CN113219908A - 用于验证消息行为的方法和入侵检测单元 - Google Patents

Abstract

本发明涉及一种用于验证自动化系统(50)的控制单元(40)的消息行为的方法，该自动化系统具有多个组件(30)，控制单元与组件通信并且组件经由通信网络彼此通信，其中，在至少一个组件上执行以下步骤：‑经由通信网络接收至少一条消息，其中，至少一条消息由控制器(40)提供，‑根据特征消息描述分析至少一条接收到的消息；以及‑如果所分析的消息与特征消息描述匹配，则提供包括验证消息，该验证消息包括控制单元(40)的消息行为是可接受的验证。

Description

用于验证消息行为的方法和入侵检测单元

技术领域

本发明涉及一种用于验证具有多个组件的自动化系统的控制单元(例如，可编程逻辑控制器、PLC)的消息行为的方法，其中，控制单元与多个组件数据通信并且组件通过通信网络彼此进行数据通信。此外，本发明涉及自动化系统的组件中的入侵检测单元(IDS)。

背景技术

在物联网(IoT)时代，机器不再在完全封装的自动化系统中运行，而是与外界(自动化系统或工厂外部)建立通信连接。如果这些通信连接的安全性不足，则可以用作机器的所谓网关，因为通常无法保证100％的安全性。通过启用的网络端口和通用网络协议可以访问机器。网络协议对应于IT安全的当前标准和当前状态。

安全性不足的网络可能导致以下情况：未经授权的第三方访问机器主计算机或可编程逻辑控制器(例如，在自动化系统中)。机器数据可能会在工厂操作者不知情的情况下被不经意地读取和/或操作，从而导致单个机器—甚至在最坏的情况下整个自动化工厂—都会发生故障。计算机蠕虫“Stuxnet”是导致对系统进行操纵以进行监视和控制的未授权访问的一个示例。借助于这种计算机蠕虫，工厂的机器受到感染，其功能受到干扰，或者出于损坏目的而收集和窃取了有关机器的未经授权的数据。

从攻击者的角度来看，这里所讨论的攻击(特别是在计算机蠕虫“Stuxnet”的情况下对自动化系统的损害)是成功的，因为没有合适的方法可以检测到计算机蠕虫和/或被计算机程序损害的机器和/或自动化系统。特别地，在现有技术中不可能验证通信以及因此机器和/或受损机器的消息行为是否正确。

罗克韦尔自动化(Rockwell Automation)的Factory

分析方法以检查或“监视”在PLC环境中生成的过程数据而闻名。结果，可以识别并减少操作和维护问题。但是，无法确定目标值和可编程逻辑控制器(PLC)提供的命令，也无法通过预期的特征消息描述来验证实际值。因此，不能确定是否已经对所提供的目标值进行了操纵。

从WO 2015/104691 A2已知一种异常检测系统，其用于检测工业过程工厂中的异常。作为过程工厂上级的异常检测系统包括带有训练模块和分析模块的数据处理模块。可以通过训练数据和/或通过训练模块的分析来教导分析模块。可以通过基于安全工业过程工厂的初始训练阶段来训练异常检测系统。训练包括偏差分类，以便异常检测系统可以解释与正确数据的哪些偏差是可以接受的，哪些偏差是不可接受的。

从JP 2013/246531 A已知一种具有错误检测单元的控制单元。错误检测单元包括一个模型。在错误检测单元的第一模式下教导模型。确定并教导有关正常操作的数据。在诊断模式下，可以确定在执行控制程序期间数据是否对应于学习到的数据。

从WO 2018/166688 A2中，已知在现场设备中(特别是在可编程逻辑控制器中)的机器教学模型的提供和执行。可以在模型学习环境中教导模型。

这些解决方案通过单独的单元来控制和检测异常。然而，在这方面，没有考虑对该单元本身的操纵，或者不可能从相应单元内部检测操纵。因此，也可能损害对异常的控制和检测，这可能导致要监视的系统中的干扰。如果未知第三方已经可以访问此单元，则尤其如此。

因此，需要一种用于自动化工厂的控制单元的消息行为的自动和内部验证的机制。基于所指出的现有技术和由此产生的需求，本发明本身的目标是提供一种至少部分地克服了现有技术中已知的缺点的解决方案。

发明内容

该目标通过所附的独立权利要求解决，尤其是通过一种方法和一种入侵检测单元来解决。

根据第一方面，本发明涉及一种用于验证自动化系统的控制单元的消息行为的方法。自动化系统包括许多组件。消息行为包括控制命令，特别是控制单元对多个组件的命令。消息行为可以包括交换的消息(例如，命令、用于组件的控制命令、和/或其响应消息)以及它们的时间顺序和/或模式和/或消息结构。术语“消息结构”在这里是指消息或消息序列的元数据，例如其长度、其重复、其格式、类型等。因此，可能存在某些典型的消息模式。特别地，消息行为包括用于自动化系统的相应组件的操作的相应控制命令。此外，消息行为可以涵盖控制单元对组件的适当访问。这里的访问包括操作条件访问和/或时间条件访问。控制命令以位序列的形式提供。控制单元可以包括作为单个设备(组合件)的可编程逻辑控制器。此外，控制单元可以实现为连接到自动化系统的个人计算机或工业PC中的PC插入卡和/或实现为软件仿真(软PLC)。控制单元与组件通信，并且组件经由通信网络彼此通信。该通信包括各个组件之间以及组件与控制单元之间的数据交换。该过程包括以下步骤，这些步骤在至少一个组件上执行：

-经由通信网络接收至少一条消息，所述至少一条消息由控制单元提供；

-根据特征消息描述来分析至少一条接收到的消息；以及

-如果所分析的消息与特征消息描述匹配，则提供验证消息，该验证消息包括控制单元的消息行为是可接受的验证。换句话说，验证消息包含验证结果。

为了本发明的目的，组件是可以在自动化系统中使用的执行器或测量传感器。自动化系统可用于不同领域，例如汽车、测量技术或生物实验室领域。自动化系统是这样一种系统，其中复杂和/或简单的机器和/或技术组件和系统自动执行并根据预定义的指令执行活动，例如运输、生产和/或测量任务，而无需人工干预。为此，通过测量传感器获取信号并控制执行器。

本发明的优点在于，控制单元经由通信网络的实际通信以及因此所发送的消息由自动化系统的至少一个组件来监视和评估。发送的消息包括用于通过通信链路连接的组件的命令。这些命令代表确定性位序列，对于非操纵的控制单元中的命令，确定性位序列总是以相同的方式进行构造。此外，根据相应操作(控制任务)的命令序列始终相同。组件接收的位序列和命令序列都可以被监视。这使得可以检测到受损的控制单元，从而丢弃从受损的控制单元接收到的命令。此外，控制单元的分布式监视和评估可以由自动化系统的大量组件执行。

根据本发明的实施例，验证消息被提供给控制单元。验证消息包括验证结果。此外，验证消息可以包括提供验证消息的组件的地址和/或名称。基于所接收的消息和验证的结果，可以以有利的方式(例如由于所存储的例外规则)丢弃验证消息。可替代地，可以将提供验证消息的组件分配给黑名单。黑名单包含一个未被分类为可信赖并且将来可能会被拒绝的组件的列表。

根据本发明的实施例，验证消息被提供给通信网络中的另一组件。自动化系统的本身不提供验证消息行为功能的组件因此可以通过验证消息而被通知有关控制单元的消息行为的可容许性。该组件可以有利地丢弃从控制单元接收的其他消息。如果控制单元受损，则可以提高组件和自动化系统的技术和功能安全性。

优选地，用于受损的消息行为分析本地并且直接地在组件上执行。

根据本发明的实施例，验证消息被提供给另外的系统。可以将另外的系统设计为用于监控自动化工厂的控制级别。应当注意，控制级别并非旨在分析或验证消息行为，而只能执行行为结果的进一步处理。

验证消息仍可用于检查和/或关闭控制单元。基于验证消息，控制级别可以确定例如控制单元应该操纵哪个组件。另外，该另外的系统可以包括在技术和/或功能上相关的另一自动化系统。例如，可以将用于生产单个组件的自动化系统连接到更高级别的自动化系统，该更高级别的自动化系统可以从单个组件和其他单个组件生产最终产品。

根据本发明的另一实施例，经由非循环信道来提供验证消息。在控制单元的循环数据(命令)看起来受损的情况下，非循环信道可以有利地用作附加通道或第二通道。非循环信道可用于传输所有非实时相关数据。特别详细的错误消息。这些详细的错误消息可以记录下来或对这些详细的错误消息提供时间戳。如果组件不需要独立的动作并且不应该触发独立的动作，则也可以使用非循环信道，但是用户应该在控制级别上主动确认该非循环信道。

根据本发明的另一实施例，提供验证消息包括向控制单元提供控制信号。控制信号可以包括用于将控制单元的操作状态切换到停止状态的信号。因此，可以有效地阻止自动化系统中经由通信网络的进一步操纵传播。另外，可以将控制单元设置为可以检测和清理操纵的安全状态。可替代地，控制单元可以被置于复位状态，在复位状态下，控制单元的固件和/或自动化系统的控制程序被复位为固件和控制程序的最后的已知且安全的状态。

根据本发明的另一实施例，提供验证消息包括向另一组件提供控制信号。经由控制信号，其本身不提供用于验证消息行为功能的另外的组件可以被控制，使得如果对于另外的组件的消息行为被具有验证功能的另一组件将其评估为“已受损”，该组件不接受该控制单元的任何其他消息和/或拒绝它们。避免了由于控制单元的不当的和/或错误的命令而损害和/或损坏另外的组件(外部保护)。

根据本发明的另一个实施例，提供验证消息包括向另一系统提供控制信号。该控制信号可用于控制另外的系统，以使其最小化或停止与具有受损控制单元的自动化系统之间的通信，例如，以防止损坏扩大。

根据本发明的另一个实施例，控制信号包括对组件功能的限制或去激活。可以限制组件的功能，以便例如不执行与安全相关的功能。可替代地，只要存在控制信号，就可以关闭或禁用组件的功能。

根据本发明的另一实施例，控制信号包括控制单元的功能的限制或关闭。因此，可以以有利的方式限制或防止将操纵传播和扩散到自动化系统的另外的组件。此外，在这种状态下，可以通过控制级别检查组件的正确功能。

根据本发明的另一实施例，控制信号包括对另外的系统的功能的限制或关闭。这是防止操纵的传播和扩散到另外的系统或损坏的一种有利方式。

根据本发明的另一实施例，如果通信网络的多个组件将控制单元的消息行为验证为不允许，则提供验证消息。以有利的方式，因此可以避免由于错误的验证结果指示损害(误报)而导致的对自动化系统和/或另外的组件的功能的限制和/或停用。特别地，如果自动化系统的规定数量和/或固定数量的组件不提供该验证消息(多数决策)，则可以不考虑验证消息。在另一个实施例中，如果自动化系统的组件的规定和/或指定组合没有提供相同的验证消息，则可以不考虑验证消息。特别地，可以在自动化系统的关键组件和非关键组件之间进行区分。这可以由效价或显著性因子定义。例如，自动化系统的关键组件的验证消息可以导致对它的完整提供，但是可以包含对自动化系统的其他组件、另外的系统和/或控制单元的限制。

根据本发明的另一实施例，如果通信网络或自动化系统的多个组件中的25％、优选地多个组件中的51％、特别优选地多个组件中的75％验证控制单元的消息行为是不可容许的，则发生验证消息的提供。以有利的方式，仅当相应数量的组件也将控制单元的消息行为验证为不允许时，才将验证消息提供给控制单元和/或自动化系统的另外的系统和/或组件。提供验证消息的组件数量越多，正确验证的程度就越高。因此，错误消息的发生率可以最小化。例如，错误消息是当消息行为中存在较小异常时的消息。

在本发明的另一版本中，验证消息由用户定义的阈值和/或警告提供。这取决于自动化系统中支持此功能的组件数量。在大多数情况下，攻击可以针对单个关键组件。可以通过自动化系统的其他组件以有利的方式检测到这种攻击。

根据本发明的另一实施例，特征消息描述包括控制单元与组件之间的无错误和/或可信赖的消息行为。可以将无错误和/或可信赖的消息行为确定为安全环境中的参考消息行为。此外，可以在有源自动化系统中确定无错误和/或可信赖的消息行为，在该有源自动化系统中，不存在受损的可能性很高。无错误和/或可信赖的消息行为可以包括用于控制组件的控制单元的正确消息(命令)。正确的消息是相应位序列中的正确命令、连续命令的正确序列和/或连续命令之间的正确时间间隔。此外，受信任的消息行为还可以包括组件对接收到的消息的响应。不正确的和/或意外的响应可能包括错误和/或不受信任的消息行为。

根据本发明的另一实施例，该方法包括以下步骤：作为至少一条接收到的消息的结果，由至少一个组件向控制器提供至少一个响应消息。响应消息对应于组件对接收到的消息的反馈和/或反应。该响应可以包括组件的操作。

根据本发明的另一实施例，特征消息描述包括持续时间，该持续时间包括在组件上的消息的接收与组件上的响应消息的提供和/或包含在组件上的消息中的命令的转换(或执行)之间的时间。消息处理和/或消息中包含的命令的执行所需的时间可以以有利的方式确定。操作的执行以及因此基于来自控制单元的消息的响应消息的提供是确定性的并且遵循相同的模式。通过知道必要的时间，可以检测和分析偏差。这些偏差可以包括命令的操纵和/或控制单元的访问。

根据本发明的另一个版本，在模型中训练特征消息描述。在用于控制单元，特别是可编程逻辑控制器的程序中，用于各个组件的命令序列被确定性地编程。命令序列作为位序列通过通信链路(例如现场总线)发送。组件、控制单元和/或另外的系统可以占用该位序列并从中构建决策树或神经网络。这导致“正常”位序列的概率。“正常”位序列描述了一个非受损控制单元发送的位序列。当组件现在(通过按位序列的消息)接收到命令时，它通过决策树或神经网络中的概率知道命令链中的其他位应该是什么样。如果在传输过程中出现偏差(“不太可能/意外事件”)和/或不正常现象，则可以检测到这些偏差和/或不正常现象，并可以提供相应的验证消息“检测到异常”。

根据本发明的另一个版本，通过图形决策树来教导模型。在此，决策树可以是有序树和/或有向树，借助它可以表示决策规则。可以通过可图形表示的树定义层次结构上连续的决策。

根据本发明的另一个版本，通过神经网络来教导模型。神经网络的设计方式是，可以从已经收集的经验中产生新知识。从收集到的消息行为中训练神经网络，以便在学习阶段完成后概括消息行为。因此，神经网络基于所收集的经验作为训练数据。因此，可以识别出训练数据中的模式和规律性。通过组件和控制单元之间的消息行为来训练神经网络。消息行为还可以包括相应的响应消息。神经网络是由相互连接的人工神经元组成的网络。神经网络的体系结构和拓扑取决于预期任务。该网络用于在各个节点之间交换消息。这些连接具有数值加权，可以根据经验进行调整，从而使神经网络适应输入并具有学习能力。可以通过建立神经元之间的新连接，删除神经元之间的现有连接，在神经元之间更改权重元，添加或删除神经元以及可能调整神经元的阈值来学习神经网络。通过神经网络，可以识别出消息行为中经常重复出现的模式。此外，可以识别出消息行为中的命令的位序列和传输的持续时间。在一种有利的执行方式中，可以利用相邻组件和控制单元之间的消息行为来训练神经网络。以有利的方式，由控制单元提供给组件和/或相邻组件的消息，例如命令，可以验证正确性。

该神经网络可以被设计为深度神经网络，并且可以特别地包括卷积神经网络和/或深度前馈网络。深度神经网络是具有一定复杂度的神经网络，它由至少两层组成，最好是两层以上。深度神经网络使用数学模型以复杂的方式处理数据。深度神经网络已针对特定的技术任务进行了训练，例如消息行为中的异常的模式识别。卷积神经网络(CNN)是一个多层处理单元，包括折叠、合并和校正线性单元(ReLU层)。只要满足输入大小和输出大小的标准，这些层可以以任何顺序排列。

根据本发明的另一种版本，在组件上教导模型。根据本发明的另一实施例，在控制单元上教导模型。根据本发明的另一实施例，在单独的单元上教导模型。可以通过自动化系统的任何电子单元来教导模型，该电子系统的资源经过训练以教导模型并且可以访问通信网络。因此，示教过程不需要额外的硬件和/或软件。可以通过LAN连接、串行连接和/或无线连接访问通信网络。

根据本发明的另一实施例，模型被本地存储在组件中或所选组件中。该组件可以具有一个或多个处理器和存储器，其适于执行根据本发明的过程。此外，入侵检测单元可以形成在组件中。特别地，该组件可以具有不同类型的存储器，例如，易失性和/或非易失性存储器。在组件的存储器中，存储了用于验证消息行为的模型。在模型中，学习了特征消息描述。模型的分散存储以及对多个组件的最终监视使得可以安全地检测和报告控制单元的未授权操作(与多个组件的验证结果进行比较)。

根据本发明的另一实施例，必须对模型进行训练以适应存储有模型的组件的消息行为。替代地或累积地，可以针对与存储模型的组件相邻放置的组件的消息行为来训练模型。根据本发明的另一实施例，对相邻组件及其消息临时执行验证过程。以有利的方式，自动化系统的所有组件接收和/或读取从控制单元经由通信网络发送到组件的消息。由于对于各个组件来说，在地址范围内位于前后的各个组件的地址是已知的，因此也可以在模型中教导要接收的消息(命令)，并且可以验证消息行为。如果组件不具有执行模型和验证消息行为所必需的硬件和/或软件资源，则这特别有利。因此，可以为这些(稀薄)组件提供针对控制单元进行的异常命令行为和/或异常访问的保护。

根据第二方面，本发明涉及一种自动化系统的组件中的入侵检测单元，其中，自动化系统的组件经由通信网络彼此通信并且与控制单元通信，并且其中，入侵检测单元设计用于本地地验证控制单元的消息行为，具有：

-接收单元，其适于经由通信网络从控制单元接收至少一条消息，以控制组件；

-分析单元的分析接口，分析单元适于根据存储在组件存储器中的特征消息描述来分析至少一条接收到的消息；以及

-验证单元的验证接口，验证单元被设计为：如果分析消息对应于特征消息描述，则验证控制单元的消息行为是可接受的。

入侵检测单元可以实现为组件中的单独单元。在另一个实施例中，入侵单元可以在组件的现有微控制器中实现。此外，入侵检测单元可以以硬件在集成电路(IC)上实现。如果例如仅一个组件被设计为具有入侵检测功能，则分析单元和验证单元的功能可以在具有接口的公共单元中组合。在这方面，将分析单元和验证单元设计为两个独立的单元具有优势，即如果自动化系统中只有一个组件具有完全评估决策树的计算资源，则自动化系统的其他组件可以接管对命令链或决策树的部分的评估。因此，可以分配对可用资源的分析和验证。

根据本发明第二方面的实施例，入侵检测单元包括传输单元，该传输单元适于提供至少一个响应消息作为至少一条接收到的消息的结果。

根据本发明第二方面的另一个实施例，入侵检测单元具有输出单元，该输出单元被设计为输出由验证单元提供的验证消息。响应消息对应于组件对接收到的消息的反馈和/或反应。该响应可以包括组件的操作。

根据本发明第二方面的另一个实施例，入侵检测单元具有适于接收控制信号的输入单元，该控制信号用于禁用对控制单元的消息行为的验证。以有利的方式，在维护自动化系统和/或控制单元的情况下，这可能表示异常行为，可以停用消息行为的验证。例如，这可以由用户通过操作者终端或自动化系统或控制单元的开关单元通过密码输入来完成。

根据第三方面，本发明涉及一种自动化系统，该自动化系统具有由控制单元控制并经由通信网络与其通信的多个组件，所有或选定组件包括根据上述涉及入侵检测单元的权利要求中的一项所述的入侵检测单元。

验证消息行为的方法的上述创造性的实施例也可以被设计为计算机程序，由此，如果在组件上或组件的处理器或微控制器上执行计算机程序，则使组件执行上述创造性的方法。可以通过下载来提供计算机程序，或者可以将计算机程序存储在组件的存储单元中，其中包含计算机可读程序代码，以使入侵检测单元根据上述过程执行指令。

在本发明的范围内，不一定必须在同一个组件上执行该方法的所有步骤，而是它们也可以在不同的组件上执行。

另外，可以说，上述方法的单个部分可以在一个可售单元中执行，其余部分可以在另一个可售单元中执行—可以说是分布式系统。特别地，可以执行在第一组件中接收消息并在第二和/或另外的组件中分析消息并提供验证消息的方法步骤。

上述布置和其他实施例可以在合理的范围内彼此组合。特别地，方法权利要求的特征可以实现为入侵检测单元中的结构特征。本发明的其他可能的设计、进一步的训练和实施方式还包括未明确提及的、之前或以下关于执行示例所描述的本发明的特征的组合。特别地，技术人员还将增加各个方面作为对本发明的各个基本形式的改进或补充。

附图说明

在下面的附图详细描述中，基于附图讨论了非限制性设计示例及其特征和其他优点。

图1示出了根据本发明的自动化系统的设计的示意图；

图2示出了根据本发明的自动化系统的另一种版本的示意图；

图3示出了根据本发明的过程的优选实施例的流程图；

图4示出了根据本发明的步骤组件的实施例的示意图；

图5示出了根据本发明的组件的另一版本的示意图；

图6示出了根据本发明的图形决策树的结构的示意图；以及

图7示出了根据本发明的神经网络的学习的示意图。

具体实施方式

图1示出了根据本发明的自动化系统的设计的示意图。在图1中，附图标记50表示自动化系统。自动化系统50包括各种组件30-1至30-i。自动化系统50的组件30-1至30-i经由通信网络20彼此通信和/或经由通信网络20与控制单元40通信。组件30-i是电子设备，例如执行器或传感器。组件30-i具有用于连接到通信网络20的通信接口。图1的通信网络20包括总线拓扑。在总线拓扑中，所有组件30-1至30-i连接到公共传输介质。可以将通信网络20设计为LAN网络。此外，可以由适当的网关通过串行连接或通过WLAN连接来建立连接。组件30-1至30-i中的每个可以与任何其他组件30-1至30i自由地通信。以有利的方式，不需要主站来控制通信网络20中的通信。通过通信网络以总线拓扑从控制单元向组件30-1至30-i发送的消息被连接到通信网络20的所有组件30-1至30-i接收。因此，例如，也可以说，还可以由组件30-2临时接收旨在用于组件30-1和/或组件30-2的消息。可以分析不打算用于组件30-1的数据，但不必针对组件30-1中的转换来评估该数据。为此，使用广播，其中所有数据包都从控制单元40发送到自动化系统50的所有组件30-1至30-i。广播包到达通信网络20的所有组件30-1至30-i，而这些组件没有被明确指定为接收者。广播的每个组件30-1至30-i自行决定是在负责的情况下处理接收到的消息，还是默认丢弃它。

在图1中，组件30-2包括用于本地验证控制单元40的消息行为的入侵检测单元10。入侵检测单元10包括接收单元11(参见图4)。接收单元11被设计为经由通信网络20从控制单元40接收至少一条消息，以用于控制组件30。此外，入侵检测单元10包括到分析单元13的分析接口12。分析单元13被设计为根据存储在组件存储器中的特征消息描述来分析至少一条接收到的消息。在模型中教导特征消息描述。另外，入侵检测单元10包括到验证单元15的验证接口14。验证单元15被设计为：如果分析消息对应于特征消息描述，则验证控制单元40的消息行为是可允许的。

组件30-1至30-i可以本地地存储或访问学习的模型。可以使用图形决策树和/或神经网络来训练学习的模型。可以通过图形决策树和/或神经网络向组件30-1至30-i教导具有确定性消息的控制单元40的重复程序序列。还可以了解这些组件的地址范围，这与实际组件无关。模型中特征消息描述的学习可以在控制单元40上、在与通信网络20通信的另一系统60(例如工业PC或服务器)上和/或在组件30-1至30-i上完成。在自动化系统50的多个组件30-1至30-i中的至少一个组件上执行训练的模型的应用并由此验证消息行为。

消息行为描述了从控制单元40通过通信网络40发送到组件30-1至30-i的消息。通过损害控制单元可以损坏和/或操纵消息，这也可能导致组件30-1至30-i执行意外的反应和/或损坏和/或损坏自动化系统50或限制其功能。由组件30-1至30-i中的一个组件验证为可允许的可信消息行为包括控制单元40的消息或命令，这些消息或命令存储在正确序列的连续命令中和/或连续命令之间的正确时间间隔中。另外，可信消息行为还可以包括组件对接收到的消息的响应。

由于原则上组件30-1至30-i以有利的方式接收经由通信网络20发送的所有消息，因此组件30-2例如还可以学习要被本地存储的模型中的相邻组件30-1和/或相邻组件30-3的消息行为和/或命令。组件30-3的选择仅是示例性的，并不代表对本发明的限制。而是，自动化系统50可以包括另外的组件30-i，其存储已经针对其他组件30-i的消息行为教导的模型。此外，图1所示的组件30-1至30-i的布置以及作为相邻和/或先前和/或随后的组件30-i的指定是示例性布置。相邻组件30-i也可以包括相邻地址范围，但是可以在自动化系统50中本地远离地定位。在一个版本中，组件30-1至30-i通过控制单元40(例如通过可编程逻辑控制器)通过固定地址指定来控制。

在图1所示的版本中，可以在组件30-2的模型中教导组件30-1和组件30-3的消息行为。如果组件30-1和组件30-3没有可用于实施用于验证消息行为的程序的相应的资源(计算能力、存储容量、能量等)和/或入侵检测单元10的单元，则这是有利的。验证由控制单元40经由组件30-2发送到组件30-1和组件30-3的消息的可容许性是有利的。这保护了组件不被受损的控制单元40发送的消息的操纵和/或损坏。另一个优点是，可以保护每个组件30-i免受攻击。如果发起了对单个组件的攻击，则由受损的控制单元40检测到这种情况并且可以采取措施。每个组件30-i因此可以主动或被动地(作为操纵的选定目标)检测控制单元的异常命令行为和/或异常访问。动作可以向用户和/或控制级别提供反馈。这可以通过非循环信道来完成。此外，验证消息可以提供控制信号，组件30-1至30-i和/或控制单元40和/或另外的系统60的功能的限制和/或关闭。

为了最小化错误警报的比率，特别是最小化由于错误警报引起的自动化系统的故障和/或停顿，可以实施组件30-1至30-i的所谓多数决策。多数决策可以包括自动化系统50的定义数量的组件30-1至30-i。在执行形式中，如果通信网络20或自动化系统50的25％的组件30-i、优选地51％的组件30-i、特别优选地75％的组件30-i验证控制单元40的消息行为是不允许的，则提供包括控制信号的验证消息。错误消息的比率被最小化，更多的组件30-i被考虑用于消息行为的验证。

在另一版本中，仅预先配置的组件能够设计有入侵检测单元10。组件30-i的选择取决于自动化系统50的功能的重要性或取决于级别。例如，可以为关键组件30-1、30-2、30-3提供入侵检测单元10，而对于另一组件30-i，该组件和/或整个自动化系统50的功能缺陷将可以忽略不计。这样，可以维持组件和/或自动化系统的功能，直到达到临界水平。

图2示出了根据本发明的自动化系统50的另一种版本的示意图。如图2所示的自动化系统50包括组件30-1至30-i和控制单元40。组件30-1至30-i和控制单元40经由通信网络20彼此连接。图2的通信网络20被设计为环形拓扑，并且表示公共传输介质。环形拓扑表示封闭的传输介质。悬挂在通信网络20中的组件30-1至30-i是传输介质的组成部分。组件30-1至30-i中的每一个具有唯一的前驱和唯一的后继。要发送的消息从一个组件30-i传送到其他组件30-i。每个30-i组件都会测试该消息是否是用于它的。如果该消息不是用于该组件30-i，则将该消息转发到下一个组件30-i。如果消息是用于该组件30-i，则该消息由该组件30-i使用，或者该命令由组件30-i实现。

图3示出了根据本发明步骤的优选实施例的流程图。方法1包括所示设计的几个步骤。在第一步骤S1中，经由通信网络20接收至少一条消息。由控制单元40提供至少一条接收到的消息。在第二步骤中，根据特征消息描述来分析至少一条接收到的消息。在第三步骤S3中，提供了验证消息，如果所分析的消息对应于特征消息描述，则该验证消息包括对控制单元40的消息行为的验证。

图4示出了根据本发明的组件30-2的实施例的示意图。在图4中，附图标记10表示实现在自动化系统50(参见图1)的组件30-2中的入侵检测单元。入侵检测单元10被设计用于本地验证控制单元40的消息行为。入侵检测单元10包括接收单元11，该接收单元11被设计成从控制单元40经由通信网络20接收至少一条消息以用于控制组件30-2的目的。该消息包括例如可编程逻辑控制器的控制单元40的设定点，其包括用于致动和/或控制组件30-2的命令。该消息通过通信网络20以位序列的形式传输。在非受损系统中，如果消息行为已被验证为可允许的，则组件30-2可以发送实际值，即所谓的反馈消息。入侵检测单元10还包括到分析单元13的分析接口12，该分析单元13被设计为根据存储在组件存储器中的特征消息描述来分析至少一条接收到的消息。另外，入侵检测单元10包括到验证单元15的验证接口14。验证单元15被设计为：如果分析消息对应于特征消息描述，则验证控制单元40的消息行为是可允许的。分析单元13和验证单元15可以被实现为组件30-2上的一个单元，或者被实现为组件30-2上或两个不同的组件30-i上的单独单元。即使不能在单个组件30-i中提供足够的资源，分离地实施它们也可以执行验证。

入侵检测单元有利地被实现为自动化系统50的多个组件30-i中的分散系统。这增加了安全性和操纵该系统的难度。检测到受损并且可以采取对策，并且可以排除进一步的操纵和/或故障和/或数据盗窃。由于在自动化系统50中的多个组件30-i上的分散实施，以这种方式操纵所有组件、特别是同时操纵所有组件所付出的努力和/或难度非常高，使得入侵检测单元的攻击和/或操纵保持不会被注意。另外，不能自我保护的组件30-i由具有入侵检测单元的组件保护。可以检测到操纵企图并相应地予以排斥。

图5示出了根据本发明的组件30的另一种版本的示意图。根据图5所示的实施例的入侵检测单元10包括图4所示的实施例的单元。另外，入侵检测单元10包括输出单元16。输出单元16被设计为输出由验证单元15提供的验证消息。此外，入侵检测单元10包括输入单元17。输入单元19被设计成接收控制信号以关闭对控制单元40的消息行为的验证。控制信号可以停用验证消息的验证和提供，尤其是在维护情况下，这也表示异常行为。这样可以使错误消息的数量最少。

图6示出了根据本发明的图形决策树的结构的示意图。经由图形决策树来教导本发明的模型。决策树可以是有序树和/或有向树。借助于有序树和/或有向树，可以表示决策规则。特别地，可以通过可图形表示的树来定义层次结构上连续的决策。在执行形式中，仅考虑命令的一个位序列B。这里，有序树和/或有向树纯粹是由位序列B构建的。第一位包含逻辑“0”位。经由边，可以定义相应的概率W，即具有逻辑“0”的第一位之后是具有逻辑“0”或“1”的位。

如果组件始终看到相同的位序列B，则有序树和/或有向树是确定性的。在另一种执行形式中，可以考虑返回通道中的响应选项。因此，可以形成更复杂的树。因此，以一定的概率，期望对特定命令的相应响应，并且对相应的响应，期望适当的命令。可以区分命令的答案是否不符合期望。例如，如果仅检测到消息行为的轻微违反，则可能受到直接环境的影响。但是，如果预期的后续命令与先前发送的响应不匹配，则这对应于高级违规，因此将被检测为非预期的新命令，从而被视为对正常行为的操纵。

图7示出了根据本发明的神经网络的学习的示意图。神经网络可用于存在大量未知依赖性的更复杂的系统中。学习过程需要足够大小的标记数据集，并且必须在功能强大的计算单元上训练神经网络。足够大小意味着有足够的带有相应标签的数据集可用于建立适当的关系并教导决策标准或涵盖替代方案。可以将计算单元设计为独立的PC，也可以设计为硬件和/或虚拟化的多个PC的组合。神经网络可以应用于一个或多个组件。用于学习神经网络N的数据集是通信通道中的命令和响应序列。网络的上级可以表示各个组件及其功能，也可以将它们相互关联。这将具有以下优点：可能不必将整个神经网络N存储在组件30-i上，而仅存储与之相关的部分。可替代地，神经网络N可以完全地或部分地分布到执行其一部分的所有组件30-i，这意味着组件30-i也可以由没有相应的资源的网络来监视。在图7中，示出了两个不同的位序列B。不同的位序列B可以例如用标签L1，L2标识。在图7中，参考符号N表示神经网络，该神经网络是由例如位序列B和相应的标签L1，L2创建的。在一个版本中，神经网络N可以完全分布以在自动化系统50的一个或所有组件30-i上使用。在另一个版本中，神经网络N的仅一个特定电源N1可以与组件30-i有关。仅电源N1被应用于该组件30-i。例如，对于另一组件30-i或另外的组件30-i，电源N2是相关的。因此，可以计划仅将该电源N2应用于相应的组件30-i。

总之，应当注意，本发明的描述和执行的示例基本上不应理解为对本发明的某种物理实现的限制。在本发明的主题中，可以以不同的组合提供结合本发明的各个实施例所解释和示出的所有特征，以便同时实现其有利效果。

本发明的保护范围由权利要求书给出，并且不受说明书中解释的或附图所示的特征的限制。

附图标记

1 过程

10 入侵检测单元

11 接收单元

12 分析接口

13 分析单元

14 验证接口

15 验证单元

16 输出单元

17 输入单元

20 通信网络

30-1、30-2、30-3 组件

30-i 多个组件

40 控制单元

50 自动化工厂

60 附加系统

B 位序列

N 神经网络

N1，N2 神经网络的子网

S1-S4 处理步骤

W 概率

Claims (20)

1.一种用于验证自动化系统(50)的控制单元(40)的消息行为的方法(1)，该自动化系统具有多个组件(30-1-30-i)，所述控制单元(40)与所述组件(30)通信，并且所述组件(30)经由通信网络(20)彼此通信，所述方法具有在至少一个组件(30-1、30-2、30-3)上执行的步骤；

-经由所述通信网络(20)，特别是从所述控制单元(40)接收(S1)至少一条消息；

-根据特征消息描述来分析(S2)至少一条接收到的消息；以及

-如果所分析的消息与特征消息描述匹配，则提供包括消息行为是可接受的验证(S3)的验证消息。

2.根据前一权利要求所述的方法，其中，将所述验证消息提供给所述控制单元(40)和/或所述通信网络(20)中的另外的组件(30-i)和/或另外的系统(60)。

3.根据权利要求1所述的方法，其中，经由非循环信道来完成所述验证消息的提供。

4.根据权利要求1所述的方法，其中，提供验证消息包括：向所述控制单元(40)和/或另外的组件(30-i)和/或另外的系统(60)提供控制信号。

5.根据权利要求4所述的方法，其中，所述控制信号包括限制或关闭所述组件(30-1、30-2、30-3)和/或所述控制单元(40)和/或所述另外的系统(60)的功能。

6.根据权利要求1所述的方法，其中，如果所述通信网络(20)的多个组件(30-i)将所述控制单元(40)的消息行为验证为不允许，则执行提供所述验证消息。

7.根据权利要求1所述的方法，其中，所述特征消息描述包括在所述控制单元(40)与所述组件(30-1、30-2、30-3)之间的无错误和/或可信赖的消息行为。

8.根据权利要求1所述的方法，该过程包括：

-作为所述至少一条接收到的消息的结果，由所述至少一个组件(30-1、30-2、30-3)向所述控制单元(40)提供(S4)至少一个响应消息。

9.根据权利要求1所述的方法，其中，所述特征消息描述包括时间段，该时间段包括在消息的接收和所述组件(30-1、30-2、30-3)上的至少一个响应消息的提供和/或所述组件(30-1、30-2、30-3)上的所述消息中包含的命令的转换之间的时间。

10.根据权利要求1所述的方法，其中，所述特征消息描述在模型中学习。

11.根据权利要求10所述的方法，其中，经由图形决策树和/或神经网络(N)来学习所述模型。

12.根据权利要求10所述的方法，其中，在所述组件(30-1、30-2、30-3)和/或所述控制单元(40)和/或另外的系统(60)上执行所述模型的学习。

13.根据权利要求10所述的方法，其中，所述模型被存储在所述组件(30-1-30-i)中。

14.根据权利要求10所述的方法，其中，针对存储有所述模型的组件的消息行为来训练所述模型，和/或其中，针对与存储所述模型的组件相邻放置的组件的消息行为来训练所述模型。

15.根据权利要求1所述的方法，其中，针对相邻组件(30-1、30-2、30-3)及其消息临时执行所述验证方法。

16.一种自动化系统(50)的组件(30-1、30-2、30-3)中的入侵检测单元(10)，其中，所述自动化系统(50)的所述组件(30-1-30-i)经由通信网络(20)彼此通信并与控制单元(40)通信，并且其中，所述入侵检测单元(10)设计为通过以下方式本地验证所述控制单元(40)的消息行为：

-接收单元(11)，所述接收单元适于经由通信网络(20)接收至少一条消息，以控制所述组件(30-1、30-2、30-3)；

-分析单元(13)的分析接口(12)，所述分析单元(13)适于根据存储在组件存储器中的特征消息描述来分析至少一条接收到的消息；以及

-验证单元(15)的验证接口(14)，所述验证单元(15)适于在分析消息与特征消息描述相对应的情况下验证消息行为是可允许的。

17.根据权利要求16所述的入侵检测单元，其中，所述入侵检测单元(10)包括适于输出验证消息的输出单元(16)，所述验证消息由所述验证单元(15)提供。

18.根据权利要求16所述的入侵检测单元，其中，所述入侵检测单元(10)包括适于接收控制信号的输入单元(17)，所述控制信号用于禁用对所述控制单元(40)的消息行为的验证。

19.一种自动化系统(50)，其包括由控制单元(40)驱动并经由通信网络(20)与其通信的多个组件(30-i)，其中，所有或选定的组件(30-i)包括根据涉及所述入侵检测单元(10)的前述权利要求中的任一项所述的入侵检测单元(10)。

20.一种具有程序代码的计算机程序，如果所述计算机程序在组件(30-1、30-2、30-3)上执行，所述程序代码用于执行根据权利要求1所述的方法。

Images