Bently Nevada publica dos declaraciones IEC/ISA-62443 distintas sobre Orbit 60 y no son intercambiables. El artículo Orbit de Q1 2021 afirma que, donde fue posible, Orbit 60 se diseñó para cumplir el nivel de seguridad 4, el más alto de la norma. El artículo de seguridad de datos de diciembre de 2021 dice que el sistema «se está certificando conforme a IEC 62443-4-2 Security Level (SL) 2 y está arquitecturado para alcanzar hasta Security Level (SL) 4». Las fichas técnicas actuales no incluyen ningún número de nivel de seguridad: solo dicen «Diseñado para cumplir IEC 62443-4-2». SL4 es, por tanto, un objetivo de arquitectura; SL2 es el objetivo de certificación, y ninguna de las dos frases es un certificado en la mano.
Por el equipo editorial de TenBN · Actualizado el 3 de noviembre de 2026 · 14 minutos de lectura
Respuesta rápida
El relato de ciberseguridad de Orbit 60 es real, pero el número titular no es una afirmación de cumplimiento que se pueda pegar a un análisis de brechas 62443. Tres puntos deciden qué le aporta de verdad la plataforma.
Primero: el nivel de seguridad que importa en un componente es SL-C, la capacidad que el componente puede ofrecer cuando está configurado correctamente. SL-C se ensaya y, de forma opcional, se certifica; «arquitecturada para alcanzar» es una declaración de diseño sobre margen, no un resultado de ensayo. Segundo: la ruta aXess patentada segrega una frontera concreta: las funciones de protección frente a las de monitorización de condición dentro del mismo rack. No segrega el puerto de monitorización de condición de su red corporativa, y la Communications Gateway es bidireccional por diseño. Tercero: la pregunta útil para quien especifica no es «¿es SL4?», sino «qué SL-C declara cada módulo, cuál es el alcance del certificado y a qué red puede tocar cada módulo?»
Si estandariza con Orbit 60, pida la declaración SL-C por módulo y el identificador del certificado. Si opera un sistema de protección de máquina 3500, nada de esto cambia sus obligaciones: en la plataforma anterior todo el trabajo de segregación recae en su diseño de red, que es el asunto de nuestra comparación entre el estado de soporte de 3500 y Orbit 60.
Las tres declaraciones del fabricante y qué compromete cada una
El material de la propia Bently Nevada contiene tres afirmaciones distintas sobre Orbit 60 e IEC/ISA-62443. Se escribieron para públicos diferentes y tienen un peso distinto en una auditoría.
| Declaración | Fuente | Qué compromete | Qué no dice |
|---|---|---|---|
| «Donde fue posible, hemos diseñado Orbit 60 para cumplir el nivel de seguridad 4 (el más alto) de la norma IEC/ISA-62443» | Actualización de la serie Orbit 60: ¡monitorización de condición ciberprotegida!, Q1 2021 | Intención de diseño, con una reserva explícita: «donde fue posible» | Qué módulos, qué vector de requisitos y contra qué nivel ensayado |
| «Orbit 60 se está certificando conforme a IEC 62443-4-2 Security Level (SL) 2 y está arquitecturado para alcanzar hasta Security Level (SL) 4» | Orbit 60: un sistema de monitorización de condición seguro para los datos, 21 de diciembre de 2021 | Un objetivo de certificación nominado (SL2) más un techo de arquitectura aparte (SL4) | Que la certificación se completó; «se está certificando» es una declaración de proceso |
| «Diseñado para cumplir IEC 62443-4-2» / «Alineado con la norma IEC 62443-4-2» | Ficha técnica del sistema 137M5182, ficha técnica del CMM 145M9028 Rev. D, ficha técnica del PPM 142M8515 | Alineación con el estándar de requisitos técnicos de componente | En las fichas técnicas no aparece ningún número de nivel de seguridad |
Leídas en secuencia, las tres declaraciones se acotan en lugar de contradecirse. El boletín de 2021 es el más amplio, el blog de diciembre de 2021 el más preciso, y las fichas técnicas son los documentos ante los que realmente se pedirá cuentas al comprador. Cuando el marketing y la ficha técnica difieren, la ficha técnica es la que acaba en la lista de materiales.
SL-T, SL-C, SL-I, SL-A: el vocabulario que decide si una afirmación es verificable
La mayor parte de la confusión sobre Orbit 60 y 62443 es un fallo de vocabulario, no de ingeniería. IEC 62443 usa la frase «nivel de seguridad» para cinco cosas distintas, y solo una se aplica a un dispositivo que usted compra.
| Término | Se aplica a | Lo fija | Verificable como |
|---|---|---|---|
| SL-T (objetivo) | Una zona o un conducto de un sistema | El propietario del activo, a partir de la evaluación de riesgos | Una línea de su especificación de requisitos de seguridad |
| SL-C (capacidad) | Un componente, conforme a IEC 62443-4-2 | El fabricante y después un laboratorio de ensayo | Un informe de ensayo o un certificado con alcance declarado |
| SL-I (implementado) | Un sistema tal como está configurado | El integrador | Evidencia de configuración contra la matriz de requisitos 62443-3-3 |
| SL-A (alcanzado) | Un sistema después de la evaluación | Un evaluador | Un informe de evaluación 62443-2-4 o -3-3 |
| ML (nivel de madurez) | El proceso del desarrollador, conforme a 62443-4-1 | El fabricante y después un auditor | Una auditoría del ciclo de desarrollo seguro |
«Arquitecturada para alcanzar hasta SL4» es una declaración sobre el margen de SL-C. Dice que el diseño podría, en principio, cumplir el vector de requisitos de SL4. No dice que ese vector se haya ensayado, que un laboratorio lo confirme o que el certificado exista. Aquí importan las dos mitades de la parte de componentes de la norma: 62443-4-1 rige cómo se desarrolló el producto, 62443-4-2 rige qué hace técnicamente el producto, y ambos se certifican por separado.
La norma también divide los componentes en cuatro tipos: dispositivos empotrados, dispositivos host, dispositivos de red y aplicaciones de software. Cada tipo tiene su propio conjunto de requisitos, así que una declaración SL-C sin tipo de componente no es comparable entre fabricantes. Orbit 60 abarca al menos dos: el hardware de protección y monitorización es un dispositivo empotrado, y Orbit Studio más la interfaz de System 1 son software.
Qué defiende de verdad cada uno de los cuatro niveles de seguridad
IEC 62443-1-3 define los niveles por el adversario que asumen, no por un recuento de funciones. Esa es la forma honesta de juzgar si «el nivel más alto» significa algo para un monitor de vibración en una sala de control.
| Nivel | Modelo de amenaza en palabras de la norma | Qué significa para un rack de protección |
|---|---|---|
| SL1 | Protección frente a una vulneración causal o fortuita | Cubre errores: un cable equivocado, un portátil desconectado, un cambio de setpoint por error de tecleo |
| SL2 | Vulneración intencionada mediante medios simples, con pocos recursos, habilidades genéricas y baja motivación | Cubre el barrido oportunista, las credenciales por defecto y el malware común que llega a la sala de control |
| SL3 | Vulneración intencionada mediante medios sofisticados, con recursos moderados, habilidades específicas de IACS y motivación moderada | Cubre a un atacante que ha leído la documentación del protocolo y apunta a su proceso |
| SL4 | Vulneración intencionada mediante medios sofisticados, con recursos amplios, habilidades específicas de IACS y alta motivación | Cubre una campaña bien financiada, persistente y dirigida contra esta clase de equipo |
La interpretación popular de que SL4 significa «atacantes de Estado» viene de los comentarios sobre agentes de amenaza y no del texto normativo, y sirve para comprobar cuán lejos está una declaración de diseño de un certificado: el vector de requisitos de SL3 y SL4 traslada la autenticación y la protección de claves al hardware, y exige autenticación multifactor en todas las redes, no solo en las no confiables.
Para dar contexto sobre lo poco frecuentes que son estos certificados: la certificación SL2 conforme a 62443-4-2 sigue siendo material de nota de prensa en 2026. KUKA anunció en julio de 2026 el primer fabricante de robótica con un certificado SL2 bajo esa norma, y ARC Informatique anunció un certificado SL2 para PcVue 17 en abril de 2026. Un rack de protección de máquina con un certificado SL4 de terceros sería un primer caso en la categoría. No hemos encontrado ningún certificado 62443 publicado para Orbit 60 en ningún registro, en la página de producto del fabricante ni en sus fichas técnicas a la fecha de redacción.
Qué segrega realmente aXess
La afirmación sobre aXess es la parte más sustanciosa del relato de seguridad de Orbit 60, y es una declaración de hardware, no de configuración. Del folleto de Orbit 60:
«La llamamos tecnología Orbit aXess. Permite que las funciones de protección y de monitorización de condición coexistan en el mismo rack y usen las mismas E/S, funcionando por completo de forma independiente entre sí. Los componentes de protección pueden publicar sus datos para que los consuma el sistema de monitorización de condición, pero sin ninguna pista de placa de circuito impreso que permita que los datos vuelvan de los componentes de monitorización a los de protección. Los datos se mueven en una dirección, y en una sola, sin ningún apretón de manos digital. Es como un diodo, pero mejor. Y está patentado.»
Tres propiedades hacen que eso merezca la pena especificarse. La barrera es un trazado de pistas de placa de circuito impreso, así que no se puede configurar mal como una regla de firewall. No hay apretón de manos digital, luego no hay una pila de protocolos en el lado de protección escuchando un mensaje de vuelta. Y como las dos funciones comparten las mismas E/S, la segregación no exige un segundo juego de sensores ni un segundo tendido de cable, que es justo por donde se filtra el riesgo en las arquitecturas convencionales de protección más monitorización.
El fabricante también deja claro que esto no es un diodo de datos convencional, y la razón importa: «Los diodos de datos son muy eficaces porque impiden cualquier comunicación entrante y solo permiten la saliente. Ese diseño unidireccional tiene un precio, sin embargo: significa que no se pueden hacer cambios sobre la marcha en el sistema de monitorización de condición. Así, mientras protegen al sistema de protección de intrusiones, también impiden acceder a las funciones de monitorización de condición. Nuestra tecnología aXess permite la segregación entre el sistema de protección y las funciones de monitorización de condición, no entre las funciones de monitorización de condición y el mundo exterior.»
Tres fronteras, y solo una de ellas es el diodo
Esta es la sección que hay que leer antes de escribir «diodo de datos integrado» en una matriz de cumplimiento. Orbit 60 tiene al menos tres fronteras de red distintas, y la frase de marketing describe exactamente una de ellas.
| Frontera | Módulo implicado | Dirección | Alcanzable desde | Qué sigue siendo suyo |
|---|---|---|---|---|
| Protección hacia monitorización de condición, dentro del rack | Ruta aXess entre los componentes de protección y el CMM | Un solo sentido, sin apretón de manos digital, impuesto por el trazado de pistas | No direccionable desde el lado de monitorización | Nada: es una propiedad de hardware de la plataforma |
| Monitorización de condición hacia la red corporativa | CMM, mediante un puerto de acceso ciberseguro con dos puertos Ethernet RJ-45 configurables de forma independiente | Bidireccional: System 1 puede configurar lo que el CMM extrae | La red corporativa L4, según las palabras del propio fabricante | Segmentación, listas de control de acceso, endurecimiento de host, credenciales y monitorización |
| Control de proceso hacia el rack | Communications Gateway (CGW) | Bidireccional por diseño: envía datos, estado y setpoints; recibe controles como inhibición, reset y multiplicación de disparo | Red de control, DCS e historiador | Política de firewall o DMZ, autorización del camino de control, gestión del cambio |
| Acceso de ingeniería y configuración | System Interface Module (SIM) y Orbit Studio, con comunicaciones cifradas con TLS | Bidireccional | Redes de ingeniería y de sala de control | Autenticación multifactor, separación de roles, procedencia del firmware y parcheo |
Una planta que lea «diodo de datos integrado» como si cubriera la segunda y la tercera fila confunde una propiedad de diseño con una arquitectura de red. El CMM está diseñado para ser alcanzable desde la red corporativa: ese es su objetivo, y es la razón de que Orbit 60 pueda prescindir de la pasarela de monitorización de condición aparte que una planta 3500 cableada necesita, como una pasarela de comunicación 3500/92 situada entre el rack y el historiador. La CGW está diseñada para aceptar comandos de control. Ambos son diseños legítimos; ninguno es un diodo.
La consecuencia práctica, eso sí, es favorable. Como la propiedad unidireccional está en la frontera uno, la función de protección mantiene su integridad incluso cuando el lado de monitorización de condición es totalmente alcanzable y configurable. Puede ejecutar el puerto de monitorización en una VLAN OT normal sin debilitar el camino de disparo, que es el intercambio que los despliegues convencionales de diodos resuelven mal.
Varios CMM y qué admite la ficha técnica
El Condition Monitoring Module es el módulo que lleva los datos de aXess a la red corporativa, y deliberadamente no es un dispositivo de protección. De la ficha técnica del CMM (145M9028 Rev. D): «Solo escucha, sin capacidad de escritura, lo que permite la interfaz con System 1 a través de las redes corporativas, sin riesgo para el sistema de protección».
Esa frase se cita a menudo como si significara que el CMM es de solo lectura para todo el mundo. No es así. «Sin capacidad de escritura» describe la relación con el backplane: el CMM no puede escribir en el camino de protección. System 1 sigue pudiendo configurar el propio CMM, porque «System 1 puede configurar el módulo CMM para extraer medidas y formas de onda adicionales de los datos de sensores del sistema». La garantía de solo lectura es direccional, no absoluta.
En número y ubicación, la ficha técnica es concreta: cada módulo ocupa una ranura, y «colocar varios módulos CMM permite conectar dos clientes System 1 independientes al sistema Bently Nevada Orbit 60». El folleto añade el motivo para instalar más de uno: usar varios CMM para obtener más potencia de proceso. Cada módulo ofrece además dos puertos Ethernet configurables de forma independiente, y un almacenamiento no volátil bufferiza los datos históricos cuando se pierde el enlace con el host, que es lo que evita que un camino inestable de la red corporativa se convierta en un problema de integridad de datos.
| Módulo | Función | Dominio de red al que toca | Estado de seguridad |
|---|---|---|---|
| SIM (System Interface Module) | Un SIM define un sistema de hasta 64 canales dinámicos y es el punto de acceso para configurarlo y mantenerlo | Camino de ingeniería y configuración | Alineado con IEC 62443-4-2, comunicaciones cifradas con TLS; un interruptor de llave y un contacto del lado de la utility aseguran físicamente la configuración |
| PPM (Protection Processor Module) | Cálculo de protección; recomendado en pares redundantes | Solo el lado de protección | Opción SIL 2; capaz de SIL 3 según el material de seguridad del fabricante |
| CMM (Condition Monitoring Module) | Escucha el backplane y da servicio a System 1 | Red corporativa, a través del puerto de acceso ciberseguro | Expresamente no SIL: no interfiere con el sistema de seguridad |
| CGW (Communications Gateway) | Intercambia datos, estado y setpoints; recibe comandos de inhibición, reset y multiplicación de disparo | Red de control e historiador | Parte del camino de control, así que trátela como un nodo del sistema de control |
| BRG (Bridge Module) | Enlaza chasis, incluidos los recorridos distribuidos | Intra-sistema | Extiende la misma segregación entre chasis |
| ISM (Integrated System Module) | Sustituye en una sola ranura las funciones de SIM, PPM y CGW por separado: interfaz de sistema más proceso de protección más comunicación industrial | Caminos de configuración, protección y comunicación | Alineado con IEC 62443-4-2 según su ficha técnica |
La ficha técnica del propio CMM expone la posición de seguridad sin rodeos: «Este componente no interfiere con el sistema de seguridad. La certificación SIL 2 del sistema no exige que este componente esté certificado SIL». Esa asimetría resulta útil: el camino de monitorización es donde vive la conectividad, y está deliberadamente fuera de la función de seguridad certificada. La misma separación de responsabilidades es la que permite que un sensor inalámbrico como el Ranger Pro aporte datos de tendencia sin tocar en absoluto un camino de disparo.
Un control dentro del armario merece más atención de la que suele recibir. El SIM lleva un interruptor de llave en el lado público y un contacto en el lado de la utility, y cualquiera de los dos puede usarse para asegurar la configuración del sistema y evitar cambios no autorizados. En términos de 62443 es un control de protección física sobre el camino de configuración, implementado en hardware, y es de las cosas que sobreviven a un compromiso de red. Si su procedimiento es dejarlo permanentemente en posición desbloqueada, el control no vale nada; incluya su estado en la lista de comprobación del relevo de turno.
Qué puede verificar un auditor y qué pedir al fabricante que envíe
Toda afirmación de las secciones anteriores es una declaración de diseño. La lista siguiente es lo que la convierte en evidencia, y marca la diferencia entre una especificación conforme y un folleto.
| Qué pedir | Por qué importa | Evidencia aceptable |
|---|---|---|
| Declaración SL-C por módulo | Los niveles de seguridad son afirmaciones de componente, no de familia de producto | Una declaración que nombre el módulo, el tipo de componente y el vector de requisitos |
| Identificador del certificado, organismo emisor, alcance y caducidad | Las declaraciones de diseño y los certificados son documentos distintos | Un certificado que pueda consultarse con el laboratorio, no una frase de la ficha técnica |
| Nivel de madurez 62443-4-1 | La garantía de proceso explica cómo se detectan los defectos de firmware antes que usted | Referencia de auditoría del ciclo de vida de desarrollo |
| Guía de endurecimiento y configuración por defecto | SL-C asume una configuración correcta; los valores por defecto rara vez lo son | Un documento que enumere servicios deshabilitados, puertos abiertos y cuentas por defecto |
| Inventario de puertos y servicios por módulo | Los dos puertos RJ-45 del CMM son superficie de ataque física en una sala de control | Servicios documentados por puerto de red |
| Lista de materiales de software y feed de avisos de parches | Las obligaciones de mantenimiento de 62443-2-4 duran toda la vida del rack | SBOM más una suscripción a los avisos |
| A qué redes está diseñado para tocar cada módulo | El diseño de zonas y conductos depende de ello | Un plano de arquitectura que distinga los caminos CMM, CGW y SIM |
Haga esa última pregunta pronto. La distinción entre el puerto de monitorización de condición y la pasarela de control es la que más a menudo se pierde entre una oferta y un plano de puesta en marcha, y es la que determina si su red de protección está realmente separada de su historiador.
Qué sigue siendo responsabilidad de la planta
Orbit 60 quita trabajo de su diseño; no quita responsabilidad. Cuatro elementos siguen en manos del propietario del activo incluso en una plataforma arquitecturada hasta SL4.
Diseño de zonas y conductos. IEC 62443-3-2 asigna las zonas por criticidad de los datos y amenaza, y los conductos por cómo cruzan los datos entre ellas. Un rack es un componente dentro de una zona, no un sustituto del modelo. La CGW es un conducto que transporta comandos de control y necesita el mismo tratamiento que cualquier otro enlace del sistema de control.
Las excepciones de «donde fue posible». La reserva del propio fabricante es la admisión de que algunos vectores de requisitos no se cumplen en todas partes. Esas excepciones no se publican. Encuéntrelas en su instalación: compruebe si los puertos Ethernet del CMM aceptan un host no autorizado, si los servicios sin uso están cerrados y si los cambios de configuración en el lado de monitorización generan un registro de auditoría.
Identidad y acceso en el camino de monitorización. Como System 1 puede reconfigurar el CMM, las credenciales de la red corporativa deciden quién puede cambiar el aspecto de los datos de una máquina. Eso no dispara una máquina, pero puede ocultar una avería en desarrollo, que es el modo de fallo que importa en un programa de protección.
Acceso físico. Un rack en sala de control con dos puertos Ethernet activos por módulo de monitorización es una exposición distinta al mismo rack dentro de un enclosure cerrado con llave y segmentado. El diseño aXess protege el camino de disparo de ese puerto; no protege sus datos ni su historiador de él.
Qué deja esto a una planta con 3500
La plataforma 3500 es anterior al estándar de componentes 62443-4-2, así que su postura de seguridad depende por completo de cómo construya la red a su alrededor. Es una posición gestionable, no un defecto, y por eso la planificación del soporte a largo plazo y el diseño de red tienen que hacerse juntos. Nuestro artículo sobre la renovación de PCBA de 3500 y el soporte a largo plazo cubre el lado de hardware, y la comparación de estado de soporte cubre sobre qué plataforma estandarizar.
En un rack 3500, los equivalentes de las fronteras de Orbit 60 son dispositivos que usted coloca: una pasarela de comunicación 3500/92 en el borde de red, un módulo de interfaz de rack 3500/20 que transporta los datos del backplane, una interfaz de datos transitorios 3500/22M si necesita captura de forma de onda fuera del rack, y un módulo de relés 3500/32 donde las salidas de disparo deban ir cableadas. El rack de sistema 3500/05 y la fuente de alimentación 3500/15 completan el chasis.
En el lado de sensores, los mismos transductores alimentan ambas plataformas, que es el argumento práctico para no precipitar una migración: una sonda de proximidad 3300 XL de 8 mm, un acelerómetro 330400 o un Velomitor 330500 no se convierten en un problema de seguridad cuando cambia el rack de detrás. Para activos más pequeños, un monitor 1900/65A o un 2300/20 le da una huella de red defendible sin un rack completo, y los activos eólicos tienen su propio camino en el monitor de condición 60M100.
Cuando la elección de plataforma es en realidad una pregunta de aplicación, nuestras guías de monitorización de turbinas de gas, monitorización de turbinas de vapor, monitorización de condición de compresores y protección de máquina petroquímica exponen qué aporta la segregación de protección en cada caso, y la visión general de la serie 3500 documenta la arquitectura anterior en los mismos términos.
Redacción para la orden de compra que resiste el escrutinio
Si está especificando Orbit 60 en una instalación con un programa IEC 62443, tres frases mantienen las afirmaciones del fabricante y sus obligaciones en el lugar correcto.
«El proveedor declarará el nivel de capacidad de seguridad (SL-C) IEC 62443-4-2 que afirma para cada módulo de la configuración ofrecida, junto con la clasificación de tipo de componente utilizada. No se aceptará una declaración de que el producto está diseñado o arquitecturado a un nivel de seguridad en lugar de una afirmación SL-C por módulo.»
«Si existe un certificado 62443-4-2 de terceros para algún módulo ofrecido, el proveedor aportará el identificador del certificado, el organismo emisor, el alcance y la fecha de caducidad. La ausencia de certificado se declarará de forma explícita en lugar de inferirse.»
«La segregación entre las funciones de protección de máquina y de monitorización de condición dentro del rack no se tratará como sustituto del diseño de zonas y conductos del comprador. Todos los caminos bidireccionales, incluida la pasarela de comunicaciones hacia la red de control y el historiador, se documentarán como conductos y se protegerán en consecuencia.»
Esas tres líneas también sirven como prueba de diligencia debida frente a plataformas competidoras, porque la mayoría no puede responder a la primera.
Preguntas frecuentes
¿Está Orbit 60 certificado conforme al nivel de seguridad 4 de IEC 62443?
Ningún certificado publicado lo afirma. Bently Nevada declara que Orbit 60 se diseñó, donde fue posible, para cumplir el nivel de seguridad 4, y en diciembre de 2021 que el sistema estaba en proceso de certificación conforme a IEC 62443-4-2 Security Level 2 mientras su arquitectura apuntaba a alcanzar hasta el nivel 4. Las fichas técnicas actuales solo dicen que la plataforma está diseñada para cumplir IEC 62443-4-2, sin ningún número de nivel. Trate SL4 como un objetivo de diseño y SL2 como el objetivo de certificación hasta que se aporte un identificador de certificado.
¿Qué protege de hecho el diodo de datos de Orbit 60?
Una sola frontera: el camino que volvería desde las funciones de monitorización de condición hacia las funciones de protección dentro del mismo rack. El diseño aXess omite las pistas de placa que permitirían ese recorrido de los datos y no usa apretón de manos digital, así que el camino de protección no es alcanzable desde el lado de monitorización. No aísla el puerto de monitorización de condición de su red corporativa.
¿Sustituye aXess a un firewall entre Orbit 60 y la red de la planta?
No. aXess segrega protección y monitorización de condición dentro del rack. El Condition Monitoring Module está diseñado para conectarse a la red corporativa, y la Communications Gateway intercambia datos, estado y setpoints con sistemas de control e historiadores a la vez que recibe comandos como inhibición, reset y multiplicación de disparo. Esos dos caminos siguen necesitando su diseño de zonas y conductos.
¿Se puede instalar más de un CMM en un sistema Orbit 60?
Sí. Cada Condition Monitoring Module ocupa una ranura, y la ficha técnica declara que colocar varios módulos CMM permite conectar dos clientes System 1 independientes. El folleto añade que se pueden usar varios CMM para ganar potencia de proceso, y cada módulo ofrece dos puertos Ethernet configurables de forma independiente.
¿Forma parte el Condition Monitoring Module de la función de seguridad?
No. Su ficha técnica declara que el componente no interfiere con el sistema de seguridad y que la certificación SIL 2 del sistema no exige que el CMM esté certificado SIL. Escucha el backplane y da servicio a System 1, y no tiene capacidad de escritura en el camino de protección.
¿Cuál es la diferencia entre SL-C, SL-T y SL-A?
SL-C es el nivel de capacidad que un componente declara conforme a IEC 62443-4-2 cuando está configurado correctamente. SL-T es el nivel objetivo que el propietario del activo fija para una zona o un conducto. SL-A es el nivel realmente alcanzado por un sistema desplegado después de una evaluación. Un certificado de componente no dice nada del nivel alcanzado por su sistema, que depende de la configuración y del diseño de red.
¿Significa el nivel de seguridad 4 protección frente a atacantes de Estado?
Esa formulación procede de los comentarios sobre agentes de amenaza, no de la definición normativa. IEC 62443-1-3 define SL4 como protección frente a una vulneración intencionada mediante medios sofisticados, con recursos amplios, habilidades específicas de IACS y alta motivación. En la práctica traslada la autenticación y la protección de claves al hardware y espera autenticación multifactor en todas las redes.
¿Cambian estas afirmaciones nuestras obligaciones si operamos un sistema 3500?
No de forma directa. La plataforma 3500 es anterior al estándar de componentes 62443-4-2, así que la segregación, el filtrado y el control de acceso se implementan en su diseño de red y no dentro del rack. El trabajo práctico es documentar qué nodo cruza desde la red de control hasta el rack, normalmente una pasarela de comunicación, y endurecer ese camino.
Lecturas relacionadas
Orbit 60: hoja de datos con 100× de procesamiento, 65 canales y la mitad de huella — qué afirma la hoja de datos de 2025 y en qué discrepa de la ficha técnica del sistema.
Actualización de Orbit 60 de Q4: de 80 tipos de tarjeta de entrada a 10 — la lectura de módulos y repuestos de la misma plataforma, incluidos el CGW, el CMM y el camino de salida del bridge.
Dispositivos Cordant: qué significa para los compradores el cambio en la página de inicio de Bently Nevada — quién da soporte a este hardware y qué comprobar antes de pedir repuestos.
Bently Nevada System 1 cumple 20 años — el software host que está al otro lado del puerto del CMM.
El servicio de salud de máquina con IA de Bently Nevada — qué ocurre con los datos de monitorización de condición cuando salen del rack.
Fuentes y método
Este artículo lee las declaraciones de la propia Bently Nevada contra la estructura de la norma que citan, y enuncia los huecos en lugar de suavizarlos. El material del fabricante se cita como material del fabricante.
Bently Nevada, «Actualización de la serie Orbit 60: ¡monitorización de condición ciberprotegida!», Q1 2021. Bently Nevada, «Orbit 60: un sistema de monitorización de condición seguro para los datos», 21 de diciembre de 2021. Bently Nevada, página de producto de la serie Orbit 60. Bently Nevada, folleto de la serie Orbit 60 (documento 1312). Bently Nevada, ficha técnica del sistema de la serie Orbit 60 137M5182. Bently Nevada, ficha técnica del Condition Monitoring Module de la serie Orbit 60 145M9028 Rev. D. Bently Nevada, ficha técnica del Protection Processor Module de la serie Orbit 60 142M8515. Nota de prensa de Baker Hughes, «La división Bently Nevada de BHGE lanza la serie Orbit 60», 10 de septiembre de 2019. Definiciones de niveles de seguridad de IEC 62443-1-3 y las distinciones SL-T, SL-C, SL-I y SL-A. KUKA, «Primera empresa de robótica en obtener la certificación Security Level 2 conforme a IEC 62443-4-2», julio de 2026. ARC Informatique, anuncio del certificado SL2 IEC 62443-4-2 para PcVue 17, abril de 2026.
Nota editorial: las afirmaciones de nivel de seguridad, el estado de certificación y el alcance de los módulos deben confirmarse contra la revisión vigente de la ficha técnica y la documentación de certificados del fabricante antes de escribirlas en una matriz de cumplimiento o en una orden de compra. No encontramos ningún certificado 62443 de terceros publicado para Orbit 60 a 3 de noviembre de 2026; si desde entonces se hubiera emitido uno, el objetivo de certificación y su alcance diferirían de lo descrito aquí.
