TW202210971A - 具有安全模組的現場設備、用於現場設備的改裝模組、用於設置ｉｔ安全等級的方法及電腦程式碼 - Google Patents

Abstract

本申請涉及一種過程自動化技術的現場設備，其包括具有至少一個通訊介面的現場設備電子裝置和具有多個功能單元的安全模組，多個功能單元用於實現多個不同程度的預定IT安全等級，其中，安全模組包括用於選擇IT安全等級的選擇元件，其中，根據選擇，啟動用於實現所選擇的IT安全等級所需要的功能單元，及/或停用不需要的功能單元。

Description

具有安全模組的現場設備、用於現場設備的改裝模組、用於設置IT安全等級的方法及電腦程式碼

本發明係關於一種具有安全模組的現場設備、用於現場設備的改裝模組、用於設置IT安全等級的方法及電腦程式碼。

在現有技術中已知有各種類型的現場設備。

在此，術語「現場設備」涵蓋了與生產過程直接相關的各種技術設備。因此，現場設備可以特別是致動器、感應器和測量轉換器和/或評估設備。

在本申請使用的術語中，必須將分配給控制室區域的上級單元與現場設備明確地區分開。

目前為止，用於過程自動化的已知現場設備僅具有用於實現IT安全方面的特定於製造商的定義設備和方法。各個國家的最新法律規定要求對關鍵基礎設施（KRITIS）實施預定的安全等級（SL）。

多年來，現場設備作為過程測量設備一直在各種應用中可靠地測量介質的與過程相關的測量變量。在過程控制技術的早期，確定的測量值主要通過類比接口（例如，4-20mA接口）以模擬的方式從過程測量設備傳輸到上級單元（例如，評估設備或過程控制中心）。在數位化的過程中，通過額外地施加數位訊號（例如，根據HART標準）擴展了該標準，由此使得過程測量設備與過程控制中心之間能夠進行雙向通訊。然而，這種過程控制系統的特徵在於，設備基本上是孤立運行的。未提供在不同位置或不同公司的不同過程控制系統之間的連接或到全球資訊網的系統連接。

近年來，特別是隨著第四次工業革命（工業4.0）的到來，已證明有必要通過更高程度的互聯網（例如，通過全球資訊網）來將整個過程控制系統甚至整個生產現場相互鏈接。然而，與此伴隨的工業IT系統和辦公IT系統的聯網特別是在IT安全領域中帶來了一系列新的挑戰，這使得迫切地需要繼續發展現有的設備和部件。

最近可用的自給式現場設備（特別是自給式感應器）產生了另一應用領域。感應器（即，該產品系列的現場設備）的特徵在於特別簡單的安裝且無需通訊線或電源線。通常使用窄頻無線電技術（LoRa、Sigfox、NB-IOT）將這些現場設備確定的測量值傳輸到雲端（即，全球資訊網上的服務器）。這種現場設備的典型應用場景包括例如洪水預報、庫存管理或其他分散分布式測量任務等領域。由於直接連接到萬維網，這種現場設備本身就面臨著來自網路的駭客攻擊的永久威脅。

為了在將來也確保生產系統的可用性，各個行業目前正在制定標準，這些標準旨在加強過程控制系統的部件對意外或故意發起的外部攻擊的恢復力，並因此提高現場設備的可用性，從而確保工廠操作人員的生產率。

此外，立法機關還為設備的運營商和製造商制定了新的要求，這些要求旨在使例如能源（電、天然氣、石油）、運輸（天空、鐵路、水路、道路）、飲用水供應等關鍵基礎設施（KRITIS）或數位基礎設施能夠抵禦意外或故意的駭客攻擊。為此，例如，一個示例是由歐洲議會通過的第2016/1148號指令（NIS指令），此後該指令被歐盟成員國實施為國家法律。

根據各自使用場所的危險情況，現有的網路安全標準（例如，IEC 62443、ISO 27001）要求在此處使用的設備需滿足標準化的IT安全等級，也稱為安全等級（SL）。

例如，IEC 62443（自2013/08起）定義了以下安全等級，這些安全等級根據攻擊者使用的手段、使用的物質和財政資源、技術技能和潛在動機進行了分類。

攻擊者的技能
	手段	資源	技能	動機
SL0	無損害風險/竄改
SL1	意外/偶然的損害/竄改
SL2	簡單	受限	普通	低
SL3	高級	中等	特定領域	中
SL4	高級	豐富	特定領域	高

在此，安全等級SL0是純理論構想，其中，不存在損害或竄改風險，並因此無需採取任何措施。

安全等級SL1描述了系統避免意外和非故意的損害或竄改的能力。

安全等級SL2描述了系統抵禦具有一般安全知識的感興趣者和公司的故意竄改的能力。

安全等級SL3描述了系統抵禦專家和公司的故意竄改的能力，這些專家和公司開發並使用了具有明確目標的有效但成本導向的攻擊方案。

安全等級SL4描述了系統抵禦專家組織的故意竄改的能力，這些專家關注於以幾乎任何價格達到特定選擇的目標。

在實現這些安全等級時，可以合併各個安全等級，或將額外的安全等級作為中間等級包含在內。

對於現場設備的製造商，特別是對於物位和壓力感應器的製造商，這些框架條件使得有必要在開發期間以及在隨後的現場設備運作期間通過對應實現的硬體和軟體部件的交互作用，以適當的方式實現以不同（行業特定）標準和法律為依據的IT安全要求。

這種擴展措施的實施通常需要將額外的硬體部件和/或額外的軟體部件整合到現場設備中。因此，設備的功耗有時隨之顯著增加，這尤其在電池供電型現場設備中可能縮短使用壽命或至少縮短必要維護周期之間的時間間隔。

此外，存在的問題在於，必須在技術上考慮分別定義了IT安全等級SL的行業特定標準。此外，必須考慮立法機關的不同規定。

一種明顯的解决方案是有針對性地為不同行業提供分別需要在技術上考慮行業特定的IT安全等級SL的設備。為了例如為精煉廠內的所有可能應用情況做準備，理論上還必須為客戶需要的每個IT安全等級提供不同的設備。顯然，這種方法顯著增加了設備變型的多樣性，並因此使對應現場設備的開發和製造變得不經濟。反之，如果僅提供實現最高安全等級的特定於行業的單個設備，則這將導致高昂的硬體成本和高耗能，並降低設備運作時的人體工程學。

本發明的目的是進一步開發現場設備，使得其能減少現有技術中已知的問題。

該目的通過具有請求項1的特徵的現場設備、具有請求項12的特徵的改裝模組、具有請求項16的特徵的方法以及具有請求項22的特徵的電腦程式碼來實現。

根據本發明的過程自動化技術的現場設備包括具有至少一個通訊介面的現場設備電子裝置，該現場設備包括具有多個功能單元的安全模組，該多個功能單元用於實現多個不同程度的預定IT安全等級，其中，安全模組還包括用於選擇IT安全等級的選擇元件，其中，根據選擇，啟動用於實現所選擇的IT安全等級所需的功能單元，且/或停用不需要的功能單元。

本發明的基本思想是設計現場設備使得它們能夠實現不同的預定IT安全等級。

根據本發明的現場設備能夠以此方式用於一個以上的安全等級，從而可以選擇並使用適用於計劃使用的安全等級以及由此預定的IT安全要求。以此方式，使用者例如不必接受任何不必要的易用性（ease of use）損失。此外，現場設備始終僅消耗對應IT安全等級所需的能量，因此特別是能量自給地運作的設備不會消耗不必要的能量。

在這種情況下，用於實現多個預定的IT安全等級的多個功能單元意味著至少兩個不同的IT安全等級可以由至少兩個功能單元來實現。

在本申請中，功能單元應理解為以硬體或軟體實現的功能塊，這些功能塊對於遵守預定的IT安全等級具有决定性的作用。特別地，在至少一個功能單元中，不同程度的IT安全等級有所不同，即，至少一個功能單元在實現一個IT安全等級時被啟動或停用，而在實現另一IT安全等級時未被對應地啟動或停用。較佳地，至少一個功能單元以硬體實現，並且至少一個功能單元以軟體實現。

本申請所基於的IT安全等級可以與IT安全的各個方面相關，並且可以通過在本申請的功能單元中概述的各種措施來實現。

此外，可以以作為本發明主題的IT安全等級實現的IT安全的各方面包括使用者、設備和軟體的識別和認證的各種等級、使用控制、現場設備在認證和完整性方面的通訊保護以及例如所需的響應時間。

在現場設備的一實施例中，安全模組被設計為使得可以選擇一次IT安全等級。在這種情況下，這意味著可以選擇一次IT安全等級，並然後確定該IT安全等級（即，不可更改）。特別地，可以由使用者選擇一次IT安全等級。這意味著處於交付狀態的現場設備不能具有IT安全等級或具有可由製造商指定的任何IT安全等級，然後可以由使用者更改一次該IT安全等級。

在此，特別地，使用者的一次選擇可以意味著後續使用者不能更改IT安全級別。在某些實施例中，可以區分IT安全等級的使用者側更改和IT安全等級的管理員側更改。這意味著在一實施例中，即使在運行時初始設置之後，管理員還可以隨後更改IT安全等級。然而，為此，例如除了作為管理員的認證之外，這只能通過設備專用的解鎖代碼和/或製造商側的額外許可來實現。

為了確保只能以期望的安全等級操作現場設備，可以將安全模組設計為在現場設備運行時能夠且特別是需要選擇IT安全等級。

以此方式，可以促使設備的操作人員在運行新的現場設備時選擇適當的安全等級。然後，在運行過程中進行設置和確定。作為上述過程的補充或替代，IT安全等級的後續更改可以與現場設備至出廠設置（即，交付狀態）的複位相結合，並因此與重新運行相結合。

為了排除竄改，可以將安全模組設計為僅在現場設備的首次運行時才能選擇IT安全等級。

這例如可以通過將選擇元件設計成機械不可逆來實現。選擇元件的機械不可逆的設計可以例如通過適當地鎖定已進行的一次設置來進行。例如，這種鎖定可以被設計為使得選擇元件只能向更高的IT安全等級進行更改。替代地，選擇元件也可以機械地固定，例如黏附或以其他方式進行固定。額外地或替代地，機械的選擇元件也可以具有預設的斷裂位置，即，當在使用者首次設置IT安全等級時，選擇元件在設置後在該預設的斷裂位置處折斷，並因此不能後續改變IT安全等級。

額外地或替代地，安全模組可以被設計為使得IT安全等級的選擇是電子不可逆的。這可以例如通過在第一次讀出選擇元件之後中斷為此所需的電連接來實現。例如，這可以通過有針對性地中斷安裝在此處的保險絲或通過以其他方式破壞選擇元件的電氣可讀性來實現。額外地或替代地，當設置IT安全等級時，為了實現選擇的IT安全等級而停用的功能元件還可以通過永久中斷與這些功能元件的電性連接來防止重新啟動。

例如，為了實現確定的IT安全等級，可以禁用無線電接口。在上述實施例中，可以例如通過永久中斷與無線電接口的電連接，或者例如通過有針對性地使傳輸元件失靈來防止重新啟動無線電接口。

額外地或替代地，安全模組可以被設計為使得IT安全等級的選擇在軟體技術上是不可逆的。例如，在成功設置IT安全等級之後，可以删除或以其他方式更改程式碼的用於實現選擇元件的讀出和IT安全等級的設置的一部分，使得不能再次讀出選擇元件。在該實施例中，然後可以將選擇元件調節為選擇與設置的IT安全等級不同的IT安全等級（如果在這一點上未被阻止的話），但是不再讀出更改的選擇並因此未調節IT安全等級。

為了確保一次選擇的IT安全等級至少不降低，即不會隨後選擇具有更低IT安全程度的IT安全等級，現場設備可以在交付時具有最低的IT安全等級，並將安全模組設計為只能提高IT安全等級。該功能不僅可以通過硬體（例如，選擇元件）的適當設計實現，而且還能通過適當的軟體實施來實現。

替代地，還可能以最高的IT安全等級交付現場設備，並且只能降低IT安全等級。

在一實施例中，選擇元件可以被設計為硬體開關，較佳為滑動開關或旋轉開關。通過這種硬體開關可以直觀且易於使用地選擇IT安全等級。以硬體實現的選擇元件的實施例可以形成對基於網路的攻擊的有效保護，並因此有助於現場設備的保護。

在另一實施例中，選擇元件可以被設計為現場設備的使用者介面中的選擇目錄。現場設備的運行過程通常包括各種參數化步驟，IT安全等級的選擇能夠以此方式無縫地插入到該參數化步驟中。

在現場設備的一實施例中，選擇元件可以控制多工器，該多工器至少在交付狀態下連接到用於實現IT安全等級的功能單元。以此方式，可以通過對多工器的適當控制來啟動或停用用於實現IT安全等級的各種功能單元。

在一實施例中，現場設備可以包括應用單元。這種應用單元可以例如被適當地設計為用於記錄運行國家（通常與顯示單元的語言選擇相結合）和操作人員的對應行業。內置在現場設備中的安全等級確定設備可以據此並且必要時根據其他請求訊息獨立地確定哪種最小安全等級SL適用於對應的應用情況，並在運行時建議該最小安全等級SL。例如，在一個歐洲國家的飲用水儲存器內運行的情況下，現場設備因此可以獨立地確定關鍵基礎設施（KRITIS）的設備內的運作在此是期望的，例如可能需要IT安全等級SL3下的運作。除了建議之外，還可以進行設置，使得僅可以提高IT安全等級，但防止更低的IT安全等級，或者至少需要利用具有增加的存取權限的使用者進行認證。

本發明涉及一種用於過程自動化技術的現場設備的改裝模組，該現場設備包括具有至少一個通訊介面的現場設備電子裝置，其中，改裝模組包括安全模組，其中，安全模組包括用於選擇IT安全等級的選擇元件，其中，現場設備電子裝置和/或安全模組包括用於實現多個不同程度的預定IT安全等級的多個功能單元，其中，安全模組與現場設備電子裝置相互作用，以啟動所述實現所需的功能單元，且/或停用不需要的功能單元。

因此，對應的改裝模組可以實現不同程度的IT安全等級並選擇期望的IT安全等級。在此，改裝模組還可以實現在沒有改裝模組的情況下無法實現的IT安全等級。

例如，由改裝模組實現的安全等級的特徵可以是通訊的基於硬體或軟體的簽名或加密，用於使用者認證或使用者管理的第二因素的基於硬體或軟體的實現。此外，這種改裝模組還可以包括用於現有的現場設備的韌體更新。例如，通過現場設備的這種韌體更新可以確保現場設備電子裝置根據所選擇的安全等級僅接受確定的通訊路徑、遠程站點或擴充模組，且/或拒絕改裝模組的卸載。

如針對根據本發明的現場設備所已經說明，改裝模組可以包括確保不可逆地確定安全等級的各種機構。

在一實施例中，改裝模組可以包括用於數位簽章和/或資料加密的加密模組。在此，加密模組可以實現基於軟體或硬體的數位簽章，以確保資料完整性，即保護資料不被更改和/或加密資料以保護資料免受未經授權的存取。這既可以用於資料的區域儲存，也可以用於資料到上級單元的傳輸。

在另一實施例中，改裝模組包括用於將現場設備的資料傳輸到上級單元的通訊模組。例如，這種通訊模組能夠以已知方式建立與其他設備的安全通訊。替代地，也可以建立與其他的特定於製造商的設備的專有通訊，以確保安全的通訊。

在另一實施例中，改裝模組包括認證模組。認證模組可以例如實現使用者認證和/或使用者管理以及相關密碼管理。在此，使用者認證不僅可以包括對操作人員的認證，而且還可以包括對授權操作設備和/或通訊夥伴的認證。

在一實施例中，改裝模組可以包括應用單元。這種應用單元可以例如被適當地設計為用於記錄運行國家（通常與顯示單元的語言選擇相結合）和操作人員的對應行業。據此並且在必要時根據其他請求訊息，內置在現場設備中的安全等級確定設備可以獨立地確定哪種最小安全等級SL適用於對應應用情況，並在運行時建議該最小安全等級SL。例如，在一個歐洲國家的飲用水儲存器內運行的情況下，現場設備因此可以獨立地確定關鍵基礎設施（KRITIS）的設備內的運作在此是期望的，例如可能需要IT安全等級SL3下的運作。除了建議之外，還可以進行設置，使得僅能夠提高IT安全等級，但防止更低的IT安全等級，或者至少要求利用具有增加的存取權限的使用者進行認證。

在這一點上應再次指出，改裝模組尤其是物理地連接到現場設備的硬體模組。這特別在模組化構造的現場設備中易於使用，並因此能夠以很少的工作量使用安全模組升級現有的現場設備，從而完成IT安全級別的設置。

根據本發明的用於在具有安全模組的過程自動化現場設備中設置IT安全等級的方法，該安全模組具有用於實現多個不同程度的預定IT安全等級的多個功能單元，其中，安全模組包括用於選擇IT安全等級的選擇元件，該方法至少包括以下步驟：通過選擇元件選擇期望的IT安全等級。這可以通過對應的硬體和/或軟體實現。然後讀出選擇元件。這意味著確定了選擇的IT安全等級。然後，根據選擇的IT安全等級，即根據使用選擇元件選擇的IT安全等級，啟動用於實現選擇的IT安全等級所需要的功能單元和/或停用不需要的功能單元。

在這一點上應注意，啟動和停用是指現場設備的運作，並且在這種情況下意味著各個功能單元的持續運行或停用。停用或者換句話說關閉整個現場設備不影響在再次開啓現場設備之後的功能單元的狀態。

在該方法的較佳實施例中，IT安全等級的設置僅執行一次，較佳地在現場設備運行時執行一次，更較佳地在現場設備運行時強制地執行一次。

以此方式，防止了後續更改已進行了一次設置的IT安全等級，特別是防止降低該IT安全等級。因此，攻擊者例如不能將一次設置的IT安全等級設置為更低的IT安全等級，並且例如也無法利用適用於窺探資料的更低安全要求。

如果在現場設備運行時強制設置一次IT安全等級，則由此可以確保必須在現場設備運行時強制選擇安全等級，並且隨後不能更改該安全等級。例如，當在關鍵基礎設施（KRITIS）中使用現場設備時，以此方式能夠防止現場設備在運行時未設置IT安全等級的情況下運作。

通過在首次選擇IT安全等級時機械地停用選擇元件，實現了其中只能設置一次IT安全等級的方法。因此，通過機械地停用（即，禁用）選擇元件，防止了IT安全等級的隨後更改。

額外地或替代地，能夠電氣地停用選擇元件，並因此也可以實現IT安全等級的僅一次設置。這例如可以通過在首次讀出選擇元件之後切斷讀出所需的電連接來實現。為此，例如可以提供保險絲，該保險絲在讀出選擇元件後被切斷。

在該方法中可以額外或替代地使用的另一可能方案能夠通過軟體停用選擇元件。這例如可以通過停用或删除選擇元件所需的代碼段來進行。也可以通過停用或删除為此所需的代碼元件來讀出選擇元件。在另一種可能方案中，可以繼續更改和讀出選擇元件，但這對於設置的IT安全等級沒有影響。

為了防止利用IT安全等級的可選性，該方法可以被設計為使得現場設備在交付時具有最低的IT安全等級，並且只有在設置時才能提高。因此，無論IT安全等級是否只能進行一次選擇，都防止了選擇一次的IT安全等級降低。

在替代實施例中，該方法還可以規定現場設備在交付時具有最高可選的IT安全等級，並只能降低該IT安全等級。

該方法的一實施例可以使用應用單元。應用單元可以例如被適當地設計為用於記錄運行國家（通常與顯示單元的語言選擇相結合）和操作人員的對應行業。據此並且在必要時根據其他請求訊息，內置在現場設備中的安全等級確定設備可以獨立地確定哪種最小安全等級SL適用於各個應用情況，並在運行時建議該最小安全等級SL。例如，在一個歐洲國家的飲用水儲存器內運行的情況下，現場設備因此可以獨立地確定關鍵基礎設施（KRITIS）的設備內的運作在此是期望的，例如可能需要IT安全等級SL3下的運作。除了建議之外，還可以進行設置，使得僅能夠提高IT安全等級，這可以防止更低的IT安全等級，或者至少要求使用具有增加的存取權限的使用者進行認證。

根據本發明的用於在具有安全模組的過程自動化的現場設備中設置IT安全等級的電腦程式碼，其可以被設計為當在處理器中執行時，該電腦程式碼使處理器執行如上所述的方法。

在此，現場設備或改裝模組的使用地點也可以通過各種定位服務自動確定。例如，為此可以使用例如GPS或伽利略（Galileo）等基於衛星的定位、基於移動無線電網路的定位或基於區域可用的無線電網路的定位。自動定位還具有的優點在於，例如在移動的應用中，可以根據現場設備的使用地點來調節安全等級。以此方式，例如可以為移動應用提供更高的防竄改保護，或者還可以實現防盜保護。

以下所示的現場設備的示例性實施例示出了根據IEC 62443標準的定義來實施IT安全等級SL的示例性實施例。這些示例單純是示例性的，以用於闡明基本結構和流程，並基本上包括到具有可比較概念的其他現有的或未來產生的標準的轉移，以用於基本上根據本發明的理解來標準化定義安全等級。

圖1示出了根據本申請的現場設備101的第一示例性實施例。圖1所示的附圖單純是示意性的，並僅示出了與IT安全等級的選擇和實施相關的部件。

現場設備101被設計為通過測量介面102檢測諸如填充物位等過程變量，並通過有線通訊介面104或無線介面103將檢測的過程變量提供給外部。現場設備101包括用於指定IT安全等級SL的選擇元件105，例如具有四個可選位置的滑動開關。現場設備101的處理器106根據選擇元件105的位置來識別由使用者指定的IT安全等級SL，並啟動多工器107的與設置的IT安全等級SL相關的位置，該多工器連接到功能單元108、109、110、111。功能單元108、109、110、111包含硬體和軟體元件，根據IT安全等級的基本定義（例如，由於標準），這些硬體和軟體元件是必須的，以便達到其中一個安全等級，在IEC 62443的情況下達到IT安全等級SL1、SL2、SL3或SL4中的一者。

根據使用者認證的示例，下面將闡明本申請的原理。

在滑動開關105的初始位置中，指定了可對應於最低IT安全程度的安全等級SL1。在使用者存取的情況下，與SL1相關的認證模組在功能單元108中被啟動，該功能模組包含僅當使用者使用（任意的）使用者名和密碼進行了自我識別和認證時才允許存取現場設備101的機制。

然而，如果滑動開關105處於第二位置，則處理器106識別出IT安全等級SL2。在這種情況下，功能單元109處理用於獲得對現場設備101的存取的登錄請求，該功能單元包含用於管理具有相關密碼和個人存取權限的可預定使用者列表（即，使用者管理）的機制。

在滑動開關105定位在第三位置的情況下，確定出IT安全等級SL3。在這種情況下，如果已知使用者使用他的個人密碼進行自我識別，則在來自可信網路104的請求的情況下，相關的功能單元110將允許對現場設備110的存取。然而，在來自不可信網路103的存取的情況下，僅當登錄的授權使用者可以通過多因素認證來進行自我認證，例如通過輸入密碼並額外地放置具有電子存取代碼的NFC晶片，單元110才允許存取。

如果滑動開關105位於第四位置，則要求最高的IT安全等級。在SL4模式下的登錄請求由功能單元111處理，該功能單元以與發出請求的網路103、104無關的方式基本上僅通過多因素認證來允許存取具有其值和設置的現場設備101。

在這一點上應指出，通過啟動特定的IT安全等級，還可以啟動和/或停用功能單元108、109、110、111中可包含的特定硬體單元。因此，例如IT安全等級SL3和SL4要求使用基於硬體的認證元件，以便從根本上防止惡意軟體在該關鍵位置上的可能竄改，而在等級SL1和SL2中，軟體元件可以接管該任務，這能夠有助於節能。

在啟動高IT安全等級時，可以停用現場設備的不安全存取點。例如，在選擇安全等級SL3或SL4時停用無線介面103。這種停用還可以被設計為不可逆的，例如通過删除相關軟體部分或通過切斷這些硬體單元的供電線中的保險絲。

從以上示例可以看出，運算量和耗能以及使用者導引的人體工學都可以直接受到IT安全等級的選擇的影響。

在這一點上應指出的是，除了使用者登錄之外，大量的其他安全關鍵型應用情況還可能受到對應的法規要求（例如，標準和規範）和對應的技術實施方面的最低要求的制約。可以將用於實施最低要求所需的硬體和軟體單元整合到功能單元108-111中。另外，多工器107可以由硬體和軟體單元組成。如果多工器107和功能單元108-111的一部分能夠以軟體實現，則可以將它們實現在處理器106中。

用滑動開關105對IT安全等級SL的指定本身可能導致安全風險。因此，可以實現諸如可鎖定選擇器等只能由製造商授權的服務人員進行更改的其他選擇元件105。然而，也可以使選擇元件105變得對客戶可存取，並在IT安全等級SL的預定設置之後，例如通過鎖定元件112或通過在預設的斷裂位置處不可逆地折斷滑動元件105來防止未經授權的更改。

選擇元件105也可以通過軟體介面實現。在一實施例中，對該元件的存取可以限制至現場設備101在工廠交付後的第一次運行。在另一實施例中，感應器101可以基本上以最高的安全等級SL4離開工廠，並只有在對應全面的識別和認證之後，使用者才能夠更改以軟體實現的選擇元件105的位置。也能夠以低安全等級交付設備101，以便僅在進行認證後才允許將安全等級改變為更高的IT安全。

可以僅在初始運行之前或在此期間才能夠改變選擇元件105。例如，這可以通過以下方式實現：在處理器106讀出選擇元件105的位置之後，例如通過有針對性地熔斷連接線113中的保險絲來不可逆地中斷連接線113。補充地和/或替代地，可以通過熔斷連接線114、115、116中的保險絲來不可逆地停用根據所需的安全等級而不再需要的功能元件108、109、110、111。也可以不可逆地和永久地删除功能元件114、115、116、117中的不需要的軟體元件，或者不可逆地中斷到包含該軟體元件的儲存元件的供電線。

圖2示出了根據本申請的現場設備201的第二示例性實施例。該實施例的基本思想是將啟動各個應用所需的IT安全等級SL的必要物直接整合到根據本發明的現場設備201中，即，在現場設備201運行時強制執行IT安全等級的選擇。過程測量設備的客戶現在已經具有可以通過運作調試導引或通過PC或應用程序或顯示和運作模組的對應輸入掩碼（input mask）來定義設備的與運作相關的最重要參數的選項。為此，例如可以使用應用單元202。應用單元202可以例如被適當地設計為用於記錄運行國家（通常與顯示單元的語言選擇相結合）和操作人員的對應行業。內置在現場設備201中的安全等級確定設備203可以據此並且在必要時根據其他請求訊息獨立地確定哪個安全等級SL適用於對應的應用情況。例如，在一個歐洲國家的飲用水儲存器內運行的情況下，現場設備201因此可以獨立地確定關鍵基礎設施（KRITIS）的設備內的運作在此是期望的，例如可能需要以IT安全等級SL3進行運作。通過控制安全等級選擇器203，可以根據已經與圖1相關的過程結合的原理來設置所需的安全等級SL。

通常，行業特定的或國家的標準（例如，IEC 62443-1-1）不僅要求特別是用於關鍵基礎設施（KRITIS）的IT安全，還要求設備相對於未經授權的存取的穩健性以及可靠的功能和設備功能的連續可用性。因此，在圖1的示例性實施例和圖2的示例性實施例中，都可以額外地啟動將設備的功能安全性（例如，根據IEC 61508）提高到預定義等級的硬體和軟體單元。

圖3示出了具有改裝模組302的現場設備301的第三實施例。

因此，圖3所示的現場設備301公開了改裝現有的現場設備301的可能性，該現場設備先前不具有預定義的IT安全等級SL。這種現場設備301已經生產了多年，並且對於現場設備301的製造商而言，為現有設備裝配擴展的IT安全等級SL是一挑戰。在大量設備中，潛在的與IT相關的安全攻擊基本上只能通過有線介面303進行。因此，一種方法是斷開現場設備301的通訊線路303並加入帶有安全模組的改裝模組302，以實現對應的IT安全等級SL，例如可以將該改裝模組安裝在現場設備301的殼體的第二腔室中。改裝模組303可以被適當地設計為包括具有預定義長度的有線輸出線304，該輸出線被設計為連接現有的現場設備301的原始接觸接口305。額外地或替代地，改裝模組302能夠例如通過可用黏合劑固定的安全螺釘連接器306以不可再次取下的方式緊固在現場設備301上。此外，可以用自黏的並因此不可再次取下的殼體蓋307代替原始的殼體蓋（未示出）。

改裝模組302根據需要的IT安全等級SL承擔現場設備301的各種安全功能，例如使用者管理、認證、加密或根據期望的IT安全等級SL可由對應標準要求的其他功能。特別地，改裝模組302還可以用作防火牆並連續地監控並在必要時拒絕進入的資料封包。

取决於期望的IT安全等級SL，可以提供各種改裝模組302，以在客戶端或工廠中進行改裝。改裝模組302還可以被設計為使得其能夠根據上述示例性實施例進行設置，並因此實現不同的IT安全等級。

隨後，只能通過改裝模組302和其中包含的安全模組經由通訊線路303從外部存取以此方式改裝的現場設備303。通過黏附感應器蓋307，能夠可靠地禁止在安裝現場未經授權的存取和竄改。

圖4以流程圖示出了根據本申請的用於設置IT安全等級SL的方法400的可能實施例。

圖4示意性地示出了方法400的順序，並且特別地不排除用於設置IT安全等級SL或用於操作現場設備101、201、301的其他方法步驟。

在第一步驟401中，開始現場設備101、201、301的運行，這些現場設備可以根據前述圖1至圖3中任一者進行設計。

在運行過程中，在步驟402中，要求使用者選擇IT安全等級SL，例如根據上述四個IT安全等級SL1、SL2、SL3和SL4進行選擇並在必要時確認該選擇。

在步驟403中，通過選擇元件105選擇IT安全等級SL，並且在隨後的步驟404中，讀出選擇元件105。

取决於選擇和讀取的IT安全等級SL，在另一步驟405中啟動用於實現選擇的IT安全等級SL所需的功能單元108-111，幷且停用該實現所不需要的功能單元108-111。不需要的功能單元還明確包括爲實現選擇的IT安全等級SL而必須停用的功能單元，例如停用無線電單元。

在用於設置IT安全等級SL的方法400的當前示出的示例性實施例中，在另一步驟406中，停用選擇元件105。當在軟體中實施該方法時，這例如可以通過刪除對應的程式部分或以其他方式使其不可讀取來實現。

在設置選擇的IT安全等級SL之後，以選擇的IT安全等級操作現場設備。

101、201、301:現場設備 102:測量介面 103:無線介面 104:有線通訊介面 105:選擇元件 106:處理器 107:多工器 108、109、110、111:功能單元 113、114、115、116:連接線 202:應用單元 203:安全等級選擇器 302:改裝模組 303:通訊線路 304:有線輸出線 305:原始接觸接口 306:連接器 307:殼體蓋

以下將參考附圖並根據示例性實施例更詳細地說明本發明。 圖1示出了根據本申請的現場設備的第一示例性實施例。 圖2示出了根據本申請的現場設備的第二示例性實施例。 圖3示出了根據本申請的具有改裝模組的現場設備的第三示例性實施例。 圖4示出了根據本申請的方法的示例性實施例。

101:現場設備

102:測量介面

103:無線介面

104:有線通訊介面

105:選擇元件

106:處理器

107:多工器

108、109、110、111:功能單

113、114、115、116:連接線

Claims (23)

1. 一種過程自動化技術的現場設備，其包括具有至少一個通訊介面的現場設備電子裝置和具有多個功能單元的安全模組，所述多個功能單元用於實現多個不同程度的預定IT安全等級， 其中，所述安全模組包括用於選擇所述IT安全等級的選擇元件，其中，基於所述選擇，啟動用於實現所選擇的IT安全等級所需的功能單元，及/或停用不需要的功能單元。
2. 如請求項1所述的現場設備，其中所述安全模組被設計為使得能夠選擇一次所述IT安全等級。
3. 如前述任一項請求項所述的現場設備，其中所述安全模組被設計為使得能夠在所述現場設備運行時選擇所述IT安全等級。
4. 如前述任一項請求項所述的現場設備，其中所述安全模組被設計為使得僅在所述現場設備首次運行時才能夠選擇所述IT安全等級。
5. 如前述任一項請求項所述的現場設備，其中所述選擇元件被設計為機械不可逆的。
6. 如前述任一項請求項所述的現場設備，其中所述安全模組被設計為使得所述IT安全等級的選擇是電子不可逆的。
7. 如前述任一項請求項所述的現場設備，其中所述安全模組被設計為使得所述IT安全等級的選擇在軟體技術上是不可逆的。
8. 如前述任一項請求項所述的現場設備，其中所述現場設備在交付時具有最低的IT安全等級，並且所述安全模組被設計為使得只能夠提高所述IT安全等級。
9. 如前述任一項請求項所述的現場設備，所述現場設備在交付時具有最高的IT安全等級，並且所述安全模組被設計為使得只能夠降低所述IT安全等級。
10. 如前述任一項請求項所述的現場設備，其中所述選擇元件被設計為硬體開關，較佳為滑動開關或旋轉開關。
11. 如前述任一項請求項所述的現場設備，其中所述選擇元件被設計為所述現場設備的使用者介面的一部分。
12. 如前述任一項請求項所述的現場設備，其中所述選擇元件控制多工器，所述多工器連接到用於實現所述IT安全等級的所述功能單元。
13. 一種用於過程自動化技術的現場設備的改裝模組，所述現場設備包括具有至少一個通訊介面的現場設備電子裝置，其中，所述改裝模組包括安全模組，其中，所述安全模組包括用於選擇IT安全等級的選擇元件，其中，所述現場設備電子裝置和/或所述安全模組包括多個功能單元，所述多個功能單元用於實現多個不同程度的預定IT安全等級，其中，所述安全模組與所述現場設備電子裝置相互作用，從而啟動用於所述實現所需的功能單元，及/或停用不需要的功能單元。
14. 如請求項12所述的改裝模組，其中所述改裝模組包括用於對數位簽章和/或資料加密的加密模組。
15. 如請求項12及13中任一項所述的改裝模組，其中所述改裝模組包括用於將來自所述現場設備的資料傳輸到上級單元的通訊模組。
16. 如請求項12至14中任一項所述的改裝模組，其中所述改裝模組包括認證模組。
17. 一種用於在具有安全模組的過程自動化現場設備中設置IT安全等級的方法，所述安全模組包括多個功能單元，所述多個功能單元用於實現多個不同程度的預定IT安全等級，其中，所述安全模組包括用於選擇所述IT安全等級的選擇元件，所述方法包括以下步驟：通過所述選擇元件選擇期望的IT安全等級；讀出所述選擇元件；啟動所需的功能單元，及/或停用不需要的功能單元，以實現所選擇的IT安全等級。
18. 如請求項16所述的方法，其中只能夠設置一次所述IT安全等級，其中，只能夠設置一次所述IT安全等級，較佳地在所述現場設備運行時設置一次，更加地在所述現場設備運行時強制設置一次。
19. 如請求項17所述的方法，其中通過機械地停用所述選擇元件，只能夠設置一次所述IT安全等級。
20. 如請求項17至18中任一項所述的方法，其中通過電氣地停用所述選擇元件，只能夠設置一次所述IT安全等級。
21. 如請求項17至19中任一項所述的方法，其中通過軟體停用所述選擇元件，只能夠設置一次所述IT安全等級。
22. 如請求項16至20中任一項所述的方法，其中所述現場設備在交付時具有最低的IT安全等級，並且在設置時只能夠提高所述IT安全等級。
23. 一種用於在具有安全模組的過程自動化現場設備中設置IT安全等級的電腦程式碼，當所述電腦程式碼在處理器中執行時，所述電腦程式碼使所述處理器執行根據請求項16至22中任一項所述的方法。

Images