|
问题背景
工控协议安全性差是行业共识——传统BACnet、Modbus都是明文传输，数据可被窃听篡改。近年三大主流协议都推出安全增强版本：BACnet/SC（2020年发布）、Modbus TLS（2018年）、OPC UA（2008年）。业主痛点：选哪个？怎么部署？老的明文协议怎么办？ 详细解答
三大安全协议对比与选型： BACnet/SC（BACnet Secure Communication）。 - 核心机制：基于WebSocket + TLS 1.3，所有BACnet通信包在TLS隧道内传输
- 特点：兼容BACnet/IP应用层，老设备通过SC Hub（WebSocket转换器）即可获得安全保护
- 部署成本：中等。需部署SC Hub（HiveMQ/Nanomesh），老设备不动；新设备原生支持BACnet/SC
- 适用场景：HVAC主导的厂务系统（暖通空调是BACnet主战场）
Modbus TLS（Modbus Security）。 - 核心机制：在Modbus TCP基础上增加TLS 1.3加密
- 特点：协议本身极简（256字节/包），TLS握手开销相对较大；老设备改造需更换固件
- 部署成本：高。需重新刷固件或更换设备
- 适用场景：PLC密集的工艺控制（Modbus是PLC"通用语"）
OPC UA（Open Platform Communications Unified Architecture）。 - 核心机制：原生支持加密、签名、身份认证、信息建模
- 特点：安全性设计最完善，但协议复杂（500+页规范），实施门槛高
- 部署成本：中等。需采购OPC UA Server/Client license
- 适用场景：跨厂商系统集成、复杂数据建模场景
关键要点 - 没有"绝对安全"的协议：协议安全只是基础，配置错误（如使用默认证书、弱密码）仍会沦陷
- 老设备改造要"渐进式"：不要追求"一步到位"，先核心系统后次要系统，先新设备后老设备
- 证书管理是长期工程：每年证书过期管理、设备更换证书签发、PKI体系运维是"看不见的成本"
| 
