工業(yè)4.0愿望和網絡安全含義

 

涉及工廠數字化的工業(yè)4.0對工業(yè)市場領域的組織領導者來說有著不同的意義，隨著工廠設備變得智能化和互聯，數字化影響可能對網絡安全產生廣泛的影響。例如，這可能意味著對您的工廠進行轉型以提高自主性和定制能力，從而提高運營總成本并為客戶帶來更高價值。這還可能意味著系統和子系統供應商正在使工廠設備變得更加智能，以實現更大型多單元系統內部和各企業(yè)系統之間制造單元的實時決策和自主交互。根據您希望利用工業(yè)4.0解決方案的方式，采用這些解決方案的策略將取決于它們將在價值鏈中的整合位置以及在工廠內的整合深度。

 

工廠的數字化正在改變價值鏈的各個方面，并直接影響企業(yè)的頂線和底線。最常討論的是創(chuàng)新，它可以解鎖新的收入來源，例如新產品、新服務或二者的某種組合。數字化生產、處理的使用以及邊緣數據的分析都需要新的產品創(chuàng)新，而元數據的收集則產生了優(yōu)化控制、維護和使用的新服務。數字化生產的兩個方面都存在于價值鏈的不同部分，直接影響收入表現。另一方面，降低成本的舉措側重于提高供應鏈效率和優(yōu)化運營績效。這些改進要求在自己的工廠中采用功能更強大的產品和服務。實現工業(yè)4.0的線下效益必須要采用新產品創(chuàng)新。根據人們利用工業(yè)4.0解決方案的方式，網絡安全策略將發(fā)生變化，以確保在工廠中成功采用和擴展數字解決方案。

網絡安全策略也將根據普遍數字解決方案在工業(yè)控制回路邊緣的整合方式而有所變化。傳統的工業(yè)自動化架構迥然不同，并且依賴于將現場設備的控制與工廠的其他信息系統、服務和應用隔離，以防范網絡安全威脅。此外，實際的現場設備通常是具有有限數據交換和邊緣處理的點對點解決方案，這就限制了任何一個設備對系統造成的網絡安全風險。顛覆這種典型的架構并非易事，需要采用分階段的方法。工業(yè)4.0解決方案的積極采用者將需要確定他們希望在工廠中整合新技術的深度，并推動實現這些愿望的網絡安全策略。新的工業(yè)自動化架構有望顯得與眾不同。傳統上使用普渡模型或類似模型將工廠劃分為五個不同的級別，而未來的工廠架構可能并不等同于這一模型。

 

未來的現場設備將檢測和執(zhí)行與制造執(zhí)行和控制相結合。這些設備不僅會在工廠中聯網成一個整合互聯架構，而且其中一些設備將直接連接到企業(yè)系統、互聯網和云服務，這極大地增加了任何一臺設備給系統帶來的網絡安全風險。無論以何種方式感知未來的工業(yè)4.0架構，實現最終目標都將采用多管齊下的方法和網絡安全策略，該策略與在工廠中整合數字解決方案的意識強度有關。

　　

圖2. 過渡到完全數字化的工業(yè)4.0工廠。

 

實現網絡安全工業(yè)4.0的三個步驟

 

對于完全整合解決方案后，工業(yè)4.0會是什么樣子，有很多不同的觀點。有些人認為傳統的工廠設計將基本保持完整，而另一些人的觀點則更加激進，認為新工廠將難以被傳統標準認可。但每個人都認為工廠正在發(fā)生變化，而且不會在一夜之間發(fā)生。這種過渡有一些明顯的原因，但主要原因是目前現場設備的使用壽命。這些設備的設計運行時間超過20年，并可以繼續(xù)運行更長時間。可以努力改造這些設備以實現額外的功能和連接，但是它們將受到其硬件設計的限制，并且工廠系統架構將不得不補償它們的不足之處。從網絡安全角度來看，這些設備將始終受到限制并存在網絡風險。安全設備需要安全的架構和系統設計方法。對具有安全功能的設備進行改造只是權宜之計，將始終留下網絡安全漏洞。完全過渡到數字化工廠將要求設備實現高安全水平，并增強這種安全水平以便能夠抵御網絡攻擊，同時不影響它們實時共享信息和做出決策的能力。彈性即從困難中快速恢復的能力，會對網絡安全的實施方式和實現網絡安全工業(yè)4.0的必要步驟產生巨大影響。

 

要克服的第一個主要障礙是要遵守新的網絡安全行業(yè)標準和最佳實踐。要在不斷變化的工廠內實現合規(guī)，需要采用不同的方法。傳統方法應用信息技術（IT）安全解決方案來隔離、監(jiān)視和配置網絡流量，將無法在工業(yè)4.0工廠中提供所需的彈性。隨著設備實現互聯并共享實時信息，將需要硬件安全解決方案來實現自主實時決策，同時保持工廠的彈性。隨著網絡安全方式的變化，組織也需要適應以迎接新的挑戰(zhàn)。許多組織正在進行重組以構建網絡安全能力，既可以從傳統的工程組織單獨管理，也可以整合到整個組織的項目團隊中。建立一個能夠實施網絡安全解決方案策略以滿足行業(yè)標準和最佳實踐的組織是實現工業(yè)4.0愿望的第一個重要步驟。

 

在組織采用新興安全標準建立穩(wěn)固的基礎之后，以及當他們有能力管理跨產品生命周期和跨組織邊界的安全要求時，他們就可以專注于在工廠單元內提高自主性。只有當工廠中的設備變得足夠智能，能夠根據接收的數據做出決策時，才能實現自主。網絡安全方法是一種系統設計，構建能夠證實信任數據生成來源的數據的邊緣設備。最后有信心通過網絡安全系統提供實時決策，該系統能夠接受來自現實世界的輸入信息、評估其可信度并自主行動。

 

最后一個問題是建立一個不僅連接到云，而且通過云服務與其他工廠系統同步運行的工廠。這需要更廣泛地采用數字解決方案，由于完全過渡到數字工廠所需的時間，最終這將成為最后的障礙。目前的設備已經連接到云，但在大多數情況下，這只是為了接收數據。然后分析這些數據，并從工廠車間遠程做出決策。這些決策的結果可能是加速或延遲維護或微調自動化過程。今天，由于現場控制在工廠本地進行并與企業(yè)系統隔離，因此很少會從云端執(zhí)行這些決策。隨著工廠車間采用更多的自主性，通過云服務監(jiān)控工廠以及跨企業(yè)系統共享實時信息將更為重要。

　　

圖3. 工廠車間的自主性采用。

　　

圖4. ADI公司的Sypher-Ultra實施。

 

通過硬件安全性實現互聯工廠

 

工業(yè)標準正在推動對硬件安全性的需求，這些標準實現了更高的安全水平，能夠在工廠中實現互聯解決方案。增加控制的訪問和可訪問性意味著新風險，如果不將設備級安全性與硬件信任根相結合，則傳統IT安全解決方案無法抵御這些風險。當設備連接到網絡時，這些設備就成為整個系統的接入點。這些接入點中的任何一個可能造成的損害都會擴展到整個網絡，并且可能使關鍵基礎設施易受攻擊。依賴防火墻、惡意軟件檢測和異常檢測的傳統安全方法需要不斷更新和配置，并且容易出現人為錯誤。在今天的環(huán)境中，應假設對手已經在網絡中。為了抵御這些對手，需要采取深度防御和零信任方法。為了最大程度地確?；ヂ撛O備正常運行，設備中需要硬件信任根。今天在設備中建立正確的硬件關聯對于未來向數字工廠過渡至關重要。

 

通過利用FPGA的Xilinx® Zinq® UltraScale+™ MPSoC （ZUS+）系列，ADI公司開發(fā)了Sypher™-Ultra，其通過具有多層安全控制的高保證加密系統，為要生成和處理的數據的完整性提供更高的可信度。它利用ZUS+的安全基礎以及ADI公司開發(fā)的其他安全功能，助力終端產品滿足安全要求，如NIST FIPS 140-2、IEC 62443或汽車EVITA HSM。Sypher-Ultra位于嵌入式ZUS+功能和最終應用之間，為設計團隊提供單芯片解決方案以實現安全操作。為了提供高保證安全性，Sypher-Ultra平臺采用可信執(zhí)行環(huán)境（TEE），為靜止和傳輸中的安全數據提供基礎。與安全相關的功能主要在實時處理單元和可編程邏輯中執(zhí)行，使設計團隊能夠在應用處理單元內輕松添加其應用。該設計使產品團隊無需掌握安全設計和認證的所有復雜之處，同時確保能夠安全操作。

 

制定實現更高設備級安全性的途徑充滿挑戰(zhàn)，特別是考慮到上市時間限制要滿足數字工廠要求苛刻的實施步伐時。實施安全性極其復雜，需要獨特的技能組合和流程。ADI公司的安全平臺為設計團隊提供了一種解決方案，可以在靠近工業(yè)控制回路的邊緣實現安全性。為產品設計團隊解決實施復雜性，例如安全設計、安全標準認證和漏洞分析，可以大大降低風險，縮短設計時間。ADI公司的解決方案在通用平臺上提供易于使用的安全API，可在單個FPGA上實現高保證安全性和更高級別應用的共存。ADI公司的Sypher-Ultra產品允許安全使用Xilinx Zynq UltraScale+MPSoC （ZUS+）系列來隔離敏感的加密操作，并防止對敏感IP的未授權訪問，敏感IP通過邊緣的硬件安全性為互聯工廠提供路徑。