CN107077115A - 操作安全控制方法及具有该安全控制的自动化网络 - Google Patents

Abstract

为了在自动化网络中操作安全控制，所述自动化网络包括执行安全控制的主用户、具有第一安全需求层级的至少一个第一从用户、以及具有第二安全需求层级的至少一个第二从用户，第一安全码确定方法与第一从用户有关，而第二安全码确定方法与第二从用户有关，其中主用户与第一从用户使用第一安全码确定方法来交换安全数据块，而主用户与第二从用户使用第二安全码确定方法来交换安全数据块。

Description

操作安全控制方法及具有该安全控制的自动化网络

技术领域

本发明是与一种于自动化网络中操作安全控制的方法及具有这种安全控制的自动化网络有关，所述自动化网络具有主用户和多个从用户，它们被指定不同的安全完整性层级。

背景技术

现代的工业自动化概念(也就是利用软件的辅助进行技术工序的控制及监控)是基于利用分布式传感器/作动器层级进行中央控制的构想。在这个情况下，用户通过工业局域网络(下文中也称为自动化网络)彼此通讯以及与上级系统通讯。控制功能是基于两个基本构想：地理分散和控制功能的分级区分。在这种情况下，功能性的分级将自动化任务实质上区分为控制层级和传感器/作动器层级。工业局域网络通常会具有所谓的主/从式通讯网络，其中主用户形成控制层级，而从用户形成传感器/作动器层级。

对于自动化网络的一个重要需求为故障安全(fail-safety)。在控制及监控技术工序时，必须确认的是，当自动化网络不正确地操作时，这不会对人类和环境产生任何风险。自动化网络一般都根据所谓的故障安全原则操作，其中在故障事件时，自动化网络会改变为安全状态。

为了能够将来自自动化网络的危险进行分类，有实施风险分析的强制需求。根据欧洲标准EN 1050，必须要以一系列的逻辑步骤实施风险评估，它允许对来自自动化网络或个人用户的危险进行系统化调查。然后，为了确保充分安全的目的，基于风险分析规定施加于自动化网络的技术与组织化需求。

在机器及安装安全的领域中，特别也是可编程电子控制系统，标准EN ISO 13849-1及IEC/EN 62061已经变成被建置为实施危险分析的国际标准。这些标准同时包括所有安全相关用户，无论用户类型是什么，并且将安全相关性能细分类别。接着基于已确定的安全类别规定自动化网络中的控制结构，以达成对于安全功能的需求，并且在故障事件中实现需要的系统行为。

标准EN ISO 13849-1及IEC/EN 62062规定了为降低风险所需要的可编程电子控制系统的安全相关性能。为了细分安全相关性能的目的，这两种标准定义了安全完整性层级。为了这个目的，自动化网络的所有安全功能都被视为在它们的执行期间会涉及所有用户。

标准IEC/EN 62061规定了四个安全完整性层级(SIL)SIL1至SIL4，其中各自层级是由错误发生的可允许残余错误概率所定义。安全完整性层级SIL1代表根据标准的最低需求。然后需求随层级而增加，直到安全完整性层级SIL4。在此情况中，自动化网络的安全完整性层级是以安全功能中涉及的所有用户的安全相关特性变量为基础所决定。除了安全功能中所涉及的所有用户的安全相关特性变量的知识以外，也需要有与自动化网络中用户的逻辑链接有关的精确信息来决定自动化网络的安全完整性层级。安全完整性层级实质上也会受到自动化网络中使用的总线架构影响。

关于安全功能方面，因为对于自动化网络中的用户的需求通常都不同，自动化网络一般都以具有不同SIL层级的用户操作。然而，在此情况中，整体系统的安全完整性层级是由具有最低SIL层级的用户所决定。原因在于自动化网络中具有不同SIL层级的用户之间的数据业务会导致可观的安全相关问题。这是因为，若具有低SIL层级的用户对具有高SIL层级的用户传送数据分组，即可为具有高SIL层级的接收用户生成有效的数据分组，即使在传送用户中生成数据分组时发生了简单的错误，此错误在传送用户的低SIL层级内也是可允许的。虽然，接着，由于接收器的高SIL层级，在接收器中会有高度可能性侦测到所传送数据分组中的错误，但具有低SIL层级的用户的可能数据业务会接着导致不再能够确保与接收器中所需的高SIL层级的相符性，因为本身有效的数据分组可由具有低SIL层级的用户形成。

进一步而言，在以进一步的安全相关用户扩充自动化网络时，特别是当他们的SIL层级与其他用户的SIL层级不同时，一般需要都重组整个系统，以避免自动化系统中已经存在的用户所执行的安全功能与新加入的用户的安全功能产生冲突。在此情况中，存在有风险，特别是与旧用户相同的地址在地址分配期间被分配给新的用户，这会导致数据分组的错误定向，然后无法侦测到这些数据分组。地址分配是复杂的，特别是当数据分组中被指定给用户的地址仅被隐式地作为安全码的一部分而传送时更是如此，安全码是由数据保护机制所产生、及/或无法从外部决定。

发明内容

本发明的目的在于提供一种操作安全控制方法以及一种自动化网络，其中具有任何安全完整性层级的用户都可以经由自动化网络连接，不会不利地影响安全。

这个目的是以如权利要求1所述的方法、以及如权利要求5所述的自动化网络达成。权利要求附属项中说明了较佳的发展。

根据本发明，为了在具有实施安全控制的主用户、被指定第一安全完整性层级的至少一个第一从用户、以及被指定第二安全完整性层级的至少一个第二从用户的自动化网络中操作安全控制，所述主用户、所述第一从用户及所述第二从用户是经由数据传送路径而彼此连接，并且每一者具有安全层与数据链路层；在传送模式中，安全码确定方法被使用于各自用户的安全层以确定要被传送的安全数据块的安全码，并且包含所述安全数据块及所述安全码的数据分组是在各自用户的数据链路层中形成，以供于数据传送路径上传送；并且在接收模式中，于各自用户的数据链路层中，从经由数据传送路径接收的数据分组中撷取安全数据块与相关的安全码，并且在各自用户的安全层中使用所述安全码确定方法为所述安全数据块验证安全码。在此例中，第一安全码确定方法是被指定给第一从用户，而第二安全码确定方法是被指定给第二从用户，主用户与第一从用户是使用所述第一安全码确定方法互换安全数据块，而主用户与第二从用户是使用所述第二安全码确定方法互换安全数据块。

根据本发明，独立的安全码确定方法被用于自动化网络中具有相同安全完整性层级的用户之间的通讯。因此特别是排除了具有不同安全完整性层级的用户的彼此未侦测到的影响。在具有不同安全完整性层级的用户之间数据业务中的数据分组错误定向被可靠地侦测到。因此，在自动化网络中具有任何安全完整性层级的用户之间也可有数据业务，而没有安全相关问题。

根据一个较佳具体实施例，第一及第二安全码确定方法是循环冗余校验方法，第一安全码生成多项式被分派给所述第一安全码确定方法，并且第二安全码生成多项式被分派给所述第二安全码确定方法。在这个情况下，第一安全码生成多项式的汉明距离(Hamming distance)较佳是与第二安全码生成多项式的汉明距离不同。这个程序让它可针对两个安全码确定方法都使用循环冗余校验的目前标准安全机制，因而能够省去额外耗时的安全措施(它们也需要额外的硬件和软件)。设定第一及第二安全码生成多项式的汉明距离会使得数据分组中的侦测错误概率可被确保为如同各自安全完整性层级所需要。

根据一个较佳具体实施例，具有第一安全完整性层级的用户的自动化网络可完全独立于具有第二安全完整性层级的用户的自动化网络的设计而加以设计。接着可于两个网络区域中使用相同的地址，而不会于数据业务中产生错误定向，这是因为对每一个网络区域都指定了能够避免此类错误定向的独立安全码确定方法。

附图说明

本发明将以如附图式更详细说明如下。

图1示意说明了根据本发明的自动化网络的结构，所述自动化网络具有实施安全控制的主用户、被指定第一安全完整性层级的第一从用户、以及被指定第二安全完整性层级的第二从用户。

图2示出如图1中所示自动化系统中的数据传送的可能设计。

图3示出安全完整性层级SIL1至SIL3中所使用的生成多项式的残余错误率及汉明距离。

具体实施方式

工业自动化使用网络，其中以分散形式配置的传感器/作动器层级的组件(例如I/O模块、测量值记录器、阀件、驱动器等)是经由强大的总线系统与控制层级的自动化计算器通讯。较佳地是使用现场总线系统作为自动化网络中的总线系统。

自动化网络一般具有阶层式结构，并且是根据主/从式原理来操作。主用户被指定控制层级，并且是对于自动化网络中的通讯连接具有接入授权、以及决定数据业务的主动用户。从用户是传感器/作动器层级的一部分，并且形成被动用户；他们对于总线系统不具有自身的接入授权，并且仅可确认接收数据、或可在主用户请求时对主用户传送数据。

对于自动化系统的中央需求为安全且可靠的数据传送。为了消除对人类与环境的风险，必须确保有用数据是无错误地在传感器/作动器层级的从用户以及控制层级的主用户之间传送，或是能够可靠地侦测到数据传送中的错误。因此要在自动化系统中实施安全措施，并且确保可以高度概率来侦测数据传送中的错误，从而最小化未被侦测到的错误的风险。传送用户因此利用安全码(安全码后续由接收用户验证)提供要传送的数据。循环冗余校验方法(也称为CRC方法)一般被使用作为用于确定安全码的方法。

在CRC方法中，在数据传送之前，利用生成多项式的辅助于传送器中为要传送的数据块确定校验字符串，所述校验字符串接着被附加至所述数据块，并且与数据块一起被传送至接收器。接收器利用传送器使用的相同生成多项式的辅助来验证所传送的校验字符串，以计算所传送数据分组的校验字符串，进以确定数据是否已经被传送而无损坏。

一般而言，自动化网络中并非所有用户都具有相同安全相关性。自动化网络中的安全功能数一般也会小于与安全无关的控制功能数。

为了分类来自自动化网络对人类与环境的危险，有进行风险分析的必要需求。中央标准为IEC/EN 62061，它规定了需要用来降低风险的可编程电子控制系统的安全相关性能。为了细分安全相关性能，所述标准IEC/EN 62021定义了四个安全完整性层级(SIL，SIL1至SIL4)。在此例中，各别的安全完整性层级规定了错误发生的可允许残余错误概率。根据安全完整性层级SIL1，每小时的危险故障平均概率(PFHD)为低于10^-5，但是必须要大于10^-6。对于安全完整性层级SIL2而言数值范围低于10^-6但大于10^-7，对于安全完整性层级SIL3而言数值范围低于10^-7但大于10^-8，而对于安全完整性层级SIL4而言数值范围低于10^-8但大于10^-9。除了标准IEC/EN 62021以外，也常会使用比较易于应用及辨认性能层级A至E的标准EN ISO13849。

自动化网络中的各别用户所需要的安全需求是根据被指定给各自用户的安全功能而定，因而自动化网络通常是以因安全功能而具有不同安全需求的用户来操作。

图1示意说明了自动化网络的基本结构，所述自动化网络具有形成控制层级的主用户M、以及代表传感器/作动器层级的两个从用户S1和S2。主用户M和两个从用户S1、S2是经由串行总线而彼此连接，在用户之间经由所述串行总线发生数据业务。在此例中，自动化网络中的数据业务是由主用户M以数据分组的形式进行组织化，所述数据分组是由控制数据与有用数据组成，数据分组中的控制数据含有识别传送器及/或接收器的地址信息项目。

在图1所示的自动化网络中，两个从用户S1与S2都与安全相关。当然可以提供超过两个的安全相关从用户。除了安全相关用户之外，与安全无关的用户也可被纳入自动化网络中。自动化网络中的控制层级也可于多个主用户间区分。

数据一般是以一致的形式于自动化网络中传送，较佳地是以以太网协议为基础，在这种情况中，自动化系统中的所有安全相关用户(也就是主用户M和两个从用户S1、S2)除了用于处理标准数据的数据链路层以外还具有另外的上级安全层以处理安全数据。安全层与数据链路层彼此完全被封闭在安全相关用户中，以避免在处理安全数据时的损坏风险。这种安全相关用户的设计能够减少在硬件与软件上的支出，因为安全数据和标准有用数据两者都可利用标准协议(例如以太网协议)的辅助而进行传送。

图2说明了在图1所示自动化系统中的数据传送。在传送器的安全层中利用安全码确定方法Safety CRC的辅助生成要被传送的安全数据块NDSafety的安全码FCSSafety。若使用循环冗余校验方法作为安全码确定方法Safety CRC，如图2所示，则使用安全数据生成多项式来决定安全码作为安全数据块校验字符串。安全码FCSSafety接着被附加至安全数据块NDSafety，并且以安全块的形式被传送到数据链路层。

安全块接着被嵌入传送器的数据链路层中的标准数据块NDStandard，较佳地利用另一安全码确定方法Standard CRC的辅助来确定另一安全码FCSStandard。若再次使用循环冗余校验方法作为安全码确定方法Standard CRC，如图2所示，则使用标准数据生成多项式，相比于用于计算安全数据块校验字符串的安全数据生成多项式，标准数据生成多项式是改变的。

数据链路层接着传送含有嵌入的安全数据块NDSafety及安全码FCSSafety、以及嵌入的标准数据块校验字符串FCSStandard的标准数据分组块NDstandard，并且通过总线信道将它传送到接收器。接着在接收器中再次实施两次循环冗余校验，如图2所示。在接收器的数据链路层中以循环冗余校验Standard CRC的辅助利用标准数据生成多项式来验证所传送的数据分组中的标准数据块校验字符串FCSStandard。接着进一步在接收器的安全层中以循环冗余校验Safety CRC的辅助利用安全数据生成多项式来验证嵌入在所传送数据分组中的安全数据块校验字符串FCSSafety。若两次校验都产生正结果，则可使用所述安全数据；否则，它们会被舍弃。接收器接着等待另一数据分组，使用替代数据、或实施安全措施。

在此例中，安全数据生成多项式较佳地是产生具有长度R的安全数据块校验字符串。然后，较佳地是使用汉明距离(得自标准数据块的校验字符串的虚拟计算)与长了R的安全数据块的校验字符串的汉明距离不同的生成多项式作为安全数据生成多项式。这个程序确保安全数据块字符串中的失真能够被可靠地侦测到，即使是在安全相关用户中的安全层与数据传送彼此分开时，如图1所示自动化系统中所设置者。

当安全相关用户在自动化网络中被指定不同的安全完整性层级，在数据业务中会发生可观的安全相关问题。在图1所示的自动化网络中，从用户S1符合安全需求标准SIL3，而从用户S2符合安全需求标准SIL2。若具有低SIL层级2的从用户S2产生数据分组，则当所述从用户S2中发生简单错误时，仍可为具有较高SIL层级3的从用户S1产生有效数据分组，所述错误作为从用户中低SIL层级2的一部分是可靠的。虽然从用户S1会以高度概率侦测到来自从用户S2的所传送数据分组中的错误，但因出现高错误率而不再符合从用户S1所需要的高SIL层级3。

根据本发明，通过被指定第一安全完整性层级的用户使用第一安全码确定方法来互换数据分组、并且被指定第二安全完整性层级的用户使用第二安全码确定方法来互换数据分组，即可避免这个问题。若总是使用循环冗余校验方法作为安全码确定方法，则针对具有不同安全需求的用户使用不同的安全码生成多项式。这个程序能够在数据传送期间可靠地侦测到错误定向，因为可以藉助不同的安全码来彼此清楚界定具有不同安全需求的用户群组之间的数据业务。

在图1所示自动化系统中，程序是使得主用户M和从用户S1使用是适合安全完整性层级SIL3的第一生成多项式互换数据。相较之下，为了与安全完整性层级为SIL2的第二从用户S2互换数据，主用户M和从用户S2是使用适合安全完整性层级SIL2的不同生成多项式。

图3作为示例说明了三种不同的生成多项式，它们各自被指定给安全完整性层级SIL1、SIL2与SIL3中的其中一个。0x12A23被使用作为SIL层级3的生成多项式，0x17B0F被使用作为SIL层级2的生成多项式，而0x1571F被使用作为SIL层级1的生成多项式。在此例中，对于各别的生成多项式各自申明汉明距离与残余错误概率。在此例中，汉明距离代表在数据记录中有多少字符一定至少是损坏的，因此会发生未侦测损坏，不管所使用的循环冗余校验的安全措施为何。在此例中，选择生成多项式，使得生成多项式的汉明距离可符合根据安全完整性层级所需的错误发生的残余错误概率。在此例中，程序基本上是，若对安全完整性层级指定错误发生的不同残余错误概率，所指定的生成多项式的汉明距离也就不同。

对自动化网络中的不同用户群组(每个用户群组代表一个安全完整性层级)指定不同的安全码确定方法也能够轻易地扩充自动化网络。当具有指定安全完整性层级的新的从用户群组想要连接到所述自动化网络时，即对加入的群组指定独立的安全码确定方法，以与彼此、以及与主用户互换数据。因为有这个程序，当将新的从用户群组配置于自动化网络时即不再需要考虑剩下的从用户，因为不同的用户群组是各自被指定安全完整性层级，且利用独立安全码确定方法的辅助而彼此独立地执行数据业务。只有主用户必须要对所有用户群组传达意见，并且必须能够实施与各自用户群组互换数据分组时所规定的安全码确定方法。

对通过安全完整性层级而彼此划界的用户群组指定不同的安全码确定方法也使其能够彼此独立地将地址分配给各自安全群组中的用户。通过实施各自独立的安全码确定方法，各种群组中的用户都可接着具有相同地址，例如，因为可通过独立安全码确定方法可靠地避免数据分组错误定向。这在如图2所示设计中安全数据块是以封闭于标准数据块中的形式进行传送且地址不再显式地出现在安全数据块中、而是仅输入校验字符串时是特别有利的。在根据本发明的地址分配期间，一个安全完整性层级内的多个用户仅需要具有唯一地址。

Claims (9)

1.一种用于在自动化网络中操作安全控制的方法，所述自动化网络具有实施所述安全控制的主用户(M)、被指定第一安全完整性层级的至少一个第一从用户(S1)、以及被指定第二安全完整性层级的至少一个第二从用户(S2)，所述第一安全完整性层级与所述第二安全完整性层级不同，

所述主用户(M)、所述第一从用户(S1)和所述第二从用户(S2)经由数据传送路径(总线)彼此连接，并且所述主用户(M)、所述第一从用户(S1)和所述第二从用户(S2)的每一者具有安全层与数据链路层，

所述安全层利用安全码确定方法在传送模式中确定用于要被传送的安全数据块的安全码，并且所述数据链路层形成包含所述安全数据块与所述安全码的数据分组，以供于所述数据传送路径上的传送，及

所述数据链路层从在接收模式中经由所述数据传送路径而接收的数据分组中撷取安全数据块与相关联安全码，并且所述安全层使用所述安全码确定方法为所述安全数据块验证所述安全码，

第一安全码确定方法是被指定给所述第一从用户，并且第二安全码确定方法是被指定给所述第二从用户，

所述第一安全码确定方法与所述第二安全码确定方法不同，及

所述主用户与所述第一从用户使用所述第一安全码确定方法来互换安全数据块，而且所述主用户与所述第二从用户使用所述第二安全码确定方法来互换安全数据块。

2.根据权利要求1所述的方法，所述第一安全码确定方法与所述第二安全码确定方法实施循环冗余校验，第一安全码生成多项式被指定给所述第一安全码确定方法，第二安全码生成多项式被指定给所述第二安全码确定方法，

所述主用户与所述第一从用户使用所述第一安全码生成多项式用于所述循环冗余校验以互换安全数据块，并且所述主用户与所述第二从用户使用所述第二安全码生成多项式用于所述循环冗余校验以互换安全数据块。

3.根据权利要求2所述的方法，对所述第一安全完整性层级与所述第二安全完整性层级指定不同的错误发生的残余错误概率，并且所述第一安全码生成多项式的汉明距离与所述第二安全码生成多项式的汉明距离不同。

4.根据权利要求1至3中其中一项所述的方法，对于具有所述第一安全完整性层级的所述至少一个第一从用户的地址分配和对于具有所述第二安全完整性层级的所述至少一个第二从用户的地址分配被彼此独立地实施。

5.一种具有实施安全控制的主用户(M)、被指定第一安全完整性层级的至少一个第一从用户(S1)和被指定第二安全完整性层级的至少一个第二从用户(S2)的自动化网络，所述第一安全完整性层级与所述第二安全完整性层级不同，

所述主用户(M)、所述第一从用户(S1)和所述第二从用户(S2)是经由数据传送路径(总线)彼此连接，并且所述主用户(M)、所述第一从用户(S1)和所述第二从用户(S2)的每一者具有安全层和数据链路层，

所述安全层利用安全码确定方法在传送模式中确定用于要被传送的安全数据块的安全码，并且所述数据链路层形成包含所述安全数据块与所述安全码的数据分组，以供于所述数据传送路径上的传送，及

所述数据链路层从在接收模式中经由所述数据传送路径而接收的数据分组中撷取安全数据块与相关联安全码，并且所述安全层使用所述安全码确定方法为所述安全数据块验证所述安全码，

第一安全码确定方法是被指定给所述第一从用户，并且第二安全码确定方法是被指定给所述第二从用户，

所述第一安全码确定方法与所述第二安全码确定方法不同，及

所述主用户与所述第一从用户使用所述第一安全码确定方法来互换安全数据块，而且所述主用户与所述第二从用户使用所述第二安全码确定方法来互换安全数据块。

6.根据权利要求5所述的自动化网络，所述第一安全码确定方法与所述第二安全码确定方法实施循环冗余校验，第一安全码生成多项式被指定给所述第一安全码确定方法，第二安全码生成多项式被指定给所述第二安全码确定方法，

所述主用户与所述第一从用户使用所述第一安全码生成多项式用于所述循环冗余校验以互换安全数据块，并且所述主用户与所述第二从用户使用所述第二安全码生成多项式用于所述循环冗余校验以互换安全数据块。

7.根据权利要求6所述的自动化网络，对所述第一安全完整性层级与所述第二安全完整性层级指定不同的错误发生的残余错误概率，并且所述第一安全码生成多项式的汉明距离与所述第二安全码生成多项式的汉明距离不同。

8.根据权利要求5至7中其中一项所述的自动化网络，对于具有所述第一安全完整性层级的所述至少一个第一从用户的地址分配和对于具有所述第二安全完整性层级的所述至少一个第二从用户的地址分配被彼此独立地实施。

9.根据权利要求5至8中其中一项所述的自动化网络，所述数据传送路径是基于以太网的现场总线。