CN101088071A - 用于电子设备的安全参数设置的方法和装置 - Google Patents

Abstract

本发明涉及按照IEC61508 SIL1至3或EN954－1目录1至4对电子设备进行安全参数设置的方法和装置。本发明要解决的技术问题是提供一种路径，其克服了对安全电子设备的参数明确的重新读取以及用户对各参数的确认。本发明为此建议，为了设置参数而存在的参数值通过电子操作装置的用户界面来选择或者输入，然后传送给该电子设备并保存在至少一个可由操作装置访问的存储器中，而且为了验证安全的参数设置而从该存储器中至少重新读取一次。

Description

用于电子设备的安全参数设置的方法和装置

技术领域

本发明涉及按照IEC 61508 SIL 1至3或EN 954-1类1至4的对诸如尤其是驱动装置、SPS(存储器可编程控制器)和内嵌控制器、即主要内嵌或集成在大系统中的计算单元之类的安全电子设备进行安全参数设置、即配置的方法和装置。

背景技术

目前，以传统方式通过在PC或其他相应操作设备上在非安全软件工具的程序界面内输入各个期望或必要的参数而执行按照IEC61508 SIL 3或EN 954-1类4进行的安全参数设置。然后通过任意通信信道将参数和完整参数组的校验和下载到用于安全功能的电子设备上。但是，这个过程的缺陷尤其是，随后必须将各个参数以及校验和再次从电子设备传回到PC，以便出于安全原因而在回读后再次由用户确认。迄今为止，只有这样才能识别可能的数据篡改。特定于应用地通过软件工具中的明确许可功能(Zustimmfunktion)或者通过日志(Protokoll)中的手写文档来确保电子设备所回读的每个参数的必要的、基于用户的确认。此后才能由此确定电子设备上具有正确的参数，并且可以开始电子设备上安全功能的真正程序运行。

但是，尤其是由于每个电子设备、例如驱动装置或安全控制器经常有非常多的安全参数，因此此外还存在这样的风险，即即使在这种事后检查的情况下也可能很容易疏漏篡改，或者没有以需要的细致执行检查。此外，不能以很高的概率避免，例如由于用户注意力不集中并且尤其是在连续对多个安全电子设备进行参数设置时出现输入错误和/或确认错误。

发明内容

因此，本发明要解决的主要技术问题在于提供一种方式，其对于按照IEC 61508 SIL 3或EN 954-1类4的安全参数设置，不需要安全电子设备的明确参数回读以及用户对相应参数的确认。

本发明的解决方案以令人惊异的方式通过具有按照所附独立权利要求的特征的主题来给出。

有利和/或优选实施方式或扩展是各从属权利要求的内容。

因此，按照本发明，将计划用于设置参数、即用于配置的参数值保存在至少一个可由操作装置访问的存储器中，并且将其从存储器回读至少一次以验证安全的参数设置，其中参数值通过电子操作装置的用户界面被选择或输入，并且然后被传送到电子设备。

优选地，在传送到电子设备之前，从可由操作装置访问的存储器回读参数值，从而可保证选择或输入参数值的安全。

为了相应地保证传输本身的安全，在优选扩展中，还在传送到电子设备之后从可由操作装置访问的存储器中回读参数值。

此外，为了简单地转换安全选择或输入，在本发明的合适实施方式中，还对于每个参数值在选择或输入之后，在自动化的过程例程(Processroutine)中执行将参数值存储在至少一个可由操作装置访问的至少一个存储器中的步骤，在操作装置的用户显示上删除参数值的步骤，以及通过回读所存储的参数值来重新建立用户显示的步骤。

尤其地，为了在数据保存或存储时基本上完全消除系统错误，还通过可靠地修改工作存储器中要更改的参数值，并且可靠地存储和加载非易失性存储器中或来自非易失性存储器的参数值来进行安全的数据保存。

为此，检验基于所选择或输入的参数值的校验和是有利的。

在本发明的扩展方式中，通过预测(Vorausberechnung)所期待的工作存储器中参数值的校验和、修改参数值、然后检查工作存储器中参数值的实际校验和，来进行安全的修改。

此外，在另一优选实施方式中，为了进一步提高安全性，通过根据至少两种不同方法转换并且检验所得到的字节序列及其校验和的一致性来将待传送参数值的参数组从存储器中的表示转换为字节序列中参数值的对于传送参数组所需要的按位的连续表示。

如果将所得到的字节序列及其校验和组合成待传送的参数组，则可以简单地保证自动识别未执行的检验或有错的检验。

如果按照合适的方式将待传送的参数组组合为具有参数值的字节序列以及关于该字节序列的校验和，则在传送组合的参数组之后，只需回读所传送参数组的校验和，并且将其与保存在可由操作装置访问的存储器中的相应参数组在传送之前的校验和进行比较，以保证安全的传送。

有利地，计算机支持和基于软件地执行该方法，从而确保特定于应用的匹配最有效。

为了实现安全的半或全自动方法，仅在响应安全参数设置的整个流程内分别以正确或无错的方式结束的处理步骤的情况下才引入随后的处理步骤。

本发明还提出一种相应构造用于执行该方法的装置，用于按照IEC 61508 SIL 3或EN 954-1类4对安全电子设备进行安全参数设置，该装置具有至少一个安全模块，该安全模块用于将计划用于传送到电子设备以对其设置参数的、通过电子操作装置的用户界面选择或输入的参数值存储在可由操作装置访问的至少一个存储器中，以及从存储器中至少一次回读参数值，以验证安全的参数设置。

优选的，所述至少一个安全模块控制用于显示和处理参数的用户界面以进行参数设置，和/或单独地或者与其它模块和/或电子操作装置一起用于引入和转换相应的处理步骤。

在合适的扩展方案中，至少一个安全模块至少部分地是基于软件的模块，尤其是完整软件平台的集成组件。

因此，本发明还包括一种可由计算机读取的存储介质，其上存储有可读出的信息，该信息由计算机支持的用于选择或输入用于传送到安全电子设备以对其进行参数设置的参数设置的装置读取，用以使该装置适用于执行本发明的方法。

本发明的方法和装置尤其适用于对驱动装置、存储器可编程控制器或电子安全装置进行安全的参数设置，和/或为了传送基本上可以使用每种任意现场总线或其它通信信道。

因此，本发明的主要优点在于，通过相应的安全功能分别保证从数据输入，通过数据保存或数据存储直到为安全参数设置产生下载文件以及将其传输到电子“目标”设备的各个步骤安全，从而根据按照IEC 61508直至SIL 3的所要求的误差概率，通过计算机支持的处理、尤其是通过使用特定于应用的合适的软件程序，例如基于Microsoft视窗的软件程序来避免数据篡改。

由此，由一个或多个在用于预先给定安全参数的操作设备中实现的基于硬件和/或软件的安全模块按照本发明实现的单个安全功能和/或其协作就保证了足够高以至于不再需要从电子“目标”设备回读以及事后通过用户检查参数的安全标准。

附图说明

本发明的其它特征和优点将从下面参照附图对优选实施方式的描述中变得明显。

在附图中：

图1示出按照本发明的所采用的安全功能的一个优选实施方式的一般流程图，

图2极度简化地示出按照本发明的通过预测和比较来安全地修改参数值，

图3示出涉及按照本发明加载操作设备的硬盘的参数文件、修改RAM中的参数值、以及将参数文件存储在硬盘上的示例性流程的图，

图4示出根据本发明匹配的操作设备用于对电子“目标”设备的安全输入进行参数设置的用户界面，

图5示出根据本发明匹配的操作设备用于对电子“目标”设备的安全功能进行参数设置的用户界面。

具体实施方式

下面首先参照图1和图2，它们分别示出引起产生安全功能的、在用于按照IEC 61508 SIL 3或EN 954-1类4对安全电子设备进行参数设置的包括编辑器的操作设备上实施的安全模块概念或通过响应用户调用编辑功能而引起的用于安全修改参数值的预测的简化流程图。

在此，通过响应特定的相应触发条件而自动实现所实现的安全模块对各个安全功能的启动。

如在图1中所示，所示的所使用的安全功能分为4个相互连续的级100、200、300、400。

用附图标记100表示的按照本发明的第一安全功能通过删除和重新建立编辑显示来保证安全的输入。因此，通过自动删除和重新建立编辑显示，用户可以在输入时已经在屏幕上再次检查参数。因此，所采用的这项安全功能利用了用户知道应当设置哪些参数值这一事实。由于用户基本上在例如通过键盘选择或输入预定参数结束后立即就已经知道在将结果自动重新建立在屏幕上之后必须首先检查该参数，因此不需要目前的耗费时间的电子“目标”设备的回读以及在这之后才进行的对参数的附加检查。

用附图标记200表示的按照本发明的第二安全功能通过预测(如下所述)来保证安全的数据保存或存储。

用附图标记300表示的根据本发明的第三安全功能通过冗余性、即通过由不同计算方法首先产生至少两个参数组并随后进行比较来保证安全地产生参数组。

最后，用附图标记400表示的按照本发明的第三安全功能通过校验和检查而保证将比较后得到验证的参数组安全地传送到安全的电子设备。

根据按照上述标准实施在用于安全参数设置的操作设备中的安全模块的一个优选实施例，为了保证安全输入的功能，提供以下工作和功能方式。

通过响应用户借助编辑器，在图1中在(1.)安全输入100中示意地表示，例如通过相应地确认“接受”或“输入”键/按钮的参数值的输入或选择，参数值被自动传送到操作设备的数据保存装置以进行存储，尤其是进行安全的存储，如下面将描述的。

接着，从显示中删除所输入或选择的参数值，在图1中用(2.)安全输入100示意性表示。然后，重新建立显示，在图1中以(3.)安全输入100示意所示，即通过访问刚刚传送到数据保存装置的参数值来进行。

如果用户在重新建立显示之后又将所显示的参数值识别为所输入或选择的参数值，则确定恰好该参数值也已存储在数据保存装置中，因为显示已被删除并且重新从数据保存装置建立。因此，该作用链将目前常见的回读待设置参数的设备的方法缩短为从数据保存装置中回读。

诸如例如值“10”总是作为“1”存储在数据保存装置中、在从操作设备的数据保存装置回读之后又显示为值“10”这样的系统错误是难以想象的，因为采用不同的功能来将显示的字符串转换为二进制值以存储在数据保存装置中以及相反转换。

为了基本上完全消除这种错误类型，本发明提出了一种尽可能大的验证深度来保证安全的数据保存。

为此，优选设置安全模块或多个安全模块的协作，该安全模块一方面基于RAM、即工作存储器中参数值的安全修改，另一方面基于参数文件在硬盘或其它非易失性存储器上的安全存储和加载来进行安全的数据保存。

为此，参数值在参数设置编辑器的RAM中的数据保存合适地通过校验和检验来确保。此外还保证，在输入时总是只修改实际要更改的参数值。所有其它的、可能包含在事先从非易失性存储器加载的参数文件中的、保存在RAM中的参数值在编辑参数之前被防止更改，并在编辑参数之后检查是否篡改。参照图2，这优选响应于通过预测RAM中参数值的期待CRC而调用编辑器功能，修改参数值，和检查RAM中参数值的实际CRC来进行。只有在用户执行检查、重新建立显示和相应预先描述的重新检查之后，才保证硬盘上所得到的参数文件的安全。

为了将参数值传送到电子设备，重新访问已加载或要加载到RAM中的参数值。由于按照通常方式，参数值在RAM中以不同于传送到安全电子设备的方式存在，因此在这种情况下必须首先从保存在RAM中的参数值产生要传送的参数组。从而，例如在RAM中，通常以标准的C/C++数据类型、如ULONG来存储参数值。相反，在要传送的参数组中，值逐位地连续存储在字节流中。

由于在值从RAM中的表示转换为字节流中的表示时无法排除系统错误或偶发错误，因此本发明还建议采用安全模块或安全模块的协作，其中安全模块按照图1中附图标记300所表示的安全功能首先根据至少两种不同的方法执行这种转换，并且检查所得到的两个字节流及其相应的校验和的一致性。

只响应于产生冗余字节流并且响应于识别到不同产生的字节流及相应校验和的一致性之后，才通过组合产生要传送的参数组，例如将按照图1的方法1所产生的参数组的字节流与按照图1的方法2所产生的参数组的校验和组合为最终的、并由此安全产生的要传送到电子“目标”设备的参数组。因此，根据特定模块结构和/或在安全设备上和/或在操作设备上安全功能的实施，识别对一致性的未执行或有错执行的检验，并且可以向用户进行相应的显示。

因此，冗余地产生参数组提供了具有参数值的字节流和该字节流的校验和。字节流和校验和一起自动或响应用户要求地被传送到具有安全功能的设备。

在优选扩展方案中，传送也通过另一安全功能400保证安全。

合适地，为此在传送后重新回读校验和，并将其与编辑器中的校验和比较。该检验的结果例如以消息框的形式通知用户，例如“发送成功”/“发送失败”。从而例如应当通过在提供给用户用以操作操作设备的用户界面上的相应图标或其它显示而向用户清楚地显示尤其是失败的发送。

本发明另外还提供用于转换安全功能的安全模块，使得在每次重新启动安全设备时都检验传送到设备的字节流的校验和，并且在识别出字节流遭到篡改时防止或禁止启动。

图3按照图3的安全设备的例子，再一次示出了从硬盘加载参数文件、修改RAM中各个参数值、将参数文件存储在硬盘上、直到将参数组传送到安全电子“目标”设备的安全参数设置的根据本发明的流程的主要步骤。

如图3所示，仅在响应事先以正确或无错误方式结束的处理步骤的情况下才将相应处理步骤引入整个流程。因此，例如可能还包括等待用户输入的未结束处理步骤自动阻断流程。在不正确或有错误结束的处理步骤或在期间识别出错误的处理步骤，以合适方式自动中断流程以进一步提高安全性。

下面参照图4和图5，其示出用于操作设备、如PC或IPC(进程间通信)单元或其它电子(操作)设备的示例性用户界面，这些设备具有按照本发明用于按照IEC 61508 SIL3进行安全参数设置的安全模块，以保证上述安全功能。

如上面讨论的，可以基于应用地通过将安全模块或多个相互协作的安全模块尤其实施为“独立”程序或实施为完整软件平台的集成组件，来控制用于例如驱动装置或所谓安全控制器的特定安全功能、安全输入和/或安全输出的与安全有关的参数的显示和处理。

所有安全参数优选为用户分为组和子组，并在选择之后显示在表格中以用于处理。这些组可以按照图4和图5通过用“组选择”表示的组合框501来选择。作为用于参数设置的各个组，可以选择“安全功能”、“安全输入”和“安全输出”。按照图4，启动用于安全输入的安全参数设置的界面，按照图5，启动用于安全功能的安全参数设置的界面。

每个组又被分为参数子组502，这些子组在该例子中可以通过相应的键/按钮来选择。然后，所选择的相应参数子组被显示在表格中。

按照图4，为参数组“安全输入”保留6个参数子组502，分别标以“安全输入1”至“安全输入6”。子组的相应选择使得所选择的安全输入的相应参数显示在表格503中，其中显示参数类型503a和对应的保存在数据保存装置中的参数值。合适地，如果在表格503中调整与其它参数相互依赖的参数，则自动去掉不需要的参数。

优选地，为每个参数存储图形504，该图形向用户视觉地显示参数对设备性能和/或系统性能的影响。如果在表格中更改对参数的选择，则相应的图形也改变。

如果在表格中编辑参数，则该参数按照上面的描述安全地存放在PC的存储器中，从用户界面上删除，又从存储器中取出，并显示在界面上，由此根据IEC 61508 SIL3的要求以相应的安全性排除了在输入时的数据篡改。

如果编辑参数值，如图4中用505表示的，则按照突出显示的方式、例如以蓝色文字显示该值。如果要调整的值例如是列举，则优选在表格中采用选择框506。在选择这种框时，优选也以突出显示的方式显示其中所示出的值。以说明编辑器模式。对于每个参数，还可以例如以工具提示的方式显示一段描述。如果涉及范围参数，则既显示最小值和最大值，又显示步长宽度。如果用户输入不允许的参数值，则通过其它突出显示、例如通过将参数值的文字颜色变为红色或者还通过声音显示给用户。

如上所述，存储器中的安全保存尤其是这样来保证，即在选择参数时用安全参数保护整个其它存储区并用CRC保证安全。在处理参数之后，又形成同一存储区的CRC，并将其与输入CRC比较。由此，通过按照IEC 61508 SIL3编辑其它各个参数，排除对已经处理过的安全参数的数据篡改。

通过基本上相同的方式，对“安全输出”和“安全功能”进行参数设置。如果安全的参数设置结束，则可以进行下载。如果按照图4和图5通过确认下载键507启动下载，则合适地显示一个对话框，该对话框再次询问用户是否所有参数都正确输入。通过相应地确认该对话框，分别按照两种不同的方法产生具有各个参数的文件，并重新分别通过CRC保证安全。

在将冗余产生的文件组合为安全的参数文件之后，通过任意现场总线或制造商的另一通信信道将该安全参数文件下载到目标硬件上，在该例子中即下载到驱动装置或安全控制器上。与当前常见的方法相反，只还回读目标设备的CRC。然后将目标设备的CRC与存储在电子操作设备上的参数文件的CRC进行比较，如果一致，则为用户显示一个对话框，以表明安全的参数设置是否成功，即“发送成功”/“发送失败”。

因此，本发明总的来说保证按照IEC 61508 SIL3或EN 954-1类从电子(操作)设备的存储器中为目标设备回读安全参数，而无需由用户明确地确认各个参数。

Claims (31)

1.一种按照IEC 61508 SIL3或EN 954-1类4对电子设备、尤其是电子设备的安全输入和/或输出以及/或者安全功能进行安全参数设置的方法，其中用于参数设置的参数值通过电子操作装置的用户界面被选择或输入，然后被传送到电子设备，其特征在于，所选择或输入的参数值被保存在至少一个可由所述操作装置访问的存储器中，并且从所述存储器被回读至少一次以验证所述安全参数设置。

2.根据权利要求1所述的方法，其特征在于，在传送到电子设备之前，从可由操作装置访问的存储器回读参数值，以验证参数值的安全选择或输入。

3.根据上述权利要求之一所述的方法，其特征在于，在传送到电子设备之后，从可由操作装置访问的存储器回读参数值，以验证安全地传送到电子设备。

4.根据上述权利要求之一所述的方法，其特征在于，对每个参数值，在选择或输入之后，以自动化的过程例程执行将参数值存储在所述至少一个可由操作装置访问的存储器中的至少一个中的步骤、在操作装置的用户显示上删除参数值的步骤、以及通过回读所存储的参数值而重新建立用户显示的步骤。

5.根据上述权利要求之一所述的方法，其特征在于，所述存储所选择或输入的参数值的步骤包括：在工作存储器中相应地安全地修改要更改的参数值的步骤，以及将参数值安全地存储和非易失性存储器中或从非易失性存储器加载的步骤。

6.根据上述权利要求之一所述的方法，其特征在于，所述存储所选择或输入的参数值的步骤包括检验基于所选择或输入的参数值的校验和。

7.根据上述权利要求之一所述的方法，其特征在于，在修改要更改的参数值之前，预测所期待的工作存储器中参数值的校验和，并在修改参数值之后，检查工作存储器中参数值的实际校验和。

8.根据上述权利要求之一所述的方法，其特征在于，将待传送的参数值的参数组从存储器中的表示转换为传送参数组所需要的字节序列中参数值的按位连续表示包括根据至少两种不同方法的转换以及检验所得到的字节序列及其校验和的一致性。

9.根据上述权利要求之一所述的方法，其特征在于，所得到的字节序列及其校验和被组合成待传送的参数组。

10.根据上述权利要求之一所述的方法，其特征在于，待传送的参数组被组合为具有参数值的字节序列以及关于所述字节序列的校验和。

11.根据上述权利要求之一所述的方法，其特征在于，在传送所组合的参数组之后，回读所传送的参数组的校验和，并且将其与保存在可由操作装置访问的存储器中的传送前的相应参数组的校验和进行比较。

12.根据上述权利要求之一所述的方法，其特征在于，计算机支持和基于软件地执行所述方法。

13.根据上述权利要求之一所述的方法，其特征在于，仅在响应在安全参数设置的整个流程内分别以正确或无错的方式结束的处理步骤的情况下才引入随后的处理步骤。

14.一种用于按照IEC 61508 SIL 3或EN 954-1类4对电子设备进行安全参数设置的装置，尤其用于执行根据上述权利要求之一所述的方法，所述装置包括至少一个安全模块，所述安全模块用于将用于传送到电子设备进行其参数设置的通过电子操作装置的用户界面所选择或输入的参数值存储在可由操作装置访问的至少一个存储器中，以及从所述存储器至少回读一次所述参数值，以验证所述安全参数设置。

15.根据上述权利要求之一所述的装置，其特征在于，所述至少一个安全模块控制用于显示和处理参数以进行参数设置的用户界面。

16.根据上述权利要求之一所述的装置，其特征在于，所述至少一个安全模块与操作装置一起协作。

17.根据上述权利要求之一所述的装置，其特征在于，所述至少一个安全模块至少部分地是基于软件的模块。

18.根据上述权利要求之一所述的装置，其特征在于，所述至少一个安全模块是整个完整软件平台的集成组件。

19.根据权利要求14至18中任一项所述的装置，其特征在于至少一个安全模块，其单独地或与其它模块和/或电子操作装置一起用于在传送到电子设备之前从可由操作装置访问的存储器回读参数值，以验证参数值的安全选择或输入。

20.根据权利要求14至19中任一项所述的装置，其特征在于至少一个安全模块，其单独地或与其它模块和/或电子操作装置一起用于在传送到电子设备之后从可由操作装置访问的存储器回读参数值，以验证安全地传送到电子设备。

21.根据权利要求14至20中任一项所述的装置，其特征在于至少一个安全模块，其单独地或与其它模块和/或电子操作装置一起，为每个参数值在选择或输入之后，以自动化的过程例程将参数值存储在所述至少一个可由操作装置访问的存储器中至少一个中、在操作装置的用户显示上删除参数值、以及通过回读所存储的参数值重新建立用户显示。

22.根据权利要求14至21中任一项所述的装置，其特征在于至少一个安全模块，其单独地或与其它模块和/或电子操作装置一起用于存储所选择或输入的参数值，以在工作存储器中相应地安全地修改要更改的参数值，以及将参数值安全地存储和非易失性存储器中或从非易失性存储器加载。

23.根据上述权利要求之一所述的装置，其特征在于至少一个安全模块，其单独地或与其它模块和/或电子操作装置一起用于检验基于所选择或输入的参数值的校验和。

24.根据上述权利要求之一所述的装置，其特征在于至少一个安全模块，其单独地或与其它模块和/或电子操作装置一起，预测所期待的工作存储器中参数值的校验和，并检查工作存储器中参数值的实际校验和。

25.根据权利要求14值24中任一项所述的装置，其特征在于至少一个安全模块，其单独地或与其它模块和/或电子操作装置一起用于根据至少两种不同方法将参数组转换为字节序列中参数值的按位连续表示，并且检验所得到的字节序列及其校验和的一致性。

26.根据上述权利要求之一所述的装置，其特征在于至少一个安全模块，其单独地或与其它模块和/或电子操作装置一起用于将得到的字节序列及其校验和组合成参数组。

27.根据权利要求14至26中任一项所述的装置，其特征在于至少一个安全模块，其单独地或与其它模块和/或电子操作装置一起用于回读所传送的参数组的校验和，访问保存在对应于操作装置的存储器中的校验和，并将这两个校验和进行比较。

28.根据权利要求14至27中任一项所述的装置，其特征在于至少一个安全模块，其单独地或与其它模块和/或电子操作装置一起，仅在响应在安全参数设置的整个流程内分别以正确或无错的方式结束的处理步骤的情况下才引入下一处理步骤。

29.根据上述权利要求之一所述的方法和/或装置在驱动装置、存储器可编程控制器或电子安全装置的安全参数设置中的应用。

30.根据上述权利要求之一所述的应用，使用现场总线。

31.一种可由计算机读取的存储介质，其上存储有可读出的信息，所述信息由计算机支持的用于选择或输入用于传送到安全的电子设备以进行其参数设置的参数的装置读取，用以使所述装置适于执行权利要求1至13中任一项所述的方法。

Images