Irányítástechnikai rendszerarchitektúrák tervezése

Átírás

1 I & C Layers Irányítástechnikai rendszerarchitektúrák tervezése Eiler János BME, Budapest, 2019 április 11 Levels of DiD Technical information / management systems Management system workstations/servers Emergency centre 3. Supervisory control and information systems Servers Workstations Servers Panels Panels Panels 2. Process control systems Normal operation I&C Abnormal operation I&C Accident I&C 3a Accident I&C 3b Severe accident I&C 1. Field control devices 0. Sensors (S) and actuators (A) FCM: Field control module A S A S A S Field control modules Field control modules FCM: signal branching FCM: priority logic International Atomic Energy Agency S A Field control modules

2 Mi az az irányítástechikai architektúra? A biztonság és termelés szempontjából fontos atomerőművi irányítástechnikai rendszerek szervezeti felépítése Az architektúra átfogó módon mutatja az egyes irányítástechnikai rendszereket, azok hierarchiáját és kapcsolatát 2

3 I&C rétegek Az irányítástechikai architektúra rétegeinek koncepciója L4 Műszaki információs / vezetés támogató rendszerek L3 Blokk szintű irányító és ember-gép kapcsolati rendszerek L2 Folyamatirányító rendszerek L1 jelfogadó és vezérlő eszközök Analog input signal Binary input signal Manual control Analog signal conditioning Binary signal conditioning Binary signal conditioning Operator workstations Analog to digital converter A D Data acquisition system Signal multiplexer Display driver or plant computer Processing unit Signal processing (information, logics, interlocks, protection) Process information highway Digital to analog converter D A Binary outputs Control Gateway / Firewall Priority logic / motor control centers I R Alarm and/or signalization Limit position indication M Remote information presentation Analog indicator Strip chart recorder Electrical motors Solenoid valves L0 Érzékelők (S) és beavatkozók (A) Priority manual control (optional) Circuit breakers 3

4 Az irányítástechikai architektúra rétegei 4. réteg (Technical management): Azon rendszerek, amelyek az erőmű műszaki menedzseléséhez és üzemfenntartásához szükségesek. Rendszerint nincs biztonsági funkciójuk. 3. réteg (Supervisory control and information): Azon rendszerek, amelyek a blokk üzemeltetésének irányításához szükségesek és amelyekkel az üzemeltető személyzet (operátorok) közvetlen kapcsolatot tartanak 2. réteg (Process control systems): Az automatikus működtetéseket, szabályzásokat és biztonsági funkciókat ellátó irányítástechnikai rendszerek 1. réteg (Field control): Azon terepi elemek, amelyek információt továbbítanak az érzékelőktől a folyamatirányító rendszerek felé (jel kondicionálás) és amelyek a végrehajtó szervek vezérlését végzik (prioritás logika és beavatkozás) 0. réteg (Sensors and actuators): Érzékelők és végrehajtó szervek a terepen 4

5 Az irányítástechikai architektúra kialakítását meghatározó fő elvek A mélységi védelem (defence in depth, DiD) elve és az irányítástechnikai rendszereknek a mélységi védelem szintjeihez való hozzárendelése Függetlenség biztosítása a mélységi védelem szintjei között fizikai elválasztással, elektromos elszigeteléssel, funkcionális és kommunikációs szétválasztással A rendszerek biztonsági osztályba sorolása 5

6 A mélységi védelem elve A mélységi védelem számos egymástól független védelmi szintet takar, ahol az egyik szinten bekövetkező meghibásodás hatását egy következő szint kompenzálni igyekszik A nukleáris biztonság területén a mélységi védelem általában öt szintből épül fel Az öt szint öt különböző erőművi üzemállapothoz kapcsolódik 6

7 Mélységi védelem a nukleáris biztonság területén - Szintek Szint Cél Támogató eszközök 1 Normál üzem 2 Várható üzemi események 3 Tervezési üzemzavarok Normál üzemtől való eltérés és hibák megelőzése Abnormális üzemi helyzetek kézbentartása és a meghibásodások detektálása Tervezési üzemzavarok kézbentartása a radioaktív kibocsátások korlátozására és a zónaolvadás megakadályozására Konzervatív tervezés és magas minőség biztosítása a szerelésnél és üzemeltetésnél, a blokk fő paramétereinek a meghatározott értékek között tartása Szabályzó, korlátozó, védelmi és monitorozó rendszerek alkalmazása Beépített biztonsági rendszerek és baleset kezelési eljárásrendek 4 Súlyos balesetek Balesetek kifejlődésének megelőzése és súlyos balesetek következményeinek enyhítése Kiegészítő biztonsági intézkedések a zónaolvadás mérséklésére és súlyos baleset kezelési eljárásrendek 5 Telephelyen kívüli hatás Jelentős kibocsátások radiológiai hatásának mérséklése Telephelyen kívüli vészhelyzet kezelése 7

8 A mélységi védelem szintjeinek alkalmazása az irányítástechnikában Szint Cél Irányítástechnikai támogató eszközök 1 Normál üzem Normál üzemtől való eltérés és hibák megelőzése Normál üzemi irányítástechnikai rendszerek 2 Várható üzemi események 3 Tervezési üzemzavarok Abnormális üzemi helyzetek kézbentartása és a meghibásodások detektálása Tervezési üzemzavarok kézbentartása a radioaktív kibocsátások korlátozására és a zónaolvadás megakadályozására Szabályzó, korlátozó és védelmi rendszerek alkalmazása Reaktor leállító rendszer Balesetvédelmi rendszerek Zóna üzemzavari hűtőrendszer automatikája 4 Súlyos balesetek Balesetek kifejlődésének megelőzése és súlyos balesetek következményeinek enyhítése Súlyos baleset kezelés irányítástechnikai rendszerei 5 Telephelyen kívüli hatás Jelentős kibocsátások radiológiai hatásának mérséklése Telephelyen kívüli vészhelyzet kezelése Meteorológiai és sugárzási helyzet monitorozása 8

9 Eddig az irányítástechnikai rétegek és a DiD szintjei is vízszintesen szerepeltek I&C rétegek L4 Műszaki információs / vezetés támogató rendszerek L3 Blokk szintű irányító és ember-gép kapcsolati rendszerek L2 Folyamatirányító rendszerek L1 jelfogadó és vezérlő eszközök L0 Érzékelők (S) és beavatkozók (A) 9

10 I&C rétegek Az irányítástechikai architektúra rétegei L4 Műszaki információs / vezetés támogató rendszerek L3 Blokk szintű irányító és ember-gép kapcsolati rendszerek L2 Folyamatirányító rendszerek L1 jelfogadó és vezérlő eszközök L0 Érzékelők (S) és beavatkozók (A) 10

11 A mélységi védelem szintjeinek függetlensége szempontjából idealizált architektúra I&C rétegek A mélységi védelem szintjei L4 Műszaki információs / vezetés támogató rendszerek L3 Blokk szintű irányító és ember-gép kapcsolati rendszerek Normál üzem Várható üzemi Tervezési üzemzavarok Súlyos Telephelyen események balesetek kívüli hatás Vezetés támogató munkahelyek HSI Szerverek HSI Szerverek Szerverek Szerverek Szerverek Baleseti vezetési pont HSI HSI HSI HSI Szerverek L2 Folyamatirányító rendszerek Normál üzemi I&C Üzemzavari I&C Baleseti I&C 3a Baleseti I&C 3b Súlyos baleseti I&C Vészhelyzeti I&C L1 jelfogadó és vezérlő eszközök L0 Érzékelők (S) és beavatkozók (A) S A S A S A S A S A S A HSI: Ember-gép kapcsolati felület 11

12 A mélységi védelem szintjeinek alkalmazása az irányítástechnikában Egy ideális irányítástechnikai architektúrában minden védelmi szintnek saját, önálló rendszerei és rendszerelemei vannak (érzékelők, vezérlések, terepi eszközök, folyamatirányító rendszerek, stb.), beleértve az ember-gép kapcsolati felületeket is Nem történik kommunikáció az egyes szintek között 12

13 A mélységi védelem szintjeinek realisztikus alkalmazása az irányítástechnikában A valóságban a kompromisszumok elkerülhetetlenek, mivel bizonyos erőforrások több védelmi szinthez is közösek (érzékelők, beavatkozó szervek, ember-gép kapcsolati felület) Sokszor maga a blokk építészeti elrendezése sem teszi lehetővé a teljeskörű függetlenséget (helyiségek, kábelnyomvonalak, stb.) Amikor különböző DiD szintek megosztanak erőforrásokat, elemzésekkel kell igazolni, hogy a feltételezhető események és kockázatok kezelhetőek maradnak 13

14 A mélységi védelem szintjeinek függetlensége szempontjából idealizált architektúra I&C rétegek A mélységi védelem szintjei L4 Műszaki információs / vezetés támogató rendszerek L3 Blokk szintű irányító és ember-gép kapcsolati rendszerek Normál üzem Várható üzemi Tervezési üzemzavarok Súlyos Telephelyen események balesetek kívüli hatás Vezetés támogató munkahelyek HSI Szerverek HSI Szerverek Szerverek Szerverek Szerverek Baleseti vezetési pont HSI HSI HSI HSI Szerverek L2 Folyamatirányító rendszerek Normál üzemi I&C Üzemzavari I&C Baleseti I&C 3a Baleseti I&C 3b Súlyos baleseti I&C Vészhelyzeti I&C L1 jelfogadó és vezérlő eszközök L0 Érzékelők (S) és beavatkozók (A) S A S A S A S A S A S A HSI: Ember-gép kapcsolati felület 14

15 Egy átfogó irányítástechnikai architektúra realisztikusabb változata I&C rétegek A mélységi védelem szintjei L4 Műszaki információs / vezetés támogató rendszerek L3 Blokk szintű irányító és ember-gép kapcsolati rendszerek Normál üzem Várható üzemi Tervezési üzemzavarok Súlyos Telephelyen események balesetek kívüli hatás Vezetés támogató munkahelyek Operátori munkaállomások Panelek Panelek Panelek Szerverek Szerverek Baleseti vezetési pont L2 Folyamatirányító rendszerek Normál üzemi I&C Üzemzavari I&C Baleseti I&C 3a Baleseti I&C 3b Súlyos baleseti I&C L1 jelfogadó és vezérlő eszközök L0 Érzékelők (S) és beavatkozók (A) S A S A S A S A 15

16 Modern irányítástechnikai architektúra 16

17 Általános irányítástechnikai tervezési elvek International Atomic Energy Agency

18 A nukleáris biztonsági irányító rendszerekre vonatkozó követelmények NAÜ Biztonsági Útmutató Számos IEC és IEEE szabvány 18

19 Alapvető biztonsági megfontolások Biztonsági osztályba sorolás Redundancia (az egyszeres meghibásodások hatása ellen) Függetlenség (fizikai, villamos, kommumikációs, stb.) Diverzitás (a redundancia egy formája a közös okú meghibásodások elleni védelemre) Kiberbiztonság Rendszer integritás Minőség, megbízhatóság Biztonság irányába történő meghibásodás elve Tesztelés, tesztelhetőség, öndiagnosztika Pontosság, válaszidő Karbantarthatóság Berendezés minősítés (beleértve a környezeti és az electromágneses kompatibilitást) 19

20 A rendszerek és komponensek biztonsági osztályba sorolása Safety Guide SSG-30 OAH N3a.36.sz. 20

21 A rendszerek biztonsági osztályba sorolása A biztonsági osztályba sorolás alapja a rendszer által teljesített funkció biztonsági fontossága Differenciált, egyre szigorodó követelmények vonatkoznak az egyre magasabb osztályba sorolt rendszerekre A programozható irányítástechnikai rendszerek és rendszerelemek tervezését és kivitelezését az adott biztonsági besorolású, programozott irányítástechnikai rendszerekre és rendszerelemekre vonatkozó kiválasztott szabványoknak megfelelően, differenciált követelmények szerint kell végezni. 21

22 Redundancia Egymással megegyező (vagy különböző) rendszerek és berendezések biztosítása ugyanazon funkció végrehajtására A redundáns rendszer mindegyik ága (csatornája) egyedül is képes kell legyen a megkövetelt biztonsági funkció ellátására, függetlenül a többi csatorna üzemállapotától vagy meghibásodásától Az irányítástechnikában a megbízhatóság növelésére, az egyszeres meghibásodások hatása elleni védekezésre használják Egyszeres meghibásodás: bármely rendszerelemnek, komponensnek a véletlenszerű meghibásodása 22

23 Példa a redundancia alkalmazására 23

24 Példa a redundancia alkalmazására 1 2 A kettős redundancia növeli ugyan a megízhatóságot, de ugyanakkor növeli a téves működés lehetőségét is 24

25 Példa a redundancia alkalmazására 25

26 Függetlenség Egy berendezésnek, rendszernek az a képessége, hogy a tőle elvárt funkciót el tudja látni más berendezések működésétől vagy meghibásodásától függetlenül A függetlenség ahhoz szükséges, hogy egy egyszeres meghibásodás ne tudja befolyásolni egy biztonsági rendszer több redundáns csatornáját vagy több olyan rendszert, amelyek a mélységi védelem különböző szintjein helyezkednek el 26

27 Egy átfogó irányítástechnikai architektúra realisztikusabb változata I&C rétegek A mélységi védelem szintjei L4 Műszaki információs / vezetés támogató rendszerek L3 Blokk szintű irányító és ember-gép kapcsolati rendszerek Normál üzem Várható üzemi Tervezési üzemzavarok Súlyos Telephelyen események balesetek kívüli hatás Vezetés támogató munkahelyek Operátori munkaállomások Panelek Panelek Panelek Szerverek Szerverek Baleseti vezetési pont L2 Folyamatirányító rendszerek Normál üzemi I&C Üzemzavari I&C Baleseti I&C 3a Baleseti I&C 3b Súlyos baleseti I&C L1 jelfogadó és vezérlő eszközök L0 Érzékelők (S) és beavatkozók (A) S A S A S A S A 27

28 A függetlenség biztosításának különféle összetevői Separation Physical separation Electrical isolation Functional independence Independence of communication Independence of supply systems Separation by distance Overvoltage barrier Non-interference of safety & process functions Data communication independence Power supply (incl. battery) Structural separation Short circuit / overcurrent barrier Non-interlocking of automatic safety actuations HVAC Electrical non-reactive Non-interference by service functions Electrical insulation HVAC: Heating, ventilation and air-conditioning 28

29 A közös okú meghibásodás fogalma A közös okú meghibásodás (common cause failure, CCF) két vagy több rendszernek, rendszerelemnek az egyszerre történő meghibásodását jelenti annak eredményeként, hogy egy mindegyikőjükben fennálló szisztematikus (általában rejtett) hiba valamitől aktiválódik A kiváltó mechanizmus rendszerint egy konkrét esemény vagy működési körülmény A közös okú hiba mindig jelentkezni fog (nem véletlenszerűen), amikor a rejtett hibát a kiváltó mechanizmus aktiválja Digitális rendszerekben a rejtett hibák rendszerint a fejlesztés során kerülnek a szoftverbe és ha a tesztelés nem deríti fel őket, akkor ott is maradnak 29

30 Hogyan okoznak a szoftver hibák közös okú meghibásodást? Szoftver hiba Meghibásodás Kiváltó esemény A kiváltó esemény egyszerre több csatornánál jelentkezik CCF A közös okú meghibásodás lehetősége fennáll, ha ugyanannak a szoftvernek a másolatai kerülnek telepítésre egy biztonsági rendszer összes rendundáns csatornájában A szoftverben rejlő hiba semlegesítheti a redundancia által kínált megbízhatóságot

31 Védekezés a közös okú meghibásodás ellen A diverzitás (többféleség) fogalma azt tükrözi, hogy két vagy több rendundáns rendszer vagy rendszerelem különbözőképpen hajt végre egy meghatározott funkciót A diverz elemeknek különböző tulajdonságaik vannak, ami csökkenti a közös okú hibák kialakulásának lehetőségét Az irányítástechnikai rendszerekben alkalmazott diverzitás tipikus formái: Terv Emberi Funkcionális (Bemeneti) jel Berendezés és rendszer Szoftver (Alkalmazási példa a Modernizáció előadásban) 31

32 Irányítástechnikai rendszerek kiberbiztonsága A cél az, hogy a nukleáris biztonsági és kiberbiztonsági funkciókat integráljuk úgy, hogy mindkét biztosági cél egyidejűleg teljesüljön Mindig a nukleáris biztonság élvezi a magasabb prioritást A kibertámadások négy fajtája: Az adattovábbítás blokkolása és/vagy a rendszerek leállítása (a rendszer rendelkezésre állásának elvesztése) Az információhoz való jogtalan hozzáférés és az adatok gyűjtése (bizalmas adatok) Az információ (vagy a program) befogása és módosítása (integritás) Jogtalan behatolás az adatkommunikációba vagy a rendszerbe és a vezérlés átvétele vagy az operátor megtévesztése (a megbízhatóság elvesztése) 32

33 Példák hálózati támadásokra Az adattovábbítás blokkolása és/vagy a rendszerek leállítása Az információhoz való jogtalan hozzáférés és az adatok gyűjtése Az információ (vagy a program) befogása és módosítása Az operátor megtévesztése, amitől az téves beavatkozást fog végezni A vezérlés átvétele a rendszer fölött 33

34 Az irányítástechnikai rendszerekben alkalmazott kiberbiztonság elemei Kiberbiztonsági szintek Kiberbiztonsági zónák Kiberbiztonság szemponjából védett architektúrák kialakítása Kiberbiztonsági intézkedések A szállítói lánccal kapcsolatos megfontolások Az életciklussal kapcsolatos megfontolások Tervezés Szoftver fejlesztés Üzemeltetés Karbantartás, stb. 34

35 Significance of facility function Generic requirements Kiberbiztonsági szintek Minden irányítástechnikai rendszer és rendszerelem besorolásra kerül a nukleáris és a kiberbiztonsági fontosságuk szerint A kiberbiztonsági szintek egyre szigorodó követelményeket tartalmaznak, amelyek meghatározzák a szükséges védelem mértékét Level 1 requirements Highest requirement for security Level 2 requirements Level 3 requirements Level 4 requirements Level 5 requirements Stringency of requirements Lowest requirement for security 35

36 Kiberbiztonsági zónák A kiberbiztonsági zónák olyan logikailag vagy fizikailag egy csoportba sorolható rendszereket és rendszerelemeket foglalnak magukba, amelyek azonos szintű kibervédelmet igényelnek Egy zónán belül minden rendszer ugyanarra a kiberbiztonsági szintre kerül A zónát egy megbízható területnek tekintjük a benne foglalt rendszerek és rendszerelemek egymás közötti, belső kommunikációja szempontjából A zónán belül nincs szükség kiberbiztonsági intézkedésekre 36

37 A kiberbiztonsági szintek és zónák kialakítása Not associated with the facility Security Level 5 Z 4B Z 3B S f S g S h S j Security Level 4 S b S c S d Security Level 3 Security Level 2 Complex Complexity of computer security zones Simple Z 1A S a Security Level 1 few Number of facility functions many Loose Definition of computer security zones Strict high Significance of facility functions low Key: computer security levels e.g. 1, 2, 3, 4, 5 computer security zones e.g. Z 1A, Z 2A, Z 3A, Z 3B systems e.g. S a, S b, S c, S d 37

38 Kiberbiztonsági intézkedések a zónák határánál a kommunikáció korlátozására Not associated with the facility Security Level 5 Z 4B Z 3B S f S g S h Security Level 4 S b S c S d S j Security Level 3 Security Level 2 Complex Complexity of computer security zones Simple Z 1A S a Security Level 1 few Number of facility functions many Loose Definition of computer security zones Strict high Significance of facility functions low Key: computer security levels e.g. 1, 2, 3, 4, 5 computer security zones e.g. Z 1A, Z 2A, Z 3A, Z 3B systems e.g. S a, S b, S c, S d computer security measures between systems located within different zones or security levels 38

39 Kiberbiztonság szemponjából védett architektúrák kialakítása A kommunikáció korlátozása a kiberbiztonsági szintek között Level 1 Level 2 Level 3 Level 4 Level 5 39

40 Kiberbiztonsági intézkedések Az intézkedések a rosszindulatú tevékenységek megakadályozását, detektálását és késleltetését szolgálják, illetve válaszlépést indítanak a támadások következményeinek enyhítése érdekében Műszaki intézkedések Tűzfalak, behatolásérzékelés Fizikai intézkedések Ajtók, kapuk, zárt berendezés szekrények Adminisztratív intézkedések Eljárásrendek, kiberbiztonsági terv, kiberbiztonság szemponjából védett architektúrák kialakítása 40

41 Köszönöm szépen a figyelmet! International Atomic Energy Agency