JP2019146257A - 安全な産業用制御システム - Google Patents

Abstract

【課題】安全な産業用制御システムを提供する。【解決手段】産業用制御システム１００は、モジュール、ケーブル等の複数の産業エレメントを含み、それら自体の一意のセキュリティ証明を構成する鍵及び証明書が製造の間に供給される。産業用制御システムの鍵管理システム１３０は、製造された時点から開始して、産業用制御システムにおいて実装されるまで、およびその間にわたり、産業エレメントのセキュリティ証明を監視及び管理する。産業用制御システムの産業エレメントの間の通信は認証プロセスを含み、産業エレメントを認証するために、セキュリティ証明に基づく認証プロセスが実行される。【選択図】図２

Description

[0001] 産業用制御システム（ＩＣＳ）は、プロセス制御システム（ＰＣＳ）、分散型制御システム（ＤＣＳ）、プログラム可能論理コントローラ（ＰＬＣ）ベース・システム、管理制御およびデータ収集（ＳＣＡＤＡ）システム等を含むことができ、製品の製造および必須サービスの提供において助けとなる。産業用またはインフラストラクチャ環境において遠隔局から収集される情報を用いることで、オートメーション化され、および／またはオペレータ駆動方式の管理命令を遠隔局の制御デバイスに送信することができる。これら制御デバイスは様々なローカル動作を制御することができる。例えば、弁や遮断器の開閉、ソレノイドの作動、センサ・システムからのデータ収集、およびローカル環境の警報状態の監視である。

[0002] 安全な産業用制御システムについて開示する。１つ以上の実装態様において、安全な産業用制御システムは、セキュリティ証明ソース、セキュリティ証明インプリメンタ、および少なくとも２つの産業エレメントを含む。セキュリティ証明ソースは、一意のセキュリティ証明を生成するように構成される。セキュリティ証明インプリメンタは、セキュリティ証明ソースによって生成された一意のセキュリティ証明を、少なくとも２つの産業エレメントのそれぞれに供給するように構成される。

[0003] １つ以上の実装態様において、安全な産業用制御システムは、第１の一意証明を供給する少なくとも１つの制御モジュールを含む。システムは更に、第２の一意証明を供給する少なくとも１つの入力／出力モジュールを含む。少なくとも１つの制御モジュールおよび少なくとも１つの入力／出力モジュールは、第１および第２の一意証明に基づいて、双方向に相互に通信するように動作可能である。

[0004] 本摘要は、以下の詳細な説明で更に説明される単純化した形態での概念の選択を導入するために提供される。本摘要は、特許請求される主題の鍵となる特徴または必須の特徴を特定することを意図せず、また、特許請求される主題の範囲を決定するのを支援するように用いられるのを意図するのでもない。

[0005] 詳細な説明について添付の図面を参照して説明する。説明や図中の異なる例における同一の符号の使用により、類似または同一の項目を示すことがある。

図１は、本開示の例示の実装形態により、安全な産業用制御システムを例示する概念ブロック図である。 図２は、本開示の例示の実装形態により、図１に示す安全な産業上制御システムの特徴を例示する概念ブロック図である。 図３は、本開示の例示の実装形態により、図１に示す安全な産業用制御システムの態様を例示する概念ブロック図である。 図４は、本開示の例示の実装形態により、図１に示す安全な産業用制御システムの態様を例示する概念ブロック図である。 図５は、本開示の実装形態により、図１に示す安全な産業用制御システムの特徴を更に例示する概念ブロック図である。 図６は、本開示の例示の実装太陽により、産業用制御システムで実施される、安全な産業エレメントを認証する方法を例示するフロー図である。 図７は、安全な産業用制御システムの産業エレメントにセキュリティ証明を供給する方法を例示するフロー図である。

概要
[0013] 仮想ツー物理システム(cyber-to-physical system)を安全化するには、設計および計画の統合を、仮想セキュリティおよびサポートのスキルを有する運用エンジニアの労力と共に必要とされる。産業用制御システム（ＩＣＳ）が、単離され信頼された領域で動作するように最初に構造された。しかしながら、拡張された連結性(connectivity)技術が生産性を押し上げ、工場フロアおよび世界中の両方からの情報をレバレッジすることが可能になり、これにより、ＩＣＳをより大多数の人々に潜在的に露出させるままにした。残念なことに、この拡張された連結性技術は、対応するサイバー・セキュリティ・ソリューションをしのぎ、クリティカル・システムを高度なサイバー脅威から安全に保つために、エンジニアリングの理解やセキュリティ・スキルをもつ人々への負担を課すことになった。

[0014] 安全な産業制御システムについて、本願明細書に開示する。１つ以上の実装態様において、安全な産業用制御システムは、セキュリティ証明ソース、セキュリティ証明インプリメンタ、および産業用制御システムにおける少なくとも２つの産業エレメントを含む。一実施形態では、産業エレメントは、制御モジュール（例えば通信制御モジュール）、および入力／出力モジュールを含むことができる。セキュリティ証明ソースは、一意のセキュリティ証明（例えば、鍵や証明書等）を生成するように構成される。セキュリティ証明インプリメンタは、セキュリティ証明ソースによって生成された一意のセキュリティ証明を、産業エレメントに供給するように構成される。例えば、通信制御モジュールおよび入力／出力モジュールはそれぞれ、一意のセキュリティ証明が供給されることができる。産業用制御システムで実装される産業エレメントを認証するための認証プロセスは、セキュリティ証明に基づいて実行することができる。例えば、実施形態において、通信制御モジュールおよび入力／出力モジュールは、セキュリティ証明に基づいて（例えば認証プロセスに基づいて）、双方向に相互に通信するように動作可能とすることができる。更に、本明細書で記載する安全な産業用制御システムでは、該システムが有する複数の（例えば、あらゆる）産業エレメント（例えば、モジュール、電源、物理相互接続デバイス等）には、該システムの複数の（例えば、全ての）レベルのセキュリティを設けるためにセキュリティ証明が供給されることができる。更にまた、産業エレメントは、製造（例えば、生産時）の間に、セキュリティ証明（例えば、鍵、証明書等）が供給されることができ、また、産業用制御システムのセキュリティを促進するために産業用制御システムの鍵管理エンティティによって、生産時から管理することができる。

例示の産業用制御システム（１または複数）
[0015] 図１〜図５を全般的に参照して、例示の産業用制御システム（ＩＣＳ）（例えば、安全な産業用制御システム）１００について、本開示の例示の実施形態に従って説明する。本明細書で用いられる「産業用制御システム」という用語は、プロセス制御システム（ＰＣＳ）、管理制御およびデータ収集（ＳＣＡＤＡ）システム、分散型制御システム（ＤＣＳ）、および他の小規模の制御システム構成（例えば産業界やクリティカルなインフラストラクチャでしばしばみられるプログラム可能論理コントローラ（ＰＬＣ））を含む、工業生産において使用される幾らかの種別の制御システムを包含することができる。産業用制御システム１００は、様々な産業（例えば電気、水、油、ガス、データ等）で実装することができる。実装態様において、遠隔局から受信する情報に基づいて、オートメーション化され、またはオペレータ駆動型の管理命令は、産業用制御システム１００の遠アック局制御デバイス（例えば、フィールド・デバイス）に送信することができる。産業制御システム１００のフィールド・デバイスは、弁およびブレーカの開閉、センサ・システムからのデータ収集、およびローカル環境の警報状態の監視といったローカル動作を制御することができる。

[0016] ＳＣＡＤＡシステムは、製造(manufacturing)、生産(production)、発電、製
作(fabrication)、および精油(refining)を含む産業プロセスで用いることができる。Ｓ
ＣＡＤＡシステムはまた、水処置および給水、廃水収集および処置、油およびガス・パイプライン、送電および給電、風力発電所、大規模通信システム等を含むインフラストラクチャ・プロセスで用いることができる。更に、ＳＣＡＤＡシステムは、（例えば、ヒーティング、ベンチレーション、およびエア・コンディショニング（ＨＶＡＣ）装置およびエネルギー消費を監視および制御するために）建物、空港、船、宇宙ステーション等のための施設プロセスで用いることができる。ＤＣＳシステムは、通常、大規模キャンパス産業プロセス・プラント（例えば油およびガス、精油、化学薬品、医薬、食品および飲料、水および廃水、パルプおよび紙、外部電力、鉱業、金属等）において用いられる。ＰＬＣは、通例、産業界において、また、クリティカルなインフラストラクチャで使われる。

[0017] 実施形態において、産業用制御システム１００は、図１および図５に示すように、制御および入力／出力（Ｉ／Ｏ）サブシステム１０２を含む。制御およびＩ／Ｏサブシステム１０２は、複数の産業エレメント（例えばデバイス１０４）を含む。実施形態において、デバイス１０４は、１つ以上の通信制御モジュール（ＣＣＭ）１０６、および／または１つ以上の入力／出力モジュール（ＩＯＭ）１０８を備えることができる。本明細書で用いる「入力／出力モジュール」という用語は、入力を受信し、および／または出力を供給するモジュール（例えば、Ｉ／Ｏモジュール）を包含することができる。更に、１つ以上のデバイス１０４は、電源モジュール（例えば、スマート電源モジュール（ＳＰＭ）１１０）を備えることができる。加えて、１つ以上のデバイスは、本明細書において次に検討するように、フィールド・デバイス１１２としてもよい。実施形態において、制御・入力／出力サブシステムが有する複数のデバイス１０４は、通信リンク１１４を介して相互に接続される。

[0018] 図示するように、通信制御モジュール１０６は、通信および／または電力信号の伝送を可能にするために、電源モジュール１１０に通信リンク１１４を介して通信可能に結合される。実施形態において、各通信制御モジュール１０６は、各電源モジュール１１０に、および各入力／出力モジュール１０８に接続される。

[0019] １つ以上の入力／出力モジュール１０８は、１つ以上のフィールド・デバイス１１２に接続（例えばこれと通信可能に結合）される。１つ以上の入力／出力モジュール１０８は、入力モジュールおよび／または出力モジュールを備えることができる（例えば、入力を受信、および／または出力を供給するように構成することができる）。１つ以上のフィールド・デバイス１１２は、入力計測器（例えばセンサ）を含むことができ、ガス工場、精油所等のパイプの圧力を測定するというような機能のために用いることができる。このような例では、入力／出力モジュール１０８の入力モジュールは、プロセスまたはフィールドにおいてセンサのような入力計測器から情報を受け取るのに用いることができる。入力／出力モジュール１０８は、フィールド・デバイス１１２のセンサから受け取ったアナログ・データをデジタル・データに（例えば、アナログからデジタルへの変換器（ＡＤＣ）回路等を用いて）変換するように構成することができる。電源モジュール１１０は、入力／出力モジュール１０８を介してフィールド・デバイス１１２に電力を供給するように構成される。

[0020] 入力／出力モジュール１０８は、出力モジュールとして構成するときは、フィールド・デバイス１１２の出力計測器に指示を送信するように使用することができる。例えば、フィールド・デバイス１１２は、出力計測器（例えばモータ）を含むことができる
。このような実装態様において、入力／出力モジュール１０８は、モータに接続し、該モータの１つ以上の動作特性（例えば、モータ速度、モータ回転力等）を制御するように構成することができる。更に、入力／出力モジュール１０８は、モータへの伝送のために、デジタル・データをアナログ・データに（例えば、デジタルからアナログへの変換器（ＤＡＣ）を用いて）変換するように構成することができる。実施形態において、１つ以上の入力／出力モジュール１０８は、通信サブ・バス（例えば、イーサネット（登録商標）・バス、ＨＩフィールド・バス、プロセス・フィールド・バス（ＰＲＯＦＩＢＵＳ）、ハイウェイ・アドレス可能・リモート・トランスデューサ（ＨＡＲＴ）バス、モドバス等）を介して通信するように構成される通信モジュールを含むことができる。更に、２つ以上の入力／出力モジュール１０８は、フォールト・トレラントおよび冗長的な接続を通信サブ・バスに提供するために使用することができる。

[0021] 入力／出力モジュール１０８は、アプリケーションのデータおよび制御システムを収集するように構成されることができる。アプリケーションは、製造、生産、発電、製作、および精油のような産業プロセスや、水処置および給水、廃水収集および処理、油およびガス・パイプライン、送電および給電、風力発電所のようなインフラストラクチャ・プロセスや、（例えば、ヒーティング、ベンチレーション、およびエア・コンディショニング（ＨＶＡＣ）装置およびエネルギー消費を監視および制御する）建物、空港、船、および宇宙ステーションのための施設プロセスや、油およびガス、精油、化学薬品、医薬、食品および飲料、水および廃水、パルプおよび紙、外部電力、鉱業、金属のような大規模キャンパス工業処理プラントや、並びに／またはクリティカルなインフラストラクチャを含むが、必ずしもこれらに限定されない。

[0022] 入力／出力モジュール１０８は、１つ以上のコネクタを用いて、制御・入力／出力サブシステム１０２に接続することができる。実施形態において、通信リンク（１または複数）１１４は、如何なるシステム技術（例えば電気通信ネットワーク技術、コンピュータ・ネットワーク技術、プロセス制御システム技術等）と共に使用されるように構成することができる。通信リンク（１または複数）１１４は、単一のモノリシック回路基板に実装することができる。しかしながら、この構成は、例示の目的で設けたものであり、本開示の限定を意味するのではない。

[0023] 入力／出力モジュール１０８のそれぞれは、該入力／出力モジュール１０８（例えば、プリント回路基板（ＰＣＢ）等）と共に含まれるハードウェアおよび回路への物理接続を供給する１つ以上のポートを含むことができる。入力／出力モジュール１０８はまた、他のネットワークに接続するためのインタフェースを含む。他のネットワークには、次のものが含まれるが必ずしもこれに限定されない。即ち、ワイド・エリア・セルラ電話ネットワーク（例えば、３Ｇセルラ・ネットワーク、４Ｇセルラ・ネットワーク、またはモバイル通信用グローバル・システム（ＧＳＭ）ネットワーク、ワイヤレス・コンピュータ通信ネットワーク（例えば、Ｗｉ−Ｆｉネットワーク（例えば、ＩＥＥＥ８０２．１１ネットワーク規格を使用して動作する無線ＬＡＮ（ＷＬＡＮ））、パーソナル・エリア・ネットワーク（ＰＡＮ）（例えば、ＩＥＥＥ８０２．１５ネットワーク規格を使用して動作するワイヤレスＰＡＮ（ＷＰＡＮ））、ワイド・エリア・ネットワーク（ＷＡＮ）、イントラネット、エクストラネット、インターネット(internet)、およびインターネット(the Internet)等である。入力／出力モジュール１０８はまた、入力／出力モジュール１０８をコンピュータ・バス等に接続するための接続を更に含むことができる。

[0024] 通信リンク１１４は、１つ以上の通信制御モジュール１０６に結合することができる。通信制御モジュール１０６は、入力／出力モジュール１０８を監視し、また、入力／出力モジュール１０８を共に接続するためのマスタ・デバイスとして使用することができる。例えば、通信制御モジュール１０６は、入力／出力モジュール１０８が制御・入
力／出力サブシステム１０２に、入力／出力モジュール１０８の一意ＩＤに基づいて接続されるときに、ルーティング・テーブルを更新することができる。更に、複数の冗長な入力／出力モジュール１０８が用いられるときに、各通信制御モジュール１０６は、入力／出力モジュール１０８に関する情報データベースのミラーリングを実装し、入力／出力モジュール１０８との間でデータを送受信する際にそれらを更新することができる。実装態様の中には、２つ以上の通信制御モジュール１０６を用いて冗長性を設けることができるものある。

[0025] 通信リンク１１４を用いて送信されるデータは、パケット化することができる（例えば、データの個別部分を、ネットワーク制御情報等と共にデータ部を含むデータ・パケットに変換することができる）。制御・入力／出力サブシステム１０２、および／または通信リンク１１４は、データ送信のために１つ以上のプロトコルを使用することができる。プロトコルは、ビット適応型(bit-oriented)の同期データ・リンク層プロトコル（例えば高次データ・リンク制御（ＨＤＬＣ））を含む。実施形態において、制御・入力／出力サブシステム１０２、および／または通信リンク１１４は、国際標準化機構（ＩＳＯ）１３２３９等によるＨＤＬＣを実装することができる。更に、２つ以上の通信制御モジュール１０６を使用して、冗長なＨＤＬＣを実装することができる。しかしながら、ＨＤＬＣは、例示で設けたに過ぎず、本開示の限定を意味するのではないことに留意されるべきである。つまり、制御・入出力サブシステム１０２は、本開示による他の様々な通信プロトコルを使用することができる。

[0026] 通信制御モジュール１０６は、モニタリングするために用いるコンポーネントを用いて情報を交換し、および／または、入力／出力モジュール１０８を用いて通信リンク１１４に接続される器具類（例えば１つ以上の制御ループ・フィードバック機構／コントローラ）を制御するように構成することができる。例えば、コントローラは、マイクロコントローラ／プログラム可能論理コントローラ（ＰＬＣ）、プロポーショナル統合デリバティブ（ＰＩＤ）コントローラ等として構成することができる。１つ以上の通信制御モジュール１０６は、ネットワークを介して制御・入力／出力サブシステム１０２をコントローラに接続するためのネットワーク・インタフェースを含むことができる。実施形態において、ネットワーク・インタフェースは、制御・入力／出力サブシステム１０２をローカル・エリア・ネットワーク（ＬＡＮ）に接続するためのギガビット・イーサネット・インタフェースとして構成することができる。更に、２つ以上の通信制御モジュール１０６を使用して、冗長なギガビット・イーサネットを実装することができる。しかしながら、ギガビット・イーサネットは、例示で設けたに過ぎず、本開示の限定を意味するのではないことに留意されるべきである。つまり、ネットワーク・インタフェースは、制御・入力／出力サブシステム１０２を他の様々なネットワークに接続するように構成することができる。他の様々なネットワークは、必ずしも限定されないが次のものを含む。即ち、ワイド・エリア・セルラ電話ネットワーク（例えば、３Ｇセルラ・ネットワーク、４Ｇセルラ・ネットワーク、またはモバイル通信用グローバル・システム（ＧＳＭ（登録商標））ネットワーク、ワイヤレス・コンピュータ通信ネットワーク（例えば、Ｗｉ−Ｆｉネットワーク（例えば、ＩＥＥＥ８０２．１１ネットワーク規格を使用して動作する無線ＬＡＮ（ＷＬＡＮ））、パーソナル・エリア・ネットワーク（ＰＡＮ）（例えば、ＩＥＥＥ８０２．１５ネットワーク規格を使用して動作するワイヤレスＰＡＮ（ＷＰＡＮ））、ワイド・エリア・ネットワーク（ＷＡＮ）、イントラネット、エクストラネット、インターネット(internet)、およびインターネット(the Internet)等である。加えて、ネットワーク・インタフェースは、コンピュータ・バスを用いて実装することができる。例えば、ネットワーク・インタフェースは、周辺機器コンポーネント相互接続（ＰＣＩ）カード・インタフェース（例えば、ミニＰＣＩインタフェース等）を含むことができる。更に、ネットワークは、異なるアクセス・ポイントにわたり単一のネットワークまたは複数のネットワークを含むように構成することができる。

[0027] １つ以上の電源モジュール１１０は、モータ（例えば、モータがＤＣモータを備える実装態様における）のフィールド・デバイス１１２への伝送のために、交流（ＡＣ）（例えば、ＡＣ本線(main)等によって供給される）を直流（ＤＣ）に変換するためのＡＣからＤＣへの（ＡＣ／ＤＣ）変換器を含むことができる。２つ以上の電源モジュール１１０を用いて、冗長性を提供することができる。例えば、２つの電源モジュール１１０は、電源モジュール１１０ごとに別個の（例えば、冗長な）電源バックプレーンを用いて、入力／出力モジュール１０８の各々に接続することができる。実施形態において、電源バックプレーン（１または複数）は、コネクタ／コネクタ・アッセンブリを用いて１つ以上の入力／出力モジュールに接続することができる。

[0028] 実施形態において、制御・入力／出力サブシステム１０２は、支持フレームを用いて実装することができる。支持フレームを用いて、通信制御モジュール１０６、電源モジュール１１０、通信リンク１１４、電源バックプレーン、および／または入出力モジュール１０８を支持し、および／または相互接続することができる。例えば、通信リンク１１４は、回路基板に具備することができる。回路基板は、支持フレームに搭載することができる。加えて、コネクタは支持フレームに搭載することができる。

[0029] 安全な産業用制御システム１００は更に、制御ネットワーク１１６を含む。制御ネットワーク１１６は、通信リンク１１８を介して制御・入力／出力サブシステム１０２に通信可能に結合される。制御ネットワーク１１６は、１つ以上のスイッチ１２０を含むことができる。実施形態において、スイッチ１２０は、該スイッチが接続されるデバイスからデータ（例えばメッセージ）を受信し、データが定めた１つのデバイスのみに該データを選択的に送信する通信デバイスである。スイッチ１２０は、通信リンク（１１８，１２４）を介して通信制御モジュール１０６を制御ネットワーク１１６が有する１つ以上のワークステーション１２２に接続するように構成される。実装態様において、ワークステーション１２２はマイクロコンピュータを含むことができ、技術的または科学的アプリケーションのために構成される。ワークステーション１２２は、ローカル・エリア・ネットワークに接続することができ、マルチユーザ・オペレーティング・システムを起動することができる。実施形態において、ワークステーション１２２は、ネットワークに接続されるメインフレーム・コンピュータ端末またはパーソナル・コンピュータ（ＰＣ）としてもよい。実装態様において、ワークステーション１２２は、スイッチ１２０を介して制御・入力／出力サブシステム１０２に接続される。

[0030] 図示するように、産業用制御システム１００は第１ネットワーク１２６を含むことができる。実施形態において、第１ネットワーク１２６は企業ネットワークでもよい。企業ネットワークは、限定された地理的領域内でローカル・エリア・ネットワーク（ＬＡＮ）の相互接続を構成するコンピュータ・ネットワークを備えることができる。実施例では、スイッチ１２０は、通信リンク１２８を介してスイッチ１２０を第１ネットワーク１２６に接続するためのネットワーク・インタフェースを含む。実装態様において、ワークステーション１２２は、スイッチ１２０を介して第１ネットワーク（例えば企業ネットワーク）１２６に接続（例えば通信可能に結合）することができる。ワークステーション１２２は、命令をフィールド制御デバイス（例えば入力／出力モジュール１０８）に生成／提供するために使用できる情報を収集する。

[0031] 産業用制御システム１００における１つ以上の構成要素は、通信制御モジュール１０６、入力／出力モジュール１０８、電源モジュール１１０、フィールド・デバイス１１２、スイッチ１２０、および／またはワークステーション１２２を含み、コントローラ（例えば、マイクロコントローラ）に接続することができる。実装態様において、１つ以上の通信リンク（１１４，１１８，１２４，１２８）は、コントローラを含み、および
／または該コントローラに接続することができる。例えば、通信リンク（１１４，１１８，１２４，１２８）の物理相互接続デバイス（例えば、ケーブル・アセンブリ）は、コントローラを含み、および／または該コントローラに接続することができる。実装態様の中には、全ての構成要素、および産業用制御システム１００の構成要素を接続する全ての物理相互接続デバイス（例えば、ケーブル・アセンブリ）が、それぞれコントローラを含むことができるものもある。実施形態において、物理相互接続デバイスに接続され、または物理相互接続デバイスに含まれるコントローラ（１または複数）は、１ワイヤ暗号化チップとすることができる。１ワイヤ暗号化チップは、或る構成要素（例えば、入力／出力モジュール１０８）と該構成要素に接続される物理相互接続デバイス（例えば、ケーブル・アセンブリ）の間の認証の実装を可能にする。例えば、マイクロプロセッサの安全な暗号化技術はケーブル・アセンブリに組み込むことができ、産業用制御システム１００の特定のコンポーネントに鍵をかけることができる。この構成は、ケーブル・アセンブリと接続されるようには構成されないコンポーネントに、ユーザがケーブル・アセンブリをインストール（例えば、プラグ）するときに、システムのためにセキュリティを提供する。実施形態において、１ワイヤ・シリアル・キー（例えば、１ワイヤ組み込みキー）は、１つ以上の相互接続デバイス（例えば、各々）において実装される。更なる実施形態では、産業用制御システム１００に相互接続するアクチュエータまたは弁は、セキュリティ証明（例えば、鍵や証明書）を含むことができる。

産業用制御システム（１または複数）においてセキュリティを提供する技術
[0032] 安全な産業制御システム１００は、セキュリティ証明ソース１０１、セキュリティ証明インプリメンタ１０３、および産業制御システム１００の（例えば制御Ｉ／Ｏサブシステム１０２の）産業エレメントを含む。前述のように、産業エレメントは、制御モジュール（例えば、通信制御モジュール１０６）、入力／出力モジュール１０８、および電源モジュール（例えば、スマート電源モジュール１１０）を含むことができる。セキュリティ証明ソース１０１は、一意のセキュリティ証明（例えば、鍵や証明書等）を生成するように構成される。セキュリティ証明インプリメンタ１０３は、セキュリティ証明ソース１０１によって生成された一意のセキュリティ証明を産業エレメントに供給するように構成される。例えば、通信制御モジュール１０６、入力／出力モジュール１０８、および／またはスマート電源モジュール１１０には、一意のセキュリティ証明（例えば、鍵および証明書）が供給されることができる。産業用制御システムで実装される産業エレメントを認証するための認証プロセスは、セキュリティ証明に基づいて実行することができる。

[0033] １つ以上の構成要素および／または産業用制御システム１００の物理相互接続デバイス（例えば、ケーブル・アセンブリ）の間の通信は認証プロセスを含むことができる。認証プロセスは、産業用制御システム１００で実装される構成要素および／または物理相互接続デバイスを認証するように実行することができる。実装態様において、認証プロセスは、構成要素および／または物理相互接続デバイスに関連付けられるセキュリティ証明を、当該構成要素および／または物理相互接続デバイスを認証するために利用することができる。例えば、セキュリティ証明は、暗号鍵、証明書（例えば、公開鍵証明書、デジタル証明書、同一性(identity)証明書、セキュリティ証明書、非対称証明書、標準証明書、非標準証明書）、および／または識別番号を含むことができる。実施形態において、コントローラ（例えば、安全なマイクロコントローラ）は、産業用制御システム１００の構成要素および／または物理相互接続デバイスに含まれ／接続され、構成要素および／または物理相互接続デバイスの間で安全な通信を促進するために認証プロセスを実行するように構成することができる。

[0034] 実装態様において、産業用制御システム１００が有する１つ以上の産業エレメント（例えば、構成要素および／または物理相互接続デバイス）には、それら自体の一意のセキュリティ証明が供給される。例えば、産業用制御システム１００が有する１つ以上
の産業エレメントには、該産業エレメントが製造されるときに、それら自体の証明書、暗号鍵および／または識別番号のセットが供給される（例えば、鍵および証明書の個別セットは、産業エレメントの生産時に規定される）。証明書、暗号鍵、および／または識別番号のセットは、堅実な暗号化を提供／サポートするように構成される。暗号鍵は、標準（例えば、在庫品の商用（ＣＯＴＳ; commercial off-the-shelf））暗号化アルゴリズム、例えば国家安全保障局（ＮＳＡ）アルゴリズム、国立標準技術研究所（ＮＩＳＴ）アルゴリズム等によって実装することができる。

[0035] 認証プロセスの結果に基づいて、認証済の産業エレメントを活性化することができ、産業エレメントの部分的な機能を、産業用制御システム１００においてイネーブル、またはディセーブルすることができ、産業エレメントの完全な機能を産業用制御システム１００においてイネーブルすることができ、および／若しくは産業用制御システム１００において産業エレメントの機能を完全にディセーブルする（例えば、当該産業エレメントと産業用制御システム１００の他の産業エレメントの間で通信しない）ことができる。

[0036] 実施形態において、産業用制御システム１００が有する産業エレメントに関連付けられる鍵、証明書、および／または識別番号により、当該産業エレメントの相手先製品製造(original equipment manufacturer)（ＯＥＭ）を特定することができる。本明細
書において、「相手先製品製造」または「ＯＥＭ」という用語は、デバイス（産業エレメント）を物理的に製造するエンティティ、および／または物理製造元からデバイスを購入し該デバイスを販売するエンティティのようなデバイスのサプライヤのこととして定義できる。つまり、実施形態において、デバイスはＯＥＭによって製造および供給（販売）することができる。ＯＥＭはデバイスの物理的製造元および供給元の両方である。しかしながら、他の実施形態では、デバイスは、供給元であるが物理的製造元ではないＯＥＭによって供給することができる。このような実施形態において、ＯＥＭは、デバイスを物理的製造元に製造させることができる（例えば、ＯＥＭは、物理的製造元からデバイスを購入、契約、注文等をすることができる）。加えて、ＯＥＭがデバイスの物理的製造元ではない供給元を含む場合は、デバイスは、物理的製造者のブランドに代わってサプライヤのブランドを支持する(bear)ことができる。例えば、産業エレメント（例えば、モジュール）が供給元であって物理的製造元ではない特定のＯＥＭに関連付けられる場合は、産業エレメントの鍵、証明書、および／または識別番号により、その相手先を特定することができる。産業用制御システム１００の産業エレメントを認証する間、認証済みの産業エレメントが、産業用制御システム１００が有する１つ以上の他の産業エレメントのＯＥＭとは異なるエンティティによって製造または供給されたと判断されるときは、その産業エレメントの機能は、産業用制御システム１００内で少なくとも部分的にディセーブルにすることができる。例えば、産業エレメントが産業制御システム１００内で作用／機能することができないように、当該産業エレメントと産業用制御システム１００の他の産業エレメントとの間の通信（例えば、データ転送）に応じて制限を設けることができる。産業用制御システム１００の産業エレメントの内１つが置き換えを要するときに、この特徴は、産業用制御システム１００のユーザが、知らずのうちに、産業エレメントを同種のものではない(non-homogenous)産業エレメント（例えば、産業用制御システム１００の産業エレメントを維持するのではない、異なる相手先（異なるＯＥＭ）を有する産業エレメント）と置き換えること、および産業用制御システム１００において産業エレメントを実装することを防止することができる。このようにして、本明細書に説明する技術は、元のＯＥＭの承認なしに、元のＯＥＭ（産業用制御システム１００を最初にユーザに供給したＯＥＭ）によって製造および／または供給された産業エレメントに代わって、元のＯＥＭにより製造および／または供給された安全な産業用制御システム１００への、他のＯＥＭの（類似の機能を供給できる）産業エレメントのすり替えを防止することができる。

[0037] 他の例では、ユーザは、産業用制御システム１００内において誤って指定され
た（例えば、ミス・マークされた）産業エレメントの実装を試行することができる。例えば、ミス・マークされた産業エレメントは、それにマークされた物理指示を有することができる。物理指示は、産業エレメントが、産業用制御システム１００が有する他の産業エレメントのＯＥＭと同一のＯＥＭに関連付けられることを不正に示す。このような例では、産業用制御システム１００によって実装される認証プロセスによって、ユーザは、産業エレメントが偽のものであると警告を受けることができる。このプロセスはまた、産業用制御システム１００のセキュリティ改善を促進することもできる。何故ならば、偽の産業エレメントは、悪意のあるソフトウェアが産業用制御システム１００に導入できる媒体となることがしばしばあるからである。実施形態において、認証プロセスは、産業用制御システム１００のために安全なエア・ギャップを提供し、安全な産業用制御システムが安全でないネットワークから物理的に隔離するのを確実にする。

[0038] 実施態様において、安全な産業用制御システム１００は、鍵管理エンティティ（例えば、鍵管理システム１３０）を含む。図４に示すように、鍵管理システム１３０は、暗号技法における暗号化鍵(cryptographic key)（例えば、暗号鍵(encryption key)）を管理するように構成することができる。この暗号化鍵の管理（例えば、鍵管理）は、鍵の生成、交換、記憶、使用、および／または置き換えを含むことができる。例えば、鍵管理システム１３０は、セキュリティ証明ソースとして供するように構成され、産業用制御システム１００の産業エレメントについての一意のセキュリティ証明（例えば、公的セキュリティ証明、秘密セキュリティ証明）を生成する。鍵管理は、ユーザおよび／またはシステムのレベル（例えば、ユーザ間またはシステム間のどちらか）での鍵に関係する。

[0039] 実施形態において、鍵管理システム１３０は、安全なエンティティ（例えば、安全な施設にあるエンティティ）を備える。鍵管理システム１３０は、制御・入力／出力サブシステム１０２、制御ネットワーク１１６、および／または企業ネットワーク１２６から遠隔に位置してもよい。例えば、ファイアウォール１３２は、鍵管理システム１３０を制御・入力／出力サブシステム１０２、制御ネットワーク１１６、および／または企業ネットワーク１２６から分離することができる。実装態様において、ファイアウォール１３２は、ソフトウェア・ベースまたはハードウェア・ベースのネットワーク・セキュリティ・システムであり、データ・パケットを分析し、該データ・パケットを通すのを許可すべきか否かをルール・セットに基づいて決定することにより、入来および退出するネットワーク・トラフィックを制御する。ファイアウォール１３２は、つまり、信頼性があり安全な内部ネットワーク（例えば、企業ネットワーク１１４、制御ネットワーク１０６）、および安全で信頼性があるものとは想定されない別のネットワーク（例えば、クラウド、インターネット）の間でバリアを確立する。実施形態において、ファイアウォール１３２は、鍵管理システム１３０と、制御・入力／出力サブシステム１０２、制御ネットワーク１１６、および／または企業ネットワーク１２６の１つ以上との間の（例えば安全な）通信を許可する。実施例では、１つ以上のファイアウォール１３２を、産業用制御システム１００内の様々な位置で実装することができる。例えば、ファイアウォール（１または複数）１３２は、制御ネットワーク１１６が有するスイッチ１２０および／またはワークステーション１２２に統合してもよい。

[0040] 安全な産業用制御システム１００は更に、１つ以上の製造エンティティ（例えば、工場）１３６を含むことができる。製造エンティティ１３６は、産業用制御システム１００の産業エレメントの相手先製品製造（ＯＥＭ）と関連付けることができる。図示するように、鍵管理システム１３０は、ネットワーク１３４（例えばクラウド）を介して製造エンティティ（または複数のエンティティ）１３６と通信可能に結合することができる。実装態様において、産業用制御システム１００の産業エレメントが、１つ以上の製造エンティティ１３６で製造されるときに、鍵管理エンティティ１３０は産業エレメントに通信可能に結合することができる（例えば、産業エレメントへの暗号化通信パイプラインを有することができる）。鍵管理エンティティ１３０は、製造地点において産業エレメントにセキュリティ証明を供給する（例えば、鍵、証明書、および／または識別番号を産業エレメントに挿入する）ための通信パイプラインを利用することができる。更に、産業エレメントが使用される（例えば、活性化される）と、鍵管理エンティティ１３０は、各個別の産業エレメントに（例えば、暗号通信パイプラインを介して）ワールドワイドに通信可能に結合され、特定のコードの使用を確認およびサインし、如何なる特定のコードの使用をも無効にし（例えば、削除し）、並びに／または如何なる特定のコードの使用をも可能にすることができる。このように、鍵管理エンティティ１３０は、産業エレメントが管理される鍵と共に生産されるように、産業エレメントが最初に製造される（例えば、生産される）工場１３６において、各産業エレメントと通信することができる。産業用制御システム１００が有する産業エレメント毎のすべての暗号鍵、証明書、および／または識別番号を含むマスタ・データベースおよび／またはテーブルは、鍵管理システム１３０によって維持することができる。産業エレメントとの通信を通じた鍵管理エンティティ１３０は、鍵を無効化するように構成されることにより、認証メカニズムの機能を促進して、構成要素の窃盗および再利用に対抗することができる。

[0041] 実装態様において、鍵管理システム１３０は、制御・入力／出力サブシステム１０２、制御ネットワーク１１６、および／または企業ネットワーク１２６の内１つ以上と、ネットワーク（例えば、クラウド、インターネット）１３４およびファイアウォール１３２を介して通信可能に結合することができる。例えば、実施形態において、鍵管理システム１３０は、集中システムまたは分散システムとしてもよい。更に、実施形態において、鍵管理システム１３０は、ローカルまたは遠隔で管理することができる。幾らかの実装態様の中には、鍵管理システム１３０は、制御ネットワーク１１６、企業ネットワーク１２６、および／または制御・入力／出力サブシステム１０２内において（これらに統合されて）位置することができるものもある。鍵管理システム１３０は、管理を提供することができ、および／または様々な方法で管理されることができる。例えば、鍵管理システム１３０は、中央位置のカスタマによって、個別の工場位置１３６におけるカスタマによって、外部の第三者管理会社によって、および／または産業用制御システム１００の異なるレイヤのカスタマによって、並びにレイヤに従い異なる位置において、実装／管理されることができる。

[0042] 様々なレベルのセキュリティ（例えば、スケーラブルで、ユーザ設定された量のセキュリティ）を認証プロセスによって設けることができる。例えば、産業エレメントを認証し、産業エレメント内でコードを保護するセキュリティの基礎レベルを設けることができる。他のレイヤのセキュリティを同様に付加することができる。例えば、セキュリティは、電源モジュール１１０のような構成要素が適切な認証を生じることなく電源オンできないような程度に実装することができる。実装態様において、コードの暗号化は産業エレメントにおいて実装され、セキュリティ証明（例えば、鍵および証明書）が産業エレメント上に実装される。セキュリティは、産業用制御システム１００を通じて配信（例えばフロー）することができる。例えば、セキュリティは、当該システム１００を通じて全面的に(all the way)エンド・ユーザにフローすることができる。当該エンド・ユーザは
、そのモジュールがそのインスタンスで何を制御するように設計されているかを理解している。実施形態において、認証プロセスは、暗号化、安全な通信のためのデバイスの特定、および（例えば、デジタル署名を介した）ハードウェアまたはソフトウェア構成要素のシステムの認証を提供する。

[0043] 安全な産業用制御システム１００が有する産業エレメントは、一意のセキュリティ証明が供給され、また、上記言及した認証プロセスを実装するためのコントローラ（例えば、マイクロコントローラ）を含む。その結果、セキュリティが、安全な産業用制御システム１００内において複数の（例えばすべての）通信レベルで提供されることができる。

[0044] 実装態様において、認証プロセスは、製造される産業エレメントにおいて安全な産業用制御システム１００内の相互運用性を提供／可能にするように実装されることができ、および／または異なる製造元／ベンダ／供給元によって供給されることができる。例えば、異なる製造元／ベンダ／供給元によって製造および／または供給される産業エレメントの間の選択的な（例えば、幾らかの）相互運用性を可能にすることができる。実施形態において、認証の間に実装されるセキュリティ証明（例えば鍵）は、階層構造を形成することによって、異なる機能が、産業用制御システム１００の異なる産業エレメントによって実行されるのを可能にする。

[0045] 産業用制御システム１００の構成要素を接続する通信リンクは更に、付加レベルのセキュリティを提供するために配置される(placed)（例えば、注入される(injected)／詰め込まれる(stuffed)）ラント(runt)パケット（例えば６４バイトより小さいパケッ
ト）のようなデータ・パケットを採用することができる。ラント・パケットの使用は、外部情報（例えば、虚偽メッセージのような悪意のあるコンテンツ、マルウェア（ウィルス）、データ・マイニング・アプリケーション等）を通信リンクに注入できる困難性のレベルを増加させる。例えば、ラント・パケットは、通信制御モジュール１０６および入力／出力モジュール１０８の間で送信されるデータ・パケット間のギャップ内において通信リンクに注入し、悪意のあるコンテンツを通信リンクに注入させる外部エンティティの機能を妨害することができる。

[0046] 安全な産業用制御システム１００は、その構成要素の一部または全部および物理的な相互接続デバイスを含み、コンピュータ制御下で動作することができる。例えば、プロセッサは、ソフトウェア、ファームウェア、ハードウェア（例えば、固定論理回路）、手動処理、またはこれらの組み合わせを用いることにより、産業用制御システム１００が有する構成要素並びに物理相互接続デバイスおよび機能を制御する各コントローラと共に、またはその中に含めることができる。本明細書で用いる「コントローラ」、「機能」、「サービス」、および「論理」という用語は、全般的に、産業用制御システム１００を制御することに関連して、ソフトウェア、ファームウェア、ハードウェア、またはソフトウェア、ファームウェア若しくはハードウェアの組み合わせを表す。ソフトウェア実装の場合、モジュール、機能、または論理は、プロセッサ（例えば、中央演算処理装置（ＣＰＵ）または複数のＣＰＵ）上で実行されると、特定されたタスクを実行するプログラム・コードを表す。プログラム・コードは、１つ以上のコンピュータ可読メモリ・デバイス（例えば、内部メモリおよび／または１つ以上の有形媒体）等に格納することができる。本願明細書において記載する構造、機能、手法、および技術は、様々なプロセッサを有する様々な商用コンピューティング・プラットフォーム上で実装することができる。

[0047] プロセッサは、産業制御システム１００が有する構成要素および物理相互接続デバイスの処理機能を提供する。そして、プロセッサは、如何なる数のプロセッサ、マイクロコントローラ、または他の処理システム、および、安全な産業用制御システム１００によってアクセスまたは生成されるデータおよび他の情報を格納するレジデンシャル若しくは外部メモリをも含むことができる。各プロセッサは、本明細書において説明する技術を実施する１つ以上のソフトウェア・プログラムを実行することができる。プロセッサは、それらが形成され材料、または採用される処理機構によって限定されず、このように、半導体（１または複数）および／またはトランジスタ（例えば、電子集積回路（ＩＣ）構成要素を使用する）等を通じて実装することができる。

[0048] メモリは各コントローラと共に、またはその中に含めることができる。メモリの例は、有形のコンピュータ可読ストレージ媒体であり、産業用制御システム１００の動
作に関連付けられる様々なデータ（例えばソフトウェア・プログラムおよび／またはコード・セグメント）、または、産業用制御システム１００のプロセッサ（１または複数）、構成要素および物理相互接続デバイスに指示を行う他のデータを格納する機能を記憶して、本明細書に説明する機能を実行することができる。つまり、メモリは、（その構成要素および物理相互接続デバイスを含む）産業用制御システム１００を動作させる指示のプログラム等のようなデーを格納することができる。なお、メモリ（例えば、有形非一時的メモリ）の多種多様な種別および組み合わせを採用できる点に留意すべきである。メモリは、プロセッサと共に統合することができ、スタンド・アロンのメモリを備えることができ、または両方の組み合わせとすることができる。メモリは、必ずしも限定される訳ではないが、以下のものを含むことができる。即ち、着脱可能および着脱不可能なメモリ・コンポーネント、例えば、ランダムアクセス・メモリ（ＲＡＭ）、リード・オンリ・メモリ（ＲＯＭ）、フラッシュ・メモリ（例えば、セキュア・デジタル（ＳＤ）メモリ・カード、ミニＳＤメモリ・カード、および／またはマイクロＳＤメモリ・カード）、磁気メモリ、光メモリ、ユニバーサル・シリアル・バス（ＵＳＢ）メモリ・デバイス、ハードディスク・メモリ、外部メモリ等である。実装態様において、システム１００および／またはメモリは、着脱可能な統合回路カード（ＩＣＣ）メモリ（例えば、加入者識別モジュール（ＳＩＭ）カードにより提供されるメモリ、ユニバーサル加入者識別モジュール（ＵＳＩＭ）カード、ユニバーサル統合回路カード（ＵＩＣＣ）等）を含むことができる。

[0049] 通信インタフェースは、各コントローラと共に、またはその中で含めることができる。通信インタフェースは、産業用制御システム１００の構成要素および物理相互接続デバイスと通信するように動作可能に構成される。例えば、通信インタフェースは産業用制御システム１００において記憶のためのデータを送信し、産業用制御システム１００内のストレージからデータを抽出する等のように構成することができる。通信インタフェースはまた、産業用制御システム１００の構成要素および物理相互接続デバイスの間のデータ転送を容易にするために、プロセッサと通信可能に結合される。なお、通信インタフェースは、産業用制御システム１００が有する構成要素および／または物理相互接続デバイスと共に、またはこれらの中に含まれるものとして説明している。一方で、１つ以上の通信インタフェースは、有線および／または無線接続を介して、産業用制御システム１００が有する構成要素（１または複数）および／または物理相互接続デバイスに通信可能に接続される外部エレメントとして実装することができる。産業制御システム１００が有する構成要素（１または複数）および／または物理相互接続デバイスはまた、（例えば、通信インタフェースを介して）１つ以上の入力／出力（Ｉ／Ｏ）デバイスを含み、および／または接続することができる。１つ以上の入力／出力（Ｉ／Ｏ）デバイスは、必ずしもこれに限定されないが、ディスプレイ、マウス、タッチパッド、キーボード等を含む。

[0050] 通信インタフェースおよび／またはプロセッサは、様々な異なるネットワークと通信するように構成することができる。様々な異なるネットワークは、必ずしもこれに限定されないが、ワイド・エリア・セルラ電話ネットワーク（例えば、３Ｇセルラ・ネットワーク、４Ｇセルラ・ネットワーク、またはモバイル通信用グローバル・システム（ＧＳＭ）ネットワーク、ワイヤレス・コンピュータ通信ネットワーク（例えば、Ｗｉ−Ｆｉネットワーク（例えば、ＩＥＥＥ８０２．１１ネットワーク規格を使用して動作する無線ローカル・エリア・ネットワーク（ＷＬＡＮ））、インターネット(internet)、インターネット(the Internet)、ワイド・エリア・ネットワーク（ＷＡＮ）、ローカル・エリア・ネットワーク（ＬＡＮ）、パーソナル・エリア・ネットワーク（ＰＡＮ）（例えば、ＩＥＥＥ８０２．１５ネットワーク規格を使用して動作するワイヤレス・パーソナル・エリア・ネットワーク（ＷＰＡＮ））、公共電話ネットワーク、エクストラネット、イントラネット等を含む。しかしながら、このリストは、例示のために設けたに過ぎず、本開示を限定するのを意味するものではない。更に、通信インタフェースは、異なるアクセス・ポイントにわたり単一のネットワークまたは複数のネットワークと通信するように構成することができる。

産業用制御システム（１または複数）内のセキュリティを提供する例示のプロセス
[0051] これより図６を参照して、安全な産業用制御システム１００で実装される産業エレメントを認証するプロセス（方法）６００について説明する。例えば、産業エレメントは、安全な産業制御システム１００が有するモジュールまたは物理相互接続デバイス（例えば、ケーブル・アセンブリ）とすることができる。実装態様において、方法６００は、産業エレメントに関連づけられるセキュリティ証明を用いて、産業エレメントの認証プロセスを実行することを含む（ブロック６０２）。例えば、産業エレメントに接続されるコントローラ（例えば、マイクロコントローラ）は、認証プロセスを実行するように構成することができる。認証プロセスに基づいて、産業エレメントは、産業用制御システムにおいて動作するのを可能にまたは防止する（ブロック６０４）。例えば、認証済みの産業エレメントが、産業用制御システムが有する（例えば、同一ＯＥＭによって供給される）他の産業エレメントと互換性があると認証プロセスが判断するときに、産業エレメントが当該システムにおいて動作することができるように、産業エレメントをイネーブルすることができる。しかしながら、認証済みの産業エレメントが、産業用制御システムが有する（例えば、偽物の、異なるＯＥＭに関連付けられた）他の産業エレメントとは互換性がないと認証プロセスが判断するときは、産業エレメントは産業用制御システムにおいて動作できないようにすることができる。幾らかの実施形態の中には、産業エレメントを産業用制御システムにおいて動作するのを可能にすることは更に、産業エレメントを活性化すること（ブロック６０６）、産業用制御システムにおいて産業エレメントの部分的な機能をイネーブルすること（ブロック６０８）、産業用制御システムにおいて産業エレメントの完全な機能をイネーブルすること（ブロック６１０）、またそれらの組み合わせ等を含むことができる。

[0052] これより図７を参照する。本開示の例示の実装太陽によるプロセス（方法）７００について説明する。図示するように、方法７００は、一意のセキュリティ証明を生成することを含む（ブロック７０２）。例えば、一意のセキュリティ証明は、安全な産業用制御システム１００の鍵管理システム１３０によって生成することができる。方法７００は更に、少なくとも２つの産業エレメントのそれぞれに、上記生成した一意のセキュリティ証明に含まれる一意のセキュリティ証明を供給することを含む（ブロック７０４）。例えば、産業エレメントは、産業エレメントの製造の間に、一意のセキュリティ証明書が提供されることができる。実施形態において、産業エレメント（例えば、モジュール、ケーブル等）は、安全な産業用制御システム１００の一部であってもよい。

[0053] 通常、本明細書に説明する如何なる機能もが、ハードウェア（例えば、固定論理回路（例えば集積回路））、ソフトウェア、ファームウェア、手動処理、またはこれらの組み合わせを用いて実装することができる。つまり、一般に上記の開示において検討したブロックは、ハードウェア（例えば、固定論理回路（例えば集積回路））、ソフトウェア、ファームウェアまたはこれらの組み合わせを表す。ハードウェア構成の例では、上記の開示において検討した様々なブロックが、他の機能と共に集積回路として実装することができる。このような集積回路は、所与のブロック、システム若しくは回路の機能の全て、またはブロック、システム、もしくは回路の機能の一部を含むことができる。更に、ブロック、システム、または回路のエレメントは、複数の集積回路にわたり実装することができる。このような集積回路は、必ずしもこれに限定されないが、モノリシック集積回路、フリップチップ集積回路、マルチチップ・モジュール集積回路、および／または混合信号集積回路を含む様々な集積回路を備えることができる。ソフトウェア実装の例において、上記の開示で検討した様々なブロックは、プロセッサ上で実行されると、特定の作業を実行する実行可能命令（例えば、プログラム・コード）を表す。これらの実行可能命令は、１つ以上の有形のコンピュータ可読媒体に記憶することができる。このような例の中には、全システム、ブロック、または回路は、そのソフトウェアまたはファームウェアの等価物を用いて実装することができるものもある。他の例において、所与のシステム、ブロックまたは回路の一部は、ソフトウェアまたはファームウェアで実装することができるのに加え、他の部分はハードウェアで実装される。

結論
[0054] 主題が構造上の特徴および／またはプロセス動作に特有の言語で記載してきたにも拘らず、添付の特許請求の範囲に定める主題が、上記の特定の特徴や行為には必ずしも限定されないことが理解されるべきである。そうではなく寧ろ、上記の特定の特徴および行為は、特許請求の範囲を実施する例示の形態として開示されるものである。

Claims (32)

1. 安全な産業用制御システムであって、
   一意のセキュリティ証明を生成するように構成されるセキュリティ証明ソースと、
   セキュリティ証明インプリメンタと、
   少なくとも２つの産業エレメントと
   を備え、前記セキュリティ証明インプリメンタが、前記セキュリティ証明ソースによって生成された一意のセキュリティ証明を、前記少なくとも２つの産業エレメントのそれぞれに供給するように構成される、安全な制御用制御システム。
2. 請求項１記載の安全な産業用制御システムにおいて、前記一意のセキュリティ証明が公的セキュリティ証明を含む、安全な産業用制御システム。
3. 請求項１記載の安全な産業用制御システムにおいて、前記一意のセキュリティ証明が秘密セキュリティ証明を含む、安全な産業用制御システム。
4. 請求項１記載の安全な産業用制御システムにおいて、前記一意のセキュリティ証明が暗号鍵を含む、安全な産業用制御システム。
5. 請求項１記載の安全な産業用制御システムにおいて、前記一意のセキュリティ証明が、証明書および識別番号の内１つを含む、安全な産業用制御システム。
6. 請求項１記載の安全な産業用制御システムにおいて、前記セキュリティ証明ソースが、前記一意のセキュリティ証明を管理するように構成される鍵管理エンティティを含む、安全な産業用制御システム。
7. 請求項１記載の安全な産業用制御システムにおいて、前記産業エレメントそれぞれが、通信／制御モジュール、入力／出力モジュール、電源モジュール、フィールド・デバイス、スイッチ、ワークステーション、または物理相互接続デバイスの内少なくとも１つを備える、安全な産業用制御システム。
8. システムであって、
   一意のセキュリティ証明を生成するように構成されるセキュリティ証明ソースと、
   セキュリティ証明インプリメンタと、
   少なくとも２つの産業エレメントを含む産業用制御システムと
   を備え、前記セキュリティ証明インプリメンタが、前記セキュリティ証明ソースによって生成される一意のセキュリティ証明を、少なくとも２つの産業エレメントのそれぞれに供給するように構成される、システム。
9. 請求項８記載のシステムにおいて、前記一意のセキュリティ証明が公的セキュリティ証明を含む、システム。
10. 請求項８記載のシステムにおいて、前記一意のセキュリティ証明が秘密セキュリティ証明を含む、システム。
11. 請求項８記載のシステムにおいて、前記一意のセキュリティ証明が暗号鍵を含む、システム。
12. 請求項８記載のシステムにおいて、前記一意のセキュリティ証明が、証明書および識別番号の内１つを含む、システム。
13. 請求項８記載のシステムにおいて、前記セキュリティ証明ソースが、前記一意のセキュリティ証明を管理するように構成される鍵管理エンティティを含む、システム。
14. 請求項８記載のシステムにおいて、前記産業エレメントのそれぞれが、通信／制御モジュール、入力／出力モジュール、電源モジュール、フィールド・デバイス、スイッチ、ワークステーション、または物理相互接続デバイスの内少なくとも１つを備える、システム。
15. システムであって、
    第１の一意証明を供給する少なくとも１つの制御モジュールと、
    第２の一意証明を供給する少なくとも１つの入力／出力モジュールと
    を備え、前記少なくとも１つの制御モジュールおよび前記少なくとも１つの入力／出力モジュールが、前記第１および第２の一意証明に基づいて、双方向に相互に通信するように動作可能である、システム。
16. 請求項１５記載のシステムにおいて、産業用制御システムを備える、システム。
17. 請求項１５記載のシステムにおいて、前記一意のセキュリティ証明が公的セキュリティ証明を含む、システム。
18. 請求項１５記載のシステムにおいて、前記一意のセキュリティ証明が秘密セキュリティ証明を含む、システム。
19. 請求項１５記載のシステムにおいて、前記一意のセキュリティ証明が暗号鍵を含む、システム。
20. 請求項１５記載のシステムにおいて、前記一意のセキュリティ証明が証明書および識別番号の内１つを含む、システム。
21. 請求項１５記載のシステムにおいて、前記セキュリティ証明ソースが、前記一意のセキュリティ証明を管理するように構成される鍵管理エンティティを含む、システム。
22. 産業用制御システムで実装される産業エレメントを認証する方法であって、
    前記産業エレメントに関連付けられるセキュリティ証明を用いて、前記産業エレメントの認証プロセスを実行するステップと、
    前記認証プロセスに基づいて、前記産業エレメントが前記産業用制御システムにおいて動作するのを選択的に可能にまたは防止するステップと
    を含む、方法。
23. 請求項２２記載の動作についての方法において、前記産業エレメントが動作するのを可能にするステップが、前記産業エレメントを活性化することを含む、方法。
24. 請求項２３記載の動作についての方法において、前記産業エレメントが動作するのを可能にするステップが、前記産業用制御システムにおいて前記産業エレメントの部分的な機能をイネーブルすることを含む、方法。
25. 請求項２３記載の動作についての方法において、前記産業エレメントが動作するのを可能にするステップが、前記産業用制御システムにおいて前記産業エレメントの完全な機能をイネーブルすることを含む、方法。
26. 請求項２２記載の動作についての方法において、前記セキュリティ証明が、暗号鍵、証明書、および識別番号の内少なくとも１つを含む、方法。
27. 方法であって、
    一意のセキュリティ証明を生成するステップと、
    前記生成した一意のセキュリティ証明に含まれる一意のセキュリティ証明を、少なくとも２つの産業エレメントのそれぞれに供給するステップと、
    前記少なくとも２つの産業エレメントが安全な産業用制御システムの一部である、方法。
28. 請求項２７記載の方法において、前記一意のセキュリティ証明が公的セキュリティ証明を含む、方法。
29. 請求項２７記載の方法において、前記一意のセキュリティ証明が秘密セキュリティ証明を含む、方法。
30. 請求項２７記載の方法において、前記一意のセキュリティ証明が暗号鍵を含む、方法。
31. 請求項２７記載の方法において、前記一意のセキュリティ証明が、証明書および識別番号の内１つを含む、方法。
32. 請求項２７記載の方法において、前記産業エレメントのそれぞれが、通信／制御モジュール、入力／出力モジュール、電源モジュール、フィールド・デバイス、スイッチ、ワークステーション、または物理相互接続デバイスの内少なくとも１つを含む、方法。

Images