信息安全保障机械安全：自动化网络中的清晰架构

Andreas Willert，Pilz奥地利工业信息安全主管

（以实际发言为准）

机械法规（EU）2023/1230明确规定，只有在安全相关功能受到保护、免受篡改的情况下，安全措施才能可靠地发挥作用。现代机械设备通过数字网络相互连接，由软件进行配置，并在运行过程中进行调整。任何未经授权的更改 - 无论是故意的还是无意的 - 都可能导致防护措施失效。

正因如此，信息安全不再仅仅是一个附加考量因素，而是保障正常运行的安全所必需的基本条件。其目的是确保所有与安全相关的组件的完整性，以便安全功能能在需要时准确触发。

标准与架构原则如何确保可靠的安全性
IEC 62443系列标准以及新出台的EN 50742标准为此提供了明确的框架。两者都要求建立一套系统化的安全架构，该架构能够评估风险、以结构化方式建立防护措施，并具有明确的系统分区。

该系统的核心是“区域与通道”原则：系统被划分为多个区域，并控制区域之间的转换。这种方法实现了深度防御，换言之，即一种多层安全策略，其中多层防护相互补充，使攻击者难以实施操控。

根据IEC 62443标准，Pilz主张将安全系统与标准自动化系统严格分离。安全功能在独立的硬件上运行，并在组织和技术层面均实现隔离。这意味着它们不会受到标准部分中的更新、漏洞或攻击的影响。攻击面缩小了，维护工作量也减少了。

此处的一个关键成功因素是隔离程度：安全功能与生产及机器网络之间的隔离程度越高，其保护效果就越好。与此同时，对额外安全措施的需求也随之减少。

因此，将执行安全功能的设备转移到一个独立的网络段中，是一种行之有效的方法。必须通过访问策略和额外的身份验证机制正确配置此分段。由于安全系统与标准自动化系统相比非常稳定，且极少进行修改，因此从效率和信息安全两个角度来看，这种严格的分段都能得到有效实施。不过，重要的是，在机器的整个生命周期内，必须始终如一地贯彻已制定的措施。

诊断数据的可用性起着尤为重要的作用，特别是在大型机械或复杂工厂的情况下。一旦发生故障，您希望能够快速查明安全功能为何被触发：是否触发了紧急停止 - 如果是，是哪一个？光幕是否被中断了 - 是在哪个位置中断的？还是说接线里可能短路了？此类信息有助于大幅缩短停机时间，并使工厂迅速恢复运行。诊断数据不仅关乎“哪里出了问题”，更重要的是“究竟发生了什么”。

在分区明确的架构中，仍然可以将安全诊断数据转发至标准PLC - 前提是必须严格禁止访问其保护区内实际的安全功能。

对于简单的应用，PNOZ该系列的安全继电器可提供合适的解决方案；而对于更复杂的机械设备，则建议使用 myPNOZ 进行定制化实施。这些产品不具备任何网络功能，因此不会受到远程攻击。这不仅大大减少了开发工作量，也降低了运行期间对安全措施的要求。Pilz还提供一套全面的培训和服务方案 - 内容涵盖从工业信息安全基础知识到CESA认证的各个方面。本文阐述了如何设计安全的架构、评估风险，并以可持续的方式改进相关措施。其结果是，专业能力恰恰体现在最需要的地方：即那些负责规划、设计和管理系统的人员之中。

这种方法实际上能带来什么
将安全功能与标准自动化分离，在机器的整个生命周期内都能带来诸多好处：

• 更高的安全性：安全功能受到保护，不会被未经授权地更改 - 无论标准部分发生什么情况。
• 更省力：更新、认证和调整无需重复进行。
• 操作复杂性降低：操作人员无需具备深入的信息安全知识；该架构会自动确保安全性。
• 更大的灵活性：可集成来自不同厂商的独立安全系统，例如PNOZmulti 2或myPNOZ。
• 降低成本：减少技术支持、减少许可证数量、减少干预 - 因此总拥有成本较低。

Pilz将成熟的技术、清晰的架构和有针对性的培训相结合，形成了一套“信息安全保障机械安全”战略，该战略既符合标准要求，又能切实简化日常工作：既安全可靠，又通俗易懂，且能长期有效。