核心交換機是整個網絡的核心和心臟，如果核心交換機發生致命性的故障，將導致本地網絡的癱瘓，所造成的損失也是難以估計的。所以我們在選擇核心交換機時，經常會看到有的核心交換機具有堆疊或熱備份等功能。一、什么是核心交換機的熱備份 對核心交換機采用熱備份是提高網絡可靠性的必然選擇。在一個核心交換機完全不能工作的情況下，它的全部功能便被系統中的另一個備份路由器完全接管，直至出現問題的路由器恢復正常，這就是熱備份路由協議。實現HSRP的條件是系統中有多臺核心交換機，它們組成一個“熱備份組”，這個組形成一個虛擬路由器。在任意時刻，一個組內只有一個路由器是活動的，并由它來轉發數據包，如果活動路由器發生了故障，將選擇一個備份路由器來替代活動路由器，但是在本網絡內的主機看來，虛擬路由器沒有改變。所以主機仍然保持連接，沒有受到故障的影響，這樣就較好地解決了核心交換機切換的問題。為了減少網絡的數據流量，在設置完活動核心交換機和備份核心交換機之后，只有活動核心交換機和備份核心交換機定時發送HSRP報文。如果活動核心交換機失效，備份核心交換機將接管成為活動核心交換機。如果備份核心交換機失效或者變成了活躍核心交換機，將由另外的核心交換機被選為備份核心交換機。二、交換機的熱備份實現原理1、當某臺接入層交換機到主核心交換機的線路出現故障，切換至備機，數據流走向當接入層交換機1上聯至核心交換機A的數據鏈路出現故障，導致接入層交換機1的數據鏈路切換至核心交換機B，但在切換期間接入層交換機1分丟6個數據包，如上圖所示。當服務器與核心交換機A之間主鏈路出現故障（如線路、網卡等），服務器主網卡切換至備用網卡上時，會丟6個數據包，但當主鏈路恢復以后，服務器會自動從備用網卡切換至主網卡，而這次切換時數據包不會丟失。具體終端訪問服務器的數據流走向如下圖。

有朋友問，通信的原理是什么？在了解通信原理之前，我們首先要對通信常用的設備進行熟悉，計算機網絡體系中，有幾樣通信設備或者說網絡名詞出現的頻率相當的高，它們是：中繼器、集線器、網橋、交換機、路由器和網關。其實，弄清楚這幾個計算機網絡的名詞并不困難，如果能以計算機網絡層次的概念給它們劃清界限的話，那就很容易把它們區分出來。那我現在就有條理地梳理一下它們各自的含義和作用，以及它們之間的聯系。那我們首先看一下這些網絡設備分別處于計算機網絡的哪些層次：一、中繼器中繼器(Repeater)是連接網絡線路的一種裝置,常用于兩個網絡節點之間物理信號的雙向轉發工作。中繼器是＊簡單的網絡互聯設備,主要完成物理層的功能,負責在兩個節點的物理層上按位傳遞信息,完成信號的復制、調整和放大功能,以此來延長網絡的長度。它在OSI參考模型中的位置物理層。由于存在損耗, 在線路上傳輸的信號功率會逐漸衰減,衰減到一定程度時將造成信號失真,因此會導致接收錯誤。中繼器就是為解決這一問題而設計的。它完成物理線路的連接,對衰減的信號進行放大,保持與原數據相同。中繼器是模擬設備，用于連接兩根電纜段。中繼器不理解幀、分組和頭的概念，他們只理解電壓值。一句話總結：中繼器，就是簡單的信號放大器，信號在傳輸的過程中是要衰減的，中繼器的作用就是將信號放大，使信號能傳的更遠。二、集線器             集線器（Hub）是中繼器的一種形式，區別在于集線器能夠提供多端口服務，也稱為多口中繼器。集線器在OSI／RM中的物理層。一句話總結：集線器，差不多就是個多端口的中繼器，把每個輸入端口的信號放大再發到別的端口去，集線器可以實現多臺計算機之間的互聯，因為它有很多的端口，每個口都能連計算機。三、網橋                                   網橋(Bridge)是一個局域網與另一個局域網之間建立連接的橋梁。網橋是屬于數據鏈路層的一種設備，它的作用是擴展網絡和通信手段，在各種傳輸介質中轉發數據信號，擴展網絡的距離，同時又有選擇地將現有地址的信號從一個傳輸介質發送到另一個傳輸介質，并能有效地限制兩個介質系統中無關緊要的通信。一句話總結：網橋工作在數據鏈路層，將兩個LAN連起來，根據MAC地址來轉發幀，可以看作一個“低層的路由器”。四、交換機                             交換機（Swich)工作在第二層（即數據鏈路層），它要比集線器智能一些，它能分辨出幀中的源MAC地址和目的MAC地址，因此可以在任意兩個端口間建立聯系，在數據幀的始發者和目標接收者之間建立臨時的交換路徑，使數據幀直接由源地址到達目的地址。交換機通過對信息進行重新生成，并經過內部處理后轉發至指定端口，具備自動尋址能力和交換作用。但是 交換機并不懂得IP地址，它只知道MAC地址。交換機是使用硬件來完成以往網橋使用軟件來完成過濾、學習和轉發過程的任務。交換機速度比HUB快，這是由于HUB不知道目標地址在何處，發送數據到所有的端口。而交換機中有一張MAC地址表，如果知道目標地址在何處，就把數據發送到指定地點，如果它不知道就發送到所有的端口。這樣過濾可以幫助降低整個網絡的數據傳輸量，提高效率。但是交換機的功能還不止如此，它可以把網絡拆解成網絡分支、分割網絡數據流，隔離分支中發生的故障，這樣就可以減少每個網絡分支的數據信息流量而使每個網絡更有效，提高整個網絡效率?，F代交換機是這樣處理數據幀的：一旦目標頭域（目標地址）已經進來了，盡管幀的其他部分還沒有到達，則只要輸出線路可以使用，交換機就開始轉發該幀，而不需理會幀后面的內容，也即是說交換機并沒有使用“存儲—轉發”交換方式。一句話總結：交換機，可以理解為高級的網橋，他有網橋的功能，但性能比網橋強。交換機和網橋的細微差別就在于：交換機常常用來連接獨立的計算機，而網橋連接的目標是LAN，所以交換機的端口較網橋多。五、路由器                                 路由器（Router)工作在第三層（即網絡層），它比交換機還要“聰明”一些，它能理解數據中的IP地址，如果它接收到一個數據包，就檢查其中的IP地址，如果目標地址是本地網絡的就不理會，如果是其他網絡的，就將數據包轉發出本地網絡。與工作在網絡物理層，從物理上劃分網段的交換機不同，路由器使用專門的軟件協議從邏輯上對整個網絡進行劃分。例如，一臺支持IP協議的路由器可以把網絡劃分成多個子網段，只有指向特殊IP地址的網絡流量才可以通過路由器。當IP子網中的一臺主機發送IP分組給同一IP子網的另一臺主機時，它將直接把IP分組送到網絡上，對方就能收到。而要送給不同IP于網上的主機時，它要選擇一個能到達目的子網上的路由器，把IP分組送給該路由器，由路由器負責把IP分組送到目的地。如果沒有找到這樣的路由器，主機就把IP分組送給一個稱為“缺省網關（default gateway）”的路由器上。對于每一個接收到的數據包，路由器都會重新計算其校驗值，并寫入新的物理地址。網絡中的設備用它們的網絡地址（TCP／IP網絡中為IP地址）互相通信。IP地址是與硬件地址無關的“邏輯”地址。目前TCP／IP網絡，全部是通過路由器互連起來的，Internet就是成千上萬個IP子網通過路由器互連起來的國際性網絡。路由器用于連接多個邏輯上分開的網絡，幾個使用不同協議和體系結構的網絡。路由器利用網絡層定義的“邏輯”上的網絡地址（即IP地址）來區別不同的網絡，實現網絡的互連和隔離，保持各個網絡的獨立性。當一個子網傳輸到另外一個子網時，可以用路由器完成。它具有判斷網絡地址和選擇路徑的功能，過濾和分隔網絡信息流。一方面能夠跨越不同的物理網絡類型（DDN、FDDI、以太網等等），另一方面在邏輯上將整個互連網絡分割成邏輯上獨立的網絡單位，使網絡具有一定的邏輯結構。一句話總結：路由器的主要工作就是為經過路由器的每個IP數據包尋找一條＊佳傳輸路徑，并將該數據有效地傳送到目的站點。路由器的基本功能是，把數據（IP報文）傳送到正確的網絡。六、網關                               網關(Gateway)又稱網間連接器、協議轉換器。網關在網絡層以上實現網絡互連，是＊復雜的網絡互連設備，僅用于兩個高層協議不同的網絡互連。網關既可以用于廣域網互連，也可以用于局域網互連。網關是一種充當轉換重任的計算機系統或設備。使用在不同的通信協議、數據格式或語言，甚至體系結構完全不同的兩種系統之間，網關是一個翻譯器。與網橋只是簡單地傳達信息不同，網關對收到的信息要重新打包，以適應目的系統的需求。一句話總結：網關，通過字面意思解釋就是網絡的關口。從技術角度來解釋，就是連接兩個不同網絡的接口，比如局域網的共享上網服務器就是局域網和廣域網的接口。

PoE光纖收發器就是具有以太網供電功能的光電轉換器，它可以通過網線來遠程IP攝像機、無線設備和VoIP電話供電，省去了單獨安裝電源線的麻煩。目前，PoE光纖收發器主要用于兩種網絡：千兆以太網和快速以太網，可以支持PoE和PoE+兩種供電方式。市場上常見的PoE光纖收發器通常配置有1個RJ45接口和1個SFP接口，還有的PoE光纖收發器會配置雙工RJ45接口和雙工光纖接口，支持使用固定光纖連接器或SFP光模塊。一、光纖收發器是如何工作的？一、光纖收發器是如何工作的？PoE光纖收發器有兩個功能，一個是光電轉換，一個是通過網線給近端設備輸送直流電，也就是說，SFP接口通過光纖來接收和發送光信號，RJ45接口通過網線來輸送電信號以及給近端設備供電。那么PoE光纖收發器是如何利用網線來給近端設備供電呢？其工作原理和其他PoE設備一樣，我們知道，超五類、六類等網線內包含有4對雙絞線，而在10BASE-T和100BASE-T網絡中，只有兩對雙絞線是用來傳輸數據信號，剩下兩對雙絞線則是閑置的，這時，我們就要利用這兩對雙絞線傳送直流電。二、POE光纖收發器的應用光纖收發器主要有三種應用：無線接入點、IP攝像機和VoIP電話：1、PoE光纖收發器在無線接入點中的應用2、PoE光纖收發器在IP攝像機中的應用3、PoE光纖收發器在IP電話中的應用PoE光纖收發器滿足了遠距離、高速、高寬帶的千兆以太網和快速以太網工作組用戶的需求，可以廣泛應用于安防監控、會議系統、智能建筑工程等各種數據通訊領域。

路由器我們每天都會在用，但是很多人并不了解路由器其實分為軟路由和硬路由。那么軟路由和硬路由兩者有什么區別呢？軟路由相當于一臺虛擬化服務器，用＊低的成本，發揮＊大的應用；滿足日益增長的基礎構架需求和復雜性的同時，支持新的工作負載和用例，均衡工作負載，并確定資源分配的優先順序，以確保應用的＊佳性能。簡單的說就是在電腦的硬件基礎上加上路由系統來實現路由器的所有功能。   硬路由就是我們普遍使用的家用路由器及機房路由器，由廠家提供整體的解決方案，包括路由器的硬件和軟件。      軟路由和硬路由應用管理范圍不同及功能也有差異，價格方面軟路由太昂貴。軟路由一般為中小企業、網吧、出租屋、酒店、工廠宿舍；而硬路由一般大多數為家庭及需要的網絡接口比較小的地方。在經濟條件好的家庭可以考慮選擇使用軟路由，因為軟路由和硬路由功能基本上一樣，軟路由的一些管理功能可以不用即可。    軟路由主板由網安（迷你）工控主板，內部安裝有賽揚或其他品牌的CPU，一般為四核四線程，主頻2.0GHz，內存2G的DDR3L，硬盤至少8GBMSATA，有intel全千兆網卡，直流電源功率比硬路由功率大一些。軟路由可以安裝Lede/愛快/PfSense高格等X86系統，支持物理網卡直通，充分發揮光纖每一兆帶寬。軟路由的優點也是非常多的，這里說一說軟路由的5個方面的優點。第1個方面它有它的這個硬件優勢，我們用的這種硬件路由器的它的一般都是單核或者雙核的，現在也有四核的CPU；但是它這個CPU都是800兆，1.2G主頻，而現在用的軟路由它一般都是用工控機，或者是用這個服務器的配置。那這樣的話它X86的這種結構，它可以達到那個4核，目前＊牛的一個ROS的軟路由，CPU可以達到36核，1.2G的CPU可以達到36核，它這個轉發能力都還是都是非常強勁的，這是硬件優勢。第2個方面就是它的那個擴展性，而硬件路由你買的時候是什么功能就是什么功能，如果是你要升級功能的話，那你只能等廠家給你推送升級包；當然現在的這個智能路由器。軟路由的這個方向發展就非常明顯了，它里面有成百上千個功能包，你想裝什么功能包，需要什么功能包就可以安裝什么樣的功能包，這是第2個優勢第3個優勢，就是對于一些喜歡折騰的愛好者們而言，可以學習這些網絡知識；企業級的路由器、交換機價格太貴，如果是用這種軟路由，或者是直接在電腦上裝一個虛擬機，在虛擬機上裝這種軟路由，它的學習的成本是非常低的，所以它的第3個優勢就是它的學習成本低。第4個優勢是它的性價比優勢，為什么說軟路由的性價比高呢？第1個的話，如果是你對穩定性要求不高的情況下，你完全可以用舊的電腦，或者是退役的這種服務器來安裝這個軟件，這個比一般的硬件路由器要強勁得多的路由操作系統，一般的話用在這種中小企業、網吧、出租屋、工廠宿舍；這這WiFi覆蓋這種的場合呢用的比較多，這個性價比是非常有優勢的。第5個就是它的一個功能優勢，我們買的這種硬件路由，由于它的CPU及內存、FLASH它們都不是配置特別高，這樣的話你如果是做那種7層識別，或者是行為管理這方面它是有局限性的，而這種軟路由的話，就沒有局限性。普通路由器它沒辦法實現什么PPPOE的一個撥號服務器的一個功能，或者是VPN的那個異地組網的這些功能，而軟路由的這些功能都是這種軟路由的標配了。

核心交換機參數概念詳解一、背板帶寬背板帶寬也稱交換容量，是交換機接口處理器或接口卡和數據總線間所能吞吐的＊大數據量，就像是立交橋所擁有的車道的總和。由于所有端口間的通信都需要通過背板完成，所以背板所能提供的帶寬，就成為端口間并發通信時的瓶頸。帶寬越大，提供給各端口的可用帶寬越大，數據交換速度越大；帶寬越小，給各端口提供的可用帶寬越小，數據 交換速度也就越慢。也就是說，背板帶寬決定著交換機的數據處理能力，背板帶寬越高，所能處理數據的能力就越強。若欲實現網絡的全雙工無阻塞傳輸，必須滿足＊小背板帶寬的要求。計算公式如下背板帶寬=端口數量×端口速率×2提示：對于三層交換機而言，只有轉發速率和背板帶寬都達到＊低要求，才是合格的交換機，二者缺一不可。例如，如何一款交換機有24個端口，背板帶寬=24*1000*2/1000=48Gbps。二、二層三層的包轉發率網絡中的數據是由一個個數據包組成，對每個數據包的處理要消耗資源。轉發速率（也稱吞吐量）是指在不丟包的情況下，單位時間內通過的數據包數量。吞吐量就像是立交橋的車流量，是三層交換機＊重要的一個參數，標志著交換機的具體性能。如果吞吐量太小，就會成為網絡瓶頸，給整個網絡的傳輸效率帶來負面影響。交換機應當能夠實現線速交換，即交換速率達到傳輸線上的數據傳輸速度，從而＊大限度地消除交換瓶頸。對于三層核心交換機而言，若欲實現網絡的無阻塞傳輸，這個速率能≤標稱二層包轉發速率和速率能≤標稱三層包轉發速率，那么交換機在做第二層和第三層交換的時候可以做到線速。那么公式如下吞吐量（Mpps）=萬兆位端口數量×14.88 Mpps+千兆位端口數量×1.488 Mpps+百兆位端口數量×0.1488 Mpps。算出的吞吐如果小于你交換機的吞吐量的話，那就可以做到線速。這里面萬兆位端口與百兆端口如果有就算上去，沒有就可以不用算。例如，對于一臺擁有24個千兆位端口的交換機而言，其滿配置吞吐量應達到24×1.488 Mpps=35.71 Mpps，才能夠確保在所有端口均線速工作時，實現無阻塞的包交換。同樣，如果一臺交換機＊多能夠提供176個千兆位端口，那么其吞吐量至少應當為 261.8 Mpps（176×1.488 Mpps=261.8 Mpps），才是真正的無阻塞結構設計。那么，1.488Mpps是怎么得到的呢?包轉發線速的衡量標準是以單位時間內發送64byte的數據包(＊小包)的個數作為計算基準的。對于千兆以太網來說，計算方法如下：1，000，000，000bps/8bit/(64+8+12)byte=1,488,095pps 說明：當以太網幀為64byte時，需考慮 8byte的幀頭和12byte的幀間隙的固定開銷。故一個線速的千兆以太網端口在轉發64byte包時的包轉 發率為1.488Mpps?？焖僖蕴W的統速端口包轉發率正好為千兆以太網的十分之一，為148.8kpps。*對于萬兆以太網，一個線速端口的包轉發率為14.88Mpps。*對于千兆以太網，一個線速端口的包轉發率為1.488Mpps。*對于快速以太網，一個線速端口的包轉發率為0.1488Mpps。這個數據我們能用就行。所以說，如果能滿足上面三個條件（背板帶寬、包轉發率）那么我們就說這款核心交換機真正做到了線性無阻塞。一般是兩者都滿足的交換機才是合格的交換機。背板相對大，吞吐量相對小的交換機，除了保留了升級擴展的能力外就是軟件效率/專用芯片電路設計有問題;背板相對小。吞吐量相對大的交換機，整體性能比較高。不過背板帶寬是可以相信廠家的宣傳的，可吞吐量是無法相信廠家的宣傳的，因為后者是個設計值，測試很困難的并且意義不是很大。三、可擴展性可擴展性應當包括兩個方面：1、插槽數量：插槽用于安裝各種功能模塊和接口模塊。由于 每個接口模塊所提供的端口數量是一定的，因此插槽數量也就從根本上決定著交換機所能容納的端口數量。另外，所有功能模塊(如超級引擎模塊、IP語音模塊、 擴展服務模塊、網絡監控模塊、安全服務模塊等)都需要占用一個插槽，因此插槽數量也就從根本上決定著交換機的可擴展性。2、模塊類型：毫無疑問，支持的模塊類型(如LAN接口模塊、WAN接口模塊、ATM接口模塊、 擴展功能模塊等)越多，交換機的可擴展性越強。僅以局域網接口模塊為例，就應當包括RJ-45模塊、GBIC模塊、SFP模塊、10Gbps模塊等，以適 應大中型網絡中復雜環境和網絡應用的需求。四、四層交換第四層交換用于實現對網絡服務的快速訪問。在四層交換中，決定傳輸的依據不僅僅是MAC地址(第二層網橋)或源/目標地址(第三層路由)，而且包括 TCP /UDP(第四層)應用端口號，被設計用于高速Intranet應用。四層交換除了負載均衡功能外，還支持基于應用類型和用戶ID的傳輸流控制功能。此 外，四層交換機直接安放在服務器前端，它了解應用會話內容和用戶權限，因而使它成為防止非授權訪問服務器的理想平五、模塊冗余冗余能力是網絡安全運行的保證。任何廠商都不能保證其產品在運行的過程中不發生故障。而故障發生時能否迅速切換就取決于設備的冗余能力。對于核心交換機而 言，重要部件都應當擁有冗余能力，比如管理模塊冗余、電源冗余等，這樣才可以在＊大程度上保證網絡穩定運行。六、路由冗余利用HSRP、VRRP協議保證核心設備的負荷分擔和熱備份，在核心交換機和雙匯聚交換機中的某臺交換機出現故障時，三層路由設備和虛擬網關能夠快速切換，實現雙線路的冗余備份，保證整網穩定性。

交換機的配置一直是弱電人的難點，尤其是在大型網絡中，前面我們曾提到關于華為、h3c、銳捷等品牌交換機基本配置，本期我們將通過一個網絡的配置案例，來詳細了解清楚交換機的vlan的創建與實現不同vlan間的隔離。這個實例基本包括了交換機在配置vlan過程中的大部分基礎問題，以H3C交換機為例，我們一起來看下H3C交換機配置。一、實例要求與組網拓撲圖這是一個經典的交換機組網圖，很多項目都是這個組構，我們來重點了解Trunk接口的應用，這也是很多朋友經常不理解的地方。實現同一 Vlan 內的主機互通，不同一 Vlan間的主機隔離。VLAN 10：PC1、PC3；VLAN 20：PC2、PC4；使同vlan的pc能夠互訪，不同vlan的pc不能互訪。二、基本信息配置一、VLAN配置SW1配置system-view[H3C]hostname SW1[SW1]vlan 10 // 創建 vlan 10[SW1-vlan10]port GigabitEthernet 1/0/2 // 將接口加入 vlan 10[SW1]interface GigabitEthernet 1/0/2 // 進入接口 1/0/2[SW1-GigabitEthernet1/0/2]port link-type access // 配置為 access 模式[SW1]interface GigabitEthernet 1/0/3 // 創建 vlan 20[SW1]interface GigabitEthernet 1/0/3 // 進入接口 1/0/3[SW1-GigabitEthernet1/0/3]port link-type access // 配置為 access 模式SW2配置[SW2]vlan 10 // 創建 vlan 10[SW2-vlan10]port GigabitEthernet 1/0/2 // 將接口加入 vlan 10[SW2]interface GigabitEthernet 1/0/2 // 進入接口 1/0/2[SW2-GigabitEthernet1/0/2]port link-type access // 配置為 access 模式[SW2]vlan 20 // 創建 vlan 20[SW2]interface GigabitEthernet 1/0/3 // 進入接口 1/0/3[SW2-GigabitEthernet1/0/3]port link-type access // 配置為 access 模式二、TrunK配置(1) SW3——SW4 的 Trunk 鏈路調測SW1配置[SW1]interface GigabitEthernet 1/0/1[SW1-GigabitEthernet1/0/1]port link-type trunk[SW1-GigabitEthernet1/0/1]port trunk permit vlan allSW2配置[SW2]interface GigabitEthernet 1/0/1[SW2-GigabitEthernet1/0/1]port link-type trunk[SW2-GigabitEthernet1/0/1]port trunk permit vlan all三、主機 IP 地址配置(1) PC1 網卡 IP 地址配置：192.168.10.10/24(2) PC2 網卡 IP 地址配置：192.168.11.20/24(3) PC3 網卡 IP 地址配置：192.168.10.30/24(4) PC4 網卡 IP 地址配置：192.168.11.40/24鼠標右鍵點擊PC1，點擊配置步驟2＊后補充：在配置過程中，如果需要查看當前的配置情況，可以用這些命令。查看接口信息操作[SW1]display interface g1/0/2 // 查看接口信息查看交換機 Vlan 信息[SW1]display vlan brief

樓宇自控BA系統工程檢測的準則：由于國際上沒有統一的樓宇自控系統的測試標準，因此，樓宇自控系統的驗收測試一般以采用設備廠家標準為基本依據，同時可參考國家相關的樓控系統設計標準，以下三點可以認為是BA系統工程檢測的基本準則：（1）BA系統的檢測是工程檢測，它不同于實驗室檢測，必須結合建筑設備現場實際情況制定檢測方案。（2）BA系統工程檢測的合格率以設計的監控點數為基數，檢測不合格的點數超過1% （或0.5%）時,系統應判為不合格。（3）BA系統工程檢測人員的專業技術能力應包括有儀表、電氣、計算機、暖通、控制、給排水等領域，并對建筑設備的系統與工藝有深入的理解，否則難以實現正確與準確的檢測。BAS系統驗收前提條件BAS滿足下列條件方可進行測試系統驗收：（1）BA系統的全部設備包括現場的各種閥門、執行器、傳感器等全部安裝完畢，線路敷設和接線全部符合設計圖紙的要求；（2）BA系統的受控設備及其自身的系統不僅安裝完畢，而且單體或自身系統的調試結束；同時其設備或系統的測試數據必須滿足自身系統的工藝要求，例如空調系統中冷水機組其單體運行必須正常，而且其冷量和冷凍水的進出口壓力，進出口水溫等必須滿足空調系統的工藝要求。（3）檢查BA系統與各系統的聯動、信息傳輸和線路敷設等必須滿足設計要求。BAS的驗收資料（1）圖紙與資料系統圖，控制原理圖、監控點數表、技術設計圖（安裝大樣圖，控制盤內布置圖、接線圖，電氣原理圖）、施工管線平面圖（包括管線端子圖）、軟件參數設定表（包括邏輯圖）、產品說明書（包括產品隨機資料）。（2）監控點測試數據表（3）單體設備測試報告（4）軟件功能測試報告BA系統檢測的前期工作BA系統的檢測工作要根據工程設計文件和合同技術文件全面了解整個系統的功能和性能指標，來制定BA系統的檢測方案，被檢測系統的業主與工程承包商需提供的主要文件必須有：系統選型論證、系統規模容量、控制工藝說明、系統功能說明及性能指標、BA系統結構圖、各子系統控制原理圖、BA系統設備布置與布線圖、與BA系統監控相關的動力配電箱電氣原理圖、現場設備安裝圖、DDC站與中央管理工作站操作員站的監控過程程序流程圖、中央監控室設備布置圖、BA系統供貨合同及工程合同、BA系統施工質量檢查記錄、相關的工程設計變更單、BA系統投入運行后三個月的運行記錄。在此基礎上，根據BA系統的驗收標準,制定出一套切實、合理的BA系統檢測方案。樓宇自控BA系統工程測試內容BA系統的檢測性質是工程檢測，而不是實驗室內的測試。BA系統檢測主要是功能的檢測，而且檢測的內容要與建筑設備工程設計與工藝要求相結合，檢測的方法要因現場的實際情況而靈活采用各種技術手段。因此，BA系統的檢測方案并無固定的模式。檢測一般分為三個層次：中央監控站、子系統（DDC站）與現場設備（傳感器、變送器、執行機構等）來進行功能檢測。1、中央監控站的檢測中央監控站是對樓宇內各子系統的DDC站數據進行采集、刷新、控制和報警的中央處理裝置。檢測的項目如下： 在中央監控站上觀察現場狀態的變化，中央監控站屏幕上的狀態數據是否不斷被刷新及其響應時間； 通過中央監控站控制下屬系統模擬輸出量或數字輸出量，觀察現場執行機構或對象是否動作正確、有效及動作響應返回中央監控站的時間；人為在DDC站的輸入側制造故障時，觀察在中央監控站屏幕是否有報警故障數據登陸，并發出聲響提示及其響應時間；人為制造中央監控站失電，重新恢復送電后，中央監控站是否丟失數據、能否自動恢復全部監控管理功能； 檢測中央監控站是否對進行操作的人員賦予操作權限，以確保BA系統的安全。應從非法操作、越權操作的拒絕，給以證實；人機界面是否漢化，由中央監控站屏幕以畫面查詢、控制設備狀態、觀察設備運行過程是否直觀操作方便，以證實界面的友好性；檢測中央監控站是否具有設備組的狀態自診斷功能；檢測中央監控站顯示器和打印機是否能以報表圖形及趨勢圖方式，提供所有或重要設備運行的時間、區域、編號和狀態的信息；檢測系統是否提供可進行系統設計、應用、建立圖形的軟件工具；檢測中央監控站所設定的控制對象參數，與現場所測得的對象參數是否與設計精度相符； 檢測中央監控站顯示各設備運行狀態數據是否完整、準確。2、子系統的檢測子系統（DDC站）是一個可以獨立運行的（下位機）計算機監控系統，對現場各種傳感器、變送器的過程信號不斷進行采集、計算、控制、報警等，通過通信網絡傳送到（上位機）中央監控站的數據庫，供中央監控站進行實時顯示、控制、報警、打印等。檢測子系統的項目如下：啟停建筑設備，觀察各相關設備與執行機構動作的順序是否符合工藝要求；改變建筑設備工況的設定值，觀察各相關執行機構動作的順序/趨勢是否符合工藝要求； 人為制造中央監控站停機，觀察各子系統（DDC站）能否正常工作；人為制造子系統（DDC站）失電，重新恢復送電后，子系統能否自動恢復失電前設置的運行狀態；人為制造子系統（DDC站）與中央監控站通信網絡中斷，現場設備是否保持正常的自動運行狀態，且中央監控站是否有DDC站離線故障報警信號登錄；檢測子系統（DDC站）時鐘是否與中央監控站時鐘保持同步，以實現中央監控站對各類子系統（DDC站）進行監控。3、現場設備的檢測根據系統設計監控要求，電信號分為模擬量和開關量。傳感器、變送器是將各種物理量（溫度、濕度、壓差、流量、電動閥開度、液位、電壓、電流、功率、功率因數、運行狀態等）轉換成相應的電信號的裝置。執行機構是根據DDC輸出的控制信號進行工作的裝置?，F場設備的檢測項目如下：檢查現場的傳感器、變送器、執行機構、DDC箱安裝是否規范、合理，便于維護；檢測中央監控站所顯示的數據、狀態是否與現場的讀數、狀態一致； 檢測執行機構的動作范圍、動作順序是否與設計的工藝相符；當參數超過允許范圍時，是否產生報警信號； 在中央監控站控制下的執行機構動作是否正常。4、功能檢測BA系統對建筑設備的監控通常是按功能與區域實現的。因此，檢測功能也是按區域進行的。 以空調和公共照明區域為例?？照{區域是人們工作、休息的場所，在BA系統的控制下，空調系統應保證提供舒適的室內溫度和良好的空氣品質。檢測空調和公共照明區域的項目如下： 檢測中央監控站對空調系統的控制是否能按時間表進行；檢測空調區域溫度、濕度是否與中央監控站顯示數據相符；檢測室內二氧化碳含量是否符合衛生標準；檢測能否根據時間程序，控制公共照明區域燈的開關和設置夜間照明，以達到節能的目的。通過對以上三個層次和功能的檢測，可以對BA系統的實時性、可靠性、安全性、易操作性、易維護性、設備的安裝質量、控制精度作出綜合評價，對存在的問題提出整改意見。通過整改使被檢測的BA系統達到正常運行的功效。樓宇自控BA系統檢測工程存在的常見問題在多種國內外品牌的BA系統項目工程檢測中，所有項目都發現了許多問題，經過一定時間整改后，＊終大部分BA系統都基本符合工程設計文件和合同技術文件所列的功能和技術指標，系統運行情況良好，可實現一定的節能效果。檢測合格的BA系統對建筑設備的監控是有效的，檢測、控制及報警的實時響應快，操作界面漢化率高，操作與維護方便，并具備設備綜合管理的條件，系統對操縱人員權限控制嚴格，層次清晰，系統工作可靠，空調區域的控制精度可滿足空調設計要求。在BA系統檢測中通常遇到的問題及其主要原因有以下幾方面：1、少數建筑專業、暖通專業和電氣專業的設計人員在擴初設計時沒有很好配合，以至空調機房空間過小，設備維護通道難以行走；新風口位置設置不合理，新風質量不理想；電氣控制箱缺少與BA系統相配的電氣輸入/出端等。2、部分BA系統設計與工程實施人員對建筑設備不熟悉、對設備系統的整體了解不深入，致使傳感器位置設置錯誤、電動調節閥關閉壓力不夠、甚至系統缺少應有的傳感器與軟件工具。3、部分BA系統設計與工程實施人員對空調系統的運行工況和工藝了解不全面，結果BA系統對空調系統的運行控制方式不合理，不能達到有效的節能目標。4、有些施工人員在設備安裝過程中，沒有按照規范操作，接線錯誤、傳感器安裝位置錯誤、執行機構與設備連接不牢固、DDC箱內布線亂、箱體進出線處不加保護橡皮墊圈、金屬軟管亂拉、接地系統混亂等，給系統的正常運行帶來隱患。5、少數物業管理公司在BA系統投運后，未能進行必要的維護保養；BA系統操作管理人員缺乏專業技能訓練，致使原本正常的系統頻發故障。6、BA系統的工程竣工文檔不全，操作手冊未漢化并缺少針對性，影響后續人員對系統的了解與掌握。

交換機是監控網絡傳輸的核心設備。交換機的選型，有很多的重要技術參數需要考慮，硬件上包括百兆/千兆/萬兆速率的端口、電口/光口/PoE口、端口數量、MAC地址表深度、轉發延遲、緩存大小、VLAN、隔離等等。很多項目就是因為交換機選擇不當，出現各種各樣的問題，嚴重影響項目的交付與體驗。今天就分享一下交換機選型的時候，需要重點考慮的幾個點。下面我們就交換機選型時的四個主要方面講一下。1選擇千兆還是百兆？視頻監控系統的網絡中，需要傳輸大量、持續的視頻數據，這就要求交換機具有穩定轉發數據的能力。交換機接入的攝像頭數量越多，流經該交換機的數據量就會越大。我們可以碼流想象成水流，交換機就是一個個的水利樞紐，一旦流轉的水流超出負荷，大壩就會潰堤。同理，如果交換機下的攝像頭轉發的數據量超出某個端口的轉發能力，也同樣會造成這個端口丟棄大量的數據，出現問題。比如百兆的交換機轉發超出100M的數據量，就會造成大量丟包，導致花屏卡頓現象。那么，到底接入多少個攝像頭就需要選擇千兆交換機呢？有一個標準，看攝像頭上聯端口轉發數據量的大?。喝绻下摱丝谵D發數據量大于70M，就選擇千兆端口，即選擇千兆交換機或千兆上聯交換機。這里有一個快速計算和選擇的方法：帶寬值=（子碼流+主碼流）*通道數*1.2①帶寬值＞70M，用千兆②帶寬值＜70M，用百兆舉個例子來說明：有臺交換機，接入了20臺H.264 200W的攝像機（4+1M），那么按此計算，上聯端口的轉發速率就是（4+1）*20*1.2=120M>70M，這種情況就要用千兆交換機。某些場景里，交換機只有一個端口需要是千兆，但如果不能優化系統結構，平衡流量，那么就需要配千兆交換機或者千兆上聯交換機。問題1：碼流計算過程是很清楚，但是為什么要乘以1.2呢？因為根據網絡通訊原理，數據包的封裝也是遵循TCP/IP協議的，數據部分需要打上各個協議層的頭部字段才能順利傳輸，所以頭部也會占用一定比例的開銷。我們經常說的攝像機4M碼率、2M碼率等，指的其實都是數據部分的大小。根據數據通信比例，頭部開銷約占20%，所以公式里要乘以1.2?！鴶祿^部約占20%的開銷問題2：為什么是70M不是100M呢？主要是為了考慮突發流量。視頻數據流是由很多的幀組成的，看似平緩的數據流，實際會發生很多瞬間突發數據，這種情況就需要交換機對數據的波動能夠進行緩沖和整流處理。交換機對這些數據進行存儲-轉發-存儲-轉發，所以建議有一定的預留，設計交換網絡時能有30%~40%的預留，一個100M的端口，建議轉發流量不超出70M。工程上常用的攝像機主要有H.264和H.265兩種碼率，根據這個碼率大小計算：我們以H.264 200W攝像機（主子碼流按4+1M計算），常見的串聯型網絡中的帶寬計算和交換機選型：星型的網絡結構如下：2怎么選擇核心交換機？大中型的監控網絡，通常會按照接入-匯聚-核心三層結構設計。核心交換機是整個網絡的數據轉發中心，承載著大量的數據流，所以必須保證核心交換機的各個端口轉發沒有瓶頸。有些人對于核心交換機的選擇有一些誤區，比如有 200、500 個攝像頭，如果按照 500*5M=2500M 的方式計算，結果遠遠大于千兆端口的轉發速率，這種項目一定要用萬兆交換機嗎？也不一定，實際上，典型的大型監控網絡，流量不會集中于一個端口，一定會分布在多個端口，由多個千兆端口進行轉發。如下圖：可以看出圖中每個端口均沒有超出 1000M，而全千兆交換機的任何兩個千兆端口之間就可以實現 1000M 的雙向傳輸，總的吞吐量（滿載）一般小于或等于交換機的背板帶寬。所以在選擇核心交換機的時候，根據IPC數量，建議如下：①100~200臺，推薦千兆管理型交換機②200~500臺，推薦三層管理型交換機目前二/三層管理型全千兆交換機，均適合作為監控網絡的核心交換，承擔大容量數據交換。組建各樣的網絡。對于大型或超大型（300~1000）的監控網絡，需要使用三層交換機劃分網段，建議使用三層交換機。下面給大家100、300、500個點位的組網方案。100臺IPC的組網方案100個左右點位，設計重點在無阻塞轉發核心。300臺IPC的組網方案300個左右點位，設計重點多網段、流暢轉發。500臺IPC的組網方案500個點位的規模，需要進行冗余設計，非常適合在政企等大型園區。3如何選擇PoE交換機？PoE是通過網線進行供電和數據傳輸的一種技術，只需要一條網線就可以接入一個PoE攝像機點位，不需要額外的電源布線。在選擇PoE交換機的時候，有哪些需要考慮的地方？· 單端口功率單端口功率是否可以滿足交換機下掛接的任意一款IPC的＊高功率，也就是根據IPC的＊大功率選擇交換機的規格。普通PoE IPC功率不會超過10W，所以交換機只需要支持802.3af即可。但部分高速球機的功率需求約20W，或者部分無線接入AP的功率會更高，那么則需要交換機支持802.3at。下面是兩種技術對應的輸出功率：· 整機＊大供電功率確認整機＊大供電功率滿足要求，設計時需要將所有IPC的功率都考慮在內。交換機的＊大輸出供電功率需要大于所有IPC的功率之和?！?供電類型使用八芯網線進行傳輸，不需要考慮。如果是四芯網線，則需要確認交換機是否支持A類供電。選擇的時候，可以結合各類PoE的優勢和成本考慮進行選擇：4怎么選光纖交換機？在遠距離點位的監控中，經常會用到光纖收發器、光纖交換機。下面的例子里，就包含了比較全面的光纖交換網絡設備，如收發器、交換機、模塊等。光交換機、光纖收發器、光模塊是可以相互搭配著使用的。在選擇的時候，要注意成對使用，務必保證 A-B 端匹配。A/B 端就是光纖傳輸的兩端，無論兩端選擇的是交換機、光模塊還是光纖收發器，兩端必須分別是 A、B 才能配對使用（在產品型號上有標明是A端或B端）。A 端設備的工作波長是 1310nm（RX）、1550nm（TX），必須要搭配B 端光纖收發器（RX1550nm、TX1310nm）使用。＊后，也同樣需要考慮端口速率、光纖類型、雙纖or單纖這些事項。

一、人員通道系統1.1系統概述人員通道子系統能夠對受控區域進行有效管控，所有進出受控區域的人員均需經過認證后方可通行，可以有效防止未授權人員隨意進入受控區域，提升內部安全系數。此外，該系統可有效控制人員通行秩序，使得出入口通行井然有序，方便人員出入管理。1.2系統設計人員通道子系統由人員通道閘機、工作站和發卡器等組成，對于安保要求嚴格的場景，還可以配置人臉識別組件的人臉閘機。系統架構示意圖如下：圖1人員通道系統架構示意圖根據出入口通道管理需要，選用網絡型門禁控制主機，通過TCP/IP通訊方式進行與上層管理層通訊方式，支持聯機或脫機獨立運行，并可聯動附近視頻監控設備進行抓拍存儲，門禁控制主機接入綜合管理平臺可實現設備資源、人員權限與配置的統一管理。1）人員通道閘機人行通道閘機阻攔體受控制系統驅動，人員身份驗證通過后，阻攔體自動打開，延時后閉合。閘機可輔以攝像頭、身份證讀卡器、CPU卡讀卡器、二維碼讀卡器、指紋識別儀、顯示屏、自動收卡器、恒溫箱等配件，認證方式和邏輯靈活多樣。2）門禁控制主機門禁控制主機可選擇內置在閘機內，也可以選擇外置，負責人員通道閘機輸入、輸出信息的處理和儲存，用于閘機開關的控制。3）人臉識別組件對于需要1：N比對驗證的場所，人員通道閘機可以配置人臉識別組件，能夠確保實人通行，即時比對通過。1:N比對設備抓拍人臉照片，進行人實時比對，比對通過后予以放行。圖2人臉閘機4）工作站工作站主要用于對出入口控制操作進行記錄，供出入口控制管理人員進行數據查詢和管理。采用人臉閘機時，需配置中心錄入儀或USB相機錄入人臉照片。1.3部署設計企業人員通道點位部署主要考慮受控區域的進出權限控制，結合企業的環境特點與實際應用需求，通過對進出通道設置人員通道，限定不同人員的出入權限，并對人員進出信息進行記錄查詢等。在針對不同受控區域進行人員通道配置時，應遵循以下原則：按需確定受控區域：人員通道點位設計應首先確定受控區域與控制需求，例如企業場景下往往會在企業主要出入口設置人員通道限制非本企業人員隨意進出；全面的點位設置：對于需要通行權限控制的區域，應全面考慮該區域的進出通道，對所有可能進入該受控區域的出入口設置人員通道或門禁點。配合門禁控制邏輯：人員通道配置需要與系統控制邏輯相對應，可根據現場需求的不同單向控制進門或出門，而另一方向可通道手動或紅外的方式控制；雙向控制的人員通道配置標準的通道控制器即可。企業場景常見的人員通道以雙向控制居多。在人員通道設計的過程中，應同時考慮人員通道與其它系統的聯動，確定各門禁點的聯動屬性，如某一人員通道與消防信號聯動的分區對應關系等。便攜的識別方式：人員通道通過通道讀卡器或生物識別儀對進出人員的身份進行識別，人員通道點位設置時應根據區域特點與受控區域的安全級別，同時考慮便攜性需求，選擇不同的識別方式，如單純的刷卡認證、人臉識別（人臉閘機）、指紋認證或多種認證方式相結合等。1.4系統功能多種工作模式人臉比對系統的硬件設備可根據不同場景及功能需求支持多種比對模式，目前比對模式分為以下幾種，刷人臉、刷卡（IC卡或身份證）+人臉、接下來將對這幾種比對模式分別做介紹。1）刷人臉圖3人臉比對模式示意圖設定該模式后，直接刷人臉進行核驗。用戶在人臉設備上通過人臉框校準采集人臉后，與本地人臉庫進行本地人臉照片比對，設備輸出語音或文字提示界面結果，對用戶進行身份核驗。在這種比對模式下，用戶僅需要采用自帶的生物識別（人臉）特征這一種方式進行比對，無需攜帶卡片，在使用上給客戶帶來便利，其安全性也高于傳統的刷卡驗證。2）刷卡+人臉圖4刷卡+人臉模式示意圖設定該模式后，需要刷卡（IC卡/身份證）+人臉進行身份核驗。用戶在人臉設備上刷IC卡，并通過設備上人臉框校準采集人臉照片，在設備端先核對IC卡信息，再對該卡關聯的人臉信息進行1：1比對，設備輸出語音或文字提示界面結果，同時返回比對結果給平臺，對用戶進行身份核驗。用戶在人臉設備上刷身份證，并通過設備上人臉框校準采集人臉照片，在設備端先核對身份證信息，再對身份證芯片存儲的人臉信息進行1：1比對，設備輸出語音或文字提示界面結果，同時返回比對結果給平臺，對用戶進行身份核驗。在這種模式下，用戶需要使用卡（IC卡/身份證）+人臉兩種驗證方式，安全性比單獨刷人臉有所提高，必須兩種方式都正確才能通過核驗，適合使用對權限要求較高的場所場景。3）智能模式圖5智能模式示意圖設定該模式后，支持兩種（刷人臉）/（刷卡+人臉）兩種模式自動切換，系統默認為刷臉模式，當檢測到卡（IC卡/身份證）時，系統會自動切換成（刷卡+人臉）驗證模式。在這種模式下，用戶可跟根據需要在刷人臉或刷（卡+人臉）模式間自由切換，一方面有卡+人臉生物識別驗證方式保證安全性，另外也給了客戶一定的自由度，在忘帶卡的情況下也可以使用人臉生物識別驗證方式核驗通行。應急聯動具備緊急逃生功能，在發生緊急情況如火災時，人員通道能夠自動打開放行，不會阻礙人員的緊急疏散。注：需要與火災報警系統對接，在斷網的情況下不可用。時段常開上下班高峰期，為了保證人員快速通過，人員通道可保持常開，避免發生擁擠、滯留事件。二、人臉門禁系統2.1系統概述門禁系統管理主要實現重要場所出入口的安全管理，對門禁資源、卡片、人員、權限、報警等進行一體化管理?？刂贫藢﹂T禁資源進行統一的操作管理，對報警、事件實現中心化管理，從而在滿足用戶對出入口安全需求的同時，為人們的工作、生活、學習建立了一個安全、高效、舒適、方便的環境。2.2系統設計系統架構門禁子系統主要由設備前端、傳輸網絡與管理中心三個部分組成。圖6人臉門禁系統架構圖前端設備包括人臉門禁一體機、電控鎖、出門按鈕等，主要負責采集與判斷人員身份信息與通道進出權限。另外，電鎖接收開門信號，完成開門動作，控制人員放行。傳輸網絡主要負責數據傳輸，包含門禁一體機與管理中心之間的數據通訊。管理中心負責系統配置與信息管理，實時顯示系統狀態等，主要由綜合安防管理平臺和中心發卡授權設備組成。前端設備設計前端設備主要負責采集人員的人臉照片并判斷人員的進出權限。認證通過后人臉一體機輸出電鎖開門信號，完成開門動作，控制人員放行。主要產品如下：1)人臉門禁一體機目前前端設備包括均已一體機的形態存在。門禁一體機將身份信息采集判斷和門禁控制功能進行了融合，同時人臉門禁一體機可支持多種不同認證方式的組合應用，具體如下表所示：2)出門按鈕出門按鈕為人臉門禁系統的其中一部分，適用于嚴進寬出的應用場景，當現場要求嚴格管理進出時，可將出門按鈕更換為人臉門禁一體機。3)電控鎖電控鎖是一個由繼電器控制的機械鎖裝置，在門禁系統中處于不可缺少的一部分，同時根據現場應用場景的不同可分別安裝電插鎖（陽極鎖）、陰極鎖（電鎖口）、磁力鎖、電控鎖等。4)門禁控制器（選配）門禁控制器主要集成權限控制、房門開關等控制功能，本方案中通過門禁控制器的協同作用實現多門互鎖、反潛回等門禁高級應用。傳輸網絡設計傳輸網絡是系統能夠穩定運行的關鍵環節之一，設計原則如下：1、人臉門禁一體機通過TCP/IP或WIFI（可定制4G/3G/GPRS）接入管理中心；2、部分人臉門禁一體機通過RS485通訊方式外接副讀卡器；3、人臉門禁一體機下行通過多芯信號線接入：輸出門鎖開關控制信號與報警聯動信號等；管理中心設計管理中心主要由USB相機、門禁管理軟件、工作站等組成，可對門禁系統整體運行狀態進行有效的監控管理，降低系統管理難度、降低維護成本、降低人員依賴性。門禁管理軟件除了具備對人臉照片的記錄配置之外，也能實現參數設置、設備監控、報警處理、故障定位等系統應用和管理功能，可以極大提升整個門禁管理系統使用的便捷性和有效性。2.3系統部署嚴進寬出進門：人臉識別；  選用設備：人臉門禁一體機人證訪客機或管理中心完成人臉照片下發，用戶到達人臉門禁一體機前進行人臉比對進行人臉照片比對。人臉門禁一體機能抓拍人臉信息并傳送到一體機內部進行數據分析和對比，同時一體機內部自動判斷當前時間該用戶是否允許出入，若允許進入門禁控制器中的繼電器將操作電子鎖開門。同時比對成功后輸出界面文字顯示，并將人員身份信息及現場抓拍圖片上傳至后臺進行完整記錄。出門：按鈕出門；  選用設備：出門按鈕用戶出門時通過出門按鈕接入到人臉門禁一體機即可實現出門。嚴進嚴出進門：人臉識別；  選用設備：人臉門禁一體機人證訪客機或管理中心完成人臉照片下發，用戶到達人臉門禁一體機前進行人臉比對進行人臉照片比對。人臉門禁一體機能抓拍人臉信息并傳送到一體機內部進行數據分析和對比，同時一體機內部自動判斷當前時間該用戶是否允許出入，若允許進入門禁控制器中的繼電器將操作電子鎖開門。同時比對成功后輸出界面文字顯示，并將人員身份信息及現場抓拍圖片上傳至后臺進行完整記錄。出門：人臉識別；  選用設備：人臉門禁一體機人證訪客機或管理中心完成人臉照片下發，用戶到達人臉門禁一體機前進行人臉比對進行人臉照片比對。人臉門禁一體機能抓拍人臉信息并傳送到一體機內部進行數據分析和對比，同時一體機內部自動判斷當前時間該用戶是否允許出入，若允許進入門禁控制器中的繼電器將操作電子鎖開門。同時比對成功后輸出界面文字顯示，并將人員身份信息及現場抓拍圖片上傳至后臺進行完整記錄。嚴進嚴出+高級應用(如：多門互鎖)進門：人臉識別；  選用設備：人臉門禁一體機人證訪客機或管理中心完成人臉照片下發，用戶到達人臉門禁一體機前進行人臉比對進行人臉照片比對。人臉門禁一體機能抓拍人臉信息并傳送到一體機內部進行數據分析和對比，同時一體機內部自動判斷當前時間該用戶是否允許出入，若允許進入門禁控制器中的繼電器將操作電子鎖開門。同時比對成功后輸出界面文字顯示，并將人員身份信息及現場抓拍圖片上傳至后臺進行完整記錄。出門：人臉識別；  選用設備：人臉門禁一體機人證訪客機或管理中心完成人臉照片下發，用戶到達人臉門禁一體機前進行人臉比對進行人臉照片比對。人臉門禁一體機能抓拍人臉信息并傳送到一體機內部進行數據分析和對比，同時一體機內部自動判斷當前時間該用戶是否允許出入，若允許進入門禁控制器中的繼電器將操作電子鎖開門。同時比對成功后輸出界面文字顯示，并將人員身份信息及現場抓拍圖片上傳至后臺進行完整記錄。協同管理：增加門禁控制器，同時將人臉門禁一體機設定為讀卡器模式如現場需要實現多門互鎖、反潛回等高級應用時，需要增配門禁控制器實現上述的功能。門禁控制器通過接收人臉門禁一體機所接受的信息并結合門禁設定的規則再判斷是否開啟房門。2.4系統功能1）采用非接觸式智能卡方式系統可以采用多種門禁方式，對使用者進行多級控制；同時對不同的區域和特定的門及通道進行進出管制。子系統能夠實現遠程管理，實施數據修改、安全密鑰驗證等功能。2）實時監控功能系統管理人員可以通過微機實時查看每個門區人員的進出情況（計算機屏幕上可以立刻顯出當前開啟的門號、通過人員的卡號及姓名、讀卡和通行是否成功等信息）、每個門區的狀態（包括門的開關，各種非正常狀態報警等）；也可以在緊急狀態打開或關閉所有的門區。3）權限管理系統可針對不同的受控人員，設置不同的區域活動權限，將人員的活動范圍限制在與權限相對應的區域內；對人員出入情況進行實時記錄管理。系統可實現對指定區域分級、分時段的通行權限管理，限制外來人員隨意進入受控區域，并根據管理人員的職位或工作性質確定其通行級別和允許通行的時段，有效防止內盜外盜?？紤]其安全性，系統可設置一定數量的操作員并設置不同的密碼，根據各受控區域的不同分配操作員的權限。4）動態電子地圖功能以圖形的形式顯示門禁的狀態，比如當前門是開門還是關門狀態，或者是門長時間打開而產生的報警狀態。此時管理人員可以透過這種直觀的圖示來監視當前各門的狀態，或者對長時間沒有關閉而產生的報警門進行現場察看。同時擁有權限的管理人員，在電子地圖上可對各門點進行直接地開/閉控制。5）出入記錄查詢功能系統可實時顯示、記錄所有事件數據；讀卡器讀卡數據實時傳送給計算機，可在管理中心電腦中立即顯示；持卡人（姓名、照片等）、事件時間、門點地址、事件類型（進門刷卡記錄、出門刷卡記錄、按鈕開門、無效卡讀卡、開門超時、強行開門等）等如實記錄且記錄不可更改。報警事件發生時，計算機屏幕上會彈出醒目的報警提示框。系統可儲存所有的進出記錄、狀態記錄，可按不同的查詢條件查詢，并生成相應的報表。6）人臉識別加指紋開門功能在重要房間的選配多功能人臉門禁識別一體機可設置為人臉識別加指紋方式，確保內部安全，禁止無關人員隨意出入，以提高整個受控區域的安全及管理水平。7）邏輯開門功能（多重認證）同一個門需要多人同時人臉識別才能打開電控門鎖。設定某些重要門點如金庫等，只有多人同時認證才能開門。（需增加門禁控制器）8）防尾隨功能本功能是防止持卡人尾隨別人進入，持卡人必須關上剛進入的門才能打開下一個門。在某些特定場合，持卡者從某個門刷卡進來就必須從某個門刷卡出去，刷卡記錄必須一進一出嚴格對應。進入進門未刷卡，尾隨別人進來，出門刷卡時系統就不準他出去，如果出門未刷卡，尾隨別人出去，下次就不準他進來?；蛘吣橙怂⒖ㄟM來后，從窗戶將卡丟給其他人，試圖進來，系統也會拒絕該人刷卡進來。該功能可為落實誰何時處于某個區域提供有效證據，同時有效地防止尾隨，對于維持良好門禁管理秩序有積極的意義。9）反潛回功能持卡人必須依照預先設定好的路線進出，否則下一通道刷卡無效。配合雙向讀卡門點設計，系統可將某些門禁點設置為反潛回，限定能在該區域進、出的人員必須按照“進門→出門→進門→出門”的循環方式進出，否則該持卡人會被鎖定在該區域內或外。10）多門互鎖功能多門互鎖包括雙門互鎖、三門互鎖、四門互鎖。許多重要區域，通行需經過多道門，要求多道門予以互鎖，以方便有效地控制尾隨或者秩序進入，可以有效地控制入侵的難度和速度，為保安人員處理突發事件贏得時間?；ユi的多門可實現相互制約，提高系統安全性。當其中一個門開啟時，其他對應的門都無法打開；當要開啟一個門時，其他對應的門必須都是關閉的，否則無法開門。11）強制關門功能如果管理員發現某個入侵者在某個區域活動，管理員可以通過軟件，強行關閉該區域的所有門，使得入侵者無法通過偷來的卡刷卡或者按開門按鈕來逃離該區域，通知保安人員趕到該區域予以攔截。12）異常報警功能系統具有圖形化電子地圖，可實時反應門的開關狀態。在異常情況下可以實現微機報警或報警器報警，如非法侵入、門超時未關等。13）消防報警功能系統可與火災自動報警系統聯動。如發生火警時，保證自動釋放相關區域的通道的出入口控制，使內部人員及時外逃且消防人員可以順利進入實施滅火救援。14）視頻監控聯動門禁系統中＊大的安全隱患是非法人員盜用合法卡作案。傳統的門禁系統和視頻監控系統都無法解決這個問題。因此，為了防止有人盜用他人合法卡作案，保證刷卡記錄的真實性，系統支持實時展示并記錄刷卡人員信息，以及聯動門禁自帶監控點或外部視頻監控點進行圖像抓拍或錄像。15）集成功能系統具有開放型結構，便于擴展和聯網。門禁系統可提供SDK、HTTP接口，以實現與其他系統的集成。16）WEB查詢功能（預留）通過Intranet/Internet，系統具有網絡查詢功能。根據不同的授權，可以進行網絡管理系統信息查詢，甚至可以通過網絡控制相應的受控點。17）支持脫機工作控制器可脫機（與管理主機失去聯系）工作，并且不影響進出門；當門禁與管理中心重新建立通訊時，控制器能實時上傳事件信息。18）系統運行模式具備在線、離線和災害三種模式，分別對應于正常工作、通訊網絡故障和災害三種狀況。在線模式系統工作于在線模式為正常情況。此模式下系統管理工作站將門禁控制參數和授權信息下發給門禁控制主機（或門禁主控制器和門禁就地控制器，或門禁一體機）。門禁控制主機（或門禁就地控制器，或門禁一體機）根據工作站要求控制門鎖開啟或關閉。同時，相關操作信息將全部實時上傳至管理工作站。離線模式當通訊網絡中斷時，系統轉為離線工作模式。即脫機情況下，門禁控制主機或門禁一體機可根據本地存儲的門禁參數及權限信息獨立工作，并存儲脫機時的信息記錄。一旦通信恢復，將立即將中斷時記錄的信息上傳至工作站。三層架構下，當門禁主控制器與管理工作站之間的網絡中斷時，門禁主控制器和就地控制器可根據存儲的門禁參數及權限信息獨立工作；當門禁就地控制器與門禁主控制器之間的網絡中斷時，門禁就地控制器可根據存儲的門禁參數及權限信息獨立工作。災害模式在火警等緊急情況下，工作站根據消防信號或管理員命令自動進入災害模式。此模式下，工作站向指定區域或所有門禁設備（門禁控制主機、門禁主控制器、門禁就地控制器、門禁一體機）發出開門指令，便于消防疏散和緊急救災。也可通過緊急聯動按鈕，對指定區域或所有門禁進行斷電釋放。門禁主控制器具有消防聯動功能，具備防剪防短的消防輸入端子，檢測到消防輸入信號（短路/斷路）時可根據預先設置的消防預案，同時自動廣播告知各下掛就地控制器打開門鎖。

這兩種類型交換機的工作方式有所不同：二層交換機可以識別數據包中的MAC地址，根據MAC地址進行轉發，并將這些MAC地址與對應的端口記錄在自己內部的一個地址表中。二層交換機不遵循路由算法。三層交換機轉發基于目標 IP 地址，數據包的目的地是定義的下一跳，三層交換機遵循路由算法。二層交換機如果二層交換機不遵循路由算法，那么它們將如何學習下一跳的 MAC 地址？ 通過遵循ARP(地址解析協議)來實現。ARP的工作內容如下： 我們以網絡為例，其中一個交換機連接到四個主機設備，稱為 PC1、PC2、PC3 和 PC4?，F在，PC1 第一次要向 PC2 發送一個數據包。 雖然 PC1 在第一次通信時知道 PC2 的 IP 地址，但它不知道接收主機的 MAC地址。因此，交換機向所有端口發送ARP請求（不包括PC1所連接的端口），PC2 收到 ARP 請求后，將回復一個帶有其 MAC 地址的 ARP 響應消息。這樣，PC2 也就收集到了PC1 的 MAC 地址。 通過上述消息的來回流動，交換機就知道哪些MAC地址分配給了哪些端口。同樣，當 PC2 在 ARP 響應消息中發送其 MAC 地址時，交換機會收集 PC2 的 MAC 地址并將其存儲到自己的 MAC 地址表中。 從現在開始，每當 PC1 想要向 PC2 發送任何數據時，交換機只需在其地址表中查找并轉發到 PC2 的目標端口。 如此，交換機將繼續維護每個連接主機的硬件地址。沖突和廣播域在二層交換中，當兩個或多個主機試圖在同一網絡鏈路上以相同的時間間隔進行通信時，可能會發生沖突。當數據幀發生沖突，設備必須重新發送數據。沖突對網絡性能有嚴重的負面影響，因此＊＊要避免沖突。 廣播是一種信息的傳播方式，指網絡中的某一設備同時向網絡中所有的其他設備發送數據，這個數據所能廣播到的范圍即為廣播域。簡單點說，廣播域就是指網絡中所有能接收到同樣廣播消息的設備的集合。 使用一個或多個交換機組成的以太網，所有站點都在同一個廣播域。隨著交換機變多，這個廣播域的范圍也會變大，于是就會出現難以維護、廣播風暴以及安全等問題。 上文說過，一個主機想要獲取另外一個網段的主機MAC地址，需要發送ARP廣播請求獲取對方主機的MAC地址。這個廣播請求會廣播到每一個主機身上，容易導致廣播風暴。VLAN為了克服沖突和廣播域問題，在計算機網絡系統中引入了VLAN(虛擬局域網)技術。 分隔廣播域有兩種方法：1. 物理分隔：將網絡從物理上劃分為若干個小網絡2. 邏輯分隔：將網絡從邏輯上劃分為若干個小的虛擬網絡即VLAN 物理分隔有很多缺點，會使得局域網的設計缺乏靈活性，而VLAN則具有靈活性和可擴展性。VLAN配置是在交換機級通過使用不同的接口完成的，不同的交換機可以有不同或相同的 VLAN 配置，并可以根據網絡的需要進行設置。 在同一個 VLAN 內的設備和用戶并不受物理位置的限制，可以根據功能、部門及應用等因素將它們組織起來，相互之間的通信就好像在同一個網段中一樣。因此，與不同交換機相連的主機可以共享同一個廣播域。 為了更好地理解VLAN ，我們舉個栗子，其中一個使用 VLAN，另一個不使用 VLAN。如果沒有 VLAN，從主機 1 發送的廣播消息將到達網絡中的所有設備。如果給網絡中的兩個交換機添加一個名為 fast Ethernet 0 和 fast Ethernet 1 的接口卡（通常表示為 Fa0/0）來配置 VLAN，來自主機1 的廣播消息將僅發送到主機2。使用了VLAN的網絡 在進行配置時會發生這種情況：只有主機 1 和主機 2 定義在同一組 VLAN 下，而其他設備組件是別的 VLAN 網絡的成員。 需要注意的是，二層交換機只能允許主機設備與同一個VLAN的主機通信。要到達另一個網絡的主機設備，需要三層交換機或路由器。 VLAN 網絡高度安全，因為其配置類型，任何文件都可以通過兩個預定義的、物理上沒有連接的同一VLAN的主機發送。廣播流量也由它管理，因為消息將僅發送和接收到定義的 VLAN集，而不是網絡上的每個設備。 訪問和中繼端口 在交換機端口上可以完成各種類型的配置，給VLAN 分配一個訪問端口，就可以訪問單個 VLAN 網絡。 當我們只需要簡單地將主機終端設備配置到特定的 VLAN 網絡時，就會使用訪問端口。 如果需要訪問多個交換機，且需要訪問不同的VLAN，則將接口配置為交換機的中繼端口。中繼端口的智能程度足以承受多個VLAN的流量。 配置 VLAN 1、要在交換機上配置 VLAN，首先要在交換機上啟用 IOS 模式。2、創建 VLAN 的命令為onfig mode VLAN NUMBER i.e. Switch(config)# VLAN 10。3、通過使用接口命令，我們可以在 VLAN 下分配快速以太網端口。4、通過使用 switchport 訪問命令行，我們可以指定接口是訪問模式。5、下一條命令將分配 VLAN 編號到交換機端口訪問模式。6、switchport access mode 命令只能分配給單個 VLAN。當需要配置多個 VLAN，使用 switchport trunk mode interface 命令，因為它可以承載多個 VLAN 的流量。 二層交換機的特點下面列出了二層交換機的各種特性。 · 二層交換機可以充當網橋，將計算機網絡系統的各種終端設備連接在一個平臺上。它們能夠非?？焖偾矣行У貙祿腖AN 網絡的源端傳輸到目標端?！?nbsp;二層交換機通過從交換機的地址表中學習目的節點的MAC地址，執行交換功能，將數據幀從源端重新排列到目的端?！?nbsp;MAC地址表為二層設備提供了唯一的地址，用于標識數據下發的終端設備和節點?！?nbsp;二層交換機將龐大復雜的 LAN 網絡拆分為一個個小的VLAN網絡?！?nbsp;通過在一個大型的 LAN 網絡中配置多個 VLAN，在沒有物理連接的情況下，交換變得更快。二層交換機的應用下面給出了二層交換機的各種應用。通過二層交換機，我們可以輕松地將位于同一VLAN內的數據幀從源端發送到目的端，而無需物理連接或位于同一位置。因此，軟件公司的服務器可以集中放置在一個位置，而分散在其他位置的客戶端可以輕松訪問數據而沒有延遲，從而節省服務器成本和時間。組織可以通過使用這些類型的交換機將主機配置在同一個VLAN中，而不需要任何互聯網連接，從而實現內部通信。三層交換機當我們需要在不同的 LAN 或 VLAN 之間傳輸數據時，二層交換機就無法滿足了。這時需要三層交換機，因為它們將數據包路由到目的地的技術是IP 地址和子網劃分。 三層交換機工作在 OSI 參考模型的第3層，并使用 IP 地址執行數據包的路由。它們比二層交換機具有更快的切換速度，甚至比傳統路由器更快，因為它們不使用額外的躍點來執行數據包的路由，從而會帶來更好的性能。要理解三層交換機的功能，首先需要先了解路由的概念。 第3層中的源端設備首先查看自己的路由表，路由表中包含了源IP地址、目的IP地址和子網掩碼的所有信息。然后，根據它從路由表中收集的信息，將數據包發送到目的地，并可以在不同的LAN、MAN和WAN網絡之間進一步傳遞數據。它遵循＊短且安全的路徑在終端設備之間傳遞數據。這就是路由的總體概念。 各種網絡可以通過STM鏈路連接在一起，STM鏈路有很高的帶寬，DS3鏈路也可以。連接的類型取決于網絡的各種參數。三層交換機的特點三層交換機的各種特性如下所示： 1、執行靜態路由，以在不同 VLAN 之間傳輸數據。而二層設備只能在同一 VLAN網絡之間傳輸數據。2、以與路由器相同的方式執行動態路由，這種動態路由技術允許交換機執行＊佳數據包路由。3、根據網絡的實時場景提供一組多路徑來傳遞數據包。交換機可以選擇＊可行的路徑來路由數據包，目前流行的路由技術包括 RIP 和 OSPF。4、有能力識別關于流量流向的交換機的相關IP地址信息。5、能夠根據子網劃分或 VLAN 流量標記部署 QoS 分類，而不是像二層交換機那樣手動配置交換機端口。6、需要更多的功率來運行，并在交換機之間提供更高帶寬的鏈路，這些鏈路幾乎超過 10Gbits。7、為數據交換提供高度安全的路徑。三層交換機的應用三層交換機的應用如下: · 被廣泛用于數據中心等大型園區。三層交換機具有靜態路由和動態路由等特點，且交換速度比路由器快，因此它被用于局域網連接中，用于多個VLAN和LAN網絡的互連?！?nbsp;三層交換機與多臺二層交換機相結合，可以支持更多用戶接入網絡，無需額外部署三層交換機和更多帶寬。如果一個網絡平臺上的終端用戶數量增加，那么無需對網絡進行任何增強，就可以輕松地將其容納在同一個運行場景中?！?nbsp;三層交換機可以輕松處理高帶寬資源和＊終用戶應用，它提供了 10Gbits 帶寬?！?nbsp;三層交換機有能力解除過載的路由器的負擔。在廣域網場景中，每個三層交換機都有一個主路由器，這樣交換機就可以管理所有的本地VLAN路由?！?nbsp;通過遵循上述類型的場景，路由器的工作效率將會提高，并且可以專門用于長距離（WAN）連接和數據傳輸?！?nbsp;三層交換機十分智能，可以利用其高帶寬處理和管理本地連接的服務器和終端設備的路由和流量控制。因此，公司通常使用三層交換機來連接其監控服務器和子系統NOC中心的主機節點。三層交換機的 VLAN 間路由下圖顯示了三層交換機與二層交換機相結合的跨 VLAN 路由操作。 我們再舉個栗子來幫助理解：在大學中，教職員工和學生的 PC 通過二層和三層交換機連接在不同的VLAN上。某教職員工 VLAN 的 PC 1 想其他教員VLAN中的pc2進行通信。由于兩個終端設備屬于不同的 VLAN，我們需要三層交換機將數據從PC 1 路由到PC 2。 首先，二層交換機借助硬件部分的MAC地址表來定位目標主機。然后從MAC表中學習接收主機的目的地址。之后，三層交換機根據IP地址和子網掩碼進行交換和路由，它將明確PC1希望和哪個VLAN網絡的目標PC通信。一旦它收集了所有必要的信息，將在它們之間建立鏈接，并將數據從發送端路由到接收端。這樣就完成了不同VLAN間的通信?？?nbsp; 結二層與三層交換機之間有以下區別： 工作層級不同：二層交換機工作在數據鏈路層，三層交換機工作在網絡層，三層交換機不僅實現了數據包的高速轉發，還可以根據不同網絡狀況達到＊優網絡性能。 原理不同：二層交換機的原理是當交換機從某個端口收到一個數據包，它會先讀取包中的源MAC地址，再去讀取包中的目的MAC地址，并在地址表中查找對應的端口，如表中有和目的MAC地址對應的端口，就把數據包直接復制到這個端口上。三層交換機的原理比較簡單，就是一次路由多次交換，通俗來說就是第一次進行源到目的的路由，三層交換機會將此數據轉到二層，那么下次無論是目的到源還是源到目的都可以進行快速交換。 功能不同：二層交換機基于MAC地址訪問，只做數據的轉發，并且不能配置IP地址，而三層交換機將二層交換技術和三層轉發功能結合在一起，也就是說三層交換機在二層交換機的基礎上增加了路由功能，可配置不同VLAN的IP地址，可通過三層路由實現不同VLAN之間通訊。 應用不同：二層交換機主要用于網絡接入層和匯聚層，而三層交換機主要用于網絡核心層，但是也存在少部分三層交換機用于匯聚層的現象，下圖是三層交換機的實際應用實例。 支持的協議不同：二層交換機支持物理層和數據鏈路層協議，而三層交換機支持物理層、數據鏈路層及網絡層協議。