DE102005063052A1 - Verfahren zum Schutz von Feldgeräten der Prozessautomatisierungstechnik - Google Patents

Abstract

Bei einem Verfahren zum Schutz von Feldgeräten der Prozessautomatisierungstechnik ist im Feldgerät ein Schutzprogramm vorgesehen, das unerwünschte Softwarekomponenten erkennt.

Description

• In der Automatisierungstechnik werden vielfach Feldgeräte eingesetzt, die zur Erfassung und/oder Beeinflussung von Prozessvariablen dienen. Beispiele für derartige Feldgeräte sind Füllstandsmessgeräte, Massedurchflussmessgeräte, Druck- und Temperaturmessgeräte etc., die als Sensoren die entsprechenden Prozessvariablen Füllstand, Durchfluss, Druck bzw. Temperatur erfassen.
• Zur Beeinflussung von Prozessvariablen dienen Aktoren, die z. B. als Ventile den Durchfluss einer Flüssigkeit in einem Rohrleitungsabschnitt oder als Pumpen den Füllstand in einem Behälter beeinflussen.
• Eine Vielzahl solcher Feldgeräte wird von der Fa. Endress + Hauser hergestellt und vertrieben.
• In der Regel sind Feldgeräte in modernen automatisierungstechnischen Anlagen über Kommunikationssysteme (HART, Profibus, Foundation Fieldbus, etc.), mit übergeordneten Einheiten (z. B. Leitsysteme oder Steuereinheiten) verbunden. Diese übergeordneten Einheiten dienen unter anderem zur Prozesssteuerung, Prozessvisualisierung, Prozessüberwachung sowie zur Inbetriebnahme der Feldgeräte. Als Feldgeräte werden allgemein auch solche Einheiten bezeichnet, die direkt an einen Feldbus angeschlossen sind und zur Kommunikation mit den übergeordneten Einheiten dienen (z. B. Remote I/Os, Gateways, Linking Devices).
• Zum Teil sind Feldbussysteme in Unternehmensnetzwerke, die auf Ethernetbasis arbeiten, integriert. Damit kann aus unterschiedlichen Bereichen eines Unternehmens auf Prozess- bzw. Feldgerätedaten zugegriffen werden.
• Zur weltweiten Kommunikation können die Firmennetzwerke auch mit öffentlichen Netzwerken, z. B. dem Internet verbunden sein.
• Zur Bedienung der Feldgeräte sind entsprechende Bedienprogramme notwendig. Diese Bedienprogramme können eigenständig in einer übergeordneten Einheit ablaufen (FieldCare, Endress + Hauser; Pactware; AMS, Emerson; Simatic PDM, Siemens) oder aber auch in Leitsysteme-Anwendungen (Simatic S7, Siemens; ABB Symphony, Delta V, Emerson) integriert sein.
• Um Änderungen an Feldgeräten vorzunehmen, werden diese häufig temporär mit tragbaren Bedieneinheiten, auf denen ein entsprechendes Bedienprogramm installiert ist, verbunden. Hierbei wird zukünftig nicht auszuschließen sein, dass unerwünschte Softwarekomponenten in das betreffende Feldgerät übertragen werden. Diese Komponenten können die Funktionalität des Feldgeräts so verändern, dass es seine automatisierungstechnische Aufgabe nicht mehr wahrnehmen kann. Insbesondere bei sicherheitskritischen Anwendungen bedeutet dies eine große Gefahr.
• Aufgabe der Erfindung ist es deshalb ein Verfahren zum Schutz von Feldgeräten anzugeben, das die oben genannten Nachteile nicht aufweist, das insbesondere die Übertragung von unerwünschten Softwarekomponenten in Feldgeräte verhindert.
• Gelöst wird diese Aufgabe durch die im Anspruch 1 angegebenen Merkmale.
• Vorteilhafte Weiterentwicklungen der Erfindung sind in den Unteransprüchen angegeben.
• Die wesentliche Idee der Erfindung besteht darin, dass im Feldgerät ein Schutzprogramm installiert ist, das unerwünschte Softwarekomponenten erkennt und die Ausführung dieser Softwarekomponenten verhindert.
• Bei dem Schutzprogramm kann es sich z. B. um einen Virenscanner handeln.
• Nachfolgend ist die Erfindung anhand eines in der Zeichnung dargestellten Ausführungsbeispiels näher erläutert.
• Es zeigen:
• 1 Netzwerk der Prozessautomatisierungstechnik mit mehreren Feldgeräten in schematischer Darstellung;
• 2 Blockschaltbild eines Feldgerätes.
• In 1 ist ein Netzwerk der Automatisierungstechnik näher dargestellt. An einem Datenbus D1 sind mehrere Rechnereinheiten, (Arbeitsplatzrechner, Workstations) WS1, WS2, angeschlossen. Diese Rechnereinheiten dienen als übergeordnete Einheiten (Leitsystem bzw. Steuereinheit), unter anderem zur Prozessvisualisierung, Prozessüberwachung und zum Engineering wie zum Bedienen und Überwachen von Feldgeräten. Der Datenbus D1 arbeitet z. B. nach dem Profibus DP-Standard oder nach dem HSE (High Speed Ethernet)-Standard der Foundation Fieldbus. Über ein Gateway G1, das auch als Linking Device, Field Controller oder auch als Segment-Koppler bezeichnet wird, ist der Datenbus D1 mit einem Feldbus-Segment SM1 verbunden. Das Feldbus-Segment SM1 besteht aus mehreren Feldgeräten F1, F2, F3, F4, die über einen Feldbus FB miteinander verbunden sind. Bei den Feldgeräten F1, F2, F3, F4 kann es sich sowohl um Sensoren oder um Aktoren handeln. Der Feldbus FB arbeitet entsprechend nach einem der bekannten z.B. Feldbusstandards Profibus, Foundation Fieldbus oder HART.
• In 2 ist ein Blockschaltbild eines erfindungsgemäßen Feldgerätes z. B. F1 näher dargestellt. Eine Prozessoreinheit CPU ist zur Messwertverarbeitung über einen Analog-Digital-Wandler A/D und einen Verstärker V mit einem Messaufnehmer MA, der eine Prozessvariable (z. B. Druck, Durchfluss oder Füllstand) erfasst, verbunden. Die Prozessoreinheit CPU ist mit mehreren Speichereinheiten verbunden. Ein RAM-Speicher dient als temporärer Arbeitspeicher, ein nichtflüchtiger EPROM-Speicher oder FLASH-Speicher als Speicher für das in der Prozessoreinheit CPU auszuführende Steuerprogramm und ein EEPROM-Speicher als Speicher für Kalibrier- und Start-Parameterwerte insbesondere für das Setup Programm der Prozessoreinheit CPU.
• Das Steuerprogramm definiert die anwendungsbezogene Funktionalität des Feldgerätes (Messwertberechnung, Hüllkurvenauswertung, Linearisierung der Messwerte, Diagnoseaufgaben).
• Weiterhin ist die Prozessoreinheit CPU mit einer Anzeigebedieneinheit A/B (z.B. LCD-Display mit 3–5 Drucktasten) verbunden.
• Zur Kommunikation mit dem Feldbus-Segment SM1 ist die Prozessoreinheit CPU über einen Kommunikationscontroller COM mit einer Feldbusschnittstelle FBS verbunden. Ein Netzteil NT liefert die notwendige Energie für die einzelnen Elektronik-Komponenten des Feldgerätes F1. Die Versorgungsleitungen zu den einzelnen Komponenten sind der Übersichtlichkeit halber nicht eingezeichnet.
• In einer alternativen Ausgestaltung der Erfindung kann die Spannungsversorgung des Feldgerätes F1 nicht über die Feldbusschnittstelle FBS sondern über eine separate Spannungsversorgungseinheit erfolgen.
• Eine UART Schnittstelle der Prozessoreinheit CPU ist mit einem Servicesteckeranschluss SE, der bei herkömmlichen Feldgeräten als Kabelanschluss für eine tragbare Rechnereinheit RE z.B. Laptop dient, verbunden. Diese Schnittstelle am Feldgerät wird oft auch als Service-Schnittstelle S bezeichnet.
• Mit Hilfe einer Rechnereinheit RE, auf der ein Bedienprogramm installiert ist, kann das Feldgerät F1 in einfacher Weise über diese Service-Schnittstelle S bedient und konfiguriert werden.
• Nachfolgend ist die Erfindung näher erläutert. Das Feldgerät F1 wird mit der Rechnereinheit RE verbunden. Über die Rechnereinheit RE können Parameter-Änderungen oder auch Änderungen des Steuerprogramms (Software-Updates) vorgenommen werden. Wird über die Rechnereinheit RE eine unerwünschte Softwarekomponente in das Feldgerät F1 übertragen, so wird diese vom Schutzprogramm erkannt.
• In einer Weiterentwicklung der Erfindung wird, wenn eine unerwünschte Softwarekomponente erkannt wird, eine Alarmmeldung generiert.
• Zur Erkennung der unerwünschten Softwarekomponenten werden Signaturen dieser Komponenten im Feldgerät hinterlegt.
• Die aktuellen Signaturen werden über den Feldbus FB von einer übergeordneten Einheit regelmäßig ins Feldgerät übertragen.
• Mit Hilfe der Erfindung werden unerwünschte Softwarekomponenten in Feldgeräten sicher erkannt.

Claims (4)

1. Verfahren zum Schutz von Feldgeräten der Prozessautomatisierungstechnik, dadurch gekennzeichnet, dass im Feldgerät ein Schutzprogramm vorgesehen ist, das unerwünschte Softwarekomponenten erkennt.
2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass das Schutzprogramm eine Alarmmeldung erzeugt, wenn eine unerwünschte Softwarekomponente erkannt wird.
3. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die unerwünschten Softwarekomponenten anhand einer Signatur erkannt werden.
4. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass im Feldgerät mehrere Signaturen gespeichert sind, die über eine übergeordnete Einheit regelmäßig aktualisiert werden.