4. 矿山VLAN划分方案设计
矿山工业交换机的VLAN划分不是“把端口分个组”这么简单，它本质上是把井下与地面的业务流量在二层网络上做一次逻辑隔离，使广播域收敛、故障域受限、安全边界清晰。设计时要同时回答三个问题：这条业务属于哪个生产系统？它允不允许与其他系统互通？它的物理位置和链路走向如何？这三个问题分别对应按业务分区、按安全等级、按物理位置三种划分方法，实际方案通常是三者的组合。
一、三种划分方法的适用边界
按业务分区划分是最贴近矿山生产组织的方式。采区（综采工作面、掘进工作面）、运输（带式输送机集控、轨道运输、提升）、通风（主通风机、局部通风机监控）、排水（井底泵房、采区水泵）各自有独立的PLC、传感器、摄像机和上位机，业务闭环性强，跨区交互少。以业务分区为主干划分VLAN，最符合“一个系统一个广播域”的工程直觉，也便于按系统排查故障。
按安全等级划分解决的是“能不能通”的问题。矿山网络中，安全监控系统（瓦斯、一氧化碳、风速、人员定位）属于安全类业务，其数据完整性和实时性要求最高；生产集控类业务次之；视频监控、办公、互联网访问等级最低。安全等级划分的核心是把高等级业务与低等级业务隔离，防止视频大流量冲击安全监控，也防止办公终端的广播或病毒扩散到井下控制网络。
按物理位置划分则利用交换机的端口归属，把同一硐室、同一巷道、同一水平（如-200m水平、-350m水平）的设备划入同一VLAN，减少跨交换机流量，便于现场按位置定位端口。但纯按位置划分会把不同安全等级的业务混在一个广播域里，因此它通常作为辅助维度，用于端口归属和故障定位，而不是唯一的划分依据。
二、VLAN ID分配表的设计
VLAN ID 取值范围为 1～4094，其中 VLAN 1 为默认VLAN，工程上应避免承载业务；1002～1005 为保留VLAN，不可使用。建议采用“分段编码”方式分配，使ID本身携带业务与位置信息，便于运维人员一眼识别。例如：
- 10～19：安全监控类（瓦斯监控、人员定位、安全监控环网）
- 20～39：生产集控类（采区、运输、通风、排水各子系统）
- 40～49：视频监控类
- 50～59：调度通信与语音类
- 60～69：办公与信息类
- 90～99：网络设备管理类（交换机管理地址、网管服务器）
下面给出一份可直接参考的VLAN ID分配表示例（示例参数，需按实际矿山系统数量调整）：
| VLAN ID | 名称 | 业务分区 | 安全等级 | 典型网段 | 说明 |
|---|---|---|---|---|---|
| 10 | VLAN_SAFE_GAS | 安全监控 | 高 | 10.10.10.0/24 | 瓦斯、一氧化碳、风速传感器及分站 |
| 11 | VLAN_SAFE_PERSON | 安全监控 | 高 | 10.10.11.0/24 | 人员定位读卡器与定位服务器 |
| 20 | VLAN_PROD_MINING | 采区 | 中 | 10.20.20.0/24 | 综采工作面支架控制器、采煤机PLC |
| 21 | VLAN_PROD_TRANS | 运输 | 中 | 10.20.21.0/24 | 带式输送机集控、保护装置 |
| 22 | VLAN_PROD_VENT | 通风 | 中 | 10.20.22.0/24 | 主通风机、局部通风机监控 |
| 23 | VLAN_PROD_DRAIN | 排水 | 中 | 10.20.23.0/24 | 井底泵房、采区水泵控制 |
| 40 | VLAN_VIDEO | 视频监控 | 低 | 10.40.40.0/24 | 井下摄像仪、NVR |
| 50 | VLAN_VOICE | 调度通信 | 中 | 10.50.50.0/24 | 调度电话、广播 |
| 90 | VLAN_MGMT | 网络管理 | 高 | 10.90.90.0/24 | 交换机管理地址、网管平台 |
分配时需注意：同一业务若跨越多个物理位置（如-200m与-350m都有排水泵房），仍应使用同一VLAN ID，通过Trunk链路延伸，而不是按位置再拆一个VLAN，否则同一系统的广播域被割裂，上位机轮询会跨VLAN路由，增加时延与配置复杂度。反之，若某业务在不同位置安全等级不同（例如地面视频与井下视频），可拆分为 VLAN 40 与 VLAN 41，分别施加不同ACL。
三、命名规范与端口映射
命名规范建议采用“VLAN_分区_子系统”的大写英文缩写形式，长度控制在16字符以内，避免部分交换机对VLAN名称长度限制导致截断。名称中不使用空格和中文，便于命令行与网管平台一致显示。例如 VLAN_PROD_VENT 表示生产类通风子系统，VLAN_SAFE_GAS 表示安全类瓦斯监控。
端口映射表是方案落地的关键交付物。每台交换机应明确每个端口的PVID、端口类型（Access/Trunk）和所属VLAN。井下环网交换机之间使用Trunk，允许所有业务VLAN通过，但管理VLAN应单独处理；接入摄像仪的端口设为Access并划入VLAN 40；接入安全分站的端口设为Access并划入VLAN 10。下面是一段典型的接入端口配置示例（以通用命令行风格示意）：
interface GigabitEthernet0/1
description To_Gas_Substation_01
switchport mode access
switchport access vlan 10
spanning-tree edged-port enable
interface GigabitEthernet0/24
description Uplink_To_Ring_Switch
switchport mode trunk
switchport trunk allowed vlan 10,11,20,21,22,23,40,50,90
switchport trunk native vlan 99其中 native VLAN 设为 99 而非默认的 VLAN 1，是为了避免未打标签的帧落入业务VLAN，这是工业网络中常见的安全加固做法。配置完成后，应通过 show vlan brief 核对端口归属，通过 show interfaces trunk 确认允许列表，确保没有业务VLAN被遗漏在Trunk之外。
四、方案校验：从表到网的闭环
VLAN方案设计完成后，必须做一次一致性校验：分配表中的每个VLAN是否都在至少一台交换机上有活动端口？每条Trunk是否允许了所有需要跨交换机的VLAN？安全等级高的VLAN是否与低等级VLAN之间配置了ACL或三层隔离？管理VLAN是否只允许网管服务器访问？这些检查可以在拓扑图上逐条核对，也可以通过后续的链路测试与连通性测试来验证。下图给出了一套按业务分区为主干、叠加安全等级与物理位置的VLAN划分结构示意，可作为方案评审时的对照图。
需要强调的是，上表中的网段、VLAN ID 与端口配置均为教学示例，实际项目中应根据矿山现有IP规划、交换机型号和环网结构做调整。方案评审时应重点确认三件事：VLAN ID 不与既有网络冲突、Trunk 允许列表完整、高安全等级VLAN的访问控制确实生效。只有把分配表、命名规范、端口映射和访问策略四者对齐，VLAN划分方案才算真正可落地、可测试、可维护。