——不是“防同事”，是防“手滑+误触+心大”三重暴击
大家好，我是速捷工控（晋江速捷自动化科技有限公司）——一家从2017年冬天起就在福建晋江埋头修PLC、救触摸屏、撬数控锁的“工业急诊科医生”。不卖情怀，只交货；不画饼，但能把你停机8小时的选煤机，连人带屏带逻辑一起扶起来。
所以今天咱不聊风花雪月，聊点硬核又接地气的：为什么一台选煤机的显示界面，非得设密码？
不是厂长想当“密码守门人”，也不是工程师故弄玄虚——而是现实太扎心，教训太深刻。
1.1 煤炭洗选自动化进程中的信息安全挑战：越智能，越怕“一键归零”
选煤厂早不是当年靠老师傅听筛子声、看煤水流速的年代了。现在一条主洗线，DCS集控、PLC逻辑、变频调速、密度检测、自动配煤……全靠一块触摸屏或HMI界面“指尖调度”。
听起来很酷？是挺酷——直到某天，新来的实习生顺手点了下“参数全清”按钮，而那个按钮，恰好没加密码，也没二次确认弹窗。
自动化程度越高，人机交互路径就越短；路径越短，误操作的“杀伤半径”就越大。
更麻烦的是：很多老系统用的还是WinCE嵌入式平台、定制化HMI固件，连个基础的用户权限模块都是“后期焊上去”的——相当于给金库装了个弹簧锁，钥匙还挂在门把手上。
这不是危言耸听。我们去年在山西某千万吨级选煤厂做系统巡检时发现：3台主控HMI中，有2台管理员密码仍是出厂默认“123456”，第3台的“高级设置”菜单干脆被隐藏了——但没禁用，只是图标变灰。结果？一位电工师傅长按屏幕5秒，“灰图标”自己亮了……
1.2 显示界面未授权操作引发的安全事故典型案例：真·手滑致停产
来，上几个真实案例（已脱敏，但细节保真）：
🔹 案例A｜参数误调 → 密度失控 → 精煤报废
某陕北选煤厂，重介旋流器密度设定值本应为1.42g/cm³，因操作员误入工程师菜单，将PID积分时间从120s改成12s，系统响应过激，密度瞬时飙至1.51，连续3小时精煤灰分超标，当班产量作废——损失超27万元。事后查日志：操作账号是“Operator_001”，密码是贴在控制柜内侧的便利贴：“admin123”。
🔹 案例B｜停机失控 → 带料急停 → 设备损伤
内蒙古某矿井配套选煤系统，HMI“紧急停机”按钮未设权限隔离。保洁阿姨擦屏时肘部误触该区域（没错，就是那个红底白叉图标），整条原煤输送链+跳汰机+压滤系统连锁停机。重启耗时47分钟，皮带机堵料导致滚筒过热变形，维修费+停产损失近18万。
🔹 案例C｜数据篡改 → 报表失真 → 安监通报
贵州某国企选煤厂，环保监测数据显示“日均粉尘浓度0.8mg/m³”，远低于限值。后经第三方审计发现：该数值来自HMI手动录入界面，且无修改留痕。实际在线监测仪读数为12.3mg/m³——因夜班人员嫌自动上传延迟，习惯性“人工修正”。最终被煤监局约谈整改，安全评级降级。
你看，密码不是为了制造障碍，而是给“确定性”加一道保险栓——让每一次关键操作，都可追溯、可验证、可兜底。
1.3 国家标准与煤矿安全规程：不是建议，是红线
别再说“我们厂小，不用那么较真”。真较真起来，法规比你还较真：
✅ AQ 1010—2005《煤矿机电设备检修质量标准》 明确要求：
> “人机交互终端应具备用户分级管理功能，关键参数修改、设备启停、系统复位等操作须经身份认证后方可执行。”
✅ GB/T 38659.2—2020《智能制造系统功能安全 第2部分：工业自动化人机界面安全要求》 更进一步：
> “HMI应支持至少三级权限管理；密码策略须包含复杂度要求、失效周期（≤90天）、连续失败锁定（≥5次即锁定≥15分钟）；所有权限操作必须生成不可篡改的审计日志。”
顺便说一句：这两份文件，不是“推荐参考”，而是煤矿安全生产标准化评审的否决项。
——也就是说，检查组翻你HMI权限设置，发现没分级、没日志、密码永不过期？直接扣分，严重者一票否决。
而我们速捷工控干啥？
不替你背锅，但能帮你把“合规”变成“省心”：
✔ 支持西门子KTP/TP系列、昆仑通态MCGS、威纶MT系列等主流HMI的原厂级解密+权限重建（哪怕程序丢了、密码忘了、固件锁死了）；
✔ 能根据AQ/GB标准，为你定制三级密码模板+审计日志导出方案，连Excel格式都帮你调好（适配安监平台上传）；
✔ 更重要的是——我们修过的选煤系统，超过127套，没一例因HMI权限漏洞被通报。不是运气好，是流程卡得死。
毕竟，在煤炭行业，安全不是KPI，是底线；密码不是形式主义，是最后一道物理隔离。
下节预告：《密码怎么设才不被绕过？——多级权限不是“设仨密码”，而是建一套工业级访问控制逻辑》
（悄悄说：我们连“动态验证码”都做成Modbus寄存器级联动，不怕断网，也不怕重启丢密钥）
——速捷工控，修得了PLC，也守得住你的HMI入口。
——不是“设仨密码”，是给每只手配一把尺寸不同的钥匙
大家好，我是速捷工控（晋江速捷自动化科技有限公司），一家从2017年12月起就在福建晋江修PLC、救HMI、撬数控锁的“工业权限管家”。不吹加密算法多玄乎，但敢说：我们见过太多“三级密码”——一级叫‘能点’，二级叫‘能调’，三级叫‘能删’，结果三把钥匙全是同一把锯齿片，插哪儿都转得动。
所以这一节，咱不讲PPT里的“RBAC模型”和“OAuth2.0流程图”，就聊真正在选煤厂现场跑得通、扛得住、查得清的——密码怎么分层？怎么防绕过？怎么让PLC说‘你没资格’，而不是‘你点吧，我试试看’？
2.1 多级权限体系构建：操作员/技术员/管理员，不是头衔，是功能防火墙
先泼一盆冷水：很多选煤厂的“三级密码”，本质是“三级心理安慰”。
比如：
- 操作员密码能启停设备、切换模式；
- 技术员密码能改PID参数、调报警阈值；
- 管理员密码……能进“系统设置”里把前三行字改成“欢迎光临”，然后退出。
这不行。真正的分级，得像煤矿巷道里的风门——前门开了，后门必须关死；你进了调度室，不代表能拆PLC背板。
我们在山西、陕西、内蒙古累计重建的132套选煤HMI权限系统，统一采用「功能栅格化+指令白名单」双约束逻辑：
| 角色 | 允许操作（示例） | 明确禁止（硬性拦截） |
|---|---|---|
| 操作员 | 启停单台设备、切换运行/待机状态、确认报警、查看实时趋势 | ❌ 修改任何设定值 ❌ 进入参数页 ❌ 调用“复位所有报警”按钮 |
| 技术员 | 调整密度设定、修改刮板频率、下载/上传部分组态、导出8小时内历史数据 | ❌ 修改PLC IP地址 ❌ 清空审计日志 ❌ 更改用户权限表本身 |
| 管理员 | 新增用户、重置密码、配置Modbus通信参数、启用/禁用远程维护通道、导出全量审计日志（含操作时间+IP+操作项） | ❌ 直接写入PLC DB块 ❌ 绕过OPC UA认证直连控制器 ❌ 关闭日志记录功能 |
💡 关键细节：
- 所有权限判断不在HMI端“软判断”，而是由PLC内部安全逻辑块（如西门子SCL编写的AUTH_CHECK_DB）实时校验——HMI发来的每一条写指令，PLC先查权限ID再执行；
- 即便HMI程序被反编译、密码被暴力破解，只要PLC侧未授权，指令直接丢弃，不报错、不响应、不留痕（避免暴露漏洞路径）；
- 我们为某央企选煤厂做的升级中，甚至把“管理员密码输入框”做了动态位移+随机掩码干扰——每次点击位置不同，键盘映射实时刷新，防录屏、防按键记录。
✅ 速捷实操提示：
别信“HMI自带权限模块就能搞定”。国产某主流品牌HMI的“管理员密码”，后台明文存Flash里，用JTAG调试器5分钟读出来。
我们的做法？把权限校验逻辑下沉到PLC，HMI只负责“传话”，不负责“拍板”——它再透明，也管不了PLC的嘴。
2.2 安全增强实践：不是加个验证码就叫“高安全”，是让攻击者觉得“不如去修皮带”
密码设得再密，挡不住连续试、录屏看、贴便利贴。真正的好防护，得让“省事”变成“找罪受”。我们现场验证过的三项“反人性但有效”的增强设计：
🔹 动态验证码（非短信！不联网！）
- 基于PLC系统时钟+当前用户ID哈希生成6位动态码，每90秒刷新；
- 输入框集成在HMI密码界面右侧，同步显示倒计时+校验位（如“237841｜剩0:42”）；
- 关键：该码不走网络，不依赖服务器，纯本地PLC运算生成，断网、断电重启后仍可同步——毕竟选煤厂PLC柜旁，可没有5G信号满格。
✅ 已落地：陕西榆林某智能洗选中心，成功阻断3次“用旧密码+录屏回放”的越权尝试。
🔹 输入失败锁定（带温度感知的冷静期）
- 连续输错3次？锁定该账号15分钟；
- 但更狠的是：连续5次跨账号错误（如Operator、Tech、Admin全试一遍）？触发PLC级“静默模式”——所有HMI写指令暂停30分钟，仅保留读取和报警推送。
- 锁定期间，HMI屏幕右下角显示灰色小字：“安全策略生效中｜剩余时间：XX:XX”，不提示具体原因，也不给重试按钮——防社工试探。
✅ 实测效果：某厂技改后，HMI误操作投诉下降76%，而“密码忘了”求助量只升了2%（说明真需要的人，知道怎么找我们）。
🔹 审计日志：不是记“谁点了啥”，是记“谁在什么条件下点了啥”
我们的日志模板长这样（已脱敏）：
[2024-06-11 14:23:07] [Tech_087] [IP:192.168.1.22]
→ 修改重介密度设定值：1.42 → 1.43 (原值校验通过)
→ PLC反馈：DB12.DBW4 updated | AUTH_OK | LOG_SEQ=8821
→ HMI界面截图已缓存（本地SD卡，加密存储）
⚠️ 注意：
- 日志强制写入PLC独立数据块+HMI本地SD卡双备份，删日志=删PLC程序块，物理成本极高；
- 支持一键导出CSV，字段对齐安监平台要求（AQ 1010附录D格式）；
- 更绝的是：我们给某客户加了“操作热力图”功能——后台自动统计高频误触区域（比如“紧急停机”按钮周边5mm内，每月被误触17次），直接推动UI重设计。
2.3 与PLC/DCS系统的集成方式：握手不是客套，是“身份核验+密钥交换”的工业级见面礼
HMI设密码再严，如果跟PLC之间是“裸奔通信”，那就像给金库门装指纹锁，却留着后窗没关。我们坚持一个原则：权限链，必须从HMI界面，一路焊死到PLC底层。
🔧 主流集成方案实测对比：
| 方式 | 是否推荐 | 关键缺陷 | 速捷解决方案 |
|---|---|---|---|
| Modbus TCP明文通信 | ❌ 拒绝 | 密码随指令明文传输，Wireshark抓包5分钟破译 | ✅ 自研Modbus Secure Layer：在标准协议上叠加轻量级AES-128加密头，密钥由PLC生成并周期更新，HMI仅作透传 |
| OPC UA基础认证 | ⚠️ 基础够用 | 默认用户名/密码易爆破，证书管理复杂，老DCS常不支持 | ✅ OPC UA + PLC侧硬件安全模块（HSM）绑定：登录时PLC生成临时Token，HMI需回传签名，断网也能验，重启不丢密钥 |
| 自定义TCP心跳鉴权 | ✅ 推荐 | 完全可控，无第三方依赖，适配老旧系统 | ✅ 已封装成通用FB块（西门子/汇川/台达均适配），10行代码接入，支持“心跳失败自动降权至只读” |
📌 真实案例：
我们在宁夏某智能化选煤厂做DCS-HMI升级时，发现原系统用Modbus TCP直连主控PLC，所有参数写指令裸奔。我们没换协议栈，而是：
1. 在PLC侧插入一块速捷定制安全协处理器（基于STM32H7，国密SM4加密）；
2. HMI所有写请求先经协处理器加签，PLC收到后验签通过才执行；
3. 整个过程对原有HMI组态零修改，仅升级固件+加载新驱动——客户说：“就像给老车加了个隐形ABS，踩刹车还是那个脚感，但再也不怕打滑了。”
本节结语：
密码保护，从来不是“设个锁”，而是重构人、机、系统之间的信任链路。
操作员不该为“怕按错”而缩手缩脚，工程师不该为“怕被删库”而半夜改密码，安监人员更不该为“查不清谁干的”而翻十小时日志。
而速捷工控能做的？
✔ 不卖“高大上概念”，只交付可审计、可验证、可追溯的权限落地包；
✔ 支持西门子、昆仑通态、威纶、汇川等全品牌HMI与主流PLC的深度权限耦合（哪怕你用的是停产十年的欧姆龙NS系列）；
✔ 更关键的是——我们修过的每一台选煤HMI，权限系统都经过72小时压力测试+3轮交叉审计，确保“锁得住、查得清、兜得底”。
下节预告：《运维管理优化与常见问题应对策略——当密码忘了、权限崩了、同事说‘我真没动过’时，怎么办？》
（剧透：我们有个“双因子应急解锁U盾”，插上PLC USB口，按三下，30秒恢复管理员权限——但会自动生成一份带GPS定位的应急操作报告，发到厂长手机上。）
——速捷工控，不教你怎么设密码，只帮你让密码真正“管用”。
[ ] □ HMI登录页无默认账号提示（如“试用账号：test/123456”）
[ ] □ PLC变量表中无明文密码字段（搜索“pass”“key”“pwd”零结果）
[ ] □ 审计日志开启且存储≥30天（检查SD卡剩余空间＞20%）
[ ] □ 操作员账号≠技术员账号≠管理员账号（账号数≥3，禁用“admin”“operator”等通用名）
[ ] □ 应急U盾已激活并存放于调度室保险柜（扫码验证可通信）
标签： 选煤机HMI密码保护实施方案 煤矿选煤系统三级权限设置标准 PLC与HMI联动权限校验技术 选煤厂HMI动态验证码离线生成方法 符合AQ1010标准的选煤设备操作审计日志配置