工控恢复比 IT 恢复多一层
办公系统的恢复目标是「服务重新可用」，工控系统的恢复还要回答一个额外问题：在系统不可用期间，生产怎么继续，以及恢复过程本身是否安全。因为部分工艺在重启、恢复与重新投入时会经历危险工况——阀门动作、温度压力变化、物料残留——恢复不能像开关一样一键完成，而要按工艺规程逐步推进。因此工控灾难恢复策略是四层结构：设备层解决备件与备机，数据层解决配置、程序与历史数据，系统层解决服务器与主站的重建能力，工艺层解决停产期间的最低运行方式与手动操作方案。
基本信息
| 设备层 | 关键设备的备件与备机，含固件版本一致性与替换流程 |
|---|---|
| 数据层 | 控制器程序与组态、服务器与数据库配置、历史数据及其留存策略 |
| 系统层 | 服务器与主站的重建步骤、软件安装包与许可证、账号与配置恢复顺序 |
| 工艺层 | 停产期间的最低运行方式、手动操作流程、纸面记录方式与复产步骤 |
| 关键指标 | 恢复时间目标、可容忍的数据丢失范围、以及最低运行方式的维持时长 |
| 恢复顺序 | 按安全与环境影响排序，涉及人身与环境安全的环节优先恢复 |
| 演练要求 | 定期演练并记录实际耗时与发现的问题，演练机会优先利用检修窗口 |
策略要点
- 分级恢复：先恢复安全相关与关键监控，再恢复一般功能，顺序提前定好而不是现场决定
- 依赖清单：列出恢复所需的备件、安装包、许可证、账号与供应商联系方式
- 最低运行方式：明确停产期间如何维持基本生产与安全监视，并写成可执行的操作说明
- 复产规程：恢复供电、启动设备、恢复通信与投料上线的顺序与确认点
- 演练常态化：把恢复演练纳入检修窗口，验证备份可用性与实际恢复耗时
- 文档同步：恢复步骤、依赖清单与联系人随设备与人员变动及时更新
- 与业务连续性计划衔接：生产、工艺、安全、信息各方职责与决策路径明确
恢复层次与依赖
| 层次 | 恢复内容 | 主要依赖 |
|---|---|---|
| 设备层 | 故障设备替换与参数恢复 | 备件库存、固件安装包、替换流程 |
| 数据层 | 程序、组态与数据恢复 | 版本可辨识的备份与校验手段 |
| 系统层 | 服务器与主站重建 | 安装包、许可证、账号与配置清单 |
| 工艺层 | 最低运行方式与复产 | 工艺规程、人员安排、手动记录方式 |
| 组织层 | 人员职责与联络恢复 | 联系清单与决策路径 |
工控恢复方案必须与工艺方共同编制：哪些设备可以立即断电、哪些需要按顺序停机、恢复时先启动什么后启动什么，这些判断只有熟悉工艺的人能给出。安全团队单方面编写的恢复方案，在生产环境下往往无法执行。