JP2023514672A - 証明書管理が行われる技術施設用の制御システム - Google Patents

Abstract

証明書管理の一部として、技術施設の構成要素（７）に対する証明書の発行および取り消しを開始するように構成および設定されている、技術施設用の制御システム（１）、特に製造施設用またはプロセス施設用の制御システム（１）、が提案される。本発明によれば制御システム（１）は、証明書の取り消しをイベント制御で自動的に開始するように構成および設定された、コンピュータ実装による取り消しサービス（１７）を含むことを特徴としている。

Description

本発明は、請求項１の特徴を備えた技術施設用の制御システム、特に製造施設用またはプロセス施設用の制御システムに関し、この制御システムは、証明書管理の一部として、技術施設の構成要素に対する証明書の発行および取り消しを開始するように構成および設定されている。さらに本発明は請求項４記載の方法に関する。

産業施設の証明書管理の一部として、証明書の発行だけでなく取り消しも可能でなければならない。施設構成要素によって使用される証明書の取り消しは、特に、施設構成要素の稼働停止時およびそれらの交換(もしくは別の構成要素による置き換え)時に行われ、これを施設稼働中に行うことができる。この場合、使用される証明書は取り消しによって無効にされる。さもなければ証明書が場合によっては、たとえば不当に書き写されて取り外された機器を、この証明書を（場合によっては別の施設部分で）用いて通信に使用するなどして、悪用されてしまうおそれがある。

モジュール化されたオートメーションに関連しても、必要に応じて特定の証明書の取り消しを起動可能な機能が不可欠である。それというのも、ある１つのモジュールを種々のプロジェクトにおいて種々の別のモジュールと組み合わせることができ、その際に上記のある１つのモジュールには、一般的にはプロジェクト特有の証明書が割り当てられ、この証明書は、個々のプロジェクトに関連して別のモジュールとの通信に必要とされるからである。ある１つの特定のプロジェクトに関連して、ある１つのモジュールの使用がもはや不要になると（つまりはそれをブロックすべきであるならば）ただちに、証明書の悪用を排除するために、このプロジェクトに関連してそのモジュールに割り当てられているプロジェクト特有のすべての証明書を取り消すのが望ましい。

状況次第で、施設構成要素自体によって、または権限付与された（管理）インスタンスによって、起動可能な証明書の取り消しに際して、取り消しリクエスト（英語ではＲｅｖｏｋａｔｉｏｎ Ｒｅｑｕｅｓｔ）が、この証明書を発行した認証局（英語ではＣｅｒｔｉｆｉｃａｔｉｏｎ Ａｕｔｈｏｒｉｔｙまたは略してＣＡ）に申請される。この種の取り消しリクエストは、たとえばＲＦＣ ４２１０に準拠するＣＭＰのような公知の証明書管理プロトコルの１つの構成要素であり、認証局によって、たとえばいわゆるＥＪＢＣＡ／ＰｒｉｍｅＫｅｙ ＣＡによって、サポートされる。取り消しリクエストをメッセージタイプとして自身の範囲内で有していないプロトコルをサポートする他の認証局については、取り消しを、
・手動により認証局において（たとえばそのウェブフロントエンドを介して）直接、
・またはアプリケーションにより（たとえば登録局（英語ではＲｅｇｉｓｔｒａｔｉｏｎ Ａｕｔｈｏｒｉｔｙまたは略してＲＡ）によって起動させることで）
実現することができる。

施設の個々の構成要素間の通信リンクが突如としてもはや不要であると判明し、セキュリティ上の観点から、使用される証明書の取り消しによってそれらの通信リンクをブロックしようとする場合、従来公知の制御システムでは「即座に働く」証明書の取り消しは不可能である。取り消しプロセスは従来、ユーザにより直接、認証局において、または他の中央インスタンスを介して、たとえば登録サービスを介して、起動される。その際、まずは証明書の取り消しが必要であることが識別され、その後、取り消しが手動で起動される。組織上の理由および技術上の理由から、これらの２つのイベント間に結果として大幅な遅延が生じる可能性がある。

本発明の基礎とする課題は、証明書がもっと効率的に取り消される証明書管理を実現する技術施設の制御システムを提供することである。

この課題は、請求項１の特徴を備えた技術施設用の制御システムによって解決される。さらにこの課題は、請求項４記載の方法によって解決される。従属請求項には有利な発展形態が記載されている。

冒頭で述べた形式の制御システムにおいて、この課題は本発明によれば、制御システムは、証明書の取り消しをイベント制御で自動的に開始するように構成および設定された、コンピュータ実装による取り消しサービスを含むことによって解決される。

制御システムとは、本明細書のコンテキストにおいては、製造施設または生産施設のような技術システムの表示、操作および制御のための機能を含む、コンピュータ支援による技術システムであると解される。制御システムは、本明細書のケースでは、測定値を求めるためのセンサならびに種々のアクチュエータを含む。さらに制御システムは、これらのアクチュエータもしくはセンサを制御する役割を果たす、いわゆるプロセス関連または製造関連の構成要素を含む。しかも制御システムは特に、技術施設の視覚化およびエンジニアリングのための手段を有する。これに加え、制御システムという用語には、いっそう複雑な制御のためのさらに別の計算ユニット、ならびにデータ記憶およびデータ処理のためのシステムも含まれるものとする。

技術施設を、たとえば化学施設、製薬施設、石油化学施設といったプロセス産業分野の施設、または食品産業および嗜好品産業の分野の施設とすることができる。これとともに、製造産業分野のあらゆる施設も含まれ、たとえば自動車またはあらゆる種類の商品が製造される工場も含まれる。本発明による方法の実施に適している技術施設を、エネルギー生成分野に属するものとすることもできる。エネルギー生成のための風力タービン、太陽光発電施設または発電所も同様に、技術施設という用語に含まれている。

構成要素を、技術施設の個々のセンサまたはアクチュエータとすることができる。ただし構成要素を、複数のセンサおよび／またはアクチュエータの集合体とすることもでき、たとえばモータ、反応器、ポンプまたは弁システムとすることもできる。

証明書とは、（このケースでは機械、機器、アプリケーションなどの）規定された特性を承認するディジタルデータセットであると解される。証明書の真正性および完全性を、一般的には暗号方式によって検証することができる。

イベント制御かつ全自動でプロセス制御システムから取り消しが起動されることによって、取り消し対象である証明書を、できるかぎり即座に働く効力で取り消すことができる。本発明による技術的特徴によって、取り消しプロセスにおける遅延を効率的に最小化することができ、このことにより技術施設の制御システムの証明書管理が全体的に改善される。

イベントとして、技術施設内の任意の状態変化が考慮の対象となる。本発明の１つの有利な発展形態によれば、技術施設の個々の構成要素間の通信リンクの変更がかかるイベントを成す。

有利には、制御システムの取り消しサービスは、この取り消しサービスが認証局に取り消しリクエストを申請することによって、証明書の取り消しを開始するように構成および設定されている。その際に取り消しサービスは、取り消しリクエストの処理をモニタリングする、またはモニタリングさせるように構成および設定されている。このことが意味するのは、取り消しサービス自体が、つまり取り消しサービスが直接、モニタリングするか、または別個のサービスを介して、つまり間接的に、特に登録サービスを介して、モニタリングさせる、ということである。

認証局は、いわゆる「発行ＣＡ」“Ｉｓｓｕｉｎｇ ＣＡ（Ｃｅｒｔｉｆｉｃａｔｉｏｎ Ａｕｔｈｏｒｉｔｙ）”とも称される。この種の「発行ＣＡ」は、一般的には常にオンラインであり、到来した証明書リクエストに基づき、様々な申請者に対する証明書を交付し、それらを自身の固有の「発行ＣＡ」証明書で署名する。「発行ＣＡ」の信頼性は、自身の固有の「発行ＣＡ」証明書が、セキュアな環境内に存在する信頼できるルート認証局（「ルートＣＡ」とも称する）の証明書によって署名されていることによって保証される。ここで留意されたいのは、「ルートＣＡ」は、ほとんどの時間はオフラインであり、所属する「発行ＣＡ」に対して証明書を発行すべき場合にのみ、最も厳しい安全策を遵守しながら、アクティベートもしくはスイッチオンされる、ということである。「ルートＣＡ」を、技術施設の外部に存在させることができる。

取り消しサービスによる取り消しリクエストのモニタリングの一部として、取り消しサービスは、取り消しリクエストの処理が遅延しているケースでは、認証局に新たな問い合わせを出すことができる（このコンテキストではいわゆる「ポーリング」と称する）。このプロセスは、たとえばＲＦＣ４２１０規格（ＲＦＣ＝Ｒｅｑｕｅｓｔ ｆｏｒ Ｃｏｍｍｅｎｔｓ）に記載され、そこにはＣｅｒｔｉｆｉｃａｔｅ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ（ＣＭＰ）の仕様が記述されている。

本発明の１つの特に好ましい発展形態によれば、制御システムは、証明書の取り消しが行われた後、この取り消しを制御システム内で告知するように構成および設定されており、この告知は特にブロックリストの形態で行われる。先にすでに説明した証明書の即座の取り消しと、その直後に続く制御システム内における取り消しに関するメッセージの伝播とによって、技術施設のすべての構成要素が、発行された証明書に関して常に最新の状態に保たれ、これにより証明書悪用のリスクが格段に低減される。この告知によって、施設に関連するすべての取り消された証明書について、常に把握することができる。

ブロックリストが使用されるケースでは、取り消された証明書の告知を認証局によって行うことができる。ブロックリストへのこのようなエントリを、エントリの真正性を保証する目的で、認証局によってディジタル署名することができる。これによってとりわけ、ブロックリストをユーザ（たとえばプロジェクトエンジニア）またはインテリジェントサービス自体が更新できてしまうことが阻止され、その結果、悪用のリスクが低減される。

施設全体にわたって利用可能なブロックリストを用いることによって、プロジェクト特有の認証局から発行されたどの証明書がプロジェクト特有に許可されており、どれが許可されていないのかを、アドホックに制御することができる。ある１つの証明書が、ある１つの（エンジニアリング）プロジェクトに関連して、許可されないものであると判明したならば、上述のように取り消しプロセスを起動することができる。

先に挙げた課題は、さらに請求項４記載の方法によっても解決される。この方法は以下のステップすなわち、
ａ）技術施設の構成要素への証明書の発行を、技術施設の制御システムによって開始するステップと、
ｂ）ある１つの特定のイベントに応答して、技術施設の制御システムのコンピュータ実装による取り消しサービスによって、証明書の取り消しを自動的に開始するステップと
を含む。

方法の請求項についての説明およびこれに付随する利点に関しては、本発明による制御システムについての上述の説明を参照されたい。

本発明による方法の１つの有利な発展形態によれば、技術施設の構成要素間の通信リンクの変更が、証明書の取り消しの自動的な開始をトリガする１つのイベントを成す。

好ましくは、取り消しサービスは、証明書の取り消しを開始するために、取り消しリクエストを認証局に申請し、取り消しサービスは、取り消しリクエストの処理をモニタリングする。

特に好ましくは、証明書の取り消しが行われた後、この取り消しを制御システム内で告知し、この告知を特にブロックリストの形態で行う。

これまで述べてきた本発明の特性、特徴および利点、ならびにこれらを達成する手法は、図面と関連させながら詳しく説明する実施例の以下の記載を参照することで、いっそう明瞭にはっきりと理解されるであろう。

プロセス技術施設として構成されている技術施設の本発明による制御システムの一部を示す図である。

図面には、プロセス技術施設として構成されている技術施設の本発明による制御システム1の一部が図示されている。制御システム１は、オペレーションシステムのサーバもしくはオペレータステーションサーバ２と、これに属するオペレータステーションクライアント３とを含む。オペレータステーションサーバ２とオペレータステーションクライアント３とは、ターミナルバス４を介して相互に接続されており、エンジニアリングシステムサーバまたはプロセスデータアーカイブといった、制御システム１の図示されていないさらに別の構成要素と接続されている。

ユーザもしくはオペレータは、オペレータステーションクライアント３を用いターミナルバス４を介して、オペレーションおよびモニタリングに関連して、オペレータステーションサーバ２にアクセスする。ターミナルバス４を、以下に限定されるものではないが、たとえば産業用イーサネットとして構成することができる。

オペレータステーションサーバ２は、施設バス６に接続されている機器インタフェース５を有する。これを介してオペレータステーションサーバ２は、（外部の）機器７と通信することができる。この場合、接続されている機器７を、代替としてアプリケーション、特にウェブアプリケーション、とすることもできる。本発明によれば、任意の個数の機器および／アプリケーション７をオペレータステーションサーバ２に接続することができる。施設バス６を、以下に限定されるものではないが、たとえば産業用イーサネットとして構成することができる。機器７自体をさらに、任意の個数のサブシステム（図示せず）に接続することができる。

オペレータステーションサーバ２には、視覚化サービス８が組み込まれており、このサービスを介して、オペレータステーションクライアント３への（視覚化）データの伝送を行うことができる。さらにオペレータステーションサーバ２は、プロセスイメージ（Ｐｒｏｃｅｓｓ Ｉｍａｇｅ）９、プロセスデータアーカイブ１０、およびいわゆる「ユーザプロファイルおよびセレクションサービス（Ｕｓｅｒ Ｐｒｏｆｉｌｅ ａｎｄ Ｓｅｌｅｃｔｉｏｎ Ｓｅｒｖｉｃｅ，ＵＰＳＳ）」１１を有する。オペレータステーションサーバ２のプロセスイメージ９には、機器インタフェース５を介してオペレータステーションサーバ２に接続された機器および／またはアプリケーション７の（信号）状態の瞬時の記録が格納されている。すでに経過した（信号）状態は、アーカイブの目的でプロセスデータアーカイブ１０に格納されている。「ユーザプロファイルおよびセレクションサービス」１１は、１つのデータベースを成しており、そこにはプロセス技術施設のオペレータ／操作者のユーザプロファイルおよび個人設定が格納されている。それらに他のオペレータ／操作者がアクセスすることもできる。

制御システム１はさらに、登録局１２および認証局１３を含む。これらはターミナルバス４を介して、オペレータステーションサーバ２およびオペレータステーションクライアント３に接続されている。登録局１２は、認証局１３への認証リクエストを受理および転送するように構成されている。認証局１３は、証明書を発行する役割を果たす。

ある１つの特定のエンジニアリングプロジェクトに関連して、機器７が制御システム１にログインし、その機能を利用したいならば、機器７は有効な証明書を必要とする。第１のステップＩにおいて、機器７は、オペレータステーションサーバ２の認証サービス１４に問い合わせる。第２のステップＩＩにおいて、認証サービス１４は、ユーザプロファイルおよびセレクションサービス１１に格納されているブロックリスト１５にアクセスする。このブロックリスト１５には、もしくはユーザプロファイルおよびセレクションサービス１１のデータベース１６には、ブロックリスト１５にアクセスする時点において、プロセス技術施設に関連して取り消された証明書（“Ｃｅｒｔｉｆｉｃａｔｅ Ｒｅｖｏｃａｔｉｏｎ Ｌｉｓｔ”が格納されている。

エンジニアリングプロジェクトに関連して、リクエストされるべき証明書が機器７を承認しているならば、すなわち特に、この証明書が取り消された証明書としてブロックリスト１５に掲載されていなければ、対応する証明書リクエストが第３のステップＩＩＩにおいて登録局１２に転送され、登録局１２自体はさらに、この証明書リクエストを第４のステップＩＶにおいて認証局１３に転送する。認証局１３から発行された証明書が、次いで登録局１２によって、リクエストを行っている機器７に伝送される（ステップＶ）。

ここで、ある１つの特定のイベント、たとえばプロセス技術施設内の通信リンクの変更など、が発生したならば、ある１つの特定の証明書を無効にすることができ、したがってこれを取り消さなければならない。オペレータステーションサーバ２の取り消しサービス１７から発せられて、取り消しリクエストが登録局１２に伝達される。その際にこの取り消しリクエストは、プロセス技術施設のプロジェクトエンジニアまたはオペレータがじかに作用を及ぼすことなく、全自動で起動される。次いで認証局１３は、該当する証明書が無効であると宣言し、この情報を認証局１３に格納されているブロックリスト１５に格納する。これに続き、更新されたブロックリスト１５が登録局１２によって、ユーザプロファイルおよびセレクションサービス１１のデータベース１６に伝送される。

この場合、登録局１２を介して認証局１３からブロックリスト１５をイベント制御でフェッチすることを、様々な手法で実現することができる。最も簡単なケースでは、認証局１３において以下のことをもたらすトリガを構成することができ、すなわちこのトリガによって、認証局１３にローカルに格納されているブロックリスト１５が、証明書の取り消し後ただちに、更新されたブロックリスト１５に置き換えられるようになる。認証局１３内のブロックリスト１５の保管場所を、登録局１２から（たとえば相応のインテリジェントサービスによって）モニタリングすることができ、これによって、いかなる更新も即座に識別することができ、更新されたブロックリスト１５を、オペレータステーションサーバ２のユーザプロファイルおよびセレクションサービス１１に即座に伝達することができる。複数のオペレータステーションサーバ２が使用されている場合、ブロックリスト１５のアベイラビリティを高めるために、データベース１６を、個々のオペレータステーションサーバ２間の「ミラーリング」サービス１８によって、照合することができる。

視覚化サービス８によってグラフィカルにオペレータステーションクライアント３にマッピングされているインタフェース１９を介して、オペレータ／プロジェクトエンジニアが新たな／改訂されたイベントを予め定めることができ、それらのイベントを、ユーザプロファイルおよびセレクションサービス１１の管理サービス２０によって、証明書の今後の自動的な取り消しのために、取り消しサービス１７に供給することができる。

上述の技術的特徴によって、取り消しプロセスにおける遅延を取り除くことができる。しかも、産業上のセキュリティに関連して、極めて高い優先順位を持つ最小限の原則に従い、いずれの機器７に対しても、実際に必要とされる最新のブロックリスト１５へのアクセスしか許可されない。この目的で必要とされる技術的機能は、「プロセス技術として」制御システム１に組み込まれているので、制御システム１の周囲にすでに設けられている通信経路の他には、取り消し管理のために「制御システム１の外側に」さらに別の通信経路は必要とされない。

セキュリティに関してさらに別の利点は、ブロックリスト１５へのアクセスが必要であるため、ネットワークにおいて特別な設定を行う必要がないことである（たとえば高いセキュリティリスクをもたらすポートの開放は不要である）。既述の制御システム１は、プロセス技術の施設部分が動的に追加されるまたは取り外されるモジュール化された施設に大いに適している。

Claims (6)

1. 証明書管理の一部として、技術施設の構成要素（７）に対する証明書の発行および取り消しを開始するように構成および設定されている、技術施設用の制御システム（１）、特に製造施設用またはプロセス施設用の制御システム（１）、において、
   当該制御システム（１）は、証明書の取り消しをイベント制御で自動的に開始するように構成および設定された、コンピュータ実装による取り消しサービス（１７）を含み、
   前記技術施設の構成要素（７）間の通信リンクの変更が、証明書の取り消しを開始するために考慮可能な１つのイベントを成す
   ことを特徴とする、技術施設用の制御システム（１）。
2. 前記取り消しサービス（１７）は、該取り消しサービス（１７）が取り消しリクエストを認証局（１３）に申請することにより、証明書の取り消しを開始するように構成および設定されており、
   前記取り消しサービス（１７）は、前記取り消しリクエストの処理をモニタリングする、またはモニタリングさせるように構成および設定されている、
   請求項１記載の制御システム（１）。
3. 証明書の取り消しが行われた後、該取り消しを当該制御システム（１）内で告知するように構成および設定されており、該告知は特にブロックリスト（１５）の形態で行われる、請求項１または２記載の制御システム（１）。
4. ａ）技術施設の構成要素への証明書の発行を、前記技術施設の制御システム（１）によって開始するステップと、
   ｂ）ある１つの特定のイベントに応答して、前記技術施設の前記制御システム（１）のコンピュータ実装による取り消しサービス（１７）によって、前記証明書の取り消しを自動的に開始するステップであって、前記技術施設の構成要素（７）間の通信リンクの変更が、前記証明書の取り消しの自動的な開始をトリガする１つのイベントを成すステップと、
   を含む方法。
5. 前記取り消しサービス（１７）は、証明書の取り消しを開始するために、取り消しリクエストを認証局（１３）に申請し、
   前記取り消しサービス（１７）は、前記取り消しリクエストの処理をモニタリングする、またはモニタリングさせる、
   請求項４記載の方法。
6. 証明書の取り消しが行われた後、該取り消しを前記制御システム（１）内で告知し、該告知を特にブロックリスト（１５）の形態で行う、請求項４または５記載の方法。

Images