Bently Nevada publie deux déclarations IEC/ISA-62443 différentes sur Orbit 60, et elles ne sont pas interchangeables. L’article Orbit du premier trimestre 2021 affirme que, dans la mesure du possible, Orbit 60 a été conçu pour atteindre le niveau de sécurité 4, le plus haut niveau de la norme. L’article sécurité des données de décembre 2021 indique que le système « est en cours de certification selon IEC 62443-4-2 Security Level (SL) 2 et est architecturé pour atteindre jusqu’à Security Level (SL) 4 ». Les fiches techniques actuelles n’affichent aucun numéro de niveau de sécurité : elles disent seulement « Conçu pour répondre à IEC 62443-4-2 ». SL4 est donc une cible d’architecture, SL2 une cible de certification, et aucune de ces deux déclarations ne vaut certificat en main.
Par l’équipe éditoriale TenBN · Mis à jour le 3 novembre 2026 · 14 minutes de lecture
Réponse rapide
Le dossier de cybersécurité d’Orbit 60 est réel, mais le chiffre mis en avant n’est pas une déclaration de conformité à coller dans une analyse d’écarts 62443. Trois points décident de ce que la plateforme vous apporte réellement.
Premièrement, le niveau de sécurité qui compte pour un composant est SL-C : la capacité que ce composant peut fournir lorsqu’il est correctement configuré. SL-C est testé et, le cas échéant, certifié ; « architecturé pour atteindre » est une déclaration de conception sur la marge disponible, pas un résultat d’essai. Deuxièmement, le chemin aXess breveté assure une ségrégation sur une frontière précise : les fonctions de protection vis-à-vis des fonctions de surveillance d’état dans le même rack. Il ne sépare pas le port de surveillance d’état de votre réseau tertiaire, et le Communications Gateway est bidirectionnel par conception. Troisièmement, la question utile pour un prescripteur n’est pas « est-ce SL4 ? » mais « quel SL-C chaque module revendique-t-il, quelle est la portée du certificat, et à quel réseau chaque module a-t-il le droit de se connecter ? »
Si vous standardisez sur Orbit 60, demandez la déclaration SL-C module par module et l’identifiant de certificat. Si vous exploitez un système de protection de machine 3500, rien de tout cela ne change vos obligations : sur la plateforme plus ancienne, la ségrégation repose entièrement sur votre conception réseau, qui fait l’objet de notre comparatif statut de support du 3500 et Orbit 60.
Les trois déclarations du fabricant, et ce que chacune engage
La documentation de Bently Nevada contient trois affirmations distinctes sur Orbit 60 et IEC/ISA-62443. Elles ont été rédigées pour des publics différents, et elles n’ont pas le même poids dans un audit.
| Déclaration | Source | Ce que cela engage | Ce que cela ne dit pas |
|---|---|---|---|
| « Dans la mesure du possible, nous avons conçu Orbit 60 pour atteindre le niveau de sécurité 4 (le plus haut niveau) de la norme IEC/ISA-62443 » | Orbit 60 Séries Update: Cyber Secure Condition Monitoring!, Q1 2021 | Une intention de conception, avec une réserve explicite : « dans la mesure du possible » | Quels modules, quel vecteur d’exigences, et contre quel niveau testé |
| « Orbit 60 est en cours de certification selon IEC 62443-4-2 Security Level (SL) 2 et est architecturé pour atteindre jusqu’à Security Level (SL) 4 » | Orbit 60: a data secure condition monitoring system, 21 décembre 2021 | Une cible de certification nommée (SL2) plus un plafond d’architecture distinct (SL4) | Que la certification soit achevée ; « en cours de certification » est une déclaration de processus |
| « Conçu pour répondre à IEC 62443-4-2 » / « Aligné sur la norme IEC 62443-4-2 » | Fiche technique système 137M5182, fiche technique CMM 145M9028 Rev. D, fiche technique PPM 142M8515 | Un alignement sur la norme d’exigences techniques pour composants | Aucun numéro de niveau de sécurité n’apparaît dans les fiches techniques |
Lues dans l’ordre, les trois déclarations se restreignent plutôt que de se contredire. La newsletter de 2021 est la plus expansive, l’article de blog de décembre 2021 la plus précise, et les fiches techniques sont les documents auxquels un acheteur sera réellement tenu. Quand le marketing et la fiche technique diffèrent, c’est la fiche technique qui se retrouve dans la nomenclature.
SL-T, SL-C, SL-I, SL-A : le vocabulaire qui décide si une affirmation est vérifiable
La plupart des confusions sur Orbit 60 et 62443 relèvent du vocabulaire, pas de l’ingénierie. IEC 62443 utilise l’expression « niveau de sécurité » pour cinq choses différentes, et une seule s’applique à un matériel que vous achetez.
| Terme | S’applique à | Fixé par | Vérifiable comme |
|---|---|---|---|
| SL-T (cible) | Une zone ou un conduit d’un système | Le propriétaire des actifs, à partir de l’analyse de risques | Une ligne de votre cahier des charges de sécurité |
| SL-C (capacité) | Un composant, selon IEC 62443-4-2 | Le fabricant, puis un laboratoire d’essais | Un rapport d’essai ou un certificat avec portée énoncée |
| SL-I (implémenté) | Un système tel que configuré | L’intégrateur | Des preuves de configuration face à la matrice d’exigences 62443-3-3 |
| SL-A (atteint) | Un système après évaluation | Un évaluateur | Un rapport d’évaluation 62443-2-4 ou -3-3 |
| ML (niveau de maturité) | Le processus du développeur, selon 62443-4-1 | Le fabricant, puis un auditeur | Un audit du cycle de développement sécurisé |
« Architecturé pour atteindre jusqu’à SL4 » est une déclaration sur la marge de SL-C. Elle dit que la conception pourrait, en principe, satisfaire le vecteur d’exigences SL4. Elle ne dit pas que ce vecteur a été testé, qu’un laboratoire l’a validé, ni que le certificat existe. Les deux moitiés du volet composants de la norme comptent ici : 62443-4-1 régit la façon dont le produit a été développé, 62443-4-2 régit ce que le produit fait techniquement, et les deux sont certifiés séparément.
La norme découpe aussi les composants en quatre types : dispositifs embarqués, dispositifs hôtes, équipements réseau et applications logicielles. Chaque type a son propre jeu d’exigences, donc une déclaration SL-C sans type de composant n’est pas comparable d’un fabricant à l’autre. Orbit 60 couvre au moins deux de ces types : le matériel de protection et de surveillance est un dispositif embarqué, et Orbit Studio avec l’interface System 1 est un logiciel.
Ce que les quatre niveaux de sécurité défendent réellement
IEC 62443-1-3 définit les niveaux par l’adversaire supposé, pas par un nombre de fonctions. C’est la façon honnête de juger si « le plus haut niveau » signifie quelque chose pour un moniteur de vibration en salle de contrôle.
| Niveau | Modèle de menace dans les mots de la norme | Ce que cela implique pour un rack de protection |
|---|---|---|
| SL1 | Protection contre une violation causale ou fortuite | Couvre les erreurs : un mauvais câble, un portable débranché, une consigne modifiée par inadvertance |
| SL2 | Violation intentionnelle par des moyens simples, peu de ressources, des compétences génériques et une faible motivation | Couvre le scan opportuniste, les identifiants par défaut et les malwares courants arrivant en salle de contrôle |
| SL3 | Violation intentionnelle par des moyens sophistiqués, ressources modérées, compétences spécifiques IACS et motivation modérée | Couvre un attaquant qui a lu la documentation du protocole et cible votre procédé |
| SL4 | Violation intentionnelle par des moyens sophistiqués, ressources étendues, compétences spécifiques IACS et forte motivation | Couvre une campagne bien financée, persistante et ciblée contre cette catégorie d’équipements |
L’interprétation populaire selon laquelle SL4 signifie « attaquants d’État-nation » vient des commentaires sur les acteurs de menace et non du texte normatif, et c’est un contrôle de réalité utile sur la distance entre une déclaration de conception et un certificat : le vecteur d’exigences de SL3 et SL4 repousse l’authentification et la protection des clés dans le matériel, et exige une authentification multifacteur sur tous les réseaux et non sur les seuls réseaux non fiables.
Pour situer la rareté de ces certificats : la certification SL2 contre 62443-4-2 est encore matière à communiqué de presse en 2026. KUKA a annoncé en juillet 2026 le premier fabricant de robotique titulaire d’un certificat SL2 sous cette norme, et ARC Informatique a annoncé un certificat SL2 pour PcVue 17 en avril 2026. Un rack de protection de machine titulaire d’un certificat SL4 délivré par un tiers serait une première dans la catégorie. Nous n’avons trouvé aucun certificat 62443 publié pour Orbit 60, dans aucun registre, sur la page produit du fabricant ni dans ses fiches techniques, à la date de rédaction.
Ce que aXess sépare réellement
L’affirmation aXess est la partie la plus substantielle du dossier sécurité d’Orbit 60, et c’est une affirmation matérielle plutôt qu’une affirmation de configuration. Extrait de la brochure Orbit 60 :
« Nous appelons cela la technologie Orbit aXess. Elle permet aux fonctions de protection et de surveillance d’état de coexister dans le même rack et d’utiliser les mêmes entrées-sorties, tout en fonctionnant de façon totalement indépendante l’une de l’autre. Les composants de protection peuvent publier leurs données pour le système de surveillance d’état, mais sans aucune piste de circuit imprimé permettant aux données de repartir des composants de surveillance d’état vers les composants de protection. Les données circulent dans un sens, et un seul, sans aucun handshake numérique. C’est comme une diode, en mieux. Et c’est breveté. »
Trois propriétés justifient de la prescrire. La barrière est un tracé de pistes sur circuit imprimé, elle ne peut donc pas être mal configurée comme une règle de pare-feu. Il n’y a pas de handshake numérique, donc pas de pile de protocoles côté protection à l’écoute d’un message de retour. Et comme les deux fonctions partagent les mêmes entrées-sorties, la ségrégation n’exige ni un second jeu de capteurs ni une seconde tirée de câblage, qui est précisément l’endroit où fuient les architectures classiques protection plus surveillance.
Le fabricant est aussi explicite sur le fait qu’il ne s’agit pas d’une diode de données classique, et la raison compte : « Les diodes de données sont très efficaces car elles excluent toute communication entrante et n’autorisent que le sens sortant. Mais cette conception unidirectionnelle a un prix : elle empêche toute modification à chaud du système de surveillance d’état. Ainsi, tout en protégeant le système de protection contre les intrusions, elles empêchent aussi l’accès aux fonctions de surveillance d’état. Notre technologie aXess permet une ségrégation entre le système de protection et les fonctions de surveillance d’état, et non entre les fonctions de surveillance d’état et le monde extérieur. »
Trois frontières, et une seule est la diode
C’est la section à lire avant d’écrire « diode de données intégrée » dans une matrice de conformité. Orbit 60 comporte au moins trois frontières réseau distinctes, et la phrase marketing n’en décrit exactement qu’une.
| Frontière | Module concerné | Sens | Atteignable depuis | Ce qui reste à votre charge |
|---|---|---|---|---|
| Protection vers surveillance d’état, dans le rack | Chemin aXess entre les composants de protection et le CMM | Un sens, sans handshake numérique, imposé par le tracé des pistes | Non adressable depuis le côté surveillance | Rien : c’est une propriété matérielle de la plateforme |
| Surveillance d’état vers réseau tertiaire | CMM, via un port d’accès cyber-sécurisé à deux ports Ethernet RJ-45 configurables indépendamment | Deux sens : System 1 peut configurer ce que le CMM extrait | Le réseau tertiaire L4, selon les mots du fabricant | Segmentation, listes de contrôle d’accès, durcissement des hôtes, identifiants et supervision |
| Commande de procédé vers le rack | Communications Gateway (CGW) | Deux sens par conception : envoie données, états et consignes ; reçoit des commandes telles qu’inhibition, réarmement et déclenchement multiple | Réseau de commande, DCS et historien | Politique de pare-feu ou de DMZ, autorisation du chemin de commande, gestion des modifications |
| Accès ingénierie et configuration | System Interface Module (SIM) et Orbit Studio, avec communications chiffrées en TLS | Deux sens | Réseaux d’ingénierie et de salle de contrôle | Authentification multifacteur, séparation des rôles, provenance des micrologiciels et correctifs |
Une usine qui lit « diode de données intégrée » comme couvrant les deuxième et troisième lignes a confondu une propriété de conception avec une architecture réseau. Le CMM est conçu pour être atteignable depuis le réseau tertiaire : c’est son objet, et c’est pourquoi Orbit 60 peut supprimer la passerelle de surveillance d’état séparée dont un site 3500 câblé a besoin, comme une passerelle de communication 3500/92 placée entre le rack et l’historien. Le CGW est conçu pour accepter des ordres de commande de procédé. Ce sont deux conceptions légitimes ; aucune n’est une diode.
La conséquence pratique est favorable, pourtant. Comme la propriété unidirectionnelle se situe à la frontière une, la fonction de protection conserve son intégrité même quand le côté surveillance d’état est entièrement atteignable et entièrement configurable. Vous pouvez faire tourner le port de surveillance sur un VLAN OT classique sans affaiblir le chemin de déclenchement, ce qui est précisément l’arbitrage que les déploiements classiques de diodes manquent.
Plusieurs CMM, et ce que la fiche technique autorise
Le Condition Monitoring Module est le module qui porte les données aXess jusqu’au réseau tertiaire, et il n’est délibérément pas un dispositif de protection. Extrait de la fiche technique CMM (145M9028 Rev. D) : « Il écoute uniquement, sans capacité d’écriture, ce qui permet l’interface avec System 1 sur les réseaux tertiaires, sans risque pour le système de protection. »
Cette phrase est souvent citée comme si elle signifiait que le CMM est en lecture seule pour tout le monde. Ce n’est pas le cas. « Sans capacité d’écriture » décrit la relation au backplane : le CMM ne peut pas écrire dans le chemin de protection. System 1 peut toujours configurer le CMM lui-même, car « System 1 peut configurer le module CMM pour extraire des mesures supplémentaires et des formes d’onde à partir des données des capteurs du système ». La garantie de lecture seule est directionnelle, pas absolue.
Pour le nombre et le placement, la fiche technique est précise : chaque module occupe un logement, et « placer plusieurs modules CMM permet la connexion de deux clients System 1 indépendants au système Bently Nevada Orbit 60 ». La brochure ajoute la raison d’en installer plusieurs : utiliser plusieurs CMM pour gagner en puissance de calcul. Chaque module fournit aussi deux ports Ethernet configurables indépendamment, et un stockage non volatile tamponne les données historiques quand le lien avec l’hôte est perdu, ce qui empêche un chemin réseau tertiaire instable de devenir un problème d’intégrité des données.
| Module | Rôle | Domaine réseau touché | Statut de sécurité |
|---|---|---|---|
| SIM (System Interface Module) | Un seul SIM définit un système d’au plus 64 canaux dynamiques et constitue le point d’accès pour le configurer et le maintenir | Chemin d’ingénierie et de configuration | Aligné sur IEC 62443-4-2, communications chiffrées en TLS ; un commutateur à clé et un contact côté exploitation sécurisent physiquement la configuration |
| PPM (Protection Processor Module) | Calcul de protection ; recommandé en paires redondantes | Côté protection uniquement | Option SIL 2 ; compatible SIL 3 selon la documentation sécurité du fabricant |
| CMM (Condition Monitoring Module) | Écoute le backplane et dessert System 1 | Réseau tertiaire, via le port d’accès cyber-sécurisé | Explicitement non SIL : sans interaction avec le système de sécurité |
| CGW (Communications Gateway) | Échange données, états et consignes ; reçoit les commandes d’inhibition, de réarmement et de déclenchement multiple | Réseau de commande et historien | Fait partie du chemin de commande, donc à traiter comme un nœud du système de commande |
| BRG (Bridge Module) | Relie les châssis, y compris les installations réparties | Intra-système | Étend la même ségrégation d’un châssis à l’autre |
| ISM (Integrated System Module) | Remplace dans un seul logement les fonctions SIM, PPM et CGW séparées : interface système plus traitement de protection plus communication industrielle | Chemins de configuration, de protection et de communication | Aligné sur IEC 62443-4-2 selon sa fiche technique |
La fiche technique du CMM énonce la position de sécurité sans détour : « Ce composant est sans interaction avec le système de sécurité. La certification SIL 2 du système n’exige pas que ce composant soit certifié SIL. » C’est une asymétrie utile : le chemin de surveillance est celui où se trouve la connectivité, et il est délibérément hors de la fonction de sécurité certifiée. Cette même séparation des responsabilités est ce qui permet à un capteur sans fil comme le Ranger Pro d’alimenter des données de tendance sans jamais toucher un chemin de déclenchement.
Une commande à l’intérieur du boîtier mérite plus d’attention qu’elle n’en reçoit d’habitude. Le SIM porte un commutateur à clé côté public et un contact côté exploitation, et l’un ou l’autre peut servir à sécuriser la configuration du système et à empêcher toute modification non autorisée. En termes 62443, c’est une commande de protection physique sur le chemin de configuration, réalisée dans le matériel, et c’est le genre de dispositif qui survit à une compromission réseau. Si votre procédure consiste à le laisser en permanence en position déverrouillée, cette commande ne vaut rien ; inscrivez son état dans la check-list de relève.
Ce qu’un auditeur peut vérifier, et ce qu’il faut demander au fabricant
Chacune des affirmations des sections précédentes est une déclaration de conception. La liste suivante est ce qui la transforme en preuve, et c’est la différence entre un cahier des charges conforme et une brochure.
| À demander | Pourquoi cela compte | Preuve acceptable |
|---|---|---|
| Déclaration SL-C par module | Les niveaux de sécurité sont des déclarations sur les composants, pas sur une famille de produits | Une déclaration nommant le module, le type de composant et le vecteur d’exigences |
| Identifiant de certificat, organisme émetteur, portée et expiration | Les déclarations de conception et les certificats ne sont pas les mêmes documents | Un certificat vérifiable auprès du laboratoire, pas une phrase de fiche technique |
| Niveau de maturité 62443-4-1 | L’assurance processus explique comment les défauts de micrologiciel sont trouvés avant vous | Une référence d’audit du cycle de développement |
| Guide de durcissement et configuration par défaut | SL-C suppose une configuration correcte ; les réglages par défaut le sont rarement | Un document listant services désactivés, ports ouverts et comptes par défaut |
| Inventaire des ports et services par module | Les deux ports RJ-45 du CMM sont une surface d’attaque physique en salle de contrôle | Des services documentés par port réseau |
| Nomenclature logicielle et fil d’avis de correctifs | Les obligations de maintenance 62443-2-4 courent toute la vie du rack | Un SBOM plus un abonnement aux avis |
| À quels réseaux chaque module est conçu pour se connecter | La conception des zones et conduits en dépend | Un schéma d’architecture distinguant les chemins CMM, CGW et SIM |
Posez la dernière question tôt. La distinction entre le port de surveillance d’état et la passerelle de communication est celle qui se perd le plus souvent entre un bordereau d’offre et un schéma de mise en service, et c’est elle qui détermine si votre réseau de protection est réellement séparé de votre historien.
Ce qui reste à la charge de l’usine
Orbit 60 retire du travail à votre conception ; il ne retire pas la responsabilité. Quatre points restent chez le propriétaire des actifs, même sur une plateforme architecturée pour SL4.
La conception des zones et des conduits. IEC 62443-3-2 attribue les zones selon la criticité des données et la menace, et les conduits selon la façon dont les données circulent entre elles. Un rack est un composant dans une zone, pas un substitut au modèle. Le CGW est un conduit qui transporte des commandes, et il exige le même traitement que toute autre liaison du système de commande.
Les exceptions « dans la mesure du possible ». La réserve du fabricant est en soi un aveu : certains vecteurs d’exigences ne sont pas satisfaits partout. Ces exceptions ne sont pas publiées. Trouvez-les sur votre installation : vérifiez si les ports Ethernet du CMM acceptent un hôte non autorisé, si les services inutilisés sont bien fermés, et si les modifications de configuration côté surveillance laissent une trace d’audit.
L’identité et les accès sur le chemin de surveillance. Parce que System 1 peut reconfigurer le CMM, les identifiants circulant sur le réseau tertiaire décident qui peut modifier l’apparence des données d’une machine. Cela ne déclenche pas une machine, mais cela peut masquer un défaut en cours de développement, qui est le mode de défaillance qui compte dans un programme de protection.
L’accès physique. Un rack de salle de contrôle avec deux ports Ethernet actifs par module de surveillance n’expose pas la même chose que le même rack dans une armoire verrouillée et segmentée. La conception aXess protège le chemin de déclenchement depuis ce port ; elle ne protège ni vos données ni votre historien.
Ce que cela change pour une usine 3500
La plateforme 3500 est antérieure à la norme composants 62443-4-2, sa posture de sécurité dépend donc entièrement de la façon dont vous construisez le réseau autour. C’est une position gérable, pas un défaut, et c’est pourquoi la planification du support à long terme et la conception réseau doivent se traiter ensemble. Notre article sur le refresh des cartes 3500 et le support à long terme couvre le côté matériel, et le comparatif de statut de support couvre le choix de la plateforme de référence.
Sur un rack 3500, les équivalents des frontières d’Orbit 60 sont des matériels que vous placez vous-même : une passerelle de communication 3500/92 en lisière de réseau, un module d’interface de rack 3500/20 qui porte les données du backplane, une interface de données transitoires 3500/22M si vous devez capturer des formes d’onde hors du rack, et un module de relais 3500/32 là où les sorties de déclenchement doivent être câblées en dur. Le rack système 3500/05 et l’alimentation 3500/15 complètent le châssis.
Côté capteurs, les mêmes transducteurs alimentent les deux plateformes, ce qui est l’argument pratique pour ne pas précipiter une migration : une sonde de proximité 3300 XL 8 mm, un accéléromètre 330400 ou un Velomitor 330500 ne deviennent pas un risque de sécurité quand le rack derrière eux change. Pour les actifs plus petits, un 1900/65A ou un moniteur 2300/20 donne une empreinte réseau défendable sans rack complet, et les actifs éoliens ont leur propre voie avec le moniteur d’état 60M100.
Quand le choix de plateforme est vraiment une question d’application, nos guides sur la surveillance de turbine à gaz, la surveillance de turbine à vapeur, la surveillance d’état de compresseur et la protection de machines pétrochimiques exposent ce que la ségrégation de protection rapporte dans chaque cas, et le panorama de la série 3500 documente l’architecture plus ancienne dans les mêmes termes.
Un langage de bon de commande qui résiste à l’examen
Si vous prescrivez Orbit 60 dans une installation dotée d’un programme IEC 62443, trois phrases gardent les affirmations du fabricant et vos obligations aux bonnes places.
« Le fournisseur indique le niveau de capacité de sécurité (SL-C) IEC 62443-4-2 revendiqué pour chaque module de la configuration offerte, avec la classification de type de composant retenue. Une déclaration selon laquelle le produit est conçu ou architecturé selon un niveau de sécurité n’est pas acceptée en lieu et place d’une déclaration SL-C par module. »
« Lorsqu’un certificat 62443-4-2 délivré par un tiers existe pour un module offert, le fournisseur fournit l’identifiant de certificat, l’organisme émetteur, la portée et la date d’expiration. L’absence de certificat est énoncée explicitement plutôt que présumée. »
« La ségrégation entre les fonctions de protection de machine et les fonctions de surveillance d’état dans le rack n’est pas traitée comme un substitut à la conception des zones et conduits de l’acheteur. Tous les chemins bidirectionnels, y compris la passerelle de communication vers le réseau de commande et l’historien, sont documentés comme des conduits et protégés en conséquence. »
Ces trois lignes servent aussi de test de diligence raisonnable pour les plateformes concurrentes, parce que la plupart ne peuvent pas répondre à la première.
FAQ
Orbit 60 est-il certifié au niveau de sécurité 4 de la norme IEC 62443 ?
Aucun certificat publié ne le déclare. Bently Nevada indique qu’Orbit 60 a été conçu, dans la mesure du possible, pour atteindre le niveau de sécurité 4, et en décembre 2021 que le système était en cours de certification selon IEC 62443-4-2 Security Level 2 tout en étant architecturé pour atteindre jusqu’au niveau 4. Les fiches techniques actuelles disent seulement que la plateforme est conçue pour répondre à IEC 62443-4-2, sans aucun numéro de niveau. Traitez SL4 comme une cible de conception et SL2 comme la cible de certification tant qu’aucun identifiant de certificat n’est fourni.
Que protège réellement la diode de données d’Orbit 60 ?
Une seule frontière : le chemin qui ramènerait les données des fonctions de surveillance d’état vers les fonctions de protection dans le même rack. La conception aXess supprime les pistes de circuit imprimé qui laisseraient les données circuler dans ce sens et n’utilise aucun handshake numérique, le chemin de protection n’est donc pas atteignable depuis le côté surveillance. En revanche elle n’isole pas le port de surveillance d’état de votre réseau tertiaire.
aXess remplace-t-il un pare-feu entre Orbit 60 et le réseau de l’usine ?
Non. aXess sépare la protection de la surveillance d’état à l’intérieur du rack. Le Condition Monitoring Module est conçu pour se connecter au réseau tertiaire, et le Communications Gateway échange des données, des états et des consignes avec les systèmes de commande et les historiens tout en recevant des commandes telles qu’inhibition, réarmement et déclenchement multiple. Ces deux chemins exigent toujours votre propre conception des zones et des conduits.
Peut-on installer plus d’un CMM dans un système Orbit 60 ?
Oui. Chaque Condition Monitoring Module occupe un logement, et la fiche technique déclare que placer plusieurs modules CMM permet la connexion de deux clients System 1 indépendants. La brochure ajoute que plusieurs CMM peuvent servir à gagner en puissance de calcul, et chaque module fournit deux ports Ethernet configurables indépendamment.
Le Condition Monitoring Module fait-il partie de la fonction de sécurité ?
Non. Sa fiche technique déclare que le composant est sans interaction avec le système de sécurité et que la certification SIL 2 du système n’exige pas que le CMM soit certifié SIL. Il écoute le backplane et dessert System 1, et il n’a aucune capacité d’écriture dans le chemin de protection.
Quelle est la différence entre SL-C, SL-T et SL-A ?
SL-C est le niveau de capacité qu’un composant revendique selon IEC 62443-4-2 lorsqu’il est correctement configuré. SL-T est le niveau cible que le propriétaire des actifs fixe pour une zone ou un conduit. SL-A est le niveau réellement atteint par un système déployé après évaluation. Un certificat de composant ne dit rien du niveau atteint par votre système, lequel dépend de la configuration et de la conception réseau.
Le niveau de sécurité 4 signifie-t-il une protection contre des attaquants d’État-nation ?
Cette formulation vient des commentaires sur les acteurs de menace, pas de la définition normative. IEC 62443-1-3 définit SL4 comme une protection contre une violation intentionnelle par des moyens sophistiqués, avec des ressources étendues, des compétences spécifiques IACS et une forte motivation. En pratique, cela repousse l’authentification et la protection des clés dans le matériel et attend une authentification multifacteur sur l’ensemble des réseaux.
Nous exploitons un système 3500 : tout cela change-t-il nos obligations ?
Pas directement. La plateforme 3500 est antérieure à la norme composants 62443-4-2, la ségrégation, le filtrage et le contrôle d’accès sont donc mis en œuvre dans votre conception réseau et non dans le rack. Le travail concret consiste à documenter quel nœud traverse du réseau de commande vers le rack, en général une passerelle de communication, puis à durcir ce chemin.
Pour aller plus loin
Orbit 60 fiche technique : traitement 100×, 65 canaux et moitié d’encombrement — ce que revendique la fiche technique 2025 et où elle diffère de la fiche technique système.
Mise à jour Orbit 60 T4 : 80 types de cartes d’entrée ramenés à 10 — la lecture modules et pièces de rechange de la même plateforme, chemins de sortie CGW, CMM et module pont compris.
Dispositifs Cordant : ce que le changement de page d’accueil Bently Nevada signifie pour les acheteurs — qui assure le support de ce matériel et quoi vérifier avant de commander des pièces.
Bently Nevada System 1 fête 20 ans — le logiciel hôte situé de l’autre côté du port CMM.
Le service de santé machine par IA de Bently Nevada — ce que deviennent les données de surveillance d’état une fois hors du rack.
Sources et méthode
Cet article confronte les déclarations de Bently Nevada à la structure de la norme qu’elles citent et énonce les manques plutôt que de les lisser. La documentation du fabricant est citée comme documentation du fabricant.
Bently Nevada, « Orbit 60 Séries Update: Cyber Secure Condition Monitoring! », Q1 2021. Bently Nevada, « Orbit 60: a data secure condition monitoring system », 21 décembre 2021. Bently Nevada, page produit Orbit 60 Séries. Bently Nevada, brochure Orbit 60 Séries (document 1312). Bently Nevada, fiche technique système Orbit 60 Séries 137M5182. Bently Nevada, fiche technique Condition Monitoring Module Orbit 60 Séries 145M9028 Rev. D. Bently Nevada, fiche technique Protection Processor Module Orbit 60 Séries 142M8515. Communiqué Baker Hughes, « BHGE’s Bently Nevada business launches the Orbit 60 Séries », 10 septembre 2019. IEC 62443-1-3, définitions des niveaux de sécurité et distinctions SL-T, SL-C, SL-I et SL-A. KUKA, « First in robotics to achieve Security Level 2 certification in accordance with IEC 62443-4-2 », juillet 2026. ARC Informatique, annonce du certificat PcVue 17 IEC 62443-4-2 SL2, avril 2026.
Note éditoriale : les déclarations de niveau de sécurité, l’état de certification et la portée des modules doivent être confirmées contre la révision courante de la fiche technique et la documentation de certificat du fabricant avant d’être inscrites dans une matrice de conformité ou un bon de commande. Nous n’avons trouvé aucun certificat tiers 62443 publié pour Orbit 60 au 3 novembre 2026 ; si un certificat a été émis depuis, la cible de certification et sa portée différeront de ce qui est décrit ici.
