工业互联网需要在安全方面加强顶层设计

工信部等十部门8月28日联合印发《加强工业互联网安全工作的指导意见》，提出到2020年底初步建立工业互联网安全保障体系，在汽车、电子信息、航空航天、能源等重点领域，形成至少20个创新实用的安全产品、解决方案的试点示范，培育若干具有核心竞争力的工业互联网安全企业。

工业互联网是当下很热门的一个概念。随着中国经济的发展，互联网、移动互联网的普及，“互联网+”改变了消费、出行等领域之后，新一代5G、IPV6等技术出现并不断成熟，万物互联成为可能，“互联网+”开始进入到经济生活中的最深处，信息技术与传统制造业的跨界融合成为必然的发展趋势，工业互联网的概念也应运而生。

工业互联网是工业智能化发展的关键综合信息基础设施,其本质是以机器、原材料、控制系统、信息系统、产品以及人之间的网络互联为基础,通过对工业数据的全面深度感知、实时传输交换、快速计算处理和高级建模分析,实现智能控制、运营优化和生产组织方式变革。

工业互联网的概念很热，但仍处于探索过程中，在普及之前，工信部及时强调工业互联网的安全，具有高度前瞻性，非常有必要。

在《黑客帝国》中，尼欧和锡安的首领走到城市最底层，指着由近到远无数运行着的巨大机器，告诉尼欧：我们的生活就是建立在这些平时我们看不到的机器不停运作上的。现代社会的确是这样的。我们富足、丰富、精致的生活，都建立在默默无闻的机器上。打开开关，电灯亮了；水龙头一拧，水出来了；手机一打开，自动连接到4G。这些看起来天经地义的东西背后，都有无数的机器、设备在稳定运作。

工业互联网的出现，会极大提高这些机器的效率。核磁共振成像仪、飞机发动机、电动车、生产线，甚至发电厂，这些都可以连接到工业互联网中。通过网络互联与大数据分析相结合，进行合理决策，从而更有效地发挥出各机器的潜能，提高生产力。比如，能让购物平台和生产线连接在一起，把消费者的订制需求快速连接到生产线上；让核磁共振连接到医生的手机上……从这个角度看，工业互联网的意义在于，让“网络有了手和脚”，能直接作用于现实。

不过，当生活背后这些默默无闻的机器都被连上网络后，也会带来新的风险，最著名的例子是震网（Stuxnet）病毒。

为了打击伊朗核计划，美国曾利用“震网”蠕虫病毒攻击伊朗的铀浓缩设备。这种病毒的聪明之处在于，病毒并不彻底破坏离心机，而只是降低效率，使之反复出现故障，最终延迟伊朗的核项目。一位德国计算机高级顾问表示，“震网”计算机病毒令德黑兰的核计划拖后了两年。

震网病毒的植入，并不是通过互联网，毕竟伊朗核项目的关键设备在物理上是与互联网隔绝的。据说，美国人用一个U盘，把病毒植入离心机的PLC里面。PLC指可编程逻辑控制器，是现代自动化体系中的核心部件。

2010年，因美方操作失误，原本用于攻击伊朗核设施的“震网”病毒被扩散到互联网上。当年6月，震网病毒首次被检测出来，微软公司的研究发现，“震网”感染的重灾区集中在伊朗境内，因此怀疑上了美国和以色列的情报机构，真相拼图才慢慢拼完。当然，至今仍没有确切的官方说法。震网病毒的意义在于，它是世界上第一个专门定向攻击真实世界中基础（能源）设施的“蠕虫”病毒，只要通过U盘插入，就能控制一些关键性设备，比如核电站、水坝、国家电网等。

在工业互联网的时代，这类威胁的可能性，必将变得更加严峻，连插入U盘这个物理过程也变得不再是必须的。

比如现在的工厂，大的订单都是人来处理的，虽然效率不高，但能保证真实性。随着工业互联网的发展，柔性生产、定制生产会逐渐普及，分散的、源于世界各地的定制订单，通过网络汇聚，被直接链接到生产线上，一切都在短时间内高效运行。这意味着，黑客只需敲击键盘，就能虚构出订单，待到工厂生产出来后却发现，订单是虚假的。

从更大层面看，正如我们在电影中看到的，只要操控电脑，就能控制电梯、控制他人的汽车，甚至让全城停电、让火车出轨，就算现在还不能全部实现，但随着工业互联网的普及，这一切会逐渐变得越来越可行，将带来更大的安全挑战。这也是为什么此次出台的《加强工业互联网安全工作的指导意见》专门指出，要搭建面向机械制造、电子信息、航空航天等行业的工业互联网安全攻防演练环境，以及相应的安全防护解决方案。

在一个行业发展之初，人们往往只看到好的一面，容易忽略安全之类的问题。因此，及时做出《加强工业互联网安全工作的指导意见》之类的顶层设计安排，有利于从制度上减少人的盲目乐观。

刘远举（上海金融与法律研究院研究员） 编辑 汪世军 校对 刘军