CN115280723A - 一种用于提供对节点的不间断控制的控制器及其方法 - Google Patents

Abstract

一种经由分段控制器用于提供对节点的不间断控制的方法；其中该方法包括：在分段控制器上执行控制应用的多个逻辑实例；检测指示对分段控制器的未授权访问请求的恶意信号；确定当前控制节点的逻辑实例已经受到未授权访问请求的影响；确定多个逻辑实例中未受到未授权访问请求影响的逻辑实例；将控制该节点的分段控制器的逻辑实例从受影响的逻辑实例切换到未受影响的逻辑实例。

Description

一种用于提供对节点的不间断控制的控制器及其方法

技术领域

本发明涉及一种用于提供对节点的不间断控制的方法。本发明还涉及用于提供对节点的不间断控制的分段控制器、系统和计算机程序产品。

背景技术

由智能设备和家庭网络构成的系统通常属于智能家庭系统的范畴。智能家居系统通常连接到互联网，通常使得当用户不在家时，它们可以由用户控制。尽管在上面被称为“家庭”系统，但是这样的系统可以在诸如工作空间或室外空间的任何环境中实现，使得该系统包括并且可以用于控制放置在环境中的设备。连接的设备是能够连接到系统或被系统识别的任何设备。这种系统以及其设备的一个常用短语是物联网（IoT）和IoT设备。在物联网（IoT）中，许多类型的设备都连接到互联网，允许使用一起联网到“家庭”系统的专用设备来控制诸如加热和照明的环境元素。

IoT系统——其中每个设备相互连接和/或连接到互联网——的性质引入了网络攻击的严重风险。在互联网系统中普遍已知的各种类型的网络攻击现在也适用于IoT领域。此外，IoT设备以及其新应用的大规模部署也可以开启前所未见的新的网络攻击载体（vector）。

发明内容

发明人已经意识到，在网络攻击的情况下，为每个设备提供额外的设备作为备份是昂贵并且管理复杂的，特别是在大规模物联网系统中。发明人还认识到，当一个或多个设备受到网络攻击时，首先难以最小化网络攻击的影响，其次难以恢复受害设备。

因此，本发明的一个目的是在网络攻击的情况下提供对设备的不间断控制。本发明进一步的目的是最小化网络攻击的影响，并且在不失去对（多个）设备的控制的情况下恢复（多个）受害设备。

根据第一方面，该目的通过一种经由分段控制器用于提供对节点的不间断控制的方法来实现；其中该方法包括：在分段控制器上执行控制应用的多个逻辑实例；检测指示对分段控制器的未授权访问请求的恶意信号；确定当前控制节点的逻辑实例已经受到未授权访问请求的影响；确定多个逻辑实例中未受到未授权访问请求影响的逻辑实例；将控制节点的分段控制器的逻辑实例从受影响的逻辑实例切换到未受影响的逻辑实例。

通信网络可以包括多个节点，其中该多个节点可以被分成多个段。每个段可以包括至少一个可以经由分段控制器控制的节点。用于经由分段控制器提供对可能属于段的节点的不间断控制的方法可以包括在段控制器上执行控制应用的多个逻辑实例。逻辑实例可以是从实际硬件抽象出的层中的设备（例如分段控制器）的虚拟实例。例如，可以通过并行运行多个逻辑实例来执行多个逻辑实例。

该方法还可以包括检测指示对分段控制器的未授权访问请求的恶意信号。恶意信号可以被分段控制器或分段控制器外部的任何其他设备或系统检测到。例如，可以基于网络流量分析来检测恶意信号。未授权访问请求可以包括本领域中任何已知的网络攻击，例如拒绝服务（DoS）、中间人（MitM）、恶意软件的注入、僵尸网络活动、欺骗等。该方法还可以包括确定当前控制节点的逻辑实例已经受到未授权访问请求的影响，并且确定多个逻辑实例中未受到未授权访问请求影响的逻辑实例。可以扫描多个逻辑实例以确定哪一个是未受影响的。可以使用挑战-响应方法来确定多个逻辑实例中的哪一个是受到影响的或未受影响的。

该方法还可以包括将控制节点的分段控制器的逻辑实例从受影响的逻辑实例切换到未受影响的逻辑实例。由于将所确定的受影响的逻辑实例切换到所确定的未受影响的逻辑实例来控制节点，因此该方法最小化了网络攻击的影响并且恢复了受害节点，从而提供了对节点的不间断控制。

在一个实施例中，分段控制器可以被布置用于从中央控制器接收用于控制节点的控制命令，并且其中中央控制器可以经由本地网络和/或外部网络可连接到分段控制器；其中该方法还可以包括：确定未授权的访问请求是经由本地网络还是外部网络接收到的；并且其中当经由本地网络接收到未授权的访问请求时；断开中央控制器与分段控制器的本地连接；经由外部网络从中央控制器接收控制命令；并且其中当经由外部网络接收到未授权的访问请求时；断开中央控制器与分段控制器的外部连接；经由本地网络从中央控制器接收控制命令。

分段控制器可以被布置用于从中央控制器接收用于控制节点的控制命令。中央控制器可以是用户设备——例如智能手机、膝上型计算机、平板计算机、个人数字助理（PDA）或一些其他移动计算设备——其可以经由分段控制器控制节点。中央控制器可以经由本地网络连接到分段控制器。诸如有线或无线LAN的本地网络可以包括中央控制器、分段控制器和包括节点的至少一个段。中央控制器可以经由外部网络连接到分段控制器，其中在外部网络中，来自中央控制器的控制命令可以经由远程服务器（例如，从云）路由到分段控制器。当确定可以经由本地网络接收到未授权的访问请求时，可以经由外部网络接收来自中央控制器的控制命令，并且反之亦然，以提供不间断的控制。由于经由本地/外部网络的未授权访问请求的接收暴露了本地/外部网络连接对网络攻击的脆弱性，因此相应地断开这种本地或外部连接以避免进一步的（潜在的）（多个）网络攻击。

在一个实施例中，方法还可以包括：确定中央控制器是否经由本地网络和/或外部网络连接到分段控制器；其中当经由本地网络接收到未授权访问请求时，并且当中央控制器没有经由外部网络连接到分段控制器时；在经由外部网络从中央控制器接收控制命令之前，建立中央控制器和分段控制器之间的外部连接；并且其中当经由外部网络接收到未授权访问请求时，并且当中央控制器没有经由本地网络连接到分段控制器时；在经由本地网络从中央控制器接收控制命令之前，建立中央控制器和分段控制器之间的本地连接。

在该实施例中，在经由本地或外部网络接收来自中央控制器的控制命令之前，基于何时经由本地或外部网络接收到未授权访问请求以及何时中央控制器没有经由本地或外部网络连接到分段控制器的确定，有利地建立中央控制器和分段控制器之间的本地或外部连接。

在一个实施例中，切换还可以包括暂停受影响的逻辑实例。

将受影响的逻辑实例切换到未受影响的逻辑实例还可以包括暂停受影响的逻辑实例。这被有利地执行以最小化网络攻击的影响。

在一个实施例中，多个逻辑实例可以在分段控制器启动时执行，并且随后每次只有多个逻辑实例中的一个逻辑实例可以是活动的；其中多个逻辑实例中的剩余逻辑实例可以是空闲的。

当分段控制器已经启动时（例如断电之后），可以执行多个逻辑实例。分段控制器启动之后，只有一个逻辑实例是“活动的”。活动的逻辑实例是控制节点的实例。多个逻辑实例中的（多个）剩余的逻辑实例可以是“空闲的”，例如不活动的。剩余的逻辑实例可以在后台同时（并行）运行。在该示例中，一次只有一个逻辑实例可以是活动的。替代地，一次有多个逻辑实例是活动的。

在一个实施例中，控制应用的多个逻辑实例可以使用虚拟化技术在分段控制器上执行。在一个实施例中，虚拟化技术可以包括类型1虚拟化、类型2虚拟化、基于容器的虚拟化、应用虚拟化、物理或硬件虚拟化中的一种或多种。

虚拟化可以包括创建某物的虚拟的（而非实际的）变体，包括但不限于计算机/网络硬件（诸如分段控制器、中央控制器、节点等）、存储设备、和计算机网络资源。虚拟化是众所周知的技术，其中计算资源被物理地或逻辑地分配给多个实例中的每个程序，例如经由多个操作系统的安装。可以有利地使用各种虚拟化技术，例如类型1虚拟化、类型2虚拟化、基于容器的虚拟化、应用虚拟化、物理虚拟化。不排除本领域中已知的其他虚拟化技术。

在一个实施例中，节点可以包括在照明网络中；并且其中当检测到恶意信号时；照明网络可以从正常控制模式切换到基本照明控制模式；其中在基本照明控制模式中，多个逻辑实例中的未受影响的逻辑实例的确定可以限于被布置用于提供对作为照明设备的节点的控制的未受影响的逻辑实例。

在（连接的）照明网络中，其指的是一个或多个照明设备、感测设备、功能设备（例如致动元件、音频/视频设备等）的网络。其不是由（或不仅由）传统的有线、电气开关或调光器电路控制，而是通过经由有线或更常见的无线连接（例如有线或无线网络）使用数据通信协议来控制。在这种连接的照明网络/系统中，正常控制模式可以包括不仅仅是照明设备的控制，并且其中当检测到恶意信号时，照明网络例如从正常控制模式切换到基本照明控制模式，其中在基本控制模式中，多个逻辑实例中的未受影响的逻辑实例的确定可以限于被布置用于提供对照明设备的控制的未受影响的逻辑实例。在一个示例中，基本照明模式可以包括控制照明设备以提供诸如基本照明功能（例如开、关、调暗/调亮）的功能照明。

在一个实施例中，恶意信号可以由分段控制器使用检测机制算法来检测。在一个实施例中，未授权的访问请求可以由分段控制器外部的外部设备来检测。

分段控制器可以（在本地）检测恶意信号。例如，分段控制器可以分析几个方面，包括分析网络流量、操作系统中的进程和指令，并且基于这样的分析可以检测恶意信号。附加地或替代地，分段控制器可以在安全信道中随机地或周期性地将日志分析发送到（可信的）外部设备/系统，使得恶意信号的检测可以由分段控制器外部的外部设备或系统执行，例如经由云中的服务器。在一个示例中，检测可以部分地在分段控制器和外部设备（例如云）中执行。

在一个实施例中，检测机制算法可以包括入侵检测系统、机器学习技术、基于规则的学习、异常检测、学习系统中的一个或多个。

不同的检测机制算法可以有利地用于检测恶意信号。例如，可以使用入侵检测系统、机器学习技术、基于规则的学习、异常检测、基于特征的学习系统。也可以使用本领域中已知的其他算法。检测机制算法的选择可以基于可用于执行这种检测机制算法的资源（例如基于哪个设备执行检测）来有利地选择。

根据第二方面，该目的通过用于提供对节点的不间断控制的分段控制器来实现；其中分段控制器包括：本地输入接口，其经由本地网络从中央控制器接收控制命令；外部输入接口，其经由外部网络从中央控制器接收控制命令；输出接口，其基于接收到的控制命令向节点输出控制指令；以及处理器，其根据第一方面执行该方法的步骤。

根据第三方面，该目的通过一种用于提供对节点的不间断控制的系统来实现；其中系统包括：根据第二方面的分段控制器；以及节点。

在一个实施例中，系统还可以包括中央控制器；其中分段控制器被布置用于从中央控制器接收控制命令。

根据第四方面，该目的通过包括指令的计算机程序产品来实现，当程序由计算机执行时，该指令使计算机根据第一方面执行该方法的步骤。

应当理解，计算机程序产品、系统和控制器可以具有与上述方法相似的和/或相同的实施例和优点。

附图说明

参考附图，通过以下对系统、设备和方法的实施例的说明性和非限制性的详细描述，将更好地理解所公开的系统、设备和方法的上述以及额外的目的、特征和优点，其中：

图1示意性地和示例性地示出了用于提供对节点的不间断控制的系统的一个实施例；

图2示意性地和示例性地示出了说明用于提供对节点的不间断控制的方法的一个实施例的流程图；

图3示意性地和示例性地示出了说明用于提供对节点的不间断控制的方法的另一个实施例的流程图；

图4示意性地和示例性地示出了类型1管理程序虚拟化技术；

图5示意性地和示例性地示出了类型2管理程序虚拟化技术；

图6示意性地和示例性地示出了基于容器的虚拟化技术。

所有的附图都是示意性的、不一定是按比例的，并且通常仅示出了为了阐明本发明所必需的部分，其中可以省略或者仅仅建议其他部分。

具体实施方式

图1示意性地和示例性地示出了用于提供对节点110a-d的不间断控制的系统100的实施例。系统100可以包括任何通信网络，例如包括多个节点110a-d的IoT系统。节点110a-d可以是照明设备、感测设备、网关或任何功能设备中的一个或多个。功能设备例如是加热设备、致动设备、媒体渲染设备等。系统100可以是（连接的）照明系统，例如PhilipsHue。在示例性图中，节点100a-d可以包括照明设备110a-c和感测设备110d。节点110a-d可以被分成一个或多个段。为了表示的清楚起见，这里只示出了一个段。系统100可以包括任何数量的段。段可以基于节点110a-d相对于彼此或相对于分段控制器120的位置来形成；或者可以基于操作、时间等来形成。

段可以经由分段控制器120来控制，例如，包含在该段中的节点110a-d经由分段控制器120来控制。节点110a-d可以经由其自己的段的分段控制器120或者相邻段的分段控制器或者经由网络中的任何其他分段控制器来控制。作为经由分段控制器来控制节点的示例，当节点110a-d是照明设备时，照明设备的操作状态可以经由分段控制器120来控制。分段控制器120可以包括本地输入接口124、外部输入接口122、输出接口125和处理器127。分段控制器120还可以包括存储器（未示出）。本地输入接口124可以被布置成经由本地网络从中央控制器135接收控制命令，并且外部输入接口122可以被布置成经由外部网络从中央控制器135接收控制命令。输出接口125可以被布置成基于接收到的控制命令向节点110a-d输出控制指令。在示例性的图中，示出了星形网络拓扑，其中分段控制器120具有到网络中每个节点110a-d的直接的无线通信路径。网络可以具有网状网络拓扑，其中多个节点110a-d通常不直接与分段控制器通信，而是经由所谓的多跳通信。分段控制器120可以具有与节点110a-d的有线连接。

分段控制器120可以在与节点110a-d分离的单元中实现，例如墙板、台式计算机终端、或者甚至是便携式终端（例如膝上型电脑、平板电脑或智能手机）。替代地，分段控制器120可以并入与节点110a-d相同的单元中。此外，分段控制器120可以在单个单元中实现，或者以分布在多个分开的单元之间的分布式功能（例如，分布在节点110a-d之间的分布式控制功能）的形式实现。此外，分段控制器120可以以存储在存储器（包括一个或多个存储设备）上并且被布置用于在处理器（包括一个或多个处理单元）上执行的软件的形式来实现，或者分段控制器120可以以专用硬件电路、或者可配置或可重构的电路（例如PGA或FPGA）、或者这些的任何组合的形式来实现。

分段控制器120和节点110a-d之间的通信可以是双向的，使得分段控制器120可以从节点110a-d接收通信信号，例如来自感测设备的传感器信号。作为示例，附加于和/或替代于从中央控制器135接收控制命令，分段控制器120可以例如基于传感器信号控制节点110a-d。

关于使段控制器120能够与节点110a-d通信所涉及的各种通信，这些可以通过任何合适的有线和/或无线方式来实现，例如借助于以下方式来实现：诸如以太网、DMX网络或互联网的有线网络；或者诸如本地（短程）RF网络（例如Wi-Fi、ZigBee或蓝牙网络）的无线网络；或者这些和/或其他方式的任何组合。

中央控制器135可以是用户设备135（例如智能手机、膝上型计算机、平板计算机、个人数字助理（PDA）或一些其他移动计算设备），其可以经由分段控制器120控制节点110a-d。在该示例性的图中，中央控制器135是用户130的智能手机。中央控制器135可以经由诸如有线或无线LAN的本地网络连接到分段控制器120。中央控制器135可以经由外部网络连接到分段控制器120，其中在外部网络中，来自中央控制器135的控制命令可以经由远程服务器（例如云140）路由到分段控制器120。中央控制器135和分段控制器120之间经由外部网络（特别是包括远程服务器）的无线通信可以是蜂窝无线技术，例如GSM（群组专用移动通信或2G（第二代）网络）、3G网络、或者4G或LTE（长期演进）网络等。

图2示意性地和示例性地示出了说明用于提供对节点110a-d的不间断控制的方法200的一个实施例的流程图。方法200可以包括在分段控制器120上执行210控制应用的多个逻辑实例。逻辑实例可以是控制应用的虚拟实例。控制应用可以涉及节点110a-d的控制。多个逻辑实例可以在分段控制器120启动时被执行210，并且随后每次只有多个逻辑实例中的一个逻辑实例可以是活动的；其中多个逻辑实例中的剩余的逻辑实例可以是空闲的。空闲的剩余逻辑实例可以在后台运行，但是在控制节点110a-d时是不活动的。

在一个示例中，可以使用虚拟化技术在分段控制器120上执行210控制应用的多个逻辑实例。虚拟化是在从实际硬件抽象的层中运行设备（例如分段控制器120）的虚拟（逻辑）实例的过程。虚拟化技术可以包括类型1虚拟化、类型2虚拟化、基于容器的虚拟化、应用虚拟化、物理虚拟化中的一种或多种。

现在参考图4，其示意性地和示例性地示出了类型1管理程序虚拟化技术。诸如分段控制器120的主机410是可以在其上创建和执行多个逻辑实例或虚拟机440a-c的设备/机器。在主机上运行的软件/固件或硬件430是管理程序430，其被布置用于创建、管理和运行多个逻辑实例或虚拟机440a-c。在类型1虚拟化中，这些管理程序430直接在主机的硬件410上运行，以控制硬件并管理多个逻辑实例或虚拟机440a-c。出于这个原因，它们有时被称为裸机管理程序。例如，多个逻辑实例或虚拟机440a-c可以包括不同的操作系统，被布置用于执行不同的任务。例如，安装在主机410（分段控制器120）中的管理程序430可以创建多个逻辑实例或虚拟机440a-c来控制不同的节点110a-d，例如被布置用于控制所有节点110a-d的主逻辑实例、被布置成控制照明控制的逻辑实例或虚拟机440a-c、被布置用于控制感测设备的逻辑实例或虚拟机440a-c等。因此，控制多个节点110a-d的任务可以被划分到多个逻辑实例或虚拟机440a-c中。

图5示意性地和示例性地示出了类型2管理程序虚拟化技术。类型2或托管管理程序530运行在常规的操作系统（OS）520之上，就像其他计算机程序那样。例如，对于诸如分段控制器的IoT设备，常规的操作系统可以是基于Linux的OpenWrt。类型2管理程序530从主操作系统520抽象出多个逻辑实例或虚拟机440a-c。诸如OpenWrt的主操作系统在主机510（例如分段控制器120）上运行。

图6示意性地和示例性地示出了基于容器的虚拟化技术。操作系统级虚拟化（也称为容器化或基于容器的虚拟化）是指一种操作系统特征，其中内核允许存在多个隔离的用户空间实例。这样的实例称为容器。运行在普通操作系统上的计算机程序可以看到所有的资源。例如，对于在分段控制器上运行的普通常规操作系统，例如可以看到诸如多个节点110a-d的连接设备、分段控制器120的计算能力、和/或分段控制器120的其他可量化的硬件能力（例如存储器）。然而，在容器内运行的程序只可以看到容器的内容和分配给容器的设备。例如，对于被布置用于控制照明设备的容器中的一个，在该容器中运行的程序只可以看到连接的照明设备和其他相关的资源。

现在回到图2，方法200可以进一步包括检测220指示对分段控制器120的未授权访问请求的恶意信号。恶意信号可以由分段控制器120使用检测机制算法来检测。附加地和/或替代地，恶意信号可以由分段控制器120外部的外部设备来检测。在一个示例中，用户设备135可以检测恶意信号，例如，如果分段控制器120没有响应于从用户设备135接收到的控制命令，则用户设备135可以推断恶意信号的存在。检测机制算法可以包括入侵检测系统、机器学习技术、基于规则的学习、异常检测、学习系统中的一种或多种。例如，检测机制算法可以包括基于规则的学习，其中可以例如根据信号强度、网络流量等定义规则，并且基于这些预定义的规则，可以检测恶意信号。机器学习可以替代地或附加地与基于规则的学习一起使用，以检测恶意信号。

方法200还可以包括确定230当前控制节点的逻辑实例已经受到未授权访问请求的影响。确定230可以由分段控制器120和/或由分段控制器外部的任何设备（例如中央控制器135）执行。

方法200还可以包括确定240多个逻辑实例中的未受到未授权访问请求影响的逻辑实例。确定未受到未授权访问请求影响的逻辑实例。在一个示例中，节点110a-d包括在照明网络中；并且其中当检测到恶意信号时；照明网络从正常控制模式切换到基本照明控制模式；其中在基本照明控制模式中，多个逻辑实例中的未受影响的逻辑实例的确定可以限于被布置用于提供照明设备的控制的未受影响的逻辑实例。照明网络可以包括多个节点110a-d，例如照明设备、感测设备、网关等。基本照明控制模式可以包括控制作为照明设备的节点110a-d，其中在基本照明控制模式中，未受影响的逻辑实例的确定可以限于被布置用于提供对照明设备的控制的未受影响的逻辑实例。在一个示例中，基本控制照明模式对照明设备的控制可以限于提供功能照明。功能照明提供了我们生活中日常活动所需要的强制照明。替代地，基本照明控制模式可以包括提供照明设备的完整功能。在基本照明控制模式中，诸如传感器、网关的其他节点110a-d可能是不受控制的。

方法200还可以包括将控制节点的分段控制器120的逻辑实例从受影响的逻辑实例切换250到未受影响的逻辑实例。在一个示例中，切换250还可以包括暂停受影响的逻辑实例以最小化网络攻击的影响。

图3示意性地和示例性地示出了说明用于提供对节点的不间断控制的方法300的另一个实施例的流程图。方法300可以包括确定310未授权访问请求是经由本地网络还是外部网络接收到的。在一个示例中，分段控制器120可以确定310它是否已经经由本地网络或外部网络接收到未授权的访问请求。基于确定310，使得当经由本地网络接收到320未授权访问请求时；方法300还可以包括断开330中央控制器135与分段控制器120的本地连接。可以执行断开330以避免经由本地网络的进一步的潜在网络攻击。方法330还可以包括经由外部网络从中央控制器135接收340控制命令。在一个示例中，当经由本地网络接收到未授权访问请求时，并且当中央控制器没有经由外部网络连接到分段控制器时；该方法还可以包括（未示出）在经由外部网络从中央控制器135接收控制命令之前建立；中央控制器135和分段控制器120之间的外部连接。

基于确定310，使得当经由外部网络接收到360未授权访问请求时；方法300还可以包括断开370中央控制器135与分段控制器120的外部连接。方法300还可以包括经由本地网络从中央控制器135接收380控制命令。在一个示例中，当经由外部网络接收到未授权访问请求时，并且当中央控制器没有经由本地网络连接到分段控制器120时；方法300还可以包括（未示出）在经由本地网络从中央控制器接收控制命令之前建立；中央控制器135和分段控制器120之间的本地连接。

当计算机程序产品在计算设备的处理单元（例如分段控制器120的处理器127）上或在中央控制器135上运行时，方法200-300可以由计算机程序产品的计算机程序代码执行。

应当注意到，以上提到的实施例阐述而非限制本发明，并且在不偏离所附权利要求的范围的情况下，本领域技术人员将能够设计许多替代的实施例。

在权利要求中，位于括号间的任何附图标记不应当被解释为限制权利要求。动词“包括”及其变形的使用不排除除了权利要求中所陈述的那些之外的元件或步骤的存在。元件前的冠词“a”或“an”（“一”或“一个”）不排除多个这样的元件的存在。本发明可以借助于包括若干不同元件的硬件实现，以及借助于适当编程的计算机或处理单元实现。在列举了若干装置的设备权利要求中，这些装置中的几个可以由同一项硬件体现。在互不相同的从属权利要求中叙述的某些措施的单纯事实并不指示不能有利地使用这些措施的组合。

本发明的诸方面可以在计算机程序产品中实现，该计算机程序产品可以是存储在计算机可读存储设备上的、可以由计算机执行的计算机程序指令的集合。本发明的指令可以是任何可解释的或可执行的代码机制，包括但不限于脚本、可解释程序、动态链接库（DLL）或Java类。指令可以作为完整的可执行程序、部分可执行程序提供，作为对现有程序的修改（例如更新）或作为现有程序的扩展（例如插件）提供。此外，本发明的处理的部分可以分布在多个计算机或处理器或甚至“云”上。

适合于存储计算机程序指令的存储介质包括所有形式的非易失性存储器，包括但不限于EPROM、EEPROM和闪存设备，磁盘（诸如内部和外部的硬盘驱动器），可移动盘和CD-ROM盘。计算机程序产品可以在这样的存储介质上分发，或者可以通过HTTP、FTP、电子邮件或者通过连接到网络（诸如互联网）的服务器来提供下载。

Claims (14)

1.一种经由分段控制器用于提供对节点的不间断控制的方法；其中所述方法包括：

- 在所述分段控制器上执行控制应用的多个逻辑实例；

- 检测指示对所述分段控制器的未授权访问请求的恶意信号；

- 确定当前控制所述节点的逻辑实例已经受到所述未授权访问请求的影响；

- 确定所述多个逻辑实例中不受所述未授权访问请求影响的逻辑实例；

- 将控制所述节点的所述分段控制器的所述逻辑实例从受影响的逻辑实例切换到不受影响的逻辑实例；

其中所述节点包含在照明网络中；并且其中当检测到所述恶意信号时；所述照明网络从正常控制模式切换到基本照明控制模式；其中在所述基本照明控制模式中，所述多个逻辑实例中的未受影响的逻辑实例的确定限于被布置用于提供对作为照明设备的所述节点的控制的未受影响的逻辑实例；

其中所述基本控制照明模式对所述照明设备的控制限于提供功能性照明。

2.根据权利要求1所述的方法；其中所述分段控制器被布置用于从中央控制器接收用于控制所述节点的控制命令，并且其中所述中央控制器经由本地网络和/或外部网络可连接到所述分段控制器；

其中所述方法还包括：

- 确定所述未授权访问请求是经由所述本地网络还是所述外部网络接收到的；

并且其中当经由所述本地网络接收到所述未授权访问请求时，

- 断开所述中央控制器与所述分段控制器的本地连接，

- 经由外部网络从所述中央控制器接收所述控制命令；

并且其中当经由所述外部网络接收到所述未授权访问请求时，

- 断开所述中央控制器与所述分段控制器的外部连接，

- 经由所述本地网络从所述中央控制器接收所述控制命令。

3.根据权利要求2所述的方法；其中所述方法还包括：

- 确定所述中央控制器是否经由所述本地网络和/或所述外部网络连接到所述分段控制器；

其中当经由所述本地网络接收到所述未授权访问请求时并且当所述中央控制器没有经由所述外部网络连接到所述分段控制器时，

- 建立，在经由所述外部网络从所述中央控制器接收所述控制命令之前；所述中央控制器和所述分段控制器之间的外部连接；以及

其中当经由所述外部网络接收到所述未授权访问请求时并且当所述中央控制器没有经由所述本地网络连接到所述分段控制器时，

- 建立，在经由所述本地网络从所述中央控制器接收所述控制命令之前；所述中央控制器和所述分段控制器之间的本地连接。

4.根据权利要求1所述的方法；其中所述切换还包括暂停所述受影响的逻辑实例。

5.根据权利要求1所述的方法；其中所述多个逻辑实例在所述段控制器启动时执行，并且随后每次只有所述多个逻辑实例中的一个逻辑实例是活动的；其中所述多个逻辑实例中的剩余的逻辑实例是空闲的。

6.根据权利要求1所述的方法；其中使用虚拟化技术在所述分段控制器上执行所述控制应用的所述多个逻辑实例。

7.根据权利要求6所述的方法；其中所述虚拟化技术包括类型1虚拟化、类型2虚拟化、基于容器的虚拟化、应用虚拟化、物理或硬件虚拟化中的一种或多种。

8.根据权利要求1所述的方法；其中所述恶意信号由所述分段控制器使用检测机制算法来检测。

9.根据权利要求1所述的方法；其中所述恶意信号由所述分段控制器外部的外部设备检测。

10.根据权利要求8或9所述的方法；其中所述检测机制算法包括入侵检测系统、机器学习技术、基于规则的学习、异常检测、学习系统中的一种或多种。

11.一种用于提供对节点的不间断控制的分段控制器；其中所述分段控制器包括：

- 本地输入接口，所述本地输入接口经由本地网络从中央控制器接收控制命令；

- 外部输入接口，所述外部输入接口经由外部网络从所述中央控制器接收所述控制命令；

- 输出接口，所述输出接口基于接收到的控制命令向所述节点输出控制指令；以及

- 处理器，所述处理器执行根据前述权利要求中任一项所述的方法的所述步骤。

12. 一种用于提供对节点的不间断控制的系统；其中所述系统包括：

- 根据权利要求11所述的分段控制器；以及

- 所述节点。

13.根据权利要求12所述的系统；其中所述系统还包括所述中央控制器；其中所述分段控制器被布置用于从所述中央控制器接收控制命令。

14.一种计算机程序产品，所述计算机程序产品包括指令，当由计算机执行所述程序时，所述指令使所述计算机执行权利要求1-10中任一项的所述方法的所述步骤。

Images