DE102005028685B4

DE102005028685B4 - Bus coupling device for safety certifiable applications

Info

Publication number: DE102005028685B4
Application number: DE200510028685
Authority: DE
Inventors: Michael Lehzen; Hans-Herbert Kirste
Original assignee: Wago Verwaltungs GmbH
Current assignee: Wago Verwaltungs GmbH
Priority date: 2005-06-21
Filing date: 2005-06-21
Publication date: 2007-06-06
Anticipated expiration: 2025-06-22
Also published as: DE102005028685A1; DE202005021479U1

Abstract

Buskopplungsvorrichtung für sicherheitszertifizierbare Anwendung mit einem Mikroprozessorsystem, das einen Hauptprozessor (60), einen Programm-/Datenspeicher (62) und einen Anschluss (4) für einen Bus (1) erster Art sowie einen Anschluss (66) für einen Bus (2) zweiter Art aufweist, und mit einem sicheren Bereich mit mindestens einen Sicherheitsprozessor (70), dadurch gekennzeichnet, dass ein Transfermodul (7) zum sicheren Transfer von Daten zwischen dem Bus (1) erst Art und dem Bus (2) zweiter Art vorgesehen ist, das den Sicherheitsprozessor (70) aufweist, der zum Weiterkodieren der Daten ausgebildet ist und das Transfermodul (7), und dass das Mikroprozessorsystem (5) auf einem Die angeordnet sind.Buskopplungsvorrichtung for safety certifiable Application with a microprocessor system, which is a main processor (60), a program / data memory (62) and a port (4) for one Bus (1) of the first kind and a connection (66) for a bus (2) of the second kind and having a secure area with at least one security processor (70), characterized in that a transfer module (7) for safe Transfer of data between the bus (1) first type and the bus (2) second type is provided, which has the security processor (70), which is designed for further coding of the data and the transfer module (7), and that the microprocessor system (5) is arranged on a die are.

Description

Die Erfindung betrifft eine Buskopplungsvorrichtung, insbesondere für Feldbusse, für sicherheitszertifizierbare Anwendungen mit einem Mikroprozessorsystem, das einen Hauptprozessor, einen Programm-/Datenspeicher und einen Anschluss für einen Bus erster Art, insbesondere einen Feldbus, und einen Anschluss für einen Bus zweiter Art, insbesondere einen Subbus, aufweist, und mit einem sicheren Bereich mit mindestens einem Sicherheitsprozessor.The The invention relates to a bus coupling device, in particular for field buses, for safety certifiable Applications with a microprocessor system that has a main processor, a program / data memory and a connection for one Bus of the first kind, in particular a field bus, and a connection for one Bus second type, in particular a sub-bus has, and with a secure area with at least one security processor.

Der Bereich der Automatisierungstechnik ist durch zwei Hauptentwicklungsrichtungen geprägt, die teilweise parallel und teilweise konträr zueinander verlaufen. Die eine Hauptentwicklungsrichtung ist die Verwendung von immer komplexer werdenden elektronischen Steuerungssystemen, insbesondere von Mikroprozessorsteuerungen. Die andere Hauptentwicklungsrichtung betrifft die Sicherheit der Steuerung selbst sowie die der von ihr kontrollierten Anlage. Hierbei kommen zusehends umfassendere und anspruchsvollere Sicherheitsanforderungen zur Anwendung. Insbesondere der Bereich der elektrischen, elektronischen und programmierbaren elektronischen Systeme (sog. E/E/PES) findet zusehends Beachtung unter Sicherheitsaspekten. Mikroprozessorbasierte Systeme bieten zwar den Vorteil einer hohen Funktionsvielfalt und damit grundsätzlich auch gute Ausgangsvoraussetzungen zur Implementierung eines wirksamen Sicherheitskonzepts. Andererseits kann zu ihrer Bewertung aber gerade wegen ihrer größeren Komplexität nicht oder nur sehr eingeschränkt auf bewährte Beurteilungsmaßstäbe zurückgegriffen werden, die für herkömmliche diskrete Elektrik o der Elektronik gewonnen worden sind. Damit auch Mikroprozessorsteuerungen in sicherheitsrelevanten Bereichen unter definierten Bedingungen einsetzbar und zertifizierbar sind, müssen sie besondere Anforderungen an Ausfallsicherheit und Fehlertoleranz erfüllen. Dies ist in entsprechenden Normen geregelt, wie bspw. IEC 61508 oder EN 954-1. In diesen Normen sind verschiedene Sicherheitsebenen (SIL oder Kategorie) definiert und Bedingungen zu deren Erreichen angeben. Diese Normen sind in der Regel technologieunabhängig und geben keine unmittelbaren Anweisungen in Bezug auf strukturelle Ausführungsmöglichkeiten zu ihrer Erfüllung.Of the The field of automation technology is characterized by two main directions of development shaped, the partly parallel and partly contrary to each other. The a major development direction is the use of increasingly complex expectant electronic control systems, in particular microprocessor controls. The other main direction of development concerns the safety of Control itself and the controlled by her plant. in this connection Increasingly, there are more comprehensive and demanding security requirements for use. In particular, the field of electrical, electronic and programmable electronic systems (so-called E / E / PES) Increasingly attention under safety aspects. microprocessor based Although systems offer the advantage of a high variety of functions and so basically too good starting conditions for implementing an effective Security concept. On the other hand, to their evaluation but just not because of their greater complexity or only very limited on proven Assessment standards are used be that for conventional discrete electrics o the electronics have been obtained. With it too Microprocessor controls in safety-related areas under defined conditions are applicable and certifiable, they must special requirements for reliability and fault tolerance fulfill. This is regulated in corresponding standards, such as, for example, IEC 61508 or EN 954-1. These standards contain different levels of safety (SIL or category) and specify conditions for reaching it. These standards are usually technology-independent and do not give immediate effects Statements regarding structural execution options for their fulfillment.

Es besteht aber nicht nur ein Bedarf, bestimmte Baueinheiten sicherheitszertifizierbar zu gestalten, sondern auch mehrerer Baueinheiten im Verbund. Ein Verbund entsteht insbesondere durch Vernetzung der Baueinheiten. Häufig erfolgt die Vernetzung über Bussysteme, die hierarchisch ausgeführt sind. Beispiele hierfür sind ein Feldbus für Vernetzung auf mittlerer Ebene und ein Subbus für Vernetzungen auf unterer Ebene. Zur Verbindung der verschiedenen Arten von Bussen werden Kopplungsvorrichtungen verwendet. Sollen bestimmte Sicherheitsebenen gewahrt werden, so müssen die Kopplungsvorrichtungen ihrerseits ebenfalls ausreichend sicher sein. Bekannt sind Feldbuskopplungsvorrichtungen, die einen proprietären Subbus mit einem übergeordneten Feldbus, wie beispielsweise Profibus, verbinden. Zur Wahrung der Sicherheit ist vorgesehen, dass Daten auf dem Feldbus nicht ungeschützt, sondern mittels eines geeigneten Protokolls, beispielsweise Profisafe, übermittelt werden. Die Feldbuskopplungsvorrichtung gibt diese sicher verpackten Daten weiter an den Subbus. Es hat sich aber gezeigt, dass die Geschwindigkeit auf dem Subbus häufig nicht ausreichend ist. Grundsätzlich ist es möglich, die Datenrate zu steigern und damit den Datendurchsatz in dem erforderlichen Maß zu steigern. Jedoch bringt dies den Nachteil mit sich, dass die Fehlerrate dabei ebenfalls ansteigt und dabei so hohe Werte erreichen kann, dass die gewünschte Sicherheitsebene nicht mehr gewahrt wird.It But there is not only a need, certain units security certifiable to design, but also several building units in the composite. One Composite arises in particular by networking the units. Often networking takes place via Bus systems that are hierarchical. Examples are a Fieldbus for Middle-level networking and a sub-bus for networking on lower Level. To connect the different types of buses will be Coupling devices used. Should certain levels of security be respected, so must the coupling devices in turn also be sufficiently secure. Fieldbus coupling devices are known which have a proprietary sub-bus with a parent Fieldbus, such as Profibus connect. To preserve the Security is provided that data on the fieldbus not unprotected, but by means of a suitable protocol, for example Profisafe become. The fieldbus coupling device gives this securely packaged data continue to the subbus. It has been shown that the speed on the subbus frequently is not enough. in principle Is it possible, to increase the data rate and thus the data throughput in the required Measure too increase. However, this entails the disadvantage that the error rate it also increases and can reach such high levels that the desired Level of security is no longer maintained.

DD 279 765 A1 offenbart eine Schaltungsanordnung zur Busankopplung von Peripherieschaltungen, die einen Busumschalter zur wahlweisen Durchschaltung eines ersten oder zweiten Busses auf einen direkten Bus zur Steuerung einer Peripherieschaltung hat. DD 279 765 A1 discloses a circuit arrangement for bus coupling of peripheral circuits, which has a bus switch for selectively connecting a first or second bus to a direct bus for controlling a peripheral circuit.

DE 101 24 027 A1 offenbart ein Verfahren zum Betrieb eines sicheren Mikroprozessorsystems bei dem auf einem gemeinsamen Chipträger zwei oder mehr Prozessorkerne implementiert sind. Mit Hilfe von Bustreibern können Businformationen von einem Bus in einen anderen Bus übertragen werden. Sicherheitskritische Aufgaben werden zwischen zwei Lesespeichern bzw. zwei Schreibspeichern mit Hilfe eines Vergleichers ausgetauscht. In einem kritischen Datenbereich wird die Speicherung von ausschließlich sicherheitskritischen Daten vorgenommen. DE 101 24 027 A1 discloses a method of operating a secure microprocessor system in which two or more processor cores are implemented on a common chip carrier. With the help of bus drivers, bus information can be transferred from one bus to another bus. Safety-critical tasks are exchanged between two read-only memories or two write memories with the aid of a comparator. In a critical data area, the storage of exclusively safety-critical data is performed.

DE 199 28 517 A1 offenbart ein Steuerungssystem zum Steuern von sicherheitskritischen Prozessen, bei dem ein Bus-Master über eine erste als sichere Steuereinheit ausgeführte Steuereinheit an einen Feldbus angeschlossen wird. Die Steuereinheit ist somit in einen Feldbus zwischengeschaltet. Mit Hilfe einer sicherheitsbezogenen Einrichtung in der ersten Steuereinheit können sicherheitskritische Prozesse bei der Kommunikation auf dem Feldbus gesteuert werden, um eine viel sichere Kommunikation zu gewährleisten. Die als Mikrokontrollersystem ausgeführte sicherheitsbezogene Einrichtung implementiert Fehlerbeherrschungsmaßnahmen. DE 199 28 517 A1 discloses a control system for controlling safety-critical processes, in which a bus master is connected to a field bus via a first control unit designed as a safe control unit. The control unit is thus interposed in a fieldbus. With the aid of a safety-related device in the first control unit, safety-critical processes during communication on the fieldbus can be controlled in order to ensure a much safer communication. The safety-related device implemented as a microcontroller system implements fault control measures.

Um die Datenrate zu erhöhen und dabei dennoch die Integrität der Sicherheitsebene zu bewahren, wurde eine Umkodierung der zu übertragenden Daten versucht. Dazu ist die Kopplungsvorrichtung mit zusätzlichen Bauteilen versehen worden, die die Daten umkodieren. Die zusätzlichen Bauteile machen eine erneute Zertifizierung der Kopplungsvorrichtung erforderlich. Das ist aufwendig.In order to increase the data rate and still maintain the integrity of the security level, a recoding of the data to be transmitted was attempted. For this purpose, the coupling device has been provided with additional components that recode the data. The additional components make a recertification of the coupling vorvor direction required. This is expensive.

Der Erfindung liegt die Aufgabe zugrunde, eine Buskopplungsvorrichtung der eingangs genannten Art bzw. ein entsprechendes Kopplungsverfahren zu schaffen, die bei verringertem Aufwand eine sichere Erhöhung der Geschwindigkeit ermöglichen.Of the Invention is based on the object, a bus coupling device of the type mentioned above or a corresponding coupling method create, with reduced effort, a secure increase in the Allow speed.

Die erfindungsgemäße Lösung liegt in den Merkmalen der unabhängigen Ansprüche. Vorteilhafte Weiterbildungen sind Gegenstand der abhängigen Ansprüche.The inventive solution lies in the characteristics of the independent Claims. Advantageous developments are the subject of the dependent claims.

Erfindungsgemäß ist bei einer Buskopplungsvorrichtung für sicherheitszertifizierbare Anwendungen mit einem Mikroprozessorsystem, das einen Hauptprozessor, einen Programm-/Datenspeicher und einen Anschluss für einen Bus erster Art und einen Anschluss für einen Bus zweiter Art aufweist, und mit einem sicheren Bereich mit mindestens einem Sicherheitsprozessor, wobei ein Transfermodul zum sicheren Transfer von Daten zwischen dem Bus erster Art und dem Bus zweiter Art vorgesehen ist, wobei weiter das Transfermodul den Sicherheitsprozessor aufweist, der zum Weiterkodieren der Daten ausgebildet ist.According to the invention is at a bus coupling device for safety certifiable applications with a microprocessor system, a main processor, a program / data memory and a Connection for comprises a bus of the first type and a connection for a bus of the second kind, and with a secure area with at least one security processor, a transfer module for the secure transfer of data between the Bus first type and the bus of the second kind is provided, wherein further the transfer module has the security processor for further coding the data is formed.

Die Erfindung fußt auf dem Gedanken, die zu transferierenden Daten weiter zu kodieren und dazu eine ohnehin vorhandene Komponente des Mikroprozessorsystems heranzuziehen. Diese Komponente ist der Sicherheitsprozessor des Mikroprozessorsystems. Er wird erfindungsgemäß dem Transfermodul zugeordnet und ist so ausgebildet, dass die zu transferierenden Daten weiterkodiert werden. Der Sicherheitsprozessor liegt im sicheren Bereich und ist daher bereits sicherheitszertifiziert. Mittels des Sicherheitsprozes sors werden die von dem Bus erster Art kommenden Datenpakete weiterkodiert, um zusätzlich in einen Frame verpackt zu werden, der auf den Bus zweiter Art weitergegeben wird. Entsprechend wird in umgekehrter Richtung der Frame von dem Bus zweiter Art beim Weiterkodieren entpackt und als Datenpaket auf den Bus erster Art gelegt. Mit dieser Weiterverarbeitung wird die Sicherheit der Datenübertragung auf dem Bus zweiter Art erhöht. Die Gefahr von Datenverfälschungen durch Manipulation, aber auch durch zufällige Fehler wird verringert. Das ermöglicht es, auf dem Bus zweiter Art höhere Datenraten zu verwenden. Dank des erfindungsgemäßen sicheren Weiterkodierens ist auch bei erhöhter Datenrate nicht zu befürchten, dass die Fehlerrate in relevantem Maß zunimmt, so dass die ursprüngliche Sicherheitsebene beibehalten werden kann. Die Verwendung des vorhandenen Sicherheitsprozessors für das Transfermodul zum Weiterkodieren erspart nicht nur baulichen Zusatzaufwand, sondern vereinfacht auch die Zertifizierung. Denn soweit keine zusätzlichen (externen) Komponenten für den Transfer der Daten vom einen Bus auf den anderen verwendet werden, so braucht auch keine erneute Sicherheitszertifizierung für die Buskopplungsvorrichtung durchgeführt zu werden. Weiter hat die Verwendung des Sicherheitsprozessors den Vorteil, dass er im sicheren Bereich des Mikroprozessorsystems liegt. Die Weiterkodierung der zu transferierenden Daten kann damit in einer besonders geschützten Umgebung erfolgen. Damit ist eine erhebliche Steigerung der Sicherheit gegenüber einem bisherigen System erreichbar, bei dem die Weiterkodierung unter Verwendung von externen Komponenten erfolgte. Zusätzlicher Zertifizierungsaufwand ist, wie bereits genannt, für die Erfindung nicht erforderlich.The Invention is based on the idea of further coding the data to be transferred and an already existing component of the microprocessor system consulted. This component is the security processor of Microprocessor system. It is assigned to the transfer module according to the invention and is designed so that the data to be transferred continues to be encoded become. The security processor is in the safe area and is therefore already safety certified. By means of the security process sors the data packets coming from the bus of the first kind are further encoded, in addition to be packaged in a frame that passed on the bus of the second kind becomes. Accordingly, in the reverse direction, the frame of the Bus of the second kind unpacked during further coding and as a data packet put on the bus of the first kind. With this further processing becomes the security of data transmission increased on the bus of the second kind. The danger of data corruption by manipulation, but also by accidental errors is reduced. The allows it, on the bus of the second kind higher data rates to use. Thanks to the inventive secure Weitererkodierens is also elevated Data rate not to worry that the error rate increases to a relevant extent, so that the original Security level can be maintained. The use of the existing one Security processors for the transfer module for further coding does not only save construction Additional effort, but also simplifies the certification. Because as far as no additional (external) components for the transfer of data from one bus to another is used so no renewed security certification for the bus coupling device needs carried out to become. Next, the use of the security processor has the Advantage that it lies in the safe area of the microprocessor system. The further coding of the data to be transferred can thus be done in a specially protected environment respectively. This is a significant increase in security over one reachable previous system in which the further coding under Use of external components was done. additional Certification effort, as already mentioned, for the invention not mandatory.

Die Erfindung hat erkannt, dass all diese Vorteile auf verblüffend einfache Weise kombiniert werden können. Aufwendige Zusatzkomponenten oder gar erneute Zertifizierungen sind dank der Erfindung überflüssig.The The invention recognizes that all these benefits are surprisingly simple Way can be combined. Elaborate additional components or even renewed certifications are thanks to the invention superfluous.

Bei einer besonders bewährten Ausführungsform handelt es sich bei dem Bus erster Art um einen Feldbus bzw. bei dem Bus zweiter Art um einen Subbus. Der Feldbus kann ein an sich bekannter Feldbus sein, wie zum Beispiel PROFIBUS der Siemens AG. Vorzugsweise handelt es sich um einen Feldbus, der zu einer gesicherten Übertragung befähigt ist, wie zum Beispiel PROFISAFE für den PROFIBUS. Es versteht sich, dass auch andere Bussysteme verwendet werden können, die vorzugsweise eine paketorientierte Übertragnung verwenden. Bei dem Subbus handelt es sich um ein Bussystem, das in der Regel zur kleinräumigen Vernetzung von Komponenten, etwa im Bereich einer Maschine, ausgelegt ist. Subbusse sind meist spezifische Kommunikationsbusse. Sie weisen meistens, anders als Feldbusse, ein proprietäres Protokoll abhängig von dem jeweiligen Hersteller auf.at a particularly proven embodiment if the bus of the first kind is a fieldbus or at the bus of the second kind around a subbus. The fieldbus can be an in itself be known fieldbus, such as PROFIBUS from Siemens AG. It is preferably a field bus that leads to a secure transmission capable such as PROFISAFE for the PROFIBUS. It understands itself that other bus systems can be used, the preferably use a packet-oriented transmission. In which Subbus is a bus system, usually for small-scale networking of components, for example in the area of a machine. Subbusses are usually specific communication buses. They point usually, unlike field buses, a proprietary protocol depends on to the respective manufacturer.

Zweckmäßigerweise ist der Sicherheitsprozessor gegenüber der Peripherie abgeschlossen. Unter dem Begriff „abgeschlossen" wird hierbei verstanden, dass keine externen Bauteile angeschlossen sind. Es ist je Sicherheitsprozessor ein externer Watchdog notwendig. Damit kann erreicht werden, dass die Peripherie sich nicht in den sicheren Bereich erstreckt. Angriffs- und unautorisierte Eingriffsmöglichkeiten sind damit verringert. Die Zertifizierung der Buskopplungsvorrichtung ist damit erleichtert.Conveniently, the security processor is closed to the periphery. Under the term "completed" is understood here, that no external components are connected. It is ever security processor an external watchdog is necessary. This can be achieved that the periphery does not extend into the safe area. attack and unauthorized intervention options are reduced. The certification of the bus coupling device is relieved.

Es genügt, wenn ein Sicherheitsprozessor das Weiterkodieren übernimmt. Dennoch kann es Vorteile mit sich bringen, wenn zwei oder mehr Sicherheitsprozessoren dafür vorgesehen sind. Mit einer höheren Zahl von Sicherheitsprozessoren können grundsätzlich höhere Sicherheitsebenen (SIL-level) erreicht werden. So kann mittels des zweiten oder weiteren Sicherheitsprozessors eine gegenseitige Überwachung vorgesehen sein. Die Sicherheit wird dadurch weiter erhöht, und zwar auch gegenüber einem Ausfall eines Sicherheitsprozessors. Weiter kann vorgesehen sein, die zusätzlichen Sicherheitsprozessoren so auszubilden, dass die Transferrate erhöht werden kann. Beispielsweise kann vorgesehen sein, dass einer der Sicherheitsprozessoren das Weiterkodieren für Daten zu dem Bus zweiter Art ausführt, und der andere in Gegenrichtung von dem Bus zweiter Art kommende Daten bearbeitet. Die Übertragungsrate kann auf diese Weise weiter gesteigert werden, ohne dass es zu einer Erhöhung der Fehlerrate und damit zu einer Beeinträchtigung der Sicherheitsebene kommt.It is sufficient if a security processor takes over the coding. However, there may be benefits to having two or more security processors designed for it. With a higher number of safety processors, higher levels of safety (SIL-level) can be achieved. Thus, mutual monitoring can be provided by means of the second or further security processor. The security is thereby further increased, even against About a failure of a security processor. Furthermore, it can be provided to design the additional security processors in such a way that the transfer rate can be increased. For example, it can be provided that one of the security processors executes the further coding for data to the bus of the second type, and the other processed in the opposite direction from the bus of the second type data. The transmission rate can be further increased in this way, without there being an increase in the error rate and thus an impairment of the security level.

Vorzugsweise sind Hauptprozessor des Mikroprozessorsystems und das Transfermodul auf einem Die, z.B. innerhalb eines ASIC, angeordnet. Damit ergeben sich Vorteile sowohl in Bezug auf die Kompaktheit wie auch die Sicherheit. Die Anordnung auf einem gemeinsamen Die verhindert dank der sich daraus ergebenden Abgeschlossenheit wirkungsvoll unautorisierte Zugriffe auf den sicheren Bereich. Außerdem hat die gemeinsame Anordnung den Vorteil einer höheren Übertragungsleistung dank kurzer Signalwege. Besonders zweckmäßig ist es, wenn der sichere Bereich von dem übrigen Bereich elektrisch isoliert ist, beispielsweise durch eine umlaufende Trennung auf dem Die. Zur Verbindung der Sicherheitsprozessoren sind nur besondere Kommunikationsleitungen vorgesehen. Damit ist die Manipulationssicherheit weiter erhöht.Preferably are the main processor of the microprocessor system and the transfer module on a die, e.g. within an ASIC. With that result advantages in terms of both compactness and safety. The arrangement on a common The prevented thanks to the resulting Resulting seclusion effectively unauthorized access to the safe area. Furthermore the common arrangement has the advantage of a higher transmission power thanks to short Signal paths. Especially useful it when the safe area is electrically isolated from the rest of the area is, for example, by a circumferential separation on the die. To connect the security processors are only special communication lines intended. Thus, the security against manipulation is further increased.

Es ist zweckmäßig, auch zugeordnete Komponenten des unsicheren Bereichs auf dem Die anzuordnen, wie Datenspeicher und Eingabe/Ausgabeeinheiten. Die damit erreichte Verringerung von Peripheriekomponenten wirkt sich wie vorstehend erläutert günstig auf die Sicherheit und die Übertragungsleistung aus.It is appropriate, too Assign associated components of the unsafe area on the die like data storage and input / output units. The achieved Reduction of peripheral components has the same effect as above explained Cheap on safety and transmission performance out.

Die Erfindung wird nachfolgend unter Bezugnahme auf die Zeichnung erläutert, in der ein vorteilhaftes Ausführungsbeispiel der Erfindung dargestellt ist. Es zeigen:The Invention will be explained below with reference to the drawing, in the one advantageous embodiment the invention is shown. Show it:

1 eine schematische Ansicht eines Ausführungsbeispiels der erfindungsgemäßen Buskopplungsvorrichtung; 1 a schematic view of an embodiment of the bus coupling device according to the invention;

2 eine Ansicht gemäß 1 mit einem eingegangenen Datenpaket; und 2 a view according to 1 with a received data packet; and

3 eine Ansicht gemäß 1 mit einem weiterkodierten Datenpaket. 3 a view according to 1 with a further coded data packet.

Das in 1 dargestellte Ausführungsbeispiel für eine erfindungsgemäße Buskopplungsvorrichtung 3 ist mit einem Feldbus 1 (in 1 links dargestellt) und einem Subbus 2 (in 2 rechts dargestellt) verbunden. Bei dem Feldbus 1 kann es sich um ein an sich bekanntes Bussystem handeln, wie bspw. PROFIBUS, wie er unter anderem von der Firma Siemens AG vertrieben wird. Es versteht sich, dass auch andere Bussysteme zur Anwendung kommen können, die ähnlich wie ein Feldbus ausgebildet sind und einen paketorientierten Datentransport aufweisen. Über den Feldbus 1 werden Daten mittels eines gesicherten Protokolls von und zu der Buskopplungsvorrichtung 3 übertragen. Als Protokoll wird in dem dargestellten Ausführungsbeispiel PROFISAFE verwendet. Die Datenrate des PROFIBUS mit PROFISAFE beträgt beispielsweise 12 MBit/s. Bei dem Subbus 2 handelt es sich um ein Bussystem, das zur kleinräumigen Vernetzung von Komponenten etwa im Bereich einer Maschine ausgelegt ist. Bei dem dargestellten Ausführungsbeispiel wird ein kommunikationsspezifischer Subbus 2 verwendet. Anders als bei dem Feldbus 1 handelt es sich bei dem Subbus 2 in der Regel um einen proprietären Bus des jeweiligen Herstellers. Die Über tragungsrate des Subbus 2 ist herkömmlicherweise geringer als die des Feldbus 1. Die Daten werden auf dem Subbus 2 in Frames übertragen.This in 1 illustrated embodiment of a bus coupling device according to the invention 3 is with a fieldbus 1 (in 1 shown on the left) and a sub-bus 2 (in 2 shown on the right). At the fieldbus 1 It may be a known bus system, such as, for example, PROFIBUS, as it is distributed, inter alia, by the company Siemens AG. It is understood that other bus systems can be used, which are designed similar to a fieldbus and have a packet-oriented data transport. About the fieldbus 1 Data is transferred by means of a secure protocol from and to the bus coupling device 3 transfer. As a protocol PROFISAFE is used in the illustrated embodiment. The data rate of the PROFIBUS with PROFISAFE is, for example 12 MBit / s. At the subbus 2 it is a bus system that is designed for small-scale networking of components, for example in the area of a machine. In the illustrated embodiment, a communication-specific sub-bus 2 used. Unlike the fieldbus 1 is it the subbus 2 usually a proprietary bus from the manufacturer. The transmission rate of the subbus 2 is conventionally lower than that of the fieldbus 1 , The data will be on the subbus 2 transferred to frames.

Die Buskopplungsvorrichtung 3 fungiert als Feldbuskoppler für den Subbus 2, um diesen mit dem Feldbus 1 zu verbinden. Die Buskopplungsvorrichtung 3 ist dazu ausgebildet, eine entsprechende Protokollumwandelung durchzuführen. Für den Einsatz in sicherheitskritische Anwendungen ist die Buskopplungseinrichtung sicherheitszertifizierbar. Sie weist dazu ein Mikroprozessorsystem auf, das in seiner Gesamtheit mit der Bezugsziffer 5 bezeichnet ist. Das gesamte Mikroprozessorsystem 5 ist als System-On-Chip (SOC) ausgeführt. Es vereinigt die erforderlichen Komponenten einer Mikroprozessorsteuerung, optional können externe Speicher 64 vorgesehen sein. Das Mikroprozessorsystem umfasst in an sich bekannter Weise einen Hauptprozessor (μC) 60, mindestens einen als Schreib/Lesespeicher ausgeführten Arbeitsspeicher (RAM) 62 und gegebenenfalls weitere Peripherieelemente, die in ihrer Gesamtheit stellvertretend durch die Bezugsziffer 63 dargestellt sind. Der Hauptprozessor 60 ist vorzugsweise als ein Prozessor vom Typ ARM 946 ausgeführt. Er ist zur Ankopplung an den Feldbus 1 mit einem ASIC 4 als Feldbusinterface versehen. Weiter ist der Hauptprozessor 60 verbunden mit einem Bus 69, an dem auch die bereits genannten Komponenten 62 und 63 angeschlossen sind. Weiter ist an den allgemeinen Bus 69 eine Umsetzeinheit 65 für den Subbus 2 angeschlossen, die als Serial-Bus-Master (SBM) ausgeführt ist. Zum elektrischen Anschluss des Subbus 2 an das SBM-Modul 65 ist ein Interface-Modul (PHY) 66 vorgesehen. Zum Anschluss des SBM-Moduls 65 an den allgemeinen Bus 69 ist ferner ein FIFO (first in/first out) 67 als Buffer vorgesehen.The bus coupling device 3 acts as a fieldbus coupler for the subbus 2 to this with the fieldbus 1 connect to. The bus coupling device 3 is designed to perform a corresponding protocol conversion. For use in safety-critical applications, the bus coupling device is safety certifiable. It has to a microprocessor system, in its entirety by the reference numeral 5 is designated. The entire microprocessor system 5 is designed as a system-on-chip (SOC). It combines the required components of a microprocessor control, optional external memory 64 be provided. The microprocessor system comprises a main processor (μC) in a manner known per se. 60 , at least one random access memory (RAM) designed as read / write memory 62 and optionally other peripheral elements, in their entirety by the reference numeral 63 are shown. The main processor 60 is preferably implemented as an ARM 946 processor. It is for coupling to the fieldbus 1 with an ASIC 4 provided as fieldbus interface. Next is the main processor 60 connected to a bus 69 , on which also the already mentioned components 62 and 63 are connected. Next is the general bus 69 a conversion unit 65 for the subbus 2 connected, which is designed as a serial bus master (SBM). For electrical connection of the subbus 2 to the SBM module 65 is an interface module (PHY) 66 intended. For connecting the SBM module 65 to the general bus 69 is also a FIFO (first in / first out) 67 provided as a buffer.

Ferner ist zusammen mit dem Mikroprozessorsystem 5, aber auf demselben Die, ein Transfermodul 7 angeordnet, das zwei Sicherheitsprozessoren MCC1 und MCC2 70, 70' umfasst. Die zwei Sicherheitsprozessoren 70, 70' weisen jeweils einen Programmspeicher und einen Datenspeicher (nicht dargestellt) auf. Die Sicherheitsprozessoren 70, 70' sind in an sich bekannter Weise si cherheitszertifizierbar ausgeführt. Ihr Aufbau und ihre Funktionsweise sind aus dem einschlägigen Stand der Technik bekannt und brauchen daher nicht näher erläutert zu werden. Nachfolgend werden daher lediglich die in Bezug auf die Erfindung relevanten Einzelheiten näher erläutert.Further, along with the microprocessor system 5 but on the same die, a transfer module 7 arranged, the two security processors MCC1 and MCC2 70 . 70 ' includes. The two security processors 70 . 70 ' each have a program memory and a data memory (not shown). The security processors 70 . 70 ' are executed in a manner known per se sheitsheitszertifizierbar. Their structure and operation are known from the relevant prior art and therefore need not be explained in detail. Below, therefore, only the details relevant to the invention will be explained in more detail.

Die über den Feldbus 1 an die Buskopplungsvorrichtung übertragenen Daten sind in Pakete 18 verpackt. Sie sind symbolhaft in den 1 bis 3 als Umschläge dargestellt. Diese Umschläge dienen zum gesicherten Transport der über den Feldbus 1 zu übertragenden Nutzdaten. Derartige Protokolle sind an sich bekannt, beispielsweise das bereits genannte PROFISAFE. Diese Daten sollen über die Buskopplungsvorrichtung 3 auf den Subbus 2 transferiert werden. Im Grundsatz soll dies möglichst transparent geschehen, d. h. es sollen durch den Transfer auf bzw. von dem Subbus 2 möglichst keine störenden Einflüsse auf die Datenübertragung ausgeübt. Dies gilt sowohl unter dem Aspekt der Geschwindigkeit wie auch unter dem Aspekt der Sicherheit. Herkömmlicherweise liegt die Datenrate des Subbus 2 aber zu niedrig, praktisch werden Werte um 12 MBit/s erreicht. Wird die Datenrate einfach erhöht, treten vermehrt Fehler auf, wodurch die Sicherheit der Datenübertragung beeinträchtigt wird.The over the field bus 1 Data transmitted to the bus coupler is in packets 18 packed up. They are symbolic in the 1 to 3 shown as envelopes. These envelopes are used for secure transport over the fieldbus 1 to be transmitted payload. Such protocols are known per se, for example the already mentioned PROFISAFE. These data are to be transmitted via the bus coupling device 3 on the subbus 2 be transferred. In principle, this should be done as transparently as possible, ie it should be transferred to or from the subbus 2 as far as possible no disturbing influences on the data transmission exercised. This is true in terms of speed as well as safety. Conventionally, the data rate of the subbus is 2 but too low, practically values of around 12 Mbps are achieved. Simply increasing the data rate will increase the number of errors that will affect the security of the data transfer.

Die Erfindung sieht vor, dass zur Erhöhung der Datenrate die beiden Sicherheitscontroller 70, 70' verwendet werden. Das ist in 2 symbolhaft dargestellt. Sie sind so programmiert, dass sie die von dem Feldbus 1 kommenden Datenpakete weiterkodieren, dass die Sicherheit gegenüber Fehlern bei der weiteren Datenverarbeitung erhöht wird. Technisch gesehen erfolgt dazu eine Umkodierung in einen Code mit einer größeren Hamming-Distanz. Damit ist es ermöglicht, eine größere Anzahl von Fehlern bei der nachfolgenden Datenübertragung zu erkennen (und den entsprechende Datenframe zu verwerfen) oder sogar zu korrigieren (und so ohne erneute Übertragung des Datenframes auszukommen). In Gestalt der somit auf sichere Weise erzeugten Frames 28 werden die Daten über die Umsetzeinheit 65 und das Interface-Modul 66 auf den Subbus 2 angelegt und weiter an die übrigen Teilnehmer (nicht dar gestellt) des Subbus 2 übertragen. Das ist in 3 veranschaulicht. Durch die erhöhte Sicherheit kann die Übertragungsrate signifikant erhöht werden, bei dem dargestellten Ausführungsbeispiel um das Fünffache.The invention provides that to increase the data rate, the two security controllers 70 . 70 ' be used. Is in 2 represented symbolically. They are programmed to be the ones from the fieldbus 1 Further encode data packets that increase the security against errors in further data processing. Technically, this is done by recoding into a code with a larger Hamming distance. This makes it possible to detect a larger number of errors in the subsequent data transmission (and to discard the corresponding data frame) or even correct (and thus get along without retransmitting the data frame). In the form of the thus safely generated frames 28 are the data about the conversion unit 65 and the interface module 66 on the subbus 2 created and further to the other participants (not shown) of the sub-bus 2 transfer. Is in 3 illustrated. Due to the increased security, the transmission rate can be increased significantly, in the illustrated embodiment, by a factor of five.

Das Weiterkodieren mittels der Sicherheitsprozessoren 70, 70' erfolgt mittels an sich bekannter Verfahren. Hierzu zählen beispielsweise die Übertragung einer laufenden Nummer je Frame sowie die Verwendung einer geeigneten CRC als Checksumme. Durch geeignete Wahl des Übertragungsprotokolls wird die je nach angestrebter SIL erforlderliche Restfehlerwahrscheinlichkeit erreicht. Auf eine nähere Erläuterung kann daher verzichtet werden. Kurz sie dazu nur folgendes angemerkt: Ohne die Sicherungsschicht des weiterzuverarbeitenden Sicherheitsprotokolls, z.b. PROFIsafe, wie z.B. die bereits implementierte Hamming-Distanz zu berücksichtigen, werden mit den n Sicherheitsprozessoren die Daten mit n unabhängigen Kanälen in geeigneter Weise codiert. Codiert. Insbesondere ist es nicht unbedingt erforderlich, dass eine Eine-zu-Eins-Umsetzung von Paketen 18 in Frames 28 und umgekehrt erfolgt. Es kann ebenso vorgesehen sein, dass mehrere Pakete 18 (zum Beispiel zwei) in einen Frame 28 kodiert werden (s. 3).The further coding by means of the security processors 70 . 70 ' takes place by means of methods known per se. These include, for example, the transmission of a consecutive number per frame and the use of a suitable CRC as the checksum. By suitable choice of the transmission protocol, the residual error probability required depending on the desired SIL is achieved. A more detailed explanation can therefore be dispensed with. In short, just note the following: Without taking into account the security layer of the security protocol to be processed, eg PROFIsafe, such as the Hamming distance already implemented, the n security processors encode the data with n independent channels in a suitable way. Coded. In particular, it is not absolutely necessary that a one-to-one conversion of packets 18 in frames 28 and vice versa. It may also be provided that several packages 18 (for example two) in a frame 28 be coded (s. 3 ).

Anschaulich dargestellt werden bei dem Weiterkodieren durch die Sicherheitsprozessoren 70, 70' die Daten, die zur Übertragung auf dem Feldbus 1 bereits einmal dank PROFISAFE in sichere Datenpakete verpackt wurden (siehe das dargestellte Paket 18), noch einmal weiter in die sicheren Frames 20 verpackt für den Weitertransport über den Subbus 2. Die Erfindung begnügt sich also nicht mit dem Sicherheitskonzept des Feldbus 1, sondern sieht noch eine zusätzliche eigene Weiterkodierung vor. Dadurch unterliegt die Datenübertragung auf dem Subbus 2 nicht den Beschränkungen des Sicherheitskonzepts des Feldbus 1, sondern kann durch das Weiterkodieren in dem gewünschten Umfang gesteigert werden. Da erfindungsgemäß für das Weiterkodieren die ohnehin vorhandenen Sicherheitsprozessoren verwendet werden, ist kein zusätzlicher Hardwareaufwand erforderlich. Externe Bauteile sind nicht erforderlich. Weiter liegt ein besonderer Vorteil der Erfindung darin, dass die sicherheitskritische Weiterkodieren allein von den Sicherheitsprozessoren 70, 70' durchgeführt sind, die ohnehin bereits sicherheitszertifiziert sind. Zusätzlicher Zertifizierungsaufwand fällt also nicht an.Illustrated in the further coding by the security processors 70 . 70 ' the data required for transmission on the fieldbus 1 Thanks to PROFISAFE, they have already been packed into secure data packets (see the package shown 18 ), once again in the safe frames 20 packed for onward transport via the subbus 2 , The invention is therefore not content with the safety concept of the fieldbus 1 , but also provides an additional own further coding. As a result, the data transmission is subject to the sub-bus 2 not the limitations of the security concept of the fieldbus 1 but can be increased by the Weitererkodieren to the desired extent. Since according to the invention the already existing security processors are used for the further coding, no additional expenditure on hardware is required. External components are not required. Furthermore, a particular advantage of the invention is that the security-critical further encode only by the security processors 70 . 70 ' carried out, which are already safety-certified anyway. Additional certification effort is therefore not incurred.

Es soll aber nicht grundsätzlich ausgeschlossen sein, dass externe Komponenten 9, 9' hinzugefügt werden, die zusammen mit den Sicherheitscontrollern 70, 70' den sicheren Bereich der Buskopplungsvorrichtung bilden. Falls dies gewünscht ist, so versteht es sich, dass die Zertifizierung entsprechend auf die zusätzlichen externen Komponenten 9, 9' zu erstrecken ist.However, it should not be excluded in principle that external components 9 . 9 ' be added along with the security controllers 70 . 70 ' form the safe area of the bus coupling device. If so desired, it is understood that the certification will apply to the additional external components 9 . 9 ' to extend is.

Claims

Bus coupling device for safety certifiable application with a microprocessor system comprising a main processor ( 60 ), a program / data memory ( 62 ) and a connection ( 4 ) for a bus ( 1 ) first type and a connection ( 66 ) for a bus ( 2 ) of the second type, and with a secure area having at least one security processor ( 70 ), characterized in that a transfer module ( 7 ) for the secure transfer of data between the bus ( 1 ) first kind and the bus ( 2 ) second type is provided, which the security processor ( 70 ), which is designed to further encode the data and the transfer module ( 7 ), and that the microprocessor system ( 5 ) are arranged on a die.

Bus coupling device according to claim 1, characterized in that the security processor ( 70 ) Completed against a periphery.

Bus coupling device according to one of claims 1 or 2, characterized in that at least two security processors ( 70 . 70 ' ) are provided.

Bus coupling device according to one of claims 1 to 3, characterized in that the data memory ( 62 ) and the connections for the buses ( 4 . 66 ) are arranged on the die.

Bus coupling device according to one of Claims 1 to 4, characterized in that the bus of the first type is a field bus ( 1 ).

Bus coupling device according to one of Claims 1 to 5, characterized in that the bus of the second type is a sub-bus ( 2 ).