CN117941320A - 用于并入自动化设备的方法和自动化系统 - Google Patents

Abstract

通常，自动化设备在能够使用在自动化系统中或与其他自动化设备结合来使用之前必须被配置。例如通过配置存储在自动化设备上的配置数据而进行的用于并入到自动化系统中的自动化设备的适配在学术界也被称为配置入网。根据本发明，提供用于将自动化设备并入自动化系统的方法，通过这些方法而可以在安全性保持不变的情况下免除预安装的授权证明。该方法对于如下自动化设备的制造商来说是特别有利的，这些自动化设备作为通用设备出售并且之后才应由客户并入到自动化系统中。

Description

用于并入自动化设备的方法和自动化系统

技术领域

本发明涉及一种用于将自动化设备并入到自动化系统中的方法和自动化系统。

背景技术

随着分布式、所谓的基于云的架构在工业制造环境中的更大普及，迄今为止原本保留用于服务器支持的数据处理的技术也进入到工业自动化设备中、也就是说进入到自动化技术的控制单元、传感器、执行器和智能现场设备中以及自动化设施中。还应观察到计算资源的转移，通过所述转移而更大程度地注重“现场”(即工业现场层级上)的计算操作。这种转移在学术界也称为边缘计算(Edge Computing)。

在计算资源的转移的过程中，迄今为止由较高控制层级保留的任务越来越需要在与自动化设备的层级上进行处理。由于此类的联网的自动化设备的数量增加以及工业现场层级上的特殊条件，从控制层级已知的解决方案不一定可以转用到现场层级中。

通常，新添加、修复或重新配置的或关于其软件方面已更新的自动化设备在能够使用在自动化系统中或与其他自动化设备结合来使用之前必须被配置。例如通过配置存储在自动化设备上的配置数据而进行的用于并入到自动化系统中的自动化设备的适配在学术界也被称为配置入网(Onboarding)。

在现代自动化系统中，已知：为了适配自动化设备以用于在特定自动化系统中的运行，在真正使用该自动化设备之前还要对其进行参数化。所述参数化可以包括通用配置数据，例如固定地分派给自动化系统内的自动化设备的网络地址，或者特定用途的配置数据，例如自动化设备的切换时间。

在传统自动化系统中以不受保护的方式提供这种参数化，而在此其间针对向下直至现场层级的操纵的保护则被认为是必不可少的。在此应确保：第三方无法操纵自动化设备上的配置数据，即使他们获得了对自动化系统的访问。因此，当今的自动化设备在交付状态下通常配备有授权证明或凭据。

作为授权证明例如使用到存储在自动化设备上的预共享密钥或PSK或预共享秘密。自动化设备的识别特征(例如序列号)也常常被用作为用于将自动化设备并入自动化系统的授权证明或授权证明的一部分。

此外，已知更强的非对称加密授权证明，其中加密存储模块或可信平台模块，简称为TPM，也即通常独立安装在自动化设备中的硬件模块被用于计算和/或保存加密数据。在这样的存储模块中，在自动化设备的交付状态下就已经可以存储加密密钥或加密密钥对，其中私人加密密钥保持存储在自动化设备内部并且不离开所述自动化设备。

本发明的任务是提供用于将自动化设备并入到自动化系统中的装置，通过其可以在安全性保持不变的情况下免除预安装的授权证明。

发明内容

该任务通过具有专利权利要求1的特征的计算机实现的方法来解决。该任务还通过具有并列专利权利要求的特征的自动化系统来解决。

该任务还通过具有并列专利权利要求的特征的认证设备来解决。

该任务还通过用于执行根据本发明的方法的计算机程序产品来解决。计算机程序在执行期间执行该方法的处理器或控制器中执行。

在一种优选地以计算机实现的、用于通过使用可与自动化设备连接的认证设备将自动化设备并入到自动化系统中的方法中，在此设置以下步骤：

-在第一方法步骤中进行：在自动化设备和认证设备之间构建接口。该接口在此可以被构建为逻辑通信通道或“会话”。在优选变型中，该接口是直接接口，使得出于安全原因可能需要自动化设备和认证设备之间的直接连接。在自动化设备和认证设备之间构建了该接口之后，生成与自动化设备相关联的访问授权证明。例如，通过自动化设备和经由接口连接到自动化设备的认证设备之间的协作来生成访问授权证明。替代地，访问授权证明的生成也可以主要由自动化设备单独进行，其中，例如由认证设备经由接口传输或交换的数据在所述生成中被使用。相应地，访问授权证明的生成也可以主要由认证设备单独进行，其中例如由自动化设备经由认证设备传输或交换的数据在所述生成中被所述认证设备使用。

-在第二方法步骤中进行：在自动化系统的自动化服务器上接收和认证访问授权证明，并且向自动化设备分配访问授权。由自动化服务器接收到的授权证明可以要么由自动化设备发送要么由认证设备发送，在这方面参见稍后解释的实施例。相应地，由自动化服务器接收到的授权证明可以由自动化设备或认证设备间接发送，即在被自动化服务器侧接收之前经由一个或多个实例转发。在自动化服务器成功认证访问授权证明之后并且在将访问权限分配给自动化设备之后，自动化设备具有对自动化服务器或自动化系统的访问权限。然而，这种访问授权并不是全面的，而是仅涉及下一方法步骤中身份证明的接收。换句话说，所述访问授权是一种中间阶段，在所述中间阶段中尚未进行自动化设备在自动化系统中的并入。

-在第三方法步骤中进行：在自动化服务器上接收并认证被授予访问权限的自动化设备(即已被分配了访问授权的自动化设备)的身份证明，并且将关于其身份方面已被认证的自动化设备并入到自动化系统中。随着自动化设备的身份认证而在授权方面完成自动化设备在自动化系统中的并入。当然，自动化设备的并入还可以包括参数化，例如自动化设备上的配置数据的传输和调整。使用本发明的与授权方面相关的装置来确保该参数化，但是该参数化既不是根据本发明的方法步骤或根据本发明的装置的必要前提也不是必要的伴随物。

本发明规定，在待连接的自动化设备和首次以这种形式提出的认证设备之间必须有接口，以便通过经由该接口交换的数据来首先实现自动化设备到认证设备的关联。因此，认证设备的存在就已经具有以多因素验证形式的第一授权证明的效果。

在需要的情况下，认证设备可以由被授权的服务技术员插入和拔出或者连接和断开，以便激活或停用多因素验证的第一因素。根据安全关键性而定，可能要求接口必须满足特定的更严格的要求，例如，必须作为非间接的直接连接而存在，以便附加地要求服务技术员必须本地存在于要并入的自动化设备的紧邻环境中。

在设备连接之后，执行第一认证方法。在该步骤中，自动化系统的自动化服务器获得由认证设备所证明的有关特定自动化设备已经连接到认证设备的证据。在此基础上，自动化服务器现在可以向自动化设备分配特性，例如可以设置访问权限，或者甚至在这个阶段、也就是说在自动化设备最终被并入之前就已经促使自动化设备被参数化。

在存在访问授权后，执行第二认证方法。现在，该第二认证方法通过使用连接到自动化设备的身份证明来实际认证被授予访问权限的自动化设备的身份证明。“连接”还可以意味着：在自动化设备中存在身份证明，但是该身份证明不一定例如通过被传送到自动化服务器而离开自动化设备。

例如，可以通过质询-响应方法来提供身份证明，其中在自动化服务器侧发出质询，自动化设备必须对此提供正确应答或响应例如以便证明其知道特定信息(共享秘密)，而无需发布或传输身份证明本身。从广义上讲，身份证明与自动化设备相连接。也就是说，身份证明尤其不是如第一种认证方法中可能的那样连接到认证设备。随着从自动化系统侧对自动化设备的身份进行的认证，在授权方面完成自动化设备在自动化系统中的并入。

本发明相对于已知的(也可能是多级的)认证方法的重要区别在于如下情况：现有技术中已知的解决方案总是将身份与证明(即凭据、诸如加密密钥)相关联。

与现有技术中已知的这些解决方案不同，在根据本发明提出的解决方案中，首先将授权(而不是身份)与证明(访问授权证明)相关联。直到在随后的第二认证方法中，才将身份与证明(身份证明)相关联。

根据本发明的特征，即，设置用于认证访问授权证明的第一认证方法，随后是用于认证身份证明的第二认证方法，具有以下多个优点：

-在现有技术中已知的其中使用到与访问介质(例如具有加密存储模块或TPM的USB闪存盘)连接的加密密钥的方法中，仅拥有访问介质就足以被授予访问权限，而与之相反地，根据本发明的访问权限本身则尚不允许在并入的意义上进行访问。相反，根据本发明的访问权限仅允许以将身份与授权相关联为目的、因此以根据本发明的身份证明为目的而进行访问。

-根据本发明，不仅在执行用于通过使用可与自动化设备连接的认证设备将自动化设备并入到自动化系统中的根据本发明的方法时，而且也在执行该方法之后还是对各个设备之间进行区分。因此，稍后关于授权的决定主要基于身份证明而进行，而并非在先前所连接的认证设备的帮助下基于访问授权证明而进行。

-当考虑通过单个认证设备并入的多个自动化设备的提供或“部署”时，根据本发明的被分开的证明、即访问授权证明和身份证明的特殊优点则变得明显。虽然在单个认证设备的帮助下所生成的相应访问授权证明已经向多个自动化设备中的每个单独自动化设备发出了可比较的初步访问授权。而在并入相应自动化设备后，其各自的访问权限(即它们在自动化服务器的特定存储区域中存储数据或从那里读取数据的权限)则仅取决于给它们身份所分配的权限，所述权限与可比较的初步访问授权不同，会因自动化设备而异。

例如，根据本发明的访问授权证明和/或身份证明可以例如通过应用已知的公钥基础设施或PKI而形成或使用，也就是说，例如通过使用非对称或对称的加密密钥以及与签名、证书使用、分层信任模型等相关联的相应方法而形成或使用。

本发明的进一步设计方案是从属专利权利要求的主题。

根据本发明的一种改进方案而规定：自动化设备和认证设备之间的接口由非间接的光学或电气直接连接而形成。该接口也可以构造为可能在全球互联网内的数据网络中的逻辑通信信道或“会话”，而在本发明的该改进方案中的接口则是直接接口，因此出于安全原因可以存在自动化设备和认证设备之间的非间接的直接连接。根据安全关键性而定，该措施可能是必要的，以便满足关于如下方面的更严格的要求：被授权的服务技术员必须本地存在于要并入的自动化设备的紧邻环境中。例如，非间接连接是通过光学或电气的接插电缆形成的。附加地，可以规定：利用所保留的、也可以是专有的相位母头插口或公头插头来形成接口。还可能有用于建立连接的被动式组件(例如插座、接插板等)参与到直接连接。相比之下，间接连接的特征则在于，至少一个主动式单元、例如交换机、路由器、中继器、信号放大器或信号整形器、光信号组件等被中间连接在光学或电气连接中。

根据本发明的另一可能的改进方案而规定：鉴于非间接的直接连接方面进行检查，以便排除间接连接。对非间接连接的检查或验证和/或对间接连接的排除或伪造尤其意味着：应排除自动化设备与所连接的认证设备共同连接到“透明的”网络节点，即例如连接到网络交换机。这是因为可能的攻击者可能将主动式透明单元中间连接到自动化设备和所连接的认证设备之间的物理连接中。在此，透明意味着这些单元不会被现有的监控方法或入侵检测方法检测到。这种透明单元通过传统的LAN连接方式被直插式(in-line)连接，但不能被更高层的监控系统识别或检测到，因为它们在更高层中的作用可以相比于被动式跳线电缆的作用。

根据本发明的一种可能的改进，规定：将访问授权证明从自动化设备发送到自动化服务器。这可以通过两种方式进行：

-在第一设计变型中规定：将访问授权证明从自动化设备发送到自动化服务器，其中在该第一设计变型中，认证设备仅与自动化设备通信。

-在第二设计变型中规定：将访问授权证明从认证设备发送到自动化服务器。在该第二设计变型中，访问授权证明也可以根据这里所解释的改进方案而从自动化设备间接发送到自动化服务器，更准确地说，也即，从自动化设备发送到认证设备并从认证设备发送到自动化服务器。

根据本发明的一种可能的改进方案而规定：将访问授权证明从认证设备发送到自动化服务器。因此，在该改进方案中规定：将访问授权证明从认证设备直接发送到自动化服务器，其中该自动化设备仅与认证设备通信。

根据本发明的一种可能的改进方案而规定：通过自动化设备和认证设备之间的协作来进行访问授权证明的生成。自动化设备和认证设备之间的这种协作应与单纯地对证书或配有私有签名密钥的签名进行请求区分开来，并且具有如下优点：可以有利地避免传输敏感的证明(例如需要保持私有的密钥)以及与此相关联的相对于可能的中间人攻击的泄漏。通过执行质询-响应方法来生成访问授权证明是自动化设备和认证设备之间的用于生成访问授权证明的这种协作的一种可能的实施例。

根据本发明的一种改进方案而规定：通过在认证设备和自动化服务器之间构建的通信信道来进行身份证明的接收。因此，这种改进方案涉及上面解释的如下变型之一，在这些变型(虽然在那里是对传输访问授权证明的情况进行解释)中，通过在认证设备和自动化服务器之间构建的通信通道来进行间接或直接的数据交换。这里解释的设计方案涉及：对经由在认证设备和自动化服务器之间构建的通信信道所传输的身份证明的接收。在此，可以维持用于传输访问授权证明的通信信道，直到在认证设备和自动化服务器之间进行身份证明的传输为止。换句话说，通信信道可以是相同的。例如，该通信信道可以经由一个或多个网络或网络分段而实现，使得用于保护所交换的数据免遭泄露的措施被证明为对于确保经由可能不在自己控制下的网络或网段分段的通信信道的安全性是有利的。这种安全性的确保可以有利地在于，对通信信道进行加密。在学术界，这种措施通常被归为“虚拟专用网络”或“VPN”的概念，尽管在技术上并不完全正确。

根据本发明的一种改进方案规定：认证设备例如通过将认证设备插入到自动化设备的母头插口上或者通过将通向认证设备的连接电缆插入到自动化设备的母头插口上来启动根据本发明的方法。替代地，根据本发明的方法通过操作在认证设备上显示或设置的输入区来启动。

根据本发明的一种改进方案规定：认证设备至少部分地被构造为移动通信终端设备。该设计方案具有使用市售硬件的优点，该市售硬件通过使用移动通信终端作为认证设备来并入自动化设备的合适软件而能够适配于相应的使用目的。

根据本发明的一种改进方案规定：认证设备至少部分地被构造为网络设备，特别是构造为路由器或网络交换机。该设计方案具有以下优点：路由器或网络交换机可以在保留的IP地址空间(例如在路由器的情况下)中或经由保留的IP地址空间(例如在路由器的情况下)提供通信信道，或者例如通过应用VLAN(虚拟局域网)协议(例如在网络交换机的情况下)提供保留的通信信道。保留的通信信道可以用于在构造为网络设备的认证设备和自动化服务器之间传输访问授权证明和传输身份证明。

根据本发明的一种改进方案而规定：认证设备包括彼此通信耦合的多个组件。该设计方案一方面可以规定，力求冗余的故障安全性。而另一方面，彼此通信耦合的多个组件也可以引起：持续的多因素验证。在一个可能的实施例中，可以规定，将认证设备的第一组件委托给服务技术员，并且被委托负责自动化系统的网络技术管理的受委托者则持有认证设备的第二组件。在自动化设备和认证设备的第一组件之间构建接口之后，与自动化设备相关联的访问授权证明的生成被推迟，直到被委托负责自动化系统的网络技术管理的受委托者获悉到自动化设备和认证设备的第一组件之间的接口的构建，并且已经通过自身的认证设备的第二组件来给予许可。“获悉”可以被设置成，使得在自动化设备和认证设备的第一组件之间构建接口之后，服务技术员必须首先向认证设备的第二组件发送询问。

附图说明

下面参照附图更详细地解释本发明的另外的实施例和优点，在此：

图1：示出了根据第一实施方式的用于将自动化设备并入到自动化系统中的通信关系的示意性功能图。和

图2：示出了根据第二实施方式的用于将自动化设备并入到自动化系统中的通信关系的示意性功能图。

具体实施方式

图1示出了自动化系统中的片段，其管理门户由自动化服务器SRV以简化的方式表示。在实际实施中，根据复杂性和大小而定，自动化系统除了自动化服务器SRV之外还可以另外地包括服务器和控制组件。对于这一描述，所示的自动化服务器SRV仅用作针对自动化设备的配置入网所使用的一个或多个组件的示例。

根据图1所示的图示，这样进行自动化设备DVC到自动化系统中的并入，使得在所述自动化设备DVC和认证设备AUT之间构建接口IF，其中所述自动化设备DVC具有与自动化服务器SRV之间的附加通信信道NW。该通信信道NW通常设计为可能临时的、面向分组的通信关系或经由面向分组的网络的“会话”。

上述关于通信信道NW的内容原则上也可以适用于接口IF。然而，为了不使接口IF的连接暴露于随机性质和不允许立即检查所连接的认证设备AUT的难以追踪的网络连接的风险，可以规定：由非间接的光学或电气直接连接来形成接口IF。

在已经在要连接的自动化设备DVC和认证设备AUT之间构建接口IF之后，认证设备AUT提供数据以关联要连接的自动化设备DVC。

然后例如在要连接的自动化设备DVC和认证设备AUT之间执行认证方法。

自动化服务器SRV或替代的上级系统获得访问授权证明，该访问授权证明以其最简单的形式包含如下声明：特定自动化设备DVC已经连接到认证设备AUT。由此，自动化设备DVC现在可以向自动化设备DVC分配特性，例如可以设置访问权限。

在一个实施方式中，自动化设备DVC可以是控制器并且认证设备AUT可以是USB闪存盘。设计为认证设备AUT的USB闪存盘尤其包含例如可信平台模块或TPM，包括私钥。因此，设计为认证设备AUT的USB闪存盘使得能够执行质询-响应方法来生成与自动化设备相关联的访问授权证明。相关的质询-响应方法基本上可以在要连接的自动化设备DVC上执行，并且仅小部分地在设计为认证设备AUT的USB闪存盘上执行。

根据图2中所示的图示，这样进行自动化设备DVC到自动化系统中的并入，使得在所述自动化设备DVC和认证设备AUT之间构建接口IF，其中所述认证设备AUT具有与自动化服务器SRV之间的附加通信信道NW。该通信信道NW也可以设计为可能临时的、面向分组的通信关系或经由面向分组的网络的“会话”。

在一个可能的实施方式中，认证设备AUT可以是USB移动无线电适配器，其能够通过呈现订户身份来建立移动无线电连接，其中订户身份在SIM卡中体现或作为数字eSIM存储在USB移动无线电适配器中。在该实施方式中，认证设备AUT形式的USB移动无线电适配器使得能够对在VPN网络中的在移动无线电连接之上附加建立的安全通信信道进行访问，于是通过该VPN网络来与自动化服务器SRV进行访问授权证明和/或身份证明的交换。

在另一个可能的实施方式中，认证设备AUT可以是在连接的设备被识别之后注册它们的编程设备。在另一个可能的实施方式中，认证设备AUT可以被设计为网络设备、例如路由器，或被设计为移动终端设备、例如智能电话。在另一个可能的实施方式中，认证设备AUT本身可以要求用户或操作者的认证，例如在投入运行时或者当与自动化设备DVC构建接口IF时。在另一个可能的实施方式中，在自动化设备DVC已经并入或“配置入网”到自动化系统中之后，除了现有的访问数据之外，还向自动化设备DVC提供新的访问数据。

在实际实施中，根据复杂性和大小而定，自动化系统除了自动化服务器SRV之外还可以另外地包括服务器和控制组件。除了用于实际验证访问授权证明或身份证明的认证服务器(未示出)之外，还可以设置策略执行服务器(未示出)。例如，该策略执行服务器用于，一旦自动化设备相对认证服务器进行的成功认证被报告给策略执行服务器，就附加上当前的设备特定的操作者数据。在一种可能的实施方式中，还可以由策略执行服务器将当前设备特定的操作者数据附加到自动化设备的经认证的身份证明。配置服务器(未示出)可用于将当前设备特定的操作者数据传输到策略执行服务器。

这里提出的实施方式与通过存储模块进行基于PKI(公共密钥基础设施)的服务注册的已知解决方案之间的根本区别在于，从现有技术已知的这些解决方案规定了身份与授权证明、例如加密密钥的关联。与此不同，根据本发明的解决方案最初关联到的不是身份而是利用授权证明进行的授权。

虽然现有技术中还有如下解决方案，其中规定：传递包含存储模块和密钥的访问介质。然而，此类解决方案也将密钥附加到身份，即，访问介质的身份。该逻辑还可以特别看出，授权与访问介质的关联通常是动态的，并且仅拥有访问介质就足以被授予访问权限。

然而，根据本发明，与上述访问介质相当的措施本身尚不允许进行访问。相反，根据本发明的认证设备允许的是：在后续步骤中身份与授权的关联才引起的访问授权。

此外，各个自动化设备DVC之间仍然存在区别。因此，稍后关于授权的决定主要基于身份证明而不是基于先前连接的认证设备AUT来做出。

而这一点在大量设备通过认证设备获得授权而将数据存储在特定存储器中以及读取自己的数据的情况下会变得尤其明显。虽然读访问与写访问一样也是取决于是否获得使用授权，但它主要取决于相应数据是否是由设备本身所写入的。

因此，本发明在高安全性的情况下，即，防止由于配置期间的粗心而受到第三方攻击的情况下，实现了自动化系统的简单配置。

该方法对于如下自动化设备DVC的制造商来说是特别有利的，这些自动化设备DVC作为通用设备出售并且之后才应由客户并入到自动化系统中。

Claims (12)

1.一种用于通过使用可与自动化设备连接的认证设备将自动化设备并入到自动化系统中的方法，所述方法包括以下步骤：

-在所述自动化设备(DVC)和所述认证设备(AUT)之间构建接口(IF)并生成与所述自动化设备(DVC)相关联的访问授权证明(ACC)；

-在所述自动化系统的自动化服务器(SRV)上接收并认证所述访问授权证明(ACC)，并向所述自动化设备(DVC)分配访问授权；

-在所述自动化服务器(SRV)上接收并认证被授予访问权限的所述自动化设备(DVC)的身份证明(IDC)，并且将关于其身份方面已被认证的自动化设备(DVC)并入到所述自动化系统中。

2.根据权利要求1所述的方法，其特征在于，所述接口(IF)由非间接的光学或电气直接连接形成。

3.根据前述权利要求中任一项所述的方法，其特征在于，将所述访问授权证明(ACC)从所述自动化设备(DVC)发送到所述自动化服务器(SRV)。

4.根据前述权利要求中任一项所述的方法，其特征在于，将所述访问授权证明(ACC)从所述认证设备(AUT)发送到所述自动化服务器(SRV)。

5.根据前述权利要求中任一项所述的方法，其特征在于，通过所述自动化设备(DVC)和所述认证设备(AUT)之间的协作来进行所述访问授权证明(ACC)的生成。

6.根据前述权利要求中任一项所述的方法，其特征在于，通过执行质询-响应方法来进行所述访问授权证明(ACC)的生成。

7.根据前述权利要求中任一项所述的方法，其特征在于，通过在所述认证设备(AUT)和所述自动化服务器(SRV)之间构建的通信信道来进行所述身份证明(IDC)的接收。

8.根据前述权利要求中任一项所述的方法，其特征在于，所述认证设备(AUT)启动所述方法。

9.一种用于通过使用可与自动化设备连接的认证设备将自动化设备并入到自动化系统中的自动化系统，所述自动化系统包括：

-所述自动化设备(DVC)和所述认证设备(AUT)之间的接口(IF)，用于生成与所述自动化设备(DVC)相关联的访问授权证明(ACC)；

-自动化服务器(SRV)，设置用于接收和认证所述访问授权证明(ACC)以及用于向所述自动化设备(DVC)分配访问授权；

-自动化服务器(SRV)还被设置用于接收和认证被授予访问权限的所述自动化设备(DVC)的身份证明(IDC)并且将关于其身份方面已被认证的自动化设备(DVC)并入到所述自动化系统中。

10.根据权利要求9所述的用于将自动化设备并入到自动化系统中的认证设备，其特征在于，所述认证设备至少部分地被构造为移动通信终端设备。

11.根据权利要求9所述的用于将自动化设备并入到自动化系统中的认证设备，其特征在于，所述认证设备至少部分地被构造为网络设备，特别是被构造为路由器或网络交换机。

12.根据专利权利要求9至11中任一项所述的用于将自动化设备并入到自动化系统中的认证设备，其特征在于，所述认证设备包括彼此通信耦合的多个组件。