【工业互联网】思科大中华区网络安全事业部技术总监徐洪涛：工业互联网的安全防护思路…

　　徐洪涛：各位大家好，很高兴站在这里。因为从思科内部来讲，物联网、工业互联网的安全是几个主要的发展方向，今天也有这个机会在这里能够跟大家一起共享一下思科在这个方面的一些理念和一些观点。前面听了包括陆局和几位嘉宾的演讲感觉受益匪浅，应该讲我是来对地方了，前面包括苗博士、殷总讲的都是一些干货。我想跟大家分享一下思科在物联网安全上的一些见解，可能从我们面临的威胁开始到思科针对物联网的一些解决方案到的一些技术。

　　整个物联网三个主要要素，我们讲有IT、办公网络，像数据中心、园区网，OT、制造型企业网络、工控网络，也有CT，消费电子网络。这几个不同的网络，不同元素之间其实它们的分割界限会有些模糊，它们之间不管从终端的制造厂商、种类，他们的操作系统，补丁更新的频率到网络上他们使用的协议，它们的流量模型其实都有不同的地方，所以针对不同的IT、OT、CT我们要采用不同的方式来进行安全的防护。

　　近几年我们也听到越来越多的针对工业互联网上的一些安全事件，应该讲每一个工业互联网上的安全事件它造成的损失都是蛮巨大的。这个原因多方面，首先工业互联网上的设备从根本上来讲我们大家基本上都采用一些思路，很多漏洞没有办法及时修补，包括当我这个工业互联网设备中了一些病毒的时候我们就没有发现它，发现威胁的时间比较长，造成工业互联网设备越来越多成为黑客攻击的一个目标，当工业互联网设备被攻击的以后我们看到很多的工控网络遭到了破坏，工控网络被别人控制了，甚至我的机器被别人控制，成为别人下一步工具的跳板。

　　从大面上来讲思科做工业互联网安全的思路主要分为四个大的方面，这个其实跟我们做IT网络的安全也有一些异曲同工的地方。

　　第一，可见性，所谓可见才可以可控，可见性我们需要了解一些什么样的内容？之前看到一个IP地址就觉得这个我了解，这个我想远远不够，我们要知道工控网络当中到底有哪些设备，这些设备是什么样的厂商，什么样的操作系统，什么样的漏洞，它的流量模型，它的应有都是哪些，知道这些以后可能真正能做到对工控网络有了一个全面的了解。

　　第二，分区隔离，知道我内网当中有哪些设备，而这些设备属于什么样的组别，属于什么样的安全级别，我可以对它进行一个安全分区。我知道了我的流量的模型，知道了我的应用，知道了我这个流量当中有没有一些恶意的风险，我可以根据这些再做一个动态的分区，当某一个我很清楚知道某某一个工业互联网终端中了恶意软件，我可以动态的分割到一个感染区，在这个区域进行重点排查，这是所谓的隔离和控制，基于终端，基于行为做写控制。

　　第三，更多的我要做一些实时的威胁的防御，这个其实也是工业互联网所面临的另一个方面。我们在2017年思科的年度安全报告当中也看到一点，就是在工业互联网领域其实我们面临最多的威胁，一个就是恶意软件，其实你会看到很多安全事件它的罪魁祸首都是所谓的恶意软件，通过这个控制工业互联网当中的某一台机器，某一台设备，从而给我造成更大的损失。僵尸网络，僵尸网络就是帮助黑客控制我的主机，所以威胁防御可能僵尸网络和恶意软件是我们两个重点要做得事情。

　　第四，有了可见、可控和威胁的防御，我就可以实现一个全面的针对工业互联网的一个安全访问。

　　这是四个我们要重点考虑的地方。

　　具体到详细的技术我这里面也做了两个例子，一个例子相当于IoT设备的报警和遥感信息，传给中央控台，在这期间需要哪些具体技术实现，也是刚才讲的可见、可控、威胁防御和安全访问四个方面，我分别需要相同的技术来实现，包括首先要了解IoT设备到底是什么样子，有一个准确的设备认证，然后会有设备分区，设备流量的分析，包括安全情报的过滤等等，最后防火墙入侵防御这些平台，最后可以把这些信息传给中央的控台。对于远程工程师配备设备，不同的业务流程需要不同的技术上的实现。

　　下面几页胶片我可能就具体把技术上的实现简单给大家过一下，思科在可见、可控、重点防御上我们重点推出一些技术来防御工业互联网遇到的问题。可见很重要，如果不了解你的网络根本没有谈防护，所以我们在讲可见，可见我们有一个很重要的概念叫情景感知，情景感知就是我真的要全面了解这个终端它面临的一个整体的情况。比如说我这儿有一个摄像头，传统意义上我可能就知道这是一个IP地址，这对我们来讲不够。我们要看到更多，首先看到这是一个什么样的摄像头，它用的什么样的操作系统，这个操作系统上是不是有些补丁，有些漏洞，然后它处在什么位置，它处在几楼，在什么工厂，它做得主要工作是什么，它在什么时候上线，通过什么样的方式上线，有线无线方式上线，最近有没有遇到一些什么样的威胁，这些信息全部知道以后可以准确把它定义到底应该放在哪个分区里，这个是所谓的情景感知，真正了解这台设备。

　　这是一个静态的情景感知，这个设备一定发出很多流量，发出很多应用的连接，这个时候我要做一个动态的跟行为结合的感知，这个设备放出一个流量，它的流量模型到底是不是正常，然后它发出的一些应用的访问到底符不符合这个设备应该做的？比如说一个摄像头突然在它机地址上出现了邮件的发送，就可能出现问题了，就不符合这个摄像头应该有的一个流量的模型，所以你要把静态的情景感知动态的行为感知结合在一起，最后来看这个摄像头或者这个IoT设备到底应该有一个什么样的分区和权限。

　　有了全面的感知第二步要做得就是权限多分配或者说设备的隔离，这个隔离可能有多种技术实现，最通用的技术就是用网络设备来做这个设备的隔离，不同的网络设备比如像思科来讲大家常见的基于虚拟交换机的隔离、VLan的隔离等等，这些都是对不同的终端进行分区的技术手段，技术手段是一方面，对于它隔离的依据就是全面的可见性。隔离其实跟前面苗博士讲的P2DR的模型也是有些呼应的部分，这个隔离一定是动态的隔离，当你发现它存在一些安全隐患或者安全事件，你要做得就是立马把这个动态的终端隔离在相应的区域里面，这就是所谓的分区隔离。

　　分区隔离好了以后其实对我们的用户来讲我们的好处就是可能整个攻击受影响的面会减少，但是在我的网络当中其实有的分区隔离依然会有威胁传递的出现，这时候我们要采用相应的技术来保障我的网络有一些恶意的攻击，恶意的威胁可以进行阻挡，在这里面威胁情报其实是最大的一个方面。思科应该讲在全球化的威胁情报上也是一个领先的厂商，我这边也不想太多的讲这样一个例子，这其实是思科阻挡全球勒索软件爆发的这样一个例子。在这个例子当中其实几个关键点，一个是文件，什么样的文件可能需要有一个情景感知，最右边的大圈其实就是文件，什么样的域名是一个恶意的左边的大圈其实就是一个什么样的域名，甚至用反向的方法找到动态的生成器，预先帮助用户进行隔离。威胁情报应该说是目前来看对威胁防御最主要的一个手段，尤其是我最早提的以下我们IoT网络面临最大的威胁就是恶意软件和僵尸网络，这两块来看应该恰好是生成的方面。

　　恶意软件是IoT网络面临的一个最大的威胁，怎么去防御这个恶意软件？现在应该业界有很多类似的技术来实现，就是我们可以对恶意软件来做一个详细的分析，可以由很多特征，如果不匹配这些特征也可以用一些技术来把它放在某个特定的环境下来看这个软件到底做了什么，这样保障我检测出这是不是一个恶意软件，恶意软件发展也是很迅速，它们在不断地，不停的变换自己的一些模式，变换这个软件的样子。这时候我们很难做到对恶意软件有一个百分之百的分析和防御，万一这个软件进入到你的网络，你没有发现怎么办？我们需要一个不间断的分析，就是这个软件进到你的网络，你可能真的要不停地分析这个软件在你的网络里面到底干了什么，都传播了哪几台机器，当某一时刻你发现这个软件是个坏软件的时候，你可以很快的分析出1234，这四台机器中了这个软件，这应该是我努力去分析的机器，这个就有点像SaaS，要提前预防的概念。

　　我们看恶意软件其实大部分的恶意软件都用到了一个技术，就是DNS解析技术，因为恶意软件都是受僵尸网络的控制，僵尸网络的这些黑客不太可能就把一个固定的IP地址放在那儿，然后让你去封他，所以他们很多时候都是用了一些动态的域名，这时候DNS技术就显得特别重要。所以几乎93%以上的恶意软件在爆发之前可能第一步都是查询这个DNS，所以你如果对DNS层面有一个很好的防御，恶意软件的爆发也就会显得不那么容易，即使你的机器中了一个恶意软件，他想连一个远程的僵尸网络，你如果靠DNS技术把它封锁的话，即使中了这个恶意软件也不会有太大的影响。

　　最后一个安全的远程连接，这块我想我也不用太多的去描述了，安全的远程连接其实跟前面有很多相同的地方，包括我们怎么样进行策略进行控制，什么人能远程连过来，什么人不能连过来，连过后以后有什么样的通道，封装的通道，加密的通道，然后如果在封装和加密通道里面有一些恶意的行为通过什么方式把它检测出来，这块可能是业界目前来看一个通用的难题。在加密的通道里面如果真的出现了威胁应该怎么去办？需要对流量全部做揭秘找到威胁，还是说找到大数据，直接在加密当中找到这个威胁不需要解密呢，这两个也都是目前全球网络人士研究的课题，思科在这方面也都有一些自己的见解。

　　最后简单做一个总结，工业互联网的确是它有自己的一些特点，但是我们也可以借鉴传统网络的一些安全解决方案的手段，所以思科做工业互联网安全的一个思路就是这样一个思路，首先我有一个全面的可见性，可能要再重复一遍，识别网络当中的每一个终端，这个终端相应的一些情景，它的流量模型等等。都识别好了以后根据识别的结果对你有一个分割，隔离和控制，什么样的设备应该放在什么样的区域，有多大的权限，有了这样一个隔离之后可能还需要做一些威胁的防御，针对恶意软件，针对僵尸网络，我有安全情报做控制，包括工控防火墙，工控IPS，对于SCADA协议这方面都会起到这方面的作用。

　　这是一个典型的制造业的网络模型，这块可能很多人为这个图会比较了解，思科做这种制造型企业网络安全的时候，其实我们也建议用户做分步走的概念，建议你用三个阶段分别做相应网络安全建设。比如第一阶段做一个基本安全的分区隔离，这个我们也基本上就是遵循了IEC99的一些标准，能够对不同的设备进行相应的分区，这个我们在做工业互联网网络设计的时候可能就要考虑到这一点，而不仅仅是在安全设计的时候要考虑这一点。第二做整个安全的可见和可控，这块需要大家更多的了解你的工业互联网，工控网络内部到底它的应用是一个什么样子，我要识别网络当中的应用，每一个应用，每一个终端，应用里面是不是有相应的威胁的出现，这个可能要做得更深一个层次，做终端的安全，做高级的威胁防御的安全，可能都要在第二步做。第三步要扩展整个安全的深度和广度，整个工业互联网可能要有一套统一的策略，有一个全面的分析，对整个网络的每一个终端都知道什么样子，然后有一个基于策略的响应，一旦发现里面有一个恶意的终端，有一个恶意的软件，能够快速的做响应，把这个终端做隔离、修复，这样实现真正的作用。

　　这就是我今天的内容，谢谢大家！

河北五维航电数字化管理升级 ——特种合金材料零部件数字化协同制造

河北五维航电科技股份有限公司是一家专注于特种合金材料零部件的技术研发与生产制造的企业，主要客户有哈尔滨汽轮机、北重汽轮机、哈尔滨汽轮机、美国通用电气、法国阿尔斯通、奥地利安德里茨、德国曼恩等。公司核心技术是以特种合金材料的技术开发以及特种涂层技术为基础，专注于火电与工业汽轮机、燃机、水电、核电等高端能源装备应用领域。

公司客户非常优质，订单多，但是公司整体效益低下。主要面临的问题是订单生产周期长，客户订单无法按时交付，内部生产计划组织混乱，产能不足，资源整体利用率差，同时特种合金材料零部件的定制化生产与精密加工对企业的协同设计、协同生产、协同供应链提出了更高的要求，大量的研发设计、材料检测、供应链协同、生产加工数据需要记录、分析、反馈、决策。

2017年7月，五维航电在张家口市经信委的积极推动下与烟台恒远智能科技、中国电信签订战略合作协议，正式启动数字化管理转型升级项目，重点推动企业内部的数字化制造协同为目标，优化企业内部资源配置，缩短产品制造周期，加快制造速度，降低制造成本。
烟台恒远智能科技有限公司作为项目的主要实施单位，致力于数字化工厂的顶层设计与工业软件的应用开发，为客户提供整体的数字化工厂解决方案与服务，核心技术与产品有生产设备联网与数采技术、数字化车间管理应用平台Dssplat、基于云计算的工业APP微应用等。

一、项目概况

五维项目基于电信工业PON网络与恒远智能科技的设备联网数采技术与数字化车间Dssplat产品，建立由订单开始-订单统筹-订单执行-订单交付完整的数字化制造管理协同平台，实现了端到端的数据集成与应用。

1.   项目背景
1)        企业背景
五维航电发展目前面临以下几个突出问题和潜在需求：
a)        产品定制化需求程度高，但工厂内部整体响应速度满足不了客户交期。
b)        计划统筹与组织能力弱化，造成各生产工序脱节，生产协同性差。
c)        车间生产加工与计划脱节，生产数据不透明，潜在浪费严重，生产成本居高不下。如无法对设备、人员的生产效率进行有效评估，管理精细度低。
2)        行业背景
五维在特种合金材料零部件制造行业客户优质，新能源新材料领域有核心的技术优势和竞争力，急需对公司的运营与管理进行升级提升，以便后续公司在核电与海工领域、海外市场的战略部署。
3)        项目可行性与资源优势
五维的产品特性与材料技术决定了工厂生产以设备加工为制造主体，所有的人员、物料、方法、工具等生产要素都要经过以设备为单元构成的加工中心，并且材料研发设计使用大量先进的热处理、材料检测等精密仪器与设备，为项目的智能联网和数据采集提供了物理基础。

2.   项目简介
数字化协同制造项目整体规划以底层的工业级网络搭建与设备数采为技术支撑，以各生产要素集成的数字化工位搭建为系统核心，车间级综合数字化管理平台为数据应用载体，以工业级微应用APP为数字化系统的重要延伸。主要分为以下几个实施阶段：

图1 数字化协同制造项目规划

1.        工业网络：以电信的工业PON网络为基础进行车间级工业网络的整体升级，搭建设备运行与数采的网络基础设施。
2.        数据采集：应用恒远科技的设备数采技术，根据不同的设备接口与通讯协议，设计数采方案，EverMonitor进行设备级的数据采集。
3.        数字工位搭建：集合设备加工的人员、物料、工具、作业方法、技术图纸等生产要素数字化，结合设备自身状态监控、加工参数采集，形成完整的工位级数字化管理生态。
4.        车间级数字化管理平台：综合计划管理、品质管理、工艺管理、物料管理、人员管理、效率管理等多个模块及功能应用，实现对车间的全方位的数字化升级管理。
5.        工业级微应用APP：针对五维特定的应用场景，开发移动端的微应用，快速有效的解决实际问题。

3.   项目目标
1)        制造协同化
多样化的产品形态，导致整个制造链条信息冗杂，管理难度高、生产成本高、生产速度与效率低下，通过数字化平台，将设计-采购-制造-仓储-物流-交付-服务等各个环节打通，进行数据集合与应用，实现协同设计、协同制造及供应链协同。
2)        产品智能化
装备制造的关键材料、核心部件的设计、研发、测试的大数据采集、分析，如材料研发设计参数、监测评价数据等；产品智能化远程运行参数监控与预警；

图2 特种合金零部件产品工艺图

二、项目实施概况

五维航电数字化管理升级项目一期主要以数字化协同制造为目标，重点是企业对内部制造过程进行数字化升级改造。
1. 项目总体架构和主要内容

图3 项目总体架构

五维协同制造数字化平台总体架构主要分为：流程层、设备联网与数采层、数据中心模型层、应用平台与微应用层。
（1）流程层架构设计
首先在系统进行流程建模仿真与模型设计，对公司整体业务进行价值流分析与设计，识别系统TOC流程点与缺失项，进一步定义数字化匹配的标准业务流与工艺流、过程流，进行由上而下的公司级、工厂级、车间级、工位级的流程标准化。
（2）设备联网与数采层
基于工业以太网、工业总线等通信协议，4G网络、NB-IOT等无线通信协议将设备接入网络；通过EverMonitor采集设备进行加工参数、设备状态、故障分析与预警等实时数据的采集，内部集成了多种采集协议，兼容ModBus、OPC、 CAN、 Profibus 等各类工业通信协议和软件通信接口，能够实现数据格式转换和统一，另一方面基于盒子的内置高性能芯片与处理系统，能够将数据从边缘侧、传输到云端，实现数据的远程接入。

图4 设备联网与数采结构图

（3）数据中心模型层
所有采集的数据会存储到数据中心模型集成库，除了存储功能，核心功能是封装了几百种工业技术、管理技术、机器学习、数理统计的算法，实现机理建模，能够对历史数据、实时数据、时序数据进行聚类、关联和预测分析。如五维集成了更多的特种材料的设计仿真算法模型、定制化材料加工的流程算法模型，实现对现有资源的优化配置。
（4）应用平台与微应用层
基于五维特定的研发设计端与生产制造端的问题，建立一体化的数字化车间管理应用平台，实现端到端的数据集成与应用。

图5 数字化管理平台

1) 搭建数字化Dssplat平台，建立由订单开始-订单统筹-订单执行-订单交付完整的数字化制造管理协同平台。
2) 基于关键工序与瓶颈设备，集成人员、设备、物料、工具、方法等生产要素建立以设备加工中心为核心的数字工位。

图6 数字工位

图7 工业APP微应用

3) 基于特定场景，深度挖掘数据价值与用户行为分析，开发移动端的工业APP微应用服务，如异常管理微应用、设备智能管家微应用、订单执行管理平台微应用等。
4) 全面的可视化运营决策数字化管理平台与移动领导驾驶舱应用。

图8 领导驾驶舱

2. 网络互联架构

工业PON网络系统是中国电信立足于构筑新一代智能通讯网，在对传统工业交换机系统研究基础之上，结合最尖端的无源光网络通讯技术的发展，创新出的一套安全、可靠、融合、先进的综合解决方案。

图9 网络架构图

项目通过工业PON网络系统为企业构建双冗余容错环网，确保生产网络出现连接中断的情况时，立即启用另外一条通路，使网络通信的可靠性大大提高。
工业PON网络在物理层采用了PON技术，在链路层使用以太网协议，利用PON的拓扑结构实现了以太网的接入。

车间现场采用移动终端扫描二维码方式采集数据，需要通过无线网络接入，但是车间现场环境复杂，电磁干扰密布，为了满足车间现场对生产数据采集的稳定性需求，采用工业级全向无线AP，高密负载均衡，所有终端自动被接入到附近最优AP，保证系统稳定运行。

3. 数据架构和应用
数据是企业未来核心资产，数据就是价值，数据架构决定企业能否将数据有效采集和利用。
我们将数据分为三大类，设备实时数据、生产实时数据和业务数据。其中，设备实时数据由系统通过设备接口和协议自动采集，生产实时数据由生产过程中的参与人员通过二位码扫描采集，业务数据由生产管理人员通过系统Web端页面操作录入。
设备实时数据是设备运行过程中产生的数据，包括设备运行状态、故障代码、核心参数等，由系统通过设备协议自动采集，采集频率高，数据量大。所以我们在采集终端进行了预处理和格式化，并用Redis做缓存控制，减少通信中断对数据采集造成的影响。

数据按照格式转发到服务器端后，服务器会对数据进行二次清洗，将业务相关数据存入业务数据库，为生产管理和协同提供支持。业务数据库使用用开源数据库PostgreSQL搭建，轻量化、低成本，完全满足生产需要。
其他设备数据将会被实时转存到非关系型数据库中，进行持久化存储，为大数据分析建立基础。此数据库用MongoDB进行管理，MongoDB也是开源数据库技术，支持高并发写入和分布式存储，性能优越。

三、下一步实施计划

图11 项目远期规划

1.智能化产品
特种合金材料零部件的使用环境要耐高温、耐高压、耐腐蚀，产品的使用寿命、产品的附加值高，零部件本身的损耗对大型装备的运行性能影响大，如核电设备对零部件的使用状态要求较高，但缺乏必要的监控手段。后续会针对一部分高端产品进行物联网技术应用和智能化改造，如高端合金材料智能螺栓，通过耐高温特种传感器技术进行远程数据监测与控制，实时对零部件的运行状况数据进行预警，提高维保的效率与整体设备的稳定性。
2. 智慧供应链
通过物联网、服务计算、云计算等信息计算与制造技术融合，构成智慧供应链平台，实现软硬件制造资源和能力的全系统、全生命周期、全方位的感知、互联、决策、控制、执行和服务化，进而实现人、机、物、信息的集成、共享、协同与优化。
3. 行业大数据平台
进行行业数据与资源整理，建立特种合金材料的研发设计大数据平台，为行业内的特种材料企业提供数据仿真模拟、数据存储、大数据分析服务。
通过物联网技术对特种合金材料零部件产品的智慧化改造，逐步建立核定领域的零部件运维监控中心，为终端用户提供远程运维与监测预警服务，降低企业运维成本。

四、项目创新点和实施效果

1. 项目先进性及创新点
（1）设备联网与数采技术应用
基于恒远科技EverMonitor的设备联网与数采技术，设计多协议、多设备的标准化集成采集技术方案。如智能监控预警，设备联网并实时监测材料车间的冶炼设备、热处理设备、机加工设备监控炉温曲线、转轴与进刀速度等工艺参数，实现预警功能。
（2）工业级APP微应用
基于五维的数字化管理平台，结合客户瓶颈工位与关键问题，深度挖掘数据价值与用户行为分析，开发应用了多个工业APP微应用。
如异常管理数字化APP，可解决异常频发、管理链条长的问题；设备智能管家APP，解决设备生命周期管理数字化的问题等等。
（3）行业数字化平台解决方案
形成了特种合金材料零部件制造行业的标准数字化制造端到端的应用解决方案，实现了设备、人员、物料等资源要素的.横向网络化集成，同时打通了由设计研发到生产制造的纵向集成。
如设计数字化仿真应用，合金材料的配方研发实现数字化仿真模拟应用，建立试样工艺参数模型，并进行3D画面动态演示与数据算法简易化配置。如检测评价智能分析应用，对检测设备进行数据采集，实现智能化检测与评价，建立检测评价中心大数据库。

图12 行业数字化平台横向集成方案

2. 实施效果
（1）制造速度提升
通过订单的数字化车间管理平台，减少研发、设计、工艺、采购、生产之间的信息不协同问题，提高计划组织的准确性，产品的平均生产周期由 5~6 个月左右缩短至 1~3个月；产品的准时交付率由 47%提升至 75% ；
（2）生产成本下降
通过生产制造的实时数据采集，产品标准工时数据可以实时分析，并生成人均产出和效率报表；同时，设备数字工位的设备状态、停机故障时间、任务与产能的大数据分析，实时核算设备OEE；报废率、不良率等指标可视化，制造成本数据能够实时核算与分析、预警，产品的单位制造成本降低 5%~15% 。
（3）效率提升
制造数据的可视化与领导驾驶舱的搭建，为运营决策提供大量的数据支撑，并为管理者提供KPI管理实时工具，降低管理难度，提升管理效率，异常问题关闭率由 57%提升至 94%。

人工智能赛博物理操作系统

AI-CPS OS

“人工智能赛博物理操作系统”（新一代技术+商业操作系统“AI-CPS OS”：云计算+大数据+物联网+区块链+人工智能）分支用来的今天，企业领导者必须了解如何将“技术”全面渗入整个公司、产品等“商业”场景中，利用AI-CPS OS形成数字化+智能化力量，实现行业的重新布局、企业的重新构建和自我的焕然新生。

AI-CPS OS的真正价值并不来自构成技术或功能，而是要以一种传递独特竞争优势的方式将自动化+信息化、智造+产品+服务和数据+分析一体化，这种整合方式能够释放新的业务和运营模式。如果不能实现跨功能的更大规模融合，没有颠覆现状的意愿，这些将不可能实现。

领导者无法依靠某种单一战略方法来应对多维度的数字化变革。面对新一代技术+商业操作系统AI-CPS OS颠覆性的数字化+智能化力量，领导者必须在行业、企业与个人这三个层面都保持领先地位：

重新行业布局：你的世界观要怎样改变才算足够？你必须对行业典范进行怎样的反思？
重新构建企业：你的企业需要做出什么样的变化？你准备如何重新定义你的公司？
重新打造自己：你需要成为怎样的人？要重塑自己并在数字化+智能化时代保有领先地位，你必须如何去做？

AI-CPS OS是数字化智能化创新平台，设计思路是将大数据、物联网、区块链和人工智能等无缝整合在云端，可以帮助企业将创新成果融入自身业务体系，实现各个前沿技术在云端的优势协同。AI-CPS OS形成的数字化+智能化力量与行业、企业及个人三个层面的交叉，形成了领导力模式，使数字化融入到领导者所在企业与领导方式的核心位置：

精细：这种力量能够使人在更加真实、细致的层面观察与感知现实世界和数字化世界正在发生的一切，进而理解和更加精细地进行产品个性化控制、微观业务场景事件和结果控制。
智能：模型随着时间（数据）的变化而变化，整个系统就具备了智能（自学习）的能力。
高效：企业需要建立实时或者准实时的数据采集传输、模型预测和响应决策能力，这样智能就从批量性、阶段性的行为变成一个可以实时触达的行为。
不确定性：数字化变更颠覆和改变了领导者曾经仰仗的思维方式、结构和实践经验，其结果就是形成了复合不确定性这种颠覆性力量。主要的不确定性蕴含于三个领域：技术、文化、制度。
边界模糊：数字世界与现实世界的不断融合成CPS不仅让人们所知行业的核心产品、经济学定理和可能性都产生了变化，还模糊了不同行业间的界限。这种效应正在向生态系统、企业、客户、产品快速蔓延。

AI-CPS OS形成的数字化+智能化力量通过三个方式激发经济增长：

创造虚拟劳动力，承担需要适应性和敏捷性的复杂任务，即“智能自动化”，以区别于传统的自动化解决方案；
对现有劳动力和实物资产进行有利的补充和提升，提高资本效率；
人工智能的普及，将推动多行业的相关创新，开辟崭新的经济增长空间。

给决策制定者和商业领袖的建议：

超越自动化，开启新创新模式：利用具有自主学习和自我控制能力的动态机器智能，为企业创造新商机；
迎接新一代信息技术，迎接人工智能：无缝整合人类智慧与机器智能，重新

评估未来的知识和技能类型；
制定道德规范：切实为人工智能生态系统制定道德准则，并在智能机器的开

发过程中确定更加明晰的标准和最佳实践；
重视再分配效应：对人工智能可能带来的冲击做好准备，制定战略帮助面临

较高失业风险的人群；
开发数字化+智能化企业所需新能力：员工团队需要积极掌握判断、沟通及想象力和创造力等人类所特有的重要能力。对于中国企业来说，创造兼具包容性和多样性的文化也非常重要。

子曰：“君子和而不同，小人同而不和。” 《论语·子路》云计算、大数据、物联网、区块链和人工智能，像君子一般融合，一起体现科技就是生产力。

如果说上一次哥伦布地理大发现，拓展的是人类的物理空间。那么这一次地理大发现，拓展的就是人们的数字空间。在数学空间，建立新的商业文明，从而发现新的创富模式，为人类社会带来新的财富空间。云计算，大数据、物联网和区块链，是进入这个数字空间的船，而人工智能就是那船上的帆，哥伦布之帆！

新一代技术+商业的人工智能赛博物理操作系统AI-CPS OS作为新一轮产业变革的核心驱动力，将进一步释放历次科技革命和产业变革积蓄的巨大能量，并创造新的强大引擎。重构生产、分配、交换、消费等经济活动各环节，形成从宏观到微观各领域的智能化新需求，催生新技术、新产品、新产业、新业态、新模式。引发经济结构重大变革，深刻改变人类生产生活方式和思维模式，实现社会生产力的整体跃升。

产业智能官 AI-CPS

用“人工智能赛博物理操作系统”（新一代技术+商业操作系统“AI-CPS OS”：云计算+大数据+物联网+区块链+人工智能），在场景中构建状态感知-实时分析-自主决策-精准执行-学习提升的认知计算和机器智能；实现产业转型升级、DT驱动业务、价值创新创造的产业互联生态链。