ES2206343T3 - Sistema y procedimiento para evitar el acceso no autorizado a modulos, especialmente en sistemas de automatizacion. - Google Patents

Abstract

Sistema de automatización (AS) con una unidad central (KM) y al menos un aparato (Mm) que se puede conectar con la unidad central (KM), donde el aparato (M1.. Mn) presenta medios para la emisión de un identificador (K) a la unidad central (KM) y la unidad central (KM) presenta medios para la evaluación del identificador (K) emitido por el aparato (Mm), de tal forma que el identificador (K) recibido, respectivamente, es comparado con al menos un identificador comparativo memorizado en la unidad central (KM) y, en el caso de no coincidencia del identificador recibido con el identificador comparativo, la unidad central (KM) rechaza un funcionamiento del aparato (Mm) en el sistema, caracterizado porque el identificador (K) contiene un concepto protegido legalmente.

Description

Sistema y procedimiento para evitar el acceso no autorizado a módulos, especialmente en sistemas de automatización.

La invención se refiere a un sistema y a un procedimiento para impedir el acceso no autorizado a módulos, especialmente en sistemas de automatización.

Se conoce por el documento EP 0 936 515 A1 un dispositivo para el control de un aparato, que presenta un primer microprocesador, que posee una primera memoria, en la que está depositada una primer identificación. El primer microprocesador emite, en un funcionamiento normal, primeras señales y, en una desconexión de seguridad, segundas señales a un aparato. Intercambia datos con al menos un segundo microprocesador, presentando el segundo microprocesador una segunda memoria, en la que está depositada una segunda identificación. El funcionamiento normal solamente está admitido cuando la primera identificación coincide con la segunda identificación.

El documento DE 42 26 536 A1 describe un control programable con memoria que, en función de un programa de control memorizado, que se basa en un plan de contactos, verifica el estado de dispositivos de entrada y controla el estado de dispositivos de activación. Una memoria del control contiene datos de mensajes y dados que definen un conjunto de transiciones esperadas en el estado de dispositivos de entrada seleccionados. Una instrucción que se refiere al plan de contactos activa la realización de un programa de mensajes de lenguaje de máquina, que induce al control programable con memoria a verificar los estados de los dispositivos de entrada seleccionados con el objetivo de determinar si se ha producido una transición esperada. Si esto es así, entonces se transmiten los datos de mensajes y una identificación del dispositivo de entrada seleccionado hacia un ordenador personal conectado con el control programable con memoria. El ordenador personal utiliza los datos recibidos desde el control programable con memoria para la formulación de un mensaje alfanumérico, que es representado para el usuario en un aparato de representación.

La invención tiene el cometido de controlar de una manera sencilla y segura el acceso a módulos, especialmente en el campo de la técnica de automatización.

Este cometido se soluciona a través de un sistema de automatización, a través de un aparato de un sistema de automatización así como a través de una unidad central de un sistema de automatización con las características indicadas en las reivindicaciones 1, 4 y 7, respectivamente.

Un sistema y un procedimiento de este tipo abre una posibilidad de denegar a competidores, etc. no autorizados las posibilidades de la conexión a los sistemas correspondientes. La invención se basa en el reconocimiento de autorizar solamente determinados aparatos para el funcionamiento en sistemas de automatización, especialmente los sistemas / aparatos de automatización de la llamada serie de fabricación
SIMATIC.

En los sistemas de automatización es habitual que la unidad central determine el grado de ampliación, es decir, el número, tipo y funcionalidad de los aparatos conectados. Esto se realiza en el marco de una transmisión de datos prevista para ello entre la unidad central y cada aparato conectado. Si se transmitiesen ahora en el marco de una transmisión de datos, que es necesaria de todos modos en tales circunstancias, a los aparatos conectados a la unidad central adicionalmente un texto en el sentido de "son un módulo original Siemens", la unidad central podría verificar la presencia de este texto en los datos recibidos, respectivamente, y rechazar el funcionamiento de aparatos que no pueden enviar este texto.

Los competidores que copiasen los módulos correspondientes y su funcionalidad con el fin de acoplarse a los sistemas respectivos, cometerían una infracción de la competencia (\NAK 1 UWG), si transmitiesen a sus módulos también el texto mencionado anteriormente. Por otra parte, un módulo de la competencia, que no transmite este texto, no es aceptado en nuestro sistema.

En forma resumida, por lo tanto, la invención consiste en prever en sistemas de automatización un procedimiento del tipo descrito anteriormente, que un competidor debería copiar idéntico para el funcionamiento de sus módulos en estos sistemas, pero que no puede copiar sin infringir al menos las disposiciones de la Ley contra competente desleal (UWG). Una "trampa inevitable" para el competidor.

La ley contra competencia desleal, con vistas a la Ley de Patentes, abre en principio posibilidades comparables, para proceder contra un competidor. Especialmente existe un derecho 20 a cesación, indemnización por daños, etc. La mala fe adicional necesaria según \NAK1 UWG debería poder justificarse fácilmente con referencia a requerimientos de seguridad elevados en sistemas de automatización: Siemens AG solamente puede asumir, naturalmente, para módulos propios la garantía del cumplimiento de estas exigencias. Por lo tanto, el funcionamiento de módulos externos pone en cuestión de una manera latente la seguridad funcional del sistema general. Esto justifica, por una parte, la introducción / verificación del identificador propiamente dicho y constituye una base amplia para la argumentación con respecto a la existencia de mala fe adicional en el caso de proceder contra un competidor.

Para los distribuidores, a los que Siemens AG permite -por ejemplo en el marco de un concepto de socio- el funcionamiento de sus módulos respectivos en los sistemas correspondientes, se podría acordar una clave unívoca (por ejemplo: "Módulo autorizado en el marco de ..."), que solamente podría ser copiada por otros competidores en conflicto con \NAK1 UWG. La invención se podría utilizar también, por ejemplo, en el funcionamiento de módulos de memoria en combinación con aparatos de automatización, después de que también estos módulos de memoria son imitados reproducidos en gran medida idénticos.

Otras características, ventajas y posibilidades de aplicación de la invención se deducen también a partir de las reivindicaciones, de la descripción siguiente de un ejemplo de realización, con la ayuda de las figuras y de las figuras propiamente dichas.

En este caso, todas las características descritas y/o representadas en las figuras forman por sí o en combinación discrecional el objeto de la presente invención independientemente de su resumen en las reivindicaciones o su referencia recíproca.

La figura 1 muestra de forma esquemática una instalación para el control y/o supervisión de un proceso técnico externo no representado.

En la instalación se trata de un sistema de automatización AS con un módulo de cabecera central KM, en el que se pueden conectar otros módulos M1,
M2, ..., Mn a través de conexiones de comunicación KV. La conexión de comunicación KV puede ser en este caso un llamado bus de pared trasera, por lo tanto, por ejemplo, una placa de circuito impreso retenida o que puede ser retenida de forma correspondiente, con puestos de conexión, en los que se pueden enchufar los aparatos KM, M1, M2, Mn correspondientes. Además, como conexión de comunicación KV es concebible una conexión entre los aparatos KM, M1, M2, Mn individuales por medio de una conexión por cable correspondiente, por ejemplo a través de un cable de cinta plana. Teóricamente se contempla como conexión de comunicación KV incluso una transmisión de datos sin cables, siendo utilizado un acoplamiento inductivo o capacitivo. Los aparatos pueden estar conectados también entre sí para comunicación a través de un sistema de bus B convencional, como se indica en la figura 1 con el módulo M2, que presenta una conexión para un bus externo B, por ejemplo un bus de campo, especialmente el llamado Profibus B, donde se pueden conectar en este bus B otros módulos Mm, que pueden servir para el control y/o la supervisión del proceso técnico externo. El módulo Mm puede ser en este caso especialmente un módulo, que está dispuesto directamente en el proceso técnico, por ejemplo en una máquina a controlar y/o supervisar.

El aparato KM representado en la figura 1 como módulo de cabecera KM es habitualmente una llamada unidad central de un control programable con memoria, es decir, aquella parte del control programable con memoria, que contiene al menos el procesador y habitualmente también la memoria. El procesador del módulo de cabecera KM ejecuta un programa de usuario, donde durante su ejecución se inscriben de forma continua o cíclica estados del proceso técnico externo o se transmiten instrucciones al proceso técnico externo. Si se supone ahora para ilustración que en el aparato Mm está conectado un motor del proceso técnico y que este motor es supervisado y controlado a través del aparato Mm, entonces las informaciones sobre el estado del motor están presentes en primer lugar en el aparato mm como parte del proceso técnico general. La información llega a través de conexiones de comunicación B, KV correspondientes al módulo de cabecera KM y está disponible finalmente en el programa de usuario para el procesamiento posterior. De una manera muy similar sucede cuando, por ejemplo, debe desconectarse el motor controlado a través del aparato Mm. Esta información es en primer lugar resultado de un enlace de los programas de usuario, que son ejecutados en el módulo de cabecera KM. La instrucción para el motor llega al aparato Mm que controla el motor a través de las conexiones de comunicación KV, B.

Para el intercambio de tales datos desde un primer aparato, por ejemplo KM, hacia un segundo aparato M1, M2, Mn, Mm, aquí por ejemplo Mm, sigue protocolos de transmisión definidos para las conexiones de comunicaciones KV, B respectivas. De acuerdo con un protocolo de transmisión de este tipo, para la transmisión de determinados datos está definida una estructura de telegrama establecida, que se representa en la figura 2 a modo de ejemplo para la comprensión de la invención.

De acuerdo con la figura 2, el telegrama T comprende una cabecera, una llamada cabecera H y finalmente los datos útiles D propiamente dichos. El telegrama puede comprender, además, otras informaciones K. La secuencia de los segmentos del telegrama, tal como se representan en la figura 2, no son necesariamente fijas, en particular, por ejemplo, los datos útiles D pueden seguir inmediatamente a la cabecera H.

La cabecera H comprende habitualmente informaciones sobre el emisor y el receptor de un telegrama T. Para la desconexión del motor conectado en el aparato Mm, según el ejemplo ya utilizado anteriormente, el aparato KM emitiría un telegrama T al aparato Mm y de esta manera la cabecera presentaría de una manera correspondiente como emisor del telegrama T el aparato KM y como receptor del telegrama T el aparato Mm. Además, la cabecera H contiene habitualmente una información sobre la longitud del telegrama o bien instrucciones sobre eventuales telegramas siguientes, cuando la extensión de los datos útiles D excede un tamaño máximo predeterminado del telegrama.

Cuando, como está previsto en algunos protocolos de transmisión, el receptor del telegrama T está especificado de una manera unívoca en la cabecera del telegrama H, solamente el receptor especificado en el telegrama T reacciona al telegrama T y evalúa los datos útiles D.

Para casos de aplicación especiales es deseable una consulta adicional de seguridad, que asegura que un mensaje no sólo llega a un receptor determinado, sino que garantiza adicionalmente también que el telegrama T es tratado también de una manera adecuada por el receptor respectivo o que el receptor está en condiciones de tratar el telegrama T de una manera adecuada.

Cuando se parte de un proyecto de automatización, por ejemplo para el control de un proceso químico, puede ser necesario para determinados aparatos, que se cumplan estas especificaciones determinadas. Como especificación podría presentarse, por ejemplo, que se trata de los llamados aparatos de seguridad intrínseca, que los aparatos están protegidos frente a explosión o que los aparatos cumplen un tipo de protección determinado.

Cuando está prevista una conexión de bus para la conexión del sistema de bus B para el aparato Mm para la conexión al sistema de control y/o supervisión, se podría conectar en el sistema de bus B sin más también un aparato que no cumple esta especificación. Por lo tanto, si se selecciona erróneamente para el aparato Mm un aparato que no cumple estas especificaciones, y se conecta en el sistema de bus B, entonces el sistema de automatización AS puede ponerse en funcionamiento, en general, pero se pueden producir errores graves, por ejemplo en un entorno amenazado de explosión, cuando el aparato Mm no está protegido contra explosión.

Para que no puedan producirse constelaciones de este tipo y el ingeniero, que conecta los aparatos, no permanezca en la suposición errónea de que la configuración prevista por él no es perjudicial, está previsto según la invención que se transmitan informaciones sobre la especificación de aparatos individuales en los telegramas, por ejemplo en el marco del identificador K.

En el ejemplo seleccionado anteriormente, el identificador K podría comprender como serie ASCII una información de la clase "tipo de protección IP 65", "protegido contra explosión", "seguridad intrínseca", etc. El módulo de cabecera KM evaluaría, respectivamente, a la recepción de telegramas desde el aparato Km, el identificador K del telegrama y para el caso de que el identificador K no contenga ninguna instrucción sobre las especificaciones necesarias, ajustaría el funcionamiento siguiente con el aparato Mm alejado correspondiente. Así, por ejemplo, si falta en el identificador K la información "protegido contra explosión", entonces lo más tarde después de la primera comunicación del módulo de cabecera Km con el aparato Mm existiría en el módulo de cabecera LM la información de que el aparato Mm no está precisamente protegido contra explosión y podría generarse un mensaje de error correspondiente por el programa de usuario que es ejecutado en el módulo de cabecera KM. El ingeniero, que ha conectado erróneamente un aparato Mm que no cumple las especificaciones necesarias, es informado de esta manera de forma inmediata de las medidas que debe tomar para la eliminación del estado actual.

Puede suceder también que se utilice una conexión de comunicación determinada por primera vez en un instante comparativamente tardío durante el control y/o supervisión del proceso técnico. Esto puede conducir ya -siempre de nuevo en el contexto del ejemplo anterior- para el caso de un aparato Mm no protegido contra explosión a situaciones peligrosas cuando hasta el instante, en el que se utiliza por primera vez la conexión de comunicación con el aparato Mm, se ha producido ya una constelación amenazada de explosión, llenándose, por ejemplo, un reactor con una mezcla de gas explosiva. Pero después de que en sistemas de automatización distribuidos AS, como se representa de forma esquemática en la figura 1, es habitualmente una condición previa que durante la conexión o durante la llamada primera aceleración del sistema de automatización, se determine el grado de ampliación del sistema de automatización, y en el marco de la determinación del grado de ampliación reaccione la unidad central, el módulo de cabecera KM, de cada aparato M1, M2, Mn, Mm conectado y reciba desde el aparato respectivo al menos informaciones sobre su funcionalidad, por ejemplo, módulo de entrada, módulo de salida, módulo de entrada digital con 32 entradas, módulo de salida digital con 8 salidas y una resolución de 16 bits, respectivamente, etc. se puede determinar y verificar ya en este instante, es decir, durante la determinación del grado de ampliación, el identificador K descrito anteriormente. Si se determina y verifica el identificador K ya en este instante y se rechaza un funcionamiento con un aparato que no transmite el identificador K esperado, se asegura que no se puede poner en funcionamiento un sistema de automatización que no presenta en todos sus componentes las constelaciones y especificaciones necesarias.

Existe una constelación fundamentalmente similar cuando en una conexión de comunicación KV pueden conectarse aparatos de diferentes clases de potencia. Puesto que en las conexiones de bus se trata habitualmente de puntos de contacto normalizados, es perfectamente posible desde el punto de vista técnico conectar en un bus B, por ejemplo en el lugar de un módulo de entrada digital, para el que el fabricante garantiza, en virtud de medidas específicas en el proceso de fabricación, un periodo de tiempo mínimo determinado entre la aparición de dos errores (tiempo medio entre errores - MTBF), también un aparato que no cumple estas especificaciones, pero que se puede adquirir en el mercado de manera más favorable. El identificador K del telegrama puede contener de una manera alternativa o adicional a las informaciones ya descritas, también informaciones sobre tales características del aparato, por ejemplo "MTBF = 103 h".

Otro campo de aplicación de la presente invención consiste en dar a un distribuidor de sistemas de automatización AS del tipo representado de forma esquemática en la figura 1 la posibilidad de asegurar que en el sistema de automatización solamente se utilizan aquellos aparatos que cumplen las especificaciones, que corresponden, de acuerdo con ellas, a las condiciones marginales predeterminadas a través del proceso técnico a automatizar en cada caso.

Si se pueden conectar, en principio, por ejemplo, aparatos de un fabricante externo en virtud de su interfaz de hardware o de software en el sistema de automatización AS, entonces un aparato de un fabricante externo pueden poner en peligro la funcionalidad duradera del sistema general de automatización AS en virtud de otras características de potencia, de otra forma de realización del aparato técnico respectivo, etc. y, por lo tanto, puede provocar situaciones peligrosas cuando no se desconecta, por ejemplo, en el momento oportuno una instalación o una parte de la instalación.

Un fabricante que, en virtud de su negocio, está destinado a ofrecer sus aparatos como accesorios o como aparatos de repuesto para la conexión al sistema de automatización de otro fabricante, para el caso de que, como se ha descrito anteriormente, se transmitan y verifiquen identificadores K correspondientes, diseñará su aparato respectivo de forma correspondiente, para que el aparato transmite el identificador de acuerdo con las previsiones respectivas y de esta manera se posibilita de nuevo un funcionamiento del aparato del fabricante externo en el sistema de automatización AS.

De esta manera se perdería de nuevo la ganancia de seguridad pretendida propiamente –con respecto a la funcionalidad duradera de la automatización- para poder excluir precisamente aquellos aparatos que no cumplen determinadas especificaciones necesarias.

Por lo tanto, según la invención está previsto que el distintivo contenga al menos también una sección, que no pueda copiar el competidor, sin entrar en conflicto con leyes de protección correspondientes –en Alemania, por ejemplo, la Ley contra competencia desleal UWG.

La Firma Solicitante de la presente invención distribuye el sistema de automatización conocido en todo el mundo SIMATIC en diferentes clases de potencia. Para asegurar que en un sistema de automatización SIMATIC solamente se emplean componentes SIMATIC o bien aquellos componentes, cuyo empleo duradero y sin fricción en sistemas de automatización SIMATIC está verificado en procesos de certificación correspondientes, el identificador K podría tener, por ejemplo, la forma siguiente: " Componente original SIMATIC: xxx-yyyy-zzzz", donde xxx, yyyy, zzzzzz identifica el aparato respectivo y, por lo tanto, corresponde en primera aproximación a un número de pedido o a una designación de artículo. Un fabricante externo, que instruye técnicamente a su aparato para emitir una identificación en la forma "Componente Original SIMATIC...", no puede hacer verdaderamente esta "afirmación" en combinación con él, puesto que su aparato no es precisamente un componente original SIMATIC, sino precisamente un derivado correspondiente de un fabricante externo.

Los aparatos de fabricantes externos, que están previstos, según las medidas de certificación correspondientes, para el funcionamiento en el sistema de automatización SIMATIC no podrían enviar, en efecto, la identificación de "componente original SIMATIC...", puesto que se trata, en efecto, siempre todavía de aparatos de fabricantes externos, que no fabrican, por lo tanto, "componentes originales"; pero se podría utilizar como identificación K una serie en forma "Módulo autorizado según certificación nnnnnnnnn", donde nnnnnnnnn designa una referencia de expediente de la medida de certificación o una referencia a una comunicación, con la que el fabricante del sistema de automatización confirma al fabricante externo la certificación de su aparato en el sistema general de automatización.

Claims (8)

1. Sistema de automatización (AS) con una unidad central (KM) y al menos un aparato (Mm) que se puede conectar con la unidad central (KM), donde el aparato (M1.. Mn) presenta medios para la emisión de un identificador (K) a la unidad central (KM) y la unidad central (KM) presenta medios para la evaluación del identificador (K) emitido por el aparato (Mm), de tal forma que el identificador (K) recibido, respectivamente, es comparado con al menos un identificador comparativo memorizado en la unidad central (KM) y, en el caso de no coincidencia del identificador recibido con el identificador comparativo, la unidad central (KM) rechaza un funcionamiento del aparato (Mm) en el sistema, caracterizado porque el identificador (K) contiene un concepto protegido legalmente.

2. Sistema según la reivindicación 1, donde la unidad central (Km) es un módulo de cabecera de un sistema de automatización y el aparato (Mm) es un módulo del sistema de automatización.

3. Sistema según una de las reivindicaciones 1 ó 2, caracterizado porque el identificador (K) está previsto para la identificación de una especificación especial del aparato (Mm).

4. Aparato (Mm) de un sistema de automatización (AS) con medios para la emisión de un identificador (K) a una unidad central (KM) del sistema de automatización, donde el identificador (K) está previsto para la evaluación a través de la unidad central (KM), de tal manera que, en el caso de no coincidencia del identificador recibido con al menos un identificador comparativo memorizado en la unidad central (KM), la unidad central (KM) rechaza un funcionamiento del módulo (Mm) en el sistema, caracterizado porque el identificador (K) contiene un concepto protegido legalmente.

5. Aparato según la reivindicación 4, caracterizado porque el aparato es un módulo del sistema de automatización.

6. Aparato según la reivindicación 4 ó 5, caracterizado porque el identificador (K) está previsto para la identificación de una especificación especial del aparato (Mm).

7. Unidad central (KM) de un sistema de automatización (AS) con medios para la evaluación de un identificador (K) emitido por un aparato (Mm) conectado en el sistema de automatización (AS), donde el identificador (K) recibido, respectivamente, es comparado con al menos un identificador comparativo memorizado en la unidad central (KM) y, en el caso de no coincidencia del identificador recibido con el identificador comparativo, la unidad central (KM) rechaza un funcionamiento del aparato (Mm) en la unidad central, caracterizado porque el identificador (K) contiene un concepto protegido legalmente.

8. Unidad central según la reivindicación 7, caracterizada porque la unidad central (Km) es un módulo de cabecera de un sistema de automatización.