JP2016504639A - 改ざん試行報告を有するフィールドデバイス - Google Patents

Abstract

改ざん試行報告の方法（１００）が、ネットワークサーバ、複数の処理ユニット、および複数のフィールドデバイスを含む、複数の物理プロセスパラメータに関与するプロセスを実行するように構成された産業プラントにおける、フィールドデバイス内に記憶された構成データへの書き込み試行を受信するステップ（１０１）を含む。複数のフィールドデバイスは、（ｉ）複数の物理プロセスパラメータのうちの少なくとも１つを測定するためのセンサ、または（ｉｉ）複数の処理ユニットのうちの少なくとも１つのための制御出力動作を実施するための機器を含む。複数のフィールドデバイスは、少なくとも１つのリモートホストシステムまたはリモートホストデバイスと通信する。書き込み試行は、自動的に検出される（１０２）。書き込み試行の警告が、少なくともリモートホストシステムまたはリモートホストデバイスに自動的に送信される（１０３）。

Description

[0001]開示される実施形態は、改ざん試行の検出および報告を有するデバイスに関する。

[0002]産業プロセス制御においては、実行されているプロセスについての物理的な測定値（たとえば、圧力、温度、レベル、または流体フロー）を感知するためのセンサ、および産業プラントにおける処理ユニットのための制御出力動作を実施するための機器（たとえば、制御バルブ、アクチュエータ、またはドライブユニット）が、広大な地理的エリアにわたって設置されることがある。これらの機器は、一般に、「フィールドデバイス」または「フィールド機器」（以下では、「フィールドデバイス」）と呼ばれ、有人または無人のいずれかであるエリアに設置されてよい。さまざまな場所におけるセキュリティのレベルは、多様であり得る。これらの要因のすべてが、フィールドデバイスが意図された通りに、およびフィールドデバイスが稼働開始される前の試運転プロセス中に検証された通りに、動作し続けることを保証するための課題を提示する。

[0003]最近のフィールドデバイスは、一般に、「スマート」フィールドデバイスと呼ばれ、その理由は、それらが物理的なパラメータについての基本的なセンサ機能または制御機能に加えて、価値のある資産データを提供するからである。この資産データは、フィールドデバイスの、およびフィールドデバイスが関与したプロセス／アプリケーションの診断用の健全性に関する。たとえば、スマート位置センサの場合、特定用途向け集積回路（ＡＳＩＣ）と一連の磁気抵抗（ＭＲ）センサとの組合せによって、自己較正するための能力が提供されて、動く対象物（たとえば、昇降機、バルブ、機械部分など）に取り付けられた磁石の位置を正確かつ確実に判定し、その結果、対象物の位置が正確に判定される。

[0004]フィールドデバイスは、一般に、ＨＡＲＴ、ＷｉｒｅｌｅｓｓＨＡＲＴ、ＦＯＵＮＤＡＴＩＯＮ ＦＩＥＬＤＢＵＳ、ＰＲＯＦＩＢＵＳ、ＰＲＯＦＩＮＥＴ、またはＩＳＡ１００．１１ａなどの、標準的なフィールド通信プロトコルを使用して、ネットワークサーバ、分散型制御システム（ＤＣＳ）、安全システム、機器資産管理システム、またはハンドヘルド・コンフィギュレータなどの、リモートホストシステムまたはリモートホストデバイスと通信する。そのようなホストシステムまたはホストデバイスは、一般に、スマートデバイスへの書き込みアクセスを含み、しばしば、スマートデバイスそれ自体が、ローカルなディスプレイ画面およびスイッチなどの、それ自体のローカルなインターフェースを通して、構成をサポートする。この構成パラメータは、利用可能な上述したホストのうちのいずれかを用いて、ユーザによってフィールドデバイスごとに設定され、その結果、フィールドデバイスは意図された通りに動作する。

[0005]フィールドデバイスは、業務に不可欠な測定および制御を実施することがあるために、そのようなデバイスにおけるデータセキュリティは重要である。それに応じて、デバイスの構成データ（それぞれ異なるプロセスパラメータに保持される値）へのいかなる変更も、安全に見張られる必要があり、試運転後に意図されない構成変更が行われないようにするための配慮が一般に取られる。構成変更は、不注意による変更であれ、悪意による変更であれ、プラントの動作に有害であることがあり、ある一定の場合、人を命の危険にさらす可能性がある。

[0006]慣習的に、構成データへの権限のない変更は、書き込み／構成、および時にまた読み取りへのアクセスのための、フィールドデバイス・アクセスについての標準作業手順（Ｓｔａｎｄａｒｄ Ｏｐｅｒａｔｉｎｇ Ｐｒｏｃｅｄｕｒｅｓ：ＳＯＰ）をプラントが有することによって避けられ、そこでは、ホストシステムまたはホストデバイスが、個別のユーザ／個別のシナリオに書き込みアクセス制御を提供し、次いでフィールドデバイスそれ自体が、書き込み保護を実施する。フィールドデバイスのための書き込み保護は、一般に、ソフトウェアによって、またはハードウェア（書き込み保護ハードウェアジャンパー）によって、またはその両方によって実装される。

[0007]フィールドデバイスが書き込み保護について構成されるとき、その意図は、フィールドデバイスの構成データへの権限のない変更を阻止することである。書き込み保護方法は、標準的であり、一般に、その機能を効果的に実施する。しかしなから、プロセスの安全なプラント動作を担当する、ならびにフィールドデバイスの適正な動作を担当するシステムおよび個人は、デバイス構成を変更しようとする試行には気付かされない。

本願発明の一実施例は、例えば、改ざん試行報告を有するフィールドデバイスに関する。

[0008]本概要は、提供される図面を含む詳細な説明において以下でさらに説明される、開示される概念の簡潔に選択されたものを、簡略化された形式で導入するために提供される。本概要は、特許請求される主題の範囲を限定するようには意図されない。

[0009]従来の書き込み保護メカニズムは、産業プラント内のフィールドデバイスについての（時に構成パラメータと呼ばれる）構成データを変更する改ざん活動からの保護を提供するものの、ハッカーまたは他の権限のない個人の検査および迅速な特定を含む一定の目的のための価値であり得る、改ざん試行報告が提供されていないことを、開示される実施形態は認識する。開示される実施形態は、フィールドデバイスが書き込み保護について構成されているときに、フィールドデバイス構成データを変更しようとする試行の追跡および報告のための、「自動改ざん試行報告（Ａｕｔｏｍａｔｉｃ Ｔａｍｐｅｒ Ａｔｔｅｍｐｔ Ｒｅｐｏｒｔｉｎｇ：ＡＴＡＲ）」アルゴリズムと本明細書で呼ばれるソフトウェアを含む。開示される実施形態は、標準作業手順（ＳＯＰ）に反して試行された構成データの変更、およびプラント動作を混乱させようとする（たとえば、ハッカー、または不満を持った従業員もしくは請負人などによる）悪意のある試行に対し、動作および保守システムならびに職員に通知することができる。

[0010]開示される一実施形態は、産業プラントにおけるフィールドデバイスのための改ざん試行報告の方法を含む。ネットワークサーバ、複数の処理ユニット、および複数のフィールドデバイスを含む、複数の物理プロセスパラメータに関与するプロセスを実行するように構成された産業プラントにおける、フィールドデバイスによって記憶された構成データへの書き込み試行が受信される。産業プラントは、一般に、ワイヤレスインフラストラクチャなどの他のネットワークインフラストラクチャを含む。複数のフィールドデバイスは、（ｉ）複数の物理プロセスパラメータのうちの少なくとも１つを測定するためのセンサ、または（ｉｉ）処理ユニットのうちの少なくとも１つのための制御出力動作を実施するための機器を含む。ソフトウェア書き込み試行、または（フィールドデバイスが書き込み保護ハードウェアジャンパーを含む場合には）書き込み保護ハードウェアジャンパーの動きが、自動的に検出され、書き込み試行の警告が、フィールドデバイスが通信する少なくとも１つのリモートホストシステムまたはリモートホストデバイスに、たとえば、特定の一実施形態においてはネットワークサーバに、自動的に送信される。

[0011]本明細書で使用されるとき、リモートホストシステムまたはリモートホストデバイスは、フィールドデバイスまでの距離に関わらず、フィールドデバイスにおける構成データへの読み取りおよび／または書き込みをする能力を有する、フィールドデバイスが通信する任意のシステムまたはデバイスである。たとえば、リモートホストシステムまたはリモートホストデバイスは、分散制御システム（ＤＣＳ）、安全システム、機器資産管理システム、またはハンドヘルド・コンフィギュレータを含むことができる。加えて、リモートホストシステムまたはリモートホストデバイスは、タブレットデバイス、セルフォン／スマートフォン、または監視制御およびデータ捕捉（ｓｕｐｅｒｖｉｓｏｒｙ ｃｏｎｔｒｏｌ ａｎｄ ａ ｄａｔａ ａｃｑｕｉｓｉｔｉｏｎ：ＳＣＡＤＡ）システムを含むことができる。

[0012]例示的な実施形態による、産業プラントにおけるフィールドデバイスのための改ざん試行報告の方法のステップを示す流れ図である。 [0013]図２Ａは、例示的な実施形態による、開示される改ざん試行報告を有するスマートアクチュエータとして示される、処理ユニットのための制御出力動作を実施するための例示的なスマート機器のブロック図である。図２Ｂは、例示的な実施形態による、開示される改ざん試行報告を有する例示的なスマートセンサのブロック図である。 [0014]例示的な実施形態による、ネットワークサーバ、少なくとも１つのルーター、複数のオペレータ、および開示される改ざん試行報告を有する複数のフィールドデバイスを含む、ワイヤレス通信ネットワークと共に処理ユニットを含む産業プラントのブロック図である。 [0015]フィールドデバイスが書き込み保護ハードウェアジャンパーを含む場合の、例示的なＡＴＡＲアルゴリズムのための例示的な改ざん警告ルールを示すテーブルの図である。

[0016]開示される実施形態は、添付の図面を参照して説明され、図面においては、同様の参照番号が、同様のまたは同等の要素を指摘するために図面全体を通して使用される。図面は一定の縮尺で描かれておらず、一定の開示される態様を例証するために提供されるにすぎない。いくつかの開示される態様が、例証のために例示的な用途を参照して以下で説明される。数多くの個別の詳細、関係、および方法は、開示される実施形態の十分な理解を提供するために記述されることを理解されたい。しかしながら、当業者は、本明細書で開示される主題が、個別の詳細のうちの１つまたは複数なしに、または他の方法を用いて実践され得ることを容易に認識するであろう。他の事例において、よく知られた構造または動作は、一定の態様を曖昧にするのを避けるために、詳細には示されない。いくつかの作用は、異なる順序で、および／または他の作用もしくは事象と同時に発生することがあることから、本開示は、作用もしくは事象の例証される順序によって限定されない。さらに、すべての例証される作用または事象が、本明細書で開示される実施形態による方法論を実装するために要求されるわけではない。

[0017]開示される実施形態は、構成データのための書き込み保護メカニズムを有するフィールドデバイスのための、改ざん試行追跡の実装形態を可能にするＡＴＡＲアルゴリズムを含み、それにより、プラント動作または機器保守を担当する個人が、フィールドデバイスの構成データへの試行された変更に対して警告されることを可能にする。書き込み保護メカニズムが構成データを変更しようとする試行を正常に阻止する場合、なんの差し支えも引き起こされていないように見えることがあるが、開示される実施形態は、ハッカー行為などの権限のない活動が、保護されていないものを見つけるまで、いくつかのフィールドデバイス、アプライアンス、またはシステムに、１つずつアクセスを得ようと試す場合があることを認識する。本明細書で説明される検出および報告のメカニズムを使用することは、フィールドデバイスの広い分散にわたって検出される構成データへの権限のない書き込み試行の早期警報システムを提供する。

[0018]ＡＴＡＲアルゴリズムは、一般に、有効にされる、または無効にされるために、オン／オフに切り換えられてよく、切り換えは、ユーザインターフェースを使用する、フィールドデバイスそれ自体のユーザによる切り換えを含む。有効にされると、ＡＴＡＲアルゴリズムは、フィールドデバイスの構成データを変更しようとする試行を自動的に追跡し、ＨＡＲＴ、ＷｉｒｅｌｅｓｓＨＡＲＴ、ＦＯＵＮＤＡＴＩＯＮ ＦＩＥＬＤＢＵＳ、ＰＲＯＦＩＢＵＳ、ＰＲＯＦＩＮＥＴ、またはＩＳＡ１００．１１ａ通信プロトコルなどに基づく、利用される基礎をなす通信プロトコル、およびその標準によって指定されるような標準のアラーム／イベント／診断報告を使用して、リモートホストシステムまたはリモートホストデバイスに自動的に警告することができる。

[0019]図１は、例示的な実施形態による、産業プラントにおけるフィールドデバイスのための改ざん試行報告の方法１００のステップを示す流れ図である。フィールドデバイスには、開示されるＡＴＡＲアルゴリズムが提供され、ＡＴＡＲアルゴリズムは、ユーザ選択可能な（オン／オフ）スイッチを含むことができ、これは、書き込み保護ソフトウェアおよび／または（フィールドデバイスによって提供される場合には）書き込み保護ハードウェアジャンパーに加えて作動することができる。ＡＴＡＲアルゴリズムが有効にされるとき、フィールドデバイスへの書き込み試行、または（フィールドデバイスによって提供される場合には）書き込み保護ハードウェアジャンパーの動きが、リモートホストシステムまたはリモートホストデバイスへの関連付けられた通信プロトコル内の標準通信メカニズムなどを通して、改ざん警告を自動的に報告するフィールドデバイスをもたらすことを可能にする。

[0020]ステップ１０１は、産業プラントによって実行されるプロセスに関与した複数の物理プロセスパラメータのうちの１つを制御するために動作可能なフィールドデバイスによって記憶された構成データへの書き込み試行を受信するステップを含む。フィールドデバイスは、（ｉ）複数の物理プロセスパラメータ（たとえば、フローの圧力、温度）のうちの少なくとも１つを測定するためのセンサ、または（ｉｉ）複数の処理ユニットのうちの少なくとも１つのための制御出力動作を実施するための機器を含む。産業プラントは、ネットワークサーバ、複数の処理ユニットを含む。フィールドデバイスは、少なくとも１つのリモートホストシステムまたはリモートホストデバイスと通信する。開示されるＡＴＡＲアルゴリズムは、一般に、フィールドデバイスのメモリに記憶され、書き込み試行を自動的に検出する（以下で説明されるステップ１０２）、および警告を自動的に送信する（以下で説明されるステップ１０３）ための実行可能なコードを有する。

[0021]ステップ１０２は、ステップ１０１で受信された書き込み試行を自動的に検出するステップを含む。検出される書き込み試行は、書き込み保護ソフトウェアによって保護された構成パラメータを変更しようとする試行、および／または、フィールドデバイスが書き込み保護ハードウェアジャンパーを有する場合には、書き込み保護ハードウェアジャンパーの物理的な動きに起因してよい。書き込み保護ハードウェアジャンパーは、通常、それが定位置にあるとき回路を閉じ、それが取り外されるとき回路を開く。フィールドデバイスにおける（たとえば、マイクロプロセッサによって提供される）論理は、関連付けられた書き込み保護回路が開いたとき、または閉じたときのいずれかを検出し、オフからオンへの、またはオンからオフへのいずれかの状態の変化を検出する。

[0022]ステップ１０３は、少なくともリモートホストシステムまたはリモートホストデバイスに、書き込み試行の警告を自動的に送信するステップを含む。報告は、ワイヤレス媒体またはワイヤード媒体を含む、産業プラントによって使用される通信媒体を介してであってよい。改ざん警告はまた、警告を送信するフィールドデバイスの周辺における、ハンドヘルド（たとえば、ハンドヘルド・コンフィギュレータ）および移動局などの補助ユニット、またはリモートディスプレイ計測器を含む補助ユニットに送信されてもよい。

[0023]担当職員（たとえば、ネットワークサーバを有する制御室にいる個人）は、このようにして、書き込み試行に対して警告され得る。フィールドデバイスによって報告された動作が作業命令およびＳＯＰによって権限を与えられていた場合、警告は、単にリモートホストシステムまたはリモートホストデバイスのユーザによって承認されてよい。フィールドデバイスによって報告された書き込み試行が作業命令およびＳＯＰによって権限を与えられていなかった場合、フォローアップ動作が続くことができる。フォローアップ動作は、フィールド技術者または警備員などの誰かを場所に送ること、ビデオカメラを用いてエリアをモニタリングすること、またはフィールドデバイスが考え得る改ざんを報告しているパターンがあるかどうかを見るために、警告を追跡することを含むことができる。

[0024]いくつかの実施形態において、フィールドデバイスは、書き込み保護ハードウェアジャンパーを含む。この実施形態において、書き込み試行は、構成データを保護する書き込み保護ソフトウェア、ならびに書き込み保護ハードウェアジャンパーの動きを回避しようとする、両方の試行を含む。方法は、書き込み試行ごとにカウンタをインクリメントするステップ、およびカウンタが所定の数＞１に達するまで、警告の自動送信を遅らせるステップをさらに含むことができ、ここで、所定の数は、プログラム可能（たとえば、ユーザプログラム可能）であってよい。「許容される試行の数」は、ＡＴＡＲアルゴリズムが有効にされてからの書き込み試行のカウンタに対して比較され得る、ユーザ構成可能な数であってよい。カウンタがこの数を超えた場合、改ざん試行警告が、フィールドデバイスによって自動的に発せられてよい。

[0025]警告は、所定の時間（「改ざんアラーム呼び出し時間」）の間持続することができ、ここで、所定の時間は、プログラム可能（たとえば、ユーザプログラム可能）であってよい。たとえば、１から６０秒の間（１と６０とを含む）のユーザ構成可能な所定の時間が、改ざんアラーム呼び出し時間を指定することができる。

[0026]方法は、スイッチを通した、またはユーザインターフェースを通した、ユーザによる有効化または無効化を含む、ＡＴＡＲアルゴリズムの有効化および無効化を含むことができる。この実施形態において、ＡＴＡＲアルゴリズムの無効化（オンからオフに変更すること）は、警告の自動的な送信をもたらすことができる。

[0027]一実施形態において、ＡＴＡＲアルゴリズムが有効にされると、「許容される試行の数」を超える書き込み試行のためのカウンタの有効化に続いて、フィールドデバイスは、その応答バイトのうちの１つにおいて適切なビットを設定することによって、改ざん警告を自動的に発する。ＨＡＲＴ通信プロトコルを利用する特定の一実施形態では、ホストシステムまたはホストデバイスからのコマンド番号４８（ｒｅａｄ＿ａｄｄｉｔｉｏｎａｌ＿ｄｅｖｉｃｅ＿ｓｔａｔｕｓ、「Ｃｍｄ４８」）メッセージに応答して、フィールドデバイスは、リモートホストシステムまたはリモートホストデバイスに送信される応答バイトにおいてビット（それは改ざん警告ビットとして認識される）を設定することによって、改ざん警告を発する。改ざん警告は、フィールドデバイスからの応答バイトを読み取ることによって、リモートホストシステムまたはリモートホストデバイスによって承認されてよい。ホストシステムまたはホストデバイスが改ざん警告を承認すると、フィールドデバイスは、構成された所定の時間（改ざんアラーム呼び出し時間）の後で、警告のために設定されたビットを消去することができる。

[0028]開示されるＡＴＡＲアルゴリズムはまた、ＡＴＡＲアルゴリズムを無効にしようとする試行の後で、少なくともホストシステムまたはホストデバイスへの警告を生成するためのコードを含むことができる。たとえば、ＡＴＡＲアルゴリズムを無効にしようとする試行は、ＡＴＡＲアルゴリズムが有効にされている間に、書き込み保護ハードウェアジャンパーを取り外すことによって、感知されてよい（以下で説明される図４の行５を参照されたい）。

[0029]開示されるＡＴＡＲアルゴリズムはまた、システム上で改ざん警告のデータを分析して、変更されようと試行された個別の構成データパラメータの詳細を報告するための警告を有効にすることができる。ＡＴＡＲアルゴリズムは、変更されようと試行されたパラメータＩＤを保存することができ、書き込まれようと試行された値もまた保存することができる。改ざん検出および警告は、フィールドデバイスのハウジンングが開かれた場合、自動的に送信されてよい。好適なセンサが、ハウジングの開放を検出するために使用されてよい。フィールドデバイスそれ自体における音声／視覚指示（可聴アラームまたは点滅する光）がまた、改ざん警告を指示するために提供されてもよい。構成機能オプションが、許容される試行の数および改ざんアラーム呼び出し時間などについての閾値を設定するために、ユーザに提供されてよい。構成機能オプションはまた、その場所が複数のカメラによってビデオモニターされるシナリオにおいて、個別のデバイス上の改ざん警告に関するビデオフィードを含むことができる。フィールドデバイスはまた、書き込み試行を自己検査することができる。フィールドデバイスが改ざん試行を自己検査すると、検査記録を取り出すために、フィールドデバイスと、ホストシステムまたはホストデバイスとの間の標準通信メカニズムが使用されてよい。

[0030]図２Ａは、例示的な実施形態による、開示される改ざん試行報告を有する例示的なスマートアクチュエータ２００のブロック図描写であり、図２Ｂは、例示的な実施形態による、開示される改ざん試行報告を有するスマートセンサ２５０のブロック図描写である。スマートアクチュエータ２００は、ハウジング２０５を含む。スマートアクチュエータ２００は、アクチュエータ２０８と、プロセスに関与した処理ユニットに結合されたセンサ２０９と、アナログデジタル変換器（ＡＤＣ）２１１を含んで示される。ＡＤＣ２１１の出力は、マイクロプロセッサ２１４として示される、プロセッサまたは他のコンピューティングデバイスに結合される。マイクロプロセッサ２１４は、記憶のために、静的ランダムアクセスメモリ（ＲＡＭとして示されるＳＲＡＭ）２１６と、読み出し専用メモリ（ＲＯＭ）２１７とを含む。ＡＴＡＲアルゴリズムは、ＲＡＭ２１６がＳＲＡＭを含むとき、一般にＲＡＭ２１６に記憶される。マイクロプロセッサ２１４は、トランシーバおよびオプションのバスコントローラを含む送信および受信（Ｔ／Ｒ）回路２２１に結合され、Ｔ／Ｒ回路２２１は、産業プラントによって利用されるネットワークへの通信、およびネットワークからの通信を提供する。

[0031]マイクロプロセッサ２１４の出力は、デジタルアナログ（ＤＡＣ）変換器２２２に結合される。ＤＡＣ２２２は、電力調整器／電力変換器２２３に結合され、電力調整器／電力変換器２２３は、アクチュエータ２０８の入力に結合される。スマートアクチュエータ２００は、データのユーザエントリを可能にするユーザインターフェース２３０を含み、データは、許容される書き込み試行の数および改ざんアラーム呼び出し時間のための閾値を含む、ＡＴＡＲアルゴリズムのためのパラメータを含む。スマートアクチュエータ２００はまた、ジャンパー２２７として示される書き込み保護ハードウェアジャンパーを含み、ジャンパー２２７は、マイクロプロセッサ２１４に結合される。

[0032]図２Ｂのスマートセンサ２５０は、ハウジング２５５を含む。スマートセンサ２５０は、センサ２５８と、ＡＤＣ２１１とを含んで示される。ＡＤＣ２１１の出力は、マイクロプロセッサ２１４として示される、プロセッサまたはコンピューティングデバイスに結合される。マイクロプロセッサ２１４は、記憶のために、ＲＡＭ２１６と、ＲＯＭ２１７とを含む。ＡＴＡＲアルゴリズムは、ＲＡＭ２１６がＳＲＡＭを含むとき、一般にＲＡＭ２１６に記憶される。マイクロプロセッサ２１４は、Ｔ／Ｒ回路２２１に結合され、Ｔ／Ｒ回路２２１は、産業プラントによって利用されるネットワークへの通信、およびネットワークからの通信を提供する。スマートセンサ２５０は、データのユーザエントリを可能にするユーザインターフェース２３０を含み、データは、ＡＴＡＲアルゴリズムのためのパラメータを含む。スマートセンサ２５０はまた、マイクロプロセッサ２１４に結合される書き込み保護ハードウェアジャンパー２２７を含む。

[0033]図３は、生産フロア３６０を含む産業プラント３００のブロック図であり、生産フロア３６０は、処理ユニット３１１ａ〜ｆと、開示されるＡＴＡＲアルゴリズムを有するフィールドデバイスとを含む。フィールドデバイスは、複数の処理ユニット３１１ａ〜ｆのうちの少なくとも１つのための制御出力動作を実施するための機器（たとえば、アクチュエータ）３１２、および少なくとも１つの物理プロセスパラメータを測定するための処理ユニット３１１ａ〜ｆに結合されたセンサ３１３として示される。一実施形態において、機器３１２は、図２Ａに示されたスマートアクチュエータ２００に類似したスマートデバイスを含むことができ、センサ３１３は、図２Ｂに示されたスマートセンサ２５０に類似したスマートセンサを含むことができる。

[0034]産業プラント３００は、ネットワークサーバ３２０を含むワイヤレス通信ネットワークと、ワイヤレスルーター３２５として示される少なくとも１つのルーターと、ワイヤレスメッシュバックボーン３４０に配置されたゲートウェイルーター３３０とを含む。作業者１、２、および３として示された複数のオペレータ／作業者の各々は、ハンドヘルド・コンピューティングデバイス３７０を持ち、生産フロア３６０にいる。ハンドヘルド・コンピューティングデバイス３７０は、ワイヤレストランシーバ、プロセッサ、およびメモリを含み、そのディスプレイ画面２４２が示されている。ネットワークサーバ３２０は、プロセッサ３２１と、情報をハンドヘルド・コンピューティングデバイス３７０およびフィールドデバイス３１２、３１３にワイヤレスに伝送するためのワイヤレストランシーバ３２２とを含む。ネットワークサーバ３２０はまた、メモリ３２９に結合され、メモリ３２９は、フィールドデバイスのための構成データおよびデータヒストリアンのためのデータを含む情報を記憶することができる。

[0035]産業プラント３００は、プロセスコントローラ３１６〜３１８が、場所の中心にあるのではなく、産業プラント３００の全体を通して分散されたＤＣＳとして構成されて示されており、各コンポーネントサブシステムは、１つまたは複数のコントローラによって制御される。産業プラント３００は、油精製、石油化学、中央発電所の発電、化学肥料、製薬、食料品および飲料品製造、セメント生産、製鋼、製紙、およびガス処理などの活動を実装することができる。

[0036]図４は、フィールドデバイスが、書き込み保護ハードウェアジャンパーを含むときの、例示的なＡＴＡＲアルゴリズムのための例示的な改ざん警告ルールを示すテーブル４００である。ＳＷＰは、ソフトウェア書き込み保護を指し、ジャンパーは、書き込み保護ハードウェアジャンパーを指す。フィールドデバイスは、書き込み保護および書き込み保護ハードウェアジャンパーに加えて、「改ざん報告」（オン／オフ）として示されるパラメータを提供される。書き込み保護メカニズム（ソフト／ハード）が有効にされているとき、ＡＴＡＲアルゴリズムにより、フィールドデバイスは、構成変更への試行を報告することが可能になる。上で触れたように、ＡＴＡＲアルゴリズムそれ自体は、オンからオフに変更されたときに、警告を生成することができる。
実施例
[0037]開示される実施形態は、以下の個別の実施例によってさらに例証されるが、実施例は、本開示の範囲または内容をいずれにせよ限定するものと解釈されるべきではない。

[0038]例示的なＡＴＡＲアルゴリズムは、Ｈｏｎｅｙｗｅｌｌ ＳＴ８００（商標）Ｓｍａｒｔｌｉｎｅ ＰｒｅｓｓｕｒｅデバイスのＨＡＲＴバージョンで実装された。デバイスは、「有効にする」および「無効にする」の状態を有した「改ざん報告」と呼ばれるパラメータを実装した。フィールドデバイスは、「許容される試行の数」を含むパラメータをさらに実装し、この数は、ＡＴＡＲアルゴリズムが有効にされてからの書き込み試行のカウンタに対して比較された、ユーザ構成可能な数であった。カウンタがこの所定の数を超えたとき、改ざん試行警告が、フィールドデバイスによって自動的に発せられた。

[0039]フィールドデバイスがそこまで改ざんアラームを持続する時間を指定する「改ざんアラーム呼び出し時間」は、１から６０秒の間（１と６０とを含む）でユーザ構成可能な値であった。その結果、改ざん報告が「有効にされ」、続いて書き込み試行のためのカウンタが「許容される試行の数」を超えると、フィールドデバイスは、改ざん警告を発した。改ざん警告は、デバイス・ステータスバイトにおいて「Ｍｏｒｅ Ｓｔａｔｕｓ Ａｖａｉｌａｂｌｅ」（ＭＳＡ）ビットを設定することによって、フィールドデバイスによって提供される。ホスト（たとえば、ＤＣＳ／資産管理システム）が（規則的なポーリング／通信の一部として）ＭＳＡビットを観測すると、ホストは、ＨＡＲＴ Ｃｏｍｍａｎｄ４８（ｒｅａｄ＿ａｄｄｉｔｉｏｎａｌ＿ｄｅｖｉｃｅ＿ｓｔａｔｕｓ）を送信する。フィールドデバイスがＣｏｍｍａｎｄ４８要求を受信すると、フィールドデバイスは、適切なバイトのうちの１つが改ざん警告ビットを設定させた、応答バイトで返答する。この伝送後、デバイスは、構成された「改ざんアラーム呼び出し時間」期間の終了の後で、改ざん警告ビットを消去する。いくつかの実施形態はＨＡＲＴプロトコルで実装されたが、開示されるＡＴＡＲアルゴリズムは、ＷｉｒｅｌｅｓｓＨＡＲＴ、Ｆｏｕｎｄａｔｉｏｎ Ｆｉｅｌｄｂｕｓ、ＰＲＯＦＩＢＵＳ、ＰＲＯＦＩＮＥＴ、ＩＳＡ１００．１１ａ、または任意の他の通信プロトコルで実装されてもよい。利用可能なメッセージインフラストラクチャを使用するデータの配信方法のみが、任意の個別の通信プロトコルにおいて異なる。

[0040]さまざまな開示された実施形態が上で説明されてきたが、実施形態は、例としてのみ提示され、限定するものとして提示されていないことを理解されたい。本開示の趣旨または範囲から逸脱せずに、本開示に従って、本明細書で開示される主題に対して数多くの変更がなされてよい。加えて、特定の特徴は、いくつかの実装形態のうちの１つのみに関して開示されていることがあるが、そのような特徴は、任意の所与の、または特定の用途のために所望され、有利であり得るとき、他の実装形態の１つまたは複数の他の特徴と組み合わされてもよい。

[0041]１つまたは複数のコンピューター使用可能媒体またはコンピューター可読媒体の任意の組合せが、利用されてよい。コンピューター使用可能媒体またはコンピューター可読媒体は、たとえば、限定はされないが、電子的、磁気的、光学的、電磁気的、赤外線の、または半導体のシステム、装置、またはデバイスであってよい。コンピューター可読媒体のさらに個別の例（非包括的リスト）には、１つまたは複数のワイヤを有する電気接続、ポータブルコンピューターディスケット、ハードディスク、ランダムアクセスメモリ（ＲＡＭ）、読み出し専用メモリ（ＲＯＭ）、消去可能なプログラム可能読み出し専用メモリ（ＥＰＲＯＭもしくはフラッシュメモリ）、ポータブルコンパクトディスク読み出し専用メモリ（ＣＤＲＯＭ）、光学記憶デバイス、または磁気記憶デバイスを含む、非一時的な媒体が含まれることになる。

[0042]本開示の動作を遂行するためのコンピュータープログラムコードは、Ｊａｖａ、Ｓｍａｌｌｔａｌｋ、Ｃ＋＋などのオブジェクト指向型プログラミング言語、および「Ｃ」プログラミング言語、または同様のプログラミング言語などの従来の手続き型プログラミング言語を含む、１つまたは複数のプログラミング言語の任意の組合せで書かれてよい。プログラムコードは、スタンドアロンソフトウェア・パッケージとして、全体的にユーザのコンピューターで実行されても、部分的にユーザのコンピューターで実行されてもよく、部分的にユーザのコンピューターで、および部分的にリモートコンピューターで実行されてもよく、または、全体的にリモートコンピューターもしくはサーバで実行されてもよい。後者のシナリオでは、リモートコンピューターは、ローカルエリアネットワーク（ＬＡＮ）もしくはワイドエリアネットワーク（ＷＡＮ）を含む任意のタイプのネットワークを通してユーザのコンピューターに接続されてよく、または、接続は（たとえば、インターネットサービスプロバイダを使用してインターネットを通して）、外部コンピューターに対して行われてもよい。

[0043]本開示は、本発明の実施形態による、方法、装置（システム）、およびコンピュータープログラム製品の、流れ図説明および／またはブロック図を参照して以下で説明される。流れ図説明および／またはブロック図の各ブロック、ならびに流れ図説明および／またはブロック図のブロックの組合せが、コンピュータープログラム命令によって実装されてよいことが理解されるであろう。これらのコンピュータープログラム命令は、マシンを生み出すために、汎用コンピューター、特殊目的コンピューター、または他のプログラム可能なデータ処理装置のプロセッサに提供されてよく、その結果、コンピューターまたは他のプログラム可能なデータ処理装置のプロセッサを介して実行される命令が、流れ図および／またはブロック図の１つまたは複数のブロックにおいて指定された機能／作用を実装するための手段を作成する。

[0044]特定のやり方で機能するように、コンピューターまたは他のプログラム可能なデータ処理装置に指図することができるこれらのコンピュータープログラム命令はまた、物理的なコンピューター可読記憶媒体に記憶されてもよく、その結果、コンピューター可読媒体に記憶された命令が、流れ図および／またはブロック図の１つまたは複数のブロックにおいて指定された機能／作用を実装する命令手段を含む製造物品を生み出す。

[0045]コンピュータープログラム命令はまた、コンピューター実装されるプロセスを生み出すために、一連の動作ステップをコンピューターまたは他のプログラム可能な装置で実施させるように、コンピューターまたは他のプログラム可能なデータ処理装置上にロードされてもよく、その結果、コンピューターまたは他のプログラム可能な装置で実行される命令が、流れ図および／またはブロック図の１つまたは複数のブロックにおいて指定された機能／作用を実装するためのプロセスを提供する。

Claims (12)

1. 改ざん試行(tamper attempt)報告の方法（１００）であって、
   ネットワークサーバ、複数の処理ユニット、および複数のフィールドデバイスを含む、複数の物理プロセスパラメータに関与する(involving)プロセスを実行するように構成された産業プラントにおける、前記フィールドデバイス内に記憶された構成(configuration)データへの書き込み試行を受信するステップ（１０１）であって、前記複数のフィールドデバイスが、（ｉ）前記複数の物理プロセスパラメータのうちの少なくとも１つを測定するためのセンサ、または（ｉｉ）前記複数の処理ユニットのうちの少なくとも１つのための制御出力動作(control output actions)を実施するための機器を含み、前記複数のフィールドデバイスが各々、少なくとも１つのリモートホストシステムまたはリモートホストデバイスと通信する、受信するステップ（１０１）と、
   前記書き込み試行を自動的に検出するステップ（１０２）と、
   少なくとも前記リモートホストシステムまたはリモートホストデバイスに、前記書き込み試行の警告(alert)を自動的に送信するステップ（１０３）と
   を含む方法（１００）。
2. 前記リモートホストシステムまたはリモートホストデバイスが、前記ネットワークサーバを含む、請求項１に記載の方法。
3. 前記複数のフィールドデバイスが、書き込み保護ハードウェアジャンパー(jumper)をさらに含み、前記書き込み試行が、前記構成データを保護する書き込み保護ソフトウェアと、前記書き込み保護ハードウェアジャンパーの動きとを回避(bypass)しようとする、両方の試行を含む、請求項１に記載の方法。
4. 前記書き込み試行ごとにカウンタをインクリメントするステップと、
   前記カウンタが、プログラム可能およびユーザ構成可能(configurable)のうちの少なくとも１つである所定の数＞１に達するまで、前記警告を前記自動的に送信するステップを遅らせるステップと
   をさらに含む請求項１に記載の方法。
5. 前記複数のフィールドデバイスが、メモリをさらに含み、前記書き込み試行を前記自動的に検出するステップおよび前記警告を前記自動的に送信するステップのための実行可能なコードを有する自動改ざん試行報告（ＡＴＡＲ）アルゴリズムが、前記メモリに記憶される、請求項１に記載の方法。
6. 前記書き込み試行のローカル警告が、音声信号および視覚信号のうちの少なくとも１つによって前記複数のフィールドデバイス上で指示される、請求項１に記載の方法。
7. （ｉ）プロセスを実行するように構成された、複数の処理ユニット（３１１ａ〜３１１ｆ）を有する産業プラント（３００）によって実行される、複数の物理プロセスパラメータに関与する前記プロセスに関連付けられた、前記複数の物理プロセスパラメータのうちの少なくとも１つを測定するためのセンサ（２５０）、または（ｉｉ）前記複数の処理ユニットのための制御出力動作を実施するための機器（２００）
   を含む、少なくとも１つのリモートホストシステムまたはリモートホストデバイス（３２０）と通信する
   フィールドデバイス（２００、２５０）であって、
   構成データおよび自動改ざん試行報告（ＡＴＡＲ）アルゴリズムを記憶するためのメモリ（２１６、２１７）と、
   前記ＡＴＡＲを実装するために、前記センサまたは前記機器に、および前記メモリに動作可能に結合されたプロセッサ（２１４）と、
   前記産業プラントによって使用されるネットワーク上での通信を可能にするために、前記プロセッサに結合されたトランシーバ（２２１）と
   をさらに含み、
   前記ＡＴＡＲアルゴリズムが、
   前記構成データへの書き込み試行を自動的に検出すること、および
   少なくとも前記リモートホストシステムまたはリモートホストデバイスに、前記書き込み試行の警告を自動的に送信すること
   のための実行可能なコードを有する、
   フィールドデバイス（２００、２５０）。
8. 前記フィールドデバイスが、書き込み保護ハードウェアジャンパー（２２７）を含み、前記書き込み試行が、前記構成データを保護する書き込み保護ソフトウェアと、前記書き込み保護ハードウェアジャンパーの動きとを回避しようとする、両方の試行を含む、請求項７に記載のフィールドデバイス。
9. 前記ＡＴＡＲアルゴリズムが、
   前記書き込み試行ごとにカウンタをインクリメントする、および
   前記カウンタが、プログラム可能およびユーザ構成可能のうちの少なくとも１つである所定の数＞１に達するまで、前記警告を前記自動的に送信することを遅らせる
   ための実行可能なコードを有する、請求項７に記載のフィールドデバイス。
10. 前記警告を前記自動的に送信することが、所定の時間の間持続し、前記所定の時間が、プログラム可能およびユーザ構成可能のうちの少なくとも１つである、請求項７に記載のフィールドデバイス。
11. 前記ＡＴＡＲアルゴリズムが、有効化および無効化のためにプログラム可能である、請求項９に記載のフィールドデバイス。
12. 前記ＡＴＡＲアルゴリズムの前記無効化が、前記警告を前記自動的に送信することをもたらす、請求項１１に記載のフィールドデバイス。

Images