用法 06 · 07 · 08 · 要动网络时先算后改
变更验算
任何改动先在账上算一遍：要命链路一条不能断；不能新开外部到安全生产设备的通道；新开放的机器不能成为跳板；回退单自动反推并验证能还原。
01
101 工作面 AI 视频分析盒接入（厂商原始申请）
AI 视频厂商 · 工作面人员越界、皮带异物识别
- 新增设备「AI 视频厂商远维」（厂商侧（VPN 拨入））
- 接线「AI 厂商 VPN 隧道」：AI 视频厂商远维 ↔ 远维 VPN 网关
- 新增设备「101 工作面 AI 分析盒」（101 综采工作面 · 设备列车）
- 接线「AI 分析盒接入」：101 工作面 AI 分析盒 ↔ 101 工作面交换机
- 在「远维 VPN 网关」上新增规则「AI 厂商调试」：AI 视频厂商远维 → 生产控制网 · 井下环网，全部端口，放行
先执行（可选）：
本次改动新能被访问所选主张的路径旁路
主张（点一条看路径）
要命链路
15 条原本成立的要命链路，变更后全部仍成立。
原本就不满足、与本次无关：办公终端不得直达工程师站、办公终端不得直达安全监控主机、安全监控厂商远维必须经过堡垒机
新开通的访问
- 101 工作面 AI 分析盒 → 综合自动化主机：TCP 全部端口；UDP 全部端口
- 101 工作面 AI 分析盒 → 应急广播主机：TCP 全部端口；UDP 全部端口
- 101 工作面 AI 分析盒 → 监管数据采集机：TCP 全部端口；UDP 全部端口
- 101 工作面 AI 分析盒 → 安全监控主机：TCP 全部端口；UDP 全部端口
- 101 工作面 AI 分析盒 → 安全监控分站 1#（101 工作面）：TCP 全部端口；UDP 全部端口
- 101 工作面 AI 分析盒 → 安全监控分站 2#（中央变电所）：TCP 全部端口；UDP 全部端口
- 101 工作面 AI 分析盒 → 安全监控分站 3#（一采区回风巷）：TCP 全部端口；UDP 全部端口
- 101 工作面 AI 分析盒 → 定位基站（井底车场）：TCP 全部端口；UDP 全部端口
另有 27 处
回退单（自动反推）
- 删除「远维 VPN 网关」上的规则「AI 厂商调试」（AI 视频厂商远维 → 生产控制网 · 井下环网，全部端口，放行）
- 拆线「AI 分析盒接入」
- 撤除设备「101 工作面 AI 分析盒」
- 拆线「AI 厂商 VPN 隧道」
- 撤除设备「AI 视频厂商远维」
已验证：执行回退单后账的指纹与变更前完全一致。
变更窗口内盯住：「分站 1#（101 工作面）数据上传」（安全监控主机收到分站数据的间隔，超过 60 秒记为中断）；「定位基站（101 工作面）数据上传」（定位服务器收到基站心跳的间隔，超过 30 秒记为中断）。任一中断，立即执行回退单。
指纹
账 c243913c26…25b2c4变更 76af2a72e6…2f7824