Klepautomatisering koppelt besturingscommando's aan fysieke beweging. Daarom kan een ongewenst commando, gewijzigde instelling of verbroken communicatieverbinding meer impact hebben dan alleen de data. Het kan de debietregeling en de werking van de installatie verstoren.

Een digitale klepaandrijving kan handige functies bieden voor installatie en diagnose. Toch moeten kopers ook begrijpen hoe die functies worden beschermd en hoe de aandrijving past in het beveiligingsontwerp van de installatie.

Een inkoopproces dat rekening houdt met IEC 62443 helpt om algemene beveiligingsvragen om te zetten in concrete eisen. Het doel is om geschikte apparatuur te selecteren, ontbrekende beheersmaatregelen vast te stellen en verantwoordelijkheden toe te wijzen vóór de installatie.

Begrijp wat IEC 62443 omvat

IEC 62443 is een reeks beveiligingsnormen voor industriële automatisering en besturingssystemen. Verschillende delen hebben betrekking op verschillende verantwoordelijkheden:

Dit zijn verwante toepassingsgebieden, daarom mag bewijs voor het ene niet worden beschouwd als bewijs voor alle vier.

Bovendien beschrijft “IEC 62443-bewust” een inkoopbenadering. Het betekent niet dat een product is gecertificeerd.

1. Identificeer elke interface van de digitale klepaandrijving

Begin met het exacte model en de geleverde opties. Termen als “slim” of “digitaal” verklaren niet welke aansluitingen aanwezig zijn.

Vraag een lijst van alle interfaces aan, indien van toepassing:.

• Veldbus- en industriële Ethernet-aansluitingen.
• Lokale configuratiepoorten.
• USB- of seriële serviceaansluitingen.
• Bluetooth of andere draadloze functies.
• Configuratiesoftware en onderhoudstools.
• Externe toegang via controllers of gateways.

Onderscheid geïnstalleerde functies van optionele functies. Controleer vervolgens welke interfaces kunnen worden uitgeschakeld.

Een aandrijving met droge contacten of analoge signalen heeft mogelijk geen directe netwerkverbinding. De bijbehorende controller, gateway of servicetool kan echter nog steeds digitale toegangspaden creëren.

2. Definieer de beveiligingsgrens voor een elektrische veldbusaandrijving

Een elektrische veldbusaandrijving moet worden beoordeeld als onderdeel van het bijbehorende besturingsnetwerk.

Vraag naar het exacte protocol, de versie, de communicatiemodule en het netwerkdiagram. Ga er niet vanuit dat een bekend protocol in de geleverde configuratie authenticatie of encryptie bevat.

IEC 62443-3-2 heeft betrekking op het onderverdelen van het systeem in zones en conduits, het beoordelen van de bijbehorende risico's en het vaststellen van beoogde beveiligingsniveaus. In de praktijk moeten kopers weten welke assets bij elkaar horen en welke communicatiepaden beveiligingsgrenzen overschrijden. 

Als het veldapparaat een vereiste beheersmaatregel niet kan bieden, leg dan vast welke aanvullende beschermende maatregelen elders nodig zijn. Dit kunnen onder andere beperkte gatewaytoegang, netwerksegmentatie en gecontroleerde onderhoudsverbindingen zijn.

Dergelijke maatregelen moeten op systeemniveau worden beoordeeld; hierdoor wordt de aandrijving zelf geen gecertificeerd onderdeel.

3. Controleer wie de actuator kan bedienen en configureren

Het bedienen van een klep en het wijzigen van de instellingen ervan zijn verschillende bevoegdheden.

Vraag of de geleverde apparatuur onderscheid kan maken tussen bekijken, bedienen, configureren en onderhoudstoegang. Als er accounts of wachtwoorden zijn, controleer dan hoe de inloggegevens worden ingesteld, gewijzigd, hersteld en verwijderd.

Handige vragen zijn onder andere:

• Worden er gedeelde standaardgegevens gebruikt?
• Kunnen ongebruikte accounts of services worden uitgeschakeld?
• Wie kunnen reislimieten of besturingsmodi wijzigen?
• Hoe wordt lokale besturing beschermd?
• Vereist externe toegang afzonderlijke autorisatie?

Als de aandrijving beperkte toegangscontrole heeft, bepaal dan welke functies door de PLC, gateway, workstation of fysieke behuizing moeten worden beschermd.

Bepaal ook wie na de inbedrijfstelling de verantwoordelijkheid heeft voor de inloggegevens.

4. Controleer de integriteit van firmware en configuratie

De firmware bepaalt het digitale gedrag van de aandrijving. De configuratie bepaalt hoe deze reageert binnen het proces.

Vraag de leverancier hoe updates worden verkregen, gecontroleerd, geïnstalleerd en geregistreerd. Vraag indien mogelijk om bewijsmateriaal voor authenticiteitscontroles, zoals handtekeningverificatie.

Controleer verder:

• Wie kan een update starten.
• Of de klep tijdens de update beschikbaar blijft.
• Wat gebeurt er als de stroom uitvalt.
• Hoe goedgekeurde instellingen worden gebackupt.
• Hoe herstel wordt uitgevoerd na een mislukte update.

Documenteer bij een eenvoudig apparaat zonder in het veld updatebare firmware deze beperking en de gevolgen ervan voor het onderhoud.

Deze vragen ondersteunen de systeemintegriteit, een van de zeven fundamentele vereisten die worden beschreven in IEC 62443-4-2. Andere terreinen zijn toegangscontrole, beperkte gegevensstroom, gebeurtenisreactie en beschikbaarheid. 

5. Beoordeel de cyberbeveiliging van de elektrische actuator bij storingen

Beveiligingsmaatregelen moeten aansluiten bij de operationele behoeften van de installatie.

Bepaal wat er moet gebeuren bij communicatieverlies, stroomuitval of ongeldige gegevens van de controller. De juiste reactie kan zijn om de huidige positie te handhaven, naar een gedefinieerde positie te gaan of een andere goedgekeurde strategie te volgen.

Er is geen universeel veilige kleppositie. De risicobeoordeling van het proces moet het vereiste gedrag bepalen en de geselecteerde aandrijvingsconfiguratie moet dit ondersteunen.

Houd deze vereisten gescheiden:

• Verlies van communicatie.
• Stroomuitval.
• Ongeoorloofde configuratiewijzigingen.
• Mechanische of elektrische storingen van de actuator.

Cyberbeveiliging en functionele veiligheid hebben een verschillende reikwijdte. Bewijs voor het ene vervangt niet het bewijs voor het andere.

6. Vraag welke gebeurtenissen kunnen worden gedetecteerd en geregistreerd

Een apparaat kan storingen melden zonder een beveiligingsgebeurtenislogboek bij te houden. Vraag daarom precies wat het apparaat registreert.

Relevante gebeurtenissen zijn onder andere configuratiewijzigingen, firmware-updates, mislukte toegangspogingen en communicatiestoringen.

Controleer of de records een tijdstempel bevatten, hoelang ze beschikbaar blijven en of ze kunnen worden geëxporteerd. Als de aandrijving deze functies niet heeft, bepaal dan wat het besturingssysteem of de onderhoudstools in plaats daarvan moeten registreren.

Bewaar voor het oplossen van problemen het model, de firmwareversie, de goedgekeurde instellingen en het inbedrijfstellingsrapport. Deze details helpen om een storing in de apparatuur te onderscheiden van een onverwachte wijziging.

7. Verifieer de ondersteuning en certificeringsclaims van leveranciers

Vraag naar een beveiligingscontactpersoon, een meldprocedure voor kwetsbaarheden, een updatebeleid en de verwachte ondersteuningsperiode.

Vraag, indien van toepassing, een softwarebill-of-materials of informatie over meegeleverde software van derden aan. Spreek daarnaast af hoe kopers beveiligingsmeldingen ontvangen.

Als er certificering wordt opgegeven, controleer dan:

• De uitgevende instantie en het certificaatnummer.
• Het toepasselijke normonderdeel.
• Het betreffende product en de hardwareversies.
• Firmwareversies en communicatieopties.
• Opgegeven beveiligingsmogelijkheden en vermelde voorwaarden.
• Vereiste aannames voor installatie en gebruik.

Een certificaat voor een veilig ontwikkelingsproces certificeert niet automatisch de technische mogelijkheden van elk product. Evenmin garandeert een componentcertificaat de beveiliging van de hele installatie.

Pas de checklist toe bij de inkoop bij OMKEE

Op de website van OMKEE worden elektrische klepaandrijvingen gepresenteerd met verschillende bedieningsconfiguraties, waaronder contactgestuurde bediening en analoge modulerende besturing. Deze verschillen maken modelspecifieke interfacecontroles belangrijk.

Vraag OMKEE voor elke voorgestelde digitale of veldbusconfiguratie om de daadwerkelijke communicatiefuncties en beschikbare beveiligingsdocumentatie te bevestigen. Leid de cyberbeveiligingscertificering niet af van behuizingsclassificaties, explosiebeveiliging, CE-markering of kwaliteitsmanagementcertificaten.

Stuur OMKEE een projectoverzicht met daarin de klepbelasting, het koppel, de voeding, de bedieningsinterface, de netwerkarchitectuur, het vereiste gedrag bij storingen en de benodigde beveiligingsdocumentatie.

Spreek ten slotte met de leverancier en systeemintegrator af hoe de acceptatiecontroles worden uitgevoerd. Test de goedgekeurde configuratie in een gecontroleerde omgeving voordat deze in bedrijf wordt gesteld en leg vast welke beveiligingsmaatregelen behoren bij de actuator en welke bij het bredere besturingssysteem.