用于工业资产的远程资产管理服务的制作方法
【专利摘要】本发明涉及基于云的远程访问系统、远程资产服务器以及用于调控对工业资产的访问的方法。所述远程资产服务器允许工业资产例如控制器、马达驱动等的所有者以及其它相关实体例如原始设备制造商(OEM)能够远程地、安全地监测和管理工业资产。远程资产服务器用作网络基础设施装置，其根据由终端用户定义的安全策略来调控不同实体对工业资产的访问。这些定义的安全策略在云平台中被连接代理实现为角色特定的入口，该入口用作经由远程资产服务器的到工业资产的安全连接管线。通过使用这种架构，终端用户可以定义工业资产的哪些方面能够被诸如OEM或系统集成商的外部实体远程地查看、访问或修改。
【专利说明】用于工业资产的远程资产管理服务
[0001]相关申请的交叉引用
[0002]本申请要求于2013年9月10日提交的题目为“REMOTE ASSET MANGEMENTSERVICES”的美国临时申请序列号N0.61/875，966的优先权，上述申请的全部内容通过应用合并到本文中。
【背景技术】
[0003]本申请总体上涉及在云基础设施上远程地查看和配置工业资产的系统和方法。
【发明内容】
[0004]以下给出简化的概要以提供对本文所描述的一些方面的基本理解。该概要既不是广泛的综述也不意在识别出关键/重要元素或界定本文所描述的各方面的范围。其仅是为了以简化的形式给出一些概念，以作为稍后给出的更详细描述的前序。
[0005]在一个或更多个实施方式中，提供了一种远程资产服务器，包括:云接口部件，该云接口部件被配置成将该远程资产服务器通信地耦接至云平台；资产接口部件，该资产接口部件被配置成将该远程资产服务器通信地耦接至工业资产；以及远程管理策略部件，该远程管理策略部件被配置成调控从云平台对工业资产的远程访问。
[0006]此外，提供了一种基于云的远程访问系统，包括:远程资产服务器接口部件，所述远程资产服务器接口部件被配置成经由云平台从远程资产服务器接收安全策略，其中，所述安全策略定义了对工业资产的远程访问的允许范围；以及入口管理部件，所述入口管理部件被配置成基于所述安全策略生成所述云平台中的入口，其中，所述入口根据所述对远程访问的允许范围来调控对所述工业资产的远程访问。
[0007]此外，提供了一种用于调控对工业资产的访问的方法，包括:通过包括至少一个处理器的装置接收定义了与工业装置相关的远程访问许可的安全策略数据；通过所述装置给连接代理装置发送指令以建立云平台上的通信入口，其中，所述通信入口经由所述云平台将远程装置链接至所述工业装置；通过所述装置经由所述通信入口从所述远程装置接收请求，以进行下述中的至少之一:从所述工业装置的存储器区域读取数据，或将数据写入到所述工业装置的存储器区域；以及响应于确认出所述请求不违反所述远程访问许可而允许所述请求。
[0008]为了实现上述目的和相关目的，在本文中结合以下描述和附图描述了某些示例性的方面。这些方面表示可以实践的各种方式，所有可以实践的各种方式都意在包含在本文中。当结合附图来考虑时，其他优点和新颖特征将根据以下详细描述而变得明显。
【专利附图】
【附图说明】
[0009]图1是给终端用户和OEM 二者提供对工业资产的定制化远程访问的资产管理系统。
[0010]图2是示例性远程资产服务器的框图。
[0011]图3示出了用于提供对一个或更多个资产的安全可靠远程访问的系统。
[0012]图4示出了通过终端用户入口和OEM入口提供的特定于角色的视图和功能。
[0013]图5示出了用于使用OEM入口对在各个位置处的多个工业机器进行集体分析的基于云的总体架构。
[0014]图6示出了使用远程访问架构针对一组工业资产分配特定于不同角色和用户的视图。
[0015]图7示出了有助于由多个类型的用户对工业资产进行远程访问的基于云的架构。
[0016]图8示出了能够将资产数据链接到来自本地外围装置的外围装置的远程资产服务器。
[0017]图9是用于使用远程资产服务器控制对工业资产的访问的示例性方法的流程图。
[0018]图10是用于使用远程资产服务器对工业资产的访问进行基于角色的调控的示例性方法的流程图。
[0019]图11是示例性计算环境。
[0020]图12是示例性联网环境。
【具体实施方式】
[0021]现在参照附图来描述本公开内容的各方面，其中，相似的附图标记用于指代全文中相似的元件。在以下描述中，出于解释的目的，阐述了许多特定细节，以提供对一个或更多个方面的透彻理解。然而，应当理解的是，可在没有这些特定细节的情况下，或者以其他方法、部件、材料等来实现本公开内容的某些方面。在其他实例中，以框图形式示出了公知的结构和设备以便于描述一个或更多个方面。
[0022]工业控制器及其相关联的I/O设备是现代自动化系统操作的核心。这些控制器与场设备在工厂地面上交互以控制与如下目的相关的自动化处理诸如产品制造、材料处理、批量处理、监控以及其他这样应用。工业控制器存储并执行用户定义的控制程序以实现与受控处理相关的决策制定。这种程序可以包括但不限于梯形逻辑、顺序功能图、功能块图、结构化文本、传统计算机语言、c、c++、c#或其他这样的编程结构。通常，工业控制器从提供与受控系统的一个或更多个状态相关的离散和遥测数据的传感器和计量设备读取输入数据，并且根据用户定义的程序基于这些输入来生成控制输出。
[0023]除了工业控制器及其相关联的I/O设备，一些工业自动化系统还可以包括底层控制系统，例如执行工业处理的部分的本地控制或者具有自己的本地化控制系统的视觉系统、条形码标记系统，变频驱动、工业机器人等。
[0024]给定的工业企业可以包括许多工业设备、资产和不同产品供应商或原始设备制造商(OEM)提供的机器。末端用户(例如，工业资产的所有者)和OEM 二者都需要能够安全、可靠、及时并且成本低廉地远程操作和维护关键的生产资产。然而，从OEM的角度来看，部署现场服务人员以服务跨许多客户地点的广泛分布的一队设备可能成本很高，并经常导致不可接受的长响应时间。而且，OEM经常难于获得对安装在远程或条件恶劣的地方的客户设备的远程访问。OEM和其他设备服务实体通过使远程资产在线而受益，其将提供远程设备配置、补丁管理、预测维护、设备优化等。
[0025]终端用户也可以从使其工业资产可用于由OEM进行的远程访问中受益，因为这样做有利于对维修或停机问题的更快响应。远程访问还允许远程地管理软件升级、补丁和固件更新，这确保将终端用户的资产保持为最新。
[0026]然而，尽管有这些潜在优势，但是使得工业资产在线以被OEM或其他服务提供商远程访问提出了与最终用户相关的安全和安保问题。为了利用通过使得能够远程访问其工业资产而得到的这些益处，远程资产管理方案必须进行保护以防止对控制例程或专有数据(例如，生产统计、保密配方数据等)的未授权访问。
[0027]本文描述的远程资产管理方案解决了上述问题，并且提供了将在下文更详细地描述的附加益处。虽然结合将具有远程访问的OEM提供给终端用户的资产来描述本公开内容中阐述的某些示例，应理解类似的技术可以用于授权对其他类型的服务提供商的访问，包括但不限于系统集成商、设备供应商、第三方业务提供商等。
[0028]图1示出了有助于通过终端用户和OEM二者来进行对工业资产的定制化远程访问的资产管理方案。资产管理方案包括通信地耦接到本地工业资产114的远程资产服务器102。远程资产服务器102使得能够通过来自远程位置的终端用户108和OEM 112来可靠安全地监视并管理工业资产114。工业资产114可以基本上包括任何工业设备、装置的集合或机器，包括但不限于工业控制器、电机驱动(例如，可变频率驱动)、人机界面(HMI)终端、传感器、仪表、操纵室、视觉系统或其他这样的资产。在一个或多个实施方式中，远程资产服务器102可以包括(本地的方式或通过网络)通信地链接到工业资产114的独立服务器设备或其他设备、与工业资产114共用机架或操纵室的机架安装设备或面板安装设备、物理地附接并且有线连接到工业资产114的模块化设备或其他适当的实施方式。还可以将远程资产服务器102实施为网络架构设备，包括但不限于网络交换机、路由器、防火墙设备、云网关设备、或其他这样的网络设备。另外，尽管图1(和此处描述的其他示例)描绘了远程资产服务器102作为通信地耦接到工业资产114的独立的物理设备，但是远程资产服务器102的一些实施方式可以包括工业资产114的嵌入部件(例如，在工业资产上执行的一组软件部件)。在另一个实施方式中，远程资产服务器102可以包括可以由授权人员在工厂设备内的资产之间或跨多个工厂站点携带的便携式设备。
[0029]终端用户108可以经由终端用户入口 106来远程地访问远程资产服务器102。在一个或更多个实施方式中，可以在由连接代理104维持并管理的云架构中实例化终端用户入口 106。类似地，OEM 112可以通过云架构中实例化的OEM入口 110来远程地访问远程资产服务器102。如下面将更详细地描述的那样，终端用户入口 106和OEM入口 110经由远程资产服务器102将不同的视图和访问特权提供给工业资产114。通过保持用于实例化终端用户入口 106和OEM入口 110的云基础设施，连接代理104将安全数据管道提供到终端用户的工厂，并且有助于对终端用户的工业资产的、定制化的特定于角色的访问。
[0030]通常，远程资产服务器102用作根据由终端用户限定的企业安全策略通过不同的实体(例如，工厂人员、OEM、系统集成商等)来调控对工业资产114的访问的专用网络基础设施设备。可以在云平台中将这些限定的安全策略实现为特定于角色的入口(例如，终端用户入口 106和OEM入口 110)，特定于角色的入口用作经由远程资产服务器102到工业资产114的安全连接管道。使用远程资产服务器102，连同由连接代理104维护的基于云的基础设施，终端用户可以限定允许通过OEM或其他外部实体来远程查看、访问和/或修改工业资产114的哪方面。
[0031]图2是根据本公开内容的一个或更多个实施方式的示例性远程资产服务器102的框图。在本公开内容中说明的系统、装置或处理的各方面可以构成包含在一个或更多个机器，例如包含在与一个或更多个机器相关联的一个或更多个计算机可读介质中的机器可执行部件。当通过一个或更多个机器、例如一个或更多个计算机、一个或更多个计算设备、一个或多个自动化设备、一个或更多个虚拟机等来执行这些部件时，这些部件可以使得一个或更多个机器进行所描述的操作。
[0032]远程资产服务器102可以包括工厂网络接口部件204、云接口部件206、机器网络接口部件208、本地装置接口部件210、远程管理策略部件212、一个或多个处理器216以及存储器218。在各种实施方式中，工厂网络接口部件204、云接口部件206、机器网络接口部件208、本地装置接口部件210、远程管理策略部件212、一个或多个处理器216以及存储器218中的一个或更多个可以电子地和/或通信地相互耦接，以进行远程资产服务器102的功能中的一个或更多个功能。在一些实施方式中，部件204、部件206、部件208、部件210和部件212可以包括存储在存储器218中并且被一个或更多个处理器216执行的软件指令。远程资产服务器202也可以与图2中未示出的其他硬件和/或软件部件交互。例如，一个或更多个处理器216可以与一个或更多个外部用户接口设备例如键盘、鼠标、显示监视器、触摸屏、或其他这样的接口设备进行交互。
[0033]工厂网络接口部件204可以被配置成在终端用户的设备(例如，工厂的办公室以太网网络)处将远程资产服务器102与工厂网络或企业网络接口连接。云接口部件206可被配置成将远程资产服务器耦接到基于网络的云平台或专用云平台，并且与云平台交换数据。这可以包括与在云平台中实例化的一个或更多个终端用户入口和/或OEM入口交换数据。机器网络接口部件208可被配置成在终端用户的设备处将远程资产服务器102与机器网络(如工业或工厂地面网络)接口连接。在示例实施方式中，机器网络可包括用于在工厂地面上在工业机器和工业资产之间交换数据的通用工业协议(CIP)网络。
[0034]本地装置接口部件210可被配置成经由本地通信协议(例如，WiF1、USB、蓝牙等)将远程资产服务器102与一个或更多个本地设备接口连接。可以经由本地装置接口部件210与远程资产服务器102接口连接的本地装置可以包括但不限于移动客户端设备(例如，智能电话)、手持仪表、便携式设备运行数据分析应用、认证装置(例如读卡器、生物测定阅读器等)、视频摄像机、遥测设备或其他这样的设备。
[0035]远程管理策略部件212可以被配置成根据通过终端用户和/或OEM提供的策略限定输入来生成远程管理策略限定。如将在下面更详细地描述的那样，远程管理策略限定可以包括由终端用户限定的企业安全策略和由OEM请求并且由终端用户批准的远程管理功倉泛。
[0036]一个或多个处理器216可以进行在此参照所公开的系统和/或方法描述的功能中的一个或更多个功能。存储器218可以是存储用于进行在此参照所公开的系统和/或方法描述的功能的计算机可执行指令和/或信息的计算机可读存储介质。
[0037]图3示出了用于提供对一个或更多个工业资产的安全可靠的远程访问的系统。下面描述投入使用远程资产服务器102以用于对工业资产114的定制的远程访问的示例技术。然而，应当认识到，用于投入使用远程资产服务器102的任何合适的技术在本公开内容的一个或更多个实施方式的范围内。
[0038]可以在使用一个或更多个联网的客户端装置314(例如，台式计算机、膝上型计算机、平板计算机、智能电话等)的终端用户设备上配置和投入使用远程资产服务器102。为此，可以(例如，使用工厂网络接口部件204)将远程资产服务器102放置在工厂网络302上，以利于由联网的客户端装置314进行访问。此外或可选地，可以使用一个或更多个本地客户端装置308来本地地配置和投入使用远程资产服务器102，本地客户端装置308可以经由本地装置接口部件210与远程资产服务器102接口连接。本地客户端装置308可以使用任何合适的无线或硬线本地通信协议、包括但不限于通用串行总线(USB)、WiF1、蓝牙等与远程资产服务器接口连接。
[0039]当在联网的(或本地的)客户端设备与远程资产服务器102之间建立通信时，终端用户可以在远程资产服务器102与工业资产114之间建立功能关联。远程资产服务器102的一个或更多个实施方式可以支持即插即用型发现序列，从而远程资产服务器102自动地检测工业设备或与其连接的资产。在图3示出的示例中，远程资产服务器102通过机器网络304(例如，CIP网络)与工业资产114通信。然而，在一个或更多个实施方式中，远程资产服务器102可以直接连接到工业资产114。在这样的实施方式中，远程资产服务器102可以被配置成直接安装到工业资产114，并且通过专用通信端口与资产接口连接。远程资产服务器102也可以是与工业资产114共用机架与或控制面板的机架安装或面板安装的装置。在又一示例中，工业资产114可以设有预先捆绑的机载远程资产服务器功能。
[0040]响应于发现序列的开始，远程资产服务器102可以识别工业资产114和资产可用的任何数据(例如，资产标识符、设备数据标签、配置参数、状态或健康指示符，固件版本信息、装置编程、资产性能统计等)。当远程资产服务器102已经被配置成识别工业资产114时，终端用户可以限定用于管理对工业资产114的远程访问的企业安全策略310。如下面将更详细地描述的那样，远程资产服务器102允许终端用户限定与不同类别的被授权的用户(例如，工厂人员、OEM、设备或机器供应商等)对应的不同的访问策略。当建立了这些企业安全策略时，远程资产服务器102允许每个被授权的用户经由基于云的特定于角色的入口(例如，终端用户入口 106和OEM入口 110)远程地访问工业资产114，特定于角色的入口是基于由终端用户限定的企业安全策略310在云基础设施中配置的。
[0041]如上所述，远程资产服务器102包括云接口部件206，云接口部件206允许服务器与基于网络的云平台或专用云平台接口连接并且与其交换数据。在一个或更多个实施方式中，云平台可以包括专用的基于云的基础设施，该基础设施由连接代理104维护并且被设计成与远程资产服务器接口连接以将安全可靠的连接管道提供给终端用户的工业资产。云接口部件206可以被配置成使用任何合适的连接方法来访问云平台。例如，远程资产服务器102可以被配置成通过终端用户的以太网或WiFi网络经由工厂网络302来访问云平台。在另一示例中，远程资产服务器102可以被配置成经由蜂窝、卫星或无线电连接直接连接到云平台。在一个或更多个实施方式中，远程访问服务器102可以被配置成检测用于访问云平台的最适合的可用连接介质(例如，检测蜂窝、卫星或无线电连接的存在)，并且通过最合适的连接介质自动连接到云平台上。
[0042]在一个或更多个实施方式中，专用云基础设施被设计成利用由终端用户限定的企业安全策略310，以生成通过其授权用户将远程访问工业资产114的基于云的入口。例如，在投入使用远程资产服务器102期间，终端用户可以通过(例如，使用联网的客户端装置314或本地客户端装置308)在远程资产服务器102中限定企业安全策略310来初始地配置终端用户入口 106。例如，企业安全策略310可以限定终端用户经由终端用户入口 106可以远程地查看和/或修改工业资产114的哪方面。这可以包括:指定终端用户通过终端用户入口 106可以查看或修改工业资产114的哪些数据标签，经由终端用户入口 106可以远程地设置哪些配置参数，哪些终端用户身份要被授权对工业资产114的远程访问等。一旦被限定，远程资产服务器102可以经由云接口部件206将企业安全策略310通信到云平台。基于这些策略，云基础设施将根据所限定的策略来配置终端用户入口 106，其用作到工业资产114的被管理的远程连接管道。
[0043]虽然本示例将企业安全策略310描绘为使用联网的客户端装置314被限定在远程资产服务器102上，但是一些实施方式可以允许将安全策略直接限定在云平台上。在这种实施方式中，可以为具有管理员特权的授权用户提供基于网络的接口，该基于网络的接口允许用户直接在云平台上直接限定一个或更多个访问入口，并且将入口与给定的远程资产服务器102相关联。
[0044]一旦在云平台中被建立，终端用户入口 106可以使用任何合适的终端用户远程客户端装置316被访问，这也根据用户的适当授权。例如，(例如，经由有线因特网或蜂窝连接)终端用户远程客户端装置316可以访问云平台，并且可以调用终端用户入口 106以查看和/或修改工业资产114的方面(例如，查看工业资产的健康状态、修改配置参数等)。在从终端用户远程客户端装置316接收访问工业资产114的请求时，终端用户入口 106可以使用任何合适的方法(例如，基于密码的认证、生物认证、基于硬件的认证等)来认证客户端装置的用户，并且在成功认证时提供到工业资产114的访问，其中到资产的访问的级别符合部署期间限定的企业安全策略310。
[0045]终端用户入口 106可以与定制的终端用户接口相关联，以远程查看、控制或配置工业资产114。因此，在成功认证之后，终端用户入口 106可以将接口传送到终端用户远程客户端装置316以利于远程地查看、修改、配置和/或控制工业资产114。由终端用户入口106提供的接口表示针对终端用户角色定制的对工业资产114的查看。因此，此连接基础设施使得终端用户能够在任何位置访问、查看和修改与工业资产114相关联的数据，其遵从由安全策略310限定的严格控制的安全参数。
[0046]也可以由终端用户来配置远程资产服务器102，以允许OEM对工业资产114的受控、被调控的访问。OEM可以是工业资产114的制造商，并且终端用户可以在具有OEM的地方具有服务协议、以根据需要管理工业资产114。例如，服务协议可能需要OEM修正操作上的故障、帮助资产配置、进行固件版本管理、实现软件更新和补丁、远程地监控资产的性能等。为了在不暴露敏感信息或引入安全风险的情况下给OEM提供足够的远程访问特权，远程资产服务器102支持创建根据OEM的功能需求而定制的OEM入口 110。
[0047]可以使用类似于配置终端用户入口 106的过程来配置OEM入口 110，其具有允许在终端用户和OEM之间协商OEM访问权限的附加特征。例如，在部署期间，远程资产服务器102可以通过云平台执行与OEM的握手例程。在该服务器配置阶段期间，OEM可以指定正确管理工业资产114所需的远程管理功能312。例如，OEM可以请求访问工业资产114中的特定数据项(例如，数据标签)或数据区域；指定用于被识别数据项的所需的读/写权限；请求许可来发起命令或执行与工业装置有关的维护动作(例如，重置工业资产，在工业资产上加载新的固件等)或其他请求的功能。远程资产服务器102(或云平台)在云平台中实例化OEM入口 110并且使得OEM入口 110可用于OEM之前，要求终端用户批准所请求的远程管理功能312。以该方式，远程资产服务器102以及由连接代理104维护的云基础设施为OEM提供工具，该工具用于指定他们想要如何访问工业资产114、以便代表终端用户可靠地管理他们的机器，同时使得这种访问经受终端用户批准，以出于安全、可靠或商业利益的原因为终端用户提供拒绝访问工业资产114的所选方面的能力。
[0048]例如，在访问协商期间，OEM可以请求(经由远程管理功能312)对工业资产的配置参数的非限制写访问。然而，用户限定的企业安全策略310可以指定仅可以本地地修改某些控制环路调节参数，因此必须对所有用户拒绝对这些所识别参数的远程写访问。因此，远程资产服务器102仅可以实施这种由OEM请求、不与用户限定的企业安全策略310冲突的功能，从而使得远程管理功能312服从于企业安全策略310。在另一示例中，OEM可以请求与一个或更多个企业安全策略310冲突的远程管理功能312 ;然而，终端用户可以允许针对CffiM的策略的例外(例如，如果所请求的管理功能优选地由CEM执行而非由工厂人员执行)。
[0049]一旦在OEM与终端用户之间就远程管理功能312达成一致，云基础设施可以基于所达成的管理功能和访问权限来生成并维护OEM入口 110。然后，经授权的OEM远程客户端装置306可以经由OEM入口 110远程地访问工业资产114，这加强了由远程管理功能312和安全策略310限定的访问权限和限制。与终端用户入口 106—样，OEM入口 110可以将定制的界面传递给被认证的OEM远程客户端装置306，以提供对工业资产114的特定于OEM的查看，其可以与经由终端用户入口 106提供给工厂人员的查看不同。
[0050]如前述示例所描述的，远程资产服务器102与专门的云基础实施进行协调，以创建并维护由各种类型的用户进行的对工业资产的安全、受控的远程访问。连接代理104管理使得OEM能够远程访问终端用户的装置的云基础设施，从而使得维护安全访问管道的复杂性对终端用户基本上不可见。此外，此处描述的远程访问架构可以包括多个安全级别，以确保符合终端用户安全策略。例如，在经由OEM入口 110连接的外部实体试图绕过终端用户的安全策略并且访问由远程管理功能312限定的所允许的访问范围外部的数据区域的情况下，OEM入口 110可以对专门的终端用户客户端装置触发警报，以告知未授权的访问企图。通知可以包括通过其试图进行安全破坏的特定OEM入口的识别。
[0051]如图4所示，终端用户入口 106和OEM入口 110可以将两个或更多个不同的角色特定的视图提供到终端用户的装置中。相应的入口也提供适用于访问装置的实体的不同的功能组，其中可用于每个实体的功能严密地受终端用户控制。除了上文所描述的远程资产数据监测和配置方面之外，入口也可以支持许多报告、分析以及管理工具。例如，终端用户入口 106可以使得认证的终端用户(例如，工厂人员、工业资产的所有者等)能够远程地限定或修改控制对工业资产114的访问的安全策略310。终端用户也可以远程地提交由OEM请求的远程管理功能312的批准，以便于OEM入口 110的配置。
[0052]终端用户入口 106也可以使得终端用户能够远程地监测与工业资产114有关的系统或处理。除了性能和配置数据之外，终端用户入口 106也可以监测和收集与资产的位置、健康、安全状况、产品产量/收益、能耗、电力质量、环境条件、与资产交互的工厂人员的识别有关的信息，及其他这样的信息。
[0053]在一些实施方式中，终端用户入口 106也可以利用基于云的分析服务相对于其他监测的资产对工业资产114进行比较性性能分析，或对利用工业资产114的更大的系统进行比较性性能分析。终端用户入口 106也可以进行与由OEM或其他实体进行的远程访问有关的管理功能，包括但不限于跟踪服务用途。例如，终端用户入口 106可以具有图形地描绘远程资产服务器102与入口之间的数据流量的关联管理界面。管理界面可以使用任何适当的图形表示来描绘数据流量，包括但不限于条形图、使用梯度颜色编码(gradientcolor-coding)来表示工厂地板上的每个资产的数据流量的热图(heat map)、速度动画流图，其中流速图用于表示去往资产的数据流量等。使用该接口，终端用户可以识别去往特定资产的远程访问流量的突然增加、数据流量的起点(例如，哪个端口正被用于发起远程访问、与流量关联的登录身份等)，以及其他相关信息。管理界面也可以包括使得授权的终端用户能够禁止或阻止一个或更多个入口访问工业资产的管理控件。由于可经由终端用户入口 106从任何远程位置访问管理界面，所以授权的终端用户可以使用这些工具在任何时间从任何位置来远程地查看和控制对工业资产的访问。
[0054]在一个或更多个实施方式中，终端用户入口 106也可以预测与远程访问资产相关联的成本，如果连接代理104基于去往或来自工业资产114的访问流量的量来对终端用户收费，则这可以是有用的。
[0055]示例OEM入口 110可以使得OEM能够远程地配置其工业资产114或相关联的机器，并且远程地安装软件补丁或升级。通过将远程地执行这些委托和维护功能的能力提供给OEM，OEM入口 110便利于更快的OEM响应时间，并且消除了派遣OEM人员到遥远且可能不适于居留的终端用户装置位置处的需要。OEM也可以经由OEM入口 110远程地监测工业资产114的性能。
[0056]此外，由于可以在通常的云架构(由连接代理104维护)中将与不同的终端用户机器和/或设施对应的多个OEM入口实例化，因此，云架构可以支持便利于对不同位置的多个机器进行集体和比较性分析的分析和报告工具。图5示出了用于使用本文中描述的OEM入口对不同位置的多个工业机器进行集体分析的基于云的总体架构。如在前面的示例中，OEM配置和维护专用云架构502 (由连接代理104管理)中的OEM入口 110，以便于远程委托、监测和维护终端用户的工业系统504的一个或更多个工业资产。OEM入口 110使得OEM112能够经由一个或更多个远程资产服务器(例如，远程资产服务器102)来访问工业资产，以使得如上文所述的那样通过终端用户来控制和调控提供给OEM的访问的范围。
[0057]在本示例中，OEM 112具有在云架构502中的多个OEM入口 IlO1-11n，以便于访问在多个工业系统501 - 504n处的工业资产。工业系统501 - 504N可以包括在相同的工业设施内的多个系统(属于单个终端用户)；地理上处在通常工业企业的不同设施处的系统；或者属于不同的终端用户、在地理上处在不同位置处的系统。使用本文中描述的架构，OEMl 12可以单独地从远程OEM设施调用每个OEM入口 110，以便访问相应的工业资产。
[0058]此外，云架构502可以执行可由OEM 112调用的分析服务506，以进行分布式工业资产的集体或比较性分析。例如，通过经由OEM入口 110从多个工业资产收集和整理数据，分析服务506可以跨越多个工业系统504和终端用户生成工业资产的比较视图。这些视图可以传达资产的相对性能统计；停机时间发生或维护问题的比较；机器间不同的配置参数的识别等。在一些实施方式中，分析服务506可以识别在特定设施处的比在其他设施处的类似资产运行地明显更好的机器或工业资产。在这种情况下，分析服务506也可以识别下述一个或更多个因素(例如，配置参数、操作上下文等)，该一个或更多个因素可以引起改进的性能，为OEM提供统计基础以用于向设计成改进其工业资产的性能的其他终端用户推荐配置或操作变化。
[0059]图6示出了使用主体远程访问架构来分配用于工业资产114的集合的不同的角色特定和用户特定视图。所示出的示例描绘了分别包括多个工厂设施的两个工业企业(终端用户)。工业企业I包括工厂1.1-1.N,并且工业企业2包括工厂2.1 - 2.M0每个工厂设施容置由OEM A和OEM B之一或二者提供的一个或更多个工业资产114。OEM A制造机器A.1-A.X，而OEM B制造机器B.1-B.Y。因此，每个OEM负责多个机器类型，所述多个机器类型跨越许多工厂设施(工厂1.1 - 1.N和2.1-2.M)来销售和分发到多个客户(工业企业I和工业企业2)。
[0060]由于OEM与终端用户的这种关系，所以图6中描绘的一些工厂设施包括来自OEM二者(例如工厂1.1，1.2，1.N和2.M)的工业资产114。因此，终端用户入口 106可以被配置成提供每个终端用户的工业资产114(包括来自OEM 二者的机器)的异构集合的统一视图。如上所述，可以通过从有云能力的终端用户客户端装置调用终端用户入口 106来远程地访问这些视图。使用该架构，终端用户可以从基于云的单个关注点来跟踪包括其工业企业的所有资产。
[0061]使用相同的基于云的远程访问架构(由连接代理104管理)，0ΕΜ入口 110可以被配置成跨越多个客户(终端用户)和工厂设施为每个OEM提供其自身的一组机器的可远程访问的统一视图。此外，通过利用结合图5所描述的分析服务506，OEM入口 110可以跨越多个工厂设施进行每个OEM的一组资产的集体和/或比较性分析。例如，OEM A可以利用云架构的分析服务来对部署在工厂1.1和1.N(由终端用户I拥有)和工厂2.M(由终端用户2拥有)处的机器A.1进行比较性的、跨企业的分析。这些分析可以例如跨越所部署的机器A.1的实例来比较一个或更多个性能度量，并且识别运行得明显优于或劣于确定的度量平均值的机器。该分析可以跨越机器进一步比较配置设置、操作上下文、生命周期数据或其他相关因素，以识别可能是更优(或劣化)的性能的原因的一个或更多个因素。这种分析可以为OEM A提供对在不同操作设置下它们的机器的性能的深入了解，否则这可能是不可见的。这些深入了解可以帮助OEM为它们装置的用户提供故障排除指导或配置推荐。OEM也可以使用该信息来进行它们的装置的研究和开发，识别值得进一步开发或改进的机器类的方面。
[0062]在一些实施方式中，基于云的远程访问系统也可以提供调度工具，该调度工具使得每个OEM能够在每个客户站点处调度它们的装置的周期性检查。例如，作为与终端用户的服务协议的一部分，可以要求OEM按月执行对其在终端用户设施处的机器安装的检查。为此，OEM可以访问运行在云基础设施上的调度服务，并且配置自动的提醒以在每个月的特定日子检查终端用户的资产。然后，基于云的远程访问系统可以在适当的时间生成并向与OEM关联的指定客户端装置传递自动通知。在一些实施方式中，终端用户可以配置OEM入口 110，以使得仅在这些预调度的检查时间段期间能够访问工业资产114，并且在所有其他时间阻止经由OEM入口的访问。基于这些配置偏好，远程访问系统将自动地在适当的时间启用和禁用OEM入口，以使得OEM能够进行其调度的机器检查。
[0063]在相关的方面中，OEM入口 110也可以被配置成在事件触发的基础上自动地启用访问。例如，如果远程资产服务器102检测到工业资产114异常(例如，基于检测到报警标签转变、超过设定点的度量值等)，则服务器可以指令适当的OEM入口 110从禁用状态转变到启用状态，从而使得OEM能够远程地访问工业资产114并且进行远程故障解决。基于云的远程访问系统也可以向预指定的OEM客户端装置发送自动通知，警告OEM机器异常，并且指示已经启用适当的OEM入口以允许对机器的远程访问。在一个或更多个实施方式中，云基础设施也可以为每个终端用户分配基于云的存储器，以用于存储故障排除文档或其他相关信息，包括但不限于电子图、维护历史等。可以使得这些故障排除文档在远程故障排除会话期间对于OEM可用。
[0064]除了上文结合图5描述的分析服务506之外，云基础设施502的各种实施方式可以支持利用工业资产114与基于云的入口之间的连接的其他类型的基于云的服务。例如，云基础设施502可以支持文件上传和比较服务，其中安装在终端用户的装置上的程序或配置文件(例如，控制器程序，电机驱动配置设置等)通过远程服务器102被上传到云平台，并且与已知实现成功操作的标准版本的程序/配置文件进行比较。基于该比较，系统可以生成推荐的编程或配置变化以用于改进资产的性能。
[0065]也可以使用类似的文件上传服务来跟踪对程序或配置文件进行的改变。例如，可以周期性地，根据限定的时间表，或响应于检测到的事件(例如，检测到的异常情况或其他系统事件等)来上传程序或配置文件。基于云的服务可以将最近上传的程序或配置文件的版本与先前上传的版本进行比较，以便确定是否进行了改变。云服务可以被配置成响应于确定已经对程序或装置配置进行了改变来向指定人员传递通知。在一些实施方式中，仅在所检测的修改没有被预标记为已经接收到先前授权时生成通知。基于程序上传和比较的结果，云服务也可以生成记录对程序或装置配置进行的改变的审查跟踪(audit trail)。在示例实施方式中，变化记录中的每个条目可以包括诸如修改的性质、检测到修改的时间、与修改关联的用户身份等的信息。
[0066]云基础设施502的一些实施方式也可以支持灾难恢复服务。这种服务可以将程序和配置信息从终端用户的工业资产周期性迁移到基于云的存储器。在装置故障导致装置的编程或配置文件丢失的情况下，可以从云存储器取回最近迁移的程序和配置数据并且重新将其安装在装置上。
[0067]前述示例描述了根据终端用户入口和OEM入口的主体远程访问架构。然而，远程访问架构的一个或更多个实施方式可以支持与可能需要访问终端用户的工业资产的其他类型实体相对应的其它入口配置。图7示出了便利于多个类型的用户的访问的基于云的架构。除了先前的示例中描述的终端用户入口和OEM入口之外，云基础设施502也可以支持创建用于系统集成商、装置销售商、服务供应商或其他实体类型的远程访问入口 702。与OEM入口 110类似，由这些其他非终端用户入口提供的功能和远程访问的范围经受终端用户的批准。由这些入口提供的功能可以使用上述技术单独地来配置，以适合需要访问工业资产或机器的实体的特定要求。
[0068]例如，系统集成商可以向终端用户提供针对特定生产线的控制解决方案，该特定生产线包括来自若干不同的装置销售商或OEM的多个工业资产(例如，工业控制器、HMI>电机驱动器等)。为了在启动之后有效地支持控制系统，系统集成商可以请求对包括系统的不同的工业资产集合进行远程访问。因此，一个或更多个远程资产服务器102可以在终端用户设施处与工业资产集成，并且系统集成商入口可以被配置在云架构中，以对系统集成商提供经由远程资产服务器102对资产的远程访问。可以使用与用于创建OEM入口 110的技术类似的技术来创建系统集成商入口。然而，由系统集成商入口提供的访问的范围可以与OEM入口 110不同。例如，系统集成商入口可以提供包括给定的控制系统的多个资产的全面、统一的视图，其中，资产可以包括来自若干不同的设备制造商或供应商的机器或装置。反之，OEM入口 110仅允许访问由特定OEM建造的机器或装置该OEM入口被分配至该特定OEM。类似地，装置销售商入口、服务供应商入口以及其他入口类型可以基于每个类型的用户所需要的访问的合适范围而被适当地限定范围。因此，本文中描述的远程访问架构提供了使得终端用户能够根据每方的需要将远程访问能力选择性地分配给外部合作者或第三方实体的统一平台。
[0069]虽然图7描绘了附接至每个企业装置708的单独的远程资产服务器102，但是远程资产服务器102的一些实施方式可以被配置成将多个工业装置708链接至云基础设施502和入口 702。
[0070]云基础设施502可以使得共享计算服务被有云能力的装置访问和利用。在一个或更多个实施方式中，云基础设施502可以是由以下装置经由因特网可访问的公共云:该装置具有因特网连接和适当授权以利用本文中所描述的远程资产服务。在一些情形中，可以由云提供商提供云基础设施502作为平台即服务(platform-as-a-service) (PaaS),并且入口 702和分析服务506可以在云基础设施502上存在并执行,作为基于云的服务。在一些这样的配置中，可以由连接代理104将对云基础设施502的访问以及相关联的入口和服务作为订购服务提供给客户。可替选地，云基础设施502可以是由工业企业在内部操作的私有云。示例性的私有云平台可以包括托管(host)远程访问服务并存在于受防火墙保护的公司网络上的一组服务器。
[0071]由云基础设施502支持的其他云服务包括但不限于数据存储、数据分析、控制应用(例如，可以基于对近实时系统数据或其他因素的分析，生成控制指令并将控制指令经由远程资产服务器102传递至工业装置708的应用)、远程监测和支持、装置管理、资产性能管理、预测维护服务、企业制造智能服务、供应链性能管理、通知服务或其他这样的应用。如果云基础设施502是基于网络的云，则位于各个工业设施704处的远程资产服务器102可以经由因特网(例如，经过终端用户的以太网或WiFi网络，或者经由蜂窝连接、卫星连接或无线电连接)与入口 702进行交互。远程资产服务器还可以包括网络基础设施装置的集成部件，例如防火墙、路由器或交换机。
[0072]由云基础设施502提供的基于云的存储可以被容易地缩放，以容纳由工业企业日常生成的大量的数据。此外，在不同的地理位置处的多个工业设施可以将它们各自的自动化数据迁移至云基础设施502，以用于汇集、整理、集体大数据分析以及企业级报告，而不需要在设施之间建立私有网络。在一个或更多个实施方式中，远程资产服务器102可以支持智能配置能力，使得服务器能够在云基础设施502在任何设施处安装时自动检测该云基础设施502并与其通信，简化集成。
[0073]在一个或更多个实施方式中，与入口配置相关的终端用户偏好和配置信息、云平台中所采集的资产数据的组织、以及其他这样的偏好可以被存储在由连接代理104维护的客户特定清单中。
[0074]在一个或更多个实施方式中，连接代理104可以管理云基础设施的某些更高级别的连接特征。例如，云架构可以基于用户针对每个入口或远程资产服务器进行带宽测量，使得针对每个供应商(例如，OEM、系统集成商、服务供应商等)单独地跟踪对特定工业资产的远程访问。这可以使得由连接代理相应地分配与带宽使用相关联的成本。连接代理还可以使用该带宽跟踪数据来确定特定供应商是否正在使用相对于其它远程用户来说过量的带宽，并且进行适当的测量(例如，限流所识别的供应商的吞吐量，以确保在供应商之间公平分配带宽)。
[0075]本文中所描述的基于云的远程访问架构可以支持各种审计工具和问责工具。例如，由于通过实体特定的、基于云的入口实现了对终端用户的工业资产的远程访问，所以系统可以保持用于证明对资产的访问的详细记录，包括资产被远程访问的时间、访问资产的实体的标识(基于使用的入口和用户标识符)、在远程访问会话期间对资产做出的修改的记录、在远程访问会话期间在资产上查看了什么数据的记录、以及其它相关信息。该信息可以被跟踪并自动地保持在云基础设施502中或在远程资产服务器102上。在资产故障或突然性能恶化的情况下，可以检查这些记录以确定对资产的最近的远程修改是否引起故障，并且查明对于故障的责任。
[0076]本文中所描述的远程资产服务器的一个或更多个实施方式可以支持另外的数据管理特征，该另外的数据管理特征对终端用户、OEM或其他实体提供对于机器操作的有用的深入了解。例如，图8示出了能够将资产数据链接到来自本地外围装置的外围数据的远程资产服务器120。在本示例中，一个或更多个本地外围装置802可以连接至远程资产服务器102 (例如，经由服务器的本地装置接口部件210)。示例性的本地外围装置802包括视频摄像机。该视频摄像机被设置成:在操作期间记录工业资产114的视频录像，测量下游处理的方面(例如，温度、压力等)的遥测装置(该下游处理取决于工业资产114的操作)，记录与工业资产114的当前操作者相关联的标识符的用户认证装置(例如，读卡器、生物测量装置、条形码读取器等)，或其他这样的装置。
[0077]在从工业资产114采集资产数据804 (例如，经由机器网络接口部件208或服务器的其他适合的输入端口)的同时将由本地外围装置802生成的数据经由本地装置接口部件210提供至远程资产服务器102。远程资产服务器102可以将外围数据806与资产数据804进行结合，并且将该捆绑的信息作为汇集数据808提供至云平台，以用于存储或远程查看。在示例应用中，外围数据806可以包括来自在操作期间记录工业资产114的视频录像的视频摄像机的视频数据。远程资产服务器102将该视频数据链接至由工业资产连续地采集的资产数据804，使得视频数据与资产数据按时间对准。在迁移到云平台之前，远程资产服务器102对汇集数据808进行时间标记。
[0078]在云中记录该汇集的、经时间标记的数据使得查看者能够将指示资产的异常操作的资产数据804的子集与对应的工业资产114的视频录像相关联，以使得可以观察到在生成异常资产数据时的资产的可视操作。在另一示例情形下，可以将视频摄像机设置成记录监控录像以用于安全目的或者访问控制目的。通过将视频录像与资产数据804相关，用户可以查看在资产数据所指示的、检测到的安保事件或安全事件时谁在资产附近。
[0079]在一个或更多个实施方式中，远程资产服务器102也可以检索存储的视频数据一来自云平台或者使用本地视频摄像机本地地存储一并且将数据传递至与工业资产114相关联的本地显示器。例如，这可以是预先记录的用于教学目的的资产维修视频。远程资产服务器102可以响应于来自本地服务人员的请求将视频传递至本地显示器，以提供与资产的维护或维修有关的指导。
[0080]图9至图10示出了根据主题应用的一个或更多个实施方式的各种方法。虽然，为了简化说明，将本文中示出的一个或更多个方法示出并描述为一系列动作，要明白并理解的是，主题创新不限于动作的顺序，因为一些动作可以根据主题创新而以不同于本文中示出并描述的顺序的顺序发生和/或与其他动作同时发生。例如，本领域技术人员将明白并理解的是，可以将方法可替选地表示为一系列相关的状态或事件，例如状态图。此外，不是必须需要所有示出的动作来实现根据创新的方法。此外，在不同的实体执行方法的不同部分时，交互图可以根据主题公开内容来表示方法或方式。此外，两个或更多个公开的示例方法可以以彼此组合的方式实现，以实现本文中所描述的一个或更多个特征或优点。
[0081]图9示出了用于使用远程资产服务器控制对工业资产的访问的示例性方法900。最初，在902处，远程资产服务器可通信地耦接至工业资产。在各种实施方式中，远程资产服务器可以包括可通信地链接至(本地地或经过网络)工业资产的独立服务器装置或其他应用、与工业资产共享机架或控制箱的机架安装装置或面板安装装置、物理地附接至或有线连接至工业资产的模块化装置、或者其他适合的实施方式。远程资产服务器还可以被实施为网络架构装置，包括但不限于网络交换机、路由器、防火墙装置、云网关装置或其他这样的网络装置。在一些实施方式中，远程资产服务器可以包括工业资产的嵌入式部件。远程资产服务器还可以是在工厂设施内(或者跨越多个工厂站点)在工业资产之间由被授权的人员携带的便携装置，其中，便携装置可以经过无线链路可通信地连接至工业资产。
[0082]在904处，远程资产服务器可通信地耦接至与云平台相关联的连接代理。在906处，将与远程资产服务器相关联的一个或更多个安全策略发送至连接代理，其中，安全策略限定对工业资产的远程访问的许可范围。这些安全策略包括由工业资产的所有者限定的企业安全策略以及由外部实体(例如，OEM)请求并且由资产所有者批准的远程管理功能二者。例如，策略可以限定工业资产的哪些数据标签可以被远程查看或修改、哪些配置参数可以被远程设置、哪些用户标识或角色将被准许远程访问工业资产等。在908处，根据一个或更多个安全策略由远程资产服务器来调控对工业资产的远程访问，其中，通过由连接代理在云平台中具象呈现的通信入口来促进远程访问。
[0083]图10示出了用于使用远程资产服务器对工业资产的访问进行基于角色的调控的示例方法1000。首先，在1002处，在远程资产服务器上定义多个安全策略集合，其中，多个安全策略集合与相应的多个用户角色(例如，资产所有者、OEM、系统集成商、装置销售商、服务供应商等)相对应。多个安全策略集合限定对工业资产远程访问的许可范围。在1004处，在云平台中实体化多个基于云的入口，这些入口分别与多个安全策略集合相对应。在1006处，经由多个基于云的入口中的一个从远程装置接收对工业资产的访问请求。在1008处，调用与该入口相关联的一个安全策略集合。
[0084]在1010处，做出关于该请求是否被在步骤1008中调用的一个安全策略集合许可的确定。例如，该请求可以包括对于工业资产的特定配置参数的远程读和/或写权限的请求，其可以被安全策略组明确许可或者拒绝。如果在步骤1010中确定请求未被安全策略组许可，则方法进行至步骤1014，并且拒绝对工业资产的访问请求。可替选地，如果在步骤1010中确定请求被许可，则方法进行至步骤1012，在步骤1012中允许对工业资产的访问请求。
[0085]本文中描述的实施方式、系统及部件以及其中可以执行主题说明书中阐述的各个方面的工业控制系统和工业自动化环境可以包括计算机或网络部件，诸如能够通过网络交互的服务器、客户端、可编程逻辑控制器(PLC)、可编程控制器、自动化控制器、可编程自动化控制器、通信模块、移动计算机、无线部件、控制部件等。计算机和服务器包括一个或更多个处理器(采用电信号进行逻辑运算的电子集成电路)，所述处理器被配置成执行存储在介质以及可移除存储装置中的指令，介质诸如为随机存取存储器(RAM)、只读存储器(ROM)、硬盘驱动器，可移除存储装置可以包括记忆棒、存储卡、闪存驱动器、外部硬盘驱动吳坐
[0086]类似地，本文中所使用的术语PLC、工业控制器、自动化控制器或可编程自动化控制器可以包括可通过多个部件、系统和/或网络共享的功能。作为示例，一个或更多个PLC可以通过网络与各种网络装置通信并合作。这实质上可以包括经由包括控制网络、自动化网络和/或公共网络的网络进行通信的任何类型的控制、通信模块、计算机、输入/输出(I/O)装置、传感器、执行器及人机接口(HMI)。PLC还可以与各种其它装置(诸如包括模拟的、数字的、可编程/智能I/o模块的I/O模块、其它可编程控制器、通信模块、传感器、执行器、输出装置等)通信并控制各种其它装置。
[0087]网络可以包括诸如因特网、内联网的公共网络以及自动化网络，自动化网络诸如包括设备网(DeviceNet)、控制网(ControlNet)和以太网(EtherNet)/IP的控制和信息协议(CIP)网络)。其它网络包括以太网、DH/DH+、远程I/O、现场总线、Modbus、Probifbus、CAN、无线网络、串行协议等。此外，网络装置可以包括各种可能(硬件部件和/或软件部件)。这些包括如下部件，诸如具有虚拟局域网(VLAN)能力的开关、LAN、WAN、代理、网关、路由器、防火墙、虚拟私人网络(VPN)装置、服务器、客户端、计算机、配置工具、监测工具和/或其它装置。
[0088]为了提供针对所公开的主题的各个方面的上下文，图11和图12以及下面的讨论意图提供对其中可以实现所公开的主题的各个方面的适合的环境的简要、概括的描述。
[0089]参照图11，用于实现上述主题的各个方面的示例环境1110包括计算机1112。计算机1112包括处理单元1114、系统存储器1116及系统总线1118。系统总线1118将包括但不限于系统存储器1116的系统部件耦接至处理单元1114。处理单元1114可以是各种可用处理器中的任何一种。也可以采用双微处理器和其它多处理器架构作为处理单元1114。
[0090]系统总线1118可以是若干类型的总线结构中的任何一种，包括使用各种可用总线架构(包括但不限于8位总线、工业标准结构(ISA)、微通道架构(MSA)、扩展工业标准结构(EISA)、智能驱动电子设备(IDE)、VESA局部总线(VLB)、外围部件互联(PCI)、通用串行总线(USB)、高级图形接口(AGP)、个人计算机存储卡国际协会总线(PCMCIA)以及小型计算机系统接口(SCSI))中的任何一种的存储器总线或存储器控制器、外围总线或外部总线和/或局部总线。
[0091]系统存储器1116包括易失性存储器1120以及非易失性存储器1122。在非易失性存储器1122中存储有基本输入/输出系统(B1S)，该基本输入/输出系统包含用以在诸如启动期间在计算机1112中的元件之间传送信息的基本例程。通过示例而非限制的方式，非易失性存储器1122可以包括只读存储器(ROM)、可编程ROM(PROM)、电可编程ROM(EPROM)、电可擦除PROM(EEPROM)或闪存。易失性存储器1120包括充当外部高速缓冲存储器的随机存取存储器(RAM)。通过示例而非限制的方式，RAM以多种形式可用，诸如同步随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、同步动态随机存取存储器(SDRAM)、双倍数据速率同步动态随机存取存储器(DDR SDRAM)、增强型同步动态随机存取存储器(ESDRAM)、同步链路动态随机存取存储器(SLDRAM)以及直接总线式随机存取存储器(DRRAM)。
[0092]计算机1112还包括可移动的/不可移动的、易失性/非易失性计算机存储介质。图11例如示出盘存储装置1124。盘存储装置1124包括但不限于如磁盘驱动器、软盘驱动器、磁带驱动器、Jaz驱动器、Zip驱动器、LS-100驱动器、闪存卡或记忆棒的装置。此外，盘存储装置1124可以单独地包括存储介质或者与其它存储介质结合，其它存储介质包括但不限于光盘驱动器，诸如光盘ROM装置(⑶-ROM)、⑶可记录驱动器(⑶-R驱动器)、⑶可重写驱动器(⑶-RW驱动器)或数字通用磁盘ROM驱动器(DVD-ROM)。为了便于盘存储装置1124连接至系统总线1118，通常使用可移除或不可移除的接口，诸如接口 1126。
[0093]应当理解的是，图11描述了在用户与在适当的操作环境1110中描述的基本计算机资源之间充当媒介的软件。这样的软件包括操作系统1128。可以被存储在盘存储装置1124或系统存储器116上的操作系统1128用于控制和分配计算机1112的资源。系统应用1130通过存储在系统存储器1116或盘存储装置1124上的程序模块1132和程序数据1134来由操作系统1128利用资源的管理。应当理解的是，可以通过各种操作系统或操作系统的组合来实现主题公开内容的一个或更多个实施方式。
[0094]用户通过输入装置1136将命令或信息输入计算机1112。输入装置1136包括但不限于指示装置，诸如鼠标、轨迹球、指示笔、触摸板、键盘、麦克风、操纵杆、游戏垫、盘式卫星天线、扫描仪、TV调谐器卡、数码照相机、数码摄像机、网络摄像机等。这些和其它输入装置经由接口端口 1138通过系统总线1118连接至处理单元1114。接口端口 1138包括例如串行端口、并行端口、游戏端口以及通用串行总线(USB)。输出装置1140使用与输入装置1136相同类型的端口中的一些端口。因而，例如，USB端口可以用于向计算机1112提供输入，并且用于从计算机1112向输出装置1140输出信息。设置输出适配器1142以表示除了输出装置1140以外还存在需要特殊适配器的一些输出装置1140，诸如监视器、扬声器、打印机。通过示例而非限制的方式，输出适配器1142包括用于提供输出装置1140与系统总线1118之间的连接方式的显卡和声卡。应当注意的是，其它装置和/或装置的系统(如远程计算机1144)提供输入能力和输出能力二者。
[0095]计算机1112可以使用到一个或更多个远程计算机(如远程计算机1144)的逻辑连接来在网络环境中操作。远程计算机1144可以是个人计算机、服务器、路由器、网络PC、工作站、基于微处理器的器械、对等装置或其它普通的网络节点等，并且通常包括与计算机1112相关描述的许多元件或所有元件。出于简明的目的，仅示出了远程计算机1144具有存储器存储装置1146。远程计算机1144通过网络接口 1148然后经由通信连接1150物理连接地逻辑连接至计算机1112。网络接口 1148包括通信网络，例如局域网(LAN)和广域网(WAN)。LAN技术包括光线分布式数据接口(FDDI)、铜分布式数据接口(⑶DI)、以太网/IEEE802.3、令牌环网/IEEE 802.5等。WAN技术包括但不限于点对点链接、电路交换网(如综合业务数字网(ISDN)及其变型)、分组交换网和数字用户线(DSL)。
[0096]通信连接1150指代用于将网络接口 1148连接至总线1118的硬件/软件。虽然为了示例清楚起见，通信连接1150被示为在计算机1112的内部，其也可以在计算机1112的外部。仅为了示例的目的，与网络接口 1148的连接所需的硬件/软件包括内部技术和外部技术，如调制解调器(包括普通的电话级调制解调器、电缆调制解调器以及DSL调制解调器)、ISDN适配器以及以太网卡。
[0097]图12是可以与所公开的主题进行交互的样本计算环境1200的示意性框图。样本计算环境1200包括一个或更多个客户端1202。客户端1202可以是硬件和/或软件(例如线程、处理、计算装置)。样本计算环境1200还包括一个或更多个服务器1204。服务器1204也可以是硬件和/或软件(例如线程、处理、计算装置)。例如，服务器1204可以容置线程，以通过采用本文中所描述的一个或更多个实施方式来执行转换。客户端1202与服务器1204之间的一个可能的通信可以是适于在两个或更多个计算机处理之间传输的数据包的形式。样本计算环境1200包括可用于便于客户端1202与服务器1204之间的通信的通信框架1206。客户端1202可操作地连接至可用于存储客户端1202的本地信息的一个或更多个客户端数据存储库1208。类似地，服务器1204可操作地连接至可用于存储服务器1204的本地信息的一个或更多个服务器数据存储库1210。
[0098]上述内容包括主题创新的示例。当然，不可能描述为了说明所公开的主题的部件或方法的每个可想到的组合，但本领域的技术人员会认识到，本主题创新的很多其它组合和置换都是可能的。因而，所公开的主题意在包括落入所附权利要求的精神和范围内的所有这样的替选、修改和变型。
[0099]具体地，关于由上述部件、装置、电路、系统等执行的各种功能，用于描述这样的部件的术语(包括涉及“器件”)除非另行指出，否则意在对应于执行所述部件的特定功能的任何部件(例如，功能上等同)，即使该部件结构上不等同于所公开的结构，所公开的结构执行所公开的主题的本文中示出的示例性方面中的功能。关于这点，还将认识到，所公开的主题包括系统以及具有用于执行所公开的主题的各种方法的动作和/或事件的计算机可执行指令的计算机可读介质。
[0100]此外，虽然可能仅关于若干实现中的一个实现公开了所公开的主题的特定特征，然而，如果对于任何给定应用或特定应用是期望的且有利的，则这样的特征可以与其它实现的一个或更多其它特征组合。此外，关于在具体说明或权利要求中使用的术语“包括”及“包含”及其变型而言，这些术语意在表示与术语“具有”相类似的方式是包容的。
[0101]在本申请中，词语“示例性”用于表示用作示例、实例或说明。本文中描述为“示例性”的任何方面或设计未必被理解为相比于其它方面或设计是优选的或有利的。相反，词语“示例性”的使用意在以具体的方式呈现构思。
[0102]本文中所描述的各个方面或特征可以实现为使用标准编程和/或工程技术的方法、设备或制品。本文中所使用的术语“制品”意在包括从任何计算机可读装置、载体或介质可访问的计算机程序。例如，计算机可读介质可以包括但不限于磁存储装置(例如，硬盘、软盘、磁条…)、光盘(例如，致密盘(CD)、数字多功能盘(DVD)...)、智能卡以及闪存装置(例如，卡、条、键驱动器…)。
[0103]本串请中所使用的术语“部件”、“系统”、“平台”、“层”、“控制器”、“终端”、“站”、“节点”、“接口 ”意在指代与计算机有关的实体或与具有一个或更多个特定功能的操作设备有关的实体或作为其一部分的实体，其中，这样的实体可以是硬件、硬件与软件的组合、软件或者执行中的软件。例如，部件可以是但不限于处理器上运行的处理、处理器、硬盘驱动器、包括附接的(例如螺纹固定的或闩锁的)或可移除的附接的固态存储驱动器的(光存储介质或磁存储介质的)多个存储驱动器、对象、可执行的事物、执行的线程、计算机可执行程序和/或计算机。例如，在服务器上运行的应用和服务器都可以是部件。一个或更多个部件可以驻留在处理和/或执行的线程内，并且部件可以被定位在一台计算机上和/或被分布在两个或更多个计算机之间。此外，本文中描述的部件可以由具有存储在其上的各种数据结构的各种计算机可读存储介质来执行。部件可以经由本地处理和/或远程处理如根据具有一个或更多个数据包的信号来通信(例如，来自与本地系统、分布式系统中的另一部件交互的一个部件的数据，以及/或经由该信号通过网络如因特网与其他系统交互)。作为另一示例，部件可以是由机械部件提供的具有特定功能的设备，该机械部件通过由处理器执行的软件或固件应用程序所操作的电的或电子的电路来操作，其中，处理器可以在设备内部或设备外部并且执行软件或固件应用的至少一部分。作为再一示例，部件可以是在没有机械部件的情况下通过电子部件来提供特定功能的设备:电子部件可以包括在其中执行软件或固件的处理器，软件或固件至少部分地提供了电子部件的功能。作为再一示例，接口可以包括输入/输出(I/o)部件以及关联的处理器、应用程序或应用程序编程接口(API)部件。尽管前述示例指向部件的方面，示例的方面或特征也适用于系统、平台、接口、层、控制器、终端等。
[0104]本文中所使用的术语“推断”和“推算”通常指代根据经由事件和/或数据捕获的一组观察来推出或推断系统、环境以及/或用户的状态的处理。例如，推断可以用于识别特定的上下文或动作，或可以生成状态的概率分布。推断可以是概率性的，就是说，兴趣状态的概率分布的计算基于数据和事件的考虑。推断还可以指代用于由一组事件和/数据来组成高级事件的技术。这样的推断导致从一组观察到的事件和/或存储的事件数据建造新的事件或动作，无论事件与时间接近度有关系还是事件和数据来自一个或若干个事件和数据源。
[0105]此外，术语“或者”意在表示包容的“或者”而不是排他的“或者”。就是说，除非另行指定或从上下文中清楚的，短语“X使用A或者B”意在表示正常的包容的置换中的任何置换。就是说，下列实例中的任何一个实例都满足短语“X使用A或者B”:X使用A ；X使用B ;或X使用A与B 二者。此外，本申请和所附权利要求中所使用的冠词“一个”通常解释为表示“一个或更多个”，除非另行指定或从上下文清楚的要指向单数形式。
[0106]此外，本文中所使用的术语“集合”将空的集合(如其中没有任何元素的集合)排除在外。因而，主题公开内容中的“集合”包括一个或更多个元素或实体。作为示例，控制器集合包括一个或更多个控制器；数据资源集包括一个或更多个数据资源等。同样地，本文使用的术语“组”指代一个或更多个实体的集合，例如，一组节点指代一个或更多个节点。
[0107]在系统方面将呈现各种方面或特征，系统可以包括多个装置、部件、模块等。将明白和理解的是，各种系统可以包括附加装置、部件、模块等以及/或可以不包括与附图结合讨论的所有装置、部件、模块等。还可以使用这些方法的组合。
【权利要求】
1.一种远程资产服务器，包括: 云接口部件，被配置成将所述远程资产服务器通信地耦接至云平台； 资产接口部件，被配置成将所述远程资产服务器通信地耦接至工业资产；以及 远程管理策略部件，被配置成调控从所述云平台对所述工业资产的远程访问。
2.根据权利要求1所述的远程资产服务器，其中，所述远程管理策略部件还被配置成接收用于指定一个或更多个安全策略的配置输入，所述一个或更多个安全策略用于定义对所述工业资产的远程访问的允许范围。
3.根据权利要求2所述的远程资产服务器，其中，所述一个或更多个安全策略包括对应于相应的多个实体的多个安全策略的集合。
4.根据权利要求3所述的远程资产服务器，其中，所述多个实体包括终端用户、原始设备制造商、系统集成商、装置销售商、服务供应商或技术支持实体中的至少一个。
5.根据权利要求2所述的远程资产服务器，其中，所述云接口部件还被配置成向所述云平台发送指令，以基于所述一个或更多个安全策略来实例化基于云的入口。
6.根据权利要求5所述的远程资产服务器，其中，所述一个或更多个安全策略定义了以下中的至少一个:能够经由所述基于云的入口查看或修改的数据项的集合，所述数据项的集合中的哪些能够经由所述基于云的入口远程地修改，或者调度时间，其中，在所述调度时间期间内允许所述基于云的入口访问所述工业资产。
7.根据权利要求2所述的远程资产服务器，其中，所述远程管理策略部件还被配置成接收来自实体的、针对远程管理功能的请求，以及响应于接收到批准输入而将所述远程管理功能实施为安全策略。
8.根据权利要求1所述的远程资产服务器，还包括本地装置接口部件，所述本地装置接口部件被配置成接收来自外围装置的外围数据并且将所述外围数据与经由所述资产接口部件从所述工业资产采集的资产数据进行关联。
9.根据权利要求8所述的远程资产服务器，还包括时间同步部件，所述时间同步部件被配置成对所述外围数据和所述资产数据进行时间标记，以有助于所述外围数据与所述资产数据的同步。
10.根据权利要求9所述的远程资产服务器，其中，所述外围数据包括从视频摄像机接收的视频数据。
11.一种基于云的远程访问系统,包括: 远程资产服务器接口部件，被配置成经由云平台从远程资产服务器接收安全策略，其中，所述安全策略定义了对工业资产的远程访问的允许范围；以及 入口管理部件，被配置成基于所述安全策略生成所述云平台中的入口，其中，所述入口根据所述远程访问的允许范围来调控对所述工业资产的远程访问。
12.根据权利要求11所述的系统，其中，所述入口管理部件还被配置成保持所述云平台中的多个角色特定的入口。
13.根据权利要求12所述的系统，其中，所述多个角色特定的入口调控相应的多个实体对所述工业资产的访问，以及其中，所述多个角色特定的入口执行相应的不同的访问策略。
14.根据权利要求11所述的系统，还包括呈现部件，所述呈现部件被配置成基于经由所述入口接收的数据生成遍及多个工业设施的多个工业资产的图形视图。
15.根据权利要求14所述的系统，还包括分析部件，所述分析部件被配置成基于经由所述入口接收的所述数据对所述多个工业资产进行比较分析。
16.根据权利要求15所述的系统，还包括同步部件，所述同步部件被配置成使经由所述入口接收的所述数据同步。
17.根据权利要求11所述的系统，其中，所述入口管理部件还被配置成跟踪经由所述入口对所述工业资产的访问。
18.一种用于调控对工业资产的访问的方法，包括: 通过包括至少一个处理器的装置接收安全策略数据，所述安全策略数据定义了与工业装置相关的远程访问许可； 通过所述装置向连接代理装置发送指令以在云平台上建立通信入口，其中，所述通信入口经由所述云平台将远程装置链接至所述工业装置； 通过所述装置经由所述通信入口接收来自所述远程装置的用以进行下述中的至少之一的请求:从所述工业装置的存储器区域读取数据，或将数据写入到所述工业装置的存储器区域；以及 响应于确定所述请求不违反所述远程访问许可而允许所述请求。
19.根据权利要求18所述的方法，其中 所述接收安全策略包括:接收分别对应于多个用户角色的多个安全策略数据的集合，以及 所述发送包括发送多个指令以建立对应于所述多个用户角色的相应的多个通信入口。
20.根据权利要求18所述的方法，其中，所述接收所述安全策略数据包括接收下述至少之一的定义:能够经由所述通信入口查看或修改的数据项的集合，所述数据项的集合中的哪些能够经由所述通信入口远程地修改，或者调度时间，其中，在所述调度时间期间内允许所述通信入口访问所述工业资产。
【文档编号】G05B19/418GK104423370SQ201410458192
【公开日】2015年3月18日 申请日期:2014年9月10日 优先权日:2013年9月10日
【发明者】大卫·A·维斯科, 苏吉特·昌德, 萨尔瓦托雷·T·康蒂, 赖纳·赫斯梅尔, 爱德华·艾伦·希尔, 塔里尔·J·贾斯帕, 约瑟夫·艾伦·坎, 胡安·L·安森约, 小克里福德·J·怀特黑德, 约翰·斯特罗门格 申请人:洛克威尔自动控制技术股份有限公司