局限从哪里来
普渡模型的前提是「按功能分层、通信逐级收敛」，但真实工厂里这个前提经常不成立：现代以太网控制网络把 L1 与 L2 合成同一网段，云端 SCADA 与远程运维带来 L5 到 L1 的通道，无线仪表、移动 HMI 与 AGV 天然跨层。更关键的是它只描述通信关系，不描述资产重要性、威胁路径与组织责任边界，因此不能直接作为风险评估或合规判据。
五类典型错位
| 扁平化控制网 | 控制器、HMI、工程师站同网段，L1 与 L2 的分界实际上已消失 |
|---|---|
| 远程与云端 | 远程运维、云端 SCADA 引入越过 L3.5 的直达通道 |
| 无线与移动 | 无线仪表、移动终端、AGV 调度系统跨越分层假设 |
| 组织错位 | 同一网络服务多个装置或厂区，层级与运维责任边界不一致 |
| 标准取向 | IEC 62443 的区域与管道模型更灵活，可直接表达业务与安全要求 |
局限与替代做法
| 局限 | 后果 | 替代做法 |
|---|---|---|
| 默认为层级等于安全等级 | 认为 L3 一定比 L2 安全，误判风险 | 按 IEC 62443 对每个区域分别确定目标安全等级 |
| 只描述通信关系 | 无法表达方向、协议与业务语义 | 维护区域与管道清单，记录协议、方向、端口、限速 |
| 缺少组织维度 | 跨厂区集中监控时找不到责任人 | 台账中补充资产所有者与运维责任团队字段 |
| 静态视图 | 临时直连与厂商通道不断改变实际拓扑 | 临时通道纳入审批与到期自动关闭，定期核查通路 |
| 不定义安全边界 | 网络上的 L3.5 不等于合规要求的边界 | 与等级保护等合规条款逐条对照后再设计 |
实践中的修正方式
- 以区域与管道为主体做设计与评价，分层图只用于向管理层解释结构
- 每条跨层通路都要写清业务理由、协议、方向与责任人，缺一项即为不合规通道
- 扁平化网络中按资产重要性与停机代价再切分子区域，用 VLAN 与 ACL 做最小可达
- 把调试口、厂商支持通道与移动终端纳入同一套登记流程
- 每年至少一次从现场设备反向验证可达性，而不是只复核配置文件
判断分层是否还有效的实用方法：从现场设备出发，问「有哪些网络位置能直接访问这个设备」。如果答案超过两跳，说明分层已被绕开，需要按实际通路重建模型，而不是修改图纸。
扁平化控制网络中一台工程师站被感染，暴露面等于整个网段。继续按分层图评估影响范围，会把真实的爆炸半径显著低估，事件响应的人力与取证范围都会准备不足。