(57)【要約】  方法は、切り替え中に、産業用プロセス制御及び自動化システム（１００）内のデバイス（２０２ｂ）を二次的な役割から一次的な役割に移行するステップ（４０８）と、当該切り替えに応答して、デバイスによって格納された１つ又は複数のセキュリティ値をクリアするステップ（４１０）とを含む。方法はまた、デバイスにおいてネットワークノード（２０４）からメッセージを受け取るステップ（４１２）と、セキュリティアソシエーションが、受け取られたメッセージ又はネットワークノードに関連付けられていないと判断すること（４１４）に応答して、ネットワークノードとの間でセキュリティ認証情報を交換するステップ（４１６）と、ネットワークノードとの信頼関係を確立するステップ（４１８）とを含む。デバイスを移行するステップは、以前に一次的な役割で動作し、以前にネットワークノードと通信し、以前にネットワークノードとのセキュリティアソシエーションを有していた別のデバイス（２０２ａ）のネットワークアドレスを引き継ぐステップを含む。セキュリティ値をクリアすることで、デバイスがネットワークノードからメッセージを受け取る場合に、ネットワークノードに関連付けられた信頼関係をデバイスが有することを防ぐことができる。
2017505072.tif 000002
【特許請求の範囲】
【請求項１】
切り替え中に、産業用プロセス制御及び自動化システム（１００）内のデバイス（２０２ｂ）を二次的な役割から一次的な役割に移行するステップ（４０８）と、
前記切り替えに応答して、前記デバイスによって格納された１つ又は複数のセキュリティ値をクリアするステップ（４１０）と、
前記デバイスにおいてネットワークノード（２０４）からメッセージを受け取るステップ（４１２）と、
受け取られた前記メッセージ又は前記ネットワークノードにセキュリティアソシエーションが関連付けられていないと判断すること（４１４）に応答して、前記ネットワークノードとの間でセキュリティ認証情報を交換するステップ（４１６）と、前記ネットワークノードとの信頼関係を確立するステップ（４１８）と
を含み、前記デバイスを移行するステップは、以前に前記一次的な役割で動作し、以前に前記ネットワークノードと通信し、以前に前記ネットワークノードとのセキュリティアソシエーションを有していた別のデバイス（２０２ａ）のネットワークアドレスを引き継ぐステップを含む、方法。
【請求項２】
前記切り替えの前に、前記他のデバイスが前記ネットワークノードと通信するとき、前記デバイスを前記他のデバイスと同期させるステップ（４０６）
をさらに含む、請求項１に記載の方法。
【請求項３】
前記１つ又は複数のセキュリティ値をクリアするステップは、
前記デバイスの少なくとも１つのメモリ（１４４、１５０）から、１つ又は複数のセキュリティパラメータインデックス（ＳＰＩ）値、１つ又は複数の認証キー及び１つ又は複数の通信ポリシーをフラッシュするステップを含む、請求項１に記載の方法。
【請求項４】
前記メッセージを受け取るステップは、前記ネットワークノードからカプセル化セキュリティペイロードを受け取るステップを含み、前記方法は、
受け取られた前記カプセル化セキュリティペイロードにセキュリティアソシエーションが関連付けられていないことを判断するステップ
をさらに含む、請求項１に記載の方法。
【請求項５】
前記信頼関係を確立するステップは、インターネットプロトコルセキュリティ（ＩＰｓｅｃ）を使用して前記信頼関係を確立するステップを含む、請求項１に記載の方法。
【請求項６】
前記セキュリティ認証情報は１つ又は複数の認証鍵を含む、請求項１に記載の方法。
【請求項７】
前記１つ又は複数のセキュリティ値をクリアするステップは、前記デバイスが前記ネットワークノードから前記メッセージを受け取る場合に、前記デバイスが前記ネットワークノードに関連付けられる信頼関係を有することを防ぐ、請求項１に記載の方法。
【請求項８】
前記デバイスは、プロセスコントローラ又はサーバの冗長セット内の１つのデバイスを含む、請求項１に記載の方法。
【請求項９】
デバイス（２０２ｂ）であって、
１つ又は複数のセキュリティ値を格納するように構成された少なくとも１つのメモリ（１４４、１５０）と、
切り替え中に、産業用プロセス制御及び自動化システム（１００）において前記デバイスを二次的な役割から一次的な役割に移行し、
前記切り替えに応答して、前記１つ又は複数のセキュリティ値をクリアし、
前記デバイスにおいてネットワークノード（２０４）からメッセージを受け取り、
受け取られた前記メッセージ又は前記ネットワークノードにセキュリティアソシエーションが関連付けられていないと判断することに応答して、前記ネットワークノードとの間でセキュリティ認証情報を交換し、前記ネットワークノードとの信頼関係を確立する
ように構成された、少なくとも１つの処理デバイス（１４２、１４８）と
を備え、
前記少なくとも１つの処理デバイスは、以前に前記一次的な役割で動作し、以前に前記ネットワークノードと通信し、以前に前記ネットワークノードとのセキュリティアソシエーションを有していた別のデバイス（２０２ａ）のネットワークアドレスを引き継ぐことによって、前記デバイスを移行するように構成される、デバイス（２０２ｂ）。
【請求項１０】
前記切り替えの前に、前記少なくとも１つの処理デバイスは、前記他のデバイスが前記ネットワークノードと通信するとき、前記デバイスを前記他のデバイスと同期させるように構成される、請求項９に記載のデバイス。
【請求項１１】
前記少なくとも１つの処理デバイスは、前記少なくとも１つのメモリから、１つ又は複数のセキュリティパラメータインデックス（ＳＰＩ）値、１つ又は複数の認証鍵及び１つ又は複数の通信ポリシーをフラッシュするように構成される、請求項９に記載のデバイス。
【請求項１２】
前記少なくとも１つの処理デバイスは、前記ネットワークノードからカプセル化セキュリティペイロードを受け取るように構成され、
前記少なくとも１つの処理デバイスは、受け取られた前記カプセル化セキュリティペイロードにセキュリティアソシエーションが関連付けられていないことを判断するようにさらに構成される、請求項９に記載のデバイス。
【請求項１３】
前記少なくとも１つの処理デバイスは、前記デバイスが前記ネットワークノードから前記メッセージを受け取る場合に、前記デバイスが前記ネットワークノードに関連付けられる信頼関係を有することを防ぐために、前記１つ又は複数のセキュリティ値をクリアするように構成される、請求項９に記載のデバイス。
【請求項１４】
コンピュータプログラムを具現化する非一時的なコンピュータ読み取り可能な媒体であって、前記コンピュータプログラムは、
切り替え中に、産業用プロセス制御及び自動化システム（１００）内のデバイス（２０２ｂ）を二次的な役割から一次的な役割に移行し（４０８）、
前記切り替えに応答して、前記デバイスによって格納された１つ又は複数のセキュリティ値をクリアし（４１０）、
前記デバイスにおいてネットワークノード（２０４）からメッセージを受け取り（４１２）、
受け取られた前記メッセージにセキュリティアソシエーションが関連付けられていないと判断すること（４１４）に応答して、前記ネットワークノードとの間でセキュリティ認証情報を交換し（４１６）、前記ネットワークノードとの信頼関係を確立する（４１８）
ためのコンピュータ読み取り可能なプログラムコードを含み、
前記デバイスを移行することは、以前に前記一次的な役割で動作し、以前に前記ネットワークノードと通信し、以前に前記ネットワークノードとのセキュリティアソシエーションを有していた別のデバイス（２０２ａ）のネットワークアドレスを引き継ぐことを含む、非一時的なコンピュータ読み取り可能な媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
関連出願の相互参照及び優先権主張
[0001]本願は、米国特許法第１１９条（ｅ）（３５  Ｕ．Ｓ．Ｃ．§１１９（ｅ））のもと、２０１４年１月２９日に提出された米国仮特許出願第６１／９３３，０８１号に対する優先権を主張する。これにより、当該仮特許出願はその全体が参照により組み込まれる。
【０００２】
[0002]本開示は、一般に、産業用プロセス制御及び自動化システムに関する。より具体的には、本開示は、切り替え後に冗長デバイスによる安全な通信を確立するための装置及び方法に関する。
【背景技術】
【０００３】
[0003]産業用プロセス制御及び自動化システムは、多くの場合、大規模で複雑な産業プロセスを自動化するために使用される。これらの種類のシステムは、通常、センサ、アクチュエータ及びコントローラを含む。コントローラは、典型的には、センサから測定値を受け取り、アクチュエータのための制御信号を生成する。
【０００４】
[0004]産業用プロセス制御及び自動化システムにおけるコントローラ及び他のデバイスは、典型的には、１つ又は複数のネットワークに接続され、これを介して通信する。産業用プロセス制御及び自動化システム内の（より重要なコントローラなどの）いくつかのデバイスは、冗長なペアとして配置され、各ペア内の１つのデバイスが主な（一次的な）役割で動作し、各ペア内の別のデバイスが二次的な又は冗長な役割で動作する。二次デバイスは、一次デバイスが、電源障害、ハードウェア障害又は他の問題を被るときなどに、切り替え中に一次的な役割に切り替わるように設計される。
【発明の概要】
【発明が解決しようとする課題】
【０００５】
[0005]本開示は、切り替え後に冗長デバイスによる安全な通信を確立するための装置及び方法を提供する。
【課題を解決するための手段】
【０００６】
[0006]第１の実施形態では、方法は、切り替え中に、産業用プロセス制御及び自動化システム内のデバイスを二次的な役割から一次的な役割に移行するステップと、当該切り替えに応答して、デバイスによって格納された１つ又は複数のセキュリティ値をクリアするステップとを含む。方法はまた、デバイスにおいてネットワークノードからメッセージを受け取るステップと、セキュリティアソシエーション（ｓｅｃｕｒｉｔｙ  ａｓｓｏｃｉａｔｉｏｎ）が受け取られたメッセージ又はネットワークノードに関連付けられていないと判断することに応答して、ネットワークノードとセキュリティ認証情報を交換し、ネットワークノードとの信頼関係を確立するステップとを含む。デバイスを移行するステップは、以前に一次的な役割で動作し、以前にネットワークノードと通信し、以前にネットワークノードとのセキュリティアソシエーションを有していた別のデバイスのネットワークアドレスを引き継ぐステップを含む。
【０００７】
[0007]第２の実施形態では、デバイスは、１つ又は複数のセキュリティ値を格納するように構成された少なくとも１つのメモリを含む。デバイスはまた、切り替え中に産業用プロセス制御及び自動化システムにおいて当該デバイスを二次的な役割から一次的な役割に移行し、当該切り替えに応じて１つ又は複数のセキュリティ値をクリアするように構成された少なくとも１つの処理デバイスを含む。少なくとも１つの処理デバイスはまた、デバイスにおいてネットワークノードからメッセージを受け取り、セキュリティアソシエーションが受け取られたメッセージ又はネットワークノードに関連付けられていないと判断することに応答して、ネットワークノードとセキュリティ認証情報を交換し、ネットワークノードとの信頼関係を確立するように構成される。少なくとも１つの処理デバイスは、以前に一次的な役割で動作し、以前にネットワークノードと通信し、以前にネットワークノードとのセキュリティアソシエーションを有していた別のデバイスのネットワークアドレスを引き継ぐことによって、デバイスを移行するように構成される。
【０００８】
[0008]第３の実施形態では、非一時的なコンピュータ読み取り可能な媒体は、コンピュータプログラムを具現化する。当該コンピュータプログラムは、切り替え中に産業用プロセス制御及び自動化システム内のデバイスを二次的な役割から一次的な役割に移行し、当該切り替えに応答して、デバイスによって格納された１つ又は複数のセキュリティ値をクリアするための、コンピュータ読み取り可能なプログラムコードを含む。コンピュータプログラムはまた、デバイスにおいてネットワークノードからメッセージを受け取り、セキュリティアソシエーションが受け取られたメッセージに関連付けられていないと判断することに応答して、ネットワークノードとセキュリティ認証情報を交換し、ネットワークノードとの信頼関係を確立するための、コンピュータ読み取り可能なプログラムコードを含む。デバイスを移行することは、以前に一次的な役割で動作し、以前にネットワークノードと通信し、以前にネットワークノードとのセキュリティアソシエーションを有していた別のデバイスのネットワークアドレスを引き継ぐことを含む。
【０００９】
[0009]他の技術的特徴は、以下の図面、説明及び特許請求の範囲から当業者にとって容易に明らかとなろう。
[0010]本開示のより完全な理解のために、添付の図面と併せて、以下の説明が参照される。
【図面の簡単な説明】
【００１０】
【図１】[0011]本開示による、例示的な産業用プロセス制御及び自動化システム及び関連する詳細を示す。
【図２】本開示による、例示的な産業用プロセス制御及び自動化システム及び関連する詳細を示す。
【図３】[0012]本開示による、産業用プロセス制御及び自動化システム内での一次デバイスから二次デバイスへの例示的な切り替えを示す。
【図４】[0013]本開示による、産業用プロセス制御及び自動化システムにおける切り替え後に冗長デバイスによるセキュアな通信を確立するための例示的な方法を示す。
【発明を実施するための形態】
【００１１】
[0014]以下に説明する図１−４、及び本明細書において本発明の原理を説明するために使用される様々な実施形態は、例示のみのためのものであり、本発明の範囲を限定するように解釈されるべきではない。当業者は、本発明の原理が、任意の種類の適切に構成されたデバイスやシステムに実装されてもよいことを理解するであろう。
【００１２】
[0015]図１及び図２は、本開示による、例示的な産業用プロセス制御及び自動化システム１００並びに関連する詳細を示す。図１に示すように、システム１００は、少なくとも１つの製品又は他の材料の製造又は加工を容易にする様々なコンポーネントを含む。例えば、システム１００は、ここでは、１つ又は複数のプラント１０１ａ−１０１ｎ内のコンポーネントに対する制御を容易にするために使用される。各プラント１０１ａ−１０１ｎは、少なくとも１つの製品又は他の材料を製造するための１つ又は複数の製造設備などの、１つもしくは複数の処理設備（又はその１つもしくは複数の部分）を表す。一般に、各プラント１０１ａ−１０１ｎは、１つ又は複数のプロセスを実施してもよく、個別に又は組み合わせてプロセスシステムと呼ぶことができる。プロセスシステムは、一般に、なんらかの方法で１つ又は複数の製品又は他の材料を処理するように構成された任意のシステム又はその一部を表す。
【００１３】
[0016]図１において、システム１００は、プロセス制御のパーデューモデル（Ｐｕｒｄｕｅ  ｍｏｄｅｌ）を使用して実装される。パーデューモデルでは、「レベル０」は、１つ又は複数のセンサ１０２ａ及び１つ又は複数のアクチュエータ１０２ｂを含んでもよい。センサ１０２ａ及びアクチュエータ１０２ｂは、多種多様な機能のうちのいずれかを実行することができる、プロセスシステム内のコンポーネントを表す。例えば、センサ１０２ａは、温度、圧力又は流量などの、プロセスシステムにおける様々な特性を測定することができる。また、アクチュエータ１０２ｂは、プロセスシステムにおける様々な特性を変更することができる。センサ１０２ａ及びアクチュエータ１０２ｂは、任意の適切なプロセスシステム内の任意の他の又は追加のコンポーネントを表すことができる。センサ１０２ａの各々は、プロセスシステムにおける１つ又は複数の特性を測定するための任意の適切な構造を含む。アクチュエータ１０２ｂの各々は、プロセスシステムにおける１つ又は複数の条件を操作するか又はそれに影響を与えるための任意の適切な構造を含む。
【００１４】
[0017]少なくとも１つのネットワーク１０４が、センサ１０２ａ及びアクチュエータ１０２ｂに結合される。ネットワーク１０４は、センサ１０２ａ及びアクチュエータ１０２ｂとの相互作用を容易にする。例えば、ネットワーク１０４は、センサ１０２ａから測定データを搬送することができ、アクチュエータ１０２ｂに制御信号を提供することができる。ネットワーク１０４は、任意の適切なネットワーク又はネットワークの組み合わせを表すことができる。特定の例として、ネットワーク１０４は、イーサネット（登録商標）ネットワーク、（ＨＡＲＴ又はＦＯＵＮＤＡＴＩＯＮ  ＦＩＥＬＤＢＵＳネットワークなどの）電気信号ネットワーク、空気制御信号ネットワーク、又は任意の他のもしくは追加の種類のネットワークを表すことができる。
【００１５】
[0018]パーデューモデルでは、「レベル１」は、ネットワーク１０４に結合された１つ又は複数のコントローラ１０６を含んでもよい。とりわけ、各コントローラ１０６は、１つ又は複数のアクチュエータ１０２ｂの動作を制御するために、１つ又は複数のセンサ１０２ａからの測定値を使用してもよい。例えば、コントローラ１０６は、１つ又は複数のセンサ１０２ａから測定データを受け取り、１つ又は複数のアクチュエータ１０２ｂのための制御信号を生成するために測定データを使用することができる。各コントローラ１０６は、１つ又は複数のセンサ１０２ａと相互作用し、１つ又は複数のアクチュエータ１０２ｂを制御するための、任意の適切な構造を含む。各コントローラ１０６は、例えば、ロバスト多変数予測制御技術（ＲＭＰＣＴ）コントローラ、又はモデル予測制御（ＭＰＣ）もしくは他の高度な予測制御（ＡＰＣ）を実施する他の種類のコントローラなどの、多変数コントローラを表すことができる。特定の例として、各コントローラ１０６は、リアルタイムオペレーティングシステムを実行するコンピューティングデバイスを表すことができる。
【００１６】
[0019]２つのネットワーク１０８がコントローラ１０６に結合される。ネットワーク１０８は、コントローラ１０６との間でデータを搬送することなどによって、コントローラ１０６との相互作用を容易にする。ネットワーク１０８は、任意の適切なネットワーク又はネットワークの組み合わせを表すことができる。特定の例として、ネットワーク１０８は、ハネウェル・インターナショナル社のフォールトトレラント・イーサネット（登録商標）（ＦＴＥ）ネットワークなどのイーサネット（登録商標）・ネットワークのペアやイーサネット（登録商標）・ネットワークの冗長ペアを表すことができる。
【００１７】
[0020]少なくとも１つのスイッチ／ファイアウォール１１０は、ネットワーク１０８を２つのネットワーク１１２に結合する。スイッチ／ファイアウォール１１０は、１つのネットワークから別のネットワークへトラフィックを搬送してもよい。スイッチ／ファイアウォール１１０はまた、１つのネットワーク上のトラフィックが別のネットワークに到達することを阻止してもよい。スイッチ／ファイアウォール１１０は、ＨＯＮＥＹＷＥＬＬ  ＣＯＮＴＲＯＬ  ＦＩＲＥＷＡＬＬ（ＣＦ９）デバイスなどの、ネットワーク間で通信を提供するための任意の適切な構造を含む。ネットワーク１１２は、イーサネット（登録商標）・ネットワークのペア又はＦＴＥネットワークなどの任意の適切なネットワークを表すことができる。
【００１８】
[0021]パーデューモデルでは、「レベル２」は、ネットワーク１１２に結合される１つ又は複数のマシンレベルコントローラ１１４を含むことができる。マシンレベルコントローラ１１４は、（ボイラーや他の機械などの）産業設備の特定の一部と関連付けることができる、コントローラ１０６、センサ１０２ａ及びアクチュエータ１０２ｂの動作及び制御をサポートするために、様々な機能を実行する。例えば、マシンレベルコントローラ１１４は、センサ１０２ａからの測定データやアクチュエータ１０２ｂのための制御信号などの、コントローラ１０６によって収集又は生成された情報を記録することができる。マシンレベルコントローラ１１４はまた、コントローラ１０６の動作を制御するアプリケーションを実行することができ、それによってアクチュエータ１０２ｂの動作を制御する。また、マシンレベルコントローラ１１４は、コントローラ１０６へのセキュアなアクセスを提供することができる。マシンレベルコントローラ１１４の各々は、機械や装置の他の個々の部分へのアクセス、それらの制御又はそれらに関連する操作を提供するための任意の適切な構造を含む。マシンレベルコントローラ１１４の各々は、例えば、ＭＩＣＲＯＳＯＦＴ  ＷＩＮＤＯＷＳ（登録商標）オペレーティングシステムを実行するサーバコンピューティングデバイスを表すことができる。図示していないが、異なるマシンレベルコントローラ１１４を、（機器の各部分が１つ又は複数のコントローラ１０６、センサ１０２ａ及びアクチュエータ１０２ｂと関連付けられる）プロセスシステム内の機器の異なる部分を制御するために使用することができる。 
【００１９】
[0022]１つ又は複数のオペレータステーション１１６がネットワーク１１２に結合される。オペレータステーション１１６は、コントローラ１０６（並びに、おそらくはセンサ１０２ａ及びアクチュエータ１０２ｂ）へのユーザアクセスを提供することができるマシンレベルコントローラ１１４へのユーザアクセスを提供するコンピューティングデバイス又は通信デバイスを表す。特定の例として、オペレータステーション１１６は、コントローラ１０６及び／又はマシンレベルコントローラ１１４によって収集された情報を使用して、ユーザが、センサ１０２ａ及びアクチュエータ１０２ｂの動作履歴を確認することを可能にすることができる。オペレータステーション１１６はまた、ユーザが、センサ１０２ａ、アクチュエータ１０２ｂ、コントローラ１０６又はマシンレベルコントローラ１１４の動作を調整することを可能にすることができる。また、オペレータステーション１１６は、コントローラ１０６もしくはマシンレベルコントローラ１１４によって生成される、警告、警報又は他のメッセージもしくは表示を受け取って表示することができる。オペレータステーション１１６の各々は、システム１００内の１つ又は複数のコンポーネントのユーザアクセス及び制御をサポートするための任意の適切な構造を含む。オペレータステーション１１６の各々は、例えば、ＭＩＣＲＯＳＯＦＴ  ＷＩＮＤＯＷＳ（登録商標）オペレーティングシステムを実行するコンピューティングデバイスを表すことができる。
【００２０】
[0023]少なくとも１つのルータ／ファイアウォール１１８は、ネットワーク１１２を２つのネットワーク１２０に結合する。ルータ／ファイアウォール１１８は、セキュアなルータやルータ／ファイアウォールの組み合わせなどの、ネットワーク間の通信を提供するための任意の適切な構造を含む。ネットワーク１２０は、イーサネット（登録商標）・ネットワークのペアやＦＴＥネットワークなどの任意の適切なネットワークを表すことができる。
【００２１】
[0024]パーデューモデルでは、「レベル３」は、ネットワーク１２０に結合された１つ又は複数のユニットレベルコントローラ１２２を含んでもよい。各々のユニットレベルコントローラ１２２は、典型的には、プロセスの少なくとも一部を実施するために一緒に動作する異なる機械の集合を表す、プロセスシステム内のユニットに関連付けられる。ユニットレベルコントローラ１２２は、下位レベルのコンポーネントの動作及び制御をサポートするために様々な機能を実行する。例えば、ユニットレベルコントローラ１２２は、下位レベルのコンポーネントによって収集又は生成された情報を記録し、下位レベルのコンポーネントを制御するアプリケーションを実行し、下位レベルのコンポーネントへのセキュアなアクセスを提供することができる。ユニットレベルコントローラ１２２の各々は、１つもしくは複数の機械又はプロセスユニット内の機器の他の部分へのアクセス、それらの制御又はそれらに関連する操作を提供するための任意の適切な構造を含む。ユニットレベルコントローラ１２２の各々は、例えば、ＭＩＣＲＯＳＯＦＴ  ＷＩＮＤＯＷＳ（登録商標）オペレーティングシステムを実行するサーバコンピューティングデバイスを表すことができる。図示していないが、（各ユニットが、１つ又は複数のマシンレベルコントローラ１１４、コントローラ１０６、センサ１０２ａ及びアクチュエータ１０２ｂに関連付けられる）プロセスシステム内の異なるユニットを制御するために、異なるユニットレベルコントローラ１２２を使用することができる。
【００２２】
[0025]ユニットレベルコントローラ１２２へのアクセスは、１つ又は複数のオペレータステーション１２４によって提供されてもよい。オペレータステーション１２４の各々は、システム１００内の１つ又は複数のコンポーネントのユーザアクセス及び制御をサポートするための任意の適切な構造を含む。オペレータステーション１２４の各々は、例えば、ＭＩＣＲＯＳＯＦＴ  ＷＩＮＤＯＷＳ（登録商標）オペレーティングシステムを実行するコンピューティングデバイスを表すことができる。
【００２３】
[0026]少なくとも１つのルータ／ファイアウォール１２６は、ネットワーク１２０を２つのネットワーク１２８に結合する。ルータ／ファイアウォール１２６は、セキュアなルータやルータ／ファイアウォールの組み合わせなどの、ネットワーク間の通信を提供するための任意の適切な構造を含む。ネットワーク１２８は、イーサネット（登録商標）・ネットワークのペア又はＦＴＥネットワークなどの任意の適切なネットワークを表すことができる。
【００２４】
[0027]パーデューモデルでは、「レベル４」は、ネットワーク１２８に結合された１つ又は複数のプラントレベルコントローラ１３０を含んでもよい。各々のプラントレベルコントローラ１３０は、典型的には、同一、類似又は異なるプロセスを実施する１つ又は複数のプロセスユニットを含むことができる、プラント１０１ａ−１０１ｎのうちの１つに関連付けられる。プラントレベルコントローラ１３０は、下位レベルのコンポーネントの動作及び制御をサポートするために様々な機能を実行する。特定の例として、プラントレベルコントローラ１３０は、１つ又は複数の製造実行システム（ＭＥＳ）アプリケーション、スケジューリングアプリケーション、又は他のもしくは追加のプラントもしくはプロセス制御アプリケーションを実行することができる。プラントレベルコントローラ１３０の各々は、プロセスプラント内の１つ又は複数のプロセスユニットへのアクセス、それらの制御又はそれらに関連する操作を提供するための任意の適切な構造を含む。プラントレベルコントローラ１３０の各々は、例えば、ＭＩＣＲＯＳＯＦＴ  ＷＩＮＤＯＷＳ（登録商標）オペレーティングシステムを実行するサーバコンピューティングデバイスを表すことができる。
【００２５】
[0028]プラントレベルコントローラ１３０へのアクセスは、１つ又は複数のオペレータステーション１３２によって提供されてもよい。オペレータステーション１３２の各々は、システム１００内の１つ又は複数のコンポーネントのユーザアクセス及び制御をサポートするための任意の適切な構造を含む。オペレータステーション１３２の各々は、例えば、ＭＩＣＲＯＳＯＦＴ  ＷＩＮＤＯＷＳ（登録商標）オペレーティングシステムを実行するコンピューティングデバイスを表すことができる。
【００２６】
[0029]少なくとも１つのルータ／ファイアウォール１３４は、ネットワーク１２８を１つ又は複数のネットワーク１３６に結合する。ルータ／ファイアウォール１３４は、セキュアなルータやルータ／ファイアウォールの組み合わせなどの、ネットワーク間の通信を提供するための任意の適切な構造を含む。ネットワーク１３６は、企業規模のイーサネット（登録商標）もしくは他のネットワーク、又は（インターネットなどの）より大きなネットワークの全体もしくは一部などの、任意の適切なネットワークを表すことができる。
【００２７】
[0030]パーデューモデルでは、「レベル５」は、ネットワーク１３６に結合される１つ又は複数のエンタープライズレベルコントローラ（ｅｎｔｅｒｐｒｉｓｅ−ｌｅｖｅｌ−ｃｏｎｔｒｏｌｌｅｒ）１３８を含んでもよい。各々のエンタープライズレベルコントローラ１３８は、一般に、複数のプラント１０１ａ−１０１ｎについての計画操作を実行し、プラント１０１ａ−１０１ｎの様々な側面を制御することが可能である。エンタープライズレベルコントローラ１３８はまた、プラント１０１ａ−１０１ｎ内のコンポーネントの動作及び制御をサポートする様々な機能を実行することができる。特定の例として、エンタープライズレベルコントローラ１３８は、１つ又は複数の注文処理アプリケーション、エンタープライズリソースプランニング（ＥＲＰ）アプリケーション、先進的計画及びスケジューリング（ＡＰＳ）アプリケーション、又は任意の他のもしくは追加のエンタープライズ制御アプリケーションを実行することができる。エンタープライズレベルコントローラ１３８の各々は、１つ又は複数のプラントへのアクセス、それらの制御又はそれらに関連する操作を提供するための任意の適切な構造を含む。エンタープライズレベルコントローラ１３８の各々は、例えば、ＭＩＣＲＯＳＯＦＴ  ＷＩＮＤＯＷＳ（登録商標）オペレーティングシステムを実行するサーバコンピューティングデバイスを表すことができる。本願において、「エンタープライズ（企業）」という語は、管理すべき１つもしくは複数のプラント又は他の処理施設を有する組織を指す。単一のプラント１０１ａが管理される場合、エンタープライズレベルコントローラ１３８の機能をプラントレベルコントローラ１３０に組み込むことができることに留意されたい。
【００２８】
[0031]エンタープライズレベルコントローラ１３８へのアクセスは、１つ又は複数のオペレータステーション１４０によって提供されてもよい。オペレータステーション１４０の各々は、システム１００内の１つ又は複数のコンポーネントのユーザアクセス及び制御をサポートするための任意の適切な構造を含む。オペレータステーション１４０の各々は、例えば、ＭＩＣＲＯＳＯＦＴ  ＷＩＮＤＯＷＳ（登録商標）オペレーティングシステムを実行するコンピューティングデバイスを表すことができる。
【００２９】
[0032]パーデューモデルの様々なレベルは、１つ又は複数のデータベースなどの他のコンポーネントを含むことができる。各レベルに関連付けられるデータベースは、そのレベル又はシステム１００の１つもしくは複数の他のレベルと関連付けられる任意の適切な情報を格納することができる。例えば、ヒストリアン（ｈｉｓｔｏｒｉａｎ）１４１がネットワーク１３６に結合されてもよい。ヒストリアン１４１は、システム１００に関するさまざまな情報を格納するコンポーネントを表すことができる。ヒストリアン１４１は、例えば、製造のスケジューリング及び最適化中に使用される情報を格納することができる。ヒストリアン１４１は、情報を格納して情報の検索を容易にするための任意の適切な構造を表す。ネットワーク１３６に結合された単一の集中型コンポーネントとして示されているが、ヒストリアン１４１はシステム１００内の他の場所に配置することができ、又は、複数のヒストリアンがシステム１００内の異なる場所に分散されてもよい。
【００３０】
[0033]特定の実施形態では、図１の様々なコントローラ及びオペレータステーションは、コンピューティングデバイスを表すことができる。例えば、コントローラの各々は、１つ又は複数の処理デバイス１４２と、処理デバイス１４２によって使用され、生成され又は収集される命令及びデータを格納するための１つ又は複数のメモリ１４４とを含むことができる。コントローラの各々はまた、１つ又は複数のイーサネット（登録商標）インターフェースや無線トランシーバなどの、少なくとも１つのネットワークインターフェース１４６を含むことができる。また、オペレータステーションの各々は、１つ又は複数の処理デバイス１４８と、処理デバイス１４８によって使用され、生成され又は収集される命令及びデータを格納するための１つ又は複数のメモリ１５０とを含むことができる。オペレータステーションの各々はまた、１つ又は複数のイーサネット（登録商標）インターフェースや無線トランシーバなどの、少なくとも１つのネットワークインターフェース１５２を含むことができる。
【００３１】
[0034]図１に示す様々なデバイスは、デバイスの冗長ペア又はデバイスの他の冗長なセットに配置することができる。例えば、様々な重要なコントローラ又は他のコントローラは、冗長ペアで配置することができ、各ペアは、（ｉ）一次的な役割で制御動作を能動的に実行する一次コントローラと、（ｉｉ）二次的な役割で受動的に動作する二次コントローラとを含む。二次コントローラは、一次コントローラと同じデータを受け取り、一次コントローラと同じ計算を実行することができるが、二次コントローラは、制御動作を実施するために信号を出力することを控えてもよい。これにより、二次コントローラは、一次コントローラに障害が発生したときなど、必要なときに、一次的な役割に切り替わることが可能になる。分散制御システム（ＤＣＳ）デバイスの任意の他の冗長セットは、産業用プロセス制御及び自動化システム１００で使用することができる。
【００３２】
[0035]産業用プロセス制御及び自動化システム内のコンポーネントへの悪意のあるアクセスを防止するために、（ネットワーク１０８、１１２、１２０、１２８及び１３６などの）システム内のネットワークを保護するために様々な技術が使用されてきている。例えば、インターネットプロトコルセキュリティ（ＩＰｓｅｃ）のプロトコル群は、産業用プロセス制御及び自動化システム内のさまざまなコンポーネントにおいて有効にすることができる。ＩＰｓｅｃプロトコル群は、典型的には、相互作用することを試みるコンポーネント間の信頼関係を確立するために使用される。以下の説明において、「ＤＣＳデバイス」とは、コンポーネントの冗長ペア又は他の冗長セットに配置された複数のコンポーネントのうちの１つを表す。また、「ネットワークノード」とは、１つ又は複数のＤＣＳデバイスと相互作用するコンポーネントを表す。この区別は単に便宜上なされるものであり、例えば、コンポーネントがＤＣＳデバイス及びネットワークノードの両方として機能することを妨げるものではない。
【００３３】
[0036]産業用プロセス制御及び自動化システムにおけるＤＣＳデバイスが冗長ペア又は他の冗長セットに配置される場合、二次（セカンダリ）ＤＣＳデバイスは、多くの場合、（ＩＰアドレスなどの）フローティングネットワークアドレスを使用する。この構成においては、一次（プライマリ）ＤＣＳデバイスに障害が発生したときに、その二次ＤＣＳデバイスが一次的な役割を引き継ぎ、多くの場合、一次ＤＣＳデバイスのネットワークアドレスを引き継ぐ。切り替えの前に一次ＤＣＳデバイスによる信頼関係が存在していた場合、その信頼関係は、切り替え後に二次ＤＣＳデバイスにより再確立する必要がある。本開示は、ＩＰｓｅｃの使用によるなどして、切り替え中に二次デバイスが一次的な役割を引き継ぐときに信頼関係を再確立するための技術を提供する。
【００３４】
[0037]この機能の詳細は図２に示されており、冗長ＤＣＳデバイス２０２がネットワークノード２０４と相互作用する。ＤＣＳデバイス２０２及びネットワークノード２０４は、図１に示されるコントローラ、サーバ又はオペレータステーションのうちの任意のものなどの、制御システム内の任意の適切なコンポーネントを表すことができる。例えば、ＤＣＳデバイス２０２は、コントローラ又はサーバの冗長ペアを表すことができ、ネットワークノード２０４は、ＤＣＳデバイス２０２と相互作用するコントローラ、サーバ又はオペレータステーションを表すことができる。
【００３５】
[0038]図２にはまた、セキュリティマネージャ２０６及び認証局（ＣＡ）２０８が示される。セキュリティマネージャ２０６は、産業用プロセス制御及び自動化システム内のセキュアな通信をサポートするように構成されたか又はそのように構成される過程にあるコンポーネントに関する情報を保持するように動作する。セキュリティマネージャ２０６はまた、コンポーネントに（デジタル証明書などの）セキュリティ認証情報及び通信ポリシーを提供して、コンポーネントが互いに安全に通信することを可能にする。ポリシーは、２つのコンポーネントがどのように通信するべきかについての情報を提供し、ＩＰｓｅｃを設定するために使用することができる。認証局２０８は、セキュリティマネージャ２０６によって提供されるデジタル証明書や他のセキュリティ認証情報を生成する。
【００３６】
[0039]セキュリティマネージャ２０６は、１つ又は複数の処理デバイス、１つ又は複数のメモリ及び１つ又は複数のネットワークインターフェースを有するコンピューティングデバイスなどの、ＤＣＳコンポーネントにセキュリティ認証情報を提供するための任意の適切な構造を含む。セキュリティマネージャ２０６の冗長ペアなど、システム内に１つ又は複数のセキュリティマネージャ２０６が存在してもよい。認証局２０８は、１つ又は複数の処理デバイス、１つ又は複数のメモリ及び１つ又は複数のネットワークインターフェースを有するコンピューティングデバイスなどの、セキュリティ認証情報を生成するための任意の適切な構造を含む。セキュリティマネージャ２０６及び認証局２０８はまた、産業用プロセス制御及び自動化システム１００において任意の適切なレベルで使用することができる。例えば、いくつかの実施形態では、セキュリティマネージャ２０６及び認証局２０８は、レベル３、レベル４又はレベル５のコンポーネントを表すことができ、システム１００のレベル１、レベル２又はレベル３のＤＣＳコンポーネントを保護するために使用することができる。
【００３７】
[0040]図１及び図２は産業用プロセス制御及び自動化システム１００並びに関連する詳細の一例を示しているが、様々な変更を図１及び図２に対して行うことができる。例えば、制御及び自動化システムは、任意の数のセンサ、アクチュエータ、コントローラ、オペレータステーション、ネットワーク、ＤＣＳデバイス、ネットワークノード、セキュリティマネージャ及び認証局を含むことができる。また、図１及び図２のシステム１００の構成及び配置は説明のみのためのものである。特定のニーズに応じて、任意の他の適切な構成において、コンポーネントを追加し、省略し、組み合わせ、又は配置することができる。特定の例として、セキュリティマネージャ２０６及び認証局２０８は、単一の機能ユニットへと組み合わせることができる。さらに、特定の機能が、システム１００の特定のコンポーネントによって実行されるものとして説明された。これは例示のみのためのものである、一般に、プロセス制御及び自動化システムは、高度に設定可能であり、特定のニーズに応じて、任意の適切な方法で構成することができる。また、図１及び図２は、切り替え中に一次的な役割を引き継ぐ二次デバイスによって信頼関係を再確立することができる、例示的な環境を示す。この機能は、任意の他の適切なデバイス又はシステムで使用することができる。
【００３８】
[0041]図３は、本開示による、産業用プロセス制御及び自動化システムにおける一次デバイスから二次デバイスへの例示的な切り替え３００を示す。説明を簡単にするため、図３に示される切り替え３００は、図１のシステム１００において動作する図２のコンポーネントに関して説明される。切り替え３００は、任意の適切なシステム内の任意の他の適切なコンポーネントにより使用することができる。
【００３９】
[0042]図３に示すように、システムは、冗長ペアとして動作する２つのＤＣＳデバイス２０２ａ−２０２ｂを含み、ＤＣＳデバイス２０２ａは一次的な役割で動作し、ＤＣＳデバイス２０２ｂは二次的な役割で動作する。ＤＣＳデバイス２０２ａは、それ自身のネットワークアドレス（この例ではＸ．Ｘ．Ｘ．１）を有し、ＤＣＳデバイス２０２ｂは、異なるネットワークアドレス（この例ではＸ．Ｘ．Ｘ．２）を有する。一次的な役割のＤＣＳデバイス２０２ａは、自身のネットワークアドレス（この例ではＸ．Ｘ．Ｘ．３）を有するネットワークノード２０４とのセキュリティアソシエーション又は他の信頼関係を確立することができる。
【００４０】
[0043]ネットワーク上のコンポーネントへの悪質なアクセスを防止するために、ＩＰＳｅｃ又は他のセキュリティプロトコルをコンポーネント上で有効にすることができる。したがって、例えば、ＤＣＳデバイス２０２ａ及びネットワークノード２０４が安全な方法で相互作用（対話、インタラクト）することができる一方、ＤＣＳデバイス２０２ｂは、予備の又は二次的な役割のままである。ＩＰｓｅｃは、一次ＤＣＳデバイス２０２ａとネットワークノード２０４との間などの、ネットワークノードと当該ネットワークノードがアクセスしようとしているデバイスとの間の信頼関係を確立する。
【００４１】
[0044]上記のように、多くの産業用プロセス制御及び自動化デバイスは、冗長であり、その一次的なデバイスに障害が生じたときにフローティングネットワークアドレスを使用する。これは、一次ＤＣＳデバイスの障害発生時に、その二次ＤＣＳデバイスが、一次的な役割も一次デバイスのネットワークアドレスも引き継ぐことを意味する。この例は図３に示されており、二次ＤＣＳデバイス２０２ｂは、一次ＤＣＳデバイス２０２ａの障害時に、一次的な役割及び一次デバイスのネットワークアドレス（Ｘ．Ｘ．Ｘ．１）を引き継ぐ。
【００４２】
[0045]ネットワークノード２０４が一次ＤＣＳデバイス２０２ａからのデータにアクセスしており、コンポーネント２０２ａ及び２０４の両方がＩＰｓｅｃにより設定されていると仮定する。ＩＰｓｅｃを使用することにより、コンポーネント２０２ａ及び２０４は互いに信頼関係を形成して、コンポーネント２０２ａと２０４との間での安全な通信を可能にする。しかし、一次ＤＣＳデバイス２０２ａが機能しなくなり、二次ＤＣＳデバイス２０２ｂが一次的な役割を引き継ぐ場合、その信頼関係に問題が生じる。信頼関係はＤＣＳデバイス２０２ａのＩＰアドレスを使用して確立されたものであるので、ＤＣＳデバイス２０２ｂはネットワークノード２０４によって信頼されない。
【００４３】
[0046]従来の手法の下では、信頼関係が確立されなかったため、ＤＣＳデバイス２０２ｂは、ネットワークノード２０４からのすべてのパケットを破棄することになっていた。両方の側が互いに信頼することができないため、コンポーネント２０２ｂ及び２０４は、不感帯（デッドバンド）タイムアウトが発生するまで通信することができず、コンポーネント２０２ｂ及び２０４は、信頼関係について再交渉することになり得る。残念ながら、不感帯タイムアウトが生じるのを待っているとき、その期間の間は、コンポーネント２０２ｂと２０４との間で効果的な通信は行われない。コンポーネント２０２ｂと２０４との間での通信がないため、一次デバイスに対する視野が失われ、これは制御システムの動作にとって有害となり得る。
【００４４】
[0047]本開示によれば、二次デバイスが一次デバイスとして引き継ぐときに信頼関係を再確立するための技術が提供される。不感帯タイムアウトを待つ代わりに、新たな一次デバイス（ＤＣＳデバイス２０２ｂ）が、ネットワークノード２０４との信頼関係を再確立するために以下の動作を実行する。切り替え後、新たな一次ＤＣＳデバイス２０２ｂは、以前に設定又は使用していたセキュリティ認証情報、通信ポリシー及び他の情報を除去する。カプセル化セキュリティペイロード（ＥＳＰ）メッセージなどのセキュアなペイロードが受け取られると、新たな一次ＤＣＳデバイス２０２ｂは、受け取ったメッセージについてのセキュリティ認証情報や通信ポリシーを見つけることができず、新たな一次ＤＣＳデバイス２０２ｂは、ネットワークノード２０４との鍵交換を開始する。これにより、ＤＣＳデバイス２０２ｂとネットワークノード２０４との間の信頼関係が再確立されるが、それは不感帯タイムアウトを待つことよりも迅速に達成することができる。
【００４５】
[0048]図３は、産業用プロセス制御及び自動化システムにおける一次デバイスから二次デバイスへの切り替え３００の一例を示しているが、様々な変更を図３に対して行うことができる。例えば、ここで示したネットワークアドレスは例にすぎず、ノードは連続したネットワークアドレスを持っている必要はない。また、ＤＣＳノードの冗長ペアは、安全な通信接続を確立することができる任意の数の他のデバイスと通信することができる。
【００４６】
[0049]図４は、本開示による、産業用プロセス制御及び自動化システムにおいて切り替え後に冗長デバイスによって安全な通信を確立するための例示的な方法４００を示す。説明を容易にするために、方法４００は、図１のシステム１００で動作する図２のコンポーネントに関して説明される。方法４００は、任意の適切なシステム内の任意の他の適切なコンポーネントとともに使用することができる。
【００４７】
[0050]ステップ４０２において、第１及び第２の冗長デバイスは、産業用プロセス制御及び自動化システムで動作される。これは、例えば、ＤＣＳデバイス２０２ａ−２０２ｂをプロセスコントローラ又はサーバの冗長ペアとして動作させることを含んでもよい。ＤＣＳデバイス２０２ａは一次的な役割で動作していてもよく、ＤＣＳデバイス２０２ｂは二次的な役割で動作していてもよい。ステップ４０４において、安全な接続がシステム内の第１のデバイスとネットワークノードとの間で確立される。これは、例えば、一次ＤＣＳデバイス２０２ａがＩＰｓｅｃを使用してネットワークノード１０４との安全な接続を確立することを含んでもよい。ステップ４０６において、第２のデバイスは、第１のデバイスの動作中、第１のデバイスと同期される。これは、例えば、二次ＤＣＳデバイス２０２ｂが一次ＤＣＳデバイス２０２ａにより受け取られるものと同じデータを受け取ること、及び一次ＤＣＳデバイス２０２ａと同じ計算を実行することを含んでもよい。
【００４８】
[0051]ステップ４０８において、フェイルオーバーが生じるかどうかについて判断が行われる。これは、例えば、一次ＤＣＳデバイス２０２ａが機能しなくなること、又はそうでなければ、フェイルオーバーを引き起こす障害を被ることを含んでもよく、これにより、二次ＤＣＳデバイス２０２ｂを切り替えさせ、一次的な役割での動作を開始させる。このフェイルオーバープロセスの一部として、新たな一次ＤＣＳデバイス２０２ｂは、以前の一次ＤＣＳデバイス２０２ａのネットワークアドレスを引き継いでもよい。切り替えは、インターネット鍵交換（ＩＫＥ）セッションを監視する連続ループの一部として、二次ＤＣＳデバイス２０２ｂにおいて検出されてもよい。
【００４９】
[0052]ステップ４１０において、ネットワークノードとの信頼関係の再確立を速めるために、第２のデバイスは、そのメモリからセキュリティパラメータをフラッシュする。これは、例えば、新たな一次ＤＣＳデバイス２０２ｂが、すべてのセキュリティパラメータインデックス（ＳＰＩ）値、ＩＫＥキー及びＩＰｓｅｃセキュリティポリシーデータベース（ＳＰＤ）のポリシーをメモリからフラッシュすることを含んでもよい。ステップ４１２において、安全なペイロードの受信が検出される。これは、例えば、新たな一次ＤＣＳデバイス２０２ｂが、ユーザデータグラムプロトコル（ＵＤＰ）ソケットを介してネットワークノード１０４からＥＳＰメッセージを受け取ることを含んでもよい。ステップ４１４において、第２のデバイスは、セキュリティアソシエーションがネットワークノードとの間で確立されていないと判断する。これは、例えば、新たな一次ＤＣＳデバイス２０２ｂが、ＥＳＰメッセージを送ったネットワークノード１０４が確立されたＩＰｓｅｃに関連付けられていないと判断することを含んでもよい。
【００５０】
[0053]セキュリティアソシエーションがネットワークノードとの間で確立されていないと判断することに応答して、ステップ４１６において、鍵交換が第２のデバイスとネットワークノードとの間で開始される。これは、例えば、新たな一次ＤＣＳデバイス２０２ｂが、ネットワークノード１０４と（認証キーなどの）セキュリティ認証情報を交換するために、ネットワークノード１０４とのＩＫＥセッションを開始することを含んでもよい。これにより、ステップ４１８において、第２のデバイス及びネットワークノードは、セキュリティアソシエーションを確立することができる。この処理の一部として、新たな一次ＤＣＳデバイス２０２ｂ及びネットワークノード１０４は、コンポーネント間のＩＰｓｅｃ接続を確立するために、１つ又は複数の指定された通信ポリシーを適用してもよい。
【００５１】
[0054]この時点で、ステップ４２０において、第２のデバイス及びネットワークノードは、産業用プロセス制御及び自動化システムにおいて動作することができる。これは、例えば、新たな一次ＤＣＳデバイス２０２ｂ及びネットワークノード１０４が、所望のプロセス制御や自動化の機能を提供し、新たな一次ＤＣＳデバイス２０２ｂ及びネットワークノード１０４が安全な通信に携わることを含んでもよい。ここで、セキュリティアソシエーションは、単に新たな一次ＤＣＳデバイス２０２ｂに不感帯タイムアウトが生じるのを待つことを強制するよりも、より迅速に確立することができる。
【００５２】
[0055]図４は、産業用プロセス制御及び自動化システムにおいて切り替え後に冗長デバイスによって安全な通信を確立するための方法４００の一例を示しているが、様々な変更を図４に対して行うことができる。例えば、図４における様々なステップは、一連のステップとして示されているが、重複してもよく、並行して生じてもよく、異なる順序で生じてもよく、複数回生じてもよい。
【００５３】
[0056]いくつかの実施形態では、本明細書に記載される様々な機能は、コンピュータ読み取り可能なプログラムコードから形成され、コンピュータ読み取り可能な媒体において具現化される、コンピュータプログラムによって実装又はサポートされる。「コンピュータ読み取り可能なプログラムコード」という用語は、ソースコード、オブジェクトコード、実行可能コードを含む任意の種類のコンピュータコードを含む。「コンピュータ読み取り可能な媒体」という用語は、読み取り専用メモリ（ＲＯＭ）、ランダムアクセスメモリ（ＲＡＭ）、ハードディスクドライブ、コンパクトディスク（ＣＤ）、デジタルビデオディスク（ＤＶＤ）又は任意の他の種類のメモリなどの、コンピュータによってアクセスすることができる任意の種類の媒体を含む。「持続性（非一時的）」コンピュータ読み取り可能な媒体は、一時的な電気信号や他の信号を搬送する有線、無線、光又は他の通信リンクを除外する。非一時的なコンピュータ読み取り可能な媒体は、データを永続的に格納することができる媒体、及び、書き換え可能な光ディスクや消去可能なメモリデバイスなどの、データを格納することができ、後に上書きすることができる媒体を含む。
【００５４】
[0057]本明細書全体を通して使用される特定の単語や語句の定義を記載することには利点がある。「アプリケーション」及び「プログラム」という語は、（ソースコード、オブジェクトコード又は実行可能コードを含む）適切なコンピュータコードでの実装に適合する、１つ又は複数のコンピュータプログラム、ソフトウェアコンポーネント、命令のセット、プロシージャ、関数、オブジェクト、クラス、インスタンス、関連するデータ、又はそれらの一部を指す。「通信」という語及びその派生語は、直接通信及び間接通信の両方を包含する。「含む」及び「備える」並びにそれらの派生語は、限定することなく含むことを意味する。「又は」という語は、包括的なものであり、「及び／又は」を意味する。「〜に関連付けられる」という語句及びその派生語は、「〜を含む」、「〜内に含まれる」、「〜と相互接続する」、「〜を包含する」、「〜内に包含される」、「〜に又は〜と接続する」、「〜に又は〜と結合する」、「〜と通信可能である」、「〜と協働する」、「インターリーブする」、「並置する」、「〜に近接する」、「〜に又は〜と結び付けられる」、「〜を有する」、「〜の特性を有する」、「〜に対して又は〜との関係を有する」などを意味してもよい。項目のリストとともに使用するとき、「〜の少なくとも１つ」という語句は、リストされた項目のうちの１つ又は複数についての異なる組み合わせを用いることができ、リスト内のただ１つの項目が必要とされてもよいことを意味する。例えば、「Ａ、Ｂ及びＣの少なくとも１つ」は、Ａ、Ｂ、Ｃ、Ａ及びＢ、Ａ及びＣ、Ｂ及びＣ、並びにＡ及びＢ及びＣのうちのいずれかを含む。
【００５５】
[0058]本開示は特定の実施形態及び一般に関連付けられる方法について説明したが、これらの実施形態及び方法について変更及び置換は当業者にとって明らかであろう。したがって、例示的な実施形態についての上記の説明は、本開示を定義したり拘束したりするものではない。他の変化、置換及び変更もまた、以下の特許請求の範囲によって規定されるような本開示の趣旨及び範囲から逸脱することなく可能である。
【図１】
2017505072.tif 000003
【図２】
2017505072.tif 000004
【図３】
2017505072.tif 000005
【図４】
2017505072.tif 000006
【手続補正書】
【提出日】平成28年11月18日(2016.11.18)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
切り替え中に、産業用プロセス制御及び自動化システム（１００）内のデバイス（２０２ｂ）を二次的な役割から一次的な役割に移行するステップ（４０８）と、
前記切り替えに応答して、前記デバイスによって格納された１つ又は複数のセキュリティ値をクリアするステップ（４１０）と、
前記デバイスにおいてネットワークノード（２０４）からメッセージを受け取るステップ（４１２）と、
受け取られた前記メッセージ又は前記ネットワークノードにセキュリティアソシエーションが関連付けられていないと判断すること（４１４）に応答して、前記ネットワークノードとの間でセキュリティ認証情報を交換するステップ（４１６）と、前記ネットワークノードとの信頼関係を確立するステップ（４１８）と
を含み、
前記デバイスを移行するステップは、以前に前記一次的な役割で動作し、以前に前記ネットワークノードと通信し、以前に前記ネットワークノードとのセキュリティアソシエーションを有していた別のデバイス（２０２ａ）のネットワークアドレスを引き継ぐステップを含む、方法。
【請求項２】
前記１つ又は複数のセキュリティ値をクリアするステップは、
前記デバイスの少なくとも１つのメモリ（１４４、１５０）から、１つ又は複数のセキュリティパラメータインデックス（ＳＰＩ）値、１つ又は複数の認証キー及び１つ又は複数の通信ポリシーをフラッシュするステップを含む、請求項１に記載の方法。
【請求項３】
前記メッセージを受け取るステップは、前記ネットワークノードからカプセル化セキュリティペイロードを受け取るステップを含み、前記方法は、
受け取られた前記カプセル化セキュリティペイロードにセキュリティアソシエーションが関連付けられていないことを判断するステップ
をさらに含む、請求項１に記載の方法。
【請求項４】
前記１つ又は複数のセキュリティ値をクリアするステップは、前記デバイスが前記ネットワークノードから前記メッセージを受け取る場合に、前記デバイスが前記ネットワークノードに関連付けられる信頼関係を有することを防ぐ、請求項１に記載の方法。
【請求項５】
デバイス（２０２ｂ）であって、
１つ又は複数のセキュリティ値を格納するように構成された少なくとも１つのメモリ（１４４、１５０）と、
切り替え中に、産業用プロセス制御及び自動化システム（１００）において前記デバイスを二次的な役割から一次的な役割に移行し、
前記切り替えに応答して、前記１つ又は複数のセキュリティ値をクリアし、
前記デバイスにおいてネットワークノード（２０４）からメッセージを受け取り、
受け取られた前記メッセージ又は前記ネットワークノードにセキュリティアソシエーションが関連付けられていないと判断することに応答して、前記ネットワークノードとの間でセキュリティ認証情報を交換し、前記ネットワークノードとの信頼関係を確立する
ように構成された、少なくとも１つの処理デバイス（１４２、１４８）と
を備え、
前記少なくとも１つの処理デバイスは、以前に前記一次的な役割で動作し、以前に前記ネットワークノードと通信し、以前に前記ネットワークノードとのセキュリティアソシエーションを有していた別のデバイス（２０２ａ）のネットワークアドレスを引き継ぐことによって、前記デバイスを移行するように構成される、デバイス（２０２ｂ）。
【請求項６】
コンピュータプログラムを具現化する非一時的なコンピュータ読み取り可能な媒体であって、前記コンピュータプログラムは、
切り替え中に、産業用プロセス制御及び自動化システム（１００）内のデバイス（２０２ｂ）を二次的な役割から一次的な役割に移行し（４０８）、
前記切り替えに応答して、前記デバイスによって格納された１つ又は複数のセキュリティ値をクリアし（４１０）、
前記デバイスにおいてネットワークノード（２０４）からメッセージを受け取り（４１２）、
受け取られた前記メッセージにセキュリティアソシエーションが関連付けられていないと判断すること（４１４）に応答して、前記ネットワークノードとの間でセキュリティ認証情報を交換し（４１６）、前記ネットワークノードとの信頼関係を確立する（４１８）
ためのコンピュータ読み取り可能なプログラムコードを含み、
前記デバイスを移行することは、以前に前記一次的な役割で動作し、以前に前記ネットワークノードと通信し、以前に前記ネットワークノードとのセキュリティアソシエーションを有していた別のデバイス（２０２ａ）のネットワークアドレスを引き継ぐことを含む、非一時的なコンピュータ読み取り可能な媒体。
【国際調査報告】
2017505072.tif 000007
2017505072.tif 000008