JP2010081610A

JP2010081610A - プロセス制御データの安全な通信方法、及び装置

Info

Publication number: JP2010081610A
Application number: JP2009221205A
Authority: JP
Inventors: Trevor D Schleiss; ディー．シュライストレバー; Robert Kent Huba; ケントフーバロバート
Original assignee: Fisher Rosemount Systems Inc
Current assignee: Fisher Rosemount Systems Inc
Priority date: 2008-09-25
Filing date: 2009-09-25
Publication date: 2010-04-08
Anticipated expiration: 2029-09-25
Also published as: CN106371359A; GB2493479B; CN103888474A; CN101686260A; GB201220624D0; EP2816779A1; EP2611108A1; CN103888474B; US20100077471A1; CN106371359B; EP2611108B1; EP2816779B1; US8590033B2; GB0916858D0; GB2463791A; GB2463791B; GB2493479A; CN101686260B; CN106411859A; EP2169904A1

Abstract

【課題】プロセス制御ネットワークの１ボタンのセキュリティロックダウンの提供
【解決手段】プロセス制御ネットワークの全体、またはネットワークの一部に対して単一のコマンドを使用して、手動または自動で「ロックダウン」することができる。ユーザまたはアプリケーションは、複数ネットワークデバイス上のネットワーク通信を監視し、ネットワークを構成した時点で、プロセス制御ネットワーク上のデータと適切に通信できると、アプリケーションが、未使用または無効な接続を含むネットワーク上の「ロックダウン」アクセスポイントを非アクティブ化し、ネットワークのロックダウンが可能となる。ロック時には、現在接続済のデバイスが接続されていない場合で、別のデバイスがアクセスポイントに接続されている場合、ネットワークデバイスは接続を拒否できる。
【選択図】図３Ａ

Description

本出願は、2008年9月に出願済の米国仮出願第 61/100,240 号の利益を主張するものであり、「プロセス制御ネットワークの1ボタンのセキュリティロックダウン」と題して、ここに完全に参考文献により引用する。

本出願は、プロセスプラント制御システムに全般的に関連しているが、特にプロセス中およびプラント環境中のデバイス間の通信を安全に制御するための方法および装置に関連している。

発電、化学薬品、石油、またはその他の処理中に使用されている分散プロセス制御システムや、拡張可能なプロセス制御システムなどのプロセス制御システムには、通常アナログ、デジタル、またはアナログバスとデジタルバスの組合せを経由した1つ以上のフィールドデバイスに対して、またはプロセス制御ネットワークを経由した1つ以上のホストおよびオペレータワークステーションに対して、相互に通信連結された1つ以上のコントローラーが含まれる。フィールドデバイスの例として、バルブ、バルブポジショナー、スイッチ、および送信機 (例: 温度や圧力、流量センサーなど) などが挙げられるが、バルブの開閉やスイッチデバイスのオンとオフ設定、プロセスパラメータの測定など、プロセス内やプラント内にて機能を実行する。コントローラーデバイスは、フィールドデバイスと (または) フィールドデバイスに付属しているその他の情報により実装されるプロセス測定やプラント測定を示す信号を受信する。またこの情報を使用して制御ルーチンを実装し、次にフィールドデバイスのバス上に送信された制御信号を生成して、プロセスまたはプラントの操作を制御する。フィールドデバイスとコントローラーからの情報は、通常オペレータワークステーションにより実行される、 1つ以上のアプリケーションにおいて使用可能である。これによりオペレータは、プラントの現在状況の表示や、プラント操作の変更など、プロセスまたはプラントに関して任意の機能を実行できる。

プロセス制御は、通常プロセスプラント環境内に位置しているが、フィールドデバイスと(または) フィールドデバイスに付随するその他の情報により実装された、またはそれに関連するプロセス測定やプロセス変数を示した信号を受信する。コントローラーアプリケーションは、例えばプロセス制御決定を行う別の制御モジュールなどを実装し、受信した情報に基づいて制御信号を生成し、HART（登録商標）やFieldbus フィールドデバイスなどの、フィールドデバイス中のブロックや制御モジュールと調整を行う。プロセスコントローラー内の制御モジュールは、通信ライン上やフィールドデバイスの信号パスに制御信号を送信して、ここでプロセス操作を制御する。

フィールドデバイスやプロセスコントローラーからの情報は、通常プロセス制御ネットワークを経由して、1つ以上のその他のハードウェアデバイスで使用可能となる。これには例として、オペレータワークステーション、メンテナンスワークステーション、パーソナルコンピュータ、ハンドヘルドデバイス、データ履歴、集中データベースなどが挙げられる。ネットワーク上で通信された情報により、オペレータまたはメンテナンスの個人が、プロセスに関連した機能を任意に実行できるようになる。例えばその情報を使ってオペレータは、プロセス制御ルーチンの設定変更、プロセスコントローラー内やスマートフィールドデバイス内の制御モジュールの操作の変更、プロセスプラント内の特定デバイスの状態やプロセスの現状況の表示、フィールドデバイスやプロセスコントローラーが生成した通知の表示、ユーザのトレーニングまたは制御ソフトウェアの検査を目的とするプロセス操作のシミュレート、プロセスプラント内の問題やハードウェア障害の診断などを実行できる。

フィールドデバイスは通常、例えばイーサネット（登録商標）構成済の LAN などの、プロセス制御ネットワーク上のハードウェアデバイスと通信する。ネットワークは、様々なネットワークデバイスを経由して、またプロセス制御システムの様々なエンティティに対して、プロセスパラメータやネットワーク情報、その他のプロセス制御データを中継する。通常のネットワークデバイスには、ネットワークインターフェースカード、ネットワークスイッチ、ルーター、ファイアウォール、コントローラー、およびオペレータワークステーションが含まれる。ネットワークデバイスは通常、ルーティングやフレーム率、タイムアウト、その他のネットワークパラメータを制御することにより、ネットワークを経由したデータのフローを容易にするが、プロセスデータ自体を変更することはない。プロセス制御ネットワークの容量や複雑性が拡大すると、ネットワークの数量や種類もそれに相応して増大する。システムとネットワークの拡大が発生するとその結果として、これらの複雑なシステムにおけるセキュリティや管理が非常に困難になる。例えば各ネットワークデバイスが1つ以上の通信ポートを含んでいる可能性があり、これはネットワーク間にそれぞれ、物理的に内部接続しているプロセス制御システムコンポーネントのポートやアクセスポイントを提供する。多くのネットワークデバイスは、ネットワークにてデバイスを完全に接続できるように、必要以上に多くのポートを備えているので、1つ以上のポートがデバイス上で、未使用の状態または空いている状態となる。従ってデバイスのオープンポートは、その他のデバイスを追加することでネットワーク拡張のアクセスポイントとなる。または悪意のあるエンティティやそうでないエンティティがネットワークにアクセスして、望ましくないトラフィックや望ましくない可能性のあるトラフィックを開始できる。複雑なプロセス制御システム間の通信を制御しているネットワーク間で、すべての未使用ポートへのアクセスを効果的に監視または制御することで、ネットワークデバイス数や関連アクセスポイントが増加すると、急速に現実的でなくなる。

ユーザやアプリケーションにとって、各デバイスやポートの状態とトラフィックを監視することは可能であるが、問題が発生するまでに有害な通信を識別することは、多くの場合不可能である。モニターが問題を確認すると、システムの一部をオフラインに設定して、修理の開始やトラブルシューティングを試行するため診断を行う必要がある。さらにネットワークのある物理場所にて適切に機能していないことが確認されると、ネットワークの別の場所にて、不完全な接続や悪質な接続により問題が開始される可能性がある。また技術者がトラブルシューティングや修理を終えた後は、ネットワークデバイスが安全性の低い状態に不用意に放置されたり、望ましくない通信や悪意のある通信からの攻撃を受けやすい状態に放置されたりする可能性がある。システムをオンラインに設定を戻すには、疑わしいデバイスの物理検査や修理も含めて、サブジェクトデバイスごとやポートごとのプロセス制御システムにて、長時間の遅延が生じる可能性や、行き止まりに陥る可能性、また多数のその他の管理上の問題が発生する可能性がある。これは確実にプロセス制御システムの有効性が軽減される。

プロセス制御システムネットワークのセキュリティと管理は、各デバイスのセキュリティ機能を経由して、各ネットワークデバイスにてネットワークトラフィックを監視することで強化できうる。これはデバイスごと、またはネットワーク全体で有効化してよい。1つ以上のプライベート管理情報ベース (MIB) やその他の通信方法、データアクセス方法がある。これには各デバイスにてネットワークデバイスの管理機能にアクセスする場合や変更する場合に使用している、専用ソフトウェアのソリューションまたはオープンソースソフトウェアを使用するなどが挙げられる。これにはコマンドラインインターフェース(CLI) を経由してアクセスする方法が1つ以上挙げられる。これは、デバイスがプロセス制御ネットワーク上で通信を行っているかどうか、デバイス上のどのポートがネットワーク上で通信可能であるか、どのポートが実際にネットワーク上で通信しているのか、またどのポートが通信していないのかを監視するためのものである。プロセス制御ネットワークを完全に構成して正常に機能するようになると、ユーザまたは監視アプリケーションがデバイスにコマンドを送信して、1つ以上の専用 MIB メソッドを実装し、さらにネットワーク全体の単一の「ロックダウン」コマンドを実装することで、特定のネットワークデバイスにて選択した未使用ポート、無効ポート、または望ましくないポートからのアドレスを、無効化およびフィルタリングして、任意の構成にてネットワークを有効に凍結できる。

ロックダウンは、ネットワークの今後の構成を制限することで、また無効で未使用のオープンアクセスポイント上に、望ましくない通信や有害な通信が起こらないようにすることで、安定した安全なネットワークをもたらす。ロック時には、現在接続済のデバイスが接続されていない場合で、別のデバイスがアクセスポイントに接続されている場合、ネットワークデバイスが接続を拒否する可能性がある。例えば、ネットワークデバイスのすべての未使用アクセスポイントが無効化されると、ネットワークにはデバイスがまったく追加または接続されない可能性がある。ロック済アクセスポイントは、ユーザ、モニター、およびその他の承認プロセスからの認証済コマンドを実行しなければ、有効化またはロック解除ができない。セキュリティの強化のため、ロックダウン機能は様々なネットワークノードにおいてアプリケーション実行に適用されうる。またロック解除機能は手動プロセスにおいて制限されうる。モニターはアプリケーション、デバイス、およびシステム全体のレベルにおいて、ロック解除およびロックダウンを行う可能性がある。アクセスポイントは、ネットワークとデバイス構成の組み合わせにより、非アクティブ化されうる。例えばロックダウン構成は、アクセスポイント上の通信を拒否することで、アクセスポイントの非アクティブ化をはかり、ネットワークデバイスを再構成して、アクセスポイントから電源を取り除き、アクセスポイントを経由してネットワークへの接続が確率できないようにする。

プロセスプラントの模範的なブロック略図であり、1つ以上のオペレータワークステーションとメンテナンスワークステーション、コントローラー、フィールドデバイス、およびネットワークデバイスを含む、分散プロセス制御システムとネットワークを備えている。これらは後述のとおりロックダウン機能の実装と、通常のネットワークデバイス、および支援機器の実装用に構成されている。プロセス制御ネットワークの I/O ネットワーク部分を含む模範的なブロック略図であり、後述のとおりロックダウン機能の実装用に構成されたデバイスを含んでいる。イーサネット（登録商標）フレームの典型例を示す図である。ネットワークデバイスの典型例を示す図である。ネットワークデバイスのロックおよびロック解除と、プロセス制御システムとネットワークのアクセスポイントのメソッドを示した模範的なブロック略図である。ネットワークデバイスのロックと、プロセス制御ネットワークのアクセスポイントのメソッドを示した模範的なブロック略図である。以前にロック済のネットワークデバイスのロック解除メソッドと、プロセス制御ネットワークのアクセスポイントのメソッドを示した、１実施例の模範的なブロック略図である。図３Ａ〜３Ｃのネットワークデバイスのロックおよびロック解除メソッド、またプロセス制御システムとネットワークのアクセスポイントのメソッド実装のための、ユーザインターフェースの模範部分を示す図である。図３Ａ〜３Ｃのネットワークデバイスのロックおよびロック解除メソッド、またプロセス制御システムとネットワークのアクセスポイントのメソッド実装のための、ユーザインターフェースの模範部分を示す図である。図３Ａ〜３Ｃのネットワークデバイスのロックおよびロック解除メソッド、またプロセス制御システムとネットワークのアクセスポイントのメソッド実装のための、ユーザインターフェースの模範部分を示す図である。図３Ａ〜３Ｃのネットワークデバイスのロックおよびロック解除メソッド、またプロセス制御システムとネットワークのアクセスポイントのメソッド実装のための、ユーザインターフェースの模範部分を示す図である。

図１Ａは、プロセスプラント内のプロセス制御システムの概略図を示しているが、これはネットワークデバイスをロックダウンして、ネットワークセキュリティの強化とネットワーク管理と維持の容易化を図る。さらに詳しく説明すると、プロセス制御システム 100 には、1つ以上のホストワークステーションまたはコンピュータ120〜122 (任意のタイプのパーソナルコンピュータ、ワークステーションなどが含まれる) を通信接続させた、1つ以上のプロセスコントローラー110 が組み込まれているが、これは1つ以上のディスプレイ画面をそなえたコンピュータが、プロセス制御ネットワーク 150 上を、1つ以上のネットワークデバイス145 を経由して通信接続している。コントローラー 110 には1つ以上のネットワークインターフェースカードが組み込まれている。また 130 入力/出力 (I/O) カード 140 を経由してフィールドデバイスに接続されうる。データ履歴 145 は、データ保存用の任意のメモリと、任意または既知のソフトウェア、ハードウェア、およびファームウェアを備えた、任意のタイプのデータ収集単位であるといえる。これらはまた、ワークステーション 120〜122 の一部または別個の存在であるといえる。コントローラー 110 は例として、Fisher Rosemount Systems, Inc. 製の DeltaV（登録商標）コントローラーを挙げるが、例えばイーサネット（登録商標）接続や任意のその他の通信ネットワーク 150 を経由して、1つ以上のネットワークデバイス 146 により、ホストコンピュータ 120〜122 に通信接続している。ネットワークデバイス 146 には、1つ以上のネットワークインターフェースカード、ネットワークスイッチ、ルーター、ファイアウォール、または任意のその他のデバイスが含まれているが、これらはネットワークのあらゆる部分上の基本的なデータ(例: ネットワーク 150 または I/O ネットワーク 155 (図１Ｂ))であり、まったく変更せずにネットワーク 150上でのデータ転送を容易にする。図１Ｂの説明のとおり、ネットワーク内の任意の部分に物理的に位置しているネットワークデバイスにはすべて、後述のとおり、ロックダウン機能が含まれている可能性がある。通信ネットワーク 150 はローカルエリアネットワーク (LAN)、ワイドエリアネットワーク (WAN)、および通信ネットワークなどの可能性があり、配線技術または無線技術を使用して実装しうる。コントローラー 110 は、任意の関連ハードウェアと関連ソフトウェアを使用してフィールドデバイス 130 に通信接続される。例えば、標準の 4 20 mA デバイス、標準イーサネット（登録商標）プロトコル、および(または) FOUNDATION フィールドバスプロトコル (Fieldbus)、および HART（登録商標）プロトコルなどのスマート通信プロトコルが挙げられる。

フィールドデバイス 130 とは、センサー、バルブ、送信機、ポジショナーなどの任意のタイプが挙げられるが、一方 I/O カード 140 は、任意の通信またはコントローラープロトコルに準拠している任意のタイプの I/O デバイスである可能性がある。図 1 にて図説している実施例にて、フィールドデバイス 130 は標準アナログ 4 20 mA ライン 131 上を HART（登録商標）モデム 140 と通信する HART（登録商標）デバイスであり、一方フィールドデバイス 133 は、フィールドバスフィールドデバイスなどのスマートデバイスである。これはフィールドバスプロトコル通信を使用して、デジタルバス 135 または I/O ネットワーク 155 上を I/O カード 140 と通信する。勿論フィールドデバイス 130 と 133 は、その他の任意の標準またはプロトコルに準拠しているが、これには今後に開発される標準およびプロトコルも含まれる。I/O ネットワーク 155 とデバイス 146 (図１Ｂ)、およびネットワーク 150 とデバイス 146 (図１Ａ) は、任意の通信プロトコル (例: TCP/IP、ModbusIP など) に対応している標準イーサネット（登録商標）通信やネットワークデバイスである可能性がある。

さらにフィールドデバイス 142 は、ゲートウェイ 143 などの特殊ネットワークデバイスを経由してデジタルバス 135 に接続される。例えば、フィールドデバイス 142 は HART（登録商標）コマンドのみ理解するが、I/O ネットワーク 135 は PROFIBUS プロトコルを実装しうる。この目的のために、ゲートウェイ 143 は双方向の PROFIBUS/HART（登録商標）転換を行いうる。ネットワークデバイス 146 はまた、ゲートウェイ 143 に(またはその近辺に) 位置付けられる。

コントローラー 110 は、プラント内の多数の分散コントローラーのうちの1つで、1つ以上のプロセッサーをプラント内に備えているが、1つ以上のプロセス制御ルーチンの実装または監視を行いうる。ルーチンはコントローラーに保存済、またはコントローラーに関連した1つ以上の制御ループを含んでいる可能性がある。コントローラー 110 はまた、ネットワーク 150 と関連ネットワークデバイス 146を経由して、デバイス 130 または 133、ホストコンピュータ 120〜122、およびデータ履歴 145 と通信を行い、任意の必要な方法でプロセスの制御を行う。後述のあらゆる制御ルーチンや要素が、必要に応じて別のコントローラーやその他のデバイスにより、その一部を実装、または実行しうることに注意する。同様に、プロセス制御システム 100 内で実装する後述の制御ルーチンや要素が、ソフトウェア、ファームウェア、およびハードウェアなどの任意の形式にて実装可能である。この考察の目的として、プロセス制御要素がプロセス制御システムの任意の部分になりうることであり、例として任意の読み取り可能な媒体に保存済のルーチン、ブロック、およびモジュールが挙げられる。制御ルーチンとは、サブルーチン、サブルーチンの一部 (コード行など) などの任意の制御手順の一部やモジュールであり、これは、はしご論理、順次機能グラフ、機能ブロック略図、オブジェクト指向プログラミング、およびその他のソフトウェアのプログラミング言語や設計パラグラムを使用した、任意のソフトウェア形式にて実装可能である。同様に制御ルーチンは、例えば1つ以上の EPROM、EEPROM、特定用途向け集積回路(ASIC、エーシック)、その他のハードウェア要素またはファームウェア要素にハードコードされている可能性がある。まださらに、グラフィカル設計ツールやその他のソフトウェア、ハードウェア、ファームウェアプログラミング、および設計ツールを含む、任意の設計ツールを使用して、制御ルーチンを設計してもよい。従ってコントローラー 110 を構成して、任意の望ましい方法で制御戦略または制御ルーチンを実践してよい。

図１Ｃは、データの基本単位やフレーム175を例証しているが、これは全般的にプロセス制御システム100 を経由した通信、またはイーサネット（登録商標）プロトコルを使用してプロセス制御ネットワーク150を経由した通信をとっている可能性がある。イーサネット（登録商標）フレーム 175 には、例えば、ネットワークデバイス146 やその他のプロセス制御システム 100 コンポーネントなどのデバイス間の情報を各自に伝える、7つのフィールドが含まれている。フィールドには、受信デバイスにより解釈と処理が行われるデータ 178 のバイト数が含まれている可能性がある。例えば、宛先 MAC アドレスフィールド180は、プロセス制御ネットワーク 100の媒介ノード、および宛先ノードの物理アドレスを含んでいる可能性があるが、一方ソース MAC アドレスフィールド 182は、プロセス制御システム 100 の送信ノード、または媒介ノードの物理アドレスを含んでいる可能性がある。宛先 MAC アドレス 180 およびソース MAC アドレス 182 フィールドは、ネットワークデバイス 146 からのデータと共に使用して、プロセス制御ネットワーク 150 上に送信されたデータを処理しうる。実施例の中には、デバイスが「ロックダウン」状態にある場合に、フィールド 180 と 182 は、受信ネットワークデバイス内に保存済の1つ以上のテーブルと比較できる可能性がある。比較の結果は再使用される場合と、あるいは受信済データや、ロック済ネットワークデバイスへのその他の物理接続、または論理接続を拒否する場合がある。

図２は、ネットワークスイッチの形式の典型的なネットワークデバイス 146 を図説している。通常ネットワークデバイスは、1つ以上の通信ポート 202、管理ポート 204、また状態ライト 206、207 を備えている。通信ポート 202 を使用して、ネットワーク 150 上の通信に、様々なその他のネットワークデバイスや、プロセス制御システムコンポーネントを相互接続する。一方状態ライトはネットワークの現在の操作を示していて、診断目的に使用される。

例えば、ライト 206 はデバイス自体の状態に応答する場合がある。例えば適切な電力、障害ステータス、またはロック済およびロック解除ステータスなど、図3 と図4 に関連して説明する。その他のライト 207 は、特定のポートに一致するポート上のネットワーク操作を表示していて、ポートのリンクステータスに一致する緑色の LED と、ポートのデータステータスに一致する黄色の LED を備えている。緑色と黄色の固定ライトまたは点滅ライトは、ポートが機能していていることを示し、またポートに接続済のネットワークデバイスが、ポートを使用してネットワーク 150 上でデータの通信を行っていることを示している。デバイス 146 のブート段階中は、ブート手順のステータスがライト207 にて表示される詳細を説明すると、無点灯はポート 202 に有効なリンクまたは接続がないことを示している。緑色の遅い点滅は、ポートが準備中に切り替えられたことを示し、緑色の早い点滅は、ポートが無効であることを示している。これは図３および図４に関連した以下の説明のとおり、ポートがロックダウンされたことを示している。黄色の点滅は、ポート上でデータ受信があることを示している。勿論その他のステータス表示は、アップリンク通信障害などの「操作の準備完了」表示や、様々な障害や機能モードの点滅と(または)カラーパターン、データ率、全二重と半二重表示、テストモード、ポート上で通信されるメディアタイプなど、プログラムでライト 206、207 に接続される。管理ポート 204 は、ユーザまたはネットワーク管理者が、物理的にネットワークデバイス 146 にアクセスおよび構成できるようにする。例えば後述のとおり、専用の MIB の実装を含め、デバイス 146 でのファームウェアのアップグレードや変更の実装が挙げられる。「MIB」および「SNMP」には、ネットワークデバイスの管理情報の変更とアクセスに使用する、すべてのメソッドと通信が含まれうる。

実施例の中には、ネットワークデバイス 146 が、ドイツのネッカーテイツリンゲンにある Hirshmann Automation and Control, GmbH 社製のイーサネット（登録商標）スイッチであり、 DeltaV（登録商標）プロセス制御ネットワークにて使用されている場合がある。例えば、スイッチ 146 は Hirshmann 社のネットワークデバイスの製品群の Open Rail、MICE、および MACH 100 の1つまたはそれ以上からのものである可能性がある。

スイッチ 146 は、後述のとおりメソッドの実装のための管理プロトコルを含みうる。例えば簡易ネットワーク管理プロトコル (SNMP) は、ネットワーク管理およびセキュリティ手順を実行するための管理機能を提供しうる。実施例の中には、 SNMP バージョン 3 (SNMPv3) がスイッチ 146 に実装されているものがあり、これは DeltaV（登録商標）プロセス制御ネットワークと相互作用する管理プロトコルとして、認証と暗号化が有効に設定されている。例えばスイッチ 146 は、暗号化 (DES-56) 用に56 ビットキーを使用したデータ暗号化標準 (DES) を備えたメッセージダイジェストのアルゴリズム 5 (MD5) 認証を含みうる。勿論、128ビットまたはそれ以上のハッシュ値のハッシュ関数を使用したその他の認証標準や、56ビットまたはそれ以上のキーを使用した暗号標準を、スイッチ146に実装してよい。

スイッチ 146 のセキュリティを強化するために、スイッチ 146の標準および専用の管理インターフェース (Telnet、Web インターフェースなど) が既定値で無効となっている。コマンドラインインターフェース (CLI) は、シリアルポート、またはスイッチ146のその他のセキュアアクセスポイント、認証、および暗号化を経由してアクセスしてもよい。ユーザアプリケーションは CLI を使用して、必要に応じてデバイスの拡張機能の有効化と、ユーザ情報およびネットワーク情報の構成を行ってよい。CLI はまた、例えば DES-56 暗号化、SSH-1-RSA キーなどの有効なキーの所有など、十分な暗号化を備えたセキュアシェル (SSH) 接続を経由して認証を行うことでアクセス可能である。様々なレベルのユーザ特権が許可されていて、デバイス機能の変更や更新ができる (例: MIB またはその他のデバイス構成)。例えば読み取りアクセス権と書き込みアクセス権は、専用パスワードでのみ許可されているが、パブリックパスワードを使った、デバイス 146への読み取り専用アクセスがユーザに許可されている場合がある。実施例の中には、前述したあらゆる構成にアクセスする場合や、「ロックダウン」機能を実装する場合、また後述のネットワーク 150 を自動的にロックダウンするためにタイマーを設定する場合は、ユーザがスイッチ 146 の書き込みアクセス権を所有する必要がある可能性がある。

基本レベルのスイッチング機能を超えた拡張機能は、プロセス制御ネットワーク 150 のセキュリティ向上のため、デバイス 146 にて無効化されている。例えば、プロフィネット I/O およびイーサネット（登録商標）/IP はデバイス 146 から完全に除去されて、ネットワーク 150 の別の部分にて実装されている場合がある。さらにスパニングツリーは既定により無効化されているが、CLI を介して使用することができる。リンクレイアプロトコル (LLDP)、動的ホスト構成プロトコル (DHCP) クライアント、およびその他の機能も無効化して、後述のロックダウン機能やロック解除機能の妨げになりうる「プラグアンドプレイ」ネットワークデバイスを使用できないようにしている。ただしネットワークデバイス 146 は、LAN 内やその他のネットワーク 150内で「プラグアンドプレイ」機能を使用可能にする既定構成では管理できないようになっている。これは例えば DeltaV（登録商標）システムを使用するネットワークなど、デバイスを使用できるように特に構成されたものである。スパニングツリーと同様に LLDP は、必要に応じて CLI を使ってアクセスおよび有効化してよい。

ネットワークデバイス 146 はまた、1つ以上の標準管理情報と専用管理情報ベース(MIB) 216 を含んでいて、メモリ 208 に保存されている。これらはオブジェクトの集合を含んでいる場合があるが、ネットワークデバイス 146を管理するための CLI や、プロセス制御ネットワーク 150 に特定の機能を実装するための CLI を介してアクセス可能である。1つ以上の専用 MIB は、後述のロックダウン機能やロック解除機能の管理と制御を行うためのオブジェクトを含んでいる可能性がある。専用 MIB はまた、ネットワークデバイス 146 と通信するランタイム API を介して、DeltaV（登録商標）ネットワークセキュリティ機能のインターフェースになりうる場合がある。プロセス制御ネットワーク 150 を構成して、専用 MIB を備えたネットワークデバイスの混合を組み込む場合がある。これはロックダウン機能とロック解除機能 (例:「ロッキングデバイス」)、商用デバイス、またロックダウン機能とロック解除機能を備えていない既製のネットワークデバイスを制御するためのものである。いずれにしても、後述のロックダウンおよびロック解除の機能と手順は、プロセス制御システム 150 上や、全体としてのプロセス制御システム 100 内の通常の通信を妨げることはないといえる。

スイッチ 146 はまた、可変 210 および非可変 212 の部分を備えたメモリ 208 を含んでいる可能性があり、これは後述のロックダウン機能やロック解除機能の起動を含むネットワーク機能の実装と、デバイス 146 の機能に関連したその他のデータの保存のための、コンピュータ読み取り可能指示を保存することを目的とする。例えば、アドレス解決プロトコル (ARP) テーブルと転送データベース (FDB) テーブル 214 は、レイア 3 (OSI モデル) ネットワークデバイスに保存可能である (ルーター、スイッチ、サーバ、デスクトップなど)。レイア 3 ネットワークデバイス 146 は、単一デバイスにてルーティングとスイッチングの両方を実行するが、ARP と FDB テーブルの両方を含んでいて、通常は完全なネットワークアドレスに基づいて受信したフレームを転送してよい。レイア 2 ネットワークデバイス (スイッチまたはブリッジなど) には、FBD テーブルが含まれていて、単独の MAC アドレス 180、182 の単独に基づいて、トラフィックを転送しうる。ここに示すロックダウンメソッドとロック解除メソッドは全般的に、レイア 2 ネットワークデバイスの観点で論じられているが、メソッドはレイア 3 とその他のタイプのネットワークデバイスに同等に適用できる。

ARP テーブルは、ネットワークデバイス 146 が、IP アドレスをその他のネットワークデバイスの MAC アドレス入力に保存する際に使用する。ARP テーブルにより、デバイス 146 が IP アドレスを MAC アドレスに解決することができる。ARP テーブルは、ネットワークデバイス 146 が ARP ブロードキャストをネットワーク 150 に実行して、ネットワークデバイスの MAC アドレスを解決する際に生成される。デバイス 146 が、ローカル接続されたインターフェースに配信する必要のあるパケットや、その他のデータを受信する際、デバイス 146 は ARP テーブルを使用して、どの MAC アドレスをフレームヘッダーを挿入するのかを識別する。ネットワークデバイスは FDB テーブル 214 を使用して、識別済 MAC アドレスと、各 MAC アドレスが識別されたポート 202 を保存してよい。

通常の操作では、ネットワークデバイス 146 は、フレーム 175 のソース MAC アドレス 182 を動的に理解して、デバイスが受信する各フレーム用のソース MAC アドレス 182 とその他のソース情報を、動的アドレステーブル 218 に追加することで受信できる。デバイス 146 は、新規ソース MAC アドレスを追加することで、また現在使用されていないこれらの MAC アドレスをエージングすることで、ステーションをネットワーク 150 に追加または削除した際に、動的アドレステーブル 218 を更新できる。エージング時間の期限が切れると、デバイス 146 は動的アドレステーブル 218 から MAC アドレスを削除する可能性がある。ネットワークデバイス 146 はまた、エージングすることのない、明示的入力された MAC アドレスとその他の情報を含む、静的アドレステーブル 220 も実装する。

デバイス 146 は、動的 218 と静的アドレステーブル 220 の両方に含まれている情報に一致する、すべての受信済フレームを使って、通常のネットワーク機能を実行できる。デバイス 146 のファームウェアに実装された機能は、1つ以上のARP と FDB テーブル 214 を、動的アドレステーブルおよび静的アドレステーブル 218、220 と比較して、受信フレーム 175 を処理してよい。

実施例の中には、ネットワークデバイス 146 が通常の状態または「ロック解除済」状態にある場合で、透過ブリッジ(スイッチと専用ブリッジ)、学習、エージング、転送、およびその他のネットワークデバイス機能が発生した場合、IP、MAC、およびその他のアドレスが ARP、FDB、そしてその他のテーブルに追加される可能性がある。「ロック解除済」状態にて、ネットワークデバイス 146 (例: Hirshmann Automation and Control 社製の Open Rail スイッチ) がイーサネット（登録商標）フレーム 175 を受信する際、デバイス 146 は宛先 MAC アドレス 180 を検査して、FDB テーブル 214 を確認、さらにアドレス情報を検出し、受信済イーサネット（登録商標）フレーム 175 を送信する。FDB テーブル 214 が受信済の宛先 MAC アドレスの情報を含んでいない場合は、デバイス 146 はイーサネット（登録商標）フレーム 175 をネットワーク 150 のすべてのポートにブロードキャストする。別のネットワークデバイスにてブロードキャスト済 MAC を確認できると、別のフレームがブロードキャストネットワークデバイスに送信される。これにより検出済 MAC アドレスが、動的アドレステーブル 218 と FDB テーブル 214 に追加される。ただし「ロックダウン」状態にて (以下に詳細を論議)、テーブル (例:1つ以上の ARP テーブルと FDB テーブル) は、今後に変更や追加が行われないように、現在の構成にて基本的に凍結される。以前に認識した MAC アドレスと、ロック時に動的アドレステーブルに組み込まれているその他の情報は、静的アドレステーブル 220 に移動され、デバイス 146 の認識は無効化される。ロックダウン状態にて、FDB テーブル 214 は変更できないので、デバイス 146 が、未知あるいは以前に認識済でない MAC アドレス 182 から受信したフレーム 175 を、承認または転送できないようにする。

図３Ａは、プロセス制御ネットワーク 150 と I/O ネットワーク 155 にて、ロックダウンの実装と、アクセスポイントおよびポート202のロック解除を行うための、模範的なメソッド 300 を図説している。一般的にメソッド 300 では、プロセス制御システム 100 のユーザが、プロセス制御ネットワーク 150 または I/O ネットワーク 155 内の、ネットワークデバイス 146 のポートおよびアクセスポイント 202 の機能の一部を無効化することが可能である。例えば、現在接続済のデバイスがネットワークデバイスポート 202 から接続解除した場合で、別のデバイスをこの場所にあるネットワークに接続した場合、ポート 202 は接続を拒否して、システム 100 のワークステーション 120 と 122 にて、ユーザインターフェース、監視サービス、およびその他のアプリケーション実行の通知を行う可能性がある。ロックダウン状態では、ネットワーク 150 および 155 のすべての未使用ポート、または無効ポート 202 が無効化されて、いかなる種類のネットワークデバイス 146 も追加および接続されることはない。

ユーザインターフェースは1つ以上の専用 MIB 216 でランタイムインターフェースを提供して、ロックダウン手順とロック解除手順を開始する。

プロセス制御ネットワーク 150 のロックダウンを実装するユーザインターフェース 400 の1例を、図４Ａ〜 4Ｄに図説する。図３Ａ〜３Ｃ、および図４Ａ〜４Ｄに関して、ブロック 302 にてユーザは、302 プロセス制御ネットワークセキュリティアプリケーションを起動するが、ここではロックダウンプロセスを開始するためのユーザインターフェース 400 を表示する。アプリケーションは自動的に、起動時にネットワークデバイスディスカバリーと識別 304を開始する場合と、ユーザが手動でデバイスディスカバリーを開始する場合がある。ユーザインターフェース 400 は、「スイッチの検出」の状態表示 402、またはプロセス制御ネットワーク 150 のネットワークデバイス 146 が識別済であるという別の表示を示す可能性がある。実施例の中には、アプリケーションが、ネットワークデバイスディスカバリーを開始する際に、ユーザインターフェース 400 の1つ以上の機能ボタン 404 を無効化する場合がある。ユーザはまた、手動でネットワークデバイスディスカバリーを開始してもよい。ブロック 304 は、プロセス制御ネットワーク 150 内にてあらゆるネットワークデバイス 146 の存在を検出するか、またはロックダウン機能を備えているネットワークデバイスのみ選択的に検出または識別する可能性がある。さらにブロック 304 は1つ以上のパラメータを使用して、デバイス 143、146 のネットワーク 150、155 を検索する可能性がある。例えば、ネットワーク 150、155 内の IP アドレスの指定範囲、MAC アドレスの範囲、またネットワークデバイス 143、146 の指定数が検索される可能性がある。開始 IP アドレスおよび終了 IP アドレスを備えた IP アドレスの範囲は、ユーザが指定してもよいが、IP アドレスの範囲は、ネットワーク 150、155 の構成にて識別されるか、メソッド 300 により検出される可能性がある。ブロック 304 はまた、デバイス 143、146、MAC、またはロックダウン機能を含むと以前に識別されたその他のアドレス、またはロックダウン有効化デバイスのその他の識別の専用 MIB 216 を指定することで、ロックダウン機能を含む特定のネットワークデバイス 143、146 を識別してもよい。デバイス 143、146 は、1つ以上の第1ネットワーク 406 と第2ネットワーク 408 を含む、ネットワーク 150、155 の任意の場所で検出される可能性がある。第1ネットワーク 406 内のデバイス 146 は、第1範囲に IP アドレスを含んでいる可能性があるが、第2 ネットワーク 408 内のデバイス 146 は、第2範囲に IP アドレスを含んでいる可能性がある。IP アドレスの範囲を使用して検出されたデバイス 146 は、特定の IP アドレスや、検出済デバイス 143、146 のその他のパラメータを含んでいる情報と一緒に返信しうる。

ブロック 306 にて、ブロック 304 が検出したデバイス 143、146 のパラメータ 425 (図４Ｂ) は、ユーザインターフェース 400 に返信される可能性がある。例えば、IP アドレス 426、名前 428、および状態 430 は、ユーザインターフェース 400 の第1ネットワーク 406 ウィンドウと第2ネットワーク 408 ウィンドウに表示される可能性がある。すべてのネットワークデバイス 146 が検出されると、状態表示 432 は検索が完了したことを示す。実施例の中には、メソッド 300 を初めて開始する場合、または別の検出済デバイスがロックダウン済でない場合、状態 430 は検出済デバイス 146 は「ロック解除済」状態 430 であることを示している可能性がある。ロック解除状態では、デバイスはネットワーク 150 内にてすべての通常の機能が実行可能である。実施例の中には、ロック解除状態にあるポートは、学習、エージング、および転送の基本的な透過ブリッジング機能を実行してよいものがある。既定のエージング時間は 600 秒 (10 分) に設定されているが、その他の既定時間は、デバイス 146 とネットワーク 150 の構成によって設定される可能性がある。検索が完了すると、ユーザおよび自動プロセスによる選択の際に、1つ以上の機能ボタン 434 を使用してもよい。

ブロック 308 では、ユーザまたは自動プロセスが「ロック解除」状態にあるデバイスを1つ以上選択してもよい。またブロック 310 では、ロックボタン 436 のうち1つを選択することで、ロックダウンプロセスを開始してもよい。ロックボタン 436 は、プロセス制御ネットワーク 150 の別の部分のロックダウンを選択的に開始するプロセスを実行できる。例えば別個のボタンは、ネットワーク全体、第1ネットワーク、第2ネットワーク、個別デバイス、および1つ以上の選択済デバイスにおける特定のアクセスポイントを選択的にロックする機能を提供できる。セキュリティ強化のため、ロックダウンプロセスは選択済ワークステーション 120、122 のみから開始できうるが、例えば、プロセス制御ネットワーク 150 の物理部分ではないリモートワークステーションの場合、インターネットの使用を介して開始することはできない可能性がある。または1つ以上の事前承認済の MAC アドレスや IP アドレスからしか開始できない可能性がある。1つ以上のロックボタン 436 を選択することでロックダウンプロセスを開始する際、メソッド 300 も認証プロセスを開始する可能性がある。例えばメソッド 300 の場合、ロックダウンプロセスへのアクセス権を確認するには、ユーザ名とパスワード、またはユーザのその他の個人認証が必要となる。ユーザが適切に認証されると、ユーザはロック解除ネットワークデバイス 428 の専用 MIB 216 のオブジェクトにアクセスして、ロックダウンを実行してよい。実施例の中には、ロック機能の場合、選択済デバイスの MAC アドレスは考慮されるが、IP アドレスは考慮されないものがある。また別の実施例では、上述のとおり、IP アドレスと MAC アドレスの両方が考慮されるものがある。

ロックボタン 436 の1つを選択した後に認証を行う際、メソッド 300 では1つ以上の選択済デバイスの専用 MIB 216 のうち、1つ以上にロックコマンドを送信しうる。専用 MIB 216 は次に1つ以上のメソッドを開始して、ポート特定のロックモードが有効であるすべての未使用および無効ポートを無効化してよい。例えば識別済ネットワークデバイス 428 のいずれかが、デバイスからのロックコマンドを受信した時点で、別のデバイスへの有効リンクがない場合 (例: ネットワークデバイス 146 の1つ以上の状態ライト 207 「図２」により表示、また「真(true)」と同等のポート用の有効リンク変数を新規別することで検出)、ポートは無効化される。実施例の中には、ポート 202 を無効化するということは、ソース MAC アドレス 182 で任意のパケットやフレーム 175 の承認拒否を含んでいることがあり、これはロック状態が有効化された時点で、デバイス 146 の FDB 214 内に含まれていない。例えば、FDB は基本的にロック状態で「凍結」されていて、通常の動的学習機能およびエージング機能は無効化される。その他の実施例には、非認証ホスト MAC アドレスがデバイス 146 のメモリ 208 に記録されていて (例: 既知の悪意のある MAC アドレス、非認証デバイスに属する MAC アドレスなど) 、その非認証ソース MAC アドレス 182 を含むあらゆる受信済パケットまたはフレーム 175 が拒否される場合がある。ネットワークデバイス 146 は、両方のポートと選択済デバイスの MAC アドレスのロックダウン処理を開始してよい。選択デバイス 428 のアップリンクポートはまた、同じ方法でロック可能であり、特定のポートもロックプロセスから除外してよい。メソッド 300 は、ブロック 310 にてネットワーク 150 の任意、およびすべての使用可能ポートを考慮に入れる。

図３Ｂは、1つ以上の未使用ポートを無効化するためのメソッド 325 の実施例を図説している。以下に説明する機能ブロックは、例えば前述のとおり CLI を介して、専用 MIB 216 内のオブジェクトとして実装してもよい。ブロック 326、メソッド 325 は前述のとおり、ロックポートとして構成され、ブロック 304 により検出されたデバイス 146 の、すべての未使用ポート 202 を無効化しうる。特定のポート 202 またはデバイスを 146 ロック解除ポート 428 (図４Ｂ) のリストから選択した場合、デバイスまたはポートに有効リンクがなければ、無効化される可能性がある。

未使用ポート 202 を無効化することは、ポート 202 から電力を除外する可能性がある。ブロック 328 にて、デバイス 146 で以前に受信済のアドレス情報は凍結される可能性がある。実施例の中には、情報は動的アドレステーブル 218 から静的アドレステーブル 220 に転送される場合がある。例えば、MAC アドレスとその他のデータは、動的アドレステーブル 218 から完全に削除され、静的アドレステーブル 220 に移動されうる。ブロック 328 には、例えば最大 256 アドレスというように、動的アドレステーブルから削除するアドレスを最大数含んでいる可能性がある。実施例の中には、動的アドレステーブル 218 内の現在の取得済アドレス数が最大数よりも多い場合、アドレスのサブセットのみがロックされる可能性がある。残りのアドレスは FDB テーブル 214 から削除され、接続エラーをもたらしうる。接続エラーが発生した場合は、エラーメッセージがユーザインターフェースに送信され、ロックダウンプロセスの障害を示す。

ブロック 330 にて、メソッド 325 は専用 MIB 216 から1つ以上のメソッドを実装することで、ポート 202 をロック状態にできる。例えば専用 MIB メソッドは、ポートから電力を除去するか、ポートの再構成を行い、ホストからあらゆるフレーム 175 を承認しないようにする。これは1つ以上の FDB テーブル 214、または静的アドレステーブル 220 で承認されていないフレームや、含まれていないフレームである。ブロック 332 では、メソッド 325 はデバイス 146 の通常の機能を無効化する可能性がある。ある実施例ではメソッド 325 が、デバイス 146 または特定ポート 202 のためのアドレス学習機能とアドレスエージング機能を無効化する。例えば、動的アドレステーブル 218 を無効化して、すべての入力を今後許可しないようにできる。また新規アドレスを検出するため、デバイス 146 はネットワーク 150 を今後フラッドさせないようにできる。そしてエージング時間の期限が切れた後、以前受信済のアドレスをデバイスから削除しうる。ブロック 334 では、デバイス構成を非可変メモリ 212 に保存される可能性がある。例えばポート状態と MAC アドレスは、ユーザが自動的、または明示的のいずれかにより保存してよい。保存済の現在の構成は、ロック済ポートの開始が強制されないように、電源サイクル時またはリブート時にデバイス 146 により使用可能である。

ロックする際、現在接続済のデバイスがネットワークデバイスポートに接続されていない場合で、別のデバイスが同じポートに接続されている場合、ネットワークデバイスは接続を拒否する可能性がある。実施例の中には、ネットワークデバイス 146 が接続を拒否する場合がある。これは前述のとおり、新規デバイスが変更済 FDB テーブル 214 に含まれていないからである。ただし、同じ認証デバイスが同じポートに再接続される場合、ネットワークデバイス 146 はデバイスとの通信を許可、または再構築する可能性がある。変更済 FDB テーブル 214 が MAC アドレスを含んでいるので、以前に接続済のデバイスと、通信が再構築される可能性がある。その他のネットワークデバイスとの通信は各デバイスの FDB 214 により制御されているので、ネットワークデバイス 146 自体は接続を拒否する可能性がある。ブロック 310 にてロックダウンプロセスを開始した後、前述のとおり、ユーザインターフェース 400 は、デバイス状態 430 のうち1つ以上の「ロック済」表示から変更するか、または状態表示 432 の「完了」表示から、選択デバイス 428 が専用 MIB 216 メソッドを実行して、未使用ポートをロックするという内容の表示に変更してもよい。図４C に関して、ブロック 310 でのロックダウンプロセスを完了すると、ユーザインターフェースは第1ネットワークと第2ネットワークのロック済デバイス 452 のリストを表示する。ロック済デバイス 452 には、「ロック済」の状態 454 、またはロックプロセスの完了を示すその他の表示が含まれうる。

1つ以上のネットワークデバイスにロックダウンプロセス 325 を実行後、例えば、トラブルシューティング操作や日常メンテナンス、診断、ネットワーク再構成などの間に、1つ以上のロック済デバイスをロック解除する必要がある可能性がある。ブロック 311 にて、1つ以上のデバイスやポートをロック解除する必要があると、メソッド 300 はブロック 312 を続行するか、またはネットワークデバイスや個別ポートをロック解除する必要がある場合、メソッドはブロック 304 に戻ってネットワーク 150 のすべての変更を監視する可能性がある。

ブロック 312 (図３Ａ)では、ユーザまたは自動プロセスが「ロック済」状態にあるデバイスを1つ以上選択してよい。またブロック 314 では、ロック解除ボタン 475 を選択することで、ロック解除プロセスを開始できる。ロックボタン 436 (図４Ｂ) の場合、ロック解除ボタン 475 は1つ以上の専用 MIB 216 の、1つ以上のメソッドを開始して、以前にロック済のプロセス制御ネットワーク 150 の別の部分に、ロック解除プロセスを選択的に開始できる。セキュリティの強化のため、ロック解除プロセスをロックダウンタイマー 476 で構成して、以前にロック済のデバイス 478 または個別ポートのうち1つ以上を自動的に再ロックできる。ロックダウンタイマー 476 は、その間に既定設定で構成される可能があるが、ロック解除プロセスの完了時に (ブロック 316) 、1つ以上のロック解除デバイスが再度ロックされる場合がある。ある実施例では、ロックダウンタイマー 476 を 60分の既定設定で構成している (例: 3600 秒)。ロック解除プロセスは選択済ワークステーション 120、122 から開始できうるが、例えば、プロセス制御ネットワーク 150 の物理部分ではないリモートワークステーションの場合、インターネットの使用を介して開始することはできない可能性がある。または1つ以上の事前承認済の MAC アドレスからしか開始できない可能性がある。

例えばメソッド 300 の場合、ロックダウンプロセスへのアクセス権を確認するには、ユーザ名とパスワード、またはユーザのその他の個人認証が必要となるユーザが適切に認証されると、ユーザは1つ以上選択したロック済ネットワークデバイスの、専用 MIB 216 または 202 ポートにアクセスして、ロック解除を開始できる。

認証時に、ロック解除ボタンを選択して、オプションとしてロックダウンタイマー 476 を選択した後、メソッド 300 は選択したロック済デバイスの専用 MIB に、ロック解除コマンドを送信する可能性がある。図３Ｃは、以前に無効化されたポートまたはデバイスをロック解除および有効化するための、メソッド 350 の1実施例を示している。以下に説明する機能ブロックは、例えば前述のとおり CLI を介して、専用 MIB 216 内のオブジェクトとして実装してもよい。ブロック 352 では、メソッド 350 が以前にロック済のポートまたはデバイスを有効化する可能性がある。実施例の中には、ロックメソッド 325 により無効化されたすべての未使用ポートは有効化されるが、ユーザが個々にロックしたポートはロック状態で保持される場合がある。その他の実施例では、すべてのロック済ポートまたはデバイスは有効化されるか、ロック済ポートまたはデバイスはオプションとして有効化される可能性がある。ブロック 354 では、静的アドレステーブル 220 に以前に追加済のアドレスデータは削除される可能性がある。実施例の中には、ユーザが追加した静的アドレスデータや、またはその他の明示的プロセスは、ロック解除中に静的アドレステーブル 220 にて保持される可能性がある。ブロック 356 では、メソッド 350 はポートまたはデバイスのロック解除状態を有効化しうる。

例えばポートの電力をアクティブ化して、(または) ポートが任意のソース MAC アドレス 182 から、フレーム 175 の承認を再開する可能性がある。ブロック 358 では、メソッド 350 は通常のポート機能またはデバイス機能を再開する。例えばロック解除状態にて、上述のブロック 330 にて保留されていた、通常の学習機能およびエージング機能が再開されて、デバイステーブル (例: ARP、FDB、静的および動的アドレステーブル) が再生成される可能性がある。ブロック 360 にてメソッド 350 は、新規デバイスまたはポート構成を保存しうる。例えばポート状態と MAC アドレスは、自動的またはユーザによる明示的のいずれかによって保存され、電源サイクルまたはリブート時に、デバイスにより実装される可能性がある。

実施例の中には、ブロック 314 にてロック解除プロセスを開始した後、ユーザインターフェース 400 (図４Ｄ) は、1つ以上のデバイス状態 480 を「ロック済」から、選択デバイス 478 を「ロック保留」状態に表示するように変更できる場合がある。

さらにロックダウンタイマー 476 がロック解除プロセスで初期化される場合、残り時間の状態 482 は、デバイス 478 がロック済状態に戻される前の残り時間数を示している可能性がある。残り時間 482 を設定してロック済状態に戻さないようにもできる。例えば、専用 MIB 216 のオブジェクトに CLI を介してアクセスして、タイマー 482 を「復帰させない」状態に設定しても、またその他の時間数を設定してもよい。

実施例の中には、電源をオンにした際にネットワークデバイスが、ブロック 334 にて保存済の構成に戻す可能性がある (図３Ｂ)。例えばエンティティは、1つ以上のネットワークデバイスを循環させてロック済ポートの開始を強制し、非認証デバイスとプロセス制御ネットワーク 150 の接続を試みる可能性がある。電源がオンの場合、デバイスを設定して、非可変メモリ 212 からデバイスの保存構成にアクセスできる可能性がある (図２)。従って、電源サイクルデバイスがロック済状態、またはロック解除状態に切り替えられたかどうかに関わらず、電源サイクル以前のネットワーク 150 に接続済のすべてのデバイスは、システムとの通信を自動的に再構築されるが、電源がオフの間にポートに追加された新規デバイスはすべて、拒否される可能性がある。デバイスが「ロック解除」の状態で電源がオンになっている場合で、ロックダウンタイマー 476 がゼロ以上の場合、時間の期限が切れると、デバイスは自動的にロック済状態に入る可能性がある。デバイス状態は、例えば15秒毎などで定期的に更新されて、最新の状態が表示される。さらに更新ボタン 484 により、ユーザが表示ネットワークデバイス 478 の状態を手動で更新するほか、ネットワーク 150 に追加されたネットワークデバイスの検出を実行できる。ある実施例では、更新ボタン 484 を選択すると、ブロック 304 および 306 に関連して、上述のネットワークデバイスの検出が開始される可能性がある (図３)。

ここに記述するネットワークデバイスのロックダウン技術は、Fieldbusと標準 4 20 maデバイスを一緒に使用する場合の説明であるが、もちろん任意のプロセス制御通信プロトコル、またはプログラミング環境を使用した実装が可能である。また他のタイプのデバイス、機能、ブロック、およびコントローラーと一緒に使用してもよい。ここに記述するネットワークデバイスのロックダウンルーチンは、ソフトウェアにて実装するのが望ましいが、ハードウェアやファームウェアなどで実装してもよい。またプロセス制御システムに関連した他のプロセッサーにより実行してもよい。従って必要に応じて、ここに記述するメソッド 300、325、および 350 は、標準多目的 CPU にて実装するか、または例えば ASIC などの、特別に設計されたハードウェアやファームウェアにて実装してもよい。ソフトウェアにて実装する際、任意のコンピュータやプロセッサーなどの RAM または ROM にて、磁気ディスク、レーザーディスク、光ディスク、およびその他の記憶媒体として、ソフトウェアは任意のコンピュータ読取り可能メモリに保存してよい。同様にこのソフトウェアは、任意の既知および必要な配信方法によって、ユーザまたはプロセス制御システムに配信できる。例としてコンピュータ読取り可能ディスク、その他の転送可能なコンピュータ記憶メカニズム、または電話回線やインターネットなどの通信チャネル上での調整が挙げられる (これは転送可能な記憶媒体を介して、そのようなソフトウェアを提供することと同様または交換可能と考えられる)。

従って現在の発明は、特定の例に関して記述しているが、これは発明に制限することなく実例となるように意図している一方で、発明の趣旨および範囲から外れることなく、内容の変更や追加、削除が、提示する実施例に行なわれる可能性があることは、技術背景の通常の技量において明白である。

Claims

プロセス制御ネットワークに通信で接続されるネットワークデバイスを検出する工程と、
ネットワークデバイスのアドレステーブルと、各自がプロセス制御ネットワークの有効なノードに対応する、1つ以上の認証済物理アドレスを備えたアドレステーブルを凍結する工程と、
ネットワークデバイスの1つ以上のブリッジ機能を保留する工程と、
冷凍のアドレステーブルのアドレスに対応する、認証済の物理アドレスをフレームが含んでいる場合に、ネットワークデバイスにて受信したフレームを処理する工程と、
およびフレームが非認証の物理アドレスを含んでいる場合に、受信フレームを中断する工程とを含むことを特徴とする、
プロセス制御ネットワークを経由して安全にプロセス制御データの通信を行う方法。
請求項１において、ネットワークデバイスの転送データベーステーブルを凍結させることにより、ネットワークデバイスの1つ以上の通信ポートを選択的に無効化する工程をさらに含むことを特徴とする方法。
請求項２において、前記ネットワークデバイスの1つ以上の通信ポートを選択的に無効化する工程が、1つ以上の通信ポートから1つ以上の電力を除去する工程と、ネットワークデバイスの1つ以上のブリッジ機能を保留する工程と、および学習、転送、エージングを含む機能をブリッジさせる工程とを含むことを特徴とする方法。
請求項１において、ネットワークデバイスの1つ以上のブリッジ機能を再開することで、以前に無効化された通信ポートを選択的に1つ以上有効化する工程をさらに含むことを特徴とする方法。
請求項４において、しきい値の期限が切れた後に有効通信ポートを無効化する工程をさらに含むことを特徴とする方法。
請求項１において、前記アドレステーブルを凍結する工程が、動的アドレステーブルから静的アドレステーブルに１つ以上の物理アドレスを移動させる工程を含むことを特徴とする方法。
請求項１において、アドレステーブルがアドレス解決プロトコルテーブル、および転送データベーステーブルの１つ以上であることを特徴とする方法。
プロセス制御ネットワークのネットワークデバイスを識別する工程であって、有効なアクセスポイントに、プロセス制御ネットワークのノードの有効リンクと、プロセス制御ネットワークへのインターネット接続を１つ以上含んでいることを特徴とする１つ以上の有効アクセスポイントまたは無効アクセスポイントを備えたネットワークデバイスを識別する工程と、
無効アクセスポイントの現在の構成を凍結する工程、および無効アクセスポイントの機能を削除して電力を受信する工程の内の１つ以上の方法によってネットワークデバイスの残りの無効アクセスポイントをすべて無効化する工程と、
を含む、プロセス制御ネットワークにて１つ以上のアクセスポイントをロックダウンする方法。
請求項８において、ネットワークデバイスが、ネットワークインターフェースカード、ネットワークスイッチ、ルーター、ファイアウォール、コントローラー、およびワークステーションを包含することを特徴とする方法。
請求項８において、１つ以上のアクセスポイントが１つ以上のネットワークデバイスポートを包含することを特徴とする方法。
請求項８において、さらに以前に無効化されたアクセスポイントを有効化することを特徴とする方法。
請求項８において、さらに以前に一定期間に無効化されたアクセスポイントを有効化することを特徴とする方法。
請求項８において、さらに１つ以上の一定の有効期限に対応した無効アクセスポイントを無効化する工程、ネットワークセキュリティの脅威を識別する工程、ネットワークメンテナンス周期を集結する工程、予期しないネットワークイベント、またはネットワークパラメータを変更する工程を含むことを特徴とする方法。
請求項８において、さらにユーザインターフェースにてネットワークデバイスからの情報を受信する工程、および無効アクセスポイントが無効化された場合にそれを示す情報を受信する工程を含むことを特徴とする方法。
請求項８において、さらに無効化された有効でないアクセスポイントを有効化する試みを、ネットワークデバイスがユーザインターフェースに報告する工程を含むことを特徴とする方法。
請求項８において、無効なアクセスポイントが無効となった場合、プロセス制御ネットワークのプロセス制御データの通信が、有効なアクセスポイント上でのみ実行されることを特徴とする方法。
請求項８において、さらにプロセス制御ネットワークのローカル物理ノードにて、無効なアクセスポイントを有効化または無効化する工程を含むことを特徴とする方法。
請求項８において、さらに無効化された無効アクセスポイントへの接続をすべて拒否する工程を含むことを特徴とする方法。
１つ以上のモジュールを含む専用管理情報ベース、プロセス制御ネットワークの１つ以上のノードに通信的に接続するための通信ポート、および管理プロトコルモジュールの、プロセス制御ネットワークを経由して安全に通信プロセス制御データを送信する装置であって、
１つ以上のセキュリティモジュールが、選択的に通信ポートを無効化、および有効化するように構成することを特徴とし、
また管理プロトコルは、通信ポートで受信したフレームから、プロセス制御ネットワークを介して、またはプロセス制御ネットワークノードに対応するアドレスを介して、プロセス制御ネットワークノードアドレスの転送、学習、およびエージングを行うように構成することを特徴とする装置。
請求項１９において、さらに１つ以上のテーブルを１つ以上のプロセス制御ネットワークノードアドレスを保存するように構成することを特徴とする装置。
請求項２０において、選択的に通信ポートを無効化するように構成されている１つ以上のセキュリティモジュールをさらに構成して、第１テーブルから第２テーブルに１つ以上のプロセス制御ネットワークノードアドレスをコピーし、第１テーブルを消去し、および通信ポートを選択的に無効化する際に、プロセス制御ネットワークノードアドレスがそれ以上保存されないように設定することを特徴とする装置。
請求項２１において、専用情報ベースが比較モジュールを備え、受信フレームのアドレスを１つ以上のテーブルに保存済の１つ以上のアドレスと比較するように、このモジュールをさらに構成することを特徴とし、受信アドレスが一致しない場合、１つ以上のセキュリティモジュールが、受信フレームを中断するようにさらに構成することを特徴とする装置。
請求項２０において、通信ポートを選択的に無効化するように構成されている１つ以上のセキュリティモジュールをさらに構成して、管理プロトコルの転送、エージング構成を１つ以上保留することを特徴とする装置。
請求項２２において、管理プロトコルをさらに構成して中断フレームを保存することを特徴とする装置。
請求項２０において、１つ以上のテーブルがアドレス解決プロトコルテーブルと転送データテーブルを包含することを特徴とする装置。
請求項１９において、１つ以上のセキュリティモジュールが、通信ポートを無効化する際に、動的アドレステーブルから静的アドレステーブルに、１つ以上のアドレスを移動するように構成されることを特徴とする装置。
請求項２１において、１つ以上のセキュリティモジュールをさらに構成して、通信ポートを有効化する際に、静的アドレステーブルから移動済アドレスを、１つ以上削除することを特徴とする装置。
請求項１９において、１つ以上のセキュリティモジュールをさらに構成して、通信ポートの無効化の際に、通信ポートから電力を除去することを特徴とする装置。
請求項１９において、さらにタイマーを構成して、通信ポートを無効化した後で、有効期限の終了後に通信ポートを有効化することを特徴とする装置。
請求項２４において、専用管理情報ベースがタイマーを包含することを特徴とする装置。
請求項１９において、さらにコマンドラインインターフェースが、専用管理情報ベースの１つ以上のセキュリティモジュールにアクセスすることを特徴とする装置。
請求項２６において、さらにユーザインターフェースが、コマンドラインインターフェースを介した装置への通信コマンド、および専用管理情報ベースの１つ以上のセキュリティモジュールを開始するコマンドと通信することを特徴とする装置。
プロセス制御ネットワークに通信的に接続されている、１つ以上の通信ポートが含まれている１つ以上のネットワークデバイスを検出する工程と、
１つ以上の未使用ポートを無効化する工程と、
通信済フレームが有効リンクを備えた通信ポートにて受信することを特徴とする、１つ以上のフレームとその他のネットワークデバイスと通信する工程と
および無効通信ポートにて受信される１つ以上のフレームを中断する工程とを含む、
１つ以上のネットワークデバイスを含むプロセス制御ネットワークを経由したプロセス制御データの安全な通信のための方法。
請求項３３において、未使用通信ポートが、プロセス制御ネットワークへの無線インターネット接続を１つ以上備えていて、別のネットワークデバイスに有効な通信リンクを備えていないことを特徴とする方法。
請求項３３において、１つ以上の未使用通信ポートを無効化する工程に、１つ以上の通信ポートを識別する工程が含まれることを特徴とする方法。各通信ポートは、別のネットワークデバイスへの有効リンクを備え、さらにすべての残りの未確認の通信ポートを無効化する工程が含まれることを特徴とする方法。
請求項３３において、前記１つ以上の未使用通信ポートを無効化する工程に、動的アドレステーブルから静的アドレステーブルに移動する工程と、検出済ネットワークデバイスのブリッジ機能を無効化する工程とが含まれることを特徴とする方法。
請求項３６において、さらにネットワークデバイスの非可変メモリにて、１つ以上の静的アドレステーブルと、ネットワークデバイスの転送テーブルを保存する工程を含むことを特徴とする方法。
請求項３７において、さらにネットワークデバイスのリブートの際に、保存済静的アドレステーブルと転送テーブルに元に戻す工程を含むことを特徴とする方法。
請求項３３において、前記１つ以上の未使用通信ポートを無効化する工程に、検出済ネットワークデバイスが、ソースMAC アドレスを含んでいるフレームの承認を拒否する工程が含まれることを特徴とする方法であって、該MAC アドレスは、１つ以上のアドレス解決プロトコルテーブル内、および検出済ネットワークデバイスのデータベースの転送内に含まれていないことを特徴とする方法。
請求項３３において、前記１つ以上の未使用通信ポートを無効化する工程に、検出済ネットワークデバイスの転送データベーステーブルを凍結する工程が含まれることを特徴とする方法。
請求項３３において、前記１つ以上の未使用通信ポートを無効化する工程に、検出済ネットワークデバイスの透過ブリッジ機能を、１つ以上無効化する工程が含まれ、当該機能には学習、エージング、および転送が含まれることを特徴とする方法。
請求項３３において、前記１つ以上の未使用通信ポートを無効化する工程に、未使用通信ポートから電力を除去する工程が含まれることを特徴とする方法。
請求項３３において、前記１つ以上のフレームが別のネットワークデバイスに通信する工程に、すべての動的アドレステーブルのアドレスを静的アドレステーブルに移動した後に、受信済アドレスを転送データベーステーブルアドレスと一致させる工程が含まれ、ネットワークデバイスのブリッジ機能を無効化する工程が含まれ、且つ該ブリッジ機能には学習、エージング、および転送が含まれることを特徴とする方法。
請求項３３において、前記無効通信ポートにて受信した１つ以上のフレームを中断する工程に、中断フレームを保存する工程が含まれることを特徴とする方法。
請求項３３において、前記無効通信ポートにて受信した１つ以上のフレームを中断する工程に、ネットワークデバイスの静的アドレステーブルや転送データベーステーブルに含まれていない、１つ以上のフレームを中断する工程が含まれることを特徴とする方法。
請求項３３において、前記１つ以上の検出済ネットワークデバイスが、IP アドレスの範囲内の IP アドレスと、MAC アドレスの範囲内の MAC アドレスを１つ以上包含していることを特徴とする方法。
請求項３３において、前記プロセス制御ネットワークが、第１ネットワークと第２ネットワークを包含することを特徴とする方法。
請求項３３において、さらに検出済ネットワークデバイスの１つ以上のアップリンク未使用通信ポートを無効化する工程を含むことを特徴とする方法。