典型组成与各自角色
工业控制系统由现场层、控制层、监控层与信息层构成：传感器与执行器完成物理量采集与动作，PLC 与 RTU 执行逻辑与回路控制，HMI 与操作员站提供人机界面，SCADA 负责广域数据采集与集中监控，DCS 面向连续过程的整套控制，历史库保存时序数据，工程师站承担组态与程序下装，安全仪表系统（SIS）独立执行安全联锁。安全设计要先确认每个组件的角色、接口与权限，因为它们直接决定攻击面与影响范围。
职责与接口
| 传感器与执行器 | 采集物理量与执行动作；4-20mA、HART、IO-Link、硬接线 |
|---|---|
| PLC 与 RTU | 逻辑运算与回路控制；Modbus、PROFINET、EtherNet/IP、DNP3 |
| DCS 控制器 | 连续过程回路与批量控制；专有控制网络、OPC |
| HMI 与操作员站 | 监视与操作；以太网、OPC UA |
| SCADA 服务器 | 多站点采集、报警与趋势；Modbus、DNP3、IEC 60870-5-104 |
| 工程师站 | 组态、程序下装与调试；与控制器同网段，权限最高 |
| 历史库 | 时序数据存储与查询；OPC、SQL 接口 |
| SIS | 安全联锁，独立于过程控制；专用网络与硬接线 |
角色与安全关注点
| 角色 | 权限特征 | 主要风险 |
|---|---|---|
| 操作员 | 可发指令，不应改组态 | 误操作与操作滥用难以追溯 |
| 工程师 | 可下装逻辑，权限最高 | 凭据共享、离线介质感染 |
| 采集账户 | 只应读取多站数据 | 账户被用于横向扫描与探测 |
| 厂商运维 | 临时高权限 | 通道长期不关、活动无审计 |
| SIS 维护 | 可改变联锁条件 | 误改或临时旁路被遗忘 |
梳理角色要问四件事
- 谁可以向控制器写数据，而不只是谁能读数据
- 写权限通过什么工具与协议实现，能否被日志记录
- 是否存在绕过系统审计的本地接口，如 USB、串口与调试口
- 同一账户是否被多台设备或多个人复用，能否定位到具体责任人
采集与控制权限应分开：采集账户只给读权限，写操作由独立操作员账户在固定工位完成。这样即使采集侧主机沦陷，也不会被直接用于改写过程值。
工程师站与 SIS 工程口是工控环境中价值最高的目标：前者掌握全部控制逻辑，后者可改变安全联锁触发条件。两者都应限制访问来源、启用操作审计并保留离线备份。