CN108206827A - 用于安全工业控制系统的图像捕获设备 - Google Patents

Abstract

公开了一种用于安全工业控制系统的图像捕获设备。在实施例中，图像捕获设备包括：图像传感器；耦合到图像传感器的信号处理器；以及控制器，其用于管理信号处理器以及经由通信接口将与经处理的图像信号相关联的数据发送到输入/输出模块或通信/控制模块中的至少一个，该通信接口将控制器耦合到输入/输出模块或通信/控制模块中的至少一个，其中，控制器被配置为基于图像捕获设备的至少一个相应的安全证书以及输入/输出模块或通信/控制模块中的至少一个的至少一个相应的安全证书，来在控制器与输入/输出模块或通信/控制模块中的至少一个之间建立经加密的通道。

Description

用于安全工业控制系统的图像捕获设备

相关申请的交叉引用

本申请是2015年11月16日提交的、题为“SECURE INDUSTRIAL CONTROL SYSTEM”的美国专利申请No.14/942,304的部分继续申请，其为2014年8月27日提交的、题为“SECUREINDUSTRIAL CONTROL SYSTEM”的美国专利申请No.14/469,931(以美国专利No.9,191,203发布)的继续申请，其为2013年8月6日提交的、题为“SECURE INDUSTRIAL CONTROL SYSTEM”的国际申请No.PCT/US2013/053721的继续申请。本申请还是2014年10月20日提交的、题为“OPERATOR ACTION AUTHENTICATION IN AN INDUSTRIAL CONTROL SYSTEM”的美国专利申请No.14/519,066的部分继续申请。本申请还是2016年10月7日提交的、题为“INDUSTRIALCONTROL SYSTEM REDUNDANT COMMUNICATIONS/CONTROL MODULES AUTHENTICATION”的美国专利申请No.15/287,937的部分继续申请，其为2014年10月20日提交的、题为“INDUSTRIALCONTROL SYSTEM REDUNDANT COMMUNICATIONS/CONTROL MODULES AUTHENTICATION”的美国专利申请No.14/519,047(以美国专利No.9,467,297发布)的继续申请。本申请还是2015年1月15日提交的、题为“ELECTROMAGNETIC CONNECTOR”的美国专利申请No.14/597,498的部分继续申请，其为2011年12月30日提交的、题为“ELECTROMAGNETIC CONNECTOR”的美国专利申请No.13/341,143的继续申请。本申请还是2016年8月26日提交的、题为“SWITCH FABRICHAVING A SERIAL COMMUNICATIONS INTERFACE AND A PARALLEL COMMUNICATIONSINTERFACE”的美国专利申请No.15/247,998的部分继续申请，其为2014年9月30日提交的、题为“SWITCH FABRIC HAVING A SERIAL COMMUNICATIONS INTERFACE AND A PARALLELCOMMUNICATIONS INTERFACE”的美国专利申请No.14/501,974(以美国专利No.9,436,641发布)的继续申请，其为2011年12月30题提交的、题为“SWITCH FABRIC HAVING ASERIALCOMMUNICATIONS INTERFACE AND A PARALLELCOMMUNICATIONS INTERFACE”的美国专利申请No.13/341,161(以美国专利No.8,862,802发布)的继续申请。本申请还是2016年10月10日提交的、题为“COMMUNICATIONS CONTROL SYSTEM WITH A SERIALCOMMUNICATIONSINTERFACE AND A PARALLELCOMMUNICATIONS INTERFACE”的美国专利申请No.15/289,613的部分继续申请，其为2014年9月30日提交的、题为“COMMUNICATIONSCONTROL SYSTEM WITHASERIAL COMMUNICATIONS INTERFACEAND APARALLEL COMMUNICATIONS INTERFACE”的美国专利申请No.14/502,006(以美国专利No.9,465,762发布)的继续申请，其为2011年12月30日提交的、题为“COMMUNICATIONS CONTROL SYSTEM WITHASERIAL COMMUNICATIONSINTERFACE AND APARALLELCOMMUNICATIONS INTERFACE”的美国专利申请No.13/341,176(美国专利No.8,868,813)的继续申请。

以上交叉引用的专利和专利申请中的每一个通过引用整体并入本文。

背景技术

工业控制系统(例如，标准工业控制系统(ICS)或可编程自动化控制器(PAC))包括在工业生产中使用的各种类型的控制设备，例如，监督控制与数据获取(SCADA)系统、分布式控制系统(DCS)、可编程逻辑控制器(PLC)以及符合诸如IEC61508的安全标准的工业安全系统。这些系统用于包括电、水和废水、石油和天然气生产与提炼、化工、食品、制药以及机器人学等的工业中。使用从各种类型的传感器收集到的信息来测量过程变量，可以将来自工业控制系统的自动化的和/或操作者驱动的监督命令发送到各种致动器设备，例如，控制阀、液压致动器、磁致动器、电气开关、电动机、螺线管等。这些致动器设备收集来自传感器和传感器系统的数据，打开和关闭阀门和断路器，调节阀门和电动机，针对警报条件对工业过程进行监测等。

在其他示例中，SCADA系统可以使用具有在地理上广泛分离的过程站点的开环控制。这些系统使用远程终端单元(RTU)将监督数据发送到一个或多个控制中心。部署RTU的SCADA应用包括流体管线、配电以及大型通信系统。DCS系统一般用于利用高带宽、低延迟的数据网络进行实时数据收集和连续控制，并且用于大型园区工业过程工厂，例如，石油和天然气、提炼、化工、制药、食品和饮料、水和废水、纸浆和造纸、公用电源以及矿业和金属。PLC更加典型地提供布尔和时序逻辑运算、和定时器以及连续控制，并且经常用于独立的机械和机器人学。此外，ICE和PAC系统可以用于对建筑物、机场、船舶、空间站等进行设施处理(例如，用于监测和控制加热、通风以及空调(HVAC)设备和能量消耗)。随着工业控制系统演进，新技术正在与这些各种类型的控制系统的方面进行组合。例如，PAC可以包括SCADA、DCS以及PLC的方面。

工业系统以与“物联网”类似的方式演进，但具有更高的安全性、可靠性以及吞吐量要求。所有级别的安全性都是必需的。这包括边缘设备，如果没有受到保护，边缘设备可能成为恶意行为者进入系统的通路。

发明内容

本文公开了用于安全工业控制系统的图像捕获设备(例如，照相机)的实现方式。图像捕获设备可以包括图像传感器，耦合到图像传感器的信号处理器，以及用于管理信号处理器的控制器。控制器还可以被配置为将与经处理的图像信号相关联的数据发送到耦合到图像捕获设备的一个或多个设备。例如，控制器可以经由通信接口将与经处理的图像信号(例如，经编码的图像帧、元数据等)相关联的数据发送到输入/输出模块和/或通信/控制模块，该通信接口将控制器耦合到输入/输出模块和/或通信/控制模块。在实施例中，控制器被配置为基于图像捕获设备的至少一个相应的安全证书以及输入/输出模块和/或通信/控制模块的至少一个相应的安全证书来在控制器与输入/输出模块和/或通信/控制模块之间建立经加密的通道。控制器还可以被配置为利用图像捕获设备的至少一个相应的安全证书和输入/输出模块和/或通信/控制模块的至少一个相应的安全证书来执行与输入/输出模块和/或通信/控制模块的认证序列，由此图像捕获设备可以被认证并且被给予许可来发送和/或接收来自输入/输出模块和/或通信/控制模块、和/或安全工业控制系统的其他部件的信息。

提供本发明内容以便以简化的形式引入将在以下具体实施方式中进一步描述的一些概念。本发明内容并不旨在识别所要求保护的主题的关键特征或必要特征，也不旨在用作帮助确定所要求保护的主题的范围。

附图说明

参考附图描述具体实施方式。在说明书和附图中的不同情况下使用相同的附图标记可以指示类似或相同的项目。

图1是示出根据本公开的实施例的安全工业控制系统的框图。

图2是示出根据本公开的实施例的用于安全工业控制系统的图像捕获设备的框图。

图3是示出根据本公开的实施例的用于安全工业控制系统的通信背板的交换结构的框图。

图4是示出根据本公开的实施例的用于安全工业控制系统的动作认证路径的框图。

图5是进一步示出根据本公开的实施例的图4所示的动作认证路径的框图。

图6是示出根据本公开的实施例的安全工业控制系统的图像捕获设备与输入/输出模块(IOM)或通信/控制模块(CCM)之间的认证序列的框图。

具体实施方式

概述

工业系统以与“物联网”类似的方式演进，其具有高的安全性、可靠性以及吞吐量要求。所有级别的安全性都是必需的。这包括边缘设备，如果没有受到保护，边缘设备可能成为恶意行为者进入系统的通路。例如，监控照相机虽然经常被认为是“安全设备”，但是可能成为进入工业控制系统的易受攻击的接入点。在一些情况下，可以使用伪造或黑客入侵的照相机来获得未经授权的进入工业控制系统，以便获得对视频片段或其他信息的访问，或者甚至引入虚构的视频片段(例如，为了误导虚假警报等)。在一些情况下，可以使用照相机网络连接来使恶意软件侵入非照相机网络数据库，例如，作为恶意代码获取远程访问、窃取或篡改控制系统信息等的入口点。

本文公开了用于安全工业控制系统的图像捕获设备(例如，照相机)的实现方式。在实施例中，用于安全工业控制系统的图像捕获设备可以包括图像传感器，耦合到图像传感器的信号处理器，以及用于管理信号处理器的控制器。控制器还可以被配置为将与经处理的图像信号相关联的数据发送到耦合到图像捕获设备的一个或多个设备。例如，控制器可以经由通信接口将与经处理的图像信号(例如，经编码的图像帧、元数据等)相关联的数据发送到输入/输出模块和/或通信/控制模块，该通信接口将控制器耦合到输入/输出模块和/或通信/控制模块。在实施例中，控制器被配置为基于图像捕获设备的至少一个相应的安全证书以及输入/输出模块和/或通信/控制模块的至少一个相应的安全证书来在控制器与输入/输出模块和/或通信/控制模块之间建立经加密的通道。控制器还可以被配置为利用图像捕获设备的相应的安全证书和输入/输出模块和/或通信/控制模块的相应的安全证书来执行与输入/输出模块和/或通信/控制模块的认证序列，由此图像捕获设备可以被认证并且被给予许可来发送和/或接收来自输入/输出模块和/或通信/控制模块、和/或安全工业控制系统的其他部件的信息。例如，所发送的信息可以包括但不限于捕获到的图像、视频片段、光谱信息(例如，用于火灾、燃气和/或辐射检测)或其组合。

示例实现方式

图1示出了根据本公开的示例实施例的工业控制系统100。在实施例中，工业控制系统100可以包括工业控制系统(ICS)、可编程自动化控制器(PAC)、监督控制与数据获取(SCADA)系统、分布式控制系统(DCS)、可编程逻辑控制器(PLC)、以及符合诸如IEC 1508的安全标准的工业安全系统等。如图1所示，工业控制系统100使用通信控制架构来实现分布式控制系统，该分布式控制系统包括一个或多个工业元件(例如，输入/输出(I/O)模块、电力模块、现场设备、图像捕获设备(例如，监控照相机、物理安全照相机、专用光谱检测照相机(例如，用于火灾、燃气和/或辐射检测)等)、开关、工作站、和/或物理互连设备)，其由分布在整个系统中的一个或多个控制元件或子系统102控制或驱动。例如，一个或多个I/O模块104可以连接到组成控制元件/子系统102的一个或多个通信/控制模块106(有时缩写为(CCM))。

工业控制系统100被配置为传输去往/来自I/O模块104的数据。I/O模块104可以包括输入模块、输出模块、和/或输入和输出模块。例如，输入模块可以用于在过程中接收来自输入设备130(例如，传感器)的信息，而输出模块可以用于向输出设备(例如，致动器)发送指令。例如，I/O模块104可以连接到用于测量燃气厂、冶炼厂等的管道中的压力的过程传感器，和/或连接到用于控制阀门、二态或多态开关、发射器等的过程致动器。现场设备130直接地或经由网络连接与IO模块104可通信地耦合。这些设备130可以包括控制阀、液压致动器、磁致动器、电动机、螺线管、电气开关、发射器、输入传感器/接收器(例如，照明、辐射、气体、温度、电、磁、和/或声音传感器)、通信子总线等。

I/O模块104可以在工业控制系统100中用于收集应用中的数据，包括但不一定限于关键基础设施和/或工业过程，例如，产品生产和制造、公用发电、石油、天然气以及化学提炼；制药、食品和饮料、纸浆和造纸、金属和采矿，以及用于建筑物、机场、船舶、和空间站的设施和大型园区工业过程(例如，用于监测和控制加热、通风和空调(HVAC)设备和能量消耗)。

在一些实现方式中，I/O模块104还可以用于将图像捕获设备200(例如，诸如监控照相机、物理安全照相机、专用光谱检测照相机等的照相机)连接到工业控制系统100。在其他实现方式中，图像捕获设备200可以经由通信/控制模块106或其他输入连接到通信背板116，该通信背板促进现场和非现场的工业控制系统元件的互连(例如，连接到网络120用于企业系统/应用、外部控制系统/应用、工程接口控制系统/应用、外部监测系统/应用、操作者/管理员监测或控制系统/应用等)。

如图2所示，图像捕获设备200包括图像传感器(例如，CMOS图像传感器、CCD图像传感器等)，其具有耦合到图像传感器204的信号处理器206的。在实施例中，图像传感器204可以具有布置在图像传感器204上的透镜或透镜组件202，用于将光聚焦到图像传感器204上。信号处理器206可以被配置为接收来自图像传感器204的图像信号，以及应用一个或多个滤波器，调节增益水平，将图像信号从模拟格式转换为数字格式等。图像捕获设备200还可以包括编解码器210，用于将经处理的图像信号编码为可以由工业控制系统100中的终端设备进行解码的数据格式。在一些实施例中，图像捕获设备200包括视频增强器，用于例如通过在信号处理之前、信号处理之后、或信号处理期间(即，在信号处理器206处)对一个或多个信号分量的增益进行提升来调节图片属性(例如，亮度、对比度等)。图像捕获设备200还包括控制器212(例如，微控制器、微处理器、ASIC、可编程逻辑器件等)，用于管理图像捕获设备200的信号处理器206部件、电路、和/或模块。控制器212还可以被配置为将与经处理的图像信号相关联的数据发送到耦合到图像捕获设备200的一个或多个设备。例如，控制器212可以经由通信接口214(例如，发射器、接收器、和/或收发器)将与经处理的图像信号(例如，经编码的图像帧、元数据等)相关联的数据发送到输入/输出模块104和/或通信控制模块106，该通信接口214将控制器212耦合到输入/输出模块104和/或通信/控制模块106。在一些实施例中，输入/输出模块104和/或通信/控制模块106被配置为在将经处理的图像信号发送到安全工业控制系统的另一工业元件或网络连接的设备之前，对从图像捕获设备200接收到的图像信号进行预处理或后处理。例如，输入/输出模块104和/或通信/控制模块106可以被配置为对经处理的图像信号执行附加的滤波、编码、或加密。在一些实施例中，通信接口214包括端口，其被配置为接收用于将图像捕获设备200耦合到外部设备(例如，IOM104、CCM 106、或其他工业控制系统元件)的有线连接。在其他实施例中，通信接口214可以包括无线发射器、接收器、和/或收发器，以促进图像捕获设备200与外部设备之间的无线连接。

通信接口214可以包括用于接收由外部设备供应的电力的以太网供电(POE)端口。例如，图像捕获设备200可以耦合到具有POE能力的安全以太网I/O模块。I/O模块104可以包括BEDROCK SIO4.E安全以太网模块等。在一些实施例中，I/O模块104(例如，BEDROCKSIO4.E安全以太网模块)包括多通道安全软件可配置的以太网模块，其可以在每个端口上具有软件可配置的协议，支持以太网I/P、Modbus TCP以及OPC UA客户端，包括计划的Profinet和DNP3的其他协议，在用于以太网供电设备的一个或多个端口上可用的POE，和/或10/100Mbps半/全双工能力。在一些实现方式中，图像捕获设备200被配置为以大约9600和10M波特的范围内的波特率、以5至60fps的帧速率和240至1080p的分辨率来发送与经处理的图像相关联的数据。例如，图像捕获设备200可以被配置为以2M波特或更低以15fps、720p进行发送。这些范围通过示例的方式提供，而不应被认为是对本公开的限制。

在实施例中，图像捕获设备控制器212被配置为基于图像捕获设备200的至少一个相应的安全证书以及外部设备(例如，输入/输出模块104或通信/控制模块106)的至少一个相应的安全证书，在控制器212与外部设备之间建立经加密的通道。控制器212还可以被配置为利用图像捕获设备200的相应的安全证书以及外部设备的相应的安全证书来执行与外部设备的认证序列，由此图像捕获设备200可以被认证并且被给予许可来发送和/或接收来自输入/输出模块104和/或通信/控制模块106、和/或安全工业控制系统100的其他部件的信息。

如下面进一步详细讨论的，图像捕获设备200的相应的安全证书可以包括由密钥管理实体124针对图像捕获设备200提供的唯一安全证书。例如，来自密钥管理实体124的唯一安全证书可以在(图像捕获设备200的)相应制造点处提供。在一些实施例中，相应的安全证书是可由密钥管理实体124在不同于相应制造点(例如，当图像捕获设备200安装在工业控制系统100中时)的地点处修改、撤销、和/或认证的。另外或可替代地，相应的安全证书可以是可由外部设备(例如，输入/输出模块104或通信/控制模块106)或由与图像捕获设备200通信的另一工业控制系统元件修改、撤销、和/或认证的。

在一些实施例中，图像捕获设备200可以包括专用照相机。例如，一个或多个经处理的图像信号包括由图像传感器204检测到的光谱数据。控制器212可以被配置为发送光谱数据，以用于监测一个或多个工业控制系统环境条件。例如，图像捕获设备200可以被配置为监测一个或多个工业控制系统环境条件，包括但不限于以下中的一个或多个的环境存在：火、灰尘、烟雾、微粒、热、潮湿、升高的压力、气体、或辐射等。在一些实施例中，图像传感器204可以包括热图像传感器、夜视图像传感器、UV光传感器、红外光传感器等。在实现方式中，由图像捕获设备200检测到的光谱数据可以触发警报/警告(例如，响应于检测到火灾、燃气泄漏等)。

再次参考图1，I/O模块104可被配置为将从传感器接收到的模拟数据转换为数字数据(例如，使用模数转换器(ADC)电路等)。I/O模块104还可以连接到一个或多个过程致动器(例如，电动机或调节阀或继电器，以及其他形式的致动器)，并且被配置为控制电动机的一个或多个操作特性，例如，电动机速度、电动机转矩，或者调节阀的位置或继电器的状态等。此外，I/O模块104可以被配置为将数字数据转换为模拟数据以供传输给致动器(例如，使用数模(DAC)电路等)。在实现方式中，I/O模块104中的一个或多个可以包括通信模块，该通信模块被配置用于经由以下通信子总线进行通信，例如，以太网总线、H1现场总线、过程现场总线(PROFIBUS)、高速可寻址远程换能器(HART)总线、Modbus等。此外，可以使用两个或更多个I/O模块104来为各种现场设备130(例如，控制阀、液压致动器、磁致动器、电动机、螺线管、电气开关、发射器、输入传感器/接收器(例如，照明、辐射、气体、温度、电、磁、和/或声音传感器)、通信子总线等。

每个I/O模块104可以设置有用于将一个I/O模块104与另一I/O模块104区分开的唯一标识符(ID)。在实现方式中，I/O模块104在连接到工业控制系统100时通过其ID被识别。多个I/O模块104可以与工业控制100一起使用以提供冗余。例如，两个或更多个I/O模块104可以连接到过程传感器和/或致动器。每个I/O模块104可以包括一个或多个端口，其配备与I/O模块104一起被包括的硬件和电路的(例如，印刷电路板(PCB)等)的物理连接。例如，每个I/O模块104包括用于电缆的连接，其将电缆连接到I/O模块104中的印刷线路板(PWB)。

I/O模块104中的一个或多个可以包括用于连接到以下其他网络的接口，包括但不一定限于：广域蜂窝电话网络，例如，3G蜂窝网络、4G蜂窝网络、或全球移动通信系统(GSM)网络；无线计算机通信网络，例如，Wi-Fi网络(例如，使用IEEE 802.11网络标准进行操作的无线LAN(WLAN))；个域网(PAN)(例如，使用IEEE 802.15网络标准进行操作的无线PAN(WPAN))；广域网(WAN)；内联网；外联网；互联网；因特网等。此外，I/O模块104中的一个或多个可以包括用于将I/O模块104连接到计算机总线的连接等。

通信/控制模块106可以用于监测和控制I/O模块104，并且用于将两个或更多个I/O模块104连接在一起。在本公开的实施例中，当I/O模块104连接到工业控制系统100时，通信/控制模块106可以基于I/O模块104的唯一ID来更新路由表。此外，当使用多个冗余I/O模块104时，每个通信/控制模块106可以实现对关于I/O模块104的信息数据库的镜像，并且在从I/O模块104接收到数据和/或向I/O模块104发送数据时更新信息数据库。在一些实施例中，使用两个或更多个通信/控制模块106来提供冗余。为了增加安全性，冗余通信/控制模块106可以被配置为执行认证序列或握手以在预先定义的事件或时间相互认证，包括例如启动、重置、安装新的控制模块106、替换通信/控制模块106、定期地、经计划的时间等。

在一些实现方式中，可以对由工业控制系统100发送的数据进行分包，即，数据的离散部分可以转换成包括连同网络控制信息等的数据部分的数据分组。工业控制系统100可以使用一种或多种用于数据传输的协议，包括诸如高级数据链路控制(HDLC)的面向位的同步数据链路层协议。在一些实例中，工业控制系统100根据国际标准化组织(ISO)13239标准等来实现HDLC。此外，可以使用两个或更多个通信/控制模块106来实现冗余HDLC。然而，应该注意的是，HDLC仅通过示例的方式提供，而并不意味着限制本公开。因此，工业控制系统100可以根据本公开使用其他各种通信协议。

通信/控制模块106中的一个或多个可以被配置为与用于监测和/或控制经由I/O模块144连接到工业控制系统100的现场设备130(例如，传感器和/或致动器仪器)的部件(例如，一个或多个控制回路反馈机构/控制器)交换信息。在实现方式中，控制器可以被配置为微控制器/可编程逻辑控制器(PLC)、比例-积分-微分(PID)控制器等。在一些实施例中，I/O模块104和通信/控制模块106包括网络接口，例如，用于经由网络将一个或多个I/O模块104连接到一个或多个控制器。在实现方式中，网络接口可以被配置为用于将I/O模块104连接到局域网(LAN)的千兆比特以太网接口。此外，可以使用两个或更多个通信/控制模块106来实现冗余千兆比特以太网。然而，应该注意的是，千兆比特以太网仅通过示例的方式提供，而并不意味着限制本公开。因此，网络接口可以被配置用于将通信/控制模块106连接到其他各种网络，包括但不限于：广域蜂窝电话网络，例如，3G蜂窝网络、4G蜂窝网络、或GSM网络；无线计算机通信网络，例如，Wi-Fi网络(例如，使用IEEE 802.11网络标准进行操作的WLAN)；PAN(例如，使用IEEE 802.15网络标准进行操作的WPAN)；WAN；内联网；外联网；互联网；因特网等。另外，网络接口可以使用计算机总线来实现。例如，网络接口可以包括外围部件互连(PCI)卡接口，例如，迷你PCI接口等。此外，网络可以被配置为包括单个网络或跨不同接入点的多个网络。

工业控制系统100可以从多个源接收电力。例如，从电网108供应AC电力(例如，使用来自AC电源的高压电力)。也可以使用本地发电(例如，现场涡轮机或柴油本地发电机110)来供应AC电力。电源112用于将来自电网108的电力分配给工业控制系统100的自动化设备，例如，控制器、I/O模块等。电源112还可以用于将来自本地发电机110的电力分配给工业控制系统设备。工业控制系统100还可以包括被配置为使用多个电池模块存储和返回DC电力的附加(备用)电源。例如，电源112用作UPS。在本公开的实施例中，多个电源112可以在工业控制系统100内分布(例如，物理分散)。

在一些实施例中，控制元件/子系统和/或工业元件(例如，I/O模块104、通信/控制模块106、电源112等)通过一个或多个背板114连接到一起。例如，通信/控制模块106可以通过通信背板116连接到I/O模块104。此外，电源112可以通过电源背板118连接到I/O模块104和/或通信/控制模块106。在一些实施例中，物理互连设备(例如，开关、连接器、或电缆(例如但不限于美国非临时申请No.14/446,412中描述的那些，该申请通过引用整体并入本文))用于连接到I/O模块104、通信/控制模块106、电源112以及可能其他工业控制系统设备。例如，可以使用电缆将通信/控制模块106连接到网络120，可以使用另一电缆将电源112连接到电网108，可以使用另一电缆将电源112连接到本地发电机110等。

通信背板116包括交换结构300，其促进经由通信背板116耦合的工业控制系统元件的互连。例如，通信背板116可以将通信/控制模块106物理地且可通信地耦合到I/O模块104，并且还可以将这些工业控制系统元件耦合到网络120(例如，提供对企业设备、工程控制接口/应用等的访问)。图像捕获设备200(以及其他设备130)可以直接地或经由通信/控制模块106或I/O模块104耦合到通信背板116，以便促进通过交换结构300对高速安全通信的访问。

在实施例中，交换结构300包括串行通信接口302和并行通信接口304，用于在多个通信/控制模块106、I/O模块104、图像捕获设备200、现场设备130、和/或工业控制系统100的其他元件之间配备通信。可以使用一个或多个电磁连接器将各种元件连接到工业控制系统100。例如，每个I/O模块104可以包括或者可以耦合到一个或多个电磁连接器或连接器组件，其中核心构件延伸穿过线圈。在一些实施例中，线圈可以实现为电路板上的平面绕组。当被包括在I/O模块104中时，电路板可以抵抗部分弹簧负载而“浮动”，允许电路板进行垂直于核心构件的平面的一些运动，例如，以补偿跨电路板的容差。例如，可以在模块中提供自持式弹簧负载机构，以提供恒定的向下压力来促进电磁连接的配合，补偿模块、PCB以及基板/支撑框架的堆叠容差，并确保两半的电磁连接器组件的恒定配合。

在一些实施例中，可以使用“榫舌和凹槽”配置，其在三个平面中提供固有的紧固和支撑。例如，包括在I/O模块104内的印刷电路板可以被配置为沿着垂直于核心构件的平面的方向在两个轨道区段之间滑动。此外，核心构件可以与电路板机械地隔离(例如，不接触)。应该注意，具有平面初级绕组和次级绕组的实现方式仅通过示例的方式提供，而并不一定意味着限制本公开。因此，其他实现方式可以使用其他线圈配置，例如，绕线式线圈等。例如，初级线圈可以包括平面绕组，而次级线圈可以包括绕线式线圈。此外，初级线圈可以包括绕线式线圈，而次级线圈可以包括平面绕组。在其他实现方式中，初级线圈和次级线圈都可以包括绕线式线圈。

交换结构300可以被配置用于与任何系统技术一起使用，例如，电信网络技术、计算机网络技术、过程控制系统技术等。例如，交换结构300可以与包括控制器元件和子系统的分布式控制系统一起使用，其中子系统由分布在整个系统中的一个或多个控制器进行控制。交换结构300包括串行通信接口302和并行通信接口304，用于配备与多个从属设备的通信。

串行通信接口302可以使用彼此并联连接的一组连接器来实现。在一些实施例中，连接器可以被配置为电磁连接器/连接器组件(例如，如先前描述的)。例如，串行通信接口302可以使用多点总线306等来实现。在实现方式中，多点总线306可以用于I/O模块104/从属设备的配置和诊断功能。并行通信接口304允许多个信号同时在多个专用高速并行通信信道上传输。例如，并行通信接口304可以使用交叉开关308等来实现。

在图3所示的实施例中，并行通信接口304可以使用具有到每个I/O模块104/从属设备的专用连接的四(4)线全双工交叉开关308来实现。在实现方式中，可以使用一个或多个电磁连接器/连接器组件(例如，如先前描述的)来配备每个连接。交叉开关308可以被实现为连接点对点总线并且允许I/O模块104/从属设备之间的业务的可编程交叉开关。交叉开关308可以由诸如通信/控制模块106的主控设备来配置。例如，通信/控制模块106/主控设备可以配置包括在交叉开关308中的一组或多组寄存器，以控制I/O模块104/从属设备之间的业务。在实现方式中，通信/控制模块106/主控设备可以包括指定I/O模块104/从属设备如何互连的规则集。例如，通信/控制模块106/主控设备可以包括一组寄存器，其中每个寄存器定义特定开关的操作(例如，关于如何对分组进行转发等)。因此，交叉开关308可以不一定是自动配置的，而是实现由通信/控制模块106/主控设备提供的配置。然而，该配置仅通过示例的方式提供，而并不意味着限制本公开。因此，在其他实现方式中，交叉开关308可以是自动配置的。

并行通信接口304可以用于从I/O模块104/从属设备收集数据。此外，因为每个I/O模块104/从属设备具有其自己的到通信/控制模块106/主控设备的私有总线，所以每个I/O模块104/从属设备可以同时与通信/控制模块106进行通信。因此，工业控制系统100(即，交换结构300)的总体响应时间可能受限于最慢的I/O模块104/从属设备的响应时间，而不是如在典型的多点总线的情况下受限于所有从属设备的总和。

在实现方式中，交换结构300、串行通信接口302以及并行通信接口304可以被实现在单个整体电路板中，例如，其中电磁连接器的多个E形核心构件延伸穿过电路板。在实现方式中，核心构件可以与电路板机械地隔离(例如，不接触电路板)。然而，该配置仅通过示例的方式提供，而并不意味着限制本公开。因此，串行通信接口302和并行通信接口304可以使用多个部件的不同布置来实现，例如，用于分离地实现串行通信接口302和并行通信接口304的多个分立半导体器件等。

交换结构300可以被配置用于连接一个或多个I/O模块104(例如，作为从属设备)，并且用于传输去往I/O模块104的数据以及来自I/O模块104的数据。I/O模块104可以包括输入模块、输出模块、和/或输入和输出模块。例如，输入模块可以用于在过程中或在现场接收来自输入仪器的信息，而输出模块可以用于向现场的输出仪器发送指令。例如，I/O模块104可以连接到用于检测图像信号、光谱数据等的图像捕获设备200，或者连接到过程传感器，例如，用于测量燃气厂、冶炼厂等的管道中的压力的传感器。在实现方式中，I/O模块104可以在工业控制系统100中用于收集应用中的数据，包括但不一定限于关键基础设施和/或工业过程，例如，产品生产和制造、公用发电、石油、天然气以及化学提炼；制药、食品和饮料、纸浆和造纸、金属和采矿，以及用于建筑物、机场、船舶、和空间站的设施和大型园区工业过程(例如，用于监测和控制加热、通风和空调(HVAC)设备和能量消耗)。

可以对使用交换结构300发送的数据进行分包，即，数据的离散部分可以转换成包括连同网络控制信息等的数据部分的数据分组。工业控制系统100/交换结构300可以使用一种或多种用于数据传输的协议，包括诸如高级数据链路控制(HDLC)的面向位的同步数据链路层协议。在特定的情况下，工业控制系统100/交换结构300可以根据国际标准化组织(ISO)13239标准等来实现HDLC。此外，可以使用两个或更多个通信/控制模块106来实现冗余HDLC。然而，应该注意的是，HDLC仅通过示例的方式提供，而并不意味着限制本公开。因此，工业控制系统100可以根据本公开使用其他各种通信协议。

工业控制系统100实现安全控制系统，如美国专利申请No.14/469,931(以美国专利No.9,191,203发布)和国际申请No.PCT/US2013/053721中所描述的，以上专利申请全部通过引用并入本文。例如，工业控制系统100包括安全证书源(例如，工厂122)和安全证书实现方(例如，密钥管理实体124)。在实施例中，设备寿命管理系统可以包括安全证书实现方和密钥管理实体。安全证书源被配置为生成唯一安全证书(例如，密钥、凭证等，例如，唯一标识符、和/或安全证书)。安全证书实现方被配置为将由安全证书源生成的唯一安全证书提供给控制元件/子系统和/或工业元件(例如，电缆、设备130、I/O模块104、通信/控制模块106、电源112等)。

工业控制系统100的多个(例如，每个)设备130、I/O模块104、通信/控制模块106、电源112、物理互连设备等可以被提供有用于提供工业控制系统100的多个(例如，全部)级别处的安全性的安全证书。此外，包括传感器和/或致动器等的控制元件/子系统和/或工业元件可以在制造期间(例如，在产生时)被提供有唯一安全证书(例如，密钥、凭证等)，并且可以由工业控制系统100的密钥管理实体124从产生开始进行管理，以提升工业控制系统100的安全性。例如，密钥管理实体124可以在相应制造地点为部件(例如，图像捕获设备200和其他工业控制系统元件)提供唯一安全证书，并且密钥管理实体124还可以被配置为当部件在不同于每个部件的相应制造地点的地点处实现时(例如，当部件在工业控制系统100中被安装/使用时)对安全证书进行认证、撤消、或修改。

在一些实施例中，工业控制系统100中的包括传感器和/或致动器等的控制元件/子系统和/或工业元件之间的通信包括认证过程。可以执行认证过程以用于认证在工业控制系统100中实现的包括传感器和/或致动器的控制元件/子系统和/或工业元件。此外，认证过程可以利用与元件和/或物理互连设备相关联的安全证书来认证该元件和/或物理互连设备。例如，安全证书可以包括加密密钥、凭证(例如，公共密钥凭证、数字凭证、身份凭证、安全凭证、非对称凭证、标准凭证、非标准凭证)和/或标识号。

在实现方式中，工业控制系统100的多个控制元件/子系统和/或工业元件被提供有其自己的唯一安全证书。例如，当元件被制造时，可以向工业控制系统100的每个元件提供其自己的凭证、加密密钥和/或标识号的唯一(多个)集合(例如，密钥和凭证的单独集合在元件产生时进行定义)。凭证、加密密钥和/或标识号的集合被配置用于提供/支持强加密。可以用诸如国家安全局(NSA)算法、国家标准与技术研究所(NIST)算法等的标准(例如，商业现成的(COTS))加密算法来实现加密密钥。

基于认证过程的结果，可以激活被认证的元件，可以在工业控制系统100内启用或禁用该元件的部分功能，可以在工业控制系统100内启用该元件的完整功能，和/或可以在工业控制系统100内完全禁用该元件的功能(例如，不促进该元件与工业控制系统100的其他元件之间的任何通信)。就此而言，每个元件(例如，通信/控制模块102、I/O模块104等)可以被配置为基于利用工业控制系统元件的相应安全证书的认证序列的成功或失败，来对另一工业控制系统元件(例如，设备130、图像捕获设备200等)的安全证书进行认证、撤销、或修改。

在实施例中，工业控制系统元件可以基于元件的相应安全证书来建立用于安全地传输信息的安全通信路径或“通道”。例如，通信可以由第一(发送)元件进行签名或加密，并且由第二(接收)元件基于相应的安全证书进行认证(例如，验证或解密)。在实施例中，图像捕获设备200可以被配置为经由安全通道将与经处理的图像信号(例如，图像帧、光谱数据、元数据等)相关联的数据传送到通信/控制模块106或I/O模块104(或工业控制系统100的其他部件)。在一些实施例中，图像捕获设备200仅在成功地进行认证或由接收设备认证之后将信息传送到通信/控制模块106或I/O模块104(或工业控制系统100的其他部件)。

在实施例中，与工业控制系统100的元件相关联的密钥、凭证和/或标识号可以指定该元件的原始设备制造商(OEM)。如本文所使用的，术语“原始设备制造商”或“OEM”可以被定义为物理地制造设备(例如，元件)的实体，和/或设备的供应商，例如，从物理制造商购买设备并销售设备的实体。因此，在实施例中，设备可以由既是设备的物理制造商又是供应商的OEM来制造和分配(销售)。然而，在其他实施例中，设备可以由作为供应商而不是物理制造商的OEM来分配。在这样的实施例中，OEM可以使设备由物理制造商进行制造(例如，OEM可以从物理制造商对设备进行购买、订合同、订购等)。

另外，在OEM包括不是设备的物理制造商的供应商的情况下，该设备可以承载供应商的品牌而不是物理制造商的品牌。例如，在其中元件(例如，通信/控制模块106)与是供应商而不是物理制造商的特定OEM相关联的实施例中，元件的密钥、凭证和/或标识号可以指定该来源。在对工业控制系统100的元件进行认证期间，当确定被认证的元件是由与工业控制系统100的一个或多个其他元件的OEM不同的实体制造或供应的时，则可以在工业控制系统100内至少部分地禁用该元件的功能。例如，可以对该元件与工业控制系统100的其他元件之间的通信(例如，数据传输)施加限制，以使得该元件不能在工业控制系统100内的工作/运转。当工业控制系统100的元件中的一个元件需要替换时，该特征可以防止工业控制系统100的用户没有察觉地用非同质的元件(例如，具有与工业控制系统100的其余元件不同的来源(不同的OEM)的元件)来替换该元件，并且在工业控制系统100中实现该元件。以这种方式，本文描述的技术可以防止将其他OEM的元件替代到安全工业控制系统100中。在一个示例中，可以防止对代替由发源OEM提供的元件配备类似功能的元件的替代，因为被替代的元件不能在发源OEM系统内被认证并且进行操作。在另一示例中，可以由发源OEM向第一转售商提供具有第一组物理的且密码的标签的元件，并且第一转售商的元件可以安装在工业控制系统100中。在该示例中，可以由相同的发源OEM向第二转售商提供具有第二(例如，不同的)组物理的且密码的标签的元件。在该示例中，可以防止第二转售商的元件在工业控制系统100内进行操作，因为它们可能不被认证并且与第一转售商的元件一起操作。然而，还应该注意的是，第一转售商和第二转售商可以达成双方协议，其中第一元件和第二元件可以被配置为在相同的工业控制系统100内进行认证和操作。此外，在一些实施例中，还可以实现转售商之间的允许互操作的协议，因此协议只适用于特定的客户、客户群体、设施等。

在另一实例中，用户可以尝试在工业控制系统100内实现被错误地指定的(例如，错误标记的)元件。例如，错误标记的元件可以具有标记在其上的物理记号，该物理记号错误地指示该元件与工业控制系统100的其他元件的OEM相同的OEM相关联。在这种情况下，由工业控制系统100实现的认证过程可以使得用户被警告该元件是伪造的。该过程还可以提升工业控制系统100的改进的安全性，因为伪造元件经常是恶意软件可以通过其引入到工业控制系统100中的载具。在实施例中，认证过程为工业控制系统100提供了安全的气隙，确保安全工业控制系统与不安全的网络物理地隔离。

在实现方式中，安全工业控制系统100包括密钥管理实体124。密钥管理实体124可以被配置用于管理密码系统中的密码密钥(例如，加密密钥)。对密码密钥的这种管理(例如，密钥管理)可以包括密钥的生成、交换、存储、使用、和/或替换。例如，密钥管理实体124被配置为用作安全证书源，针对工业控制系统100的元件生成唯一安全证书(例如，公共安全证书、秘密安全证书)。密钥管理涉及用户和/或系统级(例如，在用户或系统之间)的密钥。

在实施例中，密钥管理实体124包括诸如位于安全设施中的实体的安全实体。密钥管理实体124可以位于远离I/O模块104、通信/控制模块106以及网络120处。例如，防火墙126可以使密钥管理实体124与控制元件或子系统102以及网络120(例如，公司网络)分离。在实现方式中，防火墙126可以是基于软件和/或基于硬件的网络安全系统，其通过分析数据分组并且基于规则集确定数据分组是否应该被允许通过来控制进入和流出的网络业务。因此，防火墙126在可信的、安全的内部网络(例如，网络120)与未假定为安全且可信的另一网络128(例如，云和/或因特网)之间建立屏障。在实施例中，防火墙126允许在密钥管理实体124与控制元件或子系统102和/或网络120中的一个或多个之间进行选择性的(例如，安全的)通信。在示例中，一个或多个防火墙可以在工业控制系统100内的各种位置处实现。例如，防火墙可以集成到网络120的交换机和/或工作站中。

安全工业控制系统100还可以包括一个或多个制造实体(例如，工厂122)。制造实体可以与工业控制系统100的元件的原始设备制造商(OEM)相关联。密钥管理实体124可以经由网络(例如，云)与制造实体可通信地耦合。在实现方式中，当在一个或多个制造实体处制造工业控制系统100的元件时，密钥管理实体124可以与该元件可通信地耦合(例如，可以具有到该元件的经加密的通信管线或通道)。密钥管理实体124可以利用通信管线来在制造点处向元件提供安全证书(例如，将密钥、凭证和/或标识号插入到元件中)。

此外，当元件被投入使用(例如，激活)时，密钥管理实体124可以可通信地(例如，经由经加密的通信管线)耦合到世界范围内的每个单独的元件，并且可以确认并签署特定代码的使用，撤销(例如，移除)任何特定代码的使用，和/或启用任何特定代码的使用。因此，密钥管理实体124可以与每个元件在最初制造(例如，产生)该元件的工厂中进行通信，以使得元件在产生时具有所管理的密钥。可以由密钥管理实体124维护包括用于工业控制系统100的每个元件的所有加密密钥、凭证和/或标识号的主数据库和/或表。密钥管理实体124通过其与元件的通信被配置为用于撤销密钥，由此提升认证机构应对部件的盗用和重新使用的能力。

在实现方式中，密钥管理实体124可以经由另一网络(例如，云和/或因特网)以及防火墙与控制元件/子系统、工业元件和/或网络120中的一个或多个可通信地耦合。例如，在实施例中，密钥管理实体124可以是集中式系统或分布式系统。此外，在实施例中，可以在本地或远程地对密钥管理实体124进行管理。在一些实现方式中，密钥管理实体124可以位于(例如，集成到)网络120和/或控制元件或子系统102内。密钥管理实体124可以提供管理和/或可以以各种方式被管理。例如，密钥管理实体124可以由以下来实现/管理：在中央位置处的顾客、在单独的工厂位置处的顾客、外部第三方管理公司、和/或在工业控制系统100的不同层的顾客，并且取决于层而在不同位置处实现/管理。

可以通过认证过程来提供变化的安全性级别(例如，可扩展的、用户配置的安全性的量)。例如，可以提供基本安全性级别，其认证元件并且保护元件内的代码。也可以添加其他层的安全性。例如，可以将安全性实现为以下程度：使得部件(例如，通信/控制模块106)在没有恰当的认证发生的情况下不能上电。在实现方式中，代码中的加密在元件中实现，而安全证书(例如，密钥和凭证)在元件上实现。安全性可以分配(例如，流动)通过工业控制系统100。例如，安全性可以流动通过工业控制系统100直到终端用户，该终端用户知道在这种情况下模块被设计为对什么进行控制。在实施例中，认证过程提供加密，对用于安全通信的设备的识别，以及对系统硬件部件或软件组件的认证(例如，经由数字签名)。

在实现方式中，可以实现认证过程以提供和/或启用由不同的制造商/销售商/供应商(例如，OEM)制造和/或供应的元件在安全工业控制系统100内的互操作性。例如，可以启用由不同制造商/销售商/供应商制造和/或供应的元件之间的选择性的(例如，一些)互操作性。在实施例中，在认证期间实现的唯一安全证书(例如，密钥)可以形成层级，由此允许不同的功能由工业控制系统100的不同元件来执行。

连接工业控制系统100的部件的通信链路还可以采用放置(例如，注入和/或填充)在其中的数据分组，例如，短分组(例如，小于六十四(64)字节的分组)，这提供增加的安全性级别。短分组的使用增加了外部信息(例如，诸如虚假消息、恶意软件(病毒)、数据挖掘应用等的恶意内容)可以被注入到通信链路上的困难级别。例如，可以在动作发起器204与通信/控制模块106或任何其他工业元件/控制器206之间传输的数据分组之间的间隙内将短分组注入到通信链路上，以阻碍外部实体将恶意内容注入到通信链路上的能力。

如图4和图5所示，I/O模块104、通信/控制模块106、或任何其他工业元件/控制器406可以至少部分地根据来自动作发起器402的请求/命令来进行操作。例如，动作发起器402可以访问数据和/或发送与设置或调节用于耦合到IOM 104或CCM 106的图像捕获设备200或现场设备130的一个或多个系统变量相关联的指令/请求。在实现方式中，动作发起器402包括操作者接口408(例如，SCADA或HMI)、包括编辑器412和编译器414的工程接口410、本地应用420、远程应用416(例如，经由本地应用420通过网络418进行通信)等。在图4和图5所示的认证路径400中，只有当操作者动作已经由动作认证器404签名和/或加密时，或者当与操作者动作相关联的通信(例如，认证消息)被签名和/或加密时，工业元件/控制器406(例如，IOM 104或CCM 106)才对操作者动作(例如，数据请求、改变/调节一个或多个系统变量的指令、工程接口命令、控制命令、固件/软件更新、设定点控制、应用图像下载等)进行处理。这防止来自有效用户简档的未经授权的操作者动作，并且进一步保护系统免受来自无效(例如，被黑客入侵的)简档的未经授权的动作请求。在实施例中，动作认证过程如在美国专利申请No.14/519,066中所描述地来实现，该申请通过引用整体并入本文。

动作认证器404可以包括其上存储有私有密钥的存储介质，以及被配置为用私有密钥对动作发起器402生成的动作请求进行签名和/或加密的处理器。私有密钥可以存储在无法经由标准操作者登录进行访问的存储器中。例如，受保护的工作站426可以要求物理密钥、便携式加密设备(例如，智能卡、RFID标签等)、和/或生物特征输入以用于进行访问。在实施例中，私有密钥(例如，安全证书)可以由现场或非现场密钥管理实体(例如，现场设备寿命管理系统(“DLM”)422或经由网络418连接的远程定位的DLM 422)提供。

在一些实施例中，动作认证器404包括便携式加密设备，例如，智能卡424(其可以包括受保护的微处理器)。使用便携式加密设备的优点在于整个设备(包括与其通信的私有存储的密钥和处理器)可以由被授权对动作发起器402的接口进行访问的操作者或用户携带。无论动作认证节点404是经由受保护的工作站还是不受保护的工作站对认证路径400进行访问，可以在便携式加密设备的架构而不是潜在地没那么安全的工作站或基于云的架构内对来自动作发起器402的动作请求安全地进行签名和/或加密。这确保了工业控制系统100免于未经授权的动作。例如，未经授权的人员必须物理地占有智能卡424，然后才能够认证经由动作发起器402发送的任何动作请求。

此外，可以采用多层安全性。例如，动作认证器404可以包括受保护的工作站426，其仅可经由智能卡访问等进行访问以对动作请求进行签名和/或加密。另外，受保护的工作站426可以是可经由生物特征或多因素密码设备428(例如，指纹扫描仪、虹膜扫描仪、和/或面部识别设备)进行访问的。在一些实施例中，在启用智能卡424或其他便携式加密设备来对动作请求进行签名之前，多因素密码设备428要求有效的生物特征输入。

由动作发起器402驱动的工业元件/控制器406被配置为接收已签名的动作请求，验证已签名的动作请求的真实性，并且在已签名的动作请求的真实性被验证时执行所请求的动作。在一些实施例中，工业元件/控制器406包括被配置为存储动作请求(例如，应用图像、控制命令、和/或动作发起器发送的任何其他数据)的存储介质430(例如，SD/微型SD卡、HDD、SSD、或任何其他非暂时性存储设备)。工业元件/控制器406还包括处理器432(例如，微控制器、微处理器、ASIC等)，其在认证操作者动作或与其相关联的通信之后实现/执行与操作者动作相关联的代码(即，执行所请求的动作)。在一些实施例中，操作者动作由动作发起器402和/或动作认证器432进行加密，并且在执行所请求的动作之前也必须由处理器432进行解密。在实现方式中，工业元件/控制器406包括虚拟键开关434(例如，在处理器432上运行的软件模块)，其使得处理器432仅在认证操作者动作或与其相关联的通信之后才能够执行操作者动作。例如，虚拟键开关434可以被配置为选择性地启用/禁用处理器432的一个或多个操作模式(例如，安全模式、标准操作模式、安全操作模式等)。在一些实施例中，每个且每一个动作或者关键动作的选择中的每一个在由工业元件/控制器406运行之前都必须清理认证路径。例如，这可以包括被发送以用于图像捕获设备200或现场设备130的参数/过程变量或数据请求的任何变化。

如上面讨论的，为了进一步的安全性，图像捕获设备200可以被配置为执行认证序列或握手，以与图像捕获设备200连接到的外部设备(例如，IOM 104或CCM 106)进行认证。认证可以发生于预先定义的事件或者时间，包括例如启动、重置、安装图像捕获设备200、替换图像捕获设备200、定期地、在经计划的时间等。通过使图像捕获设备200与图像捕获设备200耦合到的外部设备进行认证，可以避免伪造或恶意引入的图像捕获设备200。在实现方式中，当认证不成功时，外部设备可以至少部分地禁用图像捕获设备200的特征或者防止与图像捕获设备200的通信。

图6示出了在执行认证序列时在图像捕获设备200与外部设备(例如，IOM 104或CCM 106)之间传输的示例数据报500。为了发起认证序列，外部设备被配置为将请求数据报502发送到图像捕获设备200。在实现方式中，请求数据报502包括第一明文随机数(随机数A)、包含第一设备认证密钥(DAKA)的第一设备认证密钥凭证(CertDAKA)、以及第一身份属性凭证(IACA)。在一些实施例中，外部设备被配置为利用真随机数生成器(在下文中为“TRNG”)来生成第一随机数(随机数A)，并且将第一随机数(随机数A)、第一设备认证密钥凭证(CertDAKA)以及第一身份属性凭证(IACA)进行连结或以其他方式组合，以生成请求数据报502。在一些实施例中，第一设备认证密钥凭证(CertDAKA)和第一身份属性凭证(IACA)由外部设备本地存储。例如，凭证可以存储于I/O模块104或通信/控制模块106的本地存储器(例如，ROM、RAM、闪速存储器、或其他非暂时性存储介质)中。

图像捕获设备200被配置为通过利用公共密钥验证第一设备认证密钥凭证(CertDAKA)和第一身份属性凭证(IACA)来对请求数据报进行确认，该公共密钥由设备寿命管理系统(DLM)生成或利用密码库函数导出。就此而言，公共密钥可以存储于图像捕获设备200的SRAM或另一本地存储器中，并且与密码库函数一起用于对所交换的数据(例如，在外部设备与图像捕获设备200之间交换的随机数)进行验证或密码签名。在一些实施例中，图像捕获设备200可以利用椭圆曲线数字签名算法(在下文中为“ECDSA”)或其他验证操作来对凭证进行验证。在一些实施例中，图像捕获设备200还可以被配置为通过对以下进行验证来根据明文值对凭证值进行确认：凭证类型是每个凭证的设备认证密钥(在下文中为“DAK”)或身份属性凭证(在下文中为“IAC”)；IAC名称匹配，DAK凭证模块类型匹配模块类型变元；和/或消息有效载荷中的每个凭证的微处理器序列号(在下文中为“MPSN”)彼此匹配。在一些实施例中，图像捕获设备200还可以被配置为验证DAK和IAC凭证不在本地撤销列表(例如，包括所撤销的和/或无效凭证的列表或数据库)中。当图像捕获设备200未能对请求数据报进行确认时，图像捕获设备200可以生成错误消息，部分地或完全地禁用外部设备，和/或中断或限制去往/来自外部设备的通信。

响应于有效请求数据报502，图像捕获设备200被配置为将响应数据报504发送到外部设备。在实现方式中，响应数据报504包括第二明文随机数(随机数B)、与第一随机数和第二随机数相关联的第一签名(SigB[随机数A||随机数B])、包含第二设备认证密钥(DAKB)的第二设备认证秘钥凭证(certDAKB)以及第二身份属性凭证(IACB)。在一些实施例中，图像捕获设备200被配置为利用TRNG来生成第二随机数(随机数B)，将第一随机数(随机数A)与第二随机数(随机数B)进行连结或以其他方式组合，并且利用由图像捕获设备200本地存储的私有密钥(例如，DAK)对经连结/经组合的随机数进行签名。图像捕获设备200还被配置为将第二随机数(随机数B)、与第一随机数和第二随机数相关联的第一签名(SigB[随机数A||随机数B])、第二设备认证密钥凭证(certDAKB)以及第二身份属性凭证(IACB)进行连结或以其他方式组合，以生成响应数据报504。在一些实施例中，可以由图像捕获设备200本地存储第二设备认证秘钥凭证(CertDAKB)和第二身份属性凭证(IACB)。例如，凭证可以存储在图像捕获设备200的本地存储器(例如，ROM、RAM、闪速存储器、或其他非暂时性存储介质)中。

外部设备被配置为通过利用公共密钥验证第二设备认证密钥凭证(CertDAKB)和第二身份属性凭证(IACB)来对响应数据报进行确认，该公共密钥是本地存储的，或者利用ECDSA或另一验证操作从密码库中取回。在一些实施例中，外部设备还可以配置为通过对以下进行验证来根据明文值对凭证值进行确认：IAC&DAK凭证具有匹配的MPSN，IAC名称匹配，凭证类型在两个凭证(IAC&DAK)上都是正确的，在两个凭证上存在正确的发布者名称，DAK模块类型是正确的类型(例如，进行检查以查看是否模块类型＝通信/控制模块)。在一些实施例中，外部设备还可以被配置为验证DAK和IAC凭证不在本地撤销列表中。

为了对响应数据报进行确认，外部设备还可以被配置为验证与第一随机数和第二随机数相关联的第一签名(sigB[随机数A||随机数B])。在一些实施例中，外部设备被配置为通过以下操作来验证第一签名(sigB[随机数A||随机数B])：连结第一本地存储的随机数(随机数A)与从图像捕获设备200接收到的第二明文随机数(随机数B)，利用公共设备认证密钥(例如，使用来自certDAKB的DAKB)来验证第一密码签名(sigB[随机数A||随机数B])，以及将本地生成的第一随机数和第二随机数的连结与密码地验证的第一随机数和第二随机数的连结进行比较。当外部设备未能对响应数据报进行确认时，外部设备可以生成错误消息，部分地或完全地禁用图像捕获设备200，和/或中断或限制去往/来自图像捕获设备200的通信。

外部设备还被配置为当响应数据报504有效时将认证数据报506发送到图像捕获设备200。在实现方式中，认证数据报506包括与第一随机数和第二随机数相关联的第二签名(sigA[随机数A||随机数B])。在一些实施例中，外部设备被配置为利用由外部设备本地存储的私有密钥(例如，DAK)来对本地生成的第一随机数和第二随机数的连结进行签名。当响应数据报无效时，认证数据报506可以用“失败”认证数据报506来替换，其包括由外部设备生成的与第二随机数和错误报告(例如，“失败”)消息相关联的签名(sigA[随机数B||错误])。

响应于认证数据报506，图像捕获设备200还可以被配置为将响应认证数据报508发送到外部设备。在实现方式中，响应认证数据报508包括由图像捕获设备200生成的与第一随机数和错误报告(例如，“成功”或“失败”)消息相关联的签名(sigB[随机数A||错误])。在一些实施例中，图像捕获设备200被配置为通过验证与第一随机数和第二随机数相关联的第二签名(sigA[随机数A||随机数B])来对认证数据报506进行确认。在一些实施例中，图像捕获设备200被配置为通过以下操作来验证第二签名(sigA[随机数A||随机数B])：连结从外部设备接收到的第一明文随机数(随机数A)和第二本地存储的随机数(随机数B)，利用公共设备认证密钥(例如，使用来自certDAKA的DAKA)来验证第二密码签名(sigA[随机数A||随机数B])，以及将本地生成的第一随机数和第二随机数的连结与密码地验证的第一随机数和第二随机数的连结进行比较。除了错误报告消息之外，当图像捕获设备200未能对认证数据报进行确认时，图像捕获设备200可以部分地或完全地禁用外部设备，和/或中断或限制去往/来自外部设备的通信。

在一些实现方式中，如上面描述的图像捕获设备200和外部设备的角色可以颠倒。在一些实现方式中，外部设备和图像捕获设备根据“主控-从属”配置来布置，其中主控设备(例如，外部设备)可以被配置为对从属设备(例如，图像捕获设备200)进行认证。在认证失败的情况下，主控设备可以至少部分地禁用或限制去往/来自未经认证的从属设备的通信。可替代地，失败的认证可能导致两个设备或伪次级设备被部分或完全禁用。例如，为了增强的安全性，如果外部设备(例如，IOM 104或CCM 106)和图像捕获设备200未能成功完成认证序列，则其可能被禁用。

本文描述的工业控制系统元件中的每一个可以包括能够执行本文描述的功能的电路和/或逻辑。例如，每个工业控制系统元件(例如，IOM 104、CCM 106、图像捕获设备200等)可以包括处理器，该处理器被配置为执行由非暂时性机器可读介质(例如，硬盘驱动器(HDD)、固态盘(SDD)、光盘、磁存储设备、闪存驱动器等)永久、半永久、或暂时存储的程序指令。此外，如上面描述的，本文的工业控制元件在投入使用时或产生时(例如，在制造的地点处)，可以由秘钥管理实体124(其可以是对于所有工业控制系统元件都相同的秘钥管理实体)向其提供唯一安全证书。这些安全证书可以存储在每个设备的安全存储器中(例如，在经加密的存储器中)。此外，可以在每个工业控制系统元件的界限内发生对任何操作者动作、请求、数据报等的认证(例如，使用(多个)嵌入式安全证书和每个元件的处理器，而不是经由外部认证器)。就此而言，可以在工业控制系统100的每个级别/层实现固有安全性。

应该理解，可以使用硬件(例如，诸如集成电路的固定逻辑电路)、软件、固件、手动处理、或其组合来实现本文所描述的功能中的任何功能。因此，上述公开中讨论的框、操作、功能、或步骤一般表示硬件(例如，诸如集成电路的固定逻辑电路)、软件、固件、或其组合。在硬件配置的情况下，以上公开中讨论的各种框可以连同其他功能一起实现为集成电路。这种集成电路可以包括给定框、系统、或电路的所有功能，或者框、系统、或电路的功能中的一部分。此外，框、系统、或电路的元件可以跨多个集成电路来实现。这种集成电路可以包括各种集成电路，包括但不限于：单片集成电路、倒装芯片集成电路、多芯片模块集成电路、和/或混合信号集成电路。在软件实现方式的情况下，上述公开中讨论的各种框表示当在处理器上执行时执行指定任务的可执行指令(例如，程序代码)。这些可执行指令可以存储于一个或多个有形计算机可读介质中。在一些这样的情况下，整个系统、框、或电路可以使用其软件或等同固件来实现。在其他情况下，给定系统、框、或电路的一部分可以以软件或固件来实现，而其他部分以硬件来实现。

虽然已经用特定于结构特征和/或过程操作的语言描述了主题，但是应该理解，在随附权利要求中限定的主题不一定限于上面描述的具体特征或动作。相反，上面描述的具体特征和动作作为实现权利要求的示例形式而公开。

Claims (20)

1.一种用于安全工业控制系统的图像捕获设备，包括：

图像传感器；

信号处理器，其耦合到所述图像传感器；以及

控制器，其用于管理所述信号处理器以及经由通信接口将与经处理的图像信号相关联的数据发送到输入/输出模块或通信/控制模块中的至少一个，所述通信接口将所述控制器耦合到所述输入/输出模块或所述通信/控制模块中的所述至少一个，其中，所述控制器被配置为基于所述图像捕获设备的至少一个相应的安全证书以及所述输入/输出模块或所述通信/控制模块中的所述至少一个的至少一个相应的安全证书，来在所述控制器与所述输入/输出模块或所述通信/控制模块中的所述至少一个之间建立经加密的通道。

2.根据权利要求1所述的图像捕获设备，其中，所述控制器还被配置为利用所述图像捕获设备的至少一个相应的安全证书以及所述输入/输出模块或所述通信/控制模块中的所述至少一个的至少一个相应的安全证书，来执行与所述输入/输出模块或所述通信/控制模块中的所述至少一个的认证序列。

3.根据权利要求1所述的图像捕获设备，其中，所述图像捕获设备的至少一个相应的安全证书包括来自密钥管理实体的在相应制造点处针对所述图像捕获设备提供的唯一安全证书。

4.根据权利要求3所述的图像捕获设备，其中，所述至少一个相应的安全证书能够在与所述相应制造点不同的地点由所述密钥管理实体进行修改、撤销、或认证中的至少一个。

5.根据权利要求3所述的图像捕获设备，其中，所述至少一个相应的安全证书能够由所述输入/输出模块或所述通信/控制模块中的所述至少一个进行修改、撤销、或认证中的至少一个。

6.根据权利要求1所述的图像捕获设备，其中，所述通信接口被配置为经由所述输入/输出模块或所述通信/控制模块中的所述至少一个将所述控制器连接到通信背板，所述通信背板包括串行通信接口和并行通信接口。

7.根据权利要求6所述的图像捕获设备，其中，所述通信接口包括以太网供电(POE)端口，所述以太网供电(POE)端口用于接收由所述输入/输出模块或所述通信/控制模块中的所述至少一个供应的电力。

8.根据权利要求1所述的图像捕获设备，其中，一个或多个经处理的图像信号包括由所述图像传感器检测到的光谱数据。

9.根据权利要求8所述的图像捕获设备，其中，所述控制器被配置为发送所述光谱数据，以用于监测一个或多个工业控制系统环境条件，所述工业控制系统环境条件包括以下中的一个或多个的环境存在：火、灰尘、烟雾、微粒、热、潮湿、升高的压力、气体、或辐射。

10.一种安全工业控制系统，包括：

通信/控制模块；

输入/输出模块；

通信背板，其将所述通信/控制模块物理地且可通信地耦合到所述输入/输出模块；以及

图像捕获设备，包括：图像传感器；耦合到所述图像传感器的信号处理器；以及控制器，所述控制器用于管理所述信号处理器以及经由通信接口将与经处理的图像信号相关联的数据发送到所述输入/输出模块或所述通信/控制模块中的至少一个，所述通信接口将所述控制器耦合到所述输入/输出模块或所述通信/控制模块中的所述至少一个，其中，所述控制器被配置为基于所述图像捕获设备的至少一个相应的安全证书以及所述输入/输出模块或所述通信/控制模块中的所述至少一个的至少一个相应的安全证书，来在所述控制器与所述输入/输出模块或所述通信/控制模块中的所述至少一个之间建立经加密的通道。

11.根据权利要求10所述的安全工业控制系统，其中，所述控制器还被配置为利用所述图像捕获设备的至少一个相应的安全证书以及所述输入/输出模块或所述通信/控制模块中的所述至少一个的至少一个相应的安全证书，来执行与所述输入/输出模块或所述通信/控制模块中的所述至少一个的认证序列。

12.根据权利要求10所述的安全工业控制系统，其中，所述图像捕获设备的至少一个相应的安全证书包括来自密钥管理实体的在相应制造点处针对所述图像捕获设备提供的唯一安全证书。

13.根据权利要求12所述的安全工业控制系统，其中，所述图像捕获设备的至少一个相应的安全证书能够在与所述相应制造点不同的地点由所述密钥管理实体进行修改、撤销、或认证中的至少一个。

14.根据权利要求12所述的安全工业控制系统，其中，所述图像捕获设备的至少一个相应的安全证书能够由所述输入/输出模块或所述通信/控制模块中的所述至少一个进行修改、撤销、或认证中的至少一个。

15.根据权利要求10所述的安全工业控制系统，其中，所述通信接口被配置为经由所述输入/输出模块或所述通信/控制模块中的所述至少一个将所述控制器连接到所述通信背板，其中，所述通信背板包括串行通信接口和并行通信接口。

16.根据权利要求15所述的安全工业控制系统，其中，所述通信接口包括以太网供电(POE)端口，所述以太网供电(POE)端口用于接收由所述输入/输出模块或所述通信/控制模块中的所述至少一个供应的电力。

17.根据权利要求10所述的安全工业控制系统，其中，一个或多个经处理的图像信号包括由所述图像传感器检测到的光谱数据。

18.根据权利要求17所述的安全工业控制系统，其中，所述控制器被配置为发送所述光谱数据，以用于监测一个或多个工业控制系统环境条件，所述工业控制系统环境条件包括以下中的一个或多个的环境存在：火、灰尘、烟雾、微粒、热、潮湿、升高的压力、气体、或辐射。

19.根据权利要求10所述的安全工业控制系统，其中，所述通信/控制模块或所述输入/输出模块中的至少一个被配置为在将从所述图像捕获设备接收到的图像信号发送到所述安全工业控制系统的另一工业元件或网络连接的设备之前，对所述图像信号进行预处理或后处理。

20.一种安全工业控制系统，包括：

通信/控制模块；

输入/输出模块；

通信背板，其将所述通信/控制模块物理地且可通信地耦合到所述输入/输出模块，所述通信背板包括用于将所述输入/输出模块连接到所述通信/控制模块的串行通信接口，以及被配置用于将所述输入/输出模块分离地连接到所述通信/控制模块的并行通信接口；以及

图像捕获设备，包括：图像传感器；耦合到所述图像传感器的信号处理器；以及控制器，所述控制器用于管理所述信号处理器以及经由通信接口将与经处理的图像信号相关联的数据发送到所述输入/输出模块或所述通信/控制模块中的至少一个，所述通信接口将所述控制器耦合到所述输入/输出模块或所述通信/控制模块中的所述至少一个。