辨清功能安全與信息安全

一提到工業(yè)控制系統(tǒng)（IndustryControlSystem，以下簡稱為ICS）的信息安全，人們首先想到的就是2010年伊朗布什爾核電站遭到的“震網(wǎng)病毒”攻擊。

工業(yè)生產(chǎn)系統(tǒng)中相關(guān)安全事件層出不窮，不僅影響到企業(yè)生產(chǎn)，而且直接影響到企業(yè)財產(chǎn)、人身安全等國計民生問題。如：

2012年4月10日，深圳遭遇十年來最大范圍停電事故，福田、羅湖、龍崗三個區(qū)停電兩個小時，經(jīng)濟損失達8個億；

2013年11月22日，中石化輸油儲運公司濰坊分公司輸油管線破裂，直接經(jīng)濟損失7.5億元。

而這些事件在自動化人的眼中不屬于信息安全問題，而是功能安全問題。在國際標準IEC62443中描述，一個完整的安全工控系統(tǒng)是由功能安全、物理安全和信息安全三部分組成，上述事故以及企業(yè)生產(chǎn)環(huán)節(jié)中90%的事故都屬于功能安全問題。

在傳統(tǒng)的信息安全定義中，主要強調(diào)保密性、完整性和可用性，在IEC62443中對工控信息安全主要強調(diào)了五點，最重要的思想是強調(diào)保護一個系統(tǒng)所采用的額外措施，以防止對系統(tǒng)的非授權(quán)訪問及惡意攻擊。

功能安全與信息安全兩者邊界清晰，但互相關(guān)聯(lián)、相互影響、互相促進。功能安全的不完善會很容易被利用，進而導(dǎo)致信息安全問題。信息安全問題的暴露會促進功能安全的完善。IEC62443中非常清楚的闡述了傳統(tǒng)的信息安全與ICS信息安全的區(qū)別，只有把這個本質(zhì)看清楚了，才知道如何建設(shè)工控系統(tǒng)的信息安全工作，否則就容易偏離方向、班門弄斧。

工業(yè)4.0悄然啟動

說起工控系統(tǒng)的信息安全，必須看到工控系統(tǒng)的發(fā)展，以德國的Industrie4.0為代表的第四次工業(yè)革命已經(jīng)悄然而起。

德國人認為第四次工業(yè)革命是指：機械化+電氣化+IT技術(shù)+Internet技術(shù)。第四次工業(yè)革命就是第三次工業(yè)革命的成果上再加上互聯(lián)網(wǎng)技術(shù)。必須說明這里所要求的互聯(lián)網(wǎng)是“ThingsandServices”的互聯(lián)網(wǎng)，Things可理解為物和事情；Services泛指一切服務(wù)。所以，第四次工業(yè)革命首先要建設(shè)“物事互聯(lián)網(wǎng)”與“服務(wù)互聯(lián)網(wǎng)”。這意味著有史以來第一次將資源、信息、物事、人和對這一切的服務(wù)進行互聯(lián)。在theInternet of Things and Services的支持下革新、改造整個工業(yè)及制造業(yè)。制造業(yè)中的智能機器、存儲系統(tǒng)和生產(chǎn)設(shè)施將融入the Internet of Things and Services中，成為信息-物理系統(tǒng)（Cyber-Physical System，CPS）。

中國應(yīng)該盡快地構(gòu)建自己的第四次工業(yè)革命綱領(lǐng)——中國工業(yè)4.0，盡快地在工業(yè)領(lǐng)域特別是制造業(yè)中構(gòu)建起自己的CPS，在系統(tǒng)各層面實現(xiàn)信息與物理實體的融合，應(yīng)該用中國的智能產(chǎn)品、智能生產(chǎn)流程主導(dǎo)中國的市場。

找準風(fēng)險落實防護定位

由工業(yè)4.0可以看出，工控系統(tǒng)必將與信息化融合。

普度大學(xué)很早就提出了自動化的經(jīng)典五層普度模型，這個模型其實把自動化與信息化已經(jīng)關(guān)聯(lián)在了一起。