10月22日，三菱电机宣布开发了面向工业设备的新OT安全方案，拟把Nozomi Networks的监测能力直接装进包括自家控制器在内的设备。新闻稿说，首款集成该方案的产品将在10月26日至31日的JIMTOF 2026作为参考展品出现，商业推出则计划放在截至2028年3月的财年。对正在编列明年设备预算的工厂，这是两个不同的时间：展会上能看到参考展品，采购后何时能在产线上启用还取决于正式产品交付安排。[1]
工厂过去常把安全监测放在交换机镜像口、工业防火墙或车间汇聚层。这样的布置看得见很多网络会话，却未必知道控制器本机是否接入U盘、软件版本有无变化，或一条异常告警最终对应哪台机械上的哪个维护动作。三菱电机想把观察点往设备里面挪。不过，观察点靠近执行机构以后，安全人员能否“隔离”“删除”，就成了生产人员必须一起回答的问题。设备侧多一个观察点有用，但真正决定这套方案能否进产线的，是异常信息交给谁、谁可以触发处置，以及设备当时处于什么运行状态。
这次发布到底交付了什么
三菱电机的措辞是“已开发方案”，不是“已在客户厂房大规模部署”。方案将作为Nozomi Arc的扩展，在截至2028年3月的财年商业推出。公司计划将其部署到更多OT产品，并向设备与机械制造商提供；目前公开的是方向和参考展示安排，不能据此推算每个PLC、CNC或机器人控制器都支持安装。[1]
公开列出的能力倒相当具体：监测U盘使用，识别恶意软件，提供隔离与清除，管理软件状态；设备事件还可连接Nozomi的OT/IoT资产可视化与威胁检测产品，供人员集中查看设备状态、通信和异常。[1] 这里有两层工作：设备本机识别文件、外设与软件变化；管理侧把单点记录放回产线的设备关系里。只有前一层，值班员可能知道“有恶意文件”，却不知道受影响设备正在加工什么；只有后一层，网络上没出现的本地操作仍可能漏掉。
Nozomi既有产品说明了为何不能把“设备内置”当成从零开始。其Arc端点产品页将检测、隔离、删除分为不同响应模式，并列出USB/HID监测、用户行为关联及资产状态采集。[2] 另一个Arc Embedded产品页还列出已经支持的三菱电机MELSEC iQ-R系列PLC，着重观察控制器内部状态、程序逻辑变化和低层通信。[3] 这是既有产品的公开范围；不能据此认定10月22日宣布的新方案已在全部设备上商用，更不能把Arc Embedded所有能力逐项写成新方案的确定交付项。向供方询价时，要索取具体型号、固件版本、功能清单及上市时间，别把同品牌的几张产品页拼成一张验收表。
一次维护操作，为什么容易变成两套解释
设想一台机床在换班间隙由维护工程师插入U盘更新加工程序。机床操作员看到的是经批准的程序版本切换；安全系统可能看到新外设、未知文件及与以往不同的写入动作。若只是网络侧监测，事件细节可能不完整；若控制器内的监测组件立即阻断，设备又可能停在不便恢复的状态。这个场景是假设的验收用例，不是三菱电机披露的客户事故。
这类误判不靠调高一个“灵敏度”就能解决。机床厂家、集成商、终端工厂往往各自维护一套变更记录：谁批准了文件，是否核验签名或散列值，程序装载后做了什么空跑，回退镜像保存在何处。安全告警若没有工单号、设备编号、时间同步信息和当班状态，值班员很难判断它是在追踪未授权篡改，还是在把正常维护标成攻击。设备侧数据可以缩短定位链条，但前提是先把这些现场字段接进流程。
Nozomi Arc的公开产品页把“仅检测”“隔离”“删除”明确区分。[2] 这种区分在OT现场比按钮名称更重要。隔离可疑文件和阻断控制器的生产通信不是同一个动作；清除文件也不能无条件等同于可安全恢复。采购测试应要求厂商逐项演示：动作发生在文件、进程还是网络接口；异常时组件是否会重启；控制器脱网期间如何留存日志；日志回传后会不会触发补发处置。特别是“删除”，原则上先用测试件验证误报、备份和回滚条件，再决定是否开放给生产设备。不能拿企业办公电脑的自动处置策略直接覆盖机床。
不只测能否抓到告警，还要测它如何失败
将传感器放入设备内部，意味着它与控制任务分享处理器、内存、存储及软件升级窗口。Nozomi对Arc端点的说明也承认传统IT端点代理未必适合算力、内存受限的OT设备。[2] 但对某一款控制器究竟增加多少负载，目前不能从发布稿推出来。验收应由设备供方给出软硬件兼容矩阵，再在相同程序、相同周期任务和最差负载下测：控制周期抖动、程序切换时延、日志占用，以及启用监测前后的差异。把安全组件装上去之后，运动控制的最坏时序是否仍在设备允许范围内，比平均CPU使用率更有说服力。
还得做三组故障演练。第一组让管理平台断联，看设备能否继续按原有控制逻辑运行、本地事件保存多久、断联期间谁有权限操作。第二组模拟监测组件升级失败，确认控制器的回退路径和恢复时间。第三组用已批准的维护U盘、误标的签名样本以及真正不允许的文件分别触发检测，比较误报和漏报，再核对告警是否带有足够证据。这些是企业应设计的测试，不是厂商已经公布的测试结果。
网络分区、账户最小权限、可靠备份和独立的功能安全链仍需保留。嵌入式监测更容易看到设备内部变化，但它本身也需要更新、管理凭证和向外发送遥测。若将安全管理通道与生产控制通道混接，或让单个远程账户既能改扫描策略又能改控制程序，新的可见性也会增加新的管理面。NIST于2023年发布的《OT安全指南》专门讨论OT系统的性能、可靠性和安全约束；用它给项目做风险检查，比照搬办公网端点安装率更贴近产线。[4]
一条告警究竟应当给谁看
安全平台里出现“程序逻辑发生变化”，它本身还不是事故结论。假如这条事件发生在一台加工中心换刀后重新调用加工程序的时刻，现场要先核对变更请求、控制器上的实际程序版本和机床运行状态。告警可能指向未经授权的逻辑修改，也可能只是监测规则没有识别约定的维护窗口。值班安全工程师可以负责归并设备事件与账户活动；工艺工程师必须判断该次变化会不会改变刀具路径、夹具动作或零件检验要求。两人的判断若无法在同一条事件记录中留痕，所谓“统一可视化”就只统一了屏幕。
事件分级最好按可验证的后果来定，而非照搬办公网的恶意软件等级。比如，未知U盘插入但未执行文件，可以先冻结取证材料并联系当班维护人；控制程序校验值在无工单时改变，则要暂停下一次程序下发，核对机床的安全停机条件，再由指定人员决定是否复产。这里的“暂停下发”也只是建议的企业流程，不是三菱电机宣称已经实现的自动动作。对于连续流程或正在加工不可中断零件的设备，甚至同样的安全事件也可能需要不同的响应时点。
采购验证还应查事件的时间戳、留存和导出格式。控制器、机床HMI、安全平台以及工单系统若时钟相差数分钟，一次维护行为就可能被重排成可疑的因果链。试点时用已知时间的正常变更去校时，检查链路中哪些字段被转译、哪些字段丢失；让夜班值班员而不只是厂商工程师读一遍导出的事件，看看能否凭记录独立复现判断。否则产品演示里的“看得见”，很难变成投产后的“查得清”。
一次试点怎么量出收益
如果试点只报出“发现了多少条威胁”，设备侧方案会天然偏向制造告警。更值得记录的是每类事件从发生到定位设备、查清维护人、完成工艺核对所花的时间。企业可以挑选已有日志的一台设备作对照，先让维护工程师按正常步骤执行一轮程序更新，分别查看网络侧记录与设备侧记录缺了什么；再做离线U盘接入与未批准版本替换的受控演练。全程保留告警原始字段和审核意见。若事件看起来更丰富，却需要另外雇人天天解释误报，试点并未证明运营成本降低。
还要问设备停机成本由谁承担。报价通常容易算传感器许可费，难算安装窗口、控制器兼容测试、平台存储和夜间值守。设备管理部门可把原有的计划检修窗口纳入测试，不为证明安全效果临时插入额外的生产停机；财务测算则把告警复核工时、误处置损失和缩短定位时间带来的收益分开列。报告里可以说“在某条线缩短了查因时间”，不要直接推导“全厂事故率下降”。试点没有遇到真实攻击，并不能给后一句话提供分母。
当设备换代时，这套记录仍应能迁移。工厂有可能先买到支持传感器的新设备，旁边仍运行十年前的PLC。平台界面若把缺少本机采集的老设备显示成“零告警”，就会制造一种虚假的安全感。资产台账应该明确注明哪些设备只有网络可见性，哪些拥有本机遥测，哪些因资源限制只能在检修时离线核查。把覆盖率按“能看见什么”拆开写，比画一张全绿的产线地图诚实得多。
合同里要写明处置责任
设备厂家可以在设计阶段提供传感器接口和签名校验能力；集成商负责把设备资产号、维护工单与监测平台对齐；终端工厂则要指定谁能改规则、谁能在夜班确认隔离。三方责任若只写“满足OT安全要求”，投产后的第一次误报就会暴露空白。更实用的合同附件是两份表：一份按设备型号列出可采集字段、可执行动作、资源占用和升级前置条件；另一份按动作列出批准人、禁止时段、回退方案和留痕要求。
先选一台不承担连续生产瓶颈、但有真实维护活动的设备做试点。测试开始前冻结固件与工艺程序基线，记录设备正常周期和停机原因；试点期间让安全系统先以只检测模式运行，现场复核每条较高等级告警。待误报、脱网与升级回退演练通过，再讨论是否开放隔离。这样的顺序可避免尚未验证的安全动作成为新的停机源。
第二个容易遗漏的对象是机床供应商自己的维修通道。服务人员远程接入或现场拷入程序时，设备侧传感器能记录部分痕迹，却不能替工厂决定身份验证、授权期限与事后核对。服务合同应要求供方提供漏洞告知渠道、受影响版本清单、修复与停机窗口建议，并约定无法立即打补丁时的缓解办法。三菱电机的发布稿提到欧洲《网络韧性法案》等法规带来的需求，[1] 但一家工厂是否承担哪项法定义务，仍取决于具体产品角色和销售市场，不能由一则新品新闻替代合规判断。
因此，明年的设备选型问卷可以少问一句“是否支持网络安全”，多问四件事：传感器能装在哪些具体版本；故障时设备怎样继续运行；每一种处置动作由谁签字；数据如何对应生产工单并接受复盘。三菱电机把监测能力往控制器里推进，确实给了工厂一个更近的观察点。接下来要证明的，是这个观察点在一次普通的周末维护和一次高等级异常里，都不会让安全人员与机床操作员各自只看见一半事实。
资料来源
[1] Mitsubishi Electric, “Mitsubishi Electric Develops New OT Security Solution for Industrial Equipment”, 2026-10-22. https://www.mitsubishielectric.com/en/pr/2026/1022_di/
[2] Nozomi Networks, “Nozomi Arc” 产品页，网页未标发布日期，核验于2026-10-22。https://www.nozominetworks.com/platform/arc
[3] Nozomi Networks, “Arc Embedded” 产品页，网页未标发布日期，核验于2026-10-22。https://www.nozominetworks.com/platform/arc-embedded
[4] NIST, “SP 800-82 Rev. 3, Guide to Operational Technology (OT) Security”, 2023-09。https://csrc.nist.gov/pubs/sp/800/82/r3/final
配图为概念示意。