CN110068357A - 传感器数据的验证 - Google Patents

Abstract

本发明涉及传感器数据的验证。本发明的各种实施例有助于实现传感器（101‑104）和传感器的信令线路的完整性验证。根据各种实施例，这是通过下述操作来实现的：执行信令线路上的噪声信号的分析；以及发射指示分析的结果的检验数据。

Description

传感器数据的验证

技术领域

本发明的各种实施例总体上涉及传感器读出。本发明的各种实施例具体涉及基于噪声信号而对传感器的传感器数据的验证。

背景技术

传感器用于测量各种物理可观察量，例如温度、压力、流量、电压、电流、功率、相位、能量等。可以使用传感器信号将关联的测量值发射到控制单元。传感器信号指示一个或多个测量值。传感器信号可以是模拟的或数字的。为了发射传感器信号，可以使用信令线路。信令线路可以是有线的或无线的。

如果传感器信号被操控，则存在损坏、数据丢失等的风险。例如，关于自动化制造，存在避免依赖于传感器信号的操控的这种攻击向量的需要。因此，为了基于传感器信号实现系统的可靠操作，存在保护传感器信号以免受操控的需要。例如，已知参考技术，其中通过密码技术来保护经数字编码的传感器信号。这种技术不容易适用于模拟传感器信号。

"Sensor-Authentisierung anhand eines Rauschsignals" Journal TechnikUp2date 2012 #19, Pages 13-14, ISBN: 978-3-942905-45-9; Volume No.: 99,17.9.2012公开了基于噪声信号来检验传感器信号。

US 2005/0213755 A1公开了：观察与来自数字设备的通信相关联的模拟信号，以及在至少部分地基于模拟系统对数字设备进行表征的基础上，提供安全性特征。安全性特征可以是入侵检测安全性特征。

Formby, David, et al. "Who's in Control of Your Control System Device Fingerprinting for Cyber-Physical Systems." NDSS 2016公开了针对电力网络和工业设备检验设备指纹。对促动器对电力网络的物理影响进行检测和分析。

Gerdes, Ryan M., et al. "Device Identification via Analog SignalFingerprinting: A Matched Filter Approach." NDSS. 2006公开了基于用于数字通信的网络设备的模拟信号性质来识别该网络设备。

这种参考技术面临着某些限制和缺陷。例如，根据这种参考实现方式，可能在控制单元和/或传感器处要求硬件以实现验证功能。这可能使系统变复杂并可能限制对验证功能进行翻新的能力。进一步地，在各种使用情况中采用验证功能的灵活性可能是有限的。

发明内容

因此，存在针对包括验证功能的传感器读出的先进技术的需要。具体地，存在针对克服或减轻上述限制或缺陷中的至少一些的技术的需要。

该需要由独立权利要求的特征满足。从属权利要求的特征限定了实施例。

一种方法包括：建立噪声信号。所述噪声信号处于传感器的信令线路上。所述方法还包括：执行所述噪声信号的分析。所述方法还包括：发射指示所述分析的结果的检验数据。

一种计算机程序产品或计算机程序包括程序代码。所述程序代码可以由控制电路执行。执行所述程序代码使所述控制电路执行包括建立噪声信号的方法。所述噪声信号处于传感器的信令线路上。所述方法还包括：执行所述噪声信号的分析。所述方法还包括：发射指示所述分析的结果的检验数据。

例如，所述检验数据可以被发射到控制单元。所述控制单元可以被配置成处理由所述传感器在所述信令线路上提供的传感器信号。这可以便于在控制单元处采取适当对策。

可替换地或附加地，所述检验数据可以被发射到后端系统的服务器，例如经由因特网。这可以便于采取全局对策，例如将经修改的传感器或系统添加到黑名单等。

例如，所述方法可以由分析单元执行，例如，由所述分析单元的控制电路执行。所述分析单元可以在物理上区别于或远离于所述控制单元。在其他示例中，所述分析单元可以与所述控制单元协同定位。

所述检验数据的发射可以是在例如所述控制单元与所述分析单元之间建立的控制信令线路上实现的。所述控制信令线路可以是使用无线通信和/或固定线通信来实现的。

通过发射指示分析的结果的检验数据，分离地实现噪声信号的分析和传感器信号的处理（例如，使用控制单元和分析单元）变得可能。这有助于翻新这种验证功能。可能不要求修改控制单元。

所述噪声信号可能与所述传感器信号不同。例如，经叠加的信号可能包括所述噪声信号和所述传感器信号两者。经叠加的信号可能存在于所述信令线路上。例如，所述噪声信号可能减小所述传感器信号的信噪比。例如，所述噪声信号可能占据与所述传感器信号不同的谱、与所述传感器信号重叠的谱或与所述传感器信号一致的谱。

所述噪声信号可以是至少部分随机或伪随机的。所述噪声信号可以是根据所述传感器与所述传感器的环境之间的环境交互来生成的。所述噪声信号可以是使用信号生成器来生成的。例如，可以使用包括扩出谱分量（spread out spectral components）的白噪声信号或扩频噪声信号。所述噪声信号还可以被称作所述传感器信号的完整性指纹：这可以是因为传感器信号的验证基于噪声信号而变得可能，即，检验是否发生了传感器信号的操控（例如，由于传感器和/或信令线路的操控所致）。

所述检验数据可以包括密码密钥。所述密码密钥可能被要求以用于处理所述传感器信号。

根据各种示例，建立噪声信号的不同技术是可想到的。在第一示例中，所述噪声信号的建立包括：使用所述信令线路的读出（诸如，感应读出）来检测所述噪声信号。例如，所述感应读出可以包括所述信令线路的杂散电磁场的检测。为此，可以使感应绕组非常邻近于所述信令线路，以便检测电磁杂散场。再一次，这便于翻新，因为可能不要求修改信令线路的完整性；而是，外部读出变得可能。

可替换地或附加地，在进一步的示例中，所述噪声信号的建立包括：接收对所述噪声信号进行数字编码的控制数据。例如，所述控制数据可以是从所述控制单元接收的。例如，所述控制单元可以被配置成基于经叠加的信号将所述噪声信号与所述传感器信号分离。这可以是关于噪声消除而实现的。然后，所述控制单元可以对所述噪声信号进行数字编码，例如使用指示所述噪声信号的多比特指示器。在这种场景中，硬件实现方式可以被简化，这是因为可能不要求针对噪声信号的读出提供分离的硬件。而是，可以重用所述控制单元的模数转换器，以用于既将所述传感器信号转换到数字域中又将所述噪声信号转换到数字域中。

所述方法可以进一步包括：关于多个类别，执行所述噪声信号的分析的结果的分类。然后，所述检验数据可以指示所述分类。可以针对所述检验数据采用使用预定义映射的相应码本。

这种技术基于下述研究结果：可以以不同细节级别提供分析的结果。例如，在简单场景中，所述检验数据可以指示所述分析的结果是否指示所述传感器和/或所述信令线路的修改，即，所述分析的结果是否指示完整性的破坏。这可以是利用1比特“是/否”标记实现的。所述细节级别是低的。在更复杂的场景中，可以提供更高细节级别处的更大信息深度。这里，将可能的是，在是否已经发生修改的仅有指示之外，所述分析的结果指示与所述传感器信号的验证功能相关联的附加信息。在这种场景中，可能有帮助的是，关于所述多个类别执行所述分析的结果的分类，从而便于在所述控制单元处采取适当对策。取决于修改类型，不同对策可以是适当的。例如，它们可以是可使得必须在控制单元处采取不同动作的较不严重和较严重的类别。示例类别包括：所述传感器的操控；所述信令线路的操控；低严重性操控；高严重性操控；所述传感器的故障；以及所述信令线路的故障。

在进一步的示例中，所述分类可以指示不同操控种类和类型。例如，固件、函数调用、存储器读取地址或存储器写入地址、通信协议或通信接口等的操控都可以被所述分析的结果的分类基于其而进行操作的适当类别所覆盖。

这里，在一方面的外部操控与另一方面的内在故障之间进行区分可以是可能的。判断故障的严重性（例如，就自包含的故障或传播的故障而言）可以是可能的。这有助于采取定制的对策。

根据一些示例，可以接收指示信号生成器的配置的配置数据。信号生成可以被配置成生成所述噪声信号。然后，所述噪声信号的建立和/或所述分析的执行可以基于所述配置数据。

通过这种技术，可以实现一方面用于生成所述噪声信号的信号生成器与用于执行所述噪声信号的分析的分析单元之间的同步。这可以有助于将噪声信号与传感器信号进行辨别。例如，可以可靠地建立所述噪声信号，例如通过将所述噪声信号与包括所述噪声信号和所述传感器信号两者的经叠加的信号分离。

这里，将可能的是，所述信号生成器的配置包括所述噪声信号的信号电平。可替换地或附加地，所述配置可以包括所述噪声信号的频谱。这可以有助于对针对所述噪声信号而期望的特定信号性质定制分析。

在一些示例中，所述分析可以包括所述噪声信号与预定义参考信号的比较。例如，可以在所述噪声信号与所述参考信号之间实现时域相关性。

可替换地或附加地，所述分析可以包括异常检测。这可以涉及机器学习技术。例如，可以使用机器学习技术来训练分类算法。然后，基于该分类算法，可以检测指示所述传感器和/或所述信令线路的修改的异常。

可替换地或附加地，所述分析可以包括谱分析。这里，例如，可以针对包括所述噪声信号和所述传感器信号两者的经叠加的信号的不同谱分量而确定功率谱密度。然后，基于所述功率谱密度，可以判断是否已经存在所述传感器和/或所述信令线路的修改。

一般地，这种分析技术是本领域中已知的，且可以被容易地应用在本文描述的场景中。因此，此时不存在提供关于分析的进一步细节的需要。

一种方法包括：在传感器的信令线路上接收传感器信号。所述方法还包括：接收检验数据。所述检验数据指示所述信令线路上的噪声信号的分析的结果。所述方法还包括：取决于所述检验数据，选择性地处理所述传感器信号。

一种计算机程序产品或计算机程序包括程序代码。所述程序代码可以由控制电路执行。执行所述程序代码使所述控制电路执行包括在传感器的信令线路上接收传感器信号的方法。所述方法还包括：接收检验数据。所述检验数据指示所述信令线路上的噪声信号的分析的结果。所述方法还包括：取决于所述检验数据，选择性地处理所述传感器信号。

例如，所述方法可以由控制单元执行，例如，由所述控制单元的控制电路执行。所述控制单元可以包括输入接口。例如，在其中在模拟域中在所述信令线路上传送所述传感器信号的场景中，所述输入接口可以包括模数转换器。在其他场景中，还将可能的是，在数字域中在所述信令线路上传送所述传感器信号。这里，所述传感器信号可以对所述传感器的测量值进行数字编码。在这种场景中，所述传感器可以包括模数转换器。

将可能的是，所述传感器信号被包括在经叠加的信号中；经叠加的信号可以包括所述传感器信号和所述噪声信号两者。然后，根据某些技术，可以实现噪声消除，以便提取所述传感器信号。噪声消除一般可以指代将所述传感器信号与所述噪声信号分离的技术。这里，根据某些实现方式，可以在所述传感器信号中保留所述噪声信号的残余贡献，从而定义所述传感器信号的信噪比。

所述检验数据可以是从分析单元接收的。所述分析单元可以远离于所述控制单元和/或与所述控制单元分离地实现。从而，可以便于所述验证功能的翻新。

例如，如果所述检验数据指示所述传感器信号的完整性的破坏，则可以不实现和/或中止所述传感器信号的处理。以不同方式，如果所述检验数据不指示所述传感器信号的修改，则可以执行、继续或开始所述传感器信号的处理。

再一次，将可能的是，所述检验数据指示关于多个类别而对所述分析的结果的分类。然后，取决于特定分类，可以采取关于所述传感器信号的处理的不同动作。例如，取决于所述分类，可以以不同方式处理所述传感器信号。

根据某些场景，可以检测所述噪声信号；这可以被实现为在基于经叠加的信号将所述传感器信号与所述噪声信号分离时的噪声消除的一部分。然后，所述方法可以进一步包括：发射对所述噪声信号进行数字编码的控制数据，例如发射到所述分析单元。这可以有助于简化硬件架构，这是因为可能不要求实现与噪声信号的分析相关联的信令线路的分离读出。

例如，所述检验数据可以包括密码密钥。然后，可以基于所述密码密钥来处理所述传感器信号。这种实现方式可以有助于在基于噪声信号的分析而检测到完整性的破坏的情况下有效地抑制传感器信号的处理。这可以减轻相应攻击向量。

可替换地或附加地，基于所述分析的结果删除与所述传感器信号的所述处理相关联的密码密钥将是可能的。再一次，这有助于在检测到完整性的破坏的情况下有效地防止传感器信号被处理。这种技术可以被称作零化。攻击向量可以被减轻。

根据示例，一种方法包括：操作信号生成器以生成噪声信号。所述方法可以进一步包括：将所述噪声信号馈送到传感器的信令线路。

一种计算机程序产品或计算机程序包括程序代码。所述程序代码可以由控制电路执行。执行所述程序代码使所述控制电路执行包括操作信号生成器以生成噪声信号的方法。所述方法可以进一步包括：将所述噪声信号馈送到传感器的信令线路。

所述方法可以可选地包括：将所述传感器的传感器信号馈送到所述信令线路。从而，可以获得包括所述噪声信号以及所述传感器信号两者的经叠加的信号。

例如，所述方法可以包括：基于所述传感器的传感器信号来设置所述信号生成器的配置。凭借所述信号生成器的配置，可以减轻所述传感器信号与所述噪声信号之间的干扰。例如，可以凭借所述配置来适当地设置所述噪声信号的信号电平和/或所述噪声信号的频谱。从而，将可能的是，实现频分双工技术以便于对应控制单元处的噪声消除。

可以发射指示所述信号生成器的配置的配置数据。例如，所述配置数据可以被发射到所述控制单元，从而便于所述控制单元处的噪声消除。可替换地或附加地，所述配置数据可以被发射到被配置成分析所述噪声信号的分析单元，从而验证所述传感器信号。提供指示所述配置的配置数据可以有助于实现所述噪声信号的分析。

所述信号生成器可以被操作以基于密码密钥来生成所述噪声信号。例如，所述密码密钥可以是从所述分析单元接收的。从而，可以减轻包括所述噪声信号的生成的修改的攻击向量。

一种分析单元包括：控制电路，被配置成在传感器的信令线路上建立噪声信号。所述控制电路还被配置成：执行所述噪声信号的分析；以及发射指示所述分析的结果的检验数据。

一种控制单元包括：控制电路，被配置成执行在传感器的信令线路上接收传感器信号。所述控制电路进一步被配置成：接收检验数据。所述检验数据指示所述信令线路上的噪声信号的分析的结果。所述控制电路还被配置成：取决于所述检验数据，选择性地处理所述传感器信号。

一种传感器包括：控制电路，被配置成执行操作信号生成器以生成噪声信号。所述方法可以进一步包括：将所述噪声信号馈送到传感器的信令线路。

应当理解，上述特征和下面待解释的特征不仅可以以所指示的相应组合使用，而且可以在不脱离本发明的范围的情况下以其他组合或孤立地使用。

附图说明

图1示意性地图示了根据各种示例的包括传感器、控制单元和分析单元的系统。

图2是根据各种示例的方法的流程图。

图3是根据各种示例的方法的流程图。

图4是根据各种示例的方法的流程图。

图5是图示了根据各种示例的多个传感器、控制单元和分析单元之间的通信的信令图。

图6是图示了根据各种示例的多个传感器、控制单元和分析单元之间的通信的信令图。

图7示意性地图示了根据参考实现方式的系统。

图8示意性地图示了根据各种示例的包括传感器、控制单元和分析单元的系统。

图9示意性地图示了根据各种示例的分析单元。

图10示意性地图示了根据各种示例的控制单元和分析单元。

具体实施方式

在下文中，将参考附图来详细地描述本发明的实施例。应当理解，不应在限制的意义上理解实施例的以下描述。不意在由下文中描述的实施例或由附图限制本发明的范围，附图被理解为仅是图示性的。

附图应被视为示意性表示，并且附图中图示的元件不必然按比例示出。而是，各种元件被表示成使得它们的功能和一般目的对本领域技术人员来说变得明显。还可以通过间接连接或耦合来实现图中所示或本文描述的功能块、设备、部件或者其他物理或功能单元之间的任何连接或耦合。还可以在无线连接上建立部件之间的耦合。可以以硬件、固件、软件或其组合实现功能块。

在下文中，描述了验证传感器信号的技术。可以检测完整性的破坏。这有助于减轻包括传感器和/或传感器的信令线路的修改的攻击向量。传感器从而可以连接到用于以受保护的方式处理传感器信号的控制单元。

根据示例，建立传感器的信令线路上的噪声信号。这可以包括：从包括传感器信号和噪声信号两者的经叠加的信号中提取传感器信号。然后，分析单元（其可以与用于处理传感器信号的控制单元分离）可以执行噪声信号的分析。基于分析的结果，可以从分析单元发射检验数据并且然后可以由控制单元接收检验数据。控制单元然后可以基于检验数据来选择性地处理传感器数据。

从而，检验传感器和/或传感器线路是否已经被操控和/或经历故障是可能的。具体地，通过依赖于分析单元，验证功能的翻新变得可能，典型地无需传感器和控制单元的显著修改。

例如，分析可以包括噪声信号与参考信号的比较；如果检测到噪声信号从参考信号的偏离，则检验数据可以触发警告。

一般来说，可以关于验证功能而实现各种对策。例如，可以控制人机界面以显示警告消息。可替换地或附加地，受影响的传感器可以被解耦，以使得传感器可以被检测为“不存在”或处于故障状态中。控制单元可以采取适当对策，例如，在自包含操作模式中激活安全状态或自动关闭。对这种警告来说可替换地或附加地，控制数据可以在传感器和/或信令线路的修改已经被检测到的情况下中止传感器数据的处理。这有助于避免传感器数据中包括的不可靠的经修改的测量值的处理。

一般来说，本文描述的场景可以在各种使用情况中找到应用。例如，传感器可以用于控制自动化系统，诸如发电厂、涡轮机、发电机、风车、铁道引擎、工业2.0制造设施、旅客捷运系统、诸如医学成像装置之类的医学装备等。本文描述的场景可以基于所信任的传感器信号来便于这种自动化系统的安全操作。可以通过本文描述的完整性验证来提高传感器信号的信任级别。

图1示意性地图示了关于包括多个传感器101、102的系统100的方面。在一些示例中，系统100可以仅包括单个传感器或多于两个传感器。

根据本文描述的各种技术，传感器可以被配置成测量物理可观察量。可以测量不同物理可观察量，例如温度、压力、加速度等。系统100的不同传感器可以测量不同物理可观察量或相同物理可观察量。

传感器101、102经由信令线路105、106与控制单元111耦合。

控制单元111可以包括控制电路。例如，控制电路可以是使用微处理器、现场可编程阵列（FPGA）和专用集成电路（ASIC）中的一个或多个来实现的。控制单元100还可以包括接口，该接口被配置成在信令线路105、106上从传感器101、102接收传感器信号。

传感器信号可以指示相应测量值，例如，测量值的时间演进。传感器信号可以是在数字域或模拟域中提供的。

信令线路105、106可以被实现为固定线连接和/或无线连接。

系统100还包括分析单元121。

再一次，分析单元121可以包括例如由微处理器、FPGA或ASIC实现的控制电路。分析单元121可以包括被配置用于与控制单元111通信的接口。分析单元121可以被配置成执行信令线路105、106的噪声信号的分析。为了在分析单元121处建立噪声信号，不同技术是可想到的。在一个场景中，分析单元121可以使用信令线路105、106的读出（例如，感应读出）（图1中由虚线箭头图示）来检测噪声信号。在其他场景中，将可能的是，通过从控制单元111接收对噪声信号进行数字编码的控制数据来建立噪声信号。

然后，基于噪声信号的分析，可以由分析单元121发射检验数据并且可以由控制单元111接收检验数据。检验数据可以指示分析的结果。

从而，（如果需要的话，在控制单元111处）采取适当对策变得可能，例如，如果分析的结果指示由于传感器101、102和/或信令线路105、106的修改所致的传感器信号的完整性的破坏。

例如，取决于检验数据，控制单元111可以或可以不处理传感器信号。

关于图2-4更详细地解释由系统100提供的验证功能。图2-4图示了由传感器101、102、分析单元121和控制单元111执行的逻辑的方面。

图2是根据各种示例的方法的流程图。例如，根据图2的方法可以由根据图1的示例的传感器101、102之一执行，例如，由相应控制电路执行。图2图示了关于生成噪声信号的方面。

在图2的场景中，在框5001处，操作信号生成器以生成噪声信号。

接下来，在框5002处，将噪声信号馈送到相应传感器的信令线路。从而，可以形成经叠加的信号，其包括指示由传感器测量的物理可观察量的传感器信号以及噪声信号两者。

在图2的场景中，操作信号生成器以生成噪声信号。然而，在其他场景中，还将可能的是，噪声信号不是通过操作信号生成器来生成的；而是通过与传感器的环境的交互来内在地生成的。因此，噪声信号可能由于环境影响（诸如干扰、串扰、热效应等）而固有地存在。

根据各种示例，将可能的是，在5001处，基于密码密钥来生成噪声信号。例如，取决于密码密钥，可以生成伪随机信号作为噪声信号。可以生成扩频带信号。

根据各种场景，信号生成器生成噪声信号的灵活操作是可能的。例如，将可能的是，基于传感器的传感器信号来设置信号生成器的配置。例如，该配置可以促进传感器信号与噪声信号之间的减小的串扰或干扰。这可以是通过适当地选择该配置来实现的。该配置可以包括噪声信号的信号电平。该配置可以包括噪声信号的频谱。然后，可以在模数转换器处实现适当滤波。可以根据噪声消除（例如，在控制单元111的接口处）来实现滤波。例如，可以实现带通滤波器、低通滤波器或高通滤波器。

为了便于经叠加的信号的分量的这种分离，将可能的是，根据图2的方法进一步包括：发射指示信号生成器的配置的配置数据。然后，基于这种配置数据，实现噪声消除技术是可能的。而且，可以准确地实现噪声信号的分析。例如，通过不时地灵活调整噪声信号的生成，可以提供新鲜度，从而减轻诸如重放攻击之类的攻击向量。

图3是根据各种示例的方法的流程图。例如，根据图3的方法可以由根据图1的场景的分析单元121执行，例如，由分析单元121的控制电路执行。

在框5011处，建立噪声信号。存在可用于在5011处建立噪声信号的不同技术。例如，可以从传感器的模拟信令线路读出噪声信号，例如使用感应读出。这种场景便于简单翻新，这是因为可以在不修改信令线路或传感器或控制单元的情况下实现噪声信号的这种读出。然后，现有系统不必通过功能测试等，这是因为诸如传感器、信令线路和控制单元之类的现有部件不受读出影响。这可能对于安全监视系统而言特别重要，这是因为在这种场景中不要求噪声信号的检测和噪声信号的分析作为经安全证明的例程的一部分。另一方面，特别地对于安全监视系统，存在针对传感器和/或信令线路的修改而验证传感器信号的持续需要。

在框5011的另一示例实现方式中，不要求噪声信号由执行图3的方法的分析单元的对应逻辑检测。而是，接收对噪声信号进行数字编码的控制数据（例如，从被配置成处理传感器信号的控制单元）将是可能的。这可以在下述情况下有帮助：控制单元已经被配置成通过实现用于在经叠加的信号中将传感器信号与噪声信号分离的噪声消除来检测噪声信号。然后，这种功能可以被重用以建立噪声信号。

接下来，在框5012处，执行噪声信号的分析。这可以例如包括检验噪声信号与参考信号之间的匹配。一般来说，框5012处的分析可以依赖于各种参考技术，例如，诸如功率谱密度的分析之类的统计分析、异常检测、指纹提取、模式检测、谱分析、机器学习等。

在一些场景中，将可能的是，该方法进一步包括：接收指示被配置成生成噪声信号的信号生成器的配置的配置数据，参见图2：框5001。然后，框5012的分析和/或框5011的噪声信号的建立可以是基于该配置数据来实现的。例如，该配置数据可以便于噪声信号与经叠加的信号的其他分量的分离。例如，通过灵活调整噪声信号的生成，可以提供新鲜度，从而减轻诸如重放攻击之类的攻击向量。

在简单场景中，框5012处的分析的结果指示关于传感器信号的成功验证的“是/否”辨别。在其他场景中，与分析的结果有关的更多信息可以是可用的。分析的结果可以是以更高细节级别提供的。例如，分析的结果可以被分类。这里，对于分类而言，相应类别可以是预定义的。示例类别关于修改的关键性级别进行辨别，修改的关键性级别诸如是：低严重性操控相对于高严重性操控；从参考信号的偏差的类型；传感器的故障相对于信令线路的故障；传感器的操控相对于信令线路的操控；等等。

因此，一般来说，可以关于多个类别执行分析的结果的分类。然后，检验数据可以指示该分类。这有助于定制在控制单元处实现的对策，例如，如果传感器信号的验证失败。例如，取决于失败的验证的严重性，可以实现不同对策，例如，在较不严重的场景中可以控制图形用户界面以显示警告消息，或者在较严重的场景中可以实现所控制的系统的紧急停止。

在5013处，发射指示分析的结果的检验数据。例如，可以将检验数据发射到控制单元111（参见图1）。检验数据可以指示分析的结果的分类。

如果传感器信号不能被验证，则检验数据可以促进对策。例如，检验数据可以触发禁用对应传感器。例如，检验数据可以包括警告消息，使得控制单元可以采取适当对策。

将可能的是，检验数据包括密码密钥。密码密钥可以是在控制单元111处使用的。密码密钥然后可以被控制单元111用于以下各项中的至少一个或多个：解密；加密；签名的计算；签名的验证；密钥实例化。取决于分析的结果，检验数据可以选择性地包括密码密钥。例如，如果分析指示传感器和/或信令线路的修改，则密码密钥可以不包括在检验数据中。

对将检验数据发射到控制单元来说可替换地或附加地，将检验数据发射到后端系统的服务器也将是可能的。例如，这可以是基于蜂窝通信连接来实现的。可以实现加入黑名单。可以给安全控制设备提供检验数据。

图4图示了根据各种示例的方法。例如，根据图4的场景的方法可以由图1的场景的控制单元111执行，例如，由控制单元111的相应控制电路执行。

在框5021处，接收传感器信号。例如，在框5021处，可以接收包括传感器信号和噪声信号的经叠加的信号。然后，基于噪声消除技术，可以提取传感器信号。传感器信号可以是经由对应传感器的信令线路来接收的。传感器信号可以是在数字域或模拟域中接收的。由此，框5021可以包括模数转换。

接下来，在框5022处，接收检验数据。检验数据指示信令线路上的噪声信号的分析的结果。由此，框5022可以与框5013相互关联。

在框5023处，检验是否已经凭借检验数据验证在框5021处接收到的传感器信号的完整性。因此，取决于检验数据，在框5024处处理传感器信号；或者在框5025处不处理传感器信号。

框5024处的处理可以涉及：使用检验数据中包括的密码密钥。这通过减轻试图规避检验数据的接收的攻击向量来提高安全性级别。

图5是图示了根据各种示例的传感器101、102、控制单元111和分析单元121之间的通信的信令图。

在4001处，由传感器101发射传感器信号3001并且由控制单元111接收传感器信号3001。在4002处，由传感器102发射传感器信号3002并且由控制单元111接收传感器信号3002。

传感器信号3001、3002可以被包括在还包括噪声信号的相应经叠加的信号中。

在4003处，从传感器101与控制单元111之间的通信读出噪声信号3003，并且由分析单元121接收噪声信号3003。同样地，在4004处，从传感器102与控制单元111之间的通信读出噪声信号3004，并且由分析单元121接收噪声信号3004。

分析单元121然后可以执行噪声信号3003、3004的分析，并在4005处发射对应检验数据3005。

图6是传感器101、传感器102、控制单元111和分析单元121之间的通信的信令图。

4011总体上对应于4001。4012总体上对应于4002。

在4013处，由控制单元111发射对噪声信号进行数字编码的控制数据3011并且由分析单元121接收对噪声信号进行数字编码的控制数据3011。

再一次，分析单元121然后可以执行噪声信号的分析，并在4014处将检验数据3003发射到控制单元111。

图7图示了关于系统100的方面。图7的场景总体上对应于图1的场景。在图7的场景中，系统100包括具有关联信令线路105-108的传感器101-104。在图7中，图示了控制单元111的接口115和控制电路116。

图8图示了关于系统100的方面。在图8的场景中，分析单元121被配置成基于信令线路105-108上的感应读出201来检测噪声信号3003、3004。在图8的场景中，控制单元111进一步包括安全电路117，安全电路117一般是可选的。接口115、控制电路116和安全电路117都可以接收检验数据；在其他场景中，将可能的是，部件115-117中的仅一些接收检验数据。

从图7和8的比较得出结论，翻新验证功能而不必修改信令线路105-108、传感器101-104和控制单元111是可能的。

在图8的场景中，分析单元121经由开放网络131（诸如，因特网或办公室网络）连接到后端系统的服务器132。对将检验数据发射到控制单元111来说可替换地或附加地，将可能的是，分析单元121将检验数据发射到服务器131以采取适当对策。

图9图示了关于分析单元121的方面。例如，分析单元121可以被实现为硬件安全性模块（HSM）。例如，HSM可以被实现为对工业PC（IPC）来说的扩展模块，其可经由RS 232、PCIE、SPI或USB与IPC连接。分析单元121可以在HSM处以软件而实现在中央处理单元或微控制器上，和/或以硬件（例如，凭借FPGA）而实现。在优选的场景中，使用片上系统，例如，温度保护的控制电路116。

在图9的场景中，随机存取存储器121经由总线加密124与相应控制电路127耦合。闪速存储器123经由FLASH控制器125与控制电路127耦合。提供了接口128，其促进感应读出201和/或可以可选地接收警报信号3091。随机存取存储器122和/或FLASH存储器123的加密写入和/或读取是可能的。接口126被配置成将检验数据3003提供给控制单元111。例如，经受与噪声信号的比较的参考信号可以被存储在闪速存储器123中。

分析单元121然后可以确认（例如，凭借密码校验和，诸如数字签名、消息认证码等）噪声信号匹配于参考信号，且因此确认先验假定。从而，验证在相应信令线路105-108上传送且典型地与噪声信号叠加的对应传感器信号是可能的。

在一个选项中，分析单元121存储密码密钥并选择性地将该密码密钥作为检验数据3003的一部分发射到控制单元111。密码密钥然后可以被控制单元111用于以下各项中的至少一个或多个：解密；加密；签名的计算；签名的验证；密钥实例化。如果基于噪声信号的分析而对传感器信号的验证提供了肯定结果，则启用密码密钥的使用。在进一步的选项中，响应于传感器信号的失败验证而删除密码密钥。

图10示意性地图示了关于分析单元121的方面。图10的场景总体上对应于图9的场景。然而，在图10的场景中，噪声信号3011不是使用感应读出201来获得的；而是，控制数据3011由控制单元111的接口115生成，例如，由接口115的模数转换器生成。控制数据对由接口115检测到的噪声信号进行数字编码。然后，控制数据由控制单元111发射且由分析单元121接收。由此，图10的场景总体上对应于图6的场景。

总而言之，上面已经描述了验证传感器信号的完整性的技术。基于所描述的技术，利用验证功能在控制单元下对包括一个或多个传感器的现有系统的翻新变得可能。在一些示例中，这是通过提供分离的分析单元来实现的。

该技术可以被应用于例如物理上远离的传感器。这里，在控制单元附近实现读出（例如，感应读出）可以是可能的。

本文描述的技术具有下述优势：一旦验证功能已经被翻新，就不必重新证明依赖于由控制单元对传感器信号的处理的安全关键的装置；这是因为典型地不要求修改或显著修改该一个或多个传感器和控制单元的现有系统。不要求附加证明。

本文描述的技术在与参考实现方式相比的情况下具有特定优势，在该参考实现方式中，传感器和/或信令线路被部署在受保护的环境（例如，访问控制和警报保障的线缆漏斗状物）中。因此，硬件复杂度被显著降低。

尽管已经关于某些优选实施例示出和描述了本发明，但本领域其他技术人员在阅读和理解说明书后将想到等同物和修改。本发明包括所有这种等同物和修改，且仅受所附权利要求的范围限制。

Claims (15)

1.一种方法，包括：

- 在传感器（101、102、103、104）的信令线路（105、106、107、108）上建立噪声信号（3003、3004），

- 执行所述噪声信号（3003、3004）的分析，以及

- 发射指示所述分析的结果的检验数据（3005）。

2.如权利要求1所述的方法，

其中所述噪声信号（3003、3004）的所述建立包括：使用所述信令线路（105、106、107、108）的感应读出来检测所述噪声信号（3003、3004）。

3.如权利要求1或2所述的方法，

其中所述噪声信号（3003、3004）的所述建立包括：接收对所述噪声信号（3003、3004）进行数字编码的控制数据（3011）。

4.如前述权利要求中任一项所述的方法，进一步包括：

- 关于多个类别，执行所述分析的结果的分类，

其中所述检验数据（3005）指示所述分类。

5.如权利要求4所述的方法，

其中所述多个类别包括下述各项中的一个或多个：所述传感器（101、102、103、104）的操控；所述信令线路（105、106、107、108）的操控；低严重性操控；高严重性操控；所述传感器（101、102、103、104）的故障；以及所述信令线路（105、106、107、108）的故障。

6.如前述权利要求中任一项所述的方法，进一步包括：

- 接收指示被配置成生成所述噪声信号（3003、3004）的信号生成器的配置的配置数据，

其中所述分析的所述建立和所述执行中的至少一个基于所述配置数据。

7.如前述权利要求中任一项所述的方法，

其中所述分析包括下述各项中的至少一个：所述噪声信号（3003、3004）与预定义参考信号的比较；异常检测；以及谱分析。

8.一种方法，包括：

- 在传感器（101、102、103、104）的信令线路（105、106、107、108）上接收传感器信号（3001、3002），

- 接收指示所述信令线路（105、106、107、108）上的噪声信号（3003、3004）的分析的结果的检验数据（3005），以及

- 取决于所述检验数据（3005）：选择性地处理所述传感器信号（3001、3002）。

9.如权利要求8所述的方法，进一步包括：

- 检测所述噪声信号（3003、3004），以及

- 发射对所述噪声信号（3003、3004）进行数字编码的控制数据。

10.如权利要求8或9所述的方法，

其中所述检验数据（3005）包括密码密钥，

其中所述传感器信号（3001、3002）是基于所述密码密钥来处理的。

11.如权利要求8至10中任一项所述的方法，进一步包括：

- 基于所述分析的结果来删除与所述传感器信号（3001、3002）的所述处理相关联的密码密钥。

12.一种分析单元（121），包括被配置成执行下述操作的控制电路：

- 在传感器（101、102、103、104）的信令线路（105、106、107、108）上建立噪声信号（3003、3004），

- 执行所述噪声信号（3003、3004）的分析，以及

- 发射指示所述分析的结果的检验数据（3005）。

13.如权利要求12所述的分析单元（121），

其中所述控制电路被配置成执行如权利要求1至7中任一项所述的方法。

14.一种控制单元（111），包括被配置成执行下述操作的控制电路：

- 在传感器（101、102、103、104）的信令线路（105、106、107、108）上接收传感器信号（3001、3002），

- 接收指示所述信令线路（105、106、107、108）上的噪声信号（3003、3004）的分析的结果的检验数据（3005），以及

- 取决于所述检验数据（3005）：选择性地处理所述传感器信号（3001、3002）。

15.一种包括如权利要求12所述的分析单元（121）和如权利要求14所述的控制单元（111）的系统（100）。