CN103163859B - 结合云计算的与安全相关的控制装置 - Google Patents

Abstract

本发明涉及一种控制装置（2），其以错误保护的方式分别从工业技术过程（1）中循环地接收输入信号（E）。在应用错误保护协议时，其经过连接到计算机网络（9）上的连接（8）将与安全相关的输入信号传输给机群（7）。在应用用于工业技术过程的错误保护协议时，该控制装置经过连接计算机网络上的连接由机群（7）接收特定的与安全相关的控制信号（S）。其借助附加信息（S′′；S′，I，I′；P）以错误保护的方式决定其是否认定由机群测定的为工业技术过程特定的与安全相关的控制信号正确。其根据决定结果，或相应于与安全相关的控制信号以错误保护的方式控制工业技术过程，或以错误保护的方式将工业技术过程转入安全状态中。

Description

结合云计算的与安全相关的控制装置

技术领域

本发明涉及的是一种用于工业技术过程的控制装置的运行方法。

本发明另外涉及了一种用于工业技术过程的控制装置的控制程序模块，其中，该控制程序模块包括机器码，该机器码可由控制装置的处理器装置直接处理，并且通过处理器装置执行其处理，从而使得控制装置实施这种运行方法。

本发明另外涉及了一种用于工业技术过程的控制装置，其中，该控制装置包括处理器装置，其中，利用这种控制程序模块对该控制装置进行编程，从而使得其在工作中基于对控制程序模块的机器码的处理，通过处理器装置实施这种运行方法。

背景技术

普遍公知了用于工业技术过程的控制装置的运行方法。这种运行方法经常-但并不仅仅-由可编程逻辑控制器来实施。根据本发明，可编程逻辑控制器也是一种典型的控制装置。

在现有技术中，该控制装置的运行方法通常以如下方式进行：

-控制装置由处理器接收输入信号。

-控制装置在应用输入信号(以及可能的其他控制装置内部状态，例如，计时器和记录器)时测定用于过程的特定的控制信号。

-控制装置相应于测定的控制信号来控制过程。

对于多种应用而言，这种方法便足够了。但仍存在许多与安全相关的应用。在与安全相关的应用中，个别-与错误位置无关-的错误不会导致工业技术过程陷入危险状态中。更确切地说，必须识别出该错误。在应对该错误时，过程必须转入安全状态中。根据本发明的危险状态是在其中存在财产或甚至人员损伤的危险状态。危险状态的一个实例是例如，紧急停机开关损坏。在这种情况下，可能例如，无法再借助紧急停机开关来触发紧急停机。安全状态是例如，不通电地接通设备。

为了实现这种错误保护性能，现有技术中采取了以下行为：

-控制装置以错误保护方式从过程中接收与安全相关的输入信号。

-控制装置以用于工业技术过程的错误保护方式测定特定的与安全相关的控制信号。

-控制装置(例如，基于控制装置的双信道构造)决定它是否将测定的与安全相关的控制信号认定为正确的。

-根据决定结果，控制装置或相应于与安全相关的控制信号以错误保护的方式控制工业技术过程，或以错误保护的方式将工业技术过程转换入到安全状态。

另外，联系“普通的”、与安全无关的控制过程已知的是，控制装置

-从过程中接收输入信号，

-将输入信号经过连接到计算机网络上的连接传输给计算机，

-经过连接到计算机网络上的连接从用于工业技术过程的计算机中接收特定的控制信号，以及

-相应于接收的控制信号控制工业技术过程。

主题云计算现在彻底改变了数据处理。应用者可察觉的效果尤其在于明显地减少了在数据处理的计算方面强化的任务时的答复时间。然而，在云计算范围内也注意以下问题，如，冗余、负载分配等并且通过相应的方案进行支持。但焦点仍集中在确保所期望的效率级(通过在不同的系统上分配负载)上。另外，根据各个运服务器的容错率或可用性来探讨安全性。希望还涉及了服务器专用的待机功能。

值得期望的是在与安全相关的控制过程的范围中同样应用云计算。为此必须通过错误保护协议将错误保护的输入信号传输给至少两个计算机，这两个计算机分别接收由各个的计算机测定的控制信号以及与各个其他计算机的控制信号相比的比较结果或相应的使能指令(Freigabe)。另外必须相应地检测所接收的控制信号。但这可能并不容易。因为在云计算的范围内，在机群的一个计算机上实现了-用户无法感知的-所期望的计算要求的虚拟映像。该映像对于用户而言是隐蔽的。由此可能无法确保在物理性分开的计算机上进行对控制信号的测定。更确切地说可能出现以下情况，即，在两个逻辑计算机上进行对控制信号的测定，这两个逻辑计算机物理上通过相同的计算机而实现。在这种情况下，错误可能出现在一个实现了两个逻辑计算机的物理计算机，可能无法再被识别出来，从而可能难以察觉地出现危险状况。

发明内容

本发明的目的在于实现一些可能性，借助这些可能性可以将云计算使用在与安全相关的应用中。

根据本发明提出，由此构造开头所述类型的运行方法，即控制装置循环地分别

-以错误保护的方式从工业技术过程中接收与安全相关的输入信号，

-在应用错误保护的协议时，经过连接到计算机网络上的连接将与安全相关的输入信号传输给机群，

-在应用用于工业技术过程的错误保护协议时，经过连接到计算机网络上的连接，由机群的接收特定的与安全相关的控制信号，

借助附加信息以错误保护的方式决定，控制装置是否将由机群测定的、为工业技术过程特定的与安全相关的控制信号认定为正确的，以及

根据决定结果，或相应于与安全相关的控制信号以错误保护的方式控制工业技术过程，或以错误保护的方式将工业技术过程转入安全状态中。

在应用错误保护协议时实现输入信号的传输，即可以在计算机侧识别出错误传输和信号错误或其他操作。机群因此可以在可能地相应地进行反应。例如，机群在这种情况下可以对控制装置提出重新传输输入信号的要求。可选地，机群可以-根据具体情况-这样测定控制信号，即将工业技术程序转入安全状态中。

在应用错误保护协议时实现控制信号的传输，即可以在控制装置侧识别出控制信号的错误传输和信号错误或其他操作。控制装置由此可以、可能地相应地进行反应。例如，控制装置在这种情况下可以向机群发送重新传输控制信号的要求，或将工业技术过程转入安全状态中。

基于附加信息的存在而做出决定。由此，附加信息使得控制装置能够决定，它是否能够将从机群测定的、为工业技术过程特定的与安全相关的控制信号认定为正确的。由此才能够实现过程链中之前所缺少的那个环节，即实现检验对控制信号的传输。

后者所提到的情况，即，控制装置自身测定附加信息的情况通常这样构造：

-控制装置自身在应用以错误保护的方式从工业技术过程中接收的与安全相关的输入信号时，测定了其他为工业技术过程特定的与安全相关的控制信号，

-附加信息包括由控制装置自身测定的其他与安全相关的控制信号，以及

-对从机群传输给控制装置的与安全相关的控制信号的正确性的验证包括：将传输给控制装置的与安全相关的控制信号与由控制装置自身测定的其他与安全相关的控制信号进行比较。

当机群以及控制装置均按规定工作时，那么由控制装置测定的其他控制信号与由机群测定的控制信号在内容上是相同的。还仅仅需要在控制装置侧对一致性进行安全的比较。其实现既容易又简单。

一旦经过计算机网络由机群提供控制装置的附加信息，那么便能够使得，例如：

-在应用错误保护协议时，控制装置经过连接到计算机网络上的连接由机群除了接收为工业技术过程特定的与安全相关的控制信号以外-尤其是与为工业技术过程特定的与安全相关的控制信号同时地-还接收明确识别机群的一条计算路径的签名，

-在应用错误保护协议时，控制装置经过连接到计算机网络上的连接再次将输入信号传输给机群，

-在应用错误保护协议的条件下，控制装置经过连接到计算机网络上的连接由机群接收了其他为工业技术过程特定的与安全相关的控制信号，以及除了其他为工业技术过程特定的与安全相关的控制信号以外-尤其是与其他为工业技术过程特定的与安全相关的控制信号一起-还接收了明确识别机群的另一条计算路径的其他签名，

-附加信息包括在机群上测定的其他与安全相关的控制信号以及计算路径的签名，以及

-对从机群传输给所述控制装置的与安全相关的控制信号的正确性的验证包括：将由机群接收的与安全相关的控制信号彼此比较并将由机群接收的签名彼此比较。

在这种情况下，通过签名的比较可以得知是否例如，由物理性不同的计算机和/或借助不同算法-关键词“codedprocessing”(编码处理)或“Programmierung”(多样化编程)-测定控制信号。控制信号自身的比较针对的可以是内容的一致性。

甚至能够在机群内部执行控制信号的比较并且将比较结果传输给控制装置。在这种情况下因此提出：

-在应用错误保护协议时，控制装置经过连接到计算机网络上的连接又一次将与安全相关的输入信号传输给机群，

-在应用错误保护协议时，控制装置经过连接到计算机网络上的连接除了接收为工业技术过程特定的与安全相关的控制信号以外-尤其是与为工业技术过程特定的与安全相关的控制信号一起-还接收了检测信息，

-附加信息包括检测信息，以及

-对传输给控制装置的与安全相关的控制信号的正确性的验证包括验证该检测信息与目标检测信息的一致性。

机群在此情况下必须包括安全比较器，其执行控制信号的一致性验证和计算路径的不一致性验证。该安全比较器为控制信号添加了检测信息，例如，电子检测印章或电子证书。当然，仅在计算机正确地测定控制信号并且计算路径彼此不同时实现上述添加。在此情况下，控制装置由此必须仅与目标检验信息相一致地验证该检验信息。在此情况下，必须在机群侧保证比较器的相应的作用方式。

另外通过开头所述类型的控制程序模块来实现该目的，其中，通过处理器装置来执行对机器码的处理，从而使得控制装置实施根据本发明的运行方法。

另外通过用于工业技术装置的控制装置来实现该目的，其中，利用根据本发明的控制程序模块为控制装置编程。

附图说明

联系下面的结合附图对实施例的详细阐述的说明能够更明确和更清楚地理解本发明的上述特性、特征和优点以及如它们实现的方法和方式。在此，在示意图中示出了：

图1是控制装置；

图2至图6是流程图；以及

图7是另一个控制布置。

具体实施方式

根据图1，控制装置2控制工业技术过程1。工业技术过程1涉及的是任意的过程，例如，燃烧器控制、冲压控制、化学设备、填充设备、升降机等。然而，与工业技术过程的类型无关，必须由控制装置2安全地控制工业技术过程。

控制装置2包括处理器装置3。处理器装置3包括至少一个处理器4。处理器装置3经常包括多个处理器4，这些处理器能够相互验证。在上下文中“安全”被理解成“错误保护的”。还必须确保个别错误不会无察觉地导致工业技术过程1的危险状态。例如，通常为此必须由相应的传感器多次采集输入信号E并且将其转发给控制装置2。在控制装置2中，必须安全地执行数据处理并且安全地验证所测定的结果，从而才能够识别出控制装置2中的个别错误。另外，必须以错误保护的方式将控制信号S提供给工业技术过程1。控制信号S由此被冗余地提供给多个执行机构。当执行机构相应地做出反应时已经实现了到安全状态中的转换。例如，如果工业技术过程1应该安全地与供电电源相分离的话，为此目的通常设有多个串联连接的保护器。

利用控制程序5对控制装置2进行编程。控制程序5包括机器码6，处理器装置3可以直接处理该机器码。通过处理器装置3来实现对机器码6的处理，从而使得控制装置2实施随后结合图2来详细阐述的运行方法。在上下文中以及还有结合图3至图5的阐述中始终同时补充参考图1。

根据图1，控制装置2在步骤S1中从工业技术过程1中接收输入信号E。输入信号E涉及的是与安全相关的输入信号。该输入信号由控制装置2以错误保护的方式接收。例如，输入信号E可以相应于图1的附图根据PROFIsafe(安全)协议由传感器(图中未示出)传输给控制装置2。“PROFIsafe(安全)”是一种用于安全传输数据的目标化协议，详见例如，IEC61784-3-3。

在步骤S2中，控制装置2将与安全相关的输入信号E传输给机群7。根据图1通过连接到计算机网络9上的连接8来实现传输。计算机网络9可以例如是LAN(＝LocalAreaNetwork局域网)。可选地也可以涉及WAN(＝WideAreaNetwork广域网)或WWW(＝WordWideWeb万维网)。通过错误保护协议，例如已提及的PROFIsafe协议或https来实现该传输。

机群7具有以下任务，即，在应用工业技术过程1的输入信号E以及可能的-例如机群7的计时器和/或记录器的-其他形态时，测定用于工业技术过程1的控制信号S，也就是说为工业技术过程1特定的控制信号S。机群7将由其测定的控制信号S传输给控制装置2。以和传输输入信号E相同的路径和相同的方式来实现控制信号S的传输，也就是说经过将控制装置2的连接到计算机网络9上的连接8以及在应用安全协议时实现该传输。控制装置2在步骤S3中从机群7接收控制信号S。

控制信号S可以是与安全相关的-类似于输入信号E。控制信号S由此必须被控制装置2认定为正确的。由于应用了安全协议，控制装置2可以识别出传输过程中的可能的错误。然而，对正确测定控制信号S的检测必须由控制装置2根据附加的信息S″；S′，I，I′；P来执行。在步骤S4中，控制装置2以错误保护方法来执行该检测。控制装置2根据验证结果实施步骤S5或步骤S6。

一旦控制信号S被控制装置2认定为正确的，那么控制装置2在步骤S5中将相应于安全相关的控制信号S以错误保护的方式来控制工业技术过程1。一旦控制信号S被控制装置2认定为不正确的，那么控制装置2在步骤S6中将以错误保护的方式将工业技术过程1转入安全状态中。

可能额外地存在步骤S7。在步骤S7中，控制装置2在可能时等待重启上述流程。重启尤其需要操作人员10的行为，例如对复位按键的操作。可选地可以取消步骤S7。在此情况下，一旦控制装置将由机群传输的控制信号S重新认定为正确的，那么控制装置2将自身重新进行常规操作(其中执行步骤S5)。

对于步骤S7可选地或除此之外，可以存在步骤S8。一旦步骤S8存在，为了经过机群7来测定控制信号S，那么控制装置2便请求在步骤S8中对该(计算技术方面的)过程重新实例化。该重新实例化可以例如-随机地或有针对性地-产生以下结果，即机群7的与之前不同的另一个计算机11′被授权测定控制信号S。

从上面的实施方式中尤其可以看出，控制装置2循环地实施步骤S1至S6(并且在可能时还有步骤S7和/或S8)。尤其是每秒钟多次，大多数是20x至100x每秒地实施常规操作(当也实施步骤S5时)。同样也适用于没有步骤S7和/或步骤S8并且实施特殊操作，即从步骤S4过渡到步骤S6。

对于实施步骤S4而言，存在不同的可能性。例如，可以根据图3将步骤S4实施成步骤S11和S12的形式。

在步骤S11中，控制装置2自身测定其他与安全相关的控制信号S″。其他控制信号S″同样被确定用于工业技术过程1。其他控制信号S″在常规情况下-也就是无论是机群7还是控制装置2均按规定起作用时-在内容上与机群7测定的控制信号S是一致的，即1:1。控制装置2由此-类似于机群7-在应用与安全相关的输入信号E时测定了其他控制信号S″，该输入信号是由控制装置2从工业技术过程1中以错误保护的方式接收到的。在可能时，控制装置2在测定其他控制信号S``的范围内-类似于机群7-应用了其他形态，例如，控制装置内部的计时器和/或记录器的形态。

在步骤S12中，控制装置2以错误保护的方式将由机群7测定的控制信号S与由控制装置2测定的其他控制信号S″比较。当机群7测定的控制信号S与控制装置2测定的其他控制信号S″相符时，控制装置2将其认定为正确的。

在图3的步骤范围内，附加的信息S″，S′，I，I′；P由此包括步骤S11中测定的其他控制信号S″。这些附加信息S″，S′，I，I′；P尤其是与步骤S11中测定的其他控制信号S″相同。

在根据多样化编程-经常也被称为“codedprocessing”(编码处理)-借助与控制装置2测定其他控制信号S″所用的算法不同的算法由机群7测定控制信号S时，图3的步骤是尤其有意义的。在此情况下，尤其可以由机群7实施计算强化算法(其大多数甚至是明显计算强化的)。

作为图3步骤的备选，根据图4执行也是可能的。根据图4，图2的步骤S4被实施成步骤S21至S26的形式。在图4中同样存在的步骤S2的范围内，输入信号E被控制装置2传输给机群7的任意一个计算机11。

在步骤S21中，控制装置2同样将与安全相关的输入信号E传输给机群7的一个计算机11′(见图1)。步骤S21由此在内容上与步骤S2相应。但与步骤S2的区别在于，与步骤S2中不同，步骤S21中是向另一个物理计算机11′进行传输。步骤S21中的计算机11′在物理上也与步骤S2的计算机11不同。

另一个计算机11′-如前面图3中的控制装置2-测定其他控制信号S′。另一个计算机11′将由其传输的其他控制信号S′传输给控制装置2。控制装置2在步骤S22中接收其他控制信号S′。步骤S22由此在内容上与步骤S3相应。与步骤S3的区别在于-类似于步骤S2和S21之间的区别-，从另一个计算机11′传输其他控制信号S′，而不是从步骤S3的计算机11。

在步骤S23和S24中，控制装置2从计算机11分别接收签名I，I′。各个签名I，I′明确地识别出机群7的各个计算机11，11′。以与传输控制信号S、S′相同的方式实现传输签名I，I′，也就是说在应用错误保护协议时，由各个计算机11，11′经过控制装置2的连接到计算机网络9上的连接8来实现传输。

在步骤S25中，控制装置2以错误保护的方式测定逻辑变量OK的值。逻辑变量OK随后采用值WAHR并且只有在以下情况下才采用该值，即

-计算机11，11′的签名I，I′彼此不一致，以及

-控制信号S和其他控制信号S′彼此不一致。

在步骤S26中，控制装置2验证逻辑变量OK的值。

在图4的步骤范围内，附加信息S″；S′，I，I′；P由此包括计算机11，11′的签名I，I′和由其他计算机11′测定的其他控制信号S′。附加信息S″；S′，I，I′；P尤其可以与签名I，I′和其他签名S′相同。控制信号S的正确性的验证包括将签名I，I′相互比较以及将由计算机11，11′测定的控制信号S，S′相互比较。

在与计算机11物理上不同的另一个计算机11′上对其他控制信号S′的测定与根据本发明的另一个计算路径相符。可选地或额外地可以借助另一种算法-关键词仍为“codedprocessing”(编码处理)-来测定其他控制信号S′。该步骤也与根据本发明的另一个计算路径相应。

图5的步骤基本相应于与图4的步骤。区别在于通过步骤S31和S32替代了步骤S3，S22，S23和S24。步骤S31相应于步骤S3和S23的组合。步骤32相应于步骤S22和S24的组合。在图5的步骤中，各个计算机11，11′的各个签名I，I′与各个控制信号S，S′一起也被传输给控制装置2并且被控制装置2所接收。

作为图3，图4和图5的步骤的备选，可以根据图6执行。下面结合图7来阐述图6。虽然图7示出了基本上与图1相同的控制布置，但它示出了另一种数据流。为了不使得图1过于拥挤，以单独的附图示出该视图。

根据图6，图2的步骤S4被实现成步骤S41至S43的形式。

在步骤S41中，控制装置2-类似于图4的步骤S21-又一次将与安全相关的输入信号E传输给机群7。机群7的另一个计算机11′将接收该输入信号。

计算机11，11′将由他们分别测定的控制信号S，S′以及他们各自的签名S，S′发送给安全比较器12。安全比较器12-与计算机11，11′相同-是机群7的组成部分。可以在机群7的内部将安全比较器实现成独立的结构。可选地可以在一个或-优选地-在两个计算机11，11′中实现该安全比较器12。安全比较器12对与安全相关的控制信号S，S′和签名I，I′进行安全比较。在内容上，安全比较器12的功能性相应于图4的步骤S25和S26。

该比较使得控制信号S被传输给控装置2，从而使得控制装置2能够在步骤S3中接收控制信号S。可以例如由此实现向控制装置2的传输，即，安全比较器12自身将控制信号S2传输给控制装置。可选地，安全比较器12可以向计算机11，11′之一传输相应的使能信号。

安全比较器12额外地将检验信息P传输给控制装置2。控制装置2在步骤S42中接收该检测信息P。检测信息P的特征在于使得计算机11，11′正确地测定控制信号S，S′。例如，该检验信息涉及的是电子签名或电子检验证书。

以与传输控制信号S，S′相同的方式来将检验信息传输给控制装置2，也就是说在应用错误保护协议时，由机群7(更确切地说：由机群7的比较器12)经过控制装置2的连接到计算机网络9上的连接8来实现该传输。可以-类似于图5的步骤S31和S32-与控制信号S一起进行传输。

在步骤S43中，控制装置2以错误保护的方式将传输的检验信息P与目标检验信息P*相比较。出于此目的，控制装置2尤其可以对检验信息P进行分析。与传输的控制信号S相比较也是可能的。在这种情况下，目标检验信息P*依赖于传输的控制信号S。可选地，目标检验信息P*可以不依赖于传输的控制信号S。

在图6的步骤范围内，附加信息S″；S′，I，I′；P由此包括检验信息P。尤其是附加信息可以与检验信息相同。

可以单独地实现与图3、图4和图5以及图6的具体步骤相应的图2的原理构造形式。可选地也可以将他们彼此相互结合。为了实现更高的安全性或为了实现更高的冗余(例如，根据三取二逻辑)，这种结合是尤其有意义的。

通过根据本发明的构造方式使得借助云计算的基础设施也能够实现与安全相关的控制功能。由此，也可以静态地或动态地将云(Cloud)的(几乎)无限的资源用于与安全相关的控制功能。由于可以将计算强化的任务转移到云中，由此，借助相对效率较低的控制装置2来解决更为复杂的控制任务也是可能的。因此以简单的方式确保识别出机群7(＝云)的参与的部件11，11′，12的故障，并且可以将其恢复到安全状态。整个过程链，即从测定输入信号E直至向工业技术过程1提供控制信号S，均受到了保护。尤其能够断定何时将最终仅仅在两个不同的虚拟计算机中对想象的冗余进行处理，该处理可以物理地通过机群7的同一个计算机11或11′来实现，或在不进行多样化编程时实现。

尽管通过有益的实施例详细地展示和描述了本发明的细节，但所公开的实例并不对本发明产生局限，并且技术人员可以在背离本发明的保护范围的条件下从中推导出其他变型。

Claims (5)

1.一种用于工业技术过程(1)的控制装置(2)的运行方法，其中，所述控制装置(2)循环地分别

-以错误保护的方式从所述工业技术过程(1)中接收与安全相关的输入信号(E)，

-在应用错误保护协议时，经过连接到计算机网络(9)上的连接(8)将与安全相关的所述输入信号(E)传输给机群(7)，

-在应用用于所述工业技术过程(1)的所述错误保护协议时，经过所述连接到所述计算机网络(9)上的连接(8)，由所述机群(7)接收特定的与安全相关的控制信号(S)，

-借助附加信息(S″；S′，I，I′；P)以错误保护的方式决定，所述控制装置是否将由所述机群(7)测定的、为所述工业技术过程(1)特定的所述与安全相关的控制信号(S)认定为正确的，所述附加信息(S″；S′，I，I′；P)包括以下对象中的至少一个对象：由所述控制装置(2)自身测定的其他与安全相关的控制信号(S″)；从所述机群(7)中接收的其他与安全相关的控制信号(S′)以及计算路径的签名(I，I′)；检测信息(P)，

以及

-根据所述决定的结果，或相应于所述与安全相关的控制信号(S)以错误保护的方式控制所述工业技术过程(1)，或以错误保护的方式将所述工业技术过程(1)转入安全状态中。

2.根据权利要求1所述的运行方法，其特征在于：

-所述控制装置(2)自身在应用以错误保护的方式从所述工业技术过程(1)中接收的与安全相关的所述输入信号(E)时，测定了其他为所述工业技术过程(1)特定的与安全相关的控制信号(S″)，

-所述附加信息(S″；S′，I，I′；P)包括由所述控制装置(2)自身测定的其他与安全相关的控制信号(S″)，以及

-对从所述机群(7)传输给所述控制装置(2)的所述与安全相关的控制信号(S)的正确性的验证包括：将传输给所述控制装置(2)的所述与安全相关的控制信号(S)与由所述控制装置(2)自身测定的其他与安全相关的控制信号(S″)进行比较。

3.根据权利要求1所述的运行方法，其特征在于，

-在应用所述错误保护协议时，所述控制装置(2)经过所述连接到所述计算机网络(9)上的连接(8)由所述机群(7)接收除了为所述工业技术过程(1)特定的所述与安全相关的控制信号(S)以外，还与为所述工业技术过程(1)特定的所述与安全相关的控制信号(S)一起接收了明确识别所述机群(7)的一条计算路径的签名(I)，

-在应用所述错误保护协议时，所述控制装置(2)经过所述连接到所述计算机网络(9)上的连接(8)再次将所述输入信号(E)传输给所述机群(7)；

-在应用所述错误保护协议时，所述控制装置(2)经过所述连接到所述计算机网络(9)上的连接(8)由所述机群(7)接收了其他为所述工业技术过程(1)特定的与安全相关的控制信号(S′)，以及除了其他为所述工业技术过程(1)特定的与安全相关的控制信号(S′)以外，还与其他为所述工业技术过程(1)特定的与安全相关的控制信号(S′)一起接收了明确识别所述机群(7)的另一条计算路径的其他签名(I′)，

-所述附加信息(S″；S′，I，I′；P)包括从所述机群(7)中接收的其他与安全相关的控制信号(S′)以及计算路径的签名(I，I′)；以及

-对从所述机群(7)传输给所述控制装置(2)的与安全相关的控制信号(S)的正确性的验证包括：将由所述机群(7)接收的与安全相关的控制信号(S，S′)彼此比较并将由所述机群(7)接收的签名(I，I′)彼此比较。

4.根据权利要求1所述的运行方法，其特征在于，

-在应用所述错误保护协议时，所述控制装置(2)经过所述连接到所述计算机网络(9)上的连接(8)又一次将与安全相关的所述输入信号(E)传输给所述机群(7)；

-在应用错误保护协议时，所述控制装置(2)经过所述连接到所述计算机网络(9)上的连接(8)接收除了为所述工业技术过程(1)特定的所述与安全相关的控制信号(S)以外，还与为所述工业技术过程(1)特定的与安全相关的控制信号(S)一起接收了检测信息(P)，

-所述附加信息(S″；S′，I，I′；P)包括所述检测信息(P)，以及

-对传输给所述控制装置(2)的所述与安全相关的控制信号(S)的正确性的验证包括验证所述检测信息(P)与目标检测信息(P*)的一致性。

5.一种用于工业技术过程(1)的控制装置，其中，所述控制装置包括处理器装置(3)，其中，利用控制程序模块(5)对所述控制装置进行编程，从而使得所述控制装置在运行中基于对所述控制程序模块(5)的机器码(3)的处理，通过所述处理器装置(3)实施权利要求1至4中任一项所述的运行方法。