Els dispositius de tanca tancats són sistemes que mantenen una sortida desitjada contínuament mesurant la sortida i l' aliment de les dades cap al mecanisme de control. Aquests dispositius estan profundament encastats en infraestructures crítiques, incloent els dispositius implantables (passos mèdics, bombors de la insulina), controladors de procés industrial, controladors automotius de fre per programari i autònoms. En cada cas, el programari governa el bucle, fent que es mantinguin els dispositius de seguretat, precisió i fiable. Com que aquests dispositius operables en entorns poden portar lesions, propietats de medi ambient o danys, el programari ha de ser mantingut de manera perillós. Les actualitzacions regulars no són opcionals; són un requisit fonamental per mantenir la seguretat, i el dispositiu de seguretat en tot el funcionament de la vida de l' estil de l' estil de control de l' estil de control de la vida.

El rol crític de programari en els sistemes d'ops tancatsName

En un sistema de loop, el programari realitza tres funcions essencials: l' entrada novell, el càlcul d' una correcció, i actuant una sortida. Per exemple, un monitor continu Gloucse (CGM) llegeix nivells gluques, envia les dades a un controlador de la bomba insulin Kontson, que calcula la dosi adequada de la insulina, i actua amb la bomba per a proporcionar aquesta dosi. Qualsevol error en l' algorisme de programari TECPUGsNOGGGUGGastant un retard numèric, un factor de calibratge incorrecte pot resultar perillós o sobre el desenvolupament de la insulina. De manera similar, en una lògica industrial (CLLE) un reactor químic, un programa podria causar que la temperatura adònia supera els límits de la reacció, im.

Perquè el programari és part d' un bucle tancat, ha d' executar amb un temps determinant, ús previsible de recursos i de gran fiabilitat. Això fa que les actualitzacions siguin particularment qüestionades: el dispositiu no pot ser simplement bles geniuscitzador com un telèfon intel· ligent sense que es pugui interrompre un procés de control crític. Tot i això, el programari també és el component més susceptible de les vineritats emergents vulbàncies de ciberbàncies i els defecte funcionals que no han estat descoberts durant el desenvolupament inicial.

Per què les actualitzacions regulars del programari són no verificables

Les actualitzacions del programari donen tres beneficis fonamentals: la seguretat s'estan renovant, la renovació d' errors i les millores funcionals. Per als dispositius tancats de sortida, cada benefici comporta una importància augmentat enorme perquè les conseqüències del fracàs són tan greus.

Patchet de seguretat Vulnerability

Les amenaces de la seguretat ataquen els dispositius de control mèdic i els sistemes de control industrials han augmentat radicalment. Els atacs han demostrat la capacitat d' deshabilitar els ritmes remotament, alterar les taxes de bomba i el control de PLC en les plantes de potència. Els fabricants de la droga com ara els desbordaments de la memòria intermèdia, l' autenticació insegura i els protocols de comunicació insegurs es troben regularment en el dispositiu d' empresaware. Sense actualitzacions regulars, aquestes vaulbilitats segueixen explotables per la vida del dispositiu. Regulucionables cossos com ara els d' entorn d' aigua dels EUA i les autoritats de la droga (FDA) requereixen tenir un procés d' estructura per identificar, avaluant i controlar la seguretat [FLT] 0:(FDADA] RIRIRIBANANANANANAN] [1] Service] Service] [1]. PESTADUDUDUDUDUDUDUDULT]. L' ELS industrials de seguretat de seguretat de l' DIRABTANABTABTABTABTABTANABTA: xA

El pedaç no només està a punt de protegir el dispositiu, sinó també de protegir la xarxa més gran a la que pertany. Un dispositiu tancat pot servir com a punt pivot per als atacants per moure' s posteriorment a altres sistemes crítics. Les actualitzacions regulars tancaran aquestes portes abans que puguin explotar- se.

Correccions d' errors i millores d' usabilitat

Fins i tot les proves rigoroses no poden agafar tots els defecte del programari. Després de desplegament, les dades poden revelar fallades intermitents, condicions de carreres o problemes de corrupció de dades que només manifesten en condicions operatives específiques. Per exemple, un defecte del ritme de ritmes del gas es va descobrir en 2021 va causar que el dispositiu mal ritme del cor es va fer quan el pacient va caminar en un cert ritme, el qual va provocar errors innecessions innecessàries [[FLT:]] [Foctermware] [FLT:]. Aquestes errors sovint són subtils i específiques de dispositiu, que requereix un programari per corregir el sistema. Sense actualitzacions normals, i els operadors es deixen amb comportaments impredictibles que es desconverten i s' incrementa el risc de confiança i s' incrementa.

Millores de càrrega també redueix la probabilitat de que el temporitzador del rellotge reajusta, les lockups del sistema o les filtracions de memòria que poden degradar- se gradualment al llarg del temps. Per als dispositius que han d' operar contínuament durant anys (p. ex., implantable cardiveritors deflibril· lació de cossos), aquests pedaços d' estabilitat són crucials per mantenir l' operació segura.

Optimització de rendiment i característiques millorada

Les actualitzacions del programari poden millorar l' eficiència de dispositius, la vida de bateria i l' experiència d' usuari sense requerir canvis de maquinari. En implants mèdics, una actualització pot afinar l' algorisme que ajusta a l' espaiat a coincidir amb el nivell d' activitat, el qual és el començament de la millor sortida i la vida de la bateria cardíaca. En els robots industrials, una actualització pot reduir el cicle de vegades per mitjà de l' algorisme de control de l' algorisme de l' algorisme de control. Els fabricants també usen actualitzacions per afegir noves capacitats de l' inrevés com a màxim o la monitorització remota que amplien el valor de dispositiu cartes. De tota manera, qualsevol característica ha de canviar correctament la seva pèrdua per assegurar que no introdueixi nous modes d' errors en el bucle tancat.

Repte únic en actualitzar dispositius "Lop " tancats

Mentre que els beneficis d'actualitzacions són clars, implementant-los en dispositius de loop tancats presenta obstacles distintius que no existeixen per als sistemes de computació generals.

Restriccions reals d' operació de temps

La majoria dels dispositius de bloqueig tancats operaven amb data de temps en cadena. L' algorisme de control ha de calcular i actuar dins d' una finestra de temps específica (de vegades mil· lisegons). Durant una actualització de programari, el dispositiu no pot aturar el cicle de control de l' inrevés de manera que causarà que la sortida no sigui controlada, potencialment guiant a una condició perillosa. Per tant, les actualitzacions s' han de realitzar durant una aturada planificada (quan el procés s' atura de forma segura) o usant un mecanisme d' actualització en directe que controla sense interrompre cap versió nova. Aquest pedaç ptxup funciona tècnicament és difícil i requereix un disseny de les empreses de dispositiu Positiu. Per exemple, algunes bombes mèdiques usen un bucle dual: un bucle de control en viu que s' actualitza sense errors, mentre que l' estat no es verifica, llavors el programari antic i després no es verifica.

Compatibilitat amb el maquinari i el maquinari

Els dispositius de tancament de tancament sovint tenen un poder de processament limitat, memòria i emmagatzematge. Una nova versió de programari pot necessitar una CPU addicional, una memòria més ràpida o més ràpida que el maquinari original proveeix. A diferència d' un telèfon intel· ligent que pot executar l' últim OS durant anys, molts dispositius es construeixen amb maquinari fix que no es pot actualitzar. Els fabricants han de decidir quant de temps poden suportar cada revisió del maquinari i han d' actualitzar- se amb freqüència que no excedeixen els recursos pressupostaris. Addicionalment, l' actualització s' ha de proporcionar en un format que el dispositiu keliscar, que pot acceptar, el protocol de més a través de la màquina. OU- A. Les actualitzacions del protocol (A) afegeixen més limitacions, ja que la pèrdua de pèrdua de temps, el lliurament sobre els enllaços sense fil i la integritat es descarrega.

Regulador i certificadora Hurdles

Els dispositius mèdics i sistemes de seguretat industrials estan sotmesos a reguladors que tracten canvis de programari com potencialment modifica el perfil de seguretat de dispositius. Als Estats Units, la FDA requereix preaprovació de mercat o un complement per a qualsevol canvi que pugui afectar significativament la seguretat o eficàcia. Per a un dispositiu actualitzat de camp, el fabricant ha de tenir un sistema de gestió de qualitat que governa com s' han dissenyat les actualitzacions, prova i documentades. El procés està guiat per estàndards com ara l' IEC30304 per programari mèdic i l' IC15 per a una seguretat funcional. De manera similar, les actualitzacions industrials poden requerir retificació sota 62 EC4 o altres estàndards específics. Aquest procés és guiat amb el temps i afegeix cada cop que els costos amb facilitat de llançament, i les actualitzacions dels seus propis intervals de seguretat.

Risc d' actualització indefugida

Cada actualització del programari introdueix un risc de nous errors, problemes de compatibilitat o efectes secundaris sense voler. Per a un dispositiu tancat, una actualització no pot deshabilitar completament l' algorisme de control, resultant en un dispositiu de l' ANSI o un dels que operava erràticament. S' ha produït un exemple real- món en 2018 quan un programari s' actualitza a un dispositiu de cardíacbleble, sense resoldre els valors de dispositiu d' espaiat, provocant que el dispositiu no sigui suficient per a proporcionar energia al cor [[FLT:] 0 medcodephead informi sobre el ritme d' actualització del ritme de ritme) [F1:]. Per tal de permetre que els fabricants d' implementar els mecanismes robusts, els mecanismes de seguretat i la validació de maquinari. L' actualització d' un petit esforç hauria d' actualitzar- se abans de la població.

Les millors pràctiques per gestionar programari s'actualitza en dispositius "Lop " tancatsName

Donada la complexitat i el risc, organitzacions que despleguen o mantenen dispositius tancats per a la construcció hauria de seguir un conjunt estructurat de bones pràctiques per assegurar que les actualitzacions estiguin fora de perill, eficaç i concloïdes.

Establiu una política d'actualitzacions Robust

Una política formal hauria de definir el criteri per a iniciar una actualització (p. ex., vulnerabilitat crítica, error relacionat amb la seguretat, millora significativa de rendiment) i el procés per a prioritzar les actualitzacions. La política també ha d' especificar funcions i responsabilitats IRS que decideix empènyer una actualització, que el validi, i que controla el desplegament. La freqüència de les dues actualitzacions de seguretat i de seguretat s' han de documentar, amb disposicions d' emergència pedaços quan es descobreix una vulnerabilitat zero- dia. La política haurà d' alinear amb el risc de classificació de dispositiu ANSIs: aparells més alts (pex;, els implantadors requereixen més que els sensors no parcríctiques.

Usa el Secnisme segurActure Mecnismes

Tots els canals d' actualització s' han d' assegurar en la manipulació. Això significa que usar la signatura criptogràfica dels paquets d' actualització, verificar la signatura abans de la instal· lació, i reenviar les connexions encriptades (p. ex., TLS). Els dispositius han de rebutjar o signar correctament els errors. Addicionalment, el mecanisme d' actualització ha de ser resistent a l' atac de la injecció de l' Alexandrà o els controls de la privadesa no haurien de poder enganyar el dispositiu a la instal· lació de problemes malicisos. Per a les actualitzacions OTANST, implementa la protecció de repetició mitjançant una única o una marca horària en cada paquet d' actualització. IPIBIUX[ 0: Connection=FNIST- 5] [F5] Security de la seguretat, i permet els controls de programari detallats per actualitzacions de seguretat.

Conductora prova de Thonughly en entorns simulats

Abans de que s' alliberin qualsevol actualització al camp, s' haurà de provar en la configuració exacta del maquinari i del programari que rebrà. Això inclou ambdues proves funcionals (encara controla correctament el dispositiu) i les proves d'estrès (concedeixen els pitjors escenaris?). Useu el maquinari- a- laloop (HIL) quan es poden replicar condicions de temperatura extrema real de l' Internet real, les fluctuacions de la energia, les errors de comunicació. Proveu també el procediment d' actualització: què passa si el dispositiu està perdut de mitjans d' actualització? El dispositiu de prova hauria de cobrir els casos negatiu: actualització dels fitxers, el maquinari incompatible i actualitzacions de múltiples dispositius actual.

Fàsula els Rollouts i monitoritzant

No actualitzeu tots els dispositius alhora. En comptes d' això, comenceu amb un petit grup pilot 255. 255. Potser 1% de la base instal· lada, 255. 255. 0 i monitor per a esdeveniments adversos per a un període definit (p. ex., 30 dies). Useu telemetria de dispositiu per a detectar en el comportament, taxes d' error o rendiment. Si no s' ha observat cap problema, expandiu el cicle a un percentatge més gran i continueu monitorant. Aquest punt acosta el radi d' una actualització errònia. Per als dispositius mèdics implantables, les clíniques han d' informar als pacients sobre l' actualització i segueixen les visites per a verificar la funció adequada.

Mantenir la documentació i els traces d' auditoria

Cada actualització hauria de ser documentada meticulosament: la data, la versió del programari, racional, els resultats de la prova, el lloc de desplegament i qualsevol incidents. Aquesta documentació és essencial per al compliment del regulador (p. ex., mostrant la FDA que un canvi de mercat post-mercat era correcte control) i per a l' anàlisi forense si un actualització causa un problema. Els registres d' auditoria del dispositiu també haurien de capturar esdeveniments per a revisar més tard. Mantingueu una versió de la història per a cada dispositiu, i assegureu- vos que les actualitzacions es poden localitzar als números específics de maquinari.

El futur del programari actualitza en dispositius d' autooq tancatsName

La indústria s' està movent cap a una gestió d' actualització més automatitzada i intel· ligent. Les capacitats d' informació air (OTA) s' estan convertint en estàndards fins i tot per als dispositius més petits implantables, habilitat per avenços en comunicacions sense potència (p. ex., Bluetooth L' energia baixa amb extensions mèdiques). Una intel· ligència artificial s' està explorant per validar actualitzacions de comportament del dispositiu digital abans de desplegament. La cadena de blocs pot proporcionar un registre immutable de les versions que es van instal· lar en els dispositius, simplificant les traces alternatives. A la mateixa hora, els reguladors estan desenvolupant les rutes més eficients per a una autovensió, com ara el programa PreDA- C. Tanmateix, cada un dispositiu mèdic, el requisit no canviava i més segur, i s' actualitzarà en la implementació de la disciplina. Com que s' actualitzarà en dispositius transparents, només s' actualitzarà en la implementació de la implementació de la disciplina.

Les actualitzacions de programari regulars són les organitzacions més efectives que poden prendre per protegir els seus dispositius de suport tancat de les amenaces ciberseguretat, els deserts de retard i mantenir el rendiment del màxim. Els reptes són una gran restricció de temps real, limitacions de maquinari, obstacles reguladors, i risc de fallada que poden ser superats per processos rigorosos, tecnologia segura i una cultura de millora contínua. En tractar actualitzacions de programari com una funció operacional més que un dels fabricants i poden assegurar que els seus dispositius tancats estiguin fora de perill, fiables i la data durant anys.