CN107852400B - 自防御智能现场装置及体系结构 - Google Patents

Abstract

一种自动化系统，包括在自动化工厂内操作的本地威胁信息服务器和在自动化工厂的控制层处操作的多个现场装置。本地威胁信息服务器被配置为：从一个或多个外部源接收威胁信息、从一个或多个内部源接收工厂信息、根据威胁信息和工厂信息中的一个或多个设置威胁级别以及将威胁级别的指示分发给一个或多个控制层装置。每个相应的现场装置被配置为：接收威胁级别的指示、识别对应于威胁级别的一个或多个安全操作以及执行一个或多个安全操作。

Description

自防御智能现场装置及体系结构

技术领域

本发明主要涉及用于自防御智能现场装置和体系结构的系统、方法和设备。所公开的技术可应用于例如在工业生产环境中实现和/或增强安全性。

背景技术

改善工业控制系统的安全状态是一个活跃的研究领域。目前大部分针对普渡模型(Purdue model)的最低级别(尤其是控制和现场级别)提供的具体解决方案都局限于通过网络过滤技术(诸如防火墙)来专注于保护外围的外部控制。主要由于缺乏灵活性以支持超出制造厂内置的安全特征的部署，所以控制器、传感器和致动器不是安全感知装置。对当前安全状态缺乏感知阻碍了大大增加此类装置的可存活率的自动响应事件。实际上，外围保护是用于保护工业控制系统的唯一真正有效的措施意味着可编程逻辑控制器(PLC)不能在本质上高度暴露的环境(例如，网络军事系统，或可利用现有待管理连接选项的远程位置)中存活。

构成现有技术差距的另一方面是智能现场装置提供附加的连接和处理能力，但是可用的默认安全特征并不处于同一级别。尽管在可用于工业装置的计算能力方面有日益增长的趋势，但是只有非常有限数量的与用户和装置识别和授权相关的功能是可用的。目前现有的工业装置在允许添加安全特征方面也不灵活(不能部署附加的安全特征并且没有考虑攻击检测或响应特征)。

发明内容

本发明的实施例通过提供与自防御智能现场装置和体系结构相关的方法、系统和设备来解决和克服上述缺点和不足中的一个或多个。所提出的自防御智能现场装置增加了接收、处理和提供其本身和直接连接的对等装置的安全相关状态的能力，以便对工厂处或控制系统网络的一部分处提高了的安全状况作出反应。

根据本发明的一些实施例，自动化系统包括在自动化工厂内操作的本地威胁信息服务器和在自动化工厂的控制层处操作的现场装置。本地威胁信息服务器被配置为：从一个或多个外部源接收威胁信息、从一个或多个内部源接收工厂信息、根据威胁信息和工厂信息中的一个或多个设置威胁级别以及将威胁级别的指示分发给一个或多个控制层装置。每个相应的现场装置被配置为：接收威胁级别的指示、识别对应于威胁级别的一个或多个安全操作(例如，应用访问控制列表)以及执行那些安全操作。由相应的现场装置执行的安全操作可包括：例如，将安全相关信息(例如，日志记录信息)传输到本地威胁信息服务器和/或自动化系统外部的计算机、基于从其它现场装置接收的过程信息确认一个或多个过程变量和/或与一个或多个其它现场装置通信以激活工厂关闭模式，该工厂关闭模式将现场装置中的每个现场装置置于安全状态中。

在前述系统的一些实施例中，每个现场装置配置有附加功能。例如，在一些实施例中，每个相应的现场装置还被配置为响应于安全操作对所接收的通信执行深度包检测。在其它实施例中，每个相应的现场装置包括根据安全操作激活的现场级装置嵌入式单向网关。例如，现场级装置嵌入式单向网关可被配置为阻挡从在控制层外部操作的装置接收的通信数据包。在其它实施例中，每个相应的现场装置还被配置为响应于安全操作来激活安全模式，以便防止在没有对相应的现场装置进行物理访问的情况下修改相应的现场装置中的网络设置。

根据本发明的其它实施例，用于对在自动化工厂内操作的现场装置执行安全操作的方法包括：现场装置接收自动化工厂的指定威胁级别的指示。现场装置识别对应于指定威胁级别的一个或多个安全操作并执行该安全操作。在一些实施例中，方法可包括附加特征。例如，在一些实施例中，方法还包括现场装置根据安全操作激活现场级装置嵌入式单向网关。在一些实施例中，方法包括现场装置响应于安全操作对所接收的通信包执行深度包检测。在一些实施例中，方法还包括响应于安全操作激活安全模式，该安全模式防止在没有对现场装置进行物理访问的情况下修改现场装置中的网络设置。

上述方法中使用的安全操作可根据本发明的不同实施例而变化。例如，在一些实施例中，安全操作包括将访问控制列表应用于由相应的现场装置发送和接收的通信。在一些实施例中，安全操作包括收集安全相关信息(例如，日志记录信息)并将安全相关信息传输到本地威胁信息服务器。在一些实施例中，除了被传输到本地威胁信息服务器之外(或作为对本地威胁信息服务器的替代)，安全相关信息还被传输到外部威胁信息源。在其它实施例中，安全操作包括与其它现场装置通信以接收过程信息；以及基于该过程信息确认过程变量。在其它实施例中，安全操作包括与其它现场装置通信以激活工厂关闭模式，该工厂关闭模式将现场装置和其它现场装置置于安全状态中。

在上述方法的其它实施例中，方法还包括本地威胁信息服务器从一个或多个外部源接收威胁信息并且从一个或多个内部源接收工厂信息。本地威胁信息服务器根据威胁信息和工厂信息中的一个或多个设置指定威胁级别，并将指定威胁级别的指示分发给现场装置。

根据本发明的其它实施例，用于对自动化工厂内的现场装置执行安全操作的制品包括非暂时性有形计算机可读介质，该非暂时性有形计算机可读介质保存用于执行具有或不具有上述附加特征的上述方法的计算机可执行指令。

根据以下参考附图进行的例示实施例的详细描述，本发明的附加特征和优点将变得显而易见。

附图说明

当结合附图阅读以下详细描述时，可最好地理解本发明的前述和其它方面。为了说明本发明，在附图中示出目前优选的实施例，但是应当理解，本发明不限于所公开的具体手段。附图包括以下各图：

图1示出根据一些实施例的、示出具有在网络攻击期间交互以实现期望行为的具体部件的体系结构的系统图；

图2提供根据一些实施例的、待直接加载到智能现场装置的程序存储器中的自防御安全应用程序的图示；

图3示出可用于表示自动化系统操作的警报状态的四个可能的DEFCON级别；以及

图4提供应用本文所述的一些技术的示例情形。

具体实施方式

本文描述了系统、方法和设备，其主要涉及通过提供对智能现场装置的高级情境感知和主动响应来增强工业控制系统的稳定性和安全性，即使在对工厂的自动化基础设施进行最严重和有针对性的攻击时，也能显著降低生产中断的机会。本文所述的统称为自防御智能现场装置和体系结构(SD-SFD)的技术主要专注于在装置级自动化基础设施处引入自主响应，而不是被动地仅依赖于现有的外部网络安全部件(例如，防火墙、入侵预防系统)。这些技术假定装置级的嵌入式处理能力可用于扩展现有技术可用的恶意代理遏制资源，并提供自动决策，以作为对整个工厂安全状况变化的响应，从而显著提高对不同的安全攻击的存活的能力。

图1示出根据一些实施例的、示出具有在网络攻击期间交互以实现期望行为的具体部件的体系结构100的系统图。体系结构100包括智能现场装置105、110、115、120、125以及130。本文所使用的术语“智能现场装置”是指用额外的计算和通信特征增强的现场装置，该额外的计算和通信特征将智能现场装置与常规现场装置区分开。第一，智能现场装置包括可允许其执行复杂的高级算法的计算能力。第二，智能现场装置具有在本地存储大量数据的能力。第三，智能现场装置具有增强的通信能力。这些通信能力可包括例如通过以太网和TCP/IP与可编程且灵活的通信栈进行高速通信(有线或无线)以提供可扩展性的能力。第四，智能现场装置可包括用于模数转换和信号调节的功能。

智能现场装置105、110、115、120、125以及130的另一个特征是它们执行支持使用微侵入、可更新、独立、隔离以及可下载的软件应用程序(本文中被称为“app”)的运行时环境。在智能现场装置中，过程值和数据在应用程序级别直接可用/可读。系统参数也可在应用程序级别直接访问，并可在运行期间被配置。智能现场装置105、110、115、120、125以及130可使用应用程序例如将安全功能部署到智能现场装置105、110、115、120、125以及130中的每个智能现场装置。在一些实施例中，操作智能现场装置105、110、115、120、125以及130的PLC 135和140被配置为执行类似的运行时环境，从而使得能够经由应用程序到应用程序连接的交互模型进行通信。应用程序还可被智能现场装置105、110、115、120、125以及130用于与专用或本地云进行通信，以与后端服务交互。以下参考图2描述可安装在智能现场装置105、110、115、120、125以及130上的自防御安全应用程序的一个示例。

外部威胁信息源180和185表示处于工厂外部但可经由互联网访问的威胁情报和安全事件信息共享源。外部威胁信息源180和185提供对来自各种关键基础设施部门(例如，外部公司、执法机构等)的共享威胁情报信息的访问和/或递送。例如，在一些实施例中，外部威胁信息源180和185可包括西门子网络安全操作中心(CSOC)。CSOC的分析师不断监控全球威胁活动，并将所获得的情报转化为可提供给在工厂内操作的本地威胁情报和安全事件管理服务器165的信息。外部威胁信息源180和185可以以本领域中通常已知的各种现有工业标准格式来递送信息。例如，在一些实施例中，使用网络威胁情报信息(STIX)格式的结构语言来传输信息。在一些实施例中，通过安全加密的数据隧道，利用强认证和加密算法，在外部威胁信息源180和185与本地威胁情报和安全事件管理服务器165之间传输信息。

除了与外部威胁信息源180和185进行通信之外，本地威胁情报和安全事件管理服务器165还从连接的日志记录相关系统、入侵检测系统、恶意软件保护系统以及其它相关安全数据源收集数据。计算机155、160、170以及175连接到本地威胁情报和安全事件管理服务器165的本地网络。例如，这些计算机155、160、170以及175可用于处理代表本地威胁情报和安全事件管理服务器165的各种威胁信息处理任务。另外，计算机155、160、170以及175可执行通用工厂管理例程并收集相关信息。该信息可被提供给本地威胁情报和安全事件管理服务器165，以便于本地检测威胁状况(即，不使用外部威胁信息源180和185)。

本地威胁情报和安全事件管理服务器165连续地向计算机145和150提供工厂的防御状况(DEFCON)级别。继而，这些计算机145和150经由PLC 135和140将DEFCON级别分发给智能现场装置105、110、115、120、125以及130。应当注意，这仅仅是可用于分发DEFCON信息的工厂体系结构的一个示例。在其它实施例中，本地威胁情报和安全事件管理服务器165可(例如，经由无线连接)直接连接到智能现场装置105、110、115、120、125以及130。用于表示各个DEFCON级别的确切系统可根据工厂的具体要求进行变化和配置。以下关于图4描述了DEFCON级别系统的一个示例。

图2提供根据一些实施例的待直接加载到智能现场装置的程序存储器中的自防御安全应用程序200的图示。应当注意，该自防御安全应用程序200也可被部署在其它支持应用程序的装置(例如，PLC)上。通信模块210启用装置处的高级主动通信能力。在一些实施例中，通信模块210包括可配置的单向网关，该单向网关允许根据命令使通信在单个方向上流向对应的智能现场装置225。另外，通信模块210可采用允许装置动态分配访问控制列表的动态访问控制列表，例如以防止其自身网络区域之外的通信。在一些实施例中，通信模块210还包括深度包检测，该深度包检测允许装置基于数据内容(例如，防止写入命令、仅允许读取命令)接受或拒绝通信包。当装置处于“调试模式”时，通信模块210可基于装置连接到的网络区域的目标安全级别(SLT)被安全地加载，并且在没有物理访问的情况下不能被改变。

继续参照图2，情境感知模块215被配置为执行连续从内部威胁情报和安全事件管理服务器接收关于当前DEFCON级别的信息的算法。运行时应用程序自保护(RASP)模块220专注于确保启用装置的主要功能(例如，传感器的数据读取应用程序)的装置配置和其它安装的软件应用程序的完整性。根据命令，RASP模块220能够做出反应以通过恢复部分或整个系统配置，或者部分或整个安装的应用程序使装置回到可信状态。

图3示出可用于表示自动化系统操作的警报状态的四个可能的DEFCON级别300。应当注意，图3中所示的四个级别仅仅是如何在本发明的一个实施例中定义威胁级别的示例。所采用的各种DEFCON级别可被配置和扩展为匹配所关注的生产过程的期望安全级别和关键性或适用于特定的适用标准和规定。

在图3中，DEFCON0表示正常的工厂操作。在这种模式下，传感器信息通常由PLC或分布式控制系统读取。响应于由控制器执行的控制策略，或者作为操作者在例如监督控制和数据采集(SCADA)系统处的动作的响应而执行改变。DEFCON1是增强感知模式。在这种模式下，可收集额外的日志记录信息并将其发送到内部威胁情报和安全事件管理服务器。继而，该服务器可将信息反馈给分布式入侵检测代理。这些分布式入侵检测代理可在自动化工厂(例如，图1中的一台计算机155)内或外部源(例如，图1中的外部威胁信息源180)上进行本地操作。而在DEFCON1模式下，拒绝配置和系统重新启动命令，直至正常模式恢复。

继续参照图3，DEFCON2是“孤岛”模式。在这种模式下，基于一组先前确认的最小基本功能进行传感器到传感器和传感器到致动器的直接通信。此外，在这种模式下，单向通信网关功能阻挡来自上层体系结构层(级别1及以上)的任何流入数据包(例如控制命令)。在智能现场装置之间进行装置到装置的通信，以检测安全损害的信号(例如，参数的多次改变/重新配置)。在关键过程区域中的冗余部件之间进行传感器到传感器的通信，以确认读取级别。图3中的最高警报状态是DEFCON3，其表示故障安全模式。在这种模式下，控制命令被认为是不可信的，并且因此被忽略。内部通信发生在智能致动器之间，以引导工厂进入安全关闭模式。

在一些实施例中，智能现场装置可被配置为在一个或多个较高DEFCON级别期间以高度关键的操作和恢复模式执行。该模式适用于高度关键的生产系统(例如，安全关键型SIL 4)，在其中安装有冗余传感器和致动器(或并行安全仪表系统)以确保在成功损害任何单独的装置之后获得高安全等级和可恢复的生产状态。在这种模式下，冗余装置之间进行额外的应用程序到应用程序的通信，以用于提高防御状况级别，从而确认读取值(针对传感器)或写入值(针对致动器)在相似性上是可接受的。不匹配的值被上报给操作者，由第三预先配置的装置(基于预先记录的历史值的本地数据库)仲裁，或未能到故障安全模式。

图4提供应用本文所述的一些技术的示例过程400。从405开始，工程师配置工厂的安全。该配置包括为工厂设置最高的DEFCON级别。例如，可在工厂内执行的自动化过程中确定该级别。可根据DEFCON级别执行其它配置活动。例如，如果DEFCON2是可允许的，则装置可配对(例如，传感器和致动器)，使得它们可在孤岛模式下做出反应(参见图3)。如果DEFCON3是可允许的，工程师定义安全状态。例如，在核电厂的情况下，工程师可指定必须保持冷却。另外，在配置步骤405期间，工程师可定义本地威胁信息服务器的规则以自动改变DEFCON级别。另选地，威胁信息服务器可被配置为仅基于手动操作来改变DEFCON级别。在步骤410处，现场装置以当前威胁级别进行操作。在工厂正在被初始化并且没有检测到威胁的示例中，现场装置以初始威胁级别DEFCON0进行操作。在工厂内操作的本地威胁服务器(参见图1)可向工厂中的智能现场装置提供周期性消息，指示没有检测到威胁并且工厂保持在DEFCON0。

继续参照图4，在步骤415处，本地威胁服务器检测对DEFCON级别的改变。例如，外部威胁信息源(参见图1)可检测威胁并将安全信息(例如，经由STIX包)发送到本地威胁服务器。或者，本地服务器可基于其自身内部收集的信息独立地确定威胁的存在。另一方面，本地威胁服务器可确定降低威胁级别的状况的存在。此外，这可基于来自外部威胁信息源或本地源的信息。

如果本地威胁服务器确定DEFCON级别应该增加，则在420处，本地威胁服务器执行对应于威胁级别增加的一个或多个预先配置的动作。在一些实施例中，威胁级别可基于在步骤405处的配置期间提供的规则而自动提高。或者，威胁信息可在图形用户界面(GUI)中显示给操作者。然后操作可手动将威胁级别提高到DEFCON1。一旦威胁级别提高，则本地威胁服务器向工厂中的智能现场装置发送通知。另外，本地威胁服务器可将相关的安全信息分发给智能现场装置，使得他们可在本地执行额外的日志记录和/或处理。在步骤425处，智能现场装置基于从本地威胁服务器接收的信息激活安全功能。然后，每个智能现场装置收集额外的日志记录信息，并将该信息传送回本地威胁服务器。因为系统处于DEFCON1，配置和系统重新启动命令被拒绝，直至正常模式恢复。此时，过程400返回到步骤410，在该步骤410中装置根据指定的DEFCON级别(即，DEFCON1)进行操作。

如果本地威胁服务器确定DEFCON级别应该降低，则在430处，本地威胁服务器执行对应于威胁级别降低的一个或多个预先配置的动作。在一些实施例中，可基于在步骤405处的配置期间提供的规则自动降低威胁级别。或者，威胁信息可被显示给操作者，该操作者然后可手动地将威胁级别降低到DEFCON0。一旦威胁级别降低，则本地威胁服务器向工厂中的智能现场装置发送通知。在步骤435处，智能现场装置基于从本地威胁服务器接收的信息停用安全功能。此时，过程400返回到步骤410，在步骤410中装置根据指定的DEFCON级别(即，DEFCON0)进行操作。

本文所述的现场装置是在工业自动化环境中使用的控制层装置的一个示例。现场装置被配置为在生产环境中注册和/或修改过程变量。现场装置的示例包括但不限于在生产环境中部署的各种传感器(例如，测量温度、压力、填充水平等)和致动器。在一些实施例中，包括在生产环境中的现场装置中的一个或多个现场装置包括允许其执行应用程序(诸如本文所述的自防御安全应用程序)的硬件和软件。例如，该硬件和软件可包括：处理器(其包括易失性存储器)；包括应用程序的非易失性存储器；以及用于连接到自动化系统中的其它装置的一个或多个网络部件(例如，输入/输出端口)。

本文所述的可编程逻辑控制器是在工业自动化环境中使用的控制层装置的另一个示例。可编程逻辑控制器通常被配置为执行连续地收集关于输入装置的状态的数据以控制输出装置的状态的软件。可编程逻辑控制器通常包括三个主要部件：处理器(其包括易失性存储器)；包括应用程序的非易失性存储器；以及用于连接到自动化系统中的其它装置的一个或多个网络部件(例如，输入/输出端口)。

本文所述的如由计算装置(包括但不限于可编程逻辑控制器)所使用的处理器可包括一个或多个中央处理单元(CPU)、图形处理单元(GPU)或本领域中已知的任何其它处理器。更一般地，本文所用的处理器是用于执行存储在计算机可读介质上的机器可读指令以用于执行任务的装置，并且可包括硬件和固件中的任何一个或硬件和固件的组合。处理器还可包括存储机器可读指令的存储器，该机器可读指令是可执行的以用于执行任务。处理器通过操纵、分析、修改、转换或传输供可执行程序或信息装置使用的信息，和/或通过将该信息路由到输出装置来对信息起作用。处理器可使用或包括例如计算机、控制器或微处理器的能力，并且可使用可执行指令进行调节，以执行不由通用计算机执行的专用功能。处理器可以与能够在其间进行交互和/或通信的任何其它处理器联接(电地和/或包括可执行部件)。用户界面处理器或发生器是已知的元件，该已知的元件包括用于生成显示图像或其部分的电子电路或软件或两者的组合。用户界面包括使用户能够与处理器或其它装置进行交互的一个或多个显示图像。

本文所述的各种装置(包括但不限于生产装置和相关的计算基础设施)可包括至少一个计算机可读介质或存储器，以用于保存根据本发明的实施例编程的指令并用于容纳数据结构、表格、记录或本文所述的其它数据。本文所使用的术语“计算机可读介质”是指参与向一个或多个处理器提供指令以供执行的任何介质。计算机可读介质可采取许多形式，包括但不限于非暂时性非易失性介质、易失性介质以及传输介质。非易失性介质的非限制性示例包括光盘、固态驱动器、磁盘和磁光盘。易失性介质的非限制性示例包括动态存储器。传输介质的非限制性示例包括同轴线缆、铜线以及光纤，包括组成系统总线的导线。传输介质也可采取声波或光波的形式，诸如在无线电波和红外数据通信期间产生的那些声波或光波。

本文所使用的可执行应用程序包括用于例如响应于用户命令或输入来调节处理器以实现预定功能(诸如操作系统、上下文数据采集系统或其它信息处理系统的那些预定功能)的代码或机器可读指令。可执行程序是用于执行一个或多个特定过程的代码段或机器可读指令、子例程或其它不同的代码段或可执行应用程序的一部分。这些过程可包括：接收输入数据和/或参数；对所接收的输入数据执行操作；和/或响应于所接收的输入参数执行功能；以及提供所得到的输出数据和/或参数。

本文所使用的图形用户界面(GUI)包括由显示处理器生成并且使得用户能够与处理器或其它装置进行交互的一个或多个显示图像以及相关的数据采集和处理功能。GUI还包括可执行程序或可执行应用程序。该可执行程序或可执行应用程序调节显示处理器以生成表示GUI显示图像的信号。这些信号被提供给显示装置，该显示装置显示图像以供用户观看。处理器在可执行程序或可执行应用程序的控制下，响应于从输入装置接收的信号来操纵GUI显示图像。以这种方式，用户可使用输入装置与显示图像进行交互，使得用户能够与处理器或其它装置进行交互。

本文的功能和处理步骤可全部或部分地响应于用户命令而自动执行。响应于一个或多个可执行指令或装置操作而自动执行活动(包括步骤)，而无需用户直接发起活动。

附图的系统和过程不是唯一的。根据本发明的原理可获得其它系统、过程和菜单以实现相同的目标。虽然已参考特定实施例对本发明进行描述，但是应当理解，本文所示和所述的实施例和变型形式仅用于说明的目的。在不脱离本发明的范围的情况下，本领域技术人员可实现对当前设计的修改。如本文所述，可使用硬件部件、软件部件和/或硬件部件和软件部件的组合来实现各种系统、子系统、代理、管理器和过程。本文权利要求要素不应根据35U.S.C.112第六段的规定来解释，除非使用短语“用于…的装置”明确叙述该要素。

Claims (9)

1.一种自动化系统，包括：

在自动化工厂的控制层处操作的多个现场装置，其中每个相应的现场装置包括：

处理器；

非易失性存储器，具有存储在所述非易失性存储器上的自防御安全应用，其中由所述处理器执行时进行以下步骤，包括：

接收对于所述自动化工厂的威胁级别的指示，其中，所述威胁级别基于来自在所述自动化系统内操作的本地威胁信息服务器的威胁信息，

识别对应于所述威胁级别的一个或多个安全操作，

执行所述一个或多个安全操作，并且

响应于所述一个或多个安全操作对一个或多个所接收的通信包执行深度包检测。

2.根据权利要求1所述的系统，其中，每个相应的现场装置包括根据所述一个或多个安全操作激活的单向网关。

3.根据权利要求2所述的系统，其中，所述单向网关被配置为阻挡从在所述控制层外部操作的装置接收的通信数据包。

4.根据权利要求1所述的系统，其中，所述一个或多个安全操作包括将访问控制列表应用于由所述相应的现场装置发送和接收的通信。

5.根据权利要求1所述的系统，其中，所述步骤还包括：

响应于所述一个或多个安全操作激活安全模式，所述安全模式防止在没有对所述相应的现场装置进行物理访问的情况下修改所述相应的现场装置中的网络设置。

6.根据权利要求1所述的系统，其中，由每个相应的现场装置执行的所述一个或多个安全操作包括：

收集日志记录信息；以及

将所述日志记录信息传输到所述本地威胁信息服务器。

7.根据权利要求1所述的系统，其中，由相应的现场装置执行的所述一个或多个安全操作包括：

与一个或多个其它现场装置通信以激活工厂关闭模式，所述工厂关闭模式将所述多个现场装置中的每个现场装置置于安全状态中。

8.根据权利要求1所述的系统，还包括：

本地威胁信息服务器，包括：

处理器；以及

非易失性存储器，具有存储在所述非易失性存储器上的程序，其中由所述处理器执行之后进行以下步骤，包括：

从一个或多个外部源接收威胁信息；

从一个或多个内部源接收工厂信息；以及

根据所述威胁信息和所述工厂信息中的一个或多个设置所述威胁级别，并且

将所述威胁级别的所述指示分发给所述多个现场装置。

9.一种非暂时性有形计算机可读介质，保存用于执行以下过程的计算机可执行指令，所述过程包括：

接收对于自动化工厂的指定威胁级别的指示，其中，所述威胁级别基于来自在自动化系统内操作的本地威胁信息服务器的威胁信息；

识别对应于所述指定威胁级别的一个或多个安全操作，

执行所述一个或多个安全操作，并且

响应于所述一个或多个安全操作对一个或多个所接收的通信包执行深度包检测。

Images