CN101994648A - 用于对于风能设施的设施控制系统访问控制的方法和设备 - Google Patents

Abstract

本发明涉及用于对于风能设施的设施控制系统访问控制的方法和设备。本发明涉及一种用于对于风能设施(10)的设施控制系统(20)的访问控制的方法，并且涉及一种被设计成执行根据本发明的方法的风能设施(10)。在根据本发明的方法中，在能够被与特定用户名相关联的口令中编码对于风能设施(10)的设施控制系统(20)的访问授权。在允许用户访问设施控制系统(20)之前，请求用户名和口令，并且然后基于同样地在口令中编码的检查信息检查已被请求的用户名和已被请求的口令的关联性。然后关于在口令中编码的授权是足以允许在总体上访问设施控制系统(20)还是访问设施控制系统(20)的个体功能(30)作出决定。

Description

用于对于风能设施的设施控制系统访问控制的方法和设备

技术领域

本发明涉及一种用于对于风能设施的设施控制系统访问控制的方法，并且涉及一种被设计成执行根据本发明的方法的风能设施。

背景技术

风能设施的各个构件是由设施控制系统控制的。该设施控制系统在此情形中通常具有能够在交付使用之前和在风能设施操作期间配置的计算机单元的形式。因此在风能设施的全部寿命期间，它能够总是被与涉及风能设施的最佳操作的最新知识匹配。进而，该设施控制系统提供涉及风能设施的操作的信息。

为了防止任何给定的第三方能够配置风能设施的设施控制系统，对于设施控制系统的访问通常受到用户名和口令的组合保护。为此目的，在现有技术中，在设施控制系统中存储形式为用户数据库的口令列表，包含对于访问授权的用户名和口令。

因为应该为每一个访问授权用户在设施控制系统中存储个体数据记录，根据现有技术，只要个体用户的访问授权改变，用户数据库便应该得到更新。然而，特别地在未被连接到远程数据传输网络的那些风能设施的情形中，这并不总是以即时的方式可能的。在将被新添加的用户被准许访问这个风能设施的设施控制系统之前，该用户必须等待，直至用于风能设施的设施控制系统用户数据库已经更新。利用这种现有技术，可能临时通知的访问授权是不可能的。

在现有技术中还已知为风能设施使用普通口令。在此情形中，对于来自一个制造商的所有风能设施，在用户组即具有特定访问授权的组中的所有的用户被分配公共(普通)的用户名和公共(普通)的口令。这具有以下缺点，即，如果访问数据变得在用户组外部是已知的，则这允许第三方对于设施控制系统进行不受阻碍的的访问。因此，由于安全性原因，当知道访问数据的职员离开时，普通用户名和普通口令应该改变，并且具有访问授权的所有用户应该迅速地得到通知。这涉及庞大数量的管理努力，并且涉及显著的安全性隐患。

发明内容

本发明是基于以下目的，即，提供一种用于对于风能设施的设施控制系统访问控制的方法，该方法并不具有在现有技术中已知的缺点，或者仅仅在更低的程度上具有所述缺点。本发明进一步的目的在于提供一种用于执行根据本发明的方法的风能设施。

针对起初述及的现有技术背景，利用根据主要权利要求的方法并且利用根据另一独立权利要求的风能设施实现了这个目的。从属权利要求给出有利的实施例。

本发明据此涉及一种用于对于风能设施的设施控制系统访问控制的方法，包括以下步骤：

a)请求用户名和口令，其中授权和检查信息是在口令中编码的；

b)从已被请求的口令解码授权和检查信息；

c)基于经解码的检查信息检查已被请求的用户名；

如果基于经解码的检查信息对已被请求的用户名的检查具有肯定结果，则

d)检查经解码的授权；

当经解码的授权是充分的时，则

e)允许访问风能设施的设施控制系统。

步骤c)和d)还能够被互换。

本发明还涉及一种包括设施控制系统和被连接到该设施控制系统的解码单元的风能设施，其中该设施控制系统和/或该解码单元被设计成请求用户名和带有在其中编码的授权和检查信息的口令，并且该解码单元被设计成从已被请求的口令解码经编码的授权和检查信息，以基于经解码的检查信息检查已被请求的用户名并且根据基于经解码的检查信息和经解码的授权对已被请求的用户名的检查的结果而允许访问设施控制系统。

根据本发明的方法使得仅仅通过分派经特定编码的口令便控制各个用户对于风能设施的设施控制系统的访问成为可能。对于其中存储了得到访问授权的所有用户名和相关联的口令的、用于风能设施的数据库不再存在任何需要。这完全避免了用于利用涉及访问授权的肯定列表更新这种数据库的努力。进而，用户被准许在他的授权范围内立即地访问风能设施。

该检查信息涉及以足够的可能性证实在已被请求的用户名和已被请求的口令之间的关联性的信息。在它的经解码的形式中，在口令中编码的检查信息可以是已被请求的用户名的复制品。经解码的检查信息能够容易地被与用户名相比较从而决定已被请求的口令是否属于已被请求的用户名。然而，例如，该检查信息还可以是用户名的校验和。使得在口令中编码的授权借助于用户名而被电子签名是同样地可能的。该签名然后能够作为口令中的检查信息而被编码，并且能够使用已被请求的用户名而被检查。使得在口令中编码的授权借助于用户名而被电子加密也是可能的。该检查信息然后可以是使得检查授权的正确解密成为可能的信息。

优选的是，使得向设施控制系统的各个功能分配了授权要求，并且当选择设施控制系统的功能时，使得经解码的授权针对用于这个功能的授权要求而被检查。“设施控制系统的功能”包括例如用于发电机、转换器、节距(pitch)控制器等的、能够在设施控制系统内实现的各个设置和配置选项。然而，所述功能还包括为用户提供关于整个风能设施的或者风能设施的各个构件的操作状态的信息的纯信息功能。

基于功能的访问控制分解是通过针对用于设施控制系统的各个功能的授权要求在个案基础上检查经解码的授权而实现的。这因此使得不仅经由用户名和口令以普通形式保护对于风能设施中的设施控制系统的访问而且还分开地允许访问风能设施的各个功能成为可能。

所述授权优选地包括用户组、用户等级、风能设施访问种类和/或有效期。

例如，用户组涉及关于用户所属组织的信息。第一用户组能够因此被分配给风能设施的制造商的职员，而第二用户组被分配给风能设施的各个构件的制造商的职员。第三用户组能够被提供给风能设施的运营商的职员，而第四用户组被提供给维护公司的职员。

用户等级能够示出用户在用户组内的地位。例如，能够向有经验的技术项目经理分派允许对于设施控制系统的全面访问的用户等级。向经验较少的职员分派仅仅包括低级访问权的等级。能够例如向制造商的非技术职员分派其中能够改变风能设施的设施控制系统的配置的全部功能被阻止并且仅仅允许访问例如信息功能的授权等级。

风能设施访问种类使得保证用户仅仅被准许访问他们所熟悉的或者在他们的影响区域中的那些设施的设施控制系统成为可能。风能设施访问种类能够被用于保证例如风能设施运营商的职员仅仅被准许访问他们自身的风能设施的设施控制系统，而不被准许访问竞争者的那些。与他们的访问种类关联性无关地，能够提供允许访问所有风能设施的普通风能设施访问种类。普通风能设施访问种类例如这样一种能够被用于风能设施的制造商的职员。

用户组、用户等级和风能设施访问种类能够因此被用于准许在风能设施制造商的维护部门中的、有经验的用户全面地访问设施控制系统，而用于风能设施的特定构件的专家仅仅被准许访问调节这个特定构件的能力。例如，风能设施的运营商的职员可以被排他性地准许对于它们自身的风能设施的操作所需要的而非用于这些风能设施的基础配置所需要的功能的访问权。必须仅仅监视风能设施的正确操作并且当故障发生时应该通知运营商和/或制造商的维护公司的职员仅仅被准许涉及请求信息而非涉及设施控制系统的配置的访问权。

有效期能够被用于确定口令何时不再是有效的。有效期优选地被形成为始于特定关键日期的有效性周期，优选地以天或者月规定有效性周期。提供这个有效期保证了口令应该被规律地更新，因此降低或者至少暂时地限制已经知晓口令的第三方的非授权访问的可能性。进而，在前授权的用户最迟当他们的口令的有效性周期过期时失去全部访问授权，除非为他们产生新的口令。例如，这使得防止制造商的前职员仍然可以访问由制造商安设的风能设施的设施控制系统成为可能。与本身为已知的并且要求中央时控监视文件的“口令时效(password ageing)”相反，根据本发明的口令在其中以不能拭除的方式载有它的有效期。这不仅实现了自治性，而且还改进了操控安全性。

进而优选的是，使得所提供的授权、将在口令中编码的用户名和/或口令自身在编码期间或者在编码之后被加密，并且在解码之前或者在解码期间被解密。这使得进一步增强口令的和用户名和口令组合的安全性程度成为可能。适当的加密使得更加难以关于实际编码方法得出结论。对称或者非对称的加密方法能够被用于这种加密和解密，其中加密过程是基于可自由选择的密钥执行的。如果第一密钥被用于对第一用户组的口令的和/或将被编码的用户名的已提供的授权的加密和/或解密，并且第二密钥被用于第二用户组，则是优选的。因为第三方不能从用户名或者口令看出与用户名相关联的用户所属的用户组，所以他也不能够获得关于已经为此目的使用了哪一种加密或者解密方法和哪一个密钥的任何信息。得出涉及所用编码方法的结论的能力被进一步降低，因此改进了安全性。

针对被阻止用户名的列表检查输入的和/或解码的用户名并且如果在具有被阻止用户名的列表上发现了输入的和/或解码的用户名则拒绝访问设施控制系统是可能的。为设施控制系统提供列表例如这个列表使得仍然拒绝在口令中编码的、其有效性持续时间尚未过期的用户访问风能设施的设施控制系统成为可能。如果用户具有不受限制的有效性时期的口令或者有效性周期应该基本上不在口令中解码，则这是一种可能的方式来拒绝个体用户访问风能设施的设施控制系统而不必对于所有用户改变口令的编码或者加密。

优选的是，使得口令由与设施控制系统分开的编码单元产生。利用与风能设施及其设施控制系统分开地实现的、用于在口令中编码用户名和授权的编码单元降低了操控的风险。仅仅解码仍然在风能设施处执行，这并不允许根据所用编码方法而得出关于实际编码的任何结论或者仅仅微小的结论。

将在下文中通过实例描述用于编码授权并且检查设于口令中的信息的一种编码和解码方法。

为每一个用户提供的授权，作为用户组、用户等级、风能设施访问种类和有效期具有数值形式。用于用户组的数值可以在从0到15的范围中，用于用户等级的数值可以在从0到31的范围中，并且用于风能设施访问种类的数值可以在从0到4095的范围中。有效期被形成为从基础日期起的月数，并且能够采取从1到600(相应于50年)的数值范围。有效期还能够被形成为从基础日期起的天数，在此情形中，能够相应更高地选择数值范围，例如从1到17800。

所提供的涉及授权的全部信息被编码成整数K。如果g是将以16个可能数值编码的用户组，l是将以32个可能数值编码的用户等级，d是在该实例中以600个可能数值以月编码的有效性日期并且z是将以4096个数值编码的风能设施访问种类，则能够如下地确定整数K：

K＝g+16×l+16×32×d+16×32×601×z。

例如，初始数值g＝4、l＝10、d＝3、z＝200给出整数：

K＝61544100。

以二进制计数，这个数字如下：

K(二进制(bin))＝11101010110001011010100100。

整数K涉及将在以后产生的口令中的有用数据。

为了保护口令免于操控，消息认证码(MAC)得以计算，并且被附于以二进制计数的整数K。为此目的，可自由选择的用户名-同样地以二进制计数-被以二进制计数附于整数K，并且借助于预定密钥，这被用于计算MAC：

K(二进制)＝11101010110001011010100100

用户名(二进制)＝111111110011111111

MAC(11101010110001011010100100 111111110011111111)＝

1101011010010101001010101111010100100101010100010101111111101010010101111110010101010010101010010101001010100101000101001010101。

MAC的初始部分-在此情形中前面的24位-被附于整数K，从而给出组合数字P：

P＝11101010110001011010100100 110101101001010100101010。

以二进制计数的数字P能够被用于检查数字P是否属于已被请求的用户名。为此目的，再一次从组合数字P的第一部分、更确切地来说是有用数据和数字K以及已被请求的用户名计算MAC，并且新计算的MAC的前面的24位被与在组合数字P中存储的MAC相比较。如果新计算的MAC匹配在组合数字中存储的MAC，则这保证了用户名和口令以及在其中包含的授权是相关联的。

为了保证不可能从口令看出它包含什么样的有用数据，组合数字P的有用数据部分被加密。使用另外的密钥、用户名的二进制编码和以上计算的MAC而被初始化的流密码法例如RC4能够被用于这个目的。这个步骤以二进制编码形式产生具有在其中编码的检查信息和授权的安全口令。

通过转换成字母字符，能够以二进制编码形式从以此方式产生的口令产生用于用户的简化口令，并且还能够经由键盘容易地输入这个简化口令。例如，将口令的二进制编码转换成使用数字0到9和字母a到z的字符序列是可能的。在此情形中，省去特定字母例如字母“l”是可能的。这针对其中只是连续地自动尝试所有可能的口令的、所谓的“强制”攻击提供了额外的安全性，因为带有被阻止字母的所有的口令尝试自身被暴露为非授权的访问企图。进而，这使得减轻在特定符号之间例如在字母“l”和数字“1”之间混淆的风险成为可能。

为了抵消忘记或者不正确地输入口令的风险，还能够向每一个用户分派电子合法认定介质，例如签名卡片或者在其中存储有口令的USB棒。为了简化认证过程，然后由这个合法认定介质检查口令。为了实现针对窃取合法认定介质的保护，对于这种类型的合法认定有利的是，除了口令请求之外，还在如下情形中进行这种类型的合法认定，在此情形中，口令能够更短并且进一步的信息例如访问种类能够由合法认定介质提出。

解码单元以相反的顺序执行以上动作从而解码口令并且从而检查与已被请求的用户名的关联性。首先，口令被转换成其相应的二进制计数形式，并且有用数据得以解密。然后从有用数据和输入的用户名计算MAC，并且如上所述该MAC被与在组合数字中包含的MAC相比较。如果它们匹配，则访问权被从有用数据解码。

如果在设施控制系统中存储得到访问授权的用户应该具有的风能设施访问种类，则仅仅在已经在存储于风能设施处的风能设施访问种类和从口令解码的访问种类之间发现匹配之后才允许访问设施控制系统。进而，在设施控制系统中为每一个功能存储哪一个用户组预期以什么样的用户等级访问设施控制系统的个体功能是可能的。同样地执行检查以确定口令是否已经过期。这是通过确定从基础日期到当前日期的月数并且比较这个月数与在有用数据中包含的有效期而得以实现的。除非来自口令的授权满足全部前提，用户将不被准许访问设施控制系统或者访问设施控制系统的特定功能。

显然根据本发明的方法不仅适用于在不使用中央服务器的情况下对于风能设施的自主访问控制，而且可替代地或者另外地还能够使用中央用户数据库而得以执行。进而，有利的是，检查到中央用户数据库的功能连接的存在，并且如果存在，则可替代地或者另外地基于中央用户数据库执行用户名和/或授权的检查。这允许利用中央数据库将访问控制关联到自主系统的操作安全性的优点。

根据本发明的风能设施适合于执行根据本发明的方法。因此对于以上解释进行参考。

附图说明

现在将使用有利的实施例并且参考附图而通过实例描述本发明，其中：

图1示出根据本发明的方法的流程图；

图2示出用于执行根据本发明的方法的、根据本发明的风能设施；并且

图3示出带有用于风能设施的设施控制系统的各个功能的授权要求的数据库的概略示意。

具体实施方式

图1示出根据本发明的方法的流程图。

在步骤100中，在准许访问风能设施10的设施控制系统20(参考图2)之前，请求在其中有解码的检查信息和授权的用户名和口令。

在第二步骤101中执行检查以确定在具有被阻止用户名的列表中是否包含已被请求的用户名。如果是这种情形，则该方法终止，并且拒绝对于风能设施10的设施控制系统20的访问。

如果已被请求的用户名不在具有被阻止用户名的列表中，则执行检查-在口令或者在其中包含的授权已被解密之后，如果有必要的话，在步骤102中-以确定已被请求的口令是否实际上属于已被请求的用户名。这是使用在口令中包含的检查信息而得以实现的。该检查信息可以是已经从在口令中编码的授权和从相关联用户名产生的签名。在步骤103中，然后从已从口令解码的授权和从已被请求的用户名形成签名，并且这个签名被与检查信息相比较。如果所形成的签名并不匹配检查信息(步骤104)，则该方法终止，并且拒绝对于风能设施10的设施控制系统20的访问。

如果在步骤104中的检查的结果是肯定的，则检查口令的有效性。在口令中编码为授权的有效期被用于检查口令的有效性。有效期代表始于特定的关键日期的月数，在所述月数内该口令是有效的。确定在当前日期和关键日期之间的月数(步骤105)，并且这个月数然后(步骤106)被与确定有效期的、源自口令的月数相比较。如果始于基础日期的当前月数大于在口令中存储的数目，则认为该口令已经过期，并且拒绝对于设施控制系统20的访问。

最终，在步骤107中执行检查以确定来自已被请求的口令的授权允许还是不允许访问设施控制系统20(步骤108)。在此情形中，总体上拒绝访问设施控制系统20或者仅仅拒绝访问设施控制系统20的个体功能是可能的。否则，允许进行访问(步骤109)。

为了将风能转换成电能，图2所示的风能设施10具有被附接到容器(pod)12的转子13，容器12安装在塔架11上从而它能够旋转，并且转子13驱动异步发电机14。经由转换器15和变压器16转换由发电机14产生的电力从而它能够被馈送到高压或者中压电网17中。所述转换是特别地关于电压振幅、频移和相移执行的。

为了控制风能设施10，设施控制系统20得以提供，并且经由这里未被示出的控制线路而被连接到风能设施的各个构件。经由设施控制系统20控制风能设施的各个构件。

设施控制系统20具有多个功能，利用所述功能，能够进行设置从而控制风能设施10。这些功能还包括只是产生涉及风能设施的操作状态的信息并且对于风能设施10的控制没有直接影响的那些功能。

该设施控制系统被连接到解码单元21和终端22，用户能够经由终端22进行输入。终端22经由可选连接(由短划线示出)而被连接到互联网23并且经由互联网23而被连接到中央服务器24。

在准许用户访问设施控制系统20的各个功能之前，经由终端向他询问用户名和口令。授权和检查信息是在口令中编码的。经编码的授权涉及用户组、用户等级、风能设施访问种类和口令的有效期。

在用户名和口令已被输入之后，解码单元21首先检查在这两个输入之间的关联性。在这个过程期间，执行检查以确定在口令中编码的检查信息是否匹配已被请求的用户名。这还能够例如通过利用用户名对于在口令中编码的授权签名而得以实现，在此情形中，检查信息代表签名，并且使用已被请求的用户名检查签名。

替代签名地，还能够执行加密。使得口令和/或授权被签名和/或加密是可能的。

如果已被请求的用户名和口令的关联性检查的结果是肯定的，则从口令解码所提供的授权。在设施控制系统中为设施控制系统20的每一个功能存储访问授权，被细分成读访问和写访问。在图3中草绘了相应的数据库。

对于设施控制系统20的每一个功能30，就哪一个用户组35、用户等级36、风能设施访问种类37应该具有用户的授权从而准许用户读访问31和/或写访问32作出决定。为此目的，对于读访问31和对于写访问32为每一个功能30存储了上述参数35-37的相应的数值范围。仅当来自用户口令的授权满足涉及用户组35、用户等级36和风能设施访问种类37的全部前提时，用户才被准许访问读访问31和/或写访问32的各个功能。

是否最终准许他进行访问还依赖于他的口令是否仍然是有效的。在口令中编码的有效期被用于检查口令的有效性。有效期代表始于特定的关键日期的月数，在所述月数期间该口令是有效的。解码单元21确定在当前日期和关键日期之间的月数，并且比较这个月数与定义有效期的、源自口令的月数。如果始于基础日期的当前月数大于在口令中存储的数目，则认为该口令已经过期，并且拒绝进行访问。

如果经由互联网23存在主动性连接，则能够部分地或者完全地通过访问中央服务器24执行在访问控制期间的上述检查。在构件可靠性和失效方面，中央访问管理的优点因此能够被与自主控制的优点相关联。

Claims (13)

1.一种用于对于风能设施(10)的设施控制系统(20)访问控制的方法，包括以下步骤：

a)请求用户名和口令，其中授权和检查信息是在口令中编码的；

b)从已被请求的口令解码所述授权和检查信息；

c)基于经解码的检查信息检查所述已被请求的用户名；

如果基于所述经解码的检查信息对所述已被请求的用户名的检查具有肯定结果，则

d)检查经解码的授权；

当所述经解码的授权是充分的时，则

e)允许访问风能设施(10)的设施控制系统(20)。

2.根据权利要求1的方法，其中向所述设施控制系统的每一个功能分配了授权要求，并且当选择设施控制系统(20)的功能(30)时，针对用于这个功能(30)的授权要求检查所述经解码的授权。

3.根据权利要求1或者2的方法，其中所述授权包括用户组(35)、用户等级(36)、风能设施访问种类(37)和/或有效期。

4.根据权利要求3的方法，其中所述有效期被形成为始于关键日期的有效性周期，优选地以天或者月形成所述有效性周期。

5.根据前面权利要求之一的方法，其中所述授权和/或所述口令在编码期间或者在编码之后被加密并且在解码之前或者在解码期间被解密。

6.根据权利要求5的方法，其中为加密和解密使用对称或者非对称加密方法。

7.根据权利要求5或者6的方法，其中第一密钥被用于对第一用户组的口令的和/或已提供的授权的加密和/或解密，并且第二密钥或者第二加密方法被用于第二用户组。

8.根据前面权利要求之一的方法，其中如果在具有被阻止用户名的列表上发现了已被请求的用户名，则拒绝访问设施控制系统(20)。

9.根据前面权利要求之一的方法，其中利用与设施控制系统(20)分开的编码单元产生所述口令。

10.根据前面权利要求之一的方法，其中所述口令的至少一个部分由用户分派的合法认定介质、特别是签名卡片或者USB棒请求。

11.根据前面权利要求之一的方法，其中检查到中央用户数据库(24)的功能连接(23)的存在，并且如果存在，则可替代地或者另外地基于中央用户数据库(24)执行用户名和/或授权的检查。

12.一种风能设施，包括设施控制系统(20)和被连接到设施控制系统(20)的解码单元(21)，其中设施控制系统(20)和/或解码单元(21)被设计成请求用户名和在其中编码有授权和检查信息的口令，并且解码单元(21)被设计成从已被请求的口令解码经编码的授权和检查信息，以基于经解码的检查信息检查已被请求的用户名并且根据基于经解码的检查信息和经解码的授权对已被请求的用户名的检查的结果而允许访问设施控制系统(20)。

13.根据权利要求12的风能设施，其中所述设施被设计成执行根据权利要求2到11之一的方法。

Images