CN116783560A - 用于操作现场装置的方法和用于操作现场装置的系统 - Google Patents

Abstract

本发明涉及用于操作具有输入接口(31)、存储单元(32)和第一通信接口(33)的自动化技术现场装置(3、4)的方法，在所述存储单元中存储有用于所述现场装置(3、4)的操作的至少一个参数集，其中，在所述参数集的至少一个参数被第一实体(11)修改的情况下，按照以下顺序进行以下步骤：‑将至少修改后的一个或多个所述参数和/或根据它们计算的数据发送至上级单元(5)，‑将所述修改通知第二实体(12)。

Description

用于操作现场装置的方法和用于操作现场装置的系统

技术领域

本申请涉及根据专利权利要求1的前序部分的用于操作现场装置的方法，并且涉及具有专利权利要求15的特征的用于操作现场装置的系统。

背景技术

从现有技术中已知大量现场装置和用于操作现场装置的各种方法。

在这种情况下，将与生产过程直接相关的各种技术装置归入术语“现场装置”。这里的“现场”是指控制中心以外的区域。因此，现场装置可以特别是致动器、传感器和测量转换器。

用于记录和/或影响过程变量的现场装置通常用于过程自动化工程。具有记录填充料位、极限料位或压力这些相应过程变量的传感器的填充料位测量装置、极限料位测量装置和压力测量装置是此类现场装置的示例。

例如，本申请还涉及自包含式现场装置，特别是诸如自包含式填充料位或极限料位传感器等自包含式测量组件。自包含式填充料位或极限料位传感器优选地构造为雷达传感器，并且为了确保传感器的自包含性，除了用于检测测量数据的测量传感器之外，还包括用于优选地以无线方式发送检测到的测量数据或测量值的传输装置以及它们自身的电源。优选地，传输装置可以是用于窄带无线电技术(LoRa、Sigfox、LTE-M、NB-IOT)的无线电模块，其将测量数据或测量值发送到云端，即万维网中的服务器。电源单元优选地构造为电池或可充电电池，并且可以进一步包括能量收集模块。

此类自包含式现场装置的典型应用领域特别地包括库存管理或移动容器上的测量任务。

到目前为止，已知的上述类型的现场装置使得可以发送测量值，从而上级单元基于所获取的测量值触发预先确定的动作。例如，基于填充料位测量装置的测量值，当超过阈值时，可以关闭进料管或者打开排料管。

自包含式现场装置的特征在于，安装特别简单且不需要连接通信或供应线，因此提供了特别灵活的布置选择，即，特别是它们在过程环境中的连接。通常使用窄带无线电技术(LoRa、Sigfox、NB-IOT)将由这些现场装置确定的测量值发送到云端中，即，发送到万维网中的服务器上。此类现场装置的典型应用领域包括诸如洪水预报、库存管理或其他分散的测量任务等领域。由于与万维网的直接连接，此类现场装置固有地受到来自网络的黑客攻击的永久威胁。

此外，现场装置通常具有本地可操作的参数化接口。对参数化未经授权或无意的修改可能会完全伪造输出的测量值，因此，特别是在安全应用的情况下，会对工艺设备造成巨大损害，也会对人类和环境造成巨大损害。

最近，在现场装置中实现了越来越多的额外数字接口(例如蓝牙)，这有助于现场装置的现场参数化，但也增加了无意或未经授权的参数化修改的可能性和概率。

因此，存在提高此类现场装置及其操作的安全性的需要。

此外，例如，现场装置还用于诸如能源(电力、天然气、石油)、运输(航空、铁路、水路、公路)、饮用水供应或数字基础设施等关键基础设施(KRITIS)。在这些领域中，同样对现场装置抵抗疏忽或故意攻击，特别是黑客攻击存在较高要求。关于此的一个示例是欧洲议会通过的2016/1148号指令(NIS指令)，该指令同时被欧盟成员国在国家法律中实施。

发明内容

本发明的目的是进一步开发用于操作现场装置的方法，并且提供用于操作现场装置的系统，从而进一步降低错误参数化的可能性并且能够识别和阻止可能的外部攻击。此外，用于验证在某个时间点有效的参数的选择被认为是可能的。

根据本发明的用于操作具有输入接口、存储用于现场装置的操作的至少一个参数集的存储单元以及第一通信接口的自动化技术现场装置的方法，其特征在于，在所述参数集的至少一个参数被第一实体修改的情况下，将至少修改后的一个或多个参数和/或根据它们计算的数据发送至上级单元，并且将该修改通知第二实体。

因此，如果被监控的参数集的参数在现场装置中被第一实体修改，则关于该修改的信息被自动发送至上级单元。在这种情况下，可以通过发送修改后的参数或整个参数集以及通过发送根据它们计算的数据来进行通知过程。例如，根据修改后的参数或具有修改后的参数的参数集计算的数据可以包括指纹或哈希(hash)值和/或参数集的加密发送。

在这种情况下，例如，第一实体可以是对现场装置进行调整的操作人员。然而，第一实体也可以是访问现场装置并且进行参数修改的其他装置。例如，第一实体可以是移动操作装置或远程计算机，操作人员通过该移动操作装置或远程计算机经由通信接口访问现场装置，以便对现场装置进行参数化或读出数据。

如果上级单元已经被通知参数的修改，则其然后可以将所进行的修改通知第二实体。取决于哪些信息被发送至上级单元，即，取决于修改后的参数或整个参数集被发送，还是仅哈希值被发送，例如，上级单元可以仅将参数被修改的事实通知第二实体，或者具体地将进行了哪些修改，即，特别是哪个参数或哪些参数被修改的报告通知第二实体。

第二实体也可以具有不同的表现形式，例如是上级单元的操作人员、被上级单元通知的其他装置或它们的群组或组合。

因此，本方法自动发现任何参数修改，并且通知例如一个负责人员(监控人员)或多个负责人员，以便必要时能够启动必要的对策。

为了允许尽可能全面地通知第二实体，可以在发送步骤中发送整个参数集。因此，确保了第二实体拥有由其支配的用于评估当前版本中所进行的修改的所有相关信息，因此能够最佳地评估所进行的修改。

额外地或可选择地，也可以将根据参数集计算的哈希值发送至上级单元。例如，该哈希值唯一地表征参数集，使得可以在稍后的时间点追踪哪个参数集在较早的时间点是有效的。以这种方式，例如，即使在不将整个参数集发送至上级单元的情况下，也可以验证在发生损坏时哪些参数存储在现场装置中。为此，例如，可以将参数集存储在额外的存储介质上，该额外的存储介质例如仅可由现场装置的所有者访问。

如果仅将哈希值发送至上级单元，则第二实体可以确认，例如，在某个时间点的参数修改是允许的。额外地或可选择地，可以确认第一实体的授权。

哈希函数是一种数学映射，将大的输入集(关键字)映射成较小的目标集(哈希值)。因此，哈希函数通常不是单射的。输入集可以包含不同长度的元素；相比之下，目标集的元素通常具有固定长度。

通常，哈希值是来自自然数的有限子集中的标量值。在这种情况下，“好”的哈希函数为(预期的)输入数据生成值，使得两个不同的输入也会产生不同的输出值。因此，哈希值也被称为指纹，因为它构成了较大数据集的几乎唯一的标签，就像指纹几乎唯一地识别一个人一样。

在这种情况下，以这种方式将参数集或参数集的子集映射成哈希值，因此该参数集或子集被唯一地标记。

额外地或可选择地，可以针对参数集计算修改计数。例如，可以在每次修改参数或参数集时使该修改计数递增，使得可以在任何时候识别当前有效的参数集与经验证的参数集相比是否被修改。

在所述方法的一个变形中，参数集和/或根据参数集计算的数据可以存储在分布式账本中。

术语“分布式账本”描述了一种可以用于记录某些事务的技术。与通常仅由一个实体管理中央账本的传统方法相比，原则上同等重要的任意数量的账本副本由不同的各方维护。通过适当的措施确保即将新增的事务记录在账本的所有副本中，并且确保关于账本相应的当前状态达成一致(共识)。

在本申请中，参数集和/或哈希值和/或其他信息因此可以存储在分布式账本中。以这种方式，对于所有相关各方，例如第一实体和/或第二实体和/或现场装置的所有者和/或操作人员和/或维护服务人员和/或制造商，相关信息是透明的并且是安全存储的，从而能够阻止来自所有方面的操纵。

例如，如果现场装置的错误参数化导致现场装置或工艺设备受损，则可以基于哈希值从分布式账本中追踪参数修改发生的时间。由于哈希值可以与参数集唯一地关联，因此即使制造商最初不知道参数集，也可以唯一地识别出参数集，使得所有各方都可以唯一地且透明地追踪导致受损的配置。因此，例如，可以明确地确定现场装置在受损的情况下是否以允许的参数组合进行操作。

例如，上级单元可以构造为分布式计算机网络。例如，该分布式计算机网络可以构造为云系统，其中，除了监控现场装置的参数之外，还进行由现场装置确定的测量值的评估。例如，这可以由现场装置的制造商作为软件，即服务来提供。

在上级单元中可以进行哈希值的计算、修改计数或者参数集的加密。以这种方式，可以节省现场装置的资源，并且可以在上级单元中进行计算密集型操作。以这种方式，例如，可以节省现场装置的能量存储单元的能量，从而可以进行更长的自包含操作。

可以周期性地和/或以面向事件的方式进行发送。这意味着，至少修改后的一个或多个参数、整个参数集和/或根据它们计算的数据被周期性地，即以可预先确定的或严格地预先确定的时间间隔发送至上级单元，和/或以由可预先确定的或严格地预先确定的事件触发的方式发送至上级单元。

特别地，周期性发送允许对现场装置进行额外监控，因为以这种方式可以确定现场装置是否在预先确定的时间点没有进行发送。在这种情况下，也可以通知第二实体。可选择地，可以规定，如果周期性发送的数据没有到达上级单元，则将现场装置或由现场装置监控的整个过程转入安全状态。

此外，在发送步骤之前可以进行加密。通过对发送数据进行加密，能够确保数据在发送期间不会被未经授权的第三方读出或截获和/或操纵。

在一个实施方案中，可以在本地设置中继站。在这种情况下，例如，可以在不加密的情况下进行本地发送，并且可以以加密的方式进行从中继站到上级单元的发送。为了节省现场装置的资源，计算操作也可以外包给中继站。

在第一变形中，所述方法可以构造为单向的。这意味着，只能经由通信接口进行从现场装置到上级单元的发送，而现场装置不构造为经由所使用的接口接收数据。因此，阻止了创建用于攻击现场装置的额外进入点。

在第二变形中，该变形构造为双向的，即现场装置也能够经由通信接口接收数据。在该变形中，可以规定，例如，只有在修改后的一个或多个参数被第二实体确认之后，才在现场装置中激活它们。另外，上级单元和/或第二实体能够将参数集重置回最后有效的值。

除了修改后的一个或多个参数和/或根据它们计算的数据之外，还可以将关于第一实体的信息，特别是第一实体的唯一标识，额外地发送至上级单元。通过获得并发送第一实体的唯一标识，可以进一步增强本方法的安全性。因此，可以将每个参数修改与第一实体唯一地关联，并且将该信息与关于参数修改的信息一起存储。

例如，可以在上级单元中使用用于评估参数的人工智能。通过使用人工智能，例如，可以测试发送的参数集的一致性，并且可以在自学习系统中收集关于哪些参数不会引起任何问题的信息。同时，用户可以通过提供例如基于其他用户也使用并保留并且因此提供了现场装置的良好性能的参数集的值来对其现场装置的参数化提供支持。

额外地或可选择地，第二实体可以包括负责现场装置的监控人员的装置，特别是移动装置。以这种方式，可以将修改通知负责监控现场装置的人员(监控人员)或人员群组。

在所述方法的一个变形中，规定只有在人工智能检测到参数不一致之后才通知监控人员的所述装置。以这种方式，实现了人工智能对监控人员的支持，使得例如只有在输入的参数被人工智能分类为有问题之后才请求监控人员确认参数集。

根据本发明的用于操作现场装置的系统包括：至少一个自动化技术现场装置，其具有输入接口、存储用于现场装置的操作的至少一个参数集的存储单元以及第一通信接口；和具有第二通信接口的至少一个上级单元，其特征在于，现场装置和上级单元构造为且适配为使得在参数集的至少一个参数被第一实体修改的情况下，现场装置将修改后的一个或多个参数或根据它们计算的数据发送至上级单元，并且将该修改通知第二实体。

在这种情况下，用于操作现场装置的本系统构造为使得由于现场装置和上级单元之间的交互而将参数修改发送至第二实体。在这种情况下，可以在发送至第二实体之前由上级单元检查参数集和/或第一实体的身份。

在这种情况下，输入接口和通信接口也可以是相同的。这意味着，例如，可以通过蓝牙无线电接口进行通信和输入。

然而，为了增强安全性，第一通信单元也可以构造为纯发送单元。通过将通信单元构造为没有接收选择的纯发送单元，可以阻止经由该接口攻击现场装置的可能性。

例如，上级单元可以构造为分布式计算机网络。通过分布式计算机网络，例如云，可以提高上级单元的可用性和可访问性。参数集或根据参数集计算的值优选地可以存储在分布式计算机网络中，优选地存储在分布式账本中。

特别地，整个参数集和/或根据参数集计算的哈希值和/或修改计数可以存储在分布式计算机网络中，优选地存储在分布式账本中。

通过以这种分布式的并且对于参与系统的所有各方来说都是透明的的方式存储上述值，可以实现始终能够追踪哪个参数集在哪个时间点是有效的。以这种方式，例如，可以透明地追踪损坏的情况，无论是由于工艺设备还是现场装置造成的或者是在工艺设备上还是在现场装置上。

所提出的系统的优选实施方案、特征和性能对应于所提出的方法的优选实施方案、特征和性能，反之亦然。

根据从属权利要求和以下说明，本发明的有利实施方案和变形变得显而易见。从属权利要求中单独引用的特征可以以任何技术上有意义的方式彼此结合，也可以与在以下说明中更详细地呈现的特征结合，并且可以代表本发明的其他有利实施方案的变形。

附图说明

以下参照附图、基于示例性实施方案详细说明本发明。在附图中：

图1象征性示出了用于操作现场装置的系统，

图2示出了可以在图1的系统中使用的现场装置，

图3示出了用于操作现场装置的方法的第一实施方案，并且

图4示出了用于操作现场装置的方法的第二实施方案。

具体实施方式

图1象征性示出了根据本申请的用于操作包括第一现场装置3和第二现场装置4的现场装置的系统1。

在根据图1的示例性实施方案中，现场装置3、4均设置在储罐7上，用于测量填充料位或极限料位。在所示的示例性实施方案中，第一现场装置3构造为用于检测储罐7的最大填充料位的极限料位传感器，并且连接至过程控制单元9。过程控制单元9处理由现场装置3检测到的测量值，并且在达到最大填充料位时，停用设置在朝向储罐7延伸的进料管中的泵。

在所示的示例性实施方案中，第二现场装置4构造为雷达料位测量装置，并且将其填充料位测量值无线地发送至控制中心。

在用于操作现场装置的系统1中一起监控两个现场装置3、4。

在本示例性实施方案中，系统1的上级单元构造为分布式计算机网络(云)5，其中第一现场装置3经由中继器6连接至上级单元5，并且第二现场装置4直接连接至上级单元5。在每种情况下，中继器6和第二现场装置4之间的通信经由无线电链路无线地进行。

图1所示的示例性实施方案中示出了第一实体11，在本实例中，该第一实体构造为移动终端装置，例如用户的智能手机。在本实例中，第一实体11访问第一现场装置3，以便进行输入而用于参数化，即关于即将检测的介质和它们的密度、关于测量频率以及关于切换命令的条件(未覆盖/未覆盖)的信息。如果第一实体11修改了检测到的现场装置3的参数，则现场装置识别该修改，并且经由中继器6通知其上级单元5。在本示例性实施方案中，在每种情况下，整个参数集(下文中，也称为参数集)被发送至上级单元5，并且与时间戳一起存储在上级单元5中。同时，将发送的参数集与存储在用于第一现场装置3的上级单元中的参数集进行比较，并且检查哪些参数被修改。说明哪些参数修改的固定规则可以存储在上级单元5中，并且将这些参数修改通知实体12(在本实例中表示为一组装置)。可选择地，也可以在每次修改参数时进行通知，或者根据例如通过人工智能对整个参数集的分析而进行通知。除了上级单元5通知第二实体12之外，还可以以防修改的方式将参数集或根据参数集计算的数据(例如哈希值)存储在上级单元5中。

在本示例性实施方案中，现场装置3、4和上级单元5之间的信息传输仅构造为双向的，即现场装置3、4只能向上级单元5发送数据，但不能从上级单元5接收除无线电通信确认之外的数据。然而，在系统1的另一实施方案中，现场装置3、4和上级单元5之间的连接也可以构造为双向的，使得在修改后，例如，第二实体12可以向上级单元5发送参数修改确认或参数修改拒绝，上级单元对其进行记录并且将其发送至现场装置3、4。在这种情况下，关于第二实体进行的参数修改确认或参数修改拒绝，可以由上级单元5直接通知或者经由现场装置3、4间接通知第一实体11。

以这种方式，可以实现双重控制原理，其中只有在得到第二实体12的确认之后，由第一实体11对现场装置3、4进行的参数修改才有效。在图1的示例性实施方案中示出为第一实体11和第二实体12的两类装置可以分别分配给一名员工，因此在每种情况下只有这两名员工一起才能够进行参数修改。因此，由于无意或不必要的参数修改而造成的间接损坏可以最小化，并且理想情况下能够完全避免。

通过将参数发送至上级单元5，还可以为每个现场装置3、4创建存储有现场装置的类型、存储参数和关于现场装置的进一步相关信息的数字孪生体，即数字副本。

图2示出了可以在图1的系统中使用的现场装置的示例性实施方案。在这种情况下，图2所示的现场装置对应于第一现场装置3，该第一现场装置在图1的示例性实施方案中经由中继器6与上级单元5通信。

在本实例中，现场装置3仅被示意性示出，并且具有电子单元30，通过该电子单元可以处理由传感器37确定的测量值并且可以经由输出接口34将所述测量值提供给例如过程控制单元9。此外，现场装置3具有输入接口31，通过该输入接口还可以在现场装置3上直接进行各种输入、配置和参数修改。在本示例性实施方案中，对现场装置3有效的最终参数集存储在电子单元30的计算单元35的存储单元32中。如果计算单元35在存储单元32中登记了参数修改，则这将经由布置在电子单元30中的通信接口33发送至上级单元5。例如，通信接口33可以构造为短程无线电接口，例如NFC接口的蓝牙，或者可以选择性地利用窄带无线电技术，例如LoRa或NB-IOT。由于在本示例性实施方案中选择范围小的短程无线电接口，因此如图1所示，经由中继器6与上级单元5进行通信。

此外，通信接口33可以用于与第一实体11的无线电通信，以使现场装置3的调试和参数化更容易。然而，在这种情况下，通信接口33需要构造为双向的。

图3示出了用于操作现场装置的示例性方法。

在第一步301中，该方法开始。在第二步302中，检查是否已经进行了参数修改。如果已经进行了参数修改，则在第三步中将关于参数修改的信息发送至上级单元5。在第四步304中，上级单元5接着通知第二实体12，并且该方法再次从第二步302开始。第二步302可以例如周期性地进行，即以固定的时间间隔进行，或者可以以面向事件的方式进行，例如在对现场装置进行输入时或者在建立连接时进行。发送至上级单元5的第三步也可以周期性地或者以面向事件的方式进行；此外，对于这两个步骤，可以组合周期性进行和以面向事件的方式进行。

图4示出了根据本申请的方法的变形，该变形与根据图3的方法相比进行了扩展。

同样在这种情况下，在第一步401中，该方法开始。在第二步402中对参数修改进行周期性和事件控制的检查。在第三步中，首先对信息进行加密以发送至上级单元5，然后在第四步404中将信息以加密形式发送至上级单元5。在第五步405中，一方面以加密形式存储所发送的数据，另一方面在步骤406中对数据进行解密并且通过人工智能进行检查。如果所发送的参数被人工智能分类为有问题，则本方法再次从对参数修改进行检查的第二步开始。然而，如果人工智能在第六步406中得出以下结论：对参数进行了有问题的修改，或者至少进行了值得检查的修改，则在第七步407中通过参数修改来修改第二实体12。在第八步408中，第二实体12经由上级单元5向现场装置3反馈，其中该反馈可能包含对所进行的修改的确认、对所进行的修改的拒绝或参数的变化。只有存在反馈时才接受所设置的参数，并且该方法再次从第二步402开始。如果在可预先确定的时间间隔内没有来自第二实体的反馈，则可以规定，例如，通过将由现场装置监控的过程转入安全状态或关闭，现场装置继续以先前有效的参数操作或者自动地变为安全状态。

为了确保参数修改和在某个时间点分别有效的多个参数的透明可追踪性，例如，可以规定将整个参数集或根据参数集计算的哈希值存储在分布式账本(例如区块链)中。因此，对于相关人员来说，所有参数集或哈希值在任何时候都是唯一可归属的，使得始终可以通过参数集本身或哈希值来查明哪个参数集在哪个时间点是有效的以及可能导致故障或损坏。

附图标记列表

1系统

3第一现场装置

4第二现场装置

5上级单元

6中继器

7储罐

9过程控制单元

11第一实体

12第二实体

30电子单元

31输入接口

32存储单元

33通信接口

34输出接口

35计算单元

37传感器

301-304过程步骤

401-408过程步骤

Claims (18)

1.一种用于操作具有输入接口(31)、存储单元(32)和第一通信接口(33)的自动化技术现场装置(3、4)的方法，在所述存储单元中存储有用于所述现场装置(3、4)的操作的至少一个参数集，其特征在于，

在所述参数集的至少一个参数被第一实体(11)修改的情况下，按照以下顺序进行以下步骤：

-将至少修改后的一个或多个所述参数和/或根据它们计算的数据发送至上级单元(5)，

-将所述修改通知第二实体(12)。

2.根据专利权利要求1所述的方法，

其特征在于，

在所述发送的步骤中发送整个所述参数集。

3.根据前述专利权利要求中任一项所述的方法，

其特征在于，

根据所述参数集计算哈希值。

4.根据前述专利权利要求中任一项所述的方法，

其特征在于，

针对所述参数集计算修改计数。

5.根据前述专利权利要求中任一项所述的方法，

其特征在于，

将所述参数集和/或根据所述参数集计算的所述数据存储在分布式账本中。

6.根据前述权利要求中任一项所述的方法，

其特征在于，

将所述上级单元(5)构造为分布式计算机网络。

7.根据前述权利要求中任一项所述的方法，

其特征在于，

在所述上级单元(5)中进行所述计算。

8.根据前述权利要求中任一项所述的方法，

其特征在于，

周期性地和/或以面向事件的方式进行所述发送。

9.根据前述权利要求中任一项所述的方法，

其特征在于，

在所述发送的步骤之前进行加密。

10.根据前述权利要求中任一项所述的方法，

其特征在于，

只有在所述修改后的一个或多个参数被所述第二实体(12)确认之后，才在所述现场装置(3、4)中激活它们。

11.根据前述权利要求中任一项所述的方法，

其特征在于，

额外地发送关于所述第一实体(11)的信息，特别是唯一标识。

12.根据前述权利要求中任一项所述的方法，

其特征在于，

所述上级单元(5)包括用于评估所述参数的人工智能。

13.根据前述权利要求中任一项所述的方法，

其特征在于，

所述第二实体(12)包括负责所述现场装置(3、4)的监控人员的装置，特别是移动装置。

14.根据专利权利要求12和13所述的方法，

其特征在于，

只有在所述人工智能检测到所述参数不一致之后，才通知所述监控人员的所述装置。

15.一种用于操作现场装置的系统，包括：

-至少一个自动化技术现场装置(3、4)，其具有输入接口(31)、存储单元(32)和第一通信接口(33)，在所述存储单元中存储有用于所述现场装置(3、4)的操作的至少一个参数集，和

-具有第二通信接口(33)的上级单元(5)，其中

-所述现场装置(3、4)和所述上级单元(5)构造为且适配为使得在所述参数集的至少一个参数被第一实体(11)修改的情况下，所述现场装置(3、4)将修改后的一个或多个所述参数或根据它们计算的数据发送至所述上级单元(5)，并且将所述修改通知第二实体(12)。

16.根据专利权利要求15所述的系统，

其特征在于，

所述上级单元(5)构造为分布式计算机网络，并且所述参数集或根据所述参数集计算的值优选地存储在所述分布式计算机网络中，优选地存储在分布式账本中。

17.根据专利权利要求16所述的系统，

其特征在于，

所述第一通信单元构造为纯发送单元。

18.根据专利权利要求16所述的系统，

其特征在于，

所述第一通信单元构造为发送和接收单元。