密码丢失 丢失了驱动数据加密密码时，操作会受到以下限制： • 驱动数据加密密码无法更改。 •驱动数据加密无法禁用。 • Startdrive 和网络服务器中的“备份和恢复”功能： – 使用场景1：在同一变频器中、从加密的备份文件恢复驱动数据。 如果修改了用于加密备份文件中驱动数据的密码，在恢复数据时会弹出查询框，要求输入该密码。如果不知道密码，便无法恢复驱动数据。 – 使用场景 2：从加密的备份文件将一台变频器的驱动数据传送到另一台变频器中。如果不知道密码，便无法恢复驱动数据。 关于“备份和恢复”功能的更多信息，参见使用的变频器的相关信息。 • 无法从存储卡恢复驱动数据。无法配置 UMAC 数据。 所有用户自定义设置必须通过完全复位设备设置来恢复出厂设置。 更多信息可查看章节“删除变频器上的客户数据(页 87)”。 建议： • 将驱动数据加密密码保存在安全的地方，例如：密码管理器。确保必要时可以方便地获取密码。软件和信息完整性 说明 数字证书确保了硬件和固件组件的完整性和真实性。该证书关联了 Motion Control 产品的根证书颁发机构（Root CA）。具有设备厂商证书的变频器 变频器出厂时有一份设备厂商提供的证书（ManufacturerDevice Certificate，简称 MDC）。 MDC 在生产过程中生成，保存在变频器中。MDC证书同时也是变频器的电子铭牌，表明了 变频器的身份。 变频器中的设备厂商证书通过证书链关联到 Motion Control产品的根证书颁发机构 （Root CA）。已签名的固件 变频器中的固件具有签名。固件签名的证书通过证书链关联到 MotionControl 产品的根证书 颁发机构（Root CA）。 固件的真实性检查在固件更新时会检查固件的真实性。这样可以确保，需要安装的固件是西门子原装运动控制 产品。 应用示例在固件更新期间，将使用代码签名证书检查新固件的数字签名。如果通过检查，新固件将传输到控制单元的内部存储器。如果没有通过检查，工程配置工具 中将显示一条故障消息。 恢复过程在恢复过程中，固件不支持完整性和真实性检查。 引导过程 在引导过程中，固件不支持完整性和真实性检查。 防范恶意代码 变频器的开发符合IEC 62443-4-1（安全产品开发的生命周期要求）的要求。无论是硬件产品还是软件产品，都是如此。在安装前检查可执行代码的完整性和真实性，可增强对恶意代 码的防范。 固件更新 简介通过固件更新，可使用功能范围得以拓展和/或修复了漏洞的固件版本。
功能说明一般可通过以下方式执行固件更新： • 通过存储卡进行固件更新 • 通过网络服务器进行固件更新 • 通过 Startdrive进行固件升级 固件更新对变频器内的设置产生如下影响： • 固件升级： – 升级后，变频器设置通常保持不变。 • 固件降级： –固件降级到更低版本或更低的热补丁版本后，变频器恢复出厂设置。UMAC 设置以及 驱动数据加密设置同样恢复出厂设置。“EmbeddedIssuing CA”证书在此期间保留。 说明 Startdrive zhonggong能可用性 Startdrive中不支持该功能。 更多信息 关于通过 Startdrive或网络服务器进行固件更新的更多信息，参见使用的变频器的相关信息。安全功能的检查 说明产品不提供任何自动验证机制，用于在验收测试或维护期间验证安全功能是否正常运行。但是，系统集成商可以手动验证以下网络安全功能是否正常运行： • 身份验证机制让一名授权用户尝试使用无效的登录数据（用户名和密码）进行访问，验证身份验证机 制能否工作。 • 使用检查让具有用户管理（UMAC）中配置的用户角色和适当权限的用户使用某些功能并执行操 作。可以手动验证功能和操作的范围。 • 开放端口通讯接口的状态显示在“保护 & 安全”页面上。 安全功能系统完整性工业网络安全系统集成商可以在手册中规定操作步骤，以便在验收测试过程中执行这些步骤。 输入验证 说明组件会验证输入数据以及外部接口输入的、会立即影响组件操作的输入的语法、长度和内容。 输入验证取决于数值的输入方式。识别和处理错误条件说明 下面列出的应用程序和组件中显示的故障消息不提供允许攻击者识别错误条件并使用它们发 起攻击的信息。 •工程配置工具“Startdrive” • 工程配置工具“网络服务器” • SINAMICS SDI Standard 面板备份和恢复简介 使用“备份和恢复”功能可将变频器中配置的设置备份为一份文件，并在需要时恢复这些设 置。功能说明工程配置工具（Startdrive 或网络服务器）中提供以下功能： • 备份变频器数据：通过该功能可将所有变频器数据备份为一份备份文件。 不备份以下数据： – 证书如果激活了驱动数据加密功能并且设置了驱动数据加密密码，备份文件中的 UMAC 设置 以及登录数据便受到保护。 • 恢复变频器数据：通过该功能可将一台源变频器上备份的变频器数据载入同一变频器中，或在换入了新变 频器或执行批量调试时，载入其他变频器中。如果在载入备份文件时，后者无法解密其中的加密数据，会弹出询问，要求输入源变频 器的数据加密密码。更多信息可查看章节“加密驱动数据(页 78)”。 • 将变频器设置载入 Startdrive（上传） – 除了 UMAC设置之外的所有设置。更多信息可查看章节“安全设置 (页 45)”。 • 将设置从 Startdrive 载入变频器（下载）• 恢复出厂设置： 通过该功能可恢复变频器的出厂设置，但以下设置除外： – 通讯接口的设置 – 含 UMAC 设置在内的安全设置 –日期和时间 完全复位所有设备设置可以复位所有变频器设置，含以下数据： – 通讯接口的设置 – 含 UMAC 设置在内的安全设置关于完全复位所有设备设置的更多信息，可查看章节“删除变频器上的客户数据 (页 87)”。 • 恢复 SafetyIntegrated 出厂设置： 通过该功能仅恢复 Safety Integrated 应用的出厂设置。所有其他设置保持不变。建议 •备份变频器数据： – 调试后 – 更改变频器数据后 – 在恢复变频器出厂设置之前或在完全复位所有设备设置之前 – 固件升级或降级之前在需要时恢复变频器中配置的设置。 • 带插入的存储卡运行： 如果变频器带插入的存储卡运行，变频器数据还会额外地掉电保存在存储卡上。不保存以下数据： – 证书 – 驱动数据加密密码 jinxian激活了驱动数据加密功能并且设置了驱动数据加密密码时。使用存储卡可以将备份的设置传输到其他变频器上。 • 安全保存备份文件：可以将备份文件保存在操作单元上某个受保护的位置或保存在相应受保护的网络驱动器上。 定期检查是否还可以使用这些备份文件。 更多信息关于在 Startdrive 或网络服务器中“备份和恢复”功能的更多信息，参见使用的变频器的产品文档。记录和监控监控来自非受信区域的访问 说明 监控来自不受信任区域的例如用于服务、维护或监控目的远程访问，不属于产品范围。时间同步/ 事件记录 说明 变频器时间需要同步，以便记录事件时使用正确的时间戳。 同步时间用于以下事件的时间戳： • 故障消息和报警 •诊断缓冲区 时间同步方式有以下几种： 使用 NTP 服务器进行时间同步 变频器可通过 PROFINET 接口 X150 连接一台NTP 服务器。它可以是 PLC 内部的 NTP 服务器， 也可以是一个外部的 NTP 服务器。此时，NTP服务器会为所有驱动组件提供时间和日期。 如果有另一台设备含 NTP 服务器，时间同步也可以进行，不管是否有控制器。 手动设置日期和时间日期和时间均手动设置。 使用实时时钟在掉电时继续计时 某些变频器内部有一个实时时钟（Real-TimeClock，RTC）。当变频器断电长达几天时，实 时时钟会继续计时。 没有实时时钟的变频器在电源恢复后会使用上次掉电时的时间。更多信息 有关在工程配置工具（Startdrive 或网络服务器）中使用 NTP 进行时间同步的更多信息，请查看对应的产品手册。有关安全运行和安全处置的建议 9 符合网络安全要求地运行和废弃处理产品属于用户的责任。系统集成商向用户提供相关手册。 针对如何符合网络安全要求地运行和废弃处理产品，本章提供了一些建议。系统集成商可以 将这些建议加入到自己的手册中，保证系统的安全运行。安全运行 满足网络安全要求 为了确保产品在预定的运行环境中安全运行，应满足“针对专门设置的运行环境的安全设定 前提(页 26)”一章中的规定。 此外，应实施合适的网络安全管理流程（查看章节“信息安全管理(页 23)”）。在该流程的 基础上，还应适当配置和利用变频器和 Startdrive 中提供的网络安全功能，并结合具体环境中实际所需的措施来确保变频器和 Startdrive 的网络安全运行。删除变频器上的客户数据 完全恢复设备的出厂设置 注意数据没有安全删除可导致数据滥用 存储介质或变频器内部存储器的数据如果没有彻底删除或者没有安全删除，可能会导致数 据被第三方滥用。 •因此，在废弃产品前，必须事先安全地删除所有使用的存储设备上的数据。下文列出的、变频器内的存储介质可能含有用户数据，必须根据保护需求在废弃处置时安全删除或物理销毁： • eMMC • NVRAM • Secure Element完全复位所有设备设置可以删除变频器内的所有自定义设置。关于该选项的更多信息，可查 看使用的变频器的产品手册。如果不能通过存储卡删除数据，则必须物理销毁印刷电路板上的相应元件。安全处置存储卡 说明变频器也可以带存储卡运行。该存储卡上的数据可通过 PC 上的相应工具安全删除。 说明 物理销毁存储卡存储卡是具有缺陷管理的闪存，条件允许时尽量物理销毁存储卡。 更多信息 有关安全删除数据的更多信息，请参见以下来源。