特許第6182150号(P6182150)IP Force 特許公報掲載プロジェクト 2015.5.11 β版

知財求人 - 知財ポータルサイト「IP Force」

▶ ローズマウント インコーポレイテッドの特許一覧
特許6182150プロセス設備のネットワークへの侵入検出及び防止
<>
  • 特許6182150-プロセス設備のネットワークへの侵入検出及び防止 図000002
  • 特許6182150-プロセス設備のネットワークへの侵入検出及び防止 図000003
  • 特許6182150-プロセス設備のネットワークへの侵入検出及び防止 図000004
  • 特許6182150-プロセス設備のネットワークへの侵入検出及び防止 図000005
  • 特許6182150-プロセス設備のネットワークへの侵入検出及び防止 図000006
  • 特許6182150-プロセス設備のネットワークへの侵入検出及び防止 図000007
< >
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】6182150
(24)【登録日】2017年7月28日
(45)【発行日】2017年8月16日
(54)【発明の名称】プロセス設備のネットワークへの侵入検出及び防止
(51)【国際特許分類】
   H04L 12/28 20060101AFI20170807BHJP
【FI】
   H04L12/28 200Z
   H04L12/28 100F
   H04L12/28 100S
【請求項の数】20
【全頁数】12
(21)【出願番号】特願2014-535712(P2014-535712)
(86)(22)【出願日】2012年6月1日
(65)【公表番号】特表2014-533460(P2014-533460A)
(43)【公表日】2014年12月11日
(86)【国際出願番号】US2012040413
(87)【国際公開番号】WO2013055408
(87)【国際公開日】20130418
【審査請求日】2014年6月4日
【審判番号】不服-150(P-150/J1)
【審判請求日】2016年1月5日
(31)【優先権主張番号】13/272,394
(32)【優先日】2011年10月13日
(33)【優先権主張国】US
(73)【特許権者】
【識別番号】597115727
【氏名又は名称】ローズマウント インコーポレイテッド
(74)【代理人】
【識別番号】110001508
【氏名又は名称】特許業務法人 津国
(72)【発明者】
【氏名】ロットボルド,エリック・ディー
(72)【発明者】
【氏名】ポッター,ジェフ・ディー
【合議体】
【審判長】 大塚 良平
【審判官】 中野 浩昌
【審判官】 吉田 隆之
(56)【参考文献】
【文献】 特開2011−100443(JP,A)
(58)【調査した分野】(Int.Cl.,DB名)
H04L 12/28
(57)【特許請求の範囲】
【請求項1】
プロセス通信機器であって:
プロセス通信プロトコルに従ってプロセス通信ループで少なくとも1つのフィールド装置と通信するためのプロセス通信インターフェースと;
前記プロセス通信インターフェースに接続されたコントローラと;
前記コントローラに接続され、前記プロセス通信プロトコルに基づく少なくとも一つのプロセス通信パケットルールを有するルール記憶装置と、
前記コントローラに接続され、少なくとも一つのフィールド装置を記述した少なくとも一つの装置記述に基づくルールを有する装置記述記憶装置とを含み;
前記コントローラが、前記プロセス通信インターフェースから受信した少なくとも一つのプロセス通信パケットに、前記少なくとも一つのプロセス通信パケットルールおよび前記少なくとも一つの装置記述に基づくルールを適用し、前記少なくとも一つのプロセス通信パケットが、前記少なくとも一つのプロセス通信パケットルールにフェイルしたとき、又は、前記少なくとも一つのプロセス通信パケットが、前記少なくとも一つの装置記述に基づくルールに従っていなかった場合は、イベントの情報を生成する、
プロセス通信機器。
【請求項2】
前記プロセス通信プロトコルが、HARTプロトコルである、
請求項1記載のプロセス通信機器。
【請求項3】
前記プロセス通信プロトコルが、デジタル信号を4〜20mAアナログ電流信号に重畳させる、
請求項1に記載のプロセス通信機器。
【請求項4】
前記プロセス通信インターフェースが、有線プロセス通信インターフェースである、
請求項1に記載のプロセス通信機器。
【請求項5】
前記プロセス通信インターフェースが、無線プロセス通信インターフェースである、
請求項1に記載のプロセス通信機器。
【請求項6】
前記プロセス通信インターフェースが、有線プロセス通信インターフェースでもある、
請求項5に記載のプロセス通信機器。
【請求項7】
前記コントローラに接続されたネットワーク・インターフェースをさらに含み、
前記コントローラが、前記プロセス通信パケットがすべてのプロセス通信パケットルールに合格している場合、前記ネットワーク・インターフェースを通じて、前記プロセス通信パケットを転送するように構成される、
請求項1に記載のプロセス通信機器。
【請求項8】
前記コントローラが、前記少なくとも一つのプロセス通信パケットルールを適用する前に、前記少なくとも一つのプロセス通信パケットを復号するように構成される、
請求項7に記載のプロセス通信機器。
【請求項9】
前記プロセス通信機器が、プロセス通信ゲートウェイ内で具現化される、
請求項8に記載のプロセス通信機器。
【請求項10】
前記少なくとも一つのプロセス通信パケットルールが、許容可能なパケットバイト数と、前記プロセス通信パケット内に含有されたプロセス通信プロトコルコマンドとを関連付ける、
請求項1に記載のプロセス通信機器。
【請求項11】
前記少なくとも一つのプロセス通信パケットルールが、許容可能なコマンド範囲を包含する、
請求項1に記載のプロセス通信機器。
【請求項12】
前記許容可能なコマンド範囲が、128〜240及び64768〜65021である、
請求項11に記載のプロセス通信機器。
【請求項13】
前記プロセス通信機器が、アクセス・ポイント内で具現化される、
請求項1に記載のプロセス通信機器。
【請求項14】
請求項1に記載のプロセス通信機器におけるプロセス通信の保護を提供する方法であって:
プロセス通信プロトコルに従って、少なくとも一つのプロセス通信パケットを取得する工程と;
前記プロセス通信プロトコルに基づく少なくとも一つのプロセス通信パケットルールを、前記少なくとも一つのプロセス通信パケットに対して適用する工程と;
前記少なくとも一つのフィールド装置を記述した少なくとも一つの装置記述に基づくルールを、前記少なくとも一つのプロセス通信パケットに対して適用する工程と;
前記少なくとも一つのプロセス通信パケットが、前記少なくとも一つのプロセス通信パケットルールにフェイルしたとき、又は、前記少なくとも一つのプロセス通信パケットが、前記少なくとも一つの装置記述に基づくルールに従っていなかった場合は、イベントの情報を生成する工程と、
を含む方法。
【請求項15】
前記イベントをロギングする工程、
をさらに含む請求項14に記載の方法。
【請求項16】
前記少なくとも一つのプロセス通信パケットが、前記少なくとも一つのプロセス通信パケットルール及び前記少なくとも一つの装置記述に基づくルールの各々に合格しているか否かに基づいて、前記少なくとも一つのプロセス通信パケットを選択的に転送する工程、
をさらに含む請求項14に記載の方法。
【請求項17】
プロセス通信機器であって:
プロセス通信プロトコルに従ってプロセス通信ループで通信するためのプロセス通信インターフェースと;
前記プロセス通信インターフェースに接続されたコントローラと;
前記コントローラに接続され、少なくとも一つのフィールド装置を記述した装置記述に基づく少なくとも一つのルールを有する装置記述記憶装置とを含み;
前記コントローラが、前記プロセス通信インターフェースから受信した少なくとも一つのプロセス通信パケットに、前記少なくとも一つルールを適用し、前記少なくとも一つのプロセス通信パケットが、前記少なくとも一つのルールに従っていなかった場合は、イベントの情報を生成する、
プロセス通信機器。
【請求項18】
請求項1に記載のプロセス通信機器におけるプロセス通信の保護を提供する方法であって:
プロセス通信プロトコルに従って、少なくとも一つのプロセス通信パケットを取得する工程と;
前記少なくとも一つのプロセス通信パケットに対して、前記少なくとも一つのフィールド装置を記述した装置記述に基づく少なくとも一つのルールを適用する工程と;
前記少なくとも一つのプロセス通信パケットが、前記少なくとも一つのルールに従っていなかった場合は、イベントデータを生成する工程と、
を含む方法。
【請求項19】
前記イベントをロギングする工程、
をさらに含む請求項18に記載の方法。
【請求項20】
前記少なくとも一つのプロセス通信パケットが、前記少なくとも一つのルールの各々に合格しているか否かに基づいて、前記少なくとも一つのプロセス通信パケットを選択的に転送する工程、
をさらに含む請求項18に記載の方法。
【発明の詳細な説明】
【技術分野】
【0001】
背景
最新のプロセス設備は、日常使用する種々の製品及び材料を提供及び/又は生産するために使用される。そのようなプロセス設備の例は、石油精製設備、医薬品製造設備、化学処理設備、パルプ及び他の処理設備を包含する。そのような設備では、プロセス制御及び計測ネットワークは、制御室と、場合によっては互いに通信してプロセスを制御する、何千さらには何万ものさまざまなフィールド機器を包含することができる。所与のフィールド機器の故障がプロセスの制御不能を招くことを考えると、フィールド機器の物理的特性及び電気通信は、一般的に、厳しい仕様の対象となる。
【0002】
これまで、所与のプロセス設備におけるフィールド機器は、一般的に、プロセス制御ループ又はセグメントを通じて、有線接続を介して制御室及び/又は他のフィールド機器と通信することが可能であった。有線プロセス通信プロトコルの例は、Highway Addressable Remote Transducer(HART(登録商標))プロトコルとして公知である。HART(登録商標)通信は、プロセス産業で使用される主要な通信プロトコルの一つである。近年、プロセス設備についても、インターネットへのアクセスを許可することが可能になったことは、いくつかのケースでは潜在的に望ましい。そのようなフィーチャは、世界中の事実上いかなる接続されたコンピュータからプロセス設備と交信する能力を提供する一方、悪意のあるエンティティ、例えば、ハッカーに対しても、プロセス設備の物理的な場所に移動することなく、プロセス設備に影響を与えようとする試みのための潜在能力も提供する。
【0003】
プロセス設備に関するもう一つの最近の発展に、無線通信の利用がある。そのような無線通信は、さまざまなフィールド機器への長い距離の配線をもはや提供する必要がないという点において、プロセス設備を簡略化する。その上、そのような無線プロトコルの一つ、WirelessHART(IEC 62591)は、従来のHART(登録商標)のプロトコルを拡張させたもので、大いに高まったデータ転送速度を提供する。例として、WirelessHARTは、最大で250Kbpsの通信をサポートする。Wireless HART(登録商標)のSpecificationの関連部分は:HCF_Spec 13、改訂版7.0と;HART Specification 65 - Wireless Physical Layer Specificationと;HART Specification 75 - TDMA Data Link Layer Specification(TDMAは時分割多元接続を指す)と;HART Specification 85 - Network Management Specificationと;HART Specification 155 - Wireless command Specificationと;HART Specification 290 - Wireless Devices Specificationとを包含する。無線通信は、プロセス設備に多くの効果を提供する一方、プロセス設備の物理的近傍にある機器が無線通信ネットワークに潜在的に係わり、影響を及ぼすことも可能にする。
【0004】
プロセス設備の最近の接続性を考えると、現時点では、悪意のあるエンティティの侵入及び活動からプロセス通信を保護することが非常に重要である。これは、インターネットに接続することができるプロセス設備、無線プロセス通信を採用するプロセス設備又はその両方に当てはまる。それゆえに、プロセス通信ループへの侵入を検出及び防止する能力を持つプロセス設備を提供することが、プロセス通信に依存するさまざまなプロセス設備を守ることにさらに役立つ。
【0005】
概要
プロセス通信機器は、プロセス通信プロトコルに従ってプロセス通信ループで通信するためのプロセス通信インターフェースを包含する。コントローラは、プロセス通信インターフェースに接続される。ルール記憶装置は、コントローラに接続され、プロセス通信プロトコルに基づく少なくとも一つのプロセス通信パケットルールを有する。コントローラは、プロセス通信インターフェースから受信した少なくとも一つのプロセス通信パケットに少なくとも一つのプロセス通信パケットルールを適用し、プロセス通信パケットが少なくとも一つのプロセス通信パケットルールにフェイルしたときにイベントの情報を生成する。
【図面の簡単な説明】
【0006】
図1】本発明の実施態様に従うプロセス通信システムの概略線図である。
図2】本発明の実施態様が特に適用可能なプロセス通信及び制御システムの概略線図である。
図3】本発明の実施態様が特に有効なもう一つのプロセス通信及び制御環境の概略線図である。
図4】本発明の実施態様に従うプロセス通信セキュリティ・・アプライアンスの概略線図である。
図5】本発明の実施態様に従う、プロセス設備への侵入検出及び防止を提供する方法の概略フロー図である。
図6】本発明のもう一つの実施態様に従う、プロセス設備への侵入検出及び防止を提供する方法の概略フロー図である。
【0007】
図示の実施態様の詳細な説明
本発明の実施態様は、概して、HART(登録商標)のプロトコル(有線及び無線の両方)及び/又はHART(登録商標)の装置記述(DD:Device Description:LAN間接続装置に関する記述)の具体的な情報を活用し、プロセス通信ループに入るか、プロセス通信ループから出るか、さらには異常のためにプロセス通信ループを通過するか、するプロセス通信ネットワークトラフィックを監視する。本発明の実施態様が概してHART(登録商標)のプロセス通信ループに関して記載されている一方、本発明の実施態様は、装置記述をサポートする任意の好適なプロセス通信プロトコルで実施されることができる。
【0008】
HART(登録商標)のプロトコルは、デジタル通信信号を標準的な4〜20mAのアナログ信号に重畳させたものからなるハイブリッド物理層を有する。データ伝送速度は約1.2Kbps/secである。HART(登録商標)の通信は、プロセス産業における主要な通信プロトコルの一つである。無線及び有線の両方のHART(登録商標)の通信は、実質的に類似するアプリケーション層を共有する。その上、無線及び有線の両方のHART(登録商標)の通信のコマンド内容は同一である。それゆえに、物理層が異なり得る一方、アプリケーション層においては、これらの2つのプロセス通信のプロトコルは極めて類似している。
【0009】
HART(登録商標)のネットワーク上及びそれを通じたプロセス通信ネットワークのセキュリティは重要であり、HART(登録商標)のネットワークトラフィックを無線ネットワークのみならずTCP/IPネットワークを通じて運ぶことができる現時点では、より重要になっている。いくつかのネットワークのセキュリティは、機器、例えば、ミネソタ州チャンハッセンのEmerson Process ManagementによってModel 1420 Wireless Gatewayの商品番号の下で販売されているものによって提供されてきた。この機器は、送信者及び受信者を認証し、データが有効であるかどうかを検証し、プロセス通信データを暗号化し、暗号化キーの定期的な変更を自動的に管理する能力を提供する。Model 1420によって提供されるプロセス通信のセキュリティが最新のプロセス通信のネットワークに大変貴重である一方、本発明の実施態様は、概して、HART(登録商標)のプロトコルそれ自体、HART(登録商標)の装置記述(DD)又はそれらの組み合わせについての追加的な情報を活用することによって、1420 Wireless Gatewayによって提供されるセキュリティを基に構築される。本発明の実施態様がプロセス通信へのアクセスを有する任意の機器に適用可能である一方、本発明の実施態様は、ファイアウォール・アプライアンス、ゲートウェイ、例えば、改良型無線ゲートウェイ、又はアクセス・ポイント・タイプの機器のいずれかにおいて具現化されることが好ましい。
【0010】
図1は、本発明の実施態様に従うプロセス通信システム10の概略線図である。システム10は、プラント・ローカル・エリア・ネットワーク16を通じて互いに通信可能に接続されたワークステーション12及びサーバ14を包含する。ネットワーク16は、ローカル・エリア・ネットワーク・ファイアウォール20を介してインターネット18に接続される。ローカル・エリア・ネットワーク・ファイアウォール20は、選択されたTCP/IPトラフィックのみをそこを通して提供する周知の機器である。図1に図示する実施態様では、プロセス通信セキュリティ・アプライアンス22は、接続手段24によってプラントLAN16に接続され、さらにポート26を介して機器1〜nに接続される。プロセス通信セキュリティ・アプライアンス22は、インターネット18及び/又はプラントLAN16を通じて生じる悪意のある行為からプロセス通信セグメント及び/又はループを保護する。プロセス通信セキュリティ・アプライアンス22内のプロセッサは、一つ以上のプロセス通信パケットを受信し、HART(登録商標)のプロセス通信ルール、装置記述の要件又はそれらの組み合わせに具体的に基づく一つ以上のルールをパケットが満たしているか否かをテストすることが可能なソフトウェア命令を実行する。
【0011】
図2は、本発明の実施態様が特に適用可能なプロセス通信及び制御システム50の概略線図である。多数のワークステーション52、54及び56は、プラントLAN16を介して共に接続される。また、無線プロセス通信ゲートウェイ58も、接続手段60を介してLAN16に接続される。図2に示す配置は、Model 1420 Smart Wireless Gatewayが動作する現在の環境である。ゲートウェイ58は、WirelessHART(登録商標)の通信を介して一つ以上のフィールド機器62と通信する。それゆえに、本発明の実施態様は、ゲートウェイ58内に置かれたプロセッサ又は他の好適なコントローラを使用して実施されることができる。
【0012】
図3は、本発明の実施態様が特に有効なもう一つのプロセス通信及び制御環境の概略線図である。具体的には、一つ以上のゲートウェイ(1〜n)70、72は、機器74を介して通信可能に接続される。各ゲートウェイは、一つ以上のアクセス・ポイントと通信することができる。本発明の実施態様に従って、アクセス・ポイントの一つである76は、ハードウェア、ソフトウェア又はそれらの組み合わせを通じてプロセス通信パケットを受信し、プロセス通信パケットを検査し、HART(登録商標)のプロトコル、装置記述又はそれらの組み合わせに基づく一つ以上のルールを通信が順守しているかを判定するように構成される。アクセス・ポイント76は、無線ネットワークにおけるデータをリッスン(listens:聞く、受信)し、到達する度にパケットを検査する。検査の結果として、通信トラフィックのある種のアスペクト(ソース・アドレス、到達率、公知の機器、新規の機器、参加要求など)を追跡し、イベントの検出時に統計値及び/又は警報をゲートウェイに提供することができる。本発明の実施態様は、冗長ペアを提供するための、複数個のゲートウェイ及びそれぞれのアクセス・ポイントの利用も包含する。
【0013】
図4は、本発明の実施態様に従うプロセス通信セキュリティ・アプライアンスの概略線図である。セキュリティ・アプライアンス100は、データ通信ネットワーク、例えば、イーサネット・ベースのデータ通信ネットワークに接続可能なネットワーク・インターフェース102を包含する。ポート102は、ネットワーク・インターフェース物理層104に接続され、公知の技術に従いデータ通信パケットを生成及び受信する。ネットワーク・インターフェース物理層104は、好適なメモリ、例えば、ランダム・アクセス・メモリ、リード・オンリー・メモリ、フラッシュ・メモリなどを包含するか又はそれらに接続され、プログラム命令を記憶及び実行する好ましくはマイクロプロセッサである、コントローラ106に接続される。セキュリティ・アプライアンス100は、好ましくは、有線プロセス通信ポート108及び/又はアンテナ112に接続された無線プロセス通信ポート110も包含する。無線アクセス・ポイント内にセキュリティ・アプライアンス100が具現化される実施形態では、いかなる有線プロセス通信ポートも必要ない。ポート108、110の各々は、HART(登録商標)のプロセス通信インターフェース114に接続されることができる。インターフェース114は、公知のHART(登録商標)のプロトコルを使用して、コントローラ106を外部機器、例えば、フィールド機器と通信可能にする。いくつかの実施態様では、HART(登録商標)の通信はIPネットワークを通じて提供されることができ、したがって、ネットワーク・インターフェース物理層104はHART(登録商標)のパケットのソースであることもできる。
【0014】
本発明の実施態様に従って、セキュリティ・アプライアンス100は、ルール記憶装置116を包含する。任意で、セキュリティ・アプライアンス100は、装置記述記憶装置118を包含することができる。ルール記憶装置116は、HART(登録商標)のプロトコルの基本的理解に基づくHART(登録商標)のプロセス通信に行使されることができる一つ以上のルールを記憶する不揮発性メモリを包含する。ルール記憶装置116によって、コントローラ106は、HART(登録商標)のネットワークにおけるパケットの構成及び/又は内容が有効であるかどうかを判定することが可能になる。さらに、ソースの有効性及びパケットの宛先を判定することができる。最終的に、パケットそれ自体の内容を分析して、それが適切であるかどうかを判定することができる。例として、不正な形式のパケットは、不適当な巡回冗長検査、バイト数、ペイロード・サイズなどを有することがある。パケットが無効である場合、セキュリティ・アプライアンス100は、リクエストされた宛先にパケットを転送しない。追加的にかつ/又は代替的に、セキュリティ・アプライアンス100は、不正な形式のパケットの検出に関連するイベントのデータを記憶し、かつ/又は適切な通信を責任当事者に送信することができる。その上、コントローラ106は、イベントのデータを追跡及び/又は分析し、多数の不正な形式のパケットが具体的な期間内に単一ソースから検出された場合、攻撃が現在アクティブであることを判定することができる。その場合、コントローラ106は、ユーザ及び/又は責任当事者に、攻撃の疑わしいソースの詳細とともに、攻撃が発生している可能性があることを通知することができる。なおもさらに、コントローラ106は、ユーザが介入するまで、そのソースからのすべてのパケットを拒否するように作動することができる。
【0015】
図4に図示するように、セキュリティ・アプライアンス100は、装置記述記憶装置118も包含することができる。現在の最先端メモリテクノロジーを用いると、HART(登録商標)のプロトコルに従い、セキュリティ・アプライアンス100の製作年月日現在通信するすべての公知のフィールド機器の装置記述を含有するに十分に記憶装置118を大きくすることには経済的採算性がある。その上、新規のHART(登録商標)の通信機器が生産されるにつれ、データネットワーク通信ポート102によって、装置記述記憶装置118を動的に更新することができる。包括的な装置記述記憶装置118を維持することにより、プロセス通信パケットに対して行われる追加的なチェック及び/又はテストを可能にする。例として、その装置記述によると温度計測を提供することのみが公知であるフィールド機器から所与のプロセス通信パケットが提供される場合、そのようなフィールド機器からのプロセス圧力を表すパケットは、たとえそのパケットがその他の点ではルール記憶装置116に明記されるすべてのルールを順守する場合でも、悪意のあるものとみなされる。
【0016】
HART(登録商標)のプロトコルで使用される多数の異なるタイプのコマンドがある。これらのタイプのコマンドは、ユニバーサル・コマンド、一般使用コマンド、無線コマンド、機器ファミリー・コマンド及び機器固有コマンドを包含する。機器固有コマンドを除く各タイプのコマンドの少なくとも一部の情報は、HART(登録商標)の仕様それ自体に基づいて公知となることができる。その上、プロセス通信のセキュリティ・アプライアンスが特定の具体的なフィールド機器に対する装置記述を含有する場合、機器固有コマンドさえも精査することができる。
【0017】
HART(登録商標)のプロトコル・パケットのアプリケーション層に行使することができるルールの一つの例は、以下のとおりである。所与のHART(登録商標)の改訂版については、ありとあらゆるコマンドに対するバイト数が公知であるため、パケットがコマンドを表す場合、公知のバイト数をパケットに行使することができる。機器固有コマンドにさえも、いくつかのルールを提供することができる。具体的には、コマンド範囲をテストして、許容可能な範囲(例えば、128〜240及び64768〜65021)内にあるかどうかを判定することができる。さらに、パケットの総バイト数を判定し、バイト数フィールドの内容と比較して、有効な一致をチェックすることができる。
【0018】
ゲートウェイ、例えば、Model 1420内のプロセス通信のセキュリティ・アプライアンスの機能性を具現化する相乗効果の一つは、ゲートウェイがネットワーク上のすべての個々のフィールド機器を認知していることである。その上、ゲートウェイは、すべてのHART(登録商標)のパケットを復号及び検査するために必要なすべての情報へのアクセス(具体的には復号キー)を有するという点において追加的な効果を有する。また、好ましくはゲートウェイ内で具現化されるセキュリティ・アプライアンスは、公知の宛先/無線機器のデータベース又はリストを構築し、それらの機器向けのメッセージのみを送信及び/又は転送することを確実にすることができる。なおもさらに、セキュリティ・アプライアンスは、公知の/構成されたソースからのパケットのみをチェックすることができ、及び/又はそれを転送することを可能にする。最終的に、先に明記したように、パケット構成それ自体を検査して、ヘッダー内容が適切であるかどうか、バイト数がパケットの実際のサイズに対応するかどうか、CRCチェックサムが有効であるかどうか、宛先アドレスが有効であるかどうかを判定することができる。これらのセキュリティ対策に加えて、セキュリティ・アプライアンスのコントローラのプロセッサは、動的な通信の変更に反応することができる。具体的には、公知のニューラル・ネットワーク及び/又は人工知能アルゴリズムを採用して、コントローラ106が正常なプロセス通信ネットワーク・トラフィックを本質的に学習することを可能にすることができる。追加的又は代替的に、ネットワーク通信ならびに/又はさまざまな宛先及びソースに対する一連の統計値を維持することができる。学習した正常な通信及び/又は統計的に記憶したパラメータに対する変更が検出された場合、データ通信ネットワーク・ポート102又はプロセス通信ポート108、110のいずれかによって、責任当事者に警報を伝送することができる。また、不審なパターンの通信は、ルールに基づいて具体的に識別することができる。例として、各リクエストで機器IDが単純に増加又は減少する多数の宛先アドレス・リクエストをコントローラ106が認識した場合、そのパターンは、機器検索アプリケーションと思われる。そのような検索は、悪意のあるものと見なすことができる。さらに、拡張した機器タイプを繰り返し増加又は減少させる機器アドレス・リクエストは、ヒット検索アプリケーションを意味することもできる。これも、悪意のあるサインと見なされる。なおもさらに、単純に増加又は減少するメッセージフィールド、例えば、コマンド、バイト数、データフィールドを包含する宛先アドレス・リクエストは、利用可能な機器を探し出そうと、及び/又はプロセス通信ネットワークを混乱させようと試みているアプリケーションを示すことがある。そのようなパターンの検出は、悪意のあるサインと見なされることができる。
【0019】
万一悪意のあるサインが発見された場合、それはセキュリティ・アプライアンス内でローカルにロギングされることが好ましい。また、セキュリティ・アプライアンスは、イベント及び/又は追加的なステータスの情報を責任当事者又はITアプリケーションにレポートするための簡易ネットワーク管理プロトコル又はシスログオプションを包含することができる。シスログは、イベント/警報をさらなる分析のために外部サーバ又はデータベースにロギングするためのサーバタイプのアプリケーションによって使用される周知のロギング・メカニズムである。
【0020】
図5は、本発明の実施態様に従う、プロセス設備への侵入検出及び防止を提供する方法のフロー図である。方法200は、セキュリティ・アプライアンス又はプロセス通信ゲートウェイが少なくとも一つのプロセス通信パケットを受信し、パケットを復号するブロック202から開始する。ブロック204において、方法200は、HARTプロトコルの先験的情報に基づく少なくとも一つのルールを、復号したパケットに適用する。先に明記したように、一つの例示的なルールは、所与のHARTコマンドについて、パケットのバイト数がHART仕様において明記されているものと合致する必要があるということである。ステップ206において、方法200は、復号したパケットがブロック204において適用されたルールのすべてに合格しているか否かを判定する。すべてのルールの合格に成功した場合、次に、制御が、パケットがその意図された受取人に転送されるブロック208に進む。しかしながら、パケットが少なくとも一つのルールにフェイルした場合、次に、制御が、セキュリティのイベントが好ましくはロギングされるか又はイベントが生成され、パケットが意図された受取人へのさらなる通信からブロックされるブロック210に進む。
【0021】
図6は、本発明の実施態様に従う、プロセス設備への侵入検出及び防止を提供する方法のフロー図である。方法300は、セキュリティ・アプライアンス又はプロセス通信ゲートウェイが少なくとも一つのプロセス通信パケットを受信し、必要に応じてパケットを復号するブロック302から開始する。ブロック304において、方法300は、プロセス通信プロトコル(例えば、HART又はFOUNDATION Fieldbus)装置記述(DD)に基づく少なくとも一つのルールを復号したパケットに適用する。先に明記したように、装置記述に基づく一つの例示的なルールは、プロセス流体の圧力値を提供してくるプロセス温度変化トランスミッタである。ステップ306において、方法300は、復号したパケットがブロック304において適用されたルールのすべてに合格しているか否かを判定する。すべてのルールの合格に成功した場合、次に、制御が、パケットがその意図された受取人に転送されるブロック308に進む。しかしながら、パケットが少なくとも一つのルールにフェイルした場合、次に、制御が、セキュリティ・イベントが好ましくはロギングされ、パケットが意図された受取人へのさらなる通信からブロックされるブロック310に進む。
【0022】
方法200と300とは、相互に排他的ではない。むしろ、一つの方法の肯定的な結果は、プロセス通信パケット及び装置記述の両方の詳細な情報に基づくプロセス設備侵入検出及び防止を提供する他の方法への入力として提供されることができる。
【0023】
好ましい実施態様を参照しながら本発明を記載してきたが、当業者は、本発明の本質及び範囲を逸することなく、形態及び詳細に変更を加えることができることを理解するであろう。
図1
図2
図3
図4
図5
図6