(57)【要約】  本発明は、産業用プロセス制御を実装する産業用プログラマブルデバイス（２）と携帯用プログラマブルデバイス（４）との間の電子データ交換を保護するための方法およびデバイスに関し、前記携帯用プログラマブルデバイス（４）は、ユーザによって操作されるようにおよび第１の通信プロトコルを介して前記産業用プログラマブルデバイス（２）と電子データを交換するように構成され、前記産業用プログラマブルデバイスおよび携帯用プログラマブルデバイスの各々は、前記第１の通信プロトコルを有効にする通信モジュール（６、３０）を備える。【選択図】図１
2017514390.tif 000002
【特許請求の範囲】
【請求項１】
産業用プロセス制御を実装する産業用プログラマブルデバイス（２）と携帯用プログラマブルデバイス（４）との間の電子データ交換を保護するための方法であって、前記携帯用プログラマブルデバイス（４）が、ユーザによって操作されるようにおよび第１の通信プロトコルを介して前記産業用プログラマブルデバイス（２）と電子データを交換するように構成され、前記産業用プログラマブルデバイスおよび携帯用プログラマブルデバイスの各々が、前記第１の通信プロトコルを有効にする通信モジュール（６、３０）を備え、
前記産業用プログラマブルデバイス（２）で、
ユーザ識別デバイス（２０、２２）を使用して第１のユーザ識別子（ＵＩＤ1）を読み取るステップ（５０）と、
前記第１のユーザ識別子（ＵＩＤ1）が前記産業用プログラマブルデバイス（２）のメモリに前に記憶されたユーザ識別子のセットに属するかどうかを検査するステップ（５２）と、
検査が否定的であった場合、前記産業用プログラマブルデバイス（２）の前記通信モジュール（６）を無効にするステップ（５４）と、
前記携帯用プログラマブルデバイス（４）で、
ユーザ識別デバイス（４２、４４）を使用して第２のユーザ識別子（ＵＩＤ2）を読み取るステップ（６０）と、
前記第２のユーザ識別子（ＵＩＤ2）が前記携帯用プログラマブルデバイス（４）のメモリに前に記憶されたユーザ識別子のリストに属するかどうかを検査するステップ（６２）と、
検査が否定的であった場合、前記携帯用プログラマブルデバイス（４）の前記通信モジュール（３０）を無効にするステップ（６４）と
を備えることを特徴とし、
前記第１のユーザ識別子（ＵＩＤ1）が前記第２のユーザ識別子（ＵＩＤ2）と等しいかどうかを確認するステップ（７６）と、確認が否定的であった場合、前記産業用プログラマブルデバイス（２）の前記通信モジュール（６）を無効にするステップ（５４）および／または前記携帯用プログラマブルデバイス（４）の前記通信モジュール（３０）を無効にするステップ（６４）をさらに備える、方法。
【請求項２】
暗号鍵のペアに属する認証のための秘密鍵（Ｋ１＿ｐｒｉｖ）を前記携帯用プログラマブルデバイス（４）で取得するステップ（６６）であり、前記認証秘密鍵（Ｋ１＿ｐｒｉｖ）が、前記第２のユーザ識別子（ＵＩＤ2）に関連してローカルに記憶された、ステップと、
前記認証秘密鍵（Ｋ１＿ｐｒｉｖ）で前記第２のユーザ識別子（ＵＩＤ2）を暗号化するステップ（６８）、および、前記暗号化された第２のユーザ識別子を含む情報項目を前記産業用プログラマブルデバイス（２）に送信するステップ（７０）と、
前記暗号化された第２のユーザ識別子を含む前記情報項目を前記産業用プログラマブルデバイス（２）で受信するステップ（７２）、および、前記第１のユーザ識別子（ＵＩＤ1）に関連して前記産業用携帯用デバイス（２）に記憶された認証公開鍵（Ｋ１＿ｐｕｂ）を使用して前記情報項目を復号化して復号化された第２のユーザ識別子を取得するステップ（７４）と、
前記復号化された第２のユーザ識別子を前記第１のユーザ識別子と比較するステップ（７６）と
をさらに備える、請求項１記載の電子データ交換を保護するための方法。
【請求項３】
第１のユーザ識別子を読み取るステップが、ユーザ識別カードを前記産業用プログラマブルデバイス（２）に物理的に接続するステップを備える、および／または、第２のユーザ識別子を読み取るステップが、前記ユーザ識別カードを前記携帯用プログラマブルデバイス（４）に物理的に接続するステップを備える、請求項１または２のいずれか１項記載の電子データ交換を保護するための方法。
【請求項４】
第１のユーザ識別子を読み取るステップ（５０）が、第２の通信プロトコルを介する前記産業用プログラマブルデバイス（２）への前記第１のユーザ識別子の通信を備える、および／または、第２のユーザ識別子を読み取るステップ（６０）が、第２の通信プロトコルを介する前記携帯用プログラマブルデバイス（４）への前記第２のユーザ識別子の通信を備える、
前記第２の通信プロトコルが、前記第１の通信プロトコルとは異なる、請求項１または２のいずれか１項記載の電子データ交換を保護するための方法。
【請求項５】
交換公開鍵（Ｋ２＿ｐｕｂ）および前記第１のユーザ識別子（ＵＩＤ1）に関連付けられた交換秘密鍵（Ｋ２＿ｐｒｉｖ）を備える交換暗号化鍵のペアを前記産業用プログラマブルデバイス（２）で取得するステップ（８０）と、
前記第１のユーザ識別子（ＵＩＤ1）に関連付けられた前記認証公開鍵（Ｋ１＿ｐｕｂ）で前記交換公開鍵（Ｋ２＿ｐｕｂ）を暗号化するステップ（８４）と、
前記暗号化された交換公開鍵を前記携帯用プログラマブルデバイス（４）に送信するステップ（８６）と
を備える、前記産業用プログラマブルデバイス（２）と前記携帯用プログラマブルデバイス（４）との間に暗号化された通信チャネルを確立するステップを第１のユーザ識別子が前記第２のユーザ識別子と等しいことを確認するステップ（７６）の後にさらに備える、請求項１乃至４のいずれか１項記載の電子データ交換を保護するための方法。
【請求項６】
交換暗号化鍵のペアを前記取得するステップ（８０）が、前記産業用プログラマブルデバイスに記憶された鍵ペアの第２のリストの疑似ランダムな再シャッフリングを適用するステップを備える、請求項５記載の電子データ交換を保護するための方法。
【請求項７】
前記暗号化された交換公開鍵を前記携帯用プログラマブルデバイス（４）で受信するステップ（８８）と、ローカルに記憶された前記認証秘密鍵（Ｋ１＿ｐｒｉｖ）を使用する復号化を適用することによって前記交換公開鍵（Ｋ２＿ｐｕｂ）を取得するステップ（９０）とをさらに備える、請求項５または６のいずれか１項記載の電子データ交換を保護するための方法。
【請求項８】
所定の時間の経過の間に前記交換暗号化鍵のペアで暗号化されたデータを交換するステップ（９２、９４）をさらに備える、請求項５乃至７のいずれか１項記載の電子データ交換を保護するための方法。
【請求項９】
前記所定の時間の経過の後に、
新しい交換公開鍵および前記第１のユーザ識別子に関連付けられた新しい交換秘密鍵を備える交換暗号化鍵の新しいペアを前記産業用プログラマブルデバイス（２）で取得するステップ（８０）と、
交換公開鍵（Ｋ２＿ｐｕｂ）として前記新しい交換公開鍵を使用して前記産業用プログラマブルデバイス（２）で前記暗号化するステップ（８４）および前記送信するステップ（８６）を繰り返すステップと、
交換公開鍵を前記携帯用プログラマブルデバイス（４）で前記受信するステップ（８８）および前記取得するステップ（９０）を繰り返すステップと
をさらに備える、請求項８記載の電子データ交換を保護するための方法。
【請求項１０】
前記所定の時間の経過の間に前記新しいペアの交換暗号化鍵で暗号化されたデータを交換するステップ（９２、９４）をさらに備える、請求項９記載の電子データ交換を保護するための方法。
【請求項１１】
前記第１の通信プロトコルが、ワイヤレス通信プロトコルである、請求項１乃至１０のいずれか１項記載の電子データ交換を保護するための方法。
【請求項１２】
産業用プロセス制御を実装する産業用プログラマブルデバイス（２）および携帯用プログラマブルデバイス（４）を備える、電子データ交換を保護するためのシステムであって、前記携帯用プログラマブルデバイス（４）が、ユーザによって操作されるようにおよび第１の通信プロトコルを介して前記産業用プログラマブルデバイス（２）と電子データを交換するように構成され、前記産業用プログラマブルデバイス（２）および携帯用プログラマブルデバイス（４）の各々が、前記第１の通信プロトコルを有効にする通信モジュールを備え、
前記産業用プログラマブルデバイス（２）が、
ユーザ識別デバイスから第１のユーザ識別子を読み取り、
前記第１のユーザ識別子が前記産業用プログラマブルデバイスのメモリに前に記憶されたユーザ識別子のリストに属するかどうかを検査し、
検査が否定的であった場合、前記産業用プログラマブルデバイスの前記通信モジュールを無効に保つ
ように構成され、
前記携帯用プログラマブルデバイス（４）が、
ユーザ識別デバイスから第２のユーザ識別子を読み取り、
前記第２のユーザ識別子が前記携帯用プログラマブルデバイスのメモリに前に記憶されたユーザ識別子のリストに属するかどうかを検査し、
検査が否定的であった場合、前記携帯用プログラマブルデバイスの前記通信モジュールを無効に保つ
ように構成されることを特徴とし、
前記産業用プログラマブルデバイス（２）がさらに、前記第１のユーザ識別子が前記第２のユーザ識別子と等しいかどうかを確認し、確認が否定的であった場合、前記産業用プログラマブルデバイス（２）の前記通信モジュール（６）を無効にするおよび／または前記携帯用プログラマブルデバイス（２）の前記通信モジュール（３０）を無効にするように構成された、モジュール（１４）を備える、電子データ交換を保護するためのシステム。
【請求項１３】
前記産業用プログラマブルデバイス（２）が、ユーザ識別カードを受けるように構成された統合されたユーザ識別リーダを備える、および／または、前記携帯用プログラマブルデバイス（４）が、ユーザ識別カードを受けるように構成された統合されたユーザ識別リーダを備える、請求項１２記載の電子データ交換を保護するためのシステム。
【請求項１４】
前記産業用プログラマブルデバイス（２）が、第２の通信プロトコルを介して外部ユーザ識別デバイス（２０）と通信するように構成された第２の通信モジュール（１８）を備える、および／または、前記携帯用プログラマブルデバイス（４）が、第２の通信プロトコルを介して外部ユーザ識別子読取りデバイスと通信するように構成された第２の通信モジュールを備え、前記第２の通信プロトコルが、前記第１の通信プロトコルとは異なる、請求項１２記載の電子データ交換を保護するためのシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、産業用プロセス制御を実装する産業用プログラマブルデバイスと携帯用プログラマブルデバイスとの間のデータ交換を保護するための方法およびシステムに関する。
【０００２】
本発明は、産業現場の制御および保守の分野に適用され、プログラマブル論理制御装置（ＰＬＣ）またはコンピュータサーバなどの産業用プログラマブルデバイスによって提供される、プロセス制御アプリケーションによって提供される情報に許可されたユーザが安全にアクセスし、使用することを可能にする。
【背景技術】
【０００３】
そのような産業用プログラマブルデバイスは、ユーザインターフェースを備える外部デバイスと通信するための通信モジュールを備え、外部デバイスは、ユーザによって操作されるようにおよび産業用プロセス制御のための電子データを交換するように構成される。そのような外部デバイスの一例は、携帯用ＰＣまたはタブレットコンピュータなど、携帯用プログラマブルデバイスである。
【０００４】
一般に、そのような携帯用プログラマブルデバイスは、製品にインストールされた通信のためのハードウェアと、たとえば、産業用プログラマブルデバイスにインストールされた産業用プロセス制御ソフトウェアを提供する企業によって、インストールされたソフトウェアとを使用し、産業用プログラマブルデバイスと電子データを交換することができる。
【０００５】
ほとんどの産業用アプリケーションは、産業用プロセスに関連する機密データを交換することが多く、したがって、そのような交換される電子データを保護する必要がある。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】欧州特許出願公開第１５８２９５０号明細書
【発明の概要】
【０００７】
そのようなアプリケーションのための電子データ交換を保護するための方法およびシステムを提供すること、特に、産業用プログラマブルデバイスと携帯用プログラマブルデバイスとの間の通信チャネルの傍受を防ぐこと、が、本発明の目的である。
【０００８】
この目的のために、本発明は、産業用プロセス制御を実装する産業用プログラマブルデバイスと携帯用プログラマブルデバイスとの間の電子データ交換を保護するための方法を提案し、携帯用プログラマブルデバイスは、ユーザによって操作されるようにおよび第１の通信プロトコルを介して前記産業用プログラマブルデバイスと電子データを交換するように構成され、前記産業用プログラマブルデバイスおよび携帯用プログラマブルデバイスの各々は、前記第１の通信プロトコルを有効にする通信モジュールを備える。
【０００９】
本方法は、以下のステップを備える：
−  産業用プログラマブルデバイスで、
−  ユーザ識別デバイスを使用し、第１のユーザ識別子を読み取るステップと、
−  前記第１のユーザ識別子が、前記産業用プログラマブルデバイスのメモリに前に記憶されたユーザ識別子のセットに属するかどうかを検査するステップと、
−  検査が否定的であった場合、前記産業用プログラマブルデバイスの通信モジュールを無効にするステップ、
−  携帯用プログラマブルデバイスで、
−  ユーザ識別デバイスを使用し、第２のユーザ識別子を読み取るステップと、
−  前記第２のユーザ識別子が、前記携帯用プログラマブルデバイスのメモリに前に記憶されたユーザ識別子のリストに属するかどうかを検査するステップと、
−  検査が否定的であった場合、前記携帯用プログラマブルデバイスの通信モジュールを無効にするステップ。
【００１０】
本方法はさらに、前記第１のユーザ識別子が前記第２のユーザ識別子と等しいかどうかを確認するステップを備え、そして、確認が否定的であった場合、本方法は、前記産業用プログラマブルデバイスの通信モジュールを無効にするステップ、および／または、前記携帯用プログラマブルデバイスの通信モジュールを無効にするステップを備える。
【００１１】
有利には、本発明は、同じユーザ識別子が、両方のプログラマブルデバイスによってユーザ識別デバイスによって読み取られない限り、産業用プログラマブルデバイスおよび携帯用プログラマブルデバイスのそれぞれの通信モジュールを無効にする方法を提供する。
【００１２】
独立してまたは組み合わせて解釈される、特定の特徴によれば、本方法は、従属請求による特徴を備える。
【００１３】
特定の特徴によれば、本方法は、さらに以下を備える：
−  暗号鍵のペアに属する認証のための秘密鍵を前記携帯用プログラマブルデバイスで取得するステップであり、前記認証秘密鍵は、前記第２のユーザ識別子に関連してローカルに記憶される、ステップと、
−  認証秘密鍵（Ｋ１＿ｐｒｉｖ）で第２のユーザ識別子を暗号化し、暗号化された第２のユーザ識別子を含む情報項目を産業用プログラマブルデバイスに送信するステップと、
−  暗号化された第２のユーザ識別子を含む情報項目を前記産業用プログラマブルデバイスで受信し、前記第１のユーザ識別子に関連して産業用携帯用デバイスに記憶された認証公開鍵を使用して前記情報項目を復号化して、復号化された第２のユーザ識別子を取得するステップと、
−  復号化された第２のユーザ識別子を第１のユーザ識別子と比較するステップ。
【００１４】
特定の特徴によれば、第１のユーザ識別子の読取りは、ユーザ識別カードを産業用プログラマブルデバイスに物理的に接続するステップを備える、および／または、第２のユーザ識別子の読取りは、ユーザ識別カードを携帯用プログラマブルデバイスに物理的に接続するステップを備える。
【００１５】
特定の特徴によれば、第１のユーザ識別子の読取りは、第２の通信プロトコルを介する産業用プログラマブルデバイスへの前記第１のユーザ識別子の通信を備え、および／または、第２のユーザ識別子の読取りは、第２の通信プロトコルを介する携帯用プログラマブルデバイスへの前記第２のユーザ識別子の通信を備え、前記第２の通信プロトコルは、第１の通信プロトコルとは異なる。
【００１６】
特定の特徴によれば、本方法はさらに、第１のユーザ識別子が前記第２のユーザ識別子と等しいことを確認した後に、産業用プログラマブルデバイスと携帯用プログラマブルデバイスとの間に暗号化された通信チャネルを確立するステップを備え、そのステップは、以下を備える：
−  交換公開鍵および第１のユーザ識別子に関連付けられた交換秘密鍵を備える交換暗号化鍵のペアを産業用プログラマブルデバイスで取得するステップと、
−  第１のユーザ識別子に関連付けられた認証公開鍵で交換公開鍵を暗号化するステップと、
−  暗号化された交換公開鍵を携帯用プログラマブルデバイスに送信するステップ。
【００１７】
特定の特徴によれば、交換暗号化鍵のペアを取得するステップは、産業用プログラマブルデバイスに記憶された鍵ペアの第２のリストの疑似ランダムな再シャッフリングを適用するステップを備える。
【００１８】
特定の特徴によれば、本方法はさらに、暗号化された交換公開鍵を携帯用プログラマブルデバイスで受信し、ローカルに記憶された認証秘密鍵を使用する復号化を適用することによって交換公開鍵を取得するステップを備える。
【００１９】
特定の特徴によれば、本方法はさらに、交換暗号化鍵のペアで暗号化されたデータを所定の時間の経過の間に交換するステップを備える。
【００２０】
特定の特徴によれば、本方法はさらに、前記所定の時間の経過の後に、以下のステップを備える：
−  新しい交換公開鍵および第１のユーザ識別子に関連付けられた新しい交換秘密鍵を備える交換暗号化鍵の新しいペアを産業用プログラマブルデバイスで取得するステップと、
−  交換公開鍵として新しい交換公開鍵を使用し、産業用プログラマブルデバイスで暗号化および送信のステップを繰り返すステップと、
−  携帯用プログラマブルデバイスで交換公開鍵の受信および取得のステップを繰り返すステップ。
【００２１】
特定の特徴によれば、本方法はさらに、新しいペアの交換暗号化鍵で暗号化されたデータを所定の時間が経過する間に交換するステップを備える。
【００２２】
特定の特徴によれば、第１の通信プロトコルは、ワイヤレス通信プロトコルである。
【００２３】
もう１つの態様によれば、本発明は、産業用プロセス制御を実装する産業用プログラマブルデバイスおよび携帯用プログラマブルデバイスを備える、電子データ交換を保護するためのシステムに関し、前記携帯用プログラマブルデバイスは、ユーザによって操作されるようにおよび第１の通信プロトコルを介して前記産業用プログラマブルデバイスと電子データを交換するように構成され、前記産業用プログラマブルデバイスおよび携帯用プログラマブルデバイスの各々は、前記第１の通信プロトコルを有効にする通信モジュールを備える。
【００２４】
本システムは、以下を特徴とする：
−  産業用プログラマブルデバイスは、以下を行うように構成される：
−  ユーザ識別デバイスから第１のユーザ識別子を読み取り、
−  前記第１のユーザ識別子が、前記産業用プログラマブルデバイスのメモリに前に記憶されたユーザ識別子のリストに属するかどうかを検査し、
−  検査が否定的であった場合、前記産業用プログラマブルデバイスの通信モジュールを無効に保つ、
−  携帯用プログラマブルデバイスは、以下を行うように構成される：
−  ユーザ識別デバイスから第２のユーザ識別子を読み取り、
−  前記第２のユーザ識別子が、前記携帯用プログラマブルデバイスのメモリに前に記憶されたユーザ識別子のリストに属するかどうかを検査し、
−  検査が否定的であった場合、前記携帯用プログラマブルデバイスの通信モジュールを無効に保つ、
産業用プログラマブルデバイスはさらに、前記第１のユーザ識別子が前記第２のユーザ識別子と等しいかどうかを確認するように、そして、確認が否定的であった場合、前記産業用プログラマブルデバイスの通信モジュールを無効にするように、および／または、前記携帯用プログラマブルデバイスの通信モジュールを無効にするように構成されたモジュールを備える。
【００２５】
特定の特徴によれば、前記産業用プログラマブルデバイスは、ユーザ識別カードを受けるように構成された統合されたユーザ識別リーダを備える、および／または、前記携帯用プログラマブルデバイスは、ユーザ識別カードを受けるように構成された統合されたユーザ識別リーダを備える。
【００２６】
特定の特徴によれば、前記産業用プログラマブルデバイスは、第２の通信プロトコルを介して外部ユーザ識別デバイスと通信するように構成された第２の通信モジュールを備える、および／または、前記携帯用プログラマブルデバイスは、第２の通信プロトコルを介して外部ユーザ識別子読取りデバイスと通信するように構成された第２の通信モジュールを備え、第２の通信プロトコルは、第１の通信プロトコルとは異なる。本発明は、詳細な説明と、単に例示であって決して限定ではない、以下に列挙される添付の図面とに照らして、よりよく理解されよう。
【図面の簡単な説明】
【００２７】
【図１】本発明の一実施形態による電子データ交換を保護するためのシステムを概略的に表す図である。
【図２】本発明の一実施形態による電子データ交換を保護するための方法の第１の部分の流れ図である。
【図３】本発明の一実施形態による電子データ交換を保護するための方法の第２の部分の流れ図である。
【発明を実施するための形態】
【００２８】
図１は、本発明の一実施形態による電子データ交換を保護するためのシステム１を概略的に表す。
【００２９】
システム１は、たとえばＰＬＣなど、産業用プログラマブルデバイス２と、携帯用プログラマブルデバイス４とを備える。
【００３０】
産業用プログラマブルデバイス２は、携帯用プログラマブルデバイス４との第１の通信プロトコルを有効にする通信モジュール６を備える。
【００３１】
通信モジュール６は、ハードウェア要素およびソフトウェア要素を備える。
【００３２】
一実施形態では、第１の通信規格は、ワイヤレス規格、たとえばＷｉＦｉ規格、であり、そして、通信モジュール６は、ＷｉＦｉアンテナ８にワイヤレス通信によって接続するための手段を備える。
【００３３】
別法として、第１の通信規格は、ＧＰＲＳ、３Ｇ…など、携帯電話のために使用される任意のワイヤレス通信でもよい。
【００３４】
産業用プログラマブルデバイス２はまた、１つまたはいくつかのプロセッサを使用してコード命令を実装するように構成された処理装置１０を備える。
【００３５】
本例では、処理装置１０は、２つの産業用プロセス制御アプリケーションＡＰＰ１、ＡＰＰ２、ユーザ認証モジュール１２および電子データ交換モジュール１４を備える。
【００３６】
２つの産業用プロセス制御アプリケーションＡＰＰ１、ＡＰＰ２は、公知の方式で産業用ロボット（図示せず）と通信するように構成されるため、以下ではそれらの詳細な説明は省略する。
【００３７】
２つの産業用プロセス制御アプリケーションが、例示されるが、本発明は、任意の数のプロセス制御アプリケーション、より一般的には、産業用プログラマブルデバイス２によって実装される任意の制御コマンドシステム、で適用されることを理解されたい。
【００３８】
さらに、産業用プログラマブルデバイス２は、本発明による方法を実装するためのデータおよびコード命令を記憶するために使用されるメモリ１６を備える。
【００３９】
メモリ１６は、産業用プロセス制御アプリケーションＡＰＰ１、ＡＰＰ２の許可されたユーザを識別するための１セットのユーザ識別子｛ＵｉＤ#i｝を備える第１の関連付けリストＬ１を記憶し、第１のリストＬ１の各ユーザ識別子ＵＩＤ#iは、以下認証鍵ペアと呼ばれる暗号鍵ペア｛Ｋ1#pub-i，Ｋ1#priv-i｝の認証公開鍵Ｋ1#pub-iに関連付けられる。
【００４０】
認証鍵ペアは、暗号化されたデジタルデータの第１の安全な通信チャネルＣ１を作成するための公知の暗号方式、たとえばＲＳＡ、と使用される暗号鍵ペアである。
【００４１】
メモリ１６はさらに、各ユーザ識別子ＵＩＤ#iと、以下交換鍵ペア｛Ｋ2#pub-i，Ｋ2#priv-i｝と呼ばれる、異なる暗号鍵ペアとの関連付けを備える、第２の関連付けリストＬ２を記憶する。
【００４２】
交換鍵ペアは、暗号化されたデジタルデータの第２の安全な通信チャネルＣ２を作成するための公知の暗号方式、たとえばＲＳＡ、と使用される暗号鍵ペアである。
【００４３】
第１のおよび第２の関連付けリストは、以下で詳しく説明されるような電子データ交換を保護するための方法における使用される｛ＵＩＤ#i｝である。
【００４４】
一代替実施形態では、許可されたユーザのユーザ識別子のリストは、第１のリストに記憶され、認証および交換鍵は、別個に記憶されるが、第１のリストのユーザ識別子と認証鍵および交換鍵の各々との間の関連付けは維持される。
【００４５】
一代替実施形態では、第１の関連付けリストＬ１は、対応する許可されたユーザ識別子に関連して認証鍵ペア｛Ｋ1#pub-i，Ｋ1#priv-i｝のリストを備える。
【００４６】
産業用プログラマブルデバイス２はさらに、第１の通信プロトコルとは異なる第２の通信プロトコルに従って外部ユーザ識別デバイス２０と通信するように構成された第２の通信モジュール１８を備える。
【００４７】
一実施形態では、第２の通信プロトコルは、近接無線通信プロトコルであり、外部ユーザ識別デバイス２０は、チップカード２２に記憶された第１のユーザ識別子を読み取るように構成されたＮＦＣ（Ｎｅａｒ  Ｆｉｅｌｄ  Ｃｏｍｍｕｎｉｃａｔｉｏｎ、近距離無線通信）リーダである。
【００４８】
別法として、ＲＦＩＤ技術、あるいは、ＮＦＣ技術またはバーコードスキャナなどの他の近接無線通信システムが、使用される。
【００４９】
有利には、チップカード２２は、ユーザ識別子カードであり、ユーザ識別子カードに記憶された第１のユーザ識別子の読取りは、産業用プログラマブルデバイス２へのカードホルダの物理的近接を暗示する。
【００５０】
一代替実施形態では、第１のユーザ識別子を読み取るためのユーザ識別デバイス２０は、産業用プログラマブルデバイス２内に統合される。
【００５１】
本発明によれば、産業用プログラマブルデバイスは、第１の通信プロトコルを使用して、２つの安全なチャネルＣ１、Ｃ２を介して携帯用プログラマブルデバイスと通信するように構成され、送信されるデータは、非対称暗号方式を使用して、暗号化される。
【００５２】
携帯用プログラマブルデバイス４は、前記第１の通信プロトコルを有効にする通信モジュール３０を備える。
【００５３】
携帯用プログラマブルデバイス４はさらに、１つまたはいくつかのプロセッサを使用してコード命令を実行する処理モジュールを実装するように構成された処理装置３２を備える。
【００５４】
本例では、処理装置３２は、２つの産業用プロセス制御アプリケーションＡＰＰ１、ＡＰＰ２から電子データを受信するようにおよびそれらに要求を送信するように構成された、クライアントアプリケーション３４を備える。
【００５５】
さらに、処理装置３２は、ユーザ認証モジュール３６および電子データ交換モジュール３８を実装する。
【００５６】
携帯用プログラマブルデバイス４はまた、ユーザに情報を表示するようにおよび対話コマンドを受信するように構成されたユーザインターフェース４０、たとえば触覚型画面、を備える。したがって、ユーザは、具体的には、産業用設備を監視するための産業用プロセス制御アプリケーションを操作するために、システムと対話することができる。
【００５７】
図１で説明する実施形態において、携帯用プログラマブルデバイス４は、たとえばチップカードである、ユーザ識別カード４４から情報、具体的には第２のユーザ識別子、を読み取るように構成されたユーザ識別デバイス４２を含む。同じ許可されたユーザが、システムで識別するとき、２つのユーザ識別カード２２、４４は、実際には、所与のユーザ識別子を運ぶ単一のカードである。
【００５８】
さらに、携帯用プログラマブルデバイス４は、本発明による方法を実装するためのデータおよびコード命令を記憶するために使用されるメモリ４６を備える。
【００５９】
メモリ４６は、携帯用プログラマブルデバイス４を介して産業用プロセス制御アプリケーションＡＰＰ１、ＡＰＰ２の許可されたユーザを識別するための１セットのユーザ識別子｛ＵＩＤ#i｝を備える第３の関連付けリストＬ３を記憶し、第３のリストＬ３の各ユーザ識別子ＵＩＤ#iは、認証鍵ペア｛Ｋ1#pub-i，Ｋ1#priv-i｝の認証秘密鍵Ｋ1#priv-iに関連付けられる。
【００６０】
ユーザ識別子の全く同じセットが、産業用プログラマブルデバイス２の第１の関連付けリストＬ１と携帯用プログラマブルデバイス４の第３の関連付けリストＬ３とに記憶される。これらの関連付けリストは、電子データ交換の前に、それぞれのメモリ１６、４６に記憶される。これらの関連付けリストは、許可されたユーザを定義する。
【００６１】
リストの作成および更新は、外部ツールによって管理される。このツールは、許可されたＵＩＤのリストで構成され、このツールは、Ｌ１、Ｌ２およびＬ３リストを生成する。ツールの使用、ならびに、Ｌ１、Ｌ２およびＬ３リストの配布は、識別された、信頼されるユーザに限定される。
【００６２】
本発明によれば、第１の安全なチャネルＣ１で交換される電子データは、同じユーザ識別子ＵＩＤ#iで両方のデバイスで独立して識別される許可されたユーザの認証鍵ペア｛Ｋ1#pub-i，Ｋ1#priv-i｝を使用して、暗号化される。
【００６３】
デバイス２およびデバイス４の両方で同じ許可されたユーザの識別が成功しない場合、それぞれの通信モジュール６および３０は、無効にされる。
【００６４】
認証の成功に加えて、産業用プロセス制御に関連する電子データである、第２の安全なチャネルＣ２で交換される電子データは、ユーザ識別子ＵＩＤ#iによって識別される許可されたユーザに関連付けられた交換鍵ペア｛Ｋ2#pub-i，Ｋ2#priv-i｝を使用して、暗号化される。
【００６５】
図２は、本発明の一実施形態による、産業用プログラマブルデバイス２と携帯用プログラマブルデバイス４との間の電子データ交換を保護するための方法の第１の部分の主要なステップを説明する流れ図である。
【００６６】
この第１の部分は、両方のデバイスでの許可されたユーザの識別に関し、それぞれのモジュール１２および３６によって実装される。
【００６７】
産業用プログラマブルデバイス２では、第１のユーザ識別子ＵＩＤ1が、ユーザ識別子読取りステップ５０において読み取られる。
【００６８】
次いで、読み取られた第１のユーザ識別子ＵＩＤ1が、メモリに記憶された許可されたユーザ識別子のセットに属するかどうかが、検査ステップ５２において検査される。図１を例にとると、ステップ５２は、たとえば、ＵＩＤ1が第１のリストＬ１に属するかどうかを検査する。
【００６９】
否定的回答の場合、読み取られた第１のユーザ識別子ＵＩＤ1は、記憶されたユーザ識別子のセットに属せず、その場合、産業用プログラマブルデバイス２の通信モジュール６を無効にするステップ５４が、検査ステップ５２に続く。
【００７０】
一実施形態では、通信モジュール６は、デフォルトでは無効にされ、したがって、ステップ５４は、単に通信を無効にされたままにする。
【００７１】
ステップ５２での検査が肯定的であった場合、産業用プログラマブルデバイス２が、第１の通信プロトコルを使用し、携帯用プログラマブルデバイス４からデータを受信することができるように、通信モジュール６は、有効にされる、または有効にされたままにされる。
【００７２】
認証公開鍵Ｋ１＿ｐｕｂは、第１のユーザ識別子ＵＩＤ1に関連して、ステップ５６においてメモリから取り出される。図１を例にとると、第１のユーザ識別子ＵＩＤ1に関連して、第１の関連付けリストに記憶された認証公開鍵が、取得される。
【００７３】
適切に並行してまたは短時間経過内に、産業用プログラマブルデバイスでの処理の前または後のいずれかに、第２のユーザ識別子ＵＩＤ2が、ユーザ識別子読取りステップ６０において、携帯用プログラマブルデバイスで読み取られる。
【００７４】
次いで、読み取られた第２のユーザ識別子ＵＩＤ2が、携帯用プログラマブルデバイス４のメモリに記憶された許可されたユーザ識別子のセットに属するかどうかが、検査ステップ６２において検査される。図１を例にとると、ステップ６２は、たとえば、ＵＩＤ2が第３のリストＬ３に属するかどうかを検査する。
【００７５】
否定的回答の場合、読み取られた第２のユーザ識別子ＵＩＤ2は、記憶されたユーザ識別子のセットに属さず、その場合、携帯用プログラマブルデバイス４の通信モジュール３０を無効にするステップ６４が、検査ステップ６２に続く。
【００７６】
一実施形態では、通信モジュール３０は、デフォルトで無効にされ、したがって、ステップ６４は、単に通信を無効にされたままにする。
【００７７】
ステップ６２での検査が肯定的であった場合、携帯用プログラマブルデバイス４が、第１の通信プロトコルを使用し、産業用プログラマブルデバイス２とデータを交換することができるように、通信モジュール３０は、有効にされる、または有効なままにされる。
【００７８】
認証秘密鍵Ｋ１＿ｐｒｉｖは、第２のユーザ識別子ＵＩＤ2に関連して、ステップ６６でメモリから取り出される。図１を例にとると、第２のユーザ識別子ＵＩＤ2に関連して、第３の関連付けリストＬ３に記憶された認証秘密鍵が、取得される。
【００７９】
次に、暗号化ステップ６８において、第２のユーザ識別子ＵＩＤ2が、認証秘密鍵Ｋ１＿ｐｒｉｖで暗号化され、暗号化されたデータ項目Ｍ１が、取得される。
【００８０】
暗号化されたデータ項目Ｍ１は、送信ステップ７０において産業用プログラマブルデバイスに送信される。
【００８１】
産業用プログラマブルデバイス２は、受信ステップ７２において、暗号化されたデータ項目Ｍ１を受信し、復号化ステップ７４において、受信された暗号化されたデータ項目Ｍ１をローカルに取り出された認証公開鍵Ｋ１＿ｐｕｂで復号化する。
【００８２】
その復号化により、復号化された第２のユーザ識別子ＵＩＤ2’が取り出される。
【００８３】
産業用プログラマブルデバイス２の認証モジュール１２は、次いで、復号化された第２のユーザ識別子ＵＩＤ2’が第１のユーザ識別子ＵＩＤ1と等しいかどうかをステップ７６で確認する。
【００８４】
確認が肯定的であった場合、同じ許可されたユーザカードが両方のデバイスで読み取られたという事実が証明され、携帯用プログラマブルデバイスとの通信を有効にするステップ７８が、確認ステップ７６に続く。
【００８５】
任意で、通信有効化の確認もまた、ステップ７８の間に携帯用通信デバイスに送信される。
【００８６】
確認が否定的であった場合、前述した通信を無効にするステップ５４が、確認ステップ７６に続く。
【００８７】
任意で、メッセージもまた、通信無効化を要求するために、携帯用通信デバイスに送信される。
【００８８】
図３は、本発明の一実施形態による産業用プログラマブルデバイスと携帯用プログラマブルデバイスとの間の電子データ交換を保護するための方法の第２の部分の主要なステップを説明する流れ図である。
【００８９】
この第２の部分は、両方のデバイスでの許可されたユーザの肯定的識別の後の産業用プロセスに関連するデータの交換に関し、それぞれのモジュール１４および３８によって実装される。
【００９０】
産業用プログラマブルデバイス２でのステップ７８に続く、交換鍵ペア初期化ステップ８０では、第１のユーザ識別子ＵＩＤ1に関連付けられた交換鍵ペア｛Ｋ２＿ｐｕｂ、Ｋ２＿ｐｒｉｖ｝が、動的に生成される。
【００９１】
一実施形態では、鍵ペアの第２のリストＬ２は、メモリに記憶され、そのリストは、疑似ランダムな方式で再シャッフルされる。セッション持続期間を監視するための時間カウンタもまた、０に初期化される。
【００９２】
第１のユーザ識別子ＵＩＤ1に関連付けられた交換公開鍵Ｋ２＿ｐｕｂが、ステップ８２で取り出され、次いで、暗号化ステップ８４の間に、携帯用プログラマブルデバイス４によって既に知られている認証公開鍵Ｋ１＿ｐｕｂで暗号化される。
【００９３】
暗号化されたデータ項目Ｍ２は、暗号化ステップ８４によって生じ、送信ステップ８６において携帯用プログラマブルデバイスに送信される。
【００９４】
暗号化されたデータ項目Ｍ２は、受信ステップ８８において携帯用プログラマブルデバイス４によって受信され、次いで、第２のユーザ識別子ＵＩＤ2に関連付けられた認証秘密鍵Ｋ１＿ｐｒｉｖで復号化ステップ９０において復号化される。
【００９５】
交換公開鍵Ｋ２＿ｐｕｂは、復号化されたデータ項目から取り出され、産業用プログラマブルデバイス２との暗号化された電子データの交換のために記憶される。
【００９６】
交換鍵ペアＫ２＿ｐｒｉｖ、Ｋ２＿ｐｕｂは、第２の安全な通信チャネルＣ２を使用する、通信セッション中に産業用プログラマブルデバイス２と携帯用プログラマブルデバイス４との間の、電子データ９２、９４の交換のために使用される。
【００９７】
通信セッションの持続期間は、ウォッチドッグ機構を使用して監視され（ステップ９６）、持続期間が所定の時間経過Ｔ、たとえばＴ＝３０分、を超えた場合、次いで、通信は、一時的に停止され、交換鍵ペア初期化のステップ８０が、前述のステップ８２から９０に続いて、再び実行される。
【００９８】
同じ鍵ペアを長く使用しすぎると、使用される鍵ペアに関する情報を盗聴者が取り出すことを許すことがあるので、したがって、暗号化された通信のために使用される交換鍵ペアは、交換されたデータの記憶および分析の起こり得る攻撃を回避するために、動的に変更される。
【００９９】
有利には、送信されるデータは暗号化されるので、そして、暗号化鍵のいずれも決して平文で（暗号化なしに）２つのデバイスの間で送信されないので、本発明の方法は、電子データの交換のセキュリティを確保する。
【０１００】
データ交換を暗号化するために使用される鍵ペアの動的更新は、通信のセキュリティをさらに向上させる。
【符号の説明】
【０１０１】
１  システム
２  産業用プログラマブルデバイス
４  携帯用プログラマブルデバイス
６  通信モジュール
８  ＷｉＦｉアンテナ
１０  処理装置
１２  ユーザ認証モジュール
１４  電子データ交換モジュール
１６  メモリ
１８  第２の通信モジュール
２０  外部ユーザ識別デバイス
２２  チップカード
３０  通信モジュール
３２  処理装置
３４  クライアントアプリケーション
３６  ユーザ認証モジュール
３８  電子データ交換モジュール
４０  ユーザインターフェース
４２  ユーザ識別デバイス
４４  ユーザ識別カード
４６  メモリ
【図１】
2017514390.tif 000003
【図２】
2017514390.tif 000004
【図３】
2017514390.tif 000005
【国際調査報告】
2017514390.tif 000006
2017514390.tif 000007
2017514390.tif 000008