PLC 说阀开了,HMI 画面也显示开了——但如果阀门实际是关的呢?谁在说谎?Control Global 刊发的 OT 网络安全专家 Joe Weiss 之文给出的答案值得每位运行值班人员记住:命令不等于动作,指示不等于事实。PLC 输出只证明"指令已发出",阀位反馈只证明"执行器到了某个位置",两者都不能证明工艺结果真的发生——而 2026 年以来的多起真实事件(核电机组停机、水厂停水)正说明"显示与物理脱节"不是理论风险。
控制室发"开阀"指令、PLC 输出点亮、HMI 显示已开,现场阀门却纹丝不动——可能的原因包括:电磁阀故障、仪表气源丢失、执行器故障、限位开关反馈错误、接线故障、组态错误,甚至更恶意的情况。关键结论:一条命令不是动作的证明;反馈(取决于仪表配置)可能证明执行器或阀门到了某个位置,但两者都未必证明"预期的工艺结果已发生"——而且它们报告的可能是两个不同的状态。
图:Fisher FIELDVUE DVC6200 数字阀控制器(图源:Control Global)
以 Fisher FIELDVUE DVC6200 为代表的数字阀控制器遍布炼化、电力、核电、LNG、水处理等行业,比普通定位器强大得多——数字通信、阀位反馈、诊断信息;但同一能力也引入了网络安全考量:HART 通信通道可能被用于未授权的组态变更、校准参数篡改、误导性诊断信息、改变阀门响应特性。无论根因是恶意、误操作还是设备问题,后果相似。重要的是:数字通信的存在不等于每套 HART 都可远程访问,实际暴露面取决于设备组态、访问安排与系统架构——安全评估必须把数字通信与物理过程一起看,不能只看承载信息的网络。
2026 年 4 月 7 日,CISA 发布联合通告,确认伊朗背景网络行为体在美国关键基础设施中操纵 HMI/SCADA 显示画面——让运行人员看到"不存在的工艺状态"。运行人员完全依赖显示画面理解物理过程,画面错了,决策就建立在不存在的前提上,自动与手动操作皆然。这与 2010 年震网(Stuxnet)如出一辙:中间人手法重放旧数据,让画面"一切正常"而离心机正被破坏——攻击的不是 IT 网络,而是运行人员赖以判断的物理信息完整性。
| 事件 | 经过 | 教训 |
|---|---|---|
| BP 得州城炼油厂爆炸(2005-03) | 15 死约 170 伤;CSB 认定液位计、液位报警与控制阀阀位等多项仪表缺陷 | 运行人员没有可靠的工艺状态信息,后果可以是灾难性的 |
| 震网 Stuxnet(2010) | 重放历史数据欺骗运行人员,同时破坏离心机 | 攻击的是"信息与物理的一致性"本身 |
| Hatch 核电 Unit 1 自动停机(2026-04) | 汽机控制阀莫名插入的同时,广播风暴冻结操作员画面并抑制报警 | 显示系统失效会放大正在发生的运行问题 |
| 某市水厂 SCADA 故障(2026-09) | 画面冻结却持续显示水箱满位,实际水位一直在跌,补井未启动,最终停水并发布 boil-water 通告 | 网络"看起来正常"不能提供安全感 |
2026 年 11 月 10~11 日 API 网络安全会议议程中,工艺传感器完整性与控制阀数字通信均未被列入;而据 API 统计,仅 2023 年炼厂 31% 的过程安全事故可追溯到未被诊断的控制阀退化——其中超过半数发生在"例行维护记录无异常"的情况下。另一起 DVC6200 案例:美国某抗体工厂缓冲液制备撬块无菌隔离压力缓慢下降,连续三批产品报废后才发现——前四周定位器诊断一直记录"轻微信号滞后,按厂商规范属容差内"。报告里被戳破的迷思值得贴在墙上:"数字定位器消除机械故障风险"是假的——它们增加了固件缺陷、电磁干扰、电源不稳等新故障层;该数据集中 22% 的"智能阀门"故障源于定位器存储器损坏或未指令的零点漂移,水压试验根本发现不了。
Weiss 的建议核心是一条独立原则:用物理层独立监测回答"显示是否与物理一致"——独立采集压力、流量、温度、液位、电压、电流等过程传感器数据,不依赖运行人员日常依赖的 PLC/HMI/历史库/控制系统通信路径;独立监测与画面不一致时,无论根因是机械、仪表、组态、通信还是攻击,都值得立即调查。"监测通信"与"监测物理"都重要,但互相不能替代。对现场仪表人的落点:①校验限位开关与实际阀位的一致性,不要迷信"到 位"信号;②智能定位器的诊断信息也要抽检核对(那 22% 的存储器类故障诊断自己不会报警);③关键联锁回路的阀位反馈,考虑增加工艺侧旁证(下游压力/流量)做交叉验证。
就地/远方串线故障:切到就地远方仍能操作 · 反馈控制系统的基本概念 · Fisher DVC2000 数字阀控制器实操 · 伯纳德智能型光电绝对编码器 · 石化行业对气动执行器的校验和维护经验
电动执行机构选型、替换与维修?提交询价当日回复。
来源:Control Global,Unfettered Blog,Joe Weiss,"The PLC says the valve is open. The HMI agrees. But what if neither is telling the truth?"(2026-11-04);本站编译,事件细节以原文为准。
