Capítulo 28 — Seguridad de TO, IoT y sistemas ciberfísicos: análisis de fallos
Mapa de la lección
Lección 28 publicada. Mapa, ejemplo, EX082.
flowchart TD
N0["Resultados de aprendizaje"]
N1["28.1 Árboles de fallos"]
N2["28.2 Añadir eventos cibernéticos"]
N3["28.3 AMFE para la pasarela"]
N4["28.4 Vista de pajarita"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX082"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje"]
N1["28.1 Árboles de fallos"]
N2["28.2 Añadir eventos cibernéticos"]
N3["28.3 AMFE para la pasarela"]
N4["28.4 Vista de pajarita"]
N5["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX082"]
[Resultados de aprendizaje]
|
v
[28.1 Árboles de fallos]
|
v
[28.2 Añadir eventos cibernéticos]
|
v
[28.3 AMFE para la pasarela]
|
v
[28.4 Vista de pajarita]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX082]
Resultados de aprendizaje
Usted podrá (1) construir un árbol de fallos para la pérdida de la calefacción urbana; (2) combinar puertas AND y OR con probabilidades sencillas; (3) añadir eventos inducidos por ciberataques a un análisis de estilo de seguridad funcional; y (4) usar el análisis de modos de fallo y efectos (AMFE) para una pasarela IoT.
28.1 Árboles de fallos
Un árbol de fallos parte de un evento superior no deseado y lo descompone en causas unidas por puertas. Una puerta OR significa que cualquier hijo causa el padre; una puerta AND necesita todos los hijos. Para eventos independientes, P(OR) ≈ suma de las probabilidades cuando son pequeñas, y P(AND) = producto. Para el evento superior de LDHP, el árbol de pérdida de calefacción durante cuatro horas de este capítulo, la puerta OR de la cima significa que basta con una rama cualquiera; la puerta AND bajo la rama (c) significa que el ataque solo tiene éxito si se cumplen sus tres condiciones. Si cada una de esas tres tuviera una probabilidad de 0,1 y fueran realmente independientes, la rama (c) sería 0,001; los párrafos siguientes explican por qué una causa cibernética rompe esa hipótesis.
28.2 Añadir eventos cibernéticos
Evento superior: pérdida de calefacción en el distrito durante más de cuatro horas. Hijos de la OR: (a) las dos calderas disparan y no pueden volver a arrancar; (b) las bombas de circulación se detienen; (c) el punto de consigna de impulsión se manipula y no se detecta durante cuatro horas. El evento (c) es a su vez una AND: escritura no autorizada del punto de consigna y los operadores no lo advierten y el detector falla. Los eventos cibernéticos rompen la hipótesis de independencia: un solo intruso puede causar a la vez varios fallos «independientes», así que trate con cuidado la causa común.
En LDHP, un intruso con acceso a HMI-1 podría escribir el punto de consigna y además silenciar la pantalla de alarmas en la que confían los operadores para advertirlo.
28.3 AMFE para la pasarela
El AMFE enumera cada componente, sus modos de fallo, sus efectos, su detección y su gravedad. Los modos de fallo de la pasarela incluyen la pérdida de alimentación (faltan lecturas; se detecta por latido), el firmware corrupto (datos mal formados; se detecta por validación), la manipulación de la configuración (lecturas falsas pero plausibles; difícil de detectar) y la caducidad del certificado (enlace ascendente rechazado; se detecta por supervisión). Para LDHP, la manipulación de la configuración es la fila en la que hay que detenerse: una pasarela configurada para multiplicar cada lectura por 0,9 produce números plausibles que superan las comprobaciones de validación y de latido, y solo aparecería al comparar los totales de las pasarelas con el calor que sale de la planta. Por esta razón la clasificación STRIDE de Maya pone en primer lugar la toma de control de la pasarela. La caducidad del certificado, en cambio, es fácil de detectar y fácil de prevenir con una alerta de renovación, así que ocupa un lugar bajo aunque detenga todas las lecturas.
Ejemplo resuelto (LDHP sintética)
Probabilidades anuales (ilustrativas): escritura no autorizada 0,05; los operadores no la advierten durante cuatro horas 0,2; el detector falla 0,1. P(c) = 0,05 × 0,2 × 0,1 = 0,001. Las dos calderas no vuelven a arrancar 0,002; bombas 0,003. P(superior) ≈ 0,002 + 0,003 + 0,001 = 0,006 al año. Pero si el intruso también puede suprimir las alarmas del HMI, «los operadores no lo advierten» deja de ser 0,2 y la independencia de la puerta AND se derrumba: P(c) puede acercarse a 0,05 × 1 × 0,1 = 0,005.
Caso sintético — Lakeside District Heating Plant. Todas las probabilidades son inventadas con fines ilustrativos y no deben reutilizarse.
28.4 Vista de pajarita
Un diagrama de pajarita sitúa el evento superior en el centro, las amenazas y las barreras preventivas a la izquierda, y las consecuencias con las barreras de mitigación a la derecha. Ayuda a los operadores a ver que SIS-H es una barrera de mitigación para la sobretemperatura, pero no ofrece nada frente a la baja temperatura causada por un punto de consigna rebajado. La contribución de Maya al HAZOP del capítulo 32 señala lo mismo desde el otro lado: el disparo por alta temperatura de SIS-H es la salvaguarda para un punto de consigna manipulado que sobrecalienta la caldera, pero un punto de consigna rebajado a 30 °C, como en el ejercicio de mesa del capítulo 29, causa la pérdida de calefacción sin acercarse nunca a un punto de disparo. Para esa consecuencia, las barreras están a la izquierda de la pajarita: la lista de permitidos del cortafuegos, las cuentas nominativas, los límites de punto de consigna de 70–110 °C de PLC-H y la alerta del monitor.
Errores y límites
Las probabilidades de los eventos adversarios son juicios; preséntelas como rangos. Los árboles de fallos omiten las interacciones que no se dibujan.
Ejercicios — capítulo 28
- EX082 — Calcular una puerta AND cibernética. Con escritura 0,1, los operadores no lo advierten 0,3 y el detector falla 0,2, calcule P(c). Rúbrica: 3 = 0,006; 2 = método correcto; 1 = suma en lugar de multiplicar; 0 = nada.
- EX083 — Causa común. Explique cómo una sola intrusión puede romper la independencia de la puerta AND. Rúbrica: 3 = el mismo actor suprime las alarmas/ciega al detector, así que los eventos están correlacionados; 2 = parcial; 1 = vago; 0 = nada.
- EX084 — Una línea de AMFE. Escriba la fila de AMFE para la caducidad del certificado de la pasarela. Rúbrica: 3 = modo, efecto, detección, gravedad, acción; 2 = cuatro; 1 = solo el modo; 0 = nada.
Síntesis del capítulo
Los árboles de fallos y el AMFE incorporan los eventos cibernéticos a la ingeniería de fiabilidad, siempre que usted cuestione la independencia que a los adversarios se les paga por romper.
Siga estudiando — capítulo 28 de 40
← Capítulo 27 (borrador) · Índice de capítulos del curso · Capítulo 29 (borrador) →