Orbit 60 e IEC 62443: SL4 é meta de arquitetura, SL2 é meta de certificação

A Bently Nevada publica duas declarações IEC/ISA-62443 diferentes sobre o Orbit 60, e elas não são intercambiáveis. O artigo Orbit do Q1 2021 diz que, onde possível, o Orbit 60 foi projetado para atender ao Security Level 4, o nível mais alto da norma. O artigo sobre segurança de dados de dezembro de 2021 diz que o sistema “está sendo certificado para IEC 62443-4-2 Security Level (SL) 2 e é arquitetado para atingir até o Security Level (SL) 4”. Os datasheets atuais não trazem nenhum número de nível de segurança: dizem apenas “projetado para atender à IEC 62443-4-2”. SL4 é, portanto, uma meta de arquitetura; SL2 é a meta de certificação; e nenhuma das duas afirmações é um certificado em mãos.

Por TenBN Editorial Team · Atualizado em 3 de novembro de 2026 · Leitura de 14 minutos

Resposta rápida

A história de cibersegurança do Orbit 60 é real, mas o número em destaque não é uma alegação de conformidade que se possa colar numa análise de gaps 62443. Três pontos decidem o que a plataforma realmente lhe dá.

Primeiro, o nível de segurança que importa para um componente é o SL-C: a capacidade que o componente pode oferecer quando configurado corretamente. O SL-C é testado e, opcionalmente, certificado; “arquitetado para atingir” é uma declaração de projeto sobre folga, não um resultado de teste. Segundo, o caminho aXess patenteado segrega uma fronteira específica: as funções de proteção das funções de monitoramento de condição dentro do mesmo rack. Ele não segrega a porta de monitoramento de condição da sua rede corporativa, e o Communications Gateway é bidirecional por projeto. Terceiro, a pergunta útil para quem especifica não é “é SL4?”, mas “qual SL-C cada módulo alega, qual é o escopo do certificado e a qual rede cada módulo pode tocar?”.

Se você está padronizando no Orbit 60, peça a alegação de SL-C por módulo e o identificador do certificado. Se opera um sistema de proteção de máquina 3500, nada disso muda suas obrigações: na plataforma mais antiga, o trabalho de segregação recai inteiramente sobre o seu desenho de rede, que é o tema da nossa comparação entre status de suporte do 3500 e Orbit 60.

As três declarações do fornecedor, e a que cada uma se compromete

O próprio material da Bently Nevada contém três alegações distintas sobre o Orbit 60 e a IEC/ISA-62443. Elas foram escritas para públicos diferentes e têm pesos diferentes numa auditoria.

Lidas em sequência, as três declarações se afunilam em vez de se contradizer. A newsletter de 2021 é a mais expansiva, o blog de dezembro de 2021 é a mais precisa, e os datasheets são os documentos aos quais o comprador será de fato cobrado. Quando o marketing e o datasheet diferem, o datasheet é o que acaba na lista de materiais.

SL-T, SL-C, SL-I, SL-A: o vocabulário que decide se uma alegação é testável

A maior parte da confusão sobre Orbit 60 e 62443 é falha de vocabulário, não de engenharia. A IEC 62443 usa a expressão “nível de segurança” para cinco coisas diferentes, e só uma delas se aplica a um dispositivo que você compra.

“Arquitetado para atingir até SL4” é uma declaração sobre folga de SL-C. Diz que o projeto poderia, em princípio, atender ao vetor de requisitos SL4. Não diz que o vetor de requisitos foi testado, que um laboratório concordou ou que o certificado existe. As duas metades da parte de componentes da norma importam aqui: a 62443-4-1 governa como o produto foi desenvolvido, a 62443-4-2 governa o que o produto faz tecnicamente, e as duas são certificadas separadamente.

A norma também divide os componentes em quatro tipos: dispositivos embarcados, dispositivos host, dispositivos de rede e aplicações de software. Cada tipo tem seu próprio conjunto de requisitos, então uma alegação de SL-C sem tipo de componente não é comparável entre fornecedores. O Orbit 60 abrange pelo menos dois deles: o hardware de proteção e monitoramento é um dispositivo embarcado, e o Orbit Studio mais a interface System 1 são software.

Contra o que os quatro níveis de segurança realmente defendem

A IEC 62443-1-3 define os níveis pelo adversário que pressupõem, não por contagem de funcionalidades. É a forma honesta de julgar se “o nível mais alto” significa alguma coisa para um monitor de vibração numa sala de controle.

A interpretação popular de que SL4 significa “atacantes de Estado-nação” vem de comentários sobre atores de ameaça, não do texto normativo, e é um bom contraprova da distância entre uma declaração de projeto e um certificado: o vetor de requisitos em SL3 e SL4 empurra autenticação e proteção de chaves para o hardware e exige autenticação multifator em todas as redes, não apenas nas não confiáveis.

Para dar contexto sobre a raridade desses certificados, a certificação SL2 contra a 62443-4-2 ainda é material de assessoria de imprensa em 2026: a KUKA anunciou em julho de 2026 o primeiro fabricante de robótica a deter um certificado SL2 nessa norma, e a ARC Informatique anunciou em abril de 2026 um certificado SL2 para o PcVue 17. Um rack de proteção de máquina com certificado SL4 de terceiros seria uma primeira vez na categoria. Não encontramos, até a data de redação, nenhum certificado 62443 publicado para o Orbit 60 em qualquer registro, na página de produto do fornecedor ou em seus datasheets.

O que o aXess realmente segrega

A alegação do aXess é a parte mais substantiva da história de segurança do Orbit 60, e é uma alegação de hardware, não de configuração. Do brochure do Orbit 60:

“Chamamos isso de tecnologia Orbit aXess. Ela permite que as funções de proteção e de monitoramento de condição coexistam no mesmo rack e usem o mesmo I/O, funcionando de forma completamente independente uma da outra. Os componentes de proteção conseguem publicar seus dados para consumo pelo sistema de monitoramento de condição, mas sem quaisquer trilhas de circuito impresso que permitam que os dados voltem dos componentes de monitoramento de condição para os componentes de proteção. Os dados seguem em uma direção, e em uma única direção, sem nenhum handshake digital. É como um diodo — só que melhor. E é patenteado.”

Três propriedades tornam isso digno de especificação. A barreira é o layout de trilhas de uma placa de circuito impresso, portanto não pode ser mal configurada como uma regra de firewall. Não há handshake digital, logo não há pilha de protocolo no lado da proteção escutando uma mensagem de retorno. E como as duas funções compartilham o mesmo I/O, a segregação não exige um segundo conjunto de sensores nem uma segunda fiação, que é por onde vazam as arquiteturas convencionais de proteção mais monitoramento.

O fornecedor também é explícito ao dizer que isto não é um diodo de dados convencional, e o motivo importa: “Diodos de dados são altamente eficazes porque excluem qualquer comunicação de entrada, permitindo apenas a de saída. Esse projeto unidirecional tem um preço, porém: mudanças no sistema de monitoramento de condição em operação não podem ser feitas. Assim, ao proteger o sistema de proteção contra intrusão, eles também impedem o acesso às funções de monitoramento de condição. Nossa tecnologia aXess permite a segregação entre o sistema de proteção e as funções de monitoramento de condição — não entre as funções de monitoramento de condição e o mundo externo.”

Três fronteiras, e apenas uma delas é o diodo

Esta é a seção a ler antes de escrever “diodo de dados embutido” numa matriz de conformidade. O Orbit 60 tem pelo menos três fronteiras de rede distintas, e a frase de marketing descreve exatamente uma delas.

Uma planta que lê “diodo de dados embutido” como cobertura da segunda e da terceira linhas confundiu uma propriedade de projeto com uma arquitetura de rede. O CMM foi projetado para ser alcançável a partir da rede corporativa: esse é o objetivo dele, e é por isso que o Orbit 60 pode dispensar o gateway de monitoramento de condição separado de que uma planta 3500 cabeada precisa, como um gateway de comunicação 3500/92 entre o rack e o historian. O CGW foi projetado para aceitar comandos de controle. Ambos são projetos legítimos; nenhum é um diodo.

A consequência prática é favorável, porém. Como a propriedade de mão única está na fronteira um, a função de proteção mantém sua integridade mesmo quando o lado do monitoramento de condição está totalmente alcançável e totalmente configurável. Você pode rodar a porta de monitoramento numa VLAN OT normal sem enfraquecer o caminho de desligamento (trip), que é o trade-off que as implantações convencionais de diodo erram.

Múltiplos CMMs, e o que o datasheet suporta

O Condition Monitoring Module é o módulo que leva os dados do aXess para a rede corporativa, e ele deliberadamente não é um dispositivo de proteção. Do datasheet do CMM (145M9028 Rev. D): “Ele apenas escuta, sem capacidade de escrita, permitindo interface com o System 1 pelas redes corporativas, sem risco para o sistema de proteção.”

Essa frase é frequentemente citada como se significasse que o CMM é somente leitura para todos. Não significa. “Sem capacidade de escrita” descreve a relação com o backplane: o CMM não pode escrever no caminho de proteção. O System 1 continua podendo configurar o próprio CMM, porque “o System 1 pode configurar o módulo CMM para extrair medições e formas de onda adicionais dos dados dos sensores do sistema”. A garantia de somente leitura é direcional, não absoluta.

Em quantidade e posicionamento, o datasheet é específico: cada módulo ocupa um slot, e “a instalação de múltiplos módulos CMM permite a conexão de dois clientes System 1 independentes ao Sistema Orbit 60 da Bently Nevada”. O brochure acrescenta o motivo para instalar mais de um: use múltiplos CMMs para poder de processamento adicional. Cada módulo também fornece duas portas Ethernet configuráveis independentemente, e a memória não volátil mantém dados históricos em buffer quando o link com o host cai, o que impede que um caminho instável da rede corporativa vire problema de integridade de dados.

O datasheet do próprio CMM declara a posição de segurança com clareza: “Este componente não interfere no sistema de segurança. A certificação SIL 2 do sistema não exige que este componente seja certificado SIL.” É uma assimetria útil: o caminho de monitoramento é onde mora a conectividade, e ele está deliberadamente fora da função de segurança certificada. A mesma separação de responsabilidades é o que permite que um sensor sem fio como o Ranger Pro envie dados de tendência sem tocar de forma alguma no caminho de desligamento.

Um controle dentro da caixa merece mais atenção do que costuma receber. O SIM traz uma chave com fechadura no lado público e um contato no lado da utility, e qualquer um dos dois pode travar a configuração do sistema e impedir alterações não autorizadas. Em termos de 62443, isso é um controle de proteção física no caminho de configuração, implementado em hardware, e é o tipo de coisa que sobrevive a um comprometimento de rede. Se o seu procedimento é deixá-la permanentemente na posição destravada, o controle não vale nada; coloque o estado dela no checklist de passagem de turno.

O que um auditor pode verificar, e o que pedir ao fornecedor

Toda alegação das seções anteriores é uma declaração de projeto. A lista a seguir é o que a converte em evidência, e é a diferença entre uma especificação conforme e um panfleto.

Faça a última pergunta cedo. A distinção entre a porta de monitoramento de condição e o gateway de controle é a que mais se perde entre uma proposta comercial e um desenho de comissionamento, e é ela que determina se a sua rede de proteção está genuinamente separada do seu historian.

O que ainda é responsabilidade da planta

O Orbit 60 tira trabalho do seu projeto; não tira responsabilidade. Quatro itens permanecem com o proprietário do ativo mesmo numa plataforma arquitetada para SL4.

Desenho de zona e conduit. A IEC 62443-3-2 atribui zonas por criticidade de dados e ameaça, e conduits pela forma como os dados cruzam entre elas. Um rack é um componente dentro de uma zona, não um substituto do modelo. O CGW é um conduit que carrega comandos de controle, e precisa do mesmo tratamento de qualquer outro elo do sistema de controle.

As exceções do “onde possível”. A ressalva do próprio fornecedor é a admissão de que alguns vetores de requisitos não são atendidos em todos os lugares. Essas exceções não são publicadas. Encontre-as na sua instalação: teste se as portas Ethernet do CMM aceitam um host não autorizado, se os serviços não usados estão fechados e se mudanças de configuração no lado do monitoramento geram registro de auditoria.

Identidade e acesso no caminho de monitoramento. Como o System 1 pode reconfigurar o CMM, as credenciais na rede corporativa decidem quem pode mudar o aspecto dos dados de uma máquina. Isso não desliga uma máquina, mas pode esconder uma falha em desenvolvimento, que é o modo de falha que importa num programa de proteção.

Acesso físico. Um rack em sala de controle com duas portas Ethernet ativas por módulo de monitoramento é uma exposição diferente do mesmo rack dentro de um invólucro trancado e segmentado. O projeto aXess protege o caminho de desligamento daquela porta; não protege os seus dados nem o seu historian dela.

Onde isso deixa uma planta 3500

A plataforma 3500 é anterior à norma de componentes 62443-4-2, então sua postura de segurança depende inteiramente de como você monta a rede ao seu redor. É uma posição administrável, não um defeito, e é por isso que o planejamento de suporte de longo prazo e o desenho de rede têm de ser feitos juntos. Nosso artigo sobre o refresh de PCBA do 3500 e suporte de longo prazo cobre o lado de hardware, e a comparação de status de suporte cobre em qual plataforma padronizar.

Num rack 3500, os equivalentes das fronteiras do Orbit 60 são dispositivos que você mesmo posiciona: um gateway de comunicação 3500/92 na borda da rede, um módulo de interface de rack 3500/20 carregando os dados do backplane, uma interface de dados transitórios 3500/22M se você precisar capturar forma de onda fora do rack, e um módulo de relés 3500/32 onde as saídas de desligamento precisam de cabeamento dedicado. O rack de sistema 3500/05 e a fonte de alimentação 3500/15 completam o chassi.

Do lado dos sensores, os mesmos transdutores alimentam as duas plataformas, que é o argumento prático para não apressar uma migração: uma sonda de proximidade 3300 XL 8 mm, um acelerômetro 330400 ou um Velomitor 330500 não viram passivo de segurança quando o rack atrás deles muda. Para ativos menores, um monitor 1900/65A ou 2300/20 dá a você uma pegada de rede defensável sem um rack completo, e ativos eólicos têm seu próprio caminho no monitor de condição 60M100.

Quando a escolha de plataforma é de fato uma pergunta de aplicação, nossos guias de monitoramento de turbina a gás, monitoramento de turbina a vapor, monitoramento de condição de compressor e proteção de máquina petroquímica explicitam o que a segregação de proteção agrega em cada caso, e a visão geral da série 3500 documenta a arquitetura mais antiga nos mesmos termos.

Linguagem de ordem de compra que resiste ao escrutínio

Se você está especificando o Orbit 60 numa instalação com programa IEC 62443, três frases mantêm as alegações do fornecedor e as suas obrigações nos lugares certos.

“O fornecedor declarará o nível de capacidade de segurança (SL-C) IEC 62443-4-2 alegado para cada módulo na configuração oferecida, junto com a classificação de tipo de componente usada. Uma declaração de que o produto foi projetado ou arquitetado para um nível de segurança não será aceita em lugar de uma alegação de SL-C por módulo.”

“Quando existir certificado 62443-4-2 de terceiros para qualquer módulo oferecido, o fornecedor fornecerá o identificador do certificado, o órgão emissor, o escopo e a data de validade. A ausência de certificado será declarada explicitamente, não inferida.”

“A segregação entre as funções de proteção de máquina e de monitoramento de condição dentro do rack não será tratada como substituta do desenho de zona e conduit do comprador. Todos os caminhos bidirecionais, incluindo o gateway de comunicação com a rede de controle e o historian, serão documentados como conduits e protegidos conforme isso.”

Essas três linhas também funcionam como teste de due diligence para plataformas concorrentes, porque a maioria não consegue responder à primeira.

Perguntas frequentes

O Orbit 60 é certificado para o Security Level 4 da IEC 62443?

Nenhum certificado publicado diz isso. A Bently Nevada declara que o Orbit 60 foi projetado, onde possível, para atender ao Security Level 4 e, em dezembro de 2021, que o sistema estava sendo certificado para o IEC 62443-4-2 Security Level 2 ao mesmo tempo em que era arquitetado para atingir até o Nível 4. Os datasheets atuais dizem apenas que a plataforma foi projetada para atender à IEC 62443-4-2, sem número de nível. Trate SL4 como meta de projeto e SL2 como meta de certificação até que um identificador de certificado seja fornecido.

O que o diodo de dados do Orbit 60 realmente protege?

Uma fronteira: o caminho das funções de monitoramento de condição de volta para as funções de proteção dentro do mesmo rack. O projeto aXess omite as trilhas de circuito impresso que permitiriam que os dados seguissem por esse caminho e não usa handshake digital, por isso o caminho de proteção não é alcançável pelo lado do monitoramento. Ele não isola a porta de monitoramento de condição da sua rede corporativa.

O aXess substitui um firewall entre o Orbit 60 e a rede da planta?

Não. O aXess segrega a proteção do monitoramento de condição dentro do rack. O Condition Monitoring Module é projetado para se conectar à rede corporativa, e o Communications Gateway troca dados, status e setpoints com sistemas de controle e historians, recebendo comandos como inibição, reset e trip multiply. Esses dois caminhos ainda dependem do seu desenho de zona e conduit.

É possível instalar mais de um CMM em um sistema Orbit 60?

Sim. Cada Condition Monitoring Module ocupa um slot, e o datasheet afirma que a instalação de múltiplos módulos CMM permite conectar dois clientes System 1 independentes. O brochure acrescenta que múltiplos CMMs podem ser usados para poder de processamento adicional, e cada módulo fornece duas portas Ethernet configuráveis independentemente.

O Condition Monitoring Module faz parte da função de segurança?

Não. O datasheet declara que o componente não interfere no sistema de segurança e que a certificação SIL 2 do sistema não exige que o CMM seja certificado SIL. Ele escuta o backplane e atende o System 1, sem capacidade de escrever no caminho de proteção.

Qual é a diferença entre SL-C, SL-T e SL-A?

SL-C é o nível de capacidade que um componente alega conforme a IEC 62443-4-2 quando está configurado corretamente. SL-T é o nível-meta que o proprietário do ativo define para uma zona ou conduit. SL-A é o nível realmente atingido por um sistema implantado após avaliação. Um certificado de componente nada diz sobre o nível atingido pelo seu sistema, que depende da configuração e do desenho de rede.

Security Level 4 significa proteção contra atacantes de Estado-nação?

Essa formulação vem de comentários sobre atores de ameaça, não da definição normativa. A IEC 62443-1-3 define SL4 como proteção contra violação intencional por meios sofisticados, com recursos ampliados, habilidades específicas de IACS e alta motivação. Na prática, ela empurra a autenticação e a proteção de chaves para o hardware e espera autenticação multifator em todas as redes.

Operamos um sistema 3500. Isso muda nossas obrigações?

Não diretamente. A plataforma 3500 é anterior à norma de componentes 62443-4-2, então segregação, filtragem e controle de acesso são implementados no seu desenho de rede, e não dentro do rack. O trabalho prático é documentar qual nó cruza da rede de controle para o rack, normalmente um gateway de comunicação, e fazer o hardening desse caminho.

Conteúdo relacionado

Ficha de produto Orbit 60: processamento 100×, 65 canais e metade da ocupação — o que a ficha de 2025 alega e onde ela discorda do datasheet do sistema.

Atualização do Orbit 60 no Q4: 80 tipos de cartão de entrada reduzidos para 10 — a leitura de módulos e peças de reposição da mesma plataforma, incluindo o caminho de saída do CGW, do CMM e do bridge.

Dispositivos Cordant: o que a mudança na página da Bently Nevada significa para compradores — quem dá suporte a este hardware e o que verificar antes de pedir peças de reposição.

Bently Nevada System 1 aos 20 anos — o software host na outra ponta da porta do CMM.

O serviço de IA de saúde de máquina da Bently Nevada — o que acontece com os dados de monitoramento de condição depois de sair do rack.

Fontes e método

Este artigo lê as declarações da própria Bently Nevada contra a estrutura da norma que elas citam, e aponta as lacunas em vez de suavizá-las. O material do fornecedor é citado como material do fornecedor.

Bently Nevada, “Orbit 60 Série Update: Cyber Secure Condition Monitoring!”, Q1 2021. Bently Nevada, “Orbit 60: a data secure condition monitoring system”, 21 de dezembro de 2021. Bently Nevada, página de produto da série Orbit 60. Bently Nevada, brochure da série Orbit 60 (documento 1312). Bently Nevada, Folha de Dados do Sistema da série Orbit 60 137M5182. Bently Nevada, Folha de Dados do Condition Monitoring Module da série Orbit 60 145M9028 Rev. D. Bently Nevada, Folha de Dados do Protection Processor Module da série Orbit 60 142M8515. Release da Baker Hughes, “BHGE’s Bently Nevada business launches the Orbit 60 Série”, 10 de setembro de 2019. Definições de níveis de segurança da IEC 62443-1-3 e as distinções SL-T, SL-C, SL-I e SL-A. KUKA, “First in robotics to achieve Security Level 2 certification in accordance with IEC 62443-4-2”, julho de 2026. ARC Informatique, anúncio do certificado SL2 IEC 62443-4-2 do PcVue 17, abril de 2026.

Nota editorial: alegações de nível de segurança, status de certificação e escopo de módulo devem ser confirmados contra a revisão atual do datasheet e a documentação de certificados do fornecedor antes de serem escritos numa matriz de conformidade ou numa ordem de compra. Não encontramos certificado 62443 publicado de terceiros para o Orbit 60 até 3 de novembro de 2026; se algum tiver sido emitido desde então, a meta de certificação e o escopo diferirão do que está descrito aqui.