JP6790195B2 - 自動化された公開鍵基盤の初期設定 - Google Patents

Description

本発明は、請求項１記載の、エンジニアリングステーションとして構成されている少なくとも１つのサーバと、証明書を発行するための少なくとも１つの認証局と、を有している技術的設備、特に製造設備または処理設備における、オペレータステーションとして構成されているサーバを初期設定するための方法に関する。さらに本発明は、請求項７記載の、技術的設備のオペレータステーションサーバ、請求項８記載の、技術的設備、特に製造設備または処理設備に関する。

技術的設備のオペレータステーションサーバ（ＯＳサーバ）の役割に応じて、動作のために多数の証明書が必要となる。それらの証明書として、例えば、以下の証明書が挙げられる：
−ＯＰＣ ＵＡ（Ｏｐｅｎ Ｐｌａｔｆｏｒｍ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｕｎｉｆｉｅｄ Ａｒｃｈｉｔｅｃｔｕｒｅ）コネクションを介する、第三者システムとの通信のためのＯＰＣ ＵＡ証明書、
−ウェブコネクションを用いる操作および監視のためのＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）証明書、
−例えば、（プロセスイメージを配布する際の）ネットワーク内でのオペレータステーションサーバの暗号化された通信のための別の証明書。

役割は、オペレータステーションサーバの設置時／設置後において明確ではない。何故ならば、その役割はプロジェクトに依存するからである。さらに、役割は、オペレータステーションサーバのライフサイクル中に変化する可能性がある。このことは、役割を果たすために必要とされる証明書についても当てはまる。

各オペレータステーションサーバ自体のための証明書の他に、オペレータステーションサーバにおいては、そのオペレータステーションサーバ（ＯＳサーバ）が自身の通信相手の証明書を確認するために必要とするデータ（規格ＲＦＣ５２８０においては、いわゆる「トラストチェーン（ｔｒｕｓｔ ｃｈａｉｎｓ）」と称される）も格納されるべきである。例えば、それらのデータは、ＯＳサーバＯＳ１に対して発行された証明書ｃｅｒｔ（ＯＳ１）に関して、以下の証明書を含んでいる：
−ｃｅｒｔ（Ｉｓｓｕｉｎｇ ＣＡ１）
−ｃｅｒｔ（Ｉｎｔｅｒｍｅｄｉａｔｅ ＣＡ１）
−ｃｅｒｔ（Ｉｎｔｅｒｍｅｄｉａｔｅ ＣＡ１（ｉ））
−ｃｅｒｔ（Ｒｏｏｔ＿ＣＡ１）

ここで、「Ｉｓｓｕｉｎｇ ＣＡ１」は、証明書ｃｅｒｔ（ＯＳ１）を発行した、いわゆる「発行認証局（Ｉｓｓｕｉｎｇ Ｃｅｒｔｉｆｉｃａｔｉｏｎ Ａｕｔｈｏｒｉｔｙ）」である。Ｉｎｔｅｒｍｅｄｉａｔｅ ＣＡ１（１）は、証明書ｃｅｒｔ（Ｉｓｓｕｉｎｇ ＣＡ１）を発行したか、または換言すれば、「Ｉｓｓｕｉｎｇ ＣＡ１」に署名をした、いわゆる「中間発行局（Ｉｎｔｅｒｍｅｄｉａｔｅ Ｃｅｒｔｉｆｉｃａｔｉｏｎ Ａｕｔｈｏｒｉｔｙ）」である。

Ｉｎｔｅｒｍｅｄｉａｔｅ ＣＡ１（ｉ）、ただし２＜ｉ＜ｎは、整数値ｎ（＞２）についての、証明書ｃｅｒｔ（ＣＡ１（ｉ−１））を発行したか、または換言すれば、「Ｉｎｔｅｒｍｅｄｉａｔｅ ＣＡ１（ｉ−１）」に署名をした、いわゆる「中間発行局（Ｉｎｔｅｒｍｅｄｉａｔｅ Ｃｅｒｔｉｆｉｃａｔｉｏｎ Ａｕｔｈｏｒｉｔｙ）」である。「Ｉｎｔｅｒｍｅｄｉａｔｅ ＣＡ１（ｎ）＝Ｒｏｏｔ＿ＣＡ１」は、証明書ｃｅｒｔ（Ｉｎｔｅｒｍｅｄｉａｔｅ ＣＡ１（ｎ−１））を発行したか、または換言すれば「Ｉｎｔｅｒｍｅｄｉａｔｅ ＣＡ１（ｎ−１）」に署名をした、信頼できるルートＣＡ（Ｒｏｏｔ ＣＡ）である。

認証局（ＣＡ：Ｃｅｒｔｉｆｉｃａｔｉｏｎ Ａｕｔｈｏｒｉｔｙ）は、確実に保存されなければならず、またオフラインでなければならず、さらに他の下位の認証局に対して証明書を発行するためにのみ起動されることが許可される／起動されるべきである。

相互的な証明書確認は、セキュアな通信のためのプロトコルを使用する通信の標準的な構成要素である。例えば、ＴＬＳで保護された通信における最初のステップは、いわゆるＴＬＳハンドシェイクによって表され、このＴＬＳハンドシェイクにおいては、通信相手同士で自身の証明書を相互的に確認する。証明書確認が成功裡に終わったときに初めて、ＴＬＳ保護された実際の通信が行われる。

図１には、第１のＯＳサーバ１と第２のＯＳサーバ２との間のセキュアな通信のために必要とされる証明書およびトラストチェーンが、従来技術に従い、２つの通信相手１、２間でどのように手動で配布されるかが図示されている。それらのデータを、これに関して権限を有しているユーザによって、相応の認証局（ここでは図示せず）に要求することができ、（例えばｐｅｍファイルの形式で）インポートすることができる。

ここでは、専用の使用目的のための専用の証明書であることを強調するために、関与するＯＳサーバ１、２に対して発行された証明書３、４を、ｃｅｒｔ（ＯＳ１Ｅｎｃ）およびｃｅｒｔ（ＯＳ２Ｅｎｃ）と記す。ここで、例示的に「Ｅｎｃ」と記すプロトコルは、セキュアな通信のための専用のプロトコルである。

このことは、特に、２つのＯＳサーバ１、２が、それらのＯＳサーバ１、２が利用したい別のセキュアな用途のために、別の証明書を、自身の通信相手のトラストチェーンと共に必要とすることを意味している。

図１は、２つのＯＳサーバ１、２間の初期認証の証明書ベースのフローを示す。第１のステップにおいては、ＯＳサーバ１が、セキュアなプロトコル（ここでは「Ｅｎｃ」と記す）の利用のために特定された自身の証明書３（ｃｅｒｔ（ＯＳ１Ｅｎｃ））をＯＳサーバ２に送信し、このＯＳサーバ２は、続いて、第１のＯＳサーバ１を確認する。この際、証明書３（ｃｅｒｔ（ＯＳ１Ｅｎｃ））において一緒に供給されるトラストチェーンが、第２のＯＳサーバ２に既に格納されているトラストチェーン５と比較される。比較が成功裡に終わった場合にのみ、フローは継続される。第２のオペレータステーションサーバ２におけるトラストチェーン５は、以下の証明書を含んでいる（ただし、それらの証明書の機能自体は公知であり、したがってその機能様式については詳細には説明しない）：
−発行証明書７
−中間証明書８
−ルート証明書９

続いて、第２のＯＳサーバ２は、セキュアなプロトコル「Ｅｎｃ」の利用のために特定された自身の証明書４（ｃｅｒｔ（ＯＳ２Ｅｎｃ））を第１のＯＳサーバ１に伝送し、この第１のＯＳサーバ１は、続いて第１のＯＳサーバ１に格納されているトラストチェーン６を用いて、第２のサーバ２を確認する。第１のオペレータステーションサーバ１におけるトラストチェーン６は、以下の証明書を含んでいる（ただし、それらの証明書の機能自体は公知であり、したがってその機能様式については詳細には説明しない）：
−発行証明書１０
−中間証明書１１
−ルート証明書１２

セキュリティに関して（いわゆる最小原理（ｍｉｎｉｍａｌｉｔｙ ｐｒｉｎｃｉｐｌｅ）に基づいて）、使用目的ないし通信プロトコル毎に専用に証明書を設定することが推奨されるので、３つの異なる相手との通信が行われる場合、それぞれ３つの異なるセキュアなプロトコルを利用するＯＳサーバ１、２には、以下の証明書が手動でインストールされる：
−３つの異なる使用目的のための、ＯＳサーバ１、２自体に対する３つの証明書；
−通信相手毎の少なくとも２つのＣＡ証明書（すなわち、少なくとも、発行ＣＡの証明書および上位のルートＣＡの証明書）、すなわち関連する認証局の少なくとも６個の証明書。

したがって今日では、オペレータステーションサーバの設置中に、ＯＳサーバ自体の場合によっては必要となるすべての必要な証明書、ならびに自身の通信相手のトラストチェーンの構成要素を成すすべてのＣＡ証明書も、手動でインストールされるか、もしくはライフサイクルにおいて継続的に手動で追加される。これによって通常の場合、ＯＳサーバは、非常に多くの証明書を有することになるが、それらの証明書の中には、必要でないものも含まれている可能性がある。

これによって多くの欠点がもたらされる。ここでは特に、技術的設備の可用性に影響を及ぼす恐れがある以下の欠点について言及する：
最初の欠点として、以下のことが挙げられる：ＯＳサーバに格納されているすべての証明書が、標準メカニズムを使用して、その有効期限について監視される場合、近いうちに期限が切れる各証明書に関して、証明書更新のためのプロセスが開始され、これは該当するＯＳサーバとローカル登録局との間の双方向の通信、ならびにローカル登録局と、担当の認証局との間の双方向の通信を必要とする。このプロセスは、総じて非常に通信が集中するので、したがって実際に必要とされる証明書の更新のためにのみ開始されることが望ましい。

別の欠点に関しては以下のシナリオが生じる：ＯＳサーバの証明書を発行した認証局が、危殆化に起因して、またはその認証局は必要とされるすべての要求を満たしていないという理由から、別の認証局に置き換えられなければならない場合には、上述の証明書を失効させ、別の証明書に置き換えなければならない。通信相手のもとに存在する、その証明書についてのトラストチェーンも、今日では、新たな証明書に手間を掛けて手動で置き換えられ、その際、不注意により誤りが生じるか、またはそれどころか意図的に誤りが生じさせられることも考えられる。

本発明が基礎とする課題は、技術的設備において使用される証明書の管理が簡略化され、よりフェールセーフなものになる、技術的設備、特に製造設備または処理設備における、オペレータステーションとして構成されているサーバの初期設定のための方法を提供することである。

この課題は、請求項１に記載の、技術的設備、特に製造設備または処理設備における、オペレータステーションとして構成されているサーバの初期設定のための方法によって解決される。さらにこの課題は、請求項７に記載の、技術的設備のオペレータステーションサーバによって、また請求項８に記載の、技術的設備、特に製造設備または処理設備によって解決される。有利な発展形態は、従属請求項より明らかになる。

冒頭で述べたような、技術的設備における、オペレータステーションとして構成されているサーバの初期設定のための方法において、上記の課題は、本発明によれば、以下の方法ステップによって解決される：
ａ）エンジニアリングステーションサーバがオペレータステーションサーバとのコネクションを確立するステップ；
ｂ）エンジニアリングステーションサーバに有効なトラストチェーンをオペレータステーションサーバにインストールするステップ；
ｃ）オペレータステーションサーバに有効なトラストチェーンをエンジニアリングステーションサーバにインストールするステップ；
ｄ）エンジニアリングステーションサーバの確認証明書をオペレータステーションサーバに伝送し、オペレータステーションサーバに、事前にインストールされた対応するトラストチェーンを用いて、エンジニアリングステーションを確認させるステップ；
ｅ）オペレータステーションサーバの確認証明書をエンジニアリングステーションサーバに伝送し、エンジニアリングステーションサーバに、事前にインストールされた対応するトラストチェーンを用いて、オペレータステーションサーバを確認させるステップ；
ｆ）技術的設備におけるオペレータステーションサーバの役割に依存し、かつオペレータステーションサーバの認証サービスがどの証明書を技術的設備の認証局に要求しなければならないかの情報を含むコンフィギュレーション情報を、エンジニアリングステーションサーバから、オペレータステーションサーバに実装されている認証サービスに伝送するステップ。

「オペレータステーションサーバ」とは、ここでは、操作システムおよび監視システムのデータ、ならびに通常は、技術的設備の制御システムのアラームアーカイブおよび測定値アーカイブを中央で検出して、ユーザに提供するサーバであると解される。制御システムとは、このコンテキストにおいて、技術的な製造設備または生産設備を表示、操作および制御するための機能を含む、コンピュータ支援式の技術的なシステムであると解される。制御システムは、ここでは、測定値を求めるためのセンサならびに種々のアクチュエータを含んでいる。さらに、制御システムは、アクチュエータないしセンサの制御に使用される、いわゆるフィールドコントロールステーションまたは製造関連コンポーネントを含んでいる。さらに、制御システムは、特に、技術的設備の視覚化およびエンジニアリングのための手段を有している。制御システムという概念には、さらに、より複雑な制御のための別の計算ユニットおよびデータの記憶ならびに処理のためのシステムも含まれると考えられる。

オペレータステーションサーバは、通常の場合、技術的設備のオートメーションシステムとの通信コネクションを確立し、技術的設備のデータをいわゆるクライアントに転送し、このクライアントは、技術的設備の個々の機能要素の動作の操作および監視を行う。オペレータステーションサーバは、他のオペレータステーションサーバのデータ（アーカイブ、メッセージ、タグ、変数）にアクセスするために、クライアント機能を有することができる。これによって、技術的設備の動作の画像を、オペレータステーションサーバにおいて、他のオペレータステーションサーバの変数と組み合わせることができる（サーバ間通信）。オペレータステーションサーバは、ＳＩＥＭＥＮＳ社のＳＩＭＡＴＩＣ ＰＣＳ ７ Ｉｎｄｕｓｔｒｉａｌ Ｗｏｒｋｓｔａｔｉｏｎ Ｓｅｒｖｅｒであってよいが、これに限定されるものではない。

技術的設備とは、プロセス産業の設備、例えば化学設備、製薬設備、石油化学設備、または食品産業および嗜好品産業の設備であってよい。これには、製造産業のあらゆる設備、例えば自動車またはあらゆる種類の商品が製造される工場も含まれる。本発明による方法の実施に適している技術的設備は、エネルギ生成の分野に由来するものであってもよい。エネルギ生成のための風力タービン、太陽光発電設備または発電所も同様に、技術的設備の概念に含まれる。

それらの設備は、それぞれ、実行されるプロセスまたは製造の制御および調整のための制御システムまたは少なくとも１つのコンピュータ支援モジュールを有している。制御システムまたは制御モジュールまたは技術的設備の一部は、過去のデータが記憶されている少なくとも１つのデータバンクまたはアーカイブである。

「エンジニアリングステーションサーバ」とは、ここでは、技術的設備のプロセス制御システムに関する種々のハードウェアプロジェクトおよびソフトウェアプロジェクト（エンジニアリングプロジェクト）を作成、管理、アーカイブおよびドキュメント化するように構成されているサーバであると解される。この関係において、エンジニアリングプロジェクトとは、技術的設備の一部（または設備全体）に関するオートメーションタスクであると解される。例えば、ここでは、「監視、操作、変更など」のプロセスが該当すると考えられる。特別なソフトウェア作成ツール（エンジニアリングツールセット）ならびに事前に準備されたモジュールおよび計画を用いて、エンジニアリングステーションサーバは、技術的設備の制御技術的な機器および装置との協働を計画および管理することができる。この例として、ＳＩＥＭＥＮＳ社のＳＩＭＡＴＩＣ Ｍａｎａｇｅｒ Ｓｅｒｖｅｒが挙げられる。

本発明によれば、エンジニアリングステーションサーバにおいて、最初に相互的に確認が行われた後に、設置されたオペレータステーションサーバが、エンジニアリングステーションサーバのハードウェア構成に組み込まれ、パラメータ化される。確認は、公知のやり方で、いわゆるハンドシェイク法によって行われる。このハンドシェイク法においては、特に、いわゆるトラストチェーンが交換され、このトラストチェーンは、「信用の連鎖（Ｃｈａｉｎ ｏｆ Ｔｒｕｓｔ）」とも称され、また上位のルート証明書までの、各機器に対して発行された証明書の追跡可能性によって、機器（この場合にはサーバ）の確認を可能にする（従来技術についての説明も参照されたい）。

その結果、エンジニアリングステーションサーバは、自身についてのプロジェクト属性を規定するために、オペレータステーションサーバとのコネクションを確立することができる。これによって、このオペレータステーションサーバを、別のエンジニアリングステーションサーバによって利用することはできなくなる。

本発明による方法では、特に有利には、技術的設備の初期エンジニアリングの枠内で、どの証明書（また必要に応じてトラストチェーン）が、オペレータステーションサーバによって、技術的設備におけるそのオペレータステーションサーバの役割に応じて必要とされるかを即座に確認することができる。この情報は、オペレータステーションサーバに組み込まれている証明サービスに伝送され、その後、この証明サービスは、独自に、技術的設備の認証局による証明書要求を処理する。

証明書とは、特定の特性（この場合には、機械、機器、アプリケーションなど）を確認するディジタルデータセットであると解される。証明書の真正性および完全性は、通常の場合、暗号方式によって検証することができる。

技術的設備の認証局は、（ディジタル）証明書の発行（提供／割り当て）を行い、それらの証明書に、誰にも公開しない自身の固有のシークレットキー（秘密鍵）で署名する。認証局は、技術的設備の公開鍵基盤（ＰＫＩ：Ｐｕｂｌｉｃ−Ｋｅｙ−Ｉｎｆｒａｓｔｒｕｋｔｕｒ）の中核を成す。認証局は、ＣＡ（Ｃｅｒｔｉｆｉｃａｔｉｏｎ Ａｕｔｈｏｒｉｔｙ）とも称される。

本発明による方法によって、オペレータステーションサーバには、最終的に、実際にも動作に必要とされる証明書しかインストールされないことが達成される。証明書の更新も、本発明によって確立された周辺条件下で非常に効率的に行われる。すなわち証明書の更新は、常に、実際に必要とされる証明書に対してのみ開始され、これによって、悪影響を及ぼす副作用が阻止される。証明書管理に関する誤った設定の大幅な低減、したがって設備の障害ない稼働への確実な貢献を達成することができる。

本発明の１つの有利な発展形態においては、オペレータステーションサーバの認証サービスと認証局との間に、技術的設備の少なくとも１つの登録サービスが介在している。

通常の場合、設備のコンテキストにおける動作に関する証明書の自動化された管理が、標準プロトコル、例えばＣｅｒｔｉｆｉｃａｔｅ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｋｏｌｌｓ（ＲＦＣ ４２１０に準拠するＣＭＰ）を使用して実現される。この際、機器およびアプリケーションは、必要とされる動作に関する証明書を、状況に応じて、（ローカルの）登録サービス、いわゆるＬＲＡ（Ｌｏｃａｌ Ｒｅｇｉｓｔｒａｔｉｏｎ Ａｕｔｈｏｒｉｔｙ）に要求する。

この際、機器およびアプリケーションは、いわゆる証明書署名要求（ＣＳＲ：Ｃｅｒｔｉｆｉｃａｔｅ Ｓｉｇｎｉｎｇ Ｒｅｑｕｅｓｔ）である要求を、ローカル登録サービスに送信する。ローカル登録サービスは、その要求に署名する際に用いる署名の有効性について先ず検査を行うことによって、その要求を検査する。続いて、ローカル登録サービスは、機器証明書、シリアル番号、また必要に応じて、機器ないしアプリケーションの別の識別指標が、技術的設備の制御システムのソフトウェア目録、いわゆるインベントリに格納されているか否かを検査する。検査が成功裡に終わった場合、要求は、機器ないしアプリケーションに関する証明書を発行する、いわゆるＣＡ（Ｃｅｒｔｉｆｉｃａｔｉｏｎ Ａｕｔｈｏｒｉｔｙ）に転送される。

エンジニアリングステーションサーバから、オペレータステーションサーバに実装されている認証サービスに伝送されるコンフィギュレーション情報は、技術的設備のどの登録サービスに証明書を要求しなければならないかについての情報を含むことができる。ここで、異なる設備部分に設置されている種々の登録サービスは、証明書要求を中央の登録局（ＲＡ：Ｒｅｇｉｓｔｒａｔｉｏｎ Ａｕｔｈｏｒｉｔｙ）に転送することができ、この登録局は、それらの証明書要求を検査し、１つの認証局（ＣＡ）に、もしくは複数ある認証局のうちの１つに転送することに注意されたい。

設備が非常に大きいものではなく、かつ過度に区分されていない場合には、通常、複数の登録サービスおよび登録局の代わりに、単一の登録サービスがあれば充分である。この場合、単一の登録サービスが種々の証明書要求を受け取り、それらを検査し、検査が成功裡に終わった場合には、それらを認証局に転送する。冗長性の理由およびトポロジ上の理由から、技術的設備に複数の認証局を提供することができるので、登録サービスは、特定の判定基準に従い、どの認証局に証明書要求を転送するかを判定することができる。

特に好適には、オペレータステーションサーバの初期パラメータ化後に、技術的設備におけるオペレータステーションサーバの役割に依存し、かつオペレータステーションサーバの認証サービスはどの証明書をオペレータステーションサーバから再び除去しなければならないかの情報を含むコンフィギュレーション情報が、エンジニアリングステーションサーバから、オペレータステーションサーバに実装されている認証サービスに伝送される。認証サービスは、この際、余剰の証明書（ならびにトラストチェーン）をオペレータステーションサーバにおいて再び消去する処理も行う。

本発明の１つの有利な発展形態の枠内では、エンジニアリングステーションサーバが、オペレータステーションサーバに実装されている認証サービスに伝送したコンフィギュレーション情報を、技術的設備の少なくとも１つの登録サービスにも伝送する。これによって、登録サービスは後の時点に、別の付加的なオペレータステーションサーバがエンジニアリングステーションサーバによって行われた計画に基づいて相互に通信することが許可された場合にのみ、その別の付加的なオペレータステーションサーバに（第１の）オペレータステーションサーバとの通信を許可することが達成される。

この際、登録サービスは、付加的なオペレータステーションサーバが登録サービスとのコネクションを確立し、技術的設備に組み込まれる場合に、付加的なオペレータステーションサーバの認証サービスの代わりに、必要な証明書を、技術的設備の認証局に要求することができる。換言すれば、新たなオペレータステーションサーバが加わっても、１つまたは複数の既存のオペレータステーションサーバがエンジニアリングステーションサーバによってコンフィギュレートされる必要はない。何故ならば、新たなオペレータステーションサーバは、既存のオペレータステーションサーバに登録されるからである。

上記の課題は、さらに、認証サービスが実装されている、技術的設備のオペレータステーションサーバによって解決され、この認証サービスは、技術的設備におけるオペレータステーションサーバの役割に依存し、かつオペレータステーションサーバの認証サービスがどの証明書を技術的設備の認証局に要求しなければならないかについての情報を含んでいるコンフィギュレーション情報を、技術的設備のエンジニアリングステーションサーバおよび／または登録サービスから受信するように構成されており、かつそのために設けられている。

さらに、上記の課題は、少なくとも１つのエンジニアリングステーションサーバ、上記において説明したように構成されている少なくとも１つのオペレータステーションサーバおよび少なくとも１つの認証局を含む技術的設備、特に製造設備または処理設備によって解決される。

本発明の上記の特性、特徴および利点、ならびにそれらがどのように達成されるかは、添付の図面と関連させてより詳細に説明する実施例の以下の記載との関係においてより明確かつ明瞭に理解されるであろう。

従来技術によるＴＬＳハンドシェイク法を示す。 技術的設備の制御システムを原理図で示す。 初期証明書設定および証明書更新のフローチャートを示す。

図２には、プロセスシステム設備として構成されている技術的設備の本発明による制御システム１３が図示されている。制御システム１３は、エンジニアリングステーションサーバ１４、第１のオペレータステーションサーバ１５および第２のオペレータステーションサーバ１６を含んでいる。２つのオペレータステーションサーバ１５、１６のいずれも、それぞれ１つのプロセスデータアーカイブ１７、１８を有している。

制御システム１３は、さらに、登録サービス１９および第１の認証局２０ならびに第２の認証局２３を有している。第１の認証局２０は、ルート認証局２１（Ｒｏｏｔ ＣＡ）および証明書発行局２２（Ｉｓｓｕｉｎｇ ＣＡ）を含んでいる。第２の認証局２３も同様に、ルート認証局２４（Ｒｏｏｔ ＣＡ）および証明書発行局２５（Ｉｓｓｕｉｎｇ ＣＡ）を含んでいる。登録サービス１９は、通信関係および発行済みの証明書に関する情報を格納するためのインベントリ３２を有している。登録サービス１９は、オペレータステーションサーバ１５、１６の代理で、証明書を２つの認証局２０、２３の一方に要求する。このために、登録サービス１９は、いわゆる証明書署名要求（ＣＳＲ：Ｃｅｒｔｉｆｉｃａｔｅ Ｓｉｇｎｉｎｇ Ｒｅｑｕｅｓｔ）３３、３４を送信する。この要求に対する応答として、登録サービス１９は、（要求が許可された場合には）要求した証明書３５、３６を受け取る。

エンジニアリングステーションサーバ１４、第１のオペレータステーションサーバ１５、第２のオペレータステーションサーバ１６、登録サービス１９、第１の認証局２０および第２の認証局２３は、ターミナルバス２６を介して相互に接続されている。ユーザないしクライアント（図示せず）は、ターミナルバス２６を用いて、前述のコンポーネントとのコネクションを確立することができる。ターミナルバス２６は、例えば産業用イーサネットとして構成することができるが、ターミナルバス２６は、これに限定されるものではない。

２つのオペレータステーションサーバ１５、１６ならびにエンジニアリングステーションサーバ１４には、設備バス２８を用いて、機器２７が接続されている。ここで、接続されている機器２７は、代替的に、アプリケーション、特にウェブアプリケーションであってよい。本発明の枠内で、任意の数の機器および／アプリケーションを接続することができる。設備バス２８は、例えば産業用イーサネットとして構成することができるが、設備バス２８は、これに限定されるものではない。ここでもまた、機器２７を、任意の数のサブシステム（図示せず）に接続することができる。機器２７を接続するために、２つのオペレータステーションサーバ１５、１６はそれぞれ、適切なドライバ３０、３１を有している。

２つのオペレータステーションサーバ１５、１６には、それぞれ認証サービス３７、３８が実装されており、その機能を以下において詳細に説明する。

エンジニアリングステーションサーバ１４と２つのオペレータステーションサーバ１５、１６との間に（図１において説明した）セキュアな通信が確立された後に、エンジニアリングステーションサーバ１４では、ハードウェアコンフィギュレーションサービス３９において、２つのオペレータステーションサーバ１５、１６のパラメータ化が行われる。

第１のオペレータステーションサーバ１５は、ＯＰＣを介する専用の第三者システムとの通信のためのドメイン機能ないし「ＯＰＣドライバ」４０の役割を担い、またこのために、適切な証明書ならびに意図する通信相手のトラストチェーンを、パラメータ化において設定された登録サービス１９から取得すべきである。

第２のオペレータステーションサーバ１６は、インターネットインタフェースを介して、視覚化によって使用および監視されなければならず、またこのために、ドメイン機能ないし「視覚化サービス（ウェブ）」４１の役割を担う。第２のオペレータステーションサーバ１６は、それに応じて、暗号化された通信のために、パラメータ化において設定された登録サービス１９から、適切な証明書ならびに意図する通信相手のトラストチェーンを取得すべきである。

エンジニアリングステーションサーバ１４のハードウェアコンフィギュレーションサービス３９において行われた計画は、第１のステップＩにおいて、２つのオペレータステーションサーバ１５、１６の各認証サービス３７、３８ならびに登録サービス１９に伝送される。各認証サービス３７、３８は、第２のステップＩＩにおいて、計画に従い、担当の登録サービス１９とコンタクトを取り、これによって、必要な証明書ならびに通信相手のトラストチェーンを取得することができる。

その都度、必要とされる証明書（それらの証明書のみ）が取得された場合、それらの証明書は、第３のステップＩＩＩで、２つのオペレータステーションサーバ１５、１６の各認証サービス３７、３８によって、種々のドメイン機能４０、４１に引き渡される。同一のステップＩＩＩの枠内では、起動していないドメイン機能の証明書ならびにトラストチェーンも除去される（例えば、計画の更新によって、ドメイン機能がもはや必要とされなくなった場合、各証明書もやはり使用されない）。このために必要とされる証明書も、同様に、第３のステップＩＩＩにおいて登録サーバ１９から伝送される。

個々のオペレータステーションサーバ１５、１６間のネットワーク通信のために、２つのオペレータステーションサーバ１５、１６は、それぞれ配布サービス４２、４３を有している。第４のステップＩＶにおいて、一方のオペレータステーションサーバ１５、１６が他方のオペレータステーションサーバ１６、１５とコンタクトを取ると、認証サービス３７、３８によって、各証明書も通信相手に引き渡されるので、トラストチェーンに基づいて、オペレータステーションサーバ１５、１６間での実際のプロセスシステム的なインタラクション（図１についての説明を参照されたい）が確立される前に信頼関係を確立することができる。

必要に応じて、付加的なオペレータステーションサーバについての拡張を、技術的設備の稼働中に動的に行うこともできる。新たなオペレータステーションサーバが加わっても、既存のオペレータステーションサーバ１５、１６がエンジニアリングステーションサーバ１４によってコンフィギュレートされる必要はない。何故ならば、新たなオペレータステーションサーバを、（上記において説明したように）既存のオペレータステーションサーバ１５、１６に登録することができるからである。新たなオペレータステーションサーバが加わると、この新たなオペレータステーションサーバは、統合されている認証サービスを介して、登録サービス１９に登録される。新たなオペレータステーションサーバの証明書についての信頼できるトラストチェーンが存在する登録サービス１９は、証明書を確認し、確認が成功裡に終わった場合には、インベントリ３２に格納されている通信関係をそれに応じて適合させる。トラストチェーンの配布ないし除去は、同様に、適合された通信関係に従い行われる。

既述の本発明によって、種々のオペレータステーションサーバ１５、１６を計画することができ、その役割に必要とされる証明書、ならびにセキュアな通信に必要とされる、通信相手のトラストチェーンを、それ自体で完全に自動的に登録サービス１９を介して要求することができる。

登録サービス１９は、各証明書要求を、包括的な確認の後に認証局２０、２３に転送するが、トラストチェーン要求の際に、これを有利には必要とされる場合にのみ実施することができる。何故ならば、登録サービス１９が既に、トラストチェーンを認証局２０、２３から取得している場合には、登録サービス１９はトラストチェーンを、インベントリ３２に格納しており、その後、そのトラストチェーンを証明書確認のために必要とする、信頼できるすべての使用者に、相応の検査後に提供するからである。

要約すれば、本発明によって、すべてのオペレータステーションサーバ１５、１６には、最終的に、ライフサイクル全体において、実際にも動作に必要とされる証明書しかインストールされないことが達成される。

登録サービス１９は、計画された（またインベントリ３２に格納された）証明書発行局２２、２５とのコネクションを有しているので、一方の証明書発行局２２、２５が他方の証明書発行局２５、２２に置き換えられる場合、登録サービス１９は、即座に反応することができる。これによって、この証明書発行局２２、２５によって発行された証明書および所属のトラストチェーンが、登録サービス１９によって自動的に識別される。続いて、登録サービス１９は、新たな証明書およびトラストチェーンを新たな証明書発行局２２、２５に要求するプロセスを開始することができ、新たな証明書およびトラストチェーンを使用者に配布する。

図３は、証明書の発行を、フローチャートで例示的に示す。最初の第１のステップＡにおいては、第１のオペレータステーションサーバ１５および第２のオペレータステーションサーバ１６にとって必要なコンフィギュレーション情報が個別に、エンジニアリングステーションサーバ１４によって収集され、オペレータステーションサーバ１５、１６に伝送される。これに基づいて、認証サービス３７、３８は、第２のステップＢにおいて、それぞれ、各オペレータステーションサーバ１５、１６において、個別に必要とされる証明書を規定の登録サービス１９に要求し、それらの証明書を第３のステップＣにおいてインストールする。

登録サービス１９は、証明書要求を、包括的な検査後に、専用の認証局２０、２３に転送することに注意されたい。どの認証局２０、２３に特定の証明書要求が転送されるべきかの判断は、認証局２０、２３のソフトウェアによって、または権限のあるユーザ（例えば、ＬＲＡスーパユーザ）によって行われる。

その後、「証明書メンテナンス」が開始される。証明書が失効する直前に常に、認証サービス３７、３８は、オプションとしての第４のステップＤにおいて、更新された証明書を自立的に登録サービス１９に要求し、この更新された証明書が続いて、第５のステップＥにおいてインストールされる。

本発明を、好適な実施例によって詳細に図示および説明したが、本発明は、開示した例に限定されるものではなく、当業者であれば、本発明の保護範囲から逸脱することなく、他のヴァリエーションを導き出すことができる。

Claims (8)

1. エンジニアリングステーションとして構成されている少なくとも１つのサーバ（１４）と、証明書を発行するための少なくとも１つの認証局（２０、２３）と、を有している技術的設備、特に製造設備または処理設備における、オペレータステーションとして構成されているサーバ（１５、１６）を初期設定するための方法において、
   ａ）エンジニアリングステーションサーバ（１４）がオペレータステーションサーバ（１５、１６）とのコネクションを確立するステップ；
   ｂ）前記エンジニアリングステーションサーバ（１４）に有効なトラストチェーン（５、６）を前記オペレータステーションサーバ（１５、１６）にインストールするステップ；
   ｃ）前記オペレータステーションサーバ（１５、１６）に有効なトラストチェーン（５、６）を前記エンジニアリングステーションサーバ（１４）にインストールするステップ；
   ｄ）前記エンジニアリングステーションサーバ（１４）の確認証明書を前記オペレータステーションサーバ（１５、１６）に伝送し、前記オペレータステーションサーバ（１５、１６）に、事前にインストールされた対応するトラストチェーン（５、６）を用いて、前記エンジニアリングステーション（１４）を確認させるステップ；
   ｅ）前記オペレータステーションサーバ（１５、１６）の確認証明書を前記エンジニアリングステーションサーバ（１４）に伝送し、前記エンジニアリングステーションサーバ（１４）に、事前にインストールされた対応するトラストチェーン（５、６）を用いて、前記オペレータステーションサーバ（１５、１６）を確認させるステップ；
   ｆ）前記技術的設備における前記オペレータステーションサーバ（１５、１６）の役割に依存し、かつ前記オペレータステーションサーバ（１５、１６）の認証サービス（３７、３８）がどの証明書を前記技術的設備の前記認証局（２０、２３）に要求しなければならないかの情報を含むコンフィギュレーション情報を、前記エンジニアリングステーションサーバ（１４）から、前記オペレータステーションサーバ（１５、１６）に実装されている前記認証サービス（３７、３８）に伝送するステップ；
   を有することを特徴とする、方法。
2. 前記オペレータステーションサーバ（１５、１６）の前記認証サービス（３７、３８）と前記認証局（２０、２３）との間に、前記技術的設備の少なくとも１つの登録サービス（１９）を介在させ、
   該登録サービス（１９）は、前記オペレータステーションサーバ（１５、１６）の前記認証サービス（３７、３８）の代わりに、必要な証明書を、前記技術的設備の前記認証局（２０、２３）に要求する、
   請求項１記載の方法。
3. 前記エンジニアリングステーションサーバ（１４）から、前記オペレータステーションサーバ（１５、１６）に実装されている認証サービス（３７、３８）に伝送される前記コンフィギュレーション情報は、前記技術的設備のどの登録サービス（１９）に前記証明書を要求しなければならないかについての情報を含む、
   請求項２記載の方法。
4. 請求項１記載の方法ステップｆの後に、前記技術的設備における前記オペレータステーションサーバ（１５、１６）の役割に依存し、かつ前記オペレータステーションサーバ（１５、１６）の前記認証サービス（３７、３８）がどの証明書を前記オペレータステーションサーバ（１５、１６）から再び除去しなければならないかの情報を含むコンフィギュレーション情報を、前記エンジニアリングステーションサーバ（１４）から、前記オペレータステーションサーバ（１５、１６）に実装されている前記認証サービス（３７、３８）に伝送する、
   請求項１から３までのいずれか１項記載の方法。
5. 前記エンジニアリングステーションサーバ（１４）は、前記オペレータステーションサーバ（１５、１６）に実装されている認証サービス（３７、３８）に伝送する前記コンフィギュレーション情報を、前記技術的設備の前記少なくとも１つの登録サービス（１９）にも伝送する、
   請求項２から４までのいずれか１項記載の方法。
6. 付加的なオペレータステーションサーバ（１５、１６）が前記少なくとも１つの登録サービス（１９）とのコネクションを確立し、前記技術的設備に組み込まれ、前記登録サービス（１９）は、前記付加的なオペレータステーションサーバ（１５、１６）の認証サービス（３７、３８）の代わりに、前記必要な証明書を、前記技術的設備の前記認証局（２０、２３）に要求する、
   請求項５記載の方法。
7. 認証サービス（３７、３８）が実装されている、技術的設備のオペレータステーションサーバ（１５、１６）において、
   前記認証サービス（３７、３８）は、前記技術的設備における前記オペレータステーションサーバ（１５、１６）の役割に依存し、かつ前記オペレータステーションサーバ（１５、１６）の前記認証サービス（３７、３８）がどの証明書を前記技術的設備の認証局（２０、２３）に要求しなければならないかについての情報を含んでいるコンフィギュレーション情報を、前記技術的設備のエンジニアリングステーションサーバ（１４）および／または登録サービス（１９）から受信するように構成されており、かつそのために設けられていることを特徴とする、
   オペレータステーションサーバ（１５、１６）。
8. 技術的設備、特に製造設備または処理設備において、
   少なくとも１つのエンジニアリングステーションサーバ（１４）、請求項７記載の少なくとも１つのオペレータステーションサーバ（１５、１６）および少なくとも１つの認証局（２０、２３）を含んでいることを特徴とする、
   技術的設備。