Безопасность промышленных роботов обсуждают в двух смыслах. Первый — физический: робот не должен никого задеть. Второй — информационный, и о нём эта статья.
Робособака с камерами за смену обходит значительную часть площадки. Она видит оборудование, показания приборов, расположение установок и людей на маршруте. Поэтому первый вопрос службы безопасности к любому роботу один: куда уходят эти данные и кто ещё может к нему подключиться? Отвечать на него лучше схемой, а не словами.
Почему данным площадки не место снаружи
Данные обхода — не просто цифры. По ним можно восстановить технологический режим, состояние оборудования, график смен и схему площадки, и такие сведения должны оставаться у предприятия. Хорошая новость в том, что это задача архитектуры: если у системы нет выхода наружу, утечке через интернет просто негде случиться.
Второй вопрос — сама сеть. Устройство, которое одновременно подключено к сети предприятия и к интернету, становится мостом между ними. Поэтому промышленные сети делят на изолированные сегменты и строго ограничивают связи. Робот, который ради обновлений или телеметрии обращается в облако производителя, нарушает эту логику. Робот, который живёт только в сети площадки, встраивается в неё по общим правилам.
Третий вопрос — закон. Федеральный закон от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» относит к субъектам такой инфраструктуры (сокращённо КИИ) организации, которым принадлежат информационные системы, сети и автоматизированные системы управления в ряде сфер — в том числе в энергетике, топливно-энергетическом комплексе, горнодобывающей, металлургической и химической промышленности.
Конкретные требования к защите задаёт ФСТЭК России:
- для значимых объектов КИИ — тех, которым присвоена категория значимости, — они утверждены приказом от 25.12.2017 № 239;
- для автоматизированных систем управления производственными и технологическими процессами (АСУ ТП) на критически важных и потенциально опасных объектах — приказом от 14.03.2014 № 31.
Любое новое устройство в сети такой площадки служба безопасности будет оценивать с оглядкой на эти документы.
Как устроен закрытый контур
Закрытый контур — это набор решений, при которых робот работает внутри периметра площадки и не зависит от внешних сервисов. В модели 13 Robots он держится на пяти опорах.
Наружу ничего не уходит без решения заказчика. Это не обещание, а свойство схемы: у робота нет выхода в интернет, а любой канал за периметр открывается только по этому решению.
Робот работает только в сети площадки
Робот подключается к сети предприятия — к Wi-Fi или радиосети площадки — и не имеет выхода в интернет. Облачные сервисы производителя отключены, а сетевой экран площадки разрешает роботу только нужные соединения: с рабочим местом диспетчера и сервером, где хранятся данные.
Для робота лучше выделить отдельный сегмент сети. Подключаться к контроллерам и системе управления роботу-обходчику не нужно: показания приборов он снимает камерой, как человек. Для службы безопасности это сильный аргумент — робот смотрит на процесс снаружи и ничего в нём не меняет. Как он читает приборы и что делает на маршруте, мы разобрали в статье о роботе-обходчике.
Собственный бортовой компьютер
Распознавание приборов, навигация и первичный анализ выполняются на компьютере самого робота. Видео не нужно постоянно транслировать: на сервер площадки уходят результаты — показания, снимки точек контроля, термограммы, сигналы об отклонениях. Если связь пропала, робот продолжает маршрут и передаёт данные, когда она восстановится.
Программы на борту проверяют до установки. Обновления не приходят сами из интернета: их доставляют по согласованному каналу и ставят только с разрешения площадки.
Защищённый канал связи
Связь между роботом и диспетчером шифруется, а устройства проверяют друг друга при подключении: управлять роботом может только известное рабочее место, и данные оно принимает только от своих роботов. Каждая команда остаётся в журнале.
Где будет рабочее место диспетчера, решает заказчик. Его можно разместить внутри периметра — тогда данные не покидают площадку вовсе. Если диспетчер работает из диспетчерской оператора, канал до неё открывается только по решению заказчика и по схеме, согласованной со службой безопасности.
Обучение на площадке и на серверах в России
Чтобы робот уверенно читал именно ваши приборы и проходил именно ваш маршрут, его дообучают на данных площадки: записях обходов, снимках приборов, примерах того, как работают ваши специалисты. Обучение идёт на площадке и на серверах в России. Данные остаются у заказчика, и что передавать для обучения, решает он. Обновлённую модель проверяют, и только потом она попадает на борт.
В кадр робота неизбежно попадают люди, поэтому правила работы с такими записями лучше заранее согласовать с юристами площадки.
Доступ диспетчера
Диспетчер видит то, что видит робот, и берёт управление, если робот сомневается. Но доступ к роботу — это система прав, а не общий пароль. У каждого сотрудника своя учётная запись и роль, права выдают и отзывают по согласованному с площадкой списку, журнал действий открыт службе безопасности. А персонал площадки всегда может остановить робота на месте. Подробнее о работе диспетчера — на странице «Диспетчерская 13».
Как закрытый контур помогает договориться со службой безопасности
Служба безопасности не против роботов — она против неизвестности. Чем раньше она увидит схему, тем быстрее пройдёт согласование. Вот что стоит подготовить до пилота:
- Схему сетевого взаимодействия. Все устройства и соединения, адреса и порты. По схеме должно быть видно, что пути в интернет нет.
- Перечень данных. Что собирает робот, где и как долго это хранится, у кого есть доступ.
- Матрицу доступа. Какие есть роли, какие у них права, как доступ выдают и отзывают.
- Порядок обновлений. Как новые программы попадают на площадку, кто их проверяет и кто разрешает установку.
- Порядок действий при сбоях. Что происходит, если робот потерял связь, вышел из строя или повёл себя нештатно.
Полезный приём на время пилота — попросить сетевых инженеров записывать весь трафик робота. Тогда вывод «робот никуда не ходит» служба сделает по собственным наблюдениям, а не со слов поставщика.
Если площадка относится к субъектам КИИ, служба безопасности решит, как учитывать робота в её системе защиты. Задача оператора — дать для этого полную и честную документацию.
Что спросить у любого поставщика роботов: чек-лист
Роботы без интернета — нормальное требование для промышленной площадки, а кибербезопасность роботов на производстве проверяется конкретными вопросами. Задайте их любому поставщику, и нам в том числе:
- Работает ли робот без интернета? Что перестанет работать, если закрыть внешний доступ полностью?
- Какие сетевые соединения нужны роботу и его программам? Дадите ли вы схему с адресами и портами?
- Можно ли отключить облачные сервисы производителя и модули связи на борту и как это проверить?
- Где обрабатываются и хранятся видео, карты, показания и журналы? Где физически стоят серверы?
- Как защищены данные на самом роботе, если его потеряют или украдут?
- Как шифруется канал связи и как устройства проверяют друг друга?
- Чьи программы работают на борту и в диспетчерской, как приходят обновления и кто разрешает их установку?
- Кто получает удалённый доступ к роботу и как этот доступ отключить?
- Записываются ли действия: кто управлял роботом и какие команды отдавал?
- Где и на каких данных обучают робота? Кому принадлежат данные и навыки после окончания договора?
Хороший ответ на каждый вопрос конкретен и проверяем.
Напишите нам — покажем, как закрытый контур будет устроен на вашей площадке, и разберём схему с вашей службой безопасности ещё до старта пилота.
