Narzędzie przedstawia bioreaktor jako układ cyberfizyczny: błędny sygnał może wpłynąć na proces, lecz po drodze napotyka alarm, niezależną blokadę i weryfikację człowieka. Model ocenia, jaka część abstrakcyjnych scenariuszy zostanie zatrzymana przed umowną granicą jakościową. Nie symuluje włamania, nie opisuje dostępu do sterownika i nie podaje nastaw użytecznych do zakłócania procesu.

Kalkulator: bioreaktor jako cel cyberataku — odporność sterowania.

Sterowanie procesem jest dłuższym łańcuchem niż czujnik i pompa

W typowej pętli wielkość procesowa jest mierzona, przetwarzana, porównywana z wartością zadaną, a regulator wydaje polecenie elementowi wykonawczemu. Nad tą pętlą działają receptury, ograniczenia, alarmy, blokady, rejestracja danych i decyzje operatora. Naruszenie integralności może dotyczyć pomiaru, nastawy, logiki, alarmu albo historii.

Model celowo redukuje ten układ do czasu do szkody i trzech barier. Dzięki temu można porównać architektury bez ujawniania rzeczywistych progów procesu. Wynik nie zastępuje jednak analizy zagrożeń, walidacji systemu skomputeryzowanego, oceny ryzyka jakościowego, segmentacji OT ani testów funkcjonalnych.

Granica jakościowa jest parametrem skutku

T_Q oznacza czas od początku abstrakcyjnego błędnego sygnału do chwili, po której zakłada się przekroczenie umownej granicy jakościowej. Nie jest temperaturą, pH, stężeniem ani nastawą. Do kalkulatora należy wprowadzić zatwierdzony czas pochodzący z analizy procesu albo scenariusz ćwiczeniowy.

Jedna wartość nie opisze wszystkich odchyleń. Proces może mieć różne okna dla jakości produktu, bezpieczeństwa aparatury i ochrony środowiska. Należy je liczyć osobno, a najkrótszego czasu nie przedstawiać automatycznie jako uniwersalnej granicy.

Jeżeli T_Q nie jest znane, sensowniejsza jest analiza przedziałowa niż wpisanie optymistycznej liczby. Model nie wyznacza granicy z danych biologicznych.

Alarm wymaga zarówno detekcji, jak i reakcji

Czas alarmu jest sumą opóźnienia wykrycia T_A i czasu reakcji operatora T_O:

T_alarm = T_A + T_O

Pokrycie alarmu e_A oznacza warunkowy udział scenariuszy, które alarm rzeczywiście rozpoznaje i dla których reakcja zatrzymuje propagację. Nie jest samą dostępnością sygnalizatora. Powinno obejmować poprawną konfigurację, drogę powiadomienia, zrozumienie, uprawnienie i skuteczne działanie.

Alarm uznaje się za terminowy tylko, gdy T_alarm < T_Q. Równość nie daje marginesu, dlatego model traktuje ją jako spóźnienie. To konserwatywna bramka matematyczna, nie definicja regulacyjna.

Blokada ma sens, gdy jest funkcjonalnie niezależna

Blokada jest automatyczną barierą o czasie T_I i skuteczności e_I. Model nazywa ją niezależną, ale nie potrafi tej niezależności sprawdzić. Jeżeli alarm i blokada korzystają z tego samego czujnika, sterownika, zasilania, konta administratora lub logiki, wspólna przyczyna może wyłączyć obie.

Prawdziwa niezależność ma kilka wymiarów: źródło pomiaru, sprzęt, software, energia, komunikacja, uprawnienia, procedura testowania i personel. Nie każda warstwa musi być całkowicie osobna, ale zależności powinny być jawnie ocenione.

Model uznaje blokadę za terminową, gdy T_I < T_Q. Nie dolicza czasu operatora, ponieważ zakłada samoczynne zatrzymanie scenariusza.

Weryfikacja okresowa ma przeciętny czas połowy interwału

Jeżeli niezależna kontrola odbywa się co T_V, a zdarzenie może pojawić się w dowolnym momencie, przeciętny czas do najbliższej kontroli wynosi T_V/2. Model dodaje czas reakcji operatora:

T_verify = T_V/2 + T_O

To wartość oczekiwana. Najgorszy przypadek jest bliski T_V + T_O. Kalkulator może więc uznać weryfikację za terminową w średnim scenariuszu, choć dla zdarzenia tuż po kontroli będzie spóźniona. W analizie krytycznej należy osobno policzyć wariant najgorszy, wprowadzając odpowiednio dłuższy czas lub skracając interwał.

Skuteczność weryfikacji obejmuje możliwość odróżnienia błędnego sygnału, reakcję i kompletność kontroli. Sam ręczny odczyt tej samej wartości z tego samego źródła nie jest niezależną weryfikacją.

Udziały scenariuszy są mnożone sekwencyjnie

Na początku pozostaje R₀ = 1, czyli 100% scenariuszy. Terminowy alarm zatrzymuje:

S_A = R₀ · e_A

Po alarmie pozostaje R_A = R₀ - S_A. Terminowa blokada zatrzymuje S_I = R_A · e_I, a weryfikacja S_V = R_I · e_V. Udział końcowy:

L = (1-e_A)(1-e_I)(1-e_V)

obowiązuje, gdy wszystkie bariery są terminowe. Bariera spóźniona otrzymuje skuteczność równą zero. L jest udziałem abstrakcyjnych scenariuszy przekraczających granicę, a nie empirycznym prawdopodobieństwem utraty partii.

Skuteczności są warunkowe: e_I dotyczy scenariuszy, które przeszły przez alarm. Nie powinno się podstawiać trzech odsetków policzonych względem różnych populacji testowych.

Założenie niezależności zwykle zawyża ochronę

Iloczyn pozostałych udziałów zakłada brak dodatniej zależności między nieskutecznościami. Wspólna przyczyna może sprawić, że scenariusz pominięty przez alarm ominie również blokadę. Wtedy wynik modelu będzie zbyt korzystny.

Praktyczna analiza powinna sporządzić macierz zależności. Dla każdej pary barier należy sprawdzić wspólny sensor, logikę, sieć, zasilanie, konfigurację, procedurę utrzymania i osobę zatwierdzającą. Jeśli zależność jest istotna, bezpieczniej policzyć te funkcje jako jedną barierę albo użyć konserwatywnego scenariusza wspólnej awarii.

Oczekiwany czas jest średnią ważoną skutkami

Model waży czas każdej terminowej bariery udziałem scenariuszy przez nią zatrzymanych. Scenariusze niezatrzymane otrzymują czas T_Q:

E(T) = S_A·T_alarm + S_I·T_I + S_V·T_verify + L·T_Q

„Margines” to T_Q - E(T). Nie jest minimalnym zapasem czasu i nie dowodzi, że każda bariera zdąży. Średnią może poprawiać bardzo szybka blokada, mimo że część scenariuszy dociera do granicy. Dlatego zawsze trzeba czytać ją razem z L i czasami poszczególnych barier.

Klasa skutku jest etykietą kalkulatora

Model przypisuje klasę według udziału L: poniżej 5% — niski, od 5% do poniżej 20% — umiarkowany, od 20% do poniżej 50% — wysoki, a od 50% — krytyczny udział scenariuszy utraty.

Te progi nie pochodzą z normy i nie są kryteriami zwolnienia procesu. Służą do czytelnego porównania wariantów. Organizacja powinna stosować własną, zatwierdzoną matrycę ryzyka uwzględniającą ciężkość skutku i niepewność.

Przykład domyślny

Dla T_Q = 2 h alarm ma 0,2 h opóźnienia i 0,1 h reakcji, więc działa po 0,3 h z pokryciem 90%. Zatrzymuje 90% scenariuszy, pozostawiając 10%.

Blokada po 0,05 h ze skutecznością 80% zatrzymuje 80% pozostałych, czyli 8% populacji początkowej. Pozostaje 2%. Kontrola co godzinę ma średni czas 0,5 + 0,1 = 0,6 h i zatrzymuje 70% z pozostałych, czyli 1,4% populacji początkowej. Do granicy dociera 0,6%.

Oczekiwany czas wykrycia lub skutku wynosi około 0,2944 h. Wynik jest dobry w ramach modelu, ale wymaga potwierdzenia, że trzy bariery są rzeczywiście niezależne i że ich skuteczności pochodzą z odpowiednich testów.

Bariera spóźniona może być nadal użyteczna, lecz nie chroni tego skutku

Jeżeli alarm działa po 0,3 h, a granica następuje po 0,1 h, kalkulator nie zaliczy alarmu. Alarm może nadal ograniczyć dalsze szkody, wesprzeć dochodzenie albo ochronić kolejny etap, lecz nie zapobiegł zdefiniowanemu skutkowi jakościowemu.

Ta zasada pomaga oddzielić obecność kontroli od jej efektywności czasowej. Lista wielu alarmów nie tworzy odporności, jeżeli wszystkie są późniejsze niż dynamika procesu.

Jak pozyskać parametry bez zgadywania

T_Q powinien pochodzić z wiedzy procesowej, badań rozwojowych, modeli zatwierdzonych lub konserwatywnego ćwiczenia. Czasy alarmu i blokady należy mierzyć end-to-end podczas testów, a nie odczytywać wyłącznie z częstotliwości skanowania sterownika. Reakcję operatora trzeba mierzyć dla właściwej zmiany i drogi eskalacji.

Pokrycie barier powinno wynikać z zestawu reprezentatywnych scenariuszy. Testy muszą obejmować usterki czujnika, transmisji, logiki i komunikacji, ale nie powinny zawierać szczegółów ofensywnych w publicznym raporcie. Wyniki as-found są cenniejsze niż deklaracje projektowe.

Model jakościowy nie zastępuje zabezpieczeń OT

Kalkulator nie ocenia segmentacji sieci, tożsamości, zdalnego dostępu, kopii konfiguracji, allowlistingu, zarządzania podatnościami ani monitorowania anomalii. Nie sprawdza również wymagań procesowych dotyczących kalibracji, integralności danych, śladu audytowego i zarządzania zmianą.

NIST podkreśla, że OT oddziałuje bezpośrednio na środowisko fizyczne i wymaga równoczesnego uwzględnienia wydajności, niezawodności oraz bezpieczeństwa. Ochrona integralności nastaw i telemetrii powinna łączyć kontrolę dostępu, autoryzację zmian, detekcję anomalii, chronione kopie oraz plan reakcji.nist-ot,nist-integrity

Czego kalkulator nie obejmuje

Narzędzie pomija:

  • stopień i kierunek odchylenia oraz dynamikę samego procesu;
  • wiele jednoczesnych sygnałów i kaskady regulatorów;
  • zależności i wspólne przyczyny barier;
  • fałszywe alarmy, dostępność oraz obejścia operacyjne;
  • różne czasy dla wykrycia, decyzji, bezpiecznego zatrzymania i odzysku;
  • koszty, wpływ na bezpieczeństwo ludzi oraz środowisko;
  • walidację systemu skomputeryzowanego i zgodność regulacyjną;
  • prawdopodobieństwo ataku lub błędu.

Nie należy wpisywać do publicznego kalkulatora rzeczywistych krytycznych nastaw, progów alarmowych, topologii ani szczegółów podatności.

Minimalny raport z ćwiczenia

Raport powinien identyfikować scenariusz kodem, nie ujawniać wrażliwych parametrów, podać źródło T_Q, zmierzone czasy, definicję skuteczności i zależności między barierami. Przykład:

W scenariuszu integralności sygnału trzy bariery były terminowe względem umownej granicy 2 h. Model iloczynowy pozostawił 0,6% scenariuszy niezatrzymanych. Wynik jest warunkowy wobec niezależności funkcjonalnej alarmu, blokady i weryfikacji; przegląd wykazał wspólną zależność zasilania, którą objęto osobnym działaniem korygującym.

Powiązane artykuły

Fizyczne działanie pętli wyjaśnia Co kontroluje bioreaktor, a pomiary i decyzje procesowe rozwija Pobieranie próbek i sterowanie procesem. Szerszą relację bezpieczeństwa biologicznego i ochrony przed niewłaściwym użyciem omawia Biosafety a biosecurity.

Źródła i dalsza lektura

Warstwę bioprocesową opracowano na podstawie książek Mikrobiologia, Pomiary, czujniki i metody pomiarowe oraz materiałów o bioreaktorach zakupionych z licencją do republikacji. Warstwę OT skonfrontowano z aktualnym przewodnikiem NIST i praktycznym opracowaniem ochrony integralności przemysłowych systemów sterowania.