针对访问的请求被包括在一个或多个消息中。消息可以请求信息、请求操作中的改变、或包括依赖于对可编程逻辑控制器的访问的其它信息。消息可以是命令消息。
[0056]在动作38中，针对VPN上所接收的消息允许访问。与工业控制网络相对的、针对VPN而寻址、防护和/或格式化的消息被处理以便允许访问。针对VPN消息传递准许可编程逻辑控制器的消息处理。消息被解密且被解析。由可编程逻辑控制器执行对应于消息内容或有效载荷的动作。可编程逻辑控制器根据消息进行操作。
[0057]在动作40中，可编程逻辑控制器的操作根据访问而改变。响应于一个或多个消息而变更设置。设置是设定点、过程、配置、或变更可编程逻辑控制器的操作的变量的其它值。基于消息中所提供的值而改变对工业装备或过程的控制。可以变更网络、通信、管理或其它操作。
[0058]在动作42中，访问被阻止。针对除了VPN通信之外的通信阻止对可编程逻辑控制器的访问。如果消息的地址、安全性和/或格式化用于所述工业控制网络或其它工业控制网络而不是用于由网络所主控的VPN，则访问被阻止。消息不被解析或处理。即使被解析或处理，对操作的工业控制方面的访问也被阻止。即使消息包括请求或指示变更的有效载荷，也不响应于消息而变更设定点或其它控制处理。仅响应于经由VPN所接收的消息而准予访问。
[0059]其它消息可以被丢弃、不被处理、被处理但不被实现、或按照例外过程来被处置。例如，非VPN通信被忽略。如果地址是对可编程逻辑控制器而不是由控制器主控的VPN的端点的，则消息不被处理或对其进行操作。
[0060]阻止是针对由可编程逻辑控制器使用除了VPN之外的其它通信所接收的所有消息的。可替换地，阻止是针对特定类型的所有消息的。对应于网络管理、工业过程控制或网络通信的消息可以具有不同的访问和阻止控制。例如，在动作38和42中、针对处理工业过程控制的所有消息允许和阻止消息传递。不同的标准、诸如仅允许针对非VPN消息的访问，可以用于其它类型的消息，诸如用于工业控制网络的网络管理消息。
[0061]虽然以上已经通过参考各种实施例来描述了本发明，但是应当理解的是，可以做出许多改变和修改而不脱离本发明的范围。因此所意图的是前述详细描述被视为说明性的而不是限制性的，并且理解的是，正是包括所有等同物的以下权利要求旨在限定本发明的精神和范围。
【主权项】
1.一种用于限制工业控制中的通信的方法，所述方法包括: 在工业控制网络中建立(30)虚拟专用网络，所述虚拟专用网络建立有可编程逻辑控制器(20)作为具有由可编程逻辑控制器(20)提供的虚拟专用网络支持的端点； 仅由向可编程逻辑控制器(20)所支持的虚拟专用网络的端点寻址的通信允许(38)对可编程逻辑控制器(20)的访问；以及 阻止(42)对除了向虚拟专用网络的端点寻址的通信之外的通信的可编程逻辑控制器(20)的访问。2.根据权利要求1所述的方法，其中建立(30)包括利用与针对可编程逻辑控制器(20)针对端点的分离的地址来创建(34)点对点连接。3.根据权利要求1所述的方法，其中建立(30)包括通过可编程逻辑控制器(20)来供应加密和解密。4.根据权利要求1所述的方法，其中建立(30)包括利用处理器所操作的可编程逻辑控制器(20)中的支持来支持(32)虚拟专用网络，所述处理器被配置成还操作可编程逻辑控制器(20)以用于工业控制。5.根据权利要求1所述的方法，其中建立(30)包括在开放系统互连网络或数据链路层处建立(30)虚拟专用网络。6.根据权利要求1所述的方法，其中建立(30)包括利用被集成为可编程逻辑控制器(20 )的外壳中的软件、硬件、或软件和硬件的支持来建立(30 )。7.根据权利要求1所述的方法，其中建立(30)包括按照因特网协议安全性(IPsec)或传输层安全性(SSL/TLS)来建立(30)。8.根据权利要求1所述的方法，其中建立(30)包括通过可编程逻辑控制器(20)的虚拟专用网络支持来认证。9.根据权利要求1所述的方法，其中允许(38)包括准许基于向虚拟专用网络的端点寻址的通信的可编程逻辑控制器(20)的操作，并且其中阻止(42)包括忽略向除了虚拟专用网络的端点的地址之外的可编程逻辑控制器(20)的地址寻址的通信。10.根据权利要求1所述的方法，其中允许(38)和阻止(42)包括丢弃除了在由虚拟专用网络支持所建立的虚拟专用网络接口上之外的去往可编程逻辑控制器(20)的通信。11.一种用于限制工业控制中的通信的系统，所述系统包括: 工业控制网络的可编程逻辑控制器(20);以及 连接到可编程逻辑控制器(20)的物理接口的工业控制网络的传输介质(33); 其中可编程逻辑控制器(20)被配置用于虚拟专用网络通信并且被配置成仅仅响应于虚拟专用网络通信来改变操作而不响应于在物理接口处所接收的其它网络通信来改变操作。12.根据权利要求11所述的系统，其中所述传输介质(33)包括以太网线缆。13.根据权利要求11所述的系统，其中所述可编程逻辑控制器(20)被配置成对虚拟专用网络通信进行加密和解密。14.根据权利要求11所述的系统，其中所述可编程逻辑控制器(20)包括处理器，所述处理器可操作以改变用于工业控制的可编程逻辑控制器(20)的操作并且支持虚拟专用网络通信。15.根据权利要求11所述的系统，其中所述可编程逻辑控制器(20)被配置成丢弃所述其它网络通信并且对向对应于可编程逻辑控制器(20)的并且不同于可编程逻辑控制器(20)的物理接口的地址的虚拟专用网络地址寻址的虚拟专用网络通信进行响应。16.在其中存储有表示指令的数据的非暂时性计算机可读存储介质中，所述指令通过经编程的处理器(12)可执行以用于限制工业控制中的通信，所述存储介质包括用于以下的指令: 在可编程逻辑控制器(20)的物理接口处接收(36)第一和第二消息，第一消息向可编程逻辑控制器(20)寻址，第二消息向由可编程逻辑控制器(20)主控的虚拟专用网络节点寻址； 响应于第二消息而变更(40)可编程逻辑控制器(20)的设置；以及 阻止(42)通过第一消息对可编程逻辑控制器(20)的访问。17.根据权利要求16所述的非暂时性计算机可读存储介质，其中变更(40)和阻止(42)包括仅仅响应于经由虚拟专用网络的、包括第二消息的消息而准予(38)访问。18.根据权利要求16所述的非暂时性计算机可读存储介质，其中变更(40)设置包括基于第二消息中所提供的值来变更(40)工业装备的控制。19.根据权利要求16所述的非暂时性计算机可读存储介质，其中阻止(42)包括丢弃第一消息。20.根据权利要求16所述的非暂时性计算机可读存储介质还包括按照虚拟专用网络的加密来对第二消息进行解密(38)。
【专利摘要】限制（42）工业控制中的通信。虚拟专用网络功能性被集成（32）在工业控制网络的可编程逻辑控制器（20）内，使得对网络接口（16）的物理访问不足以访问信息。可编程逻辑控制器（20）只接受通过虚拟专用网络接口（21、23、25、27、29、31）所提供的命令或消息，而不接受（42）直接被路由到可编程逻辑控制器（20）本身的消息，从而防止通信中的安全性违背。
【IPC分类】G05B19/05, H04L29/06
【公开号】CN105556403
【申请号】CN201380079530
【发明人】D.索特兰德
【申请人】西门子公司
【公开日】2016年5月4日
【申请日】2013年9月13日
【公告号】EP3044641A1, WO2015038142A1