摘要：隨著工業(yè)發(fā)展的日新月異，工控系統(tǒng)安全問題愈發(fā)引人關(guān)注。研究表明，工業(yè)控制系統(tǒng)的信息安全可能直接影響功能安全問題，本文就來討論工業(yè)信息安全對(duì)功能安全的影響。

　　關(guān)鍵詞：工控，功能安全，信息安全

　　引言

　　我國是工業(yè)大國，自“十三五”以來，工業(yè)總量規(guī)模穩(wěn)步提升。隨著工業(yè)化和信息化融合加速，工控系統(tǒng)接口越來越開放，解決外部對(duì)系統(tǒng)惡意入侵的工業(yè)信息安全問題日益嚴(yán)重，國家出臺(tái)大量舉措，大力加強(qiáng)工業(yè)信息安全保障能力建設(shè)。除工業(yè)信息安全，功能安全也同為重要，早期人們對(duì)電子技術(shù)和計(jì)算機(jī)系統(tǒng)的可靠性、安全性沒有信心，而功能安全保證電氣、電子、計(jì)算機(jī)、現(xiàn)場(chǎng)總線技術(shù)構(gòu)成的安全相關(guān)系統(tǒng)安全，現(xiàn)今通過外部網(wǎng)絡(luò)攻擊也可能會(huì)影響功能安全。2008年，伊拉克向土耳其輸送原油的輸油管道發(fā)生爆炸，土耳其為監(jiān)控1099英里石油管道，在這條管道內(nèi)安裝了大量探測(cè)器和攝像頭。然而在爆炸將管道破壞前，卻沒有引發(fā)遇險(xiǎn)信號(hào)。根據(jù)事故調(diào)查，緣由黑客關(guān)閉了警報(bào)、切斷了通信聯(lián)系、給管道內(nèi)的原油大幅增壓?？梢钥闯龉I(yè)控制系統(tǒng)的信息安全可能直接影響功能安全問題，輕則造成財(cái)產(chǎn)損失，重則造成人身傷害危害國家安全，于是早期為保障安全相關(guān)系統(tǒng)的功能安全再次進(jìn)入人們的視線。

　　功能安全的定義及標(biāo)準(zhǔn)

　　功能安全是依賴自動(dòng)保護(hù)的系統(tǒng)或設(shè)備整體安全的一部分，該自動(dòng)保護(hù)系統(tǒng)需要對(duì)其輸入做出正確響應(yīng)，對(duì)失敗有可預(yù)測(cè)的反應(yīng)這包括人為錯(cuò)誤、硬件故障和操作/環(huán)境壓力。舉例來說，鍋爐控制系統(tǒng)在點(diǎn)火后會(huì)對(duì)壓力進(jìn)行監(jiān)控，當(dāng)壓力到達(dá)限定值可能造成危險(xiǎn)時(shí)，鍋爐控制系統(tǒng)會(huì)自動(dòng)關(guān)閉燃料系統(tǒng)。如果該機(jī)制失效，鍋爐持續(xù)燃燒，壓力超過限定值并持續(xù)增高，就會(huì)導(dǎo)致爆炸。

　　工業(yè)革命使我們的生活發(fā)生了翻天覆地的變化，機(jī)器取代人力，大規(guī)模工廠化生產(chǎn)取代個(gè)體手工生產(chǎn)。然而，人們?cè)谙硎芄I(yè)紅利的同時(shí)，由此引發(fā)的災(zāi)難也接踵而至。在二十世紀(jì)，死于工傷事故的人，已成為人類最嚴(yán)重的死因之一。尤其在石油化工與核工業(yè)領(lǐng)域發(fā)生了多次爆炸或泄露事件，如1957年英國軍用溫茨凱爾反應(yīng)堆事故、1979年美國三里島核事故、1984年印度博帕爾的聯(lián)合碳化物工廠泄漏、1986年前蘇聯(lián)的切爾諾貝利核電站發(fā)生泄漏事故。這些工業(yè)事故的起因都是安全相關(guān)系統(tǒng)的功能失效。

　　就是在這種背景下，經(jīng)過不斷實(shí)踐和摸索，歐美頒布了成套的功能安全相關(guān)產(chǎn)品指令和設(shè)計(jì)標(biāo)準(zhǔn)，并深入到各個(gè)領(lǐng)域，如汽車（ISO26262）、軌道控制（EN5012X）、核電（EN61513）、工業(yè)裝備及機(jī)器控制（EN62601, ENISO 13849-1/2）、過程控制（EN61511）等，國際上，IEC形成的IEC61508，IEC61511等系列標(biāo)準(zhǔn)在工業(yè)領(lǐng)域引起強(qiáng)烈反響，已經(jīng)逐步成為各國家、行業(yè)廣泛認(rèn)可的基本功能安全標(biāo)準(zhǔn)，中國也仿效并形成了的相應(yīng)國家標(biāo)準(zhǔn)，其他行業(yè)性功能安全標(biāo)準(zhǔn)也在參照并將逐步形成為國家行業(yè)性標(biāo)準(zhǔn)。

　　工業(yè)信息安全對(duì)功能安全的影響

　　我們整理歸納，總結(jié)出工業(yè)信息安全影響功能安全的三種情況。

　　1. 網(wǎng)絡(luò)攻擊導(dǎo)致功能安全的失效，繼而影響系統(tǒng)安全。

　　以SIS（安全儀表系統(tǒng)）為例，SIS系統(tǒng)大多是應(yīng)用于石油化工、電力等行業(yè)，在工控系統(tǒng)發(fā)生危險(xiǎn)時(shí)，SIS系統(tǒng)使生產(chǎn)裝置進(jìn)入一個(gè)預(yù)定義的安全停車工況，從而使危險(xiǎn)降低到可以接受的最低程度，以保證人員、設(shè)備、生產(chǎn)裝置和環(huán)境的安全。由于工控系統(tǒng)設(shè)計(jì)之初，沒有將信息安全考慮在內(nèi)，使得攻擊者通過網(wǎng)絡(luò)攻擊工控系統(tǒng)，致原本的功能安全失效，造成系統(tǒng)故障，繼而演變成危險(xiǎn)源，使工控系統(tǒng)出現(xiàn)不可接受的風(fēng)險(xiǎn)時(shí)不能將風(fēng)險(xiǎn)降低到可接受范圍，最終導(dǎo)致事故的發(fā)生。

　　2. 工業(yè)信息安全產(chǎn)品影響功能安全。

　　當(dāng)前工業(yè)信息安全產(chǎn)品經(jīng)過專業(yè)機(jī)構(gòu)檢測(cè)、取得銷售許可和檢測(cè)報(bào)告就可以被企業(yè)購買應(yīng)用在工控系統(tǒng)中。然而在檢測(cè)工業(yè)信息安全產(chǎn)品時(shí)依據(jù)的是信息安全技術(shù)相關(guān)產(chǎn)品的技術(shù)要求和測(cè)試評(píng)價(jià)方法，并不會(huì)考慮工控功能安全與工業(yè)信息安全產(chǎn)品相結(jié)合導(dǎo)致的新問題。在2020年12月，內(nèi)蒙古某電廠就發(fā)生了因工業(yè)信息安全產(chǎn)品問題而導(dǎo)致機(jī)組跳機(jī)的事件。此事影響重大，經(jīng)查是一款旁路的設(shè)備，連接兩臺(tái)機(jī)組的交換機(jī)。由于設(shè)備在未加電狀態(tài)時(shí)兩個(gè)網(wǎng)口處于bypass連通狀態(tài)，兩臺(tái)機(jī)組DCS網(wǎng)絡(luò)直接互通，最終導(dǎo)致兩臺(tái)機(jī)組跳機(jī)。Bypass一般應(yīng)用于工業(yè)場(chǎng)景，且只有在串聯(lián)設(shè)備中才可以起到作用，在串聯(lián)設(shè)備故障或斷電時(shí)能第一時(shí)間保障業(yè)務(wù)不被中斷。旁路設(shè)備攜帶bypass主要由于部分安全廠商傾向于避免硬件設(shè)計(jì)差異，將攜帶bypass硬件的設(shè)備同時(shí)應(yīng)用于多款安全產(chǎn)品，包括串聯(lián)部署的防火墻，旁路部署的流量分析、入侵檢測(cè)、日志采集、安全管理等設(shè)備之中，加上開發(fā)時(shí)缺少相應(yīng)管理流程，bypass未從底層關(guān)閉，最終導(dǎo)致事故的發(fā)生。

　　工控系統(tǒng)中對(duì)業(yè)務(wù)的實(shí)時(shí)性要求非常高，網(wǎng)絡(luò)延遲、抖動(dòng)都有可能會(huì)影響功能安全，串聯(lián)部署的工業(yè)信息安全產(chǎn)品顯然會(huì)增加這方面的不確定性。雖然目前還沒有相關(guān)案例證明延遲、抖動(dòng)會(huì)影響工控系統(tǒng)的功能安全，但隨著工業(yè)信息安全的不斷深入下沉，這種風(fēng)險(xiǎn)在不斷提高。同時(shí)工業(yè)信息安全產(chǎn)品實(shí)施的人員缺少對(duì)工控系統(tǒng)功能安全的了解，配置不正確的工業(yè)信息安全產(chǎn)品策略也可能也會(huì)阻斷正常通信，影響功能安全。

　　3. 工業(yè)信息安全加強(qiáng)功能安全，繼而提升工業(yè)安全。

　　在工業(yè)信息安全與功能安全中，有許多相似性，當(dāng)兩者對(duì)安全的需求出現(xiàn)重疊時(shí)，工業(yè)信息安全就可以加強(qiáng)功能安全。如網(wǎng)絡(luò)安全等級(jí)保護(hù)中的安全通信網(wǎng)絡(luò)就在通信傳輸中有要求，應(yīng)采用校驗(yàn)技術(shù)或 密碼技術(shù)保證通信過程中數(shù)據(jù)的完整性，功能安全中也有通信完整性的需求，因此在攻擊者攻破一個(gè)組件時(shí)，另一個(gè)組件依舊可以起到作用。還有一種情況，工業(yè)信息安全產(chǎn)品可以監(jiān)測(cè)工控系統(tǒng)的狀態(tài)，如在某石油管道的關(guān)鍵路徑位置部署的工業(yè)安全審計(jì)系統(tǒng)，不光可以分析網(wǎng)絡(luò)流量異常行為，同時(shí)對(duì)IEC104和OPC數(shù)據(jù)采集進(jìn)行監(jiān)控，當(dāng)發(fā)現(xiàn)網(wǎng)絡(luò)數(shù)據(jù)中斷時(shí)，可分析故障原因，縮短故障處理時(shí)間。

　　結(jié)語

　　功能安全在漫長的歲月中經(jīng)歷了數(shù)不盡的事故才逐步走向完善，信息安全技術(shù)在Purdue模型中大多應(yīng)用于2-4層，隨著工業(yè)互聯(lián)網(wǎng)以及5G、物聯(lián)網(wǎng)等技術(shù)的發(fā)展，信息安全技術(shù)不斷向下與功能安全緊密結(jié)合，二者之談其一保證不了工控系統(tǒng)的安全。本文分析了工業(yè)系統(tǒng)信息安全對(duì)功能安全的三種影響，但還停留在較為淺層的辨析二者關(guān)系。工業(yè)信息安全與功能安全融合還會(huì)暴露更多的問題，這種問題不光是技術(shù)上的，管理上也同樣存在。未來應(yīng)從實(shí)踐中建立聯(lián)系，逐漸積累二者之間的影響，找到覆蓋工控系統(tǒng)全生命周期的一套方法，保障工業(yè)控制系統(tǒng)不受危害。