SIS 与信息安全的交叉点
安全仪表系统（SIS）独立于过程控制系统，按功能安全标准设计，目标是在工艺异常时把过程带入安全状态。它的设计假设是元件随机失效与人为失误，而不是恶意攻击：一旦攻击者能修改联锁逻辑、旁路条件或伪造传感器输入，安全功能就可能在最需要的时候失效。因此 SIS 的信息安全要求集中在保持完整性上，通常采用更严格的隔离、更少的接入点与更严的变更审批。
基本信息
| 设计依据 | 过程工业参考 IEC 61511，通用功能安全参考 IEC 61508，具体适用范围以标准为准 |
|---|---|
| 安全完整性等级 | 按风险降低需求确定 SIL 目标，用于约束硬件与校验要求 |
| 独立性 | 与过程控制系统在传感器、执行元件与逻辑运算上保持独立 |
| 信息安全定位 | 保护联锁逻辑、旁路条件与测量输入不被篡改 |
| 常见接入点 | 工程师站、组态口、诊断口、时间同步与向 DCS 的数据上送 |
| 隔离趋势 | 物理隔离减少，但对隔离强度与单向数据流的要求提高 |
功能安全与信息安全差别
| 维度 | 功能安全 | 信息安全 |
|---|---|---|
| 威胁模型 | 随机失效与人为失误 | 有意的恶意行为 |
| 设计目标 | 降低失效概率与后果 | 降低被利用与篡改的可能 |
| 主要手段 | 冗余、诊断、定期校验 | 隔离、访问控制、审计与监测 |
| 验证方式 | 功能测试与校验周期 | 漏洞管理、配置核查与演练 |
| 交集 | 两者都会影响安全功能的可用性 | 攻击可使安全功能静默失效 |
SIS 加固要点
- 联锁旁路必须留痕：有审批、有记录、有到期时间，并可核对恢复状态
- 工程师站与组态口严格限制接入来源，禁止接入办公网络与互联网
- 与过程控制系统的数据交换优先单向，若需双向须评估对安全功能的影响
- 定期功能测试时同步核对逻辑与配置未被修改，两件事一起做
- 保留离线逻辑备份与明确的恢复步骤，并定期演练
- 把 SIS 所在网段默认排除在主动扫描与渗透测试范围之外
旁路是功能安全与信息安全共同的薄弱点：为检修而旁路的联锁如果忘记恢复，后果与联锁本身失效相同。信息安全侧可提供的控制是让每次旁路都有审批、记录与到期提醒，并纳入交接班检查。
认为 SIS 只要物理隔离就不需要信息安全，已经不符合现实：现场调试、厂商支持与仪表组态都需要接入，任何接入点都可能被利用来改动逻辑或伪造数据。