⚡ أسرار SIPROTEC 7VK61 | الحلقة الأولى

حماية الشبكة تبدأ بحماية الجهاز نفسه: من دائرة CT المفتوحة إلى هجمات الشبكات.

الجزء 8 من 10⏱ 5 دقائق قراءةالمستوى: متوسط

🎯 ماذا ستتعلم في هذا الجزء؟

• الفرق بين Safety وSecurity
• ميزات السلامة في الهاردوير والمراقبة الذاتية
• طبقات الأمن السيبراني: RBAC وTLS وSyslog و802.1x

Safety مقابل Security: ما الفرق؟

Safety تعني حماية الأفراد والمنشآت الأولية، وSecurity تعني الحماية من التهديدات المعلوماتية القادمة من الخارج. مع انفتاح بيئة المحطات وتعقدها لم تعد الآليات التقليدية كافية، فصُمم مفهوم أمني متعدد الطبقات داخل معمارية الجهاز. وينص الكتالوج على أن مسؤولية المفهوم الأمني الشامل للمنظومة تقع على مشغّل النظام، بينما يدعمه المصنع بالتدابير المناسبة.

السلامة في تصميم الهاردوير

• Safety CT-Plug: محول التيار مدمج في طرفية التوصيل، فعند سحب الطرفية يُغلق الثانوي دائماً، ولا تحدث دوائر ثانوية مفتوحة أثناء استبدال الجهاز.
• طرفيات قابلة للفك الكامل: تسهل التجهيز المسبق للأسلاك واستبدال الجهاز أو الوحدات.
• لا حاجة لفتح الجهاز لضبط عتبات المداخل الثنائية أو تحديد التيار المقنن (1 أمبير/5 أمبير) أو تبديل البطارية.
• تغذية واسعة المدى مشتركة لكل المكونات، وتبريد يقلل الحمل الحراري ويطيل العمر.
• بيانات معايرة مخزنة داخل وحدات القياس تتيح استبدالها أو توسعتها بأمان.

⚠️ الخطر الكلاسيكي

فتح الدائرة الثانوية لمحول التيار أثناء الاختبار أو الاستبدال يولد جهداً خطراً. ميزة Safety CT-Plug تلغي هذا الخطر عند سحب الطرفية.

مراقبة ذاتية على كل المستويات

تُراقَب مكونات الجهاز باستمرار: المعالج والجهد المساعد والبطارية والساعة الداخلية والذاكرة والمداخل التماثلية والنواقل والواجهات. وبحسب جسامة الخلل يصدر إنذار، أو تُحجب الوظائف المتأثرة، أو يُعزل الجهاز كلياً بفتح ملامس Life contact. وفي كل الحالات يسجل Device-diagnosis log السبب وتعليمات الإجراء المطلوب.

ما الذي يُراقَب؟	كيف؟
المداخل التماثلية	توازن ومجموع التيار والجهد، وتسلسل الأطوار، وفقدان جهد القياس، وكشف سريع لمجموع التيار وانقطاع الأسلاك، وفحص منطقي على مستوى العينات.
دائرة الفصل	74TC بمدخلين ثنائيين.
قنوات الحماية	فحص CRC بطول 32 بت، وإهمال الرسائل التالفة، وتجاهل الأعطال العارضة وحجب الوظائف عند الأعطال المستمرة، وقياس أزمنة الانتقال.
رسائل GOOSE	فحص CRC، ورقم التسلسل، وزمن التكرار، والتحول لوضع آمن عند الرسائل التالفة أو رسائل الاختبار.

وأثناء الهندسة يحسب DIGSI 5 نموذج الحمل (Load model) للجهاز، فلا يُسمح بتحميل إلا التكوينات الممكنة تشغيلياً.

الأمن السيبراني: طبقات الدفاع

يعتمد التصميم على معايير ولوائح مثل IEC 62443 وIEC 62351 وNERC CIP وورقة BDEW، ويبدأ الأمن من الهاردوير حيث تُخزن مفاتيح التشفير بأمان، مع حزم اتصال مقواة ضد الهجمات.

الهدف الأمني	الإجراء في الجهاز
منع الدخول غير المصرح	RBAC بإدارة مركزية للمستخدمين عبر RADIUS أو Active Directory، بأدوار وفق IEC 62351-8 وIEEE 1686، مع إمكانية دخول طوارئ عند انقطاع خادم RADIUS.
حماية الاتصال	مصادقة وتشفير بـ TLS بين الجهاز وDIGSI 5 أو Web Monitor أو السحابة.
كلمات المرور	كلمة اتصال بطول 8 إلى 30 حرفاً تضم حروفاً كبيرة وصغيرة وأرقاماً ورموزاً (متوافقة مع NERC CIP)، أو Confirmation ID للإجراءات الحرجة إذا لم يُفعَّل RBAC.
تقليل سطح الهجوم	افتراضياً يُفعَّل اتصال DIGSI 5 فقط، وبقية الخدمات معطلة. ويمكن ضبط وصول IP لكل منفذ: كامل أو قراءة فقط أو بلا وصول.
سلامة البرنامج	توقيع رقمي لملفات Firmware، وتخزين إعدادات الأمن مشفرة.
التتبع	تسجيل الأحداث الأمنية وإرسالها اختيارياً إلى خادم مركزي عبر Syslog، وSecurity log لا يُحذف.
منع الأجهزة الدخيلة	مصادقة الأجهزة على الشبكة وفق IEEE 802.1x مع خادم RADIUS.
التحديثات	إدارة رقع الأمان: قائمة شهرية بتحديثات Windows المختبرة للتوافق مع DIGSI 5.

💡 أثناء التشغيل التجريبي

لا يُفضَّل إدخال بيانات الدخول وكلمات المرور في كل خطوة أثناء الضبط والاختبار؛ لذلك يمكن تعطيل حماية الوصول الكاملة حتى انتهاء التشغيل التجريبي ثم إعادة تفعيلها للتشغيل.

Product Security Blueprint والوصول عن بعد

يوصي الكتالوج بوثيقة Application Note رقم SIP5-APP-009 ومفهوم Security Blueprint يوثق التكوينات النموذجية والخدمات والمنافذ المستخدمة وإجراءات التحديث وكلمات المرور والحماية من الفيروسات. وفي التصميم الموصى به تُدمج الأجهزة في حلقات إيثرنت ضوئية عبر Switches، ويُسمح بالوصول من شبكة خارجية غير آمنة عبر Gateway يوثق هوية المستخدم ويشفر الاتصال (مثلاً عبر VPN).

✅ الخلاصة: 4 نقاط تحملها معك

• Safety CT-Plug وطرفيات قابلة للفك تحميان الأفراد وتسهلان الصيانة.
• مراقبة ذاتية متعددة المستويات: إنذار ثم حجب ثم عزل الجهاز.
• الأمن السيبراني: RBAC وTLS وSyslog وتوقيع Firmware وIEEE 802.1x.
• الإعداد الافتراضي آمن: لا خدمة تعمل إلا DIGSI 5 حتى تفعل غيرها.

🧠 اختبر نفسك (اضغط على السؤال لتظهر الإجابة)

ماذا يفعل Safety CT-Plug؟

يبقي الدائرة الثانوية لمحول التيار مغلقة عند سحب الطرفية، فلا تنشأ دائرة مفتوحة.

ما الخدمة المفعّلة افتراضياً؟

اتصال DIGSI 5 فقط.

ما الذي يحمي ملفات Firmware من التلاعب؟

التوقيع الرقمي لملفات Firmware.

🧭 خريطة السلسلة

1  نظرة شاملة على الجهاز2  درع الفيدر: التيار الزائد والاتجاهية3  صيد الأعطال الأرضية الحساسة4  حارس المحركات وبنوك المكثفات5  الجهد والتردد والقدرة وجودة الطاقة6  التحكم والأتمتة والتسجيل7  الاتصالات: IEC 61850 وGOOSE والريدندنسي8  الأمان: Safety وCybersecurity9  الهاردوير وكود الطلب ونقاط الوظائف10  DIGSI 5 والاختبار والـ DigitalTwin

في الجزء القادم: الهاردوير وكود الطلب ونقاط الوظائف: كيف تختار الجهاز الصحيح وتحسب الميزانية؟

الجزء السابق

الاتصالات: IEC 61850 وGOOSE والريدندنسي

الجزء التالي

الهاردوير وكود الطلب ونقاط الوظائف

📚 تفضّل المرجع الشامل: السلسلة كلها في مقال واحد

المصدر: كتالوج Siemens «SIPROTEC 5 Compact – 7SX800» الإصدار 5 (Catalog Edition 5 from V9.50). المقال شرح تعليمي بصياغة المؤلف، والقيم والمواصفات للاسترشاد فقط؛ راجع أحدث كتالوج وكتيّب الجهاز قبل أي تصميم أو طلب. هذه المدونة غير تابعة لشركة Siemens، وSIPROTEC وDIGSI وSIGRA علامات تجارية مملوكة لها.