DE102015209499A1

DE102015209499A1 - Maschinenwartung in der Getränkemittelindustrie

Info

Publication number: DE102015209499A1
Application number: DE102015209499.5A
Authority: DE
Inventors: Johann Zistler; Gerhard Zanner
Original assignee: Krones AG
Current assignee: Krones AG
Priority date: 2015-05-22
Filing date: 2015-05-22
Publication date: 2016-11-24
Also published as: WO2016188731A1

Abstract

Die Erfindung betrifft eine Vorrichtung zum Steuern eines Fernwartungszugriffs auf eine Maschine in der Getränkemittelindustrie. Eine Anfrage für eine Genehmigung einer Fernwartung einer Maschinenkomponente wird empfangen. Ein Genehmigungsmodul erlaubt das Erteilen einer Genehmigung, wobei die erteilte Genehmigung eine bestimmte entfernte Einheit und eine bestimmte Maschinenkomponente der Maschine für die Fernwartung identifiziert und bevorzugt eine Zeitangabe für die Fernwartung angibt. Es kann erforderlich sein, dass eine Anfrage einem vordefinierten Genehmigungsprozess entspricht. Ein Freischaltungsmodul zum Freischalten oder Blockieren einer Kommunikationsverbindung zwischen der bestimmten entfernten Einheit und der bestimmten Maschinenkomponente zur Fernwartung basierend auf der erteilten Genehmigung ist so konfiguriert, dass durch Freischalten eine Kommunikationsverbindung nur zwischen der bestimmten entfernten Einheit und der bestimmte Maschinenkomponente freigeschaltet wird. Die Fernwartung ist nur für die wenigstens eine Maschinenkomponente der Maschine durch die wenigstens eine entfernte Einheit mittels der freigeschalteten Kommunikationsverbindung durchführbar.

Description

Die vorliegende Erfindung betrifft eine Vorrichtung zum Steuern eines Fernwartungszugriffs auf eine Maschine in der Abfüllindustrie für flüssige Lebensmittel, insbesondere der Getränkemittelindustrie gemäß dem Oberbegriff des Anspruchs 1 und ein Verfahren zum Steuern eines Fernwartungszugriffs auf eine solche Maschine gemäß dem Oberbegriff des Anspruchs 8.
Stand der Technik
In der Getränkemittelindustrie wird eine Fernwartung oder ein Remote-Service zur Fernwartung von Maschinen oder Maschinenkomponenten typischerweise mittels einer Datenverbindung über ein externes Netzwerk, wie dem Internet, durchgeführt. Der Zugriff auf die Maschine oder die Maschinenkomponente erfolgt hierbei beispielsweise mittels eines Virtual Private Network (VPN) Tunnels, der eine gesicherte Verbindung zwischen der Maschine bzw. der Maschinenkomponente und einem Terminal zur Durchführung der Fernwartung bereitstellt. Das Terminal ist typischerweise ein Computer des Mitarbeiters, der die Fernwartung durchführt, beispielweise beim Hersteller der Maschine oder einer sonstigen entfernten Fernwartungsplattform. Der VPN-Tunnel wird dabei automatisch seitens der Fernwartungsplattform aufgebaut. Der verbindungsaufbau erfolgt ohne Einschränkung und erfordert keine aktiven Schritte seitens der Maschine oder eines Benutzers der Maschine. Einzige Voraussetzung für den Verbindungsaufbau ist eine Netzwerkverbindung der Maschine bzw. der Maschinenkomponente, welche typischerweise nur durch Herausziehens des Netzwerksteckers an der Maschine oder an einem Netzwerkrouter physikalisch getrennt werden kann. Trotzdem können Situationen auftreten, in denen (zeitlich begrenzt) ein Fernwartungszugriff auf die Maschine unerwünscht ist oder verhindert werden muss, beispielsweise zur Sicherstellung der Sicherheit von Mitarbeitern während eines lokalen Wartungsvorganges an der Maschine. Ein physikalisches Unterbrechen der Netzwerkverbindung durch Trennen der Hardware- oder Netzwerkkabel der Maschine oder des Routers, um einen Fernwartungszugriff auf die Maschine zu verhindern, kann jedoch die Funktionalitäten dieser Maschine beeinträchtigen, insbesondere wenn die Maschine für ihren Funktionsablauf auf eine Netzwerkkommunikation angewiesen ist.
Während die Möglichkeit eines Fernzugriffs auf Maschinen für den Betreiber der Maschinen den Vorteil hat, dass der Hersteller im Falle von Problemen oder Konfigurationsänderungen diese oft schneller und kostengünstiger durch eine Fernwartung zu lösen sind, so bestehen demnach auch Sicherheitsbedenken, beispielsweise in Bezug auf die Arbeitssicherheit von Angestellten, die sich in unmittelbarer Nähe zu einer Maschine aufhalten, auf die ein Fernzugriff durchgeführt wird. Weiterhin bestehen Sicherheitsbedenken hinsichtlich eines möglichen unerwünschten Zugriffs auf die Maschine, wie etwa eines Hackerangriffs durch Dritte, oder hinsichtlich eines unerwünschten Informationsabflusses von Produktionsdaten.
Aufgabe
Es ist somit die Aufgabe der Erfindung, eine verbesserte Vorrichtung und ein verbessertes Verfahren zum Steuern eines Fernwartungszugriffs auf eine Maschine in der Abfüllindustrie für flüssige Lebensmittel, insbesondere der Getränkemittelindustrie bereitzustellen, insbesondere hinsichtlich einer Möglichkeit der Kontrolle und Steuerung von Fernwartungszugriffen über ein externes Netzwerk seitens des Benutzers der Maschine.
Lösung
Diese Aufgabe wird erfindungsgemäß durch eine Vorrichtung zum Steuern eines Fernwartungszugriffs auf eine Maschine in der Abfüllindustrie für flüssige Lebensmittel, insbesondere der Getränkemittelindustrie gemäß Anspruch 1 und ein Verfahren zum Steuern eines Fernwartungszugriffs auf eine Maschine in der Abfüllindustrie für flüssige Lebensmittel, insbesondere der Getränkemittelindustrie gemäß Anspruch 8 gelöst. Vorteilhafte Ausführungsformen und Weiterbildungen sind Gegenstand der Unteransprüche.
Eine Ausführungsform der Erfindung betrifft eine Vorrichtung zum Steuern eines Fernwartungszugriffs auf eine Maschine in der Abfüllindustrie für flüssige Lebensmittel, insbesondere der Getränkemittelindustrie. Die Maschine umfasst wenigstens eine Maschinenkomponente. Die Maschinenkomponente ist dazu konfiguriert, eine Kommunikationsverbindung mit wenigstens einer entfernten Einheit zur Fernwartung der wenigstens einen Maschinenkomponente der Maschine einzurichten. Die Kommunikationsverbindung zwischen der entfernten Einheit und der Maschine kann über ein externes Netzwerk wie beispielsweise das Internet erfolgen. Die Vorrichtung ist so konfiguriert, eine Anfrage für eine Genehmigung einer Fernwartung von wenigstens einer bestimmten Maschinenkomponente empfangen zu können. Die Vorrichtung kann ferner ein Genehmigungsmodul zum Erteilen einer Genehmigung einer Fernwartung umfassen. Die erteilte Genehmigung identifiziert eine bestimmte entfernte Einheit und eine bestimmte Maschinenkomponente der Maschine für die Fernwartung. Bevorzugt kann eine Zeitangabe für die Fernwartung angegeben werden, so dass die Genehmigung nur in einem bestimmten Zeitraum oder für eine bestimmte Zeitdauer gültig ist. Die Anfrage kann bereits eine gewünschte oder vorgeschlagene Maschinenkomponente sowie eine entfernte Einheit umfassen.
entspricht.
Die Vorrichtung kann weiterhin ein Freischaltungsmodul zum Freischalten oder Blockieren einer Kommunikationsverbindung zwischen der bestimmten entfernten Einheit und der bestimmten Maschinenkomponente zur Fernwartung umfassen. Das Freischalten oder Blockieren basiert hierbei auf der erteilten Genehmigung. Dabei ist das Freischaltungsmodul so konfiguriert, dass durch das Freischalten eine Kommunikationsverbindung nur zwischen der bestimmten entfernten Einheit und der bestimmten Maschinenkomponente ermöglicht wird. Eine Fernwartung für die wenigstens eine Maschinenkomponente der Maschine kann dann mittels einer Fernzugriffs-Session unter Nutzung der freigeschalteten Kommunikationsverbindung durchgeführt werden. Somit hat der Betreiber oder Benutzer der Anlage jederzeit die Kontrolle darüber, wer wann auf welche Maschine von außerhalb zugreift. Durch vordefinierte Genehmigungsprozesse und/oder durch vordefinierbare Gruppen von Maschinenkomponenten, auf die sich Genehmigungsprozesse beziehen können, ist es gemäß einer weiteren Ausführungsform ferner möglich, Genehmigungen leichter und fehlerfrei zu erteilten, um so den Prozess der Erteilung einer Genehmigung für den Support bzw. die Fernwartung zu vereinfachen und fehlerunanfälliger zu gestalten.
Gemäß einer weiteren Ausführungsform können für die wenigstens eine Maschinenkomponente ein oder mehrere Genehmigungsprozesse definiert werden. Ein solcher Genehmigungsprozess kann mehrere Angaben vordefinieren, wie etwa eine eindeutigen Kennung (Identifikator), eine Bezeichnung des Genehmigungsprozesses, eine Liste von festen Ansprechpartnern, die Option, weitere Ansprechpartner nach Bedarf hinzuzufügen, oder eine Einstellung, ob der entsprechende Genehmigungsprozess dauerhaft erteilt wurde und keine weitere explizite Erteilung durch den Betreiber der Anlage erfordert. Die Definition eines Genehmigungsprozesses kann auch eine Festlegung von einer Maschinenkomponente oder einer Gruppe von Maschinenkomponenten umfassen. Es kann beispielsweise festgelegt werden, dass eine Genehmigung eines Fernwartungszugriffs nur erteilt wird, wenn sie einem vordefinierten Genehmigungsprozess entspricht. Dies erhöht weiterhin die Sicherheit des Fernwartungsprozesses.
Gemäß einer weiteren Ausführungsform umfasst die Genehmigung weiterhin einen Zeitraum für die Fernwartung. Das Freischaltungsmodul ermöglicht die Kommunikationsverbindung für die Fernwartung nur während dieses Zeitraums. Ein solcher Zeitraum kann beispielsweise aus einer Liste von festen Werten ausgewählt werden, aber auch manuell festgelegt werden. Beispielsweise kann lediglich eine feste Dauer, wie etwa 2h, 6h, 12h, 72h, etc., angegeben werden, oder auch der Beginn und das Ende des Zeitraums. Vorteilhafterweise ist dabei keine Zeit vorgegeben, so dass der genehmigungsberechtigte Anwender die Einstellung explizit vornehmen muss, womit eine versehentliche Genehmigung verhindert werden kann.
Gemäß einer weiteren Ausführungsform kann der Zeitraum einer erteilten Genehmigung auch nach der Erteilung verändert werden. Eine solche Veränderung kann durch einen berechtigten Anwender beim Betreiber der Maschine explizit über ein Interface der Vorrichtung zur Steuerung des Fernwartungszugriffs vorgenommen werden, und/oder der Zeitraum wird beendet, sobald eine Verbindung zur Fernwartung beendet wird, beispielsweise dadurch, dass ein Service-Mitarbeiter des Herstellers der Maschine nach Abschluss einer Session zur Durchführung einer Fernwartung die Kommunikationsverbindung beendet, was durch ein Ausloggen aus der Maschinenkomponente oder durch Beenden einer Computersteuersoftware, welche zur Durchführung der Fernwartung verwendet wurde, erfolgen kann. Weiterhin kann ein Administrator berechtigt sein, die Kommunikationsverbindung zu unterbrechen.
Gemäß einer weiteren Ausführungsform umfasst die Genehmigung für die Fernwartung weiterhin mindestens eine Bedingung. Die Fernwartung wird dann erst nach Erfüllung dieser Bedingung tatsächlich freigeschaltet. Ein Beispiel einer solchen Bedingung ist, dass eine Bestätigung der Fernwartung durch einen Anwender mittels eines Human-Machine-Interfaces (HMI) direkt an der Maschine erfolgen muss, für welche die Fernwartung an mindestens einer Maschinenkomponente bedingt genehmigt ist. Dies könnte beispielsweise notwendig sein, um Arbeitssicherheitserfordernissen von Personen, die in unmittelbarer Nähe der Maschine aufhalten, zu genügen. Weiterhin kann es wünschenswert sein, dass eine bestimmte Person, wie ein Techniker oder Ingenieur des Kunden, der die Maschine betreibt, während der Fernwartung direkt vor Ort bei der Maschine ist, und dass die Fernwartung erst beginnen kann, wenn die bestimmte Person tatsächlich dort ist, und/oder nachdem beispielsweise eine Abdeckung geöffnet wurde. So können beispielsweise Beobachtungen an der Maschine oder der Maschinenkomponente vorgenommen werden, indem beispielsweise nach Augenschein oder Gehör festgestellt wird, ob oder wie sich elektrische oder mechanische Elemente der Maschine verhalten.
Gemäß einer weiteren Ausführungsform sendet die Vorrichtung nach dem Eingang einer Anfrage eine Anfragegenehmigungsnachricht über die Anfrage an mindestens eine bestimmte, zuständige Person. In einem solchen Genehmigungsprozess können die Person oder deren Kontaktinformationen, wie beispielsweise eine Emailadresse, festgelegt sein. Um eine versehentliche Genehmigung beispielsweise durch eine automatische Email-Antwort zu verhindern, kann die Benachrichtigung einen Genehmigungsschlüssel in einem vordefinierten Format umfassen, durch den die Anfrage und/oder der Genehmigungsprozess, d.h. die Art der Fernwartung sowie auf welchen Maschinenkomponenten die Fernwartung durchgeführt werden soll, eindeutig identifizierbar ist. Dieser Genehmigungsschlüssel kann in einer Benachrichtigung über die Anfrage, die an genehmigungsberechtigte Personen gesendet werden kann, so enthalten sein, dass er nicht unmittelbar gültig ist. Statt dessen ist es erforderlich ist, dass die Person den Genehmigungsschlüssel in einer Antwort auf die Anfragegenehmigungsnachricht erst modifizieren muss, um zu veranlassen, dass die Genehmigung nach Empfang der Antwort mit einem gültigen Genehmigungsschlüssel von der Vorrichtung erteilt wird. Dieses Modiziteren kann manuell erfolgen, beispielsweise mittels Kopierens mehrerer voneinander getrennter Teile und anschließendem Zusammensetzens der kopierten Teile zu dem gültigen Genehmigungsschlüssel. Entsprechend wird, auf eine eingehende Anfrage hin, an den oder die zuständigen Ansprechpartner von der Vorrichtung beispielsweise eine Email geschickt, die entsprechend einem konfigurierbaren Template ein oder mehrere Platzhalter für beispielsweise den Namen des zuständigen Ansprechpartners beim Betreiber der Maschine, den Namen eines Mitarbeiters des Herstellers, eine Kommissionsnummer und/oder den Namen der Maschine oder Maschinenkomponente oder eine gewünschte Dauer für den Freigabezeitraum umfasst. Weiterhin kann in der Email der Genehmigungsschlüssel enthalten sein, der aus mindestens 24 alphanumerischen Zeichen bestehen kann. Dieser Genehmigungsschlüssel kann in der Email über die eingegangene Anfrage beispielsweise in mehrere Teile aufgeteilt sein, wodurch die Genehmigungsanfrage und/oder ein zugrundeliegender, vordefinierter Genehmigungsprozess eindeutig identifizierbar ist. Dennoch ist der Genehmigungsschlüssel in diesem Format nicht gültig, um eine Genehmigung zu erteilen. Die Aufteilung kann gemäß einer weiteren Ausführungsform durch ein oder mehrere lesbare Markierungen erfolgen, oder es kann ein Hinzufügen oder ein Ändern von ein- oder mehreren bestimmten Zeichen des Genehmigungsschlüssels erforderlich sein. Wenn eine Genehmigung erteilt wird, muss der in mehrere Teile aufgeteilte oder anderweitig noch nicht gültige Genehmigungsschlüssel zunächst manuell in einen zusammenhängenden, gültigen Genehmigungsschlüssel umgewandelt werden, beispielsweise durch Entfernen der Markierungen. Nur ein solcher zusammenhängender Schlüssel ist gültig, das heißt, nur wenn die Antwort-Email des zuständigen Ansprechpartners tatsächlich so bearbeitet wurde, dass sie einen gültigen d.h. zusammenhängenden Genehmigungsschlüssel enthält, wird die Genehmigung vom Genehmigungsmodul erteilt.
Gemäß einer weiteren Ausführungsform sind für die Maschine ein oder mehrere Genehmigungsprozesse konfigurierbar. Ein Genehmigungsprozess ist eine Definition, mit der festgelegt wird, wer auf welche Maschinenkomponente Remote-Zugriff über eine Kommunikationsverbindung von einer entfernten Einheit aus bekommen kann. Ein definierter Genehmigungsprozess ermöglicht es, dass Fernwartungen kontrolliert, d.h. mit Wissen und Zustimmung des Betreibers der Maschine durchgeführt werden. Ein solcher vorkonfigurierter Genehmigungsprozess kann den oder die Namen von Ansprechpartner(n) beim Hersteller der Maschine, die für die Durchführung einer Fernwartung in Frage kommen, umfassen, sowie die mindestens eine Maschinenkomponente festlegen, die von einer Fernwartung entsprechend eines solchen vorkonfigurierten Genehmigungsprozesses betroffen sind. Weiterhin kann der Genehmigungsprozess den oder die genehmigungsberechtigten Ansprechpartner beim Betreiber der Maschine umfassen, die befugt sind, eine Genehmigung für diese Maschinenkomponente zu erteilen. Optional können auch Personen im Genehmigungsprozess hinterlegt sein, die über einen entsprechenden Antrag für eine Genehmigung einer Fernwartung informiert werden sollen, die aber nicht genehmigungsberechtigt sind. Als zusätzliche Option ist es möglich, dass in dem Genehmigungsprozess auch noch die Steuerkommandos, die im Rahmen der entsprechenden Fernwartung zulässig sind, festgelegt werden. Dies kann durch eine positive Auswahl von zulässigen Kommandos und/oder ansteuerbaren Funktionen der Maschinenkomponente geschehen. Alternativ können auch lediglich bestimmte Kommandos oder Funktionen als unzulässig gesperrt werden, die dann durch das Freischaltungsmodul blockiert oder ausgefiltert werden. So kann beispielsweise verhindert werden, dass durch Kommandos, die im Rahmen einer Fernwartung gesendet werden, ein Roboterarm gesteuert wird, was aufgrund von Sicherheitsrichtlinien nicht zulässig ist. Oder es kann verhindert werden, dass durch eine Fernwartung eine Pumpe oder eine Belüftungsvorrichtung an- oder abgeschaltet wird, was ebenfalls aus Sicherheitsgründen nicht erwünscht sein kann. Somit können auch für eine bestimmte Maschinenkomponente unterschiedliche Genehmigungsprozesse mit unterschiedlichen Möglichkeiten in Bezug auf die ausführbaren Aktionen definiert werden. Ein Genehmigungsprozess kann über das Benutzerinterface der Vorrichtung definiert, erstellt oder geändert werden. Optional kann ein Genehmigungsprozess auch direkt über das HMI einer Maschine oder Maschinenkomponente erstellt oder bearbeitet werden. Dies ist vorteilhaft, da der Genehmigungsprozess dann direkt vor Ort an der entsprechenden Maschine festgelegt wird, wobei es beispielsweise auch einfach möglich ist, die zulässigen oder die unzulässigen Funktionen auszuwählen, ohne etwas zu übersehen. Um die Definition von Genehmigungsprozessen für mehr als eine Maschinenkomponente oder auch für mehrere Maschinen, die jeweils ein oder mehrere Maschinenkomponenten umfassen, zu erleichtern, können Genehmigungsprozesse für definierte Gruppen von Maschinen und/oder Maschinenkomponenten festgelegt werden. Eine Option zur Bearbeitung der Definition von Gruppen von Maschinenkomponenten kann über ein Benutzerinterface mittels Drag and Drop erfolgen. Dabei sind sämtliche Maschinenkomponenten der industriellen Anlage in dem Benutzerinterface enthalten und können zwischen den Gruppen verschoben werden. Eine Gruppe umfasst eine editierbare Bezeichnung. Enthält eine Gruppe keine Maschinenkomponenten mehr, wird sie entfernt. Wird eine symbolische Darstellung einer Maschinenkomponente auf ein Feld „Neue Gruppe erstellen“ gezogen, so wird beim loslassen (drop) eine neue Gruppe mit der entsprechenden Komponente erstellt. Ein explizites Speichern ist nicht notwendig, sondern Änderungen werden automatisch gespeichert. Wenn es möglich sein soll, dass für einen Genehmigungsprozess Ansprechpartner auch manuell hinzugefügt werden, so ist dies eine beispielsweise durch eine Checkbox auswählbare Option. Für jede Anlage, die ein oder mehrere Maschinen umfasst, kann ein spezieller Genehmigungsprozess definiert sein, der nicht gelöscht werden kann, und der keine Ansprechpartner enthält. Für diesen Genehmigungsprozess ist die Genehmigung dauerhaft gültig.
Wenn, gemäß dieser Ausführungsform, eine Genehmigung entsprechend eines definierten Genehmigungsprozesses erteilt wird, so kann die erteilte Genehmigung mit der Liste der Maschinenkomponenten gespeichert werden, die bei der Erteilung der Genehmigung in der Gruppe enthalten waren. Der Genehmigungsprozess kann sich hierbei auch auf eine Gruppe von Maschinenkomponenten beziehen. Dies stellt sicher, dass eine Genehmigung, die beispielsweise erst für einen späteren Zeitraum gilt, nicht durch eine Veränderung der Gruppe zwischen der Erteilung und dem Beginn der Freischaltung noch verändert werden kann.
Gemäß einer weiteren Ausführungsform umfasst die Vorrichtung weiterhin ein Mittel zur Protokollierung, womit Details bezüglich der Maschine oder Maschinenkomponente, dem Gerät von dem aus die Fernwartung erfolgt, Informationen zu tatsächlich übertragenen Daten und Steuerbefehlen, ein Beschreibungstext zu der durchgeführten Fernwartung oder Informationen zum Betriebszustand der Maschinenkomponente oder der Maschine usw. aufgezeichnet werden.
Gemäß einer weiteren Ausführungsform ist die Genehmigung nach dem Empfang der Anfrage nur während einer vordefinierten Zeitspanne durch die Genehmigungsvorrichtung erteilbar. Dadurch kann sichergestellt werden, dass nicht versehentlich eine gar nicht mehr benötigte Fernwartung aufgrund einer veralteten Anfrage freigegeben wird.
Eine weitere Ausführungsform der Erfindung betrifft ein Verfahren zum Steuern eines Fernzugriffs für eine Fernwartung für eine Maschine in der Getränkemittelindustrie. Die Maschine kann hierbei eine Kommunikationsverbindung mit wenigstens einer entfernten Einheit zur Fernwartung wenigstens einer Maschinenkomponente der Maschine einrichten. Die Kommunikationsverbindung zwischen der entfernten Einheit und der Maschine kann insbesondere über ein externes Netzwerk aufgebaut werden. Das Verfahren umfasst ein Empfangen einer Anfrage für eine Genehmigung eines Fernwartungszugriffs auf wenigstens eine Maschinenkomponente der Maschine, sowie ein Erteilen der Genehmigung des Fernwartungszugriffs. Die erteilte Genehmigung identifiziert eine bestimmte entfernte Einheit und die wenigstens eine Maschinenkomponente der Maschine für den Fernwartungszugriff. Weiterhin kann die erteilte Genehmigung eine Zeitangabe für den Fernwartungszugriff enthalten. Basierend auf der erteilten Genehmigung wird eine Kommunikationsverbindung zwischen der bestimmten entfernten Einheit und der die wenigstens eine Maschinenkomponente blockiert oder freigeschaltet. Die Kommunikationsverbindung wird hierbei nur zwischen der bestimmten entfernten Einheit und der wenigstens einen Maschinenkomponente, die in der erteilten Genehmigung identifiziert sind, freigeschaltet. Eine Fernwartung für die wenigstens eine Maschinenkomponente der Maschine durch die wenigstens eine entfernte Einheit ist nur mittels einer freigeschalteten Kommunikationsverbindung durchführbar.
Weitere Merkmale und Vorteile der Erfindung werden nachfolgend anhand der beispielhaften Figuren erläutert. Es zeigen:
1 ein System mit einer Vorrichtung zur Steuerung eines Fernwartungszugriffs auf eine Maschine in der Getränkemittelindustrie, durch welche der Remote-Zugriff von einem Hersteller oder Service-Anbieter über ein Netzwerk auf eine Maschinen und/oder Maschinenkomponenten bei einem Betreiber derselben ermöglicht wird;
2 einen Verfahrensablauf, über den ein Kunde oder auch ein Hersteller eine Genehmigung für eine Fernwartung erhalten kann;
3 Zustände von ein oder mehreren (Kommunikations-)Sessions, die im Rahmen einer genehmigten Fernwartung durchlaufen werden, während der sich beispielsweise ein Mitarbeiter des Herstellers kommunikativ mit ein oder mehreren Maschinenkomponenten beim Betreiber der Maschine über ein Netzwerk verbindet;
4 einen Verfahrensablauf für die Steuerung eines Fernwartungszugriffs vom Empfang einer Anfrage über die Erteilung einer Genehmigung inklusive Identifikation einer bestimmten entfernten Einheit und einer bestimmten Maschinenkomponente der Maschine sowie optional einer Zeitangabe für die Fernwartung, bis zur Freischaltung der Kommunikationsverbindung entsprechend der Genehmigung.
Hierbei werden die Ausführungsformen der Erfindung anhand eines Fernwartungszugriffs auf eine oder mehrere Maschinen in der Getränkemittelindustrie beschrieben. Jedoch sind die beschriebenen Ausführungsformen und Beispiele nicht auf die Getränkemittelindustrie beschränkt, sondern betreffen allgemein die Abfüllindustrie und die Abfüllung flüssiger oder fließender Güter, wie beispielsweise flüssige Lebensmittel wie Speiseöle oder Soßen. 1 zeigt eine beispielhafte Ausführungsform eines Systems 100, in dem eine Vorrichtung 150 zur Steuerung eines Fernwartungszugriffs auf eine Maschine 132 in der Getränkemittelindustrie eingesetzt werden kann. Die Vorrichtung 150 befindet sich an einem Standort des Betreibers der Maschine, welcher oftmals ein Kunde 130 des Herstellers 110 ist, und wird durch ein oder mehrere vordefinierte Ansprechpartner beim Betreiber kontrolliert. Durch die Vorrichtung 150 wird Kommunikation nach außerhalb beispielsweise eines Standortes eines Betreibers, an dem die Maschine installiert ist, auf genau kontrollierte Art und Weise gesteuert. Die Ansprechpartner beim Kunden können eingegangene Anfragen, die beispielsweise von einem Empfangsmodul 154 empfangen wurden, sehen und gegebenenfalls die Erteilung einer Genehmigung veranlassen. Dazu können sich die definierten Ansprechpartner des Betreibers der Maschine über ein Gerät, welches eine Benutzerschnittstelle 152 zur Verfügung stellt, mit der Vorrichtung 150 verbinden und entsprechend der Anfrage sowie optional auch entsprechend von vordefinierten, gespeicherten Vorgaben weitere Details für eine Kommunikation zur Durchführung der Fernwartung festlegen und dann eine Genehmigung erteilen. Die Festlegung der Details erfolgt mittels eines Genehmigungsmoduls 156, wodurch beispielsweise Einstellungen bezüglich der Kommunikationsverbindung gespeichert und auf Richtigkeit gemäß von vordefinierbaren Regeln überprüft werden können. Die Einstellungen umfassen dabei eine Identifikation einer entfernten Einheit, von der aus die Fernwartung mittels eines Remote-Zugriffs vorgenommen werden soll, sowie eine Identifikation der genauen Maschine beziehungsweise von wenigstens einer bestimmten Maschinenkomponente, für die die Fernwartung erforderlich ist. Solche Einstellungen, die mindestens eine Identifikation einer Quell-Adresse, von der aus die Fernwartung durchgeführt wird, und eine Identifikation von ein oder mehreren Ziel-Adressen der wenigstens einen bestimmten Maschinenkomponente können als ein Genehmigungsprozess vorkonfiguriert und gespeichert werden. Es kann erforderlich sein, dass eine Kommunikationsverbindung für eine Fernwartung nur dann freigegeben wird, wenn die Einstellungen einem der vordefinierten Genehmigungsprozesse entsprechen. Weiterhin kann eine Zeitangabe angegeben werden, in der die Fernwartung erfolgen kann, wodurch die Genehmigung eine zeitlich begrenzte Gültigkeit hat. Für die zeitlich begrenzte Gültigkeit kann ein Zeitraum angegeben werden, oder anstelle des Zeitraumes mit einer Startzeit und einer Endzeit kann auch lediglich eine Gültigkeitsdauer festgelegt werden, wobei die Zeit für die Gültigkeit dann ab dem Start einer Session eines tatsächlichen Remote-Zugriffs läuft. Wie weiter unter beschrieben kann die Genehmigung auch mit ein oder mehreren Bedingungen verknüpft sein. Die Identifikation der Maschine 132 und/oder der wenigstens einen Maschinenkomponente 134 kann eine oder mehrere Ziel-Adressen und/oder ein oder mehrere bestimmte physikalische oder logische Zugangsschnittstellen 136, wie beispielsweise Ports im Rahmen des Internetprotokolls (IP) umfassen. Die Ziel-Adresse(n) können dabei durch ein oder mehrere IP-Adressen oder auch über Identifikationsnummern wie beispielsweise eine global eindeutige Geräteidentifikationsnummer oder einer Gerätekennung festgelegt werden. Eine Maschine, die keine weiteren (logischen) Maschinenkomponenten umfasst, kann als eine Maschinenkomponente angesehen werden. Weiterhin umfasst die Genehmigung eine Festlegung einer Quell-Adresse, von der aus, d.h. von welchem Anwender oder von welchem Gerät aus die Kommunikation zur Fernwartung erfolgen darf. Dies kann durch die Festlegung einer IP-Adresse des Herstellers oder Service-Anbieters 110 erfolgen, oder auch durch die Festlegung einer bestimmten IP-Adresse oder einer Identifikationsnummer einer Einheit wie beispielsweise einem Computer 114 oder einer Virtual Machine eines Service-Mitarbeiters erfolgen. Ein Service-Mitarbeiter des Herstellers kann dabei unter Umständen auch unter einer anderen IP-Adresse als der IP-Adresse des Herstellers zu finden sein, beispielsweise wenn sich der betreffende Service-Mitarbeiter mit einer entsprechenden mobilen Einheit 112 wie einem Notebook außerhalb seines Unternehmensstandorts befindet. Eine andere Möglichkeit kann die Identifikation der Quell-Adresse über eine Festlegung eines bestimmten Service-Mitarbeiters oder eines Service-Teams darstellen, beispielsweise durch eine bestimmte Zugangskennung oder einen bestimmten login-Namen. Eine Fernwartung erfolgt mittels einer kommunikativen Verbindung über ein Netzwerk 120 wie beispielsweise dem Internet.
Die Kommunikation von der Vorrichtung 150 über das Netzwerk 120 außerhalb beispielsweise eines internen Netzwerks 138 am Standort des Betreibers 130 kann dabei verschlüsselt erfolgen, beispielsweise über ein Virtual Private Network (VPN) oder entsprechend der Internet Protocol Security (IPsec) oder mittels Security Sockets Layer (SSL) verschlüsselt. Eine Ausführungsform des Freischaltungsmoduls 158 kann beispielsweise einen Network Address Translation(NAT)-Router umfassen, der dynamisch so konfiguriert wird, dass Kommunikation nur zwischen dem bestimmten Gerät beim Hersteller und den bestimmten Maschinenkomponenten beim Kunden möglich ist, wobei der NAT-Router dynamisch so konfiguriert werden kann, dass ein Zugriff erst mit dem Beginn einer definierten Zeitspanne freigeschaltet wird, und bei Ablauf der definierten Zeitspanne wieder gesperrt wird.
Entsprechend dem Open Systems Interconnection Model, dem OSI-Modell, kann die Freischaltung auf der Transportschicht (Schicht 4) oder einer höheren Schicht erfolgen.
Die Benutzerschnittstelle 152 der Vorrichtung 150 kann dabei beispielsweise eine Auswahl der folgenden Merkmale umfassen. Die Benutzerschnittstelle 152 beziehungsweise die Teile der Vorrichtung 150, die mit Benutzern und Anfragen interagieren, können auch als Management-Plattform bezeichnet werden. Eingegangene und noch nicht bearbeitete Anfragen für Genehmigungen zu einer Fernwartung einer Maschinenkomponente 134 werden angezeigt, wobei eine Anfrage beispielsweise einen begleitenden Text zur Erläuterung beinhalten kann, und wobei die Benutzerschnittstelle 152 die Möglichkeit bietet, die Genehmigung konkret festzulegen, oder auch die Genehmigung abzulehnen. Eine Fernwartung findet dabei nur zwischen der in der Genehmigung festgelegten Quell-Adresse des Herstellers und der oder den Ziel-Adresse(n) der Maschine 132 oder Maschinenkomponenten 134 beim Betreiber der Maschine statt, da das Freischaltungsmodul 158 nur Kommunikation zwischen Quell-Adresse und Ziel-Adresse(n) zulässt. Optional kann diese Freischaltung auch nur als zeitlich abgeschlossene Kommunikationssitzung oder Session erfolgen. Die Benutzerschnittstelle 152 kann genehmigte und geplante, d.h. zukünftige Sessions anzeigen und optional auch eine nachträgliche Veränderung dieser geplanten Sessions ermöglichen. Weiterhin können ein oder mehrere gerade aktive Sessions angezeigt werden; auch hier ist eine nachträgliche Veränderung von Details beispielsweise durch einen der vordefinierten Ansprechpartner jederzeit möglich. Falls sich herausstellt, dass eine Fernwartung länger dauert, kann der Zeitraum verlängert werden. Oder eine Genehmigung und die entsprechende aktive Session kann verkürzt oder sofort beendet werden, wenn dies erforderlich wird. Weiterhin können bereits beendete Sessions angezeigt werden. Fernwartungssessions können protokolliert werden und ein aufgezeichnetes Protokoll kann ganz oder teilweise angezeigt werden. Weiterhin können abgelehnte Anfragen oder ungültige Anfragen oder unzulässige Zugriffsversuche protokolliert werden.
Auf einem Dashboard bzw. auf der Benutzerschnittstelle (wie dem HMI) der Maschine 132 oder der Maschinenkomponente 134 können die letzten Fernwartungssessions angezeigt werden; aktive Sessions können in der Anzeige hervorgehoben werden. Je nach Gestaltung des Benutzerinterface können beispielsweise die letzten 5 Sessions angezeigt werden, oder es kann eine scrollbare Liste angezeigt werden. Im Rahmen eines genehmigten Fernwartungszugriffs können dabei auch mehrere Sessions erfolgen, beispielsweise mehrere abgeschlossene Sequenzen von Starten einer Session, Ausführen von Kommandos und Beenden der Session und der Verbindung, oder durch mehrere parallel durchgeführte Sessions beispielsweise mit mehreren Softwaretools.
Gemäß einer weiteren Ausführungsform wird die verbleibende Restdauer einer Genehmigung beim Hersteller oder Service-Anbieter 110 angezeigt. Vor Ablauf der Zeit kann ein Bediener einer aktuellen Session, wie beispielsweise ein Service-Mitarbeiter, auf das baldige Ende des Zeitraums für die Fernwartung aufmerksam gemacht werden. Dies kann beispielsweise durch ein Pop-up auf dem Bildschirm des Bedieners geschehen, und/oder eine SMS kann automatisch an den Bediener gesendet werden. Eine solche Information kann zu einer vordefinierten Zeit vor dem Ende des Zeitraums erfolgen, also beispielsweise 15 Minuten vor Ablauf des Zeitraums. Ein Pop-up soll nicht versehentlich geschlossen werden können, und es soll keine Tastatureingaben abfangen, was den Arbeitsablauf des Bedieners stören würde. Ist die Zeit abgelaufen, so wird die Kommunikationsverbindung getrennt.
Gemäß einer Ausführungsform kann die Genehmigung für die Fernwartung weiterhin eine Bedingung umfassen, wobei die Fernwartung erst nach Erfüllung dieser Bedingung tatsächlich freigeschaltet wird. Eine solche Bedingung kann beispielsweise sein, dass die Maschine 132 oder Maschinenkomponente 134 in einem bestimmten Betriebszustand sein muss. Weiterhin kann eine Bedingung erfordern, dass eine Bestätigung der Fernwartung durch einen Anwender mittels der Benutzerschnittstelle an der Maschine 132 oder Maschinenkomponente 134 erfolgt, bevor die Fernwartung tatsächlich beginnen kann. Der Anwender, der die Fernwartung an der Benutzerschnittstelle bestätigt, muss dabei nicht derselbe sein wie der Anwender, der die Genehmigung für die Fernwartung erteilt hat. Beispielsweise kann ein Ingenieur oder Linienmanager eine Fernwartung freigeben; ein Techniker an der laufenden Maschine 132 wird durch die Benutzerschnittstelle der Maschine informiert und muss an der Benutzerschnittstelle den Fernzugriff bestätigen, was aus Gründen der Arbeitssicherheit wichtig sein kann. Ein weiteres Szenario kann sein, dass ein Ingenieur die Fernwartung durch die Benutzerschnittstelle 152 der Vorrichtung 150 freigibt, wobei der Zugriff des Service-Mitarbeiters erst starten soll, wenn der Ingenieur tatsächlich an der Maschine 132 ist, und wobei der Ingenieur eine gewisse Zeit für die Wegstrecke zur Maschine benötigt. So kann beispielsweise sichergestellt werden, dass auf der Maschine 132 gerade kein kritischer Prozess läuft, oder es kann eine Beobachtung und/oder telefonisches Feedback zum Service-Mitarbeiter während des Fernwartungszugriffs erfolgen.
Gemäß einer weiteren Ausführungsform können durch die Benutzerschnittstelle 152 oder durch die Vorrichtung 150 für verschiedene Fernwartungsmöglichkeiten jeweils ein oder mehrere Maschinen 132 und/oder ein oder mehrere Maschinenkomponenten 134 mit entsprechenden verantwortlichen Ansprechpartnern beim Kunden sowie beim Hersteller festgelegt sein. Weiterhin kann definiert werden, dass Genehmigungen Parameter umfassen, wodurch für vordefinierte Gruppen von Maschinenkomponenten 134 und/oder bestimmten Aktionen, die im Rahmen einer entsprechenden Fernwartung durchgeführt werden dürfen, festgelegt sind. Solche Vorgaben zu Genehmigungen können von berechtigten Mitarbeitern des Kunden eingerichtet und bearbeitet werden. Es kann auch möglich sein, dass ein oder mehrere vorgegebene Genehmigungen permanent und nicht durch Mitarbeiter des Kunden veränderbar definiert sind. Die Vorrichtung 150 kann eine eingehende Anfrage daraufhin überprüfen, ob die Anfrage einer der vordefinierten Genehmigungen entspricht; falls nicht, kann die Anfrage automatisch abgelehnt werden. Bei einer automatischen Ablehnung können sowohl derjenige, der die Anfrage gestellt hat, als auch die berechtigten Mitarbeiter des Kunden benachrichtigt werden; gegebenenfalls kann eine solche Anfrage dennoch bearbeitet werden, so dass nach Festlegung von korrekten und gültigen Parametern eine Genehmigung erteilt wird. Wenn eine Genehmigung erteilt wird, kann eine Benachrichtigung über die Genehmigung für die Fernwartung mittels einem oder mehrerer Übertragungsprotokolle von der Vorrichtung 150 an eine vordefinierte Adresse, die einer Person zugeordnet ist, welche die Fernwartung durchführt, übertragen werden. Übertragungsprotokolle können beispielsweise E-Mail, SMS, MMS, eine Nachricht an eine Computersoftware, welche für den Remote-Zugriff zum Zweck der Fernwartung eingesetzt wird, einer Internetseite oder eine Nachricht, die an eine App auf einem Smartphone gesendet wird, umfassen. Gemäß einer weiteren Ausführungsform können auch Personen beim Kunden, die beispielsweise für eine Maschine 132 oder Maschinenkomponente 134 zuständig sind, benachrichtigt werden, da diese Personen andere sein können als die Personen, die für die Erteilung von Genehmigungen berechtigt sind. Optional kann auch eine Kommunikation in einem geeigneten Format zwischen der Maschine 132 oder der Maschinenkomponenten 134 gesendet werden, für die die Fernwartung erfolgen soll; dies kann notwendig sein, um beispielsweise eine bedingte Genehmigung zu ermöglichen, wobei die Freischaltungsvorrichtung 158 Informationen zum Betriebszustand der Maschine 132 oder der Maschinenkomponente 134 prüfen muss, oder um durch ein HMI, das mit der Maschine 132 oder Maschinenkomponente 134 verbunden ist, eine Bestätigung für die den tatsächlichen Beginn der Freischaltung abzufragen. Eine solche Freischaltung kann dabei durch eine einfache Bestätigung, oder durch die Eingabe eines Sicherheitscodes o.ä. erfolgen. Ein solcher Sicherheitscode kann fest vordefiniert sein, oder für eine bestimmte Genehmigung für eine Fernwartung in den Parametern definiert werden.
Die Vorrichtung 150 kann in Form von Hardwaremodulen, Softwaremodulen oder als Kombination von Hardware- und Softwaremodulen implementiert sein.
Gemäß einer weiteren Ausführungsform kann eine Anfrage für die Fernwartung von einem Gerät innerhalb des internen Netzwerks 138 des Kunden ausgehen, indem sich die Maschine 132 oder Maschinenkomponente 134 befindet. Weiterhin kann eine Anfrage direkt über eine Benutzerschnittstelle an der Maschine 132 oder Maschinenkomponente 134 gestellt werden. Weiterhin kann eine Anfrage über die Benutzerschnittstelle 152 der Vorrichtung 150 gestellt werden. Neben solchen Fällen, in denen die Anfrage vom Betreiber der Maschine initiiert wird, kann eine Anfrage auch vom Hersteller oder einem Service-Anbieter 110 gestellt werden, wenn beispielsweise aufgrund einer Datenpunktauswertung eine präventive Fernwartung sinnvoll erscheint, und/oder wenn beispielsweise eine Softwareaktualisierung für eine Maschine 132 oder Maschinenkomponente 134 durchgeführt werden soll. Eine Anfrage kann durch ein oder mehrere Übertragungsprotokolle erfolgen, welche beispielsweise E-Mail, SMS, MMS, eine Nachricht einer Computersoftware, einer Internetseite, einer Nachricht, die durch eine App auf einem Smartphone erzeugt wurde usw. umfassen. Eine Anfrage kann Informationen zu einem gewünschten Zeitraum für eine Durchführung der Fernwartung enthalten. Die Genehmigung kann für den gewünschten Zeitraum oder auch für einen abweichenden Zeitraum erteilt werden. Als Sonderfall ist es auch möglich, dass eine Genehmigung dauerhaft erteilt wird, d.h. dass die entsprechende Genehmigung unbegrenzt gültig ist.
Gemäß einer weiteren Ausführungsform kann die Vorrichtung 150 ein Mittel zur Protokollierung umfassen, wobei ein oder mehrere der folgenden Informationen protokolliert werden. Die Identifikation der Maschine 132, die Identifikation des Herstellers oder des Service-Anbieters 110, eine Identifikation des Mitarbeiters, der eine Fernwartung durchführt, eine Identifikation des bestimmten Geräts außerhalb des internen Netzwerks 138, von dem aus die Kommunikation für die Fernwartung erfolgt, die Quell-IP-Adresse, eine Identifikation der mindestens einen Maschinenkomponente 134, für welche die Fernwartung durchgeführt wird, die Ziel-IP-Adresse, eine Identifikation der Zugangsschnittstelle 136, der festgelegte Zeitraum für die Fernwartung, die Zeiten, in denen tatsächlich Kommunikation erfolgt ist, die Arten der Fernwartung, das Kommunikationsvolumen in beide Richtungen, mindestens Teile der gesamten Kommunikation, Zeitpunkt des Eingangs der Anfrage, Informationen über das Gerät, von dem die Anfrage ausgegangen ist, Zeitpunkt der Genehmigung der Anfrage, Informationen über das Gerät, von dem die Anfrage genehmigt wurde, Informationen zum Benutzer, der die Genehmigung erteilt hat, Informationen zu Fernwartungsversuchen, bei denen der Zugriff nicht erfolgreich war, ein Beschreibungstext zu einer durchgeführten Fernwartung, oder Informationen zum Betriebszustand der Maschinenkomponente 134 oder der Maschine 132, usw..
Gemäß einer weiteren Ausführungsform können in Genehmigungsprozessen vorkonfigurierte Genehmigungen bestimmte mögliche Fernwartungsarten mit definierten Steuerungsmöglichkeiten umfassen. Das Freischaltungsmodul 158 beschränkt die Kommunikationsverbindung auf ein oder mehrere definierte Maschinenkomponenten 134 der Maschine 132, und/oder auf ein oder mehrere physikalische oder logische Zugangsschnittstellen oder Ports 136 der Maschinenkomponenten 134. Optional kann die Freischaltungsvorrichtung die Kommunikation zusätzlich auf bestimmte während der Fernwartung ausführbare Funktionen beschränkt. Beispielsweise kann eine Kalibrierungsroutine gesperrt sein, oder bestimmte Parameter der Maschine können im Rahmen der Fernwartung nicht verändert werden. Weiterhin können bestimmte Steuerbefehle gesperrt sein, wie beispielsweise Steuerbefehle, mit denen die Bewegung eines Roboterarms oder eine Betätigung eines Ventils gesteuert wird; solche Steuerbefehle können beispielsweise aufgrund von Sicherheitsrichtlinien nicht im Rahmen eines Remote-Zugriffs zulässig sein, und können daher durch die Vorrichtung 150 vorteilhafterweise blockiert werden.
Eine Anfrage kann an die Vorrichtung 150 gerichtet sein. Die Vorrichtung kann daraufhin eine Benachrichtigung beispielsweise in Form einer Email an den oder die zuständigen Mitarbeiter schicken, die die Anfrage genehmigen können. Dies ist möglich, wenn die Anfrage genügend Informationen enthält, um von der Vorrichtung beispielsweise einem vordefinierten Genehmigungsprozess zugeordnet zu werden, oder wenn die Anfrage Informationen zum Ansprechpartner enthält. Falls bestimmte Maschinenkomponenten in der Anfrage identifiziert sind, für die jedoch unterschiedliche Genehmigungsprozesse definiert sind, die auch unterschiedliche Ansprechpartner haben können, so können alle Ansprechpartner benachrichtigt werden, die entsprechend der möglichen Genehmigungsprozesse in Frage kommen. In einem solchen Fall erfordert die Erteilung der Genehmigung eine genauere Festlegung der Maschinenkomponenten und/oder des Genehmigungsprozesses, d.h. der Aktionen, die im Rahmen der Fernwartung ausgeführt werden dürfen. Eine Benachrichtigungsemail kann eine Angabe zu einem gewünschten Zeitraum für die Genehmigung enthalten. Es kann allerdings erforderlich sein, den Zeitraum für die tatsächliche Genehmigung stets manuell und in einem bestimmten Format einzugeben. Zur Erteilung einer Genehmigung kann der Empfänger einer Benachrichtigungsemail antworten, wobei diese Antwort wieder an die Vorrichtung geschickt wird, die daraufhin die entsprechenden Einstellungen vornimmt, um die Kommunikationsverbindung für die Fernwartung zu ermöglichen. Optional kann die Vorrichtung auch eine weitere Benachrichtigung an den oder diejenigen Personen schicken, die die Fernwartung durchführen sollen. Anfragen können auch über die Benutzerschnittstelle 152 eingesehen, bearbeitet und genehmigt werden, beispielsweise dadurch, dass sich ein berechtigter Mitarbeiter bei der Benutzerschnittstelle einloggt. Eine Anfrage kann auch direkt über die Benutzerschnittstelle erstellt werden, beispielsweise dann, wenn ein berechtigter Mitarbeiter per Telefon oder per Email oder auf anderem Wege auf eine gewünschte Fernwartung aufmerksam gemacht wird.
Die Benachrichtigungen, die von der Vorrichtung versendet werden, basieren auf vordefinierten Vorlagen für den Text, der in entsprechenden Emails enthalten ist.
2 zeigt einen beispielhaften Ablauf, über den ein Fernwartungszugriff genehmigt werden kann. Eine Anfrage für eine Genehmigung für eine Fernwartung wird von der Vorrichtung 150 empfangen 202. Entsprechend von Informationen, welche in der Anfrage enthalten sind, kann entschieden werden, ob für die angefragte Fernwartung eine Genehmigung erforderlich ist 204. Beispielsweise kann die Anfrage eine Identifikation eines bestimmten, vorkonfigurierten Genehmigungsprozesses enthalten. Falls eine Genehmigung erforderlich ist, wird die Anfrage weiter verarbeitet und einige notwendige Einstellungen für die Kommunikationsverbindung für die Fernwartung können festgelegt werden. Insbesondere werden wenigstens eine bestimmte Maschinenkomponente sowie eine bestimmte entfernte Einheit bestimmt. Die bestimmte entfernte Einheit kann beispielsweise ein computerbasiertes Gerät sein, welches sich beispielsweise außerhalb eines internen Netzwerks des Betreibers der Maschine befindet, und welches dazu konfiguriert ist, sich über mindestens ein Netzwerk 120 über die Vorrichtung 150 mit der wenigstens einen bestimmten Maschinenkomponente 134 kommunikativ zu verbinden, um so – bei erteilter und gültiger Genehmigung – eine Fernwartungssession durchzuführen. In der Regel wird ein berechtigter Mitarbeiter des Betreibers der Maschine eine Anfrage für eine Genehmigung durch Interaktion mittels einer Benutzerschnittstelle 152 oder durch Austausch von Benachrichtigungen wie Emails mit der Vorrichtung 150 überprüfen, gegebenenfalls bearbeiten und freigeben. Die Vorrichtung 150 kann beispielsweise nach Empfang einer Anfrage eine Email erzeugen, die an die genehmigungsberechtigten Mitarbeiter entsprechend der Definition des Genehmigungsprozesses gesendet wird. In einer Antwort auf diese Email oder über die Benutzerschnittstelle können weitere Einstellungen, wie beispielsweise der Zeitraum und/oder Bedingungen für die Fernwartung und/oder die Maschinenkomponenten sowie die erlaubten Befehle vorgenommen werden. Zumindest Teile solcher Einstellungen können dabei fest in dem vorkonfigurierten Genehmigungsprozess hinterlegt sein. Wenn die Genehmigung für die Fernwartung so verarbeitet 206 ist, und die definierten Einstellungen gespeichert wurden, kann der Hersteller oder Service-Anbieter über die erteilte Genehmigung und den Zeitraum informiert werden, beispielsweise durch Versenden einer entsprechenden Benachrichtigung per E-Mail oder SMS. Die Fernwartung wird dann ermöglicht durch Freischalten 208 der Kommunikationsverbindung entsprechend der Genehmigung, wobei sichergestellt wird, dass die Kommunikation nur zwischen der mindestens einen bestimmten Maschinenkomponente sowie der bestimmten entfernten Einheit möglich ist. Nach erfolgter Freischaltung kann eine Fernwartung beginnen 210, d.h. ein Service-Mitarbeiter des Herstellers kann beispielsweise eine Session starten und so die Fernwartung durchführen.
3 zeigt einen beispielhaften Ablauf einer Fernwartung in Form eines Zustandsdiagramms, nachdem diese genehmigt und freigeschaltet wurde. Von einem Gerät des Herstellers oder Service-Anbieters aus wird eine Kommunikationsverbindung initiiert, und das System befindet sich im Zustand „keine Session“ 302. Dann wird eine Fernwartungssession mit einem geeigneten Softwaretool gestartet 310, wodurch das System in den Zustand „aktive Session“ 304 übergeht. Gegebenenfalls kann für den Aufbau der Kommunikationsverbindung und/oder für den Start der Fernwartungssession ein Einloggen mit Sicherheitsmechanismen wie beispielsweise ein Login-Name und ein Passwort zur Authentifizierung notwendig sein. Im Rahmen einer aktiven Fernwartungssession 304 kann auf die mindestens eine bestimmte Maschinenkomponente zugegriffen werden, es können Daten ausgelesen und übertragen werden, Parameter der Maschinenkomponente verändert werden, Befehle erteilt werden, usw.. Eine Protokollierung der Fernwartung kann auch im Rahmen der Session mittels des Softwaretools für die Fernwartung erfolgen. Die genutzten Fernwartungszugriffe, d.h. die Maschinenkomponenten, auf die zugegriffen wurde, die ausgeführten Steuerkommandos, die Dauer des Zugriffs oder eine frei geschriebene Dokumentation können in dem Protokoll enthalten sein. Das Freischaltungsmodul kann dabei überprüfen, ob die Genehmigung bereits abgelaufen ist, beispielsweise weil der Zeitraum für die Fernwartung abgelaufen ist, oder weil die Genehmigung seitens des Kunden geändert oder widerrufen wurde. Nach Ablauf der Genehmigung geht das System in den Zustand inaktive Session 306 über 314. Weiterhin kann ein Administrator berechtigt sein, eine laufende aktive Session in den Zustand „inaktiv“ zu bringen 314. Vorrichtung 150 kann hierzu die Kommunikationsverbindung zu der Maschinenkomponente unterbrechen. Ein Remote-Zugriff auf die Maschinenkomponente(n) ist nun nicht mehr möglich, doch eine Vervollständigung beispielsweise einer Dokumentation der Fernwartung kann noch durchgeführt werden. Gegebenenfalls kann der Hersteller auch um eine Verlängerung der Genehmigung bitten, falls die Fernwartung noch nicht vollständig abgeschlossen wurde. Bei entsprechender Verlängerung ist eine Wiederaufnahme 318 der Session möglich, nachdem das Freischaltungsmodul 158 die Kommunikationsverbindung entsprechend der geänderten Genehmigung wieder freigeschaltet hat. Ansonsten geht das System beispielsweise nach einer festgelegten Zeit in den Zustand „keine Session“ 302 über 316. Die aktive Session kann auch von dem Softwaretool aus abgeschlossen werden 312, während die Genehmigung noch gültig ist. In diesem Fall wird die Session beendet, d.h. das System geht in den Zustand „keine Session“ 302 über, wobei jedoch die Kommunikationsverbindung von Vorrichtung 150 aus freigeschaltet bleibt. Solange eine erteilte Genehmigung (noch) besteht, ist ein Wechseln in eine aktive Session 304 durch das Starten 310 einer neuen Session möglich. Nach einer vordefinierten Zeitspanne im Zustand der inaktiven Session 306 kann das System in den Zustand „keine Session“ 302 übergehen, womit die Fernwartungssession beendet ist, d.h. es ist keine Wiederaufnahme der Session mehr möglich.
4 zeigt ein Ausführungsbeispiel eines Verfahrens zur Steuerung eines Fernzugriffs für eine Fernwartung einer Maschine, welche ein oder mehrere Maschinenkomponenten umfassen kann. In Schritt 402 wird eine Anfrage für eine Genehmigung einer Fernwartung von ein oder mehreren Maschinenkomponenten empfangen. Diese Anfrage wird überprüft 404, beispielsweise daraufhin, ob sie sich auf einen berechtigten Ansprechpartner des Herstellers sowie eine Maschinenkomponente beim Betreiber der Maschine bezieht, für den eine Fernwartung grundsätzlich vorgesehen ist. Dies kann durch Vergleich der Angaben aus der Anfrage mit vordefinierten Genehmigungsprozessen geschehen. Ein vordefinierter Genehmigungsprozess kann auch durch einen Genehmigungsschlüssel identifiziert werden, der in der Anfrage enthalten ist. Wenn eine Anfrage für eine Genehmigung einer Fernwartung soweit korrekt ist 406, werden Einstellungen für die tatsächliche Fernwartung vervollständigt, was wiederum entsprechend eines vordefinierten Genehmigungsprozesses erfolgen kann. Dann wird eine Anfragegenehmigungsnachricht zur Erteilung der Genehmigung an einen oder mehrere der Mitarbeiter gesendet, die für den Genehmigungsprozess bzw. für die Maschinenkomponenten genehmigungsberechtigt sind. Die Anfragegenehmigungsnachricht kann eine Email sein. Mindestens einer dieser berechtigten Mitarbeiter muss dann die Genehmigung durch eine Antwort auf die Anfragegenehmigungsnachricht bestätigen, um so die Kontrolle durch den Betreiber der Maschine zu gewährleisten. Für die Erteilung kann es erforderlich sein, dass ein Zeitraum für die Fernwartung explizit festgelegt wird, und/oder ein Genehmigungsschlüssel muss manuell durch den Mitarbeiter in eine gültige Form geändert werden. Die Anfragegenehmigungsnachricht enthält einen Genehmigungsschlüssel, der auf eine festgelegte Art modifiziert wird, so dass der modifizierte Genehmigungsschlüssel, nicht unmittelbar gültig ist, um die Erteilung einer Genehmigung zu bestätigen. Hierdurch wird verhindert, dass beispielsweise eine Auto-Responder-Funktion bereits zur Erteilung einer Genehmigung führen kann. Weiterhin können Bedingungen, die zulässigen Befehle oder die Zugriffsart festgelegt werden, was durch Änderung oder Auswahl eines bestimmten Genehmigungsprozesses geschehen kann, wenn es beispielsweise für die wenigstens eine Maschinenkomponente mehrere Genehmigungsprozesse mit unterschiedlichen Zugriffsrechten gibt. Nach Erteilung der Genehmigung 410 kann optional eine Bestätigung mit Details bezüglich der Fernwartung an den Hersteller beziehungsweise die entsprechenden Mitarbeiter, die die Fernwartung durchführen sollen, gesendet werden 412. Auch der Urheber der Anfrage kann über die Genehmigung oder die Ablehnung informiert werden. Gegebenenfalls kann es notwendig sein, auf den festgelegten Gültigkeitszeitraum der Genehmigung zu warten 416, bevor die Kommunikation freigeschaltet 418 wird. Optional kann es auch noch notwendig sein, dass Bedingungen seitens der Maschinenkomponente oder Maschine erfüllt werden, bevor die Kommunikation freigeschaltet wird. Wird eine Genehmigung modifiziert, so dass sie ihre Gültigkeit verliert, oder läuft der festgelegte Zeitraum ab, wird die Kommunikation unterbrochen. Der Mitarbeiter, der die Fernwartung durchführt, wird über alle seine aktiven und inaktiven Sessions informiert, damit die Fernwartungen möglichst effizient und vollständig dokumentiert zum Abschluss gebracht werden können. Optional kann der Mitarbeiter auch sehen, welche Genehmigungen erteilt wurden. Vor dem Ablauf einer Genehmigung wird der Mitarbeiter gewarnt.
Die Vorrichtung 150 kann ferner so konfiguriert sein, dass sie in regelmäßigen Abständen ein Emailkonto abruft, in dem die Antworten auf Genehmigungsemails eingehen. Alternativ können die Emails auch durch ein push-Verfahren an die Vorrichtung 150 übertragen werden. Um doppelte Verarbeitung von Emails zu vermeiden, kann eine verarbeitete Email als gelesen markiert werden. Die Verarbeitung umfasst dabei die Suche nach dem Genehmigungsschlüssel zu einer aktiven Genehmigungsanfrage. Die Suche nach dem Genehmigungsschlüssel soll mit einer gewissen Fehlertoleranz geschehen. In Benachrichtigungen, die an den Urheber der Anfrage für die Fernwartung oder an den Hersteller, der die Fernwartung durchführen soll, ist kein Genehmigungsschlüssel enthalten, um wiederholende Antworten durch eine Auto-Responder-Funktion zu vermeiden. Falls mehrere Genehmigungen zu einer Anfrage eingehen, die von mehreren genehmigungsberechtigten Personen unabhängig voneinander erteilt wurden, kann die Vorrichtung entweder mehrere unabhängige Genehmigungen verwalten, oder es kann bestimmt werden, welche Genehmigung tatsächlich gültig ist. Dies kann die erste erteilte Genehmigung sein, so dass alle weiteren Genehmigungen ignoriert werden, oder eine später eintreffende Genehmigung kann eine frühere Genehmigung überschreiben und ersetzen. Die entsprechenden Personen können sofort benachrichtigt werden.
Es wird ferner darauf hingewiesen, dass in den zuvor beschriebenen Ausführungsformen genannte Merkmale nicht auf diese speziellen Kombinationen beschränkt sind, sondern auch in beliebigen anderen Kombinationen als weitere Ausführungsformen möglich sind.

Claims

Vorrichtung (150) zum Steuern eines Fernwartungszugriffs auf eine Maschine (132) in der Abfüllindustrie für flüssige Lebensmittel, insbesondere der Getränkemittelindustrie, wobei die Maschine konfiguriert ist, eine Kommunikationsverbindung mit wenigstens einer entfernten Einheit (110, 112, 114) zur Fernwartung wenigstens einer Maschinenkomponente (134) der Maschine einzurichten, wobei die Kommunikationsverbindung zwischen der entfernten Einheit und der Maschine ein externes Netzwerk (120) umfasst, dadurch gekennzeichnet, dass die Vorrichtung konfiguriert ist, eine Anfrage für eine Genehmigung eines Fernwartungszugriffs auf wenigstens eine Maschinenkomponente der Maschine zu empfangen, die Vorrichtung ein Genehmigungsmodul (156) zum Erteilen der Genehmigung des Fernwartungszugriffs umfasst, wobei die erteilte Genehmigung eine bestimmte entfernte Einheit und die wenigstens eine Maschinenkomponente der Maschine für den Fernwartungszugriff identifiziert und insbesondere des Weiteren eine Zeitangabe für den Fernwartungszugriff angibt; die Vorrichtung ein Freischaltungsmodul (158) zum Freischalten oder Blockieren einer Kommunikationsverbindung zwischen der bestimmten entfernten Einheit und der die wenigstens eine Maschinenkomponente basierend auf der erteilten Genehmigung umfasst, wobei das Freischaltungsmodul so konfiguriert ist, dass die Kommunikationsverbindung nur zwischen der bestimmten entfernten Einheit und der wenigstens einen Maschinenkomponente, die in der erteilten Genehmigung identifiziert sind, freigeschaltet wird; und wobei eine Fernwartung für die wenigstens eine Maschinenkomponente der Maschine nur mittels einer freigeschalteten Kommunikationsverbindung und nur durch eine in einer erteilten Genehmigung identifizierten entfernten Einheit durchführbar ist.
Vorrichtung nach Anspruch 1, wobei die erteilte Genehmigung einen Zeitraum für den Fernwartungszugriff zur Durchführung der Fernwartung angibt, und wobei das Freischaltungsmodul (158) konfiguriert ist, die Kommunikationsverbindung nur während des Zeitraums freizuschalten.
Vorrichtung nach Anspruch 2, wobei die Vorrichtung des Weiteren so konfiguriert ist, dass sie den Zeitraum einer erteilten Genehmigung ändern kann, und dass sie den Zeitraum der erteilten Genehmigung so ändert, dass der Zeitraum nach Beendigung der Kommunikationsverbindung der Fernwartung ebenfalls endet.
Vorrichtung nach einem der Ansprüche 1 bis 3, wobei die Genehmigung des Weiteren eine Bedingung umfasst, welche eine Bestätigung des Fernwartungszugriffs durch einen Anwender mittels eines Human-Machine-Interfaces, HMI, der Maschine (132) erfordert, und wobei das Freischaltungsmodul (158) konfiguriert ist, den Fernwartungszugriff erst nach Erfüllung der Bedingung freizuschalten.
Vorrichtung nach einem der Ansprüche 1 bis 4, wobei das Genehmigungsmodul (156) des Weiteren konfiguriert ist, die Genehmigung nur nach Empfang einer gültigen Bestätigungsnachricht zu erteilen, wobei die gültige Bestätigungsnachricht einen Genehmigungsschlüssel umfasst, welcher der Anfrage zugeordnet ist und zuvor von der Vorrichtung in einer Anfragegenehmigungsnachricht an wenigstens einen vorgegeben Empfängen gesendet wurde, wobei die Vorrichtung (150) des Weiteren konfiguriert ist, die Anfragegenehmigungsnachricht für die empfangene Anfrage an den wenigstens einen vorgegeben Empfänger zu senden, wobei die Anfragegenehmigungsnachricht den Genehmigungsschlüssel derart enthält, dass der Genehmigungsschlüssel in wenigstens zwei, voneinander getrennte Teile aufgeteilt ist und der Genehmigungsschlüssel aus diesen wenigstens zwei, voneinander getrennten Teilen der Anfragegenehmigungsnachricht wieder zusammengesetzt werden kann, und wobei die Bestätigungsnachricht als Antwort des wenigstens einen vorgegeben Empfängers auf die Anfragegenehmigungsnachricht von der Vorrichtung empfangen wird.
Vorrichtung nach einem der Ansprüche 1 bis 5, wobei wenigstens ein Genehmigungsprozess vordefiniert ist, welcher eine bestimmte entfernte Einheit und wenigstens eine bestimmte Maschinenkomponente (134) für einen Fernwartungszugriff angibt, und wobei der Genehmigungsprozess Funktionen angibt, die während des Fernwartungszugriffs ausführbar sind und/oder die während des Fernwartungszugriffs blockiert sind.
Vorrichtung nach einem der Ansprüche 1 bis 6, wobei das Genehmigungsmodul (156) konfiguriert ist, die Genehmigung für die Anfrage nur innerhalb eines vordefinierten Zeitraums nach dem Empfang der Anfrage zu erteilen.
Verfahren zum Steuern eines Fernwartungszugriffs auf eine Maschine (132) in der Abfüllindustrie für flüssige Lebensmittel, insbesondere der Getränkemittelindustrie, wobei die Maschine konfiguriert ist, eine Kommunikationsverbindung mit wenigstens einer entfernten Einheit (110, 112, 114) zur Fernwartung wenigstens einer Maschinenkomponente (134) der Maschine einzurichten, und wobei die Kommunikationsverbindung zwischen der entfernten Einheit und der Maschine ein externes Netzwerk (120) umfasst, wobei das Verfahren umfasst: Empfangen (402) einer Anfrage für eine Genehmigung eines Fernwartungszugriffs auf wenigstens eine Maschinenkomponente der Maschine; Erteilen (410) der Genehmigung des Fernwartungszugriffs, wobei die erteilte Genehmigung eine bestimmte entfernte Einheit und die wenigstens eine Maschinenkomponente der Maschine für den Fernwartungszugriff identifiziert und insbesondere des Weiteren eine Zeitangabe für den Fernwartungszugriff angibt; Freischalten (418) oder Blockieren einer Kommunikationsverbindung zwischen der bestimmten entfernten Einheit und der die wenigstens eine Maschinenkomponente basierend auf der erteilten Genehmigung, wobei die Kommunikationsverbindung nur zwischen der bestimmten entfernten Einheit und der wenigstens einen Maschinenkomponente, die in der erteilten Genehmigung identifiziert sind, freigeschaltet wird; und wobei eine Fernwartung für die wenigstens eine Maschinenkomponente der Maschine nur mittels einer freigeschalteten Kommunikationsverbindung und nur durch eine in einer erteilten Genehmigung identifizierten entfernten Einheit durchführbar ist.
Verfahren nach Anspruch 8, wobei die erteilte Genehmigung einen Zeitraum für den Fernwartungszugriff zur Durchführung der Fernwartung angibt, und wobei die Kommunikationsverbindung nur während des Zeitraums freigeschaltet wird.
Verfahren nach Anspruch 9, welches des Weiteren umfasst: Ändern des Zeitraums der erteilten Genehmigung, wobei der Zeitraum derart geändert wird, dass der Zeitraum der erteilten Genehmigung nach Beendigung der Kommunikationsverbindung der Fernwartung ebenfalls endet.
Verfahren nach einem der Ansprüche 8 bis 10, wobei die Genehmigung des Weiteren eine Bedingung umfasst, die eine Bestätigung des Fernwartungszugriffs durch einen Anwender erfordert, und wobei der Fernwartungszugriff erst nach Erfüllung der Bedingung freigeschaltet wird.
Verfahren nach einem der Ansprüche 8 bis 11, wobei das Verfahren des Weiteren umfasst: Senden einer Anfragegenehmigungsnachricht für die empfangene Anfrage an wenigstens einen vorgegeben Empfänger, wobei die Anfragegenehmigungsnachricht einen Genehmigungsschlüssel derart enthält, dass der Genehmigungsschlüssel in wenigstens zwei, voneinander getrennte Teile aufgeteilt ist und der Genehmigungsschlüssel aus diesen wenigstens zwei, voneinander getrennten Teilen der Anfragegenehmigungsnachricht wieder zusammengesetzt werden kann, und wobei der Genehmigungsschlüssel der empfangenen Anfrage zugeordnet ist, Empfangen einer Bestätigungsnachricht als Antwort auf das Senden der Anfragegenehmigungsnachricht, wobei das Erteilen (410) der Genehmigung nur erfolgt, wenn die empfangene Bestätigungsnachricht den zusammengesetzten Genehmigungsschlüssel umfasst.
Verfahren nach einem der Ansprüche 8 bis 12, wobei wenigstens ein Genehmigungsprozess vordefiniert ist, welcher eine bestimmte entfernte Einheit und wenigstens eine bestimmte Maschinenkomponente (134) für einen Fernwartungszugriff angibt, und wobei der Genehmigungsprozess Funktionen angibt, die während des Fernwartungszugriffs ausführbar sind und/oder die während des Fernwartungszugriffs blockiert sind.
Verfahren nach einem der Ansprüche 8 bis 13, wobei die Genehmigung für die empfangene Anfrage nur innerhalb eines vordefinierten Zeitraums nach dem Empfang der Anfrage erteilbar ist.