融合的动力与风险
OT 与 IT 融合的驱动力是数据：生产数据要向 ERP、MES、质量与能耗分析系统汇聚，企业也希望统一远程运维与账号管理。风险集中在三点：边界打开后 IT 侧威胁可以直接进入控制层；统一账号与集中管理把 IT 侧权限放大到控制层；数据通道本身是双向的，管理端可能反向影响生产。控制思路是保留单向或代理通道，不让 IT 侧对控制层形成直接可达。
典型融合场景
| 数据上送 | 历史数据、质量与能耗数据向管理层汇聚 |
|---|---|
| 集中运维 | 统一远程接入、统一账号与补丁分发 |
| 云端分析 | 预测性维护、工艺优化与远程诊断 |
| 供应链协同 | 订单、排产与物流数据交换 |
| 移动应用 | 移动端查看生产状态与报表 |
风险与控制点
| 风险 | 成因 | 控制点 |
|---|---|---|
| IT 威胁横向进入 | 通道双向且账号共用 | 单向或代理通道，独立账号体系 |
| 权限被放大 | 企业目录直接管理 OT 资产权限 | OT 侧独立认证并限定可控对象 |
| 数据通道被反向利用 | 同一通道支持写入 | 默认只读，写操作单独评估与审批 |
| 责任与合规模糊 | 跨部门边界不清 | 写入制度，明确变更与审批责任人 |
| 监控盲区 | 跨区流量无日志 | 边界与关键链路日志统一汇聚并告警 |
融合设计的四条底线
- 控制层不对 IT 侧开放直接可达的读写接口
- 跨区通道默认只读，写操作需单独评估、审批并记录理由
- OT 侧保留独立账号体系，不允许企业目录直接管理控制器与工位权限
- 每一条跨区通道都有日志、责任人与到期复核时间
「只读」在协议层面常常并不可靠：许多工业协议没有读写分离的授权机制，读接口可达往往同时意味着写能力可达。只读要求需要网关或工业防火墙做协议级限制才能真正成立。
数据上云前首先要回答数据本身的问题：配方、工艺参数与产量数据常属于企业核心资产，外发前应明确分类、脱敏要求与责任归属，避免在安全评估时才发现数据已经外流。