CN108353005A - 用于监控控制***的方法和设备 - Google Patents

Abstract

本发明涉及用于监控控制***的方法、用于监控控制***的设备以及相应的计算机程序产品，其中所述控制***具有至少一个通信网络以及连接到所述通信网络的至少两个通信端点，通信端点经由所述通信网络交换数据(20)，其特征在于，获得在所述通信端点之间交换的所述数据(20)，并且在将当前获得的数据(20)与以前获得的数据(20)比较以后，当获得新数据(20)时引发报警。结果是，提供监控，所述监控在控制***特别是在工业控制***中的通信环境中特别快地、特别可靠地识别错误。随后可以将这些错误与质量管理耦合，以确定质量损失是否与这样识别出的错误相关。

Description

用于监控控制***的方法和设备

技术领域

本发明涉及用于根据权利要求1的前序监控控制***的方法，以及用于根据权利要求9的前序监控控制***的设备。

这样的控制***主要用于工业生产和物流，这也是本发明的主要应用领域。

背景技术

借助这样的控制***控制和监控生产过程以及存储和运输过程。直到现在，例如，已监控被集成到控制***中的某个设备是否正确地执行其操作、或者是否出现错误，其中查询和监控了设备的参数。

在当今时代，现代控制***是例如基于以太网的，控制***中的通信是例如经由IP(互联网协议)进行的。虽然这是非常易于操纵的，但是不仅对于外部攻击，而且对于通信期间的内部数据损失也具有清晰的脆弱性。直到现在，仍未满意地识别出控制***中这样的错误。

发明内容

因此，本发明的目标是使得能够监控控制***，特别是工业控制***，这识别通信环境中的错误，特别地，这可靠地识别以上提到的错误。

此目标由根据权利要求1中要求保护的发明的方法、根据权利要求9中要求保护的发明的设备、以及根据权利要求13中要求保护的发明的计算机程序产品实现。以下说明书和从属权利要求中给出了有利的发展。

发明人已经认识到本发明的目标能够以一种惊人地简单的方式通过机器学习通信来解决，然后将新出现的通信潜在地评估为错误，并且通过相应的报警进行这一点。这种方案基于假设：在控制***中，通信总是以确定的方式出现，并且这种确定性仅在出现错误或故障时才被打断。事实上，例如，在生产线的工业控制***中，内部通信在不断地重复的路径中进行，其中各个参数可能可以改变，例如，就个体的数量等等而言，但是，例如彼此通信的设备以及它们的通信的本质不会改变，所以新的通信在初始时潜在地为故障。例如，工业控制***基于标准以太网。但是，有时候在这种情况下可能出现数据拥塞或者数据损失，这将被本发明识别。

根据本发明用于监控控制***特别是工业控制***的方法，其中所述控制***具有至少一个通信网络，以及连接到所述通信网络的至少两个通信端点，所述至少两个通信端点经由所述通信网络交换数据，因此，所述方法的特征在于获得在通信端点之间交换的数据，并且在将当前获得的数据与以前获得的数据比较以后，当获得新数据时引发报警。

本发明意义上的“通信网络”可以为有线网络和无线网络，通过所述有线网络和所述无线网络进行数据通信。例如，其可以是基于以太网的通信网络。

本发明意义上的“通信端点”为通信网络中的点，在这些点生成、处理、接收和转发数据。例如，这些可以是设备。这样的通信端点通常具有设备编号(硬件地址、MAC地址)以及应用协议地址(IP地址)。因此，与例如生产机器、网络接口、服务器以及类似物的设备相反，简单的线路不是通信端点。

“应用协议”不关心通信的基本协议，例如以太网、互联网协议(IP)或传输控制协议(TCP)，而是关心根据数据通信的OSI模型的所谓第7层协议。应用协议包括，例如，“Profinet”(来自西门子)、“Modbus”或者“Ethercat”。

“通信”中涉及至少两个“通信端点”，但是通信中也可以涉及多于两个的“通信端点”。如果涉及两个通信端点，那么它是一对一的通信(“单播”),如果一个通信端点与一批通信端点通信，那么它是一对多的通信(“多播”)，并且如果通信端点与所有其他通信端点通信，那么它是一对所有的通信(“广播”)。

本发明意义上的“数据”为控制***的通信环境中所有类型的数据连接或者数据连接的包。

本发明意义上的“报警”不仅是基于字符的消息，而且是用于激活某些自动过程的光学的和/或声学的信号以及控制信号。

在优选的发展中，提供现有通信网络外部的监控，即数据获得不是在通信网络本身中进行，而是在其外部进行。虽然具有到通信网络的连接以捕获数据，但是，数据的获得、由此存储、评估等等独立于现有通信网络进行。因而，本发明的“外部”在更广泛的方面意味着：有一些方式，就算这些方式不出现，通信网络仍旧具有用于控制***的操作的全部功能。

在有利的发展中，提供被动地捕获数据。因而，没有活动的数据捕获以及转发或者处理，正如，例如，使用代理服务器的情况。结果是，控制***保持非常不易受干扰影响。

在有利的发展中，为了包含在其中的通信参数对交换数据进行分析，其中所述通信参数包括优选地来自以下组中的至少一个参数：

-通信中涉及的通信端点的硬件地址，

-通信中涉及的通信端点的IP地址，

-用来交换数据的应用协议，以及

-与交换数据通信的消息。

结果是，可以据其对通信进行更加精确的说明，所述说明有关于通信的新数据是否与错误相关，或者其是否例如仅仅为特定于设备而改变的参数，这些参数不会影响整个控制***的功能。优选地，提供从以下组中选择应用协议：Profinet、Modbus、Ethercat或者通信端点的特定于设备的协议。当然，如果真正地关心IP数据流量，可以仅仅分析IP地址。这些通信参数可能不会总是在每一个数据流量中呈现，但是它们可以呈现。

在有利的发展中，提供从被分析的通信参数中形成数据类型的限定的组合。在这种情况下，数据类型优选地包括来自以下组中的通信参数的至少一种组合：

-通信中涉及的通信端点的硬件地址，

-通信中涉及的通信端点的IP地址，

-用来交换数据的应用协议，

-通信中涉及的通信端点的硬件地址，该硬件地址组合了用来交换数据的应用协议，

-通信中涉及的通信端点的IP地址，该IP地址组合了用来交换数据的应用协议，

-通信中涉及的通信端点的硬件地址的组合，

-通信中涉及的通信端点的IP地址的组合，

-通信中涉及的通信端点的硬件地址与用来交换数据的应用协议的组合，

-通信中涉及的通信端点的IP地址与用来交换数据的应用协议的组合，

-通信中涉及的通信端点的硬件地址和IP地址的组合，

-通信中涉及的通信端点的硬件地址和消息的组合，

-通信中涉及的通信端点的IP地址和消息的组合，

-消息和通信中涉及的通信端点的硬件地址的组合，以及

-消息和通信中涉及的通信端点的IP地址的组合。

这些数据类型非常好地说明了控制***中的故障或错误，并且使得错误或故障的本质能够被非常容易地识别。

然后，特别优选地，在获得这样的新数据类型时引发报警。因而，无需为新的通信数据的每一种类型引发报警，而是仅当识别出新的数据类型时才引发报警。在这种环境中，“新的数据类型”不仅意味着作为进行中的监控的部分，一种以前未知的数据类型(即以前未分析的通信参数的组合)被确定，而且意味着根本上数据类型的内容是新的，所以，虽然包含的通信参数的类型是已知的，但是，通信参数的内容是新的，因此，它是已知数据类型的新的表达。

因为不仅有统一的应用协议必须呈现在控制***中，而且，例如，不同标准或者不同的专有应用协议可以存在于控制***的不同区域，所以根据有利的发展提供了为了分析使用的应用协议，以启发式和/或与已知的应用协议相关联的模式来对交换数据进行检查。通过这一点，可以确定用于通信新数据的应用协议，以确定其他通信参数。这种协议识别使用数据连接的几个特征或者数据连接的包，从而对在通信中使用哪种应用协议进行说明。根本上，凭借深度包检测来检测包的载荷，从而通过发现具体的模式或者通过使用启发式来确定底层应用协议。在这种分析的帮助下，甚至能够单独地鉴定未知的应用协议。

在有利的发展中，提供借助应用协议来对交换数据进行解码，从而分析通信消息。优选地使用协议解码器以从数据中解码消息，其中，单独的协议解码器属于每一个应用协议。在这种情况下，优选地使用消息的消息类型而不是消息作为通信参数，从消息中分析消息类型，其中，消息类型特别地来自以下组中的一种：错误消息、用于认证的命令、用于读取数据的命令、用于写数据的命令，以及用于同步两个通信端点的时间的命令。通过这一点也实现了监控的显著简化，因为，现在不再需要详细地分析消息的内容，而是仅使用消息的类型进行监控。如果没有呈现适当的协议解码器，那么不能确定应用协议，或者，如果需要的话，向监控中添加相应的解码器，其中，这个过程可以手动或自动地进行。

另一方面，还可以提供实际上可以识别应用协议，但是由于复杂性的原因，或者由于缺乏用户的需求，没有实现协议解码器，使得虽然能够识别应用协议，但是不能读取消息或者消息类型。

在有利的发展中，提供凭借哈希函数从新数据或者新数据类型中形成哈希值。因为这样的哈希值是唯一的，能够显著地加速监控，因为不再需要在监控的环境中比较数据或者数据类型，而是仅需将它们的哈希值作为索引。

在有利的发展中，提供将新数据、新数据类型和/或相关联的哈希值存储在存储器中，优选地使用索引数据结构，其中，优选地按照时间顺序特别是与时间戳一起存储新数据、新数据类型或者相关联的哈希值。结果是，获得了控制***中的过程的实际进度的准确分配。

在有利的发展中，此外提供对未被识别为新但是预先已被存储的数据、数据类型或者哈希值更新时间戳，从那以后，在产生报警的时间生成控制***的准确映射。

在有利的实施例中，提供将时间戳为每一数据、每一数据类型或者每一哈希值存储预定时间段，然后可以监控到通信失败，从而识别错误和故障，这是例如基于控制***中的设备的失败。除了固定以外可以预定时间的这种预定时间段，或者可以进行存储，直到通过认证的用户删除存储，例如，从而在对话和控制***重启以后考虑改变后的通信。

此外，可以提供，在第一可限定时间以后，从存储器中再次删除新数据、新数据类型或者相关联的哈希值，其中，这个第一可限定时间优选为至多1年，优选为至多4周，特别地为1周至2周。可以通过这执行对监控基础的更新。另一方面，可以不限制时间，以便不进行这样的更新。

在有利的发展中，提供在没有通信时对交换数据进行分析。例如，在循环通信事件中，周期性地交换数据，以确保基于特定的传输协议的环境在周期性地重发间隔上的协议遵从。在对被记录的数据的周期性的可能的分析以后，可以检查这样的数据是否可能在某个临时的模糊的环境中被正确地交换，或者可以检查是否缺少此通信，这随后引发作为偏离正常情况的报警。

要求保护用于根据本发明的设备的独立保护，此设备用于监控控制***，其中所述控制***具有至少一个通信网络，以及连接到所述通信网络的至少两个通信端点，通信端点经由所述通信网络交换数据，其中所述设备的特征在于提供用于获得在通信端点之间交换的数据的方式，以及用于将当前获得的数据与以前获得的数据比较的方式，所述设备被配置为当获得新数据时引发报警。

在有利的开发中，提供传感器为被动元件。这意味着传感器仅仅被动地捕获通信，但是不主动地处理它，并且不将其在被监控的通信网络内部转发，不像例如代理服务器所做的。结果是，控制***保持非常地不易受干扰的影响。

在有利的发展中，提供适合于执行根据本发明的方法的设备。

在有利的发展中，提供了提供至少一个传感器，所述传感器连接到通信网络，并且适合于获得交换数据而不改变此交换数据。这样的传感器可以作为硬件设备实施，但是也可以作为软件(例如，作为应用)、或者作为混合形式实施。随后，监控可以全部地或者至少部分地在此传感器中进行，或者甚至完全地或者部分地、集中地例如在服务器上进行。

这些“传感器”可以为凭他们本身实力的设备，或者仅仅为用于被动地捕获来自通信网络的数据流量的点。例如，网络分流器的复制口可以具体化这样的“传感器”。

在有利的发展中，提供将传感器配置为凭借哈希函数计算哈希值，其中传感器优选为适合于存储哈希值，其中存储器特别地具有索引数据结构。

在有利的发展中，提供将传感器配置为至少将新数据提供给质量管理，其中设备适合分析用于其中包含的通信参数的新数据，其中通信参数优选地包括来自以下组的至少一个参数：

通信端点的硬件地址，

通信端点的IP地址，

用来交换数据的应用协议，以及

与交换数据通信的消息。

随后，为了质量管理的目的，不仅能够监控展现的错误和故障，而且使更加深入地洞察控制***成为可能。

而且，能够以计算机程序产品的形式实施本发明，所述计算机程序产品能够从计算机可使用的介质或者计算机可读的介质访问，并且提供程序代码以供计算机使用，或者供与计算机或者任何命令执行***关联使用。因此，还要求保护用于存储在计算机可读的介质上的计算机程序产品的独立保护，所述计算机程序产品包括计算机可读的程序方式，用于当在计算机上执行所述程序方式时引起计算机执行根据本发明的方法。

为了本说明书的目的，计算机可使用的介质或者计算机可读的介质可以为包含、存储、通信、传播或者传输程序的任何装置或者设备，所述程序用于命令执行***使用，或者用于与命令执行***、设备或者装置关联使用。在这种情况下，也可以使用移动通信方式，例如移动电话、平板计算机以及类似物。

介质可以为电子的、磁的、光学的、电磁的、红外的或者半导体***(或者设备或者装置)或者传播介质。计算机可读的介质的示例包括半导体存储器或者固态存储器、磁带、可移除的计算机磁盘、随机存取存储器(RAM)、只读存储器(ROM)、固定磁盘，以及光盘。光盘的呈现示例包括压缩盘只读存储器(CD-ROM)、压缩盘读/写(CD-R/W)和DVD。

能够存储和/或执行程序代码的数据处理***包括通过***总线直接或间接地连接到至少一个存储器元件的至少一个处理器。存储元件可以包括本地存储器、大容量存储以及缓冲存储器，本地存储器在程序代码的当前执行期间是可操作的，缓冲存储器提供至少一些程序代码的临时存储，从而在执行期间减少用于来自大容量存储的代码的调用次数。

输入/输出设备或者I/O设备可以包括但不局限于键盘、显示器、定点设备等等，输入/输出设备或者I/O设备可以直接地或者通过中间的I/O控制器与***耦合。

网络适配器也可以连接到***，以使数据处理***通过中间的私有或公共网络与其他数据处理***或者远程打印机或存储设备耦合。在这种环境中，调制解调器、有线调制解调器、或者以太网卡仅为网络适配器的当前可用类型的几个示例。

附图说明

本发明的特点和更多优势将在以下参考优选实施例的描述连同附图变得明显。纯粹示意性地示出：

图1示出第一优选实施例中根据本发明的控制***的监控，

图2示出第二优选实施例中根据本发明的控制***的监控，

图3示出第三优选实施例中根据本发明的控制***的监控，

图4示出从获得的数据分析数据类型的框图表示，以及

图5示出引发报警的流程图表示。

具体实施方式

图1纯粹示意性地示出凭借用于监控控制***10的设备12为根据本发明的控制***10进行监控的第一优选实施例。

应识别控制***10为工业控制***10，其用于例如作为生产线(未示出)的部分以彼此控制和同步生产线的各个设备(未示出)的动作。此控制***10基于例如标准以太网。在这种情况下，生产线的设备被布置为例如星形通信网络14。

在各个点，在目前的情况下，在星形网络14的节点处布置有所谓的交换机16，其装备有镜像口18。这些镜像口18纯粹地被动地读取其他口22的汇总数据流量20(即在控制***10(参见图4)中通信的数据20)而不改变这些数据20，并且将这些数据20馈送到连接到交换机16的传感器24，传感器转而连接到中央控制单元26。此中央控制单元26连接到操作单元28，一方面，使用操作单元28更新设备12，另一方面，执行其配置以及对获得的结果的评估。

传感器24可以实体地呈现，或者也可以作为软件，例如，以应用的形式。它们将数据流量20转发到控制单元26，以便其能够被集中地布置。此外，它们造成被记录的数据流量的分配可能性的倍增。此外，它们形成用于数据20的缓冲，以便不出现数据混淆和数据丢失。在这种情况下，镜像口18的时钟率应优选为与被镜像的口22的时钟率之和一样高。此外，传感器24实施数据20的封装，以便在那以后不会尝试向数据的接收地址进行随后的中继。然后，此封装在数据20的分析中首先被移除。

如果需要的话，可以在传感器24和中央控制单元26之间***额外的交换机层(未示出)。此外，除了数据流量20的评估以及可能的质量管理，用于传感器24的软件也可以在中央控制单元26中操作。

与图1形成对照，图2的监控设备12’中没有使用交换机，而是使用所谓的网络分流器30，在网络分流器30中，每个口32’、32”被分配了其自己的口34’、34”，口34’、34”将各自的口32’、32”的数据20被动地传递到传感器35’、35”，独立于控制***10’中运行的数据流量20的其余部分。

在图3中，在这个监控设备12”中，交换机16’转而与镜像口18w一起使用，但是，这里没有使用专用的传感器，而是在控制***10”中将数据流量20直接地从交换机16’(例如，经由投掷电缆(throw cable)36或者通过无线电)转发到中央控制单元26。因而，这里的传感器通过镜像口18和投掷电缆36被具体化。

在图4中可以看到，为了数据20中包含的通信参数，首先分析由传感器24、35’、35”读出的数据20，也就是涉及的IP地址38以及通信中涉及的生产线的设备的MAC地址40、作为通信的部分使用的通信协议42、以及事实上在通信环境中交换的消息。这可以关注一个或多个消息。

在示出的示例中，假定两个设备中的每一个设备参与通信，由于这个原因，分析两个不同的IP地址38和两个不同的MAC地址42。应用协议44或者为专用的特定于设备的协议，或者为例如来自西门子的应用协议Profinet。交换消息涉及例如用于同步、错误消息的请求，用于认证或类似动作的请求或者随后的执行。在优选的分析的环境中，不处理事实上的消息，即消息的准确内容，而是从这些消息中确定底层的消息类型44，即同步命令、错误消息、认证命令等等。正如图4中示出，可以出现不同的消息类型44。

现在从这些通信参数38、40、42、44中生成14种不同的数据类型46(类型0到类型13)，其中，这些通信参数38、40、42、44单独地和/或彼此组合地使用。继而，基于彼此通信的两个设备，这些数据类型46或者简单地呈现，例如类型3，或者两倍地出现，例如类型9。取决于消息类型44的数量，类型10、11、12和13相应地成倍。

根据图5，一获得每个数据类型46，就从其计算相关联的哈希值48。随后，在可以被布置在传感器24、35’、35”本身(参见图1和图2)中或者中央控制单元26、50中的存储器(未示出)中，比较此哈希值是否已存在，如果其已存在，则更新此哈希值的时间戳52，或者如果此哈希值尚未呈现在存储器中，则与当前的时间戳一起存储此哈希值54。

在因为哈希值已经存在于存储器中52而更新时间戳的情况下，不进行进一步的操作56。另一方面，如果存储器中存储了新的哈希值54，那么出现通信的全新类型，并且引发报警58，这表示它是全新的通信，其尚未出现在控制***10中。例如，两个设备现在彼此通信，这在以前从未做过(类型5)，或者在两个设备之间交换消息类型，而以前这些设备之间从未交换过这些消息类型(类型12)。因为控制***10中的通信是确定性的，在正常的操作期间，不会出现新的、未预期的通信，所以这个报告的新通信可能是错误、故障，或者甚至是未认证的外部攻击。

取决于根据本发明的监控的配置，引发的报警58随后由监控人员检查，有关控制***10是否事实上出现危急状态，以及可能的话，将做些什么。或者此报警与自动机制相关联，此自动机制独立地执行某些动作，以使控制***10安全，在极端情况下，这可以包括其受控地关机以及关掉。

报警58可以仅包含确定的新哈希值的引用，或者也包含有关通信参数、或者数据类型、或者通信消息的详细信息。此外，可以将这些报警58传递到适当的质量管理。在那里，随后可以进行在确定的质量和通信故障之间的比较，例如，从而能够将质量损失归因于通信中的某些故障，或者甚至确定出现某些通信错误，但是这对已达到的质量没有影响。在后一种情况下，随后在未来可以忽略报警58，可以将底层的通信状态视为控制***的标准情况。

最后，如果结果是新的哈希值与控制***10的不希望有的状态链接，可以在进行评估或执行自动机制以后将此哈希值从存储器中删除，以便下次经由此哈希值将再次出现的这种状态识别为偏离标准状态。

可以识别进行根据本发明的监控在于，通常在控制***10中出现的通信被学习、被划分类型，并且被存储，然后，当出现通信的新类型时，生成表示这一点的报警58。在此环境中，通信的内容本质上无关紧要，而是仅取决于通信是否典型，也就是说，是否会在正常的操作中出现。这将立刻探测到通信中的异常。

现在可以以两种不同的方式使用根据本发明的监控。或者执行调谐过程，在此过程中存储所有通信，仅从这以后“武装”此监控，或者从开始就执行监控。第一种变体就时间而言并不昂贵，但是也存在这种危险：异常通信被存储，因而被作为正常看待，使得以后不再报告它们的出现。第二种变体更加耗时，因为每个新通信都导致报警58，随后由监控人员监控此报警58，但是，因而从根本上完全地排除了错误。

与以前已知的监控各个设备的参数形成对照，这些参数现在不再那么引起兴趣或者一点也不引起兴趣。相反，监控控制***中全部的通信，以确保其正确地运行。由于纯粹的哈希值比较36，监控特别地快而且节省资源。当然，不使用哈希值50，可以使用允许唯一关联的其他标识符。

从以上描述中，这一点变得很清楚：本发明提供在控制***特别是在工业控制***中的监控，这种监控在通信的环境中特别快、特别可靠地识别错误。随后可以将这些错误与质量管理耦合，以确定质量损失是否与这些识别出的错误相关。

除非另有说明，本发明的所有特征可以被随意地彼此组合。除非另有说明，附图的描述中描述的特征也可以与其他特征随意地组合作为本发明的特征。在这种情况下，设备的客观特征也可以用于方法的环境中，并且方法特征也可以用于设备的环境中。

引用编号清单

10、10’、10” 控制***

12、12’、12” 用于监控控制***10的设备

14 星形通信网络

16 交换机

18 交换机14的镜像口

20 数据流量、数据

22 交换机16的口

24 传感器

26 中央控制单元

28 中央控制单元26的操作单元

30 网络分流器

32’、32” 网络分流器30的口

34’、34” 网络分流器30的口、复制口

36 投掷电缆

38 IP地址

40 MAC地址

42 应用协议

44 消息类型

46 数据类型(类型0到类型13)

48 哈希值的计算

50 哈希值与存储器的比较

52 更新哈希值

54 提供带有当前时间戳的哈希值并且保存

56 结束

58 引发报警

Claims (13)

1.一种用于监控控制***(10，10’，10”)的方法，其中所述控制***(10，10’，10”)具有至少一个通信网络(14)以及连接到所述通信网络(14)的至少两个通信端点，通信端点经由通信网络(14)交换数据(20)，其特征在于，获得在通信端点之间交换的数据(20)，并且在将当前获得的数据(20)与以前获得的数据(20)比较以后，当获得新数据时(20)引发报警(58)。

2.根据权利要求1所述的方法，其特征在于，为了包含在其中的通信参数(38，40，42，44)，对交换数据(20)进行分析，其中所述通信参数(38，40，42，44)优选为包括来自以下组的至少一个参数：

-通信中涉及的通信端点的硬件地址(38)，

-通信中涉及的通信端点的IP地址(40)，

-用来交换数据(20)的应用协议(42)，以及

-与交换数据(20)通信的消息，

其中优选地提供：所述应用协议(42)为根据OSI模型的第7层协议，第7层协议特别地包括组：Profinet、Modbus、Ethercat或者通信端点的特定于设备的协议。

3.根据权利要求2所述的方法，其特征在于，从被分析的通信参数(38，40，42，44)中形成用于限定数据类型(46)的组合，其中所述数据类型(46)优选地包括来自以下组的通信参数(38，40，42，44)的至少一种组合：

-通信中涉及的通信端点的硬件地址，

-通信中涉及的通信端点的IP地址，

-用来交换数据的应用协议，

-通信中涉及的通信端点的硬件地址，硬件地址与用来交换数据的应用协议进行组合，

-通信中涉及的通信端点的IP地址，IP地址与用来交换数据的应用协议进行组合，

-通信中涉及的通信端点的硬件地址的组合，

-通信中涉及的通信端点的IP地址的组合，

-通信中涉及的通信端点的硬件地址与用来交换数据的应用协议的组合，

-通信中涉及的通信端点的IP地址与用来交换数据的应用协议的组合，

-通信中涉及的通信端点的硬件地址与IP地址的组合，

-通信中涉及的通信端点的硬件地址与消息的组合，

-通信中涉及的通信端点的IP地址与消息的组合，

-消息与通信中涉及的通信端点的硬件地址的组合，以及

-消息与通信中涉及的通信端点的IP地址的组合，

其中，特别地提供在获得新数据类型时引发报警。

4.根据权利要求2或3中的一项所述的方法，其特征在于，为了分析所使用的应用协议(42)，启发式地和/或在与已知的应用协议(42)相关联的模式上对所述交换数据(20)进行检查。

5.根据权利要求2至4中的一项所述的方法，其特征在于，为了分析所通信的消息，借助所述应用协议(42)对所述交换数据(20)解码，其中所述消息的所述消息类型(44)优选作为通信参数而不是消息使用，所述消息类型(44)从所述消息中分析得出，其中所述消息类型(44)特别地为以下组中的一种：错误消息、用于认证的命令、用于读取数据的命令、用于写数据的命令以及用于同步两个通信端点的时间的命令。

6.根据前述权利要求中的一项所述的方法，其特征在于，凭借哈希函数从所述新数据(20)或者所述新数据类型(46)中形成哈希值(48)。

7.根据前述权利要求中的一项所述的方法，其特征在于，所述新数据(20)、所述新数据类型(46)和/或相关联的哈希值(48)被存储在存储器中，优选地使用索引数据结构，其中所述新数据、所述新数据类型或者所述相关联的哈希值优选为按时间顺序存储，特别是与时间戳一起存储。

8.根据权利要求7所述的方法，其特征在于，当所述数据(20)、所述数据类型(46)或者所述哈希值(48)重复出现时更新所述时间戳，其中为每个数据、每种数据类型或者每个哈希值收集所述时间戳。

9.一种用于监控控制***(10，10’，10”)的设备(12，12’，12”)，其中所述控制***(10，10’，10”)具有至少一个通信网络(14)以及连接到所述通信网络(14)的至少两个通信端点，通信端点经由所述通信网络交换数据(20)，其特征在于，提供用于获得在所述通信端点数据之间交换的数据(20)的方式(24，30，35’，35”)，并且提供用于将当前获得的数据(20)与以前获得的数据(20)比较的方式(26)，其被配置为当获得新数据(20)时引发报警(58)。

10.根据权利要求9所述的设备(12，12’，12”)，其特征在于，所述设备(12，12’，12”)适合于执行根据权利要求1至8中的一项所述的方法，和/或在于提供至少一个传感器(24，35’，35”)，所述至少一个传感器(24，35’，35”)连接到所述通信网络(14)，并且适合于获得交换数据(20)而不改变此交换数据(20)。

11.根据权利要求10所述的设备(12，12’，12”)，其特征在于，所述传感器(24，35’，35”)被布置为凭借哈希函数计算哈希值(48)，其中所述传感器(24，35’，35”)优选为适合于存储所述哈希值(48)，其中所述存储器特别地具有索引数据结构。

12.根据权利要求10或11所述的设备(12，12’，12”)，其特征在于，所述传感器(24，35’，35”)被配置为向质量管理提供至少所述新数据(20)，其中所述设备(12)适合于为了包含在其中的通信参数(38，40，42，44)对所述所述新数据(20)进行分析，其中所述通信参数(38，40，42，44)优选为包括来自以下组的至少一个参数：

通信端点的硬件地址，

通信端点的IP地址，

用来交换数据的应用协议，以及

与所述交换数据通信的消息。

13.一种计算机程序产品，所述计算机程序产品被存储在计算机可读的介质上，所述计算机程序产品包括计算机可读的程序方式，所述计算机可读的程序方式用于当在所述计算机上执行所述程序方式时使所述计算机执行根据权利要求1至8中的一项所述的方法。