3. 工业安全事件分类与分级
工业安全事件一旦发生，响应资源永远是有限的。如果对所有告警都按同一强度处置，既会拖垮安全团队，也会让真正威胁生产连续性和人身安全的事件被淹没。因此，事件分类与分级不是行政流程，而是资源调度与决策依据：它回答三个问题——这是什么类型的事件、严重到什么程度、应该先处理谁。
一、分类：先确定"是什么"，再谈"多严重"
分类解决的是事件性质问题，分级解决的是严重程度问题。二者必须分开，否则容易出现"把一次普通的办公网钓鱼邮件和一次PLC逻辑篡改都叫高危"的混乱。工业场景下，建议按受影响对象建立分类维度：
- IT侧事件：办公终端、邮件、域控、业务服务器、数据库。影响面广但通常不直接触及物理过程。
- OT侧事件：PLC、DCS、SCADA、HMI、工程师站、历史数据库、工业交换机。直接关联物理过程，是工业安全的核心关注区。
- 跨域事件：从IT横向渗透到OT，或通过U盘、VPN、远程运维通道跨越边界。这类事件往往最危险，因为它同时具备IT的隐蔽性和OT的破坏力。
- 供应链与第三方事件：设备厂商远程维护通道、备件固件、组态软件更新包被污染。
分类之后，再叠加攻击阶段标签（侦察、初始访问、横向移动、影响、破坏），可以快速判断事件处于杀伤链的哪一环。例如"OT区工程师站出现异常SMB连接"属于OT侧+横向移动，而"PLC程序被下载覆盖"属于OT侧+影响/破坏，两者响应紧迫性完全不同。
二、分级：五个维度决定严重程度
分级不能只看"是否被攻破"，而要综合五个维度：影响范围、生产连续性、人身安全、环境风险、合规要求。每个维度给出可判定的档位，再取最高档作为事件级别，避免平均分掩盖致命项。
| 维度 | 低（1分） | 中（2分） | 高（3分） |
|---|---|---|---|
| 影响范围 | 单台终端/单点 | 单条产线或单车间 | 多产线/多厂区/全厂 |
| 生产连续性 | 无停机，可在线恢复 | 局部降负荷或短时停机 | 全线停车或长时停产 |
| 人身安全 | 无人员暴露 | 存在潜在暴露风险 | 已造成或即将造成伤害 |
| 环境风险 | 无泄漏/排放 | 可控范围内泄漏 | 有毒有害或大量泄漏 |
| 合规要求 | 内部记录即可 | 需按行业规范上报 | 触发法定报告或监管调查 |
取五维中的最高分作为事件级别：3分对应一级（紧急），2分对应二级（重要），1分对应三级（一般）。这种"取最大值"规则的意义在于：只要人身安全或环境风险达到高档，即使影响范围很小，也必须按一级响应，因为后果不可逆。
三、响应优先级判定：级别不是唯一变量
仅有级别还不够。同样是一级事件，"PLC被篡改导致反应釜超压"和"全厂办公网勒索软件"的处置顺序可能不同。因此需要引入响应优先级 = 事件级别 × 时间紧迫性 × 处置可行性的判定思路：
- 时间紧迫性：破坏是否正在进行？攻击者是否仍在线？若仍在活动，优先级立即上调。
- 处置可行性：是否有隔离手段、备用系统、手动操作能力？若无法快速隔离，需优先保护人身与环境。
- 扩散趋势：是否已跨域、是否在横向移动、是否触发连锁停机。
实践中可用一个简化的判定路径：先看人身与环境是否受威胁，是则立即升级并通知现场；否则看生产是否中断，中断则按一级；未中断但已跨域或攻击者在线，按二级并启动隔离；仅单点且无扩散，按三级常规处置。
四、落地：把标准写成可执行的判定表
标准只有落到具体字段才能执行。建议为每类事件定义一张判定表，至少包含：事件编号、发现时间、受影响对象、分类标签、五维评分、事件级别、响应优先级、处置负责人、隔离措施、恢复条件。下面给出一个可直接参考的示例（参数为教学假设，非实测数据）：
事件编号：INC-2024-0317-02
发现时间：2024-03-17 14:22
受影响对象：2#反应釜PLC（OT侧）
分类标签：OT侧 / 影响阶段 / 跨域可疑
五维评分：影响范围=2，生产连续性=3，人身安全=3，环境风险=2，合规=2
事件级别：一级（因人身安全=3）
响应优先级：P0（攻击者仍在线，且无法远程隔离）
处置负责人：OT安全值班 + 工艺班长
隔离措施：切断该PLC上行工业交换机端口，保留镜像抓包
恢复条件：确认程序完整性校验通过，且工艺参数回到安全区间
这张表的价值在于：它把"严重"变成了可核对的分值，把"优先"变成了可交接的动作。值班人员不需要临场争论，只需按表打分、按路径判定，就能得到一致的响应结论。
总结来看，工业安全事件分类分级的关键在于：分类定性质、分级定强度、优先级定顺序。分类回答"打到了哪里"，分级回答"有多疼"，优先级回答"先救谁"。三者结合，才能让有限的安全资源投向真正不可逆的风险点。