Кибербезопасность промышленного накопителя: удалённый доступ, обновления и почему регуляторы взялись за инверторы
Промышленный накопитель — управляемое устройство мощностью в сотни киловатт с выходом в интернет. Доступ к нему даёт возможность отключить резерв, сорвать срез пика или изменить уставки, поэтому его защищают как часть АСУ предприятия, а не как бытовой гаджет. Разбираем, кто может им управлять, как отделить его от офисной сети, кто и как обновляет ПО, и что записать в договор.
Почему это не домашний гаджет
Домашний инвертор с облачным приложением — вопрос личных данных и удобства. Промышленный накопитель другое: он стоит в вашей электрической схеме, держит критичные линии при отключении и участвует в тарифной экономике. Если им управляют посторонние или он действует по ошибочным уставкам, последствия электрические и денежные: остановка резерва в момент отключения, сорванный срез пика, перегрузка сети. Домашнюю сторону вопроса разбирает материал безопасность мониторинга СЭС, здесь речь о предприятии.
О тренде нужно сказать осторожно. В разных странах обсуждают требования к удалённому доступу к инверторам и накопителям: кто имеет право управлять, как это документируется, как обновляется программное обеспечение. Конкретные документы и случаи в статье не называются; важно, что вопрос перестал быть чисто техническим и дошёл до регуляторов, а значит, заказчик может его поставить поставщику.
Кто может управлять накопителем
- Изготовитель через облако. Видит данные, иногда может менять настройки и обновлять ПО. Удобно для сервиса, но это внешний канал доступа.
- Сервисный подрядчик. Подключается для обслуживания, получает права инженера.
- Ваш персонал. Диспетчер, энергетик, ИТ-служба.
Три группы — три разных набора прав. Типичная ошибка: у всех один общий пароль «администратор». Принцип минимальных прав означает, что каждому выдают только то, что нужно для работы: диспетчер смотрит и подтверждает режимы, подрядчик меняет уставки только в согласованное окно, изготовитель обновляет ПО по запросу. Каждое действие должно попадать в журнал: кто, когда, что изменил. Без журнала нельзя разобраться, почему резерв не сработал.
Сегментация сети: накопитель отдельно от офиса
Накопитель подключают к сети через шлюз или контроллер, и главный вопрос в том, куда этот шлюз включён. Если в общую офисную сеть, заражённый компьютер бухгалтера оказывается в одной сети с устройством, управляющим мощностью. Правильная практика: отдельный сегмент для оборудования энергетики, связь с офисной сетью через межсетевой экран с минимумом разрешённых направлений, внешний доступ только через защищённый канал. Как устроен облачный мониторинг накопителей и какие каналы он использует, видно в материале облачный мониторинг BESS. Настройку сети выполняет ИТ-служба или подрядчик, а не электрик на месте.
Обновления программного обеспечения
Обновление исправляет ошибки и закрывает уязвимости, но может и нарушить совместимость блоков или изменить поведение системы. Поэтому важно определить порядок: кто принимает решение, кто запускает, когда и как проверяет результат. Хорошая практика: изготовитель сообщает об обновлении и списке изменений, подрядчик предлагает окно, заказчик подтверждает, после чего проводится проверка работы. Автоматические обновления «без спроса» на оборудовании, которое держит критичную нагрузку, нежелательны. Подробнее о том, когда обновлять BMS и инвертор, написано в материале прошивка BMS и инвертора.
Что делает накопитель при потере связи
Это ключевой вопрос, и ответ спокоен. Защита батареи реализована в BMS и не зависит от интернета: по току, напряжению и температуре она отключает модуль самостоятельно. Преобразователь и EMS при потере связи, как правило, продолжают работать по последним заданным уставкам. Разделение ролей между EMS и BMS объяснено в материале EMS и BMS: кто чем управляет. Но поведение конкретной модели в таком режиме надо уточнить у изготовителя и проверить при приёмке: возможны ограничения мощности или возврат к настройкам по умолчанию. Рассчитывать «на авось» не стоит.
Пароли и учётные записи после передачи объекта
После пусконаладки у монтажной бригады остаются пароли, а в облаке остаётся запись об объекте. Правильный порядок: заказчик получает права владельца, пароли по умолчанию заменены, учётные записи монтажников закрыты или переведены в ограниченные, список лиц с доступом зафиксирован в акте. При смене подрядчика или увольнении сотрудника права пересматриваются. Что ещё нужно получить после монтажа, описано в материале документы и доступы после монтажа.
Локальное управление и честный компромисс
Полностью «офлайн» система выглядит самой безопасной, но она теряет удалённый сервис: подрядчик не увидит ошибку до выезда, изготовитель не поможет по журналу, а мониторинг останется на экране в техническом помещении. Нужен баланс. Практичный вариант: локальное управление остаётся резервным и всегда работает, удалённый доступ включается по согласованию, через защищённый канал, с журналом, и может быть отключён на время подозрительной активности. Какой вариант выбрать, зависит от того, насколько критична нагрузка и как устроена ИТ-служба на предприятии.
Таблица: угроза — последствие — мера
| Угроза | Последствие | Мера |
|---|---|---|
| Общий пароль у всех, пароль по умолчанию | Любой, кто узнал пароль, меняет режимы; невозможно определить виновного | Персональные учётные записи, смена паролей при пуске, минимальные права |
| Накопитель в общей офисной сети | Заражение компьютера открывает путь к управлению мощностью | Отдельный сегмент, межсетевой экран, минимум разрешённых направлений |
| Открытый наружу порт управления | Подбор доступа из интернета, изменение уставок | Доступ только через защищённый канал, без прямой публикации в интернет |
| Неконтролируемое обновление ПО | Смена поведения или потеря совместимости в момент, когда нужен резерв | Согласованный порядок, окно работ, проверка после обновления |
| Доступ подрядчика, которому он уже не нужен | Бывший исполнитель сохраняет возможность управлять | Срок действия учётных записей, пересмотр при смене подрядчика |
| Потеря связи с облаком | Нет мониторинга; возможны ограничения мощности | Проверка поведения при приёмке, локальное управление как резерв |
| Отсутствие журнала действий | Невозможно разобраться, почему резерв не сработал | Журнал с хранением и выгрузкой, доступ заказчика к нему |
Кто за это отвечает
Настройка сети, межсетевого экрана и политик доступа — работа ИТ-службы или специалиста по промышленной автоматизации, не электромонтёра. Закрепите это в договоре: за кем остаётся безопасность на стыке накопителя и сети предприятия.
Чек-лист из восьми пунктов для договора и приёмки
- Список всех каналов удалённого доступа: облако изготовителя, VPN, прямые подключения.
- Персональные учётные записи и роли с минимально необходимыми правами.
- Замена всех паролей по умолчанию на этапе пусконаладки, акт передачи доступов.
- Накопитель включён в отдельный сегмент сети, схема подключения приложена к документации.
- Порядок обновлений: кто уведомляет, кто согласует, кто запускает, как проверяется результат.
- Описание поведения при потере связи, подтверждённое испытанием при приёмке.
- Журнал действий: что фиксируется, сколько хранится, как заказчик его получает.
- Порядок прекращения доступа подрядчика и изготовителя при окончании работ или по требованию заказчика.
Проверку большинства пунктов удобно включить в процедуру приёмки: как её проводят, описано в разборе приёмка промышленного накопителя: FAT и SAT. Юридическую формулировку проверяет юрист заказчика.
Частые вопросы
Может ли хакер выключить батарею и вызвать пожар?
Защита батареи по току, напряжению и температуре реализована в BMS и не зависит от внешних команд. Но доступ к управлению может изменить режимы работы и остановить резерв, поэтому защищать нужно именно управление.
Нужен ли накопителю доступ в интернет вообще?
Не обязательно. Но без него теряется удалённый сервис и мониторинг. Выбор зависит от критичности нагрузки и возможностей ИТ-службы; допустим промежуточный вариант с доступом по запросу.
Кто должен обновлять программное обеспечение?
Выполняет изготовитель или подрядчик, но по согласованию с заказчиком и в согласованное окно. После обновления проверяется работа.
Что делать при смене подрядчика?
Закрыть его учётные записи, сменить пароли, получить от прежнего исполнителя актуальные настройки и журнал, пересмотреть список лиц с доступом.
Короткий вывод
Промышленный накопитель защищают как часть АСУ предприятия: персональные учётные записи с минимальными правами, отдельный сегмент сети, согласованный порядок обновлений, журнал действий и проверенное поведение при потере связи. Защита батареи в BMS от интернета не зависит, но управление мощностью зависит. Полностью отключённая от сети система теряет сервис, поэтому нужен баланс. Закрепите восемь пунктов чек-листа в договоре и проверьте их при приёмке. Подобрать оборудование поможет раздел промышленные BESS.