-
Die vorliegende Erfindung betrifft ein Verfahren zur Unterscheidung der Herkunft von Bedieneingaben bei elektronischen Steuerungssystemen mit wenigstens einem ersten lokalen Bedienelement eines lokalen Rechners und mit wenigstens einem zweiten Bedienelement eines Fernbedienungsrechners, eine Vorrichtung zur Durchführung des Verfahrens und eine Druckmaschine mit einer solchen Vorrichtung.
-
Die elektronische Datenverarbeitung und die Übertragung elektronischer Daten über Datennetze wie das Telefonleitungsnetz bieten die Möglichkeit, elektronisch oder elektrisch gesteuerte Geräte über große Distanzen hinweg nicht nur miteinander zu vernetzen sondern auch eine Bedienung weit entfernter Geräte zu ermöglichen. So ist es inzwischen möglich, Haushaltsgeräte, welche sich in einer Wohnung befinden, welche über entsprechende Kommunikationselektronik verfügen und an ein Datenübertragungsnetz wie das Telefonnetz angeschlossen werden können, aus weiter Ferne einzuschalten oder mit entsprechenden Steuerungsbefehlen zu versorgen. So zeigt z. B.
DE 42 12 200 A1 ein Fernbedienungs- oder Fernsteuersystem zum Bedienen von Haushaltsgeräten unter Verwendung einer IC-Karte mit integriertem Chip und eines entfernten öffentlichen Fernsprechers. Der Fernsprecher, also das öffentliche Telefon, verfügt dazu über einen Kartenschacht, in den eine Person eine IC-Karte einschieben kann, um sich zu identifizieren. Die auf der IC-Karte vorhandenen Steuerinformationen und Identifizierungsinformationen sollen ein hohes Maß an Sicherheit bieten, so dass nur befugte Personen über das öffentliche Telefonnetz auf die fernbedienbaren Haushaltsgeräte zugreifen können. Um die Fernsteuerung zu ermöglichen, sind die Haushaltsgeräte mit einem Haushaltsterminal verbunden, welches wiederum mit einem Telefon in Verbindung steht. Fernsteuerbare Haushaltsgeräte sind z. B. Fernsehgeräte, Videogeräte, aber auch die Warmwasserversorgung etc.. Die auf der IC-Karte befindlichen Daten werden verschlüsselt über das Telefonnetz übertragen und vom Haushaltsterminal empfangen, wo die Daten dann wieder entsprechend entschlüsselt werden und die angeschlossenen Geräte ansteuern können. Die Steuerungsdaten werden jedoch nur dann übertragen, wenn sich die Person am öffentlichen Fernsprecher mittels der richtigen IC-Karte entsprechend identifiziert hat.
-
Zusätzlich muss die Bedienperson am öffentlichen Fernsprecher noch eine Passwortzahl eingeben, welche nur dem autorisierten Anwender bekannt ist. Auf diese Art und Weise ist es möglich von jedem Punkt der Erde aus, wo sich ein entsprechend ausgerüsteter Fernsprecher befindet, Haushaltsgeräte in der Wohnung zu steuern. Durch die Identifizierung mit IC-Karte und Passwort können nur autorisierte Personen die Haushaltsgeräte steuern. Es findet somit eine Zugangskontrolle statt, welche an den Besitz der IC-Karte und die Kenntnis des richtigen Passworts gebunden ist.
-
Nachteilig an einem System gemäß
DE 42 12 200 A1 ist jedoch die Tatsache, dass die autorisierte Person ständig eine IC-Karte bei sich haben muss und dass die Identifizierung mittels der IC-Karte und dem Passwort sehr zeitaufwendig ist. Weiterhin müssen die Fernsprecher, mit welchen ein solches Identifizierungsverfahren durchgeführt werden soll, über einen entsprechend ausgestalteten Kartenschacht für die IC-Karte verfügen. Dieses Verfahren ist deshalb zur Wartung und Steuerung von Maschinen in der der Industrie nicht geeignet. Viele Maschinen in der Industrie werden inzwischen über Fernwartungssysteme in regelmäßigen Zeitabständen oder bei entsprechendem Bedarf aus der Ferne über Datennetze gewartet und gegebenenfalls mit entsprechenden Bedienkommandos auch gesteuert. Dabei gibt es einen lokalen Steuerungsrechner, welcher grundsätzlich die entsprechende Maschine im normalen Betrieb steuert und entsprechende lokale Bedienelemente wie eine Tastatur oder Computermaus aufweist und welcher über eine entsprechende Schnittstelle über das Internet mit einem Wartungsrechner z. B. beim Hersteller der Maschine kommunizieren kann. Damit ist es möglich, von einem zweiten Rechner aus, welcher sich beim Hersteller der Maschine befindet, Wartungsvorgänge an einer weit entfernt aufgestellten Maschine zu tätigen, ohne dass Servicepersonal vor Ort sein muss. Mittels entsprechender Fernsteuerungstechnik ist es möglich, dass das Wartungspersonal beim Hersteller auf seinem Wartungsrechner und dem zugeordneten Bildschirm genau die gleichen Programme und vor allen Dingen die gleichen Bedienoberflächen vorfindet wie auf dem lokalen Rechner, welcher sich unmittelbar an der Maschine befindet. Das Wartungspersonal hat somit grundsätzlich dieselben Bedien- und Eingriffsmöglichkeiten wie das Betriebspersonal vor Ort. Allerdings ist es bei vielen Maschinen wichtig, insbesondere bei Maschinen in der Druckindustrie, dass bestimmte Funktionen nicht von Ferne betätigt werden dürfen. Dazu zählen insbesondere Funktionen, welche die Sicherheit des Betriebspersonals gefährden könnten. So dürfen z. B. Funktionen wie der Stapelhub am Ausleger einer Druckmaschine nicht ohne weiteres von Ferne bedient werden, weil hier die Gefahr besteht, dass von einem sich auf diese Art und Weise bewegenden Stapel erhebliche Verletzungsgefahren für das ahnungslose und überraschte Betriebspersonal ausgehen. Die Funktion des Stapelhubs am Ausleger muss deshalb unter bestimmten Umständen für den Bedienrechner in der Ferne beim Hersteller gesperrt werden. Auf der anderen Seite ist es nicht erwünscht, dass auf dem Rechner des Herstellers und auf dem lokalen Rechner an der Maschine unterschiedlich programmierte Betriebssysteme laufen, da dies einen unverhältnismäßig großen zusätzlichen Aufwand bedeuten würde.
-
Aus der Offenlegungsschrift
DE 102 50 195 A1 ist ein Verfahren und eine Anordnung zum Authentifizieren einer Bedieneinheit bekannt. Drucker und Kopierer weisen Kommunikationsschnittstellen auf, welche zur Verbindung mit Bedieneinheiten, insbesondere Wartungscomputern, zur Diagnose und zur Wartung verbunden werden können. Mithilfe von Wartungscomputern können sicherheitsrelevante Einstellwerte in den Druckern oder Kopierern geändert werden, welche aus diesem Grund nur von ausreichend qualifiziertem Bedienpersonal vorgenommen werden dürfen. Deshalb muss sichergestellt werden, dass eine Bedienperson, welche diese sicherheitsrelevanten Einstellungen im Zuge der Wartung ändert, dazu auch berechtigt ist. Dazu wird in der Offenlegungsschrift
DE 102 50 195 A1 ein geeignetes Verfahren angegeben. Bei diesem Verfahren kommt ein Service-Notebook zum Einsatz, mit welchem Einstellparameter und Diagnosefunktionen eines Druckers geändert werden können. Dazu muss das Service-Notebook zunächst beim Drucker autorisiert werden. Zu diesem Zweck werden durch ein Programmmodul des Druckers über ein Netzwerk das Vorhandensein eines Schlüssels auf dem Service-Notebook und die Berechtigungsstufe des Service-Notebooks ermittelt. Dazu überträgt der Drucker eine Zufallszahl zum Service-Notebook, welche dieses in einer nicht umkehrbaren mathematischen Rechenoperation verwendet. Das Ergebnis dieser Rechenoperation wird über die Netzwerkverbindung wiederum zum Drucker übertragen. Der Drucker wiederum überprüft das Rechenergebnis durch eine mathematische Rechenoperation, die im positiven Fall zu demselben Ergebnis führen muss. Nur wenn die beiden Rechenergebnisse übereinstimmen, erfolgt die Authentifizierung des Service-Notebooks durch den Drucker und das Servicepersonal kann sicherheitsrelevante Einstellungen mittels des Service-Notebooks am Drucker ändern.
-
Aus der nach dem Prioritätstag veröffentlichten, älteren europäischen Patentanmeldung
EP 1 479 964 A2 ist eine Sicherheitsfernsteuerung bekannt, bei welcher die räumliche Position der Fernsteuerung zu einem Gerät überwacht wird. Wenn sich die Fernsteuerung zu sehr von dem Gerät entfernt hat, so wird dieses Entfernen von dem Gerät bemerkt und Steuersignale der Fernsteuerung unterdrückt. Damit wird verhindert, dass Bedienpersonal mit einer Fernsteuerung, die zu weit vom Gerät entfernt ist, ohne Sichtkontakt zum Gerät Steuerbefehle an das Gerät mittels der Fernbedienung übermitteln kann.
-
Aus der europäischen Patentanmeldung
EP 0 743 591 A1 ist ein Druckersystem bekannt, welches einen Drucker enthält, der mit einem ersten Netzwerk zum Empfang von Druckerdaten verbindbar ist. Des Weiteren ist ein zweites Netzwerk vorgesehen, welches ein externes Netzwerk ist. Außerdem ist eine Steuerung vorgesehen, welche nur dann eine Datenkommunikation mit dem externen Netzwerk zulässt, wenn der Drucker mit dem ersten Netzwerk nicht funktionell verbunden ist. Auf diese Art und Weise wird sichergestellt, dass bei einer Verbindung mit dem externen Netzwerk keine Daten vom Drucker entwendet werden können, da eine externe Kommunikation nur möglich ist, wenn der Drucker nicht verbunden ist oder abgeschaltet ist und somit kein Zugriff auf die Daten des Druckers von außen möglich ist.
-
Das Dokument
WO 00/08606 zeigt eine Spritzgießmaschine mit einer Bedieneinrichtung. Die Bedieneinrichtung weist einen Touchscreen auf, an dem mehrere Personen abwechselnd arbeiten können. Dabei wird die Zugangskontrolle der Personen über einen speziellen Zeigestift oder über eine biometrische Erfassung von personenspezifischen Daten des jeweiligen Nutzers vorgenommen. So ist an dem Touchscreen eine Sende- und Empfangseinrichtung angeordnet, welche mit einem Mikrochip in dem Zeigestift drahtlos kommuniziert. Jedem Zeigestift ist eine Kennung (Identifikationscode) zugeordnet, welche die verschiedenen Stifte voneinander unterscheidet, wobei die verschiedenen Stifte grundsätzlich die gleiche Funktion in der Spritzgießmaschine auslösen können.
-
Es ist Aufgabe der vorliegenden Erfindung, ein elektronisches Steuerungssystem, eine Druckmaschine und ein entsprechendes Verfahren zu schaffen, welche es ermöglichen, gleiche Bedienkommandos an mehreren Rechnern mit gleichen Bedienoberflächen einzugeben, wobei die Herkunft der gleichen Bedienkommandos aus Sicherheitsgründen unterschieden werden kann.
-
Erfindungsgemäß wird die vorliegende Aufgabe durch die Patentansprüche 1, 8 und 13 gelöst. Vorteilhafte Ausgestaltungen der Erfindung sind den Unteransprüchen und den Zeichnungen zu entnehmen. Das vorgeschlagene Verfahren und die zugehörige Vorrichtung beruhen auf einem elektronischen Steuerungssystem wie z. B. einem herkömmlichen PC oder Server, an den Bedienelemente angeschlossen werden können. Solche Bedienelemente sind bei PCs standardmäßig als Computermaus oder Tastatur ausgeführt, es sind aber auch andere Bedienelemente wie z. B. ein Touch Screen oder ein Trackball bei Laptops etc. möglich. Neben einem ersten Bedienelement ist an das elektronische Steuerungssystem noch ein zweites Bedienelement angeschlossen, wobei das zweite Bedienelement nicht in engem örtlichen Bezug zu dem elektronischen Steuerungssystem steht. Während sich das elektronische Steuerungssystem in der Nähe einer zu steuernden Maschine befindet und das erste Bedienelement zur lokalen Bedienung der Maschine dient, befindet sich im Unterschied dazu das zweite Bedienelement z. B. in der Nähe eines Wartungsrechners beim Hersteller der Maschine. Damit befindet sich das zweite Bedienelement in großer örtlicher Entfernung vom ersten Bedienelement.
-
Das erste und das zweite Bedienelement geben jeweils Signale an das elektronische Steuerungssystem ab, wenn eine entsprechende Bedieneingabe durch das Bedienpersonal vorgenommen wird. Bei Bedienung des ersten lokalen Elements erhält das elektronische Signal jedoch eine elektronische Kennung, so dass sich einwandfrei unterscheiden lässt, ob das Bedienungssignal nun vom ersten oder vom zweiten Bedienelement kommt. Da sich das erste lokale Bedienelement in unmittelbarer Nähe der Maschine befindet, können mit diesem Bedienelement sämtliche Funktionen an der Maschine gesteuert werden. Erhalt das Steuersystem jedoch Signale vom zweiten Bedienelement, welches sich in örtlicher Entfernung zur Maschine befindet, so erkennt das elektronische Steuerungssystem die elektronische Kennung und verhindert bei bestimmten Funktionen, dass diese an der Maschine ausgeführt werden, wenn das Signal vom zweiten Bedienelement kommt.
-
Dabei ist vorgesehen, dass das Signal bei Betätigung des ersten Bedienelements und das Signal bei Betätigung des zweiten Bedienelements grundsätzlich die gleiche Funktion in dem elektronischen Steuerungssystem auslösen. Das erste und das zweite Bedienelement sind meist baugleich oder bauähnlich ausgeführt, da es sich bei beiden Bedienelementen meist um die Standardeingabeelemente eines Computers, nämlich Tastatur und Computermaus, handelt. Da auch die Bedienoberfläche, welche den beiden Bedienelementen jeweils zugeordnet ist, meist gleichartig aufgebaut oder sogar identisch ist, kann mit beiden Bedienelementen grundsätzlich auf die gleichen Funktionen in dem elektronischen Steuerungssystem der Maschine zugriffen werden. Dies ist zunächst auch beabsichtigt, da der Bediener sich nicht umstellen soll, wenn er von einem anderen Ort aus auf das elektronische Steuerungssystem der Maschine zugreifen möchte. Somit unterscheiden sich die Signale des ersten Bedienelements und des zweiten Bedienelements tatsächlich nur in der elektronischen Kennung, und nur die elektronische Kennung entscheidet dann darüber, ob die prinzipiell gleichen Funktionen, welche durch die beiden Bedienelemente ausgelöst werden können, im elektronischen Steuerungssystem auch tatsächlich ausgelöst werden. Die elektronische Kennung macht somit den Unterschied zwischen der grundsätzlichen Möglichkeit des Auslösens und der tatsächlichen Auslösung einer Funktion im elektronischen Steuerungssystem.
-
In einer Ausgestaltung der Erfindung ist vorgesehen, dass das Signal bei Betätigung des ersten Bedienelements zusätzlich mit einer Signatur versehen wird. Elektronische Signaturen eignen sich hervorragend als elektronische Kennung, da sie relativ fälschungssicher sind und sich auch in anderen Bereichen wie bei der Authentifizierung von E-Mails und ähnlichem bewährt haben. Eine solche möglichst fälschungssichere Signatur ist insoweit erforderlich, als dass sichergestellt werden muss, dass die elektronische Kennung nicht von anderen Rechnern einfach nachgeahmt werden kann, da sonst auch von dem zweiten, entfernten Bedienelement aus unter Nachahmung der elektronischen Kennung doch wieder auf kritische Funktionen zugegriffen werden könnte, welche eigentlich aufgrund der fehlenden elektronischen Kennung gesperrt wären. Dies kann mit einer entsprechenden Signatur recht zuverlässig verhindert werden.
-
Die Signale der ersten und zweiten Bedienelemente werden in einem Rechner verarbeitet. Prinzipiell ist es auch möglich, dass die Signale der Bedienelemente direkt z. B. im Steuerungsrechner der zugeordneten Maschine verarbeitet werden, in der Realität wird jedoch meist ein separater Rechner vorhanden sein, welcher selbstverständlich auch andere Aufgaben wie z. B. die Verbindung des Maschinenrechners mit dem Intranet oder Internet wahrnehmen kann. Der Rechner empfängt dabei sowohl die Signale des ersten und des zweiten Bedienelements und kann deren Herkunft anhand der elektronischen Kennung unterscheiden.
-
Eine besonders vorteilhafte Ausgestaltung der Erfindung zeichnet sich dadurch aus, dass in Abhängigkeit der Signatur bestimmte Funktionen eines Programms durch den lokalen Rechner freigeschaltet oder gesperrt werden. Der Rechner des elektronischen Steuerungssystems verfügt normalerweise über ein oder mehrere Programme mit denen er die zugehörige Maschine entsprechend steuert. Diese Software kann zum einen aus einer maschinenspezifischen Software aber auch aus einem standardisierten Betriebssystem bestehen. Das Betriebsprogramm zur Steuerung der Maschine, z. B. einer Druckmaschine, muss sämtliche elektronisch steuerbaren Funktionen ansprechen können. Darunter befinden sich selbstverständlich auch sicherheitskritische Funktionen, wie sie Eingangs bereits erwähnt wurden. Diese Funktionen können nun durch das elektronische Steuerungssystem in Abhängigkeit der in den Signalen der Bedienelemente vorhandenen Signaturen entweder freigeschaltet oder gesperrt werden. So kann vorgesehen sein, dass bestimmte Funktionen, z. B. sicherheitsrelevante Funktionen, nur dann ausgelöst werden, wenn das Signal des Bedienelements mit einer Signatur versehen ist. Fehlt die Signatur, so wird die entsprechende Funktion nicht ausgelöst und es kann stattdessen an das auslösende Bedienelement bzw. an einen diesem Bedienelement zugeordneten Bildschirm eine entsprechende Meldung geschickt werden, dass die Funktion nicht ausgeführt wird. Insbesondere sicherheitskritische Prozesse an Maschinen lassen sich so nur von entsprechend dafür bestimmten Bedienelementen auslösen, so dass sich die Gefahr einer Fehlbedienung durch nicht autorisierte Bedienelemente z. B. am Fernwartungsrechner beim Hersteller einer Maschine verhindern lassen. In einer Weiterentwicklung dieser Ausführungsform können auch verschiedene Signaturen im Einsatz sein, wobei verschiedene Signaturen unterschiedlichen Bedienelementen zuzuordnen sind und in Abhängigkeit der jeweils verwendeten Signatur nur dafür freigeschaltete Funktionen ausgelöst werden können.
-
Ein zusätzlicher Vorteil ergibt sich dann, wenn die Signatur in dem lokalen Rechner eingeschaltet und abgeschaltet werden kann. Erfindungsgemäß werden die Signale der Bedienelemente erst in dem elektronischen System mit Signaturen versehen, je nach dem, an welchem Signaleingang des elektronischen Systems sie angeschlossen sind. So werden z. B. den Signalen der Bedienelemente, welche über lokale Signaleingänge wie die Tastaturbuchse in das elektronische System gelangen, entsprechende Signaturen hinzugefügt, während bei Schnittstellen insbesondere Netzwerkschnittstellen, welche die Anbindung des elektronischen Systems an das Intranet oder das Internet ermöglichen, die Bediensignale von Bedienelementen ohne Signatur passieren. Somit ist bei Bediensignalen mit Signatur sichergestellt, dass sie von Bedienelementen stammen, welche sich in unmittelbarer Nähe des elektronischen Systems und damit auch der zugehörigen Maschine befinden. Zu Wartungszwecken kann es jedoch unter Umständen erforderlich sein, das elektronische System, also den lokalen Rechner, von der Maschine zu entkoppeln, so dass das elektronische System keine Funktionen mehr an der Maschine auslösen kann. Dies ist z. B. dann erforderlich, wenn an dem elektronischen System Funktionstests durchgeführt werden müssen. Wenn das elektronische System von der Maschine getrennt ist, besteht aber auch bei sonst sicherheitskritischen Funktionen keine Gefahr mehr. In diesem Fall ist es bei Fernwartung für das Wartungspersonal, welches das elektronische System über ein zweites weit entferntes Bedienelement steuern möchte, von Vorteil, wenn es dann auch die sicherheitskritischen Funktionen entsprechend testen kann. Zu diesem Zweck kann das Wartungspersonal das Betriebspersonal der Maschine telefonisch bitten, das elektronische System von der Maschine zu trennen und dann über eine entsprechende Eingabe über die Tastatur oder Computermaus die elektronische Signatur im lokalen Rechner abzuschalten. Sobald die elektronische Signatur abgeschaltet ist, kann das Wartungspersonal auch von Ferne aus sicherheitskritische Funktionen im elektronischen System testen. Sobald das elektronische System wieder an die zu steuernde Maschine angeschlossen ist, wird die Signatur wieder eingeschaltet.
-
Vorteilhafter Weise kann dabei vorgesehen sein, dass beim Zusammenschalten des elektronischen Systems und der Steuerungskomponenten der Maschine die Signatur automatisch wieder aktiviert wird, so dass die sicherheitskritischen Funktionen beim Zusammenschalten des elektronischen Systems mit den Steuerungskomponenten der Maschine sofort wieder entsprechend gesichert werden können. Dies erhöht die Betriebssicherheit der Maschine, da dann das Betriebspersonal die Einschaltung der Signatur nicht vergessen kann. Der Hersteller der Maschine, welcher eine Fernwartung vornimmt, kann dann sicher sein, dass seine Maschine jederzeit mit den eingerichteten Sicherheitsmaßnahmen arbeitet. Dieser Aspekt der Erfindung lässt sich noch dahingehend erweitern, dass sich die Signatur durch entsprechende Einarbeitung in die Betriebssoftware des elektronischen Systems gar nicht erst durch Bedienelemente abschalten lässt. Vielmehr wird die Signatur automatisch abgeschaltet, wenn das elektronische System von der Maschine getrennt wird, und die Signatur wird wieder automatisch eingeschaltet, sobald das elektronische System wieder mit der Maschine verbunden wird. In diesem Fall besteht kein menschlicher Einfluss mehr auf den Einschaltzustand der Signatur in dem elektronischen System.
-
In einer weiteren Ausgestaltung der Erfindung ist vorgesehen, dass die Signatur in Abhängigkeit des Programms eingeschaltet oder abgeschaltet wird. In Druckereien besteht inzwischen die Möglichkeit, dass mehrere Druckmaschinen über ein einziges elektronisches System gesteuert werden können, so dass das Bedienpersonal nicht ständig zwischen den einzelnen Druckmaschinen hin- und herwechseln muss, sondern die Maschinen zentral von einer Bedienstelle aus z. B. an einer Druckmaschine steuern kann. Da aber jede Druckmaschine in Abhängigkeit ihrer Konfiguration über ein leicht verändertes Betriebsprogramm verfügt, sind auch die Funktionen, welche über die Bedienelemente an den Druckmaschinen ausgelöst werden können, jeweils maschinenabhängig. So kann es sein, dass eine Funktion, an der einen Maschine durchaus sicherheitskritisch ist, an der anderen Maschine aber nicht, da hier z. B. der betroffene Gefahrenbereich entsprechend verkleidet ist, so dass von ihm keine Gefahr ausgeht. Wenn das Bedienpersonal nun zwischen den Betriebsprogrammen der einzelnen Maschinen hin- und herschaltet, so werden jeweils nur die Signaturen eingeschaltet, welche für die sicherheitskritischen Prozesse an der gerade gesteuerten Maschine benötigt werden. Wenn von einem entfernten Bedienelement auf die entsprechende Maschine über das elektronische System zugegriffen wird, so können nun die einzelnen sicherheitskritischen Funktionen in Abhängigkeit der angewählten Maschine mittels der Signaturen freigegeben oder verwehrt werden. Dies erhöht die Flexibilität und vereinfacht zugleich das System, da hier zentral in einem elektronischen System die Anfragen von entfernten Bedienelementen verarbeitet werden können und nur auf diesem einen elektronischen System der Prozess der Signierung durchgeführt werden muss. So muss nicht jeder Steuerungsrechner der zugehörigen Maschine über einen Signierungsprozess verfügen. Es reicht vielmehr aus, dass das elektronische System, welches den Eingang der Signale von entfernten Bedienelementen verwaltet, über die Signaturfunktion verfügt. In diesem Fall müssen allerdings alle lokalen Bedienelemente an das zentrale elektronische System angeschlossen sein, damit ihre Signale mit der Signatur versehen werden können.
-
Die vorliegende Erfindung wird nachfolgend anhand zweier Figuren näher beschrieben und erläutert, es zeigen:
-
1: den Ablauf der Signierung in einem elektronischen System mit zwei Bedienelementen und
-
2: eine Druckmaschine, welche über zwei Bedienelemente steuerbar ist.
-
In 1 besteht das elektronische System im Wesentlichen aus einem lokalen Rechner 7. Der lokale Rechner 7 kann zur Steuerung von in 1 nicht gezeigten Maschinen 14 verwendet werden. Dem lokalen Rechner 7 ist ein lokaler Bildschirm 6 zugeordnet, welcher sämtliche Bedienvorgänge anzeigt, welche am lokalen Rechner 7 vom Bedienpersonal vorgenommen werden können. Auf dem lokalen Rechner 7 können ein oder mehrere Betriebssysteme laufen sowie die entsprechende Anwendungssoftware zur Steuerung von angeschlossenen Maschinen 14. Ein weiteres Programm ist die Signiereinrichtung 9, welche in 1 aus einer entsprechend programmierten Software besteht. Es ist aber selbstverständlich auch möglich, die Signiereinrichtung 9 als Hardware auszubilden. Eingearbeitet in die Signiereinrichtung 9 wurde als separates Programmmodul auf dem lokalen Rechner 7 ein Programm 10 zur Abfrage der Signatur, welches später noch erläutert wird. Außerdem befindet sich auf dem lokalen Rechner 7 noch ein Bedienprogramm 11 mit einem Steuerungsprogramm 12 mit sicherheitskritischen Prozessen, welches eine Maschine 14 steuert.
-
An den lokalen Rechner 7 sind außerdem ein oder mehrere lokale Bedienelemente 8 wie z. B. eine Tastatur oder eine Computermaus angeschlossen. Weiterhin ist der lokale Rechner 7 über ein Netzwerk zur Datenübertragung 5 wie z. B. das Internet und/oder Intranet an einen Fernbedienungsrechner 3 angeschlossen. Während der lokale Rechner 7 sich in unmittelbarer Nähe der zu steuernden Maschine 14 befindet, kann sich der Fernbedienungsrechner 3 über viele Kilometer hinweg entfernt z. B. beim Hersteller der Maschine befinden. Der Fernbedienungsrechner 3 kann ebenso wie der lokale Rechner 7 einen handelsüblichen PC oder Laptop umfassen, welcher ebenfalls über einen Bildschirm 4 verfügt. Außerdem sind auch an dem Fernbedienungsrechner 3 ein oder mehrere Bedienelemente wie eine Tastatur 1 oder eine Computermaus 2 angeschlossen. Mit dem Fernbedienungsrechner 3 ist es möglich, über das Netzwerk zur Datenübertragung 5 auf den lokalen Rechner 7 zuzugreifen und dort Funktionen auszulösen, welche sich wiederum auf die an den lokalen Rechner 7 angeschlossene Maschine auswirken können. Über das Netzwerk zur Datenübertragung 5 kann dabei die Bedienoberfläche des lokalen Rechners 7 auch an den Fernbedienungsrechner 3 übertragen werden, so dass auf dem Bildschirm 4 des Fernbedienungsrechners und auf dem lokalen Bildschirm 6 die gleiche Bedienoberfläche zu sehen ist. Somit können an beiden Rechnern 3, 7 grundsätzlich auch die gleichen Bedieneingaben gemacht werden. Werden Bedieneingaben am Fernbedienungsrechner 3 vorgenommen, so werden die entsprechenden Signale der Bedienelemente 1, 2 über das Netzwerk zur Datenübertragung 5 an den lokalen Rechner 7 übertragen.
-
Im Unterschied zu den Signalen, welche vom Fernbedienungsrechner 3 kommen, können jedoch die Signale der lokalen Bedienelemente 8 mittels der Signiereinrichtung 9 zusätzlich mit einer elektronischen Signatur versehen werden. Somit kann auf dem lokalen Rechner 7 unterschieden werden, ob die Bediensignale von den lokalen Bedienelementen 8 ausgehen, da hier die Signale mit einer Signatur versehen sind, oder ob sie von den Bedienelementen 1, 2 des Fernbedienungsrechner 3 ausgehen, von dem aus die Signale ohne Signatur in den lokalen Rechner 7 gelangen. Gemäß dem Diagramm, welches dem Programm zur Abfrage der Signatur 10 zugeordnet ist, wird zunächst abgefragt, ob ein Filter, welches zwischen Bediensignalen mit und ohne Signatur unterscheidet, eingeschaltet ist. Wenn dieses Filter nicht eingeschaltet ist, werden die Signale, egal ob mit oder Signatur versehen, sofort an das Bedienprogramm 11 weitergegeben, welches dann wiederum entsprechende Funktionen im Steuerungsprogramm 12 auslösen kann. Enthält das Steuerungsprogramm 12 sicherheitskritische Prozesse, so werden bei dem Aufruf des Steuerungsprogramms 12 an das Bedienprogramm 11 Befehle übertragen, welche das Filter mittels eines Steuerungssignals 13 einschalten. In diesem Fall wird das Programm 10 zur Abfrage der Signatur aktiv und überprüft eingehende Bediensignale auf das Vorhandensein der Signatur. Wenn die Bediensignale keine Signatur bzw. nicht die richtige Signatur aufweisen, werden die Bediensignale nicht an das Bedienprogramm 11 übertragen und das Steuerungsprogramm 12 wird nicht die entsprechenden Funktionen an der Maschine 14 auslösen. Nur wenn die Bediensignale mit der korrekten Signatur versehen sind, werden die Bediensignale zum Bedienprogramm 11 weitergeleitet, welches dann im Steuerungsprogramm 12 die entsprechenden Funktionen auslösen kann. Bei einem Steuerungsprogramm 12 mit sicherheitskritischen Prozessen wird damit sichergestellt, dass diese Prozesse nur durch die Eingabe an den lokalen Bedienelementen 8 ausgelöst werden können, während dieselben Eingaben an den Bedienelementen 1, 2 am Fernbedienungsrechner 3 durch das Filter im Programm 10 zur Abfrage der Signatur abgewiesen werden. Auf diese Art und Weise lässt sich die Betriebssicherheit bei Maschinen mit sicherheitskritischen Prozessen, welche von dem lokalen Rechner 7 gesteuert werden, deutlich erhöhen.
-
Eine solche Maschine 14 mit sicherheitskritischen Prozessen zeigt 2. Es handelt sich dabei um eine Druckmaschine 14 mit ein oder mehreren Druckwerken 15, welche über einen eigenen Steuerungsrechner 17 verfügt. Der Steuerungsrechner 17 der Druckmaschine ist über eine Kommunikationsverbindung 16 mit dem lokalen Rechner 7 verbunden. Auch in 2 kann der lokale Rechner 7 über ein Netz zur Datenübertragung 5 mit einem Fernbedienungsrechner 3 Daten austauschen. Da der lokale Rechner 7 entsprechend der 1 ausgestaltet ist, kann bei sicherheitskritischen Prozessen an der Druckmaschine 14 deren Auslösen durch den Fernbedienungsrechner 3 zuverlässig unterbunden werden. Es ist somit möglich, dem Wartungspersonal am Fernbedienungsrechner 3 auf dessen Bildschirm 4 grundsätzlich die gleiche Bedienoberfläche zur Verfügung zu stellen, wie sie auf dem lokalen Bildschirm 6 in der Druckerei für das Betriebspersonal zu sehen ist, wobei die sicherheitskritischen Funktionen nur über unmittelbar an den lokalen Rechner 7 angeschlossene Bedienelemente 8 ausgelöst werden können. Falls das Wartungspersonal vom Fernbedienungsrechner 3 aus versucht diese sicherheitskritischen Prozesse zu beeinflussen, so werden diese Bedienbefehle nicht ausgeführt.
-
Das Unterbleiben der Ausführung der Bedienbefehle kann dem Wartungspersonal auf dem Bildschirm 4 des Fernbedienungsrechners durch eine entsprechende Meldung angezeigt werden, so dass das Wartungspersonal darüber informiert wird, wenn eine Eingabe an den entfernten Bedienelemente 1, 2 nicht ausgeführt wird.
-
Bezugszeichenliste
-
- 1
- Tastatur-Fernbedienung
- 2
- Computermaus-Fernbedienung
- 3
- Fernbedienungsrechner
- 4
- Bildschirm des Fernbedienungsrechners
- 5
- Netzwerk zur Datenübertragung
- 6
- lokaler Bildschirm
- 7
- lokaler Rechner
- 8
- lokale Bedienelemente
- 9
- Signiereinrichtung
- 10
- Programm zur Abfrage der Signatur
- 11
- Bedienprogramm
- 12
- Steuerungsprogramm mit sicherheitskritischem Prozess
- 13
- Steuerungssignal
- 14
- Druckmaschine
- 15
- Druckwerk
- 16
- Kommunikationsverbindung
- 17
- Steuerungsrechner der Druckmaschine
