用途：在 OT 安全评估发现 Purdue 各层级之间无分段、缺乏隔离时，实施 IEC 62443 区域/管道架构；也用于 IT/OT 融合安全项目中分离 IT 与 OT 网络、在 IT 与 OT 之间部署 DMZ，以及将安全仪表系统（SIS）与基本过程控制系统（BPCS）分段。若仅为纯 IT 微隔离场景，或无先前流量分析的初始区域设计，则不适用，应分别先参考实现零信任及执行 OT 网络安全评估。
主要能力：基于流量基线与资产清单设计 VLAN 与防火墙架构；生成 VLAN 分配、防火墙规则及分阶段迁移计划；配置工业交换机 VLAN 与端口安全；部署 OT 感知防火墙与数据二极管；实施后验证分段有效性。
使用方式：先完成 2-4 周被动监控的流量基线，准备含 Purdue 层级分类的资产清单、支持 VLAN 与端口安全的工业交换机及 OT 感知防火墙，安排维护窗口并准备经运营管理层批准的回滚计划。通过 Python 工具使用流量基线生成分段设计，例如运行 python segmentation_designer.py <baseline.json> [output.json]；再按 Cisco 工业以太网交换机示例配置 VLAN、端口安全与未用端口加固；最后运行验证脚本测试各区域间连通性是否符合预期（阻断或允许）。
限制：需要完备的流量基线和资产清单；迁移须在维护窗口内进行并有回滚方案；SIS 隔离完成后不应回退。文档未提供具体价格、平台版本或性能指标。