EP2118807A1

EP2118807A1 - Verfahren zum freischalten von funktionen eines feldgerätes und elektrisches feldgerät

Info

Publication number: EP2118807A1
Application number: EP07721917A
Authority: EP
Inventors: Götz NEUMANN
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2007-02-13
Filing date: 2007-02-13
Publication date: 2009-11-18
Also published as: WO2008098529A1; DE112007003458A5

Abstract

Die Erfindung betrifft ein Verfahren zum Freischalten von Funktionen eines Feldgerätes (40,41) , bei dem in einem internen Datenspeicher eines ersten Feldgerätes (40) vorliegende Lizenzdaten (LI) zum Ausgeben der freizuschaltenden Funktionen von dem ersten Feldgerät an ein zweites Feldgerät (41) übermittelt werden. Um ein solches Verfahren so auszubilden, dass die Übermittlung mit vergleichsweise geringem Aufwand bei hoher Sicherheit gegen Ausspionieren oder unbefugtes Kopieren der Lizenzdaten (LI) ermöglicht wird, werden die Lizenzdaten (LI) verschlüsselt und gemeinsam mit einer Schlüsselinformation (KI) an das zweite Feldgerät (41) übermittelt. Die Erfindung betrifft ferner ein entsprechend eingerichtetes elektrisches Feldgerät (40,41) .

Description

Beschreibung

Verfahren zum Freischalten von Funktionen eines Feldgerätes und elektrisches Feldgerät

Die Erfindung betrifft ein Verfahren zum Freischalten von Funktionen eines Feldgerätes, bei dem in einem internen Datenspeicher eines ersten Feldgerätes vorliegende Lizenzdaten von dem ersten Feldgerät an ein zweites Feldgerät übermittelt werden, wobei die Lizenzdaten die freizuschaltenden Funktionen des jeweiligen Feldgerätes derart angeben, dass bei im internen Speicher des jeweiligen Feldgerätes vorliegenden Lizenzdaten die entsprechenden Funktionen des jeweiligen Feldgerätes freigeschaltet werden. Die Erfindung betrifft auch ein entsprechend eingerichtetes elektrisches Feldgerät.

Elektrische Feldgeräte (häufig auch als „Intelligent Electronic Devices" - IEDs bezeichnet) werden üblicherweise in Automatisierungsanlagen zum Steuern und Überwachen automatisierter Prozesse, wie beispielsweise elektrischen Energieversorgungsnetzen zum Übertragen und Verteilen elektrischer Energie eingesetzt. Außerdem werden Feldgeräte auch bei industriellen Fertigungsprozessen, chemischen oder verfahrenstechnischen Produktions- und Umwandlungsprozessen sowie Verteilungsprozesse für Wasser oder Gas verwendet .

Im Falle der elektrischen Energieübertragung und -Verteilung handelt es sich bei dem automatisierten Prozess um ein elektrisches Energieversorgungsnetz mit seinen Primärkomponenten, wie beispielsweise Generatoren, Umrichtern, Transformatoren und elektrischen Energieübertragungsleitungen. Die Automatisierungsanlage für das elektrische Energieversorgungsnetz weist in diesem Fall einerseits elektrische Leitgeräten auf, die im Zusammenwirken mit einer Stationsleitwarte oder einer Netzsteuerleitwarte Funktionen zum Steuern des elektrischen Energieversorgungsnetzes (beispielsweise zum Ein- und Ausschalten von Leistungsschaltern zum Aktivieren von Generatoren) vornehmen. Andererseits umfasst die Automa- tisierungsanlage in diesem Fall auch elektrische Schutzgeräte, die eine Überwachung des Status des elektrischen Energieversorgungsnetzes auf die Einhaltung vorgegebener Betriebsparameter durchführen. Im Falle, dass der Status des elektrische Energieversorgungsnetz außerhalb eines zulässigen Betriebsbereiches liegt, nehmen solche Schutzgeräte automatisch Gegenmaßnahmen, wie das Abschalten bestimmter fehlerbehafteter Abschnitte des elektrischen Energieversorgungsnetzes, vor. Weitere bei der Automatisierung von elektrischen Energieversorgungsnetzen eingesetzte Feldgeräte sind z.B. Po- wer-Quality-Geräte, die die Elektroenergiequalität der von dem elektrischen Energieversorgungsnetz übertragenen elektrischen Energie überwachen.

Heutzutage umfassen elektrische Feldgeräte dieser Art übli- cherweise ein Gehäuse mit Bedien- und Anzeigeelementen sowie Anschlüssen und Schnittstellen, um Daten in das Feldgerät hinein oder aus diesem herauszukommunizieren. Innerhalb des Gehäuses sind üblicherweise Gerätebaugruppen aufgenommen, die zumindest eine Datenverarbeitungseinrichtung in Form bei- spielsweise eines MikroControllers aufweisen, der die Aufgaben und Funktionen des elektrischen Feldgerätes steuert. Hierzu bedient sich die Datenverarbeitungseinrichtung üblicherweise einer speziell auf die Funktionen des elektrischen Feldgerätes zugeschnittenen Gerätesoftware, die die notwendi- gen Datenbanken, Einstellungen, Anweisungen und Befehle enthält, die zur Durchführung der gewünschten Funktionen des elektrischen Feldgerätes notwendig sind. In jüngerer Zeit sind die Hersteller elektrischer Feldgeräte vermehrt dazu übergegangen, elektrische Universalfeidgeräte anzubieten, die durch Maßnahmen in der Gerätesoftware speziell auf die Anforderungen im gewünschten Einsatzgebiet zu- geschnitten werden können, so dass keine entsprechende Vielzahl an elektrischen Feldgeräten unterschiedlicher Funktionsausstattungen produziert und vorgehalten werden muss. Hierzu besitzen solche elektrischen Universalfeidgeräte eine Gerätesoftware, die bereits sämtliche für das Gerät möglichen Funk- tionen umfasst. Diese Funktionen können in der Gerätesoftware je nach Einsatzzweck des Feldgerätes freigeschaltet oder gesperrt werden. Hierzu wirkt die Gerätesoftware mit so genannten Lizenzdaten zusammen, die angeben, welche Gerätefunktionen freigeschaltet und welche gesperrt sein sollen. Ohne sol- che Lizenzdaten befinden sich alle Gerätefunktionen in gesperrtem Zustand, es kann lediglich vorgesehen sein, dass einige Basisfunktionen des Feldgerätes, die zum Einrichten der Lizenzdaten in dem Feldgerät notwendig sind (wie beispielsweise die Ansteuerung von Schnittstellen des Feldgerätes, Ko- pier- und Speicherfunktionen, sowie die Anzeige von Information auf einer ggf. vorhandenen Anzeigeeinrichtung des Feldgerätes) , freigeschaltet sind.

Da sich der Verkaufspreis eines solchen Universalfeldgerätes üblicherweise nach der Anzahl und Komplexität der freigeschalteten Funktionen richtet, kann es durchaus im Interesse des Käufers des Feldgerätes liegen, nicht den vollen Funktionsumfang, sondern lediglich diejenigen Funktionen frei- schalten zu lassen, die das elektrische Feldgerät in seinem Einsatzgebiet tatsächlich ausführen muss.

Beim Kauf eines elektrischen Feldgerätes gibt der Käufer hierzu die von ihm gewünschten Gerätefunktionen an und erhält vom Hersteller des elektrischen Feldgerätes zusätzlich zu dem elektrischen Feldgerät eine Lizenzdatei mit entsprechenden Lizenzdaten, die die freizuschaltenden Funktionen angeben.

Die Tatsache, dass solche Universalfeldgeräte nunmehr gene- rell dazu geeignet sind, je nach freigeschalteten Funktionen alle möglichen Aufgaben erfüllen zu können, erleichtert in erheblichem Maße auch die Produktion und Lagerhaltung der Feldgeräte, da nicht mehrere spezielle Feldgeräte jeweils unterschiedlicher Ausstattung erzeugt und vorgehalten werden müssen. Dies ist insbesondere auch zur Bereitstellung von Ersatzfeldgeräten zum Austausch defekter . Feldgeräte von Vorteil.

Allerdings birgt die Freischaltung von Funktionen eines sol- chen Universalfeldgerätes mittels Lizenzdaten auch die Gefahr einer missbräuchlichen Verwendung der Lizenzdaten zum unerlaubten Ertüchtigen mehrerer Universalfeldgeräte auf den durch die Lizenzdaten angegebenen Funktionsumfang. So könnten die Lizenzdaten einerseits beispielsweise ausspioniert wer- den, um aus diesen ein Schema zum eigenen Erstellen von Lizenzdaten für beliebige FunktionsZusammenstellungen abzuleiten. Andererseits könnte bei frei zugänglichen Lizenzdaten ein Käufer mehrere günstige Feldgeräte mit geringem Funktionsumfang und nur ein teures Feldgerät mit vollem Funk- tionsumfang erwerben und die Lizenzdaten des teuren Feldgerätes kopieren und an die günstigen Feldgeräte verteilen, um diese auf den vollen Funktionsumfang aufzuwerten. Da der Hersteller der Feldgeräte folglich ein berechtigtes Interesse besitzt, dass die Lizenzdaten nicht ausspioniert werden und von den Lizenzdaten keine unzulässigen Kopien angefertigt werden, sind die Lizenzdaten üblicherweise in einem nicht auslesbaren Speicherbereich des Feldgerätes gespeichert oder an das spezielle Feldgerät gebunden (beispielsweise besitzen sie nur für genau eine Seriennummer Gültigkeit) . Auf diese Weise kann ein unbefugtes Aufwerten elektrischer Feldgeräte mit niedrigerem Funktionsumfang durch Ausspionieren der Lizenzdaten oder einfaches Kopieren der Lizenzdaten des Feldgerätes mit vollem Funktionsumfang verhindert werden.

Häufig werden Feldgeräte jedoch in Gegenden eingesetzt, in denen keine Kommunikation mit dem Hersteller des Feldgerätes möglich ist. In solchen Gegenden ist es bisher mit Schwierigkeiten verbunden, in kurzer Zeit ein Ersatzfeldgerät gleichen Funktionsumfangs für ein defektes Feldgerät einer Automatisierungsanlage bereitzustellen. Üblicherweise muss in einem solchen Fall der Betreiber der Automatisierungsanlage eine Kommunikationsverbindung mit dem Hersteller des Feldgerätes aufbauen, um von diesem eine neue Lizenzdatei mit Lizenzdaten zum Freischalten entsprechender Funktionen des Ersatzfeldgerätes zu erhalten. Wie bereits erwähnt, ist dies nicht in allen Gegenden möglich, so dass in diesem Fall die Lizenzdaten auf vergleichsweise langsame Weise, z.B. auf einem Datenträger per Post, übermittelt werden müssen. Handelt es sich bei den Lizenzdaten prinzipiell um eine Folge alphanumerischer Zeichen, könnte diese zwar auch fernmündlich weitergegeben werden, dieses Verfahren ist aber insbesondere bei längeren Zeichenfolgen höchst fehleranfällig.

Daher besteht meist die einzige Möglichkeit zum schnellen

Austausch des defekten Feldgerätes darin, die Lizenzdaten von dem defekten Feldgerät auf das Ersatzfeldgerät zu übertragen. So müssen keine unnötig langen Ausfälle der Automatisierungs- anlage hingenommen werden. Allerdings bietet eine ungesi- cherte Übertragung der Lizenzdaten von dem defekten Feldgerät an das Ersatzfeldgerät die Möglichkeit einer böswilligen Ausspionierung oder eines Kopierens der Lizenzdaten. Um eine sichere Übertragung von Lizenzdaten von einem Feldgerät zu einem anderen Feldgerät zu ermöglichen, schlägt die deutsche Offenlegungsschrift DE 103 -53 499 Al die Verwendung eines so genannten „Dongles" vor. Ein solcher Dongle ist ein Bauteil, in dem Daten vorliegen, die von außen prinzipiell unzugänglich sind. Diese Daten können nur durch eine entsprechende Datenverarbeitungseinrichtung, die zum Auslesen des Dongles eingerichtet ist, gelesen werden. Wird ein solcher Dongle mit einer entsprechenden Schnittstelle der Datenverar- beitungseinrichtung eines Feldgerätes verbunden, so kann die Datenverarbeitungseinrichtung in dem Dongle gespeicherte Lizenzdaten auslesen und dementsprechend Gerätefunktionen frei- schalten. Bei einem Gerätedefekt kann. der Dongle von dem defekten Feldgerät getrennt und mit einem intakten Ersatzfeld- gerät verbunden werden. Die Datenverarbeitungseinrichtung des intakten Ersatzfeldgerätes kann dann auf die Lizenzdaten in dem Dongle zugreifen und die entsprechenden Funktionen des Ersatzfeldgerätes freischalten, während die Funktionen in dem defekten Gerät bei Abwesenheit des Dongles gesperrt werden. Bei einer solchen Vorgehensweise ist immer das Vorhandensein eines entsprechenden Dongles und einer hierfür eingerichteten Schnittstelle an den Feldgeräten erforderlich.

Der Erfindung liegt die Aufgabe zugrunde, die Übertragung von Lizenzdaten von einem ersten an ein zweites Feldgerät zum

Freischalten der Funktionen des zweiten elektrischen Feldgerätes mit vergleichsweise geringem Aufwand bei hoher Sicherheit gegen Ausspionieren oder unbefugtes Kopieren der Lizenzdaten zu ermöglichen.

Diese Aufgabe wird erfindungsgemäß durch ein Verfahren der eingangs genannten Art gelöst, bei dem die folgenden Schritte durchgeführt werden: - Erzeugen einer Schlüsselinformation in dem ersten Feldgerät ;

- Generieren eines Schlüssels unter Verwendung der Schlüssel- Information; - Verschlüsseln der Lizenzdaten in dem ersten Feldgerät unter Verwendung des Schlüssels;

- Speichern der verschlüsselten Lizenzdaten und zumindest eines Teils der Schlüsselinformation in einem externen Datenspeicher; - Löschen der Lizenzdaten aus dem internen Datenspeicher des ersten Feldgerätes unter Sperren der Funktionen des ersten Feldgerätes;

- Übertragen der verschlüsselten Lizenzdaten und des in dem externen Datenspeicher gespeicherten Teils der Schlüsselin- formation von dem externen Datenspeicher auf den internen Datenspeicher des zweiten Feldgerätes;

- Erzeugen des Schlüssels in dem zweiten Feldgerät unter Verwendung des Teils der Schlüsselinformation;

- Entschlüsseln der verschlüsselten Lizenzdaten unter Verwen- düng des Schlüssels;

- Freischalten von Funktionen des zweiten Feldgerätes unter Verwendung der Lizenzdaten.

Ein Vorteil des erfindungsgemäßen Verfahrens besteht darin, dass das Übertragen der Lizenzdaten von einem ersten Feldgerät zu einem zweiten Feldgerät aufwandsarm erfolgt, also keine besondere Hardware wie z.B. ein_. Dongle notwendig ist. Es ist vielmehr ein beliebiger externer Datenspeicher, wie beispielsweise ein gängiger USB-Stick, ausreichend. Gleich- zeitig wird die Sicherheit gegen Ausspionieren und unbefugtes Kopieren der Lizenzdaten vorteilhaft dadurch erhöht, dass die Lizenzdaten in verschlüsselter Form übertragen werden und somit nicht ohne weiteres lesbar sind. Mit den Lizenzdaten wird eine Schlüsselinformation von dem ersten an das zweite Feld- gerät übertragen, mit der das zweite Feldgerät^' den Schlüssel zum Entschlüsseln der Lizenzdaten bestimmen kann. Gleichzeitig werden die Lizenzdaten auf dem ersten Feldgerät gelöscht, so dass dieses die Gerätefunktionen nicht mehr ausführen kann, da diese nunmehr gesperrt sind.

Einige vorteilhafte Weiterbildungen geben Möglichkeiten an, die Sicherheit gegen Ausspionieren und unbefugtes Kopieren der Lizenzdaten noch weiter zu erhöhen.

So ist gemäß einer vorteilhaften Ausführungsform des erfindungsgemäßen Verfahrens vorgesehen, dass vor dem Erzeugen der Schlüsselinformation in dem ersten Feldgerät das zweite Feldgerät eine Schlüsselbasisinformation erzeugt und diese in seinem internen Datenspeicher und in dem externen Datenspeicher speichert und das erste Feldgerät den Schlüssel unter Verwendung der Schlüsselinformation und der Schlüsselbasisinformation erzeugt. Auf diese Weise kann ein Schlüssel zum Verschlüsseln der Lizenzdaten verwendet werden, der lediglich den beiden Feldgeräten, zwischen denen die Lizenzdaten übertragen werden, bekannt ist.

Die Komplexität des Verfahrens und damit die Sicherheit gegen unbefugte Eingriffe kann alternativ dadurch noch weiter ge- steigert werden, dass vor dem Erzeugen der Schlüsselinformation in dem ersten Feldgerät das zweite Feldgerät eine Schlüsselbasisinformation erzeugt und diese in seinem internen Datenspeicher und in dem externen Datenspeicher speichert und das erste Feldgerät die Schlüsselinformation unter Ver- wendung der Schlüsselbasisinformation erzeugt.

Als vorteilhaft wird es zudem angesehen, wenn das zweite Feldgerät den Schlüssel unter Verwendung der mit dem externen Datenspeicher übertragenen Schlüsselinformation und der in dem internen Datenspeicher des zweiten Feldgerätes vorhandenen Schlüsselbasisinformation erzeugt.

Um die Lizenzdaten noch stärker gegen unbefugtes Eingreifen zu schützen, kann ferner vorgesehen sein, dass die Schlüsselbasisinformation von dem zweiten Feldgerät unter Verwendung einer ersten geheimen Information erzeugt wird, wobei die erste geheime Information in dem zweiten Feldgerät gespeichert wird, und die Schlüsselinformation und der Schlüssel von dem ersten Feldgerät unter Verwendung einer zweiten geheimen Information erzeugt werden, wobei die zweite geheime Information in dem ersten Feldgerät gespeichert wird. Als geheime Informationen können hierbei vorteilhafterweise Zufallszahlen verwendet werden, die in dem zweiten bzw. dem ersten Feldgerät erzeugt worden sind. Je nach gewünschtem Sicherheitsstandard können die erste und/oder zweite geheime Information in dem jeweiligen Feldgerät auch in besonders geschützten, beispielsweise von extern nicht auslesbaren, Datenspeichern gespeichert werden.

Um das erfindungsgemäße Verfahren außerdem auch dagegen zu sichern, dass die auf dem externen Datenspeicher vorhandenen Daten verändert werden, um auf diese Weise Kenntnis über den verwendeten Schlüssel zu erlangen und die Lizenzdaten auszu- spionieren, ist gemäß einer weiteren vorteilhaften Ausführungsform des erfindungsgemäßen Verfahrens vorgesehen, dass von dem jeweiligen Feldgerät auf dem externen Datenspeicher auch Prüfdaten gespeichert werden, die unter Verwendung der auf dem externen Datenspeicher zu speichernden Daten erzeugt worden sind.

Vorteilhafterweise ist in diesem Zusammenhang vorgesehen, dass beim Übertragen von Daten von dem externen Datenspeicher in den internen Datenspeicher des jeweiligen Feldgerätes die Prüfdaten jeweils daraufhin überprüft werden, ob sie zu den in dem externen Datenspeicher vorhandenen Daten passen und eine Weiterverarbeitung der in den internen Datenspeicher übertragenen Daten nur bei positivem Prüfergebnis erfolgt .

Um die Prüfdaten gegen äußere Manipulation besonders gut zu schützen, kann gemäß einer weiteren vorteilhaften Ausführungsform des erfindungsgemäßen Verfahrens in diesem Zusammenhang vorgesehen sein, dass die Prüfdaten auch unter Ver- wendung von beiden Feldgeräten bekannten Codedaten erzeugt werden, wobei die Codedaten in dem jeweiligen Feldgerät gespeichert sind, und die Überprüfung der Prüfdaten unter Verwendung auch der Codedaten vorgenommen wird. Die Codedaten können beispielsweise in einem von extern nicht auslesbaren Datenspeicher des jeweiligen Feldgerätes gespeichert sein.

Um schließlich zu verhindern, dass auch bei gleichem Inhalt der übrigen auf dem externen Datenspeicher gespeicherten Daten mehrfach dieselben Prüfdaten verwendet werden, ist ferner gemäß einer vorteilhaften Ausführungsform in diesem Zusammenhang vorgesehen, dass die Prüfdaten auch unter Verwendung einer in dem jeweiligen Feldgerät als^' Zufallszahl erzeugten Sicherheitszahl erzeugt werden, die Sicherheitszahl zusätzlich auf dem externen Datenspeicher gespeichert wird und die Überprüfung der Prüfdaten unter Verwendung auch der Sicherheitszahl vorgenommen wird.

Die oben genannte Aufgabe wird auch durch ein elektrisches Feldgerät mit einer Datenverarbeitungseinrichtung gelöst, die dazu eingerichtet ist, im Zusammenwirken mit einem weiteren elektrischen Feldgerät ein Verfahren gemäß einer der bisher beschriebenen Ausführungsformen durchzuführen. Zur näheren Erläuterung wird die Erfindung im Folgenden anhand von Ausführungsbeispielen näher erläutert . Hierzu zeigen

Figur 1 eine schematische Darstellung eines elektrischen Feldgerätes mit freischaltbaren Funktionen,

Figur 2 eine schematische Vorderansicht zweier elektrischer Feldgeräte, zwischen denen Lizenzdaten mittels eines externen Datenspeichers übertragen werden können,

Figur 3 ein erstes Ausführungsbeispiel eines Verfahrens zum Freischalten von Funktionen eines elektrischen Feldgerätes,

Figur 4 ein zweites Ausführungsbeispiel eines Verfahrens zum Freischalten von Funktionen eines elektrischen Feldgerätes,

Figur 5 ein drittes Ausführungsbeispiel eines Verfahrens zum Freischalten von Funktionen eines elektrischen Feldgerätes,

Figur 6 ein viertes Ausführungsbeispiel eines Verfahrens zum Freischalten von Funktionen eines elektrischen

Feldgerätes,

Figur 7 eine schematische Darstellung eines externen Datenspeichers mit darauf gespeicherten Daten und Prüf- daten,

Figur 8 eine weitere schematische Darstellung eines externen Datenspeichers mit darauf gespeicherten Daten und Prüfdaten und Figur 9 eine dritte schematische Darstellung eines externen Datenspeichers mit darauf gespeicherten Daten und Prüfdaten.

In Figur 1 ist sehr schematisch ein elektrisches Feldgerät 10 dargestellt. Das elektrische Feldgerät 10 weist eine Datenverarbeitungseinrichtung 11 auf, die eine nicht gezeigte Recheneinrichtung wie einen Mikroprozessor sowie ebenfalls nicht gezeigte Datenspeicher umfasst. Über eine Schnittstelle 12 besitzt die Datenverarbeitungseinrichtung 11 die Möglichkeit, Daten mit externen Geräten, wie beispielsweise externen Datenspeichern, auszutauschen.

Das elektrische Feldgerät 10 ist in nicht dargestellter Weise mit einem automatisierten Prozess verbunden, von dem es beispielsweise über Messeingänge Daten erfassen kann und an den es über Steuerausgänge Befehle abgibt, die beispielsweise einen elektrischen Leistungsschalter eines elektrischen Ener- gieversorgungsnetzes zum Öffnen oder Schließen seiner Schaltkontakte veranlassen. In wiederum nicht dargestellter Weise besitzt kann das Feldgerät 10 weiterhin die Möglichkeit besitzen, eine Kommunikationsverbindung mit anderen elektrischen Feldgeräten oder hierarchisch übergeordneten Steuerge- raten, wie beispielsweise einer Stations- oder Netzleitstelle aufzubauen. Eine solche Kommunikationsverbindung kann beispielsweise über drahtgebundene Kommunikationsbusse erfolgen.

Das elektrische Feldgerät 10 ist dazu geeignet, über eine Ge- rätesoftware vorgegebene Funktionen durchzuführen. Lediglich zur Veranschaulichung dieses Sachverhaltes ist in Figur 1 schematisch ein Funktionsumfang 13 des elektrischen Feldgerätes 10 verbildlicht, der sieben beispielhafte Einzelfunktionen 14a bis 14g umfassen soll. Selbstverständlich ist die An- zahl der möglichen Funktionen des elektrischen Feldgerätes 10 nicht auf sieben Funktionen festgelegt; es können vielmehr beliebig viele Funktionen in dem Funktionsumfang 13 des elektrischen Feldgerätes 10 vorhanden sein.

Um möglichst wenig einzelne Feldgerätereihen mit jeweils unterschiedlichem Funktionsumfang vorhalten zu müssen, sind Feldgerätehersteller in jüngster Zeit - wie eingangs bereits erläutert - vermehrt dazu übergegangen, Feldgeräte anzubie- ten, die bezüglich ihrer Hardware- und Softwareausstattung den kompletten Funktionsumfang eines Universalfeldgerätes umfassen. Um dennoch dem Kunden auf seine speziellen Anwen- dungsfälle zugeschnittene Feldgeräte zur Verfügung stellen zu können, können die in der Gerätesoftware vorhandenen Funktio- nen je nach Einsatzbereich des elektrischen Feldgerätes freigeschaltet oder gesperrt werden. Aus der Kombination der jeweils freigeschalteten Funktionen des elektrischen Feldgerätes ergibt sich dann ein speziell auf die Anforderungen des Kunden zugeschnittenes elektrisches Feldgerät, in dem die nicht benötigten Funktionen entsprechend gesperrt sind. Beim Verkauf solcher Feldgeräte wird üblicherweise der Gerätepreis in Abhängigkeit von der Anzahl und Komplexität der freigeschalteten Gerätefunktionen bestimmt.

Die Festlegung, welche der Gerätefunktionen gesperrt und welche freigeschaltet sind, wird über in dem elektrischen Feldgerät in einem von außen nicht auslesbaren Speicherbereich vorliegende Lizenzdaten bestimmt. So enthält beispielsweise das in Figur 1 gezeigte Feldgerät 10 Lizenzdaten 15, auf die nur die Datenverarbeitungseinrichtung 11 des Feldgerätes 10 zugreifen kann. Anhand der Lizenzdaten 15 legt die Datenverarbeitungseinrichtung 11 fest, welche der Gerätefunktionen 14a bis 14g aus dem Funktionsumfang 13 des elektrischen Feldgerätes 10 freigeschaltet sein sollen. In dem Beispiel gemäß Figur 1 sind die Gerätefunktionen 14b, 14c und 14f freigeschaltet, was durch ein geöffnetes Schloss angedeutet ist, während die übrigen Gerätefunktionen 14a, 14d, 14e und 14g gesperrt sind, was durch ein geschlossenes Schloss angedeutet ist. Handelt es sich bei dem Feldgerät 10 beispielsweise um ein elektrisches Schutzgerät zur Überwachung von elektrischen Energieversorgungsleitungen, so kann es sich bei den freigeschalteten Funktionen beispielsweise um eine Funktion zur Ausführung eines Distanzschutzalgorithmus, um eine Funktion zur automatischen Wiedereinschaltung eines Leistungsschalters nach einem auftretenden Fehler und um eine Funktion zur Ortung eines Fehlers handeln, während es sich bei den gesperrten Gerätefunktionen beispielsweise um eine Funktion zur Ausführung eines Differentialschutzalgorithmus, eine Überstrom- Zeit-Schutzfunktion, eine Motorschutzfunktion und eine Trans- formatorschutzfunktion handeln kann. Auf diese Weise wird durch Verwendung der Lizenzdaten ein universelles Schutzgerät mit einer Vielzahl möglicher Schutzfunktionen an den Schutzumfang eines Distanzschutzgerätes angepasst. Ein solches Dis- tanzschutzgerät kann aufgrund seines geringeren Funktionsumfangs vergleichsweise günstiger verkauft werden als ein elektrisches Schutzgerät, bei dem sämtliche Schutzfunktionen freigeschaltet sind.

Häufig werden elektrische Feldgeräte in Gegenden eingesetzt, in denen keine Kommunikationsverbindung zwischen dem Betreiber des elektrischen Feldgerätes und dem Hersteller des elektrischen Feldgerätes gewährleistet werden kann. Tritt bei einem Feldgerät in einer solchen Gegend nun ein Defekt auf, so dass das Feldgerät ausgetauscht werden muss, so ist sicherzustellen, dass in kürzest möglicher Zeit, ein Ersatzfeldgerät mit demselben Funktionsumfang bereitgestellt werden kann. Die Bereitstellung eines entsprechenden Feldgerätes ist dadurch vereinfacht, dass auch das Ersatzfeldgerät durch seine Hardware- und Softwareausstattung bereits die Möglichkeit besitzt, alle Gerätefunktionen eines Feldgerätes durchzuführen. Allerdings sind diese Gerätefunktionen im Rohzustand des Feldgerätes noch gesperrt. Zur Freischaltung müssen entsprechende Lizenzdaten an das Ersatzfeldgerät übermittelt werden, um der Datenverarbeitungseinrichtung des Ersatzfeldgerätes mitzuteilen, welche Gerätefunktionen freizuschalten sind. Da in den angesprochenen Gegenden keine Kommunikations- Verbindung zwischen dem Betreiber des elektrischen Feldgerä- tes und dem Hersteller des elektrischen Feldgerätes, der solche Lizenzdaten bereitstellen könnte, zur Verfügung steht, bietet es sich an, die notwendigen Lizenzdaten von dem defekten elektrischen Feldgerät an das Ersatzfeldgerät zu übertragen.

In diesem Zusammenhang zeigt Figur 2 ein erstes Feldgerät 20 und ein zweites Feldgerät 21, wobei angenommen werden soll, dass das erste Feldgerät 20 einen Defekt aufweist, so dass es durch das zweite Feldgerät 21 als Ersatzfeldgerät ausge- tauscht werden muss. Wie bereits erwähnt, weist das zweite Feldgerät 21 grundsätzlich dieselbe Hard- und Software-Ausstattung wie das erste Feldgerät 20 auf. Allein die Gerätefunktionen des zweiten Feldgerätes 21 müssen entsprechend der in dem Feldgerät 20 vorhandenen Gerätefunktionen freigeschal- tet werden.

Ein Defekt in dem ersten Feldgerät 20 wird üblicherweise nicht sämtliche Funktionen, insbesondere nicht eine eingeschränkte Basisfunktionalität, betreffen, so dass für die Da- tenverarbeitungseinrichtung des ersten Feldgerätes 20 immer noch die Möglichkeit besteht, die Lizenzdaten aus dem nicht auslesbaren Speicherbereich auszulesen und auf einen externen Datenspeicher 22, beispielsweise einen USB-Stick, zu übertragen. Anstelle eines USB-Sticks können auch beliebige andere externe Datenspeicher, wie beispielsweise Disketten, optische Speichermedien, Flash-Speicherkarten und externe Festplatten verwendet werden. Hierzu muss das erste Feldgerät eine entsprechende Schnittstelle 23, z.B. eine USB-Schnittstelle, aufweisen. Von dem externen Datenspeicher 22 können die Lizenzdaten daraufhin an das zweite Feldgerät 21 übertragen werden. Dieses weist eine entsprechende Schnittstelle 24 auf. Im Rohzustand des zweiten Feldgerätes - also bei noch nicht freigeschalteten Funktionen - ist ebenfalls bereits eine Ba- sisfunktionalität gewährleistet, so dass ein Übertragen der Lizenzdaten in einen nicht auslesbaren Datenspeicher des zweiten elektrischen Feldgerätes 21 möglich ist und entsprechend der somit übernommenen Lizenzdaten eine Freischaltung der jeweiligen Gerätefunktionen erfolgen kann.

Da bei einem Übertragen der Lizenzdaten von dem ersten Feldgerät 20 an das zweite Feldgerät 21 die Lizenzdaten zwischenzeitlich ungeschützt auf dem externen Datenspeicher 22 vorliegen, muss hierbei die Sicherheit gewährleistet werden, dass die Lizenzdaten nicht ausspioniert werden können oder von dem externen Datenspeicher nicht unbefugt kopiert, verändert und an weitere im Rohzustand befindliche Feldgeräte übertragen werden können, um so unbefugt eine große Anzahl elektrischer Feldgeräte mit entsprechend freigeschalteten Ge- rätefunktionen zu erzeugen. Einige Ausführungsbeispiele von Verfahren, hierbei die notwendige Sicherheit zu gewährleisten, werden anhand der nachfolgenden Figuren 3 bis 6 näher erläutert .

Ein erstes Ausführungsbeispiel eines solchen Verfahrens zum

Übertragen von Lizenzdaten von dem ersten elektrischen Feldgerät an ein zweites elektrisches Feldgerät zum Freischalten der Funktionen des zweiten Feldgerätes wird unter Bezugnahme auf Figur 3 erläutert. Figur 3 zeigt höchst schematisch ein erstes elektrisches Feldgerät 40, ein_. zweites elektrisches Feldgerät 41 sowie einen zum Übertragen der Lizenzdaten von dem ersten Feldgerät 40 an das zweite Feldgerät 41 verwendeten externen Datenspeicher 42 in Form eines USB-Sticks. Das erste Feldgerät 40 besitzt zu Beginn gültige Lizenzdaten, die den Umfang seiner freigeschalteten Funktionen bestimmen. Das zweite Feldgerät ist zunächst nicht im Besitz der notwendigen Lizenzdaten. Die Lizenzdaten aus dem ersten Feldgerät 40 sollen an das zweite Feldgerät 41 übertragen werden, um dort zur Freischaltung von Funktionen verwendet zu werden.

Das Verfahren zum sicheren Übertragen der Lizenzdaten läuft wie folgt ab: In dem ersten Feldgerät 40 wird in einem Schritt 33a eine Schlüsselinformation KI erzeugt. Unter Ver- wendung dieser Schlüsselinformation KI erzeugt die Datenverarbeitungseinrichtung des ersten Feldgerätes 40 in einem nächsten Schritt 33b einen Schlüssel, der zum Verschlüsseln digitaler Daten unter Verwendung an sich bekannter Verschlüsselungsverfahren eingesetzt werden kann. Zum Erzeugen des Schlüssels aus der Schlüsselinformation KI können beliebige Algorithmen eingesetzt werden. Handelt es sich bei der Schlüsselinformation KI beispielsweise um eine beliebige Zahl, so kann der Schlüssel hieraus nach einem vorgegebenen Algorithmus, beispielsweise einer Quersummenbildung, erzeugt werden. Die Schlüsselinformation KI kann alternativ beispielsweise auch eine laufende Nummer in einer zusätzlich in dem elektrischen Feldgerät 40 gespeicherten Schlüsseltabelle angeben, anhand der die Datenverarbeitungseinrichtung des ersten Feldgerätes 40 einen bestimmten Schlüssel aus der Schlüsseltabelle auswählt.

In einem weiteren Schritt 33c werden die zuvor in einem nicht auslesbaren Speicherbereich 34 des ersten Feldgerätes 40 gespeicherten Lizenzdaten LI unter Verwendung des zuvor erzeug- ten Schlüssels verschlüsselt, so dass nunmehr verschlüsselte Lizenzdaten vorliegen. Die verschlüsselten Lizenzdaten sowie zumindest ein Teil der im Schritt 33a erzeugten Schlüsselinformation KI werden, wie durch einen Pfeil 36 angegeben, auf den externen Datenspeicher 42 übertragen. Außerdem werden die Lizenzdaten LI aus dem nicht auslesbaren Speicherbereich 34 des ersten Feldgerätes 40 gelöscht, so dass in diesem keine Lizenzdaten mehr vorliegen und die Datenverarbeitungseinrichtung des ersten Feldgerätes 40 nunmehr alle Gerätefunktionen sperrt.

Die verschlüsselten Lizenzdaten und die Schlüsselinformation KI liegen nunmehr auf dem externen Datenspeicher 42 vor. Eine Entschlüsselung der Lizenzdaten ist jedoch außerhalb eines entsprechenden Feldgerätes nicht möglich, da der Algorithmus unbekannt ist, wie aus der Schlüsselinformation KI der zum Entschlüsseln der Lizenzdaten zu verwendende Schlüssel erzeugt werden kann.

Der externe Datenspeicher 42 wird nun von dem ersten Feldgerät 40 getrennt und mit einer Schnittstelle des zweiten Feldgerätes 41 verbunden. In einem durch einen weiteren Pfeil 37 angegebenen folgenden Schritt werden die verschlüsselten Lizenzdaten und der auf dem externen Datenspeicher vorhandene Teil der Schlüsselinformation KI an das zweite Feldgerät 41 übertragen.

Die Datenverarbeitungseinrichtung des zweiten Feldgerätes 41 erzeugt aus der Schlüsselinformation KI in einem folgenden Schritt 38a den zum Entschlüsseln der verschlüsselten Lizenzdaten notwendigen Schlüssel. Hierzu muss auch dem zweiten Feldgerät 41 der Algorithmus bekannt sein, wie aus der Schlüsselinformation KI der Schlüssel abzuleiten ist. In einem nächsten Schritt 38b werden die verschlüsselten Lizenz- daten unter Verwendung des in dem zweiten Feldgerät 41 erzeugten Schlüssels entschlüsselt und die solchermaßen entschlüsselten Lizenzdaten in einem von außen nicht auslesbaren Speicherbereich 39 abgespeichert. Da nunmehr in dem zweiten Feldgerät 41 Lizenzdaten vorliegen, kann die Datenverarbeitungseinrichtung anhand dieser Lizenzdaten die Gerätefunktionen des zweiten Feldgerätes 41 freischalten. Da es sich um dieselben Lizenzdaten handelt, die zuvor im ersten Feldgerät 40 gespeichert waren, werden auch dieselben Gerätefunktionen freigeschaltet, die zuvor bei dem ersten Feldgerät 40 freigeschaltet waren. Auf diese Weise wird durch das zweite Feldgerät 41 folglich ein Ersatzfeldgerät bereitgestellt, dass denselben Funktionsumfang bietet wie das ausgetauschte erste Feldgerät 40.

Das eben erläuterte Verfahren ermöglicht es, die Lizenzdaten in verschlüsselter Form von dem ersten Feldgerät 40 zu dem zweiten Feldgerät 41 zu übertragen, so dass ein Ausspionieren der Lizenzdaten durch äußeren Zugriff auf den externen Daten- Speicher 42 unterbunden wird. Da allerdings jedes empfangende

Feldgerät den Algorithmus kennen muss, wie aus der Schlüssel- Information KI der Schlüssel zum Entschlüsseln der Lizenzdaten erzeugt wird, ist durch dieses Verfahren noch nicht vollständig unterbunden, dass unter Verwendung der Schlüsselin- formation und der verschlüsselten Lizenzdaten in unerlaubter Weise auch andere Feldgeräte als das zweite Feldgerät 41 auf den entsprechenden Funktionsumfang erweitert werden.

Aus diesem Grund wird mit einem weiteren Ausführungsbeispiel, das nachfolgend unter Bezugnahme auf Figur 4 erläutert werden soll, eine Möglichkeit angegeben, wie einzig die beiden Feldgeräte, zwischen denen die Lizenzdaten übertragen werden, den Schlüssel zum Entschlüsseln der Lizenzdaten kennen. In Figur 4 sind hierzu wiederum ein erstes Feldgerät 40, ein zweites Feldgerät 41 und ein externer Datenspeicher 42 gezeigt.

In einem ersten Schritt 43a wird zunächst mittels der Daten- Verarbeitungseinrichtung des zweiten elektrischen Feldgerätes 41 eine Schlüsselbasisinformation BI erzeugt. Diese Schlüsselbasisinformation BI wird, wie durch einen Pfeil 44a angegeben, auf dem externen Datenspeicher 42 gespeichert. Der externe Datenspeicher 42 wird nun von dem zweiten Feldgerät 41 getrennt und mit dem ersten Feldgerät 40 verbunden. Wie durch einen Pfeil 44b angezeigt, wird die Schlüsselbasisinformation BI daraufhin in den internen Speicher des ersten Feldgerätes 40 übertragen. Die Datenverarbeitungseinrichtung des ersten Feldgerätes 40 erzeugt nunmehr in einem weiteren Schritt 45a, wie bereits zu Figur 3 erläutert, eine Schlüsselinformation KI. In einem nachfolgenden Schritt 45b wird der Schlüssel unter Verwendung dieser Schlüsselinformation und der im zweiten Feldgerät 41 erzeugten Schlüsselbasisinformation BI erzeugt. Der Algorithmus zur Erzeugung des Schlüssels in Schritt 45b verwendet folglich sowohl die Schlüsselinformation KI als auch die Schlüsselbasisinformation BI, so dass der Schlüssel also eine Funktion sowohl der Schlüsselinformation KI als auch der Schlüsselbasisinformation BI ist. Beispielsweise kann hier vorgesehen sein, dass zum Erzeugen des Schlüssels die Quersumme der Schlüsselinformation KI gebildet wird und anschließend diese Quersumme mit der Schlüsselbasisinformation potenziert wird. Beliebige andere Verknüpfungen sind ebenso denkbar.

Unter Verwendung des so erzeugten Schlüssels werden in einem weiteren Schritt 45c die zuvor in einem nicht auslesbaren Speicherbereich 46 des ersten Feldgerätes 40 gespeicherten Lizenzdaten LI verschlüsselt. Die verschlüsselten Lizenzdaten und zumindest ein Teil der Schlüsselinformation KI werden auf den externen Datenspeicher 42 übertragen, wie durch Pfeil 47a angedeutet ist. Durch Trennen des externen Datenspeichers 42a von dem ersten Feldgerät 40 und erneutem Verbinden mit dem zweiten Feldgerät 41 werden, wie durch einen Pfeil 47b ange- deutet, die verschlüsselten Lizenzdaten und der vorliegende Teil der Schlüsselinformation KI an das zweite Feldgerät 41 übertragen. Die Lizenzdaten werden daraufhin aus dem ersten Feldgerät 30 gelöscht.

In einem nun folgenden Schritt 48 wird unter Verwendung des vorliegenden Teils der Schlüsselinformation KI und der ohnehin in dem zweiten Feldgerät 41 vorliegenden Schlüsselbasisinformation BI der Schlüssel zum Entschlüsseln, der Lizenzdaten erzeugt. In einem weiteren Schritt 48b werden die ver- schlüsselten Lizenzdaten unter Verwendung dieses Schlüssels entschlüsselt und in einem nicht auslesbaren Speicherbereich 49 des zweiten Feldgerätes 41 gespeichert.

Da die Lizenzdaten nunmehr in das zweite Feldgerät 41 über- tragen worden sind, können die Funktionen des zweiten Feldgerätes 41 entsprechend der Lizenzdaten freigeschaltet werden.

Bei dem im Zusammenhang mit Figur 4 beschriebenen Verfahren besteht der besondere Vorteil darin, dass sich durch die zu- nächst erfolgende Übertragung der Schlüsselbasisinformation

BI von dem zweiten Feldgerät 41 an das erste Feldgerät 40 die beiden Feldgeräte sozusagen auf einen zu verwendenden Schlüssel einigen, da der Schlüssel jeweils unter Verwendung von Informationen erzeugt wird, die teils in dem ersten Feldgerät 40, teils in dem zweiten Feldgerät 41 erzeugt worden sind.

Die verschlüsselten Lizenzdaten und die Schlüsselinformation KI können daher nicht an beliebig viele weitere Feldgeräte übertragen werden, da in diesen weiteren Feldgeräten die Schlüsselbasisinformation BI, die zur Erzeugung des Schlüs- sels zum Entschlüsseln der Lizenzdaten notwendig ist, nicht vorliegt .

Figur 5 zeigt ein alternatives Ausführüngsbeispiel eines Ver- fahrens, bei dem durch Übertragen der Lizenzdaten von einem ersten Feldgerät an ein zweites Feldgerät Funktionen des zweiten Feldgerätes freigeschaltet werden. Das Verfahren gemäß Figur 5 entspricht weitestgehend dem bereits zu Figur 4 erläuterten Verfahren, weshalb gleiche Bezugszeichen in den Figuren 4 und 5 zur Bezeichnung sich entsprechender Verfahrensschritte und Komponenten verwendet worden sind.

Das Verfahren gemäß Figur 5 unterscheidet sich von dem Verfahren gemäß Figur 4 lediglich darin, dass die Schlüsselin- formation KI in dem ersten Feldgerät 40 unter Verwendung der Schlüsselbasisinformation BI, die in dem zweiten Feldgerät 41 erzeugt worden ist, generiert wird, und der Schlüssel nur unter Verwendung der Schlüsselinformation KI (also nicht der Schlüsselbasisinformation BI) erzeugt wird. Da die Schlüssel- information KI allerdings auch von der Schlüsselbasisinformation BI abhängig ist, geht indirekt auch die Schlüsselbasisinformation in die Schlüsselbildung mit ein. Da die Schlüsselinformation KI von der Schlüsselbasisinformation BI abhängt, kann der Schlüssel im zweiten Feldgerät 41 daher bei Kenntnis der Schlüsselinformation KI und der Schlüsselbasisinformation BI abgeleitet werden. Die weiteren Verfahrensschritte entsprechen denen des zu Figur 4 erläuterten Verfahrens, so dass an dieser Stelle auf die Erläuterung der Figur 4 verwiesen wird.

In Figur 6 ist schließlich ein weiteres Ausführungsbeispiel gezeigt, bei dem durch zusätzliche Verfahrensschritte die Sicherheit gegen Ausspionieren und unbefugtes Kopieren der Lizenzdaten noch weiter erhöht wird. Da das Verfahren gemäß Fi- gur 6 in weiten Teilen dem Verfahren gemäß Figur 5 entspricht, wurden wiederum einander entsprechende Verfahrens- schritte und Komponenten in den Figuren 5 und 6 mit denselben Bezugszeichen bezeichnet.

Zunächst wird in einem Schritt 60 eine erste geheime Information RNl, beispielsweise eine Zufallszahl, erzeugt. In einem darauf folgenden Schritt 61 wird die Schlüsselbasisinformation BI nunmehr unter Verwendung dieser ersten geheimen In- formation RNl erzeugt . In dem ersten elektrischen Feldgerät 40 wird in einem Schritt 62 eine zweite geheime Information RN2 , beispielsweise eine zweite Zufallszahl, erzeugt. Unter Verwendung der zweiten geheimen Information RN2. wird in einem darauf folgenden Schritt 63 die Schlüsselinformation KI gene- riert, wobei die Schlüsselinformation KI auch unter Verwendung der Schlüsselbasisinformation BI erzeugt wird. Die geheimen Informationen RNl ist ausschließlich dem zweiten Feldgerät 41 und die zweite geheime Information RN2 ausschließlich dem ersten Feldgerät 40 bekannt. Sie werden bevorzugt von außen nicht ohne Weiteres auslesbar in einem gesicherten Speicherbereich des jeweiligen Feldgerätes gespeichert. Je nach erforderlichem Sicherheitsstandard können die geheimen Informationen RNl und RN2 aber auch in normalen Speicherbereichen ohne Zugriffsschutz gespeichert werden.

In dem ersten Feldgerät 40 wird in einem Schritt 64 unter Verwendung der von der Schlüsselbasisinformation BI abhängenden Schlüsselinformation KI und der zweiten geheimen Information RN2 der Schlüssel zum Verschlüsseln der Lizenzdaten LI generiert. Die verschlüsselten Lizenzdaten und zumindest ein Teil der Schlüsselinformation KI werden daraufhin an das zweite Feldgerät 41 übertragen; die Lizenzdaten werden aus dem ersten Feldgerät 40 gelöscht. Schließlich wird in einem Schritt 65 in dem zweiten Feldgerät 41 der Schlüssel zum Entschlüsseln. der empfangenden Lizenzdaten unter Verwendung sowohl der Schlüsselinformation KI, als auch der Schlüsselbasisinformation BI und der ersten geheimen Information RNl gebildet.

Dadurch, dass die geheimen Informationen RNl und RN2 ausschließlich den jeweiligen Feldgeräten 40 bzw. 41 bekannt sind und in diesen bevorzugt in nicht auslesbaren Speicherbe- reichen gespeichert sind, ist die Sicherheit gegen unbefugte Verwendung der verschlüsselten Lizenzdaten noch weiter erhöht, da andere Feldgeräte als das zweite Feldgerät 41 die erste geheime Information RNl zum Erzeugen des Schlüssels nicht kennen können.

Das Verfahren gemäß Figur 6 soll im Folgenden am Beispiel des so genannten Diffie-Hellman-Schlüsselaustauschverfahrens eingehender erläutert werden.

In dem zweiten Feldgerät 41 wird hierbei gemäß Schritt 60 eine Zufallszahl a als geheime Information RNl gebildet. Außerdem wird gemäß Schritt 61 in dem zweiten Feldgerät 41 als Schlüsselbasisinformation BI eine Primzahl p, eine Primitivwurzel g sowie ein Wert A gemäß

A = g^a mod p

gebildet, wobei „mod" für die mathematische Operation „Mo- dulo" steht. Die Schlüsselbasisinformation BI besteht in die- sem Fall also aus drei separaten Zahlen, nämlich der Primzahl p, der Primitivwurzel g und dem Wert A. Da der Wert A unter Verwendung der ersten geheimen Information RNl in Form der Zufallszahl a gebildet worden ist, ist die Schlüsselbasisin- formation BI somit unter Verwendung der ersten geheimen Information RNl erzeugt worden. , ^•

Die Schlüsselbasisinformation BI wird im Schritt 44a auf den externen Datenspeicher 42 übertragen, so dass in dem externen Datenspeicher nunmehr die Primzahl p, die Primitivwurzel g und der Wert A vorliegen. Der externe Datenspeicher 42 wird nunmehr von dem zweiten Feldgerät 41 getrennt und mit dem ersten Feldgerät 40 verbunden. Im Schritt 44b wird die Schlüsselbasisinformation BI an einen internen Speicher des ersten Feldgerätes 40 übertragen. In dem ersten Feldgerät 40 wird außerdem gemäß Schritt 62 als zweite geheime Information RN2 eine Zufallszahl b erzeugt .

In Schritt 63 wird nunmehr die Schlüsselinformation KI aus der Schlüsselbasisinformation BI durch Übernahme der Primzahl p und des Wertes A sowie durch Bildung eines weiteren Wertes B gemäß

B = g^b mod p

erzeugt, wobei zur Bildung des weiteren Wertes B einerseits die Schlüsselbasisinformation BI in Form der Primzahl p und der Primitivwurzel g und andererseits die zweite geheime In- formation RN2 in Form der Zufallszahl b verwendet werden.

Im Schritt 64 wird anschließend der Schlüssel K gemäß

K = A^b mod p

erzeugt. In diesem Fall werden zur Erzeugung des Schlüssels K folglich einerseits die von der Basisinformation BI abgeleitete Schlüsselinformation KI (Primzahl p und Wert A) und andererseits die zweite geheime Information RN2 in Form der Zu- fallszahl b verwendet. In Schritt 45c werden mit dem so erzeugten Schlüssel K die Lizenzdaten LI verschlüsselt.

In Schritt 47a werden die verschlüsselten Lizenzdaten und ein Teil der Schlüsselinformation KI, nämlich der Wert B, auf den externen Datenspeicher 42 übertragen. Die geheime Information RN2 in Form der Zufallszahl b wird nicht übertragen. Der externe Datenspeicher 42 wird von dem ersten Feldgerät 40 getrennt und erneut mit dem zweiten Feldgerät 41 in Verbindung gebracht, so dass im Schritt 47b die verschlüsselten Lizenzdaten und der Teil der Schlüsselinformation KI in Form des Wertes B in einen internen Datenspeicher des zweiten Feldgerätes 41 übertragen werden können.

Im Schritt 65 wird nunmehr der Schlüssel K gemäß

K = B^a mod p

erzeugt, wobei hierfür der übertragene Teil der Schlüsselin- formation KI in Form des Wertes B, die erste geheime Information RNl in Form der Zufallszahl a und die Schlüsselbasisinformation BI in Form der Primzahl p verwendet werden. Der Schlüssel K kann ohne Kenntnis der geheimen Information RM2 in Form der in dem ersten Feldgerät 40 erzeugten Zufallszahl b erzeugt werden, da für den Schlüssel K die Beziehung

K = B^a mod p = A^b mod p

gilt. Mit dem so berechneten Schlüssel können in Schritt 48b die verschlüsselten Lizenzdaten entschlüsselt werden, so dass sie in den nicht auslesbaren Speicherbereich 49 in dem zweiten Feldgerät 41 übertragen werden können, um zur Freischaltung der entsprechenden Funktionen verwendet zu werden. Bei dem soeben beschriebenen Verfahren wird als Schlüssel K ein Schlüssel verwendet, der nur für diese einmalige Transaktion der Lizenzdaten gültig ist und nur den Feldgeräten 40 und 41 bekannt ist, so dass selbst bei unbefugtem Kopieren des Inhalts des externen Datenspeichers die hieraus gewonnenen Informationen nicht zum Anfertigen weiterer Feldgeräte mit entsprechend freigeschalteten Funktionen verwendet werden können. Da die Lizenzdaten außerdem mit einem außerhalb der Feldgeräte 40 und 41 unbekannten Schlüssel verschlüsselt sind, können sie auch nicht ausspioniert werden. Das im Zusammenhang mit Figur 6 beschriebene Verfahren stellt somit eine sehr hohe Sicherheit gegen unbefugtes Erzeugen weiterer Feldgeräte mit freigeschalteten Funktionen dar.

Allerdings ist das Verfahren noch nicht ausreichend sicher gegen einen so genannten „Man-in-the-Middle-Angriff" geschützt, bei dem die auf dem externen Datenspeicher vorhandenen Daten verändert und nach der Veränderung an das entsprechend andere der beiden Feldgeräte übertragen werden, um auf diese Weise in Kenntnis der von den Feldgeräten verwendeten Schlüssel zu gelangen.

Um das Verfahren auch gegen einen solchen Angriff abzusichern, muss gewährleistet sein, dass die auf dem externen Da- tenspeicher vorhandenen Daten unverändert von einem Feldgerät zum anderen gelangen, so dass tatsächlich nur diejenige Information, die von einem Feldgerät auf den externen Datenspeicher geschrieben worden ist, in unveränderter Form an das andere Feldgerät kommuniziert wird.

Diese Erweiterung der vorgehend beschriebenen Verfahren soll im Folgenden anhand der Figuren 7 bis 9 näher erläutert werden. Hierzu zeigt Figur 7 ein erstes Ausführungsbeispiel, mit dem durch Verwendung von Prüfdaten sichergestellt wird, dass keine Manipulation der auf dem externen Datenspeicher vorhandenen Daten stattfindet. Figur 7 zeigt einen externen Datenspeicher 70 in Form eines USB-Sticks, in dessen Speicherbereich 71 beispielhaft eine Schlüsselinformation 72 und ver- schlüsselte Lizenzdaten 73 gespeichert sind. Anstelle der Schlüsselinformation 72 und der verschlüsselten Lizenzdaten können prinzipiell auch andere Daten auf dem externen Datenspeicher vorliegen, wie beispielsweise die Schlüsselbasisinformation BI.

Zusätzlich zu der Schlüsselinformation 72 und den verschlüsselten Lizenzdaten 73 sind auf dem Speicherbereich 71 des externen Datenspeichers 70 Prüfdaten „CHK" 74 gespeichert, die von einem Feldgerät unter Verwendung der Schlüsselinformation 72 und der Lizenzdaten 73 erzeugt worden sind. Hierzu ist ein spezieller Algorithmus, beispielsweise eine so genannte Hash- wert-Bildung, verwendet worden.

Wird der externe Datenspeicher 70 mit dem anderen Feldgerät in Verbindung gebracht, so prüft dieses Feldgerät ab, ob die Prüfdaten 74 den weiteren gespeicherten Daten, also den Schlüsselinformationen 72 und den Lizenzdaten 73, entsprechen. Hierzu muss das andere Feldgerät den Algorithmus zur Bildung der Prüfdaten kennen. Falls die Schlüsselinformation 72 oder die Lizenzdaten 73 verändert worden sind, nachdem sie von dem ersten Feldgerät auf den externen Datenspeicher 70 geschrieben worden sind, so passen die Prüfdaten 74 nicht mehr zu den verschlüsselten Lizenzdaten 73 und der Schlüssel- Information 72. In einem solchen Fall erkennt das andere Feldgerät die vorliegende Diskrepanz und akzeptiert die Daten auf dem externen Datenspeicher nicht als gültig. Das Übertragungsverfahren wird in diesem Fall abgebrochen. Figur 8 zeigt ein weiteres Ausführungsbeispiel, bei dem die Sicherheit der Prüfdaten gegen Manipulation noch weiter erhöht ist. Auf dem externen Datenspeicher 70 sind wiederum in dem Speicherbereich 71 die Schlüsselinformation 72 und die verschlüsselten Lizenzdaten 73 gespeichert. Die Prüfdaten 80 sind nunmehr einerseits unter Verwendung der auf dem externen Datenspeicher 70 gespeicherten Daten, also der Schlüsselinformation 72 und der verschlüsselten Lizenzdaten 73, erzeugt worden. Andererseits wurden zum Erzeugen der Prüfdaten 80 auch Codedaten „CODE" 81 verwendet, die allen elektrischen Feldgeräten bekannt sind, in diesen aber bevorzugt in geschützten oder nicht auslesbaren Speicherbereichen gespeichert sind, so dass die Kenntnis der Codedaten nicht nach außen gelangen kann. Hierdurch wird sichergestellt, dass auch bei Kenntnis des Algorithmus, nach dem aus den auf dem externen Datenspeicher 70 gespeicherten Daten 72 und 73 die Prüf- daten erzeugt werden, die Prüfdaten 80 dennoch nicht außerhalb eines Feldgerätes erzeugt werden können, da hierzu die Kenntnis über die Codedaten 81 fehlt.

Figur 9 zeigt schließlich ein weiteres Ausführungsbeispiel zur Prüfdatenbildüng. Die Prüfdaten sind hierbei entsprechend der Erläuterung zu Figur 8 unter Verwendung der Schlüsselin- formation 72, der verschlüsselten Lizenzdaten 73 und der Ie- diglich den Feldgeräten bekannten Codedaten 81 gebildet. Zusätzlich wird in demjenigen Feldgerät, das die Daten auf den externen Datenspeicher 70 schreibt, eine Sicherheitszahl „SEC" 90 gebildet, bei der es sich vorteilhafterweise um eine für jede Übertragung jeweils neu gebildete Zufallszahl han- delt. Diese Sicherheitszahl 90 wird ebenfalls auf dem externen Datenspeicher 70 gespeichert . ^' Die Prüfdaten 91 werden in diesem Fall also auch unter Verwendung der Sicherheitszahl 90 gebildet, so dass sichergestellt wird, dass auch bei mehrfachem Übertragen derselben Schlüsselinformation 72 und dersel- ben verschlüsselten Lizenzdaten 73 die Prüfdaten 91 aufgrund der sich bei jeder Transaktion ändernden Sicherheitszahl 90 ständig verändert werden.

Durch die Verwendung der Prüfdaten gemäß einem der Ausführungsbeispiele von Figuren 7, 8 oder 9 kann die Sicherheit gegen ein Ausspionieren und unbefugtes Kopieren der Lizenzdaten noch weiter erhöht werden.

Claims

Patentansprüche

1. Verfahren zum Freischalten von Funktionen eines Feldgerätes (41) , bei dem in einem internen Datenspeicher eines ers- ten Feldgerätes (40) vorliegende Lizenzdaten (LI) von dem ersten Feldgerät (40) an ein zweites Feldgerät (41) übermittelt werden, wobei die Lizenzdaten (LI) die freizuschaltenden Funktionen des jeweiligen Feldgerätes (40,41) derart angeben, dass bei in einem internen Speicher des jeweiligen Feldgerä- tes (40,41) vorliegenden Lizenzdaten (LI) die entsprechenden Funktionen des jeweiligen Feldgerätes (40,41) freigeschaltet werden, g e k e n n z e i c h n e t d u r c h die folgenden Schritte : - Erzeugen einer Schlüsselinformation (KI) in dem ersten Feldgerät (40) ;

- Generieren eines Schlüssels unter Verwendung der Schlüsselinformation (KI) ;

- Verschlüsseln der Lizenzdaten (LI) in dem ersten Feldgerät (40) unter Verwendung des Schlüssels;

- Speichern der verschlüsselten Lizenzdaten und zumindest eines Teils der SchlüsselInformation (KI) in einem externen Datenspeicher (42) ;

- Löschen der Lizenzdaten (LI) aus dem internen Datenspeicher des ersten Feldgerätes (40) unter Sperren der Funktionen des ersten Feldgerätes (40) ;

- Übertragen der verschlüsselten Lizenzdaten und des in dem externen Datenspeicher (42) gespeicherten Teils der Schlüsselinformation (KI) von dem externen Datenspeicher (42) auf den internen Datenspeicher des zweiten Feldgerätes (41) ;

- Erzeugen des Schlüssels in dem zweiten Feldgerät (41) unter Verwendung des Teils der Schlüsselinformation (KI) ;

- Entschlüsseln der verschlüsselten Lizenzdaten unter Verwendung des Schlüssels; - Freischalten von Funktionen des zweiten Feldgerätes (41) unter Verwendung der Lizenzdaten (LI) .

2. Verfahren nach Anspruch 1 , d a d u r c h g e k e n n z e i c h n e t , dass

- vor dem Erzeugen der Schlüsselinformation (KI) in dem ersten Feldgerät (40) das zweite Feldgerät (41) eine Schlüsselbasisinformation (BI) erzeugt und diese in seinem internen Datenspeicher und in dem externen Datenspeicher (42) spei- chert und

- das erste Feldgerät (40) den Schlüssel unter Verwendung der Schlüsselinformation (KI) und der Schlüsselbasisinformation (BI) erzeugt.

3. Verfahren nach Anspruch 1, d a d u r c h g e k e n n z e i c h n e t, dass

- vor dem Erzeugen der Schlüsselinformation (KI) in dem ersten Feldgerät (40) das zweite Feldgerät (41) eine Schlüsselbasisinformation (BI) erzeugt und diese in seinem internen Datenspeicher und in dem externen Datenspeicher (42) speichert und

- das erste Feldgerät (40) die Schlüsselinformation (KI) unter Verwendung der Schlüsselbasisinformation (BI) erzeugt.

4. Verfahren nach Anspruch 2 oder 3, d a d u r c h g e k e n n z e i c h n e t, dass

- das zweite Feldgerät (41) den Schlüssel unter Verwendung der mit dem externen Datenspeicher (42) übertragenen Schlüsselinformation (KI) und der in dem internen Datenspeicher des zweiten Feldgerätes (41) vorhandenen Schlüsselbasisinformation (BI) erzeugt.

5. Verfahren nach Anspruch 4 , d a d u r c h g e k e n n z e i c h n e t , dass - die Schlüsselbasisinformation (BI) von dem zweiten Feldgerät (41) unter Verwendung einer ersten geheimen Information

(RNl) erzeugt wird, wobei die erste geheime Information (RNl) in dem zweiten Feldgerät (41) gespeichert wird, und - die Schlüsselinformation (KI) und der Schlüssel von dem ersten Feldgerät (40) unter Verwendung einer zweiten geheimen Information (RN2) erzeugt werden, wobei die zweite geheime Information (RN2) in dem ersten Feldgerät (40) gespeichert wird.

6. Verfahren nach Anspruch 5 , d a d u r c h g e k e n n z e i c h n e t , dass

- als die erste und die zweite geheime Information (RNl, RN2) Zufallszahlen verwendet werden, die in dem zweiten bzw. dem ersten Feldgerät (41,40) erzeugt worden sind.

7. Verfahren nach einem der vorangehenden Ansprüche, d a d u r c h g e k e n n z e i c h n e t, dass

- von dem jeweiligen Feldgerät (40,41) auf dem externen Da- tenspeicher (42) auch Prüfdaten (91) gespeichert werden, die unter Verwendung der auf deπr externen Datenspeicher (42) zu speichernden Daten (72,73) erzeugt worden sind.

8. Verfahren nach Anspruch 7, dadurch gekennzeichnet, dass - beim Übertragen von Daten von dem externen Datenspeicher

(42) in den internen Datenspeicher des jeweiligen Feldgerätes (40,41) die Prüfdaten (91) jeweils daraufhin überprüft werden, ob sie zu den in dem externen Datenspeicher (42) vorhandenen Daten (72,73) passen und - eine Weiterverarbeitung der in den internen Datenspeicher übertragenen Daten nur bei positivem Prüfergebnis erfolgt.

9. Verfahren nach Anspruch 7 oder 8 , d a d u r c h g e k e n n z e i c h n e t, dass - die Prüfdaten (91) auch unter Verwendung von beiden Feldgeräten (40,41) bekannten Codedaten (81) erzeugt werden, wobei die Codedaten (81) in dem jeweiligen Feldgerät (40,41) gespeichert sind, und - die Überprüfung der Prüfdaten (91) unter Verwendung auch der Codedaten (81) vorgenommen wird.

10. Verfahren nach Anspruch 9, d a d u r c h g e k e n n z e i c h n e t, dass - die Prüfdaten (91) auch unter Verwendung einer in dem jeweiligen Feldgerät (40,41) als Zufallszahl erzeugten Sicherheitszahl (90) erzeugt werden,

- die Sicherheitszahl (90) zusätzlich auf dem externen Datenspeicher (42) gespeichert wird und - die Überprüfung der Prüfdaten (91) unter Verwendung auch der Sicherheitszahl (90) vorgenommen wird.

11. Elektrisches Feldgerät (40,41) mit einer Datenverarbeitungseinrichtung, die dazu eingerichtet ist, im Zusammenwir- ken mit einem weiteren elektrischen Feldgerät (40,41) ein Verfahren gemäß einem der Ansprüche 1 bis 10 durchzuführen.