(57)【特許請求の範囲】
【請求項１】
安全計装システムを保護する方法であって、
正当な情報が安全計装システムへ配送されることになっている場合に、プロセス制御システムの構成部分から情報を受け取ることと、
安全計装システムに達するのを回避すべき通信を表す署名が前記受け取られた情報と少なくとも実質的に一致するかどうか判断することと、
前記署名が前記受け取られた情報と少なくとも実質的に一致すると判断された場合に前記受け取られた情報が安全計装システムに達するのを妨げることと、を含み、
前記正当な情報が安全計装システムを解錠する指示であり、当該指示は、安全計装システムがダウンロード依頼を受け入れられる状態で安全計装システムが作動することを指示する、ことを特徴とする方法。
【請求項２】
複数の署名を格納するように構成されたデータ記憶部から署名を読み出すことをさらに含み、
前記複数の署名の各々が、安全計装システムに達するのを回避すべき各々の通信を表す、請求項１に記載の方法。
【請求項３】
前記受け取られた情報を前記署名と比較することをさらに含む請求項１に記載の方法。
【請求項４】
前記署名が前記受け取られた情報と少なくとも実質的に一致しないことと判断された場合に、前記正当な情報が安全計装システムに達することを可能にすることをさらに含む請求項１に記載の方法。
【請求項５】
前記プロセス制御システムから情報を受信すること、前記署名が前記受信された情報と少なくとも実質的に一致するかどうか判断すること、及び前記署名が前記受信された情報と少なくとも実質的に一致すると判断された場合に前記受信された情報が安全計装システムに達するのを防止すること、の各々が侵入保護システムにより行われる、ことを特徴とする請求項１に記載の方法。
【請求項６】
マニュアル操作で侵入保護システムを迂回することをさらに含む請求項５に記載の方法。
【請求項７】
前記構成部分が、プロセス制御システムのプロセス制御部内のフィールド装置であり、かつ安全計装システムとは別個のものである、ことを特徴とする請求項１に記載の方法。
【請求項８】
安全計装システムを保護するための装置であって、
安全計装システムに宛てられたプロセス制御システムのオペレータステーションから情報を受け取るための受信部と、
安全計装システムに達するのを回避すべき通信を表す少なくとも一つの署名を格納するためのデータ記憶部と、
前記少なくとも一つの署名が前記受け取られた情報と少なくとも実質的に一致するかどうか判断し、且つ、署名が前記受け取られた情報と少なくとも実質的に一致すると判断された場合に前記受け取られた情報が安全計装システムに達するのを妨げるための署名分析部と、を備え、
前記正当な情報が安全計装システムを解錠する指示であり、当該指示は、安全計装システムがダウンロード依頼を受け入れられる状態で安全計装システムが作動することを指示する、ことを特徴とする装置。
【請求項９】
前記署名分析部がさらに前記受け取られた情報を前記署名と比較することを特徴とする請求項８に記載の装置。
【請求項１０】
前記署名が前記受け取られた情報と少なくとも実質的に一致しないと署名分析部が判断した場合に、安全計装システムに正当な情報を伝送するための送信部さらに備える請求項８に記載の装置。
【請求項１１】
アクティブにされた場合に、前記署名分析部を通信が迂回できるようにするように構成された手動迂回をさらに含む請求項１０に記載の装置。
【請求項１２】
格納された指示を有する機械可読媒体であって、
前記指示は実行されると、機械に、
プロセス制御システムのオペレータステーションから安全計装システムに宛てられた情報を受け取らせ、
安全計装システムに達するのを回避すべき通信を表す署名が前記受け取られた情報と一致するかどうか判断させ、且つ、
前記署名が前記受け取られた情報と少なくとも実質的に一致すると判断された場合に、前記受け取られた情報が安全計装システムに達するのを防止させ、
前記正当な情報が安全計装システムを解錠する指示であり、当該指示は、安全計装システムがダウンロード依頼を受け入れられる状態で安全計装システムが作動することを指示することを特徴とする機械可読媒体。
【請求項１３】
前記指示によってさらに機械が、複数の署名を格納するように構成されたデータ記憶部から署名を読み出すようになり、且つ、
署名のそれぞれが、安全計装システムに達するのを防止されるべき各々の通信を表す、ことを特徴とする請求項１２に記載の機械可読媒体。
【請求項１４】
前記指示によってさらに機械が、前記受け取られた情報を署名と比較するようになることを特徴とする請求項１２に記載の機械可読媒体。
【請求項１５】
前記指示によってさらに機械が、署名が前記受け取られた情報と少なくとも実質的に一致しないと判断された場合に前記受け取られた情報が安全計装システムに達することを許すようになる、ことを特徴とする請求項１２に記載の機械可読媒体。
【請求項１６】
前記指示によって、
プロセス制御システムから情報を受け取り、
前記署名が前記受け取られた情報と少なくとも実質的に一致するかどうか判断し、そして
前記署名が前記受け取られた情報と少なくとも実質的に一致すると判断された場合に前記正当な情報が安全計装システムに達するのを防止するために、機械がさらに侵入保護システムを使用するようになることを特徴とする請求項１２に記載の機械可読媒体。
【請求項１７】
前記指示によって、さらに機械がマニュアル操作で侵入保護システムを迂回するようになる、
ことを特徴とする請求項１６に記載の機械可読媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、概してプロセス制御システムに関し、より具体的には安全計装プロセス制御システムにおける侵入保護のための装置および方法に関する。
【背景技術】
【０００２】
化学薬品の処理工程や、石油精製工程、またはその他のプロセスに使用されるようなプロセス制御システムは通常、アナログ、デジタルまたはアナログ・デジタル混在バスを介して少なくとも一つのホスト又は少なくとも一つのオペレーターワークステーションにおよび一つ又は複数のフィールド装置に通信可能に連結される一つ又は複数の集中プロセスコントローラ（制御装置）を含んでいる。フィールド装置は、例えば、バルブ、バルブポジショナ、スイッチおよび送信部（例えば、温度センサ、圧力センサおよび流量センサ）でありえ、バルブの開閉およびプロセスパラメータの測定などのプロセス内における機能を行う。プロセスコントローラは、フィールド装置により生成されたプロセス計測且つ又はフィールド装置に関するその他の情報を示す信号を受け取り、この情報を使用して制御ルーチンを実施してから、プロセスの動作を制御するためにバスまたはその他の通信回線を通じてフィールド装置へと送信される制御信号を生成する。フィールド装置およびコントローラからの情報は、オペレーターワークステーションにより実行される一つ又は複数のアプリケーションを通じてアクセスできるようになっており、これらの情報を利用して、オペレータは、プロセスの現状を表示したり、プロセスの動作を修正変更したりなど、プロセスに関する所望の機能を実行できるようになる。
【０００３】
プロセス制御システムの多くには、一つ又は複数のアプリケーションステーションも含まれている。一般に、これらのアプリケーションステーションは、コントローラとオペレーターワークステーションおよびローカル・エリア・ネットワーク（ＬＡＮ）を介してプロセス制御システム内のその他のシステムに通信可能に連結されるパソコン、ワークステーションまたはそれ同等のものを使用して実施される。各アプリケーションステーションは、プロセス制御システム内におけるキャンペーン管理機能、保全管理機能、仮想制御機能、診断機能、実時間監視機能、安全関連機能、構成機能などを行うソフトウェアアプリケーションの一つ又は複数を実行しうる。
【０００４】
プロセス制御システムまたはその諸部分の中には、かなりの安全性リスクを提示しうるものがある。例えば、化学薬品処理工場や発電所などでは、適切に制御が行われていない場合、且つ又はあらかじめ定められたシャットダウン手順を使用して速やかにシャットダウンできないと、著しい人身障害や環境および設備の損害につながる可能性があるような危険性の高いプロセスを実施しているところもある。このような危険性の高いプロセスを有するプロセス制御システムに関連する安全性リスクに対処すべく、多くのプロセス制御システム供給業者が、例えば国際電気標準会議（ＩＥＣ）規格６１５０８およびＩＥＣ規格６１５１１などの安全性関連標準規格に適合する製品を提供している。
【０００５】
一般に、周知の安全性関連標準規格の一つ又は複数に適合するプロセス制御システムは、安全計装システム構成を使用して実施される。かかるシステム構成では、プロセス全体の連続制御を担う、基本的なプロセス制御システムに関連するコントローラおよびフィールド装置は、著しい安全性リスクを示す制御条件に対応してプロセスの安全なシャットダウンを保証すべく安全計装機能の履行を担うような、安全計装システムに関連する特殊目的のフィールド装置およびその他特殊目的の制御要素とは、物理的に且つ論理的に別である。特に、ロジックソルバ（ｌｏｇｉｃ  ｓｏｌｖｅｒ）、安全性認証フィールド装置（例：センサ、そして例えば空気圧で作動するバルブ、など）、データ冗長装置およびルーチン（例えば冗長リンク、巡回冗長検査、など）、および安全性認証ソフトウェアまたはコード（例えば、認証済みアプリケーション、機能モジュール、機能ブロック、など）といった特殊目的制御要素が基本的なプロセス制御システムに補足されていることが、周知の安全性関連標準規格の多くの適合要求として求められる。また、周知のプロセス制御システムの多くは、ユーザまたはその他のシステムオペレータが、一つ又は複数の装置、制御ループ、且つ又はその他のプロセス制御エンティティを対象に、プロセスを監視したり、パラメータ値を変更したり、指令を発行したりなどの操作を行えるようにするグラフィックランタイムインターフェースも少なくとも一つ備えている。
【０００６】
安全計装システムは、更新されたソフトウェア、更新された動作パラメータ、更新された制御プロセスなどをダウンロードするべく、定期的に更新される。現在の安全計装システムは、ユーザ名とパスワード、且つ又は機械的なキースイッチの使用により、プロセス制御システム内のワークステーションから安全計装システムへの不正アクセスおよびそれによるダウンロードを防止している。但し、用心して鍵を保護していなかったり、ユーザがログインしたままワークステーションから離れて放置しておいたり、使用後に機械的錠をかけ直すこと忘れたり、鍵が複製されたり、などすれば、安全計装システムに不正にもアクセスできる場合がある。
【発明の開示】
【発明が解決しようとする課題】
【０００７】
安全計装プロセス制御システムにおける侵入保護のための例示的な方法と装置を提供する。
【課題を解決するための手段】
【０００８】
安全計装システムを保護する例示的な方法には、正当な情報（ｌｅｇｉｔｉｍａｔｅ  ｉｎｆｏｒｍａｔｉｏｎ）が安全計装システムへ配送されるためのものである場合にプロセス制御システムの構成部分（コンポーネント）から正当な情報を受け取ることと、署名が正当な情報と少なくとも実質的に一致するかどうか判断することに関与する。署名が該正当な情報と少なくとも実質的に一致すると判断された場合に、該正当な情報が安全計装システムに達するのを回避する。
また別の実施例によって、安全計装システムを保護する例示的な装置を開示する。例示的な装置には、プロセス制御システムのプロセス制御部分から安全計装システム宛てに送られる正当な情報を受け取る受信部が含まれている。該装置には、少なくとも一つの署名を格納するためのデータ記憶部と、少なくとも一つの署名が正当な情報と少なくとも実質的に一致するかどうかを判断し且つ署名が正当な情報と少なくとも実質的に一致する場合に該正当な情報が安全計装システムに達するのを妨害するための署名分析部も含まれている。
さらに別の実施例によって、例示的な機械可読媒体を開示する。例示的な機械可読媒体はそれに格納される指示を含み、この指示が実行されると、機械に、プロセス制御システムのプロセス制御部分から安全計装システム宛てに送られる正当な情報を受け取り、その後署名が正当な情報と実質的に一致するかどうかを判断させる。機械可読指示は、実行されると、署名が正当な情報と少なくとも実質的に一致すると判断された場合に該正当な情報が安全計装システムに達するのを機械に防止させる。
【発明を実施するための最良の形態】
【０００９】
一般に、ここに記載される例示的な装置および方法は、制御システムの安全システム（例えば、安全計装システム（ＳＩＳ））のために侵入保護を提供するべく制御システムと関連して使用しうる。より具体的に、ここに記載される例示的な装置および方法は、プロセス制御システムにより送信されたあらかじめ定められた指示によって安全システムが制御されるのを妨害する。例示的な実施形態では、プロセス制御システムにより送信された正当な指示（例えば、有効な、公認の、許可された指示、など）が事前定義されている署名と一致する場合、それが安全システムに達するのを回避できるようになっている。
【００１０】
より詳細に後述されるように、例示的な侵入保護システム（ＩＰＳ）は、プロセス制御システムと、プロセス制御システムに関連する安全システム（即ち、ＳＩＳ）の間に備えられる。例示的なＩＰＳは、プロセス制御システムにより安全システムに通信された情報を受け取る。受信した情報が署名と一致するかどうか判断するために、例示的なＩＰＳは受信通信を署名と比較する。これらの一致は、受信した情報がソフトウェア・ダウンロード解錠指令であり、それが安全システムに対する正当な指示であることを示す。受信した情報が署名と一致する場合、例示的なＩＰＳは、その情報を破棄するか、さもなければその情報が安全システムに達するのを妨げる（即ち、その情報を安全システムに送信しない）。受信した情報が署名と一致しない場合、例示的なＩＰＳは、その情報を安全システムに経由させる且つ又は送信する。例示的なＩＰＳは、プロセス制御システムへの配送に向けられるまたはそれを目的とする情報を安全システムから受け取るようにも構成される。例示的なＩＰＳは、安全システムからプロセス制御システムに送信されたかかる情報を監視しない。
【００１１】
図１は、ここに記載される例示的な侵入保護装置および方法を含む例示的なプロセス制御システム１０のブロック図である。図１に示される如く、プロセス制御システム１０は侵入保護システム（ＩＰＳ）１５ａを含んでいる。またプロセス制御システム１０は、侵入保護システム（ＩＰＳ）１５ｂを介して、且つ又はスイッチ１７を介して安全計装システム部分１４（例えば、ＳＩＳ）に通信可能に連結されるプロセス制御部分１２も含んでいる。図示される実施例では、プロセス制御部分１２が被制御プロセスを実施するように構成され、安全計装システム部分１４が、一つ又は複数の安全でない状況に対応して被制御プロセスのシャットダウンを実施するように構成される。ＩＰＳ１５ａは、オペレータステーション１８、アクティブアプリケーション・ステーション２０、スタンバイアプリケーション・ステーション２２または遠隔オペレータステーション４４からプロセス制御部分１２または安全計装システム部分１４に通信された情報を監視し、且つ前もって選択されており（即ち、あらかじめ定められており）、識別子（例えば、署名、コード、など）を使用して識別された情報を阻止するように構成される。図中の例示的なのＩＰＳ１５ｂは、プロセス制御部分１２から安全計装システム部分１４に通信された情報を監視し、且つ前もって選択されており（即ち、あらかじめ定められており）、識別子（例えば、署名、コード、など）を使用して識別された情報を阻止するように構成される。
図１はＩＰＳ１５ａとＩＰＳ１５ｂの両方を含んで示されているが、プロセス制御システム１０の実施形態にはＩＰＳ１５ａとＩＰＳ１５ｂのうち一つまたは両方を含みうる。また、ＩＰＳ１５ａ且つ又はＩＰＳ１５ｂは、プロセス制御システム１０内のいかなる所望の位置にも配置しうる。
【００１２】
図１に示される実施例では、コントローラ１６、オペレータステーション１８、アクティブアプリケーション・ステーション２０およびスタンバイアプリケーション・ステーション２２が、基本的なプロセス制御部分１２に含まれており、すべて、一般にアプリケーション制御ネットワーク（ＡＣＮ）と呼ばれるローカルエリアネットワーク（ＬＡＮ）２４またはバスを介して通信可能に連結されるかもしれない、オペレータステーション１８およびアプリケーションステーション２０と２２については、一つ又は複数のワークステーションまたはその他いかなる適切なコンピュータ・システムまたは、処理装置を使用して実施しうる。例えば、シングルプロセッサまたはマルチプロセッサのワークステーションなど、図５に示される後述の例示的なプロセッサーシステム５００に類似するシングルプロセッサのパソコンを使用して、アプリケーションステーション２０および２２を実施することも可能である。また、所望のあらゆる通信メディアおよびプロトコルを使用してＬＡＮ  ２４を実施されうる。例えば、ＬＡＮ  ２４は、ハードワイヤード又はワイヤレスのイーサネット（登録商標）通信方式（周知のものであるため、ここにおいての更なる詳細にわたる説明は省略する）に基づきえる。しかしながら、通常の技術を有する当業者ならば、その他のあらゆる適切な通信媒体およびプロトコルを使用しえることは一目瞭然のはずである。さらに、ＬＡＮが一つだけ設けられた状態で示されているが、二つ以上のＬＡＮおよびアプリケーションステーション２０および２２内の適切な通信系ハードウェアを使用して、オペレータステーション１８とアプリケーションステーション２０と２２、ならびにコントローラ１６間に冗長通信経路を提供するようにしても良い。
【００１３】
コントローラ１６は、デジタルデータバス３２および入・出力（Ｉ／Ｏ）装置３４を介して、複数のスマート・フィールド装置２６、２８および３０に連結されうる。スマート・フィールド装置２６、２７、２８、２９および３０は、フィールドバス適合バルブ、アクチュエータ、センサなどでありえ、この場合、スマート・フィールド装置２６、２７、２８、２９および３０は、周知のフィールドバス・プロトコルによりデジタルデータバス３２を介して通信する。もちろんその他のタイプのスマート・フィールド装置や通信プロトコルを代わりに使用しても良い。例えば、スマート・フィールド装置２６、２７、２８、２９および３０は、その代りに、周知のプロフィバスおよびＨＡＲＴ通信プロトコルを使いデータバス３２を介して通信するプロフィバスまたはＨＡＲＴの適合装置でもありうる。（フィールドバス装置やＨＡＲＴ装置などでありうる）スマート・フィールド装置のグループをさらに追加してコントローラ１６と通信できるようにするために、（Ｉ／Ｏ装置３４に類似するか同一の）Ｉ／Ｏ装置を追加してコントローラ１６に連結するようにしても良い。
【００１４】
スマート・フィールド装置２６、２７、２８、２９および３０に加えて、一つ又は複数の非スマート・フィールド装置３６および３８をコントローラ１６に通信可能に連結しても良い。非スマート・フィールド装置３６および３８は、例えば、各々の配線接続式リンク４０および４２を介してコントローラ１６と通信するような、従来の４−２０ミリアンペア（ｍＡ）または０−１０ボルト直流（ＶＤＣ）装置でありうる。
【００１５】
コントローラ１６は、例えばフィッシャー−ローズマウント・システムズ社（Ｆｉｓｈｅｒ‐Ｒｏｓｅｍｏｕｎｔ Ｓｙｓｔｅｍｓ, Ｉｎｃ.）により販売されるＤｅｌｔａＶ（登録商標）コントローラでありうるが、その他のいかなるコントローラを代わりに使用することも可能である。さらに、図１においてはコントローラが一つだけ備えられた状態で図示されているが、ＬＡＮ  ２４に所望のあらゆるタイプのまたはタイプを組合せたコントローラを追加して連結することが可能である。コントローラ１６は、プロセス制御システム１０に関連する一つ又は複数のプロセス制御ルーチンを実行しえる。かかるプロセス制御ルーチンは、システムエンジニアまたはその他のシステム‐オペレータがオペレータステーション１８を使用して作成しても良いし、コントローラにダウンロードしても、コントローラ１６でインスタンス化するようにしても良い。
【００１６】
図１に示される如く、例示的なプロセス制御システム１０は、通信リンク４６およびＬＡＮ  ４８を介してアプリケーションステーション２０および２２に通信可能に連結される遠隔オペレータステーション４４も含みうる。遠隔オペレータステーション４４は地理的に遠く離れた所に配置しうるが、この場合、通信リンク４６が、（必ずしも必須条件ではないが）ワイヤレス通信回線、インターネットを基盤とするまたはその他パケット交換方式の通信ネットワーク、電話回線（例えば、デジタル加入者線）、またはそれのいかなる組合せであるのが好ましい。
【００１７】
図１の実施例に示される如く、アクティブアプリケーション・ステーション２０とスタンバイアプリケーション・ステーション２２は、ＬＡＮ  ２４を介して、また、冗長性リンク５０を介して、通信可能に連結される。冗長性リンク５０は、アクティブアプリケーション・ステーション２０とスタンバイアプリケーション・ステーション２２間の別個専用（即ち、共有されない）通信リンクでありうる。冗長性リンク５０は、例えば専用のイーサネット（登録商標）・リンク（例えば、お互いに連結されるアプリケーションステーション２０および２２の各々の中にある専用イーサネット（登録商標）・カード）を使用して実施しうる。但し、他の実施例では、アプリケーションステーション２０と２２に通信可能に連結されるＬＡＮ  ２４または冗長ＬＡＮ（図示せず）を使用して冗長性リンク５０を実施することも可能である。尚、前記ＬＡＮ  ２４または冗長ＬＡＮはいずれも必ず専用であるとは限らない。
【００１８】
一般的に言って、アプリケーションステーション２０および２２は、冗長コンテキストを確立且つ維持するべく、特例的にまたは定期的に、例えば、パラメーター値の変化や、アプリケーションステーションの構成変更などに対応して、情報を冗長リンク５０を介して継続的に交換する。ステーション２０と２２のうちの一つの不具合に対応しての、アクティブアプリケーション・ステーション２０とスタンバイアプリケーション・ステーション２２の間におけるシームレスまたは段差の無い制御のハンドオフまたは切換えが、冗長コンテキストによって可能になる。例えば、アクティブアプリケーション・ステーション２０内のハードウェアまたはソフトウェアの不具合に対応して、またはプロセス制御システム１０のシステム‐オペレータまたはユーザ或いはクライアントアプリケーションからの指令に応えて、アクティブアプリケーション・ステーション２０からスタンバイアプリケーション・ステーション２２に制御のハンドオフまたは切換えが行われるようにすることも、冗長コンテキストによって可能になる。
【００１９】
図１に示されるように、プロセス制御システム１０の安全計装システム部分１４には、ロジックソルバ５２と５４、およびフィールド装置５６と５８が含まれている。ロジックソルバ５２および５４は、例えばフィッシャー−ローズマウント・システムズ社が生産する市販のＤｅｌｔａＶ（登録商標）  ＳＬＳ  １５０８ロジックソルバを使用して実施しうる。一般に、ロジックソルバ５２および５４は、冗長回線６０を介して冗長ペアとして共働する。つまり、ロジックソルバ５２と５４、ならびに冗長リンク６０は、アプリケーションステーション２０と２２ならびに冗長リンク５０に関連して上述されるものと実質的に同じまたは類似する冗長技法を実施する。その他の例示的な実施形態では、その代りに、単一の非冗長ロジックソルバまたは複数の非冗長ロジックソルバを使用して、冗長ロジックソルバ５２および５４を実施することも可能である。
【００２０】
ここに示される実施例では、例示的なロジックソルバ５２および５４は、一つ又は複数の安全計装機能を実施するように構成される安全定格電子制御装置を使用して実施される。周知の如く、安全計装機能は、一つ又は複数からなる特定の災害且つ又は安全でない状況に関連する一つ又は複数のプロセス条件を監視し、プロセスのシャットダウンが妥当であるかどうかを判断するためにプロセス状態を評価して、妥当と見なされた場合には一つ又は複数のフィールド装置、構成部分且つ又は要素（例えば、シャットダウン・バルブ）に、プロセスのシャットダウンを達成または遂行させるように構成されている。
【００２１】
一般に、各安全計装機能は、少なくとも一つの感知装置、一つのロジックソルバ、および一つのフィールド装置、構成部分または要素（例えば、バルブ）を使用して実施される、ロジックソルバは、センサを介して少なくとも一つのプロセス制御パラメータを監視し、危険な状態が検出された場合には、プロセスの安全なシャットダウンを達成するようにフィールド装置、構成部分または要素を操作するように一般に構成されている。例えば、ロジックソルバは、容器槽またはタンク内の圧力を感知する圧力センサに通信可能に連結するようにしても良いし、また、圧力センサによって危険な超過圧状態が検出された場合にベントバルブを開かせるように構成しても良い。もちろん、安全計装システム内の各ロジックソルバは、一つまたは複数の安全計装機能を実施するように構成しても良く、よって、複数のセンサ且つ又はフィールド装置、構成部分または要素（これらは全て一般に安全定格もしくは認証済みのもの）に通信可能に連結しても良い。
【００２２】
フィールド装置５６および５８は、プロセスの状態を監視する且つ又はプロセス制御システム１０の被制御シャットダウンを達成するために使用できるセンサ、アクチュエータ且つ又はその他いかなるプロセス制御装置を含むスマート・フィールド装置または非スマート・フィールド装置でありうる。例えば、フィールド装置５６および５８は、安全認証済みまたは安全定格付きの流量センサ、温度センサ、圧力センサ、シャットダウン・バルブ、通気弁、遮断弁、臨界オン・オフ・バルブなどでありうる。図１の例示的なプロセス制御システム１０では、ロジックソルバ（５２と５４）が二つだけ、そしてフィールド装置（５６と５８）が二つだけ安全計装システム部分１４に備えられた状態で描かれているが、さらにフィールド装置且つ又はロジックソルバを追加して、いかなる所望の数の安全計装機能を実施するために使用しても良い。
【００２３】
図１に示されるように、フィールド装置５６および５８は、各々のリンク６２および６４を介して、ロジックソルバ５２および５４に通信可能に連結される。フィールド装置５６および５８がスマート装置である場合、ロジックソルバ５２および５４は配線接続式のデジタル通信プロトコル（例えば、ＨＡＲＴ、フィールドバス、など）を使用して、フィールド装置５６および５８に通信しうる。但し、その他所望のいかなる通信媒体（例えば、配線接続式、ワイヤレス、など）およびプロトコルを代わりに使用しても良い。また図１に示される如く、ロジックソルバ５２および５４は、ＩＰＳ１５ｂ且つ又はスイッチ１７およびバス３２およびＩ／Ｏ装置３４を介してコントローラ１６に通信可能に連結される。但し、代わりにその他所望のいかなる方法で、ロジックソルバ５２および５４をシステム１０内で通信可能に連結することも可能である。例えば、ＩＰＳ１５ｂ且つ又はスイッチ１７を介して、且つ又はＩＰＳ１５ｂ且つ又はスイッチ１７およびＬＡＮ  ２４を介して直接コントローラ１６にロジックソルバ５２および５４を連結することも可能である。ロジックソルバ５２および５４がシステム１０内において連結される方法にかかわらず、ロジックソルバ５２および５４が、必ずしもそうである必要はないが、コントローラ１６に関して論理的なピア（ｐｅｅｒ）であることが好ましい。
【００２４】
システム１０の例示的な実施形態において、安全計装システム部分１４（例えば、ロジックソルバ５４且つ又はロジックソルバ５２）の構成部分は、施錠状態および解錠状態を含む。解錠状態では、安全計装システム部分１４の施錠されていない構成部分（複数可）が、構成部分（複数可）に対する更新された指示且つ又はパラメータを含む通信を受け入れる能力がある。例えば、オペレータステーション１８は、プロセス制御部分１２のための更新済動作パラメータに関するダウンロード依頼をロジックソルバ５４に対して送信しうる。ロジックソルバ５４が施錠状態にある場合、ロジックソルバ５４はダウンロード依頼を無視することになる。安全計装システム部分１４の構成部分の状態は、安全計装システムコンポーネントがその他の構成部分（例えば、安全計装システム部分の構成部分、プロセス制御部分の構成部分、オペレーターワークステーション、など）から受け取った施錠および解錠指令により制御される。それに加えて、又はその代わりとして、フィールドバス・ファウンデーション（登録商標）システムに従って実施された装置は、解錠・施錠指令を受け取りうる錠締めブロックを含みうる。
【００２５】
図中の例示的なＩＰＳ１５ａは、オペレータステーション（オペレータステーション１８、アクティブアプリケーション・ステーション２０、スタンバイアプリケーション・ステーション２２および遠隔オペレータステーション４４）とプロセス制御部分１２および安全計装システム部分１４との間で通信される情報を監視する。図中の例示的なのＩＰＳ１５ｂは、プロセス制御部分１２および安全計装システム部分１４の間で通信される情報を監視する。図２を参照してさらに詳しく後述されるように、ＩＰＳ１５ａ且つ又はＩＰＳ１５ｂが、安全計装システム部分１４に向けられた（例えば、宛てられた、送信された、転送された、経由された、など）情報（例えば、メッセージ、パケット、指示、信号、など）を受け取る。ＩＰＳ１５ａ且つ又はＩＰＳ１５ｂは、その情報を、安全でないまたは危険な動作状態を防止するべくＩＰＳ１５ａ且つ又はＩＰＳ１５ｂにより阻止されるようにあらかじめ同定されている、またはあらかじめ選択されている情報を表すまたは示す参照署名と比較する。例えば、ＩＰＳ１５ａ且つ又はＩＰＳ１５ｂは、署名が情報と一致するかどうか、情報と実質的に一致する（例えば、署名の一部分が情報と一致する、署名と情報間の違いは許容閾値内にある、など）かどうか、などを判断しうる。例示的な実施形態のいくつかにおいては、参照署名（複数可）の一つ又は複数が受信情報と一致するかどうか判断するために、ＩＰＳ１５ａ且つ又はＩＰＳ１５ｂは、受信した情報の署名を生成し、その生成された署名を、参照署名（複数可）の一つ又は複数と比較する。或いは、ＩＰＳ１５ａ且つ又はＩＰＳ１５ｂは、受信した情報の特定のデータ部分を、参照署名（複数可）の一つ又は複数と比較しうる。かかるデータには、文字列、英数字列、２進列、特定の指令などが含まれうる。それ以外の例示的な実施形態では、その他の署名一致方法を代わりに使用しうる。
【００２６】
情報が署名（複数可）と一致するとＩＰＳ１５ａ且つ又はＩＰＳ１５ｂが判断した場合、ＩＰＳ１５ａ且つ又はＩＰＳ１５ｂは、情報が安全計装システム部分１４に達するのを妨げる。情報が署名（複数可）と一致しないとＩＰＳ１５ａ且つ又はＩＰＳ１５ｂが判断した場合、ＩＰＳ１５ａ且つ又はＩＰＳ１５ｂは、安全計装システム部分１４から情報を受け取り、監視を行わずに情報のプロセス制御部分１２への伝送を図る。
【００２７】
ＩＰＳ１５ａ且つ又はＩＰＳ１５ｂは、通信を監視する能力を有するいかなるタイプのネットワーク通信要素を使用して実施しうる。例えば、ＩＰＳ１５ａ且つ又はＩＰＳ１５ｂは、専用のファイアウォールや、監視能力を有するネットワーク・ルータ、監視能力を有するネットワーク・スイッチ、また、プロセス制御部分１２と安全計装システム部分１４にインターフェース接続が可能であり且つプロセス制御部分１２と安全計装システム部分１４間での通信を監視できるパソコン、などでありうる。例えば、ＩＰＳ１５ａ且つ又はＩＰＳ１５ｂは、ソースファイア（Ｓｏｕｒｃｅｆｉｒｅ：登録商標）社から販売されているスノート（Ｓｎｏｒｔ：登録商標）侵入保護ソフトウェアを実行してパソコン、サーバーコンピュータ、デスクトップ・コンピュータなどを使用することにより実施しうる。例示的なＩＰＳ１５ａ且つ又はＩＰＳ１５ｂは、安全計装システム部分１４から送信されオペレータステーションまたはプロセス制御部分１２にて受信した情報を監視しないが、その他の例示的な実施形態では、かかる通信を監視するとともに、またはそれの代わりに、反対方向の通信を監視するようにＩＰＳ１５ａ且つ又はＩＰＳ１５を構成しうる。
【００２８】
図中の実施例によると、ＩＰＳ１５ａ且つ又はＩＰＳ１５ｂは、解錠指令（例えば、フィールドバス・ファウンデーション・システムに応じた解錠指令、コントローラ用の解錠指令、など）がシステム１０の安全計装システム部分１４に通信されるのを妨げる。言い換えると、プロセス制御部分１２（例えば、オペレータステーション１８）の構成部分で作業を行っているユーザは、たとえ解錠指令がプロセス制御部分１２により許可された正当なメッセージであっても、プロセス制御部分１２の構成部分から解錠指令を送信することによって安全計装システム部分１４のいかなる構成部分を解錠状態にすることができない。
【００２９】
図中の例示的なの安全計装システム部分１４の構成部分の解錠を図るべく、スイッチ１７ａおよびスイッチ１７ｂは、ＩＰＳ１５ａとＩＰＳ１５ｂを各々迂回する能力を提供するように構成される。スイッチ１７ａおよびスイッチ１７ｂは、意図した目的地点に到達することをＩＰＳ１５ａまたはＩＰＳ１５ｂにより阻止されている通信を可能にする。スイッチ１７ａ且つ又はスイッチ１７ｂは、（図中の）ＩＰＳ１５ａ且つ又はＩＰＳ１５ｂとは別の装置として実施されうる、または、代替方法として、ＩＰＳ１５ａ且つ又はＩＰＳ１５ｂに統合されうる。スイッチ１７ａ且つ又はスイッチ１７ｂは、機密保護機構（例えば、鍵錠、機密保護コードを入力するためのキーパッド、など）を含みうる。或いは、スイッチ１７ａ且つ又はスイッチ１７ｂには統合機密保護性能を含みうる。例えば、スイッチ１７ａ且つ又はスイッチ１７ｂへの不正なアクセスを防止するために十分な物理的機密保護を備える施設にスイッチ１７ａ且つ又はスイッチ１７ｂが設けられている場合、スイッチ１７ａ且つ又はスイッチ１７ｂに統合機密保護を必要としないかもしれない。また、例示的な実施形態のいくつかにおいては、システム１０がスイッチ１７ａ且つ又はスイッチ１７ｂを含んでいないものもありうる。
【００３０】
ＩＰＳ１５ａ且つ又はＩＰＳ１５ｂを迂回するべくスイッチ１７ａ且つ又はスイッチ１７ｂを使用することに加えて、ＩＰＳ１５ａ且つ又はＩＰＳ１５ｂ内部の構成部分から（例えば、安全計装システム部分１４の構成部分から）解錠指令を送信することにより安全計装システム部分１４の構成部分を解錠しうる。例えば、安全計装システム部分１４に直接に接続される（すなわち、安全計装システム部分１４にＩＰＳ１５を介して接続されていない）オペレータ端末は、安全計装システム部分１４の構成部分に解錠指令を送信しうる。かかる実施形態によると、安全計装システム部分１４に直接に接続される装置により解錠指令が発行されうる。そして、所望のダウンロードが完了したときに、安全計装システム部分１４の構成部分またはプロセス制御部分１２の構成部分により施錠指令が発行されうる。或いは、ＩＰＳ１５ａ且つ又はＩＰＳ１５ｂを含むシステム中の構成部分を解錠するその他の適した方法のいかなるものを使用しうる。
【００３１】
図２は、図１の例示的なＩＰＳ１５ａ且つ又はＩＰＳ１５ｂの詳細ブロック図である。説明を簡単にするために、ＩＰＳ１５ｂに関連して図２を説明する。図中に実施例に示される例示的なＩＰＳ１５ｂには、第１のパケット受信部２０２、署名分析部２０４、署名データ記憶部２０６、第１のパケット送信部２０８、第２のパケット送信部２１０および第２のパケット受信部２１２が含まれている。
【００３２】
図中の例示的なの第１のパケット受信部２０２は、プロセス制御システムのプロセス制御部分（例えば、図１のシステム１０のプロセス制御部分１２）から通信された情報を受け取る。第１のパケット受信部２０２は、受信した情報を署名分析部２０４に伝送する。第１のパケット受信部２０２は、例えばローカルエリアネットワーク・インターフェース、広域ネットワーク・インターフェース、ワイヤレスネットワーク・インターフェース、サービス提供者ネットワーク・インターフェースなどといった、いかなるタイプの通信インターフェースでありうる。例示的な第１のパケット受信部２０２は、別個の装置として実施しても、或いは、単一装置において送信部（例えば、第２のパケット送信部２１０）と共に実施してパケット送受信部を形成するようにしても良い。
【００３３】
図中の例示的なの署名分析部２０４は、署名データ記憶部２０６から署名を読み出して、第１のパケット受信部２０２から受信した情報と署名とを比較する。読み出された署名の一つ又は複数に情報が一致すると署名分析部２０４が判断すると、署名分析部２０４は、通信が第１のパケット送信部２０８に伝送されるのを妨げる（すなわち、情報が安全システムに伝送されるのを妨げる）。署名分析部２０４を実施する例示的なプロセスは、図３のフローチャートに関連して説明することにする。
【００３４】
例示的な署名データ記憶部２０６は、恐らくプロセス制御部分１２から受け取られて署名分析部２０４により分析されるであろう情報の署名を格納する。図示される実施例においては、署名データ記憶部２０６に格納された署名が、それ以外の場合は安全計装システム部分１４への伝送を許されるであろう正当な情報の特徴を述べる（示す）。かかる情報は、安全計装システム部分１４へと伝送され、それの一つ又は複数の動作を変更するように安全計装システム部分１４によって解釈されるかもしれない。但し、署名分析部２０４が、安全でないまたは危険な動作を防止すべく、ここに示される実施例においては、かかる情報を阻止するように構成されている。例えば、パケットヘッダにおける第１のオフセットでの第１の値とパケットヘッダにおける第２のオフセットでの第２の値とを有する通信パケットが、安全システムに達することを回避すべき「解錠」指示である、と署名が示しうる。
【００３５】
第１のパケット送信部２０８は、署名分析部２０４により断念されない情報を受信して、その受信した情報をプロセス制御システムの安全計装システム部分（例えば、図１の安全計装システム部分１４）に伝送する。第１のパケット送信部２０８は、例えばローカルエリアネットワーク・インターフェース、広域ネットワーク・インターフェース、ワイヤレスネットワーク・インターフェース、サービス提供者ネットワーク・インターフェースなどといった、いかなるタイプの通信インターフェースでありうる。例示的な第１のパケット送信部２０８は、別個の装置として実施しても良いし、或いは、受信部（例えば、第２のパケット受信部２１２）と共に単一の装置に組み込んでパケット送受信部を形成するようにしても良い。
【００３６】
図中の例示的なの第２のパケット受信部２１２は、プロセス制御システムのプロセス制御部分に宛てられた情報を安全計装システム部分１４から受信する。図中の実施例によると、第２のパケット受信部２１２は第２のパケット送信部２１０に情報を伝送する。或いは、第２のパケット受信部２１２が、安全計装システム部分１４から制御システム１０のプロセス制御部分１２に宛てられた情報のフィルタリングを可能にするために、受信した通信を、署名分析部（例えば、署名分析部２０４）に伝送しうる。第２のパケット送信部２１０は、パケット受信部２１２から情報を受信し、プロセス制御システム１０のプロセス制御部分１２にパケットを伝送する。第２のパケット送信部２１０および第２のパケット受信部２１２は、例えばローカルエリアネットワーク・インターフェース、広域ネットワーク・インターフェース、ワイヤレスネットワーク・インターフェース、サービス提供者ネットワーク・インターフェースなどといった、いかなるタイプの通信インターフェースでありうる。
【００３７】
図３は、図１および図２のＩＰＳ１５ａ且つ又はＩＰＳ１５ｂを実施するのに使用しうる例示的なプロセスを示すフローチャートである。図４は、例えば、図１の遠隔オペレータステーション４４、アクティブアプリケーション・ステーション２０、スタンバイアプリケーション・ステーション２２、オペレータステーション１８、ＩＰＳ１５ａ、ＩＰＳ１５ｂ、ロジックソルバ５４、且つ又はロジックソルバ５２など、図１のシステム１０の構成部分により実施しうる例示的なプロセスを示すフローチャートである。図３且つ又は図４の例示的なプロセスは、プロセッサ、コントローラ且つ又はその他いかなる適切な処理装置により実行しうる。例えば、図３且つ又は図４の例示的なプロセスは、プロセッサ（例えば、図５に関連して後述される例示的なプロセッサ５０５）に関連するフラッシュメモリ、読み出し専用メモリ（ＲＯＭ）、且つ又はランダムアクセス記憶装置（ＲＡＭ）など、有形の機械アクセス可能媒体または機械可読媒体に格納されたコード化指令において具現化されうる。或いは、特定用途向け集積回路（ＡＳＩＣ）（複数可）、プログラム可能論理回路（ＰＬＤ）（複数可）、フィールド・プログラム可能論理回路（ＦＰＬＤ）（複数可）、離散論理、ハードウェア、ファームウェアなどのいかなる組合せの使用することによっても、図３且つ又は図４の例示的な動作のいくつかまたは全てを実施しうる。また、図３且つ又は図４に描かれる動作は、マニュアル操作によっても、または前述のいかなる技法のいかなる組合せ（例えばファームウェア、ソフトウェア、離散論理且つ又はハードウェアのいかなる組合せ）としても実施しうる。さらに、図３且つ又は図４の例示的なプロセスについては図３且つ又は図４のフローチャートに関連して説明したが、その他の方法が採用しても図３且つ又は図４の例示的なプロセスを実施しうる。例えば、諸ブロックの実行命令は変更されうるものであり、且つ又は、記載されるブロックのいくつかは、変更、削除、再分割、または混合されうるものである。加えて、図３且つ又は図４の例示的な動作のいかなるものまたは全てを、例えば、別の処理スレッド、プロセッサ、装置、離散論理、回路などによって並列して行うようにしても良いし、且つ又は、順次に行うようにしても良い。
【００３８】
説明を簡単にするために、ＩＰＳ１５ｂに関連して図３を説明したが、その代わりとして、ＩＰＳ１５ａを実施するために図３のプロセスを使用しても良い。（例えば、図１の安全計装システム部分１４のロジックソルバ５４などの）安全計装システムに宛てられた通信パケットが侵入保護システム（例えば、図１のＩＰＳ１５ｂ）にて受信された時点で、図３の例示的なプロセスが開始される（ブロック３０２）。安全計装システム部分１４はその後、利用可能なデータ記憶部（例えば、図２のデータ記憶部２０６）から一つ又は複数の署名を読み出す（ブロック３０４）。安全計装システムはその後、読み出された一つ又は複数の署名と受け取った通信パケットを比較する（ブロック３０６）。例えば、図２の署名分析部２０４は、第１のパケット受信部２０２から受け取った通信パケットを、署名データ記憶部２０６から読み出された一つ又は複数の署名と比較しうる。通信パケットを署名（複数可）と比較するためのいかなる方法を使用しうる。
【００３９】
受信した通信パケットを、読み出された一つ又は複数の署名と比較した（ブロック３０６）後、署名分析部２０４は、受信通信パケットが読み出された署名の一つ又は複数と一致するかどうか判断する（ブロック３０８）。受信した通信パケットが読み出された署名の一つ又は複数と一致しない（ブロック３０８）場合、第１のパケット送信部２０８（図２）は、その通信パケットを、適切な安全計装システムへと送る（ブロック３１０）。受信した通信パケットが読み出された署名の一つ又は複数と一致する（ブロック３０８）場合、署名分析部２０４は通信パケットを阻止する（すなわち、通信パケットの宛先となっている安全計装システムに対して通信パケットが送られない）（ブロック３１２）。その後、図３の例示的なプロセスは終了する。ここに示される実施例では、図３の例示的なプロセスが、パケットがパケット受信部２０２により受信される度に遂行されるようになっている。
【００４０】
図４のプロセスは、ソフトウェアを図１のプロセス制御システム１０に対して安全にダウンロードするために使用しうる例示的なプロセスの例示である。図４のプロセスは、ＩＰＳ１５ｂに関連して説明されているが、その代わりに、ＩＰＳ１５ａおよびそれに関連する通信と共に該プロセスを使用しても良い。プロセス制御システムの構成部分（例えば、システム１０のオペレータステーション１８）が安全計装システムの構成部分（例えば、安全計装システム部分１４のロジックソルバ５２）に解錠指令を送信した時点で、図４のプロセスが開始される（ブロック４０２）。侵入保護システム（例えば、図１および２のＩＰＳ１５ｂ）は、解錠指令を受け取り、解錠指令が阻止されるべき正当な指示であると判断すると、解錠指令を断念または阻止する（ブロック４０４）。通信を分析および阻止する例示的なプロセスを図３に示す。
【００４１】
図中の例示的なプロセスによると、以降ある時点で、安全計装システム部分１４におけるワークステーション（例えば、ロジックソルバ５２に関連するワークステーション）から安全計装システム部分１４に解錠指令が送信される（ブロック４０６）。言い換えると、ＩＰＳ１５ｂを介して安全計装システム部分１４に接続されない通信リンクを介して指令が送信される。よって、解錠指令がＩＰＳ１５ｂにより阻止されない。しかるべく、解錠指令が宛てられた安全計装システム部分１４に達し、安全計装システム部分１４は解錠状態に置かれる（ブロック４０８）。例えば、安全計装システムは、安全計装システム部分１４が安全計装システム部分１４に送信されたダウンロード依頼を受け入れる解錠状態になりうる。
【００４２】
安全計装システム部分１４が解錠状態になった後、プロセス制御システム１０内の構成部分は安全計装システム部分１４にソフトウェア・ダウンロードを送る（ブロック４１０）。例えば、オペレータステーション１８は、安全計装システム部分１４のために更新されたパラメータを含むダウンロード依頼を送信しうる。ダウンロード工程が完了した後、プロセス制御システム１０内の構成部分は、安全計装システム部分１４を施錠状態に戻すように施錠指令を送信する（ブロック４１２）。しかるべく、許可されていない装置が安全計装システム部分１４にダウンロード依頼を送信しないように、安全計装システム部分１４は施錠状態に戻る。その後、図４の例示的なプロセスは終了する。
【００４３】
図５は、ここに記載される図１のプロセス制御システム１０の全て、またはいかなる部分且つ又は構成部分を実施するように使用且つ又はプログラムしうる例示的なプロセッサー・プラットフォーム５００の概略図である。例えば、プロセッサー・プラットフォーム５００は、一つ又は複数の凡用プロセッサ、プロセッサコア、マイクロコントローラなどにより実施することができる。
【００４４】
図５の実施例のプロセッサー・プラットフォーム５００は、汎用プログラム可能プロセッサ５０５を少なくとも一つ含んでいる。プロセッサ５０５は、プロセッサ５０５のメインメモリ（例えば、ＲＡＭ５１５且つ又はＲＯＭ５２０内）にあるコード化指令５１０且つ又は５１２を実行する。プロセッサ５０５は、プロセッサコア、プロセッサ且つ又は、マイクロコントローラなど、いかなるタイプの処理装置でありうる。プロセッサ５０５は、例示的なＩＰＳ１５ａ且つ又はＩＰＳ１５ｂまたはここに記載されるその他のいかなる装置を実施すべく、その他存在するものの中でも図３且つ又は図４の例示的なプロセスを実行しうる。プロセッサ５０５は、バス５２５を介してメインメモリ（ＲＯＭ  ５２０且つ又はＲＡＭ  ５１５を含む）と通信状態にある。ＲＡＭ５１５は、ＤＲＡＭ、ＳＤＲＡＭ、且つ又はのその他いかなるタイプのＲＡＭ装置により実施しうる。また、ＲＯＭ５２０は、フラッシュメモリ且つ又はその他所望のいかなるタイプの記憶装置により実施しうる。メモリ５１５および５２０へのアクセスはメモリ制御器（図示せず）により制御されうる。
【００４５】
プロセッサー・プラットフォーム５００はまた、インターフェース回路５３０も含んでいる。インターフェース回路５３０は、ＵＳＢインターフェース、ブルートゥース（登録商標）インターフェース、外部メモリインターフェース、シリアルポート、汎用入・出力などといった、いかなるタイプのインターフェース規格を使用して実施しうる。一つ又は複数の入力装置５３５および一つ又は複数の出力装置５４０が、インターフェース回路５３０に接続される。
【００４６】
特定の例示的な方法、装置および製造品をここに記載したが、本特許の適用範囲はそれに限定されるものではない。また、かかる実施例は、本発明の説明に役立つ非限定的な具体例として記載されているに過ぎず、本特許はむしろ、字義的にもしくは均等論に基づいて添付の特許請求の範囲内に公正に含まれる方法、装置および製造品の全てを網羅するものである。
【００４７】
なお、前述の開示は安全システム（例えば、安全計装システム）を保護するために実施されるとして説明したが、ここに記載される装置および方法は、その他のタイプの重要な／危険性の高いシステムを保護するためにも実施しうる。例えば、タービン制御システム、タービン保護装置、防火システム、ガス検知システムなどに変更が加えられるような事態を防ぐ目的で、該装置および方法を使用しても良い。
【図面の簡単な説明】
【００４８】
【図１】本発明の例示的な侵入保護システムの装置および方法を使用するように構成しうる例示的なプロセス制御システムのブロック図である。
【図２】図１の例示的な侵入保護システムの詳細ブロック図である。
【図３】図１および図２の例示的な侵入保護システムを実施するために使用しうる例示的な方法を表すフローチャートである。
【図４】プロセス制御システムにソフトウェアをダウンロードするために図１および図２の例示的な侵入保護システムと関連して使用しうる例示的な方法を示すフローチャートである。
【図５】本発明の記載される装置および方法を実施するために使用しうる例示的な処理システムのブロック図である。
【図１】
0005479699.tif 000002
【図２】
0005479699.tif 000003
【図３】
0005479699.tif 000004
【図４】
0005479699.tif 000005
【図５】
0005479699.tif 000006