两种工位的职责
操作员站（HMI）与工程师站职责完全不同，但现场常把它们装在同一台电脑或同一网段。操作员站负责监视工艺参数、确认报警并按规程操作；工程师站负责下装控制逻辑、组态画面、修改联锁与参数、诊断控制器。前者的权限应限制在「操作」，后者具备改变过程行为的能力，一旦被滥用或被恶意利用，影响等同于在现场直接操作设备。因此职责与权限隔离是工控安全的基本要求。
职责对照
| 操作员站职责 | 监视、报警确认、按规程操作与记录，不应具备程序下装权限 |
|---|---|
| 工程师站职责 | 组态、下装、调试、诊断与逻辑备份，权限最高但使用频率低 |
| 共同要求 | 独立登录身份、会话超时、操作日志与变更留痕 |
| 常见缺陷 | 同一主机承担两种角色，权限叠加形成高权限终端 |
| 物理位置 | 操作员站位于控制室；工程师站宜单独放置并限制进入 |
风险与控制措施
| 角色 | 主要风险 | 控制措施 |
|---|---|---|
| 操作员站 | 误操作、屏幕被越权旁观或远程接管 | 按角色授权，限制远程控制类工具 |
| 工程师站 | 凭据共享、离线介质感染、随意下装 | 专用设备与专用网段，下装前备份并审批 |
| 两种角色共用主机 | 权限叠加形成高权限终端 | 物理或虚拟分离，最低限度做到账户会话隔离 |
| HMI 远程访问 | 远程桌面工具被长期开启滥用 | 经跳板机接入，全程录屏与审计 |
落地检查清单
- 操作员账户能否直接打开组态软件或编程工具
- 工程师站是否接入办公网络或具备互联网访问能力
- 每次下装是否有事前备份与事后记录，能否追溯到人
- 是否存在多台机器共用同一工程师账户的情况
- HMI 的远程访问工具是否限定白名单来源并保留会话记录
- 画面与逻辑文件的离线副本是否集中受控保存并可校验版本
若因成本必须共用主机，至少做到独立账户与会话、组态软件仅在维护窗口可用、使用后退出并留存操作记录，同时明确风险接受人。这属于补偿措施，不等同于隔离，也不应作为长期方案。
工程师站是攻击者在 OT 侧最希望落地的位置：它同时具备与控制器通信的通道和写入权限。针对工程师站的远程访问应当逐次审批并全程审计，而不是作为便利工具长期开启。