-
Die Erfindung bezieht sich auf ein Verfahren zum sicheren Betreiben eines Feldgerätes der Prozessautomatisierungstechnik.
-
Ferner bezieht sich die Erfindung auf ein entsprechendes Feldgerät und auf ein Computerprogrammprodukt.
-
Aus dem Stand der Technik ist bspw. aus der Offenlegungsschrift
DE 10326665 A1 ein Verfahren zum Überwachen eines Feldgerätes bekannt, welches Feldgerät über einen Datenbus mit einer Steuereinheit verbunden ist, wobei die Steuereinheit im zeitlichen Abstand eine individuelle Kennung des Feldgerätes anfordert und dies mit einer abgespeicherten Kennung vergleicht. Damit können aber nur Manipulationen während einer bestimmten Betriebsdauer des Feldgerätes festgestellt werden. Ferner wird dort die Verwendung eines Prüfwerts, der über eine Speichereinheit gebildet wird, vorgeschlagen, um eine Manipulation lediglich dieser Speichereinheit zu detektieren.
-
Auch in der Offenlegungsschrift
DE 10 2004 057 298 A1 wird zur sicheren Dateneingabe bei Feldgeräten die Ermittlung eines Prüfwerts vorgeschlagen. Und zwar wird dieser Prüfwert mittels eines Prüfprogramms in dem Feldgerät und eines identischen Prüfprogramms in einem Kontrollgerät ermittelt und anschließend verglichen.
-
Die im Stand der Technik bekannten Lösungen weisen aber den Nachteil auf, dass nach einem Neustart des Feldgerätes, dessen unveränderter Zustand nicht gewährleistet werden kann bzw. nach einem Neustart stets alle Parameter des Feldgerätes überprüft und/oder sogar neu eingegeben werden müssen.
-
Es ist Aufgabe der vorliegenden Erfindung, diese Nachteile zu überwinden.
-
Die Aufgabe wird erfindungsgemäß durch ein Verfahren, ein Feldgerät und ein Computerprogrammprodukt gelöst.
-
Hinsichtlich des Verfahrens wird die Aufgabe durch ein Verfahren zum sicheren Betreiben eines Feldgerätes der Prozessautomatisierungstechnik gelöst, wobei zu einem ersten Zeitpunkt ein erster Prüfwert bestimmt wird, der anhand wenigstens einer Teilmenge von das Feldgerät charakterisierenden Eigenschaften, einen Zustand des Feldgerätes kennzeichnet, wobei zu einem zweiten Zeitpunkt nach einem Neustart des Feldgerätes ein zweiter Prüfwert anhand der Teilmenge von das Feldgerät charakterisierenden Eigenschaften bestimmt wird, der einen nach dem Neustart des Feldgerätes zu dem zweiten Zeitpunkt vorliegenden Zustand des Feldgerätes kennzeichnet.
-
Zu einem ersten Zeitpunkt vor dem Neustart des Feldgerätes wird also der erste Prüfwert berechnet. Nach dem Neustart des Feldgerätes kann bspw. mittels einer in dem Feldgerät hinterlegten Software, die das vorgeschlagene Verfahren ausführt, entschieden werden, ob das Feldgerät unverändert ist, d. h. dass keine hardware- oder softwaremäßigen Manipulationen durchgeführt wurden, während das Feldgerät stromlos war und/oder nicht überwacht wurde. Durch Interaktion mit einem Benutzer oder mit einem anderen Rechner-System, wie bspw. einer übergeordneten Einheit, die mit dem Feldgerät über einen Feldbus oder eine Stromschleife verbunden ist, kann der weitere Betrieb des Feldgerätes festgelegt werden. Bspw. kann nach dem Neustart das Feldgerät, ohne weitere bspw. sicherheitsgerichtete Maßnahmen oder ohne dass diese erfüllt wurden, seinen Betrieb fortsetzen.
-
Als charakterisierende Eigenschaft eines Zustands des Feldgerätes kann auch eine bestimmte Verwendung des Feldgerätes, bspw. an einer Messstelle an einem bestimmten Ort in einer Anlage, dienen.
-
In einer Ausführungsform des Verfahrens handelt es sich bei der Teilmenge von das Feldgerät charakterisierenden Eigenschaften um einen Satz von Parametern und/oder Parameterwerten des Feldgerätes. Zudem kann es sich bei den das Feldgerät charakterisierenden Eigenschaften um bestimmte Werte, d. h. hinterlegte Daten, die in einem Speicher des Feldgerätes gespeichert sind, handeln, die zur Berechnung des ersten bzw. zweiten Prüfwerts genutzt werden. Dabei kann es sich bspw. um eine Hardware-Kennung handeln. Über diese Teilmenge von das Feldgerät charakterisierenden Eigenschaften kann der Zustand des Feldgerätes beschrieben werden.
-
In einer weiteren Ausführungsform des Verfahrens wird der Zustand des Feldgerätes durch den ersten als auch durch den zweiten Prüfwert eindeutig gekennzeichnet.
-
In einer weiteren Ausführungsform des Verfahrens handelt es sich bei dem Zustand, der zu dem ersten Zeitpunkt bestimmt wird, und bei dem Zustand, der zu dem zweiten Zeitpunkt bestimmt wird, um die Parametrierung des Feldgerätes. Ferner kann es sich bei dem Zustand, der zu dem ersten Zeitpunkt bestimmt wird, um eine Parametrierte Hardware des Feldgerätes handeln. Ein Feldgerät kann bspw. aus mehreren Komponenten, wie bspw. einem Messaufnehmer und einem Messumformer, bestehen, die selbst wiederum aus Teilkomponenten bestehen, die über unterschiedliche Parameter einstellbar bzw. konfigurierbar sind. Die Teilmenge von das Feldgerät charakterisierenden Eigenschaften kann sich dann bspw. nur auf eine oder aber auch mehrere, d. h. einen Teil der Komponenten bzw. Teilkomponenten des Feldgerätes beziehen.
-
In einer weiteren Ausführungsform des Verfahrens werden der erste und der zweite Prüfwert miteinander verglichen.
-
In einer weiteren Ausführungsform des Verfahrens wird, insbesondere nachdem eine sichere Parametrierung des Feldgerätes durchgeführt wurde, der erste Prüfwert bestimmt.
-
In einer weiteren Ausführungsform des Verfahrens wird in dem Fall, dass der erste und der zweite Prüfwert nicht übereinstimmen, eine sicherheitsgerichtete Funktion ausgelöst wird. Bei der sicherheitsgerichteten Funktion kann es sich bspw. um einen Fehlerstromwert der bspw. über eine Stromschleife übertragen wird oder im Fall eines Datenbusses, an den das Feldgerät angeschlossen ist, um eine entsprechendes einen Fehler anzeigendes Bussignal handeln. Ferner kann es sich bei der sicherheitsgerichteten Funktion um das stilllegen des Gerätes oder das Verbleiben des Gerätes in dem Zustand in dem die Ungleichheit zwischen dem ersten und dem zweiten Prüfwert festgestellt wurde.
-
In einer weiteren Ausführungsform des Verfahrens wird bzw. werden der erste Prüfwert und/oder der zweite Prüfwert über alle Parameter bzw. Parameterwerte oder eine Teilmenge der Parameter bzw. der Parameterwerte des Feldgerätes und insbesondere über eine Kennung des Feldgerätes, wie bspw. die Seriennummer des Feldgerätes, berechnet. Ferner kann der Prüfwert zusätzlich über eine Kennung des Feldgerätes, wie bspw. dessen Seriennummer oder die Seriennummer einer in dem Feldgerät verbauten Hardware, bspw. eines Mikrocontrollers, berechnet werden.
-
In einer weiteren Ausführungsform des Verfahrens erfolgt der Vergleich des ersten Prüfwerts mit dem zweiten Prüfwert durch Eingabe des ersten Prüfwerts durch einen Benutzer.
-
In einer weiteren Ausführungsform des Verfahrens wird der erste Prüfwert in einem persistenten Speicher in dem Feldgerät oder einer mit dem Feldgerät über einen Datenbus oder eine Stromschleife verbundenen übergeordneten Einheit gespeichert wird. Alternativ kann der erste Prüfwert auch handschriftlich dokumentiert werden, so dass er, bspw. einem autorisierten Benutzer des Feldgerätes, zur Verfügung steht.
-
In einer weiteren Ausführungsform des Verfahrens wird der zweite Prüfwert während oder unmittelbar nach dem Neustart des Feldgerätes berechnet, insbesondere bevor das Feldgerät Daten, insbesondere Messwerte, mit einer über einen Datenbus oder eine Stromschleife mit dem Feldgerät verbundenen Einheit austauscht. Ein Messwert kann bspw. auch als 0–20 oder 4–20 mA als analoges Signal über eine Stromschleife übertragen werden. Ebenso ist es heutzutage möglich derartige Messwerte als digitale Signale, sogar gleichzeitig zu dem analogen Signal, über einen Datenbus bzw. eine Stromschleife zu übertragen.
-
Ferner kann das Feldgerät ein Lesegerät aufweisen, welches Lesegerät dazu dient, den auf einem Speichermedium hinterlegte ersten Prüfwert auszulesen. Bei dem Speichermedium kann es sich bspw. um eine Steckkarte, wie z. B. einen USB-Stick, eine SD-Karte etc. handeln. Somit kann der erste Prüfwert über das Lesegerät eingelesen werden, anstatt über den Datenbus oder durch manuelle Eingabe von einem Benutzer vor Ort über eine Bedieneinheit. Zu diesem Zweck kann der erste Prüfwert, nachdem er berechnet wurde auf das Speichermedium geschrieben werden.
-
Ferner kann es vorgesehen sein den ersten Prüfwert, bei dem es sich bspw. um einen HASH-Wert handelt sowohl im Feldgerät als auch auf dem externen Speichermedium verschlüsselt abzulegen, so dass nur durch das jeweilige Speichermedium und das entsprechende Feldgerät ein Abgleich des ersten Prüfwerts mit dem zweiten Prüfwert erfolgt. Somit kann die Bedienung des Feldgerätes und ein sicherheitsgerichteter Betrieb des Feldgerätes zuverlässig nur durch autorisierte Benutzer durchgeführt werden.
-
In einer weiteren Ausführungsform des Verfahrens werden in dem Fall, dass der erste und der zweite Prüfwert übereinstimmen, Daten, insbesondere Messwerte, von dem Feldgerät über eine Stromschleife oder einen Datenbus an eine übergeordnete Einheit übertragen.
-
In einer weiteren Ausführungsform des Verfahrens wird die Berechnung des ersten und/oder des zweiten Prüfwertes anhand einer Kennung einer Hardware oder zumindest eines Teils der Hardware des Feldgerätes durchgeführt.
-
In einer weiteren Ausführungsform des Verfahrens wird bzw. werden der erste und/oder der zweite Prüfwert anhand eines Verfahrens zur Berechnung einer Prüfsumme, wie bspw. eines HASH-Tags, berechnet.
-
Hinsichtlich des Feldgerätes wird die Aufgabe durch ein Feldgerät der Prozessautomatisierungstechnik mit einer Datenverarbeitungseinheit gelöst, die dazu dient, anhand wenigstens einer Teilmenge von das Feldgerät charakterisierenden Eigenschaften zu einem ersten Zeitpunkt einen ersten Prüfwert zu bestimmen, der einen Zustand des Feldgerätes kennzeichnet, wobei die Datenverarbeitungseinheit ferner dazu dient, anhand der Teilmenge von das Feldgerät charakterisierenden Eigenschaften zu einem zweiten Zeitpunkt nach einem Neustart des Feldgerätes einen zweiten Prüfwert zu bestimmen, der einen nach dem Neustart des Feldgerätes zu dem zweiten Zeitpunkt vorliegenden Zustand des Feldgerätes kennzeichnet.
-
Hinsichtlich des Computerprogrammprodukts wird die Aufgabe durch ein Computerprogrammprodukt mit Programmcodemitteln gelöst, die wenn sie ausgeführt werden, das Verfahren nach wenigstens einer der vorgeschlagenen Ausführungsformen ausführen.
-
Die Erfindung wird anhand der nachfolgenden Zeichnungen näher erläutert. Es zeigt:
-
1: ein Ablaufdiagramm des vorgeschlagenen Verfahrens, zur Berechnung des ersten Prüfwerts
-
2: ein Ablaufdiagramm des vorgeschlagenen Verfahrens, bei dem nach einem Neustart des Feldgerätes ein zweiter Prüfwert berechnet und mit dem ersten Prüfwert verglichen wird.
-
1 zeigt ein Ablaufdiagramm einer Ausführungsform des vorgeschlagenen Verfahrens zum sicheren Betreiben eines Feldgerätes. Dabei wird in einem ersten Schritt eine Parametrierung des Feldgerätes vorgenommen oder geändert. Zu diesem Zweck werden die Parameter des Feldgerätes aktualisiert oder „upgedated”. Anschließend wird eine erste Prüfsumme, in diesem Fall über die GeräteID des Feldgerätes und die Parameter des Feldgerätes (neu) berechnet. Diese erste Prüfsumme wird dann nicht-persistent gespeichert, d. h. dass die erste Prüfsumme in dem Fall, dass das Feldgerät stromlos ist, verloren geht. Die erste Prüfsumme kann jedoch auf bspw. auf eine Anfrage hin ausgegeben und bspw. an eine überordnete Einheit übertragen werden. Ferner kann die erste Prüfsumme von einem Benutzer in Erfahrung gebracht werden.
-
Danach kann das Feldgerät wieder in seinen vorherigen Betriebsmodus zurückkehren. Dieser Vorgang geschieht vor dem in 2 gezeigten und in der dazugehörigen Figurenbeschreibung beschrieben Neustart des Feldgerätes.
-
2 zeigt ein Ablaufdiagramm einer Ausführungsform des vorgeschlagenen Verfahrens nach einem Neustart des Feldgerätes.
-
Dabei ist die Ausführung des vorgeschlagenen Verfahrens davon abhängig, ob ein entsprechender das Verfahren enthaltener Betriebsmodus des Feldgerätes aktiviert ist. Ist dies nicht der Fall, so wird nach dem Neustart der Betrieb des Feldgerätes ohne erhöhte Parametersicherheit fortgesetzt.
-
Ist der das Verfahren zum sicheren Bedienen des Feldgerätes enthaltende Betriebsmodus aktiviert, so wird über die Teilmenge von das Feldgerät oder einen Zustand des Feldgerätes charakterisierenden Eigenschaften, über die auch der erste Prüfwert berechnet wurde, ein zweiter Prüfwert, in diesem Fall eine Prüfsumme berechnet.
-
In der in 2 gezeigten Ausführungsform der vorgeschlagenen Erfindung kann das Verfahren derart ausgeführt werden, dass anschließend eine aktive Eingabe des ersten Prüfwerts erforderlich ist. Diese Eingabe des ersten Prüfwerts kann bspw. vor Ort von einer Bedieneinheit des Feldgerätes aus vorgenommen werden. Ist diese Funktion des Verfahrens aktiviert, wird die eingegeben Prüfsumme, d. h. die erste Prüfsumme, mit der nach dem Neustart berechneten Prüfsumme, d. h. der zweiten Prüfsumme, verglichen. In Abhängigkeit dieses Vergleichs, kann dann der Betrieb des Feldgerätes mit erhöhter Parametersicherheit erfolgen, insbesondere dann, wenn der erste und der zweite Prüfwert übereinstimmen. Stimmen der erste und der zweite Prüfwert nicht überein, so kann der Betrieb des Feldgeräts wird in einem Betriebsmodus ohne erhöhte Parametersicherheit fortgesetzt werden.
-
Ist die Eingabe des ersten Prüfwerts nicht erforderlich, so kann die Prüfsumme entsprechend der in 2 gezeigten Ausführungsform bspw. über eine Anzeigeeinheit des Feldgerätes angezeigt werden. Der Benutzer kann dann anhand eines Vergleichs mit dem ersten Prüfwert angeben, ob der angezeigte Prüfwert, d. h. der zweite Prüfwert, mit dem ersten Prüfwert, der vor dem Neustart des Feldgerätes ermittelt wurde, übereinstimmt. Stimmen der zweite Prüfwert und der erste Prüfwert überein, so kann der Betrieb des Feldgerätes mit erhöhter Parametersicherheit fortgesetzt werden. Stimmen der erste und der zweite Prüfwert jedoch nicht überein, so kann entsprechend der Ausführungsform in 2 der Betrieb des Feldgerätes ohne erhöhte Parametersicherheit fortgesetzt werden.
-
In dem Fall, dass der erste und der zweite Prüfwert nicht übereinstimmen kann, anstelle den Betrieb des Feldgerätes fortzusetzen, der Betrieb des Feldgerätes ausgesetzt werden und/oder ein entsprechendes Fehlersignal von dem Feldgerät bspw. über einen Feldbus, an den das Feldgerät angeschlossen ist, oder über eine vor Ort Anzeige- und/oder Bedieneinheit des Feldgerätes ausgegeben werden.
-
Das vorgeschlagene Verfahren bietet somit eine Möglichkeit, eine Messstelle inklusive deren Parametrierung (fast) eindeutig über einen Hash (Prüfsumme) zu identifizieren und somit bei der Inbetriebnahme einzelner Messstellen bzw. sicherer Messstellen ohne erneute aufwändige (sichere) Parametrierung über Bestätigung des Hashs in Betrieb zu nehmen.
-
Das Feldgerät berechnet während bzw. nach Abschluss einer Parametrierung einen ersten Prüfwert, wie bspw. eine(n) Prüfsumme/Hash, über die Feldgeräte-ID sowie über die Gesamtheit oder eine Teilmenge der Parameter des Feldgeräts. Dieser erste Prüfwert wird dem Anwender über eine Vor-Ort-Anzeige oder remote, z. B. über einen angeschlossenen Feldbus zu Verfügung gestellt. Der Anwender kann sich dabei den ersten Prüfwert, wie bspw. die Prüfsumme/Hash, für zukünftige Verwendung merken.
-
Bei einem Neustart des Gerätes errechnet das Feldgerät den Prüfwert über die GeräteID sowie über die entsprechenden Parameter neu. Anschließend muss der Anwender den ersten Prüfwert, welche nach erfolgter Parametrierung vom Gerät angezeigt wurde, erneut am Gerät eingeben. Dies kann entweder über eine Vorort-Bedienung als auch remote, z. B. über einen angeschlossenen Feldbus erfolgen.
-
Stimmen der erste und der zweite Prüfwert überein, kann davon ausgegangen werden, dass die Messstelle mit der gewünschten Parametrierung versehen ist. D. h. das Feldgerät kann ohne weitere Überprüfung der Parametrierung in Betrieb gehen.
-
Das vorgeschlagene Verfahren bietet insbesondere dann Vorteile, wenn die korrekte Parametrierung einer Messstelle bei deren Start sichergestellt sein muss. Dies ist z. B. bei der Verwendung von Feldgeräten in sicherheitsgerichteten Anlagen der Fall. D. h. das Feldgerät kann unmittelbar nach der Eingabe des ersten Prüfwerts in den sicherheitsgerichteten Betrieb gehen, ohne dass die sicherheitsrelevanten Parameter erneut überprüft werden müssen. Des weiteren ist sichergestellt, dass an der Messstelle keine Manipulation vorgenommen wurde. Insbesondere ist damit sichergestellt, dass auch die Hardware der Messstelle nicht unbemerkt getauscht/verändert wurde. D. h. über dieses Verfahren ist sichergestellt, dass eine bestimmte Hardware mit einer bestimmten Parametrierung an einer bestimmten Stelle in einer Anlage verbaut ist.
-
Wie oben in Zusammenhang mit 2 beschrieben, weiß der Benutzer in dem Fall, dass die Prüfsumme abgefragt nicht, welchen Prüfwert das Feldgerät bspw. an einer bestimmten Messstelle hat, bis er etwas eingetippt hat (erhöhte Sicherheit), da der zweite Prüfwert in diesem Fall nicht angezeigt wird. Dies kann man dann im Gerät je nach Anforderung konfigurierbar machen.
-
Durch das vorgeschlagene Verfahren können Feldgeräte gem. der IEC 61508-Norm und/oder dem SIL2-Zertifikat ausgestaltet werden. Ferner kann ein das vorgeschlagene ausführende Feldgerät auch in einem redundanten Betrieb in Anlage gem. SIL3 eingesetzt werden.
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
- DE 10326665 A1 [0003]
- DE 102004057298 A1 [0004]
-
Zitierte Nicht-Patentliteratur
-
