DE102010015285A1

DE102010015285A1 - Method and device for confirming a fail-safe state of a safety-critical system

Info

Publication number: DE102010015285A1
Application number: DE201010015285
Authority: DE
Inventors: Dr. Braband Jens; Dr. Falk Rainer
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2010-04-14
Filing date: 2010-04-14
Publication date: 2011-10-20
Also published as: WO2011128210A1

Abstract

Die Erfindung betrifft ein Verfahren zur Bestätigung eines betriebssicheren Zustandes eines sicherheitskritischen Systems, insbesondere Eisenbahnsicherungssystems, sowie eine diesbezügliche Vorrichtung. Um die Zuverlässigkeit bei der Bestätigung des betriebssicheren Zustandes zu erhöhen, ist vorgesehen, dass das sicherheitskritische System eine in nicht maschinenauswertbarer Form erzeugte Aktivierungscode-Information ausgibt und dass der zugehörige Aktivierungscode manuell in das System eingegeben wird.The invention relates to a method for confirming an operationally safe state of a safety-critical system, in particular a railway safety system, as well as a related device. In order to increase the reliability when confirming the operationally safe state, it is provided that the safety-critical system outputs activation code information that is not machine-evaluable and that the associated activation code is entered manually into the system.

Description

Die Erfindung betrifft ein Verfahren zur Bestätigung eines betriebssicheren Zustandes eines sicherheitskritischen Systems, insbesondere Eisenbahnsicherungssystems, sowie eine diesbezügliche Vorrichtung.The invention relates to a method for confirming a fail-safe state of a safety-critical system, in particular railway safety system, and a device relating thereto.

Sicherheitskritische Systeme sind häufig Steuer- und Regelsysteme, die beispielsweise zur Stellwerkssteuerung, Antriebs- und Bremsansteuerung für Verkehrsmittel aller Art sowie auch Fertigungs- und Prozessleittechnik oder Kraftwerksregelung eingesetzt werden. Üblicherweise werden dabei mittels Sensoren Messgrößen erfasst, um Aktionen an Stellgliedern mittels Aktoren auszuführen. Für diese Steuerungs- und Regelungsaufgaben müssen oft sicherheitsbezogene Eigenschaften gewährleistet sein. Sicherheitsstufen sind in der CENELEC-Norm EN50129 von SILO – signaltechnisch nicht sicher – bis SILO – signaltechnisch hochgradig sicher – definiert.Safety-critical systems are often control systems that are used, for example, for interlocking control, drive and brake control for all types of transport as well as manufacturing and process control or power plant control. Usually, sensors are detected by means of sensors to perform actions on actuators by means of actuators. Safety and security features often need to be ensured for these control tasks. Security levels are in the CENELEC standard EN50129 from SILO - not technically safe - up to SILO - technically highly secure - defined.

Für Wartungszwecke oder Software-Updates kann die Einhaltung der sicherheitsbezogenen Eigenschaften unter Umständen nicht automatisiert gewährleistet werden, sondern muss durch betriebliche Maßnahmen sichergestellt werden. Dazu muss von einem Bediener bestätigt werden, dass sich das sicherheitskritische System in einem betriebssicheren Zustand befindet. Für ein Schienenfahrzeug bedeutet das z. B., dass dieses tatsächlich in einem Depot abgestellt ist, in dem die Wartungsarbeiten durchgeführt werden können. Erst nach einer solchen Bestätigung darf das sicherheitskritische System in einen nicht sicheren Betriebszustand umschaltbar sein, wodurch ein Wartungszugang ermöglicht wird. Es muss sichergestellt sein, dass ein versehentliches Aktivieren des nicht sicheren Betriebszustandes, beispielsweise durch Ausfälle, Störungen, Implementierungsfehler oder Fehlbedienung, quasi ausgeschlossen ist.For maintenance purposes or software updates, compliance with the safety-related properties may not be guaranteed automatically, but must be ensured by operational measures. For this purpose, an operator must confirm that the safety-critical system is in a fail-safe state. For a rail vehicle means the z. B. that this is actually parked in a depot in which the maintenance can be performed. Only after such a confirmation, the safety-critical system may be switched to a non-safe operating state, whereby a maintenance access is enabled. It must be ensured that an accidental activation of the non-safe operating state, for example due to failures, faults, implementation errors or incorrect operation, is virtually ruled out.

Die nachfolgende Beschreibung bezieht sich im Wesentlichen auf die Anwendung des Verfahrens bzw. der Vorrichtung zur Bestätigung des betriebssicheren Zustandes für Eisenbahnsicherungssysteme, ohne dass die Erfindung auf diese spezielle Anwendung beschränkt ist.The following description relates in essence to the application of the method or device for confirming the operational reliability of railway safety systems, without the invention being restricted to this specific application.

Um den Wartungszugang zu einer sicherheitskritischen Komponente des Eisenbahnsicherungssystems abzusichern, ist es üblich, entsprechende Schnittstellen hinter einer zugangsgeschützten Wartungsklappe, beispielsweise eines Schienenfahrzeuges, oder in einem zugangsgeschützten Gebäude, beispielsweise in einem Stellwerk, anzuordnen. In Verbindung mit entsprechenden organisatorischen Regelungen kann gewährleistet werden, dass nur berechtigtes Wartungspersonal Zugang zur Wartungsfunktionalität erhält. Das Wartungspersonal ist angewiesen, sicherheitskritische Wartungsaufgaben erst nach gesicherter Feststellung, dass sich das sicherheitskritische System in einem betriebssicheren Zustand befindet, durchzuführen. Bei einfacher Inaugenscheinnahme könnte jedoch fälschlicherweise ein betriebssicherer Zustand angenommen werden. Auch wenn der betriebssichere Zustand durch Betätigen eines Tasters bestätigt werden muss, könnte es zu einer versehentlichen Betätigung kommen und somit eine gefährliche Situation eintreten. Eine weitere Fehlerquelle kann durch Implementierungsfehler der Wartungsschnittstelle gegeben sein, wodurch unbeabsichtigt ein Bestätigungssignal erzeugt werden könnte.In order to safeguard the maintenance access to a safety-critical component of the railway safety system, it is customary to arrange corresponding interfaces behind an access-protected maintenance flap, for example a rail vehicle, or in an access-protected building, for example in a signal box. In conjunction with appropriate organizational regulations, it can be ensured that only authorized maintenance personnel will have access to the maintenance functionality. The maintenance personnel are instructed to carry out safety-critical maintenance tasks only after having ascertained that the safety-critical system is in a fail-safe condition. However, a simple inspection could erroneously assume a safe condition. Even if the safe state must be confirmed by pressing a button, it could lead to an accidental operation and thus enter a dangerous situation. Another source of error may be due to implementation errors of the maintenance interface, which could inadvertently generate a confirmation signal.

Weiterhin ist bekannt, dass der Wartungszugang logisch freigeschaltet werden muss, z. B. durch Eingabe eines Passwortes, durch Authentisierung mit einer Chipkarte oder durch Aktivierung des Bediengerätes bzw. Wartungsgerätes mittels spezieller Tastenkombination.Furthermore, it is known that the maintenance access must be logically unlocked, z. Example by entering a password, by authentication with a smart card or by activating the control unit or maintenance device using a special keyboard shortcut.

Es ist auch möglich, eine Authentifizierung eines externen Gerätes gegenüber der sicherheitskritischen Komponente vorzusehen. Beispielsweise kann dann nur ein berechtigtes externes Gerät einen Programmiermodus der sicherheitskritischen Komponente aktivieren. Wenn zugelassene externe Geräte sich nur in einem autorisierten Wartungsdepot befinden und von qualifiziertem Servicepersonal bedient werden, kann damit auch implizit gewährleistet werden, dass diese Funktionalität nur genutzt wird, wenn die sicherheitskritische Komponente einen betriebssicheren Zustand aufweist. Dennoch können Bedienungsfehler oder Implementierungsfehler auftreten.It is also possible to provide an authentication of an external device with respect to the safety-critical component. For example, only one authorized external device can then activate a programming mode of the safety-critical component. If approved external devices are only in an authorized maintenance depot and are operated by qualified service personnel, this can also implicitly ensure that this functionality is only used if the safety-critical component is in a fail-safe state. Nevertheless, operator errors or implementation errors may occur.

Der Erfindung liegt die Aufgabe zugrunde, ein Verfahren und eine Vorrichtung zur Bestätigung eines betriebssicheren Zustandes eines sicherheitskritischen Systems anzugeben, welche sich durch extrem hohe Zuverlässigkeit auszeichnen.The invention has for its object to provide a method and apparatus for confirming a reliable state of a safety-critical system, which are characterized by extremely high reliability.

Verfahrensgemäß wird die Aufgabe dadurch gelöst, dass das System eine in nicht maschinenauswertbarer Form erzeugte Aktivierungscode-Information ausgibt und dass der zugehörige Aktivierungscode manuell in das System eingegeben wird.According to the method, the object is achieved in that the system outputs an activation code information generated in non-machine evaluable form and that the associated activation code is manually entered into the system.

Zur Durchführung des Verfahrens ist erfindungsgemäß vorgesehen, dass das System Mittel zur Ausgabe einer nicht maschinenauswertbaren Aktivierungscode-Information aufweist.To carry out the method, the invention provides that the system has means for outputting non-machine-evaluable activation code information.

Das sicherheitskritische System, dessen betriebssicherer Zustand zu verifizieren ist, kann beispielsweise ein Steuergerät mit temporär über ein Fahrzeugnetz angeschlossenes Wartungsgerät bzw. Bediengerät umfassen. Die manuelle Eingabe des Aktivierungscodes erfolgt dann vorzugsweise an dem Wartungsgerät bzw. Bediengerät.The safety-critical system whose fail-safe state is to be verified can include, for example, a control device with a maintenance device or operating device that is temporarily connected via a vehicle network. Manual entry of the Activation codes are then preferably carried out on the maintenance device or operating device.

Der Aktivierungscode, insbesondere eine Ziffern- oder Zeichenfolge, wird dem Nutzer visuell, akustisch oder auf andere Weise angezeigt. Da diese Aktivierungscode-Information nicht in maschinenauswertbarer Form vorliegt, kann es auch bei einer fehlerhaften Implementierung nicht zu einer unbeabsichtigten Übertragung des Aktivierungscodes an das sicherheitskritische System kommen. Auch ein einfaches, unbedachtes Anklicken eines Buttons genügt nicht zur Bestätigung des betriebssicheren Zustandes, wodurch bestimmte Aktionen, beispielsweise die Umschaltung in einen für Wartungszwecke nicht betriebssicheren Modus ausgelöst werden könnten.The activation code, in particular a number or string, is displayed to the user visually, acoustically or in another way. Since this activation code information is not available in machine-evaluable form, an erroneous implementation can not result in unintentional transmission of the activation code to the safety-critical system. Even a simple, careless clicking a button is not enough to confirm the safe state, which certain actions, such as switching to a non-operationally safe for maintenance purposes mode could be triggered.

Die in nichtmaschinenauswertbarer Form erzeugte Aktivierungscode-Information kann z. B. in einer grafisch verzerrten Darstellungsart, d. h. als CAPTCHA – Completely Automated Public Turing test to tell Computers and Humans Apart – oder als akustisches Signal über einen Lautsprecher ausgegeben werden. Bei CAPTCHAs handelt es sich um Graphiken, die eine Ziffern- oder Zeichenfolge optisch verzerrt darstellen. Die Verzerrungen bewirken, dass die dargestellte Ziffern- oder Zeichenfolge nicht oder nur sehr schwer von einem Computer automatisiert durch eine Zeichenerkennung ausgewertet werden kann. Auf diese Weise ist sichergestellt, dass nur ein menschlicher Nutzer den CAPTCHA entziffern kann und damit den dargestellten Wert korrekt in das System eingeben kann.The activation code information generated in non-machine-evaluable form may e.g. In a graphically distorted representation, i. H. as CAPTCHA Completely Automated Public Turing test to Tell Computers and Humans Apart or as an audible signal through a loudspeaker. CAPTCHAs are graphics that visually distort a number or string of characters. The distortions cause the displayed number or string can not or only with great difficulty be evaluated automatically by a computer by a character recognition. This ensures that only a human user can decipher the CAPTCHA and correctly enter the displayed value into the system.

Die Anzeige der Aktivierungscode-Information kann an jeglichen peripheren oder zentralen Komponenten des Systems erfolgen. Bei einem schienengebundenen Fahrzeug kann die Ausgabe beispielsweise über ein Sprachausgabesystem des Fahrzeugs erfolgen oder auch über eine grafische Anzeige eines Fahrgastinformationssystems, die sich im Inneren des Fahrzeuges befindet. Da diese Anzeige nur in unmittelbarer Nähe des Systems >Schienenfahrzeug< ablesbar ist, muss sich die ablesende Person lokal am Fahrzeug befinden. Über einen Remote-Zugriff, z. B. über einen Remote-Service-Access, über ein öffentliches Datennetzwerk, wie Internet oder Mobilfunknetz, kann der Wert nicht – quasi aus der Entfernung – abgelesen werden. Folglich kann dieser Aktivierungscode auch nicht korrekt in das System eingegeben werden.The display of the activation code information may be at any peripheral or central components of the system. In a rail-bound vehicle, the output can be made for example via a voice output system of the vehicle or via a graphical display of a passenger information system, which is located inside the vehicle. Since this display can only be read in the immediate vicinity of the "rail vehicle" system, the person reading must be located locally on the vehicle. Via a remote access, eg. B. over a remote service access, over a public data network, such as the Internet or mobile network, the value can not - quasi from a distance - be read. As a result, this activation code can not be entered correctly into the system.

Eine noch größere Sicherheit kann erreicht werden, wenn die Ausgabe der Aktivierungscode-Information und die Eingabe des Aktivierungscodes interaktiv mehrfach hintereinander erfolgen muss. Dabei können auch unterschiedliche Eingabe- und Ausgabemedien verwendet werden. Da der jeweils einzugebende Aktivierungscode angezeigt wird, kann für jede Systemkomponente ein eigener Aktivierungscode verwendet werden. Umständliche und unsichere Arbeitsanweisungen, z. B. auf einem Papierbogen oder einem Speichermedium, über den einzugebenden Aktivierungscode entfallen. Der, beispielsweise von einem Wartungstechniker, einzugebende Aktivierungscode kann insbesondere über eine Tastatur, ein Touchscreen oder jegliche andere Bedienelemente eingebbar sein.An even greater certainty can be achieved if the output of the activation code information and the input of the activation code interactively must be repeated several times in succession. Different input and output media can be used. Since the respective activation code to be entered is displayed, a separate activation code can be used for each system component. Cumbersome and unsafe work instructions, eg. B. on a sheet of paper or a storage medium, omitted via the activation code to be entered. The, for example, by a maintenance engineer to enter the activation code can be entered in particular via a keyboard, a touch screen or any other controls.

Gemäß Anspruch 2 ist vorgesehen, dass das System anhand des eingegebenen Aktivierungscodes ein Aktivierungscode-Bitfolgemuster zur Auslösung einer Aktion, insbesondere zur Freischaltung eines Wartungszuganges, erzeugt.According to claim 2, it is provided that the system generates on the basis of the entered activation code an activation code bit sequence pattern for triggering an action, in particular for activating a maintenance access.

Zusätzlich oder alternativ kann gemäß Anspruch 3 das von dem System erzeugte Aktivierungscode-Bitfolgemuster auch an ein externes Gerät, beispielsweise zur Durchführung von Software-Updates, übertragen werden, wobei dieses Gerät daraufhin eine Aktion, insbesondere eine Wartungsroutine oder ein Software-Update, bezüglich des Systems freischaltet oder auslöst.Additionally or alternatively, according to claim 3, the activation code bit sequence pattern generated by the system can also be transmitted to an external device, for example for performing software updates, this device then initiating an action, in particular a maintenance routine or a software update, with respect to System unlocks or triggers.

Diese Aktionen, die einen Eingriff in die sicherheitlichen Eigenschaften des Systems bedeuten, können nur bei vorheriger korrekter Eingabe des Aktivierungscodes ausgelöst werden. Eine Speicherung der Aktivierungscode-Bitfolgemuster ist nicht erforderlich, da diese zufällig, beispielsweise anhand einer Hash-Funktion, insbesondere einer kryptographischen Hash-Funktion, wie MD5, SHA-1 oder SHA256, entstehen. Da keine Speicherung stattfindet, ist auch keine unbeabsichtigte Deaktivierung der sicherheitlichen Eigenschaften des Systems infolge eines Implementierungsfehlers möglich. Bei einem hinreichend langen Aktivierungscode-Bitfolgemuster, z. B. 128 Bit, ist die Wahrscheinlichkeit, den korrekten Wert zufällig zu ermitteln, vernachlässgbar.These actions, which interfere with the security features of the system, can only be triggered if the activation code has been entered correctly. It is not necessary to store the activation code bit sequence patterns since these occur at random, for example on the basis of a hash function, in particular a cryptographic hash function, such as MD5, SHA-1 or SHA256. Since no storage takes place, no unintentional deactivation of the security features of the system due to an implementation error is possible. For a sufficiently long activation code bit train pattern, e.g. For example, 128 bits, the probability of randomly determining the correct value is negligible.

Gemäß Anspruch 4 ist vorgesehen, dass das externe Gerät das empfangene Aktivierungscode-Bitfolgemuster mit einem gerätespezifischen Bitfolgemuster vergleicht und nur bei Übereinstimmung die Aktion auslöst. Dadurch kann sichergestellt werden, dass sich der Bediener am richtigen externen Gerät, beispielsweise zur Durchführung von Software-Updates, befindet. Das externe Gerät, das temporär angeschlossen ist, kann somit auch nicht einfach gewechselt oder durch ein anderes externes Gerät ersetzt werden.According to claim 4, it is provided that the external device compares the received activation code bit sequence pattern with a device-specific bit sequence pattern and triggers the action only if they match. This can ensure that the operator is on the right external device, for example to perform software updates. The external device, which is temporarily connected, thus can not be easily changed or replaced by another external device.

ZITATE ENTHALTEN IN DER BESCHREIBUNG QUOTES INCLUDE IN THE DESCRIPTION

Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.This list of the documents listed by the applicant has been generated automatically and is included solely for the better information of the reader. The list is not part of the German patent or utility model application. The DPMA assumes no liability for any errors or omissions.

Zitierte Nicht-PatentliteraturCited non-patent literature

EN50129 [0002]

Claims

A method for confirming a fail-safe state of a safety-critical system, in particular a railway safety system, characterized in that the system outputs an activation code information generated in non-machine-evaluable form and that the associated activation code is manually entered into the system.

A method according to claim 1, characterized in that the system based on the entered activation code generates an activation code bit sequence pattern for triggering an action, in particular for activating a maintenance access.

Method according to one of the preceding claims, characterized in that the system based on the entered activation code generates and transmits an activation code bit train pattern to an external device, which activates or triggers an action, in particular a maintenance routine or a software update with respect to the system.

Method according to Claim 3, characterized in that the external device compares the received activation code bit sequence pattern with a device-specific bit sequence pattern and triggers the action only if it matches.

Device for carrying out the method according to one of the preceding claims, characterized in that the system has means for outputting non-machine-readable activation code information.