NIST SP 800-82的OT安全指南：与IT框架的差异（差异点、适用、实施）

NISTSP800-82的OT安全指南：与IT框架的差异（差异点、适用、实施）本文档提供：表1目录与定位表；表2Rev3范围与版本适用判定表；表3CIA与AIC优先级差异判定表；表4OToverlay控制项处置判定表；表5控制族在OT中的适用性裁决表；表6Zone/Conduit分段实施判定表；表7主动扫描与被动监控边界表；表8可用性优先的补丁评估窗口复算表；表9gate评审表；表10排查表；表11-a保留项表；表11-b删掉项表；表12决策规则表；表13示例变量表；表14来源表。

2026-11-05表1目录与定位表这一节的标题读完能拿到什么这一节在全文中的功能一、版本先锁Rev3，ICS和OT的范围差异直接改变适用清单表2Rev3范围与版本适用判定表，示例SCADA归OT不归ICS锁定版本与范围入口二、CIA在OT里倒过来，可用性和安全排在保密性前面表3CIA与AIC优先级差异判定表，示例SIS误停车比数据泄露后果重锁定优先级翻转的判定动作三、OToverlay逐条裁决，800-53控制分“原样用、改后用、不能用”三类表4OToverlay控制项处置判定表，示例自动补丁部署判“改后用”锁定每条控制的处置方式四、控制族按OT约束重排，SC和IA两个族最先落表5控制族在OT中的适用性裁决表，示例AC远程访问需MFA+跳板锁定控制族落地顺序五、Zone/Conduit先划IT-OT边界，再划OT内部，跳步会漏掉DMZ表6Zone/Conduit分段实施判定表，示例SIS直连企业网无防火墙锁定分段实施的先后顺序六、主动扫描在OT是风险动作，先拿供应商书面确认再动表7主动扫描与被动监控边界表，示例未确认即Nmap扫PLC锁定扫描方式的合法边界七、补丁窗口按可用性倒排，35天不是自然月表8可用性优先的补丁评估窗口复算表，示例补丁评估逾期10天锁定补丁窗口的复算动作八、gate评审四道门，退回项写清补件日期表9gate评审表，示例分段门2026-12-15放行或退回OT安全gate九、OT安全卡住了，按这七处打开原件对表10排查表，示例SIS连接方式排查gate缺口十、完整版、精简版、极简版各保留哪些检查项表11-a保留项表、表11-b删掉项表选择版本检查项十一、可用性撞上补丁节点，按这四条规则裁表12决策规则表，示例SIS补丁评估逾期裁决可用性与合规的冲突十二、从空白适用清单到gate放行，某OT安全工程师走了一遍表13示例变量表，示例SIS连接方式复现案例推进十三、文末数据来源与核对路径表14来源表，示例overlay处置口径核对来源动作按第一列在正文找对应那节，按第二列判断这节有没有要用的东西，按第三列判断这节是否对应当前卡住的位置。一、版本先锁Rev3，ICS和OT的范围差异直接改变适用清单某化工厂OT安全工程师打开内部“NISTSP800-82适用清单”，标题写的是“GuidetoIndustrialControlSystems(ICS)Security”，范围栏只列了SCADA、DCS和PLC。厂内还有楼宇自控、门禁系统和环境监测传感器，这三类在Rev3中已明确纳入OT范围。Rev3于2023年9月发布，取代2015年的Rev2，标题从“工业控制系统安全指南”改为“运营技术安全指南”，范围从ICS扩展到OT。适用清单如果还按Rev2的ICS边界圈定范围，楼宇自控和物理访问控制会被漏在适用清单之外，overlay的裁决也不会覆盖这些系统。按表2逐系统核。表2Rev3范围与版本适用判定表系统/资产打开什么看哪两列什么样算锁定不合格形态怎么改SCADA系统适用清单第2行系统类型、Rev3范围归属类型归OT且覆盖Rev3列举的SCADA类型填ICS，范围未覆盖SCADA改为OT并列入overlay裁决楼宇自控适用清单第3行系统类型、是否在Rev3范围归OT且纳入适用清单清单中无此系统补入适用清单并做overlay门禁系统适用清单第4行系统类型、是否在Rev3范围物理访问控制归OT按IT门禁处理未做OT裁决重分类并补OT约束裁决环境监测传感器适用清单第5行系统类型、是否在Rev3范围归OT且做可用性影响判定清单中无此系统补入清单并判可用性影响版本引用适用清单封面标准版本号、发布年份引Rev3且注明2023年9月发布仍引Rev2（2015）改为Rev3并保留旧版历史表2成品块输入：适用清单第3至5行系统类型、Rev3范围列举；动作：逐系统取系统类型与Rev3的OT范围对照，取版本引用与2023年9月发布对照；输出：在适用清单“版本与范围”列填“Rev3覆盖楼宇自控、门禁、环境监测”；判定：系统归OT且版本引Rev3填“锁定”，仍用Rev2边界或漏系统填“补录”并重做overlay。Rev3的范围扩展不只是换标题，SCADA在Rev2中已属ICS，Rev3继续保留；楼宇自控、物理访问控制、环境监测是新增的OT类别，这些系统在Rev2的适用清单里通常被归到IT侧处理，overlay不会给出OT约束。二、CIA在OT里倒过来，可用性和安全排在保密性前面IT侧的安全评审记录第3行写“数据泄露风险评估：高，优先加密”，OT侧的生产例会记录第4行写“上周PLC非计划重启导致反应釜温度波动，差点触发SIS”。两条记录放在一起，IT的优先级是机密性在前，OT的优先级是可用性和安全在前。NISTSP800-82Rev3的优先级顺序是安全性→可用性→完整性→保密性，IT的CIA三元组在OT中几乎完全倒置为AIC。如果按IT的CIA顺序给OT系统排整改优先级，加密项目会抢在可用性修复前面，而PLC重启的风险不会因为数据加密而下降。按表3逐系统判优先级。表3CIA与AIC优先级差异判定表系统/场景打开什么看哪两列什么样算按AIC排序不合格形态怎么改反应釜控制PLCOT风险台账第2行非计划停机后果、数据泄露后果停机后果≥泄露后果，可用性排第一加密项目排在停机修复前重排优先级，停机修复前置SIS安全仪表系统SIS变更记录第3行误停车后果、网络攻击后果误停车可致人身伤害，安全排第一按IT补丁周期排SIS变更安全评估前置，补丁需仿真验证历史数据库数据分类表第4行数据敏感度、生产连续性依赖完整性影响工艺判断时排第二只按机密性定级补完整性影响判定操作员站账号权限表第5行共享账号、操作可用性共享账号不因“方便”保留共享账号长期不改改唯一账号并绑定MFA表3成品块输入：反应釜控制PLC停机后果与数据泄露后果、SIS误停车后果；动作：逐系统取停机/安全后果与泄露后果对照，按AIC顺序排；输出：在OT风险台账“优先级”列填“可用性/安全优先”；判定：停机或安全后果重于泄露后果且整改顺序按AIC排填“合格”，加密项目排在可用性修复前填“重排”。AIC倒置的实操含义是：不能把IT的“先加密再谈可用性”照搬到OT，SIS的一个假停车可能造成人身伤害，可用性修复和变更验证必须排在加密项目之前。三、OToverlay逐条裁决，800-53控制分“原样用、改后用、不能用”三类NISTSP800-82Rev3的附录F提供一个OToverlay，把NISTSP800-53Rev5的控制目录映射到OT环境，逐条标明哪些控制原样适用、哪些需要修改、哪些不适用。该厂内部的控制对照表只填了“适用/不适用”两档，自动补丁部署、共享账号、主动漏洞扫描等条目被直接标为“适用”，而Rev3明确这些控制在OT中需要修改或用补偿控制替代。按表4逐条裁决overlay处置。表4OToverlay控制项处置判定表控制项打开什么看哪两列什么样算裁决完成不合格形态怎么改自动补丁部署overlay附录F对应行800-53控制号、OT处置列处置为“改后用”或“补偿控制”标“原样适用”改为计划补丁+仿真验证共享/静态账号IA控制族对应行控制号、OT处置处置为“改后用”，要求唯一账号标“原样适用”改唯一账号+PAM主动漏洞扫描RA/SI控制族对应行控制号、OT处置处置为“条件适用”，先拿供应商确认标“原样适用”改被动监控或供应商确认后扫描自动隔离/阻断IR/SC控制族对应行控制号、OT处置处置为“改后用”，需安全影响评估标“原样适用”补安全影响评估和人工审批远程访问AC控制族对应行控制号、OT处置处置为“改后用”，要求MFA和跳板标“原样适用”补MFA+跳板+会话记录表4成品块输入：overlay附录F对应行、内部对照表处置列；动作：逐控制取800-53控制号与overlayOT处置列对照，取内部处置与overlay处置对照；输出：在控制对照表“处置”列填“原样适用/改后用/不适用”；判定：内部处置与overlay处置一致填“完成”，把overlay标“改后用”的控制填成“原样适用”填“退回重裁”。overlay的价值在于把“800-53写了什么”和“OT里能不能这么做”分开，自动补丁部署在IT是标准动作，在OT可能因为非计划重启触发安全事件，必须改为计划窗口加仿真验证。四、控制族按OT约束重排，SC和IA两个族最先落控制对照表按800-53的20个控制族平铺，SC（系统和通信保护）和IA（身份与认证）两个族在OT中的密码学义务最直接：SC-8/SC-28要求传输和静态数据的机密性，IA-2/IA-3/IA-5要求设备与用户认证，但OT设备的生命周期常达15至25年，证书和密钥管理方式与IT不同。AC族的远程访问在OT中须叠加MFA和跳板，IR族须与安全团队协同。按表5给控制族排落地顺序。表5控制族在OT中的适用性裁决表控制族在OT中的核心约束打开什么什么样算可落地不合格形态排第几批SC系统与通信保护加密须兼容遗留协议，证书集中管理控制族清单SC行有兼容性测试结论和密钥管理方案直接按ITTLS策略推第一批IA身份与认证设备认证替代共享账号，MFA用于远程控制族清单IA行有设备证书和MFA覆盖清单共享账号保留第一批AC访问控制远程访问经跳板+MFA，最小权限控制族清单AC行跳板和PAM有日志直连远程第二批IR事件响应与安全团队协同，安全影响评估前置控制族清单IR行响应剧本含安全停车判断只按IT隔离第二批CM配置管理基线含OT安全参数，变更走仿真控制族清单CM行基线有OT参数且变更验证沿用IT基线第二批SR供应链供应商远程维护认证和完整性验证控制族清单SR行供应商访问有MFA和记录供应商直连无记录第三批表5成品块输入：控制族清单SC、IA、AC、IR、CM、SR行；动作：逐族取OT约束与可落地条件对照；输出：在实施计划“批次”列填“SC/IA第一批、AC/IR/CM第二批、SR第三批”；判定：有兼容性测试、MFA覆盖、跳板日志、安全停车判断等证据填“可落地”，沿用IT策略未做OT约束填“重排”。SC和IA先落的原因是OT的密码学义务集中在设备认证和通信完整性，遗留设备不支持现代加密时，IA-3的设备认证可以用网络层隔离和单向网关补偿，不能因为设备不支持TLS就放弃身份认证。五、Zone/Conduit先划IT-OT边界，再划OT内部，跳步会漏掉DMZ该厂网络拓扑第3行显示一台SIS控制器通过非管理型交换机直连企业网，没有防火墙、没有VLAN、SIEM里没有该连接的流量记录。NISTSP800-82Rev3第5.3节推荐Zone/Conduit分段，先建立IT-OT边界（工业DMZ、数据二极管或单向网关、跳板机），再在OT内部按安全等级和功能划Zone和Conduit。拓扑图直接把SIS放在企业网同一广播域，跳过了工业DMZ这一步。按表6逐段核。表6Zone/Conduit分段实施判定表分段步骤打开什么看哪两列什么样算合格不合格形态怎么改IT-OT边界拓扑图第2行边界设备、DMZ有工业DMZ或数据二极管SIS直连企业网建DMZ并迁移SISOT内部Zone拓扑图第3至5行Zone划分依据、安全等级按安全等级和功能分Zone全厂一个OT大Zone按SIS/控制/历史分ZoneConduit策略防火墙规则第4行源Zone、目的Zone、协议每条Conduit有明确策略规则填“any”限定源目的和协议跳板与远程远程访问记录第5行访问路径、认证方式经跳板+MFA+会话记录供应商直连改跳板+MFA单向网关数据流图第6行数据流向、方向性关键流单向或受控双向双向无监控补单向网关或DPI表6成品块输入：SIS连接方式、拓扑图DMZ、OT内部Zone划分；动作：逐段取边界设备、Zone依据、Conduit策略与合格条件对照；输出：在分段实施表“状态”列填“SIS缺边界、OT内部未分Zone”；判定：工业DMZ存在、SIS不在企业网广播域、OT内部有Zone划分填“合格”，SIS直连企业网或无DMZ填“缺边界”并先建DMZ。Zone/Conduit的顺序是先边界后内部，跳过工业DMZ直接划OT内部Zone，SIS与企业网之间的非受控路径仍然存在，内部的Zone再细也挡不住从企业网侧进来的流量。六、主动扫描在OT是风险动作，先拿供应商书面确认再动该厂IT安全团队按季度对全网跑Nmap全端口扫描，OT网段也在扫描范围内。NISTSP800-82Rev3第6.2.1节明确警告，未经供应商确认，不要在实时ICS环境中主动扫描，脆弱设备可能因扫描流量重启或进入异常状态。该厂扫描记录第3行显示2026-10-15对PLC网段执行了全端口扫描，供应商确认栏空白。按表7判扫描边界。表7主动扫描与被动监控边界表网段/对象打开什么看哪两列什么样算允许不合格形态怎么改PLC控制网段扫描记录第2行扫描方式、供应商确认被动监控，或供应商书面确认后主动扫Nmap全端口无确认改被动或补确认SIS网段扫描记录第3行扫描方式、安全影响评估供应商确认+安全影响评估+维护窗口纳入IT季度扫描从IT扫描范围剔除HMI/工程师站扫描记录第4行扫描方式、EDR代理轻量代理或无代理被动发现装通用IT扫描代理改无代理被动历史库/DMZ扫描记录第5行扫描时段、影响评估非生产时段主动扫可接受生产高峰全端口扫排维护窗口表7成品块输入：PLC网段扫描方式、SIS网段扫描范围；动作：逐网段取扫描方式与“被动或供应商书面确认”对照，取SIS是否在IT扫描范围与“剔除”对照；输出：在扫描计划表“方法”列填“PLC改被动、SIS剔除”；判定：PLC网段无供应商确认的主动扫描填“不合规”，SIS在IT扫描范围填“剔除”并改被动监控。主动扫描在IT是常规动作，在OT是需要供应商签字的变更，扫描流量本身可能触发PLC的异常处理路径，这个风险不因为扫描器是“安全工具”而消失。七、补丁窗口按可用性倒排，35天不是自然月OT补丁评估记录第3行上次评估2026-09-01，下次评估2026-10-06，间隔35天；第4行上次2026-10-06，下次实际2026-11-10，间隔35天；但第5行上次2026-09-01到2026-10-06之间，SIS的补丁评估记录缺失。35天补丁评估窗口在OT中不是自然月，是从上次评估日滚动计算的下一个到期日，审计会逐段复算间隔。该厂把SIS补丁评估挂在IT的月度补丁窗口下，IT窗口按自然月排，SIS评估记录在9月和10月之间出现了空档。按表8复算补丁窗口。表8可用性优先的补丁评估窗口复算表补丁对象上次评估日35天到期日实际下次评估日余量或逾期打开什么什么样算合格PLC控制程序2026-10-062026-11-102026-11-100天补丁记录第3至4行到期日有评估记录SIS安全仪表2026-09-012026-10-06空白逾期30天SIS补丁记录第5行有评估记录和仿真结论HMI操作系统2026-10-202026-11-24计划2026-11-24余19天补丁记录第6行到期日前有评估表8成品块输入：PLC评估日期、SIS上次评估2026-09-01和空白记录；动作：逐对象取上次评估日加35天算到期日，与当前日期和实际评估日对照；输出：在补丁窗口表“状态”列填“PLC压线、SIS逾期30天”；判定：到期日有评估记录填“合格”，SIS到期日已过且无记录填“逾期”并补做评估和仿真验证。补丁窗口的可用性约束意味着SIS的评估不能等IT的自然月窗口，35天是从上次评估日滚动的硬到期日，仿真验证和安全影响评估要在到期日之前完成，不能先评估后补仿真。八、gate评审四道门，退回项写清补件日期版本范围、优先级、overlay、控制族、分段、扫描边界、补丁窗口七块填完后过gate。四道门按表9顺序过。表9gate评审表门打开哪张表看哪一列什么样算合格本案例状态补件日期与责任人范围门表2第2至5行版本与范围Rev3覆盖楼宇自控、门禁、环境监测三类系统未在清单2026-12-05补录，OT安全工程师优先级门表3第2至3行优先级排序SIS和PLC按AIC排，安全/可用性在前IT加密项目排在前2026-12-10重排，OT安全工程师分段门表6第2至4行边界与Zone工业DMZ存在，SIS不在企业网SIS直连企业网2026-12-15建DMZ迁移，网络组扫描与补丁门表7第2至3行、表8第2至3行扫描方式、补丁到期日SIS剔除IT扫描，补丁无逾期SIS在扫描范围、补丁逾期30天2026-12-12剔除并补评估，OT安全工程师表9成品块输入：四道门状态；动作：逐门取合格条件与当前状态对照；输出：在gate记录表填“范围门退回、优先级门退回、分段门退回、扫描与补丁门退回”；判定：四门全部合格且补件日期有值填“放行”，任一退回填“停gate”并跟踪。九、OT安全卡住了，按这七处打开原件对gate状态“停gate”，按表10从第1行SIS连接方式开始逐项排查。表10排查表检查点打开什么数什么/取什么合格条件本案例状态换哪条路SIS连接方式拓扑图第3行边界设备经工业DMZ或单向网关非管理型交换机直连企业网建DMZ迁移overlay处置控制对照表数“原样适用”且overlay标“改后用”的行处置与overlay一致自动补丁部署标原样改为改后用主动扫描范围扫描记录第2至3行数SIS在扫描范围的行SIS不在IT扫描范围SIS在季度扫描内剔除改被动补丁评估间隔补丁记录第5行上次日加35天到期日有评估逾期30天补评估+仿真AIC排序OT风险台账第2至3行数安全/可用性排在加密前的行SIS和PLC按AIC排IT加密项目排在前重排版本引用适用清单封面版本号Rev3仍引Rev2更新Zone/Conduit防火墙规则第4行数源目的明确的规则无“any”规则有any规则限定源目的表10成品块输入：SIS连接方式、overlay处置、SIS扫描范围、SIS补丁记录；动作：逐行打开对应原件取数值或状态与合格条件对照；输出：在排查记录表填“SIS直连、自动补丁标原样、SIS在扫描范围、补丁逾期30天”；判定：七行均合格填“可重新提交gate”，任一行不合格填缺口项和补件日期。十、完整版、精简版、极简版各保留哪些检查项对外审计或监管报送选完整版，内部年度自查时间受限选精简版，个人学习或非OT岗位选极简版。按表11-a保留、表11-b删掉。表11-a三套场景保留项表版本适用场景保留检查项重跑动作不能妥协的底线完整版对外审计或监管报送表2至表10全部检查项整改后重跑全量SIS经DMZ、overlay处置一致、补丁无逾期精简版内部年度自查且时间受限表2版本与范围、表4overlay关键项、表6边界、表8补丁窗口整改后只重跑退回项SIS不在企业网、补丁评估有记录极简版个人学习或非OT岗位表3AIC排序、表6SIS边界、表7主动扫描边界不跑overlay全量，直接看三处优先级按AIC排、主动扫描有确认表11-a成品块输入：版本行；动作：按场景选版本并抄保留项；输出：gate记录版本列填版本名；判定：保留项有值且底线项有值填版本名，任一空白退回选版本。公式增减：本主题不设独立公式，补丁窗口按35天滚动加算，扫描边界按“被动或供应商书面确认”判定。表11-b三套场景删掉项表版本删掉检查项完整版保留表2至表10全部检查项精简版表2楼宇自控和门禁行精简版表5控制族批次排序精简版表6Conduit策略和单向网关精简版表10第6至7行极简版表2、表4、表5、表8、表9、表10极简版表6OT内部Zone表11-b成品块输入：版本行；动作：按版本逐行核删掉项；输出：版本检查单勾掉对应项；判定：保留项有值且删掉项未进本次评估，版本检查单签字。十一、可用性撞上补丁节点，按这四条规则裁SIS补丁评估逾期30天，仿真验证需要5个工作日，SIS变更窗口下一个可用时段在2026-11-25；IT侧要求按季度扫描覆盖OT网段，下次扫描2026-11-20。按表12四条规则裁。表12决策规则表如果看到什么执行动作判定失效条件退路SIS补丁评估逾期且仿真未做补评估+仿真验证，评估日期留补做日，不回溯倒签仿真触发SIS误动作维持当前版本，加补偿监控IT扫描覆盖SIS或PLC网段从IT扫描范围剔除，改被动监控被动监控覆盖不足90%供应商书面确认后限时主动扫overlay把“改后用”标成“原样适用”按overlay重裁，补补偿控制补偿控制影响可用性降级为非自动、人工审批SIS直连企业网且无DMZ迁移至工业DMZ，迁移前加临时隔离迁移窗口撞生产先加单向网关，DMZ后置表12成品块输入：四行条件列；动作：逐条取观察值对照；输出：gate记录填停门项和退路；判定：条件列有值且动作列有记录，失效条件出现时退路有具体动作。矛盾陈述：IT侧要求季度扫描覆盖OT网段以维持漏洞可见性；NISTSP800-82Rev3第6.2.1节警告未经供应商确认不要在实时ICS主动扫描；SIS补丁评估逾期30天，补评估和仿真验证需要5个工作日，下一个SIS变更窗口在2026-11-25。同一时点上，扫描要求覆盖OT，扫描动作可能干扰SIS和PLC，补丁评估又需要一个安全窗口。实质分析：IT扫描覆盖OT的收益是漏洞台账完整，代价是扫描流量触发PLC异常的风险；SIS补丁评估的收益是合规，代价是仿真和变更窗口的时间。权衡规则：SIS和PLC网段从IT扫描范围剔除，改被动监控；被动覆盖率不足90%时，先拿供应商书面确认，再在维护窗口做限时主动扫描；SIS补丁评估和仿真并行推进，评估日期留补做日，仿真通过后在2026-11-25窗口执行。退路：仿真触发SIS误动作，维持当前版本并加补偿监控，补丁评估记录标注“仿真未通过，维持版本”。十二、从空白适用清单到gate放行，某OT安全工程师走了一遍示例案例，细节为合理设定。某OT安全工程师拿到化工厂的NISTSP800-82适用清单和网络拓扑，手里有控制对照表、扫描记录、补丁评估记录、OT风险台账。起点是适用清单仍引Rev2、SIS通过非管理型交换机直连企业网、SIS在IT季度扫描范围内、SIS补丁评估逾期30天。分步操作：先打开表2，把楼宇自控、门禁、环境监测补入适用清单，版本引用改为Rev3。再打开表3，取反应釜PLC停机后果和SIS误停车后果，把可用性/安全排在加密项目之前。打开表4，逐条对照overlay，自动补丁部署从“原样适用”改为“改后用”，共享账号改为唯一账号+PAM。打开表6，确认SIS直连企业网、无工业DMZ，分段状态填“缺边界”。打开表7，确认SIS在IT季度扫描范围内，扫描方式填“剔除改被动”。打开表8，SIS上次评估2026-09-01，35天到期2026-10-06，实际空白，逾期30天。第一次转折。信号：适用清单仍引Rev2。假设：Rev3只是换标题，范围没变。试了什么：核对Rev3范围列举，楼宇自控、门禁、环境监测都在OT范围内。新信息：三类系统在Rev2清单外，overlay未覆盖。换哪条路：补入清单并逐系统做overlay裁决，范围门从“通过”改为“退回”。第二次转折。信号：SIS通过非管理型交换机直连企业网。假设：交换机上有VLAN隔离。试了什么：查交换机配置，VLAN未启用，SIS与企业网同一广播域。新信息：没有工业DMZ，SIS暴露在企业网侧。换哪条路：分段门标记“缺边界”，先建工业DMZ并迁移SIS，迁移前加临时隔离。第三次转折。信号：SIS在IT季度扫描范围内。假设：扫描器是安全工具，不会影响SIS。试了什么：核对Rev3第6.2.1节，未经供应商确认的主动扫描在实时ICS中有风险。新信息：SIS的扫描不在供应商确认范围内。换哪条路：从IT扫描范围剔除SIS，改被动监控，扫描门标记“剔除”。第四次转折。信号：SIS补丁评估逾期30天。假设：挂在IT月度窗口下可以顺延。试了什么：按3