增强的智能过程控制交换机端口锁定制造技术

智能过程控制交换机可以实现锁定例程以锁定其专门供具有已知物理地址的设备使用的通信端口，使智能过程控制交换机能够防止新的、可能恶意的设备与智能过程控制交换机所连接的其他设备通信。此外，智能过程控制交换机可以实现地址映射例程，以识别经由智能过程控制交换机的端口进行通信的每个设备的物理和网络地址的“已知对”。因此，即使新的恶意设备能够欺骗已知物理地址以试图绕过锁定的端口，智能过程控制交换机也可以通过对照“已知对”的预期网络地址检查恶意设备的网络地址来检测恶意设备。测恶意设备。测恶意设备。

【技术实现步骤摘要】
增强的智能过程控制交换机端口锁定
[0001]本申请是于2018年9月29日提交的、申请号为201811148322.5、题为“增强的智能过程控制交换机端口锁定”的专利技术专利申请的分案申请。


[0002]本公开内容总体上涉及过程控制系统，具体而言，涉及用于锁定智能过程控制交换机的端口的技术。

技术介绍

[0003]如通常用于发电、化学、石油或其他过程的过程控制系统(诸如分布式或可扩展过程控制系统)通常包括一个或多个过程控制器，它们彼此通信地耦合，经由过程控制网络耦合到至少一个主机或操作员工作站，并经由模拟、数字、组合模拟/数字总线耦合到一个或多个现场设备。
[0004]现场设备可以是例如阀、阀定位器、开关、变送器(例如，温度、压力和流率传感器)，在过程或工厂内执行功能，诸如开启或关闭阀、开关设备以及测量过程参数。
[0005]通常位于过程工厂环境内的过程控制器接收指示过程测量或由现场设备产生或与现场设备相关联的过程变量和/或与现场设备有关的其他信息的信号，并执行控制器应用程序或例程。每个控制器使用所接收的信息来实现控制例程并生成通过总线发送到现场设备的控制信号，以控制过程或工厂的操作。一个或多个控制器例程实现控制模块，该控制模块做出过程控制决策，基于接收的信息生成控制信号，并与现场设备(例如和现场总线现场设备)中的控制模块或块配合。过程控制器中的控制模块通过通信线路或信号路径将控制信号发送到现场设备，从而控制过程的操作。
[0006]来自现场设备和过程控制器的信息通常经由过程控制网络可用于一个或多个其他硬件设备，诸如操作员工作站、维护工作站、个人计算机、手持设备、数据历史记录、报告生成器、集中式数据库等。通过网络传送的信息使操作员或维护人员能够执行关于该过程的期望功能。例如，该信息允许操作员更改过程控制例程的设置，修改过程控制器或智能现场设备内的控制模块的操作，查看过程工厂内特定设备的过程或状况的当前状态，查看现场设备和过程控制器生成的警报，模拟过程的操作，以便培训人员或测试过程控制软件，诊断过程工厂内的问题或硬件故障等。
[0007]现场设备通常通过过程控制网络与硬件设备通信，过程控制网络可以是以太网配置的LAN。网络通过各种网络设备将过程参数、网络信息和其他过程控制数据中继到过程控制系统中的各种实体。网络设备通常通过控制其路由、帧速率、超时和其他网络参数来促进通过网络的数据流，但是不改变过程数据本身。一些典型的网络设备包括例如第2层网络交换机、第3层网络交换机、路由器和/或集线器。由此提及的层与OSI模型层有关。
[0008]一般而言，第2层网络交换机接收消息并经由其与LAN内的目的地设备的MAC地址(由消息标识)相关联的一个端口转发所接收的消息。第2层网络交换机通常储存建立MAC地址和对应的交换机端口之间关系的表。当第2层网络交换机收到消息时，它会识别消息的目
的地MAC地址，从表中识别与MAC地址对应的交换机端口，并经由该端口转发消息。如果第2层网络交换机收到的消息的目的地MAC地址未储存在表中，则它会将消息广播到交换机的所有端口，这可以重复，直到消息到达目的地设备并且目的地设备回复为止，从而向交换机通知“映射”到目的地MAC地址的适当端口。值得注意的是，第2层交换机不执行路由，不利用IP地址做出转发决策，也不跟踪交换机和目的地设备之间的中间节点。相反，第2层交换机只是参考该表来确定应该使用哪个交换机端口来转发消息。
[0009]另一方面，第3层设备(诸如路由器和第3层交换机)经常执行路由，识别中间节点，并利用IP地址进行转发和/或路由。这种路由功能和利用网络地址的能力使第3层设备能够将数据路由到第3层设备所连接的LAN外部的目的地。虽然路由器和第3层网络交换机有时能够在过程控制网络中路由过程控制数据，但路由器和第3层交换机比第2层交换机昂贵得多，特别是在为过程控制环境中的操作而设计或配置时(例如，贵两到三倍)。
[0010]随着过程控制网络的大小和复杂性增加，网络设备的数量和类型相应地增加。由于系统和网络的增长，这些复杂系统中的安全性和管理变得越来越具有挑战性。例如，每个网络设备可以包括一个或多个通信端口，其提供用于跨过网络将过程控制系统部件和其他网络设备物理地彼此互连的接入点或端口。这些网络设备端口可以通过添加其他设备而成为网络扩展的接入点，或者可以允许恶意或非恶意的实体接入网络并发起不想要的和可能有害的网络流量。
[0011]为了解决关于恶意实体的安全问题，一些控制交换机具有用于禁用端口(例如，未使用的端口)的禁用机制以防止设备经由禁用端口进行通信。此外，一些控制交换机有时具有锁定机构(例如，如美国专利No.8,590,033中公开的)，其可以“锁定”端口以限制经由锁定端口与在锁定时间连接到该端口的单个设备的通信。然而，这些传统的锁定机制是有限的。特别地，传统的锁定机制无法锁定(i)具有多于两个连接设备的端口和/或(ii)连接到第二交换机的端口(有时称为“上行链路端口”)。上行链路端口通常被排除在网络安全锁定之外(即，保留未锁定)，以便在锁定期间维持上行链路端口功能并且避免无意中实现干扰工厂操作的过度限制性锁定。此外，一些交换机响应于识别连接到端口的多个设备并假设端口连接到交换机，而将连接到菊花链设备的端口分类为“上行链路端口”。因此，虽然一些控制交换机可以实现传统的锁定机制以防止恶意设备经由先前未使用的端口(例如，通过禁用该端口)或者仅连接到单个终端设备的端口(例如，通过锁定该端口)连接到网络，这些交换机在连接到上行链路交换机、多于两个终端设备或具有多个物理地址的单个设备(例如，虚拟系统)的任何端口上，仍然易受攻击。

技术实现思路

[0012]所描述的方法和系统使得过程控制交换机能够锁定其所有端口和/或识别经由所述过程控制交换机的每个端口进行通信的每个设备的物理和网络地址的“已知对”。
[0013]在一个实施例中，过程控制交换机包括多个端口和通信地连接到所述多个端口的电路集合。所述电路集合可以被配置为锁定所述多个端口，其中，所述电路集合：(A)产生静态地址表(i)，其将过程控制环境中的设备的已知物理地址映射到所述设备所连接的所述多个端口中的一个或多个端口，及(ii)在锁定所述多个端口时没有用新的已知物理地址来更新，其中，所述静态地址表将多个已知物理地址映射到单个端口，所述单个端口连接到可
解锁或非管理型交换机或菊花链设备；和/或(B)限制所述多个端口中的每个端口的流量，其中，所述电路集合：(i)控制在每个端口处转发的消息的数量以符合流量阈值，以及(ii)认证包括在每个端口处接收到的所述消息中的每条消息的源物理地址。为了认证所述源物理地址，所述电路集合可以：(a)分析所述消息以识别包括在所述消息中的源物理地址；(b)当所述静态地址表将所述源物理地址列为映射到所述单个端口的已知物理地址时，经由所述多个端口中的一个端口转发所述消息；及(c)当所述静态地址表没有将所述源物理地址列为映射到所述单个端口的已知物理地址时，丢弃所述消息。<本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种用于锁定过程控制交换机的方法，包括：检测过程控制交换机的锁定的启动；检测连接到所述过程控制交换机的端口的第二交换机；检测所述第二交换机是否是可锁定的；通过以下步骤来响应检测到所述第二交换机是不可锁定的：(i)从所述第二交换机接收已经由所述第二交换机传输的已知设备集合的地址集合，以及(ii)将所述过程控制交换机转换为所述端口被锁定的锁定状态，以使得所述端口处的业务限于从包括在接收自所述第二交换机的所述地址集合中的地址接收的消息或寻址到该地址的消息；以及通过将所述过程控制交换机转换为所述端口尚未被锁定的锁定状态，来响应检测到所述第二交换机是可锁定的。2.根据权利要求1所述的方法，其中，所述地址集合中的地址为物理地址或网络地址。3.根据权利要求1或2所述的方法，其中，检测到所述第二交换机是可锁定的包括：在所述过程控制交换机与所述第二交换机之间执行握手操作。4.根据权利要求1至3中任一项所述的方法，其中，将所述端口留在未锁定状态包括：不检查经由所述端口接收到的消息的地址。5.根据权利要求1至3中任一项所述的方法，其中，将所...

【专利技术属性】
技术研发人员：A，
申请(专利权)人：费希尔罗斯蒙特系统公司，
类型：发明
国别省市：