專利名稱：現(xiàn)場(chǎng)設(shè)備的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種現(xiàn)場(chǎng)設(shè)備，特別是用于能量技術(shù)設(shè)備如供電設(shè)備中，具有 權(quán)利要求1前序部分的特征。
背景技術(shù)：
這樣的現(xiàn)場(chǎng)設(shè)備例如通過SIEMENS ^^司的防護(hù)i殳備SIPROTEC 7SA511 及7SA513構(gòu)成。該防護(hù)設(shè)備被構(gòu)造為具有微處理器裝置，其在現(xiàn)場(chǎng)設(shè)備運(yùn)行 期間執(zhí)行確定設(shè)備功能的程序模塊。
在能量技術(shù)設(shè)備中的現(xiàn)場(chǎng)設(shè)備如今實(shí)現(xiàn)繼電保護(hù)技術(shù)和控制技術(shù)的許多 功能。設(shè)備的性能和功能性不斷提高。從現(xiàn)場(chǎng)設(shè)備制造商的觀點(diǎn)來看，為每個(gè) 客戶的期望分別提供合適的設(shè)備存在越來越多的問題在此自然必須由設(shè)備設(shè) 置各個(gè)客戶期望的所有的功能；但是同時(shí)必須考慮成本方面和價(jià)格構(gòu)成方面， 使得設(shè)備關(guān)于其功能不是巨大的，并且可以執(zhí)行比客戶所需要的功能多的功能 并且是能負(fù)擔(dān)得起的。

發(fā)明內(nèi)容
因此本發(fā)明要解決的技術(shù)問題是提供一種現(xiàn)場(chǎng)設(shè)備，其可以這樣簡(jiǎn)單而快 速地配置，使得可以執(zhí)行預(yù)定的設(shè)備功能而不提供或僅有限地提供其它功能。
上述技術(shù)問題根據(jù)本發(fā)明通過一種具有權(quán)利要求1的特征部分的現(xiàn)場(chǎng)設(shè)備 解決。根據(jù)本發(fā)明的現(xiàn)場(chǎng)設(shè)備的優(yōu)選實(shí)施方式在從屬權(quán)利要求中給出。
根據(jù)本發(fā)明，現(xiàn)場(chǎng)設(shè)備具有安全裝置，該安全裝置這樣構(gòu)造，使得它檢查 輸入的、描述期望的設(shè)備功能的功能描述塊是否描述允許的設(shè)備功能，并且在 非允許的設(shè)備功能情況下禁止其執(zhí)行，而在允許的設(shè)備功能的情況下允許其執(zhí) 行。功能描述塊例如可以文件的形式，例如以XML格式給出。
根據(jù)本發(fā)明的現(xiàn)場(chǎng)設(shè)備的主要優(yōu)點(diǎn)在于，僅通過允許或禁止在設(shè)備中存在 的設(shè)備功能，就可以非常簡(jiǎn)單而廉價(jià)地設(shè)置用戶方面設(shè)備的可用的功能范圍。由此，當(dāng)其它設(shè)備功能是允許的時(shí)，用戶實(shí)際可用的功能范圍可以小于設(shè)備基 本提供的功能范圍。例如可以僅通過根據(jù)軟件來允許和禁止設(shè)備功能而進(jìn)行制 造商方面的配置。
根據(jù)本發(fā)明的現(xiàn)場(chǎng)設(shè)備的另 一個(gè)主要優(yōu)點(diǎn)在于，明顯簡(jiǎn)化了制造商方面的 庫(kù)存。在理想情況下，理論上硬件方面制造一個(gè)現(xiàn)場(chǎng)設(shè)備類型，并且僅僅通過 根據(jù)軟件的允許和禁止來完成設(shè)備的最終的功能范圍和最終的設(shè)備類型的確定 就足夠了 。
根據(jù)本發(fā)明的現(xiàn)場(chǎng)設(shè)備的第三個(gè)主要優(yōu)點(diǎn)在于，盡管有安全裝置還是可以
非常筒單地操作該現(xiàn)場(chǎng)設(shè)備在允許的設(shè)備功能的情況下，僅通過輸入描述設(shè) 備功能的功能描述模塊，例如以XML格式，來進(jìn)行用戶方面期望的設(shè)備功能 的確定。例如可以用由制造商提供的配置工具來進(jìn)行這樣的輸入。
考慮到盡可能安全地防止通過用戶濫用而消除設(shè)備功能的禁止，優(yōu)選安全 裝置具有解釋組件，該解釋組件解釋用戶方面或制造商方面輸入的功能描述塊， 并且在考慮多個(gè)固件方面(優(yōu)選為硬件方面)的在現(xiàn)場(chǎng)設(shè)備中預(yù)先安裝的功能 組件的情況下，當(dāng)輸入的功能描述塊描述允許的設(shè)備功能時(shí)，才產(chǎn)生相應(yīng)的程 序模塊。在現(xiàn)場(chǎng)設(shè)備的該優(yōu)選實(shí)施方式中，使用戶對(duì)內(nèi)部功能的操縱變得困難， 并且減少濫用可能性。此外，對(duì)運(yùn)行設(shè)備所需的程序模塊是不可支配的，從而 用戶方面不能讀出或復(fù)制或?yàn)E用地修改該程序模塊，例如關(guān)于允許被禁止的設(shè) 備功能。
當(dāng)這樣構(gòu)造安全裝置時(shí)，可以特別簡(jiǎn)單并且由此優(yōu)選地達(dá)到對(duì)設(shè)備功能的 允許和禁止，該安全裝置將功能描述塊中包含的特征塊與現(xiàn)場(chǎng)設(shè)備中存儲(chǔ)的或 現(xiàn)場(chǎng)設(shè)備可用的、描述現(xiàn)場(chǎng)設(shè)備的允許的功能范圍的標(biāo)記塊進(jìn)行比較，并且當(dāng) 特征塊中描述的特征在標(biāo)記塊中缺少或被定義為禁止時(shí)，禁止對(duì)功能描述塊中 描述的設(shè)備功能的執(zhí)行。
優(yōu)選地在現(xiàn)場(chǎng)設(shè)備中存儲(chǔ)標(biāo)記塊。在該情況下，標(biāo)記塊優(yōu)選具有標(biāo)記現(xiàn)場(chǎng) 設(shè)備的設(shè)備標(biāo)識(shí)，對(duì)該現(xiàn)場(chǎng)設(shè)備來說標(biāo)記塊是確定的。
可替換地，還可以在外部存儲(chǔ)組件中存儲(chǔ)標(biāo)記塊，該外部存儲(chǔ)組件與現(xiàn)場(chǎng) 設(shè)備相連用于其運(yùn)行。在該情況下，標(biāo)記塊優(yōu)選地包含存儲(chǔ)器標(biāo)識(shí)，該存儲(chǔ)器 標(biāo)識(shí)標(biāo)記標(biāo)記塊所分配到的外部存儲(chǔ)器。在該實(shí)施方式中，標(biāo)記塊雖然適合于 許多現(xiàn)場(chǎng)設(shè)備，但是仍保證復(fù)制保護(hù)。
特別具有優(yōu)勢(shì)的是，用電子簽名來簽署標(biāo)記塊，并且這樣構(gòu)造安全裝置，使得當(dāng)對(duì)電子簽名的檢驗(yàn)得到負(fù)的結(jié)果時(shí)，禁止功能描述塊的進(jìn)一步處理。用 這樣的標(biāo)記塊的簽名可以避免用戶濫用地改變標(biāo)記塊以事后擴(kuò)展i殳備功能。
例如這樣構(gòu)造安全裝置，用密鑰對(duì)的第二密鑰來對(duì)用該密鑰對(duì)的第 一 密鑰 加密的標(biāo)記塊進(jìn)行解密以檢驗(yàn)電子簽名。以優(yōu)選方式密鑰對(duì)的第二密鑰存儲(chǔ)在 現(xiàn)場(chǎng)設(shè)備的防止未經(jīng)授權(quán)的讀取而受保護(hù)的存儲(chǔ)區(qū)域中。
也可以這樣構(gòu)造安全裝置，即就是否存在有效的電子簽名來^f企驗(yàn)特征塊， 并且當(dāng)對(duì)電子簽名的檢驗(yàn)產(chǎn)生負(fù)的結(jié)果時(shí)，禁止功能描述塊的進(jìn)一步處理。例 如當(dāng)要確保僅能用制造商的配置工具來進(jìn)行功能描述塊的輸入時(shí)，推薦使用特 征塊的簽名。通過這樣限制于制造商的配置工具，例如可以確保僅能使用在制 造商方面被檢查并且關(guān)于保證和擔(dān)保被歸入安全級(jí)別的功能描述塊和特征塊。
以優(yōu)選方式這樣構(gòu)造安全裝置，該安全裝置用另一密鑰對(duì)的第二密鑰來對(duì) 用該密鑰對(duì)的第一密鑰加密的特征塊進(jìn)行解密以檢驗(yàn)電子簽名。該另一密鑰對(duì) 的第二密鑰優(yōu)選地存儲(chǔ)于防止未經(jīng)授權(quán)的讀取而受保護(hù)的存儲(chǔ)區(qū)域中。
防止未經(jīng)授權(quán)的讀取而受保護(hù)的存儲(chǔ)區(qū)域以優(yōu)選方式集成于一個(gè)或各個(gè) 組件中，該組件實(shí)施現(xiàn)場(chǎng)設(shè)備的基本的不可缺少的基本功能。由此避免具有密 鑰的組件被通過具有其它密鑰的任意的其它電氣組件代替以例如挖掘簽名安全 性。這些組件例如控制現(xiàn)場(chǎng)設(shè)備的數(shù)據(jù)總線或接口。具有受保護(hù)的存儲(chǔ)區(qū)域的
組件例如可以集成于ASIC、 FPGA、或CPLD組件中。
此外考慮最大限度的用戶友好性作為優(yōu)選方式設(shè)置為，標(biāo)記塊包含基本功 能塊和選項(xiàng)塊，其中基本功能塊確定允許的現(xiàn)場(chǎng)設(shè)備的基本功能范圍，而選項(xiàng) 塊確定允許的選項(xiàng)范圍，在該選項(xiàng)范圍之內(nèi)允許用戶方面其它附加功能加入到 基本功能范圍，而不用通過安全裝置來禁止現(xiàn)場(chǎng)設(shè)備。
在選項(xiàng)塊中優(yōu)選地為每個(gè)可選的附加功能分別存儲(chǔ)值數(shù)(Wertzahl)，并且 優(yōu)選通過最大值來定義(以下稱為預(yù)付變量(Prepaid-Variante ))允許的選項(xiàng)范 圍。安全裝置例如將該用戶方面選出的附加功能的值數(shù)相加，并且當(dāng)和數(shù)超過 最大值時(shí)，禁止結(jié)果的設(shè)備功能的實(shí)施。
替代地，標(biāo)記塊還可以僅描述一個(gè)設(shè)備功能，并且當(dāng)用戶方面僅期望現(xiàn)場(chǎng) 設(shè)備的簡(jiǎn)單版本時(shí)，不允許任何選項(xiàng)。在這種情況下包括特征塊的功能描述塊 優(yōu)選地在制造商方面已經(jīng)存儲(chǔ)在現(xiàn)場(chǎng)設(shè)備中。


以下根據(jù)實(shí)施例詳細(xì)解釋本發(fā)明；在此示例性示出
圖1示出根據(jù)本發(fā)明的現(xiàn)場(chǎng)設(shè)備的實(shí)施例，
圖2示出根據(jù)圖1的現(xiàn)場(chǎng)設(shè)備的安全裝置的安全^t塊的結(jié)構(gòu)，
圖3示出產(chǎn)生用于根據(jù)圖1的現(xiàn)場(chǎng)設(shè)備的標(biāo)記塊的實(shí)施例，以及
圖4示出產(chǎn)生用于根據(jù)圖1的現(xiàn)場(chǎng)設(shè)備的功能描述塊的實(shí)施例。
具體實(shí)施例方式
在圖l可以看出現(xiàn)場(chǎng)設(shè)備10,其構(gòu)造為具有微處理器單元20以及主存儲(chǔ) 器30和安全裝置40。微處理器單元20、主存儲(chǔ)器30和安全裝置40經(jīng)過設(shè)備 內(nèi)部的數(shù)據(jù)總線50互相相連并與現(xiàn)場(chǎng)設(shè)備10的外部接頭A10相連。
如在圖1中獲悉的，安全裝置被構(gòu)造為具有解釋組件60、安全模塊70以 及存儲(chǔ)區(qū)域80,在該存儲(chǔ)區(qū)域80中存儲(chǔ)了功能組件FM。安全模塊70經(jīng)過接 頭A70a與數(shù)據(jù)總線50相連以及經(jīng)過接頭A70b與解釋組件60相連。
根據(jù)圖1的現(xiàn)場(chǎng)設(shè)備10例如按以下描述
在還在現(xiàn)場(chǎng)設(shè)備10的制造或參數(shù)化期間進(jìn)行的第一步驟中，將標(biāo)記塊KB 存儲(chǔ)于現(xiàn)場(chǎng)設(shè)備10的主存儲(chǔ)器30中；這樣的存儲(chǔ)過程例如可以經(jīng)過現(xiàn)場(chǎng)設(shè)備 10的接頭A10來進(jìn)行。在標(biāo)記塊KB中描述了對(duì)現(xiàn)場(chǎng)設(shè)備的運(yùn)行來說允許的功 能范圍。例如在標(biāo)記塊KB中可以確定，允許將現(xiàn)場(chǎng)設(shè)備IO作為遠(yuǎn)距離保護(hù)裝 置、作為電能質(zhì)量測(cè)量設(shè)備(Power-Quality-Messger針)或作為差動(dòng)保護(hù)測(cè)量裝 置來運(yùn)行。
在預(yù)先安裝標(biāo)記塊KB和向最終用戶(以下也稱為用戶)交付現(xiàn)場(chǎng)設(shè)備IO 之后，在主存儲(chǔ)器30中借助連接于現(xiàn)場(chǎng)設(shè)備的接頭A10的配置工具存儲(chǔ)用戶 方面的功能描述塊FB,為清楚起見在圖1中未示出該配置工具。用戶在功能描 述塊FB中向現(xiàn)場(chǎng)設(shè)備中的輸入，他想如何使用該設(shè)備以及應(yīng)該實(shí)施現(xiàn)場(chǎng)設(shè)備 的哪些設(shè)備功能。要實(shí)施的設(shè)備功能包含在功能描述塊FB的特征塊MB中； 可替換地，還可以僅通過特征塊MB來定義功能描述塊FB。
如果此時(shí)由用戶運(yùn)行現(xiàn)場(chǎng)設(shè)備10，則安全裝置40首先4企查，用戶方面輸 入的功能描述塊FB或其中包含的特征塊MB是否描述對(duì)現(xiàn)場(chǎng)設(shè)備10來說允許 的設(shè)備功能。在此如果安全裝置40確定，用戶方面期望的設(shè)備功能在標(biāo)記塊 KB中作為允許的被定義，則安全裝置允許設(shè)備運(yùn)行，從而允許微處理器單元 20實(shí)施設(shè)備功能。此外還檢查，現(xiàn)場(chǎng)設(shè)備10中包含的標(biāo)記塊KB是否包含安全裝置40中存儲(chǔ)的現(xiàn)場(chǎng)設(shè)備的ID，以及標(biāo)記塊KB和特征塊MB的簽名是否 是用存儲(chǔ)區(qū)域80中存儲(chǔ)的公鑰關(guān)鍵字OSK可檢驗(yàn)的。
用于控制微處理器單元20所必須的可執(zhí)行的程序模塊PM由解釋組件60 提供，該解釋組件分析在特征塊MB或功能描述塊FB中描述的設(shè)備功能，并 且在考慮存儲(chǔ)于存儲(chǔ)區(qū)域80中的功能組件FM的條件下產(chǎn)生程序模塊PM。
而如果安全裝置40確定，在功能塊FB中沒有描述對(duì)現(xiàn)場(chǎng)設(shè)備10來說允 許的設(shè)備功能，則安全裝置禁止解釋組件60和/或微處理器單元20,由此可以 防止利用不允許的設(shè)備功能來啟動(dòng)現(xiàn)場(chǎng)設(shè)備10。
也就是說例如，如果在標(biāo)記塊KB中確定，僅允許現(xiàn)場(chǎng)設(shè)備IO作為遠(yuǎn)距離 保護(hù)裝置、作為電能質(zhì)量測(cè)量裝置或作為差動(dòng)保護(hù)裝置運(yùn)行，則關(guān)閉利用其它 設(shè)備功能的啟動(dòng)，當(dāng)解釋組件60原則上能夠在使用存儲(chǔ)于存儲(chǔ)區(qū)域80中的功 能組件FM的條件下模擬該設(shè)備功能時(shí)。換言之，就是根據(jù)存儲(chǔ)于存儲(chǔ)區(qū)域80 中的功能組件FM和解釋組件60的工作原理，現(xiàn)場(chǎng)設(shè)備IO可以完全適合于實(shí) 施不同于在標(biāo)記塊KB中定義的設(shè)備功能；但是盡管如此并沒有出現(xiàn)這樣的實(shí) 施，因?yàn)榘踩b置40首先檢驗(yàn)，是否在標(biāo)記塊KB中描述并允許用戶方面期望 的設(shè)備功能。
為了防止用戶方面竄改標(biāo)記塊KB和例如關(guān)于允許的設(shè)備功能而擴(kuò)展標(biāo)記 塊KB，優(yōu)選在制造商方面就已經(jīng)用電子簽名來簽署標(biāo)記塊KB,這是通過例如 在使用第一密鑰對(duì)的第一密鑰的條件下加密標(biāo)記塊KB;其中加密還考慮現(xiàn)場(chǎng) 設(shè)備10的設(shè)備標(biāo)識(shí)號(hào)ID。然后將加密的標(biāo)記塊KB'存儲(chǔ)于主存儲(chǔ)器30中。
還優(yōu)選地用電子簽名來簽署并加密地存儲(chǔ)功能描述塊FB和其中包含的加 密的特征塊MB。特征塊MB加密的優(yōu)勢(shì)在于，能夠防止用戶方面在現(xiàn)場(chǎng)設(shè)備 10中安裝不是由現(xiàn)場(chǎng)設(shè)備10的制造商制造的和檢查的功能描述塊。例如在使 用第二密鑰對(duì)的第 一 密鑰的條件下在形成加密的功能描述塊FB'和其中包含的 加密的特征塊MB'的情況下進(jìn)行塊FB和MB的加密。
在標(biāo)記塊KB、功能描述塊FB和其中包含的特征塊MB的加密和解密時(shí)， 優(yōu)選地采用基于密鑰對(duì)的加密技術(shù)。在此用第一密鑰實(shí)現(xiàn)加密，該加密只能用 該密鑰對(duì)的第二密鑰來解密。只有當(dāng)呈現(xiàn)第二密鑰時(shí)，這樣的加密才允許對(duì)加 密的文件的讀取。第二密鑰的持有者可以同時(shí)檢驗(yàn)文件的真實(shí)性，因?yàn)橹挥挟?dāng) 原始文件實(shí)際上用密鑰對(duì)的第一密鑰(該密鑰是密鑰對(duì)持有者秘密持有的并且 對(duì)第三人是未知的)并且由此由持有者自己加密的，才可能用第二密鑰進(jìn)行有意義的解密。例如可以基于RSA或三倍DES方法來實(shí)現(xiàn)所描述的加密?？商?換地，可以借助哈希碼(Hash-Code)方法，例如用MD5或SHA1算法，來計(jì) 算關(guān)于特征塊MB和標(biāo)記塊KB的所謂的消息摘要(Message Digest),接著加 密，并且作為簽名附加到塊KB和MB。該簽名可以在現(xiàn)場(chǎng)設(shè)備10中通過用存 儲(chǔ)器80中包含的公鑰關(guān)鍵字OSK來解密該消息摘要并然后用SHAl或MD5 算法來理解該消息摘要的計(jì)算來進(jìn)行檢驗(yàn)。只有當(dāng)塊KB和MB在簽名時(shí)刻和 檢驗(yàn)時(shí)刻之間沒有被改變時(shí)，解密的和理解的消息摘要才會(huì)一致。
以下根據(jù)圖2示例性詳細(xì)解釋根據(jù)圖1的安全裝置40的安全模塊70的工 作原理。在圖2中看出經(jīng)過比較裝置120互相連接的第一不可觀察的單元100 以及第二不可觀察的單元110。不可觀察的單元理解為在其運(yùn)行期間是不可監(jiān) 聽的單元，從而從外部不能領(lǐng)會(huì)其工作方式。兩個(gè)不可觀察的單元100和110 例如可以通過受保護(hù)的硬件塊、例如以ASIC、 FPGA或門陣列的形式的硬件塊 來實(shí)現(xiàn)。
不可觀察的單元100的任務(wù)是，首先檢驗(yàn)現(xiàn)場(chǎng)設(shè)備10的主存儲(chǔ)器30中存 儲(chǔ)的加密的標(biāo)記塊KB'是否是制造商方面產(chǎn)生的原始標(biāo)記塊；通過該檢驗(yàn)可以 防止安全模塊70被引入對(duì)用戶方面可能的竄改的標(biāo)記塊KB'的其它檢驗(yàn)。
為了檢查加密的標(biāo)記塊KB'的真實(shí)性，單元100首先詢問現(xiàn)場(chǎng)設(shè)備70的設(shè) 備標(biāo)識(shí)號(hào)ID,并且在使用根據(jù)硬件地且"隱藏地"存儲(chǔ)在其中的已經(jīng)提到的第一 密鑰對(duì)的第二密鑰的條件下對(duì)標(biāo)記塊KB'進(jìn)行解密。解密的標(biāo)記塊KB到達(dá)比 較裝置120，比較裝置120將解密的標(biāo)記塊KB與特征塊MB進(jìn)行比較。
如已經(jīng)提到的那樣，功能描述塊FB和其中包含的特征塊MB也優(yōu)選地被 加密地存儲(chǔ)，如圖2中通過附圖標(biāo)記MB'所表示的。解密通過在第二單元110 中使用硬件地和隱藏地存儲(chǔ)于第二單元110中的第二密鑰對(duì)的第二密鑰的條件 下進(jìn)行。如已經(jīng)在對(duì)標(biāo)記塊KB加密和解密中那樣，這里也可以采用RSA或 3DES方法。可替換地還可以如已經(jīng)描述的那樣檢驗(yàn)塊的電子簽名。
單元110在輸出側(cè)產(chǎn)生解密的特征塊MB并且將其傳輸?shù)奖容^單元120, 該比較單元將解密的特征塊MB和解密的標(biāo)記塊KB在內(nèi)容上進(jìn)行互相比較, 當(dāng)比較結(jié)果是正的并且在解密的特征塊MB中定義的設(shè)備功能相應(yīng)于在解密的 標(biāo)記塊KB中描述的和允許的設(shè)備功能時(shí)，產(chǎn)生具有邏輯"l"的允許信號(hào)Sl。
如果不可觀察的單元100在對(duì)加密的標(biāo)記塊KB'進(jìn)行解密的情況下確定， 用第一密鑰對(duì)的第二密鑰不能解密該標(biāo)記塊KB'，則它就在輸出側(cè)產(chǎn)生具有邏輯"0，，的控制信號(hào)S2，由此通知，標(biāo)記塊KB已^L改變，并且不再能^皮解密。只 有在對(duì)加密的標(biāo)記塊KB'進(jìn)行解密時(shí)形成可讀的或可理解的標(biāo)記塊KB時(shí)，單 元100才在輸出側(cè)產(chǎn)生具有邏輯'T，的控制信號(hào)S2，由此通知，加密的標(biāo)記塊 KB'是原始的或者說是由制造商產(chǎn)生的標(biāo)記塊KB 。
當(dāng)單元110在對(duì)加密的特征塊MB'進(jìn)行解密時(shí)確定，利用在該單元110中 存儲(chǔ)的第二密鑰對(duì)的第二密鑰可以成功地進(jìn)行解密時(shí)，單元110以相應(yīng)的方式 在輸出側(cè)產(chǎn)生具有邏輯"l"的控制信號(hào)S3。相反，當(dāng)不能用存儲(chǔ)的第二密鑰對(duì) 的第二密鑰進(jìn)行解密時(shí)，單元110產(chǎn)生具有邏輯"0"的控制信號(hào)S3。
只有當(dāng)所有三個(gè)控制信號(hào)Sl、 S2和S3都具有邏輯"1"時(shí)，安全模塊70的 控制裝置150才允許現(xiàn)場(chǎng)設(shè)備10,從而解釋單元60在使用功能描述塊FB的條 件下借助功能組件FB可以產(chǎn)生程序模塊PM。
在圖3中示出用于產(chǎn)生和存儲(chǔ)根據(jù)圖1的標(biāo)記塊KB的實(shí)施例。可以看出， 在加密裝置200中借助編碼方法在使用第一密鑰對(duì)的第一密鑰SL1的條件下對(duì) 制造商方面作為允許的預(yù)定的設(shè)備功能列表L進(jìn)行加密；在此一起考慮現(xiàn)場(chǎng)設(shè) 備70的設(shè)備標(biāo)識(shí)號(hào)ID，從而形成加密的標(biāo)記塊KB',該標(biāo)記塊僅對(duì)確定的現(xiàn) 場(chǎng)設(shè)備70是適合的。由此在其設(shè)備標(biāo)識(shí)號(hào)ID與在標(biāo)記塊KB'中存儲(chǔ)的設(shè)備標(biāo) 識(shí)號(hào)不一致的其它設(shè)備上，標(biāo)記塊KB'是不可執(zhí)行的。
以這種方式形成的加密的標(biāo)記塊KB'被存儲(chǔ)于根據(jù)圖1的現(xiàn)場(chǎng)設(shè)備10的主 存儲(chǔ)器30中。
在圖4中示出用于配置根據(jù)圖1的現(xiàn)場(chǎng)設(shè)備10的實(shí)施例。例如由用戶方 面用配置工具進(jìn)行這樣的配置。為此配置工具被構(gòu)造為具有制造商方面提供的 配置軟件300。配置軟件訪問多個(gè)優(yōu)選簽名后的功能模塊FM,該功能模塊FM 例如存儲(chǔ)于數(shù)據(jù)庫(kù)310中并且可以為了對(duì)現(xiàn)場(chǎng)設(shè)備10形成功能描述塊FB而被 考慮。用戶選出其期望的功能模塊FM'并用配置軟件產(chǎn)生具有其中包含的特征 塊MB的相應(yīng)的功能描述塊FB,其描述對(duì)現(xiàn)場(chǎng)設(shè)備10來說期望的設(shè)備功能。 配置軟件300優(yōu)選地僅處理正確簽名的功能模塊FM，以確保只能使用由制造 商允許的功能模塊FM。
此外為了確保在現(xiàn)場(chǎng)設(shè)備中只能使用設(shè)備制造商方面檢查的并且作為允 許而分級(jí)的并用設(shè)備軟件300進(jìn)一步處理過的功能塊FB和特征塊MB，在設(shè)備 軟件300中包含加密模塊，該加密模塊在產(chǎn)生功能描述塊FB和特征塊MB時(shí) 進(jìn)行加密(例如基于哈希碼(Hash-Code ))。由此在輸出側(cè)產(chǎn)生加密的功能描述塊FB'和加密的特征描述塊MB',現(xiàn)場(chǎng)設(shè)備10的安全模塊70在啟動(dòng)設(shè)備時(shí)檢 馬全它們的真實(shí)性。
在上述的實(shí)施方式中示例性基于這樣的看法，在標(biāo)記塊KB中定義一個(gè)或 多個(gè)允許的設(shè)備功能，它們隨后可以由用戶方面選擇?？商鎿Q地，例如還可以， 在標(biāo)記塊KB中定義一個(gè)或多個(gè)基本功能，這些基本功能可以由用戶方面通過 可選的附加功能來補(bǔ)充。例如可以在標(biāo)記塊KB中這樣存儲(chǔ)選項(xiàng)范圍(在該選 項(xiàng)范圍中用戶可以選擇這些選項(xiàng))，為每個(gè)可選的附加功能分配一個(gè)值數(shù)。同時(shí) 在標(biāo)記塊KB中定義，允許哪些總值(Gesamtwertzahl)總共具有用戶方面期望 的附加選項(xiàng)(預(yù)付功能)。如果現(xiàn)場(chǎng)設(shè)備10的功能范圍以所描述的種類存儲(chǔ)在 標(biāo)記塊KB中，則安全模塊70在現(xiàn)場(chǎng)設(shè)備10啟動(dòng)后檢查，用戶方面期望的附 加選項(xiàng)從其總值來說是否超過在標(biāo)記塊KB中定義的最大值。如果總值超過預(yù) 定的最大值，則安全模塊70禁止現(xiàn)場(chǎng)設(shè)備10的功能。在該情況下，強(qiáng)制現(xiàn)場(chǎng) 設(shè)備的用戶通過提供新的功能描述塊FB來設(shè)法要求對(duì)現(xiàn)場(chǎng)設(shè)備10來說允許的 功能范圍。
可替換地也可以在主存儲(chǔ)器30中進(jìn)行現(xiàn)場(chǎng)設(shè)備10中的第一和第二密鑰對(duì) 的兩個(gè)第二密鑰的存儲(chǔ)，只要這些密鑰本身又被加密，例如在使用1509證書 的條件下。
特征塊MB可以為XML格式，例如看起來如以下的樣子 <APP—ATTRIBUTES>
<!—應(yīng)用程序的唯一 ID—> <!---應(yīng)用程序包含UMZ保護(hù)--> <!--應(yīng)用程序包含遠(yuǎn)距離保護(hù)->
<GUID VAL="AJB3FX7hK，，/> <USAGE VAL="PTOC，，/>
< USAGE VAL="DIS"/>
< USAGE VAL="CONTROL，V>
< USAGE VAL="PQ—BASIC"/>
< CPU TICKS VAL="1455"/>
位—>
<!—應(yīng)用程序包含控制功能性-> <!—應(yīng)用程序包含PQ基本功能-> <!---應(yīng)用程序消耗1455個(gè)CPU性能單
< RAM_SIZE VAL="283"/> 〈!…應(yīng)用程序占用283 KB存儲(chǔ)器-->
< SIGN VAL="GA56789VQA4f8BOGFHZUIOUIZU465FGHJ"/> </APP—ATTRIBUTES)
具有可變的、用戶方面可選擇的帶預(yù)付功能的應(yīng)用程序(或設(shè)備功能)的 根據(jù)圖1的標(biāo)記塊KB的實(shí)施例可以為XML格式，看起來例如為以下的樣子<DEV_ATTRIBUTES>
<DEV ID="3085756"/> <!—設(shè)備的序列號(hào)—>
<USAGE VAL="PTOC"/> <!—應(yīng)用程序允許包含UMZ保護(hù)-->
<USAGE VAL="DIS"/> <!-—應(yīng)用程序允許包含遠(yuǎn)距離保護(hù)-->
<USAGE VAL="CONTROL"/> <!—-應(yīng)用程序允許包含控制功能性—> OSAGE VAL="PQ—ADV"/> <!—-應(yīng)用程序允許包含擴(kuò)展的PQ功能—> <USAGE VAL="PQ—BASIC"/> <!-—應(yīng)用程序允許包含PQ基本功能--> <CPU—TICKS VAL="2500，V><!-—應(yīng)用程序允許最多消耗2500個(gè)CPU 性能單位->
<RAM—SIZEVAL="512"/> <!—應(yīng)用程序允許最多占用512KB存儲(chǔ)
器—〉
< SIGN VAL="GA56789VQAVJJKFHZTDGDVEGHHGJFGHJ，，/> </DEV—ATTRIBUTES>
為了比較，以下還舉出以XML格式的、具有固定定義的應(yīng)用程序的標(biāo)記 塊KB的實(shí)施例
<DEV—ATTRIBUTES> <DEV ID="3085756"/> <GUID VAL="AJB3FX7hK，V> <CPU—TICKS VAL="1455，，/> 單位-->
<RAM SIZE VAL="283"/>
<!--設(shè)備的序列號(hào)--> <!--允許的應(yīng)用程序的唯一 ID--> <!--應(yīng)用程序消耗1455個(gè)CPU性能
<!—應(yīng)用程序占用283 KB存儲(chǔ)器-〉
< SIGN VAL="GA56789VQA4f8BOGFHZUIOUIZU465FGHJ，，/> </DEV ATTRIBUTES>
權(quán)利要求
1. 一種現(xiàn)場(chǎng)設(shè)備(10)，特別是防護(hù)設(shè)備，具有微處理器裝置(20)，該微處理器裝置在該現(xiàn)場(chǎng)設(shè)備運(yùn)行期間實(shí)施確定該設(shè)備功能的程序模塊(PM)，其特征在于，該現(xiàn)場(chǎng)設(shè)備具有安全裝置(40)，該安全裝置(40)這樣構(gòu)成，使得它檢查輸入的、描述期望的設(shè)備功能的功能描述塊(FB)是否描述允許的設(shè)備功能，并且在非允許的設(shè)備功能的情況下禁止其執(zhí)行，而在允許的設(shè)備功能情況下允許其執(zhí)行。
2. 根據(jù)權(quán)利要求1所述的現(xiàn)場(chǎng)設(shè)備，其特征在于，所述安全裝置具有解 釋組件(60)，該解釋組件(60)解釋輸入的功能描述塊(FB),并在引入多個(gè) 在固件方面在所述現(xiàn)場(chǎng)設(shè)備中預(yù)先安裝的功能組件(FM)的情況下，當(dāng)所述輸 入的功能描述塊描述允許的設(shè)備功能時(shí)，產(chǎn)生相應(yīng)的程序模塊(PM)。
3. 根據(jù)權(quán)利要求1或2所述的現(xiàn)場(chǎng)設(shè)備，其特征在于，這樣構(gòu)造所述安 全裝置，使得該安全裝置將所述功能描述塊中包含的特征塊(MB)與所述現(xiàn) 場(chǎng)設(shè)備中存儲(chǔ)的或所述現(xiàn)場(chǎng)設(shè)備可訪問的、描述所述現(xiàn)場(chǎng)設(shè)備的允許的功能范 圍的標(biāo)記塊(KB)進(jìn)行比較，并且當(dāng)所述特征塊中描述的特征在所述標(biāo)記塊中 不存在或被定義為禁止時(shí)，禁止功能描述塊中描述的設(shè)備功能的執(zhí)行。
4. 根據(jù)權(quán)利要求3所述的現(xiàn)場(chǎng)設(shè)備，其特征在于，所述標(biāo)記塊存儲(chǔ)于該 現(xiàn)場(chǎng)設(shè)備中。
5. 根據(jù)權(quán)利要求4所述的現(xiàn)場(chǎng)設(shè)備，其特征在于，所述標(biāo)記塊包含設(shè)備 標(biāo)識(shí)(ID),該設(shè)備標(biāo)識(shí)標(biāo)記該現(xiàn)場(chǎng)設(shè)備，對(duì)該現(xiàn)場(chǎng)設(shè)備來說所述標(biāo)記塊是確 定的。
6. 根據(jù)權(quán)利要求3所述的現(xiàn)場(chǎng)設(shè)備，其特征在于，所述標(biāo)記塊存儲(chǔ)于外 部存儲(chǔ)器組件中，該外部存儲(chǔ)器組件與所述現(xiàn)場(chǎng)設(shè)備相連用于其運(yùn)行。
7. 根據(jù)權(quán)利要求6所述的現(xiàn)場(chǎng)設(shè)備，其特征在于，所述標(biāo)記塊包含存儲(chǔ) 器標(biāo)識(shí)，該存儲(chǔ)器標(biāo)識(shí)標(biāo)記與該標(biāo)記塊對(duì)應(yīng)的外部存儲(chǔ)器。
8. 根據(jù)權(quán)利要求3至7中任一項(xiàng)所述的現(xiàn)場(chǎng)設(shè)備，其特征在于，所述標(biāo) 記塊用電子簽名來簽署，并且所述安全裝置這樣構(gòu)造，當(dāng)對(duì)該電子簽名的檢驗(yàn) 得到負(fù)的結(jié)果(S2)時(shí)，它禁止所述功能描述塊的進(jìn)一步處理。
9. 根據(jù)權(quán)利要求8所述的現(xiàn)場(chǎng)設(shè)備，其特征在于，所述安全裝置這樣構(gòu) 造，即利用密鑰對(duì)的第二密鑰來對(duì)用該密鑰對(duì)的第一密鑰加密的標(biāo)記塊進(jìn)行解 密以用于檢驗(yàn)電子簽名。
10. 根據(jù)權(quán)利要求9所述的現(xiàn)場(chǎng)設(shè)備，其特征在于，所述密鑰對(duì)的第二密鑰存儲(chǔ)在該現(xiàn)場(chǎng)設(shè)備的防止未經(jīng)授權(quán)的讀取而受保護(hù)的存儲(chǔ)區(qū)域中。
11. 根據(jù)權(quán)利要求3至10中任一項(xiàng)所述的現(xiàn)場(chǎng)設(shè)備，其特征在于，所述 安全裝置這樣構(gòu)造，即就是否存在有效的電子簽名來沖企驗(yàn)所述特征塊，并且當(dāng) 對(duì)所述電子簽名的檢驗(yàn)產(chǎn)生負(fù)的結(jié)果(S3)時(shí)，禁止所述功能描述塊的進(jìn)一步 處理。
12. 根據(jù)權(quán)利要求11所述的現(xiàn)場(chǎng)設(shè)備，其特征在于，所述安全裝置這樣 構(gòu)造，即利用另一密鑰對(duì)的第二密鑰來對(duì)用該另一密鑰對(duì)的第一密鑰加密的特 征塊進(jìn)行解密以用于檢驗(yàn)電子簽名。
13. 根據(jù)權(quán)利要求12所述的現(xiàn)場(chǎng)設(shè)備，其特征在于，所述另一密鑰對(duì)的 第二密鑰存儲(chǔ)在現(xiàn)場(chǎng)設(shè)備的防止未經(jīng)授權(quán)的讀取而受保護(hù)的存儲(chǔ)區(qū)域中。
14. 根據(jù)權(quán)利要求10至13中任一項(xiàng)所述的現(xiàn)場(chǎng)設(shè)備，其特征在于，所述 防止未經(jīng)授權(quán)的讀取而受保護(hù)的存儲(chǔ)區(qū)域集成于ASIC、FPGA或CPLD組件中。
15. 根據(jù)權(quán)利要求10至14中任一項(xiàng)所述的現(xiàn)場(chǎng)設(shè)備，其特征在于，所述 防止未經(jīng)授權(quán)的讀取而受保護(hù)的存儲(chǔ)區(qū)域集成于控制現(xiàn)場(chǎng)設(shè)備的數(shù)據(jù)總線或接 口的組件中。
16. 根據(jù)上述權(quán)利要求中任一項(xiàng)所述的現(xiàn)場(chǎng)設(shè)備，其特征在于，所述標(biāo)記 塊包含基本功能塊和選項(xiàng)塊，其中該基本功能塊確定該現(xiàn)場(chǎng)設(shè)備的允許的基本 功能范圍，該選項(xiàng)塊確定允許的選項(xiàng)范圍，在該選項(xiàng)范圍內(nèi)允許用戶方面的其 它附加功能添加到所述基本功能范圍內(nèi)，而不會(huì)通過所述安全裝置來禁止該現(xiàn) 場(chǎng)設(shè)備。
17. 根據(jù)權(quán)利要求16所述的現(xiàn)場(chǎng)設(shè)備，其特征在于，在所述選項(xiàng)塊中為 每個(gè)可選的附加功能分別存儲(chǔ)一個(gè)值數(shù)，并且通過最大值來定義允許的選項(xiàng)范 圍，其中，所述安全裝置將用戶方面選出的附加功能的值數(shù)相加，并當(dāng)和值超 過該最大值時(shí)，禁止結(jié)果設(shè)備功能的實(shí)施。
18. 根據(jù)權(quán)利要求3至17中任一項(xiàng)所述的現(xiàn)場(chǎng)設(shè)備，其特征在于，所述 標(biāo)記塊僅描述一個(gè)設(shè)備功能，并且不允許任何選項(xiàng)。
全文摘要
本發(fā)明涉及一種現(xiàn)場(chǎng)設(shè)備(10)，特別是防護(hù)設(shè)備，具有微處理器裝置(20)，該微處理器裝置在現(xiàn)場(chǎng)設(shè)備運(yùn)行期間實(shí)施確定設(shè)備功能的程序模塊(PM)。根據(jù)本發(fā)明，所述現(xiàn)場(chǎng)設(shè)備具有安全裝置(40)，該安全裝置這樣構(gòu)造，使得它檢查輸入的、描述期望的設(shè)備功能的功能描述塊(FB)是否描述允許的設(shè)備功能，并且在非允許的設(shè)備功能的情況下禁止其執(zhí)行，而在允許的設(shè)備功能的情況下允許其執(zhí)行。
文檔編號(hào)G05B19/042GK101416129SQ200680054075
公開日2009年4月22日 申請(qǐng)日期2006年3月29日 優(yōu)先權(quán)日2006年3月29日
發(fā)明者安德烈亞斯·朱里希, 斯蒂芬·沃爾茲 申請(qǐng)人:西門子公司