Віддалений доступ до BMS: як керувати будівлею й не відкрити її стороннім

Можливість відкрити BMS із телефона зручна: інженер бачить аварію, перевіряє тренд і готується до виїзду. Але разом із графіком він іноді отримує доступ до команд, здатних змінити фізичну роботу будівлі.

Віддалений доступ — це окрема інженерна функція зі своїми межами, а не просто посилання на контролер. NIST відносить автоматизацію будівель до операційних технологій, для яких важливі не тільки дані, а й безпека та безперервність фізичних процесів. ¹

Починаємо з того, кому що потрібно

Власнику може вистачати звітів. Диспетчеру потрібні режими й аварії. Сервісному інженеру — діагностика та обмежені зміни. Розробнику автоматики — окремий доступ для погоджених робіт.

Ми б не об’єднували ці ролі одним обліковим записом адміністратора. І не залишали доступ колишньому підряднику лише тому, що ним користувалися під час запуску.

Уявімо просту ситуацію: потрібен лише перегляд помилки вентиляційної установки, а виданий обліковий запис дозволяє змінити всі графіки об’єкта. Функціонально задача вирішена, але обсяг доступу непропорційний задачі. Саме це варто перевірити до відкриття віддаленого сервісу.

Захищаємо шлях підключення

NIST рекомендує сегментацію OT-мережі, контроль дозволених з’єднань і обґрунтований обсяг віддаленого доступу. Для нього розглядаються захищені канали та багатофакторна автентифікація. Доступ не має обходити наявні захисні функції. ¹

Практично це означає: проєктуємо керовану точку входу, а не відкриваємо інтерфейс автоматики всім, хто знає адресу. VPN чи захищений шлюз — інструменти цієї архітектури, а не гарантія безпеки без правильних облікових записів і налаштувань.

Схему потрібно погодити з IT-службою та відповідальними за експлуатацію. Принцип «підрядник поставив свій роутер, як саме працює — невідомо» залишає власнику неконтрольовану залежність.

Відкритий протокол не означає захищений протокол

BACnet/SC додає захищений обмін із шифруванням та автентифікацією пристроїв. BACnet International прямо описує його як частину загального захисту, а не заміну всіх інших заходів. ²

Для Modbus також існує окремий Security Protocol на основі TLS. Наявність звичайного Modbus TCP не доводить, що саме цей захищений варіант реалізований у вашому обладнанні. ³

Навіть шифрований канал не пояснює, чи варто конкретному користувачу дозволяти змінювати температуру або вимикати агрегат. Транспорт і права на дії потрібно розглядати окремо.

Інтернет зник. Що відбувається з HVAC?

Це запитання ми б включали до програми приймання. Зовнішня аналітика може стати недоступною, але для критичних функцій має залишатися погоджене локальне керування.

У різних системах безпечна реакція різна. Для серверної необґрунтоване вимкнення охолодження неприйнятне; для іншого обладнання проєкт може вимагати зупинки. Тому не задаємо універсальне «все вимкнути» чи «зберігати останню команду назавжди».

Для тимчасових оптимізуючих команд доцільно визначити строк дії та порядок повернення до штатного алгоритму. Якщо контролер цього не підтримує, таке обмеження потрібно врахувати в архітектурі, а не залишити на словах.

Журнал і відновлення

Замовнику потрібна історія: хто підключився, що змінив і коли. Окремо — актуальні резервні копії та перевірений спосіб відновлення. Виробники BMS розділяють процедури резервування й відновлення та встановлюють обмеження сумісності версій; це видно, наприклад, у документації Metasys SCT. ⁴

Відновлення перевіряють у погодженому середовищі, а не експериментом на працюючій критичній системі.

Добрий віддалений сервіс скорочує час до рішення. Він не повинен робити роботу будівлі залежною від невідомого пароля, чужого ноутбука чи постійного доступу до інтернету.