老厂改造，现场既有西门子的 PROFINET 设备，又有一堆只支持 Modbus TCP 的国产仪表，全部换掉不现实，只能混跑。分享下组网经验：

1. 分层隔离：办公网、监控层、控制层三层，用 VLAN 隔开，控制层再按产线划分子网。IT 和 OT 的第一道防线就是别让广播域串了。
2. 交换机选型：控制层用工业级管理型交换机，支持 MRP 环网冗余，实测环网自愈小于 200ms，PLC 扫描周期不受影响。办公网那套家用交换机千万别拿来凑数。
3. 协议网关：Modbus TCP 设备通过协议网关挂到 PROFINET 侧，网关做数据映射。注意网关的刷新周期要和 PLC 扫描周期匹配，不然数据抖动大。
4. 时间同步：有运动控制的产线，交换机要支持 PTP/1588，普通 SNTP 精度不够。
5. 安全：控制网默认拒绝外来访问，只开白名单；工程师站上外网前先断开控制网物理连接，老办法但管用。

混跑一年下来，最大的坑是网关的异常处理——网关宕机时 PLC 侧看到的是“数据冻结”而不是“通讯中断”，程序里一定要做数据时效性判断。

你们厂里 OT 网络是怎么规划的？有没有遇到过 IT 和 OT 打架的情况？