Model-Based Security & Safety Evaluation of Operational Technology Components

Abstract

Die Digitalisierung industrieller Produktionssysteme, allgemein als Industrie 4.0 (I4.0) bezeichnet, hat die Fertigung revolutioniert, indem sie vernetzte Technologien mit intelligenter Automatisierung integriert. Diese Transformation hat jedoch auch die Systemkomplexität erhöht und die Angriffsfläche von Operational-Technology-(OT)-Umgebungen erweitert. Traditionelle Risikobewertungsmodelle haben oft Schwierigkeiten, die dynamischen Interaktionen und Abhängigkeiten innerhalb dieser Systeme genau darzustellen, da betriebliche Veränderungen, Software-Updates und die Integration neuer Geräte die Sicherheitslandschaft kontinuierlich neu gestalten. Sicherheitsverletzungen stellen erhebliche Risiken für industrielle Anlagen und die Umwelt dar, weshalb es entscheidend ist, Sicherheits- und Schutzaspekte über den gesamten Lebenszyklus eines Systems hinweg zu berücksichtigen. Diese Dissertation schlägt eine modellbasierte Evaluierungsmethodik vor, um die Lücke zwischen manuellen und automatisierten Sicherheits- und Schutzanforderungen in OT- Umgebungen von Industrie 4.0 zu schließen. Der Ansatz beginnt mit der Entwicklung eines Metamodells, das OT-Infrastrukturkomponenten und deren Beziehungen erfasst. Dieses Modell wird anschließend als C#-basierte grafische Benutzeroberfläche (GUI) implementiert, die zentrale Funktionen wie Netzwerkscanning, Anwendungs- und Schnittstellenidentifikation sowie KI-gestützte Datenerfassung ermöglicht. Die Risikobewertung und die Einhaltung von Vorschriften erfolgen auf Grundlage von Industriestandards wie IEC 62443-3-3 und IEC 61508 sowie Methoden wie LOPA, SEFR (HAZID), STRIDE und DREAD. Die extrahierten Daten werden anschließend in strukturierte Systemmodelle (z.B. OWL, AutomationML) überführt, um eine Visualisierung und Analyse zu ermöglichen. Diese Methodik erreicht eine Reduktion der Komplexität und der Bewertungszeit um 83,72% für den Cobot und die Fräsmaschine der TU Wien Pilotfabrik, wobei Herausforderungen wie Plattformabhängigkeit und Ressourcenbeschränkungen weiterhin berücksichtigt werden.

The digitalization of industrial production systems, commonly referred to as Industry 4.0 (I4.0), has revolutionized manufacturing by integrating interconnected technologies with smart automation. However, this transformation has also increased system complexity and expanded the attack surface of Operational Technology (OT) environments. Traditional risk evaluation models often struggle to accurately represent the dynamic interactions and dependencies within these systems, as operational changes, software updates, and new device integrations continuously reshape their security landscape. Security breaches pose significant risks to both industrial facilities and surrounding environments, making it essential to address safety and security concerns throughout a system’s lifecycle. This dissertation proposes a model-based evaluation methodology to bridge the gap between manual and automated safety and security requirements in Industry 4.0 OT environments. The approach begins with the development of a meta-model that captures OT infrastructure components and their relationships. This model is then implemented as a C#-based graphical user interface (GUI) with key functionalities such as network scanning, application and interface identification, and AI-powered data extraction. Risk evaluation and compliance checks are conducted using industry standards such as IEC 62443-3-3 and IEC 61508, alongside methodologies like LOPA, SEFR (HAZID), STRIDE, and DREAD. Extracted data is further transformed into structured system models (e.g., OWL, AutomationML) for visualization and analysis. This methodology achieves an 83.72% reduction in complexity and assessment time for TU Wien Pilot Factory Cobot and Milling Machine, while still addressing challenges such as platform dependency and resource constraints.