ES2629499T3 - Dispositivo y procedimiento para detectar manipulaciones no autorizadas del estado del sistema de una unidad de control y regulación de una instalación nuclear - Google Patents

Abstract

Dispositivo (70) para detectar manipulaciones no autorizadas del estado del sistema de una unidad de control y regulación (9), en donde - está previsto un módulo de monitorización (82), el cual monitoriza el estado operacional y/o el estado de ampliación del hardware y/o el estado del programa de la unidad de control y regulación (8) y, en caso de existir modificaciones de este estado, genera un mensaje, - está previsto un módulo de control (116), el cual monitoriza el funcionamiento del módulo de monitorización (82), y - el módulo de monitorización (82) monitoriza el funcionamiento del módulo de control (116), caracterizado porque la unidad de control y regulación (8) presenta un control (10) programable por memoria y el módulo de monitorización (82) y el módulo de control (116) son elementos de software del control programable por memoria (10), que comprueban mutuamente si el otro módulo respectivo procesa según lo previsto indicaciones de programa dentro de un intervalo de tiempo prefijado.

Description

imagen1

imagen2

imagen3

imagen4

imagen5

5

10

15

20

25

30

35

40

45

50

55

también sin un ataque pueden detectarse la avería o perturbaciones funcionales de uno de los dos módulos 82, 116.

En la fig. 2 se ha representado un diagrama de desarrollo de los pasos de procedimiento que se producen en el estado operacional del módulo de seguridad 76. El procedimiento implementado en el módulo de seguridad 76 en cuanto a software comienza en Inicio 120. En una decisión 126 se comprueba si el interruptor de llave 80 entrega una señal válida, que hace posible el acceso a escritura/lectura, y si al mismo tiempo el estatus de esta señal es válido o se trata de una simulación. Si se han cumplido todas estas condiciones, el procedimiento se deriva al bloque 132, en el que se conmuta el nivel de seguridad de la CPU 20 a acceso a escritura/lectura, lo que se corresponde con una etapa de seguridad 1.

En caso contrario el procedimiento se deriva a una decisión 134, en la que se comprueba si sin legitimización de contraseña debe impedirse un acceso a escritura y lectura. Si se produce esto, el procedimiento se deriva al bloque 136, en el que el nivel de seguridad o la etapa de seguridad de la CPU 20 se conmuta a acceso a escritura7lectura sin legitimización de contraseña. En el bloque 138 se conmuta el nivel de seguridad a protección contra escritura con legitimización de contraseña, si las dos decisiones anteriores 126, 134 han resultado ser negativas, lo que se corresponde con una etapa de seguridad 2. En el bloque 140 se lee y visualiza el nivel de seguridad actual. El procedimiento finaliza en Fin 142.

Un procedimiento implementado en cuanto a software en el módulo de monitorización 82 se ha representado en la fig. 3 mediante un diagrama de desarrollo y comienza en Inicio 150. En el bloqueo 152 se leen las sumas de comprobación, aquí sumas transversales, para la configuración de hardware HWKonfig y el código de programa así como el nivel de seguridad. En la decisión 154 se comprueba mediante una comparación de valores antiguos/nuevos, si el valor de la suma de comprobación del HWKonfig coincide con el valor de la última consulta. Si no es éste el caso, el procedimiento se deriva al bloque 145. Allí se registra o escribe el registro de mensaje “modificación de HWKonfig” en el regulador de monitorización 94 y en el regulador de diagnóstico 88, respectivamente con marcador cronológico de fecha/hora, y la salida binaria 102 se establece para el tratamiento ulterior específico de la instalación, es decir, al bit se asigna el valor que se corresponde con un mensaje (p.ej. 1 para mensaje, 0 para ningún mensaje). En el caso de que no se haya determinado ninguna modificación de la suma transversal mediante la comparación de valores antiguos/nuevos, en el bloque 158 se repone la salida 102, con lo que se garantiza que no se visualice un mensaje de forma errónea.

En una decisión 160 se comprueba si el valor de la suma transversal leída del código de programa ha variado respecto a su valor anterior procedente de la última consulta. Si ha sucedido esto el procedimiento se deriva al bloque 162. Allí se escribe un registro de mensaje “modificación de programa” en el regulador de monitorización 94 y en el regulador de diagnóstico 88, incluyendo un marcador cronológico de fecha/hora, y se establece la salida 100. En caso contrario se repone la salida 100 en el bloque 164.

En una decisión 166 se comprueba si la etapa de seguridad de la CPU 20 se ha modificado desde la última consulta. Si es éste el caso, se escribe en el bloque 168 un registro de mensaje “modificación de la etapa de seguridad” junto con un marcador cronológico en el regulador de monitorización 94 y en el regulador de diagnóstico 88. Asimismo se establece la salida 104. En caso contrario se repone esta salida en el bloque 170.

En una decisión 172 se comprueba si la recuperación de los pasos de procedimiento descritos es anterior a 1 segundo. Si es éste el caso en el bloque se emite un error de parámetro (los tres módulos descritos 76, 82, 116 junto con otros módulos se ponen a disposición en una biblioteca para una aplicación. El usuario puede elegir/ajustar diferentes comportamientos mediante parametrización de los módulos durante la programación o durante la puesta en funcionamiento. Si el usuario parametriza/elige un comportamiento inadmisible recibe una visualización de error de parametrización y puede corregir su parametrización). En caso contrario el procedimiento se deriva al bloque 176, en el que se repone el error de parametrización.

La monitorización mutua del módulo de monitorización 82 y del módulo de control 116 se consigue en el presente ejemplo de realización por medio de que cada módulo presenta respectivamente un contador, en el él mismo suma y un contador, en el que suma respectivamente el otro módulo. Si ambos módulos 82 y 116 funcionan adecuadamente, los contadores tienen respectivamente los mismos valores. Si se avería un módulo, el contador en el que él mismo suma ya no suma en el otro módulo, de tal manera que puede detectarse la avería del módulo.

El procedimiento pasa a continuación a una decisión 178, en la que se compara el valor de un contador de monitorización en el que suma el módulo de monitorización 82 con el valor de un contador de control en el que suma el módulo de control 116. Si coinciden estos valores, en el bloque 180 se suma en el contador de monitorización. Si no coinciden los dos valores, en una decisión 182 se comprueba si la última suma de contador del contador de control es anterior a 1 s y todavía no se ha producido registro en el regulador de monitorización 94 y en el regulador de diagnóstico 88. Si es éste el caso, esto demuestra que el módulo de control 106 no funciona adecuadamente. Por ello se registra después en el bloque 184 un registro de mensaje “error de monitorización de borrado” o “error de módulo de control” en el regulador de monitorización 94 y en regulador de diagnóstico 88, respectivamente con marcador cronológico, y en una salida binaria 108, en la que se visualizan errores del módulo de control 116, se establece un bit. En caso contrario se comprueba en la decisión 188, si en el regulador de diagnóstico 88 de la CPU ya existe el registro “módulo de monitorización funciona de nuevo”, que se ha registrado en el bloque 184. Si es éste

7

imagen6

80 Interruptor de llave 82 Módulo de monitorización 84 Flecha 88 Regulador de diagnóstico 90 Flecha 92 Flecha 94 Regulador de diagnóstico de monitorización 100 Salida binaria 102 Salida binaria 104 Salida binaria 108 Salida binaria 110 Salida binaria 112 Flecha doble 116 Módulo de control 120 Inicio 126 Decisión 132 Bloque 134 Decisión 136 Bloque 138 Bloque 140 Bloque 142 Fin 150 Inicio 152 Bloque 154 Decisión 156 Bloque 158 Bloque 160 Decisión 162 Decisión 164 Bloque 166 Decisión 168 Bloque 170 Bloque 172 Decisión 174 Bloque 176 Bloque

9

imagen7

Claims (1)

1. imagen1