В статье рассматривается обеспечение киберустойчивости низковольтных комплектных устройств (НКУ) в пищевой промышленности в условиях роста сетевой связности, обусловленного концепциями Индустрии 4.0 и сближением операционных и информационных технологий, при котором НКУ перестают быть изолированным физическим интерфейсом и превращаются в уязвимую точку воздействия на рецептурные и режимные параметры технологических линий (пастеризация, стерилизация, управление насосными группами и термоагрегатами). Анализируется ограниченность традиционных сигнатурных и пороговых средств контроля, не распознающих злоупотребление легитимными командами промышленных протоколов и порождающих избыточные ложные тревоги при переходных режимах (CIP-мойка, переналадка, пусконаладка), что подрывает доверие операторов к защитным системам. Предложен и верифицирован подход, сочетающий глубокую инспекцию пакетов (DPI) с поведенческим профилированием на основе машинного обучения, позволяющий извлекать семантику команд на уровне регистров Modbus TCP и объектов Profinet IO и сопоставлять сетевые действия с контекстом производственного цикла. Описана экспериментальная реализация на гибридном стенде с ПЛК Siemens S7-1500 и Schneider Electric Modicon M340 и высокопроизводительным захватом трафика; сформирован длительный массив сетевого обмена, включающий штатные и нестандартные режимы, а также синтетически воспроизведены 15 классов атак, включая инъекции команд, MITM и replay-сценарии. Показаны количественные характеристики обнаружения: высокая результативность для прямой записи уставок и инъекций команд при миллисекундных временах реакции, при этом наибольшую сложность представляют replay-атаки, требующие накопления исторического контекста и демонстрирующие повышенную долю пропусков и рост времени обнаружения. Проанализировано влияние DPI-шлюза на задержки и джиттер: при активной блокировке задержки возрастают нелинейно с нагрузкой, однако остаются в пределах типовых допусков Modbus TCP; одновременно отмечается рост вариативности задержек при пиковом трафике как фактор риска для контуров реального времени. Отдельно рассмотрена неоднородность ложных блокировок по режимам: минимальные значения характерны для стационарного производства, тогда как в режимах с высокой энтропией команд (CIP, переналадка, пусконаладка) требуется контекстно-зависимая смена профилей. Итоговая интерпретация результатов указывает на практическую применимость гибридной схемы, где детерминированные правила дополняют вероятностные модели аномалий, обеспечивая высокую релевантность выявления несанкционированных изменений параметров НКУ при приемлемой вычислительной цене и требованиях к интерпретируемости решений для персонала.
The article examines the provision of cyber resilience of low-voltage switchgear devices (LVSD) in the food industry under conditions of increasing network connectivity driven by the concepts of Industry 4.0 and the convergence of operational and information technologies, in which LVSD cease to be an isolated physical interface and become a vulnerable point of impact on recipe and process parameters of technological lines (pasteurization, sterilization, control of pump groups and thermal units). The limitations of traditional signature-based and threshold-based monitoring tools are analyzed; such tools fail to recognize the misuse of legitimate industrial protocol commands and generate excessive false alarms during transient modes (CIP cleaning, reconfiguration, commissioning), which undermines operator trust in protection systems. An approach is proposed and verified that combines deep packet inspection (DPI) with machine-learning-based behavioral profiling, enabling the extraction of command semantics at the level of Modbus TCP registers and Profinet IO objects and the correlation of network actions with the context of the production cycle. An experimental implementation on a hybrid testbed with Siemens S7-1500 and Schneider Electric Modicon M340 PLCs and high-performance traffic capture is described; a long-term dataset of network exchanges was formed, including normal and non-standard modes, and 15 classes of attacks were synthetically reproduced, including command injections, MITM, and replay scenarios. Quantitative detection characteristics are presented: high effectiveness for direct setpoint writes and command injections with millisecond-level reaction times, while replay attacks pose the greatest challenge, requiring accumulation of historical context and demonstrating a higher miss rate and increased detection latency. The impact of the DPI gateway on latency and jitter is analyzed: with active blocking, delays increase nonlinearly with load but remain within typical Modbus TCP tolerances; at the same time, increased delay variability under peak traffic is noted as a risk factor for real-time control loops. The heterogeneity of false blocking across operating modes is considered separately: minimal values are characteristic of steady-state production, whereas modes with high command entropy (CIP, reconfiguration, commissioning) require context-dependent profile switching.