工业控制系统（ICS）的风险评估：IEC 62443的适用

工业控制系统（ICS）的风险评估

IEC62443的适用本文档提供：系统边界与资产盘点表（表2）；分区管道划分核对表（表3）；初始风险评估与SL-T设定表（表4）；SL等级对照与选取判定表（表5）；62443-3-2ZCR5详细评估执行表（表6）；安全等级差距评估表（表7）和SL差距率式(1)；认证类型与证据核对表（表8）；认证准备成熟度自查表（表9）和成熟度达标率式(2)；监控指标表（表10）；决策规则表（表11）；矛盾权衡表（表12）；三套场景操作序列表（表13）；完整评估示例与案例变量表（表14）；来源说明表（表15）。

2026-11-05表1目录与定位表这一节的标题读完你能拿到什么这一节在全文中的功能一、先圈系统边界：哪些设备算进来，资产台账从哪几列开始填系统边界与资产盘点表（表2）确定被评估系统（SUC）的范围和资产清单，锁定后续分区和评估的底数二、分区管道：把一张工控网切成几块，每块之间卡在哪分区管道划分核对表（表3）按物理和逻辑边界划分Zone和Conduit，写清每条管道的访问控制要求三、每个区管道定一个目标安全等级：SL1到SL4怎么选SL等级对照与选取判定表（表5）和初始风险评估与SL-T设定表（表4）用初始风险后果和威胁情景把每个Zone/Conduit归入SL1—SL4，填出SL-T四、62443-3-2的详细评估：ZCR5八个步骤逐项填62443-3-2ZCR5详细评估执行表（表6）按威胁、漏洞、后果、可能性、风险值、措施、剩余风险顺序完成详细评估五、现状离目标差多远：差距评估和SL差距率安全等级差距评估表（表7）和SL差距率式(1)逐条要求对照现状，算出每个Zone/Conduit的差距率，定整改优先级六、认证选哪种：4-1流程、4-2产品、3-3系统认证类型与证据核对表（表8）区分三类认证的适用范围、审计周期和证据要求，避免选错认证类型七、认证前自查：4-1的八个实践域和成熟度等级认证准备成熟度自查表（表9）和成熟度达标率式(2)逐实践域判定ML1—ML4，找到审计前必须补到ML3的项八、拿证之后的监控：证书维持和日常指标监控指标表（表10）按年度监督审核和日常漏洞/补丁/事件指标维持认证状态九、六个判断分叉的规则和退路决策规则表（表11）和矛盾权衡表（表12）处理SL-T取值分歧、补丁与停机冲突、认证范围取舍的决策十、三套场景：首次评估、认证前差距评估、年度维持三套场景操作序列表（表13）按评估阶段和认证状态选择检查项与公式组合十一、某工厂完成一次ICS风险评估并定认证路径的完整示例完整示例和案例变量表（表14）展示从资产盘点到认证类型选择的全程十二、数据来源与时效说明来源说明表（表15）标注事实型断言的来源层级和复核状态按第一列在正文找对应那节，按第二列判断这节是否包含所需成品，按第三列判断这节是否对应当前卡住的位置。一、先圈系统边界：哪些设备算进来，资产台账从哪几列开始填打开工厂网络拓扑图和设备台账，第一件事是写下“被评估系统（SUC）”的范围：从哪条产线、哪个控制室到哪台上位机。边界写不清，后面的分区和风险值都会漂。表2逐台设备填IP地址、固件版本、已知漏洞和生命周期状态，填完“是否在SUC内”列，交OT安全负责人签字。表2系统边界与资产盘点表设备名称IP地址/网段固件或OS版本已知漏洞（CVE编号与严重度）厂商支持状态是否在SUC内示例行：灌装线PLC-03灌装线PLC-0310.10.20.31/24V3.2.1CVE-2024-XXXX，CVSS8.1支持期内，至2027-06是CVSS8.1，支持期内，填“是”灌装线HMI-0310.10.20.41/24Win10LTSC无已知远程利用漏洞支持期内是无远程漏洞，填“是”历史数据服务器10.10.30.10/24Server2016CVE-2023-YYYY，CVSS9.8已过厂商支持是CVSS9.8且已过支持，填“是”办公网文件服务器10.10.1.20/24Server2019待扫描支持期内否属办公网，填“否”表2示例行以灌装线PLC-03为例，IP为10.10.20.31/24，固件V3.2.1，已知漏洞CVSS8.1，厂商支持至2027-06，在SUC内。判定标准：表2“是否在SUC内”列每行填“是”或“否”；填“是”的行“已知漏洞”列有CVE编号或填“无已知远程利用漏洞”。不合格形态：该列空白；或填“是”且“厂商支持状态”列空白。填完表2后，把“是”的行复制到SUC资产清单，按网段分组，作为第二节分区划定的输入。二、分区管道：把一张工控网切成几块，每块之间卡在哪SUC资产清单摆好后，按“同类资产、同一安全要求、同一访问策略”三句话划Zone，Zone之间的每条通信路径划为Conduit。表3逐Zone填资产范围、目标SL、边界设备和进出管道的访问控制规则。划完交OT安全负责人和工艺负责人共同签字。表3分区管道划分核对表Zone/Conduit名称资产范围划为Zone或Conduit的依据边界设备进/出访问控制规则示例行：灌装控制区Z-02灌装控制区Z-02PLC-03、HMI-03、本地交换机同类控制设备，访问策略相同工业防火墙FW-02仅允许MES区C-02经OPCUA4840端口访问3台资产，FW-02隔离，OPCUA白名单MES/SCADA区Z-03MES服务器、SCADA服务器生产管理层，与办公网逻辑隔离工业防火墙FW-03允许Z-02经C-02访问，拒绝办公网直连服务器4台，FW-03隔离管道C-02Z-02与Z-03之间控制区到MES区的唯一数据路径FW-02和FW-03串接白名单IP+端口，流量审计OPCUA4840，审计开启现场设备区Z-01传感器、执行器、远程IO现场层，无IP路由协议网关GW-01仅允许Z-02经GW-01读取，禁止反向写入网关隔离，单向读取表3示例行以灌装控制区Z-02为例，资产范围含PLC-03、HMI-03和本地交换机，边界设备FW-02，访问规则“仅允许MES区C-02经OPCUA4840端口访问”。判定标准：表3每个Zone有边界设备和访问控制规则；每条Conduit的“进/出访问控制规则”列有具体协议、端口或白名单条件。不合格形态：Zone行“边界设备”列空白；或Conduit行“访问控制规则”列写“按需访问”且无具体条件。分区划完后，每个Zone和Conduit进入第三节定SL-T。三、每个区管道定一个目标安全等级：SL1到SL4怎么选SL1到SL4对应四类威胁情景：SL1防偶然或非故意违规；SL2防简单手段、低资源的故意攻击；SL3防复杂手段、中等资源的有组织攻击；SL4防复杂手段、扩展资源的高动机攻击。表5先把四个等级写死，表4再逐Zone/Conduit用初始风险后果和威胁情景归入对应等级。初始风险评估不考虑现有措施抵扣，按最坏后果取值。表5SL等级对照与选取判定表SL等级防护的违规类型攻击手段资源水平动机水平什么情况下选这一级示例行：Z-02SL1偶然或巧合违规无特定手段无无误操作或初级病毒感染是主要关切Z-02有联锁保护，误操作不直接导致安全后果，但需防偶然写入SL2故意违规简单手段低资源低动机普通黑客用公开工具可触及该系统Z-02通过DMZ暴露OPCUA，需防公开工具扫描利用SL3故意违规复杂手段中等资源中等动机有组织攻击者可能针对产线连续性灌装停线影响交付，选SL3SL4故意违规复杂手段扩展资源高动机国家级或等效能力攻击者针对安全关键功能Z-02不涉及安全仪表功能，不选SL4表5示例行以Z-02为例，暴露面包含OPCUA且灌装停线影响交付，威胁情景对应“有组织攻击者、中等资源”，选SL3。判定标准：表5“什么情况下选这一级”列与表4的SL-T判定结果逐Zone对应；每个Zone的SL-T取值能在表5找到对应的威胁情景描述。不合格形态：SL-T取值在表5中找不到对应的威胁情景；或SL-T取SL4但该Zone无安全仪表功能或安全关键后果。表4初始风险评估与SL-T设定表Zone/Conduit最坏后果（安全/环境/生产/数据）威胁情景（谁、用什么手段、资源水平）初始风险等级SL-T定级依据示例行：Z-02Z-02灌装控制区停线7天，无人员伤害有组织攻击者，复杂工具，中等资源高SL3停线后果高，暴露面含OPCUA停线7天，有组织攻击，SL3Z-03MES区生产数据泄露，交付延迟普通黑客，公开工具，低资源中SL2数据敏感但无直接物理后果数据泄露，SL2C-02管道控制指令被篡改内部人员误操作或简单注入中SL2管道无认证则篡改可传导至Z-02误操作/注入，SL2Z-01现场区传感器读数失真物理接触或协议网关漏洞低SL1无IP路由，攻击面窄读数失真，SL1表4示例行以Z-02为例，最坏后果“停线7天，无人员伤害”，威胁情景“有组织攻击者，复杂工具，中等资源”，初始风险高，SL-T填SL3，依据“停线后果高，暴露面含OPCUA”。判定标准：表4每个Zone/Conduit的SL-T取值与表5威胁情景描述一致；“定级依据”列有后果和暴露面两项内容。不合格形态：SL-T列空白；或“定级依据”列只写“重要”且无后果和暴露面描述。四、62443-3-2的详细评估：ZCR5八个步骤逐项填SL-T定完后，对SL-T≥SL2的Zone/Conduit执行62443-3-2的ZCR5详细评估。ZCR5的核心顺序是：识别威胁（5.1）、识别漏洞（5.2）、确定后果和影响（5.3）、确定未缓解可能性（5.4）、计算未缓解风险值（5.5）、确定建议措施（5.6/5.7）、评估剩余风险（5.8）。表6把八个步骤压成八列，每行一个Zone/Conduit，逐列填。表662443-3-2ZCR5详细评估执行表Zone/Conduit5.1威胁（谁+手段）5.2漏洞（CVE/配置）5.3后果和影响5.4未缓解可能性5.5未缓解风险值5.6/5.7建议措施5.8剩余风险示例行：Z-02Z-02有组织攻击者利用OPCUA未认证写入PLC固件漏洞CVE-2024-XXXX，OPCUA无认证停线7天，交付违约中（暴露面受限但漏洞可利用）高升级固件；OPCUA启用认证；FW-02加写入白名单中三项措施后可能性降为低，剩余风险中Z-03普通黑客利用服务器未打补丁漏洞CVE-2023-YYYY，CVSS9.8，未打补丁数据泄露，MES中断高高补丁管理；网络分段收紧中补丁+分段后剩余风险中C-02内部人员误操作或简单注入无流量白名单控制指令异常中中部署流量白名单和审计低白名单+审计后剩余低表6示例行以Z-02为例，5.1填“有组织攻击者利用OPCUA未认证写入”，5.2填PLC固件漏洞和OPCUA无认证，5.3后果“停线7天，交付违约”，5.4可能性“中”，5.5未缓解风险“高”，5.6/5.7措施“升级固件、OPCUA认证、写入白名单”，5.8剩余风险“中”。判定标准：表6每一行从5.1到5.8八列全部有内容；5.5风险值有“高/中/低”取值；5.8剩余风险有取值且与建议措施对应。不合格形态：5.1或5.2列写“存在风险”且无具体威胁主体或CVE/配置项；或5.8列空白。表6中5.3后果取值与表4“最坏后果”列保持一致。5.8剩余风险若仍为“高”，该行进入表7差距评估并列为优先整改项。五、现状离目标差多远：差距评估和SL差距率SL-T定完、详细评估完成后，逐条对照62443-3-3的系统安全要求（或设备侧4-2的组件要求）与现状，填表7。每条要求填“目标SL”“现状SL”“差距”和“整改优先级”。SL差距率按式(1)计算，用于排整改顺序。表7安全等级差距评估表Zone/Conduit要求编号与名称目标SL现状SL差距整改优先级示例行：Z-02Z-02SR1.1身份鉴别SL3SL1（共享账号）2级高共享账号，现状SL1，差距2级，高Z-02SR3.1通信完整性SL3SL2（部分校验）1级中部分校验，差距1级，中Z-02SR5.1访问控制SL3SL2（粗粒度）1级中粗粒度，差距1级，中Z-03SR1.1身份鉴别SL2SL2（个人账号+强密码）0级维持达标，维持表7示例行以Z-02的SR1.1为例，目标SL3，现状SL1（共享账号），差距2级，整改优先级“高”。SL差距率按式(1)计算。式(1)SL差距率SL差距率=（SL-T−现状SL）÷SL-T×100%变量说明：SL-T取表4“SL-T”列；现状SL取表7“现状SL”列，现状SL按该条要求实际达到的等级取值。差距率填入表7“差距”列旁边的计算列（如“差距率”列）。两个常见错误：把“有措施”当作“达到SL等级”（SL等级按该要求是否满足对应级别的具体能力判定）；对同一条要求在不同Zone重复取值时不区分Zone的SL-T。校验方法：打开表7和62443-3-3要求原文，逐条核对现状SL取值依据，重算差距率，与表7对照。判定标准：表7“差距”列每行有等级差数值（0、1、2、3）；差距大于0的行“整改优先级”列填“高”或“中”。不合格形态：“差距”列空白；或差距大于0且“整改优先级”列空白。六、认证选哪种：4-1流程、4-2产品、3-3系统ICS风险评估的输出要落到认证路径上。IEC62443认证分三类：4-1是开发流程认证（组织或产品线的安全开发生命周期），4-2是组件/产品认证（设备本身的安全能力等级），3-3是系统认证（集成后的系统安全等级）。表8逐类填适用范围、证据要求和审计周期，读者按自己的角色选行。表8认证类型与证据核对表认证类型认证对象证书上的等级核心证据审计/再认证周期什么情况下选这一类示例行：设备厂商62443-4-1组织或产品线的开发流程成熟度等级ML1—ML4（ISASecure要求ML3通过）SDL流程文件、八个实践域记录、配置管理证据首次认证后每36个月再认证，年度监督审核设备/组件厂商证明开发过程安全厂商选4-1，目标ML362443-4-2组件/产品SL1—SL4产品安全功能测试报告、已知漏洞清除记录事件驱动（重大版本升级需重新认证），年度监督产品需要标称SL等级PLC-03选4-2，目标SL362443-3-3集成后的系统SL1—SL4系统级要求逐条符合性证据、Zone/Conduit设计文档按认证方案，通常含年度监督资产所有者或集成商证明系统达标工厂系统选3-3，目标SL3表8示例行以设备厂商为例，选62443-4-1，目标ML3，核心证据为SDL流程文件和八个实践域记录，36个月再认证加年度监督。判定标准：表8选定的认证类型与申请主体的角色对应（厂商选4-1/4-2，资产所有者或集成商选3-3）；“核心证据”列有三项以上具体证据名称。不合格形态：选4-1但“核心证据”列只写“流程文件”；或认证对象与角色不匹配（如资产所有者申请4-1产品认证）。七、认证前自查：4-1的八个实践域和成熟度等级如果选4-1，认证前按八个实践域逐项自查成熟度。八个实践域是安全管（SM）、安全需求规格（SR）、安全设计（SD）、安全实施（SI）、安全验证与测试（SV）、缺陷管理（DM）、补丁管理（PM）、安全事件响应（IR）。表9逐实践域填“当前成熟度”和“是否达到ML3”，未达ML3的写补正动作。表9认证准备成熟度自查表实践域审计看什么ML3的判定条件当前成熟度是否达到ML3补正动作示例行：某厂商安全管（SM）安全活动计划、培训记录、角色职责组织级标准化流程+工具支撑+培训ML2否将项目级流程上升为组织级SOP，补充培训记录当前ML2，需补组织级SOP安全需求规格（SR）需求文档、威胁建模记录标准化需求模板+威胁建模覆盖所有产品ML2否建立统一需求模板，补威胁建模需统一模板安全设计（SD）设计评审记录、攻击面分析标准化设计评审+攻击面分析工具化ML3是维持已达标安全验证与测试（SV）测试计划、渗透测试报告标准化测试流程+工具链ML2否建立回归测试用例库和自动化工具需补自动化表9示例行以安全管（SM）为例，当前ML2，未达ML3，补正动作“将项目级流程上升为组织级SOP，补充培训记录”。成熟度达标率按式(2)计算。式(2)成熟度达标率成熟度达标率=达到ML3的实践域数÷参与自查的实践域总数×100%变量说明：达到ML3的实践域数从表9“是否达到ML3”列填“是”的行数得出；参与自查的实践域总数取表9八行（或按认证范围裁剪后的行数）。达标率100%时进入认证审计；低于100%时按表9“补正动作”列逐项补正，补正后重判该实践域。读者手里有表9和SDL流程文件。两个常见错误：把“有文档”当作ML3（ML3要求组织级标准化+工具支撑+培训）；把“个别项目达到”当作组织级达标。校验方法：从表9随机抽两个“是”的实践域，打开对应流程文件和培训记录核对是否覆盖组织级范围。判定标准：表9“是否达到ML3”列每行填“是”或“否”；填“否”的行“补正动作”列有具体动作和完成标志。不合格形态：该列空白；或填“否”且“补正动作”列空白。八、拿证之后的监控：证书维持和日常指标认证不是终点。4-1和4-2证书通常3年有效，每年有监督审核；4-2在重大版本升级时触发重新认证。表10按年度和日常两个频率列监控项、取数位置和判定条件。表10监控指标表监控项频率取数位置什么算达标不达标动作示例行：4-2证书监督审核发现项关闭率年度监督审核报告发现项在约定日期前关闭≥90%未关闭项列入再认证前整改计划发现3项，2项按期关闭，67%已知漏洞清除率（产品/系统）季度漏洞扫描报告高危漏洞（CVSS≥7.0）清除率100%未清除项按表11规则2处理高危2个，清除2个，100%补丁发布后30天内应用率季度补丁管理台账关键设备应用率≥90%未应用设备列入停机窗口计划20台关键设备，18台应用，90%安全事件数（与ICS相关）月度事件管理记录无导致停线或未授权访问的事件按62443-2-1事件管理流程处理当月0起证书状态与范围变更年度认证机构通知证书在有效期内且覆盖当前产品版本范围变更时申请扩展或重新认证证书有效，版本未变表10示例行以4-2证书监督审核为例，发现3项，2项按期关闭，关闭率67%，低于90%，未关闭项列入再认证前整改计划。判定标准：表10每个监控项“什么算达标”列有可观察条件；“不达标动作”列有具体动作。不合格形态：达标条件列写“保持良好”且无数值或可观察状态；或不达标动作列空白。九、六个判断分叉的规则和退路SL-T取值分歧、补丁与停机冲突、认证范围取舍等判断分叉，按表11六条规则执行。每条写判定条件、执行动作、判定失效条件和退路。表11决策规则表编号判定条件执行动作判定失效条件退路示例行：Z-02决策规则1同一Zone内不同资产的最坏后果相差两个等级以上拆分Zone，把高后果资产单独划区并单独定SL-T拆分后管道数量增加导致管理不可行维持合并Zone，SL-T取高值，对低后果资产用补偿措施Z-02资产后果接近，未拆分规则2高危漏洞（CVSS≥7.0）的补丁会导致停机且停机窗口在30天外先部署网络隔离或虚拟补丁作为临时措施，记录措施编号和覆盖范围临时措施无法覆盖攻击路径调整停机窗口，在30天内安排补丁应用CVE-2024-XXXX，先开FW写入白名单，30天内升级规则3认证预算只够覆盖一条产品线选风险最高或客户要求最急的产品线做4-1，其他产品线用自查表维持客户要求全部产品线认证与客户协商分阶段认证计划，记录阶段日期灌装线PLC产品线优先规则4系统认证（3-3）的SL-T为SL3，但某条要求现状SL1且整改成本超过该Zone年停机损失的50%评估补偿措施（分段、监控、物理控制），补偿后剩余风险降为中即可接受补偿后剩余风险仍为高降低该Zone的SL-T至SL2，记录降级理由和批准人SR1.1差距2级，先上多因素认证补偿规则5资产所有者的等保2.0定级与62443SL-T指向不同防护强度以等保2.0为合规底线，62443SL-T为技术目标，取两者中较高的要求作为实际执行基线较高要求导致预算超支对超支项做补偿措施，记录偏差和批准Z-02等保三级，62443SL3，取较高规则64-1认证的八个实践域中有一个连续两次自查未达ML3暂停该实践域的认证申报，集中补正后再申报补正后仍未达ML3缩小认证范围至已达标的实践域，记录裁剪理由SV域未达ML3，暂停申报表11示例行以规则2为例，CVE-2024-XXXX高危且补丁需停机，先开FW写入白名单作为临时措施，30天内升级固件。规则5示例行：Z-02等保三级与62443SL3要求一致，取较高基线，未触发降级。读者遇到判断分叉时逐条对照“判定条件”列，命中哪条执行哪条动作，执行后检查“判定失效条件”，命中失效条件的走“退路”。表12矛盾权衡表矛盾陈述实质分析权衡规则退路示例行：Z-02场景Z-02的SL-T定为SL3要求OPCUA认证和固件升级，固件升级需要停线4小时，当月订单已排满无停机窗口安全要求来自SL-T差距，停机约束来自订单交付，两者在同一时间窗口内冲突先以FW写入白名单和多因素认证作为补偿措施，将未缓解风险从高降至中；固件升级排入下一个计划停机窗口，最长不超过90天90天内仍无停机窗口时，启用备线生产，在备线运行期间对Z-02停机升级白名单+多因素已上，升级排入第7周窗口4-2产品认证要求SL3，但该产品的一个通信模块只支持SL2，替换模块成本占产品售价18%产品标称SL要求全组件达标，成本约束来自模块替换，两者在产品定价上冲突评估该模块是否在关键攻击路径上；不在关键路径的，用系统级补偿（3-3侧分段）覆盖，产品标称SL2并在手册中说明使用限制客户合同明确要求端到端SL3时，替换模块，成本转嫁或分批摊销模块在非关键路径，产品标称SL2，系统侧补偿表12第一行矛盾陈述以“SL3认证要求”与“4小时停机、当月无窗口”的具体冲突写成。实质分析指出两者在同一时间窗口冲突。权衡规则给出“补偿措施降风险+升级排入90天窗口”的切分。退路写明备线生产。第二行矛盾陈述以“产品SL3要求”与“模块SL2、替换成本18%”写成，权衡规则给出“关键路径判断+系统级补偿”的路径。十、三套场景：首次评估、认证前差距评估、年度维持评估阶段和认证状态不同，检查项和公式用量随之增减。首次评估走完整版；认证前差距评估走精简版；年度维持走极简版。表13列出三套场景的操作序列、保留项、删掉项和底线。表13三套场景操作序列表场景适用条件操作序列保留的检查项和公式删掉的检查项底线与示例完整版首次ICS风险评估或新建系统设计阶段表2→表3→表4/表5→表6→表7/式(1)→表8表2、表3、表4、表5、表6、表7、式(1)、表8无全系统逐Zone执行精简版认证前差距评估且已有完整版风险评估表7/式(1)→表9/式(2)→表8表7、式(1)、表9、式(2)、表8删掉表2、表3、表4、表5、表6按已有SL-T直接做差距和成熟度自查极简版年度维持且无系统变更表10→式(2)单次复核表10、式(2)删掉表2—表9、式(1)监督审核发现项关闭率67%，补正表13示例行以完整版为例，首次评估走表2至表8全部检查项，式(1)算出Z-02的SL差距率。精简版删掉的检查项逐项列在“删掉的检查项”列，读者按名称核对。极简版适用于年度维持，表10监控项填完、式(2)复核成熟度未退化即完成。十一、某工厂完成一次ICS风险评估并定认证路径的完整示例示例案例，细节为合理设定。起点：某工厂OT安全负责人拿到灌装产线的网络拓扑和资产台账，范围覆盖灌装控制区、MES区、现场区和一条控制到MES的管道。任务是在6周内完成风险评估并确定认证路径。分步操作：第一步填表2，SUC内设备23台，其中PLC-03有CVE-2024-XXXX（CVSS8.1）。第二步填表3，划Z-01、Z-02、Z-03三个Zone和C-02一条管道。第三步填表4和表5，Z-02定SL3、Z-03定SL2、C-02定SL2、Z-01定SL1。第四步填表6，Z-02的5.1威胁为“有组织攻击者利用OPCUA未认证写入”，5.8剩余风险“中”。第五步填表7，Z-02的SR1.1目标SL3、现状SL1、差距2级；式(1)差距率67%。第六步选认证路径。第一次转折。信号：表4给Z-02定SL3时，工艺负责人认为灌装线停线后果严重但无人员伤害，应定SL4。当时以为后果严重就必须最高级。试了什么：对照表5，SL4的威胁情景是“扩展资源、高动机”，Z-02的暴露面和数据敏感性不支持这一情景。新信息：Z-02无安全仪表功能，攻击者从OPCUA入口可利用的路径限于停线，不涉及安全联锁。换哪条路：维持SL3，在表4“定级依据”列补写“无安全仪表功能，扩展资源攻击者动机不足”。第二次转折。信号：表6的5.6/5.7建议措施列了“升级固件”，但生产排程显示未来90天无停机窗口。当时以为等停机窗口再升级即可，风险先挂着。试了什么：按原计划把升级列在措施列，5.8剩余风险暂填“高”。新信息：5.8剩余风险为高时，表7差距评估会把SR1.1的整改优先级推到最高，但实际可执行的动作只有补偿措施。换哪条路：先上FW写入白名单和OPCUA多因素认证，5.8剩余风险改为“中”，固件升级作为长期项列入表7的“中”优先级，同时按表11规则2记录临时措施编号和90天补丁期限。第三次转折。信号：表7差距评估中SR1.1现状SL1（共享账号），整改到SL3需要上多因素认证，但HMI-03是Windows10LTSC，多因素认证代理与现有HMI软件存在兼容性风险。当时以为换HMI软件或升级OS即可。试了什么：兼容性测试发现多因素代理导致HMI画面刷新延迟增加200ms。新信息：200ms延迟在灌装线可接受阈值内（工艺允许500ms），但需要记录测试结果作为补偿依据。换哪条路：部署多因素认证，在表7“整改优先级”列保留“高”，在“备注”列写“延迟+200ms，工艺确认可接受”。第四次转折。信号：选认证路径时，设备厂商希望工厂直接做3-3系统认证，工厂自身预算只够做差距评估和补偿措施。当时以为3-3是唯一能证明系统安全的方式。试了什么：对照表8，3-3的认证对象是集成后的系统，证据要求含系统级要求逐条符合性证据，工作量和成本高于4-1/4-2。新信