IEC 62443的四个安全等级：SL1至SL4的判定

IEC62443的四个安全等级：SL1至SL4的判定本文档提供：四种SL类型区分与取数位置表（表2）；SL1至SL4威胁特征判定表（表3）；SL-T判定流程执行表（表4）和SL-T取值规则表（表5）；SL-C声明核对表（表6）和SL-C/SL-T差距率式(1)；SL-A现场验证表（表7）和SL-A达标率式(2)；认证类型选择核对表（表8）；4-1成熟度自查表（表9）和ML达标率式(3)；认证周期与维持监控表（表10）；决策规则表（表11）；矛盾权衡表（表12）；三套场景操作序列表（表13）；完整判定示例与案例变量表（表14）；来源说明表（表15）。

2026-11-05表1目录与定位表这一节的标题读完你能拿到什么这一节在全文中的功能一、SL后面跟着T、C、A，说的不是同一件事四种SL类型区分与取数位置表（表2）区分SL-T（目标）、SL-C（能力）、SL-A（达成），避免把组件标称当系统达标二、SL1到SL4各防什么人：四行威胁特征写死SL1至SL4威胁特征判定表（表3）用违规类型、手段、资源、技能、动机五个字段把威胁情景归入具体等级三、SL-T从风险分析出，按ZCR5.6七个FR分别取值SL-T判定流程执行表（表4）和SL-T取值规则表（表5）走完ZCR5.1至5.6，为每个Zone/Conduit的七个FR各定一个SL-T四、SL-C是产品声明，核对证书上的向量SL-C声明核对表（表6）和SL-C/SL-T差距率式(1)从产品证书读取SL-C向量，逐FR与SL-T对照，算出差距五、SL-A是现场实际达成，验证设计、集成和运行后的状态SL-A现场验证表（表7）和SL-A达标率式(2)用配置检查、测试记录和运行证据判定SL-A是否≥SL-T六、认证选4-1、4-2还是3-3：对象和证据各不同认证类型选择核对表（表8）按申请主体角色和认证对象选对认证类型，避免选错路径七、4-1成熟度ML1到ML4，审计要求ML34-1成熟度自查表（表9）和ML达标率式(3)逐实践域判ML等级，找到审计前必须补到ML3的项八、证书怎么维持：4-1每36个月再认证，4-2按版本升级触发认证周期与维持监控表（表10）记录再认证日期、版本升级触发条件和年度监督发现项关闭状态九、六个判断分叉的规则和退路决策规则表（表11）和矛盾权衡表（表12）处理SL-T取值分歧、SL-C不足、SL-A不达标和认证范围取舍十、三套场景：首次定级、认证准备、年度维持三套场景操作序列表（表13）按阶段选择检查项和公式组合十一、某工厂完成一次Zone定级和认证路径选择的完整示例完整示例和案例变量表（表14）展示从威胁归级到SL-A验证和认证类型确认的全程十二、数据来源与时效说明来源说明表（表15）标注事实型断言的来源层级和复核状态按第一列在正文找对应那节，按第二列判断这节是否包含所需成品，按第三列判断这节是否对应当前卡住的位置。一、SL后面跟着T、C、A，说的不是同一件事IEC62443里的“SL3”在不同语境下指向三样东西。SL-T是Zone或Conduit根据风险评估需要达到的目标等级；SL-C是组件或系统在正确配置和集成后能够提供的能力等级，由产品供应商声明并经4-2或3-3测试；SL-A是建成并投入运行的Zone或Conduit实际达成的等级，由审计证据证明。三者构成一条链：先从风险确定SL-T，再选择SL-C足够的组件和系统，再通过设计和运行使SL-A≥SL-T。表2四种SL类型区分与取数位置表SL类型全称回答什么问题由谁确定取数位置示例行：SL-TSL-TTargetSecurityLevel这个Zone/Conduit需要达到几级资产所有者，在62443-3-2风险评估中确定表4“SL-T”列，按七个FR分别取值Z-02灌装区SL-T={2,2,1,2,2,2,2}SL-CCapabilitySecurityLevel这个组件或系统在正确配置下能做到几级产品供应商声明，经4-2（组件）或3-3（系统）测试表6“证书SL-C向量”列，从证书或测试报告读取某PLC证书SL-C={2,2,2,2,1,2,2}SL-AAchievedSecurityLevel这个Zone/Conduit在建成运行后实际做到几级资产所有者或集成商，通过配置检查、测试和运行证据判定表7“SL-A”列，逐FR填实测/检查结果Z-02建成后SL-A={2,2,1,1,2,2,2}数字SL（口语）—口语中“我们达到SL3”通常指SL-C或SL-A，需追问是哪一个—追问证书或审计证据“SL3”可能指SL-C3，SL-T可能仍是SL2或SL3表2示例行以SL-T为例，回答“这个Zone需要达到几级”，由资产所有者在风险评估中确定，取数位置为表4“SL-T”列。判定标准：表2“取数位置”列每行指向可打开的文件或表列；口语中出现的“SL几”在“追问结果”列记录实际指向SL-T、SL-C还是SL-A。不合格形态：取数位置写“根据经验确定”且无文件或表列；或口语SL未追问类型直接用于判定。SL-T和SL-C可以按七个基础要求（FR）分别取不同的值，形成一个七维向量：FR1身份识别与鉴别控制、FR2使用控制、FR3系统完整性、FR4数据保密性、FR5数据流限制、FR6事件响应、FR7资源可用性。口语中的“SL3”掩盖了七个FR之间的差异，判定的粒度必须落到每个FR。二、SL1到SL4各防什么人：四行威胁特征写死四个等级描述的是威胁行为者的能力梯度，字段包括违规类型、手段、资源、IACS技能和动机。SL1对应偶然或巧合违规；SL2对应故意违规、简单手段、低资源、通用技能、低动机；SL3对应故意违规、复杂手段、中等资源、IACS专有技能、中等动机；SL4对应故意违规、复杂手段、扩展资源、IACS专有技能、高动机。表3SL1至SL4威胁特征判定表SL等级违规类型手段资源IACS技能动机什么情景归这一级示例行：Z-02归级SL1偶然或巧合无特定手段无无无误操作、初级病毒感染是主要关切Z-02有联锁，误操作不直接导致安全后果SL2故意简单低通用低普通黑客用公开工具可触及该系统Z-02经DMZ暴露OPCUA，公开工具可扫描SL3故意复杂中等IACS专有中等有组织攻击者可能针对产线连续性灌装停线影响交付，有组织攻击者可能针对SL4故意复杂扩展IACS专有高国家级或等效能力攻击者针对安全关键功能Z-02不涉及安全仪表功能，不选SL4表3示例行以Z-02归级为例，暴露面含OPCUA且停线影响交付，威胁情景对应“有组织攻击者、复杂手段、中等资源、IACS专有技能、中等动机”，归SL3。判定标准：表3“什么情景归这一级”列与表4的SL-T判定结果逐Zone对应；每个Zone的SL-T取值能在表3找到对应的威胁特征组合。不合格形态：SL-T取值在表3中找不到对应的威胁特征；或SL-T取SL4但该Zone无安全仪表功能或安全关键后果。“复杂手段”和“简单手段”的分界不在工具数量，在攻击者是否需要针对IACS的专有知识来构造攻击路径。使用公开漏洞利用工具扫描OPCUA端口归SL2；需要理解控制逻辑和工艺联锁关系来构造写入指令归SL3。三、SL-T从风险分析出，按ZCR5.6七个FR分别取值SL-T的判定在62443-3-2的ZCR框架内完成。ZCR5.1界定被评估系统（SuC），ZCR5.2做高层风险评估，ZCR5.3划分Zone和Conduit，ZCR5.4记录假设和约束，随后对每个Zone/Conduit做详细风险评估（DRAR1—5），ZCR5.6确定目标安全等级SL-T。表4把这条链拆成可执行步骤，每个Zone/Conduit一行，逐列填威胁、漏洞、后果、未缓解可能性、初始风险，最后在ZCR5.6列填SL-T。表4SL-T判定流程执行表Zone/ConduitZCR5.1范围ZCR5.2高层后果ZCR5.3分区/管道DRAR1威胁DRAR2漏洞DRAR3后果DRAR4未缓解可能性DRAR5初始风险ZCR5.6SL-T示例行：Z-02Z-02灌装控制区3台资产停线、交付违约独立Zone，经C-02连MES有组织攻击者利用OPCUA未认证写入固件漏洞+OPCUA无认证停线7天中高SL3（7个FR中FR1—FR4取2，FR5—FR7取2，向量{2,2,2,2,2,2,2}的变体）停线7天，有组织攻击，SL3Z-03MES区4台服务器数据泄露、MES中断独立Zone，经C-02连Z-02普通黑客利用未打补丁漏洞CVE未修复数据泄露高高SL2数据泄露，SL2C-02Z-02到Z-03的唯一路径控制指令被篡改Conduit内部误操作或简单注入无流量白名单指令异常中中SL2误操作/注入，SL2Z-01现场层，无IP路由传感器读数失真独立Zone物理接触或网关漏洞攻击面窄读数失真低低SL1读数失真，SL1表4示例行以Z-02为例，DRAR1威胁“有组织攻击者利用OPCUA未认证写入”，DRAR3后果“停线7天”，DRAR4未缓解可能性“中”，DRAR5初始风险“高”，ZCR5.6SL-T填SL3。判定标准：表4每个Zone/Conduit从ZCR5.1到ZCR5.6各列均有内容；DRAR5“初始风险”有高/中/低取值；ZCR5.6“SL-T”有1—4的取值。不合格形态：DRAR1写“存在威胁”且无威胁主体和手段；或ZCR5.6列空白。SL-T的取值不是从初始风险直接一一映射，而是结合威胁特征组合在表3中定位。初始风险“高”可能对应SL3也可能对应SL4，取决于威胁行为者的资源水平和动机是否达到SL4特征。表5给出初始风险到SL-T取值的判定规则，按威胁特征中最高的一项确定下限，再按后果严重度决定是否上调。表5SL-T取值规则表初始风险威胁特征最高项后果严重度SL-T取值判定依据示例行：Z-02高扩展资源+高动机（SL4特征）安全关键或不可恢复SL4威胁和后果同时指向最高级Z-02威胁为中等资源+中等动机，不适用高中等资源+中等动机（SL3特征）停线或重大交付影响SL3威胁特征达到SL3，后果支持SL3停线7天，SL3高低资源+低动机（SL2特征）停线或重大交付影响SL3后果严重度上调一级若威胁仅为SL2特征，因停线7天上调至SL3中低资源+低动机（SL2特征）数据泄露或局部中断SL2威胁和后果均指向SL2Z-03数据泄露，SL2低无特定手段（SL1特征）局部、可恢复SL1威胁和后果均指向SL1Z-01读数失真，SL1表5示例行以Z-02为例，初始风险“高”，威胁特征最高项为“中等资源+中等动机（SL3特征）”，后果“停线7天”，SL-T取SL3，判定依据“威胁特征达到SL3，后果支持SL3”。判定标准：表5每行的SL-T取值与威胁特征最高项和后果严重度两项同时对应；上调一级的行在“判定依据”列写明上调理由。不合格形态：SL-T取值低于威胁特征对应的等级且无下调理由；或上调未写后果依据。四、SL-C是产品声明，核对证书上的向量SL-T确定后，选择组件和系统时看SL-C。SL-C由产品供应商声明，经62443-4-2（组件）或62443-3-3（系统）测试，证书上携带的是七维向量而非单一数字。表6逐组件/系统填证书SL-C向量，与表4的SL-T向量逐FR对照，式(1)算差距率。表6SL-C声明核对表组件/系统证书编号FR1SL-CFR2SL-CFR3SL-CFR4SL-CFR5SL-CFR6SL-CFR7SL-CSL-C/SL-T差距率示例行：PLC-03PLC-03CSA-2024-XXXX22221227.14%FR5为1，其余为2，差距率7.14%HMI-03CSA-2024-YYYY222112214.29%FR4和FR5为1，差距率14.29%MES服务器SSA-2024-ZZZZ22222220.00%七维全2，与SL-TSL2一致表6示例行以PLC-03为例，证书SL-C向量中FR5为1、其余为2，对照Z-02的SL-T向量（全2），差距率7.14%。SL-C/SL-T差距率按式(1)计算。式(1)SL-C/SL-T差距率SL-C/SL-T差距率=Σmax(0,SL-Tᵢ−SL-Cᵢ)÷ΣSL-Tᵢ×100%变量说明：i取FR1至FR7；SL-Tᵢ取表4该Zone的SL-T向量第i个分量；SL-Cᵢ取表6证书向量第i个分量；max(0,·)表示只计SL-C低于SL-T的缺口，SL-C高于SL-T不计入分子。差距率0%表示SL-C在七个FR上均不低于SL-T；大于0%表示存在组件能力缺口。两个常见错误：只看单一“SL3”数字而不看七维向量（某产品标称SL3可能在FR5只有SL1）；把SL-C高于SL-T的分量用来抵消低于SL-T的分量（不能跨FR抵消）。校验方法：从证书或测试报告逐FR读取SL-C，与表4的SL-T逐FR对照，按式(1)重算差距率。判定标准：表6“SL-C/SL-T差距率”列有百分数；差距率大于0%的组件/系统在“缺口处理”列有具体方案（更换组件、增加补偿措施、调整架构）。不合格形态：差距率列空白；或差距率大于0%且缺口处理列空白。五、SL-A是现场实际达成，验证设计、集成和运行后的状态SL-C足够不自动等于SL-A达标。SL-A在设计和集成完成后、运行状态下判定，证据包括配置检查、功能测试记录和运行日志。表7逐Zone/Conduit、逐FR填SL-A判定结果，与SL-T对照。SL-A≥SL-T的FR填“达标”，SL-A<SL-T的填“不达标”并在“补偿措施”列写具体动作。表7SL-A现场验证表Zone/ConduitFRSL-T验证证据（配置/测试/运行记录）SL-A是否达标补偿措施示例行：Z-02FR1Z-02FR1身份鉴别2账号清单显示个人账号+强密码，无共享账号2达标—个人账号全覆盖，SL-A=2Z-02FR2使用控制2角色权限矩阵与岗位职责对照，无越权2达标—权限矩阵对照一致，SL-A=2Z-02FR5数据流限制2FW-02白名单规则检查，存在一条“any-any”临时规则1不达标删除临时规则，补白名单，30日内复测临时规则导致SL-A=1，需整改Z-03FR1身份鉴别2个人账号+强密码，MFA未启用2达标—强密码满足SL2，SL-A=2表7示例行以Z-02的FR1为例，验证证据“账号清单显示个人账号+强密码，无共享账号”，SL-A填2，与SL-T2一致，判定“达标”。SL-A达标率按式(2)计算。式(2)SL-A达标率SL-A达标率=判定为“达标”的FR数÷该Zone/Conduit的SL-T大于0的FR总数×100%变量说明：达标FR数取表7“是否达标”列填“达标”的行数；SL-T大于0的FR总数取表4该ZoneSL-T向量中大于0的分量个数（SL-T为0的FR不纳入判定）。达标率100%表示该Zone的SL-A在全部要求FR上不低于SL-T；低于100%的，逐项列出不达标FR和补偿措施完成期限。两个常见错误：把SL-C证书当作SL-A证据（SL-A看的是现场配置和运行状态）；把SL-T为0的FR计入分母拉低达标率。校验方法：从表7逐FR核对验证证据与SL-A取值的一致性，重算达标率。判定标准：表7“是否达标”列每行填“达标”或“不达标”；填“不达标”的行在“补偿措施”列有具体动作和完成期限。不合格形态：是否达标列空白；或不达标且补偿措施写“后续处理”且无具体动作。SL-A不达标时，三条路径：接受剩余风险、增加补偿措施、修改设计。补偿措施可以是网络分段、监控加强或物理控制，但补偿措施本身也要在表7中记录并验证其有效性。六、认证选4-1、4-2还是3-3：对象和证据各不同认证类型按申请主体的角色和认证对象选择。62443-4-1认证的是组织或产品线的安全开发生命周期（SDL），证书上是成熟度等级ML1—ML4；4-2认证的是组件/产品的安全能力，证书上是SL-C等级；3-3认证的是集成后的系统安全能力，证书上也是SL-C等级（系统级）。表8逐类填认证对象、证书上的等级、核心证据和再认证规则。表8认证类型选择核对表认证类型认证对象证书上的等级核心证据再认证规则什么情况下选这一类示例行：PLC供应商62443-4-1组织或产品线的开发流程成熟度ML1—ML4（ISASecure要求ML3通过）SDL流程文件、八个实践域记录、配置管理证据时间驱动，初始认证后每36个月再认证设备/组件厂商证明开发过程安全供应商选4-1，目标ML362443-4-2组件/产品SL-C1—4（七维向量）安全功能测试报告、已知漏洞清除记录事件驱动，任何被定义为“升级”的版本发布触发再认证产品需要标称SL-C等级PLC选4-2，SL-C向量见证书62443-3-3集成后的系统SL-C1—4（系统级七维向量）系统级要求逐条符合性证据、Zone/Conduit设计文档按认证方案，通常含年度监督资产所有者或集成商证明系统能力工厂系统选3-3，目标与SL-T对齐表8示例行以PLC供应商为例，选62443-4-1，证书等级ML1—ML4（ISASecure要求ML3通过），核心证据为SDL流程文件和八个实践域记录，再认证规则为36个月时间驱动。判定标准：表8选定的认证类型与申请主体角色对应（厂商选4-1/4-2，资产所有者或集成商选3-3）；“核心证据”列有三项以上具体证据名称。不合格形态：选4-1但核心证据只写“流程文件”；或资产所有者申请4-2产品认证而自身不是产品供应商。4-1的证书上不公布成熟度等级的具体数字，但ISASecure要求达到ML3或以上才通过。4-2的再认证由版本升级事件触发，不是固定日历周期；4-1是时间驱动，每36个月再认证。七、4-1成熟度ML1到ML4，审计要求ML3如果选4-1，认证前按八个实践域逐项自查成熟度。八个实践域是安全管（SM）、安全需求规格（SR）、安全设计（SD）、安全实施（SI）、安全验证与测试（SV）、缺陷管理（DM）、补丁管理（PM）、安全事件响应（IR）。ML1是初始、临时执行；ML2是已管理、有计划有跟踪；ML3是组织级标准化、有工具支撑和培训；ML4是持续改进、有度量。表9逐实践域填当前ML和是否达到ML3，未达的写补正动作。表94-1成熟度自查表实践域审计看什么ML3的判定条件当前ML是否达到ML3补正动作示例行：SM安全管（SM）安全活动计划、培训记录、角色职责组织级标准化流程+工具支撑+培训ML2否将项目级流程上升为组织级SOP，补充培训记录当前ML2，需补组织级SOP安全需求规格（SR）需求文档、威胁建模记录标准化需求模板+威胁建模覆盖所有产品ML2否建立统一需求模板，补威胁建模需统一模板安全设计（SD）设计评审记录、攻击面分析标准化设计评审+攻击面分析工具化ML3是维持已达标安全验证与测试（SV）测试计划、渗透测试报告标准化测试流程+工具链ML2否建立回归测试用例库和自动化工具需补自动化表9示例行以安全管（SM）为例，当前ML2，未达ML3，补正动作“将项目级流程上升为组织级SOP，补充培训记录”。ML达标率按式(3)计算。式(3)ML达标率ML达标率=达到ML3的实践域数÷参与自查的实践域总数×100%变量说明：达到ML3的实践域数从表9“是否达到ML3”列填“是”的行数得出；参与自查的实践域总数取表9八行（或按认证范围裁剪后的行数）。达标率100%时进入认证审计；低于100%时按表9“补正动作”逐项补正，补正后重判该实践域。两个常见错误：把“有文档”当作ML3（ML3要求组织级标准化+工具支撑+培训）；把个别项目达到当作组织级达标。校验方法：从表9随机抽两个“是”的实践域，打开对应流程文件和培训记录核对是否覆盖组织级范围。判定标准：表9“是否达到ML3”列每行填“是”或“否”；填“否”的行在“补正动作”列有具体动作和完成标志。不合格形态：该列空白；或填“否”且补正动作列空白。八、证书怎么维持：4-1每36个月再认证，4-2按版本升级触发认证不是终点。表10按认证类型和时间/事件两个维度列监控项、取数位置和判定条件。表10认证周期与维持监控表认证类型再认证触发周期/条件取数位置什么算达标不达标动作示例行：4-24-1时间驱动初始认证后每36个月证书日期和再认证计划再认证在到期前完成到期未完成时证书失效，暂停使用证书标识4-1证书2027-06到期，计划提前6个月启动4-2事件驱动任何被定义为“升级”的版本发布版本发布记录和升级定义升级发布后启动再认证并在规定期限内完成未完成再认证时新版本不得使用原证书本年度无“升级”级版本，证书维持3-3按认证方案通常含年度监督监督审核报告监督发现项按期关闭未关闭项列入再认证前整改监督发现2项，1项按期关闭，列入整改通用证书范围变更产品线扩展或系统架构重大变更时变更记录范围变更时申请扩展或重新认证超范围使用证书时证书无效无范围变更表10示例行以4-2为例，再认证触发为“事件驱动，任何被定义为‘升级’的版本发布”，本年度无升级级版本，证书维持。判定标准：表10每个认证类型的“再认证触发”和“周期/条件”列有具体规则；“不达标动作”列有可执行动作。不合格形态：再认证规则写“按需”且无触发条件；或不达标动作列空白。九、六个判断分叉的规则和退路SL-T取值分歧、SL-C不足、SL-A不达标和认证范围取舍等判断分叉，按表11六条规则执行。每条写判定条件、执行动作、判定失效条件和退路。表11决策规则表编号判定条件执行动作判定失效条件退路示例行：Z-02决策规则1同一Zone内不同资产的最坏后果相差两个等级以上拆分Zone，高后果资产单独划区并单独定SL-T拆分后Conduit数量增加导致管理不可行维持合并Zone，SL-T取高值，对低后果资产用补偿措施Z-02资产后果接近，未拆分规则2SL-C/SL-T差距率大于0%且缺口FR超过2个更换组件或增加补偿措施，使差距率降至0%更换和补偿均无法在预算内完成调整SL-T至可达水平，记录降级理由和批准人PLC-03差距率7.14%，仅FR5一个缺口，未触发规则3SL-A不达标且不达标FR涉及FR1或FR2（身份鉴别或使用控制）优先整改FR1/FR2，30日内复测；期间加强监控作为临时补偿复测仍不达标限制该Zone的网络访问范围，直至整改完成Z-02FR5不达标，不涉及FR1/FR2，规则3未触发规则4认证预算只够覆盖一条产品线选风险最高或客户要求最急的产品线做4-1，其他产品线用表9自查维持客户要求全部产品线认证与客户协商分阶段认证计划，记录阶段日期灌装线PLC产品线优先规则5系统认证（3-3）的SL-T为SL3，但某FR的SL-A为SL1且整改成本超过该Zone年停机损失的50%评估补偿措施（分段、监控、物理控制），补偿后剩余风险降为中即可接受补偿后剩余风险仍为高降低该Zone的SL-T至SL2，记录降级理由和批准人FR5差距，先上白名单补偿，未触发降级规则64-1的八个实践域中有一个连续两次自查未达ML3暂停该实践域的认证申报，集中补正后再申报补正后仍未达ML3缩小认证范围至已达标的实践域，记录裁剪理由SV域未达ML3，暂停申报表11示例行以规则2为例，PLC-03的SL-C/SL-T差距率为7.14%，缺口仅FR5一个FR，未超过“缺口FR超过2个”的触发条件，更换组件或补偿措施的规则2未触发。规则5示例行：FR5差距通过白名单补偿处理，未触发SL-T降级。读者遇到判断分叉时逐条对照“判定条件”列，命中哪条执行哪条动作，执行后检查“判定失效条件”，命中失效条件的走“退路”。表12矛盾权衡表矛盾陈述实质分析权衡规则退路示例行：Z-02场景Z-02的SL-T定为SL3要求OPCUA认证和固件升级，固件升级需要停线4小时，当月订单已排满无停机窗口安全要求来自SL-T差距，停机约束来自订单交付，两者在同一时间窗口内冲突先以FW写入白名单和多因素认证作为补偿措施，将SL-A在FR1和FR2上提至SL2，固件升级排入下一个计划停机窗口，最长不超过90天90天内仍无停机窗口时，启用备线生产，在备线运行期间对Z-02停机升级白名单+多因素已上，升级排入第7周窗口4-2产品认证要求SL-C达到SL3，但该产品的一个通信模块只支持SL2，替换模块成本占产品售价18%产品标称SL要求全组件达标，成本约束来自模块替换，两者在产品定价上冲突评估该模块是否在关键攻击路径上；不在关键路径的，用系统级补偿（3-3侧分段）覆盖，产品标称SL2并在手册中说明使用限制客户合同明确要求端到端SL3时，替换模块，成本转嫁或分批摊销模块在非关键路径，产品标称SL2，系统侧补偿表12第一行矛盾陈述以“SL3要求”与“4小时停机、当月无窗口”的具体冲突写成。实质分析指出两者在同一时间窗口冲突。权衡规则给出“补偿措施提至SL2+90天窗口”的切分。退路写备线生产。第二行矛盾陈述以“产品SL3要求”与“模块SL2、替换成本18%”写成，权衡规则给出“关键路径判断+系统级补偿”的路径。十、三套场景：首次定级、认证准备、年度维持阶段不同，检查项和公式用量随之增减。首次定级走完整版；认证准备走精简版；年度维持走极简版。表13列出三套场景的操作序列、保留项、删掉项和底线。表13三套场景操作序列表场景适用条件操作序列保留的检查项和公式删掉的检查项底线与示例完整版首次Zone定级或新建系统设计表2→表3→表4→表5→表6/式(1)→表7/式(2)表2、表3、表4、表5、表6、表7、式(1)(2)无全Zone逐FR执行精简版认证准备且已有完整版定级表6/式(1)→表7/式(2)→表8→表9/式(3)表6、表7、表8、表9、式(1)(2)(3)删掉表2、表3、表4、表5按已有SL-T直接做SL-C核对、SL-A验证和成熟度自查极简版年度维持且无系统变更表10→表6抽查→表9抽查表10、表6抽查行、表9抽查行删掉表2—表5、表7、表8、全部公式证书有效期和版本状态核对表13示例行以完整版为例，首次定级走表2至表7全部检查项，式(1)和式(2)全部计算。精简版删掉的检查项逐项列在“删掉的检查项”列。极简版适用于年度维持，表10核对再认证日期和版本状态、表6抽查一个组件的SL-C向量、表9抽查两个实践域的ML状态，三项完成即出维持结论。十一、某工厂完成一次Zone定级和认证路径选择的完整示例示例案例，细节为合理设定。起点：某工厂灌装产线有Z-01现场区、Z-02灌装控制区、Z-03MES区和C-02管道。产线PLC-03的证书显示SL-C向量为{2,2,2,2,1,2,2}，HMI-03为{2,2,2,1,1,2,2}。工厂需要确定各Zone的SL-T、核对现有组件的SL-C、验证SL-A，并选择认证路径。分步操作：第一步填表2，区分SL-T、SL-C、SL-A三类。第二步填表3，Z-02威胁特征归SL3，Z-03归SL2，C-02归SL2，Z-01归SL1。第三步填表4和表5，Z-02SL-T定为SL3（威胁SL3特征+停线后果），Z-03SL2，C-02SL2，Z-01SL1。第四步填表6，PLC-03的SL-C/SL-T差距率7.14%（FR5缺口），HMI-03差距率14.29%（FR4和FR5缺口）。第五步填表7，Z-02的FR5因FW临时规则SL-A=1，不达标，补偿措施为删除临时规则并补白名单。第六步选认证路径。第一次转折。信号：表4给Z-02定SL-T时，工艺负责人认为灌装线停线后果严重，应定SL4。当时以为后果严重就必须最高级。试了什么：对照表3，SL4的威胁特征是“扩展资源+高动机”，Z-02的暴露面和数据敏感性不支持这一情景。新信息：Z-02无安全仪表功能，攻击者从OPCUA入口可利用的路径限于停线，不涉及安全联锁。换哪条路：维持SL3，在表4“DRAR1”列补写“扩展资源攻击者动机不足”。第二次转折。信号：表6核对PLC-03证书时，发现SL-C在FR5只有1，而SL-T在FR5为2，差距率7.14%。当时以为差距率低可以忽略。试了什么：按差距率7.14%标记“可接受”。新信息：FR5是数据流限制，正是Z-02到Z-03的管道控制所在，该FR缺口直接关联C-02的隔离有效性。换哪条路：在表6“缺口处理”列写“FR5缺口由C-02的FW白名单补偿”，并在表7的C-02FR5验证中确认白名单规则完整、无临时规则。第三次转折。信号：表7验证Z-02的FR5时，FW-02规则中有一条“any-any”临时规则，SL-A判为1。当时以为临时规则是调试遗留，删除即可。试了什么：直接删除规则。新信息：删除后MES的OPCUA发现服务中断，说明该规则承载了一项未文档化的通信需求。换哪条路：先补一条限定源/目的的OPCUA发现规则替代“any-any”，再删除临时规则，复测FR5的SL-A回到2。补偿措施完成期限设为15日。第四次转折。信号：选认证路径时，设备厂商希望工厂直接做3-3系统认证，工厂预算只够做差距评估和补偿措施。当时以为3-3是唯一能证明系统安全的方式。试了什么：对照表8，3-3的认证对象是集成后的系统，证据要求含系统级逐FR符合性证据，工作量和成本高于4-1/4-2。新信息：工厂是资产所有者，PLC-03的4-2认证应由设备厂商完成；工厂侧更务实的是用表7的SL-A证据和表9的成熟度自查作为3-3的准备。换哪条路：设备厂商申报4-1和4-2（目标SL3），工厂侧完成3-3准备，表9自查八个实践域中五个达ML3、三个需补正，补正后次年申报3-3。第五次转折。信号：表9自查SV实践域连续两次未达ML3，测试流程仍是项目级、无回归测试用例库。当时以为补文档即可。试了什么：编写测试流程文档。新信息：审计看的是“组织级标准化+工具支撑+培训”，仅有文档不构成ML3。换哪条路：按表11规则6，暂停SV的认证申报，建立回归测试用例库和自动化工具，培训测试人员，补正后再申报；其余七个实践域先申报。终点：表4