CN101443713A - 改变控制设备的安全相关数据的方法和系统 - Google Patents

Abstract

本发明涉及一种用于改变控制设备的安全相关数据的方法，该控制设备用于在数据处理设备上检测改变的数据。在此，用个性化密钥对改变的数据进行加密。还预先规定了以下的方法步骤：关于加密数据形成第一校验和，将加密的数据、密钥和第一校验和存储在数据处理设备上的至少一个数据记录中，从数据处理设备的存储器中读取加密的数据，解密和显示所解密的数据，检验所改变的数据与所解密的数据的一致性，以及形成第二校验和，并将第二校验和存储在至少一个数据记录中。本发明还涉及用于执行本发明方法的系统。

Description

改变控制设备的安全相关数据的方法和系统

本发明涉及用于建立或改变控制装置的安全相关数据的方法和系统以及其激活。

通常公知的是，在利用安全相关数据工作的控制设备中，在改变这种数据时设置了特别的检查和检验步骤。在英语字“Safety”的意义上，在这里安全(Sicherheit)指的是工作或人员安全。这样的控制设备例如可以是用于监控机器人的控制装置，或用于控制和监控加工单元的流程的设备。在实施机器人运动时，例如一般存在以下可能性，即危及逗留在其工作范围中的人员。但是这应该避免。因此这样的机器人的安全相关数据例如是这样的数据，即所述数据借助控制设备或直接地在机器人控制中监控或限制机器人的运动流程，并因此相应地保护由机器人运动潜在危及的范围。但是安全相关数据(Sicherheitsrelevante Daten)也是例如在控制设备中被处理以便应该通过生成用于操纵保护设备的信号来排除机器操作员的危险的程序和数据。根据由至少一个面向安全的设备、例如由门开关或激光扫描器所发送的其它信号和在控制设备中所处理的安全相关数据来生成这些信号(存储器可编程的控制装置的原理)。

从安全技术中已知，大多数的事故不是源于安全设备的失灵，而是源于由于操作或维护人员对所述安全设备的蓄意操纵。出于该原因，始终要注意，尽可能防止对面向安全的控制数据的操纵，或通过适当的方法尽可能高地设置用于操纵控制数据的耗费(这相当于英语概念“Security(安全性)”)。

由于可配置的和可编程的控制设备的兴起，附加地增添了开动人员激活错误的程序和数据的风险，使得附加的保护是值得追求的，所述附加的保护预防换错和不正确地激活程序和配置数据。

对于这种控制设备的安全相关数据的建立或改变，一般公知的是，首先在配置计算机上启动特定的用户程序。然后利用该程序执行被下载到控制设备中的输入或改变。然后由控制设备将数据返回装载到配置计算机上，其中，在配置程序中的安全相关数据的返回装载时，出于安全原因，配置计算机比较：所返回装载的程序是否对应于最初的程序。以此方式确定，在程序的传输期间是否出现了差错，或是否可以接受这些改变。在最后的步骤中，由用户将接受和实施新数据的指令给予控制设备。

从该现有技术出发，本发明的任务在于，说明用于建立和改变控制设备的安全相关数据的方法和系统，其可以比迄今所公知的更灵活、更可靠和更简单地被采用。

根据本发明，通过具有权利要求1中所述特征的、用于建立和改变控制设备的安全相关数据的方法来解决该任务。

在此，用于改变控制设备的所述安全相关数据的本发明方法具有以下的步骤：

-在数据处理设备上建立新的或改变的数据，

-自动生成尽可能明确识别所生成的数据记录的释放代码，

-借助以下方法对释放代码加密，该方法使代码对于人员是不可读的，但是对于控制设备是已知的，使得所述控制设备可将释放代码进行解码，

-用关于数据的第一校验和来密封新的或改变的数据，

-在数据处理设备上在至少一个数据记录中存储所密封的数据和第一校验和，

-从数据处理设备的存储器中读取所密封的数据，

-借助显示程序或打印或绘图设备来显示数据，其中显示程序与输入程序不一致，

-由用户检验已改变的数据与所回读的数据的一致性，以及

-在确定了无差错之后，形成第二校验和并将第二校验和存储在至少一个数据记录中。

本发明方法展示了以下可能性：采集(erfassen)或改变安全相关数据，并通过形成校验和来不仅检验各个方法步骤，而且检验对已改变的数据是否也真正是所希望的改变的检验，也在所要求的安全要求下检验安全要求，请参阅例如DIN EN 61508-3。以上述的方式也确保，可以在不直接连接至有关控制设备(“离线(offline)”)的情况下来实现数据建立或改变，以有利的方式甚至在采用通用的或标准计算机的情况下和以后在无需装载重新的检验到控制单元上的情况下。也可将控制设备或控制单元理解为监控设备。甚至可以将具有新的或被改变的数据的所建立的数据记录用于多个控制设备。例如当采用希望特别快速开动相应的控制设备的多个相同的生产设备时，这可能是有利的。

本发明方法还能够实现，在不在数据处理设备和控制设备之间交换安全程序的情况下来进行相应的或所希望的建立或改变。在这方面也存在对于迄今成为已知的方法的灵活化进展。

本发明方法此外能够实现，在配置PC和控制设备之间不存在直接的连接，而是替代于此，用便携式数据载体(例如存储卡，USB棒，软盘)来实现数据传输，或另外的数据处理设备或控制单元作为暂存器起作用，并根据询问，经由直接的连接向本来的控制设备转发相关数据。

用于在控制设备中建立和改变安全相关数据的本发明方法的改进方案其特征在于，将具有密封数据、具有第一和第二校验和的至少一个数据记录作为至少一个新的数据记录传输到控制设备，并在控制设备中激活该至少一个新的数据记录之前，由控制设备检查该至少一个新的数据记录。

以此方式可以以特别简单的方式将该至少一个新的数据记录传输到使用安全相关数据的控制设备上。以此方式特别简单地实现了安全相关数据到控制设备上的数据传输。

本发明方法的合宜扩展方案规定，在激活该至少一个新的数据记录之前，执行释放方法，优选地通过被授权的用户的释放代码来实现释放(Freigabe)。

由于释放方法的执行，通过对至少一个新的数据记录的附加检验，在激活之前在控制设备中能够实现附加的安全性。在此，可以自动通过与另外的数据记录相比较，但是也优选通过由被授权的用户的、例如操作员(Operator)或开动人员(Inbetriebnehmer)检验来实现释放方法。在此特别有利的是，进行释放的这种用户通过PIN代码(个人识别号码代码)或密码来识别，并因此也用文件证明，谁已发出了释放，并且然后输入释放代码，所述释放代码在建立第一校验和之前已由建立程序所生成并且尽可能明确地识别要释放的数据记录。为了实现这一点，应由随机发生器建立释放代码，并且该释放代码应含有至少三个、有利地四个十进制数字、字母或另外的可读符号。预防了由于换错(Vertauschung)而不正确地释放错误的数据记录，其方式是释放代码只对于相应唯一的数据记录是有效的，并且开动人员必须事先尽力谋取正确的释放代码。例如具有安全设备的标准密码的总览释放因此不再是可能的，由此几乎排除了不正确的激活。

根据本发明，通过在释放方法中将在控制设备和例如输入设备之间所交换的授权数据进行加密，实现进一步提高在处理安全相关数据时的安全性。

根据本发明，通过本来的数据不加密和以由人员用简单的装置可读取的形式存在于文件中(例如以XML格式)，实现进一步提高在处理和激活安全相关数据时的安全性，使得开动人员在任何时候可以再次确信数据的内容，而不能在生成第二校验和之后改变或操纵所密封的数据，并且不能以未授权的方式读取激活代码。

还通过具有权利要求12中所述特征的用于执行用来改变控制设备的安全相关数据的本发明方法的系统来解决任务。

用于执行用来改变控制设备的安全相关数据的本发明方法的本发明系统，因此具有数据处理设备，该数据处理设备具有用于建立新的或被改变的数据的第一输入装置和第一加密模块。数据处理设备还至少暂时地与控制设备相连接，其中，数据处理设备具有第二加密模块，和其中第一和第二加密模块的加密方法对于相应另一加密模块是已知的。

在这里尤其是通过加密模块的本发明装置在控制设备和数据处理设备中确保数据安全性。以此方式可以毫无问题地运行数据处理设备，并可以因此在该数据处理设备上执行数据建立和改变。仅暂时地，也就是尤其是在传输数据或至少一个新的数据记录的时刻，将该数据处理设备与控制设备相连接。因此可以特别灵活地采用如此构成的系统。经由所提及的替代方法，可以简单地、也在没有直接连接的情况下来传输数据。为了本发明系统的进一步的灵活化规定，控制设备具有第二输入装置，或访问这种装置。

以此方式可以与在数据处理设备上的第一输入装置无关地，经由在控制设备上的第二输入装置进行附加的安全性询问或确认。

由从属权利要求中可得出本发明主题的其它有利的扩展方案。

借助附图中所示出的实施例将详细阐述和说明本发明、本发明的有利扩展方案和改进方案、以及本发明的特别的优点。

图1展示了用于建立或改变安全相关数据的方法的方法流程，

图2展示了用来执行用于建立或改变安全相关数据的方法的系统和，

图3展示了用来执行用于在控制设备中激活安全相关数据的方法的系统。

图1展示了用于在控制设备中建立或改变安全相关数据的本发明方法的方法流程100，所述控制设备在所选择的实例中被装入到机器人控制装置中。在本实例中，本发明方法还被装备为在通用数据处理设备上所实施的程序产品，其中以下将详细阐述方法步骤。

在第一步骤1中启动本方法，例如其方式是在如通用PC的标准计算机上启动相应的配置程序。在所选择的实例中，为了对本方法的访问控制，首先通过第二步骤2询问用于使用本方法的访问权。在第三步骤3中，使用户现在面临以下的选择：建立数据的新配置，或在已有的配置上继续工作。按照本发明方法的扩展方案而定，在第四步骤4中，借助诸如交互辅助、图形支持、表格概况、流程图或其它信息之类的关于机器人控制调定、关于迄今的工作流程的附加功能或借助类似物来支持用户。

还证明为有益的是，在第五步骤5中，必要时也与最初的配置数据相比较，显示在工作中的相应的当前配置数据。以此方式可以特别容易地识别每一改变，并且还显示出已经输入或改变了哪些数据。本方法现在一直保持在第四步骤4和第五步骤5中，直至完全地实现了数据输入。一旦是这种情况，例如通过相应地确认是否完全地输入了数据的询问，则在第六步骤6中用随机发生器生成随机的释放代码，并利用适当的方法对该释放代码进行加密，并从而对于人员是不可读的。这种加密和可能性一般是公知的，同样利用这些所谓的PIN代码(个人识别号码(Personal Identification Number))的工作是公知的。作为加密方法，仅在这里示范性地提及对称的加密或不对称的加密。所述的加密在此也对于安全相关数据仅是一种选项。如果仅将所述一个校验和或多个校验和进行加密，则是完全足够的。

在此确保，既由通用计算机也由控制设备知晓加密方法，以便后者可以重新对释放代码进行解密，然而未授权者不能从数据记录中读出释放代码。现在将配置数据作为数据记录存储在标准计算机的主存储器上。在第七步骤7中，现在形成关于数据记录的校验和，并同样存储在数据记录中。只在标准PC和控制设备上公知如何准确形成第一校验和的方法。该方法步骤也提高了针对例如由于有差错的传输、由于有差错的存储、或在数据处理设备中可能出现的类似差错所引起的可能有差错的配置数据传输的安全性，但是也提高了针对由未授权人员手动操纵数据的安全性。在第八步骤8中，将完整的配置文件、也就是配置数据、释放代码和第一校验和作为文件存储在标准PC的固定盘或其它持久的存储器上。

该数据记录现在基本上提供由控制设备所需要的所有信息。然而为了进一步提高安全性，在第九步骤9中，请求已促使改变安全相关数据的该用户来检验所存储的数据，而且用以下的方式，即读取存储在固定盘或类似物上的数据记录，并在显示装置上、例如借助相应的显示软件在显示屏或类似物上来显示。附加于或替代于显示，也可以在相应的打印装置上打印输出数据。打印输出现在具有以下的任务，将数据与在步骤5中所显示的数据进行比较，其中，表示形式在步骤5和步骤9中不同。在步骤10中由所述的用户实现该比较，该用户现在对于存储在数据记录中的所有数据来检验所有的改变是否符合所希望的。如果用户发现差错，则根据第十一步骤11的方法返转到在前的方法步骤中，该在前的方法步骤能够修正所发现的差错，输入新的或改变的安全相关数据，并按照先前所做的步骤进行加密，并让如此运行本方法，使得最终重新达到第十一步骤11。在第十二步骤12中将此通知给用户。尤其是向用户通知关于在安全相关数据中所出现的差别、关于配置数据被标记为有差错的、和关于配置数据不能被用于控制设备，而是只能经由相应的其它方法步骤如上述那样被继续处理。

只有在没有发现差别、也就是没有出现有差错的配置数据的情况下，才在第十三步骤13中形成第二校验和，并将该第二校验和同样存储在数据记录中，使得在数据记录本身中可以看出，已由用户进行了数据检验。

第一步骤1到第十三步骤13的方法步骤基本上能够实现安全相关数据的所谓“离线”处理，也就是建立安全相关数据的被改变的数据记录(Datensatz)，而不必将为此所使用的标准PC连接到控制设备上。其中存在本发明方法的主要优点，也就是可以与地点和时间无关地执行数据记录改变。同样通过多个检查和访问保护机制充分保障已改变的数据记录的安全和保护以防止无意的损坏、非有意的误输入、或还有为了使安全监控失效或改变的蓄意操纵。以此方式所建立的数据文件可以毫无问题地向一个或多个控制设备传输，所述控制设备将所述的数据文件识别为经检验的和可靠的数据。以下将详细阐述数据记录的安全相关数据现在如何详细地到达机器人控制装置和应如何检验所述安全相关数据。

在第十四步骤14中，现在将数据记录从PC传输到机器人控制装置上。在此不重要的是，数据是否直接从固定盘或相应的介质传输到控制设备上，或例如经由将标准PC与控制设备相连接的网络连接、或经由便携式数据载体、或经由作为中间连接的数据代理(Datenbroker)起作用的其它控制计算机。在第十五步骤15中控制设备首先确定，所收到的配置数据是否是新的，也即是否是对迄今已知的数据的改变，或是否事先在控制装置中已使用了所收到的数据。可以以不同的一般公知的方式实现该检验。但是适合于在采用校验和时恰好将所述校验和用于检验所收到的配置数据。为此将配置文件中的所收到的校验和与在持久存储器(存储卡，固定盘，软盘或类似物)中所含有的已知校验和进行比较。也可以采用本身一般公知的所谓散列代码(Hash-Code)来代替校验和，或也可以执行数据的完全的比较。

在检测到新的配置数据的情况下，在第十六步骤16中通过相应的“界面(interface)”、例如在手持操作设备上或在操作终端上的显示装置来询问用户，是否应在机器人控制装置中激活所收到的新的配置数据。对于这样的确认，尤其合宜的是询问激活代码，尤其是可以为此采用在第六步骤6中所建立的所述加密的激活代码。也可以设想，附加地采用另一个性化代码，所述另一个性化代码将进行输入的用户标记为被授权的用户。于是向控制设备传送所输入的激活代码。在第十七步骤17中，由控制设备对配置文件的相应代码进行解密。最后在第十八步骤18中，通过控制设备将来自第十六步骤16的由用户所输入的代码与来自配置文件的代码进行比较或检验，并通过一致性或相应的另外的授权检查来确定，是否存在激活文件的权利(这在第十九步骤19中实现)。如果在第十九步骤19中确定，代码的比较导致未授权，则本发明方法则在第二十一步骤21中确定，不激活和相应地拒绝配置文件。

在替代的方法中，可以取消通过控制设备对代码的解密，并替代于此地，利用相同的方法将由操作员所输入的代码进行加密，使得借助加密的代码实现对一致性的检查。这能够实现仅在一个方向起作用的加密方法的采用。

在另一情况下、也就是在第十九步骤19中确定出存在用于激活配置文件的授权，则在释放步骤20a中，将新的配置存储在控制设备的持久存储器中，并在激活步骤20b中激活控制设备中的新的配置，使得控制设备可以按照新的配置数据来工作。

还要注意的是，如果在第十五步骤15中确定出配置文件的转录不含有新的数据，则直接转到激活步骤20b。本发明方法此外不局限于存储器可编程的控制装置，而是也可以用于在对于数据安全提出特别要求的机器人控制装置或监控设备上来转录安全相关数据。

图2展示了用于执行先前所述的本发明方法的系统，该方法用来改变控制设备的安全相关数据，其中，在示范性所示出的系统布置上实施第一步骤1至第十三步骤13的方法步骤。为此设置第一输入装置23，用户26通过该第一输入装置23输入安全相关数据的所希望的改变。经由第一显示装置25、例如图形信号机、显示屏或其它显示装置来示出或显示用户26从第一系统110所收到的信息。第一输入装置23与通用计算机22相连接，在所选择的实例中，以计算机程序产品形式在所述通用计算机22上实现本发明方法。为了执行第八步骤8，通用计算机22具有固定盘24，在所述固定盘上存储配置文件。替代于或冗余于固定盘24，也在本发明思想之内的是，可以采用另外的固定存储器单元、诸如存储卡(例如SD格式)、或对于技术人员以多种多样方式公知的另外的持久存储设备或装置。在系统110中还展示了其它的设备，用于执行检查方法步骤(例如用于根据第九步骤9从固定盘24中读出配置数据)。因此在所选择的实例中，既由打印装置、例如打印机、绘图机来打印所读出的配置数据，也打印到打印文件中，并且还通过相应的计算机程序在显示装置25上显示给用户26。

图3展示了第二系统120，在该第二系统120中又示出了第一系统110的不同的元件，即第一输入装置23、固定盘24和通用计算机22。但是第二系统120还展示了其它系统元件，所述其它系统元件于是必要时在与来自图2中的其它元件一起能够实现如在图中所示的所有方法步骤的执行。这在以下详细阐述。因此在根据第二系统120的所选择的实例中，经由没有详细示出的计算机网络从通用计算机22将配置数据传输到必须满足某些安全要求的控制设备27(安全设定的控制器(safety rated controller))。为了安全询问，将控制设备27与第二输入装置29相连接，该第二输入装置29通过用户26例如使用于根据第十六步骤16来输入激活代码。控制设备也具有持久存储装置28，例如“闪存盘“、硬盘或另外的持久存储介质。

但是，第一系统110以及第二系统120只是本发明系统布置或本发明系统扩展方案的实例，因此毫无问题地可以设想，仅将通用PC 22持续地通过网络与控制设备27相连接。但是也可以仅暂时地、也就是当例如根据第十四步骤14实现数据传输时存在该连接。但是也可以设想，通用PC 22是便携式PC(膝上型计算机)，并且不经过缆线、而是例如也经过无线电(蓝牙，红外线等等)来实现网络连接或数据传输，或不是直接传输、而是借助便携式存储介质(例如存储卡，USB棒，软盘)来实现传输。

此外，也可以毫无问题地设想，并且在本发明思想之内的是，将被改变的安全相关数据存储在通用计算机22中的相应存储设备中，或也存储在独立的存储设备中，或也存储在控制设备27的存储设备中，其中，在后者的情况下，在通用计算机22和控制设备27的存储设备之间存在数据连接。利用本发明方法和系统，也可以毫无问题地实现其它计算机或网络(万维网(World Wide Web)，内联网，本地网或工作网)的中间连接。以此方式也确保，只利用一个配置数据记录，给一个、多个或许多控制设备供应配置数据。

最终还要注意，也可以如下来扩展或应用本系统和本发明方法，使得将所述的系统组件、尤其是控制设备27、第二输入装置23以及存储装置28仅实现为仿真程序的虚拟组件，并因此例如在用于测试目的的所有变型方案中，在唯一的标准PC上运行和实现本发明方法。

参考符号清单

1   第一步骤

2   第二步骤

3   第三步骤

4   第四步骤

5   第五步骤

6   第六步骤

7   第七步骤

8   第八步骤

9   第九步骤

10  第十步骤

11  第十一步骤

12  第十二步骤

13  第十三步骤

14  第十四步骤

15  第十五步骤

16  第十六步骤

17  第十七步骤

18  第十八步骤

19  第十九步骤

20a 释放步骤

20b 激活步骤

21  第二十一步骤

22  通用计算机

23  第一输入装置

24  固定盘

25  显示装置

26  用户

27  控制设备

28  持久存储装置

29  第二输入装置

100 方法流程

110 第一系统

120 第二系统

Claims (19)

1.用于改变控制设备的安全相关数据的方法具有以下的步骤：

-在数据处理设备上建立或改变安全相关数据，

-形成关于安全相关数据的第一校验和，

-在数据处理设备上在至少一个数据记录中存储安全相关数据和第一校验和，

-从数据处理设备的存储器中回读安全相关数据，

-示出所回读的数据，

-检验所建立或改变的数据与所回读的数据的一致性，以及

-形成第二校验和，并在所述至少一个数据记录中存储所述第二校验和。

2.用于改变控制设备中的安全相关数据的方法，具有在权利要求1中所述的步骤，其中，

-在至少一个数据记录中存储释放代码，其中在生成第一校验和之前，由代码发生器生成所述释放代码并通过密钥模块进行加密，其中

-将具有安全相关数据、加密的释放代码、第一和第二校验和的至少一个数据记录作为至少一个新的数据记录传输到控制设备中，和其中，

-在控制设备中激活所述至少一个新的数据记录之前，由控制设备检验所述至少一个新的数据记录。

3.按照权利要求2的方法，其特征在于，对所述至少一个新的数据记录的检验，是关于所述至少一个新的数据记录含有改变的数据，或/和所述一个校验和或多个校验和与控制设备已知的校验和相比较是已知的检验。

4.按照以上权利要求之一的方法，其特征在于，在激活所述至少一个新的数据记录之前，执行释放方法，优选通过事先由数据处理设备自动生成的代码来执行释放。

5.按照权利要求4的方法，其特征在于，在释放方法中，将在控制设备和输入设备之间所交换的授权数据进行加密。

6.按照以上权利要求之一的方法，其特征在于，将安全相关数据进行加密。

7.按照以上权利要求之一的方法，其特征在于，由随机发生器生成加密方法用的密钥。

8.按照以上权利要求之一的方法，其特征在于，在许可改变安全相关数据之前，询问授权。

9.按照以上权利要求之一的方法，其特征在于，在显示装置上至少部分地显示当前的安全相关数据。

10.按照以上权利要求之一的方法，其特征在于，将方法步骤至少部分地作为程序产品来实施。

11.按照以上权利要求之一的方法，其特征在于，所解密的数据由打印装置打印输出，或/和由第一程序产品采集和必要时存储。

12.按照以上权利要求之一的方法，其特征在于，利用第二程序产品执行数据的采集或改变。

13.按照以上权利要求之一的方法，其特征在于，利用第三程序产品或通过输出设备来示出所回读的数据。

14.按照以上权利要求之一的方法，其特征在于，至少部分地在通用数据处理设备上实施方法步骤。

15.用于执行上述方法之一的系统，该方法用于利用数据处理设备来改变控制设备的安全相关数据，所述数据处理设备具有用于建立或改变数据的第一输入装置和第一加密模块，其中，所述数据处理设备至少暂时地与控制设备相连接，其中，所述数据处理设备具有第二加密模块，和其中第一和第二加密模块的加密方法对于相应另一加密模块是已知的。

16.按照权利要求15的系统，其特征在于，所述控制设备具有第二输入设备，或访问第二输入设备。

17.按照权利要求15或16的系统，其特征在于，系统控制与过程控制共同作用。

18.按照权利要求15至17之一的系统，其特征在于，通过便携式存储器能够实现数据传输。

19.按照权利要求15至18之一的系统，其中，通过其它的计算机或其它的控制单元暂存数据，并在需要时或按照请求能够向至少一个控制设备传输。

Images