เหตุใดข้อมูลความปลอดภัยของ TMR จึงควรอยู่บน HMI ของ DCS
ตัวควบคุม ICS Triplex Trusted ที่ได้รับความไว้วางใจมอบการป้องกันแบบสามโมดูลสำรองสำหรับกังหัน เครื่องอัด และหน่วยกระบวนการ ผู้ปฏิบัติงานจำเป็นต้องเห็นสถานะการทริปและสภาพความสมบูรณ์ของระบบโดยไม่กระทบต่อฟังก์ชันความปลอดภัย Honeywell Experion PKS สามารถแสดงข้อมูลนี้ผ่านลิงก์ Modbus TCP แบบอ่านอย่างเดียวได้
ประการแรก ลิงก์นี้เป็นการสื่อสารทางเดียวจาก SIS ไปยัง DCS ประการที่สอง DCS ไม่สามารถสั่งการระบบความปลอดภัยได้ ดังนั้น หลักการแยกระบบตามมาตรฐาน IEC 61511 จึงยังคงเป็นไปตามข้อกำหนด พร้อมทั้งช่วยปรับปรุงการรับรู้สถานการณ์ของผู้ปฏิบัติงาน
ขั้นตอนที่ 1: แยกเครือข่ายความปลอดภัยและเครือข่ายควบคุม
วางเครือข่าย ICS Triplex Trusted ไว้บน VLAN แยกจาก Experion PKS ใช้ไฟร์วอลล์หรือไดโอดข้อมูลเพื่อบังคับให้การรับส่งข้อมูลเป็นแบบทางเดียว ตัวอย่างแผนเครือข่าย:
- เครือข่าย Honeywell Experion PKS: 10.10.1.0/24
- เครือข่าย ICS Triplex Trusted: 10.20.2.0/24
- กฎไฟร์วอลล์: อนุญาต TCP 502 จาก Trusted ไปยัง PKS เท่านั้น
- ไม่มีเส้นทางจาก PKS ไปยังเครือข่าย Trusted
นอกจากนี้ ให้ปิดบริการที่ไม่ได้ใช้งานบนโมดูลสื่อสาร Trusted เพื่อลดพื้นผิวการโจมตี สุดท้าย ให้บันทึกความพยายามเชื่อมต่อทั้งหมดที่ไฟร์วอลล์เพื่อใช้ในการตรวจสอบความปลอดภัย
ขั้นตอนที่ 2: กำหนดค่าเซิร์ฟเวอร์ Modbus TCP ของ Trusted
ในเวิร์กสเตชันวิศวกรรม ICS Triplex ให้เปิดใช้งานอินเทอร์เฟซ Modbus TCP บนโมดูลสื่อสาร Trusted กำหนดแผนผังรีจิสเตอร์แบบอ่านอย่างเดียวเพื่อให้ DCS มองเห็นข้อมูล รีจิสเตอร์สถานะที่ใช้โดยทั่วไป ได้แก่:
- 40001: สถานะความสมบูรณ์โดยรวมของ SIS
- 40002: สถานะการทริปของกังหันหลัก
- 40003: การทริปของระบบป้องกันความเร็วเกิน
- 40004: สถานะการทริปจากการสั่นสะเทือน
- 40005: รหัสสาเหตุการทริปแรก
- 40006: สถานะความซ้ำซ้อนของโมดูล
อย่างไรก็ตาม ห้ามเปิดเผยตัวแปรลอจิกภายในหรืออนุญาตให้เขียนข้อมูล เป้าหมายคือการมองเห็นสถานะเท่านั้น ดังนั้น ให้กำหนดค่าเซิร์ฟเวอร์เป็นแบบอ่านอย่างเดียวและตรวจสอบด้วยการดักจับแพ็กเก็ต
ขั้นตอนที่ 3: กำหนดค่าไคลเอ็นต์ Modbus ของ Experion PKS
ใน Honeywell Control Builder ให้เพิ่มฟังก์ชันบล็อกไคลเอ็นต์ Modbus TCP ป้อนที่อยู่ IP ของเซิร์ฟเวอร์ Trusted และพอร์ต 502 ใช้รหัสฟังก์ชัน 03 เพื่ออ่านข้อมูลรีจิสเตอร์แบบ Holding
ขั้นตอนที่ 1: ตั้งค่าอัตราการอ่านข้อมูลเป็น 1,000 มิลลิวินาที ขั้นตอนที่ 2: แมปรีจิสเตอร์แต่ละรายการกับพารามิเตอร์ควบคุมหรือแท็ก HMI ของ Experion ขั้นตอนที่ 3: เพิ่มสัญญาณเตือนความขัดข้องของการสื่อสาร หากลิงก์ขาด ผู้ปฏิบัติงานต้องทราบทันทีว่าสถานะ SIS อาจเป็นข้อมูลเก่า
ขั้นตอนที่ 4: สร้างหน้าจอสำหรับผู้ปฏิบัติงาน
สร้างหน้าจอแสดงสถานะ SIS โดยเฉพาะใน Experion HMIWeb ใช้สีและสัญลักษณ์ที่ชัดเจน แสดงรายการสำคัญต่อไปนี้:
- ตัวแสดงสถานะ SIS สมบูรณ์ / ขัดข้อง
- สรุปการทริปพร้อมสาเหตุการทริปแรก
- สถานะความซ้ำซ้อนของโมดูลสำหรับแต่ละช่องสัญญาณ TMR
- สถานะลิงก์การสื่อสารและเวลาที่อัปเดตล่าสุด
นอกจากนี้ ให้เพิ่มหมายเหตุเตือนผู้ปฏิบัติงานว่าการรีเซ็ตและการบายพาส SIS ทั้งหมดต้องดำเนินการที่สถานีวิศวกรรม Trusted หน้าจอ DCS มีไว้เพื่อแสดงข้อมูลเท่านั้น สุดท้าย ให้ตรวจสอบหน้าจอเป็นประจำทุกปีเพื่อให้แน่ใจว่าสอดคล้องกับลอจิกความปลอดภัยปัจจุบัน
ข้อผิดพลาดทั่วไปที่ควรหลีกเลี่ยง
- อนุญาตให้มีการรับส่งข้อมูลแบบสองทิศทางระหว่างเครือข่าย DCS และ SIS
- อ่านข้อมูลจากตัวควบคุมความปลอดภัยถี่เกินไปจนส่งผลต่อประสิทธิภาพแบบเรียลไทม์
- เปิดเผยตัวแปรวินิจฉัยที่เผยให้เห็นลอจิกการโหวตภายใน
- ไม่มีสัญญาณเตือนความขัดข้องของการสื่อสาร ทำให้ผู้ปฏิบัติงานเชื่อถือข้อมูลเก่า
สุดท้าย ให้วิศวกรความปลอดภัยเชิงหน้าที่ของหน้างานเข้าร่วมการทบทวนการออกแบบ อินเทอร์เฟซ SIS-DCS ใด ๆ ต้องมีเหตุผลรองรับที่จัดทำเป็นเอกสารตามมาตรฐาน IEC 61511
สรุปและคำแนะนำในการดำเนินการ
การผสานรวม ICS Triplex Trusted กับ Honeywell Experion PKS ผ่าน Modbus TCP แบบอ่านอย่างเดียว ช่วยเพิ่มการรับรู้ของผู้ปฏิบัติงานพร้อมคงความเป็นอิสระของระบบความปลอดภัยไว้ แยกเครือข่าย เปิดเผยเฉพาะรีจิสเตอร์สถานะ และเพิ่มสัญญาณเตือนความขัดข้องของการสื่อสาร ทบทวนการออกแบบร่วมกับทีมความปลอดภัยเชิงหน้าที่เสมอ และปรับปรุงเอกสารอินเทอร์เฟซให้เป็นปัจจุบันอยู่เสมอ