3. 食品工厂现场调研与资产清单编制

网络分段设计不是从画VLAN表开始的，而是从“现场到底有什么”开始的。食品工厂的工业网络往往经历过多轮技改：灌装线由设备商成套接入、包装线后来加了视觉检测、冷库单独拉过一条网线、能源管理又接入了电表网关，最终形成一张“谁都在用、谁都不完全清楚”的混合网络。如果直接按经验划分区域，很容易把SCADA采集服务器和办公网放在同一广播域，或者漏掉一台仍在运行的老式HMI。因此，现场调研的目标不是“看一眼交换机”，而是形成一份可支撑分段决策的资产清单和一张能看清数据流向的数据流图。

一、资产发现的四条并行路径

资产发现要避免单一手段的盲区。建议同时使用以下四条路径，交叉验证：

• 文档与图纸追溯：收集设备商交付的IP地址表、电气原理图中的网络部分、历史技改记录、交换机端口台账。这类资料能给出“设计意图”，但往往滞后于现场。
• 交换机侧观察：登录接入层交换机，查看MAC地址表、ARP表、端口描述和STP信息。端口描述是极有价值的线索，例如“L2-FILLER-PLC”“COLD-ROOM-HMI”。对不支持网管的非管理型交换机，则需现场拔插或使用镜像口。
• 被动流量监听：在核心交换或关键上行链路做端口镜像，用抓包工具观察一段时间（建议覆盖一个完整生产班次，至少4～8小时），记录出现的IP、协议和通信对。被动方式不打扰生产，适合发现“文档里没有”的设备。
• 主动扫描（谨慎使用）：对已知网段做ICMP/ARP扫描和端口探测。必须注意：部分老式PLC对并发连接敏感，扫描可能引起通信超时甚至停机。建议在计划停机窗口内、低并发速率下进行，并提前与生产部门确认。

二、设备分类：按“角色+协议+影响”三维归档

仅按设备名称分类不足以支撑分段。建议每台资产记录三个维度：功能角色（PLC、HMI、SCADA服务器、MES、ERP、网关、仪表、打印机、无线AP等）、通信协议（Profinet、EtherNet/IP、Modbus TCP、OPC UA、S7、SQL、HTTP等）、中断影响（停机会不会导致产线停机、是否影响追溯合规、是否只影响报表）。

以某乳品工厂灌装车间为例（以下为教学示例，非实测数据）：

分类的关键判断是：谁与谁必须实时通信，谁与谁只需要单向、低频的数据交换。PLC与HMI之间通常是毫秒级循环通信，必须同处低时延区域；SCADA对PLC是周期性采集，可跨区但需控制方向和带宽；MES与ERP之间是分钟级业务数据，适合经防火墙或DMZ中转。

三、数据流识别：从“通信对”到“方向与协议”

数据流识别要回答四个问题：源、目的、协议/端口、方向与频率。被动抓包得到的通信对需要人工归并，例如同一台SCADA服务器对十台PLC的S7连接，应归纳为“SCADA→控制区PLC，S7，周期采集”，而不是罗列十条记录。对于OPC UA，还需记录是客户端/服务器模式还是发布订阅模式，因为这直接影响防火墙端口策略。

识别过程中要特别标注三类“跨层流”：SCADA到PLC的采集流、MES到SCADA或数据库的工单/追溯流、ERP与MES之间的接口流。这三类流正是后续分段边界和防火墙规则的落点。

四、资产清单与数据流图的交付要求

资产清单不是“设备台账”的复制，而应包含分段设计真正需要的字段。建议至少包含：资产编号、设备名称、功能角色、所在车间/产线、IP地址与网段、MAC地址、接入交换机与端口、通信协议及端口号、通信对端、数据方向、通信频率、中断影响等级、是否允许跨区、备注（如“仅支持S7”“不支持VLAN标签”）。其中“是否允许跨区”和“通信对端”两列直接决定后续防火墙规则。

数据流图则建议采用“区域框+通信对箭头”的形式，箭头标注协议与频率，并在跨区箭头上标注拟采用的管控方式（如“经工业防火墙”“经DMZ中转”“仅单向”）。图中不必画出所有设备，但必须覆盖全部跨区流和关键实时流。对于同一区域内的高频通信，可合并为一条“区域内实时控制”说明，避免图面过载。

最后需要强调的是，资产清单和数据流图是“活文档”。食品工厂的产线改造、设备更换、系统升级都会改变资产与流向，建议在清单中保留版本号和更新日期，并在每次技改后由自动化与IT共同复核。只有清单与现场保持一致，后续的VLAN划分、防火墙策略和访问控制才有可靠依据。