核电厂仪控系统安全和网络安全协调要求

文/孙永胜 夏丹阳

1 引言

随着现代工业技术的发展，工业化与信息化正在不断融合，工业控制系统越来越多采用通用的通信协议和软硬件系统，并且以各种方式接入网络，从而打破了这些系统原有的封闭性和专用性，造成病毒、木马等安全威胁向工控领域迅速扩散。工业控制系统所面临的信息安全问题日益严重，而且呈现出诸多与传统IT系统不同的特点。核电厂作为国家关键基础设施，是关注的核心，重中之重。仪控系统作为核电厂的神经中枢、关键数字资产，是重点保护对象。而仪控系统从功能安全角度已有完整的法规标准和技术。如何在不降低安全的情况下考虑加强信息安全，有必要提出协调功能安全和信息安全的整体框架。

2 安全和网络安全协调要求

2.1 基本原则

数字式仪控系统整体结构层面应考虑以下原则：

（1）网络安全措施不能影响核电厂安全目标。网络安全措施不应损害仪控系统架构实施的多样性和纵深防御的有效性。

（2）首先按照IEC61513的要求，进行仪控系统功能初次分配，并进行仪控系统架构总体设计，然后考虑可能影响整体系统架构的网络安全要求。通过迭代设计过程，将可能影响系统架构的网络安全要求整合到一起。

（3）网络安全功能不得对安全重要功能所要求的性能、有效性、可靠性和可操作性产生不利影响。

（4）安全重要系统增加的网络安全特征应进行失效模式和后果分析，并考虑预防、控制或缓解措施。

（5）当两种架构设计有相同等级的安全性时，优先考虑具备网络安全防范特性的设计。但应避免不必要的复杂设计，因为复杂设计既不利于功能安全也不利于网络安全。

2.2 网络安全区域划分原则

为了更切实地实施分级方法，需要将仪控系统中的基于计算机的和基于数字逻辑的系统划分为若干安全区域，分级保护原则适用于各个安全区域。区域允许将在安全和设备功能方面有着相似重要性的系统分为一组，以管理并应用保护措施。定义安全区域的标准可能包括组织问题、本地化、架构或技术方面。划分网络安全区域应考虑如下原则：

（1）网络安全区域的划定应考虑和利用为加强安全目的而引入的独立性和物理隔离要求；

（2）划定网络安全区域应同时考虑数据通信、地理/物理隔离以及独立性等方面；

（3）除非能够从网络安全防范角度有效的过滤和监测分隔之间的通信，否则由多个子列组成的仪控系统应划分到同一个网络安全区域中。

2.3 共因故障处理原则

在某些情况下，共因故障的措施，有利于网络安全防范。具体情况需由负责网络安全人员基于特定场景可能的恶意攻击和潜在威胁进行评估。多样性手段在网络安全防范中使用，利弊需要具体分析。以串联方式可以增加网络安全效果，但是会引入复杂性；以并联方式则可能增加系统接入路径和漏洞。对于集成到系统中的网络安全防范措施，应分析其可能在多样性系统间引入共因故障的潜在风险。存在风险时，应考虑替代措施，在保证充分的网络安全的同时，降低共因故障风险。

2.4 隔离原则

隔离设计在某些情况下也可用于网络安全防范。应由负责网络安全的人员按照场景进行分析，利用隔离措施促进安全防范。功能安全相关标准所提出的用于支持A类功能的控制系统的独立性要求，对网络安全是有益的，应针对具体场景进行评估和验证，以便在网络安全防范中纳入这些措施。这些控制系统的独立性要求包括：

（1）对于那些仅用于检测或保护目的的A类信号，对同时用于控制系统（无论其类别）的A类系统信号需要予以特别关注。这是由于传感器故障可导致控制系统的测量值超出需求容许值，并产生不安全的控制动作，同时还会方案保护系统对不安全工况的探测。

（2）保护系统和控制系统应设计成如下的形似和：对两个系统之间所传递的信号，假设单一故障包括了后继故障，不能引发事故或要求安全动作的瞬态，同时，也不能引发A类系统不可接受的降级。

（3）当A类系统内的一个单一随机故障及其后任何后续故障可引发一个控制系统动作，从而成为导致一个要求安全动作的工况时，即使此时有第二个随机故障使得A类系统降级，A类系统仍应有提供安全动作的能力。应采取措施，无论任何原因，包括测试或维修目的，使得部件或组建旁通或退出运行，系统都应满足这一要求。

（4）即使有效的旁通、传感器和设备有测试证据证明的高可靠性，对提供控制信号的二取一表决的保护系统将要求比较论证和证明。如果在维护期间使用了合适的旁通措施，则采用故障安全的设备和自动探测故障传感器的三取二系统能够满足要求。

3 结语

在核电厂仪控系统设计时，考虑功能安全和信息安全的协调要求，使仪控系统在保证安全性的同时也具备适当的信息安全特性，为确保电站安全稳定运行、免受网络攻击提供了有力保障。