ITOT融合的风险评估：保密性优先与可用性优先的冲突

IT/OT融合的风险评估：

保密性优先与可用性优先的冲突本文档提供：IT与OT的CIA优先级对照表（表2）；CIA冲突识别与定级表（表3）和CIA冲突指数式(1)；OT上下文调整后的AIC评分表（表4）和加权AIC得分式(2)；SL-T/SL-C/SL-A七维向量对照表（表5）和SL向量差距率式(3)；NISTCSF与IEC62443控制项映射表（表6）；冲突消解决策规则表（表7）；矛盾权衡表（表8）；三套场景操作序列表（表9）；完整示例与案例变量表（表10）；来源说明表（表11）。

2026-11-05表1目录与定位表这一节的标题读完你能拿到什么这一节在全文中的功能一、IT排Confidentiality，OT排Availability：同一个CIA，两种排序IT与OT的CIA优先级对照表（表2）把“保密性优先”和“可用性优先”写成一列可对照的排序，锁定冲突的起点二、冲突落在哪些评估项上：补丁、加密、账户、远程访问CIA冲突识别与定级表（表3）和CIA冲突指数式(1)逐评估项判定冲突等级，算出该资产上冲突的集中程度三、OT上下文调整AIC：安全后果权重高于CIA平均值OT上下文调整后的AIC评分表（表4）和加权AIC得分式(2)把IT的CVSS式CIA评分按OT优先级重新加权，避免保密性漏洞压过可用性漏洞四、混合框架的支点：SL-T按七个FR分别取值，不压成一个总分SL-T/SL-C/SL-A七维向量对照表（表5）和SL向量差距率式(3)用IEC62443的SL向量让保密性和可用性在不同FR上各取所需，避免零和取舍五、NISTCSF管治理，IEC62443管技术：控制项怎么对齐NISTCSF与IEC62443控制项映射表（表6）把治理层的风险对话落到技术层的具体控制项上，冲突在框架内消解六、六个判断分叉的规则和退路冲突消解决策规则表（表7）和矛盾权衡表（表8）处理补丁与停机、加密与实时性、IT标准与OT可执行性之间的取舍七、三套场景：融合架构设计、存量系统评估、单点冲突仲裁三套场景操作序列表（表9）按阶段和粒度选择检查项与公式组合八、某工厂MES-PLC集成区完成一次冲突导向评估的完整示例完整示例和案例变量表（表10）展示从CIA冲突识别到SL向量取值和混合框架落地的全程九、数据来源与时效说明来源说明表（表11）标注事实型断言的来源层级和复核状态按第一列在正文找对应那节，按第二列判断这节是否包含所需成品，按第三列判断这节是否对应当前卡住的位置。一、IT排Confidentiality，OT排Availability：同一个CIA，两种排序IT和OT用同一组缩写CIA，排出来的顺序相反。IT的CIA三角把保密性放在首位，数据泄露和篡改是首要关切，可用性往往是“系统宕了修就行”。OT的CIA排序是安全（Safety）在前，可用性其次，完整性再次，保密性最后；物理环境中数据本身的保密价值低于产线不能停、人不能伤。表2把两种排序写在同一行上逐列对照，锁定冲突从哪里开始。表2IT与OT的CIA优先级对照表维度IT的排序与理由OT的排序与理由冲突在哪个评估项上显形示例行：MES-PLC集成区第一位Confidentiality：数据泄露和未授权访问是首要风险Safety+Availability：停机、失去视野（LOV）、失去控制（LOC）直接导致物理后果远程访问加密强度与可用性之间的取舍MES到PLC的OPCUA通道加密会消耗PLC资源，可能影响扫描周期第二位Integrity：交易和记录不能被篡改Integrity：控制指令和设定值不能被篡改指令完整性校验与实时性之间的取舍给控制指令加签名校验会增加处理延迟第三位Availability：系统宕机是运营问题，可恢复Confidentiality：物理隔离环境中数据保密价值相对较低账户认证强度与操作连续性的取舍多因素认证在HMI上可能拖慢紧急操作典型最坏情景数据泄露、财务损失、声誉损害人员伤害、设备损毁、环境释放、长时间停线同一漏洞在IT和OT风险登记册中的等级不一致PLC固件漏洞在IT评分中CVSS8.1“高危”，在OT中因可利用路径受限而后果可控表2示例行以MES-PLC集成区为例，IT排保密性第一，OT排安全加可用性第一，冲突在“远程访问加密强度与可用性”上显形，具体表现为OPCUA通道加密对PLC扫描周期的影响。判定标准：表2“冲突在哪个评估项上显形”列每行有具体的评估项名称（加密、认证、补丁、远程访问等）；“IT的排序与理由”和“OT的排序与理由”两列在同一维度上形成可观察的分歧。不合格形态：冲突列写“理念不同”且无具体评估项；或两种排序写成一模一样且无理由差异。IT与OT的CIA排序不是谁对谁错的问题，是两个环境的最坏情景不同。IT的最坏情景是数据落入未授权方；OT的最坏情景是操作员看不到真实状态（LOV）或无法控制过程（LOC）。风险评估的冲突处理不是让一方说服另一方，是让两套排序在同一套评估结构里各占其位。二、冲突落在哪些评估项上：补丁、加密、账户、远程访问CIA排序差异不会在所有评估项上同时爆发，集中在四类：补丁管理、加密强度、账户与认证、远程访问。表3逐评估项填IT侧默认做法、OT侧约束、冲突表现和冲突等级。冲突等级按“高/中/低”三档，高表示两侧要求在同一个控制项上指向不可同时满足的动作。表3CIA冲突识别与定级表评估项IT侧默认做法OT侧约束冲突表现冲突等级示例行：补丁管理补丁管理月度补丁窗口，高危漏洞7日内修复补丁需厂商认证，停机窗口受生产排程限制，可能数月无法停机IT要求7日修复，OT排程在90天后高高危漏洞7日vs90天停机窗口加密强度全链路TLS1.3，强加密套件PLC和旧协议网关算力有限，强加密影响实时性加密升级后扫描周期从20ms升至35ms，超出工艺允许高加密与实时性直接冲突账户与认证多因素认证全覆盖，强密码90天更换HMI和本地操作面板多因素认证影响紧急操作速度紧急停机场景下认证步骤增加操作时间中安全与操作可用性冲突远程访问VPN+跳板机+全流量审计远程诊断需要低延迟，审计代理可能被厂商拒绝安装厂商远程支持要求直连或轻量通道中治理要求与厂商可支持性冲突表3示例行以补丁管理为例，IT侧“高危漏洞7日内修复”，OT侧“停机窗口受生产排程限制，可能数月无法停机”，冲突表现“IT要求7日修复，OT排程在90天后”，冲突等级“高”。CIA冲突指数按式(1)计算，用于判断某个资产或区域上冲突的集中程度。式(1)CIA冲突指数CIA冲突指数=Σ(冲突等级权重×该评估项受影响资产数)÷受影响资产总数变量说明：冲突等级权重按高=3、中=2、低=1取值；该评估项受影响资产数取表3中该评估项下“冲突等级”为高或中的资产计数；受影响资产总数取该区域纳入评估的资产总数。指数填入表3汇总行。两个常见错误：按评估项数量计数而不按受影响资产加权（一个高冲突项覆盖20台资产，比三个低冲突项各覆盖1台影响更大）；把“已缓解”的冲突仍按原等级计入（缓解后的冲突等级应下调）。校验方法：从表3取各评估项的冲突等级和资产数，按式(1)手工重算，与汇总值对照，差值超过0.3的标记待复核。判定标准：表3“冲突等级”列每行填“高”“中”或“低”；填“高”的行在“临时处置”列有在正式决策前可执行的临时动作。不合格形态：冲突等级列空白；或填“高”且临时处置列空白。三、OT上下文调整AIC：安全后果权重高于CIA平均值IT的CVSS用CIA三分量的等权或接近等权的方式给出基础评分，保密性漏洞和可用性漏洞在同一个分值尺度上竞争。OT环境不能直接套用这个尺度：一次可用性丧失可能导致物理伤害或长时间停线，而一次保密性泄露在物理隔离的OT网络中后果通常较轻。OT风险评分需要把AIC按OT优先级重新加权，并把安全后果作为独立的高权重维度。表4OT上下文调整后的AIC评分表评分维度权重5分描述3分描述1分描述取数位置示例行：MES-PLC区PLC-03安全后果30%可能致命或重大环境释放设备损坏或可记录伤害无安全影响表3后果栏与工艺危害分析联锁失效可导致机械伤害，打5分资产角色20%安全仪表系统直接生产控制只读监控资产台账“用途”列直接控制灌装量，打5分AIC加权影响20%可用性后果加权最高，完整性其次，保密性最后三者中等三者轻微表3各评估项后果可用性丧失停线，打5分；保密性泄露影响有限，打2分可利用性15%公开利用工具，无需专有知识PoC存在理论漏洞漏洞扫描报告OPCUA未认证写入有公开工具，打5分环境补偿10%互联网暴露，无分段基本防火墙，扁平网络深度防御，监控完善网络架构图经DMZ暴露，有防火墙但无白名单，打3分威胁情报5%在野利用或已知攻击活动公开利用代码无已知利用威胁情报源无该漏洞在野利用记录，打1分表4示例行以MES-PLC区PLC-03为例，安全后果5分、资产角色5分、AIC加权影响5分（可用性优先）、可利用性5分、环境补偿3分、威胁情报1分。加权AIC得分按式(2)计算。式(2)加权AIC得分加权AIC得分=安全后果×0.30+资产角色×0.20+AIC加权影响×0.20+可利用性×0.15+环境补偿×0.10+威胁情报×0.05变量说明：各维度分值取表4对应行；权重取表4“权重”列。得分0—10，分值越高风险越大。AIC加权影响维度的内部权重按OT优先级设定：可用性权重0.50、完整性0.30、保密性0.20，三项分别打分后加权得到该维度分值。两个常见错误：把CVSS的CIA分值直接平均当作AIC加权影响（CVSS的CIA是等权或接近等权，OT需要按可用性优先重新加权）；把可利用性权重设得高于安全后果（OT风险评估的后果权重应显著高于可利用性，可利用性高但后果轻的漏洞不应排在有安全后果的漏洞之前）。校验方法：从表4取六个维度和权重，手工重算得分，与记录值对照；同时检查AIC加权影响的计算是否使用了0.50/0.30/0.20的内部权重。判定标准：表4每个维度有1—5的整数打分；“加权AIC得分”列有0—10的数值；安全后果打5分的记录，最终得分不低于7.0（安全override规则）。不合格形态：维度打分空白；或安全后果5分但最终得分低于7.0且无override记录。OT风险评分的一个关键设计是把安全后果放在最高权重（30%），并且设置安全override：安全后果为“可能致命”的，无论其他维度如何，最终得分至少为8.0。这个设计直接回应了OT的优先级——保密性再重要，不能压过人员安全。四、混合框架的支点：SL-T按七个FR分别取值，不压成一个总分CIA冲突在单一总分框架下无解，因为总分只能表达“谁排第一”，不能表达“保密性和可用性各自需要达到什么”。IEC62443的SL向量提供了另一条路：SL-T不压成一个数字，按七个基础要求（FR1身份鉴别、FR2使用控制、FR3系统完整性、FR4数据保密性、FR5数据流限制、FR6事件响应、FR7资源可用性）分别取值。保密性冲突落在FR4上，可用性冲突落在FR7上，两个FR可以取不同的SL-T，不需要互相牺牲。表5SL-T/SL-C/SL-A七维向量对照表FR名称SL-T（目标）SL-C（证书能力）SL-A（现场达成）差距与冲突标记示例行：MES-PLC区Z-02FR1身份鉴别222—个人账号+强密码，达标FR2使用控制222—角色权限矩阵，达标FR3系统完整性221SL-A低于SL-T，完整性校验未全覆盖控制指令签名校验仅部分启用FR4数据保密性122SL-C高于SL-T，保密性有余量，但加密受实时性约束证书支持加密，现场为保实时性未全开FR5数据流限制211SL-C和SL-A均低于SL-T，白名单缺口FW存在临时规则FR6事件响应222—日志和告警达标FR7资源可用性322SL-C和SL-A均低于SL-T，可用性要求最高但能力不足PLC无冗余，停机风险高表5示例行以MES-PLC区Z-02为例，FR4（数据保密性）的SL-T为1、SL-C为2、SL-A为2，保密性有余量但现场为保实时性未全开加密；FR7（资源可用性）的SL-T为3、SL-C为2、SL-A为2，可用性要求最高但能力不足。SL向量差距率按式(3)计算。式(3)SL向量差距率SL向量差距率=Σmax(0,SL-Tᵢ−SL-Aᵢ)÷ΣSL-Tᵢ×100%变量说明：i取FR1至FR7；SL-Tᵢ取表5“SL-T”列第i个FR的值；SL-Aᵢ取“SL-A”列第i个FR的值；max(0,·)只计SL-A低于SL-T的缺口。差距率0%表示七个FR全部达标；大于0%表示存在FR层面的达成缺口。两个常见错误：把SL-C当作SL-A（SL-C是证书能力，SL-A是现场实际状态）；用单一SL数字比较而不逐FR看缺口（整体“SL2达标”可能掩盖FR7为1的事实）。校验方法：从表5逐FR读取SL-T和SL-A，按式(3)重算差距率，与记录对照。判定标准：表5每个FR的SL-T、SL-C、SL-A均有0—4的取值；“差距与冲突标记”列在SL-A<SL-T的FR上写明缺口内容。不合格形态：任一FR的SL-A空白；或SL-A<SL-T但差距列空白。SL向量的冲突消解逻辑是：CIA的优先级差异不被压成一个总分，而是映射到不同FR的SL-T取值上。保密性优先的IT诉求体现在FR4的SL-T上，可用性优先的OT诉求体现在FR7的SL-T上，两者可以同时被满足、同时被度量。冲突从“谁排第一”变成“FR4和FR7各自差多少、先补哪一个”。五、NISTCSF管治理，IEC62443管技术：控制项怎么对齐混合框架的治理层用NISTCSF2.0的六个功能（治理GV、识别ID、保护PR、检测DE、响应RS、恢复RC）承载IT和OT之间的风险对话，技术层用IEC62443的FR和SL向量承载具体控制项。两层的对齐点在于：CSF的“识别”和“保护”功能下的子类，可以逐项映射到62443的FR和具体控制项上，冲突在治理层被看见，在技术层被消解。表6NISTCSF与IEC62443控制项映射表NISTCSF2.0功能与子类对应IEC62443FR对应控制项举例IT侧关注点OT侧关注点冲突在映射层的处理方式示例行：补丁与漏洞管理ID.RA（风险评估）FR1—FR7整体ZCR5风险评估，SL-T定级漏洞库覆盖率和修复时限停机窗口和厂商认证SL-T按FR分别取值，不把补丁时限作为统一的强制要求ID.RA输出每个Zone的SL向量，补丁时限由FR7的SL-T和停机窗口共同决定PR.PS（平台安全）FR3系统完整性、FR4数据保密性完整性校验、加密配置全链路加密和签名实时性和算力约束加密强度和完整性校验方式按FR4/FR3的SL-T取值，不按IT统一标准强推FR4SL-T=1时允许轻量加密，FR3SL-T=2时完整性校验需覆盖控制指令PR.AA（身份与访问）FR1身份鉴别、FR2使用控制多因素认证、角色权限多因素全覆盖紧急操作速度多因素认证在管理账户强制执行，在HMI本地操作按FR2SL-T和操作场景分级MES管理账户多因素，HMI本地操作保留快速通道但记录审计RS.MA（事件管理）FR6事件响应日志、告警、响应流程全流量审计审计代理对OT设备的兼容性审计范围按FR5和FR6的SL-T确定，OT侧用网络层镜像替代主机代理网络镜像+IDS覆盖Z-02，不在PLC上装代理表6示例行以“ID.RA（风险评估）”映射到FR1—FR7整体为例，冲突处理方式“SL-T按FR分别取值，不把补丁时限作为统一的强制要求”，示例“ID.RA输出每个Zone的SL向量，补丁时限由FR7的SL-T和停机窗口共同决定”。判定标准：表6每个CSF子类有对应的62443FR和控制项；“冲突在映射层的处理方式”列有具体的按FR或按场景分级的动作。不合格形态：映射列写“参考62443”且无具体FR或控制项；或冲突处理方式写“按IT标准执行”且无OT侧适配。六、六个判断分叉的规则和退路补丁与停机、加密与实时性、IT标准与OT可执行性之间的取舍，按表7六条规则执行。每条写判定条件、执行动作、判定失效条件和退路。表7冲突消解决策规则表编号判定条件执行动作判定失效条件退路示例行：补丁冲突规则1IT要求的高危漏洞修复时限（如7天）短于OT最近可用停机窗口（如30天）在停机窗口前部署虚拟补丁或网络补偿（白名单、IPS规则），记录补偿措施编号和覆盖范围；补丁排入最近停机窗口补偿措施无法覆盖攻击路径调整生产排程，在订单低谷期安排停机；或接受剩余风险并记录批准人7天vs30天，先上虚拟补丁，补丁排入第5周窗口规则2全链路强加密导致OT实时性指标超出工艺允许值按FR4的SL-T取加密强度；FR4SL-T=1时允许轻量加密或明文+网络分段；FR4SL-T=2及以上时，加密在网关层终结，PLC侧保持明文但由分段隔离分段无法实现且FR4SL-T要求加密更换算力足够的通信模块，或将加密终结设备前移至DMZFR4SL-T=1，采用轻量加密+分段规则3多因素认证增加紧急操作时间超过操作允许上限对紧急操作场景保留快速通道（物理钥匙、专用账户），快速通道的使用逐次记录并在FR6事件响应中审计；非紧急操作强制执行多因素快速通道被滥用且审计无法追溯取消快速通道，改为生物识别等低延迟认证方式紧急停机保留物理按钮，不走多因素；其他操作多因素规则4IT安全工具（扫描器、代理）在OT设备上导致通信中断或性能下降在OT侧使用被动监测和网络镜像，不在PLC和HMI上安装主动扫描或代理被动监测无法覆盖关键攻击路径在DMZ或Conduit侧部署检测，不进入Zone内部扫描器在DMZ对镜像流量运行，不触碰PLC规则5SL-T在FR4和FR7上同时为高，但SL-C无法同时满足优先满足FR7（可用性）的SL-C，FR4的缺口用补偿措施（分段、访问控制）覆盖FR4补偿后剩余风险仍为高拆分Zone，将保密性要求高的数据流与实时控制流分离到不同ConduitFR7SL-T=3、FR4SL-T=2，选可用性优先，FR4用分段补偿规则6IT和OT对同一漏洞的CVSS评分和OT加权AIC得分差距超过3分以OT加权AIC得分为修复优先级依据，ITCVSS作为参考；在风险登记册中同时记录两个分值及差距原因OT加权AIC得分缺乏数据支撑补充OT上下文数据后重算，暂按较高分值安排临时措施CVSS8.1，OT得分6.2，按OT得分排优先级，CVSS记录备查表7示例行以规则1为例，IT要求7天修复、OT停机窗口在30天后，执行“部署虚拟补丁或网络补偿”，补丁排入第5周窗口，调整排程的退路未触发。规则5示例行：FR7SL-T=3、FR4SL-T=2，优先满足FR7的SL-C，FR4用分段补偿，未触发拆分Zone。读者遇到判断分叉时逐条对照“判定条件”列，命中哪条执行哪条动作，执行后检查“判定失效条件”，命中失效条件的走“退路”。表8矛盾权衡表矛盾陈述实质分析权衡规则退路示例行：Z-02场景IT要求对MES到PLC的OPCUA通道启用TLS1.3全加密，加密后PLC扫描周期从20ms升至35ms，工艺允许上限为25ms保密性要求指向全加密，可用性要求指向扫描周期不超过25ms，两者在同一通道的同一资源上冲突按FR4的SL-T取值：SL-T=1时允许轻量加密（如预共享密钥+分段），SL-T=2及以上时在网关终结加密，PLC侧明文但由分段隔离网关终结后仍超实时性时，更换算力足够的通信模块，或在DMZ侧增加协议感知防火墙补偿FR4SL-T=1，轻量加密+分段，扫描周期22msIT漏洞管理要求7日内修复高危漏洞，OT最近停机窗口在90天后，该漏洞可导致PLC未授权写入修复时限指向尽快消除漏洞，停机约束指向维持生产，两者在90天窗口内冲突7日内先上网络层补偿（FW白名单+IPS规则），将可利用路径收敛到可接受水平；补丁在90天窗口执行补偿无法收敛攻击路径时，启用备线生产，在备线运行期间对主系统停机打补丁白名单已上，补丁排入第12周窗口表8第一行矛盾陈述以“TLS1.3全加密”与“扫描周期超限”的具体冲突写成，换成其他主题不成立。实质分析指出两者在同一通道的同一资源上冲突。权衡规则给出“按FR4SL-T取加密强度+网关终结”的切分。退路写更换通信模块或协议感知防火墙。第二行矛盾陈述以“7日修复”与“90天停机窗口”写成，权衡规则给出“网络补偿+补丁窗口”的路径。七、三套场景：融合架构设计、存量系统评估、单点冲突仲裁阶段和粒度不同，检查项和公式用量随之增减。融合架构设计走完整版；存量系统评估走精简版；单点冲突仲裁走极简版。表9列出三套场景的操作序列、保留项、删掉项和底线。表9三套场景操作序列表场景适用条件操作序列保留的检查项和公式删掉的检查项底线与示例完整版IT/OT融合架构设计或新建集成区表2→表3/式(1)→表4/式(2)→表5/式(3)→表6→表7表2、表3、表4、表5、表6、表7、式(1)(2)(3)无MES-PLC集成区全量执行精简版存量系统评估且CIA冲突已初步识别表3/式(1)→表4/式(2)→表7表3、表4、表7、式(1)(2)删掉表2、表5、表6、式(3)按已识别的冲突项重估OT得分和消解规则极简版单点冲突仲裁（如一个补丁或一条加密策略）表3单行→表7对应规则→表4单维度复核表3单行、表7对应规则、表4相关维度删掉表2、表5、表6、式(1)(2)(3)补丁冲突：表3补丁行+规则1+表4可利用性复核表9示例行以完整版为例，MES-PLC集成区走表2至表7全部检查项，式(1)(2)(3)全部计算。精简版删掉的检查项逐项列在“删掉的检查项”列。极简版适用于单点冲突仲裁，表3定位冲突项、表7命中规则、表4复核相关维度，三步完成即出仲裁建议。八、某工厂MES-PLC集成区完成一次冲突导向评估的完整示例示例案例，细节为合理设定。起点：某工厂MES系统与灌装线PLC-03完成集成，MES通过OPCUA向PLC下发配方和启停指令。IT安全团队和OT工程团队在集成验收会上发生分歧：IT团队要求全链路TLS1.3加密、高危漏洞7日内修复、HMI启用多因素认证；OT团队指出加密使PLC扫描周期从20ms升至35ms（工艺上限25ms），停机窗口在90天后，多因素认证会拖慢紧急停机操作。工厂需要在两周内完成冲突评估并给出可执行的方案。分步操作：第一步填表2，锁定三个冲突项：加密与实时性（高）、补丁时限与停机窗口（高）、多因素与紧急操作（中）。第二步填表3，冲突等级高、高、中，式(1)冲突指数按资产加权后为2.67（高冲突项覆盖2台关键资产）。第三步填表4，PLC-03安全后果5分（联锁失效可致机械伤害）、资产角色5分（直接生产控制）、AIC加权影响5分（可用性丧失停线）、可利用性5分（OPCUA未认证写入有公开工具）、环境补偿3分（有防火墙无白名单）、威胁情报1分，加权AIC得分=5×0.30+5×0.20+5×0.20+5×0.15+3×0.10+1×0.05=4.35，但安全override触发（安全后果5分），最终得分不低于8.0，取8.0。第四步填表5，Z-02的SL-T向量中FR4（保密性）取1（轻量加密+分段可满足），FR7（可用性）取3（停线不可接受），其余FR取2。第五步填表6，把补丁和加密的冲突映射到PR.PS和ID.RA，确定处理方式。第六步按表7规则1和规则2执行。第一次转折。信号：表4算出PLC-03的加权AIC得分为4.35，但安全后果打5分。当时以为4.35属于中等风险，可以按常规周期处理。试了什么：按4.35排入季度整改计划。新信息：表4的安全override规则要求安全后果为“可能致命或重大环境释放”时最终得分至少8.0，因为安全后果不能被其他维度的低分稀释。换哪条路：最终得分取8.0，排入“紧急”优先级，7日内先上网络补偿（FW白名单+IPS规则），补丁排入第12周停机窗口。第二次转折。信号：表5给FR4（保密性）取SL-T=1时，IT团队不接受，认为MES配方数据属于商业机密，保密性应为2。当时以为SL-T由IT和OT各自坚持自己的优先级。试了什么：把FR4强行取2，要求全链路加密。新信息：FR4取2时，加密方案使扫描周期升至35ms，超出工艺上限；而配方数据在OT网络内已有物理隔离和访问控制，保密性泄露的实际后果低于停线。换哪条路：FR4维持SL-T=1，但在ConduitC-02上增加协议感知防火墙和访问日志作为补偿，MES侧的配方存储仍按IT标准加密，两者不在同一个控制项上互相挤压。第三次转折。信号：表7规则1执行时，FW白名单和IPS规则在7日内已部署，但OT团队担心IPS规则误阻断正常的OPCUA发现流量。当时以为IPS规则可以按IT经验直接复制。试了什么：直接启用IPS规则，结果OPCUA发现服务中断，MES无法自动识别PLC。新信息：OT协议的行为基线与IT不同，OPCUA发现流量需要单独放行。换哪条路：先用学习模式采集两周正常流量，生成OT专用白名单和IPS规则，再切到阻断模式；7日内的补偿措施以“白名单+学习模式”交付，阻断模式在第3周切换。第四次转折。信号：表7规则3处理多因素认证时，HMI紧急停机操作保留物理按钮快速通道，但IT团队要求快速通道的使用必须逐次记录。当时以为物理按钮本身无法产生日志。试了什么：在HMI上增加按钮操作记录，但PLC侧无日志能力。新信息：物理按钮的动作可以通过PLC的数字量输入状态变化间接记录，由网络层镜像捕获。换哪条路：在Conduit侧用网络镜像记录按钮状态变化，归入FR6事件响应日志；快速通道使用记录可追溯，多因素认证在MES管理账户和远程访问上强制执行。终点：表3三个冲突项定级完成，冲突指数2.67；表4PLC-03加权AIC得分8.0（安全override）；表5Z-02的SL-T向量为{2,2,2,1,2,2,3}，SL-A在FR5和FR7上分别为1和2，差距率18.18%，补偿措施为FW白名单和冗余电源计划；表6映射完成；表7规则1、2、3执行完毕，网络补偿7日内交付，补丁排入第12周，FR4维持轻量加密+分段，紧急停机保留物理按钮并网络镜像记录。评估报告和冲突消解方案交工厂总经理、IT安全负责人和OT工程负