-
Die vorliegende Erfindung bezieht sich auf ein, insbesondere industrielles, Kommunikationssystem zum Datenaustausch mit einem Feldgerät in der (industriellen) Automatisierungstechnik und ein Verfahren zur Kommunikation eines Client-Geräts mit wenigstens einem Feldgerät in der (industriellen) Automatisierungstechnik. Insbesondere betrifft die vorliegende Erfindung ein Kommunikationssystem sowie ein Verfahren zur Realisierung von Cyber Security für Feldgeräte der Automatisierungstechnik.
-
In der industriellen Automatisierungstechnik sind dabei Industriesteuerungen zur Steuerung verschiedener Feldgeräte wie Antrieben, Sensoren und Aktoren bereits seit längerem bekannt. Diese kommunizieren mit den Feldgeräten über Netzwerke für die Feldkommunikation. Typischerweise ermöglichen die Netzwerke für die Feldkommunikation (Feldkommunikations-Netzwerke) neben einem echtzeitfähigen, zyklischen Datenaustausch mit den Feldgeräten auch einen Zugriff auf die Feldgeräte mittels Standard-Protokollen der TCP/IP-Protokollfamilie.
-
Weiterhin bekannt ist, dass auf die Feldgeräte von Client-Geräten aus zugegriffen werden kann. Beispielsweise können über diesen Zugriff auf den Client-Geräten Funktionen ausgeführt werden, wie beispielsweise das Sammeln und/oder Analysieren von Daten, die von den Feldgeräten erzeugt werden und das Konfigurieren und/oder Programmieren von Feldgeräten. Ein solcher Zugriff auf Feldgeräte wird Client-Geräten in einem Client-Netzwerk, beispielsweise in einem Fertigungsnetzwerk, etwa mittels Standard-Protokollen ermöglicht, indem die Industriesteuerung die TCP/IP-Kommunikation transparent an die Feldgeräte weiterleitet. Bei dem Client-Netzwerk kann es sich um ein beliebiges Netzwerk handeln, wie etwa ein öffentliches IP-Netz, etwa das Internet, oder aber auch ein firmeninternes Netzwerk oder ein Fertigungsnetzwerk.
-
Das Übermittlungsprotokoll IP kann keine im Hinblick auf Informationssicherheit sichere Übermittlung von Daten garantieren. Daher sind ohne entsprechende Sicherheitsmaßnahmen beispielsweise die über ein öffentliches IP-Netz, wie etwa das Internet, aber grundsätzlich auch die über firmeninterne Netze zwischen dem Client-Gerät und einem Feldgerät übermittelten Daten gefährdet. Ein sicherer Zugriff von einem Client-Gerät auf ein Feldgerät insbesondere beim Austausch sensibler Daten ist daher essentiell.
-
Die Möglichkeit eines transparenten Zugriffs auf die Feldgeräte erfordert, dass Mechanismen der Cyber-Security, wie Authentifizierung und Autorisierung von Benutzern sowie Verschlüsselung der Kommunikation umgesetzt werden. Viele Feldgeräte unterstützen zwar die TCP/IP-Kommunikation, aber nicht die erforderlichen Security-Mechanismen. Ein Grund hierfür ist der Bedarf an Hardware-Ressourcen (Rechenleistung und Speicherbedarf). Feldgeräte haben dabei nur geringe Hardware-Ressourcen (Rechenleistung und Speicher), während Kryptografie ressourcenaufwendig ist.
-
In der Folge ergibt sich bei der aus dem Stand der Technik bekannten Kommunikation zwischen einem Client-Gerät und einem Feldgerät der Nachteil, dass eine direkte TCP/IP-Kommunikation zwischen Client-Geräten im Client-Netzwerk und Feldgeräten entweder nicht oder nur mit erheblichen Einschränkungen der Cyber-Security genutzt werden kann.
-
Der vorliegenden Erfindung liegt die Aufgabe zugrunde, die aus dem Stand der Technik bekannten Nachteile zu überwinden und bei einer insbesondere direkten Kommunikation mit Feldgeräten, etwa mittels TCP-Protokollen, die Anforderungen an die Cyber-Security zu berücksichtigen, ohne die Anforderungen an die Leistungsfähigkeit der Hardware der Feldgeräte zu erhöhen. Insbesondere soll also ein sicherer Zugriff von Clients auf Feldgeräte mit geringen Ressourcen (insbesondere seitens der Feldgeräte) bereitgestellt werden.
-
Die Aufgabe wird erfindungsgemäß durch die Gegenstände der unabhängigen Ansprüche gelöst. Vorteilhafte Ausführungsformen und Weiterbildungen der Erfindung sind Gegenstand der Unteransprüche.
-
Ein erfindungsgemäßes Kommunikationssystem zum Datenaustausch bzw. zur Kommunikation mit einem Feldgerät in der (industriellen) Automatisierungstechnik weist wenigstens ein Feldgerät und wenigstens ein Kommunikationssicherheitsgerät auf, wobei das Feldgerät über ein Feldkommunikations-Netzwerk mit dem Kommunikationssicherheitsgerät zum Austausch von Daten verbindbar und insbesondere (zumindest zeitweise und bevorzugt mindestens während des Kommunikationsvorgangs) verbunden ist, wobei das (wenigstens eine) Kommunikationssicherheitsgerät über (wenigstens) ein Client-Netzwerk mit einem Client-Gerät zum Austausch von gemäß einem (insbesondere vorgegebenen) Verschlüsselungsverfahren verschlüsselten Daten (zumindest zeitweise und bevorzugt mindestens während des Kommunikationsvorgangs) verbindbar ist und wobei das (wenigstens eine) Kommunikationssicherheitsgerät dazu geeignet und bestimmt ist, Daten gemäß dem Verschlüsselungsverfahren zu verschlüsseln und/oder entschlüsseln und/oder (digital) zu signieren. Insbesondere handelt es sich bei dem Verschlüsselungsverfahren um ein kryptografisches Verfahren. Bei dem Client-Netzwerk kann es sich um ein beliebiges Netzwerk handeln, wie etwa ein öffentliches IP-Netz, etwa das Internet, ein firmeninternes Netzwerk und/oder ein Fertigu ngsnetzwerk.
-
Erfindungsgemäß ist in einem Verbindungszustand, in dem das Feldgerät über das Feldkommunikations-Netzwerk mit dem (wenigstens einen) Kommunikationssicherheitsgerät verbunden ist und in dem das Client-Gerät über das Client-Netzwerk mit dem (wenigstens einen) Kommunikationssicherheitsgerät verbunden ist, das Kommunikationssystem zu einer, insbesondere transparenten, Kommunikation zwischen dem Client-Gerät und dem Feldgerät geeignet und bestimmt, bei welcher die Kommunikation über das Client-Netzwerk (bevorzugt wenigstens abschnittsweise und besonders bevorzugt entlang des gesamten Übertragungswegs zwischen dem Client-Gerät und dem Kommunikationssicherheitsgeräts) gemäß dem Verschlüsselungsverfahren verschlüsselt und über das Feldkommunikations-Netzwerk (bevorzugt wenigstens abschnittsweise und besonders bevorzugt entlang des gesamten Übertragungswegs zwischen dem Kommunikationssicherheitsgeräts und dem Feldgerät) bezogen auf das Verschlüsselungsverfahren entschlüsselt und bevorzugt unverschlüsselt oder schwach verschlüsselt erfolgt.
-
Mit anderen Worten erfolgt die Kommunikation des Client-Geräts mit dem Feldgerät über das Kommunikationssicherheitsgerät (beispielsweise die Steuerung oder ein anderes Gerät im (Feldkommunikations-)Netzwerk). Dabei übernimmt das Kommunikationssicherheitsgerät die Security-Funktionen für die Feldgeräte in der Automatisierungstechnik. Dadurch ist es möglich, die Security bei einem transparenten Zugriff auf Feldgeräte ohne zusätzlichen Ressourcenbedarf in den Feldgeräten zu realisieren. Die Konfiguration der Security-Funktionen wird vorteilhaft einfacher und weniger aufwändig, weil sie nicht für jedes Feldgerät separat erfolgen muss.
-
Die vorliegende Erfindung bietet den Vorteil, dass die Vornahme (rechenintensiver) kryptografischer Rechenoperationen von dem Feldgerät bzw. den Feldgeräten ausgelagert wird auf wenigstens ein (insbesondere stationäres) Kommunikationssicherheitsgerät oder eine Vielzahl von Kommunikationssicherheitsgeräten. Die Vertraulichkeit wird insgesamt dadurch gewahrt, dass eine verschlüsselte Kommunikation beispielsweise in einem öffentlich zugänglich oder anderweitig angreifbareren bzw. unsichereren Client-Netzwerk bereitgestellt und insbesondere verwendet werden kann. Bei dem Feldkommunikationsnetzwerk handelt es sich bevorzugt um ein (wenig angreifbares) privates Netzwerk, über welches, insbesondere ohne erhebliche Einschränkung der Datensicherheit, ohne Kryptografie kommuniziert werden kann.
-
Denkbar ist aber auch, dass die Kommunikation zwischen dem Kommunikationssicherheitsgerät und dem Feldgerät über das Feldkommunikations-Netzwerk ebenfalls nicht unverschlüsselt, sondern gemäß einem weiteren, von dem Verschlüsselungsverfahren entlang des Client-Netzwerks verschiedenen Verschlüsselungsverfahren verschlüsselt erfolgt. Im Nachfolgenden wird dies insbesondere als schwach verschlüsselt bezeichnet. Bei diesem weiteren Verschlüsselungsverfahren kann es sich bevorzugt um ein im Vergleich zu dem entlang des Client-Netzwerks eingesetzten Verschlüsselungsverfahren um ein weniger ressourcenaufwändiges Verschlüsselungsverfahren handeln, bei welchem die kryptographischen Rechenoperationen weniger rechenintensiv sind. Denkbar ist auch, dass das Kommunikationssicherheitsgerät die insbesondere entschlüsselten Daten mit einer digitalen Signatur (mittels eines kryptographischen Verfahrens) versieht und an das Feldgerät digital signiert übermittelt.
-
Generell kann daher (auch im Nachfolgenden) alternativ zu einer unverschlüsselten Kommunikation zwischen dem Kommunikationssicherheitsgerät und dem Feldgerät über das Feldkommunikations-Netzwerk eine schwach verschlüsselte Kommunikation erfolgen. In diesem Fall unterstützt das Feldgerät bevorzugt lediglich eine schwache Verschlüsselung (eine solche ist besser als eine unverschlüsselte Kommunikation, aber dennoch zu schwach) und daher wird das Kommunikationssicherheitsgerät vorgeschaltet, welches eine sichere Verschlüsselung durchsetzt. In dieser alternativen Ausführungsform ist die Kommunikation zwischen dem Sicherheitsgerät und dem Feldgerät nicht zwingend immer unverschlüsselt.
-
Bevorzugt handelt es sich um eine direkte (und/oder transparente) Kommunikation zwischen dem Client-Gerät und dem Feldgerät. Bevorzugt steuert (und/oder spricht) das Client-Gerät das Feldgerät direkt an. Unter einer Kommunikation zwischen dem Client-Gerät und dem Feldgerät wird insbesondere auch ein Zugriff des Client-Geräts auf das Feldgerät verstanden. Bevorzugt sind die Kommunikationspartner der Kommunikation das Client-Gerät und das Feldgerät. Bevorzugt adressiert das Client-Gerät im Rahmen der Kommunikation mit dem Feldgerät das Feldgerät. Bevorzugt weist das Datenziel der von dem Client-Gerät übermittelten Daten das Feldgerät bzw. eine für die Adresse des Feldgeräts (insbesondere nicht des Kommunikationssicherheitsgeräts) charakteristische Angabe auf. Denkbar ist dabei, dass die von dem Kommunikationssicherheitsgerät entschlüsselten und/oder verschlüsselten Daten der Kommunikation auf diesem nicht (zumindest nicht permanent) oder lediglich temporär in einer Speichereinrichtung abgelegt werden. Bevorzugt werden die auf dem Feldgerät empfangenen, im Rahmen der Kommunikation übermittelten Daten (permanent) in einer Speichereinrichtung abgelegt.
-
Bevorzugt weist das Kommunikationssystem eine Vielzahl an Feldgeräten auf. Bevorzugt ist mit mehr als einem und besonders bevorzugt ist mit jedem dieser Feldgeräte eine obig erfindungsgemäß beschriebene oder bevorzugt ausgestaltete Kommunikation mit einem Client-Gerät möglich. Bei dem Feldgerät und den Feldgeräten kann es sich um ein beliebiges Gerät, insbesondere aus der Industrie- und Prozessautomation, zum Beobachten, Messen, Steuern und/oder Regeln verschiedenster physikalischer Größen handeln. Beispielsweise kann das Feldgerät ausgewählt sein aus einer Gruppe, die Antriebe, Sensoren, Aktoren und dergleichen enthält.
-
Bevorzugt stellt das (wenigstens eine) Kommunikationssicherheitsgerät eine Schnittstelle zwischen dem Feldkommunikations-Netzwerk, über welches das Feldgerät mit dem Kommunikationssicherheitsgerät (bzw. den Kommunikationssicherheitsgeräten) verbunden ist, und dem Client-Netzwerk dar, über welches ein Client-Gerät mit dem (den) Kommunikationssicherheitsgerät(en) zur verschlüsselten Kommunikation verbindbar ist. Bevorzugt ist das Client-Netzwerk ausschließlich über das (die) Kommunikationssicherheitsgerät(e) mit dem Feldkommunikations-Netzwerk verbindbar. Bevorzugt handelt es sich bei dem Client-Netzwerk und dem Feldkommunikationsnetzwerk um voneinander verschiedene Netzwerke.
-
Bevorzugt kann es sich bei dem Client-Netzwerk und dem Feldkommunikationsnetzwerk um wenigstens zwei verschiedene physikalische oder logische Netze handeln, welche insbesondere über (wenigstens) das Kommunikationssicherheitsgerät miteinander gekoppelt sind. Über das Client-Netzwerk und/oder das Feldkommunikations-Netzwerk ist bevorzugt eine verbindungslose (IP-)Kommunikation möglich, wobei auch eine verbindungsorientierte (IP- ) Kommunikation denkbar ist. Bevorzugt unterscheiden sich das Client-Netzwerk und das Feldkommunikationsnetzwerk durch wenigstens ein Protokoll, auf dem die jeweilige Datenübertragung basiert.
-
Bevorzugt erfolgt die Kommunikation zwischen dem Client-Gerät und dem Kommunikationssicherheitsgerät (über das Client-Netzwerk) wenigstens abschnittsweise drahtgebunden und/oder wenigstens abschnittsweise drahtlos (und bevorzugt vollständig drahtgebunden oder drahtlos). Bevorzugt erfolgt die Kommunikation zwischen dem Feldgerät und dem Kommunikationssicherheitsgerät (über das Feldkommunikations-Netzwerk) wenigstens abschnittsweise drahtgebunden und/oder wenigstens abschnittsweise drahtlos (und bevorzugt vollständig drahtgebunden oder drahtlos).
-
Bevorzugt erfolgt die Kommunikation zwischen dem Client-Gerät und dem Kommunikationssicherheitsgerät mittels einer Ende-zu-Ende-Verschlüsselung.
-
In einer vorteilhaften Ausführungsform erfolgt die Kommunikation, insbesondere eine direkte Kommunikation, zwischen dem Client-Gerät und dem Feldgerät basierend auf mindestens einem und bevorzugt genau einem (insbesondere Standard-) Protokoll der Netzwerk-Protokollfamilie (z.B. WIFI, WLAN, Bluetooth, Ethernet, 5G), beispielsweise Ethernet-Protokollfamilie, bevorzugt der IP-Protokollfamilie und insbesondere der TCP/IP-Protokollfamilie und/oder auf einem UDP/IP-Protokoll. Bevorzugt ermöglicht dabei das Feldkommunikations-Netzwerk einen Zugriff auf das Feldgerät mittels einem Standard-Protokoll der TCP/IP-Protokollfamilie und/oder eines UDP/IP-Protokolls. Bevorzugt ist das Kommunikationssystem dazu eingerichtet, geeignet und bestimmt, einen Zugriff von Client-Geräten in dem Client-Netzwerk auf das Feldgerät oder auf die (insbesondere auf alle) Feldgeräte mittels Standard-Protokollen via Weiterleitung der TCP/IP-Kommunikation oder UDP/IP-Kommunikation durch das Kommunikationssicherheitsgerät transparent an die Feldgeräte zu ermöglichen bzw. bereitzustellen.
-
Bevorzugt leitet das Kommunikationssicherheitsgerät die im Rahmen der Kommunikation zwischen dem Client-Gerät und dem Feldgerät zu übermittelnden - und bevorzugt auf einem TCP/IP-Protokoll und/oder einem UDP/IP-Protokoll basierende - Datenpakete, insbesondere transparent weiter.
-
In einer weiter vorteilhaften Ausführungsform nimmt das Kommunikationssicherheitsgerät an der Kommunikation zwischen dem Client-Gerät und dem Feldgerät wenigstens eine Sicherheitsmaßnahme vor, die ausgewählt ist aus der Gruppe, die eine Datenverschlüsselung der Kommunikation, Datenentschlüsselung der Kommunikation, Authentifizierung eines Benutzers und Autorisierung eines Benutzers sowie Kombinationen hieraus umfasst. Damit wird vorteilhaft wenigstens eine und bevorzugt werden mehrere Sicherheitsmaßnahmen von dem Feldgerät auf das (wenigstens eine und bevorzugt auf mehrere) Kommunikationssicherheitsgerät delegiert.
-
Bevorzugt ist das Kommunikationssystem und insbesondere das Kommunikationssicherheitsgerät derart konfiguriert (und dazu geeignet und bestimmt), wenigstens ein virtuelles Abbild des Feldgeräts bzw. (jeweils) ein virtuelles Abbild einer Vielzahl von Feldgeräten zu erzeugen. Bevorzugt kann das Kommunikationssystem und insbesondere das Kommunikationssicherheitsgerät eine virtuelle Repräsentanz eines (oder mehrerer) Feldgeräte erzeugen. Wie obig beschrieben, ist das Kommunikationssystem und insbesondere das Kommunikationssicherheitsgerät dazu geeignet und bestimmt, die Autorisierung, Authentifizierung und weitere Security-Maßnahmen (wie Verschlüsselung) zu übernehmen.
-
Bevorzugt werden die Felddaten eines Sensors durch das Feldgerät bereitgestellt, wohingegen insbesondere bevorzugt die reinen Nutzdaten und/oder Prozessdaten (durch das Sicherheitssystem bzw. das Kommunikationssystem, insbesondere durch das Kommunikationssicherheitsgerät) unverändert bleiben. Bevorzugt ist das Kommunikationssystem und insbesondere das Kommunikationssicherheitsgerät derart eingerichtet und dazu geeignet und bestimmt, zu entscheiden (oder festzulegen), ob sich das Client-Gerät mit dem Feldgerät verbinden darf und welche (Zugriffs-) Rechte dieser erhält. Das Client-Gerät darf sodann auf bestimmte Daten bei dem Feldgerät zugreifen. Bevorzugt legt das Kommunikationssystem und insbesondere das Kommunikationssicherheitsgerät fest, auf welche Daten das (bzw. ein) Client-Gerät bei dem Feldgerät zugreifen darf.
-
Bevorzugt weist das Kommunikationssystem und insbesondere das Kommunikationssicherheitsgerät wenigstens eine Datenbank auf, in der abgelegt ist (und/oder welche zu deren Speicherung vorgesehen ist), auf welche Daten des (bzw. eines vorgegebenen) Feldgeräts das (insbesondere jedes vorgegebene) Client-Gerät zugreifen darf (und insbesondere wie bzw. auf welche Weise ein Zugriff erfolgen darf). Dabei kann die Art von Zugriffsrechten festgelegt sein. Bevorzugt weist das Kommunikationssystem und insbesondere das Kommunikationssicherheitsgerät wenigstens eine Datenbank auf, in der abgelegt ist, auf welche Daten des Feldgeräts bzw. eines (vorgegebenen) Feldgeräts das (insbesondere jedes vorgegebene) Client-Gerät nicht zugreifen darf. Bei den Daten des Feldgeräts handelt es sich dabei insbesondere um Daten, welche durch das Feldgerät bereitgestellt wurden bzw. werden. Bevorzugt ist in der Datenbank (des Kommunikationssystems und insbesondere des Kommunikationssicherheitsgerät) wenigstens eine Funktion eines Feldgeräts abgebildet und bevorzugt sind mehrere und besonders bevorzugt sind alle Funktionen eines Feldgeräts (mehrere Funktionen einer Vielzahl von Feldgeräten) abgebildet.
-
In einer weiter vorteilhaften Ausführungsform ist zur Kommunikation über das Client-Netzwerk zwischen dem Client-Gerät und dem Feldgerät ein Kommunikationsprotokoll verwendbar, das ausgewählt ist aus einer Gruppe, welche OPC UA, http und andere Kommunikationsprotokolle umfasst. Zur verschlüsselten Kommunikation kann beispielsweise TLS, SSH, IPsec, WPA2, WPA3 und/oder ein anderes Verschlüsselungsprotokoll verwendet werden.
-
Denkbar ist, dass das Kommunikationssystem und insbesondere das Kommunikationssicherheitsgerät dazu geeignet und bestimmt ist, eine Verschlüsselung und/oder Entschlüsselung gemäß wenigstens zwei verschiedenen und insbesondere gemäß mehreren (kryptografischen) Verschlüsselungsverfahren vorzunehmen. Bevorzugt ist das Verschlüsselungsverfahren, insbesondere durch einen Kommunikationspartner, wählbar und/oder vorgebbar. Möglich ist aber auch, dass die Wahl des Verschlüsselungsverfahrens beim Feldgerät von dem Anwender des Client-Geräts nicht vorgenommen werden kann.
-
In einer weiter vorteilhaften Ausführungsform handelt es sich bei dem Kommunikationssicherheitsgerät um eine Steuerung des Feldgeräts und insbesondere um eine Steuerung einer Vielzahl von Feldgeräten. Bevorzugt ist das Kommunikationssicherheitsgerät Teil einer Steuerung eines (industriellen) Automatisierungsprozesses. Bevorzugt ist das Kommunikationssicherheitsgerät dazu geeignet und bestimmt, basierend auf wenigstens einer von einem Feldgerät übermittelten Größe eine Steuerung und/oder Regelung eines Prozesses vorzunehmen.
-
In einer weiter vorteilhaften Ausführungsform ist das Kommunikationssicherheitsgerät dazu geeignet und bestimmt, die von dem Client-Gerät an das Feldgerät zu übermittelnden, verschlüsselten Daten zu entschlüsseln und die, insbesondere ausschließlich, entschlüsselten Daten (bezogen auf das Verschlüsselungsverfahren) und bevorzugt unverschlüsselte oder schwach verschlüsselte Daten an das Feldgerät (unmittelbar), insbesondere ohne eine weitere Anwendung und/oder Operation an den Daten auszuführen, weiterzuleiten.
-
Bevorzugt ist das Kommunikationssystem derart eingerichtet und dazu geeignet und bestimmt, dass eine Akzeptanz der Kommunikation (bzw. eine erfolgreiche Authentifizierung) bzw. dessen Benutzers (Client-Gerät) insbesondere durch das Kommunikationssicherheitsgerät eine Weiterleitung der (durch das Kommunikationssicherheitsgerät) entschlüsselten (und insbesondere unverschlüsselten oder schwach verschlüsselten) Daten an das Feldgerät veranlasst. Bevorzugt erfolgt dabei eine 1:1-Weiterleitung der entschlüsselten (und insbesondere unverschlüsselten oder schwach verschlüsselten) Daten. Bevorzugt nimmt das Kommunikationssicherheitsgerät die Weiterleitung des (entschlüsselten) Klartexts der von dem Client-Gerät an das Feldgerät zu übermittelnden Daten (und verschlüsselt an das Kommunikationssicherheitsgerät übermittelten Daten) vor. Dies bietet den Vorteil, dass keine (weitere) Entschlüsselung der an das Feldgerät übermittelnden Daten bzw. Kommunikation mehr vorgenommen werden muss. Bevorzugt nimmt das Kommunikationssicherheitsgerät ausschließlich eine Entschlüsselung der empfangenen, verschlüsselten Daten, aber keine weitere Bearbeitung und/oder (inhaltliche) Änderung der Daten vor. Vorteilhaft erreichen die von dem Client-Gerät ausgesandten bzw. übertragenen Daten zwar entschlüsselt, aber ansonsten unverändert das Feldgerät.
-
In einer weiter vorteilhaften Ausführungsform wird, insbesondere bei Zugriff auf das Feldgerät durch das Client-Gerät, eine Authentifizierung des Benutzers der Kommunikation, insbesondere des Client-Geräts, bevorzugt ausschließlich, durch das Kommunikationssicherheitsgerät vorgenommen.
-
Mit anderen Worten erfolgt bevorzugt eine Authentifizierung des Client-Geräts an dem Kommunikationssicherheitsgerät und insbesondere an der Steuerung. Bevorzugt ist keine Authentifizierung des Benutzers am Feldgerät erforderlich. Insbesondere erfolgt keine Authentifizierung der übermittelten Daten bzw. des Benutzers der Kommunikation (Client-Gerät) am Feldgerät.
-
Möglich ist auch, dass das Feldgerät (nur) eine schwache Authentifizierung und/oder Autorisierung unterstützt. In diesem Fall übernimmt das Kommunikationssicherheitsgerät bevorzugt eine Authentifizierung und/oder Autorisierung des Benutzers der Kommunikation (Client-Gerät) am Feldgerät.
-
Bevorzugt erfolgt eine Entschlüsselung der an das Kommunikationssicherheitsgerät von dem Client-Gerät übermittelten Daten (durch das Kommunikationssicherheitsgerät) und eine Datenweiterleitung der entschlüsselten Daten an das Feldgerät erst nach Akzeptanz der Verbindung bzw. erst nach akzeptierter Authentifizierung des Benutzers (bzw. des Client-Geräts).
-
Bevorzugt erfolgt eine Authentifizierung des Benutzers an dem Kommunikationssicherheitsgerät und besonders bevorzugt wird eine Autorisierung des Benutzers an dem Kommunikationssicherheitsgerät vorgenommen. Alternativ erfolgt eine Authentifizierung des Nutzers am Feldgerät (insbesondere auf der Datenbasis, die im Feldgerät vorliegt) und die Autorisierung am Kommunikationssicherheitsgerät. Denkbar ist aber auch, dass eine Authentifizierung und Autorisierung des Benutzers an dem (bzw. an wenigstens einem) Kommunikationssicherheitsgerät erfolgt. Dies bietet den Vorteil, dass auch eine Autorisierung delegiert werden kann, was zu einer weiteren Ressourcen-Schonung auf Seiten des Feldgeräts führt. Bevorzugt erfolgt bei Vornahme einer Autorisierung des Benutzers (Client-Geräts) an einem Kommunikationssicherheitsgerät keine Autorisierung des Benutzers an dem Feldgerät.
-
Entsprechend einer bevorzugten Ausführungsform ist das Kommunikationssystem derart eingerichtet, dass die Security-Funktion delegiert wird und insbesondere das Feldgerät die Security auf ein anderes Gerät (Kommunikationssicherheitsgerät) delegiert. Wenn der Anwender eines Client-Geräts mit einem Feldgerät kommunizieren möchte, meldet er sich unter Verwendung eines sicheren Kommunikationsprotokolls (z. B. als Kommunikationsprotokoll OPC UA, http und zur Verschlüsselung beispielsweise TLS, SSH, IPsec, WPA2, WPA3 und/oder ein anderes Verschlüsselungsprotokoll) bei der Steuerung (bzw. dem Kommunikationssicherheitsgerät) an. Das Client-Gerät kommuniziert verschlüsselt mit der Steuerung (bzw. dem Kommunikationssicherheitsgerät) und authentifiziert sich bei der Steuerung (bzw. dem Kommunikationssicherheitsgerät). Die Steuerung (bzw. das Kommunikationssicherheitsgerät) akzeptiert die Verbindung und leitet die Kommunikation 1-zu-1, aber bevorzugt unverschlüsselt oder schwach verschlüsselt, zum Feldgerät weiter. Eine erneute Authentifizierung wird vorteilhaft nicht mehr benötigt. Bei der Übermittlung der Daten vom Feldgerät an das Client-Gerät erfolgt die Kommunikation auf der Strecke zwischen Feldgerät und Steuerung (bzw. Kommunikationssicherheitsgerät) unverschlüsselt oder schwach verschlüsselt. Die Steuerung (bzw. das Kommunikationssicherheitsgerät) ergänzt das Verschlüsselungsprotokoll für die Kommunikation mit dem Client-Gerät.
-
In einer weiter vorteilhaften Ausführungsform ist das Kommunikationssystem dazu geeignet und bestimmt und insbesondere dazu eingerichtet, dass, bevorzugt für die von dem Feldgerät ausgehende Kommunikation mit dem Client-Gerät, eine Verschlüsselung der unverschlüsselten oder schwach verschlüsselten, von dem Feldgerät an das Client-Gerät zu übermittelnden Daten durch das Kommunikationssicherheitsgeräts anhand des Verschlüsselungsverfahrens erfolgt.
-
Grundsätzlich möglich wäre zusätzlich auch, dass das Kommunikationssicherheitsgerät, insbesondere ohne Authentifizierung des Benutzers der Kommunikation, die entschlüsselte Kommunikation an das Feldgerät weiterleiten kann.
-
In einer weiter vorteilhaften Ausführungsform nimmt das Feldgerät eine Authentifizierung und/oder Autorisierung des Benutzers der Kommunikation vor, insbesondere nach Entschlüsselung der Kommunikation durch das Kommunikationssicherheitsgerät und Weiterleitung an das Feldgerät.
-
In einer weiter vorteilhaften Ausführungsform ist das Kommunikationssicherheitsgerät dazu geeignet und bestimmt, eine Identifizierung des Feldgeräts basierend auf (wenigstens) einem Identifier vorzunehmen, mittels welchem das Client-Gerät das Feldgerät verschlüsselt angesprochen hat.
-
Bevorzugt ist das Kommunikationssicherheitsgerät dazu geeignet und bestimmt, aus dem Identifier das Ziel der Kommunikation abzuleiten und insbesondere den Kommunikationspartner des Client-Geräts abzuleiten. Bevorzugt ist das Kommunikationssicherheitsgerät dazu geeignet und bestimmt, durch einen Vergleich, insbesondere mit einer Liste, anhand des Identifiers festzustellen, an welchen Empfänger und insbesondere an welches Feldgerät die, insbesondere (durch das Kommunikationssicherheitsgerät) entschlüsselten (aber ansonsten unverändert und insbesondere 1:1) Daten zu übermitteln und insbesondere weiterzuleiten sind.
-
Bevorzugt führt das Kommunikationssicherheitsgerät ein Mapping zwischen dem Identifier und der realen Netzwerkadresse des Feldgeräts durch und bevorzugt leitet das Kommunikationssicherheitsgerät die Kommunikation im Wesentlichen 1-zu-1 (und/oder im Wesentlichen unverändert), aber bezogen auf das Verschlüsselungsverfahren entschlüsselt an das (Ziel- ) Feldgerät weiter. In dem Kommunikationssicherheitsgerät ist bevorzugt eine Mapping Adresse zwischen Identifier und realer Adresse des Feldgeräts hinterlegt bzw. abgelegt.
-
Bevorzugt ist das Kommunikationssystem dazu eingerichtet und insbesondere ist das Feldgerät dazu geeignet und bestimmt, nach Empfang der durch das Kommunikationssicherheitsgerät weitergeleiteten, entschlüsselten Kommunikation die Authentifizierung und/oder Autorisierung durchzuführen.
-
Bei dem Identifier kann es sich dabei um eine Identifizierungsangabe (und/oder einen Identifizierungswert), anhand der (bzw. anhand dem) das (beabsichtigte) (Empfänger-) Feldgerät, insbesondere also der Kommunikationspartner des Client-Geräts, insbesondere durch das Kommunikationssicherheitsgerät, eindeutig zuordenbar und/oder eindeutig identifizierbar ist, handeln. Bevorzugt ist der Identifier, insbesondere ist die Identifizierungsangabe, charakteristisch für eine Netzwerkadresse des Feldgeräts. Bevorzugt ist der Identifier, insbesondere ist die Identifizierungsangabe, charakteristisch für eine IP(-Adresse) des Kommunikationssicherheitsgeräts (insbesondere der Steuerung) und/oder für einen TCP-Port und/oder einen UDP-Port und/oder ein anderes Protokoll, das diesen Dienst bereitstellt. Bevorzugt kann der Identifier (insbesondere die Identifizierungsangabe) für ein Feldgerät, insbesondere für ein Feldgerät mit unverschlüsseltem (oder schwach verschlüsseltem) OPC UA-Server (alternativ auch http als Kommunikationsprotokoll), die IP(-Adresse) des Kommunikationssicherheitsgeräts und/oder den TCP-Port (des Feldgeräts) und/oder einen UDP-Port (des Feldgeräts) und/oder ein anderes Protokoll, das diesen Dienst bereitstellt, umfassen und besonders bevorzugt aus der IP(-Adresse) des Kommunikationssicherheitsgeräts und/oder dem TCP-Port (des Feldgeräts) und/oder einem UDP-Port (des Feldgeräts) und/oder einem anderen Protokoll, das diesen Dienst (bezogen auf das Feldgerät) bereitstellt, bestehen.
-
Entsprechend einer weiteren, bevorzugten Ausführungsform ist das Kommunikationssystem dazu eingerichtet, sowie dazu geeignet und bestimmt, dass die Security-Funktionen teilweise delegiert werden. Insbesondere kann das Feldgerät authentifizieren, aber nicht verschlüsseln. Bevorzugt spricht das Client-Gerät das Feldgerät mittels eines Identifiers verschlüsselt an. Die Steuerung (bzw. das Kommunikationssicherheitsgerät) führt bevorzugt ein Mapping zwischen dem Identifier und der realen Netzwerkadresse des Feldgeräts durch und leitet besonders bevorzugt die Kommunikation 1-zu-1, aber ohne Verschlüsselung und insbesondere entschlüsselt weiter. Das Feldgerät führt die Authentifizierung und bevorzugt die Autorisierung durch. In der Steuerung (bzw. in dem Kommunikationssicherheitsgerät) ist bevorzugt eine Mapping-Adresse zwischen Identifier und realer Adresse des Feldgeräts hinterlegt. Bevorzugt kann der Identifier für ein Feldgerät mit insbesondere unverschlüsseltem (oder schwach verschlüsseltem) OPC UA Server (alternativ auch http als Kommunikationsprotokoll) aus der IP-Adresse der Steuerung (bzw. des Kommunikationssicherheitsgeräts) und einem TCP-Port und/oder einem UDP-Port und/oder einem beliebig anderen Protokoll, das diesen Dienst bereitstellt, bestehen. Bevorzugt weist das Kommunikationssicherheitsgerät eine Speichereinrichtung auf und/oder hat Zugriff auf eine Speichereinrichtung, in der eine Zuordnung des Identifiers und des Kommunikationspartners, bevorzugt des (Ziel- ) Feldgeräts, bevorzugt der (aktuellen und insbesondere realen) Netzwerkadresse des Feldgeräts abgelegt und abrufbar ist.
-
In einer weiter vorteilhaften Ausführungsform ist das Kommunikationssystem zu einem echtzeitfähigen und/oder zyklischen Datenaustausch zwischen dem Feldgerät, insbesondere zwischen einer Vielzahl von Feldgeräten, und dem Kommunikationssicherheitsgerät über das Feldkommunikations-Netzwerk eingerichtet und bestimmt. Bevorzugt ist das Kommunikationssystem zu einem echtzeitfähigen und/oder zyklischen Datenaustausch zwischen wenigstens zwei und bevorzugt zwischen allen Feldgeräten des Kommunikationssystems geeignet und bestimmt.
Bevorzugt weist das Feldkommunikations-Netzwerk (wenigstens und besonders bevorzugt genau) einen Feldbus auf. Zusätzlich oder alternativ könnte das Feldkommunikations-Netzwerk auch aus Komponenten bestehen, die über Ethernet-basierte Protokolle, echtzeitfähige Protokolle, drahtlose Protokolle oder ähnliche Protokolle kommunizieren. Bevorzugt weist das Feldkommunikations-Netzwerk ein übergeordnetes Steuerungssystem auf, in dem Daten ausgewertet und/oder zur Regelung, Steuerung und/oder weiteren Verarbeitung verwendet werden (etwa Visualisierung und Anzeige der Daten oder hiervon abgeleiteter Größen).
-
Bevorzugt sind oder werden in einem Betriebszustand des Kommunikationssystems, in dem insbesondere das Feldgerät im Rahmen eines Automatisierungsprozesses eingesetzt ist, Daten zwischen dem Feldgerät und dem Kommunikationssicherheitsgerät ausgetauscht. Denkbar ist, dass während des Betriebszustands des Kommunikationssystems keine Datenverbindung zwischen dem Client-Gerät und dem Kommunikationssicherheitsgerät besteht.
-
Bevorzugt weist das Kommunikationssystem einen von dem Betriebszustand verschiedenen Kalibrierzustand auf, in dem bevorzugt der Automatisierungsprozess unterbrochen oder angehalten ist bzw. kein Automatisierungsprozess abläuft. Bevorzugt ist in dem Kalibrierzustand das Client-Gerät mit dem Kommunikationssicherheitsgerät über das Client-Netzwerk zum Datenaustausch verbunden.
-
Bevorzugt handelt es sich bei dem Feldgerät und dem Kommunikationssicherheitsgerät um voneinander verschiedene Geräte, die beispielsweise jeweils eine separate, voneinander verschiedene Speichereinrichtung und/oder Prozessoreinrichtung und/oder ein separates, voneinander verschiedenes Gehäuse aufweisen und welche bevorzugt räumlich voneinander beabstandet sind. Bevorzugt weisen das Client-Gerät und das Feldgerät und bevorzugt weisen das Client-Gerät und die (alle) Feldgeräte ein jeweils voneinander verschiedenes und bevorzugt separates Gehäuse auf. Bei dem Feldgerät kann es sich um ein stationäres und/oder mobiles und/oder tragbares und/oder ein mit der Umgebung wechselwirkendes Gerät (wie etwa auf optischem/mechanischen Wege wie bei einem Sensor, Motor etc.) handeln.
-
Die vorliegende Erfindung ist weiterhin gerichtet auf ein Verfahren zur Kommunikation eines Client-Geräts mit wenigstens einem Feldgerät in der (industriellen) Automatisierungstechnik, wobei das Feldgerät über ein Feldkommunikations-Netzwerk mit einem Kommunikationssicherheitsgerät zum Austausch von Daten (zumindest zeitweise und bevorzugt zumindest während des gesamten Kommunikationsvorgangs) verbunden ist und das Kommunikationssicherheitsgerät über ein Client-Netzwerk mit dem Client-Gerät zum Austausch von gemäß einem Verschlüsselungsverfahren verschlüsselten Daten zumindest zeitweise verbunden (bevorzugt zumindest während des gesamten Kommunikationsvorgangs) ist, wobei das Kommunikationssicherheitsgerät dazu geeignet und bestimmt ist, Daten gemäß dem Verschlüsselungsverfahren zu verschlüsseln und/oder entschlüsseln und/oder Daten (digital) zu signieren.
-
Erfindungsgemäß erfolgt eine insbesondere transparente, Kommunikation zwischen dem Client-Gerät und dem Feldgerät derart, dass die Kommunikation über das Client-Netzwerk verschlüsselt und über das Feldkommunikations-Netzwerk bezogen auf das Verschlüsselungsverfahren entschlüsselt, und bevorzugt unverschlüsselt oder schwach verschlüsselt, erfolgt.
-
Zur verschlüsselten Kommunikation kann beispielsweise TLS, SSH, IPsec, WPA2, WPA3 und/oder ein anderes Verschlüsselungsprotokoll verwendet werden.
-
Dabei kann das Verfahren ausgestattet sein mit allen obig im Zusammenhang mit dem Kommunikationssystem beschriebenen Merkmalen, insbesondere Verfahrensschritten, einzeln oder in Kombination miteinander. Umgekehrt ist bevorzugt das Kommunikationssystem dazu geeignet und bestimmt, eine oder mehrere im Rahmen der Ausführungsformen des Verfahrens beschriebene Verfahrensschritte auszuführen.
-
Es wird also auch im Rahmen des erfindungsgemäßen Verfahrens vorgeschlagen, die Security-Maßnahmen wenigstens teilweise auf ein weiteres, von dem (empfangenden) Feldgerät verschiedenes Gerät zu delegieren. Obwohl das Feldgerät das Datenziel der Kommunikation bzw. Empfänger der von dem Client-Gerät übermittelten, gemäß dem Verschlüsselungsverfahren verschlüsselten Daten ist, führt das Feldgerät die Entschlüsselung der verschlüsselten Daten nicht (selbst) durch, sondern anstelle des Feldgeräts nimmt das Kommunikationssicherheitsgerät die Entschlüsselung gemäß dem Verschlüsselungsverfahren vor. Dies bietet den Vorteil, dass rechenintensive Verfahrensschritte, die für einen Entschlüsselungsvorgang vorgenommen werden müssen, nicht auf dem Feldgerät durchgeführt werden müssen, sondern auf ein physikalisch anderes Gerät ausgelagert werden können. Hierdurch kann bei ausreichender Berücksichtigung von Cyber-Security gleichzeitig ein geringer Hardware-Bedarf bei dem Feldgerät realisiert werden.
-
Weiter umfasst bevorzugt das Verfahren eine Delegation der Authentifizierung und/oder Autorisierung des Benutzers der Kommunikation auf das Kommunikationssicherheitsgerät. Denkbar ist aber auch, dass das Feldgerät die Autorisierung selbst vornimmt, während die Authentifizierung durch das Kommunikationssicherheitsgerät vorgenommen wird. In einem weiter bevorzugten Verfahren nimmt das Feldgerät sowohl die Authentifizierung als auch die Autorisierung des Benutzers (selbst) vor.
-
Denkbar ist auch, dass das Kommunikationssicherheitsgerät die, insbesondere entschlüsselten, Daten mit einer digitalen Signatur (mittels eines kryptographischen Verfahrens) versieht und digital signiert an das Feldgerät übermittelt.
-
Eine vorteilhafte Ausführungsform des Verfahrens bei Kommunikation (eines Anwenders) eines Client-Geräts mit dem Feldgerät, insbesondere bei Zugriff eines Client-Geräts auf ein Feldgerät, umfasst wenigstens einen, bevorzugt mehrere und besonders bevorzugt alle der, bevorzugt in der angegebenen Reihenfolge (nacheinander oder gleichzeitig) ausgeführten, folgenden Verfahrensschritte:
- - Insbesondere direktes und/oder transparentes Ansprechen des Feldgeräts durch das Client-Gerät unter Verwendung eines Kommunikationsprotokolls, wie z. B. OPC UA, http, bei dem Kommunikationssicherheitsgerät (besonders bevorzugt bei der Steuerung). Bevorzugt wird zur Verschlüsselung beispielsweise TLS, SSH, IPsec, WPA2, WPA3 und/oder ein anderes Verschlüsselungsprotokoll verwendet. Denkbar ist auch ein Anmelden (des Client-Geräts) unter Verwendung eines Kommunikationsprotokolls, wie z.B. OPC UA, http, bei dem Kommunikationssicherheitsgerät (besonders bevorzugt bei der Steuerung). Dabei wird bevorzugt zur Verschlüsselung beispielsweise TLS, SSH, IPsec, WPA2, WPA3 und/oder ein anderes Verschlüsselungsprotokoll verwendet;
- - Verschlüsselte Kommunikation des Client-Geräts mit dem Kommunikationssicherheitsgerät (besonders bevorzugt mit der Steuerung);
- - Authentifizierung des Client-Geräts bei dem Kommunikationssicherheitsgerät (besonders bevorzugt bei der Steuerung);
- - Nach Akzeptanz der Authentifizierung durch das Kommunikationssicherheitsgerät (besonders bevorzugt durch die Steuerung) leitet dieses die Kommunikation, insbesondere 1:1 und/oder unverändert, aber entschlüsselt und besonders bevorzugt unverschlüsselt oder schwach verschlüsselt zum Feldgerät weiter. Bevorzugt nimmt das Feldgerät keine Authentifizierung vor.
-
Eine vorteilhafte Ausführungsform des Verfahrens bei Kommunikation eines Feldgeräts mit dem Client-Gerät, insbesondere bei einer von dem Feldgerät ausgehenden Datenübermittlung an das Client-Gerät, umfasst wenigstens einige der und bevorzugt alle folgenden Verfah renssch ritte:
- - Übermittlung der unverschlüsselten (oder schwach verschlüsselten) und/oder gemäß dem (vorgegebenen) Verschlüsselungsverfahren unverschlüsselten (oder schwach verschlüsselten) Kommunikation an das Kommunikationssicherheitsgerät (insbesondere die Steuerung);
- - Ergänzen des Verschlüsselungsprotokolls für die Kommunikation mit dem Client-Gerät durch das Kommunikationssicherheitsgerät;
- - Weiterleiten der verschlüsselten Kommunikation durch das Kommunikationssicherheitsgerät an das Client-Gerät.
-
Eine alternative Ausführungsform des Verfahrens bei Kommunikation (eines Anwenders) eines Client-Geräts mit dem Feldgerät, insbesondere bei Zugriff eines Client-Geräts auf ein Feldgerät, umfasst wenigstens einen, bevorzugt mehrere und besonders bevorzugt alle der, insbesondere in der angegebenen Reihenfolge (nacheinander oder gleichzeitig) ausgeführten, folgenden Verfahrensschritte:
- - Verschlüsseltes Ansprechen des Feldgeräts durch das Client-Gerät mittels eines Identifiers. Bevorzugt ist der Identifier charakteristisch für die IP (insbesondere IP-Adresse) des Kommunikationssicherheitsgeräts (insbesondere der Steuerung) und/oder einen TCP-Port und/oder einen UDP-Port und/oder ein anderes Protokoll, das diesen Dienst bereitstellt. Besonders bevorzugt besteht der Identifier für Feldgeräte, insbesondere mit unverschlüsseltem (oder schwach verschlüsseltem) OPC UA-Server (alternativ auch http als Kommunikationsprotokoll), aus der IP(-Adresse) des Kommunikationssicherheitsgeräts (insbesondere der Steuerung) und einem TCP-Port (oder einem UDP-Port oder einem anderen Protokoll, das diesen Dienst bereitstellt);
- - Durchführen eines Mappings zwischen dem Identifier und der realen Netzwerkadresse (des Feldgeräts) durch das Kommunikationssicherheitsgerät. Bevorzugt ist in dem Kommunikationssicherheitsgerät eine Mapping-Adresse zwischen Identifier und realer (Netzwerk- )Adresse des Feldgeräts hinterlegt;
- - Weiterleitung der gemäß dem Verschlüsselungsverfahren entschlüsselten Kommunikation, insbesondere 1:1 und/oder unverändert, durch das Kommunikationssicherheitsgerät an das Feldgerät;
- - Durchführen einer Authentifizierung und/oder Autorisierung durch das Feldgerät.
-
Weitere Vorteile und Ausführungsformen ergeben sich aus der beigefügten Zeichnung: Darin zeigt:
- 1 eine schematische Abbildung eines Kommunikationssystems gemäß einer bevorzugten Ausführungsform der vorliegenden Erfindung.
-
1 zeigt eine schematische Abbildung eines Kommunikationssystems gemäß einer bevorzugten Ausführungsform der vorliegenden Erfindung. Das Bezugszeichen 3 bezieht sich dabei auf Feldgeräte, welche über ein Feldkommunikations-Netzwerk 2 bzw. über ein Netzwerk für die Feldkommunikation mit einem Kommunikationssicherheitsgerät 1, hier einer (Industrie-) Steuerung, kommunizieren. Dabei ermöglicht das Netzwerk für Feldkommunikation 2 bevorzugt einen echtzeitfähigen und/oder zyklischen Datenaustausch mit den Feldgeräten. Bevorzugt ermöglicht das Netzwerk für die Feldkommunikation auch einen Zugriff auf die Feldgeräte 3 mittels Standard-Protokollen der TCP/IP-Protokollfamilie.
-
Damit auf Feldgeräte 3 Zugriffe mittels Standard-Protokollen auch von Client-Geräten 5 im Client-Netzwerk 4, hier im Fertigungsnetzwerk, möglich sind, leitet die (Industrie-)Steuerung 1 hier die TCP/IP-Kommunikation bevorzugt transparent an die Feldgeräte 3 weiter. Die (Industrie-)Steuerung 1 übernimmt hier die Security-Funktionen für die Feldgeräte 3, wodurch die Security ohne zusätzlichen Ressourcenbedarf in den Feldgeräten 3 realisiert werden kann. Beispielsweise kann das Kommunikationssicherheitsgerät bzw. die (Industrie- )Steuerung die Verschlüsselung der Kommunikation und/oder die Authentifizierung des Benutzers und/oder die Autorisierung des Benutzers (Client-Geräts 5) übernehmen. Außerdem ist die Konfiguration der Security-Funktionen einfacher und weniger aufwändig, weil sie nicht für jedes Feldgerät separat erfolgen muss.
-
Die Anmelderin behält sich vor, sämtliche in den Anmeldungsunterlagen offenbarten Merkmale als erfindungswesentlich zu beanspruchen, sofern sie einzeln oder in Kombination gegenüber dem Stand der Technik neu sind. Es wird weiterhin darauf hingewiesen, dass in der Figur auch Merkmale beschrieben wurden, welche für sich genommen vorteilhaft sein können. Der Fachmann erkennt unmittelbar, dass ein bestimmtes in einer Figur beschriebenes Merkmal auch ohne die Übernahme weiterer Merkmale aus dieser Figur vorteilhaft sein kann. Ferner erkennt der Fachmann, dass sich auch Vorteile durch eine Kombination mehrerer in der Figur gezeigter Merkmale ergeben können
