EP3957051A1 - Vorrichtungen und verfahren zum betreiben einer rechenanlage mit datenrelais - Google Patents

Vorrichtungen und verfahren zum betreiben einer rechenanlage mit datenrelais

Info

Publication number
EP3957051A1
EP3957051A1 EP20728963.8A EP20728963A EP3957051A1 EP 3957051 A1 EP3957051 A1 EP 3957051A1 EP 20728963 A EP20728963 A EP 20728963A EP 3957051 A1 EP3957051 A1 EP 3957051A1
Authority
EP
European Patent Office
Prior art keywords
data
relay
connection
relays
computer
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
EP20728963.8A
Other languages
English (en)
French (fr)
Inventor
Frank Aust
Andreas Bolm
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Siemens Mobility GmbH
Original Assignee
Siemens Mobility GmbH
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Siemens Mobility GmbH filed Critical Siemens Mobility GmbH
Publication of EP3957051A1 publication Critical patent/EP3957051A1/de
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0209—Architectural arrangements, e.g. perimeter networks or demilitarized zones
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/10—Flow control; Congestion control
    • H04L47/16—Flow control; Congestion control in connection oriented networks, e.g. frame relay
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/10—Flow control; Congestion control
    • H04L47/17—Interaction among intermediate nodes, e.g. hop by hop
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
    • H04W4/42—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P] for mass transport vehicles, e.g. buses, trains or aircraft

Definitions

  • the invention relates to computer systems, in particular computer systems in the field of railway technology, and methods for operating computer systems, in particular in the field of railway technology.
  • decoupling can also be achieved by a so-called DMZ (demilitarized zone) using several firewalls and an application layer gateway (ALG) and for the Data exchange can be used.
  • DMZ demilitarized zone
  • ALG application layer gateway
  • the DMZ must be set up separately and regularly supplied with updates.
  • the firewall rules that have been set up must also be checked regularly, as they could be changed consciously or unconsciously via the network structure.
  • Another disadvantage of a DMZ in the field of railway technology is that the assurance of the property of the ALG under the aspects of a railway network cannot be proven or proven directly.
  • an ALG is approved for each individual system or vehicle and must be renewed every time the software or hardware is updated.
  • the invention is based on the object of specifying a computing system that enables data to be transmitted to a computing device of the computing system in a simple and secure manner.
  • the computer system has an input data path which connects an interface device of the computer system to the computing device, the input data path has at least two data relays and at least one buffer for temporarily storing data, each of the at least two data relays having a first and a second Connection and a central connection and each can optionally connect its first connection and its central connection or its second connection and its central connection and always leave its first and second connection separate from one another, a first of the at least two data relays with its first connection with the interface device and is connected with its second connection to the computing device and the central connection of the first data relay is connected to the at least one intermediate memory, which is selectively exclusively through the first data relay with the interface device or the second connection of the first data relay is connected, but not simultaneously with both.
  • a major advantage of the computing system according to the invention is that the use of the data relay according to the invention enables the computing device to be decoupled from the interface device and data that are sent to the computing device can first be stored in the buffer and checked by an intermediate instance. Forwarding of the data to the computing device can thus be made dependent, for example, on the data coming from an authorized data sender or having correct checksums.
  • At least one intermediate computer device is preferably present which is connected to the first connection of a second of the at least two data relays.
  • the second connection of the first data relay is connected to the central connection of the second data relay, the second connection of the second data relay is connected directly to the computing device or indirectly via one or more additional data relays to the computing device and with the data relays - with a suitable relay position - direct data access from the computing device to the buffer is possible.
  • two or more data relays of the relay cascade are each assigned an intermediate computer device and the intermediate computer devices are each connected to the first connection of the assigned data relay and each of the intermediate computer devices each receive data from the interface device have been stored in the buffer for forwarding to the computing device, checks and in turn, issue a release to switch the relay cascade through if the test does not indicate any obstacle.
  • a relay control device is preferably provided to control the data relay.
  • the relay control device preferably controls the data relays in such a way that direct data access by the computing device to the buffer is possible if the at least one intermediate computer device, preferably all intermediate computer devices in the case of several intermediate computer devices, give the relay control device a release for direct data access.
  • the second connection of the first data relay and the first connection of the second data relay are connected to the intermediate computer device, another buffer is connected to the central connection of the second data relay and the intermediate computer device receives data from the interface device have been stored in the intermediate memory connected to the first data relay for forwarding to the computing device, checks and forwards this data to the intermediate memory connected to the second data relay if the test does not indicate an obstacle.
  • the first data relay in the relay cascade with its first connection to the interface device and the last in the relay cascade Data relay with its second connection is connected to the computing device, at least one pair of successive data relays of the relay cascade, preferably all pairs, each with an intermediate computer device associated with the first connection of the - in the cascade direction towards computing device seen direction - front data relay of the respective Relaispaa res and the second connection of - seen in the cascade direction towards the computing device - the rear data relay of the respective relay pair is connected and each of the data stored in the buffer connected to the rear data relay, which is to be forwarded to the computing device are provided, checks and this data forwards to the buffer connected to the front data relay, if the check does not indicate an obstacle.
  • the at least one intermediate computer device or at least one of the intermediate computer devices is assigned an auxiliary computer device which is coupled to the intermediate computer device via an auxiliary relay and an auxiliary buffer, and the intermediate computer device carries out a preliminary check of the data that is sent to the assigned data relay (e.g.
  • the auxiliary computer device is designed to, upon receipt of a positive, the Ver evaluability of the stored data indicating remindmeldesig nals of the external central device to store release information about the auxiliary relay in the auxiliary buffer, and the intermediate computer device in the auxiliary intermediate memory when the release information is available Hen attended a release for switching the assigned data relay, in particular the second relay, issued for the purpose of a data flow in the direction of the computing device.
  • the at least one intermediate computer device or at least one of the intermediate computer devices and / or the interface device is assigned a restart device which is coupled to the intermediate computer device or the interface device via the second data relay or an auxiliary relay and an auxiliary buffer memory, and the restart facility device is suitable to generate a restart of the intermediate computer device or the interface device enabling start file and to store this in the auxiliary buffer memory.
  • the check to be carried out by the intermediate computer device or the intermediate computer devices on the data to be transmitted to the computer device preferably comprises at least one, several or all of the following test steps:
  • the invention also relates to an eisenbahntechni cal system, in particular a signal box or a rail vehicle. According to the invention it is provided in this regard that the railway system has a computer system as described above.
  • the invention also relates to a method for operating a computer system, in particular a computer system as described above.
  • data that are to be forwarded from an interface device in the direction of the computer system are routed via an input data path that connects an interface device of the computer system to the computer device, the input data path at least two data relays and at least one buffer for the intermediate storage of data each of the at least two data relays each have a first and second connection and a central connection and can optionally connect its first connection and its central connection or its second connection and its central connection and always leave its first and second connection separate from one another, a first of the at least two data relays with its first connection with the interface device and with its second connection is directly or indirectly connected to the computing device, the central connection of the first data relay is connected to the at least one intermediate memory, which is optionally connected to the interface device or the second connection of the first data relay by the first data relay, but not at the same time both, and the forwarding of the data takes place via at least the first data relay and the intermediate
  • Figure 1 shows an embodiment of an inventive
  • Figure 5 shows a further embodiment for an inven
  • FIG. 6 shows another switching state of the data relays in the second exemplary embodiment according to FIG. 5,
  • FIG. 7 shows an exemplary embodiment for a TAN check
  • Figure 8 shows an embodiment of an inventive
  • Figure 9 shows an embodiment of an inventive
  • Figure 10 shows an embodiment of an inventive
  • FIG. 1 shows an exemplary embodiment of a computing system 10 which, for example, can form part of a railway engineering system.
  • the computing system 10 is equipped with a computing device 11 to which data D from an external data source 20 can be transmitted.
  • the computer system 10 has an interface device 12 which can communicate with the external data source 20 via the Internet or another communication network NET, for example.
  • An input data path 13 connects the interface device 12 to the computing device 11.
  • the input data path 13 comprises a first data relay RI, a second data relay R2 and further data relays R3 and R4, which form a relay cascade 14 form.
  • Each data relay R1-R4 has a first connection A1, a second connection A2 and a central connection A3.
  • the data relays R1-R4 are each designed in such a way that they can each optionally connect their first connection A1 to the central connection A3 or their second connection A1 to the central connection A3; the first and second connection A1, A2 are always separate from one another.
  • the first connection A1 of the first data relay RI is connected to the interface device 12, the second connection A2 of the first data relay RI is connected to the central connection A3 of the second data relay R2.
  • the central connection A3 of the first data relay RI is connected to an intermediate memory ZS.
  • the internal data relays R2-R3 of the relay cascade 14 are each interconnected in such a way that the second connection A2 of the data relay upstream in the relay cascade 14 is connected to the central connection A3 of the data relay downstream in the relay cascade 14.
  • the last data relay R4 in the relay cascade 14 has its second connection A2 connected to the computing device 11.
  • FIG. 1 shows that the computing device 11 can only directly access the buffer ZS if the second connection A2 is connected to the central connection A3 in all of the data relays R1-R4 of the relay cascade 14.
  • An intermediate computer device ZRE1-ZRE3 is connected to the first connection A1 of the second data relay R2 and the further data relays R3-R4 of the relay cascade 14.
  • the task of the intermediate computer devices ZRE1-ZRE3 is in each case to transfer the data D from the interface device 12 in the intermediate memory ZS to the computing device 11 have been stored, and to issue a release for switching through the relay cascade 14 if the test does not indicate an obstacle or provides a positive test result. If an obstacle is recognized, a blocking signal for blocking the relay cascade 14 is generated instead.
  • a relay control device 16 is provided for controlling the data relays R of the relay cascade 14.
  • the relay control device 16 is connected via lines not shown with the intermediate computer devices ZRE1-ZRE3 and who tet their test results.
  • the relay control device 16 controls the data relays in such a way that direct data access by the computing device 11 to the buffer ZS is only possible if all the intermediate computer devices ZRE1-ZRE3 give the relay control device 16 a release for direct data access.
  • the relay control device 16 will put the data relays R1-R4 of the relay cascade 14 into a defined output state (see FIG. 1) in which the central connections A3 are each connected to the first connection A1.
  • the interface device 12 receives data D from the external data source 20, it stores the data D in the intermediate memory ZS. If data D have been stored, the interface device 12 communicates this to the relay control device 16.
  • the relay control device 16 will switch the data relays R of the relay cascade 14 one after the other:
  • the first data relay RI is switched (see Figure 2) and thus the buffer ZS connected to the intermediate computer device ZRE1 connected to the first data relay RI (hereinafter referred to as the first intermediate computer device ZRE1).
  • the first intermediate computer device ZRE1 checks the data D. If, from the point of view of the first intermediate computer device ZRE1, these are suitable for forwarding to the computer device 11, it sends a corresponding release signal to the relay control device 16; otherwise it sends a blocking signal.
  • the relay control device 16 switches over the second data relay R2 in a second step (see Figure 3) and thus connects the intermediate memory ZS to the intermediate computer device ZRE2 connected to the second data relay R2 (hereinafter the second intermediate computer device Called ZRE2).
  • the second intermediate computer device ZRE2 now checks the data D. If, from the point of view of the second intermediate computer device ZRE2, these are suitable for forwarding to the computer device 11, it sends a corresponding release signal to the relay control device 16; otherwise it sends a blocking signal.
  • the third data relay R3 of the relay cascade 14 is then switched over so that the third intermediate computer device ZRE3 can check the data D in the intermediate memory ZS.
  • the last data relay R4 of the relay cascade 14 is switched over and thus the computing device 11 allows access to the data D in the intermediate memory ZS.
  • This switching state of the relay cascade 14 is shown in FIG.
  • the computing device 11 can copy the data D, for example, into its own memory 11a.
  • the intermediate computer devices ZRE1-ZRE3 can also send their test results to a higher-level diagnostic device 17 Send, with which they are preferably each connected via a data diode 18.
  • the relay cascade 14 is used to connect the computing device 11 directly to the buffer ZS if the checking of the data D by the intermediate computing devices ZRE1-ZRE3 gave a positive result.
  • FIG. 5 shows a further exemplary embodiment.
  • an intermediate memory ZS1, ZS2, ZS3 is connected to the central connections A3 of each data relay RI, R2, R3.
  • Each pair of successive data relays RI, R2, R3 of the relay cascade 14 is assigned an intermediate computer device ZRE1, ZRE2, which connects to the first connection A1 of the front data relay of the respective relay pair and the second connection A2 - seen in the cascade direction K in the direction of the computing device 11 the - seen in the cascade direction in the direction computing device 11 - is connected to the rear data relay of the respective relay pair.
  • Each intermediate computer device ZRE1, ZRE2 checks the data D which are stored in the intermediate memory ZS1, ZS2 connected to the rear data relay. If the check shows that the data D are suitable for forwarding to the computing device 11, it stores the data D in the intermediate memory ZS2, ZS3 connected to the front data relay.
  • FIG. 5 shows a switching state in which the first intermediate computer device ZRE1 checks the data D stored in the first intermediate memory ZS1 and - if the test result is positive - stores them in the second intermediate memory ZS2.
  • the next switching state is shown in FIG.
  • the second intermediate computer device ZRE2 checks the data D stored in the second buffer ZS2 and stores them - if the test result is positive - in the third buffer ZS3.
  • the computing device 11 can access the data D.
  • FIG. 7 shows an exemplary embodiment for a computing system 10 with an intermediate computer device ZRE which can carry out a TAN checking step.
  • TAN checking step it is checked whether data D contain a TAN sequence number that is expected or permitted according to a predetermined TAN list 100. If the data D has the correct TAN sequence number or a permissible TAN sequence number according to the TAN list 100, the TAN test step is regarded as passed and further test steps are carried out if necessary. Otherwise the data check is assessed as not having been passed and forwarding of the data D to the computing device 11 is blocked.
  • a corresponding TAN test step can also be carried out by the intermediate computer devices in the computer systems according to FIGS. 1 to 6 and 8 to 10.
  • FIG. 8 shows an exemplary embodiment for a computing system 10 with an intermediate computer device ZRE, to which an auxiliary computer device HRE is assigned.
  • the intermediate computer device ZRE is coupled to the auxiliary computer device HRE via an auxiliary relay HR and an auxiliary buffer memory HS.
  • the intermediate computer device ZRE carries out a preliminary check of the data D which have been stored by the interface device 12 in the intermediate memory ZS for forwarding to the computing device 11.
  • the preliminary check can, for example, check the origin of the data D by means of certificates or the integrity of the data D by means of a checksum test.
  • the intermediate computer device ZRE If, from the point of view of the intermediate computer device ZRE, the data D are suitable for forwarding to the computing device 11, it sends an inquiry Sa relating to the stored data D to an external central device 30 via a data diode 301 and an interface module 302.
  • the external central device 30 for its part now checks the usability of the data D and sends - if the test result is positive - a positive feedback signal Sr indicating the usability of the stored data D to the auxiliary computer device HRE.
  • the test of the external central device 30 can include, for example, a test of whether certificates are valid or not.
  • the auxiliary computer device HRE After receiving the feedback signal from the external central device, the auxiliary computer device HRE stored a release information I via the auxiliary relay HR in the auxiliary intermediate memory HS. If the release information I is present in the auxiliary buffer store HS, the intermediate computer device ZRE issues a release to switch the assigned second data relay R2 for the purpose of a data flow in the direction of the computing device 11.
  • the relay control device 16 switches the second data relay R2 so that the computer device 11 can access the intermediate memory ZS, as was explained above by way of example in connection with FIGS.
  • FIG. 9 shows an exemplary embodiment for a computing system 10 in which the interface device 12 is equipped with a reboot function.
  • the interface device 12 is assigned a restart device 121 which is coupled to the interface device 12 via an auxiliary relay HR and an auxiliary buffer store HS.
  • the auxiliary relay HR here forms a second relay R2 of the computer system 10.
  • the restart device 121 is designed to generate a start file SD which enables a restart of the interface device 12 and to store this in the auxiliary buffer memory HS.
  • the restart device 121 can, for example, access software that is stored in a memory 121a.
  • the start file SD enables the interface device 12 to be restarted if it cannot work reliably or can no longer work reliably, for example because of an external attack using harmful data D.
  • auxiliary restart devices 121, auxiliary relays HR and auxiliary intermediate stores HS can also be assigned to the intermediate computer devices ZRE in the computer systems according to FIGS. 1 to 8 and 10.
  • FIG. 10 shows an exemplary embodiment for a computing system 10 in which two data relays form isolating relays Rt.
  • the first connection Al of the two isolating relays Rt is not used.
  • the isolating relays Rt enable a switching position of the relay cascade 14 in which the buffer ZS is connected neither to the computing device 11 nor to the interface device 12.
  • the exemplary embodiments described above with reference to FIGS. 1 to 10 can have one or more of the features or advantages listed below in brief: -
  • the (internal) intermediate computer devices preferably check the data D and generate a message via a diagnostic channel in the event of anomalies / deviations. After a positive test, the data D can be left on the data carrier and a test trace of the intermediate computer device can be left on the data carrier.
  • the intermediate computer devices can preferably not be reached directly from the outside or from the Internet or from an internal network and can therefore preferably not be changed or manipulated. This ensures that functions that have been proven to be present will continue to do their job in the future. An attack on the intermediate computer equipment (internal computer) from outside is thus made more difficult.
  • the internal intermediate computer devices can use the data on the data carrier z. B. for integrity, virus-free, authenticity, file name structure, ..., check. It is also possible to filter out data that is only intended for a specific technical system. This data can be recognized by a separate identifier / characteristic in the data itself.
  • each computer in particular each Eisenrechnereinrich device, preferably leaves an entry or a test track on the data carrier about the successful test, so that subsequent computers can see the results, for. B. whether a check has taken place on a particular computer. This trace can also be checked at the end of the chain by the last system computer, and it can be determined whether all responsible computers were included in the check.
  • test procedures can be used. Depending on the assessment of security and robustness, only one procedure can be used. The tasks should preferably be taken over by different computers. However, it is also conceivable to perform the functions mentioned one after the other on a computer.
  • the integrity can be determined through the use of various test methods and checksums, e.g. B. Check MD4, MD5, SHA1, etc.
  • the test values are preferably created in advance by the data supplier and are transferred to the computer system when they are uploaded.
  • a secret can also be used that is only known to the authorized data transmitter and the checking computer.
  • One test procedure or several test procedures can be used for a configuration.
  • an internal computer can check whether the data has been signed by the authorized person before the data is passed or passed on.
  • the corresponding cryptographic keys are preferably also set up when the device is configured. Here, too, data that was not correctly signed could be deleted.
  • Another method can check the data transmitted on the data carrier to ensure that it is free from viruses and malware and, in the event of anomalies, only delete the data or the entire data carrier and report the anomalies via the diagnostic channel.
  • a deployment computer can have different versions of
  • the boot data carrier is preferably reconnected to the original computer and this computer is restarted. This gives the computer a new task or is back in its original state. If, for example, there were traces of an attack, e.g. If, for example, there were extra user accounts, they are no longer available. If the fresh boot image has been updated to the
  • Deployment computer has been updated, this can also improve the configuration, e.g. B. the operating system can be achieved. It is also possible to use several data carriers at the same time.
  • only one data record D is transferred from one computer to the next.
  • This procedure can be extended to n data records and n data carriers.
  • two input and two output data carriers can be used per computer.
  • the data can then be copied from the input data carrier to the output data carrier.
  • the data carrier is preferably returned so that the turnaround times can be optimized.
  • a one-computer configuration for a data carrier lock only one internal computer is used. This preferably starts with different boot images, which are transferred to it one after the other by a control computer and a deployment computer.
  • the internal computer boots z. B. first with the virus check program and ends after a successful check.
  • the boot image is then preferably reconfigured by the deployment server and the internal computer is restarted, in this case z. B. with checksum checking routines. This process will repeated until all the different tasks in the internal computer have been processed.
  • TAN sequence number for uploads, for example, data can only be brought in if the internal TAN matches the externally given TAN. Used TANs are preferably removed from the list and no longer used.
  • an internal computer preferably sends a request to an external (possibly cloud) verification computer via a data diode in order to enable an external check.
  • an external (possibly cloud) verification computer For this purpose, the entire test object or a hash value can be transferred to the verification computer.
  • This verification computer can generate a further checksum or signature for the test object.
  • the result of the second external check by the verification computer is then preferably passed back to the internal computer. Only when the response from the verification computer matches the expected response will the data be transferred to the next computer.
  • a type of 2FA procedure analogous to Google could also be used here.
  • the tests carried out by the various computers can be logged, cryptographically signed and transferred to the successor computer by the internal computer. This creates a kind of test track over the course of the test chain. Each computer leaves a trace on the data carrier with its signature for the positive tests. A corresponding signature for irregularities is also possible.
  • a configuration can be used to determine in advance which computers are to be included in the test one after the other.
  • the last internal computer can use the configuration of the lane and the information to determine whether all the relevant computers in the lane were integrated and left their signatures.
  • the circuit can be set up accordingly.
  • the interface device which is formed, for example, by an external Internet-enabled computer, can - as described above - be reset or rebooted.
  • the internal computers can themselves be very simple and small computers.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Hardware Redundancy (AREA)
  • Small-Scale Networks (AREA)
  • Train Traffic Observation, Control, And Security (AREA)

Abstract

Die Erfindung bezieht sich unter anderem auf eine Rechenanlage (10) mit einer Recheneinrichtung (11). Erfindungsgemäß ist vorgesehen, dass die Rechenanlage (10) einen Eingangsdatenpfad (13) aufweist, der eine Schnittstelleneinrichtung (12) der Rechenanlage (10) mit der Recheneinrichtung (11) verbindet, der Eingangsdatenpfad (13) zumindest zwei Datenrelais 10 (R1-R4) und zumindest einen Zwischenspeicher (ZS) zur Zwischenspeicherung von Daten (D) aufweist, jedes der zumindest zwei Datenrelais (R1-R4) jeweils einen ersten und zweiten Anschluss (A1, A2) und einen Zentralanschluss (A3) aufweist und jeweils wahlweise seinen ersten Anschluss (A1) und seinen 15 Zentralanschluss (A3) oder seinen zweiten Anschluss (A2) und seinen Zentralanschluss (A3) verbinden kann und seinen ersten und zweiten Anschluss (A1, A2) stets getrennt voneinander lässt, ein erstes der zumindest zwei Datenrelais (R1) mit seinem ersten Anschluss (A1) mit der Schnittstelleneinrichtung (12) und mit seinem zweiten Anschluss (A2) mit der Recheneinrichtung (11) in Verbindung steht und der Zentralanschluss (A3) des ersten Datenrelais (R1) mit dem zumindest einen Zwischenspeicher (ZS) verbunden ist, der durch das erste Datenrelais (R1) wahlweise ausschließlich mit der Schnittstelleneinrichtung (12) oder dem zweiten Anschluss (A1) des ersten Datenrelais (R1) verbunden ist, aber nicht gleichzeitig mit beiden.

Description

Beschreibung
VORRICHTUNGEN UND VERFAHREN ZUM BETREIBEN EINER RECHENANLAGE MIT DATENRELAIS
Die Erfindung bezieht sich auf Rechenanlagen, insbesondere Rechenanlagen im Bereich der Eisenbahntechnik, und Verfahren zum Betreiben von Rechenanlagen, insbesondere im Bereich der Eisenbahntechnik .
Um Rechenanlagen in technischen Anlagen, wie beispielsweise in Fahrzeugen, mit geschlossener Netzwerkstruktur mit neuen Daten zu versorgen, werden heute üblicherweise tragbare Da tenträger (CD, USB Sticks, Festplatten) außerhalb der ge schlossenen Netzwerkstruktur beschrieben und manuell durch Wartungspersonal in die technische Anlage eingebracht und an geschlossen. Nach dem Anschließen werden die Daten dann auf die Rechenanlagen aufgespielt. Ein Nachteil der bisherigen Verfahren ist der manuelle und direkte Eingriff Vorort durch Wartungspersonal .
In Rechenanlagen, in denen Teile des Intranet als Kategorie2- Netzwerk nach EN 50159 angesehen werden können, kann die Ent kopplung auch durch eine sogenannte DMZ (Demilitarisierte Zo ne) mittels mehrerer Firewalls und eines Application-Layer - Gateways (ALG) erreicht und für den Datenaustausch genutzt werden. Die DMZ muss jedoch gesondert aufgebaut werden und regelmäßig mit Updates versorgt werden. Auch die eingerichte ten Firewall-Regeln müssen regelmäßig überprüft werden, da diese bewusst oder unbewusst auch über die Netzwerkstruktur verändert werden könnten.
Ein weiterer Nachteil einer DMZ im Bereich der Eisenbahntech nik besteht darin, dass die Zusicherung der Eigenschaft des ALG unter den Aspekten eines Bahnnetzwerks nicht direkt nach gewiesen bzw. bewiesen werden kann. Eine Zulassung eines ALG erfolgt im Bereich der Eisenbahntechnik anlagen- bzw. fahr zeugindividuell und muss bei jeder Aktualisierung der Soft ware oder Hardware erneuert werden. Der Erfindung liegt die Aufgabe zugrunde, eine Rechenanlage anzugeben, die in einfacher Weise und sicher eine Übertragung von Daten an eine Recheneinrichtung der Rechenanlage ermög licht .
Diese Aufgabe wird erfindungsgemäß durch eine Rechenanlage mit den Merkmalen gemäß Patentanspruch 1 gelöst. Vorteilhafte Ausgestaltungen der erfindungsgemäßen Rechenanlage sind in Unteransprüchen angegeben.
Danach ist erfindungsgemäß vorgesehen, dass die Rechenanlage einen Eingangsdatenpfad aufweist, der eine Schnittstellenein richtung der Rechenanlage mit der Recheneinrichtung verbin det, der Eingangsdatenpfad zumindest zwei Datenrelais und zu mindest einen Zwischenspeicher zur Zwischenspeicherung von Daten aufweist, jedes der zumindest zwei Datenrelais jeweils einen ersten und zweiten Anschluss und einen Zentralanschluss aufweist und jeweils wahlweise seinen ersten Anschluss und seinen Zentralanschluss oder seinen zweiten Anschluss und seinen Zentralanschluss verbinden kann und seinen ersten und zweiten Anschluss stets getrennt voneinander lässt, ein ers tes der zumindest zwei Datenrelais mit seinem ersten An schluss mit der Schnittstelleneinrichtung und mit seinem zweiten Anschluss mit der Recheneinrichtung in Verbindung steht und der Zentralanschluss des ersten Datenrelais mit dem zumindest einen Zwischenspeicher verbunden ist, der durch das erste Datenrelais wahlweise ausschließlich mit der Schnitt stelleneinrichtung oder dem zweiten Anschluss des ersten Da tenrelais verbunden ist, aber nicht gleichzeitig mit beiden.
Ein wesentlicher Vorteil der erfindungsgemäßen Rechenanlage besteht darin, dass durch den erfindungsgemäßen Einsatz der Datenrelais eine Entkopplung der Recheneinrichtung von der Schnittstelleneinrichtung möglich ist und Daten, die zur Re cheneinrichtung gesendet werden, zunächst im Zwischenspeicher abgespeichert und von einer Zwischeninstanz überprüft werden können. Eine Weiterleitung der Daten an die Recheneinrichtung kann somit beispielsweise davon abhängig gemacht werden, dass die Daten von einem autorisierten Datensender stammen oder korrekte Prüfsummen aufweisen.
Vorzugsweise ist mindestens eine Zwischenrechnereinrichtung vorhanden, die mit dem ersten Anschluss eines zweiten der zu mindest zwei Datenrelais in Verbindung steht.
Bei einer ersten als vorteilhaft angesehenen Variante ist vorgesehen, dass der zweite Anschluss des ersten Datenrelais mit dem Zentralanschluss des zweiten Datenrelais verbunden ist, der zweite Anschluss des zweiten Datenrelais unmittelbar mit der Recheneinrichtung oder mittelbar über ein oder mehre re weitere Datenrelais mit der Recheneinrichtung in Verbin dung steht und mit den Datenrelais - bei geeigneter Relais stellung - ein unmittelbarer Datenzugriff der Recheneinrich tung auf den Zwischenspeicher möglich ist.
Vorteilhaft ist es insbesondere auch, wenn ein oder mehr wei tere Datenrelais vorhanden sind, die mit dem ersten und zwei ten Datenrelais eine Relaiskaskade bilden, bei der das in der Relaiskaskade erste Datenrelais mit seinem ersten Anschluss mit der Schnittstelleneinrichtung und das in der Relaiskaska de letzte Datenrelais mit seinem zweiten Anschluss mit der Recheneinrichtung in Verbindung steht, und mit den Datenre lais ein unmittelbarer Datenzugriff der Recheneinrichtung auf den Zwischenspeicher möglich ist, wenn bei allen Datenrelais der Relaiskaskade der zweite Anschluss mit dem Zentralan schluss verbunden ist.
Bei der letztgenannten Variante ist es außerdem von Vorteil, wenn zwei oder mehr Datenrelais der Relaiskaskade jeweils ei ne Zwischenrechnereinrichtung zugeordnet sind und die Zwi schenrechnereinrichtungen jeweils mit dem ersten Anschluss des zugeordneten Datenrelais verbunden sind und jede der Zwi schenrechnereinrichtungen jeweils Daten, die von der Schnitt stelleneinrichtung in dem Zwischenspeicher zur Weiterleitung an die Recheneinrichtung gespeichert worden sind, prüft und ihrerseits eine Freigabe zur Durchschaltung der Relaiskaskade erteilen, wenn die Prüfung keinen Hinderungsgrund anzeigt.
Zur Ansteuerung der Datenrelais ist vorzugsweise eine Relais steuereinrichtung vorhanden.
Die Relaissteuereinrichtung steuert die Datenrelais vorzugs weise derart an, dass ein unmittelbarer Datenzugriff der Re cheneinrichtung auf den Zwischenspeicher möglich ist, wenn die mindestens eine Zwischenrechnereinrichtung, vorzugsweise alle Zwischenrechnereinrichtungen im Falle mehrerer Zwischen rechnereinrichtungen, der Relaissteuereinrichtung eine Frei gabe zum unmittelbaren Datenzugriff erteilen.
Bei einer zweiten als vorteilhaft angesehenen Variante ist vorgesehen, dass mit der Zwischenrechnereinrichtung der zwei te Anschluss des ersten Datenrelais und der erste Anschluss des zweiten Datenrelais verbunden ist, an den Zentralan schluss des zweiten Datenrelais ein weiterer Zwischenspeicher angeschlossen ist und die Zwischenrechnereinrichtung Daten, die von der Schnittstelleneinrichtung in dem an das erste Da tenrelais angeschlossenen Zwischenspeicher zur Weiterleitung an die Recheneinrichtung gespeichert worden sind, prüft und diese Daten an den an das zweite Datenrelais angeschlossenen Zwischenspeicher weiterleitet, wenn die Prüfung keinen Hinde rungsgrund anzeigt.
Bei der letztgenannten Variante ist es von Vorteil, wenn ein oder mehr weitere Datenrelais vorhanden sind, die mit dem ersten und zweiten Datenrelais eine Relaiskaskade bilden, bei der das in der Relaiskaskade erste Datenrelais mit seinem ersten Anschluss mit der Schnittstelleneinrichtung und das in der Relaiskaskade letzte Datenrelais mit seinem zweiten An schluss mit der Recheneinrichtung verbunden ist, zumindest einem Paar an aufeinanderfolgenden Datenrelais der Relais kaskade, vorzugsweise allen Paaren, jeweils eine Zwischen rechnereinrichtung zugeordnet ist, die mit dem ersten An schluss des - in Kaskadenrichtung in Richtung Recheneinrich- tung gesehen - vorderen Datenrelais des jeweiligen Relaispaa res und dem zweiten Anschluss des - in Kaskadenrichtung in Richtung Recheneinrichtung gesehen - hinteren Datenrelais des jeweiligen Relaispaares verbunden ist und jeweils die in dem an das hintere Datenrelais angeschlossenen Zwischenspeicher gespeicherten Daten, die zur Weiterleitung an die Rechenein richtung vorgesehen sind, prüft und diese Daten an den an das vordere Datenrelais angeschlossenen Zwischenspeicher weiter leitet, wenn die Prüfung keinen Hinderungsgrund anzeigt.
Auch ist es vorteilhaft, wenn der mindestens einen Zwischen rechnereinrichtung oder zumindest einer der Zwischenrechner einrichtungen eine Hilfsrechnereinrichtung zugeordnet ist, die mit der Zwischenrechnereinrichtung über ein Hilfsrelais und einen Hilfszwischenspeicher gekoppelt ist, die Zwischen rechnereinrichtung eine Vorprüfung der Daten, die in dem an das zugeordnete Datenrelais (z. B. zweite Datenrelais) ange schlossenen Zwischenspeicher zur Weiterleitung an die Rechen einrichtung gespeichert worden sind, durchführt und eine An frage, die die gespeicherten Daten betrifft, an eine externe Zentraleinrichtung übermittelt, die Hilfsrechnereinrichtung dazu ausgebildet ist, bei Empfang eines positiven, die Ver wertbarkeit der gespeicherten Daten anzeigenden Rückmeldesig nals der externen Zentraleinrichtung eine Freigabeinformation über das Hilfsrelais in dem Hilfszwischenspeicher zu hinter legen, und die Zwischenrechnereinrichtung bei Vorliegen der Freigabeinformation in dem Hilfszwischenspeicher eine Freiga be zum Umschalten des zugeordneten Datenrelais, insbesondere des zweiten Relais, zum Zwecke eines Datenflusses in Richtung der Recheneinrichtung erteilt.
Darüber hinaus ist es vorteilhaft, wenn der mindestens einen Zwischenrechnereinrichtung oder zumindest einer der Zwischen rechnereinrichtungen und/oder der Schnittstelleneinrichtung eine Neustarteinrichtung zugeordnet ist, die mit der Zwi schenrechnereinrichtung bzw. der Schnittstelleneinrichtung über das zweite Datenrelais oder ein Hilfsrelais und einen Hilfszwischenspeicher gekoppelt ist, und die Neustarteinrich- tung geeignet ist, eine einen Neustart der Zwischenrechner einrichtung bzw. der Schnittstelleneinrichtung ermöglichende Startdatei zu erzeugen und diese in dem Hilfszwischenspeicher zu hinterlegen.
Mit Blick auf eine Entkopplung des Zwischenspeichers wird es als vorteilhaft angesehen, wenn bei zumindest einem Datenre lais der erste oder zweite Anschluss unbelegt ist.
Die von der Zwischenrechnereinrichtung oder den Zwischenrech nereinrichtungen durchzuführende Prüfung der Daten, die zu der Recheneinrichtung übertragen werden sollen, umfasst vor zugsweise zumindest eine, mehrere oder alle der folgenden Prüfschritte :
- Prüfen von Sequenznummern,
- Prüfen von Signaturen,
- Bilden und Prüfen von Prüfsummen,
- Prüfen der Herkunft der Daten auf kryptografischer Basis,
- Virenprüfung,
- Überprüfung von TANs .
Die Erfindung bezieht sich außerdem auf eine eisenbahntechni sche Anlage, insbesondere ein Stellwerk oder ein Schienen fahrzeug. Erfindungsgemäß ist diesbezüglich vorgesehen, dass die eisenbahntechnische Anlage eine Rechenanlage wie oben be schrieben aufweist.
Die Erfindung bezieht sich außerdem auf ein Verfahren zum Be treiben einer Rechenanlage, insbesondere einer Rechenanlage wie oben beschrieben. Erfindungsgemäß ist vorgesehen, dass Daten, die von einer Schnittstelleneinrichtung in Richtung der Rechenanlage weitergeleitet werden sollen, über einen Eingangsdatenpfad geleitet werden, der eine Schnittstellen einrichtung der Rechenanlage mit der Recheneinrichtung ver bindet, der Eingangsdatenpfad zumindest zwei Datenrelais und zumindest einen Zwischenspeicher zur Zwischenspeicherung von Daten aufweist, jedes der zumindest zwei Datenrelais jeweils einen ersten und zweiten Anschluss und einen Zentralanschluss aufweist und jeweils wahlweise seinen ersten Anschluss und seinen Zentralanschluss oder seinen zweiten Anschluss und seinen Zentralanschluss verbinden kann und seinen ersten und zweiten Anschluss stets getrennt voneinander lässt, ein ers tes der zumindest zwei Datenrelais mit seinem ersten An schluss mit der Schnittstelleneinrichtung und mit seinem zweiten Anschluss mittelbar oder unmittelbar mit der Rechen einrichtung in Verbindung steht, der Zentralanschluss des ersten Datenrelais mit dem zumindest einen Zwischenspeicher verbunden ist, der durch das erste Datenrelais wahlweise aus schließlich mit der Schnittstelleneinrichtung oder dem zwei ten Anschluss des ersten Datenrelais verbunden ist, aber nicht gleichzeitig mit beiden, und die Weiterleitung der Da ten über zumindest das erste Datenrelais und den an das erste Datenrelais angeschlossenen Zwischenspeicher erfolgt.
Bezüglich der Vorteile und vorteilhafter Ausgestaltungen des erfindungsgemäßen Verfahrens sei auf die obigen Ausführungen im Zusammenhang mit der erfindungsgemäßen Rechenanlage ver wiesen, die für das erfindungsgemäße Verfahren entsprechend gelten .
Die Erfindung wird nachfolgend anhand von Ausführungsbeispie len näher erläutert; dabei zeigen beispielhaft
Figur 1 ein Ausführungsbeispiel für eine erfindungsgemäße
Rechenanlage, anhand derer ein erstes Ausführungs beispiel für ein erfindungsgemäßes Verfahren erläu tert wird,
Fig. 2-4 andere bei dem ersten Ausführungsbeispiel mögliche
Schaltzustände der Datenrelais,
Figur 5 ein weiteres Ausführungsbeispiel für eine erfin
dungsgemäße Rechenanlage, anhand derer ein zweites Ausführungsbeispiel für ein erfindungsgemäßes Ver fahren erläutert wird, Figur 6 ein anderer Schaltzustand der Datenrelais bei dem zweiten Ausführungsbeispiel gemäß Figur 5,
Figur 7 ein Ausführungsbeispiel für eine TAN-Prüfung,
Figur 8 ein Ausführungsbeispiel für eine erfindungsgemäße
Rechenanlage, bei der einer Zwischenrechnereinrich tung eine Hilfsrechnereinrichtung und ein Hilfszwi schenspeicher zugeordnet ist,
Figur 9 ein Ausführungsbeispiel für eine erfindungsgemäße
Rechenanlage, bei der einer Schnittstelleneinrich tung eine Neustarteinrichtung zugeordnet ist, und
Figur 10 ein Ausführungsbeispiel für eine erfindungsgemäße
Rechenanlage, bei der zumindest zwei Relais unbe- schaltete Anschlüsse aufweisen zwecks gleichzeiti ger Trennung des Zwischenspeichers von der Schnitt stelleneinrichtung und der Recheneinrichtung.
In den Figuren werden der Übersicht halber für identische o- der vergleichbare Elemente stets dieselben Bezugszeichen ver wendet .
Die Figur 1 zeigt ein Ausführungsbeispiel für eine Rechenan lage 10, die beispielsweise einen Bestandteil einer eisen bahntechnischen Anlage bilden kann. Die Rechenanlage 10 ist mit einer Recheneinrichtung 11 ausgestattet, zu der Daten D einer externen Datenquelle 20 übermittelt werden können. Zu diesem Zweck weist die Rechenanlage 10 eine Schnittstellen einrichtung 12 auf, die beispielsweise über das Internet oder ein anderes Kommunikationsnetz NET mit der externen Daten quelle 20 kommunizieren kann.
Ein Eingangsdatenpfad 13 verbindet die Schnittstelleneinrich tung 12 mit der Recheneinrichtung 11. Der Eingangsdatenpfad 13 umfasst ein erstes Datenrelais RI, ein zweites Datenrelais R2 und weitere Datenrelais R3 und R4, die eine Relaiskaskade 14 bilden. Jedes Datenrelais R1-R4 weist jeweils einen ersten Anschluss Al, einen zweiten Anschluss A2 und einen Zentralan schluss A3 auf. Die Datenrelais R1-R4 sind jeweils derart ausgebildet, dass sie jeweils wahlweise ihren ersten An schluss Al mit dem Zentralanschluss A3 oder ihren zweiten An schluss Al mit dem Zentralanschluss A3 verbinden können; der erste und zweite Anschluss Al, A2 sind stets getrennt vonei nander .
Der erste Anschluss Al des ersten Datenrelais RI ist mit der Schnittstelleneinrichtung 12 verbunden, der zweite Anschluss A2 des ersten Datenrelais RI ist an den Zentralanschluss A3 des zweiten Datenrelais R2 angeschlossen. Der Zentralan schluss A3 des ersten Datenrelais RI steht mit einem Zwi schenspeicher ZS in Verbindung.
Die inneren Datenrelais R2-R3 der Relaiskaskade 14 sind je weils derart verschaltet, dass jeweils der zweite Anschluss A2 des in der Relaiskaskade 14 vorgeordneten Datenrelais mit dem Zentralanschluss A3 des in der Relaiskaskade 14 nachge- ordneten Datenrelais verbunden ist.
Das in der Relaiskaskade 14 letzte Datenrelais R4 ist mit seinem zweiten Anschluss A2 mit der Recheneinrichtung 11 ver bunden .
Die Figur 1 lässt erkennen, dass ein unmittelbarer Datenzu griff der Recheneinrichtung 11 auf den Zwischenspeicher ZS nur möglich ist, wenn bei allen Datenrelais R1-R4 der Relais kaskade 14 der zweite Anschluss A2 mit dem Zentralanschluss A3 verbunden ist.
An den ersten Anschluss Al des zweiten Datenrelais R2 und der weiteren Datenrelais R3-R4 der Relaiskaskade 14 ist jeweils eine Zwischenrechnereinrichtung ZRE1-ZRE3 angeschlossen. Die Aufgabe der Zwischenrechnereinrichtungen ZRE1-ZRE3 besteht jeweils darin, die Daten D, die von der Schnittstellenein richtung 12 in dem Zwischenspeicher ZS zur Weiterleitung an die Recheneinrichtung 11 gespeichert worden sind, zu prüfen und eine Freigabe zur Durchschaltung der Relaiskaskade 14 zu erteilen, wenn die Prüfung keinen Hinderungsgrund anzeigt bzw. ein positives Prüfergebnis liefert. Wird ein Hinderungs grund erkannt, so wird stattdessen ein Sperrsignal zum Sper ren der Relaiskaskade 14 erzeugt.
Zur Ansteuerung der Datenrelais R der Relaiskaskade 14 ist eine Relaissteuereinrichtung 16 vorhanden. Die Relaissteuer einrichtung 16 steht über nicht gezeigte Leitungen mit den Zwischenrechnereinrichtungen ZRE1-ZRE3 in Verbindung und wer tet deren Prüfungsergebnisse aus. Die Relaissteuereinrichtung 16 steuert die Datenrelais derart an, dass ein unmittelbarer Datenzugriff der Recheneinrichtung 11 auf den Zwischenspei cher ZS nur möglich ist, wenn alle Zwischenrechnereinrichtun gen ZRE1-ZRE3 der Relaissteuereinrichtung 16 eine Freigabe zum unmittelbaren Datenzugriff erteilen.
Die Anordnung gemäß Figur 1 kann beispielsweise wie folgt be trieben werden:
Zunächst wird die Relaissteuereinrichtung 16 die Datenrelais R1-R4 der Relaiskaskade 14 in einen definierten Ausgangszu stand (siehe Figur 1) versetzen, bei der die Zentralanschlüs se A3 jeweils mit dem ersten Anschluss Al verbunden sind.
Empfängt die Schnittstelleneinrichtung 12 von der externen Datenquelle 20 Daten D, so speichert sie die Daten D in dem Zwischenspeicher ZS ab. Sind Daten D abgespeichert worden, so teilt die Schnittstelleneinrichtung 12 dies der Relaissteuer einrichtung 16 mit.
In nachfolgenden Schritten wird die Relaissteuereinrichtung 16 die Datenrelais R der Relaiskaskade 14 nacheinander um stellen :
In einem ersten Schritt wird das erste Datenrelais RI umge schaltet (siehe Figur 2) und somit der Zwischenspeicher ZS mit der an das erste Datenrelais RI angeschlossenen Zwischen rechnereinrichtung ZRE1 (nachfolgend erste Zwischenrechner einrichtung ZRE1 genannt) verbunden. Die erste Zwischenrech nereinrichtung ZRE1 prüft die Daten D. Sind diese aus Sicht der ersten Zwischenrechnereinrichtung ZRE1 für eine Weiter leitung an die Recheneinrichtung 11 geeignet, so übersendet sie ein entsprechendes Freigabesignal an die Relaissteuerein richtung 16; andernfalls übersendet sie ein Sperrsignal.
Liegt ein Freigabesignal der ersten Zwischenrechnereinrich tung ZRE1 vor, so schaltet die Relaissteuereinrichtung 16 in einem zweiten Schritt (siehe Figur 3) das zweite Datenrelais R2 um und verbindet somit den Zwischenspeicher ZS mit der an das zweite Datenrelais R2 angeschlossenen Zwischenrechnerein richtung ZRE2 (nachfolgend zweite Zwischenrechnereinrichtung ZRE2 genannt) . Nun prüft die zweite Zwischenrechnereinrich tung ZRE2 die Daten D. Sind diese aus Sicht der zweiten Zwi schenrechnereinrichtung ZRE2 für eine Weiterleitung an die Recheneinrichtung 11 geeignet, so übersendet sie ein entspre chendes Freigabesignal an die Relaissteuereinrichtung 16; an dernfalls übersendet sie ein Sperrsignal.
In entsprechender Weise wird anschließend das dritte Datenre lais R3 der Relaiskaskade 14 umgeschaltet, so dass die dritte Zwischenrechnereinrichtung ZRE3 die Daten D im Zwischenspei cher ZS prüfen kann.
Liegt von allen Zwischenrechnereinrichtungen ZRE1-ZRE3 eine Freigabe vor, so wird das letzte Datenrelais R4 der Relais kaskade 14 umgeschaltet und somit ein Zugriff der Rechenein richtung 11 auf die Daten D im Zwischenspeicher ZS erlaubt. Dieser Schaltzustand der Relaiskaskade 14 ist in der Figur 4 gezeigt. Die Recheneinrichtung 11 kann die Daten D beispiels weise in einen eigenen Speicher 11a kopieren.
Die Zwischenrechnereinrichtungen ZRE1-ZRE3 können ihre Prü fergebnisse auch an eine übergeordnete Diagnoseeinrichtung 17 senden, mit der sie vorzugsweise jeweils über eine Datendiode 18 verbunden sind.
Bei dem Ausführungsbeispiel gemäß den Figuren 1 bis 4 dient die Relaiskaskade 14 zum Verbinden der Recheneinrichtung 11 direkt mit dem Zwischenspeicher ZS, wenn die Prüfung der Da ten D durch die Zwischenrechnereinrichtungen ZRE1-ZRE3 ein positives Ergebnis lieferte.
Die Figur 5 zeigt ein weiteres Ausführungsbeispiel. Bei dem Ausführungsbeispiel gemäß der Figur 5 ist an die Zentralan schlüsse A3 jedes Datenrelais RI, R2, R3 jeweils ein Zwi schenspeicher ZS1, ZS2, ZS3 angeschlossen.
Jedem Paar an aufeinanderfolgenden Datenrelais RI, R2, R3 der Relaiskaskade 14 ist jeweils eine Zwischenrechnereinrichtung ZRE1, ZRE2 zugeordnet, die mit dem ersten Anschluss Al des - in Kaskadenrichtung K in Richtung Recheneinrichtung 11 gese hen - vorderen Datenrelais des jeweiligen Relaispaares und dem zweiten Anschluss A2 des - in Kaskadenrichtung in Rich tung Recheneinrichtung 11 gesehen - hinteren Datenrelais des jeweiligen Relaispaares verbunden ist.
Jede Zwischenrechnereinrichtung ZRE1, ZRE2 prüft jeweils die Daten D, die in dem an das hintere Datenrelais angeschlosse nen Zwischenspeicher ZS1, ZS2 gespeichert sind. Zeigt die Prüfung, dass die Daten D zur Weiterleitung an die Rechenein richtung 11 geeignet sind, so speichert sie die Daten D in dem an das vordere Datenrelais angeschlossenen Zwischenspei cher ZS2, ZS3 ab.
In der Figur 5 ist ein Schaltzustand dargestellt, bei dem die erste Zwischenrechnereinrichtung ZRE1 die im ersten Zwischen speicher ZS1 gespeicherten Daten D prüft und diese - bei po sitivem Prüfergebnis - in dem zweiten Zwischenspeicher ZS2 abspeichert . In der Figur 6 ist der nächste Schaltzustand dargestellt. Bei dem nächsten Schaltzustand prüft die zweite Zwischenrechner einrichtung ZRE2 die im zweiten Zwischenspeicher ZS2 gespei cherten Daten D und speichert diese - bei positivem Prüfer gebnis - in dem dritten Zwischenspeicher ZS3 ab.
Wird anschließend das dritte Relais R3 umgeschaltet, so kann die Recheneinrichtung 11 auf die Daten D zugreifen.
Die Figur 7 zeigt ein Ausführungsbeispiel für eine Rechenan lage 10 mit einer Zwischenrechnereinrichtung ZRE, die einen TAN-Prüfschritt ausführen kann. In dem TAN-Prüfschritt wird überprüft, ob Daten D eine TAN-Sequenznummer enthalten, die gemäß einer vorgegebenen TAN-Liste 100 erwartet wird bzw. zu lässig ist. Weisen die Daten D die richtige TAN-Sequenznummer oder eine zulässige TAN-Sequenznummer gemäß der TAN-Liste 100 auf, so wird der TAN-Prüfschritt als bestanden angesehen und es werden ggf. weitere Prüfschritte durchgeführt. Andernfalls wird die Datenprüfung als nicht bestanden gewertet und es wird eine Weiterleitung der Daten D an die Recheneinrichtung 11 blockiert.
Ein entsprechender TAN-Prüfschritt kann auch von den Zwi schenrechnereinrichtungen bei den Rechenanlagen gemäß den Fi guren 1 bis 6 sowie 8 bis 10 durchgeführt werden.
Die Figur 8 zeigt ein Ausführungsbeispiel für eine Rechenan lage 10 mit einer Zwischenrechnereinrichtung ZRE, der eine Hilfsrechnereinrichtung HRE zugeordnet ist. Die Zwischenrech nereinrichtung ZRE ist mit der Hilfsrechnereinrichtung HRE über ein Hilfsrelais HR und einen Hilfszwischenspeicher HS gekoppelt .
Die Zwischenrechnereinrichtung ZRE führt eine Vorprüfung der Daten D, die von der Schnittstelleneinrichtung 12 in dem Zwi schenspeicher ZS zur Weiterleitung an die Recheneinrichtung 11 gespeichert worden sind, durch. Die Vorprüfung kann bei spielsweise die Prüfung der Herkunft der Daten D mittels Zer- tifikaten oder die Unversehrtheit der Daten D anhand einer PrüfSummenprüfung einschließen.
Sind die Daten D aus Sicht der Zwischenrechnereinrichtung ZRE zur Weiterleitung an die Recheneinrichtung 11 geeignet, so sendet sie eine Anfrage Sa, die die gespeicherten Daten D be trifft, über eine Datendiode 301 und einen Schnittstellenbau stein 302 an eine externe Zentraleinrichtung 30.
Die externe Zentraleinrichtung 30 prüft nun ihrerseits die Verwertbarkeit der Daten D und übersendet - bei positivem Prüfergebnis - ein positives, die Verwertbarkeit der gespei cherten Daten D anzeigendes Rückmeldesignal Sr an die Hilfs rechnereinrichtung HRE . Die Prüfung der externen Zentralein richtung 30 kann beispielsweise eine Prüfung einschließen, ob Zertifikate gültig sind oder nicht.
Die Hilfsrechnereinrichtung HRE hinterlegt nach Empfang des Rückmeldesignals der externen Zentraleinrichtung eine Frei gabeinformation I über das Hilfsrelais HR in dem Hilfszwi schenspeicher HS. Bei Vorliegen der Freigabeinformation I in dem Hilfszwischenspeicher HS erteilt die Zwischenrechnerein richtung ZRE eine Freigabe zum Umschalten des zugeordneten zweiten Datenrelais R2 zum Zwecke eines Datenflusses in Rich tung der Recheneinrichtung 11.
Liegt die Freigabe der Zwischenrechnereinrichtung ZRE vor, so schaltet die Relaissteuereinrichtung 16 das zweite Datenre lais R2 um, so dass die Recheneinrichtung 11 auf den Zwi schenspeicher ZS zugreifen kann, wie dies oben beispielhaft im Zusammenhang mit den Figuren 1 bis 7 erläutert wurde.
Entsprechende Hilfsrelais HR und Hilfszwischenspeicher HS können im Übrigen auch den Zwischenrechnereinrichtungen ZRE der Rechenanlagen gemäß den Figuren 1 bis 7 sowie 9 bis 10 zugeordnet werden. Die Figur 9 zeigt ein Ausführungsbeispiel für eine Rechenan lage 10, bei der die Schnittstelleneinrichtung 12 mit einer Reboot-Funktion ausgestattet ist. Der Schnittstelleneinrich tung 12 ist zu diesem Zwecke eine Neustarteinrichtung 121 zu geordnet, die mit der Schnittstelleneinrichtung 12 über ein Hilfsrelais HR und einen Hilfszwischenspeicher HS gekoppelt ist. Das Hilfsrelais HR bildet hier ein zweites Relais R2 der Rechenanlage 10. Die Neustarteinrichtung 121 ist dazu ausge bildet, eine einen Neustart der Schnittstelleneinrichtung 12 ermöglichende Startdatei SD zu erzeugen und diese in dem Hilfszwischenspeicher HS zu hinterlegen. Zur Erzeugung der Startdatei kann die Neustarteinrichtung 121 beispielsweise auf Software zugreifen, die in einem Speicher 121a gespei chert ist.
Die Startdatei SD ermöglicht es, die Schnittstelleneinrich tung 12 neu zu starten, wenn diese - beispielsweise wegen ei nes äußeren Angriffs mittels schädlicher Daten D - nicht oder nicht mehr zuverlässig arbeiten kann.
Entsprechende Neustarteinrichtungen 121, Hilfsrelais HR und Hilfszwischenspeicher HS können im Übrigen auch den Zwischen rechnereinrichtungen ZRE bei den Rechenanlagen gemäß den Fi guren 1 bis 8 sowie 10 zugeordnet werden.
Die Figur 10 zeigt ein Ausführungsbeispiel für eine Rechenan lage 10, bei der zwei Datenrelais Trennrelais Rt bilden. Bei den zwei Trennrelais Rt ist der erste Anschluss Al unbelegt. Die Trennrelais Rt ermöglichen eine Schaltstellung der Re laiskaskade 14, bei der der Zwischenspeicher ZS weder mit der Recheneinrichtung 11 noch mit der Schnittstelleneinrichtung 12 verbunden ist.
Die oben anhand der Figuren 1 bis 10 beschriebenen Ausfüh rungsbeispiele können einzelne oder mehrere der nachfolgend stichpunktartig aufgeführten Merkmale bzw. Vorteile aufwei- sen : - Die (inneren) Zwischenrechnereinrichtungen prüfen vorzugs weise die Daten D und erzeugen bei Auffälligkeiten/Abwei chungen über einen Diagnosekanal eine Meldung nach außen. Nach positiver Prüfung können die Daten D auf dem Daten träger belassen werden und es kann eine Prüf-Spur der Zwi schenrechnereinrichtung auf dem Datenträger hinterlassen werden .
- Die Zwischenrechnereinrichtungen sind vorzugsweise weder von außen bzw. aus dem Internet noch von einem internen Netz aus direkt erreichbar und können somit vorzugsweise nicht verändert bzw. manipuliert werden. Hierdurch wird gewährleistet, dass Funktionen, die einmal als vorhanden nachgewiesen wurden, auch zukünftig ihre Aufgabe erfüllen. Eine Attacke auf die Zwischenrechnereinrichtungen (inneren Rechner) von außen wird somit erschwert.
- Die inneren Zwischenrechnereinrichtungen können die Daten auf dem Datenträger z. B. auf Integrität, Virenfreiheit, Authentizität, Dateinamenstruktur, ..., prüfen. Es ist auch möglich, Daten herauszufiltern, die nur für eine bestimmte technische Anlage vorgesehen sind. Hierbei können diese Daten durch ein gesondertes Kennzeichen/Merkmal in den Da ten selbst erkannt werden.
- Jeder Rechner, insbesondere jede Zwischenrechnereinrich tung, hinterlässt vorzugsweise auf dem Datenträger einen Eintrag oder eine Prüf-Spur über die erfolgreiche Prüfung, so dass nachfolgende Rechner die Ergebnisse einsehen kön nen, z. B. ob ein Check von einem bestimmten Rechner stattgefunden hat. Diese Spur kann am Ende der Kette von dem letzten Anlagenrechner ebenfalls überprüft werden, und es kann festgestellt werden, ob alle zuständigen Rechner in die Überprüfung eingebunden wurden.
- Eine Kombination von verschiedenen Verfahren kann genutzt werden. Je nach Einschätzung der Sicherheit und Robustheit kann auch nur ein Verfahren genutzt werden. Die Aufgaben sollten vorzugsweise von verschiedenen Rechnern übernommen werden. Es ist jedoch auch denkbar, die genannten Funktio nen auf einem Rechner nacheinander durchzuführen. - Die Integrität lässt sich durch die Nutzung von verschie denen Prüfverfahren und Prüfsummen, z. B. MD4, MD5, SHA1, usw. überprüfen. Die Prüfwerte werden vorzugsweise durch den Daten-Lieferanten vorab erstellt und werden beim Hoch laden auf die Rechenanlage übergeben. Bei der Bestimmung der Prüfsummen kann zusätzlich noch ein Geheimnis (Salz) verwendet werden, das nur dem befugten Datenübermittler und dem prüfenden Rechner bekannt ist. Es können ein Prüf verfahren oder mehrere Prüfverfahren für eine Konfigurati on verwendet werden. Sollten Daten auf dem Datenträger sein, die nicht die korrekten Prüfsummen haben, werden diese vorzugsweise gelöscht. Bei einer besonders strikten Ausprägung könnten die gesamten Daten D auf dem Datenträ ger gelöscht werden. Diese Aktion wird bei Auffälligkeiten mittels eines Diagnosekanals vorzugsweise nach außen über mittelt (z. B. DatenDiode DCU Data Capture Unit) . Hier durch kann außerhalb des Verfahrens erkannt werden, dass hier Auffälligkeiten aufgetreten sind.
- Durch kryptografisches Signieren der Daten durch den Da tenübermittler (Einreicher) kann ein innerer Rechner vor dem Passieren oder Weiterleiten der Daten prüfen, ob die Daten von der berechtigten Person signiert wurden. Die entsprechenden kryptografischen Schlüssel werden bei der Konfiguration der Vorrichtung vorzugsweise miteingerich tet. Auch hier könnten Daten, die nicht korrekt signiert wurden, gelöscht werden.
- Ein weiteres Verfahren kann die auf dem Datenträger über mittelten Daten auf Viren- und Malware-Freiheit prüfen und bei Auffälligkeiten nur die Daten oder den gesamten Daten träger löschen und die Auffälligkeit über den Diagnoseka nal melden.
- Es können auch Rechner mit neuen Boot-Images versorgt und aufgesetzt werden. Hierzu wird der Boot-Datenträger vor zugsweise mit dem Boot-Image für den Rechner nach einem Herunterfahren bzw. Shutdown z. B. durch einen Steuercom puter abgekoppelt und an einen Deployment-Rechner angekop pelt. Dieser Deployment-Rechner kann nach dem Umhängen des Datenträgers diesen z. B. formatieren und ein frisches Boot-Image auf den Rechner aufspielen, z. B. unter Unix mittels Befehls sudo dd if=fresch_boot_iso_image . iso of=/dev/sdx bs=lM && sync.
- Ein Deployment Rechner kann verschiedene Versionen von
Images Vorhalten und bei Bedarf ein anderes Boot-Image zur Verfügung stellen. Nach dem erfolgreichen Überspielen des frischen Bootimage wird der Boot-Datenträger vorzugsweise wieder an den ursprünglichen Rechner angekoppelt und die ser Rechner neu gestartet. Hierdurch erhält der Rechner eine neue Aufgabe oder ist wieder in seinem Ursprungszu stand. Sollten zum Beispiel vorher durch Attacken Spuren eines Angriffs z. B. extra User-Accounts vorhanden gewesen sein, so sind diese nicht mehr vorhanden. Wenn das frische Boot-Image durch ein lokales Software-Update auf den
Deployment-Rechner aktualisiert wurde, können hierdurch auch Verbesserungen der Konfiguration z. B. des Betriebs systems erreicht werden. Es ist auch eine gleichzeitige Nutzung von mehreren Datenträgern möglich.
- In den oben beispielhaft beschriebenen Varianten wird bei spielhaft nur ein Datensatz D von einem Rechner zum nächs ten übergeben. Diese Vorgehensweise kann auf n Datensätze und n-Datenträger erweitert werden. Pro Rechner können zum Beispiel zwei Input- und zwei Output-Datenträger genutzt werden. Die Daten können dann nach erfolgreichen Tests o- der Prüfschritten vom Input-Datenträger auf den Output- Datenträger kopiert werden. Nach dem Abkoppeln wird der Datenträger vorzugsweise wieder zurückgegeben, somit las sen sich die Turnaround-Zeiten optimieren.
- In einer Ein-Rechnerkonfiguration für eine Datenträger- Schleuse wird nur ein innerer Rechner verwendet. Dieser startet vorzugsweise mit verschieden Boot-Images, die ihm von einem Steuerrechner und einem Deployment-Rechner nach einander übergeben werden. Der innere Rechner bootet z. B. zuerst mit dem Viren-Prüfprogramm und beendet sich nach erfolgreichem Check. Im Anschluss wird das Bootimage vor zugsweise durch den Deployment-Server umkonfiguriert und der innere Rechner wird erneut gestartet, in diesem Fall z. B. mit Prüfsummen-Prüfroutinen . Dieser Ablauf wird sooft wiederholt, bis alle verschiedenen Aufgaben der in neren Rechner abgearbeitet wurden.
- Über diversitäre Eingänge, Wege mit diversitären Filtern und einem anschließenden Zusammenführen lassen sich noch aufwendigere Varianten erstellen. So können z. B. Teile von Daten über verschiedene Eingangsketten durch einen Merge-Computer zusammengeführt werden
- Durch eine gesonderte anlagenspezifische TAN-Sequenznummer für Uploads beispielsweise können nur Daten eingebracht werden, wenn die interne TAN mit der von extern mitgegebe nen TAN übereinstimmt. Verbrauchte TAN werden vorzugsweise von der Liste gestrichen und nicht mehr verwendet.
- Durch ein zusätzliches Konstrukt ist es möglich, das Ver fahren um eine Zei-Faktor-Authentifizierung zu erweitern. In diesem Fall sendet vorzugsweise ein innerer Rechner über eine Datendiode eine Anfrage an einen externen (ggf. Cloud) Verifikationsrechner, um eine externe Überprüfung zu ermöglichen. Hierzu kann das gesamte Prüfobjekt oder ein Hashwert an den Verifikationsrechner übergeben werden. Dieser Verifikationsrechner kann eine weitere Prüfsumme oder Signatur für das Prüfobjekt erzeugen. Das Ergebnis der zweiten externen Überprüfung durch den Verifikations rechner wird im Anschluss wieder vorzugsweise an den inne ren Rechner übergeben. Erst wenn die Rückmeldung des Veri fikationsrechners mit der erwarteten Rückmeldung überein stimmt, werden die Daten an den nächsten Rechner überge ben. Hier könnte unter anderem auch eine Art 2FA-Verfahren analog zu Google genutzt werden.
- Die durch die verschiedenen Rechner durchgeführten Prüfun gen können durch die inneren Rechner protokolliert, kryp- tografisch signiert und an den Nachfolger-Rechner überge ben werden. Hierdurch entsteht eine Art Prüf-Spur über den Verlauf der Prüfkette. Jeder Rechner einer Spur hinter lässt auf dem Datenträger seine Signatur zu den positiv durchgeführten Tests. Eine entsprechende Signatur für Auf fälligkeiten ist ebenfalls möglich. Durch eine Konfigura tion kann vorab festgelegt werden, welche Rechner nachei nander bei der Prüfung eingebunden werden sollen. Hier- durch kann der letzte innere Rechner anhand der Konfigura tion der Spur und der Informationen ermitteln, ob alle re levanten Rechner der Spur eingebunden waren und ihre Sig naturen hinterlassen haben.
Sollte es notwendig sein, dass die Datenträger zwischen dem Umschalten von zwei Rechnern in einer "neutralen" Po sition verharren, so kann die Schaltung entsprechend auf gebaut werden.
Die Schnittstelleneinrichtung, die zum Beispiel durch ei nen äußeren Internet-fähigen Rechner gebildet ist, kann - wie oben beschrieben - wieder in den Ursprung versetzt bzw. rebooted werden.
Auch eine Aktualisierung der Rechner, insbesondere des an deren äußeren Rechners, ist durch die verteilte Architek tur sehr leicht möglich.
Bei den beschriebenen Verfahren kann ein vollständiger Protokollbruch bei der Datenübertragung erreicht werden.
Es ist möglich, dass immer nur ein Rechner mit einem Da tenträger verbunden ist; es kann also eine saubere Ent kopplung des Datenträgers erfolgen.
Die inneren Rechner können selbst sehr einfache und kleine Computer sein.
Obwohl die Erfindung im Detail durch bevorzugte Ausführungs- beispiele näher illustriert und beschrieben wurde, so ist die Erfindung nicht durch die offenbarten Beispiele eingeschränkt und andere Variationen können vom Fachmann hieraus abgeleitet werden, ohne den Schutzumfang der Erfindung zu verlassen.

Claims

Patentansprüche
1. Rechenanlage (10) mit einer Recheneinrichtung (11), d a d u r c h g e k e n n z e i c h n e t, dass
- die Rechenanlage (10) einen Eingangsdatenpfad (13) auf
weist, der eine Schnittstelleneinrichtung (12) der Rechen anlage (10) mit der Recheneinrichtung (11) verbindet,
- der Eingangsdatenpfad (13) zumindest zwei Datenrelais (Rl- R4 ) und zumindest einen Zwischenspeicher (ZS) zur Zwi schenspeicherung von Daten (D) aufweist,
- jedes der zumindest zwei Datenrelais (R1-R4) jeweils einen ersten und zweiten Anschluss (Al, A2 ) und einen Zentralan schluss (A3) aufweist und jeweils wahlweise seinen ersten Anschluss (Al) und seinen Zentralanschluss (A3) oder sei nen zweiten Anschluss (A2) und seinen Zentralanschluss (A3) verbinden kann und seinen ersten und zweiten An schluss (Al, A2 ) stets getrennt voneinander lässt,
- ein erstes der zumindest zwei Datenrelais (RI) mit seinem ersten Anschluss (Al) mit der Schnittstelleneinrichtung (12) und mit seinem zweiten Anschluss (A2) mit der Rechen einrichtung (11) in Verbindung steht und
- der Zentralanschluss (A3) des ersten Datenrelais (RI) mit dem zumindest einen Zwischenspeicher (ZS) verbunden ist, der durch das erste Datenrelais (RI) wahlweise ausschließ lich mit der Schnittstelleneinrichtung (12) oder dem zwei ten Anschluss (Al) des ersten Datenrelais (RI) verbunden ist, aber nicht gleichzeitig mit beiden.
2. Rechenanlage (10) nach Anspruch 1,
d a d u r c h g e k e n n z e i c h n e t, dass
mindestens eine Zwischenrechnereinrichtung (ZRE1) vorhanden ist, die mit dem ersten Anschluss (Al) eines zweiten der zu mindest zwei Datenrelais (R2) in Verbindung steht.
3. Rechenanlage (10) nach einem der voranstehenden Ansprüche, d a d u r c h g e k e n n z e i c h n e t, dass - der zweite Anschluss (A2) des ersten Datenrelais (RI) mit dem Zentralanschluss (A3) des zweiten Datenrelais (R2) verbunden ist,
- der zweite Anschluss (A2) des zweiten Datenrelais (R2) un mittelbar mit der Recheneinrichtung (11) oder mittelbar über ein oder mehrere weitere Datenrelais (R3-R4) mit der Recheneinrichtung (11) in Verbindung steht und
- mit den Datenrelais (R1-R4) - bei geeigneter Relaisstel lung - ein unmittelbarer Datenzugriff der Recheneinrich tung (11) auf den Zwischenspeicher (ZS) möglich ist.
4. Rechenanlage (10) nach einem der voranstehenden Ansprüche, d a d u r c h g e k e n n z e i c h n e t, dass
- ein oder mehr weitere Datenrelais (R3-R4) vorhanden sind Relaiskaskade (14) bilden, bei der das in der Relaiskaska de (14) erste Datenrelais (RI) mit seinem ersten Anschluss (Al) mit der Schnittstelleneinrichtung (12) und das in der Relaiskaskade (14) letzte Datenrelais (R4) mit seinem zweiten Anschluss (A2) mit der Recheneinrichtung (11) in Verbindung steht, und
- mit den Datenrelais (R1-R4) ein unmittelbarer Datenzugriff der Recheneinrichtung (11) auf den Zwischenspeicher (ZS) möglich ist, wenn bei allen Datenrelais (R1-R4) der Re laiskaskade (14) der zweite Anschluss (Al) mit dem Zent ralanschluss (A3) verbunden ist.
5. Rechenanlage (10) nach Anspruch 4,
d a d u r c h g e k e n n z e i c h n e t, dass
- zwei oder mehr Datenrelais (R2-R4) der Relaiskaskade (14) jeweils eine Zwischenrechnereinrichtung (ZRE1-ZRE3) zuge ordnet ist und die Zwischenrechnereinrichtungen (ZRE1- ZRE3) jeweils mit dem ersten Anschluss (Al) des zugeordne ten Datenrelais (R2-R4) verbunden sind und
- jede der Zwischenrechnereinrichtungen (ZRE1-ZRE3) jeweils Daten (D) , die von der Schnittstelleneinrichtung (12) in dem Zwischenspeicher (ZS) zur Weiterleitung an die Rechen einrichtung (11) gespeichert worden sind, prüft und ihrer seits eine Freigabe zur Durchschaltung der Relaiskaskade (14) erteilen, wenn die Prüfung keinen Hinderungsgrund an zeigt.
6. Rechenanlage (10) nach einem der voranstehenden Ansprüche, d a d u r c h g e k e n n z e i c h n e t, dass
- zur Ansteuerung der Datenrelais (R1-R4) eine Relaissteuer einrichtung (16) vorhanden ist und
- die Relaissteuereinrichtung (16) die Datenrelais (R1-R4) derart ansteuert, dass ein unmittelbarer Datenzugriff der Recheneinrichtung (11) auf den Zwischenspeicher (ZS) mög lich ist, wenn die mindestens eine Zwischenrechnereinrich tung (ZRE1), vorzugsweise alle Zwischenrechnereinrichtun gen (ZRE1-ZRE3) im Falle mehrerer Zwischenrechnereinrich tungen, der Relaissteuereinrichtung (16) eine Freigabe zum unmittelbaren Datenzugriff erteilen.
7. Rechenanlage (10) nach einem der voranstehenden Ansprüche, d a d u r c h g e k e n n z e i c h n e t, dass
- mit der mindestens einen Zwischenrechnereinrichtung (ZRE1) der zweite Anschluss (A2) des ersten Datenrelais (RI) und der erste Anschluss (Al) des zweiten Datenrelais (R2) ver bunden ist,
- an den Zentralanschluss (A3) des zweiten Datenrelais (Rl- R4 ) ein weiterer Zwischenspeicher (ZS2) angeschlossen ist und
- die mindestens eine Zwischenrechnereinrichtung (ZRE1) Da ten (D) , die von der Schnittstelleneinrichtung (12) in dem an das erste Datenrelais (RI) angeschlossenen Zwischen speicher (ZS1) zur Weiterleitung an die Recheneinrichtung (11) gespeichert worden sind, prüft und diese Daten (D) an den an das zweite Datenrelais (R2) angeschlossenen Zwi schenspeicher (ZS2) weiterleitet, wenn die Prüfung keinen Hinderungsgrund anzeigt.
8. Rechenanlage (10) nach Anspruch 7,
d a d u r c h g e k e n n z e i c h n e t, dass
- ein oder mehr weitere Datenrelais (R3) vorhanden sind, die mit dem ersten und zweiten Datenrelais (R1-R2) eine Re- laiskaskade (14) bilden, bei der das in der Relaiskaskade (14) erste Datenrelais (RI) mit seinem ersten Anschluss (Al) mit der Schnittstelleneinrichtung (12) und das in der Relaiskaskade (14) letzte Datenrelais (R3) mit seinem zweiten Anschluss (A2) mit der Recheneinrichtung (11) ver bunden ist,
- zumindest einem Paar an aufeinanderfolgenden Datenrelais der Relaiskaskade (14), vorzugsweise allen Paaren, jeweils eine Zwischenrechnereinrichtung (ZRE1-ZRE2) zugeordnet ist, die mit dem ersten Anschluss (Al) des - in Kaskaden richtung (K) in Richtung Recheneinrichtung (11) gesehen - vorderen Datenrelais des jeweiligen Relaispaares und dem zweiten Anschluss (A2) des - in Kaskadenrichtung (K) in Richtung Recheneinrichtung (11) gesehen - hinteren Daten relais des jeweiligen Relaispaares verbunden ist und je weils die in dem an das hintere Datenrelais angeschlosse nen Zwischenspeicher gespeicherten Daten (D) , die zur Wei terleitung an die Recheneinrichtung (11) vorgesehen sind, prüft und diese Daten (D) an den an das vordere Datenre lais angeschlossenen Zwischenspeicher weiterleitet, wenn die Prüfung keinen Hinderungsgrund anzeigt.
9. Rechenanlage (10) nach einem der voranstehenden Ansprüche, d a d u r c h g e k e n n z e i c h n e t, dass
- der mindestens einen Zwischenrechnereinrichtung (ZRE) oder zumindest einer der Zwischenrechnereinrichtungen eine Hilfsrechnereinrichtung (HRE) zugeordnet ist, die mit der Zwischenrechnereinrichtung (ZRE) über ein Hilfsrelais (HR) und einen Hilfszwischenspeicher (HS) gekoppelt ist,
- die Zwischenrechnereinrichtung (ZRE) eine Vorprüfung der Daten (D) , die in dem an das zugeordnete Datenrelais (R2) angeschlossenen Zwischenspeicher (ZS) zur Weiterleitung an die Recheneinrichtung (11) gespeichert worden sind, durch führt und eine Anfrage (Sa) , die die gespeicherten Daten (D) betrifft, an eine externe Zentraleinrichtung (30) übermittelt,
- die Hilfsrechnereinrichtung (HRE) dazu ausgebildet ist, bei Empfang eines positiven, die Verwertbarkeit der ge- speicherten Daten (D) anzeigenden Rückmeldesignals (Sr) der externen Zentraleinrichtung (30) eine Freigabeinforma tion (I) über das Hilfsrelais (HR) in dem Hilfszwischen speicher (HS) zu hinterlegen, und
- die Zwischenrechnereinrichtung (ZRE) bei Vorliegen der Freigabeinformation (I) in dem Hilfszwischenspeicher (HS) eine Freigabe zum Umschalten des zugeordneten Datenrelais (R2), insbesondere des zweiten Relais, zum Zwecke eines Datenflusses in Richtung der Recheneinrichtung (11) er teilt.
10. Rechenanlage (10) nach einem der voranstehenden Ansprü che,
d a d u r c h g e k e n n z e i c h n e t, dass
- der mindestens einen Zwischenrechnereinrichtung (ZRE1,
ZRE) oder zumindest einer der Zwischenrechnereinrichtungen (ZRE1-ZRE3) und/oder der Schnittstelleneinrichtung (12) eine Neustarteinrichtung (121) zugeordnet ist, die mit der Zwischenrechnereinrichtung (ZRE1-ZRE3) bzw. der Schnitt stelleneinrichtung (12) über das zweite Datenrelais (R2) oder ein Hilfsrelais (HR) und einen Hilfszwischenspeicher (HS) gekoppelt ist, und
- die Neustarteinrichtung (121) geeignet ist, eine einen
Neustart der Zwischenrechnereinrichtung (ZRE1-ZRE3) bzw. der Schnittstelleneinrichtung (12) ermöglichende Startda tei (SD) zu erzeugen und diese in dem Hilfszwischenspei cher (HS) zu hinterlegen.
11. Rechenanlage (10) nach einem der voranstehenden Ansprü che,
d a d u r c h g e k e n n z e i c h n e t, dass
bei zumindest einem Datenrelais der erste oder zweite An schluss (Al, A2 ) unbelegt ist.
12. Rechenanlage (10) nach einem der voranstehenden Ansprü che,
d a d u r c h g e k e n n z e i c h n e t, dass die von der Zwischenrechnereinrichtung (ZRE1-ZRE3) oder den Zwischenrechnereinrichtungen (ZRE1-ZRE3) durchzuführende Prü fung der Daten (D) , die zu der Recheneinrichtung (11) über tragen werden sollen, zumindest eine, mehrere oder alle der folgenden Prüfschritte umfasst:
- Prüfen von Sequenznummern,
- Prüfen von Signaturen,
- Bilden und Prüfen von Prüfsummen,
- Prüfen der Herkunft der Daten (D) auf kryptografischer Ba sis,
- Virenprüfung,
- Überprüfung von TANs .
13. Eisenbahntechnische Anlage, insbesondere Stellwerk oder ein Schienenfahrzeug,
d a d u r c h g e k e n n z e i c h n e t, dass
diese eine Rechenanlage (10) nach einem der voranstehenden Ansprüche aufweist.
14. Verfahren zum Betreiben einer Rechenanlage (10), insbe sondere einer Rechenanlage (10) nach einem der voranstehenden Ansprüche,
d a d u r c h g e k e n n z e i c h n e t, dass
- Daten (D) , die von einer Schnittstelleneinrichtung (12) in Richtung der Rechenanlage (10) weitergeleitet werden sol len, über einen Eingangsdatenpfad (13) geleitet werden, der eine Schnittstelleneinrichtung (12) der Rechenanlage (10) mit der Recheneinrichtung (11) verbindet,
- der Eingangsdatenpfad (13) zumindest zwei Datenrelais (Rl- R4 ) und zumindest einen Zwischenspeicher (ZS) zur Zwi schenspeicherung von Daten (D) aufweist,
- jedes der zumindest zwei Datenrelais (R1-R4) jeweils einen ersten und zweiten Anschluss (Al, A2 ) und einen Zentralan schluss (A3) aufweist und jeweils wahlweise seinen ersten Anschluss (Al) und seinen Zentralanschluss (A3) oder sei nen zweiten Anschluss (A2) und seinen Zentralanschluss (A3) verbinden kann und seinen ersten und zweiten An schluss (Al, A2 ) stets getrennt voneinander lässt, - ein erstes der zumindest zwei Datenrelais (RI) mit seinem ersten Anschluss (Al) mit der Schnittstelleneinrichtung (12) und mit seinem zweiten Anschluss (A2) mittelbar oder unmittelbar mit der Recheneinrichtung (11) in Verbindung steht,
- der Zentralanschluss (A3) des ersten Datenrelais (RI) mit dem zumindest einen Zwischenspeicher (ZS) verbunden ist, der durch das erste Datenrelais (RI) wahlweise ausschließ lich mit der Schnittstelleneinrichtung (12) oder dem zwei- ten Anschluss (A2) des ersten Datenrelais (RI) verbunden ist, aber nicht gleichzeitig mit beiden, und
- die Weiterleitung der Daten (D) über zumindest das erste Datenrelais (RI) und den an das erste Datenrelais (RI) an geschlossenen Zwischenspeicher (ZS) erfolgt.
EP20728963.8A 2019-06-14 2020-05-12 Vorrichtungen und verfahren zum betreiben einer rechenanlage mit datenrelais Pending EP3957051A1 (de)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE102019208709.4A DE102019208709A1 (de) 2019-06-14 2019-06-14 Rechenanlage und Verfahren zum Betreiben einer Rechenanlage
PCT/EP2020/063125 WO2020249341A1 (de) 2019-06-14 2020-05-12 Vorrichtungen und verfahren zum betreiben einer rechenanlage mit datenrelais

Publications (1)

Publication Number Publication Date
EP3957051A1 true EP3957051A1 (de) 2022-02-23

Family

ID=70918385

Family Applications (1)

Application Number Title Priority Date Filing Date
EP20728963.8A Pending EP3957051A1 (de) 2019-06-14 2020-05-12 Vorrichtungen und verfahren zum betreiben einer rechenanlage mit datenrelais

Country Status (4)

Country Link
US (1) US11757781B2 (de)
EP (1) EP3957051A1 (de)
DE (1) DE102019208709A1 (de)
WO (1) WO2020249341A1 (de)

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US1749834A (en) * 1928-03-14 1930-03-11 Union Switch & Signal Co Railway-traffic-controlling apparatus
DE19742330C1 (de) * 1997-09-19 1998-10-29 Siemens Ag Verfahren zum Abschotten sicherheitsrelevanter Datenverarbeitungsanlagen gegen Beeinflussungen aus anderen Datennetzen sowie hierzu geeignete Einrichtung
US8495725B2 (en) * 2009-08-28 2013-07-23 Great Wall Systems Methods, systems, and computer readable media for adaptive packet filtering
AT509254B1 (de) * 2009-12-17 2011-10-15 Isa Auctionata Auktionen Ag Rechnersystem zum austausch von nachrichten
GB2503245A (en) * 2012-06-20 2013-12-25 Deep Secure Ltd Secure connection between computer networks using unidirectional links

Also Published As

Publication number Publication date
WO2020249341A1 (de) 2020-12-17
US11757781B2 (en) 2023-09-12
DE102019208709A1 (de) 2020-12-17
US20220353188A1 (en) 2022-11-03

Similar Documents

Publication Publication Date Title
EP3488556B1 (de) Sicheres konfigurieren eines gerätes
EP3295645B1 (de) Verfahren und anordnung zur rückwirkungsfreien übertragung von daten zwischen netzwerken
EP3355230A1 (de) Verfahren und vorrichtung zum rechnergestützten erstellen und ausführen einer steuerfunktion
WO2019175006A1 (de) Verfahren zum datenaustausch mit einem fahrzeugsteuergerät
EP3811564B1 (de) Verfahren zur sicherung von fahrzeugkomponenten und entsprechende fahrzeugkomponente
EP3951516A1 (de) System und verfahren zum verifizieren von komponenten eines industriellen kontrollsystems
WO2003003200A1 (de) Verfahren zum übertragen von software-modulen
EP2772856A1 (de) Verfahren zum Ausführen von Tasks auf einem Produktions-Computersystem sowie Datenverarbeitungssystem
EP3794769B1 (de) Änderung des inhalts eines wurzelzertifikatsspeichers
DE112019004692T5 (de) Datenverarbeitungsvorrichtung und managementvorrichtung
DE102020208536A1 (de) Gateway-vorrichtung, abnormitätsüberwachungsverfahren und speichermedium
EP3475143B1 (de) Anordnung mit einer sicherungstechnischen anlage sowie verfahren zu deren geschütztem betrieb mittels fernabfrage
WO2017194332A1 (de) Verbessern einer geräteauthentifizierung mit hilfe von geräteüberwachungsdaten
EP3957051A1 (de) Vorrichtungen und verfahren zum betreiben einer rechenanlage mit datenrelais
DE102018211597A1 (de) Verfahren zur Einrichtung eines Berechtigungsnachweises für ein erstes Gerät
EP3957033B1 (de) Rechenanlage und verfahren zum betreiben einer rechenanlage
DE102016212755B3 (de) Ethernet-Fahrzeugbordnetz mit geschützter Konfigurierbarkeit
DE102018133605B4 (de) Verfahren und Vorrichtung zur Prüfung der Integrität von Modulen einer Windkraftanlage
DE102020209363A1 (de) Verfahren und sicherheitsgerichtetes System zum Ausführen von Sicherheitsfunktionen
EP3826226A1 (de) Verfahren zur fahrtenregistrierung für eine eisenbahntechnische anlage und registrierungsteilnehmer
EP1643336A1 (de) Eindeutige Produktidentifikation
EP3796107A1 (de) Leitsystem und verfahren zum zertifikatsmanagement
EP3703333B1 (de) Verfahren, vorrichtung und anlage zur verarbeitung wenigstens einer information in einer sicherheitstechnischen anlage
AT507122B1 (de) Verfahren zum betrieb einer transaktionsbasierten ablaufsteuerung
EP3832508B1 (de) Sperrung oder widerruf eines gerätezertifikats

Legal Events

Date Code Title Description
STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: UNKNOWN

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE INTERNATIONAL PUBLICATION HAS BEEN MADE

PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: REQUEST FOR EXAMINATION WAS MADE

17P Request for examination filed

Effective date: 20211118

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

DAV Request for validation of the european patent (deleted)
DAX Request for extension of the european patent (deleted)
STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: EXAMINATION IS IN PROGRESS

17Q First examination report despatched

Effective date: 20250605

RAP3 Party data changed (applicant data changed or rights of an application transferred)

Owner name: SIEMENS MOBILITY GMBH