设备区
Field Devices- 电池簇 / BMS
- PCS / 表计
- 传感器 / 辅助设备
所有权：客户现场
CYBERSECURITY & ACCESS CONTROL
让每一次连接、操作与变更，
都经过可信边界
以可信身份、最小权限与可审计访问为基础， 为储能场站建立从资产、网络、身份、控制到云端连接的纵深防护体系。 任何远程访问和关键操作都必须有来源、有授权、有约束、有结果。
✓ 可识别身份
✓ 最小权限
✓ 持续监测
✓ 可审计
✓ 可恢复
外部访问
云 / DMZ区
站级运维区
控制网络区
保护 / 安全区
设备区
AST
资产已盘点
3,248
设备 / 系统 / 服务
ID
特权身份
86
实名受控
TERM
远程接入终端
12
受控终端
MFA
凭据合规率
98.6%
轮换 / MFA / 证书
LOG
安全事件日志
28,731
过去24h
DR
恢复目标
RTO 2h
RPO 15 min
01 资产与区域模型 信任分区与所有权
保护 / 安全区
Safety & Protection- 保护继电器
- 安全联锁
- 消防系统
所有权：客户现场
控制网络区
Control Network- PLC / RTU
- BMS / PCS控制器
- 工业交换机
所有权：客户现场
站级运维区
Site Operations- SCADA / EMS
- 工程师站
- 本地运维工具
所有权：客户现场
边缘 / DMZ区
Edge Services / DMZ- 边缘网关
- 跳板机
- 接口代理
所有权：客户 / 天枢
云管理区
Cloud Management- 云平台
- 告警服务
- 更新管理
所有权：天枢
外部访问区
External Users- 客户用户
- 合作方
- 临时访问
所有权：外部组织
可信数据路径
受控访问路径
阻断路径
设备区：
现场电芯、BMS、PCS、传感器等物理设备位于最低层设备区，
只允许来自明确控制和采集链路的受控通信。
02 身份与最小权限
| 身份类型 | 身份 | 来源角色 / 服务 | 站点范围 | 资产范围 | 权限 | MFA | 状态 |
|---|---|---|---|---|---|---|---|
| 人员身份 | zhang.min | 远程工程师 | Site-A | BESS-PCS-07 | 只读 / 受控操作 | 必须 | 生效 |
| 人员身份 | li.yan | 安全分析师 | 所有站点 | 安全事件 | 只读 | 必须 | 生效 |
| 服务身份 | edge-gw-01 | 边缘网关 | Site-A | 数据采集 | 读 / 写受限 | 证书 | 生效 |
| 设备身份 | ctrl-plc-02 | PLC控制器 | Site-A | 控制网络 | 协议受限 | 证书 | 生效 |
远程工程师：
只允许在批准时间窗内访问指定站点和指定PCS，
不能因为登录成功而获得整个场站控制权。
03 · 可信访问路径 单一入口 · 跨越可信边界
所有远程访问必须沿受控路径逐层验证，不允许从外部用户直接跳入设备区。
外部访问区
边缘 / DMZ区
站级运维区
控制网络区
保护 / 安全区
设备区
04 安全运维访问案例 已授权
05 阻断尝试 已拦截
×
外部请求
异常来源
×
身份认证
失败
×
MFA校验
无有效凭据
×
资产授权
拒绝
×
策略阻断
DMZ终止
×
生成事件
高风险
×
进入控制区
0 次
!
告警级别：高
!
来源：未知外部域
!
处置：边缘 / DMZ前阻断
!
记录：完整安全事件
已阻断
×
无设备变更
06 凭据 / 证书 / 密钥生命周期
签发：
凭据和证书必须由受控CA、PKI或身份系统签发，
不允许随意创建长期共享账户。
07 受控的软件 / 配置更新链
08 · 安全监测与事件响应流程
检测不是终点，最终必须完成研判、限制影响、恢复和证据闭环。
09 审计与证据留存
10 备份与恢复
11 标准与合规 示例参考 · 项目特定
IEC 62443
- 工业自动化与控制系统安全框架
- 区域与通道思想
- 身份识别与访问控制
- 系统完整性
- 受限数据流
- 安全事件响应
CLIENT TO CONFIRM / PROJECT-SPECIFIC
ISO / IEC 27001
- 信息安全管理体系
- 身份与访问管理
- 资产管理
- 变更与供应链治理
- 日志与审计
- 持续改进
CLIENT TO CONFIRM / PROJECT-SPECIFIC
客户 / 行业安全要求
- 客户IAM策略
- 远程接入审批
- MFA / VPN / 跳板机
- 密码和证书策略
- 日志留存要求
- 事件响应和恢复要求
CLIENT TO CONFIRM / PROJECT-SPECIFIC
12 边界关系与接口管理
Cloud–Edge 运行时边界
定义云端、边缘、现场控制之间谁负责运行、数据缓存、 离线自治、更新与恢复。- 安全控制始终留在现场
- 边缘承担DMZ与访问代理
- 云端承担跨站分析与管理
↔
API / 接口契约 系统交互边界
定义系统之间允许交换什么数据、谁可以调用、如何认证、 如何失败以及如何审计。- 接口Schema与版本受控
- 写操作必须显式授权
- 命令结果必须可追溯
最终原则：
平台连接必须同时满足
可控、可审计、异常可响应、系统可恢复。
安全体系的目标不是阻止所有连接，而是让所有被允许的连接都处于明确、受控和可证明的边界之内。