该论文关注零信任（Zero Trust, ZT）架构在物联网（IoT）与信息物理系统（CPS）中落地时被忽视的一个关键矛盾：ZT 用显式、持续、上下文感知的授权取代基于边界的隐式信任，这对异构、生命周期长、远程连接的 IoT/CPS 组件尤为必要；但在 CPS 中，网络域与物理过程强耦合，一旦按常规 ZT 逻辑限制某个被判定为可疑的组件，虽然能降低网络暴露面，却可能同时切断维持物理过程正常运行所必需的遥测或控制能力，从而把网络风险的削减转化为物理安全风险。现有研究多聚焦于攻击本身造成的物理危害建模，较少讨论“执行限制动作本身”引入的后果。为此作者提出安全感知零信任（Safety-Aware Zero Trust, SA-ZT），核心思想是把限制措施引发的物理后果作为策略输入而非事后补丁。论文首先将 NIST 零信任原则映射到九类 IoT 与 CPS 融合带来的张力（convergence strains），并区分哪些是 IoT 场景放大的通用挑战、哪些是信息物理耦合特有的挑战，据此推导出对应的运行需求。在架构上，SA-ZT 在 NIST ZT 架构基础上扩展出两个组件：安全引擎（Safety Engine）与遥测代理（Telemetry Broker）。安全引擎在多个可容许的响应之间进行选择，联合评估残余网络风险与限制动作带来的物理后果；遥测代理则对原始遥测的可见性与对状态估计器的影响进行中介管理。配合命令侧的执行机制，这两个实体把“原始可见性”“自动化影响”与“改变状态的权利”三者分离，使得在实施网络遏制的同时仍保留必要的观测能力，但限制这些观测对自动控制回路的影响力。论文以 IEEE 30 节点系统在虚假数据注入攻击下的案例研究进行说明，展示了 SA-ZT 如何把网络遏制、遥测可见性与影响力、物理后果以及授权时机等要素显式化，从而给出一套可实现、可审计的“网络—物理”执行权衡表示。