(57)【要約】【課題】制御されたデバイスアクセスのためのシステムおよび方法を提供する。【解決手段】産業環境は、産業システムデバイスを含む。産業システムデバイスは、産業システムデバイスのための１つ以上のアクセスの制約のセキュリティポリシーを記述する証明書を受信し、産業システムデバイス上でセキュリティポリシーを実装する、プロセッサを含む。したがって、デバイスへのアクセスは、デバイス上で完了される特定のジョブに基づいてカスタマイズ可能であり得、より適切なデバイスアクセスを提供する。さらに、セキュリティポリシー証明書は、「常時オン」のサーバベースのシステムに依拠せずにデバイスに提供されることができ、デバイスへのアクセスのためのより少ない障害点を結果として生じる。【選択図】図１
2015215896.tif 000002
【特許請求の範囲】
【請求項１】
産業システムデバイス（１２、１４、１６、１８）を備える産業システム（１０、１００、１３０）であって、
前記産業システムデバイス（１２、１４、１６、１８）は、プロセッサ（２０）を備え、
前記プロセッサ（２０）は、前記産業システムデバイス（１２、１４、１６、１８）のための１つ以上のアクセスの制約を記述するセキュリティポリシー（３８）を備える証明書（１０８）を受信し、
前記産業システムデバイス（１２、１４、１６、１８）上で前記セキュリティポリシー（３８）を実装するように構成される、産業システム（１０、１００、１３０）。
【請求項２】
前記セキュリティポリシー（３８）は、前記産業システムデバイス（１２、１４、１６、１８）のために完了されるべきジョブに基づいて前記産業システムデバイス（１２、１４、１６、１８）のための１つ以上のジョブベースのアクセスの制約を記述する、ジョブベースのセキュリティポリシーを備える、請求項１に記載の産業システム（１０、１００、１３０）。
【請求項３】
前記産業システムデバイス（１２、１４、１６、１８）は、公開鍵（１１２）を格納するプロセッサ読み取り可能なメモリ（２２）を備え、
前記証明書（１０８）は、秘密鍵（１１０）を用いて署名され、
前記プロセッサ（２０）は、前記秘密鍵（１１０）と前記公開鍵（１１２）とに基づいて前記証明書（１０８）を検証し、
前記証明書（１０８）が検証された場合、前記セキュリティポリシー（３８）を実装し、
前記証明書（１０８）が検証されなかった場合、前記セキュリティポリシー（３８）を実装しないように構成される、請求項１に記載の産業システム（１０、１００、１３０）。
【請求項４】
前記産業システム（１０、１００、１３０）は、１つ以上のプロセッサ実装された管理ツール（３６）を備え、
前記１つ以上のプロセッサ実装された管理ツール（３６）は、
前記産業システムデバイス（１２、１４、１６、１８）のデータにアクセスするか、
前記産業システムデバイス（１２、１４、１６、１８）の構成設定（２８）を編集するか、またはその両方をするように構成され、
前記アクセス、前記編集、またはその両方は、前記セキュリティポリシー（３８）の影響下にある、請求項１に記載の産業システム（１０、１００、１３０）。
【請求項５】
プロセッサ実装されたアクセス制御システム（１０４）を備え、
前記プロセッサ実装されたアクセス制御システム（１０４）は、前記産業システムデバイス（１２、１４、１６、１８）上で完了されるべきジョブを決定し、
前記産業システムデバイス（１２、１４、１６、１８）上で完了されるべき前記ジョブに基づいて前記セキュリティポリシー（３８）を定義するように構成される、請求項１に記載の産業システム（１０、１００、１３０）。
【請求項６】
プロセッサ実装された認証局（１０６）を備え、
前記プロセッサ実装された認証局（１０６）は、前記アクセス制御システム（１０４）から前記セキュリティポリシー（３８）を受信し、
前記受信されたセキュリティポリシー（３８）に基づいて前記証明書（１０８）を生成し、
秘密鍵（１１０）を用いて前記証明書（１０８）に署名するように構成される、請求項５に記載の産業システム（１０、１００、１３０）。
【請求項７】
前記認証局（１０６）は、前記産業システムデバイス（１２、１４、１６、１８）のデータにアクセスするか、前記産業システムデバイス（１２、１４、１６、１８）の構成設定（２８）を編集するか、またはその両方をするように構成された、１つ以上のプロセッサ実装された管理ツール（３６）に、前記秘密鍵（１１０）を用いて署名された前記証明書（１０８）を提供するように構成される、請求項６に記載の産業システム（１０、１００、１３０）。
【請求項８】
前記１つ以上のプロセッサ実装された管理ツール（３６）は、前記産業システムデバイス（１２、１４、１６、１８）のデータへのアクセス、前記産業システムデバイス（１２、１４、１６、１８）の構成設定（２８）の編集、またはその両方を試みる前に、前記産業システムデバイス（１２、１４、１６、１８）に前記秘密鍵（１１０）を用いて署名された前記証明書（１０８）を提供するように構成される、請求項７に記載の産業システム（１０、１００、１３０）。
【請求項９】
前記認証局（１０６）は、前記秘密鍵（１１０）を用いて署名された前記証明書（１０８）を、前記証明書（１０８）を最初に別のプロセッサベースのシステム（１１４）に提供せずに前記産業システムデバイス（１２、１４、１６、１８）に提供するように構成される、請求項６に記載の産業システム（１０、１００、１３０）。
【請求項１０】
前記証明書（１０８）は暗号化され、前記産業システムデバイス（１２、１４、１６、１８）の前記プロセッサ（２０）は、前記証明書（１０８）が解読された後にのみ前記産業システムデバイス（１２、１４、１６、１８）上で前記セキュリティポリシー（３８）を実装するように構成される、請求項１に記載の産業システム（１０、１００、１３０）。
【請求項１１】
前記産業システム（１０、１００、１３０）の少なくとも１つのコンポーネントは、解読鍵、生体データ、パスワード、またはそれらの任意の組み合わせ（１３６）に基づいて前記証明書（１０８）を解読するように構成される、請求項１０に記載の産業システム（１０、１００、１３０）。
【請求項１２】
特定の産業システムデバイス（１２、１４、１６、１８）のための１つ以上のジョブベースのアクセス権を決定すること（５２）と、
前記１つ以上のジョブベースのアクセス権のための機械読み取り可能な定義を備えるデジタル証明書（１０８）を生成すること（５４）と、
前記特定の産業システムデバイス（１２、１４、１６、１８）上に格納された公開鍵（１１２）に対応する秘密鍵（１１０）を用いて前記デジタル証明書（１０８）に署名すること（５６）と
を備える方法（５０、７０）。
【請求項１３】
前記デジタル証明書（１０８）に署名した後、前記デジタル証明書（１０８）を前記特定の産業システムデバイス（１２、１４、１６、１８）に、直接的に、またはプロセッサベースの中間システム（１１４）を介して間接的に、のいずれかで提供することを備える、請求項１２に記載の方法（５０、７０）。
【請求項１４】
前記ジョブベースのアクセス権は、一時的なアクセス権を備える、請求項１２に記載の方法（５０、７０）。
【請求項１５】
前記デジタル証明書（１０８）は、Ｘ．５０９証明書、またはＸＭＬ証明書、またはその両方を備える、請求項１２に記載の方法（５０、７０）。
【請求項１６】
機械読み取り可能な命令を備える有形の非一時的な機械読み取り可能な媒体であって、
前記機械読み取り可能な命令は、秘密鍵（１１０）を用いて署名された証明書（１０８）を受信し、
産業システムデバイス（１２、１４、１６、１８）から公開鍵（１１２）を検索し、
少なくとも前記秘密鍵（１１０）と前記公開鍵（１１２）とに基づいて前記証明書（１０８）の有効性を決定し、
前記証明書（１０８）が無効である場合、前記証明書（１０８）を無視し、
前記証明書（１０８）が有効である場合、前記証明書（１０８）において定義されたセキュリティポリシー（３８）を決定し、前記産業システムデバイス（１２、１４、１６、１８）上で前記セキュリティポリシー（３８）を実装するためのものである、有形の非一時的な機械読み取り可能な媒体。
【請求項１７】
暗号化された前記証明書（１０８）を受信し、
前記証明書（１０８）の有効性を決定する前に前記証明書（１０８）を解読するための機械読み取り可能な命令を備える、請求項１６に記載の機械読み取り可能な媒体。
【請求項１８】
パスワード、生体データ、またはその両方（１３６）を受信し、
前記パスワード、生体データ、またはその両方（１３６）の有効性を決定し、
前記パスワード、生体データ、またはその両方（１３６）が有効である場合にのみ前記セキュリティポリシー（３８）を実装するための機械読み取り可能な命令を備える、請求項１６に記載の機械読み取り可能な媒体。
【請求項１９】
前記セキュリティポリシー（３８）は、ジョブベースのセキュリティポリシーを備える、請求項１６に記載の機械読み取り可能な媒体。
【請求項２０】
前記証明書（１０８）は、Ｘ．５０９標準に準拠した証明書、ＸＭＬ証明書、またはその両方を備える、請求項１６に記載の機械読み取り可能な媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本明細書において開示される主題は、電子デバイスアクセスに関する。具体的には、本明細書において開示される実施形態は、これらのデバイスへの制御されたアクセスを提供するためのシステムおよび方法に関する。
【背景技術】
【０００２】
変電所は、電気電力を発電し、送電し、および／または配電し得るより大きな電気事業者局の補助局または分岐局である。変電所は、高電圧から低電圧に変圧することまたはその逆、送電システムから配電システムに電力を転送すること、発電所（たとえば、タービン駆動型の電力発電システム、ウィンドファーム、等）から電力を収集して送電システムに転送すること、といった機能を実行し得る。そのようなものとして、変電所は一般的に、変電所内の処理に関するデータを提供する構成可能な機器を含み得る。たとえば、発電、送電、および／または配電は、インテリジェント電子デバイス（ＩＥＤ）、配電自動化デバイス、スマートメータ、または他のプロセッサベースの機器を含み得る。これらのデバイスの構成機能およびデータ収集機能へのアクセスは従来、ユーザがこれらのデバイス上のキーパッドにアクセスする、および／または、ダイレクトシリアル接続を介してデバイスにアクセスするといった、ローカル処理であった。したがって、これらのデバイスを含む物理的構内を安全にすることがこれらのデバイスへのアクセスに関する十分な保護とみなされることが多かった。
【０００３】
時間と共にユーティリティシステムデバイスがますます高度でインテリジェントになるにつれ、これらのデバイスとユーティリティシステム内の他のデバイスとの間のネットワーク通信が増加してきている。残念なことに、これらの新たな通信機能は、増大した露出をもたらし得るので、ただ単に構内セキュリティに依拠するだけではあまり効果的であるとは言えない。さらに、構内ベースのセキュリティは、アクセスのデバイス固有のカスタマイゼーションを提供しない。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】米国特許出願公開第２０１０／０３０６５３３号明細書
【発明の概要】
【０００５】
当初特許請求された発明と範囲において対応するある特定の実施形態が、以下に要約される。これらの実施形態は、特許請求された発明の範囲を限定するように意図されたものではなく、むしろこれらの実施形態は、本発明の可能な形態の簡単な概要を提供するようにのみ意図されている。実際、本発明は、以下に説明される実施形態と同様であるかまたは異なり得る、さまざまな形態を包含し得る。
【０００６】
第１の実施形態において、産業環境は、産業システムデバイスを含む。産業システムデバイスは、産業システムデバイスのための１つ以上のアクセスの制約のセキュリティポリシーを記述する証明書を受信し、産業システムデバイス上でセキュリティポリシーを実装する、プロセッサを含む。
【０００７】
第２の実施形態において、方法は、特定の産業システムデバイスのための１つ以上のジョブベースのアクセス権を決定することと、１つ以上のジョブベースのアクセス権のための機械読み取り可能な定義を備えるデジタル証明書を生成することと、特定の産業システムデバイス上に格納された公開鍵に対応する秘密鍵を用いてデジタル証明書に署名することとを含む。
【０００８】
第３の実施形態において、有形の非一時的な機械読み取り可能な媒体は、秘密鍵を用いて署名された証明書を受信し、産業システムデバイスから公開鍵を検索し、少なくとも秘密鍵と公開鍵とに基づいて証明書の有効性を決定するための、機械読み取り可能な命令を含む。証明書が無効である場合、命令は、証明書を無視する。証明書が有効である場合、命令は、証明書において定義されたセキュリティポリシーを決定し、産業システムデバイス上でセキュリティポリシーを実装する。
【０００９】
本発明のこれらのおよび他の特徴、態様、および利点は、同一の符号が図面全体を通して同一のパーツを表す添付図面を参照しながら以下の詳細な説明を読むと、より良好に理解されるようになるであろう。
【図面の簡単な説明】
【００１０】
【図１】本アプローチの実施形態に係る、電気送出システムを示すブロック図である。
【図２】本アプローチの実施形態に係る、デバイスセキュリティ証明書を生成するための処理を示すフローチャートである。
【図３】本アプローチの実施形態に係る、デバイスへのアクセスを承諾するための処理を示すフローチャートである。
【図４】本アプローチの実施形態に係る、図２および図３の処理を用いたシステムを示すブロック図である。
【図５】本アプローチの実施形態に係る、図２および図３の処理を用いた代替のシステムを示すブロック図である。
【発明を実施するための形態】
【００１１】
本発明の１つ以上の特定の実施形態が以下に説明される。これらの実施形態の簡潔な説明を提供するために、実際の実装のすべての特徴が本明細書において説明され得るわけではない。任意のそのような実際の実装の開発では、任意の工学プロジェクトまたは設計プロジェクトと同様に、ある実装と別の実装とで異なり得るシステム関連の制約およびビジネス関連の制約の遵守といった開発者の特定の目標を達成するために、実装固有の多数の決定がなされなくてはならない、ということが理解されるべきである。さらに、そのような開発努力は、複雑で時間のかかるものであるかもしれないが、それにもかかわらず、本開示の恩恵を有する当業者にとっては、設計、製作、および製造のルーチン業務であろう、ということが理解されるべきである。
【００１２】
本発明のさまざまな実施形態の要素を導入する際、「一つの（ａ）」、「一つの（ａｎ）」、「前記（ｔｈｅ）」、および「前記（ｓａｉｄ）」といった冠詞は、要素が１つ以上存在することを意味するように意図される。「備える（ｃｏｍｐｒｉｓｉｎｇ）」、「含む（ｉｎｃｌｕｄｉｎｇ）」、および「有する（ｈａｖｉｎｇ）」といった用語は、包括的であるように意図され、列挙された要素以外の追加の要素が存在し得ることを意味する。本明細書において使用される説明は、電気グリッド、電気発電システム、送電システム、および／または配電システムにおける使用について言及するが、そのような限定が意図されるわけではない。さらに、議論は、具体的にインテリジェント電子デバイス（ＩＥＤ）について言及し得るが、本明細書において説明されるシステムおよび方法は、単にそのようなＩＥＤにおける使用にのみ限定されるように意図されるものではない。
【００１３】
本実施形態は、電気変電所、電気グリッド施設、等といった産業環境におけるデバイスへのアクセスを制御するためのシステムおよび方法に関する。これらの産業環境は、構成可能であるか、またはデータ（たとえば、産業センサ出力からのデータ、等）を収集および／または処理し得る、プロセッサベースの（「スマート」）デバイスを用い得る。そのようなデバイスは、たとえば、タスクの実行および／または電気変電所（たとえば、リレー、遠隔端末ユニット、等）のある特定の態様の監視のために使用され得るプロセッサベースのデバイスであるＩＥＤ、プロセッサベースのスイッチングデバイス、電圧コントローラ、およびコンデンサといった配電自動化デバイス、プロセッサベースの消費量ユーティリティメータであるスマートメータ（たとえば、電気メータ、ガスメータ、水道メータ、等といったスマートユーティリティメータ）、等を含み得る。構成およびこれらのデバイスからのデータ検索のセンシティブな性質ゆえに、これらのデバイスのためのカスタマイズ可能なアクセスポリシーを定義し、提供することが所望され得る。以下の実施形態は、「常時オン」の集中型アクセスサーバ／サービスの使用なしにこれらの産業環境デバイス上でカスタマイズ可能なアクセスポリシーを提供するシステムおよび方法を説明する。これらの集中型アクセスサーバ／サービスへの依拠を取り除くことにより、システムの信頼性が向上し得る。たとえば、そのようなサーバ／サービスに依拠するシステムでは、システムは、サーバ／サービスが適切に実行されている場合にのみ、デバイスへのアクセスを認証／提供し得る。したがって、増大したシステムの冗長性が是認され、増大した情報技術（ＩＴ）の作業負荷およびコストという結果を生じるであろう。本明細書において説明されるシステムおよび方法を使用することにより、この作業負荷およびコストが低減され得る。
【００１４】
さらに、本明細書において説明されるシステムおよび方法は、ジョブベースのアクセスポリシーカスタマイゼーションだけでなく、時間ベースのアクセスポリシーカスタマイゼーションを記述する。アクセスポリシーのカスタマイゼーション機能を増大させることにより、デバイスアクセスに関する増大した数のユースケースがカバーされ得る。したがって、セキュリティ機能およびアドミニストレーション機能が向上し得る。
【００１５】
導入として、図１は、本明細書において説明されるアクセス制御システムおよび方法に従って設計されたユーティリティシステム１０を示す。システム１０は、たとえば、電気電力を発電し、送電し、および／または配電するより大きな電気ユーティリティシステムの補助局または分岐局であり得る。システム１０が実行し得る機能のいくつかは、高電圧から低電圧に変圧することまたはその逆、送電システムから配電システムに電力を転送すること、発電所（たとえば、ガスタービン発電機システム、蒸気タービン発電機システム、水力タービン発電機システム、ウィンドファームのような風力タービン発電機システム、太陽光システム、等）から電力を収集して送電システムに転送することを含む。
【００１６】
上述されたように、システム１０は一般的に、配電自動化デバイス１４、スマートメータ１６、ＩＥＤ１８（たとえば、リレー、ベイコントローラ、メータ、遠隔端末ユニット、デジタル障害レコーダ、一連のイベントレコーダ、およびルータやスイッチのような通信デバイス、等）、および／または任意の他のプロセッサベースのデバイスを含み得る、１つ以上のプロセッサベースのデバイス１２を含み得る。スマートメータ１６は、さまざまなスマートユーティリティメータ、たとえば、電気メータ、ガスメータ、水道メータ、またはそれらの任意の組み合わせを含み得る。
【００１７】
デバイス１２は、図１に示されているように、プロセッサ２０、メモリ２２、および、他のシステム、コンポーネント、および／またはデバイスへの通信リンク２４を含み得る。さらに、デバイス１２は、いくつかのケースでは、ユーザインターフェース２６（たとえば、ユーザ対話のためのオンボードのキーパッドディスプレイおよび／またはタッチスクリーン）および／またはデバイス１２のために変更され得る構成設定２８を有し得る。
【００１８】
上述されたように、１つ以上のデバイス１２のための機械解釈可能なアクセスポリシー（たとえば、有形の非一時的な機械読み取り可能な媒体上に格納された機械解釈可能なアクセス規則）を提供することが所望され得る。アクセスポリシーは、システム１０に提供されるアクセス規定を支配し得る。たとえば、システム１０におけるアクターによって実行される特定のジョブに基づいてデバイス１２のうちの１つ以上の特定の特徴／データへのアクセスを可能にすることが所望され得る。提供された例では、アクター３０は、配電自動化デバイス１４でもスマートメータ１６でもなくＩＥＤ１８のメンテナンスを担い得る。本明細書において議論されるように、デバイス１２へのジョブベースのアクセスが提供され得る。したがって、アクター３０は、ＩＥＤ１８へのアクセスを承諾され得る一方で、配電自動化デバイス１４および／またはスマートメータ１６へのアクセスを規制される。アクター３０はＩＥＤ１８のメンテナンスを担うので、アクター３０は、ユーザインターフェース２６へのアクセスを提供され得、および／または、ＩＥＤ１８の構成設定を変更し得る。
【００１９】
いくつかの実施形態では、デバイス１２の構成へのアクセスを制限することが所望され得る。提供された例において、アクター３２は、デバイス１２のうちの１つ以上を動作させることを担い得るが、変更することは担わない。したがって、アクター３２のジョブベースのアクセスポリシー（たとえば、デバイス１２によって解釈可能なアクセス規則）は、アクター３２に１つ以上のデバイス１２のユーザインターフェース２６および／またはデータへのアクセスを可能にし得る一方で、デバイス１２の構成設定２８へのアクセスを規制する（またはアクセスを部分的に規制する）。
【００２０】
さらに、いくつかの実施形態において、ジョブベースのアクティビティは一時的であり得る。一例において、アクター３４は、ＩＥＤ１８のトラブルシューティングおよび／または修復のタスクを課せられ得る。このタスクは一時的である（すなわち、一度解消されれば終わるであろう）から、アクター３４のためのジョブベースのアクセスは、臨時的なものであり得、それは、アクセスが、限られた時間持続時間にわたるものであり得ることを意味する。一時的なタスクのための臨時的なアクセスは、永続的なアクセスを必要としないジョブのための永続的なアクセスを減少させることにより、追加されたセキュリティを提供する。
【００２１】
デバイス１２は、複数の方法を使用してアクセスおよび／または構成され得る。たとえば、デバイス１２は、デバイス１２に搭載されたユーザインターフェース２６を使用して、アクセスおよび／または構成され得る。さらに、複数の管理ツール３６が、データへのアクセスおよび／またはデバイス１２の構成のために使用され得る。たとえば、管理ツール３６は、コンピュータ読み取り可能な媒体からコンピュータ読み取り可能な命令を実行するコンピュータを含み得る。これらの命令は、アクター（たとえば、アクター３０、３２、および／または３４）に、データへのアクセスおよび／またはデバイス１２の構成を可能にさせ得る。
【００２２】
上述されたアクセスポリシーを提供するために、１つ以上のセキュリティポリシー３８（たとえば、アクセス規制を詳述するデジタル証明書）がデバイス１２に提供され得る。これらのセキュリティポリシーは、アクター（たとえば、アクター３０、３２、および／または３４）が、ジョブベースのアクセスが承諾されたジョブを実行しているか否か、を定義し得る。以下においてより詳細に議論されるように、これらのセキュリティポリシー３８は使用前にデバイス１２で認証され得るので、集中型および／または「常時オン」の認証サービスは必要とされない。したがって、認証の失敗の減少が経験され得る。
【００２３】
証明書（たとえば、Ｘ．５０９標準に従って生成された証明書および／またはＸＭＬ証明書）はユーザ／パスワード認証よりも、サイバー攻撃に対し保護的であり得る。ここでセキュリティポリシー３８の作成および使用の議論に着目すると、図２は、本アプローチの実施形態に係る、デバイスセキュリティ証明書を生成するための処理５０のフローチャートを示す。証明書を作成するために、ジョブの完了に有用なアクセス権が決定され得る（ブロック５２）。たとえば、一時的な構成メンテナンスジョブが完了されるべきである場合、対応するアクセス権は、一時的な時間期間（たとえば、１時間、５時間、１０日、１か月、１年、等）にわたるアクセスを定義し得る。さらに、このタイプのジョブのためのアクセス定義は、特定のアクセス領域、たとえば、ユーザインターフェース２６へのアクセス、構成設定２８のフルセットへのアクセス、および／または構成設定２８のサブセットへのアクセスを提供し得る。アクセス定義は、特定のデバイス１２（たとえば、ジョブが実行されるデバイス１２）を定義し得るか、または、システム１０におけるデバイス１２の各々のために適用され得る。ジョブベースのアクセス権が決定／定義されると、セキュリティポリシー３８を含む証明書が、これらの権利に従って生成される（ブロック５４）。証明書は、アクセスが承諾されるデバイス１２によってアクセス可能な公開鍵に対応する秘密鍵を用いて署名される（ブロック５６）。
【００２４】
セキュリティポリシー証明書の作成が今しがた議論されたので、図３は、本アプローチの実施形態に係る、デバイス（たとえば、図１のデバイス１２）へのアクセスを承諾するための処理７０を示すフローチャートである。まず、秘密鍵によって署名された証明書（たとえば、図２の処理５０に従って生成された証明書）が、セキュリティポリシーが実装されるデバイス１２に提供される（ブロック７２）。多くの異なるトランスポート方法が、デバイス１２に証明書を提供するために使用され得る。たとえば、一実施形態において、デバイス１２（またはデバイス１２に証明書を提供する中間デバイス）は、証明書を受信し得るハイパーテキスト転送プロトコル（ＨＴＴＰ）クライアントを含み得る。一実施形態において、デバイス１２（またはデバイス１２に証明書を提供する中間デバイス）は、電子メール交換によって証明書を受信する電子メールクライアントを含み得る。いくつかの実施形態では、証明書を格納する転送デバイスが、デバイス１２に物理的に結合され得、証明書は、転送デバイスからデバイス１２に転送される。セキュリティの追加の層のために、一意識別子（ＵＩＤ）および／またはメッセージ認証コード（ＭＡＣ）が、転送デバイスから証明書を受け取る前にチェックされ得る。ＭＡＣは、メッセージを認証するために使用されるアルゴリズムであり得る。ＭＡＣは、有鍵暗号ハッシュ（たとえば、ＨＭＡＣ−ＳＨＡ−２５６）に基づいて生成され得、鍵は、ユーザパスワードおよび鍵導出関数（たとえば、ＰＢＫＤＦｖ２またはスクリプト）に基づいて生成される。
【００２５】
公開鍵を証明書の秘密鍵署名と組み合わせて利用することにより、証明書が、正当な（たとえば、許可された）ソースから来たものであると検証される（ブロック７４）。たとえば、非対称鍵暗号法が、証明書を検証するために使用され得る。一実施形態では、証明書の署名および／またはペイロード（たとえば、セキュリティポリシーデータ）が、デバイス１２に埋め込まれた公開鍵を使用して分析／復号される。したがって、署名検証アルゴリズムは、証明書が、検証されたソースからのものであるかどうか、および／または、信用／使用されるべきかどうか、を決定し得る。
【００２６】
証明書が有効であるかどうかの決定（ブロック７６）に基づいて、証明書は、無視されるか（ブロック７８）またはデバイス１２へのアクセスを承諾するために使用されるか（ブロック８０）のいずれかである。したがって、デバイス１２へのアクセスを承諾するために使用される場合、ジョブベースのアクセスポリシーが、データへのアクセスおよび／またはデバイス１２の構成設定の編集を制御するために、デバイス１２上で実装され得る。
【００２７】
図４は、本アプローチの実施形態に係る、セキュリティポリシー証明書が証明書生成コンピュータとは別個の処理コンピュータを介してデバイス１２（たとえば、ＩＥＤ１８）に提供されるように図２および図３の処理を用いるシステム１００を示すブロック図である。システム１００において、コンピュータ１０２は、アクセス制御モジュール１０４および／または認証局１０６を含み得る。アクセス制御モジュール１０４は、システム１００における特定のジョブのために有用なアクセス権を決定し得る。いくつかの実施形態において、アクセス制御モジュール１０４は、特定のジョブのためのサービスチケットを作成するサービスチケットシステムの一部であり得る。ジョブがシステムにおいて作成されると、ジョブの完了のために有用な特定のアクセス権が決定され得る。
【００２８】
アクセス制御モジュール１０４が有用なアクセス権を決定すると、認証局１０６が、証明書１０８を生成し得る。証明書１０８は、デバイス１２の公開鍵１１２に関連づけられた秘密鍵１１０を使用して署名され得る。証明書の署名は、セキュリティポリシー証明書１０８が許可された認証局１０６から来たものであるとの検証を可能にし得る。
【００２９】
図４の実施形態において、秘密鍵１１０を用いて署名された証明書１０８は、証明書１０８を格納し得る有形の非一時的なコンピュータ読み取り可能なストレージ１１６を含み得る、二次コンピュータシステム／コンピュータシステムストレージ１１４に提供される。いくつかの実施形態では、二次コンピュータシステム／コンピュータシステムストレージ１１４は、デバイス１２と通信可能にインターフェース１１８され得る。したがって、二次コンピュータシステム／コンピュータシステムストレージ１１４のストレージ１１６に証明書１０８を格納することは便利であり得る。たとえば、一実施形態において、二次コンピュータシステム／コンピュータシステムストレージ１１４は、管理ツール３６のうちの１つ以上をホストし得る。これらの管理ツール３６は、データにアクセスし、および／または、構成設定（たとえば、図１の構成設定２８）を編集するために使用されるので、証明書１０８をデバイス１２へのその後の送信のために二次コンピュータシステム／コンピュータシステムストレージ１１４に格納することは有利であり得る。
【００３０】
証明書１０８を受信した後、二次コンピュータシステム／コンピュータシステムストレージ１１４は、通信インターフェース１１８を介してデバイス１２に証明書を送信し得る。二次コンピュータシステム／コンピュータシステムストレージ１１４はこれを、デバイス１２へのアクセスが所望されると、および／または、デバイス１２へのアクセスが所望される前に、送り得る。たとえば、いくつかの実施形態では、二次コンピュータシステム／コンピュータシステムストレージ１１４は証明書１０８を、コンピュータ１０２から受信し次第、提供し得る。いくつかの実施形態では、二次コンピュータシステム／コンピュータシステムストレージ１１４は、所望のアクセス時（たとえば、デバイス１２へのアクセスが管理ツール３６を介して試みられた場合）に証明書１０８を提供し得る。
【００３１】
秘密署名の証明書１０８を受信すると、デバイス１２は、デバイス１２に格納された公開鍵１１２を使用して、証明書１０８が有効なソースからのものであることおよび信用されるものであることを検証し得る。証明書１０８が信用されるものであることを決定すると、デバイス１２は、証明書１０８において提供されたセキュリティポリシーに従ってアクセスを提供し得る。
【００３２】
いくつかの実施形態では、１つ以上の証明書失効リスト（ＣＲＬ）１１６が、証明書定義のアクセスを一時的なアクセスおよび／またはステータスベースのアクセスに変更するために使用され得る。一般的に、ＣＲＬは、失効し、もはや信用されるべきでない証明書のリストを提供する。したがって、ＣＲＬは、一時的なアクセス（たとえば、１２時間にわたるアクセス、２月１日から３月１日までのアクセス、午前１０時から午後１２時までの間のアクセス、等）および／またはステータスベースのアクセス（たとえば、アクセス）を実現するのに有用であり得る。たとえば、一時的なアクセスおよび／またはステータスベースのアクセスのしきい値が到達されると、証明書が、ＣＲＬ１１６（これは、デバイス１２にローカルであり得る、および／または、供給され得る、すなわち、外部エンティティ（たとえば、認証局１０６）によって供給されたエントリを少なくとも有し得る）に追加され得る。ＣＲＬ１１６上にあると、証明書はもはや使用されることができず、システムへのアクセスの除去を引き起こす。
【００３３】
したがって、デバイス１２へのアクセスは、デバイス１２上で完了される特定のジョブに基づいてカスタマイズ可能であり得、より適切なデバイス１２へのアクセスを提供する。さらに、セキュリティポリシー証明書は、「常時オン」のサーバベースのシステムに依拠せずにデバイス１２に提供されることができ、デバイス１２へのアクセスのためのより少ない障害点を結果として生じる。
【００３４】
いくつかの実施形態では、認証局１０６のホスト（たとえば、コンピュータ１０２）から直接セキュリティポリシー証明書１０８を提供することが所望され得る。図５は、本アプローチの実施形態に係る、図２および図３の処理を用いた代替のシステム１３０を示すブロック図である。
【００３５】
図５の実施形態では、コンピュータ１０２が、アクセス制御モジュール１０４および／または認証局１０６を含み得る。アクセス制御モジュール１０４は、システム１３０における特定のジョブのために有用なアクセス権を決定し得る。いくつかの実施形態において、アクセス制御モジュール１０４は、特定のジョブのためのサービスチケットを作成するサービスチケットシステムの一部であり得る。ジョブがシステムにおいて作成されると、ジョブの完了のために有用な特定のアクセス権が決定され得る。
【００３６】
アクセス制御モジュール１０４が有用なアクセス権を決定すると、認証局１０６が、証明書１０８を生成し得る。証明書１０８は、デバイス１２の公開鍵１１２に関連づけられた秘密鍵１１０を使用して署名され得る。証明書の署名は、セキュリティポリシー証明書１０８が許可された認証局１０６から来たものであるとの検証を可能にし得る。
【００３７】
図５の実施形態では、秘密署名の証明書（たとえば、秘密鍵１１０を用いて署名された証明書１０８）が、アクセスポリシーが実装されるデバイス１２に直接提供される。図４の実施形態とは対照的に、二次コンピュータシステム／コンピュータシステムストレージが、秘密署名の証明書を伝搬するために必要とされない。その代わりに、コンピュータ１０２は、ネットワーク１３２を介してデバイス１２に証明書を仕向け得る。いくつかの実施形態では、証明書１０８は、錠１３４によって図示されているように、暗号鍵を使用して暗号化され得る。したがって、セキュリティ／解読データ１３６、たとえば、生体データ、パスワード、個人識別番号、有鍵暗号化ハッシュに基づいて生成されたメッセージ認証コード（ＭＡＣ）（たとえば、ハッシュベースのメッセージ認証コードＨＭＡＣ−ＳＨＡ−２５６）、等が、セキュリティの追加の層を追加するために使用され得る。たとえば、このセキュリティ／解読データ１３６は、暗号化された証明書１０８に対応する解読鍵を（たとえば、パスワードおよび鍵導出関数、たとえば、スクリプトまたはパスワードベースの鍵導出関数２（ＰＢＫＤＦｖ２）を介して）生成するために使用され得る。ＭＡＣが使用される場合、ＭＡＣは、証明書１０８が使用のために有効性を検査される前に証明書において検証され得る。
【００３８】
秘密署名の証明書１０８を受信すると、デバイス１２は、デバイス１２に格納された公開鍵１１２を使用して、証明書１０８が有効なソースからのものであることおよび信用されるものであることを検証し得る。証明書１０８が信用されるものであることを決定すると、デバイス１２は、証明書１０８において提供されたセキュリティポリシーに従ってアクセスを提供し得る。
【００３９】
管理ツール３６は、通信経路１３８を介して、データにアクセスし、および／または、デバイス１２の構成設定（たとえば、図１の構成設定２８）を編集しようと試み得る。しかしながら、デバイス１２は、証明書１０８が解読されるまで、および／または、アクセスが証明書１０８内に記述されたポリシーに準拠するまで、アクセスをブロックし得る。たとえば、証明書１０８が、管理ツール３６がデータにアクセスすることはできるがデバイス１２の構成設定を編集することはできないように命じる場合には、デバイス１２の構成設定を編集しようとする管理ツール３６のいずれの試みもブロックされるであろう。さらに、証明書１０８が暗号化されるいくつかの実施形態では、管理ツール３６が適切な解読データ１３６を提供しない場合、証明書１０８は解読されないであろうし、デバイス１２は管理ツール３６に対し、いかなるアクセスケイパビリティも編集ケイパビリティも可能にさせないであろう。
【００４０】
したがって、デバイス１２へのアクセスは、デバイス１２上で完了される特定のジョブに基づいてカスタマイズ可能であり得、より適切なデバイス１２へのアクセスを提供する。たとえば、アクセスは、メンテナンスタスク、データ読み出しタスク、再構成タスク、等に基づいてカスタマイズされ得る。さらに、セキュリティポリシー証明書は、「常時オン」のサーバベースのシステムに依拠せずにデバイス１２に提供されることができ、デバイス１２へのアクセスのためのより少ない障害点を結果として生じる。
【００４１】
開示された実施形態の技術的効果は、デバイス固有のカスタマイズされたアクセスポリシーを提供するのに有用な産業環境システムおよび方法を含む。たとえば、本実施形態は、特定の産業デバイスに臨時的なアクセス、ジョブベースのアクセス、等を提供するために使用され得るアクセス証明書を生成する。かくして、個別化された多くのアクセスケースが実現されることができ、産業デバイスのより良好なセキュリティを結果として生じる。さらに、カスタマイズされたこれらのアクセスポリシーは、「常時オン」サービスおよび／またはサーバに依拠しない自動化および分散化された手法で、分散させられ得る。かくして、これらのシステムおよび方法の使用は、アクセスポリシーのための短縮された構成時間、および／または、集中化システムの情報技術ニーズのための減じられた費用、時間、および労力を結果として生じ得る。本明細書における技術的効果および技術的課題は、例示であって限定ではない。本明細書において説明された実施形態は、他の技術的効果を有することができ、他の技術的課題を解決することができる、ということに注意すべきである。
【００４２】
記載されたこの説明は、ベストモードを含む発明を開示し、また、任意のデバイスまたはシステムの製造および使用と組み込まれた任意の方法の実行とを含む発明の実現をいずれの当業者にも可能にさせるための、例を使用する。本発明の特許可能な範囲は、請求項によって定義され、当業者が想到する他の例を含み得る。そのような他の例は、それらが請求項の文字通りの言語と異ならない構造要素を有する場合、または、それらが請求項の文字通りの言語との実質的な差を有しない均等な構造要素を含む場合、請求項の範囲内であるように意図される。
【符号の説明】
【００４３】
１０  ユーティリティシステム
１２  プロセッサベースのデバイス
１４  配電自動化デバイス
１６  スマートメータ
１８  ＩＥＤ
２０  プロセッサ
２２  メモリ
２４  通信リンク
２６  ユーザインターフェース
２８  構成設定
３０  アクター
３２  アクター
３４  アクター
３６  管理ツール
３８  セキュリティポリシー
５０  処理
５２  ブロック
５４  ブロック
５６  ブロック
７０  処理
７２  ブロック
７４  ブロック
７６  ブロック
７８  ブロック
８０  ブロック
１００  システム
１０２  コンピュータ
１０４  アクセス制御モジュール
１０６  認証局
１０８  証明書
１１０  秘密鍵
１１２  公開鍵
１１４  二次コンピュータシステム／コンピュータシステムストレージ
１１６  有形の非一時的なコンピュータ読み取り可能なストレージ、証明書失効リスト（ＣＲＬ）
１１８  インターフェース
１３０  代替のシステム
１３２  ネットワーク
１３４  錠
１３６  セキュリティ／解読データ
１３８  通信経路
【図１】
2015215896.tif 000003
【図２】
2015215896.tif 000004
【図３】
2015215896.tif 000005
【図４】
2015215896.tif 000006
【図５】
2015215896.tif 000007
【外国語明細書】
2015215896000001.pdf