02 · 物理控制的分类、动作顺序与设备失效管理

Domain 3（安全架构与工程）· Ch10 物理安全 · 第 2 篇

① 一句话秒懂

物理安全不是”装几把锁”那么简单，它分管理/技术/实体三类，而且该按”威慑→拒绝→检测→拖延→判定→决策”的固定顺序层层生效。

② 生活类比

把物理安全想象成机场安检流水线：先靠”禁止闯入”标语威慑（deter），再用闸机拒绝无票者（deny），金属探测发现藏刀（detect），防爆门拖延引爆（delay），安保判定情况（determine），最后决定逮捕或疏散（decide）。少任何一环，整条防线就有缝。

③ 核心概念（大白话 + 原书定义）

1. 物理控制的三种分类 原书指出”physical”一词其实不够准确，这组控制更该叫”facility（设施）控制”，因为它包含政策、人员、计算机技术和实体屏障。

管理型（Administrative）：设施建设与选址、场地管理、建筑设计、人员管控、意识培训、应急响应流程。
技术型（Technical）：门禁系统、入侵检测、警报、监控摄像头、HVAC、供电、火灾探测与抑制。
实体型（Physical）：围栏、照明、锁、建材、人阱（person trap）、警犬、警卫。

2. 安全控制动作顺序（Order of Operations） 部署时应按功能顺序叠加，任一环节失败由下一环兜底：

Deter（威慑） — 边界限制让意图者却步；
Deny（拒绝） — 锁好的保险库门直接阻断接触；
Detect（检测） — 运动传感器发现入侵；
Delay（拖延） — 线缆锁等设备拖慢攻击者，争取响应时间；
Determine（判定） — 安保/执法评估事件原因；
Decide（决策） — 据此决定抓捕或取证。

线缆锁（cable lock）价值不在”锁死”，而在”强行撬锁会留下明显损坏痕迹，使销赃变难”，从而增加盗窃成本。

3. 设备失效（Equipment Failure）管理

AIW（可允许中断窗口）/ SDO（服务交付目标）/ MTD/MTO（最大可容忍停机） 用于量化每个资产的关键程度（详见 Ch3、Ch18）。
MTTF（平均失效前时间）：特定环境下设备的典型功能寿命，应在到期前计划更换。
MTTR（平均修复时间）：完成一次修复的平均时长。
MTBF（平均故障间隔）：首次故障与后续故障间的时间；若与 MTTF 相近，厂商常只列 MTTF。
SLA（服务等级协议）：无法现场备件时，与硬件厂商约定故障响应时间。
原则：等到彻底报废才更换是不可接受的安全实践；维修期间需备用设备/方案兜底。

④ 真实案例

某医院核心交换机过保后仍未更换，某夜电源模块 MTTF 到期失效，因无现场备件、厂商 SLA 响应需 48 小时，挂号系统停摆半天。事后审计发现：该设备 AIW 实际为 0（不容许中断），却未配置冗余与备件——典型的”等设备彻底坏才换”反例。

⑤ 考试怎么考

三类控制（管理/技术/实体）的归属常考：门禁系统=技术，围栏=实体，培训=管理。
动作六步顺序（deter→deny→detect→delay→determine→decide）几乎必考排序题。
MTTF（寿命，到期前换）vs MTTR（修复时长）vs MTBF（故障间隔）定义区分是经典单选。
线缆锁的作用考”增加盗窃成本/留下痕迹”，不是”绝对防偷”。
“等彻底故障才更换”是错误做法。

⑥ 记忆口诀

“管技实，三分清；威拒检拖判决，六步行。” M 三兄弟：TTF（活多久，先换）、TTR（修多久）、TBF（隔多久）； 备件 SLA 兜底线，等坏才换是大忌。

⑦ 自测

物理控制分哪三类？请给出每类各一例。
动作顺序六步的英文与中文各是什么？
MTTF、MTTR、MTBF 分别衡量什么？为何要在 MTTF 到期前更换？
AIW、SDO、MTD 在设备失效管理中的作用是什么？
线缆锁（cable lock）真正的安全价值是什么？