-
Die Erfindung betrifft ein Verfahren und ein Kommunikationsmodul zum geschützten Einstellen von Maschinen-Konfigurationsdaten, die zum Betreiben einer Maschine auf einem entfernten Server abgelegt sind.
-
Maschinen, wie beispielsweise Werkzeugmaschinen oder medizinische Geräte, sind in der Regel für verschiedene Anwendungsgebiete und Umgebungen konfigurierbar. Es ist möglich Konfigurationsdaten, die sich beispielsweise in einem lokalen Speicher der Maschine befinden, zu überschreiben bzw. in einen lokalen Speicher einzuschreiben. In vielen Anwendungsfällen ist es notwendig oder gewünscht die Konfiguration einer Maschine nicht nur lokal vornehmen zu können sondern auch an einem entfernt gelegenen Server. Dabei werden beispielsweise Betriebsparameter oder Fehlermeldungen von der Maschine bzw. dem Gerät über ein Netzwerk an den Server übertragen, um an dem Server Konfigurationseinstellungen für die jeweilige Maschine vorzunehmen. Ferner kann man Software-Updates für die auf der Maschine ablaufenden Softwareprogramme mittels des entfernt gelegenen Servers durchführen.
-
Bei derartigen herkömmlichen Systemen, die eine Fernkonfiguration einer Maschine erlauben, befindet sich in einem Speicherbereich des Servers eine Datensatzkopie der Maschinen-Konfigurationsdaten. Ein Nutzer, der Konfigurationseinstellungen an einer Maschine vornehmen möchte, meldet sich zunächst in einer Log-in-Prozedur bei dem Server an. Anschließend authentifiziert sich der Nutzer gegenüber dem Server in einer Authentifizierungsprozedur als für die Vornahme der Konfigurationseinstellungen berichtigter Nutzer. Ist die Authentifizierung des Nutzers erfolgreich abgeschlossen, hat der jeweilige Nutzer die Möglichkeit die gespeicherten Konfigurationsdaten an dem Server zu ändern.
-
Zur Vornahme der Log-in-Prozedur bzw. der Authentifizierungsprozedur kann sich der Nutzer entweder direkt bei dem Server einloggen und sich der Berechtigungsüberprüfung aussetzen oder über ein mit dem Server verbundenes Netzwerk von einem Terminal bzw. einer Arbeitsstation aus die Log-in- und Authentifizierungsprozedur vornehmen.
-
Ein gravierender Nachteil dieser herkömmlichen Vorgehensweise zur Vornahme von Einstellungen der Konfigurationsdaten bei einer Maschine besteht darin, dass sich der Nutzer bei der Durchführung der Einstellungen nicht in der Nähe der zu konfigurierenden Maschine befinden muss. Dies bedeutet, dass auch ein Nutzer, der keinen physikalischen Zugriff auf die Maschine hat, insbesondere auf eine im Betrieb befindliche Maschine, diese Maschine umkonfigurieren kann ohne sich direkt vor Ort bei der Maschine zu befinden. Dies hat einerseits die Konsequenz, dass ein böswilliger Nutzer bzw. Angreifer nach Überwindung der durch die Authentifizierungsprozedur gegebenen Sicherheitsbarriere eine Maschine umkonfigurieren kann ohne sich in örtlicher Nähe zu der Maschine zu befinden und sich gegebenenfalls nach vorgenommener Manipulation unerkannt zurückziehen kann. Befindet sich die zu konfigurierende Maschine bzw. das zu konfigurierende Gerät beispielsweise in einer Werkshalle oder in einem Krankenhaus kann ein Angreifer nach Überwindung der durch den Authentifizierungsprozess gegebenen Sicherheitsmechanismen unerkannt die Maschine bzw. das Gerät umkonfigurieren ohne den beispielsweise durch Geländewerkschutz oder Krankenhauspersonal überwachten Bereich selbst räumlich betreten zu müssen. Gelingt es daher einem Angreifer sich gegenüber dem Server unberechtigterweise zu authentifizieren, kann er beispielsweise eine laufende Maschine während des Betriebes umkonfigurieren und somit erheblichen Schaden anrichten.
-
Ein weiterer Nachteil bei der herkömmlichen Vorgehensweise zur Vornahme von Konfigurationseinstellungen an einem von der Maschine entfernt gelegenen Server besteht darin, dass nach vorgenommener Authentifizierung ein Angreifer die in dem Speicher des Servers abgelegten Maschinen-Konfigurationsdaten ändern kann jedoch die zum Beispiel in einem lokalen Speicher der Maschine abgespeicherten Maschinen-Konfigurationsdaten unverändert bleiben. Es kann auf diese Weise zu Inkonsistenzen zwischen den im Server abgelegten Maschinen-Konfigurationsdaten und den in dem lokalen Speicher der Maschine abgelegten Konfigurationsdaten mit schwer absehbaren Folgen kommen.
-
Ein weiterer Nachteil der herkömmlichen Vorgehensweise zur Einstellung von Konfigurationsdaten an einem Server besteht darin, dass selbst ein gutwilliger Nutzer, der sich entfernt von der Maschine mittels eines Terminals bei dem Server einloggt, im laufenden Betrieb der Maschine eine Umkonfiguration vornehmen kann ohne die daraus unmittelbar resultierenden Folgen persönlich erkennen zu können. Im schlimmsten Falle nimmt der Nutzer die Umkonfiguration an der entfernten Maschine gewissermaßen blind vor, d. h. ohne Rückkopplung von der Maschine, wie sich die von ihm vorgenommene Umkonfiguration unmittelbar auswirkt.
-
Die
DE 100 65 674 A1 beschreibt ein Verfahren und eine Vorrichtung zur verbesserten Bereitstellung aktueller Steuerungen für Hausgeräte. Hierzu steht das Hausgerät mit einem lokalen Netzwerk in Verbindung und empfängt nach Anforderung durch einen Benutzer eine Steuerungsinformation aus dem Netzwerk. Die empfangene Steuerungsinformation wird an einem Standort des Hausgerätes zur Steuerung des Hausgerätes ausgewertet und/oder umgesetzt.
-
Es ist daher eine Aufgabe der vorliegenden Erfindung ein Verfahren und ein Modul zum geschützten Einstellen von Maschinen-Konfigurationsdaten zu schaffen, die eine erhöhte Sicherheit gegenüber Angreifern und Fehlkonfigurationen bieten.
-
Diese Aufgabe wird erfindungsgemäß durch ein Verfahren mit den im Patentanspruch 1 angegebenen Merkmalen gelöst.
-
Die Erfindung schafft ein Verfahren zum geschützten Einstellen von Maschinen-Konfigurationsdaten, die zum Betreiben einer Maschine auf einem entfernten Server abgelegt sind, wobei Einstellungen an den Maschinen-Konfigurationsdaten an dem Server nur vornehmbar sind, während die Maschine durch einen berechtigten Nutzer vor Ort in einem Konfigurationsmodus geschaltet ist und der Server von der Maschine über ein Netzwerk eine entsprechende Statusnachricht erhält, welche angibt, dass sich die Maschine in dem Konfigurationsmodus befindet, wobei die Maschine vor Ort in den Konfigurationsmodus schaltbar ist, nachdem der Nutzer sich gegenüber dem Server als berechtigt authentisiert hat.
-
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens weist die Maschine ein Kommunikationsmodul auf, das die Statusnachricht über ein öffentliches oder nicht-öffentliches Netzwerk an den Server überträgt.
-
Bei der Übertragung über ein öffentliches Netzwerk wird bei dem erfindungsgemäßen Verfahren der technische Aufwand minimiert, da auf eine bereits vorhandene Infrastruktur zurückgegriffen werden kann.
-
Die Übertragung der Statusnachricht über ein nicht öffentliches Netzwerk bietet demgegenüber den Vorteil, dass die Sicherheit gegenüber einem Abfangen der Statusnachricht durch einen böswilligen Angreifer erhöht wird.
-
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens wird die Statusnachricht von dem Kommunikationsmodul der Maschine über ein Mobilfunknetz übertragen.
-
Bei einer alternativen Ausführungsform des erfindungsgemäßen Verfahrens wird die Statusnachricht von dem Kommunikationsmodul der Maschine über ein Festnetz übertragen.
-
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens baut der sich vor Ort befindliche berechtigte Nutzer über das Kommunikationsmodul der Maschine eine Sprachverbindung zu einem an dem Server befindlichen weiteren Nutzer auf, um fernmündlich Anweisungen zur Einstellung der zugehörigen Maschinen-Konfigurationsdaten an dem Server zu geben.
-
Diese Ausführungsform bietet den besonderen Vorteil, dass durch den getrennten Sprachverbindungskanal in einfacher Weise Sprachanweisungen zur Einstellung der zugehörigen Maschinen-Konfigurationsdaten gegeben werden können und durch die Trennung der Übertragungskanäle in einen Kanal für die Übertragung der Statusnachricht über ein öffentliches oder nicht öffentliches Netzwerk und in einen Kanal für Sprachanweisungen über ein anderes Telefonnetz eine höhere Sicherheit gegenüber Angreifern erreicht werden.
-
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens schaltet der berechtigte Nutzer die Maschine vor Ort durch manuelle Betätigung eines Schalters oder einer Taste in den Konfigurationsmodus.
-
Bei einer möglichen Ausführungsform des erfindungsgemäßen Verfahrens weist die Statusnachricht eine Betriebsmodusanzeige, eine Maschinen-ID sowie Betriebsparameter der Maschine auf.
-
Bei einer möglichen Ausführungsform des erfindungsgemäßen Verfahren wird die Statusnachricht kryptographisch geschützt von dem Kommunikationsmodul der Maschine über das Netzwerk zu dem Server oder zu einem in der Nähe des Servers befindlichen Endgerät übertragen.
-
Die Erfindung schafft ferner eine konfigurierbare Maschine deren Konfigurationsdaten auf einem entfernten Server abgelegt sind,
wobei Einstellungen an den Maschinen-Konfigurationsdaten an dem Server nur vornehmbar sind, während die Maschine durch einen berechtigten Nutzer vor Ort in einem Konfigurationsmodus geschaltet ist, wobei die Maschine ein Kommunikationsmodul aufweist, das eine Statusnachricht, welche angibt, dass die Maschine sich in dem Konfigurationsmodus befindet, über ein öffentliches oder ein nicht-öffentliches Netzwerk an den Server überträgt.
-
Die Erfindung schafft ferner ein Kommunikationsmodul für eine Maschine deren Maschinen-Konfigurationsdaten auf einem entfernten Server abgelegt sind,
wobei das Kommunikationsmodul während ein berechtigter Nutzer vor Ort die Maschine in einem Konfigurationsmodus schaltet, mindestens eine entsprechende Statusnachricht über ein Netzwerk an den Server überträgt, die eine Einstellung der Maschinen-Konfigurationsdaten der zugehörigen Maschine an dem Server erlaubt.
-
Die Erfindung schafft ferner einen Server für mindestens eine Maschine deren Konfigurationsdaten auf dem Server abgelegt sind,
wobei Einstellungen an den Maschinen-Konfigurationsdaten an dem Server nur vornehmbar sind, während die Maschine durch einen berechtigten Nutzer vor Ort in einen Konfigurationsmodus geschaltet ist und der Server eine entsprechende Statusnachricht von der Maschine über ein Netzwerk empfängt.
-
Die Erfindung schafft ferner ein Netzwerk mit mindestens einer konfigurierbaren Maschine, deren Konfigurationsdaten auf einem entfernten Server abgelegt sind,
wobei Einstellungen an den Maschinen-Konfigurationsdaten an dem Server nur vornehmbar sind, während die Maschine durch einen berechtigten Nutzer vor Ort in einen Konfigurationsmodus geschaltet ist, und mit mindestens einem Server für die jeweilige Maschine, deren Konfigurationsdaten auf dem Server abgelegt sind,
wobei die Einstellungen an den Maschinen-Konfigurationsdaten an dem Server nur vornehmbar sind, während die Maschine durch einen berechtigten Nutzer vor Ort in einen Konfigurationsmodus geschaltet ist und der Server eine entsprechende Statusnachricht von der Maschine über ein Netzwerk empfängt.
-
Die Erfindung schafft ferner ein Computerprogramm mit Programmbefehlen zur Durchführung eines Verfahrens zum geschützten Einstellen von Maschinen-Konfigurationsdaten, die zum Bereitstellen einer Maschine auf einem entfernten Server abgelegt sind,
wobei Einstellungen an den Maschinen-Konfigurationsdaten an dem Server nur vornehmbar sind, während die Maschine durch einen berechtigten Nutzer vor Ort in einem Konfigurationsmodus gehalten wird, und
der Server von der Maschine über ein Netzwerk eine entsprechende Statusnachricht erhält, welche angibt, dass sich die Maschine in dem Konfigurationsmodus befindet.
-
Die Erfindung schafft ferner einen Datenträger, der ein derartiges Computerprogramm speichert.
-
Im Weiteren werden Ausführungsformen des erfindungsgemäßen Verfahrens und der erfindungsgemäßen konfigurierbaren Maschine unter Bezugnahme auf die beigefügten Figuren zur Erläuterung der Erfindung beschrieben.
-
Es zeigen:
-
1 ein Diagramm zur Darstellung einer möglichen Ausführungsform einer an einem Server konfigurierbaren Maschine gemäß der Erfindung;
-
2 ein Ausführungsbeispiel eines Netzwerkes mit einer konfigurierbaren Maschine gemäß der Erfindung;
-
3 ein Signaldiagramm zur Erläuterung der Funktionsweise des erfindungsgemäßen Verfahrens zum geschützten Einstellen von Maschinen-Konfigurationsdaten;
-
4 ein weiteres Ausführungsbeispiel eines Netzwerkes mit einer konfigurierbaren Maschine gemäß der Erfindung;
-
5 ein Diagramm zur Darstellung eines Anwendungsbeispiels des erfindungsgemäßen Verfahrens;
-
6 ein Diagramm zur Darstellung eines weiteren Anwendungsbeispiels des erfindungsgemäßen Verfahrens.
-
Wie man aus 1 erkennen kann, umfasst ein System 1 gemäß der Erfindung mindestens eine konfigurierbare Maschine 2, die über ein zugehöriges Kommunikationsmodul 3 verfügt. Das Kommunikationsmodul 3 ist über mindestens ein Netzwerk 4 mit einem entfernt gelegenen Server 5 verbunden. Die Kommunikationsverbindung zwischen dem Kommunikationsmodul 3 und dem Server 5 kann bei einer Ausführungsform permanent bestehen, während bei einer alternativen Ausführungsform die Kommunikationsverbindung zur Vornahme der Konfigurationseinstellungen zunächst aufgebaut wird. Das Kommunikationsmodul 3 kann, wie in 1 schematisch dargestellt, mit der Maschine 2 verbunden sein. Bei einer alternativen Ausführungsform ist das Kommunikationsmodul 3 in der Maschine 2 integriert. Bei der Maschine 2 kann es sich um eine beliebige Maschine bzw. ein beliebiges Gerät handeln. Die Maschine 2 kann dabei ein mobiles Gerät oder ein festinstalliertes Gerät sein.
-
Bei der Maschine 2 kann es sich beispielsweise bei dem Anwendungsbeispiel gemäß 5 um einen Kernspintomograph innerhalb einer Klinik handeln oder wie in dem Anwendungsbeispiel gemäß 6 um eine Pumpe für eine Pipeline. Wie in 1 dargestellt, verfügt der Server 5 über einen lokalen Speicher in dem Konfigurationsdaten KD der Maschine 2 abgelegt sind. Bei dem erfindungsgemäßen Verfahren sind Einstellungen an diesen Maschinen-Konfigurationsdaten KD an dem Server 5 nur dann vornehmbar, wenn die Maschine 2 von einem berechtigten Nutzer 6 vor Ort in einen Konfigurationsmodus geschaltet ist und der Server 5 von der Maschine 2 über das Netzwerk 4 eine entsprechende Statusnachricht erhält, welche angibt, dass sich die Maschine 2 tatsächlich in dem Konfigurationsmodus befindet. Diese Statusnachricht wird von dem Kommunikationsmodul 3 über ein öffentliches oder nicht öffentliches Netzwerk 4 an den Server 5 übertragen.
-
Bei dem Netzwerk 4 kann es sich um ein oder um mehrere öffentliche bzw. nicht öffentliche Netzwerke handeln. Diese Netzwerke umfassen beispielsweise ein Mobilfunknetz, das die Statusnachricht von dem Kommunikationsmodul 3 über eine Funkschnittstelle empfängt und weitere Netzwerke 4, beispielsweise das Internet, die die Statusnachricht an den entfernt gelegenen Server 5 übertragen. Um eine Konfiguration an dem Server 5 vornehmen zu können, muss ein berechtigter Nutzer 6 vor Ort die Maschine 2 in einen Konfigurationsmodus KM schalten. Wie in 1 schematisch angedeutet, muss sich der berechtigte Nutzer 6 persönlich vor Ort, d. h. in unmittelbarer Nähe der Maschine 2 befinden und diese von einem normalen Betriebsmodus in den Konfigurationsmodus KM schalten.
-
Bei einer möglichen Ausführungsform nähert sich der berechtigte Nutzer 6 unmittelbar der Maschine 2 und betätigt manuell einen Schalter oder eine Taste, um die Maschine 2 in den Konfigurationsmodus KM zu verbringen. Dieser Schalter oder diese Taste können sich entweder direkt an der Maschine 2 oder an dem Kommunikationsmodul 3 befinden. Bei einer alternativen Ausführungsform können sich der Schalter bzw. die Taste auch innerhalb eines schematisch in 1 mittels einer gestrichelten Linie angedeuteten Sicherheitsbereich 7 um die Maschine 2 herum befinden, beispielsweise in einem geschützten Werksgelände, einer geschützten Werkshalle oder in einem durch Personal beaufsichtigten Bereich innerhalb eines Geländes bzw. eines Gebäudes. Sobald der berechtigte Nutzer 6, einen Zugang zu dem Sicherheitsbereich 7 hat und die Maschine 2 vor Ort in den Konfigurationsmodus KM manuell schaltet, generiert das zugehörige Kommunikationsmodul 3 eine Statusnachricht, die über eine oder mehrere Netzwerke 4 an den Server 5 übertragen wird. Diese Statusnachricht gibt an, dass sich die Maschine 2 nunmehr in dem Konfigurationsmodus KM befindet. Bei einer möglichen Ausführungsform befindet sich die Maschine 2 nach Betätigung des Schalters, bzw. der Taste für eine vorgesehene Zeitspanne von zum Beispiel 10 Minuten in dem Konfigurationsmodus KM bevor sie in den normalen Betriebsmodus zurückkehrt. Bei einer alternativen Ausführungsform betätigt der Nutzer 6 die Taste bzw. den Schalter dauerhaft bzw. permanent, um die Maschine 2 in dem Konfigurationsmodus KM zu halten. Sobald der Nutzer 6 die Betätigung beendet, kehrt die Maschine 2 dann in den normalen Betriebsmodus zurück.
-
Bei einer Ausführungsform ist die Maschine 2 vor Ort durch den Nutzer 6 nur dann in den Konfigurationsmodus KM schaltbar, nachdem sich der Nutzer 6 gegenüber dem Server 5 in einer Authentifizierungsprozedur als berechtigt authentisiert hat. Dadurch wird die Sicherheit gegenüber einem Angreifer erhöht, da sich dieser nicht nur Zugang zu dem Sicherheitsbereich 7 verschaffen muss, sondern auch über die notwendigen Kenntnisse verfügen muss, um sich gegenüber dem Server 5 zu authentisieren.
-
Bei einer Ausführungsform wird die Statusnachricht von dem Kommunikationsmodul 3 der Maschine 2 kryptographisch geschützt über das Netzwerk 4 an den Server 5 oder zu einem in der Nähe des Servers 5 befindlichen Endgerät übertragen.
-
Die Statusnachricht weist neben der Betriebsmodusanzeige, welche angibt, dass sich die Maschine 2 in dem Konfigurationsmodus KM befindet, bei einer möglichen Ausführungsform zusätzlich eine Maschinen-ID sowie Betriebsparameter der jeweiligen Maschine 2 auf. Diese Betriebsparameter werden beispielsweise durch Sensoren der Maschine 2 bereitgestellt.
-
Bei einer weiteren möglichen Ausführungsform des erfindungsgemäßen Verfahrens erfolgt die eigentliche Einstellung der Maschinen-Konfigurationsdaten an dem Server 5 durch einen weiteren Nutzer 8 der sich in der Nähe des Servers 5 befindet. Bei dieser Ausführungsform baut der sich vor Ort befindliche berechtigte Nutzer 6 über das Kommunikationsmodul 3 der Maschine 2 zusätzlich eine Sprachverbindung, beispielsweise über ein Mobilfunknetz, zu dem an dem Server 5 befindlichen weiteren Nutzer 8 auf, um diesem Anweisungen zu Einstellungen der zugehörigen Maschinen-Konfigurationsdaten KD an dem Server 5 zu geben.
-
Nach Aktivierung des Konfigurationsmodus KM besteht somit die Möglichkeit zur Einstellung bzw. Änderung der Konfigurationsdaten KD für die Maschine 2. Dieser fordert in jedem Fall einen physikalischen Zugang des Nutzers 6 zu dem Kommunikationsmodul 3 bzw. der zugehörigen Maschine 2. Bei dem erfindungsgemäßen Verfahren wird somit die Sicherheit für das Ändern der Serverkonfigurationen bzw. der Maschinen-Konfigurationsdaten KD an den unmittelbaren physikalischen Zugriff auf das zugeordnete Kommunikationsmodul 3 bzw. den physikalischen Zugriff auf die Maschine 2 selbst gekoppelt.
-
Bei dem Kommunikationsmodul 3 kann es sich um ein sogenanntes M2M-Kommunikationsmodul handeln. Die Kommunikation zwischen dem M2M-Modul 3 und einem zugehörigen M2M-Server 5 kann kryptographisch geschützt erfolgen, beispielsweise unter Verwendung eines IPsec- oder eines SSL, TLS- oder SSH-Protokolls. Bei dem erfindungsgemäßen Verfahren können insbesondere Security- bzw. Sicherheits-bezogene Konfigurationseinstellungen für den Zugriff auf eine M2M-Server-Funktionalität nur dann vorgenommen werden, wenn sich das zugehörige M2M-Modul 3 bzw. die zugehörige Maschine 2 in dem Konfigurationsmodus KM befinden.
-
Bei einer möglichen Ausführungsform wird das M2M-Konfigurationsmodul 3 in einem ”Bootstrapping-Mode” gebracht, der dem Kommunikationsmodus entspricht. Beispielsweise werden einer oder mehrere Jumper bzw. Steckbrücken gesteckt oder ein Taster betätigt. Alternativ kann auch über eine lokale Administration, beispielsweise über eine serielle Schnittstelle, gegebenenfalls nach Passworteingabe, der Bootstrapping-Modus bzw. Konfigurationsmodus aktiviert werden.
-
Bei einer weiteren alternativen Ausführungsform wird ein Signal über einen Service-Mode des Gerätes bzw. der Maschine 2, in dem das M2M-Kommunikationsmodul 3 verbaut ist, ausgewertet um beispielsweise festzustellen, ob eine Wartungsöffnung bzw. Wartungstüre durch einen Nutzer 6 etwa mittels eines physikalischen Schlüssels, geöffnet worden ist. Bei dieser Ausführungsform authentifiziert sich der Nutzer 6 durch den physikalischen Besitz eines Schlüssels zur Öffnung einer Wartungstür, um einen physikalischen Zugriff vor Ort auf das M2M-Kommunikationsmodul 3 zu erhalten.
-
Die auf dem Server 5 abgelegten Maschinen-Konfigurationsdaten KD umfassen unter anderem auch Konfigurationseinstellungen auf dem Server 5, die angeben, welcher Nutzer auf bestimmte Daten eines M2M-Kommunikationsmoduls 3 Zugriff erhält, d. h. wer die auf dem Kommunikationsmodul 3 zugeordneten Serverfunktionalitäten nutzen kann. Daher umfassen die Konfigurationsdaten KD auch Zugangsparameter bzw. Sicherheitsparameter, beispielsweise Benutzernamen und Passwörter. Weitere mögliche Konfigurationsdaten KD sind beispielsweise Zertifikate für eine vornehmbare Client-Authentisierung. Weitere vornehmbare Konfigurationseinstellungen sind Angaben über den Ort bzw. wohin Daten des Kommunikationsmoduls 3 gegebenenfalls weitergeleitet bzw. getunnelt werden. Die Konfigurationseinstellungen betreffen beispielsweise eine Email-Adresse oder einen URL, die angibt an welchen Ort bzw. welche Adresse die Moduldaten des Kommunikationsmoduls 3 übertragen werden. Die Maschinen-Konfigurationsdaten können auf dem Server identisch auch auf der Maschine gespeichert sein. Es ist auch möglich, dass die Maschinen-Konfigurationsdaten nur auf dem Server vorhanden sind, und nicht auf der Maschine selbst.
-
In dem Bootstrapping-Modus bzw. dem Konfigurationsmodus wird bei einer möglichen Ausführungsform ein geschütztes Zu gangspasswort für das M2M-Kommunikationsmodul 3 bzw. die M2M-Serverfunktionalität initial eingerichtet bzw. ein bereits eingerichtetes Zugangspasswort zurückgesetzt, insbesondere wenn das Zugangspasswort verloren gegangen ist.
-
2 zeigt ein Ausführungsbeispiel eines Systems 1 gemäß der Erfindung mit einer konfigurierbaren Maschine 2. Die Maschine 2 verfügt über ein daran angebrachtes M2M Kommunikationsmodul 3 mit einer Taste 9. Ein vor Ort befindlicher Nutzer 6 kann die Taste bzw. die Bootstrapping-Taste 9 betätigen, um das M2M-Kommunikationsmodul 3 und die zugehörige Maschine 2 in einen Konfigurationsmodus zu schalten. Das Kommunikationsmodul 3 ist beispielsweise über eine serielle Schnittstelle, etwa RS232 oder USB, mit der Maschine 2 verbunden. Über eine Funkschnittstelle bzw. eine Mobilfunkverbindung tauscht das Kommunikationsmodul 3 Daten mit einem Zugangsnetzwerk 4A aus. Beispielsweise kann das M2M-Kommunikationsmodul 3 ein Mobilfunksystem, beispielsweise GSM, GPRS, UMTS für die Kommunikation nutzen.
-
Bei dieser Ausführungsform weist das Kommunikationsmodul 3 ein Sicherheitsmodul, beispielsweise eine SIM-Karte auf, um das jeweilige Mobilfunknetz nutzen zu können. Das Zugangsnetzwerk 4A des jeweiligen Mobilfunksystems kann über ein oder mehrere weitere Netzwerke, beispielsweise über das Internet 4B mit einem M2M-Konfigurationsserver 5 verbunden sein, der über eine Konfigurationsdatenbank 10 verfügt. Bei dem in 2 dargestellten Ausführungsbeispiel ist an dem Netzwerk 4B ein weiteres Terminal 11 angeschlossen über das ein Nutzer 12 nach Empfangen der Statusnachricht durch den Server 5 und nach erfolgreicher Authentifizierung die erforderlichen Konfigurationseinstellungen an dem Server 5 vernehmen kann. Bei dem in 1 dargestellten Ausführungsbeispiel wird die Maschine 2 bzw. das Kommunikationsmodul 3 vor Ort durch einen berechtigten Nutzer 6 in den Konfigurationsmodus KM geschaltet sowie eine entsprechende Statusnachricht generiert und an den Server 5 übertragen bevor der Nutzer 12 an seinem Terminal 11 die Konfigurationseinstellungen vornehmen kann.
-
Bei der in 2 dargestellten Ausführungsform sind der vor Ort befindliche Nutzer 6 und der Nutzer 12 an dem entfernt gelegenen Terminal 11 zwei unterschiedliche Personen. Bei einer alternativen Ausführungsform bewegt sich der Nutzer 6 nach Betätigung des Tasters 9 zum Umschalten der Maschine 2 und des Kommunikationsmoduls 3 in den Konfigurationsmodus zu dem Terminal 11 und nimmt dann selbst die eigentliche Konfiguration an dem Server 5 vor.
-
Im Gegensatz zu dem in 1 dargestellten Ausführungsbeispiel befindet sich der weitere Nutzer 12 bei dem in 2 dargestellten Ausführungsbeispiel an dem Terminal 11 und nicht wie der Nutzer 8 direkt in der räumlichen Nähe des M2M-Konfigurationsservers 5 wobei er mit diesem Server 5 über das Netzwerk 4B verbunden ist.
-
Der M2M-Nutzer bzw. User 12 kommuniziert bei dem dargestellten Ausführungsbeispiel gemäß 2 über das Internet 4B mit dem M2M-Konfigurationsserver 5, um auf die Daten der Maschine 2 zuzugreifen. Dazu authentisiert er sich zunächst gegenüber dem M2M-Konfigurationsserver 5. Bei der Mobilfunkverbindung zwischen dem Kommunikationsmodul 3 und dem Server 5 kann es sich beispielsweise um GSM, GPRS, UMTS, HSDPA, HSPA, WIMAX, oder um WLAN handeln. Bei einer alternativen Ausführungsform kann das M2M-Kommunikationsmodul 3 auch drahtgebunden an den Server 5 beispielsweise über einen DSL-Zugang oder über ein Telefon-Modem/ISDN angeschlossen sein.
-
In jedem Fall erfordert das Durchführen der Konfigurationseinstellungen an dem M2M-Konfigurationsserver 5 zunächst die Betätigung der Taste 9 des Kommunikationsmoduls 3 durch einen berechtigten Nutzer 6, der sich vor Ort befindet. Bei der in 2 dargestellten Ausführungsvariante greift der Nutzer 12 auf den M2M-Konfigurationsserver 5 unabhängig von dem Kommunikationsmodul 3 auf den Server 5 zu.
-
3 zeigt ein Signaldiagramm zur Erläuterung des erfindungsgemäßen Verfahrens zum geschützten Einstellen von Maschinen-Konfigurationsdaten.
-
Der Nutzer 12 authentisiert sich zunächst mittels eines Benutzernamens und eines Passwortes PW gegenüber dem Konfigurationsserver 5. Danach gibt der Nutzer 12 die gewünschten Maschinendaten bzw. Konfigurationsdaten der Maschine 2 an. Um die Konfigurationsdaten KD der Maschine 2 zu ändern bzw. umzukonfigurieren gibt der Nutzer 12 einen Konfigurationsänderungsbefehl in seinem Terminal ein, der zu dem Konfigurationsserver 5 übertragen wird. Der Konfigurationsserver 5 frägt von dem Kommunikationsmodul 3 der Maschine 2 dessen Betriebsmodus ab, d. h. ob sich die Maschine 2 im Konfigurationsmodus KM oder in einem anderen Betriebsmodus OM befindet. Bei dem in 3 dargestellten Beispiel meldet das Kommunikationsmodul 3 dem Konfigurationsserver 5 beispielsweise über ein Mobilfunkzugangsnetz 4A und das Internet 4B, dass sich die Maschine 2 in einem normalen Betriebsmodus befindet und nicht in einem Konfigurationsbetriebsmodus. Wenn sich die Maschine 2 in einem normalen Betriebsmodus OM (operation mode) befindet, teilt der Konfigurationsserver 5 dem Nutzer 12 bzw. dessen Terminal 11 mit, dass ein Fehler E (error) vorliegt und keine Änderung der Konfigurationsdaten KD möglich ist.
-
Drückt nun, wie in dem in 3 dargestellten Ausführungsbeispiel, der in 2 dargestellte Nutzer 6, der sich vor Ort bei der Maschine 2 befindet, den Taster 9 in einem Schritt S1 versetzt er die Maschine 2 und das zugehörige Kommunikationsmodul 3 in den Konfigurationsmodus KM. Überträgt anschließend der Konfigurationsserver 5 erneut einen Befehl B zur Änderung der Konfigurationsdaten KD von dem Nutzer 12, erhält der Server 5 nunmehr von dem Kommunikationsmodul 3 eine Statusnachricht, welche angibt, dass sich die Maschine 2 in dem Konfigurationsmodus KM befindet. Daraufhin ändert der Konfigurationsserver 5 im Schritt S2 die Maschinen-Konfigurationsdaten KD der Maschine 2 in seiner Datenbank entsprechend dem in dem Änderungsbefehl B angegebenen geänderten Konfigurationsdaten KD und meldet die vorgenommenen Änderungen dem Nutzer 12, wie in 3 dargestellt. Bei einer alternativen Ausführungsform kann dem Nutzer 12 zunächst seitens des Servers 5 angezeigt werden, dass nunmehr die Konfigurationsdaten KD änderbar sind. Der Nutzer 12 überträgt anschließend die gewünschten geänderten Konfigurationsdaten KD an den Server 5. Die Änderung der Konfigurationsdaten KD auf dem Server 5 kann auch zu einer Änderung der Konfigurationsdaten KD auf der Maschine 2 oder dem M2M-Modul 3 führen. Dazu überträgt der Server 5 eine Konfigurationsänderungsnachricht an die Maschine 2 bzw. das M2M-Modul 3.
-
4 zeigt eine weitere Ausführungsform eines Systems 1 zur Durchführung eines erfindungsgemäßen Verfahrens zum geschützten Einstellen von Maschinen-Konfigurationsdaten. Bei dieser Ausführungsvariante greift der Nutzer 12 über ein M2M-Kommunikationsmodul 3 auf den Konfigurationsserver 5 zu, d. h. das Terminal 11 des Nutzers 12 ist über das M2M-Kommunikationsmodul 3 und die Netzwerke 4A, 4B mit dem Konfigurationsserver 5 verbunden. Bei dieser Ausführungsvariante erfüllt der Nutzer 12 in der Regel auch Funktionen des in 1 dargestellten berechtigten Nutzers 6, d. h. der Nutzer 12 betätigt auch die Taste 9 zum Umschalten der Maschine 2 und des Kommunikationsmoduls 3 in den Konfigurationsmodus. Bei einer alternativen Ausführungsvariante wird die Taste 9 von einem ersten Nutzer 6 betätigt bevor sich der in 4 dargestellte Nutzer 12 authentifiziert und die eigentliche Konfiguration bzw. Umkonfiguration der Maschinen-Konfigurationsdaten KD vornimmt. Der Nutzer 12 hat sich nach Betätigung des Schalters bzw. des Tasters 9 beispielsweise gegenüber dem M2M-Server 5 zu authentifizieren. Ferner identifiziert sich das M2M-Modul 3 gegenüber dem M2M-Server 5 beispielsweise unter Verwendung des IPsec-, SSL/TLS- oder SSH-Protokolls. Hierzu kann ein geheimer Schlüssel oder ein Public-/Private-Schlüsselpaar verwendet werden. Eine Änderung einer Konfigurationseinstellung auf dem M2M-Konfigurationsserver 5 wird nur dann zugelassen, wenn sich das M2M-Kommunikationsmodul 3 und/oder dessen Maschine 2 in dem Konfigurationsmodus KM befinden.
-
Die Berechtigungsprüfung kann durch das M2M-Modul 3 selbst erfolgen, d. h. die Konfigurationsänderungsnachricht wird nur dann von dem M2M-Modul 3 an dem M2M-Konfigurationsserver 5 übertragen, wenn sich das M2M-Kommunikationsmodul 3 in einem Kommunikationsmodus KM befindet. Alternativ kann die Berechtigungsprüfung auch durch den M2M-Server 5 erfolgen, d. h. das M2M-Kommunikationsmodul 3 überträgt neben der eigentlichen Konfigurationsänderungsnachricht eine Information an den M2M-Konfigurationsserver 5 die angibt, dass sich das M2M-Kommunikationsmodul 3 in einem Konfigurationsmodus KM befindet.
-
5 zeigt ein Anwendungsbeispiel des erfindungsgemäßen Verfahrens zum geschützten Einstellen von Maschinen-Konfigurationsdaten KD bei einer Maschine 2. Bei dem in 5 dargestellten Anwendungsbeispiel wird die Maschine 2 durch ein medizinisches Gerät, beispielsweise einen Kernspintomographen gebildet. Über einen Schalter 9 wird das Kommunikationsmodul 3 und die zugehörige Maschine 2, d. h. der Kernspintomograph 2, durch einen Haustechniker 6 eines Krankenhauses nach erfolgter Log-in-Prozedur und einer Berechtigungsüberprüfung in den Konfigurationsmodus KM versetzt. Eine entsprechende Statusnachricht wird von dem Kommunikationsmodul 3 über das Netzwerk 4 an den Konfigurationsserver 5 eines Serviceproviders bzw. eines Diensteanbieters übertragen. Ein Mitarbeiter 8 des Diensteanbieters bzw. Serviceproviders nimmt dann die gewünschte Konfiguration an dem Server 5 vor. Beispielsweise kann der Haustechniker 6 eine neue Email-Adresse oder eine neue Telefonadresse zum Empfangen einer SMS-Nachricht einstellen lassen bzw. eine entsprechende Umkonfiguration vornehmen lassen, um bei Wartungsbedarf des Kernspintomographen 2 entsprechend benachrichtigt zu werden. Ein entsprechender Alarm wird dann nach erfolgter Konfiguration von dem Kernspintomographen künftig an die neu konfigurierte Email-Adresse bzw. Telefonnummer übertragen. Eine entsprechende Alarmnachricht wird ggf. vom Kommunikationsmodul 3 des Kernspintomographen 2 über das Netzwerk 4 an den Konfigurationsserver 5 übertragen. Der Konfigurationsserver 5 sendet darauf eine Alarmnachricht an die konfigurierte Email-Adresse bzw. Telefonadresse.
-
Bei einer möglichen Ausführungsform wird über das Kommunikationsmodul 3 der Maschine 2 bzw. des Kernspintomographen eine Sprachverbindung zwischen dem vor Ort befindlichen Haustechniker 6 und dem Mitarbeiter 8 des Dienstleistungsanbieters aufgebaut, sodass der Haustechniker 6 nach Betätigen der Taste 9 und erfolgter Umschaltung des Kernspintomographen 2 in den Konfigurationsmodus KM direkt über die aufgebaute Sprachverbindung, Sprachanweisungen an den Mitarbeiter 8 des Dienstleistungsanbieters zum Einstellen der zugehörigen Maschinen-Konfigurationsdaten KD geben kann. Die Umkonfiguration erfolgt bei dem in 5 angegebenen Beispiel nur, wenn sich der Haustechniker 6 des Krankenhauses direkt vor Ort befindet und der Kernspintomograph 2 in den Konfigurationsbetriebsmodus KM geschaltet hat. Bei einer bevorzugten Ausführungsform kann der Haustechniker 6 den Taster bzw. Schalter 9 des Kommunikationsmoduls 3 nur betätigten, wenn er sich physikalisch zu dem Taster 9 Zugriff verschafft hat, beispielsweise indem er eine Sicherheitstür über einen Hausschlüssel, über den nur der Haustechniker 6 verfügt, geöffnet hat. Auf diese Weise ist sichergestellt, dass nur ein berechtigter Haustechniker 6 die entsprechenden Sprachanweisungen an den Dienstleistungsmitarbeiter 8 des Serviceproviders geben kann.
-
6 zeigt ein weiteres Anwendungsbeispiel des erfindungsgemäßen Verfahrens zum geschützten Einstellen von Maschinen-Konfigurationsdaten.
-
Bei diesem Anwendungsbeispiel sind an einer Pipeline 13, die sich über viele hunderte Kilometer erstrecken kann, mehrere Pumpstationen 2-i vorgesehen, die jeweils über ein M2M-Kommunikationsmodul 3-i verfügen. Ein zugangsberechtigter Nutzer 6 öffnet beispielsweise mittels eines Schlüssels eine Tür, die ihm Zugang zu einem Konfigurationsmodul 3-1 verschafft und versetzt die Pumpstation 2-1 vor Ort in einen Konfigurationsmodus. Eine entsprechende Statusnachricht, die den Konfigurationsmodus KM. anzeigt, wird über ein Mobilfunknetz 4A-1 und das Internet 4B an den Konfigurationsserver 5, der sich beispielsweise in einer entfernt gelegenen Zentrale befindet, übertragen. Die Statusnachricht kann eine Maschinen-ID der jeweiligen Pumpstation 2-1 sowie Betriebsparameter der Maschine 2-1 enthalten. Beispielsweise enthält die Statusnachricht Sensordaten, die den Druck P an der jeweiligen Pumpstation angeben. Bei dem Mobilfunknetz 4A-i kann es sich beispielsweise um ein GSM-Netz oder ein Satellitenfunknetz handeln. Die Statusnachricht wird vorzugsweise kryptographisch geschützt übertragen, insbesondere auch über einen VPN-Kanal. Die Authentifizierung des Nutzers 6 vor Ort an dem Kommunikationsmodul 3-1 kann mittels physikalischen Besitzes eines Schlüssels aber auch zusätzlich durch Passworteingabe oder gegebenenfalls mittels biometrischer Verfahren erfolgen.
-
Das erfindungsgemäße Verfahren zum geschützten Einstellen von Maschinen-Konfigurationsdaten KD ist vielseitig einsetzbar, insbesondere bei beliebigen mobilen oder immobilen Maschinen 2.
-
Dabei kann auf eine vorhandene Infrastruktur, wie in dem in 6 angegebenen Ausführungsbeispiel gezeigt, zurückgegriffen werden, um eine signifikante Sicherheitssteigerung zu erreichen.
