例如工业控制网络)上，消息传递就被限制于仅VPN通信。在其它实施例中，对于仅VPN通信的限制只适用于消息的一个或多个类。例如，仅VPN的限制适用于与工业过程控制相关联的任何消息。与网络维护、配置或使用相关联的消息不限于仅VPN。可以使用相反的(例如，仅VPN限制用于网络，而不是工业控制消息)。消息的其它类可以具有相同或不同的限制。
[0036]图3示出用于限制工业控制中的通信的方法。所述方法由图1的系统、图2的组件或另一系统和/或组件来实现。以所示出的次序或其它次序来执行动作。例如，动作38和42作为相同过程的部分同时执行。
[0037]可以提供附加的、不同的或更少的动作。例如，图3的动作聚焦于可编程逻辑控制器的操作。针对使用VPN通信的工业控制网络的其它设备提供附加的或不同的动作。例如，用于限制通信或基于通信的处理的动作38和42是或不是针对或由其它端点或其它现场设备来执行的。
[0038]对工业控制网络进行调试(commiss1n)。安置并连接组件。使联网的组件通电并且执行任何测试来确认组件和网络的操作。执行用于供应工业控制系统(工业控制网络)的任何动作。调试可以发生在已知良好的环境中。联网的组件被配置成在没有工业控制系统外部的连接的情况下操作。可替换地，调试可以在其中网络与另一网络连接的环境中发生。
[0039]调试可以包括用来安排和交换安全性令牌以用于建立安全通信的动作。在其它实施例中，完成调试，并且在调试之后且在工业控制过程的操作之前发生安全性令牌的交换。在还其它的实施例中，工业控制网络不使用安全性令牌。
[0040]可以在工业控制网络中建立在可编程逻辑控制器20A-C、人机接口设备22、工程站26和/或操作员站24之间的对等。为了建立对等，从现场设备读取标识。消息传递可以用于获得标识。因为工程站26可以能够访问网络上的所有现场设备，因此工程站26从每一个现场设备检索物理或逻辑标识符。可替换地，广播、近邻发现或查询系统用于确定标识。现场设备可以被编程以搜寻出工业控制网络的特定其它设备。
[0041]—旦针对工业控制网络建立和/或防护通信，就可以使用工业控制网络来建立一个或多个虚拟专用网络(VPN)。在动作30中，在对等体之间建立一个或多个VPN。例如，图4示出了图1的工业控制网络，但是具有针对其而将在工业控制过程的正常操作中发生通信的连接。可编程逻辑控制器20A和20B将通信。可编程逻辑控制器20C将与操作员站24通信。工程站26或其它监督者或管理员控制可以与所有设备通信。可以形成多于两个设备的群组。
[0042]针对对等群组而建立VPN。针对不同的群组提供不同的VPN。在群组内，使用单个VPN。可替换地，在群组内可以使用多于一个VPN。例如，三个设备将通信。创建三个单独的点对点VPN来提供通信。
[0043]在所述工业控制网络或其它工业控制网络中建立一个或多个VPN。工业控制网络的设备用于主控VPN的虚拟节点。工业控制网络的骨干(例如，布线和/或通信信道)用于传送和接收VPN通信。
[0044]可编程逻辑控制器和其它设备被建立作为VPN的端点。在动作32中，可编程逻辑控制器提供VPN支持。VPN软件和/或硬件被包括在可编程逻辑控制器中或与其集成。用于创建VPN的隧道传输、协商、验证或其它动作至少部分地由可编程逻辑控制器的处理器或其它组件执行。通过具有VPN支持，可编程逻辑控制器能够主控VPN的端点。通过可编程逻辑控制器来对受防护的VPN通信进行解密，因此没有拦截或插入非加密消息的间隙。
[0045]相同的处理器控制工业过程或作为控制工业工程的部分并支持VPN。可编程逻辑控制器的资源被共享以用于工业控制和VPN支持二者。支持VPN的软件和/或硬件处于与可编程逻辑控制器的其余部分相同的外壳中。在相同的可编程逻辑控制器中，不同的处理器可以用于VPN支持和工业控制。
[0046]在动作34中，针对VPN创建点对点连接。创建隧道以提供在两个端点之间的通信。不同的设备主控端点。在开放系统互连网络或数据链路层处建立VPN。可编程逻辑控制器的物理接口被用于VPN。
[0047]由于正创建虚拟网络，所以VPN的端点被指派或创建分离的地址。主控设备具有用于基础网络(例如工业控制网络)和用于虚拟网络的不同地址。这些VPN地址用于在VPN中通
?目O
[0048]VPN支持对其它的端点进行认证，诸如通过证书交换、来自可信源的校验、从表中查找或其它认证。可以使用任何认证。
[0049]可编程逻辑控制器的VPN支持供应用于VPN的安全性和/或格式化。可以通过密钥、证书或令牌的交换来供应加密和解密。预存储的信息、而不是交换可以用于供应安全性。在一个实施例中，按照因特网协议安全性(IPsec)或传输层安全性(SSL/TLS)来建立用于VPN的通信的安全性。可以使用其它协议。
[0050]在一个实施例中，使用密钥交换。可以使用任何密钥交换算法。可以使用HTTPS、IPSEC、SSL、PKI或其它密码学方法。例如，VPN支持随机地生成密钥对。一个私有密钥由组件保存并且另一个公共密钥被发送到对等体。每个对等体接收用于加密消息和/或数字签名的密钥。密钥是安全性令牌。可以使用对称或不对称的(例如RSA)密钥算法。在另一示例中，使用握手过程来协商状态性连接。前导(lead)端点向其它端点发送数字证书。其它端点可以或可以不同样地向前导端点发送数字证书。证书可以用于生成在端点之间共享的秘密以供稍后的认证和/或加密。共享的秘密和/或证书是安全性令牌。在又一示例中，工程站充当PKI系统中的认证服务器。作为另一示例，使用预加载和经协商的密钥，并且交换算法使用预加载的密钥来确认可操作性。
[0051]在动作36中，使用所建立的VPN和/或控制网络而发生通信。可编程逻辑控制器可以对将传送到可编程逻辑控制器所主控的VPN端点的消息进行路由。消息通过VPN而从可编程逻辑控制器传送，而不是利用工业控制网络的寻址、安全性和/或格式。可替换地，消息使用工业控制网络的不同的寻址、安全性和/或格式。
[0052]类似地，在物理接口处接收去往可编程逻辑控制器的消息。所接收的消息是针对工业控制网络或针对VPN节点而被寻址、防护和/或格式化的。针对VPN而寻址的消息可以包括工业控制网络地址信息，而且还包括VPN地址。相反，针对工业控制网络的消息不包括VPN
?目息O
[0053]—个或多个所接收的消息被解密，如果被加密的话。所使用的解密基于用于通信的寻址或网络。适合于工业控制网络的消息的格式和/或安全性(例如，加密的类型、密钥或安全性的其它方面)可能不适合于VPN，并且反之亦然。即使使用相同类型的加密，VPN也使用与工业控制网络不同的密钥或证书。使用错误密钥的解密阻止对消息的使用，因此应用适合于消息类型的解密。针对VPN在适当时解密VPN消息。
[0054]在动作38和42中，允许或不允许对可编程逻辑控制器的访问。访问可以是进一步的消息处理，诸如使用可编程逻辑控制器的资源来解析和读取消息。访问可以是对于可编程逻辑控制器的设置或操作的。例如，变更设定点、事件日志读出、配置、或其它工业控制特性。访问可以是对于网络配置的。例如，可编程逻辑控制器被改变成使用不同的格式、地址、对等体或与通过网络的通信相关联的其它操作。访问可以是针对控制网络管理的。从可编程逻辑控制器读取数据、从可编程逻辑控制器得出响应或改变可编程逻辑控制器的操作的任何能力使用对控制器的访问。
[0055]