遗留工业控制系统的三区域认证架构

需求

行业：工业制造。合规背景：IEC 62443、NIS2 准备。核心需求：在不替换现有 PLC 或中断生产运行时间的前提下，为棕地工业控制系统加装基于硬件的身份认证。

工作流拆解

• WS-1：威胁建模与区域架构。映射现有控制区域，识别信任边界，定义兼容遗留串行/Modbus 协议的三区域认证模型。
• WS-2：基于 PUF 的设备身份。设计可改装至现有控制器的物理不可克隆函数（PUF）模块，无需固件更改即可实现逐设备身份认证。
• WS-3：合规映射。将拟议架构与 IEC 62443-3-3 进行对照，为客户的认证机构起草合规路径。

方法亮点

核心技术挑战是对不具备密码能力的遗留设备进行身份认证。我们的方案采用通过维护端口连接的侧车 PUF 模块，生成由区域控制器验证的挑战-响应对。区域控制器维护已注册设备的哈希表；任何认证失败的设备在 200 毫秒内被网络交换机层面隔离。

不确定性下的决策：选择 SRAM-PUF 还是仲裁器 PUF。C 级学术文献倾向于此温度范围的仲裁器 PUF，但我们 A 级实验室测试显示其在 75°C 以上的工作温度下误码率不可接受。我们在公开问题清单中标注了这一点，并推荐带老化补偿的 SRAM-PUF——客户在审查两组证据行后接受了该建议。

交付物

• 可工作的原型：12 节点测试平台，三个认证区域
• 研究报告：47 条来源行，38 条高置信度，6 条中等，3 条标注待确认
• IEC 62443-3-3 合规映射文件
• 面向客户董事会和认证机构的白皮书

结果

客户在两条生产线上以 SRAM-PUF 模块启动了生产试点。认证机构接受了合规映射作为正式评估的基础。原型在生产环境中的误拒率为 0.3%，在 <1% 的目标范围内。