JP2018098773A - セキュリティ保護されたプロセス制御通信 - Google Patents

セキュリティ保護されたプロセス制御通信 Download PDF

Info

Publication number
JP2018098773A
JP2018098773A JP2017205478A JP2017205478A JP2018098773A JP 2018098773 A JP2018098773 A JP 2018098773A JP 2017205478 A JP2017205478 A JP 2017205478A JP 2017205478 A JP2017205478 A JP 2017205478A JP 2018098773 A JP2018098773 A JP 2018098773A
Authority
JP
Japan
Prior art keywords
data
process plant
gateway
network
security
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2017205478A
Other languages
English (en)
Other versions
JP7007155B2 (ja
JP2018098773A5 (ja
Inventor
ロトヴォルド エリック
Rotvold Eric
ロトヴォルド エリック
ジェイ． ニクソン マーク
Mark J Nixon
ジェイ． ニクソン マーク
ジェイ．ブードロー マイケル
J Boudreaux Michael
ジェイ．ブードロー マイケル
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Fisher Rosemount Systems Inc
Original Assignee
Fisher Rosemount Systems Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Fisher Rosemount Systems Inc filed Critical Fisher Rosemount Systems Inc
Publication of JP2018098773A publication Critical patent/JP2018098773A/ja
Publication of JP2018098773A5 publication Critical patent/JP2018098773A5/ja
Application granted granted Critical
Publication of JP7007155B2 publication Critical patent/JP7007155B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0209—Architectural arrangements, e.g. perimeter networks or demilitarized zones
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Programme-control systems
    • G05B19/02—Programme-control systems electric
    • G05B19/418—Total factory control, i.e. centrally controlling a plurality of machines, e.g. direct or distributed numerical control [DNC], flexible manufacturing systems [FMS], integrated manufacturing systems [IMS] or computer integrated manufacturing [CIM]
    • G05B19/4185—Total factory control, i.e. centrally controlling a plurality of machines, e.g. direct or distributed numerical control [DNC], flexible manufacturing systems [FMS], integrated manufacturing systems [IMS] or computer integrated manufacturing [CIM] characterised by the network communication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4604—LAN interconnection over a backbone network, e.g. Internet, Frame Relay
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0457—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply dynamic encryption, e.g. stream encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/061—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key exchange, e.g. in peer-to-peer networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/068—Network architectures or network communication protocols for network security for supporting key management in a packet data network using time-dependent keys, e.g. periodically changing keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H04L67/125—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks involving control of end-device applications over a network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/065—Encryption by serially and continuously modifying data stream elements, e.g. stream cipher systems, RC4, SEAL or A5/3
    • H04L9/0656—Pseudorandom key sequence combined element-for-element with data sequence, e.g. one-time-pad [OTP] or Vernam's cipher
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0891—Revocation or update of secret information, e.g. encryption key update or rekeying
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/30—Nc systems
    • G05B2219/33—Director till display
    • G05B2219/33139—Design of industrial communication system with expert system
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/24—Key scheduling, i.e. generating round keys or sub-keys for block encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0492—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload by using a location-limited connection, e.g. near-field communication or limited proximity of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/166—Implementing security features at a particular protocol layer at the transport layer
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02P—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN THE PRODUCTION OR PROCESSING OF GOODS
    • Y02P90/00—Enabling technologies with a potential contribution to greenhouse gas [GHG] emissions mitigation
    • Y02P90/02—Total factory control, e.g. smart factories, flexible manufacturing systems [FMS] or integrated manufacturing systems [IMS]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • Quality & Reliability (AREA)
  • Manufacturing & Machinery (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Automation & Control Theory (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Medical Informatics (AREA)
  • Testing And Monitoring For Control Systems (AREA)
  • Computer And Data Communications (AREA)
  • Small-Scale Networks (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

【課題】プロセスプラントから遠隔システムへの通信のセキュリティ保護技術を提供する。
【解決手段】プロセスプラントと遠隔システム間に配設されたデータダイオードは、データがプラントから出ることを可能にするが、プラントへの侵入を防止する。データは、遠隔システム端の受信デバイスに対し、ダイオードのプラント端の送信デバイスを安全にプロビジョニングし、データダイオードを経由してセキュリティ保護される。送信及び受信デバイスは、反復的に更新される機密キーマテリアルを共有する。データダイオード経由の通信の忠実性を確実にするため、送信デバイスは、プラントのデータソースを記述するコンテキスト情報を反復的に提供する。プラントデータソースからデータダイオードの送信デバイスに送信されたデータ及びデータダイオードの受信デバイスから遠隔システムに送信されたデータは、それぞれのセキュリティ機構を使用して保護される。
【選択図】図３

Description

＜相互参照＞
本開示は、２０１４年１０月６日に出願され、「Ｒｅｇｉｏｎａｌ Ｂｉｇ Ｄａｔａ
ｉｎ Ｐｒｏｃｅｓｓ Ｃｏｎｔｒｏｌ Ｓｙｓｔｅｍｓ」と題する共同所有の米国特許出願第１４／５０７、１８８号、２０１６年９月２３日に出願され、「Ｄａｔａ Ａｎａｌｙｔｉｃｓ Ｓｅｒｖｉｃｅｓ ｆｏｒ Ｄｉｓｔｒｉｂｕｔｅｄ Ｉｎｄｕｓｔｒｉａｌ Ｐｅｒｆｏｒｍａｎｃｅ Ｍｏｎｉｔｏｒｉｎｇ」と題する共同所有の米国特許出願第１５ ／ ２７４、５１９号、２０１６年９月２３日に出願され、「Ｄｉｓｔｒｉｂｕｔｅｄ Ｉｎｄｕｓｔｒｉａｌ Ｐｅｒｆｏｒｍａｎｃｅ Ｍｏｎｉｔｏｒｉｎｇ ａｎｄ Ａｎａｌｙｔｉｃｓ」という名称の米国特許出願第１５／２７４、２３３号；及び２０１６年１０月２４日に出願された「Ｐｒｏｃｅｓｓ Ｄｅｖｉｃｅ Ｃｏｎｄｉｔｉｏｎ ａｎｄ Ｐｅｒｆｏｒｍａｎｃｅ Ｍｏｎｉｔｏｒｉｎｇ」と題する共同所有の米国特許出願第１５／３３２、５２１号に関連し、その全体の開示は参照により本明細書に組み込まれる。
＜技術分野＞
本開示は、概して、プロセスプラント及びプロセス制御システムに関し、より具体的には、ローカルプロセスプラント／プロセス制御システムと、パーベイシブセンシングシステムなどのローカルプロセス制御プラント／システムにサービスを提供する遠隔システムとの間の通信をセキュリティ保護することに関する。
化学、石油、または他のプロセスプラントで使用されるものなどの分散プロセス制御システムは、アナログ、デジタル、もしくはアナログ／デジタル結合バスを介して、または無線通信リンクもしくはネットワークを介して、１つ以上のフィールドデバイスに通信可能に結合された１つ以上のプロセスコントローラを典型的に含む。例えばバルブ、バルブ位置決め器、スイッチ、及びトランスミッタ（例えば、温度、圧力、レベル、及び流量センサ）であってもよいフィールドデバイスは、プロセス環境内に位置し、例えばバルブの開閉、プロセスプラントまたはシステム内で実行されている１つ以上のプロセスを制御するために、圧力、温度などのプロセスパラメータの測定などのような、一般に物理的またはプロセス制御機能を遂行する。周知のフィールドバスプロトコルに準拠するフィールドデバイスなどのスマートフィールドデバイスは、制御計算、アラーム機能、及びコントローラ内で通常実装される他の制御機能を遂行することもできる。典型的にプラント環境内に位置するプロセスコントローラは、フィールドデバイスによって作られたプロセス測定値及び／またはフィールドデバイスに関する他の情報を示す信号を受信し、例えば、プロセス制御決定を行い、受信した情報に基づいて制御信号を生成し、ＨＡＲＴ（登録商標）、ＷｉｒｅｌｅｓｓＨＡＲＴ（登録商標）、ＦＯＵＮＤＡＴＩＯＮ（登録商標）Ｆｉｅｌｄｂｕｓフィールドデバイスなどのフィールドデバイスで実施される制御モジュールまたはブロックと連携する、異なる制御モジュールを動作させるコントローラアプリケーションを遂行する。コントローラ内の制御モジュールは、通信ラインまたはリンクを介してフィールドデバイスに制御信号を送信し、それによってプロセスプラントまたはシステムの少なくとも一部の動作を制御する。
フィールドデバイス及びコントローラからの情報は、通常、データハイウェイを介して、オペレータワークステーション、パーソナルコンピュータもしくはコンピューティングデバイス、データヒストリアン、レポートジェネレータ、集中型データベース、または典型的にはより厳しいプラント環境から離れた制御室もしくは他の場所に配置される他の集
中管理コンピューティングデバイスなどの１つ以上の他のハードウェアデバイスに利用可能になる。これらのハードウェアデバイスの各々は、典型的には、プロセスプラントにわたって、またはプロセスプラントの一部にわたって集中管理される。これらのハードウェアデバイスは、例えば、プロセス制御ルーチンの設定を変更すること、コントローラ及びフィールドデバイスプロセス内の制御モジュールの動作を修正すること、プロセスの現在の状態を視認すること、フィールドデバイス及びコントローラによって生成されたアラームを視認すること、人員の訓練またはプロセス制御ソフトウェアの試験の目的でプロセス動作をシミュレートすること、構成データベースを維持及び更新することなど、プロセスの制御及び／またはプロセスプラントの動作に関する機能を、オペレータが遂行することができるアプリケーションを実施することができる。ハードウェアデバイス、コントローラ、及びフィールドデバイスによって利用されるデータハイウェイは、有線通信経路、無線通信経路、または有線及び無線通信経路の組み合わせを含むことができる。
一例として、Ｅｍｅｒｓｏｎ Ｐｒｏｃｅｓｓ Ｍａｎａｇｅｍｅｎｔが販売するＤｅｌｔａＶＴＭ制御システムには、プロセスプラント内の多様な場所に位置する異なるデバイスに格納され、実行される複数のアプリケーションが含まれる。１つ以上のワークステーションまたはコンピューティングデバイスに存在する構成アプリケーションによって、ユーザが、プロセス制御モジュールを作成または変更し、これらのプロセス制御モジュールを、データハイウェイを介して専用の分散コントローラにダウンロードすることができる。典型的には、これらの制御モジュールは、そこへの入力に基づいて制御スキーム内の機能を遂行し、制御スキーム内の他の機能ブロックに出力を提供するオブジェクト指向プログラミングプロトコル内のオブジェクトである通信可能に相互接続された機能ブロックで構成される。構成アプリケーションはまた、構成設計者が、視認アプリケーションによってデータをオペレータに表示し、オペレータがプロセス制御ルーチン内の設定点などの設定を変更することができるようにするオペレータインターフェイスを作成または変更することを可能にすることができる。各々の専用コントローラ及び場合によっては１つ以上のフィールドデバイスは、実際のプロセス制御機能を実装するために割り当てられ、ダウンロードされた制御モジュールを実施するそれぞれのコントローラアプリケーションを格納及び実行する。１つ以上のオペレータワークステーション（またはオペレータワークステーション及びデータハイウェイと通信可能に接続された１つ以上の遠隔コンピューティングデバイス）上で実行される視認アプリケーションは、データハイウェイを介してコントローラアプリケーションからデータを受信し、ユーザインターフェースを使用してプロセス制御システムの設計者、オペレータ、またはユーザにこのデータを表示することができ、オペレータの視点、技術者の視点、技能者の視点など、多数の異なる視点のいずれかを提供することができる。データヒストリアンアプリケーションは、典型的には、データハイウェイにわたって提供されるデータの一部または全部を収集して保存するデータヒストリアンデバイスに格納されて実行され、一方、構成データアプリケーションを、データハイウェイに接続されたさらに別のコンピュータ内で実施し、現在のプロセス制御ルーチン構成及びそれに関連するデータを格納することができる。代替的に、構成データベースを構成アプリケーションと同一のワークステーションに位置させることもできる。
一般的には、プロセスプラントのプロセス制御システムは、フィールドデバイス、コントローラ、ワークステーション、ならびに階層化ネットワーク及びバスのセットによって相互接続される他のデバイスを含む。プロセス制御システムは、例えば、製造及び運用コストを低減し、生産性及び効率を高め、プロセス制御及び／またはプロセスプラント情報などへのタイムリーなアクセスを提供するために、様々な事業体及び外部ネットワークと接続されてもよい。一方、プロセスプラント及び／またはプロセス制御システムを、企業及び／または外部のネットワーク及びシステムに相互接続することにより、企業及び／または外部ネットワークで使用されるもののような、商用システム及びアプリケーションにおいて予想される脆弱性から生じ得る、サイバー侵入及び／または悪意のあるサイバー攻
撃のリスクが高まる。プロセスプラント、ネットワーク、ならびに／または制御システムのサイバー侵入及び悪意のあるサイバー攻撃は、一般的に言えば、汎用コンピューティングネットワークの脆弱性と同様の脆弱性である情報資産の機密性、完全性、及び／または可用性に悪影響を与える可能性がある。しかしながら、汎用コンピュータネットワークとは異なり、プロセスプラント、ネットワーク、及び／または制御システムのサイバー侵入は、プラント設備、製品、及び他の物理的資産の損傷、破壊、及び／または損失だけでなく、人命の喪失をもたらす可能性がある。例えば、サイバー侵入によってプロセスが制御不能になり、爆発、火災、洪水、危険物への曝露などが生成する可能性がある。したがって、プロセス制御プラント及びシステムに関連する通信を、セキュリティ保護することが特に重要である。
図１は、プロセス制御または工業プロセスシステムのセキュリティの例示的なレベルのブロックダイヤグラム１０を含む。ダイヤグラム１０は、プロセス制御システムの様々な構成要素、プロセス制御システムそれ自体、及びプロセス制御システムが、通信可能に接続することができる他のシステム及び／またはネットワーク間の相互接続、ならびに、プロセス制御システムと他のシステム／ネットワークの内部及び間の通信に対するセキュリティの階層またはレベルを示す。セキュリティレベルは、セグメント化または分離によるセキュリティへの階層的なアプローチを提供し、様々なレベルは、１つ以上のファイアウォール１２Ａ、１２Ｂ、１２Ｃによって保護され、異なるレベル間で許可されたトラフィックのみを許可する。図１では、低い番号のセキュリティレベルは、制御されているオンラインプロセスに近く、高い番号のセキュリティレベルは実行プロセスからより多く削除されている。したがって、信頼レベル（メッセージ、パケット、及び他の通信の安全性と妥当性の信頼度など）は、デバイスレベル（レベル０）で最も高く、信頼レベルは、事業体ネットワークレベル上、例えば、公衆インターネット及び／または他の公衆ネットワーク上で最も低レベル（レベル５）にある。ＩＳＡ（国際自動学会（Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｓｏｃｉｅｔｙ ｏｆ Ａｕｔｏｍａｔｉｏｎ））９５．０１−ＩＥＣ（国際電気標準会議（Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｅｌｅｃｔｒｏｔｅｃｈｎｉｃａｌ Ｃｏｍｍｉｓｓｉｏｎ））６２２６４−１で標準化されている制御階層（Ｐｕｒｄｕｅ Ｍｏｄｅｌ ｆｏｒ Ｃｏｎｔｒｏｌ Ｈｉｅｒａｒｃｈｙ）論理フレームワークのパーデュ（Ｐｕｒｄｕｅ）モデルを使用すると、プロセス制御システムは一般にセキュリティレベル０〜２に分類され、製造、会社、及び企業システムは、一般にセキュリティレベル３〜５に分類される。
異なるセキュリティレベルの各々における異なる機能性の例を、図１に示す。典型的には、レベル０には、プロセスプラント内に配設され、プロセス及び／またはプロセスフローと直接接触するフィールドデバイス及び他のデバイス、例えば、センサ、バルブ、バルブ位置決め器、スイッチ、トランスミッタ、及びバルブの開閉、圧力、温度などのプロセスパラメータの測定などの物理的及び／またはプロセス制御機能を遂行する他のデバイスを含む。例示を明確にするために、例示的なフィールドデバイスは、図１には示されていない。
レベル１は、例えば、フィールドデバイスからの入力を受信し、制御スキーム、モジュール、または他の論理を使用して入力を処理し、結果出力を他のデバイスに送信することによって、プロセスのリアルタイム動作の基本制御を提供するコントローラ及び他のプロセス制御デバイス１５Ａ〜１５Ｄを含む。一般に、このようなプロセス制御デバイスは、それぞれの制御方式でプログラムされ、及び／または構成されている。例えば、レベル１のプロセス制御デバイスは、プロセスコントローラ、プログラマブルロジックコントローラ（ＰＬＣ）、遠隔ターミナルユニット（ＲＴＵ）などを含むことができる。図１に示すように、レベル１のプロセス制御デバイスは、バッチ制御１５Ａ、個別制御１５Ｂ、連続制御１５Ｃ、ハイブリッド制御１５Ｄ、及び／または他のタイプの制御を遂行するものを
含むことができる。
レベル２は、プロセスプラントの生産領域監視制御を提供するデバイス及び設備１８Ａ〜１８Ｄを含む。例えば、レベル２は、警告及び／または警報システム１８Ａ、オペレータワークステーション１８Ｃ、他のヒューマンマシンインターフェース（ＨＭＩ）１８Ｂ、１８Ｄなどを含むことができる。一般に、レベル２のデバイス及び設備は、レベル１のデバイス１５Ａ〜１５Ｄならびにレベル３のデバイス及び設備と、例えば１つ以上のファイアウォール１２Ａ、１２Ｂを介して通信することができる。
レベル３は、プラントシステム及び／またはネットワーク、例えば、デバイス、設備及びサイト／プラントを管理し、所望の最終製品を生産または製造するための制御を管理するシステム２０Ａ〜２０Ｄを収容する。例えば、レベル３は、生産管理、報告、スケジューリング等に使用される生産システム２０Ａ、品質、生産性、効率などを改善するために使用される最適化システム２０Ｂ、プロセスプラントによって生成された、及び／もしくは示すデータを履歴化するためのヒストリアン２０Ｃ、ならびに／または制御スキーム及びモジュール、オペレータワークステーション、及び／もしくはＨＭＩインターフェースなどの設計及び開発のために要員が使用するエンジニアリングワークステーションもしくはコンピューティングデバイス２０Ｄを含むことができる。
レベル５にスキップすると、レベル５には一般的に、事業体、会社、または企業のシステム及び／またはネットワークが収納される。典型的には、そのようなシステム及び／またはネットワークは、企業外のシステムとのインターフェースを管理する。例えば、企業のＶＰＮ（仮想プライベートネットワーク）、会社もしくは企業インターネットアクセスサービス、ならびに／または他のＩＴ（情報技術）インフラストラクチャシステム及びアプリケーションは、レベル５にある。
レベル５の内部拡張と見なすことができるレベル４は、一般的に企業の内部にある会社または企業システム、例えば、電子メール、イントラネット、サイトの事業計画とロジスティクス、在庫管理、スケジューリングをサポートする会社システム及び／または他の会社／企業システム及びネットワークを収納する。
図１に示すように、セキュリティレベル３及び４は、事業体もしくは企業システム及び／またはネットワークを、プラント／プロセスシステム及び／またはネットワークから分離する非武装地帯（ＤＭＺ）２２を介して相互にインターフェースし、それによってプロセスプラントが曝されるセキュリティリスクを最小にする。ＤＭＺ２２は、１つ以上のそれぞれのファイアウォール１２Ｃを含み、より低いセキュリティレベルでプラント関連デバイス、機器、及び／もしくはアプリケーションと通信し、ならびに／または企業関連デバイス、機器、アプリケーションと高度なセキュリティレベルで通信する、様々なデバイス、機器、サーバ、及び／またはアプリケーション２５Ａ〜２５Ｆを収容してもよい。例えば、ＤＭＺ２２は、２、３の例を挙げると、ターミナルサービス２５Ａ、パッチ管理２５Ｂ、１つ以上のＡＶサーバ２５Ｃ、１つ以上のヒストリアン２５Ｄ（例えばミラーヒストリアンを含み得る）、Ｗｅｂサービスオペレーション２５Ｅ、及び／または１つ以上のアプリケーションサーバ２５Ｆを含む。典型的には、ＤＭＺ２２の上のセキュリティレベルのデバイス、機器、及び／またはアプリケーションについては、許可されたものだけがプロセスプラントに通信可能にアクセスすることが許可され、さらにデバイス、機器、サーバ及び／またはＤＭＺ２２のアプリケーション２５Ａ〜２５Ｆを介して接続されることが要求される。ＤＭＺデバイス２５Ａ〜２５Ｆは、下位レベルへの別個の接続を維持し、それにより、プロセスプラント及び制御システムを、企業（及び上位）システム及び／またはネットワークからの攻撃から保護する。
遠隔サービスの簡単な議論に移ると、遠隔サービスは、異なるユーザ及びシステムによって、ますます一般的に使用されるようになってきている。例えば、ＭｉｃｒｏｓｏｆｔＷｉｎｄｏｗｓ（登録商標）オペレーティングシステムによって提供される遠隔デスクトップサービス製品を使用すると、ユーザは、会社ネットワーク及び／またはインターネットから、データセンター内のセッションベースのデスクトップ、仮想マシンベースのデスクトップ、及び／または他のアプリケーションにアクセスすることが可能になる。Ｉｎｔｕｉｔ（登録商標）が提供するＱｕｉｃｋＢｏｏｋｓ（登録商標）Ｏｎｌｉｎｅ製品は、ユーザがキャッシュフロー管理、請求書発行、インターネットを介してのオンライン支払いなどの会計機能を遂行することを可能にする。一般的に言えば、遠隔サービスは、遠隔サービスにアクセスするシステムまたはユーザから遠隔操作で実行する１つ以上のアプリケーションによって提供される。例えば、１つ以上のアプリケーションは、サーバの遠隔バンク、クラウドなどでデータを実行及び管理し、企業ネットワーク及び／または公衆インターネットのような１つ以上のプライベート及び／または公衆ネットワークを介してアクセスされる。
一実施形態では、プロセスプラントから別のシステムへ通信を安全に転送するためのシステムは、プロセスプラントのネットワークと他のシステムのネットワークとの間に配設されたデータダイオードを含む。データダイオードは、プロセスプラントネットワークと他のシステムのネットワークとの間の双方向通信を防止するように構成されており、そのため、プロセスプラントが工業プロセスを制御するように動作している間、プロセスプラントのデバイスによって生成されるデータは、暗号化され、プロセスプラントネットワークから、データダイオードを経由、またはそれを介して、他のシステムのネットワークに安全に転送される。
一実施形態では、プロセスプラントと別のシステムとの間の通信をセキュリティ保護する方法は、プロセスプラントネットワークから、フィールドゲートウェイにおいて、プロセスプラントが工業プロセスを制御するように動作している間、プロセスプラントの１つ以上のデバイスによって生成されたデータを受信することを含み、プロセスプラントデータは、１つ以上のデバイスから、第１のセキュリティ機構を介した、フィールドゲートウェイへの送信のために、セキュリティ保護される。該方法はまた、フィールドゲートウェイによって、第２のセキュリティ機構を介して、プロセスプラントデータをセキュリティ保護することと、エッジゲートウェイを介した他のシステムへの配信のために、セキュリティ保護されたプロセスプラントデータを、データダイオードを経由して転送することと、を含む。エッジゲートウェイは、他のシステムに通信可能に接続され、エッジゲートウェイと他のシステムとの間の通信接続は、第３のセキュリティ機構を介して、セキュリティ保護される。データダイオードは、エッジゲートウェイによって送信されたいかなるデータのフィールドゲートウェイへの侵入も防止するように構成されている。
一実施形態では、プロセスプラントとプロセスプラントにサービスを提供する別のシステムとの間の通信をセキュリティ保護する方法は、プロセスプラントが工業プロセスを制御するように動作している間に、プロセスプラントの１つまたはデバイスによって生成されたデータを、プロセスプラントのフィールドゲートウェイに通信可能に接続されているデータダイオードを介して、エッジゲートウェイにおいて受信することを含む。プロセスプラントデータは、第１のセキュリティ機構を介して、１つ以上のデバイスからフィールドゲートウェイへの送信のためにセキュリティ保護され、かつ第２のセキュリティ機構を介して、フィールドゲートウェイからデータダイオードを経由したエッジゲートウェイへの転送のためにさらにセキュリティ保護される。さらに、データダイオードは、エッジゲートウェイによって送信されたいかなるデータのフィールドゲートウェイへの侵入も防止するように構成されている。該方法はまた、エッジゲートウェイによって、第３の機構を
介して、プロセスプラントデータをセキュリティ保護することと、エッジゲートウェイによって、セキュリティ保護されたプロセスプラントデータを他のシステムに送信することと、を含む。
特に、プロセス制御システムの様々な例示的構成要素と、プロセス制御システム自体と、他の例示的なシステム及び／またはネットワークとの間の相互接続を含む、プロセス制御または工業プロセスシステムのセキュリティの例示的なレベルのブロック図を含む。 プロセス制御システムの様々な例示的構成要素と、プロセス制御システム自体と、他の例示的なシステム及び／またはネットワークとの間の相互接続を特に示すプロセスプラントまたはプロセス制御システムの例のブロック図である。 プロセスプラントまたはプロセス制御システムのための例示的なセキュリティアーキテクチャのブロック図である。 プロセスプラントまたはプロセス制御システムの安全な通信をプロビジョニングするために使用されるメッセージフローの例を示す。 データダイオードを経由してプロセスプラントデータを配信するために使用され得るメッセージフローの例を示す。 プロセスプラントまたはプロセス制御システムから通信を安全に転送するための例示的な方法のフロー図である。 プロセスプラントまたはプロセス制御システムから通信を安全に輸送するための例示的な方法のフロー図である。
上述したように、サイバー侵入及び悪意のあるサイバー攻撃に対してプロセス制御プラント及びシステムを安全にすることは、典型的にファイアウォール及び他のセキュリティメカニズムを使用して安全にされた層またはレベルの少なくとも一部によって、層状またはレベル化されたセキュリティ階層を利用する。例えば、図１に関して上記に説明したように、セキュリティレベル０〜３のプロセスプラントシステム、ネットワーク、及びデバイスは、セキュリティレベル４〜５の企業ネットワークから、及び／または企業ネットワークを利用するレベル５より高い任意の外部ネットワークからの脅威から、例えば、ＤＭＺ２２及び１つ以上のファイアウォール１２Ａ〜１２Ｃを使用することによって、保護され得る。しかしながら、プロセスプラントデータ上で動作するより多くのサービス及びアプリケーションが、（例えば、企業またはビジネス内のレベル４及び／または５の）例えば、プロセスプラントの外部ネットワーク及びシステム上で、ならびに／または企業もしくは事業体の外部にあるネットワーク及びシステム（例えば、レベル５以上、インターネットもしくは他の公衆ネットワークを介して）上であっても、遠隔操作で実行するために移動されるとき、プロセスプラントシステム、ネットワーク、及びデバイスが危険に曝されるのを防ぐためのより強力な技術が必要である。
本明細書で説明される新たなシステム、構成要素、装置、方法、及び技術は、プロセスプラント及びそのネットワークに関連するこれら及び他のセキュリティ問題に対処し、特に、プロセスプラント／ネットワークと他のネットワークまたはシステムとの間の通信をセキュリティ保護することに関する。
説明するために、図２は、オンライン動作中の工業プロセスを制御するように構成され、本明細書に記載された新たなセキュリティ技術のうちの任意の１つ以上を利用してセキュリティ保護され得る例示的なプロセスプラント１００のブロック図である。プロセスプラント１００（本明細書では、同義的に、プロセス制御システム１００またはプロセス制御環境１００とも称される）は、フィールドデバイスによって行われたプロセス測定値を
示す信号を受信し、この情報を処理して制御ルーチンを実装し、有線または無線のプロセス制御通信リンクまたはネットワークを介して他のフィールドデバイスに送信される制御信号を生成して、プラント１００内のプロセスの動作を制御する１つ以上のプロセスコントローラを含む。典型的には、少なくとも１つのフィールドデバイスが、プロセスの動作を制御する物理的機能（例えば、バルブの開閉、温度の上昇または低下、測定の取得、状況の検出など）を遂行する。一部のタイプのフィールドデバイスは、Ｉ／Ｏデバイスを使用してコントローラと通信する。プロセスコントローラ、フィールドデバイス、及びＩ／Ｏデバイスは、有線または無線であってもよく、任意の数及び組み合わせの有線及び無線プロセスコントローラ、フィールドデバイス、及びＩ／Ｏデバイスが、プロセスプラント環境またはシステム１００に含まれてもよい。
例えば、図２は、入出力（Ｉ／Ｏ）カード１２６及び１２８を介して有線フィールドデバイス１１５〜１２２に通信可能に接続され、無線ゲートウェイ１３５及びプロセス制御データハイウェイまたはバックボーン１１０を介して無線フィールドデバイス１４０〜１４６に通信可能に接続されているプロセスコントローラ１１１を示す。プロセス制御データハイウェイ１１０は、１つ以上の有線及び／または無線通信リンクを含むことができ、例えば、イーサネット(登録商標)プロトコルのような任意の所望のまたは好適なまたは通信のプロトコルを使用して実装することができる。いくつかの構成（図示せず）では、コントローラ１１１は、バックボーン１１０以外の１つ以上の通信ネットワークを使用して、例えば、Ｗｉ−Ｆｉまたは他のＩＥＥＥ８０２．１１準拠の無線ローカルエリアネットワークプロトコル、移動通信プロトコル（例えば、ＷｉＭＡＸ、ＬＴＥ、または他のＩＴＵ−Ｒ互換プロトコル）、Ｂｌｕｅｔｏｏｔｈ（登録商標）、ＨＡＲＴ（登録商標）、ＷｉｒｅｌｅｓｓＨＡＲＴ（登録商標）、Ｐｒｏｆｉｂｕｓ、ＦＯＵＮＤＡＴＩＯＮ（登録商標）Ｆｉｅｌｄｂｕｓなどをサポートする任意の数の他の有線または無線通信リンクを使用して、無線ゲートウェイ１３５に通信可能に接続されてもよい。
例えば、Ｅｍｅｒｓｏｎ Ｐｒｏｃｅｓｓ Ｍａｎａｇｅｍｅｎｔによって販売されているＤｅｌｔａＶＴＭコントローラであってもよいコントローラ１１１は、フィールドデバイス１１５〜１２２及び１４０〜１４６の少なくとも一部を使用してバッチプロセスまたは連続プロセスを実装するように動作することができる。一実施形態では、コントローラ１１１は、プロセス制御データハイウェイ１１０に通信可能に接続されることに加えて、フィールドデバイス１１５〜１２２及び１４０〜１４６のうちの少なくともいくつかに、４〜２０ｍＡデバイス、Ｉ／Ｏカード１２６、１２８、及び／またはＦＯＵＮＤＡＴＩＯＮ（登録商標）Ｆｉｅｌｄｂｕｓプロトコル、ＨＡＲＴ（登録商標）プロトコル、ＷｉｒｅｌｅｓｓＨＡＲＴ（登録商標）プロトコルなどの任意のスマート通信プロトコルに関連する任意の所望のハードウェア及びソフトウェアを使用して通信可能に接続される。図２では、コントローラ１１１、フィールドデバイス１１５〜１２２及びＩ／Ｏカード１２６、１２８は、有線デバイスであり、フィールドデバイス１４０〜１４６は、無線フィールドデバイスである。当然のことながら、有線フィールドデバイス１１５〜１２２及び無線フィールドデバイス１４０〜１４６は、将来開発される任意の標準またはプロトコルを含む任意の有線または無線プロトコルのような任意の他の所望の標準またはプロトコルに準拠することができる。
図２のプロセスコントローラ１１１は、（例えば、メモリ１３２に格納された）１つ以上のプロセス制御ルーチン１３８を実装または監督するプロセッサ１３０を含む。プロセッサ１３０は、フィールドデバイス１１５〜１２２及び１４０〜１４６及びコントローラ１１１に通信可能に接続された他のノードと通信するように構成されている。本明細書に記載された任意の制御ルーチンまたはモジュールは、そのように所望される場合、異なるコントローラまたは他のデバイスによってその一部が実装または実行されてもよい。同様に、プロセス制御システム１００内で実装される本明細書に記載の制御ルーチンまたはモ
ジュール１３８は、ソフトウェア、ファームウェア、ハードウェアなどを含む任意の形態を採ることができる。制御ルーチンは、オブジェクトラダーロジック、シーケンシャルファンクションチャート、ファンクションブロックダイアグラム、または他の任意のソフトウェアプログラミング言語もしくは設計パラダイムを使用して実装することができる。制御ルーチン１３８は、ランダムアクセスメモリ（ＲＡＭ）または読み出し専用メモリ（ＲＯＭ）のような任意の所望のタイプのメモリ１３２に格納することができる。同様に、制御ルーチン１３８は、例えば、１つ以上のＥＰＲＯＭ、ＥＥＰＲＯＭ、特定用途向け集積回路（ＡＳＩＣ）、または他の任意のハードウェアもしくはファームウェア要素にハードコード化されてもよい。したがって、コントローラ１１１は、任意の所望の方法で制御ストラテジまたは制御ルーチンを実装するように構成することができる。
コントローラ１１１は、一般的に機能ブロックと称されるものを使用して制御ストラテジを実装し、各々の機能ブロックは全体制御ルーチンのオブジェクトまたは他の部分（例えばサブルーチン）であり、他の機能ブロックと共に（リンクと称される通信を介して）動作して、プロセス制御システム１００内のプロセス制御ループを実装する。制御ベースの機能ブロックは、典型的には、送信機、センサまたは他のプロセスパラメータ測定デバイスに関連する入力機能の１つ、ＰＩＤ、ファジィ論理等の制御を遂行する制御ルーチンに関連するもののような制御機能；プロセス制御システム１００内のいくつかの物理的機能を実行するためのバルブなどのデバイスの動作を制御する出力機能の１つを遂行する。当然のことながら、ハイブリッド及び他のタイプの機能ブロックが存在する。機能ブロックは、典型的には、これらの機能ブロックが標準４〜２０ｍＡデバイス及びＨＡＲＴ（登録商標）デバイスのようないくつかのタイプのスマートフィールドデバイスに使用されるか、または関連する場合に、コントローラ１１１に格納され、コントローラ１１１によって実行されてもよく、ＦＯＵＮＤＡＴＩＯＮ（登録商標）フィールドバスデバイスの場合のようにフィールドデバイス自体に格納され、実装されてもよい。コントローラ１１１は、１つ以上の機能ブロックを実行することによって遂行される１つ以上の制御ループを実装することができる、１つ以上の制御ルーチン１３８を含むことができる。
有線フィールドデバイス１１５〜１２２は、センサ、バルブ、送信機、位置決め器などのような任意のタイプのデバイスとすることができ、Ｉ／Ｏカード１２６及び１２８は、任意の所望の通信プロトコルまたはコントローラプロトコルに準拠する任意のタイプのＩ／Ｏデバイスであってもよい。図２に示すように、フィールドデバイス１１５〜１１８は、アナログラインまたはアナログ及びデジタルの結合ラインを介してＩ／Ｏカード１２６と通信する、標準的な４〜２０ｍＡデバイスまたはＨＡＲＴ（登録商標）デバイスであり、フィールドデバイス１１９〜１２２は、ＦＯＵＮＤＡＴＩＯＮ（登録商標）フィールドバス通信プロトコルを使用してデジタルバスを介してＩ／Ｏカード１２８と通信するＦＯＵＮＤＡＴＩＯＮ（登録商標）Ｆｉｅｌｄｂｕｓフィールドデバイスなどのスマートデバイスである。しかし、いくつかの実施形態では、少なくとも一部の有線フィールドデバイス１１５、１１６、１１８〜１２１及び／または少なくとも一部のＩ／Ｏカード１２６、１２８は、プロセス制御データハイウェイ１１０を使用して及び／または他の適切な制御システムプロトコル（例えば、Ｐｒｏｆｉｂｕｓ、ＤｅｖｉｃｅＮｅｔ、Ｆｏｕｎｄａｔｉｏｎ Ｆｉｅｌｄｂｕｓ、ＣｏｎｔｒｏｌＮｅｔ、Ｍｏｄｂｕｓ、ＨＡＲＴなど）を使用することによって、コントローラ１１１と付加的または代替的に通信する。
図２では、無線フィールド機器１４０〜１４６は、ＷｉｒｅｌｅｓｓＨＡＲＴ（登録商標）プロトコルなどの無線プロトコルを使用して、無線プロセス制御通信ネットワーク１７０を介して通信する。そのような無線フィールド機器１４０〜１４６は、（例えば、無線プロトコルまたは別の無線プロトコルを使用して）無線通信するようにも構成された無線ネットワーク１７０の１つ以上の他のデバイスまたはノードと直接通信することができる。無線通信するように構成されていない他のノードと通信するために、無線フィールド
機器１４０〜１４６は、プロセス制御データハイウェイ１１０または別のプロセス制御通信ネットワークに接続された無線ゲートウェイ１３５を利用することができる。無線ゲートウェイ１３５は、無線通信ネットワーク１７０の様々な無線デバイス１４０〜１５８へのアクセスを提供する。特に、無線ゲートウェイ１３５は、無線デバイス１４０〜１５８、有線デバイス１１５〜１２８、及び／またはプロセス制御プラント１００の他のノードまたはデバイス間の通信結合を提供する。例えば、無線ゲートウェイ１３５は、プロセス制御データハイウェイ１１０を使用することによって、及び／またはプロセスプラント１００の１つ以上の他の通信ネットワークを使用することによって、通信結合を提供することができる。
有線フィールドデバイス１１５〜１２２と同様に、無線ネットワーク１７０の無線フィールドデバイス１４０〜１４６は、プロセスプラント１００内の物理的制御機能、例えば、バルブの開閉、またはプロセスパラメータの測定を遂行する。しかし、無線フィールドデバイス１４０〜１４６は、ネットワーク１７０の無線プロトコルを使用して通信するように構成されている。このように、無線ネットワーク１７０の無線フィールドデバイス１４０〜１４６、無線ゲートウェイ１３５、及び他の無線ノード１５２〜１５８は、無線通信パケットのプロデューサ及びコンシューマである。
プロセスプラント１００のいくつかの構成では、無線ネットワーク１７０は、非無線デバイスを含む。例えば、図２では、図２のフィールドデバイス１４８、は従来の４〜２０ｍＡデバイスであり、フィールドデバイス１５０は有線ＨＡＲＴ（登録商標）デバイスである。ネットワーク１７０内で通信するために、フィールドデバイス１４８、１５０は、それぞれの無線アダプタ１５２Ａ、１５２Ｂを介して無線通信ネットワーク１７０に接続される。無線アダプタ１５２Ａ、１５２Ｂは、ＷｉｒｅｌｅｓｓＨＡＲＴのような無線プロトコルをサポートし、Ｆｏｕｎｄａｔｉｏｎ（登録商標）Ｆｉｅｌｄｂｕｓ、ＰＲＯＦＩＢＵＳ、ＤｅｖｉｃｅＮｅｔなどの１つ以上の他の通信プロトコルもサポートすることができる。付加的に、いくつかの構成では、無線ネットワーク１７０は、無線ゲートウェイ１３５と有線通信する別個の物理デバイスであってもよいし、一体型デバイスとして無線ゲートウェイ１３５を備えてもよい１つ以上のネットワークアクセスポイント１５５Ａ、１５５Ｂを含む。無線ネットワーク１７０はまた、１つの無線デバイスから無線通信ネットワーク１７０内の別の無線デバイスにパケットを回送するための１つ以上のルータ１５８を含むことができる。図２では、無線デバイス１４０〜１４６及び１５２〜１５８は、無線通信ネットワーク１７０の無線リンク１６０を介して、及び／またはプロセス制御データハイウェイ１１０を介して、相互に及び無線ゲートウェイ１３５と通信する。
図２では、プロセス制御システム１００は、データハイウェイ１１０に通信可能に接続された１つ以上のオペレータワークステーション１７１を含む。オペレータワークステーション１７１を介して、オペレータは、プロセスプラント１００のランタイムオペレーションを閲覧し、監視し、ならびに、診断、是正、維持、及び／または必要とされる可能性のある他の措置を取ることができる。オペレータワークステーション１７１の少なくとも一部は、プラント１００内またはプラント１００の近くの様々な保護領域、例えばプラント１００のバックエンド環境、に位置させることができ、状況によっては、オペレータワークステーション１７１の少なくともいくつかが遠隔地に位置するが、それにもかかわらずプラント１００と通信可能に接続される。オペレータワークステーション１７１は、有線または無線のコンピューティングデバイスであってもよい。
例示的なプロセス制御システム１００は、構成アプリケーション１７２Ａ及び構成データベース１７２Ｂを含むものとしてさらに示されており、これらの各々はまた、データハイウェイ１１０にも通信可能に接続される。上述したように、構成アプリケーション１７２Ａの様々なインスタンスは、１つ以上のコンピューティングデバイス（図示せず）上で
実行して、ユーザが、プロセス制御モジュールを作成または変更し、これらのモジュールをデータハイウェイ１１０を介してコントローラ１１１にダウンロードできるようにするとともに、オペレータがデータを表示し、プロセス制御ルーチン内のデータ設定を変更することができるオペレータインターフェイスを、ユーザが作成または変更することができるようにする。構成データベース１７２Ｂは、作成された（例えば、構成された）モジュール及び／またはオペレータインターフェイスを格納する。一般的に、構成アプリケーション１７２Ａ及び構成データベース１７２Ｂは集中しており、プロセス制御システム１００に対し単一の論理的な外観を有するが、構成アプリケーション１７２Ａの複数のインスタンスは、プロセス制御システム１００内に複数のインスタンスを同時に実行することができ、構成データベース１７２Ｂは、複数の物理的データ格納デバイスを経由して実装される。したがって、構成アプリケーション１７２Ａ、構成データベース１７２Ｂ、及びそれらに対するユーザインターフェイス（図示せず）は、制御及び／または表示モジュール用の構成または開発システム１７２を含む。典型的には、必須ではないが、構成システム１７２のユーザインターフェースは、プラント１００がリアルタイムで動作しているかどうかにかかわらず、構成エンジニア及び開発エンジニアによって利用されるので、オペレータワークステーション１７１は、プロセスプラント１００のリアルタイム動作中にオペレータによって利用されるが（ここでは、同義的に、プロセスプラント１００の「ランタイム」オペレーションと称される）、構成システム１７２のユーザインターフェースは、オペレータワークステーション１７１とは異なる。
例示的なプロセス制御システム１００は、データヒストリアンアプリケーション１７３Ａ及びデータヒストリアンデータベース１７３Ｂを含み、それらの各々はまた、データハイウェイ１１０に通信可能に接続される。データヒストリアンアプリケーション１７３Ａは、データハイウェイ１１０にわたって提供されたデータの一部または全部を収集し、長期格納のためにヒストリアンデータベース１７３Ｂにデータを履歴化または格納するように動作する。構成アプリケーション１７２Ａ及び構成データベース１７２Ｂと同様に、データヒストリアンアプリケーション１７３Ａ及びヒストリアンデータベース１７３Ｂは、集中化され、プロセス制御システム１００に対して単一の論理的外観を有するが、データヒストリアンアプリケーション１７３Ａの複数のインスタンスが、制御システム１００内で同時に実行してもよく、データヒストリアン１７３Ｂは、複数の物理データ格納デバイスにわたって実装されてもよい。
いくつかの構成では、プロセス制御システム１００は、Ｗｉ−Ｆｉまたは他のＩＥＥＥ８０２．１１準拠無線ローカルエリアネットワークプロトコルなどの他の無線プロトコル、ＷｉＭＡＸなどのモバイル通信プロトコル、ＬＴＥ（Ｌｏｎｇ Ｔｅｒｍ Ｅｖｏｌｕｔｉｏｎ）または他のＩＴＵ−Ｒ（Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎ Ｕｎｉｏｎ Ｒａｄｉｏｃｏｍｍｕｎｉｃａｔｉｏｎ Ｓｅｃｔｏｒ）互換プロトコル、近距離無線通信（ＮＦＣ）及びＢｌｕｅｔｏｏｔｈなどの短波長無線通信、または他の無線通信プロトコルを使用して他のデバイスと通信する１つ以上の他の無線アクセスポイント１７４を含む。典型的には、そのような無線アクセスポイント１７４は、ハンドヘルドまたは他のポータブルコンピューティングデバイス（例えば、ユーザインターフェースデバイス１７５）が、無線ネットワーク１７０とは異なり、無線ネットワーク１７０とは異なる無線プロトコルをサポートするそれぞれの無線プロセス制御通信ネットワークにわたって通信することを可能にする。例えば、無線またはポータブルユーザインターフェースデバイス１７５は、プロセスプラント１００内のオペレータ（例えば、オペレータワークステーション１７１の１つのインスタンス）によって利用されるモバイルワークステーションまたは診断テスト機器であってもよい。いくつかのシナリオでは、ポータブルコンピューティングデバイスに加えて、１つ以上のプロセス制御デバイス（例えば、コントローラ１１１、フィールドデバイス１１５〜１２２、または無線デバイス１３５、１４０〜１５８）も、アクセスポイント１７４によってサポートされる無線プロト
コルを使用して通信する。
いくつかの構成では、プロセス制御システム１００は、即時プロセス制御システム１００の外部にあるシステムへの１つ以上のゲートウェイ１７６、１７８を含む。典型的には、そのようなシステムは、プロセス制御システム１００によって生成または操作されるカスタマーまたはサプライヤである。情報、例えば、プロセス制御プラント１００は、即時プロセスプラント１００を別のプロセスプラントと通信可能に接続するためのゲートウェイノード１７６を含むことができる。付加的または代替的に、プロセス制御プラント１００は、即時プロセスプラント１００を、実験室システム（例えば、実験室情報管理システムまたはＬＩＭＳ）、オペレータラウンド在庫管理システム、材料ハンドリングシステム、製品在庫管理システム、維持管理システム、生産スケジューリングシステム、気象データシステム、出荷及び処理システム、パッケージングシステム、インターネット、別のプロバイダのプロセス制御システム、または他の外部システムなどの公衆またはプライベートシステムに通信可能に接続することができるゲートウェイノード１７８を含むことができる。
なお、図２は、例示的なプロセスプラント１００に含まれる有限数のフィールドデバイス１１５〜１２２及び１４０〜１４６、無線ゲートウェイ３５、無線アダプタ１５２、アクセスポイント１５５、ルータ１１５８、及び無線プロセス制御通信ネットワーク１７０を有する単一のコントローラ１１１のみを示しているが、これは、例示的かつ非限定的な実施形態に過ぎないことに留意されたい。任意の数のコントローラ１１１を、プロセス制御プラントまたはシステム１００に含めることができ、コントローラ１１１のいずれかは、任意の数の有線または無線デバイス及びネットワーク１１５〜１２２、１４０〜１４６、１３５、１５２、１５５、１５８、１７０と通信してプラント１００内のプロセスを制御することができる。
図３は、図１の例示プロセスプラント１００の例示的なセキュリティアーキテクチャ２００のブロック図を示す。参照として、セキュリティアーキテクチャ２００の様々な部分が含まれ得るセキュリティレベルを示すために、図１の様々なレベルのセキュリティ０〜５が、図３の上部を経由して描かれているが、しかしながら、この参照は、図３に示されたものとは異なるセキュリティレベル内にセキュリティアーキテクチャ２００の様々な部分が収納され得るようなガイドラインに過ぎない。
図３に示すように、１つ以上のデバイス２０２は、例えば、図１の無線ゲートウェイ１３５のインスタンスであり得る１つ以上の無線ゲートウェイ２０５Ａ、２０５Ｂに通信可能に接続される。前述したように、無線ゲートウェイ２０５Ａ、２０５Ｂは、セキュリティレベル１及び／またはセキュリティレベル２、例えばプロセスプラント１００自体に位置してもよい。ゲートウェイ２０５Ａ、２０５Ｂとデバイス２０２との間の通信接続は、参照番号２０４Ａ、２０４Ｂで示されている。
デバイス２０２のセットは、プロセスプラント１００のセキュリティレベル０にあるものとして示されており、有限数の無線フィールドデバイスを含むものとして示されている。しかしながら、デバイス２０２に関する本明細書に記載された概念及び特徴は、プロセスプラント１００の任意の数のフィールドデバイスだけでなく、任意のタイプのフィールドデバイスにも容易に適用できることが理解される。例えば、フィールドデバイス２０２は、プロセスプラント１００の１つ以上の有線通信ネットワーク１１０を介して無線ゲートウェイ２０５Ａ、２０５Ｂに通信可能に接続された１つ以上の有線フィールドデバイス１１５〜１２２を含むことができ、及び／またはフィールドデバイス２０２は、無線アダプタ１５２Ａ、１５２Ｂに結合され、それによって無線ゲートウェイ２０５Ａ、２０５Ｂに結合された有線フィールドデバイス１４８、１５０を含むことができる。
さらに、デバイス２０２のセットは、プロセスデータを生成するフィールドデバイスだけに限定されず、プロセスプラント１００がオンラインプロセスを制御する結果としてデータを生成するプロセスプラント１００内の任意のデバイスまたは構成要素を付加的または代替的に含み得ることが理解される。例えば、デバイス２０２のセットは、診断データを生成する診断デバイスまたは構成要素、プロセスプラント１００の様々な構成要素及び／またはデバイスの間で情報を送信するネットワークルーティングデバイスまたは構成要素などを含むことができる。実際には、図２に示す構成要素のうちの任意の１つ以上（例えば、構成要素１１１、１１５〜１２２、１２６、１２８、１３５、１４０〜１４６、１５２、１５５、１５８、１６０、１７０、１７１〜１７６、１７８）及び図２には示されていない他の構成要素は、遠隔システム２１０に配信するためのデータを生成するデバイスまたは構成要素２０２であってもよい。このように、デバイス２０２のセットは、本明細書では「データソース２０２」または「データソースデバイス２０２」と同義的に称される。
図３は、プロセスプラント１００に関して利用され得る、及び／またはプロセスプラント１００が利用する遠隔アプリケーションまたはサービス２０８のセットをさらに示す。遠隔アプリケーションまたはサービス２０８のセットは、１つ以上の遠隔システム２１０で実行またはホストされ、遠隔アプリケーション／サービス２０８のセットは、一般的にセキュリティレベル５以上であると見なされる。アプリケーションまたはサービス２０８の少なくとも一部は、リアルタイムデータがプロセスプラント１００によって生成され、アプリケーションまたはサービス２０８によって受信されると、リアルタイムデータ上でリアルタイムで動作する。他のアプリケーションまたはサービス２０８は、より厳しいタイミング要件を必要とすることなく、プロセスプラント生成データを操作または実行することができる。遠隔システム２１０で実行されるかまたはホストされ、プロセスプラント１００によって生成されるデータのコンシューマであるアプリケーション／サービス２０８の例は、プロセスプラント１００で生成する状況及び／または事象を監視及び／または検出するアプリケーション及びプロセスプラント１００で実行されているオンラインプロセス自体の少なくとも一部を監視するアプリケーションまたはサービスを含む。アプリケーション／サービス２０８の他の例は、プロセスプラント１００によって生成されたデータ上で動作し、場合によっては、プロセスプラント生成データならびに他のプロセスプラントから生成され受信されたデータを分析して収集または発見された知識に基づいて動作し得る記述的及び／または規範的解析を含む。アプリケーション／サービス２０８のさらに別の例は、規範的機能、構成及び／または他のデータの修正、及び／または、例えば、別のサービスまたはアプリケーションの結果として、プロセスプラント１００に再実装されるべき他の規範的変更を実装する１つ以上のルーチンを含む。アプリケーション及びサービス２０８のいくつかの例は、２０１６年９月２３日に出願され、「分散産業性能監視のためのデータ分析サービス（Ｄａｔａ Ａｎａｌｙｔｉｃｓ Ｓｅｒｖｉｃｅｓ ｆｏｒ Ｄｉｓｔｒｉｂｕｔｅｄ Ｉｎｄｕｓｔｒｉａｌ Ｐｅｒｆｏｒｍａｎｃｅ Ｍｏｎｉｔｏｒｉｎｇ）」という名称の米国特許出願第１５／２７４、５１９号、２０１６年９月２３日に出願され、「分散産業性能監視及び分析（Ｄｉｓｔｒｉｂｕｔｅｄ Ｉｎｄｕｓｔｒｉａｌ Ｐｅｒｆｏｒｍａｎｃｅ Ｍｏｎｉｔｏｒｉｎｇ ａｎｄ Ａｎａｌｙｔｉｃｓ）」という名称の米国特許出願第１５／２７４、２３３号、２０１６年１０月２４日に出願され、「プロセスデバイス条件及びパフォーマンス監視（Ｐｒｏｃｅｓｓ Ｄｅｖｉｃｅ Ｃｏｎｄｉｔｉｏｎ ａｎｄ Ｐｅｒｆｏｒｍａｎｃｅ Ｍｏｎｉｔｏｒｉｎｇ）」と題する米国特許出願第１５／３３２、５２１号に記載されており、その全体の開示内容は参照により本明細書に組み込まれる。
１つ以上の遠隔システム２１０は、ネットワークサーバの遠隔バンク、１つ以上のクラウドコンピューティングシステム、１つ以上のネットワークなど、任意の所望の方法で実
装することができる。説明を容易にするために、本明細書では、１つ以上の遠隔システム２１０は、該用語が１つのシステム、２つ以上のシステム、または任意の数を指すことがあると理解されるが、単数時制、すなわち「遠隔システム２１０」を使用して参照される。
一般的に言えば、セキュリティアーキテクチャ２００は、デバイス２０２がインストールされ動作するプロセスプラント１００のフィールド環境から、プロセスプラント１００によって生成されたデータ上でコンシュームし、動作するアプリケーション及び／またはサービス２０８を提供する遠隔システム２１０にエンドツーエンドのセキュリティを提供する。このように、デバイス２０２及びプロセスプラント１００の他の構成要素によって生成されたデータは、遠隔アプリケーション／サービス２０８による使用のために遠隔システム２１０に安全に転送されることができ、一方、サイバー攻撃、侵入、及び／または他の悪意のあるイベントからプラント１００を保護する。特に、セキュリティアーキテクチャ２００は、プロセスプラント１００（例えば、プロセスプラント１００の無線ゲートウェイ２０５Ａ、２０５Ｂの間の）と遠隔システム２１０との間に配設されたフィールドゲートウェイ２１２、データダイオード２１５、及びエッジゲートウェイ２１８を含む。典型的には、必須ではないが、フィールドゲートウェイ２１２、データダイオード２１５、及びエッジゲートウェイ２１８は、セキュリティレベル２〜５に含まれる。
セキュリティアーキテクチャ２００の重要な態様は、データダイオード２１５である。データダイオード２１５は、ハードウェア、ファームウェア及び／またはソフトウェアで実装される構成要素であり、特に、プロセスプラント１００と遠隔システム２１０との間の双方向通信を防止するように構成されている。すなわち、データダイオード２１５は、データトラフィックがプロセス制御システム１００から遠隔システム２１０に出ることを可能にし、データトラフィック（例えば、遠隔システム２１０または他のシステムから送信または送られる）がプロセス制御システム１００に侵入することを防止する。
したがって、データダイオード２１５は、フィールドゲートウェイ２１２に通信可能に接続された少なくとも１つの入力ポート２２０と、エッジゲートウェイ２１８に通信可能に接続された少なくとも１つの出力ポート２２２とを含む。データダイオード２１５はまた、その入力ポート２２２をその出力ポート２２２に接続する他の好適な技術の光ファイバまたは通信リンクを含む。データトラフィックがプロセス制御システム１００に流れる（例えば、そこに進入する）のを防ぐために、例示的実装形態では、データダイオード２１５は、エッジゲートウェイ２１８（またはより高いセキュリティレベルの他の構成要素）からデータを受信する入力ポートを除外または省略し、及びまたはフィールドゲートウェイ２１２（またはより低いセキュリティレベルの他の構成要素）にデータを送信するために出力ポートを除外または省略する。付加的または代替的な実装形態では、データダイオード２１５は、データが出力ポート２２２から入力ポート２２０に流れることを可能にする送受信機を除外、省略、及び／または無効にし、及び／または出力ポート２２２から入力ポート２２０にデータが流れるための物理的な通信経路を除外する。さらに付加的または代替的に、データダイオード２１５は、ソフトウェアを介して、例えば、エッジゲートウェイ２１８（またはより高いセキュリティレベルの構成要素）から出力ポート２２２で受信された任意のメッセージをドロップまたはブロックすることによって、及び／またはフィールドゲートウェイ２１２（またはより低いセキュリティレベルの構成要素）宛ての任意のメッセージをドロップまたはブロックすることによって、入力ポート２２２から出力ポート２２２への単方向データフローのみをサポートすることができる。
プロセスプラント１００から出て、データダイオード２１５を経由して入力ポート２２０から出力ポート２２２に送信されたデータは、暗号化によってデータダイオード２１５を経由してさらにセキュリティ保護されてもよい。一例では、フィールドゲートウェイ２
１２は、データを暗号化し、暗号化されたデータを入力ポート２２０に配信する。別の例では、データダイオード２１５は、フィールドゲートウェイ２１２からデータトラフィックを受信し、データダイオード２１５は、データを出力ポート２２２に送信する前に、受信したデータトラフィックを暗号化する。データダイオード２１５を経由して暗号化されて送信されるデータトラフィックは、一例ではＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）データトラフィックであり、別の例ではＪＳＯＮデータトラフィックまたは他の汎用通信フォーマットであってもよい。
フィールドゲートウェイ２１２は、データダイオード２１５の下位セキュリティ側をプロセス制御プラント１００に通信可能に接続する。図３に示すように、フィールドゲートウェイ２１２は、プロセスプラント１００のフィールド環境内に配設され、１つ以上のデバイスまたはデータソース２０２に通信可能に接続された無線ゲートウェイ２０５Ａ、２０５Ｂに通信可能に接続される。前述したように、デバイスまたはデータソース２０２及び無線ゲートウェイ２０５Ａ、２０５Ｂは、ＷｉｒｅｌｅｓｓＨＡＲＴ工業プロトコルまたは１つ以上のセキュリティ機構を介して安全な通信を提供するように構成された他の適切な無線プロトコルを使用して通信することができる。例えば、ＷｉｒｅｌｅｓｓＨＡＲＴ工業プロトコルは１２８ビットＡＥＳ暗号化を提供し、それに応じて通信経路２０４Ａ、２０４Ｂを保護することができる。
付加的に、無線ゲートウェイ２０５Ａ、２０５Ｂとフィールドゲートウェイ２１２との間の通信接続２２５は、通信接続２０４Ａ、２０４Ｂに利用されるのと同じまたは異なるセキュリティ機構を使用してそれぞれセキュリティ保護される。一例では、通信接続２２５は、ＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）ラッパーによってセキュリティ保護される。例えば、無線ゲートウェイ２０５Ａ、２０５Ｂは、ＨＡＲＴ−ＩＰフォーマットのパケットを生成し、フィールドゲートウェイ２１２への転送のためにＴＬＳラッパーによってセキュリティ保護される。
したがって、一実施形態では、前述したように、デバイス２０２によって生成されたデータまたはパケットは、第１のセキュリティ機構を使用して無線ゲートウェイ２０５Ａ、２０５Ｂへの転送２０４Ａ、２０４Ｂのためにセキュリティ保護され、その後、第２のセキュリティ機構を使用して無線ゲートウェイ２０５Ａ、２０５Ｂから、フィールドゲートウェイ２１２への転送２２５のためにセキュリティ保護され、第３のセキュリティ機構を使用してデータダイオード２１５を経由して転送するために引き続きセキュリティ保護され得る。
ここで、データダイオード２１５のより上位セキュリティ側に向けると、データダイオード２１５から出るデータトラフィックは、所望されれば、第４のセキュリティ機構を使用することによって、またはセキュリティ機構のうちの１つを使用することによって、上述したデータダイオード２１５のより下位セキュリティ側で使用されるセキュリティ機構のうちの１つを使用することによって、エッジゲートウェイ２１８への転送のためにセキュリティ保護され得る。付加的に、または代替的に、図３に示すように、エッジゲートウェイ２１８は、図１のファイアウォール１２Ｃまたは別のファイアウォールであってもよいファイアウォール２２８によって保護されてもよい。
エッジゲートウェイ２１８から遠隔システム２１０へのデータ転送は、プライベート企業ネットワーク、インターネット、セルラールータ、バックホールインターネットまたは他のタイプのバックホール接続などの１つ以上の公衆及び／またはプライベートネットワークを使用して配信することができる。注目すべきことに、エッジゲートウェイ２１８から遠隔システム２１０へ転送するデータは、第５のセキュリティ機構を使用することによって、または前述のセキュリティ機構の１つを使用することによってセキュリティ保護さ
れる。図３は、遠隔システム２１０に設けられたトークンサービス２３０を介して管理されることができるＳＡＳ（Ｓｈａｒｅｄ Ａｃｃｅｓｓ Ｓｉｇｎａｔｕｒｅ）トークンを介してセキュリティ保護されているとして、エッジゲートウェイ２１８から遠隔システム２１０に配信されるデータトラフィックを示す。エッジゲートウェイ２１８は、トークンサービス２３０を認証し、限られた時間期間、例えば２分、５分、３０分、１時間を超えて有効である可能性のあるＳＡＳトークンを要求する。エッジゲートウェイ２１８は、コンテンツデータがエッジゲートウェイ２１８から遠隔システム２１０に送信される遠隔システム２１０へのＡＭＱＰ（アドバンストメッセージキュープロトコル（Ａｄｖａｎｃｅｄ Ｍｅｓｓａｇｅ Ｑｕｅｕｉｎｇ Ｐｒｏｔｏｃｏｌ））接続をセキュリティ保護し、認証するためにＳＡＳトークンを受信し、使用する。当然のことながら、エッジゲートウェイ２１８と遠隔システム２１０との間のデータ転送をセキュリティ保護するためのＳＡＳトークン及びＡＭＱＰプロトコルの使用は、多くの可能性のあるセキュリティ機構のうちの１つに過ぎない。例えば、Ｘ．５０９証明書、他のタイプのトークン、ＭＱＴＴ（ＭＱ Ｔｅｌｅｍｅｔｒｙ Ｔｒａｎｓｐｏｒｔ）またはＸＭＰＰ（Ｅｘｔｅｎｓｉｂｌｅ Ｍｅｓｓａｇｉｎｇ ａｎｄ Ｐｒｅｓｅｎｃｅ Ｐｒｏｔｏｃｏｌ）などの他のＩＯＴプロトコルなどの任意の１つ以上の好適な、Ｉｎｔｅｒｎｅｔ−Ｏｆ−Ｔｈｉｎｇｓ（ＩＯＴ）セキュリティ機構が、エッジゲートウェイ２１８と遠隔システム２１０との間のデータ転送をセキュリティ保護するために利用することができる。これらの他の実施形態では、サービス２３０は、例えば、適切なセキュリティトークンまたは証明書を提供及び／または発行する。
遠隔システム２１０において、ユーザ認証及び／または許可は、任意の１つ以上の好適な認証及び／または許可セキュリティ機構２３２によって提供される。例えば、遠隔システム２１０への安全なアクセスは、ドメイン認証サービス、ＡＰＩユーザ認証サービス、及び／または任意の他の好適な認証及び／または許可サービス２３２によって提供されてもよい。したがって、認証及び／または許可サービス２３２を介して認証及び／または許可されたユーザ２３５のみが、遠隔システム２１０で利用可能な少なくとも一部のデータ、とりわけ、データデバイス２０２によって生成されたデータを含むデータにアクセスすることができる。
したがって、上述のように、セキュリティアーキテクチャ２００は、プロセスプラント１００内で動作して、例えばその送信を介してデータソース２０２によるデータの開始から遠隔システム２１０へ１つ以上の遠隔アプリケーションまたはサービス２０８によって操作されるプロセスを制御する間に、デバイスまたはデータソース２０２によって生成されたデータに対してエンドツーエンドのセキュリティを提供する。重要なことに、セキュリティアーキテクチャ２００は、このエンドツーエンドのセキュリティを提供し、プロセスプラント１００で悪意のある攻撃が発生するのを防止する。
なお、図３は、デバイスまたはデータソース２０２をフィールドゲートウェイ２１２に通信可能に接続する無線ゲートウェイ２０５Ａ、２０５Ｂを示しているが、いくつかの構成では、無線ゲートウェイ２０５Ａ、２０５Ｂのうちの１つ以上が省略され、ソースデータがデータソース２０２から直接フィールドゲートウェイ２１２に送信されることに留意されたい。例えば、データソース２０２は、プロセスプラント１００のビッグデータネットワークを介してフィールドゲートウェイ２１２にソースデータを直接送信することができる。一般的に、プロセスプラント１００のビッグデータネットワークは、バックボーンプラントネットワーク１１０ではなく、またはビッグデータネットワークは、工業用通信プロトコル（例えば、Ｐｒｏｆｉｂｕｓ、ＤｅｖｉｃｅＮｅｔ、Ｆｏｕｎｄａｔｉｏｎ Ｆｉｅｌｄｂｕｓ、ＣｏｎｔｒｏｌＮｅｔ、Ｍｏｄｂｕｓ、ＨＡＲＴなど）を使用してデバイス間で制御信号を送信するために使用される工業用プロトコルネットワークでもない。むしろ、プロセスプラント１００のビッグデータネットワークは、例えばデータ処理及
び解析目的のためにノード間でデータを流すプロセスプラント１００用に実装されたオーバーレイネットワークであってもよい。ビッグデータネットワークのノードは、例えば、データソース２０２、無線ゲートウェイ２０５Ａ、２０５Ｂ、及びフィールドゲートウェイ２１２、ならびに図２に示す、構成要素１１１、１１５〜１２２、１２６、１２８の任意の１つ以上、１３５、１４０、１４６、１５２、１５５、１５８、１６０、１７０、１７１〜１７６、１７８及び他の構成要素を含むことができる。したがって、プロセスプラントデータネットワークの多くのノードには、典型的には、工業通信プロトコルを利用するプロセスプラントオペレーションのための指定インターフェースと、例えばストリーミングプロトコルを利用するデータ処理／分析オペレーションのための別の指定インターフェースが含まれる。プロセスプラント１００において利用され得るビッグデータネットワークの例は、「プロセス制御システムにおける地域的ビッグデータ（Ｒｅｇｉｏｎａｌ Ｂｉｇ Ｄａｔａ ｉｎ Ｐｒｏｃｅｓｓ Ｃｏｎｔｒｏｌ Ｓｙｓｔｅｍｓ）」と題する、２０１４年１０月６日に出願された、米国特許出願第１４／５０７、１８８号に記載され、参照により本明細書に組み込まれる。
いくつかの実施形態では、図３に関して、有線ゲートウェイ（図示せず）を無線ゲートウェイ２０５Ａ、２０５Ｂのうちの１つの代わりに利用することができることにさらに留意されたい。さらに、フィールドゲートウェイ２１２、データダイオード２１５、及びエッジゲートウェイ２１８は、図３に示すボックス２３５によって示されるように、物理的に同じ場所に位置してもてもよく、または構成要素２１２、２１５、２１８のうちの１つ以上は、複数の場所を経由して物理的に位置してもよい。例えば、フィールドゲートウェイ２１２、データダイオード２１５、またはエッジゲートウェイ２１８のうちの１つ以上が、プロセスプラント１００に配設されてもよい。付加的に、または代替的に、フィールドゲートウェイ２１２、データダイオード２１５、またはエッジゲートウェイ２１８のうちの１つ以上が、プロセスプラント１００から遠隔地に配設されてもよい。
１００は、所望されれば、複数のフィールドゲートウェイ２１２によってサービスされてもよく、任意の数のフィールドゲートウェイ２１０が単一のエッジゲートウェイ２１８によってサービスされてもよい。いくつかの実施形態では、遠隔システム２１０は、所望されれば、複数のエッジゲートウェイ２１８によってサービスされる。
前述したように、データダイオード２１５を経由して転送されるデータトラフィックはセキュリティ保護される。そのようなデータトラフィックは、例えば、シリアル通信またはＵＤＰ通信を使用することによって、データダイオード２１５を経由して通信され得る。しかしながら、双方向通信なしでこのような通信をセキュリティ保護することは困難かつ扱いにくく、一般的にＵＤＰ通信とシリアル通信の両方は、両方に双方向通信（データダイオード２１５を使用することは不可能である）するだけでなく、長いキーシーケンスを記憶し、入力する必要がある。したがって、従来の双方向通信を使用して単方向データダイオード２１５を経由してデータ転送をセキュリティ保護するのではなく、転送されたデータを、エッジゲートウェイ２１８とフィールドゲートウェイ２１２との間で利用されるセキュリティプロビジョニングプロセスを介してセキュリティ保護することができる。セキュリティプロビジョニングプロセスは、エッジゲートウェイ２１８とフィールドゲートウェイ２１２（例えば、対称キーまたは対称マテリアル）、例えば、結合キー、の間で共有化される固有の初期キーまたは機密マテリアルを確立する。結合キーを使用して、エッジゲートウェイ２１８及びフィールドゲートウェイ２１２は、データダイオード２１５を経由して安全にデータトラフィックを転送するために利用されるさらなるキーまたは機密マテリアルを交換するために使用される安全な接続を確立する。
図４は、セキュリティプロビジョニングプロセスに使用され得る例示的なメッセージフロー２５０を示す。図４では、フィールドゲートウェイ２１２及びエッジゲートウェイ２
１８は、両方、フィールドゲートウェイ２１２をエッジゲートウェイ２１８にプロビジョニングするためにユーザによって操作されるプロビジョニングサーバまたはコンピューティングデバイス２５２と同様に、プロビジョニングネットワーク（例えば、同じサブネット、図示せず）上に含まれる。プロビジョニングネットワークを介して、一実施形態では、フィールドゲートウェイ２１２及びエッジゲートウェイ２１８は、例えばＴＣＰタイプの通信を使用して、プロビジョニングをセットアップするために相互に一時的に双方向に通信することができる。
例えば、参照番号２５５で、ユーザは、プロビジョニングデバイス２５２を介してエッジゲートウェイ２１８のユーザインターフェース（ＵＩ）にログインし、それに対して認証される。例えば、エッジゲートウェイ２１８のＵＩは、ウェブインターフェース、または他の何らかの好適なＵＩであってもよい。エッジゲートウェイ２１８のプロビジョニングページまたは表示ビューを介して、ユーザは、フィールドゲートウェイ２１２のアドレス（例ではＩＰアドレスであってもよい）を入力し（参照番号２５８）、エッジゲートウェイ２１８にフィールドゲートウェイ２１２のためのホワイトリストエントリーを作成させる（参照番号２６０）。その後、エッジゲートウェイ２１８は、データ移送に使用されるフィールドゲートウェイ２１２の資格情報をプロビジョニングデバイス２５２に要求する（参照番号２６２）。
エッジゲートウェイの要求に応答して、ユーザは、プロビジョニングデバイス２５２を介して、フィールドゲートウェイ２１２の認可及びセキュリティ情報を提供する（参照番号２６５）。該認可情報及びセキュリティ情報は、典型的には（必ずしもそうではないが）、フィールドゲートウェイ２１２と共有化されるべき初期キーマテリアルを含む。一例では、初期キーマテリアルは、１２８ビット、１９２ビット、または２５６ビットの結合キーを含み、パケット暗号化／復号化のため、及び場合によってはパケットに対して遂行されたＭＩＣ（メッセージ整合性チェック（Ｍｅｓｓａｇｅ Ｉｎｔｅｇｒｉｔｙ Ｃｈｅｃｋ））計算のために、ノンスの一部として使用される３２ビットまたは６４ビットのパケットカウンタを含む。例えば、パケットカウンタの値は、ネットワーク再生攻撃に対する防御を助けるために、各々の送信のノンスで増加、変更、または更新される。いずれにしろ、エッジゲートウェイ２１８は、初期キーマテリアルのローカルコピーを暗号化して格納し、初期キーマテリアルならびにエッジゲートウェイ２１８の１つ以上のアドレス（例えば、ＩＰアドレス及び／またはエッジゲートウェイ２１８のＭＡＣアドレス）をフィールドゲートウェイ２１２に送信する（参照番号２６８）。フィールドゲートウェイ２１２で、フィールドゲートウェイ２１２が初期キーマテリアルのローカルコピーならびにエッジゲートウェイ２１８のアドレスを暗号化して格納し、エッジゲートウェイ２１８への受信を確認する（参照番号２７０）。
その後、フィールドゲートウェイ２１２は、例えばＵＤＰを使用することによって、データダイオード２１５を経由してエッジゲートウェイ２１８との単方向通信を開始する。具体的には、フィールドゲートウェイ２１２は、後続のメッセージの暗号化と整合性チェックに使用される新たにランダムに生成されたネットワークキー及びランダムに生成されたパケットカウンタ（例えば、ノンス及びＭＩＣ計算に使用される）を含む初期メッセージをエッジゲートウェイ２１８に送信する。新しいネットワークキー及びそれぞれのパケットカウンタは、初期キーマテリアル、例えば、結合キー及びそのそれぞれのパケットカウンタを使用して暗号化される（参照番号２７２）。エッジゲートウェイ２１８は、ローカルな場所に格納された初期キーマテリアルを使用して受信した初期メッセージを復号化し、新しいネットワークキー及びパケットカウンタを格納し（参照番号２７５）、パケットカウンタに格納されたネットワークキーを使用して、フィールドゲートウェイ２１２からその後受信したメッセージまたはパケットを復号化する。
図４に示すように、エッジゲートウェイ２１８が、新しいネットワークキーを使用して暗号化され、新しいパケットカウンタ（参照番号２７８、２８０）を含むフィールドゲートウェイ２１２からの第１のメッセージを受信すると、セキュリティ保護されたプロビジョニングプロセスは完了したと見なされ、プロビジョニングデバイス２５２は、メッセージフロー２５０には、もはや含まれなくてもよいことに留意されたい。結果として、一実施形態では、エッジゲートウェイ２１８からフィールドゲートウェイ２１２へ通信するために利用された一時的な通信チャネル（例えば、参照で利用された２６８）が削除されたり、無効にされたり、利用できなくなったりする。しかしながら、フィールドゲートウェイ２１２は、格納されたネットワークキー及びパケットカウンタ（参照番号２８２）を使用して、単方向データダイオード２１５を経由してエッジゲートウェイ２１８にデータを送信し続け、エッジゲートウェイ２１８は、受信したメッセージを、格納されたカウンタ及びパケットカウンタを使用して復号化し続ける（参照番号２８５）。
しかし、いくつかの実施形態では、フィールドゲートウェイ２１２及びエッジゲートウェイ２１８は、プロビジョニングデバイス２５２のネットワークからの切断時に、またはメッセージフロー２５０中の早期に、データダイオード２１５を経由して単方向通信に戻る。例えば、エッジゲートウェイ２１８は、初期の、結合キーマテリアルをフィールドゲートウェイ２１２に送信すると単方向通信に戻り（参照番号２６８）、フィールドゲートウェイ２１２は、初期キーマテリアルの受信の確認を送信すると単方向通信に戻ることができる（参照番号２７０）。
単方向データダイオード２１５を経由するデータ送信の堅牢性及び信頼性のために、フィールドゲートウェイ２１２は、エッジゲートウェイ２１８との新たなまたは更新されたネットワークキー材料を確立するために、別の初期化メッセージ及びそれぞれのランダムパケットカウンタを生成する。例えば、フィールドゲートウェイ２１２は、初期結合キーマテリアルを使用して暗号化され、新たまたは更新されたネットワークキーと、対応する新たなまたは更新されたパケットカウンタ）を含む別の初期化メッセージを送信する（参照番号２８８。初期結合キーマテリアルは、フィールドゲートウェイ２１２及びエッジゲートウェイ２１８（例えば、参照番号２６５、２６８、２７０参照）に予め格納され、更新されたネットワークキー及びランダムパケットカウンタは、例えば、フィールドゲートウェイ２１２においてランダムに生成される。
参照番号２９０において、エッジゲートウェイ２１８は、例えば、ホワイトリスト及び／または新しい初期化メッセージが受信されたアドレスをチェックすることによって、受信した初期化メッセージを検証する。エッジゲートウェイ２１８は、受信した新しい初期化メッセージが有効であると判断した場合、エッジゲートウェイ２１８は、ローカルな場所に格納された初期結合キーマテリアルを用いて初期化メッセージを復号化し、フィールドゲートウェイ２１２から受信される将来のメッセージの処理に利用するため新たな／更新されたネットワークキーを保存する。例えば、フィールドゲートウェイ２１２は、新たな／更新されたネットワークキー及びランダムパケットカウンタを使用して暗号化される後続のメッセージを送信し（参照番号２９２、２９５）、エッジゲートウェイ２１８は、格納された新たな／更新されたネットワークキー及びランダムパケットカウンタを使用して、受信したメッセージを復号化する（参照番号２９８、３００）。
フィールドゲートウェイ２１２は、反復的に、周期的に、または所望される際、例えば、ユーザコマンド発生または別のイベントの発生の結果として、更新されたまたは新たなネットワークキー及びそれぞれのランダムパケットカウンタを確立するために、新たなまたは更新された初期化メッセージ（例えば、参照２７５、２８８など）を送信することを繰り返す。フィールドゲートウェイ２１２とエッジゲートウェイ２１８との間の通信はデータダイオード２１５を経由する単方向であるため、フィールドゲートウェイ２１２は、
エッジゲートウェイ２１８が実際にフィールドゲートウェイ２１２によって送信されたデータを受信していることを明示的に確認することはない。したがって、フィールドゲートウェイ２１２は、新たな／更新されたネットワークキー及び対応するランダムパケットカウンタを含む新たな／更新された初期化メッセージを反復的に送信することによって、フィールドゲートウェイ２１２とエッジゲートウェイ２１８との間で共有化されるネットワークキーマテリアルを再同期させることができる。この再同期技術により、エッジゲートウェイに障害が発生して交換または再起動されたとき、及び／またはパケットが欠落したときなど、エラーまたは障害状況中の回復が可能になる。ネットワークキーマテリアル再同期化の期間の長さは、アプリケーション依存性であり得、例えば、失われたパケットまたはデータに対するアプリケーション（例えば、アプリケーションまたはサービス２０８のうちの１つ）の許容差によって管理され、構成可能であり得る。
したがって、上述したように、エッジゲートウェイ２１８（参照番号２６８）及びフィールドゲートウェイ２１２（参照番号２７０）に格納されている初期プロビジョニングされた結合キー及びランダムパケットカウンタまたはノンスマテリアルを利用して、初期ランダムネットワークキー及びランダムパケット開始カウンタ（２７５）を提供する初期の初期化メッセージを暗号化／復号化し、後続の通信は、初期化メッセージに含まれるランダムネットワークキー及びパケットカウンタを利用してそこで送信されるデータを暗号化／復号化する。反復的に、周期的に、または、所望されるときに、フィールドゲートウェイ２１２は、初期結合キーマテリアルを使用して暗号化／復号化され、新たな／更新されたランダムネットワークキー及びランダムパケット開始カウンタを提供する新たなまたは更新された初期化メッセージを生成する（参照２８８）。新たな／更新された初期化メッセージの後に送信される通信は、その中で送信されるデータを暗号化／復号化するための新たな／更新されたランダムネットワークキー及びパケットカウンタの影響を受ける。したがって、エッジゲートウェイ２１８は、新しいネットワークキー情報に移行する際に故障により到着しない可能性のあるパケットをある時間の間に処理することができるように、以前に使用されたネットワークキー情報及び新しいネットワークキー情報を同時に格納することができる。
図４に示すように、メッセージフロー２５０は、プロビジョニングネットワーク及びプロビジョニングデバイス２５２を利用して、フィールドゲートウェイ２１２とエッジゲートウェイ２１８との間の安全なプロビジョニングプロセスを遂行する。しかしながら、これは多くの可能な実施形態のうちの１つに過ぎない。
例えば、別の実施形態では、フィールドゲートウェイ２１２及びエッジゲートウェイ２１８は、プロビジョニングネットワーク上になく、同じネットワーク上にいなくてもよい。この実施形態では、フィールドゲートウェイ２１２及びエッジゲートウェイ２１８を安全にプロビジョニングするために、ユーザはエッジゲートウェイ２１８に直接認証し、セキュリティ情報またはフィールドゲートウェイ２１２を記述するデータを提供する。例えば、ユーザは、エッジゲートウェイ２１８でそのホワイトリストエントリーのためにフィールドゲートウェイ２１２のＩＰアドレスを提供し、ユーザは、例えば、図４の参照２６５によって上で議論したのと同様の方法で、セキュリティ情報または初期キーマテリアルを提供する。セキュリティ情報は暗号化され、フィールドゲートウェイ２１２との通信に使用するためにエッジゲートウェイ２１８に格納される。付加的に、暗号化されたセキュリティ情報は、それぞれ暗号化され得る別々のファイルに保存される。別々のファイルは、例えば、ユーザによって、フィールドゲートウェイ２１２に転送される。ユーザはフィールドゲートウェイ２１２を直接認証し、フィールドゲートウェイ２１２で使用するために別個のファイルを提供する。フィールドゲートウェイ２１２は、別個のファイルを検証し（必要に応じてファイルを復号化する）、その中に格納されているセキュリティ情報（例えば、初期キーマテリアル）を取得し、取得したセキュリティ情報を暗号化し、データ
ダイオード２１５を経由してエッジゲートウェイ２１８との将来の通信に使用するために暗号化されたセキュリティ情報をローカルな場所に格納する。
別の実施形態では、ＵＤＰの代わりに、シリアル通信を使用してデータダイオード２１５を経由してデータが転送される。この実施形態では、セキュリティ保護されたプロビジョニングプロセスは、フィールドゲートウェイ２１２及びエッジゲートウェイ２１８をプロビジョニングするために上述したものと同様であってもよく、ゲートウェイ２１２、２１８は、プロビジョニングネットワーク上に存在しないか、または別個のネットワーク上にある。
いくつかの実装形態では、セキュリティ保護されたＴＣＰ、ＵＤＰ、及び／またはデータダイオード２１５を経由するシリアル通信の下に、データダイオード２１５を経由してプロセスプラントで生成されたデータを送信するために利用される通信プロトコルは、修正ＨＡＲＴ−ＩＰプロトコルであってもよいし、例えばＦｉｅｌｄｂｕｓのような、任意の既知の工業通信プロトコルへの修正であってもよい。
ＨＡＲＴ−ＩＰプロトコルを例示的であるが非限定的な例として使用するために、ＨＡＲＴ−ＩＰプロトコルを活用して、プロセスプラント１００内で動作するデバイス１０２から遠隔システム２１０へのエンドツーエンド通信に対する付加的なセキュリティをさらに提供することができる。特に、ＨＡＲＴ−ＩＰ及びＨＡＲＴに含まれるパブリッシングメカニズムは、データダイオード２１５を経由して単方向通信をサポートするために独特の方法で活用され、その結果、プロセスプラント１００で生成されたデータが、データダイオード２１５を経由してフィールドゲートウェイ２１２とエッジゲートウェイ２１８との間で送信されるメッセージまたはパケットを介して遠隔アプリケーション２０８に配信され得る（例えば、図４の参照番号２７８、２８２、２９２、２９５によって示されるように）。
修正されたＨＡＲＴ−ＩＰプロトコルパケットは、トークンパッシングデータリンク層フレームフォーマット（Ｔｏｋｅｎ−Ｐａｓｓｉｎｇ Ｄａｔａ−Ｌｉｎｋ Ｌａｙｅｒ
Ｆｒａｍｅ Ｆｏｒｍａｔ）であってもよく、及び／または直接／無線パケットフォーマット（Ｄｉｒｅｃｔ／Ｗｉｒｅｌｅｓｓ Ｐａｃｋｅｔ Ｆｏｒｍａｔ）であってもよい。例えば、ＨＡＲＴ−ＩＰヘッダは、セキュリティタイプの指標（例えば、ヘッダのメッセージタイプ（Ｍｅｓｓａｇｅ Ｔｙｐｅ）フィールドの値として）などのセキュリティ情報を含むように修正されてもよく、Ｈａｒｔ−ＩＰセッション初期化メッセージは、初期セキュリティキーマテリアル情報及び／または他のＨＡＲＴメッセージタイプ（例えば、リクエスト（Ｒｅｑｕｅｓｔ）、リスポンス（Ｒｅｓｐｏｎｓｅ）など）は、ネットワークセキュリティキーフィールド及びネットワークセキュリティカウンタフィールドを含むようにされてもよい。
データダイオード２１５を経由する通信をセキュリティ保護するための修正されたＨＡＲＴ−ＩＰプロトコルの使用例を、図５に示す。図５は、１つ以上の送信デバイス４０２によって生成されたプロセスプラントデータを、データダイオード２１５を経由して１つ以上の受信デバイス４０５に配信するために使用され得る例示的なメッセージフロー４００を示す。一般的に言えば、送信デバイス４０２は、最初に受信デバイス４０５にディスカバリ情報を提供して、データダイオード２１５を経由して送信されるコンテンツまたはペイロードデータのコンテキストを設定する。ディスカバリ情報は、受信デバイス４０５が、どのデータ生成構成要素またはデバイスが、データダイオード２１５のプロセスプラント側にあるか、プロセスプラント側構成要素によって生成されるデータのタイプ及び／またはアイデンティティ、生成されたデータが受信デバイス４０５に到着すると予想される速度、様々なデータ生成構成要素またはデバイスの状態などを知ることを可能にする。
重要なことに、ディスカバリ情報により、受信デバイス４０５が、データダイオード２１５の単方向性のために行うことができない受信デバイス４０５がデータダイオード２１５のプロセスプラント側の構成要素デバイスを問い合わせるまたは質問することを必要とせずに、受信デバイス４０５がこの知識を得ることができる。
ディスカバリ情報が送信デバイス４０２によって受信デバイス４０５に供給された後、送信デバイス４０２は、例えば、送信デバイス４０２がソースデータを生成するとき、及び／または送信デバイス４０２がプロセスプラント１００内の１つ以上の他の構成要素からソースデータを受信するときに、リアルタイムでディスカバー情報を提供されたコンテキストに従って、変更されたＨＡＲＴ−ＩＰプロトコルを使用して、データダイオード２１５を経由してコンテンツまたはペイロードデータをパブリッシュする。したがって、受信デバイス４０５は、送信デバイス４０２によってパブリッシュされるデータのサブスクライバであってもよい。
付加的に、データダイオード２１５の単方向性のために、送信デバイス４０２は、受信デバイス４０５の状態を識別することができず（例えば、受信デバイス４０５が動作しているか、パワーサイクルされているか、切断されているかなど）、受信デバイス４０５が送信されたデータを受信したかどうかを明示的に判定することはできない。したがって、送信デバイス４０２は、受信デバイス４０５に反復的に（例えば、周期的に、及び／または所望されるときに）、ディスカバリ情報を提供、送信、または告知するので、受信デバイス４０５が使用不能になった場合、送信デバイス４０２によって送信されるコンテンツまたはペイロードデータのコンテキストを迅速に（再）理解することができる。ディスカバリ情報を送信する間の時間期間の長さは、失われたパケットまたはデータについてのデータダイオード２１５の受信デバイス側のクライアントアプリケーション（例えば、遠隔アプリケーションまたはサービス２０８のうちの１つ）の許容差に依存し得、かつ構成可能であり得る。ディスカバリ情報はまた、データソース２０２及び／または無線ゲートウェイ２０５がプロセスプラント１００に追加またはプロセスプラント１００から除去される場合など、送信デバイス４０２側の変更が生じたときに送信されてもよい。
送信デバイス４０２は、フィールドゲートウェイ２１２、無線ゲートウェイ２０５、データソースデバイス２０２、及び／またはプロセスプラント１００内で動作する１つ以上の構成要素もしくはデバイスによって生成されたデータを提供する任意の他の構成要素であってもよい。受信デバイス４０５は、エッジゲートウェイ２１８、遠隔システム２１０を含む１つ以上のデバイス、及び／またはソースデータのコンシューマであるクライアントアプリケーション（例えば、遠隔アプリケーションまたはサービス２０８のうちの１つ）であってもよい。しかしながら、図５では、説明を簡単にするために、メッセージフロー４００は、送信デバイス４０２が図３のフィールドゲートウェイ２１２であり、受信デバイス４０５は、図３のエッジゲートウェイ２１８であるかのように説明されるが、これは多数の可能な実施形態のうちの１つに過ぎないことが理解される。
コンテキスト設定フェーズ４０８中、送信デバイス４０２は、データがデータダイオード２１５を経由して送信されるべきプロセスプラント１００の各々のデータソースを記述するそれぞれの情報を送信する。記述データソース情報は、例えば、データソースのアイデンティティ（例えば、一意の識別子、デバイスタグなど）、データのアイデンティティ（例えば、プライマリ変数（ＰＶ）、セカンダリ変数（ＳＶ）、第３変数（ＴＶ）、第４変数（ＱＶ）などの１つ以上のそのダイナミック変数へのマッピング情報を含むことができる）、識別されたデータが到着すると予想される速度の指標（例えば、バースト構成情報）、及び／または、例えばデータソースが通信可能に接続された特定のゲートウェイを示すデータ、データソースの状態、そのゲートウェイの状態などのデータ及び／またはデータソースを記述する他の情報を含む。図５に示すように、一実施形態では、送信デバイ
ス４０２は、コンテキスト設定フェーズ４０８中に、データソースデバイス２０２ごと、無線ゲートウェイ２０５ベースごとに反復する。例えば、送信デバイス４０２は、例えば無線ゲートウェイ２０５Ａ、２０５Ｂのうちの１つであってもよい無線ゲートウェイ０（参照番号４１０）の記述情報を送信する。送信デバイス４０２は、例えば、修正されたＨＡＲＴ−ＩＰコマンド０、２０、または７４を使用することによって、無線ゲートウェイ０の記述情報を送信することができる。続いて、送信デバイス置４０２は、例えば修正されたＨＡＲＴ−ＩＰコマンド０、２０、５０、１０５、及び任意選択で、サブデバイスバーストマッピングのためのコマンド７４及び１０１を使用して、ゲートウェイ０に通信可能に接続されたＮ個のデバイスの各々についてのそれぞれの記述情報を送信する（参照番号４１２）。このシーケンスは、Ｍ個のゲートウェイの各々について繰り返され、コンテキスト設定フェーズ４０８は、ゲートウェイＭ及びそのそれぞれのＮ個のデバイスに関する記述情報が受信デバイス４０５（参照４１５、４１８）に送信された後に終了する。
パブリッシュフェーズ４２０中に、送信デバイス４０２は、コンテキスト設定フェーズ４０８中にコンテキストが設定されたデータソースデバイス２０２のいずれかのデータダイオード２１５を経由してソースデータをパブリッシュする。一例では、送信デバイス４０２は、修正されたＨＡＲＴ−ＩＰコマンド４８または他の好適なＨａｒｔ−ＩＰコマンドを使用することによって、データダイオード２１５を経由してソースデータをパブリッシュする。特定のソースデータは、ソースデータが送信デバイス４０２で、例えばデバイス２０２からそのそれぞれの無線ゲートウェイ２０５を介して受信される速度でパブリッシュされる。すなわち、プロセスプラント１００のオンライン動作中、プロセスプラント１００によって生成されたソースデータは、送信デバイス４０２によって受信されるとリアルタイムでデータダイオード２１５を経由してパブリッシュされる。プロセスプラント１００のいくつかのデータ生成構成要素（例えば、データソースデバイス２０２のいくつか及び／または無線ゲートウェイ２０５の一部）は、データダイオード２１５を経由する配信のためにフィールドゲートウェイ２１２に直接データをパブリッシュしてもよいことに留意されたい。プロセスプラント１００の他のデータ生成構成要素（例えば、データソースデバイス２０２及び／または無線ゲートウェイ２０５の他のもの）は、パブリッシュをサポートしていなくてもよく、フィールドゲートウェイ２１２は、これらのタイプのデバイス／ゲートウェイをポーリングして、これらのそれぞれのソースデータを受信してもよい。例えば、フィールドゲートウェイ２１２は、例えばＨＡＲＴ−ＩＰコマンド３または９を使用することによって、パブリッシュをサポートしないデバイス／ゲートウェイのバースト構成に基づいてポーリングすることができる。
前述したように、所定の時間が経過した後、または所望されるときに、コンテキスト情報４１０〜４１８の少なくとも一部が、送信デバイス４０２によって受信デバイス４０５に再送信または更新される。一実施形態では、ゲートウェイ０〜Ｍ及びそれぞれのデバイス１〜Ｎのコンテキストデータ４１０〜４１８の全体が再送信または更新される。別の実施形態では、特定のデバイスに対する特定のコンテキストデータは、例えば、失われたデータまたはパケットに対する特定のコンシューマの許容差に基づいて、データの特定のコンシューマに必要とされる様々な異なる時間に再送信または更新される。これらの実施形態では、異なるデバイスは、これらのそれぞれのコンテキストデータが再送信または更新される異なる周期性または間隔を有することができる。
付加的に、上記のメッセージフロー４００は、データダイオード２１５がイーサネット接続されたデータダイオードである実施形態で説明されていることに留意されたい。しかしながら、所望されれば、直列接続されたデータダイオードにも同様の技術を容易に適用することができる。さらに、上記のメッセージフロー４００は、ＨＡＲＴ−ＩＰプロトコルを使用して説明されたが、メッセージフロー４００のコンテキストフェーズ４０８及びデータ配信フェーズ４２０中において、他の通信プロトコルを利用することもできる。い
くつかの構成例では、ＨＡＲＴ−ＩＰ以外の工業通信プロトコル（例えば、Ｐｒｏｆｉｂｕｓ、ＤｅｖｉｃｅＮｅｔ、Ｆｏｕｎｄａｔｉｏｎ Ｆｉｅｌｄｂｕｓ、ＣｏｎｔｒｏｌＮｅｔ、Ｍｏｄｂｕｓ、ＨＡＲＴなど）を利用することができる。他の例示的な構成では、工業通信用に特に設計されていない他のプロトコルが、メッセージフロー４００のコンテキストフェーズ４０８及びデータ配信フェーズ４２０中に利用されてもよい。
例えば、一実施形態では、ＨＡＲＴ−ＩＰを使用する代わりに、ＪＳＯＮ（ＪａｖａＳｃｒｉｐｔ(登録商標) Ｏｂｊｅｃｔ Ｎｏｔａｔｉｏｎ）フォーマットを使用してデータダイオード２１５を経由してパケットを送信することができる。この実施形態では、フィールドゲートウェイ２１２は、プロセスプラント１００内の様々なデバイス及び構成要素から受信したデータを、データダイオード２１５を経由して配信するためのＪＳＯＮフォーマットに変換する。所望されれば、追加の意味を持つラベル（例えば、「ＰＶ」ではなく「ＰＲＥＳＳＵＲＥ」、様々なデータ値に対するデバイス固有のラベルなど）を提供するなど、ＪＳＯＮパケットデータの拡張を追加できる。
さらに、上記の図５の説明は、送信ゲートウェイ４０２がフィールドゲートウェイ２１２であり、受信デバイス４０５がエッジゲートウェイ２１８であるかのように生成するメッセージフロー４００を説明しているが、これは多くの実施形態のうちの１つに過ぎない。例えば、メッセージフロー４００の他の実施形態では、送信デバイス４０２は、フィールドゲートウェイ２１２、無線ゲートウェイ２０５、データソースデバイス２０２、及び／またはプロセスプラント１００内で動作する１つ以上の構成要素またはデバイスによって生成されたデータを提供する任意の他の構成要素、及び受信デバイス４０５は、エッジゲートウェイ２１８、遠隔システム２１０を含む１つ以上のデバイス、及び／またはソースデータのコンシューマであるクライアントアプリケーション（例えば、遠隔アプリケーションまたはサービス２０８のうちの１つ）であってもよい。例えば、クライアントアプリケーション２０８の第１のものは、データダイオード２１５を経由してパブリッシュされた特定のデバイス２０２によって生成されたデータにサブスクライブすることができ、クライアントアプリケーション２８の第２のものは、別の特定のデバイス２０２によって生成されたデータにサブスクライブすることができる。この例では、エッジゲートウェイ２１８は、受信データをそれぞれのデータサブスクライバに配信するためのルータとして機能することができる。別の例では、エッジゲートウェイ２１８は、受信した全てのデータをデータダイオード２１５を経由してパブリッシュし、様々なアプリケーション２０８は、エッジゲートウェイ２１８によってパブリッシュされた特定のデータにサブスクライブする。他のパブリッシャ／サブスクライバ関係も可能であり、本明細書で説明するセキュリティ保護された通信技術のいずれか１つ以上によってサポートされてもよい。
さらに、セキュリティ保護された通信技術のうちの任意の１つ以上を、プロセスプラント１００にローカルなシステム及び／またはデバイスに送信されるセキュリティ保護されたデータに容易に適用することができる。例えば、セキュリティアーキテクチャ２００のそれぞれのデータダイオード２１５及び／またはインスタンスを使用して、プロセスプラント１００のＤＭＺ２２を経由して選択された（または全ての）データをパブリッシュし、プロセスプラント１００のセキュリティレベル０〜３で生成されたデータＤＭＺ２２を介してレベル４〜５の企業システムに、それぞれのデータダイオードを介して安全に配信される。別の例では、それぞれのデータダイオード２１５及び／またはセキュリティアーキテクチャ２００のインスタンスは、プロセスプラント１００に配設された１つ以上のデータソース２０２から選択された（または全ての）データをプロセスプラント１００内またはローカルな場所に配設され、ローカルサービス及びアプリケーションをホストまたは提供する１つ以上のローカルサーバにパブリッシュするために利用することができる。このような構成は、例えば、ローカルなサービス及びアプリケーションが、ダウンロードされるか、または他の方法でオンラインプロセスプラント１００に実装されるローカルな規
範的変更を生成する場合に有益であるが、一般的に、規範的機能、構成及び／またはデータの修正、及び／または他の変更を、遠隔地に位置するアプリケーション及びサービス２０８によってプロセスプラント１００に実装することができる。
しかし、アプリケーション／サービス２０８によって決定される任意の規範的変更は、データダイオード２１５が、プロセスプラント１００に関して出力方向において単方向であるため、データダイオード２１５以外の何らかの他の通信機構を介してプロセスプラント１００に一般的に実装されることに留意されたい。例えば、プロセスプラント１００への規範的変更を実施するために、遠隔アプリケーション／サービス２０８は、データダイオード２１５を介する以外の、オペレータワークステーション１７１、構成アプリケーション１７２Ａ、構成データベース１７３Ｂなどのプロセスプラント１００の１つ以上の管理またはバックエンド構成要素への接続を確立することができ、規範的変更はプロセスプラント１００にダウンロードされるか、さもなければ配信される。実際、一実施形態では、データダイオード２１５及び／またはセキュリティアーキテクチャ２００の別のインスタンスを、進入方向に確立して、遠隔アプリケーション／サービス２０８からプロセスプラント１００への規範的変更を安全に配信することができる。
さらに、一般的に言えば、遠隔システム２１０からプロセスプラント２１０への進入通信は、典型的には、出力データダイオード２１５及び／または出力セキュリティアーキテクチャ２００以外の通信機構を利用する。例えば、遠隔システム２１０は、進入方向に適用されたデータダイオード２１５及び／またはセキュリティアーキテクチャ２００の別のインスタンス、または他の何らかの好適なセキュリティ保護された接続または通信経路を利用することができる。
ここで、プロセスプラント１００からのセキュリティ保護された出力通信に戻ると、図６は、図２のプロセスプラント１００などのプロセスプラントから通信を安全に転送するための例示的な方法４５０のフロー図を示す。いくつかの実施形態では、方法４５０の少なくとも一部分は、１つ以上の固定コンピュータ読み取り可能メモリに格納されたコンピュータ実行可能命令またはコンピュータ読み取り可能命令のセットを実行することによって実装され、例えば、システム２００の１つ以上のプロセッサによって実行される。例えば、方法４５０の少なくとも一部分は、フィールドゲートウェイ２１２または送信デバイス４０２のような、図１〜５に示されるシステム２００の１つ以上の構成要素によって遂行されてもよい。したがって、方法４５０は、図１〜５を同時に参照して以下に説明されるが、しかしながら、これは説明を簡単にするためのものであって、限定目的のものではない。
ブロック４５２において、方法４５０は、プロセスプラントの送信デバイスを受信デバイスでプロビジョニングすることを含む。送信デバイスは、（例えば、１つ以上の好適なネットワークを介して）プロセスプラントに通信可能に接続され、受信デバイスは、例えば、１つ以上の好適なネットワークを介して別のシステムに通信可能に接続される。他のシステムは、実行時、オペレーション中にプロセスプラントによって生成されたデータ、及び任意選択でプロセスプラントによって生成される他のデータ上で動作するように構成された１つ以上のアプリケーションまたはサービスをホストする。送信デバイスは、例えば、送信デバイス４０２であってもよく、受信デバイスは、例えば、図５に示す受信デバイス４０５であってもよい。このように、送信デバイス４０２は、フィールドゲートウェイ２１２、データソースデバイス２０２、無線ゲートウェイ２０５、またはプロセスプラント１００の別の構成要素であってもよく、受信デバイスは、エッジゲートウェイ２１８、遠隔システム２１０、または遠隔システム２１０に含まれるコンピューティングデバイス、または遠隔システム２１０で実行されるアプリケーションまたはサービス２０８であってもよい。当然のことながら、送信デバイス及び／または受信デバイスの他の実施形態
、例えば上述したもののいずれかが可能である。
送信デバイス及び受信デバイスは、図３月のデータダイオード２１５などのデータダイオードを介して相互接続される。データダイオードは、送信デバイスから受信デバイスに単方向通信を送信できるように構成され、受信デバイスから送信デバイスに通信が送信されないように構成されている（一実施形態では、初期プロビジョニングメッセージの他に）。
受信デバイスへの送信デバイスのプロビジョニング（ブロック４５２）は、結合キーとも称される第１のキーを使用して遂行される。結合キーは、機密キーまたは共有化機密であってもよく、例えば、送信デバイス及び／または受信デバイスに通信可能に接続されたプロビジョニングデバイスを介して、または手動データ転送を介して、ユーザによって提供されてもよい。いくつかの構成では、第１のパケットカウンタ（結合パケットカウンタとも称される）または他のそれぞれのノンスマテリアルが、結合キーと共に提供される。結合キー及び／または結合パケットカウンタは、所望されれば、ランダムに生成されてもよい。
いくつかの実施形態では、送信デバイスをプロビジョニングすること（ブロック４５２）は、受信デバイスから送信デバイスへの通信が結合キーを送信及び／または検証できるように一時的通信チャネルを確立することを含む。一時的通信チャネルは、データダイオードを介して確立されてもよいし、外部有線または無線接続、可搬型格納デバイスを介する手動転送などの他の何らかの通信接続を介して確立されてもよい。これらの実施形態では、受信デバイスによる結合キーの送信及び／または送信デバイスでの結合キーの受信時に、一時的通信チャネルは、失効、削除、または無効化される可能性がある。一般的に言えば、一時的通信チャネルは、送信デバイスと受信デバイスとの間で第１または結合キーを共有化する役割しか果たしない。初期キーマテリアル（例えば、結合キー及びそのそれぞれのパケットカウンタまたは他のノンスマテリアル）が共有化された後、初期キーマテリアルは、ローカルな場所に暗号化され、送信デバイス及び受信デバイスの両方にそれぞれ格納される。
方法４５０は、例えば、送信デバイスによって、第１または結合キーを使用して初期化メッセージを暗号化すること（ブロック４５５）、及び暗号化された初期化メッセージをデータダイオードを経由して受信デバイスに提供することを含む（ブロック４５８）。初期化メッセージは、データダイオードを経由して送信デバイスから受信デバイスに送信される後続のメッセージまたはパケットを処理するために、送信デバイス及び受信デバイスによって利用される、本明細書ではネットワークキーとも称される第２のキーを内部に含む。第２のキーは、例えば、別の機密キーまたは共有化機密キーであってもよい。第２またはネットワークキーを使用して処理される後続のメッセージまたはパケットの少なくとも一部は、生成されたプロセスデータ、診断データ及び他のタイプのデータなどのプロセスを制御するためにリアルタイムで動作している間に、プロセスプラントによって生成されたデータを含むコンテンツまたはペイロードを含む。いくつかの構成では、第２のパケットカウンタ（ネットワークパケットカウンタとも称される）または他のそれぞれのノンスマテリアルが暗号化され、後続のメッセージ／パケットを処理する際に使用されるネットワークキーと共に提供される。ネットワークキー及び／またはネットワークパケットカウンタは、所望されれば、ランダムに生成されてもよい。
したがって、方法４５０は、プロセスを制御するためにリアルタイムで動作している間に、プロセスプラントによって生成されたデータを送信デバイスで受信すること（ブロック４６０）、送信デバイスによって、また、ネットワークキー及び任意選択でネットワークパケットカウンタを使用して、ペイロードとしてプロセスプラント生成データを含む後
続のメッセージ／パケットを暗号化すること（ブロック４６２）、そして暗号化された後続メッセージ／パケットをデータダイオードを経由して受信デバイスに提供すること（ブロック４６５）をさらに含む。このように、ブロック４６２、４６５において、少なくとも一部がプロセスプラントによって生成されたデータを含む後続のメッセージ／パケットは、共有化機密ネットワークキーを使用してデータダイオードを経由する転送のためにセキュリティ保護される。いくつかの実施形態では、所望されれば（図示せず）追加の暗号化によって、データダイオードを経由する転送のために、後続のメッセージ／パケットがさらにセキュリティ保護される。
プロセスを制御するためにリアルタイムまたはオンライン動作中にプロセスプラントによって生成されたデータを受信すること（ブロック４６０）は、データ生成ソース（例えば、デバイスまたは構成要素２０２）からデータを直接受信すること、及び／またはデータ生成ソース（例えば、デバイスまたは構成要素２０２）からゲートウェイに送信されたデータをゲートウェイ（例えば、無線ゲートウェイ２０５）から受信することを含むことができる。送信デバイスで受信されるプロセスプラント生成データは、データ生成ソース（例えば、デバイスまたは構成要素２０２）によって、及び／またはゲートウェイ（例えば、例えば、前述のような形態で、無線ゲートウェイ２０５によって暗号化され、ラップされ、さもなければセキュリティ保護されることができる。
受信されたプロセスプラント生成データ（ブロック４６０）は、いくつかのデータ生成ソースデバイスが、例えば無線ゲートウェイ２０５及び／または送信デバイス４０２にそれぞれの生成されたデータをパブリッシュするときに、パブリッシュデータを含むことができる。他のデータ生成ソースデバイスは、それらのそれぞれの生成されたデータが送信デバイスで受信されるように（例えば、無線ゲートウェイ２０５及び／または送信デバイス４０２によって）ポーリングすることができる（ブロック４６０）。さらに、パブリッシュされ、ポーリングされ、またはそうでなければ受信される（ブロック４６０）かどうかにかかわらず、プロセスプラント生成データは、ＨＡＲＴ互換フォーマット、ＪＳＯＮ互換フォーマット、または任意の好適な工業通信プロトコル汎用通信プロトコルに従う、他の好適なフォーマットであってもよい。
前述したように、プロセスプラント生成データをペイロードとして含むメッセージ／パケットを暗号化すること（ブロック４６２）は、ネットワークキー及び任意選択でネットワークパケットカウンタを使用して、該メッセージ／パケットを例えばノンスマテリアルとして、暗号化することを含み、データダイオードを経由するメッセージ／パケットの転送は、データダイオードの単方向通信構成によってさらにセキュリティ保護される。
付加的に、データダイオードを経由して暗号化された後続メッセージを受信デバイスに供給または送信すること（ブロック４６５）は、例えば、プロセスプラントの１つ以上のデータ生成デバイスの各々を記述するそれぞれのコンテキスト情報を、データダイオードを経由して受信デバイスに反復的に告知または送信することを含むことができる。それぞれのコンテキスト情報は、対象データ生成デバイスの識別子と、対象デバイスによって生成されたデータが送信またはパブリッシュされるそれぞれの速度と、対象データ生成デバイスの現在の状態の指標、及び／または図５に関して上述したような、対象データ生成デバイスを記述する他の情報と、を含む。
コンテキスト情報を反復的に告知することは、一例では、データダイオードを経由して受信デバイスにコンテキスト情報を周期的に送信することを含むことができる。周期性の持続時間は、異なるタイプのコンテンツデータ、プロセスプラントのソースを生成する異なるデータ、及び／またはコンテンツデータの異なるコンシューマ（例えば、遠隔アプリケーション２０８）に対して異なることがある。例えば、特定のタイプのコンテンツデー
タの周期性の持続時間は、失われたパケット及び／または遅延のためのデータのコンシューマの許容誤差に基づくことができる。当然のことながら、送信デバイスが再起動した後、新しいデータ生成デバイスがプロセスプラントに追加されたとき、ユーザが指示したときなど、または所望されるときに、データダイオードを経由して受信デバイスにコンテキスト情報を告知することができる。
さらに、コンテキスト情報を告知することは、一実施形態では、工業通信プロトコルの１つ以上のメッセージタイプを利用することを含むことができる。例えば、何らかのタイプのＨＡＲＴ通信プロトコルがデータダイオードを経由して利用される場合、コンテキスト情報を告知することは、ＨＡＲＴコマンド０、２０、５０、７４、１０５、及び任意選択でコマンド７４及び１０１を使用することを含むことができる。別の実施形態では、コンテキスト情報を告知することは、ＪＳＯＮまたは他の何らかの好適な汎用通信プロトコルのような汎用通信プロトコルを使用して実装することができる。種々の工業通信プロトコルの様々なメッセージタイプは、一例では、告知に対応するように修正することができる。
データダイオードを経由して暗号化された後続メッセージを受信デバイスに提供すること（ブロック４６５）は、以前に送信されたコンテキスト情報に従って、データダイオードを経由してコンテンツデータを送信または転送することも含む。前述したように、コンテンツデータは、プロセスデータ、診断データなどのプロセスを制御するためにオンラインで動作している間に、プロセスプラントによって生成された動的データを含む。一実施形態では、データダイオードを経由して暗号化された後続メッセージを提供することは、例えば、上述したような形態で、データダイオードを経由してコンテンツデータをパブリッシュすることを含む。
方法４５０は、第１のまたは結合キーを使用して第２の（例えば、後続の）初期化メッセージを暗号化することと（ブロック４６８）、暗号化された第２の初期化メッセージをデータダイオードを経由して受信デバイスに供給する（ブロック４７０）ことと、を含む。第２の初期化メッセージは、送信デバイスから受信デバイスへデータダイオードを経由して送信される後続のメッセージまたはパケットを処理するために、送信デバイス及び受信デバイスによって利用される更新されたまたは新たなネットワークキーを含む。更新されたまたは新たなネットワークキーは、ブロック４５２に関して論じた結合キーとは異なる別の共有化キーまたは共有化機密であってもよく、ブロック４５５、４５８に関して説明したネットワークキーとは異なる。後続のメッセージ／パケットを処理するためにも使用される、更新されたまたは新たなネットワークパケットカウンタは、更新されたまたは新たなネットワークキーと共にデータダイオードを経由して生成され、転送されてもよい。所望されれば、新たなまたは更新されたネットワークキー及び／またはパケットカウンタをランダムに生成することができる。
したがって、ブロック４６８、４７０では、送信デバイス及び受信デバイスによって使用されてメッセージ／パケットを処理するネットワークキーが再同期される。この再同期化は、少なくともデータダイオードが単方向であり、したがって受信デバイスがその動作状態、メッセージの成功または不成功受信などに関するフィードバックを送信デバイスに供給することができないため重要である。しかしながら、ブロック４６８、４７０を介して、方法４５０は、ネットワークキーマテリアルを再同期させることによって、送信デバイスと受信デバイスとの間の通信切断をアドレス指定することができる。実際に、いくつかの実施形態では、ブロック４６８、４７０は、反復的に、周期的に、及び／または特定のイベントの生成に基づいて繰り返される（例えば、送信デバイスの再起動、ユーザが所望されるときに指示した際など）。周期性の持続時間は、例えば、失われたパケット及び／または遅延に対するコンテンツデータの１つ以上のコンシューマの許容誤差に基づくこ
とができる。
ブロック４６８、４７０に関して、受信デバイスは、例えば、送信された順序とは異なる順序でデータダイオードを介して到着するパケット処理のために、有限の期間、第１のネットワークキー／パケットカウンタ及び第２のネットワークキー／パケットカウンタの両方を維持する必要があり得ることに留意されたい。
図７は、図２のプロセスプラント１００などのプロセスプラントから通信を安全に転送するための例示的な方法５００のフロー図を示す。いくつかの実施形態では、方法５００の少なくとも一部分は、１つ以上の固定可読メモリに格納されたコンピュータ実行可能命令またはコンピュータ可読命令のセットを実行することによって実装され、例えば、システム２００の１つ以上のプロセッサによって実行される。例えば、方法５００の少なくとも一部は、図１〜５に示されるエッジゲートウェイ２１８または受信デバイス４０５のような、システム２００の１つ以上の構成要素によって遂行されてもよい。したがって、方法５００は、図１〜図５を同時に参照して以下に説明されるが、これは説明を簡単にするためのものであり、限定的なものではない。
ブロック５０２において、方法５００は、プロセスを制御するためにリアルタイムで動作している間に、プロセスプラントによって生成されたデータを、データダイオードを介して受信することを含む。データダイオードは、単方向通信が送信デバイスから受信デバイスに送信される一方で、受信デバイスから送信デバイスへの通信が防止されるように構成されている。データダイオードを介して受信されるプロセスプラント生成データ（ブロック５０２）は、生成されたプロセスデータ、診断データ、及び他のタイプのデータを含むことができ、エッジゲートウェイ２１８または受信デバイス４０５などの受信デバイスで受信することができる。受信されたプロセスプラント生成データは、例えば、上述の暗号化技術によって、または他の何らかのセキュリティ機構によってセキュリティ保護されたセキュリティ保護されたデータであってもよい。
ブロック５０５において、方法５００は、データダイオードを経由して利用されたものと同じセキュリティ機構を含むことができる１つ以上のセキュリティ機構を使用して、受信したプロセスプラント生成データをセキュリティ保護することを含むか、または１つ以上の異なるセキュリティ機構を含むことができる。ブロック５０８において、方法５００は、ブロック５０５でセキュリティ保護されたプロセスプラント生成データを、受信デバイスに通信可能に接続された別のシステムに送信することを含む。例えば、セキュリティ保護されたプロセスプラント生成データは、プロセスプラント生成データ２０８の１つ以上のアプリケーション、サービス、または他のコンシューマが常駐し実行する１つ以上の遠隔システム２１０に送信される。アプリケーション、サービスまたは他のコンシューマは、プロセスプラント生成データの少なくとも一部で動作してもよい。
一実施形態では、受信したプロセスプラント生成データのセキュリティ保護すること（ブロック５０５）及びセキュリティ保護されたプロセスプラント生成データを他のシステムに送信する（ブロック５０８）ことは、受信デバイスと他のシステムとの間にセキュリティ保護された接続を確立することを含む。セキュリティ保護されたプロセスプラント生成データを他のシステムに送信すること（ブロック５０８）は、公衆インターネット、民間企業ネットワークなどの１つ以上の公衆／またはプライベートネットワークを介してデータを送信することを含むことができる。このように、受信デバイスと他のシステムとの間にセキュリティ保護された接続を確立することは、１つ以上の公衆及び／またはプライベートネットワークを介してセキュリティ保護された接続を確立することを含む。異なるタイプのコンテンツデータ、プロセスプラントのソースを生成する異なるデータ、及び／または所望されれば、コンテンツデータの異なるコンシューマに対して異なるセキュリテ
ィ保護された接続を確立することができる。
一例では、受信デバイスと他のシステムとの間の接続は、トークンサービスを使用してセキュリティ保護される。受信デバイスは、他のシステムによって提供されるトークンサービスに対して認証し、認証に応答して、受信デバイスは、他のシステムからＳｈａｒｅｄ Ａｃｃｅｓｓ Ｓｉｇｎａｔｕｒｅ（共有アクセス署名）（ＳＡＳ）トークンを受信する。次いで、受信デバイスは、コンテンツデータ（例えば、プロセスプラント生成データ）を他のシステムに送信しながら、ＳＡＳトークンを使用する。例えば、受信デバイスは、ＳＡＳトークンを使用して、例えばＡＭＱＰ（Ａｄｖａｎｃｅｄ Ｍｅｓｓａｇｅ Ｑｕｅｕｉｎｇ Ｐｒｏｔｏｃｏｌ）接続を介して、他のシステムへの接続をセキュリティ保護し、認証する。付加的に、所望されれば、コンテンツデータ及びＳＡＳトークンは、他のシステムに送信する前に暗号化されてもよい。
方法５００はまた、受信デバイスと他のシステムとの間の接続を再セキュリティ保護することを含むことができる（ブロック５１０）。受信デバイスと他のシステム５１０との間の接続を再セキュリティ保護することは、例えば、他のシステムから（例えば、他のシステムのトークンサービスから）更新されたＳＡＳトークンまたは異なるＳＡＳトークンを受信して、後続のコンテンツデータを送信するために使用することを含む。特定のＳＡＳトークンは、予め定義された満了期間（例えば、５分、１０分、１時間未満、または他の満了期間、設定可能であり得る）を有することができる。トークンの満了時に、受信デバイスは、後続のメッセージに使用する新しいＳＡＳトークンを要求または取得することができる。代替的に、他のシステムは、前のトークンの満了時に使用する受信デバイス用の更新されたまたは新たなＳＡＳトークンを自動的に送信することができる。
当然のことながら、受信デバイスと他のシステム（例えば、ブロック５０５、５０８、及び５１０）との間の接続のセキュリティ保護すること及び再セキュリティ保護することは、ＳＡＳトークン及びＡＭＱＰプロトコルを利用するものとして説明したが、これは、方法５００の様々な可能な実施形態の１つに過ぎない。任意の１つ以上の好適なＩＯＴセキュリティ機構、例えば、Ｘ．５０９証明書、他のタイプのトークン、ＭＱＴＴまたはＸＭＰＰなどの他のＩＯＴプロトコルなどが、方法５００によって利用されてもよい。
本開示に記載された技術の実施形態は、以下の態様のうちの任意の数を単独でまたは組み合わせて含むことができる。
１．プロセスプラントから別のシステムへ通信を安全に転送するためのシステムであって、セキュリティ保護された通信転送システムが、プロセスプラントのネットワークと他のシステムのネットワークとの間に配設されたデータダイオードを備え、該データダイオードが、プロセスプラントネットワークと他のシステムのネットワークとの間の双方向通信を防止するように構成されており、プロセスプラントが工業プロセスを制御するように動作している間、プロセスプラントのデバイスによって生成されるデータが、暗号化され、プロセスプラントネットワークから、データダイオードを経由して、他のシステムのネットワークに転送される、システム。
２．データダイオードのハードウェアが、他のシステムのネットワークによって出された通信をプロセスプラントネットワークに配信するための物理的な通信経路を除外するように構成されている、先の態様に記載のシステム。
３．データダイオードのソフトウェアが、他のシステムのネットワークによって出された通信が、プロセスプラントネットワークに侵入することを防止するように構成されている、先の態様のいずれか１つに記載のシステム。
４．暗号化されたプロセスプラントデータが、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）、ＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）、またはシリアル通信に基づいて、データダイオードを経由して転送される、先の態様のいずれか１つに記載のシステム。
５．プロセスプラントネットワークをデータダイオードに相互接続するフィールドゲートウェイをさらに備え、フィールドゲートウェイが、データダイオードを経由した転送ために、プロセスプラントデータを暗号化する、先の態様のいずれか１つに記載のシステム。
６．フィールドゲートウェイが、プロセスプラントに配設される、先の態様のいずれか１つに記載のシステム。
７．データダイオードが、プロセスプラントに配設される、先の態様のいずれか１つに記載のシステム。
８．プロセスプラントネットワークをフィールドゲートウェイに相互接続するローカルプラントゲートウェイをさらに備え、ローカルプラントゲートウェイが、ＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）ラッパーを使用して、プロセスプラントデータをセキュリティ保護する、先の態様のいずれか１つに記載のシステム。
９．プロセスプラントに含まれるデバイスによって生成されたデータの少なくとも第１の部分が、ローカルプラントゲートウェイにストリーミングされる、または、プロセスプラントに含まれるデバイスによって生成されたデータの少なくとも第２の部分が、ポーリングに応答して、ローカルプラントゲートウェイに送信される、のうちの少なくとも１つである、先の態様のいずれか１つに記載のシステム。
１０．フィールドゲートウェイによって遂行される暗号化が、第１の暗号化であり、デバイスによって生成されるデータのうちの少なくともいくつかの第２の暗号化が、該デバイスにおいて遂行される、先の態様のいずれか１つに記載のシステム。
１１．デバイスによって生成及び暗号化されるデータのうちの少なくともいくつかが、プロセスプラントの無線ネットワークまたは有線ネットワークのうちの少なくとも１つを介して、ローカルプラントゲートウェイに送信される、先の態様のいずれか１つに記載のシステム。
１２．データダイオードを他のシステムのネットワークに相互接続するエッジゲートウェイをさらに備え、エッジゲートウェイが、他のシステムのネットワークへの送信のために、プロセスプラントデータをセキュリティ保護する、先の態様のいずれか１つに記載のシステム。
１３．エッジゲートウェイが、プロセスプラントに配設される、先の態様のいずれか１つに記載のシステム。
１４．エッジゲートウェイが、トークンまたは証明書を使用して、プロセスプラントデータの他のシステムへの配信をセキュリティ保護する、先の態様のいずれか１つに記載のシステム。
１５．トークンまたは証明書が、他のシステムに含まれるトークンセキュリティサービ
スによって管理され、トークンまたは証明書が、有限の期間、有効であり、有限の期間が、１時間以下の持続時間を有する、先の態様のいずれか１つに記載のシステム。
１６．セキュリティ保護されたプロセスプラントデータが、インターネット接続、セルラールータ、または別のタイプのバックホールインターネット接続のうちの少なくとも１つを使用して、エッジゲートウェイから他のシステムのネットワークに送信される、先の態様のいずれか１つに記載のシステム。
１７．プロセスプラントデータが、他のシステムに格納され、他のシステムにおける格納されたデータへのアクセスが、他のシステムの認可されたユーザにのみ承諾される、先の態様のいずれか１つに記載のシステム。
１８．プロセスプラントネットワークをデータダイオードに相互接続するフィールドゲートウェイと、データダイオードを他のシステムのネットワークに相互接続するエッジゲートウェイと、をさらに備え、データダイオードを経由して転送されるプロセスプラントデータが、フィールドゲートウェイとエッジゲートウェイとの間で共有されるキーマテリアルを使用して暗号化される、先の態様のいずれか１つに記載のシステム。
１９．フィールドゲートウェイが、プロセスプラントに含まれる、先の態様のいずれか１つに記載のシステム。
２０．エッジゲートウェイが、プロセスプラントに含まれる、先の態様のいずれか１つに記載のシステム。
２１．他のシステムが、プロセスプラントに含まれる、先の態様のいずれか１つに記載のシステム。
２２．他のシステムが、１つ以上のコンピューティングクラウドにおいて実装される、先の態様のいずれか１つに記載のシステム。
２３．他のシステムが、公衆インターネットを介してアクセス可能である、先の態様のいずれか１つに記載のシステム。
２４．他のシステムが、公衆インターネットを介してアクセス可能ではない、先の態様のいずれか１つに記載のシステム。
２５．他のシステムが、プロセスプラントに対応する１つ以上のサービスを提供し、１つ以上のサービスが、プロセスプラントで起こる状況及び／もしくは事象の監視、プロセスプラントで起こる状況及び／もしくは事象の感知、プロセスプラントによって制御されているプロセスの少なくとも一部分の監視、記述的分析、規範的分析、またはプロセスプラントの少なくとも一部分を修正するための１つ以上の規範的変更、のうちの少なくとも１つを含む、先の態様のいずれか１つに記載のシステム。
２６．デバイスのうちの少なくとも１つが、プロセスプラントに含まれる通信ネットワークを介して、プロセスプラント内の別のデバイスと通信して、プロセスプラント内のプロセスの少なくとも一部分を制御し、通信ネットワークが、プロセスプラントネットワークとは異なり、通信ネットワークが、Ｗｉ−Ｆｉプロトコル、イーサネットプロトコル、及びＩＥＥＥ ８０２．１１準拠プロトコル、移動通信プロトコル、短波長無線通信プロトコル、４〜２０ｍａ信号伝達、ＨＡＲＴ（登録商標）プロトコル、ＷｉｒｅｌｅｓｓＨＡＲＴ（登録商標）プロトコル、ＦＯＵＮＤＡＴＩＯＮ（登録商標）フィールドバスプロ
トコル、ＰＲＯＦＩＢＵＳプロトコル、またはＤｅｖｉｃｅＮｅｔプロトコルのうちの少なくとも１つをサポートする、先の態様のいずれか１つに記載のシステム。
２７．プロセスプラントに含まれる通信ネットワークが、第１の通信ネットワークであり、データダイオードが、プロセスプラントネットワークを介して、１つ以上のデバイスから、生成されたデータを受信する、先の態様のいずれか１つに記載のシステム。
２８．プロセスプラントネットワークが、ＨＡＲＴ−ＩＰ（登録商標）プロトコルをサポートする、先の態様のいずれか１つに記載のシステム。
２９．プロセスプラントと他のシステムとの間の通信をセキュリティ保護する方法であって、プロセスプラントネットワークから、フィールドゲートウェイにおいて、プロセスプラントが工業プロセスを制御するように動作している間、プロセスプラントの１つ以上のデバイスによって生成されたデータを受信することであって、プロセスプラントデータが、第１のセキュリティ機構を介して、前記１つ以上のデバイスから前記フィールドゲートウェイへの送信のためにセキュリティ保護される、受信することと、フィールドゲートウェイによって、第２のセキュリティ機構を介して、プロセスプラントデータをセキュリティ保護することと、エッジゲートウェイを介した他のシステムへの配信のために、データダイオードを経由して、セキュリティ保護されたプロセスプラントデータを転送することであって、エッジゲートウェイが、他のシステムに通信可能に接続され、エッジゲートウェイと他のシステムとの間の通信接続が、第３のセキュリティ機構を介してセキュリティ保護され、データダイオードが、エッジゲートウェイによって送信されたいかなるデータのフィールドゲートウェイへの侵入も防止するように構成されている、転送することと、を含む、方法。
３０．その少なくとも一部分が、態様１〜２８のいずれか１つに記載のシステムによって遂行される、先の態様に記載の方法。
３１．第１のセキュリティ機構、第２のセキュリティ機構、及び第３のセキュリティ機構が、異なるセキュリティ機構である、態様２９〜３０のいずれか１つに記載の方法。
３２．フィールドゲートウェイとエッジゲートウェイとの間で共有されるキーを生成することを含む、フィールドゲートウェイ及びエッジゲートウェイをプロビジョニングすることをさらに含み、フィールドゲートウェイによって、第２のセキュリティ機構を介して、プロセスプラントデータをセキュリティ保護することが、フィールドゲートウェイによって、共有化キーを使用して、プロセスプラントデータをセキュリティ保護することを含む、態様２９〜３１のいずれか１つに記載の方法。
３３．フィールドゲートウェイによって、第２のセキュリティ機構を介して、プロセスプラントデータをセキュリティ保護することが、フィールドゲートウェイによって、プロセスプラントデータを暗号化することをさらに含む、態様２９〜３２のいずれか１つに記載の方法。
３４．第１のセキュリティ機構が、１つ以上のデバイスによって生成されたデータの、１つ以上のデバイスによる暗号化を含む、態様２９〜３３のいずれか１つに記載の方法。
３５．第１のセキュリティ機構が、プロセスプラントにおいて実装されるセキュリティ層における、暗号化されたプロセスプラントデータのラッピングをさらに含む、態様２９〜３４のいずれか１つに記載の方法。
３６．第３のセキュリティ機構が、セキュリティトークンまたは証明書を含む、態様２９〜３５のいずれか１つに記載の方法。
３７．第３のセキュリティ機構が、エッジゲートウェイによって遂行される暗号化を含む、態様２９〜３６のいずれか１つに記載の方法。
３８．プロセスプラントと該プロセスプラントにサービスを提供する他のシステムとの間の通信をセキュリティ保護する方法であって、プロセスプラントが工業プロセスを制御するように動作している間に、プロセスプラントの１つまたはデバイスによって生成されたデータを、プロセスプラントのフィールドゲートウェイに通信可能に接続されているデータダイオードを介して、エッジゲートウェイにおいて受信することを含み、プロセスプラントデータが、１つ以上のデバイスから、第１のセキュリティ機構を介した、フィールドゲートウェイへの送信のために、セキュリティ保護され、かつ第２のセキュリティ機構を介して、フィールドゲートウェイからデータダイオードを経由したエッジゲートウェイへの転送のためにさらにセキュリティ保護され、データダイオードが、エッジゲートウェイによって送信されたいかなるデータのフィールドゲートウェイへの侵入も防止するように構成されている、方法。該方法は、エッジゲートウェイによって、第３の機構を介して、プロセスプラントデータをセキュリティ保護することと、エッジゲートウェイによって、セキュリティ保護されたプロセスプラントデータを他のシステムに送信することと、をさらに含む。
３９．態様２９〜３７に記載の方法のうちのいずれか１つと組み合わせる、先の態様に記載の方法。
４０．その少なくとも一部分が、態様１〜２８のいずれか１つに記載のシステムによって遂行される、態様３８または態様３９に記載の方法。
４１．第１のセキュリティ機構、第２のセキュリティ機構、及び第３のセキュリティ機構が、異なるセキュリティ機構である、態様３８〜４０のいずれか１つに記載の方法。
４２．第１のセキュリティ機構または第２のセキュリティ機構のうちの少なくとも１つが、プロセスプラントデータのそれぞれの暗号化を含む、態様３８〜４１のいずれか１つに記載の方法。
４３．第１のセキュリティ機構が、セキュリティ層におけるプロセスプラントデータのラッピングを含む、態様３８〜４２のいずれか１つに記載の方法。
４４．機密キーを使用して、データダイオードを経由した、エッジゲートウェイとフィールドゲートウェイとの間のセキュリティ保護された接続を確立することをさらに含み、第２のセキュリティ機構が、エッジゲートウェイとフィールドゲートウェイとの間に確立されたセキュリティ保護された接続を含む、態様３８〜４３のいずれか１つに記載の方法。
４５．第２のセキュリティ機構が、フィールドゲートウェイによる、プロセスプラントデータの暗号化をさらに含む、態様３８〜４４のいずれか１つに記載の方法。
４６．エッジゲートウェイと他のシステムとの間のセキュリティ保護された接続を確立することをさらに含み、第３のセキュリティ機構が、エッジゲートウェイと他のシステムとの間に確立されたセキュリティ保護された接続を含む、態様３８〜４５のいずれか１つに記載の方法。
４７．エッジゲートウェイと他のシステムとの間のセキュリティ保護された接続を確立することが、他のシステムによって提供されるセキュリティサービスに認証を与えることと、認証に応答して、セキュリティトークンまたは証明書を受信することと、を含む、態様３８〜４６のいずれか１つに記載の方法。
４８．セキュリティ保護されたプロセスプラントデータを他のシステムに送信することが、プロセスプラントデータと併せて、セキュリティトークンまたは証明書を他のシステムに送信することを含む、態様３８〜４７のいずれか１つに記載の方法。
４９．セキュリティまたは証明書トークンが、第１のセキュリティトークンまたは証明書であり、該方法が、１つ以上のデバイスによって生成された後続のデータを他のシステムに送信する間に、異なるセキュリティトークンまたは証明書を受信して利用することをさらに含む、態様３８〜４８のいずれか１つに記載の方法。
５０．エッジゲートウェイによって、第３の機構を介して、プロセスプラントデータをセキュリティ保護することが、エッジゲートウェイによって、プロセスプラントデータを暗号化することを含む、態様３８〜４９のいずれか１つに記載の方法。
５１．セキュリティ保護されたプロセスプラントデータを他のシステムに送信することが、セキュリティ保護されたプロセスプラントデータを、プロセスプラントに含まれるシステムに送信することを含む、態様３８〜５０のいずれか１つに記載の方法。
５２．セキュリティ保護されたプロセスプラントデータを他のシステムに送信することが、セキュリティ保護されたプロセスプラントデータを、１つ以上のコンピューティングクラウドにおいて実装されるシステムに送信することを含む、態様３８〜５１のいずれか１つに記載の方法。
５３．プロセスプラントデータを他のシステムに送信することが、プロセスプラントデータを、公衆インターネットにわたって、セキュリティ保護された接続を介して、他のシステムに送信することを含む、態様３８〜５２のいずれか１つに記載の方法。
５４．プロセスプラントデータを他のシステムに送信することが、プロセスプラントデータを、プロセスプラントで起こる状況及び／もしくは事象の監視、プロセスプラントで起こる状況及び／もしくは事象の感知、プロセスプラントによって実行されるプロセスの少なくとも一部分の監視、記述的分析、規範的分析、またはプロセスプラントの少なくとも一部分を修正するための規範的変更、のうちの少なくとも１つを提供するシステムに、送信することを含む、態様３８〜５３のいずれか１つに記載の方法。
５５．先の態様のいずれかの他の１つと組み合わせる、先の態様のいずれか１つ。
ソフトウェアとして実行される場合、本明細書において記載されるアプリケーション、サービス、及びエンジンのいずれも、磁気ディスク、レーザディスク、固体メモリデバイス、分子メモリ格納デバイス、または他の格納媒体のような任意の有形の固定のコンピュータ可読メモリに格納することができ、コンピュータまたはプロセッサのＲＡＭまたはＲＯＭなどに格納することができる。本明細書において開示される例示的なシステムは、構成要素の中でもとりわけ、ハードウェア上で実行されるソフトウェア及び／またはファームウェアを含むものとして開示されているが、このようなシステムは、単なる例示に過ぎず、限定的に考えられてはならないことに留意されたい。例えば、これらのハードウェア構成要素、ソフトウェア構成要素、及びファームウェア構成要素のいずれか、または全て
が、ハードウェアとして排他的に搭載される、ソフトウェアとして排他的に搭載される、またはハードウェア及びソフトウェアの任意の組み合わせとして搭載されるような構成が想到される。したがって、当該技術分野の当業者であれば、提供されるこれらの例が、このようなシステムを実現するための唯一の方法ではないことを容易に理解できるであろう。
以上、本発明を例示のみを意図したものであって発明の限定を意図したものではない特定の例を参照して説明したが、発明の趣旨及び範囲を逸脱することなく、開示された実施形態に変更、追加、または削除を行ってよいことは、当該技術分野における当業者には明らかであろう。

Claims (51)

  1. プロセスプラントから別のシステムへ通信を安全に転送するためのシステムであって、前記セキュリティ保護された通信転送システムが、
    前記プロセスプラントのネットワークと他のシステムのネットワークとの間に配設される、データダイオードであって、前記プロセスプラントネットワークと前記他のシステムの前記ネットワークとの間の双方向通信を防止するように構成されている、前記データダイオードを備え、
    前記プロセスプラントが工業プロセスを制御するように動作している間、前記プロセスプラントのデバイスによって生成されるデータが、暗号化され、かつ前記データダイオードを経由して、前記プロセスプラントネットワークから前記他のシステムの前記ネットワークに転送される、システム。
  2. 前記データダイオードのハードウェアが、前記他のシステムの前記ネットワークによって出された通信を前記プロセスプラントネットワークに配信するための物理的な通信経路を除外するように構成されている、請求項１に記載のシステム。
  3. 前記データダイオードのソフトウェアが、前記他のシステムの前記ネットワークによって出された通信が、前記プロセスプラントネットワークに侵入することを防止するように構成されている、請求項１に記載のシステム。
  4. 前記暗号化されたプロセスプラントデータが、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）、ＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）、またはシリアル通信に基づいて、前記データダイオードを経由して転送される、請求項１に記載のシステム。
  5. 前記プロセスプラントネットワークを前記データダイオードに相互接続するフィールドゲートウェイをさらに備え、前記フィールドゲートウェイが、前記データダイオードを経由した転送のために、前記プロセスプラントデータを暗号化する、請求項１に記載のシステム。
  6. 前記フィールドゲートウェイが、前記プロセスプラントに配設される、請求項５に記載のシステム。
  7. 前記データダイオードが、前記プロセスプラントに配設される、請求項６に記載のシステム。
  8. 前記プロセスプラントネットワークを前記フィールドゲートウェイに相互接続するローカルプラントゲートウェイをさらに備え、前記ローカルプラントゲートウェイが、ＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）ラッパーを使用して、前記プロセスプラントデータをセキュリティ保護する、請求項５に記載のシステム。
  9. 前記プロセスプラントに含まれる前記デバイスによって生成された前記データの少なくとも第１の部分が、前記ローカルプラントゲートウェイにストリーミングされる、または
    前記プロセスプラントに含まれる前記デバイスによって生成された前記データの少なくとも第２の部分が、ポーリングに応答して、前記ローカルプラントゲートウェイに送信される、のうちの少なくとも１つである、請求項８に記載のシステム。
  10. 前記フィールドゲートウェイによって遂行される前記暗号化が、第１の暗号化であり、前記デバイスによって生成される前記データのうちの少なくともいくつかの第２の暗号化
    が、前記デバイスにおいて遂行される、請求項５に記載のシステム。
  11. 前記デバイスによって生成及び暗号化される前記データのうちの前記少なくともいくつかが、前記プロセスプラントの無線ネットワークまたは有線ネットワークのうちの少なくとも１つを介して、前記ローカルプラントゲートウェイに送信される、請求項１０に記載のシステム。
  12. 前記データダイオードを前記他のシステムの前記ネットワークに相互接続するエッジゲートウェイをさらに備え、前記エッジゲートウェイが、前記他のシステムの前記ネットワークへの送信のために、前記プロセスプラントデータをセキュリティ保護する、請求項１に記載のシステム。
  13. 前記エッジゲートウェイが、前記プロセスプラントに配設される、請求項１２に記載のシステム。
  14. 前記エッジゲートウェイが、トークンまたは証明書を使用して、前記プロセスプラントデータの前記他のシステムへの配信をセキュリティ保護する、請求項１２に記載のシステム。
  15. 前記トークンまたは証明書が、前記他のシステムに含まれるセキュリティサービスによって管理され、
    前記トークンまたは証明書が、有限の期間、有効であり、
    前記有限の期間が、１時間以下の持続時間を有する、請求項１４に記載のシステム。
  16. 前記セキュリティ保護されたプロセスプラントデータが、インターネット接続、セルラールータ、または別のタイプのバックホールインターネット接続のうちの少なくとも１つを使用して、前記エッジゲートウェイから前記他のシステムの前記ネットワークに送信される、請求項１２に記載のシステム。
  17. 前記プロセスプラントデータが、前記他のシステムに格納され、前記他のシステムにおける前記格納されたデータへのアクセスが、前記他のシステムの認可されたユーザにのみ承諾される、請求項１に記載のシステム。
  18. 前記プロセスプラントネットワークを前記データダイオードに相互接続する、フィールドゲートウェイと、
    前記データダイオードを前記他のシステムの前記ネットワークに相互接続する、エッジゲートウェイと、をさらに備え、
    前記データダイオードを経由して転送される前記プロセスプラントデータが、前記フィールドゲートウェイと前記エッジゲートウェイとの間で共有されるキーマテリアルを使用して暗号化される、請求項１に記載のシステム。
  19. 前記フィールドゲートウェイが、前記プロセスプラントに含まれる、請求項１８に記載のシステム。
  20. 前記エッジゲートウェイが、前記プロセスプラントに含まれる、請求項１８に記載のシステム。
  21. 前記他のシステムが、前記プロセスプラントに含まれる、請求項１に記載のシステム。
  22. 前記他のシステムが、１つ以上のコンピューティングクラウドにおいて実装される、請
    求項１に記載のシステム。
  23. 前記他のシステムが、公衆インターネットを介してアクセス可能である、請求項１に記載のシステム。
  24. 前記他のシステムが、公衆インターネットを介してアクセス可能ではない、請求項１に記載のシステム。
  25. 前記他のシステムが、前記プロセスプラントに対応する１つ以上のサービスを提供し、前記１つ以上のサービスが、
    前記プロセスプラントで起こる状況及び／もしくは事象の監視、
    前記プロセスプラントで起こる前記状況及び／もしくは事象の感知、
    前記プロセスプラントによって制御されているプロセスの少なくとも一部分の監視、
    記述的分析、
    規範的分析、または
    前記プロセスプラントの少なくとも一部分を修正するための１つ以上の規範的変更、のうちの少なくとも１つを含む、請求項１に記載のシステム。
  26. 前記デバイスのうちの少なくとも１つが、前記プロセスプラントに含まれる通信ネットワークを介して、前記プロセスプラント内の別のデバイスと通信して、前記プロセスプラント内のプロセスの少なくとも一部分を制御し、
    前記通信ネットワークが、前記プロセスプラントネットワークとは異なり、
    前記通信ネットワークが、Ｗｉ−Ｆｉプロトコル、イーサネットプロトコル、及びＩＥＥＥ ８０２．１１準拠プロトコル、移動通信プロトコル、短波長無線通信プロトコル、４〜２０ｍａ信号伝達、ＨＡＲＴ（登録商標）プロトコル、ＷｉｒｅｌｅｓｓＨＡＲＴ（登録商標）プロトコル、ＦＯＵＮＤＡＴＩＯＮ（登録商標）フィールドバスプロトコル、ＰＲＯＦＩＢＵＳプロトコル、またはＤｅｖｉｃｅＮｅｔプロトコルのうちの少なくとも１つをサポートする、請求項１に記載のシステム。
  27. 前記プロセスプラントに含まれる前記通信ネットワークが、第１の通信ネットワークであり、前記データダイオードが、前記プロセスプラントネットワークを介して、前記１つ以上のデバイスから、前記生成されたデータを受信する、請求項２６に記載のシステム。
  28. 前記プロセスプラントネットワークが、ＨＡＲＴ−ＩＰ（登録商標）プロトコルをサポートする、請求項１に記載のシステム。
  29. プロセスプラントと他のシステムとの間の通信をセキュリティ保護する方法であって、
    プロセスプラントネットワークからフィールドゲートウェイにおいて、前記プロセスプラントが工業プロセスを制御するように動作している間、前記プロセスプラントの１つ以上のデバイスによって生成されるデータを受信することであって、前記プロセスプラントデータが、第１のセキュリティ機構を介して、前記１つ以上のデバイスから前記フィールドゲートウェイへの送信のためにセキュリティ保護される、受信することと、
    前記フィールドゲートウェイによって、第２のセキュリティ機構を介して、前記プロセスプラントデータをセキュリティ保護することと、
    エッジゲートウェイを介した前記他のシステムへの配信のために、データダイオードを経由して、前記セキュリティ保護されたプロセスプラントデータを転送することであって、前記エッジゲートウェイが、前記他のシステムに通信可能に接続され、前記エッジゲートウェイと前記他のシステムとの間の前記通信接続が、第３のセキュリティ機構を介してセキュリティ保護され、前記データダイオードが、前記エッジゲートウェイによって送信されたいかなるデータの前記フィールドゲートウェイへの侵入も防止するように構成され
    ている、転送することと、を含む、方法。
  30. 前記第１のセキュリティ機構、前記第２のセキュリティ機構、及び前記第３のセキュリティ機構が、異なるセキュリティ機構である、請求項２９に記載の方法。
  31. 前記フィールドゲートウェイと前記エッジゲートウェイとの間で共有されるキーを生成することを含む、前記フィールドゲートウェイ及び前記エッジゲートウェイをプロビジョニングすることをさらに含み、
    前記フィールドゲートウェイによって、前記第２のセキュリティ機構を介して、前記プロセスプラントデータをセキュリティ保護することが、前記フィールドゲートウェイによって、前記共有化キーを使用して、前記プロセスプラントデータをセキュリティ保護することを含む、請求項２９に記載の方法。
  32. 前記フィールドゲートウェイによって、前記第２のセキュリティ機構を介して、前記プロセスプラントデータをセキュリティ保護することが、前記フィールドゲートウェイによって、前記プロセスプラントデータを暗号化することをさらに含む、請求項３１に記載の方法。
  33. 前記第１のセキュリティ機構が、前記１つ以上のデバイスによって生成された前記データの、前記１つ以上のデバイスによる暗号化を含む、請求項２９に記載の方法。
  34. 前記第１のセキュリティ機構が、前記プロセスプラントにおいて実装されるセキュリティ層における、前記暗号化されたプロセスプラントデータのラッピングをさらに含む、請求項３３に記載の方法。
  35. 前記第３のセキュリティ機構が、セキュリティトークンまたは証明書を含む、請求項２９に記載の方法。
  36. 前記第３のセキュリティ機構が、前記エッジゲートウェイによって遂行される暗号化を含む、請求項２９に記載の方法。
  37. プロセスプラントと前記プロセスプラントにサービスを提供する他のシステムとの間の通信をセキュリティ保護する方法であって、
    前記プロセスプラントが工業プロセスを制御するように動作している間に、前記プロセスプラントの１つまたはデバイスによって生成されたデータを、前記プロセスプラントのフィールドゲートウェイに通信可能に接続されているデータダイオードを介して、エッジゲートウェイにおいて受信することであって、
    前記プロセスプラントデータが、第１のセキュリティ機構を介して、前記１つ以上のデバイスから前記フィールドゲートウェイへの送信のためにセキュリティ保護され、かつ第２のセキュリティ機構を介して、前記フィールドゲートウェイから前記データダイオードを経由した前記エッジゲートウェイへの転送のためにさらにセキュリティ保護され、
    前記データダイオードが、前記エッジゲートウェイによって送信されたいかなるデータの前記フィールドゲートウェイへの侵入も防止するように構成されている、受信することと、
    前記エッジゲートウェイによって、第３の機構を介して、前記プロセスプラントデータをセキュリティ保護することと、
    前記エッジゲートウェイによって、前記セキュリティ保護されたプロセスプラントデータを前記他のシステムに送信することと、を含む、方法。
  38. 前記第１のセキュリティ機構、前記第２のセキュリティ機構、及び前記第３のセキュリ
    ティ機構が、異なるセキュリティ機構である、請求項３７に記載の方法。
  39. 前記第１のセキュリティ機構または前記第２のセキュリティ機構のうちの少なくとも１つが、前記プロセスプラントデータのそれぞれの暗号化を含む、請求項３７に記載の方法。
  40. 前記第１のセキュリティ機構が、セキュリティ層における前記プロセスプラントデータのラッピングを含む、請求項３７に記載の方法。
  41. 機密キーを使用して、前記データダイオードを経由した、前記エッジゲートウェイと前記フィールドゲートウェイとの間のセキュリティ保護された接続を確立することをさらに含み、前記第２のセキュリティ機構が、前記エッジゲートウェイと前記フィールドゲートウェイとの間に確立された前記セキュリティ保護された接続を含む、請求項３７に記載の方法。
  42. 前記第２のセキュリティ機構が、前記フィールドゲートウェイによる、前記プロセスプラントデータの暗号化をさらに含む、請求項４１に記載の方法。
  43. 前記エッジゲートウェイと前記他のシステムとの間のセキュリティ保護された接続を確立することをさらに含み、前記第３のセキュリティ機構が、前記エッジゲートウェイと前記他のシステムとの間に確立された前記セキュリティ保護された接続を含む、請求項３７に記載の方法。
  44. 前記エッジゲートウェイと前記他のシステムとの間の前記セキュリティ保護された接続を確立することが、
    前記他のシステムによって提供されるセキュリティサービスに認証を与えることと、
    前記認証に応答して、セキュリティトークンまたは証明書を受信することと、を含む、請求項４３に記載の方法。
  45. 前記セキュリティ保護されたプロセスプラントデータを前記他のシステムに送信することが、前記プロセスプラントデータと併せて、前記セキュリティトークンまたは証明書を前記他のシステムに送信することを含む、請求項４４に記載の方法。
  46. 前記セキュリティまたは証明書トークンが、第１のセキュリティトークンまたは証明書であり、前記方法が、前記１つ以上のデバイスによって生成された後続のデータを前記他のシステムに送信する間に、異なるセキュリティトークンまたは証明書を受信して利用することをさらに含む、請求項４４に記載の方法。
  47. 前記エッジゲートウェイによって、前記第３の機構を介して、前記プロセスプラントデータをセキュリティ保護することが、前記エッジゲートウェイによって、前記プロセスプラントデータを暗号化することを含む、請求項３７に記載の方法。
  48. 前記セキュリティ保護されたプロセスプラントデータを前記他のシステムに送信することが、前記セキュリティ保護されたプロセスプラントデータを、前記プロセスプラントに含まれるシステムに送信することを含む、請求項３７に記載の方法。
  49. 前記セキュリティ保護されたプロセスプラントデータを前記他のシステムに送信することが、前記セキュリティ保護されたプロセスプラントデータを、１つ以上のコンピューティングクラウドにおいて実装されるシステムに送信することを含む、請求項３７に記載の方法。
  50. 前記プロセスプラントデータを前記他のシステムに送信することが、前記プロセスプラントデータを、公衆インターネットにわたって、セキュリティ保護された接続を介して、前記他のシステムに送信することを含む、請求項３７に記載の方法。
  51. 前記プロセスプラントデータを前記他のシステムに送信することが、前記プロセスプラントデータを、
    前記プロセスプラントで起こる状況及び／もしくは事象の監視、
    前記プロセスプラントで起こる前記状況及び／もしくは事象の感知、
    前記プロセスプラントによって実行されるプロセスの少なくとも一部分の監視、
    記述的分析、
    規範的分析、または
    前記プロセスプラントの少なくとも一部分を修正するための規範的変更、のうちの少なくとも１つを提供するシステムに、送信することを含む、請求項３７に記載の方法。
JP2017205478A 2016-10-24 2017-10-24 セキュリティ保護されたプロセス制御通信 Active JP7007155B2 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US15/332,751 US10257163B2 (en) 2016-10-24 2016-10-24 Secured process control communications
US15/332,751 2016-10-24

Publications (3)

Publication Number Publication Date
JP2018098773A true JP2018098773A (ja) 2018-06-21
JP2018098773A5 JP2018098773A5 (ja) 2020-12-03
JP7007155B2 JP7007155B2 (ja) 2022-01-24

Family

ID=60481699

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2017205478A Active JP7007155B2 (ja) 2016-10-24 2017-10-24 セキュリティ保護されたプロセス制御通信

Country Status (5)

Country Link
US (1) US10257163B2 (ja)
JP (1) JP7007155B2 (ja)
CN (1) CN107976972B (ja)
DE (1) DE102017124866A1 (ja)
GB (1) GB2558057B (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2021149160A1 (ja) * 2020-01-21 2021-07-29 三菱電機株式会社 コントローラ、通信装置、通信システム、制御回路、記憶媒体および通信方法
JP2021536641A (ja) * 2018-09-05 2021-12-27 ロンメラク イーラブス ゲゼルシャフト ミット ベシュレンクテル ハフツング 少なくとも１台の製造機械をデータ保護下で接続するための装置

Families Citing this family (27)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9864972B2 (en) * 2013-11-14 2018-01-09 Wells Fargo Bank, N.A. Vehicle interface
US10205712B2 (en) * 2015-06-10 2019-02-12 Mcafee, Llc Sentinel appliance in an internet of things realm
WO2017119418A1 (ja) * 2016-01-08 2017-07-13 株式会社制御システム研究所 特定パケット中継機能付きデータダイオード装置及びその設定方法
US10530748B2 (en) 2016-10-24 2020-01-07 Fisher-Rosemount Systems, Inc. Publishing data across a data diode for secured process control communications
JP6473876B2 (ja) * 2016-12-01 2019-02-27 株式会社ユートピア企画 セキュアネットワーク通信方法
EP3382479B1 (en) * 2017-03-31 2023-07-05 ABB Schweiz AG Rule-based communicating of equipment data from an industrial system to an analysis system using uni-directional interfaces
EP3514640B1 (de) 2018-01-18 2023-05-17 Gebr. Saacke GmbH & Co.KG Vorrichtung und verfahren zur bereitstellung von maschinendaten
US10979416B2 (en) * 2018-03-26 2021-04-13 Nicira, Inc. System and method for authentication in a public cloud
EP3585008A1 (en) * 2018-06-20 2019-12-25 Siemens Aktiengesellschaft Cloud gateway device and method for operating a cloud gateway device
WO2020005475A1 (en) * 2018-06-29 2020-01-02 Saudi Arabian Oil Company Controlling communications between a plant network and a business network
WO2020053480A1 (en) * 2018-09-10 2020-03-19 Nokia Technologies Oy Method and apparatus for network function messaging
CN113196189A (zh) * 2018-11-01 2021-07-30 捷普有限公司 利用物联网工厂网关收集实时制造数据的***和方法
CN109587178A (zh) * 2019-01-23 2019-04-05 四川虹美智能科技有限公司 一种基于mqtt的智能家电加密控制***和方法
DE102019106543A1 (de) 2019-03-14 2020-09-17 Anapur Ag Verfahren und Kommunikationssteuersystem zur Steuerung von Kommunikation in einem Kommunikationsnetzwerk
GB2621485A (en) 2019-06-10 2024-02-14 Fisher Rosemount Systems Inc Ease of node switchovers in process control systems
GB2624788A (en) 2019-06-10 2024-05-29 Fisher Rosemount Systems Inc Virtualized real-time I/O in process control systems
GB2625653A (en) 2019-06-10 2024-06-26 Fisher Rosemount Systems Inc Automatic load balancing and performance leveling of virtual nodes running real-time control in process control systems
US11249464B2 (en) 2019-06-10 2022-02-15 Fisher-Rosemount Systems, Inc. Industrial control system architecture for real-time simulation and process control
US11231701B2 (en) 2019-06-10 2022-01-25 Fisher-Rosemount Systems, Inc. Publish/subscribe protocol for real-time process control
US10915081B1 (en) 2019-09-20 2021-02-09 Fisher-Rosemount Systems, Inc. Edge gateway system for secured, exposable process plant data delivery
US11165839B2 (en) * 2019-09-20 2021-11-02 Fisher-Rosemount Systems, Inc. Edge gateway system with data typing for secured process plant data delivery
US11768877B2 (en) * 2019-09-20 2023-09-26 Fisher-Rosemount Systems, Inc. Smart search capabilities in a process control system
US11436242B2 (en) 2019-09-20 2022-09-06 Fisher-Rosemount Systems, Inc. Edge gateway system with contextualized process plant knowledge repository
US11768878B2 (en) * 2019-09-20 2023-09-26 Fisher-Rosemount Systems, Inc. Search results display in a process control system
US11153038B2 (en) * 2019-11-22 2021-10-19 Qualcomm Incorporated MIC recovery of BR/EDR links
WO2021119140A1 (en) 2019-12-09 2021-06-17 Fisher-Rosemount Systems, Inc. Centralized knowledge repository and data mining system
US20210273920A1 (en) * 2020-02-28 2021-09-02 Vmware, Inc. Secure certificate or key distribution for synchronous mobile device management (mdm) clients

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2011021977A (ja) * 2009-07-15 2011-02-03 Hitachi Ltd 原子力発電プラントの監視システムおよび運転・保守データ管理システム
US20140165182A1 (en) * 2012-12-06 2014-06-12 Owl Computing Technologies, Inc. System for secure transfer of information from an industrial control system network
US20150163198A1 (en) * 2013-12-10 2015-06-11 Futaris, Inc. Methods and apparatus for providing controlled unidirectional flow of data
WO2017030186A1 (ja) * 2015-08-20 2017-02-23 三菱日立パワーシステムズ株式会社 セキュリティシステム、通信制御方法

Family Cites Families (76)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5311562A (en) 1992-12-01 1994-05-10 Westinghouse Electric Corp. Plant maintenance with predictive diagnostics
US6442616B1 (en) * 1997-01-16 2002-08-27 Kabushiki Kaisha Toshiba Method and apparatus for communication control of mobil computers in communication network systems using private IP addresses
US6754601B1 (en) 1996-11-07 2004-06-22 Rosemount Inc. Diagnostics for resistive elements of process devices
US8044793B2 (en) 2001-03-01 2011-10-25 Fisher-Rosemount Systems, Inc. Integrated device alerts in a process control system
US6959346B2 (en) 2000-12-22 2005-10-25 Mosaid Technologies, Inc. Method and system for packet encryption
US7088255B2 (en) 2001-05-29 2006-08-08 Westinghouse Electric Co, Llc Health monitoring display system for a complex plant
US7647422B2 (en) 2001-11-06 2010-01-12 Enterasys Networks, Inc. VPN failure recovery
FI113121B (fi) 2002-05-30 2004-02-27 Metso Automation Oy Järjestelmä, tietoliikenneverkko ja menetelmä tietojen lähettämiseksi
US9565275B2 (en) 2012-02-09 2017-02-07 Rockwell Automation Technologies, Inc. Transformation of industrial data into useful cloud information
US6904327B2 (en) 2003-01-29 2005-06-07 Honeywell International Inc. Integrated control system to control addressable remote devices
DE602004012980T2 (de) 2003-02-14 2009-05-07 Dresser, Inc., Addison Verfahren, system und speichermedium zur durchführung von online-ventildiagnose
US7634384B2 (en) 2003-03-18 2009-12-15 Fisher-Rosemount Systems, Inc. Asset optimization reporting in a process plant
JP3936937B2 (ja) 2003-08-27 2007-06-27 株式会社日立国際電気 デジタル無線通信システムにおけるポーリング方法および車両検索方法
US7313573B2 (en) 2003-09-17 2007-12-25 International Business Machines Corporation Diagnosis of equipment failures using an integrated approach of case based reasoning and reliability analysis
GB0414840D0 (en) 2004-07-02 2004-08-04 Ncr Int Inc Self-service terminal
US9201420B2 (en) 2005-04-08 2015-12-01 Rosemount, Inc. Method and apparatus for performing a function in a process plant using monitoring data with criticality evaluation data
US7693608B2 (en) 2006-04-12 2010-04-06 Edsa Micro Corporation Systems and methods for alarm filtering and management within a real-time data acquisition and monitoring environment
US9411769B2 (en) 2006-09-19 2016-08-09 Fisher-Rosemount Systems, Inc. Apparatus and methods to communicatively couple field devices to controllers in a process control system
US20080123852A1 (en) 2006-11-28 2008-05-29 Jianping Jiang Method and system for managing a wireless network
US8331249B2 (en) 2007-07-10 2012-12-11 Qualcomm Incorporated Methods and apparatus for communicating in a peer to peer system where device communications may partially interfere with one another
US8407721B2 (en) 2008-12-12 2013-03-26 Microsoft Corporation Communication interface selection on multi-homed devices
FI125797B (fi) 2009-01-09 2016-02-29 Metso Flow Control Oy Menetelmä ja laitteisto venttiilin kunnonvalvontaan
US7970830B2 (en) 2009-04-01 2011-06-28 Honeywell International Inc. Cloud computing for an industrial automation and manufacturing system
US9412137B2 (en) 2009-04-01 2016-08-09 Honeywell International Inc. Cloud computing for a manufacturing execution system
US9218000B2 (en) 2009-04-01 2015-12-22 Honeywell International Inc. System and method for cloud computing
US8555381B2 (en) 2009-04-01 2013-10-08 Honeywell International Inc. Cloud computing as a security layer
US8204717B2 (en) 2009-04-01 2012-06-19 Honeywell International Inc. Cloud computing as a basis for equipment health monitoring service
US8068504B2 (en) 2009-05-18 2011-11-29 Tresys Technology, Llc One-way router
US20110231478A1 (en) 2009-09-10 2011-09-22 Motorola, Inc. System, Server, and Mobile Device for Content Provider Website Interaction and Method Therefore
US9274518B2 (en) 2010-01-08 2016-03-01 Rockwell Automation Technologies, Inc. Industrial control energy object
US9703754B2 (en) 2010-10-15 2017-07-11 Toshiba Mitsubishi-Electric Industrial Systems Corporation Automatic remote monitoring and diagnosis system
GB2488369B (en) 2011-02-28 2018-05-09 Perkins Engines Co Ltd Monitoring operation of a DC motor valve assembly
US8644165B2 (en) 2011-03-31 2014-02-04 Navteq B.V. Method and apparatus for managing device operational modes based on context information
US9594367B2 (en) 2011-10-31 2017-03-14 Rockwell Automation Technologies, Inc. Systems and methods for process control including process-initiated workflow
US9473300B2 (en) * 2011-11-03 2016-10-18 Savannah River Nuclear Solutions, Llc Authenticated sensor interface device
US9143563B2 (en) 2011-11-11 2015-09-22 Rockwell Automation Technologies, Inc. Integrated and scalable architecture for accessing and delivering data
US9477936B2 (en) 2012-02-09 2016-10-25 Rockwell Automation Technologies, Inc. Cloud-based operator interface for industrial automation
US9625349B2 (en) 2012-02-29 2017-04-18 Fisher Controls International Llc Time-stamped emissions data collection for process control devices
EP2660667B1 (en) * 2012-05-04 2021-11-10 Rockwell Automation Technologies, Inc. Cloud gateway for industrial automation information and control systems
US9256222B2 (en) 2012-07-18 2016-02-09 International Business Machines Corporation Sensor virtualization through cloud storage and retrieval mechanisms
US9253054B2 (en) 2012-08-09 2016-02-02 Rockwell Automation Technologies, Inc. Remote industrial monitoring and analytics using a cloud infrastructure
US9467500B2 (en) 2012-08-09 2016-10-11 Rockwell Automation Technologies, Inc. Remote industrial monitoring using a cloud infrastructure
US9635037B2 (en) 2012-09-06 2017-04-25 Waterfall Security Solutions Ltd. Remote control of secure installations
US9292012B2 (en) 2012-11-05 2016-03-22 Rockwell Automation Technologies, Inc. Secure models for model-based control and optimization
US9218470B2 (en) 2012-12-31 2015-12-22 General Electric Company Systems and methods for non-destructive testing user profiles
US9217999B2 (en) 2013-01-22 2015-12-22 General Electric Company Systems and methods for analyzing data in a non-destructive testing system
US9430589B2 (en) 2013-02-05 2016-08-30 Rockwell Automation Technologies, Inc. Safety automation builder
US9397836B2 (en) * 2014-08-11 2016-07-19 Fisher-Rosemount Systems, Inc. Securing devices to process control systems
US9558220B2 (en) * 2013-03-04 2017-01-31 Fisher-Rosemount Systems, Inc. Big data in process control systems
EP2778817A1 (de) 2013-03-12 2014-09-17 Siemens Aktiengesellschaft Überwachung einer ersten Ausrüstung einer ersten technischen Anlage mittels Benchmark
CN104049575B (zh) * 2013-03-14 2018-10-26 费希尔-罗斯蒙特***公司 在过程控制***中收集并且向大数据机器递送数据
US9438648B2 (en) 2013-05-09 2016-09-06 Rockwell Automation Technologies, Inc. Industrial data analytics in a cloud platform
US9244042B2 (en) 2013-07-31 2016-01-26 General Electric Company Vibration condition monitoring system and methods
US9084112B2 (en) * 2013-10-14 2015-07-14 Trellisware Technologies, Inc. Secure group key agreement for wireless networks
US20150195086A1 (en) * 2014-01-05 2015-07-09 Core Business IT, LLC Mediated encryption policy framework for user-transparent method-agnostic data protection
US9210179B2 (en) 2014-03-17 2015-12-08 Saudi Arabian Oil Company Systems, methods, and computer medium to securely transfer business transactional data between networks having different levels of network protection using barcode technology with data diode network security appliance
US9843617B2 (en) 2014-03-26 2017-12-12 Rockwell Automation Technologies, Inc. Cloud manifest configuration management system
US9614963B2 (en) 2014-03-26 2017-04-04 Rockwell Automation Technologies, Inc. Cloud-based global alarm annunciation system for industrial systems
US9489832B2 (en) 2014-04-04 2016-11-08 Rockwell Automation Technologies, Inc. Industrial-enabled mobile device
US10063429B2 (en) 2014-04-09 2018-08-28 The Keyw Corporation Systems and methods for optimizing computer network operations
US9532225B2 (en) 2014-06-12 2016-12-27 General Electric Company Secure pairing of end user devices with instruments
KR102392004B1 (ko) 2014-08-08 2022-04-28 삼성전자주식회사 디바이스 대 디바이스 그룹 통신을 위한 카운터 관리 및 보안 키 업데이트 시스템 및 방법
US9753439B2 (en) * 2014-10-02 2017-09-05 Fisher-Rosemount Systems, Inc. Multi-protocol device supporting wireless plant protocols
GB2532051A (en) 2014-11-07 2016-05-11 Nomad Spectrum Ltd Data traffic processing and analysis
US11073805B2 (en) 2014-11-21 2021-07-27 Fisher-Rosemount Systems, Inc. Process plant network with secured external access
US10176032B2 (en) 2014-12-01 2019-01-08 Uptake Technologies, Inc. Subsystem health score
US9210187B1 (en) * 2015-01-13 2015-12-08 Centri Technology, Inc. Transparent denial of service protection
GB2536059B (en) 2015-03-06 2017-03-01 Garrison Tech Ltd Secure control of insecure device
US20160282859A1 (en) 2015-03-27 2016-09-29 Rockwell Automation Technologies, Inc. Systems and methods for maintaining equipment in an industrial automation environment
EP3508930B1 (de) 2015-06-03 2022-07-20 Siemens Aktiengesellschaft System und verfahren zur steuerung und/oder analytik eines industriellen prozesses
US10091170B2 (en) * 2016-03-31 2018-10-02 Cisco Technology, Inc. Method and apparatus for distributing encryption and decryption processes between network devices
US9967234B1 (en) 2016-04-27 2018-05-08 The United States Of America, As Represented By The Secretary Of The Navy Miniaturized real time pseudo-cross domain data communication system with air gapped full motion video device and method
US10419930B2 (en) 2016-05-27 2019-09-17 Afero, Inc. System and method for establishing secure communication channels with internet of things (IoT) devices
US10157105B2 (en) 2016-07-28 2018-12-18 Prophetstor Data Services, Inc. Method for data protection for cloud-based service system
US10095880B2 (en) * 2016-09-01 2018-10-09 International Business Machines Corporation Performing secure queries from a higher security domain of information in a lower security domain
US9934671B1 (en) 2016-10-24 2018-04-03 Fisher Controls International Llc Valve service detection through data analysis

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2011021977A (ja) * 2009-07-15 2011-02-03 Hitachi Ltd 原子力発電プラントの監視システムおよび運転・保守データ管理システム
US20140165182A1 (en) * 2012-12-06 2014-06-12 Owl Computing Technologies, Inc. System for secure transfer of information from an industrial control system network
US20150163198A1 (en) * 2013-12-10 2015-06-11 Futaris, Inc. Methods and apparatus for providing controlled unidirectional flow of data
WO2017030186A1 (ja) * 2015-08-20 2017-02-23 三菱日立パワーシステムズ株式会社 セキュリティシステム、通信制御方法

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2021536641A (ja) * 2018-09-05 2021-12-27 ロンメラク イーラブス ゲゼルシャフト ミット ベシュレンクテル ハフツング 少なくとも１台の製造機械をデータ保護下で接続するための装置
JP7192101B2 (ja) 2018-09-05 2022-12-19 ロンメラク イーラブス ゲゼルシャフト ミット ベシュレンクテル ハフツング 少なくとも１台の製造機械をデータ保護下で接続するための装置
WO2021149160A1 (ja) * 2020-01-21 2021-07-29 三菱電機株式会社 コントローラ、通信装置、通信システム、制御回路、記憶媒体および通信方法
JPWO2021149160A1 (ja) * 2020-01-21 2021-07-29
CN114946161A (zh) * 2020-01-21 2022-08-26 三菱电机株式会社 控制器、通信装置、通信***、控制电路、存储介质及通信方法

Also Published As

Publication number Publication date
CN107976972B (zh) 2022-10-21
JP7007155B2 (ja) 2022-01-24
GB2558057B (en) 2022-04-06
US20180115517A1 (en) 2018-04-26
US10257163B2 (en) 2019-04-09
CN107976972A (zh) 2018-05-01
DE102017124866A1 (de) 2018-06-07
GB201717366D0 (en) 2017-12-06
GB2558057A (en) 2018-07-04

Similar Documents

Publication Publication Date Title
JP7007155B2 (ja) セキュリティ保護されたプロセス制御通信
JP7210135B2 (ja) セキュリティ保護されたプロセス制御通信のためのデータダイオードを経由する安全なデータ転送
JP7383368B2 (ja) プロセスプラントから別のシステムへの通信を安全に転送するための方法、システム
US11782421B2 (en) Framework for privacy-preserving big-data sharing using distributed ledgers
CN109901533B (zh) 用于在过程控制***中使用的方法和设备
US11209803B2 (en) Firewall system and method for establishing secured communications connections to an industrial automation system
CN106068624B (zh) 用于保护分布式控制***(dcs)的装置和方法
CN101300806A (zh) 用于处理安全传输的***和方法
US9940116B2 (en) System for performing remote services for a technical installation

Legal Events

Date Code Title Description
A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20201022

A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20201022

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20210806

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20210817

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20211117

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20211207

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20220106

R150 Certificate of patent or registration of utility model

Ref document number: 7007155

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150