Duas normas, dois riscos
IEC 61508 e IEC 62443: em que se diferenciam.
A IEC 61508 trata da segurança funcional (safety): que o sistema não falhe de forma perigosa. A IEC 62443 trata da cibersegurança (security): que ninguém possa atacá-lo ou manipulá-lo de propósito. Elas se complementam; uma não substitui a outra.
Comparação entre IEC 61508 e IEC 62443| Aspecto | IEC 61508 | IEC 62443 |
|---|
| Contra o que protege | Falhas aleatórias de hardware e erros sistemáticos de projeto ou software. | Ações intencionais: ataques, acessos não autorizados, malware e manipulação. |
|---|
| Nível que define | SIL 1 a 4 (Safety Integrity Level). | SL 0 a 4 (Security Level). |
|---|
| Como o nível é medido | Probabilístico. Em baixa demanda, o SIL1 exige uma PFD entre 10⁻² e 10⁻¹ e o SIL2 entre 10⁻³ e 10⁻². Em modo contínuo, usa-se a PFH por hora. | Não é probabilístico. Depende da capacidade do atacante: SL1 cobre erros ou acessos casuais, SL2 um ataque intencional com meios simples e SL3 e SL4 atacantes com recursos e conhecimento específico de sistemas industriais. |
|---|
| Ferramentas típicas | Análise de risco (HAZOP, LOPA), tolerância a falhas (HFT), cobertura de diagnóstico, fração de falhas seguras (SFF) e capacidade sistemática. | Zonas e condutos, 7 requisitos fundamentais (autenticação, integridade, confidencialidade, entre outros) e ciclo de desenvolvimento seguro. |
|---|
| Estrutura | Norma genérica em 7 partes, com derivadas por setor: IEC 61511 para processos e IEC 62061 / ISO 13849 para máquinas. | Organizada por papel: proprietário do ativo (série 2), integrador (3-2 e 3-3) e fabricante do produto (4-1 processo e 4-2 componente). |
|---|
IEC 62443 no FCX
Os 7 requisitos fundamentais, aplicados.
A IEC 62443 organiza a cibersegurança industrial em sete requisitos fundamentais (FR). É assim que os trabalhamos no FCX.
- FR 1 Identificação e autenticação
- O acesso de manutenção exige autenticação e bloqueia automaticamente tentativas falhas repetidas. A conta de operação não permite login com senha.
- FR 2 Controle de uso
- O operador trabalha com uma conta sem privilégios, em uma tela em modo quiosque que não dá acesso ao sistema. Até 10 níveis de usuário, com usuários ilimitados por nível, para que cada pessoa veja e opere apenas o que lhe corresponde.
- FR 3 Integridade do sistema
- Sistema base somente leitura, software reduzido ao mínimo e interface isolada, sem extensões nem instalações possíveis.
- FR 4 Confidencialidade dos dados
- Interface de operação por HTTPS, sem telemetria, sem sincronização e sem contas externas.
- FR 5 Fluxo restrito de dados
- Todo o tráfego de entrada bloqueado por padrão; só são habilitadas as portas de que o processo precisa, dentro das zonas e condutos da planta.
- FR 6 Resposta oportuna a eventos
- Registro de instalação, inicialização e acessos, e bloqueio automático das origens que tentam forçar o acesso.
- FR 7 Disponibilidade de recursos
- Memória sem swap e com reserva garantida, sem suspensão nem hibernação, e reinício automático da interface em caso de falha.
Programação IEC 61131-3
Programado com objetos, conforme a IEC 61131-3.
O software do FCX é projetado com programação orientada a objetos conforme a IEC 61131-3, a norma internacional de programação de controladores: um código organizado, reutilizável e que não depende de um fabricante.
Norma aberta
Linguagens e estrutura definidas pela norma, não por uma marca: o controle pode ser lido e mantido sem depender de um fornecedor de hardware.
Cada equipamento, um objeto
Compressores, chillers, válvulas e evaporadores são programados como objetos com sua própria lógica. São testados uma vez e reutilizados em cada planta.
Herança e interfaces
As variantes de um equipamento herdam o que é comum e acrescentam o próprio: ampliar a planta não obriga a reescrever o controle.
Tarefas determinísticas
O programa é organizado em tarefas com ciclo e prioridade definidos, para que cada parte do processo responda a tempo.
Dados com tipagem estrita
Tipos e faixas definidos detectam valores fora do lugar no projeto, não na planta.
Base para SIL e SL
Um software modular, rastreável e verificável é a base que pedem a IEC 61508 e a IEC 62443.
Controle virtualizado
O FCX também roda em servidores de controle virtualizados.
Há 30 anos desenvolvemos controle industrial por software. Há 10 anos começamos a migrar para o CODESYS, com programação orientada a objetos, em busca de sistemas seguros e confiáveis. Com essa experiência levamos o FCX a servidores de planta virtualizados, em contêineres ou sobre hipervisor, com a mesma lógica de controle e as mesmas regras de segurança.
Vários controles em um servidor
Cada processo roda em sua própria instância de controle, isolada das demais. Menos hardware, menos cabeamento e menos painéis para manter.
Ciclo de controle previsível
Definimos a plataforma e a reserva de recursos de cada instância para que o controle responda a tempo, mesmo compartilhando o servidor.
Campo por Ethernet industrial
Os equipamentos de campo se conectam pela rede industrial, como com um controlador físico.
Manutenção centralizada
Atualizações, backups e novas funções são gerenciados a partir do servidor, sem intervir painel por painel.
Cada instância, uma zona
Cada instância é tratada como uma zona da IEC 62443, com seu próprio controle de acesso e de tráfego. As funções SIL permanecem em hardware de segurança dedicado.
Disponibilidade projetada
Planejamos a redundância de servidores e armazenamento para que o controle não dependa de um único equipamento.
