(57)【要約】      （修正有）【課題】産業用制御システムにおいて無許可のアクション要求が処理されることを防止する。【解決手段】オペレータ・アクションまたは他の命令またはリクエストは、アクション・オリジネータから通信／制御モジュールまたは他のいかなる産業エレメント／コントローラまでの認証経路を介して固定される。アクション・リクエストにはアクション・オリジネータによって生成した署名を含むアクション認証メッセージが構成される。署名されたアクション・リクエストの確実性が検査されるときに、署名されたアクション・リクエストを受信して、署名されたアクション・リクエストの確実性を検査して、要請されたアクションを実行するために、転送先の通信／制御モジュールまたは他のいかなる産業エレメント／コントローラも構成される。【選択図】図１
2016019281.tif 000002
【特許請求の範囲】
【請求項１】
安全な産業用制御システムであって、
アクション・オリジネータと、
アクション・リクエストがアクション・オリジネータによって、生成したサインに構成されるアクション認証メッセージと、
一つ以上の産業エレメントと通信する通信／制御モジュールと、
を有し、
通信／制御モジュールは、署名されたアクション・リクエストを受信し、署名されたアクション・リクエストの確実性を検査し、署名されたアクション・リクエストの確実性が検査されるとき、要請されたアクションを実行するために構成される、
ことを特徴とする安全な産業用制御システム。
【請求項２】
アクション・オリジネータは、オペレータインタフェース、エンジニアリング・インタフェース、ローカル・アプリケーション・インタフェース、または遠隔アプリケーション・インタフェースのうちの少なくとも一つを備えることを特徴とする請求項１の産業用制御システム。
【請求項３】
アクション認証メッセージは、
記憶されるプライベートなキーを有するストレージ媒体と、
プライベートなキーを有するアクション・リクエストに署名するために構成されるプロセッサと、
を包含しているポータブル暗号化デバイスから成る、ことを特徴とする請求項１の安全な産業用制御システム。
【請求項４】
プロセッサは、暗号化されたマイクロプロセッサを備えることを特徴とする請求項３に記載の安全な産業用制御システム。
【請求項５】
ポータブル暗号化デバイスは、スマートカードを備えることを特徴とする請求項３に記載の安全な産業用制御システム。
【請求項６】
アクション認証メッセージは、堅牢なワークステーションを備えることを特徴とする請求項１に記載の安全な産業用制御システム。
【請求項７】
堅牢なワークステーションは、物理的なキー、ポータブル暗号化デバイス、または、バイオメトリック暗号デバイス、の少なくとも一つを介してアクセス可能であることを特徴とする請求項６の安全な産業用制御システム。
【請求項８】
アクション認証メッセージは、デバイス・ライフサイクル管理システムを備えることを特徴とする請求項１に記載の安全な産業用制御システム。
【請求項９】
アクション認証メッセージはよりはるかに、アクション・リクエストを暗号化するために構成されるであることを特徴とする請求項１に記載の安全な産業用制御システム。
【請求項１０】
通信／制御モジュールは、
プロセッサと、
署名されたアクション・リクエストの確実性が検査されるときに、プロセッサがアクション・リクエストを走らせることを可能にする仮想キースイッチと、
を包含することを特徴とする請求項１の安全な産業用制御システム。
【請求項１１】
通信／制御モジュール及びアクション認証メッセージは、更に、認証シーケンスを実行するために構成されるである請求項１に記載の安全な産業用制御システム。
【請求項１２】
一つ以上の産業エレメントは、通信／制御モジュールと、入出力モジュールと、パワー・モジュールと、フィールド・デバイスと、スイッチと、ワークステーションと、または、物理的な相互接続デバイスと、
の少なくとも一つを包含することを特徴とする請求項１の安全な産業用制御システム。
【請求項１３】
通信／制御モジュールは、
少なくとも一つのプロセッサと、
少なくとも一つのプロセッサによって、実行可能な命令のセットを支持している非一時的な媒体と、を含み、
前記命令のセットは、
アクション・オリジネータにより開始されて、アクション認証メッセージにより署名されるアクション・リクエストを受信し、
署名されたアクション・リクエストの確実性を検査し、
署名されたアクション・リクエストの確実性が検査されるときに、要請されたアクションを実行する
ことを包含することを特徴とする通信／制御モジュール。
【請求項１４】
署名されたアクション・リクエストの確実性が検査されるとき、プロセッサがアクション・リクエストを走らせることを可能にする仮想キースイッチを更に含むことを特徴とする請求項１１の通信／制御モジュール。
【請求項１５】
命令のセットは、署名された動きリクエストを解読する命令を更に含む請求項１１に記載の通信／制御モジュール。
【請求項１６】
署名されたアクション・リクエストの確実性が検査される要請されたアクションを実行する命令は、
通信／制御モジュールと、入出力モジュールと、パワー・モジュールと、フィールド・デバイスと、スイッチと、ワークステーションと、または、物理的な相互接続デバイスと、
の少なくとも一つを包含している通信で結合された産業エレメントを制御する命令を包含する、ことを特徴とする請求項１１の通信／制御モジュール。
【請求項１７】
要請されたアクションを認証する方法であって、
アクション認証メッセージを有するアクション再探索に署名するステップと、
通信／制御モジュールに署名されたアクション再探索を送るステップと、
署名されたアクション再探索の確実性を検査するステップと、
署名されたアクション再探索の確実性が検査されるときに通信／制御モジュールを有する要請されたアクションを実行するステップと、
を有することを特徴とする方法。
【請求項１８】
請求項１７の方法は、
アクション認証メッセージを有するアクション再探索を暗号化するステップと、
通信／制御モジュールを有するアクション再探索を解読するステップと、
を更に含む方法。
【請求項１９】
アクション認証メッセージが、ポータブル暗号化デバイスと、堅牢なワークステーションと、または、デバイス・ライフサイクル管理システムと、
の少なくとも一つを備えることを特徴とする請求項１７の方法。
【請求項２０】
署名されたアクション再探索の確実性が検査されるときに、通信／制御モジュールを有する要請されたアクションを実行するステップが、
アクション再探索に従って産業エレメントを制御することを包含し、
産業エレメントが、通信／制御モジュールと、入出力モジュールと、パワー・モジュールと、フィールド・デバイスと、スイッチと、ワークステーションと、または、物理的な相互接続デバイスと、
少なくとも一つを包含することを特徴とする請求項１７の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
関連するクロス・リファレンス
[0001]  本出願は、２０１３年８月６日に出願された国際出願番号ＰＣＴ／ＵＳ２０１３／０５３７２１「ＳＥＣＵＲＥＩＮＤＵＳＴＲＩＡＬＣＯＮＴＲＯＬＳＹＳＴＥＭ」の一部継続出願である。本出願は、２０１４年８月２７日に出願された米国特許出願シリアル番号１４／４６９，９３１「ＳＥＣＵＲＥ  ＩＮＤＵＳＴＲＩＡＬ  ＣＯＮＴＲＯＬ  ＳＹＳＴＥＭ」の米国特許法§１２０の一部継続でもある。本出願は、２０１４年７月３０日に出願された米国特許出願シリアル番号１４／４４６，４１２「ＩＮＤＵＳＴＲＩＡＬ  ＣＯＮＴＲＯＬ  ＳＹＳＴＥＭ  ＣＡＢＬＥ」の米国特許法§１２０の一部継続でもあり、２０１４年７月７日に出願された米国仮出願番号６２／０２１，４３８「ＩＮＤＵＳＴＲＩＡＬ  ＣＯＮＴＲＯＬ  ＳＹＳＴＥＭ  ＣＡＢＬＥ」の特許法§１１９（ｅ）の優先権を主張する。米国仮出願番号６２／０２１，４３８、米国特許出願シリアル番号１４／４４６，４１２および１４／４６９，９３１、並びに、国際出願番号ＰＣＴ／ＵＳ２０１３／０５３７２１は、全体としてリファレンスとしてここに組み入れられる。
【背景技術】
【０００２】
[0002]  産業制御システム（例えば標準産業制御システム、ＩＣＳ）またはプログラム可能なオートメーション・コントローラ、ＰＡＣは、工業生産（例えば安全基準（例えばＩＥＣ１５０８）に保証される管理制御およびデータ収集（ＳＣＡＤＡ）システム、分散制御システム（ＤＣＳ）、プログラマブル論理コントローラ（社）および産業安全システム）において、使用する様々な形の制御装置を包含する。これらのシステムが、電気、水および廃水、油およびガス生産および精製、化学、食品、医薬およびロボット工学を含む産業において、使われる。プロセス変数を測定するために様々な形のセンサから集められる情報を使用して、産業制御システムからのオートメーション化したおよび／またはオペレータ駆動管理命令は、さまざまなアクチュエーター装置（例えば制御弁、油圧アクチュエータ、磁気アクチュエータ、電気的スイッチ、モーター、ソレノイド、など）に発信されることがありえる。これらのアクチュエーター装置はセンサからデータを集める。そして、センサシステム（開閉弁およびブレーカ）は弁を制御する。そして、モーターは警報状態などに関し工業処理をモニタする。
【０００３】
[0003]  他の例において、ＳＣＡＤＡシステムは、地理的に広く分離されることができるプロセス・サイトを有する開ループ制御を使用することがありえる。管理データをより中心にある一つ以上の制御に送信するために、これらのシステムは、リモート・ターミナル・ユニット、Ｒｅｍｏｔｅ  Ｔｅｒｍｉｎａｌ  Ｕｎｉｔｓ、ＲＴＵｓを使用する。ＲＴＵのものを配備するＳＣＡＤＡアプリケーションは、流体パイプライン、電気分布および大きい通信システムを包含する。ＤＣＳシステムが、広帯域の、ロー・レーテンシ・データ・ネットワークによって、リアルタイムデータ収集および連続制御に関し全般的に使われて、大きなキャンパス工業処理プラント（例えば油およびガス、精製、化学薬品、医薬、食品および飲料、水および廃水、パルプおよび紙、有用性パワーおよび鉱業および金属）において、使われる。ＰＬＣが、より典型的にブールのおよび経時的なロジック・オペレーションおよびタイマーを提供して、連続制御と同様に、しばしば独立型機械およびロボット工学において、使われる。更に、建物、空港、船、宇宙ステーション、ヒーティング、ベンチレーションおよびエアコンディショニング（ＨＶＡＣ）装置およびエネルギー消費をモニタおよび制御するために、ＩＣＥおよびＰＡＣシステムが、施設プロセスで使われることがありえる。産業制御システムが進化するにつれて、新技術はこれらのさまざまなタイプの制御システムの態様を結合している。例えば、ＰＡＣｓは、ＳＣＡＤＡ、ＤＣＳおよびＰＬＣの態様を包含することがありえる。
【発明の概要】
【課題を解決するための手段】
【０００４】
[0004]  この開示の各種実施形態によれば、安全な産業用制御システムは、一つ以上の産業エレメント（例えば、入出力（Ｉ／Ｏ）モジュール、パワー・モジュール、フィールド・デバイス、スイッチ、ワークステーションおよび／または物理的な相互接続デバイス）を制御するかまたは駆動する一つ以上の通信／制御モジュールを包含する。アクションまたは他が命令するかまたは要請するオペレータは、アクション・オリジネータから通信／制御モジュールまで認証経路を介して固定されることがありえる。実装において、アクション・オリジネータにより生成されるアクション再探索に署名することを、産業用制御システムは、アクション認証メッセージが必要とする。署名されたアクション再探索の確実性が検査されるときに、署名されたアクション再探索を受信して、署名されたアクション再探索の確実性を検査して、要請されたアクションを実行するために、転送先の通信／制御モジュールは構成される。このように、悪意のあるまたは無許可のアクション要求は処理されない、そして、かくして、システムは破壊工作ソフト、スパイウェア、未許可の制御の変更パラメータ、無許可のアクセスからデータ、などまで保護されている。
【０００５】
[0005]  いくつかの実施形態では、通信／制御モジュールは、プロセッサによって、実行可能な一組の命令を支持している少なくとも一つのプロセッサおよび非一時的な媒体を包含する。命令の一組は、少なくとも、アクション・オリジネータにより開始されて、アクション認証メッセージにより署名されるアクション再探索を受信し、署名されたアクション再探索の確実性を検査し、署名されたアクション再探索の確実性が検査されるときに、要請されたアクションを実行する、
命令を包含する。
【０００６】
[0006]  更に、要請されたアクションを認証する方法を開示する。方法は、アクション認証メッセージを有するアクション再探索に署名し、通信／制御モジュールに署名されたアクション再探索を送り、署名されたアクション再探索の確実性を検査し、署名されたアクション再探索の確実性が検査されるときに通信／制御モジュールを有する要請されたアクションを実行すること、を包含する。
【０００７】
[0007]  詳細な説明において、下に更に記載される単純化された様態の概念の選択を導くために、この要約は、提供される。（この要約は請求された内容の鍵となる特徴または基本的特徴を確認することを目的としないし、請求された内容の範囲を決定する際の援助として使われることを、それは目的としない。）
[0008]  詳細な説明は、添付の図に関して記載される。説明および図の異なる事例の同じ参照番号の使用は、類似または同一のアイテムを示すことができる。
【図面の簡単な説明】
【０００８】
【図１】[0009]  図１は、現在の開示の例示の実施形態に従って産業用制御システムを例示しているブロック図である。
【図２】[0010]  図２は、現在の開示の例示の実施形態に従って産業用制御システムに関しアクション認証経路を例示しているブロック図である。
【図３】[0011]  図３は、現在の開示の例示の実施形態に従って更にアクション認証経路を例示しているブロック図である。
【図４】[0012]  図４は、アクションを認証する方法が現在の開示の実施形態を例示のに従って要求することを示しているフロー図である。
【図５】[0013]  図５は、更に、現在の開示の例示の実施形態に従ってアクション・リクエストを認証する方法を例示しているフロー図である。
【発明を実施するための形態】
【０００９】
概要
[0014]  産業用制御システムにおいて、さまざまな産業的なエレメント／サブシステム（例えば、入出力（Ｉ／Ｏ）モジュール、パワー・モジュール、プロセス・センサおよび／またはアクチュエータ、スイッチ、ワークステーションおよび／または物理的な相互接続デバイス）は、制御エレメント／サブシステム（例えば、一つ以上の通信／制御モジュール）により制御されるかまたは駆動される。例えば動きオリジネータから受信されるが、それに限られていないプログラミングおよびアクション要求（例えば、実行可能ソフトウェア・モジュール、制御コマンド、データ要求、など）に従って、制御エレメント／サブシステムは、作動する：オペレータインタフェース（例えば、ＳＣＡＤＡまたは人間の機械インタフェース（ＨＭＩ）、エンジニアリング・インタフェース、ローカル・アプリケーションおよび／またはリモート・アプリケーション。複数の動きオリジネータがいる所で、産業用制御システムはデータおよび／または制御への無許可の接近に弱くありえる。更に、破壊工作ソフト、スパイウェアまたは最新版、アプリケーション画像、制御コマンド、等の形で送信されることがありえる他の不正な／悪意のあるソフトウェアに、産業用制御システムは、弱くありえる。有効なログインまたは表面上有効な（例えば、大幅に削られる）アプリケーションまたはオペレータ／エンジニアリング・インタフェースを介して、発明されることがありえる悪意のある行為者または意図せずに未許可のリクエスト／コマンドからさえシステムを得るのに、単にオペレータを認証することは、十分ではなくてもよい。
【００１０】
[0015]  無許可のアクション要求が産業用制御システムで処理されるのを防止することに関し、現在の開示は、産業用制御システム通信／制御モジュール、サブシステムおよび技術に向けられる。実施形態において、オペレーションまたはすべてのオペレータ・アクションのあらかじめ定義された選択または他は動きを制御する、または、リクエストは動きオリジネータから通信／制御モジュールまで認証経路を介して固定される。実装において、動きオリジネータにより生成される動き再探索に署名することを、産業用制御システムは、動き証人が必要とする。サインがないアクション要求は、エラーに自動的に結果としてなる場合があって、通信／制御モジュールにより処理されないかまたは実行されない。署名された動き再探索の確実性が検査されるときに、署名された動き再探索を受信して、署名された動き再探索の確実性を検査して、要請された動作を実行するために、通信／制御モジュールは構成される。このように、悪意のあるまたは無許可のアクション要求は処理されない、そして、かくして、システムは破壊工作ソフト、スパイウェア、未許可の制御の変更パラメータ、無許可のアクセスからデータ、などまで保護されている。
実装例
[0016]  図１は、現在の開示の実施形態に従って、産業制御システム１００を例示する。実施形態において、産業制御システム１００は産業制御システム（ＩＣＳ）、プログラム可能なオートメーション・コントローラ（ＰＡＣ）、管理制御およびデータ収集（ＳＣＡＤＡ）システムから成ることができる。そして、分散制御システム（ＤＣＳ）、プログラマブル論理コントローラ（ＰＬＣ）および産業安全システムが安全基準（例えばＩＥＣ１５０８等）で保証される。図１に示すように、一つ以上の制御エレメントによって制御されるかまたは駆動される一つ以上の産業エレメント（例えば、入出力モジュール、パワー・モジュール、フィールド・デバイス、スイッチ、ワークステーションおよび／または物理的な相互接続デバイス）またはシステムの全体にわたって割り当てられるサブシステム１０２を包含する分散制御システムを実装するために、産業制御システム１００は、通信制御アーキテクチャを使用する。例えば、アップ制御エレメント／下位システムに１０２をしている一つ以上の通信／制御モジュール１０６に、一つ以上のＩ／Ｏモジュール１０４は接続している。業制御システム１００は、Ｉ／Ｏモジュール１０４へ／から伝達するデータに構成される。Ｉ／Ｏモジュール１０４は、入力モジュール、出力モジュールおよび／または入出力モジュールを含むことがありえる。例えば、入力モジュールはその過程で入力装置１３０（例えば、センサ）から情報を受信するために用いることがありえる。その一方で、出力モジュールが出力デバイス（例えば、アクチュエータ）に伝達する命令に用いられることがありえる。例えば、Ｉ／Ｏモジュール１０４は、ガス工場、精練所、などに関し配管の圧力を測定することに関しプロセス・センサに接続していることがありえておよび／または弁、バイナリまたは複数のステート・スイッチ、送信機、等を制御することに関し、プロセス・アクチュエータに接続していることがありえる。フィールド・デバイス１３０は、直接、または、ネットワーク接続を介して、ＩＯモジュール１０４に通信で連結する。これらのデバイス１３０は、制御弁、油圧アクチュエータ、磁気アクチュエータ、モーター、ソレノイド、電気的スイッチ、送信機、入力センサ／受信機（例えば、照明、放射線、ガス、温度、電気、磁気および／または、音響センサ）通信下位バス、などを包含することがありえる。
【００１１】
[0017]  実装において、モジュール１０４がそうであることがありえるＩ／Ｏは、システム１００が集める産業制御を使用した重要なインフラおよび／または工業処理を含むが必ずしもこれに限らずアプリケーション、例えば製品製造、そして、製作、有用性パワー生成、油、ガスおよび化学精製、建物、空港、船および宇宙ステーション（例えば、ＨＶＡＣ装置およびエネルギー消費をモニタ及び制御するために）に関し医薬、食品、および飲料、パルプ、および紙、金属、および鉱業および施設および大規模なキャンパス工業処理で使用される。
【００１２】
[0018]  実装において、センサからデジタルデータ（例えばアナログ／デジタルコンバータ（ＡＤＣ）回路、などを用いて）まで受信されるアナログ・データを変換するために、Ｉ／Ｏモジュール１０４は、構成されることがありえる。例えば、モジュール１０４がそうであることもありえるＩ／Ｏはモーターであるか調整している弁または電気リレーを一つ以上のプロセス・アクチュエータに接続した、そして、他はアクチュエータの中で形をなして、制御にモーター（例えば運動速度、運動トルクまたは電気リレーなどの調整している弁または状態の位置）の一つ以上の作動している特性を構成した。更に、アクチュエータ（例えばデジタル／アナログ（ＤＡＣ）回路、などを用いて）にデジタルデータをアナログの送信のためのデータに変換するために、Ｉ／Ｏモジュール１０４が構成されることがありえる。実装において、一つ以上のＩ／Ｏモジュール１０４は、通信下位バス（例えばイーサネット・バス、Ｈ１フィールド・バス、プロセスフィールドバス、Ｐｒｏｃｅｓｓ  Ｆｉｅｌｄ  Ｂｕｓ、ＰＲＯＦＩＢＵＳ、ハイウェーアドレス可能リモートトランスデューサ（HighwayＡｄｄｒｅｓｓａｂｌｅ  Ｒｅｍｏｔｅ  Ｔｒａｎｓｄｕｃｅｒ（ＨＡＲＴ）バス、Ｍｏｄｂｕｓなど）を介して通信することに関し構成される通信モジュールを含むことがありえる。更に、2以上のＩ／Ｏモジュール１０４は、さまざまなフィールド・デバイス１３０（例えば制御弁、油圧アクチュエータ、磁気アクチュエータ、モーター、ソレノイド、電気的スイッチ、送信機、入力センサ／受信機（例えば、照明、放射線、ガス、温度、電気、磁気および／または、音響センサ）通信下位バス、など）に関し辛抱強い漏電および冗長な接続を提供するために用いることがありえる。
【００１３】
[0019]  一つのＩ／Ｏモジュール１０４と他のＩ／Ｏモジュール１０４を区別することに関し、各Ｉ／Ｏモジュール１０４は、ユニーク識別子（ＩＤ）により提供されることがありえる。実装において、それが産業制御システム１００に接続するときに、Ｉ／Ｏモジュール１０４はそのＩＤにより確認される。複数のＩ／Ｏモジュール１０４は、産業制御１００によって、冗長性を提供するために用いることがありえる。例えば、2以上のＩ／Ｏモジュール１０４は、プロセス・センサおよび／またはアクチュエータに接続していることがありえる。各Ｉ／Ｏモジュール１０４は、Ｉ／Ｏモジュール１０４（例えば印刷回路基板（ＰＣＢ）、など）で包含されるハードウェアおよび回路への物理的な接続に供給する一つ以上のポートを包含することがありえる。例えば、ケーブルをＩ／Ｏモジュール１０４のプリント配線板（ＰＷＢ）に接続するケーブルに関し、各Ｉ／Ｏモジュール１０４は、接続を包含する。
【００１４】
[0020]  以下を含むが必ずしもこれに限らず他のネットワークに接続することに関し、以下の一つ以上のＩ／Ｏモジュール１０４は、インタフェースを包含することがありえる：広い領域セルラ電話ネットワーク（例えばモバイル通信（ＧＳＭ）ネットワークに関し３Ｇセルラー電話網、４  Ｇのセルラー電話網またはグローバルシステム）、無線コンピュータ通信ネットワーク（例えばＷｉ―Ｆｉネットワーク（例えば、無線ＬＡＮ（ＷＬＡＮ）はＩＥＥＥ  ８０２．１１ネットワーク標準を使用）、パーソナルエリアネットワーク（ＰＡＮ）（例えば、Ｗｉｒｅｌｅｓｓ  ＰＡＮ（ＷＰＡＮ）はＩＥＥＥ  ８０２．１５ネットワーク標準を使用）、ワイド・エリア・ネットワーク（ＷＡＮ）、イントラネット、エクストラネット、インターネット、インターネット、など。Ｉ／Ｏモジュール１０４をコンピュータバスなどに接続することに関し、更なる一つ以上のＩ／Ｏモジュール１０４は、接続を包含することがありえる。
【００１５】
[0021]  Ｉ／Ｏモジュール１０４をモニタして、制御して、一緒に2以上のＩ／Ｏモジュール１０４を接続するために、通信／制御モジュール１０６は、用いることがありえる。開示の実施形態において、Ｉ／Ｏモジュール１０４に関し固有ＩＤに基づく産業用制御システム１００に、Ｉ／Ｏモジュール１０４が接続しているルーティング・テーブルを、通信／制御モジュール１０６は、更新することがありえる。更に、複数の冗長なＩ／Ｏモジュール１０４が用いられるときに、データがＩ／Ｏモジュール１０４から受信されておよび／またはそれに発信されるにつれて、各通信／制御モジュール１０６はＩ／Ｏモジュール１０４に関して情報のデータベースのミラーリングを実装することがありえて、それらを更新することがありえる。いくつかの実施形態では、2以上の通信／制御モジュール１０６は、冗長性を提供するために用いる。付加的なセキュリティに関して、例えばスタートアップ（リセット）を含むあらかじめ定義されたイベントまたは新規な制御モジュール１０６（通信／制御モジュール１０６の置換）の設置が、周期的に、時間、などを予定した時間で互いを認証するために認証シーケンスまたは握手を実行するために、通信／制御モジュール１０６は、構成されることがありえる。
【００１６】
[0022]  図２および３に示すように、各通信／制御モジュール１０６または他のいかなる産業エレメント／コントローラ２０６（例えば、Ｉ／Ｏモジュール１０４、フィールド・デバイス１３０（例えばアクチュエータまたはセンサ、物理的な相互接続デバイス、スイッチ、パワー・モジュール１１２、等）も、アクション・オリジネータ２０２からリクエスト／命令に従って少なくとも部分的に作動されることがありえる。実装において、動きオリジネータ２０２は、オペレータインタフェース２０８（例えば、ＳＣＡＤＡまたはＨＭＩ）、エディタ２１２およびコンパイラ２１４を含むエンジニアリング・インタフェース２１０、ローカル・アプリケーション２２０、リモート・アプリケーション２１６（例えば、ローカル・アプリケーション２２０を介してネットワーク２１８によって、通信する）等を包含する。図２および３に図示される認証経路２００において、アクション・リクエストがアクション認証メッセージ２０４により署名されておよび／または暗号化されるときにだけ、産業エレメント／コントローラ２０６（例えば、通信／制御モジュール１０６、Ｉ／Ｏモジュール１０４、フィールド・デバイス１３０（例えばアクチュエータまたはセンサ）、物理的な相互接続デバイス、スイッチ、パワー・モジュール１１２、等）はアクション・リクエスト（例えば、データ、制御命令、ファームウェア／ソフトウェア・アップデート、セットされたポイント制御、アプリケーション画像ダウンロード、等に関し要請する）を処理する。これは、無許可のアクション要求に対して有効なユーザープロファイルを妨げて、更に、無効な（例えば、大幅に削られる）プロフィルから来ている無許可のアクション・リクエストから、システムを得る。
【００１７】
[0023]  アクション認証メッセージ２０４は、現場でアクション・オリジネータ２０２（例えば、直接被接続デバイス・ライフサイクル管理システム（「ＤＬＭ」）２２２または堅牢なワークステーション２２６）とありえるかまたは遠隔で位置決めされることがありえる（例えば、ネットワーク２１８を介して接続されるＤＬＭ２２２）。一般に、アクション認証メッセージ２０４は、その上に記憶されるプライベートなキーおよび署名しておよび／またはプライベートなキーを有する動きオリジネータ２０２により生成される動き再探索を暗号化するために構成されるプロセッサを有するストレージ媒体を包含する。標準オペレータ・ログインを経てアクセスされることができないメモリに、プライベートな鍵は、記憶される。例えば、堅牢なワークステーション２２６は、アクセスに関し物理的なキー、携帯用の暗号化デバイス（例えば、スマートカード、ＲＦＩＤタグ等）および／またはバイオメトリック入力を必要とすることがありえる。
【００１８】
[0024]  いくつかの実施形態では、アクション認証メッセージ２０４は、携帯用の暗号化デバイス、例えばスマートカード２２４、固定されたマイクロプロセッサを包含することがありえるを包含する。携帯用の暗号化デバイスを使用することの利点は、動きオリジネータ２０２のインタフェースへの認可されたアクセスを有するオペレータまたはユーザと、全デバイス（それとともに通信の個人的に格納されたキーおよびプロセッサを包含する）が担持されることがありえるということである。アクション認証ノード２０４が固定されたか締められてないワークステーションを介して認証経路２００に接近するかどうか、アクション・オリジネータ２０２からのアクション・リクエストは潜在的により安全でないワークステーションまたはクラウド・ベースのアーキテクチャの代わりに携帯用の暗号化デバイスのアーキテクチャの範囲内で確実に署名されることがありえておよび／または暗号化されることがありえる。これは、産業用制御システム１００を無許可のアクションから得る。例えば、アクション・オリジネータ２０２を経て送られるいかなるアクション要求も認証することが可能である前に、未許可の人は、スマートカード２２４の所有を物理的にとらなければならない。
【００１９】
[0025]  さらにまた、セキュリティの多層は、使用されることがありえる。例示に関して、アクション認証メッセージ２０４は、署名しておよび／またはスマートカード・アクセス等を介してアクション要求を暗号化するために、アクセス可能なだけである堅牢なワークステーション２２６を包含することがありえる。加えて、堅牢なワークステーション２２６は、バイオメトリックであるか多元的な暗号デバイス２２８（例えば、指紋スキャナ、虹彩スキャナおよび／または顔認識デバイス）を介してアクセス可能でありえる。実施形態によっては、スマートカード２２４または他の携帯用の暗号化デバイスがアクション・リクエストに署名することを可能にする前に、多元的な暗号デバイス２２８は、有効なバイオメトリック入力を必要とする。
【００２０】
[0026]  署名されたアクション・リクエストの確実性が検査されるときに、署名されたアクション・リクエストを受信して、署名されたアクション・リクエストの確実性を検査して、要請されたアクションを実行するために、アクション・オリジネータ２０２により駆動されている通信／制御モジュール１０６または他のいかなる産業エレメント／コントローラ２０６も構成される。実施形態によっては、産業エレメント／コントローラ２０６は、アクション・リクエスト（例えば、アクション・オリジネータによって、送られるアプリケーション画像、制御命令または他のいかなるデータも）を記憶するために構成されるストレージ媒体２３０（例えば、ＳＤ／ｍｉｃｒｏＳＤカード、ＨＤＤ、ＳＳＤまたは他のいかなる非一時的なストレージ・デバイスも）を包含する。シグニチャーが検査されたあと、アクション・リクエスト（すなわち、要請されたアクションを実行する）を実行して／実行するプロセッサ２３２を、通信／制御モジュール１０６または他のいかなる産業エレメント／コントローラ２０６も、更に含む。実施形態によっては、要請されたアクションが実行されることがありえる前に、アクション・リクエストはアクション・オリジネータ２０２またはアクション認証メッセージ２３２によって、暗号化されて、プロセッサ２３２によっても解読されなければならない。実装において、アクション・リクエスト・シグニチャーが検査されたあとだけ、プロセッサ２３２が要請されたアクションを実行することを可能にする仮想キースイッチ２３４（例えば、プロセッサ２３２で動いているソフトウェア・モジュール）を、通信／制御モジュール１０６または他のいかなる産業エレメント／コントローラ２０６も包含する、および／または、アクションの後、リクエストは解読される。いくつかの実施形態では、通信／制御モジュール１０６または他のいかなる産業エレメント／コントローラ２０６にも動く前に、どのアクションもまたは重要なアクションの選択のそれぞれは、認証経路を掃除しなければならない。
【００２１】
[0027]  図４および５は、アクションを認証する方法３００がこれの例示的実施形態に従って開示を要求することを示す。実装において、方法３００は、産業用制御システム１００の産業用制御システム１００および／または認証経路２００によって、明らかにされることがありえる。方法３００は、以下を包含する：アクション・リクエスト（例えば、オペレータ／エンジニアリング・インタフェース２０８／２１０またはリモート／ローカル・アプリケーション・インタフェース２１６／２２０を介して）を始め（３０２）、アクション認証メッセージ２０４を有するアクション・リクエストに署名し（３０４）、任意にアクション認証メッセージ２０４を有するアクション・リクエストを暗号化し（３１２）、（３０６）は、署名されたアクション・リクエストを通信／制御モジュール１０６または他のいかなる産業エレメント／コントローラ２０６にも送信するかまたはダウンロードし、署名されたアクション・リクエストの確実性を検査し（３０８）、任意に通信／制御モジュール１０６または他のいかなる産業エレメント／コントローラ２０６を有するもアクション・リクエストを解読し（３１４）、そして、
署名されたアクション・リクエストの確実性が検査されるときに、通信／制御モジュール１０６または他のいかなる産業エレメント／コントローラ２０６でも要請されたアクションを実行する（３１０）。
【００２２】
[0028]  強化されたセキュリティに関して、要請されたアクションが通信／制御モジュール１０６または他のいかなる産業エレメント／コントローラ２０６にも通される前に、アクション認証メッセージ２０４（例えば、スマートカード２２４等を有する）を有する認証シーケンスを実行するために、通信／制御モジュール１０６または他のいかなる産業エレメント／コントローラ２０６も更に構成されることがありえる。例えば、いわゆる「ハンドシェイク」は、ステップ３１０の前に、または、ステップ３０６の前にさえ実行されることがありえる。いくつかの実施形態では、シグニチャーおよび確認ステップ３０４および３０８は、より複雑な認証シーケンスと、完全に置き換えられることがありえる。別の実施形態として、より単純なシグニチャー確認または解読が測定する接頭母音に対する追加的な保安手段として、認証シーケンスは、実行されることがありえる。
【００２３】
[0029]  いくつかの実施形態では、通信／制御モジュール１０６または他のいかなる産業エレメント／コントローラ２０６によっても実装される認証シーケンスは、以下を包含することがありえ、アクション認証メッセージ２０４にリクエスト・データグラムを送るステップであって、リクエスト・データグラムが第１ノンス、第１のデバイス認証キー証明書（例えば、デバイス認証キーを含む第１の認証証明書）および第１のアイデンティティ属性証明書を包含し、アクション認証メッセージ２０４から応答データグラムを受信するステップであって、第２のノンスを包含している応答データグラム、第１および第２のノンスを伴う第１のシグニチャー、第２のデバイス認証キー証明書（例えば、デバイス認証キーを含む第２の認証証明書）および第２のアイデンティティは、証明書に起因し、第１のシグニチャーを検査することによって、応答データグラムを確認するステップであって、第１および第２ノンス、第２のデバイス認証キー証明書および第２のアイデンティティ属性証明書と関連し、応答データグラムが有効であるときに、アクション認証メッセージ２０４に認証データグラムを送るステップであって、第２のシグニチャーを包含している認証データグラムは、第第１および第２のノンスと関連する。
【００２４】
[0030]  別の実施形態として、アクション認証メッセージ２０４はハンドシェイクを開始することがありえる。その場合には、通信／制御モジュール１０６または他のいかなる産業エレメント／コントローラ２０６によっても実装される認証シーケンスは以下を包含することがありえる：アクション認証メッセージ２０４（第１ノンス、第１のデバイス認証キー証明書および第１のアイデンティティ属性証明書を包含しているリクエスト・データグラム）からリクエスト・データグラムを受信すること、第１のデバイス認証キー証明書および第１のアイデンティティ属性証明書を検査することによって、再探索データグラムを確認すること、リクエスト・データグラムが有効であるときに、アクション認証メッセージ２０４に応答データグラムを送り、第２のノンスを包含している応答データグラム、第１および第２のノンスを伴う第１シグニチャー、第２のデバイス認証キー証明書および第２のアイデンティティは、証明書に起因し、アクション認証メッセージ２０４から認証データグラムを受信して、第２のシグニチャーを包含している認証データグラムは、第１および第２ノンスと関連し、第１および第２ノンスを伴う第２のシグニチャーを検査することによって、認証データグラムを確認する。
【００２５】
[0031]  通信／制御モジュール１０６により実装されることがありえるかまたは他のいかなる産業エレメント／コントローラ２０６およびアクション認証メッセージ２０４でもありえるハンドシェイクまたは認証シーケンスは、２０１４年１０月２０日に出願された同時係属米国の非仮出願シリアル番号［まだ割り当てられていない］「ＩＮＤＵＳＴＲＩＡＬ  ＣＯＮＴＲＯＬ  ＳＹＳＴＥＭ  ＲＥＤＵＮＤＡＮＴ  ＣＯＭＭＵＮＩＡＴＩＯＮＳ／ＣＯＮＴＲＯＬ  ＭＯＤＵＬＥＳ  ＡＵＴＨＥＮＴＩＣＡＴＩＯＮ」  （Ｔｉｍｏｔｈｙ  Ｃｌｉｓｈ）に十分に記載され、リファレンスとしてここにて組み込まれる。通信／制御モジュール１０６または他のいかなる産業エレメント／コントローラ２０６もとアクション認証メッセージ２０４の間に本願明細書において、記載されるハンドシェイクに、当業者は、冗長な通信／制御モジュール１０６の間に、ハンドシェイクの適用性を認める。
【００２６】
[0032]  アクション・オリジネータ２０２（アクション認証メッセージ２０４）の中で各々、そして、通信／制御モジュール１０６または他のいかなる産業エレメント／コントローラ２０６も、本願明細書において、記載される機能またはオペレーション（例えば、方法３００のブロックおよび認証シーケンス）を実行する力を与えられる回路および／またはロジックを包含することがありえる。例えば、各々アクション・オリジネータ２０２、アクション認証メッセージ２０４および通信／制御の中で、あるいは、一時的に非一時的な機械読み取り可読媒体（例えばハードディスク装置（ＨＤＤ）、固体物理ディスク（ＳＤＤ）、光ディスク、磁気記憶デバイス、フラッシュドライブまたはＳＤ／ｍｉｃｒｏＳＤカードであるが、これらに限定されない）によって、モジュール１０６または他のいかなる産業エレメント／コントローラ２０６も、永久に、半永久に記憶されるプログラム命令を実行する一つ以上のプロセッサを包含することがありえる。
【００２７】
[0033]  図１を再度参照して、産業制御システム１００により送信されるデータはパケット化でありえる、すなわち、データの別々の部分はネットワーク制御情報、などとともにピン部から成るデータパケットに変換されることがありえる。産業制御システム１００はデータ伝送に関し一つ以上のプロトコルを使用することがありえる。そして、ビットを指向する同期データリンク層プロトコル、例えばＨｉｇｈ―Ｌｅｖｅｌデータリンク制御、ＨＤＬＣを包含する。いくつかの実施形態では、産業制御システム１００は、標準の国際標準化機構（ＩＳＯ）１３２３９、等に従ってＨＤＬＣを実装する。更に、２以上の通信／制御モジュール１０６は、冗長なＨＤＬＣを実装するために用いることがありえる。しかしながら、ＨＤＬＣが例えば提供されて、現在の開示で拘束性のはずでない点に留意する必要がある。かくして、産業制御システム１００は、現在の開示に従って他のさまざまな通信プロトコルを使用することがありえる。
【００２８】
[0034]  モニタリングに関し情報を使用するコンポーネントと交換しておよび／またはＩ／Ｏモジュール１０４（例えば一つ以上の制御ループ・フィードバック機構／コントローラ）を介して産業制御システム１００に接続しているフィールド・デバイス１３０（例えば、センサおよび／またはアクチュエータ計装）を制御することに関し、通信／制御モジュール１０６の一つ以上は、構成されることがありえる。実装において、コントローラは、マイクロコントローラ／Ｐｒｏｇｒａｍｍａｂｌｅ  Ｌｏｇｉｃ  Ｃｏｎｔｒｏｌｌｅｒ（PLC）、Ｐｒｏｐｏｒｔｉｏｎａｌ―Ｉｎｔｅｇｒａｌ―Ｄｅｒｉｖａｔｉｖｅ（ＰＩＤ）コントローラ、などとして構成されることがありえる。いくつかの実施形態では、例えば、ネットワークを介して一つ以上のＩ／Ｏモジュール１０４を一つ以上のコントローラに接続するために、Ｉ／Ｏモジュール１０４および通信／制御モジュール１０６は、ネットワーク・インターフェースを包含する。実装において、Ｉ／Ｏモジュール１０４をローカル・エリア・ネットワーク（ＬＡＮ）に接続することに関しギガビットイーサネット・インタフェースとして、ネットワーク・インターフェースは、構成されることがありえる。更に、2以上の通信／制御モジュール１０６は、冗長なギガビットイーサネットを実装するために用いることがありえる。しかしながら、ギガビットイーサネットが例えば提供されて、現在の開示で拘束性のはずでない点に留意する必要がある。かくして、通信／制御モジュール１０６を以下を含むが必ずしもこれに限らず他のさまざまなネットワークに接続することに関し、ネットワーク・インターフェースは、構成されることがありえる：広域セルラ電話ネットワーク（例えば３Ｇセルラー電話網、４Ｇのセルラー電話網またはＧＳＭネットワーク）、無線コンピュータ通信ネットワーク（例えばＷｉ―Ｆｉネットワーク（例えば、ＷＬＡＮはＩＥＥＥ  ８０２．１１ネットワーク標準を使用して作動）、ＰＡＮ（例えば、ＷＰＡＮはＩＥＥＥ  ８０２．１５ネットワーク標準を使用して作動）、ＷＡＮ、イントラネット、エクストラネット、インターネット、インターネット、など。加えて、ネットワーク・インターフェースは、コンピュータバスを使用して実装されることがありえる。例えば、ネットワーク・インターフェースは、Ｐｅｒｉｐｈｅｒａｌ  Ｃｏｍｐｏｎｅｎｔ  Ｉｎｔｅｒｃｏｎｎｅｃｔ（ＰＣＩ）カードインターフェース（例えばミニＰＣＩインターフェイスなど）を包含することがありえる。更に、異なるアクセス・ポイント全体の単一のネットワークまたは複数のネットワークを包含するために、ネットワークは、構成されることがありえる。
【００２９】
[0035]  産業制御システム１００は、複数のソースから電力を受信することがありえる。例えば、ＡＣ電源は、パワーグリッド１０８（例えばＡＣ本線からのハイ電圧パワーを使用して）から供給される。ＡＣ電源は、ローカル・パワー生成（例えば、現場でのタービンまたはディーゼル・ローカル・パワー・ジェネレータ１１０）を使用して供給されることもありえる。パワー供給１１２は、パワーグリッド１０８から産業制御システム１００（例えばコントローラ、Ｉ／Ｏモジュール、など）のオートメーション装置まで電力を割り当てるために用いる。パワー供給１１２は、ローカル・パワー・ジェネレータ１１０から産業制御システム装置まで電力を割り当てるために用いることもありえる。産業制御システム１００は、複数の電池モジュールを用いてストアおよび戻るＤＣパワーに構成される追加（バックアップ）電動電源を包含することもありえる。例えば、パワー電源１１２は、ＵＰＳとして機能する。開示の実施形態において、複数のパワー供給１１２は、産業制御システム１００の中で、割り当てられることがありえる（例えば、物理的に分散する）。
【００３０】
[0036]  いくつかの実施形態では、制御エレメント／サブシステムおよび／または産業エレメント（例えば、Ｉ／Ｏモジュール１０４、通信／制御モジュール１０６、パワー供給１１２、など）は、一つ以上のバックプレーン１１４によって、一緒に接続される。例えば、通信／制御モジュール１０６は、通信バックプレーン１１６によって、Ｉ／Ｏモジュール１０４に接続していることがありえる。更に、パワー供給１１２は、Ｉ／Ｏモジュール１０４におよび／またはパワー・バックプレーン１１８による通信／制御モジュール１０６に接続していることがありえる。いくつかの実施形態では、物理的な相互接続デバイス（例えば、限定的ではないが米国非仮出願シリアル番号１４／４４６，４１２に記載されるそれらのようなスイッチ、コネクタまたはケーブル）は、Ｉ／Ｏモジュール１０４、通信／制御モジュール１０６、パワー供給１１２およびおそらく他の産業制御システム装置に接続するために用いる。例えば、ケーブルは通信／制御モジュール１０６をネットワーク１２０に接続するために用いることがありえる、他のケーブルはパワー供給１１２をパワーグリッド１０８に接続するために用いることがありえる、他のケーブルはパワー供給１１２をローカル・パワー・ジェネレータ１１０、などに接続するために用いることがありえる。
【００３１】
[0037]  いくつかの実施形態では、産業制御システム１００は、安全な制御システムを実装する。例えば、産業制御システム１００は、セキュリティ証明書ソース（例えば、工場１２２）およびセキュリティ証明書メーカー（例えば、キー管理エンティティ１２４）を包含する。固有のセキュリティ証明書（例えば、キー、証明書など（例えばユニーク識別子および／またはセキュリティ証明書）を生成するために、セキュリティ証明書ソースは、構成される。固有のセキュリティ証明書を有する制御エレメント／サブシステムおよび／または産業エレメント（例えば、ケーブル、デバイス１３０、Ｉ／Ｏモジュール１０４、通信／制御モジュール１０６、パワー供給１１２、など）がセキュリティ証明書ソースによって、生成した供給に、セキュリティ証明書メーカーは、構成される。
【００３２】
[0038]  産業制御システム１００の複数の（例えば、全て）レベルでセキュリティを提供することに関し、複数の（例えば、あらゆる）デバイス１３０、Ｉ／Ｏモジュール１０４、通信／制御モジュール１０６、パワー供給１１２、物理的な相互接続デバイスなどは、セキュリティ証明書によって、産業制御システム１００の中で配給されることがありえる。またさらに、などセンサおよび／またはアクチュエータを包含している制御エレメント／サブシステムおよび／または産業エレメントは、製造（例えば、出生時）の間、ユニークなセキュリティ証明書（例えば、などキー、証明書）により配給されることがありえて、産業制御システム１００の安全を進めることに関し、産業制御システム１００のキー管理エンティティ１２４によって、発生から管理されることがありえる。
【００３３】
[0039]  いくつかの実施形態、センサおよび／またはアクチュエータを含む制御エレメント／サブシステムおよび／または産業エレメント間の通信などにおいて、産業制御システム１００は認証プロセスを包含する。センサおよび／またはアクチュエータなどを包含している制御エレメント／下位システムおよび／または産業エレメントを認証することに関し、認証プロセスは実行されることがありえる。そして、産業制御システム１００において、実装される。更に、そのエレメントおよび／または物理的な相互接続デバイスを認証することに関し、認証プロセスは、エレメントおよび／または物理的な相互接続デバイスと関連したセキュリティ証明書を利用することがありえる。例えば、セキュリティ証明書は、暗号化キー、証明書（例えば、一般のキー証明書、デジタル証明書、アイデンティティ証明書、セキュリティ証明書、非対称の証明書、標準証明書、非標準証明書）および／または識別番号を包含することがありえる。
【００３４】
[0040]  実装において、複数の制御エレメント／サブシステムおよび／またはシステム１００がそうである産業制御の産業エレメントは、それらの自分のものによって、ユニークなセキュリティ証明書に配給した。例えば、エレメントが製造される（例えば、キーおよび証明書の個々のセットはエレメントの発生で定められる）ときに、産業制御システム１００の各エレメントは証明書、暗号化キーおよび／または識別番号のそれ自身のユニークなセットにより配給されることができる。証明書、暗号化キーおよび／または識別番号のセットは、強い暗号化を提供して／サポートに関し構成される。暗号化キーは、標準（例えば、市販在庫品（ＣＯＴＳ）暗号化アルゴリズム（例えば国家安全保障局（ＮＳＡ）アルゴリズム、国立標準技術研究所（ＮＩＳＴ）アルゴリズム等）によって、実装することがありえる。
【００３５】
[0041]  認証プロセスの結果に基づいて、認証されているエレメントは活性化されることがありえる、エレメントの部分的な機能は産業制御システム１００の中で使用可能または使用不可にされることがありえる、エレメントの完全な機能は産業制御システム１００の中で許可されることがありえる、および／または、産業制御システム１００の中のエレメントの機能は完全に使用不能でありえる（例えば、産業制御システム１００のそのエレメントと他のエレメントの間に促進される通信でない）。
【００３６】
[0042]  実施形態において、産業制御システム１００のエレメントと関連したキー、証明書および／または識別番号は、そのエレメントのオリジナルの装置製造業者（ＯＥＭ）を特定することがありえる。本明細書において、デバイス（例えば、エレメント）および／またはデバイス（例えばデバイスを物理的な製造業者から購入して、デバイスを販売するエンティティ）の供給元を物理的に製造するエンティティとして、条件「相手先商標製造会社」または「ＯＥＭ」は、定義されることがありえる。かくして、実施形態で、物理的な製造業者およびデバイスの供給元であるＯＥＭによって、デバイスは、製造および供給されることがありえる（販売される）。しかしながら、他の実施形態では、デバイスは、供給元であるＯＥＭによって、割り当てられることがありえるが、物理的な製造業者でない。このような実施形態では、ＯＥＭは、デバイスに物理的な製造業者によって、製造させられることがありえる（例えばＯＥＭは、購入、契約、オーダーなどができ、デバイスは物理的な製造業者から得る）。
【００３７】
[0043]  加えて、ＯＥＭがデバイスの物理的な製造者でない供給元から成る所で、デバイスは物理的な製造業者のブランドの代わりに供給元のブランドを支持することがありえる。例えば、エレメント（例えば、通信／制御モジュール１０６）が物理的な製造業者でなく供給元である特定のＯＥＭを伴う実施形態で、エレメントのキー、証明書および／または識別番号は、その起源を特定することがありえる。産業制御システム１００のエレメントの認証の間、判定がそれをされるときに、産業制御システム１００の一つ以上の他のエレメントのＯＥＭとは異なるエンティティによって、認証されているエレメントは製造されたかまたは出力された、そして、そのエレメントの機能は産業制御システム１００の中で少なくとも部分的に使用不能でありえる。例えば、限定は産業制御システム１００のそのエレメントと他のエレメントの間に通信（例えば、データ転送）に置かれることがありえる。そうすると、エレメントは働くことができなくて／産業制御システム１００の中で機能することができない。産業制御システム１００のエレメントの一つが置換を必要とするときに、知らずに非同種のエレメント（例えば、産業制御システム１００の残りのエレメントより異なる起源（異なるＯＥＭ）を有しているエレメント）にエレメントを置き換えて、産業制御システム１００のエレメントを実装するのを、この特徴は産業制御システム１００のユーザが防止することがありえる。このように、本願明細書において、記載される技術は、安全な産業制御システム１００に、他のＯＥＭのエレメントの置換を防止することがありえる。ある例では、始まっているＯＥＭにより提供されるエレメントの代わりに、同程度の機能性に供給するエレメントの置換は防止されることがありえる。これは、次のことの故である。置換されたエレメントは始まっているＯＥＭのシステムを認証することができなくて、それの範囲内で作動することができない。他の例では、第１の再販業者はエレメントが始まっているＯＥＭによって、物理的および暗号ラベルの１セットめを有して提供されることがありえる。そして、第１の再販業者のエレメントは産業制御システム１００に取り付けられることがありえる。この例では、エレメントがＯＥＭを発明している同じことによって、物理的および暗号ラベルの中でセットされる第２のもの（例えば、異なるもの）を有し、２人目の再販業者が提供されることがありえる。この例では、第2の再販業者のエレメントは産業制御システム１００の中で作動するのを防止されることができる。これは、それらは第１の再販業者のエレメントを認証することができなくて、それによって、作動することができないからである。しかしながら、また、第１の再販業者および第2の再販業者が双方の合意を結ぶことができることは注意すべきである。ここで、同じ産業制御システム１００を認証して、それの範囲内で作動するために、第１および第２のエレメントは構成されることがありえる。更に、実施形態によっては、合意が特定の顧客、顧客のグループ、施設などに適用するだけであるように、相互運用を許容する再販業者間の合意は実装されることもありえる
[0044]  他の事例において、ユーザは、産業制御システム１００の中で誤って指定された（例えば、ミスマーク）エレメントを実装することを試みることがありえる。例えば、エレメントが産業制御システム１００の他のエレメントのＯＥＭと同じＯＥＭを伴うことを、不正に示すそれにマークされる物理的な表示を、ミスマークエレメントを有することがありえる。かかる事例において、システム１００がそうすることがありえる産業制御により実装される認証プロセスは、エレメントが偽であるという警報を出されるユーザを生じさせる。このプロセスは産業制御システム１００に関し改良された保安を促進することもありえる。これは、次のことの故である。偽のエレメントはしばしば、悪意のあるソフトウェアが産業制御システム１００にもたらされることがありえるビークルである。実施形態において、認証プロセスは産業制御システム１００に関し安全なエアギャップを提供する。そして、安全な産業制御システムが不安定なネットワークから物理的に分離されることを確実にする。
【００３８】
[0045]  実装において、安全な産業制御システム１００は、キー管理エンティティ１２４を包含する。暗号法の暗号鍵（例えば、暗号化キー）を管理することに関し、キー管理エンティティ１２４は、構成されることがありえる。この暗号鍵（例えば、キー管理）を管理することは、キーの生成、交換、ストレージ、使用および／または置換を包含することがありえる。例えば、キー管理エンティティ１２４はセキュリティ証明書ソースとして役立つために構成される。そして、産業制御システム１００のエレメントに関しユニークなセキュリティ証明書（例えば、一般のセキュリティ証明書、秘密のセキュリティ証明書）を生成する。キー管理は、ユーザおよび／またはシステム・レベル（例えば、ユーザまたはシステム間のどちらか）でキーに関係する。
【００３９】
[0046]  実施形態において、キー管理エンティティ１２４は、安全なエンティティ（例えば安全な施設に位置決めされるエンティティ）から成る。キー管理エンティティ１２４は、Ｉ／Ｏモジュール１０４、通信／制御モジュール１０６およびネットワーク１２０から遠隔で位置決めされることがありえる。例えば、ファイアウォール１２６は、制御エレメントまたはサブシステム１０２からのキー管理エンティティ１２４およびネットワーク１２０（例えば、コーポレート・ネットワーク）を分離することがありえる。実装において、ルールセットに基づいて、ファイアウォール１２６は、データパケットを分析して、データパケットが許されるべきかどうか決定することによって、徹底的なおよび出て行くネットワーク・トラフィックを制御するソフトウェアまたはハードウェア・ベースのネットワークセキュリティシステムでありえる。ファイアウォール１２６は、固定されているとみなされなくて、信頼される（例えば、クラウドおよび／またはインターネット）信頼された、安全な内部ネットワーク（例えば、ネットワーク１２０）と他のネットワーク１２８の間の障壁をかくしてもたらす。実施形態において、ファイアウォール１２６は、キー管理エンティティ１２４と制御エレメントまたはサブシステム１０２および／またはネットワーク１２０の一つ以上の間に選択的な（例えば、安全な）通信を許容する。例において、一つ以上のファイアウォールは、産業制御システム１００の中でさまざまな位置で実装されることがありえる。例えば、ファイアウォールは、ネットワーク１２０のスイッチおよび／またはワークステーションに集積されることがありえる。
【００４０】
[0047]  安全な産業制御システム１００は、一つ以上の製造エンティティ（例えば、工場１２２）を更に含むことがありえる。製造エンティティは、産業制御システム１００のエレメントに関し、オリジナルの装置製造業者（ＯＥＭ）と関係していることがありえる。キー管理エンティティ１２４は、ネットワーク（例えば、クラウド）を介して、製造エンティティに通信で連結することがありえる。実装において、産業制御システム１００のエレメントが一つ以上の製造エンティティで製造されるときに、（例えば、暗号化された通信パイプラインを有することがありえる）エレメントに、キー管理エンティティ１２４は通信で連結することがありえる。製造の際にセキュリティ証明書（例えば、キー、証明書および／または識別番号をエレメントに挿入する）を有するエレメントに配給することに関し、キー管理エンティティ１２４は、通信パイプラインを利用することがありえる。
【００４１】
[0048]  更に、エレメントが使用（例えば、活性化される）に入れられるときに、キー管理エンティティ１２４は世界的に個々のエレメントに通信で連結することがありえ（例えば、暗号化された通信パイプラインを介して）、特定のコードの使用を確認することがありえて、署名することがありえて、いかなる特定のコードの使用も無効にすることがありえて（例えば、取り除く）、および／または、いかなる特定のコードの使用も可能にすることがありえる。かくして、エレメントが最初は製造される（例えば、生まれる）工場で、キー管理エンティティ１２４は各エレメントと通信することがありえる。そうすると、エレメントは管理されたキーで支えられる。産業制御システム１００の各エレメントに関しすべての暗号化キー、証明書および／または識別番号を包含しているマスタデータベースおよび／またはテーブルは、キー管理エンティティ１２４により維持されることがありえる。キー管理エンティティ１２４は、エレメントとのその通信によって、キーを無効にすることに関し構成される。それによって、コンポーネントの窃盗および再利用に対処する認証メカニズムの能力を進める。
【００４２】
[0049]  実装において、キー管理エンティティ１２４は、他のネットワーク（例えば、クラウドおよび／またはインターネット）およびファイアウォールで制御エレメント／サブシステム、産業エレメントおよび／またはネットワーク１２０の一つ以上に、通信で連結することがありえる。例えば、実施形態で、キー管理エンティティ１２４は、集中化したシステムまたは分散処理システムでありえる。そのうえ、実施形態で、キー管理エンティティ１２４は、ローカルに、または、遠隔で管理されることがありえる。いくつかの実装において、（例えば、統合された）ネットワーク１２０または制御エレメントまたはサブシステム１０２の範囲内で、キー管理エンティティ１２４は、位置決めされることがありえる。キー管理エンティティ１２４は、管理を提供することがありえておよび／またはさまざまな方法で管理されることがありえる。例えば、キー管理エンティティ１２４は、実装されることがありえて／管理されることがありえる。中央位置の顧客によって、個々の工場位置の顧客によって、外部の第三者管理会社によって、および／または産業用なものの異なる層の顧客によって、そして、層によって、異なる位置で、システム１００を制御する。
【００４３】
[0050]  セキュリティ（例えば、計測可能な、ユーザを構成された量のセキュリティ）の様々なレベルは、認証プロセスにより提供されることがありえる。例えば、エレメントを認証して、エレメントの範囲内でコードを保護するベースは、セキュリティで水平に提供されることがありえる。セキュリティの他の層は、同様に加えられることがありえる。例えば、コンポーネント（例えば通信／制御モジュール１０６）が適当な認証が発生しなくて強化することができないかかる程度に、セキュリティは、実装されることがありえる。実装において、コードの暗号化はエレメントで実装される。その一方で、セキュリティ証明書（例えば、キーおよび証明書）はエレメントに実装される。セキュリティは、産業制御システム１００で、割り当てられることがありえる（例えば、フロー）。例えば、セキュリティはエンドユーザにずっと産業制御システム１００の中を流れることがありえる。そして、モジュールがその事例において、何を制御するように設計されているかについて知られている。実施形態において、認証プロセスは、暗号化（安全な通信に関しデバイスの識別およびシステム・ハードウェアまたはソフトウェア構成要素（例えば、デジタル署名を介して）の認証）を提供する。
【００４４】
[0051]  実装において、異なる製造業者／ベンダー／供給元（例えば、ＯＥＭ）により製造されておよび／または供給されるエレメントの安全な産業制御システム１００の中でインターオペラビリティを提供しておよび／または可能にするために、認証プロセスは、実装されることがありえる。例えば、異なる製造業者／ベンダー／供給元により製造されておよび／または供給されるエレメント間の選択的な（例えば、少し）インターオペラビリティは、許可されることがありえる。実施形態において、認証の間、実装されるユニークなセキュリティ証明書（例えば、キー）は階層を形成することがありえる。それによって、異なる機能が産業制御システム１００の異なるエレメントにより実行されるのを許す。
【００４５】
[0052]  そこに配置され（例えば、射出しておよび／または押し込んだ）、産業制御システム１００のコンポーネントを接続している通信リンクはデータパケット（例えば小型パケット（例えば、６４バイトより小さいパケット）を更に使用することがありえる。そして、セキュリティの加算レベルを提供する。外側の情報（例えば、悪意のあるコンテンツ（例えばなど虚偽のメッセージ、破壊工作ソフト（ウイルス）、データマイニング・アプリケーション）が通信リンク上に射出されることがありえる問題点のレベルをラント・パケットの使用が上昇させる。例えば、通信リンク上に悪意のあるコンテンツを射出する外部の実体の能力を妨げるために動きオリジネータ２０４と通信／制御モジュール１０６または他のいかなる産業エレメント／コントローラ２０６の間にも送信されるデータパケット間のギャップの範囲内で、小型パケットは、通信リンク上に射出されることがありえる。
【００４６】
[0053]  全般的に、本願明細書において、記載される機能のいずれか、ハードウェア（例えば、固定ロジック回路（例えば集積回路）、ソフトウェア、ファームウェア、手動処理またはそれらの組み合わせを用いて実装されることがありえる。かくして、全般的に上記の開示において、述べられるブロックは、ハードウェア（例えば、固定ロジック回路（例えば集積回路）、ソフトウェア、ファームウェアまたはそれらの組み合わせを表す。ハードウェアの構成の事例において、上記の開示において、述べられるさまざまなブロックは、他の機能と一緒の集積回路として実装されることができる。かかる集積回路は、伝えられたブロック（システムまたは回路）の機能またはブロック（システム）の一部の機能または回路の全てを包含できる。更に、ブロック、システムまたは回路のエレメントは、複数の集積回路全体に実装されることができる。モノリシック集積回路、フリップチップ集積回路、マルチチップ・モジュール集積回路および／または混合信号集積回路を含むが必ずしもこれに限らず、かかる集積回路は、さまざまな集積回路から成ることができる。ソフトウェア実装の事例において、上記の開示において、述べられるさまざまなブロックは、オン・プロセッサを実行するときに、指定された作業を遂行する実行可能命令（例えば、プログラムコード）を表す。これらの実行可能命令は、一つ以上の有形のコンピューター読み取り可能な媒体に記憶されることがありえる。いくつかにおいて、かかる事例、全システム、ブロックまたは回路は、そのソフトウェアまたはファームウェア等価物を用いて実装されることができる。他の例において、一つの部の所与のシステム、ブロックまたは回路はソフトウェアまたはファームウェアで実装されることができる。その一方で、他の部分はハードウェアにおいて、実装される。
【００４７】
[0054]  内容が構造特徴および／またはプロセス・オペレーションに特有の言語で記載されたにもかかわらず、添付の請求の範囲において、定められる内容が上で記載される特定の特徴または行為に必ずしも限られているというわけではないことを理解すべきである。むしろ、上で記載される特定の特徴および行為は、請求を実装することの例示の様態として開示される。
【図１】
2016019281.tif 000003
【図２】
2016019281.tif 000004
【図３】
2016019281.tif 000005
【図４】
2016019281.tif 000006
【図５】
2016019281.tif 000007
【外国語明細書】
2016019281000001.pdf