车间大屏上的产能数字被对手拍了照：生产现场的数据，比你想的更‘裸’

前阵子跟一家汽车零部件供应商的信息主管聊天，他讲了个后怕的事。他们厂在推进数字化改造，把几条产线的设备数据汇到新建的数据中台。结果一名产线技术员在调试接口时，意外拿到了全厂近三个月的生产原始数据，顺手打包塞进个人网盘，说是在家"练手分析"。这批数据里有好几个客户车型的工艺参数和良率记录，其中一部分是合作车企白纸黑字要求保密的。事情没闹到大规模外泄，但这两家车企的年度订单意向直接没了，整改期预计半年以上。

根子不在黑客，在于两件事没做：数据怎么分等级、谁能动，没人说得清；车间那些终端，压根没管。很多厂长觉得"生产网在内网，安全"，可真出事，往往就出在这个"内网就安全"的念头里。

一、生产现场的数据，裸到什么程度

◆车间看板大屏。产能、良率、节拍、设备OEE，全挂在车间墙上那块屏上。路过的人拿手机一拍，竞争对手就知道你这条线现在的真实产出和瓶颈在哪。这比拿一张图纸更致命——图纸还能加密，大屏上的数字是敞着的。

◆MES终端和工控机。车间一体机、HMI、工位电脑，很多厂还用共享账号登录，谁上的机、谁动的配方，查都查不出。更别说有人顺手插个U盘，把工艺配方、加工程序整包拷走，门卫都拦不住。

◆真实的坑已经有人踩了。今年2月，德国一家汽车零部件工厂在部署MES时，引入了第三方Python串口库，结果那个库被植入了后门，一旦检测到特定设备序列号，就把运行日志、工艺配方甚至现场摄像头快照往外发。竞争对手拿到关键工艺参数，商业机密直接被复制。再往前，今年3月某全球制造商遭攻击，二十多万台设备被远程统一重置、生产停摆——入口不是什么高级漏洞，就是共享凭据被攻破。攻击者从办公系统一路横扫到生产网，说到底还是"内网互信、外紧内松"的老毛病。

二、把现场守住的几个实在招

◆终端先管起来。车间工控机、一体机做USB管控和应用白名单，私人设备、私人U盘一律接不进来。该跑什么程序、该往哪拷，列清楚，其他的别想动。上邦的终端安全管控在产线工位上就是干这个的：允许生产必需的软件，拦掉一切来路不明的外设和传输。

◆身份落到人。取消MES、HMI上的共享账号，登录必须落实到具体的人。谁改了配方、谁导出了数据，系统里一条线拉得出来。出了事找得到人，平时大家也更上心——毕竟操作都记着自己名字。

◆看板该脱敏就脱敏。车间大屏对非授权区域不显示关键工艺参数，只给班组长该看的节拍和告警；同时叠加屏幕水印，谁拿手机拍了，水印里带着工号和终端信息，事后一查一个准。震慑比事后追责更管用。

◆IT和OT分开。办公网、生产网、研发存储做安全分区，跨网段访问要走审批和监测。别再让一台中了招的办公电脑，顺着内网把车间PLC、NAS全摸一遍。这是富士康那类大案复盘下来最扎心的一条教训。

◆先把数据分级。工艺参数、良率、客户车型信息，哪些算敏感、谁能动、怎么动，得有张明白账。分完级，上面的管控才落得准，不然就是一刀切，业务部门天天跟你吵。

三、守住的到底是什么

车间现场防泄密，守的不是几台机器，是这家厂几年攒下来的工艺壁垒，是还能不能拿到头部车企的订单资格。一家零部件厂最值钱的就是那些调出来的参数、那些踩过的坑换来的良率曲线。这些东西被人顺走，对手三个月就能追上你的产能，你连对手怎么追上的都看不见。

说点实在的：车间老师傅常讲"机器比人老实"，可数据不会自己长腿，是人让它跑的。把现场管明白，不只是为了应付检查，也是对一线兄弟们熬夜调出来那点工艺经验的尊重。设备可以再买，工艺丢了，才真叫没法交代。