Sistemas de control resilientes

Un sistema de control resiliente es aquel que mantiene la conciencia del estado y un nivel aceptado de normalidad operativa en respuesta a perturbaciones, incluidas amenazas de naturaleza inesperada y maliciosa”. ^[1]

Los sistemas de control computarizados o digitales se utilizan para automatizar de manera confiable muchas operaciones industriales, como las centrales eléctricas o los automóviles. La complejidad de estos sistemas y la forma en que los diseñadores los integran, los roles y las responsabilidades de los humanos que interactúan con los sistemas y la seguridad cibernética de estos sistemas altamente interconectados han llevado a un nuevo paradigma en la filosofía de investigación para los sistemas de control de próxima generación. Los sistemas de control resilientes consideran todos estos elementos y aquellas disciplinas que contribuyen a un diseño más efectivo, como la psicología cognitiva , la informática y la ingeniería de control para desarrollar soluciones interdisciplinarias. Estas soluciones consideran aspectos como la forma de adaptar las pantallas operativas del sistema de control para permitir que el usuario dé una respuesta precisa y reproducible, cómo diseñar protecciones de ciberseguridad de modo que el sistema se defienda a sí mismo de los ataques modificando sus comportamientos y cómo integrar mejor los sistemas de control informático ampliamente distribuidos para evitar fallas en cascada que resulten en interrupciones de las operaciones industriales críticas.

En el contexto de los sistemas ciberfísicos , los sistemas de control resilientes son un aspecto que se centra en las interdependencias únicas de un sistema de control, en comparación con los sistemas informáticos y redes de tecnología de la información , debido a su importancia en el funcionamiento de nuestras operaciones industriales críticas.

Originalmente pensados ​​para proporcionar un mecanismo más eficiente para controlar las operaciones industriales, el desarrollo de los sistemas de control digital permitió flexibilidad en la integración de sensores distribuidos y lógica operativa, manteniendo al mismo tiempo una interfaz centralizada para el monitoreo e interacción humana. ^[2] Esta facilidad de agregar fácilmente sensores y lógica a través del software, que antes se hacía con relés e instrumentos analógicos aislados, ha llevado a una amplia aceptación e integración de estos sistemas en todas las industrias. Sin embargo, estos sistemas de control digital a menudo se han integrado en fases para cubrir diferentes aspectos de una operación industrial, conectados a través de una red, y dando lugar a un sistema complejo interconectado e interdependiente. ^[3] Si bien la teoría de control aplicada a menudo no es más que una versión digital de sus contrapartes analógicas, la dependencia de los sistemas de control digital de las redes de comunicaciones ha precipitado la necesidad de ciberseguridad debido a los posibles efectos sobre la confidencialidad, integridad y disponibilidad de la información. ^[4] Por lo tanto, para lograr resiliencia en la próxima generación de sistemas de control , abordar las complejas interdependencias del sistema de control, incluida la interacción de los sistemas humanos y la ciberseguridad, será un desafío reconocido. ^[1]

Desde un punto de vista filosófico, avanzar en el área de los sistemas de control resilientes requiere una definición, métricas y consideración de los desafíos y la fusión disciplinaria asociada que se deben abordar. De estos se desprenderá la propuesta de valor para la inversión y la adopción. Cada uno de estos temas se analizará a continuación, pero para tener una perspectiva, considere la Figura 1. ^[5]

La investigación en ingeniería de resiliencia durante la última década se ha centrado en dos áreas, la tecnología organizacional y la tecnología de la información . La resiliencia organizacional considera la capacidad de una organización para adaptarse y sobrevivir frente a amenazas, incluida la prevención o mitigación de condiciones inseguras, peligrosas o comprometedoras que amenazan su propia existencia. ^[6] La resiliencia de la tecnología de la información se ha considerado desde varios puntos de vista. ^[7] La ​​resiliencia de la red se ha considerado como calidad de servicio . ^[8] La informática ha considerado cuestiones como la confiabilidad y el rendimiento frente a cambios imprevistos. ^[9] Sin embargo, con base en la aplicación de la dinámica de control a los procesos industriales, la funcionalidad y el determinismo son consideraciones primarias que no están capturadas por los objetivos tradicionales de la tecnología de la información. . ^[10]

Teniendo en cuenta el paradigma de los sistemas de control, se ha sugerido una definición que dice que "los sistemas de control resilientes son aquellos que toleran fluctuaciones a través de su estructura, parámetros de diseño, estructura de control y parámetros de control". ^[11] Sin embargo, esta definición se toma desde la perspectiva de la aplicación de la teoría de control a un sistema de control. La consideración del actor malicioso y la seguridad cibernética no se consideran directamente, lo que podría sugerir la definición, "una reconstitución efectiva del control bajo ataque de adversarios inteligentes", que se propuso. ^[12] Sin embargo, esta definición se centra solo en la resiliencia en respuesta a un actor malicioso. Para considerar los aspectos ciberfísicos del sistema de control, una definición de resiliencia considera la interacción humana benigna y maliciosa, además de las interdependencias complejas de la aplicación del sistema de control. ^[13]

El uso del término “recuperación” se ha utilizado en el contexto de la resiliencia , en paralelo a la respuesta de una pelota de goma para permanecer intacta cuando se ejerce una fuerza sobre ella y recuperar sus dimensiones originales después de que se retira la fuerza. ^[14] Considerando la pelota de goma en términos de un sistema, la resiliencia podría definirse como su capacidad para mantener un nivel deseado de rendimiento o normalidad sin consecuencias irrecuperables. Si bien la resiliencia en este contexto se basa en la resistencia al rendimiento de la pelota, los sistemas de control requieren una interacción con el entorno, es decir, los sensores, válvulas y bombas que componen la operación industrial. Para ser reactivos a este entorno, los sistemas de control requieren un conocimiento de su estado para realizar cambios correctivos en el proceso industrial para mantener la normalidad. ^[15] Con esto en mente, en consideración de los aspectos ciberfísicos discutidos de la integración de sistemas humanos y la ciberseguridad, así como otras definiciones de resiliencia a un nivel de infraestructura crítica más amplio, ^{[16] [17]} se puede deducir lo siguiente como una definición de un sistema de control resiliente:

Un sistema de control resiliente es aquel que mantiene la conciencia del estado y un nivel aceptado de normalidad operativa en respuesta a perturbaciones, incluidas amenazas de naturaleza inesperada y maliciosa ^[1].

Teniendo en cuenta el flujo de un sistema de control digital como base, se puede diseñar un marco de sistema de control resiliente. En referencia al lado izquierdo de la Figura 2, un sistema de control resiliente considera de manera holística las medidas de rendimiento o normalidad para el espacio de estados . En el centro, una comprensión del rendimiento y la prioridad proporcionan la base para una respuesta apropiada mediante una combinación de humanos y automatización, integrada en un marco multiagente y semiautónomo. Finalmente, a la derecha, la información debe adaptarse al consumidor para abordar la necesidad y posicionar una respuesta deseable. En la literatura se encuentran disponibles varios ejemplos o escenarios de cómo la resiliencia difiere y proporciona beneficios al diseño del sistema de control. ^{[18] [13]}

Algunos principios básicos de la resiliencia , en contraste con la confiabilidad tradicional, se han presentado al considerar un enfoque integrado para sistemas de control resilientes. ^{[19] [20] [21]} Estos principios ciberfísicos complementan el concepto fundamental de computación confiable o fiable al caracterizar la resiliencia con respecto a las preocupaciones del sistema de control, incluidas las consideraciones de diseño que brindan un nivel de comprensión y garantía en el funcionamiento seguro de una instalación industrial. Estos principios se analizan individualmente a continuación para resumir algunos de los desafíos que se deben abordar para lograr la resiliencia .

El ser humano benigno tiene la capacidad de comprender rápidamente soluciones novedosas y de adaptarse a condiciones inesperadas. Este comportamiento puede proporcionar resiliencia adicional a un sistema de control, ^[22] pero predecir de manera reproducible el comportamiento humano es un desafío continuo. La capacidad de capturar las preferencias humanas históricas se puede aplicar a la inferencia bayesiana y a las redes de creencias bayesianas , pero lo ideal sería que una solución considerara la comprensión directa del estado humano utilizando sensores como un EEG . ^{[23] [24]} Teniendo en cuenta el diseño y la interacción del sistema de control, el objetivo sería adaptar la cantidad de automatización necesaria para lograr un cierto nivel de resiliencia óptima para esta respuesta de iniciativa mixta. ^[25] Se le presentaría al ser humano esa información procesable que proporciona la base para una respuesta específica y reproducible. ^[26]

En contraste con los desafíos de la predicción e integración del ser humano benigno con los sistemas de control, las capacidades del actor malicioso (o hacker) para socavar el comportamiento deseado del sistema de control también crean un desafío significativo para la resiliencia del sistema de control . ^{[27] La ​​aplicación del} análisis de riesgo probabilístico dinámico utilizado en la confiabilidad humana puede proporcionar alguna base para el actor benigno. ^[28] Sin embargo, las intenciones decididamente maliciosas de un individuo, organización o nación adversaria hacen que el modelado de la variable humana sea tanto en objetivos como en motivos. ^[29] Sin embargo, al definir una respuesta del sistema de control a tales intenciones, el actor malicioso espera algún nivel de comportamiento reconocido para obtener una ventaja y proporcionar una vía para socavar el sistema. Ya sea que se realicen por separado en preparación para un ataque cibernético , o en el sistema mismo, estos comportamientos pueden brindar la oportunidad de un ataque exitoso sin detección. Por lo tanto, al considerar la arquitectura del sistema de control resiliente, se sugerirían diseños atípicos que incorporen aleatorización de atributos implementada activa y pasivamente, para reducir esta ventaja. ^{[30] [31]}

Si bien gran parte de la infraestructura crítica actual está controlada por una red de sistemas de control interconectados, ya sea arquitecturas denominadas sistemas de control distribuido ( DCS ) o control de supervisión y adquisición de datos ( SCADA ), la aplicación del control se está moviendo hacia un estado más descentralizado. Al pasar a una red inteligente, la naturaleza compleja e interconectada de hogares individuales, instalaciones comerciales y generación y almacenamiento de energía diversa crea una oportunidad y un desafío para garantizar que el sistema resultante sea más resistente a las amenazas. ^{[32] [33]} La capacidad de operar estos sistemas para lograr un óptimo global para múltiples consideraciones, como la eficiencia general, la estabilidad y la seguridad, requerirá mecanismos para diseñar de manera holística sistemas de control en red complejos . ^{[34] [35]} Los métodos multiagente sugieren un mecanismo para vincular un objetivo global a los activos distribuidos, lo que permite la gestión y coordinación de los activos para un beneficio óptimo y controladores semiautónomos, pero restringidos, que pueden reaccionar rápidamente para mantener la resiliencia para condiciones que cambian rápidamente. ^{[36] [37]}

Establecer una métrica que pueda captar los atributos de resiliencia puede ser complejo, al menos si se considera en función de las diferencias entre las interacciones o interdependencias. La evaluación de las perturbaciones de control, cibernéticas y cognitivas, especialmente si se considera desde un punto de vista disciplinario, conduce a medidas que ya se habían establecido. Sin embargo, si la métrica se basara en cambio en un atributo dinámico normalizador, una característica de desempeño que puede verse afectada por la degradación, se sugiere una alternativa. En concreto, las aplicaciones de las métricas básicas a las características de resiliencia se dan de la siguiente manera para cada tipo de perturbación:

• Trastornos físicos:
  • La latencia temporal que afecta la estabilidad
  • La integridad de los datos afecta la estabilidad
• Disturbios cibernéticos:
  • Latencia de tiempo
  • Confidencialidad, integridad y disponibilidad de los datos
• Trastornos cognitivos:
  • Latencia de tiempo en respuesta
  • Digresión de datos con respecto a la respuesta deseada

Tales características de desempeño existen tanto con el tiempo como con la integridad de los datos. El tiempo, tanto en términos de demora de la misión como de latencia de las comunicaciones, y los datos, en términos de corrupción o modificación, son factores normalizadores. En general, la idea es basar la métrica en “lo que se espera” y no necesariamente en el iniciador real de la degradación. Si se considera el tiempo como base de la métrica, se pueden observar sistemas resilientes y no resilientes en la Figura 3. ^[38]

Dependiendo de las métricas de abscisas elegidas, la figura 3 refleja una generalización de la resiliencia de un sistema. En este gráfico se representan varios términos comunes, entre ellos, robustez, agilidad, capacidad de adaptación, insuficiencia de adaptación, resiliencia y fragilidad. Para obtener una visión general de las definiciones de estos términos, se proporcionan las siguientes explicaciones de cada uno de ellos:

• Agilidad: La derivada de la curva de perturbación. Este promedio define la capacidad del sistema para resistir la degradación en la pendiente descendente, pero también para recuperarse en la ascendente. Se considera principalmente un término basado en el tiempo que indica el impacto en la misión. Considera tanto las acciones del sistema a corto plazo como las acciones de respuesta humana a largo plazo.
• Capacidad de adaptación: Capacidad del sistema de adaptarse o transformarse ante un impacto y mantener una normalidad mínima. Se considera un valor entre 0 y 1, donde 1 es completamente operativo y 0 es el umbral de resiliencia .
• Insuficiencia adaptativa: incapacidad del sistema para adaptarse o transformarse ante un impacto, lo que indica una pérdida inaceptable de rendimiento debido a la perturbación. Se considera un valor entre 0 y -1, donde 0 es el umbral de resiliencia y -1 es la pérdida total de funcionamiento.
• Fragilidad: área bajo la curva de perturbación que se cruza con el umbral de resiliencia . Indica el impacto de la pérdida de la normalidad operativa.
• Fases de preparación del sistema de control resiliente y respuesta a perturbaciones:
  • Recon: Mantener un conocimiento proactivo del estado de las condiciones y la degradación del sistema
  • Resistir: Respuesta del sistema a condiciones reconocidas, tanto para mitigar como para contrarrestar
  • Respuesta: Se ha detenido la degradación del sistema y se ha recuperado el rendimiento del sistema.
  • Restaurar: Restauración del rendimiento a largo plazo, que incluye el reemplazo de equipos.
• Resiliencia: El opuesto de la fragilidad, que para un sistema resiliente es la pérdida “cero” de la normalidad mínima.
• Robustez: Número positivo o negativo asociado al área entre la curva de perturbación y el umbral de resiliencia , que indica la capacidad o la insuficiencia, respectivamente.

En la abscisa de la figura 3, se puede reconocer que las influencias cibernéticas y cognitivas pueden afectar tanto a los datos como al tiempo, lo que subraya la importancia relativa de reconocer estas formas de degradación en los diseños de control resilientes. Para la ciberseguridad, un solo ciberataque puede degradar un sistema de control de múltiples maneras. Además, los impactos del control se pueden caracterizar como se indica. Si bien estos términos son fundamentales y parecen de poco valor para quienes correlacionan el impacto en términos como el costo, el desarrollo de casos de uso proporciona un medio por el cual se puede codificar esta relevancia. Por ejemplo, dado el impacto en la dinámica del sistema o los datos, se puede determinar directamente el rendimiento del bucle de control y mostrar el enfoque de la inestabilidad y el impacto operativo.

La naturaleza misma de los sistemas de control implica un punto de partida para el desarrollo de métricas de resiliencia. Es decir, el control de un proceso físico se basa en un rendimiento y medidas cuantificables, incluidos los principios básicos y los estocásticos. La capacidad de proporcionar esta medición, que es la base para correlacionar el rendimiento operativo y la adaptación, se convierte entonces también en el punto de partida para la correlación de los datos y las variaciones temporales que pueden provenir de fuentes cognitivas y ciberfísicas. Una comprensión eficaz se basa en el desarrollo de una variedad de capacidades adaptativas que correlacionen el búfer de diseño (y operativo). Para un sistema de energía, esta variedad se basa en los activos de energía real y reactiva, la libertad de maniobra de los controlables y el impacto de las perturbaciones a lo largo del tiempo. Para un sistema de distribución moderno (MDS), estos activos se pueden agregar a partir de las contribuciones individuales como se muestra en la Figura 4. ^[39] Para esta figura, estos activos incluyen: a) una batería, b) una fuente de línea de enlace alternativa, c) una fuente asimétrica conjeturada P/Q, d) un compensador estático sincrónico de distribución (DSTATCOM), y e) una fuente de cuatro cuadrantes de baja latencia sin límite de energía.

1) Al considerar los diseños actuales de sistemas de control digital, la seguridad cibernética de estos sistemas depende de lo que se considera protección de fronteras, es decir, firewalls, contraseñas, etc. Si un actor malintencionado comprometiera el sistema de control digital para una operación industrial mediante un ataque de intermediario , los datos pueden corromperse con el sistema de control. El operador de la instalación industrial no tendría forma de saber que los datos se han visto comprometidos, hasta que alguien como un ingeniero de seguridad reconociera que se estaba produciendo el ataque. Como los operadores están capacitados para proporcionar una respuesta rápida y apropiada para estabilizar la instalación industrial, existe la posibilidad de que los datos corruptos hagan que el operador reaccione a la situación y provoque una perturbación en la planta. En un sistema de control resiliente, como se muestra en la figura 2, los datos cibernéticos y físicos se fusionan para reconocer situaciones anómalas y advertir al operador. ^[40]

2) A medida que nuestra sociedad se vuelve más automatizada debido a una variedad de factores, incluida la eficiencia energética, surge naturalmente la necesidad de implementar algoritmos de control cada vez más efectivos. Sin embargo, los algoritmos de control avanzados dependen de los datos de múltiples sensores para predecir los comportamientos de la operación industrial y generar respuestas correctivas. Este tipo de sistema puede volverse muy frágil, en la medida en que cualquier degradación no reconocida en el propio sensor puede generar respuestas incorrectas por parte del algoritmo de control y potencialmente un empeoramiento de la condición en relación con la operación deseada para la instalación industrial. Por lo tanto, la implementación de algoritmos de control avanzados en un sistema de control resiliente también requiere la implementación de arquitecturas de diagnóstico y pronóstico para reconocer la degradación del sensor, así como las fallas en los equipos de procesos industriales asociados con los algoritmos de control. ^{[41] [42] [43]}

En nuestro mundo de automatización en constante avance, nuestra dependencia de estas tecnologías avanzadas requerirá de habilidades especializadas en múltiples disciplinas. Los desafíos pueden parecer simplemente arraigados en un mejor diseño de los sistemas de control para una mayor seguridad y eficiencia. Sin embargo, la evolución de las tecnologías en el diseño actual de la automatización ha creado un entorno complejo en el que un ciberataque, un error humano (ya sea en el diseño o en la operación) o una tormenta dañina pueden causar estragos en la infraestructura básica. La próxima generación de sistemas deberá considerar el panorama más amplio para garantizar un camino a seguir en el que las fallas no conduzcan a eventos catastróficos cada vez mayores. Un recurso fundamental son los estudiantes, de quienes se espera que desarrollen las habilidades necesarias para avanzar en estos diseños, y que requieren tanto una perspectiva sobre los desafíos como sobre las contribuciones de otros para satisfacer la necesidad. Para abordar esta necesidad, hace más de una década se estableció un curso semestral sobre sistemas de control resilientes en Idaho y otras universidades como un catálogo o un enfoque de temas especiales para estudiantes de pregrado y posgrado. Las lecciones de este curso se codificaron en un texto que proporciona la base para los estudios interdisciplinarios. ^[44] Además, se han desarrollado otros cursos para proporcionar perspectivas y ejemplos relevantes para tener una visión general de los problemas críticos de infraestructura y brindar la oportunidad de crear soluciones resilientes en universidades como George Mason University y Northeastern.

A través del desarrollo de tecnologías diseñadas para preparar el terreno para la automatización de próxima generación, se ha hecho evidente que los equipos eficaces están compuestos por varias disciplinas. ^[45] Sin embargo, desarrollar un nivel de eficacia puede llevar mucho tiempo, y cuando se hace en un entorno profesional puede gastar mucha energía y tiempo que proporciona poco beneficio obvio para el resultado deseado. Está claro que cuanto antes se puedan integrar con éxito estas disciplinas STEM , más eficaces serán para reconocer las contribuciones de cada una y trabajar juntas para lograr un conjunto común de objetivos en el mundo profesional. La competencia en equipo en lugares como la Semana de la Resiliencia será un resultado natural del desarrollo de un entorno de este tipo, permitiendo la participación interdisciplinaria y proporcionando un desafío emocionante para motivar a los estudiantes a seguir una educación STEM.

Se necesitan normas y políticas que definan la nomenclatura y las métricas de la resiliencia para establecer una propuesta de valor para la inversión, que incluya al gobierno, la academia y la industria. La Sociedad de Electrónica Industrial del IEEE ha tomado la iniciativa de formar un comité técnico con este fin. El propósito de este comité será establecer métricas y normas asociadas con la codificación de tecnologías prometedoras que promuevan la resiliencia en la automatización. Este esfuerzo es distinto del enfoque más centrado en la resiliencia y la seguridad de la comunidad de la cadena de suministro , como los esfuerzos de ISO y NIST.

• Cholda, P.; Tapolcai, J.; Cinkler, T.; Wajda, K.; Jajszczyk, A. (2009), "Calidad de la resiliencia como herramienta de caracterización de la confiabilidad de la red", IEEE Network , 23 (2): 11–19, doi :10.1109/mnet.2009.4804331, S2CID  8610971
• Personal del DHS (mayo de 2005), Protección de infraestructura crítica, El Departamento de Seguridad Nacional enfrenta desafíos en el cumplimiento de sus responsabilidades de ciberseguridad, GAO-05-434 , Gobierno de los EE. UU.
• Hollnagel, E.; Woods, DD; Leveson, N (2006), Ingeniería de resiliencia: conceptos y preceptos , Aldershot Hampshire, Reino Unido : Ashgate Publishing
• Kuo, BC (junio de 1995), Sistemas de control digital , Oxford University Press
• Lin, J.; Sedigh, S.; Hurson, AR (mayo de 2011), Un enfoque basado en agentes para conciliar la heterogeneidad de datos en sistemas ciberfísicos , 25.º Simposio internacional IEEE sobre procesamiento paralelo y distribuido, talleres y foro de doctorado (IPDPSW), págs. 93-103
• Meyer, JF (septiembre de 2009), Definición y evaluación de la resiliencia: una perspectiva de performance , presentación en el Taller internacional sobre modelado de performance de sistemas informáticos y de comunicación
• Mitchell, SM; Mannan, M. S (abril de 2006), "Diseño de sistemas de ingeniería resilientes", Chemical Engineering Progress , 102 (4): 39–45
• Rieger, CG (agosto de 2010), Ejemplos teóricos y aspectos de referencia de un sistema de control resiliente , 3.er Simposio internacional sobre sistemas de control resilientes, págs. 64-71
• Rinaldi, SM; Peerenboom, JP; Kelly, TK (diciembre de 2001), "Identificación, comprensión y análisis de interdependencias de infraestructura crítica", IEEE Control Systems Magazine : 11–25
• Trivedi, KS; Dong, SK; Ghosh, R. (diciembre de 2009), Resiliencia en sistemas informáticos y redes , IEEE/ACM International Conference on Computer-Aided Design-Digest of Technical Papers, págs. 74-77
• Wang, FY; Liu, D. (2008), Sistemas de control en red: teoría y aplicaciones , Londres, Reino Unido : Springer-Verlag
• Wei, D.; Ji, K. (agosto de 2010), Sistema de control industrial resiliente (RICS): conceptos, formulación, métricas y perspectivas , 3.er Simposio internacional sobre sistemas de control resilientes (ISRCS), págs. 15-22
• Wing, J. (abril de 2008), Cyber-Physical Systems Research Charge , St. Louis, Missouri: Cumbre de sistemas ciberfísicos

Atribución

•  Este artículo incorpora material de dominio público de sitios web o documentos del Gobierno de los Estados Unidos . Rieger, CG; Gertman, DI; McQueen, MA (mayo de 2009), Sistemas de control resilientes: investigación de diseño de próxima generación , Catania, Italia: 2.ª Conferencia IEEE sobre interacción entre sistemas humanos
  • Rieger, Craig G.; Gertman, David I.; McQueen, Miles A. (mayo de 2009), Sistemas de control resilientes: investigación de diseño de próxima generación (HSI 2009) (PDF) , Laboratorio Nacional de Idaho (INL)