EP4314963A1

EP4314963A1 - Verfahren zur prüfung einer konfiguration mindestens einer komponente einer automatisierungsanlage und automatisierungsanlage

Info

Publication number: EP4314963A1
Application number: EP22728829.7A
Authority: EP
Inventors: Rainer Falk; Christian Peter Feist; Axel Pfau; Stefan Pyka; Daniel Schneider; Franz Sperl
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2021-05-28
Filing date: 2022-05-11
Publication date: 2024-02-07
Also published as: WO2022248230A1

Abstract

Bei dem Verfahren zur Prüfung einer Konfiguration mindestens einer Komponente einer Automatisierungsanlage werden Konfigurationsdaten der mindestens eine Komponente mittels mindestens einen, von der mindestens eine Komponente verschiedenen, Prüfservers auf eine Zulässigkeit geprüft. Die Automatisierungsanlage ist zur Ausführung eines solchen Verfahrens ausgebildet und umfasst zumindest eine Komponente mit einem Speicher mit Konfigurationsdaten und mindestens einen, von der mindestens eine Komponente verschiedenen, Prüfserver, bei welcher der mindestens eine Prüfserver zur Prüfung der Konfigurationsdaten ausgebildet ist.

Description

Beschreibung Verfahren zur Prüfung einer Konfiguration mindestens einer Komponente einer Automatisierungsanlage und Automatisierungs- anlage Die Erfindung betrifft ein Verfahren zur Prüfung einer Konfi- guration mindestens einer Komponente einer Automatisierungs- anlage sowie eine Automatisierungsanlage mit mindestens einer Komponente. Industrieanlagen, insbesondere Automatisierungsanlagen, wei- sen häufig Komponenten auf, die oft neu konfiguriert werden müssen. Denn häufig ändert sich beispielsweise die Netzwerk- Infrastruktur wegen der Hinzunahme neuer Komponenten oder es werden Komponenten mit geänderten Arbeitsaufgaben in einer Automatisierungsanlage eingesetzt. Dies kann insbesondere bei einer flexiblen Produktion, d.h. in der Industrie 4.0, der Fall sein. Es wird dort auch als „Plug-and-Produce“ bezeich- net. Es können sich in Automatisierungsanlagen weiterhin der Arbeits-ablauf und demzufolge die Arbeitsanweisungen für Kom- ponenten ändern, was eine neue Konfiguration der Komponenten erforder-lich macht. Es ist bekannt, bei einer neuen Konfiguration von Komponenten Konfigurationsdaten der neuen Konfiguration ohne Prüfung zu übernehmen. Eine solche Übernahme von Konfigurationsdaten für neue Konfigurationen von Komponenten birgt jedoch ein großes Risiko für Automatisierungsanlagen. Denn fehlerhafte oder durch einen Angreifer manipulierte Konfigurationsdaten auch nur weniger Komponenten können zu einem Fehlverhalten der ge- samten Automatisierungsanlage führen, was im Extremfall den Ausfall der gesamten Automatisierungsanlage und/oder die Zer- störung einzelner oder sämtlicher Komponenten der Automati- sierungsanlage zu Folge hat. Zudem können auch sensible Daten bei einer fehlerhaften oder durch Angreifer manipulierten Konfiguration von Komponenten abfließen oder gezielt abge- schöpft werden. Es ist daher Aufgabe der Erfindung, ein verbessertes Verfah- ren zur Prüfung einer Konfiguration einer Komponente einer Automatisierungsanlage anzugeben, welches insbesondere eine verbesserte Betriebs- und/oder Informationssicherheit, insbe- sondere hinsichtlich einer Authentizität und Integrität von Daten, der Automatisierungsanlage ermöglicht. Ferner ist es Aufgabe der Erfindung, eine verbesserte Automatisierungsanla- ge mit mindestes einer Komponente anzugeben, wobei die Anlage insbesondere eine verbesserte Betriebssicherheit und/oder Da- tensicherheit aufweist. Diese Aufgabe der Erfindung wird mit einem Verfahren zur Prü- fung einer Konfiguration mindestens einer Komponente einer Automatisierungsanlage mit den in Anspruch 1 angegebenen Merkmalen sowie mit einer Automatisierungsanlage mit den in Anspruch 8 angegebenen Merkmalen gelöst. Bevorzugte Weiter- bildungen der Erfindung sind in den zugehörigen Unteransprü- chen, der nachfolgenden Beschreibungen und der Zeichnung an- gegeben. Bei dem erfindungsgemäßen Verfahren zur Prüfung einer Konfi- guration mindestens einer Komponente einer Automatisierungs- anlage werden Konfigurationsdaten der mindestens eine Kompo- nente mittels mindestens eines, von der mindestens eine Kom- ponente verschiedenen, Prüfservers auf eine Zulässigkeit ge- prüft. Mittels des erfindungsgemäß vorgesehenen Prüfservers wird al- so eine Konfiguration der mindestens eine Komponente nicht derart geprüft, dass die Konfigurationsdaten dieser mindes- tens eine Komponente lediglich intern innerhalb der mindes- tens eine Komponente einer Prüfung unterzogen werden, sondern die Prüfung der mindestens einen Komponente erfolgt mittels eines von der mindestens einen Komponente verschiedenen Prüfservers. Bei dem erfindungsgemäßen Verfahren ist folglich die Prüfung der Konfiguration der mindestens einen Komponente nicht allein auf die Prüfung der mindestens einen Komponente selbst beschränkt, sondern der Prüfserver kann als von der mindestens einen Komponente verschiedener Bestandteil der Au- tomatisierungsanlage die Konfigurationsdaten der mindestens einen Komponente derart prüfen, dass der Prüfserver weitere Umstände und Informationen der Automatisierungsanlage, welche nicht innerhalb der mindestens einen Komponente lokalisiert sind, in der Prüfung mit berücksichtigt. Die Konfigurations- daten können also abhängig von einem Kontext der mindestens eine Komponente, in dem sie eingebettet ist, geprüft werden. Dieser Umstand erlaub es, eine verbesserte Betriebssicherheit und eine verbesserte Datensicherheit der Automatisierungsan- lage sicherzustellen. In einer bevorzugten Weiterbildung des erfindungsgemäßen Ver- fahrens werden die Konfigurationsdaten abhängig von einem ge- genwärtigen Betriebsmodus der Automatisierungsanlage geprüft. In dieser Weiterbildung der Erfindung erfolgt die Prüfung der Konfiguration, der mindestens eine Komponente vorteilhaft nicht isoliert, sondern die Prüfung der Konfiguration, der mindestens eine Komponente berücksichtigt einen gegenwärtigen Betriebsmodus der Automatisierungsanlage. Besonders bevorzugt umfasst in dieser Weiterbildung der Erfindung der Betriebsmo- dus der Automatisierungsanlage nicht isoliert allein einen Betriebsmodus der mindestens eine Komponente, sondern der Be- triebsmodus der Automatisierungsanlage betrifft neben der mindestens eine Komponente zusätzlich eine oder mehrere wei- tere Komponenten der Automatisierungsanlage. Auf diese Weise kann die Prüfung der Konfiguration, der mindestens einen Kom- ponente Kontextinformationen des Gesamtkontextes der Automa- tisierungsanlage berücksichtigen. Eine Berücksichtigung eines solchen Gesamtkontextes der Automatisierungsanlage erlaubt es, betriebssicherheitskritische oder datensicherheitskriti- sche Konfigurationen der mindestens eine Komponente in be- stimmten Betriebsmodi und, gegebenenfalls verknüpft mit die- sen Betriebsmodi, in bestimmten Einsatzzwecken zu erfassen, welche in anderen Betriebsmodi oder Einsatzzwecken hinsicht- lich der Betriebssicherheit und der Datensicherheit unproble- matisch wären. Die Berücksichtigung des Betriebsmodus der Au- tomatisierungsanlage erlaubt folglich eine umfassendere Prü- fung der Konfiguration der mindestens einen Komponente als wenn die erste Komponente lediglich isoliert und ohne jeden Kontext in ihrer Konfiguration geprüft werden würde. In der vorgenannten Weiterbildung des erfindungsgemäßen Ver- fahrens können die Konfigurationsdaten abhängig von einem ge- genwärtigen Betriebsmodus geprüft werden. In einer hierzu zu- sätzlich oder alternativ hinzutretenden und ebenfalls vor- teilhaften Weiterbildung der Erfindung werden die Konfigura- tionsdaten abhängig von einem zukünftigen Betriebsmodus der Automatisierungsanlage geprüft. In dieser Weiterbildung der Erfindung kann der zukünftige Betriebsmodus freigegeben oder angestoßen werden. So kann vorzugsweise ein Hochlauf einer Maschine der Automatisierungsanlage oder ein Hochlauf eines durch die Automatisierungsanlage gesteuerten oder überwachten technischen Prozesses, insbesondere die Durchführung eines Fertigungsschritts, abhängig davon freigegeben oder angesto- ßen werden, ob die Konfigurationsdaten abhängig von dem ge- genwärtigen Betriebsmodus der Automatisierungsanlage als zu- lässig überprüft werden. In einer bevorzugten Weiterbildung des erfindungsgemäßen Ver- fahrens ist der Betriebsmodus ein Produktivbetrieb und/oder einen Wartungsbetrieb und/oder einen Testbetrieb der Automa- tisierungsanlage. Der Betriebsmodus erlaubt in dieser Weiter- bildung also vorteilhaft eine Unterscheidung des Betriebsmo- dus der Automatisierungsanlage in einen Produktivbetrieb und/oder einen Wartungsbetrieb und/oder einen Testbetrieb der Automatisierungsanlage. Eine solche Unterscheidung ermöglicht es, eine Konfiguration der mindestens eine Komponente in ei- nem Testbetrieb mit für die Betriebs- und/oder Informations- sicherheit kritischeren Parametern zuzulassen als in einem Produktivbetrieb. Umgekehrt müssen etwa in einem Wartungsbe- trieb der Automatisierungsanlage nicht sämtliche Konfigurati- onen der mindestens eine Komponente zugelassen werden, denn in einem Wartungsbetrieb muss die erste Komponente nicht zur Ausführung sämtlicher Betriebsfunktionen der mindestens eine Komponente befähigt sein. Vielmehr kann die erste Komponente in einer Wartungskonfiguration mit einem verringerten Funkti- onsumfang verglichen mit dem Produktivbetrieb verbleiben. Al- ternativ oder zusätzlich können wartungsrelevante Funktionen der mindestens eine Komponente in einem Wartungsbetrieb der Automatisierungsanlage durch die Konfiguration ermöglicht sein, welche im Produktivbetrieb der Automatisierungsanlage nicht erforderlich oder sogar betriebssicherheitskritisch oder datensicherheitskritisch sind. Vorteilhaft gibt bei dem Verfahren gemäß einer vorteilhaften Weiterbildung der Erfindung der Betriebsmodus einen automati- sierten Prozess der Automatisierungsanlage an, insbesondere einen automatisierten Prozess aus einer Menge umfassend min- destens einen ersten Produktionsprozess und einen zweiten, vom ersten verschiedenen, Produktionsprozess. Geeigneterweise ist in dieser Weiterbildung der Erfindung die Automatisie- rungsanlage eine Fertigungsanlage. In dieser Weiterbildung der Erfindung kann folglich die Konfiguration der mindestens eine Komponente hinsichtlich des automatisierten Prozesses der Automatisierungsanlage, insbesondere abhängig von dem je- weiligen Produktionsprozess der Fertigungsanlage, geprüft werden. In dieser Weiterbildung können daher vorteilhaft Kon- textinformationen des automatisierten Prozesses der Automati- sierungsanlage zur Prüfung der Konfiguration der mindestens einen Komponente genutzt werden. Insbesondere Produktionspro- zesse liefern für die Konfiguration von Komponenten von Auto- matisierungsanlagen relevante Informationen: So können insbe- sondere Fertigungsschritte, welche eine bestimmte Temperatur zur Fertigung erfordern, etwa Fügeschritte oder Umformschrit- te, Temperaturgrenzen einer Heizeinrichtung der mindestens eine Komponente bedingen. In anderen Produktionsprozessen können jedoch andere Temperaturgrenzen sinnvoll sein. In die- ser Weiterbildung der Erfindung erlaubt folglich die Berück- sichtigung des automatisierten Prozesses der Automatisie- rungsanlage die Berücksichtigung einer prozessbedingten Kon- textinformation, die zur Prüfung der Konfiguration der min- destens einen Komponente herangezogen werden kann. Besonders bevorzugt unterscheiden sich der erste und der zweite Produktionsprozess voneinander in einem Produkt des ersten und des zweiten Produktionsprozesses und vorzugsweise in produktbedingten Parametern des ersten und des zweiten Produktionsprozesses. Insbesondere bei der Produktion von Produkten kann die Information über das zu fertigende Produkt eine relevante Kontextinformation für eine Konfiguration der mindestens einen Komponente der Automatisierungsanlage dar- stellen. So können beispielsweise für unterschiedliche Pro- dukte unterschiedliche Toleranzen in der Bemaßung von Be- standteilen des Produktes zulässig sein, was unterschiedliche Konfigurationen der mindestens eine Komponente der Automati- sierungsanlage bedingt. Auch können unterschiedliche Produkte jeweils bei unterschiedlichen Temperaturen gefertigt werden, sodass unterschiedliche Temperaturspannen oder Temperaturin- tervalle für die mindestens eine Komponente abhängig von dem zu fertigenden Produkt bestehen. Solche Informationen lassen sich in dieser Weiterbildung des erfindungsgemäßen Verfahrens vorteilhaft berücksichtigen. Vorzugsweise erfolgt bei dem erfindungsgemäßen Verfahren die Prüfung der Konfiguration zusätzlich abhängig von einer IT- Infrastruktur der Automatisierungsanlage und/oder einer In- formation über die mindestens eine Komponente der Automati- sierungsanlage und/oder einem Ergebnis einer Plausibilitäts- prüfung der Konfigurationsdaten der mindestens einen Kompo- nente und/oder einer Positivliste (White List) für zulässige Konfigurationsdaten der mindestens einen Komponente und/oder einer Negativliste (Black List) für unzulässige Konfigurati- onsdaten der mindestens einen Komponente und/oder mindestens einer kryptografischen Signatur. In dieser Weiterbildung der Erfindung können folglich weitere Kontextinformationen der Automatisierungsanlage für die Prüfung der Konfiguration der mindestens eine Komponente der Automatisierungsanlage heran- gezogen und berücksichtigt werden. Die erfindungsgemäße Automatisierungsanlage ist zur Ausfüh- rung eines erfindungsgemäßen Verfahrens wie vorhergehend be- schrieben ausgebildet. Die erfindungsgemäße Automatisierungs- anlage umfasst mindestens eine Komponente mit einem Speicher mit Konfigurationsdaten und einen, von der mindestens eine Komponente verschiedenen, Prüfserver, mittels welchem die Konfigurationsdaten der mindestens eine Komponente prüfbar sind. Besonders bevorzugt ist bei der erfindungsgemäßen Auto- matisierungsanlage der Prüfserver zur Prüfung der Konfigura- tionsdaten ausgebildet. Bei der erfindungsgemäßen Automati- sierungsanlage kann der Prüfserver folglich die Konfigurati- onsdaten der mindestens eine Komponente prüfen oder der Prüfserver kann Kriterien bereitstellen, mittels welchen die Konfigurationsdaten der mindestens eine Komponente prüfbar sind, insbesondere durch die Komponente selbst. Mittels der erfindungsgemäßen Automatisierungsanlage ist folglich die Konfiguration der mindestens eine Komponente mittels des von der mindestens eine Komponente verschiedenen Prüfservers prüfbar. Mittels des erfindungsgemäß vorgesehen Prüfservers können folglich Kontextinformationen der Automatisierungsan- lage leicht bei der Prüfung der Konfiguration der mindestens einen Komponente berücksichtigt werden. Es bestehen bei der erfindungsgemäßen Automatisierungsanlage dieselben Vorteile wie bereits im Zusammenhang mit dem erfindungsgemäßen Verfah- ren zuvor erläutert. In einer vorteilhaften Weiterbildung der erfindungsgemäßen Automatisierungsanlage weist diese zur Erfassung mindestens eines Betriebsmodus der Automatisierungsanlage eingerichtete Erfassungsmittel auf, welche mit dem Prüfserver signalverbun- den sind. Mittels der vorgesehenen Erfassungsmittel kann der Prüfserver folglich mindesten einen Betriebsmodus der Automa- tisierungsanlage erfassen und bei der Prüfung der Konfigura- tion der mindestens einen mindestens einen Komponente berück- sichtigen. Besonders bevorzugt ist bei der erfindungsgemäßen Automati- sierungsanlage der Prüfserver zur Prüfung der mindestens eine Komponente unter Heranziehung von Signalen der Erfassungsmit- tel ausgebildet und eingerichtet. Auf diese Weise ist folg- lich eine Berücksichtigung des Betriebsmodus der Automatisie- rungsanlage bei der Prüfung der Konfiguration der mindestens eine Komponente leicht möglich. In einer bevorzugten Weiterbildung der erfindungsgemäßen Au- tomatisierungsanlage ist der Prüfserver als Softwaremodul ausgebildet. In dieser Weiterbildung der Erfindung ist es folglich nicht erforderlich, dass erste Komponente und Prüfs- erver gewissermaßen physikalisch und räumlich voneinander ge- trennt sind. Der Prüfserver und die erste Komponente können als voneinander getrennte Softwaremodule realisiert sein, wo- bei die Erfassungsmittel insbesondere als Schnittstelle zur Datenerfassung ausgebildet sind. In einer alternativen und ebenfalls vorteilhaften Weiterbil- dung der erfindungsgemäßen Automatisierungsanlage ist der Prüfserver als separates Gerät ausgebildet, welches mit der mindestens eine Komponente der Automatisierungsanlage nicht identisch, d. h. von der mindestens eine Komponente verschie- den, ist. Geeigneterweise weist die Automatisierungsanlage gemäß der Erfindung zusätzlich zur mindestens eine Komponente mindes- tens eine zweite oder mehrere weitere Komponenten mit je ei- nem Speicher mit Konfigurationsdaten auf, wobei bei der Auto- matisierungsanlage der Prüfserver zur Prüfung der Konfigura- tionsdaten der weiteren Komponente oder Komponenten ausgebil- det ist. In dieser Weiterbildung der Erfindung kann folglich der Prüfserver die Prüfung der Konfigurationsdaten von jeder der Komponenten durchführen. In dieser Weiterbildung der Er- findung können die weiteren Komponenten bei der Prüfung der Konfigurationsdaten der mindestens eine Komponente berück- sichtigt werden. Genau so können Informationen bei der Prü- fung der zweiten oder der mehreren zusätzlichen Komponenten der Automatisierungsanlage herangezogen werden, um die Prü- fung der Konfigurationsdaten der mindestens einen Komponente durchzuführen. Umgekehrt können auch Informationen der min- destens eine Komponente zur Prüfung von Konfigurationsdaten der zweiten oder der mehreren zusätzlichen Komponenten heran- gezogen werden. In diesem Falle lassen sich folglich die wei- teren Komponenten als Quelle für zusätzliche Kontextinforma- tionen bei der Prüfung der Konfigurationsdaten heranziehen. Geeigneterweise ist die erfindungsgemäße Automatisierungsan- lage eine Fertigungsanlage. Nachfolgend wird die Erfindung anhand eines in der Zeichnung angegebenen Ausführungsbeispiels näher erläutert. Es zeigen: Fig. 1 ein erstes Ausführungsbeispiel einer erfindungsge- mäßen Fertigungsanlage mit drei Fertigungskomponen-ten und einem Prüfserver zur Ausführung des erfin-dungsgemäßen Ver- fahrens zur Prüfung einer Konfigu-ration schematisch in einer Prinzipskizze sowie Fig. 2 ein weiteres Ausführungsbeispiel einer erfindungs- gemäßen Fertigungsanlage mit drei Fertigungskompo-nenten und einem Prüfserver zur Ausführung eines weiteren Ausführungs- beispiels des erfindungsgemäßen Verfahrens zur Prüfung der Konfiguration schema-tisch in einer Prinzipskizze. Die in Fig. 1 dargestellte erfindungsgemäße Anlage ist eine automatisierte Fertigungsanlange MAN und kann alternativ auch als Automatisierungsanlage bezeichnet werden, die zur Ferti- gung eines Produkts ausgebildet ist. Im dargestellten Ausführungsbeispiel dient die Fertigungsan- lage MAN zur Fertigung eines Produkts in Gestalt eines Steu- ergeräts mit maßgeschneiderter Geometrie. Dazu wird mit einer ersten Komponente COMP1 eine Leiterplatte mit einer verwin- kelten Geometrie bestückt. Die Leiterplatten weisen eine Ge- stalt auf, die aus nicht zueinander fluchtend oder koplanar angeordneten Flachteilen besteht, sondern die Gestalt ist aus in 45-Grad-Winkeln ihrer Flachseiten zueinander angeordneten Flachteilen aufgebaut. Mittels einer zweiten Komponente COMP2 wird die bestückte Leiterplatte mit einem Gehäuseteil ther- misch verbunden, im dargestellten Ausführungsbeispiel heißge- klebt. Mittels einer dritten Komponente COMP3 wird das Gehäu- seteil mit weiteren Gehäuseteilen zu einem mit der Leiter- platte versehenen Gehäuse verbunden. Bei der Fertigungsanlage MAN werden die drei Komponenten COMP1, COMP2, COMP3 mittels eines Konfigurators CONFIG konfi- guriert. Der Konfigurator CONFIG ist ein nicht zur Ferti- gungsanlage MAN gehöriges Softwarewerkzeug, welches zur Kon- figuration der Komponenten COMP1, COMP2, COMP3 eingerichtet ist. Dazu lädt der Konfigurator CONFIG Konfigurationsdaten NECO in einem Konfigurationsschritt CONF in die Komponenten COMP1, COMP2, COMP3 ein. Alternativ kann der Konfigurator CONFIG auch ein separates Gerät oder ein Nutzer sein, der ma- nuell Konfigurationsdaten NECO mittels eines Konfigurations- schritts CONF in die Komponenten COMP1, COMP2, COMP3 einlädt. D. h. der Konfigurator CONFIG überträgt Konfigurationsdaten NECO an die Komponenten COMP1, COMP2, COMP3. Die Komponenten COMP1, COMP2, COMP3 halten die Konfigurationsdaten NECO zu- nächst in einem vorläufigen Evaluationsspeicher, der der Prü- fung der Konfigurationsdaten NECO dient und von welchem die Konfigurationsdaten nach erfolgter Prüfung in einen Konfigu- rationsdatenspeicher der Komponenten COMP1, COMP2, COMP3 ge- langen, in welchen sie zur Konfiguration der Komponenten COMP1, COMP2, COMP3 dienen. Die Konfiguration der Komponenten COMP1, COMP2, COMP3 erfolgt beispielsweise bei der erstmali- gen Einrichtung der Fertigungsanlage MAN oder aber bei einer Änderung eines Produktionsablaufs der Fertigungsanlage. Der Produktionsablauf wird insbesondere dann geändert, wenn ein neues, maßgeschneidertes Produkt mit der Fertigungsanlage MAN gefertigt wird, da dann auch die Komponenten COMP1, COMP2, COMP3 regelmäßig hinsichtlich ihrer Arbeitsaufgaben angepasst werden und demzufolge für die angepassten Arbeitsaufgaben neue Konfigurationsdaten NECO erfordern. Zudem ist regelmäßig eine neue Konfiguration der Komponenten COMP1, COMP2, COMP3 erforderlich, wenn die Fertigungsanlage MAN vom Produktivzustand in einen Wartungszustand versetzt wird, da die Komponenten COMP1, COMP2, COMP3 im Wartungszu- stand zum einen eine zusätzliche Selbsttestfunktionalität aufweisen, mit denen eine Zustandsdiagnose der Komponenten COMP1, COMP2, COMP3 möglich ist. Zudem sind bei den Komponen- ten COMP1, COMP2, COMP3 Produktivfunktionen gesperrt, da im Wartungszustand eine Fertigung eines Produkts nicht beabsich- tigt ist und etwa eine Bestückung ohne zuvor an die erste Komponente COMP1 übergebene Leiterplatte zu einer Fehlfunkti- on bis hin zur Zerstörung der ersten Komponente COMP1 führt. Ferner weist die Fertigungsanlage MAN zudem einen Testzustand auf, in welchem verschiedene Funktionen der einzelnen Kompo- nenten COMP1, COMP2, COMP3 getestet werden. Im Testzustand werden die Komponenten COMP1, COMP2, COMP3 mit zusätzlichen Funktionalitäten zu Testzwecken versehen, die im Produktivzu- stand der Fertigungsanlage MAN nicht oder zumindest nicht sämtlich benötigt werden. Die Komponenten COMP1, COMP2, COMP3 werden bei der Ferti- gungsanlage MAN mittels des Konfigurators CONFIG konfigu- riert. Die Fertigungsanlage MAN weist zusätzlich einen Prüfs- erver CHESER auf, der die Konfiguration der Komponenten COMP1, COMP2, COMP3 prüft. Dazu ist der Prüfserver CHESER mit jeder der Komponenten COMP1, COMP2, COMP3 signalverbunden und steht in Kommunikation mit den Komponenten COMP1, COMP2, COMP3. Der Prüfserver CHESER verfügt über einen Lesezugriff auf die neu eingegangenen Konfigurationsdaten NECO im Evalua- tionsdatenspeicher der Komponenten COMP1, COMP2, COMP3. Dazu prüft der Prüfserver CHESER, ob die Konfigurationsdaten NECO, die die Komponenten COMP1, COMP2, COMP3 vom Konfigura- tor CONFIG erhalten, zulässig sind. Der Prüfserver CHESER ist dazu mit einer Steuerung (nicht explizit in der Zeichnung dargestellt) der Fertigungsanlage MAN signalverbunden. Der Prüfserver CHESER erhält von der Steuerung die Information, in welchem Betriebsmodus sich die Anlage befindet. Der Be- triebsmodus der Fertigungsanlage MAN kann der Produktivzu- stand, der Wartungszustand oder der Testzustand sein. Der Prüfserver CHESER prüft nun die Konfigurationsdaten NECO der Komponenten COMP1, COMP2, COMP3 des Konfigurators abhängig von diesem Betriebsmodus der Fertigungsanlage MAN. Die Komponenten COMP1, COMP2, COMP3 übernehmen die Konfigura- tionsdaten NECO nur dann endgültig zur Konfiguration, wenn der Prüfserver CHESER die Konfigurationsdaten NECO als zuläs- sig bestätigt. Diese Prüfung wird bei jeder neuen Konfigura- tion der Komponenten COMP1, COMP2, COMP3 unternommen. Zusätzlich unterzieht der Prüfserver CHESER die Konfigurati- onsdaten NECO der Komponenten COMP1, COMP2, COMP3 einer Prü- fung CHAPP anhand von Kontextinformationen bezüglich des je- weiligen Produkts, welches die Fertigungsanlage MAN gegenwär- tig fertigt. So erfordert ein Produkt in Gestalt eines Steu- ergeräts mit maßgeschneiderter Geometrie wie oben beschrieben andere Konfigurationsdaten NECO als ein anderes Produkt. Denn die verwinkelte Geometrie der Leiterplatte erfordert einen größeren Aufnahmeraum für die Aufnahme der Leiterplatte durch die zweite Komponente COMP2 zur Verbindung mit einem Gehäuse- teil als eine Leiterplatte mit einer einfachen planaren Ge- stalt. Folglich muss die zweite Komponente COMP2 mit Konfigu- rationsdaten NECO eingerichtet sein, die einen solchen größe- ren Aufnahmeraum in der Konfiguration vorsehen. Der Prüfser- ver CHESER kann die für die Prüfung des Aufnahmeraums erfor- derlichen geometrischen Daten etwa den räumlichen Anweisungen zur Bestückung der Leiterplatte der ersten Komponente COMP1 entnehmen und insoweit als Kontext für die Prüfung CHAPP der Konfiguration der Komponente COMP2 heranziehen. Ferner darf das Heißkleben der Leiterplatte an den Gehäuse- teil keinen derart großen Temperatureintrag in die Leiter- platte bedingen, dass elektronische Bauteile, mit welchen die erste Komponente COMP1 die Leiterplatte bestückt, infolge des Temperatureintrages in ihrer Funktion beeinträchtig oder zer- stört werden. Folglich legen die Temperaturanforderungen der Bauteile der Leiterplatte eine Temperaturspanne fest, mit welcher das Heißkleben der Leiterplatte an den Gehäuseteil mittels der zweiten Komponente COMP2 erfolgen darf. Die zu- lässige Temperaturspanne der zweiten Komponente COMP2 wird dabei von dem Prüfserver CHESER von den Bestückungsanweisun- gen der ersten Komponente abgeleitet und zur Prüfung CHAPP der Konfigurationsdaten NECO der zweiten Komponente COMP2 herangezogen. Zusätzlich umfasst der Prüfserver CHESER für jede der Kompo- nenten COMP1, COMP2, COMP3 einen Speicher mit einer Liste in Form einer Whitelist für zulässige Konfigurationsdaten, die zusätzlich mit den Konfigurationsdaten NECO der Komponenten COMP1, COMP2, COMP3 verglichen wird. Nur wenn die Konfigura- tionsdaten NECO der Komponenten COMP1, COMP2, COMP3 auch in der Whitelist enthalten sind, werden die Konfigurationsdaten NECO vom Prüfserver CHESER als zulässig beurteilt. Dabei kön- nen in weiteren, nicht eigens dargestellten Ausführungsbei- spielen die Konfigurationsdaten NECO auch mit Hashwerten von in einer Whitelist enthaltenen Konfigurationsdaten NECO ver- glichen werden anstelle eines direkten Vergleichs mit der Whitelist. In weiteren, nicht eigens gezeigten Ausführungs- beispielen kann der Prüfserver CHESER einen Speicher mit ei- ner Blacklist von Konfigurationsdaten aufweisen, mit welchen die Konfigurationsdaten NECO der Komponenten COMP1, COMP2, COMP3 verglichen werden. Tauchen die Konfigurationsdaten NECO auf der Blacklist auf, so werden die Konfigurationsdaten NECO nicht als zulässig beurteilt. Der Prüfserver CHESER ist im dargestellten Ausführungsbei- spiel ein eigenständiges Gerät in Gestalt eines Computers, der ausschließlich für die Prüfung CHAPP von Konfigurations- daten NECO in die Fertigungsanlage MAN eingebracht wird. Der Prüfserver CHESER kann in weiteren, nicht eigens dargestell- ten Ausführungsbeispielen als Softwaremodul ein Bestandteil eines in der Fertigungsanlage MAN integrierten weiteren Sys- tems implementiert sein, beispielsweise als Bestandteil eines MES (engl. = „Manufacturing Execution System“) oder eines SCADA-Systems sein. Die Kommunikation der Komponenten COMP1, COMP2, COMP3 mit dem Prüfserver CHESER ist im dargestellten Ausführungsbeispiel kryptographisch geschützt, beispielsweise mittels eines Si- cherheitsprotokolls in Form von TLS oder IPsec/IKEv2, oder die übertragenen Nachrichten sind über S/MIME, XML-Schutz (XML Integrity, XML Encryption) oder JSON-Schutz (JSON Web Encryption, JSON Web Signature) kryptographisch geschützt. Im in Fig. 1 dargestellten Ausführungsbeispiel treffen die Komponenten COMP1, COMP2, COMP3 nicht selbst Entscheidung über zulässige Änderungen von Konfigurationen, sondern die Konfiguration wird jeweils nur dann übernommen, wenn die Kon- figuration vom Prüfserver CHESER als zulässig eingestuft, d. h. genehmigt, ist. Der Prüfserver CHESER bezieht in weiteren, nicht eigens dar- gestellten Ausführungsbeispielen folgende weitere Kriterien in seine Prüfung CHAPP zur Zulässigkeit der Konfigurationsda- ten NECO mit ein: Informationen über die jeweiligen Komponen- ten COMP1, COMP2, COMP3 selbst und/oder Kenntnisse über die IT-Infrastruktur der Fertigungsanlage MAN und/oder Kenntnisse über zulässige Projektierungen der Fertigungsanlage MAN und/oder freigegebene Versionsstände einer auf den Komponen- ten COMP1, COMP2, COMP3 installierten Software. Der Prüfserver CHESER kann unabhängig von den detaillierten inhaltlichen Prüfungen oder Plausibilitätsprüfungen der zu- lässigen Konfigurationsdaten NECO zusätzlich konkrete Bedin- gungen an die Integrität und Authentizität der Konfigurati- onsdaten NECO stellen und prüfen. Hierzu gehören beispiels- weise die Prüfung eines kryptographischen MAC-Wertes oder ei- ner Signatur der Konfigurationsdaten NECO oder des Konfigura- tors CONFIG: Nur wenn der MAC-Wert oder die Signatur des Kon- figurators CONFIG gültig ist, wird die Konfiguration entweder akzeptiert oder für eine inhaltliche Prüfung CHAPP der Konfi- gurationsdaten NECO zugelassen. Dabei kann auch derart vorge- gangen werden, dass, je nachdem von welcher Stelle eine Sig- natur erstellt wurde, bestimmte Konfigurationen erlaubt oder verboten sind. Die Reaktion des Prüfservers CHESER auf fehlerhafte Konfigu- rationsdaten NECO einschließlich Fehler bei der Authentizi- tätsprüfung der Konfigurationsdaten NECO erfolgt im darge- stellten Ausführungsbeispiel mittels einer Information einer unterbleibenden Freigabe der Konfigurationsdaten NECO durch den Prüfserver CHESER. Die Komponenten COMP1, COMP2, COMP3 sind danach nicht zur Übernahme der Konfigurationsdaten NECO berechtigt. Alternativ oder zusätzlich kann die Prüfung CHAPP der Konfi- gurationsdaten NECO mittels des Prüfservers CHESER auch der- art erfolgen, dass der Prüfserver CHESER den Komponenten COMP1, COMP2, COMP3 eine detailliertere Auskunft über das Prüfergebnis übermittelt, beispielsweise welche Teile der Konfigurationsdaten NECO korrekt sind und welche fehlerhaft oder unzulässig sind oder wie stark die Konfigurationsdaten NECO von vollständig zulässigen Konfigurationsdaten NECO ab- weichen. In einem weiteren Ausführungsbeispiel informiert der Prüfserver CHESER weitere Systeme/Komponenten, die dann ent- sprechend auf das Prüfergebnis reagieren können. Abhängig von der Prüfung CHAPP des Prüfservers CHESER können sich die Komponenten COMP1, COMP2, COMP3 unterschiedlich ver- halten: Im einfachsten Fall wird das Starten der Komponente COMP1, COMP2, COMP3 erlaubt, wenn die Konfigurationsdaten NECO infolge der Prüfung CHAPP durch den Prüfserver CHESER als zulässig gelten oder das Starten der Komponenten COMP1, COMP2, COMP3 wird verhindert, wenn die Konfigurationsdaten NECO vom Prüfserver CHESER als nicht zulässig beurteilt wer- den. Anhand des Ergebnisses der Prüfung CHAPP des Prüfservers CHE- SER können die Komponenten COMP1, COMP2, COMP3 auch be- stimmte Funktionalitäten der jeweiligen Komponenten COMP1, COMP2, COMP3 freischalten oder verbieten, insbesondere anhand eines feingranularen Ergebnisses können die Komponenten COMP1, COMP2, COMP3 auch detaillierter bestimmte Funktionali- täten der Komponenten COMP1, COMP2, COMP3 erlauben oder ver- bieten. In einem weiteren, in Fig. 2 dargestellten, Ausführungsbei- spiel, welches im Übrigen dem ersten Ausführungsbeispiel ent- spricht, wird die Prüfung CHAPP zwar mittels des Prüfservers CHESER durchgeführt, nicht aber durch diesen selbst. In die- sem Ausführungsbeispiel legt der Prüfserver CHESER vielmehr die Prüfkriterien fest und übermittelt diese Prüfkriterien den Komponenten COMP1, COMP2, COMP3 für die Prüfung, in dem der Prüfserver die Prüfkriterien in die Komponenten COMP1, COMP2, COMP3 mittels eines Ladeprozesses LOARUL einlädt und führt die Prüfung aber nicht selbst durch. Die Reaktionen der Komponenten COMP1, COMP2, COMP3 auf das Prüfergebnis sind analog derjenigen zur ersten Variante. In einem weiteren, nicht eigens dargestellten Ausführungsbei- spiel unterscheiden die Komponenten COMP1, COMP2, COMP3 zwi- schen einfachen Konfigurationsdaten NECO, die lokal auf der Komponente COMP1, COMP2, COMP3 geprüft werden können, etwa eine Konfiguration der eigenen Hardware. Konfigurationsdaten NECO hingegen, welche kritisch für die Betriebssicherheit der Fertigungsanlage MAN sind, werden hingegen von den Komponen- ten COMP1, COMP2, COMP3 jeweils an den Prüfserver CHESER wei- tergereicht und die Prüfung erfolgt durch den Prüfserver CHE- SER.

Claims

Ansprüche

1. Verfahren zur Prüfung (CHAPP) einer Konfiguration min- destens einer Komponente (COMP1, COMP2, COMP3) einer Automa- tisierungsanlage (MAN), bei welchem

Konfigurationsdaten (NECO) der mindestens eine Komponen- te (COMP1, COMP2, COMP3) mittels eines, von der mindestens eine Komponente (COMP1, COMP2, COMP3) verschiedenen, Prüfser- vers (CHESER) auf eine Zulässigkeit geprüft werden.

2. Verfahren nach Anspruch 1, bei welchem die Konfigurati- onsdaten (NECO) in Abhängigkeit von einem gegenwärtigen Be- triebsmodus der Automatisierungsanlage (MAN) geprüft werden.

3. Verfahren nach einem der vorhergehenden Ansprüche, bei welchem der Betriebsmodus ein Produktivbetrieb und/oder ein Wartungsbetrieb und/oder ein Testbetrieb ist.

4. Verfahren nach einem der vorhergehenden Ansprüche, bei welchem der Betriebsmodus einen automatisierten Prozess der Automatisierungsanlage (MAN) angibt, insbesondere einen Pro- zess aus einer Menge eines ersten Produktionsprozesses oder eines zweiten, vom ersten verschiedenen, Produktionsprozess.

5. Verfahren nach einem der vorhergehenden Ansprüche, bei welchem mindestens der erste und der zweite Produktions- prozess sich voneinander in einem Produkt von erstem und zweitem Produktionsprozesse und vorzugsweise zudem in pro- duktbedingten Parametern des ersten und zweiten Produkti- onsprozesses unterscheiden.

6. Verfahren nach einem der vorhergehenden Ansprüche, bei welchem die Prüfung (CHAPP) der Konfiguration zusätzlich ab- hängig von einer IT-Infrastruktur der Automatisierungsanlage (MAN) und/oder einer Information über die mindestens eine Komponente (COMP1, COMP2, COMP3) der Automatisierungsanlage (MAN) und/oder einem Ergebnis einer Plausibilitätsprüfung der Konfigu- rationsdaten (NECO) der mindestens einen Komponente (COMP1, COMP2, COMP3) und/oder einer Whitelist für zulässige Konfigurationsdaten (NECO) der mindestens einen Komponente (COMP1, COMP2, COMP3) und/oder einer Blacklist für unzulässige Konfigurationsdaten (NECO) der mindestens einen Komponente (COMP1, COMP2, COMP3) und/oder mindestens einer kryptographischen Signatur erfolgt.

7. Verfahren nach einem der vorhergehenden Ansprüche, bei welchem die Automatisierungsanlage zusätzlich zur mindestens einen Komponente (COMP1, COMP2, COMP3) mindestens eine zweite oder mehrere Komponenten (COMP2, COMP3) aufweist und bei wel- chem mittels des mindestens einen PrüfServers (CHESER) Konfi- gurationsdaten (NECO) der zweiten oder der mehreren Kompo- nenten (COMP2, COMP3) einer Prüfung auf eine Zulässigkeit un- terzogen werden und bei welchem Informationen bei der Prüfung der zweiten oder der mehreren zusätzlichen Komponenten (COMP2, COMP3) der Automatisierungsanlage herangezogen wer- den, wenn die Konfigurationsdaten der mindestens einen Kompo- nente (COMP1, COMP2, COMP3) geprüft werden.

8. Automatisierungsanlage, ausgebildet zur Ausführung eines Verfahrens nach einem der vorhergehenden Ansprüche, umfas- send mindestens eine Komponente (COMP1, COMP2, COMP3) mit ei- nem Speicher mit Konfigurationsdaten (NECO) und einen, von der mindestens eine Komponente (COMP1, COMP2, COMP3) ver- schiedenen, PrüfServer (CHESER), mittels welchem die Prüfda- ten (NECO) der mindestens eine Komponente (COMP1, COMP2,

COMP3) prüfbar sind.

9. Automatisierungsanlage nach einem der vorhergehenden An- sprüche, umfassend zusätzlich Erfassungsmittel, welche zur Erfassung mindestens eines Betriebsmodus der Automatisie- rungsanlage (MAN) eingerichtet sind und welche mit dem Prüfs- erver (CHESER) signalverbunden sind.

10. Automatisierungsanlage nach einem der vorhergehenden An- sprüche, bei welcher der PrüfServer (CHESER) zur Prüfung

(CHAPP) der Konfiguration der mindestens eine Komponente (COMP1, COMP2, COMP3) heranziehend Signale der Erfassungs- mittel ausgebildet und eingerichtet ist.

11. Automatisierungsanlage nach einem der vorhergehenden An- sprüche, bei welcher der PrüfServer (CHESER) als Software- modul ausgebildet ist.

12. Automatisierungsanlage nach einem der vorhergehenden An- sprüche, bei welcher der PrüfServer (CHESER) als separates Gerät ausgebildet ist.

13. Automatisierungsanlage nach einem der vorhergehenden An- sprüche, welche zusätzlich zur mindestens eine Komponente (COMP1, COMP2, COMP3) mindestens eine zweite oder mehrere Komponenten (COMP2, COMP3) mit je einem Speicher mit Kon- figurationsdaten (NECO) aufweist und bei welcher der min- destens eine PrüfServer (CHESER) zur Prüfung der Konfigu- rationsdaten (NECO) der zweiten oder der mehreren Kompo- nenten (COMP2, COMP3) ausgebildet ist.

14. Automatisierungsanlage nach einem der vorhergehenden An- sprüche, bei welcher Informationen bei der Prüfung der zwei- ten oder der mehreren zusätzlichen Komponenten (COMP2, COMP3) der Automatisierungsanlage heranziehbar sind, um die Prüfung der Konfigurationsdaten der mindestens einen Komponente durchzuführen.

15. Automatisierungsanlage nach einem der vorhergehenden An- sprüche, welche eine Fertigungsanlage (MAN) ist.