CN108628265B - 用于运行自动化装置的方法和自动化装置 - Google Patents

Abstract

本发明涉及一种用于运行自动化装置的方法以及一种自动化装置，其中，自动化装置(13)配有：模拟服务器(14)，具有模拟框架(26)，其用于根据一个模拟模型来模拟传感器和/或执行器的过程表现，其中在模拟服务器中存储可加载到模拟框架(26)中的多个模拟模型(15)；模拟接口(7)，用于模拟传感器和/或执行器的通讯表现并用于将建模的过程表现连接到控制器(27)；以及，用于过程控制和过程操作的操作者系统(11、25)。提出一种适当的措施，通过该措施在所谓的“工厂验收测试”(FAT)范畴内，可以简单地证明在测试期间或者在功能证明期间是否利用为此设置的模拟模型进行了测试。

Description

用于运行自动化装置的方法和自动化装置

技术领域

本发明涉及一种用于运行自动化装置的方法。此外，本发明涉及一种自动化装置。

背景技术

从西门子产品目录“ST PCS 7 T”，第8章，2016年版中，公开了一种模拟工具，其实现了自动化解决方案的实时模拟。该模拟工具包括模拟现场设备层的过程表现的模拟框架和模拟真实现场设备的通讯表现的模拟单元或模拟接口，其中该模拟单元还将建模的过程表现与控制器相连接。

无论是在制造业还是在过程工业中，为了测试和/或启动自动化设备的规划专用控制程序，都设有不具有真实自动化组件的测试环境，其中，支持不同的虚拟化方法。例如，通过所提到的西门子目录中已知的模拟和训练系统可以生成和模拟设施的过程模型。过程模型然后可以通过“软件回路测试”(Software in the Loop SIL)与虚拟控制器耦合，或者作为“硬件回路测试”(Hardware in the Loop HIL)利用真实的自动化设备和模拟接口形式的硬件接口运行，其将真实的和下级的现场层虚拟化。真实的现场层通常包括连接到现场总线的分布式外围设备，它们各自配备有用于连接到现场总线的接口组件和多个过程输入和输出组件，其中，在相应的过程输入模块上连接有传感器并且在相应的过程输出模块上连接有执行器。

通常，在设施的功能证明方面，在所谓的“工厂验收测试”(FAT)的范畴中，使用大量模拟模型进行测试。为此目的，必须提供证据证明测试利用为此期望的或设置的模拟模型来执行。因此，希望识别在测试期间模拟模型是否被意外更换和/或错误地参数化。

发明内容

因此，本发明的目的在于提出一种用于运行自动化装置的方法，借助于该方法，在所谓的“工厂验收测试”(FAT)中可以简化地证明，在测试期间或者在功能证明期间是否利用为此设置的模拟模型进行了测试。此外，提供一种自动化装置，其适用于执行该方法。

该目的在方法方面通过一种用于运行自动化装置的方法来实现。其中，自动化装置配有：

-模拟服务器，具有模拟框架，模拟框架用于根据一个模拟模型来模拟传感器和/或执行器的过程表现，其中，在模拟服务器中存储多个模拟模型，多个模拟模型能加载到模拟框架中，

-模拟接口，用于模拟传感器和/或执行器的通讯表现和用于将建模的过程表现连接至控制器，其中，模拟接口将模拟的过程输入值传输给控制器，并且控制器由过程输入值生成用于执行器的过程输出值，并且过程输出值经由模拟接口传输给模拟框架，以及

-用于过程引导和过程操作的操作者系统。

在该方法中：

-在模拟服务器上为多个模拟模型的至少一部分分别存储元数据，元数据包含用于相应的模拟模型的模拟专用信息，其中，元数据或从元数据导出的检验值被传输给操作者系统的服务单元，

-配属于多个模拟模型中的一个模拟模型的元数据或者检验值被加载到控制器的功能模块中，其中，来自模拟框架的元数据或检验值经由模拟接口提供给控制器，

-加载到功能模块中的元数据或检验值被存储在操作者系统的过程映像中，并且

-借助操作者系统的服务单元将从模拟服务器传输的元数据或检验值与存储在过程映像中的元数据或检验值相比较。

该目的在装置方面也通过一种自动化装置来实现。其具有：

-模拟服务器，具有模拟框架，模拟框架用于根据一个模拟模型来模拟传感器和/或执行器的过程表现，其中，在模拟服务器中存储多个模拟模型，多个模拟模型能加载到模拟框架中，

-模拟接口，用于模拟传感器和/或执行器的通讯表现和用于将建模的过程表现连接至控制器，其中，模拟接口将模拟的过程输入值传输给控制器，并且控制器由过程输入值生成用于执行器的过程输出值，并且过程输出值经由模拟接口传输给模拟框架，以及

-用于过程引导和过程操作的操作者系统。

在该自动化装置中：

-在模拟服务器上为多个模拟模型的至少一部分分别存储元数据，元数据包含用于相应的模拟模型的模拟专用信息，

-操作者系统具有用于存储元数据或者由元数据导出的检验值的服务单元，

-控制器配备有功能模块，功能模块用于存储配属于多个模拟模型中的一个模拟模型的元数据或者检验值，元数据或者检验值经由控制器的模拟接口由模拟框架提供，

-操作者系统的过程映像具有用于加载存储在功能模块中的元数据或检验值的数据结构，以及

-操作者系统的服务单元设计用于将模拟服务器传输的元数据或从模拟服务器传输的检验值与存储在过程映像中的元数据或者检验值相比较。

有利的是，对于“工厂验收测试”(FAT)的运行时间可以随时了解当前正在使用哪些模拟模型以及这些模型如何参数化。这意味着错误最小化，尤其是因为对于具有大量模拟模型的工艺技术设施来进行测试更是如此。

在根据本发明的方法中提出，借助第一私钥对一个模拟模型进行签名，在服务单元中为一个模拟模型存储从模拟服务器传输的并由可信认证机构建立的模拟模型证书，其中，模拟模型证书包括元数据的散列值(哈希值)和与第一私钥匹配的第一公钥作为检验值，通过服务单元借助在操作者系统的认证存储器中存储的第二公钥执行模拟模型证书的签名验证，通过服务单元借助于第一公钥执行签名验证。

借助上述措施，可以检验模拟模型的完整性和可靠性。因此，可以识别出对模拟模型的未经授权的改变以及模拟模型的真实性(关于相应模型的原始度进行检验)。

借助给出的措施，可以在整个工厂验收测试(Factory Acceptance Tests)(HIL，SIL)期间对所基于的模拟模型进行检测和可视化，并且此外检验完整性、可靠性进而真实性(原始性)并识别改变。此外，对于工厂验收测试(审计跟踪)的可追踪性保留所有过程，其中这些过程被无缝地集成到自动化装置或控制系统(控制器，操作者系统，服务器)的在测试中设置的组件中。相应的模拟模型的签名在操作者系统中例如在初始化的范畴中并且在运行时间期间进行检验，其中，特别关注所谓的元数据的完整性、可靠性和真实性。关于一个模拟模型的“正确”元数据的散列值形式的检验值构成所谓的模拟模型证书的组成部分，模拟模型证书还包含开发了模拟模型的开发部门的公钥，公钥用于验证模拟模型签名。服务单元设置用于监视所加载的模拟模型的变化，并可用于基于状况生成消息。

附图说明

参考示出了本发明的实施例的附图，下面详细地解释本发明、其设计方案以及优点。

图中示出：

图1和4是自动化装置的组成部分，

图2是元数据和模拟模型证书，以及

图3示出了分级树结构。

图1至图4中所示的相同部件具有相同的附图标记。

具体实施方式

首先参考图4，其中示出了已知的自动化装置1或过程控制系统的组成部分。其具有可编程逻辑控制器2(自动化设备，PLC)，其经由现场总线3利用分布式外围设备4形式的现场层与连接到该外围设备4的现场设备4a连接。现场设备4a在此设计为未示出的执行器和传感器。为了简单起见和更好的概述，仅显示了分布式外围设备。当然，现场层包括多个这样的分布式外围设备。分布式外围设备4配有一个接口组件和多个过程输入和过程输出组件，其中，传感器连接到相应的过程输入组块处并且执行器连接到相应的过程输出组件处。分布式外围设备4的接口组件经由现场总线3与上级控制器2通讯，其中，控制器2经由该接口组件从传感器接收过程输入值，传感器连接到分布式外围设备4的过程输入组件处。能在控制器2上运行的自动化或控制程序处理过程输入值，自动化或控制程序从这些过程输入值生成用于连接到分布式外围设备4的过程输出组件的执行器的过程输出值。

为了能够在实际的过程控制运行之前尽可能真实地模拟现场层的表现，模拟服务器5具有用于模拟现场层的过程表现的模拟框架6。由此，真实现场层被虚拟化或复制，以便因此能够为了测试目的而模拟自动化装置1。在模拟服务器5上例如存储有多个简单信号曲线或者反应信号或模拟模型，其中为了处理这些模拟模型，分别将一个模拟模型加载到模拟框架6中。借助与模拟框架6共同代表了模拟工具的模拟接口7，模拟了真实现场设备的通讯行为，并且建模的过程表现或要处理的模拟模型被连接至控制器2。在模拟运行期间，模拟接口7在分布式外围设备4(现场层)的位置处连接至现场总线3(在附图中通过大括号和开关8示出)，其中，模拟接口7将模拟的过程输入值传输给控制器2，并且控制器2从过程输入值生成用于执行器的过程输出值，并且过程输出值经由模拟接口7传输给模拟框架6。此外，在该模拟运行期间，模拟接口7经由现场总线3与控制器2并经由设施总线9与操作者服务器10通讯。该操作者服务器10与操作者客户端11一起形成操作者系统，其设置用于过程引导和过程观察，其中，操作者服务器10和操作者客户端11连接到终端总线12。当然，为了模拟接口7与模拟服务器5和操作者服务器10的通讯，模拟接口7也可以连接到终端总线12。

为了满足“工厂验收测试要求(FAT要求)”，要证明在测试期间或功能证明期间利用为此设置的、存储在模拟服务器5中的模拟模型进行了测试。该证明由此实现，即在模拟服务器上为模拟模型分别存储了元数据，元数据包含用于相应的模拟模型的模拟专用信息，其中，元数据或者由元数据导出的检验值被传输给操作者服务器。此外，配属于相应的模拟模型的元数据或检验值被加载到控制器的功能模块中，其中，来自模拟框架的元数据或检验值经由控制器的模拟接口提供，这意味着，元数据或检验值作为过程数据被“伪装”。最后，加载到功能模块中的元数据(或者加载的检验值)被存储在操作者服务器的过程映像中并且与模拟服务器传输给操作者服务器的元数据(或者与检验值)相比较并评价比较结果。

参考图1以便详细解释，其中示出了自动化装置13的组成部分。

至少对于存储在模拟服务器14中的模拟模型15的一部分或者对于要记录功能证明的模拟模型，在服务器14上存储元数据16，元数据包括用于相应的模拟模型的模拟专用信息。例如，配属于模拟模型之一的元数据17(图2)包含该模拟模型的名称、参数以及模型的作者和创建日期。每个要考虑的模拟模型都分配有这些元数据。

为了防止元数据和模拟模型15被未经授权地修改并且为了确保这些模型15的原始性，这些模型15的开发者例如利用私钥(以下称为第一私钥)首先对相应的模拟模型进行签名，其中签名和元数据存储在一个文件中。在本实例中，文件包括模拟模型15之一的元数据17和该模型的签名18。

随后，用于模拟模型15的可信认证机构(CA)发布证书19，证书各自利用认证机构的另一个私钥(以下称为第二私钥)签名。除了认证专用参数之外，证书19还分别包含与第一私钥匹配的第一公钥和元数据的散列值形式的检验值。在本实例中，一个模拟模型的证书20包括认证专用参数21、与第一私钥匹配的第一公钥22以及元数据17的散列值23。模拟服务器14优选地经由终端总线12将模拟证书19传输给操作者服务器25的服务单元24，在操作者服务器中将与第二私钥相匹配的第二公钥存储在这里未示出的认证存储器中。

在下文中，假定在模拟运行中将具有配属的元数据17的模拟模型加载到模拟框架26中并进行处理。

模拟框架26经由模拟接口7将这些元数据17传输给控制器27，控制器将元数据17存储到功能模块28中。控制器27将存储在功能模块28中的元数据17传送给操作者系统25，操作者系统将元数据17输入到过程映像30的数据结构29中，其中，服务单元24借助“签名检查”服务从元数据17生成散列值31并输入到数据结构29中。

为了能够将存储在数据结构29中的散列值31与存储在证书20中的散列值23进行比较，服务单元24首先借助“签名检查”服务检验：证书20是否由可信认证机构生成，其中，在操作者系统的认证存储器中存储的第二公钥被用于签名验证方法。

对于签名验证表明证书签名有效的情况，那么这证明，证书20的内容(认证专用参数21、第一公钥22、散列值23)没有被未经授权地改变或篡改。鉴于此，可以信任第一公钥22，然后服务单元24的“签名检查”服务借助存储在证书20中的第一公钥22来验证该模拟模型的签名18。在该签名被识别为有效的情况下，服务单元24的“签名检查”服务将存储在数据结构29中的散列值31与存储在证书20中的散列值23进行比较。如果这两个散列值23和31不一致，这意味着模拟模型被篡改或该模拟模型的参数被篡改，也就是说，模拟模型或其参数被未经授权地改变。

在这种情况下，“签名检查”服务触发操作者系统25的服务单元24的“报警”服务，其中，该“报警”服务向操作者客户端11传输警报，警报在该客户端上可视化。此外，“归档”服务将由“报警”服务生成的警报转发到档案服务器32。如果操作者客户端11请求，则“归档”服务还设计用于在运行时读取存储在归档服务器32中的某次模拟的历史警报或消息。

如果例如在模拟期间更换一个模拟模型、签名被识别为不正确的、或模拟模型的参数被改变，那么“报警”服务也生成应在客户端11上可视化的和要存储在归档服务器32中的警报。基于此，在工厂验收测试期间所有相关的改变都被报告和归档，因此可以随时了解在哪个模拟基础上进行了验收。

为了使工厂验收测试(FAT)所基于的模拟模型的图形和分级可视化配备相应的状态，服务单元24配备“模型可视化”服务。在FATs期间，具有对应参数和状态的模拟模型-标号33、34、35(图3)显示在操作者客户端11上。可视化所基于的FATs测试模拟模型以分级树结构34的形式在操作者客户端11上为用户呈现。分级树结构36同样也可以存档在归档服务器32上，以便能够在可预设的时间段内了解FAT中的模拟模型的改变。在本实例中，用户由状态标识符37识别出不满足模拟模型33的完整性、可靠性和真实性。

Claims (4)

1.一种用于运行自动化装置的方法，其中，所述自动化装置(13)配有

模拟服务器(14)，具有模拟框架(26)，所述模拟框架用于根据一个模拟模型来模拟传感器和/或执行器的过程表现，其中，在所述模拟服务器中存储多个模拟模型(15)，所述多个模拟模型能加载到所述模拟框架(26)中，

模拟接口(7)，用于模拟所述传感器和/或所述执行器的通讯表现和用于将建模的过程表现连接至控制器(27)，其中，所述模拟接口(7)将模拟的过程输入值传输给所述控制器(27)，并且所述控制器(27)由所述过程输入值生成用于所述执行器的过程输出值，并且所述过程输出值经由所述模拟接口(7)传输给所述模拟框架(26)，以及

用于过程引导和过程操作的操作者系统(11、25)，

其特征在于，

在所述模拟服务器(14)上为所述多个模拟模型的至少一部分分别存储元数据，所述元数据包含用于相应的模拟模型的模拟专用信息，其中，从所述元数据导出的检验值被传输给所述操作者系统(11、25)的服务单元(24)，

所述检验值被加载到所述控制器(27)的功能模块(28)中，其中，来自所述模拟框架(26)的所述检验值经由所述模拟接口(7)提供给所述控制器(27)，

加载到所述功能模块(28)中的所述检验值被存储在所述操作者系统(11、25)的过程映像(30)中，并且

借助所述操作者系统(11、25)的服务单元(24)将所述检验值与存储在所述过程映像(30)中的检验值相比较。

2.根据权利要求1所述的方法，其特征在于：

借助第一私钥对所述一个模拟模型进行签名，

在所述服务单元(24)中为所述一个模拟模型存储从所述模拟服务器(14)传输的并由可信认证机构建立的模拟模型证书(20)，其中，所述模拟模型证书(20)包括所述元数据(17)的散列值和与所述第一私钥匹配的第一公钥(22)作为检验值，

通过所述服务单元(24)借助在所述操作者系统(11、25)的认证存储器中存储的第二公钥执行所述模拟模型证书(20)的签名验证，

通过所述服务单元(24)借助于所述第一公钥(22)执行签名验证。

3.一种自动化装置，具有

模拟服务器(14)，具有模拟框架(26)，所述模拟框架用于根据一个模拟模型来模拟传感器和/或执行器的过程表现，其中，在所述模拟服务器中存储多个模拟模型(15)，所述多个模拟模型能加载到所述模拟框架(26)中，

模拟接口(7)，用于模拟所述传感器和/或所述执行器的通讯表现和用于将建模的过程表现连接至控制器(27)，其中，所述模拟接口(7)将模拟的过程输入值传输给所述控制器(27)，并且所述控制器(27)由所述过程输入值生成用于所述执行器的过程输出值，并且所述过程输出值经由所述模拟接口(7)传输给所述模拟框架(26)，以及

用于过程引导和过程操作的操作者系统(11、25)，

其特征在于，

在所述模拟服务器(14)上为所述多个模拟模型(15)的至少一部分分别存储元数据，所述元数据包含用于相应的模拟模型(15)的模拟专用信息，

所述操作者系统(11、25)具有用于存储由所述元数据导出的检验值的服务单元(24)，

所述控制器(27)配备有功能模块(28)，所述功能模块用于存储所述检验值，所述检验值经由所述控制器的所述模拟接口(7)由所述模拟框架(26)提供，

所述操作者系统(11、25)的过程映像(30)具有用于加载存储在所述功能模块(28)中的所述检验值的数据结构(29)，以及

所述操作者系统(11、25)的所述服务单元(24)设计用于将从所述模拟服务器(14)传输的检验值与存储在所述过程映像(30)中的检验值相比较。

4.根据权利要求3所述的自动化装置，其特征在于，

所述元数据(17)包括用于所述一个模拟模型的签名，其中，所述一个模拟模型借助第一私钥被签名，

在所述服务单元(24)中为所述一个模拟模型存储从所述模拟服务器(14)传输的并且由可信认证机构建立的模拟模型证书(20)，所述模拟模型证书包括所述元数据(17)的散列值和与所述第一私钥匹配的第一公钥(22)作为检验值，其中，在所述操作者系统的认证存储器中存储有用于所述模拟模型证书(20)的签名验证的第二公钥，

所述服务单元(24)设计用于借助所述第一公钥执行签名验证。

Images