传统工业控制网络遵循"边界即安全"模型——PLC、DCS、HMI 等控制系统部署在一个封闭网络内部，通过工业防火墙与上层 IT 网络隔离。这个模型在网络物理隔离的年代有效，一旦 OT 与 IT 网络互通成为常态，边界防护就成了一个单点故障。Stuxnet、Industroyer、Pipedream 这些攻击事件都证明：攻击者只需找到一个边界漏洞，就能横向移动到整个控制网络。
零信任的核心假设是"永不信任，始终验证"。这个假设直接打破了边界信任的前提，但它能否直接套用到 OT 场景，还需要回答一系列适配性问题。
OT 场景的特殊性
OT 网络与 IT 网络有三个根本差异，决定了零信任的落地不能简单复制企业 IT 的方案。
第一，设备数量大、生命周期长。IT 服务器的更新周期通常在 3-5 年，工业现场 PLC、传感器、执行器的服役周期动辄 15-25 年。这些老旧设备多数不支持现代身份认证协议——没有 X.509 证书、没有 TPM 安全芯片，有的甚至连固件都无法升级。给一台 20 年前的 S7-300 签发证书在技术上可行，但运维成本会相当可观。
第二，实时性约束严苛。控制回路的端到端延迟要求通常在毫秒级，IEC 61800-5-2 对伺服驱动器的控制周期要求低于 1ms。如果每次请求都要经过零信任网关进行身份验证和策略检查，引入的延迟必须被量化评估。IT 网络中 100ms 的认证延迟可以接受，在 OT 场景可能直接导致控制回路不稳定。
第三，网络拓扑的物理分布特性。工业现场的设备是分布式的——一个大型工厂可能有数千个节点分布在十几个车间，加上远程站点和移动设备。集中式的零信任网关如果部署在核心交换层，所有流量都要回源认证，既增加延迟也放大了网关的故障影响。
维度 | IT 网络 | OT 网络 | 零信任适配方案 |
设备生命周期 | 3-5 年 | 15-25 年 | 增量部署，老旧设备旁通过缘代理 |
认证延迟容忍 | < 200ms | < 10ms（控制回路） | 会话复用 + 边缘本地缓存 |
设备类型多样性 | 服务器/PC/移动设备 | PLC/DCS/HMI/传感器/执行器 | 设备分级，核心设备强认证 |
网络拓扑 | 集中式 | 分布式 | 边缘零信任节点下沉 |
业务中断容忍 | 分钟级可接受 | 秒级也可能触发安全停机 | 认证失败时的 fail-open/fail-closed 策略权衡 |
设备身份：最基础也最困难的环节
零信任架构的第一层是设备身份。每个 OT 节点都必须有唯一的、不可伪造的身份标识，并且这个标识要与设备的硬件指纹绑定，防止身份冒用。
新设备的身份注册相对直接——出厂时预置 TPM 2.0 芯片或安全元素（SE），通过设备 ECDSA 密钥对生成自签名证书，首次接入零信任控制平面时完成注册。但存量设备的身份问题棘手。一个务实的做法是旁路部署一个轻量边缘代理：代理通过 PLC 的私有协议（S7 通信、FOCAS、Modbus）被动监听设备流量，提取 MAC 地址、设备型号、固件版本等静态特征，结合流量行为基线为每台设备生成一个虚拟身份。这个方案的安全性不如硬件绑定，但在升级困难的存量环境下是可接受的折中。
身份验证的粒度要分层处理。控制回路中的设备（PLC → 执行器）之间的通信，如果每条指令都走完整的 OAuth2 流程，延迟不可接受。实际做法是：会话建立时完成一次完整认证和密钥协商，后续报文用协商好的会话密钥做轻量 HMAC 签名，整个验证过程在微秒级完成。跨层级的通信（HMI → PLC、MES → DCS）则走完整的零信任网关，因为这些交互的实时性要求宽松得多。
微隔离：软件定义边界
微隔离是零信任网络访问（ZTNA）的核心能力——它将传统的大平面工业网络切割成一个个最小的安全域，每个域的通信策略由控制平面统一下发。微隔离的粒度可以精确到端口级甚至指令级：一台 PLC 可能只允许向上位机发送状态数据（只读），不接受来自 MES 的任意写入指令。
工业微隔离的策略引擎不能只基于 IP 和端口做判断。OT 场景下需要结合工业协议的语义层——Modbus 的功能码、OPC UA 的 NodeId、EtherCAT 的 PDO 映射都可以作为策略匹配条件。例如：
policy:
name: "PLC001_to_HMI001"
source: "device:PLC001"
destination: "device:HMI001"
protocol: "OPC UA"
actions:
- opcua.Read:
nodes: ["ns=2;s=Tags.Motor001.Speed", "ns=2;s=Tags.Motor001.Temp"]
frequency_limit: 100/s
- opcua.Write: DENY
logging: all这条策略表达了一个精确的意图：PLC001 只能向 HMI001 暴露两个测点的读取权限，频率上限每秒 100 次，任何写入请求直接拒绝。策略引擎运行在边缘零信任节点上，流量匹配在本地完成，不回源到中心控制平面。
微隔离与工业防火墙的关键区别在于策略执行点的位置。传统防火墙部署在网络边界，内部流量不受控。微隔离的策略执行点（Policy Enforcement Point）下沉到了每台交换机、每个接入点甚至每个边缘代理上，形成分布式的强制网络。这意味着即使攻击者渗透进入了某个安全域，横向移动的路径被彻底切断。
零信任控制平面
控制平面是整个架构的大脑，负责策略下发、身份生命周期管理和审计日志。工业场景对控制平面有一个特殊要求：它不能成为单点。如果控制平面不可用，工厂不能全面停机。
控制平面的高可用设计通常采用两级结构。中心控制平面（部署在安全的 IT 数据中心）负责全局策略管理、证书签发和审计归档；边缘控制平面（部署在车间现场或边缘机房）负责本地策略缓存、会话管理和故障切换。当中心控制平面连接中断时，边缘节点独立运行，继续执行已缓存的策略。边缘节点的策略缓存采用 TTL + 版本号机制：缓存策略过期前尝试与中心同步，同步失败则延长 TTL 并触发告警，直到中心恢复。
策略下发的通道本身需要加密和认证。边缘节点与中心之间的通信通常用 mTLS + gRPC，策略 payload 用 CBOR 序列化（比 JSON 紧凑约 40%，适合工业带宽）。策略版本控制需要支持原子更新——同一时刻，所有边缘节点必须执行完全一致的策略集，不能出现新旧策略并存的窗口。这可以通过带有序列号的批量下发实现：只有收到序列号 N 的完整策略包后，边缘节点才切换执行；如果在切换过程中收到版本冲突，立即回滚到上一版本。
落地的三个误区
第一个误区是"一步到位"。很多项目规划时要求全厂所有设备同时切换到零信任，但实际上 80% 的存量设备不支持新协议，改造周期长达数年。正确的做法是分阶段：先在新建生产线强制零信任，存量生产线旁路部署边缘代理，再逐步替换老旧设备。
第二个误区是忽略运维侧的影响。零信任引入了大量的策略配置项，现场工程师习惯了"放开防火墙端口"的简单操作，突然要配置细粒度的策略规则，学习成本很高。需要提供可视化的策略编排界面和策略模拟工具——在策略下发前先离线验证会不会阻断正常业务。
第三个误区是把零信任当成银弹。零信任解决的是身份和访问控制的问题，但无法覆盖供应链攻击（被植入恶意固件的设备）、物理攻击（现场设备被直接拆解改装）、社会工程（工程师泄露证书私钥）这些场景。完整的工业安全体系还需要结合入侵检测、固件完整性校验、物理安保等其他防线。
结语
工业场景的零信任不是 IT 零信任的缩小版，而是需要重新设计身份模型、策略粒度和部署架构的独立分支。工业互联网的安全体系需要这类针对 OT 场景的差异化方案，当前工业零信任生态仍在快速演进——IEC 62443 第 5 部分正在补充零信任相关的技术标准，多家 OT 安全厂商也在推出兼容工业协议的边缘零信任网关。对于还在规划工业安全升级的团队，建议从一个车间、一条生产线开始试点，用 6-12 个月验证架构可行性，再逐步扩展。
