Säkerhet för manöverdon för ventiler: En inköparchecklista enligt IEC 62443

Automatisering av ventiler kopplar styrkommandon med fysisk rörelse. Därför kan ett oönskat kommando, en ändrad inställning eller en förlorad kommunikationslänk påverka mer än bara data. Det kan störa flödesstyrningen och anläggningens drift.

En digital ställdon för ventiler kan erbjuda användbara installations- och diagnostikfunktioner. Men köpare bör också förstå hur dessa funktioner skyddas och hur ställdonet passar in i anläggningens säkerhetsdesign.

En IEC 62443-medveten inköpsprocess hjälper till att omvandla breda säkerhetsfrågor till tydliga krav. Syftet är att välja lämplig utrustning, identifiera saknade kontroller och tilldela ansvar före installationen.

Förstå vad IEC 62443 omfattar

IEC 62443 är en serie säkerhetsstandarder för industriell automatisering och kontrollsystem. Olika delar behandlar olika ansvarsområden:

Standarddel	Huvudfokus	Köpfråga
IEC 62443-3-2	Riskbedömning för systemsäkerhet	Vilka risker och nätverksgränser måste projektet ta itu med?
IEC 62443-3-3	Krav för systemsäkerhet	Vilka kontroller måste det installerade systemet tillhandahålla?
IEC 62443-4-1	Säker utvecklingscykel för produkter	Hur utvecklar och underhåller leverantören säkra produkter?
IEC 62443-4-2	Tekniska säkerhetskrav för komponenter	Vilka säkerhetsfunktioner erbjuder den specifika komponenten?

Dessa är relaterade områden, så bevis för en del bör inte behandlas som bevis för alla fyra.

Dessutom beskriver "IEC 62443-medveten" en inköpsprocess. Det fastställer inte att en produkt är certifierad.

1. Identifiera alla digitala gränssnitt för ventilställdon

Börja med den exakta modellen och levererade alternativ. Termer som "smart" eller "digital" förklarar inte vilka anslutningar som finns.

Begär en lista över gränssnitt som omfattar, där så är tillämpligt:

• Fältbuss- och industriella Ethernet-anslutningar.
• Lokala konfigurationsportar.
• USB- eller seriella serviceanslutningar.
• Bluetooth eller andra trådlösa funktioner.
• Konfigurationsprogram och underhållsverktyg.
• Fjärråtkomstvägar via kontroller eller gatewayer.

Separera installerade funktioner från valbara funktioner. Bekräfta sedan vilka gränssnitt som kan inaktiveras.

Ett ställdon som använder torra kontakter eller analoga signaler kanske inte har någon direkt nätverksanslutning. Men dess kontroller, gateway eller serviceverktyg kan fortfarande införa digitala åtkomstvägar.

2. Definiera säkerhetsgränsen för ett fältbuss elektriskt ställdon

Ett fältbuss elektriskt ställdon bör bedömas som en del av sitt kontrollnätverk.

Be om det exakta protokollet, versionen, kommunikationsmodulen och nätverksritningen. Anta inte att ett välkänt protokoll inkluderar autentisering eller kryptering i den levererade konfigurationen.

IEC 62443-3-2 behandlar att dela upp systemet i zoner och kanaler, bedöma deras risker och definiera målsäkerhetsnivåer. I praktiken behöver köpare veta vilka tillgångar som hör ihop och vilka kommunikationsvägar som korsar säkerhetsgränser. 

Om fältenheten inte kan tillhandahålla en nödvändig kontroll, dokumentera de skyddsåtgärder som behövs någon annanstans. Dessa kan omfatta begränsad gateway-åtkomst, nätverkssegmentering och kontrollerade underhållsanslutningar.

Sådana åtgärder måste bedömas på systemnivå; de gör inte ställdonet självt till en certifierad komponent.

3. Kontrollera vem som kan styra och konfigurera ställdonet

Att styra en ventil och ändra dess inställningar är olika behörigheter.

Fråga om den levererade utrustningen kan särskilja visning, styrning, konfiguration och underhålls åtkomst. Om konton eller lösenord finns, bekräfta hur uppgifter ställs in, ändras, återställs och tas bort.

Användbara frågor inkluderar:

• Finns det delade standarduppgifter?
• Kan oanvända konton eller tjänster inaktiveras?
• Vem kan ändra ändringsgränser eller kontrolllägen?
• Hur skyddas lokal styrning?
• Kräver fjärråtkomst separat auktorisation?

Om ställdonet har begränsade åtkomstkontroller, identifiera vilka funktioner som måste skyddas av PLC:en, gateway:en, arbetsstationen eller det fysiska höljet.

Dessutom, kom överens om vem som äger uppgifterna efter driftsättningen.

4. Kontrollera firmware- och konfigurationsintegritet

Firmware styr ställdonets digitala beteende. Konfiguration avgör hur det reagerar inom processen.

Fråga leverantören hur uppdateringar erhålls, kontrolleras, installeras och registreras. Begär bevis på autenticitetskontroller, som signaturverifikation, där det stöds.

Bekräfta också:

• Vem får initiera en uppdatering.
• Om ventilen förblir tillgänglig under uppdateringen.
• Vad händer om strömmen går.
• Hur godkända inställningar säkerhetskopieras.
• Hur återställning utförs efter en misslyckad uppdatering.

För en enkel enhet utan fältuppdaterbar firmware, dokumentera den begränsningen och dess underhållsimplikationer.

Dessa frågor stödjer systemintegritet, ett av de sju grundläggande kravområdena som beskrivs i IEC 62443-4-2. Andra områden inkluderar åtkomstkontroll, begränsad dataflöde, händelserespons och tillgänglighet. 

5. Granska det elektriska ställdonets cybersäkerhet under fel

Säkerhetskontroller måste fungera med anläggningens driftsbehov.

Definiera vad som ska hända när kommunikationen misslyckas, strömmen går eller kontrollern skickar ogiltiga data. Det korrekta svaret kan vara att hålla positionen, flytta till en definierad position eller följa en annan godkänd strategi.

Det finns ingen universell säker ventilposition. Processriskbedömningen måste bestämma det nödvändiga beteendet, och den valda ställdonets arrangemang måste stödja det.

Håll dessa krav separata:

• Förlust av kommunikation.
• Förlust av elektrisk ström.
• Obehöriga konfigurationsändringar.
• Ställdonets mekaniska eller elektriska fel.

Cybersäkerhet och funktionell säkerhet har olika områden. Bevis för det ena ersätter inte bevis för det andra.

6. Fråga vilka händelser som kan upptäckas och registreras

En enhet kan rapportera fel utan att behålla en säkerhetshändelselogg. Därför, fråga exakt vad den registrerar.

Relevanta händelser kan inkludera konfigurationsändringar, firmwareuppdateringar, misslyckade åtkomstförsök och kommunikationsfel.

Bekräfta om posterna inkluderar tidsstämplar, hur länge de förblir tillgängliga och om de kan exporteras. Om ställdonet saknar dessa funktioner, besluta vad kontrollsystemet eller underhållsverktygen måste registrera istället.

För felsökning, behåll modellen, firmwareversionen, godkända inställningar och driftsättningsregistret. Dessa detaljer hjälper till att särskilja ett utrustningsfel från en oväntad ändring.

7. Verifiera leverantörsstöd och certifieringsanspråk

Be om en säkerhetskontakt, en väg för rapportering av sårbarheter, en uppdateringspolicy och en förväntad supportperiod.

Där det är relevant, begär en programvarukopia av materialet eller information om inkluderad tredjepartsprogramvara. Dessutom, kom överens om hur köpare kommer att få säkerhetsmeddelanden.

Om certifiering påstås, kontrollera:

• Utfärdande organ och certifikatreferens.
• Tillämplig standarddel.
• Täckt produkt och hårdvaruversioner.
• Firmwareversioner och kommunikationsalternativ.
• Påstådd säkerhetsfunktion och angivna förhållanden.
• Nödvändiga installations- och driftsantaganden.

Ett certifikat för säker utvecklingsprocess certifierar inte automatiskt varje produkts tekniska funktioner. På samma sätt fastställer ett komponentcertifikat inte säkerheten för hela anläggningen.

Tillämpa checklistan vid inköp från OMKEE

OMKEEs webbplats presenterar elektriska ventilställdon med flera kontrollarrangemang, inklusive kontaktbaserad styrning och analog modulerande kontroll. Dessa skillnader gör modellspecifika gränssnittskontroller viktiga.

För någon föreslagen digital eller fältbusskonfiguration, be OMKEE att bekräfta de faktiska kommunikationsfunktionerna och tillgängliga säkerhetsbevis. Härled inte cybersäkerhetscertifiering från höljens betyg, explosionsskydd, CE-märkning eller kvalitetsledningsuppgifter.

Skicka OMKEE en projektbeskrivning som innehåller ventilservice, vridmoment, strömförsörjning, kontrollgränssnitt, nätverksarkitektur, nödvändigt felbeteende och säkerhetsdokumentationsbehov.

Slutligen, kom överens om acceptanskontroller med leverantören och integratören. Testa den godkända konfigurationen i en kontrollerad miljö före driftsättningen, och registrera vilka skydd som tillhör ställdonet och vilka som tillhör det bredare kontrollsystemet.