特許 6182150 プロセス設備のネットワークへの侵入検出及び防止

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6182150

(24)【登録日】2017年7月28日

(45)【発行日】2017年8月16日

(54)【発明の名称】プロセス設備のネットワークへの侵入検出及び防止

(51)【国際特許分類】

   H04L 12/28 20060101AFI20170807BHJP

【ＦＩ】

   H04L12/28 200Z

   H04L12/28 100F

   H04L12/28 100S

【請求項の数】20

【全頁数】12

(21)【出願番号】特願2014-535712(P2014-535712)

(86)(22)【出願日】2012年6月1日

(65)【公表番号】特表2014-533460(P2014-533460A)

(43)【公表日】2014年12月11日

(86)【国際出願番号】US2012040413

(87)【国際公開番号】WO2013055408

(87)【国際公開日】20130418

【審査請求日】2014年6月4日

【審判番号】不服-150(P-150/J1)

【審判請求日】2016年1月5日

(31)【優先権主張番号】13/272,394

(32)【優先日】2011年10月13日

(33)【優先権主張国】US

(73)【特許権者】

【識別番号】597115727

【氏名又は名称】ローズマウント インコーポレイテッド

(74)【代理人】

【識別番号】110001508

【氏名又は名称】特許業務法人 津国

(72)【発明者】

【氏名】ロットボルド，エリック・ディー

(72)【発明者】

【氏名】ポッター，ジェフ・ディー

【合議体】

【審判長】 大塚 良平

【審判官】 中野 浩昌

【審判官】 吉田 隆之

(56)【参考文献】

【文献】 特開２０１１−１００４４３（ＪＰ，Ａ）

(58)【調査した分野】（Int.Cl.，ＤＢ名）

H04L 12/28

(57)【特許請求の範囲】

【請求項1】

プロセス通信機器であって：
プロセス通信プロトコルに従ってプロセス通信ループで少なくとも１つのフィールド装置と通信するためのプロセス通信インターフェースと；
前記プロセス通信インターフェースに接続されたコントローラと；
前記コントローラに接続され、前記プロセス通信プロトコルに基づく少なくとも一つのプロセス通信パケットルールを有するルール記憶装置と、
前記コントローラに接続され、少なくとも一つのフィールド装置を記述した少なくとも一つの装置記述に基づくルールを有する装置記述記憶装置とを含み；
前記コントローラが、前記プロセス通信インターフェースから受信した少なくとも一つのプロセス通信パケットに、前記少なくとも一つのプロセス通信パケットルールおよび前記少なくとも一つの装置記述に基づくルールを適用し、前記少なくとも一つのプロセス通信パケットが、前記少なくとも一つのプロセス通信パケットルールにフェイルしたとき、又は、前記少なくとも一つのプロセス通信パケットが、前記少なくとも一つの装置記述に基づくルールに従っていなかった場合は、イベントの情報を生成する、
プロセス通信機器。

【請求項2】

前記プロセス通信プロトコルが、HARTプロトコルである、
請求項１記載のプロセス通信機器。

【請求項3】

前記プロセス通信プロトコルが、デジタル信号を４〜２０mAアナログ電流信号に重畳させる、
請求項１に記載のプロセス通信機器。

【請求項4】

前記プロセス通信インターフェースが、有線プロセス通信インターフェースである、
請求項１に記載のプロセス通信機器。

【請求項5】

前記プロセス通信インターフェースが、無線プロセス通信インターフェースである、
請求項１に記載のプロセス通信機器。

【請求項6】

前記プロセス通信インターフェースが、有線プロセス通信インターフェースでもある、
請求項５に記載のプロセス通信機器。

【請求項7】

前記コントローラに接続されたネットワーク・インターフェースをさらに含み、
前記コントローラが、前記プロセス通信パケットがすべてのプロセス通信パケットルールに合格している場合、前記ネットワーク・インターフェースを通じて、前記プロセス通信パケットを転送するように構成される、
請求項１に記載のプロセス通信機器。

【請求項8】

前記コントローラが、前記少なくとも一つのプロセス通信パケットルールを適用する前に、前記少なくとも一つのプロセス通信パケットを復号するように構成される、
請求項７に記載のプロセス通信機器。

【請求項9】

前記プロセス通信機器が、プロセス通信ゲートウェイ内で具現化される、
請求項８に記載のプロセス通信機器。

【請求項10】

前記少なくとも一つのプロセス通信パケットルールが、許容可能なパケットバイト数と、前記プロセス通信パケット内に含有されたプロセス通信プロトコルコマンドとを関連付ける、
請求項１に記載のプロセス通信機器。

【請求項11】

前記少なくとも一つのプロセス通信パケットルールが、許容可能なコマンド範囲を包含する、
請求項１に記載のプロセス通信機器。

【請求項12】

前記許容可能なコマンド範囲が、１２８〜２４０及び６４７６８〜６５０２１である、
請求項１１に記載のプロセス通信機器。

【請求項13】

前記プロセス通信機器が、アクセス・ポイント内で具現化される、
請求項１に記載のプロセス通信機器。

【請求項14】

請求項１に記載のプロセス通信機器におけるプロセス通信の保護を提供する方法であって：
プロセス通信プロトコルに従って、少なくとも一つのプロセス通信パケットを取得する工程と；
前記プロセス通信プロトコルに基づく少なくとも一つのプロセス通信パケットルールを、前記少なくとも一つのプロセス通信パケットに対して適用する工程と；
前記少なくとも一つのフィールド装置を記述した少なくとも一つの装置記述に基づくルールを、前記少なくとも一つのプロセス通信パケットに対して適用する工程と；
前記少なくとも一つのプロセス通信パケットが、前記少なくとも一つのプロセス通信パケットルールにフェイルしたとき、又は、前記少なくとも一つのプロセス通信パケットが、前記少なくとも一つの装置記述に基づくルールに従っていなかった場合は、イベントの情報を生成する工程と、
を含む方法。

【請求項15】

前記イベントをロギングする工程、
をさらに含む請求項１４に記載の方法。

【請求項16】

前記少なくとも一つのプロセス通信パケットが、前記少なくとも一つのプロセス通信パケットルール及び前記少なくとも一つの装置記述に基づくルールの各々に合格しているか否かに基づいて、前記少なくとも一つのプロセス通信パケットを選択的に転送する工程、
をさらに含む請求項１４に記載の方法。

【請求項17】

プロセス通信機器であって：
プロセス通信プロトコルに従ってプロセス通信ループで通信するためのプロセス通信インターフェースと；
前記プロセス通信インターフェースに接続されたコントローラと；
前記コントローラに接続され、少なくとも一つのフィールド装置を記述した装置記述に基づく少なくとも一つのルールを有する装置記述記憶装置とを含み；
前記コントローラが、前記プロセス通信インターフェースから受信した少なくとも一つのプロセス通信パケットに、前記少なくとも一つのルールを適用し、前記少なくとも一つのプロセス通信パケットが、前記少なくとも一つのルールに従っていなかった場合は、イベントの情報を生成する、
プロセス通信機器。

【請求項18】

請求項１７に記載のプロセス通信機器におけるプロセス通信の保護を提供する方法であって：
プロセス通信プロトコルに従って、少なくとも一つのプロセス通信パケットを取得する工程と；
前記少なくとも一つのプロセス通信パケットに対して、前記少なくとも一つのフィールド装置を記述した装置記述に基づく少なくとも一つのルールを適用する工程と；
前記少なくとも一つのプロセス通信パケットが、前記少なくとも一つのルールに従っていなかった場合は、イベントデータを生成する工程と、
を含む方法。

【請求項19】

前記イベントをロギングする工程、
をさらに含む請求項１８に記載の方法。

【請求項20】

前記少なくとも一つのプロセス通信パケットが、前記少なくとも一つのルールの各々に合格しているか否かに基づいて、前記少なくとも一つのプロセス通信パケットを選択的に転送する工程、
をさらに含む請求項１８に記載の方法。

【発明の詳細な説明】

【技術分野】

【0001】

背景
最新のプロセス設備は、日常使用する種々の製品及び材料を提供及び／又は生産するために使用される。そのようなプロセス設備の例は、石油精製設備、医薬品製造設備、化学処理設備、パルプ及び他の処理設備を包含する。そのような設備では、プロセス制御及び計測ネットワークは、制御室と、場合によっては互いに通信してプロセスを制御する、何千さらには何万ものさまざまなフィールド機器を包含することができる。所与のフィールド機器の故障がプロセスの制御不能を招くことを考えると、フィールド機器の物理的特性及び電気通信は、一般的に、厳しい仕様の対象となる。

【0002】

これまで、所与のプロセス設備におけるフィールド機器は、一般的に、プロセス制御ループ又はセグメントを通じて、有線接続を介して制御室及び／又は他のフィールド機器と通信することが可能であった。有線プロセス通信プロトコルの例は、Highway Addressable Remote Transducer（HART（登録商標））プロトコルとして公知である。HART（登録商標）通信は、プロセス産業で使用される主要な通信プロトコルの一つである。近年、プロセス設備についても、インターネットへのアクセスを許可することが可能になったことは、いくつかのケースでは潜在的に望ましい。そのようなフィーチャは、世界中の事実上いかなる接続されたコンピュータからプロセス設備と交信する能力を提供する一方、悪意のあるエンティティ、例えば、ハッカーに対しても、プロセス設備の物理的な場所に移動することなく、プロセス設備に影響を与えようとする試みのための潜在能力も提供する。

【0003】

プロセス設備に関するもう一つの最近の発展に、無線通信の利用がある。そのような無線通信は、さまざまなフィールド機器への長い距離の配線をもはや提供する必要がないという点において、プロセス設備を簡略化する。その上、そのような無線プロトコルの一つ、WirelessHART（IEC ６２591）は、従来のHART（登録商標）のプロトコルを拡張させたもので、大いに高まったデータ転送速度を提供する。例として、WirelessHARTは、最大で２５０Kbpsの通信をサポートする。Wireless HART（登録商標）のSpecificationの関連部分は：HCF_Spec 13、改訂版７．０と；HART Specification 65 - Wireless Physical Layer Specificationと；HART Specification 75 - TDMA Data Link Layer Specification（ＴＤＭＡは時分割多元接続を指す）と；HART Specification 85 - Network Management Specificationと；HART Specification 155 - Wireless command Specificationと；HART Specification 290 - Wireless Devices Specificationとを包含する。無線通信は、プロセス設備に多くの効果を提供する一方、プロセス設備の物理的近傍にある機器が無線通信ネットワークに潜在的に係わり、影響を及ぼすことも可能にする。

【0004】

プロセス設備の最近の接続性を考えると、現時点では、悪意のあるエンティティの侵入及び活動からプロセス通信を保護することが非常に重要である。これは、インターネットに接続することができるプロセス設備、無線プロセス通信を採用するプロセス設備又はその両方に当てはまる。それゆえに、プロセス通信ループへの侵入を検出及び防止する能力を持つプロセス設備を提供することが、プロセス通信に依存するさまざまなプロセス設備を守ることにさらに役立つ。

【0005】

概要
プロセス通信機器は、プロセス通信プロトコルに従ってプロセス通信ループで通信するためのプロセス通信インターフェースを包含する。コントローラは、プロセス通信インターフェースに接続される。ルール記憶装置は、コントローラに接続され、プロセス通信プロトコルに基づく少なくとも一つのプロセス通信パケットルールを有する。コントローラは、プロセス通信インターフェースから受信した少なくとも一つのプロセス通信パケットに少なくとも一つのプロセス通信パケットルールを適用し、プロセス通信パケットが少なくとも一つのプロセス通信パケットルールにフェイルしたときにイベントの情報を生成する。

【図面の簡単な説明】

【0006】

【図1】本発明の実施態様に従うプロセス通信システムの概略線図である。

【図2】本発明の実施態様が特に適用可能なプロセス通信及び制御システムの概略線図である。

【図3】本発明の実施態様が特に有効なもう一つのプロセス通信及び制御環境の概略線図である。

【図4】本発明の実施態様に従うプロセス通信セキュリティ・・アプライアンスの概略線図である。

【図5】本発明の実施態様に従う、プロセス設備への侵入検出及び防止を提供する方法の概略フロー図である。

【図6】本発明のもう一つの実施態様に従う、プロセス設備への侵入検出及び防止を提供する方法の概略フロー図である。

【0007】

図示の実施態様の詳細な説明
本発明の実施態様は、概して、HART（登録商標）のプロトコル（有線及び無線の両方）及び／又はHART（登録商標）の装置記述（ＤＤ：Device Description：ＬＡＮ間接続装置に関する記述）の具体的な情報を活用し、プロセス通信ループに入るか、プロセス通信ループから出るか、さらには異常のためにプロセス通信ループを通過するか、するプロセス通信ネットワークトラフィックを監視する。本発明の実施態様が概してHART（登録商標）のプロセス通信ループに関して記載されている一方、本発明の実施態様は、装置記述をサポートする任意の好適なプロセス通信プロトコルで実施されることができる。

【0008】

HART（登録商標）のプロトコルは、デジタル通信信号を標準的な４〜２０mAのアナログ信号に重畳させたものからなるハイブリッド物理層を有する。データ伝送速度は約１．２Kbps/secである。HART（登録商標）の通信は、プロセス産業における主要な通信プロトコルの一つである。無線及び有線の両方のHART（登録商標）の通信は、実質的に類似するアプリケーション層を共有する。その上、無線及び有線の両方のHART（登録商標）の通信のコマンド内容は同一である。それゆえに、物理層が異なり得る一方、アプリケーション層においては、これらの２つのプロセス通信のプロトコルは極めて類似している。

【0009】

HART（登録商標）のネットワーク上及びそれを通じたプロセス通信ネットワークのセキュリティは重要であり、HART（登録商標）のネットワークトラフィックを無線ネットワークのみならずＴＣＰ／ＩＰネットワークを通じて運ぶことができる現時点では、より重要になっている。いくつかのネットワークのセキュリティは、機器、例えば、ミネソタ州チャンハッセンのEmerson Process ManagementによってModel 1420 Wireless Gatewayの商品番号の下で販売されているものによって提供されてきた。この機器は、送信者及び受信者を認証し、データが有効であるかどうかを検証し、プロセス通信データを暗号化し、暗号化キーの定期的な変更を自動的に管理する能力を提供する。Model 1420によって提供されるプロセス通信のセキュリティが最新のプロセス通信のネットワークに大変貴重である一方、本発明の実施態様は、概して、HART（登録商標）のプロトコルそれ自体、HART（登録商標）の装置記述（ＤＤ）又はそれらの組み合わせについての追加的な情報を活用することによって、1420 Wireless Gatewayによって提供されるセキュリティを基に構築される。本発明の実施態様がプロセス通信へのアクセスを有する任意の機器に適用可能である一方、本発明の実施態様は、ファイアウォール・アプライアンス、ゲートウェイ、例えば、改良型無線ゲートウェイ、又はアクセス・ポイント・タイプの機器のいずれかにおいて具現化されることが好ましい。

【0010】

図１は、本発明の実施態様に従うプロセス通信システム１０の概略線図である。システム１０は、プラント・ローカル・エリア・ネットワーク１６を通じて互いに通信可能に接続されたワークステーション１２及びサーバ１４を包含する。ネットワーク１６は、ローカル・エリア・ネットワーク・ファイアウォール２０を介してインターネット１８に接続される。ローカル・エリア・ネットワーク・ファイアウォール２０は、選択されたＴＣＰ／ＩＰトラフィックのみをそこを通して提供する周知の機器である。図１に図示する実施態様では、プロセス通信セキュリティ・アプライアンス２２は、接続手段２４によってプラントＬＡＮ１６に接続され、さらにポート２６を介して機器１〜ｎに接続される。プロセス通信セキュリティ・アプライアンス２２は、インターネット１８及び／又はプラントＬＡＮ１６を通じて生じる悪意のある行為からプロセス通信セグメント及び／又はループを保護する。プロセス通信セキュリティ・アプライアンス２２内のプロセッサは、一つ以上のプロセス通信パケットを受信し、HART（登録商標）のプロセス通信ルール、装置記述の要件又はそれらの組み合わせに具体的に基づく一つ以上のルールをパケットが満たしているか否かをテストすることが可能なソフトウェア命令を実行する。

【0011】

図２は、本発明の実施態様が特に適用可能なプロセス通信及び制御システム５０の概略線図である。多数のワークステーション５２、５４及び５６は、プラントＬＡＮ１６を介して共に接続される。また、無線プロセス通信ゲートウェイ５８も、接続手段６０を介してＬＡＮ１６に接続される。図２に示す配置は、Model 1420 Smart Wireless Gatewayが動作する現在の環境である。ゲートウェイ５８は、WirelessHART（登録商標）の通信を介して一つ以上のフィールド機器６２と通信する。それゆえに、本発明の実施態様は、ゲートウェイ５８内に置かれたプロセッサ又は他の好適なコントローラを使用して実施されることができる。

【0012】

図３は、本発明の実施態様が特に有効なもう一つのプロセス通信及び制御環境の概略線図である。具体的には、一つ以上のゲートウェイ（１〜ｎ）７０、７２は、機器７４を介して通信可能に接続される。各ゲートウェイは、一つ以上のアクセス・ポイントと通信することができる。本発明の実施態様に従って、アクセス・ポイントの一つである７６は、ハードウェア、ソフトウェア又はそれらの組み合わせを通じてプロセス通信パケットを受信し、プロセス通信パケットを検査し、HART（登録商標）のプロトコル、装置記述又はそれらの組み合わせに基づく一つ以上のルールを通信が順守しているかを判定するように構成される。アクセス・ポイント７６は、無線ネットワークにおけるデータをリッスン（ｌｉｓｔｅｎｓ：聞く、受信）し、到達する度にパケットを検査する。検査の結果として、通信トラフィックのある種のアスペクト（ソース・アドレス、到達率、公知の機器、新規の機器、参加要求など）を追跡し、イベントの検出時に統計値及び／又は警報をゲートウェイに提供することができる。本発明の実施態様は、冗長ペアを提供するための、複数個のゲートウェイ及びそれぞれのアクセス・ポイントの利用も包含する。

【0013】

図４は、本発明の実施態様に従うプロセス通信セキュリティ・アプライアンスの概略線図である。セキュリティ・アプライアンス１００は、データ通信ネットワーク、例えば、イーサネット・ベースのデータ通信ネットワークに接続可能なネットワーク・インターフェース１０２を包含する。ポート１０２は、ネットワーク・インターフェース物理層１０４に接続され、公知の技術に従いデータ通信パケットを生成及び受信する。ネットワーク・インターフェース物理層１０４は、好適なメモリ、例えば、ランダム・アクセス・メモリ、リード・オンリー・メモリ、フラッシュ・メモリなどを包含するか又はそれらに接続され、プログラム命令を記憶及び実行する好ましくはマイクロプロセッサである、コントローラ１０６に接続される。セキュリティ・アプライアンス１００は、好ましくは、有線プロセス通信ポート１０８及び／又はアンテナ１１２に接続された無線プロセス通信ポート１１０も包含する。無線アクセス・ポイント内にセキュリティ・アプライアンス１００が具現化される実施形態では、いかなる有線プロセス通信ポートも必要ない。ポート１０８、１１０の各々は、HART（登録商標）のプロセス通信インターフェース１１４に接続されることができる。インターフェース１１４は、公知のHART（登録商標）のプロトコルを使用して、コントローラ１０６を外部機器、例えば、フィールド機器と通信可能にする。いくつかの実施態様では、HART（登録商標）の通信はＩＰネットワークを通じて提供されることができ、したがって、ネットワーク・インターフェース物理層１０４はHART（登録商標）のパケットのソースであることもできる。

【0014】

本発明の実施態様に従って、セキュリティ・アプライアンス１００は、ルール記憶装置１１６を包含する。任意で、セキュリティ・アプライアンス１００は、装置記述記憶装置１１８を包含することができる。ルール記憶装置１１６は、HART（登録商標）のプロトコルの基本的理解に基づくHART（登録商標）のプロセス通信に行使されることができる一つ以上のルールを記憶する不揮発性メモリを包含する。ルール記憶装置１１６によって、コントローラ１０６は、HART（登録商標）のネットワークにおけるパケットの構成及び／又は内容が有効であるかどうかを判定することが可能になる。さらに、ソースの有効性及びパケットの宛先を判定することができる。最終的に、パケットそれ自体の内容を分析して、それが適切であるかどうかを判定することができる。例として、不正な形式のパケットは、不適当な巡回冗長検査、バイト数、ペイロード・サイズなどを有することがある。パケットが無効である場合、セキュリティ・アプライアンス１００は、リクエストされた宛先にパケットを転送しない。追加的にかつ／又は代替的に、セキュリティ・アプライアンス１００は、不正な形式のパケットの検出に関連するイベントのデータを記憶し、かつ／又は適切な通信を責任当事者に送信することができる。その上、コントローラ１０６は、イベントのデータを追跡及び／又は分析し、多数の不正な形式のパケットが具体的な期間内に単一ソースから検出された場合、攻撃が現在アクティブであることを判定することができる。その場合、コントローラ１０６は、ユーザ及び／又は責任当事者に、攻撃の疑わしいソースの詳細とともに、攻撃が発生している可能性があることを通知することができる。なおもさらに、コントローラ１０６は、ユーザが介入するまで、そのソースからのすべてのパケットを拒否するように作動することができる。

【0015】

図４に図示するように、セキュリティ・アプライアンス１００は、装置記述記憶装置１１８も包含することができる。現在の最先端メモリテクノロジーを用いると、HART（登録商標）のプロトコルに従い、セキュリティ・アプライアンス１００の製作年月日現在通信するすべての公知のフィールド機器の装置記述を含有するに十分に記憶装置１１８を大きくすることには経済的採算性がある。その上、新規のHART（登録商標）の通信機器が生産されるにつれ、データネットワーク通信ポート１０２によって、装置記述記憶装置１１８を動的に更新することができる。包括的な装置記述記憶装置１１８を維持することにより、プロセス通信パケットに対して行われる追加的なチェック及び／又はテストを可能にする。例として、その装置記述によると温度計測を提供することのみが公知であるフィールド機器から所与のプロセス通信パケットが提供される場合、そのようなフィールド機器からのプロセス圧力を表すパケットは、たとえそのパケットがその他の点ではルール記憶装置１１６に明記されるすべてのルールを順守する場合でも、悪意のあるものとみなされる。

【0016】

HART（登録商標）のプロトコルで使用される多数の異なるタイプのコマンドがある。これらのタイプのコマンドは、ユニバーサル・コマンド、一般使用コマンド、無線コマンド、機器ファミリー・コマンド及び機器固有コマンドを包含する。機器固有コマンドを除く各タイプのコマンドの少なくとも一部の情報は、HART（登録商標）の仕様それ自体に基づいて公知となることができる。その上、プロセス通信のセキュリティ・アプライアンスが特定の具体的なフィールド機器に対する装置記述を含有する場合、機器固有コマンドさえも精査することができる。

【0017】

HART（登録商標）のプロトコル・パケットのアプリケーション層に行使することができるルールの一つの例は、以下のとおりである。所与のHART（登録商標）の改訂版については、ありとあらゆるコマンドに対するバイト数が公知であるため、パケットがコマンドを表す場合、公知のバイト数をパケットに行使することができる。機器固有コマンドにさえも、いくつかのルールを提供することができる。具体的には、コマンド範囲をテストして、許容可能な範囲（例えば、１２８〜２４０及び６４７６８〜６５０２１）内にあるかどうかを判定することができる。さらに、パケットの総バイト数を判定し、バイト数フィールドの内容と比較して、有効な一致をチェックすることができる。

【0018】

ゲートウェイ、例えば、Model 1420内のプロセス通信のセキュリティ・アプライアンスの機能性を具現化する相乗効果の一つは、ゲートウェイがネットワーク上のすべての個々のフィールド機器を認知していることである。その上、ゲートウェイは、すべてのHART（登録商標）のパケットを復号及び検査するために必要なすべての情報へのアクセス（具体的には復号キー）を有するという点において追加的な効果を有する。また、好ましくはゲートウェイ内で具現化されるセキュリティ・アプライアンスは、公知の宛先／無線機器のデータベース又はリストを構築し、それらの機器向けのメッセージのみを送信及び／又は転送することを確実にすることができる。なおもさらに、セキュリティ・アプライアンスは、公知の／構成されたソースからのパケットのみをチェックすることができ、及び／又はそれを転送することを可能にする。最終的に、先に明記したように、パケット構成それ自体を検査して、ヘッダー内容が適切であるかどうか、バイト数がパケットの実際のサイズに対応するかどうか、ＣＲＣチェックサムが有効であるかどうか、宛先アドレスが有効であるかどうかを判定することができる。これらのセキュリティ対策に加えて、セキュリティ・アプライアンスのコントローラのプロセッサは、動的な通信の変更に反応することができる。具体的には、公知のニューラル・ネットワーク及び／又は人工知能アルゴリズムを採用して、コントローラ１０６が正常なプロセス通信ネットワーク・トラフィックを本質的に学習することを可能にすることができる。追加的又は代替的に、ネットワーク通信ならびに／又はさまざまな宛先及びソースに対する一連の統計値を維持することができる。学習した正常な通信及び／又は統計的に記憶したパラメータに対する変更が検出された場合、データ通信ネットワーク・ポート１０２又はプロセス通信ポート１０８、１１０のいずれかによって、責任当事者に警報を伝送することができる。また、不審なパターンの通信は、ルールに基づいて具体的に識別することができる。例として、各リクエストで機器ＩＤが単純に増加又は減少する多数の宛先アドレス・リクエストをコントローラ１０６が認識した場合、そのパターンは、機器検索アプリケーションと思われる。そのような検索は、悪意のあるものと見なすことができる。さらに、拡張した機器タイプを繰り返し増加又は減少させる機器アドレス・リクエストは、ヒット検索アプリケーションを意味することもできる。これも、悪意のあるサインと見なされる。なおもさらに、単純に増加又は減少するメッセージフィールド、例えば、コマンド、バイト数、データフィールドを包含する宛先アドレス・リクエストは、利用可能な機器を探し出そうと、及び／又はプロセス通信ネットワークを混乱させようと試みているアプリケーションを示すことがある。そのようなパターンの検出は、悪意のあるサインと見なされることができる。

【0019】

万一悪意のあるサインが発見された場合、それはセキュリティ・アプライアンス内でローカルにロギングされることが好ましい。また、セキュリティ・アプライアンスは、イベント及び／又は追加的なステータスの情報を責任当事者又はＩＴアプリケーションにレポートするための簡易ネットワーク管理プロトコル又はシスログオプションを包含することができる。シスログは、イベント／警報をさらなる分析のために外部サーバ又はデータベースにロギングするためのサーバタイプのアプリケーションによって使用される周知のロギング・メカニズムである。

【0020】

図５は、本発明の実施態様に従う、プロセス設備への侵入検出及び防止を提供する方法のフロー図である。方法２００は、セキュリティ・アプライアンス又はプロセス通信ゲートウェイが少なくとも一つのプロセス通信パケットを受信し、パケットを復号するブロック２０２から開始する。ブロック２０４において、方法２００は、HARTプロトコルの先験的情報に基づく少なくとも一つのルールを、復号したパケットに適用する。先に明記したように、一つの例示的なルールは、所与のHARTコマンドについて、パケットのバイト数がHART仕様において明記されているものと合致する必要があるということである。ステップ２０６において、方法２００は、復号したパケットがブロック２０４において適用されたルールのすべてに合格しているか否かを判定する。すべてのルールの合格に成功した場合、次に、制御が、パケットがその意図された受取人に転送されるブロック２０８に進む。しかしながら、パケットが少なくとも一つのルールにフェイルした場合、次に、制御が、セキュリティのイベントが好ましくはロギングされるか又はイベントが生成され、パケットが意図された受取人へのさらなる通信からブロックされるブロック２１０に進む。

【0021】

図６は、本発明の実施態様に従う、プロセス設備への侵入検出及び防止を提供する方法のフロー図である。方法３００は、セキュリティ・アプライアンス又はプロセス通信ゲートウェイが少なくとも一つのプロセス通信パケットを受信し、必要に応じてパケットを復号するブロック３０２から開始する。ブロック３０４において、方法３００は、プロセス通信プロトコル（例えば、HART又はFOUNDATION Fieldbus）装置記述（ＤＤ）に基づく少なくとも一つのルールを復号したパケットに適用する。先に明記したように、装置記述に基づく一つの例示的なルールは、プロセス流体の圧力値を提供してくるプロセス温度変化トランスミッタである。ステップ３０６において、方法３００は、復号したパケットがブロック３０４において適用されたルールのすべてに合格しているか否かを判定する。すべてのルールの合格に成功した場合、次に、制御が、パケットがその意図された受取人に転送されるブロック３０８に進む。しかしながら、パケットが少なくとも一つのルールにフェイルした場合、次に、制御が、セキュリティ・イベントが好ましくはロギングされ、パケットが意図された受取人へのさらなる通信からブロックされるブロック３１０に進む。

【0022】

方法２００と３００とは、相互に排他的ではない。むしろ、一つの方法の肯定的な結果は、プロセス通信パケット及び装置記述の両方の詳細な情報に基づくプロセス設備侵入検出及び防止を提供する他の方法への入力として提供されることができる。

【0023】

好ましい実施態様を参照しながら本発明を記載してきたが、当業者は、本発明の本質及び範囲を逸することなく、形態及び詳細に変更を加えることができることを理解するであろう。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】