3. 工厂系统边界的内涵与类型

在IT与OT融合的工厂系统中，“边界”并不是一条画在图纸上的线，而是一组约束条件与责任分界：它决定了哪些设备、系统、数据、人员和权限可以跨越某个范围，跨越时需要经过什么控制。理解边界的类型与相互关系，是后续做网络分区、数据采集、安全隔离和运维分工的前提。

本节把工厂系统边界拆成五类：物理边界、逻辑边界、数据边界、安全边界、管理边界。它们不是互相替代的五个选项，而是从不同维度描述同一个工厂系统的“可跨越性”。

一、五类边界的定义

物理边界指由真实空间、设备位置和连接介质形成的边界。例如车间围墙、控制柜、机柜、现场仪表与PLC之间的电缆、交换机端口、网关设备的物理接口。物理边界的核心特征是：跨越它通常需要实际接触设备、插拔线缆或进入某个空间。它是最基础的一层，因为任何逻辑连接最终都要落在物理端口和链路上。

逻辑边界指由网络地址、协议、VLAN、路由域、命名空间、系统实例等逻辑规则划分出的边界。例如把OT网络划分为控制层、监控层、信息层三个VLAN，或者用工业防火墙把不同安全域隔开。逻辑边界不依赖物理位置，同一台交换机上可以存在多个逻辑边界，同一根光纤也可以承载多个逻辑隔离的通道。

数据边界指数据在采集、传输、存储、使用过程中允许流动的范围和方向。它关注的是“哪些数据可以从OT流向IT，哪些数据只能单向流出，哪些数据不允许离开某个区域”。例如PLC的实时控制数据可以经OPC UA服务器向上采集，但IT侧不能直接写回PLC寄存器；历史数据可以进入MES，但原始控制指令不得反向穿越。

安全边界指为保护资产而设置的访问控制与防护分界。它通常由防火墙、DMZ、单向网关、身份认证、权限策略等构成。安全边界与逻辑边界、数据边界高度相关，但更强调“谁可以访问谁、以什么方式访问、访问被拒绝时如何记录”。

管理边界指组织、职责、运维流程和变更权限上的分界。例如OT团队负责PLC和现场网络，IT团队负责服务器和办公网络，双方在数据采集接口上共同维护。管理边界决定了当边界出现变更时，谁审批、谁执行、谁验证。

二、五类边界的相互关系

这五类边界不是并列的五个盒子，而是层层约束、相互映射的关系。物理边界是承载基础，逻辑边界在物理边界之上划分出可管理的网络区域，数据边界规定穿越逻辑边界的数据流向，安全边界为这些穿越行为提供访问控制，管理边界则规定谁有权修改上述规则。

可以用一个典型场景来理解：某工厂要把一台PLC的生产计数数据送到MES。物理上，PLC通过工业以太网连接到车间交换机；逻辑上，PLC属于OT VLAN，MES属于IT VLAN；数据上，只允许计数数据从OT向IT单向流动；安全上，在OT与IT之间部署工业防火墙，只放行特定IP和端口的OPC UA流量；管理上，OT工程师负责PLC侧配置，IT工程师负责防火墙策略，双方共同确认数据点表。五类边界同时存在，缺一不可。

三、边界设计中的常见误区

第一个误区是只画物理边界，不画逻辑边界。很多工厂的网络图只标了交换机、PLC和服务器位置，但没有标VLAN和IP规划。结果是物理上连在一起，逻辑上却无法隔离，一旦IT侧出现广播风暴或扫描流量，OT侧直接受影响。

第二个误区是把安全边界当成唯一边界。只部署一台防火墙，就认为边界问题解决了。实际上，如果数据边界没有定义清楚，防火墙只能放行“IP和端口”，却无法判断哪些数据点允许流出、哪些控制指令禁止写回。安全设备需要数据边界和管理边界提供规则依据。

第三个误区是管理边界缺位。物理、逻辑、数据、安全四类边界都配置好了，但没有人规定“谁可以改防火墙策略”“谁可以新增采集点”。一旦发生变更，OT和IT互相等待或擅自修改，边界就会逐渐失效。管理边界不是行政手续，而是边界可持续运行的保障。

四、边界设计的基本检查项

在实际项目中，可以按以下顺序检查五类边界是否完整。以下检查表可直接用于方案评审或现场核查。

总结来看，物理边界回答“在哪里”，逻辑边界回答“怎么分”，数据边界回答“流什么”，安全边界回答“让不让”，管理边界回答“谁负责”。五类边界相互约束、逐层落地，共同构成工厂系统在IT与OT融合过程中的可控分界。后续做网络分区、数据采集和安全隔离时，都应先回到这五类边界上做一次完整对照。