Security for Safety: przejrzyste struktury w sieci automatyki

Andreas Willert, dyrektor ds. bezpieczeństwa przemysłowego, Pilz Austria

(Obowiązuje wersja wygłoszona)

Rozporządzenie w sprawie maszyn (UE) 2023/1230 wyraźnie stanowi, że system bezpieczeństwa może działać niezawodnie tylko wtedy, gdy funkcje związane z bezpieczeństwem są zabezpieczone przed manipulacją. Nowoczesne maszyny są połączone w sieć cyfrową, konfigurowane za pomocą oprogramowania i regulowane podczas pracy. Każda nieuprawniona zmiana – czy to celowa, czy przypadkowa – może spowodować, że środki ochronne staną się nieskuteczne.

Właśnie dlatego security nie jest już tylko dodatkowym czynnikiem, ale podstawowym warunkiem zapewnienia bezpieczeństwa funkcjonowania. Celem jest zapewnienie integralności wszystkich elementów związanych z bezpieczeństwem, tak aby funkcje bezpieczeństwa uruchamiały się dokładnie wtedy, gdy są potrzebne.

W jaki sposób normy i zasady architektoniczne zapewniają wysoki poziom bezpieczeństwa
Seria norm IEC 62443 oraz nowa norma EN 50742 stanowią w tym zakresie jasne ramy. Obie wymagają systematycznej architektury bezpieczeństwa, która pozwala na ocenę ryzyka, łączenie środków ochronnych w sposób uporządkowany oraz zapewnia jasną segmentację systemu.

Podstawą działania systemu jest zasada „stref i kanałów”: systemy są podzielone na strefy, a przejścia między nimi są kontrolowane. Takie podejście dopuszcza stosowanie zasady „Defence-in-Depth”, czyli wielowarstwowej strategii bezpieczeństwa, w ramach której poszczególne warstwy ochrony wzajemnie się uzupełniają i znacząco utrudniają manipulację.

Zgodnie z normą IEC 62443 firma Pilz opowiada się za ścisłym rozdzieleniem systemów bezpieczeństwa od standardowego układu automatyki. Funkcje bezpieczeństwa są uruchomione na oddzielnym sprzęcie i są odizolowane zarówno pod względem organizacyjnym, jak i technicznym. Oznacza to, że nie mają na nie wpływu aktualizacje, błędy ani ataki występujące w sekcji standardowej. Zmniejsza się powierzchnia ataku, podobnie jak nakład pracy związany z konserwacją.

Kluczowym czynnikiem sukcesu jest tutaj stopień izolacji: im większy jest dystans między funkcjami bezpieczeństwa a siecią produkcyjną i maszynową, tym lepsza jest ich ochrona. Jednocześnie zmniejsza się zapotrzebowanie na dodatkowe środki bezpieczeństwa.

Dlatego też sprawdzonym rozwiązaniem jest przeniesienie urządzeń pełniących funkcje bezpieczeństwa do oddzielnego segmentu sieci. Niezwykle ważne jest prawidłowe skonfigurowanie tego segmentu przy użyciu zasad dostępu i dodatkowych mechanizmów uwierzytelniania. Ponieważ systemy bezpieczeństwa są bardzo stabilne w porównaniu ze standardowym układem automatyki i rzadko podlegają modyfikacjom, tę ścisłą segmentację można skutecznie wdrożyć zarówno z punktu widzenia wydajności, jak i bezpieczeństwa. Ważne jest jednak, aby określone środki były konsekwentnie stosowane przez cały cykl życia maszyny.

Dostępność danych diagnostycznych odgrywa szczególnie ważną rolę, zwłaszcza w przypadku większych maszyn lub złożonych instalacji. W razie awarii chcesz mieć możliwość szybkiego ustalenia, dlaczego uruchomiła się funkcja bezpieczeństwa: czy uruchomiono zatrzymanie awaryjne – a jeśli tak, to które? Czy doszło do przerwania działania kurtyny świetlnej – i w którym miejscu? A może w okablowaniu doszło do zwarcia? Takie informacje pozwalają znacząco skrócić przestoje i szybko przywrócić działanie w zakładzie. Dane diagnostyczne nie dotyczą jedynie tego, „co jest uszkodzone”, ale przede wszystkim tego, „co dokładnie się stało”.

W architekturze o wyraźnym podziale segmentów możliwe jest jednak przekazywanie danych diagnostycznych dotyczących bezpieczeństwa do standardowego sterownika PLC – pod warunkiem, że dostęp do rzeczywistych funkcji bezpieczeństwa w ich strefie chronionej pozostaje ściśle zabroniony.

W przypadku prostych aplikacji odpowiednim rozwiązaniem są przekaźniki bezpieczeństwa z serii „ PNOZ ”, natomiast w przypadku bardziej złożonych maszyn zaleca się wdrożenie dostosowane do indywidualnych potrzeb z wykorzystaniem myPNOZ. Produkty te nie mają żadnych funkcji sieciowych, dlatego nie są wrażliwe na ataki zdalne. Pozwala to znacznie ograniczyć zarówno nakład pracy związany z opracowaniem oprogramowania, jak i wymagania dotyczące środków bezpieczeństwa podczas eksploatacji. Firma Pilz oferuje również kompleksowy program szkoleń i usług – od podstaw bezpieczeństwa przemysłowego aż po certyfikację CESA. W niniejszym opracowaniu wyjaśniono, jak projektować bezpieczne architektury, oceniać ryzyko oraz usprawniać środki w sposób zrównoważony. W rezultacie uzyskujemy kompetencje dokładnie tam, gdzie są potrzebne: wśród osób, które planują, projektują i odpowiadają za systemy.

Co faktycznie daje to podejście
Oddzielenie bezpieczeństwa od standardowego układu automatyki niesie ze sobą wiele korzyści – w całym cyklu życia maszyny:

• Większe bezpieczeństwo: funkcje bezpieczeństwa są zabezpieczone przed nieuprawnionymi zmianami – niezależnie od tego, co dzieje się w sekcji standardowej.
• Mniej wysiłku: aktualizacje, certyfikacje i korekty nie muszą być powtarzane.
• Mniejsza złożoność operacyjna: operatorzy nie muszą mieć dogłębnej wiedzy z zakresu security; architektura automatycznie zapewnia bezpieczeństwo.
• Większa elastyczność: niezależne systemy bezpieczeństwa, takie jak PNOZmulti 2 lub myPNOZ, można zintegrować z urządzeniami różnych producentów.
• Niższe koszty: mniej wsparcia technicznego, mniej licencji, mniej interwencji – a co za tym idzie, całkowity koszt eksploatacji jest niski.

Firma Pilz łączy niezawodną technologię, przejrzystą strukturę oraz ukierunkowane szkolenia, tworząc strategię „Security for Safety”, która spełnia wymagania standardów i naprawdę ułatwia codzienne życie: jest bezpieczna, zrozumiała i skuteczna w perspektywie długoterminowej.