ES2594437T3 - Procedimiento y sistema para la monitorización de un sistema relativo a la seguridad - Google Patents

Procedimiento y sistema para la monitorización de un sistema relativo a la seguridad Download PDF

Info

Publication number
ES2594437T3
ES2594437T3 ES09761528.0T ES09761528T ES2594437T3 ES 2594437 T3 ES2594437 T3 ES 2594437T3 ES 09761528 T ES09761528 T ES 09761528T ES 2594437 T3 ES2594437 T3 ES 2594437T3
Authority
ES
Spain
Prior art keywords
monitoring
security
result
monitoring result
layer
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
ES09761528.0T
Other languages
English (en)
Inventor
Stefan Rothbauer
Harald Karl
Roland Porsch
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Siemens AG
Original Assignee
Siemens AG
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Siemens AG filed Critical Siemens AG
Application granted granted Critical
Publication of ES2594437T3 publication Critical patent/ES2594437T3/es
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B9/00—Safety arrangements
    • G05B9/02—Safety arrangements electric
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/24—Pc safety
    • G05B2219/24008—Safety integrity level, safety integrated systems SIL SIS
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/24—Pc safety
    • G05B2219/24024—Safety, surveillance
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2103—Challenge-response
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2113—Multi-level security, e.g. mandatory access control

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • Automation & Control Theory (AREA)
  • Computing Systems (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Debugging And Monitoring (AREA)
  • Hardware Redundancy (AREA)
  • Alarm Systems (AREA)
  • Safety Devices In Control Systems (AREA)

Abstract

Procedimiento para la monitorización de un sistema relativo a la seguridad (2), que se encuentra construido, al menos, de múltiples capas (21 - 24) con, al menos, una capa de hardware (21), una capa de sistema operativo (23) y una capa de aplicación (24), con los siguientes pasos: - transferencia de un resultado de monitorización (b) de un primer proceso (111) desde un dispositivo de monitorización (11), previsto para la monitorización del sistema relativo a la seguridad (2), a un dispositivo (12) que conforma, al menos, una parte del sistema relativo a la seguridad (2); en donde el primer proceso (111) es determinado a partir de una cantidad de procesos, que se encuentran almacenados en el dispositivo de monitorización (11); - valoración del resultado de monitorización (b) por medio de un segundo proceso (125), en donde el segundo proceso (125) forma un proceso del sistema relativo a la seguridad (2) y es un proceso de la capa de sistema operativo (23); - cálculo de un resultado de procesamiento (a) en dependencia del resultado de monitorización (b); y - verificación del resultado de monitorización (a) calculado.

Description

5
10
15
20
25
30
35
40
45
50
DESCRIPCIÓN
Procedimiento y sistema para la monitorización de un sistema relativo a la seguridad
La presente invención hace referencia a un procedimiento y a un sistema para la monitorización de, al menos, un proceso que se encuentra integrado en un sistema relativo a la seguridad, especialmente un sistema eléctrico, electrónico o electrónico programable (E/E/PE).
Los dispositivos o las instalaciones de este tipo muchas veces representan un peligro para las personas. En ese caso el peligro depende a menudo del modo de funcionamiento del respectivo dispositivo o la respectiva instalación. Por lo general, los dispositivos o las instalaciones se monitorizan mediante sistemas eléctricos o electrónicos. Tales sistemas (relativos a la seguridad) son responsables de que ninguna persona esté expuesta a peligros. Es por ello que los sistemas relativos a la seguridad están sometidos a altas exigencias de seguridad que resulten, por ejemplo, del riesgo que pueda existir para la persona involucrada. De este modo, por ejemplo, generalmente se establecen normas, reglas y/o directrices predeterminadas que deben ser cumplidas por los respectivos sistemas relativos a la seguridad. Como ejemplo de una norma de este tipo se puede mencionar a la EN 50128. Esta es una norma europea para software relativo a la seguridad del ferrocarril y hace referencia a aplicaciones del ferrocarril en relación con técnicas de comunicación, tecnología de señales así como sistemas de procesamiento de datos y software para sistemas de manejo y control de ferrocarriles.
La WO 2008/00 1322 describe el manejo de notificaciones en un dispositivo móvil.
Para implementar una funcionalidad de seguridad en sistemas relativos a la seguridad es necesario, que todos los componentes y módulos involucrados en la funcionalidad de seguridad ejecuten su función de manera lo suficientemente segura. Esto significa, que es necesario que se respeten todas las normas, reglas y/o directrices predeterminadas en todos los niveles y capas de un sistema. Se requiere de una monitorización constante del sistema y de una monitorización constante de los componentes, módulos y procesos involucrados en la funcionalidad de seguridad. Este control generalmente se realiza en el marco de una certificación del sistema relativo a la seguridad. Mediante la certificación se comprueba que todos los estándares predeterminados, es decir, normas, reglas y/o directrices se respetan y que los resultados (finales) de los procedimiento o procesos realizados en el sistema relativo a la seguridad presentan las propiedades necesarias o correspondientes al respectivo estándar.
Para evitar posibles fuentes de fallas, tanto el hardware como también el software en este área relevante para la seguridad estaban conformados de modo muy minimalista, es decir, reducido solo a lo más necesario. Los sistemas operativos son implementados de manera especial para el respectivo hardware especial. Es ese caso se aceptan limitaciones respecto de los diseños de los sistemas operativos, software y/o hardware.
Además, los sistemas operativos implementados se encuentran orientados a un caso de aplicación concreto. Si se desea reutilizar, por ejemplo, un sistema operativo existente para otro caso de aplicación, esto usualmente no es posible debido a la orientación muy específica del correspondiente sistema operativo. Además, muchas veces existe una dependencia de los componentes implementados, que son monitorizados en el marco del correspondiente sistema operativo.
Por ejemplo, un sistema operativo especificado para el área aeronáutica o para aplicaciones industriales posee un rango de funcionamiento definido muy precisamente. El sistema operativo se encuentra diseñado, por ejemplo, para necesidades de la industria aeronáutica. No es posible la adaptación a otra área de aplicación, como por ejemplo el ferrocarril.
También las arquitecturas de los sistemas relativos a la seguridad conocidos también se encuentran influenciadas por la especificidad de sus componentes, sistemas operativos y procesos. Si se desea verificar o monitorizar el funcionamiento correcto de un sistema relativo a la seguridad construido de forma tan específica., entonces requiere una monitorización que se encuentre orientada exactamente al sistema relativo a la seguridad ajustado especialmente y diseñado para este.
De este modo existe una necesidad para una certificación genérica de sistemas relativos a la seguridad. En ese caso se necesita una certificación continua, es decir, una certificación que alcance todos los niveles y capas del sistema relativo a la seguridad, es decir, hasta el nivel del sistema operativo. Una certificación genérica de este tipo hasta el nivel del sistema operativo, es decir, una certificación de hardware y software inclusive el sistema operativo no se conoce hasta el momento.
Es objeto de la presente invención, posibilitar una certificación flexible y genérica de sistemas relativo a la seguridad.
Este objeto es resuelto a través de procedimiento con las características de la reivindicación independiente 1, por un dispositivo con las características de la reivindicación independiente 10, por un programa de ordenador con las características de la reivindicación independiente 11 o por un soporte de datos con las características de la reivindicación independiente 13.
5 La invención crea un procedimiento para la monitorización de un sistema relativo a la seguridad, en donde el procedimiento comprende los siguientes pasos:
- transferencia de un resultado de monitorización de un primer proceso desde un dispositivo de monitorización, previsto para la monitorización del sistema relativo a la seguridad, a un dispositivo que conforma, al menos, una parte del sistema relativo a la seguridad;
10 - valoración del resultado de monitorización por medio de un segundo proceso, en donde el segundo proceso
conforma un proceso del sistema relativo a la seguridad;
- cálculo de un resultado de procesamiento en dependencia del resultado de monitorización; y
- verificación del resultado de monitorización calculado.
Para monitorizar el sistema relativo a la seguridad se ejecuta el primer proceso en el dispositivo de monitorización. El 15 primer proceso se encuentra diseñado de manera tal, que el segundo proceso puede ser monitorizado a través de la primera, es decir, el primer proceso se encuentra diseñado de manera tal, que a través del primer proceso se puede verificar, si el segundo proceso se desarrolla correctamente. De este modo, a través del primer proceso se puede verificar, si por ejemplo el segundo proceso otorga resultados correctos o verdaderos, si ejecuta los procedimientos, pasos o funciones correctas y/o si aún se sigue ejecutando.
20 Conforme a una forma de ejecución ventajosa, sistema relativo a la seguridad puede estar conformado por múltiples capas, es decir, al menos una capa. El segundo proceso monitorizado es, en este caso, un proceso de una de las capas del sistema relativo a la seguridad. El sistema relativo a la seguridad puede presentar, por ejemplo, al menos una de las siguientes capas:
- una capa de aplicación que de manera ventajosa puede estar conformada de manera tal, que pueden ser 25 ejecutadas funciones específicas de la aplicación;
- una capa de middleware;
- una capa de sistema operativo; o
- una capa de hardware.
Mediante un dispositivo de monitorización diseñado ventajosamente de este modo para la monitorización del 30 sistema relativo a la seguridad se pueden monitorizar múltiples capas de manera conjunta.
Como sistema operativo, conforme a otra forma de ejecución ventajosa de la presente invención se puede utilizar un sistema operativo de código abierto, como por ejemplo Linux.
La implementación de un sistema operativo de código abierto permite una certificación flexible y genérica de sistemas relativos a la seguridad. Los sistemas operativos de código abierto (por ejemplo Linux) están disponibles 35 de forma gratuita y son transparentes en su diseño, es decir, ofrecen una base con capacidad de adaptación y reutilizable para una certificación de sistemas relativos a la seguridad.
El desarrollo de sistemas operativos de código libre, como Linux, se realiza públicamente. De esta manera los sistemas operativos de código libre son sometidos a variadas pruebas y cumplen con estándares de seguridad predeterminados, mientras que algunos sistemas operativos desarrollados especialmente, que no son transparentes 40 hacia fuera, en muchos casos no experimentan un desarrollo sometido tan intensivamente a pruebas y consciente de la seguridad. Así, la implementación de sistemas operativos de código libre ofrece, además de la ventaja de la capacidad de adaptación y la capacidad de reutilización, también la ventaja de cumplimentar un alto estándar de seguridad.
Además de la utilización de todo el sistema operativo de código abierto, es decir, de todos los módulos del sistema 45 operativo de código abierto, conforme a una forma de ejecución ventajosa es posible escoger o determinar módulos relevantes de un sistema de código libre y solo implementar estos módulos predeterminados del sistema operativo de código abierto en el marco de un sistema certificado genéricamente. Si se implementa, por ejemplo, Linux como
3
5
10
15
20
25
30
35
40
45
50
sistema operativo de código libre, entonces es posible utilizar todo el sistema operativo como también paquetes (módulos) elegidos específicamente (para la aplicación) del sistema operativo Linux. A través de una preselección de este tipo se evitan, por un lado, potenciales fuentes de fallos y se reducen la cantidad de funciones de prueba o control y, por el otro, se reduce, a través de la preselección, la cantidad de espacio de almacenamiento necesario para los módulos del sistema operativo de código libre. Esto hace posible un diseño flexible de la certificación de sistemas relativos a la seguridad.
El sistema relativo a la seguridad o las capas del sistema relativo a la seguridad, como por ejemplo la capa del sistema operativo de código libre, es o son monitorizadas por un software desarrollado especialmente para esto. En ese caso son administrados, Iniciados procesos de control previstos para la monitorización de procesos del sistema relativo a la seguridad (por ejemplo de procesos de un sistema operativo de código libre integrado completa o parcialmente en un sistema relativo a la seguridad) y se procesan los resultados de los procesos de control de, al menos, un proceso del sistema relativo a la seguridad (por ejemplo del sistema operativo de código libre, si se monitoriza la capa del sistema operativo). Los resultados del procesamiento por parte de procesos del sistema relativo a la seguridad son monitorizados, y de este modo e reconoce su el sistema relativo a la seguridad trabaja de manera correcta o si se han producido averías.
Como ya se ha mencionado, conforme al presente procedimiento conforme a la Invención, un segundo proceso es monitorizado por un primer proceso. De este modo, el primer proceso está superordlnado al segundo proceso, de manera que se hace posible una certificación específica de sistemas relativos a la seguridad.
En ese caso, en una forma de ejecución ventajosa se escoge el primer proceso de una cantidad de procesos, que están almacenados en el dispositivo diseñado para la monitorización. Esta cantidad de primeros procesos o procesos de control se puede diseñar libremente. Los procesos de control presentan procesos de control generales, que hacen posible la verificación o la monitorización de desarrollos generales o procesos del sistema relativo a la seguridad o de las capas del sistema relativo a la seguridad (como por ejemplo el sistema operativo de código libre), y/o procesos de control específicos para aplicaciones. De esta manera se garantiza una flexibilidad en vista de la monitorización o la certificación de sistemas relativos a la seguridad.
Además se puede esperar el procesamiento de un resultado de control o de una solicitud dentro de un tiempo predeterminado. En ese caso el procesamiento del resultado de monitorización se interrumpe y se realiza un nuevo procesamiento del resultado de monitorización por parte del segundo proceso, si el procesamiento del resultado de monitorización no se ha realizado dentro del tiempo predeterminado. De este modo existe otra posibilidad de control, ya que puede ocurrir, que una breve sobrecarga haya ralentizado el sistema y por lo tanto no sean necesarias intervenciones inmediatas o medidas inmediatas para evitar peligros. La determinación acerca de si el procesamiento del resultado de monitorización se ha realizado dentro del tiempo predeterminado puede ser realizada en el dispositivo de monitorización y/o en el dispositivo monitorizado.
El control del resultado de procesamiento o de la respuesta puede ser realizado en el dispositivo de monitorización. Para ello, el resultado de procesamiento primero es transferido desde el dispositivo monitorizado, que presenta, al menos, un módulo del sistema operativo de código libre, hacia el dispositivo de monitorización.
Además, el procesamiento del resultado de monitorización puede consistir en la aplicación de una función del proceso monitorizado sobre el resultado de monitorización o la solicitud. En este caso el resultado de procesamiento puede corresponder al resultado de la función del proceso monitorizado.
Conforme a una forma de ejecución del presente procedimiento conforme a la invención, la monitorización del resultado de procesamiento puede comprender una monitorización del resultado de procesamiento por parte del primer proceso.
Además, el sistema relativo a la seguridad pude ser detenido si de la monitorización del resultado de procesamiento resulta, que el resultado de procesamiento es erróneo, para retirar el sistema relativo a la seguridad de un posible peligro.
Conforme a un ejemplo de ejecución ventajoso de la presente Invención, como primer dispositivo, monitorizado y diseñado para la monitorización, puede ser utilizado un, así llamado, procesador de seguridad y entorno (SEP). Como segundo dispositivo, que presenta, al menos, un módulo del sistema operativo de código libre, puede estar previsto, por ejemplo, un procesador principal.
La Invención crea, además, un sistema con un dispositivo que se encuentra diseñado para la monitorización de un sistema relativo a la seguridad y que, además, se encuentra conformado de manera tal, que un resultado de monitorización o una solicitud de un primer proceso puede ser transferido a otro dispositivo, que conforma, al menos, una parte del sistema relativo a la seguridad, en donde el otro dispositivo valora el resultado de monitorización a
5
10
15
20
25
30
35
40
45
través de un segundo proceso, que es un proceso del sistema relativo a la seguridad y pone a disposición un resultado de procesamiento o una respuesta.
El otro dispositivo puede conformar una parte del sistema relativo a la seguridad o comprender también todo el sistema relativo a la seguridad.
El primer proceso preferentemente se encuentra conformado de manera tal, que el segundo proceso puede ser monitorizado través del primer proceso, es decir, el primer proceso se encuentra superordinado al segundo proceso.
Para monitorizar el sistema relativo a la seguridad se ejecuta el primer proceso en el dispositivo de monitorización para monitorizar un sistema relativo a la seguridad.
Como se explicó más arriba, el sistema relativo a la seguridad puede presentar múltiples capas. En el caso de que exista una capa del sistema operativo, como sistema operativo conforme a una forma de ejecución ventajosa conforme a la invención se puede utilizar un sistema operativo de código libre (como por ejemplo Linux).
En el caso de una forma de ejecución del dispositivo conforme a la invención, el dispositivo para monitorizar el sistema relativo a la seguridad puede presentar una cantidad de procesos y estar conformado de manera tal, que el primer proceso pueda ser determinado de entre la cantidad de procesos.
Además, el dispositivo puede estar diseñado ventajosamente de manera tal, que el resultado de procesamiento o la respuesta pueda ser verificada. En este caso, el primer proceso puede estar diseñado de manera tal en el marco de la monitorización, que el resultado del procesamiento pueda ser monitorizado por el primer proceso.
Si el resultado de procesamiento o la respuesta es errónea, el dispositivo para monitorizar el sistema relativo a la seguridad puede estar diseñado ventajosamente de manera tal, que el sistema relativo a la seguridad pueda ser detenido.
Adicionalmente, el dispositivo para monitorizar el sistema relativo a la seguridad ventajosamente puede estar diseñado de manera tal, que el resultado de procesamiento pueda ser recibido por el otro dispositivo.
Como ya se ha explicado, el dispositivo para monitorizar el sistema relativo a la seguridad puede ser, por ejemplo un procesador de seguridad y entorno (SEP). El otro dispositivo, que presenta, al menos, una parte del sistema relativo a la seguridad, puede ser un procesador de control principal (MCP) o un procesador principal.
Conforme a un ejemplo de ejecución ventajoso de la presente invención, el dispositivo puede estar conformado de manera tal, que el resultado de monitorización o la solicitud pueda ser procesado dentro de un tiempo predeterminado por parte del segundo proceso. En ese caso, el dispositivo ventajosamente puede estar diseñado de manera tal, que el procesamiento del resultado de monitorización pueda ser interrumpido y el resultado de monitorización pueda ser procesado nuevamente por el segundo proceso si el primer resultado no es procesado dentro del tiempo predeterminado. Además, el segundo proceso ventajosamente puede estar diseñado de manera tal, que sobre el resultado de monitorización o la solicitud pueda ser aplicada una función del segundo proceso.
Conforme a un ejemplo de ejecución ventajoso de la presente invención, el dispositivo que presenta, al menos, una parte del sistema relativo a la seguridad, puede estar diseñado de manera tal, que el resultado de procesamiento o la respuesta pueda ser transferida al dispositivo de monitorización.
La tarea antes mencionada también es resuelta por un programa de ordenador que presenta una codificación que se encuentra diseñada de manera tal, que se pueden ejecutar los pasos del procedimiento arriba esquematizado y descrito en detalle a continuación. Conforme a un ejemplo de ejecución ventajoso de la presente invención, el programa de ordenador puede ser almacenable en un soporte de datos. Finalmente, la tarea antes mencionada es resuelta por un soporte de datos que presenta en programa de ordenador antes mencionado.
La monitorización conforme a la invención garantiza, debido a la capa de software prevista, una verificación continua. Las verificaciones o controles del funcionamiento correcto del sistema relativo a la seguridad son realizadas, en parte, en un hardware separado (como por ejemplo watchdog o procesador de seguridad y entorno (SEP)). Por requisitos lo suficientemente complejos, que se encuentran integrados en los procesos de control se garantiza, que se reconozca tanto una falla completa, es decir, cuando todos los recursos del sistema se encuentran vinculados o un desbordamiento de memoria, como así también errores más pequeños del sistema relativo a la seguridad (solicitud - respuesta, monitorización de tareas, entre otros).
La interacción de hardware (por ejemplo SEP) y software que monitoriza el sistema relativo a la seguridad asegura una cobertura de errores suficiente para el nivel de integridad de seguridad (como por ejemplo SIL 1).
5
10
15
20
25
30
35
40
45
50
Con la presente invención se garantiza, además, que las aplicaciones se pueden apoyar en las funciones puestas a disposición por el sistema operativo. De este modo, la funcionalidad de seguridad no debe asegurarse en dependencia de las aplicaciones o de forma aplicativa.
En lo sucesivo la invención se describe en detalle con ayuda de los ejemplos de ejecución representados en el dibujo adjunto.
Estos muestran:
Fig. 1 un sistema para la monitorización de un sistema relativo a la seguridad conforme a un ejemplo de ejecución de la presente invención;
Y
fig. 2 un sistema relativo a la seguridad que presenta múltiples capas y que es monltorlzado conforme a un ejemplo de ejecución de la presente invención.
Un sistema representado en la fig. 1 forma un sistema 1 para monitorizar un sistema relativo a la seguridad 2. En este caso una capa de sistema operativo presenta, al menos, un módulo de un sistema operativo de código libre, que se encuentra integrado en un sistema relativo a la seguridad 2. Conforme al presente ejemplo de ejecución, el sistema operativo de código libre es Linux. En el caso del sistema relativo a la seguridad 2 se puede tratar de un sistema eléctrico, electrónico o electrónico programable (E/E/PE).
Además, conforme al presente ejemplo de ejecución solo determinados módulos de todo el sistema operativo de código libre existen en la capa de sistema operativo del sistema operativo. Se trata de módulos que son necesarios para el sistema relativo a la seguridad 2, para minimizar riesgos relevantes a la seguridad por parte de otros módulos no necesarios de forma obligatoria. También se puede utilizar todo el sistema operativo de código libre.
Para una representación más clara y simple de la presente invención se describe, principalmente, la monitorización de la capa de sistema operativo, es decir, la monitorización de, al menos, un módulo de Linux. También se pueden monitorizar de forma adecuada otras capas del sistema relativo a la seguridad 2. Además, el sistema relativo a la seguridad 2 también puede ser monitorizado independientemente de las capas.
El sistema de control 1 presenta, conforme al presente ejemplo de ejecución, dos dispositivos 11 y 12, en donde el dispositivo 11 es un SEP (SEP: procesador de seguridad y entorno) o un procesador de control y se encuentra instalado para la monitorización de, al menos, un módulo de Linux. El dispositivo 12 es formado, por ejemplo, por un procesador de control principal (Main Control Processor, MCP) y, al menos, un módulo de Linux. El procesador de control principal 12 es monitorizado por el SEP 11.
El SEP 11 presenta una cantidad de procesos de control 111_1, 111_2 hasta 111_n, que se encuentran
configurados para monitorizar los procesos 125_1, 125_2 hasta 125_n del sistema operativo Linux. Los procesos de
control 111_1, 111_2 hasta 111_n forman procesos superordinados a los procesos Linux 125_1, 125_2 hasta 125_n.
Conforme al presente ejemplo de ejecución, cada proceso de Linux que debe ser monitorizado 125_1, 125_2 hasta
125_n posee un proceso suplente o superordinado 111_1, 111_2 has 111_n en el SEP 11, que es responsable de
su control. Pero esta sencilla relación no debe ser considerada restrictiva. Por supuesto es posible que, al menos, un
proceso superordinado o proceso de control 111_1, 111_2 hasta 111_n monitorice múltiples procesos Linux 125_1,
125_2 hasta 125_n y que un proceso Linux 125_1, 125_2 hasta 125_n sea monitorizado o validado por múltiples procesos de control 111_1, 111_2 hasta 111_n.
Primero un proceso de control 111_1, 111_2 hasta 111_n genera un resultado de monitorización b o una solicitud
(por ejemplo un número u otra estructura de datos). Conforme al presente ejemplo de ejecución, este resultado de monitorización b es codificado por un codificador de paquete 112 y transmitido a través de una interfaz 113, como por ejemplo un transmisor-receptor asincrono universal (UART), a una interfaz 121 del MCP 12. El resultado de monitorización b codificado y transmitido es redirigido dentro del MCP 12 a un codificador de paquete 122. Un
decodificador de paquete 122 decodifica el resultado b de los procesos de control 111_1, 111_2 hasta 111_n o el
resultado de monitorización a un repartidor 123. El repartidor 123 envía el resultado de monitorización b transmitido al correspondiente proceso Linux que debe ser monitorizado 125_1, 125_2 hasta 125_n para su procesamiento.
La localización de qué proceso Linux 125_1, 125_2 hasta 125_n deber ser monitorizado por cual proceso de control 111_1, 111_2 hasta 111_n, puede realizarse, por ejemplo, mediante la transferencia de una identificación (ID) del correspondiente proceso de control 111_1, 111_2 hasta 111_n junto con el respectivo resultado de monitorización b. El repartidor 123 recibe entonces, junto con el resultado de monitorización b, también la correspondiente ID del
5
10
15
20
25
30
35
40
45
50
proceso Linux 125 y puede retransmitir correctamente el respectivo proceso de control b al proceso Linux direccionado 125_1, 125_2 hasta 125_n.
Los procesos Linux 125_1, 125_2 hasta 125_n son administrados en el presente ejemplo de ejecución por un gestor
de seguridad de Linux (LSM).
El correspondiente proceso Linux 125_1, 125_2 hasta 125_n recibe el resultado del proceso de control 111_1,
111_2 hasta 111_n y procesa este resultado de monitorización b. En este caso se genera otro resultado, denominado en lo sucesivo como resultado de procesamiento a o respuesta. Este resultado de procesamiento a puede ser, de manera similar al resultado de monitorización b, por ejemplo, un número u otra estructura de datos simple o compleja.
Para el procesamiento del resultado de monitorización b, el proceso Linux 125_1, 125_2 hasta 125_n puede aplicar, al menos, una función individual predeterminada. Para ello, el resultado de monitorización b es calculado por la función, es decir, se calcula un resultado de función de una función predeterminada, en dependencia del resultado de monitorización b y se almacena de manera intermedia como resultado de procesamiento a. El resultado de la ejecución de, al menos, una función individual puede servir entonces como el resultado de procesamiento a.
Para aclarar cómo se genera el resultado de procesamiento a se presenta el siguiente ejemplo:
Se elige, por ejemplo, un proceso de control 111_n de la cantidad de procesos de control para la monitorización del MCP 12 y, con ello, del sistema operativo Linux. El proceso de control 111_n genera una cantidad b como resultado o resultado de monitorización. El resultado de monitorización b es recibido por un proceso Linux 125_n, ya que el proceso de control 111_n realiza la monitorización del 125_n). El proceso Linux 125_n calcula el número b con una función individual fn para obtener un nuevo resultado a. Este resultado de procesamiento a es enviado nuevamente al proceso de control 111_n. El proceso de control 111_n verifica entonces con la misma función individual fn, si ambos resultados b y a se corresponden. Si este es el caso, el sistema relativo a la seguridad 2 se encuentra en estado seguro. En caso contrario, se introducen correspondientes medidas de protección de la seguridad, por ejemplo, la detención completa del sistema relativo a la seguridad.
El LSM 125 se encuentra previsto para funciones relativas a la seguridad en el nivel del sistema operativo de código libre, aquí Linux. Estas funciones establecen también la ejecución de servicios del sistema relativo a la seguridad 2, que son monitorizados y ofrecidos por una aplicación 126 de los servicios del sistema relativo a la seguridad 2. De este modo, al menos algunos procesos Linux tienen acceso e influencia sobre la ejecución de servicios o aplicaciones 126 de sistema relativo a la seguridad 2, como por ejemplo el proceso Linux 125_1 en la fig. 1. En este caso, cuando se comprueba o monitoriza el proceso Linux 125_1, al mismo tiempo se comprueba la ejecución del respectivo servicio por parte de la aplicación 126 y se verifica su desarrollo seguro. De esta manera se hace posible una certificación a través de todas las capas de un sistema relativo a la seguridad 2.
Si ya existe un resultado de procesamiento a, entonces este es redirigido a un codificador de paquete 127 del MCP 12. El codificador de paquete 127 codifica el resultado de procesamiento a y redirige el resultado de procesamiento a codificado a la interfaz 121 para la transmisión y recepción de datos. Este transmite el resultado de procesamiento a codificado al SEP 11, o a la interfaz 113 del SEP. Desde allí, el resultado de procesamiento a codificado llega al decodificador de paquete 114, es decodificado y retransmitido a un repartidor 115.
El repartidor 115 asigna el resultado de procesamiento a al correspondiente proceso de control 111_1, 111_2 hasta 111_n. Esto puede realizarse, por ejemplo, como se ha explicado más arriba, mediante un ID que también es transmitida.
El correspondiente proceso de control 111_1, 111_2 hasta 111_n valora el resultado de procesamiento a recibido, por ejemplo mediante una valoración adecuada o mediante una comparación adecuada del resultado de monitorización by del resultado de procesamiento a.
Si la valoración del resultado de procesamiento a por parte del proceso de control 111_1, 111_2 hasta 111_n resulta positiva, entonces el sistema relativo a la seguridad 2 se encuentra en una estado seguro. De lo contrario se realizan medidas correspondientes para proteger el sistema. En caso de necesidad se dispone la detención completa del sistema relativo a la seguridad 2 a través del SEP 11 del sistema de control 1.
Sin embargo, puede suceder que el MCP 12 se encuentre en su capacidad máxima. Para absorber un caso de este tipo, para el procesamiento de un resultado de monitorización por parte de un proceso Linux 125_1, 125_2 hasta 125_n se puede fijar una duración temporal, dentro de la cual debe realizarse el procesamiento del resultado de monitorización b. Si el procesamiento del resultado de monitorización b no se realiza dentro del tiempo predeterminado, se puede prever otro intento para el procesamiento. Se detiene el procesamiento realizado hasta
entonces y se inicia un nuevo procesamiento del resultado de monitorización b. Si tampoco el nuevo procesamiento arroja un resultado, entonces se lleva al sistema relativo a la seguridad 2 a un estado seguro. Eventualmente se finaliza la ejecución del sistema relativo a la seguridad 2. Esta verificación puede realizarse, por ejemplo, en el MCP 12 por parte de los componentes del mando SEP 124 y un mando de seguridad global (Global Safety Control, GSC) 5 128. Para la monitorización, el mando SEP 124 recibe la correspondiente ID del decodificador de paquete 122,
cuando el resultado de monitorización respectivo llega al decodificador de paquete 122. La disposición de la transferencia del sistema 2 a un estado seguro puede ser realizada en el MCP 12 por parte del mando de seguridad 128.
El mando general de seguridad del lado del SEP 11 es realizado, conforme al presente ejemplo de ejecución, por el 10 componente control global de seguridad (GSC) 116, que maneja la ejecución de procesos de control 111_1, 111_2
hasta 111 n y monitoriza los resultados de los procesos Linux o procesos de procesamiento. La disposición de la
transferencia del sistema a un estado seguro puede realizarse en el SEP 11 por parte del GSC 116.
La fig. 2 muestra un sistema relativo a la seguridad 2 que presenta múltiples capas 21, 22, 23, 24 y que es monitorizado conforme a un ejemplo de ejecución ventajoso de la presente invención.
15 En el presente ejemplo de ejecución, el sistema relativo a la seguridad 2 presenta una capa de aplicación 21, una capa Middleware 22, que es, por ejemplo, un framework de comunicación, una capa de sistema operativo 23, por ejemplo un sistema operativo de código libre y una capa de hardware 24. Las respectivas capas 21, 22, 23 pueden ser monitorizadas de la manera representada arriba. Entre las capas también se realiza una comunicación o un intercambio de datos, es decir, las capas se influyen, coordinan, manejan y/o monitorizan unas a otras. En la fig. 2 20 esta comunicación se encuentra representada por flechas entre las capas.
En este caso, el sistema relativo a la seguridad 2 se encuentra, por ejemplo, en un procesado principal. La monitorización es monitorizada por un dispositivo de monitorización, como por ejemplo el SEP 11 antes mencionado.
SI se realiza una monitorización de la capa de aplicación 21, entonces se pueden monitorizar módulos de software o procesos de software de la capa de aplicación 21. Durante la monitorización se garantiza, que las aplicaciones 25 corren correctamente. En ese caso se puede deducir también un funcionamiento correcto o una operación correcta de las capas que se encuentran por debajo.
En este caso, el SEP 11 presenta, entre otros, los procesos de control que se encuentran instalados para la monitorización de la capa de aplicación 21. Los resultados o datos de estos procesos de control son transmitidos a la capa de aplicación 21 en el procesador principal y allí son procesados por los respectivos procesos o módulos de 30 la capa de aplicación 21. Los resultados o datos generados por el procesamiento son transmitidos al SEP 11 y los procesos de control verifican o monitorizan si son correctos.
De manera similar se puede realizar también la monitorización de la capa Middleware 22.
La monitorización de la capa de sistema operativo 23 también se puede realizar de la manera antes descrita.
Además, se pueden monitorizar también los procesos para ver si estos aún "viven". Si se considera el sistema 35 operativo Linux, entonces se pueden transmitir al dispositivo de monitorización 11, luego del inicio del sistema relativo a la seguridad 2 o del sistema operativo, y mediante el comando "grep" de Linux, identificadores de los procesos que corren en Linux. El dispositivo de monitorización 11 puede iniciar estos procesos, por ejemplo, en una lista o tabla. Mientras funciona el sistema relativo a la seguridad 2 se puede monitorizar, entonces, si los procesos de Linux todavía e desarrollan de la manera esperada, o si los procesos aún existen, es decir, especialmente, si se 40 encuentran "vivos".
De este modo, la presente invención se refiere a la monitorización de un sistema relativo a la seguridad 2, especialmente un sistema eléctrico, electrónico o electrónico programable (E/E/PE). En ese caso, un primer resultado b de un primer proceso es transmitido desde un primer dispositivo, diseñado para la monitorización del sistema relativo a la seguridad 2, a un segundo dispositivo 12 que presenta, al menos, una parte del sistema relativo 45 a la seguridad 2. El primer resultado b es procesado por un segundo proceso, en donde el segundo proceso es un proceso del sistema relativo a la seguridad 2. Mediante el procesamiento se pone a disposición un segundo resultado a. A continuación se verifica el segundo resultado a para determinar, si el segundo proceso funciona o es operado correctamente y, de este modo, si el sistema relativo a la seguridad 2 trabaja correctamente.

Claims (12)

  1. 5
    10
    15
    20
    25
    30
    35
    40
    45
    REIVINDICACIONES
    1. Procedimiento para la monitorización de un sistema relativo a la seguridad (2), que se encuentra construido, al menos, de múltiples capas (21 - 24) con, al menos, una capa de hardware (21), una capa de sistema operativo (23) y una capa de aplicación (24), con los siguientes pasos:
    - transferencia de un resultado de monitorización (b) de un primer proceso (111) desde un dispositivo de monitorización (11), previsto para la monitorización del sistema relativo a la seguridad (2), a un dispositivo (12) que conforma, al menos, una parte del sistema relativo a la seguridad (2); en donde el primer proceso (111) es determinado a partir de una cantidad de procesos, que se encuentran almacenados en el dispositivo de monitorización (11);
    - valoración del resultado de monitorización (b) por medio de un segundo proceso (125), en donde el segundo proceso (125) forma un proceso del sistema relativo a la seguridad (2) y es un proceso de la capa de sistema operativo (23);
    - cálculo de un resultado de procesamiento (a) en dependencia del resultado de monitorización (b);
    y
    - verificación del resultado de monitorización (a) calculado.
  2. 2. Procedimiento conforme a la reivindicación 1, en donde para la valoración del resultado de monitorización (b) se encuentra previsto un tiempo predeterminado.
  3. 3. Procedimiento conforme a la reivindicación 2, en donde la valoración del primer resultado de monitorización (b) no se realiza dentro del tiempo previsto para ello, se interrumpe la valoración del resultado de monitorización (b) y se realiza una nueva valoración del resultado de monitorización (b) por parte del segundo proceso (125).
  4. 4. Procedimiento conforme a la reivindicación 2 o 3, en donde la determinación acerca de si la valoración del resultado de monitorización (b) se ha realizado dentro del tiempo predeterminado se realiza en el dispositivo de monitorización (11) y/o en el dispositivo (12) del sistema relativo a la seguridad (2).
  5. 5. Procedimiento conforme a una de las reivindicaciones anteriores, en donde la valoración del resultado de monitorización (b) presenta una aplicación de una función predeterminada del segundo proceso (125) sobre el resultado de monitorización (b).
  6. 6. Procedimiento conforme a una de las reivindicaciones anteriores, en donde la monitorización del resultado de procesamiento (a) se realiza en el dispositivo de monitorización (11).
  7. 7. Procedimiento conforme a la reivindicación 6, en donde el resultado de procesamiento (a) es transferido desde el dispositivo (12) del sistema relativo a la seguridad (2) hacia el dispositivo de monitorización (1).
  8. 8. Procedimiento conforme a una de las reivindicaciones anteriores, en donde el resultado de procesamiento (a) es monitorizado por el primero proceso (111).
  9. 9. Procedimiento conforme a una de las reivindicaciones anteriores, en donde, si de la monitorización del resultado de monitorización (a) resulta que el resultado de procesamiento (a) es erróneo se detiene el sistema relativo a la seguridad (2).
  10. 10. Disposición con un sistema relativo a la seguridad (2) que se encuentra construido, al menos, de múltiples capas (21 - 24) con, al menos, una capa de hardware (21), una capa de sistema operativo (23) y una capa de aplicación (24), y un sistema (1) para la monitorización del sistema relativo a la seguridad (2) con:
    - un dispositivo de monitorización (11) en el que se desarrolla un primer proceso (111), que genera un resultado de monitorización (b), que es transferido a otro dispositivo (12), que forma, al menos, una parte del sistema relativo a la seguridad (2), en donde un segundo proceso monitorizado (125) del sistema relativo a la seguridad (2) es un proceso de la capa del sistema operativo (23) y vuelve a enviar el resultado de monitorización recibido (b) para el cálculo de un resultado de procesamiento (a) al primer proceso (111) para la monitorización; y
    en donde el primer proceso (111) es determinado a partir de una cantidad de procesos, que se encuentran almacenados en el dispositivo de monitorización (11).
  11. 11. Programa de ordenador que presenta una codificación que se encuentra diseñada de manera tal, que los pasos del procedimiento pueden ser ejecutados conforme a una de las reivindicaciones 1 a 9.
  12. 12. Programa de ordenador conforme a la reivindicación 11, en donde el programa de ordenador se encuentra almacenado en un soporte de datos.
    5 13. Soporte de datos que presenta un programa de ordenador conforme a la reivindicación 12.
ES09761528.0T 2008-05-28 2009-03-24 Procedimiento y sistema para la monitorización de un sistema relativo a la seguridad Active ES2594437T3 (es)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
DE102008025489 2008-05-28
DE102008025489A DE102008025489A1 (de) 2008-05-28 2008-05-28 Verfahren und System zum Überwachen eines sicherheitsbezogenen Systems
PCT/EP2009/053401 WO2009149965A2 (de) 2008-05-28 2009-03-24 Verfahren und system zum überwachen eines sicherheitsbezogenen systems

Publications (1)

Publication Number Publication Date
ES2594437T3 true ES2594437T3 (es) 2016-12-20

Family

ID=40740186

Family Applications (1)

Application Number Title Priority Date Filing Date
ES09761528.0T Active ES2594437T3 (es) 2008-05-28 2009-03-24 Procedimiento y sistema para la monitorización de un sistema relativo a la seguridad

Country Status (11)

Country Link
US (1) US20110213878A1 (es)
EP (1) EP2279480B1 (es)
CN (1) CN102047263B (es)
BR (1) BRPI0912138A2 (es)
DE (1) DE102008025489A1 (es)
DK (1) DK2279480T3 (es)
ES (1) ES2594437T3 (es)
PL (1) PL2279480T3 (es)
PT (1) PT2279480T (es)
RU (1) RU2520395C2 (es)
WO (1) WO2009149965A2 (es)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP2582586B1 (en) 2010-06-12 2017-05-17 TTS Tooltechnic Systems AG & Co. KG Box with lid and handle
PL2466505T3 (pl) 2010-12-01 2013-10-31 Nagravision Sa Sposób rozpoznawania autentyczności terminala
DE102015205285B4 (de) 2015-03-24 2017-02-23 Siemens Healthcare Gmbh Verfahren zum Betrieb eines medizinischen Geräts und medizinisches Gerät

Family Cites Families (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
SU918949A1 (ru) * 1980-06-30 1982-04-07 Предприятие П/Я В-2769 Устройство дл тестового контрол цифровых узлов
JP2944867B2 (ja) * 1993-10-26 1999-09-06 三菱電機株式会社 電動パワーステアリング制御装置
US5771343A (en) * 1996-02-14 1998-06-23 Sterling Commerce, Inc. System and method for failure detection and recovery
US7272723B1 (en) * 1999-01-15 2007-09-18 Safenet, Inc. USB-compliant personal key with integral input and output devices
US6651168B1 (en) * 1999-01-29 2003-11-18 International Business Machines, Corp. Authentication framework for multiple authentication processes and mechanisms
US7289994B2 (en) * 1999-10-18 2007-10-30 Fisher-Rosemount Systems, Inc. Interconnected zones within a process control system
US6338152B1 (en) * 1999-10-28 2002-01-08 General Electric Company Method and system for remotely managing communication of data used for predicting malfunctions in a plurality of machines
US7000100B2 (en) * 2001-05-31 2006-02-14 Hewlett-Packard Development Company, L.P. Application-level software watchdog timer
JP4155198B2 (ja) * 2004-01-19 2008-09-24 トヨタ自動車株式会社 車両の制御システムの異常検知装置
US7421625B2 (en) * 2005-05-26 2008-09-02 Microsoft Corporation Indicating data connection and status conditions
JP4483720B2 (ja) * 2005-06-23 2010-06-16 株式会社デンソー 電子制御装置
JP5035810B2 (ja) * 2006-06-30 2012-09-26 インターナショナル・ビジネス・マシーンズ・コーポレーション モバイル・デバイスにおけるメッセージ処理
UA21399U (en) * 2006-09-22 2007-03-15 Olena Mykhailivna Velychko Agent for paint stripping
RU2324967C1 (ru) * 2006-10-16 2008-05-20 Федеральное государственное унитарное предприятие "Научно-производственное предприятие "Сигнал" Программно-аппаратный стенд для диагностики цифровых и микропроцессорных блоков

Also Published As

Publication number Publication date
CN102047263B (zh) 2016-01-13
BRPI0912138A2 (pt) 2015-11-03
EP2279480A2 (de) 2011-02-02
RU2520395C2 (ru) 2014-06-27
CN102047263A (zh) 2011-05-04
US20110213878A1 (en) 2011-09-01
DK2279480T3 (en) 2016-10-03
RU2010153562A (ru) 2012-07-10
EP2279480B1 (de) 2016-06-29
PL2279480T3 (pl) 2017-09-29
WO2009149965A3 (de) 2010-06-10
DE102008025489A1 (de) 2009-12-24
WO2009149965A2 (de) 2009-12-17
PT2279480T (pt) 2016-09-05

Similar Documents

Publication Publication Date Title
JP4556144B2 (ja) 情報処理装置、復旧装置、プログラム及び復旧方法
ES2308480T3 (es) Control de seguridad.
ES2594437T3 (es) Procedimiento y sistema para la monitorización de un sistema relativo a la seguridad
US9405515B1 (en) Computing systems utilizing controlled dynamic libraries and isolated execution spaces
JP4653230B2 (ja) Ａｐｉ検査装置及び状態監視装置
ES2928482T3 (es) Procedimiento y sistema de ejecución segura de máquinas virtuales por un conjunto de dispositivos programables interconectados
WO2006022161A1 (ja) 情報通信装置及びプログラム実行環境制御方法
CN109564606A (zh) 用于将安全协处理器用于固件保护的方法和装置
ES2615860T3 (es) Sistema y procedimiento de aseguramiento de un ordenador que incluye un micronúcleo
CN102656592A (zh) 信息处理设备、信息处理***、软件例程执行方法和远程认证方法
KR20140132390A (ko) 전자 제어 시스템의 기능적 보안성을 향상시키고 이용 가능성을 증대시키는 방법, 및 전자 제어 시스템
KR20180005690A (ko) 안전 관련 소프트웨어를 업데이트하는 방법
JP2019050507A (ja) 情報処理装置、情報処理方法およびプログラム
CN110785558B (zh) 风力涡轮机中的制动器保护
ES2546018T3 (es) Procedimiento para la distribución de módulos de software
CN109964205A (zh) 安全密钥管理
CN105555638A (zh) 双重安全关键的分布式***中的非关键部件的软件更新
JP2011150439A (ja) 情報処理装置、情報処理装置のハードウェア設定方法及びそのプログラム
CN109691060A (zh) 电子设备、软件发放服务器及其方法
ES2837444T3 (es) Procedimiento para el intercambio de mensajes entre dispositivos relevantes para la seguridad
JP7080982B2 (ja) 医療システムにおける医療装置の動作を制御する方法および医療システム
JP4941748B2 (ja) 安全制御システム
CN104346306B (zh) 高完整性dma操作的***和方法
ES2655675T3 (es) Aparato y procedimiento para conectar redes informáticas
ES2795015T3 (es) Dispositivo de servidor que opera un software para el control de una función de un sistema de protección de transporte sobre carriles