CN108989042A - 用于授权更新自动化技术现场设备的方法 - Google Patents

用于授权更新自动化技术现场设备的方法 Download PDF

Info

Publication number
CN108989042A
CN108989042A CN201810509472.8A CN201810509472A CN108989042A CN 108989042 A CN108989042 A CN 108989042A CN 201810509472 A CN201810509472 A CN 201810509472A CN 108989042 A CN108989042 A CN 108989042A
Authority
CN
China
Prior art keywords
operating software
field device
component
software
assembly
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201810509472.8A
Other languages
English (en)
Other versions
CN108989042B (zh
Inventor
比约恩·哈泽
拉尔夫·施密特
马库斯·基利安
赫尔穆特·凯泰斯
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Endress and Hauser SE and Co KG
Endress and Hauser Conducta GmbH and Co KG
Original Assignee
Endress and Hauser SE and Co KG
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Endress and Hauser SE and Co KG filed Critical Endress and Hauser SE and Co KG
Publication of CN108989042A publication Critical patent/CN108989042A/zh
Application granted granted Critical
Publication of CN108989042B publication Critical patent/CN108989042B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F8/00—Arrangements for software engineering
    • G06F8/60—Software deployment
    • G06F8/65—Updates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/572—Secure firmware programming, e.g. of basic input output system [BIOS]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F8/00—Arrangements for software engineering
    • G06F8/60—Software deployment
    • G06F8/65—Updates
    • G06F8/654—Updates using techniques specially adapted for alterable solid state memories, e.g. for EEPROM or flash memories
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0891—Revocation or update of secret information, e.g. encryption key update or rekeying
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F8/00—Arrangements for software engineering
    • G06F8/60—Software deployment
    • G06F8/65—Updates
    • G06F8/658—Incremental updates; Differential updates

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Stored Programmes (AREA)

Abstract

本发明涉及一种用于授权更新自动化技术现场设备的方法。本发明涉及用于授权更新在自动化技术设施中使用的现场设备(FG)的第一操作软件(BS1)、特别是所述现场设备(FG)的固件的方法，其中，执行用于现场设备(FG)的第二操作软件(BS2)的认证测试，利用与该设施相关联的第一私钥(S1)来签名第二操作软件，其中，在认证测试的范围内，利用与该设施相关联的第一公钥(S1’)来认证第二操作软件(BS2)的由第一私钥(S1)生成的签名(SIG1)，以及其中，在认证测试已经成功执行的情况下，位于现场设备(FG)上的第一操作软件(BS2)至少部分地被第二操作软件(BS2)替换。

Description

用于授权更新自动化技术现场设备的方法
技术领域
本发明涉及一种用于授权更新自动化技术设施中使用的现场设备的方法。
背景技术
已经从现有技术中获知工业设施中使用的现场设备。在许多情况下，现场设备被用于自动化技术中，正如在制造自动化中一样。现场设备通常指的是面向过程并处理或提供过程相关信息的所有设备。因此，现场设备用于检测和/或影响过程变量。测量设备或传感器用于检测过程变量。它们例如用于压力和温度测量、电导率测量、流量测量、pH测量、填充水平测量等，并且检测压力、温度、电导率、pH值、填充水平、流量等相对应的过程变量。致动器用于影响过程变量。例如，这些泵或阀可能影响管路中的流体的流动或罐中的填充水平。除了上述测量设备和致动器之外，现场设备还被理解为包括远程I/O、无线电适配器、或通常在现场级处布置的设备。
各种这样的现场设备由Endress+Hauser集团生产和销售。
在现代工业工厂中，现场设备通常经由诸如现场总线( 现场总线、等)的通信网络连接到上级单元。高级单元是控制单元，诸如SPS(存储可编程控制器)或PLC(可编程逻辑控制器)。除其他外，更高级单元用于过程控制以及用于现场设备的调试。由现场设备(特别是由传感器)检测到的测量值经由各自的总线系统传输到(或可能若干)更高级别的单元，这些更高级别单元进一步适当地处理所测量的值，并且将其中继到工厂的控制站。控制站经由上级单元用于过程可视化、过程监控、和过程控制。此外，还需要从上级单元经由总线系统到现场设备的数据传递，特别是用于现场设备的配置和参数化以及用于致动器的控制。
在现场设备处，操作软件(更准确地说，称为固件)被实现用于执行现场设备的功能，例如，关于其测量功能，但也关于其人机界面(HMI)或其图形用户界面(GUI)，以及关于其到上级单元的接口。为了提供新功能和/或校正错误或安全漏洞，由现场设备制造商以或多或少定期的时间间隔提供固件的更新版本，应当利用该更新版本覆盖位于现场设备上的固件的旧版本。
在许多工业设施中，设施操作员在安装固件之前先检查固件，然后才准予发布更新现场设备。设施的安全操作对设施操作员而言很重要；然而，与此同时，他希望避免改变他的现场设备的测量操作，该测量操作通常是无误差的。目前，很可能会发生员工意外安装新版本的固件的情况，尽管这个版本尚未批准安装。
目前还没有解决这样的问题，即设施操作员一方面实际上希望继续使用旧版本的固件以便保持现场设备的测量功能不变，但另一方面需要较新版本的固件以便消除安全漏洞。
此外，存在这样的危险，即未经授权的个人可能将潜在有害的固件传递到现场设备，借助于该固件，他可能例如读出机密信息，例如参数设置，或者他可能例如通过停止测量和/或安全功能来破坏现场设备的操作。
发明内容
鉴于这个问题，本发明基于提出一种允许执行安全更新操作软件的方法的目的。
根据本发明，经由一种用于授权更新过程自动化设施中使用的现场设备的第一操作软件(特别是现场设备的固件)的方法来实现该目的，
其中，执行用于现场设备的第二操作软件的认证测试，利用与该设施相关联的第一私钥来签名第二操作软件，
其中，在认证测试的范围内，利用与该设施相关联的第一公钥来认证第二操作软件的由第一私钥生成的签名，以及
其中，在认证测试已经成功执行的情况下，位于现场设备上的第一操作软件至少部分地被第二操作软件替换。
根据本发明的方法的最大优点在于，在没有成功的认证测试的情况下，不能够将不同版本的操作软件加载到现场设备上，以替换已经位于现场设备上的操作软件的版本。没有签名或不匹配的签名的操作软件不能够替换位于现场设备上的操作软件的版本，由此根据本发明的方法允许安全更新位于现场设备上的固件。未经授权的人不能够加载受破坏的固件，因为他不拥有用其他可能签名他有害版本的固件的第一私钥。拥有第一公钥或关于第一公钥的知识不使能够由此计算出第一私钥。
特别地，例如RSA、DSA等的非对称方法或基于所谓的默克尔树(Merkle tree)的签名方法可以被认为是用于签名第二操作软件或用于签名的认证测试的加密方法。
结合本发明提及的现场设备已经在说明书的导言部分中以示例的方式进行了描述。
根据本发明的方法的特别优选的实施例，当第二操作软件接收到来自设施操作员的准予发布时，仅用第一私钥签名第二操作软件。特别地，设施操作员对测试现场设备检查，通过覆盖位于现场设备上的第一操作软件来修改现场设备的哪些功能，以及现场设备在(用)第二操作软件覆盖之后是否允许与使用第一操作软件时相同的操作。
在根据本发明的方法的有利实施例中，提供了利用第二私钥附加地签名第二操作软件，特别是由现场设备制造商附加地签名。以这种方式，向设施操作员确认现场设备制造商的原始操作软件的使用。
根据本发明的方法的优选实施例规定，在现场设备中的认证测试的范围内，利用第二公钥来认证由第二私钥生成的签名。对于未经授权的人来说，上载破坏的操作软件是非常困难的，因为他必须具有第一私钥和第二私钥二者的知识。为了测试由现场设备制造商生成的签名，所述制造商向客户传输与第二私钥相对应的第二公钥。拥有第二公钥或关于第二公钥的知识并不使得能够由此计算出第二私钥。
根据本发明的方法的第一有利变型，规定第一操作软件和第二操作软件分别包括第一组件和第二组件，其中，在用第二操作软件替换第一操作软件时，用第二操作软件的第一组件替换第一操作软件的第一组件。
根据本发明的方法的第二有利变型，规定第一操作软件和第二操作软件分别包括第一组件和第二组件，其中，在用第二操作软件替换第一操作软件时，用第二操作软件的第二组件替换第一操作软件的第二组件。
根据本发明的方法的第三有利变型，规定第一操作软件和第二操作软件分别包括第一组件和第二组件，其中，在用第二操作软件替换第一操作软件时，用第二操作软件的第一组件替换第一操作软件的第一组件，并且用第二操作软件的第二组件替换第一操作软件的第二组件。
所有三种变型的优点在于，尽管第一操作软件可以被第二操作软件完全替换，但这并不构成绝对必要。相反，可以用第二操作软件的相对应部分替换第一操作软件的部分，使得未更新部分保持不变。
根据本发明的方法的一有利实施例，规定仅需要第二操作软件的第二组件的认证测试的成功实现方式用于由第二操作软件替换第一操作软件。例如，在不需要认证的情况下，以这种方式，可以更新仅用于显示信息(例如，现场设备的显示器中的菜单结构)或用于提高安全性的那些功能，其中更新现场设备的关键功能(例如，关于测量功能或测量功能的精确实时行为)必须要求第二操作软件的成功认证测试。
在根据本发明的方法的有利实施例中，规定第一组件提供安全功能、HMI功能、GUI功能和/或到上级单元的接口。术语“安全”表示防止第三方操纵现场设备。以这种方式寻求保护现场设备不能够被未授权方破坏，或者防止能够通过未授权干预而关闭安全功能和/或改变现场设备的设备参数。
术语“HMI”(“人机界面”)被理解为例如现场设备的操作功能。术语“GUI”(“图形用户界面”)被理解为现场设备的显示元件，例如在其显示器上。GUI功能例如是在现场设备的显示器上或其菜单结构上呈现信息的方式。可以经由到上级单元的接口或者经由通信网络来访问现场设备。
在根据本发明的方法的有利实施例中，规定第二组件提供关于其测量功能影响现场设备的功能，特别是测量值检测的时间协调。
根据本发明的方法的有利发展，提供了将第一操作软件或第二操作软件的第一组件和第二组件分配以分开现场设备的处理单元，例如所谓的微控制器。在更新个别组件时，只有这些组件在其关联的处理单元处被覆盖。
附图说明
下面将参照附图更详细地解释本发明。说明如下:
图1是根据本发明的方法的示例性实施例的示意性概观。
具体实施例
图1示出了根据本发明的方法的应用示例的示意性概观。示出了被放置在过程设施的测量站中的现场设备FG。现场设备FG是用于检测过程变量(例如，管道中的压力或流速)的自动化技术现场设备。这种现场设备FG的附加应用已经在说明书的引言部分中详细解释。
该现场设备FG具有通信接口KS，并且经由所述通信接口KS连接到通信网络KN。通信接口KS是例如根据以太网、HART、Profibus、Modbus、或Foundation现场总线标准集成到现场设备FG中的现场总线接口。在这种情况下，通信网络KN是这样的自动化技术现场总线。现场设备FG经由通信网络KN与附加现场设备和具有一个或多个上级单元的控制级进行通信连接。根据本发明，操作单元BE参与与现场设备FG通信连接。特别地，操作单元BE是控制级的组件，例如工作站PC或在距设施一定距离处布置的服务器，特别是云使能服务器，即其经由互联网连接到设施的一个或多个组件，例如甚至直接连接到现场设备FG。
可替代地，通信接口KS被设计为服务接口(例如，无线或有线CDI接口，由申请人生产和销售的许多现场设备都具有该服务接口)，其被设计为建立独立于现场总线的附加通信网络，用于连接到操作单元BE。在这种情况下，操作单元BE尤其是移动操作单元，例如由申请人生产和销售的“Field Xpert”，或移动终端设备，诸如智能电话或平板电脑。这种类型的操作单元BE也可以连接到现场总线，并经由现场总线与现场设备FG通信。
在现场设备FG中实现第一操作软件BS1。该第一操作软件BS1由第一组件K1和第二组件K2组成。特别地，第一组件K1提供安全功能、HMI功能、和/或GUI功能，而特别地，第二组件K2提供关于其测量功能而影响现场设备FG的功能，特别是测量值检测的时间协调。
在开发和销售现场设备类型之后，这接收其固件的定期更新，并且因此接收第一操作软件BS1的定期更新。特别地，必须迅速地关闭所发现的安全漏洞，这就是为什么与第一操作软件的第一“快速移动”组件K1有关的更新比对第一操作软件BS1的第二“持久”组件K2的更新更频繁地发布。
为了更新第一操作软件BS1，第二(更当前的)操作软件BS2经由通信网络KN从操作单元BE加载到现场设备。这已由设施操作员进行了充分的测试和批准。在批准过程中，签名SIG 1已被添加到第二个操作软件。借助于第一私钥S1来计算该签名SIG1。由此，第一私钥S1的内容仅对设施操作员已知。
在接收到第二操作软件BS2之后，现场设备FG测试其真实性。为此，使用与第一私钥S1相对应的第一公钥S1’，该第一公钥S1’被存储在现场设备FG中。只有在已经成功地确认了真实性的情况下，现场设备FG才接受第二操作软件BS2，并且用第二操作软件BS2覆盖其已经存在的操作软件BS1。
在第二操作软件BS2的真实性不应当被成功确认的情况下，现场设备上存在的第一操作软件BS1不会用第二操作软件BS2覆盖。因此，未授权方不可能利用固件的未授权版本来破坏现场设备FG。此外，也不可能意外地使用尚未被设施操作员批准用于更新的固件的版本。此外，还可以规定作为第二操作软件BS2的创建者的现场设备制造商向该第二操作软件BS2提供有利用第二私钥S2创建的其自己的签名SIG2。在这种情况下，现场设备检查签名SIG1、SIG2二者并使用第二公钥S2’来测试真实性，该第二公钥S2’与第二私钥S2相对应。只有在两种情况下都已经成功地检查了真实性的条件下，才利用第二操作软件进行现场设备固件的更新。
在更新第一操作软件BS1时，两个组件K1、K2不必需要被更新。根据该应用，可以规定用于仅第一组件K1或仅第二组件K2将被更新。此外，可以规定仅签名第二操作软件BS2的第二组件K2’。因此只需要成功地实现第二操作软件BS2的第二组件K2’的认证测试。例如，在不需要认证的情况下，以这种方式，可以更新仅用于显示信息(例如，现场设备的显示器中的菜单结构)或用于提高安全性的那些功能，其中更新现场设备FG的关键功能必须要求成功地对第二操作软件BS2的第二组件K2’进行认证测试。
在一有利的实施例中，现场设备FG在其内部结构中具有两个或多个处理单元(例如，以微控制器的形式)；组件K1和K2在不同的处理单元上执行。该程序允许组件K1和K2彼此独立地修改，并且以简单的方式成功地用于各种配对。可替代地，能够在单个处理单元上执行组件K1和K2，并且能够经由诸如动态库接口(DLL)或者甚至使用被称为虚拟机的软件接口来合并这些组件，使得组件K1和K2可以在不同版本中共同操作。
为了实际地实现，对于软件组件的存储和传输，该方法有利地使用所谓的容器数据格式，例如经由扩展标记语言(XML)或经由用于在互联网上使用的X509标准的范围内使用的安全证书的区分编码规则(DER)标准化的容器数据格式。除了软件的源代码之外，元信息(例如，数字签名)也可以以这样的容器格式存储。同时，在这样的容器数据格式中，还能够将各种软件子组件K1、K2捆绑到公共文件中，并且将它们与诸如数字签名字段的公共或单独的元信息相关联。
在设施中启动时，将该设施的公钥(第一公钥S1’)传输到现场设备FG，其中现场设备FG被配置，使得在软件更新的情况下，这可以仅接受包含在所传输的容器数据文件中存储的有效签名字段作为元信息的软件，该签名字段是用第一私钥生成的。
因此，现场设备FG的配置可以有利地进行，使得对于批准过程的范围内的该设施所完成的、具有第一私钥S1’的附加签名SIG1仅针对包括对测量功能的直接影响的那些软件部分被强制执行。因此，即使尚未在设施操作员处执行正式批准过程，也可以快速输入安全补丁。
然后，针对设施操作员的批准过程将针对现场设备FG的新软件进行，使得首先发生测试功能能力(测量性能、时间响应、与控制中心处的驱动器的兼容性等)。在已经发生了正向测试(positive testing)之后，附加的元信息将由设施操作员用现场设备制造商的固件的容器文件中的正向测试固件的签名SIG1、SIG2来补充。附加地在数据文件中包含的该签名SIG1、SIG2将借助于由设施操作员保密的第一私钥S1来计算。
然后，可以在更新过程中将该补充文件传输到现场设备FG。由于其已经发生的配置，现场设备FG然后例如寻找设施操作员的有效签名字段，并且用所传输的第一公钥S1(在设备启动时从设施操作员传输)来测试该签名字段。
此外，现场设备可选地或可替代地使用现场设备制造商的同样已知的第二公钥S2(其例如已经在设备制造商的生产过程的范围内传输)检查第二签名字段(由现场设备制造商生成)的存在。
根据现场设备FG的配置，有利地为功能定义和安全定义软件子组件K1和K2设置不同的认证要求。例如，第一组件K1中的安全补丁可以仅基于现场设备制造商的有效签名SIG1(用第二私钥/公钥S2、S2’生成/测试)而被接受，而设施操作员的签名(用第一私钥/公钥S1、S1’生成/测试)对于测量功能(第二组件K2)将附加地成为强制性的。在一有利的实施例中，签名测试将外包给单独的硬件模块(称为智能卡芯片组)。这些芯片可用作硬焊或还可作为可插拔模块，这些芯片经由所谓的侧通道保护，尤其是经由安全密码硬件加速器，允许特别安全的实现。
在可插入的智能卡芯片组的情况下，由设施操作员对现场设备FG的初始参数化可以通过将设施操作员预配置的智能卡插入到现场设备FG的相关插座中来进行，类似于如何用移动电话实现所谓的“SIM”卡。
元件符号列表
BE 操作单元
BS1 第一操作软件
BS2 第二操作软件
FG 现场设备
K1,K2 第一操作软件的组件
K1’,K2’ 第二操作软件的组件
KN 通信网络
KS 通信接口
S1,S2 私钥
S1’,S2’ 公钥
SIG1,SIG2 签名

Claims (11)

1.一种用于授权更新在自动化技术设施中使用的现场设备(FG)的第一操作软件(BS1)、特别是所述现场设备(FG)的固件的方法，
其中，执行用于所述现场设备(FG)的第二操作软件(BS2)的认证测试，利用与所述设施相关联的第一私钥(S1)来签名所述第二操作软件，
其中，在所述认证测试的范围内，利用与所述设施相关联的第一公钥(S1’)来认证所述第二操作软件(BS2)的由所述第一私钥(S1)生成的签名(SIG1)，以及
其中，在所述认证测试已经成功执行的情况下，位于所述现场设备(FG)上的所述第一操作软件(BS1)至少部分地被所述第二操作软件(BS2)替换。
2.根据权利要求1所述的方法，其中，当所述第二操作软件(BS2)接收到来自设施操作员的批准时，仅用所述第一私钥(S1)签名所述第二操作软件(BS2)。
3.根据权利要求1或2所述的方法，其中，利用第二私钥(S2)——特别是由所述现场设备制造商——附加地签名所述第二操作软件(BS2)。
4.根据权利要求3所述的方法，其中，在所述认证测试的范围内利用第二公钥(S2’)认证由所述第二私钥(S2)生成的签名(SIG2)。
5.根据前述权利要求中的至少一项所述的方法，其中，所述第一操作软件(BS1)和所述第二操作软件(BS2)分别包括第一组件(K1、K1’)和第二组件(K2、K2’)，其中，在用所述第二操作软件(BS2)替换所述第一操作软件(BS1)时，所述第一操作软件(BS1)的第一组件(K1)被所述第二操作软件(BS2)的第一组件(K1’)替换。
6.根据权利要求1至4中的至少一项所述的方法，其中，所述第一操作软件(BS1)和所述第二操作软件(BS2)分别包括第一组件(K1、K1’)和第二组件(K2、K2’)，其中，在用所述第二操作软件(BS2)替换所述第一操作软件(BS1)时，所述第一操作软件(BS1)的第二组件(K2)被所述第二操作软件(BS2)的第二组件(K2’)替换。
7.根据权利要求1至4中的至少一项所述的方法，其中，所述第一操作软件和所述第二操作软件(BS2)分别包括第一组件(K1、K1’)和第二组件(K2、K2’)，其中，在用所述第二操作软件(BS2)替换所述第一操作软件(BS1)时，所述第一操作软件(BS1)的第一组件(K1)被所述第二操作软件(BS2)的第一组件(K1’)替换，并且所述第一操作软件(BS1)的第二组件(K2)被所述第二操作软件(BS2)的第二组件(K2’)替换。
8.根据权利要求6或7中的至少一项所述的方法，其中，仅需要成功地实现所述第二操作软件(BS2)的所述第二组件(K2’)的认证测试，以用所述第二操作软件(BS2)替换所述第二操作软件(BS1)。
9.根据权利要求5至8中的至少一项所述的方法，其中，所述第一组件(K1、K1’)提供安全功能、HMI功能、GUI功能和/或到上级单元的接口。
10.根据权利要求5至9中的至少一项所述的方法，其中，所述第二组件(K2、K2’)提供关于所述现场设备(FG)的测量功能影响所述现场设备(FG)的功能，特别是测量值检测的时间协调。
11.根据权利要求5至10中的至少一项所述的方法，其中，所述第一操作软件(BS1)或所述第二操作软件(BS2)的所述第一组件(K1、K1’)和所述第二组件(K2、K2’)被分配以分开所述现场设备(FG)的处理单元。
CN201810509472.8A 2017-05-31 2018-05-24 用于授权更新自动化技术现场设备的方法 Active CN108989042B (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE102017111928.0A DE102017111928A1 (de) 2017-05-31 2017-05-31 Verfahren zur autorisierten Aktualisierung eines Feldgeräts der Automatisierungstechnik
DE102017111928.0 2017-05-31

Publications (2)

Publication Number Publication Date
CN108989042A true CN108989042A (zh) 2018-12-11
CN108989042B CN108989042B (zh) 2021-07-09

Family

ID=64278740

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201810509472.8A Active CN108989042B (zh) 2017-05-31 2018-05-24 用于授权更新自动化技术现场设备的方法

Country Status (3)

Country Link
US (1) US10402190B2 (zh)
CN (1) CN108989042B (zh)
DE (1) DE102017111928A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113536332A (zh) * 2020-04-22 2021-10-22 恩德莱斯和豪瑟尔分析仪表两合公司 验证自动化技术模块化现场设备电子模块真实来源的方法

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102016119548A1 (de) * 2016-10-13 2018-04-19 Endress+Hauser SE+Co. KG Verfahren zur Datenübertragung zwischen einem Feldgerät der Automatisierungstechnik und einer Kommunikationsbox
DE102017102677A1 (de) * 2017-02-10 2018-08-16 Endress+Hauser Conducta Gmbh+Co. Kg Verfahren zur Authentifizierung eines Feldgeräts der Automatisierungstechnik
JP7174237B2 (ja) * 2018-11-29 2022-11-17 富士通株式会社 鍵生成装置、鍵更新方法および鍵更新プログラム
JP7127585B2 (ja) * 2019-03-12 2022-08-30 オムロン株式会社 セーフティシステムおよびメンテナンス方法
DE102020111019A1 (de) * 2020-04-22 2021-10-28 Endress+Hauser Conducta Gmbh+Co. Kg Verfahren zur Überprüfung der Authentizität von elektronischen Moduleneines modular aufgebauten Feldgeräts der Automatisierungstechnik
DE102022103950A1 (de) * 2022-02-18 2023-08-24 Endress+Hauser Process Solutions Ag Verfahren zum Überprüfen der Originalität einer Firmware eines Feldgeräts der Automatisierungstechnik
EP4236192A1 (de) 2022-02-25 2023-08-30 VEGA Grieshaber KG Vorrichtung und verfahren zum tauschen eines öffentlichen schlüssels im zuge eines firmware-updates bei füllstandsensoren

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101149773A (zh) * 2007-08-27 2008-03-26 中国人民解放军空军电子技术研究所 一种基于软件实名认证的系统及其安全查证方法
CN101340282A (zh) * 2008-05-28 2009-01-07 北京易恒信认证科技有限公司 复合公钥的生成方法
US20090094460A1 (en) * 2007-10-09 2009-04-09 Radim Dedek Method and system for signer self-managed, encryption-based identification and signature secret management to verify signer and to legitimize basic digital signature without the use of certificates, tokens or PKI (private key infrastructure)
CN102662692A (zh) * 2012-03-16 2012-09-12 北京经纬恒润科技有限公司 一种电子控制单元中应用程序的更新方法及系统
US20140040873A1 (en) * 2008-08-12 2014-02-06 Adobe Systems Incorporated Updating Applications Using Migration Signatures
US20140344581A1 (en) * 2013-05-16 2014-11-20 Cisco Technology, Inc. Secure Upgrades for Field Programmable Devices

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080052699A1 (en) * 2006-08-02 2008-02-28 Baker Steven T Syncronized dual-processor firmware updates
US8150039B2 (en) * 2008-04-15 2012-04-03 Apple Inc. Single security model in booting a computing device
US20170090909A1 (en) * 2015-09-25 2017-03-30 Qualcomm Incorporated Secure patch updates for programmable memories

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101149773A (zh) * 2007-08-27 2008-03-26 中国人民解放军空军电子技术研究所 一种基于软件实名认证的系统及其安全查证方法
US20090094460A1 (en) * 2007-10-09 2009-04-09 Radim Dedek Method and system for signer self-managed, encryption-based identification and signature secret management to verify signer and to legitimize basic digital signature without the use of certificates, tokens or PKI (private key infrastructure)
CN101340282A (zh) * 2008-05-28 2009-01-07 北京易恒信认证科技有限公司 复合公钥的生成方法
US20140040873A1 (en) * 2008-08-12 2014-02-06 Adobe Systems Incorporated Updating Applications Using Migration Signatures
CN102662692A (zh) * 2012-03-16 2012-09-12 北京经纬恒润科技有限公司 一种电子控制单元中应用程序的更新方法及系统
US20140344581A1 (en) * 2013-05-16 2014-11-20 Cisco Technology, Inc. Secure Upgrades for Field Programmable Devices

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113536332A (zh) * 2020-04-22 2021-10-22 恩德莱斯和豪瑟尔分析仪表两合公司 验证自动化技术模块化现场设备电子模块真实来源的方法

Also Published As

Publication number Publication date
DE102017111928A1 (de) 2018-12-06
US20180349127A1 (en) 2018-12-06
US10402190B2 (en) 2019-09-03
CN108989042B (zh) 2021-07-09

Similar Documents

Publication Publication Date Title
CN108989042A (zh) 用于授权更新自动化技术现场设备的方法
US20240007478A1 (en) Operator action authentication in an industrial control system
US11032066B2 (en) Method for tamper-proof storage of data of a field device
US8327130B2 (en) Unique identification of entities of an industrial control system
CN105278327B (zh) 工业控制系统冗余通信/控制模块认证
US20170093584A1 (en) Authentication between industrial elements in an industrial control system
EP3568795B1 (en) Techniques for genuine device assurance by establishing identity and trust using certificates
US10728037B2 (en) Method for authenticating a field device of automation technology
US20090204958A1 (en) Method for Starting a Field Device for Process Automation Engineering
EP3823425B1 (en) Operator action authentication in an industrial control system
TWI599906B (zh) Program update device, complex cell device, update decision program product and program update method
CN112005535B (zh) 用于保护自动化部件的方法
US20210092107A1 (en) Secure off-premises access of process control data by a mobile device
DE102016107045A1 (de) Verfahren und System zum sicheren Konfigurieren eines Feldgeräts der Prozessautomatisierung
JP5472708B2 (ja) 検証装置とこれを用いたフィールド機器ソフトウェア更新システム
US20220353063A1 (en) Method for validating or verifying a field device
CN116601571A (zh) 针对边缘设备与基于云的服务平台之间的连接的蜜罐
CN112787804A (zh) 执行现场设备与操作设备之间的取决于许可的通信的方法
US20220417253A1 (en) System and method for managing data of an automation field device in a secure manner against manipulation
EP4075308A1 (en) Control device, control system, management method, and program
US20220137601A1 (en) Certificate Management Integrated into a Plant Planning Tool
CN118226805A (zh) 自动化技术现场设备和现场设备的安全操作的方法
CN110088759A (zh) 用于可编程设备的统一编程环境
CN113536332A (zh) 验证自动化技术模块化现场设备电子模块真实来源的方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant