两年前，黑客对德国钢厂进行的袭击事件，表明工业工厂IT安全性不足可能会导致危险，袭击者获得高炉的控制操作权，以至于工厂经营者不能再进行干预，最终导致装置不能运行，并遭受严重破坏。一方面，这种攻击造成了巨大的经济损失；另一方面，它们对人类的生命和环境构成了严重的威胁。这一切也推进了欧盟立法的修改进程。

2016年修订的标准IEC 61511要求对IT安全性进行安全风险评估，也就是说安全仪表系统（SIS）的风险评估。在已经建立的安全系统，以及在未来的整合中，工厂所有者对流程工业的影响至关重要。

安全系统的IT

IEC 61508（功能安全）制定了具体规定，以避免工厂中的系统性和随机性故障，并遏制其影响。本标准涵盖电气、电子和可编程电子安全相关系统。然而，到目前为止，几乎所有的错误都来自于安装在工厂中的硬件组件。然而，一个安全系统（SIS）不仅包括在紧急情况下使工厂进入安全状态的执行器，还包括向执行器提供必要信号的传感器，以及相应的控制和负责可靠通信的设备。因此，还需要考虑安全控制软件中的安全漏洞是否影响整个设备的功能安全，以及会带来哪些危险的问题。AZOP（危险和可操作性）研究中可以分析安全危险，并可以按照修订后的IEC 61511的要求在安全系统中实施相关的避让和遏制措施。通过功能安全管理系统的持续使用，可以避免软件相关的系统故障，但是否能更迅速地发现和控制随机故障仍是个问题。

密切相关的法律规定

工厂业主应该尽最大努力防止工厂受到网络攻击，其潜在的经济损失和对人和环境的危害可能非常严重。与此同时，法律对工厂网络安全也有严格规定。欧盟立法要求工厂经营者对工厂安全系统的IT安全性进行定期风险评估，以识别风险（图1）。IEC 61511 2016已经作为过程工业的国际标准申请了1年多，在德国，VDI 2180目前正在准备中，旨在成为国家层面确定标准的要求，IEC 61511中的8.2.4节与安全系统紧密相关。

风险分析是工厂运营商的责任

对于许多公司来说，由于它们在过程自动化、功能安全和IT安全领域的要求经常超越自己的核心能力，执行标准成为一个很大的障碍。尽管如此，工厂经营者有义务确保其安全系统不受影响。无论是新建的还是现有的工业厂房，聘请外部专家是合理需求，因为标准不仅规定了风险评估是工厂发展的生命周期中的必要部分，而且必须在安全系统发生变化以及在定期检查中重复使用，以确保工厂的功能安全在技术上处于最新状态。

罗斯博格工程公司作为外部服务提供商，可以提供从概念设计到工厂变更的支持，进行必要的风险评估，并对其进行可靠记录以履行举证责任。新标准明确要求在整个工厂的安全生命周期中考虑网络安全和功能安全，因此，在项目的早期阶段引入功能安全顾问十分必要。在检查网络安全时，需要考虑包括系统控制在内的整个通信网络，确定可能的弱点，并关闭安全漏洞。 外部服务提供商不仅因为他们有中立的观点，而且因为他们在功能安全和IT安全方面都很专业，并且熟悉相关程序。

 网络攻击可能的具体攻击点

功能安全管理系统与IT安全

来自卡尔斯鲁厄的专家预计，早期市场对功能安全领域的支持需求巨大。因此，多年来，他们不仅关注工厂的自动化，同时也涉足功能安全的相关方面。这两个领域的专家携手合作，专业从事功能安全的同事负责在众多企业中安装功能安全管理（FSM）系统，所使用的FSM系统基于相关的法规、规范和标准，以及IEC 61511中定义的安全生命周期。为了避免系统故障，FSM系统使用样式表格，将有助于系统地检查潜在的故障原因。在维护的工作中，卡尔斯鲁厄的专家甚至开发了自己的样式表格，这些样式表格在咨询期间可供工厂操作员使用，并系统地命名SIL级别和负责验证每个步骤人的姓名。

FSM系统与IT安全风险评估

自动化专家通过增加多年经验得出的IT安全风险评估模块，扩大了经过验证的FSM系统。该工具可以引导用户系统地进行危害分析和风险评估，例如可以找到网络攻击的具体攻击点（图2）。该程序还可以找到整个安全系统的问题，包括PLC的软件，这可能会影响整个工厂的功能安全。根据这些信息，即使安全系统存在问题，也可以帮助业主采取预防和补救措施，以确保工厂的功能安全。危险分析和风险评估的一个重要部分是符合法律要求的明确文件，网络安全和功能安全领域的专有技术，使公司可以解决所有与功能安全、FSM系统和IT安全风险评估有关的问题。