区域与管道是什么
区域是一组具有相同安全需求的资产，同一区域内的设备默认相互信任；管道是区域之间受控的通信通道，跨区流量必须经过管道并遵守管道里写明的规则。这套概念来自工业自动化与控制系统安全的分区思路，与传统的网段划分不同：网段是按地址划的，区域是按安全需求与工艺关系划的，一个网段里可能存在需要分开的区域，一条区域边界也可能跨越多个网段。设计的目标是让跨区流量可枚举、可管控、可验证。
基本信息
| 设计输入 | 资产清单、设备间通信矩阵、工艺上下游关系、停机影响分析 |
|---|---|
| 设计输出 | 区域清单、通道清单、每条通道的边界设备与允许的协议与服务、验证方法 |
| 划分粒度 | 过粗等于没分，过细会导致通道数量爆炸，一般以工艺单元与管理职责为尺度 |
| 与分层模型的关系 | 区域划分可参考通用的控制层级模型，但不强制按层切分，允许按工艺重排 |
| 边界设备 | 具备过滤与记录能力的设备，串接在真实通道上 |
| 维护要求 | 区域与通道清单纳入变更管理，任何新通道须评审后登记 |
落地设计六步
- 第一步清点资产：把控制器、上位机、服务器、网络与安全设备、现场智能设备都列出来，标出所属工艺段与责任人
- 第二步采集通信关系：通过抓包与设备配置梳理谁与谁通信、用什么协议、按什么周期，形成通信矩阵
- 第三步按安全需求分组：把相互信任、影响范围一致的设备归入同一区域，参考工艺单元与管理边界
- 第四步定义管道：只保留业务上真正必要的跨区通信，逐条写明源区域、目的区域、协议、服务与方向
- 第五步选边界设备并落规则：根据带宽、时延与协议识别需求选择串接或旁路设备，把管道规则转成可执行策略
- 第六步验证与登记：用测试流量验证规则生效，把区域、管道、规则与责任人一并入档，接入变更流程
常用划分依据对照
| 划分依据 | 适用情形 | 潜在问题 |
|---|---|---|
| 工艺流程 | 同一工艺单元的联动控制关系紧密 | 跨工艺的辅助系统容易被遗漏 |
| 安全等级 | 存在安全仪表或涉及人身环境风险的设备 | 等级判定需要工艺与安全共同确认 |
| 管理职责 | 不同车间或承包方各自运维 | 边界位置可能与物理位置不一致 |
| 网络技术 | 存在串口、现场总线、工业以太网并存的现场 | 技术边界与安全边界不一致时需要转换设备 |
区域划分的一个实用判断标准：同一个区域内的设备如果被同一台设备攻击者接触到，是否会造成相同量级的后果。如果两台设备的后果量级相差很大，就应该分到不同区域并明确管道规则。