Hur förändrar säkra PLC:er och säkra bussystem arbetssättet?

Hur förändrar säkra PLC:er och säkra bussystem arbetssättet?

Hur förändrar säkra PLC:er och säkra bussystem arbetssättet Johan Hedberg johan.hedberg@sp.se 010 516 5071 SP Sveriges Tekniska Forskningsinstitut

Skillnad mellan säkerhet och funktionssäkerhet Säkerhet definieras i IEC 61508 som frihet från oacceptabel risk Safety is freedom from unacceptable risk Funktionssäkerhet definieras i IEC 61508 som den del av totalsäkerheten som beror av att ett system eller utrustningar fungerar riktigt i förhållande till sina insignaler Functional safety is part of the overall safety that depends on a system or equipment operating correctly in response to its inputs http://www.iec.ch/about/brochures/pdf/technology/functional_safety.pdf

Exempel på aspekter som täcks av funktionssäkerhet Funktionssäkerhet innebär alltså att man verkligen får förväntad utsignal från sin skyddsfunktion då man matar in en viss insignal eller mer konkret att man reducerar sannolikheten för att man inte får förväntad utsignal för viss insignal. Beroende på vilken riskfylld händelse man vill skydda sig mot så kan det ställa mer eller mindre hårda krav på denna riskreduktionsfaktor. Denna faktor brukas anges som en PLr (ISO 13849-1) eller SIL (IEC 62061)

Viktiga riskanalysbegrepp ISO 13849-1 OBS Definitionerna kan skilja för olika standarder Riskkälla stor lägesenergi för stenen Riskfylld händelse stenen faller ur skopan Skadans allvarlighet Frekvens och/eller exponeringstid vid riskkälla Möjlighet att undvika riskkälla Riskfylld situation person befinner sig under hängande last

Exempel på mekaniska risker Table B.1 i ISO 12100

Exempel på riskanalysmetod Table A.19 i ISO TR 14121-2

Kravet på att hantera informationssäkerhetsrisker finns beskrivet i IEC 61508 The hazards, hazardous events and hazardous situations of the EUC and the EUC control system shall be determined under all reasonably foreseeable circumstances (including fault conditions, reasonably foreseeable misuse and malevolent or unauthorised action). This shall include all relevant human factor issues, and shall give particular attention to abnormal or infrequent modes of operation of the EUC. If the hazard analysis identifies that malevolent or unauthorised action, constituting a security threat, as being reasonably foreseeable, then a security threats analysis should be carried out. NOTE 1 For reasonably foreseeable misuse see 3.1.14 of IEC 61508-4. NOTE 2 For guidance on hazard identification including guidance on representation and analysis of human factor issues, see reference [11] in the bibliography. NOTE 3 For guidance on security risks analysis, see IEC 62443 series. NOTE 4 Malevolent or unauthorised action covers security threats. [IEC 61508-1:2010 7.4.2.3].. Och så vidare.

Vad betyder required Performance Level, PLr (a-e) PLr anger på en 5-gradig skala vilken kravnivå vi måste uppnå på säkerhetsfunktionen. I riskbedömningen eller i en C-standard får man för varje identifierad riskkälla en lägsta kravnivå på respektive säkerhetsfunktion, som styrsystemet skall klara av att hantera för att uppnå acceptabel säkerhet. I EN 13849 standarden anges denna riskreduceringsnivå till ett required Performance Level, PLr nivå som anges från a till e där e är den högsta och mest krävande nivån.

EN ISO 13849-1 Bestämning av PL r Låg risk S = Allvarlighet S1= Läkbar skada S2 = Ej läkbar skada F = Frekvens F1= Sällan exponeringstiden är kort F2= Ofta Exponeringstiden är lång Hög risk P = Sannolikhet P1= Möjligt att undvika under vissa förhållanden P2= Knappt möjligt att undvika

Skyddsfunktioner och SRP/CS Skyddsfunktioner består alltid av sensorer, logik samt någon typ av ställdon (eng. actuator) 1 2 Input(s) SRP/CS 1 Logic SRP/CS 2 Skyddsfunktion Output(s) SRP/CS 3 Safety function: function of the machine whose failure can result in an immediate increase of the risk(s) Ref. 12100-1:2003, 3.28 1 Initiering av en händelse (t.ex. manuell aktivering av en tryckknapp, öppning av ett förreglat skydd, bryta ljusstrålen på en ljusridå). 2 Styrdon (t.ex. motorkontaktor).

Exempel på ett PLC-baserat system Bildkälla: http://electrical-engineering-portal.com/

Vilka standarder gäller på olika nivåer Fältbuss, EN 61784-3 Input(s) SRP/CS 1 IEC 61508 / ISO 13849-1 1 2 Logic SRP/CS 2 Fältbuss Output(s) SRP/CS 3 IEC 62061 / ISO 13849-1

Fördelen med att använda redan SIL klassad säkerhets PLC Säkerhets PLC:er (inklusive fältbussar) är en hyllvara Det finns ofta möjlighet att få väldigt kompetent support från PLC-tillverkaren/leverantören, som även brukar sälja hela utbildningspaket om sina PLC-system Hårdvaran och den inbyggda programvaran i säkerhets PLC:n är redan uppsäkrad genom att tillverkaren av säkerhets PLC uppfyller kraven i IEC 61508 Maskinbyggaren kan fokusera på de enklare standarderna ISO 13849-1 eller IEC 62061 när de konstruerar den/de kompletta skyddsfunktionerna och behöver inte gå in och tillämpa den betydligt mer omfattande standarden IEC 61508 Maskinbyggaren skapar applikationer mha högnivåprogrammeringsspråk (ex. FBD/Ladder/ST enl. IEC 61131-3) PLC:n har begränsade konfigurationsmöjligheter (dvs. enklare verifiering) Maskinbyggaren behöver inte själv argumentera för oberoende mellan olika skyddsfunktioner implementerade i samma PLC PLC:ns utvecklingsmiljö erbjuder ofta avancerade simulerings- samt online diagnostiska möjligheter vilket förenklar underhåll och validering Finns ofta färdigutvecklade samt mer eller mindre avancerade block/applikationer att köpa (jmf. IP-block) som också är förcertifierade med tillkommande instruktioner om hur de ska användas

Vad för nya typer av risker behöver man kunna hantera när man går över från enkla reläbaserade skyddsfunktioner till skyddsfunktioner som innehåller säkerhets PLC Nya typer av risker: logikfel i applikationsprogramvara, felaktig inkoppling av givare och ställdon, användning av PLC:n i miljöer den inte är specificerad för Viktigt att läsa säkerhetsmanualerna i detalj, t.ex. kan inkopplingskraven variera beroende på vilken kategori/pl nivå man behöver uppfylla Hur garanterar man att någon av misstag går in och ändrar på logiken för skyddsfunktionen - Säkerhets PLC:er stödjer användning av säkerhetskritisk och icke säkerhetskritisk applikationsprogramvara i samma system - Lösenordsskydd kan användas för att undvika misstag Ändring av parametrar (t.ex. maxtid, maxhastighet) via diagnostikverktyg skapar nya risker - Diagnosverktyg är del av PLC:ns utvecklingsmiljö och är på förhand kvalificerade

Situationer då det kan vara fördelaktigt att utveckla ett säkerhetskritiskt styrsystem från grunden Vid höga försäljningsvolymer av en produkt som har säkerhetskritisk funktionalitet (t.ex. personbilar, skjutdörrar, hissar etc.) När vissa prestandakrav (t.ex. svarstider eller tillgänglighet) ställs på skyddsfunktioner som inte PLC-systemen eller deras kringkomponenter (t.ex. distribuerade analoga I/O) uppfyller När omgivningsmiljön som styrsystemet kommer användas i är olämplig för PLC:er (exempelvis bärbar utrustning) Utrymmeskrav, hela skyddsfunktionen inklusive givare, logik och aktuator måste byggas in i en begränsad volym Om kompetens för nyutveckling av säkerhetskritiska system redan finns inom företaget (dvs. att t.ex. hela IEC 61508 redan är implementerad i kvalitetssystemet) och man kan visa att det blir billigare

Terminologi inom security - SCADA (Supervisory Control And Data Acquisition) - Industriella styrsystem för styrning och övervakning av processer - Datasäkerhet - Sekretess - Integritet - Tillgänglighet - - IT-säkerhet - Skydd av databehandlingsutrustning - Skalskydd (lås, larm mm) - Åtkomststyrning - - Informationssäkerhet - Rutiner och riktlinjer - Informationsklassificering -

Industriella Styrsystem Funktionssäkerhetskritiska industriella kontrollsystem (ICS), t.ex. SCADA, kopplas i allt större utsträckning upp mot kontorsdatanät och internet. Vi behöver alltså hantera data- och ITsäkerhetsaspekter integrerat med funktionssäkerhetsaspekter för sådana system. Bildkälla: www.cryptango.com

ICS nu och förr Förr Skräddarsydd hårdvara, ofta reläbaserat för hög driftsäkerhet Kompletta lösningar från få leverantörer Skräddarsydda kommunikationsprotokoll för ändamålet Livslängd 15 20 år Nu Ofta COTS-baserat med generella komponenter från stora tillverkare Kommunikation via IP-nätverk (TCP/IP, UDP/IP, ) Gamla kommunikationsprotokoll inbäddade I högre utsträckning mjukvarukonfigurerat för ändamålet

Effekter av moderniseringen Sårbarheter upptäcks i större omfattning då fler delar samma källkod IT-avdelningen äger i större utsträckning även ICS-nätet Har man rätt kompetens för ICS hos IT, då ICS-nätet har andra krav och förutsättningar? Realtidskrav på kommunikation Säkerhetstestning är riskabelt Tillgänglighet är kritiskt Uppdateringar görs sällan då det kräver omfattande testning först (men nätverks-cots kräver uppdateringar!) Antivirus är oftast inte lämpligt i SCADA-komponenter (minimalt med program för realtidsdeterminism) Outsourcing blir riskabelt

Hot Safety - stokastiska hot Förutsägbara felmoder God tillgång till empiriskt data, t.ex. IEC TR 62380 eller MIL HDBK 217F för komponenter Täcker in miljörelaterade hot (översvämning, brand osv.) Security antagonistiska hot + stokastiska hot Kända sårbarheter sprids snabbt på Internet svårt att hinna patcha Empiriskt data svårtillgängligt företag skyltar ogärna med att/hur de blir angripna Motiverad, oförutsägbar och intelligent motståndare Täcker också in miljörelaterade hot (översvämning, brand osv.) kom ihåg tillgänglighet!

Antagonistiska hot Vem? Insiders Aktivister ( Hacktivister ) Konkurrenter (länder, företag, individer) Terrorister Organiserad brottslighet Varför? Status Utmaning Politiskt motiv Roligt Hämnd Pengar Hur? Social ingenjörskonst Intrång i privatlivet Bedrägeri Hacking Intrång i system Personifiering Systemattack (DDOS etc.) Skadlig kod Virus Maskar Trojaner Bakdörrar

SPs tjänster kring säkra styrsystem SP är ackrediterade av Swedac för att genomföra utvärderingar enligt ISO 13849-1:2008 SP är ackrediterade av Swedac för att genomföra utvärderingar enligt IEC 62061:2012 SP är ackrediterade av Swedac för att genomföra utvärderingar enligt IEC 61508:2010 SP anmält organ för logik komponenter (t.ex. styrsystem) och kan utfärda EG typgodkännanden för denna typ av produkter Kurser inom ovanstående standarder både övergripande och fördjupning Personcertifiering, bland annat maskinsäkerhet och informationssäkerhet Certifiering av informationsledningssystem enligt ISO 27001 IT sårbarhetsanalyser

Tack! Tack!