限制工业控制中的通信的制作方法
【专利说明】
【背景技术】
[0001 ]本实施例涉及工业控制系统(ICS)中的通信。经由以太网网络的因特网协议(IP)网络上的传输控制协议(TCP)连接来访问可编程逻辑控制器(PLC)。能够访问以太网或IP网络的攻击者可以能够拦截至和自可编程逻辑控制器的通信。所拦截的通信业务可能揭示关于由可编程逻辑控制器所控制的工业过程的敏感信息。该敏感信息可以包括将会对攻击者有用以便进一步渗透目标系统的信息，诸如口令。能够访问网络的攻击者还可以向可编程逻辑控制器发送恶意命令以中断工业过程。
[0002]与可编程逻辑控制器的敏感通信通过对网络进行物理上防护所保护。所述网络被掩蔽或安置在不可访问的位置中。在控制网络和外部网络(例如因特网)之间的气隙(airgap)经常被采用。可以通过应用层(在开放系统互连(OSI)模型中的层7)处的加密来保护通信。在网络层(0SI模型中的层3)处提供加密的VPN网桥可以用于使保护通信。然而，仍然可能通过不安全的信道(无论是由于缺乏物理安全性还是通信安全性)提供不期望的访问。
【发明内容】
[0003]作为介绍，下述的优选实施例包括用于限制工业控制中的通信的方法、系统、指令和计算机可读介质。VPN功能性被集成在PLC内以使得对线缆的物理访问可能不足以访问信息。通过只接受经由VPN接口所提供的命令或消息而不接受寻址到物理接口本身的消息的可编程逻辑控制器来提供进一步的通信安全性。
[0004]在第一方面中，提供了一种用于限制工业控制中的通信的方法。在工业控制网络中建立虚拟专用网络。虚拟专用网络被建立有可编程逻辑控制器作为具有可编程逻辑控制器所提供的虚拟专用网络支持的端点。仅由向可编程逻辑控制器所支持的虚拟专用网络的端点寻址的通信允许对可编程逻辑控制器的访问。阻止对除了向虚拟专用网络的端点寻址的通信之外的通信的可编程逻辑控制器的访问。
[0005]在第二方面中，提供了一种用于限制工业控制中的通信的系统。工业控制网络的线缆连接到工业控制网络的可编程逻辑控制器的物理接口。可编程逻辑控制器被配置用于虚拟专用网络通信并且被配置成仅仅响应于虚拟专用网络通信来改变操作而不响应于在物理接口处所接收的其它网络通信来改变操作。
[0006]在第三方面中，一种非暂时性计算机可读存储介质在其中存储有表示指令的数据，所述指令通过经编程的处理器可执行以用于限制工业控制中的通信。存储介质包括用于以下的指令:在可编程逻辑控制器的物理接口处接收第一和第二消息，所述第一消息向可编程逻辑控制器寻址，所述第二消息向被可编程逻辑控制器主控的虚拟专用网络节点寻址；响应于第二消息而变更可编程逻辑控制器的设置；以及阻止通过第一消息对可编程逻辑控制器的访问。
[0007]本发明由随后的权利要求来限定，并且本章节中没有什么应当被理解为对那些权利要求的限制。本发明的另外的方面和优点在以下结合优选实施例来讨论并且可以稍后被独立地或组合地要求保护。
【附图说明】
[0008]组件和各图不一定是按比例的，代替地重点放在图示本发明的原理上。此外，在各图中，同样的附图标记贯穿不同的视图指明对应的部分。
[0009]图1是用于限制工业控制中的通信的系统的一个实施例的框图；以及
图2是图1的系统的工业控制网络中的可编程逻辑控制器的一个实施例的框图；
图3是用于限制工业控制中的通信的方法的一个实施例的流程图；以及图4是具有所建立的VPN通信的图1的系统的框图。
【具体实施方式】
[0010]VPN通信支持被集成到可编程逻辑控制器中。集成的VPN用于忽略所有通信，除非通信经由VPN而到达。集成的VPN在网络层(S卩，OSI模型的层3)处提供加密。加密防护通信以免偷听和操纵。可以阻止物理攻击，其中攻击者使设备的以太网线缆断开并且替换伪可编程逻辑控制器或拦截线缆中的通信。也阻止其中攻击者模仿无线接入点或无线站的攻击。VPN能力被直接集成到可编程逻辑控制器中，而不是使用分立的VPN桥和路由器，所述VPN桥和路由器可以允许在桥和可编程逻辑控制器之间的物理断开。集成的VPN支持提供使用分离的VPN设备的益处但没有空间要求。集成的VPN不可以被物理操纵绕过。
[0011]图1示出了用于限制工业控制中的通信的系统。所述系统是使用工业控制网络的工业控制系统。工业控制网络使用现场设备来实现工业过程。例如，所述系统可以使用与现场设备(例如可编程逻辑控制器或远程终端单元)的通信来监视和控制制造过程。所述系统提供控制能力并且可以包括用于与过程的控制和数据获取交互的用户接口。
[0012]现场设备是面板、可编程逻辑控制器和/或远程终端单元。在图1的示例中，示出了三个可编程逻辑控制器20A-C、人机接口设备22和操作员站24。可以提供附加的、不同的或更少的现场设备。可以使用用于监视物理过程或特性和/或控制制造或生产的其它控制器、监视器或设备。
[0013]可编程逻辑控制器20A-C是用于机电、化学、气动、流体、电学、机械或其它过程的自动化的面板、计算机、处理器、电路或其它可编程设备。例如，可编程逻辑控制器20A-C控制组装线上的机器、加热-通风-空气调节(HVAC)、精炼流、混合或者其它设备或过程。可编程逻辑控制器20A-C响应于有限时间内的输入条件而输出。
[0014]为了操作，可编程逻辑控制器20A-C可以包括传感器和/或致动器。传感器可以是温度、压力、速率、电流、电压、电感、电容、化学、流传感器或其它传感器。可以使用任何数目的传感器。致动器可以是用于变更、移动、钻孔、焊接、混合、旋转、改变或以其它方式致动的磁性、电学、气动设备或其它设备。传感器和致动器与现场设备通信或者作为现场设备的部分以用于控制和测量。
[0015]可编程逻辑控制器20A-C可以被配置成基于编程而进行操作。可以对要执行的动作和/或针对何时执行动作的设定点进行编程。可以配置工作流或动作系列。基于用户接口处的输入和/或通过网络所提供的项目，可编程逻辑控制器20A-C被配置成基于与工业过程相关联的触发和/或报告事件来控制工业过程的一个或多个方面。
[0016]为了配置可编程逻辑控制器20A-C用于与工业过程一起操作，提供具有设定点、程序或其它信息的通信。通信去往或来自可编程逻辑控制器20A-C中的一个或多个。
[0017]图2示出了可编程逻辑控制器20A-C、人机接口设备22、操作员站24和工程站26中一个或多个的一个实施例。不要求设备是相同的。例如，可编程逻辑控制器20A-C被特意构建成经受住工业环境中的压力和力量和/或是计算机。人机接口设备22是具有通信能力的切换器或按钮、计算机或现场面板。操作员站24是现场面板或计算机。工程站26是具有用于与其它组件对接或通信的一个或多个卡的个人计算机。
[0018]组件包括处理器12、存储器14和网络接口 16。这些部分提供在工业控制网络中防护通信。可以提供附加、不同或更少的部分。例如，存储器14或处理器12未被提供在人机接口 24中。作为另一示例，显示器被提供用于工程站26和/或操作员站24。可以使用任何类型的显示器，诸如LED、监视器、IXD、投影仪、等离子体显示器、CRT或打印机。
[0019]处理器12是通用处理器、中央处理单元、控制处理器、图形处理器、数字信号处理器、三维渲染处理器、图像处理器、专用集成电路、现场可编程门阵列、数字电路、模拟电路、其组合、或者用于使用在工业控制网络中的其