Capítulo 33 — Segurança de TO, IoT e sistemas ciberfísicos: segurança física e resiliência
Mapa da aula
Aula 33 publicada. Mapa, exemplo, EX097.
flowchart TD
N0["33.1 Paradas executáveis"]
N1["33.2 Reversão"]
N2["33.3 Exercício de mesa"]
N3["Nota prática"]
N4["33.1b Contatos secundários e autoridade de retomada"]
N5["Nota de campo — token de retomada"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX097"]
Desenho lógico
flowchart LR
N0["33.1 Paradas executáveis"]
N1["33.2 Reversão"]
N2["33.3 Exercício de mesa"]
N3["Nota prática"]
N4["33.1b Contatos secundários e autoridade de retomada"]
N5["Nota de campo — token de retomada"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX097"]
[33.1 Paradas executáveis]
|
v
[33.2 Reversão]
|
v
[33.3 Exercício de mesa]
|
v
[Nota prática]
|
v
[33.1b Contatos secundários e autoridade de retomada]
|
v
[Nota de campo — token de retomada]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX097]
Objetivos de aprendizagem
Você vai (1) escrever as condições de parada como verificações executáveis; (2) planejar a reversão de mudanças nas ferramentas no meio da janela; (3) conduzir um exercício de mesa sobre uma falha da lista de negação ou do tempo de ciclo.
33.1 Paradas executáveis
As condições de parada são código: canário de tempo de ciclo, feed de alarmes de processo, arquivo de kill switch do cliente, entrada de falha do SIS.
Na ABP, a lógica de parada do monitor serial lê o canário de tempo de ciclo, o feed de alarmes de processo, um arquivo de kill switch e a entrada de falha do SIS-B. Qualquer um deles para imediatamente a atividade de avaliação. Uma ordem humana de parada sempre vence, e o software não tem nenhuma configuração que possa anulá-la ou adiá-la até que um trabalho em execução termine. Cada parada registrada pelo monitor indica qual entrada disparou, para que a revisão a quente distinga um disparo do canário de uma ordem humana.
33.2 Reversão
Fixe as versões; mantenha assinado o binário anterior do monitor. Se um novo build avaliar mal as listas de permissões, reverta em minutos.
Lena mantém o build assinado anterior do monitor na bancada e no kit da janela, para que a reversão seja um comando testado, não uma recompilação. A reversão foi ensaiada antes da primeira janela na planta e é repetida depois de cada versão importante. Uma reversão restaura tanto o binário quanto a versão da lista de permissões que rodava com ele. A reversão restaura o estado anterior em minutos. Os dois são fixados.
33.3 Exercício de mesa
Percorra um cenário: o tempo de ciclo passa de 50 ms às 02:40; quem é chamado; o que é dito; quando a retomada é permitida. Atualize o runbook onde o exercício empacou.
Caso sintético — Ashford Batch Plant. O exercício de mesa descobriu que o caminho do arquivo de kill switch não estava documentado; o runbook v1.4 corrigiu isso antes da janela seguinte.
Os exercícios de mesa da ABP acontecem a cada período, com a presença do líder de turno, e toda lacuna que eles expõem é fechada por uma nova versão do runbook antes da janela seguinte. Cada cenário nomeia quem é chamado, o que lhe é dito e quem pode autorizar a retomada do trabalho.
33.4 Erros e limites
Teatro de resiliência é um fichário que ninguém abre. Faça um exercício por período.
Os exercícios de resiliência de Lena na ABP acontecem uma vez por período, usam o runbook real e incluem pelo menos uma parada e uma reversão. Cada exercício produz pelo menos uma edição do runbook ou um motivo registrado de por que nenhuma foi necessária. Um fichário que não é aberto desde a última auditoria é tratado como não testado, por mais completo que pareça na prateleira. Os resultados dos exercícios são arquivados com a versão do runbook. As lacunas recebem donos.
Nota prática
Escreva antecipadamente os modelos de SMS/e-mail para parada, retomada e reversão. Sob estresse, as pessoas omitem a versão da permissão de trabalho ou o horário do próximo ponto de verificação.
33.1b Contatos secundários e autoridade de retomada
Um aviso de parada que chega só ao líder da janela falha quando o líder está no chão da planta, sem sinal. Mantenha contatos primário e secundário, com passagem confirmada. Quem pode retomar depois de uma parada? Nomeie o papel na permissão de trabalho. O monitor deve exigir um token de retomada ligado a esse papel e à AllowListVersion.
Depois de toda parada real, faça uma avaliação a quente de cinco minutos e registre pelo menos uma edição do runbook. As notas dessa avaliação registram o gatilho, o tempo até a parada e o tempo até a retomada, para que os exercícios possam ser comparados com as paradas reais.
Nota de campo — token de retomada
Depois de uma parada, a retomada exigiu um token emitido para o papel do contato de segurança de processo e ligado à AllowListVersion v1.4.2. Um interruptor booleano no host de salto foi removido da interface. Retomar sem autoridade é como as condições de parada se tornam opcionais.
33.5 Exemplo resolvido — uma parada executável durante o comissionamento (ABP sintética)
Durante a troca do firewall no conduto L3–L2, a condição de parada diz: "Se a IHM perder os valores do PLC-A por mais de 10 segundos, ou se ocorrer qualquer desarme do SIS-B, reverter para o conjunto de regras anterior." A reversão é um único comando preparado com antecedência e testado duas vezes no dia anterior, e o líder de turno detém a autoridade para acioná-lo; o engenheiro não discute. A retomada exige um token escrito do líder de turno depois que a causa for entendida. Separadamente, Lena confirma que o desarme por nível alto do SIS-B no R-101 é cabeado e não é afetado pela mudança, coerente com a expectativa da IEC 61511 de que a função de segurança permaneça independente.
Exercícios
- EX097 — Kill switch. Projete um kill switch humano atendido em ≤30 s. Rubrica: 3 = mecanismo + sondagem + falha fechada; 2 = ideia; 1 = vago; 0 = nada.
- EX098 — Reversão. Três precondições para reverter no meio da janela. Rubrica: 3 = binário anterior, fixação da política, notificar a segurança de processo; 2 = duas; 1 = uma; 0 = nada.
- EX099 — Injeção. Uma injeção para o exercício de mesa. Rubrica: 3 = específica; 2 = vaga; 1 = nenhuma; 0 = insegura.
Síntese
Paradas que o monitor consegue executar, reversões que o local consegue fazer, exercícios de mesa que atualizam os runbooks do CNHP.
Continue estudando — capítulo 33 de 50
← Capítulo 32 · Índice de capítulos do curso · Capítulo 34 →
Siga para a próxima lição escrita.