1. 先搞清楚一件事产线 MES 终端不是普通电脑1.1 MES 终端的实际角色做项目实施的人都知道MES制造执行系统夹在 ERP 和现场设备之间管的是生产执行层面的工单派工、工序报工、物料领用、质量检验、设备点检这些事。而 MES 终端就是操作工在产线上点鼠标、扫码枪、刷卡、看工单的那台机器。主流形态大概有几种Windows 工控机、安卓一体屏、瘦客户机加虚拟化平台比如现在不少厂在推的国产终端虚拟化方案以及直接运行在国产 Linux 发行版上的客户端。不管哪种形态它的使用环境都是三班倒、连续开机、灰尘油污不断的车间而不是空调恒温的办公室。这个定位决定了它的系统设置思路和办公电脑完全不同。办公电脑坏了员工可以换一台最多耽误半天产线终端坏了往往就是整条线停线等系统恢复停线一分钟的代价是以千、以万计数的。所以MES 终端的设计目标不是配置得漂亮而是无人值守也能稳定运行三年。1.2 为什么装好客户端不算完我见过太多项目软件实施团队把 MES 客户端装好、连上服务器、测试通过就觉得大功告成。结果上线一周内各种神奇问题陆续出现系统半夜自动更新重启早班开班全体等开机DHCP 租约到期终端 IP 变了MES 客户端连不上服务器屏保锁屏密码没人知道夜班人员干瞪眼扫码枪扫一次跳两行因为输入法是中文状态回车带了两次屏幕休眠后鼠标键盘唤不醒只能强制断电重启这些问题没有一个和 MES 软件本身有关全部是操作系统层面的设置没做好。客户端装好只是起点系统设置才是决定终端能不能在产线稳定活下来的关键。下面我把这些年踩过坑之后沉淀下来的上线前必做设置完整列出来照着做能省掉 80% 的现场救火。2. 开机到进系统的这三十秒决定全天顺不顺2.1 自登录少一次登录就少一次停机产线操作工大多不是 IT 人员让他们每天开机输密码、点登录不但增加时间成本而且密码一旦忘了、键盘切到中文输错就是一次报修工单。更麻烦的是如果终端加入了域域密码过期、账户锁定整个工位直接瘫痪。正确做法是在终端上配置开机自登录让系统启动后自动进桌面并让 MES 客户端跟随开机自启。Windows 系统可以用两种方式第一种图形化操作WinR输入netplwiz取消勾选要使用本机用户必须输入用户名和密码输入账号密码即可。这个方法在部分 Windows 10/11 版本上选项会被隐藏此时用注册表方式更可靠。第二种注册表方式在HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon下配置AutoAdminLogon1 DefaultUserNamemesuser DefaultPassword你的密码 DefaultDomainName AutoLogonCount1注意AutoLogonCount是可选键如果设了系统会在指定次数后停止自登录生产终端一般不要设。另外要提醒自登录账号密码如果被后续的 Windows 更新或安全策略重置自登录会静默失效表现为终端重启后停在登录界面。所以上线后每周巡检时要顺带确认一次自登录仍然生效。MES 客户端的自启动也一样重要。常见做法是把客户端快捷方式放进启动文件夹或者注册成 Windows 服务Service后者更稳但要求 MES 客户端支持以服务方式运行且有对应的配置。如果客户端不支持至少要在启动文件夹里放快捷方式并确认客户端启动后自动跳到连接界面、自动重连服务器而不是停在手动登录窗口等操作工点按钮。安卓一体屏终端则更简单在系统设置里关闭开机锁屏、关闭 PIN 验证并将 MES 应用设为桌面应用Launcher开机直接进入工位界面。这里有一个经常被忽略的点很多安卓终端默认 5 分钟后自动锁屏产线场景要关掉或者用系统设置里的常亮模式Stay Awake加插入的电源模式管理。2.2 电源策略产线终端最怕休眠和屏保办公电脑可以 10 分钟关屏、20 分钟睡眠省电产线终端绝对不行。休眠后唤醒失败、网络连接恢复慢、扫码枪 USB 设备需重新枚举——每一个都是停线隐患。Windows 下用管理员权限执行以下命令一次性把电源计划调到永不休眠powercfg /change standby-timeout-ac 0 powercfg /change standby-timeout-dc 0 powercfg /change hibernate-timeout-ac 0 powercfg /change hibernate-timeout-dc 0 powercfg /change monitor-timeout-ac 0 powercfg /change monitor-timeout-dc 0把monitor-timeout也设为 0是因为有些 MES 界面需要连续被值班人员瞟一眼确认状态比如看板界面、异常报警弹窗屏幕灭了会影响巡视效率。如果车间考虑液晶屏寿命可以单独设置 15~30 分钟关屏但一定不要设置休眠和锁屏。屏保这一项我见过最坑的案例前任 IT 给终端设了个屏保时间 10 分钟并且勾选了恢复时需要登录密码。结果三个月后夜班工人在凌晨 2 点用不了电脑因为没人知道那个屏保密码是什么。最后整个工位停线直到 IT 到现场强制重启。所以要么直接把屏保设为无要么就只保留纯画面屏保、绝对禁止勾选在恢复时显示登录屏幕。2.3 更新管控让 Windows Update 闭嘴但不彻底关死产线终端被 Windows Update 半夜重启算是 MES 实施圈里段子级的经典事故。Windows 10/11 专业版在默认状态下会自动下载并安排重启时间经常落在凌晨 3 点——正好是夜班生产时间。对策分两步第一步在组策略里把自动更新改为只通知、不自动下载安装。运行gpedit.msc进入计算机配置 - 管理模板 - Windows 组件 - Windows 更新 - 配置自动更新设置为已启用选项选2 - 通知下载并通知安装。第二步禁用更新重启。如果已经安装了更新系统会在非活跃时段调度重启可以用组策略对于已登录的用户不自动重新启动来兜底。更彻底的做法是禁用 Windows Update 服务Wuauserv和 Update Orchestrator Service但这样会有安全风险。我个人建议是产线终端保持通知但不装由 IT 在每月固定的停产窗口比如月末保养日集中补丁。这样既不会半夜重启也不会长期裸奔。同时建议把系统活动时间Active Hours设置为覆盖整个三班倒时间比如 00:00 到 23:00进一步压缩系统主动重启的窗口。这个设置可以在设置 - Windows 更新 - 高级选项 - 活动时间里改。3. 网络、时间、主机名三个看不见却决定生死的设置3.1 静态 IP 还是 DHCP我的答案很直接很多网络管理员习惯用 DHCP觉得省事。但在产线场景我强烈建议 MES 终端使用静态 IP并建立 IP 台账。原因很朴素DHCP 租约默认 8 天一旦核心交换机或 DHCP 服务器重启、租约数据库异常、地址池被占满终端拿不到有效 IPMES 客户端就断了。排查为什么连不上服务器的时候你首先要排除的永远是 IP 层。静态 IP 虽然管理起来烦一点但排障路径最短ping 不通就是网线、交换机、网卡的问题三层通了再看业务端口。终端 IP 规划时要注意几点划一个独立的 VLAN 给 MES 终端不要和生产设备、办公电脑混在一起既安全又方便批量管理每个工位的 IP、MAC、位置、设备型号登记台账贴一张标签在终端背面如果网络里有 DCS、PLC 等工业设备注意不要把 MES 终端静态 IP 落在工业设备的保留段DNS 填写内网 DNS 或直接填写 MES 服务器的 IP避免依赖外部 DNS 导致域名解析慢既然说到环境变量也顺便提一句如果 MES 客户端依赖 Java 运行时、ODBC、第三方组件系统环境变量JAVA_HOME、PATH等必须在部署文档里明确写死不能每台机器临时配。因为现场实施时往往是一个人配一台手一抖下一台就配错了版本。环境变量这类设置必须写进部署清单逐台勾选。3.2 时间同步MES 数据追溯的隐形命门MES 的核心价值之一是可追溯工序报工、检验记录、设备点检都要打时间戳。如果终端时钟和服务器差了几分钟甚至几个小时会出现一个很诡异的现场产品已经完成了报工但追溯查不到或者在制品序列跨工序的时间线乱掉品控根本没法看。产线终端的时间同步不要在终端上手动校准要配 NTP 服务器自动同步。Windows 下用命令w32tm /config /manualpeerlist:192.168.1.10,0x1 /syncfromflags:manual /update net stop w32time net start w32time w32tm /resync这里的192.168.1.10换成公司内网 NTP 服务器地址或者直接指向 MES 服务器很多服务器都兼任时间源。设置完用w32tm /query /status验证源服务器和上次同步时间。还有一个更容易被忽略的时间同步完不代表时区正确。确认每台终端的时区是(UTC08:00)有些设备出厂默认 UTC 时区导致日志时间比本地时间差 8 小时数据时间戳全错。安卓终端也一样在系统设置 - 日期和时间里打开自动确定日期和时间、自动确定时区并确认时区为东八区。3.3 防火墙、hosts 与端口连通性先测透再上线终端连不上 MES 服务器80% 是因为防火墙或端口问题。客户端装了服务也起了但服务器监听的是 8080、1433、1521 这类端口终端防火墙默认全拦客户端连不上界面上只报一个笼统的无法连接服务器。部署时统一用命令验证关键端口Windows PowerShellTest-NetConnection 192.168.1.10 -Port 8080Linux 终端用nc -vz 192.168.1.10 8080如果 MES 应用服务器、数据库服务器是分开的把涉及的端口全部列成一张表逐台逐端口验证。这样实施时不会漏。另外一个小技巧在终端 hosts 文件Windows 的C:\Windows\System32\drivers\etc\hosts、Linux 的/etc/hosts里预写入 MES 服务器的 IP 与主机名映射。这样就算 DNS 服务器临时抽风MES 客户端解析服务器主机名也不会失败。特别是在 Linux 终端上DNS 配置不当时解析慢的问题很常见hosts 文件一写立竿见影。4. 工位外设与显示扫码枪、打印机、看板屏的一次到位4.1 扫码枪一个回车或多个回车的问题扫码枪在 MES 工位上几乎是标配但它的坑比想象中多。最经典的故障就是扫一次跳两行或者扫出来的条码第一位丢了。先说跳两行。扫码枪本质上是模拟键盘输入扫完条码后发送一串字符再带一个后缀。工厂里常见的扫码枪默认后缀是回车换行CRLF在某些 MES 文本框里回车被当成确认提交多个回车或者回车时序不对就会出现界面多跳一步或者重复提交。解决方法是把扫码枪的后缀改为只发送一个回车CR具体在扫码枪的配置手册里用配置码Setup Code扫描修改。多数主流品牌比如斑马、霍尼韦尔、新大陆都有仅追加 CR仅追加 LF之类的配置条码扫一下就行。再说第一位丢失。这个坑十有八九是中文输入法惹的祸。扫码枪模拟键盘输入时如果系统当前输入法是中文第一个字母会被输入法吃掉或者被转换成拼音组合导致条码不完整。对策是把 MES 终端操作工账号的默认输入法设为英文需要输中文时手动切换。Windows 里可以在设置 - 时间和语言 - 语言 - 键盘中把 English (US) 键盘上移到首位并将中文输入法的默认模式调整为英文。此招同样适用于刷卡器、键盘输入的场景。4.2 打印机默认打印机、脱机恢复与驱动版本MES 工位常见两类打印标签打印斑马、TSC、佳博等条码打印机和联单、单据打印针式或热敏。部署时先确认默认打印机正确这个不起眼的设置能坑死人——工位上的操作工点打印结果打到了隔壁线的打印机会引发物料标签贴错的质量事故。标签打印机的驱动设置里有两点必须提前调好标签尺寸和介质类型在驱动首选项里设置好标签纸规格、间隙传感器类型、打印浓度不然首张打印位置偏移是常态默认撕纸、切纸模式连续打印时如果模式不对标签会中间断张贴标机扫码率直线下降还有打印机脱机问题。网络打印机如果一段时间不用会进入脱机状态工位操作工不懂怎么恢复又是报修。可以在系统服务里确认打印后台服务Print Spooler为自动启动并且不要在调试时手动停掉服务后忘记重启。另外多台终端共享一台网络打印机时尽量保证各终端的打印机驱动版本一致驱动版本混乱会导致某些终端打印乱码。我之前还遇到过一种情况MES 客户端以 Windows 服务方式运行时服务账号没有打印机访问权限导致服务里触发的打印任务全部静默失败。这个问题排查起来特别隐蔽因为手动打开客户端测试打印是好的一自动跑就失败。解决办法是给服务运行账号授予对应打印机的权限或者在服务属性里确认账号有权限。4.3 显示缩放与 DPIC# 老客户端的经典翻车点MES 圈里有个高频问题MES 看板是不是用 C# 开发的——因为很多 MES 的桌面客户端确实是 C#/WinForms 写的而这些老程序的界面是固定像素设计的对高分屏的 DPI 缩放适配很差。具体表现界面元素错位、下拉框点不中、按钮被裁切、字体发虚。一般发生在 1920x1080 分辨率、Windows 缩放设置为 125% 或 150% 的机器上。产线工控屏如果是 1366x768 或 1024x768 的老分辨率反而没有这个问题。解决办法有三个层级首选在 MES 客户端程序的兼容性设置里勾选替代高 DPI 缩放行为缩放执行应用程序让程序按自己的像素渲染不跟随系统缩放如果程序没有兼容性选项生效尝试在程序 EXE 的同目录下添加app.manifest声明 DPI 感知还不行就把系统缩放级别固定为 100%用低分辨率或自定义缩放适配老程序这个过程需要实施人员在样机上一遍遍试所以我会在第六章的验收清单里再次强调显示缩放一定要在上线前逐台确认并记录每台终端的分辨率、缩放值和适配结果。看板屏是另一个容易被忽视的场景。MES 电子看板一般用大屏电视或显示器通过 HDMI 或 VGA 从终端主机输出。电视屏幕必须开启PC/显示器模式关闭过扫描Overscan否则看板边缘内容会被裁掉一圈。同时看板屏如果长期显示固定内容要留意 OLED 屏烧屏风险。如果看板主机和操作终端是同一台显示信号要设置为复制还是扩展取决于部署设计——我见到的多数方案是独立看板主机和操作终端互不影响。5. 权限与安全既要开放又要防呆5.1 账号等级操作工、班组长、IT 各归各位产线终端的账号体系设计我的建议是三个等级操作工账号标准用户只能运行 MES 客户端桌面固定不能装软件、不能改系统设置班组长账号标准用户 少量权限可以打印补单、导出报表、操作异常处理界面IT/工程师账号本地管理员负责维护、装软件、改配置关键点在于MES 客户端如果是安装在C:\Program Files下标准用户运行时可能会因为目录写权限不足导致日志写不进去、配置文件无法更新。很多实施团队对此的标准做法是把用户加入管理员组一刀切但这样终端安全防线就没了。合理折中MES 客户端安装时指定一个非系统盘目录比如C:\MESClient然后给操作工账号授予该目录的修改权限。这样操作工账号既不是管理员客户端又能正常运行和写日志。这个细节一定要提前做好不然后期改权限可比前期改目录麻烦得多。5.2 USB 管控锁住数据口但别误伤扫码枪产线终端的 USB 口理论上要插扫码枪、读卡器、可能有 USB 打印机。但同样会有人往里插 U 盘拷走工艺数据或者带入病毒。工业现场常见的管控策略在组策略中启用所有可移动存储类拒绝读取/写入把 U 盘和移动硬盘全部挡住关闭自动播放AutoPlay防止恶意软件利用 U 盘 autorun.inf 传播物理层面对不用的 USB 口用封堵胶、箱体锁封死只留操作必需的口但这里有一个精细操作扫码枪、读卡器属于 HID 输入设备不受可移动存储策略影响可以正常使用USB 打印机属于打印机类一般也不影响。如果用了某些国产化的 USB 管控软件要特别注意它的过滤范围别把扫码枪当成存储设备拦了。实际操作中我建议分两步走上线初期先保留 USB 读取权限等运行稳定、确认现场没有正当需求后再收紧到完全禁止。直接一刀切可能反而导致操作工没法用某个临时读卡工具给你打电话的频率直线上升。5.3 远程运维通道不装远程你就等着天天跑产线MES 终端分散在车间各处面积大一点的厂从 IT 办公室走到最远工位可能就要十几分钟。没有远程运维手段一个小问题就要跑断腿。远程管理方案根据企业的安全要求选择局域网内Windows 远程桌面RDP、VNCTigerVNC/RealVNC跨地域多工厂企业采购的远程运维平台、堡垒机或者有合规授权的第三方远程工具终端虚拟化方案很多自带云终端管理平台可以直接远程看屏、远程操作、集中推送设置这种场景下终端本机的系统设置反而少很多因为操作系统跑在服务器上这里特别提一个 Linux 终端远程的经典坑很多人在 Ubuntu/CentOS 终端上手动启动 VNC 服务用的是vncserver :1然后关闭终端窗口去干别的回来就发现 VNC 连不上了。原因在于 VNC 进程跟着启动它的终端会话一起被杀了。正确做法是把 VNC 配成 systemd 服务开机自启用systemctl enable vncserver1管理而不是手动启动依赖一个终端会话。Windows 远程桌面要注意的是启用 RDP 后确保系统防火墙只允许来自指定 IT 网段的 3389 端口访问不要对整个车间网络敞开。另外给远程运维账号设置强密码定期轮换。远程通道顺手解决一个问题当操作工打电话说界面卡住了、弹窗了IT 用远程看屏功能先看一眼再决定是否上门。这个先远程看再上门的习惯能省下大量无效跑动。6. 批量部署镜像复制与上线验收清单6.1 用镜像、模板把设置一次固化所有前置系统设置一旦在样机上调试完成就不要每台终端手动重复了。手动配置必然出错——要么这台忘了关更新要么那台忘了配时间源。正确做法是把调好的样机制作成系统镜像或模板后续终端全部从镜像批量部署。Windows 终端批量部署的标准流程在样机上完成所有设置和应用安装准备应答文件运行sysprep /generalize /oobe /shutdown让系统进入封装状态用 DISM、Clonezilla 等工具把封装后的系统做成镜像新终端装机时通过 PXE 网络引导或 U 盘启动恢复镜像如果是瘦客户机、云终端方案更简单在管理平台上把样机配置保存为模板远程批量下发到所有终端。这也是很多企业这两年转向终端虚拟化的核心动力——系统、软件、设置全部集中在服务器端管理终端本体就是一个显示和输入设备系统设置的工作量直接下降一个数量级。但无论哪种方式仍然建议先小批量试点一周再全厂铺开。镜像里藏着的隐性 bug比如某条策略导致某款扫码枪驱动异常、某台老显示器分辨率不认通常会在试点阶段暴露。全厂一次性铺开再发现问题代价就是几百台终端回炉。6.2 终验清单每台终端上线前过一遍最后整理一份我实际使用的验收清单。每次终验拿着这张表逐台打勾没打勾的不允许上线检查项通过标准验证方法自登录断电重启后自动进桌面模拟断电再上电观察启动过程MES 客户端自启桌面出现后自动进入连接界面重启后观察客户端进程电源策略6 小时无操作不休眠不锁屏设置短时间无人值守再回来看状态更新策略Windows Update 为通知下载查看组策略生效情况静态 IPIP/MAC/位置台账登记无误ping 网关、ping 服务器时间同步与服务器时间偏差小于 1 秒w32tm /query /status时区东八区系统时间显示与实际一致端口连通所有关键端口可达Test-NetConnection逐端口扫扫码枪连续扫 50 次无丢码无重复现场实测输入法默认英文扫码不受干扰实测扫码 50 次默认打印机指向本工位对应打印机打印测试标签显示缩放MES 界面无错位裁切逐页面截图对比USB 策略U 盘被拦截扫码枪正常插入 U 盘验证远程通道IT 网络内可远程操作IT 侧实测连接环境变量PATH/依赖项与部署文档一致运行客户端自检脚本这张表看起来琐碎但它是把上面前五章所有踩坑经验浓缩成的一次性动作。真正实施过 MES 终端项目的老手都清楚上线后的运维成本几乎全看你上线前的设置做得有多细。与其之后一天跑三次产线救火不如在终端上线那几天多花半小时把每台设备系统地过一遍。我在实际项目里还留了一手把这张清单的电子版和终端 IP 台账一起放在共享盘里每次月度巡检时抽查几台核对。时间一长你就会发现真正导致设置漂移的往往不是当初没设置而是后来有人手动改过——比如某个工程师为了调试临时改了 DNS或者某个班组长装了输入法。台账和清单的作用就是帮你快速发现这种漂移把问题消灭在影响生产之前。