CN106170963B - 在控制和自动化系统的部件间建立安全通信的装置和方法 - Google Patents

Abstract

方法包括在第一设备(202、204、302、304、306)处使用连接策略与工业过程控制和自动化系统(100)的第二设备(202、204、302、304、306)建立(408)安全关联。方法还包括一旦安全关联被建立就在第一设备处激活过程数据策略。在第一和第二类型的协商(406)期间建立安全关联。在没有第一类型的协商的情况下在第二类型的协商(412)期间激活过程数据策略。第二类型的协商比第一类型的协商快。连接策略限定了使用第一设备的非过程通信端口的设备之间的通信信道。过程数据策略限定了用于实时工业过程数据的设备之间的通信信道。第一类型的协商可以包括IKE主模式协商，并且第二类型的协商可以包括IKE快速模式协商。

Description

在控制和自动化系统的部件间建立安全通信的装置和方法

相关申请的交叉引用和优先权声明

本申请根据美国法典第35条119（e）款要求2014年2月24日提交的美国临时专利申请号61/943,806的优先权。特此通过引用整体地合并该临时专利申请。

技术领域

本公开一般地涉及工业控制和自动化系统。更具体地，本公开涉及用于在工业控制和自动化系统中的部件之间建立无缝安全通信的装置和方法。

背景技术

工业过程控制和自动化系统常常被用来使大的和复杂的工业过程自动化。这些类型的系统常规地包括诸如服务器、客户端、传感器、发射机和现场设备之类的各种部件，其被用来控制整个工业工厂和使整个工业工厂自动化。关键过程数据在这些部件之间的传送和输送在工厂操作的自动化和维护中扮演主要角色。这些部件之间的数据传输也是潜在的安全弱点。因此，认证和加密通信可以被用来维护工厂操作，而没有任何有意或无意的干扰。

发明内容

本公开提供用于在工业控制和自动化系统中的部件之间建立无缝安全通信的装置和方法。

在第一实施例中，方法包括在第一设备处使用连接策略与工业过程控制和自动化系统的第二设备建立安全关联。方法还包括一旦安全关联被建立就在第一设备处激活过程数据策略。在第一和第二类型的协商期间建立安全关联，并且在没有第一类型的协商的情况下在第二类型的协商期间激活过程数据策略，其中第二类型的协商比第一类型的协商快。连接策略限定了使用第一设备的非过程通信端口的设备之间的通信信道。过程数据策略限定了用于实时工业过程数据的设备之间的通信信道。

在第二实施例中，装置包括第一分布式控制系统（DCS）设备，其包括至少一个接口和至少一个处理设备。至少一个接口被配置成与第二DCS设备通信。至少一个处理设备被配置成使用连接策略与第二DCS设备建立安全关联。至少一个处理设备还被配置成一旦安全关联被建立就激活过程数据策略。至少一个处理设备被配置成在第一和第二类型的协商期间建立安全关联，以及在没有第一类型的协商的情况下在第二类型的协商期间激活过程数据策略，其中第二类型的协商比第一类型的协商快。连接策略限定了使用第一DCS设备的非过程通信端口的DCS设备之间的通信信道。过程数据策略限定了用于实时工业过程数据的DCS设备之间的通信信道。

在第三实施例中，非瞬时计算机可读介质体现计算机程序。计算机程序包括用于在第一设备处使用连接策略与工业过程控制和自动化系统的第二设备建立安全关联的计算机可读程序代码。计算机程序还包括用于一旦安全关联被建立就在第一设备处激活过程数据策略的计算机可读程序代码。在第一和第二类型的协商期间建立安全关联，并且在没有第一类型的协商的情况下在第二类型的协商期间激活过程数据策略，其中第二类型的协商比第一类型的协商快。连接策略限定了使用第一设备的非过程通信端口的设备之间的通信信道。过程数据策略限定了用于实时工业过程数据的设备之间的通信信道。

根据以下的图、说明书和权利要求书，其他技术特征对本领域技术人员而言可能是容易地显然的。

附图说明

为了更彻底地理解本公开，现在参考结合附图采取的以下描述，在所述附图中：

图1图示了根据本公开的示例工业过程控制和自动化系统；

图2图示了根据本公开的用于在工业过程控制和自动化系统中的部件之间建立无缝安全通信的示例技术；

图3图示了根据本公开的用于在工业过程控制和自动化系统中的部件之间发起安全信道协商的示例技术；以及

图4图示了根据本公开的用于在工业过程控制和自动化系统中的部件之间建立无缝安全通信的示例方法。

具体实施方式

下面讨论的图1到4和用来描述本专利文档中的本发明的原理的各种实施例仅被作为说明，并且不应该被以任何方式解释成限制本发明的范围。本领域那些技术人员将理解可以在任何类型的被适当地布置的设备或系统中实现本发明的原理。

图1图示了根据本公开的示例工业过程控制和自动化系统100。如图1中示出的那样，系统100包括促进至少一个产品或其他材料的生产或处理的各种部件。例如，在这里使用系统100来促进对一个或多个工厂101a、101b…101n中的部件的控制。每个工厂101a、101b…101n表示一个或多个处理设施（或其一个或多个部分），诸如用于生产至少一个产品或其他材料的一个或多个制造设施。一般地，每个工厂101a、101b…101n可以实现一个或多个过程并且可以单独地或共同地被称为过程系统。过程系统一般表示被配置成以某方式处理一个或多个产品或其他材料的任何系统或其部分。

在图1中，使用过程控制的普渡（Purdue）模型来实现系统100。在普渡模型中，“级别0”可以包括一个或多个传感器102a以及一个或多个致动器102b。传感器102a和致动器102b表示可以执行种种功能中的任何功能的过程系统中的部件。例如，传感器102a可以测量过程系统中的种种特性，诸如温度、压力或流速。并且，致动器102b可以变更过程系统中的种种特性。传感器102a和致动器102b可以表示在任何适当的过程系统中的任何其他或附加部件。传感器102a中的每个包括用于测量过程系统中的一个或多个特性的任何适当的结构。致动器102b中的每个包括用于对过程系统中的一个或多个条件起作用或影响过程系统中的一个或多个条件的任何适当的结构。

至少一个网络104被耦合到传感器102a和致动器102b。网络104促进与传感器102a和致动器102b的交互。例如，网络104可以输送来自传感器102a的测量数据并向致动器102b提供控制信号。网络104可以表示任何适当的网络或网络的组合。作为特定示例，网络104可以表示以太网、电信号网络（诸如HART或基金会现场总线（FOUNDATION FIELDBUS）网络）、气动控制信号网络或（一个或多个）任何（一个或多个）其他或附加类型的网络。

在普渡模型中，“级别1”可以包括一个或多个控制器106，其被耦合到网络104。除了其他东西之外，每个控制器106还可以使用来自一个或多个传感器102a的测量结果来控制一个或多个致动器102b的操作。例如，控制器106可以从一个或多个传感器102a接收测量数据并使用测量数据来生成用于一个或多个致动器102b的控制信号。每个控制器106包括用于与一个或多个传感器102a交互并控制一个或多个致动器102b的任何适当的结构。每个控制器106可以例如表示多变量控制器，诸如鲁棒多变量预测控制技术（RMPCT）控制器，或者实现模型预测控制（MPC）或其他先进的预测控制（APC）的其他类型的控制器。作为特定示例，每个控制器106可以表示运行实时操作系统的计算设备。

两个网络108被耦合到控制器106。网络108诸如通过向控制器106输送数据和输送来自控制器106的数据来促进与控制器106的交互。网络108可以表示任何适当的网络或网络的组合。作为特定示例，网络108可以表示一对以太网或一对冗余以太网，诸如来自霍尼韦尔国际有限公司（HONEYWELL INTERNATIONAL INC.）的容错以太网（FTE）网络。

至少一个交换机/防火墙110将网络108耦合到两个网络112。交换机/防火墙110可以将业务从一个网络输送到另一网络。交换机/防火墙110还可以阻止一个网络上的业务到达另一网络。交换机/防火墙110包括用于提供网络之间的通信的任何适当的结构，诸如霍尼韦尔控制防火墙（CF9）设备。网络112可以表示任何适当的网络，例如一对以太网或FTE网络。

在普渡模型中，“级别2”可以包括被耦合到网络112的一个或多个机器级控制器114。机器级控制器114执行各种功能以支持控制器106、传感器102a和致动器102b的操作和控制，其可以与一件（piece）特定的工业装备（诸如锅炉或其他机器）相关联。例如，机器级控制器114可以日志记录由控制器106收集或生成的信息，诸如来自传感器102a的测量数据或用于致动器102b的控制信号。机器级控制器114还可以执行控制控制器106的操作的应用，因此控制致动器102b的操作。另外，机器级控制器114可以提供对控制器106的安全访问。机器级控制器114中的每个包括用于提供对机器或其他单件（individual piece）装备的访问、控制或与机器或其他单件装备相关的操作的任何适当的结构。机器级控制器114中的每个可以例如表示运行MICROSOFT WINDOWS操作系统的服务器计算设备。尽管未被示出，但不同的机器级控制器114可以被用来控制过程系统中的不同件装备（其中每件装备与一个或多个控制器106、传感器102a和致动器102b相关联）。

一个或多个操作员站116被耦合到网络112。操作员站116表示提供对机器级控制器114的用户访问的计算或通信设备，其然后可以提供对控制器106（并且可能对传感器102a和致动器102b）的用户访问。作为特定示例，操作员站116可以允许用户使用由控制器106和/或机器级控制器114收集的信息来回顾传感器102a和致动器102b的操作历史。操作员站116还可以允许用户调整传感器102a、致动器102b、控制器106或机器级控制器114的操作。另外，操作员站116可以接收和显示由控制器106或机器级控制器114生成的提醒、警告或其他消息或显示。操作员站116中的每个包括用于支持对系统100中的一个或多个部件的用户访问和控制的任何适当的结构。操作员站116中的每个可以例如表示运行MICROSOFTWINDOWS操作系统的计算设备。

至少一个路由器/防火墙118将网络112耦合到两个网络120。路由器/防火墙118包括用于提供网络之间的通信的任何适当的结构，诸如安全路由器或组合路由器/防火墙。网络120可以表示任何适当的网络，诸如一对以太网或FTE网络。

在普渡模型中，“级别3”可以包括被耦合到网络120的一个或多个单元级控制器122。每个单元级控制器122通常与过程系统中的单元相关联，所述单元表示一起操作以至少实现过程的部分的不同机器的集合。单元级控制器122执行各种功能以支持较低级别中的部件的操作和控制。例如，单元级控制器122可以日志记录由较低级别中的部件收集或生成的信息、执行控制较低级别中的部件的应用，并提供对较低级别中的部件的安全访问。单元级控制器122中的每个包括用于提供对过程单元中一个或多个机器或其他件装备的访问、控制或与过程单元中一个或多个机器或其他件装备相关的操作的任何适当的结构。单元级控制器122中的每个可以例如表示运行MICROSOFT WINDOWS操作系统的服务器计算设备。尽管未被示出，但不同的单元级控制器122可以被用来控制过程系统中的不同单元（其中每个单元与一个或多个机器级控制器114、控制器106、传感器102a和致动器102b相关联）。

对单元级控制器122的访问可以由一个或多个操作员站124提供。操作员站124中的每个包括用于支持对系统100中的一个或多个部件的用户访问和控制的任何适当的结构。操作员站124中的每个可以例如表示运行MICROSOFT WINDOWS操作系统的计算设备。

至少一个路由器/防火墙126将网络120耦合到两个网络128。 路由器/防火墙126包括用于提供网络之间的通信的任何适当的结构，诸如安全路由器或组合路由器/防火墙。网络128可以表示任何适当的网络，诸如一对以太网或FTE网络。

在普渡模型中，“级别4”可以包括被耦合到网络128的一个或多个工厂级控制器130。每个工厂级控制器130通常与可以包括实现相同、类似或不同过程的一个或多个过程单元的工厂101a、101b…101n中的一个相关联。工厂级控制器130执行各种功能以支持较低级别中的部件的操作和控制。作为特定示例，工厂级控制器130可以执行一个或多个制造执行系统（MES）应用、调度应用或者其他或附加的工厂或过程控制应用。工厂级控制器130中的每个包括用于提供对过程工厂中的一个或多个过程单元的访问、控制或与过程工厂中的一个或多个过程单元相关的操作的任何适当的结构。工厂级控制器130中的每个可以例如表示运行MICROSOFT WINDOWS操作系统的服务器计算设备。

对工厂级控制器130的访问可以由一个或多个操作员站132提供。操作员站132中的每个包括用于支持对系统100中的一个或多个部件的用户访问和控制的任何适当的结构。操作员站132中的每个可以例如表示运行MICROSOFT WINDOWS操作系统的计算设备。

至少一个路由器/防火墙134将网络128耦合到一个或多个网络136。路由器/防火墙134包括用于提供网络之间的通信的任何适当的结构，诸如安全路由器或组合路由器/防火墙。网络136可以表示任何适当的网络，诸如企业范围的以太网或其他网络或者更大网络（诸如因特网）的全部或一部分。

在普渡模型中，“级别5”可以包括被耦合到网络136的一个或多个企业级控制器138。每个企业级控制器138通常能够执行针对多个工厂101a、101b…101n的计划操作并能够控制工厂101a、101b…101n的各种方面。企业级控制器138还可以执行各种功能以支持工厂101a、101b…101n中的部件的操作和控制。作为特定示例，企业级控制器138可以执行一个或多个订单（order）处理应用、企业资源计划（ERP）应用、先进的计划和调度（APS）应用或者任何其他或附加的企业控制应用。企业级控制器138中的每个包括用于提供对一个或多个工厂的访问、控制或与对一个或多个工厂的控制相关的操作的任何适当的结构。企业级控制器138中的每个可以例如表示运行MICROSOFT WINDOWS操作系统的服务器计算设备。在本文档中，术语“企业”指要管理一个或多个工厂或其他处理设施的组织。请注意，如果要管理单个工厂101a，则企业级控制器138的功能可以被结合到工厂级控制器130中。

对企业级控制器138的访问可以由一个或多个操作员站140提供。操作员站140中的每个包括用于支持对系统100中的一个或多个部件的用户访问和控制的任何适当的结构。操作员站140中的每个可以例如表示运行MICROSOFT WINDOWS操作系统的计算设备。

普渡模型的各个级别可以包括其他部件，诸如一个或多个数据库。与每个级别相关联的（一个或多个）数据库可以存储与该级别或者系统100的一个或多个其他级别相关联的任何适当的信息。例如，历史装置（historian）141可以被耦合到网络136。历史装置141可以表示存储关于系统100的各种信息的部件。历史装置141可以例如存储在生产调度和优化期间所使用的信息。历史装置141表示用于存储信息和促进对信息的检索的任何适当的结构。尽管被示出为耦合到网络136的单个集中式部件，但历史装置141可以位于系统100中的其他地方，或者多个历史装置可以被分布在系统100中的不同位置中。

在特定实施例中，图1中的各种控制器和操作员站可以表示计算设备。例如，控制器中的每个可以包括一个或多个处理设备142和用于存储由（一个或多个）处理设备142使用、生成或收集的指令和数据的一个或多个存储器144。控制器中的每个还可以包括至少一个网络接口146，诸如一个或多个以太网接口或无线收发机。并且，操作员站中的每个可以包括一个或多个处理设备148和用于存储由（一个或多个）处理设备148使用、生成或收集的指令和数据的一个或多个存储器150。操作员站中的每个还可以包括至少一个网络接口152，诸如一个或多个以太网接口或无线收发机。

如上面提及的那样，安全是工业过程控制和自动化系统中的关注点，并且图1中的各种部件可能需要认证和加密通信的高度安全模式以便维护工厂操作而没有有意或无意的干扰。部件之间的安全通信常常涉及使用一组方法和协议来提供对部件之间传输的数据的认证和加密。因特网协议安全（IPsec）组是用于保护因特网协议（IP）通信的协议组的一个示例。IPsec通过对通信会话的每个IP分组认证和加密而进行操作。

安全通信协议提供各种方式，用于在通信会话的开始处在设备之间建立交互认证以及用于协商将在通信会话期间使用的密码密钥。协商和建立安全通信信道需要的时间常常是不确定的并且取决于各种因素，诸如当前网络业务、丢失的分组、传输失败、系统资源（诸如CPU/RAM资源）以及“双协商抖动（thrashing）”。双协商抖动指如下情况：其中两个设备同时或者几乎同时开始相互协商，导致协商失败和重试。这可能频繁地发生在非客户端/服务器环境中，诸如在工业过程控制和自动化系统中（由于多个控制应用可能发起需要在安全策略下认证和加密的数据传输）。

这些因素可以导致用于建立安全通信通道的显著较长的时间。因此，实时和历史过程数据可能丢失。实时过程数据值的突然不可用性可能导致不想要的扰动，诸如假警报、无效的操作员（operator）显示或者工业过程的一部分中的安全性和安全弱点（其可能引起收入的损失或者工厂停工）。

本公开提供了用于在工业过程控制和自动化系统内建立安全通信的技术。例如，可以在过程数据策略之前使用连接策略在设备之间建立安全关联。在本公开中，“连接策略”指使用特定的非过程通信端口和发送/接收非过程数据消息的设备之间的安全通信信道。“过程数据策略”指用于实时分布式控制系统（DCS）过程数据的设备之间的安全通信信道。过程数据策略限定了所保护的系统拓扑并且确定了哪些节点将被保护、哪些节点可以相互通信、策略激活时间以及如何传递数据（诸如明文、仅认证或者认证和加密）。在某些实施例中，过程数据策略可以由安全管理员或者其他用户来配置。

由于可以使用连接策略在设备之间建立安全关联，系统100已经认证了对等设备并且可以在过程数据策略被部署时将已经建立的安全关联用于协商和密钥交换。这降低协商抖动、增加系统可用性并降低或最小化对过程数据发布的中断。这可能在各种情况下是有用的，诸如从不安全工业过程控制和自动化系统到安全工业过程控制和自动化系统的在线迁移期间。在该情况下，系统100中的设备从使用不安全通信信道切换到安全通信信道，同时理想地最小化在切换到安全通信期间的过程数据的丢失。

作为特定示例，考虑使用IPsec作为协议组的系统。在因特网密钥交换（IKE）中，设备之间的协商发生在两个步骤中。主模式（MM）协商对将被保护的对等体（peer）进行认证和/或加密，而快速模式（QM）协商标识将被用来保护对等体之间业务的算法。QM协商花费比MM加上QM协商显著地少的时间，因此减小在所保护的节点之间丢失过程数据的可能性。根据本公开，IKE阶段1涉及认证IPsec对等体和建立IKE全局MM协商，作为连接策略部分。在DCS过程数据策略的部署之前完成该阶段。这继而可能导致仅IKE阶段2，QM协商被用于过程数据策略部署。

这里描述的方法可以建立安全通信信道，同时通过帮助确保只有一个设备发起两个设备之间的协商来降低或者避免双协商抖动。这常常是客户端-服务器架构中的情况，其中客户端将通常是发起者。在以不安全方式运行的DCS中，过程数据通常由许多或者所有节点发布。一般地，为了保证只有一个发起者，系统将不得不暂停所有过程数据发布。根据本公开，单独的策略以确定的方式提前执行认证而不影响过程数据发布。这里描述的方法还帮助确保在部署过程数据策略之前成功地建立安全关联。在对等体认证发生和安全信道被建立时，可能存在很少或不存在过程数据发布的中断。

在某些实施例中，系统100在对过程数据策略的任何改变之前使用连接策略来创建单独的安全信道，并在过程数据策略改变被协商之后终止通道。在其他实施例中，系统100保持连接策略安全通道活动（对于IPsec解决方案，这可以通过发送周期性的非过程数据消息来实现）。对于基于IPsec的解决方案，连接策略安全信道可以在与任何过程数据通信端口分离的端口上是开放的。

下面提供关于该功能的附加细节。请注意虽然下面被描述为涉及两个或者三个设备，但该功能可以被用在包含任何适当的数量的设备的任何适当的系统中。

尽管图1图示了工业过程控制和自动化系统100的一个示例，但可以对图1做出各种改变。例如，控制系统可以包括任何数量的传感器、致动器、控制器、服务器、操作员站、网络和其他部件。并且，图1中的系统100的组成和布置仅用于说明。根据特定需要，可以以任何其他适当的配置添加、省略、组合或者放置部件。进一步地，特定功能已经被描述为由系统100的特定部件执行。这仅用于说明。一般地，过程控制系统是高度可配置的并且可以根据特定需要以任何适当的方式被配置。另外，图1图示了其中可以使用在部件之间建立无缝安全通信的示例环境。可以在任何其他适当的设备或者系统中使用该功能。

图2图示了根据本公开的用于在工业过程控制和自动化系统中的部件之间建立无缝安全通信的示例技术。特别地，图2图示了使用基于IPsec的解决方案实现的示例技术，尽管其他协议也可以被使用。

如图2中示出的那样，可以如下面描述的那样来保护两个DCS设备202-204之间的通信。DCS设备202-204可以表示DCS中的任何适当的设备，诸如图1中示出的控制器、操作员站或者其他部件中的任何。DCS设备202-204在这里被指派两个网络地址（X.X.X.1和X.X.X.2），尽管这些地址仅用于说明。

当DCS设备202向DCS设备204传输非过程数据消息206时发起图2中示出的技术。非过程数据消息206表示发起DCS设备202-204之间的安全信道协商并被发送到一般不被用于发送/接收DCS过程相关的数据的DCS设备204的端口的数据消息。消息206调用DCS设备202-204之间的IKE主模式（MM）协商208，其可以发生在较长的时间段210上。这随后是IKE快速模式（QM）协商212，其可以发生在较短的时间段214上。MM协商208和QM协商212可以如IKE标准中限定的那样发生。这样，连接策略可以被用在DCS设备202-204之间以在DCS设备202-204之间建立安全关联。

在完成MM协商208和QM协商212之后，可以使用已经在DCS设备202-204之间建立的安全关联来部署过程数据策略。因为安全关联已经被建立，所以过程数据策略可以使用QM协商216来建立，所述QM协商216可以发生在比连接策略需要的组合时间段短的时间段218上。

在QM协商216的完成之前，DCS设备202-204可以传送作为明文（未经加密的数据）的过程相关的数据。在QM协商216的完成时，DCS设备202-204被认证并可以传送作为经加密的数据的过程相关的数据。

在本示例中，可以诸如由用户配置一个或多个过程数据策略。系统可以将过程数据策略部署到各种设备，诸如到将被保护的所有设备。任何适当的技术可以被用来配置或者限定用于DCS设备的过程数据策略。系统还使用连接策略在设备之间建立安全关联。一旦安全关联被建立，系统就诸如根据所配置的激活时间激活过程数据策略。在某些实施例中，过程数据策略可以适用于设备的所有端口和所有TCP/IP通信（或者基于其他网络的通信）。请注意仅QM协商可能被需要用于过程数据策略，因为先前在（在安全关联的建立期间的）前述步骤中发生了MM协商。

当一个设备202在特定的非过程通信端口上向将被保护的另一设备204发送一个或多个非过程数据消息206时，可以建立设备之间的安全关联。这可以发起IKE协商，其建立MM和QM。非过程端口可以表示不被任何DCS应用使用并且不影响过程数据通信的端口。为了避免两个设备之间的双IKE MM协商抖动，只有一个设备可以发起协商。例如，具有较低的IP地址的设备可以发送第一消息来开始IKE协商。在图3中示出了这的示例，其中（被指派网络地址X.X.X.1、X.X.X.2和X.X.X.3的）三个DCS设备302、304、306从具有较低网络地址的设备向具有较高网络地址的设备发起IKE协商。

请注意在图2中示出的方法中，连接策略而不是过程数据策略被用于建立安全关联。这由于在典型的非客户端/服务器环境中的实时过程数据发布的性质和对多个控制应用的不利影响影响而被完成。例如，仅用以建立安全通信的过程数据策略的使用可以要求在连接的另一端上暂停过程通信。连接策略的使用帮助避免该类型的问题。

尽管图2图示了用于在工业过程控制和自动化系统中的部件之间建立无缝安全通信的技术的一个示例，但可以对图2做出各种改变。并且，尽管图3图示了用于在工业过程控制和自动化系统中的部件之间发起安全信道协商的技术的一个示例，但可以对图3做出各种改变。例如，在图2中示出的时间的相对长度仅用于说明。作为另一示例，虽然安全信道协商在图3中被示出为由具有较低IP地址的设备发起，但其他技术可以被用来避免协商抖动。例如，具有较高IP地址的设备可以发送第一个消息以开始IKE协商。

图4图示了根据本公开的用于在工业过程控制和自动化系统中的部件之间建立无缝安全通信的示例方法400。为了解释的容易，关于在图1的系统100中运转的DCS设备202-204来描述方法400。可以由任何其他适当的设备和在任何其他适当的系统中使用方法400。

如图4中示出的那样，在步骤402处，将连接策略配置用于DCS设备。这可以包括例如用户限定将被用在DCS设备202-204之间的安全通信信道的类型。在步骤404处，发起DCS设备之间的协商。这可以包括例如DCS设备202向DCS设备204的特定的非过程通信端口传输非过程数据消息206。这使得在步骤406处DCS节点参与主模式和快速模式协商。在步骤408处，这些协商使用连接策略的通信信道在DCS设备之间建立安全关联。在步骤410处，将过程数据策略部署到DCS设备。这可以包括例如DCS节点202-204从任何适当的源接收限定过程数据策略的信息。这使得在步骤412处DCS节点参与快速模式协商（而不是主模式协商）。

在该点处，在DCS设备之间建立了安全通信信道，并且在步骤414处以安全的方式在DCS设备之间交换过程相关的数据。这可以包括例如DCS节点202-204交换经加密的数据消息。DCS设备202-204可以在过程数据策略的部署之前以不安全的方式通信，并且在过程数据策略的部署之后以安全的方式通信。理想地，在从不安全通信到安全通信的转换期间，很少或者没有过程相关的数据丢失。

尽管图4图示了用于在工业过程控制和自动化系统中的部件之间建立无缝安全通信的方法400的一个示例，但可以对图4做出各种改变。例如，虽然被示出为一系列步骤，但图4中的各种步骤可以重叠、并行地发生、以不同的顺序发生或者发生任何次数。

在某些实施例中，通过计算机程序实现或支持在本专利文档中描述的各种功能，所述计算机程序由计算机可读程序代码形成并被体现在计算机可读介质中。短语“计算机可读程序代码”包括任何类型的计算机代码，其包括源代码、目标代码和可执行代码。短语“计算机可读介质”包括能够由计算机访问的任何类型的介质，诸如只读存储器（ROM）、随机访问存储器（RAM）、硬盘驱动器、压缩盘（CD）、数字视频盘（DVD）或任何其他类型的存储器。“非瞬时”计算机可读介质排除了输送瞬时电信号或其他信号的有线的、无线的、光学的或者其他的通信链路。非瞬时计算机可读介质包括其中数据可以被永久地存储的介质和其中数据可以被存储并稍后被覆写的介质，诸如可重写光盘或者可擦除存储器设备。

阐述贯穿本专利文档使用的某些词和短语的定义可能是有利的。术语“应用”和“程序”指被适配用于以适当的计算机代码（包括源代码、目标代码或可执行代码）实现的一个或多个计算机程序、软件部件、指令集、过程、函数、对象、类、实例、相关数据或它们的一部分。术语“通信”以及其派生词包括直接通信和间接通信两者。术语“包括”和“包含”以及其派生词意味着没有限制的包括。术语“或”是包括的，意味着和/或。短语“与……相关联”以及其派生词可以意味着包括、被包括在……内、与……互连、包含、被包含在……内、连接到……或与……连接、耦合到……或与……耦合、可与……通信、与……协作、交错、并列、接近、被绑定到……或与……绑定、具有、具有……的属性、和……有关系或与……有关系等。短语“……中的至少一个”在与项目的列表一起使用时意味着所列项目中的一个或多个的不同组合可以被使用，并且仅列表中的一个项目可能被需要。例如，“以下中的至少一个：A、B和C”包括以下组合中的任何：A、B、C、A和B、A和C、B和C以及A和B和C。

虽然本公开已经描述了某些实施例和一般地关联的方法，但对这些实施例和方法的变更和置换对本领域那些技术人员而言将是显然的。因此，对示例实施例的上面的描述不限定或约束本公开。在不脱离如由以下权利要求书限定的本公开的精神和范围的情况下，其他改变、代替和变更也是可能的。

Claims (15)

1.一种用于工业控制和自动化系统中的部件之间的通信的方法包括：

在第一设备（202、204、302、304、306）处使用连接策略与工业过程控制和自动化系统（100）的第二设备（202、204、302、304、306）建立（408）安全关联；以及

一旦安全关联被建立，就在第一设备处激活过程数据策略；

其中在第一类型的协商期间建立安全关联和在第一类型的协商之后的第二类型的协商（406）期间建立安全关联，以及其中在第二类型的协商（412）期间激活过程数据策略，第二类型的协商比第一类型的协商快；

其中连接策略限定了使用第一设备的非过程通信端口的设备之间的通信信道；以及

其中过程数据策略限定了用于实时工业过程数据的设备之间的通信信道。

2.根据权利要求1所述的方法，其中：

第一类型的协商包括因特网密钥交换（IKE）主模式协商；以及

第二类型的协商包括IKE快速模式协商。

3.根据权利要求1所述的方法，进一步包括：

从第一设备向第二设备发送（404）数据消息以发起安全关联的建立，第一设备将数据消息导向到第二设备的非过程通信端口。

4.根据权利要求3所述的方法，进一步包括：

确定第一设备具有比第二设备低的网络地址；

其中响应于确定第一设备具有较低的网络地址而将数据消息发送到第二设备。

5.根据权利要求1所述的方法，进一步包括：

在第一设备处从第二设备接收数据消息以发起安全关联的建立，第一设备在第一设备的非过程通信端口处接收数据消息。

6.根据权利要求1所述的方法，其中：

在激活过程数据策略之前，第一设备使用未经加密的数据消息与第二设备通信；以及

在激活过程数据策略之后，第一设备使用经加密的数据消息与第二设备通信。

7.根据权利要求1所述的方法，其中在过程数据策略的激活期间，没有中断来自第二设备的过程数据发布。

8.根据权利要求1所述的方法，其中在第一和第二设备处同时激活过程数据策略。

9.一种用于工业控制和自动化系统中的部件之间的通信的装置，包括第一分布式控制系统（DCS）设备（202、204、302、304、306），第一DCS设备包括：

至少一个接口（146、152），其被配置成与第二DCS设备（202、204、302、304、306）通信；以及

至少一个处理设备（142、148），其被配置成：

使用连接策略与第二DCS设备建立安全关联；以及

一旦安全关联被建立，就激活过程数据策略；

其中至少一个处理设备被配置成在第一类型的协商期间建立安全关联和在第一类型的协商之后的第二类型的协商期间建立安全关联，以及在第二类型的协商期间激活过程数据策略，第二类型的协商比第一类型的协商快；

其中连接策略限定了使用第一DCS设备的非过程通信端口的DCS设备之间的通信信道；以及

其中过程数据策略限定了用于实时工业过程数据的DCS设备之间的通信信道。

10.根据权利要求9所述的装置，其中：

第一类型的协商包括因特网密钥交换（IKE）主模式协商；以及

第二类型的协商包括IKE快速模式协商。

11.根据权利要求9所述的装置，其中：

至少一个处理设备被进一步配置成发起数据消息到第二DCS设备的传输以发起安全关联的建立；以及

至少一个接口被进一步配置成将数据消息导向到第二DCS设备的非过程通信端口。

12.根据权利要求9所述的装置，其中至少一个处理设备被进一步配置成经由至少一个接口从第二DCS设备接收数据消息以发起安全关联的建立。

13.根据权利要求9所述的装置，其中第一DCS设备包括工业过程控制器（106、114、122、130、138）。

14.一种计算机可读介质，其存储有计算机程序，所述计算机程序包括计算机可读程序代码，用于：

在第一设备（202、204、302、304、306）处使用连接策略与工业过程控制和自动化系统（100）的第二设备（202、204、302、304、306）建立（408）安全关联；以及

一旦安全关联被建立，就在第一设备处激活过程数据策略；

其中在第一类型的协商期间建立安全关联和在第一类型的协商之后的第二类型的协商（406）期间建立安全关联，以及其中在第二类型的协商（412）期间激活过程数据策略，第二类型的协商比第一类型的协商快；

其中连接策略限定了使用第一设备的非过程通信端口的设备之间的通信信道；以及

其中过程数据策略限定了用于实时工业过程数据的设备之间的通信信道。

15.根据权利要求14所述的计算机可读介质，其中：

第一类型的协商包括因特网密钥交换（IKE）主模式协商；以及

第二类型的协商包括IKE快速模式协商。