(57)【要約】  方法は、第１のデバイス（２０２、２０４、３０２、３０４、３０６）において接続ポリシーを使用して、産業用プロセス制御及び自動化システム（１００）の第２のデバイス（２０２、２０４、３０２、３０４、３０６）とのセキュリティアソシエーションを確立するステップ（４０８）を含む。当該方法はまた、セキュリティアソシエーションが確立されると、第１のデバイスにおいてプロセスデータポリシーをアクティブ化するステップを含む。セキュリティアソシエーションは、第１及び第２のタイプのネゴシエーション中に確立される（４０６）。プロセスデータポリシーは、第１のタイプのネゴシエーションなしに、第２のタイプのネゴシエーション中にアクティブ化される（４１２）。第２のタイプのネゴシエーションは第１のタイプのネゴシエーションよりも高速である。接続ポリシーは、第１のデバイスの非プロセス通信ポートを使用して、デバイス間の通信チャネルを規定する。プロセスデータポリシーは、リアルタイムの産業プロセスデータのためのデバイス間の通信チャネルを規定する。第１のタイプのネゴシエーションはＩＫＥメインモードネゴシエーションを含んでもよく、第２のタイプのネゴシエーションはＩＫＥクイックモードネゴシエーションを含んでもよい。
2017512015.tif 000002
【特許請求の範囲】
【請求項１】
第１のデバイス（２０２、２０４、３０２、３０４、３０６）において接続ポリシーを使用して、産業用プロセス制御及び自動化システム（１００）の第２のデバイス（２０２、２０４、３０２、３０４、３０６）とのセキュリティアソシエーションを確立するステップ（４０８）と、
前記セキュリティアソシエーションが確立されると、前記第１のデバイスにおいてプロセスデータポリシーをアクティブ化するステップと
を含む方法であって、
前記セキュリティアソシエーションは、第１及び第２のタイプのネゴシエーション中に確立され（４０６）、前記プロセスデータポリシーは、前記第１のタイプのネゴシエーションなしに前記第２のタイプのネゴシエーション中にアクティブ化され（４１２）、前記第２のタイプのネゴシエーションは前記第１のタイプのネゴシエーションよりも高速であり、
前記接続ポリシーは、前記第１のデバイスの非プロセス通信ポートを使用して、前記デバイス間の通信チャネルを規定し、
前記プロセスデータポリシーは、リアルタイムの産業プロセスデータのための前記デバイス間の通信チャネルを規定する、方法。
【請求項２】
前記第１のタイプのネゴシエーションは、インターネット鍵交換（ＩＫＥ）メインモードネゴシエーションを含み、
前記第２のタイプのネゴシエーションは、ＩＫＥクイックモードネゴシエーションを含む、請求項１に記載の方法。
【請求項３】
前記セキュリティアソシエーションの確立を開始するために前記第１のデバイスから前記第２のデバイスにデータメッセージを送信するステップであって、前記第１のデバイスが前記データメッセージを前記第２のデバイスの非プロセス通信ポートに向ける、ステップ
をさらに含む、請求項１に記載の方法。
【請求項４】
前記第１のデバイスが前記第２のデバイスよりも低位のネットワークアドレスを有することを判定するステップ
をさらに含み、
前記データメッセージは、前記第１のデバイスが前記低位のネットワークアドレスを有すると判定することに応答して、前記第２のデバイスに送信される、請求項３に記載の方法。
【請求項５】
前記セキュリティアソシエーションの確立を開始するために、前記第１のデバイスにおいて、前記第２のデバイスからデータメッセージを受信するステップであって、前記第１のデバイスは、前記第１のデバイスの非プロセス通信ポートにおいて前記データメッセージを受信する、ステップ
をさらに含む、請求項１に記載の方法。
【請求項６】
前記プロセスデータポリシーをアクティブ化するステップの前に、前記第１のデバイスが、暗号化されていないデータメッセージを使用して、前記第２のデバイスと通信し、
前記プロセスデータポリシーをアクティブ化するステップの後、前記第１のデバイスが、暗号化されたデータメッセージを使用して、前記第２のデバイスと通信する、請求項１に記載の方法。
【請求項７】
前記プロセスデータポリシーのアクティブ化中、前記第２のデバイスからのプロセスデータの発行がまったく失われない、請求項１に記載の方法。
【請求項８】
前記プロセスデータポリシーは、前記第１のデバイス及び前記第２のデバイスにおいて同時にアクティブ化される、請求項１に記載の方法。
【請求項９】
第１の分散制御システム（ＤＣＳ）デバイス（２０２、２０４、３０２、３０４、３０６）を備える装置であって、前記第１のＤＣＳデバイスは、
第２のＤＣＳデバイス（２０２、２０４、３０２、３０４、３０６）と通信するように構成された少なくとも１つのインターフェース（１４６、１５２）と、
接続ポリシーを使用して、前記第２のＤＣＳデバイスとのセキュリティアソシエーションを確立し、
前記セキュリティアソシエーションが確立されると、プロセスデータポリシーをアクティブ化する
ように構成された少なくとも１つの処理デバイス（１４２、１４８）と
を備え、
前記少なくとも１つの処理デバイスは、第１及び第２のタイプのネゴシエーション中に前記セキュリティアソシエーションを確立し、前記第１のタイプのネゴシエーションなしに前記第２のタイプのネゴシエーション中に前記プロセスデータポリシーをアクティブ化するように構成され、前記第２のタイプのネゴシエーションは前記第１のタイプのネゴシエーションよりも高速であり、
前記接続ポリシーは、前記第１のＤＣＳデバイスの非プロセス通信ポートを使用して、前記ＤＣＳデバイス間の通信チャネルを規定し、
前記プロセスデータポリシーは、リアルタイムの産業プロセスデータのための前記ＤＣＳデバイス間の通信チャネルを規定する、装置。
【請求項１０】
前記第１のタイプのネゴシエーションは、インターネット鍵交換（ＩＫＥ）メインモードネゴシエーションを含み、
前記第２のタイプのネゴシエーションは、ＩＫＥクイックモードネゴシエーションを含む、請求項９に記載の装置。
【請求項１１】
前記少なくとも１つの処理デバイスは、さらに、前記セキュリティアソシエーションの確立を開始するために、前記第２のＤＣＳデバイスへのデータメッセージの送信を開始するように構成され、
前記少なくとも１つのインターフェースは、前記データメッセージを前記第２のＤＣＳデバイスの非プロセス通信ポートに向けるように構成される、請求項９に記載の装置。
【請求項１２】
前記少なくとも１つの処理デバイスは、さらに、前記セキュリティアソシエーションの確立を開始するために、前記少なくとも１つのインターフェースを介して、前記第２のＤＣＳデバイスからデータメッセージを受信するように構成される、請求項９に記載の装置。
【請求項１３】
前記第１のＤＣＳデバイスは、産業プロセスコントローラ（１０６、１１４、１２２、１３０、１３８）を備える、請求項９に記載の装置。
【請求項１４】
コンピュータプログラムを具現化する非一時的コンピュータ読み取り可能な媒体であって、前記コンピュータプログラムは、
第１のデバイス（２０２、２０４、３０２、３０４、３０６）において接続ポリシーを使用して、産業用プロセス制御及び自動化システム（１００）の第２のデバイス（２０２、２０４、３０２、３０４、３０６）とのセキュリティアソシエーションを確立し（４０８）、
前記セキュリティアソシエーションが確立されると、前記第１のデバイスにおいてプロセスデータポリシーをアクティブ化する
ためのコンピュータ読み取り可能なプログラムコードを含み、
前記セキュリティアソシエーションは、第１及び第２のタイプのネゴシエーション中に確立され（４０６）、前記プロセスデータポリシーは、前記第１のタイプのネゴシエーションなしに前記第２のタイプのネゴシエーション中にアクティブ化され（４１２）、前記第２のタイプのネゴシエーションは前記第１のタイプのネゴシエーションよりも高速であり、
前記接続ポリシーは、前記第１のデバイスの非プロセス通信ポートを使用して、前記デバイス間の通信チャネルを規定し、
前記プロセスデータポリシーは、リアルタイムの産業プロセスデータのための前記デバイス間の通信チャネルを規定する、非一時的コンピュータ読み取り可能な媒体。
【請求項１５】
前記第１のタイプのネゴシエーションは、インターネット鍵交換（ＩＫＥ）メインモードネゴシエーションを含み、
前記第２のタイプのネゴシエーションは、ＩＫＥクイックモードネゴシエーションを含む、請求項１４に記載のコンピュータ読み取り可能な媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
関連出願の相互参照及び優先権主張
[0001]本願は、米国特許法第１１９条（ｅ）（３５  Ｕ．Ｓ．Ｃ．§１１９（ｅ））のもと、２０１４年２月２４日に提出された米国仮特許出願第６１／９４３，８０６号に対する優先権を主張する。これにより、当該仮特許出願はその全体が参照により組み込まれる。
【０００２】
[0002]本開示は、一般に、産業用制御及び自動化システムに関する。より具体的には、本開示は、産業用制御及び自動化システムにおいてコンポーネント間のシームレスで安全な通信を確立するための装置及び方法に関する。
【背景技術】
【０００３】
[0003]産業用プロセス制御及び自動化システムは、多くの場合、大規模で複雑な産業プロセスを自動化するために使用される。これらのタイプのシステムは、通常、産業プラント全体を制御し自動化するために使用される、サーバ、クライアント、センサ、送信機及びフィールドデバイスなどの様々なコンポーネントを含む。これらのコンポーネント間の重要なプロセスデータの通信及び搬送は、プラントの運転の自動化及び維持において主要な役割を果たす。これらのコンポーネント間のデータ転送はまた、潜在的なセキュリティ脆弱性を有する。その結果、認証されて暗号化された通信を、意図的な又は意図的でない干渉のないプラントの運転を維持するために使用することがある。
【発明の概要】
【発明が解決しようとする課題】
【０００４】
[0004]本開示は、産業用制御及び自動化システムにおいてコンポーネント間のシームレスで安全な通信を確立するための装置及び方法を提供する。
【課題を解決するための手段】
【０００５】
[0005]第１の実施形態において、方法は、第１のデバイスにおいて接続ポリシーを使用して、産業用プロセス制御及び自動化システムの第２のデバイスとのセキュリティアソシエーションを確立するステップを含む。当該方法はまた、セキュリティアソシエーションが確立されると、第１のデバイスにおいてプロセスデータポリシーをアクティブ化するステップを含む。セキュリティアソシエーションは、第１及び第２のタイプのネゴシエーション中に確立され、プロセスデータポリシーは、第１のタイプのネゴシエーションなしに第２のタイプのネゴシエーション中にアクティブ化され、第２のタイプのネゴシエーションは第１のタイプのネゴシエーションよりも高速である。接続ポリシーは、第１のデバイスの非プロセス（ｎｏｎ−ｐｒｏｃｅｓｓ）通信ポートを使用して、デバイス間の通信チャネルを規定する。プロセスデータポリシーは、リアルタイムの産業プロセスデータのためのデバイス間の通信チャネルを規定する。
【０００６】
[0006]第２の実施形態では、装置は、少なくとも１つのインターフェース及び少なくとも１つの処理デバイスを含む第１の分散制御システム（ＤＣＳ）デバイスを含む。少なくとも１つのインターフェースが第２のＤＣＳデバイスと通信するように構成される。少なくとも１つの処理デバイスは、接続ポリシーを使用して、第２のＤＣＳデバイスとのセキュリティアソシエーションを確立するように構成される。少なくとも１つの処理デバイスは、セキュリティアソシエーションが確立されると、プロセスデータポリシーをアクティブ化するように構成される。少なくとも１つの処理デバイスは、第１及び第２のタイプのネゴシエーション中にセキュリティアソシエーションを確立し、第１のタイプのネゴシエーションなしに第２のタイプのネゴシエーション中にプロセスデータポリシーをアクティブ化するように構成され、第２のタイプのネゴシエーションは第１のタイプのネゴシエーションよりも高速である。接続ポリシーは、第１のＤＣＳデバイスの非プロセス通信ポートを使用して、ＤＣＳデバイス間の通信チャネルを規定する。プロセスデータポリシーは、リアルタイム産業プロセスデータのためのＤＣＳデバイス間の通信チャネルを規定する。
【０００７】
[0007]第３の実施形態では、非一時的なコンピュータ読み取り可能な媒体は、コンピュータプログラムを具現化する。コンピュータプログラムは、第１のデバイスにおいて接続ポリシーを使用して、産業用プロセス制御及び自動化システムの第２のデバイスとのセキュリティアソシエーションを確立するためのコンピュータ読み取り可能なプログラムコードを含む。コンピュータプログラムはまた、セキュリティアソシエーションが確立されると第１のデバイスにおいてプロセスデータポリシーをアクティブ化するための、コンピュータ読み取り可能なプログラムコードを含む。セキュリティアソシエーションは、第１及び第２のタイプのネゴシエーション中に確立され、プロセスデータポリシーは、第１のタイプのネゴシエーションなしに第２のタイプのネゴシエーション中にアクティブ化され、第２のタイプのネゴシエーションは第１のタイプのネゴシエーションよりも高速である。接続ポリシーは、第１のデバイスの非プロセス通信ポートを使用する、デバイス間の通信チャネルを規定する。プロセスデータポリシーは、リアルタイム産業プロセスデータのためのデバイス間の通信チャネルを規定する。
【０００８】
[0008]他の技術的特徴は、以下の図面、説明及び特許請求の範囲から当業者にとって容易に明らかとなろう。
[0009]本開示のより完全な理解のために、添付の図面と併せて、以下の説明が参照される。
【図面の簡単な説明】
【０００９】
【図１】[0010]本開示による、例示的な産業用プロセス制御及び自動化システムを示す。
【図２】[0011]本開示による、産業用プロセス制御及び自動化システムにおいてコンポーネント間のシームレスで安全な通信を確立するための例示的な技術を示す。
【図３】[0012]本開示による、産業用プロセス制御及び自動化システムにおいてコンポーネント間の安全なチャネルネゴシエーションを開始するための例示的な技術を示す。
【図４】[0013]本開示による、産業用プロセス制御及び自動化システムにおいてコンポーネント間のシームレスで安全な通信を確立するための例示的な方法を示す。
【発明を実施するための形態】
【００１０】
[0014]以下に述べる図１から４、及び本特許文書において本発明の原理を説明するために使用される様々な実施形態は、例示のみのためのものであり、いかなるようにも、本発明の範囲を限定するように解釈されるべきではない。当業者は、本発明の原理が任意の種類の適切に構成された装置又はシステムで実施され得ることを理解するであろう。
【００１１】
[0015]図１は、本開示による例示的な産業用プロセス制御及び自動化システム１００を示す。図１に示すように、システム１００は、少なくとも１つの製品又は他の材料の製造又は加工を容易にする様々なコンポーネントを含む。例えば、システム１００は、ここでは、１つ又は複数のプラント１０１ａ−１０１ｎ内のコンポーネントに対する制御を容易にするために使用される。各プラント１０１ａ−１０１ｎは、少なくとも１つの製品又は他の材料を製造するための１つ又は複数の製造設備などの、１つもしくは複数の処理設備（又はその１つもしくは複数の部分）を表す。一般に、各プラント１０１ａ−１０１ｎは、１つ又は複数のプロセスを実施してもよく、個別に又は組み合わせてプロセスシステムと呼ぶことができる。プロセスシステムは、一般に、なんらかの方法で１つ又は複数の製品又は他の材料を処理するように構成された任意のシステム又はその一部を表す。
【００１２】
[0016]図１において、システム１００は、プロセス制御のパーデューモデル（Ｐｕｒｄｕｅ  ｍｏｄｅｌ）を使用して実装される。パーデューモデルでは、「レベル０」は、１つ又は複数のセンサ１０２ａ及び１つ又は複数のアクチュエータ１０２ｂを含んでもよい。センサ１０２ａ及びアクチュエータ１０２ｂは、多種多様な機能のうちのいずれかを実行することができる、プロセスシステム内のコンポーネントを表す。例えば、センサ１０２ａは、温度、圧力又は流量などの、プロセスシステムにおける様々な特性を測定することができる。また、アクチュエータ１０２ｂは、プロセスシステムにおける様々な特性を変更することができる。センサ１０２ａ及びアクチュエータ１０２ｂは、任意の適切なプロセスシステム内の任意の他の又は追加のコンポーネントを表すことができる。センサ１０２ａの各々は、プロセスシステムにおける１つ又は複数の特性を測定するための任意の適切な構造を含む。アクチュエータ１０２ｂの各々は、プロセスシステムにおける１つ又は複数の条件を操作するか又はそれに影響を与えるための任意の適切な構造を含む。
【００１３】
[0017]少なくとも１つのネットワーク１０４が、センサ１０２ａ及びアクチュエータ１０２ｂに結合される。ネットワーク１０４は、センサ１０２ａ及びアクチュエータ１０２ｂとの相互作用を容易にする。例えば、ネットワーク１０４は、センサ１０２ａから測定データを搬送することができ、アクチュエータ１０２ｂに制御信号を提供することができる。ネットワーク１０４は、任意の適切なネットワーク又はネットワークの組み合わせを表すことができる。特定の例として、ネットワーク１０４は、イーサネット（登録商標）ネットワーク、（ＨＡＲＴ又はＦＯＵＮＤＡＴＩＯＮ  ＦＩＥＬＤＢＵＳネットワークなどの）電気信号ネットワーク、空気制御信号ネットワーク、又は任意の他のもしくは追加の種類のネットワークを表すことができる。
【００１４】
[0018]パーデューモデルでは、「レベル１」は、ネットワーク１０４に結合された１つ又は複数のコントローラ１０６を含んでもよい。とりわけ、各コントローラ１０６は、１つ又は複数のアクチュエータ１０２ｂの動作を制御するために、１つ又は複数のセンサ１０２ａからの測定値を使用してもよい。例えば、コントローラ１０６は、１つ又は複数のセンサ１０２ａから測定データを受け取り、１つ又は複数のアクチュエータ１０２ｂのための制御信号を生成するために測定データを使用することができる。各コントローラ１０６は、１つ又は複数のセンサ１０２ａと相互作用し、１つ又は複数のアクチュエータ１０２ｂを制御するための、任意の適切な構造を含む。各コントローラ１０６は、例えば、ロバスト多変数予測制御技術（ＲＭＰＣＴ）コントローラ、又はモデル予測制御（ＭＰＣ）もしくは他の高度な予測制御（ＡＰＣ）を実施する他の種類のコントローラなどの、多変数コントローラを表すことができる。特定の例として、各コントローラ１０６は、リアルタイムオペレーティングシステムを実行するコンピューティングデバイスを表すことができる。
【００１５】
[0019]２つのネットワーク１０８がコントローラ１０６に結合される。ネットワーク１０８は、コントローラ１０６との間でデータを搬送することなどによって、コントローラ１０６との相互作用を容易にする。ネットワーク１０８は、任意の適切なネットワーク又はネットワークの組み合わせを表すことができる。特定の例として、ネットワーク１０８は、ハネウェル・インターナショナル社のフォールトトレラント・イーサネット（登録商標）（ＦＴＥ）ネットワークなどのイーサネット（登録商標）・ネットワークのペアやイーサネット（登録商標）・ネットワークの冗長ペアを表すことができる。
【００１６】
[0020]少なくとも１つのスイッチ／ファイアウォール１１０は、ネットワーク１０８を２つのネットワーク１１２に結合する。スイッチ／ファイアウォール１１０は、１つのネットワークから別のネットワークへトラフィックを搬送してもよい。スイッチ／ファイアウォール１１０はまた、１つのネットワーク上のトラフィックが別のネットワークに到達することを阻止してもよい。スイッチ／ファイアウォール１１０は、ＨＯＮＥＹＷＥＬＬ  ＣＯＮＴＲＯＬ  ＦＩＲＥＷＡＬＬ（ＣＦ９）デバイスなどの、ネットワーク間で通信を提供するための任意の適切な構造を含む。ネットワーク１１２は、イーサネット（登録商標）・ネットワークのペア又はＦＴＥネットワークなどの任意の適切なネットワークを表すことができる。
【００１７】
[0021]パーデューモデルでは、「レベル２」は、ネットワーク１１２に結合される１つ又は複数のマシンレベルコントローラ１１４を含むことができる。マシンレベルコントローラ１１４は、（ボイラーや他の機械などの）産業設備の特定の一部と関連付けることができる、コントローラ１０６、センサ１０２ａ及びアクチュエータ１０２ｂの動作及び制御をサポートするために、様々な機能を実行する。例えば、マシンレベルコントローラ１１４は、センサ１０２ａからの測定データやアクチュエータ１０２ｂのための制御信号などの、コントローラ１０６によって収集又は生成された情報を記録することができる。マシンレベルコントローラ１１４はまた、コントローラ１０６の動作を制御するアプリケーションを実行することができ、それによってアクチュエータ１０２ｂの動作を制御する。また、マシンレベルコントローラ１１４は、コントローラ１０６へのセキュアなアクセスを提供することができる。マシンレベルコントローラ１１４の各々は、機械や装置の他の個々の部分へのアクセス、それらの制御又はそれらに関連する操作を提供するための任意の適切な構造を含む。マシンレベルコントローラ１１４の各々は、例えば、ＭＩＣＲＯＳＯＦＴ  ＷＩＮＤＯＷＳ（登録商標）オペレーティングシステムを実行するサーバコンピューティングデバイスを表すことができる。図示していないが、異なるマシンレベルコントローラ１１４を、（機器の各部分が１つ又は複数のコントローラ１０６、センサ１０２ａ及びアクチュエータ１０２ｂと関連付けられる）プロセスシステム内の機器の異なる部分を制御するために使用することができる。
【００１８】
[0022]１つ又は複数のオペレータステーション１１６がネットワーク１１２に結合される。オペレータステーション１１６は、コントローラ１０６（及び、おそらくはセンサ１０２ａ及びアクチュエータ１０２ｂ）へのユーザアクセスを提供することができるマシンレベルコントローラ１１４へのユーザアクセスを提供するコンピューティングデバイス又は通信デバイスを表す。特定の例として、オペレータステーション１１６は、コントローラ１０６及び／又はマシンレベルコントローラ１１４によって収集された情報を使用して、ユーザが、センサ１０２ａ及びアクチュエータ１０２ｂの動作履歴を確認することを可能にすることができる。オペレータステーション１１６はまた、ユーザが、センサ１０２ａ、アクチュエータ１０２ｂ、コントローラ１０６又はマシンレベルコントローラ１１４の動作を調整することを可能にすることができる。また、オペレータステーション１１６は、コントローラ１０６もしくはマシンレベルコントローラ１１４によって生成される、警告、警報又は他のメッセージもしくは表示を受け取って表示することができる。オペレータステーション１１６の各々は、システム１００内の１つ又は複数のコンポーネントのユーザアクセス及び制御をサポートするための任意の適切な構造を含む。オペレータステーション１１６の各々は、例えば、ＭＩＣＲＯＳＯＦＴ  ＷＩＮＤＯＷＳ（登録商標）オペレーティングシステムを実行するコンピューティングデバイスを表すことができる。
【００１９】
[0023]少なくとも１つのルータ／ファイアウォール１１８は、ネットワーク１１２を２つのネットワーク１２０に結合する。ルータ／ファイアウォール１１８は、セキュアなルータやルータ／ファイアウォールの組み合わせなどの、ネットワーク間の通信を提供するための任意の適切な構造を含む。ネットワーク１２０は、イーサネット（登録商標）・ネットワークのペアやＦＴＥネットワークなどの任意の適切なネットワークを表すことができる。
【００２０】
[0024]パーデューモデルでは、「レベル３」は、ネットワーク１２０に結合された１つ又は複数のユニットレベルコントローラ１２２を含んでもよい。各々のユニットレベルコントローラ１２２は、典型的には、プロセスの少なくとも一部を実施するために一緒に動作する異なる機械の集合を表す、プロセスシステム内のユニットに関連付けられる。ユニットレベルコントローラ１２２は、下位レベルのコンポーネントの動作及び制御をサポートするために様々な機能を実行する。例えば、ユニットレベルコントローラ１２２は、下位レベルのコンポーネントによって収集又は生成された情報を記録し、下位レベルのコンポーネントを制御するアプリケーションを実行し、下位レベルのコンポーネントへのセキュアなアクセスを提供することができる。ユニットレベルコントローラ１２２の各々は、１つもしくは複数の機械又はプロセスユニット内の機器の他の部分へのアクセス、それらの制御又はそれらに関連する操作を提供するための任意の適切な構造を含む。ユニットレベルコントローラ１２２の各々は、例えば、ＭＩＣＲＯＳＯＦＴ  ＷＩＮＤＯＷＳ（登録商標）オペレーティングシステムを実行するサーバコンピューティングデバイスを表すことができる。図示していないが、（各ユニットが、１つ又は複数のマシンレベルコントローラ１１４、コントローラ１０６、センサ１０２ａ及びアクチュエータ１０２ｂに関連付けられる）プロセスシステム内の異なるユニットを制御するために、異なるユニットレベルコントローラ１２２を使用することができる。
【００２１】
[0025]ユニットレベルコントローラ１２２へのアクセスは、１つ又は複数のオペレータステーション１２４によって提供されてもよい。オペレータステーション１２４の各々は、システム１００内の１つ又は複数のコンポーネントのユーザアクセス及び制御をサポートするための任意の適切な構造を含む。オペレータステーション１２４の各々は、例えば、ＭＩＣＲＯＳＯＦＴ  ＷＩＮＤＯＷＳ（登録商標）オペレーティングシステムを実行するコンピューティングデバイスを表すことができる。
【００２２】
[0026]少なくとも１つのルータ／ファイアウォール１２６は、ネットワーク１２０を２つのネットワーク１２８に結合する。ルータ／ファイアウォール１２６は、セキュアなルータやルータ／ファイアウォールの組み合わせなどの、ネットワーク間の通信を提供するための任意の適切な構造を含む。ネットワーク１２８は、イーサネット（登録商標）・ネットワークのペア又はＦＴＥネットワークなどの任意の適切なネットワークを表すことができる。
【００２３】
[0027]パーデューモデルでは、「レベル４」は、ネットワーク１２８に結合された１つ又は複数のプラントレベルコントローラ１３０を含んでもよい。各々のプラントレベルコントローラ１３０は、典型的には、同一、類似又は異なるプロセスを実施する１つ又は複数のプロセスユニットを含むことができる、プラント１０１ａ−１０１ｎのうちの１つに関連付けられる。プラントレベルコントローラ１３０は、下位レベルのコンポーネントの動作及び制御をサポートするために様々な機能を実行する。特定の例として、プラントレベルコントローラ１３０は、１つ又は複数の製造実行システム（ＭＥＳ）アプリケーション、スケジューリングアプリケーション、又は他のもしくは追加のプラントもしくはプロセス制御アプリケーションを実行することができる。プラントレベルコントローラ１３０の各々は、プロセスプラント内の１つ又は複数のプロセスユニットへのアクセス、それらの制御又はそれらに関連する操作を提供するための任意の適切な構造を含む。プラントレベルコントローラ１３０の各々は、例えば、ＭＩＣＲＯＳＯＦＴ  ＷＩＮＤＯＷＳ（登録商標）オペレーティングシステムを実行するサーバコンピューティングデバイスを表すことができる。
【００２４】
[0028]プラントレベルコントローラ１３０へのアクセスは、１つ又は複数のオペレータステーション１３２によって提供されてもよい。オペレータステーション１３２の各々は、システム１００内の１つ又は複数のコンポーネントのユーザアクセス及び制御をサポートするための任意の適切な構造を含む。オペレータステーション１３２の各々は、例えば、ＭＩＣＲＯＳＯＦＴ  ＷＩＮＤＯＷＳ（登録商標）オペレーティングシステムを実行するコンピューティングデバイスを表すことができる。
【００２５】
[0029]少なくとも１つのルータ／ファイアウォール１３４は、ネットワーク１２８を１つ又は複数のネットワーク１３６に結合する。ルータ／ファイアウォール１３４は、セキュアなルータやルータ／ファイアウォールの組み合わせなどの、ネットワーク間の通信を提供するための任意の適切な構造を含む。ネットワーク１３６は、企業規模のイーサネット（登録商標）もしくは他のネットワーク、又は（インターネットなどの）より大きなネットワークの全体もしくは一部などの、任意の適切なネットワークを表すことができる。
【００２６】
[0030]パーデューモデルでは、「レベル５」は、ネットワーク１３６に結合される１つ又は複数のエンタープライズレベルコントローラ（ｅｎｔｅｒｐｒｉｓｅ−ｌｅｖｅｌ−ｃｏｎｔｒｏｌｌｅｒ）１３８を含んでもよい。各々のエンタープライズレベルコントローラ１３８は、一般に、複数のプラント１０１ａ−１０１ｎについての計画操作を実行し、プラント１０１ａ−１０１ｎの様々な側面を制御することが可能である。エンタープライズレベルコントローラ１３８はまた、プラント１０１ａ−１０１ｎ内のコンポーネントの動作及び制御をサポートする様々な機能を実行することができる。特定の例として、エンタープライズレベルコントローラ１３８は、１つ又は複数の注文処理アプリケーション、エンタープライズリソースプランニング（ＥＲＰ）アプリケーション、先進的計画及びスケジューリング（ＡＰＳ）アプリケーション、又は任意の他のもしくは追加のエンタープライズ制御アプリケーションを実行することができる。エンタープライズレベルコントローラ１３８の各々は、１つ又は複数のプラントへのアクセス、それらの制御又はそれらに関連する操作を提供するための任意の適切な構造を含む。エンタープライズレベルコントローラ１３８の各々は、例えば、ＭＩＣＲＯＳＯＦＴ  ＷＩＮＤＯＷＳ（登録商標）オペレーティングシステムを実行するサーバコンピューティングデバイスを表すことができる。本願において、「エンタープライズ（企業）」という語は、管理すべき１つもしくは複数のプラント又は他の処理施設を有する組織を指す。単一のプラント１０１ａが管理される場合、エンタープライズレベルコントローラ１３８の機能をプラントレベルコントローラ１３０に組み込むことができることに留意されたい。
【００２７】
[0031]エンタープライズレベルコントローラ１３８へのアクセスは、１つ又は複数のオペレータステーション１４０によって提供されてもよい。オペレータステーション１４０の各々は、システム１００内の１つ又は複数のコンポーネントのユーザアクセス及び制御をサポートするための任意の適切な構造を含む。オペレータステーション１４０の各々は、例えば、ＭＩＣＲＯＳＯＦＴ  ＷＩＮＤＯＷＳ（登録商標）オペレーティングシステムを実行するコンピューティングデバイスを表すことができる。
【００２８】
[0032]パーデューモデルの様々なレベルは、１つ又は複数のデータベースなどの他のコンポーネントを含むことができる。各レベルに関連付けられるデータベースは、そのレベル又はシステム１００の１つもしくは複数の他のレベルと関連付けられる任意の適切な情報を格納することができる。例えば、ヒストリアン（ｈｉｓｔｏｒｉａｎ）１４１がネットワーク１３６に結合されてもよい。ヒストリアン１４１は、システム１００に関する様々な情報を格納するコンポーネントを表すことができる。ヒストリアン１４１は、例えば、製造のスケジューリング及び最適化中に使用される情報を格納することができる。ヒストリアン１４１は、情報を格納して情報の検索を容易にするための任意の適切な構造を表す。ネットワーク１３６に結合された単一の集中化されたコンポーネントとして示されているが、ヒストリアン１４１はシステム１００内の他の場所に配置することができ、又は、複数のヒストリアンがシステム１００内の異なる場所に分散されてもよい。
【００２９】
[0033]特定の実施形態では、図１の様々なコントローラ及びオペレータステーションは、コンピューティングデバイスを表すことができる。例えば、コントローラの各々は、１つ又は複数の処理デバイス１４２と、処理デバイス１４２によって使用され、生成され又は収集される命令及びデータを格納するための１つ又は複数のメモリ１４４とを含むことができる。コントローラの各々はまた、１つ又は複数のイーサネット（登録商標）インターフェースや無線トランシーバなどの、少なくとも１つのネットワークインターフェース１４６を含むことができる。また、オペレータステーションの各々は、１つ又は複数の処理デバイス１４８と、処理デバイス１４８によって使用され、生成され又は収集される命令及びデータを格納するための１つ又は複数のメモリ１５０とを含むことができる。オペレータステーションの各々はまた、１つ又は複数のイーサネット（登録商標）インターフェースや無線トランシーバなどの、少なくとも１つのネットワークインターフェース１５２を含むことができる。
【００３０】
[0034]上述のように、セキュリティは、産業用プロセス制御及び自動化システムにおける関心事であり、図１中の様々なコンポーネントは、意図的な又は意図的ではない干渉を受けずにプラントの運転を維持するために、高度に安全なモードの、認証されて暗号化された通信を必要とし得る。コンポーネント間の安全な通信は、多くの場合、コンポーネント間で転送されるデータの認証及び暗号化を提供するために、方法及びプロトコルのセットを使用することを含む。インターネットプロトコルセキュリティ（ＩＰｓｅｃ）スイートは、インターネットプロトコル（ＩＰ）通信を保護するためのプロトコル群の一例である。ＩＰｓｅｃは、通信セッションの各ＩＰパケットを認証し、暗号化することによって動作する。
【００３１】
[0035]安全な通信プロトコルは、通信セッションの開始時にデバイス間の相互認証を確立し、通信セッション中に使用される暗号鍵をネゴシエートするための、様々な方法を提供する。安全な通信チャネルをネゴシエートして確立するために必要な時間は、多くの場合、決定論的ではなく、現在のネットワークトラフィック、失われたパケット、送信の失敗、（ＣＰＵ／ＲＡＭリソースなどの）システムリソース、及び「デュアルネゴシエーションスラッシング（ｄｕａｌ  ｎｅｇｏｔｉａｔｉｏｎ  ｔｈｒａｓｈｉｎｇ）」などの、様々な要因に依存する。デュアルネゴシエーションスラッシングとは、２つのデバイスが同時又はほとんど同時に互いにネゴシエーションを開始して、ネゴシエーションの失敗及び再試行をもたらす状況を指す。これは、産業用プロセス制御及び自動化システムなどの非クライアント／サーバ環境で頻繁に発生する可能性がある（セキュリティポリシーの下で認証及び暗号化する必要のあるデータ転送を複数の制御アプリケーションが開始し得るため）。
【００３２】
[0036]これらの要因は、安全な通信トンネルを確立するための時間が著しく長くなることにつながり得る。その結果、リアルタイムの履歴プロセスデータが失われる可能性がある。生の（ｌｉｖｅ）プロセスデータ値が突然利用不可能になることは、誤警報、無効なオペレータ表示、又は産業プロセスの一部における安全性及びセキュリティの脆弱性などの、望ましくない混乱を引き起こす可能性がある（これは、収入の損失やプラントの停止を引き起こす可能性がある）。
【００３３】
[0037]本開示は、産業用プロセス制御及び自動化システム内の安全な通信を確立するための技術を提供する。例えば、プロセスデータポリシーの前に接続ポリシーを使用して、安全なアソシエーションをデバイス間で確立することができる。本開示において、「接続ポリシー」とは、特定の非プロセス通信ポートを使用し、非プロセスデータメッセージを送受信する、デバイス間の安全な通信チャネルを指す。「プロセスデータポリシー」とは、リアルタイム分散制御システム（ＤＣＳ）のプロセスデータのための、デバイス間の安全な通信チャネルを指す。プロセスデータポリシーは、保護されたシステムトポロジーを規定し、保護されるべきノード、互いに通信することができるノード、ポリシーのアクティブ化時間、データが渡される方法（平文、認証のみ、又は認証及び暗号化など）を決定する。いくつかの実施形態では、プロセスデータポリシーは、セキュリティ管理者又は他のユーザによって設定することができる。
【００３４】
[0038]接続ポリシーを使用してデバイス間で安全なアソシエーションを確立することができるので、システム１００は、認証されたピアデバイスを既に有し、プロセスデータポリシーが展開（配備、ｄｅｐｌｏｙ）される時点までにネゴシエーション及び鍵交換のための既に確立された安全なアソシエーションを使用することができる。これは、ネゴシエーションのスラッシングを低減し、システムの可用性を高め、データの発行を処理するための中断を低減して最小限にすることができる。これは、安全でない産業用プロセス制御及び自動化システムから安全な産業用プロセス制御及び自動化システムへのオンラインの移行中などの、様々な状況において有用であり得る。この状況では、安全な通信への切り替え中にプロセスデータの損失を理想的に最小化しながら、システム１００内のデバイスは、安全でない通信チャネルの使用から安全な通信チャネルへ切り替えられる。
【００３５】
[0039]具体的な例として、プロトコル群としてＩＰｓｅｃを使用するシステムを考える。インターネット鍵交換（ＩＫＥ）において、デバイス間のネゴシエーションは、２つのステップで生じる。メインモード（ＭＭ）ネゴシエーションが、保護されるべきピアを認証及び／又は暗号化する一方、クイックモード（ＱＭ）ネゴシエーションが、ピア間のトラフィックを保護するために使用されるべきアルゴリズムを特定する。ＱＭネゴシエーションには、ＭＭ及びＱＭネゴシエーションの合計よりも大幅に少ない時間しかかからず、それにより、保護されたノード間でプロセスデータが失われる可能性を低減する。本開示によれば、ＩＫＥ段階１は、ＩＰｓｅｃピアを認証すること、及び接続ポリシーの一部としてＩＫＥグローバルＭＭネゴシエーションを確立することを含む。この段階は、ＤＣＳプロセスデータポリシーの展開の前に完了する。これにより、次に、ＩＫＥ段階２のＱＭネゴシエーションのみがプロセスデータポリシーの展開のために使用されることになり得る。
【００３６】
[0040]ここで説明する手法は、１つのデバイスのみが２つのデバイス間のネゴシエーションを開始することを確実にするのを助けることにより、デュアルネゴシエーションスラッシングを低減又は回避しながら、安全な通信チャネルを確立することができる。これは、クライアントが、通常、開始装置（ｉｎｉｔｉａｔｏｒ）である、クライアント−サーバアーキテクチャにおいてしばしば生じることである。安全でない方法で実行されているＤＣＳにおいて、プロセスデータは、典型的には、多くの又はすべてのノードによって発行される。通常、唯一の開始装置を保証するために、システムは、すべてのプロセスデータの発行を停止しなければならない。本開示によれば、別個のポリシーが、プロセスデータの発行に影響を与えることなく、決定論的な方法で事前に認証を行う。ここで説明する手法はまた、プロセスデータポリシーが展開される前に、安全なアソシエーションが首尾よく確立されることを確実にするのを助ける。ピア認証が生じ、安全なチャネルが確立されている間、プロセスデータの発行はほとんど又は全く中断されない。
【００３７】
[0041]いくつかの実施形態では、システム１００は、プロセスデータポリシーへの任意の変更の前に別個の安全なチャネルを作成するために接続ポリシーを使用し、プロセスデータポリシーの変更がネゴシエートされた後にトンネルを終了する。他の実施形態では、システム１００は、接続ポリシーセキュアトンネルをアクティブに維持する（ＩＰｓｅｃソリューションについて、これは、定期的な非プロセスデータメッセージを送信することによって達成することができる）。ＩＰＳｅｃベースソリューションのために、接続ポリシーセキュアチャネルは、任意のプロセスデータ通信ポートとは別のポートで開くことができる。
【００３８】
[0042]この機能に関するさらなる詳細が以下に提供される。２つ又は３つのデバイスを含むものとして以下に説明するが、この機能は、任意の適切な数のデバイスを含む任意の適切なシステムで使用することができることに留意されたい。
【００３９】
[0043]図１は、産業用プロセス制御及び自動化システム１００の一例を示しているが、様々な変更を図１に対して行うことができる。例えば、制御システムは、任意の数のセンサ、アクチュエータ、コントローラ、サーバ、オペレータステーション、ネットワーク及び他のコンポーネントを含むことができる。また、図１のシステム１００の構成及び配置は説明のみのためのものである。コンポーネントは、特定のニーズに応じて、任意の他の適切な構成で、追加し、省略し、組み合わせ、又は配置することができる。さらに、特定の機能が、システム１００の特定のコンポーネントによって実行されるものとして説明される。これは例示のためにすぎない、一般的に、プロセス制御システムは、高度に構成可能であり、特定のニーズに応じて、任意の適切な方法で構成することができる。また、図１は、コンポーネント間でのシームレスで安全な通信の確立を使用することができる例示的な環境を示す。この機能は、任意の他の適切なデバイス又はシステムで使用することができる。
【００４０】
[0044]図２は、本開示による、産業用プロセス制御及び自動化システムにおいてコンポーネント間のシームレスで安全な通信を確立するための例示的な技術を示す。特に、図２は、ＩＰＳｅｃベースのソリューションを使用して実施される例示的な技術を示すが、他のプロトコルを使用することもできる。
【００４１】
[0045]図２に示すように、２つのＤＣＳデバイス２０２−２０４の間の通信は、以下に説明するように保護することができる。ＤＣＳデバイス２０２−２０４は、図１に示されるコントローラ、オペレータステーション又は他のコンポーネントのうちの任意のものなどの、ＤＣＳ内の任意の適切なデバイスを表すことができる。ここで、ＤＣＳデバイス２０２−２０４には２つのネットワークアドレス（Ｘ．Ｘ．Ｘ．１及びＸ．Ｘ．Ｘ．２）が割り当てられるが、これらのアドレスは例示のみのためのものである。
【００４２】
[0046]ＤＣＳデバイス２０２が非プロセスデータメッセージ２０６をＤＣＳデバイス２０４に送信するとき、図２に示す技術が開始される。非プロセスデータメッセージ２０６は、ＤＣＳデバイス２０２−２０４の間の安全なチャネルネゴシエーションを開始し、通常はＤＣＳプロセス関連のデータを送受信するために使用されないＤＣＳデバイス２０４のポートに送信される、データメッセージを意味する。メッセージ２０６は、ＤＣＳデバイス２０２−２０４の間のＩＫＥメインモード（ＭＭ）ネゴシエーション２０８を引き起こし、これは、より長い期間２１０にわたって生じ得る。ＩＫＥクイックモード（ＱＭ）ネゴシエーション２１２がこれに続き、これは、より短い期間２１４にわたって生じ得る。ＭＭネゴシエーション２０８及びＱＭネゴシエーション２１２は、ＩＫＥ標準で規定されるように生じ得る。このように、接続ポリシーは、ＤＣＳデバイス２０２−２０４の間の安全なアソシエーションを確立するために、ＤＣＳデバイス２０２−２０４の間で使用することができる。
【００４３】
[0047]ＭＭネゴシエーション２０８及びＱＭネゴシエーション２１２が完了した後、ＤＣＳデバイス２０２−２０４の間で既に確立された安全なアソシエーションを使用して、プロセスデータポリシーを展開することができる。安全なアソシエーションが既に確立されているので、プロセスデータポリシーは、接続ポリシーにとって必要な期間を合わせたものよりも短い期間２１８にわたって生じ得る、ＱＭネゴシエーション２１６を使用して確立することができる。
【００４４】
[0048]ＱＭネゴシエーション２１６の完了前に、ＤＣＳデバイス２０２−２０４は、プロセス関連データを平文（暗号化されていないデータ）として通信することができる。ＱＭネゴシエーション２１６が完了すると、ＤＣＳデバイス２０２−２０４は、認証され、暗号化されたデータなどのプロセス関連データを通信することができる。
【００４５】
[0049]この例では、１つ又は複数のプロセスデータポリシーは、ユーザによるなどして設定することができる。システムは、保護されるべきすべてのデバイスに対してなど、様々なデバイスに対して、プロセスデータポリシーを展開することができる。ＤＣＳデバイスのためにプロセスデータポリシーを設定又は定義するために、任意の適切な技術を使用することができる。システムはまた、接続ポリシーを使用して、デバイス間のセキュリティアソシエーションを確立する。セキュリティアソシエーションが確立されると、システムは、設定されたアクティブ化時間に従うなどして、プロセスデータポリシーをアクティブ化する。いくつかの実施形態では、プロセスデータポリシーは、デバイスのすべてのポート及びすべてのＴＣＰ／ＩＰ通信（又は他のネットワークベースの通信）に適用することができる。ＭＭネゴシエーションが、（セキュリティアソシエーションの確立中に）先行するステップにおいて以前に生じているので、ＱＭネゴシエーションのみがプロセスデータポリシーのために必要とされ得ることに留意されたい。
【００４６】
[0050]１つのデバイス２０２が、特定の非プロセス通信ポート上で、保護されるべき別のデバイス２０４に対して１つ又は複数の非プロセスデータメッセージ２０６を送信するとき、デバイス間のセキュリティアソシエーションを確立することができる。これは、ＭＭ及びＱＭを確立するＩＫＥネゴシエーションを開始することができる。非プロセスポートとは、いかなるＤＣＳアプリケーションによっても使用されておらず、プロセスデータ通信に影響を与えないポートを意味してもよい。２つのデバイス間でのデュアルＩＫＥ  ＭＭネゴシエーションスラッシングを回避するために、１つのデバイスのみがネゴシエーションを開始してもよい。例えば、より低位のＩＰアドレスを持つデバイスが、ＩＫＥネゴシエーションを開始するために、第１のメッセージを送信してもよい。この例は図３に示され、３つのＤＣＳデバイス３０２−３０６（ネットワークアドレスＸ．Ｘ．Ｘ．１、Ｘ．Ｘ．Ｘ．２及びＸ．Ｘ．Ｘ．３が割り当てられる）は、より低位のネットワークアドレスを持つデバイスから、より高位のネットワークアドレスを持つデバイスへと、ＩＫＥネゴシエーションを開始する。
【００４７】
[0051]図２に示す手法において、セキュリティアソシエーションを確立するために、プロセスデータポリシーに代えて、接続ポリシーが使用されることに留意されたい。リアルタイムのプロセスデータの発行の性質、及び典型的な非クライアント／サーバ環境における複数の制御アプリケーションへの悪影響に起因して、このようなことが行われる。例えば、安全な通信を確立するためにプロセスデータポリシーのみを使用すると、接続のもう一方の端においてプロセス通信を停止することが必要となり得る。接続ポリシーの使用は、この種の問題を回避する助けとなる。
【００４８】
[0052]図２は、産業用プロセス制御及び自動化システムにおいてコンポーネント間のシームレスで安全な通信を確立するための技術の一例を示すが、図２に対して様々な変更を行うことができる。また、図３は、産業用プロセス制御及び自動化システムにおいてコンポーネント間の安全なチャネルネゴシエーションを開始するための技術の一例を示すが、図３に対して様々な変更を行うことができる。例えば、図２に示す相対的な時間の長さは、例示のみのためのものである。別の例として、図３において、安全なチャネルネゴシエーションは、より低位のＩＰアドレスを持つデバイスによって開始されるものとして示されているが、ネゴシエーションスラッシングを回避するために他の技術を使用することができる。例えば、より高位のＩＰアドレスを持つデバイスが、ＩＫＥネゴシエーションを開始するために、第１のメッセージを送信してもよい。
【００４９】
[0053]図４は、本開示による、産業用プロセス制御及び自動化システムにおいてコンポーネント間のシームレスで安全な通信を確立するための例示的な方法４００を示す。説明を容易にするために、方法４００は、図１のシステム１００内で動作するＤＣＳデバイス２０２−２０４に関して説明される。方法４００は、任意の他の適切な装置によって、任意の他の適切なシステムにおいて使用することができる。
【００５０】
[0054]図４に示すように、ステップ４０２において、接続ポリシーがＤＣＳデバイスに対して設定される。これは、例えば、ＤＣＳデバイス２０２−２０４の間で使用されるべき安全な通信チャネルのタイプをユーザが定義することを含んでもよい。ステップ４０４において、ＤＣＳデバイス間のネゴシエーションが開始される。これは、例えば、ＤＣＳデバイス２０２が、非プロセスデータメッセージ２０６を、ＤＣＳデバイス２０４の特定の非プロセス通信ポートに送信することを含んでもよい。これにより、ステップ４０６において、ＤＣＳノードは、メインモードネゴシエーション及びクイックモードネゴシエーションに携わる。ステップ４０８において、これらのネゴシエーションは、接続ポリシーの通信チャネルを使用して、ＤＣＳデバイス間のセキュリティアソシエーションを確立する。ステップ４１０において、プロセスデータポリシーがＤＣＳデバイスに対して展開される。これは、例えば、ＤＣＳノード２０２−２０４が、任意の適切なソースから、プロセスデータポリシーを定義する情報を受信することを含んでもよい。これにより、ステップ４１２において、ＤＣＳノードは、（メインモードネゴシエーションではなく）クイックモードネゴシエーションに携わる。
【００５１】
[0055]この時点で、ＤＣＳデバイス間に安全な通信チャネルが確立され、ステップ４１４において、プロセス関連データが安全な方法でＤＣＳデバイス間で交換される。これは、例えば、ＤＣＳノード２０２−２０４が暗号化されたデータメッセージを交換することを含んでもよい。ＤＣＳデバイス２０２−２０４は、プロセスデータポリシーの展開前に安全でない方法で通信し、プロセスデータポリシーの展開後に安全な方法で通信することができる。理想的には、安全でない通信から安全な通信への切り替え中、プロセス関連データはほとんど又はまったく失われない。
【００５２】
[0056]図４は、産業用プロセス制御及び自動化システムにおいてコンポーネント間のシームレスで安全な通信を確立するための方法４００の一例を示しているが、図４に対して様々な変更を行うことができる。例えば、一連のステップとして示されているが、図４の様々なステップは、重複してもよく、並行して生じてもよく、異なる順序で生じてもよく、任意の回数生じてもよい。
【００５３】
[0057]いくつかの実施形態では、この特許文書で説明される様々な機能は、コンピュータ読み取り可能なプログラムコードから形成されてコンピュータ読み取り可能な媒体に具現化される、コンピュータプログラムによって実装又はサポートされる。「コンピュータ読み取り可能なプログラムコード」という語は、ソースコード、オブジェクトコード、実行可能コードを含む任意の種類のコンピュータコードを含む。「コンピュータ読み取り可能な媒体」という語は、読み取り専用メモリ（ＲＯＭ）、ランダムアクセスメモリ（ＲＡＭ）、ハードディスクドライブ、コンパクトディスク（ＣＤ）、デジタルビデオディスク（ＤＶＤ）又は任意の他の種類のメモリなどの、コンピュータによってアクセスすることができる任意の種類の媒体を含む。「持続性の（非一時的な）」コンピュータ読み取り可能な媒体は、一時的な電気信号や他の信号を搬送する有線、無線、光又は他の通信リンクを除外する。非一時的なコンピュータ読み取り可能な媒体は、データを永続的に格納することができる媒体、及び、書き換え可能な光ディスクや消去可能なメモリデバイスなどの、データを格納することができ、後に上書きすることができる媒体を含む。
【００５４】
[0058]本特許文書全体を通して使用される特定の単語や語句の定義を記載することには利点がある。「アプリケーション」及び「プログラム」という語は、（ソースコード、オブジェクトコード又は実行可能コードを含む）適切なコンピュータコードでの実装に適合する、１つ又は複数のコンピュータプログラム、ソフトウェアコンポーネント、命令のセット、プロシージャ、関数、オブジェクト、クラス、インスタンス、関連するデータ、又はそれらの一部を指す。「通信」という語及びその派生語は、直接通信及び間接通信の両方を包含する。「含む」及び「備える」並びにそれらの派生語は、限定することなく含むことを意味する。「又は」という語は、包括的なものであり、「及び／又は」を意味する。「〜に関連付けられる」という語句及びその派生語は、「〜を含む」、「〜内に含まれる」、「〜と相互接続する」、「〜を包含する」、「〜内に包含される」、「〜に又は〜と接続する」、「〜に又は〜と結合する」、「〜と通信可能である」、「〜と協働する」、「インターリーブする」、「並置する」、「〜に近接する」、「〜に又は〜と結び付けられる」、「〜の特性を有する」、「〜に対して又は〜との関係を有する」などを意味してもよい。項目のリストとともに使用するとき、「〜の少なくとも１つ」という語句は、リストされた項目のうちの１つ又は複数についての異なる組み合わせを用いることができ、リスト内のただ１つの項目が必要とされてもよいことを意味する。例えば、「Ａ、Ｂ及びＣの少なくとも１つ」は、Ａ、Ｂ、Ｃ、Ａ及びＢ、Ａ及びＣ、Ｂ及びＣ、並びにＡ及びＢ及びＣのうちのいずれかを含む。
【００５５】
[0059]本開示は特定の実施形態及び一般に関連付けられる方法について説明したが、これらの実施形態及び方法について変更及び置換は当業者にとって明らかであろう。したがって、例示的な実施形態についての上記の説明は、本開示を定義したり拘束したりするものではない。他の変化、置換及び変更もまた、以下の特許請求の範囲によって規定されるような本開示の趣旨及び範囲から逸脱することなく可能である。
【図１】
2017512015.tif 000003
【図２】
2017512015.tif 000004
【図３】
2017512015.tif 000005
【図４】
2017512015.tif 000006
【手続補正書】
【提出日】平成28年11月18日(2016.11.18)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
第１のデバイス（２０２、２０４、３０２、３０４、３０６）において接続ポリシーを使用して、産業用プロセス制御及び自動化システム（１００）の第２のデバイス（２０２、２０４、３０２、３０４、３０６）とのセキュリティアソシエーションを確立するステップ（４０８）と、
前記セキュリティアソシエーションが確立されると、前記第１のデバイスにおいてプロセスデータポリシーをアクティブ化するステップと
を含む方法であって、
前記セキュリティアソシエーションは、第１及び第２のタイプのネゴシエーション中に確立され（４０６）、前記プロセスデータポリシーは、前記第１のタイプのネゴシエーションなしに前記第２のタイプのネゴシエーション中にアクティブ化され（４１２）、前記第２のタイプのネゴシエーションは前記第１のタイプのネゴシエーションよりも高速であり、
前記接続ポリシーは、前記第１のデバイスの非プロセス通信ポートを使用して、前記デバイス間の通信チャネルを規定し、
前記プロセスデータポリシーは、リアルタイムの産業プロセスデータのための前記デバイス間の通信チャネルを規定する、方法。
【請求項２】
前記第１のタイプのネゴシエーションは、インターネット鍵交換（ＩＫＥ）メインモードネゴシエーションを含み、
前記第２のタイプのネゴシエーションは、ＩＫＥクイックモードネゴシエーションを含む、請求項１に記載の方法。
【請求項３】
前記セキュリティアソシエーションの確立を開始するために前記第１のデバイスから前記第２のデバイスにデータメッセージを送信するステップであって、前記第１のデバイスが前記データメッセージを前記第２のデバイスの非プロセス通信ポートに向ける、ステップ（４０４）と、
前記セキュリティアソシエーションの確立を開始するために、前記第１のデバイスにおいて、前記第２のデバイスからデータメッセージを受信するステップであって、前記第１のデバイスは、前記第１のデバイスの非プロセス通信ポートにおいて前記データメッセージを受信する、ステップと
をさらに含む、請求項１に記載の方法。
【請求項４】
前記プロセスデータポリシーをアクティブ化するステップの前に、前記第１のデバイスが、暗号化されていないデータメッセージを使用して、前記第２のデバイスと通信し、
前記プロセスデータポリシーをアクティブ化するステップの後、前記第１のデバイスが、暗号化されたデータメッセージを使用して、前記第２のデバイスと通信する、請求項１に記載の方法。
【請求項５】
前記プロセスデータポリシーのアクティブ化中、前記第２のデバイスからのプロセスデータの発行がまったく失われない、請求項１に記載の方法。
【請求項６】
前記プロセスデータポリシーは、前記第１のデバイス及び前記第２のデバイスにおいて同時にアクティブ化される、請求項１に記載の方法。
【請求項７】
第１の分散制御システム（ＤＣＳ）デバイス（２０２、２０４、３０２、３０４、３０６）を備える装置であって、前記第１のＤＣＳデバイスは、
第２のＤＣＳデバイス（２０２、２０４、３０２、３０４、３０６）と通信するように構成された少なくとも１つのインターフェース（１４６、１５２）と、
接続ポリシーを使用して、前記第２のＤＣＳデバイスとのセキュリティアソシエーションを確立し、
前記セキュリティアソシエーションが確立されると、プロセスデータポリシーをアクティブ化する
ように構成された少なくとも１つの処理デバイス（１４２、１４８）と
を備え、
前記少なくとも１つの処理デバイスは、第１及び第２のタイプのネゴシエーション中に前記セキュリティアソシエーションを確立し、前記第１のタイプのネゴシエーションなしに前記第２のタイプのネゴシエーション中に前記プロセスデータポリシーをアクティブ化するように構成され、前記第２のタイプのネゴシエーションは前記第１のタイプのネゴシエーションよりも高速であり、
前記接続ポリシーは、前記第１のＤＣＳデバイスの非プロセス通信ポートを使用して、前記ＤＣＳデバイス間の通信チャネルを規定し、
前記プロセスデータポリシーは、リアルタイムの産業プロセスデータのための前記ＤＣＳデバイス間の通信チャネルを規定する、装置。
【請求項８】
コンピュータプログラムを具現化する非一時的コンピュータ読み取り可能な媒体であって、前記コンピュータプログラムは、
第１のデバイス（２０２、２０４、３０２、３０４、３０６）において接続ポリシーを使用して、産業用プロセス制御及び自動化システム（１００）の第２のデバイス（２０２、２０４、３０２、３０４、３０６）とのセキュリティアソシエーションを確立し（４０８）、
前記セキュリティアソシエーションが確立されると、前記第１のデバイスにおいてプロセスデータポリシーをアクティブ化する
ためのコンピュータ読み取り可能なプログラムコードを含み、
前記セキュリティアソシエーションは、第１及び第２のタイプのネゴシエーション中に確立され（４０６）、前記プロセスデータポリシーは、前記第１のタイプのネゴシエーションなしに前記第２のタイプのネゴシエーション中にアクティブ化され（４１２）、前記第２のタイプのネゴシエーションは前記第１のタイプのネゴシエーションよりも高速であり、
前記接続ポリシーは、前記第１のデバイスの非プロセス通信ポートを使用して、前記デバイス間の通信チャネルを規定し、
前記プロセスデータポリシーは、リアルタイムの産業プロセスデータのための前記デバイス間の通信チャネルを規定する、非一時的コンピュータ読み取り可能な媒体。
【国際調査報告】
2017512015.tif 000007
2017512015.tif 000008