整合高效、安全可靠――构建煤炭企业核心竞争力
煤炭是我国的主要能源，广泛用于国民经济的各个领域，与工业生产和人民生活息息相关，煤炭工业为我国经济的持续健康发展提供了可靠保障。
煤炭行业“十一五规划”指出，中国将有序发展煤炭行业，建设大型煤炭基地，鼓励煤炭企业联合重组，引导形成若干个产能亿吨级的企业，鼓励有优势的煤炭企业实行煤电联营或煤电一体化经营，调整、改造、重组中小煤矿。
特大型和大型煤炭集团的诞生，将对煤炭企业集团的管理提出了更高的要求，管理集中化和管理扁平化已属必然，相应地对煤炭集团的管理信息化建设也将提出了更高的要求，煤炭企业集团的管理信息化将会向信息系统的整合和信息资源共享的方向发展。
但目前我国煤矿安全生产形势严峻，伤亡人数为世界上主要采煤国家死亡总数的４倍。为此，国家先后出台《中华人民共和国矿山安全法》，规定矿难赔偿不少于20万等一系列法律法规，“安全生产”已经成为目前煤炭企业的生存之本。
“整合信息资源”、“关注安全生产”将在目前以及未来长时间内指引煤炭企业的生存和发展方向，而煤炭企业信息化已经证明是达到以上目标的一种有效技术手段。
煤炭企业内部各个业务系统是在不同的年代建设的，其包括了各种各样的标准和协议，如何对它们进行高效的整合，实现信息资源的共享，是一个难题。众所周知，TCP/IP是迄今为止应用最广泛、最成熟、最为开放、标准化程度最高的技术体系，具有简单、开放、灵活扩展、管理和互操作等一系列优势，已经成为当今互联网、电信网、政务网、企业网的主要承载技术。IP协议弹性强，能更好地适应IT网络的各种变化。例如在存储技术领域，传统的FC技术存在兼容性和扩展性等方面的问题，基于IP的存储能够更好地实现平台兼容性及业务扩展性，并可实现更灵活的数据服务定制。基于这样的潮流，H3C推出了IT On IP(简称IToIP)的煤炭企业信息化基础平台建设理念及整体解决方案。
一个典型的煤炭集团网络可分为集团到各煤矿的城域骨干网、集团总部办公信息网络、煤炭矿区网络及职工生活小区双向网改造网络。而煤炭矿区网络又分为办公信息网和矿区生产网两部分，通过安全分区隔离，选择高可靠的网络产品、高可靠拓扑结构设计和高可靠路由规划，可为煤炭企业构建坚实网络基础平台；结合集合通讯、IP数据存储、EPON等技术，可最大程度降低企业信息化成本。
H3C整体煤炭信息化解决方案如下：
H3C煤炭企业信息化整体解决方案包括：安全可靠基础网络、成熟先进的IP-SAN集中存储、基于IP的语音和视讯集合通信、基于IP的及时高效智能生产监控和集中统一的信息化管理系统。
由于煤炭企业生产矿区普遍分布较远，如何将各个矿区网络低成本、高效率的互联是煤炭广域网设计中考虑的重点。
RPR光纤环网解决方案
针对煤炭企业一个核心、多个矿区分布的实际情况，最理想的广域网方案为双核心、双归属拓扑结构，每个矿区均有两条独立直达的光纤链路到集团核心，这种组网模式具有高可靠、高性能的特点，但由于矿区一般都比较分散并且位置偏远，这种方式导致光纤部署成本会非常高。考虑到这个问题，实际煤炭企业在构建光纤通信网时普遍采用环网拓扑结构。
RPR技术结合了SDH光传输技术的50ms高可靠环网倒换技术，又具有以太网包交换的高带宽使用率和低成本，整个环网只需一对光纤即可，由于RPR这些突出优点，它已经成为当前城域网、园区网建设中最主要的技术方案之一。
H3C的高端路由器系列、高端交换机系列均能提供RPR连接功能，只需一对光纤，就可轻松实现几十个矿区的高可靠、高性能互联。
2.1.2 高可靠矿区生产网
矿区生产网直接承载了煤炭生产调度、瓦斯监控、井下生产人员安全管理、风机监控等关键业务，任意一个环节出现问题，都可能导致爆炸、塌方、渗水等致命事故，矿区生产网的安全性设计、可靠性设计是矿区生产网最核心的内容，结合矿区生产业务系统需求，H3C提出矿区生产网整体方案如下：
为保障生产网的安全，生产网全部采用高可靠光纤环网技术，一方面光纤能够避免强电磁环境的干扰，能更好的适应井下高温、高湿、电压不稳等恶劣工作环境，同时环型组网与星型组网相比，还能极大节省矿井布线工作量，光纤环网采用GE RPR或RRPP（Rapid Ring Protection Protocol）技术，组成高可用网络。
RPR是二层高可用技术，每个RPR环网具有外环和内环，链路或节点设备故障二层会在<50ms时间内收敛，适合于语音、视频和实时生产性业务，因此能最大程度降低因光纤链路故障导致的业务中断时间。
RRPP是在GE/10GE以太网环基础上通过软件功能实现50--200ms收敛，同RPR相比，费用更加经济，但可靠性略低于RPR。
考虑到井下工作环境的恶劣性，要求设备具有防尘、防爆等安全特性，井下设备建议选择第三方的工业以太网交换机产品，或经济合理的EPON解决方案，H3C EPON设备已经通过煤监局安标认证，可以用在井下环境，组建井下网络传输平台，承接井下各业务系统，把各业务系统的数据实时传送到井上。EPON通过井上OLT连接井下多级级联分光器，每个分光器带一个ONU，ONU接井下数据采集器、井下监控摄像头和无线AP，为井下综合数据采集、人员定位、WiFi手机、监控提供一个统一的低成本的宽带数据通信平台。
而且基于井下各业务系统所要求的高可靠性，H3C的EPON井下传输网络架构不光可以实现传统的树状结构，还可以实现EPON环网结构。通过井下AP的部署，H3C公司协同合作伙伴还可以实现完整的井下WIFI语音解决方案。
对于井上生产网设备，由于其工作环境良好，可完全采用商用设备，这样的组网成本、维护成本更低。
由于矿区生产网事关煤炭企业生产运营以及井下人员生命安全，生产网的安全性要求非常高，生产网内只允许少数合法用户具有网络接入和业务系统访问权限，生产网与办公信息网之间将通过防火墙设备实现安全隔离，生产网用户可正常访问信息网资源，但与Internet隔离，避免互联网病毒和黑客的入侵，而信息网只有特定用户可通过防火墙DMZ区的代理服务器访问部分生产网数据。
在与信息网完全隔离以后，矿区生产网作为一个相对封闭网络，如何解决内部用户安全接入成为矿区信息化关重点。为此，我们建议生产网内只承载生产相关的业务系统，并在生产网交换机上启动端口MAC地址绑定和802.1X接入认证技术，只允许合法的计算机终端和合法计算机用户接入，同时还将在计算机终端上启动Windows 域管理技术，除了少数网管人员具有域管理的管理者权限以外，实际的业务系统操作人员只具有域管理的普通用户权限，普通权限用户不能在生产网计算机上安装、卸载任何软件，甚至还可限定他们只能运行特定软件，结合计算机物理安全技术，例如拆除光驱软驱、封闭USB口，添加机箱锁等措施，生产网的接入安全问题可以得到高度保障。
但对于矿区办公信息网用户而言，由于随着煤矿信息化程度的提高，越来越多的矿区开始拥有独立的互联网出口，普通的办公类计算机均具备了Internet上网权限、办公网用户拥有自行安装、卸载软件的权限，矿区生产网所采用的强制Windows域权限管理方式已不满足办公网用户需求。为此，H3C专门开发了端点准入防御（EAD，Endpoint Admission Control）解决方案，通过安全客户端、安全策略服务器、网络设备以及第三方软件的联动技术、以及对用户终端强制实施安全策略，严格控制终端用户的权限等方式可有效解决这个问题。
为了弥补防火墙的以上不足，我们还建议在矿区信息网的互联网出口处部署专门的IPS入侵防御系统。H3C IPS产品自发布以来，已迅速成为提供基于网络的入侵防御系统的领先厂商。TippingPoint的入侵防御系统能够阻止蠕虫、病毒、木马、拒绝服务攻击、间谍软件、VOIP等多种应用层攻击以及点到点应用滥用，通过深达第七层的流量侦测，H3C的入侵防御系统能够在发生损失之前阻断恶意流量。
