本節書摘來自華章出版社《工業控制網絡安全技術與實踐》一 書中的第1章，第1.1節，作者：姚 羽 祝烈煌 武傳坤 ，更多章節内容可以通路雲栖社群“華章計算機”公衆号檢視。
為了全面了解工業控制網絡和工業控制系統，我們需要首先了解其基本概念，本節主要介紹工業控制系統和工業控制網絡的基本概念，以及二者的差別和聯系，然後介紹工業控制網絡和傳統it資訊網絡的差別。
1.1.1 什麼是工業控制系統
工業控制系統（industrial control system，ics）是指由計算機與工業過程控制部件組成的自動控制系統，它由控制器、傳感器、傳送器、執行器和輸入/輸出接口等部分組成。這些組成部分通過工業通信線路，按照一定的通信協定進行連接配接，形成一個具有自動控制能力的工業生産制造或加工系統。控制系統的結構從最初的ccs（計算機集中控制系統），到第二代的dcs（分布式控制系統），發展到現在流行的fcs（現場總線控制系統）。随着智能化工業的發展，基于以太網的工業控制系統得以迅速發展[1]。
根據中華人民共和國公共安全行業标準中的資訊安全等級保護工業控制系統标準，可将通用的工業企業控制系統層次模型按照不同的功能從上到下劃分為5個邏輯層，依次為企業資源層、生産管理層、過程監控層、現場控制層和現場裝置層。
根據不同的層次結構劃分，各個層次在工控系統中發揮不同的功能。
在通用的工業企業控制系統中，各層次的功能單元和資産元件映射模型如圖1-1所示。
圖1-1 通用工業企業功能單元和資産元件映射模型
企業資源層主要通過erp系統為企業決策層及員工提供決策運作手段。該層次應重點保護與企業資源相關的财務管理、資産管理、人力管理等系統的軟體和資料資産不被惡意竊取，硬體設施不遭到惡意破壞。
生産管理層主要通過mes為企業提供包括制造資料管理、計劃排程管理、生産排程管理等管理子產品。該層次應重點保護與生産制造相關的倉儲管理、先進控制、工藝管理等系統的軟體和資料資産不被惡意竊取，硬體設施不遭到惡意破壞。
過程監控層主要通過分布式scada系統采集和監控生産過程參數，并利用hmi系統實作人機互動。該層次應重點保護各個操作員站、工程師站、opc伺服器等實體資産不被惡意破壞，同時應保護運作在這些裝置上的軟體和資料資産，如組态資訊、監控軟體、控制程式/工藝配方等不被惡意篡改或竊取。
現場控制層主要通過plc、dcs控制單元和rtu等進行生産過程的控制。該層次應重點保護各類控制器、控制單元、記錄裝置等不被惡意破壞或操控，同時應保護控制單元内的控制程式或組态資訊不被惡意篡改。
現場裝置層主要通過傳感器對實際生産過程的資料進行采集，同時，利用執行器對生産過程進行操作。該層次應重點保護各類變送器、執行機構、保護裝置等不被惡意破壞。
1.1.2 什麼是工業控制網絡
目前，工業控制網絡還沒有一個标準的定義。在一些學術文章和相關文獻中，通常将工業控制網絡定義為以具有通信能力的傳感器、執行器、測控儀表作為網絡節點，以現場總線或以太網等作為通信媒體，連接配接成開放式、數字化、多節點通信，進而完成測量控制任務的網絡。
工業控制網絡就是工業控制系統中的網絡部分，是一種把工廠中各個生産流程和自動化控制系統通過各種通信裝置組織起來的通信網絡。工業控制系統包括工業控制網絡和所有的工業生産裝置，而工業控制網絡隻側重工業控制系統中組成通信網絡的元素，包括通信節點（包括上位機、控制器等）、通信網絡（包括現場總線、以太網以及各類無線通信網絡等）、通信協定（包括modbus、profibus等）。
從前面的定義可以看出，工控網絡由多個“網絡節點”構成，這些網絡節點是指分散在各個生産現場，具有相應數字通信能力的測量控制儀器。它采用規範、公開的通信協定，把現場總線當作通信連接配接的紐帶，進而使現場控制裝置可以互相溝通，共同完成相應的生産任務。
實作測量監控是工業控制網絡的基本任務，是以工業控制網絡特别強調資料傳輸的完整性、可靠性和實時性，這就要求工業控制網絡能夠提供相應的實時通信功能。
從發展過程來看，工控網絡經曆了從傳統控制網絡到現場總線，再到目前研究非常廣泛的無線網絡以及工業以太網的道路。
20世紀90年代以前，大多數控制系統一般采用專用硬體、軟體和通信協定，有獨立的作業系統，系統之間的互聯要求也不高，是以幾乎不存在網絡安全風險。随着科技的發展，現場總線技術興起，并已被廣泛應用于連接配接現場裝置，如控制器、傳感器與執行器等，其定義、規格、實作和市場等日趨成熟。
随着應用需求的提高，現場總線的高成本、低速率、難于選擇以及難于互連、互通、互操作等問題逐漸顯露，将以太網應用于工控網絡構成工業以太網成為解決上述問題的有效手段。現有的工業以太網大緻可以分為軟實時工業以太網、硬實時工業以太網、同步硬實時工業以太網以及非實時工業以太網。不同類型的以太網在傳輸率、傳輸距離、實時和非實時排程以及應用模式方面各有不同，可在不同工業場景下發揮其作用。
随着無線通信技術的發展以及工業生産的需求，無線通信技術也逐漸進入工業控制領域，降低了裝置的安裝複雜度，減少了線纜，配置靈活，使用友善。特别是在“智能制造2025”國家戰略的牽引下，智慧工廠蓬勃發展，無線工控網絡将大展拳腳。
目前，我國各領域的關鍵基礎設施、各行業的自動化控制均依賴工業控制系統和工業控制網絡。如工控網絡總線技術應用于先進的城軌交通中，它不僅被應用于牽引、制動、空調、照明和通風等系統的控制，還應用于系統的故障診斷分析以及車輛行為安全相關的一些檢測裝置，如火災報警等，并能根據需要對裝置進行遠端控制。是以，工控網絡的安全性是一切涉及國計民生事件平穩運作的前提。
但是，多年來企業更關注管理傳統網絡領域的安全問題，許多企業對工業控制網絡安全存在認識上的誤區：認為工業控制網絡沒有直接接入網際網路，入侵者無法通過工業控制網絡攻擊工業控制系統。而實際的情況是，企業的許多控制網絡都是“開放的”，系統之間沒有有效的隔離。進一步，采用最新技術的黑客和惡意軟體甚至可以有效入侵實體隔離的網絡。是以，随着資訊化的推動和工業化程序的加速，工廠資訊網絡、移動存儲媒體、網際網路等其他因素導緻的資訊安全問題正逐漸向工業控制網絡擴散，這将直接影響工控網絡的安全與穩定，必須引起足夠的重視。
1.1.3 工業控制網絡與傳統it資訊網絡
從大體上看，工業控制網絡與傳統it資訊網絡在網絡邊緣、體系結構和傳輸内容三大方面有着主要的不同[2]。
網絡邊緣不同：工控系統在地域上分布廣闊，其邊緣部分是智能程度不高的含傳感和控制功能的遠動裝置，而不是it系統邊緣的通用計算機，兩者之間在實體安全需求上差異很大。
體系結構不同：工業控制網絡的結構縱向高度內建，主站節點和終端節點之間是主從關系。傳統it資訊網絡則是扁平的對等關系，兩者之間在脆弱節點分布上差異很大。
傳輸内容不同：工業控制網絡傳輸的是工業裝置的“四遙資訊”，即遙測、遙信、遙控、遙調。
此外，還可以從性能要求、部件生命周期和可用性要求等多方面，進一步對二者進行對比，詳細内容如表1-1所示。
工業控制系統安全涉及計算機、自動化、通信、管理、經濟、行為科學等多個學科，同時擁有廣泛的研究和應用背景。
兩化融合後，it系統的資訊安全也被融入了工控系統安全中。不同于傳統的生産安全（safety），工控系統網絡安全（security）是要防範和抵禦攻擊者通過惡意行為人為制造生産事故、損害或傷亡。可以說，沒有工控系統網絡安全就沒有工業控制系統的生産安全。隻有保證了系統不遭受惡意攻擊和破壞，才能有效地保證生産過程的安全。雖然工業控制網絡安全問題同樣是由各種惡意攻擊造成的，但是工業控制網絡安全問題與傳統it系統的網絡安全問題有着很大的差別。