DE102005028685A1

DE102005028685A1 - Bus coupling device e.g. field bus coupler, for safety certifiable application, has transfer module for safe transfer of data between field bus and sub bus, and including safety processors in safety region for additional coding of data

Info

Publication number: DE102005028685A1
Application number: DE200510028685
Authority: DE
Inventors: Michael Lehzen; Hans-Herbert Kirste
Original assignee: Wago Verwaltungs GmbH
Current assignee: Wago Verwaltungs GmbH
Priority date: 2005-06-21
Filing date: 2005-06-21
Publication date: 2006-12-28
Anticipated expiration: 2025-06-22
Also published as: DE202005021479U1; DE102005028685B4

Abstract

The device (3) has a microprocessor system (5) with a main processor, a program/data storage and connections for field and sub buses (1, 2). A transfer module is provided for safe transfer of data between the field bus and the sub bus, and has safety processors (70, 70`) in a safety region for additional coding of the data. The module, microprocessor system, data storage and the connections are arranged on a die. An independent claim is also included for a method or transferring data in a safety certifiable application of a bus.

Description

Die Erfindung betrifft eine Buskopplungsvorrichtung, insbesondere für Feldbusse, für sicherheitszertifizierbare Anwendungen mit einem Mikroprozessorsystem, das einen Hauptprozessor, einen Programm-/Datenspeicher und einen Anschluss für einen Bus erster Art, insbesondere einen Feldbus, und einen Anschluss für einen Bus zweiter Art, insbesondere einen Subbus, aufweist, und mit einem sicheren Bereich mit mindestens einem Sicherheitsprozessor, wobei ein Transfermodul zum sicheren Transfer von Daten dem Bus erster Art und dem Bus zweiter Art vorgesehen ausgebildet ist.The The invention relates to a bus coupling device, in particular for field buses, for safety certifiable Applications with a microprocessor system that has a main processor, a program / data memory and a connection for one Bus of the first kind, in particular a field bus, and a connection for one Bus second type, in particular a sub-bus has, and with a secure area with at least one security processor, where a transfer module for the secure transfer of data to the bus first Art and the bus of the second type is provided.

Der Bereich der Automatisierungstechnik ist durch zwei Hauptentwicklungsrichtungen geprägt, die teilweise parallel und teilweise konträr zueinander verlaufen. Die eine Hauptentwicklungsrichtung ist die Verwendung von immer komplexer werdenden elektronischen Steuerungssystemen, insbesondere von Mikroprozessorsteuerungen. Die andere Hauptentwicklungsrichtung betrifft die Sicherheit der Steuerung selbst sowie die der von ihr kontrollierten Anlage. Hierbei kommen zusehends umfassendere und anspruchsvollere Sicherheitsanforderungen zur Anwendung. Insbesondere der Bereich der elektrischen, elektronischen und programmierbaren elektronischen Systeme (sog. E/E/PES) findet zusehends Beachtung unter Sicherheitsaspekten. Mikroprozessorbasierte Systeme bieten zwar den Vorteil einer hohen Funktionsvielfalt und damit grundsätzlich auch gute Ausgangsvoraussetzungen zur Implementierung eines wirksamen Sicherheitskonzepts. Andererseits kann zu ihrer Bewertung aber gerade wegen ihrer größeren Komplexität nicht oder nur sehr eingeschränkt auf bewährte Beurteilungsmaßstäbe zurückgegriffen werden, die für herkömmliche diskrete Elektrik o der Elektronik gewonnen worden sind. Damit auch Mikroprozessorsteuerungen in sicherheitsrelevanten Bereichen unter definierten Bedingungen einsetzbar und zertifizierbar sind, müssen sie besondere Anforderungen an Ausfallsicherheit und Fehlertoleranz erfüllen. Dies ist in entsprechenden Normen geregelt, wie bspw. IEC 61508 oder EN 954-1. In diesen Normen sind verschiedene Sicherheitsebenen (SIL oder Kategorie) definiert und Bedingungen zu deren Erreichen angeben. Diese Normen sind in der Regel technologieunabhängig und geben keine unmittelbaren Anweisungen in Bezug auf strukturelle Ausführungsmöglichkeiten zu ihrer Erfüllung.Of the The field of automation technology is characterized by two main directions of development shaped, the partly parallel and partly contrary to each other. The a major development direction is the use of increasingly complex expectant electronic control systems, in particular microprocessor controls. The other main direction of development concerns the safety of Control itself and the controlled by her plant. in this connection Increasingly, there are more comprehensive and demanding security requirements for use. In particular, the field of electrical, electronic and programmable electronic systems (so-called E / E / PES) Increasingly attention under safety aspects. microprocessor based Although systems offer the advantage of a high variety of functions and so basically too good starting conditions for implementing an effective Security concept. On the other hand, to their evaluation but just not because of their greater complexity or only very limited on proven Assessment standards are used be that for conventional discrete electrics o the electronics have been obtained. With it too Microprocessor controls in safety-related areas under defined conditions are applicable and certifiable, they must special requirements for reliability and fault tolerance fulfill. This is regulated in corresponding standards, such as, for example, IEC 61508 or EN 954-1. These standards contain different levels of safety (SIL or category) and specify conditions for reaching it. These standards are usually technology-independent and do not give immediate effects Statements regarding structural execution options for their fulfillment.

Es besteht aber nicht nur ein Bedarf, bestimmte Baueinheiten sicherheitszertifizierbar zu gestalten, sondern auch mehrerer Baueinheiten im Verbund. Ein Verbund entsteht insbesondere durch Vernetzung der Baueinheiten. Häufig erfolgt die Vernetzung über Bussysteme, die hierarchisch ausgeführt sind. Beispiele hierfür sind ein Feldbus für Vernetzung auf mittlerer Ebene und ein Subbus für Vernetzungen auf unterer Ebene. Zur Verbindung der verschiedenen Arten von Bussen werden Kopplungsvorrichtungen verwendet. Sollen bestimmte Sicherheitsebenen gewahrt werden, so müssen die Kopplungsvorrichtungen ihrerseits ebenfalls ausreichend sicher sein. Bekannt sind Feldbuskopplungsvorrichtungen, die einen proprietären Subbus mit einem übergeordneten Feldbus, wie beispielsweise Profibus, verbinden. Zur Wahrung der Sicherheit ist vorgesehen, dass Daten auf dem Feldbus nicht ungeschützt, sondern mittels eines geeigneten Protokolls, beispielsweise Profisafe, übermittelt werden. Die Feldbuskopplungsvorrichtung gibt diese sicher verpackten Daten weiter an den Subbus. Es hat sich aber gezeigt, dass die Geschwindigkeit auf dem Subbus häufig nicht ausreichend ist. Grundsätzlich ist es möglich, die Datenrate zu steigern und damit den Datendurchsatz in dem erforderlichen Maß zu steigern. Jedoch bringt dies den Nachteil mit sich, dass die Fehlerrate dabei ebenfalls ansteigt und dabei so hohe Werte erreichen kann, dass die gewünschte Sicherheitsebene nicht mehr gewahrt wird.It But there is not only a need, certain units security certifiable to design, but also several building units in the composite. One Composite arises in particular by networking the units. Often networking takes place via Bus systems that are hierarchical. Examples are a Fieldbus for Middle-level networking and a sub-bus for networking on lower Level. To connect the different types of buses will be Coupling devices used. Should certain levels of security be respected, so must the coupling devices in turn also be sufficiently secure. Fieldbus coupling devices are known which have a proprietary sub-bus with a parent Fieldbus, such as Profibus connect. To preserve the Security is provided that data on the fieldbus not unprotected, but by means of a suitable protocol, for example Profisafe become. The fieldbus coupling device gives this securely packaged data continue to the subbus. It has been shown that the speed on the subbus frequently is not enough. in principle Is it possible, to increase the data rate and thus the data throughput in the required Measure too increase. However, this entails the disadvantage that the error rate it also increases and can reach such high levels that the desired Level of security is no longer maintained.

Um die Datenrate zu erhöhen und dabei dennoch die Integrität der Sicherheitsebene zu bewahren, wurde eine Umkodierung der zu übertragenden Daten versucht. Dazu ist die Kopplungsvorrichtung mit zusätzlichen Bauteilen versehen worden, die die Daten umkodieren. Die zusätzlichen Bauteile machen eine erneute Zertifizierung der Kopplungsvorrichtung erforderlich. Das ist aufwendig.Around to increase the data rate while still maintaining integrity To preserve the level of security was a transcoding of the data to be transmitted tries. For this purpose, the coupling device with additional Components that recode the data. The additional Components make a re-certification of the coupling device required. This is expensive.

Der Erfindung liegt die Aufgabe zugrunde, eine Buskopplungsvorrichtung der eingangs genannten Art bzw. ein entsprechendes Kopplungsverfahren zu schaffen, die bei verringertem Aufwand eine sichere Erhöhung der Geschwindigkeit ermöglichen.Of the Invention is based on the object, a bus coupling device of the type mentioned above or a corresponding coupling method create, with reduced effort, a secure increase in the Allow speed.

Die erfindungsgemäße Lösung liegt in den Merkmalen der unabhängigen Ansprüche. Vorteilhafte Weiterbildungen sind Gegenstand der abhängigen Ansprüche.The inventive solution lies in the characteristics of the independent Claims. Advantageous developments are the subject of the dependent claims.

Erfindungsgemäß ist bei einer Buskopplungsvorrichtung für sicherheitszertifizierbare Anwendungen mit einem Mikroprozessorsystem, das einen Hauptprozessor, einen Programm-/Datenspeicher und einen Anschluss für einen Bus erster Art und einen Anschluss für einen Bus zweiter Art aufweist, und mit einem sicheren Bereich mit mindestens einem Sicherheitsprozessor, wobei ein Transfermodul zum sicheren Transfer von Daten zwischen dem Bus erster Art und dem Bus zweiter Art vorgesehen ist, wobei weiter das Transfermodul den Sicherheitsprozessor aufweist, der zum Weiterkodieren der Daten ausgebildet ist.According to the invention is at a bus coupling device for safety certifiable applications with a microprocessor system, a main processor, a program / data memory and a Connection for comprises a bus of the first type and a connection for a bus of the second kind, and with a secure area with at least one security processor, a transfer module for the secure transfer of data between the Bus first type and the bus of the second kind is provided, wherein further the transfer module has the security processor for further coding the data is formed.

Die Erfindung fußt auf dem Gedanken, die zu transferierenden Daten weiter zu kodieren und dazu eine ohnehin vorhandene Komponente des Mikroprozessorsystems heranzuziehen. Diese Komponente ist der Sicherheitsprozessor des Mikroprozessorsystems. Er wird erfindungsgemäß dem Transfermodul zugeordnet und ist so ausgebildet, dass die zu transferierenden Daten weiterkodiert werden. Der Sicherheitsprozessor liegt im sicheren Bereich und ist daher bereits sicherheitszertifiziert. Mittels des Sicherheitsprozes sors werden die von dem Bus erster Art kommenden Datenpakete weiterkodiert, um zusätzlich in einen Frame verpackt zu werden, der auf den Bus zweiter Art weitergegeben wird. Entsprechend wird in umgekehrter Richtung der Frame von dem Bus zweiter Art beim Weiterkodieren entpackt und als Datenpaket auf den Bus erster Art gelegt. Mit dieser Weiterverarbeitung wird die Sicherheit der Datenübertragung auf dem Bus zweiter Art erhöht. Die Gefahr von Datenverfälschungen durch Manipulation, aber auch durch zufällige Fehler wird verringert. Das ermöglicht es, auf dem Bus zweiter Art höhere Datenraten zu verwenden. Dank des erfindungsgemäßen sicheren Weiterkodierens ist auch bei erhöhter Datenrate nicht zu befürchten, dass die Fehlerrate in relevantem Maß zunimmt, so dass die ursprüngliche Sicherheitsebene beibehalten werden kann. Die Verwendung des vorhandenen Sicherheitsprozessors für das Transfermodul zum Weiterkodieren erspart nicht nur baulichen Zusatzaufwand, sondern vereinfacht auch die Zertifizierung. Denn soweit keine zusätzlichen (externen) Komponenten für den Transfer der Daten vom einen Bus auf den anderen verwendet werden, so braucht auch keine erneute Sicherheitszertifizierung für die Buskopplungsvorrichtung durchgeführt zu werden. weiter hat die Verwendung des Sicherheitsprozessors den Vorteil, dass er im sicheren Bereich des Mikroprozessorsystems liegt. Die Weiterkodierung der zu transferierenden Daten kann damit in einer besonders geschützten Umgebung erfolgen. Damit ist eine erhebliche Steigerung der Sicherheit gegenüber einem bisherigen System erreichbar, bei dem die Weiterkodierung unter Verwendung von externen Komponenten erfolgte. Zusätzlicher Zertifizierungsaufwand ist, wie bereits genannt, für die Erfindung nicht erforderlich.The Invention is based on the idea of further coding the data to be transferred and an already existing component of the microprocessor system consulted. This component is the security processor of Microprocessor system. It is assigned to the transfer module according to the invention and is designed so that the data to be transferred continues to be encoded become. The security processor is in the safe area and is therefore already safety certified. By means of the security process sors the data packets coming from the bus of the first kind are further encoded, in addition to be packaged in a frame that passed on the bus of the second kind becomes. Accordingly, in the reverse direction, the frame of the Bus of the second kind unpacked during further coding and as a data packet put on the bus of the first kind. With this further processing becomes the security of data transmission increased on the bus of the second kind. The danger of data corruption by manipulation, but also by accidental errors is reduced. The allows it, on the bus of the second kind higher data rates to use. Thanks to the inventive secure Weitererkodierens is also elevated Data rate not to worry that the error rate increases to a relevant extent, so that the original Security level can be maintained. The use of the existing one Security processors for the transfer module for further coding does not only save construction Additional effort, but also simplifies the certification. Because as far as no additional (external) components for the transfer of data from one bus to another is used so no renewed security certification for the bus coupling device needs carried out to become. further, the use of the security processor has the Advantage that it lies in the safe area of the microprocessor system. The further coding of the data to be transferred can thus be done in a specially protected environment respectively. This is a significant increase in security over one reachable previous system in which the further coding under Use of external components was done. additional Certification effort, as already mentioned, for the invention not mandatory.

Die Erfindung hat erkannt, dass all diese Vorteile auf verblüffend einfache Weise kombiniert werden können. Aufwendige Zusatzkomponenten oder gar erneute Zertifizierungen sind dank der Erfindung überflüssig.The The invention recognizes that all these benefits are surprisingly simple Way can be combined. Elaborate additional components or even renewed certifications are thanks to the invention superfluous.

Bei einer besonders bewährten Ausführungsform handelt es sich bei dem Bus erster Art um einen Feldbus bzw. bei dem Bus zweiter Art um einen Subbus. Der Feldbus kann ein an sich bekannter Feldbus sein, wie zum Beispiel PROFIBUS der Siemens AG. Vorzugsweise handelt es sich um einen Feldbus, der zu einer gesicherten Übertragung befähigt ist, wie zum Beispiel PROFISAFE für den PROFIBUS. Es versteht sich, dass auch andere Bussysteme verwendet werden können, die vorzugsweise eine paketorientierte Übertragung verwenden. Bei dem Subbus handelt es sich um ein Bussystem, das in der Regel zur kleinräumigen Vernetzung von Komponenten, etwa im Bereich einer Maschine, ausgelegt ist. Subbusse sind meist spezifische Kommunikationsbusse. Sie weisen meistens, anders als Feldbusse, ein proprietäres Protokoll abhängig von dem jeweiligen Hersteller auf.at a particularly proven embodiment if the bus of the first kind is a fieldbus or at the bus of the second kind around a subbus. The fieldbus can be an in itself be known fieldbus, such as PROFIBUS from Siemens AG. It is preferably a field bus that leads to a secure transmission capable such as PROFISAFE for the PROFIBUS. It understands itself that other bus systems can be used, the preferably use a packet-oriented transmission. In which Subbus is a bus system, usually for small-scale networking of components, for example in the area of a machine. Subbusses are usually specific communication buses. They point usually, unlike field buses, a proprietary protocol depends on to the respective manufacturer.

Zweckmäßigerweise ist der Sicherheitsprozessor gegenüber der Peripherie abgeschlossen. Unter dem Begriff „abgeschlossen" wird hierbei verstanden, dass keine externen Bauteile angeschlossen sind. Lehzen: Es ist je Sicherheitsprozessor ein externer Watchdog notwendig. Damit kann erreicht werden, dass die Peripherie sich nicht in den sicheren Bereich erstreckt. Angriffs- und unautorisierte Eingriffsmöglichkeiten sind damit verringert. Die Zertifizierung der Buskopplungsvorrichtung ist damit erleichtert.Conveniently, the security processor is closed to the periphery. Under the term "completed" is understood here, that no external components are connected. Lehzen: It is Each security processor requires an external watchdog. So that can be achieved that the periphery is not in the safe Range extends. Attack and unauthorized intervention options are reduced. The certification of the bus coupling device is relieved.

Es genügt, wenn ein Sicherheitsprozessor das Weiterkodieren übernimmt. Dennoch kann es Vorteile mit sich bringen, wenn zwei oder mehr Sicherheitsprozessoren dafür vorgesehen sind. Mit einer höheren Zahl von Sicherheitsprozessoren können grundsätzlich höhere Sicherheitsebenen (SIL-level) erreicht werden. So kann mittels des zweiten oder weiteren Sicherheitsprozessors eine gegenseitige Überwachung vorgesehen sein. Die Sicherheit wird dadurch weiter erhöht, und zwar auch gegenüber einem Ausfall eines Sicherheitsprozessors. Weiter kann vorgesehen sein, die zusätzlichen Sicherheitsprozessoren so auszubilden, dass die Transferrate erhöht werden kann. Beispielsweise kann vorgesehen sein, dass einer der Sicherheitsprozessoren das Weiterkodieren für Daten zu dem Bus zweiter Art ausführt, und der andere in Gegenrichtung von dem Bus zweiter Art kommende Daten bearbeitet. Die Übertragungsrate kann auf diese Weise weiter gesteigert werden, ohne dass es zu einer Erhöhung der Fehlerrate und damit zu einer Beeinträchtigung der Sicherheitsebene kommt.It enough, when a security processor takes over the encoding. Nevertheless, it can bring benefits if two or more security processors intended for it are. With a higher one Number of safety processors can generally have higher levels of safety (SIL level) be achieved. So can by means of the second or further security processor a mutual surveillance be provided. The safety is thereby further increased, and although also opposite a failure of a security processor. Next can be provided be the extra Design security processors in such a way that the transfer rate is increased can. For example, it may be provided that one of the security processors the Continue coding for Data to the bus of the second kind performs, and the other in the opposite direction Data coming from the second type bus is processed. The transmission rate can be further increased in this way, without it becoming one increase the error rate and thus to a deterioration of the security level comes.

Vorzugsweise sind Hauptprozessor des Mikroprozessorsystems und das Transfermodul auf einem Die, z.B. innerhalb eines ASIC, angeordnet. Damit ergeben sich Vorteile sowohl in Bezug auf die Kompaktheit wie auch die Sicherheit. Die Anordnung auf einem gemeinsamen Die verhindert dank der sich daraus ergebenden Abgeschlossenheit wirkungsvoll unautorisierte Zugriffe auf den sicheren Bereich. Außerdem hat die gemeinsame Anordnung den Vorteil einer höheren Übertragungsleistung dank kurzer Signalwege. Besonders zweckmäßig ist es, wenn der sichere Bereich von dem übrigen Bereich elektrisch isoliert ist, beispielsweise durch eine umlaufende Trennung auf dem Die. Zur Verbindung der Sicherheitsprozessoren sind nur besondere Kommunikationsleitungen vorgesehen. Damit ist die Manipulationssicherheit weiter erhöht.Preferably, the main processor of the microprocessor system and the transfer module are arranged on a die, eg within an ASIC. This results in advantages both in terms of compactness as well as safety. The arrangement on a common Die effectively prevents unauthorized access to the safe area thanks to the resulting seclusion. In addition, the common arrangement has the advantage of a higher transmission power thanks to short signal paths. It is particularly useful when the safe area is electrically isolated from the rest of the area, for example, by a circumferential Separation on the die. To connect the security processors only special communication lines are provided. Thus, the security against manipulation is further increased.

Es ist zweckmäßig, auch zugeordnete Komponenten des unsicheren Bereichs auf dem Die anzuordnen, wie Datenspeicher und Eingabe/Ausgabeeinheiten. Die damit erreichte Verringerung von Peripheriekomponenten wirkt sich wie vorstehend erläutert günstig auf die Sicherheit und die Übertragungsleistung aus.It is appropriate, too Assign associated components of the unsafe area on the die like data storage and input / output units. The achieved Reduction of peripheral components has the same effect as above explained Cheap on safety and transmission performance out.

Die Erfindung erstreckt sich weiter auf ein entsprechendes Verfahren. Danach werden Daten in sicherheitszertifizierbaren Anwendungen von einem Bus erster Art zu einem Bus zweiter Art durch eine Buskopplungsvorrichtung mit einem Mikroprozessorsystem übertragen, das einen Hauptprozessor, einen Programm- und Datenspeicher, und mindestens einen Sicherheitsprozessor sowie einen Anschluss für den Bus erster Art und einen Anschluss für den Bus zweiter Art aufweist, wobei Daten zwischen dem Bus erster Art und dem Bus zweiter Art gesichert unter Kontrolle eines Transfermoduls transferiert werden, und erfindungsgemäß vorgesehen ist, dass die Daten mittels des Transfermoduls weiterkodiert werden, wobei der Sicherheitsprozessor zum Weiterkodieren verwendet wird.The The invention further extends to a corresponding method. Thereafter, data in security certifiable applications of a first type bus to a second type bus through a bus coupling device transmitted with a microprocessor system, the one main processor, a program and data memory, and at least one security processor and one port for the bus first kind and a connection for the bus of the second type, wherein data between the bus first Type and the bus of the second kind secured under control of a transfer module be transferred, and provided according to the invention that the Data are further encoded by means of the transfer module, wherein the Security processor is used for further coding.

Zur näheren Erläuterung des Verfahrens wird auf vorstehende Ausführungen zu der Buskopplungsvorrichtung verwiesen.to closer explanation of the method is referred to above to the bus coupling device directed.

Die Erfindung wird nachfolgend unter Bezugnahme auf die Zeichnung erläutert, in der ein vorteilhaftes Ausführungsbeispiel der Erfindung dargestellt ist. Es zeigen:The Invention will be explained below with reference to the drawing, in the one advantageous embodiment the invention is shown. Show it:

1 eine schematische Ansicht eines Ausführungsbeispiels der erfindungsgemäßen Buskopplungsvorrichtung; 1 a schematic view of an embodiment of the bus coupling device according to the invention;

2 eine Ansicht gemäß 1 mit einem eingegangenen Datenpaket; und 2 a view according to 1 with a received data packet; and

3 eine Ansicht gemäß 1 mit einem weiterkodierten Datenpaket. 3 a view according to 1 with a further coded data packet.

Das in 1 dargestellte Ausführungsbeispiel für eine erfindungsgemäße Buskopplungsvorrichtung 3 ist mit einem Feldbus 1 (in 1 links dargestellt) und einem Subbus 2 (in 2 rechts dargestellt) verbunden. Bei dem Feldbus 1 kann es sich um ein an sich bekanntes Bussystem handeln, wie bspw. PROFIBUS, wie er unter anderem von der Firma Siemens AG vertrieben wird. Es versteht sich, dass auch andere Bussysteme zur Anwendung kommen können, die ähnlich wie ein Feldbus ausgebildet sind und einen paketorientierten Datentransport aufweisen. Über den Feldbus 1 werden Daten mittels eines gesicherten Protokolls von und zu der Buskopplungsvorrichtung 3 übertragen. Als Protokoll wird in dem dargestellten Ausführungsbeispiel PROFISAFE verwendet. Die Datenrate des PROFIBUS mit PROFISAFE beträgt beispielsweise 12 MBit/s. Bei dem Subbus 2 handelt es sich um ein Bussystem, das zur kleinräumigen Vernetzung Lehzen: Ausdehnung kann 500 m und mehr betragen. von Komponenten etwa im Bereich einer Maschine ausgelegt ist. Bei dem dargestellten Ausführungsbeispiel wird ein kommunikationsspezifischer Subbus 2 verwendet. Anders als bei dem Feldbus 1 handelt es sich bei dem Subbus 2 in der Regel um einen proprietären Bus des jeweiligen Herstellers. Die Über tragungsrate des Subbus 2 ist herkömmlicherweise geringer als die des Feldbus 1. Die Daten werden auf dem Subbus 2 in Frames übertragen.This in 1 illustrated embodiment of a bus coupling device according to the invention 3 is with a fieldbus 1 (in 1 shown on the left) and a sub-bus 2 (in 2 shown on the right). At the fieldbus 1 It may be a known bus system, such as, for example, PROFIBUS, as it is distributed, inter alia, by the company Siemens AG. It is understood that other bus systems can be used, which are designed similar to a fieldbus and have a packet-oriented data transport. About the fieldbus 1 Data is transferred by means of a secure protocol from and to the bus coupling device 3 transfer. As a protocol PROFISAFE is used in the illustrated embodiment. The data rate of PROFIBUS with PROFISAFE is 12 Mbit / s, for example. At the subbus 2 is a bus system for small-scale networking Lehzen: expansion can be 500 m and more. of components is designed approximately in the range of a machine. In the illustrated embodiment, a communication-specific sub-bus 2 used. Unlike the fieldbus 1 is it the subbus 2 usually a proprietary bus from the manufacturer. The transmission rate of the subbus 2 is conventionally lower than that of the fieldbus 1 , The data will be on the subbus 2 transferred to frames.

Die Buskopplungsvorrichtung 3 fungiert als Feldbuskoppler für den Subbus 2, um diesen mit dem Feldbus 1 zu verbinden. Die Buskopplungsvorrichtung 3 ist dazu ausgebildet, eine entsprechende Protokollumwandelung durchzuführen. Für den Einsatz in sicherheitskritische Anwendungen ist die Buskopplungseinrichtung sicherheitszertifizierbar. Sie weist dazu ein Mikroprozessorsystem auf, das in seiner Gesamtheit mit der Bezugsziffer 5 bezeichnet ist. Das gesamte Mikroprozessorsystem 5 ist als System-On-Chip (SOC) ausgeführt. Es vereinigt die erforderlichen Komponenten einer Mikroprozessorsteuerung, optional können externe Speicher 64 vorgesehen sein. Das Mikroprozessorsystem umfasst in an sich bekannter Weise einen Hauptprozessor (μC) 60, mindestens einen als Schreib/Lesespeicher ausgeführten Arbeitsspeicher (RAM) 62 und gegebenenfalls weitere Peripherieelemente, die in ihrer Gesamtheit stellvertretend durch die Bezugsziffer 63 dargestellt sind. Der Hauptprozessor 60 ist vorzugsweise als ein Prozessor vom Typ ARM 946 ausgeführt. Er ist zur Ankopplung an den Feldbus 1 mit einem ASIC 4 als Feldbusinterface versehen. Weiter ist der Hauptprozessor 60 verbunden mit einem Bus 69, an dem auch die bereits genannten Komponenten 62 und 63 angeschlossen sind. Weiter ist an den allgemeinen Bus 69 eine Umsetzeinheit 65 für den Subbus 2 angeschlossen, die als Serial-Bus-Master (SBM) ausgeführt ist. Zum elektrischen Anschluss des Subbus 2 an das SBM-Modul 65 ist ein Interface-Modul (PHY) 66 vorgesehen. Zum Anschluss des SBM-Moduls 65 an den allgemeinen Bus 69 ist ferner ein FIFO (first in/first out) 67 als Buffer vorgesehen.The bus coupling device 3 acts as a fieldbus coupler for the subbus 2 to this with the fieldbus 1 connect to. The bus coupling device 3 is designed to perform a corresponding protocol conversion. For use in safety-critical applications, the bus coupling device is safety certifiable. It has to a microprocessor system, in its entirety by the reference numeral 5 is designated. The entire microprocessor system 5 is designed as a system-on-chip (SOC). It combines the required components of a microprocessor control, optional external memory 64 be provided. The microprocessor system comprises a main processor (μC) in a manner known per se. 60 , at least one random access memory (RAM) designed as read / write memory 62 and optionally other peripheral elements, in their entirety by the reference numeral 63 are shown. The main processor 60 is preferably implemented as an ARM 946 processor. It is for coupling to the fieldbus 1 with an ASIC 4 provided as fieldbus interface. Next is the main processor 60 connected to a bus 69 , on which also the already mentioned components 62 and 63 are connected. Next is the general bus 69 a conversion unit 65 for the subbus 2 connected, which is designed as a serial bus master (SBM). For electrical connection of the subbus 2 to the SBM module 65 is an interface module (PHY) 66 intended. For connecting the SBM module 65 to the general bus 69 is also a FIFO (first in / first out) 67 provided as a buffer.

Ferner ist zusammen mit dem Mikroprozessorsystem 5, aber auf demselben Die, ein Transfermodul 7 angeordnet, das zwei Sicherheitsprozessoren MCC1 und MCC2 70, 70' umfasst. Die zwei Sicherheitsprozessoren 70, 70' weisen jeweils einen Programmspeicher und einen Datenspeicher (nicht dargestellt) auf. Die Sicherheitsprozessoren 70, 70' sind in an sich bekannter Weise si cherheitszertifizierbar ausgeführt. Ihr Aufbau und ihre Funktionsweise sind aus dem einschlägigen Stand der Technik bekannt und brauchen daher nicht näher erläutert zu werden. Nachfolgend werden daher lediglich die in Bezug auf die Erfindung relevanten Einzelheiten näher erläutert.Further, along with the microprocessor system 5 but on the same die, a transfer module 7 arranged, the two security processors MCC1 and MCC2 70 . 70 ' includes. The two Si cherheitsprozessoren 70 . 70 ' each have a program memory and a data memory (not shown). The security processors 70 . 70 ' are executed in a manner known per se sheitsheitszertifizierbar. Their structure and operation are known from the relevant prior art and therefore need not be explained in detail. Below, therefore, only the details relevant to the invention will be explained in more detail.

Die über den Feldbus 1 an die Buskopplungsvorrichtung übertragenen Daten sind in Pakete 18 verpackt. Sie sind symbolhaft in den 1 bis 3 als Umschläge dargestellt. Diese Umschläge dienen zum gesicherten Transport der über den Feldbus 1 zu übertragenden Nutzdaten. Derartige Protokolle sind an sich bekannt, beispielsweise das bereits genannte PROFISAFE. Diese Daten sollen über die Buskopplungsvorrichtung 3 auf den Subbus 2 transferiert werden. Im Grundsatz soll dies möglichst transparent geschehen, d. h. es sollen durch den Transfer auf bzw. von dem Subbus 2 möglichst keine störenden Einflüsse auf die Datenübertragung ausgeübt. Dies gilt sowohl unter dem Aspekt der Geschwindigkeit wie auch unter dem Aspekt der Sicherheit. Herkömmlicherweise liegt die Datenrate des Subbus 2 aber zu niedrig, praktisch werden Werte um 12 MBit/s erreicht. Wird die Datenrate einfach erhöht, treten vermehrt Fehler auf, wodurch die Sicherheit der Datenübertragung beeinträchtigt wird.The over the field bus 1 Data transmitted to the bus coupler is in packets 18 packed up. They are symbolic in the 1 to 3 shown as envelopes. These envelopes are used for secure transport over the fieldbus 1 to be transmitted payload. Such protocols are known per se, for example the already mentioned PROFISAFE. These data are to be transmitted via the bus coupling device 3 on the subbus 2 be transferred. In principle, this should be done as transparently as possible, ie it should be transferred to or from the subbus 2 as far as possible no disturbing influences on the data transmission exercised. This is true in terms of speed as well as safety. Conventionally, the data rate of the subbus is 2 but too low, practically values of around 12 Mbps are achieved. Simply increasing the data rate will increase the number of errors that will affect the security of the data transfer.

Die Erfindung sieht vor, dass zur Erhöhung der Datenrate die beiden Sicherheitscontroller 70, 70' verwendet werden. Das ist in 2 symbolhaft dargestellt. Sie sind so programmiert, dass sie die von dem Feldbus 1 kommenden Datenpakete weiterkodieren, dass die Sicherheit gegenüber Fehlern bei der weiteren Datenverarbeitung erhöht wird. Technisch gesehen erfolgt dazu eine Umkodierung in einen Code mit einer größeren Hamming-Distanz. Damit ist es ermöglicht, eine größere Anzahl von Fehlern bei der nachfolgenden Datenübertragung zu erkennen (und den entsprechende Datenframe zu verwerfen) oder sogar zu korrigieren (und so ohne erneute Übertragung des Datenframes auszukommen). In Gestalt der somit auf sichere Weise erzeugten Frames 28 werden die Daten über die Umsetzeinheit 65 und das Interface-Modul 66 auf den Subbus 2 angelegt und weiter an die übrigen Teilnehmer (nicht dar gestellt) des Subbus 2 übertragen. Das ist in 3 veranschaulicht. Durch die erhöhte Sicherheit kann die Übertragungsrate signifikant erhöht werden, bei dem dargestellten Ausführungsbeispiel um das Fünffache.The invention provides that to increase the data rate, the two security controllers 70 . 70 ' be used. Is in 2 represented symbolically. They are programmed to be the ones from the fieldbus 1 Further encode data packets that increase the security against errors in further data processing. Technically, this is done by recoding into a code with a larger Hamming distance. This makes it possible to detect a larger number of errors in the subsequent data transmission (and to discard the corresponding data frame) or even correct (and thus get along without retransmitting the data frame). In the form of the thus safely generated frames 28 are the data about the conversion unit 65 and the interface module 66 on the subbus 2 created and further to the other participants (not shown) of the sub-bus 2 transfer. Is in 3 illustrated. Due to the increased security, the transmission rate can be increased significantly, in the illustrated embodiment, by a factor of five.

Das Weiterkodieren mittels der Sicherheitsprozessoren 70, 70' erfolgt mittels an sich bekannter Verfahren. Hierzu zählen beispielsweise die Übertragung einer laufenden Nummer je Frame sowie die Verwendung einer geeigneten CRC als Checksumme. Durch geeignete Wahl des Übertragungsprotokolls wird die je nach angestrebter SIL erforlderliche Restfehlerwahrscheinlichkeit erreicht. Auf eine nähere Erläuterung kann daher verzichtet werden. Kurz sie dazu nur folgendes angemerkt: Ohne die Sicherungsschicht des weiterzuverarbeitenden Sicherheitsprotokolls, z.b. PROFIsafe, wie z.B. die bereits implementierte Hamming-Distanz zu berücksichtigen, werden mit den n Sicherheitsprozessoren die Daten mit n unabhängigen Kanälen in geeigneter Weise codiert. Codiert. Insbesondere ist es nicht unbedingt erforderlich, dass eine Eine-zu-Eins-Umsetzung von Paketen 18 in Frames 28 und umgekehrt erfolgt. Es kann ebenso vorgesehen sein, dass mehrere Pakete 18 (zum Beispiel zwei) in einen Frame 28 kodiert werden (s. 3).The further coding by means of the security processors 70 . 70 ' takes place by means of methods known per se. These include, for example, the transmission of a consecutive number per frame and the use of a suitable CRC as the checksum. By suitable choice of the transmission protocol, the residual error probability required depending on the desired SIL is achieved. A more detailed explanation can therefore be dispensed with. In short, just note the following: Without taking into account the security layer of the security protocol to be processed, eg PROFIsafe, such as the Hamming distance already implemented, the n security processors encode the data with n independent channels in a suitable way. Coded. In particular, it is not absolutely necessary that a one-to-one conversion of packets 18 in frames 28 and vice versa. It may also be provided that several packages 18 (for example two) in a frame 28 be coded (s. 3 ).

Anschaulich dargestellt werden bei dem Weiterkodieren durch die Sicherheitsprozessoren 70, 70' die Daten, die zur Übertragung auf dem Feldbus 1 bereits einmal dank PROFISAFE in sichere Datenpakete verpackt wurden (siehe das dargestellte Paket 18), noch einmal weiter in die sicheren Frames 20 verpackt für den Weitertransport über den Subbus 2. Die Erfindung begnügt sich also nicht mit dem Sicherheitskonzept des Feldbus 1, sondern sieht noch eine zusätzliche eigene Weiterkodierung vor. Dadurch unterliegt die Datenübertragung auf dem Subbus 2 nicht den Beschränkungen des Sicherheitskonzepts des Feldbus 1, sondern kann durch das Weiterkodieren in dem gewünschten Umfang gesteigert werden. Da erfindungsgemäß für das Weiterkodieren die ohnehin vorhandenen Sicherheitsprozessoren verwendet werden, ist kein zusätzlicher Hardwareaufwand erforderlich. Externe Bauteile sind nicht erforderlich. Lehzen: Externe Watchdogs, einer je Sicherheitskanal (s.o.). Weiter liegt ein besonderer Vorteil der Erfindung darin, dass die sicherheitskritische Weiterkodieren allein von den Sicherheitsprozessoren 70, 70' durchgeführt sind, die ohnehin bereits sicherheitszertifiziert sind. Zusätzlicher Zertifizierungsaufwand fällt also nicht an.Illustrated in the further coding by the security processors 70 . 70 ' the data required for transmission on the fieldbus 1 Thanks to PROFISAFE, they have already been packed into secure data packets (see the illustrated package 18), once again into the secure frames 20 packed for onward transport via the subbus 2 , The invention is therefore not content with the safety concept of the fieldbus 1 , but also provides an additional own further coding. As a result, the data transmission is subject to the sub-bus 2 not the limitations of the security concept of the fieldbus 1 but can be increased by the Weitererkodieren to the desired extent. Since according to the invention the already existing security processors are used for the further coding, no additional expenditure on hardware is required. External components are not required. Lehzen: External watchdogs, one per security channel (see above). Furthermore, a particular advantage of the invention is that the security-critical further encode only by the security processors 70 . 70 ' carried out, which are already safety-certified anyway. Additional certification effort is therefore not incurred.

Es soll aber nicht grundsätzlich ausgeschlossen sein, dass externe Komponenten 9, 9' hinzugefügt werden, die zusammen mit den Sicherheitscontrollern 70, 70' den sicheren Bereich der Buskopplungsvorrichtung bilden. Falls dies gewünscht ist, so versteht es sich, dass die Zertifizierung entsprechend auf die zusätzlichen externen Komponenten 9, 9' zu erstrecken ist.However, it should not be excluded in principle that external components 9 . 9 ' be added along with the security controllers 70 . 70 ' form the safe area of the bus coupling device. If so desired, it is understood that the certification will apply to the additional external components 9 . 9 ' to extend is.

Claims

Bus coupling device for safety certifiable applications with a microprocessor system comprising a main processor ( 60 ), a program / data memory ( 62 ) and a connection ( 4 ) for a bus ( 1 ) first kind as well as a connection ( 66 ) for a bus ( 2 ) of the second type, and with a secure area having at least one security processor ( 70 ), wherein a transfer module for the secure transfer of data between the bus ( 1 ) first type and the bus ( 2 ) of the second type, characterized in that the transfer module ( 7 ) the security processor ( 70 ) adapted to further encode the data.

Bus coupling device according to claim 1, characterized in that the security processor ( 70 ) Completed against a periphery.

Bus coupling device according to one of claims 1 or 2, characterized in that at least two safety processors ( 70 . 70 ' ) are provided.

Bus coupling device according to one of claims 1 to 3, characterized in that the transfer module ( 7 ) and the microprocessor system ( 5 ) are arranged on a die.

Bus coupling device according to claim 4, characterized in that the data memory ( 62 ) and the connections for the buses ( 4 . 66 ) are arranged on the die.

Bus coupling device according to one of Claims 1 to 6, characterized in that the bus of the first type is a field bus ( 1 ).

Bus coupling device according to one of Claims 1 to 7, characterized in that the bus of the second type is a sub-bus ( 2 ).

Method for transmitting data in security certifiable applications from a bus of the first type ( 1 ) to a second type bus ( 2 ) by a bus coupling device ( 3 ) with a microprocessor system ( 5 ), which has a main processor ( 60 ), a program and data memory ( 62 ), and at least one security processor ( 70 ) as well as a connection ( 4 ) for the bus of the first kind ( 1 ) and a connection ( 66 ) for the bus of the second kind ( 2 ), where data between the bus of the first type ( 1 ) and the bus of the second kind ( 2 ) secured under the control of a transfer module ( 7 ), characterized by further coding the data by means of the transfer module ( 7 ) where the security processor ( 70 ) is used for further coding.

Method according to claim 8, characterized in that that the further coding takes place in packages.

A method according to claim 9, characterized in that for further coding data packets from the bus of the first type ( 1 ) as user data in data packets for the bus of the second type ( 2 ) are converted.

A method according to claim 9 or 10, characterized in that for further coding data packets from the bus of the second type ( 2 ) are unpacked by their user data in the data packets for the bus of the first kind ( 1 ) are converted.

Method according to one of Claims 9 to 11, characterized in that the bus of the first type ( 1 ) is a fieldbus.

Method according to one of claims 10 to 14, characterized in that the bus of the second kind ( 2 ) is a sub-bus.