JP6487939B2 - データを伝送するための設備及び方法 - Google Patents

Description

本発明は、少なくとも１つのデータ生成装置と１つの遠隔通信装置（遠く離れている装置）との間でデータを伝送するための設備に関する。この場合、この設備は、非専用に、特に公開的にアクセス可能なオープンネットワークを通じて当該遠隔通信装置との保護された通信を実行するためのウェブ通信プロトコル用の少なくとも１つのインタフェースと、当該データ生成装置との通信を実行するためのハードウェアレベルの通信プロトコル用の少なくとも１つのインタフェースとを有する。さらに、本発明は、このような設備と１つの遠隔通信装置との間でデータを伝送するための方法に関する。

通信技術における技術開発は、最近まで依然として不可能であったサービスを次第に可能にしている。当該技術開発においては、益々多くの技術対象が、データをインターネット経由で伝送することができる、例えば、インターネットを通じて遠く離れた場所から制御命令を取得することができる。これらの例は、スマートフォンによる暖房設備の遠隔制御又は産業分野における製品の監視及び遠隔保守である。

これらの新しい政策の重要な分野は、「スマートサービス」と記される。この場合、このスマートサービスは、製造業者又はサービス提供事業者からインターネットを通じて顧客の機器及び装置に対して実行されるサービスを意味する。しかしながら、問題は、このようなサービスのための条件が多くの場合にさらに提供される必要がある点にある。何故なら、必要なサービス指向型アーキテクチャ（ＳＯＡ）がまだ存在しないからである。

サービス指向型アーキテクチャを実装するための条件は、統合される全ての機器が任意の方法でウェブに適合する通信に適する必要がある点にある。「ウェブに適合する」は、本出願に関連して、信頼できる、特にＡＡＡに準拠し且つ暗号化可能な通信接続を、オープンな、すなわち第三者がアクセス可能なネットワーク、特にインターネットによって構築し、当該ネットワークを通じたデータトラフィックを処理することを可能にするプロトコルを意味する。この場合、ウェブに適合するプロトコルのプロトコルスタックが、ＯＳＩ参照モデルの全ての７つの層を表す。

この場合、当該通信接続は、通常はウェブサービスによって構築される。特に、接続確立の種類が、１つのウェブサービスごとに固有である。この場合、当該通信が、データを端末装置から呼び出そうとする遠隔通信装置によって構築される。このため、入力する通信のための複数のポートが、その端末装置のある場所で開いていることが、当該セキュリティアーキテクチャにおいて必要である。当該端末装置へのトンネリングが、これらのポートを通じて当該遠隔通信装置によって実行され得る。これらの開いているポートと、遠く離れた場所からデータを呼び出すことを開始する可能性とは、潜在的なセキュリティリスクを意味し、それ故に当該ポート及び可能性は、ハッカー攻撃のために利用される。

このような接続を安全に構築するため、端末装置に記憶されている認証子が使用され、当該呼び出される端末装置の認証が、当該認証子によって保証され得、暗号化された接続が構築され得る。しかしながら、当該より確実な通信を構築するためには、当該遠隔通信装置と当該端末装置とが、最初に接続される必要がある。このことは、同様に攻撃の可能性を提供する。

一般に、例えば生産のための又は試験を実行するための非常に複雑な産業施設は、多数の製造業者の複数の装置を有する。この場合、複数の専門家が、個々の構成要素の整備を担当する。一方ではさらなる開発のためのデータを取得するため、他方では顧客にとっても有益である適合された整備政策及びサービス政策を提供できるようにするため、これらの構成要素の製造業者にとっては、顧客によるその顧客の製品の使用に関する情報を入手することに大いに関心がある。

産業環境では、特に、変換（Ｕｍｓｅｔｚｕｎｇ）を遅延させる３つの大きな問題グループが存在する。

第一に、例えばスマートフォンのような民生機器とは違って、産業システムの多数の構成要素が、それらの産業システムのそれぞれの用途に対して非常に特定して規定されていて、多くの場合に、例えばイーサネットのように、簡単にケーブル接続されているアナログ信号出力部から、例えばＣＡＮ又はプロフィバスのようなフィールドバスを通じて簡単なネットワークシステムまで及ぶ非常に限定された通信オプションだけを有する。ＯＳＩ層モデルに関しては、このようなハードウェアレベルの通信プロトコルは、多くの場合に層１，２及び３に分類することができる。このような接続解決策は、ローカルネットワークだけに対して適していて、セキュリティシステムが、当該接続解決策に欠如している。このようなシステムの場合、インターネットへの接続が、専らゲートウェイを通じて可能である。しかし、これにより、特に当該システムのデータへのアクセスが、第三者、すなわちサービスプロバイダに許可されなければならないときに、当該システムは、攻撃の著しい危険に曝される。それ故に、このようなシステムは、隔離されて使用され、この隔離されたアーキテクチャをサービス指向型アーキテクチャに組み込むことを排除する。

第二に、複数の世代の構成要素が一緒に使用される拡張されたシステムが、多くの場合に問題である。工業部品の長い寿命に起因して、これらの工業部品は、多くの場合に数十年にわたって使用され得る。しかしながら、１つの施設の全ての構成要素を「インターネットに適合する」装置仕様に同時に交換することは、コストの理由から多くの場合に妥当でなく、さらなるセキュリティ問題を呈し得る。

第三に、競業他社から秘密に保持されなければならず、多くの場合にシステムの製造業者又はサービスプロバイダにも引き渡されてはならない機密性の高いデータが問題である。会社が、当該会社のデータを利用することによって常に特定され得ることが、当該会社にとって大きな懸念である。それ故に、データセキュリティの分かりきった理由から、消費者のために提供された通信システムは、産業の目的に対して多くの場合に適合しない。

欧州特許第１２７６２７１号明細書 国際公開第２００６０６６６０４号パンフレット 国際公開第２００７０８０１３６号パンフレット

本発明の課題は、従来の技術の欠点を克服することにある。特に、専らハードウェアレベルの通信プロトコルによって通信し得るサービス指向型アーキテクチャに装置を組み込むことも可能でなければならない。それにもかかわらず、無権限者によるこれらの装置へのアクセスが排除され得る必要がある。この場合、本発明によれば、依然として使用されている既存の古い装置も、当該サービス指向型アーキテクチャに組み込まれ得るようにしなければならない。データアクセス権を全ての当事者に対して正確に確定することが、さらなるセキュリティ要求として本発明にしたがって簡単に且つ妥当に可能でなければならない。

通信プロトコルは、具体的な説明に関連して、「ハードウェアレベルの通信プロトコル」と共通に記される。当該プロトコルの階層構造又はプロトコルスタックが、当該ＯＳＩモデルの全ての７つの層、特にプレゼンテーション層（第６層）を有しないので、クロスシステム通信とデータ暗号化との双方を許可しない。ハードウェアレベルの通信プロトコルの特徴は、当該ハードウェアレベルの通信プロトコルが、分散型（クラウド）ネットワークを通じて確実に保護された通信を許可したセキュリティプロトコルの実行を不可能にする点である。

それ故に、例えばフィールドバス技術又はポイントツーポイント・イーサネット接続を使用し得る、ハードウェアレベルのプロトコル用に存在する通信インタフェースが、ＯＳＩモデルの第７層のＭｉｎｉｕｍだけに制限されている。非常に簡単なハードウェアレベルの通信プロトコルは、ビット伝送層（第１層）だけを使用するか又はビット伝送層と保護層（第２層）との組み合わせを使用する。

Ｖ．２４、Ｖ．２８、Ｘ．２１、ＲＳ２３２、ＲＳ４２２、ＲＳ４２３又はＲＳ４９９が、当該ビット伝送層のプロトコルのための例に属する。イーサネットプロトコル、ＨＤＬＣ、ＳＤＬＣ、ＤＤＣＭＰ、ＩＥＥＥ８０２．２（ＬＬＣ）、ＡＲＰ、ＲＡＲＰ、ＳＴＰ、ＩＥＥＥ８０２．１１（ＷＬＡＮ）、ＩＥＥＥ８０２．４（トークンバス）、ＩＥＥＥ８０２．５（トークンリング）又はＦＤＤＩが、第１層及び第２層から成る組み合わせ又は第２層だけを使用する例に属する。

さらに、より高い層のプロトコルも、ハードウェアレベルの通信プロトコルで使用され得る。Ｘ．２５、ＩＳＯ８２０８、ＩＳＯ８４７３（ＣＬＮＰ）、ＩＳＯ９５４２（ＥＳＩＳ）、ＩＰ、ＩＰｓｅｃ、ＩＣＭＰ、ＩＳＯ８０７３／Ｘ．２２４、ＩＳＯ８６０２、ＴＣＰ、ＵＤＰ、ＳＣＴＰ、ＩＳＯ８３２６／Ｘ．２１５（セッションサービス）、ＩＳＯ８３２７／Ｘ．２２５（接続指向型セッションプロトコル）又はＩＳＯ９５４８（非接触型セッションプロトコル）が、第３層〜第５層のプロトコルの例に属する。

特にＲＳ２３２に関するＡＫプロトコル、ＣＡＮに関するＣＡＮｏｐｅｎ及びＲＳ４８５に関するプロフィバスＤＰが、特に試験環境の分野、例えば自動車分野における産業の用途のために使用されるハードウェアレベルの通信プロトコルの例に属する。特に「ドイツ自動車工業会／排気ガス測定の標準化のための技術研究会」のＡＫプロトコルが、依然として自動車分野における多くの試験施設でのデファクトスタンダードである。このＡＫプロトコルは、ハードウェアレベルのデータ伝送のための簡単なプロトコルとして提供されたものであり、トリプルＡシステム（認証、認可、アカウンティング−ＡＡＡ）を変換する可能性を提供しない。

本発明によれば、上記の課題は、ウェブインタフェースを介し且つハードウェアレベルインタフェースを介して通信を制御し得るセキュリティコントローラを有する冒頭で述べた種類の設備によって解決される。この場合、特定の複数の記憶領域を有する安全なメモリが、当該セキュリティコントローラに割り当てられている。この場合、少なくとも１つの認証子が、少なくとも１つの記憶領域に割り当てられている。このような設備は、当該ハードウェアレベルインタフェースを介してデータ生成装置と通信し、すなわち特に、サービス指向型アーキテクチャのハードウェアレベルの通信プロトコルを介して、このサービス指向型アーキテクチャに組み込まれなければならない当該設備の個々の構成要素と通信し、特定の記憶領域内に記憶される、対応するデータを生成する。当該データを呼び出すため、遠隔要求が、当該ウェブインタフェースを介して遠隔通信装置によって実行され得る。この場合、当該問い合わせのための認可が、当該認証子によって検査され得る。それぞれアクセス許可された認証子（又はこの認証子を有する「認証者」）が、それぞれの記憶領域ごとに確定され得る。当該セキュリティコントローラは、通信接続（いわゆる「トンネル」）がこのセキュリティコントローラ内で終了し、当該遠隔通信装置が当該端末装置（すなわち、当該データ生成装置）に直接に接続するが不可能であることを保証する。それ故に、対応する複数の認証子も、当該セキュリティコントローラの安全なメモリ内に記憶され、当該データ生成装置のメモリ内に記憶されない。

１つの認証子が、１つのオブジェクトを普遍的に示す。一人の人間又はインスタンスの信用及び割り当て可能性／否認不可が、このオブジェクトによって保証され得る。このことは、特に、いわゆるＡＡＡに準拠の認証のステップ及び認可のステップに関する。認証子は、特に伝送ロック及びアクセスロックのために使用さえ得る。この場合、当該認証子のパブリック要素（「公開鍵」又は「Ｐｕｂｌｉｃ Ｋｅｙ」）が、当該ロックのために使用される。当該認証子の対応するパブリック要素（「公開鍵」又は「Ｐｕｂｌｉｃ Ｋｅｙ」）の所有者だけが、当該データにアクセス又は当該データを閲覧することが可能である。現在最も普及している認証子の標準は、ＰＫＩ−Ｓｔｏｒｅとしても既知であるＸ．５０９である。しかしながら、その他の使用可能な方法も、当業者に既知である。

好適な方法では、少なくとも１つの記憶領域が、セキュリティコントローラ上で実行可能であるプログラムコードを有し得る。これにより、例えばこのセキュリティコントローラの手続きを規定する、セキュリティに関連するプログラム要素が、安全なメモリ自体内で改竄から保護され得、当該プログラム要素が、同様に認証子を介してアクセス制御部に提供される。

好適な方法では、プログラムコードを有する記憶領域が、セキュリティコントローラのハードウェアプロバイダの認証子に割り当てられ得る。したがって、本質的なプログラム要素が、専らセキュリティチップのハードウェアプロバイダ自体によって変更され得る。その結果、共有者によるセキュリティ機能の誤った停止又は攻撃者による悪意の侵害が排除されている。

本発明の好適な実施の形態では、少なくとも１つの記憶領域が、特定の１つのデータ生成装置に割り当てられていることが提唱され得る。この場合、当該記憶領域が、当該装置の、一義的なＩＤ（固有ＩＤ）、稼働データ、制御データ、構造データ及び／又は履歴データを有する。これにより、関連するデータに遠隔アクセスによってアクセスし、（例えば、これらのデータを１つのサービス後にリセットするために）これらのデータを権限に応じて変更することも、例えばサービスプロバイダのために可能である。複数の記憶領域が、ただ１つの装置に割り当てられているので、複雑な権限構造も、異なる複数の認証子を割り当てることによって設定され得る。通信接続が、セキュリティコントローラ内で終了するので、遠隔通信装置による、当該データ生成装置との通信と当該データ生成装置の改竄とが排除されている。

本発明の別の好適な実施の形態は、少なくとも１つの記憶領域が複数の認証子及び／又は複数の割り当てを有することを提唱し得る。したがって、これらの認証子自体も、それ自体のシステムによって遠隔アクセスから保護され得る。さらに、当該割り当て、すなわちアクセス権を変更する権限が、誰に与えられているかが確定され得る。この場合、当該認証子及び／又は当該割り当てを有する記憶領域が、当該設備の一人の所有者の認証子に割り当てられていることが特に有益である。このことは、多くの場合に重要である。何故なら、これにより、当該所有者が、どんな権限を第三者、特にサービスプロバイダに与えるかを、当該所有者自身が決定できるからである。当該アクセス権が、セキュリティコントローラのプログラムコードで規定されている場合、非常に高いセキュリティレベルが達成され得る。

好適な方法では、セキュリティコントローラが、ハードウェアレベルインタフェースに接続されているデータ生成装置を監視するための手段を有し得る。これにより、１つの装置が例えば権限なしに交換されたか否かが識別され得、この装置のデータが妥当であるか否かが識別され得、例えば稼働時間カウンタが正確に単調に増大するか否かかが識別され得る。

好適な実施の形態では、セキュリティコントローラが、ハードウェアチップ内に組み込まれ得る。このことは、このセキュリティコントローラによって実行されたプログラムの改竄を回避する。

セキュリティコントローラを攻撃からさらに保護するため、ハードウェアチップが、安全なメモリと組み込まれたＣＰＵとを有益に有してもよい。

好適な実施の形態では、ハードウェアチップが、暗号モジュールを有し得る。この暗号モジュールは、通信の暗号化を制御する。この暗号モジュールが、当該ハードウェアチップ内に組み込まれている場合、当該暗号化の妨害を目的とする攻撃が回避され得る。

安全なメモリと組み込まれたＣＰＵと暗号モジュールとを、ハードウェアチップ内に組み込まれているセキュリティコントローラ内で結合することによって、当該安全なメモリを管理するだけではなくて、計算操作自体を実行することもできる。このことには、当該セキュリティコントローラが「自立して」機能し、攻撃され得るＣＰＵに依存しないという利点がある。この場合、当該セキュリティコントローラは、データに基づく攻撃によって改竄不可能である、ハードウェアコード化されたプログラム要素を有してもよい。

権限のないアクセスから保護されているメモリが、本明細書に関連して、安全なメモリと記される。特に、当該安全なメモリは、当該セキュリティコントローラだけがアクセスするメモリであるので、第三者によって改竄不可能である。

当該設備を使用すると、この設備と遠隔通信装置との間でデータを伝送するための方法が、有益に実行され得る。当該方法は、以下の：ウェブインタフェースを介して認証子が割り当てられている認証者の通信装置との通信接続を構築するステップと、前記認証者の認証子を決定するステップと、伝送すべきデータの記憶領域を決定するステップと、前記記憶領域に対する前記認証者の認証子の割り当てを検査するステップと、肯定的な検査の場合に、前記記憶領域内に記憶されたデータを前記遠隔通信装置に伝送し、及び／又はこの遠隔通信装置からデータを受け取り、当該受け取られたデータを前記記憶領域内に記憶するステップとを特徴とする。

好適な方法では、当該方法は、以下の：ハードウェアレベルインタフェースを介して装置の（稼働）データを受け取るか又は呼び出すステップと、当該保護されたメモリの、前記装置に割り当てられた記憶領域内に前記稼働データを記憶するステップとをさらに有し得る。これにより、前記装置の（稼働）データが、時間スケジュールに基づいて、又は決定された特定のイベントによって、又はユーザ問い合せに基づいて前記設備によって呼び出され得る。下記の遠隔問い合せの場合、前記装置自体へのアクセスがもはや不要である。何故なら、当該データが、安全なメモリ内に既に記憶されているからである。したがって、本発明によれば、前記認証子によって認証された権限が、当該データを呼び出すために前記装置自体に直接にアクセスすることが不要である。これにより、前記装置が存在する当該施設での改竄が、確実に回避される。

特に好適な実施の形態では、設備と遠隔通信装置との通信が、暗号化されて実行され得る。それぞれの通信相手が、当該認証子によって認証されているので、当該暗号化が、当該認証子に割り当てられている鍵対によって実行され得る。

好適な方法では、専らプッシュメカニズム（Ｐｕｓｈ−Ｍｅｃｈａｎｉｓｍｅｎ）によって機能するプロトコルが、ウェブインタフェースに実装され得る。例えばＭＱＴＴ仕様によるこのようなプロトコルは、当該ウェブインタフェース側で流入トラフィックを遮断するファイアウォール方式の変換を許容する。したがって、ウェブサービスによるシステムの改竄と、データ生成装置までのエンドツーエンド接続の構築とが排除され得る。例えばＭＱＴＴプロトコルによるような、専らプッシュメカニズムで機能するプロトコルの場合、知られているように、直接のエンドツーエンド接続が構築されるのではなくて、通信が、中間接続された、データを「発行者」から受け取るブローカによって常に仲介される。この場合、認証保護されたＩＤが、発行者及び／又は加入者によって提供され得る。それぞれの終点が、当該ブローカに対して当該通信を自発的に「開き」、この通信が、「外部によって」開始されない。二人の通信相手が、加入者としても発行者としても活動し得るので、潜在的に攻撃され得るウェブサービスが確立される必要なしに、データを双方向に交換することも可能である。

このため、当該ブローカに対する接続が、所定の間隔で当該セキュリティコントローラによって構築される。呼び出しのためのデータが、権限のある第三者によって提供される（すなわち、当該設備が、発行者として稼働する）、又は、データが、第三者によって呼び出される（すなわち、当該設備が、加入者として稼働する）。

以下に、本発明を添付図面を参照して詳しく説明する。

本発明の設備と通信するネットワークコンポーネントの概略図である。 本発明の設備の重要な構成要素の概略図である。 典型的な通信プロトコルを説明するための、本発明の設備の別の概略図である。 本発明の設備が複数個所で使用される、サービス指向型アーキテクチャを有するネットワークを示す。

図１は、典型的なネットワーク配置を示す。このネットワークは、主に５つの領域、すなわち、１つの産業現場４の領域と、以下で「認証契約者」と記される通信加入者、すなわちそれぞれ１つの遠隔通信装置５ａ，５ｂ，５ｃを有するハードウェアプロバイダ３ａ、サービスプロバイダ３ｂ及び所有者３ｃの３つの領域３ａ，３ｂ，３ｃと、クラウドインフラストラクチャ、特にインターネットを有する１つの非専用ネットワーク７の領域とに区分され得る。

産業現場４は、例えば、工場又は例えば自動車分野用の試験施設でもよい。この場合、当該現場は、特定の所有者３ｃに割り当てられている。産業現場４の所有者には、特別な意味がある。何故なら、以下でさらに詳しく説明するように、所有者３ｃは、アクセス権を規定する必要があるからである。多数のデータ生成装置２ａ〜２ｆが、産業現場４上に存在する。この場合、装置の状態が任意の方法で監視され得るほぼ全ての当該装置が、「データ生成装置」とみなされる。特に、場合によっては起こり得るサービス提供を早く、事前に計画し、且つ簡単に提供し得るように、これらの装置２ａ〜２ｆは、特に、特定のプロバイダによって販売された製品を監視しようとする当該プロバイダに由来する装置でもよい。図１には、固有の領域３ｂが、当該サービスプロバイダに割り当てられている。本発明の設備１が、産業現場４に設けられている。この場合、設備１は、複数のハードウェアインタフェース８ａ〜８ｉを有する。これらのハードウェアインタフェース８ａ〜８ｉは、データ生成装置２ａ〜２ｆに様々な方法で接続されている。データ生成装置２ａ〜２ｆは、複数のグループ内に配置され得る。この場合、図示された配置では、装置２ｃ〜２ｆが、共通の１つのフィールドバスに接続されている１つのグループを構成する。これらの装置が、このフィールドバスを通じて通信する。この場合、当該専門分野で既知の任意の通信プロトコル、例えばＣＡＮｏｐｅｎ又はＰｒｏｆｉｂｕｓ−ＤＰが、フィールドバスシステムのために使用され得る。当該グループの装置２ｃ〜２ｆと通信できるようにするため、設備１は、インタフェース８ｉを介して同様に当該フィールドバスに接続されている。別の１つのグループが、装置２ａ及び２ｂを構成する。これらの装置２ａ及び２ｂはそれぞれ、エンドツーエンドプロトコルを介して設備１のインタフェース８ｂ，８ｄに接続されている。

特筆すべきは、当該複数の装置が共通して、データをウェブプロトコルによってインターネットを経由して伝送するための手段を有しない点である。権限のないアクセスに曝され得る別の装置が、オープンネットワーク内に存在するので、ウェブ通信のための１つの装置の基本性能にもかかわらず、この装置が当該オープンネットワークに接続することが許可されていないことも、特筆すべき点である。

別の領域３ａが、設備１のハードウェアプロバイダ、又は設備１のセキュリティ性に関連する構成要素、特にこの設備内に含まれているセキュリティコントローラ９のハードウェアプロバイダに割り当てられている。用語「ハードウェアプロバイダ」は、当該対象の説明の意味では、特に実際のチップメーカ又はサードパーティーサプライヤ、例えば認証局を意味し得る。特に、用語「ハードウェアプロバイダ」は、当該セキュリティコントローラの機能性及び更新（Ｗｅｉｔｅｒｅｎｔｗｉｃｋｌｕｎｇ）に責任を負う認証局を意味する。当該設備の特別なセキュリティ機能では、当該セキュリティコントローラに基づくプログラムコードの更新（Ｕｐｄａｔｅ）が、ハードウェアプロバイダと記された認証局だけによって、場合によってはさらなる特別なセキュリティ対策の下で実行され得ることが提唱され得る。

図１による設備１は、複数のウェブインタフェース６ａ〜６ｄを有する。例えばイントラネット、ＧＳＭネットワーク及び／又はインターネットのような、オープンネットワーク又は専用ネットワークを通じたその他の装置とのシステム通信が、これらのウェブインタフェース６ａ〜６ｄによって実行され得る。複数のウェブ接続の構成と、これらのウェブ接続に関する通信と、これらのウェブ接続のために使用されるプロトコルとは、当該専門分野において周知であるので、ここではより詳しく説明しない。図１に示された実施の形態では、設備１が、イントラネット接続を通じて産業現場４の所有者３ｃの遠隔通信装置５ｃと通信し、インターネット接続を通じてサービスプロバイダ３ｂ又はハードウェアプロバイダ３ａの遠隔通信装置５ａ及び５ｃと通信する。

次いで、本発明の設備１の機能性を図２に関連して説明する。この場合、特に、セキュリティコントローラ９の機能を説明する。設備１のセキュリティコントローラ９は、単独のチップとして又は複数のチップの組み合わせとして構成され得る。この場合、このセキュリティコントローラは、マイクロコントローラ１１（ＡＲＭ−ＣＰＵ）と協働する。セキュリティコントローラ９とマイクロコントローラ１１とを単独のチップ内に組み込むことも可能である。確かに、このことは、高いセキュリティ基準を可能にするものの、高い開発経費につながる。

当該セキュリティコントローラは、ハードウェアレベルインタフェース８ａ〜８ｉを介するデータ生成装置２ａ〜２ｆとの通信と、ウェブインタフェース６ａ〜６ｄを介する通信と、セキュリティメモリ１０へのアクセスとを制御する。

アクセスが、専らセキュリティコントローラ９によって実行され得るように、セキュリティメモリ１０が、ハードウェア技術的に制限されている。当該設備を使用できるようにするため、このセキュリティメモリ１０が、まず１つの出力装置によって「認証（ｋｏｍｍｉｓｓｉｏｎｉｅｒｔ）」される必要がある。この場合、当該認証（Ｋｏｍｍｉｓｓｉｏｎｉｅｒｕｎｇ）は、図示された場合では当該ハードウェアプロバイダによって実行される。当該認証の場合、個々の記憶領域Ａ，Ｂ，Ｃ，Ｄ等へのメモリ１０分割が規定される。この場合、セキュリティプロセッサ９を制御するためのプログラムコードが、第１記憶領域Ａ内に記憶される。認証子ａ，ｂ，ｃ，ｄが、アクセスのため考慮されなければならない全てのインスタンスに対して記憶領域Ｂ内に記憶される。この場合、当該認証子のパブリック要素が重要である。記憶領域Ａ，Ｂ，Ｃ，Ｄの当該既定に加えて、当該プログラムコードは、どの認証者がどの記憶領域にアクセスすべきかを確定し、当該アクセス権がデータの変更も許容するか否かをも確定する。

当該図示された例では、プログラムコードが記憶されている記憶領域Ａが、ハードウェアプロバイダ又は認証局の認証子ａによって保護される。このことは、当該プログラムコード（並びに当該記憶領域の分類及びアクセス権パターン）が、ハードウェアプロバイダ３ａだけによって変更され得ることを意味する。したがって、例えば、更新がインストールされなければならない場合、当該プログラムコードの変更は、設備の所有者３ｃによっても実行され得ず、サービスプロバイダ３ｂによっても実行され得ず、ハードウェアプロバイダ３ａだけによって実行され得る。当該プログラムコードが、更新を要求する場合、別のセキュリティ関数が、所有者３ａ及び／又はサービスプロバイダ３ｂの同意をさらに要求する。

したがって、当該説明されている実施の形態では、本発明のそれぞれの設備が、認証時にそれぞれの使用条件に固有に適合される。その結果、後の変更が、不可能であるか又は専ら限定的に可能である。しかしながら、後の変更が、セキュリティ条件に応じて個々の構成要素に対して許容され得る。このような選択肢は、プログラムコードにおいて規定される必要がある。したがって、例えば、複数の認証子が無効であり、更新される必要がある場合、当該個々の認証子の交換が許可され得る。

その他の記憶領域Ｃ，Ｄ，．．．が、それぞれ１つのデータ生成装置２ａ〜２ｆ又はこれらの装置のグループに割り当てられている。この場合、当該それぞれの記憶領域内に記憶されたデータが、同様にプログラムコードによって制御される。（例えば、サービスプロバイダ３ｂが、整備後にサービスカウンタをリセットするときに）データの更新が、特定のイベントによって起動され得るか、又は、（例えば、稼働期間を記録するために）データが、連続して若しくは特定の時間間隔ごとに生成され得る。その装置の固有識別番号（固有ＩＤ）と、使用すべき通信プロトコルに関する情報とが、当該装置２ａ〜２ｆのためのそれぞれの記憶領域Ｃ，Ｄ内に含まれ得る。

ウェブインタフェース６ａ〜６ｄを介する通信も、セキュリティコントローラ９によって制御される。この場合、通信接続の確立ごとに、それぞれの認証子が検査され、その通信接続が、特にその認証子によって暗号化される。その結果、非公開鍵の所有者だけが、その内容にアクセスできる。したがって、１つの認証子の所有者が、どの記憶領域にアクセスしてよいかが、正確に規定されている。場合によっては、特定の記憶領域内のデータが、１つの認証子によって暗号化されてさらに記憶されてもよい。したがって、ただ１つの認証子を使用するだけでも、その内容にアクセスされ得る。その他の場合には、データが、別の方法で、例えば対称鍵によって、暗号化されて又は暗号化されないでメモリ内に記憶されていて、データ伝送時に初めて、当該セキュリティコントローラによって当該それぞれの認証子を用いて暗号化されることが好ましい。

図２に示された実施の形態では、所有者３ｃが、認証子３ｃによって記憶領域Ｂ，Ｃ及びＤにアクセスでき、サービスプロバイダ３ｂが、このサービスプロバイダ３ｂの認証子によって記憶領域Ｃにアクセスでき、ハードウェアプロバイダ３ａが、このハードウェアプロバイダ３ａの認証子ａによって記憶領域Ａだけにアクセスできる。

セキュリティコントローラ９が、ハードウェアレベルインタフェース８を介する通信を、ウェブインタフェース６を介する通信から厳密に分離する。その結果、ウェブインタフェース（６ａ〜６ｄ）のうちの１つのウェブインタフェースを介してデータ生成装置２ａ〜２ｆに直接にアクセスすることは不可能である。したがって、攻撃者が、全てのセキュリティ対策を迂回して、当該セキュリティコントローラをハッキングすることに成功したときでも、当該データ生成装置へのアクセスを達成することは、当該攻撃者にとっては依然として不可能である。何故なら、これらの装置は、ウェブインタフェースの通信プロトコルの場合とは全く異なるプロトコルレベル上で通信するからである。

本発明の設備及び方法のセキュリティ面は、その都度のユーザのニーズに任意に適合され得る。この場合、追加のセキュリティ措置が実装されてもよく、特定のセキュリティ機能が省略されてもよい。

図３は、本発明の設備の典型的な実施の形態の別の概略図を示す。この場合、個々の構成要素が、それらの機能成分とそれらの使用されるプロトコルとに関して例示的に且つ概略的に分類されている。図３の設備は、複数の装置に直接に接続するための５つのハードウェアレベルインタフェースを有する。これらのハードウェアレベルインタフェースは、インタフェース８ａ（ＬＡＮ）、８ｂ（ＲＳ２３２又はＲＳ４８５）、８ｃ（ＣＡＮ）、８ｄ（ＵＳＢ）及び８ｅ（その他）である。別のハードウェアレベルインタフェースは、インタフェース８ｆ（ＬＡＮ）、８ｇ（Ｅｔｈｅｒｃａｔ（登録商標））、８ｈ（ＵＳＢ）及び８ｉ（ＣＡＮ，ＣＡＮＯｐｅｎ）である。

図４は、サービスプロバイダ３ｂのサービス指向型アーキテクチャを有するネットワークを概略的に示す。この場合、サービスプロバイダ３ｂによって提供された、複数の顧客のデータ生成装置２ａ〜２ｃのデータへの、当該それぞれの所有者によって規定されたアクセスを可能にするため、本発明の設備１は、当該サービスプロバイダの当該複数の顧客（所有者３ｃ及び３ｃ′）の場合に使用される。

１ 設備
２ａ〜２ｆ データ生成装置
３ 認証者
３ａ ハードウェアプロバイダ
３ｂ サービスプロバイダ
３ｃ 所有者
４ 産業現場
５ａ〜５ｃ 遠隔通信装置
６ａ〜６ｄ ウェブインタフェース
７ 非専用ネットワーク
８ａ〜８ｉ ハードウェアレベルインタフェース
９ セキュリティコントローラ
１０ セキュリティメモリ
１１ マイクロコントローラ
Ａ，Ｂ，Ｃ，Ｄ 記憶領域
ａ，ｂ，ｃ 認証子

Claims (15)

1. 少なくとも１つのデータ生成装置（２ａ〜２ｆ）と１つの遠隔通信装置（５ａ〜５ｃ）との間でデータを伝送するための設備（１）であって、前記設備（１）は、非専用の、特に公開的にアクセス可能なオープンネットワーク（７）を通じて前記遠隔通信装置（５ａ〜５ｃ）との保護された通信を実行するためのウェブ通信プロトコル用の少なくとも１つのウェブインタフェース（６ａ〜６ｄ）と、前記データ生成装置（２ａ〜２ｆ）との通信を実行するためのハードウェアレベルの通信プロトコル用の少なくとも１つのハードウェアレベルインタフェース（８ａ〜８ｉ）とを有する当該設備において、
   前記少なくとも１つのデータ生成装置（２ａ〜２ｆ）が、産業施設の構成要素であり、前記構成要素が、データを伝送するために前記ハードウェアレベルの通信プロトコルだけを介して通信し、
   前記設備が、前記ウェブインタフェース（６ａ〜６ｄ）を介し且つ前記ハードウェアレベルインタフェース（８ａ〜８ｉ）を介して通信を制御するセキュリティコントローラ（９）をさらに有し、
   特定の複数の記憶領域（Ａ，Ｂ，Ｃ，Ｄ）を有する安全なメモリ（１０）が、前記セキュリティコントローラ（９）に割り当てられていて、
   少なくとも１つの認証子（ａ，ｂ，ｃ）が、少なくとも１つの記憶領域（Ａ，Ｂ，Ｃ，Ｄ）に割り当てられていることを特徴とする設備。
2. 少なくとも１つの記憶領域（Ａ）が、前記セキュリティコントローラ（９）上で実行可能であるプログラムコードを有することを特徴とする請求項１に記載の設備。
3. 前記プログラムコードを有する前記記憶領域（Ａ）が、前記セキュリティコントローラの１つのハードウェアプロバイダ（３ａ）の認証子（ａ）に割り当てられていることを特徴とする請求項２に記載の設備。
4. 少なくとも１つの記憶領域（Ｃ，Ｄ）が、特定の１つのデータ生成装置（２ａ，３ｂ）に割り当てられていて、
   前記記憶領域は、前記データ生成装置の、一義的なＩＤ（固有ＩＤ）、稼働データ、制御データ、構造データ及び／又は履歴データを有することを特徴とする請求項１〜３のいずれか１項に記載の設備。
5. 少なくとも１つの記憶領域（Ｂ）が、複数の認証子（ａ，ｂ，ｃ）及び／又は複数の割り当てを有することを特徴とする請求項１〜４のいずれか１項に記載の設備。
6. 前記認証子及び／又は前記割り当てを有する前記記憶領域（Ｂ）が、前記設備（１）の一人の所有者（３ｃ）の認証子（ｃ）に割り当てられていることを特徴とする請求項５に記載の設備。
7. 前記セキュリティコントローラ（９）は、前記ハードウェアレベルインタフェース（８ａ〜８ｉ）に接続されているデータ生成装置（２ａ〜２ｆ）を監視するための手段を有することを特徴とする請求項１〜６のいずれか１項に記載の設備。
8. セキュリティコントローラ（９）は、ハードウェアチップ内に組み込まれていることを特徴とする請求項１〜７のいずれか１項に記載の設備。
9. 前記ハードウェアチップは、安全なメモリと組み込まれたＣＰＵとを有する請求項８に記載の設備。
10. 前記ハードウェアチップは、暗号モジュールを有することを特徴とする請求項８又は９に記載の設備。
11. 専らプッシュメカニズムによって機能するプロトコルが、前記ウェブインタフェースに実装されていることを特徴とする請求項１〜１０のいずれか１項に記載の設備。
12. 請求項１〜１０のいずれか１項に記載の１つの設備と１つの遠隔通信装置（５ａ〜５ｃ）との間でデータを伝送するための方法において、
    当該方法は、以下の：
    ・ウェブインタフェース（６）を介して認証子（ａ，ｂ，ｃ）が割り当てられている認証者（３）の通信装置（５ａ〜５ｃ）との通信接続を構築するステップと、
    ・前記認証者（３）の前記認証子（ａ，ｂ，ｃ）を決定するステップと、
    ・伝送すべきデータの記憶領域（Ａ，Ｂ，Ｃ，Ｄ）を決定するステップと、
    ・前記記憶領域（Ａ，Ｂ，Ｃ，Ｄ）に対する前記認証者（３）の認証子（ａ，ｂ，ｃ）の割り当てを検査するステップと、
    ・肯定的な検査の場合に、前記記憶領域（Ａ，Ｂ，Ｃ，Ｄ）内に記憶されたデータを前記遠隔通信装置（５ａ〜５ｃ）に伝送し、及び／又はこの遠隔通信装置（５ａ〜５ｃ）からデータを受け取り、当該受け取られたデータを前記記憶領域内に記憶するステップとを有することを特徴とする方法。
13. 前記方法は、以下の：
    ・ハードウェアレベルインタフェース（８）を介して装置（２ａ〜２ｆ）の稼働データを受け取るか又は呼び出すステップと、
    ・当該保護されたメモリ（１０）の、前記装置（２ａ〜２ｆ）に割り当てられた記憶領域（Ｂ，Ｃ，．．．）内に前記稼働データを記憶するステップとをさらに有することを特徴とする請求項１２に記載の方法。
14. 前記遠隔通信装置（５ａ〜５ｃ）との通信が暗号化されて実行されることを特徴とする請求項１２又は１３に記載の方法。
15. 専らプッシュメカニズムによって機能するプロトコルが、前記ウェブインタフェースに実装されることを特徴とする請求項１２〜１４のいずれか１項に記載の方法。

Images