Towards Intrusion-Tolerant Process Control Software

!"#$%& '()$*&+!(, !-.$#() /$!0.&& 1!()$!- 2!3)"#$. !"# $%&'(

)*!+# ,#!-*

)*!+# ./%0--'1#

!"#$%& '()*+,-)./ 01 )-20(& 30,.45!6

2

!"#$%&'(#)*+,#+-.+/&+0" 102( /('30245%,#+-.+/&+0"

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

7

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

•

!!"#$%&' (

'4 > "+"611> (0 6< #&'/ & ':/08

•

!"#$%"&!'( !)%'*"!'+ #

!"# $%" &'"( )*+ ,-+" .#. "). & /&&(0,1$ " $

& 0,. (,2* " -!,.!,13 ./!")".4 .-$)4 $10 )$+5$(" $

• •

,'-.-$*/ 0'!1)+ # !"# .""% & $ $/% .#. "). 7&( )&1" $(# 3$,16 2$+-3%'+ # !" 0,.3(*1 +"0 ,1.,0"( ,. $ -(,1/,-$+ .&*(/" &7 /&)-* "( /(,)"6 )$# 1&

1""0 $ 3("$

0"$+ &7 %1&5+"03" $2&*

$/%. $10

$/%.6

81.,0"(.

/&)-* "( ,1 (*.,&1. 2"/$*."

!",(

%1&5+"03" &7 $ $(3" .#. ") &7 "1 $++&5. !") & 3$,1 *1(". (,/ "0 $//".. & /$*." 0$)$3" & !" .#. ") &( & . "$+ .#. ") 0$ $6

•

45-+5%'+ # ,10,',0*$+. &( .)$++ 3(&*-.

!$ "9"/* " -!,.!,13 ./!")". ,1 $1 $

")-

& . "$+ ,0"1 , ,". &( ,17&()$ ,&1 7&( )&1" $(# 3$,16

•

6)*..%'+ # ,10,',0*$+. &( &(3$1,:$ ,&1. 0"1 &( 7$+." ,17&()$ ,&1

!$ 0,. (,2* " *1.&+,/, "0 ";)$,+ 5, ! !,0;

& ."++ -(&0*/ .4 /&10*/

-!,.!,13 ./!")".4 0,. (,2* " .-#;

5$("&?@6

•

6)7&*'%8.*/&*'% *1"5!'+ # /$((# &* $

810,',0*$+. &( &(3$1,:$ ,&1. 5, ! )$+,/,&*. ,1 "1

$/%. $3$,1. *."(. 2# -(&0*/,13 $10 0,. (,2* ,13 .-#5$(" $10 )$+5$("6

?"'"($+ 0". (*/ ,'" /&)-* "( ',(*.". $10 5&(). !$'" !$()"0 A+". $10 !$(0 0(,'".4 ,1/+*0,13 !" B"+,..$ B$/(& C,(*.4 !" D9-+&("6E,- 5&()4 !" F8G =F!"(1&2#+@ C,(*.4 H,)0$4 F&0" I"04 ?+$))"(4 $10 J+$. "( KLMN6

•

9%''!'-+"+ #

!"# .""% & 0". ( ,1/$-$/, $ "4 &( "9-+&, /(, ,/$+ ,17($. (*/ *(". &

!("$ "1 1$ ,&1$+ ."/*(, #4 /$*." )$.. /$.*$+ ,".4 5"$%"1 !" /&*1 (#O. "/&1&)#4 $10

0$)$3" -*2+,/ )&($+" $10 /&1A0"1/"6

•

2$31+"'-*/ 6)-%+ # ,10*. (,$+ ".-,&1$3" .""%.

& $/P*,(" ,1 "++"/ *$+ -(&-"( # $10

%1&5;!&5 2# /+$10". ,1" )" !&0.6

Q!" 7&++&5,13 +,. . '*+1"($2,+, ,". !$ )$# 2" 7&*10 ,1 #-,/$+ 8F?6 R1# 3,'"1 8F? 5,++ *.*$++# "9!,2, $ .*2." &7 !"." '*+1"($2,+, ,".4 2* )$# $+.& /&1 $,1 $00, ,&1$+ '*+1"($; 2,+, ,". *1,P*" & !" -$( ,/*+$( 8F? ,)-+")"1 $ ,&1 !$ 0& 1& $--"$( ,1 !,. +,. ,136

•

4!/-:7 *$3 4'!:%31'%;

!,. %,10 &7 '*+1"($2,+, ,". $(" &7 "1 ,1 (&0*/"0 ,1 & 8F?

2"/$*." &7 ,1/&)-+" "4 ,1$--(&-(,$ "4 &( 1&1"9,. "1 ."/*(, # 0&/*)"1 $ ,&14 ,1/+*0; ,13 -&+,/# $10 ,)-+")"1 $ ,&1 3*,0". =-(&/"0*(".@6 ?"/*(, # 0&/*)"1 $ ,&14 $+&13 5, ! )$1$3")"1 .*--&( 4 ,. !" /&(1"(. &1" &7 $1# ."/*(, # -(&3($)6

< < <
IV@S < T$/% &7 8F? .-"/,A/ /&1A3*($ ,&1 /!$13" )$1$3")"1 6 4/*"=!'. ,!$>01'*"-!$; !,. %,10 &7 '*+1"($2,+, ,". /$1 &//*( 0*" & W$5.4 ),.; /&1A3*($ ,&1.4 &( -&&( )$,1 "1$1/" &7 !",( -+$ 7&().4 ,1/+*0,13 !$(05$("4 &-"($ ,13 .#. ").4 $10 8F? $--+,/$ ,&1.6


-"), ),+)'#5 *8 +,(-.')/ (0"#5,+6 ∗ A#"$,>-"), %0/+'("& %.*),()'*# 8*. (.')'("& +/+),1+6 ∗ D#"-)0*.'E,$ %,.+*##,& 0"4, %0/+'("& "((,++ )* ,>-'%1,#)6 ∗ A#+,(-., .,1*), "((,++ *# A:! (*1%*#,#)+6 ∗ F"(0'#,+ 2')0 $-"& #,)2*.< '#),.8"(, (".$+ G?A:H (*##,(),$ )* $'I,.,#) #,)2*.*$()%$2 )%!C*. ∗ B$()%$2 (')#$%7 "'%=-*'" ($) #-)/-( )/' *$()%$2 (')#$%75 6')#$%7 D$(-)$%-(0 !(&
#$%&'(() *++$%&, -.$ /0+1()& 20).30+0)

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

! !

"##$%& '(#) *)(#+), -./#01/ 2'$ 3'0,4 502'%0/

!"# $"%& '( #)#*+, -./!"*+/*0.+# 0#0-11) #022'.* *!+ /-2-3"1"*) *' .+,'*+1) -//+## *+.,"4 %-1 +%& 2'"%*# -%& *+1+,+*.) &+5"/+# *!.'06! *+1+2!'%"/ -%& &+&"/-*+& ,+-%#7 8',+ '( *!+#+ &+5"/+# -.+ +90"22+& :"*! +,3+&&+& ;1+ #+.5+.# -%& :+3 #+.5+.# *' (-/"1"*-*+ .'30#* /',,0%"/-*"'% '( '2+.-*"'%-1 -%& ,-"%*+%-%/+ &-*-7 +& 5+/*'. "%*' *!+ /'%*.'1 #)#*+, -./!"*+/*0.+7 !0#= ;+1& &+5"/+# #0/! -# .+4 ,'*+ *+.,"%-1 0%"*# ?@ A#B -.+ 5"-31+ *-.6+*# *' 3+ "%5+#*"6-*+& 3) -**-/$+.#= &0."%6 *!+". .+/'%%-"##-%/+ -%& #/-%%"%6 2!-#+ '( *!+ -**-/$7 8"%/+ *!+ /'%%+/*"'%# 3+*:++% *!+ &+5"/+# -%& *!+ /'%*.'1 #)#*+, -.+ %'* ,'%"*'.+& ('. ,-1"/"'0# '. #0#2+/* *.-C/= -**-/$+.# /-% 0#+ *!+ /',,0%"/-*"'% 2.'*'/'1# *' #/-% 3-/$ "%*' *!+ "%*+.%-1 /'%*.'1 %+*:'.$7 !+) /-% -1#' -1*+. *!+ &-*- *!-* "# #+%* *' *!+ /'%*.'1 ,-#*+. '. /!-%6+ *!+ 3+!-5"'. '( *!+ &+5"/+ "*#+1(7

! !6

5$#$7$/0 $(4 -89 5$#$ :(;0%#')( "##$%&/

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
%$!"#$%%&' !($ )%*+' ,( (+-.%&# /+&,0+-+&'

&'()*

*

)++,-..///%0(1

234+%567.268+469:(;(+3.?'2@=664ABAC%,=> DEAABF% !G#

%$1%(-&%* '2'-+0' '+"3&,-2 "+(-+& "%00%( "%(-&%* '2'-+0 43*(+&!5,*,-2

&39(68*

*

)++,-..///%0(1234+%567.268+469:(;(+3.2(709!!AB%,=> DEAABF%

6%.+& "3- "!3'+' ")!%'

EA# HHI &3/(*

* )++,-..83/(%??2%26%0@.!.)J.3859'8=.968=68.C!"GKBB%(+
,-!*2 ,' 5*!"#+$ %3- >%& '+4+&!* )%3&'

EC# T2U>33 V)J+3 O',34*

* T2'>33 DEAAKF%

EW# X% O67693=6*

* &3/ Y64@ $J%& 53,*$,(? ),?)E,(-+?&,-2 '+&4,"+'

O4'2+J23 J8 PJ(+4J?0+3= N;(+3 "25+&E!--!"#'

OJ,39J83 '8= ]'( L6048'9

#!$ DEAACF* 86% E* EA\EW%

EK# O% N60('* U% H3(('8J* T% I6443J'* &% &373(* '8= O% ^34_((J +)3 !C+) MXXX O'2J`2 [J