从数据到物理后果
工控风险的特殊性在于数字动作会转化为物理后果：被篡改的设定值可能导致超压、超温或机械损伤；通信中断会让操作员失去对过程的可见性；被伪造的测量数据会让控制系统做出错误决策。识别这类风险要从数据到动作的链条入手：哪些数据会影响执行器，哪些动作无法被物理约束阻止，以及出现异常时人能否及时介入。
风险链条要素
| 数据入口 | 测量值、设定值、配方与参数的下发路径 |
|---|---|
| 决策环节 | 控制器的逻辑运算与联锁条件 |
| 动作出口 | 执行器、变频器、阀门与启停机构 |
| 人的介入 | 操作员能否及时发现问题并接管 |
| 物理约束 | 机械限位、安全阀、硬接线联锁等 |
| 时间窗口 | 从异常发生到产生物理后果之间的时间 |
风险类型与识别问题
| 风险类型 | 识别问题 | 关注点 |
|---|---|---|
| 设定值被篡改 | 谁能写入设定值，写权限如何限制 | 无认证协议与共享账号 |
| 测量数据被伪造 | 测量值经过哪些环节，能否被替换 | 明文总线与可写网关 |
| 控制逻辑被篡改 | 谁能下装逻辑，是否有版本基线 | 工程师站与调试口 |
| 可用性中断 | 链路中断后回路如何运行 | 缺少本地手动兜底 |
| 可见性丧失 | 通信中断时操作员看到什么 | 上位机与控制器同时异常 |
| 人为因素 | 异常时是否有明确规程 | 授权与培训不足 |
识别时要问的问题
- 哪些执行器动作的后果不可逆，例如泄压、投料与启停顺序
- 从异常发生到物理后果之间有多少时间，人能否在这一时间内介入
- 硬件保护是否独立于被评估的控制链路，例如安全阀与限位开关
- 是否存在绕过保护的操作习惯，例如长期旁路或就地手动操作
- 通信异常时操作员看到什么，是否有明确的无数据处置规程
- 配方与参数变更能否被追溯，谁能批准与执行
物理保护层最容易被忽略，却往往最可靠：安全阀、限位开关与硬接线联锁不依赖网络，它们限制的是最坏后果而不是阻止攻击发生。评估时要确认这些保护是否独立、是否定期校验。
「画面正常」不等于系统正常：被篡改的数据同样会以正常画面呈现。识别风险要关注数据来源与校验能力，而不只是操作员最终看到的结果。