CN1737719A - 用于工业自动化系统的安全系统与方法 - Google Patents

Abstract

工业自动化系统包括安全访问设备、工业自动化设备、用户接口和安全接口。用户接口被配置用于为用户提供对存储在工业自动化设备内的数据的访问。安全接口被配置用于接收来自访问设备的信息，并根据从访问设备所接收到的信息提供授权让用户通过用户接口访问存储在工业自动化设备内的数据。

Description

用于工业自动化系统的安全系统与方法

(1)技术领域

本发明涉及用于工业自动化系统的安全系统与方法。

(2)背景技术

众所周知，工业自动化系统是使工业过程自动化的。例如，工业自动化系统已经被应用于材料处理、机器人技术、机场行李处理、水和废水处理、水泥生产、半导体制造、电力、娱乐、食品加工、采矿、饮料等包装操作、滑雪缆车操作、林产品加工、生命科学、后勤过程、纤维和纺织品处理、金属成型、汽车、石油和化学加工、塑料加工、自动化运输、卫生保健、农业、邮政和航运、以及其它制造过程，这些只是列举的几个例子)。

存在为工业自动化系统提供安全性的持续需要。为了限制获取对自动化系统的访问，例如，出于从该系统中获取信息的目的，出于对该系统作出改变的目的等等，安全性是所需要的。例如，操作/维护工业自动化系统某些方面的责任可能仅仅授予特定的有资格的个人。通常期望是要阻止其它人为了作出改变而获取对系统的访问，因为那些个人可能没有资格做出这种改变。更进一步地，通常期望限制未被授权的个人获取对系统进行访问的能力，即使只是出于检查系统设置的目的或者以其它方式获得系统操作信息的目的。例如，如果一个特定的制造过程被认为是商业秘密，严密地控制对该自动化系统的读访问以便未被授权的个人无法获得关于制造过程的详细信息是合乎需要的。同样地，限制对其它类型制造信息的访问也是合乎需要的，诸如产品质量、次品率等等。更进一步地，阻止别有用心的个人，诸如计算机骇客或恐怖分子，出于损害自动化系统、损害所加工或制造的产品、或损害相关基础设施的目的来获取对工业自动化系统的访问是合乎需要的。

在工业自动化系统的所在地，通过一个和组成工业自动化系统的自动化设备中的一个或多个相关联的用户接口获取对工业自动化系统的访问是可能的。例如，可使用和电机驱动器相关联的用户接口来获取对电机驱动器的访问。或者，有时提供标准接口，该标准接口通过将膝上型计算机或其它计算机连接到一个连接工业自动化系统诸部分的通讯网络而允许获得访问。

此外，将工业自动化设备连接到因特网上变得越来越普遍，通过因特网，从远程位置也可造成同现场同样类型的威胁。例如，诸如电机驱动器、复用输入/输出设备、自动化控制器和其它工业自动化设备已经设置了以太网连接端口。这种以太网连接可用于将设备-例如，直接地或通过局域网-连接到因特网上。将工业自动化设备直接连接到因特网上是合乎需要的，例如，以允许从制造商处将固件下载到工业自动化设备。或者，工业自动化设备可通过以太网连接到局域网或者其它公司范围商业/管理信息系统(举例说，公司范围内联网)以提供对工厂底层数据实时访问性的管理。然而，因为这种内联网通常也连接到因特网上，工业自动化设备变成以间接地方式连接到因特网上。一旦工业自动化设备以直接或间接方式连接到因特网上，它就变得易于遭受攻击。

因此，这就存在对为工业自动化设备提供安全性的系统和方法的需要。虽然在这里描述了某些优点，应该理解的是，所揭示的系统/方法也可用于实现不同的和/或附加的优点，而未必实现任何在这里所描述的优点。

(3)发明内容

按照第一较佳实施方式，一种工业自动化系统包括安全访问设备、工业自动化设备、用户接口和安全接口。用户接口被配置用于为用户提供对存储在工业自动化设备内的数据的访问。安全接口被配置成接收来自访问设备的信息并根据从访问设备接收到的信息提供授权以让用户通过用户接口访问存储在工业自动化设备内的数据。

按照第二较佳实施方式，一种工业自动化系统包括数据存储区域和安全接口。数据存储区域在其中存储配置和操作信息。安全接口(直接或间接地)耦合到数据存储区域。安全接口被配置成根据从安全访问设备接收到的识别信息对用户进行认证和允许用户访问数据存储区域。

按照第三较佳实施方式，一种工业自动化系统包括用户接口、安全访问设备、多个安全接口、通讯网络、多个电机驱动器、多个自动化控制器。这多个电机驱动器通过通讯网络相互耦合。每个电机驱动器都与多个安全接口中的一个相应接口相关联。各个安全接口被配置成接收来自访问设备的信息，并根据从访问设备接收到的信息提供授权以让用户通过用户接口访问存储在各自电机驱动器内的数据。同样地，通过通讯网络这多个自动化控制器互相耦合并和多个电机控制器耦合。每个相应自动化控制器都有这多个安全接口中的相应一个接口与之相关联。每个自动化控制器各自的安全接口被配置成接收来自访问设备的信息，并根据从访问设备接收到的信息提供授权以让用户通过用户接口访问存储在各自自动化控制器内的数据。

按照第四较佳实施方式，一种工业自动化系统包括通讯网络、安全访问设备、安全接口、用户接口、多个电机驱动器、多个自动化控制器、和安全模块。安全接口被配置成接收来自安全访问设备的信息。用户接口耦合到安全接口和通讯网络。这多个电机驱动器通过通讯网络相互耦合。通过通讯网络这多个自动化控制器相互耦合并和多个电机控制器耦合。安全模块被配置成基于对使用安全访问设备的用户的认证向用户提供经由用户接口对存储在多个电机驱动器的数据和对存储在多个自动化控制器内的数据进行访问。

应当理解的是，详细描述和具体实施例一方面表明了本发明的较佳实施方式，但却是以举例说明的方式而非限制的方式给出的。可以在本发明的范围之内做出许多修改和改变而不背离其精神，本发明包括所有这样的修改。

(4)附图说明

图1是一个包括自动化设备和安全访问设备的工业自动化系统。

图2是一个包括电机驱动器和遥控钥匙(key fob)安全访问设备的工业自动化系统。

图3是显示图2系统的操作的流程图。

图4是一个包括自动化设备、膝上型计算机和网络接口的工业自动化系统。

图5是一个包括经由通讯网络连接起来的多个工业自动化设备和多个安全访问设备的工业自动化系统。

图6是对图1中工业自动化设备更详细的说明。

图7是对图1中人-机接口更详细的说明。

图8是一个包括信息服务器和位于各自工业自动化设备本地的多个安全接口的工业自动化系统。

图9是对图8中信息服务器更详细的说明。

(5)具体实施方式

现在参考图1，根据一较佳实施方式的工业自动化系统的例子10如图所示。工业自动化系统10包括工业自动化设备12、用户接口14、电子安全访问设备16和安全接口18。

工业自动化设备12用于控制工业过程(未示出)的至少一个部分。例如，工业自动化设备12可以是电机驱动器、自动化控制器(例如可编程控制系统)或其它设备。自动化设备12也可以是，例如，以网络形式配置传感器或者致动器。虽然用于工业自动化设备12的独立网络连接没有在图1中显示，但应当认为图1的装置可按单机或网络结构方式提供。

用户可通过用户接口14访问自动化设备12。虽然所显示的用户接口14是和自动化设备12分离的，但应当认识到用户接口14也可与自动化设备12集成。

用户接口14被配置成向用户提供对存储在工业自动化设备12内的数据的访问。例如，用户接口14可与自动化设备12合作以向用户提供对自动化设备12信息的读访问、向用户提供对自动化设备12的读/写访问，等等。提供给用户访问的数据可包括，例如，配置信息(例如，设备设置)、I/O状态信息、数据表、编程逻辑、诊断/警报/事件信息等等。用户接口14可直接或间接地，比如，通过链路19连接到自动化设备12。其中链路19可以是点对点链路、网络链路或其它链路，至少部分地取决于用户接口14是和自动化设备12集成还是分离。虽然这里一般用附图标记12指代自动化设备，附图标记14指代用户接口，但应当认识到在某些实例中，一个给定的硬件可以身兼二职。例如，一个也编入了控制逻辑的人-机接口可以既是用户接口也是自动化设备。

访问设备16被配置成向安全接口18提供可用于验证试图访问自动化设备12的用户的信息。在一个实施方式中，访问设备16是手持的并且能够依靠其由用户所拥有这样一个事实来对用户进行认证。访问设备16可以包括现成的手持式设备。例如，在该实施方式中，访问设备16可以是智能卡、磁卡、无线电子远程控制钥匙链发射器(在汽车中称作遥控钥匙(key fob))、配备有无线发射器(例如，蓝牙发射器红外发射器等)以传输认证码的手持式计算机或其它设备。如果采用的是手持式计算机(例如，PDA)，该手持式计算机既可以作为用户接口14又可以作为访问设备16。

可以提供若干手持式设备16以允许不同用户进行访问(也就是，每个设备被提供给不同用户)。例如，若干磁卡可以提供给不同的用户，每个卡上的磁条都被唯一地编码以便该卡(由此该用户)被唯一地标识。将会看到，如果任何丢失或被盗的卡能及时报告以便将丢失/被盗的卡禁用，则这种方案的完整性就提高。或者，给予每个用户的访问设备16不需要是唯一的。例如，可以给予一个技术员组的每个成员同样的访问卡，并且每张卡都包含相同的代码，这个代码对于组而非每个个体成员来说是唯一的。在这个实施方式中，对用户的认证涉及确定该用户属于某个被授权访问某一特定的自动化设备的小组，而不必具体确定个体的身份。这里的“认证”是指，例如，通过识别个体，或者识别个体做为个体组的成员等等来核实个体(或设备)的身份。如下面将要看到的，在较佳实施方式中，被认证的不仅仅是个人，还有设备，例如自动化控制器、电机驱动器、传感器、致动器等等。

在另一个实施方式中，访问设备16包括一个或多个可用于获得对个体人识别有作用的传感器。例如，访问设备16可以是用于感测来自用户的生物测定学信息的生物测定学测量设备。同样，它也可以是现成(off-the-shelf)设备。例如，安全访问设备16可以是被配置成扫描试图访问自动化设备12的用户视网膜的视网膜扫描仪。或者，安全访问设备16也可以是被配置成扫描用户指纹的指纹识别器。作为另一个例子，安全访问设备16可以是一个用于接收来自用户的声音信号的语音识别设备(例如，话语)。

标识技术也可以联合使用。例如，访问设备16可以包括一个内置指纹识别器的PDA。该PDA可以被配置成既于传输和该PDA相关联的唯一代码，又传输表征该PDA用户指纹的生物测定学信息。该PDA除了作为访问设备16之外还可作为用户接口14。

安全接口18被配置成接收来自访问设备16的信息并将该信息和存储信息相比较来对用户进行认证。例如，安全接口18可能将手持式设备接收到的唯一代码和代码数据库比较(例如，如果访问设备16是智能卡、磁卡、遥控钥匙发射器或者手持式计算机)。或者，安全接口18可将接收自访问设备16的生物测定学信息与存储在数据库中表征授权用户生物测定学的生物测定学信息相比较(例如，如果访问设备16是视网膜扫描仪、指纹识别器或者语音识别设备)。安全接口18如果发现代码/生物测定学信息匹配，则对用户加以认证，或者如果没有发现匹配时则不对用户进行认证。

安全接口18可位于自动化设备12、位于用户接口14、位于安全访问设备16，也可以作为单独的设备提供，也可与相关设备组合提供(即每个设备都有一个单独的安全接口18)，和/或与另一设备一起提供。例如，如果安全访问设备16是视网膜扫描仪，该视网膜扫描仪可不但包括用于表征用户视网膜的传感器，而且包括用于将表征用户视网膜的生物测定学信息和表征授权个体的视网膜信息相比较的逻辑与存储信息。作为另外一个例子，如果访问设备16包括连接到自动化设备12通用串行总线(USB)接口的现成指纹识别器，用于将表征用户指纹的生物测定学信息和表征授权个体指纹的信息作比较的逻辑和存储信息可以存储在自动化设备12中。由安全接口18访问的代码或生物测定学信息的数据库可以位于自动化设备12、位于用户接口14、位于访问设备16、位于安全接口18，或位于其它地点，例如分布在多个地点之中。这里，术语“数据库”指的是任何数据存储方案而并不意味着任何组织行结构或其它限制。

在一个实施方式中，安全接口18被进一步配置成执行附加功能。例如，安全接口18也可被配置成访问描述用户访问权限的存储信息(例如，用户是否可以只读访问或者用户是否可以读写访问，用户可以对其进行写访问的信息的信息类型，等等)、确认用户被授权参与特定的数据处理(例如，读取一条特定的信息、写入一条特定信息、等等)。这种信息可以存储在数据库中，例如存储在如上所述的用于存储代码、生物测定学信息或其它信息的数据库中。

在另一个实施方式中，不是从数据库中检索用户访问权限，而是将用户访问权限包括在接收自访问设备16的信息中。换言之，访问设备16传送的代码不但包括唯一标识个人的代码，而且包括指明个人访问权限的代码。

安全接口18可执行的其它功能包括实现、确保和/或使以下诸项成为可能：可用性约束(确定何时用户可执行特定功能，确保信息可被授权参与者访问，同时避免通讯载)、存档(存入配置历史记录保管库)、恢复(在做过改变后恢复系统设置)、审计(建立电子档案和确认)、报告(提供可跟踪的记录，显示谁在什么时候做过什么，或者发生了什么和为什么)、认可(确保发生了什么、以及谁做了什么是可以证明的)、私密/保密(确保信息受到免于被第三方访问的保护)和完整性(确保信息是安全的，免于未被授权的修改或操作)。将会了解，这些功能中有一些是相互重叠的。

图2是图1例子一个更详细的变化形式。为了方便，在图2中，相同的附图标记用于指代和图1相同的部分。在图2中，安全访问设备16是遥控钥匙26，显示的自动化设备12是电机驱动器22。

如前面所指出的，用户接口14可与工业自动化设备12集成或在物理上分离。在图2的方案中，这两种方案都予以显示：电机驱动器22可通过集成(内置)的用户接口23访问，也可通过非集成用户接口24访问。非集成用户接口24可以是，例如，通过电缆28连接到电机驱动器22输入/输出(I/O)端口的手持式用户接口24。如前面描述的，安全接口18(图2中未示出)可以设置在电机驱动器22上和/或用户接口23、24上。同样，电机驱动器22授权的个人的数据库可以存储在电机驱动器22内、用户接口23、24内或其它地点。

现在再参考图3，在操作中，用户通过按下遥控钥匙26上的按钮29中之一来访问电机驱动器22。来自用户的按键动作被按钮29接收，作为响应，遥控钥匙26传输一个无线的、唯一性编码的信号给安全接口18(步骤30)。该编码信号唯一地标识遥控钥匙26，因此也就标识假定持有该遥控钥匙26的特定用户。作为响应，安全接口18将代码信号对储存在数据库中的信息进行匹配并依据编码信号访问数据库以获得有关于用户的附加信息，可能包括用户密码(步骤32)。更可取地，安全接口18促使用户接口23、24之一或两者向用户提供一个提示屏幕(步骤34)。作为例子，为当前目的，假设用户是通过用户接口24访问电机驱动器22，虽然可以理解的是，用户同样可使用用户接口23访问电机驱动器22。

在一个实施方式中，系统10在兼容(并响应)遥控钥匙26的工业自动化设备位于其中的环境中提供。用户接口24向用户提供一响应屏幕，以表明已经探测到来自遥控钥匙26的一个按键动作。响应屏幕可提示用户执行一个按键动作或者以其它方式操作用户接口24上的用户输入装置，以便确认用户想要访问电机驱动器22。如果用户提供了必需的响应(步骤36)，则用户被允许进行对电机驱动器22的访问(步骤38)。如果用户在预定的时间内没有在用户接口24上执行必需的响应，响应屏幕会超时且用户接口24返回到其初始状态。

在一个实施方式中，响应屏幕是一个登录屏幕。相应地，当用户按下遥控钥匙26上的按钮29时，附加的登录屏幕除出现在图2所示之外还出现在其它工业自动化设备上。登录屏幕优选至少要求用户输入密码。用户的登录ID也可由用户输入或为了方便可自动地显示给用户并对用户的按键做出可视确认。登录屏幕确保当授权的个人使用遥控钥匙26访问第一工业自动化设备时，未授权的个人(即没有得到授权参与特定数据处理的个人)不能基于同样的按键访问附近的工业自动化设备。防止未授权的个人访问所述第二工业自动化设备，是由于仍然必须输入密码这样一个事实。更可取地，通过编码信号标识的密码是定制给遥控钥匙26的持有者/用户的，，从而不同的密码必须和每个遥控钥匙26组合使用。登录屏幕还确保，如果未授权的个人偶然得到遥控钥匙26，未授权的个人将无法在不知道遥控钥匙26所有者的密码的情况下使用该遥控钥匙26。当没有密码输入(例如，在多个工业自动化设备响应来自遥控钥匙26的无线传输信号且用户在另外一个工业自动化设备上输入密码的情形中)，或当用户不能输入正确密码时，屏幕超时且用户接口24返回到在其探测到来自遥控钥匙26的无线传输信号之前的初始状态。

如果用户提供了登录名和密码(步骤36)，且如果作为响应通过登录屏幕从由于接收到的密码的比较和有关与遥控钥匙26相关联的用户密码的存储信息相匹配，那么用户即得到根据检索自数据库的信息中所指定的用户访问权限对电机驱动器22的访问(步骤38)。

在一个实施方式中，当用户获得或试图获得对第一个工业自动化设备的访问时(例如，通过输入密码)，该工业自动化设备将一消息广播到网络上的其它设备。该消息的目的在于警告其它工业自动化设备该用户正处于对所述自动化设备获取访问的过程中，或者已经访问了该自动化设备，所以另外一个用户不能偷偷摸摸地基于同样的遥控钥匙按键获得对其它自动化设备之中的一个的访问。基于这一消息，其它自动化设备于是阻止所述第二用户的访问。当授权的用户登出(logged out)时，该自动化设备发送一条后续的消息，以便允许用户登录到其它自动化设备上。

在一个实施方式中，访问设备16给予用户对自动化设备12的完全访问。然而，更适宜地，可以使用多级访问方案，不同的个人具有对电机驱动器22不同的访问级别。例如，某些用户可只读访问，而其它用户可进行读写访问。同样，可访问的参数或可执行的功能也可依据访问级别而变化。例如，访问权限可以定义不同的特权类来控制用户访问设备存储器、创建或删除数据表文件和程序文件、执行逻辑性和物理性读或写、改变设备操作模式、清理存储器、恢复设备存储器、执行在线编辑、对存储器做清洗转存、重启、自动调节、清理错误/警报、链接读/写、重启、清洗转存、查看诊断/事件、上传配置信息设置、强制I/O转换、调整驱动器操作或自动化控制器等等的能力。可以定义不同类，给予不同用户不同的访问级别或不同类型的访问以执行不同功能。同样，访问级别(例如，读还是读写)可以在一个一个的参数基础上变化。访问权限还可给予特定用户(例如，管理员)增加或删除用户、修改密码/特权选项、指定访问权限等等的能力。例如，遥控钥匙中的一个可以是管理员遥控钥匙，具有将额外用户/遥控钥匙添加到数据库中和指定数据库中那些用户的访问权限的完全能力。

访问权限不但可按用户进行管理，而且可作为其它参数的函数，例如用户位置、用户工作职责、时间和/或日期、系统状态和/或按设备类型或组。例如，就用户位置而言，访问权限可以管理成只允许用户在特定的地点执行特定的功能。例如，一个特定的用户接口可位于自动化设备紧急停止(”E-stop”)开关的旁边。借助于只允许所述用户只能从那个用户接口执行特定的功能，则有可能保证用户能够真实地监控用户所做任何改变的效果并且在任何改变导致出现意外后果的事件时立即按下紧急停止开关。这也确保了用户已经通过工厂安全检查并且就在现场。关于日期和时间，访问权限可以管理成反映轮班计划和其它时间有关的安全事项。例如，一个给定的用户可能只有在他们计划工作的轮班期间才具有访问权限，同样的访问权限可在他人轮班时给予其它用户。关于系统状态，访问权限可以管理成实现锁定方案。换言之，当第一用户将自动化设备离线以更新该自动化设备的控制逻辑时，例如，所述第一用户可得到对该自动化设备的“所有权”，从而使其它用户对控制逻辑的访问暂时受到限制，直到所述第一用户的工作完成。

现在参考图4，如前面指出的，安全接口18可设置在电机驱动器或自动化控制器中或在外围设备内提供。图4是图1例子的另外一个变化。在图4中，第一外围设备是通讯适配器52的形式，把膝上型计算机56连接到电机驱动器58的I/O端口进行点对点通讯。另一个外围设备54将电机驱动器58连接到网络59。外围设备54可以是，例如，一个将电机驱动器58连接到网络59的通讯适配器。另一个用户接口55同样连接到电机驱动器58。

如前面所描述的，与安全访问设备16相关联的用户名和密码可存储在安全接口18内，安全接口18可在本地管理安全以认证用户所配置的访问级别。安全接口18也可通过网络59从更高级别权利机构处获得安全信息。

安全接口18也可设置在通讯适配器52中、在通讯适配器54中、在用户接口55中或在电机驱动器58中。在一个实施方式中，安全接口18以单机设备的形式或是作为连接到电机驱动器58的单独外围设备一部分的形式提供。以这种方式实现安全接口18的一个原因是为了便于这里描述的技术用于现存设备。例如，将这里描述的特征并入现存设备是合乎要求的，同时消除了或最大限度减少了对这种设备所需做的修改量。另外一个原因是，即使对于非现存设备，可能会期盼通过外围设备来处理安全事务，这样安全方面的改变不会导致不得不对由自动化设备控制的过程进行重新验证。

在一个实施方式中，适配器52、适配器54和用户接口55可各自被连接到电机驱动器58不同的通讯端口上。通过控制在每个端口上提供的访问级别来实现安全性。例如，如果安全接口18位于用户接口55内，用户接口55可控制通过其它端口提供的对电机驱动器58的访问级别。当用户试图使用膝上型计算机56将新的配置信息写入到电机驱动器58时，用户首先由用户接口55进行验证。在对用户进行验证后，用户接口55可改变适配器52所连接的端口的配置，以便使通过该端口向电机驱动器58写入信息成为可能。在这个实施方式中，唯一一个始终可以对电机驱动器58进行完全读写访问的端口是用户接口55所连接的那个端口。用户接口55因此不但能够对于使用用户接口55的用户，而且对使用膝上型计算机56和通过通讯适配器54连接到电机驱动器58的用户进行访问控制。

在一个实施方式中，在电机驱动器58内提供一个在一个端口一个端口基础上描述电机驱动器58的可访问性的访问掩码。例如，掩码之中的一个位指示是否允许通过给定端口进行读访问，另外一个位指示是否允许通过给定端口进行写访问。外围设备于是可写入访问掩码，以便在一个端口一个端口基础上配置驱动器的可访问性。传送给连接在电机驱动器58端口上设备的消息随后被传送以便所有的外围设备实时了解是哪些端口有访问。较佳地，访问掩码包含在电机驱动器58内，以便外围设备的移去(例如，如果外围设备是便携式人机接口)不会造成麻烦。在对给定端口的访问被拒绝时电机驱动器58能够提供信息也会合乎心意。例如，如果通过给定端口的访问不可用而有一个设备试图通过该端口访问电机驱动器58，可以提供诸如“安全主机：不允许对端口1写访问”的错误信息。

现在参考图5，如先前所表明，图1中显示的自动化设备12可连接到一个自动化控制网络上。图5是图1例子的另一个变化形式。在图5中，显示的工业自动化设备12包括多个电机驱动器62和一个自动化控制器(例如，机架式可编程控制器系统)64。用户接口14包括平板显示器型的人机接口66、膝上型计算机68以及电机驱动器62以集成方式提供的用户接口70。安全接口71连接到读卡机72和生物测定学识别设备74。同样，可以采用其它访问设备。电机驱动器62、自动化控制器64、人机接口66以及安全接口71都被连接到控制网络76上。在一个实施方式中，控制网络76是一个封闭的私有网络。在另外一个实施方式中，控制网络76是一个开放的非私有网络，即，任何计算设备(例如，桌面计算机、膝上型计算机、手持式计算机等等)都可以在该控制网络上进行通讯，只要该计算设备恰当地配置以合适的驱动或其它软件，并且这些驱动/其它软件通常花很少的钱或不花钱就可以得到。

在网络配置中，可能会期望由每个自动化设备12在本地执行访问限制。相应地，在一个实施方式中，电机驱动器62、自动化控制器64和人机接口66中的每一个都包括安全接口18(未示出)。因此在本地和在设备级别上提供安全性。在这个方案下，较佳地，只有那些通过安全接口进行操作的设备能够被认证。在两个参与者(例如，电机驱动器和自动化控制器、两个自动化控制器、用户接口和电机驱动器或者用户接口和自动化控制器等等)之间的通讯至少在最初是以通过和两个设备相关联的安全接口合作认证通讯中参与者的一方或双方来开始。不能被认证的设备几乎不给予或不给予访问。这样就阻止了流氓工具通过假装成另一个自动化设备来获取对自动化设备的访问，诸如通过假装成正在和电机驱动器进行配置信息通信的自动化控制器。

在另一个实施方式中，只有部分设备配有安全接口。例如，出于成本和简化实现的原因，部分设备没有提供安全接口，如果认为对给定设备的保护是不必要的话。例如，安全接口也许不会提供给一个测量非关键参数的传感器或者完成非关键输出的致动器(例如，指示器)。可以意识到的是，安全接口18没有必要对于每个设备来说都是完全相同的，而是可根据设备类型(工作站、电机驱动器、自动化控制器等等)、根据运行其上的网络类型(企业网络、控制网络等等)来进行配置/优化。不同的安全接口18可以具有取决于其所连接的设备的不同的功能级别。一个简单的可编程传感器，假定其具有安全接口18，可能不需要和自动化控制器同样程度的保护或功能性级别。

一般而言，每个自动化设备12可使用用户接口与人类用户通讯或与其它自动化设备通讯。在和人类用户通讯的情况下，例如在图5中，这样的通讯通过膝上型计算机68完成。在这种情况下，用户可以由读卡机72(例如，用于读取磁卡)或由生物测定学识别设备74(例如，指纹识别器或者视网膜扫描仪)来进行认证。安全接口71可以具有允许将安全接口71连接到膝上型计算机68的端口(例如，通过USB或以太网端口)。正如上面结合图1-2一般描述的，在接收到来自读卡机72或生物测定学识别设备74的输入后，安全接口71随后通过膝上型计算机68提示用户提供密码。在接收到密码后，安全接口71完成对用户的认证。

在和其它自动化设备通讯的情况下，手工输入登录名和密码是没有必要的。然而，较佳的是，标识信息仍然存储在每个设备内以允许每个设备标识自己。授权用户/设备的列表和每个用户/设备的访问级别因而由每个自动化设备12维护。特别地，每个自动化设备12(或者至少那些具有安全接口的自动化设备)存储允许访问其信息的用户和自动化设备的列表以及允许访问的级别。

用户和设备的标识信息可通过网络76传输以允许用户/设备获得对给定自动化设备12的访问。例如，在一个人类用户试图从膝上型计算机68访问电机驱动器62中的某一个驱动器时，位于电机驱动器62内的安全接口18接收来自访问设备16的信息(例如，一个标识访问设备16从而标识用户的信号)。这条信息被位于电机驱动器62内的安全接口18通过安全接口71以间接地方式接收到。通过将接收自访问设备16的信息与关于用户的存储信息相比较进行用户认证的过程可以由安全接口71或由与电机驱动器62相关联的安全接口18完成。然而在任何一种情况下，来自访问设备16的信息以认证前的格式，或认证后的格式，终结于和电机驱动器62相关联的安全接口18。安全接口18于是将用户标识与其存储的允许访问电机62信息的用户/设备列表相比较，并基于存储信息确定允许访问的级别。

或者，如果是自动化控制器64在试图访问电机驱动器62，那么标识信息会从自动化控制器64的安全接口18发送到电机驱动器62的安全接口18。同样，电机驱动器62的安全接口18于是将自动化控制器的标识与其存储的允许访问电机62信息的用户/设备列表相比较，并基于存储信息确定允许访问的级别。

在一个实施方式中，为了阻止流氓工具监听网络通讯来获悉授权用户/设备的标识信息，在网络76上标识信息以加密格式传输。例如，可以使用对称密钥加密方案，为具有安全接口18的所有设备提供公钥和私钥，所有设备都知道所有其它设备的公钥。对于自动化控制器64传输其标识信息到电机驱动器62的情况，例如，自动化控制器64可使用电机驱动器62的公钥对其标识信息进行加密。然后自动化控制器64将两个加密项目(标识信息和对称密钥)都发送到电机驱动器62。电机驱动器62使用其私钥解密对称密钥，然后使用解密后的对称密钥对自动化控制器64的标识信息进行解密。多种其它方案也可以用于对其它自动化设备12进行认证和/或以安全方式在网络76上来回传输标识信息。

在上面描述的实施方式中，一个具有用户标识和访问权限信息的单独的访问列表较佳地存储在每个自动化设备12上。这允许在本地处理安全事务并避免单点故障。在另一个实施方式中，该列表可由一个中央管理机构集中维护。这会方便对访问列表进行整体更新，例如，一次增加新的雇员到许多列表中。同样地，人类用户的标识和密码信息可存储在安全接口18上。统可以配置成使用户密码或其它信息只可在每个安全接口18本地更新，或者也可使用一个中央管理机构来更新多个安全接口上的用户密码。如果需要，也可以允许不在授权用户列表上的用户/设备以缺省级别-可以是最低的访问级别-进行访问。

图5的系统具有众多特征。首先，它提供了在网络环境下设备级别上的安全性。每个自动化设备12最终负责执行与I/O数据以及存储在其中的配置信息有关的访问约束。因为是在本地处理安全事务，为每一个设备都提供了安全接口18，不需要一个服务器或其它中央管理机构来阻止流氓工具未被授权的访问或者允许用户的授权访问。另外，自动化设备12配有并支持一致性认证与授权系统。该系统对于人类用户通过用户接口访问控制网络和对于自动化设备连接到作为网络控制体系一部分的控制网络是一样的。包括安全接口18并支持认证与授权系统的自动化设备12有能力阻止流氓软件的访问。因此，保护自动化设备12不受连接到网络76上的流氓软件的危害。同时，授权工具，诸如膝上型计算机68，可获得对连接到网络76上的任何/所有自动化设备12的访问。因此，膝上型计算机68可以执行软件工具如用于监控自动化系统操作的企业管理工具。下面会描述此类工具的例子。此外，用户不需要针对不同设备记忆不同的密码。整个系统中的所有设备均使用单一密码。这在实践上避免了半秘密的“后门”的使用，这种“后门”是被配置成允许在忘记密码的情况下访问系统的，但这也容易允许未被授权的访问。

现在参考图6，其中更详细地显示了自动化设备12的例子中的安全接口18的方案。在图6的例子中，安全接口18和自动化设备12以整体方式提供。如前面提到的，安全接口18也可以单独提供或位于其它设备内。

就自动化设备12来说，安全接口18优选连接到控制逻辑80、通讯接口82、帐户数据存储区域84、访问权限存储区域86和日志存储区域88。应注意的是，控制逻辑80、通讯接口82、帐户数据存储区域84、访问权限存储区域86和日志存储区域88是存在于显示有安全接口18的其它附图所描述的方案之中的，即使并未对他们做特别说明。

控制逻辑80是自动化设备用于控制或监视至少部分工业过程的逻辑。例如，对于电机驱动器，控制逻辑80包括用于控制由电机驱动器控制的电动机操作的逻辑。对于自动化控制器，控制逻辑80包括用于根据多个输入设备的输入状态控制多个输出设备的输出状态的逻辑，诸如RSLogix程序中包含的逻辑。对于传感器或致动器，控制逻辑80包括用于控制传感器/致动器的操作、缩放输出以及执行其他信号处理的逻辑。

通讯接口82包括通讯驱动软件和其它用于将自动化设备12连接到通信链路19如点对点连接或通讯网络的逻辑。帐号数据存储区域84存储标识个人用户的信息。例如，帐户数据存储区域84可用于存储登录ID、密码和其它用于使用安全访问设备16(例如，生物测定学信息、与手持式访问设备相关联的代码等等)对个人用户进行认证的标识信息。如果标识信息以加密格式在设备间传输，帐户数据存储区域84也可存储对该过程有帮助的信息(例如，如上面讨论的，其它设备的公钥信息)。

访问权限数据存储区域86存储关于个体用户/设备拥有什么权限的信息。例如前面表明的，访问权限数据存储区域86可定义不同的特权类来控制用户修改密码/特权选项、访问设备存储器、创建或删除数据表文件和程序文件、执行逻辑性和物理性读或写、改变设备操作模式、对存储器进行清洗转存、恢复设备存储器、执行在线编辑、刷新存储器、重启、自动化调节、清理错误/警报、链接读/写、重启、清洗转存、查看诊断/事件、上传配置信息设置、强制I/O转换、调整驱动器操作或自动化控制器等等的能力。可定义出不同类给不同用户以不同的访问级别或不同的访问类型以完成不同功能。同样，访问级别(例如，是读还是读写)可在一个参数一个参数的基础上变化。

在操作中，控制逻辑80与通讯接口82(从而通讯链路19)之间的通讯通过安全接口18。因此，任何从数据链路19到达的消息都由安全接口18进行评估。在一个实施方式中，信息可接收自与自动化设备12直接连接的用户接口14，如上面结合图1-3所描述，从而通过以先前描述的方式参考该账户数据存储区域84来对用户进行认证。在另外一个实施方式中，信息接收自自动化设备12或用户接口14，其中自动化设备12或用户接口14有安全接口18与之关联。例如，通过如上面结合图5描述的网络，从而传输是安全传输而且发出请求的用户/设备是已经经过认证的。如果该消息是对数据的请求，安全接口18识别发出请求的用户是否具有对该数据的读访问权限，如果是，则提供所请求的数据给用户。如果该消息是一个写入输出的请求，则安全接口18识别发出请求的用户是否具有对该数据的写访问权限，如果是，则根据请求写入数据。在这种情况下，例如，自动化设备12可以是致动器，请求写数据到致动器的用户可能是自动化控制器。

日志存储区域88用于存储对自动化设备12配置所做改变的信息，包括什么时候做出的改变以及做出该改变的用户/设备的身份。日志存储区域88可用于维护对自动化设备12所做的所有改变以及其它信息的综合列表。例如，保留那些需要访问权限的数据处理事务的记录，诸如前面结合访问权限数据存储区域86所描述的。

参考图7，除了其所显示的是在工作站或其它用户接口14上下文中的安全接口18之外，图7与图6类似。所显示的是应用软件89，而非控制逻辑80。应用软件89包括用户可以使用的软件工具，例如，对特定自动化设备12获得设备级上的视图或获得关于整个自动化系统10的系统级上的信息。此外，如上面结合图1-3一般描述的，安全接口18可用于识别人类用户。用户接口14然后和在网络19上的其它设备，包括具有相关联的安全接口18的设备进行通讯，以便收集有关自动化系统操作的信息。

现在参考图8，以更进一步的附加特征显示了一种工业自动化系统，其结合了由访问设备16提供的安全性。该工业自动化系统由多个工业自动化设备12组成。其中工业自动化设备12包括电机驱动器102、自动化控制器104、I/O模块106、人机接口108、传感器110和致动器111，这些设备中的每一个都包括安全接口112并且每一个都被连接到控制网络114上。

系统还包括通过各自的安全接口112连接到网络129的多个工作站122-128。还是应当认识到，安全接口112没有必要对于每个设备来说都是完全相同的，而是可以根据设备类型(工作站、电机驱动器、自动化控制器等等)、根据运行于其上的网络类型(企业网络、控制网络等等)进行配置/优化。同样，虽然这里显示的安全接口112是嵌入到每个设备102-111和工作站122-128的，应当理解，安全接口112的功能性也可以通过单独的单机外围设备提供。

在一个实施方式中，网络114是控制网络，网络129是管理信息网络。控制网络114可以按照ControlNet或DeviceNet自动化网络标准提供。控制网络通常是高度确定性的。网络129是和办公室环境(与工厂底层环境相反)(例如，公司范围内联网)下的商业/管理信息系统网络相关联的通用网络。网络129可用于连接诸如使用于办公室范围内联网、外延网、同样包括因特网上的个人/膝上型计算机。例如，网络129可以是以太网为基础的网络。

系统100还包括用于连接网络110和网络129的信息服务器130。虽然描述的信息服务器130位于网络114和129之间，应当认识到，其它的配置也是可能的。例如，可以使用一个或多个网桥或网关来将独立的网络相互连接起来。另外，虽然显示的信息服务器130是独立的组件，要明白，其它的配置也是可能的。例如，信息服务器130的功能可以分配到各个自动化设备12上。

信息服务器130使来自不同自动化设备、制造执行系统和外部商业计算系统-包括将自动化设备相互连接以及将自动化设备连接到制造执行系统和外部商业系统数据库-的通讯标准化。信息服务器130通过提供数据共享的一致性格式来为通讯提供公共框架，允许用户将来自自动化设备12的信息与企业的其它部分共同分享。信息服务器130优选驻留在一个单独的服务器上，虽然该单独的服务器可能是虚拟服务器，且该服务器可寄居于一台还寄居着另外一个服务器的计算机内。

现在参考图9。图9详细显示了信息服务器130。信息服务器130包括安全模块150、目录模块152、实时数据模块154、审计模块156、数据模型模块158和入口模块160。

在用户信息服务器130系统环境下安全模块150与其它模块152-160合作提供安全特性。例如，就需要来说，安全模块150可用于集中管理至少某些安全特性。例如，在一个实施方式中，如上面描述的，期望在每个设备上以完全本地的方式管理访问权限。在另外一个实施方式中，为方便起见，可能期望通过网络同时改变多个设备的安全配置信息。这个方案更方便之处在于在很大程度上允许在单个地点管理访问权限。安全模块150的其它特征在下面描述。

目录模块152提供自动化设备12、用户接口14、有关参数名(例如，标签)和其它参数以及位于自动化环境内的设备的目录或公共地址簿。例如，当系统程序员使用编程工具对自动化系统10进行编程时，用户可将参数名(例如，标签)分配给真实或虚拟的I/O点或其它设备(例如，传感器、致动器等等)。这些参数名可用于在控制程序中引用特殊设备或I/O点。这些参数名可通过目录模块152在其它工具中浏览和访问。例如，如果第二系统程序员编制自动化系统的用户接口，所述第二系统程序员可使用目录模块152来浏览和访问所述第一程序员在控制程序中分配的参数名。目录模块152提供了一个分布式名字空间。即，目录模块152优选不是一个单一的数据库，而是允许数据驻留在多个地点。目录模块152提供对存储在分布式系统上任何地方的资源的可供搜索的引用。因此，用户可将目录模块152视为一个可供搜索的单一数据库。

更适宜地，参数名不是硬编码到设备的物理位置或I/O点。目录模块152将关于物理位置的信息与关于设备名的信息分开维护。这允许程序员只定义资源和资源组一次，然后反复地重新使用它们。一个大型分布式系统可在一台计算机上编程、拿到一个自动化环境中并通过简单地改变参数所驻留的硬件名来配置正确的位置。这也可以反过来做，通过允许用户走出去到现场、将配置好的系统移到笔记本计算机上、修改并重新配置该系统。整个人机接口工程可被复制且来自某个应用的整行或整个区域的逻辑程序可在相同应用程序中被重新利用。

目录模块152可用于支持对这里描述的安全特征进行集中管理。例如，使用目录模块152，负责设置不同用户访问权限的系统管理员可快速浏览自动化系统内不同的自动化设备和/或I/O点，以在逐一设备或逐一参数的基础上设置用户访问权限。安全模块150(和/或安全接口18)也可用于限制用户通过目录模块152查看和访问信息的能力。

实时数据模块154用于对来自自动化系统10的实时数据提供可靠的、企业范围的访问。实时数据模块154提供在整个系统中的多个过程之间高速传输制造信息的服务，并使之在工作站122-128上执行的软件工具能够进行浏览、允许工作站122、124获得关于在自动化环境下发生了什么的最新视图。例如，该信息可来自图8中所示的自动化设备12中的任何一个。

更适宜地，实时数据模块154可按照需要检索数据并将其传给发出请求的实体。数据仍然分布在其最初的、本地环境(例如，在电机驱动器102处、在自动化控制器104处等等)中，而不是被转移、检索并存储在一个中央场所。这避免了将数据存储在可能会是单故障点(single point of failure)的中央数据库中。

安全模块150(和/或安全接口18)可用于限制根据个人用户的访问权限通过实时访问模块154访问存储在自动化设备12内的数据。在一个实施方式中，信息服务器130执行来回传送标识信息以允许自动化设备12认证发出请求的用户。是否对特定用户/设备授权的决定在设备级上做本地处理。信息可一次传送，或者在自动化设备与工作站之间建立安全连接。在另外一个实施方式中，是否对特定用户/设备授权的决定由信息服务器130做出。在这种方案中，系统10被配置成使赋予信息服务器130完全访问系统10中所有自动化设备12。因此，确定是否一个特定用户/设备具有和其它自动化设备进行特定数据传输的授权的责任落在信息服务器130上。为此，每个用户/设备的访问权限可存储在信息服务器130上并由其集中管理。

审计模块156维护一个对工业自动化系统所做改变的综合列表。审计模块可至少部分地使用位于每个自动化设备12内的日志存储区域88来实现，如上面结合图6描述的。或者，审计模块156可使用一个存储对自动化控制系统所做全部改变的综合、集中记录的中央数据库来实现。对系统所做的任何改变被转寄到一个包括关于做出了什么改变、在什么时候及由谁做出的改变的细节的审计数据库。这些记录包含关于所制造、存储和发放的产品的详细信息；制造产品的过程和其它信息。当用户登录进系统、改变数据配置或改变I/O配置时产生审计消息。审计模块156将这些审计消息从所有参与的设备处发送到中央审计日志以便进行存储和分析。因为所有用户都是经过认证的，能够达到高水平的确定性，保证做出了什么改变、什么时候及由谁做出的改变的细节是正确的。

数据模型模块158提供用于描述自动化系统10中操作的公共术语。数据模型模块158允许软件应用根据有关自动化环境如何操作的信息储存库以同样的方式进行存储、记录和查看数据。例如，用户可以安装一个软件产品并包含关于工厂操作方式的信息。然后，当安装第二软件时，这些信息可以重复使用，从而避免了再次收集该信息的需要。有利的是，这提供了一个遍及全企业传送的关于自动化环境的简单、可重复使用和一致的视图。

入口模块160提供从因特网浏览器或相关远程设备对生产数据和制造报告的全局访问。工作站122-128可通过因特网与信息服务器130连接以获取对实时制造信息的访问。信息服务器130对于其它手持式设备也是可用的，例如个人数字助理。和对于实时数据模块154一样，安全模块150(和/或安全接口18)也用于根据个人用户的访问权限对通过入口模块160访问存储在自动化设备12内的数据进行限制。在一个实施方式中，系统可配置成使得访问权限不但是试图访问信息的特定用户的函数，而且是工作站与信息服务器130连接方式的函数。例如，如果工作站是通过因特网连接到信息服务器130的，可给予用户限制性更大的访问权限。例如，允许用户查看数据但不能写入数据。这将为防御因特网威胁提供更高级别的安全性。

通过工作站122-128可以提供额外的软件工具。这些软件工具可供技术员、工程师和管理人员在设计、操作和维护自动化系统及相关商业业务时使用，并可对存储在整个自动化系统10-包括来自自动化控制器、电机驱动器、单独传感器和致动器等等-上的数据进行访问。例如下面描述的，这样的工具可用于提供包括设备级和系统级的视图、报告等等在内的各种信息。因此，执行这样的工具需要从自动化设备12处获得信息。可以前面描述的方式对一个工作站122-128上的用户进行认证。对这些信息进行访问可以是在一个设备一个设备的基础上。或者，使用安全模块150，可以给予用户对特定视图/报告的访问，为了产生该特定视图/报告，用户需要访问自动化设备12上的特定信息，而自动化设备12的用户在其它情况下是不能另行访问。即该视图/报告可被认为是那些尚能合格的用户可以访问的报告，即使不允许该用户访问用以产生它们的来自自动化设备12的底层信息。在这种方案中，获取上述视图/报告的用户访问权限可由安全模块150管理。

作为例子，假定用户使用工作站122执行上述软件工具中的一个，该用户可由与工作站122相关联的安全接口112进行认证。例如，用户可通过生物测定学信息进行认证(例如，使用连接到工作站122安全接口112的指纹读取器或视网膜扫描仪)，或通过手持式安全设备，或通过其它机制。一旦用户验证通过，用户即可访问自动化系统10内的部分或所有信息。提供的访问权限以使用户能够使用软件工具为宜，这些软件工具需要访问自动化系统10内的信息来进行完整地操作。工作站122将用户身份和对信息的请求一起传送到信息服务器130，或是个别自动化设备12，这取决于系统是如何配置的。在一个实施方式中，如上面描述的，信息服务器130可响应对信息的请求。在另外一个实施方式中，对信息的请求被向前传递到个别自动化设备，该自动化设备然后提供被请求的信息。值得注意的是，可以在每次请求信息时提供用户的身份，或者建立安全连接以避免每次传送标识信息的需要。同样注意到的是，软件工具也可以通过网络浏览器提供，在这种场合下，用户可输入URL地址，和软件工具相关联的程序逻辑可位于因特网的自动化系统一侧。

应注意到是，虽然这里提供的流程图显示的是特定的顺序，可以理解的是，这些步骤的顺序可以和所描述的不同。两个或更多个步骤也可以同时或部分同时执行。上述变化依赖于选择的软件和硬件系统以及设计师的选择。可以理解的是，所有上述变化都在本发明的范围内。同样地，本发明的软件和网络实施可以使用标准编程技术来完成，标准编程技术可使用基于规则的逻辑和其它逻辑来完成各种数据库查询步骤、关联步骤、比较步骤和判定步骤。

上面参考附图描述了发明。这些附图用于说明实现本发明的系统和方法以及程序的特殊实施方式的特定细节。然而，使用这些图来描述发明不应被解释为对发明施加了任何和图中显示的特征相关联的限制。本发明预期在任何机器可读介质上的方法、系统和程序产品能完成其操作。本发明的实施方式可以使用现有计算机处理器，或通过用于这种或另外目的的专用计算机处理器或通过硬连线系统完成。

如上面注意到的，本发明范围内的实施方式包括由机器可读介质作为载体或具有机器可执行指令或数据结构存储其上组成的程序产品。这样的机器可读介质可以是任何能够被通用或特殊用途计算机或其它具有处理器的机器访问的介质。当通过网络传输或其它通讯连接(硬连线连接、无线连接、硬连线或无线连接的组合)传输或提供信息到一台机器时，该机器适当的将该连接视为机器可读介质。因此，任何这样的连接都被适当的称为机器可读介质。上述诸项的组合也包括在机器可读介质的范围之内。机器可执行指令包括，例如，导致通用计算机、专用计算机或专用处理机器执行特定功能或功能组的指令和数据。

本发明的实施方式在方法步骤的一般上下文环境下描述，在一个实施方式中，方法步骤可由程序产品实现，程序产品包括机器可执行指令如程序代码，例如，以在网络环境下由机器执行的程序模块的方式出现。一般地，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、部件、数据结构等等。机器可执行指令、关联数据结构和程序模块代表用以执行这里涉及的方法步骤的程序代码的示例。这些可执行指令或关联数据结构的特定序列代表用于实现在这些步骤中描述的功能的相应动作的示例。

本发明的实施方式可以在使用到一个或多个具有处理器的远程计算机的逻辑连接的网络环境中实践。作为例子而非限制，逻辑连接包括在这里呈现的局域网(LAN)和广域网(WAN)。这种网络环境常见于办公室范围或企业范围的计算机网络、内联网和因特网，并可使用各种各样的不同通讯协议。本领域技术人员会理解这种网络计算环境通常包括许多类型的计算机系统配置，包括个人计算机、手持式设备、多处理器系统、以微处理器为基础的或可编程消费电子产品、网络PC、小型机、大型机等等。本发明的实施方式也可在分布式计算环境中实践，其中在分布式计算环境中，任务由连接(通过硬连线连接、无线连接、或通过硬连线或无线连接的组合)起来的本地或远程处理设备执行。在分布式计算环境中，程序模块可位于本地和远程记忆体存储设备中。

以上呈现的关于本发明实施方式的描写目的在于说明和描述。并非是想要穷举或将本发明限制在所涉及到的精确形式内，按照上面的讲述或从本发明实践中获得改变和变化是可能的。所选择和所描述的实施方式目的在于解释本发明的原则及其实际应用，以使本领域技术人员通过各种实施方式和以各种适合所预期的特别用涂的改变来利用本发明。

Claims (29)

1.一种工业自动化系统，它包括：

一安全访问设备；

一工业自动化设备；

一用户接口，用于向用户提供对存储在所述工业自动化设备内的数据的访问；和

一安全接口，用于接收来自所述访问设备的信息，并根据从所述访问设备所接收到的信息提供授权以使用户可使用用户接口访问存储在所述工业自动化设备内的数据。

2.如权利要求1所述的系统，其中所述工业自动化设备包括电机驱动器。

3.如权利要求2所述的系统，其中所述电机驱动器是没有连接到工业自动化控制网络的独立电机驱动器。

4.如权利要求1所述的系统，其中所述工业自动化设备包括自动化控制器。

5.如权利要求1所述的系统，其中所述安全接口被配置成将来自访问设备的信息与和用户相关联的存储信息相比较。

6.如权利要求5所述的系统，其中所述接收自访问设备的信息是第一唯一代码，且其中所述存储的信息包括与所述访问设备以及所述用户相关联的第二唯一代码。

7.如权利要求6所述的系统，其中所述安全接口将所述第一唯一代码与所述第二唯一代码相比较以确定是否匹配。

8.如权利要求6所述的系统，其中所述访问设备是手持式式卡。

9.如权利要求6所述的系统，其中所述访问设备是遥控钥匙。

10.如权利要求6所述的系统，其中所述第二唯一代码是存储在数据库中并与多个不同用户相关联的多个代码之中的一个，且其中所述数据库还存储多个不同用户的访问权限信息。

11.如权利要求5所述的系统，其中接收自访问设备的信息是生物测定学信息，且其中存储的信息包括和用户相关联的生物测定学信息。

12.如权利要求11所述的系统，其中所述安全接口将接收自访问设备的生物测定学信息与存储的和用户相关联的生物测定学信息相比较以确定是否匹配。

13.如权利要求11所述的系统，其中所述访问设备是指纹识别器。

14.如权利要求11所述的系统，其中所述访问设备是视网膜扫描仪。

15.如权利要求11所述的系统，其中所述生物测定学信息和与多个不同用户相关联的其它生物测定学信息一起存储在数据库中，且其中所述数据库还存储所述多个不同用户的访问权限信息。

16.如权利要求1所述的系统，

其中所述安全接口是第一安全接口，

其中所述系统还包括第二安全接口和一通讯网络，以及

其中所述通讯网络耦合在(i)所述工业自动化设备和所述第一安全接口的组合以及(ii)所述用户接口和所述第二安全接口的组合之间。

17.如权利要求16所述的系统，

其中第一安全接口通过所述第一安全接口间接地接收来自访问设备的信息，

其中所述第一安全接口使用标识所述用户的信息确定所述用户的访问权限，以及

其中所述第一安全接口基于对所述用户访问权限允许用户访问所述数据的确定来允许对存储在工业自动化设备内数据的访问。

18.如权利要求17所述的系统，其中第一安全接口以认证后格式接收来自访问设备的信息。

19.如权利要求17所述的系统，

其中所述工业自动化设备是第一工业自动化设备，

其中所述系统还包括第三安全接口和第二工业自动化设备，以及

其中所述通讯网络耦合在(i)所述自动化设备和所述第一安全接口的组合，(ii)所述用户接口和所述第二安全接口的组合，以及(iii)所述第二自动化设备和所述第三安全接口的组合之间。

20.如权利要求19所述的系统，其中所述第三安全接口和所述第一安全接口合作向所述第二自动化设备提供对存储在所述第一工业自动化设备中的数据的访问。

21.如权利要求20所述的系统，

其中所述第三安全接口将标识所述第二自动化设备的信息传送到所述第一安全接口，

其中所述第一安全接口使用标识所述第二自动化设备的信息确定所述第二自动化设备的访问权限，以及

其中所述第一安全接口基于对所述第二自动化设备的访问权限允许访问数据的确规定而允许访问存储在所述第一工业自动化设备内的数据。

22.如权利要求21所述的系统，

其中所述系统还包括耦合到通讯网络上的多个附加自动化设备、耦合到通讯网络上的多个附加用户接口、和多个附加安全接口，

其中所述多个附加安全接口分别与多个附加的自动化设备以及多个附加的用户接口之中不同的一个相关联，

其中在由所述多个附加自动化设备中相应者组合形成的参与者之间的通讯要求，至少在部分实例中，认证在通讯中的参与者中的至少一个，所述认证用与通讯中的参与者相关联的安全接口执行，以及

其中在由所述多个附加自动化设备中相应者和所述多个附加用户接口中相应者组合形成的参与者之间的通讯要求，至少在部分实例中，由相应的自动化设备的安全接口对相应用户接口进行认证。

23.如权利要求16所述的系统，

其中所述系统还包括耦合到通讯网络的多个附加自动化设备、耦合到通讯网络的多个附加用户接口、和多个附加安全接口，

其中所述多个附加安全接口分别与所述多个附加自动化设备以及所述多个附加用户接口之中不同的一个相关联，

其中在由所述多个附加自动化设备中相应者组合形成的参与者之间的通讯要求，至少在部分实例中，对在通讯中的参与者中的至少一个进行认证，所述认证用与通讯中参与者相关联的安全接口执行，以及

其中在由所述多个附加自动化设备中相应者和所述多个附加用户接口中相应者组合形成的参与者之间的通讯要求，至少在部分实例中，由相应自动化设备的安全接口对相应用户接口进行认证。

24.如权利要求23所述的系统，进一步包括一配置成使来自多个附加自动化设备、制造执行系统和外部商业计算系统的不同者的通讯标准化的信息服务器。

25.如权利要求26所述的系统，其中所述信息服务器还包括配置成向通过因特网远程连接到所述工业自动化系统的工作站提供对存储在所述多个工业自动化设备内的信息进行访问的入口模块。

26.如权利要求23所述的系统，其中所述用户接口通过因特网连接到所述工业自动化设备。

27.如权利要求1所述的系统，其中所述用户接口被配置成向用户显示登录屏幕以获得用户密码。

28.如权利要求1所述的系统，其中所述安全接口和所述用户接口以集成方式提供。

29.如权利要求1所述的系统，其中所述安全接口和所述工业自动化设备以集成方式提供。

Images