PLC基础与安全现状：工作原理、传统安全机制与隐患剖析
在讨论AI+PLC安全策略之前，必须先厘清PLC（可编程逻辑控制器）在工业控制环境中的角色、其固有的安全设计逻辑，以及当前面临的真实威胁。PLC并非普通的计算机，它运行在实时、确定性要求极高的环境中，其安全机制与IT系统有本质区别。本章将拆解PLC的扫描周期、传统安全机制的边界，并通过真实事故案例揭示“信任陷阱”——理解这些基础，是设计误判保护、人工确认和旁路模式的前提。
2.1 PLC工作原理：扫描周期与确定性执行
PLC的核心是“循环扫描”模型，这与PC的事件驱动架构完全不同。一个完整的扫描周期包含四个阶段：读取输入（采样）→ 执行用户程序（逻辑运算）→ 更新输出（驱动）→ 系统自诊断（看门狗与通信）。整个过程是串行且确定性的，扫描周期通常在5毫秒到100毫秒之间，取决于程序复杂度和CPU性能。
这种设计保证了控制逻辑的实时性——无论外部信号如何变化，PLC只会在每个扫描周期的输入采样阶段捕获一次信号，并在输出更新阶段统一输出。这意味着：
- 输入信号抖动不会立即影响输出，PLC天然具备一定的滤波能力。
- 程序执行顺序从上到下、从左到右，后写的指令可能覆盖先写的状态。
- 看门狗定时器监控扫描周期，若超时（如死循环）则强制复位或进入安全状态。
2.2 传统安全机制：被动防御的边界
传统PLC安全机制主要围绕“防止意外故障”而非“防止恶意攻击”设计。下表梳理了常见机制及其局限性：
| 安全机制 | 工作原理 | 局限性 |
|---|---|---|
| 硬件安全回路 | 急停按钮、安全继电器直接切断执行器电源 | 无法应对逻辑层攻击；需要额外布线 |
| 看门狗定时器 | 扫描超时触发复位或安全输出 | 攻击者可通过修改程序延长周期绕过 |
| 密码保护 | 限制程序上载/下载/修改 | 弱口令、硬编码密码、密码泄露 |
| 异常报警 | 检测I/O超限、通信中断并报警 | 报警阈值可被篡改；报警后仍需人工处理 |
| 冗余/热备 | 主备PLC切换保证可用性 | 仅应对硬件故障，不防逻辑攻击 |
这些机制的共同特点是“被动响应”——它们假设PLC程序本身是可信的，只防御外部物理故障或操作失误。然而，当攻击者通过工业协议（如Modbus TCP、S7comm）直接改写PLC程序或强制置位输出时，传统机制几乎全部失效。
2.3 常见安全隐患与事故案例拆解
工业控制系统的安全事故往往不是单一原因，而是“技术漏洞+管理缺陷+物理后果”的叠加。以下通过两个典型案例说明。
案例一：乌克兰电网攻击（2015年）——逻辑炸弹与远程控制
背景与约束：攻击者通过钓鱼邮件获取了电网运维人员的VPN凭据，进入SCADA网络。目标变电站使用施耐德Modicon PLC，且未启用任何网络分段。
攻击路径：
- 攻击者远程登录工程师站，使用官方编程软件上传恶意固件到PLC。
- 恶意代码在特定时间触发，将变电站断路器强制断开。
- 同时向UPS（不间断电源）发送恶意指令，使其在断电后自动关闭，导致通信中断。
- 对操作员工作站发起DoS攻击，延迟人工恢复。
结果：约23万用户断电数小时。事后调查发现，PLC的密码保护形同虚设（使用默认密码），且安全回路被恶意旁路。
复盘经验：传统密码和看门狗无法防御“合法工具+非法意图”。需要增加行为基线监控——检测PLC程序是否被非授权修改、扫描周期是否异常、输出指令是否符合历史模式。
案例二：某汽车制造厂PLC误动作事故（2021年）——传感器信号注入
背景与约束：某焊装车间使用西门子S7-1500 PLC控制机器人协同。现场传感器采用4-20mA模拟量传输，线缆与动力电缆同槽敷设。
初始现象：机器人偶发“未收到工件到位信号”报警，但人工检查传感器正常。故障频率从每周1次增加到每天3次。
分析过程：
- 工程师首先怀疑传感器漂移，更换后无效。
- 使用示波器监测信号线，发现存在50Hz工频干扰，幅值达2mA。
- 进一步排查发现，变频器启动时干扰最强，且PLC输入滤波时间设置为0.5ms（默认值），无法滤除。
实际操作：将PLC输入滤波时间调整为5ms，并增加屏蔽层单端接地。故障率降至每月0.2次。
风险与代价：滤波时间增加导致信号响应延迟4.5ms，但该工位节拍允许10ms延迟，因此不影响生产。
复盘经验：PLC的“误判”不一定是逻辑错误，也可能是物理层信号质量问题。AI+PLC安全策略应包含信号质量特征提取（如噪声幅值、上升沿斜率），而非仅依赖布尔量。
2.4 常见误区与总结复盘
在PLC安全实践中，以下误区需要特别警惕：
误区二：过度依赖硬件安全回路。硬件回路只能切断输出电源，但无法阻止PLC内部逻辑继续运行，也无法防止恶意指令写入。
误区三：忽视扫描周期异常。扫描周期突然变长可能是程序被注入循环、通信阻塞或CPU过载的信号，但传统看门狗只在超时后报警，无法提前预警。
总结：PLC安全现状的核心矛盾是——传统机制假设“程序可信”，而真实威胁恰恰是“程序不可信”。无论是网络攻击、逻辑炸弹还是传感器欺骗，最终都会反映为PLC的输入数据、程序逻辑或输出指令偏离预期基线。因此，AI+PLC安全策略的切入点不是替代PLC，而是构建一个独立于PLC运行逻辑的监控层，通过分析扫描周期、I/O模式、程序哈希和通信行为，实现误判保护、人工确认和旁路模式的动态决策。