CN113169963B - 用于处理分布式自动化***中的应用程序的方法 - Google Patents

Abstract

本发明涉及用于安全控制***的安全相关用户程序的处理，并且在特别优选的实施例中特别地涉及通过移动终端，诸如智能手机、平板电脑、笔记本电脑或PC，创建、启动和维护用于自动化机器的控制装置的安全相关用户程序，为此，编辑器在所讨论中的移动终端上运行，而用于产生机器代码的编译器在远程云计算机上运行。因此，用于所述安全相关控制***的所述机器代码在云计算机上产生。在所述移动终端和由此特别是安全相关的所述控制装置之间的所述标识是唯一的，并且用于产生所述机器代码所需的数据，诸如所述用户程序的源代码数据，通过唯一签名保护并传输到所述云计算机。在所述云计算机上，所述机器代码从所传输的数据产生。新的签名通过所产生的数据和来自先前步骤的签名生成。如果成功产生了所述机器代码，则可以将所产生的机器代码和所述签名和可能的元数据自动或手动转发到测试环境。特别地，涵盖了整个安全生命周期，包括应用的仿真、启动和在机器的分配，因为所述生命周期的每个步骤被自动记录，并且可以在任何时间被清晰地跟踪，并且可以检测到步骤的损坏。

Description

用于处理分布式自动化***中的应用程序的方法

技术领域

本发明涉及一种用于处理用于安全控制***的安全相关用户程序的方法，所述安全控制***配置成控制自动化装置，所述自动化装置包括用于执行至少一个安全功能的至少一个保护装置，其中所述用户程序根据用于经由所述安全控制***控制机器的所述安全控制***的所述至少一个安全功能的相应状态来指定逻辑连接，以及涉及一种用于执行所述方法的自动化***。

背景技术

如今，已知用于创建、启动、维护和生成安全相关用户程序的代码的应用在装置上作为封闭应用运行。

在这种情况下，EP 0 997 807 A2例如公开了用于在线更新铁路信号技术中的安全关键软件的方法，特别是用于将生产软件引入特定目标计算机中的方法。为此，处理链中的每个参与者收到公开密钥和秘密密钥。另外，确定认证实体，其通过证书确认密钥归属于参与者。当在处理链的连续步骤中创建和测试安全关键软件时，相应的参与者随后均作为默认设置接收软件以及使用秘密密钥生成的前继的签名和密钥证书。

此外，EP 2 363 770 B1例如公开了包括配置单元和可与其一起配置的安全控制***的安全装置。在这种情况下，配置单元生成表示逻辑规则的数字代码，基于所述数字代码，控制器信号由安全控制***的控制程序根据输入信号生成。

从DE 10 2015 209 108 A1中已知用于授权嵌入式目标控制装置的功能的方法，其中决策网关从硬件安全模块请求针对目标控制装置的功能请求，然后从硬件安全模块接收功能请求，功能请求已由硬件安全模块预先签名。经由通过决策网关的加密身份支持的通信信道，后者还将接收到的功能请求发送到后端，并且然后从后端接收与由后端签名的功能请求相对应的权证(Ticket)并存储权证。在目标控制装置请求发布功能之后，如果权证有效，则相应地发布功能，在此之后权证无效。

发明内容

本发明的目的是证明一种技术方式，其中开发更复杂的控制逻辑和相应地对应用程序的处理，包括生成对应的安全相关机器代码也可以在不同的装置上进行并且可以被清楚地跟踪。

通过如下方法提供根据本发明的技术方案。优选的其他改进形式如在具体实施方式中所述。

为了处理用于安全控制***的安全相关用户程序，所述安全控制***配置成控制至少一个自动化装置，所述自动化装置包括用于执行至少一个安全功能的至少一个保护装置，其中用户程序根据用于经由安全控制***控制机器的安全控制***的至少一个安全功能的相应状态来指定逻辑连接，本发明因此提出作为技术方案的方法，在所述方法中在彼此间隔开分布的多个远程装置环境上连续地生成用于用户程序的数据，每个装置环境提供用于生成数据的安全相关用户程序处理工具，其独特之处在于以下步骤。在装置环境中的每一个上，用于用户程序的数据经由分别由所述装置环境提供的安全相关用户程序处理工具生成，并且所述数据一旦已经生成，就将用于用户程序的这些生成的数据分别传输到这些装置环境中的另外的装置环境中的一个。

在分别传输所生成的数据之前，由已经生成了待传输的用于用户程序的数据的装置环境的签名单元至少基于所生成的数据的整体生成一个签名，在所述装置环境中，并且生成的信号与生成的数据一起被传输。

在所生成的数据与所生成的签名一起被相应传输之后，在接收这些数据和签名的装置环境上由该接收装置环境的签名单元执行接收到的签名的检查，其中如果签名检查的结果是无错误的，则基于接收到的数据为用户程序再次生成数据，并且然后与这些新生成的数据一起传输的签名由用户程序处理工具的签名单元至少基于在该装置环境上生成的数据的整体并且基于分别接收到的签名来生成。

因此，重要的优点是，安全相关用户程序的处理中的每个步骤，即用于用户程序的任何数据生成都可以自动记录，并且可以在任何时间清晰地跟踪，无需为此目的在公用装置上使用独立的应用。相应地，还可以在其他装置上以及在不同装置上自动检测到处理步骤的损坏。

根据本发明的技术方案还反映在如下基于方法的自动化***中。

对于设计成用于执行根据本发明的方法的自动化***，本发明进一步规定，该自动化***包括彼此间隔开分布的多个远程装置环境，每个装置环境提供用于生成用于安全控制***的用户程序的数据的安全相关用户程序处理工具，所述用户程序处理工具还包括用于生成签名并用于检查签名的签名单元。在这种情况下，该彼此间隔开分布的多个不同的远程装置环境中的第一装置环境有利地配置在通信用户终端设备上，特别是在移动通信用户终端设备上，第二装置环境配置在云计算机上，并且还配置该彼此间隔开分布的多个远程装置环境中的至少一个附加装置环境。

所述第一装置环境、所述第二装置环境和所述至少一个附加装置环境还具有接口，并且设计成分别将生成的数据与分别生成的签名一起从所述第一装置环境传输到所述第二装置环境，从所述第二装置环境传输到所述至少一个附加装置环境，并且还特别优选地从所述至少一个附加装置环境传输到所述第二装置环境。

所述第一装置环境在这种情况下有利地提供作为用户程序处理工具的、用于生成用户程序的源代码的安全相关编程工具，以及与编程工具协作的、用于至少基于生成的源代码的整体来生成签名的签名单元，并且所述第二装置环境有利地提供用作用户程序处理工具的、用于生成用户程序的机器代码的编译器工具，以及还特别优选的用于生成用于用户程序的启动数据和/或测试程序数据的安全相关工具，并且提供签名单元，所述签名单元与工具协作，以检查分别瞬时接收的签名并至少基于在第二装置环境上生成的数据的整体和最后相应检查的签名来生成签名。

安全控制***的安全相关用户程序的处理，即特别是安全相关用户程序的创建、启动和维护，可以相应地优选地在移动通信用户终端设备上开始，例如在具有对应的编辑器的电话、平板电脑、笔记本电脑或PC上。另一方面，用于创建用于安全控制***的安全相关用户程序的机器代码以及启动数据和/或测试程序数据的工具存储在云计算机上。因此，在本发明的范围内，机器代码以及启动数据和/或测试程序数据的生成与移动终端远程且分开地发生在这种类型的云计算机上，所述类型的云计算机由此将单独或应用相关的工具和为此所需的服务与相应配置的装置环境组合在***中，所述***经由计算机网络可访问，特别优选地还经由因特网可访问，但所述***可集中操作。

由于根据本发明的相应的信号生成、信号传输和信号检查，因此在单独的装置环境(诸如电话、平板电脑、云计算机等)与安全控制***之间的标识仍然是唯一的。用于生成机器代码所需的数据，以及由此的用于用户程序的源数据，有利地包括任何集成的对象数据、参数化数据和/或库数据和/或库文件，都通过唯一的签名保护并传输到云计算机。

附图说明

本发明的其他特征和优点由下文中参考附图对优选实施例的描述得出，其中

图1示出了本发明的范围内的自动化***的实施例的高度示意性视图，

图2示出了本发明的范围内的方法的实施例的高度示意性的流程，并且

图3示出了本发明的范围内的方法的另一实施例的高度示意性的流程。

具体实施方式

下面参考附图更详细地描述根据本发明的方法的优选实施例，所述方法用于处理安全控制***的安全相关用户程序，以及更详细的描述的为此目的有利地配置用于执行所述方法的自动化***，为了清楚起见在附图中未更详细示出安全控制***。在这种情况下，安全控制***被配置成控制自动化装置，所述自动化装置包括用于执行至少一个安全功能的至少一个保护装置，为了清楚起见，所述至少一个安全功能同样在附图中未进一步详细示出，其中用户程序根据用于经由安全控制***控制机器的安全控制***的至少一个安全功能的相应状态来指定逻辑连接。此类安全控制***及其应用本身是本领域技术人员已知的，并且因此在此不再详细描述。例如，包括集成了紧急停止装置和光栅的安全功能的保护装置的机器(例如，冲压机)可以被视为应用这种安全控制***的包括至少一个保护装置的自动化装置。因此，保护装置由机器制造商用于减轻用户方面的风险，即，为了在用户方面防止或避免对人和/或环境的危害，并且因此在上面示例中，特别地使用由紧急停止装置和光栅组成的保护装置以防止对维护机器的人员的危害。因此，仅当两个安全功能(即紧急停止装置和光栅)向保护装置发出安全状态的信号时，才可以激活该机器的驱动器。对该保护装置的监视通过安全相关控制***进行，即，在本说明书的术语的范围内，通过安全控制***进行，所述安全控制***根据监视结果激活或停用驱动器并且由此也整体地控制机器，例如，也使其移入安全状态。为此，使用合适的软件的程序员通常为安全控制***创建安全相关用户程序，通过所述安全相关用户程序，根据用于经由安全控制***控制自动化装置的安全控制***的至少一个安全功能的相应状态来指定逻辑连接。自动化装置的示例在图2和图3中由M1、M2、M3和M4标识。在这种情况下，安全控制***可以位于自动化装置中或者可以从外部控制自动化装置。

图1示出了自动化***的实施例的高度示意性图示，与这种安全相关用户程序的常规创建相反，利用所述自动化***可以在本发明的范围内执行方法的实施例，如例如在图2或图3中分别示出的高度示意性的流程，即通过所述流程进行应用程序的处理，并且因此，特别地进行在各种装置上创建应用程序的各个步骤。因此，在这种情况下，每个装置都集成到其自身的装置环境中或提供其自身的装置环境。换句话说，在本发明的范围内处理各个应用程序所涉及的多个装置环境，例如，根据图1的装置环境E1、E2、E3a和E4，每个装置环境相应地远程地彼此间隔开地分布，并且因此被配置在不同的装置上，每个装置环境提供用于生成用于安全控制***的用户程序的数据的安全相关用户程序处理工具T1、T2、T3a和T4。

因此，在彼此间隔开分布的这种远程装置环境上依次生成用户程序在各种情况下所需的数据，即，特别地，从创建源代码开始，从编译一直到启动和维护所需的数据，然后将所需的数据与签名一起传输到这些装置环境中的其他装置环境中的一个。

第一装置环境E1进一步有利地配置在通信用户终端设备上，特别是在PC、笔记本或诸如像平板电脑或智能手机的移动设备上。第一装置环境E1优选地具有配置成作为用户程序处理工具T1的创建用户程序的源代码的安全相关编程工具，以及与编程工具协作的、用于至少基于所生成的源代码的整体来生成签名的签名单元。

第一装置环境E1优选地配置在移动通信用户终端设备上，使得在这种情况下，开始或启动用户程序的处理的程序员可以优选地在任何位置进行操作。

彼此间隔开分布的多个远程装置环境中的第二装置环境由附图标记E2标识，其优选地配置在云计算机上。除了经由计算机网络(“云”)(诸如像公司网络或因特网)提供本身已知的计算服务(诸如像服务器、存储器、数据库、网络组件、软件、分析或智能功能等)之外，这种装置环境可以因此有利地将单独或应用相关的工具和服务组合在经由计算机网络(特别优选地也经由因特网)可访问但可集中操作的***中。

如图1所示，第一装置环境E1和第二装置环境E2配备有接口I1、I2，并且配置成将在第一装置环境E1上在各种情况下生成的数据和在那里生成的签名一起从第一装置环境E1传输到第二装置环境E2。

第二装置环境E2相应地配置成接收在第一装置环境E1上生成的该数据(即特别是源代码，有利地包括任何集成对象数据、参数化数据和/或库数据和/或库文件)以及所生成的签名，第二装置环境E2有利地具有作为用户程序处理工具T2用于生成用户程序的机器代码的安全相关的编译器工具。第二装置环境E2的用户程序处理工具T2进一步优选地还包括用于生成用于用户程序的启动数据和/或测试程序数据的安全相关工具，如下文更详细地解释。另外，第二装置环境E2具有有利地作为用户程序处理工具T2的一部分的签名单元，所述签名单元与所述工具协作，以检查各个瞬时接收的签名并至少基于在第二装置环境E2上生成的数据的整体和最后相应检查的签名来生成签名。

在本发明的范围内的自动化***还具有至少一个附加配置的装置环境。图1示出了配备有接口I3a、I3b、I3c、I3d和I4的五个附加装置环境E3a、E3b、E3c、E3d和E4。因此，提供了多个附加配置的装置环境。所述至少一个附加的装置环境E3a、E3b、E3c、E3d和E4以及第二装置环境E2进一步有利地配置成将分别生成的数据和分别生成的签名从第二装置环境传输到至少一个附加装置环境，并且特别优选地还从所述至少一个附加装置环境传输到第二装置环境。

图1中的这些附加装置环境中的至少一个，例如四个附加装置环境E3a、E3b、E3c和E3d，在这种情况下有利地配置在自动化装置上，根据本发明，安全控制***的安全相关用户程序被处理用于控制所述四个附加装置环境。因此，在这种情况下，优选地将也在装置环境E2上生成的启动数据传输到这种附加的装置环境。

然而，附加地或替代地，图1中的这些附加装置环境中的一个，例如附加装置环境E4，也可以配置在提供测试环境的装置上。因此，在这种情况下，在装置环境E2上生成的测试程序数据也被传输到这种附加装置环境。

如前所述，图2或图3分别示出了使用这种自动化***的根据本发明的处理安全相关用户程序的优选实施例的高度示意性流程。在这种情况下，用于用户程序的相应数据经由在每种情况下由装置环境提供的安全相关用户程序处理工具在该装置环境中的一个相应的装置环境上相应地生成，并且签名基于这些生成的数据的整体来生成。这些生成的数据随后与签名一起传输到这些装置环境中的另一个。

根据图2和图3，由proj.数据标识的数据例如在装置环境E1上生成，并且至少基于这些数据，即特别是源代码，有利地包括任何集成对象数据、参数化数据和/或库数据和/或库文件，通过由Sig1标识的签名生成。由proj.数据标识的数据，即特别是源代码数据，有利地包括任何集成对象数据、参数化数据和/或库数据和/或库文件，与由Sig1标识的签名一起传输到装置环境E2，如由附图标记1标识的箭头所示。

在将这样生成的数据与签名一起传输之后，接收到的签名首先在接收这些数据和签名的装置环境上由该装置环境的签名单元检查。如果签名检查的结果是无错误的，则基于接收到的数据在该装置环境上再次生成用于用户程序的数据。该装置环境的签名单元至少基于在该装置环境上生成的数据的整体并且基于分别接收到的签名进一步生成待随后与这些新生成的数据一起传输的签名。

根据图2和图3，例如，在检查由Sig.1标识的签名的无错误之后，在装置环境E2上特别地至少基于由proj.数据标识的接收到的数据再次生成由comp.数据标识的数据。在装置环境E2上生成的由comp.数据标识的这些数据也有利地存储在装置环境E2。此外，然后基于由comp.数据标识的再次生成数据和所接收到的由Sig1标识的签名来生成由Sig2标识的签名。

这种再次生成的数据与为此生成的签名一起可以相应地在范围内传输到在数据处理的顺序中随后的另一装置环境，或者根据处理顺序和所述处理中包括的处理步骤传输到不再再次生成数据的装置环境。

但是，优选地，用于用户程序的数据连续地在彼此间隔开分布的远程装置环境上生成，至少直到用户程序的完整的预期启动结束，如下文所示。

如在图2和图3中可以看到，在每种情况下，在所生成的数据和签名的相应传输期间，在优选的进一步改进形式中，还进一步传输了在图中由元数据标识的元数据。这些特别地可以涉及已经生成了所生成的数据的相应装置环境，和/或涉及数据生成的日期，和/或涉及生成数据的用户程序处理工具的用户。如从根据图3的实施例清楚的看出，在图中通过智能合约标识的智能合约数据，特别是与生成的数据所传输至的装置环境有关的智能合约数据，也可以被传输。如本身众所周知，智能合约基于计算机协议，特别地利用区块链技术，并且实现在特定事件中生效而无需人工监控的自动合同。因此，在本发明的范围内，当特别地在接收所传输的数据的装置环境上发生特定事件时，通过使用智能合约可以自动触发预定的进一步动作。

考虑到以上有关图1、图2和图3的解释，用于用户程序的源数据优选地在装置环境E1上相应地生成作为由根据图2和图3的proj.数据标识的数据，并且用于用户程序的机器代码数据在装置环境E2上生成作为由comp.数据标识的数据。

因此，图2和图3所示的实施例特别地示出一种示例性实施例，其中最初通过编程工具，即有利地通过程序编辑器，开发安全相关用户程序成为特定项目的一部分，并且生成用于该安全相关用户程序的源代码。装置环境E1具有专门设计为用户程序处理工具(T1，图1)的这种编程工具，并且优选地例如以PC、笔记本或诸如像平板电脑或智能手机的移动装置的方式配置成通信用户终端设备或配置在通信用户终端设备上。一旦在特定项目的范围内为该安全相关用户程序生成了由proj.数据标识的数据(即特别是源代码数据)，则这些数据(有利地包括任何集成对象数据、参数化数据和/或库数据和/或库文件)传输到作为装置环境E2的用户程序处理工具(T2，图1)的编译器工具的至少一个编译器，参见附图标记1，在该示例性实施例中，装置环境E2配置在云计算机上。传输以包括所有这些数据的文件的形式有利地进行。然而，优选地还传输其他元数据，诸如像做出上次修改的处理器的名称，前述文件也有利地包括这些元数据。作为元数据的替代或补充，特别地以程序形式生成的智能合约数据(包括自动进一步处理的条件)经由用户程序处理工具(T1，图1)在特别优选的其他改进形式(图3)中传输，上述文件也有利地包括这些智能合约数据。特别地，在这种情况下，有利地进一步保护在装置环境E1上生成的源代码数据，以防止与传输相关的任何类型的损坏。签名Sig.1随后还基于在装置环境E1上生成的数据的整体来生成，其中为此目的，有利地在装置环境E1上生成的这些数据的整体上计算唯一签名。优选地同样在前述文件内，将签名Sig.1附加到生成的数据，并与生成的数据一起传输，参见附图标记1。

一个或多个编译器在具有装置环境E2的云计算机上运行。所述一个或多个编译器在进一步处理安全相关用户程序之前检查接收到的签名Sig.1，并在成功检查之后特别地从接收到的文件中所包括的源代码数据(即，用于根据示例性实施例可执行的安全控制***的机器代码)生成图2和图3中通过comp.数据在标识的数据。如果编译处理成功完成，则在本发明的范围内在最简单的实施例中，可以已经基于这些生成的数据再次生成签名，即，特别地，可以经由机器代码重新计算签名，其中在这种情况下，还包括先前接收的签名Sig.1，并且新生成的签名至少与机器代码一起被传输到彼此间隔开分布的多个远程装置环境的附加装置环境。该附加装置环境可以配置在例如待受控制的自动化装置上。

特别地取决于具体应用(anwendungsspezifisch)以及任选的传输并因此接收的智能合约数据，还有利地经由装置环境E2的用户程序处理工具(T2，图1)生成至少除机器代码数据外的用于用户程序的启动数据，并且机器代码数据和启动数据作为所生成的数据传输到至少一个附加装置环境以启动用户程序。在这种情况下，至少进一步基于启动数据，相应地重新生成也待传输的签名作为生成的数据。然而，应注意，在变体中，用于用户程序的此类启动数据也可以在另一装置环境(为了清楚起见未在图中示出)上生成，所述另一装置环境最初从装置环境E2仅获得机器代码连同为此目的新生成的签名，并且然后该另一装置环境将启动数据作为生成的数据连同对应的新生成的签名和机器代码数据传输到至少一个附加装置环境以启动用户程序。

然而，在特别优选的实施例中，同样在根据图2和图3的示例性实施例中，除了机器代码数据之外，还经由装置环境E2的用户程序处理工具(T2，图1)，即，特别地在成功完成编译处理时生成用于用户程序的在图2和图3中由test数据标识的测试程序数据，并且机器代码数据和测试程序数据作为生成的数据最初被传输到彼此间隔开分布的多个远程装置环境的附加装置环境E4以测试用户程序。在这种情况下，至少进一步基于测试程序数据，相应地还再次生成待传输的签名Sig.2作为生成的数据。然而，应注意，在变体中，用于用户程序的此类测试程序数据也可以在另一装置环境(为了清楚起见未在图中描绘)上生成，所述装置环境最初从装置环境E2中仅获得机器代码连同为此目的新生成的签名，并且然后该另一装置环境将测试程序数据作为生成的数据连同对应的新生成的签名和机器代码数据传输到至少一个附加装置环境E4以测试用户程序。

在已经接收到机器代码数据和测试程序数据之后，并且如果接收到的签名Sig.2的检查结果是无错误的，则完成测试程序，并且用于用户程序的由testrec.数据在图2和图3中标识的测试结果数据在附加装置环境E4上生成。然后在特别优选的实施例中，将这些测试结果数据作为生成的数据再次传输回到装置环境E2，其中在此至少相应地提供生成的数据testrec.数据作为基础，并且先前接收到的签名Sig.2还包括在也要传输的签名Sig.3的生成过程中。然而，应注意，代替装置环境E2，在变体中，测试结果数据也可以被传输到另一装置环境(为了清楚起见未在图中示出)。

如果因此返回到先前参考图2和图3所示的实施例描述的示例性实施例，则用于从接收到的数据中包括的源数据中生成由comp.数据在图2和图3中标识的数据的编译过程在装置环境E2上成功完成，并且因此，在附加传输的智能合约数据(图3)的情况下，发生了特定事件，在装置环境E2上为用于安全相关用户程序的各个测试用例生成测试程序数据test数据。随后，经由机器代码comp.数据、测试程序数据test数据并且有利地经由其他元数据，诸如像与编译器有关的多条信息，来自先前的处理步骤的签名Sig.1和/或有利地经由以智能合约数据的形式进行自动进一步处理的其他条件来计算新的签名Sig.2。智能合约数据中包括的一个条件可以是，例如，在成功执行所有测试用例之后，将结果以指定的方式自动传输到装置环境E2，即根据示例性实施例，传输回到云计算机。刚刚引用的数据进而有利地以文件的形式进一步传递到测试环境，即根据图2和图3，传递到附加装置环境E4，参见附图标记2。

一旦成功执行了测试并生成了对应的测试结果数据testrec.数据，就满足类似前述的条件。相应地，结果被有利地自动传输回到装置环境E2，为此，也要传输的签名Sig.3被重新计算，并且因此经由包括测试结果的测试程序数据test数据，来自装置环境E2的先前操作步骤的签名Sig.2，并且任选地经由其他元数据(诸如像与测试环境有关的多条信息和/或智能合约数据)生成。因此，前述的数据连同签名Sig.3进而有利地以文件的形式被传输到云计算机，参见附图标记3。

一旦成功实施的测试的测试结果在云计算机上，即通常在装置环境E2上可用，则首先在那再次检查接收到的签名Sig.3，并且如果该签名检查的结果是无错误的，则用于用户程序的启动数据随后根据所描绘的优选实施例生成，如先前已经所述。然后，云计算机，即通常是特别优选的其他改进形式中的装置环境E2首先相应地提供在图2和图3中由start数据标识为生成的数据连同先前生成的机器代码数据comp.数据的例如呈启动文件的形式的启动数据，并且然后将这些数据传输到上面已经描述的附加或第三装置环境E3a以启动用户程序。如前所述，这些机器代码数据已经有利地存储在装置环境E2中。签名Sig.4与这些生成的数据(特别地也在这种文件内)一起再次传输，所述签名Sig.4再次基于先前描述的所有数据和接收到的签名生成，即，特别地经由机器代码、启动数据，优选地还经由诸如像生成了启动数据的附加元数据和/或诸如像对于发布而言，必须对布线进行完整验证的附加智能合约数据生成，并且经由从步骤3中接收到的签名进行计算。然后，该文件与签名Sig.4一起传输以在装置环境E3a上启动，所述装置环境E3a配置在要控制的自动化装置上，参见附图标记4。

在已经接收到机器代码数据和启动数据之后，并且如果签名Sig.4的检查结果是无错误的，则在彼此间隔开分布的多个远程装置环境的装置环境E3a上完成启动程序，并且在启动完全完成后，为用户程序有利地生成在图2和图3中由com.数据标识的启动验证数据。

生成包括验证结果的文件。特别地再次包括在文件中的这些启动验证数据通过新的签名Sig.5补充。该签名以对应于前面的处理步骤的方式生成，并且因此特别地经由前面的处理步骤的先前接收的签名Sig.4，经由结果，即，启动验证数据，并且有利地经由诸如像执行验证的附加元数据和/或附加智能合约数据进行相应计算。随后将这些启动验证数据作为生成的数据连同任选地包括在文件中的附加数据以及签名Sig.5再次极为有利地传输回到装置环境E2，即，在特定的示例性实施例中，传输到云计算机，以便特别地完成用户程序的完整预期启动，参见附图标记5。然而，应注意，代替装置环境E2a，在变体中，启动验证数据也可以被传递到(为了清楚起见未在图中示出)。

如果启动和验证的步骤完成，则认为安全相关用户程序已通过认证。为此目的，如果签名Sig.5的检查的结果是无错误的，则由图2和图3中的机器证书标识的认证数据根据在装置环境E2上描绘的优选实施例为用户程序生成，并且有利地存储在装置环境E2上，特别地在用于配置在要控制的自动化装置上的装置环境的证书中，所述证书包括用于执行至少一个安全功能的至少一个保护装置。此外，生成新的签名Sig.6，即，特别地经由作为生成的数据的认证数据，经由先前生成的机器代码以及便利地附加的元数据和/或智能合约数据，以及从前面的处理步骤中接收到的签名Sig.5来计算新的签名Sig.6。有利地，该新生成的签名Sig.6同样被输入到前述证书中，所述证书优选地位于云计算机上，即通常位于装置环境E2上。前述数据连同新生成的签名Sig.6可以随后以自动化的方式传输到多个装置环境E3b、E3c和/或E3d，然而另外或者可替代地，还传输到配置在包括用于执行至少一个安全功能的至少一个保护装置的要控制的自动化装置上的E3a，参考附图标记6。如前所述，此类自动化装置在图2和图3中用M1、M2、M3和M4标记。

然后，在已经接收到认证数据和机器代码数据之后，并且如果签名检查的结果是无错误的，则可以在装置环境E3b、E3c、E3d和/或E3a上按预期执行用户程序。为了检查签名Sig.6，在优选的其他改进形式中特别地规定，在装置环境E3b、E3c、E3d和/或E3a上并且因此特别地在自动化装置上，进行在线验证并且检查接收文件的签名Sig.6是否已输入到装置环境E2上的对应的机器证书中。如果检查的结果为肯定，则执行机器代码。然而，应当注意，代替装置环境E2，证书原则上也可以存储在另一装置环境(为了清楚起见未在图中示出)上。

考虑到前面的描述，可以看出，既不必强制性地生成启动数据和/或测试程序数据，或者如果生成了这样的启动数据和/或测试程序数据，也不必强制性地在装置环境E2上生成。因此，也并非强制性的是，一旦执行了测试程序和/或启动，则必须将基于其的新生成的数据再次传输回到装置环境E2。因此，除了装置环境E2之外，附加的或其他装置环境或实体也可以包括在本发明的范围内，在所述装置环境或实体上，分别根据优选实施例中的先前描述在装置环境E2上进行的相应的处理步骤被执行。到其还必须依靠机器代码数据的程度，其然后也相应地以如上所述的相应签名的方式传输到为对应的处理步骤提供的附加或其他装置环境。考虑到前面的描述，本发明还相应地在特别优选的实施例中在用于安全控制***的安全相关用户程序的处理的范围内进一步特别地涉及通过移动终端(诸如像智能手机、平板电脑、笔记本电脑或PC)创建、启动和维护用于自动化机器的控制装置的安全相关用户程序，为此，编辑器在相应的移动终端上运行，而用于生成机器代码的编译器在远程云计算机上运行。因此，在这种情况下，用于安全相关控制的机器代码的生成在云计算机上进行。移动终端与相应的特别是安全相关控制装置之间的标识是唯一的，并且生成机器所需的数据(诸如像用户程序的源代码数据)用唯一的签名保护并被传输到云计算机。机器代码从传输的数据在云计算机上生成。经由所得的数据和来自前面步骤的签名生成新的签名。如果成功生成了机器代码，则可以将包括签名和可能的元数据的所生成的机器代码自动或手动转发到测试环境。在签名中优选以所谓的智能合约的形式规定这种自动性。使用智能合约时，智能合约的代码也通过签名保护。在测试环境中，然后可以执行用于检查安全相关用户程序的测试用例。如果测试成功进行，则经由测试数据并经由可能存在的元数据再次计算签名，前面步骤的签名也集成在所述签名中。在此，也优选地经由智能合约规定，只有在成功的测试之后，才将包括新计算出的签名的数据以方便的方式再次传输到云计算机，或者原则上也传输到另一实体。如果测试成功，则包括可能的附加启动数据和前面步骤的签名的新的签名经由机器代码再次计算并被传输到机器以进行启动。在此，也规定仅在成功启动后才发生程序的自动释放。如果启动成功完成，则包括可能的附加数据(诸如像认证数据)以及来自前面步骤的签名的签名经由机器代码再次计算，并且数据被分发到机器上。借助于也已经有利地传输到机器的签名，可以跟踪整个安全生命周期，也称为安全生命周期，并且可以进一步将在线验证与有利地存储在云计算机上或者原则上也存储在另一个实体上的机器证书进行比较。因此，确保安全相关用户程序已完成安全生命周期的所有步骤，并且程序已通过认证。

特别地也涵盖了整个安全生命周期，包括应用的仿真、启动和在机器上的分布，因为生命周期的每个步骤被自动记录，并且可以在任何时候被清晰地跟踪，并且可以检测到步骤的损坏。

Claims (14)

1.一种用于处理用于安全控制***的安全相关用户程序的方法，所述安全控制***配置成控制至少一个自动化装置，所述自动化装置包括用于执行至少一个安全功能的至少一个保护装置，其中所述用户程序根据用于经由所述安全控制***控制所述自动化装置的所述安全控制***的所述至少一个安全功能的相应状态来指定逻辑连接，其特征在于以下步骤：

-在彼此间隔开分布的多个远程装置环境上连续地生成用于用户程序的数据，每个装置环境提供安全相关用户程序处理工具，其中用于所述用户程序的数据经由在各种情况下由该装置环境提供的所述用户程序处理工具在所述多个远程装置环境的相应装置环境上生成，并且在生成所述数据之后，将生成的数据与签名一起传输到所述多个远程装置环境中的另一个，

-其中在将所述生成的数据与所述签名一起传输之前，该签名至少基于所述生成的数据的整体通过已经生成了用于所述用户程序的数据的所述装置环境的签名单元生成，

-其中在将所述生成的数据与所述签名一起传输之后，在接收这些数据和签名的装置环境上，

·所接收到的签名由该装置环境的签名单元检查，并且如果所述签名检查的结果是无错误的，

·基于所接收到的数据再次生成用于所述用户程序的数据，并且至少基于在该装置环境上生成的数据的整体并基于相应地接收到的签名，由该装置环境的签名单元生成随后待与该再次生成的数据一起传输的签名。

2.根据前述权利要求1所述的方法，其中用于所述用户程序的数据在彼此间隔开分布的所述远程装置环境上连续地生成，至少直到完成所述用户程序的完整的预期启动。

3.根据前述权利要求1或2所述的方法，其中随着所述生成的数据与所述签名一起的每次传输，与已经生成所述生成的数据的所述装置环境有关的、与所述数据生成的日期有关的元数据和/或与生成所述数据的所述用户程序处理工具的使用者有关的元数据和/或与所述生成的数据所传输到的装置环境有关的智能合约数据也均被传输。

4.根据前述权利要求1所述的方法，其中

-用于所述用户程序的源代码数据在彼此间隔开分布的所述多个远程装置环境的第一装置环境上生成，并且作为生成的数据从所述第一装置环境传输到彼此间隔开分布的所述多个远程装置环境的第二装置环境，

-在接收到所述源代码数据之后，并且如果所述签名检查的结果是无错误的，则用于所述用户程序的机器代码数据在彼此间隔开分布的所述多个远程装置环境的所述第二装置环境上生成，

-所述机器代码数据作为生成的数据被传输到彼此间隔开分布的所述多个远程装置环境的至少一个第三装置环境。

5.根据前述权利要求4所述的方法，其中

-在接收到所述源代码数据之后，除了所述机器代码数据外，还在彼此间隔开分布的所述多个远程装置环境的所述第二装置环境上生成用于所述用户程序的启动数据，并且

-所述机器代码数据和启动数据作为生成的数据被传输到彼此间隔开分布的所述多个远程装置环境的至少一个第三装置环境以启动所述用户程序。

6.根据前述权利要求4所述的方法，其中

-除了所述机器代码数据外，还在彼此间隔开分布的所述多个远程装置环境的所述第二装置环境上生成用于所述用户程序的测试程序数据，并且

-所述机器代码数据和测试程序数据作为生成的数据被传输到彼此间隔开分布的所述多个远程装置环境的第四装置环境以测试所述用户程序，

-在接收到所述机器代码数据和测试程序数据之后，并且如果所述签名测试的结果是无错误的，则测试程序完成并且用于所述用户程序的测试结果数据在彼此间隔开分布的所述多个远程装置环境的所述第四装置环境上生成，

-所述测试结果数据作为生成的数据被传输到彼此间隔开分布的所述多个远程装置环境的所述第二装置环境。

7.根据前述权利要求6所述的方法，其中

-在接收到所述测试结果数据之后，并且如果所述签名检查的结果是无错误的，则用于所述用户程序的启动数据在彼此间隔开分布的所述多个远程装置环境的所述第二装置环境上生成，

并且

-所述启动数据作为生成的数据与先前生成的机器代码数据一起被传输到彼此间隔开分布的所述多个远程装置环境的第三装置环境以启动所述用户程序。

8.根据前述权利要求5或7所述的方法，其中

-在接收到所述机器代码数据和启动数据之后，并且如果所述签名检查的结果是无错误的，则启动程序完成并且用于所述用户程序的启动验证数据在彼此间隔开分布的所述多个远程装置环境的所述第三装置环境上生成，

并且

-所述启动验证数据作为生成的数据被传输到彼此间隔开分布的所述多个远程装置环境的所述第二装置环境以完成所述用户程序的完整的预期启动。

9.根据前述权利要求8所述的方法，其中

在接收到所述启动验证数据之后，并且如果所述签名检查的结果是无错误的，则用于所述用户程序的认证数据在彼此间隔开分布的所述多个远程装置环境的所述第二装置环境上生成。

10.根据前述权利要求9所述的方法，其中生成的认证数据存储在彼此间隔开分布的所述多个远程装置环境的所述第二装置环境上。

11.根据前述权利要求9所述的方法，其中

所述认证数据作为生成的数据与先前生成的机器代码数据一起被传输到彼此间隔开分布的所述多个远程装置环境的多个第三装置环境。

12.根据前述权利要求11所述的方法，其中

在接收到所述认证数据和机器代码数据之后并且如果所述签名检查的结果是无错误的，则所述用户程序按预期在彼此间隔开分布的所述多个远程装置环境的所述多个第三装置环境上执行。

13.一种用于执行根据前述权利要求1至12中任一项所述的方法的自动化***，其包括：

-彼此间隔开分布的多个远程装置环境，每个远程装置环境提供用于生成用于安全控制***的用户程序的数据的安全相关用户程序处理工具，其中所述用户程序处理工具还包括签名单元，

-其中

-彼此间隔开分布的多个远程装置环境中的第一装置环境配置在通信用户终端设备上，

-彼此间隔开分布的所述多个远程装置环境中的第二装置环境配置在云计算机上，并且

-配置彼此间隔开分布的所述多个远程装置环境中的至少一个附加装置环境，其中

-所述第一装置环境、所述第二装置环境和所述至少一个附加装置环境具有接口，并且设计成分别将生成的数据与相应生成的签名一起从所述第一装置环境传输到所述第二装置环境，从所述第二装置环境传输到所述至少一个附加装置环境，并且从所述至少一个附加装置环境传输到所述第二装置环境。

14.根据前述权利要求13所述的自动化***，其中

-所述第一装置环境提供作为用户程序处理工具的、用于生成所述用户程序的源代码的安全相关编程工具，以及与所述编程工具协作的、用于至少基于所生成的源代码的整体来生成签名的签名单元，

-所述第二装置环境提供作为用户程序处理工具的、用于生成所述用户程序的机器代码的安全相关编译工具，以及用于生成用于所述用户程序的启动数据和/或测试程序数据的安全相关工具，并且其中所述第二装置环境具有签名单元，所述签名单元与所述安全相关编程工具或所述安全相关工具协作，用于检查分别瞬时接收的签名并至少基于在所述第二装置环境上生成的数据的整体并基于最后相应检查的签名来生成签名。