Un sistema de control resiliente es aquel que mantiene la conciencia del estado y un nivel aceptado de normalidad operativa en respuesta a perturbaciones, incluidas amenazas de naturaleza inesperada y maliciosa". [1]
Los sistemas de control computarizados o digitales se utilizan para automatizar de manera confiable muchas operaciones industriales, como plantas de energía o automóviles. La complejidad de estos sistemas y cómo los integran los diseñadores, los roles y responsabilidades de los humanos que interactúan con los sistemas y la seguridad cibernética de estos sistemas altamente interconectados han llevado a un nuevo paradigma en la filosofía de investigación para los sistemas de control de próxima generación. Los Sistemas de Control Resilientes consideran todos estos elementos y aquellas disciplinas que contribuyen a un diseño más efectivo, como la psicología cognitiva , la informática y la ingeniería de control para desarrollar soluciones interdisciplinarias. Estas soluciones consideran aspectos tales como cómo adaptar las pantallas operativas del sistema de control para permitir que el usuario dé una respuesta precisa y reproducible, cómo diseñar protecciones de ciberseguridad de modo que el sistema se defienda de los ataques cambiando sus comportamientos y cómo mejorar integrar sistemas de control informático ampliamente distribuidos para evitar fallas en cascada que resulten en interrupciones en operaciones industriales críticas.
En el contexto de los sistemas ciberfísicos , los sistemas de control resilientes son un aspecto que se centra en las interdependencias únicas de un sistema de control, en comparación con los sistemas y redes informáticas de tecnología de la información , debido a su importancia en el funcionamiento de nuestras operaciones industriales críticas.
Originalmente destinado a proporcionar un mecanismo más eficiente para controlar las operaciones industriales, el desarrollo de sistemas de control digital permitió flexibilidad en la integración de sensores distribuidos y lógica operativa mientras se mantenía una interfaz centralizada para el monitoreo y la interacción humana. [2] Esta facilidad para agregar fácilmente sensores y lógica a través de software, que alguna vez se hizo con relés e instrumentos analógicos aislados, ha llevado a una amplia aceptación e integración de estos sistemas en todas las industrias. Sin embargo, estos sistemas de control digital a menudo se han integrado en fases para cubrir diferentes aspectos de una operación industrial, conectados a través de una red y dando lugar a un sistema complejo interconectado e interdependiente. [3] Si bien la teoría de control aplicada a menudo no es más que una versión digital de sus contrapartes analógicas, la dependencia de los sistemas de control digital de las redes de comunicaciones ha precipitado la necesidad de ciberseguridad debido a los posibles efectos sobre la confidencialidad, la integridad y la disponibilidad de la información. información. [4] Por lo tanto, para lograr resiliencia en la próxima generación de sistemas de control , abordar las complejas interdependencias de los sistemas de control, incluida la interacción de los sistemas humanos y la ciberseguridad, será un desafío reconocido. [1]
Desde un punto de vista filosófico, avanzar en el área de sistemas de control resilientes requiere una definición, métricas y consideración de los desafíos y la fusión disciplinaria asociada a abordar. De estos surgirá la propuesta de valor para la inversión y la adopción. Cada uno de estos temas se analizará a continuación, pero para tener una perspectiva, considere la figura 1. [5]
La investigación en ingeniería de resiliencia durante la última década se ha centrado en dos áreas: organización y tecnología de la información . La resiliencia organizacional considera la capacidad de una organización para adaptarse y sobrevivir frente a amenazas, incluida la prevención o mitigación de condiciones inseguras, peligrosas o comprometedoras que amenazan su existencia misma. [6] La resiliencia de la tecnología de la información se ha considerado desde varios puntos de vista. [7] La resiliencia de las redes se ha considerado como calidad de servicio . [8] La informática ha considerado cuestiones como la confiabilidad y el rendimiento frente a cambios imprevistos. [9] Sin embargo, basándose en la aplicación de la dinámica de control a los procesos industriales, la funcionalidad y el determinismo son consideraciones primarias que no son capturadas por los objetivos tradicionales de la tecnología de la información. . [10]
Considerando el paradigma de los sistemas de control, se ha sugerido una definición: "Los sistemas de control resilientes son aquellos que toleran fluctuaciones a través de su estructura, parámetros de diseño, estructura de control y parámetros de control". [11] Sin embargo, esta definición se toma desde la perspectiva de la aplicación de la teoría del control a un sistema de control. La consideración del actor malicioso y la ciberseguridad no se consideran directamente, lo que podría sugerir la definición propuesta de "una reconstitución efectiva del control bajo el ataque de adversarios inteligentes". [12] Sin embargo, esta definición se centra únicamente en la resiliencia en respuesta a un actor malicioso. Para considerar los aspectos ciberfísicos del sistema de control, una definición de resiliencia considera la interacción humana tanto benigna como maliciosa, además de las complejas interdependencias de la aplicación del sistema de control. [13]
El uso del término “recuperación” se ha utilizado en el contexto de resiliencia , en paralelo a la respuesta de una pelota de goma de permanecer intacta cuando se ejerce una fuerza sobre ella y recuperar sus dimensiones originales una vez que se retira la fuerza. [14] Considerando la pelota de goma en términos de un sistema, la resiliencia podría definirse como su capacidad para mantener un nivel deseado de rendimiento o normalidad sin consecuencias irrecuperables. Si bien la resiliencia en este contexto se basa en el límite elástico de la bola, los sistemas de control requieren una interacción con el medio ambiente, es decir, los sensores, válvulas y bombas que conforman la operación industrial. Para ser reactivos a este entorno, los sistemas de control requieren estar conscientes de su estado para realizar cambios correctivos en el proceso industrial para mantener la normalidad. [15] Teniendo esto en cuenta, al considerar los aspectos ciberfísicos discutidos de la integración de sistemas humanos y la seguridad cibernética, así como otras definiciones de resiliencia a un nivel de infraestructura crítica más amplio, [16] [17] se puede deducir lo siguiente como definición de un sistema de control resiliente:
Un sistema de control resiliente es aquel que mantiene la conciencia del estado y un nivel aceptado de normalidad operativa en respuesta a perturbaciones, incluidas amenazas de naturaleza inesperada y maliciosa [1]
Considerando el flujo de un sistema de control digital como base, se puede diseñar un marco de sistema de control resiliente. Con referencia al lado izquierdo de la Fig. 2, un sistema de control resiliente considera de manera integral las medidas de desempeño o normalidad para el espacio de estados . En el centro, una comprensión del desempeño y la prioridad proporciona la base para una respuesta adecuada mediante una combinación de humanos y automatización, integrada dentro de un marco semiautónomo de múltiples agentes . Finalmente, a la derecha, la información debe adaptarse al consumidor para abordar la necesidad y posicionar una respuesta deseable. En la literatura se encuentran disponibles varios ejemplos o escenarios de cómo la resiliencia difiere y proporciona beneficios al diseño del sistema de control. [18] [13]
Algunos principios principales de la resiliencia , en contraste con la confiabilidad tradicional, se han presentado al considerar un enfoque integrado de los sistemas de control resilientes. [19] [20] [21] Estos inquilinos ciberfísicos complementan el concepto fundamental de computación confiable o confiable al caracterizar la resiliencia con respecto a las preocupaciones del sistema de control, incluidas consideraciones de diseño que brindan un nivel de comprensión y garantía en la operación segura. de una instalación industrial. Estos inquilinos se analizan individualmente a continuación para resumir algunos de los desafíos que se deben abordar para lograr resiliencia .
El ser humano benigno tiene la capacidad de comprender rápidamente soluciones novedosas y tener la capacidad de adaptarse a condiciones inesperadas. Este comportamiento puede proporcionar resiliencia adicional a un sistema de control, [22] pero predecir de manera reproducible el comportamiento humano es un desafío continuo. La capacidad de capturar preferencias humanas históricas se puede aplicar a la inferencia bayesiana y a las redes de creencias bayesianas , pero idealmente una solución consideraría la comprensión directa del estado humano utilizando sensores como un EEG . [23] [24] Teniendo en cuenta el diseño y la interacción del sistema de control, el objetivo sería adaptar la cantidad de automatización necesaria para lograr algún nivel de resiliencia óptima para esta respuesta de iniciativa mixta. [25] Presentada al ser humano sería aquella información procesable que proporciona la base para una respuesta específica y reproducible. [26]
En contraste con los desafíos de la predicción y la integración del ser humano benigno con los sistemas de control, las habilidades del actor malicioso (o hacker) para socavar el comportamiento deseado del sistema de control también crean un desafío importante para la resiliencia del sistema de control . [27] La aplicación del análisis de riesgo probabilístico dinámico utilizado en la confiabilidad humana puede proporcionar alguna base para el actor benigno. [28] Sin embargo, las intenciones decididamente maliciosas de un individuo, organización o nación adversaria hacen que el modelamiento de la variable humana sea tanto en objetivos como en motivos. [29] Sin embargo, al definir una respuesta del sistema de control a tales intenciones, el actor malintencionado espera algún nivel de comportamiento reconocido para obtener una ventaja y proporcionar un camino para socavar el sistema. Ya sea que se realicen por separado en preparación para un ciberataque o en el propio sistema, estos comportamientos pueden brindar la oportunidad de realizar un ataque exitoso sin ser detectado. Por lo tanto, al considerar una arquitectura de sistema de control resiliente, se sugerirían diseños atípicos que incorporen una aleatorización de atributos implementada activa y pasivamente para reducir esta ventaja. [30] [31]
Si bien gran parte de la infraestructura crítica actual está controlada por una red de sistemas de control interconectados, ya sea arquitectura denominada sistemas de control distribuido ( DCS ) o control de supervisión y adquisición de datos ( SCADA ), la aplicación del control avanza hacia un estado más descentralizado. Al pasar a una red inteligente, la compleja naturaleza interconectada de los hogares individuales, las instalaciones comerciales y la diversa generación y almacenamiento de energía crea una oportunidad y un desafío para garantizar que el sistema resultante sea más resistente a las amenazas. [32] [33] La capacidad de operar estos sistemas para lograr un óptimo global para múltiples consideraciones, como la eficiencia general, la estabilidad y la seguridad, requerirá mecanismos para diseñar de manera integral sistemas complejos de control en red . [34] [35] Los métodos de agentes múltiples sugieren un mecanismo para vincular un objetivo global a activos distribuidos, permitiendo la gestión y coordinación de activos para un beneficio óptimo y controladores semiautónomos, pero restringidos, que pueden reaccionar rápidamente para mantener la resiliencia ante cambios rápidos. condiciones. [36] [37]
Establecer una métrica que pueda capturar los atributos de resiliencia puede ser complejo, al menos si se considera en función de las diferencias entre las interacciones o interdependencias. La evaluación de las alteraciones de control, cibernéticas y cognitivas, especialmente si se consideran desde un punto de vista disciplinario, conduce a medidas que ya estaban establecidas. Sin embargo, si la métrica se basara en un atributo dinámico normalizador, una característica de rendimiento que puede verse afectada por la degradación, se sugiere una alternativa. Específicamente, las aplicaciones de métricas básicas a las características de resiliencia se dan a continuación para el tipo de perturbación:
Estas características de rendimiento existen tanto en el tiempo como en la integridad de los datos. El tiempo, tanto en términos de retraso de la misión y latencia de las comunicaciones, como los datos, en términos de corrupción o modificación, son factores normalizadores. En general, la idea es basar la métrica en “lo que se espera” y no necesariamente en el iniciador real de la degradación. Considerando el tiempo como base métrica, en la Fig. 3 se pueden observar sistemas resilientes y no resilientes. [38]
Dependiendo de las métricas de abscisas elegidas, la Fig. 3 refleja una generalización de la resiliencia de un sistema. En este gráfico se representan varios términos comunes, incluidos robustez, agilidad, capacidad de adaptación, insuficiencia adaptativa, resiliencia y fragilidad. Para resumir las definiciones de estos términos, a continuación se proporcionan las siguientes explicaciones de cada uno:
En la abscisa de la Fig. 3, se puede reconocer que las influencias cibernéticas y cognitivas pueden afectar tanto a los datos como al tiempo, lo que subraya la importancia relativa de reconocer estas formas de degradación en diseños de control resilientes. En materia de ciberseguridad, un solo ciberataque puede degradar un sistema de control de múltiples maneras. Además, los impactos de control se pueden caracterizar como se indica. Si bien estos términos son fundamentales y parecen de poco valor para quienes correlacionan el impacto en términos como el costo, el desarrollo de casos de uso proporciona un medio por el cual se puede codificar esta relevancia. Por ejemplo, dado el impacto en la dinámica del sistema o en los datos, el rendimiento del bucle de control se puede determinar directamente y mostrar una aproximación a la inestabilidad y el impacto operativo.
La propia naturaleza de los sistemas de control implica un punto de partida para el desarrollo de métricas de resiliencia. Es decir, el control de un proceso físico se basa en medidas y desempeño cuantificables, incluidos primeros principios y estocásticos. La capacidad de proporcionar esta medición, que es la base para correlacionar el rendimiento operativo y la adaptación, también se convierte en el punto de partida para la correlación de los datos y las variaciones temporales que pueden provenir de fuentes cognitivas y ciberfísicas. La comprensión efectiva se basa en el desarrollo de una variedad de capacidades adaptativas que se correlacionen con el amortiguador de diseño (y operativo). Para un sistema de energía, esta variedad se basa en los activos de energía real y reactiva, la libertad de maniobra de los controlables y el impacto de las perturbaciones a lo largo del tiempo. Para un sistema de distribución moderno (MDS), estos activos se pueden agregar a partir de las contribuciones individuales como se muestra en la Fig. 4. [39] Para esta figura, estos activos incluyen: a) una batería, b) una fuente de línea de conexión alternativa, c ) una fuente asimétrica con conjetura P/Q, d) un compensador síncrono estático de distribución (DSTATCOM), y e) una fuente de baja latencia, de cuatro cuadrantes sin límite de energía.
1) Al considerar los diseños actuales de sistemas de control digital, la seguridad cibernética de estos sistemas depende de lo que se considera protecciones fronterizas, es decir, firewalls, contraseñas, etc. Si un actor malicioso comprometió el sistema de control digital para una operación industrial por parte de un hombre -Ataque en el medio , los datos pueden corromperse con el sistema de control. El operador de la instalación industrial no tendría forma de saber que los datos se han visto comprometidos hasta que alguien, por ejemplo un ingeniero de seguridad, reconociera que se estaba produciendo el ataque. Dado que los operadores están capacitados para brindar una respuesta rápida y adecuada para estabilizar la instalación industrial, existe la posibilidad de que los datos corruptos hagan que el operador reaccione a la situación y provoque un trastorno en la planta. En un sistema de control resiliente, como se muestra en la Fig. 2, los datos físicos y cibernéticos se fusionan para reconocer situaciones anómalas y advertir al operador. [40]
2) A medida que nuestra sociedad se vuelve más automatizada para una variedad de factores, incluida la eficiencia energética, surge naturalmente la necesidad de implementar algoritmos de control cada vez más efectivos. Sin embargo, los algoritmos de control avanzados dependen de datos de múltiples sensores para predecir los comportamientos de la operación industrial y tomar respuestas correctivas. Este tipo de sistema puede volverse muy frágil, en la medida en que cualquier degradación no reconocida en el propio sensor puede provocar respuestas incorrectas por parte del algoritmo de control y potencialmente un empeoramiento de la condición relativa al funcionamiento deseado para la instalación industrial. Por lo tanto, la implementación de algoritmos de control avanzados en un sistema de control resiliente también requiere la implementación de arquitecturas de diagnóstico y pronóstico para reconocer la degradación del sensor, así como fallas en los equipos de procesos industriales asociados con los algoritmos de control. [41] [42] [43]
En nuestro mundo de automatización avanzada, nuestra dependencia de estas tecnologías avanzadas requerirá conjuntos de habilidades educadas de múltiples disciplinas. Los desafíos pueden parecer simplemente basados en un mejor diseño de los sistemas de control para una mayor seguridad y eficiencia. Sin embargo, la evolución de las tecnologías en el diseño actual de la automatización ha creado un entorno complejo en el que un ciberataque, un error humano (ya sea de diseño u operación) o una tormenta dañina pueden causar estragos en la infraestructura básica. La próxima generación de sistemas deberá considerar un panorama más amplio para garantizar un camino a seguir en el que las fallas no conduzcan a eventos catastróficos cada vez mayores. Un recurso fundamental son los estudiantes, de quienes se espera que desarrollen las habilidades necesarias para avanzar en estos diseños, y requieren tanto una perspectiva de los desafíos como de las contribuciones de otros para satisfacer la necesidad. Para abordar esta necesidad, hace más de una década se estableció un curso semestral sobre sistemas de control resilientes en Idaho y otras universidades como catálogo o enfoque de temas especiales para estudiantes de pregrado y posgrado. Las lecciones de este curso fueron codificadas en un texto que proporciona la base para los estudios interdisciplinarios. [44] Además, se han desarrollado otros cursos para proporcionar perspectivas y ejemplos relevantes para revisar los problemas críticos de infraestructura y brindar la oportunidad de crear soluciones resilientes en universidades como la Universidad George Mason y Northeastern.
A través del desarrollo de tecnologías diseñadas para sentar las bases para la automatización de próxima generación, se ha hecho evidente que los equipos eficaces están compuestos por varias disciplinas. [45] Sin embargo, desarrollar un nivel de efectividad puede llevar mucho tiempo y, cuando se hace en un entorno profesional, puede consumir mucha energía y tiempo que proporciona pocos beneficios obvios para el resultado deseado. Está claro que cuanto antes se puedan integrar con éxito estas disciplinas STEM , más efectivas serán para reconocer las contribuciones de cada una y trabajar juntas para lograr un conjunto común de objetivos en el mundo profesional. La competencia en equipo en lugares como la Semana de la Resiliencia será un resultado natural del desarrollo de un entorno de este tipo, que permitirá la participación interdisciplinaria y brindará un desafío emocionante para motivar a los estudiantes a seguir una educación STEM.
Se necesitan estándares y políticas que definan la nomenclatura y las métricas de resiliencia para establecer una propuesta de valor para la inversión, que incluya al gobierno, la academia y la industria. La Sociedad de Electrónica Industrial IEEE ha tomado la iniciativa de formar un comité técnico con este fin. El propósito de este comité será establecer métricas y estándares asociados con la codificación de tecnologías prometedoras que promuevan la resiliencia en la automatización. Este esfuerzo se diferencia de un mayor enfoque de la comunidad de la cadena de suministro en la resiliencia y la seguridad, como los esfuerzos de ISO y NIST.
{{citation}}: Mantenimiento CS1: falta el editor de la ubicación ( enlace )
Este artículo incorpora material de dominio público de sitios web o documentos del gobierno de los Estados Unidos . Rieger, CG; Gertman, DI; McQueen, MA (mayo de 2009), Sistemas de control resilientes: investigación de diseño de próxima generación , Catania, Italia: Segunda Conferencia IEEE sobre interacción del sistema humano