DE102006058330A1

DE102006058330A1 - Device for protection of access, in particular data access of user, has access authorization unit connected with coupling unit for reading and transferring of data of hardware based safety unit

Info

Publication number: DE102006058330A1
Application number: DE102006058330A
Authority: DE
Inventors: David Coulon; Martin Hegendorf; Michael Wilding
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2006-12-11
Filing date: 2006-12-11
Publication date: 2008-06-12

Abstract

The device has an automation component (2b) that is formed as an access authorization unit and is connected with the automation network (4) by an interface (5a,5b). The access authorization unit is connected with the coupling unit (6) for reading and transferring of data of hardware based safety unit (8) by another interface (5c) : An independent claim is also included for a method of protecting data access of a user.

Description

Die Erfindung betrifft eine Vorrichtung und ein Verfahren zur Sicherung eines Zugriffs, insbesondere eines Daten- und/oder Bedienzugriffs eines Benutzers auf mindestens eine Automatisierungskomponente eines Automatisierungssystems innerhalb eines Automatisierungsnetzes, insbesondere zur Authentifikation, Autorisierung und/oder Authentifizierung des zugreifenden Benutzers.The The invention relates to a device and a method for securing an access, in particular a data and / or operating access a user to at least one automation component of a Automation system within an automation network, in particular for authentication, authorization and / or authentication of the accessing user.

In modernen Automatisierungssystemen spielt der Schutz der Daten und der Steuerung und/oder Regelung der Automatisierungssysteme eine immer wichtigere Rolle. Insbesondere mit der Öffnung der Automatisierungssysteme für einen externen Zugriff über Datenübertragungsnetze, z. B. dem Internet, ist es von Bedeutung, nur für berechtigte Personen einen Zugriff auf das Automatisierungssystem und die Automatisierungskomponenten zu zulassen.In modern automation systems, the protection of data and plays the control and / or regulation of automation systems a more important role. Especially with the opening of the automation systems for one external access via Data transmission networks, z. As the Internet, it is important, only for authorized persons Access to the automation system and the automation components to allow.

Eine einfache, wenn auch nicht absolut sichere Methode zur Überprüfung der Zugangsberechtigung zu dem Automatisierungssystem ist die Verwendung von Passwörtern, die nur dem berechtigten Benutzer bekannt sind und vom Benutzer beliebig oft geändert werden können. Bei der Verwendung von Passwörtern besteht dabei die Gefahr, dass diese nicht autorisierten Personen zugänglich sind bzw. von diesen erspäht oder abgehört werden können.A simple, though not completely safe method of checking the Access authorization to the automation system is the use passwords, which are known only to the authorized user and by the user changed as often as you like can be. When using passwords There is a risk that these unauthorized persons accessible are or from these spied or listened to can be.

Darüber hinaus ist insbesondere bei komplexen und großen Automatisierungsanlagen, z. B. für eine Kraftwerksanlage oder eine chemische Anlage, eine solche Passworteingabe umständlich und zeitaufwendig. Insbesondere an über einen Datenbus, einen so genannten Feldbus angeschlossene dezentrale Feldgerate, wie z. B. Aktoren, Sensoren, Armaturen, Motoren, und somit in Produktionsumgebungen kann das Passwort nur mittels Bildschirmeingaben eingegeben werden. Dies ist sehr zeitauf wendig. Für die Steuerungen von Feldgeräte, bei denen sich häufig prozess- oder betriebsbedingt Parameter ändern, ist aber ein schneller und sicherer dezentraler Zugriff erforderlich. Auch ist an einem solchen dezentralen Zugriff eine Protokollierung darüber erforderlich, wer, wann, was und wie geändert hat. Herkömmliche Sicherheitsgeräte weisen hierzu eine aufwendige PC-Schnittstelle auf.Furthermore especially in complex and large automation systems, z. B. for a Power plant or a chemical plant, such a password laborious and time consuming. Especially on a data bus, a so said fieldbus connected decentralized field devices such. B. Actuators, sensors, valves, motors, and thus in production environments the password can only be entered by means of screen inputs. This is very time consuming. For the controllers of field devices, which are common process or operational change parameters, but is faster and secure remote access required. Also is at one such decentralized access requires logging about it, who, when, what and how changed Has. conventional security devices have a complex PC interface.

Der Erfindung liegt daher die Aufgabe zugrunde, ein Verfahren und eine Vorrichtung zur Sicherung eines Zugriffs eines Benutzers auf eine Automatisierungskomponente eines Automatisierungssystems anzugeben, bei welchem die Sicherheit gegen einen unerwünschten Zugriff signifikant verbessert ist.Of the Invention is therefore the object of a method and a Device for securing access of a user to a user Indicate the automation component of an automation system, where security against unwanted access is significant is improved.

Diese Aufgabe wird hinsichtlich der Vorrichtung durch die Merkmale des Anspruchs 1 gelöst. Hinsichtlich des Verfahrens wird die Aufgabe durch die Merkmale des Anspruchs 12 gelöst. Vorteilhafte Ausgestaltungen der Erfindung sind Gegenstand der Unteransprüche.These The object is with respect to the device by the features of Claim 1 solved. Regarding of the method is the object by the features of the claim 12 solved. Advantageous embodiments of the invention are the subject of the dependent claims.

Bei der Vorrichtung zur Sicherung eines Zugriffs, insbesondere eines Daten- und/oder Bedienzugriffs eines Benutzers auf mindestens eine Automatisierungskomponente eines Automatisierungssystems innerhalb eines Automatisierungsnetzes ist erfindungsgemäß eine der Automatisierungskomponenten als eine Zugangsberechtigungseinheit ausgebildet, welche über eine Schnittstelle mit dem Automatisierungsnetz verbunden ist und welche eine weitere Schnittstelle aufweist, über die die Zugangsberechtigungseinheit mit einer Kopplungseinheit zum Lesen und Übertragen von Daten einer hardwarebasierten Sicherheitseinheit verbunden ist. Die Erfindung hat den Vorteil, dass gegenüber einem passwortgeschützten Zugriff bei einem Zugriff mittels einer hardwarebasierten Sicherheitseinheit, welche über die Kopplungseinheit mit einer der Automatisierungskomponenten verbunden ist, eine manuelle Passworteingabe sicher entfällt. Für einen sicheren Zugriff ist über die Kopplung der Sicherheitseinheit mit der Zugangsberechtigungseinheit beispielsweise durch den automatischen Datenaustausch eines Identifikationscodes in Form eines eineindeutigen elektronischen Schlüssels eine Authentifikation, Autorisierung und/oder Authentifizierung des zugreifenden Benutzers möglich.at the device for securing an access, in particular a Data and / or operator access of a user to at least one Automation component of an automation system within an automation network according to the invention is one of the automation components is designed as an access authorization unit, which has a Interface is connected to the automation network and which has another interface through which the access authorization unit with a coupling unit for reading and transmitting data of a hardware-based Security unit is connected. The invention has the advantage that opposite a password protected Access in the case of access by means of a hardware-based security unit, which over the coupling unit is connected to one of the automation components is, a manual password entry safely deleted. For a secure access is over the Coupling of the security unit with the access authorization unit for example, by the automatic data exchange of an identification code authentication in the form of a one-to-one electronic key, Authorization and / or authentication of the accessing user possible.

Hierzu ist zweckmäßigerweise eine Ein- und/oder Ausgabebaugruppe der Automatisierungskomponenten als Zugangsberechtigungseinheit ausgebildet. Alternativ oder zusätzlich kann eine speicherprogrammierbare Steuerung als Zugangsberechtigungseinheit ausgebildet sein. Die betreffende als Zugangsberechtigungseinheit ausgebildete Automatisierungskomponente umfasst als Schnittstellen eine Ethernet-Schnittstelle und/oder eine auf Ethernet basierende Feldbus-Schnittstelle zur Kommunikation und zum Datenaustausch mit den anderen Automatisierungskomponenten innerhalb des Automatisierungsnetzes. Darüber hinaus umfasst die Automatisierungskomponente eine weitere Schnittstelle, insbesondere eine serielle Schnittstelle zur Kommunikation und zum Datenaustausch mit der Kopplungseinheit für die hardwarebasierte Sicherheitseinheit. Die serielle Schnittstelle kann als ein bidirektionaler 2-Drahtbus, so genannte Inter-IC-Schnittstelle oder I2C-Schnittstelle, eine SPI-Schnittstelle (= Serial Peripheral Interface) oder ein 1-Drahtbus ausgeführt sein.For this is expediently an input and / or output module of the automation components designed as access authorization unit. Alternatively or additionally a programmable logic controller as an access authorization unit be educated. The concerned as access authorization unit trained automation component includes as interfaces Ethernet interface and / or an Ethernet-based fieldbus interface for communication and data exchange with the other automation components within the automation network. In addition, the automation component includes another interface, in particular a serial interface for communication and data exchange with the coupling unit for the Hardware-based security unit. The serial interface can be used as a bidirectional 2-wire bus, called inter-IC interface or I2C interface, an SPI interface (= Serial Peripheral Interface) or a 1-wire bus be executed.

Für eine einfache Handhabung des sicheren Zugriffs ohne Passworteingabe ist die hardwarebasierte Sicherheitseinheit als eine Knopfzelle, insbesondere als ein von einem Edelstahlgehäuse vollständig ummantelter Mikrocontroller, eine Chipkarte oder eine andere separate und logisch von der Zugangsberechtigungseinheit getrennte Hardware-Komponente ausgebildet, die jeweils zumindest einen Mikroprozessor umfassen, auf dem zumindest als Identifikationscode ein elektronischer Schlüssel hinterlegt ist. So ist beispielsweise bei der Knopfzelle ein Mikrochip mit einer eineindeutigen Seriennummer versehen, die als elektronischer Schlüssel dient und über die serielle Schnittstelle an die Zugangsberechtigungseinheit automatisch übertragen wird. Somit dient die hardwarebasierte Sicherheitseinheit anhand des hinterlegten elektronischen Schlüs sels zur Authentifikation, Autorisierung und/oder Authentifizierung des Benutzers. Unter Authentifizierung wird insbesondere verstanden, dass Informationen, z. B. Protokolle über den Zugriff des betreffenden Benutzers, wann der Benutzer was und wie geändert hat, abgefragt werden können. Unter der Authentifikation wird insbesondere der Nachweis der Identifikation des Benutzers verstanden. Unter Autorisierung wird insbesondere die Aktivierung und/oder Deaktivierung von Berechtigungen und Zugriffen des Benutzers, d.h. wann der Benutzer was und wie ändern, schalten, etc. darf, verstanden.For easy handling of secure access without password input, the hardware-based security unit is full as a button cell, especially as one of a stainless steel housing permanently encased microcontroller, a chip card or another separate and logically separate from the access authorization unit hardware component, each comprising at least one microprocessor on which at least as an identification code is deposited an electronic key. For example, in the button cell, a microchip is provided with a one-to-one serial number which serves as an electronic key and is automatically transmitted to the access authorization unit via the serial interface. Thus, the hardware-based security unit is based on the deposited electronic key sels for authentication, authorization and / or authentication of the user. Authentication means, in particular, that information, eg. B. logs about the access of the user in question, when the user what and how has changed, can be queried. The authentication is in particular the proof of the identification of the user understood. Under authorization, in particular the activation and / or deactivation of authorizations and accesses of the user, ie when the user what and how to change, switch, etc., may be understood.

Zweckmäßigerweise ist bzw. sind korrespondierend zum auf der hardwarebasierten Sicherheitseinheit hinterlegten elektronischen Schlüssel auf einer der Automatisierungskomponenten, insbesondere im Mikroprozessor, einem zentralen Server und/oder auf der Zugangsberechtigungseinheit selbst, eine vorgegebene Anzahl von Berechtigungen für den betreffenden Benutzer und/oder Informationen über Datenabfragen hinterlegt. In einer besonders einfachen Ausführungsform wird der auf der hardwarebasierten Sicherheitseinheit hinterlegte elektronische Schlüssel, z. B. ein Identifikationscode, während der Kontaktierung der Sicherheitseinheit mit der Kopplungseinheit an die Automatisierungskomponente übertragen. Anhand von zu diesem elektronischen Schlüssel hinterlegten Zugangsberechtigungen bzw. Informationen zu Datenabfragen werden die betreffenden Berechtigungen aktiviert bzw. deaktiviert. Auch können automatisch Datenabfragen ausgeführt, z. B. auf der Sicherheitseinheit in einem Speicher hinterlegte Sensordaten, Parameter, Informationen an die Automatisierungskomponente übertragen bzw. von dieser empfangen und gespeichert werden.Conveniently, is or are corresponding to the on the hardware-based security unit deposited electronic key on one of the automation components, in particular in the microprocessor, a central server and / or on the access authorization unit itself, a predetermined number of permissions for the user in question and / or information about Data queries deposited. In a particularly simple embodiment is stored on the hardware-based security unit electronic Key, z. B. an identification code while the contacting of the safety unit with the coupling unit transferred to the automation component. On the basis of to this electronic key stored access authorizations or information about data queries The relevant permissions are activated or deactivated. Also can automatically execute data queries, z. B. stored on the security unit in a memory sensor data, Parameter, information to the automation component transferred or be received and stored by this.

Zur Erhöhung der Sicherheit der Datenübertragung, welche insbesondere drahtlos erfolgt, ist auf der hardwarebasierten Sicherheitseinheit und einer der Automatisierungskomponenten jeweils ein Geheimschlüssel zum Signieren von zu übertragenden bzw. übertragenden Daten hinterlegt. Dabei kann anhand der Signatur der Sender bzw. Empfänger eindeutig identifi ziert werden. Zusätzlich kann der Geheimschlüssel zur Ver- und/oder Entschlüsselung genutzt werden. Dabei erfolgt der Datenaustausch zwischen der Sicherheitseinheit und der Automatisierungskomponente in herkömmlicher Art und Weise auf Basis von bekannten Signier- bzw. Ver- und/oder Entschlüsselungsalgorithmen. Hierzu ist sowohl auf der Sicherheitseinheit als auch in der Automatisierungskomponente ein Signier-, Dechiffrier- bzw. Chiffrieralgorithmus hinterlegt.to increase the security of data transmission, which in particular is wireless, is on the hardware-based Security unit and one of the automation components respectively a secret key for signing to be transmitted or transmitted Data deposited. It can be based on the signature of the transmitter or receiver be clearly identifi ed. In addition, the secret key to Encryption and / or decryption be used. The data exchange between the security unit takes place and the automation component in a conventional manner Basis of known signing or encryption and / or decryption algorithms. For this purpose, both on the security unit and in the automation component deposited a signing, deciphering or ciphering algorithm.

Zur Erweiterung der Funktionalität der hardwarebasierten Sicherheitseinheit für über einen gesicherten Zugriff hinausgehende Funktionen, beispielsweise Datenübertragung, Sensorabfragen, Parameterabfragen und/oder -änderungen, -anpassungen, -einstellungen, umfasst die hardwarebasierte Sicherheitseinheit mindestens eine Speichereinheit zur Hinterlegung von variablen, insbesondere dynamischen Daten. Nach erfolgreicher Authentifikation des Benutzers durch Übertragung des elektronischen Schlüssels an das Automatisierungssystem und Prüfung des elektronischen Schlüssels sowie Autorisierung durch Freigabe von Berechtigungen können in Abhängigkeit von Art und Umfang der freigegebenen Berechtigungen für den Benutzer automatisch Daten übertragen und empfangen bzw. gesendet werden.to Extension of functionality the hardware-based security unit for secure access functions, such as data transmission, sensor queries, Parameter queries and / or changes, adjustments, settings, includes the hardware-based security unit at least one storage unit for depositing variable, especially dynamic data. After successful authentication of the User through transmission of the electronic key to the automation system and verification of the electronic key and authorization by releasing permissions can vary depending on type and scope the shared permissions for the user automatically Transfer data and be received or sent.

Je nach Art und Ausführung der hardwarebasierten Sicherheitseinheit ist diese drahtlos oder über eine serielle Schnittstelle mit der Kopplungseinheit verbunden. Beispielsweise kann bei einer Sicherheitseinheit, die als ein kompakter, von einem Edelstahlgehäuse vollständig umgebener Mikroprozessor ausgeführt ist, das Edelstahlgehäuse selbst als eine 1-Draht-Schnittstelle für die elektronische Kommunikation genutzt werden. Dabei dienen der Deckel als Datenkontakt und der Boden als Grundflächenkontakt. Die beiden Kontaktflächen sind in geeigneter Art und Weise elektrisch voneinander isoliert, beispielsweise durch eine Dichtscheibe, wodurch wiederum das Edelstahlgehäuse sehr robust und dicht ist. Die beiden Kontaktflächen ermöglichen eine 1-Draht-Kommunikation. Darüber hinaus weist der Mikroprozessor einen eineindeutigen Identi fikationscode auf, der beispielsweise vom Hersteller per Laser im Chip hinterlegt ist. Dieser Identifikationscode oder diese Adresse kann dann zur Identifikation der angekoppelten Sicherheitseinheit dienen. Aufgrund des einfachen Aufbaus der 1-Draht-Schnittstelle ist ein kurzer Kontakt der Sicherheitseinheit mit der Kopplungseinheit, z. B. eine Aufnahmeeinheit zur form- und kraftschlüssigen Aufnahme der Sicherheitseinheit, ausreichend. Beispielsweise ist die Kopplungseinheit magnetisch haftend ausgeführt, so dass das Edelstahlgehäuse des Mikroprozessors an der Kopplungseinheit allein durch Magnetkraft gehalten wird. Nach erfolgreicher automatischer Identifizierung anhand des Auslesens und Prüfens des Identifikationscodes durch das Automatisierungssystem können zusätzliche Schreib- und Lesefunktionen aktiviert und durchgeführt werden. Bei einer alternativen Ausführungsform der Sicherheitseinheit, beispielsweise als Chipkarte wird diese in eine entsprechend als Chipkartenlesegerät ausgeführte Kopplungseinheit eingeführt und dort während des Authentifikationsprozesses sowie ggf. für weitere Schreib- und Lesefunktionen belassen und gehalten.Depending on the type and design of the hardware-based security unit, it is connected to the coupling unit wirelessly or via a serial interface. For example, in a safety unit, which is designed as a compact microprocessor completely surrounded by a stainless steel housing, the stainless steel housing itself can be used as a 1-wire interface for electronic communication. The lid serves as a data contact and the ground as a surface contact. The two contact surfaces are electrically insulated from one another in a suitable manner, for example by a sealing disk, which in turn makes the stainless steel housing very robust and tight. The two contact surfaces allow 1-wire communication. In addition, the microprocessor has a one-to-one identi fikationscode, which is deposited for example by the manufacturer by laser in the chip. This identification code or this address can then serve to identify the coupled security unit. Due to the simple structure of the 1-wire interface is a short contact of the safety unit with the coupling unit, z. B. a receiving unit for positive and non-positive recording of the security unit, sufficient. For example, the coupling unit is designed to be magnetically adhesive, so that the stainless steel housing of the microprocessor is held on the coupling unit solely by magnetic force. After successful automatic identification based on the reading out and checking of the identification code by the automation system additional writing and reading functions be activated and performed. In an alternative embodiment of the security unit, for example as a chip card, it is inserted into a coupling unit designed accordingly as a chip card reader and left there and held during the authentication process and possibly for further writing and reading functions.

In einer weiteren Ausführungsform ist die hardwarebasierte Sicherheitseinheit batteriebetrieben. Alternativ oder zusätzlich kann die Sicherheitseinheit über die Kopplungseinheit mittels der seriellen Schnittstelle mit Strom versorgt werden.In a further embodiment the hardware-based security unit is battery operated. alternative or additionally can the security unit over the coupling unit via the serial interface with power be supplied.

Die mit der Erfindung erzielten Vorteile bestehen insbesondere darin, dass insbesondere in Produktionsumgebungen anstelle eines softwarebasierten sicheren Zugriffs über eine Passworteingabe mittels Ankopplung einer hardwarebasierten Sicherheitseinheit an eine der Automatisierungskomponenten ein sicherer automatischer Zugriff auf das Automatisierungssystem ermöglicht ist. Zusätzlich zur Aktivierung und Deaktivierung von Zugangsberechtigung nach erfolgreicher Authentifikation und Autorisierung kann die hardwarebasierte Sicherheitseinheit auch für weitere Funktionen, z. B. Datenaustausch, Para metereinstellungen, Steuerungen, Parameteränderungen, verwendet werden.The particular advantages of the invention are that in particular in production environments instead of a software-based secure access via a password input by means of coupling a hardware-based Security unit to one of the automation components a safer automatic access to the automation system is possible. additionally to enable and disable access authorization after successful Authentication and authorization can also be done by the hardware-based security unit for further Functions, eg Data exchange, parameter settings, controls, Parameter changes, be used.

Ausführungsbeispiele der Erfindung werden anhand einer Zeichnung näher erläutert.embodiments The invention will be explained in more detail with reference to a drawing.

Darin zeigt die Figur ein Automatisierungssystem 1 mit mehreren zentral und/oder dezentral angeordneten Automatisierungskomponenten 2a bis 2z, die über ein gemeinsames Automatisierungsnetz 4 miteinander verbunden sind. Das Automatisierungssystem 1 dient beispielsweise der Steuerung und/oder Regelung einer nicht näher dargestellten technischen Anlage, z. B. einer chemischen Anlage oder einer Kraftwerksanlage. Dabei kann das Automatisierungsnetz 4 (auch Firmen- oder Anlagennetz genannt) in mehrere Teilnetze 4a bis 4z unterteilt sein, wobei ein übergeordnetes Teilnetz 4a als Industrienetz für übergeordnete, d.h. anlagenübergreifende Steuerungen und/oder Regelungen und/oder Verwaltungsaufgaben, und weitere Teilnetze 4b, 4c als Prozess- oder Produktionsnetz der Automatisierung des Prozesses bzw. der Produktion der technischen Anlage dient. Das Teilnetz 4a ist beispielsweise ein herkömmlicher Ethernet-Bus. Bei den Produktionsnetzen 4b, 4c handelt es sich um ein Feldbussystem, insbesondere einen so genannten Profinet-Bus auf Basis des Ethernet-Standards, z. B. der IEC-Norm 61158 und IEC-Norm 61784. Bei den Automatisierungskomponenten 2a bis 2z kann es sich um speicherprogrammierbare Steuerungen 2a mit zugehörigen Peripheriebaugruppen, z. B. Ein-/Ausgabe-Baugruppen, Regler-Baugruppen, Baugruppen für Ablaufsteuerungen, und/oder um eine autarke Peripherie-Baugruppe 2b, z. B. Ein-/Ausgabe-Baugruppen bzw. Regler-Baugruppen mit integriertem Mikroprozessor, und/oder um einen zentralen Server 2c handeln. Dabei ist der zentrale Server 2c beispielsweise über das Teilnetz 4a mit der autarken Peripherie-Baugruppe 2b verbunden, wobei die autarke Peripherie-Baugruppe 2b über das Teilnetz 4b mit der speicherprogrammierbaren Steuerung 2a verbunden ist.In it, the figure shows an automation system 1 with several centrally and / or decentralized automation components 2a to 2z that have a common automation network 4 connected to each other. The automation system 1 used for example the control and / or regulation of a technical system, not shown, for. As a chemical plant or a power plant. In this case, the automation network 4 (also called company or plant network) in several subnets 4a to 4z be subdivided, with a parent subnet 4a as an industrial network for higher-level, ie cross-plant control and / or regulation and / or administrative tasks, and further subnetworks 4b . 4c As a process or production network, the automation of the process or the production of the technical system is used. The subnet 4a is for example a conventional Ethernet bus. At the production networks 4b . 4c it is a fieldbus system, in particular a so-called Profinet bus based on the Ethernet standard, z. For example, the IEC standard 61158 and IEC standard 61784. In the automation components 2a to 2z These may be programmable logic controllers 2a with associated peripheral modules, z. As input / output modules, controller modules, modules for sequential control systems, and / or to a self-contained peripheral module 2 B , z. As input / output modules or controller modules with integrated microprocessor, and / or to a central server 2c act. Here is the central server 2c for example, via the subnet 4a with the self-sufficient peripheral module 2 B connected, with the self-sufficient peripheral assembly 2 B over the subnet 4b with the programmable logic controller 2a connected is.

Für einen gesicherten Zugriff auf das Automatisierungssystem 1 und somit auf die Automatisierungskomponenten 2a bis 2z ist eine der Automatisierungskomponenten, in diesem Ausführungsbeispiel die autarke Peripherie-Baugruppe 2b als eine Zugangsberechtigungseinheit ausgebildet, welche über zumindest eine oder mehrere zugehörige Schnittstellen 5a, 5b mit dem Automatisierungsnetz 4, insbesondere mit den Teilnetzen 4a und 4b und über eine weitere Schnittstelle 5c mit einer Kopplungseinheit 6 zum Lesen und Übertragen von Daten einer hardwarebasierten Sicherheitseinheit 8 verbunden ist. Je nach Art und Aufbau des Automatisierungsnetzes 4 kann die autarke Peripherie-Baugruppe nur eine der Schnittstellen 5a oder 5b zum Automatisierungsnetz 4 umfassen.For secure access to the automation system 1 and thus on the automation components 2a to 2z is one of the automation components, in this embodiment, the self-contained peripheral module 2 B is designed as an access authorization unit which has at least one or more associated interfaces 5a . 5b with the automation network 4 , in particular with the subnetworks 4a and 4b and another interface 5c with a coupling unit 6 for reading and transferring data of a hardware-based security unit 8th connected is. Depending on the type and structure of the automation network 4 the self-sufficient peripheral module can only be one of the interfaces 5a or 5b to the automation network 4 include.

Die hardwarebasierte Sicherheitseinheit 8 ist eine mobile Einheit, die in Art eines Schlüssels als ein kompakter, von einem Edelstahlgehäuse vollständig umgebener Mikroprozessor ausgeführt ist. Auf dem Mikroprozessor ist zur automatischen Authentifikation und Autorisierung des Benutzers der mobilen Sicherheitseinheit 8 ein eineindeutiger elektronischer Schlüssel beispielsweise in Form eines Identifikationscodes oder einer Adresse hinterlegt. Zur Übertragung dieses Identifikationscodes wird die Sicherheitseinheit 8 in einfacher Art und Weise an die Kopplungseinheit 6 angeordnet, beispielsweise gehalten, insbesondere magnetisch haftend gehalten. Das Edelstahlgehäuse der Sicherheitseinheit 8 ist hierzu beispielsweise mit einem Eisenring versehen, der mittels des Magneten der Kopplungseinheit 6 an dieser gehalten wird.The hardware-based security unit 8th is a mobile unit designed like a key as a compact microprocessor completely surrounded by a stainless steel case. On the microprocessor is for automatic authentication and authorization of the user of the mobile security unit 8th a one-to-one electronic key, for example in the form of an identification code or an address deposited. To transmit this identification code is the security unit 8th in a simple manner to the coupling unit 6 arranged, for example, held, in particular held magnetically adhesive. The stainless steel housing of the safety unit 8th For this purpose, for example, provided with an iron ring, by means of the magnet of the coupling unit 6 is held at this.

Darüber hinaus ist die Kopplungseinheit 6 in Art eines Adapters an der autarken Peripherie-Baugruppe 2b von außen frei zugänglich angeordnet und in diese integriert. Auch kann die Kopplungseinheit 6 an einer anderen geeigneten Stelle in der Umgebung der autarken Peripherie-Baugruppe 2b angeordnet sein. Hierzu ist die Kopplungseinheit 6 über die zugehörige Schnittstelle 5c, z. B. einen einfachen seriellen Bus, eine 1-Draht- oder 2-Draht-Schnittstelle mit der autarken Peripherie-Baugruppe 2b verbunden. Das Edelstahlgehäuse der Sicher heitseinheit 8 kann dabei selbst als eine 1-Draht-Schnittstelle für die elektronische Kommunikation genutzt werden.In addition, the coupling unit 6 in the manner of an adapter on the self-sufficient peripheral module 2 B freely accessible from outside and integrated into it. Also, the coupling unit 6 at another suitable location in the vicinity of the self-sufficient peripheral module 2 B be arranged. This is the coupling unit 6 via the associated interface 5c , z. B. a simple serial bus, a 1-wire or 2-wire interface with the self-sufficient peripheral module 2 B connected. The stainless steel housing of the safety unit 8th can itself be used as a 1-wire interface for electronic communication.

Durch einen kurzen Kontakt der Sicherheitseinheit 8 mit der Kopplungseinheit 6 wird anschließend automatisch der Identifikationscode an das Automatisierungssystem 1, insbesondere an die autarke Peripherie-Baugruppe 2b übertragen. Der Identifikationscode kann je nach Vorgabe in der Peripherie-Baugruppe 2b selbst, im zentralen Server 2c und/oder in der speicherprogrammierbaren Steuerung 2a hinterlegt sein. Beim Kontaktieren der Sicherheitseinheit 8 an der Kopplungseinheit 6 wird automatisch von der betreffenden Automatisierungskomponente 2a bis 2c der elektronische Schlüssel, insbesondere der Identifikationscode abgefragt und anhand des im Automatisierungssystem 1 hinterlegten Schlüssels geprüft. Nach erfolgreicher automatischer Identifizierung und Identifikation anhand des Auslesens und Prüfens des Identifikationscodes durch das Automatisierungssystem 2, d.h. die betreffende Automatisierungskomponente 2a bis 2c, werden die dem Schlüssel zugeordneten Zugangsberechtigungen für den Benutzer in einem Autorisierungsprozess aktiviert bzw. deaktiviert. Zusätzlich zur Authentifikation und Autorisierung können weitere Funktionen, wie z. B. Schreib- und Lesefunktionen auf Sensordaten, Parameterdaten, Steuerungsdaten, Regelungsdaten, aktiviert und durchgeführt werden. Auch kann eine begrenzte Anzahl von Berechtigungen des elektronischen Schlüssels direkt in der speicherprogrammierbaren Steuerung 2a bzw. in der autarken Peripherie-Baugruppe 2b gespeichert werden. Dies ermöglicht einen schnellen und autarken Zugriff bzw. Betrieb ohne einen Austausch und Überprüfung des elektronischen Schlüssels auf einem zentralen Server 2c.Through a short contact of the safety unit 8th with the coupling unit 6 is connected automatically the identification code to the automation system 1 , in particular to the self-sufficient peripheral module 2 B transfer. Depending on the specification, the identification code can be found in the peripheral module 2 B yourself, in the central server 2c and / or in the programmable logic controller 2a be deposited. When contacting the safety unit 8th at the coupling unit 6 is automatically generated by the relevant automation component 2a to 2c the electronic key, in particular the identification code queried and based on the in the automation system 1 stored key checked. After successful automatic identification and identification based on the readout and checking of the identification code by the automation system 2 ie the relevant automation component 2a to 2c , the access permissions associated with the key are enabled or disabled for the user in an authorization process. In addition to the authentication and authorization, additional functions, such. B. Read and write functions on sensor data, parameter data, control data, control data, activated and performed. Also, a limited number of electronic key permissions can be stored directly in the programmable logic controller 2a or in the self-sufficient I / O module 2 B get saved. This allows a fast and self-sufficient access or operation without an exchange and verification of the electronic key on a central server 2c ,

Darüber hinaus können sowohl die Sicherheitseinheit 8 als auch die jeweilige Automatisierungskomponente 2a bis 2c für eine höhere Sicherheit, insbesondere Fälschungssicherheit bzw. eindeutige Identifikation des Senders einen geheimen Schlüssel umfassen, anhand dessen in herkömmlicher Art und Weise der Datenaustausch und somit auch die Übertragung des elektronischen Schlüssels, d.h. des Identifikationscode, signiert und gegebenenfalls verschlüsselt erfolgt.In addition, both the security unit 8th as well as the respective automation component 2a to 2c for a higher level of security, in particular forgery-proof or unambiguous identification of the sender, comprise a secret key, by means of which the data exchange and thus also the transmission of the electronic key, ie the identification code, are signed and possibly encrypted in a conventional manner.

Neben dem automatischen Authentifikationsprozess zur Identifikation des Benutzers wird der über die mobile Sicherheitseinheit 8 übertragene elektronische Schlüssel für Autorisierungsprozesse, z. B. Freigabe von Zugangsberechtigungen, und Authentisierungsprozesse, z. B. Lesen von Protokollen über erfolgte Zugangsberechtigungen, genutzt.In addition to the automatic authentication process for the identification of the user is the via the mobile security unit 8th transmitted electronic keys for authorization processes, eg. B. release of access permissions, and authentication processes, eg. B. Reading logs on access permissions used.

In einer weiteren Ausführungsform können die digitalen Eingänge E und Ausgänge A der autarken Peripherie-Baugruppe 2b, z. B. zur Ansteuerung von Tasten, Anzeigemitteln, genutzt werden, um den Ablauf und/oder Zustand des Authentifikations-, Autorisierungs- und/oder Authentisierungsprozesses zu steuern bzw. anzuzeigen.In a further embodiment, the digital inputs E and outputs A of the self-sufficient peripheral module 2 B , z. B. for controlling keys, display means, are used to control the flow and / or state of the authentication, authorization and / or authentication process or display.

Bei einer alternativen Ausführungsform kann die mobile Sicherheitseinheit 8 beispielsweise als Chipkarte ausgeführt sein, die dann in eine entsprechend als Chipkartenlesegerät ausgeführte Kopplungseinheit 6 eingeführt und dort während des Authentifikations- und Autorisierungsprozesses sowie ggf. für weitere Schreib- und Lesefunktionen belassen und gehalten wird.In an alternative embodiment, the mobile security unit 8th For example, be designed as a smart card, which then in a corresponding executed as a smart card reader coupling unit 6 introduced and kept there during the authentication and authorization process and possibly for other writing and reading functions.

Claims

Device for securing an access, in particular a data access of a user to at least one automation component ( 2a to 2z ) of an automation system ( 1 ) within an automation network ( 4 ), characterized in that one of the automation components ( 2 B ) is formed as an access authorization unit, which via an interface ( 5a . 5b ) with the automation network ( 4 ) and which another interface ( 5c ), via which the access authorization unit with a coupling unit ( 6 ) for reading and transmitting data of a hardware-based security unit ( 8th ) connected is.

Apparatus according to claim 1, characterized in that an input and / or output module ( 2 B ) is designed as access authorization unit.

Apparatus according to claim 1 or 2, characterized in that a programmable logic controller ( 2a ) is designed as access authorization unit.

Device according to one of the preceding claims 1 to 3, characterized in that the hardware-based security unit ( 8th ) is formed as a button cell, a chip card or another separate and logically separated from the access authorization unit hardware component, each comprising at least one microprocessor on which at least one electronic key is deposited.

Apparatus according to claim 4, characterized in that the hardware-based security unit ( 8th ) based on the stored electronic key for authentication, authorization and / or authentication of the user is used.

Apparatus according to claim 4 or 5, characterized in that corresponding to the on the hardware-based security unit ( 8th ) stored electronic key on one of the automation components ( 2a to 2c ), in particular in the microprocessor, a central server and / or on the access authorization unit itself, a predetermined number of authorizations for the subject user and / or information about data queries are stored.

Device according to one of the preceding claims 1 to 6, characterized in that on the hardware-based security unit ( 8th ) and one of the automation components ( 2a to 2z ) is stored in each case a secret key for signing and / or for the encryption and / or decryption of data to be transmitted or transmitted.

Device according to one of the preceding claims 1 to 7, characterized in that on the hardware-based security unit ( 8th ) a storage unit for the storage of variable, in particular dynamic data is provided.

Device according to one of the preceding claims 1 to 8, characterized in that the hardware-based security unit ( 8th ) wirelessly or via a serial interface ( 5c ) with the coupling unit ( 6 ) connected is.

Device according to one of the preceding claims 1 to 9, characterized in that the hardware-based security unit ( 8th ) mechanically and / or magnetically adhering to the coupling unit ( 6 ) is held.

Device according to one of the preceding claims 1 to 10, characterized in that the hardware-based security unit ( 8th ) is battery operated and / or via the coupling unit ( 6 ) by means of the serial interface ( 5c ) is supplied with electricity.

Method for securing access, in particular data access, of a user to at least one automation component ( 2a to 2z ) of an automation system ( 1 ) within an automation network ( 4 ), characterized in that one of the automation components ( 2a to 2z ) is formed as an access authorization unit, which via an interface ( 5a . 5b ) with the automation network ( 4 ) and which another interface ( 5c ), via which the access authorization unit with a coupling unit ( 6 ) for reading and transmitting data of a hardware-based security unit ( 8th ) is connected.

Method according to claim 12, characterized in that on the hardware-based security unit ( 8th ) An electronic key, in particular in the form of a one-to-one identification code is deposited, which is transmitted to the access authorization unit for authentication, authorization and / or authentication.

Method according to claim 13, characterized in that that based on the transmitted electronic key Enables and / or disables a specified number of permissions for the user be or will.