或34)能够访问数据和/或配置装置12。
[0040]为了提供上述访问策略，一个或多个安全策略38(例如详述访问限制的数字证书)可提供给装置12。这些安全策略可定义执行者(例如执行者30、32和/或34)是否正执行工作，其中准予基于工作的访问。如下面将更详细论述，这些安全策略38可在使用之前、在装置12来认证，使得不需要集中和/或“常通”认证服务。相应地，可遇到认证失败的降低。
[0041]与用户/密码认证相比，证书(例如按照X.509标准所生成的证书和/或XML证书)可具有针对网络攻击的更大保护。现在来看安全策略38的创建和使用的论述，图2示出按照本方式的一实施例、用于生成装置安全证书的过程50的流程图。为了创建证书，可确定对完成工作是有用的访问权限(框52)。例如，如果暂时配置维护工作将要完成，则对应访问权限可定义对暂时时间周期(例如I小时、5小时、10天、I个月、I年等)的访问。此夕卜，这种类型的工作的访问定义可提供特定访问区域，例如对用户接口 26的访问、对配置设定28的完全集合的访问和/或对配置设定28的子集的访问。访问定义可定义特定装置12 (例如，其中执行工作的装置12)，或者可应用于环境10中的装置12的每个。一旦确定/定义基于工作的访问权限，则包含安全策略38的证书按照这些权限来生成(框54)。证书采用与由装置12(其中准予访问)可访问的公钥对应的私钥来签署(框56)。
[0042]已经论述了安全策略证书的创建，图3是示出按照本方式的一实施例、用于准予对装置(例如图1的装置12)的访问的过程70的流程图。首先，将通过私钥所签署的证书(例如按照图2的过程50所生成的证书)提供给装置12，其中将要实现安全策略(框72)。许多不同的传输方法可用来向装置12提供证书。例如，在一个实施例中，装置12(或者向装置12提供证书的中间装置)可包括超文本传输协议(HTTP)客户端，其可接收证书。在一个实施例中，装置12(或者向装置12提供证书的中间装置)可包括电子邮件客户端，其经由电子邮件交换来接收证书。在一些实施例中，存储证书的传递装置可在物理上耦合到装置12，其中证书从传递装置传递给装置12。对于附加安全层，可在接受来自传递装置的证书之前校验唯一标识符(UID)和/或消息认证码(MAC)。MAC可以是用来认证消息的算法。MAC可基于带密钥密码哈希(例如HMAC-SHA-256)，其中密钥基于用户密码和密钥推导函数(例如PBKDFv2或脚本)来生成。
[0043]通过与证书的私钥签名结合使用公钥，将证书验证为来自合法(例如经授权)源(框74)。例如，不对称密钥密码可用来验证证书。在一个实施例中，证书签名和/或有效载荷(例如安全策略数据)使用随装置12所嵌入的公钥来分析/解密。相应地，签名检测算法可确定证书是否来自经验证源和/或应当被信任/使用。
[0044]基于证书是否有效的确定(框76)，证书被忽视(框78)或者用来准予对装置12的访问(框80)。相应地，当用来准予对装置12的访问时，基于工作的访问策略可对装置12来实现，以控制对数据的访问和/或编辑装置12的配置设定。
[0045]图4是示出按照本方式的一实施例、采用图2和图3的过程、按照安全策略证书经由与证书生成计算机分离的处理计算机来提供给装置12(例如IED 18)的系统100的框图。在系统100中，计算机102可包括访问控制模块104和/或证书机构106。访问控制模块104可确定对系统100中的特定工作是有用的访问权限。在一些实施例中，访问控制模块104可以是服务票务系统的一部分，其创建特定工作的服务票据。在系统中创建工作时，可确定对工作的完成是有用的特定访问权限。
[0046]一旦访问控制模块104确定有用访问权限，证书机构106可生成证书108。证书108可使用与装置12的公钥关联的私钥110来签署。证书签名可实现关于安全策略证书108来自经授权证书机构106的验证。
[0047]在图4的实施例中，将采用私钥110所签署的证书108提供给辅助计算机系统/计算机系统存储装置114，其可包括可存储证书108的有形非暂时计算机可读存储装置(CRL)116。在一些实施例中，辅助计算机系统/计算机系统存储装置114可在通信上与装置112进行接口 118。相应地，将证书108存储在辅助计算机系统/计算机系统存储装置114的存储装置116中会是便利的。例如，在一个实施例中，辅助计算机系统/计算机系统存储装置114可包含管理工具36的一个或多个。因为这些管理工具36访问数据和/或用来编辑配置设定(例如图1的配置设定28)，所以将后续传送给装置12的证书108存储在辅助计算机系统/计算机系统存储装置114会是有益的。
[0048]在接收证书108之后，辅助计算机系统/计算机系统存储装置114可经由通信接口 118将证书传送给装置12。辅助计算机系统/计算机系统存储装置114可在期望访问装置12时和/或在期望访问装置12之前发送这个证书。例如，在一些实施例中，辅助计算机系统/计算机系统存储装置114可在从计算机102接收时提供证书108。在一些实施例中，辅助计算机系统/计算机系统存储装置114可在预期访问时(例如在经由管理工具36来尝试对装置12的访问时)提供证书108。
[0049]在接收私密签署的证书108时，装置12可使用在装置12所存储的公钥112来验证证书108来自有效源并且将是被信任的。在确定证书108将被信任时，装置12可按照证书108中提供的安全策略来提供访问。
[0050]在一些实施例中，一个或多个证书撤消列表(CRL) 116可用来修改对暂时访问和/或基于状态的访问的证书定义访问。一般来说，CRL提供已经撤消并且不再应当被信任的证书的列表。相应地，CRL在实现暂时访问(例如对12小时的访问、从2月I日至3月I日的访问、早晨10点与下午12点之间的访问等)和/或基于状态的访问(例如访问)中可以是有用的。例如，一旦达到暂时访问和基于状态的访问的阈值，则证书可添加到CRL 116(其可以是装置12本地的和/或可被提供或者至少具有外部实体(例如证书机构106)所提供的条目)。一旦在CRL 116上，证书可以不再被信任，从而引起去除对系统的访问。
[0051]相应地，对装置12的访问可以是基于要在装置12上完成的特定工作可定制的，从而提供更适当的装置12访问。此外，安全策略证书可提供给装置12而无需依靠“常通”的基于服务器的系统，从而引起用于访问装置12的更少故障点。
[0052]在一些实施例中，可期望直接从证书机构108的主机(例如计算机102)提供安全策略证书108。图5是示出按照本方式的一实施例、采用图2和图3的过程的备选系统130的框图。
[0053]在图5的实施例中，计算机102可包括访问控制模块104和/或证书机构106。访问控制模块104可确定对系统100中的特定工作是有用的访问权限。在一些实施例中，访问控制模块104可以是服务票务系统的一部分，其创建特定工作的服务