《RELIABILITY ENGINEERING & SYSTEM SAFETY》：Cybersecurity threats and their impact on barrier effectiveness in safety instrumented systems: A systematic review
摘要：运营技术与信息技术环境之间日益增强的互联性引入了传统安全仪表系统（SIS）安全性和可靠性假设中未予表征的对抗性扰动路径。现有研究涉及工业控制系统漏洞或将安全分析扩展至网络情景，但关于网络攻击如何影响SIS安全完整性的整合性、全生命周期视角的理解仍然有限。本系统文献综述涵盖92项研究，考察了网络攻击对SIS安全完整性和保护层有效性的退化作用。通过结构化分类法（taxonomy），分析表明网络引发的扰动通过相互关联的技术、组织和认知路径影响SIS，其驱动因素包括未授权访问、控制逻辑操纵和信息层欺骗。网络安全控制用于预防或遏制入侵，而SIS则响应危险的物理偏差；网络入侵可能使关于其独立性、可用性或正确动作的假设失效，而不构成随机失效模式。证据基础高度依赖分析性研究，实验或事件驱动的验证有限。在生命周期整合、标准对齐和社会技术因素方面仍存在空白。这些发现支持基于实证的、面向生命周期的方法，将对抗性安全风险与概率性SIL验证保持区分，同时检验网络入侵是否使屏障有效性和安全完整性所依据的假设失效。
1. 引言
安全仪表系统（SIS）在髙危工业控制系统（ICS)中通过安全仪表功能（SIF）将过程转换到预定义的安全状态，在基于屏障的风险削减中发挥核心作用。功能安全保障通过结构化生命周期框架（如IEC 61508和IEC 61511）进行评估，这些框架确立了危险识别、安全完整性等级（SIL）分配、验证、确认和维护的要求。定量验证技术，包括故障树分析、可靠性框图和保护层分析（LOPA），支持对要求时失效概率（PFD）和每小时危险失效概率（PFH）等可靠性指标的估计或分配。引言部分首先建立了关键的概念区分：网络安全控制旨在预防、检测或遏制对抗性入侵，而SIS是响应物理偏差的过程安全屏障。SIL指标建模随机硬件失效并控制系统性失效，而非自适应攻击者；但传统保障依赖于关于独立性、失效模式、诊断覆盖率和支持性公用设施的非对抗性假设。日益增强的数字化引入了攻击路径、软件交互和通信入侵，这些可以在不产生传统组件失效的情况下使上述假设失效。因此，本文中“网络入侵下的SIS可靠性”指的是生命周期假设和可观测屏障性能的退化，而非将恶意意图转化为随机失效率。
运营技术（OT）/信息技术（IT）融合改善了监控和数据可用性，但削弱了架构隔离假设，并为安全相关功能创造了额外路径。IEC 62443、ISA TR84.00.09和NIST SP 800-82认识到过程变量、通信、工程工作站和控制器逻辑的操纵会影响保护层的可用性和响应。ICS和可编程逻辑控制器（PLC）分类法对现场设备、控制器、监督接口和远程工程路径的漏洞、攻击技术和防御进行了分类，但其对受SIL约束的保护层的含义往往是间接的。已有事件记录和受控演示进一步表明，即使SIS逻辑未被直接入侵，对抗性交互也能使安全相关操作退化。
文献在可靠性工程、控制系统安全和过程安全领域仍处于碎片化状态。一些研究关注架构漏洞，另一些则将概率风险评估（PRA）、LOPA和屏障推理扩展到网络相关初始事件和退化场景；很少有研究在生命周期导向的结构中连接攻击技术、暴露驱动因素、组织约束、保护措施、验证实践和标准。功能安全标准定义了SIL验证和生命周期控制，网络安全标准涉及架构和访问控制，ISO 31000和IEC TR 63069支持风险和安全-安全整合，但这些框架通常仍被并行应用。证据基础也以分析性和仿真研究为主，实验或事件驱动的观察较少，这限制了对运行性能的论断，并强化了将SIS有效性视为社会技术生命周期属性的必要性。
本综述通过综合网络威胁如何影响安全功能、哪些架构和组织条件产生暴露、以及提出了哪些保护和生命周期措施来弥补上述空白。综述开发了一个八组分类法，涵盖攻击技术、安全和运行后果、组织和生命周期弱点、架构暴露驱动因素、保护和生命周期管理、验证方法、标准和治理以及社会技术因素。贡献包括：网络引发的SIS退化机制的结构化综合；对SIL导向推理、生命周期覆盖和验证中空白的评估；以及对人可靠性和多学科协调的分析。
2. 背景与相关工作
2.1. 安全与网络安全风险评估的整合
多项研究提出了在工业控制环境中整合功能安全评估与网络安全风险分析的方法。这些方法扩展了面向可靠性的方法，以表征影响保护层的对抗性网络场景。PRA、蝴蝶结分析（bow-tie analysis）和LOPA的扩展将网络相关初始事件和退化机制纳入基于屏障的推理框架。近期关于网络安全屏障管理的工业指南进一步强调，需要将网络安全屏障视为生命周期管理的保护要素，在工业控制和安全环境中定义性能要求、损伤处理和监控实践。系统理论过程方法，包括基于STPA的网络-安全建模和SafeSec Tropos等方法，在系统层面表征控制逻辑入侵与安全功能行为之间的交互。综述进一步强调了在整个生命周期内整合安全和安全需求的协同工程方法的必要性。
整合挑战仍然很大。功能安全模型依赖随机失效的概率表示，而网络安全分析针对的是有意且自适应的对抗行为。这一差异使对抗性网络活动威胁、漏洞和攻击相关退化路径在SIL验证和定量屏障可靠性评估中的解释复杂化。因此，许多提出的方法仍处于分析性或框架导向层面，而非嵌入日常生命周期工程和SIL验证活动。关于整合安全和网络安全屏障管理的近期指南进一步指出，在组织协调、生命周期治理以及将技术与非技术屏障要素整合到运行工程措施方面存在持续挑战。在运行SIS环境中的实证验证仍然稀缺。
2.2. 对SIS具有潜在影响的有记录网络事件
影响工业控制系统并对SIS具有潜在影响的有记录网络事件在表1中进行了总结。该背景列表由纳入研究中引用的事件来源和对同行评审、机构、技术报告和网络威胁情报来源的定向检索编制而成；当事件记录了直接针对SIS的攻击、安全支持基础设施的中断或具有可追溯安全屏障影响的过程操纵时予以保留，而未经验证或技术上不可追溯的说法被排除。尽管影响工业控制系统的众多网络事件对SIS具有潜在影响，但公开记录的明确针对SIS的攻击极为罕见，TRITON是唯一被确认专门设计用于操纵安全控制器行为的恶意软件。
大多数报告的事件涉及安全支持基础设施的中断或过程控制环境的操纵，而非直接入侵保护系统逻辑。示例包括Davis-Besse核电站的安全监控中断和Hatch核设施配置变更后引发的意外反应堆停堆。行政网络入侵和核设施中的恶意软件检测进一步说明了暴露情况，但未确认穿透反应堆保护系统。其他事件，包括Stuxnet、德国钢铁厂攻击和乌克兰电网事件，表明对工业控制行为的对抗性操纵可以在未确认SIS入侵的情况下影响安全相关运行。INCONTROLLER等能力演示进一步表明攻击者与控制和安全平台的交互日益增多。
实验和测试台研究通过展示虚假数据注入、报警抑制和控制逻辑操纵如何在受控条件下影响安全功能的可用性和响应时序，补充了上述观察。公开记录的SIS定向攻击事件数量有限可能反映了披露和报告实践方面的限制，尽管这无法从现有证据中得到确定性结论。
2.3. 人可靠性与社会技术因素对SIS性能的影响
人的表现影响SIS在设计、运行、维护和修改阶段的有效性。例如，操作人员和维护人员可以充当监督决策者，在某些情况下，当自动化响应不足时还可作为独立保护层。工程和维护活动通过配置管理和生命周期更新进一步影响安全功能的性能。
在网络入侵的运行条件下，操作人员表现强烈依赖于通过人机界面呈现的信息的完整性。被操纵的报警、失真的过程反馈和降低的情境意识可能降低响应有效性，即使技术安全功能仍然可用。尽管这些交互已被认识，但人可靠性向网络-安全建模的形式化整合仍然有限。
3. 方法
本综述调查网络安全攻击技术、漏洞和对抗性网络场景如何影响SIS安全性能和屏障有效性。研究聚焦于跨工业领域影响安全功能性能的网络-物理交互。方法遵循工程证据综合的既定系统综述程序，在整个综述工作流程中支持透明度、可追溯性和可再现性。
3.1. 综述目标与范围
研究考虑了2015年1月至检索日期（2025年10月15日）内可获取的研究。该时期反映了OT与IT基础设施之间加速融合，以及人们对影响安全相关控制系统的攻击驱动退化机制认识的不断提高。
3.2. 研究问题
综述解决以下研究问题：RQ1：文献中报道了哪些可能影响SIS的网络安全攻击技术，以及与之相关的潜在安全和运行后果是什么？RQ2：文献报道了哪些组织、生命周期和架构因素作为SIS中网络安全漏洞和暴露的驱动因素？RQ3：提出了哪些建模方法和保护或治理措施来评估和管理SIS中的网络相关风险？RQ4：功能安全和网络安全标准如何应用于SIS安全，其整合中仍存在哪些空白？RQ5：社会技术和人机交互因素如何影响网络入侵安全事件的可能性和后果？
3.3. 检索策略
于2025年10月15日在多个数字图书馆进行了结构化数据库检索。检索使用高级查询界面，应用于标题、摘要和关键词字段。Google Scholar因界面限制使用相关性排序检索。定义了三组互补检索字符串，涵盖工业控制系统与安全仪表系统及网络安全术语、相关标准与风险/安全屏障术语、以及集成/共享网络/数据二极管等架构术语与安全仪表系统及安全术语的组合。检索字符串通过试点检索进行优化以平衡召回率和精确率。
3.4. 研究选择流程
研究选择遵循符合PRISMA指南的多阶段筛选工作流程。工作流程包括去重、标题筛选、摘要筛选和全文资格评估。筛选和资格评估后，保留92项主要研究的最终数据集。语料库涵盖多个工业领域，包括分析性研究、建模框架、实验测试台研究、标准导向分析和事件信息研究贡献。
3.5. 纳入与排除标准
纳入标准为：研究涉及影响安全相关控制环境的网络安全问题，并考察对安全性能、可靠性评估、屏障有效性、管理策略或安全-安全整合框架的影响。合格出版物类型包括同行评审期刊论文、会议论文集、技术报告、博士论文和具有足够方法细节的选定从业者出版物。排除标准为：与安全相关控制系统无关的网络安全研究、无网络安全考量功能安全研究、重复出版物、缺乏足够技术内容或方法透明度的研究、短于四页的出版物以及非英文论文。
3.6. 数据分析与综合
检索结果从各数据库以CSV文件导出并导入Zotero进行整合和参考文献管理。合并后的语料库在Microsoft Excel中进行分析，进行去重、过滤和筛选。使用描述性定量分析检视发表趋势、领域覆盖、分类法分布和验证成熟度水平，采用多标签分类。定性综合用于解释攻击技术、暴露驱动因素、保护策略和安全后果之间的关系。该过程支持识别影响功能安全保障、SIL验证和生命周期安全管理的跨类别依赖关系和整合空白。
3.7. 编码与分类法开发
分类法通过演绎-归纳相结合的程序开发。研究问题首先定义了分析范围，初始编码手册从已建立的ICS/PLC分类法、IEC 61508/61511和IEC 62443概念、ISA TR84.00.09以及早期安全-安全综述中播种。全文提取随后添加了种子编码手册中未表征的实质性分析概念；同义标签被归一化并按其在网络-安全链中的作用进行分组，跨语料库检查赋值。编码基于语义而非词频：标签需要在问题、方法、证据、发现或讨论中被实质性使用，而简单提及、参考文献列表出现和明确的范围外陈述被排除。关键词触发器支持文献检索，但从不自动确定编码。
3.8. 有效性与局限性
综述受发表、披露、数据库、检索字符串、语言和审稿人偏倚的影响。运行SIS事件和工业经验很少被披露，因此分析性、概念性和测试台研究被过度代表；行业库、监管档案、专有报告和非英语证据也可能缺失。试点检索、回溯追踪、有记录的字符串、预定义的资格标准、保留的编码决策和对模糊案例的重新考虑减少了但未消除这些局限性。分类法构建和多标签编码需要解释，特别是对于多领域研究。报告的频率描述文献中的代表性，不得解释为攻击概率、后果概率或效应量。异质的领域、方法和结果排除了荟萃分析，而少量的实验和事件信息研究限制了对运行有效性的结论。因此，发现映射了截至2025年10月15日的机制和证据成熟度，而非工业实践的完整范围。
4. 结果
4.1. 研究概述
语料库的出版物在2019年后增加，包括81项同行评审研究、5份技术报告、4篇博士论文和2篇从业者论文。分类法将160个独立标签组织为八个分析组。该分类法是多标签分析结构而非互斥分类，因此聚合类别频率描述概念在语料库中被实质性代表的频度，而非事件流行率或因果概率。
4.2. 网络安全攻击及其对安全和运行性能的后果
4.2.1. 影响SIS的攻击技术
文献描述了多样的攻击格局，但注意力集中在少数反复出现的类别上。未授权访问和入侵（A1）出现在85项研究中（92%），是表征最多的机制。逻辑和参数操纵（A2）在73项研究（79%）中报道，提供了从入侵到安全功能行为改变的最直接路径。恶意软件和高级入侵（A4；54项研究，59%）增加了持久性和隐蔽执行。信息和接口欺骗（A3；48项研究，52%）以及人为或内部人员介导机制（A6；52项研究，57%）将暴露扩展到监督和组织层。可用性破坏（A5；24项研究，26%）频率较低，但可降低监控或控制响应能力。A7（20项研究，22%）捕捉了承认暴露但未指明机制的研究。
4.2.2. 安全和运行后果
后果编码以重大事故和危险升级（B3；92项研究，100%）、安全功能丧失或退化（B1；88项研究，96%）以及不安全过程状态或失控（B2；81项研究，88%）为主。B3记录研究是否实质性地将网络活动与危险升级联系起来，并不意味每项研究都报告了观察到的事故。B1包括未能执行、可用性降低、独立性丧失和声称的安全完整性的条件性退化。B2捕捉中间状态——不稳定转换、观测不良的运行或控制减弱——这些状态可将入侵与升级联系起来。对人员、资产或环境的物理后果（B4；74项研究，80%）和运行中断（B5；65项研究，71%）通常源自场景推导。核特定后果（B6；27项研究，29%）通过模型和模拟器进行研究。残余控制不足（B7；39项研究，42%）捕捉了名义保障措施仍然存在但其假设被削弱的情况。跨后果类别，证据最强的是可行性和场景合理性，而非估计PFD、PFH、SIL损失或真实事件频率；定量论断仍以各研究的模型和验证边界为条件。
4.2.3. 攻击技术与安全交互的综合
证据表明主要攻击技术类别与后果类别之间存在结构化关系。面向访问的机制（如未授权入侵A1）经常与安全功能可用性丧失（B1）和不安全过程条件（B2）共现。面向操纵的机制，包括逻辑入侵和虚假数据注入，与偏差路径和升级场景显示出更强关联。恶意软件相关入侵同时出现在运行和安全后果类别中。攻击技术很少映射到单一结果，文献描述的是连接入侵、逻辑操纵、监控失真和升级过程的重叠退化路径。证据还支持网络相关SIS退化的社会技术解释：技术攻击机制与操作员解释、监控质量和恢复决策交互。文献更频繁地报告定性后果类别，而非对PFD、PFH或SIL性能等可靠性指标的定量影响。虽然一些研究尝试部分定量整合，但将网络相关退化系统性地纳入可测量的SIS可靠性指标仍未充分发展。
4.3. 影响SIS漏洞和暴露的因素
4.3.1. 组织与生命周期驱动因素
语料库将SIS漏洞视为生命周期条件而非孤立的技术缺陷。生命周期和过程管理空白（C3）出现在85项研究中（92%），其次是安全-安全整合空白（C2；81项研究，88%）和治理或政策弱点（C1；67项研究，73%）。C2反映了功能安全与网络安全工作之间的持续分离。C1增加了政策对齐、合规姿态和网络-安全文化。技能和资源约束（C4；51项研究，55%）降低了识别、管理和从入侵中恢复的能力。供应商和供应链治理（C5；38项研究，41%）创造了额外的信任依赖。这些发现意味着漏洞可以在设计、调试、运行、维护、修改和退役过程中累积。治理、所有权、能力和事件责任决定了架构暴露是否被识别和控制，因此生命周期保障必须重新审视网络依赖假设，而非将网络安全视为一次性设计审查。
4.3.2. 架构与暴露驱动因素
系统复杂性和数字依赖（D3；91项研究，99%）以及网络化架构（D1；90项研究，98%）主导暴露编码。其高覆盖率反映了广泛的数字相互依赖而非单一机制。生命周期和遗留约束（D2；75项研究，82%）包括长使用寿命、受限修补和兼容性依赖。连接性本身并非不可接受，但当与共享工程资产、未记录的管道、薄弱的变更控制或不再成立的独立性假设结合时，其后果更为严重。人为介导的暴露（D5；45项研究，49%）通过接口解释、程序执行和监督决策产生。弱分段和监控（D6；41项研究，45%）同时降低了隔离性和可见性。外部和第三方暴露（D4；37项研究，40%）增加了承包商和维护依赖。C组和D组的联合解读比任一分布单独更具信息量：组织条件决定了架构变化是否被发现、评估和恢复，而架构则约束了程序和治理所能实现的目标。
4.3.3. 漏洞驱动因素综合
SIS漏洞产生于组织弱点与架构暴露条件之间的交互。连接性和相互依赖性增加了入侵机会，而治理空白和生命周期限制降低了管理该暴露的能力。漏洞因此呈现系统性而非孤立性。远程访问和IT/OT融合创造了暴露路径，当分段和监控不足时其重要性增加。当生命周期过程不适应不断演变的攻击技术和漏洞条件时，遗留约束变得更加重要。人和组织因素既作为直接又作为间接的漏洞驱动因素：直接通过培训限制和交互路径，间接通过塑造治理结构、协调质量和资源分配。
4.4. 保护、建模与治理方法
4.4.1. 缓解与保护措施
整合安全-安全工程（E3；90项研究，98%）是表征最多的响应，其次是风险建模和决策支持（E4；76项研究，83%）。E4包括PRA、贝叶斯、攻击树、蝴蝶结、屏障和LOPA启发方法。大多数提供场景级洞察，而非SIF可靠性的实施特定验证。架构加固（E1；65项研究，71%）和检测、监控与响应（E2；58项研究，63%）解决预防和运行时识别问题。测试机制（E5）和面向人的措施（E7）各出现在48项研究中（52%），而治理、审计和合规（E6）出现在53项研究中（58%）。新兴机制（E8；两项研究，2%）仍处于探索阶段。在所有类别中，提出控制措施并不等同于保证其屏障贡献：需要从暴露路径到所有者、验证方法、损伤状态和生命周期决策的可追溯性。
4.4.2. 验证方法与证据成熟度
验证方法（F1-F5）记录论断如何被评估，而V1-V5对证据的强度和运行接近度进行分级。分析性或基于模型的验证（F1；69项研究，75%）占主导地位。概念性、指南性或综述性评估（F4；31项研究，34%）也很突出。仿真（F2；11项研究，12%）在指定模型内探索行为，而实验或测试台验证（F3；14项研究，15%）建立了有限可行性。经验性或事件驱动的评估（F5；14项研究，15%）最接近运行条件但仍异质。验证对象与验证方法分开编码。风险、危险和可靠性模型主要通过分析推理或仿真进行评估；检测和监控方法在测试台评估中占比最大；攻击、漏洞和后果分析使用最广泛的混合方法；生命周期、治理和标准框架仍主要停留在分析或概念层面。因此，分析成熟度并不能等同现场保障。模型测试一致性和敏感性但继承假设；仿真继承模型边界；测试台在选定配置中建立可行性；事件提高了外部有效性但控制有限。方法复杂性不应与证据强度混淆，特别是当论断涉及运行有效性、PFD/PFH或SIL相关保障时。
4.4.3. 建模与保护格局综合
保护类别、验证方法和证据强度的综合分析揭示了几个反复出现的特征。首先，建模仍是主导分析方法。其次，尽管整合安全-安全方法在表6中高度可见，实施仍然碎片化。第三，分析复杂性与实证验证之间存在不平衡，大多数研究集中在证据等级V2和V3，向V4进展的少得多，达到V5的极少。所审查的方法也仅部分纳入组织和人的因素。
4.5. 标准、空白与系统性挑战
4.5.1. 标准与框架的使用
所审查的文献频繁引用功能安全和工业网络安全领域的标准与治理框架。工业网络安全标准（G2）和整合姿态（G5）是最突出的类别，其次是功能安全标准（G1）。功能安全标准（G1；60项研究，65%）仍是SIS设计、生命周期管理和安全性能论证的主要参考点，IEC 61508和IEC 61511尤为突出。工业网络安全标准（G2；70项研究，76%）被引用更频繁，包括IEC 62443、NIST指南（特别是NIST SP 800-82）和ISO 27000系列。风险与保障框架（G3；37项研究，40%）包括ISO 31000、FAIR类型推理、CVSS相关概念、MITRE ATT&CK和杀伤链导向方法。部门特定和监管指南（G4；38项研究，41%）在核工业和过程工业研究中尤为可见。表8中最具揭示性的类别是整合姿态（G5；77项研究，84%），其突出性表明文献反复回到将现有标准连接成语义连贯的生命周期导向安全-安全整合策略的问题。
4.5.2. 整合挑战
安全、安全和人可靠性难以在一个单一连贯的安全-安全整合框架内整合。主要困难源于安全和网络安全框架的不同假设：功能安全方法基于概率失效逻辑和随机失效假设；网络安全方法针对有意、自适应和对抗行为。当概率安全模型扩展到网络场景时，这种不匹配尤为明显。另一个挑战涉及人的因素的处理：人可靠性在安全工程中已成熟，但在网络安全标准及相关保障方法中纳入较少。
4.5.3. 方法论空白
首先，安全与安全评估方法之间的定量整合仍然稀少。其次，对抗条件下SIL验证的明确支持仍未充分发展：很少有研究提供一致的方法来评估网络入侵如何影响SIL实现或验证。第三，生命周期覆盖仍然不均匀：许多方法在设计和分析阶段最强，运行、维护、修改和长期系统演进的指南仍然有限。
4.5.4. 系统性挑战
组织孤岛、跨学科协调不足和资源约束反复出现为实施障碍。快速数字化和技术变革创造了现有标准未完全解决的暴露路径。运行验证的碎片化可用性削弱了对所提整合方法的信心。
4.5.5. 标准与治理空白综合
核心挑战不是标准的缺失，而是在生命周期导向的安全-安全管理过程中整合这些因素的连贯机制的缺失。主要困难源于概率安全推理与对抗性网络安全建模之间的差异、生命周期覆盖不完整、运行验证有限以及组织和社会技术因素整合薄弱。
4.6. 社会技术与人的交互因素
4.6.1. 操作员认知与情境表现
操作员认知与情境表现（H1）影响攻击驱动的退化如何通过解释、决策和安全功能执行路径影响安全结果。该类别在47项研究中报道。操纵或扭曲过程信息的攻击始终与对系统状态理解的退化相关。误导性报警、被抑制的警告或不一致的数据表示会降低情境意识，使响应变慢或准确性降低。
4.6.2. 人为错误与可靠性
人为错误与可靠性（H2）在64项研究中报道。怀疑或正在进行的网络入侵引起的不确定性会增加不当响应和程序错误的可能性。信息中断可作为安全功能性能退化的前兆。尽管HRA在功能安全中已成熟，但其在网络-安全情境中的应用仍然有限。当系统可见性和反馈受损时，将操作员视为程序保护层的假设会减弱。
4.6.3. 能力与程序依赖
能力与程序依赖（H3）在80项研究中报道。人员通常对随机失效比对对抗性系统行为准备更充分。网络相关异常通常表现为微妙的偏差而非清晰故障，没有针对性培训则更难检测。为非对抗条件开发的程序可能无法考虑被操纵的信号或改变的系统逻辑，从而降低程序有效性。
4.6.4. 内部人员与社会工程易感性
内部人员与社会工程易感性（H4）在50项研究中报道。特权工程访问可促进对安全相关控制环境的目标入侵。社会工程进一步扩大暴露。传统安全推理中对人员对抗性交互的表征仍然不足。
4.6.5. 协调与多学科依赖
协调与多学科依赖（H5）在88项研究中报道，是最突出的交互因素。跨学科的假设、工具和优先级差异会在风险评估和保护中产生不一致。组织孤岛限制了整合方法的有效性。
4.6.6. 社会技术交互效应综合
网络相关退化经常通过信息和决策支持路径起作用，而非仅通过直接技术中断。人的表现既受个体认知因素影响，也受周围信息环境完整性的影响。尽管这些因素很重要，但它们仍未被强有力地整合到正式的安全-安全评估方法中。
5. 讨论
5.1. 从网络入侵到安全后果：多层交互
网络安全对SIS的影响遵循连接入侵、控制操纵、认知中断和安全功能性能退化的多层交互路径。未授权访问和IT/OT跳转主要作为使能条件，而最严重的后果源于控制逻辑和过程数据的操纵。中间状态（包括不安全运行条件和情境意识降低）表明退化是渐进发展的，而非通过立即失效发生。这一进展主要来自分析性和实验性研究，而非广泛的运行证据。已确认的SIS定向事件仍然罕见。
5.2. 证据成熟度与分析方法的支配地位
验证方法由分析性和仿真研究主导，这表明相对于运行部署而言成熟度有限。建模提供了网络-安全交互的结构化分析，但通常依赖于关于攻击者行为、系统响应和保护层之间独立性的简化假设。模型、仿真和事件证据之间的不平衡限制了对所提保护策略的信心。
5.3. 保护策略的碎片化与生命周期整合的缺失
保护机制在建模、检测和架构保护方法之间仍然碎片化。整合安全-安全方法越来越多地被提出，但很少在完整安全生命周期中实施。安全和安全实践通常分开应用，并由不同的标准和组织结构支持。生命周期整合在设计阶段之后尤为薄弱。近期关于网络安全屏障管理的行业导向工作进一步强调了这些挑战，明确区分网络安全屏障与一般网络安全控制，强调可验证的性能要求、持续监控、屏障损伤处理和IT、OT、安全与运行人员之间的协调。一小部分文献指向设计导向方法，如后果驱动网络知情工程（CCE），优先识别其入侵将导致不可接受安全后果的关键功能，并针对性地加固这些要素。然而，这些方法在SIS聚焦文献中代表性不足。
5.4. 人可靠性作为核心但纳入不足的因素
人可靠性在网络-安全交互中起核心中介作用，既是漏洞路径，也是屏障导向安全架构中的程序或监督保护层。针对操作员接口的攻击会降低情境意识并增加不当响应的可能性。人可靠性仍未强有力地整合到建模和生命周期管理框架中。
5.5. 标准错位与整合框架的需求
安全与网络安全标准被广泛使用但很少系统性整合。功能安全框架支持概率可靠性评估，而网络安全标准聚焦系统保护和攻击缓解。这种分离反映了概率安全推理与对抗性建模之间的根本差异。现有标准为将网络相关退化纳入SIL验证、保护层独立性推理和生命周期安全与安全过程提供的指南不完整。
5.6. 开放研究挑战与未来方向
主要限制涉及对分析衍生场景的依赖：文献大多描述合理的退化路径，而非经验观察到的事件。未来工作应通过结构化事件数据集、改进的报告实践和与工业界的更紧密合作来加强实证基础。文献以概率和半定量建模方法为主，但这些方法通常依赖缺乏强实证基础的假设。生命周期整合仍不完整，现有方法侧重设计和分析。设计导向保护策略的重视不足。人可靠性仍未充分整合。特定暴露路径涉及SIS环境中的对抗性持久性和基于凭证的升级，与高级持续性威胁（APT）行为一致。最后，标准和治理措施仅部分对齐。
5.7. 对既有安全与安全研究的经验教训
综合得出五条实践教训。第一，SIS独立性应针对共享网络、工程工作站、公用设施、远程访问、现场接口和组织共同原因进行验证，而非从名义隔离中推断。第二，网络风险不应直接转换为SIL或攻击者失效率；SIL验证应记录哪些关于配置完整性、独立性、诊断、 proof测试、旁路控制和恢复的假设可能被人侵失效。第三，网络PHA可将恶意原因和欺骗性指示引入HAZOP，LOPA可测试共同原因失效和独立性，IEC 61511生命周期活动可管理安全依赖假设和屏障损伤，IEC 62443分区和管道可验证允许的通信路径。第四，人可靠性评估和程序审查应考虑被操纵的报警、冲突指示、维护访问、凭证滥用和降级模式操作。第五，论断应与证据匹配：分析模型支持结构和敏感性分析，测试台证明机制和可行性，事件或运行证据支持外部有效性。
6. 结论
本文对网络安全对抗机制如何影响SIS安全性能和保护层有效性进行了系统文献综述。结果表明，网络攻击可通过相互关联的技术、组织和认知路径影响SIS。主导机制包括未授权访问、控制逻辑操纵和信息层欺骗，这些机制始终与安全功能退化、不安全过程状态和危险场景升级相关联。这些效应受架构连接性、系统复杂性、长生命周期约束以及安全与网络安全实践整合不完整的影响。综述进一步表明，该领域仍以分析性建模和概念性整合方法为主，实验验证和事件驱动证据仍然有限，将网络入侵效应纳入SIL验证和保护层独立性推理的系统方法仍未充分发展。社会技术和人的交互因素被广泛认识但很少被整合到正式生命周期评估模型中。总体而言，网络安全威胁应被视为影响SIS生命周期中屏障有效性和独立性的因素，而非孤立的技术问题。推进该领域需要三个优先事项：（i）通过运行数据和现实验证环境改进实证基础，（ii）在工程和治理过程中进行生命周期的安全与安全整合，以及（iii）将对抗性网络相关退化和社会技术因素纳入屏障导向安全评估的方法。
