阀门自动化将控制指令与实际运动连接起来。因此，非预期的指令、被更改的设置或丢失的通信链路，不仅会影响数据，还会扰乱流量控制和工厂运行。

数字阀门执行器可能提供有用的设置与诊断功能。然而，采购方还应了解这些功能是如何受到保护的，以及该执行器如何融入工厂的安全设计。

遵循 IEC 62443 的采购流程有助于将宏观安全问题转化为明确要求。其目标是在安装前选择合适的设备、识别缺失的控制措施并明确责任分工。

了解 IEC 62443 的覆盖范围

IEC 62443 是一系列工业自动化与控制系统安全标准。不同部分适用于不同责任：

这些范围彼此相关，但不能将针对某一范围的证明文件视为其他三者的证据。

此外，“遵循 IEC 62443”是一种采购方法，并不能证明产品已获得认证。

1. 确定每台数字阀门执行器的所有接口

从具体型号和随附选项入手。“智能”或“数字”等术语并不能说明设备具备哪些连接。

要求供应商提供接口清单，在适用的情况下应包括：

• 现场总线和工业以太网连接。
• 本地配置端口。
• USB 或串行服务连接。
• 蓝牙或其他无线功能。
• 配置软件与维护工具。
• 通过控制器或网关的远程访问路径。

区分已安装功能与可选功能。然后确认哪些接口可以禁用。

采用干接点或模拟信号的执行器可能没有直接网络连接。但其控制器、网关或服务工具仍可能引入数字访问路径。

2. 定义现场总线电动执行器的安全边界

现场总线电动执行器应作为其控制网络的一部分进行评估。

要求提供准确的协议、版本、通信模块和网络图纸。不要想当然地认为常见协议在供货配置中包含身份验证或加密。

IEC 62443-3-2 关注将系统划分为区域与管道、评估其风险并定义目标安全等级。实际上，采购方需要知道哪些资产属于同一组，以及哪些通信路径跨越了安全边界。 

如果现场设备无法提供所需控制措施，应在文档中说明其他位置需要的防护措施。这些措施可能包括限制网关访问、网络分段以及受控维护连接。

此类措施必须在系统层面进行评估；它们并不能使执行器本身成为经过认证的组件。

3. 控制谁可以操作和配置执行器

操作阀门和更改其设置属于不同的权限。

询问供货设备是否能够区分查看、操作、配置和维护访问。如果存在账户或密码，应确认凭据如何设置、更改、恢复和删除。

需要了解的问题包括：

• 是否存在共享默认凭据？
• 是否可以禁用未使用的账户或服务？
• 谁可以更改行程限制或控制模式？
• 本地控制如何受到保护？
• 远程访问是否需要单独授权？

如果执行器的访问控制能力有限，应明确哪些功能必须由 PLC、网关、工作站或物理防护外壳来保护。

同时，明确调试完成后凭据由谁管理。

4. 检查固件与配置的完整性

固件决定执行器的数字行为。配置决定它在工艺过程中的响应方式。

询问供应商如何获取、校验、安装和记录更新。在支持的情况下，要求提供真实性校验证据，例如签名验证。

此外，确认：

• 谁可以发起更新。
• 更新过程中阀门是否仍可使用。
• 发生断电时会出现什么情况。
• 已批准的设置如何备份。
• 更新失败后如何恢复。

对于无法现场更新固件的简单设备，应记录该限制及其对维护的影响。

这些问题支持系统完整性，而系统完整性是 IEC 62443-4-2 中所述的七个基础要求领域之一。其他领域包括访问控制、受限数据流、事件响应和可用性。 

5. 审查电动执行器在故障状态下的网络安全

安全控制措施必须与工厂的运行需求相匹配。

定义在通信故障、断电或控制器发送无效数据时应采取的动作。正确的响应可能是保持位置、移动到预定位置或遵循其他经批准的策略。

不存在通用的安全阀门位置。工艺风险评估必须确定所需动作，所选执行器配置必须能够支持该动作。

请将以下要求分开处理：

• 通信丢失。
• 电源丢失。
• 未经授权的配置更改。
• 执行器机械或电气故障。

网络安全与功能安全的范围不同。针对其中一项的证明不能替代另一项的证明。

6. 询问可检测和记录哪些事件

设备可能会报告故障，但不一定保留安全事件日志。因此，应明确询问其记录内容。

相关事件可能包括配置更改、固件更新、访问失败尝试以及通信故障。

确认记录是否包含时间戳、可保存多长时间以及是否可以导出。如果执行器不具备这些功能，应明确由控制系统或维护工具记录哪些内容。

为便于故障排查，请保留型号、固件版本、已批准设置和调试记录。这些信息有助于区分设备故障与意外更改。

7. 核实供应商支持与认证声明

要求提供安全联系人、漏洞报告渠道、更新策略和预期支持期限。

在相关情况下，要求提供软件物料清单或有关内置第三方软件的信息。同时，明确采购方将如何接收安全通知。

如果声称已获得认证，请核实：

• 颁发机构及证书编号。
• 适用的标准部分。
• 涵盖的产品和硬件版本。
• 固件版本和通信选项。
• 所声称的安全能力及声明条件。
• 所需的安装和运行假设。

安全开发流程证书并不自动证明每种产品的技术能力。同样，组件证书也不能证明整个工厂的安全性。

从 OMKEE 采购时请应用本清单

OMKEE 的网站展示了多种控制配置的电动阀门执行器，包括基于触点的操作和模拟量调节控制。这些差异使得针对具体型号进行接口检查尤为重要。

对于任何建议的数字或现场总线配置，请要求 OMKEE 确认实际的通信功能和可用的安全证明文件。请勿从防护外壳等级、防爆认证、CE 标志或质量管理资质中推断网络安全认证。

请向OMKEE发送项目说明，其中包括阀门工况、扭矩、电源、控制接口、网络架构、所需故障行为以及安全文件需求。

最后，与供应商和集成商商定验收检查事项。在受控环境中对已批准的配置进行测试后再投入调试，并记录哪些保护措施属于执行器本身，哪些属于更广泛的控制系统。