CN105320854B - 通过签名平衡防止自动化组件受到程序篡改 - Google Patents

Abstract

本发明涉及一种用于为控制或现场层面的自动化组件确定危险情形的方法，其中，自动化组件具有至少一种基本上循环的程序行为。多个额定程序行为在教导阶段中被测定并且存储，并且循环地与在自动化组件运行时测定的实际程序行为相比较。比较的结果能够与其他安全组件的结果相结合，以用于校验。

Description

通过签名平衡防止自动化组件受到程序篡改

技术领域

本发明涉及一种用于为自动化组件确定危险情形的方法。

背景技术

工厂自动化中的自动化系统是由一系列不同的自动化组件构成的，这些自动化组件基本上在控制及现场层面中、例如存储器能编程的控制系统。自动化组件的概念在此应理解成每个智能的并配有软件的现场或控制组件，并且就此而言在概念上也应该包括驱动、监控或传感器组件。自动化组件通常是彼此联网的并且由不同的、分等级布置的上级控制系统来操作和/或监控。等级上级的控制层面公知为操作者层面、管理层面或企业层面。

控制及现场层面中的自动化组件也越来越多地成为所谓的网络侵入和程序篡改(Programmmanipulation)的目标，其可能对例如制造过程的控制系统造成影响。如今已经有一系列的安全组件，它们虽然尽可能地防止、但是至少应该识别出整体上对自动化系统的入侵。然而，这通常是单个的、独自存在的提升自动化组件的工业安全性的措施，但是该措施当前既没有单独确保充分的全面篡改保护，也没有被公知以合适的方式组合这些安全组件。因此，具有“集成的安全功能”的自动化组件目前已经提供了针对程序修改的一定的保护。公知的和已经集成的安全机制是专有技术(Know-how)保护、防拷贝保护或访问保护。就应当确保的篡改保护而言，其仅仅涉及到将数据传输到前述的上级层面中，尤其是从HMI(人机界面)传输和传输给人机界面。然而，利用相应的耗费也能够绕开这些保护机制(例如暴力破解)。尽管如此，只要进行了程序修改，利用这些手段就不能识别程序篡改-即对过程行为的修改。

公知的还有所谓的SIEM解决方案(安全信息和事件管理)，这些解决方案被集成到自动化环境中。在此，从组件中提取与安全相关的特征值，以便随后能够利用这些确保复杂的设备保护。在此，经由通行的协议如SNMP或者Syslog收集一般的信息，并且该信息可能与安全组件的其他信息相互关联。即使这样也不能全面地访问所有描述自动化组件的循环行为的变量。因此不能识别程序篡改。

发明内容

因此，本发明的目的是，提供一种方法，其通过可靠地识别自动化组件中的程序篡改确定了自动化组件的危险情形。该目的通过一种用于为自动化组件确定危险情形的方法来实现。自动化组件具有至少一种基本上循环的程序行为，其中，测定并存储有多个额定程序行为，该方法包括：a)循环地测定至少一个实际程序行为；b)循环地比较实际程序行为和已存在的额定程序行为；c)由比较循环地推导危险情形。相应的自动化组件基本上以循环运行来工作，如其例如由存储器可编程的控制系统中所公知的。在此，在自动化组件的输入端处循环地读取过程状态，并且在自动化组件的输出端循环地并且与循环的读取相关地输出。因此，对于自动化组件的输入端处和输出端处的每个过程状态都有过程映射。该过程映射在设备运行时被理解为实际程序行为，因为自动化组件的程序对于确定的输入过程映射生成确定的输出过程映射。在第一步骤中，现在测定或者说捕捉这种实际程序行为。测定或捕捉例如要理解为，这种实际程序行为、适当地与对相应时间点的同时捕捉一起、以所谓的“指纹”或第一签名的形式存储在格式适当的文件中。然而也能够设想，不进行在文件中的存储，而是将签名保存在存储器中，例如自动化组件的存储器中。在第二步骤中，现在将第一签名与第二签名相比较，其中，第二签名等于额定的程序变化。额定的程序变化在此应理解为在自动化组件中应该期待的、不受可能的篡改的程序变化。在进行实际监控之前，例如确定并存储多个额定程序变化。存储能够以适当的格式进行，其中适当地，实际程序变化以相同的格式存在。然后，在实际程序变化和额定程序变化之间的比较例如能够由此来实现，即，使这两个文件的所谓的哈希值相互比较，并且因此能够确定这些数据是否有显著区别。执行文件之间的比较的其他机制也是可行的。然后，在下一个步骤中通过对比较结果的质量性评估实现对危险情形的推导，即存在危险情形还是不存在。如果实际程序变化与存储的额定程序变化最大程度上一致，那么不存在危险。反之，从实际程序变化与额定程序变化不相符的情况可能证明有危险情形。最大程度上不一致在此应该理解为，不一定需要绝对的并且100％的一致，而是根据个别情况也能够允许与个别情况相关的确定程度的偏差，并且尽管如此也能够实现对危险情形的合格陈述。

以这种方式能够连续地监控程序行为，并且快速地识别程序篡改。在识别出第一和第二签名之间的偏差时，由此能够表明，在程序中进行了修改，这又是对可能的篡改的证据。能够采取可行的措施，例如发出警报和/或将过程自动引导到安全状态中。

根据本发明的另一个方面，在教导阶段中通过模糊逻辑和/或神经元网络和/或仿真软件测定所有的额定程序行为，其中，自动化组件的如此测定的额定程序行为能够存储在自动化组件自身中或者存储在上级的控制系统中。目标是，经过一定时间学习自动化组件在原始的且未改变的、即没有被篡改的状态中的行为，并且然后将该行为存储为第二签名。在此，具体是哪个类型的构建模块基本上无关紧要，只要行为具有循环的流程。这些模糊逻辑或者神经元网络的构造是公知的且在此不继续深入。重要的仅仅是，观察所有影响了自动化组件的行为的参量和变量。这些必须提前定义并且集成到逻辑中。按经验确定额定程序行为的可行途径在于使用仿真软件。利用这种仿真软件能够比较简单地实现，在设备出厂之前就已经测定并存储了额定程序行为。然后同样可行的是，在有期待的修改时，例如在随后的服务应用期间，再次学习改变了的额定程序变化，即为与该变化相关的额定程序变化生成并存储新的签名。

在一种实施方式中，测定的额定程序行为存储在自动化组件中。这是特别有利的，因为由此智能转移到了控制及现场层面，并且由此每个自动化组件都能够报告其篡改企图。同时，几乎没有使工业网络中的数据传输附加地负荷。

在另一种实施方式中，自动化组件的测定的额定程序行为存储在上级的控制层面中。在自动化组件也要连入到工厂自动化系统中的情况下有利的是，自动化组件不提供或者仅提供受限的(存储空间、处理器功率)可行性，即在该处放置其他的耗费处理器和存储器的功能，而没有不利地影响过程控制的处理时间。有利地，以这种方式也能够集成不同制造商的自动化组件。混合变体同样也是可行的。

根据本发明的一个重要的方面，如下地实现额定程序行为的存储，即，在存储了额定程序行为之后仅能够有读取访问。因为为了能够确保尽可能高的安全性，要注意的是，额定程序变化的签名不能够被篡改。因此，应如下地存储该签名，即，使得修改只能现场地并且不能通过远程访问来进行。以这种方式确保了额定程序行为不能屈服于外界的修改。

循环地测定实际程序行为对处理器负荷有影响，且从而只要程序在自动化组件中运行就对用于过程控制和监控的处理时间有影响。在程序在上级的控制系统中运行时，它对网络负荷有附加的影响。此外，用于测定实际程序行为的扫描率取决于自动化组件的类型和应用情况。如此，缓慢或迟钝的过程不需要过高的扫描率。因此，用于测定实际程序行为的时间间隔、扫描率有利地能够设计成可调节的。优选地，扫描率应该能够在2毫秒到5分钟的范围内调节。

在特别有利的实施方式中，由比较推导出的危险情形附加地与对于其他安全组件的危险情形独立测定的结果相结合。以这种方式能够有利地进一步减少可能的错误警报。在此，对实际和额定程序行为的签名的监控能够与其他的解决方案组合，例如SIEM解决方案(安全信息&事件管理)。SIEM解决方案示例性地独立于本文到现在为止所提出的解决方案。以这种方式，对于自动化组件的可能没有被教导的行为模式和因而引起的签名偏差，也能够不测定出危险情形或者以较低优先级使以下危险情形信号化，该危险情形例如不引起对过程的自动干涉。相反，在对实际和额定程序行为进行比较时将会识别出签名偏差，由于通过其他安全组件也与其无关地识别出潜在的侵入，在自动化组件中也应将以高概率表现出真实的程序篡改，并且能够迅速采取应对措施。

本发明的另一个方面包括计算机程序产品，用于确定在控制及监控设备内部的自动化组件的危险情形。自动化组件的概念在此应该包括每种形式的自动化组件，包括所谓的智能传感器或者执行机构或这两种的混合形式，它们对过程或设备数据执行受处理器并因而受软件控制的预处理或评估。除了所谓的存储器可编程的控制系统，任何智能的现场设备例如发动机、变流器或者诸如此类都应该属于自动化组件的概念范畴。计算机程序产品生成自动化组件的多个额定程序行为。这些额定程序行为定义了设备的预设的标准行为，即相应自动化组件对过程的输出参数或者输出信号，其基于控制及监控设备的、基本上是相应自动化组件的相应的输入参数或输入信号。由于在控制和监控设备运行时发生变化的条件，例如变化的输入信号要求其他的输出信号，所以通过多个单个的、基本上分别描述了过程状态的额定程序行为来描述整个程序行为。这些标准过程状态作为额定程序行为以适当的方式存储。这能够在置于实际运行之前的、所谓的教导阶段期间实现，在该阶段中，经历或者模拟了所有的或者至少重要的过程状态。适当地，仿真软件能够有利于教导阶段。也能够设想，也在实际运行的一定阶段中获取额定程序状态，只要在这个阶段中能够排除危险侵入或者通过侵入对程序流程的篡改。因此能够例如在这种阶段期间物理地防止对不安全的、通常是外部的网络的访问。

通过该计算机程序产品，在运转着的运行中循环地测定相应自动化组件的实际程序行为。循环地测定理解为在确定的时间点基本上实时地捕捉并且以适当的方式中间存储实际过程状态、即相应自动化组件的输入参数或者输入信号和基本上对应的输出参数或输出信号。中间存储在此能够在挥发性或非挥发性的存储器中实现，通常在磁性存储器中实现。对实际过程状态的测定以一定的时间间隔反复地进行。在测定了实际过程状态之后，与存储器中存在的额定程序行为进行比较。比较的目标是为相应的实际程序行为在多个额定程序行为中寻找对应，这些额定程序行为以存储的形式存在。用于比较例如不同文件的相应方法是公知的。因此，根据一种方法，如果要检查文件的一致性，能够将这些文件的相应的哈希值相互比较。但是也能够设想以下方法，其不以一致性为目标，而是允许一定的、但是对于辨别危险情形或篡改情形的目的而言非关键的偏差。基于在额定程序行为和实际程序行为之间的比较，实现对危险情形的推导，其中，在确定了偏差时，通常已经对设备进行了篡改，以适当的方式对该篡改发出警报。

为了尽可能地排除错误警报，特别有利的是，将由比较推导出的危险情形附加地与对于其他安全组件的危险情形独立测定的结果相结合，并且随后当基本上同时也存在通过其他安全组件识别出的危险情形时，此时才触发警报。

其他安全组件应理解为公知的解决方案，例如所谓的SIEM解决方案(安全信息&事件管理)。但是其他的解决方案，正如在“集成的安全功能”的概念范畴中所总结的，例如以防拷贝或访问保护为目标的保护机制，也能够与在此提出的解决方案相结合。结合在此首先应理解为，结果、即一个或者多个不同的其他安全组件的警报报告在逻辑上与根据本发明提出的解决方案的警报报告相组合，并且只有当存在根据本发明提出的解决方案的至少一个警报报告和其他安全组件的警报报告时，才生成警报报告，其中，该至少两个警报报告的存在有利地应该在时间上相关联，即在要定义的时间窗之内出现。

然而，本发明不应该局限于这种组合可行性，而是应该明确包括其他合适的组合可行性。

附图说明

结合附图详尽地阐述本发明的上述属性、特征和优点以及如何实现这些的方式和方法。在此用示意图示出：

图1是具有现场及控制层面和上级的操作层面的自动化设备；

图2是自动化组件内部的根据本发明的流程。

具体实施方式

图1用一般化的示图示出了现场及控制层面20，其上级是操作层面(Operator-Level)21。现场及控制层面20和操作层面21通过工业通讯网络5彼此相连。操作层面包括多个计算单元6，其中，所有的或者一部分计算单元6能够与显示及输入单元7相连，以便输入和/或显示数据。操作层面21通常有其他层面作为上级，并且通过通讯网路彼此相连；这些其他的、在此未示出的层面公知为管理层面或企业层面。

控制及现场层面20包括多个自动化组件1，其中，自动化组件应该理解为任何智能的、即借助软件算法来运行或者能够被影响的现场设备。这种自动化组件的实例是用于监控和/或开环控制或闭环控制任务的可编程控制系统。没有限制性地，属于这种现场设备的例如还能够有发送机或变流器，只要这些具有智能的通讯端口并且借助软件来驱控和/或监控。自动化组件1又能够与传感器2和/或执行机构3相连，以便获取过程的数据，例如开关状态、压力、温度等等，或对过程施加开关的、开环控制的或闭环控制的影响。这种作用连接同样能够经由总线或网络连接4来实现，如其例如以现场总线或者工业以太网这些名称公知的那样。但是传感器2和执行机构3也能够单独地通过数字的或模拟的硬件连接5与自动化组件1相连，或者它们是自动化组件1的组成部分自身。自动化组件1循环地从传感器2读取数据，并且基于读取的数据、基于使用者的操作指令和/或存放在的自动化组件1中的软件算法将控制指令输出到执行机构处。

图2用示意图示出了本发明。自动化组件1包括逻辑单元8，其中，逻辑单元8以公知的方式包含实时工作的、包括必要的存储器单元在内的计算器结构。逻辑单元8处理使用者程序9的指令。经由通讯站10为逻辑单元供应其他自动化组件的数据和/或操作者的数据，或者说为其他的组件和/或操作者提供数据。逻辑单元8在时间上能够借助时钟11同步。在存储器区域13中有在确定的时间点的所有相关的传感器数据2i，2j的映射2′i、2′j和所有相关的执行机构数据的映射3′i，3′j。因此，存储器区域13的内容基于同样已知的、操作者输入和/或自动化组件在逻辑单元8内自身产生的中间数据12确定了在确定时间点的实际程序行为14。这个在确定的时间点的实际程序行为14能够以适当的文件格式作为签名15存储。在此，存储能够在逻辑单元8的内部进行，或者如根据图2地在逻辑单元8之外进行。在不同的时间点和/或在不同的过程状况中，产生新的签名15。

在自动化组件1的存储器区域内存在以适当的格式存储的一系列的签名16，它们是额定程序行为。在教导阶段中产生多个签名16，并且这些分别是没有被篡改的标准程序行为，然而不管怎样也是典型情况下能够其外的程序行为。

只要产生了签名15，该签名就由逻辑单元8与签名16进行比较。为了比较文件或者说签名，例如能够使用公知的哈希函数。比较签名15和16也能够在自动化组件1内部的单独的逻辑单元中进行，或者在使用多核处理器时在一个单独的核中进行。也能够设想，在上级的操作层面中执行比较。在这种情况下，在那里也为自动化组件存放签名15和16。

如果确定签名15不能够从属于任何签名16，即在签名15和签名16之间存在不一致，那么在相应的逻辑单元(这里是逻辑单元8)中制造警报报告17，并且由此将危险情况通过通讯站10报告到上级的操作层面处。

然而，在识别出危险情形时，逻辑单元8自身也能够实施行动并且使得自动化组件并且可能通过通讯站10也使得其他的自动化组件切换到事先定义的安全运行中。

Claims (10)

1.一种用于为自动化组件确定危险情形的方法，所述自动化组件具有至少一种循环的程序行为，其中，测定并存储有多个额定程序行为，该方法包括：

a)循环地测定至少一个实际程序行为；

b)循环地比较所述实际程序行为和已存在的所述额定程序行为；

c)由所述比较循环地推导危险情形，

基于控制及监控设备的相应自动化组件的相应的输入参数或输入信号，所述额定程序行为定义了相应自动化组件对过程的输出参数或者输出信号的预设的标准行为。

2.根据权利要求1所述的方法，其特征在于，只要在所述实际程序行为和已存在的所述额定程序行为之间不存在一致性，此时推导出危险情形。

3.根据权利要求1或2所述的方法，其特征在于，所有的所述额定程序行为都通过模糊逻辑和/或神经元网络和/或仿真软件在教导阶段中测定。

4.根据权利要求1或2所述的方法，其特征在于，所测定的所述额定程序行为存储在所述自动化组件中。

5.根据权利要求1或2所述的方法，其特征在于，所述自动化组件的所测定的所述额定程序行为存储在上级的控制层面中。

6.根据权利要求1或2所述的方法，其特征在于，对所述额定程序行为的存储如下地实现，即在存储了所述额定程序行为之后仅能够进行读取性的访问。

7.根据权利要求1或2所述的方法，其特征在于，用于对所述实际程序行为进行循环测定的时间间隔是能调节的。

8.根据权利要求1或2所述的方法，其特征在于，由所述比较推导出的危险情形附加地与对于其他安全组件的危险情形独立测定的结果相结合。

9.根据权利要求8所述的方法，其特征在于，一旦也同时存在所述其他安全组件的危险情形，就生成警报。

10.一种计算机可读的存储介质，在所述存储介质上存储有计算机程序，其中所述计算机程序在运行时，使计算机执行根据权利要求1-9中任一项所述的方法。