ES2929632T3 - Procedimiento de registro seguro de un aparato eléctrico extraíble cuando se instala en un sistema eléctrico - Google Patents

Abstract

Este método para el registro seguro de un dispositivo eléctrico extraíble comprende pasos que consisten en: a) después de la instalación de un nuevo dispositivo eléctrico extraíble dentro de un sistema eléctrico para reemplazar un dispositivo eléctrico extraíble defectuoso, adquirir (112) un primer certificado de seguridad del nuevo dispositivo , estando este primer certificado firmado por una autoridad conocida por el sistema; b) verificar (114) la autenticidad del primer certificado de seguridad adquirido, realizándose esta verificación por el módulo de control electrónico; c) generar un segundo certificado de seguridad para el nuevo dispositivo eléctrico removible, que comprende una clave generada por la computadora electrónica del nuevo dispositivo; d) obtener (126) una firma del segundo certificado de seguridad de una autoridad de certificación de confianza, registrándose entonces el nuevo dispositivo dentro del sistema solo si se obtiene esta firma. (Traducción automática con Google Translate, sin valor legal)

Description

DESCRIPCIÓN

Procedimiento de registro seguro de un aparato eléctrico extraíble cuando se instala en un sistema eléctrico

La presente invención se refiere a un procedimiento para registrar de forma segura un aparato eléctrico extraíble cuando se instala dentro de un sistema eléctrico como reemplazo de un aparato eléctrico extraíble defectuoso.

La invención se refiere en particular al campo de los aparatos de conmutación y/o de protección eléctrica equipados con un ordenador electrónico de a bordo.

Se sabe que muchos aparatos de conmutación y/o protección eléctrica, como los disyuntores, los contactores o los aparatos de medición y supervisión, están equipados con un ordenador electrónico que proporciona funciones de control y gestión a distancia. Estos aparatos se denominan "comunicadores".

Estos aparatos eléctricos están destinados a cooperar con un sistema eléctrico, como un cuadro o un armario eléctrico, para conectarse a una instalación eléctrica sobre la que están destinados a actuar, así como a conectarse a una red de comunicación dentro de la cual pueden comunicarse. Estos sistemas se utilizan, por ejemplo, en un entorno industrial para gestionar la alimentación eléctrica de diversos equipos dentro de una instalación industrial.

Estos aparatos eléctricos están generalmente conectados al sistema eléctrico de forma extraíble, para facilitar su conexión y sobre todo su sustitución, por ejemplo durante las operaciones de mantenimiento.

Sin embargo, por razones de seguridad, es deseable que sólo puedan conectarse dentro del sistema eléctrico los aparatos eléctricos previamente autorizados. De lo contrario, podrían instalarse en el sistema aparatos eléctricos modificados de forma fraudulenta, sin el conocimiento de los administradores del sistema, para causar daños en el mismo, lo que supone una brecha de seguridad inaceptable.

Así, normalmente, cuando se instala o se sustituye un aparato eléctrico de este tipo, debe registrarse en el sistema eléctrico antes de poder utilizarlo. Por razones de seguridad, la operación de registro debe ser realizada por una persona con privilegios de seguridad específicos, por ejemplo un administrador del sistema.

Sin embargo, en la práctica, el administrador del sistema no siempre está disponible para realizar el registro a tiempo. En una instalación industrial, el número de aparatos eléctricos suele ser elevado y pueden estar dispersos geográficamente en una gran superficie. Además, el contexto industrial suele exigir que, en caso de fallo, la restauración del aparato defectuoso se realice en un tiempo muy breve, para no penalizar el funcionamiento de la instalación industrial. En la práctica, hay operarios de mantenimiento que pueden intervenir rápidamente en los equipos eléctricos en caso de fallo, pero de nuevo, por razones de seguridad, no es conveniente que tengan los mismos privilegios que el administrador del sistema.

Son estos inconvenientes los que la invención pretende remediar más particularmente proponiendo un procedimiento de registro seguro de un aparato eléctrico extraíble cuando se instala en un sistema eléctrico, cuya implementación se facilita sin comprometer la seguridad informática del sistema. El estado de la técnica incluye los documentos US 2013/318343 , WO 02/065696 y US6233685 que tratan sobre cómo añadir un nuevo aparato a una red.

Con este fin, la invención se refiere a un procedimiento para registrar de forma segura un aparato eléctrico extraíble cuando se instala dentro de un sistema eléctrico como sustitución de un aparato eléctrico extraíble defectuoso, caracterizado porque el procedimiento comprende etapas según la reivindicación 1.

Mediante el uso de certificados de seguridad específicos del aparato extraíble asociados a una autoridad de certificación de confianza, la invención permite a un operario de mantenimiento encargado de sustituir un aparato defectuoso registrar el aparato recién instalado como sustituto de un aparato defectuoso, sin necesidad de permisos de alta seguridad. Esto facilita el registro de los aparatos extraíbles dentro del sistema cuando se sustituyen, sin comprometer la seguridad informática de todo el sistema.

Según aspectos ventajosos pero no obligatorios de la invención, dicho procedimiento de registro de un aparato eléctrico extraíble dentro de un sistema eléctrico puede incorporar una o más de las características de las reivindicaciones dependientes 2 a 7, tomadas solas o en cualquier combinación técnicamente admisible.

Según otro aspecto, la invención se refiere a un sistema eléctrico según la reivindicación 8.

La invención se entenderá mejor y otras ventajas de la misma quedarán más claras a la luz de la siguiente descripción de una realización de un procedimiento de registro de un aparato eléctrico extraíble dentro de un sistema eléctrico dado sólo a modo de ejemplo y realizado con referencia a los dibujos adjuntos en los que:

• la figura 1 es una representación esquemática de un sistema eléctrico que comprende al menos un aparato eléctrico extraíble según la invención;

• la figura 2 es una representación esquemática de un ordenador electrónico acoplado al aparato eléctrico de la figura 1;

• la figura 3 es un diagrama de flujo de un procedimiento, de acuerdo con la invención, para registrar de forma segura un aparato eléctrico extraíble cuando se instala dentro de un sistema eléctrico de la figura 1, como sustitución de un aparato eléctrico extraíble defectuoso.

La figura 1 muestra un sistema eléctrico 2 que comprende aparatos eléctricos extraíbles 4A, 4B, 4C.

El sistema 2 está aquí asociado a una instalación eléctrica, por ejemplo en un entorno industrial, como una red de distribución eléctrica para alimentar varios aparatos de potencia. Por ejemplo, el sistema 2 es un cuadro eléctrico o un armario eléctrico.

Por "extraíble" se entiende aquí que cada aparato eléctrico 4A, 4B, 4C es móvil con respecto al sistema 2, de forma reversible, entre una posición conectada en la que está conectado al sistema 2 y una posición retirada en la que está desconectado del sistema 2. En la figura 1, los aparatos 4A y 4B se muestran en su posición conectada y el aparato 4C se muestra en la posición retirada.

Según una realización, el sistema 2 comprende alojamientos, cada uno de los cuales está adaptado para recibir un aparato 4A, 4B, 4C, así como medios de guía y de fijación para facilitar el desplazamiento de los aparatos 4A, 4B, 4C, así como su mantenimiento en la posición conectada. Por ejemplo, los aparatos 4A, 4B, 4C son móviles en traslación. Por ejemplo, los aparatos 4A, 4B, 4C son móviles en traslación. Los aparatos también pueden montarse en un carril y ser extraíbles.

Los aparatos eléctricos 4A, 4B, 4C son, por ejemplo, aparatos de protección y conmutación eléctrica, como los disyuntores. Alternativamente, pueden ser contactores, o aparatos para medir una o más magnitudes eléctricas, o un aparato para supervisar el funcionamiento de la instalación eléctrica.

Estos aparatos eléctricos 4A, 4B, 4C se describen aquí en número de tres y son idénticos entre sí a efectos de simplificación. Sin embargo, en la práctica, el número de aparatos extraíbles 4A, 4B, 4C puede ser diferente.

Asimismo, estos aparatos extraíbles 4A, 4B, 4C no son necesariamente idénticos entre sí y pueden ser diferentes. Por ejemplo, el mismo sistema 2 puede alojar aparatos extraíbles 4A, 4B, 4C de distinta naturaleza, por ejemplo un disyuntor y un dispositivo para medir una magnitud eléctrica.

El sistema 2 comprende además un módulo electrónico de gestión 6 que incluye un ordenador electrónico programable 8 y una interfaz de usuario 10.

Por ejemplo, el ordenador 8 comprende una unidad de computación lógica, como un microprocesador o microcontrolador, y un medio de almacenamiento de información, como una memoria informática, preferiblemente no volátil, conectados entre sí. El medio de almacenamiento de información contiene instrucciones ejecutables para el funcionamiento del módulo de gestión 6, en particular para llevar a cabo el procedimiento de la figura 3 descrito a continuación.

La interfaz 10 comprende aquí una pantalla electrónica, por ejemplo del tipo de cristal líquido o, alternativamente, del tipo de plasma o de diodos orgánicos emisores de luz. Esta pantalla electrónica es adecuada para mostrar información a un operario. La interfaz 10 también incluye medios para la introducción de datos, como un teclado o una pantalla táctil.

Según otras realizaciones, la interfaz 10 está físicamente alejada del sistema 2. Por ejemplo, la interfaz 10 está instalada físicamente a distancia del sistema 2 pero sigue conectada a él. Alternativamente, la interfaz 10 puede adoptar la forma de un sitio de Internet accesible a través de un ordenador o un dispositivo de comunicación móvil, como una tableta o un teléfono móvil.

[El módulo 6 también incluye una interfaz de comunicaciones, como una interfaz de red, para establecer un enlace de datos 12 con uno o más equipos informáticos remotos. Por ejemplo, el enlace 12 se realiza mediante una red de comunicaciones 12, como una red local de comunicación de tipo lAn , por “Local Area Network” en inglés.

En particular, el enlace 12 permite al módulo 6 conectarse a un servidor informático 14 que está adaptado para actuar como autoridad de certificación, como se describe a continuación. El servidor 14, también conocido como autoridad de certificación (CA), forma así un tercero de confianza conocido por el sistema 2.

Los aparatos 4A, 4B, 4C tienen cada uno un dispositivo eléctrico controlable 16 y un ordenador electrónico de a bordo 18 configurado para proporcionar funciones de control y gestión a distancia del dispositivo 16.

En particular, el dispositivo 16 está destinado a ser conectado a una o varias líneas de alimentación que transportan una corriente eléctrica. El dispositivo 16 es, de hecho, el corazón del aparato 4A, 4B, 4C y le permite realizar sus funciones.

En este ejemplo, como los aparatos 4A, 4B, 4C son disyuntores, entonces el dispositivo 16 es un equipo electromecánico para cortar una corriente eléctrica, que comprende en particular un bloque de disyuntores con contactos separables así como un mecanismo de activación de este bloque de disyuntores.

Alternativamente, si los aparatos 4A, 4B, 4C tienen una función distinta a la de un disyuntor, entonces el dispositivo 16 se modifica en consecuencia.

Cuando el aparato 4A, 4B, 4C está en la posición de conexión con el sistema 2, entonces el dispositivo 16 está conectado a la instalación eléctrica asociada con el sistema 2, por ejemplo a través de uno o más conductores de energía, no mostrados, proporcionados dentro del sistema 2.

Del mismo modo, cuando el aparato 4A, 4B, 4C está en la posición de conexión con el sistema 2, el ordenador 18 es capaz de comunicarse con el módulo de control 6, por ejemplo mediante un bus de datos cableado, no mostrado, proporcionado dentro del sistema 2.

Como se ilustra en la Figura 2, el ordenador 18 comprende aquí una interfaz de entrada/salida de datos 20, una unidad de cálculo lógico 22, una unidad criptográfica 24 y una memoria informática 26.

La unidad de computación 22 comprende aquí un microcontrolador programable o microprocesador.

La unidad criptográfica 24 es un elemento informático seguro, también conocido como criptoprocesador o " trusted platform module" en inglés. En particular, la unidad 24 es capaz de generar y almacenar de forma segura una clave criptográfica privada, por ejemplo para implementar un mecanismo de firma de clave pública.

Alternativamente, la unidad criptográfica 24 se omite.

La memoria 26 almacena instrucciones ejecutables para el funcionamiento del aparato 4A, 4B, 4C. Aquí también contiene un certificado de seguridad 28 que permite la autenticación individual del aparato 4A, 4B, 4C.

Por ejemplo, el certificado de seguridad 28 comprende varios campos, cada uno de los cuales contiene un dato, entre los cuales, a modo de ejemplo, puede figurar un número de serie que identifique de forma exclusiva el aparato 4A, 4B, 4C, un número de versión del software, el nombre del emisor del certificado, las fechas de validez del certificado, la referencia del algoritmo utilizado para firmar el certificado. Como ejemplo, el certificado por defecto que se proporciona es un certificado de fábrica instalado por el fabricante del aparato.

En este ejemplo, la autoridad de certificación 14 forma parte de una cadena de confianza que agrupa, aquí siguiendo una jerarquía en forma de árbol, a varias autoridades de certificación. Por ejemplo, la cadena de confianza consiste en una autoridad raíz, a la que se vinculan una o más autoridades de certificación de rango inferior. A cada una de estas autoridades de certificación se vinculan una o más autoridades de certificación de rango aún más bajo, y así sucesivamente. Cada autoridad de confianza tiene derecho a firmar los certificados de seguridad de las autoridades de certificación que dependen de ella. Esta cadena de confianza es conocida y no se describe con más detalle.

Por ejemplo, un primer nivel de la cadena de confianza corresponde a una autoridad raíz asociada a una organización, como una empresa. El siguiente nivel inferior corresponde a las divisiones de esta organización. El siguiente nivel corresponde a los emplazamientos geográficos vinculados a estas divisiones, como los centros de producción.

Un ejemplo de implementación de un procedimiento de sustitución de uno de los aparatos 4A, 4B o 4C se describe ahora con referencia al diagrama de flujo de la figura 3 y utilizando las figuras 1 y 2.

Inicialmente, los aparatos 4A, 4B y 4C están conectados al sistema 2 y están en un estado operativo. Por ejemplo, los aparatos 4A, 4B y 4C están conectados en la misma red. Entonces uno de estos aparatos, por ejemplo el aparato 4C, falla y deja de funcionar normalmente, por lo que debe ser sustituido por otro aparato extraíble del mismo tipo.

Ventajosamente, el módulo de control 6 está configurado para detectar el fallo del aparato 4C, por ejemplo, detectando automáticamente una pérdida de enlace de comunicación entre el ordenador de a bordo 18 del aparato eléctrico extraíble 4C y el módulo de control 6, aunque el aparato 4C siga en la posición conectada, por ejemplo, siendo recibido en su alojamiento dentro del sistema 2. Esta detección puede realizarse con la ayuda de un sensor de posición instalado en la carcasa del sistema 2.

La sustitución debe entonces ser llevada a cabo por un operario, de forma manual, retirando el aparato defectuoso 4C del sistema 2, e instalando en su lugar un nuevo ejemplar de dicho aparato 4C, en lo sucesivo denominado "nuevo aparato extraíble". Durante esta instalación, el nuevo aparato 4C se coloca en la posición de conexión para que pueda conectarse al sistema 2.

Sin embargo, por razones de seguridad, el módulo de control 6 no permite que el nuevo aparato 4C se integre funcionalmente en el sistema hasta que el nuevo aparato 4C se haya registrado en el sistema 2, con el fin de verificar su autenticidad.

Para ello, el módulo 6 implementa el procedimiento de registro automático descrito en la figura 3. Este proceso comienza con una etapa de inicialización 100. Por ejemplo, esta etapa 100 se inicia tras una solicitud del operario en la interfaz 10 del módulo 6.

Ventajosamente, la etapa de inicialización 100 sólo puede implementarse si el módulo 6 ha detectado previamente el fallo del aparato defectuoso. Esto evita que un operario instale un nuevo aparato sin razón alguna en lugar de un aparato que está en funcionamiento normal y que luego solicite el registro de este nuevo aparato en el sistema 2.

El procedimiento incluye entonces una etapa 102 de autenticación del operario. Por ejemplo, el módulo 6 envía automáticamente al operario, a través de la interfaz 10, una solicitud para que proporcione un identificador predefinido, por ejemplo, formado por un nombre de usuario y una contraseña. En respuesta, el operario debe proporcionar este identificador.

El módulo adquiere entonces el identificador proporcionado por el operario en la interfaz 10, y lo compara con una lista de identificadores autorizados a realizar operaciones de mantenimiento.

Si el identificador adquirido no coincide con un identificador predefinido previamente autorizado, entonces, en una etapa 104, el operario no se considera autenticado y el procedimiento de registro se detiene.

Por el contrario, si el identificador adquirido corresponde a un identificador predefinido previamente autorizado, entonces, en una etapa 106, el operario se considera autenticado.

A continuación, en una etapa 108, el módulo 6 concede al operario permiso para reemplazar el aparato defectuoso. Por ejemplo, esta autorización se da después de que el operario se haya autentificado y después de que haya emitido una solicitud de sustitución del aparato, aquí en la interfaz 10.

Una vez que el operario ha sustituido el aparato defectuoso por el nuevo aparato 4C, el módulo 6 comprueba automáticamente, en una etapa 110, si el nuevo aparato 4C se ha conectado al sistema 2. Por ejemplo, el módulo 6 intenta conectarse a la interfaz 20 del ordenador de a bordo 18, mediante el bus de datos del sistema 2.

Si el nuevo aparato 4C no se detecta después de esta comprobación, se considera que la sustitución ha fallado y el nuevo aparato 4C debe ser sustituido a su vez por el operario. Por ejemplo, el procedimiento vuelve a la etapa 108.

De lo contrario, si el nuevo aparato 4C se detecta correctamente al final de la etapa 110, entonces, en una etapa 112, el módulo 6 se conecta al ordenador 18 para recuperar el certificado 28 contenido en la memoria 26 del ordenador 18. Por ejemplo, el módulo 6 envía una solicitud al controlador 18 para que transmita el certificado 28 al módulo 6. Este certificado 28 se almacena entonces en el medio de almacenamiento de información del ordenador 8 del módulo 6.

Esta conexión puede realizarse aquí mediante un enlace seguro, por ejemplo según un protocolo de conexión segura del tipo TLS, por "transport security layer" en inglés. Sin embargo, esto no es esencial, pero en este caso un procedimiento permitirá ventajosamente verificar que el producto es efectivamente el procesador de la clave privada asociada al certificado de fábrica, por ejemplo una aleatoria generada por el módulo 6 y firmada por el nuevo aparato 4C.

Ventajosamente, durante esta etapa 112, el módulo 6 no recupera el certificado 28 hasta que el operario haya dado su autorización previa, por ejemplo mediante la interfaz 10.

De hecho, en esta fase, el nuevo aparato 4C contiene un certificado estándar, el llamado certificado de fábrica, que no es reconocido por el sistema 2 como un certificado de confianza porque no emana de la autoridad de certificación 14 en la que confía el sistema 2. Sin embargo, este certificado de fábrica proviene de una autoridad conocida, que aquí está vinculada a la autoridad de certificación por una cadena de confianza. Por ejemplo, este certificado de fábrica es del fabricante del aparato 4C. En este ejemplo, este certificado de fábrica también se denomina "primer certificado de seguridad". En otras palabras, el primer certificado está firmado por una autoridad conocida por el sistema 2. Sin embargo, en esta fase, el módulo 6 no sabe que este primer certificado está firmado por una autoridad conocida.

En una etapa 114, el módulo 6 verifica automáticamente la autenticidad del certificado 28 adquirido. Esta verificación puede llevarse a cabo con la ayuda de una autoridad de certificación en la que confíe el módulo 6, en este caso el servidor 14.

Por ejemplo, el módulo 6 extrae la firma del certificado 28 y comprueba con la autoridad 14 o con el certificado del fabricante, a través del enlace 12, si esta firma corresponde a una autoridad de certificación que está vinculada por una cadena de confianza a una autoridad de certificación raíz conocida.

Alternativamente, esta verificación se consigue utilizando información incrustada en el aparato 4C, como el certificado público de la entidad que emitió y firmó el certificado de fábrica del producto. El objetivo es verificar que el aparato 4C es del fabricante. El fabricante proporciona el certificado público correspondiente. Es decir, esta verificación se realiza utilizando un certificado público de la entidad que emitió el primer certificado, siendo este certificado público el que posee el Sistema 2.

En la práctica, se prefiere el uso de un certificado público que garantice la autenticidad del certificado de fábrica cuando no se dispone de un enlace seguro 12 con la autoridad 14. Para ello, el certificado público del fabricante se instala preferentemente en el módulo 6. Por ejemplo, sólo lo instala una persona con las autorizaciones pertinentes.

Si no se puede verificar la autenticidad del certificado de fábrica 28, o si la verificación lleva a una conclusión negativa, entonces el certificado no se autentifica y se rechaza el registro del nuevo aparato 4C. El aparato 4C no puede funcionar dentro del Sistema 2, aunque esté instalado físicamente en el Sistema 2.

De lo contrario, si la autenticidad del certificado de fábrica 28 es validada al final de esta etapa 114, entonces ventajosamente, en una etapa 116, la información de identificación contenida en el certificado de fábrica 28 es adquirida por el módulo 6, por ejemplo, leyendo el contenido de los campos de datos correspondientes.

En particular, la información de identificación permite identificar la naturaleza del aparato 4C. Por ejemplo, la información de identificación incluye una referencia de producto que identifica de forma única el aparato 4C o al menos el tipo de aparato 4C. En este ejemplo, la información de identificación incluye un número de serie del nuevo aparato 4C. Este número de serie puede ir acompañado de un número de versión de software del sistema operativo utilizado por el ordenador de a bordo 18.

A continuación, en una etapa 118, el módulo 6 comprueba automáticamente si el aparato 4C es del mismo tipo que el aparato defectuoso que fue sustituido. Esta verificación se realiza utilizando la información de identificación adquirida en la etapa 116. Por ejemplo, esta información de identificación se compara con la información de referencia almacenada por el módulo 6.

Si, al final de esta etapa 118, se identifica que el nuevo aparato 4C no se corresponde con el aparato defectuoso que fue reemplazado, entonces se considera que el reemplazo del aparato defectuoso ha fallado y el nuevo aparato 4C debe ser reemplazado por el operario. Por ejemplo, el procedimiento vuelve a la etapa 108.

En cambio, si el nuevo aparato 4C se identifica como correspondiente al aparato defectuoso, entonces se considera que el aparato defectuoso ha sido instalado físicamente. Sin embargo, en esta fase, el nuevo aparato 4C no está integrado funcionalmente en el Sistema 2. Ventajosamente, en la etapa 120, se envía al operario, a través de la interfaz 10, una confirmación de que el aparato ha sido instalado físicamente.

A continuación, en una etapa 122, el módulo 4C genera una clave para formar un nuevo certificado.

En lo que sigue, este certificado y esta clave forman un segundo certificado de seguridad, también denominado "nuevo certificado" en lo que sigue. Este segundo certificado es independiente del primer certificado de seguridad o certificado de fábrica.

En este ejemplo, el segundo certificado es creado automáticamente por el ordenador 18 a partir de la información contenida en el primer certificado, del que incluye al menos la información de identificación. Este nuevo certificado de seguridad, y sobre todo la clave, es generado preferentemente por la unidad criptográfica 26 del ordenador 6. Sin embargo, alternativamente, cuando se omite esta unidad 26, entonces el segundo certificado es generado por la unidad de cálculo 22.

El segundo certificado difiere en particular del primero en que, en esta fase, no está firmado por una autoridad de certificación conocida por el sistema 2.

Luego se envía una solicitud para que este nuevo certificado sea firmado por la autoridad 14.

Por ejemplo, esta solicitud es generada y enviada por el aparato 4C. La solicitud puede ser retransmitida por el módulo 6. Alternativamente, el aparato 4C no pasa por el módulo 6 para enviar esta solicitud, por ejemplo si tiene acceso al servidor 14.

En respuesta a esta solicitud, si la autoridad de certificación 14 considera que puede firmar este segundo certificado, lo firma y lo devuelve al módulo 6 o al aparato 4C.

Si el segundo certificado firmado no se recibe en un periodo de tiempo predefinido, por ejemplo debido a un fallo del enlace 12, o porque la autoridad 14 no puede firmar el segundo certificado, entonces el procedimiento de registro se detiene automáticamente en una etapa 124.

En cambio, si el segundo certificado firmado es recibido correctamente por el módulo 6 o por el aparato 4C, entonces en una etapa 126 el aparato 4C utiliza este segundo certificado firmado en lugar del certificado de fábrica. El nuevo aparato 4C se considera entonces registrado dentro del Sistema 2 y puede funcionar normalmente dentro del Sistema 2.

En otras palabras, una vez completado el registro, el certificado de fábrica del nuevo aparato 4C es sustituido por un segundo certificado de seguridad, firmado por la autoridad de certificación local conocida por el sistema 2 y en la que confía el sistema 2.

Esto indica que se reconoce la autenticidad del nuevo aparato 4C.

Ventajosamente, en una etapa 128 posterior a la etapa 126, el certificado del módulo defectuoso que ha sido sustituido es revocado con la autoridad de certificación 14, una vez que el nuevo aparato eléctrico extraíble 4C es registrado dentro del sistema 2. Esta revocación es solicitada por el módulo 6 mediante el envío de una solicitud a tal efecto a la autoridad 14 a través del enlace 12. A continuación, se informa a todos los elementos del sistema de que el certificado está revocado y, por tanto, no es utilizable.

Esto impide que el aparato defectuoso que ha sido sustituido sea reintegrado en el sistema 2 o en otro sistema eléctrico que utilice la misma cadena de confianza.

El proceso de registro se completa en una última etapa 130.

Ventajosamente, al final de esta etapa 130, el módulo 6 proporciona automáticamente al ordenador 18 los parámetros de configuración predefinidos. Estos parámetros se almacenan, por ejemplo, en el ordenador 8 y corresponden a los parámetros de funcionamiento utilizados por el antiguo aparato.

Gracias a la invención, el uso de certificados de seguridad específicos de cada aparato extraíble, asociados a una autoridad de certificación de confianza, permite que un operario de mantenimiento encargado de sustituir un aparato defectuoso pueda registrar el aparato recién instalado como reemplazo de un aparato defectuoso, sin necesidad de permisos de alta seguridad. Esto facilita el registro de los aparatos extraíbles dentro del sistema cuando se sustituyen, sin comprometer la seguridad informática de todo el sistema.

Ventajosamente, el procedimiento descrito anteriormente puede ser implementado para reemplazar varios aparatos extraíbles defectuosos simultáneamente dentro de un mismo sistema 2. Las etapas descritas anteriormente se repiten para cada uno de los aparatos sustituidos.

Sin embargo, puede surgir un problema cuando los aparatos defectuosos son similares entre sí, por ejemplo, del mismo modelo y una misma función. A continuación, la etapa 118 puede modificarse para permitir que el sistema 2 sepa cuál de los aparatos defectuosos ha sido sustituido. Por ejemplo, en la interfaz 10 se pide al operario que introduzca un identificador del aparato que acaba de sustituir. Esta información se registra en un registro de seguimiento por el módulo 6, junto con la información de la marca de tiempo y la identificación del operario, para que la operación pueda ser rastreada en caso de un problema futuro.

Las realizaciones y variantes contempladas anteriormente pueden combinarse entre sí para generar nuevas realizaciones. nuevo aparato 4C. Este número de serie puede ir acompañado de un número de versión de software del sistema operativo utilizado por el ordenador de a bordo 18.

A continuación, en una etapa 118, el módulo 6 comprueba automáticamente si el aparato 4C es del mismo tipo que el aparato defectuoso que se ha sustituido. Esta verificación se realiza utilizando la información de identificación adquirida en la etapa 116. Por ejemplo, esta información de identificación se compara con la información de referencia almacenada por el módulo 6.

Si, al final de esta etapa 118, se identifica que el nuevo aparato 4C no se corresponde con el aparato defectuoso que fue reemplazado, entonces se considera que el reemplazo del aparato defectuoso ha fallado y el nuevo aparato 4C debe ser reemplazado por el operario. Por ejemplo, el procedimiento vuelve a la etapa 108.

En cambio, si el nuevo aparato 4C es identificado como correspondiente al aparato defectuoso, entonces se considera que el aparato defectuoso ha sido instalado físicamente. Sin embargo, en esta fase, el nuevo aparato 4C no está integrado funcionalmente en el sistema 2. Ventajosamente, en la etapa 120, se envía al operario, a través de la interfaz 10, una confirmación de que el aparato ha sido instalado físicamente.

A continuación, en una etapa 122, el módulo 4C genera una clave para formar un nuevo certificado.

En lo que sigue, este certificado y esta clave forman un segundo certificado de seguridad, también denominado "nuevo certificado" en lo que sigue. Este segundo certificado es independiente del primer certificado de seguridad o certificado de fábrica.

En este ejemplo, el segundo certificado es creado automáticamente por el ordenador 18 a partir de la información contenida en el primer certificado, del que incluye al menos la información de identificación. Este nuevo certificado de seguridad, y concretamente la clave, es generado preferentemente por la unidad criptográfica 26 del ordenador 6. Sin embargo, alternativamente, cuando se omite esta unidad 26, el segundo certificado es generado por la unidad de cálculo 22.

El segundo certificado difiere del primero en que, en esta fase, no está firmado por una autoridad de certificación conocida por el sistema 2.

Luego se envía una solicitud para que este nuevo certificado sea firmado por la autoridad 14.

Por ejemplo, esta solicitud es generada y enviada por el aparato 4C. La solicitud puede ser retransmitida por el módulo 6. Alternativamente, el aparato 4C no pasa por el módulo 6 para enviar esta solicitud, por ejemplo si tiene acceso al servidor 14.

En respuesta a esta solicitud, si la autoridad de certificación 14 considera que puede firmar este segundo certificado, lo firma y lo devuelve después al módulo 6 o al aparato 4C.

Si el segundo certificado firmado no se recibe dentro de un periodo de tiempo predefinido, por ejemplo debido a un fallo del enlace 12, o porque la autoridad 14 no puede firmar el segundo certificado, entonces el procedimiento de registro se detiene automáticamente en una etapa 124.

En cambio, si el segundo certificado firmado es recibido correctamente por el módulo 6 o por el aparato 4C, entonces en una etapa 126 el aparato 4C utiliza este segundo certificado firmado en lugar del certificado de fábrica. El nuevo aparato 4C se considera entonces registrado dentro del Sistema 2 y puede funcionar normalmente dentro del Sistema 2.

En otras palabras, una vez completado el registro, el certificado de fábrica del nuevo aparato 4C es sustituido por un segundo certificado de seguridad, firmado por la autoridad de certificación local conocida por el sistema 2 y en la que confía el sistema 2.

Esto indica que se reconoce la autenticidad del nuevo aparato 4C.

Ventajosamente, en una etapa 128 posterior a la etapa 126, el primer certificado de seguridad, es decir, el certificado del módulo defectuoso que ha sido sustituido, es revocado ante la autoridad de certificación 14, una vez que el nuevo aparato eléctrico extraíble 4C es registrado dentro del sistema 2. Esta revocación es solicitada por el módulo 6 mediante el envío de una solicitud a tal efecto a la autoridad 14 a través del enlace 12. A continuación, se informa a todos los elementos del sistema de que el certificado está revocado y, por tanto, no es utilizable.

Esto impide que el aparato defectuoso que ha sido sustituido se reintegre en el sistema 2 o en otro sistema eléctrico que utilice la misma cadena de confianza.

El procedimiento de registro se completa en una última etapa 130.

Ventajosamente, al final de esta etapa 130, el módulo 6 proporciona automáticamente al ordenador 18 los parámetros de configuración predefinidos. Estos parámetros se almacenan, por ejemplo, en el ordenador 8 y corresponden a los parámetros de funcionamiento utilizados por el antiguo aparato.

Gracias a la invención, el uso de certificados de seguridad específicos de cada aparato extraíble, asociados a una autoridad de certificación de confianza, permite que un operario de mantenimiento encargado de la sustitución de un aparato defectuoso pueda registrar el aparato recién instalado como sustituto de un aparato defectuoso, sin necesidad de permisos de alta seguridad. Esto facilita el registro de los aparatos extraíbles dentro del sistema cuando se sustituyen, sin comprometer la seguridad informática de todo el sistema.

Ventajosamente, el procedimiento descrito anteriormente puede ser implementado para reemplazar varios aparatos extraíbles defectuosos simultáneamente dentro de un mismo sistema 2. Las etapas descritas anteriormente se repiten para cada uno de los aparatos sustituidos.

Sin embargo, puede surgir un problema cuando los aparatos defectuosos son similares entre sí, por ejemplo, del mismo modelo y la misma función. Entonces, la etapa 118 puede modificarse para permitir que el sistema 2 sepa cuál de los aparatos defectuosos ha sido sustituido. Por ejemplo, en la interfaz 10 se pide al operario que introduzca un identificador del aparato que acaba de sustituir. Esta información se registra en un registro de seguimiento por el módulo 6, junto con la información de la marca de tiempo y la identificación del operario, para que la operación pueda ser rastreada en caso de un problema futuro.

Las realizaciones y variantes contempladas anteriormente pueden combinarse entre sí para generar nuevas realizaciones.

Claims (8)

REIVINDICACIONES

1. Procedimiento para registrar de forma segura un aparato eléctrico extraíble (4A, 4B, 4C) cuando se instala en un sistema eléctrico (2) en sustitución de un aparato eléctrico extraíble defectuoso, caracterizado porque el procedimiento comprende las etapas que consisten en:

- detectar un fallo de un aparato eléctrico extraíble (4A, 4B, 4C) instalado en un sistema eléctrico (2) asociado a una instalación eléctrica, siendo el aparato eléctrico un aparato de protección y conmutación eléctrica, o un contactor, o un aparato de medición de una o varias magnitudes eléctricas, o un aparato de supervisión del funcionamiento de la instalación eléctrica;

después, sólo si un aparato eléctrico extraíble (4A, 4B, 4C) instalado en el sistema eléctrico (2) ha sido detectado como defectuoso:

a) tras la instalación de un nuevo aparato eléctrico extraíble (4A, 4B, 4C) en un sistema eléctrico (2) para sustituir el aparato eléctrico extraíble defectuoso de este sistema eléctrico, adquirir automáticamente (112) un primer certificado de seguridad (28) del nuevo aparato eléctrico extraíble almacenado en una memoria informática (26) de un ordenador electrónico de a bordo (18) del nuevo aparato eléctrico extraíble (4A, 4B, 4C), estando este primer certificado firmado por una autoridad conocida por el sistema (2);

e) verificar (118), a partir de la información de identificación contenida en el primer certificado de seguridad adquirido (28), que el nuevo aparato eléctrico extraíble (4A, 4B, 4C) es del mismo tipo que el aparato defectuoso que ha sido sustituido, siendo rechazado el registro del nuevo aparato eléctrico extraíble (4A, 4B, 4C) si este nuevo aparato eléctrico extraíble (4A, 4B, 4C) no se identifica como correspondiente al aparato eléctrico extraíble defectuoso al que sustituye en el sistema eléctrico (2);

b) verificar (114) la autenticidad del primer certificado de seguridad adquirido, siendo esta verificación realizada por el módulo de control electrónico (6);

c) generar un segundo certificado de seguridad (28) para el nuevo aparato eléctrico extraíble (4A, 4B, 4C), comprendiendo este segundo certificado de seguridad una clave generada por el ordenador electrónico (18) del nuevo aparato eléctrico extraíble (4A, 4B, 4C);

d) obtener (126) una firma del segundo certificado de seguridad de una autoridad de certificación de confianza (14), quedando entonces registrado el nuevo aparato eléctrico extraíble (4A, 4B, 4C) dentro del sistema eléctrico sólo si se obtiene esta firma;

f) revocar (128) el certificado del aparato eléctrico que ha sido sustituido ante la autoridad de certificación (14), una vez que el nuevo aparato eléctrico extraíble (4A, 4B, 4C) esté registrado dentro del sistema eléctrico después de la etapa d);

y porque la etapa de detección de un fallo comprende la detección de una pérdida de enlace de comunicación entre el ordenador de a bordo (18) del aparato eléctrico extraíble (4A, 4B, 4C) y el módulo de control (6) del sistema eléctrico (2).

2. Procedimiento según la reivindicación 1, caracterizado porque en la etapa b) la verificación se realiza utilizando un certificado público de la entidad que emitió el primer certificado, estando este certificado público en poder del sistema (2).

3. Procedimiento según la reivindicación 1, caracterizado porque en la etapa b) la verificación se realiza ante la autoridad de certificación de confianza (14).

4. Procedimiento según una cualquiera de las reivindicaciones anteriores, caracterizado porque comprende además, antes de la etapa a), etapas que consisten en:

y) adquirir (100) una solicitud de registro emitida por un operario desde una interfaz de usuario (10) del módulo de control (6);

z) en respuesta, autenticar (102) al operario mediante la adquisición de un identificador proporcionado por el operario en la interfaz de usuario (10), considerándose el operario autenticado sólo si el identificador adquirido corresponde a un identificador predefinido previamente autorizado, no ejecutándose las etapas a) a d) si el operario no está autenticado después de esta etapa z).

5. Procedimiento según una cualquiera de las reivindicaciones anteriores, caracterizado porque comprende una etapa de generación del segundo certificado de seguridad, por el ordenador electrónico de a bordo (18) del aparato eléctrico extraíble (4A, 4B, 4C).

6. El procedimiento según la reivindicación 5, caracterizado porque el segundo certificado de seguridad es generado por una unidad criptográfica (24) del ordenador electrónico de a bordo (18) del dispositivo eléctrico extraíble (4A, 4B, 4C).

7. Procedimiento según una cualquiera de las reivindicaciones anteriores, caracterizado porque comprende una etapa de sustitución física del aparato eléctrico extraíble (4A, 4B, 4C) que ha fallado, del sistema eléctrico (2), por el nuevo aparato eléctrico extraíble (4A, 4B, 4C).

8. Sistema eléctrico (2) que comprende al menos un aparato eléctrico extraíble (4A, 4B, 4C) provisto de un ordenador electrónico de a bordo (18), comprendiendo dicho sistema eléctrico (2) un módulo de control electrónico (6), caracterizado porque el módulo de control electrónico (6) está programado para ejecutar etapas que consisten en:

- detectar un fallo de un aparato eléctrico extraíble (4A, 4B, 4C) instalado en el sistema eléctrico (2), comprendiendo la etapa de detección de un fallo la detección de una pérdida de enlace de comunicación entre un ordenador de a bordo (18) del aparato eléctrico extraíble (4A, 4B, 4C) y el módulo de control (6) del sistema eléctrico (2), estando el sistema eléctrico asociado a una instalación eléctrica, siendo el aparato eléctrico un aparato de protección y conmutación eléctrica, o un contactor, o un aparato para medir una o más magnitudes eléctricas, o un aparato para supervisar el funcionamiento de la instalación eléctrica;

después, sólo si un aparato eléctrico extraíble (4A, 4B, 4C) instalado en el sistema eléctrico (2) ha sido detectado como defectuoso:

a) posteriormente a la instalación de un nuevo aparato eléctrico extraíble (4A, 4B, 4C) dentro de un sistema eléctrico (2) para sustituir el aparato eléctrico extraíble defectuoso de este sistema eléctrico, adquirir automáticamente (112) un primer certificado de seguridad (28) del nuevo aparato eléctrico extraíble almacenado en una memoria informática (26) del ordenador electrónico de a bordo (18) del nuevo aparato eléctrico extraíble (4A, 4B, 4C), estando este primer certificado firmado por una autoridad conocida por el sistema (2) ;

e) verificar (118), a partir de las informaciones de identificación contenidas en el primer certificado de seguridad (28), que el nuevo aparato eléctrico extraíble (4A, 4B, 4C) es del mismo tipo que el aparato defectuoso que ha sido sustituido, siendo rechazado el registro del nuevo aparato eléctrico extraíble (4A, 4B, 4C) si este nuevo aparato eléctrico extraíble (4A, 4B, 4C) no se identifica como correspondiente al aparato eléctrico extraíble defectuoso al que sustituye dentro del sistema eléctrico (2) ;

b) verificar (114) la autenticidad del primer certificado de seguridad adquirido, siendo esta verificación realizada por el módulo de control electrónico (6);

c) generar un segundo certificado de seguridad (28) para el nuevo aparato eléctrico extraíble (4A, 4B, 4C), comprendiendo este segundo certificado de seguridad una clave generada por el ordenador electrónico (18) del nuevo aparato eléctrico extraíble (4A, 4B, 4C);

d) obtener (126) una firma del segundo certificado de seguridad de una autoridad de certificación de confianza (14), quedando entonces registrado el nuevo aparato eléctrico extraíble (4A, 4B, 4C) denle el sistema eléctrico sólo si se obtiene esta firma;

f) revocar (128) el certificado del aparato eléctrico que ha sido sustituido ante la autoridad de certificación (14), una vez que el nuevo aparato eléctrico extraíble (4A, 4B, 4C) esté registrado dentro del sistema eléctrico después de la etapa d).