JP7414391B2 - 強化されたスマートプロセス制御スイッチのポートロックダウン - Google Patents

Description

本開示は、一般にプロセス制御システムに関し、より詳細には、スマートプロセス制御スイッチのポートをロックダウンする技術に関する。

発電、化学、石油、または他のプロセスで使用されるような分散型またはスケーラブルなプロセス制御システムなどのプロセス制御システムは、典型的には、互いに通信可能に結合され、プロセス制御ネットワークを介して少なくとも１つのホストまたはオペレータワークステーションに、またアナログ、デジタルまたはアナログ／デジタルバスを組み合わせて１つ以上のフィールドデバイスに結合された、１つ以上のプロセスコントローラを含む。

フィールドデバイスは、たとえば、バルブ、バルブポジショナ、スイッチおよび送信機（たとえば、温度、圧力および流量センサ）であってもよく、バルブの開閉や開閉器のオン／オフ、プロセスパラメータの測定など、プロセスまたはプラント内の機能を実行する。

通常、プロセスプラント環境内に配置されるプロセスコントローラは、フィールドデバイスによって作成されたプロセス測定値またはプロセス変数、および／またはフィールドデバイスに関する他の情報を示す信号を受信し、コントローラアプリケーションまたはルーチンを実行する。各コントローラは、受け取った情報を使用して制御ルーチンを実行し、バスを介してフィールドデバイスに送られてプロセスまたはプラントの動作を制御する制御信号を生成する。１つ以上のコントローラルーチンは、プロセス制御判断を行い、受信した情報に基づいて制御信号を生成し、ＨＡＲＴ（登録商標）、およびＦｉｅｌｄｂｕｓフィールドデバイスなどのフィールドデバイス内で実施される制御モジュールまたはブロックと連携する、制御モジュールを実装する。プロセスコントローラ内の制御モジュールは、制御信号を通信線または信号路上でフィールドデバイスに送信し、これによってプロセスの動作を制御する。

フィールドデバイスおよびプロセスコントローラからの情報は、通常、プロセス制御ネットワークを介して、保守ワークステーション、パーソナルコンピュータ、ハンドヘルドデバイス、データヒストリアン、レポートジェネレータ、集中データベースなどのような、１つ以上の他のハードウェアデバイスに利用可能にされる。ネットワークを介して通信される情報は、オペレータまたは保守者がプロセスに関して所望の機能を実行することを可能にする。たとえば、情報は、オペレータがプロセス制御ルーチンの設定を変更すること、プロセスコントローラまたはスマートフィールドデバイス内の制御モジュールの動作を変更すること、プロセスプラント内の特定のデバイスのプロセスまたはステータスの現在の状態を表示すること、フィールドデバイスおよびプロセスコントローラによって生成されたアラームを表示すること、人員の訓練またはプロセス制御ソフトウェアのテストの目的でプロセスの動作をシミュレートすること、プロセスプラント内の問題またはハードウェア障害を診断することを可能にする。

フィールドデバイスは、通常、イーサネット構成のＬＡＮであってもよいプロセス制御ネットワークを介してハードウェアデバイスと通信する。ネットワークは、プロセスパラメータ、ネットワーク情報、および他のプロセス制御データを、様々なネットワークデバイスおよびプロセス制御システム内の様々なエンティティに中継する。ネットワークデバイスは、典型的には、ルーティング、フレームレート、タイムアウト、および他のネット
ワークパラメータを制御することによって、ネットワークを介したデータの流れを容易にするが、プロセスデータ自体は変更しない。典型的なネットワークデバイスには、たとえば、レイヤ２ネットワークスイッチ、レイヤ３ネットワークスイッチ、ルータ、および／またはハブが含まれる。ここに参照される層は、ＯＳＩモデル層に関連する。

一般に、レイヤ２ネットワークスイッチはメッセージを受信し、受信したメッセージを、ＬＡＮ内の宛先デバイスのＭＡＣアドレス（メッセージによって識別される）に関連付けられたポートの１つを介して転送する。レイヤ２ネットワークスイッチは、通常、ＭＡＣアドレスと、対応するスイッチポートとの間の関係を確立するテーブルを格納する。レイヤ２ネットワークスイッチがメッセージを受信すると、メッセージの宛先ＭＡＣアドレスを識別し、ＭＡＣアドレスに対応するスイッチのポートをテーブルから識別し、そのポートを介してメッセージを転送する。レイヤ２ネットワークスイッチが、テーブルに格納されていない宛先ＭＡＣアドレスを持つメッセージを受信すると、スイッチのすべてのポートにメッセージをブロードキャストし、これは、メッセージが宛先デバイスに到達し、宛先デバイスが応答するまで繰り返され、その結果、宛先ＭＡＣアドレスに「マッピングされた」適切なポートがスイッチに通知される。特に、レイヤ２スイッチはルーティングを実行せず、転送の判定にＩＰアドレスを使用せず、スイッチと宛先デバイス間の中間ノードも追跡しない。むしろ、レイヤ２スイッチは単にテーブルを参照して、メッセージの転送に使用するスイッチのポートを判定する。

一方、レイヤ３デバイス（ルータやレイヤ３スイッチなど）は、ルーティングを実行し、中間ノードを特定し、転送および／またはルーティングにＩＰアドレスを使用することがよくある。このルーティング機能とネットワークアドレスを利用する機能により、レイヤ３デバイスは、レイヤ３デバイスが接続されているＬＡＮ外の宛先にデータをルーティングできる。ルータおよびレイヤ３ネットワークスイッチは、プロセス制御ネットワーク内でプロセス制御データをルーティングできることがあるが、特にプロセス制御環境での動作のために設計または構成された場合、ルータおよびレイヤ３スイッチは、レイヤ２スイッチよりも大幅に高価になる。（たとえば、２～３倍高価）である。

プロセス制御ネットワークがサイズおよび複雑さを増すにつれて、対応するネットワークデバイスの数およびタイプが増加する。システムとネットワークの成長の結果、これらの複雑なシステムのセキュリティと管理はますます困難になっている。たとえば、各ネットワークデバイスは、プロセス制御システムコンポーネントと他のネットワークデバイスとをネットワークを介して物理的に相互接続するためのアクセスポイントまたはポートを提供する１つ以上の通信ポートを含むことができる。これらのネットワークデバイスポートは、他のデバイスを追加することによってネットワーク拡張のためのアクセスポイントになるか、またはエンティティが敵意のあるなしにかかわらず、ネットワークにアクセスし、望ましくなく有害なネットワークトラフィックを開始する可能性がある。

敵意のあるエンティティに関するセキュリティ上の問題に対処するために、一部のコントロールスイッチは、無効なポートを介してデバイスが通信できないように、ポート（たとえば、未使用ポート）を無効にする無効化メカニズムを備えている。さらに、制御スイッチの中には、ロックされたポートを介して、ロックダウン時にそのポートに接続された単一のデバイスへの通信を制限するために、ポートを「ロック」することができる、ロックダウン機構を有するものがある（たとえば、米国特許第８５９００３３号明細書に開示されているように）。しかしながら、これらの従来のロックダウン機構は限られている。特に、従来のロックダウン機構は、（ｉ）２つ以上の接続されたデバイスを有するポートおよび／または（ｉｉ）第２のスイッチ（時「アップリンクポート」と呼ばれる）に接続されたポートをロックダウンすることに失敗する。通常、アップリンクポートは、ロックダウン中にアップリンクポートの機能を維持して、プラントの運転を妨害する過度に制限
的なロックダウンを誤って実装することを回避するために、ネットワークセキュリティのロックダウンから除外される（つまり、ロックが解除されたままになる）。さらに、いくつかのスイッチは、ポートに接続された複数のデバイスを識別し、そのポートがスイッチに接続されていると仮定して、デバイスのデイジーチェーンに接続されたポートを「アップリンクポート」として分類する。したがって、いくつかの制御スイッチは、従来のロックダウン機構を実装して、悪意のあるデバイスが、以前は使用されていなかった（たとえば、そのポートを無効にする）か、または単一のエンドデバイスにのみ接続されていた（たとえば、そのポートをロックすることによって）ポートを介してネットワークに接続するのを防止する一方で、これらのスイッチは、アップリンクスイッチに接続されたポート、３つ以上のエンドデバイス、または複数の物理アドレスを持つ１つのデバイス（仮想化システムなど）で脆弱なままである。

記載された方法およびシステムは、プロセス制御スイッチがそのポートおよび／またはポートのすべてをロックダウンすることを可能にし、および／またはプロセス制御スイッチの各ポートを介して通信する各デバイスの物理アドレスとネットワークアドレスの「既知のペア」を識別することを可能にする。

一実施形態では、プロセス制御スイッチは、複数のポートと、複数のポートに通信可能に接続された回路のセットとを含む。回路のセットは、複数のポートをロックするように構成されてもよく、ここで回路のセットは、（ｉ）プロセス制御環境内のデバイスの既知の物理アドレスを、デバイスが接続されている複数のポートのうちの１つ以上にマッピングし、（ｉｉ）複数のポートがロックされている間に新たな既知の物理アドレスで更新されない（Ａ）静的アドレステーブルを生成し、ここで、静的アドレステーブルは、複数の既知の物理アドレスを、ロック解除可能または非管理スイッチまたはデバイスのデイジーチェーンに接続された単一のポートにマッピングし、および／または回路のセットは、（Ｂ）前記複数のポートのそれぞれにおけるトラフィックを制限してもよく、ここで、回路のセットは、（ｉ）各ポートで転送されるメッセージの数をトラフィックしきい値に適合するように制御し、（ｉｉ）各ポートで受信されたメッセージのそれぞれに含まれるソース物理アドレスを認証する。ソース物理アドレスを認証するために、回路のセットは、（ａ）メッセージを分析して、メッセージに含まれるソース物理アドレスを識別してもよく、（ｂ）静的アドレステーブルが、単一のポートにマッピングされた既知の物理アドレスとしてソース物理アドレスを列挙する場合、複数のポートのうちの１つを介してメッセージを転送してもよく、（ｃ）静的アドレステーブルが、単一のポートにマッピングされた既知の物理アドレスとしてソース物理アドレスをリストしていない場合、メッセージをドロップしてもよい。

一実施形態では、プロセス制御スイッチは、複数のポートと、複数のポートに通信可能に接続された回路のセットとを含む。回路のセットは、ロックダウン動作を実施するように構成されてもよく、ここで、回路のセットは、（ａ）複数のポートの１つが第２のスイッチに接続されていることを検出してもよく、（ｂ）第２のスイッチでハンドシェイクを分析して、第２のスイッチがロック可能であるかどうかを判定してもよく、（ｃ）回路のセットが、第２のスイッチがロック可能であると判定した場合、メッセージのソース物理アドレスを認証することなく、第２のスイッチから受信したメッセージを転送してもよく、かつ／または（ｄ）回路のセットが、第２のスイッチがロック可能でないと判定した場合、ポートで受信されたメッセージが、受信したメッセージが、既知の物理アドレスのリストに含まれるソース物理アドレスを識別するかどうかを判定するために分析されるように、ポートで受信されたメッセージに含まれるソース物理アドレスを認証してもよい。

なお、この概要は、以下の詳細な説明でさらに説明される概念の選択を紹介するために提供されている。詳細な説明で説明したように、特定の実施形態は、この要約に記載されていない特徴および利点を含むことができ、特定の実施形態は、この要約に記載された１つ以上の特徴および／または利点を省略することができる。

以下に説明される図面のそれぞれは、一実施形態による、開示されたシステムおよび／または方法の１つ以上の態様を示す。詳細な説明は、以下の図に含まれる参照番号を参照する。

スマートプロセス制御スイッチを実装して、ネットワークセキュリティを強化し、ネットワーク管理および保守を容易にするプロセスプラント内のプロセス制御システムの概略図である。 図１Ａに示すスマートプロセス制御スイッチを実装して、ネットワークセキュリティを強化し、ネットワーク管理および保守を容易にするプロセスプラント内のプロセス制御システムの第２の概略図である。 一般的にイーサネットプロトコルを使用するプロセス制御システムを介して通信することができる、データまたはフレームの基本単位を示す。 図１Ａおよび図１Ｂに示されたものと同様のスマートプロセス制御スイッチのセットを実装して、ロックダウン性能を改善し、ネットワークセキュリティを強化する、第一の実施形態のプロセス制御ネットワークのネットワーク図である。 スマートプロセス制御スイッチのセットを実装して、ロックダウン性能を改善し、ネットワークセキュリティを強化する、第二の実施形態のプロセス制御ネットワークのネットワーク図である。 図１Ａ、１Ｂおよび図２Ａに示すスマートプロセス制御スイッチのブロック図である。 図１Ａ～図２Ｃに示される１つ以上のスマートプロセス制御スイッチのためのポートをロックダウンおよびロック解除する方法の一例を示す。 ロックダウンコマンドを受信した後に、図１Ａ～図２Ｃに示されたスマートプロセス制御スイッチのポートをロックする例示的な方法を示す。 図１Ａ、図１Ｂ、図２Ａ、および図２Ｂに示されるスマートプロセス制御スイッチをロック解除する方法の一例を示す。 図１Ａ～図２Ｃに示されるスマートプロセス制御スイッチのロックおよびロック解除を容易にするために提供され得る例示的なユーザインタフェースを示す。 ロック解除されているスイッチのセットが配置された、図４Ａに示された例示的なユーザインタフェースを示す。 ロックされたスイッチのセットが配置された、図４Ａおよび図４Ｂに示された例示的なユーザインタフェースを示す。 「ロックペンディング」状態を有するスイッチのセットが埋め込まれた、図４Ａ、図４Ｂおよび図４Ｃに示されている例示的なユーザインタフェースを示す。 図２Ｃに示すアドレス一致テーブルの一例を示す図である。 プロセスプラント内のプロセス制御システムのセキュリティを向上させるために、図２Ｃおよび図５に示すアドレス一致テーブルを実装する例示的な方法のブロック図を示す。 図１Ａ－２Ｃに示されるスマートプロセス制御スイッチに関連するセキュリティ問題を検出する例示的な方法のブロック図を示す。

本開示は、（ｉ）既知の物理アドレスを有するデバイスによる使用のために排他的にその通信ポートをロックダウンするためのロックダウン動作またはルーチンを実装でき、かつ／または（ｉｉ）スイッチ１４６を介して通信する各デバイスの物理アドレスとネットワークアドレスの「既知のペア」を識別するためのアドレスマッピング操作またはルーチンを実装できる、スマートプロセス制御スイッチ１４６（図１Ａ、図１Ｂおよび図２Ｃに示され、時「スイッチ１４６」と呼ばれる）を説明する。

一般に、スイッチは、構成可能スイッチと構成不可能スイッチの２つに分類される。構成可能スイッチ（「管理スイッチ」とも呼ばれる）は、様々なネットワーク設定（たとえば、ポート速度、仮想ＬＡＮ、冗長性、ポートミラーリング、トラフィック優先順位付けのためのＱｏＳ（Ｑｕａｌｉｔｙ ｏｆ Ｓｅｒｖｉｃｅ）など）を持つことができ、ネットワーク設定は、スイッチを特定の実装に合わせることができるようにユーザによって設定される。構成不可能スイッチ（「非管理スイッチ」とも呼ばれる）は、エンドユーザが簡単に変更できないネットワーク設定を持つＯＥＭメーカーの仕様で一般的に構成される。構成可能スイッチは、トラフィックの入力および制御が望まれる環境（たとえば、工業環境）においてしばしば見られるが、構成不可能スイッチは、一般に、それほど洗練されていない環境（たとえば、家庭または小規模オフィス）を対象とする。

一般に、本明細書中で使用される場合、「管理スイッチ」というフレーズは、上述のように「構成可能スイッチ」という語句と同義ではなく、「非管理スイッチ」というフレーズは、上記の「構成不可能スイッチ」というフレーズと同義ではない。むしろ、「管理」および「非管理」という用語は、スイッチのロック可能性を指す。すなわち、本明細書で使用される「管理スイッチ」は、本明細書で説明されるロックダウン機能を有するスイッチを指し、「非管理スイッチ」は、本明細書で説明されるロックダウン機能を欠くスイッチを指す。スイッチ１４６は、説明したロックダウン動作を実施するように構成されているので、スイッチ１４６は、「管理スイッチ」と呼ぶことができる。

ロックダウン動作は、スイッチ１４６がそのポートをロックすることを可能にして、ロックダウン時にそのポートに接続されたデバイスが「既知」のデバイスになるようにする。「既知のデバイス」は、「新しい」デバイスがポートを介して通信することを許可されていない間に、そのポートを使用し続けることが許可されている。すなわち、スイッチ１４６は、スイッチ１４６がロックされた後にスイッチ１４６に接続する「新しい」デバイスから受信した通信を「ドロップ」し、スイッチ１４６が新たに接続された悪意のあるデバイスによる攻撃からポートを保護することを可能にする。一般的に言えば、「接続」という用語は、デバイスとスイッチ１４６のポートとを参照して使用される場合、ポートと物理媒体（たとえば、ＣＡＴ５またはＣＡＴ６ケーブルなどのイーサネットケーブル）との間の物理的接続を指し、スイッチ１４６とデバイスとの間の通信を可能にする。物理媒体は、デバイスとの通信を容易にする１つ以上の中間デバイスを介して直接的または間接的にデバイスに接続することができる。

ロックダウン操作を実施する場合、スイッチ１４６は、スイッチ１４６の各ポートに（直接的または間接的に）接続されたすべての既知のデバイスの物理アドレス（たとえば、ＭＡＣアドレス）のレコード（たとえば、静的アドレステーブル）を生成することができる。従来の制御スイッチとは異なり、スイッチ１４６は、単一のポートに接続された３つ以上の物理デバイスの記録を生成することができる。たとえば、３つ、４つ、５つ以上のデバイスが１つのポートにデイジーチェーン接続されている場合、スイッチ１４６は、単一のポートにデイジーチェーン接続された複数のデバイスのそれぞれの物理アドレスのレコードを生成することができる。その結果、スイッチ１４６は、すべてのポートを「ロック」し、既知の物理アドレス（たとえば、ロックダウンが開始された時点のレコード上の物理アドレスと一致するソース物理アドレス）を有するデバイスのみについてスイッチ１
４６を介した通信を可能にすることができる。このようなシナリオでは、悪意のあるデバイスがロックダウン後にスイッチ１４６のポートに物理的に接続すると、スイッチ１４６は、悪意のあるデバイスからのメッセージを転送しない（物理アドレスがロックダウン時にそのポートに接続されたデバイスの物理アドレスと一致しないと仮定して）。したがって、スイッチ１４６は、悪意のあるデバイスが制御ネットワークに加わるのを防ぐことができ、これにより、悪意のあるデバイスが制御ネットワークから機密情報を収集したり、制御ネットワークに接続されたデバイスを不正に制御したりすることが防止される。

ロックダウン動作は、スイッチ１４６が接続されているネットワーク上のセキュリティ脅威を検出するデバイスに応答して送信されたロックコマンドをスイッチ１４６が受信したことに応答して、スイッチ１４６によって実施されてもよい。たとえば、ロックコマンドは、スイッチ１４６に関連付けられたプラントで実装される制御システム（たとえば、ＤｅｌｔａＶ制御システム）内のデバイス（たとえば、サーバ、ワークステーション、またはコントローラなどのコンピュータ）によって送信されてもよい。別の例として、ロックコマンドは、ネットワーク活動を監視するセキュリティシステム（たとえば、ＡＳＩＣのような特別に設計されたハードウェアまたはセキュリティソフトウェアを実行するコンピュータのセット）によって送信することができる。セキュリティシステムは、アクセス制御システム、アンチキーロガーシステム、アンチマルウェアシステム、アンチスパイウェアシステム、破壊防止システム、ウイルス対策システム、暗号システム、ファイアウォールシステム、侵入検知システム（ＩＤＳ）、侵入防止システム（ＩＰＳ）、セキュリティ情報管理システム、またはセキュリティ情報およびイベント管理（ＳＩＥＭ）システムなどの、ネットワーク活動を監視するための１つ以上のシステムを含んでもよい。これらのセキュリティシステムのうちの１つ以上は、ロックコマンドを生成するために協調して動作することができる。たとえば、ファイアウォールシステムはセキュリティ脅威を検出し、ＳＩＥＭ（複数のソースからのセキュリティ脅威を集約するように構成されている可能性がある）に通知することができ、ＳＩＥＭは、ロックコマンドを送信することによって応答することができる。例示的なセキュリティ上の脅威は、多くの方法のいずれかで検出される可能性がある。たとえば、セキュリティシステムは、署名に基づく検出（たとえば、マルウェアなどの既知の脅威の既知のネットワークシグネチャの認識）および／または異常に基づく検出（たとえば、ノードに関連付けられた特定のプロトコルに関連するものなど、特定の論理ポートのみがオープンおよび使用されると予想されるノードで開かれる新しい論理ポートなどの偏差を検出する）。

ロックダウンルーチンは、各ポートでのトラフィックを所定のしきい値に制限するトラフィック制御ルーチンと組み合わせて利用することができる。各ポートの各しきい値は、ポートに接続されたデバイスのタイプに基づいて判定されてもよい。たとえば、コントローラがポートに接続されている場合、コントローラのトラフィック使用率は、ポートごとの一定量の入出力トラフィック（たとえば、５１２ｋｂｐｓの入力、または１５００のパケット／秒の出力トラフィックなど）およびそれに応じて設定されてもよいポートのトラフィックしきい値を超えるとは限らない。フィールドデバイスはトラフィックを多少消費する可能性があるため、フィールドデバイスに接続されているポートのトラフィックしきい値が異なる場合がある。場合によっては、トラフィック制御はプロセス制御スイッチにとって重要な機能である。たとえば、所与のプロセス制御システムの特定の通信要件が観察された場合、トラフィック制御を持たないプロセス制御スイッチは、あらゆるタイプのデバイス間で交換されるトラフィックの量を許容し、したがって容易に検出される基本的なサービス拒否攻撃を阻止しない。プロセス制御システムは非常に予測可能な傾向があり、したがって、これらの特定のユースケースで使用されるプロトコルとデバイスタイプに基づいてしきい値を設定することは困難ではない。

ロックダウン動作をさらに参照すると、スイッチ１４６は、ポートが第２のスイッチに
接続される時（たとえば、ブリッジプロトコルブリッジユニット（ＢＰＤＵ）フレームを使用して）を、判定することができ、第２のスイッチが第２のスイッチ１４６であるか、「非管理スイッチ」（たとえば、開示されたロックダウン機能を持たないスイッチ）であるかを判定するために、第２のスイッチでハンドシェイクを実行することができる。第２のスイッチがロック解除可能または「非管理」スイッチである場合、スイッチ１４６は、ロック解除可能スイッチまたは「非管理」スイッチを介して、スイッチ１４６のポートに接続されたすべてのエンドデバイスの物理アドレスを識別して記録することができる。

必要に応じて、スイッチ１４６は、ロックダウン中にロック解除された特定のポートを残すことができる。たとえば、スイッチ１４６は、ポートが第２のスイッチに接続された時（このようなポートは「アップリンクポート」と呼ばれ得る）を判定し、ハンドシェイクを実行して、第２のスイッチを「管理」であるかどうか、（すなわち、スイッチ１４６のように「ロック可能」）、または「非管理」であるかどうか（すなわち、スイッチ１４６のように「ロック可能」ではない）を判定する。第２のスイッチが「管理」である場合、スイッチ１４６は、アップリンクポートをロック解除したままにしてもよい（そしてその結果、アップリンクポートを介して受信されたメッセージのソース物理アドレスを検査することができず、および／またはメッセージのソース物理アドレスは検査できるが、ソース物理アドレスが不明なメッセージはドロップされない）。そのようなアップリンクポートは、「管理アップリンクポート」と呼ばれてもよい。第２のスイッチが「非管理」である場合、スイッチ１４６は、「非管理スイッチ」を介してアップリンクポートに接続されたすべてのエンドデバイスの物理アドレスを識別して記録することができ、アップリンクポートは「非管理アップリンクポート」と呼ばれてもよい。その後、スイッチ１４６は、スイッチ１４６が非管理スイッチに接続された未知のデバイスから発生したメッセージをドロップするように、アップリンクポートをロックすることができ、スイッチ１４６が接続されているより広いネットワークに未知のデバイス（たとえば、悪意のあるデバイスなど）がアクセスすることを防止する。スイッチ１４６のロックされたポートは、既知のデバイスからブロードキャストおよびマルチキャストメッセージを送信し続けてもよく、そのような場合、未知のまたは不正デバイス（すなわち、所与のポートに対して既知の物理アドレスを持たないデバイス）は、これらの送信されたブロードキャストおよびマルチキャストメッセージを聞くことができる。しかしながら、そのような場合、不正デバイスは、これらのメッセージに応答することができず、そうでなければ、スイッチ１４６のロックされたポートを介してメッセージを送信することができない。

アドレスマッピング動作は、スイッチ１４６がロックダウンの後に、デバイスが単に既知の物理アドレスを偽装していないことを確認することにより、既知の物理アドレスを有するデバイスが既知のデバイスであることを検証することを可能にする。スイッチ１４６は、既知の物理アドレスごとにネットワークアドレス（たとえば、ＩＰアドレス）を追跡することによってこの検証を実行する。したがって、所与のポートに関する既知の各デバイスは、スイッチ１４６によって追跡された既知のアドレスペア（すなわち、物理アドレスおよびネットワークアドレス）を有するべきである。その結果、悪意のあるデバイスがスイッチ１４６のロックされたポートに接続し、そのロックされたポートに対して既知のデバイスの物理アドレスをうまく偽装した場合であっても、スイッチ１４６は、悪意のあるデバイスのネットワークアドレスが、物理アドレスとペアになっているレコード上のネットワークアドレスと一致しないことを検出する。その結果、スイッチ１４６は、アラートを生成し、かつ／または悪意のあるデバイスから受信した通信をドロップする。

スイッチ１４６は、必要に応じて、ポートミラーリングを実装することができる。たとえば、スイッチ１４６は、特定のポートに出入りするパケットをコピーし、コピーされたパケットを分析器に送信することができる（たとえば、アナライザに関連付けられた割り当てられたポートを介して）。分析器は、コピーされたパケットを分析するように（たと
えば、ソフトウェアを介して）構成された任意の機械であってもよい。ポートミラーリングは、元のパケットを送信および／または受信するデバイスに大きな影響を与えることなく、コピーされたパケットに対して診断および／またはデバッグを実行することを可能にする。

図１Ａおよび１Ｂは、スイッチ１４６を実装して、ネットワークセキュリティを強化し、ネットワーク管理および保守を容易にするプロセスプラント内のプロセス制御システム１００の概略図である。プロセス制御システム１００は、プロセス制御ネットワーク１５０およびノード間の電気通信を可能にするために接続された通信リンクを含む。プロセス制御ネットワーク１５０はノードの集合である（たとえば、情報を送信、受信、および／または転送することができるデバイスまたはシステム）。ネットワーク１５０のノードは、１つ以上のスイッチ１４６と、１つ以上のプロセスコントローラ１１０と、少なくとも１つは表示画面を含む、１つ以上のホストワークステーションまたはコンピュータ１２０～１２２（たとえば、承認されたワークステーションおよび／またはサーバとすることができる）と、１つ以上の入力／出力（Ｉ／Ｏ）カード１４０と、１つ以上のフィールドデバイス１３０，１３３および／または１４２と、ゲートウェイ１４３と、および／またはデータヒストリアン１４５を含む。いくつかの実施形態は、フィールドデバイス１４２およびゲートウェイ１４３を含まない。

ネットワーク１５０はローカルエリアネットワーク（ＬＡＮ）である。場合によっては、ワイドエリアネットワーク（ＷＡＮ）および／または電気通信ネットワークがプラントネットワークの一部であってもよいが、場合によってはネットワーク１５０の不可欠な部分ではない場合もある。ネットワーク１５０は、イーサネット通信および／または任意の適切な通信プロトコル（たとえば、ＴＣＰ／ＩＰ、プロプライエタリプロトコルなど）用に構成されてもよく、かつハードワイヤード（好ましい）または無線技術を使用して実装することができる。ネットワーク１５０の追加の態様は、詳細な説明の最後でより詳細に説明される。

１つ以上のプロセスコントローラ１１０（各々は、たとえば、Ｆｉｓｈｅｒ Ｒｏｓｅｍｏｕｎｔ Ｓｙｓｔｅｍｓ，Ｉｎｃ．によって販売されているＤｅｌｔａＶ（商標）コントローラであってもよい）は、１つ以上のスイッチ１４６を介して、ネットワーク１５０ならびに１つ以上のホストワークステーションまたはコンピュータ１２０～１２２に通信可能に接続される。各コントローラ１１０は、１つ以上のネットワークインタフェースカード（「通信インタフェース」と呼ばれることもある）を含んでもよく、Ｉ／Ｏカード１４０を介してフィールドデバイス１３０に接続することができ、その各々はバックプレーンを介してコントローラ１１０の１つに通信可能に接続することができる。フィールドデバイス１３０は、（たとえば、ＤｅｌｔａＶエレクトロニックマーシャリング技術を使用して）ネットワーク１５０に通信可能に結合されてもよい。ネットワーク１５０は、オープンプロトコルを使用してフィールドデバイスに接続し、データを１つ以上のプロセスコントローラ１１０に送り返す、ＤｅｌｔａＶ ＣＨＡＲＭ Ｉ／Ｏカード（ＣＩＯＣ）、無線Ｉ／Ｏカード（ＷＩＯＣ）、イーサネットＩ／Ｏカード（ＥＩＯＣ）などのイーサネットベースのＩ／Ｏノードを接続するためにも使用することができる。この場合、コントローラ１１０とＩ／Ｏノードとの間の通信は、明示的に所有権を有することがある

ネットワーク１５０のサブネットワークであってもよいＩ／Ｏネットワーク１５５は、（たとえば、Ｉ／Ｏカード１４０を介して）コントローラ１１０とフィールドデバイス１３０，１３３，１４２との間の通信を容易にする。Ｉ／Ｏネットワーク１５５は、追加のスイッチ１４６（図１Ｂ参照）など、図１Ａには示されていない中間ノードを含むことができる。Ｉ／Ｏネットワーク１５５は、イーサネット通信および／または任意の適切な通信プロトコル（たとえば、ＴＣＰ／ＩＰ、ＭｏｄｂｕｓＩＰなど）用に構成してもよく、
かつ実装に応じて有線または無線技術を使用して実装することができる。いくつかの実施形態は、Ｉ／Ｏネットワーク１５５を含まないか、またはＩ／Ｏネットワーク１５５の修正バージョンを含む（たとえば、いくつかの実施形態は、コントローラ１１０とフィールドデバイスとの間にスイッチを含まない）。

Ｉ／Ｏカード１４０は、フィールドデバイス１３０に、たとえば、標準的な４～２０ｍＡデバイス、標準的なイーサネットプロトコルおよび／またはＦＯＵＮＤＡＴＩＯＮ Ｆｉｅｌｄｂｕｓプロトコル（Ｆｉｅｌｄｂｕｓ）、ＨＡＲＴプロトコル、または任意の他の所望の通信プロトコルまたはコントローラプロトコルなどの任意のスマート通信プロトコルなどに関連する任意の所望のハードウェアおよびソフトウェアを使用して通信可能に接続される。

フィールドデバイス１３０は、センサ、バルブ、送信機、ポジショナなどの任意のタイプのデバイスであってもよい。図１Ａに示す実施形態では、フィールドデバイス１３０は、標準的なアナログ４～２０ｍＡ回線１３１を介してＨＡＲＴモデム１４０と通信するＨＡＲＴデバイスであり、一方で、フィールドデバイス１３３は、Ｆｉｅｌｄｂｕｓプロトコル通信を使用してデジタルバス１３５またはＩ／Ｏネットワーク１５５を介してＩ／Ｏカード１４０と通信する、Ｆｉｅｌｄｂｕｓフィールドデバイスなどのスマートデバイスである。無論、フィールドデバイス１３０および１３３は、将来開発される任意の標準規格またはプロトコルを含む任意の他の所望の標準規格（複数可）またはプロトコルに準拠してもよい。

フィールドデバイス１４２は、ゲートウェイ１４３などの特殊なネットワークデバイスを介してデジタルバス１３５に接続することができる。たとえば、フィールドデバイス１４２はＰｒｏｆｉｂｕｓ－ＰＡコマンドを理解するだけでよく、Ｉ／Ｏネットワーク１３５はＰＲＯＦＩＢＵＳ－ＤＰプロトコルを実装してもよい。このために、ゲートウェイ１４３は双方向ＰＲＯＦＩＢＵＳ－ＤＰ／ＰＡ変換を提供することができる。スイッチ１４６はまた、ゲートウェイ１４３またはその近くに配置されてもよい。

１つ以上のプロセッサを内部に有するプラント内の多くの分散コントローラのうちの１つとすることができるコントローラ１１０は、１つ以上のプロセス制御ルーチンを実装または管理する。ルーチンは、コントローラに格納されるか、コントローラに関連付けられる１つ以上の制御ループを含むことができる。コントローラ１１０はまた、ネットワーク１５０および関連するネットワークデバイス１４６を介して、デバイス１３０または１３３、ホストコンピュータ１２０～１２２、およびデータヒストリアン１４５と通信して、任意の方法でプロセスを制御する。本明細書に記載される任意の制御ルーチンまたは要素は、そのように所望される場合は、その一部を異なるコントローラまたは他のデバイスによって実装または実行させてもよいことに留意されたい。同様に、本明細書で説明された、プロセス制御システム１００内部で実装されることになる制御ルーチンまたは要素は、ソフトウェア、ファームウェア、ハードウェア等を含む任意の形式を取り得る。この議論の目的のために、プロセス制御要素は、たとえば、任意のコンピュータ可読媒体上に記憶されたルーチン、ブロック、またはモジュールを含むプロセス制御システムの任意の部位または部分であり得る。制御ルーチンは、サブルーチン、サブルーチンの一部（コード行など）などのモジュールまたは制御プロシージャの任意の一部であり得、ラダーロジック、シーケンシャルファンクションチャート、機能ブロック図、オブジェクト指向プログラミング、または任意の他のソフトウェアプログラミング言語または設計パラダイムを使用するなど、任意の所望のソフトウェアフォーマットで実装することができる。同様に、制御ルーチンは、たとえば、１つ以上のＥＰＲＯＭ、ＥＥＰＲＯＭ、特定用途向け集積回路（ＡＳＩＣ）、または任意の他のハードウェアまたはファームウェア要素にハードコードされてもよい。さらに、制御ルーチンは、グラフィカル設計ツールまたは任意の他のタイ
プのソフトウェア／ハードウェア／ファームウェアプログラミングまたは設計ツールを含む任意の設計ツールを使用して設計することができる。したがって、コントローラ１１０は、任意の所望の様式で制御ストラテジまたは制御ルーチンを実装するように構成することができる。

データヒストリアン１４５は、任意の所望の種類のメモリ、およびデータを記憶するための任意の所望のまたは既知のソフトウェア、ハードウェア、またはファームウェアを有する、任意の所望の種類のデータストレージまたは収集ユニットであってもよく、かつワークステーション１２０～１２２のうちの１つから分離されてもよく、またはその一部であってもよい。データヒストリアン１４５は、スイッチ１４６を介してネットワーク１５０および／またはホスト１２０および１２２に通信可能に結合されてもよい。

図１Ｃは、イーサネットプロトコルを使用して、一般的にはプロセス制御システム１００を介して、かつプロセス制御ネットワーク１５０を介して通信することができるデータまたはフレーム１７５の基本単位を示す。イーサネットフレーム１７５は、スイッチ１４６または他のプロセス制御システム１００のコンポーネントのようなデバイス間で情報をそれぞれ運ぶ７つのフィールドを含む。フィールドは、受信デバイスによって解釈されて処理される多数のデータバイト１７８を含むことができる。たとえば、宛先ＭＡＣアドレスフィールド１８０は、プロセス制御ネットワーク１００の中間または宛先ノードの物理アドレスを含むことができ、ソースＭＡＣアドレスフィールド１８２は、プロセス制御システム１００の送信ノードまたは中間ノードの物理アドレスを含むことができる。宛先ＭＡＣアドレス１８０およびソースＭＡＣアドレス１８２フィールドは、プロセス制御ネットワーク１５０を介して送信されたデータを処理するために、スイッチ１４６からのデータと共に使用されてもよい。いくつかの実施形態では、フィールド１８０，１８２は、デバイスが「ロックダウン」状態にある時に、受信側ネットワークデバイス内に格納された１つ以上のテーブルと比較することができる。比較の結果は、受信したデータまたはロックされたネットワークデバイスへの他の物理的または論理的な接続を拒絶するか、そうでなければ拒否するために使用することができる。

図２Ａは、図２Ｃに示すように、スイッチ１４６の一例を表している一組のスイッチ１４６Ａ～Ｄが、ロックダウン性能を改善し、ネットワークセキュリティを向上させるために実装される例示的なプロセス制御ネットワーク２００Ａのネットワーク図である。実線はロックされたポートに接続された通信リンクを表し、点線はロックされていないポートに接続された通信リンクを表す。有利なことに、スイッチ１４６Ａ～Ｄの各ポートをロックダウンすることができる。その結果、たとえ悪意のあるデバイスが、スイッチ１４６Ａ～Ｄの１つのポートに接続されたプロセス制御デバイス、ハブ、または非管理スイッチに接続しても、各スイッチ１４６Ａ～Ｄがロックダウンされた時に、悪意のあるデバイスは、そのポートを介して通信することができない。

ネットワーク２００Ａは、スイッチ１４６Ａ～Ｄに加えて、デバイス１１１Ａ～１１１Ｌ（集合的に「デバイス１１１」と呼ぶ）、デバイス１１３Ａ～１１３Ｄ（集合的に「デバイス１１３」と呼ぶ）、およびハブ１１２を含む。デバイス１１１は、プロセス制御プラント内で動作し、プロセス制御ネットワークを介して通信するように具体的に構成されたプロセス制御デバイスである。各デバイス１１１は、（たとえば、冗長性のために）１つまたは２つの物理アドレスを有する。一般に、デバイス１１１の物理アドレスは、デバイス１１１がプロセス制御ネットワーク１００Ｄ上の他のプロセス制御デバイスによって認識されるように特別に構成されたＭＡＣアドレスである。たとえば、各デバイス１１１の物理アドレスは、それぞれがプロセス制御環境での実装のために特別に構成されたデバイスとして認識可能であるように、特定の認識されたパターンの文字（たとえば、Ｆ９－Ｃ３－ＸＸ－ＸＸ－ＸＸ－ＸＸ）で開始または終了することができる。例示的なデバイス
１１１は、プロセスコントローラ、Ｉ／Ｏカード、ワークステーション、データヒストリアン、および特別に構成されたネットワークデバイスを含む。

デバイス１１３は、（ｉ）プロセス制御ネットワーク用に特別に構成されていないデバイス（「市販のデバイス」または「汎用デバイス」とも呼ばれる）および／または（ｉｉ）３つ以上の物理アドレスを有するデバイス（特別に構成されたプロセス制御デバイスと「汎用」デバイスの両方を含むことができる）を含む。ハブ１１２は汎用ネットワークハブである。

スイッチ１４６Ａ～Ｄは、ポートに接続されたデバイスのタイプまたは数に関係なく、すべてのポートをロックすることができ、スイッチ１４６Ａ～Ｄのいずれかのポートに（直接的または間接的に）接続する悪意のあるデバイスによる攻撃を防ぐことができる。図２Ａは、スイッチ１４６Ａ～Ｄが現在のプロセス制御スイッチを改良するいくつかの例を示す。以下に、スイッチ１４６Ａ～Ｄの利点を示す４つの特定の例について説明する。４つの例とは、（ｉ）「汎用デバイス」またはデバイス（プロセス制御または「汎用」）に接続されたポートを３つ以上の物理アドレスでロックすること、（ｉｉ）非管理スイッチに接続されたポートをロックすること、（ｉｉｉ）一連のデイジーチェーン接続されたデバイスに接続されたポートをロックすること、および（ｉｖ）複数のデバイスに接続されたハブなどの管理されていないネットワークデバイスに接続されたポートをロックすることである。

第１の例は、デバイス１１３Ａに接続された時にロックすることができるポート２０１を含むスイッチ１４６Ａを含む。デバイス１１３Ａは、（ｉ）任意の数の物理アドレスを有する「汎用デバイス」または（ｉｉ）３つ以上の物理アドレスを有するプロセス制御デバイスであってもよい。動作中、スイッチ１４６Ａは、ポート２０１をロックするためのロックダウンルーチンを実施する。ロックダウン後、スイッチ１４６Ａは、デバイス１１３Ａの物理アドレスとは異なる物理アドレスを有するデバイスをポート２０１を介して通信することを許可しない。言い換えれば、スイッチ１４６Ａは、ポート２０１で受信された任意のメッセージを分析して、メッセージに含まれるソース物理アドレスを識別する。メッセージが、ロックダウンの時点でスイッチ１４６Ａによって知られているデバイス１１３Ａの物理アドレスと一致するソース物理アドレスを含まない場合、スイッチ１４６Ａは、その他のポートの１つを介してメッセージを転送するのではなく、メッセージを「ドロップ」し、スイッチ１４６Ａによってポート違反アラートが生成される。比較すると、典型的なプロセス制御スイッチは、デバイス１１３Ａが「汎用」デバイスまたは３つ以上の物理アドレスを有するデバイスのいずれかであるため、デバイス１１３Ａに接続されたポートをロックすることができない可能性があり、通常、プロセス制御スイッチは、ロックダウン手順が開始されても、そのようなポートをロックしない。

スイッチ１４６Ａはまた、スイッチ１４６Ｂに接続されたポート２１１を含む。ポート２１１に接続された実線で示すように、ポート２１１はロックされている。したがって、スイッチ１４６Ａは、スイッチ１４６Ｂ～Ｄのいずれかに接続されたデバイスの任意の物理アドレスを含む、ロッキング時にポート２１１を介して通信するすべてのデバイスの物理アドレスを格納することができる。場合によっては、スイッチ１４６Ｂ～Ｄのそれぞれは、上流スイッチ１４６（たとえば、スイッチ１４６Ａ）に接続されているという通知を受信することができ、その結果、上流スイッチ１４６が、リストされた物理アドレスが既知のアドレスであることを保証するために、メッセージにリストされた物理アドレスを認証することを前提として、ロックダウン中に物理アドレスを認証することができない。他の例では、スイッチ１４６Ｂ～Ｄのうちの１つ以上は、スイッチ１４６Ａと共にロックダウン中に物理アドレスを認証する。

第２の例は、非管理スイッチ（すなわち、記載されたロックダウン機能を持たないスイッチ、またはＢＰＤＵフレームを送信できないスイッチ）に接続された時にロック可能なポート２０３を含むスイッチ１４６Ｂを含む。ポート２０３、および第２のスイッチに接続された他の任意のポート（たとえば、スイッチ１４６Ａのポート２１１およびポート２１３，２１５、および２１７）は、「アップリンクポート」と呼ぶことができる。なお、一部の状況では、スイッチ１４６は、アップリンクポートを識別する時、管理アップリンクポートのみを識別するように構成することができ、したがって、スイッチポート２０３は、スイッチ１４６Ｂによってアップリンクポートとして分類されないことがある（たとえば、スイッチ１４６は、他のスイッチ１４６に接続されているポートをアップリンクポートとしてのみ分類するように構成することができる）。デバイス１１１Ｇ～Ｉは、ポート２０３に物理的に接続された非管理スイッチ１０９に接続されている。特に、非管理スイッチ１０９は、（スイッチ１０９をデバイス１１１Ｇ～Ｉに接続する点線によって示されるように）そのポートをロックダウンすることができないので、悪意のあるデバイスは、スイッチ１０９に接続して、スイッチ１０９に接続された他のデバイス（たとえば、デバイス１１１Ｇ～１１１Ｉ）と通信することができる。換言すれば、誰かがネットワーク２００Ａ内のロック可能なスイッチ（たとえば、スイッチ１４６Ａ～１４６Ｄ）のすべてをロックダウンしようとしても、未知の物理的な新しいデバイスがスイッチ１０９に接続することができ、スイッチ１０９は、悪意のあるデバイスからのメッセージに含まれる宛先アドレスにマッピングされたスイッチ１０９のポートに、悪意のあるデバイスからのメッセージを転送する。

しかしながら、ポート２０３は、スイッチ１４６Ｂによってロックされているので（スイッチ１４６Ｂとスイッチ１０９を接続する実線で示すように）、ポート２０３で受信された新しい未知のデバイスからのメッセージは、スイッチ１４６Ｂによってドロップされる。スイッチ１４６Ｂがロックされると、ポート２０３を介して通信するすべての既知のデバイスの既知の物理アドレスのレコードが作成されるので、それらの既知のデバイスがスイッチ１０９のような非管理アップリンクスイッチを介して通信しているとしても、メッセージはドロップされる（スイッチ１４６Ｂは、ポート２０３を介して送受信されるメッセージのソースおよび送信先アドレスを監視および記録することによってこのレコードを作成することができる）。したがって、図示の例では、スイッチ１４６Ｂは、デバイス１１１Ｇ～Ｉの物理アドレスのみがポート２０３に関連付けられるように、既知の物理アドレスのレコードを「ロック」する。その結果、スイッチ１０９に（たとえば、有線または無線接続を介して）接続する任意のデバイスは、スイッチ１４６Ｂのポート２０３を介してネットワーク２００Ａ上の他のデバイスと通信することができない（新しいデバイスがデバイス１１１Ｇ～Ｉのうちの１つのものと一致する物理アドレスを有する場合、スイッチ１４６はアドレスマッピングテーブル２２２を利用して新しいデバイスがデバイス１１１Ｇ～Ｉの１つではないことを検出する）。要するに、ポート２０３がそのポートをロックしない非管理スイッチ（すなわち、スイッチ１０９）に接続されていても、スイッチ１４６Ｂは、ロックダウン時にスイッチ１０９に接続されたデバイスのみがスイッチ１４６Ｂを介して通信できるようにポート２０３をロックすることができる。

第３の例に移ると、図２Ａは、一組のデイジーチェーン接続されたデバイス１１１Ｅおよび１１１Ｆがポート２０５に接続された時にロックすることができるポート２０５を含むスイッチ１４６Ｃを示す。デバイス１１１Ｅはポート２０５に物理的に接続され、デバイス１１１Ｆはデバイス１１１Ｅにデイジーチェーン接続され、デバイス１１１Ｆがデバイス１１１Ｅおよびポート２０５への接続を介してネットワーク２００Ａ上の他のデバイスと通信することを可能にする。一般に、デイジーチェーン接続はパススルー接続であり、すべてのデイジーチェーン接続されたデバイス（つまり、１１１Ｅおよび１１１Ｆ）がポート２０５に直接アクセスできるようにする。特に、デバイス１１１Ｅは、デバイス１１１Ｅと１１１Ｆとの間で点線で示すように、デバイス１１１Ｆに接続されたアクセスポ
イントをロックしない。したがって、悪意のあるデバイスは、デバイス１１１Ｅまたは１１１Ｆに接続する可能性があり、そのいずれかが、悪意のあるデバイスから受信したメッセージを転送する可能性がある。ただし、新しいデバイスがポート２０５に接続された同じデイジーチェーンに接続されている場合や、デイジーチェーンのデバイスが新しいデバイスに置き換えられた場合は、スイッチ１４６Ｃは、ポート２０５に対するポート違反のフラグを立て、デイジーチェーンに接続された任意のデバイスからの通信を許可しない可能性がある。いくつかの例では、スイッチ１４６Ｃは、ロックダウン中に新しいデバイスからのメッセージを単純にドロップすることができる。ポート２０５をロックダウンすると、スイッチ１４６Ｃは、ポート２０５（たとえば、デバイス１１１Ｅおよび１１１Ｆ）を介して通信するすべての既知のデバイスの既知の物理アドレスのレコードを作成し、既知の物理アドレスとは異なるソース物理アドレス（たとえば、悪意のあるデバイスの物理アドレス）を識別するメッセージを廃棄するので、メッセージはドロップされる。したがって、悪意のあるデバイスがデバイス１１１Ｅまたは１１１Ｆに接続している間に、悪意のあるデバイスからの任意のメッセージは、スイッチ１４６Ｃによってドロップされる（すなわち、スイッチ１４６Ｃの他のポートを介して転送されない）。

最後に、第４の例として、図２Ａは、複数のデバイスに接続されたロック解除可能なハブ１１２に接続された時にロック可能なポート２０７を含むスイッチ１４６Ｄを示す。要するに、スイッチ１４６Ｄは、スイッチ１４６Ｂが非管理スイッチ１０９をどのように処理するのかと同様に、ハブ１１２を処理する。デバイス１１３Ｄ、１１１Ｋ、および１１１Ｌは、ポート２０７に物理的に接続されたハブ１１２に接続されている。ハブ１１２は、（ハブ１１２をデバイス１１３Ｄ、１１１Ｋ、および１１１Ｌに接続する点線によって示されるように）そのポートをロックダウンすることができないので、悪意のあるデバイスは、ハブ１１２に接続して、ハブ１１２に接続された他のデバイスと通信することができる。しかしながら、ポート２０７はスイッチ１４６Ｄによってロックされているので、ポート２０７で受信された新しい未知のデバイスからのメッセージは、スイッチ１４６Ｄによってドロップされる。

特に、デバイス１１３Ｄ、１１１Ｋ、および１１１Ｌは、それらの物理アドレスがスイッチ１４６Ｄおよび／または１４６Ｂのメモリに登録されているので、ネットワーク２００を介して通信することができる。場合によっては、使いやすさと利便性のために、スイッチ１４６Ａ～Ｄのアップリンクポート（たとえば、ポート２１３および２１５）はロックされないが、アップリンクポートにマッピングされたすべての物理アドレスが（たとえば、スイッチ１４６Ｂおよび／または１４６Ｄに）登録され、アドレステーブルへの変更がフラグされ、アラートがスイッチによって生成される。たとえば、誰かがスイッチ１４６Ｂからスイッチ１４６Ｄを切断しようとし、新しいハブをポート２１５に接続しようとすると、スイッチ１４６Ｂは、新しいハブおよびスイッチ１４６Ｂを介して通信しようとするデバイスの未知のアドレスを検出する。誰かがスイッチ１４６Ｂとスイッチ１４６Ｄとの間に中間デバイスとして新しいハブを挿入しようとすると、スイッチ１４６Ｂおよび１４６Ｄの両方は、新しいハブ（および／またはハブに接続された新しいデバイスの任意の新しいアドレス）を検出することができ、一方または両方が、スイッチ１４６Ｂおよび１４６Ｄに現在接続されている新しい物理アドレスに関するアラートを生成することができる。アップリンクポート検出メカニズムにより、ユーザは、そのような物理的なアクセス介入がいつ実施されるかを識別することができる。

図２Ｂは、一組のスイッチ１４６Ａ～Ｄが実装されている例示的なプロセス制御ネットワーク２００Ｂのネットワーク図である。ネットワーク２００Ｂは、ネットワーク２００Ａと同様である。ネットワーク２００Ｂ内の各スイッチ１４６Ａ～Ｄは、そのポートの１つが第２のスイッチ（すなわち、アップリンクポート）に接続されている時を検出し、第２のスイッチが管理されていない時にのみアップリンクポートをロックするように構成さ
れる。各スイッチ１４６Ａ～Ｄは、第２のスイッチでハンドシェイクを分析して、第２のスイッチが管理されているかどうかを判断する（たとえば、第２のスイッチがスイッチ１４６であるかどうかを判定する）。ロックダウンの間、各スイッチ１４６Ａ～Ｄは、接続された第２のスイッチがロック可能であるかどうかに応じて、アップリンクポートを介して受信されたメッセージを異なる方法で処理することができる。言い換えれば、各スイッチ１４６Ａ～Ｄは、第２のスイッチがロック可能であるかどうかに応じて、ロック解除またはアップリンクポートをロック状態にすることができる。

たとえば、スイッチ１４６Ａは、スイッチ１４６Ｂに接続されたアップリンクポート２１１を含む。スイッチ１４６Ｂはロック可能であるので、スイッチ１４６Ａは、アップリンクポート２１１をロック解除したままにする。同様に、スイッチ１４６Ｂは、それらがロック可能スイッチ１４６Ｃおよび１４６Ｄに接続されているので、アップリンクポート２１３および２１５をロック解除したままにする。スイッチ１４６Ａは、メッセージに含まれるソース物理アドレスを認証することなく、スイッチ１４６Ｂから受信したメッセージを転送することができる。スイッチ１４６Ａは、スイッチ１４６Ｂがそのポートに対してロックダウンを処理していると「仮定している」と言えるかもしれず、したがって、ロックダウン中であっても、アップリンクポート２１１をロックすることはできない。スイッチ１４６Ｂは同様にポート２１３および２１５のロックを解除したままにしておくことができる。場合によっては、スイッチ１４６Ａおよび１４６Ｂは、アップリンクポート２１１～２１５を介して受信されたメッセージのソース物理アドレスを引き続き監視し、ソース物理アドレスを既知の物理アドレスと比較することができる。スイッチ１４６Ａおよび１４６Ｂは、監視によってソース物理アドレスが未知であることが明らかになった時に、ポート違反アラームを生成することができる。

第２のスイッチがロック可能でない場合（たとえば、汎用または「既製品」のスイッチ）、スイッチ１４６Ａ～Ｄは、図２Ａを参照して説明したのと同じ方法で、アップリンクポートをロックすることができる。たとえば、スイッチ１４６Ｂは、図２Ａを参照して説明したように、アップリンクポート２０３（非管理またはアンロック可能スイッチ１０９に接続されている）をロックすることができる。場合によっては、アップリンクポートがロックされると、スイッチ１４６Ａ～Ｄは、未知のソース物理アドレスを有するメッセージをドロップする。他の例では、アップリンクポートがロックされると、スイッチ１４６Ａ～Ｄは未知の物理アドレスを有するメッセージを転送し続けながら、ポート違反アラームまたはアラートを生成する。

図２Ｃは、スイッチ１４６のブロック図であり、スイッチ１４６は、ＤｅｌｔａＶ（登録商標）プロセス制御ネットワーク（異なるユースケースに対処するために異なるファミリがある）で使用するためのＤｅｌｔａＶスマートスイッチであってもよい。スイッチ１４６はレイヤ２スイッチであり、スイッチ１４６はＯＳＩモデルのレイヤ２（データリンクレイヤ）で動作することを意味する。動作中、スイッチ１４６は、メッセージの転送ポートを、（ｉ）メッセージに含まれる宛先物理アドレスを特定し、（ｉｉ）宛先物理アドレスに関連する転送ポートを識別するためにスイッチングテーブルを参照することにより、メッセージ用の転送ポートを選択する。スイッチ１４６は中間ノードを追跡しない。たとえば、スイッチ１４６が、４つの中間ノードを介してスイッチ１４６に接続されたエンドデバイス向けのメッセージを受信した場合、スイッチ１４６は、「次のノード」または他の中間ノードのいずれかの記録を持たない。むしろ、スイッチングテーブルを参照して、メッセージを転送するためにどのポートを使用すべきかを判定する。さらに、スイッチ１４６は、メッセージ転送の目的でネットワークアドレスを追跡せず、ＩＰルーティングテーブルを利用しない。

対照的に、ルータなどのレイヤ３ネットワークデバイスは、ＯＳＩモデルのレイヤ３（
ネットワークレイヤ）で動作し、通常はルーティングテーブルを使用する。ルータはメッセージを受信すると、メッセージに含まれる宛先ネットワークアドレスを識別する。次に、ルータはルーティングテーブルを参照して、宛先ネットワークアドレスに到達する最適なルートを特定し、最適ルートについてリストされた「ネクストホップ」ネットワークアドレスを識別し、「ネクストホップ」ネットワークアドレスを持つデバイスにメッセージを転送する。レイヤ３スイッチは、通常、ルータと同様のネットワークルーティングインテリジェンスを持っている。場合によっては、スイッチ１４６は、レイヤ３スイッチであってもよい。すなわち、ある実施形態では、スイッチ１４６は、ルーティングおよび／または転送のためにネットワークアドレスを利用することができる。

前述したように、スイッチ１４６は「スマートプロセス制御スイッチ」であり、これは、スイッチ１４６が、プロセス制御環境のために特に構成され、プロセスコントローラ、フィールドデバイス、Ｉ／Ｏカード、プロセス制御ワークステーション、プロセス制御ヒストリアンなどのプロセス制御システムに固有のデバイスと通信するために構成されることを意味する。スイッチ１４６のファームウェアは、ストーム制御（特定の通信のためのデータ転送を制限する）および／またはループ防止のようなＤｅｌｔａＶ通信要件に対処する特定の構成を含むことができる。スイッチ１４６は、プロセス制御システム１００用に特別に設計されたスイッチ１４６のファームウェアにダウンロードすることによってプロセス制御動作用に構成することができる。特殊化されたファームウェアは、プロセス制御システム１００に特有のケースを使用しており、一般にユーザが変更することができない。一般に、使用されるファームウェアは、ネットワークループを防止し、ネットワークストームを防ぎ、未使用のスイッチポートをロックダウンするように設計されている。

スイッチ１４６は、１つ以上の通信ポート２０２、コンソールアクセスポート２０４、およびステータスライト２０６を含む。通信ポート２０２は、ネットワーク１５０を介した通信のために、様々な他のネットワークデバイスおよびプロセス制御システムコンポーネントを相互接続するために使用され、ステータスライト２０６は、ネットワークデバイスの現在の動作を示し、診断の目的で使用することができる。一般に、ポート２０２は、イーサネット接続（たとえば、ＣＡＴ５ ＳｃＴＰケーブルまたはＣＡＴ６ケーブルを利用する）または光ファイバ接続などの有線の物理接続を受信するように構成されている。

スイッチ１４６はまた、スイッチ１４６によって実行される動作および機能を実行するように具体的に構成された特定用途向け集積回路（ＡＳＩＣ）である回路２３０を含む。高レベルでは、回路２３０はポート２０２を制御する。特に、回路２３０は、ポート２２０を有効および無効化し、ポート２２０をロックおよびアンロックし、ポート２２０で受信したメッセージを処理する。図２Ｂは回路２３０を単一回路として示しているが、いくつかの実装では、スイッチ１４６は、回路２３０に関して説明した機能を実行する複数の回路を含むことができる。

さらに、スイッチ１４６は、メモリ２０８（揮発性メモリ２１０および／または不揮発性メモリ２１２を含むことができる）を含むことができる。メモリ２０８は、（ｉ）１つ以上の標準および私的管理情報ベース（ＭＩＢ）２１４と、（ｉｉ）（「転送データベーステーブル」または「ＦＤＢテーブル」と呼ばれることもある）交換テーブル２１６と、（ｉｉｉ）動的アドレステーブル２１８と、（ｉｉｉ）静的アドレステーブル２２０と、（ｉｖ）アドレス一致テーブル２２２とを含む。いくつかの例では、メモリ２０８はコンテンツアドレス可能メモリ（ＣＡＭ）を含むことができ、テーブル２１４～２２２のうちの１つ以上をＣＡＭに格納することができる。

一般に、各ＭＩＢ２１４は、特定のＭＩＢ２１４に対応するデバイス（たとえば、スイッチ１４６）を管理するために操作できるオブジェクトまたは変数のデータベースである
。ＭＩＢ２１４は、スイッチ１４６を管理し、プロセス制御ネットワーク１５０に特有の機能を実装するためのコマンドラインインタフェース（ＣＬＩ）を介してアクセス可能なオブジェクトの集合を含むことができる。１つ以上のプライベートＭＩＢ２１４は、本明細書で説明するロックダウンおよびロック解除機能を制御するために回路２３０によって管理され得るオブジェクトを含み得る。さらに、回路２３０は、プライベートＭＩＢ２１４を利用して、スイッチ１４６と通信するランタイムＡＰＩを介してＤｅｌｔａＶ（登録商標）ネットワークセキュリティ機能のためのインタフェースを提供することができる。プロセス制御ネットワーク１５０は、ネットワークデバイスの混合物を含むように構成することができ、各々のネットワークデバイスは、ロックダウンおよびロック解除機能（すなわち、「ロックデバイス」）を制御するためのプライベートＭＩＢ、およびロックダウンまたはロック解除機能を持たない市販のネットワークデバイスをそれぞれ含む。

スイッチングテーブル２１６は、各物理アドレスに対して、１つ以上の物理アドレス（たとえば、ＭＡＣアドレス）およびスイッチ１４６の対応するポートとを含む。動作中、スイッチ１４６はポート２０２の１つでメッセージを受信する。回路２３０は、メッセージに含まれる宛先物理アドレスを識別するためにメッセージを分析し、宛先物理アドレスに対応するポート２０２を識別するためにスイッチングテーブル２１６を参照する。スイッチングテーブル２１６が宛先物理アドレスを含まない場合、回路２３０はフラッディングルーチンを実行することができ、その間にスイッチ１４６はすべてのポート２０２を介してメッセージを送信する。宛先物理アドレスを有するデバイスが（直接的または間接的に）ポート２０２の１つに接続されていると仮定すると、デバイスは受信したメッセージに応答する。スイッチ１４６が応答を受信した後、回路２３０は、宛先物理アドレスと、回路２３０が宛先デバイスからの応答を受信したポート２０２とをスイッチングテーブル２１６に記録する。

一般に、スイッチ１４６は、動的アドレステーブル２１８を使用して、メッセージの転送または廃棄に関する判定を行うことはない。むしろ、動的アドレステーブル２１８は、経時的に連続的に更新され得るポートに接続されたデバイスの記録を表す。動的アドレステーブル２１８は、スイッチ１４６の各ポート２０２に現在接続されているエンドデバイスの物理アドレスをリストアップする。たとえば、スイッチ１４６は、デバイスから受信したフレーム１７５（図１Ｃに示す）を解析して、デバイスのソースＭＡＣアドレス１８０を識別することによって特定のポート２０２への物理アドレスのマッピングを動的に学習することができる。スイッチ１４６は、ソースＭＡＣアドレス１８０を、特定のポート２０２にマッピングされた物理アドレスとして動的アドレステーブル２１８に追加する。さらに、スイッチ１４６は、（ｉ）宛先デバイスの宛先ＭＡＣアドレス１８２を識別するためにフレーム１７５を分析し、（ｉｉ）スイッチングテーブル２１６に関して説明したフラッディングルーチンを実行して、（ｉｉｉ）宛先デバイスからの応答メッセージが受信されるポート２０２を識別することにより、物理アドレスの第２のポートへのマッピングを、動的に学習できる。場合によっては、動的アドレステーブル２１８は、転送テーブル２１６から情報をコピーすることによって定期的に更新することができる。さらに、いくつかの実施態様では、スイッチ１４６は、判定を転送し、接続されたデバイスの物理アドレスを追跡するためにのみ、テーブル２１６および２１８のうちの１つを使用する。

回路２３０は、新しい物理アドレスを新しいデバイスが接続されているポート２０２にマッピングして、現在使用されていない物理アドレスをエージングすることによって（たとえば、メッセージが特定の物理アドレスとの間で成功裏に送信されずに通過した時間または数のメッセージを追跡することによって）、ノードがスイッチ１４６に接続されるかまたはスイッチ１４６から切断される時に動的アドレステーブル２１８を更新することができる。たとえば、エージングタイムの満了時に、回路２３０は、動的アドレステーブル２１８から物理アドレスを除去することができる。

静的アドレステーブル２２０は、動的アドレステーブル２１８と同様に、各ポート２０２に関連するエンドデバイスの物理アドレスをリストアップする。しかし、テーブル２２０内の物理アドレスは動的に学習されず、老化しない。むしろ、それらは、スイッチ１４６がロックされた時に動的テーブル２１８をコピーすることによって明示的に入力される。スイッチ１４６のファームウェアに実装された機能は、スイッチングテーブル２１６をテーブル２１８および２２０と比較して着信メッセージを処理することができる。ポート２０２で受信されたメッセージに含まれるソース物理アドレスを認証するための認証動作を実行する時に、静的アドレステーブル２２０は、回路２３０によって利用されてもよい。特に、受信されたメッセージのソース物理アドレスが、静的アドレステーブル２２０の受信ポートにマッピングされた既知の物理アドレスとして識別されない場合、回路２３０はメッセージをドロップすることができる。

一般に、物理アドレスは、スイッチ１４６が通常の状態または「ロック解除」状態にある間に、スイッチテーブル２１６に追加されてもよい。たとえば、「ロック解除」状態において、スイッチ１４６がイーサネットフレーム１７５を受信すると、回路１３０は宛先ＭＡＣアドレス１８０を検査し、スイッチングテーブル２１６を参照して、フレーム１７５を転送すべき適切なポート２０２を識別する。スイッチテーブル２１６が、受信した宛先ＭＡＣアドレス１８０に関する情報を含まない場合、スイッチ１４６は、イーサネットフレーム１７５をネットワーク１５０内のすべてのポートにブロードキャストする。別のネットワークデバイスでブロードキャストされたＭＡＣを認識すると、他のフレームは、ブロードキャストスイッチ１４６に送られ、ブロードキャストスイッチ１４６は、発見されたＭＡＣアドレスを動的アドレステーブル２１８およびＦＤＢテーブル２１６に追加する。しかし、（後述するように）「ロックダウン」状態では、スイッチングテーブル２１６は、さらなる変更または追加を防止するために、現在の構成において固定されてもよい。ロックされた時に以前に学習された物理アドレスおよび動的アドレステーブル２１８に含まれる他の情報は、静的アドレステーブル２２０に移動され、スイッチ１４６の学習は無効にされる。ロックダウン状態では、切替テーブル２１６を変更することはできず、スイッチ１４６が、未知のまたは未学習のＭＡＣアドレス１８２から受信したフレーム１７５を受け入れて転送するのを防止する。

アドレス一致テーブル２２２は、テーブル２１６、２１８、および２２０のうちの１つ以上に記憶された既知の物理アドレスごとのネットワークアドレスをリストアップする。スイッチ１４６は、ネットワークアドレスに対するＡＲＰ要求を送信することによって、既知の物理アドレスのネットワークアドレスを判定することができる。代替的に、場合によっては、データベースは、プロセス制御ネットワーク１５０上のノード用のネットワークアドレスのリストを記憶することができ、スイッチ１４６は、既知の物理アドレス用のデータベースネットワークアドレスからダウンロードすることができる。スイッチ１４６は、受信したメッセージの転送ポートを選択するためにアドレス一致テーブル２２２を利用しないが、スイッチ１４６はテーブル２２２を使用してアドレス解決プロトコル（ＡＲＰ）スプーフィングを防止することができる。特に、スイッチ１４６がロックダウンされると、ソースデバイスがアドレス一致テーブル２２２内の既知のネットワークアドレスと一致するネットワークアドレスを有することを確認することによって、スイッチ１４６にメッセージを送信したソースデバイスの識別を検証することができる。この検証は、悪意のあるデバイスが既知のデバイスの物理アドレスを偽装した場合に役立つ。アドレス一致テーブル２２２は、図５を参照して以下でより詳細に説明される。

スイッチ１４６がアップリンクポート（すなわち、第２のスイッチに接続されたポート）を有する場合、スイッチ１４６は、第２のスイッチが「管理」スイッチであるか「非管理」スイッチであるかを判断するために、第２のスイッチとのハンドシェイクを実施する
ことができる。一般に、「管理」スイッチはそのポートをロックすることができ、「非管理」スイッチはそのポートをロックすることができない。ハンドシェイク中に、スイッチ１４６は、その「ロック可能性」または状態が管理状態または非管理状態であることに関する第２のスイッチからの指示を受信することができる。ある場合では、スイッチ１４６は、クエリを第２のスイッチに送信することができ、第２のスイッチは、第２のスイッチが管理されているという指示で応答することができる。また、第２のスイッチは、第２のスイッチが管理されていない、または単に応答しない可能性があるという指示で応答してもよい。ある時間期間（たとえば、１秒、５秒、３０秒など）内に応答を受信できないことは、第２のスイッチが管理されていないことをスイッチ１４６に示すように作用することができる。

スイッチ１４６が、第２のスイッチが管理されているという指示を受信すると、スイッチ１４６は、第２のスイッチが第２のスイッチのポートのロックを処理することを前提として、第２のスイッチのロックをバイパスすることができる。これにより、スイッチ１４６は、第２のスイッチを介して通信するデバイスのソース物理アドレスを監視し、これらの監視されたソース物理アドレスを既知の物理アドレスのレコードと比較することができる。スイッチ１４６が、既知の物理アドレスではない第２のスイッチに接続された監視されたソース物理アドレスを検出すると、スイッチ１４６は、アラーム（たとえば、ユーザインタフェースを介して表示するためにワークステーション１２０または１２２のうちの１つに送信され得るポート違反アラーム）を生成することができる。

図３Ａは、１つ以上のスイッチ１４６のポート２０２をロックおよびロック解除する例示的な方法３００を示す。一般に、方法３００は、プロセス制御システム１００のユーザがスイッチ１４６をロックダウンさせ、スイッチ１４６が「未知」のデバイスから受信したメッセージをドロップするようにする。たとえば、ユーザがスイッチ１４６のポート２０２からデバイスを抜き取り、その場所にある別のデバイスを差し込むと、スイッチ１４６は、異なるデバイスからのメッセージを拒絶し、システム１００のワークステーション１２０，１２２上で実行されるユーザインタフェース、監視サービス、および／または他のアプリケーションに警告する。ロックダウン状態では、ネットワーク１５０および／または１５５内のすべてのポート２０２がロックされてもよく、「未知の」物理アドレスを有する新しいデバイスがポート２０２を介して通信することを防止する。以下の方法は、一般に、図４Ａ～図４Ｄに示すユーザインタフェース４００を参照するが、記載された機能を実行するための任意の適切なユーザインタフェースが利用され得ることが理解されるであろう。

ブロック３０２において、ユーザは、ロックダウンプロセスを開始するためにユーザインタフェース４００（図４Ａ～Ｄに示す）を表示するプロセス制御ネットワークセキュリティアプリケーションを起動することができる。ワークステーション１２０または１２２のうちの１つは、ロックダウンおよびロック解除手順を開始するためにスイッチ１４６でＭＩＢ２１４を利用することができるユーザインタフェース４００を提供することができる。

ブロック３０４において、アプリケーションは、自動的に（たとえば、起動時に）、またはユーザからの入力に応答して、スイッチ探索を開始することができる。ユーザインタフェース４００は、「探索スイッチ」のステータス表示４０２、またはプロセス制御ネットワーク１５０の１つ以上のスイッチ１４６が識別されているという別の表示を表示することができる。いくつかの実施形態では、アプリケーションは、ネットワークデバイス探索を開始すると、ユーザインタフェース４００の１つ以上の機能ボタンを無効にすることができる。ユーザは、ネットワークデバイス探索を手動で開始することもできる。場合によっては、アプリケーションは、プロセス制御ネットワーク１５０内に存在する任意のス
イッチ（管理対象または非管理対象）を探索することができる。他の例では、アプリケーションは、ロックダウン機能を含むスイッチ１４６などのネットワークデバイスのみを識別することができる。

アプリケーションは、１つ以上のパラメータを使用してネットワーク１５０を検索することによって、スイッチ１４６を探索することができる。場合によっては、アプリケーションは、追加的または代替的に、ネットワーク１５５を検索することができる。スイッチ１４６は、スイッチ１４６の物理アドレスを使用して最初に探索されてもよい。スイッチ１４６は、コミッショニングプロセス中にネットワークアドレスを有するように構成することができる。このコミッショニングプロセスの後、ＭＩＢ２１４を介してスイッチ１４６との通信が可能となり（たとえば、スイッチ１４６は、スイッチ１４６のプライベートＭＩＢ２１４を特定することによって識別することができる）、ＬＡＮ外のデバイスは、メッセージをスイッチ１４６のネットワークアドレスにアドレス指定することによって、メッセージをスイッチ１４６に送信することができる。アプリケーションは、指定された範囲の物理アドレスおよび／またはネットワークアドレスを検索することによってスイッチ１４６を検索することができる。なお、スイッチ１４６自体がネットワークアドレスを有していてもよいが、スイッチ１４６は、一般に、受信されたメッセージの転送ポートを選択する時、他のデバイスのネットワークアドレスに依存しない。

ブロック３０６において、ブロック３０４で探索された１つ以上のスイッチ１４６（図４Ｂ）は、拡張可能なドロップダウンメニュー４０６（図４Ａ）によってユーザインタフェース４００によって表示されてもよく、探索されたスイッチの１つのパラメータは、拡張可能なドロップダウンメニュー４０６（図４Ｃ）から選択されたスイッチ１４６に対して表示されてもよい。たとえば、ロック状態、ロックタイマ、およびパスワード経過時間などのセキュリティパラメータは、ユーザインタフェース４００のウィンドウに表示されてもよい。ウィンドウにはスイッチアラーム（たとえば、ＣＯＭＭ、ＦＡＩＬＥＤ、ＭＡＩＮＴ、ＡＤＶＩＳＥ）およびコンポーネント状態パラメータ（たとえば、電源装置の状態、シャーシの温度など）も表示することができる。スイッチのポートは、各ポートの多数のパラメータと共にリストアップされることもある（たとえば、ポートが使用可能かどうかを示し、接続されたエンドノードのノード名を識別し、ポートロックアドレスを識別し、および／またはポートロック違反が存在するかどうかを示す）。

探索可能なスイッチ１４６のすべてが探索されると、ユーザインタフェース４００は、検索が完了したことを示すことができる。いくつかの実施形態では、方法３００が最初に開始される時、スイッチ１４６は、インタフェース４００の閉じたスイッチリスト内の物理アドレスのみで表示されてもよい。発見されたスイッチが他の方法でロックダウンされていない場合、ロック状態は、探索されたスイッチ１４６が「ロック解除」状態であることを示すことができる。ロック解除状態では、スイッチ１４６は、ネットワーク１５０内のすべての通常の機能を実行することができる。いくつかの実施形態では、ロック解除状態のポート２０２は、学習、エージング、および転送の基本的な透過的ブリッジ機能を実行することができる。デフォルトのエージングタイムは、６００秒（１０分）に設定することができるが、スイッチ１４６およびネットワーク１５０の構成に応じて他のデフォルト時間を設定してもよい。検索の完了時に、１つ以上の機能ボタン４３４は、ユーザによる選択または自動プロセスによって利用可能であり得る。

ブロック３０８において、ユーザまたは自動プロセスは、図４Ａに示されるユーザインタフェース４００上にリストアップされた「ロック解除」スイッチのうちの１つ以上を選択することができる。ユーザは、１つ以上の所望のスイッチを選択するためにワークステーションの入力デバイス（たとえば、マウスまたはタッチスクリーン）を利用することによってこの選択を行うことができ、ユーザインタフェース４００に、スイッチをロックす
るための選択可能なボタンを有するドロップダウンメニューを表示させることができる。図４Ｂに示すように、ユーザはネットワーク全体を選択して、（たとえば、所望のネットワーク上で右クリックすることによって）ロックダウンすることもできる（すなわち、選択されたネットワーク内のすべてのスイッチ１４６がロックされている）。いくつかの例では、１つ以上のスイッチ１４６は、ロックダウンを開始するように作動することができるハードウェアアクチュエータ（たとえば、ボタン）を含むことができる。さらに、自動プロセスは、ある容量のネットワーク１５０に接続している悪意のあるデバイスの検出のようなトリガに基づいて、ロックダウンのためのスイッチを選択することができる。

ブロック３１０において、ワークステーションは、ユーザが図４Ｆに示すロックボタン４３６などのロックボタンを選択したことを検出したことに応答して、ロックダウンプロセス（図３Ｂに示す方法３２５など）を開始する。ユーザインタフェース４００によって提供されるロックボタンは、プロセス制御ネットワーク１５０の異なる部分に対するロックダウンを選択的に開始するプロセスを開始することができる。たとえば、別個のボタンは、１つ以上の選択されたスイッチ１４６において、ネットワーク全体、プライマリネットワーク、セカンダリネットワーク、個々のスイッチ１４６、または特定のポート２０２を選択的にロックする能力を提供することができる。さらなるセキュリティのために、ロックダウンプロセスは、場合によっては選択されたワークステーション１２０，１２２からのみ開始され、たとえばプロセス制御ネットワーク１５０の物理的部分ではないリモートワークステーションを使用してインターネットを介して開始されなくてもよく、または、１つ以上の事前承認されたＭＡＣアドレスまたはＩＰアドレスからのみ開始されてもよい。ロックボタンを選択してロックダウンプロセスを開始すると、認証プロセスが開始される。たとえば、ワークステーションは、ロックダウンプロセスへのアクセス権を確認するためにユーザ名とパスワードまたは他の個人識別情報をユーザから要求することができる。アプリケーション４００は、スイッチ１４６をロックおよびアンロックするためにＭＩＢ２１４を介した管理アクセスを利用することができる。通信は暗号化されていてもよく、使用される鍵またはパスワードは、ユーザには知られていなくてもよいが、スイッチ１４６およびアプリケーション４００に知られていてもよい。

ロックボタンを選択した後の認証時において、ワークステーションは、選択されたスイッチ１４６にロックコマンドを送ることができる（たとえば、選択されたスイッチ１４６のプライベートＭＩＢ２１４の１つ以上の変数を設定することによって）。ロックコマンドの受信に応答して、スイッチ１４６は、そのポート２０２のすべてをロックすることができる。一般に、ポート２０２をロックすることは、ロック状態がアクティブにされた時にスイッチ１４６のスイッチングテーブル２１６に含まれないソースＭＡＣアドレス１８２を有する任意のメッセージまたはフレーム１７５を受け入れないことを含む。いくつかの実施形態では、許可されていない物理アドレスをスイッチ１４６のメモリ２０８に記録してもよく（たとえば、既知の敵意のあるＭＡＣアドレス、不正デバイスに属するＭＡＣアドレスの範囲など）、スイッチ１４６は、許可されていない物理アドレスの１つを含む受信メッセージをすべてドロップする。

ブロック３１１において、１つ以上のスイッチ１４６のためにロックダウンプロセス３２５を実行した後、たとえば、トラブルシューティング動作、定期メンテナンス、診断、ネットワーク再構成などの間に、１つ以上のスイッチ１４６をロック解除する必要があり得る。

ブロック３１２において、ユーザまたは自動プロセスは、「ロックされた」状態にある１つ以上のスイッチ１４６を選択することができ、ユーザが図４Ｄに示すようなロック解除ボタンを選択することに応答して、ブロック３１４において、ユーザによって使用されるワークステーションは、ロック解除プロセス（図３Ｃに示す方法３５０のような）を開
始することができる。ロックボタンと同様に、ロック解除ボタンは、１つ以上のプライベートＭＩＢ２１４を利用することによって、以前にロックされたプロセス制御ネットワーク１５０の異なる部分のロック解除プロセスを開始することができる。追加のセキュリティのために、ロック解除プロセスは、以前にロックされた１つ以上のポート２２０を自動的に再ロックするロックダウンタイマで構成されてもよい。ロックダウンタイマは、デフォルト設定で構成することができ、ロック解除プロセスの完了後のある期間の満了時に（ブロック３１６）、ロック解除スイッチ１４６のうちの１つ以上を再ロックすることができる（ブロック３１０）。一実施形態では、ロックダウンタイマは、６０分（すなわち、３６００秒）のデフォルト設定で構成される。解除プロセスは選択されたワークステーション１２０，１２２から開始され、たとえばプロセス制御ネットワーク１５０の物理的部分ではないリモートワークステーションを使用してインターネットを介して開始されなくてもよく、または、１つ以上の事前承認されたＭＡＣアドレスからのみ開始されてもよい。

ロック解除プロセスは、認証プロセスも含むことができる。たとえば、ワークステーション１２０または１２２および／またはユーザインタフェース４００は、ロックダウンプロセスに対するアクセス権を確認するために、ユーザからユーザ名およびパスワードまたは他の個人識別を要求することができる。ユーザが適切に認証された場合、ユーザは、１つ以上の選択されたロックされたスイッチ１４６および／またはポート２０２のプライベートＭＩＢ２１４にアクセスして、ロック解除を開始することができる。

図３Ｂは、スイッチ１４６のポート２０２をロックする方法例３２５を示す。以下で説明されるブロックは、スイッチ１４６および／またはワークステーション１２０または１２２によって実施されてもよい。

ブロック３２６において、スイッチ１４６は、静的アドレステーブル２２０のような静的テーブルを生成する。一般に、静的テーブルは、ロックダウンが開始された時点でスイッチ１４６の各ポートに接続された既知の物理アドレスのレコードである。ポート状態および／または物理アドレスマッピングは、ユーザによって自動的にまたは明示的に（たとえば、不揮発性メモリ２１２に）格納されてもよい。必要に応じて、ロックされたポートを強制的に開くことを防止するために、電源サイクルまたは再起動時に、既知の物理アドレスの記録をスイッチ１４６によって使用することができる。

いくつかの実施形態では、静的テーブルは、動的アドレステーブル２１８から各ポート２０２にマッピングされた物理アドレスのリストをコピーすることによって生成される。場合によっては、既知の物理アドレスおよび他のデータを動的アドレステーブル２１８から完全に除去し、静的アドレステーブル２２０に移動することができる。いくつかの実施形態では、動的アドレステーブル２１８内の学習されたアドレスの現在の数が最大数よりも多い場合、アドレスのサブセットのみがロックされてもよい。その後、残りのアドレスは、スイッチングテーブル２１６から除去され、接続エラーをもたらす可能性がある。接続の問題が発生した場合、ユーザインタフェースにエラーメッセージが送信され、ロックダウンプロセスの失敗を示すことがある。

ブロック３２８において、スイッチ１４６は、各ポートに受信された各メッセージを分析して、各メッセージに含まれるソース物理アドレスを識別することができる（たとえば、図１Ｃに示された送信元ＭＡＣアドレス１８２）。次に、スイッチ１４６は、ソース物理アドレスが静的テーブルに含まれているかどうかを判断することができる（ブロック３３０）。そうでない場合、ソース物理アドレスは未知のアドレスであり、メッセージはドロップされる（ブロック３３２）。

メッセージのソースアドレスが静的テーブルに含まれている場合は、スイッチ１４６は、メッセージに含まれる宛先アドレスに対応するポートのトラフィックを分析する（ブロック３３４）。転送ポートでのトラフィックがメモリに記憶されたトラフィックしきい値（たとえば、スイッチ構成中にユーザまたはプログラムによる入力）よりも低い場合、メッセージは転送される（ブロック３０６）。そうでない場合、メッセージはトラフィックがしきい値を下回るまで保持され、その時点でメッセージが転送される。いくつかの実装形態では、メッセージは、所定の時間の後にドロップされてもよく、または直ちにドロップされてもよい。いくつかの実施形態では、スイッチ１４６は、追加的または代替的に、受信ポートにおけるトラフィックを分析し、また、トラフィックが所定のトラフィックしきい値を下回っている場合にのみ、メッセージのソースアドレスを分析する（ブロック３２８）。

なお、いくつかの例では、スイッチ１４６は、ロックダウンの間、スイッチ１４６のための典型的な機能を無効化することができる。一実施形態では、スイッチ１４６は、スイッチ１４６用のまたは特定のポート２０２用のアドレス学習およびアドレスエージング機能を無効にする。たとえば、動的アドレステーブル２１８は無効にされ、もはやいかなる入力も受け入れられず、スイッチ１４６はもはや新しいアドレスを探索するためにネットワーク１５０をフラッディングすることができず、エージング時間が経過した後、以前に受信されたアドレスは動的アドレステーブル２１８から除去されない。

ロックダウンを開始した後、ユーザインタフェース４００は、１つ以上のスイッチ１４６のロック状態を「ロック解除」または「完了」からのステータス表示を、選択されたデバイスがロックされた、またはロックされているという表示に変更することができる。図４Ｃを参照すると、ロックダウンプロセスが完了すると、ユーザインタフェース４００は、ロックされたスイッチの「ロック状態」を「ロックされている」として表示することができる。

図３Ｃは、スイッチ１４６のロックを解除するための例示的な方法３５０を示す。ユーザのワークステーションは、（たとえば、スイッチ１４６のプライベートＭＩＢ２１４の１つのオブジェクトまたは変数の値を変更することによって）スイッチ１４６にロック解除コマンドを送信することができる。

ブロック３５４において、物理アドレスを特定のポートにマッピングする静的テーブル２２０内のアドレスデータを削除することができる。いくつかの実施形態では、ユーザまたは他の明示的なプロセスによって追加された静的アドレスデータは、ロック解除中に静的アドレステーブル２２０に保持されてもよい。

ブロック３５６において、スイッチ１４６は、ポート２２０のロック解除状態を可能にすることができる。特に、スイッチ１４６は、静的テーブル２１８と一致しないソースアドレスを有するメッセージの廃棄を停止する。

ブロック３５８において、スイッチ１４６は、通常のポートまたはデバイス機能を再開することができる。たとえば、ロック解除状態では、ロックダウンの間中断された典型的な学習機能およびエージング機能が再開され、スイッチングテーブル２１６および動的テーブル２１８が再投入されてもよい。

ブロック３６０において、スイッチ１４６は、新しいスイッチまたはポート構成を記憶することができる。たとえば、ポート状態および／または物理アドレスは、ユーザによって自動的にまたは明示的に格納され、電源サイクルまたは再起動時にスイッチ１４６によって実装される。

いくつかの実施形態では、ブロック３１４で解除プロセスを開始した後、ユーザインタフェース４００は、１つ以上のスイッチのロック状態を「ロックされている」から、選択されたスイッチが「ロック保留」状態にあるという指示に変更することができる。さらに、ロックダウンタイマがロック解除プロセスで初期化されている場合、残りの時間ステータスは、デバイスがロックされた状態に戻るまでの残り時間を示すことがある。残りの時間は、決してロック状態に戻らないように構成することもできる。たとえば、プライベートＭＩＢ２１４のオブジェクトにアクセスして、タイマを「決して元に戻さない」状態、または他の任意の時間量に構成することができる。

いくつかの実施形態では、スイッチ１４６は、電源投入時に、保存された構成に戻ることができる。たとえば、エンティティは、ロックされたポートを強制的に開くために、１つ以上のスイッチ１４６の電力を循環させることによって、不正デバイスをプロセス制御ネットワーク１５０に接続しようと試みることができる。電源が投入されると、スイッチ１４６は、その不揮発性メモリ２１２（図２）で保存された構成にアクセスするように構成されてもよい。したがって、電源投入されたスイッチがロック状態またはロック解除状態に戻ったかどうかにかかわらず、電力サイクルの前にネットワーク１５０に接続されたすべてのデバイスは、システムとの通信を自動的に再確立し、電源がオフの間に新しいデバイスがポートに追加されると、拒否される。「ロック解除」状態でデバイスの電源が投入され、ロックダウンタイマがゼロより大きい場合、その時間の経過後にデバイスは自動的にロック状態に入ることができる。

図５は、いくつかの実施形態に係る、アドレス一致テーブル２２２の一例を示す。図５に示すアドレス一致テーブル２２２は、（たとえば、連想メモリを使用して）スイッチ１４６に格納することができるデータおよび／またはプロセス制御システム内の別のデバイスの表現であってもよい。代替的にまたは追加的に、デバイス（スイッチ１４６、ワークステーション１２０または１２２、または他のデバイスなど）は、アドレス一致テーブル１４６に含まれる情報の少なくとも一部を、ユーザによるアクセスおよびレビューのためにユーザインタフェース（たとえば、ユーザインタフェース４００）上に提示させることができる。アドレス一致テーブル２２２は単なる一例であり、例示的な情報を含み、代替および／または追加の情報を含むことができることを理解されたい。

アドレス一致テーブル２２２は、それぞれが対応するデータおよび情報で構成された列のセットを含むことができる。特に、アドレス一致テーブル２２２は、ポート列５０５、ＩＰアドレス列５１０、ＭＡＣアドレス列５１５、ロックダウン状態列５２０、およびセキュリティ状態列５２５を含むことができる。ポート列５０５は、スイッチ１４６の通信ポート２０２のセット（図示のように、通信ポート１～６）を識別することができる。通信ポート２０２のセット内の通信ポートのそれぞれは、それに接続されたデバイスまたは別のスイッチを有することができる。通信ポートが別のスイッチ１４６に接続されている場合、通信ポートはアップリンクポートと見なすことができる。なお、図５は、各ポートに接続された単一のデバイス（またはデバイスなし）を示しているが、単一のポートは、物理アドレス（列５１０）、ネットワークアドレス（列５１５）、ロックダウン状態（列５２０）、およびセキュリティ状態（列５２５）を含む複数のデバイスにマッピングすることができる。

ＩＰアドレス列５１０は、通信ポート２２２のセットにそれぞれ接続されたデバイスのセットのネットワークアドレス（たとえば、ＩＰアドレス）のセットを識別することができ、ＭＡＣアドレス列５１５は、通信ポートのセットにそれぞれ対応するデバイスのセットの物理アドレスのセット（たとえば、ＭＡＣアドレス）を識別することができる。たとえば、ＩＰアドレスが１０．１０．１０．２、ＭＡＣアドレスが００：０Ｃ：Ｆ５：０９
：５６：Ｅ９のデバイスが通信ポート「１」に接続されている。図５に示すように、通信ポート「３」および通信ポート「６」のいずれにもデバイスが接続されていないので、対応するＩＰおよびＭＡＣアドレスはゼロである。

ロックダウン状態欄５２０は、通信ポート２２２のセットのそれぞれのロックダウン状態（たとえば、「ロックされている」または「ロック解除」）を識別することができる。図５に示すように、接続されたデバイスを有する（通信ポート「１」、「２」、「４」、「５」）の各通信ポート２２２は「ロックされている」であり、接続されていない通信ポート（通信ポート「３」および「６」）は「ロック解除」である。しかしながら、典型的な例では、スイッチポートがアップリンクポートとして識別されるか、ＣＬＩコンフィギュレーションを介して無視される（常にロック解除される）ユーザによって手動で設定されている場合を除いて、スイッチ１４６がロックされると、スイッチ１４６のすべてのポートがロックされる。本明細書で論じられる実施形態では、スイッチ１４６（および具体的には、スイッチ１４６のＡＳＩＣのセット）は、占有された通信ポートのロックダウンを開始することに関連して、デバイスのＩＰおよびＭＡＣアドレスを取得することができる。

セキュリティステータス欄５２５は、通信ポートのセットのそれぞれのセキュリティステータスを識別してもよい。実施形態によれば、スイッチ１４６は、既に接続されているデバイス間で、および／またはスイッチのロックダウン後にスイッチに接続できる他の任意のデバイス間で、通信ポートのセットを介して送受信される情報（たとえば、データパケットとして）を自動的かつ継続的に監視できる。

スイッチ１４６は、受信したデータパケットを調べて、データパケットに含まれる情報に矛盾がないかどうかを判定することができる。特に、スイッチ１４６は、アドレス一致テーブル２２２に含まれる情報とデータパケットに含まれる情報とを比較して、不一致を識別することができる。スイッチ１４６が特定の通信ポートに対するデータパケットトラフィックの不一致を識別しない場合、特定の通信ポートのセキュリティステータスは「正常」であってもよい。対照的に、スイッチ１４６がデータパケットトラフィックにおける不一致を識別した場合、特定の通信ポート２２２のセキュリティ状態は、「正常」から「異常」に変化し得る。

図５に示すように、通信ポート「２」および「６」のセキュリティステータスは「異常」であり、残りの通信ポートはセキュリティステータス「正常」である。例示的な実施形態では、通信ポート「２」のセキュリティ状態は、試みられたＡＲＰスプーフィング攻撃のために「異常」であり得る。この実施形態では、最初に通信ポート「２」に接続されたデバイスは、データパケットをスイッチ１４６に送ることができる攻撃デバイスによって置き換えられる可能性がある（または元々接続されたデバイスが侵害される可能性がある）。スイッチ１４６は、データパケットを検査し、データパケットに含まれるＩＰアドレスおよびＭＡＣアドレスの一方または両方がアドレス一致テーブル２２２内の対応するＩＰアドレスおよび／またはＭＡＣアドレスと一致しないことを判定することができる。したがって、スイッチ１４６は、対応する通信ポートのセキュリティステータスを「異常」に更新することができる。

同様に、例示的な実施形態では、通信ポート「６」のセキュリティ状態はまた、試みられたＡＲＰスプーフィング攻撃のために「異常」であり得る。この実施形態では、通信ポート「６」は、ロックダウン時に接続されたデバイスがないため、ロック解除されてもよい。ロックダウンに続いて、デバイス（攻撃デバイスであっても攻撃デバイスでなくてもよい）は、ロックされていない通信ポート「６」に接続することができ、デバイスはデータパケットをスイッチに送信することができる。スイッチ１４６は、データパケットを検
査し、通信ポート「６」はロックされていないので、通信ポート「６」を介して通信するデバイスは存在しないことを判定できる。したがって、スイッチは、通信ポートのセキュリティ状態を「異常」に更新することができる。

スイッチ１４６は、検出されたアラートの通信および／または表示を容易にすることができる。実施形態では、スイッチ１４６は、ユーザインタフェースを備えていてもよいプロセス制御システムの別のデバイスに接続されてもよい。スイッチ１４６は、１つ以上の検出されたアラートの表示をデバイスに送信することができ、デバイスは、ユーザインタフェースを介して１つ以上の検出された警告を表示または提示するように構成されてもよい。したがって、プロセス制御プラントに関連するユーザ（たとえば、個人または管理者）は、情報にアクセスしてその情報を見直し、適切な是正措置または診断措置を容易にすることができる。

図６は、プロセスプラント内のプロセス制御システム１００などのプロセス制御システムのセキュリティを向上させるためにアドレス一致テーブル２２２を実施する例示的な方法６００のブロック図を示す。方法６００は、スイッチ１４６によって容易にすることができる。

方法６００は、スイッチ１４６がスイッチ１４６の通信ポートのセットのロックダウンを開始する（ブロック６０５）時開始することができる。実施形態では、スイッチ１４６は、通信ポート１４６のセットの一部またはすべてのロックダウンを開始することができる。

通信ポートのセットのロックダウンを開始することに関連して、スイッチ１４６は、通信ポートのセットの少なくとも一部に接続されたデバイスのセットのネットワークアドレスのセット（たとえば、ＩＰアドレスのセット）を取得することができる（ブロック６１０）。スイッチは、ロックダウンを開始する（および／または完了する）前、同時に、またはその後に、ネットワークアドレスのセットを取得することができることを理解されたい。ある実施形態では、スイッチに組み込まれたＡＳＩＣのセットは、デバイスのセットの、通信ポートのセットの少なくとも一部への接続に関連するデータを使用して、ネットワークアドレスのセットを取得することができる。追加的または代替的に、デバイスのセットは、プロセスプラント内の１つ以上のデバイスおよび／または１つ以上の追加のデバイス（または追加のスイッチ）が接続する１つ以上のスイッチを含むことができる。特定の実施形態では、スイッチ１４６は、（ｉ）第１の通信ポートに接続された第１のデバイスの第１のネットワークアドレス（すなわち、デバイス接続）、および（ｉｉ）追加のスイッチ（すなわち、スイッチ接続）を介して第２の通信ポートに接続された複数のデバイスの複数のネットワークアドレスを取得してもよい。ネットワークアドレスは、プロセス制御ネットワーク上の別のデバイスから取得することができる。

スイッチ１４６は、ロックダウンの開始に関連して、通信ポートのセットの少なくとも一部に接続されたデバイスのセットの物理アドレスのセット（たとえば、ＭＡＣアドレスのセット）を任意に取得する（ブロック６１５）。スイッチは、ロックダウンを開始する（および／または完了する）前、同時に、またはその後に、物理アドレスのセットを取得することができることを理解されたい。たとえば、スイッチは、ロックダウンを開始する前に、物理アドレスのセットを取得して記録してもよい。ある実施形態では、スイッチ１４６に組み込まれたＡＳＩＣ（たとえば、回路２３０）のセットは、デバイスのセットの、通信ポートのセットの少なくとも一部への接続に関連するデータを使用して、物理アドレスのセットを取得することができる。

スイッチ１４６は、スイッチ１４６のアドレス一致テーブル２２２を生成し（ブロック
６２０）、アドレス一致テーブル２２２は、デバイスのセットの物理アドレスのセットを、デバイスのセットのネットワークアドレスのセットに一致させることができる。アドレス一致テーブル２２２は、物理アドレスセットおよびネットワークアドレスのセットを通信ポートのセットの少なくとも一部とさらに一致させることができる。すなわち、スイッチ１４６の特定のポートに（直接的または間接的に）接続されたすべてのデバイスについて、アドレスマッピングテーブル２２２は、特定のポートに対するネットワークアドレスおよび物理アドレスのアドレスペアをリストアップすることができる。したがって、複数のデバイスに接続されたポートは、複数の関連するアドレスペア（すなわち、接続された各デバイスのための１つのアドレスペア）を有する。スイッチ１４６は、アクセスおよびレビューのためにアドレス一致テーブルをローカルに（たとえば、内容アドレス可能なメモリを使用して）格納することができる。

スイッチ１４６は、通信ポートのセットの１つを介して、デバイスからのデータパケットを受信してもよく（ブロック６２５）、データパケットは、少なくとも（ｉ）デバイスのネットワークアドレス、および（ｉｉ）デバイスの物理アドレスを示すことができる。実施形態では、スイッチ１４６がロックダウンを開始する前または後に、デバイスを通信ポートのセットの１つに接続することができる。加えて、または代替的に、デバイスは、通信ポートのセットの１つに以前に接続された（すなわち、ケーブル交換の場合に）別のデバイスを置き換えることができる。加えて、または代替的に、デバイスは、ロック解除された通信ポートまたは通信ポートのセットの一部の通信ポート（すなわち、ロックされた通信ポート）に接続されてもよい。

実施形態によれば、データパケットは、デバイスによるＡＲＰスプーフィング攻撃を表すことができ、スイッチ１４６は、デバイスのネットワークアドレスとデバイスの物理アドレスがアドレス一致テーブル２２２に含まれているかどうかを判定することによって（ブロック６３０）判定するように構成することができる。特に、デバイスのネットワークアドレスと物理アドレスがペアとして、デバイスが接続されている通信ポートのアドレス一致テーブルに含まれているマッピングされたネットワークアドレスおよびマッピングされた物理アドレスと一致しないことがある。たとえば、デバイスが通信ポート「３」に接続され、デバイスのネットワークアドレスおよび物理アドレスの一方または両方が、通信ポート「３」の対応するマッピングされたアドレスと一致しない場合、不一致が存在する。

スイッチ１４６が、アドレスが一致する（「ＹＥＳ」）と判定した場合、処理は終了し、繰り返すか、または他の機能に進むことができる。対照的に、スイッチ１４６が、アドレスが一致しないと判断した場合（「ＮＯ」）、ＡＲＰスプーフィングの試みがあり、スイッチ１４６はアラートを生成することができる（ブロック３５）。実施形態では、アラートは、デバイスが接続されている通信ポートのセットの１つ、および／またはデバイスのネットワークアドレスおよび／または物理アドレスを含む他の情報を示すことができる。さらに、スイッチ１４６は、アラートをユーザインタフェース上に表示させ（ブロック４０）、ここで、ユーザインタフェースは、プロセスプラント内の別のデバイスまたはコンポーネントに含まれてもよい。したがって、ユーザ（たとえば、プラント技術者または管理者）は、アラートの内容をレビューし、適切な処置を開始することができる。

スイッチ１４６はさらに、データパケットの送信を許可するか拒否するかを判定する（ブロック６４５）。実施形態では、判定は、デフォルト選択（たとえば、常に許可または常に拒否）であってもよいし、または、スイッチ１４６は、データパケット自体の内容、デバイスの物理アドレス、デバイスのネットワークアドレス、および／または他の要因など、１つ以上の要因に基づいて送信を許可するか拒否するかを動的に判定することができる。

スイッチが送信を許可すると判断した場合（「許可」）、スイッチはデータパケットの送信を許可する（ブロック５０）。対照的に、スイッチ１４６が送信を拒否すると判定した場合（「拒否」）、スイッチはデータパケットの送信を拒否することができる（すなわち、データパケットをドロップする可能性がある）。

図７は、スイッチ１４６に関連するセキュリティ問題を検出する例示的な方法７００のブロック図を示す。方法７００は、スイッチ１４６によって容易にすることができる。

方法７００は、本明細書で説明するように、スイッチ１４６がスイッチ１４６の通信ポートのセットのロックダウンを任意に開始する（ブロック７０５）時開始することができる。実施形態では、スイッチ１４６は、場合によっては、通信ポートのうちの１つ以上が、必要に応じてロック解除されたままであり得るように、通信ポートのセットの一部または全部のロックダウンを開始することができる。

通信ポートのセットのロックダウンを開始することに関連して、スイッチ１４６は、通信ポートのセットの少なくとも一部に接続されたデバイスのセットのネットワークアドレスのセット（たとえば、ＩＰアドレスのセット）を取得することができる。スイッチ１４６は、ロックダウンを開始する（および／または完了する）前、同時に、またはその後に、ネットワークアドレスのセットを取得することができることを理解されたい。ある実施形態では、スイッチ１４６に組み込まれたＡＳＩＣのセットは、デバイスのセットの、通信ポートのセットの少なくとも一部への接続に関連するデータを使用して、ネットワークアドレスのセットを取得することができる。追加的または代替的に、デバイスのセットは、プロセスプラント内の１つ以上のデバイスおよび／または１つ以上の追加のデバイス（または追加のスイッチ）が接続する１つ以上のスイッチを含むことができる。特定の実施形態では、スイッチ１４６は、（ｉ）第１の通信ポートに接続された第１のデバイスの第１のネットワークアドレス（すなわち、デバイス接続）、および（ｉｉ）追加のスイッチ（すなわち、スイッチ接続）を介して第２の通信ポートに接続された複数のデバイスの複数のネットワークアドレスを取得してもよい。

スイッチ１４６は、ロックダウンの開始に関連して、通信ポートのセットの少なくとも一部に接続されたデバイスのセットの物理アドレスのセット（たとえば、ＭＡＣアドレスのセット）を任意に取得する。スイッチは、ロックダウンを開始する（および／または完了する）前、同時に、またはその後に、物理アドレスのセットを取得することができることを理解されたい。たとえば、スイッチ１４６は、ロックダウンを開始する前に、物理アドレスのセットを取得して記録してもよい。ある実施形態では、スイッチ１４６に組み込まれたＡＳＩＣのセットは、デバイスのセットの、通信ポートのセットの少なくとも一部への接続に関連するデータを使用して、物理アドレスのセットを取得することができる。

スイッチ１４６はさらに、アドレス一致テーブル２２２を生成してアクセスし（ブロック７１０）、アドレス一致テーブル２２２は、デバイスのセットの物理アドレスのセットを、デバイスのセットのネットワークアドレスのセットに一致させることができる。アドレス一致テーブル２２２は、物理アドレスのセットおよびネットワークアドレスのセットを通信ポートのセットの少なくとも一部とさらに一致させることができる。したがって、接続されたデバイスを有する各通信ポートは、デバイスの関連する物理アドレスおよびデバイスのネットワークアドレスを有することができる。実装形態では、スイッチ１４６に組み込まれたＡＳＩＣのセットは、アドレス一致テーブル２２２を生成することができる。スイッチ１４６は、アクセスおよびレビューのためにアドレス一致テーブルをローカルに（たとえば、内容アドレス可能なメモリを使用して）格納することができる。

スイッチ１４６は、アドレス一致テーブルに含まれるネットワークアドレスのセットの１つに一致する宛先ネットワークアドレスを指定するマッピング要求をブロードキャストすることができる（ブロック６１５）。実施形態では、マッピング要求は、アドレスマッピングテーブルからのＩＰアドレスを含むＡＲＰ要求の形態であってもよく、ＡＲＰ要求は、ＩＰアドレスに対応するＭＡＣアドレスを見つけることを意図しており、ＡＲＰ要求は、スイッチに接続された各デバイスに送信され得る。

スイッチ１４６は、通信ポートのセットの１つを介して、応答デバイスからのマッピング要求への応答を受信し（ブロック７２０）、応答は、（ｉ）宛先ネットワークアドレスと、（ｉｉ）応答デバイスの物理アドレスとを示すことができる。実施形態によれば、応答デバイスからの応答は、スイッチ１４６が判定するように構成された応答デバイスによる試みられたＡＲＰスプーフィング攻撃を表すことができる。

したがって、スイッチ１４６は、応答デバイスの物理アドレスがアドレス一致テーブルに含まれるデバイスのセットの物理アドレスのセットのいずれかと一致するかどうかを判断することができる（ブロック７２５）。特に、応答デバイスの物理アドレスは、応答デバイスが接続されている通信ポートのアドレス一致テーブル２２２に含まれるマッピングされた物理アドレスと一致しないことがある。たとえば、応答デバイスが通信ポート「３」に接続され、応答デバイスの物理アドレスが通信ポート「３」の対応するマッピングされた物理アドレスと一致しない場合、不一致が存在する。実施形態では、ネットワークに組み込まれたＡＳＩＣのセットが判定を行うことができる。

スイッチ１４６が、物理アドレスが一致する（「ＹＥＳ」）と判定した場合（すなわち、試行されたＡＲＰスプーフィング攻撃がない場合）、処理は終了し、繰り返すか、または他の機能に進むことができる。対照的に、スイッチ１４６が、物理アドレスが一致しないと判断した場合（「ＮＯ」）、ＡＲＰスプーフィングの試みがあり、スイッチはアラートを生成することができる（ブロック７３０）。実施形態では、アラートは、応答デバイスが接続されている通信ポートのセットの１つ、および／または応答デバイスのネットワークアドレスおよび／または物理アドレスを含む他の情報を示すことができる。さらに、スイッチ１４６は、アラートをユーザインタフェース上に表示させ（ブロック７３５）、ここで、ユーザインタフェースは、プロセスプラント内の別のデバイスまたはコンポーネントに含まれてもよい。したがって、ユーザ（たとえば、プラント技術者または管理者）は、アラートの内容をレビューし、適切な処置を開始することができる。

本明細書で説明されるロックダウンルーチンおよびアドレスマッピングルーチンは、ソフトウェア、ハードウェア、ファームウェア、またはそれらのいくつかの組み合わせで実施されてもよい。したがって、本明細書で説明される方法３００，３２５，３５０，５００，６００、および７００は、標準的な多目的ＣＰＵおよび／またはＡＳＩＣのような特別に設計されたハードウェアまたはファームウェア上で実施されてもよい。ソフトウェアで実施される場合、ソフトウェアは、磁気ディスク、レーザディスク、光ディスク、または他の記憶媒体、コンピュータまたはプロセッサのＲＡＭまたはＲＯＭなどの任意のコンピュータ可読メモリに格納されてもよい。同様に、このソフトウェアは、たとえばコンピュータ可読ディスクまたは他の搬送可能なコンピュータ記憶機構上に、または電話回線やインターネットなどの通信チャネルを介して変調された任意の既知のまたは所望の配信方法を介して、ユーザまたはプロセス制御システムに配信することができる。（これは、可搬型記憶媒体を介してそのようなソフトウェアを提供することと同じであるか、または交換可能であると見なされる）。

一般に、本明細書で使用する「メモリ」または「メモリデバイス」という句は、コンピュータ読み取り可能媒体（「ＣＲＭ」）を含むシステムまたはデバイスを指す。「ＣＲＭ
」は、情報（たとえば、データ、コンピュータ読み取り可能命令、プログラムモジュール、アプリケーション、ルーチンなど）を配置、保持、および／または検索するために、関連するコンピューティングシステムによってアクセス可能な１つの媒体または複数の媒体を指す。「ＣＲＭ」は、現実には、非一時的な媒体を指し、電波などの実体のない一時的な信号を指すものではないことに留意されたい。

図１Ａを参照して述べたように、ネットワーク１５０は、ノード（たとえば、情報を送信、受信、および／または転送することができるデバイスまたはシステム）およびノード間の通信を可能にするように接続された通信リンクの集合体である。一般に、「ノード」という用語は、接続ポイント、再配布ポイント、または通信エンドポイントを指す。ノードは、情報を送信、受信、および／または転送することができる任意のデバイスまたはシステム（たとえば、コンピュータシステム）であってもよい。たとえば、メッセージを発信および／または最終的に受信するエンドデバイスまたはエンドシステムは、ノードである。（たとえば、２つのエンドデバイス間で）メッセージを受信し転送する中間デバイスも、一般に「ノード」であると見なされる。「通信リンク」または「リンク」は、２つ以上のノードを接続する経路または媒体である。リンクは、物理リンクおよび／または論理リンクであってもよい。物理的リンクは、情報が転送されるインタフェースおよび／または媒体であり、現実には、有線または無線であってもよい。物理リンクの実施例には、電気エネルギーの伝送のための導体を有するケーブル、光伝送のための光ファイバ接続、および／または電磁波の１つ以上の特性に加えられた変更を介して情報を搬送する無線電磁信号が含まれ得る。

Claims (15)

1. 複数のポートと、
   前記複数のポートのうちの第１のポートに対する既知のペアの第１のセットを含む、既知のアドレスのペアのセットを前記複数のポートの各々にマッピングするように構成されたレコードを格納するメモリであって、ここで、前記既知のペアのセット内の各既知のペアは、各ネットワークアドレスと、前記複数のポートのそれぞれのポートを介して通信したプロセス制御スイッチの外部における、前記各ネットワークアドレスおよび前記それぞれのポートに対応する各デバイスの各物理アドレスとを含むメモリと、
   新しいデバイスが特定のポートを介して通信するときに、前記新しいデバイスの物理アドレスおよびネットワークアドレスを有する新しい既知のペアを含む、前記特定のポートに対する既知のペアのセットを更新するように、前記レコードを動的に更新するように構成され、前記複数のポートに通信可能に接続された回路のセットと
   を備えたプロセス制御スイッチであって、前記回路のセットは、
   前記レコードに含まれる前記既知のペアのセットから第１の物理アドレスのセットを検出し、前記回路のセットは、
   （ｉ）前記複数のポートの中から特定のポートに接続された第２のスイッチを検出し、（ｉｉ）前記第２のスイッチがロック解除可能なスイッチであることを検出し、（ｉｉｉ）前記第２のスイッチがロック解除可能スイッチであることを検出することに応答して、前記ロック解除可能スイッチを介して通信した複数のデバイスに対する第２の物理アドレスのセットを前記ロック解除可能スイッチから受信する、探索動作を実行し、前記回路のセットは、
   前記レコードおよび前記探索動作に基づいて、（ｉ）プロセス制御環境内の複数のデバイスの複数の既知の物理アドレスのそれぞれを、前記複数のデバイスが接続されている前記複数のポートのうち、前記既知の物理アドレスのそれぞれに対応するポートのそれぞれにマッピングし、前記複数のポートのうち、前記既知の物理アドレスのそれぞれに対応するポートのそれぞれにマッピングすることは、前記第２の物理アドレスのセットを前記特定のポートにマッピングすることを含む静的アドレスであって、（ｉｉ）前記複数のポートがロックされている間に新たな既知の物理アドレスで更新されない静的アドレステーブル、を生成し、前記回路のセットは、
   前記複数のポートのそれぞれにおけるトラフィックを制限し、ここで、前記回路のセッ
   トは、（ｉ）各ポートで転送されるメッセージの数をトラフィックしきい値に適合するように制御し、（ｉｉ）各ポートで受信されたメッセージのそれぞれに含まれるソース物理アドレスを認証し、前記回路のセットは、
   （ａ）メッセージを分析して、メッセージに含まれるソース物理アドレスを識別することと、
   （ｂ）前記静的アドレステーブルが、単一のポートにマッピングされた既知の物理アドレスとして前記ソース物理アドレスを列挙する場合、前記複数のポートのうちの１つを介してメッセージを転送することと、
   （ｃ）前記静的アドレステーブルが、単一のポートにマッピングされた既知の物理アドレスとして前記ソース物理アドレスをリストしていない場合、メッセージをドロップすることと
   を備える、プロセス制御スイッチ。
2. 前記回路のセットは、１つ以上の物理アドレスのそれぞれを一意に対応付けた、前記複数のポートのそれぞれにマッピングするスイッチングテーブルに基づいて、ネットワークアドレスを使用せずに、前記複数のポートで受信されたメッセージを転送するように構成される、請求項１に記載のプロセス制御スイッチ。
3. 前記回路のセットは、ネットワークアドレスの分析に基づいて前記複数のポートで受信されたメッセージを転送するように構成される、請求項１に記載のプロセス制御スイッチ。
4. 前記回路のセットは、特定用途向け集積回路（ＡＳＩＣ）である、請求項１から３のいずれか一項に記載のプロセス制御スイッチ。
5. 前記静的アドレステーブルは、連想メモリ（ＣＡＭ）に格納されることを特徴とする請求項１から４のいずれか一項に記載のプロセス制御スイッチ。
6. 前記静的アドレステーブルは、前記プロセス制御スイッチがアンロック状態にある時に、前記回路のセットによって占有される動的アドレステーブルをコピーすることによって生成される、請求項１から５のいずれか一項に記載のプロセス制御スイッチ。
7. 前記動的アドレステーブルは、（ｉ）メッセージに含まれる宛先物理アドレス、および（ｉｉ）宛先物理アドレスにマッピングされた対応するポートに基づいて、受信メッセージの転送ポートを選択するために前記回路のセットによって利用されるスイッチングテーブルである、請求項６に記載のプロセス制御スイッチ。
8. 前記動的アドレステーブルは、（ｉ）メッセージに含まれる宛先物理アドレス、および（ｉｉ）宛先物理アドレスにマッピングされた対応するポートに基づいて、受信メッセージの転送ポートを選択するために前記回路のセットによって利用されるスイッチングテーブルとは異なるものである、請求項６に記載のプロセス制御スイッチ。
9. 前記回路のセットは、ユーザがユーザインタフェースと対話してロックコマンドを手動で開始することに応答して前記プロセス制御スイッチに送信される前記ロックコマンドを受信することに応答してロックダウン動作を実施するように構成される、請求項１から８のいずれか一項に記載のプロセス制御スイッチ。
10. 前記回路のセットは、前記プロセス制御スイッチが接続されたネットワーク上のセキュリティ脅威を検出するデバイスに応答して、前記プロセス制御スイッチに送信されたロックコマンドを受信することに応答して、ロックダウン動作を実施するように構成される、
    請求項１から９のいずれか一項に記載のプロセス制御スイッチ。
11. プロセス制御スイッチを介して通信した複数のデバイスに対する第１の物理アドレスのセットを識別するレコードを検出し、
    （ｉ）前記プロセス制御スイッチの特定のポートに接続された第２のスイッチを検出し、（ｉｉ）前記第２のスイッチがロック解除可能なスイッチであることを検出し、（ｉｉｉ）前記第２のスイッチがロック解除可能スイッチであることを検出することに応答して、前記ロック解除可能スイッチを介して通信した複数のデバイスに対する第２の物理アドレスのセットを前記ロック解除可能スイッチから受信する、探索動作を実行し、
    前記レコードおよび前記探索動作に基づいて、（ｉ）プロセス制御環境内の複数のデバイスの複数の既知の物理アドレスのそれぞれを、前記複数のデバイスが接続されている、前記プロセス制御スイッチの複数のポートのうち、前記既知の物理アドレスのそれぞれに対応するポートのそれぞれにマッピングし、前記複数のポートのうち、前記既知の物理アドレスのそれぞれに対応するポートのそれぞれにマッピングすることは、前記第２の物理アドレスのセットを前記特定のポートにマッピングすることを含む静的アドレスであって、（ｉｉ）前記プロセス制御スイッチがロックされている間に新たな既知の物理アドレスで更新されない静的アドレステーブル、を生成し、
    前記複数のポートのそれぞれにおけるトラフィックを制限し、（ｉ）各ポートで転送されるメッセージの数をトラフィックしきい値に適合するように制御し、（ｉｉ）各ポートで受信されたメッセージのそれぞれに含まれるソース物理アドレスを認証することを備える、前記プロセス制御スイッチをロックするための方法であって、前記認証は、
    （ａ）メッセージを分析して、メッセージに含まれるソース物理アドレスを識別することと、
    （ｂ）前記静的アドレステーブルが、単一のポートにマッピングされた既知の物理アドレスとして前記ソース物理アドレスを列挙する場合、前記複数のポートのうちの１つを介してメッセージを転送することと、
    （ｃ）前記静的アドレステーブルが、単一のポートにマッピングされた既知の物理アドレスとして前記ソース物理アドレスをリストしていない場合、メッセージをドロップすることと、を備える、方法。
12. 前記複数のポートの１つを介してメッセージを転送することは、１つ以上の物理アドレスのそれぞれを一意に対応付けた、前記複数のポートのそれぞれにマッピングするスイッチングテーブルに基づいて、ネットワークアドレスを使用せずに前記メッセージを転送することを備える、請求項１１に記載の方法。
13. 前記複数のポートの１つを介して前記メッセージを転送することは、ネットワークアドレスの分析に基づいて前記メッセージを転送することを備える、請求項１１に記載の方法。
14. 前記プロセス制御スイッチが接続されたネットワーク上のセキュリティ脅威を検出したデバイスに応答して、前記プロセス制御スイッチに送信されたロックコマンドを受信することをさらに含む方法であって、前記プロセス制御スイッチをロックすることは、前記ロックコマンドの受信に応答して生じる、請求項１１から１３のいずれか一項に記載の方法。
15. 前記メッセージに含まれるソース物理アドレスを認証せずにメッセージが転送されるように前記認証を停止することによって前記プロセス制御スイッチをロック解除することをさらに含む、請求項１１から１４のいずれか一項に記載の方法。

Images