Automatyzacja zaworów łączy polecenia sterujące z fizycznym ruchem. Dlatego niepożądane polecenie, zmienione ustawienie lub utrata łącza komunikacyjnego może wpłynąć na więcej niż tylko dane. Może zakłócić sterowanie przepływem i pracę instalacji.

Cyfrowy siłownik zaworu może oferować przydatne funkcje konfiguracyjne i diagnostyczne. Jednak kupujący powinni również zrozumieć, w jaki sposób funkcje te są chronione i jak siłownik wpisuje się w koncepcję bezpieczeństwa instalacji.

Świadomy proces zakupowy zgodny z normą IEC 62443 pomaga przekształcić ogólne pytania dotyczące bezpieczeństwa w jasne wymagania. Celem jest wybór odpowiedniego sprzętu, zidentyfikowanie brakujących zabezpieczeń i określenie odpowiedzialności przed instalacją.

Zrozum, co obejmuje norma IEC 62443

Norma IEC 62443 to seria standardów bezpieczeństwa systemów automatyki i sterowania przemysłowego. Różne części dotyczą różnych obszarów odpowiedzialności:

Są to powiązane zakresy, więc dowód dotyczący jednego z nich nie powinien być traktowany jako potwierdzenie wszystkich czterech.

Ponadto, „zgodny z IEC 62443” opisuje podejście zakupowe. Nie oznacza to, że produkt jest certyfikowany.

1. Zidentyfikuj każdy interfejs cyfrowego siłownika zaworu

Zacznij od dokładnego modelu i dostarczonych opcji. Terminy takie jak „inteligentny” lub „cyfrowy” nie wyjaśniają, jakie połączenia są dostępne.

Poproś o listę interfejsów obejmującą, w stosownych przypadkach:

• Połączenia Fieldbus i przemysłowy Ethernet.
• Lokalne porty konfiguracyjne.
• USB lub szeregowe połączenia serwisowe.
• Bluetooth lub inne funkcje bezprzewodowe.
• Oprogramowanie konfiguracyjne i narzędzia serwisowe.
• Ścieżki zdalnego dostępu przez kontrolery lub bramy.

Oddziel zainstalowane funkcje od opcjonalnych. Następnie potwierdź, które interfejsy można wyłączyć.

Siłownik wykorzystujący styki bezpotencjałowe lub sygnały analogowe może nie mieć bezpośredniego połączenia sieciowego. Jednak jego kontroler, brama lub narzędzie serwisowe nadal mogą wprowadzać cyfrowe ścieżki dostępu.

2. Zdefiniuj granicę bezpieczeństwa dla siłownika elektrycznego Fieldbus

Siłownik elektryczny Fieldbus powinien być oceniany jako część sieci sterowania.

Zapytaj o dokładny protokół, wersję, moduł komunikacyjny i schemat sieci. Nie zakładaj, że znany protokół obejmuje uwierzytelnianie lub szyfrowanie w dostarczonej konfiguracji.

Norma IEC 62443-3-2 dotyczy podziału systemu na strefy i kanały komunikacyjne, oceny ich ryzyka oraz definiowania docelowych poziomów bezpieczeństwa. W praktyce kupujący muszą wiedzieć, które zasoby należą do siebie nawzajem i które ścieżki komunikacyjne przekraczają granice bezpieczeństwa. 

Jeśli urządzenie polowe nie może zapewnić wymaganego zabezpieczenia, udokumentuj środki ochronne potrzebne w innych miejscach. Mogą one obejmować ograniczony dostęp do bramy, segmentację sieci oraz kontrolowane połączenia serwisowe.

Takie środki muszą być oceniane na poziomie systemu; nie przekształcają one samego siłownika w certyfikowany komponent.

3. Kontroluj, kto może obsługiwać i konfigurować siłownik

Obsługa zaworu i zmiana jego ustawień to różne uprawnienia.

Zapytaj, czy dostarczone urządzenie może rozróżniać dostęp do podglądu, obsługi, konfiguracji i konserwacji. Jeśli istnieją konta lub hasła, potwierdź, w jaki sposób poświadczenia są ustawiane, zmieniane, odzyskiwane i usuwane.

Przydatne pytania obejmują:

Czy obecne są współdzielone domyślne poświadczenia?

Czy nieużywane konta lub usługi można wyłączyć?

Kto może zmieniać ograniczenia ruchu lub tryby sterowania?

Jak chroniona jest kontrola lokalna?

Czy zdalny dostęp wymaga oddzielnej autoryzacji?

Jeśli siłownik ma ograniczone kontrolki dostępu, zidentyfikuj, które funkcje muszą być chronione przez PLC, bramę, stację roboczą lub fizyczną obudowę.

Ponadto uzgodnij, kto jest właścicielem poświadczeń po uruchomieniu.

4. Sprawdź integralność oprogramowania układowego i konfiguracji

Oprogramowanie układowe steruje cyfrowym zachowaniem siłownika. Konfiguracja określa, w jaki sposób reaguje on w ramach procesu.

Zapytaj dostawcę, w jaki sposób aktualizacje są pobierane, sprawdzane, instalowane i rejestrowane. Poproś o dowody kontroli autentyczności, takie jak weryfikacja podpisu, jeśli jest obsługiwana.

Ponadto potwierdź:

Kto może zainicjować aktualizację.

Czy zawór pozostaje dostępny podczas aktualizacji.

Co się stanie, jeśli wystąpi awaria zasilania.

Jak zatwierdzone ustawienia są tworzone kopie zapasowe.

Jak przeprowadza się odzyskiwanie po nieudanej aktualizacji.

W przypadku prostego urządzenia bez możliwości aktualizacji oprogramowania układowego w terenie, udokumentuj to ograniczenie i jego implikacje dla konserwacji.

Te pytania wspierają integralność systemu, jeden z siedmiu podstawowych obszarów wymagań opisanych w normie IEC 62443-4-2. Inne obszary obejmują kontrolę dostępu, ograniczony przepływ danych, reagowanie na zdarzenia i dostępność. 

5. Przejrzyj cyberbezpieczeństwo siłownika elektrycznego podczas awarii

Kontrolki bezpieczeństwa muszą współpracować z potrzebami operacyjnymi instalacji.

Zdefiniuj, co powinno się zdarzyć, gdy komunikacja zawodzi, zasilanie zostaje utracone lub kontroler wysyła nieprawidłowe dane. Prawidłowa reakcja może polegać na utrzymaniu pozycji, przejściu do zdefiniowanej pozycji lub zastosowaniu innej zatwierdzonej strategii.

Nie ma uniwersalnej bezpiecznej pozycji zaworu. Ocena ryzyka procesu musi określić wymagane zachowanie, a wybrana konfiguracja siłownika musi je wspierać.

Oddziel te wymagania:

Utrata komunikacji.

Utrata zasilania elektrycznego.

Nieautoryzowane zmiany konfiguracji.

Awarie mechaniczne lub elektryczne siłownika.

Cyberbezpieczeństwo i bezpieczeństwo funkcjonalne mają różne zakresy. Dowód na jedno nie zastępuje dowodu na drugie.

6. Zapytaj, jakie zdarzenia można wykryć i zarejestrować

Urządzenie może raportować usterki bez przechowywania dziennika zdarzeń bezpieczeństwa. Dlatego zapytaj dokładnie, co rejestruje.

Odpowiednie zdarzenia mogą obejmować zmiany konfiguracji, aktualizacje oprogramowania układowego, nieudane próby dostępu i awarie komunikacji.

Potwierdź, czy rekordy zawierają znaczniki czasu, jak długo pozostają dostępne i czy można je wyeksportować. Jeśli siłownik nie ma tych funkcji, zdecyduj, co zamiast tego musi rejestrować system sterowania lub narzędzia serwisowe.

Do celów rozwiązywania problemów zachowaj model, wersję oprogramowania układowego, zatwierdzone ustawienia i rekord uruchomienia. Te szczegóły pomagają odróżnić awarię sprzętu od nieoczekiwanej zmiany.

7. Zweryfikuj roszczenia dotyczące wsparcia i certyfikacji dostawcy

Zapytaj o kontakt ds. bezpieczeństwa, trasę zgłaszania luk w zabezpieczeniach, politykę aktualizacji i oczekiwany okres wsparcia.

W stosownych przypadkach poproś o oprogramowanie z listy materiałów lub informacje o dołączonym oprogramowaniu stron trzecich. Ponadto uzgodnij, w jaki sposób kupujący otrzymają powiadomienia o bezpieczeństwie.

Jeśli wymagana jest certyfikacja, sprawdź:

Organ wydający i numer referencyjny certyfikatu.

Dotyczy to części standardu.

Kompletny produkt i wersje sprzętowe.

Wersje oprogramowania układowego i opcje komunikacji.

Roszczenia dotyczące możliwości bezpieczeństwa i określonych warunków.

Wymagane założenia dotyczące instalacji i eksploatacji.

Certyfikat bezpiecznego procesu rozwoju nie poświadcza automatycznie możliwości technicznych każdego produktu. Podobnie certyfikat komponentu nie określa bezpieczeństwa całej instalacji.

Zastosuj listę kontrolną podczas pozyskiwania z OMKEE

Witryna OMKEE prezentuje elektryczne siłowniki zaworów z kilkoma układami sterowania, w tym obsługą opartą na stykach i analogową regulacją modulacyjną. Różnice te sprawiają, że kontrole interfejsu specyficzne dla modelu są ważne.

W przypadku każdej proponowanej konfiguracji cyfrowej lub fieldbusowej poproś OMKEE o potwierdzenie rzeczywistych funkcji komunikacyjnych i dostępnych dowodów bezpieczeństwa. Nie wnioskuj o certyfikacie cyberbezpieczeństwa na podstawie stopni ochrony obudowy, ochrony przeciwwybuchowej, oznakowania CE lub kwalifikacji w zakresie zarządzania jakością.

Wyślij OMKEE brief projektowy zawierający obowiązki zaworu, moment obrotowy, zasilanie, interfejs sterowania, architekturę sieci, wymagane zachowanie w przypadku awarii oraz wymagania dotyczące dokumentacji bezpieczeństwa.

Na koniec uzgodnij z dostawcą i integratorem kontrole akceptacyjne. Przetestuj zatwierdzoną konfigurację w kontrolowanym środowisku przed uruchomieniem i zarejestruj, które zabezpieczenia należą do siłownika, a które do szerszego systemu sterowania.