Capítulo 33 — Seguridad de TO, IoT y sistemas ciberfísicos: seguridad funcional y resiliencia
Mapa de la lección
Lección 33 publicada. Mapa, ejemplo, EX097.
flowchart TD
N0["Resultados de aprendizaje"]
N1["33.1 Paradas ejecutables"]
N2["33.2 Reversión"]
N3["33.3 Ejercicio de mesa"]
N4["Nota práctica"]
N5["33.1b Contactos secundarios y autoridad de reanudaci"]
N6["Nota de campo: testigo de reanudación"]
N7["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX097"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje"]
N1["33.1 Paradas ejecutables"]
N2["33.2 Reversión"]
N3["33.3 Ejercicio de mesa"]
N4["Nota práctica"]
N5["33.1b Contactos secundarios y autoridad de reanudaci"]
N6["Nota de campo: testigo de reanudación"]
N7["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX097"]
[Resultados de aprendizaje]
|
v
[33.1 Paradas ejecutables]
|
v
[33.2 Reversión]
|
v
[33.3 Ejercicio de mesa]
|
v
[Nota práctica]
|
v
[33.1b Contactos secundarios y autoridad de reanudaci]
|
v
[Nota de campo: testigo de reanudación]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX097]
Resultados de aprendizaje
Usted podrá (1) escribir las condiciones de parada como comprobaciones ejecutables; (2) planificar la reversión de cambios de herramientas a mitad de ventana; (3) dirigir un ejercicio de mesa sobre un fallo de la lista de denegados o del tiempo de ciclo.
33.1 Paradas ejecutables
Las condiciones de parada son código: canario del tiempo de ciclo, flujo de alarmas de proceso, archivo de interruptor de corte del cliente, entrada de falla del SIS. En ABP, la lógica de parada del monitor serie lee el canario del tiempo de ciclo, el flujo de alarmas de proceso, un archivo de interruptor de corte y la entrada de falla del SIS-B. Cualquiera de ellos detiene de inmediato la actividad de evaluación. Una orden humana de parar siempre gana, y el software no tiene ninguna opción que pueda anularla o retrasarla hasta que termine un trabajo en curso. Cada parada que registra el monitor indica qué entrada se activó, para que la revisión en caliente distinga un disparo del canario de una orden humana.
33.2 Reversión
Fije las versiones; conserve firmado el binario anterior del monitor. Si una compilación nueva evalúa mal las listas de permitidos, revierta en minutos. Lena conserva la compilación firmada anterior del monitor en el banco y en el kit de la ventana, de modo que la reversión es una orden probada, no una recompilación. La reversión se ensayó antes de la primera ventana en planta y se repite tras cada versión importante. Una reversión restaura tanto el binario como la versión de la lista de permitidos que se ejecutaba con él. La reversión restaura el estado anterior en minutos. Ambos están fijados.
33.3 Ejercicio de mesa
Recorra un escenario: el tiempo de ciclo supera 50 ms a las 02:40; a quién se llama; qué se dice; cuándo se permite reanudar. Actualice el procedimiento operativo donde el ejercicio se atascó.
Caso sintético — Ashford Batch Plant. El ejercicio de mesa reveló que la ruta del archivo de interruptor de corte no estaba documentada; la versión 1.4 del procedimiento lo corrigió antes de la siguiente ventana.
Los ejercicios de mesa de ABP se realizan cada periodo lectivo con el jefe de turno presente, y cada laguna que revelan se cierra con una nueva versión del procedimiento antes de la siguiente ventana. Cada escenario nombra a quién se llama, qué se le dice y quién puede autorizar la reanudación del trabajo.
33.4 Errores y límites
El teatro de la resiliencia es una carpeta que nadie abre. Haga un simulacro por periodo lectivo. Los simulacros de resiliencia de Lena en ABP se hacen una vez por periodo lectivo, usan el procedimiento real e incluyen al menos una parada y una reversión. Cada simulacro produce al menos una modificación del procedimiento o un motivo registrado de por qué no hizo falta ninguna. Una carpeta que no se ha abierto desde la última auditoría se trata como no probada, por completa que parezca en la estantería. Los resultados de los simulacros se archivan con la versión del procedimiento. Las lagunas reciben responsables.
Nota práctica
Redacte de antemano plantillas de SMS/correo electrónico para la parada, la reanudación y la reversión. Bajo estrés, la gente omite la versión del permiso de trabajo o la hora del siguiente punto de control.
33.1b Contactos secundarios y autoridad de reanudación
Un aviso de parada que solo llega al responsable de la ventana falla cuando este está en la planta sin cobertura. Mantenga contactos primarios y secundarios con un traspaso confirmado. ¿Quién puede reanudar tras una parada? Nombre el rol en el permiso de trabajo. El monitor debería exigir un testigo de reanudación vinculado a ese rol y a AllowListVersion. Tras cada parada real, haga una revisión en caliente de cinco minutos y registre al menos una modificación del procedimiento. Las notas de la revisión en caliente registran el desencadenante, el tiempo hasta la parada y el tiempo hasta la reanudación, para poder comparar los simulacros con las paradas reales.
Nota de campo: testigo de reanudación
Tras una parada, la reanudación exigió un testigo emitido para el rol del contacto de seguridad de procesos y vinculado a AllowListVersion v1.4.2. Se eliminó de la interfaz un interruptor booleano en el servidor de salto. Reanudar sin autoridad es la forma en que las condiciones de parada se vuelven opcionales.
33.5 Ejemplo resuelto: una parada ejecutable durante la puesta en marcha (ABP sintética)
Durante la migración del cortafuegos en el conducto L3–L2, la condición de parada dice: «Si el HMI pierde los valores del PLC-A durante más de 10 segundos, o se produce cualquier disparo del SIS-B, revertir al conjunto de reglas anterior». La reversión es una única orden preparada de antemano y probada dos veces el día anterior, y el jefe de turno tiene la autoridad para ordenarla; el ingeniero no discute. Reanudar exige un testigo escrito del jefe de turno una vez comprendida la causa. Por separado, Lena confirma que el disparo por nivel alto del SIS-B en R-101 está cableado y no se ve afectado por el cambio, en coherencia con la expectativa de IEC 61511 de que la función de seguridad siga siendo independiente.
Ejercicios — capítulo 33
- EX097 — Interruptor de corte. Diseñe un interruptor de corte humano que se respete en ≤30 s. Rúbrica: 3 = mecanismo + sondeo + fallo cerrado; 2 = idea; 1 = vago; 0 = nada.
- EX098 — Reversión. Tres condiciones previas para revertir a mitad de ventana. Rúbrica: 3 = binario anterior, política fijada, aviso a seguridad de procesos; 2 = dos; 1 = una; 0 = nada.
- EX099 — Inyección. Una inyección para el ejercicio de mesa. Rúbrica: 3 = específica; 2 = vaga; 1 = ninguna; 0 = insegura.
Síntesis del capítulo
Paradas que el monitor puede ejecutar, reversiones que el sitio puede hacer, ejercicios de mesa que actualizan los procedimientos del CNHP.
Siga estudiando — capítulo 33 de 50
← Capítulo 32 (borrador) · Índice de capítulos del curso · Capítulo 34 (borrador) →