DE102007010569A1

DE102007010569A1 - Verfahren zum Prüfen einer Software, insbesondere eines Auslösers eines Niederspannungsleistungsschalters

Info

Publication number: DE102007010569A1
Application number: DE200710010569
Authority: DE
Inventors: Thomas Dipl.-Ing. Driehorn
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2007-02-23
Filing date: 2007-02-23
Publication date: 2008-10-02
Also published as: WO2008101854A1

Abstract

Die Erfindung betrifft ein Verfahren zum Prüfen einer Software, die in einem nichtflüchtigen Speicher (4) einer elektronischen Einrichtung (3), insbesondere des Auslösers (3a) eines Niederspannungsleistungsschalters (1), gespeichert ist. Um die im nichtflüchtigen Speicher (4) der elektronischen Einrichtung (3) abgelegte Software mit geringem Aufwand, insbesondere vollautomatisch, prüfen zu können, wird vorgeschlagen, dass für die in dem Speicher (4) abgelegte Software mittels eines entsprechenden Rechenalgorithmus zumindest eine charakteristische erste Zahl gebildet und ebenfalls in dem Speicher (4) der Einrichtung (3) abgelegt wird und dass zum Prüfen des Speicherinhalts mit dem gleichen Rechenalgorithmus anhand der aus dem Speicher (4) ausgelesenen Software eine zweite charakteristische Zahl gebildet und diese mit der ersten Zahl verglichen wird, wobei bei Gleichheit dieser beiden Zahlen von einem unveränderten Speicherinhalt ausgegangen und bei Ungleichheit ein Fehler signalisiert wird.

Description

Die Erfindung betrifft ein Verfahren zum Prüfen einer Software, die in einem nichtflüchtigen Speicher einer elektronischen Einrichtung, insbesondere des Auslösers eines Niederspannungsleistungsschalters, gespeichert ist.
Niederspannungsleistungsschalter sind bekannt und werden in elektrischen Niederspannungsnetzen zum Schalten von Energie und zum Schützen von Netzen eingesetzt. Durch Integration eines elektronischen Überstromauslösers können die Niederspannungsleistungsschalter auch die Anlage selbst und die Verbraucher schützen. Zur Messung des Stroms werden dabei meist im Schalter integrierte Stromsensoren verwendet, die mit dem Überstromauslöser verbunden sind. Der Überstromauslöser steuert den Leistungsschalter anhand von einstellbaren Schutzparametern und daraus ableitbaren Kennlinien. Bei Überschreiten von Kennlinienwerten wird der Niederspannungsleistungsschalter von dem Überstromauslöser elektromechanisch ausgelöst, worauf dieser öffnet und die Stromkreise unterbricht. Für den sicheren Betrieb von Anlagen und Verbrauchern muss der Überstromauslöser sehr zuverlässig arbeiten. Deshalb werden in Überstromauslösern vorrangig Bauelemente mit hoher Zuverlässigkeit und Lebensdauer eingesetzt. Die Zuverlässigkeit des eingesetzten Mikrocontrollers wird u. a. durch die Zuverlässigkeit des Dateninhaltes seines Programmspeichers bestimmt. Üblicherweise wird der Programmspeicher einmalig bei der Gerätefertigung gefüllt und anschließend verifiziert; danach wird darauf vertraut, dass sich der Speicherinhalt und damit der Dateninhalt nicht mehr verändert hat. Tatsächlich zeichnen sich moderne Speicher durch Zuverlässigkeit und langjährigen Datenerhalt auch unter extremen Einsatzbedingungen aus. Trotzdem können sich Speicherinhalte ändern, insbesondere durch Einflüsse wie Radioaktivität, energiereiche Strahlung, Licht, Entladungen und/oder Fehlfunktionen der Speichersteuerung und Verwaltung. Aus diesen Gründen sollte der Speicherinhalt eines Überstromauslösers regelmäßig überprüft werden.
Nachteilig ist dabei, dass eine manuelle Überprüfung schwierig ist, da sie insbesondere eine Außerbetriebnahme der Anlage, eine Demontage des Gerätes und eine Rücküberführung in die Fertigung erfordert, um die bei der Programmierung durchgeführte Verifikation zu wiederholen. Dies ist nicht sehr praktikabel und trifft bei den Kunden regelmäßig auf eine fehlende Akzeptanz.
Die Aufgabe der Erfindung ist es, die in einem nicht flüchtigen Speicher einer elektronischen Einrichtung abgelegte Software mit geringem Aufwand, insbesondere vollautomatisch, zu prüfen.
Die Aufgabe wird durch die Merkmale des Anspruchs 1 gelöst; die Unteransprüche betreffen vorteilhafte Ausgestaltungen.
Die Lösung sieht vor, dass für die in dem Speicher abgelegte Software mittels eines entsprechenden Rechenalgorithmus zumindest eine charakteristische erste Zahl gebildet und ebenfalls in dem Speicher der Einrichtung abgelegt wird und dass zum Prüfen des Speicherinhalts mit dem gleichen Rechenalgorithmus anhand der aus dem Speicher ausgelesenen Software eine zweite charakteristische Zahl gebildet und diese mit der ersten Zahl verglichen wird, wobei bei Gleichheit dieser beiden Zahlen von einem unveränderten Speicherinhalt ausgegangen und bei Ungleichheit ein Fehler signalisiert wird.
Mittels der Prüfsummen- oder Hash-Funktion wird ein eindeutiger „Fingerabdruck" des Originalspeicherinhalts erstellt; dabei ist die Hash-Funktion (z. B. MD5-Algorithmus) dazu geeignet, bereits sehr kleine Änderungen des Speicherinhalts zu erkennen.
Technisch einfach ist es, wenn die Software vor dem Speichern in Form einer Datei vorliegt, die das Speicherabbild der im Speicher abzulegenden Software darstellt.
Arbeitstechnisch einfach ist es, wenn die erste Zahl vor dem Abspeichern der Datei in der Datei selbst abgelegt (und beim Prüfen ausgespart) wird.
Ein geringer Hardwareaufwand ist erforderlich, wenn das Prüfen des Speicherinhalts durch die Einrichtung, insbesondere durch den Auslöser des Niederspannungsleistungsschalters, erfolgt, die dazu mit der notwendigen Funktionalität ausgestattet ist.
Alternativ kann das Prüfen des Speicherinhalts auch mittels einer externen Prüfeinrichtung erfolgen.
Gerätetechnisch einfach lässt sich das Verfahren durchführen, wenn Prüfen durch die externe Prüfeinrichtung über die elektronische Einrichtung erfolgt.
Eine technisch einfache Kommunikation lässt sich erzielen, wenn die Kommunikation zwischen der externen Prüfeinrichtung und der Einrichtung über eine entsprechend vorgesehene Schnittstelle erfolgt.
Die Erfindung wird nachfolgend anhand eines Ausführungsbeispiels näher beschrieben. In der einzigen Figur ist ein Stromversorgungsnetz SN mit seinen Phasen L1, L2, L3, M, PE dargestellt, an welches beispielhaft ein Drehstrommotor M als Verbraucher angeschlossen ist. Mittels eines Niederspannungsleistungsschalters 1 kann ein an das Stromversorgungsnetz SN angeschlossener Motor M im Schutzfalle abgeschaltet werden. Dazu werden die drei Kontakte des Schalters 2 geöffnet und die Stromversorgung des Motors M wird unterbrochen.
Zum Niederspannungsleistungsschalter 1 gehört eine integrierte elektronische Einrichtung 3 in Form eines elektronischen Überstromauslösers 3a. Der Überstromauslöser 3a ist softwaregesteuert, weshalb er einen nichtflüchtigen Speicher 4 aufweist, in dem die Software abgelegt ist. Der Speicher 4 wiederum gehört zu einem in dem Überstromauslöser 3a verwendeten Mikrocontroller (nicht gezeigt).
Die durch die Stromversorgungsleitungen 5 des Motors M fließenden Ströme werden mittels an den Überstromauslöser 3a angeschlossenen Sensoren 6 erfasst.
Bei der Herstellung des Auslösers zum Niederspannungs-Leistungsschalters 1 wird eine Datei verwendet, welche ein Speicherabbild der im Speicher 4 abzulegenden Software (des Mikrocontrollers) ist. Anhand dieses Speicherabbilds wird mittels einer Hash-Funktion für diese Datei ein Hash-Wert (eine Zahl) berechnet, den man auch als Fingerprint bezeichnet. Der Hash-Wert ermöglicht eine eindeutige Identifizierung der Datei. Mit ihm lassen sich auch sehr kleine Veränderungen der Datei (und damit des Speicherinhalts des Speichers 4) feststellen.
Aus praktischen Gründen wird der Hash-Wert der Datei selbst in der Datei abgelegt, bevor diese in den Speicher 4 des Überstromauslösers 3a übertragen wird.
Um zu prüfen, ob sich der Speicherinhalt des Speichers 4 geändert hat, wird ein externes Prüfgerät 7 an die dafür vorgesehene Schnittstelle 8 angeschlossen. Das Prüfgerät 8 kommuniziert mit dem Überstromauslöser 3a (Mikrocontroller) und veranlasst diesen, den Speicherinhalt des Speichers 4 Bit für Bit auszulesen. Anhand des ausgelesenen Speichers 4 bestimmt das Prüfgerät mit Hilfe der (gleichen) Hash-Funktion (des gleichen Rechenalgorithmus) einen (zweiten) Hash-Wert (eine weitere Zahl), wobei aber der Speicherbereich des im Speicher 4 abgelegten Hash-Wertes ausgespart wird. Anschließend überprüft die Prüfeinrichtung 7, ob beide Hash-Werte (Zahlen) übereinstimmen. Bei Übereinstimmung wird davon ausgegangen, dass sich der Speicherinhalt des Speichers 4 in dem Zustand befindet, in dem er mit dem Niederspannungsleistungsschalter ausgeliefert worden ist.
Ansonsten wird z. B. ein neuer Speicher 4 mit aufgespielter Software in den Auslöser 3a des Niederspannungsleistungsschalters 1 eingesetzt.
Selbstverständlich kann diese Prüfung auch vom Mikrocontroller selbst durchgeführt werden, beispielsweise zyklisch oder zu bestimmten vorab festgelegten Zeitpunkten.

Claims

Verfahren zum Prüfen einer Software, die in einem nichtflüchtigen Speicher (4) einer elektronischen Einrichtung (3), insbesondere des Auslösers (3a) eines Niederspannungsleistungsschalters (1), gespeichert ist, dadurch gekennzeichnet, dass für die in dem Speicher (4) abgelegte Software mittels eines entsprechenden Rechenalgorithmus zumindest eine charakteristische erste Zahl gebildet und ebenfalls in dem Speicher (4) der Einrichtung (3) abgelegt wird und dass zum Prüfen des Speicherinhalts mit dem gleichen Rechenalgorithmus anhand der aus dem Speicher (4) ausgelesenen Software eine zweite charakteristische Zahl gebildet und diese mit der ersten Zahl verglichen wird, wobei bei Gleichheit dieser beiden Zahlen von einem unveränderten Speicherinhalt ausgegangen und bei Ungleichheit ein Fehler signalisiert wird.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Zahl jeweils mittels einer Prüfsummen- oder Hash-Funktion berechnet wird.
Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass die Software vor dem Speichern in Form einer Datei vorliegt, die das Speicherabbild der im Speicher (4) abzulegenden Software ist.
Verfahren nach Anspruch 3, dadurch gekennzeichnet, dass die erste Zahl vor dem Überspielen der Datei in den Speicher (4) in der Datei abgelegt und beim Prüfen ausgespart wird.
Verfahren nach einem der Ansprüche 1–4, dadurch gekennzeichnet, dass das Prüfen des Speicherinhalts durch die Einrichtung (3) erfolgt, die dazu mit der notwendigen Funktionalität ausgestattet ist.
Verfahren nach einem der Ansprüche 1–5, dadurch gekennzeichnet, dass das Prüfen des Speicherinhalts mittels einer externen Prüfeinrichtung (7) erfolgt.
Verfahren nach Anspruch 6, dadurch gekennzeichnet, dass das Prüfen durch die externe Prüfeinrichtung (7) über die elektronische Einrichtung (3) erfolgt.
Verfahren nach Anspruch 6 oder 7, dadurch gekennzeichnet, dass die Kommunikation zwischen der externen Prüfeinrichtung (7) und der Einrichtung (3) über eine entsprechende Schnittstelle (8) erfolgt.