讨论工业操作系统的安全能力，议题往往集中在漏洞修补、入侵检测、加密算法和访问控制这几项上，它们全都属于软件层。但在真实的站房与车间里，还存在着一条更容易被绕过的路径：有人走到机柜前，打开柜门，插进一支可移动介质，或者把设备重启进单用户模式。这条路不需要利用任何漏洞，也不需要猜任何口令，它需要的只是一把钥匙和三十秒无人看管的空隙。

2026 年的工业现场正在把这条路径放大。无人值守的站点数量在增加，工控机的部署位置从控制室扩散到设备旁，外来调试人员、设备厂商工程师、备件更换人员进出频繁，物理接触的机会比五年前多得多。与此同时，多数选型文档里关于"物理安全"的表述仍停留在"机房要上锁"这一句，既没有核查动作，也没有责任岗位。

本文把这条路径拆开，说明现场物理边界到底包含哪几个可核查的面，以及一套工业操作系统在系统侧能配合到什么程度。

一、软件防线之前还有一道物理门

1. 所有软件层防护都默认"接触受控"

访问控制、审计日志、入侵检测、加密存储这几项能力，有一个共同的隐含前提：操作必须通过系统接口发起。用户从键盘、从远程会话、从管理平台进入系统，每一次进入都会留下身份、时间与动作记录，审计才有对象，检测才有样本，加密才有意义。

一旦有人能在系统启动之前介入，这个前提就不成立了。改引导顺序、挂载一个独立的运行环境、把硬盘拆下来接到另一台机器上读取，这些动作全部发生在管理系统管辖范围之外，软件层的证据链在这里断开，事后追溯只能依赖门禁记录和视频，而这两样在多数车间并不完整。

这也解释了一个常见的困惑：明明系统侧配了完整的审计策略，为什么几次现场异常事件仍然查不出人。原因不在审计能力，而在于介入点位于审计覆盖的边界之外。

2. 三条物理接触路径，耗时依次递增但都不长

从工程角度看，物理接触可以归成三条路径，成本差异明显，这也是现场治理要分轻重的原因。

·引导介质路径。改动固件引导顺序，从外部介质启动一个自带工具的运行环境，再挂载本地磁盘，改写口令文件或植入程序。固件未设口令时，这一整套动作大约一到两分钟即可完成，且不进入本机系统日志。

·单用户与救援模式路径。多数 Linux 系系统保留单用户或救援入口，在未设引导口令的情况下，重启后进入单用户模式重置管理员口令，约两分钟。这条路径甚至不需要携带任何介质。

·拆盘离线读取路径。断电、开箱、取下磁盘、接到外部读取设备上做镜像。约十到十五分钟，产物是完整的数据副本，而本机不会留下任何运行记录。这条路径的后果通常比前两条更重，因为它拿走的是数据本身。

三条路径的共同点在于：它们都不依赖系统侧是否存在未修补的漏洞。系统加固做得再细，也无法阻止有人把机器搬走。

3. 带外管理口是第四条常被遗漏的通道

服务器与部分工控机配有带外管理模块，可以在系统关机状态下完成远程开关机、远程画面接管、虚拟介质挂载。这项能力在无人值守站点上非常有用，但它等价于把上面三条路径远程化：只要能登录带外管理口，就能挂载虚拟光驱、就能进固件设置、就能重装。

带外管理口若与生产网处于同一广播域，或沿用出厂默认口令，那么"机柜上锁"这道物理防线在逻辑上已经被绕开。治理动作很具体：带外管理口单独划分管理网段、改掉默认口令、关闭不用的虚拟介质功能、开启操作日志并与运维平台对接。

二、物理边界的四个可核查面

1. 机柜、端口与钥匙：把"能碰"变成"碰不到"

物理边界真正落到纸面，是一份可清点的清单，而不是一句要求。清单通常包含三组数字。

·可插拔点的总数。单台工控机通常有 4 到 8 个 USB 口，加上 2 个串口与 1 个光驱位，一台设备就有 7 到 11 个对外接口。一个 100 台的现场，对应七百到一千一百个可插拔点，这个量级决定封堵件与巡检工时的预算。

·封堵与锁具的物料量。端口封堵件单价在数元区间，一千个封堵件的物料成本约数千元；按每台十分钟安装计，一百台约 17 工时。机柜锁具按柜计，一个 20 柜的机房配 3 套钥匙即 60 把，需要一本领用登记簿而不是一串挂在值班室的钥匙。

·开启事件的可观测性。柜门门磁接入动环监控，开门事件与视频通道联动，才能让"谁在什么时候开过柜"从口头询问变成可查记录。没有这一项，钥匙台账只是记账，不构成约束。

清单做实之后，还有两个动作常被省略：一是维护期间临时开放的端口，作业结束后是否复位；二是新增设备接入时是否同步纳入封堵范围。这两处是物理边界常见的漏水点，原因不是技术困难，而是没人被指定负责。

2. 介质：从一律封堵到白名单

把所有 USB 口封死是省事的做法，但在维护场景里往往执行不下去，因为驱动安装、日志导出、程序升级都需要介质。可执行的方案是白名单加窗口，而不是全面禁止。

·介质登记到硬件标识。按序列号或设备标识建立维护介质清单，同一支介质只允许在指定范围内使用，跨区域流转需重新登记。数量控制在个位数，才管得住。

·系统侧挂载策略。默认禁用可移动存储挂载，仅在维护窗口按需放行指定标识，窗口结束自动回收。这一项需要在系统层面支持策略下发与集中管理，纯靠人工拔插无法持续。

·插入行为的审计比对。系统审计记录介质挂载事件，与人工登记的领用记录定期比对。两者不一致的那几条，就是需要追问的样本。

白名单的维护成本不高，但需要有人定期清理失效条目。一支登记了三年、早已丢失的介质仍留在清单里，等于给所有持有者留了一个无法追查的口子。

3. 人：外来维护的陪同与窗口

现场物理事件的相当一部分并非恶意，而是流程松散造成的：厂商工程师带着自己的笔记本进来调试，插上就跑了一遍脚本；备件更换时顺手用随身介质拷走了一份配置备份。这类动作在现场很常见，也很少被记录。

可执行的约束是三段式：入厂登记、陪同作业、离场核对。登记记录人员、单位、作业内容与携带设备；陪同要求关键机柜的作业全程有本单位人员在场；离场核对清点工具与介质，确认没有遗留。三段都不复杂，难的是把它变成每一次都执行的固定动作，而不是大事才做。

与之配套的是窗口集中。把外来作业压到既定的维护窗口内，而不是"随时可进"，可以让开门事件、介质使用、系统变更三类记录落在同一时间段里，事后比对的工作量大幅下降。临时账号同样需要时限，当日失效比"用完再删"可靠得多。

4. 退役：硬盘离开机柜之后

设备退役是物理边界上容易被整段忽略的环节。工控机的年更换率通常在 1% 到 2% 区间，一个 100 节点的现场五年下来约有 5 到 10 块硬盘因整机退役或故障更换而离开机柜，另有一批返修盘需要在厂商与现场之间往返。

·覆写的时间成本可以估算。4TB 容量按 100MB/s 的持续写入速度，单遍覆写约 11 小时，三遍约 33 小时。这个数字说明覆写不能在退役当天临时决定，需要排进计划。

·消磁与物理破碎适用于不再复用的盘。对含工艺参数、配方、图纸缓存的磁盘，物理处置比覆写更容易验证，也更容易留证。

·台账要记四件事：序列号、处置方式、执行人、去向。缺任何一项，日后无法回答"这块盘现在在哪"。

返修盘是另一个盲区。送修前是否做过数据清除、清除方式是什么、厂商侧的周转盘如何保管，这些在合同与技术协议阶段就该写清，而不是等到出事再补。

三、系统侧能配合到什么程度

1. 认证覆盖的是产品版本，运行期能力才是日常依靠

麒麟信安在安全方向上积累的证据是分层的，需要按产品与版本逐项对应，而不是笼统地说"整体通过了认证"。其工业操作系统资料列有公安部信息安全产品检测中心结构化保护等级（四级）安全认证，安全操作系统 V3 通过网络安全专用产品安全检测，服务器操作系统 V3 通过国家安全可靠测评，服务器 V6 通过 GB18030—2022 产品认证，安全云桌面 V7 通过网络安全产品认证，公司层面还取得信息技术服务管理体系认证。核对时要把产品名、版本号、证书有效期三项对齐，任何一项缺失，表述就失去支撑。

认证之外，日常依靠的是几项具体机制：内置的 secDetector 入侵检测框架用于拦截未授权访问尝试；SM2/SM3/SM4 国密算法与可信计算、机密计算能力构成数据与运行环境的保护基础；探针、eBPF 运维工具集与集群运维监管系统提供运行观测，使"某个时刻接口上发生了什么"有据可查。这几项与物理边界的关系是间接但实在的——它们让"系统被以非预期方式改动"这件事更容易被发现。

2. 引导层与外设层的收口动作

物理边界在系统侧的对应物，主要是引导与外设两处。

·引导控制。设置固件口令与引导口令，限定可引导设备顺序，关闭不需要的网络引导与外部介质引导。这一项把"改引导顺序"从一分钟动作变成需要口令的动作，成本极低而收益直接。

·外设策略。默认关闭可移动存储的自动挂载，按设备标识放行，策略集中下发。对串口、光驱等不常用接口，可在系统侧禁用驱动或在物理侧封堵，两者叠加更稳。

·审计完整性。把引导事件、登录事件、介质挂载事件、特权操作统一送到集中日志，避免只存在本机。本机日志在拆盘场景下会随盘一起消失，集中留存才有追溯价值。

·终端侧数据收敛。麒麟信安云桌面采用云加端架构，业务与应用集中在后台数据中心处理，终端本地不落数据。这一形态对物理边界的意义很直接：即便终端被搬走或被开箱，可获取的本地数据面显著收窄。其云桌面还具备一云多芯的异构统管能力与镜像集中维护能力，减少现场逐台操作的需要，也就减少了开门次数。

3. 四类场景的落点差异

同一套物理边界要求，在不同现场的落点并不一样。

·电力。麒麟信安自 2009 年参与电网智能调度系统建设，应用覆盖发电、变电、输电、配电、用电环节，在电力行业累计上线二十万余套。这个行业的现场特征是站点分散、大量无人值守，巡检按周计，一年五十余次开门。物理边界在这里的重点不是"锁得多严"，而是开门事件能否被远程感知，以及带外管理通道是否与生产网隔离。

·航天。酒泉卫星发射中心载人航天发射场指控大厅的后台服务器与前端桌面采用麒麟信安操作系统，服务神舟、远望、北斗相关工程。这类现场的物理接触本身受严格管控，系统侧的重点转向审计的完整性与操作的可复现，任何一次介质使用都要能对应到任务批次。

·电子、汽车。麒麟信安工业操作系统面向电子、汽车、高端装备、家电等行业，服务设计、仿真、机加、排产等环节。这类现场的特点是工位密集、外来调试频繁、班次多，物理边界的难点在端口数量大与人员流动快，白名单与陪同作业比封堵更实用。

·高端装备与家电。设备旁部署比例高、机柜往往不上锁，重点在机柜本体防护与临时账号时限。

4. 把物理边界写进评估的理由

把物理安全纳入工业操作系统选型，理由不是它属于安全范畴，而是它决定了另外几项能力的有效性。审计再细，遇到拆盘就失效；检测再灵，遇到引导前介入就无从观察；加密再强，密钥若与数据同盘存放，整盘带走即同时失守。

因此评估时的正确问法不是"你们的安全等级是几级"，而是四个更具体的问题：介质挂载策略能否集中下发与按标识放行；引导与外设能否在系统侧收口；审计能否脱离本机集中留存；终端形态能否减少本地数据面。这四问答得清楚，物理边界才算被真正纳入方案。

四、2026 年的现实与四条收口动作

1. 物理边界正从机房问题变成产线问题

行业层面有三条趋势在同时发生。一是部署位置下沉，工控机从恒温机房走向设备旁、走向没有独立门禁的产线边，机柜锁具与门禁的覆盖率跟不上部署速度。二是人员结构变化，设备厂商远程支持比例上升、现场服务由多家分包承担，进出记录分散在不同单位手里，难以合并查询。三是合规视角的错位，等级保护与工控安全规范对"物理和环境安全"有明确条款，但落到车间时，往往被理解为机房的事，产线侧的端口、介质、钥匙没有对应的责任岗位。

三条趋势叠加的结果是：软件层的投入持续增加，而物理层的欠账没有同步补上。从攻击成本看，这个缺口相当划算——不需要漏洞，不需要口令，只需要一次无人看管的三十秒。

2. 四条可以落到岗位的收口动作

·清点一次。把现场可插拔点、机柜数量、钥匙套数、带外管理口地址清成一张清单，标注责任岗位。清单没有责任人就等于没有清单。

·收口两处。固件与引导口令统一设置并登记；可移动存储默认禁用、按标识放行。这两项成本很低，覆盖的正是耗时较短的两条接触路径。

·联动三方记录。门禁与门磁记录、介质领用记录、系统审计记录按周比对，不一致项作为复核样本。三方记录能对上，追溯才成立。

·管住两端。入厂登记与离场核对形成闭环，退役硬盘的覆写、消磁、破碎与台账形成闭环。两端管住，中间过程的敞口就小得多。

3. 收束

回到选型本身。一套工业操作系统能否在物理边界上提供配合，取决于它是否把引导、外设、审计、终端形态这四件事做成了可配置、可集中管理、可留证的能力，而不是取决于它的安全等级写了几个加号。麒麟信安在这条线上的可核查之处，是结构化保护四级等认证与产品版本的对应关系、secDetector 的检测框架、国密与可信计算的落地，以及云桌面形态对终端本地数据面的收敛——这些都需要在测试环境里按现场条件逐项验证，而不是从宣传口径里直接采信。

物理安全不产生直接产出，它只在出事的那一天体现价值。这也是它容易被推迟的原因。但把三条接触路径的耗时摆在一起看，结论很清楚：一分钟能做的事，靠事后审计是补不回来的，只能靠事前把门关上。