JP6605959B2

JP6605959B2 - 高度制御システムセキュリティのためのシステムおよび方法

Info

Publication number: JP6605959B2
Application number: JP2015555175A
Authority: JP
Inventors: ブラウン，スーザン・ジーン; ショー，リチャード・ウィリアム; エマリー，ジェフリー・マーティン
Original assignee: General Electric Co
Current assignee: General Electric Co
Priority date: 2013-01-24
Filing date: 2014-01-07
Publication date: 2019-11-13
Anticipated expiration: 2034-01-07
Also published as: US8997186B2; US20140208390A1; WO2014116411A1; CN104322038A; EP2865168A1; EP2865168B1; JP2016506002A; CN104322038B

Description

本明細書で開示される主題は、高度セキュリティ制御システムのためのシステムおよび方法に関する。

工業オートメーションシステムなどのある種のシステムは、システムの制御および監視を可能にする機能を含むことがある。たとえば、工業オートメーションシステムは、コントローラ、フィールドデバイス、および、その後の分析のためにデータを監視するセンサを含み得る。さらに、そのような工業制御システムは、コントローラに結合することができ、「プロセス制御のためのオブジェクトのリンクと埋め込み（ＯＬＥ）（ＯＰＣ）」統一アーキテクチャ（ＵＡ）プロトコルに従って他のシステムと通信することができる、１つまたは複数のデバイスを含み得る。ＯＰＣＵＡは、ＯＰＣＦｏｕｎｄａｔｉｏｎによって指定された工業オートメーションシステム（たとえば、自動発電システムおよび自動製造システム）で使用される製造業者に依存しない通信のためのプロトコルである。たとえば、工業オートメーションシステムは、工業オートメーションシステムの動作パラメータに関する情報を全体として記憶することができるＯＰＣＵＡサーバを含み得る。加えて、ＯＰＣＵＡサーバはまた、別の場所で動作する１つまたは複数のＯＰＣクライアントに、ネットワーク接続を介して、この情報を入手可能にすることができる。それは、制御システムセキュリティを改善するために有益になろう。

米国特許出願公開第２０１１／０３５７９２Ａ１号明細書

出願時に特許請求されている発明と範囲において同等のある種の実施形態が、以下に要約される。これらの実施形態は、特許請求されている本発明の範囲を限定するものではなく、むしろ、これらの実施形態は、本発明の可能な形態の簡潔な要約を提供することのみを意図されている。実際、本発明は、以下に記載の実施形態と同様であり得るまたはそれらとは異なり得る様々な形態を包含し得る。

第１の実施形態では、システムは、ユーザをアプリケーション証明書に関連付ける第１のマッピングと、ユーザをユーザ特権に関連付ける第２のマッピングとを記憶するように構成されたデータリポジトリを有するコントローラを含む。本システムはさらに、ＯＰＣＵＡクライアントからのアプリケーション証明書の受信とユーザ特権の実施に基づいてサーバアクセスを提供するように構成され、ユーザ特権が第１のマッピングおよび第２のマッピングに基づいて検索可能である、ＯＰＣ統一アーキテクチャ（ＵＡ）サーバを含む。

第２の実施形態では、方法は、ユーザをアプリケーション証明書に関連付ける第１のマップと、そのユーザをユーザ特権に関連付ける第２のマップとを作成するステップを含む。本方法はまた、ＯＰＣ統一アーキテクチャ（ＵＡ）クライアントからアプリケーション証明書を受信するステップを含む。本方法はさらに、ユーザ特権の検索に基づいてコントローラへのアクセスを限定するステップを含み、そのユーザ特権の検索は、第１のマッピングおよび第２のマッピングの使用を含む。

第３の実施形態では、有形の、非一時的、コンピュータ可読媒体が、電子デバイスのプロセッサによって実行可能な複数の命令を記憶し、その命令は、ユーザをアプリケーション証明書に関連付ける第１のマップとそのユーザをユーザ特権に関連付ける第２のマップとを作成するための命令を含む。その命令はまた、ＯＰＣ統一アーキテクチャ（ＵＡ）クライアントからアプリケーション証明書を受信するための命令を含む。その命令はさらに、ユーザ特権に基づいてコントローラへのアクセスを限定するための命令を含み、ユーザ特権は、第１のマッピングおよび第２のマッピングを使用することによって判定される。

同様の文字が図面をとおして同様の部分を表す添付の図面を参照し、以下の詳細な説明が読まれるときに、本発明のこれらのおよび他の特徴、態様、および利点は、よりよく理解されよう。

コントローラ、ＯＰＣＵＡサーバ、およびＯＰＣＵＡクライアントを含む工業制御システムの一実施形態のブロック図である。図１に示す、アクセスがＯＰＣＵＡサーバに限定されるプロセスの一実施形態を示す流れ図である。図１に示すＯＰＣＵＡクライアントとＯＰＣＵＡサーバの間の通信の一実施形態を示す情報流れ図である。複数のユーザおよび関連する証明書を示す画面ビューの一実施形態を示す図である。証明書のクラスおよびユーザ名の選択を示す画面ビューの一実施形態を示す図である。複数のユーザおよび関連する特権を示す画面ビューの一実施形態を示す図である。

本発明の１つまたは複数の特定の実施形態が、以下に説明されることになる。これらの実施形態の簡潔な説明を提供することを目的として、実際の実装形態のすべての特徴は、本明細書には記載されないことがある。任意のそのような実際の実装形態の開発では、どの技術または設計プロジェクトでもそうであるように、実装形態によって変わり得る、システム関連およびビジネス関連の制約の順守など、開発者の特定の目的を達成するために、多数の実装形態特有の決定が行われる必要があることを理解されたい。さらに、そのような開発活動は、複雑で時間を要することがあるが、それでもなお、本開示の利益を有する当業者のための設計、製作、および製造を請け負うルーチンであろうことを理解されたい。

本発明の様々な実施形態の要素を紹介するとき、「ａ」、「ａｎ」「ｔｈｅ」、および「ｓａｉｄ」という冠詞は、それらの要素が１つまたは複数存在することを意味するものである。「備える」、「含む」、および、「有する」という用語は、包括的なものであり、記載された要素以外の追加の要素が存在し得ることを意味する。

本明細書に記載のある種の実施形態では、ＯＰＣＵＡプロトコルは、ＯＰＣＵＡサーバおよびユーザ（人間のユーザおよび／または自動化されたエンティティ）がＯＰＣＵＡクライアントを使用してネットワークを介して互いに通信することを可能にするために、自動発電システム（たとえば、ガス、蒸気、風力、または水力タービン、熱回収蒸気発生器（ＨＲＳＧ）、ガス化システム、燃焼システム、発電機、または同様の自動発電システム）および自動製造システム（たとえば、化学プラント、石油精製所、または同様の製造システム）などの工業オートメーションまたは制御システムで使用され得る。所望のセキュリティレベルを実現するために、および、ＯＰＣＵＡサーバとユーザの間の通信の制御を改良するために、ユーザおよび関連ユーザ情報をより効率的に識別することはＯＰＣＵＡサーバの利益になり得る。たとえば、より効率的にユーザを識別することによって、ＯＰＣＵＡサーバは、より速くユーザをユーザ特権に関連付け、その関連付けに基づいてより高速の制御動作を行うことができる。

したがって、ここで開示される実施形態は、ＯＰＣＵＡクライアントのユーザ、アプリケーション証明書、ユーザ役割、およびユーザ特権の間の複数のマッピングを作成および使用することができる。たとえば、１つのマッピングは、ユーザをアプリケーション証明書に関連付けることができ、もう１つのマッピングは、ユーザをユーザ特権に関連付けることができる。サーバにアプリケーション証明書を提示することによって、クライアントは、そのアプリケーション証明書にリンクされたユーザに関連付けられたすべての役割および特権を与えられ得る。さらに、ここで開示される実施形態は、基礎となるクライアントまたはサーバセキュリティＯＰＣアーキテクチャを変えなくてもまたは損なわなくてもよい。言い換えれば、ＯＰＣＦｏｕｎｄａｔｉｏｎによって定められた仕様に合うＯＰＣＵＡクライアントが、再コード化なしに使用され得る。そのような例示的クライアントの一例は、オハイオ州オーバーン郡区のＯＰＣＦｏｕｎｄａｔｉｏｎから入手可能である。実際、かなりの数のＯＰＣクライアントは、開示される技法を修正なしに使用することができる。

前述を考慮し、本明細書で開示される技法を組み込むオートメーションシステムを説明することは有益であり得る。したがって、図１は、本明細書で開示される改良された制御セキュリティ技法を組み込む工業オートメーションシステムの例示的実施形態としてガスタービンシステム１０を示す。図示するように、タービンシステム１０は、燃焼するための燃料／空気混合物を受け取ることができる燃焼器１２を含み得る。この燃焼は、高温の加圧された排気ガスを作り出し、燃焼器１２は、タービン１４（たとえば、ロータの部分）を介して排気口１６にその排気ガスを向ける。その排気ガスがタービン１４を通過するとき、結果として生じる力によりタービンブレードがタービンシステム１０の軸に沿ってドライブシャフト１８を回転させる。図示するように、ドライブシャフト１８は、圧縮機２０を含むタービンシステム１０の様々な部品に接続される。

ドライブシャフト１８は、たとえば、同心円状に位置合わせされ得る、１つまたは複数のシャフトを含み得る。ドライブシャフト１８は、タービン１４を圧縮機２０に接続してロータを形成するシャフトを含み得る。圧縮機２０は、ドライブシャフト１８に結合されたブレードを含み得る。それにより、タービン１４内のタービンブレードの回転は、圧縮機２０にタービン１４を接続するシャフトに圧縮機２０内のブレードを回転させることができる。圧縮機２０内のブレードの回転は、空気取り入れ口２２を介して受け取られた空気を圧縮する。圧縮された空気は、燃焼器１２に送り込まれ、燃料と混合されて、より高い効率の燃焼を可能にする。シャフト１８はまた、負荷２４に接続されてもよく、負荷２４は、乗り物であっても、発電所の発電機または航空機のプロペラなど固定負荷でもあってもよい。負荷２４が発電機であるとき、その発電機は、たとえば住宅および商用のユーザに、電力を分配するための電力網２６に結合され得る。

タービンシステム１０はまた、タービンシステム１０の動作および性能に関する複数のエンジンパラメータを監視するように構成された複数のセンサおよびフィールドデバイスを含み得る。たとえば、それらのセンサおよびフィールドデバイスは、それぞれ、たとえば、タービン１４、および圧縮機２０の入口および出口部分、に隣接して位置付けられた入口センサおよびフィールドデバイス３０と、出口センサおよびフィールドデバイス３２とを含み得る。入口センサおよびフィールドデバイス３０と出口センサおよびフィールドデバイス３２とは、たとえば、周囲温度および周囲気圧などの環境条件、ならびに、排気ガス温度、ロータ速度、エンジン温度、エンジン圧力、ガス温度、エンジン燃料流量、排気流量、振動、回転する部品と固定部品の間の間隔、圧縮機排出圧力、汚染（たとえば、窒素酸化物、硫黄酸化物、酸化炭素および／または微粒子総数）、およびタービン排気圧力などのタービンシステム１０の動作および性能に関する複数のエンジンパラメータを測定することができる。さらに、センサおよびフィールドデバイス３０および３２はまた、バルブの位置、および可変ジオメトリ部品（たとえば、空気入口にある入口ガイドベーン）の幾何学的位置などのアクチュエータ情報を測定することができる。それらの複数のセンサおよびフィールドデバイス３０および３２はまた、タービンシステム１０の様々な動作段階に関するエンジンパラメータを監視するように構成され得る。複数のセンサおよびフィールドデバイス３０および３２によって得られた測定結果（すなわち、工業オートメーションシステム１０の動作パラメータ）は、コントローラ３８に通信で結合され得るモジュールライン３４および３６を介して、送信され得る。コントローラ３８は、三重モジュール式冗長（ＴＭＲ）コントローラなどの冗長コントローラでもよい。冗長コントローラ３８は、処理コアなどの複数の（たとえば２つ、３つ、４つ、５つ、またはそれ以上の）システムを含む。たとえば、ＴＭＲコントローラ３８は、３つのシステムの多数決によって判定された出力で単一のタスクを実行する３つのシステム（たとえば、処理コア）を有する。たとえば、モジュールライン３４は、圧縮機２０から測定結果を送信するために使用することができ、一方、モジュールライン３６は、タービン１４から測定結果を送信するために使用することができる。コントローラ３８は、それらの測定結果を使用してタービンシステム１０をアクティブに制御することができる。

燃焼器１２センサ、排気装置１６センサ、取り入れ口２２センサ、間隔センサ、および負荷２４センサを含む他のセンサが使用され得ることを理解されたい。同様に、ＦｉｅｌｄｂｕｓＦｏｕｎｄａｔｉｏｎ、Ｐｒｏｆｉｂｕｓ、および／またはＨａｒｔフィールドデバイスなどの「スマート」フィールドデバイスを含む任意のタイプのフィールドデバイスが、使用され得る。ガスタービンシステム１０は、工業オートメーションシステムの単に例示的実施形態であり、他の工業オートメーションシステムは、たとえば、ガスタービン、蒸気タービン、風力タービン、もしくは水力タービン、熱回収蒸気発生器（ＨＲＳＧ）、発電機、燃料スキッド、ガス処理システム、または任意の他の自動発電システムもしくは部分的に自動の発電システムなどの自動発電システムを含み得ることもまた理解されたい。他の工業オートメーションシステムは、化学プラント、製薬工場、石油精製所、自動生産ラインまたは同様の自動のもしくは部分的に自動の製造システムなどの自動製造システムを含み得る。

前述のように、ＯＰＣＵＡサーバ４０は、それが、システム１０の動作パラメータに関するコントローラ３８からのデータを要求および／または受信することができるように、コントローラ３８に通信で結合され得る。ある種の実施形態では、ＯＰＣＵＡサーバ４０は、コントローラ３８の部分でもよく、または、ネットワーク接続（たとえば、内部ネットワーク接続４１）を介してコントローラ３８に結合され得る。システム１０の動作パラメータは、たとえば、ガスタービンシステム１０などの工業オートメーションシステムのコントローラ３８によって一般に追跡することができる、状況（たとえば、機能、動作、機能不良、セキュリティ、または同様の状況）、性能（たとえば、パワー出力、１分当たりの回転、負荷、または同様の性能パラメータ）、環境条件（たとえば、温度、圧力、電圧、電流、特定の分析物の存在もしくはレベル、または同様の環境条件）などに関する情報を含み得る。

開示されるＯＰＣＵＡサーバ実施形態は、ＯＰＣＵＡサーバ４０とＯＰＣＵＡクライアント４６などのＯＰＣＵＡクライアントを使用するユーザ４４との間の通信のより多くの制御を可能にするが、ＯＰＣＵＡクライアント４６は、一般に、標準プロトコルに従って、開示されるＯＰＣＵＡサーバ４０と通信することができる（たとえば、外部ネットワーク接続４８を使用して）。たとえば、ＯＰＣＵＡサーバ４０は、サーバ４０を識別するサーバ証明書４９を送信することになり、ＯＰＣＵＡクライアント４６は、ユーザ４４を識別するアプリケーション証明書５０をＯＰＣＵＡサーバ４０に送信することになる。前述のように、ＯＰＣＵＡクライアント４６は、任意の標準ＯＰＣＵＡクライアントでもよく、そのようなものとして、実質的に最も多くのＯＰＣ認定クライアントが、本明細書に記載の技法を使用することができる。たとえば、一実施形態では、ＯＰＣＵＡ４６クライアントは、ニューヨーク州スケネクタディのＧｅｎｅｒａｌＥｌｅｃｔｒｉｃＣｏｍｐａｎｙから入手可能なＣｏｎｔｒｏｌＳＴＴＭを含み得る。ＣｏｎｔｒｏｌＳＴＴＭは、マシン可読媒体に記憶され、たとえばコントローラ３８の、コミッショニング、プログラミング、設定１／０、傾向分析、および分析診断のために使用される、非一時的実行可能ソフトウェアまたはコンピュータ命令を含み得る。そのソフトウェアは、コントローラ３８での改良された品質の時間コヒーレントなデータのソースと、機器資産をより効果的に制御および／または管理するためのプラントレベルとを提供することができる。

一般に、データストア５４は、任意のタイプのデータリポジトリでもよい。たとえば、データストア５４は、データベースまたは他のタイプのデータサーバでもよい。加えて、ある種の実施形態では、データストア５４は、コントローラ３８の部分でもよい。データストア５４は、現場に存在し、ＯＰＣＵＡサーバ４０に通信で結合することができ（たとえば、内部バスまたは内部ネットワーク接続でもよい接続５５を介して）、あるいは、現場外にあり、外部ネットワーク接続を介してＯＰＣＵＡサーバ４０に結合され得る。他の実施形態では、データストア５４は、ＯＰＣＵＡサーバ４０と同じ電気デバイス（たとえば、コンピュータ、サーバ、または同様の処理もしくは計算デバイス）上にあってもよく、その通信は、ローカル接続（たとえば、ローカルループバック、共用ファイルまたは記憶空間など）を代わりに含んでもよい。

図示されたデータストア５４は、ユーザ、アプリケーション証明書、ユーザ役割、およびユーザ特権の間の前述のマッピングと、ユーザに関連する任意の他のデータとを記憶することができる。そのユーザは、人間のユーザ、自動化されたエンティティ（たとえば、ソフトウェアおよび／またはハードウェアエンティティ）、あるいはそれらの組合せを含み得る。一実施形態では、第１のマッピング５６は、ユーザをアプリケーション証明書に関連付ける。第２のマッピング５８は、ユーザをユーザ特権に関連付ける。他の実施形態では、第３のマッピング６０がユーザを少なくとも１つのユーザ役割（たとえば、システム管理者役割、コミッショニング技術者役割、基本的ユーザ役割）に関連付けることを理解されたい。前述のマッピングは、アプリケーション証明書管理（ＡＣＭ）システム６１内で作成され、データストア５４に通信で結合され得る。いくつかの実施形態では、ＡＣＭ６１は、システム管理者が手動か自動かのいずれかで関連付けを作成することを可能にするアプリケーションでもよい。以下にさらに示すように、そのアプリケーションは、マッピング５６、５８、６０を視覚化ならびに編集するためのグラフィカルユーザインターフェース（ＧＵＩ）を含むと有用であることがある。マッピングは、所定でも、そのアプリケーションを実行することができる任意のコンピューティングマシンで作成されてもよい。マッピング５６、５８、６０は、ネットワーク接続を介して、または携帯記憶装置（たとえば、サムドライブ、ＤＶＤ）を使用することによって、データストア５４に転送することができる。したがって、ＡＣＭは現場にあっても現場外にあってもよいことを理解されたい。一代替実施形態では、ＡＣＭ６１は、データストア５４と同じ計算デバイス（たとえば、ワークステーション、ラップトップ、タブレット、携帯電話）上にあって、ローカル接続を伴い得る。

信頼されたストア６２は、ＯＰＣＵＡサーバ４０にアクセスするために使用されるアプリケーション証明書の信頼されたリスト６４を記憶することができる。一実施形態では、信頼されたストア６２は、ＯＰＣＵＡ機能を提供するＯＰＣＵＡオーバレイまたは層を有する標準ＭｉｃｒｏｓｏｆｔＷｉｎｄｏｗｓ（登録商標）証明書ストアである。その証明書ストアの使用は、次いで、たとえばシステム管理者による、信頼されたリスト６４の容易な編集を可能にすることができる。さらに、これらの技法は、ＯＰＣＵＡサーバ４０およびＯＰＣＵＡクライアント４６と連動した共通の規格、たとえば、ＭｉｃｒｏｓｏｆｔＷｉｎｄｏｗｓ（登録商標）証明書ストア、の使用を実現する。任意の他の共通の証明書ストア規格が、開示される実施形態で使用され得る。信頼されたストア６２は、ＯＰＣＵＡサーバ４０に通信で結合される。ある種の実施形態では、信頼されたストア６２は、現場にあって、たとえば内部ネットワーク接続を介して、ＯＰＣＵＡサーバ４０と通信することができ、あるいは、現場外にあって、外部ネットワーク接続を介してＯＰＣＵＡサーバ４０に結合されてもよい。これらの実施形態では、信頼されたストア６２は、任意のＭｉｃｒｏｓｏｆｔＷｉｎｄｏｗｓ（登録商標）証明書ストアにアクセスすることができるコンピューティングマシンで使用され得ることを理解されたい。他の実施形態では、信頼されたストア６２は、ＯＰＣＵＡサーバ４０と同じ計算デバイス（たとえば、コンピュータ、サーバ、ラップトップ、タブレット、携帯電話、携帯デバイス、または同様の処理もしくは計算デバイス）上にあってもよく、その通信は、代わって、ローカル接続（たとえば、ローカルエリアネットワーク（ＬＡＮ））を伴い得る。その通信は、図２に関して以下にさらに詳しく説明されるように、証明書４９、５０を交換し、たとえばユーザ４４特権および役割を、導出するために使用することができる。

図２は、それによってＯＰＣＵＡサーバ４０が、ここで開示される実施形態に従ってアクセスを限定することができる、プロセス１２０の一実施形態を示す流れ図である。プロセス１２０は、コントローラ３８、サーバ４０、クライアント４６、データストア５４、またはそれらの組合せのメモリなどのマシン可読媒体内に記憶された実行可能な非一時的コンピュータ命令またはコード内に含まれ得る。プロセス１２０は、第１のマッピング５６をＡＣＭ６１が作成すること（ブロック１２１）で開始し得る。前述のように、第１のマッピング５６は、１人または複数のユーザ４４を１つまたは複数のアプリケーション証明書５０に関連付ける、またはリンクする。次に、ＡＣＭ６１が、第２のマッピング５８を作成する（ブロック１２２）。前述のように、第２のマップ５８は、１人または複数のユーザ４４を１つまたは複数のユーザ特権と関連付ける。そのユーザ特権は、読み取る、書き込む、更新する、他のメソッド呼出しを行う、または、より一般的には、ＯＰＣＵＡサーバ４０にアクセスするための能力を含む。ユーザ特権は、発電システムまたは自動製造システムなどのシステム１０に行われ得るメソッド呼出しに相当し得ることを理解されたい。マップ５６、５８が作成された後は、ＯＰＣＵＡサーバ４０は、ＯＰＣＵＡクライアント４６などのＯＰＣＵＡクライアントからアプリケーション証明書５０を受信する（ブロック１２３）。アプリケーション証明書５０および第１のマッピング５６を使用し、ＯＰＣＵＡサーバ４０は、ＯＰＣＵＡクライアント４６でユーザ４４を導出する（ブロック１２４）。すなわち、第１のマッピング５６は、サーバ４０が、受信されたアプリケーション証明書５０を使用すること、および、関連ユーザの識別を導出することを可能にする。したがって、追加のユーザ身分証明、（たとえば、ユーザ名、パスワード）を入力するのに費やされたであろう時間は、最小限に抑えるまたは削減することができる。ユーザ４４が導出された後、ＯＰＣＵＡサーバ４０は、導出されたユーザ４４および第２のマッピング５８を使用し、ユーザ特権を導出する（ブロック１２５）。第２のマッピング５８は、サーバ４０が、導出されたユーザ４４を使用すること、および、ユーザ４４に関連するユーザ特権を導出することを可能にする。それにより、ＯＰＣＵＡサーバ４０は、導出されたユーザ特権に基づいてクライアント４６へのアクセスを限定することができる（ブロック１２６）。たとえば、クライアント４６がサーバ４０に書込みをしようと試みる場合、サーバ４０は、次いで、導出されたユーザ特権を確認して、クライアント４６が書込み特権を提供されているかどうかを判定することができる。サーバ４０は、コントローラ３８に通信で結合され得るまたはコントローラ３８に含まれ得るので、導出された特権は、コントローラ３８へのアクセスを限定するために使用され得る。したがって、コントローラ３８によって行われる制御動作は、送信された証明書５０と、導出されたユーザ特権および／または役割とに基づいて、限定され得る。この方式で、マッピング５６、５８は、より効率的なコントローラ３８セキュリティシステムを可能にすることができる。

図３は、図２に示されたプロセス１２０によるＯＰＣＵＡクライアント４６とＯＰＣＵＡサーバ４０の間の通信の一実施形態を示す情報流れ図である。ＯＰＣＵＡクライアント４６とＯＰＣＵＡサーバ４０の間の通信は、トランスポート層セキュリティ（ＴＬＳ）またはセキュリティソケット層（ＳＳＬ）などの任意の標準セキュリティプロトコルを使用してもよい。たとえば、一実施形態では、ＯＰＣＵＡサーバ４０とＯＰＣＵＡクライアント４６の間の最初の接続１３０の後、ＯＰＣＵＡサーバ４０は、ＯＰＣＵＡクライアント４６がそれが所望のサーバ４０と通信していることを確認することができるように、ＯＰＣＵＡクライアント４６にサーバ証明書４９を送信することになる。ＯＰＣＵＡクライアント４６がそれが所望のサーバ４０と通信していることを確認した後は、ＯＰＣＵＡクライアント４６は、アプリケーション証明書５０をＯＰＣＵＡサーバ４０に送信して、ＯＰＣＵＡクライアント４６を使用するまたはそれに関連付けられたユーザ４４を識別することになる。使用することができる１つのタイプのアプリケーション証明書５０は、Ｘ．５０９証明書である。Ｘ．５０９証明書規格は、証明書所有者をそれの公開鍵に暗号法で結び付ける。Ｘ．５０９証明書は、データセクション（すなわち、バージョン番号、その証明書の通し番号、アルゴリズム、発行者の識別、有効期間、および、主題の識別）と、署名セクションとを含む。他の証明書タイプは、ＥＶ（ＥｘｔｅｎｄｅｄＶａｌｉｄａｔｉｏｎ、拡張された検証）ＳＳＬ証明書、ＯＶ（ＯｒｇａｎｉｚａｔｉｏｎＶａｌｉｄａｔｉｏｎ、組織検証）ＳＳＬ証明書、および、ＤＶ（ＤｏｍａｉｎＶａｌｉｄａｔｉｏｎ、ドメイン検証）ＳＳＬ証明書を含み得る。

アプリケーション証明書５０を受信した後、ＯＰＣＵＡサーバ４０は、ＯＰＣＵＡクライアント４６がＯＰＣＵＡサーバ４０と通信することを許可されることを確保するために、アプリケーション証明書５０が信頼されたストア６２内で見つかることを確認する（通信矢印１３１）。次に、アプリケーション証明書５０が、ＯＰＣＵＡクライアント４６のユーザのユーザ特権を判定するために（導出１３２）、データストア５４に送信される。前述のように、データストア５４は、アプリケーション証明書５０をユーザ４４に関連付ける第１のマッピング５６と、ユーザ４４をユーザ特権および／または役割に関連付ける第２のマッピングとを使用することができる。データストア５４は、ユーザ役割をユーザ特権に関連付ける第３のマッピングを使用することができることを理解されたい。ユーザとユーザ役割、ユーザとコントローラ動作、ユーザとハードウェア、ユーザとアプリケーションなどの間のマッピングを含む、他のマッピングが、マッピング５６、５８、６０に加えてまたはそれらの代わりに使用され得る。したがって、ユーザアクセスは、そのユーザが使用することを許可され得るコントローラ動作、ハードウェア、および／またはソフトウェアアプリケーションを導出することによって、見つけることができる。ユーザ特権および／または役割が導出された（導出１３２）後は、特権フィルタ１３４が、ＯＰＣＵＡサーバ４０内で作成される。それにより、ＯＰＣＵＡクライアント４６のユーザ４４がメソッド呼出し１３３を行おうとまたは他の方法でＯＰＣＵＡサーバ４０にアクセスしようと試みる度に、ＯＰＣＵＡサーバ４０は、クライアント４６が適切なユーザ特権および／または役割を有するかどうかを確認することになる。ＯＰＣＵＡサーバ４０がクライアント４６が適切なユーザ特権および／または役割を有さないと判定した場合、ＯＰＣＵＡサーバ４０は、不良アクセス結果１３５で応答することができる。他方で、クライアント４６が適切な特権および／または役割を有する場合、ＯＰＣＵＡサーバ４０は、要求された動作１３６を行うことができる。

本明細書に記載の技法より前には、ＯＰＣＵＡサーバ４０およびＯＰＣＵＡクライアント４６は、複雑なおよび多数のステップを介して通信することができた。比較して、本明細書に記載の技法は、特権フィルタ１３４の作成および使用によって、ＯＰＣＵＡサーバ４０とＯＰＣＵＡクライアント４６の間の通信を単純化することができる。したがって、ＯＰＣＵＡサーバ４０とＯＰＣＵＡクライアント４６の間の通信のセキュリティは、通信の制御の強化で改良され得る。たとえば、ＯＰＣＵＡサーバ４０は、ユーザ５２をユーザ証明書５０に関連付けることができ得る。本明細書に記載の技法を実装するために使用され得るアプリケーションの一実施形態のグラフィカルユーザインターフェース（ＧＵＩ）の画面ビューが、図４〜６に示される。

図４は、ユーザセル１４２を証明書識別子セル１４０と関連付けることによって、ＡＣＭ６１によって作成された第１のマッピング５６を実装するアプリケーションの画面ビュー１３８、ＧＵＩ、の一実施形態である。画面ビュー１３８は、コンピュータ、サーバ、ラップトップ、タブレット、携帯電話、携帯デバイス、または同様の処理もしくは計算デバイスのメモリなどの非一時的コンピュータ可読媒体内で記憶されたコンピュータ命令を使用することによって、実装され得る。図示された実施形態では、画面ビュー１３８は、ＯＰＣＵＡサーバタブ１４４を第１に選択することによって、表示され得る。画面ビュー１３８内に見ることができるように、選択することができる他のタブは、Ｇｅｎｅｒａｌ（一般）、ＯＰＣＤＡサーバ、Ｖａｒｉａｂｌｅｓ（変数）、およびＥＧＤを含む。ＯＰＣＵＡＳｅｒｖｅｒ（サーバ）タブ１４４が選択された後は、ＯＰＣＵＡツリー制御１４６が、セキュリティ証明書ノード１４８、画面ビュー１３８、および、ＯＰＣＵＡクライアントのリストを表示するＯＰＣＵＡクライアントノード１５０の間を移動するために使用され得る。セキュリティ証明書ノード１４８が選択されるとき、証明書識別子リストまたは欄１５２、および、特権ユーザ名リストまたは欄１５４が、コンピュータなどのアプリケーションを実行するデバイスに表示され得る。第１のマッピング５６を実装するために、「ユーザ３」１４２で示されるものなど、特権ユーザ名リスト１５４からの各ユーザは、証明書識別子リスト１５２の「Ｄ６２７Ａ８Ｄ４ＤＢＡ９６Ｂ８ＥＡ３３８６７１４ＢＣ２Ｆ４Ａ０７５９９７３Ｅ５９」１４０などの証明書識別子と関連付けられ得る。特権ユーザ名リスト１５４内のユーザは証明書識別子リスト１５２中の証明書識別子と視覚的に関連付けられ得ることを理解されたい。前述のように、ＡＣＭ６１は、特権ユーザリスト１５４内のエントリと証明書識別子リスト１５２内のエントリの間の関連付け（たとえば、マッピング５６）を追加、変更または除去する能力を有し得る。これを実装するために使用され得るアプリケーションは、図５中に見ることができる。

図５は、証明書識別子１５８および関連ユーザ名１５９の選択を示すダイアログボックスの画面ビュー１５６、ＧＵＩ、の一実施形態である。説明のために、エントリの編集は、「ユーザ３」１４２というラベルを付けられたユーザ４４と「Ｄ６２７Ａ８Ｄ４ＤＢＡ９６Ｂ８ＥＡ３３８６７１４ＢＣ２Ｆ４Ａ０７５９９７３Ｅ５９１４０」というラベルを付けられた関連証明書識別子１４０との関連で論じられることになる。画面ビュー１５６は、コンピュータ、サーバ、ラップトップ、タブレット、携帯電話、携帯デバイス、または同様の処理もしくは計算デバイスのメモリなどの非一時的コンピュータ可読媒体に記憶されたコンピュータ命令を使用することによって、実装され得る。どのエントリが編集されているかを判定するために、クライアント４６セキュリティ証明書が、ドロップダウンメニュー１７０から選択され得る。画面ビュー１５６で、選択されたクライアント４６は、「会社ＡＢＣＯＰＣＵＡクライアント」のラベルを付けられる。クライアント４６セキュリティ証明書が選択された後は、証明書識別子１５８に関連付けられ得るある種のアイテムが存在し得る。第１のアイテムは、クライアントの名１６０を含み得る。クライアントの名１６０の一例は、「会社ＡＢＣＯＰＣＵＡクライアント」１６２のラベルを付けられる。別のアイテムは、識別名（ＤＮ）１６４を含み得る。ＤＮ１６４は、Ｘ．５０９証明書規格で知られた一意の識別子である。図示された例で、ＤＮ１６４は、「ＣＮ＝会社ＡＢＣＯＰＣＵＡクライアント、ＯＵ＝アルファベット、Ｏ＝会社ＡＢＣ、Ｌ＝Ｌｅｔｔｅｒｖｉｌｌｅ、Ｓ＝ＮＹ、Ｃ＝ＵＳ１６６」のラベルを付けられる。第３のアイテムは、文字のランダムな列で構成される一意のサムプリント１６８を含み得る。図示された例で、一意のサムプリント１６８は、「Ｄ６２７Ａ８Ｄ４ＤＢＡ９６Ｂ８ＥＡ３３８６７１４ＢＣ２Ｆ４Ａ０７５９９７３Ｅ５９１４０」のラベルを付けられる。各アイテムは、異なるレベルのセキュリティを提供することができることが、理解されよう。たとえば、一意のサムプリント１６８は、名１６０よりも安全であり得る。画面ビュー１５６で、一意のサムプリント１６８オプションが選ばれる。それにより、証明書識別子１５８は、Ｄ６２７Ａ８Ｄ４ＤＢＡ９６Ｂ８ＥＡ３３８６７１４ＢＣ２Ｆ４Ａ０７５９９７３Ｅ５９１４０を使用するようにセットされる。バイオメトリックアイテム、セキュリティトークン、チャレンジレスポンス鍵などを含む他のアイテムが、使用され得る。

証明書識別子１５８が選択された後、対応するユーザ名１５９がドロップダウンメニュー１７２から選択され得る。画面ビュー１５６で、選ばれたユーザ名１５９は、「ユーザ３」１４２のラベルを付けられる。図４に関して、証明書識別子１５８とユーザ名１５９の間の画面ビュー１５６内で選ばれた関連付けが、画面ビュー１３８内に表示される。受信された証明書識別子１５８に基づいてユーザ名１５９を識別することが可能であるので、次のステップは、図６に示すように、ユーザ名１５９をユーザ特権および／または役割に関連付けることでもよい。

図６は、ユーザ１４２をユーザ特権および／または役割に関連付けることによって、第２のマッピング５８を実装することができるアプリケーションの画面ビュー１７４、ＧＵＩ、の一実施形態である。やはり説明のために、ユーザ特権および／または役割の関連付けは、「ユーザ３」１４２のラベルを付けられたユーザ４４との関連で論じられることになる。画面ビュー１７４は、コンピュータ、サーバ、ラップトップ、タブレット、携帯電話、携帯デバイス、または同様の処理もしくは計算デバイスのメモリなどの非一時的コンピュータ可読媒体に記憶されたコンピュータ命令を使用することによって、実装され得る。図示された実施形態では、画面ビュー１７４は、ツリービューリスト１７７からユーザおよび役割ノード１７６を選択することによって、表示することができる。他のノードオプションは、警報システム、診断翻訳、書式仕様セット、ＨＭＩリソース、ＨＭＩ画面、およびプラントエリアを含み得る。

画面ビュー１７４は、ユーザ１４２をユーザ特権および／または役割に関連付けるために、２つの別個のテーブル１７８および１８６を使用することができる。第１のテーブル１７８は、ユーザ名１８０のリストまたは欄を役割のリストまたは欄１８２に関連付けることができる。たとえば、ユーザ１４２は、オペレータ１８４の役割と関連付けられる。ユーザと関連付けられ得る他の役割は、管理者、保守、およびビューを含む。第２のテーブル１８６は、次いで、役割のリスト１８８をユーザ特権１９０、１９２、１９４、１９６、１９８、２００、２０２、２０４と関連付けることができる。ユーザ特権１９０、１９２、１９４、１９６、１９８、２００、２０２、２０４は、制御システム内で行われ得るある種のメソッド呼出しおよび他のアクションへのアクセスを可能にするために使用することができる。画面ビュー１７４にあるように、各ユーザ特権は、別個の欄でもよい。たとえば、１つのユーザ特権は、タグアウト特権１９０である。タグアウト特権１９０欄で、「タグアウト」することができる各ユーザ役割は真（Ｔｒｕｅ）を有することができ、「タグアウト」することができない各ユーザは偽（Ｆａｌｓｅ）を有することができる。画面ビュー１７４に図示された実施形態では、オペレータユーザ役割１８８は、「タグアウト」することができる。したがって、ユーザ３１４２はオペレータの役割１８８に関連するので、ユーザ３１４２は「タグアウト」することができることになる。他のユーザ特権は、ライブデータ修正特権１９２、ライブデータ強制特権１９４、警報特権１９６、ＨＭＩグラフィックから定義に進む特権１９８、警報サービス特権２００、ダウンロード特権２０２、および警報シェルブ特権２０４を含み得る。ユーザ名１８０のリスト内のユーザはユーザ特権１９０、１９２、１９４、１９６、１９８、２００、２０２、２０４と視覚的に関連付けられ得ることを理解されたい。加えて、ユーザ１４２とユーザ特権の間の単一テーブルマッピングがＯＰＣＵＡサーバ４０によって使用され得ることも理解されたい。さらに、ユーザ１４２は、複数の役割、ハードウェアアクセス、ソフトウェアアクセス、制御動作アクセスなどを割り当てられ得ることが分かる。

加えて、第１のテーブル１７８は、人−マシンインターフェース（ＨＭＩ）リソース２０６のリストにユーザ名のリスト１８０を関連付けることができる。画面ビュー１７４に表された実施形態では、ユーザ１４２は、「Ｃｏｏｌｉｎｇ、ＬｕｂｅＡおよびＰｕｍｐｌ」のラベルを付けられたＨＭＩリソースと関連付けられる。リストに記載されたＨＭＩリソースは、ユーザ１４２が制御システム１０へのアクセスを有するアイテムを含み得る。たとえば、ユーザ３１４２は、Ｐｕｍｐｌで制御システムにアクセスすることができ得る。

開示される実施形態の技術的効果は、ＯＰＣＵＡサーバ４０がＯＰＣＵＡサーバ４０とＯＰＣＵＡクライアント４６の間の通信のセキュリティを改善することを可能にすることを含む。具体的には、ＯＰＣＵＡサーバ４０は、ＯＰＣＵＡクライアント４６でユーザ５２をより効率的に識別し、ユーザ５２がメソッド呼出しを行うことを可能にするユーザ特権にユーザ５２を関連付けることができ得る。言い換えれば、ＯＰＣＵＡサーバ４０は、誰がＯＰＣＵＡクライアント４６上にあるかと、彼らが制御システム１０内で何を行うことができるかを判定することができる。

本明細書は、最良の形態を含めて本発明を開示するために、また、任意のデバイスまたはシステムの作成および使用と任意の組み込まれた方法の実行とを含めて、当業者が本発明を実施することを可能にするために、例を使用する。本発明の特許性のある範囲は、特許請求の範囲によって定義され、当業者が思い付く他の例を含み得る。そのような他の例は、それらが本特許請求の範囲の文字通りの文言と異ならない構造的要素を有する場合、またはそれらが本特許請求の範囲の文字通りの文言とごくわずかな差を有する同等の構造的要素を含む場合、本特許請求の範囲内にあるものとする。

１０システム
１２燃焼器
１４タービン
１６排気口
１８ドライブシャフト
２０圧縮機
２２空気取り入れ口
２４負荷
２６電力網
３０入口センサおよびフィールドデバイス
３２出口センサおよびフィールドデバイス
３４モジュールライン
３６モジュールライン
３８コントローラ
４０ＯＰＣＵＡサーバ
４１内部ネットワーク接続
４４ユーザ
４６ＯＰＣＵＡクライアント
４８外部ネットワーク接続
４９サーバ証明書
５０アプリケーション証明書
５２ユーザ
５４データストア
５５接続
５６第１のマッピング
５８第２のマッピング
６０第３のマッピング
６１アプリケーション証明書管理（ＡＣＭ）システム
６２信頼されたストア
６４信頼されたリスト
１３８画面ビュー
１４０証明書識別子セル
１４２ユーザセル
１４４ＯＰＣＵＡサーバタブ
１４６ＯＰＣＵＡツリー制御
１４８セキュリティ証明書ノード
１５０ＯＰＣＵＡクライアントノード
１５２証明書識別子リストまたは欄
１５４特権ユーザ名リストまたは欄
１５６画面ビュー
１５８証明書識別子
１５９関連ユーザ名
１６０クライアントの名
１６２ラベル「会社ＡＢＣＯＰＣＵＡクライアント」
１６４識別名（ＤＮ）
１６６ラベル「ＣＮ＝会社ＡＢＣＯＰＣＵＡクライアント、ＯＵ＝アルファベット、Ｏ＝会社ＡＢＣ、Ｌ＝Ｌｅｔｔｅｒｖｉｌｌｅ、Ｓ＝ＮＹ、Ｃ＝ＵＳ」
１６８サムプリント
１７０ドロップダウンメニュー
１７２ドロップダウンメニュー
１７４画面ビュー
１７６ユーザおよび役割ノード
１７７ツリービューリスト
１７８テーブル
１８０ユーザ名
１８２役割のリストまたは欄
１８４オペレータ
１８６第２のテーブル
１８８ユーザ役割
１９０ユーザ特権
１９２ユーザ特権
１９４ユーザ特権
１９６ユーザ特権
１９８ユーザ特権
２００ユーザ特権
２０２ユーザ特権
２０４ユーザ特権

Claims

工業システムを制御するコントローラと、
ユーザＩＤとアプリケーション証明書を特定する情報とを有する第１のマッピングデータ構造および前記ユーザＩＤ及び他のユーザＩＤをユーザ特権に関連付ける第２のマッピングデータ構造を記憶するように構成されたデータリポジトリと、
前記コントローラと前記データリポジトリとに通信可能に結合した、プロセス制御（ＯＰＣ）統一アーキテクチャ（ＵＡ）サーバと、
を備え、
前記ＯＰＣＵＡサーバは、
クライアントからのアプリケーション証明書を受信して、セキュリティ通信プロトコルを使用したＯＰＣＵＡクライアントとの通信接続を開始し、
前記第１のマッピングデータ構造を使用して前記ＯＰＣＵＡクライアントのユーザＩＤを特定し、
前記セキュリティ通信プロトコルを使用した通信接続が開始した後、自動的に、前記第２のマッピングデータ構造と前記アプリケーション証明書を使用して、前記ＯＰＣＵＡクライアントのユーザ特権を特定し、
特定されたユーザ特権に基づいて前記コントローラへのアクセス権を前記ＯＰＣＵＡクライアントに提供して、前記ＯＰＣＵＡクライアントが前記コントローラに指示して前記工業システムの制御動作を実行させることを可能にするように構成される、システム。
前記ＯＰＣＵＡサーバが、前記ＯＰＣＵＡクライアントのユーザＩＤを特定するために前記第１のマッピングデータ構造に前記アプリケーション証明書を入力し、前記ＯＰＣＵＡクライアントのユーザ特権を特定するために前記第２のマッピングデータ構造に前記ユーザＩＤを入力するように構成された、請求項１に記載のシステム。
前記アプリケーション証明書が、証明書の通し番号、アルゴリズム、発行者の識別、有効期間、および、署名セクションとを含む証明書オブジェクトである、請求項１または２に記載のシステム。
前記データリポジトリが、前記第１のマッピングデータ構造および前記第２のマッピングデータ構造を保持するデータストアを備え、
前記ＯＰＣＵＡサーバが、サーバ証明書を前記ＯＰＣＵＡクライアントに送信するように構成され、前記ＯＰＣＵＡクライアントが、前記サーバ証明書を使用することによって前記ＯＰＣＵＡサーバを認証し、前記ＯＰＣＵＡクライアントのユーザのユーザ特権を判定するために、前記アプリケーション証明書を前記データストアに送信するように構成され、
前記データストアが、前記ユーザＩＤと前記ユーザ特権とを前記ＯＰＣＵＡサーバに送信するように構成された、請求項１乃至３のいずれかに記載のシステム。
前記ＯＰＣＵＡサーバが、前記アプリケーション証明書および信頼されたストアを使用することによって前記ＯＰＣＵＡクライアントを認証するように構成される、請求項１乃至４のいずれかに記載のシステム。
前記第１のマッピングデータ構造および前記第２のマッピングデータ構造を作成するように構成されたアプリケーション証明書マッピング（ＡＣＭ）システムを備え、
前記ＡＣＭシステムが、前記ユーザＩＤを前記アプリケーション証明書に視覚的に関連付けることによって前記第１のマッピングデータ構造を作成するように構成されたユーザ対アプリケーション証明書マッピング画面を備え、
前記ＡＣＭシステムが、前記ユーザＩＤを前記ユーザ特権に視覚的に関連付けることによって前記第２のマッピングデータ構造を作成するように構成されたユーザ対ユーザ特権マッピング画面を備える、請求項１乃至５のいずれかに記載のシステム。
前記コントローラが、タービンシステム、ガス化システム、工業プラント、発電システム、またはそれらの組合せの動作を制御するように構成された三重モジュール式冗長（ＴＭＲ）コントローラであり、
前記工業システムが、ガスタービンシステム、ガス化システム、蒸気タービンシステム、風力タービンシステム、水力タービンシステム、発電システム、またはそれらの任意の組合せを備える工業オートメーションシステムである、請求項１乃至６のいずれかに記載のシステム。
アプリケーション証明書管理システムを使用して、ユーザＩＤとアプリケーション証明書を特定する情報とを有する第１のマッピングデータ構造を作成するステップと、
前記アプリケーション証明書管理システムを使用して、前記ユーザＩＤ及び他のユーザＩＤをユーザ特権に関連付ける第２のマッピングデータ構造を作成するステップと、
プロセス制御のためのオブジェクトのリンクと埋め込み（ＯＬＥ）（ＯＰＣ）統一アーキテクチャ（ＵＡ）クライアントから前記アプリケーション証明書をプロセス制御（ＯＰＣ）統一アーキテクチャ（ＵＡ）サーバが受信するステップと、
前記ＯＰＣＵＡサーバを使用して、前記アプリケーション証明書が信頼されたストアに記録されているかを判定するステップと、
前記アプリケーション証明書が前記信頼されたストアに記録されている場合、前記アプリケーション証明書に基づいて、セキュリティ通信プロトコルを使用した前記ＯＰＣＵＡクライアントとの通信接続を開始し、前記第１のマッピングデータ構造を使用して、前記ＯＰＣＵＡクライアントのユーザＩＤを前記ＯＰＣＵＡサーバを使用して特定するステップと、
前記セキュリティ通信プロトコルを使用した通信接続が開始した後、自動的に、前記第２のマッピングデータ構造と前記アプリケーション証明書を使用して、前記ＯＰＣＵＡクライアントのユーザ特権を前記ＯＰＣＵＡサーバを使用して特定するステップと、
前記ＯＰＣＵＡサーバを使用して、特定されたユーザ特権に基づいて、前記ＯＰＣＵＡクライアントにコントローラへのアクセス権を付与し、前記ＯＰＣＵＡクライアントが前記コントローラに指示して工業システムの制御動作を実行させることを可能にするステップと、
を含む、方法。
前記第１のマッピングデータ構造および前記第２のマッピングデータ構造の使用が、前記第１のマッピングデータ構造を使用することによって前記ユーザＩＤを前記アプリケーション証明書に突き合わせるステップと、前記第２のマッピングデータ構造を使用することによって前記ユーザ特権を前記ユーザＩＤに突き合わせるステップとを含む、請求項８記載の方法。
前記ユーザ特権が、発電システムまたは自動製造システムに行われるメソッド呼出しに対応する、請求項８または９に記載の方法。
グラフィカルユーザインターフェース（ＧＵＩ）に前記第１のマッピングデータ構造および前記第２のマッピングデータ構造を表示するステップを含み、
前記第１のマッピングデータ構造が、複数のユーザＩＤを１つのアプリケーション証明書に関連付け、
前記アプリケーション証明書が、証明書オブジェクトである、請求項８乃至１０のいずれかに記載の方法。
工業システムのプロセッサによって実行可能な複数の命令を記憶する、有形の、非一時的な、コンピュータ可読媒体であって、前記命令が、
ユーザＩＤとアプリケーション証明書を特定する情報とを有する第１のマッピングデータ構造を作成し、
前記ユーザＩＤ及び他のユーザＩＤをユーザ特権に関連付けるように構成された第２のマッピングデータ構造を作成し、
前記工業システムへのアクセス権限を要求するプロセス制御のためのオブジェクトのリンクと埋め込み（ＯＬＥ）（ＯＰＣ）統一アーキテクチャ（ＵＡ）クライアントから前記アプリケーション証明書を受信して、前記アプリケーション証明書に基づいて、セキュリティ通信プロトコルを使用した前記ＯＰＣＵＡクライアントとの通信接続を開始し、
データリポジトリに記録された前記第１のマッピングデータ構造を使用して、前記ＯＰＣＵＡクライアントのユーザＩＤを特定し、
前記セキュリティ通信プロトコルを使用した通信接続が開始した後、自動的に、前記データリポジトリに記録された前記第２のマッピングデータ構造と前記アプリケーション証明書を使用して、前記ＯＰＣＵＡクライアントのユーザ特権を特定し、
特定されたユーザ特権に基づいて、前記ＯＰＣＵＡクライアントにコントローラへのアクセス権を付与し、前記ＯＰＣＵＡクライアントが前記コントローラに指示して前記工業システムの制御動作を実行させるための命令を備える、媒体。