区域与管道是什么
区域（Zone）与管道（Conduit）出自 IEC 62443-3-2：区域是一组安全要求相同的资产集合，管道是区域之间唯一允许的通信路径。设计顺序是先按功能、位置、责任与安全需求把系统切成区域，为每个区域确定目标安全等级（SL-T），再把跨区通信收敛成少数可审计、可管控的通道。它的好处是把「隔离」从一句口号变成可以逐条检查的清单。
基本信息
| 依据标准 | IEC 62443-3-2 风险评估与系统设计、IEC 62443-3-3 系统安全要求 |
|---|---|
| 划分依据 | 功能、物理位置、责任主体、安全等级需求、生命周期 |
| 管道要素 | 源区域、目的区域、协议与端口、方向、控制措施、责任人 |
| 关键产出 | 区域清单、管道清单、SL-T 目标、差距清单与整改项 |
| 配套工具 | 资产台账、网络拓扑图、数据流图、防火墙策略导出 |
划分区域的五条依据
- 功能：基本控制、过程监控、安全仪表、生产管理各自成区，避免一组故障连带另一组
- 物理：同一车间、机柜或野外站点归为一区，便于定义物理与环境防护要求
- 责任：由不同承包商或运维团队管理的部分尽量分开，责任边界与安全边界对齐
- 安全等级：SL-T 不同的资产不应混在同一区域，否则最弱资产决定整区水位
- 生命周期：老旧系统单独成区，便于施加额外隔离与补偿措施
管道清单字段示例
管道清单字段示例
源区域: L2 操作员区 # 写清具体网段，而不是笼统写 L2
目的区域: 历史数据区 # 接收方，同样要具体到网段或主机
协议与端口: Modbus TCP/502 # 网关映射关系另附一张表
方向: 单向推送 # 只允许写入，禁止反向读取与建连
控制措施: 工业防火墙 + 白名单 # 措施要与实际策略一一对应
责任人: 控制部 王工 # 变更审批人与到期复核人
有效期: 2026-12-31 # 临时通道必须带到期时间区域设计检查项
| 检查项 | 合格表现 | 常见问题 |
|---|---|---|
| SL-T 已确定 | 每个区域有等级与理由 | 全部区域默认同一等级 |
| 管道唯一 | 跨区流量只走登记的通道 | 存在未登记的直连与临时跳线 |
| 通道最小化 | 只开通必需协议与端口 | 为方便调试放行全部端口 |
| 方向受控 | 明确单向或双向 | 双向放行后成为横向跳板 |
| 边界可审计 | 跨区流量有日志与告警 | 无日志，事后无法追溯 |
区域粒度没有标准答案：太粗等于没隔离，太细会让管道数量爆炸。常用判断是「同一区域内的资产能否接受同样的安全措施与停机代价」，不能承受就继续切分。
定级过高并不比定级过低安全：把全部区域都定为高等级会让措施成本不可承受，项目无法落地，最终退化成一份无人执行的纸面文件。