2. 工业网络分段标准与模型解读

在食品工厂做网络分段，不能凭经验随手划几个VLAN了事。行业内有两套被广泛引用的“共同语言”：一套是ISA/IEC 62443提出的区域与管道（Zones and Conduits）模型，它回答“安全边界应该划在哪里”；另一套是Purdue企业参考架构，它回答“不同层级的功能应该放在哪里”。两者一个偏安全、一个偏功能，配合使用才能既合规又好落地。

一、Zones and Conduits：以安全需求划边界

ISA/IEC 62443的核心思想是：把具有相同安全需求的资产归入同一个区域（Zone），区域之间所有通信必须经过受控的管道（Conduit）。区域划分的依据不是物理位置，而是目标安全等级（SL-T）——同一区域内设备的可用性、完整性、保密性要求应当一致。

在食品工厂里，一个典型的划分思路是：把灌装线PLC、变频器、现场仪表划为“灌装控制区”，把CIP清洗系统单独划为“清洗控制区”，把MES/SCADA服务器划为“生产监控区”，把办公网和互联网出口划为“企业办公区”。每个区域设定不同的SL-T，例如灌装控制区因直接关系产品安全和停产损失，SL-T可定为2～3；办公区定为1～2。区域之间的管道则明确“谁可以访问谁、走什么协议、是否单向”。

管道的设计要点在于最小化与单向化。生产监控区向灌装控制区采集数据，通常只允许OPC UA或Modbus TCP的读操作，且由监控区主动发起；灌装控制区不应主动访问办公网。对于需要把批次数据上传MES的场景，可在管道上部署数据二极管或单向网关，实现物理层单向传输，从结构上消除反向攻击路径。

二、Purdue模型：以功能分层定位

Purdue企业参考架构把工业网络分为0～5层：0层现场设备（传感器、执行器），1层控制器（PLC、DCS），2层监控（SCADA、HMI），3层生产运营（MES、历史数据库），3.5层为DMZ（非军事区），4层企业IT（ERP、办公），5层外部网络。食品工厂的适用性体现在：0～2层是生产实时域，3层是生产管理域，3.5层是隔离缓冲带，4～5层是企业与外部域。

Purdue模型最有价值的贡献是3.5层DMZ。很多工厂把MES服务器直接放在3层并同时连办公网，等于给攻击者开了一扇直通控制网的门。正确做法是把需要跨域交换的数据（如批次报表、订单下发）先落到DMZ中的数据代理或镜像数据库，由DMZ分别与3层、4层通信，两侧都不直接互连。这样即使办公网被攻破，攻击者也只能到达DMZ，无法直接触达PLC。

三、分段等级与安全等级的划分方法

实际划分时，建议按“功能域→安全需求→SL-T→区域→管道”的顺序推进。先按Purdue层和工艺单元列出功能域，再对每个域评估三类安全属性：停产影响（可用性）、配方与工艺参数被篡改的风险（完整性）、生产数据泄露风险（保密性）。三项中取最高要求作为该域的SL-T，SL-T相同的相邻域可合并为一个Zone，不同的则必须用Conduit隔开。

下表给出一个食品工厂的示例划分（参数为教学假设，需按企业实际风险评估调整）：

划分完成后必须验证两件事：一是管道是否真的受控——用防火墙策略或抓包确认跨区流量只走允许的协议和端口，不存在“旁路直连”；二是SL-T是否可达成——若某区域要求SL-T 3，但现场PLC固件老旧、不支持认证，则要么升级设备，要么通过补偿措施（如串接工业防火墙做协议深度过滤）把实际可达等级提上去，否则区域划分只是纸面合规。

需要强调的是，Zones/Conduits与Purdue并非二选一。Purdue给出纵向的功能分层骨架，Zones/Conduits在每一层内部和层与层之间补上安全边界与访问规则。食品工厂在配置时，可先按Purdue把设备归层，再按SL-T把同层资产细分为若干Zone，最后为每个跨Zone连接定义Conduit策略，落到防火墙、工业交换机ACL或网关上。这样得到的网络分段既有功能清晰度，又有可审计的安全依据。