增强的智能过程控制交换机端口锁定制造技术

智能过程控制交换机可以实现锁定例程以锁定其专门供具有已知物理地址的设备使用的通信端口，使智能过程控制交换机能够防止新的、可能恶意的设备与智能过程控制交换机所连接的其他设备通信。此外，智能过程控制交换机可以实现地址映射例程，以识别经由智能过程控制交换机的端口进行通信的每个设备的物理和网络地址的“已知对”。因此，即使新的恶意设备能够欺骗已知物理地址以试图绕过锁定的端口，智能过程控制交换机也可以通过对照“已知对”的预期网络地址检查恶意设备的网络地址来检测恶意设备。

【技术实现步骤摘要】
增强的智能过程控制交换机端口锁定
本公开内容总体上涉及过程控制系统，具体而言，涉及用于锁定智能过程控制交换机的端口的技术。
技术介绍
如通常用于发电、化学、石油或其他过程的过程控制系统(诸如分布式或可扩展过程控制系统)通常包括一个或多个过程控制器，它们彼此通信地耦合，经由过程控制网络耦合到至少一个主机或操作员工作站，并经由模拟、数字、组合模拟/数字总线耦合到一个或多个现场设备。现场设备可以是例如阀、阀定位器、开关、变送器(例如，温度、压力和流率传感器)，在过程或工厂内执行功能，诸如开启或关闭阀、开关设备以及测量过程参数。通常位于过程工厂环境内的过程控制器接收指示过程测量或由现场设备产生或与现场设备相关联的过程变量和/或与现场设备有关的其他信息的信号，并执行控制器应用程序或例程。每个控制器使用所接收的信息来实现控制例程并生成通过总线发送到现场设备的控制信号，以控制过程或工厂的操作。一个或多个控制器例程实现控制模块，该控制模块做出过程控制决策，基于接收的信息生成控制信号，并与现场设备(例如和现场总线现场设备)中的控制模块或块配合。过程控制器中的控制模块通过通信线路或信号路径将控制信号发送本文档来自技高网...

【技术保护点】
1.一种过程控制交换机，包括：多个端口；及电路集合，所述电路集合通信地连接到所述多个端口，所述电路集合被配置为锁定所述多个端口，其中，所述电路集合被配置为：产生静态地址表，所述静态地址表(i)将过程控制环境中的设备的已知物理地址映射到所述设备所连接的所述多个端口中的一个或多个端口，以及(ii)在锁定所述多个端口的情况下没有用新的已知物理地址来更新，其中，所述静态地址表将多个已知物理地址映射到单个端口，所述单个端口连接到可解锁的交换机或菊花链设备；以及限制所述多个端口中的每个端口的流量，其中，所述电路集合：(i)控制在每个端口处转发的消息的数量以符合流量阈值，以及(ii)认证包括在每个端口处接收...

【技术特征摘要】
2017.09.29 US 62/565,920;2017.09.29 US 62/565,924;1.一种过程控制交换机，包括：多个端口；及电路集合，所述电路集合通信地连接到所述多个端口，所述电路集合被配置为锁定所述多个端口，其中，所述电路集合被配置为：产生静态地址表，所述静态地址表(i)将过程控制环境中的设备的已知物理地址映射到所述设备所连接的所述多个端口中的一个或多个端口，以及(ii)在锁定所述多个端口的情况下没有用新的已知物理地址来更新，其中，所述静态地址表将多个已知物理地址映射到单个端口，所述单个端口连接到可解锁的交换机或菊花链设备；以及限制所述多个端口中的每个端口的流量，其中，所述电路集合：(i)控制在每个端口处转发的消息的数量以符合流量阈值，以及(ii)认证包括在每个端口处接收到的所述消息中的每条消息的源物理地址，所述认证包括：(a)分析所述消息以识别包括在所述消息中的源物理地址；(b)当所述静态地址表将所述源物理地址列为映射到所述单个端口的已知物理地址时，经由所述多个端口中的一个端口转发所述消息；及(c)当所述静态地址表没有将所述源物理地址列为映射到所述单个端口的已知物理地址时，丢弃所述消息。2.根据权利要求1所述的过程控制交换机，其中，所述电路集合被配置为基于将物理地址映射到所述多个端口的交换表，在不使用网络地址的情况下转发在所述多个端口处接收的消息。3.根据权利要求1所述的过程控制交换机，其中，所述电路集合被配置为基于对网络地址的分析来转发在所述多个端口处接收的消息。4.根据权利要求1所述的过程控制交换机，其中，所述电路集合是专门配置为执行所述步骤的专用集成电路(ASIC)。5.根据权利要求1所述的过程控制交换机，其中，所述静态地址表储存到内容可寻址存储器(CAM)中。6.根据权利要求1所述的过程控制交换机，其中，当所述过程控制交换机处于解锁状态时，通过复制由所述电路集合填充的动态地址表来产生所述静态表。7.根据权利要求6所述的过程控制交换机，其中，所述动态地址表是由所述电路集合用于基于以下各项为接收的消息选择转发端口的交换表：(i)包括在所述消息中的目的地物理地址，以及(ii)映射到所述目的地物理地址的相应端口。8.根据权利要求6所述的过程控制交换机，其中，所述动态地址表不同于由所述电路集合用于基于以下各项为接收的消息选择转发端口的交换表：(i)包括在所述消息中的目的地物理地址，以及(ii)映射到所述目的地物理地址的相应端口。9.根据权利要求1所述的过程控制交换机，其中，所述电路集合被配置为响应于接收到根据用户与用户界面进行交互以手动启动锁定命令而传送到所述过程控制交换机的所述锁定命令来实现锁定操作。10.根据权利要求1所述的过程控制交换机，其中，所述电路集合被配置为响应于接收到根据设备检测到所述过程控制交换机所连接的网络上的安全威胁而传送到所述过程控制交换机的锁定命令来实施锁定操作。11.一种方法，包括：通过产生静态地址表来锁定过程控制交换机，所述静态地址表(i)将过程控制环境中的设备的已知物理地址映射到所述设备所连接的多个端口中的一个或多个端口，以及(ii)在所述过程控制交换机被锁定的情况下无法用新的已知物理地址来更新，其中，所述静态地址表将多个已知物理地址映射到单个端口；通过以下方式来限制所述多个端口中的每个端口的流量：(i)控制在每个端口处转发的消息的数量以符合流量阈值，以及(ii)认证包括在每个端口处接收到的所述消息中的每条消息的源物理地址，其中，所述认证包括：(a)分析所述消息以识别包括在所述消息中的源物理地址；(b)当所述静态地址表将所述源物理地址列为映射到所述单个端口的已知物理地址时，经由所述多个端口中的一个端口转发所述消息；以及(c)当所述静态地址表没有将所述源物理地址列为映射到所述单个端口的已知物理地址时，丢弃所述消息。12.根据权利要求11所述的方法，其中，经由所述多个端口中的一个端口转发所述消息包括：基于将物理地址映射到所述多个端口的交换表，在不使用网络地址的情况下转发所述消息。13.根据权利要求11所述的方法，其中，经由所述多个端口中的一个端口转发所述消息包括：基于对网络地址的分析来转发所述消息。14.根据权利要求11所述的方法，还包括：接收响应于设备检测到所述过程控制交换...

【专利技术属性】
技术研发人员：A·达席尔瓦佩肖托，P·格伦聂森，N·J·彼得森，
申请(专利权)人：费希尔罗斯蒙特系统公司，
类型：发明
国别省市：美国,US