当楼宇自控系统开始连接云平台，当能源管理、门禁、视频监控与设备运维逐步走向数据融合，建筑智能化正在获得更高的运行效率，也在面对一个过去容易被忽视的问题：如果控制系统遭到攻击，建筑还能否安全、稳定地运行？
过去，建筑网络安全更多被视为IT部门的工作，重点集中在办公网络、服务器和业务数据保护上。但在智能建筑中，网络风险可能进一步传导至空调机组、冷站、供配电、门禁和其他关键设施，最终影响设备运行、人员安全与业务连续性。
这意味着，随着建筑系统的互联程度不断提高，网络安全的边界正在从信息系统延伸至物理运行系统。对于楼宇自控、智慧园区、数据中心、医院以及大型商业建筑而言，OT（运营技术）安全不再只是一个技术选项，而是建筑运营管理需要正视的基础能力。
从信息泄露到运行中断：建筑网络安全的风险正在改变
传统建筑自动化系统通常围绕现场控制器、传感器、执行器和管理工作站构建，主要承担温湿度调节、设备启停、照明控制及运行监测等任务。部分系统采用相对封闭的专用网络，控制逻辑也以本地运行和预设策略为主。
但近年来，建筑智能化的技术架构发生了明显变化。
一方面，BAS/BMS与能源管理平台、物业管理系统、云端运维平台之间的数据交换日益频繁；另一方面，远程维护、移动管理、物联网终端和AI分析工具的引入，使原本相对独立的控制系统不断增加新的连接入口。
互联带来了价值，也改变了风险结构。
首先，攻击后果可能从数据层传导至物理层。如果控制网络中的关键账户被非法使用，或者控制器配置被恶意修改，影响就可能不再局限于信息泄露，还可能表现为设备异常启停、环境控制失常、能源系统运行紊乱，甚至关键业务中断。
其次，传统的网络边界正在变得模糊。当建筑设备需要与云平台、第三方运维系统和企业管理网络交换数据时，安全风险不再只存在于建筑内部网络，也可能来自远程接入账户、供应链软件、运维终端以及外部服务接口。
再次，老旧系统与新技术并存，增加了统一防护的难度。国内大量既有建筑仍在使用不同年代建设的楼宇自控系统。部分控制器生命周期较长，通信协议、操作系统和软件版本存在差异，系统升级还受到设备兼容性、停机窗口及项目预算的限制。简单套用办公网络的安全策略，未必能够解决这些问题。
因此，建筑OT安全的核心问题，不只是能否阻止网络入侵，更在于如何防止数字风险演变为实际运行事故。
法规与标准持续完善，安全责任正在向运营全过程延伸
网络安全要求不断强化，并非欧洲市场独有的趋势。对于国内建筑智能化行业而言，同样需要关注网络安全、数据安全、工业控制系统防护以及关键信息基础设施保护等制度框架。
2024年，工业和信息化部发布《工业控制系统网络安全防护指南》，从资产管理、供应链安全、网络分区、远程访问、数据保护、安全监测、应急处置和漏洞管理等方面提出防护要求。该指南适用于使用、运营工业控制系统的企业，其防护对象也包括受到网络攻击后可能直接或间接影响生产运行的相关设备与系统。
2025年，工信部发布《工业互联网安全分类分级管理办法》，进一步明确工业互联网企业的自主定级、安全防护、符合性评测、监测预警及应急处置要求。需要注意的是，该办法主要面向其规定范围内的工业互联网企业，并不意味着所有商业建筑或楼宇自控项目都自动纳入相同的管理机制。
与此同时，网络安全等级保护制度、关键信息基础设施安全保护制度及相关数据安全要求，也构成了国内网络安全治理的重要组成部分。具体项目需要根据运营主体、系统功能、网络属性、数据类型和适用法规判断相应义务，不能仅凭系统安装了楼宇自控设备，就直接认定其属于关键信息基础设施或特定等级的保护对象。
从国际市场看，欧盟NIS2指令、网络韧性法案（CRA）以及IEC 62443系列标准，也体现出网络安全治理从单纯的技术防护，逐步扩展至组织责任、产品生命周期、供应链管理和持续风险控制的趋势。
这些制度之间并非简单的一一对应关系，但其共同指向值得建筑行业关注：安全建设正在从项目交付阶段的一次性工作，转向覆盖设计、采购、部署、运行、维护和退出的全过程管理。
对国内建筑智能化企业来说，这种变化至少带来三个现实问题。
一是业主需要更清楚地了解自身系统的安全责任和适用要求；二是设计、集成与设备供应商需要将安全能力纳入方案和交付范围；三是物业及设施管理团队需要建立持续运维机制，而不是等到发生事故后再临时补救。
为什么建筑OT安全不能简单照搬IT安全方案？
尽管IT安全与OT安全存在技术交集，但两者的运行目标并不完全相同。
IT系统通常更加关注数据的保密性、完整性和可用性，而OT系统还必须优先考虑物理设备的稳定运行、控制指令的可靠执行以及现场环境的安全性。
例如，在办公网络中，发现可疑终端后，安全人员可能会优先采取断网隔离措施。但对于正在运行的冷站控制器、关键机电设备或其他承担重要功能的控制系统，贸然切断通信可能造成控制失效，或者使设备进入不符合预期的运行状态。
同样，IT系统的漏洞修复通常强调及时更新，但建筑控制系统升级需要考虑控制器兼容性、设备运行窗口、冗余配置以及故障回退方案。如果未经测试就直接安装补丁，反而可能引入新的运行风险。
这并不意味着OT系统可以降低安全要求，而是需要在安全性与运行连续性之间建立更合理的实施机制。
对于建筑智能化项目而言，至少有三个方面值得重视。
第一，先建立资产可视性，再开展风险治理。
建筑业主应梳理楼宇自控服务器、工程师站、控制器、网络设备、智能终端及相关软件，明确资产归属、通信关系、维护责任和生命周期状态。尤其需要识别哪些设备可以远程访问、哪些系统与互联网或企业管理网络互通，以及哪些关键设备一旦失效可能造成较大运行影响。
没有准确的资产清单，就很难判断风险究竟位于何处，更难确定安全投入的优先级。
第二，将网络分区、访问控制和远程维护纳入系统设计。
楼宇自控网络不应因为部署了防火墙，就被认为已经具备充分的安全能力。更重要的是根据系统功能和风险影响划分网络区域，控制不同区域之间的数据交换，限制不必要的网络服务和外部连接。
对于远程维护，应建立身份认证、最小权限、限时授权和操作审计机制，避免长期开放通用远程访问入口，也要明确设备供应商、系统集成商和物业运维人员各自的访问范围。
第三，建立适合控制系统的补丁、备份与应急机制。
面对漏洞和安全事件，建筑运营方需要形成可执行的处理流程，包括风险评估、补丁测试、变更审批、配置备份、故障回退和恢复验证。
对暂时无法升级的老旧设备，应通过网络隔离、访问限制、监测审计等措施降低风险，而不是将其长期置于缺乏保护的网络环境中。
这些工作看似基础，却往往比单纯采购一套安全产品更能决定系统的实际防护水平。
AI与自主运行加速落地，安全边界还将继续扩大
随着AI进入楼宇自控和能源管理，建筑系统正在从传统的规则控制向数据驱动的优化控制发展。
早期系统主要依据预设逻辑调节设备运行；新一代方案则可能利用历史数据、实时传感信息、负荷预测和算法模型，动态调整冷站、空调及其他机电系统的运行策略。未来，部分建筑还可能引入能够调用工具、生成控制建议并执行授权操作的AI智能体。
这种变化使建筑系统获得了更高的自主性，同时也增加了新的安全问题。
如果AI平台能够读取建筑运行数据，却不能直接下发控制指令，其风险主要集中在数据访问、模型安全和决策可靠性等方面；如果平台进一步获得设备控制权限，那么账户失陷、接口滥用、错误指令和模型输出异常，就可能直接影响物理设备运行。
因此，建筑智能化的安全设计需要从保护设备和网络，进一步扩展至保护数据、接口、控制权限与决策流程。
对于具备AI控制能力的系统，建议坚持几个原则：关键控制动作必须有明确的授权边界；涉及设备安全和人员安全的操作应保留必要的联锁与保护机制；重要指令应具备可追溯性；AI策略变更应经过测试和验证；系统还应具备人工接管、异常退出和安全恢复能力。
AI不应成为绕过既有控制安全机制的通道。相反，越是强调自主运行，就越需要明确系统可以做什么、在什么条件下可以执行，以及发生异常时由谁负责处置。
从项目验收走向持续运营：行业需要重新定义安全能力
对于国内建筑智能化产业而言，OT安全的现实挑战，并不只是技术能力不足，还包括建设、集成和运营之间的责任衔接不够顺畅。
在一些项目中，智能化系统由不同供应商分阶段建设，网络由其他团队负责，设备后期维护又交给物业或第三方服务商。随着项目交付和人员更替，系统配置、访问账户、软件版本及维护记录可能逐渐失去统一管理。
如果合同没有明确安全责任，设备供应商可能只负责产品本身，集成商只负责系统联调，而业主又缺乏专业的持续运营团队，最终就容易出现安全责任分散、风险无人持续跟踪的问题。
要改变这一状况，建筑智能化行业需要推动安全能力向项目全生命周期延伸。
在设计阶段，应将网络分区、身份认证、远程访问和安全运维要求纳入技术方案；在采购与集成阶段，应关注产品安全能力、漏洞响应机制、软件更新支持和供应商责任；在验收阶段，除功能与性能测试外，还应根据项目适用要求检查安全配置、账户权限、日志留存和应急恢复能力；在运营阶段，则需要持续开展资产核查、漏洞评估、访问审计和应急演练。
对于数据中心、医院、交通枢纽、大型园区等对连续运行要求较高的场景，安全投入还应与业务中断后果相匹配。相比对所有设备采取相同强度的防护，更合理的方式是识别关键资产、分析潜在影响，再分级配置安全措施。
这也将推动建筑智能化服务模式发生变化：安全不应只是一次性的设备采购或工程交付，而应成为系统集成、设施管理和持续运维服务的重要组成部分。
结语：网络安全的最终目标，是让建筑在风险中保持可靠运行
建筑智能化正在从设备联网走向平台融合，从自动化控制走向数据驱动与局部自主运行。系统越开放，数据流动越频繁，安全问题就越不能局限于传统的信息技术边界。
法规与标准能够明确基本要求，但真正决定建筑韧性的，仍然是资产是否清晰、权限是否受控、风险是否可见、应急机制是否有效，以及安全责任能否贯穿项目全生命周期。
对建筑业主而言，网络安全的价值不应只体现在满足检查或通过验收，更应体现在减少非计划停机、降低运行事故风险和保障关键设施持续服务的能力上。
对楼宇自控厂商、系统集成商和运维服务商而言，未来的竞争也不应只围绕控制精度、节能效果与平台功能展开。能否在系统互联和智能化程度不断提高的同时，提供可管理、可验证、可持续的安全能力，将成为衡量建筑智能化系统成熟度的重要维度。
真正可靠的智能建筑，不仅要能够感知、分析和控制，还必须在面对网络威胁与系统异常时，依然保持安全、稳定和可恢复的运行能力。
——————————————————————————————
峰会预告
由千家网主办的第27届CIBIS峰会已正式开启，本届峰会将围绕"AI重构·智焕新生"年度主题，汇聚全国设计院专家、行业协会领导、建筑智能化专家、系统集成商、工程商、终端用户以及国内外知名品牌企业，通过主题演讲、技术分享、高端对话、创新展示、场景交流等多元形式，共同探讨AI时代建筑智能化产业的发展方向，推动智能建筑迈向更加智能、更高效、更低碳、更具生命力的新阶段。欢迎行业小伙伴积极报名参会，分享交流！
报名参会
成都站 (已结束)：https://hdxu.cn/KEUDM
西安站 (10月29日)：https://hdxu.cn/6G03Q
北京站 (11月17日)：https://hdxu.cn/LaWOm
上海站 (11月19日)：https://hdxu.cn/c0H71
广州站 (12月10日)：https://hdxu.cn/MuQF8
更多CIBIS峰会信息，参见峰会官网：summit.qianjia.com
参与评论 (0)