智能工厂安全一体化 第2部分 风险评估要求

GB/TXXXXX—XXXX智能工厂安全一体化第2部分：风险评估要求本文件规定了智能工厂安全一体化风险评估一般要求、风险评估程序、风险评估相关活动、风险评估文档记录的要求。本文件适用于智能工厂生产系统开展安全一体化风险评估。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T20438.1电气/电子/可编程电子安全相关系统的功能安全第1部分：一般要求GB/T20438.4电气/电子/可编程电子安全相关系统的功能安全第4部分：定义和缩略语GB/T21109（所有部分）过程工业领域安全仪表系统的功能安全GB/T35320危险与可操作性分析（HAZOP分析）应用指南GB/T41257数字化车间功能安全要求GB/T41260数字化车间信息安全要求GB/TXXXX.1智能工厂安全一体化第1部分：一般要求3术语和定义GB/TXXXX.1中界定的术语以及下列术语适用于本文件。3.1伤害harm人身损伤、人的健康损害、财产或环境的损害。[来源：GB/T20438.4—2017，3.1.1]3.2危险hazard伤害的潜在根源。[来源：GB/T20438.4—2017，3.1.2]3.3危险状况hazardoussituation人、财产或环境暴露于一个或多个危险源环境的情况。[来源：GB/T20438.4—2017，3.1.3]3.4GB/TXXXXX—XXXX危险事件hazardousevent可能导致伤害的事件。[来源：GB/T20438.4—2017，3.1.4]3.5伤害发生的概率与该伤害严重程度的组合。[来源：GB/T20438.4—2017，3.1.6]3.6残余风险residualrisk采取防护措施以后仍存在的风险。[来源：GB/T20438.4—2017，3.1.8]3.7由EUC或由EUC与EUC控制系统相互作用而产生的风险。[来源：GB/T20438.4—2017，3.1.9]3.8功能安全风险functionalsafetyrisk与特定的危险事件相伴的风险。在这种危险事件中用功能安全相关系统和其他风险降低措施来提供必要的风险降低。3.9信息安全风险informationsecurityrisk特定威胁利用单个或一组资产脆弱性的可能性以及由此可能给组织带来的损害。[来源：GB/T20984—2022，3.1.1]3.10目标风险targetrisk针对特定的危险，考虑了EUC风险，及E/E/PE安全相关系统和其他风险降低措施后，所要达到的风[来源：GB/T20438.4—2017，3.1.10]3.11风险管理riskmanagement指导和控制组织相关风险的协调活动。[来源：GB/T25069—2022，3.168]3.12安全safetyGB/TXXXXX—XXXX没有不可接受的风险。[来源：GB/T20438.4—2017，3.1.11]3.13安全功能safetyfunction针对特定的危险事件，为实现或保持EUC的安全状态，由E/E/PE安全相关系统或其他风险降低措施实现的功能。[来源：GB/T20438.4—2017，3.5.1]3.14安全完整性safetyintegrity在规定的时间段内和规定的条件下，安全相关系统成功执行规定的安全功能的概率。[来源：GB/T20438.4—2017，3.5.4]3.15安全完整性等级safetyintegritylev一种离散的等级（四个可能等级之一对应安全完整性量值的范围。安全完整性等级4是最高的，安全完整性等级1是最低的。[来源：GB/T20438.4—2017，3.5.8]3.16威胁threat可能对系统或组织造成危害的不期望事件的潜在因素。[来源：GB/T25069—2022，3.628]3.17脆弱性vulnerability系统设计、实现或操作和管理中存在的缺陷或弱点，可被利用来危害系统的完整性或安保策略。[来源：GB/T30976.1—2014，3.1.1]4缩略语下列缩略语适用于本文件。5一般要求5.1评估对象智能工厂安全一体化风险评估的对象为：按照GB/TXXXX.1中第5章确定的对象，如图1所示。GB/TXXXXX—XXXX图1智能工厂安全一体化风险评估对象示意图5.2评估原则5.2.1智能工厂安全一体化风险评估的目标是将生产系统运行风险控制在可容忍范围。智能工厂安全一体化风险评估应综合考虑传统生产安全危险源、信息安全威胁等因素，其中，信息安全相关因素考虑宜基于信息安全风险评估结果辨识出的可能导致生产安全影响的威胁。5.2.2智能工厂安全一体化风险评估，可在智能工厂生产系统安全一体化生命周期的风险评估阶段、运行维护阶段以及修改变更阶段开展。6风险评估相关活动6.1确定安全目标和风险准则6.1.1应根据满足业务持续发展在安全方面的需要、法律法规的规定等内容，识别智能工厂生产系统的工艺、装置、设备、控制系统及管理等方面的不足，确定安全目标和风险准则。6.1.2确定目标和准则定义时，应考虑以下因素：——分析结果的使用目的；——需要进行分析的智能工厂生产系统的生命周期阶段；——可能面临风险的人员或资产，例如：员工，公众，环境和系统等；——可操作性问题，包括对业务连续性、产品质量等的影响；——通用的法律要求，以及与特定应用直接相关的法律要求；——相关安全监管机构发布的指南；GB/TXXXXX—XXXX——与应用有关各方的争议与一致意见；——工业标准和指南；——来自咨询机构的最佳独立建议。6.2确定风险评估范围风险评估范围及颗粒度的确定，取决于以下几个因素：——智能工厂生产系统的物理边界；——可获得的设计说明的详细程度；——已经完成的危害分析或其他相关分析活动的范围；——适用的法规要求。6.3组建评估管理与实施工作组6.3.1应由具有资质的机构在其资质证书认可的业务范围内从事风险评估活动。6.3.2风险评估工作组成员应是独立的，项目设计的人员或项目组其他相关人员应配合风险评估工作组参与风险评估活动。6.3.3风险评估工作组成员应具备相关经验及相关法律法规知识，以确保评估结果的合理可信。6.3.4应保证从事风险评估的人员具有相应的功能安全和/或信息安全知识，并具有相应的经验能力。6.3.5评估人员应按被评估方要求进行保密教育，可根据被评估方要求，双方签署保密合同，适情签署个人保密协议。6.3.6应在项目分析启动时就明确评估工作组的角色和责任的定义，并获得企业管理者认可和工作组组长、成员达成共识。6.3.7风险评估组长应审核设计，以便确定需要收集的信息和资料，以及评估工作组成员应当具备的技能。并制定里程碑形式的行动计划以确保相关建议得到及时落实。6.3.8组成风险评估工作组的每一名成员都应赋予明确的职责，以确保在包括相关的技术、操作技能和经验的人员足够的前提下应当尽可能的少。6.3.9所有的风险评估工作组成员都应有足够的风险分析知识，确保有效参与分析，必要时应经过适当的培训达到此要求。6.3.10推荐的风险评估工作组成员构成，包括：——风险评估组长；——记录员；——项目设计人员；——用户；——专家；——运行维护人员（代表）。6.4评估资料准备GB/TXXXXX—XXXX在正式开始评估之前，应保证能够获取最完整的可用设计资料，有纰漏或不完整的资料应在分析开始前得到纠正。在分析的计划阶段，由熟悉设计的人员根据设计资料对节点、要素及特性进行识别。应考虑以下方面：——设计文件。设计文件应至少包括以下项，其内容应清晰无歧义，并经过审批及有明确的日期标注：●对于所有系统：设计要求和描述，流程图，功能块图，控制图，电路图，工程数据表，布置图，公用工程规格，操作和维修要求；●过程系统：管道和仪表流程图，材料规格和设备标准、管道和系统平面布置图；●可编程电子系统：数据流程图，面向对象设计框图，状态转换框图，时序图及逻辑图。——分析对象的边界和在边界处的界面；——系统运行的环境；——操作和维修人员的资质，技能和经验；——程序和/或操作规程；——操作和维修经验和对类似系统的危险认知；——业务战略及管理制度；——主要的业务功能和要求；——网络结构与网络环境，包括内部连接和外部连接；——主要的硬件、软件；——数据和信息；——系统和数据的敏感性；——支持和使用系统的人员；——工厂所处环境的气象水文材料；——分析会议文件●评估记录文件。含记录表、适用的记录项等；●分析所需的参考资料、事故事件案例集、数据资料、以往的评估报告、被评估单位的历史事故事件分析报告等；●根据评估方提供的设计等资料，对评估范围做区域划分，并清晰每个区域的设计意图和构——其他相关文件。6.5选择评估工具和方法应综合考虑生命周期阶段、分析目标、所能获得的信息等内容，选择风险评估工具和方法。6.6制定风险评估计划在正式开始评估之前，应制定并发布一份风险评估计划，包括以下内容：——评估组织：包括评估工作组成员、组织结构、角色、责任等内容；——工作计划：风险评估各阶段的工作计划，包括工作内容、工作形式、工作成果等内容；——时间进度安排：项目实施的时间进度安排。7风险评估程序GB/TXXXXX—XXXX7.1风险评估流程在完成第6章要求的相关活动后，应按图2所示流程开展智能工厂安全一体化的风险评估。风险识别风险识别危险识别（包括：传统生产危险源等）<<威胁和脆弱性识别初始风险分析初始风险分析残余风险分析残余风险分析<<图2智能工厂安全一体化风险评估流程GB/TXXXXX—XXXX7.2节点划分7.2.1节点划分要求为便于分析，可将系统分成若干节点，各个节点的设计意图应能充分定义，应满足以下要求：——结合智能工厂生产系统的对象特点，划分节点。——节点划分，应考虑分析范围内的所有设施、设备，遵循既不重复，又不遗漏的原则。——所选节点的大小，取决于系统的复杂性和危险的严重程度。节点划分不宜过大或过小。复杂度高或危险性高的系统可划分成若干较小的节点，简单的或低危险性系统可划分成若干较大的节点，以加快分析进程。——每个节点的范围，应包括分析对象中的一个或多个功能系统。7.2.2节点描述要求节点应有编号，可采取统一的节点编号方式。节点描述一般包括：节点范围及工艺流程简单说明、主要设备位号、管线和设备的设计参数、安全阈值等。7.3偏差确定7.3.1为划分的每个节点确定需要考虑的关键被控工艺参数及操作步序，将其与引导词组合，确定有意义的偏差及其含义。7.3.2针对确定的每一个偏差，确定导致偏差的诱因，进行危险识别、威胁和脆弱性辨识。偏差的确定方法可参见GB/T35320。7.4危险识别7.4.1应通过危险识别形成一份危险、危险状态和危险事件清单，该清单能够描述危险状态可能在何时以何种方式导致伤害的事故场合。7.4.2在进行危险识别时，应开展：——对智能工厂生产系统生命周期阶段的识别，包括：●修改和变更。——对运行模式的识别，包括但不限于：GB/TXXXXX—XXXX●紧急停止；●暂停或锁定后的恢复运行；●非计划停机后的重新启动；●故障查找/排除。——对工艺装置/设备的可能的状态的识别，包括：●正常运转；●功能失效。——对非预期的人员行为，或合理可预见的误操作的识别，包括：●过程/机器失控；●异常发生时的人员条件反射行为；●操作人员未严格按照作业流程有意或无意导致的行为；●非专业操作人员/动物的行为（如儿童、残疾人、小动物）等。——对合理可预见的情况下，其他危险的识别，包括：●过程危险；●机械危险；●电气危险；●热危险；●噪声危险；●振动危险；●辐射危险；●物料/物资产生的危险；●人机工效学危险；●与环境有关的危险等。——其他异常运行情况的识别。7.5威胁和脆弱性辨识7.5.1威胁辨识7.5.1.1宜根据智能工厂及其生产系统自身的特点、发生的历史安全事件记录等，辨识智能工厂的所有潜在威胁。7.5.1.2可采用分类的方式，基于威胁来源，或基于获得系统访问权限的机制，进行威胁辨识。智能工厂生产系统的威胁分类，可参考相关标准或附录B。7.5.1.3根据威胁来源，智能工厂面临的信息安全威胁，可分为内部信息安全威胁、外部信息安全威胁。其中，内部信息安全威胁是由允许访问网络制造系统的人造成的，可能是员工、承包商或第三方（例如，集成商、服务提供商），内部攻击可进一步细分为故意的、无意的。外部信息安全威胁是由不允许逻辑或物理访问控制系统的人构成的，可能是竞争对手、国家、黑客、网络罪犯集团等。GB/TXXXXX—XXXX7.5.1.4基于威胁来源，智能工厂生产系统面临的信息安全威胁，包括但不限于：——内部无意的威胁（例如，不知不觉地插入了一个受感染的USB）；——内部故意的威胁（例如，心怀不满的员工）；——外部一般/非熟练人员威胁（例如，脚本小子）；——外部有目标的/有技能的威胁（例如，网络罪犯、技能展示——外部攻击行为威胁（例如，高级持续威胁，民族国家）。7.5.1.5基于获得系统访问权限的机制，智能工厂生产系统面临的信息安全威胁，包括但不限于：——社会工程威胁（如，网络钓鱼、鱼叉式网络钓鱼——通信威胁（例如，拒绝服务，以及中间信息）；——供应链威胁（例如，服务提供者的破坏）；——物理访问威胁（例如，登录到无防护的工作站——软件威胁（例如，利用一个已知的软件漏洞）；——硬件威胁（例如，将USB连接到不安全的端口）。7.5.1.6在识别出威胁之后，宜详细罗列出每条威胁的信息，包括：——威胁来源；——威胁来源的技能水平、动机、资源等；——可能的威胁场景、途径和载体；——潜在受影响的资产。7.5.1.7智能工厂可能面临的潜在威胁示例，见附录B。7.5.2脆弱性辨识7.5.2.1应识别与智能工厂生产系统的每个节点内与各偏差相关的系统和设备的脆弱性。7.5.2.2智能工厂生产系统的脆弱性，可参考相关标准或类似系统/产品的脆弱性进行分析。7.5.2.3智能工厂生产系统的脆弱性，可分为两大类：——工业自动化系统的常见脆弱性。包括：无线通信、自动化系统集成导致的脆弱性等。——智能工厂生产系统的特定脆弱性。包括：大量移动设备接入、联网应用程序、遗留系统等导致的脆弱性等。）：GB/TXXXXX—XXXX7.6危险事件分析7.6.1应明确合理可预见情况下，工艺装置、受控设备、控制系统等的危险和危险事件。7.6.2应分析并明确已确定的危险/威胁，导致危险事件发生的事件顺序。7.6.3分析威胁和脆弱性作为危险事件的一种起始原因的可能性，中间事件以及事件顺序也应被辨识明确。针对识别出的每一项威胁，应全面梳理攻击路径，识别所有潜在的危险事件，并分析至最终后果。7.6.4应制定人员失误概率评估的统一规则，并在分析时严格执行。7.6.5一个危险/威胁，经过危险事件转化为危险状况，进而产生伤害的示例，如下。表1危险、危险事件、危险情况和伤害示例注：危险导致危险事件的分析，可参见GB/T41257、GB/T35320。威胁导致危险事件的分析，可参见GB/T41260。7.7危险事件发生可能性分级7.7.1危险事件发生可能性7.7.1.1应评估已确定的危险事件的发生可能性。7.7.1.2危险事件的发生可能性，应具有合理可信的来源。对于由威胁导致的危险事件的发生可能性，可结合具体的威胁场景，基于以下方法进行评估：——基于攻击者的动机、能力；——基于攻击者的动机、资源、知识；——基于攻击者的动机、能力、资源；——基于攻击者的攻击潜力AP；——基于资产暴露度与脆弱性程度。7.7.1.3如果缺乏类似系统的实际攻击信息，也可通过估计危险事件的每年发生次数来评估发生可能性，具体见附录C。7.7.1.4在评估危险事件发生可能性时，应不考虑保护措施或防护设施的作用，并考虑以下内容：GB/TXXXXX—XXXX——原则上，应为每一对辨识出的“原因（危险/威胁）——危险事件”评估发生可能性。有时候，若在足够经验的基础上，可以选择影响最大的几对“原因（危险/威胁）——危险事件”评估，而略去明显低一个数量级以上的原因。——对于在一定条件下成立的“原因（危险/威胁）——危险事件”对，应做条件修正。7.7.2危险事件发生可能性等级划分7.7.2.1应根据危险事件的发生可能性，确定危险事件的发生可能性等级。7.7.2.2危险事件发生可能性等级的定义和选择，应符合国家、行业、企业相关标准或规范要求。7.7.2.3智能工厂危险事件发生可能性分级示例，见附录C。7.8后果分析7.8.1在进行智能工厂危险事件的后果分析时，应参考以前类似危险事件的相关数据信息，或基于现场实际情况的模拟仿真预计，或结合调查问卷等方式，除考虑传统的生产安全相关事件后果（人员、环境、经济、声誉、运行等方面的影响），还应考虑可用性（例如：业务中断、恶意控制、需要时安全功能无法执行等）、完整性（例如：设备损坏、性能降级、数据篡改、安全功能误操作等）、保密性（例如：数据泄露等）等后果。——数据泄露等。7.8.2在进行智能工厂危险事件的后果影响范围识别时，应分析至最终后果。7.9后果严重程度分级7.9.1应评估已确定的智能工厂危险事件的后果严重程度，并根据后果严重程度，确定后果严重程度等级。7.9.2智能工厂危险事件的后果及其严重性等级的选择和确定，应符合国家、行业、企业相关标准或规范要求，并具有合理可信的来源。7.9.3在开展智能工厂危险事件后果严重性评估和等级划分过程中，应注意对于在一定条件下引起的后果，需要做条件修正。7.10初始风险评估7.10.1根据智能工厂危险事件的发生可能性，以及后果严重程度，计算危险事件初始风险。7.10.2根据智能工厂的安全目标和风险准则，以及选定的风险评估工具，判定风险等级。GB/TXXXXX—XXXX7.10.3对于判定出的不可容忍风险（如中高风险，或数字超过可容忍风险值的风险等则需进一步开展7.11至7.13中要求的内容。7.10.4对于判定出的可容忍风险（如低风险，或低于可容忍风险值的风险等则可根据情况决定是否继续开展7.11至7.13中要求的内容。7.11风险降低措施分析7.11.1应分析出可以避免危险事件发生，或者避免事件的不期望后果出现的所有功能安全保护措施、信息安全防护措施，明确保护功能或防护功能，并分析判断这些措施之间的影响或关联关系。7.11.2对于在一定条件下起作用的功能安全保护措施、信息安全防护措施，应逐条辨识条件因素，并判断条件因素跟功能安全保护措施/信息安全防护措施之间、条件因素之间、条件因素跟危险事件之间、条件因素跟后果之间的关系。计算保护/防护能力时，需要根据独立性情况做修正。7.12保护/防护能力评估7.12.1辨识每一个独立的功能安全保护措施/信息安全防护措施的风险降低因子。典型保护的风险降低因子可通过公开文献或工业数据获得。7.12.2对于信息安全防护措施，根据措施的类型和数量，可以估计减轻信息安全事件的发生可能性。在确定应通过措施减少多少可能性时，可以考虑基于经验法则。），7.12.3提出功能安全保护措施的降险能力（SIL或PFD）和信息安全防护措施的防护能力（SL）。7.13残余风险评估7.13.1选择某一个“事件-后果”对，评估经功能安全保护措施/信息安全防护措施实现风险降低后的危险事件发生可能性，或者后果严重程度，并评估危险事件的残余风险。7.13.2根据安全目标和风险准则，判定风险等级。若风险在可容忍范围内，则完成。否则，给出意见建议。7.14意见建议7.14.1应对不在可容忍范围内的风险源，提出意见建议，包括但不限于:——增加功能安全保护措施/信息安全防护措施（例如：安全仪表系统、安全阀、防火堤、访问控制措施、使用控制措施、系统完整性措施、系统保密性措施、风险监控措施等——更改为更有效/更可靠的功能安全保护措施/信息安全防护措施；——通过管理的手段来弥补不足（例如：增加人员培训；供应商管理；变更管理；定期开展风险评估，基于风险复盘，更新风险应急预案等）；——更改工序、工艺、装置、设备、网络、控制等的原始设计，以推动实现本质安全。GB/TXXXXX—XXXX7.14.2提出的意见建议应被记录，并指定责任人，追踪执行。7.14.3对于信息安全威胁导致的不可容忍风险，在提出建议的风险降低措施后，应同时对该风险降低措施进行信息安全风险评估确认其有效性。8风险评估文档记录8.1.1应完整、准确地记录评估过程中获得的信息。8.1.2风险评估的记录文档，应包括危险事件至最终后果的事件链，以便其它评估工作组或评估师审查评估过程中作出的假设，以及当场景不能满足企业可容忍风险时，确认采用其它功能安全保护措施/信息安全防护措施是否可以防止事件发生或降低风险。8.1.3风险评估文档记录，可采用多种形式。一个典型的风险评估文档记录表，见附件A。GB/TXXXXX—XXXX风险评估方法风险评估方法，可分为定性和定量两大类。定性的风险评估方法示例：PHA/HAZOP、检查表、FMEA。定量的风险评估方法示例：蝴蝶结、LOPA、定量风险分析QRA、半定量SL验证。其中：HAZOP是评估工业现场过程危害的常用技术，该技术是基于使用预先配置的引导词来确定过程中断的可能原因和最终后果。对于信息安全HAZOP，引导词可被用于识别信息安全被破坏的潜在原因。表A.1为基于HAZOP的安全一体化风险示例，表A.2为所采用的风险矩阵和可容忍风险示例。表A.1基于HAZOP的安全一体化风险示例反应度高R4.6联锁（SIS2R4.6联锁（SIS1GB/TXXXXX—XXXXR1.32R1.31表A.2所采用的风险矩阵和可容忍风险示例1234567876543GB/TXXXXX—XXXX21GB/TXXXXX—XXXX威胁示例一种基于表现形式的威胁分类，见下表。表B.1一种基于表现形式的威胁分类设备硬件故障、传输设备故障、存储媒体故障、系统软件故障、应用软件故障、数据库软件故障、开发环无作为或操作失病毒、特洛伊木马、蠕虫、陷门、间谍软件、窃听软通过采用一些措施,超越自己的权限访问非授权访问网络资源、非授权访问系统资源滥用权限非正常修改系统配置或数据、滥用权限泄露秘密信息网络探测和信息采集、漏洞探测、嗅探账户篡改网络配置信息、篡改系统配置信息、篡改安全配智能工厂生产系统可能面临的威胁类别示例，见下表。表B.2智能工厂生产系统可能面临的威胁类别示例GB/TXXXXX—XXXXGB/TXXXXX—XXXX危险事件发生可能性评估示例C.1基于攻击潜力AP，估计危险事件发生可能性该示例中，由威胁导致的危险事件发生可能性采用攻击潜力AP来评估。攻击潜力AP由所需时间、专业知识、目标信息、目标访问、设备等因素决定。具体见下表。表C.1攻击潜力相关的因素分类通过估计各个类别因素的数值，来计算攻击潜力AP，具体如下式所示。AP=AP所需时间+AP专业知识+AP目标信息+AP目标访问+AP设备攻击潜力AP的等级划分、以及导致的危险事件发生可能性划分，见下表。表C.2攻击潜力等级划分及危险事件发生可能性等级划分GB/TXXXXX—XXXXC.2基于攻击者的经验、所需设备、机会、所需时间，估计危险事件发生可能性基于攻击者的经验、所需设备、机会窗口、时间，估计危险事件发生可能性示例，见下表。表C.2危险事件发生可能性级等级划分示例C.3基于资产暴露度与脆弱性，估计危险事件发生可能性基于资产暴露度与脆弱性，估计危险事件发生可能性示例，见下表。表C.3危险事件发生可能性级等级划分示例