全向无线接入点是常规室内覆盖的“主力机型”。它支持IEEE 802.11 a/b/g/n/ac协议，2.4/5GHz双频工作，整机速率达1200Mbps（2.4G 300Mbps + 5G 866Mbps），单用户传输速率不低于300Mbps。在国产化方面，产品硬件主要电子元器件全部采用国产物料，软件自主可控，搭载内置商密安全芯片用于证书和私钥的硬件存储。在环境适应性上，它支持-41℃~+85℃超宽工作温度，MTBF达50000小时以上，可从容应对某部营房、电力机房等各类室内环境。在覆盖能力上，产品采用内置2×2全向天线，发射功率23dBm，实现室内360°无死角覆盖，单AP支持64个以上用户并发接入。在安全防护方面，它支持无线入侵检测功能，包括非法AP和非法STA检测、攻击检测以及STA/AP黑白名单。值得一提的是，产品还内置了物联网扩展槽位，可支持4G/5G、Zigbee、RFID、Thread等物联网通信模组的按需选配，一机多能，面向未来。供电方面支持POE（满足802.3af/at标准）和DC 12V双供电方式，配备2个千兆网口（其中一个支持POE受电），部署灵活便捷。

WAPI室内定向无线接入点则是长条形空间和定向覆盖场景的“精准投射利器”。它同样支持双频1200Mbps速率和WAPI CERT/PSK双模认证，但在覆盖方式上与全向AP形成鲜明互补。它采用外置双口板状定向天线，最大发射功率高达27dBm（500mW），室内覆盖距离达70米以上。在接口配置上，它配备1个千兆以太网口（支持POE受电）和1个千兆SFP光口，支持光纤上联，可实现数百米至数公里的远距离有线回传。这款产品特别适合某部营房走廊、地下人防工程通道、电力管廊等长条形覆盖场景。高功率定向发射还能有效控制信号边界，减少向非授权区域的信号辐射，从物理层面增强涉密区域的无线安全性。产品同样支持WAPI CERT和WAPI PSK双模认证，兼容WEP、WPA、WPA2等国际通用安全协议，MTBF达50000小时以上。

防爆WAPI无线接入点是危险区域部署的“唯一合规选择”。它通过了国家防爆电气设备标准认证，同时满足Ex db ib IIC T4 Gb（气体防爆）和Ex ib tb IIIC T130℃ Db（粉尘防爆）双防爆等级，可安全部署于含有IIA、IIB、IIC类爆炸性气体及可燃性粉尘的危险场所。在环境适应性上，它达到IP67防水防尘等级，支持-41℃~+85℃超宽工作温度，具备1000V防雷等级，MTBF达50000小时以上，全天候野战可靠。硬件100%国产化，软件自主可控，内置商密安全芯片用于证书和私钥硬件存储。在覆盖能力上，它同样具备27dBm高发射功率，配合外置天线选配，可有效穿透弹药库厚重钢筋混凝土墙体。产品支持WAPI CERT和WAPI PSK双模认证，支持无线入侵检测功能，配备1个千兆网口（POE受电）和1个千兆SFP光口。此外还内置物联网槽位，可融合温湿度传感器、可燃气体探测器等物联网数据采集功能，将AP升级为危险区域的智能感知汇聚节点。这款产品广泛适用于某部弹药库、油料库、火工品存储区、野战油料补给站以及军械修理厂喷漆车间等爆炸性危险场所。

部署位置：室内全向AP部署于办公室、宿舍、会议室等开阔区域；室内定向AP部署于走廊、通道、管廊等长条形空间；防爆AP专用于弹药库、油料库、火工品区等爆炸性危险场所。

四、末端接入与数据采集：CPE终端与通信模块

大量“哑终端”和嵌入式设备需要通过WAPI网络接入，但它们往往自身不具备WAPI协议栈或其内部空间极为有限。为此，我们提供了两种不同形态的接入方案。

WAPI CPE终端是一款工业级无线网桥或网关设备。它在硬件层面实现了主要电子元器件国产化，软件自主可控，整体尺寸仅105×58×24mm，重量仅140g，整机功耗不超过3W。在安全能力上，它深度适配MPD318A型COB卡加密模块，可实现数据流的硬件级高强度加密，并配备独立销毁键，遭遇物理入侵时可一键触发证书和密钥的物理销毁。在通信性能上，它支持IEEE 802.11 a/b/g/n/ac/ax（Wi-Fi 6）协议，2.4/5GHz双频工作，连接速率最高达600Mbps×2。在漫游能力上，它支持无缝极速漫游，切换时间不超过50ms，切换后IP地址保持不变，IPsec加密数据链路和TCP数据链路均不中断。在环境适应性上，它支持-40℃~+85℃宽温工作，DC 5~36V宽电压输入并具备防反接保护，提供1个千兆以太网口和1个RS485工业串口，可灵活连接机器人、叉车平板、工控PLC等各类移动作业平台。

WAPI通信模块则是更为极致的嵌入式集成方案。它采用邮票孔超小尺寸设计，仅30×51×5.0mm，可内嵌于手持终端、平板电脑等设备的内部主板。模块搭载安全加固的嵌入式Linux操作系统，硬件元器件全面国产化，软件完全自主可控。在通信能力上，它支持IEEE 802.11 a/b/g/n/ac/ax（Wi-Fi 6）协议，2.4/5GHz双频工作，连接速率最高达286.8Mbps×2。在安全能力上，它同样适配MPD318A型COB卡加密模块，支持不大于50ms的无缝极速漫游，切换后IP地址不变，IPsec和TCP数据链路不中断。在环境适应性上，它支持-41℃~+85℃超宽工作温度。在接口方面，它提供USB、网口、UART、GPIO等多种物理接口，可灵活连接主控CPU，适配Android、Linux、RTOS等多种主机系统，极大降低了终端厂家的集成开发难度。

部署位置：CPE终端安装于机器人、叉车、工程车辆等移动作业平台上；通信模块内嵌于手持终端、平板电脑、专用设备的主板中。

五、专用作业终端：WAPI加密手持机与防爆型多功能手持机

对于需要人员随身携带、在库房或现场进行数据采集的作业场景，两款手持终端提供了不同安全等级的选择。

WAPI加密手持终端是某部智慧后勤与装备管理的“单兵数据中枢”。它搭载国产展锐8581e平台，配备八核处理器（1.6GHz），支持加装国产鸿蒙操作系统或安卓操作系统双选。内存配置为4GB运行内存加64GB存储空间，并支持Micro SD卡扩展至128GB。在交互体验上，它配备5.5英寸IPS高清触控屏（分辨率720×1440），带背光，前置500万像素加后置1300万像素摄像头，支持闪光灯和自动对焦。在安全能力方面，这款终端实现了双重COB卡加密保护：WAPI通信数据加密适配专用传输加密模块（COB卡封装形态），同时RFID读写数据加密适配专用RFID无源读写器密码模块（同样为COB卡形态），确保无线空中数据流和标签读写过程均受到国密算法保护。

在RFID识读能力上，它读距离达5米以上，写距离达3米以上，多标签群读速度达200个/秒以上，接收灵敏度优于-75dBm，协议同时符合GJB7377.1军用标准、GB/T 29768国家标准和ISO/IEC 18000-6C国际标准。在条码识读方面，它采用二维CMOS激光扫描引擎，支持一维条码、PDF417和QR等二维码、军用GM码以及符合GJB7365《网格矩阵码》的二维码，一维码识别速度达100次/秒以上，二维码识别速度达60次/秒以上。在环境适应性上，它达到IP65防护等级，工作温度-20℃~+55℃，储存温度-40℃~+70℃，配备7200mAh大容量电池，常温连续工作时间不低于7小时，待机达10天以上，MTBF达3000小时以上。

防爆型多功能手持机则专为弹药库、油料库等危险区域作业研制。它已通过国家防爆认证，可提供防爆测试证明，能够合法进入含有爆炸性气体或粉尘的危险场所内部作业。在核心配置上，它搭载国产八核处理器（主频1.6GHz），支持国产操作系统和安卓操作系统双选，配备4GB运行内存加64GB存储空间，并支持Micro SD卡扩展。在RFID识别安全方面，这款产品具备独特的密码卡插拔管控机制：插入军用射频识别密码卡后设备可正常读写射频标签内容，取出加密卡后设备则无法正确读写标签内容，即便设备遗失或被盗，缺少加密卡也无法获取标签内存储的敏感物资信息，从物理层面杜绝了涉密数据泄露风险。

RFID工作协议符合GJB7377.1军用标准和ISO/IEC 18000-6 TypeC国际标准。在条码识读方面，它内置高性能条码识读模组，支持Code128一维条码、QR和PDF417二维码、符合GJB7365《网格矩阵码》的二维码，条码识读角度达到Z轴360°、X轴45°、Y轴45°的大角度范围，无需刻意对准即可快速扫描。在通信能力上，它内置WAPI通信模块，支持COB卡形态的传输加密模块适配，危险区域内采集的涉密物资数据可通过WAPI网络实时加密回传。在交互配置上，它配备5.5英寸IPS高清触控屏（分辨率1440×720），前置500万加后置1300万像素摄像头，配备5600mAh电池，工作温度-20℃~+55℃，储存温度-40℃~+55℃，MTBF达3000小时以上，标配Type-C转USB转接头和Type-C转网口转换接头。

部署位置：WAPI加密手持终端适用于一般库房、营区、野外驻训等非防爆区域；防爆型多功能手持机专用于弹药库、油料库、火工品区等爆炸性危险场所。

六、全系列产品核心定位速览

核心层由WAPI鉴别服务器AS和WAPI无线接入控制器AC构成。AS专注于证书签发、鉴别与全生命周期管理，具备3200次/秒的鉴别性能、20000张证书容量，支持SM2/SM3/SM4国密算法和双机热备，部署于机房或数据中心。AC则专注于AP集中管理和策略下发，可管理512个AP、承载8000个用户，转发性能达9.6Gbps，主备切换不超过500ms且业务不中断，同样部署于机房或数据中心。

接入层由三款AP产品构成差异化覆盖。室内全向AP实现360°均匀覆盖，速率1200Mbps，支持国产化、-41℃~+85℃宽温、内置商密芯片和物联网槽位，适用于办公室、宿舍、会议室等开阔空间。室内定向AP实现长距定向精准覆盖，同样为1200Mbps速率，但发射功率达27dBm，覆盖距离70米以上，配备SFP光口，适用于走廊、通道、管廊等长条形空间。防爆AP则专为危险区域信号覆盖而设计，具备Ex db ib IIC T4 Gb和Ex ib tb IIIC T130℃ Db双防爆等级，IP67防护，-41℃~+85℃宽温，27dBm发射功率，适用于弹药库、油料库、火工品区等爆炸性危险场所。

末端接入层由CPE终端和通信模块构成。CPE终端适用于移动作业平台的无线接入，支持Wi-Fi 6、COB加密、不大于50ms漫游、-40℃~+85℃宽温、功耗仅3W，安装于机器人、叉车、工控PLC等设备上。通信模块则适用于嵌入式内植WAPI能力，采用30×51mm邮票孔超小尺寸，支持Wi-Fi 6、COB加密、-41℃~+85℃宽温，内嵌于手持终端和平板电脑的主板中。

作业终端层由两款手持机组成。WAPI加密手持机适用于非防爆区的数据采集作业，搭载国产八核处理器，RFID读距达5米、群读速度200标签/秒以上，IP65防护，7200mAh电池，用于一般库房、营区、野外驻训等场景。防爆型多功能手持机则专为危险区域数据采集而设计，已通过防爆认证，具备RFID密码卡插拔管控机制（插入可读写、拔出即失效），内置WAPI通信模块和COB卡加密，用于弹药库、油料库、火工品区内部作业。

七、行业典型组网架构

以某部营区加弹药库的综合场景为例，完整的WAPI专网组网架构呈现清晰的分层部署逻辑。

机房层：部署WAPI鉴别服务器（AS）主备双机热备和WAPI无线接入控制器（AC）主备双机热备。AS负责所有终端和AP的证书签发、鉴别与吊销管理，AC负责全网AP的集中管理、策略下发和用户接入控制。双机热备机制确保任何一台设备故障时业务无缝切换，满足战备级可靠性要求。

覆盖层：营区办公室和宿舍部署室内全向AP，实现人员日常办公和生活的无线覆盖。营区走廊和通道部署室内定向AP，实现长条形空间的精准信号投射，避免信号浪费和越界辐射。弹药库和油料库内部部署防爆AP，满足危险区域的防爆安全规范和WAPI覆盖需求。所有AP通过网线（POE供电）或光纤（SFP光口）上联至AC和核心网络。

终端层：官兵使用WAPI加密手持终端在一般库房和营区进行物资盘点与数据采集。进入弹药库和油料库等危险区域时，换用防爆型多功能手持机进行安全作业，插入RFID密码卡后即可正常读写涉密标签信息。移动作业平台如库房AGV机器人和叉车通过WAPI CPE终端接入网络。各类嵌入式专用设备则通过内置的WAPI通信模块实现原生WAPI能力，无需外挂任何无线网卡。

安全链路：AS签发的WAPI证书通过各终端和AP内置的商密安全芯片进行硬件级存储，确保证书和私钥不可被恶意读取或导出。空中数据流经MPD318A型COB卡加密模块进行国密算法加密，确保整张网络实现身份可信、数据密传、全程可控的安全目标。

八、核心价值总结

我们的WAPI全系列产品家族，以全栈国产化为根基，以国密算法为纽带，以场景化细分为设计原则，为某部、电力等关键行业客户提供了一站式的WAPI安全无线专网建设能力。

自主可控方面，从核心AS和AC到末端CPE和手持机，硬件元器件全面国产化、软件完全自主可控，彻底摆脱对国外芯片和操作系统的依赖，从供应链源头保障网络安全。

全栈合规方面，产品家族全面符合GB 15629.11系列国家标准、WAPI产业联盟技术规范、GJB军用标准及防爆电气设备安全规范，助力客户顺利通过等保、密评及行业专项检查。

场景全覆盖方面，从机房核心设备到室内信号覆盖，从长距定向覆盖到危险区域防爆部署，从移动作业平台接入到手持终端数据采集，一张网覆盖某部和电力全场景需求。

安全纵深方面，从AS的证书鉴别、AC的接入控制、AP的入侵检测，到终端的COB卡加密、商密芯片硬件存储、RFID密码卡插拔机制，构筑了多层次的主动防御体系。

高可靠设计方面，AS双机热备加双电源冗余，AC毫秒级主备切换且业务不中断，AP的IP67防护、宽温、防雷、防爆及50000小时MTBF，共同确保战备级网络可靠性。

面向未来演进方面，AP内置物联网槽位支持4G/5G、Zigbee、RFID、Thread等模组扩展，终端支持Wi-Fi 6（802.11 ax）协议，软件支持国产操作系统双选，为智慧营区、智慧变电站的数字化演进预留了充足空间。

九、结语

建设一张真正安全、自主、可靠的行业无线专网，需要的不是零散的设备堆砌，而是一套从核心到边缘、从软件到硬件、从常态环境到危险区域全面覆盖且深度协同的完整产品生态。

我们提供的WAPI端到端全系列产品，以统一的安全架构（WAPI加国密）、统一的管控平台（AS与AC协同）和统一的服务体系（全栈国产化加工业级可靠性），为某部、电力等行业客户提供了一站式的无线专网建设能力。无论您正在规划营区无线覆盖、弹药库智能化改造、变电站巡检无线接入，还是移动作业平台的数据回传，我们都能提供经过实战验证的成熟产品和解决方案。