JP6425984B2 - 産業用制御システム冗長通信／制御モジュール認証 - Google Patents

Description

関連するクロス・リファレンス
[0001] 本出願は、２０１３年８月６日に出願された国際出願番号ＰＣＴ／ＵＳ２０１３／０５３７２１「ＳＥＣＵＲＥＩＮＤＵＳＴＲＩＡＬＣＯＮＴＲＯＬＳＹＳＴＥＭ」の一部継続出願である。本出願は、２０１４年８月２７日に出願された米国特許出願シリアル番号１４／４６９，９３１「ＳＥＣＵＲＥ ＩＮＤＵＳＴＲＩＡＬ ＣＯＮＴＲＯＬ ＳＹＳＴＥＭ」の米国特許法§１２０の一部継続でもある。本出願は、２０１４年７月３０日に出願された米国特許出願シリアル番号１４／４４６，４１２「ＩＮＤＵＳＴＲＩＡＬ ＣＯＮＴＲＯＬ ＳＹＳＴＥＭ ＣＡＢＬＥ」の米国特許法§１２０の一部継続でもあり、２０１４年７月７日に出願された米国仮出願番号６２／０２１，４３８「ＩＮＤＵＳＴＲＩＡＬ ＣＯＮＴＲＯＬ ＳＹＳＴＥＭ ＣＡＢＬＥ」の特許法§１１９（ｅ）の優先権を主張する。米国仮出願番号６２／０２１，４３８、米国特許出願シリアル番号１４／４４６，４１２および１４／４６９，９３１、並びに、国際出願番号ＰＣＴ／ＵＳ２０１３／０５３７２１は、全体としてリファレンスとしてここに組み入れられる。

[0002] 産業制御システム（例えば標準産業制御システム、ＩＣＳ）またはプログラム可能なオートメーション・コントローラ、ＰＡＣは、工業生産（例えば安全基準（例えばＩＥＣ１５０８）に保証される管理制御およびデータ収集（ＳＣＡＤＡ）システム、分散制御システム（ＤＣＳ）、プログラマブル論理コントローラ（社）および産業安全システム）において、使用する様々な形の制御装置を包含する。これらのシステムが、電気、水および廃水、油およびガス生産および精製、化学、食品、医薬およびロボット工学を含む産業において、使われる。プロセス変数を測定するために様々な形のセンサから集められる情報を使用して、産業制御システムからのオートメーション化したおよび／またはオペレータ駆動管理命令は、さまざまなアクチュエータ装置（例えば制御弁、油圧アクチュエータ、磁気アクチュエータ、電気的スイッチ、モーター、ソレノイド、など）に発信されることがありえる。これらのアクチュエータ装置はセンサからデータを集める。そして、センサシステム（開閉弁およびブレーカ）は弁を制御する。そして、モーターは警報状態などに関し工業処理をモニタする。

[0003] 他の例において、ＳＣＡＤＡシステムは、地理的に広く分離されることができるプロセス・サイトを有する開ループ制御を使用することがありえる。管理データをより中心にある一つ以上の制御に送信するために、これらのシステムは、リモート・ターミナル・ユニット、Ｒｅｍｏｔｅ Ｔｅｒｍｉｎａｌ Ｕｎｉｔｓ、ＲＴＵｓを使用する。ＲＴＵのものを配備するＳＣＡＤＡアプリケーションは、流体パイプライン、電気分布および大きい通信システムを包含する。ＤＣＳシステムが、広帯域の、ロー・レーテンシ・データ・ネットワークによって、リアルタイムデータ収集および連続制御に関し全般的に使われて、大きなキャンパス工業処理プラント（例えば油およびガス、精製、化学薬品、医薬、食品および飲料、水および廃水、パルプおよび紙、有用性パワーおよび鉱業および金属）において、使われる。ＰＬＣが、より典型的にブールのおよび経時的なロジック・オペレーションおよびタイマーを提供して、連続制御と同様に、しばしば独立型機械およびロボット工学において、使われる。更に、建物、空港、船、宇宙ステーション、ヒーティング、ベンチレーションおよびエアコンディショニング（ＨＶＡＣ）装置およびエネルギー消費をモニタおよび制御するために、ＩＣＥおよびＰＡＣシステムが、施設プロセスで使われることがありえる。産業制御システムが進化するにつれて、新技術はこれらのさまざまなタイプの制御システムの態様を結合している。例えば、ＰＡＣｓは、ＳＣＡＤＡ、ＤＣＳおよびＰＬＣの態様を包含することがありえる。

[0004] この開示の各種実施形態によれば、安全な産業制御システムは、一つ以上の産業エレメントを駆動する一つ以上の産業エレメントおよび一組の冗長な通信／制御モジュールを包含する。冗長な通信／制御モジュールのセットは、少なくとも第１の通信／制御モジュールおよび２台目の通信／制御モジュールを包含する。以下のオペレーションを包含している認証シーケンス（時々「ハンドシェイク」と称する）を実行するために、第１および第２の通信／制御モジュールは、第１の通信／制御モジュールから２台目の通信／制御モジュールまでリクエスト・データグラムを送信するステップであって、
第１のノンスを包含しているリクエスト・データグラム、第１のデバイス認証キー証明書および第１のアイデンティティは、証明書に起因していることを特徴とする、リクエスト・データグラムを送信するステップと、第２の通信／制御モジュールから第１の通信／制御モジュールまで応答データグラムを送信するステップであって、
第２のノンスを包含している応答データグラム、第１および第２のノンスを伴う第１のシグニチャー、第２のデバイス認証キー証明書および第２のアイデンティティは証明書に起因していることを特徴とする、応答データグラムを送信するステップと、
応答データグラムが有効であるとき、第１の通信／制御モジュールから第２の通信／制御モジュールまで認証データグラムを送信するステップとを、有し、
認証データグラムは、第１および第２のノンスを伴う第２のシグニチャーを包含する。

[0005] いくつかの実施形態では、各通信／制御モジュールは、認証シーケンスを実行する。冗長要素が互いを認証することを必要とすることは、システム・セキュリティを劣化させるイベントを防止することがありえる。例えば、一つ以上のピア通信／制御モジュールによる認証は、システムに悪意をもって、または、意図せずにもたらされている偽であるか傷つけられた通信／制御モジュールを防止できる。第１の通信／制御モジュールおよび第２の通信／制御モジュールが認証シーケンスを完成することに失敗するならば、新しく導かれたデバイスおよび／または両方のデバイスはセキュリティ違反を防止するために部分的に、または、完全に使用不能でありえ、または、結果としてなることを害する（例えば、製造欠陥、それられた制御パラメータ、悪意のある干渉、データ損失／破損など）。

[0006] 第１の通信／制御モジュールは、プロセッサによって、実行可能な一組の命令を支持している少なくとも一つのプロセッサおよび非一時的な媒体を包含する。命令のセットは、第２の通信／制御モジュールに、リクエスト・データグラムを送り、
第１のノンスを包含しているリクエスト・データグラム、第１のデバイス認証キー証明書および第１のアイデンティティは、証明書に起因し、第２の通信／制御モジュールから、応答データグラムを受信し、
第２のノンスを包含している応答データグラム、第１および第２のノンスを伴う第１のシグニチャー、第２のデバイス認証キー証明書および第２のアイデンティティは証明書に起因し、
応答データグラムが有効であるとき、第２の通信／制御モジュールに認証データグラムを送り、
第２のシグニチャーを包含している認証データグラムは、第１および第２のノンスと関連する。

[0007] 第２の通信／制御モジュールは、プロセッサによって、実行可能な一組の命令を支持している少なくとも一つのプロセッサおよび非一時的な媒体を包含する。命令のセットは、第１の通信／制御モジュールから、リクエスト・データグラムを受信し、
第１のノンスを包含しているリクエスト・データグラム、第１のデバイス認証キー証明書および第１のアイデンティティは、証明書に起因し、
リクエスト・データグラムが有効であるときに、第１の通信／制御モジュールに応答データグラムを送り、
第２のノンスを包含している応答データグラム、第１および第２のノンスを伴う第１のシグニチャー、第２のデバイス認証キー証明書および第２のアイデンティティは証明書に起因する。第2の通信／制御モジュールは更に、第１の通信／制御モジュールから、認証データグラムを受信し、
第２のシグニチャーを包含している認証データグラムは、第１および第２のノンスと関連し、
第１の通信／制御モジュールに、応答する認証データグラムを送り、
シグニチャーを包含している応答する認証データグラムは、第１のノンスおよび成功または失敗メッセージと関連する。

[0008] 詳細な説明において、下に更に記載される単純化された様態の概念の選択を導くために、この要約は、提供される。（この要約は請求された内容の鍵となる特徴または基本的特徴を確認することを目的としないし、請求された内容の範囲を決定する際の援助として使われることを、それは目的としない。）
[0009] 詳細な説明は、添付の図に関して記載される。説明および図の異なる事例の同じ参照番号の使用は、類似または同一のアイテムを示すことができる。

[0010] 図１は、現在の開示の実施形態に従って一組の冗長な通信／制御モジュールを包含している産業制御システムを例示しているブロック図である。 [0011] 図２は、現在の開示の実施形態に従って第2の通信／制御モジュールを有する認証シーケンスを実行している第１の通信／制御モジュールを例示しているブロック図である。 [0012] 図３は、現在の開示の実施形態に従って通信／制御モジュールを例示しているブロック図である。 [0013] 図４は、例に従って第2の通信／制御モジュールで現在の開示の実施形態を認証している第１の通信／制御モジュールにより実行される認証シーケンスを例示しているフロー図である。 [0014] 図５は、現在の開示の実施形態に従って第１の通信／制御モジュールにより実行される認証シーケンス（例えば、図４にて図示したように）に応答して第2の通信／制御モジュールにより実行される応答する認証シーケンスを例示しているフロー図である。

[0015] 産業制御システムにおいて、さまざまな産業用なエレメント／サブシステム（例えば、入出力（Ｉ／Ｏ）モジュール、パワー・モジュール、プロセス・センサおよび／またはアクチュエータ、スイッチ、ワークステーションおよび／または物理的な相互接続デバイス）は、制御エレメント／サブシステム（例えば、通信／制御モジュール）により制御されまたは駆動される。強化されたスループットおよび／または冗長性（すなわち、他一つであるが失敗するときに、モジュールがとる一つの制御）を達成するために、2以上の通信／制御モジュールは、並列および／または「マスター・スレーブ」構成において、作動することがありえる。制御サブシステムが2以上の冗長な通信／制御モジュールを包含する場合、特にハンドオフが第２の「スレーブ」通信／制御モジュールに主要な「マスター」通信／制御モジュールの間に発生する所で、導かれている偽の、傷つけられたまたは、未許可の（例えば、非ＯＥＭ）通信／制御モジュールに、産業制御システムはより弱くありえる。例えばマスターで、ある失敗の間の未許可のスレーブに対するハンドオフ制御またはオーバーロード・イベントの不知がある。欠陥、それられた制御パラメータ、悪意のある干渉、データ損失／破損、などを製造することから、これは、減損するセキュリティおよび／またはパフォーマンスに至ることがありえる。

[0016] 未許可のデバイスが産業制御システムにもたらされるのを防止することに関し、現在の開示は、産業制御システム通信／制御モジュール、サブシステムおよび技術に向けられる。実装において、予定の時間および／または他のあらかじめ定義されたイベントで、新規な通信／制御モジュールが、スタートアップ／リセットで、周期的に取り付けられる認証シーケンス（時々「ハンドシェイク」と呼ばれる）を実行するために、2以上の冗長な通信／制御モジュール（例えば、第１の通信／制御モジュールおよび第2の通信／制御モジュール）は、構成される。冗長な通信／制御モジュールが互いを認証することに失敗するときに、通信／制御モジュール（例えば、証明されてない通信／制御モジュール）の少なくとも１台は部分的に、または、完全に使用不能でありえておよび／または他のデバイスと通信するのを制限されることがありえる。
実装例
[0017] 図１は、現在の開示の実施形態に従って、産業制御システム１００を例示する。実施形態において、産業制御システム１００は産業制御システム（ＩＣＳ）、プログラム可能なオートメーション・コントローラ（ＰＡＣ）、管理制御およびデータ収集（ＳＣＡＤＡ）システムから成ることができる。そして、分散制御システム（ＤＣＳ）、プログラマブル論理コントローラ（ＰＬＣ）および産業安全システムが安全基準（例えばＩＥＣ１５０８等）で保証される。図１に示すように、産業制御システム１００は、一つ以上の制御エレメントにより制御されるかまたは駆動される一つ以上の産業エレメント（例えば、入出力モジュール、パワー・モジュール、センサ、アクチュエータ、スイッチ、ワークステーションおよび／または物理的な相互接続デバイス）またはシステムの全体にわたって割り当てられるサブシステム１０２を包含する。いくつかの実施形態では、制御エレメントまたはサブシステム１０２は一組の冗長な通信／制御モジュール１０６を包含する。ここで、通信／制御モジュール１０６は失敗／オーバーロード・イベントが生じた場合互いに関し並列および／または引き継ぎ制御において、作動する力を与えられる。例えば、制御エレメント／サブシステム１０２を占めている一組の冗長な通信／制御モジュール１０６に、一つ以上のＩ／Ｏモジュール１０４は、接続していることができる。産業制御システム１００は、Ｉ／Ｏモジュール１０４へ／から伝達するデータに構成される。Ｉ／Ｏモジュール１０４は、入力モジュール、出力モジュールおよび／または入出力モジュールを含むことがありえる。例えば、入力モジュールはその過程で入力装置１３０（例えば、センサ）から情報を受信するために用いることがありえる。その一方で、出力モジュールが出力デバイス（例えば、アクチュエータ）に伝達する命令に用いられることがありえる。例えば、Ｉ／Ｏモジュール１０４は、ガス工場、精練所、などに関し配管の圧力を測定することに関しプロセス・センサに接続していることがありえておよび／または弁、バイナリまたは複数のステート・スイッチ、送信機、等を制御することに関し、プロセス・アクチュエータに接続していることがありえる。フィールド・デバイス１３０は、直接、または、ネットワーク接続を介して、ＩＯモジュール１０４に通信で連結する。これらのデバイス１３０は、制御弁、油圧アクチュエータ、磁気アクチュエータ、モーター、ソレノイド、電気的スイッチ、送信機、入力センサ／受信機（例えば、照明、放射線、ガス、温度、電気、磁気および／または、音響センサ）通信下位バス、などを包含することがありえる。

[0018] 実装において、モジュール１０４がそうであることがありえるＩ／Ｏは、システム１００が集める産業制御を使用した重要なインフラおよび／または工業処理を含むが必ずしもこれに限らずアプリケーション、例えば製品製造、そして、製作、有用性パワー生成、油、ガスおよび化学精製、建物、空港、船および宇宙ステーション（例えば、ＨＶＡＣ装置およびエネルギー消費をモニタ及び制御するために）に関し医薬、食品、および飲料、パルプ、および紙、金属、および鉱業および施設および大規模なキャンパス工業処理で使用される。

[0019] 実装において、センサからデジタルデータ（例えばアナログ／デジタルコンバータ（ＡＤＣ）回路、などを用いて）まで受信されるアナログ・データを変換するために、Ｉ／Ｏモジュール１０４は、構成されることがありえる。例えば、モジュール１０４がそうであることもありえるＩ／Ｏはモーターであるか調整している弁または電気リレーを一つ以上のプロセス・アクチュエータに接続した、そして、他はアクチュエータの中で形をなして、制御にモーター（例えば運動速度、運動トルクまたは電気リレーなどの調整している弁または状態の位置）の一つ以上の作動している特性を構成した。更に、アクチュエータ（例えばデジタル／アナログ（ＤＡＣ）回路、などを用いて）にデジタルデータをアナログの送信のためのデータに変換するために、Ｉ／Ｏモジュール１０４が構成されることがありえる。実装において、一つ以上のＩ／Ｏモジュール１０４は、通信下位バス（例えばイーサネット（登録商標）・バス、Ｈ１フィールド・バス、プロセスフィールドバス、Ｐｒｏｃｅｓｓ Ｆｉｅｌｄ Ｂｕｓ、ＰＲＯＦＩＢＵＳ、ハイウェーアドレス可能リモートトランスデューサ（HighwayＡｄｄｒｅｓｓａｂｌｅ Ｒｅｍｏｔｅ Ｔｒａｎｓｄｕｃｅｒ（ＨＡＲＴ）バス、Ｍｏｄｂｕｓなど）を介して通信することに関し構成される通信モジュールを含むことがありえる。更に、2以上のＩ／Ｏモジュール１０４は、さまざまなフィールド・デバイス１３０（例えば制御弁、油圧アクチュエータ、磁気アクチュエータ、モーター、ソレノイド、電気的スイッチ、送信機、入力センサ／受信機（例えば、照明、放射線、ガス、温度、電気、磁気および／または、音響センサ）通信下位バス、など）に関し辛抱強い漏電および冗長な接続を提供するために用いることがありえる。

[0020] 一つのＩ／Ｏモジュール１０４と他のＩ／Ｏモジュール１０４を区別することに関し、各Ｉ／Ｏモジュール１０４は、ユニーク識別子（ＩＤ）により提供されることがありえる。実装において、それが産業制御システム１００に接続するときに、Ｉ／Ｏモジュール１０４はそのＩＤにより確認される。複数のＩ／Ｏモジュール１０４は、産業制御１００によって、冗長性を提供するために用いることがありえる。例えば、2以上のＩ／Ｏモジュール１０４は、プロセス・センサおよび／またはアクチュエータに接続していることがありえる。各Ｉ／Ｏモジュール１０４は、Ｉ／Ｏモジュール１０４（例えば印刷回路基板（ＰＣＢ）、など）で包含されるハードウェアおよび回路への物理的な接続に供給する一つ以上のポートを包含することがありえる。例えば、ケーブルをＩ／Ｏモジュール１０４のプリント配線板（ＰＷＢ）に接続するケーブルに関し、各Ｉ／Ｏモジュール１０４は、接続を包含する。

[0021] 以下を含むが必ずしもこれに限らず他のネットワークに接続することに関し、以下の一つ以上のＩ／Ｏモジュール１０４は、インターフェースを包含することがありえる：広い領域セルラ電話ネットワーク（例えばモバイル通信（ＧＳＭ）ネットワークに関し３Ｇセルラー電話網、４ Ｇのセルラー電話網またはグローバルシステム）、無線コンピュータ通信ネットワーク（例えばＷｉ―Ｆｉネットワーク（例えば、無線ＬＡＮ（ＷＬＡＮ）はＩＥＥＥ ８０２．１１ネットワーク標準を使用）、パーソナルエリアネットワーク（ＰＡＮ）（例えば、Ｗｉｒｅｌｅｓｓ ＰＡＮ（ＷＰＡＮ）はＩＥＥＥ ８０２．１５ネットワーク標準を使用）、ワイド・エリア・ネットワーク（ＷＡＮ）、イントラネット、エクストラネット、インターネット、インターネット、など。Ｉ／Ｏモジュール１０４をコンピュータバスなどに接続することに関し、更なる一つ以上のＩ／Ｏモジュール１０４は、接続を包含することがありえる。

[0022] Ｉ／Ｏモジュール１０４をモニタして、制御して、一緒に2以上のＩ／Ｏモジュール１０４を接続するために、通信／制御モジュール１０６は用いることがありえる。開示の実施形態において、Ｉ／Ｏモジュール１０４に関し固有ＩＤに基づく産業制御システム１００に、Ｉ／Ｏモジュール１０４が接続しているルーティング・テーブルを、通信／制御モジュール１０６は更新することがありえる。更に、複数の冗長なＩ／Ｏモジュール１０４が用いられるときに、データがＩ／Ｏモジュール１０４から受信されておよび／またはそれに発信されるにつれて、各通信／制御モジュール１０６はＩ／Ｏモジュール１０４に関して情報のデータベースのミラーリングを実装することがありえ、それらを更新することがありえる。上記のように、2以上の通信／制御モジュール１０６は、冗長性を提供するために用いる。例えばスタートアップ（リセット）を含むあらかじめ定義されたイベントまたは新規な通信／制御モジュール１０６（通信／制御モジュール１０６の置換）の設置が、周期的に、時間、などを予定した時間で互いを認証するために認証シーケンスまたは握手を実行するために、通信／制御モジュール１０６は、構成される。

[0023] 図２は、第１の通信／制御モジュール１０６Ａと認証シーケンスのパフォーマンスの第2の通信／制御モジュール１０６Ｂの間に送信される典型的なデータグラム２００を示す。認証シーケンスを開始するために、リクエスト・データグラム２０２を第2の通信／制御モジュール１０６Ｂに発信するために、第１の通信／制御モジュール１０６Ａは、構成される。実装において、リクエスト・データグラム２０２は第１のプレーンテキスト・ノンス（ＮｏｎｃｅＡ）を包含する。そして、第１のデバイス認証キー証明書（ＣｅｒｔＤＡＫＡ）が第１のデバイス認証キー（ＤＡＫＡ）および第１のアイデンティティ属性証明書（ＩＡＣＡ）を含む。いくつかの実施形態では、真性乱数発生器（以下「ＴＲＮＧ」）を有する第１のノンス（ＮｏｎｃｅＡ）を生成して、リクエスト・データグラム２０２を生成するために第１のノンス（ＮｏｎｃｅＡ）め、第１のデバイス認証キー証明書（ＣｅｒｔＤＡＫＡ）および第１のアイデンティティ属性証明書（ＩＡＣＡ）を連結するかまたは結合するために、第１の通信／制御モジュール１０６Ａは構成される。いくつかの実施形態では、第１のデバイス認証キー証明書（ＣｅｒｔＤＡＫＡ）および第１のアイデンティティ属性証明書（ＩＡＣＡ）は、第１の通信／制御モジュール１０６Ａによって、地元に記憶される。例えば、証明書は、第１の通信／制御モジュール１０６Ａのローカルメモリ（例えば、ＲＯＭ、ＲＡＭ、フラッシュ・メモリまたは他の非一時的なストレージ媒体）に記憶されることができる。

[0024] 第１のデバイス認証キー証明書（ＣｅｒｔＤＡＫＡ）およびデバイス・ライフサイクル管理システム（ＤＬＭ）により生成されるかまたは暗号のライブラリ機能を利用して得られるパブリック・キーを有する第１のアイデンティティ属性証明書（ＩＡＣＡ）を検査することによって、リクエスト・データグラムを確認するために、第2の通信／制御モジュール１０６Ｂは、構成される。この点に関しては、パブリック鍵が、ＳＲＡＭまたは通信／制御モジュール１０６の他のローカルメモリに記憶されることができて、検査する暗号のライブラリ機能によって、用いられることが可能であるかまたは暗号によって、交換されたデータ（例えば通信／制御モジュール１０６の間で交換されるノンス）に署名されることができる。いくつかの実施形態では、第2の通信／制御モジュール１０６Ｂは、楕円カーブ・デジタル署名アルゴリズム（以下「ＥＣＤＳＡ」）または他の確認オペレーションを有する証明書を検査できる。いくつかの実施形態では、以下を検査することによって、プレーンテキスト値から証明書値を確認するために、第2の通信／制御モジュール１０６Ｂは、更に構成されることができる：証明書タイプは、各証明書に関しデバイス認証キー（以下「ＤＡＫ」）またはアイデンティティ属性証明書（以下「ＩＡＣ」）である、ＩＡＣ名マッチ、ＤＡＫ証明書モジュール・タイプ・マッチ・モジュール・タイプ引数、および／または互いにメッセージペイロード・マッチの各証明書のマイクロプロセッサ出願番号（以下「ＭＰＳＮ」）。いくつかの実施形態では、第2の通信／制御モジュール１０６ＢはＤＡＫを検査するために更に構成されることができる。そして、ローカル取り消しリスト（例えば、無効にされたおよび／または無効な証明書を包含しているリストまたはデータベース）において、ＩＡＣ証明書はない。第2の通信／制御モジュール１０６Ｂがリクエスト・データグラムを確認することに失敗するときに、第2の通信／制御モジュール１０６Ｂはエラー・メッセージを生成できるか、部分的にまたは完全に第１の通信／制御モジュール１０６Ａを無効にする、および／または、第１の通信／制御モジュール１０６Ａに出入りする、通信を中断するかまたは制限する。

[0025] 有効なリクエスト・データグラム２０２に応答して、応答データグラム２０４を第１の通信／制御モジュール１０６Ａに発信するために、第2の通信／制御モジュール１０６Ｂは、構成される。実装において、応答データグラム２０４が第2のプレーンテキスト・ノンス（ＮｏｎｃｅＢ）を包含すること、第１および第２のノンスと関係している第１のシグニチャー（ＳｉｇＢ［ＮｏｎｃｅＡ｜｜ＮｏｎｃｅＢ］）、第2のデバイス認証キー（ＤＡＫＢ）を含んでいる第2のデバイス認証キー証明書（ｃｅｒｔＤＡＫＢ）および第2のアイデンティティ属性証明書（ＩＡＣＢ）。いくつかの実施形態では、ＴＲＮＧを有する第2のノンス（ＮｏｎｃｅＢ）を生成して、第１のノンス（ＮｏｎｃｅＡ）めおよび第2のノンス（ＮｏｎｃｅＢ）を連結するかまたは結合して、第2の通信／制御モジュール１０６Ｂによって、地元に記憶されるプライベートな鍵（例えば、ＤＡＫ）を有する連結された／複合ノンスに署名するために、第2の通信／制御モジュール１０６Ｂは、構成される。第2のノンス（ＮｏｎｃｅＢ）を連結するかまたは結合するために構成されて、モジュール１０６Ｂが更にある第2の通信／制御、第１および第２のノンスと関係している第１のシグニチャー（ＳｉｇＢ［ＮｏｎｃｅＡ｜｜ＮｏｎｃｅＢ］）、第2のデバイス認証キー証明書（ｃｅｒｔＤＡＫＢ）および応答データグラム２０４を生成する第2のアイデンティティ属性証明書（ＩＡＣＢ）。いくつかの実施形態では、第2のデバイス認証キー証明書（ＣｅｒｔＤＡＫＢ）および第2のアイデンティティ属性証明書（ＩＡＣＢ）は、第2の通信／制御モジュール１０６Ｂによって、ローカルに記憶される。例えば、証明書は、第2の通信／制御モジュール１０６Ｂのローカルメモリ（例えば、ＲＯＭ、ＲＡＭ、フラッシュ・メモリまたは他の非一時的なストレージ媒体）に記憶されることができる。

[0026] 第2のデバイス認証キー証明書（ＣｅｒｔＤＡＫＢ）およびローカルに記憶されるかまたはＥＣＤＳＡまたは他の確認オペレーションを利用している暗号のライブラリから取り出されるパブリック・キーを有する第2のアイデンティティ属性証明書（ＩＡＣＢ）を検査することによって、応答データグラムを確認するために、第１の通信／制御モジュール１０６Ａは、構成される。いくつかの実施形態では、以下を検査することによって、プレーンテキスト値から証明書値を確認するために、第１の通信／制御モジュール１０６Ａは、更に構成されることができる。証明書がＭＰＳＮｓに適合させて有するＩＡＣ及びＤＡＫ、ＩＡＣはマッチを挙げる、両方の証明書（ＩＡＣ及びＤＡＫ）（名前が両方の証明書にある正しい発行人）を、タイプがそうである証明書はオン修正する。そして、ＤＡＫモジュール・タイプは正しいタイプ（例えば、モジュールが＝通信／制御モジュールを入力するかどうかみなすチェック）である。いくつかの実施形態では、第１の通信／制御モジュール１０６ＡはＤＡＫを検査するために更に構成されることができる。そして、ＩＡＣ証明書はローカル取り消しリストにおいて、ない。

[0027] 応答データグラムを確認する第１の通信／制御モジュール１０６Ａは、第１のおよび第２のノンスを伴う第１シグニチャーを検査するために、更に構成される（ｓｉｇＢ［ＮｏｎｃｅＡ｜｜ＮｏｎｃｅＢ］）。いくつかの実施形態では、第１の通信／制御モジュール１０６Ａは、第１シグニチャーを検査するために構成される（ｓｉｇＢ［ＮｏｎｃｅＡ｜｜ＮｏｎｃｅＢ］）第2の通信／制御モジュール１０６Ｂから受信される最初にローカルに格納されたノンス（ＮｏｎｃｅＡ）および第2の平文ノンス（ＮｏｎｃｅＢ）を連結することによって、第１の暗号化署名をｖｅｒｆｙｉｎｇする（ｓｉｇＢ［ＮｏｎｃｅＡ｜｜ＮｏｎｃｅＢ］）パブリック・デバイス認証キー（例えばｃｅｒｔＤＡＫＢからＤＡＫＢを用いて）および第１のノンスおよび第2のノンスのローカルに生成された連結を第１のノンスおよび第2のノンスの暗号により検査された連結と比較することを有する。第１の通信／制御モジュール１０６Ａが応答データグラムを確認することに失敗するときに、第１の通信／制御モジュール１０６Ａはエラー・メッセージを生成できるか、部分的にまたは完全に第2の通信／制御モジュール１０６Ｂを無効にする、および／または、第2の通信／制御モジュール１０６Ｂに出入りする、通信を中断するかまたは制限する。

[0028] 応答データグラム２０４が有効であるときに、認証データグラム２０６を第2の通信／制御モジュール１０６Ｂに発信するために、第１の通信／制御モジュール１０６Ａは更に構成される。実装において、認証データグラム２０６は、第１および第２のノンスを伴う第2のシグニチャーを包含する（ｓｉｇＡ［ＮｏｎｃｅＡ｜｜ＮｏｎｃｅＢ］）。実施形態によっては、第１および第２のノンスのローカルに生成された第１の通信／制御モジュール１０６Ａによって、ローカルに記憶されるプライベートな鍵（例えば、ＤＡＫ）と署名するために、第１の通信／制御モジュール１０６Ａは構成される。応答データグラムが無効であるときに、第2のノンスおよびエラーを報告しているメッセージ（例えば、「失敗」）と関連したシグニチャーを包含している「失敗した」認証データグラム２０６と、認証データグラム２０６は、置き換えられることが可能である（ｓｉｇＡ［ＮｏｎｃｅＢ｜｜Ｅｒｒｏｒ］）第１の通信／制御モジュール１０６Ａによって、生成する。

[0029] 認証データグラム２０６に応答して、応答する認証データグラム２０８を第１の通信／制御モジュール１０６Ａに発信するために、第2の通信／制御モジュール１０６Ｂは、更に構成されることができる。実装において、応答する認証データグラム２０８は、第１のノンスおよびエラーを報告しているメッセージ（例えば、「成功」または「失敗」）と関連したシグニチャーを包含する（ｓｉｇＢ［ＮｏｎｃｅＡ｜｜Ｅｒｒｏｒ］）第2の通信／制御モジュール１０６Ｂによって、生成する。いくつかの実施形態では、第１および第２のノンスを伴う第2のシグニチャーを検査することによって、認証データグラム２０６を確認するために、第2の通信／制御モジュール１０６Ｂは構成される（ｓｉｇＡ［ＮｏｎｃｅＡ｜｜ＮｏｎｃｅＢ］）。いくつかの実施形態では、第2の通信／制御モジュール１０６Ｂは、第2のシグニチャーを検査するために構成される（ｓｉｇＡ［ＮｏｎｃｅＡ｜｜ＮｏｎｃｅＢ］）第１の通信／制御モジュール１０６Ａおよび第2のローカルに格納されたノンス（ＮｏｎｃｅＢ）から受信される第１平文ノンス（ＮｏｎｃｅＡ）を連結することによって、第2の暗号化署名を検査する（ｓｉｇＡ［ＮｏｎｃｅＡ｜｜ＮｏｎｃｅＢ］）パブリック・デバイス認証キー（例えばｃｅｒｔＤＡＫＡからＤＡＫＡを用いて）および第１のノンスおよび第2のノンスのローカルに生成された連結を第１のノンスおよび第2のノンスの暗号により検査された連結と比較することを有する。メッセージを報告しているエラーに加えて、第2の通信／制御モジュール１０６Ｂが認証データグラムを確認することに失敗するときに、第2の通信／制御モジュール１０６Ｂは部分的に、または、完全に第１の通信／制御モジュール１０６Ａを無効にすることができて、および／または第１の通信／制御モジュール１０６Ａに出入りする通信を中断できるかまたは制限できる。

[0030] 通信／制御モジュール１０６が「マスター・スレーブ」構成に従って配置される実装において、マスター（例えば、第１の通信／制御モジュール１０６Ａ）は、各スレーブを認証するために構成されることができる。失敗した認証が生じた場合、マスターは、証明されてないスレーブに出入りする通信を少なくとも部分的に抑制できるかまたは制限できる。別の実施形態として、マスターなしで平行に作動している2以上のスレーブ通信／制御モジュール１０６または2以上の通信／制御モジュール１０６は、互いを認証できる。部分的に、または、完全に使用不能になっている両方のデバイスまたは偽第２のデバイス（例えば、通信／制御モジュールを非始動する）に、失敗した認証は、結果としてなる場合がある。例えば、2以上の冗長な通信／制御モジュール１０６は、使用不能でありえるそれらが、正常に起動時に認証シーケンスまたは他のあらかじめ定義された時間／イベントを完了することを失敗するべきである。

[0031] 各通信／制御モジュール１０６は、本願明細書において、記載される機能を実行する力を与えられる回路および／またはロジックを包含できる。図３に示すように、半永久に、永久に記憶されるプログラム命令３０６を実行するために、３０２が構成した少なくとも一つのプロセッサを有する、または、一時的に非一時的な機械読み取り可読媒体３０４（例えばハードディスク装置（ＨＤＤ）、固体物理ディスク（ＳＤＤ）、光ディスク、磁気記憶デバイス、フラッシュドライブ、等）によるコントローラ３００を、通信／制御モジュール１０６の実施形態は、包含する。例えば、各通信／制御モジュール１０６は、それぞれ、図４および５に図示される認証イニシエータ配列４００および／または認証応答機シーケンス５００を実施するために構成されるコントローラ３００を包含できる。

[0032] 図４を参照する。第１の通信／制御モジュール１０６Ａ（すなわち、イニシエーター）により実装される認証イニシエーター・シーケンス４００は、以下を包含する：（４０２）第2の通信／制御モジュール１０６Ｂ（すなわち応答機）にリクエスト・データグラムを送信し、リクエスト・データグラムは、第１の１ノンス、第１のデバイス認証キー証明書および第１のアイデンティティ属性証明書を包含し、（４０４）第２の通信／制御モジュール１０６Ｂから応答データグラムを受信し、応答データグラムは、第2のノンス、第１および第２のノンスと関連した第１のシグニチャー、第２のデバイス認証キー証明書、および、第２のアイデンティティ属性証明書を包含し、（４０６）第１および第２のノンスと関連する第１のシグニチャーを検査することによって、応答データグラム、第２のデバイス認証キー証明書、および、第２のアイデンティティ属性証明書を確認し、そして、（４１０）応答データグラムが有効であるとき、第２の通信／制御モジュール１０６Ｂに認証データグラムを送信し、認証データグラムは、第１および第２のノンスに関連する第２のシグニチャーを包含し、または（４０８）応答データグラムが無効であるとき、第２の通信／制御モジュール１０６Ｂに失敗した認証データグラムを送信し、失敗した認証データグラムは、エラー・メッセージ、および、第２のノンスに関連したシグニチャーを包含する。

[0033] 図５を参照する。第２の通信／制御モジュール１０６Ｂにより実装される認証応答機シーケンス５００は、以下を包含する：（５０２）第１の通信／制御モジュール１０６Ａからリクエスト・データグラムを受信し、リクエスト・データグラムは、第１のノンス、第１のデバイス認証キー証明書、および、第１のアイデンティティ属性証明書を包含し、（５０４）第１のデバイス認証キー証明書および第１のアイデンティティ属性証明書を検査することによって、リクエスト・データグラムを確認し、（５０６）リクエスト・データグラムが有効であるとき、第１の通信／制御モジュール１０６Ａに応答データグラムを送信し、応答データグラムは、第２のノンス、第１および第２ノンスと関連した第１のシグニチャー、第2のデバイス認証キー証明書、および、第２のアイデンティティ属性証明書を包含し、（５０８）第１の通信／制御モジュール１０６Ａから認証データグラムを受信し、認証データグラムは第１および第２ノンスと関連する第２のシグニチャーを包含し、（５１０）第１および第２ノンスと関連する第2のシグニチャーを検査することによって、認証データグラムを確認し、そして、（５１２）第１の通信／制御モジュール１０６Ａに応答認証データグラムを送信し、応答認証データグラムが、成功または失敗メッセージ、および、第１ノンスと関連したシグニチャーを包含する。

[0034] いくつかの実施形態では、シーケンスまたはハンドシェイクを、例えば上の記載される認証シーケンス、冗長な通信／制御モジュール間の実行することによって、互いを認証するために、産業制御システム１００（例えばＩ／Ｏモジュール１０４、フィールド・デバイス１３０（例えばセンサまたはアクチュエータ）、パワー・モジュール１１２、物理的な相互接続デバイス、スイッチ、など）の他のエレメントは構成されることがありえる。例えば、それぞれ、互いを有する認証シーケンスを完成するために第１の通信／制御モジュール１０６Ａおよび第2の通信／制御モジュール１０６Ｂにより実施される認証機能またはオペレーションを実行するために、第１のＩ／Ｏモジュール１０４および第2のＩ／Ｏモジュール１０４は構成されることがありえる。

[0035] 図１を再度参照して、産業制御システム１００により送信されるデータはパケット化でありえる、すなわち、データの別々の部分はネットワーク制御情報、などとともにピン部から成るデータパケットに変換されることがありえる。産業制御システム１００はデータ伝送に関し一つ以上のプロトコルを使用することがありえる。そして、ビットを指向する同期データリンク層プロトコル、例えばＨｉｇｈ―Ｌｅｖｅｌデータリンク制御、ＨＤＬＣを包含する。いくつかの実施形態では、産業制御システム１００は、標準の国際標準化機構（ＩＳＯ）１３２３９、等に従ってＨＤＬＣを実装する。更に、2以上の制御モジュール１０６は、冗長なＨＤＬＣを実装するために用いることがありえる。しかしながら、ＨＤＬＣが例えば提供されて、現在の開示で拘束性のはずでない点に留意する必要がある。かくして、産業制御システム１００は、現在の開示に従って他のさまざまな通信プロトコルを使用することがありえる。

[0036] モニタリングに関し情報を使用するコンポーネントと交換しておよび／またはＩ／Ｏモジュール１０４（例えば一つ以上の制御ループ・フィードバック機構／コントローラ）を介して産業制御システム１００に接続しているフィールド・デバイス１３０（例えば、センサおよび／またはアクチュエータ計装）を制御することに関し、通信／制御モジュール１０６の一つ以上は、構成されることがありえる。実装において、コントローラは、マイクロコントローラ／Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｃｏｎｔｒｏｌｌｅｒ（PLC）、Ｐｒｏｐｏｒｔｉｏｎａｌ―Ｉｎｔｅｇｒａｌ―Ｄｅｒｉｖａｔｉｖｅ（ＰＩＤ）コントローラ、などとして構成されることがありえる。いくつかの実施形態では、例えば、ネットワークを介して一つ以上のＩ／Ｏモジュール１０４を一つ以上のコントローラに接続するために、Ｉ／Ｏモジュール１０４および通信／制御モジュール１０６は、ネットワーク・インターフェースを包含する。実装において、Ｉ／Ｏモジュール１０４をローカル・エリア・ネットワーク（ＬＡＮ）に接続することに関しギガビットイーサネット（登録商標）・インターフェースとして、ネットワーク・インターフェースは、構成されることがありえる。更に、2以上の通信／制御モジュール１０６は、冗長なギガビットイーサネット（登録商標）を実装するために用いることがありえる。しかしながら、ギガビットイーサネット（登録商標）が例えば提供されて、現在の開示で拘束性のはずでない点に留意する必要がある。かくして、通信／制御モジュール１０６を以下を含むが必ずしもこれに限らず他のさまざまなネットワークに接続することに関し、ネットワーク・インターフェースは、構成されることがありえる：広域セルラ電話ネットワーク（例えば３Ｇセルラー電話網、４Ｇのセルラー電話網またはＧＳＭネットワーク）、無線コンピュータ通信ネットワーク（例えばＷｉ―Ｆｉネットワーク（例えば、ＷＬＡＮはＩＥＥＥ ８０２．１１ネットワーク標準を使用して作動）、ＰＡＮ（例えば、ＷＰＡＮはＩＥＥＥ ８０２．１５ネットワーク標準を使用して作動）、ＷＡＮ、イントラネット、エクストラネット、インターネット、インターネット、など。加えて、ネットワーク・インターフェースは、コンピュータバスを使用して実装されることがありえる。例えば、ネットワーク・インターフェースは、Ｐｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｎｅｃｔ（ＰＣＩ）カードインターフェース（例えばミニＰＣＩインターフェースなど）を包含することがありえる。更に、異なるアクセス・ポイント全体の単一のネットワークまたは複数のネットワークを包含するために、ネットワークは、構成されることがありえる。

[0037] 産業制御システム１００は、複数のソースから電力を受信することがありえる。例えば、ＡＣ電源は、パワーグリッド１０８（例えばＡＣ本線からのハイ電圧パワーを使用して）から供給される。ＡＣ電源は、ローカル・パワー生成（例えば、現場でのタービンまたはディーゼル・ローカル・パワー・ジェネレータ１１０）を使用して供給されることもありえる。パワー供給１１２は、パワーグリッド１０８から産業制御システム１００（例えばコントローラ、Ｉ／Ｏモジュール、など）のオートメーション装置まで電力を割り当てるために用いる。パワー供給１１２は、ローカル・パワー・ジェネレータ１１０から産業制御システム装置まで電力を割り当てるために用いることもありえる。産業制御システム１００は、複数の電池モジュールを用いてストアおよび戻るＤＣパワーに構成される追加（バックアップ）電動電源を包含することもありえる。例えば、パワー電源１１２は、ＵＰＳとして機能する。開示の実施形態において、複数のパワー供給１１２は、産業制御システム１００の中で、割り当てられることがありえる（例えば、物理的に分散する）。

[0038] いくつかの実施形態では、制御エレメント／サブシステムおよび／または産業エレメント（例えば、Ｉ／Ｏモジュール１０４、通信／制御モジュール１０６、パワー供給１１２、など）は、一つ以上のバックプレーン１１４によって、一緒に接続される。例えば、通信／制御モジュール１０６は、通信バックプレーン１１６によって、Ｉ／Ｏモジュール１０４に接続していることがありえる。更に、パワー供給１１２は、Ｉ／Ｏモジュール１０４におよび／またはパワー・バックプレーン１１８による通信／制御モジュール１０６に接続していることがありえる。いくつかの実施形態では、物理的な相互接続デバイス（例えば、限定的ではないが米国非仮出願シリアル番号１４／４４６，４１２に記載されるそれらのようなスイッチ、コネクタまたはケーブル）は、Ｉ／Ｏモジュール１０４、通信／制御モジュール１０６、パワー供給１１２およびおそらく他の産業制御システム装置に接続するために用いる。例えば、ケーブルは通信／制御モジュール１０６をネットワーク１２０に接続するために用いることがありえる、他のケーブルはパワー供給１１２をパワーグリッド１０８に接続するために用いることがありえる、他のケーブルはパワー供給１１２をローカル・パワー・ジェネレータ１１０、などに接続するために用いることがありえる。

[0039] いくつかの実施形態では、産業制御システム１００は、安全な制御システムを実装する。例えば、産業制御システム１００は、セキュリティ証明書ソース（例えば、工場１２２）およびセキュリティ証明書メーカー（例えば、キー管理エンティティ１２４）を包含する。固有のセキュリティ証明書（例えば、キー、証明書など（例えばユニーク識別子および／またはセキュリティ証明書）を生成するために、セキュリティ証明書ソースは、構成される。固有のセキュリティ証明書を有する制御エレメント／サブシステムおよび／または産業エレメント（例えば、ケーブル、デバイス１３０、Ｉ／Ｏモジュール１０４、通信／制御モジュール１０６、パワー供給１１２、など）がセキュリティ証明書ソースによって、生成した供給に、セキュリティ証明書メーカーは、構成される。

[0040] 産業制御システム１００の複数の（例えば、全て）レベルでセキュリティを提供することに関し、複数の（例えば、あらゆる）デバイス１３０、Ｉ／Ｏモジュール１０４、通信／制御モジュール１０６、パワー供給１１２、物理的な相互接続デバイスなどは、セキュリティ証明書によって、産業制御システム１００の中で配給されることがありえる。またさらに、などセンサおよび／またはアクチュエータを包含している制御エレメント／サブシステムおよび／または産業エレメントは、製造（例えば、出生時）の間、ユニークなセキュリティ証明書（例えば、などキー、証明書）により配給されることがありえて、産業制御システム１００の安全を進めることに関し、産業制御システム１００のキー管理エンティティ１２４によって、発生から管理されることがありえる。

[0041] いくつかの実施形態、センサおよび／またはアクチュエータを含む制御エレメント／サブシステムおよび／または産業エレメント間の通信などにおいて、産業制御システム１００は認証プロセスを包含する。センサおよび／またはアクチュエータなどを包含している制御エレメント／下位システムおよび／または産業エレメントを認証することに関し、認証プロセスは実行されることがありえる。そして、産業制御システム１００において、実装される。更に、そのエレメントおよび／または物理的な相互接続デバイスを認証することに関し、認証プロセスは、エレメントおよび／または物理的な相互接続デバイスと関連したセキュリティ証明書を利用することがありえる。例えば、セキュリティ証明書は、暗号化キー、証明書（例えば、一般のキー証明書、デジタル証明書、アイデンティティ証明書、セキュリティ証明書、非対称の証明書、標準証明書、非標準証明書）および／または識別番号を包含することがありえる。

[0042] 実装において、複数の制御エレメント／サブシステムおよび／またはシステム１００がそうである産業制御の産業エレメントは、それらの自分のものによって、ユニークなセキュリティ証明書に配給した。例えば、エレメントが製造される（例えば、キーおよび証明書の個々のセットはエレメントの発生で定められる）ときに、産業制御システム１００の各エレメントは証明書、暗号化キーおよび／または識別番号のそれ自身のユニークなセットにより配給されることができる。証明書、暗号化キーおよび／または識別番号のセットは、強い暗号化を提供して／サポートに関し構成される。暗号化キーは、標準（例えば、市販在庫品（ＣＯＴＳ）暗号化アルゴリズム（例えば国家安全保障局（ＮＳＡ）アルゴリズム、国立標準技術研究所（ＮＩＳＴ）アルゴリズム等）によって、実装することがありえる。

[0043] 例えば、通信／制御モジュール１０６のＳＲＡＭで、暗号鍵および証明書は、オンチップ・メモリ（ＯＣＭ）に記憶されることがありえる。加えて、感受性が高い作業（例えば、秘密情報を有する。そして、時々公的な情報を有するさえ作業）は、それがＯＣＭにおいて、実行するスタックを有することができる。例えば、ローカルにＯＣＭに記憶されるスタックから、暗号の作業は、カーネル空間またはアプリケーション空間において、遂行されることができる。

[0044] 認証プロセスの結果に基づいて、認証されているエレメントは活性化されることがありえる、エレメントの部分的な機能は産業制御システム１００の中で使用可能または使用不可にされることがありえる、エレメントの完全な機能は産業制御システム１００の中で許可されることがありえる、および／または、産業制御システム１００の中のエレメントの機能は完全に使用不能でありえる（例えば、産業制御システム１００のそのエレメントと他のエレメントの間に促進される通信でない）。

[0045] 実施形態において、産業制御システム１００のエレメントと関連したキー、証明書および／または識別番号は、そのエレメントのオリジナルの装置製造業者（ＯＥＭ）を特定することがありえる。本明細書において、デバイス（例えば、エレメント）および／またはデバイス（例えばデバイスを物理的な製造業者から購入して、デバイスを販売するエンティティ）の供給元を物理的に製造するエンティティとして、条件「相手先商標製造会社」または「ＯＥＭ」は、定義されることがありえる。かくして、実施形態で、物理的な製造業者およびデバイスの供給元であるＯＥＭによって、デバイスは、製造および供給されることがありえる（販売される）。しかしながら、他の実施形態では、デバイスは、供給元であるＯＥＭによって、割り当てられることがありえるが、物理的な製造業者でない。このような実施形態では、ＯＥＭは、デバイスに物理的な製造業者によって、製造させられることがありえる（例えばＯＥＭ缶購入、契約、オーダーなどで、ある物理的な製造業者からデバイス）。

[0046] 加えて、ＯＥＭがデバイスの物理的な製造者でない供給元から成る所で、デバイスは物理的な製造業者のブランドの代わりに供給元のブランドを支持することがありえる。例えば、エレメント（例えば、通信／制御モジュール１０６）が物理的な製造業者でなく供給元である特定のＯＥＭを伴う実施形態で、エレメントのキー、証明書および／または識別番号は、その起源を特定することがありえる。産業制御システム１００のエレメントの認証の間、判定がそれをされるときに、産業制御システム１００の一つ以上の他のエレメントのＯＥＭとは異なるエンティティによって、認証されているエレメントは製造されたかまたは出力された、そして、そのエレメントの機能は産業制御システム１００の中で少なくとも部分的に使用不能でありえる。例えば、限定は産業制御システム１００のそのエレメントと他のエレメントの間に通信（例えば、データ転送）に置かれることがありえる。そうすると、エレメントは働くことができなくて／産業制御システム１００の中で機能することができない。産業制御システム１００のエレメントの一つが置換を必要とするときに、知らずに非同種のエレメント（例えば、産業制御システム１００の残りのエレメントより異なる起源（異なるＯＥＭ）を有しているエレメント）にエレメントを置き換えて、産業制御システム１００のエレメントを実装するのを、この特徴は産業制御システム１００のユーザが防止することがありえる。このように、本願明細書において、記載される技術は、安全な産業制御システム１００に、他のＯＥＭのエレメントの置換を防止することがありえる。ある例では、始まっているＯＥＭにより提供されるエレメントの代わりに、同程度の機能性に供給するエレメントの置換は防止されることがありえる。これは、次のことの故である。置換されたエレメントは始まっているＯＥＭのシステムを認証することができなくて、それの範囲内で作動することができない。他の例では、第１の再販業者はエレメントが始まっているＯＥＭによって、物理的および暗号ラベルの１セットめを有して提供されることがありえる。そして、第１の再販業者のエレメントは産業制御システム１００に取り付けられることがありえる。この例では、エレメントがＯＥＭを発明している同じことによって、物理的および暗号ラベルの中でセットされる第２のもの（例えば、異なるもの）を有し、２人目の再販業者が提供されることがありえる。この例では、第2の再販業者のエレメントは産業制御システム１００の中で作動するのを防止されることができる。これは、それらは第１の再販業者のエレメントを認証することができなくて、それによって、作動することができないからである。しかしながら、また、第１の再販業者および第2の再販業者が双方の合意を結ぶことができることは注意すべきである。ここで、同じ産業制御システム１００を認証して、それの範囲内で作動するために、第１および第２のエレメントは構成されることがありえる。更に、実施形態によっては、合意が特定の顧客、顧客のグループ、施設などに適用するだけであるように、相互運用を許容する再販業者間の合意は実装されることもありえる
[0047] 他の事例において、ユーザは、産業制御システム１００の中で誤って指定された（例えば、ミスマーク）エレメントを実装することを試みることがありえる。例えば、エレメントが産業制御システム１００の他のエレメントのＯＥＭと同じＯＥＭを伴うことを、不正に示すそれにマークされる物理的な表示を、ミスマークエレメントを有することがありえる。かかる事例において、システム１００がそうすることがありえる産業制御により実装される認証プロセスは、エレメントが偽であるという警報を出されるユーザを生じさせる。このプロセスは産業制御システム１００に関し改良された保安を促進することもありえる。これは、次のことの故である。偽のエレメントはしばしば、悪意のあるソフトウェアが産業制御システム１００にもたらされることがありえるビークルである。実施形態において、認証プロセスは産業制御システム１００に関し安全なエアギャップを提供する。そして、安全な産業制御システムが不安定なネットワークから物理的に分離されることを確実にする。

[0048] 実装において、安全な産業制御システム１００は、キー管理エンティティ１２４を包含する。暗号法の暗号鍵（例えば、暗号化キー）を管理することに関し、キー管理エンティティ１２４は、構成されることがありえる。この暗号鍵（例えば、キー管理）を管理することは、キーの生成、交換、ストレージ、使用および／または置換を包含することがありえる。例えば、キー管理エンティティ１２４はセキュリティ証明書ソースとして役立つために構成される。そして、産業制御システム１００のエレメントに関しユニークなセキュリティ証明書（例えば、一般のセキュリティ証明書、秘密のセキュリティ証明書）を生成する。キー管理は、ユーザおよび／またはシステム・レベル（例えば、ユーザまたはシステム間のどちらか）でキーに関係する。

[0049] 実施形態において、キー管理エンティティ１２４は、安全なエンティティ（例えば安全な施設に位置決めされるエンティティ）から成る。キー管理エンティティ１２４は、Ｉ／Ｏモジュール１０４、通信／制御モジュール１０６およびネットワーク１２０から遠隔で位置決めされることがありえる。例えば、ファイアウォール１２６は、制御エレメントまたはサブシステム１０２からのキー管理エンティティ１２４およびネットワーク１２０（例えば、コーポレート・ネットワーク）を分離することがありえる。実装において、ルールセットに基づいて、ファイアウォール１２６は、データパケットを分析して、データパケットが許されるべきかどうか決定することによって、徹底的なおよび出て行くネットワーク・トラフィックを制御するソフトウェアまたはハードウェア・ベースのネットワークセキュリティシステムでありえる。ファイアウォール１２６は、固定されているとみなされなくて、信頼される（例えば、クラウドおよび／またはインターネット）信頼された、安全な内部ネットワーク（例えば、ネットワーク１２０）と他のネットワーク１２８の間の障壁をかくしてもたらす。実施形態において、ファイアウォール１２６は、キー管理エンティティ１２４と制御エレメントまたはサブシステム１０２および／またはネットワーク１２０の一つ以上の間に選択的な（例えば、安全な）通信を許容する。例において、一つ以上のファイアウォールは、産業制御システム１００の中でさまざまな位置で実装されることがありえる。例えば、ファイアウォールは、ネットワーク１２０のスイッチおよび／またはワークステーションに集積されることがありえる。

[0050] 安全な産業制御システム１００は、一つ以上の製造エンティティ（例えば、工場１２２）を更に含むことがありえる。製造エンティティは、産業制御システム１００のエレメントに関し、オリジナルの装置製造業者（ＯＥＭ）と関係していることがありえる。キー管理エンティティ１２４は、ネットワーク（例えば、クラウド）を介して、製造エンティティに通信で連結することがありえる。実装において、産業制御システム１００のエレメントが一つ以上の製造エンティティで製造されるときに、（例えば、暗号化された通信パイプラインを有することがありえる）エレメントに、キー管理エンティティ１２４は通信で連結することがありえる。製造の際にセキュリティ証明書（例えば、キー、証明書および／または識別番号をエレメントに挿入する）を有するエレメントに配給することに関し、キー管理エンティティ１２４は、通信パイプラインを利用することがありえる。

[0051] 更に、エレメントが使用（例えば、活性化される）に入れられるときに、キー管理エンティティ１２４は世界的に個々のエレメントに通信で連結することがありえ（例えば、暗号化された通信パイプラインを介して）、特定のコードの使用を確認することがありえて、署名することがありえて、いかなる特定のコードの使用も無効にすることがありえて（例えば、取り除く）、および／または、いかなる特定のコードの使用も可能にすることがありえる。かくして、エレメントが最初は製造される（例えば、生まれる）工場で、キー管理エンティティ１２４は各エレメントと通信することがありえる。そうすると、エレメントは管理されたキーで支えられる。産業制御システム１００の各エレメントに関しすべての暗号化キー、証明書および／または識別番号を包含しているマスタデータベースおよび／またはテーブルは、キー管理エンティティ１２４により維持されることがありえる。キー管理エンティティ１２４は、エレメントとのその通信によって、キーを無効にすることに関し構成される。それによって、コンポーネントの窃盗および再利用に対処する認証メカニズムの能力を進める。

[0052] 実装において、キー管理エンティティ１２４は、他のネットワーク（例えば、クラウドおよび／またはインターネット）およびファイアウォールで制御エレメント／サブシステム、産業エレメントおよび／またはネットワーク１２０の一つ以上に、通信で連結することがありえる。例えば、実施形態で、キー管理エンティティ１２４は、集中化したシステムまたは分散処理システムでありえる。そのうえ、実施形態で、キー管理エンティティ１２４は、ローカルに、または、遠隔で管理されることがありえる。いくつかの実装において、（例えば、統合された）ネットワーク１２０または制御エレメントまたはサブシステム１０２の範囲内で、キー管理エンティティ１２４は、位置決めされることがありえる。キー管理エンティティ１２４は、管理を提供することがありえておよび／またはさまざまな方法で管理されることがありえる。例えば、キー管理エンティティ１２４は、実装されることがありえて／管理されることがありえる。中央位置の顧客によって、個々の工場位置の顧客によって、外部の第三者管理会社によって、および／または産業用なものの異なる層の顧客によって、そして、層によって、異なる位置で、システム１００を制御する。

[0053] セキュリティ（例えば、計測可能な、ユーザを構成された量のセキュリティ）の様々なレベルは、認証プロセスにより提供されることがありえる。例えば、エレメントを認証して、エレメントの範囲内でコードを保護するベースは、セキュリティで水平に提供されることがありえる。セキュリティの他の層は、同様に加えられることがありえる。例えば、コンポーネント（例えば通信／制御モジュール１０６）が適当な認証が発生しなくて強化することができないかかる程度に、セキュリティは、実装されることがありえる。実装において、コードの暗号化はエレメントで実装される。その一方で、セキュリティ証明書（例えば、キーおよび証明書）はエレメントに実装される。セキュリティは、産業制御システム１００で、割り当てられることがありえる（例えば、フロー）。例えば、セキュリティはエンドユーザにずっと産業制御システム１００の中を流れることがありえる。そして、モジュールがその事例において、何を制御するように設計されているかについて知られている。実施形態において、認証プロセスは、暗号化（安全な通信に関しデバイスの識別およびシステム・ハードウェアまたはソフトウェア構成要素（例えば、デジタル署名を介して）の認証）を提供する。

[0054] 実装において、異なる製造業者／ベンダー／供給元（例えば、ＯＥＭ）により製造されておよび／または供給されるエレメントの安全な産業制御システム１００の中でインターオペラビリティを提供しておよび／または可能にするために、認証プロセスは、実装されることがありえる。例えば、異なる製造業者／ベンダー／供給元により製造されておよび／または供給されるエレメント間の選択的な（例えば、少し）インターオペラビリティは、許可されることがありえる。実施形態において、認証の間、実装されるユニークなセキュリティ証明書（例えば、キー）は階層を形成することがありえる。それによって、異なる機能が産業制御システム１００の異なるエレメントにより実行されるのを許す。

[0055] そこにおいて、配置されて（例えば、射出しておよび／または押し込んだ）、産業制御システム１００のコンポーネントを接続している通信リンクはデータパケット（例えば小人パケット（例えば、６４バイトより小さいパケット）を更に使用することがありえる。そして、セキュリティの加算レベルを提供する。外側の情報（例えば、悪意のあるコンテンツ（例えばなど虚偽のメッセージ、破壊工作ソフト（ウイルス）、データマイニング・アプリケーション）が通信リンク上に射出されることがありえる問題点のレベルをラント・パケットの使用が上昇させる。例えば、通信リンク上に悪意のあるコンテンツを射出する外部のエンティティの能力を妨げるために第１の通信／制御モジュール１０６Ａと第2の通信／制御モジュール１０６Ｂの間に送信されるデータパケット間のギャップの範囲内で、小人パケットは、通信リンク上に射出されることがありえる。

[0056] 全般的に、本願明細書において、記載される機能のいずれか、ハードウェア（例えば、固定ロジック回路（例えば集積回路）、ソフトウェア、ファームウェア、手動処理またはそれらの組み合わせを用いて実装されることがありえる。かくして、全般的に上記の開示において、述べられるブロックは、ハードウェア（例えば、固定ロジック回路（例えば集積回路）、ソフトウェア、ファームウェアまたはそれらの組み合わせを表す。ハードウェアの構成の事例において、上記の開示において、述べられるさまざまなブロックは、他の機能と一緒の集積回路として実装されることができる。かかる集積回路は、伝えられたブロック（システムまたは回路）の機能またはブロック（システム）の一部の機能または回路の全てを包含できる。更に、ブロック、システムまたは回路のエレメントは、複数の集積回路全体に実装されることができる。モノリシック集積回路、フリップチップ集積回路、マルチチップ・モジュール集積回路および／または混合信号集積回路を含むが必ずしもこれに限らず、かかる集積回路は、さまざまな集積回路から成ることができる。ソフトウェア実装の事例において、上記の開示において、述べられるさまざまなブロックは、オン・プロセッサを実行するときに、指定された作業を遂行する実行可能命令（例えば、プログラムコード）を表す。これらの実行可能命令は、一つ以上の有形のコンピューター読み取り可能な媒体に記憶されることがありえる。いくつかにおいて、かかる事例、全システム、ブロックまたは回路は、そのソフトウェアまたはファームウェア等価物を用いて実装されることができる。他の例において、一つの部の所与のシステム、ブロックまたは回路はソフトウェアまたはファームウェアで実装されることができる。その一方で、他の部分はハードウェアにおいて、実装される。

[0057] 内容が構造特徴および／またはプロセス・オペレーションに特有の言語で記載されたにもかかわらず、添付の請求の範囲において、定められる内容が上で記載される特定の特徴または行為に必ずしも限られているというわけではないことを理解すべきである。むしろ、上で記載される特定の特徴および行為は、請求を実装することの例示の様態として開示される。

Claims (20)

1. 安全な産業制御システムであって、
   １つ以上の産業用エレメントと、
   １つ以上の産業用エレメントを駆動する一組の冗長な通信／制御モジュールと、
   を備え、
   冗長な通信／制御モジュールのセットは、認証シーケンスを実行するために構成される第１通信／制御モジュールおよび第２通信／制御モジュールを含み、
   認証シーケンスが、
   第１通信／制御モジュールから第２通信／制御モジュールまでリクエスト・データグラムを送信するステップであって、リクエスト・データグラムが、第１ノンスと、第１デバイス認証キー証明書と、第１アイデンティティ属性証明書とを含む、ステップと、
   第２通信／制御モジュールから第１通信／制御モジュールまで応答データグラムを送信するステップであって、応答データグラムが、第２ノンスと、第１および第２ノンスに関連した第１シグニチャーと、第２デバイス認証キー証明書と、第２アイデンティティ属性証明書とを含む、ステップと、
   応答データグラムが有効であるとき、第１通信／制御モジュールから第２通信／制御モジュールまで認証データグラムを送信するステップであって、認証データグラムが第１および第２ノンスに関連した第２シグニチャーを含む、ステップと、
   を有する、安全な産業制御システム。
2. 第１および第２通信／制御モジュールにより実行される認証シーケンスが、更に、
   応答データグラムが無効であるとき、第１通信／制御モジュールから第２通信／制御モジュールまで失敗した認証データグラムを送信するステップを有し、
   失敗した認証データグラムが、第２ノンスに関連したシグニチャーと、第１通信／制御モジュールにより生成されるエラー・メッセージとを含む、請求項１に記載の安全な産業制御システム。
3. 第１および第２通信／制御モジュールにより実行される認証シーケンスが、更に、
   第２通信／制御モジュールから第１通信／制御モジュールまで応答する認証データグラムを送信するステップを有し、
   応答する認証データグラムは、第１ノンスに関連したシグニチャーと、第２通信／制御モジュールにより生成される成功または失敗メッセージとを含む、請求項１に記載の安全な産業制御システム。
4. 第１ノンスおよび第２ノンスの少なくとも１つが、真性乱数発生器により生成されるランダムなノンスを含む、請求項１に記載の安全な産業制御システム。
5. 第２通信／制御モジュールが、第１ノンスおよび第２ノンスを連結し、第１ノンスおよび第２ノンスの連結に署名することによって、第１および第２ノンスに関連した第１シグニチャーを生成するように構成され、
   第１通信／制御モジュールが、第１ノンスおよび第２ノンスを連結し、第１ノンスおよび第２ノンスの連結に署名することによって、第１および第２ノンスに関連した第２シグニチャーを生成するように構成される、請求項１に記載の安全な産業制御システム。
6. 第２通信／制御モジュールが、更に、第１デバイス認証キー証明書および第１アイデンティティ属性証明書を検査することによって、リクエスト・データグラムを確認するように構成される、請求項１に記載の安全な産業制御システム。
7. 第１通信／制御モジュールが、更に、第１および第２ノンスに関連した第１シグニチャー、第２デバイス認証キー証明書、および第２アイデンティティ属性証明書を検査することによって、応答データグラムを確認するように構成される、請求項１に記載の安全な産業制御システム。
8. 第１通信／制御モジュールが、第１ノンスおよび第２ノンスを連結することによって、パブリック・デバイス認証キーを用いて第１および第２ノンスに関連した第１シグニチャーを暗号により検査することによって、並びに、第１ノンスおよび第２ノンスについてローカルに生成された連結を、第１ノンスおよび第２ノンスについて暗号により検査された連結と比較することによって、第１および第２ノンスに関連した第１シグニチャーを検査するように構成される、請求項７に記載の安全な産業制御システム。
9. 第２通信／制御モジュールが、第１通信／制御モジュールから認証データグラムを受け取ることに応答して、第１ノンスおよび第２ノンスを連結することによって、パブリック・デバイス認証キーを用いて第１および第２ノンスに関連した第２シグニチャーを暗号により検査することによって、並びに、第１ノンスおよび第２ノンスについてローカルに生成された連結を、第１ノンスおよび第２ノンスについて暗号により検査された連結と比較することによって、第１および第２ノンスに関連した第２シグニチャーを検査するように構成される、請求項１に記載の安全な産業制御システム。
10. 第１および第２通信／制御モジュールが、スタートアップ／リセット・イベント、第１通信／制御モジュールまたは第２通信／制御モジュールの設置、周期的時間イベント、または、予定の時間イベントの内の少なくとも１つに応答して認証シーケンスを実行するように構成される、請求項１に記載の安全な産業制御システム。
11. １つ以上の産業用エレメントが、入出力モジュール、パワー・モジュール、フィールド・デバイス、スイッチ、ワークステーション、または、物理的な相互接続デバイスの内の少なくとも１つを含む、請求項１に記載の安全な産業制御システム。
12. 通信／制御モジュールであって、
    少なくとも１つのプロセッサと、
    少なくとも１つのプロセッサによって、実行可能な命令のセットを有する非一時的な媒体とを有し、
    命令のセットが、
    第１ノンスと、第１デバイス認証キー証明書と、第１アイデンティティ属性証明書と、を含むリクエスト・データグラムを、第２通信／制御モジュールに送らせ、
    第２ノンスと、第１および第２ノンスに関連した第１シグニチャーと、第２デバイス認証キー証明書と、第２アイデンティティ属性証明書とを含む応答データグラムを、第２通信／制御モジュールから受け取らせ、
    応答データグラムが有効であるとき、第１および第２ノンスに関連する第２シグニチャーを含む認証データグラムを、第２通信／制御モジュールに送らせる、
    命令を含む、通信／制御モジュール。
13. 命令のセットが、更に、
    応答データグラムが無効であるとき、第２ノンスに関連したシグニチャーと、エラー・メッセージとを含む失敗した認証データグラムを、第２通信／制御モジュールに送らせる命令を含む、請求項１２に記載の通信／制御モジュール。
14. 命令のセットが、更に、
    第１および第２ノンスに関連した第１シグニチャーと、第２デバイス認証キー証明書と、第２アイデンティティ属性証明書とを検査することによって、応答データグラムを確認させる命令を含む、請求項１２に記載の通信／制御モジュール。
15. 命令のセットが、更に、
    第１ノンスおよび第２ノンスを連結することによって、パブリック・デバイス認証キーを用いて第１および第２ノンスに関連した第１シグニチャーを暗号により検査することによって、並びに、第１ノンスおよび第２ノンスについてローカルに生成された連結を、第１ノンスおよび第２ノンスについて暗号により検査された連結と比較することによって、第１および第２ノンスに関連した第１シグニチャーを検査させる命令を含む、請求項１４に記載の通信／制御モジュール。
16. 通信／制御モジュールであって、
    少なくとも１つのプロセッサと、
    少なくとも１つのプロセッサによって実行可能な命令のセットを有する非一時的な媒体とを備え、
    命令のセットが、
    第１ノンスと、第１デバイス認証キー証明書と、第１アイデンティティ属性証明書とを含むリクエスト・データグラムを、第２通信／制御モジュールから受け取らせ、
    第２ノンスと、第１および第２ノンスに関連する第１シグニチャーと、第２デバイス認証キー証明書と、第２アイデンティティ属性証明書とを含む応答データグラムを、該応答データグラムが有効であるときに、第２通信／制御モジュールに送らせる、
    命令を含む、通信／制御モジュール。
17. 命令のセットが、更に、
    第１および第２ノンスに関連する第２シグニチャーを含む認証データグラムを、第２通信／制御モジュールから受け取らせ、
    第１ノンスに関連するシグニチャーと、成功または失敗メッセージとを含む、応答する認証データグラムを第２通信／制御モジュールに送らせる、
    命令を含む、請求項１６に記載の通信／制御モジュール。
18. 命令のセットが、更に、
    第１ノンスおよび第２ノンスを連結することによって、パブリック・デバイス認証キーを用いて第１および第２ノンスに関連した第２シグニチャーを暗号により検査することによって、並びに、第１ノンスおよび第２ノンスについてローカルに生成された連結を、第１ノンスおよび第２ノンスについて暗号により検査された連結と比較することによって、第１および第２ノンスに関連した第２シグニチャーを検査させる命令を含む、請求項１７に記載の通信／制御モジュール。
19. 命令のセットが、更に、
    第１ノンスおよび第２ノンスを連結することによって、並びに、第１ノンスおよび第２ノンスの連結に署名することによって、第１および第２ノンスに関連した第１シグニチャーを生成させる命令を含む、請求項１６に記載の通信／制御モジュール。
20. 命令のセットが、更に、
    第１デバイス認証キー証明書および第１アイデンティティ属性証明書を検査することによって、リクエスト・データグラムを確認させる命令を含む、請求項１６に記載の通信／制御モジュール。

Images