GB/TXXXXX—XXXX智能工廠安全一體化第2部分：風險評估要求本文件規定了智能工廠安全一體化風險評估一般要求、風險評估程序、風險評估相關活動、風險評估文檔記錄的要求。本文件適用于智能工廠生產系統開展安全一體化風險評估。2規范性引用文件下列文件中的內容通過文中的規范性引用而構成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/T20438.1電氣/電子/可編程電子安全相關系統的功能安全第1部分：一般要求GB/T20438.4電氣/電子/可編程電子安全相關系統的功能安全第4部分：定義和縮略語GB/T21109（所有部分）過程工業領域安全儀表系統的功能安全GB/T35320危險與可操作性分析（HAZOP分析）應用指南GB/T41257數字化車間功能安全要求GB/T41260數字化車間信息安全要求GB/TXXXX.1智能工廠安全一體化第1部分：一般要求3術語和定義GB/TXXXX.1中界定的術語以及下列術語適用于本文件。3.1傷害harm人身損傷、人的健康損害、財產或環境的損害。[來源：GB/T20438.4—2017，3.1.1]3.2危險hazard傷害的潛在根源。[來源：GB/T20438.4—2017，3.1.2]3.3危險狀況hazardoussituation人、財產或環境暴露于一個或多個危險源環境的情況。[來源：GB/T20438.4—2017，3.1.3]3.4GB/TXXXXX—XXXX危險事件hazardousevent可能導致傷害的事件。[來源：GB/T20438.4—2017，3.1.4]3.5傷害發生的概率與該傷害嚴重程度的組合。[來源：GB/T20438.4—2017，3.1.6]3.6殘余風險residualrisk采取防護措施以后仍存在的風險。[來源：GB/T20438.4—2017，3.1.8]3.7由EUC或由EUC與EUC控制系統相互作用而產生的風險。[來源：GB/T20438.4—2017，3.1.9]3.8功能安全風險functionalsafetyrisk與特定的危險事件相伴的風險。在這種危險事件中用功能安全相關系統和其他風險降低措施來提供必要的風險降低。3.9信息安全風險informationsecurityrisk特定威脅利用單個或一組資產脆弱性的可能性以及由此可能給組織帶來的損害。[來源：GB/T20984—2022，3.1.1]3.10目標風險targetrisk針對特定的危險，考慮了EUC風險，及E/E/PE安全相關系統和其他風險降低措施后，所要達到的風[來源：GB/T20438.4—2017，3.1.10]3.11風險管理riskmanagement指導和控制組織相關風險的協調活動。[來源：GB/T25069—2022，3.168]3.12安全safetyGB/TXXXXX—XXXX沒有不可接受的風險。[來源：GB/T20438.4—2017，3.1.11]3.13安全功能safetyfunction針對特定的危險事件，為實現或保持EUC的安全狀態，由E/E/PE安全相關系統或其他風險降低措施實現的功能。[來源：GB/T20438.4—2017，3.5.1]3.14安全完整性safetyintegrity在規定的時間段內和規定的條件下，安全相關系統成功執行規定的安全功能的概率。[來源：GB/T20438.4—2017，3.5.4]3.15安全完整性等級safetyintegritylev一種離散的等級（四個可能等級之一對應安全完整性量值的范圍。安全完整性等級4是最高的，安全完整性等級1是最低的。[來源：GB/T20438.4—2017，3.5.8]3.16威脅threat可能對系統或組織造成危害的不期望事件的潛在因素。[來源：GB/T25069—2022，3.628]3.17脆弱性vulnerability系統設計、實現或操作和管理中存在的缺陷或弱點，可被利用來危害系統的完整性或安保策略。[來源：GB/T30976.1—2014，3.1.1]4縮略語下列縮略語適用于本文件。5一般要求5.1評估對象智能工廠安全一體化風險評估的對象為：按照GB/TXXXX.1中第5章確定的對象，如圖1所示。GB/TXXXXX—XXXX圖1智能工廠安全一體化風險評估對象示意圖5.2評估原則5.2.1智能工廠安全一體化風險評估的目標是將生產系統運行風險控制在可容忍范圍。智能工廠安全一體化風險評估應綜合考慮傳統生產安全危險源、信息安全威脅等因素，其中，信息安全相關因素考慮宜基于信息安全風險評估結果辨識出的可能導致生產安全影響的威脅。5.2.2智能工廠安全一體化風險評估，可在智能工廠生產系統安全一體化生命周期的風險評估階段、運行維護階段以及修改變更階段開展。6風險評估相關活動6.1確定安全目標和風險準則6.1.1應根據滿足業務持續發展在安全方面的需要、法律法規的規定等內容，識別智能工廠生產系統的工藝、裝置、設備、控制系統及管理等方面的不足，確定安全目標和風險準則。6.1.2確定目標和準則定義時，應考慮以下因素：——分析結果的使用目的；——需要進行分析的智能工廠生產系統的生命周期階段；——可能面臨風險的人員或資產，例如：員工，公眾，環境和系統等；——可操作性問題，包括對業務連續性、產品質量等的影響；——通用的法律要求，以及與特定應用直接相關的法律要求；——相關安全監管機構發布的指南；GB/TXXXXX—XXXX——與應用有關各方的爭議與一致意見；——工業標準和指南；——來自咨詢機構的最佳獨立建議。6.2確定風險評估范圍風險評估范圍及顆粒度的確定，取決于以下幾個因素：——智能工廠生產系統的物理邊界；——可獲得的設計說明的詳細程度；——已經完成的危害分析或其他相關分析活動的范圍；——適用的法規要求。6.3組建評估管理與實施工作組6.3.1應由具有資質的機構在其資質證書認可的業務范圍內從事風險評估活動。6.3.2風險評估工作組成員應是獨立的，項目設計的人員或項目組其他相關人員應配合風險評估工作組參與風險評估活動。6.3.3風險評估工作組成員應具備相關經驗及相關法律法規知識，以確保評估結果的合理可信。6.3.4應保證從事風險評估的人員具有相應的功能安全和/或信息安全知識，并具有相應的經驗能力。6.3.5評估人員應按被評估方要求進行保密教育，可根據被評估方要求，雙方簽署保密合同，適情簽署個人保密協議。6.3.6應在項目分析啟動時就明確評估工作組的角色和責任的定義，并獲得企業管理者認可和工作組組長、成員達成共識。6.3.7風險評估組長應審核設計，以便確定需要收集的信息和資料，以及評估工作組成員應當具備的技能。并制定里程碑形式的行動計劃以確保相關建議得到及時落實。6.3.8組成風險評估工作組的每一名成員都應賦予明確的職責，以確保在包括相關的技術、操作技能和經驗的人員足夠的前提下應當盡可能的少。6.3.9所有的風險評估工作組成員都應有足夠的風險分析知識，確保有效參與分析，必要時應經過適當的培訓達到此要求。6.3.10推薦的風險評估工作組成員構成，包括：——風險評估組長；——記錄員；——項目設計人員；——用戶；——專家；——運行維護人員（代表）。6.4評估資料準備GB/TXXXXX—XXXX在正式開始評估之前，應保證能夠獲取最完整的可用設計資料，有紕漏或不完整的資料應在分析開始前得到糾正。在分析的計劃階段，由熟悉設計的人員根據設計資料對節點、要素及特性進行識別。應考慮以下方面：——設計文件。設計文件應至少包括以下項，其內容應清晰無歧義，并經過審批及有明確的日期標注：●對于所有系統：設計要求和描述，流程圖，功能塊圖，控制圖，電路圖，工程數據表，布置圖，公用工程規格，操作和維修要求；●過程系統：管道和儀表流程圖，材料規格和設備標準、管道和系統平面布置圖；●可編程電子系統：數據流程圖，面向對象設計框圖，狀態轉換框圖，時序圖及邏輯圖?！治鰧ο蟮倪吔绾驮谶吔缣幍慕缑妫弧到y運行的環境；——操作和維修人員的資質，技能和經驗；——程序和/或操作規程；——操作和維修經驗和對類似系統的危險認知；——業務戰略及管理制度；——主要的業務功能和要求；——網絡結構與網絡環境，包括內部連接和外部連接；——主要的硬件、軟件；——數據和信息；——系統和數據的敏感性；——支持和使用系統的人員；——工廠所處環境的氣象水文材料；——分析會議文件●評估記錄文件。含記錄表、適用的記錄項等；●分析所需的參考資料、事故事件案例集、數據資料、以往的評估報告、被評估單位的歷史事故事件分析報告等；●根據評估方提供的設計等資料，對評估范圍做區域劃分，并清晰每個區域的設計意圖和構——其他相關文件。6.5選擇評估工具和方法應綜合考慮生命周期階段、分析目標、所能獲得的信息等內容，選擇風險評估工具和方法。6.6制定風險評估計劃在正式開始評估之前，應制定并發布一份風險評估計劃，包括以下內容：——評估組織：包括評估工作組成員、組織結構、角色、責任等內容；——工作計劃：風險評估各階段的工作計劃，包括工作內容、工作形式、工作成果等內容；——時間進度安排：項目實施的時間進度安排。7風險評估程序GB/TXXXXX—XXXX7.1風險評估流程在完成第6章要求的相關活動后，應按圖2所示流程開展智能工廠安全一體化的風險評估。風險識別風險識別危險識別（包括：傳統生產危險源等）<<威脅和脆弱性識別初始風險分析初始風險分析殘余風險分析殘余風險分析<<圖2智能工廠安全一體化風險評估流程GB/TXXXXX—XXXX7.2節點劃分7.2.1節點劃分要求為便于分析，可將系統分成若干節點，各個節點的設計意圖應能充分定義，應滿足以下要求：——結合智能工廠生產系統的對象特點，劃分節點。——節點劃分，應考慮分析范圍內的所有設施、設備，遵循既不重復，又不遺漏的原則。——所選節點的大小，取決于系統的復雜性和危險的嚴重程度。節點劃分不宜過大或過小。復雜度高或危險性高的系統可劃分成若干較小的節點，簡單的或低危險性系統可劃分成若干較大的節點，以加快分析進程。——每個節點的范圍，應包括分析對象中的一個或多個功能系統。7.2.2節點描述要求節點應有編號，可采取統一的節點編號方式。節點描述一般包括：節點范圍及工藝流程簡單說明、主要設備位號、管線和設備的設計參數、安全閾值等。7.3偏差確定7.3.1為劃分的每個節點確定需要考慮的關鍵被控工藝參數及操作步序，將其與引導詞組合，確定有意義的偏差及其含義。7.3.2針對確定的每一個偏差，確定導致偏差的誘因，進行危險識別、威脅和脆弱性辨識。偏差的確定方法可參見GB/T35320。7.4危險識別7.4.1應通過危險識別形成一份危險、危險狀態和危險事件清單，該清單能夠描述危險狀態可能在何時以何種方式導致傷害的事故場合。7.4.2在進行危險識別時，應開展：——對智能工廠生產系統生命周期階段的識別，包括：●修改和變更。——對運行模式的識別，包括但不限于：GB/TXXXXX—XXXX●緊急停止；●暫?；蜴i定后的恢復運行；●非計劃停機后的重新啟動；●故障查找/排除?！獙に囇b置/設備的可能的狀態的識別，包括：●正常運轉；●功能失效?！獙Ψ穷A期的人員行為，或合理可預見的誤操作的識別，包括：●過程/機器失控；●異常發生時的人員條件反射行為；●操作人員未嚴格按照作業流程有意或無意導致的行為；●非專業操作人員/動物的行為（如兒童、殘疾人、小動物）等?！獙侠砜深A見的情況下，其他危險的識別，包括：●過程危險；●機械危險；●電氣危險；●熱危險；●噪聲危險；●振動危險；●輻射危險；●物料/物資產生的危險；●人機工效學危險；●與環境有關的危險等?！渌惓＿\行情況的識別。7.5威脅和脆弱性辨識7.5.1威脅辨識7.5.1.1宜根據智能工廠及其生產系統自身的特點、發生的歷史安全事件記錄等，辨識智能工廠的所有潛在威脅。7.5.1.2可采用分類的方式，基于威脅來源，或基于獲得系統訪問權限的機制，進行威脅辨識。智能工廠生產系統的威脅分類，可參考相關標準或附錄B。7.5.1.3根據威脅來源，智能工廠面臨的信息安全威脅，可分為內部信息安全威脅、外部信息安全威脅。其中，內部信息安全威脅是由允許訪問網絡制造系統的人造成的，可能是員工、承包商或第三方（例如，集成商、服務提供商），內部攻擊可進一步細分為故意的、無意的。外部信息安全威脅是由不允許邏輯或物理訪問控制系統的人構成的，可能是競爭對手、國家、黑客、網絡罪犯集團等。GB/TXXXXX—XXXX7.5.1.4基于威脅來源，智能工廠生產系統面臨的信息安全威脅，包括但不限于：——內部無意的威脅（例如，不知不覺地插入了一個受感染的USB）；——內部故意的威脅（例如，心懷不滿的員工）；——外部一般/非熟練人員威脅（例如，腳本小子）；——外部有目標的/有技能的威脅（例如，網絡罪犯、技能展示——外部攻擊行為威脅（例如，高級持續威脅，民族國家）。7.5.1.5基于獲得系統訪問權限的機制，智能工廠生產系統面臨的信息安全威脅，包括但不限于：——社會工程威脅（如，網絡釣魚、魚叉式網絡釣魚——通信威脅（例如，拒絕服務，以及中間信息）；——供應鏈威脅（例如，服務提供者的破壞）；——物理訪問威脅（例如，登錄到無防護的工作站——軟件威脅（例如，利用一個已知的軟件漏洞）；——硬件威脅（例如，將USB連接到不安全的端口）。7.5.1.6在識別出威脅之后，宜詳細羅列出每條威脅的信息，包括：——威脅來源；——威脅來源的技能水平、動機、資源等；——可能的威脅場景、途徑和載體；——潛在受影響的資產。7.5.1.7智能工廠可能面臨的潛在威脅示例，見附錄B。7.5.2脆弱性辨識7.5.2.1應識別與智能工廠生產系統的每個節點內與各偏差相關的系統和設備的脆弱性。7.5.2.2智能工廠生產系統的脆弱性，可參考相關標準或類似系統/產品的脆弱性進行分析。7.5.2.3智能工廠生產系統的脆弱性，可分為兩大類：——工業自動化系統的常見脆弱性。包括：無線通信、自動化系統集成導致的脆弱性等?！悄芄S生產系統的特定脆弱性。包括：大量移動設備接入、聯網應用程序、遺留系統等導致的脆弱性等。）：GB/TXXXXX—XXXX7.6危險事件分析7.6.1應明確合理可預見情況下，工藝裝置、受控設備、控制系統等的危險和危險事件。7.6.2應分析并明確已確定的危險/威脅，導致危險事件發生的事件順序。7.6.3分析威脅和脆弱性作為危險事件的一種起始原因的可能性，中間事件以及事件順序也應被辨識明確。針對識別出的每一項威脅，應全面梳理攻擊路徑，識別所有潛在的危險事件，并分析至最終后果。7.6.4應制定人員失誤概率評估的統一規則，并在分析時嚴格執行。7.6.5一個危險/威脅，經過危險事件轉化為危險狀況，進而產生傷害的示例，如下。表1危險、危險事件、危險情況和傷害示例注：危險導致危險事件的分析，可參見GB/T41257、GB/T35320。威脅導致危險事件的分析，可參見GB/T41260。7.7危險事件發生可能性分級7.7.1危險事件發生可能性7.7.1.1應評估已確定的危險事件的發生可能性。7.7.1.2危險事件的發生可能性，應具有合理可信的來源。對于由威脅導致的危險事件的發生可能性，可結合具體的威脅場景，基于以下方法進行評估：——基于攻擊者的動機、能力；——基于攻擊者的動機、資源、知識；——基于攻擊者的動機、能力、資源；——基于攻擊者的攻擊潛力AP；——基于資產暴露度與脆弱性程度。7.7.1.3如果缺乏類似系統的實際攻擊信息，也可通過估計危險事件的每年發生次數來評估發生可能性，具體見附錄C。7.7.1.4在評估危險事件發生可能性時，應不考慮保護措施或防護設施的作用，并考慮以下內容：GB/TXXXXX—XXXX——原則上，應為每一對辨識出的“原因（危險/威脅）——危險事件”評估發生可能性。有時候，若在足夠經驗的基礎上，可以選擇影響最大的幾對“原因（危險/威脅）——危險事件”評估，而略去明顯低一個數量級以上的原因?！獙τ谠谝欢l件下成立的“原因（危險/威脅）——危險事件”對，應做條件修正。7.7.2危險事件發生可能性等級劃分7.7.2.1應根據危險事件的發生可能性，確定危險事件的發生可能性等級。7.7.2.2危險事件發生可能性等級的定義和選擇，應符合國家、行業、企業相關標準或規范要求。7.7.2.3智能工廠危險事件發生可能性分級示例，見附錄C。7.8后果分析7.8.1在進行智能工廠危險事件的后果分析時，應參考以前類似危險事件的相關數據信息，或基于現場實際情況的模擬仿真預計，或結合調查問卷等方式，除考慮傳統的生產安全相關事件后果（人員、環境、經濟、聲譽、運行等方面的影響），還應考慮可用性（例如：業務中斷、惡意控制、需要時安全功能無法執行等）、完整性（例如：設備損壞、性能降級、數據篡改、安全功能誤操作等）、保密性（例如：數據泄露等）等后果。——數據泄露等。7.8.2在進行智能工廠危險事件的后果影響范圍識別時，應分析至最終后果。7.9后果嚴重程度分級7.9.1應評估已確定的智能工廠危險事件的后果嚴重程度，并根據后果嚴重程度，確定后果嚴重程度等級。7.9.2智能工廠危險事件的后果及其嚴重性等級的選擇和確定，應符合國家、行業、企業相關標準或規范要求，并具有合理可信的來源。7.9.3在開展智能工廠危險事件后果嚴重性評估和等級劃分過程中，應注意對于在一定條件下引起的后果，需要做條件修正。7.10初始風險評估7.10.1根據智能工廠危險事件的發生可能性，以及后果嚴重程度，計算危險事件初始風險。7.10.2根據智能工廠的安全目標和風險準則，以及選定的風險評估工具，判定風險等級。GB/TXXXXX—XXXX7.10.3對于判定出的不可容忍風險（如中高風險，或數字超過可容忍風險值的風險等則需進一步開展7.11至7.13中要求的內容。7.10.4對于判定出的可容忍風險（如低風險，或低于可容忍風險值的風險等則可根據情況決定是否繼續開展7.11至7.13中要求的內容。7.11風險降低措施分析7.11.1應分析出可以避免危險事件發生，或者避免事件的不期望后果出現的所有功能安全保護措施、信息安全防護措施，明確保護功能或防護功能，并分析判斷這些措施之間的影響或關聯關系。7.11.2對于在一定條件下起作用的功能安全保護措施、信息安全防護措施，應逐條辨識條件因素，并判斷條件因素跟功能安全保護措施/信息安全防護措施之間、條件因素之間、條件因素跟危險事件之間、條件因素跟后果之間的關系。計算保護/防護能力時，需要根據獨立性情況做修正。7.12保護/防護能力評估7.12.1辨識每一個獨立的功能安全保護措施/信息安全防護措施的風險降低因子。典型保護的風險降低因子可通過公開文獻或工業數據獲得。7.12.2對于信息安全防護措施，根據措施的類型和數量，可以估計減輕信息安全事件的發生可能性。在確定應通過措施減少多少可能性時，可以考慮基于經驗法則。），7.12.3提出功能安全保護措施的降險能力（SIL或PFD）和信息安全防護措施的防護能力（SL）。7.13殘余風險評估7.13.1選擇某一個“事件-后果”對，評估經功能安全保護措施/信息安全防護措施實現風險降低后的危險事件發生可能性，或者后果嚴重程度，并評估危險事件的殘余風險。7.13.2根據安全目標和風險準則，判定風險等級。若風險在可容忍范圍內，則完成。否則，給出意見建議。7.14意見建議7.14.1應對不在可容忍范圍內的風險源，提出意見建議，包括但不限于:——增加功能安全保護措施/信息安全防護措施（例如：安全儀表系統、安全閥、防火堤、訪問控制措施、使用控制措施、系統完整性措施、系統保密性措施、風險監控措施等——更改為更有效/更可靠的功能安全保護措施/信息安全防護措施；——通過管理的手段來彌補不足（例如：增加人員培訓；供應商管理；變更管理；定期開展風險評估，基于風險復盤，更新風險應急預案等）；——更改工序、工藝、裝置、設備、網絡、控制等的原始設計，以推動實現本質安全。GB/TXXXXX—XXXX7.14.2提出的意見建議應被記錄，并指定責任人，追蹤執行。7.14.3對于信息安全威脅導致的不可容忍風險，在提出建議的風險降低措施后，應同時對該風險降低措施進行信息安全風險評估確認其有效性。8風險評估文檔記錄8.1.1應完整、準確地記錄評估過程中獲得的信息。8.1.2風險評估的記錄文檔，應包括危險事件至最終后果的事件鏈，以便其它評估工作組或評估師審查評估過程中作出的假設，以及當場景不能滿足企業可容忍風險時，確認采用其它功能安全保護措施/信息安全防護措施是否可以防止事件發生或降低風險。8.1.3風險評估文檔記錄，可采用多種形式。一個典型的風險評估文檔記錄表，見附件A。GB/TXXXXX—XXXX風險評估方法風險評估方法，可分為定性和定量兩大類。定性的風險評估方法示例：PHA/HAZOP、檢查表、FMEA。定量的風險評估方法示例：蝴蝶結、LOPA、定量風險分析QRA、半定量SL驗證。其中：HAZOP是評估工業現場過程危害的常用技術，該技術是基于使用預先配置的引導詞來確定過程中斷的可能原因和最終后果。對于信息安全HAZOP，引導詞可被用于識別信息安全被破壞的潛在原因。表A.1為基于HAZOP的安全一體化風險示例，表A.2為所采用的風險矩陣和可容忍風險示例。表A.1基于HAZOP的安全一體化風險示例反應度高R4.6聯鎖（SIS2R4.6聯鎖（SIS1GB/TXXXXX—XXXXR1.32R1.31表A.2所采用的風險矩陣和可容忍風險示例1234567876543GB/TXXXXX—XXXX21GB/TXXXXX—XXXX威脅示例一種基于表現形式的威脅分類，見下表。表B.1一種基于表現形式的威脅分類設備硬件故障、傳輸設備故障、存儲媒體故障、系統軟件故障、應用軟件故障、數據庫軟件故障、開發環無作為或操作失病毒、特洛伊木馬、蠕蟲、陷門、間諜軟件、竊聽軟通過采用一些措施,超越自己的權限訪問非授權訪問網絡資源、非授權訪問系統資源濫用權限非正常修改系統配置或數據、濫用權限泄露秘密信息網絡探測和信息采集、漏洞探測、嗅探賬戶篡改網絡配置信息、篡改系統配置信息、篡改安全配智能工廠生產系統可能面臨的威脅類別示例，見下表。表B.2智能工廠生產系統可能面臨的威脅類別示例GB/TXXXXX—XXXXGB/TXXXXX—XXXX危險事件發生可能性評估示例C.1基于攻擊潛力AP，估計危險事件發生可能性該示例中，由威脅導致的危險事件發生可能性采用攻擊潛力AP來評估。攻擊潛力AP由所需時間、專業知識、目標信息、目標訪問、設備等因素決定。具體見下表。表C.1攻擊潛力相關的因素分類通過估計各個類別因素的數值，來計算攻擊潛力AP，具體如下式所示。AP=AP所需時間+AP專業知識+AP目標信息+AP目標訪問+AP設備攻擊潛力AP的等級劃分、以及導致的危險事件發生可能性劃分，見下表。表C.2攻擊潛力等級劃分及危險事件發生可能性等級劃分GB/TXXXXX—XXXXC.2基于攻擊者的經驗、所需設備、機會、所需時間，估計危險事件發生可能性基于攻擊者的經驗、所需設備、機會窗口、時間，估計危險事件發生可能性示例，見下表。表C.2危險事件發生可能性級等級劃分示例C.3基于資產暴露度與脆弱性，估計危險事件發生可能性基于資產暴露度與脆弱性，估計危險事件發生可能性示例，見下表。表C.3危險事件發生可能性級等級劃分示例