CN115516386A - 带防篡改保护的扩展模块 - Google Patents

Abstract

本发明涉及具有扩展模块(201)的现场设备(101)，现场设备(101)与扩展模块(201)持久地连接。

Description

带防篡改保护的扩展模块

技术领域

本申请涉及根据权利要求1的前序部分的现场设备、根据权利要求14的前序部分的模块化现场设备概念以及具有权利要求15的前序部分的特征的现场设备的操作方法。

背景技术

根据现有技术，已知各种类型的现场设备。

术语现场设备涵盖与生产过程直接相关的各种技术设备。因此，现场设备尤其可以是致动器、传感器以及测量变换器和/或评估设备。

在本申请所使用的术语中，属于控制室区域的高级单元必须与现场设备明确区分。

多年来，现场设备作为过程测量设备，在各种应用中可靠地测量与过程相关的介质测量变量。在过程控制技术的早期，通常使用模拟接口(例如，4-20mA接口)将测量值以模拟形式从过程测量设备传输到更高级别的单元，例如评估设备或过程控制站。在数字化过程中，该标准通过附加数字信号扩展，例如根据HART标准，从而使过程测量设备和过程控制站之间的双向通信成为可能。然而，这种过程控制系统的特征是，这些设施基本上以隔离模式运行。没有规划在不同地点或不同公司的不同过程控制系统之间进行连接，或规划将这些系统连接到万维网(World Wide Web)。

根据现有技术，还已知从模块化现场设备概念组装的模块化现场设备。在模块化现场设备概念中，可以从相互匹配的多个可组合传感器、壳体、电子单元或电子模块以及操作和/或显示单元中进行选择，并且可以构建相应的现场设备。这种模块化现场设备概念例如是由VEGA格里沙贝两合公司(Vega Grieshaber KG)提供。通常，能够将传感器、包含现场设备电子器件的相应电子模块(即，特别是测量值处理单元和控制器的接口以及(如适用)所使用的现场总线)以及各种显示和/或操作单元组合在一起。传感器、电子模块以及显示和/或操作单元彼此适配并且适配于不同的可用壳体。

迄今为止，用于过程自动化的已知现场设备仅具有制造商专门定义的用于实现IT安全方面的设备和程序。不同国家最近的法律要求为关键基础设施(CRITIS)实施规定的安全级别(SL：Security Level)。

近年来，特别是随着第四次工业革命(工业4.0)的到来，需要通过更高程度的网络(例如，通过万维网)将整个过程控制系统或甚至整个生产地点彼此连接起来。然而，工业IT系统和办公IT系统的相关联网带来了许多新的挑战，特别是在IT安全领域，这使得现有设备和组件的进一步开发成为绝对必要。

另一个应用领域是最近可用的独立运行的现场设备，特别是独立运行的传感器。传感器，即该产品系列的现场设备，其特点是特别简单的安装，而无需连接通信线路或电源线。这些现场设备确定的测量值通常使用窄带无线电技术(LoRa,Sigfox,NB-IOT)传输到云，即万维网上的服务器。这种现场设备的典型应用场景包括诸如洪水预测、库存管理或其他分散分布式测量任务等领域。由于与万维网的直接连接，这种现场设备固有地暴露于来自网络的黑客攻击的永久威胁。

对现场设备的新要求旨在使其能够抵御破坏攻击，该破坏攻击可能会对建筑物、设施、生物和环境造成巨大的物质和非物质破坏。这种破坏攻击能够通过对现场的物理干预或通过来自网络内部的黑客攻击进行，从而导致大规模破坏。此外，与防盗、防爆、内部布线细节的保密性相关的方面可以证明需要防止未经授权从传感器拆卸扩展模块。

模块化现场设备在应用和配置方面非常灵活，并且能够适应各种应用场景。在这种情况下，出现的问题是：模块化现场设备的预定义组成可能无法轻易改变，无论是出于监控流程的特殊调整或配置的原因，还是出于IT安全的原因，或为了保护内部专有技术或为了防盗。

发明内容

本发明的目的是进一步设计模块化现场设备、模块化现场设备概念以及模块化现场设备的操作方法，以满足新出现的要求，同时保持模块化的灵活性。

该任务通过具有权利要求1的特征的现场设备、具有权利要求14的特征的模块化现场设备概念以及具有权利要求15的特征的模块化现场设备的操作方法来解决。

根据本发明的现场设备包括具有现场设备电子器件的电子模块和至少一个扩展模块，其特征在于，电子模块和/或现场设备与至少一个扩展模块持久地连接。

根据本发明的现场设备具有模块化结构，该模块化结构具有至少一个电子模块和至少一个扩展模块，电子模块具有现场设备电子器件，其中，现场设备电子器件(为了简单起见，也称为电子模块)与至少一个扩展模块持久地连接。

在这种情况下，持久性意味着“不是不受控制的变化”，这尤其意味着改变要么被阻止，要么至少变得更加困难并被登记。

在当前情况下，持久地连接电子模块和/或现场设备与扩展模块意味着现场设备电子器件与扩展模块和/或现场设备与扩展模块不能以不受控制的方式彼此分离。这确保了一旦建立了电子模块与扩展模块的配置，它就不会被改变，或者至少不会在不被注意的情况下改变。这保护了预定配置免受未经授权的改变，并且确保不会发生未经授权的干预。

例如，能够通过将电子模块和/或现场设备与扩展模块持久机械连接来建立持久连接。

在第一实施例中，能够通过将扩展模块机械地锁定到电子模块和/或现场设备的壳体中，例如通过适当布置的锁定闩，来实现机械地持久连接。附加地或替代地，机械地持久连接也能够通过例如通过粘合环的接合来实现，当扩展模块完全正确安装时，粘合环粘合到电子模块和/或现场设备的壳体中。机械持久(即，不可逆)连接例如能够被设计为不可逆的卡扣连接和/或不可逆的螺纹连接和/或不可逆的粘合连接，和/或包括不可逆的屏障。

不可逆的屏障例如可以是不可逆地封闭扩展模块所在的壳体腔室的壳体盖。为此，能够更换原始壳体盖子，并用自锁盖子代替。自锁盖例如能够具有防止在第一次完全封闭后盖被打开的锁钩等。附加地或替代地，自锁盖能够具有将盖固定在拧紧位置的接合部。

根据规定安装扩展模块和可能的未经授权的移除均可以通过相应的接触开关进行监控。当扩展模块被非法移除或篡改时，这种破坏接触将通知上级单元。因此，能够检测到非法干扰并采取对策。

在另一个实施例中，电子模块与扩展模块持久地电连接。在一个变型中，能够通过电子模块中的现场设备电子器件与扩展模块之间的电连接的持久设计来实现持久电连接。例如，电连接器，特别是插头连接器，能够被设计为具有机械不可逆的互锁装置。这意味着，例如，连接器不能无损地断开。附加地或替代地，现场设备电子器件和扩展模块之间的电连接能够被设计为无法从外部访问，从而防篡改。

在该实施例中，扩展模块也能够是无功能的，并且仅永久性地关闭对现场设备电子器件的电触点的物理访问。这样，现场设备的不同扩展阶段可以提供有具有相同现场设备电子器件的同一电子模块，从而，例如，在更有利的扩展阶段，功能扩展模块的连接被无功能扩展模块永久地阻止。通过使用相同的现场设备电子器件，能够在生产中实现更高的数量，从而降低成本。

附加地或替代地，现场设备电子器件和扩展模块之间的电连接的连续监控也能够通过固件更新来实现。未经授权的连接中断可能导致报警信号和/或现场设备的关闭和/或阻止对现场设备配置的访问。

在另一个实施例中，现场设备电子器件与扩展模块在逻辑上持久连接。逻辑持久连接是指现场设备电子器件与扩展模块通过唯一标识进行链接。

例如，现场设备电子器件以及因此电子模块能够具有唯一的设备标识和/或扩展模块能够具有唯一的模块标识。另一个模块的相应标识能够存储在不可访问的存储器区域中，因此交替地检查是否连接了正确的模块。

附加地或替代地，现场设备电子器件能够具有唯一的设备证书和/或扩展模块能够具有唯一的模块证书。这些证书还能够交换，因此在逻辑上保护原始配置。

这些证书还能够用于加密模块之间的通信。

相应的校验也能够用于确定存储的设备标识或证书是否已被更改。如果是这种情况，能够按照上文所述的有关未经授权中断电连接的程序进行操作。

现场设备优选被设计为过程自动化的现场设备，优选被设计为物位测量设备、极限物位测量设备、流量测量设备、密度测量设备或密度分布测量设备。

如上所述，扩展模块能够被设计为锁定模块，优选为机械锁定模块。这种锁定模块能够防止机械访问电触点或者防止现场设备电子器件从现场设备的壳体中移除。

可替代地，扩展模块能够被设计为显示和/或操作模块。

扩展模块还可以包括安全模块。这样的安全模块能够实现各种功能，特别是被适当地设计成实现预定义的IT安全级别。

为了确保未来生产系统的可用性，不同行业目前正在定义标准，其目的是加强过程控制系统的组件对疏忽或故意发起的外部攻击的恢复能力，从而提高现场设备的可用性，并且确保工厂操作员的生产率。

另外，立法者正在对设备的运营商和制造商提出新的要求，目的是使诸如能源(电力、天然气、石油)、运输(航空、铁路、水、公路)、饮用水供应和数字基础设施等关键基础设施(CRITIS)能够抵御疏忽或蓄意的黑客攻击。这方面的示例是欧洲议会通过的第2016/1148号指令(NIS指令)，该指令现已被欧盟成员国纳入国家法律。

根据各个应用地点的威胁情况，迄今为止存在的网络安全标准(例如，IEC 62443,ISO 27001)要求那里使用的设备满足标准化IT安全级别，也称为安全级别(SL)。

IEC 62443(例如，Status_08/2013)为此目的定义了以下安全级别，根据攻击者可用的手段、可用的物质和财政资源、技术能力和潜在动机进行分类。

安全级别SL0是纯粹的理论结构，其中没有损害或操纵的风险，因此没有必要采取措施。

SL1安全级别描述了系统防止意外和无意干扰或篡改的能力。

SL2安全级别描述了系统抵抗具有一般安全知识的感兴趣的个人和公司故意操纵的能力。

SL3安全级别描述了系统抵御专家和公司故意操纵的能力，这些专家和公司开发和部署具有明确目标的有效但以成本为导向的攻击场景。

SL4安全级别描述了系统抵御具有专家的组织故意操纵的能力，所述专家专注于几乎不惜一切代价实现特定选择的攻击目标。

对于现场设备的制造商，尤其是对于物位传感器和压力传感器的制造商，这些框架条件导致必须实施各种(行业特定)标准和法律中规定的IT安全规范。

这种扩展措施的实施通常需要将额外的硬件组件和/或额外的软件组件集成到现场设备中。如果现有设备需要满足安全级别(SL)，或者如果获得定义安全级别(SL)认证的要求发生变化，那么这通常会导致必须修改此类设备的机械和电气设计。已经交付的设备必须由客户更换为相应认证的后续设备，这将导致相应的成本和维护工作。

还有一个问题是：必须在技术上考虑到每种情况下具有定义的IT安全级别SL的行业特定标准。另外，必须考虑到立法者方面的不同规定。

此外，在制造商方面存在的问题是，设备必须根据不同的安全标准和不同的安全级别(SL)、可能也要根据不同国家的不同标准进行开发、制造和销售。

制造商能够通过扩展模块很好地满足这些要求，所述扩展模块能够根据所需的IT安全级别与现场设备电子器件相结合。

因此，可以借助于多个不同的扩展模块来为新设备和现有设备配备或提供不同的IT安全级别，而无需提供实现相应IT安全级别的全新设备。因此，制造商更容易提供适合的现场设备，尽管基本设备保持不变，并且仅由相应的扩展模块进行补充。对于现有设备的用户或运营商来说，这为他们的现有设备适应变化的IT安全要求提供了可能性，而无需更换相应的现有设备。现有设备采用扩展模块进行了改造，该扩展模块实现了所需的IT安全级别，因此升级后可在提高的IT安全要求下运行。

扩展模块能够具有用于实现指定的IT安全级别的多个功能单元。这样，能够提供具有不同功能单元的多个不同扩展模块，这些模块在与现场设备交互时实现不同的IT安全级别。

可替代地，能够这样设计扩展模块：扩展模块能够在与现场设备交互时实现多个不同的IT安全级别。在这种情况下，这意味着通过至少两个功能单元能够实现至少两个不同的IT安全级别。根据给出的要求，然后能够停用为实现特定的IT安全级别而不需要或不允许的各个功能单元，或者能够激活要求的或指定的功能单元，从而能够利用一个扩展模块实现多个不同的IT安全级别。

在本申请中，功能单元被理解为是指在硬件和/或软件中实现的功能块，所述功能块对于符合指定的IT安全级别具有决定性意义。特别地，不同等级的IT安全级别通常在至少一个功能单元中有所不同，即，为了实现一个IT安全级别而激活或停用至少一个功能单元，所述至少一个功能单元为了实现另一IT安全级别而相应地未被激活或停用。

本申请所基于的IT安全级别能够解决IT安全的各个方面，并且能够通过在本申请中的功能单元中总结的各种措施来实现。

可以在本申请涵盖的IT安全级别中实现的IT安全的方面包括用户、设备和软件的识别和认证的不同级别、使用控制、现场设备的通信在认证和完整性方面的保护以及例如所需的响应时间。

为此，升级模块能够具有用于连接物位计的电子模块的第一电接口和用于与高级单元连接的通信模块。借助于第一电接口，扩展模块能够连接到现场设备电子器件，优选地是现场设备电子器件的通信接口，更优选地是有线通信接口。利用通信模块，升级模块能够建立与外面的通信。在这个意义上，向外指的是现场设备外部的单元，特别是高级单元，操作设备或其他现场设备。

在这种情况下，上级单元可以是例如控制室中的评估设备和计算机，或者可以是LAN(local area network：局域网)或WAN(wide area network：广域网)环境中的服务器。虚拟专用网络(VPN：virtual private network)中的设备也包括在内。

在一个实施例中，现场设备电子器件和/或扩展模块能够这样设计：持久连接的松开触发错误消息。这能够如上所述通过监控电连接或者也如上所述通过接触开关(所谓的破坏接触)来实现。

特别地，在这一点上应该强调的是，扩展模块被设计为可单独管理的单元。这意味着，扩展模块被设计为不同的、协调的模块的模块化系统的一部分，并且被设计为单独的结构单元。

根据本发明的模块化现场设备概念包括多个不同的传感器、多个不同的壳体、多个电子模块和多个扩展模块，其特征在于，壳体和/或电子模块与扩展模块的至少一个组合被如此设计并彼此协调，使得电子模块和/或壳体能够与至少一个扩展模块持久地连接。

根据本发明的具有电子模块和至少一个扩展模块的现场设备的操作方法的特征在于，现场设备电子器件和/或现场设备与至少一个扩展模块持久地连接，所述电子模块具有现场设备电子器件。当首次设置或调试现场设备时，扩展模块因此永久连接到现场设备电子器件，即电子模块和/或现场设备或其壳体。

电子模块和/或现场设备优选地持久地机械连接到扩展模块，和/或现场设备电子器件与扩展模块持久地电连接和/或持久地逻辑连接。这样，防止未经授权的断开。

优选地，现场设备电子器件和/或扩展模块被设计为使得持久连接的松开触发错误消息。

这样，防止未被注意到的断开。

附图说明

下面参考附图，通过实施例详细说明本发明。其中：

图1示出了根据现有技术的现场设备，

图2示出了根据本申请的现场设备的第一实施例，

图3示出了根据本申请的现场设备的第二实施例，

图4示出了根据图3的现场设备的操作方法的示例，以及

图5示出了具有为此目的设计的扩展模块的现场设备的第三实施例。

具体实施方式

图1示出了根据现有技术的现场设备。

在本实施例中，现场设备101被设计为雷达物位计。现场设备101具有作为传感器100的发射和接收装置，该发射和接收装置具有喇叭天线。在现场设备101的壳体中，布置有电子模块102，该电子模块102具有与传感器100匹配的电子单元，该电子单元具有电子扩展接口104。

不同的扩展模块可以连接到该扩展接口104，并且可以由终端客户自行安装在现场设备101中。特别常见的是，利用扩展模块106扩展现有的传感器101，该扩展模块106被设计为显示和操作单元。扩展模块106通过电子接口104与电子模块102中的现场设备电子器件交换能量和数据。

机械地，扩展模块106借助标准化的机械壳体容纳部105，例如旋入机构105固定在电子模块102上。壳体盖103保护由电子模块102和扩展模块106组成的整个电子单元免受机械和大气干扰。

先前的扩展模块106通常被设计为在一个或多个不同的现场设备101上安装和拆卸任意次数。

当前的要求越来越强调防止对现场设备101的未经授权的访问或用于干扰现场设备101或例如测量过程的破坏企图。

现有技术中的先前解决方案提供了借助被设计为显示和操作模块的扩展模块106中的PIN查询来防止未经授权的访问。然而，这不能防止在破坏期间在硬件侧移除或操纵扩展模块106和/或电子模块102。在最坏的情况下，整个现场设备101与电源线107断开，并由与电源线107连接的虚拟传感器代替。该虚拟传感器提供的模拟和/或数字测量值能够根据需要进行操作，从而能够使整个生产系统停止运行。

图2示出了根据本申请的现场设备101的第一实施例，该现场设备101具有扩展模块201，该扩展模块201在当前情况下被设计为安全模块。

安全模块201包含与电子模块102中的现场设备电子器件协作实现定义的安全级别(SL)所需的各种硬件和软件单元。在本实施例中，安全模块201特别是包括用户管理202，该用户管理202包含用于启用现场设备101的配置的授权用户的列表。为了确保安全概念，即确保IT安全级别(SL)不被改变，可能需要防止安全模块201从此被拆卸，使得无法通过现有模块106实现对现场设备101不受控制的访问。为此，安全模块201具有与电子模块102的持久机械连接，在本实施例中，该持久机械连接通过级联的柔性锁定闩203实现，当安全模块201安装在电子模块102上时，柔性锁定闩203被推到一边，但在试图移除安全模块201时，柔性锁定闩203横向放置并以防止拆卸的方式钩住。

此外，能够通过安全模块201的机械尺寸的相应设计来实现电持久性。为此，除了所示的模块201之外，尤其还能够使用专门用于不可逆的机械密封的无功能模块。

在图2所示的实施例中，在一次性地插入扩展模块201之后，由于模块壳体的直径d而永久性地禁止了对电子模块102的电触点204的机械接触。结果，从现在起能够防止在电引线107与电子模块102中的传感器电子器件之间的连接的未经授权的断开。

补充地，通过将新固件205加载到电子模块102中，现场设备101的行为被改变，从而实现对电源线107中的电流的连续监控。在意外中断的情况下，在输出故障消息后重新启动之后，现场设备101的操作被中断。此外，当检测到中断时，例如从这里未示出的能量存储设备馈送的最终警报信号被无线地传输到更高级别的单元。

图3示出了根据本申请的现场设备101的第二实施例。

在图3所示的实施例中，其中使用的扩展模块301在逻辑上被密封，以便由此实现逻辑上的持久性。扩展模块301能够在电子模块102上机械地组装并且随后拆卸任意次数。然而，在扩展模块301的第一次安装期间，组件302、303、304、305的相互作用实现了扩展模块301和电子模块102在逻辑上的彼此链接，使得不再可能在没有扩展模块301的情况下继续操作现场设备和/或将扩展模块301安装在另一现场设备上。

图4中的流程图详细示出了此过程。

该方法通过在步骤401中插入扩展模块301开始。首先，在步骤402中，扩展模块301通过将固件复制到电子模块102中来更新现场设备101的固件。为此，扩展模块301中的第一处理器302将存储在非易失性存储器303中的信息传输到电子模块102中的处理器304，处理器304随后更新程序代码305。

在步骤403中，现场设备101被重新启动，并且在步骤404中，根据由于固件更新现在为新的程序代码的指示，生成唯一的传感器标识签名，例如数字代码。

在步骤405中，将代码传送给扩展模块301，然后扩展模块将该签名存储在非易失性存储器303中。此后，扩展模块301将仅在与签名与存储在存储器303中的签名一致的电子模块102交互的情况下开始其操作。

在步骤406中，扩展模块301将其自己的秘密签名(例如，在工厂生成的签名)发送回电子模块102。在电子模块102的处理器304中，该签名现在被检查，并且在此尤其是与被接受的模块的通过软件更新所发送的签名进行比较。

如果比较成功，则步骤409激活现场设备101的正常操作模式，以确定测量值。

否则，在步骤410中，以有线或无线的方式向外部世界发送故障消息，并且拒绝正常的传感器操作。

在步骤411中，该过程结束。

借助于上述方法，能够实现电子模块102和扩展模块301此后只能在恰好该组合中一起运行，因此在逻辑上彼此唯一地耦合。因此，在本发明的上下文中，扩展模块301可以被认为是逻辑上持久的。

图3和图4所示的具有逻辑持久性的扩展模块的实施例能够在所提出的扩展模块的上下文中有利地用于获得安全功能(SL)。然而，另外，与防盗、防爆或内部布线细节的保密性相关的方面也能够使用前面和下面所示的实施例来实现。特殊实施例还能够用于实现现场设备的商业营销的策略。

图5示出了具有为此设计的扩展模块501的现场设备502。

在本实施例中，扩展模块501具有装置203，该装置203产生的结果是在完成组装之后实现扩展模块501的机械持久性。在本实施例中，扩展模块501被装备为没有附加功能的所谓的锁定模块，并且也没有与电子模块102的扩展接口104的连接。所示的实施例尤其能够用于实现具有不同市场价格的现场设备的不同变型。

例如，现场设备502作为没有可扩展性的选项的低成本传感器在市场上提供。为了能够使电子模块102的生产成本低廉，可以规定，也在可扩展设备中使用的标准化传感器电子器件也以廉价的形式使用，但是通过机械地覆盖扩展接口104来阻止可扩展性。这能够通过已经在制造商处施加具有相应锁定闩203的机械持久的扩展模块以简单的方式实现。

为了防止强行移除扩展模块501，扩展模块501和电子模块102之间的机械接口可以被配置为这样：如果克服锁定止动器的阻力强行移除扩展模块501，则电子模块102侧的机械容纳部被损坏或破坏，使得在强行移除锁定模块之后不能安装功能性扩展模块。

此外，还可以规定，已经在制造商处将连接电缆503安装在具有电子模块102的电触点204的终端块上，因此完全保护电子模块102的内部免受外部篡改或未经授权的扩展。

还可以设想禁止或限制现有的现场设备在某些国家或目标市场的可扩展性，以避免侵犯这些国家的第三方现有知识产权。也可以规定，通过适当的持久附加模块，以不可改变的方式确保与批准相关的配置，例如与防爆相关的现场设备502的隔爆外壳。在一个实施例中，扩展模块501也能够被设计为持久的壳体盖504的形式，持久的壳体盖504例如能够接合至现场设备502的壳体。

在示例性的实施例中，模块501表现出机械持久性。然而，附加地或替代地，可以规定，使用电持久性和/或逻辑持久性来实现上述目标。

附图标记列表

100 传感器

101，502 现场设备

102 电子模块

103，504 壳体盖

104 扩展接口

105 壳体容纳部

106，201，301，501 扩展模块

107 电源线

202 用户管理

203 锁定闩

204 电触点

205 固件

302，303，304，305 组件

401-411 步骤1-11

503 连接电缆

Claims (17)

1.一种现场设备(101，502)，其具有电子模块(102)和至少一个扩展模块(106，201，301，501)，所述电子模块(102)具有现场设备电子器件，其特征在于，

所述电子模块(102)和/或所述现场设备(101，502)与至少一个扩展模块(106，201，301，501)持久地连接。

2.根据权利要求1所述的现场设备(101，502)，其特征在于，所述电子模块(102)和/或所述现场设备(101，502)与所述扩展模块(106，201，301，501)持久地机械连接。

3.根据前述权利要求中任一项所述的现场设备(101，502)，其特征在于，所述电子模块(102)与所述扩展模块(106，201，301，501)持久地电连接。

4.根据前述权利要求中任一项所述的现场设备(101，502)，其特征在于，所述电子模块(102)与所述扩展模块(106，201，301，501)持久地逻辑连接。

5.根据权利要求4所述的现场设备(101，502)，其特征在于，所述电子模块(102)具有唯一的设备标识和/或所述扩展模块(106，201，301，501)具有唯一的模块标识。

6.根据权利要求4或5所述的现场设备(101，502)，其特征在于，所述电子模块(102)具有唯一的设备证书和/或所述扩展模块(106，201，301，501)具有唯一的模块证书。

7.根据前述权利要求中任一项所述的现场设备(101，502)，其特征在于，所述现场设备(101，502)被设计为物位测量设备、极限物位测量设备、流量测量设备、密度测量设备或密度分布测量设备。

8.根据前述权利要求中任一项所述的现场设备(101，502)，其特征在于，所述扩展模块(106，201，301，501)被设计为锁定模块，优选为机械锁定模块。

9.根据前述权利要求中任一项所述的现场设备(101，502)，其特征在于，所述扩展模块(106，201，301，501)被设计为显示和/或操作模块。

10.根据前述权利要求中任一项所述的现场设备(101，502)，其特征在于，所述扩展模块(106，201，301，501)包括安全模块。

11.根据前述权利要求中任一项所述的现场设备(101，502)，其特征在于，所述安全模块被适当地配置成用于实现预定的IT安全级别。

12.根据前述权利要求中任一项所述的现场设备(101，502)，其特征在于，所述电子模块(102)和/或所述扩展模块(106，201，301，501)被配置为使得持久连接的松开触发错误消息。

13.根据前述权利要求中任一项所述的现场设备(101，502)，其特征在于，所述扩展模块(106，201，301，501)被形成为能够单独管理的单元。

14.一种模块化现场设备概念，其包括多个不同的传感器(100)、多个不同的壳体、多个电子模块(102)和多个扩展模块(106，201，301，501)，其特征在于，壳体和/或电子模块(102)与扩展模块(106，201，301，501)的至少一个组合被如此设计并彼此协调，使得所述电子模块(102)和/或所述壳体能够与至少一个扩展模块(106，201，301，501)持久地连接。

15.一种现场设备(101，502)的操作方法，所述现场设备(101，502)具有现场设备电子器件和至少一个扩展模块(106，201，301，501)，其特征在于，所述电子模块(102)和/或所述现场设备(101，502)与至少一个扩展模块(106，201，301，501)持久地连接。

16.根据权利要求15所述的方法，其特征在于，所述电子模块(102)和/或所述现场设备(101，502)与所述扩展模块(106，201，301，501)持久地机械连接，和/或所述现场设备电子器件与所述扩展模块(106，201，301，501)持久地电连接和/或持久地逻辑连接。

17.根据权利要求15和16中任一项所述的现场设备(101，502)的操作方法，其特征在于，所述电子模块(102)和/或所述扩展模块(106，201，301，501)被配置为使得所述持久连接的松开触发错误消息。

Images