2. 工控系统基础与面试高频概念
在工控安全工程师面试中，面试官往往不会直接问你“什么是PLC”，而是通过一个场景让你解释架构、功能与安全边界。例如：“请你描述一条汽车焊装车间的控制链路，并指出哪些位置可能成为攻击入口。”这类问题的本质，是考察你能否把PLC、DCS、SCADA、RTU、HMI、Historian这些核心对象串成一条完整的控制与数据流，并在此基础上识别信任边界。本章围绕这一能力展开，训练你用面试语言把概念讲清楚、把边界讲准确。
一、从控制层级理解核心对象
工控系统通常按层级划分：现场设备层、控制层、监控层、管理层。PLC和RTU位于控制层，直接连接传感器与执行器；DCS是过程工业中控制层与监控层高度集成的系统；SCADA是广域监控与数据采集系统，强调远程通信；HMI是人机界面，属于操作员与控制器之间的交互入口；Historian是历史数据库，位于监控层或管理层，负责长期存储过程数据。
面试时不要孤立背定义，而要用“谁控制谁、谁采集谁、谁展示谁”来组织语言。例如：PLC执行逻辑控制并驱动执行器；HMI向PLC读写变量；SCADA通过通信协议轮询PLC或RTU；Historian从SCADA或控制器采集数据并归档。这样一句话就能体现你对数据流向的理解。
二、PLC、DCS、RTU的功能差异与面试表达
PLC强调离散逻辑与快速扫描，典型扫描周期在1～50毫秒，适合产线联锁、急停、顺序控制。DCS强调回路控制与冗余，常见于化工、电力，控制器与I/O常为专有总线，操作站与控制器之间是强信任关系。RTU强调远程、低功耗、恶劣环境，常用于油气管道、水利泵站，通信方式可能是无线或卫星。
面试中可以用对比方式回答：“如果现场是高速离散动作，我会优先考虑PLC；如果是连续过程且要求冗余和集中操作，我会考虑DCS；如果站点分散、无人值守、通信带宽有限，我会考虑RTU。”这句话既体现选型逻辑，也暗示了安全边界差异：PLC和DCS的边界通常在控制网络与监控网络之间，RTU的边界则延伸到无线通信和远程站点物理防护。
三、SCADA与HMI：监控层的两个关键入口
SCADA是“ supervisory control and data acquisition”，核心是远程监控与数据采集。它通常由主站、通信通道、远程终端组成。HMI则是操作员站上的可视化界面，可能直接连接PLC，也可能通过SCADA上位机连接。面试时要区分：HMI是交互界面，SCADA是系统级监控平台；HMI可能只影响单台设备，SCADA被攻陷可能影响整个站点。
安全边界上，HMI通常位于控制网络内，与PLC之间可能是OPC UA、Modbus TCP或专有协议。SCADA主站可能跨越控制区与管理区，因此常部署在DMZ或通过防火墙隔离。面试官若问“SCADA和HMI哪个更危险”，你可以回答：“取决于部署位置。如果HMI直接写PLC且无认证，它就是一个高权限操作入口；如果SCADA主站能下发全局设定值，它影响面更大。”
四、Historian：被忽视的数据边界
Historian负责存储带时间戳的过程数据，常见接口包括OPC DA、OPC UA、SQL查询。它通常从SCADA或控制器采集数据，供报表、优化、审计使用。安全上，Historian常被当作“只读”系统，但实际上它可能通过反向写入或配置接口影响控制层。面试中要指出：Historian的边界在于“数据采集通道”和“查询通道”，如果查询通道暴露在办公网，攻击者可能通过Historian的OPC接口横向移动到控制层。
五、用一条链路串起所有对象
下面给出一个教学示例，用于面试中描述架构。假设某水厂有3个泵站，每个泵站有1台RTU，中心控制室有2台SCADA服务器、1台Historian、2台HMI操作站。链路如下：
现场仪表 → RTU（Modbus RTU） → 无线数传电台 → SCADA前置机（Modbus TCP）
SCADA服务器 → HMI操作站（OPC UA）
SCADA服务器 → Historian（OPC DA，5秒采集一次）
HMI操作站 → 工程师站（RDP，仅维护时段开放）面试时你可以这样讲：“这个架构中，RTU到SCADA前置机是无线链路，物理防护弱，是第一个信任边界；SCADA到HMI是控制网络内部，但HMI可能被用于U盘摆渡，是第二个边界；Historian到办公网查询是第三个边界。如果我要做安全评估，我会先确认无线链路是否加密、HMI是否禁用USB、Historian查询是否经过防火墙。”
六、安全边界判断的实操方法
面试中常被追问“你怎么判断边界”。一个可复用的方法是：先画数据流，再标协议，再标信任方向。具体步骤：第一，列出所有对象及其通信关系；第二，标注协议和端口，例如Modbus TCP 502、OPC UA 4840、RDP 3389；第三，判断哪些通信是“控制写入”，哪些是“只读采集”；第四，把控制写入路径标为高信任边界，把只读路径标为低信任边界；第五，检查边界上是否有认证、加密、白名单。
以示例水厂为例，RTU到SCADA前置机是控制写入路径，但无线链路可能无加密，因此边界风险高。SCADA到Historian是只读采集，风险相对低，但如果Historian支持反向写入，风险升级。HMI到PLC是控制写入，若HMI无认证，风险高。面试时把这条判断逻辑讲出来，比背定义更有说服力。
七、面试语言模板与常见追问
当被要求“解释PLC和DCS的区别”时，可以这样组织：“PLC以扫描周期执行离散逻辑，适合快速联锁；DCS以回路控制为核心，强调冗余和集中操作。安全上，PLC的边界通常在控制网与监控网之间，DCS的边界更靠近操作站与控制器之间的专有网络。如果面试官追问‘DCS是否比PLC更安全’，我会说：DCS的封闭性可能降低外部攻击面，但一旦操作站被控，影响范围更大，因此不能简单说谁更安全。”
当被问“SCADA和RTU的关系”时，可以回答：“SCADA是主站系统，RTU是远程终端。SCADA通过通信协议轮询RTU，RTU再连接现场仪表。安全边界上，RTU侧要关注物理防护和无线加密，SCADA侧要关注前置机与主站的访问控制。”
八、可直接使用的面试速查表
下表可作为面试前快速复查，字段包括对象、核心功能、典型协议、安全边界关注点。示例参数为合理假设，仅用于教学。
| 对象 | 核心功能 | 典型协议/端口 | 安全边界关注点 |
|---|---|---|---|
| PLC | 离散逻辑、快速联锁 | Modbus TCP 502、EtherNet/IP 44818 | 编程软件访问、固件更新、物理钥匙开关 |
| DCS | 回路控制、冗余、集中操作 | 专有协议、OPC UA 4840 | 操作站与控制器之间专有网络、工程师站权限 |
| RTU | 远程采集与控制、低功耗 | Modbus RTU、DNP3 20000 | 无线链路加密、站点物理防护、串口访问 |
| SCADA | 广域监控、数据采集、报警 | Modbus TCP、DNP3、IEC 104 2404 | 前置机访问控制、DMZ部署、远程维护通道 |
| HMI | 操作员交互、画面展示 | OPC UA、专有协议、RDP 3389 | USB禁用、自动登录、画面脚本权限 |
| Historian | 过程数据归档、报表查询 | OPC DA、OPC UA、SQL 1433 | 查询通道隔离、反向写入、接口账号权限 |
使用这张表时，不要逐行背诵，而是选一个对象，用“功能—协议—边界”三句话讲完。例如Historian：“它负责归档过程数据，常用OPC DA采集，边界在于查询通道是否暴露到办公网，以及是否允许反向写入。”
九、本章训练要点
面试中回答工控基础概念，核心不是定义，而是数据流和信任边界。你要能画出对象之间的连接，指出协议和端口，判断哪些路径是控制写入，哪些是只读采集，并说明边界上缺少什么防护。练习时可以用本章水厂示例，自己替换成电力、化工或制造场景，反复讲三遍：第一遍讲架构，第二遍讲边界，第三遍讲攻击入口和验证方法。这样在面试中就能做到语言简洁、逻辑完整、判断有依据。