Bently Nevada 针对 Orbit 60 发布了两种不同的 IEC/ISA-62443 表述，二者不可互换。2021 年第一季度的 Orbit 文章称，在可能的范围内，Orbit 60 的设计目标是满足安全等级 4（该标准的最高等级）。2021 年 12 月的数据安全文章称，该系统「正在依据 IEC 62443-4-2 安全等级（SL）2 进行认证，并在架构上设计为可达到安全等级（SL）4」。当前的数据手册完全没有标注任何安全等级编号，只写明「Designed to meet IEC 62443-4-2」（设计符合 IEC 62443-4-2）。因此 SL4 是架构目标，SL2 是认证目标，而两种表述都不是已经到手的证书。
由 TenBN 编辑团队撰写 · 更新于 2026 年 11 月 3 日 · 全文约 14 分钟阅读
简要回答
Orbit 60 的网络安全能力确实存在，但最醒目的等级数字并不是一条可以直接粘贴进 62443 差距分析的合规声明。真正决定该平台能为贵方带来什么的，是以下三点。
第一，对某个组件真正有意义的安全等级是 SL-C：即组件在正确配置时能够提供的能力。SL-C 会经过测试，并可选择进行认证；而「架构上设计为可达到」只是一句关于余量的设计表述，不是测试结果。第二，已获专利的 aXess 路径只隔离一条特定边界：在同一机架内，把保护功能与状态监测功能相互隔离。它并没有把状态监测端口与贵方的业务网络隔离开，且 Communications Gateway 在设计上是双向的。第三，对规格编制方而言，有用的问题不是「它是不是 SL4？」，而是「每个模块声称的 SL-C 是什么、证书范围是什么、每个模块被允许接入哪个网络？」
如果贵方正把 Orbit 60 作为标准平台，请索取各模块的 SL-C 声明和证书编号。如果贵方运行的是3500 机械保护系统，以上内容都不会改变贵方的义务：在较早的平台上，隔离工作完全落在贵方的网络设计中，这正是我们3500 支持状态与 Orbit 60 对比的主题。
厂商的三种表述，以及各自承诺了什么
Bently Nevada 自身的资料中，针对 Orbit 60 与 IEC/ISA-62443 有三项不同的声明。它们面向不同的读者，在审计中的分量也各不相同。
| 表述 | 来源 | 它承诺了什么 | 它没有说明什么 |
|---|---|---|---|
| 「在可能的范围内，我们把 Orbit 60 设计为符合 IEC/ISA-62443 标准的安全等级 4（最高等级）」 | Orbit 60 系列 Update: Cyber Secure Condition Monitoring!，2021 年第一季度 | 设计意图，并带有明确限定：「在可能的范围内」 | 未指明哪些模块、哪个要求向量，以及针对哪个经过测试的等级 |
| 「Orbit 60 正在依据 IEC 62443-4-2 安全等级（SL）2 进行认证，并在架构上设计为可达到安全等级（SL）4」 | Orbit 60: a data secure condition monitoring system，2021 年 12 月 21 日 | 一个具名的认证目标（SL2），外加一个独立的架构上限（SL4） | 认证是否已完成；「正在认证」只是一句过程性表述 |
| 「Designed to meet IEC 62443-4-2」/「Aligned to the IEC 62443-4-2 standard」 | 系统数据手册 137M5182、CMM 数据手册 145M9028 Rev. D、PPM 数据手册 142M8515 | 与组件技术要求标准保持一致 | 数据手册中完全没有出现任何安全等级编号 |
按顺序来看，这三种表述是逐层收窄而非互相矛盾。2021 年那份通讯措辞最宽泛，2021 年 12 月的博客最精确，而数据手册才是采购方实际会被据此追责的文件。当营销材料与数据手册不一致时，最终进入物料清单的是数据手册。
SL-T、SL-C、SL-I、SL-A：决定一项声明能否被测试的词汇
围绕 Orbit 60 与 62443 的大部分困惑，源于用词混淆而非工程缺陷。IEC 62443 用「安全等级」一词指代五种不同的东西，而其中只有一种适用于贵方采购的设备。
| 术语 | 适用对象 | 由谁设定 | 以何种形式可验证 |
|---|---|---|---|
| SL-T（目标） | 系统中的某个分区（zone）或导管（conduit） | 资产所有者，依据风险评估 | 贵方安全需求规范中的一条 |
| SL-C（能力） | 某个组件，依据 IEC 62443-4-2 | 制造商，随后是测试实验室 | 一份载明范围的测试报告或证书 |
| SL-I（已实现） | 按当前配置运行的系统 | 集成商 | 对照 62443-3-3 要求矩阵的配置证据 |
| SL-A（已达成） | 经评估后的系统 | 评估方 | 一份 62443-2-4 或 -3-3 评估报告 |
| ML（成熟度等级） | 开发商的流程，依据 62443-4-1 | 制造商，随后是审核方 | 一次安全开发生命周期审计 |
「架构上设计为可达到 SL4」是关于 SL-C 余量的表述。它说的是该设计原则上能够满足 SL4 的要求向量，但并没有说该要求向量经过了测试、有实验室予以认可，或证书已经存在。标准的组件这一侧有两条都重要：62443-4-1 规定产品如何被开发，62443-4-2 规定产品在技术上做什么，二者分别认证。
该标准还把组件分为四类：嵌入式设备、主机设备、网络设备和软件应用。每一类都有自己的要求集，因此不带组件类型的 SL-C 声明在各厂商之间无法相互比较。Orbit 60 至少横跨其中两类：保护与监测硬件属于嵌入式设备，而 Orbit Studio 加上 System 1 接口属于软件。
四个安全等级实际防御的是什么
IEC 62443-1-3 依据各等级所假定的攻击者来定义等级，而非依据功能数量。要判断「最高等级」对于控制室里的一台振动监测仪究竟意味着什么，这才是诚实的方式。
| 等级 | 标准原文中的威胁模型 | 对保护机架意味着什么 |
|---|---|---|
| SL1 | 防范无意或偶然的违规 | 覆盖误操作：接错的线缆、拔掉笔记本电脑、误触改动了设定点 |
| SL2 | 以简单手段、低资源、通用技能、低动机实施的有意违规 | 覆盖机会性扫描、默认凭据，以及蔓延到控制室的通用恶意软件 |
| SL3 | 以复杂手段、中等资源、IACS 专门技能、中等动机实施的有意违规 | 覆盖一个读过协议文档、并以贵方工艺为目标的攻击者 |
| SL4 | 以复杂手段、充裕资源、IACS 专门技能、高动机实施的有意违规 | 覆盖针对这一设备类别、资金充足、持续且有针对性的攻击行动 |
把 SL4 通俗地解释为「防范国家级攻击者」，来自关于威胁主体的评述，而非规范性条文；它也是一个有用的对照，用来看一句设计表述离一张证书有多远：SL3 与 SL4 的要求向量会把身份认证和密钥保护下推到硬件，并要求在所有网络（而非仅不可信网络）上启用多因子认证。
为了说明这些证书有多罕见：在 62443-4-2 下取得 SL2 认证，到了 2026 年仍然是可以发新闻稿的素材——KUKA 在 2026 年 7 月宣布成为该标准下首家持有 SL2 证书的机器人制造商，ARC Informatique 在 2026 年 4 月宣布为 PcVue 17 取得 SL2 证书。若有一台机械保护机架持有第三方 SL4 证书，那将是该品类的首例。截至本文撰写时，我们在任何注册库、厂商产品页或其数据手册中，都没有找到 Orbit 60 已公布的 62443 证书。
aXess 实际隔离的是什么
aXess 这项声明是 Orbit 60 安全叙事中最有实质内容的部分，而且它是硬件层面的声明，不是配置层面的声明。摘自 Orbit 60 手册：
「我们称之为 Orbit aXess 技术。它让保护功能与状态监测功能共存于同一机架、共用同一套 I/O，却彼此完全独立地运行。保护组件能够发布其数据，供状态监测系统取用，但中间没有任何允许数据从状态监测组件回流到保护组件的物理电路板走线。数据只朝一个方向流动，而且仅朝这一个方向，没有任何数字握手。它就像一只二极管——只是更好。而且它已获得专利。」
有三个特性使它值得写进规格。其一，屏障是印刷电路板的走线布局，因此不会像防火墙规则那样被配置错误。其二，没有数字握手，因此保护侧不存在监听回传报文的协议栈。其三，由于两项功能共用同一套 I/O，这种隔离不需要第二组传感器或第二套布线，而这正是传统「保护加监测」架构容易失守的地方。
厂商也明确指出，这不是传统的数据二极管，而这一点背后的原因很重要：「数据二极管之所以高效，在于它排除了任何入站通信，只允许出站。然而这种单向设计是有代价的：它意味着无法对状态监测系统进行实时在线更改。因此，数据二极管在保护保护系统免受入侵的同时，也阻止了人们访问状态监测功能。我们的 aXess 技术实现的是保护系统与状态监测功能之间的隔离——而不是状态监测功能与外部世界之间的隔离。」
三条边界，其中只有一条是二极管
在把「内置数据二极管」写进合规矩阵之前，应当先读这一节。Orbit 60 至少有三个不同的网络边界，而那句营销话术恰好只描述了其中之一。
| 边界 | 涉及的模块 | 方向 | 可从何处访问 | 仍属于贵方的部分 |
|---|---|---|---|---|
| 机架内部，从保护到状态监测 | 保护组件与 CMM 之间的 aXess 路径 | 单向，无数字握手，由走线布局强制 | 从监测侧无法寻址 | 无：这是该平台的硬件特性 |
| 从状态监测到业务网络 | CMM，经由一个网络安全访问端口，含两个可独立配置的 RJ-45 以太网端口 | 双向：System 1 可以配置 CMM 抽取哪些数据 | 按厂商自己的措辞，即 L4 业务网络 | 网络分段、访问控制列表、主机加固、凭据与监测 |
| 从过程控制到机架 | Communications Gateway（CGW） | 设计上双向：发送数据、状态与设定点；接收 inhibit、reset、trip multiply 等控制命令 | 控制网络、DCS 与历史数据库 | 防火墙或 DMZ 策略、控制路径的授权、变更管理 |
| 工程与配置访问 | System Interface Module（SIM）与 Orbit Studio，通信经 TLS 加密 | 双向 | 工程网络与控制室网络 | 多因子认证、角色分离、固件来源与补丁 |
如果一家工厂把「内置数据二极管」理解为覆盖了第二行和第三行，那就是把一种设计属性误当成了一种网络架构。CMM 在设计上就是为了让业务网络能够访问的：这正是它的意义所在，也正是 Orbit 60 可以去掉那条独立的、有线 3500 工厂所需的状态监测网关的原因，例如接在机架与历史数据库之间的3500/92 通信网关。CGW 在设计上就是要接受控制命令的。两者都是正当的设计，但都不是二极管。
不过，实际的结果是有利的。由于单向属性位于第一条边界上，即便状态监测那一侧完全可访问、完全可配置，保护功能仍能保持其完整性。贵方可以在一个普通的 OT VLAN 上运行监测端口，而不会削弱跳闸路径——这恰恰是传统二极管部署常常处理失当的那个取舍。
多个 CMM，以及数据手册支持的说法
状态监测模块（CMM）负责把 aXess 数据引入业务网络，它有意不是保护装置。CMM 数据手册（145M9028 Rev. D）写明：“它只监听、不具备写入能力，允许通过业务网络与 System 1 接口连接，对保护系统没有风险。”
这句话常被引用成 CMM 对所有人只读，事实并非如此。“不具备写入能力”描述的是背板关系：CMM 不能向保护路径写入。System 1 仍可配置 CMM 本身，因为手册同时写明“System 1 可以配置 CMM 模块，从系统传感器数据中提取额外的测量值和波形”。这一只读保证是方向性的，不是绝对的。
在数量与安装位置上，数据手册有明确说法：每个模块占一个槽位，且“安装多个 CMM 模块，可以让两个独立的 System 1 客户端接入 Bently Nevada Orbit 60 系统”。宣传手册补充了多装的理由：用多个 CMM 换取更多处理能力。每个模块还提供两个可独立配置的以太网口，与主机的链路中断时由非易失存储缓存历史数据，正因如此，不稳定的业务网络路径才不会演变成数据完整性问题。
| 模块 | 角色 | 触及的网络域 | 安全状态 |
|---|---|---|---|
| SIM（系统接口模块） | 单个 SIM 定义一个最多 64 个动态通道的系统，是配置与维护的接入点 | 工程与配置路径 | 对标 IEC 62443-4-2，通信经 TLS 加密；钥匙锁开关与公用工程侧触点从物理上保护配置 |
| PPM（保护处理器模块） | 执行保护计算；建议冗余成对配置 | 仅保护侧 | 提供 SIL 2 选项；按厂商安全资料可支持 SIL 3 |
| CMM（状态监测模块） | 监听背板，向 System 1 提供服务 | 业务网络，经网络安全接入端口 | 明确为非 SIL：不干扰安全系统 |
| CGW（通信网关） | 交换数据、状态与设定值；接收闭锁、复位和跳闸倍增命令 | 控制网络与历史数据库 | 位于控制路径中，应按控制系统节点对待 |
| BRG（桥接模块） | 连接各机箱，包括分布式布置 | 系统内部 | 将同样的隔离延伸到跨机箱之间 |
| ISM（集成系统模块） | 在一个槽位内取代独立的 SIM、PPM 与 CGW：系统接口加保护处理加工业通信 | 配置、保护与通信路径 | 按其数据手册，对标 IEC 62443-4-2 |
CMM 自己的数据手册把安全定位说得很直白：“该组件不干扰安全系统。系统的 SIL 2 认证并不要求该组件取得 SIL 认证。”这是一种有用的不对称：连接能力都集中在监测路径上，而它有意处在经认证的安全功能之外。同样的职责分离，使得Ranger Pro这类无线传感器能在完全不触及跳闸路径的情况下提供趋势数据。
机箱内有一项控制常被低估。SIM 在公共侧有一个钥匙锁开关，在公用工程侧有一个触点，任一项都可用来锁定系统配置、防止未授权改动。按 62443 的术语，这是配置路径上的物理防护控制，以硬件实现，即使网络被攻破它依然有效。如果您的规程让它长期处于解锁位置，这项控制就毫无价值；请把它锁定的状态列入交接班检查表。
审核方能验证什么，以及应向厂商索取的材料
前述各节的论断都是设计声明。下面的清单关乎如何把声明变成证据，也是合规规格书与宣传手册的分界。
| 索取项 | 为什么重要 | 可接受的证据 |
|---|---|---|
| 逐模块的 SL-C 声明 | 安全级别是针对组件的声明，不是产品族的声明 | 写明模块、组件类型与要求向量的声明 |
| 证书编号、签发机构、范围与有效期 | 设计声明与证书是两类不同的文件 | 可向实验室查证的证书，而非数据手册里的一句话 |
| 62443-4-1 成熟度等级 | 过程保证说明固件缺陷如何在用户发现之前被找到 | 开发生命周期的审核凭证 |
| 加固指南与默认配置 | SL-C 以正确配置为前提，默认配置往往达不到 | 列出已禁用服务、开放端口与默认账户的文档 |
| 各模块的端口与服务清单 | CMM 的两个 RJ-45 端口在控制室中就是物理攻击面 | 按网络端口记录所运行服务的文档 |
| 软件物料清单与补丁公告订阅 | 62443-2-4 的维护义务贯穿机柜整个寿命 | SBOM 加公告订阅渠道 |
| 每个模块设计上会触及哪些网络 | 区域与管道设计以此为前提 | 区分 CMM、CGW 与 SIM 路径的架构图 |
最后一个问题要尽早提出。状态监测端口与控制网关的区别，是从投标清单到调试图纸之间最容易被丢掉的一环，也正是决定保护网络是否真正与历史数据库隔离的一环。
哪些事项仍归厂方负责
Orbit 60 减少了设计上的工作量，却推不掉责任。即使平台按 SL4 架构设计，仍有四项留在资产所有者一侧。
区域与管道设计。IEC 62443-3-2 按数据关键性和威胁划分区域，按数据穿越方式划分管道。机柜只是区域内部件，不能替代这套模型。CGW 是承载控制命令的管道，需要与其他任何控制系统链路同等对待。
“在可行范围内”的例外。厂商自己的保留措辞等于承认某些要求向量并非处处满足，而这些例外并未公开。应在自己的装置上把它们找出来：测试 CMM 的以太网口是否会接受未授权主机、未使用的服务是否已关闭、监测侧的配置改动是否生成审计记录。
监测路径上的身份与访问。由于 System 1 可以重新配置 CMM，业务网络上的凭据决定了谁能改动机器数据呈现的样子。这不会触发跳闸，却可能掩盖一个正在发展的故障，而后者正是保护项目中真正要紧的失效模式。
物理访问。每个监测模块带两个活动以太网口、放在控制室的机柜，与同一机柜锁在分隔机箱内的暴露面完全不同。aXess 设计保护跳闸路径免受该端口之扰，却不会保护您的数据或历史数据库免受同一端口之扰。
这对仍在使用 3500 的厂方意味着什么
3500 平台早于 62443-4-2 组件标准，其安全态势完全取决于围绕它构建的网络。这是可控的局面，不是缺陷，也因此长期支持规划必须与网络设计一并完成。我们的3500 PCBA 刷新与长期支持一文讲硬件一侧，支持状态对比一文讲该统一到哪个平台。
在 3500 机柜上，Orbit 60 那些边界的等价物要由您自己布置：网络边缘放3500/92 通信网关，背板数据由3500/20 机架接口模块承载，若需从机柜捕捉瞬态波形则用3500/22M 瞬态数据接口，跳闸输出必须硬接线的场合用3500/32 继电器模块，再以3500/05 系统机架和3500/15 电源把机箱配齐。
传感器侧，同一批变送器供两套平台使用，这正是不要匆忙迁移的现实论据：背后的机架换掉后，3300 XL 8 mm 电涡流探头、330400 加速度传感器或330500 Velomitor并不会变成安全负担。对较小的资产，选1900/65A或2300/20监测器，无需完整机架也能有站得住脚的网络足迹；风电资产则有自己的路径，即60M100 状态监测器。
当平台选择实质上是应用问题时，我们的燃气轮机监测、汽轮机监测、压缩机状态监测与石化机组保护指南分别说明了保护隔离在各场景下能换来什么，3500 系列概述则用同样的口径记录了旧架构。
经得起审查的采购订单措辞
如果在一个已有 IEC 62443 计划的装置里指定 Orbit 60，下面三句话能把厂商的声明与自身的义务各自放到对的位置。
“对报价配置中的每个模块，供方应声明其所声称的 IEC 62443-4-2 安全能力等级（SL-C），并给出所采用的组件类型划分。任何宣称产品按某一安全级别设计或架构的表述，不得替代逐模块的 SL-C 声明。”
“若报价的任何模块存在第三方 62443-4-2 证书，供方应提供证书编号、签发机构、适用范围与到期日期。不存在证书时应明确写出，不得靠推断。”
“机柜内机组保护功能与状态监测功能之间的隔离，不得视为买方区域与管道设计的替代。所有双向路径，包括通往控制网络和历史数据库的通信网关，均应按管道予以记录并施以相应保护。”
这三行字同样可作为考察竞争平台的尽职调查测试，因为其中多数平台回答不了第一条。
常见问题
Orbit 60 是否已获 IEC 62443 安全等级 4 认证？
目前没有已公布的证书如此说明。Bently Nevada 表示 Orbit 60 在可能的范围内被设计为符合安全等级 4，并于 2021 年 12 月称该系统正依据 IEC 62443-4-2 安全等级 2 进行认证，同时在架构上设计为可达到等级 4。当前的数据手册只写明该平台设计符合 IEC 62443-4-2，未给出任何等级编号。在有人提供证书编号之前，请把 SL4 视为设计目标、SL2 视为认证目标。
Orbit 60 的数据二极管实际保护的是什么？
一条边界：在同一机架内，从状态监测功能回流到保护功能的那条路径。aXess 设计省去了会让数据沿此方向传输的电路板走线，且不使用数字握手，因此从监测侧无法触达保护路径。它并不会把状态监测端口与贵方的业务网络隔离开。
aXess 能否取代 Orbit 60 与工厂网络之间的防火墙？
不能。aXess 在机架内部把保护与状态监测相互隔离。状态监测模块在设计上就是用来连接业务网络的，而 Communications Gateway 会与控制系统和历史数据库交换数据、状态与设定点，并接收 inhibit、reset、trip multiply 等命令。这两条路径仍然需要贵方自行完成分区（zone）与导管（conduit）设计。
一个 Orbit 60 系统可以安装多个 CMM 吗？
可以。每个状态监测模块占用一个插槽，数据手册指出安装多个 CMM 模块即可连接两个独立的 System 1 客户端。手册还补充说，多个 CMM 可用于提供更强的处理能力，且每个模块提供两个可独立配置的以太网端口。
状态监测模块是否属于安全功能的一部分？
不属于。其数据手册说明该组件与安全系统互不干扰，且系统的 SIL 2 认证并不要求 CMM 本身通过 SIL 认证。它监听背板并为 System 1 提供服务，不具备向保护路径写入的能力。
SL-C、SL-T 与 SL-A 之间有什么区别？
SL-C 是组件在正确配置下、依据 IEC 62443-4-2 所声称的能力等级。SL-T 是资产所有者为某个分区或导管设定的目标等级。SL-A 是经过评估后一个已部署系统实际达成的等级。组件证书本身并不能说明贵方系统达成的等级，后者取决于配置与网络设计。
安全等级 4 是否意味着能防范国家级攻击者？
这种说法来自关于威胁主体的评述，而非规范性定义。IEC 62443-1-3 把 SL4 定义为防范以复杂手段、充裕资源、IACS 专门技能和高动机实施的有意违规。在实际中，它把身份认证与密钥保护下推到硬件，并要求在所有网络上启用多因子认证。
我们运行的是 3500 系统，这些内容会改变我们的义务吗？
不会直接影响。3500 平台早于 62443-4-2 组件标准，因此隔离、过滤与访问控制都实现在贵方的网络设计中，而不是机架内部。实际要做的工作是记录清楚哪个节点从控制网络跨越到机架，通常是一个通信网关，并对该路径进行加固。
相关阅读
Orbit 60 事实清单：100× 处理能力、65 个通道、体积减半 —— 2025 年事实清单宣称了什么，以及它与系统数据手册不一致之处。
Orbit 60 Q4 更新：80 种输入卡精简为 10 种 —— 同一平台的模块与备件视角，含 CGW、CMM 与桥接输出路径。
Cordant 设备：Bently Nevada 首页改版意味着什么 —— 谁在为这些硬件提供支持，订购备件前要先核对什么。
Bently Nevada System 1 迎来 20 周年 —— CMM 端口另一端的主机软件。
Bently Nevada 的 AI 机器健康服务 —— 状态监测数据离开机架之后会怎样。
来源与方法
本文把 Bently Nevada 自己的表述对照其所引用标准的结构来解读，指出差距而不加以抹平。厂商材料一律按厂商材料引用。
Bently Nevada，《Orbit 60 系列更新：网络安全的状态监测！》，2021 年第一季度。Bently Nevada，《Orbit 60：数据安全的状态监测系统》，2021 年 12 月 21 日。Bently Nevada，Orbit 60 系列产品页面。Bently Nevada，《Orbit 60 系列手册》（文档 1312）。Bently Nevada，《Orbit 60 系列系统数据手册》137M5182。Bently Nevada，《Orbit 60 系列状态监测模块数据手册》145M9028 Rev. D。Bently Nevada，《Orbit 60 系列保护处理器模块数据手册》142M8515。Baker Hughes 新闻稿，《BHGE 旗下 Bently Nevada 业务发布 Orbit 60 系列》，2019 年 9 月 10 日。IEC 62443-1-3 安全级别定义以及 SL-T、SL-C、SL-I、SL-A 的区分。KUKA，《机器人领域首家按 IEC 62443-4-2 通过安全级别 2 认证》，2026 年 7 月。ARC Informatique，PcVue 17 获 IEC 62443-4-2 SL2 证书的公告，2026 年 4 月。
编者按：安全级别声明、认证状态与模块适用范围，在写入合规矩阵或采购订单之前，应以现行数据手册版本和厂商的证书文件加以确认。截至 2026 年 11 月 3 日，我们未找到 Orbit 60 公开的第三方 62443 证书；若此后已有证书颁发，认证目标与范围将不同于本文的描述。
