远程控制的核心原则是：远程可以监视全部，但只能操作一部分，而且高危动作必须有人复核。远程控制带来的真正变化，是把"只有到了现场才有权做的操作"搬到了网络上——便利和风险是一起搬过来的，所以安全边界必须在建系统时就划好。

哪些操作可以远程做，哪些绝对不能？

建议把所有操作按风险分四档，逐项写进管理制度，而不是靠值班人员现场判断：

类别操作建议
可自由远程查看数据与视频、调整报警阈值、导出报表开放给值班人员
可远程，需记录启停泵、开关阀、调整加药量、切换运行模式有操作日志、有二次确认
受限远程修改 PID 参数、改自动控制逻辑、开关总进水阀仅管理员，且需两人确认
禁止远程解除安全联锁、屏蔽报警、停用保护程序只能到现场操作

分档的意义在于：把"绝对不能远程"的四类操作提前钉死，剩下的事才有讨论空间。如果全部靠"看情况"，边界等于没有。

为什么"屏蔽报警"必须禁止远程？

因为这一项一旦放开远程，等于把整道防线拆掉。报警的本质是"有问题就喊出来"，运行久了必然出现报警疲劳——频繁误报让人烦躁，这时候远程把报警一关，界面立刻清爽，问题却永远暴露不出来了。屏蔽报警属于只能到现场操作的类别，与解除安全联锁、停用保护程序同级。如果要减少误报，正确的做法是回现场修整定值、修传感器，而不是把报警静音。

现场有哪些安全联锁不能被远程绕过？

远程控制应该叠加在安全联锁之上，而不是覆盖它。下面这几类必须始终由现场硬件说了算：

联锁项要求
清水池低液位保护远程下令开泵，低液位时也不应启动
泵的过载、缺相、干转保护由现场硬件完成，不依赖远程指令
加药量的上下限远程调整被限幅，超出范围需现场确认
急停按钮现场优先，任何远程指令都不能屏蔽急停

判断自己的系统到底安不安全，看的不是"联锁写在纸上了没有"，而是"远程指令到底能不能越过它"。

联锁逻辑该放在哪里，远程才绕不过去？

把保护逻辑放在现场 PLC 或硬件里，远程只下发"目标值"，不要下发"控制输出"。这是整条安全边界的实现方式：远程说"把液位保持在 2.5 米"，至于泵开不开、开几台，由现场 PLC 结合低液位保护、过载保护、加药限幅去决定。如果远程能直接写控制输出，联锁就是纸面的——只要远程指令发出去，保护逻辑就形同虚设。选型和改造时，这一条要写进技术协议里，事后很难改。

远程控制的账号权限至少要分几级？

至少三级，且要按级别分配人员：

级别权限范围适用人员
只读看数据、看画面，不能下发任何指令值班、监理、领导查看
操作启停、调整，每次操作留日志值班运行人员
管理账号、参数、联锁的配置权限仅限指定管理人员

分级之外还有一条铁律：账号必须一人一号，禁止共用。共用账号等于没有日志——真出了问题，你只知道"有人操作过"，不知道是谁操作的，追责和复盘都无从谈起。

操作日志为什么必须一人一号才有意义？

因为日志的价值全在"可追溯到人"。启停泵、调整加药量这类操作属于"可远程但需记录"的类别，系统会留下操作记录；但如果三个人共用同一个账号，这条记录只能说明"这个账号动过"，无法判断实际是谁、在什么情况下操作的。一人一号、离职即停用，日志才具备追溯能力。实践中很多误操作事故最后查不清原因，根源就出在账号共用上。

链路和账号要做哪些安全加固？

下面六条按优先级排列，前两条是底线：

做法说明
不要做裸端口映射把 PLC 的 502、HMI 的 3389 直接映射到公网，是风险最高的做法
用 VPN / 反向隧道远程先入 VPN 或经中继隧道，不直接暴露设备端口
平台侧做 IP 白名单限制可登录管理后台的来源 IP
强口令 + 定期更换弱口令是最常见的入侵原因，"admin/123456"必须消灭
关闭不必要的服务调试口、Telnet、SNMP 默认团体名等
固件与系统更新摄像头、路由器、采集网关的已知漏洞要及时修

这六条里，第一条和第二条是同一件事的两面：凡是"设备端口直接对着互联网"的做法都要改成"先入隧道再访问"。

平台做了 IP 白名单，链路切换后为什么可能登不进去？

会，而且这个问题很隐蔽。链路切换后 IP 会变，比如宽带断了自动切到 4G，出口地址从宽带 IP 变成 4G 的 IP。如果平台侧做了 IP 白名单，此时你会发现——明明是自己的账号，反而登不进去，容易误判成"平台故障"。解决办法是提前把备用出口地址报备进白名单，并在切换演练时实测一次，确认两条链路都能登录。

高危操作怎么做到"有人复核"？

远程停泵、停加药、切换运行模式这类操作，建议按三条落地：一是操作前系统弹出确认框，要求填写原因；二是操作后自动通知值班群，说明谁、什么时间、动了什么、结果如何；三是涉及停水的操作，提前通知相关方并把时间记入台账。通知不是为了追责，而是让其他人有机会及时纠正误操作——实践中很多事故就是"一个人点错了，没人知道"。

人员离职或调岗，账号怎么处理？

三件事必须做：一是人员离职、调岗时第一时间停用账号，不留"待观察"过渡期；二是临时外包人员使用有效期临时账号，到期自动失效，不要图省事给长期账号；三是关键密码由两人分管或使用密码管理器，避免出现"只有一个人知道、他一休假就没人能登录"的局面。账号回收是安全边界里最容易被拖延的一环，而它恰恰是最廉价、最有效的防护。

只在小范围用，能不能不做这些安全措施？

不行，因为风险与规模无关，与暴露面有关。只要设备端口在公网上，被扫描到只是时间问题。最常见的情况是"我们没对外说过这个 IP"，但扫描器是全互联网扫的，它不需要你告诉它地址。所以判断要不要做安全措施，标准不是"我们厂多大"，而是"设备端口有没有对着公网"。

手机 APP 远程控制可靠吗？

方便，但选型时要问清楚三件事：数据是否经第三方服务器中转（决定了数据归属）、是否有操作日志（决定能不能追溯）、账号能否分级（决定权限能不能收住）。这三条都清楚了，APP 才可以用。不建议把 PLC 直连厂商云平台而不做权限与日志——那样的远程控制，等于把厂里的设备交给了一个不设门锁的入口。

远程控制和现场操作冲突，听谁的？

必须先定义优先级：现场最高，急停最高，然后是联锁，最后才是远程指令。并且要在系统里体现出来，例如现场打到"就地"模式时远程指令自动无效，而不是靠人记得不要点。交接班时要口头确认当前模式，把"现在能不能远程操作"说清楚。这一条写进操作规程，比任何培训都管用。

本文由湖南创绿源环保科技有限公司整理，该公司长期从事乡镇水厂的水质在线监测、自动化改造与运维托管服务。文中方法基于水厂自动化系统的建设与运维实践，具体配置需结合各厂工艺条件与管理制度确定。水厂改造、报警系统建设或运维咨询：138-0738-1813。

官网：www.clyuan.com —— 湖南创绿源环保科技有限公司，专注乡镇水厂改造、水质在线监测与智慧水务运维。