WO2022022891A1 - Verfahren zum detektieren einer etwaigen manipulation einer automatisierungskomponente - Google Patents
Verfahren zum detektieren einer etwaigen manipulation einer automatisierungskomponente Download PDFInfo
- Publication number
- WO2022022891A1 WO2022022891A1 PCT/EP2021/066757 EP2021066757W WO2022022891A1 WO 2022022891 A1 WO2022022891 A1 WO 2022022891A1 EP 2021066757 W EP2021066757 W EP 2021066757W WO 2022022891 A1 WO2022022891 A1 WO 2022022891A1
- Authority
- WO
- WIPO (PCT)
- Prior art keywords
- digital signature
- entity
- automation component
- data
- verification data
- Prior art date
Links
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/60—Protecting data
- G06F21/64—Protecting data integrity, e.g. using checksums, certificates or signatures
-
- G—PHYSICS
- G05—CONTROLLING; REGULATING
- G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
- G05B19/00—Programme-control systems
- G05B19/02—Programme-control systems electric
- G05B19/04—Programme control other than numerical control, i.e. in sequence controllers or logic controllers
- G05B19/05—Programmable logic controllers, e.g. simulating logic interconnections of signals according to ladder diagrams or function charts
- G05B19/058—Safety, monitoring
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/12—Applying verification of the received information
- H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/12—Applying verification of the received information
- H04L63/126—Applying verification of the received information the source of the received data
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
Definitions
- the invention relates to a method for detecting any manipulation of an automation component, and to such an automation component which is designed for use in the method according to the invention.
- field devices are used as automation components, which are used in process automation technology as well as in production automation technology.
- all devices that are used close to the process and that supply or process process-relevant information are referred to as field devices.
- field devices are used to record and/or influence process variables. Measuring devices or sensors are used to record process variables. These are used, for example, to measure pressure and temperature,
- Conductivity measurement, flow measurement, pH measurement, level measurement, etc. uses and records the corresponding process variables pressure, temperature, conductivity, pH value, level, flow rate, etc.
- Actuators are used to influence process variables. These are, for example, pumps or valves that can influence the flow of a liquid in a pipe or the fill level in a container.
- automation components are also understood to mean gateways, edge devices, remote I/Os, wireless adapters or devices in general that are arranged at the field level.
- field devices are usually connected to higher-level units via communication networks such as fieldbuses ( Profibus® , Foundation® Fieldbus , HART® , etc.).
- the superordinate units are control systems or control units, such as a PLC (programmable logic controller) or a PLC (programmable logic controller).
- the higher-level units are used, among other things, for process control, process visualization, process monitoring and for commissioning the field devices.
- the measured values recorded by the field devices, in particular by sensors are transmitted via the respective bus system to one (or optionally several) higher-level unit(s).
- data transmission from the higher-level unit via the bus system to the field devices is also required, in particular for configuring and parameterizing field devices and for controlling actuators.
- Custody transfer systems are used in the oil and gas industry, among other things, and are used for transactions and the transport of physical substances between two operators - supplier and recipient.
- Such a custody transfer system contains one or more automation components which are used to record the quantity of a transported physical substance and to store the data of the transactions. All transactions must be carried out and recorded in a tamper-proof and incontestable manner.
- the automation components, in particular the field devices, must be verified and calibrated and certified in this regard by an authority.
- Automation components used in such custody transfer systems are checked by an authorized person for correct installation and configuration.
- the automation component is then mechanically and/or electronically sealed.
- Calibration documentation is often printed out on paper. Afterwards, the automation components are often unattended.
- a validation of an automation component in particular with regard to the question of whether the automation component is still sealed or whether the configuration is changed, must be checked manually on site.
- a broken seal which was caused by unauthorized opening, can only be proven afterwards and only directly on site, since there is no active alarm. An authorized person thus has to travel to individual automation components from time to time, which is time-consuming and expensive. Furthermore, a chronological assignment of the breaking of the seal is not possible. In addition, the degree of manipulation of an automation component, in particular with regard to the configuration data, is often not readily ascertainable.
- the object of the invention is to verify the sealing of an automation component from a remote location.
- the object is achieved by a method for detecting any manipulation of an automation component, the automation component having a data record, a first private key and first verification data, which data record contains parameter values, formulas, calibration data, firmware versions, checksums and/or identification data, in particular a serial number or a device tag, wherein the method comprises the following method steps:
- the advantage of the method according to the invention is that it can be checked from a remote location whether the data record stored in an automation component has been changed or not.
- the data record is sent to a first instance, for example an authority, which checks the data record, for example whether calibrations have been carried out correctly.
- the first instance then signs the data record and certifies the automation component in this way.
- the automation component then creates a digital seal. This can be read out by a further instance, for example a plant operator, and checked using verification data which are supplied by the first instance and by the automation component. If changes were made to the data record, or if the digital seal was manipulated, one or more of the digital signatures cannot be successfully verified. An alarm message, for example, is then displayed to the system operator.
- the method according to the invention in particular the steps of generating the digital signatures and the digital seal, is repeated if an authorized and documented change is made to the data record.
- the first verification data or the second verification data comprise digital certificates and/or public keys.
- the respective digital signatures can be verified in a simple manner by means of the digital certificates or the public keys.
- At least one further instance is provided, the first instance having a further private key and further verification data, in particular a further digital certificate and/or a further public key, further comprising:
- the digital seal comprising the data record, the further digital signature, the second digital signature and the first verification data
- the data record is thus digitally signed by another entity, for example another authority or by a computer owned by the system operator.
- a further level of security is thus added.
- OPC UA Open Platform Communication Unified Architecture
- OPC UA Open Platform Communication Unified Architecture
- the steps of reading out and transmitting can thus be carried out in a tamper-proof manner.
- the field device and/or the second entity is in communication with a higher-level unit via an OPC UA network and the automation component or the second entity converts the alarm message as a device status into cyclic, Inserts OPC UA telegrams requested by the higher-level unit.
- OPC UA telegrams contain a device status.
- the device status is changed if the corresponding digital signatures could not be successfully verified and manipulation is therefore suspected. For example, the device status can be changed to "Verification failed" or "Needs verification".
- the automation component is switched off or a communication functionality of the automation component is deactivated. This can happen automatically so that no damage to the process or manipulation of the value stream occurs, especially in custody transfer applications or in safety-critical applications.
- the digital signatures include hash values of the data set, which are generated using the respective private key.
- the object is also achieved by an automation component which is designed for use in the method according to the invention.
- the automation component requires appropriate software or firmware, which is loaded onto the automation component by an authorized person before the method is carried out.
- the version of the software and the time it was uploaded is added to the record.
- the automation component is a field device which is designed to record a physical measured variable of a technical process or to influence a process variable.
- the automation component is a control system, an industrial gateway, a remote I/O, a plant access point or an edge device.
- FIG. 1 shows an exemplary embodiment of the method according to the invention
- FIG. 2 a detail of the exemplary embodiment.
- a field device is used as the automation component AK, specifically a flow meter for detecting a mass flow of a measurement medium that flows through a pipeline.
- the field device can be used in a custody transfer system, for example, and the measurement medium is crude oil, for example. In such a system it is of great importance that the measured values of the field device are calibrated and cannot be manipulated.
- the field device must be calibrated for this.
- the calibration data or calibration certificates, together with other data such as identification data of the automation component AK, parameter values of the automation component AK, the current firmware version, etc., are stored in a data record DS on the automation component AK.
- the automation component has a first private key and first verification data VD1. These components are used in a later process step. Verification data, which are mentioned in this method step and in further method steps, have a public key and/or digital certificates, for example.
- a network device for example a gateway, a flow computer, an edge device, etc. can be used as the automation component AK.
- the data set DS is read out by a first entity IN1. All data transmission processes (reading and transmission), which are mentioned in this and the following method steps, are carried out via a communication network that uses OPC UA as a protocol. This protocol allows data to be transmitted without manipulation.
- the first entity IN1 is, for example, an authority.
- the authority checks the data record DS, in particular the identification data, parameter values, firmware versions, checksums, calibration certificates and/or the amount of measurement medium that has flowed through the automation instrument, and signs the data record DS cryptographically, in particular by forming a hash value of the data record DS.
- the authority has a second private key KY2 for this purpose.
- the first instance IN1 has second verification data VD2, which allow conclusions to be drawn about the correctness of the data record DS and the identity of the first instance IN1.
- the verification data VD2 is a public key that corresponds to the private key KY2.
- the verification can be carried out as follows:
- H designates the hash value of the data set DS.
- H f(DS), where f denotes a hash function.
- g denotes an asymmetric cryptographic function.
- SN1 g(DS, K2).
- g' denotes an asymmetric cryptographic function for decrypting what was encrypted by g.
- So DS g'(SN1 , VD2).
- the first entity IN1 transmits the first digital signature SN1 and the second verification data to the automation component AK, whereupon this data be written into the automation component AK.
- the automation component In a fourth method step 4.), the automation component generates a second digital signature SN2.
- the data record DS, the first digital signature SN1 and the second verification data VD2 are cryptographically signed using the first private key KY1, in particular by forming a hash value or by encrypting the data.
- the automation component then creates a so-called digital seal SG.
- This contains the data record DS, the first digital signature SN1, the second digital signature SN2 and the first verification data VD1.
- method steps 1.) to 4.) are repeated.
- the contents of the digital seal SG always correspond to the current data record DS. If the data record DS is manipulated by an unauthorized person, the content of the digital seal SG no longer corresponds to the data record. An unauthorized person cannot update the digital seal, as this always involves at least one instance IN1 over which he cannot exercise any control. Checking the digital seal SG for consistency with the current data record DS is described below:
- the automation component AK transfers this to an external database, for example a cloud-based database, in a method step 5.).
- the digital seal SG remains in a data memory of the automation component AK.
- a second entity IN2 for example another authority or the plant operator, reads the digital seal SG in a method step 6.) from the database or the automation component AK.
- the second entity verifies in a method step 7.) the first signature SN1, ie in particular the identity of the first entity IN.
- the second instance IN2 reads out the current data set DS from the automation component AK in a method step 8.). In a method step 9.), the second entity IN2 then verifies the second digital signature using the first verification data VD1, for example by decrypting the data record and comparing the decrypted data record with the current data record DS.
- the result is then made known. If the first signature SN1 and the second signature SN2 could be successfully verified, then the data record DS was not changed without authorization. If one or both of the signatures SN1, SN2 cannot be verified successfully, the current data record DS stored in the automation component AK may have been manipulated. In this case, an alarm message is generated for example directly in the second entity IN2.
- the cyclical status of the automation component which is retrieved from a higher-level unit, is changed.
- the automation component AK is in communication connection with the superordinate unit, for example a control unit, via an OPC UA network. The device status is inserted into the cyclic OPC-UA telegrams requested by the higher-level unit, so that an alarm message is automatically detected. As a reaction, for example, the communication functionality of the automation component is restricted.
- additional entities INx, INn are provided, which generate additional digital signatures SNx, SNn.
- the digital seal SG is not generated directly.
- the first digital signature and the second verification data are transmitted to the further instance INx in a method step 1.a).
- the further instance INx In a method step 2.a), the further instance INx generates a further digital signature SNx by cryptographically signing the data record (DS), the first digital signature SN1 and the second verification data VD2 using a further private key KYx assigned to the further instance.
- the further entity INx transmits the further digital signature SNx and the further verification data VDx to the automation component AK, whereupon this data is written into the automation component.
- the automation component then creates the digital seal DS (similar to method step 4.) ff.). This contains all of the entities IN1, INx, . . . INn and the automation component itself generated digital signatures SN1, SN2, SNx, itself. An unauthorized person would have to exercise control over all instances IN1, INx, ..., INn in order to change the data record DS and to write this update in the digital seal SG.
- the second entity IN2 verifies all digital signatures SN1, SN2, SNx, SNn in succession, ending with the second signature, which verifies the verification of the data record DS allows. If just one of the digital signatures SN1, SN2, SNx, SNn cannot be verified, then the alarm message is generated.
- the method according to the invention is particularly suitable for use in custody transfer systems in which transactions must be carried out and recorded in a tamper-proof and incontestable manner.
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- General Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- General Physics & Mathematics (AREA)
- Software Systems (AREA)
- Physics & Mathematics (AREA)
- Computing Systems (AREA)
- Bioethics (AREA)
- General Health & Medical Sciences (AREA)
- Health & Medical Sciences (AREA)
- Automation & Control Theory (AREA)
- Management, Administration, Business Operations System, And Electronic Commerce (AREA)
- Storage Device Security (AREA)
Abstract
Die Erfindung umfasst ein Netzwerkgerät (NG) mit einer ersten Schnittstelle (SN1) und einer Elektronikeinheit (EE), wobei die erste Schnittstelle (SN1) dazu ausgestaltet ist, Daten, insbesondere Daten von zumindest einem Feldgerät (FG) der Automatisierungstechnik, gemäß einem OPC UA-Protokoll drahtlos zu empfangen, wobei das Netzwerkgerät (NG) dazu ausgestaltet ist, die empfangenen Daten anzuzeigen und/oder mittels der Elektronikeinheit (EE) weiterzuverarbeiten, sowie ein System zum manipulationsfreien Übertragen von Daten eines Feldgeräts (FG) der Automatisierungstechnik, welches das erfindungsgemäße Netzwerkgerät (NG) umfasst.
Description
Verfahren zum Detektieren einer etwaigen Manipulation einer Automatisierungskomponente
Die Erfindung betrifft ein Verfahren zum Detektieren einer etwaigen Manipulation einer Automatisierungskomponente, sowie eine solche Automatisierungskomponente, welche zur Verwendung in dem erfindungsgemäßen Verfahren ausgestaltet ist.
Aus dem Stand der Technik sind bereits Automatisierungskomponenten bekannt geworden, die in industriellen Anlagen zum Einsatz kommen. Beispielsweise werden Feldgeräte als Automatisierungskomponenten eingesetzt, welche in der Prozessautomatisierungstechnik ebenso wie in der Fertigungsautomatisierungstechnik zum Einsatz kommen. Als Feldgeräte werden im Prinzip alle Geräte bezeichnet, die prozessnah eingesetzt werden und die prozessrelevante Informationen liefern oder verarbeiten. So werden Feldgeräte zur Erfassung und/oder Beeinflussung von Prozessgrößen verwendet. Zur Erfassung von Prozessgrößen dienen Messgeräte, bzw. Sensoren. Diese werden beispielsweise zur Druck- und Temperaturmessung,
Leitfähigkeitsmessung, Durchflussmessung, pH-Messung, Füllstandmessung, etc. verwendet und erfassen die entsprechenden Prozessvariablen Druck, Temperatur, Leitfähigkeit, pH-Wert, Füllstand, Durchfluss etc. Zur Beeinflussung von Prozessgrößen werden Aktoren verwendet. Diese sind beispielsweise Pumpen oder Ventile, die den Durchfluss einer Flüssigkeit in einem Rohr oder den Füllstand in einem Behälter beeinflussen können. Neben den zuvor genannten Feldgeräten werden unter Automatisierungskomponenten auch Gateways, Edge Devices, Remote I/Os, Funkadapter bzw. allgemein Geräte verstanden, die auf der Feldebene angeordnet sind.
Eine Vielzahl solcher Feldgeräte wird von der Endress+Hauser-Gruppe produziert und vertrieben.
In modernen Industrieanlagen sind Feldgeräte in der Regel über Kommunikationsnetzwerke wie beispielsweise Feldbusse (Profibus®, Foundation® Fieldbus, HART®, etc.) mit übergeordneten Einheiten verbunden. Normalerweise handelt es sich bei den übergeordneten Einheiten um Leitsysteme bzw. Steuereinheiten, wie beispielsweise eine SPS (speicherprogrammierbare Steuerung) oder einen PLC (Programmable Logic Controller). Die übergeordneten Einheiten dienen unter anderem zur Prozesssteuerung, Prozessvisualisierung, Prozessüberwachung sowie zur Inbetriebnahme der Feldgeräte. Die von den Feldgeräten, insbesondere von Sensoren, erfassten Messwerte werden über das jeweilige Bussystem an eine (oder gegebenenfalls mehrere) übergeordnete Einheit(en) übermittelt. Daneben ist auch eine Datenübertragung von der übergeordneten Einheit über das Bussystem an die Feldgeräte erforderlich, insbesondere zur Konfiguration und Parametrierung von Feldgeräten sowie zur Ansteuerung von Aktoren.
Custody-Transfer-Anlagen, zu Deutsch „eichpflichtiger Verkehr“, werden unter anderem in der öl- und Gas-Industrie eingesetzt und für Transaktionen und dem Transport von physikalischen Substanzen zwischen zwei Betreibern - Lieferant und Empfänger - verwendet. Eine solche Custody- Transfer-Anlage beinhaltet eine oder mehrere Automatisierungskomponenten, welche zur Erfassung der Menge einer transportierten physikalischen Substanz, sowie zur Datenspeicherung der Transaktionen eingesetzt werden. Alle Transaktionen müssen manipulationssicher und unanfechtbar durchgeführt und aufgezeichnet werden. Die Automatisierungskomponenten, insbesondere die Feldgeräte müssen geeicht und kalibriert sein und diesbezüglich von einer Behörde zertifiziert sein.
Automatisierungskomponenten, welche in solchen Custody-Transfer-Anlagen eingesetzt werden, werden von einer autorisierten Person hinsichtlich der korrekten Installation und der Konfiguration geprüft. Anschließend wird die Automatisierungskomponente mechanisch und/oder elektronisch versiegelt. Die Dokumentation der Kalibrierung wird häufig auf Papier ausgedruckt. Anschließend sind die Automatisierungskomponenten häufig unbeaufsichtigt.
Eine Validierung einer Automatisierungskomponente, insbesondere betreffend die Fragestellung, ob die Automatisierungskomponente immer noch versiegelt ist oder ob die Konfiguration geändert wird, muss manuell vor Ort geprüft werden.
Eine aufgebrochene Versiegelung, welche durch ein unbefugtes Öffnen verursacht wurde, lässt sich jedoch erst im Nachhinein, und zudem lediglich direkt vor Ort, nachweisen, da keine aktive Alarmierung erfolgt. Eine befugte Person muss somit von Zeit zu Zeit zu einzelnen Automatisierungskomponenten reisen, was zeitaufwendig und kostspielig ist. Des Weiteren ist eine zeitliche Zuordnung des Aufbrechens der Versiegelung nicht möglich. Außerdem ist der Grad der Manipulation an einer Automatisierungskomponenten, insbesondere betreffend die Konfigurationsdaten, oftmals nicht ohne weiteres feststellbar.
Der Erfindung liegt die Aufgabe zugrunde, ein Versiegeln einer Automatisierungskomponente von einem entfernten Ort aus zu verifizieren.
Die Aufgabe wird durch ein Verfahren zum Detektieren einer etwaigen Manipulation einer Automatisierungskomponente gelöst, wobei die Automatisierungskomponente einen Datensatz, einen ersten privaten Schlüssel und erste Verifikationsdaten aufweist, welcher Datensatz Parameterwerte, Formeln, Kalibrierdaten, Firmwareversionen, Checksummen und/oder Identifikationsdaten, insbesondere eine Seriennummer oder ein Gerätetag, umfasst, wobei das Verfahren die folgenden Verfahrensschritte umfasst:
Auslesen des Datensatzes durch eine erste Instanz, wobei die erste Instanz einen zweiten privaten Schlüssel und zweite Verifikationsdaten aufweist;
Erzeugen einer ersten digitalen Signatur mittels der ersten Instanz durch kryptographisches Signieren des Datensatzes durch die erste Instanz unter Verwendung des zweiten privaten Schlüssels;
Schreiben der ersten digitalen Signatur und der zweiten Verifikationsdaten von der ersten Instanz in die Automatisierungskomponente;
Erzeugen einer zweiten digitalen Signatur mittels der Automatisierungskomponente durch kryptographisches Signieren des Datensatzes, der ersten digitalen Signatur und der zweiten Verifikationsdaten unter Verwendung des ersten privaten Schlüssels; Erzeugen eines digitalen Siegels mittels der Automatisierungskomponente, wobei das digitale Siegel den Datensatz, die erste digitale Signatur, die zweite digitale Signatur, und die ersten Verifikationsdaten umfasst;
Auslesen des digitalen Siegels mittels einer zweiten Instanz;
Verifizieren der ersten digitalen Signatur durch die zweite Instanz mittels der zweiten Verifikationsdaten;
Verifizieren der zweiten digitalen Signatur durch die zweite Instanz mittels der ersten Verifikationsdaten;
Erzeugen einer Alarmmeldung durch die zweite Instanz, im Falle, dass die erste digitale Signatur und/oder die zweite digitale Signatur nicht erfolgreich verifiziert werden kann.
Der Vorteil des erfindungsgemäßen Verfahrens besteht darin, dass von einem entfernten Ort überprüft werden kann, ob der in einer Automatisierungskomponente gespeicherte Datensatz verändert wurde oder nicht. Der Datensatz wird an eine erste Instanz, beispielsweise eine Behörde, übermittelt, welche den Datensatz prüft, beispielsweise, ob Kalibrierungen korrekt vorgenommen wurden. Anschließend signiert die erste Instanz den Datensatz und zertifiziert die Automatisierungskomponente auf diese Art und Weise.
Die Automatisierungskomponente erstellt anschließend ein digitales Siegel. Dieses kann von einer weiteren Instanz, beispielsweise einem Anlagenbetreiber, ausgelesen werden und mittels Verifikationsdaten, die von der ersten Instanz und von der Automatisierungskomponente mitgeliefert werden, überprüft werden. Wurden Änderungen am Datensatz vorgenommen, oder ist das digitale Siegel manipuliert worden, so können eine oder mehrere der digitalen Signaturen nicht erfolgreich verifiziert werden. Dem Anlagenbetreiber wird daraufhin beispielsweise eine Alarmmeldung angezeigt.
Es ist vorteilhafterweise vorgesehen, dass das erfindungsgemäße Verfahren, insbesondere die Schritte des Erzeugens der digitalen Signaturen und des digitalen Siegels, wiederholt wird, wenn eine befugte und dokumentierte Änderung am Datensatz erfolgt.
Gemäß einer vorteilhaften Ausgestaltung des erfindungsgemäßen Verfahrens ist vorgesehen, dass die ersten Verifikationsdaten, bzw. die zweiten Verifikationsdaten, digitale Zertifikate und/oder öffentliche Schlüssel, umfassen. Mittels der digitalen Zertifikate, bzw. der öffentlichen Schlüssel sind die jeweiligen digitalen Signaturen auf einfache Art und Weise verifizierbar.
Gemäß einer Weiterbildung des erfindungsgemäßen Verfahrens ist vorgesehen, dass zumindest eine weitere Instanz vorgesehen ist, wobei die erste Instanz einen weiteren privaten Schlüssel und weitere Verifikationsdaten, insbesondere ein weiteres digitales Zertifikat und/oder einen weiteren öffentlichen Schlüssel, aufweist, weiter umfassend:
Übermitteln der ersten digitalen Signatur und der zweiten Verifikationsdaten an die weitere Instanz;
Erzeugen einer weiteren digitalen Signatur mittels der weiteren Instanz durch kryptographisches Signieren des Datensatzes, der ersten digitalen Signatur und der zweiten Verifikationsdaten unter Verwendung des weiteren privaten Schlüssels; Schreiben der weiteren digitalen Signatur und der weiteren Verifikationsdaten von der weiteren Instanz in die Automatisierungskomponente;
Erzeugen der zweiten digitalen Signatur mittels der Automatisierungskomponente durch kryptographisches Signieren des Datensatzes, der weiteren digitalen Signatur und der weiteren Verifikationsdaten unter Verwendung des ersten privaten Schlüssels;
Erzeugen eines digitalen Siegels mittels der Automatisierungskomponente, wobei das digitale Siegel den Datensatz, die weitere digitale Signatur, die zweite digitale Signatur, und die ersten Verifikationsdaten umfasst;
Auslesen des digitalen Siegels mittels der zweiten Instanz;
Verifizieren der ersten digitalen Signatur durch die zweite Instanz mittels der zweiten Verifikationsdaten;
Verifizieren der weiteren digitalen Signatur durch die zweite Instanz mittels der weiteren Verifikationsdaten;
Verifizieren der zweiten digitalen Signatur durch die zweite Instanz mittels der ersten Verifikationsdaten;
Erzeugen einer Alarmmeldung durch die zweite Instanz, im Falle, dass die erste digitale Signatur, die weitere digitale Signatur und/oder die zweite digitale Signatur nicht erfolgreich verifiziert werden kann.
Der Datensatz wird somit von einerweiteren Instanz, beispielsweise einerweiteren Behörde oder von einem Rechner des Anlagenbetreibers, digital signiert. Es wird somit eine weitere Sicherheitsstufe hinzugefügt. Es kann vorgesehen sein, dass eine Vielzahl weiteren Instanzen die oben aufgeführten Schritte wiederholt, um eine Vielzahl von digitalen Signaturen zu erzeugen.
Gemäß einer vorteilhaften Ausgestaltung des erfindungsgemäßen Verfahrens ist vorgesehen, dass die Schritte des Auslesens und Schreibens über einen sicheren Datenkanal, insbesondere ausgebildet über ein OPC UA-Netzwerks, erfolgen. OPC UA („Open Platform Communication Unified Architecture“) erlaubt es standardmäßig, übertragene Daten zu verschlüsseln. Die Schritte des Auslesens und des Übermitteins können dadurch manipulationssicher erfolgen.
Gemäß einer vorteilhaften Ausgestaltung des erfindungsgemäßen Verfahrens ist vorgesehen, dass das Feldgerät und/oder die zweite Instanz über ein OPC UA-Netzwerk mit einer übergeordneten Einheit in Kommunikationsverbindung steht und wobei die Automatisierungskomponente, bzw. die zweite Instanz, die Alarmmeldung als Gerätestatus in zyklische, von der übergeordneten Einheit angeforderte, OPC-UA Telegramme einfügt. OPC UA Telegramme enthalten standardmäßig einen Gerätestatus. In dieser Ausgestaltung wird der Gerätestatus geändert, wenn die entsprechenden digitalen Signaturen nicht erfolgreich verifiziert werden konnten und somit der Verdacht einer Manipulation besteht. Der Gerätestatus kann beispielsweise in „Verifikation fehlgeschlagen“ oder „Überprüfung notwendig“ geändert werden.
Gemäß einer vorteilhaften Ausgestaltung des erfindungsgemäßen Verfahrens ist vorgesehen, dass im Falle, dass eine Alarmmeldung erzeugt wird, die Automatisierungskomponente ausgeschaltet wird oder eine Kommunikationsfunktionalität der Automatisierungskomponente deaktiviert wird. Dies kann automatisch geschehen, damit, insbesondere in Custody-Transfer-Applikationen oder in sicherheitskritischen Anwendungen, kein Schaden am Prozess oder eine Manipulation des Wertstroms entsteht.
Gemäß einer vorteilhaften Ausgestaltung des erfindungsgemäßen Verfahrens ist vorgesehen, dass die digitalen Signaturen Hashwerte des Datensatzes, welche mittels der jeweiligen privaten Schlüssel erzeugt werden, umfassen. Dadurch kann der aktuell in der Automatisierungskomponente befindliche Datensatz mit dem zum Zeitpunkt des Erzeugens einer Signatur ausgelesenen Datensatz verglichen werden. Dieser muss gleich sein, wenn es keine undokumentierte Änderung am Datensatz gegeben hat. Im Falle, dass der Datensatz abweicht, kann die jeweilige Signatur nicht erfolgreich verifiziert werden, woraufhin die Alarmmeldung erzeugt wird.
Des Weiteren wird die Aufgabe durch eine Automatisierungskomponente gelöst, welche zur Verwendung in dem erfindungsgemäßen Verfahren ausgestaltet ist. Die
Automatisierungskomponente benötigt hierfür eine entsprechende Software oder Firmware, welche vor Durchführen des Verfahrens von einer autorisierten Person auf die Automatisierungskomponente gespielt wird. Die Version der Software und der Zeitpunkt des Aufspielens wird dem Datensatz hinzugefügt.
Gemäß einer vorteilhaften Ausgestaltung der erfindungsgemäßen Automatisierungskomponente ist vorgesehen, dass die Automatisierungskomponente ein Feldgerät ist, welches zum Erfassen einer physikalischen Messgröße eines verfahrenstechnischen Prozesses oder zum Beeinflussen einer Prozessvariablen ausgestaltet ist.
Feldgeräte, welche im Zusammenhang mit dem erfindungsgemäßen Verfahren genannt werden, sind bereits im einleitenden Teil der Beschreibung beispielhaft aufgeführt worden.
Gemäß einer alternativen vorteilhaften Ausgestaltung der erfindungsgemäßen Automatisierungskomponente ist vorgesehen, dass die Automatisierungskomponente eine Steuerungsanlage, ein industrielles Gateway, ein Remote-I/O, ein Plant-Access-Point oder ein Edge Device ist.
Die Erfindung wird anhand der nachfolgenden Figuren näher erläutert. Es zeigen Fig. 1 : ein Ausführungsbeispiel des erfindungsgemäßen Verfahrens; und Fig. 2: eine Detaillierung des Ausführungsbeispiels.
In Fig. 1 ist schematisch ein beispielhafter Ablauf des erfindungsgemäßen Verfahrens mit den Verfahrensschritten 1.) bis 10.) gezeigt. Im vorliegenden Beispiel wird als Automatisierungskomponente AK ein Feldgerät verwendet, konkret ein Durchflussmessgerät zum Erfassen eines Massenstroms eines Messmediums, welches eine Rohrleitung durchströmt. Das Feldgerät kann beispielsweise in einem Custody-Transfer-System eingesetzt sein, das Messmedium ist beispielsweise Rohöl. In einem solchen System ist es von großer Wichtigkeit, dass die Messwerte des Feldgeräts geeicht sind, sowie nicht manipulierbar sind. Das Feldgerät muss hierfür kalibriert werden. Die Kalibrierdaten, bzw. Kalibrierzertifikate werden, mitsamt anderen Daten wie Identifikationsdaten der Automatisierungskomponente AK, Parameterwerten der Automatisierungskomponente AK, der aktuellen Firmwareversion, u.ä., in einem Datensatz DS auf der Automatisierungskomponente AK gespeichert. Weiterhin weist die Automatisierungskomponente einen ersten privaten Schlüssel und erste Verifikationsdaten VD1 auf. Diese Komponenten werden in einem späteren Verfahrensschritt eingesetzt. Verifikationsdaten, welche in diesem Verfahrensschritt und in weiteren Verfahrensschritten genannt werden, weisen beispielsweise einen öffentlichen Schlüssel und/oder digitale Zertifikate auf.
Alternativ kann ein Netzwerkgerät, beispielsweise ein Gateway, ein Flow-Computer, ein Edge Device, etc. als Automatisierungskomponente AK eingesetzt sein.
In einem ersten Verfahrensschritt 1.) wird der Datensatz DS von einer ersten Instanz IN1 ausgelesen. Alle Datenübermittlungsvorgänge (Auslesen und Übermitteln), welche in diesem und den folgenden Verfahrensschritten erwähnt werden, werden über ein Kommunikationsnetzwerk vorgenommen, welches OPC UA als Protokoll benutzt. Dieses Protokoll erlaubt ein manipulationsfreies Übermitteln von Daten. Bei der ersten Instanz IN1 handelt es sich beispielsweise um eine Behörde.
In einem zweiten Verfahrensschritt 2.) prüft die Behörde den Datensatz DS, insbesondere die Identifikationsdaten, Parameterwerte, Firmwareversionen, Checksummen, Kalibrierzertifikate und/oder die Menge des durch das Automatisierungsinstrument geflossene Messmedium und signiert den Datensatz DS kryptographisch, insbesondere durch Bilden eines Hashwerts des Datensatzes DS. Hierfür besitzt die Behörde einen zweiten privaten Schlüssel KY2. Hierdurch wird eine erste digitale Signatur SN1 erstellt, welche den Hashwert und eine Identifikation der ersten Instanz IN1 enthält. Des Weiteren weist die erste Instanz IN1 zweite Verifikationsdaten VD2 auf, welche es erlauben, Rückschlüsse auf die Korrektheit des Datensatzes DS und auf die Identität der ersten Instanz IN1 zu schließen. Beispielsweise handelt es sich bei den Verifikationsdaten VD2 um einen zu dem privaten Schüssel KY2 korrespondierenden öffentlichen Schlüssel.
Die Verifikation kann folgendermaßen durchgeführt werden:
H bezeichnet den Hashwert des Datensatzes DS.
Dieser wird gebildet durch H = f(DS), wobei f eine Hash-Funktion bezeichnet. g bezeichnet eine asymetrische kryptographische Funktion.
Hierdurch wird SN1 = g(DS, K2) gebildet. g’ bezeichnet eine an asymetrische kryptographische Funktion zum Entschlüsseln, was von g verschlüsselt wurde.
Also ist DS = g’(SN1 , VD2).
Der Hashwert lässt sich dann durch f(DS) = g’(SN1 , VD2) verifizieren. Wenn also der Hashwert gleich der Entschüsselung der ersten digitalen Signatur ist, ist die Verifikation erfolgreich durchgeführt.
In einem dritten Verfahrensschritt 3.) übermittelt die erste Instanz IN1 die erste digitale Signatur SN1 und die zweiten Verifikationsdaten an die Automatisierungskomponente AK, woraufhin diese Daten
in die Automatisierungskomponente AK geschrieben werden.
In einem vierten Verfahrensschritt 4.) erzeugt die Automatisierungskomponente eine zweite digitale Signatur SN2. Hierfür werden der Datensatzes DS, die erste digitalen Signatur SN1 und die zweiten Verifikationsdaten VD2 mittels des ersten privaten Schlüssels KY1 kryptographisch signiert, insbesondere durch Bilden eines Hashwerts oder durch Verschlüsseln der Daten.
Anschließend erstellt die Automatisierungskomponente ein sogenanntes digitales Siegel SG. Dieses enthält den Datensatz DS, die erste digitale Signatur SN1 , die zweite digitale Signatur SN2 und die ersten Verifikationsdaten VD1. Bei jedem qualifizierten Updaten an dem Datensatz DS werden die Verfahrensschritte 1.) bis 4.) wiederholt. Dadurch entsprechen die Inhalte des digitalen Siegels SG stehts dem aktuellen Datensatz DS. Wird der Datensatz DS durch einen Unbefugten manipuliert, so entspricht der Inhalt des digitalen Siegels SG nicht mehr dem Datensatz. Ein Unbefugter kann das digitale Siegel nicht updaten, da hierfür stets mindestens eine Instanz IN1 involviert ist, über welche er keine Kontrolle ausüben kann. Das Überprüfen des digitalen Siegels SG auf Konsistenz mit dem aktuellen Datensatz DS wird im Folgenden beschrieben:
Nach Erstellen des digitalen Siegels SG überträgt die Automatisierungskomponente AK dieses in einem Verfahrensschritt 5.) an eine externe Datenbank, beispielsweise an eine cloudbasierte Datenbank. Alternativ verbleibt das digitale Siegel SG in einem Datenspeicher der Automatisierungskomponente AK. Eine zweite Instanz IN2, beispielsweise eine weitere Behörde oder der Anlagenbetreiber, liest das digitale Siegel SG in einem Verfahrensschritt 6.) aus der Datenbank, bzw. der Automatisierungskomponente AK aus. Unter Verwendung der zweiten Verifikationsdaten VD2 verifiziert die zweite Instanz in einem Verfahrensschritt 7.) die erste Signatur SN1 , also insbesondere die Identität der ersten Instanz IN.
Konnte die erste Signatur SN1 korrekt verifiziert werden, so liest die zweite Instanz IN2 in einem Verfahrensschritt 8.) den aktuellen Datensatz DS aus der Automatisierungskomponente AK aus. Anschließend verifiziert die zweite Instanz IN2 in einem Verfahrensschritt 9.) die zweite digitale Signatur mittels der ersten Verifikationsdaten VD1 , beispielsweise durch Entschlüsseln des Datensatzes und Vergleichen des entschlüsselten Datensatzes mit dem aktuellen Datensatz DS.
In einem Verfahrensschritt 10.) wird anschließend das Ergebnis bekannt gemacht. Konnten die erste Signatur SN1 und die zweite Signatur SN2 erfolgreich verifiziert werden, so wurde der Datensatz DS nicht unbefugt verändert. Kann eine oder beide der Signaturen SN1, SN2 nicht erfolgreich verifiziert werden, so erfolgte eventuell eine Manipulation an dem in der Automatisierungskomponente AK gespeicherten aktuellen Datensatz DS. In diesem Fall wird eine Alarmmeldung erzeugt,
beispielsweise direkt in der zweiten Instanz IN2. Alternativ wird der zyklische Status der Automatisierungskomponente, welcher von einer übergeordneten Einheit abgerufen wird, geändert. Hierfür steht die Automatisierungskomponente AK über ein OPC UA-Netzwerk mit der übergeordneten Einheit, beispielsweise einer Steuerungseinheit, in Kommunikationsverbindung. Der Gerätestatus wird in die zyklischen, von der übergeordneten Einheit angeforderte, OPC-UA Telegramme eingefügt, so dass eine Alarmmeldung automatisch detektiert wird. Als Reaktion wird beispielsweise die Kommunikationsfunktionalität der Automatisierungskomponente eingeschränkt.
Um die Sicherheit des erfindungsgemäßen Verfahrens weiter zu erhöhen, sind weitere Instanzen INx, INn vorgesehen, welche weitere digitale Signaturen SNx, SNn erzeugen.
In Fig. 2 ist dies verdeutlicht: Nach dem dritten Verfahrensschritt 3.) wird nicht direkt das digitale Siegel SG erzeugt. Zuerst werden die erste digitale Signatur und die zweiten Verifikationsdaten in einem Verfahrensschritt 1.a) an die weitere Instanz INx übermittelt.
In einem Verfahrensschritt 2.a) erzeugt die weitere Instanz INx eine weitere digitalen Signatur SNx durch kryptographisches Signieren des Datensatzes(DS, der ersten digitalen Signatur SN1 und der zweiten Verifikationsdaten VD2 unter Verwendung eines weiteren, der weiteren Instanz zugeordneten privaten Schlüssels KYx.
In einem Verfahrensschritt 3.a) übermittelt die weitere Instanz INx die weitere digitale Signatur SNx die weiteren Verifikationsdaten VDx an die Automatisierungskomponente AK, woraufhin diese Daten in die Automatisierungskomponente geschrieben werden.
Diese Verfahrensschritte können daraufhin beliebig bis zu einer n-ten Instanz wiederholt werden (siehe Schritte 1.n), 2n), 3.n)), um weitere digitale Signaturen SNn unter Verwendung weiterer privater Schlüssel KYn zu erzeugen. Jede weitere digitale Signatur SNn wird anschließend in die Automatisierungskomponente AK geschrieben.
Anschließend erstellt die Automatisierungskomponente das digitale Siegel DS (analog zu Verfahrensschritt 4.) ff.). Dieses enthält sämtliche von den Instanzen IN1, INx, ..., INn und der Automatisierungskomponente selbst erzeugten digitalen Signaturen SN1 , SN2, SNx, ..., SNn, sämtliche Verifikationsdaten VD1 , VD2, VDx, ..., VDn und den Datensatz selbst. Ein Unbefugter müsste Kontrolle über alle Instanzen IN1 , INx, ..., INn ausüben, um den Datensatz DS zu ändern und dieses Update in das digitale Siegel SG zu schreiben.
Die zweite Instanz IN2 verifiziert abschließend nacheinander alle digitalen Signaturen SN1, SN2, SNx, SNn, endend mit der zweiten Signatur, welche die Überprüfung des Datensatz DS
ermöglicht. Kann nur eine einzelne der digitalen Signaturen SN1 , SN2, SNx, SNn nicht verifiziert werden, so wird die Alarmmeldung erzeugt.
Das erfindungsgemäße Verfahren eignet sich besonders zur Anwendung in Custody-Transfer- Anlagen, in welchen Transaktionen manipulationssicher und unanfechtbar durchgeführt und aufgezeichnet werden müssen.
Bezugszeichenliste
1.), .... 10.) Verfahrensschritte
AK Automatisierungskomponente AL Alarmmeldung
DS Datensatz
IN1 , IN2, INx, ..., INn erste Instanz, zweite Instanz, weitere Instanz, n-te Instanz
KY1 , KY2, KYx, ..., KYn private Schlüssel SG digitales Siegel
SN1 , SN2, SNx, ..., SNn digitale Signaturen VD1 , VD2, VDx, ..., VDn Verifikationsdaten
Claims
1. Verfahren zum Detektieren einer etwaigen Manipulation einer Automatisierungskomponente (AK), wobei die Automatisierungskomponente (AK) einen Datensatz (DS), einen ersten privaten Schlüssel (KY1) und erste Verifikationsdaten (VD1) aufweist, welcher Datensatz (DS) Parameterwerte, Formeln, Kalibrierdaten, Firmwareversionen, Checksummen und/oder Identifikationsdaten, insbesondere eine Seriennummer oder ein Gerätetag, umfasst, wobei das Verfahren die folgenden Verfahrensschritte umfasst:
Auslesen des Datensatzes (DS) durch eine erste Instanz (IN1), wobei die erste Instanz (IN1) einen zweiten privaten Schlüssel (KY2) und zweite Verifikationsdaten (VD2) aufweist;
Erzeugen einer ersten digitalen Signatur (SN1) mittels der ersten Instanz (IN1) durch kryptographisches Signieren des Datensatzes (DS) durch die erste Instanz (IN1) unter Verwendung des zweiten privaten Schlüssels (KY2);
Schreiben der ersten digitalen Signatur (SN1) und der zweiten Verifikationsdaten (VD2) von der ersten Instanz (IN1) in die Automatisierungskomponente (AK);
Erzeugen einer zweiten digitalen Signatur (SN2) mittels der
Automatisierungskomponente (AK) durch kryptographisches Signieren des Datensatzes (DS), der ersten digitalen Signatur (SN1) und der zweiten Verifikationsdaten (VD2) unter Verwendung des ersten privaten Schlüssels (KY1);
Erzeugen eines digitalen Siegels (SG) mittels der Automatisierungskomponente (AK), wobei das digitale Siegel (SG) den Datensatz (DS), die erste digitale Signatur (SN1), die zweite digitale Signatur (SN2), und die ersten Verifikationsdaten (VD1) umfasst; Auslesen des digitalen Siegels (SG) mittels einer zweiten Instanz (IN2);
Verifizieren der ersten digitalen Signatur (SN1) durch die zweite Instanz (IN2) mittels der zweiten Verifikationsdaten (VD2);
Verifizieren der zweiten digitalen Signatur (SN2) durch die zweite Instanz (IN2) mittels der ersten Verifikationsdaten (VD1);
Erzeugen einer Alarmmeldung (AL) durch die zweite Instanz (IN2), im Falle, dass die erste digitale Signatur (SN1) und/oder die zweite digitale Signatur (SN2) nicht erfolgreich verifiziert werden kann.
2. Verfahren nach Anspruch 1 , wobei die ersten Verifikationsdaten (VD1), bzw. die zweiten Verifikationsdaten (VD2), digitale Zertifikate und/oder öffentliche Schlüssel, umfassen.
3. Verfahren nach zumindest einem der Ansprüche 1 oder 2, wobei zumindest eine weitere Instanz (INx, INn) vorgesehen ist, wobei die erste Instanz (IN1) einen weiteren privaten Schlüssel (KYx,
KYn) und weitere Verifikationsdaten (VDx, VDn), insbesondere ein weiteres digitales Zertifikat und/oder einen weiteren öffentlichen Schlüssel, aufweist, weiter umfassend:
Übermitteln der ersten digitalen Signatur (SN1) und der zweiten Verifikationsdaten (VD2) an die weitere Instanz (INx, INn);
Erzeugen einerweiteren digitalen Signatur (SNx, SNn) mittels der weiteren Instanz (INx, INn) durch kryptographisches Signieren des Datensatzes (DS), der ersten digitalen Signatur (SN1) und der zweiten Verifikationsdaten (VD2) unter Verwendung des weiteren privaten Schlüssels (KYx, KYn);
Schreiben der weiteren digitalen Signatur (SNx, SNn) und der weiteren Verifikationsdaten (VDx, VDn) von der weiteren Instanz (INx) in die Automatisierungskomponente (AK);
Erzeugen der zweiten digitalen Signatur (SN2) mittels der Automatisierungskomponente (AK) durch kryptographisches Signieren des Datensatzes (DS), der weiteren digitalen Signatur (SNx, SNn) und der weiteren Verifikationsdaten (VDx, VDn) unter Verwendung des ersten privaten Schlüssels (KY1);
Erzeugen eines digitalen Siegels mittels der Automatisierungskomponente (AK), wobei das digitale Siegel den Datensatz (DS), die weitere digitale Signatur, (SNx, SNn) die zweite digitale Signatur (SN2), und die ersten Verifikationsdaten (VD1) umfasst;
Auslesen des digitalen Siegels mittels der zweiten Instanz (IN2);
Verifizieren der ersten digitalen Signatur (SN1) durch die zweite Instanz (IN2) mittels der zweiten Verifikationsdaten (VD2);
Verifizieren der weiteren digitalen Signatur (SNx, SNn) durch die zweite Instanz (IN2) mittels der weiteren Verifikationsdaten (VDx, VDn);
Verifizieren der zweiten digitalen Signatur (SNx, SNn) durch die zweite Instanz (IN2) mittels der ersten Verifikationsdaten (VD1);
Erzeugen einer Alarmmeldung (AL) durch die zweite Instanz (IN2), im Falle, dass die erste digitale Signatur (SN1), die weitere digitale Signatur (Snx, Snn) und/oder die zweite digitale Signatur (SN2) nicht erfolgreich verifiziert werden kann.
4. Verfahren nach zumindest einem der vorherigen Ansprüche, wobei die Schritte des Auslesens und Schreibens über einen sicheren Datenkanal, insbesondere ausgebildet über ein OPC UA- Netzwerks, erfolgen.
5. Verfahren nach zumindest einem der vorherigen Ansprüche, wobei das Feldgerät und/oder die zweite Instanz (IN2) über ein OPC UA-Netzwerk mit einer übergeordneten Einheit in Kommunikationsverbindung steht und wobei die Automatisierungskomponente (AK), bzw. die
zweite Instanz (IN2), die Alarmmeldung (AL) als Gerätestatus in zyklische, von der übergeordneten Einheit angeforderte, OPC-UA Telegramme einfügt.
6. Verfahren nach zumindest einem Ansprüche 1 bis 4, wobei im Falle, dass eine Alarmmeldung (AL) erzeugt wird, die Automatisierungskomponente (AK) ausgeschaltet wird oder eine
Kommunikationsfunktionalität der Automatisierungskomponente (AK) deaktiviert wird.
7. Verfahren nach zumindest einem der vorherigen Ansprüche, wobei die digitalen Signaturen (SN1 , SN2, ..., SNx, ..., SNn) Hashwerte des Datensatzes (DS), welche mittels der jeweiligen privaten Schlüssel (KY1 , KY2, ..., KYx, ..., KYn) erzeugt werden, umfassen.
8. Automatisierungskomponente (AK), welche zur Verwendung in einem Verfahren gemäß zumindest einem der Ansprüche 1 bis 7 ausgestaltet ist.
9. Automatisierungskomponente (AK) nach Anspruch 8, wobei die Automatisierungskomponente
(AK) ein Feldgerät ist, welches zum Erfassen einer physikalischen Messgröße eines verfahrenstechnischen Prozesses oder zum Beeinflussen einer Prozessvariablen ausgestaltet ist.
10. Automatisierungskomponente (AK) nach Anspruch 8, wobei die Automatisierungskomponente
(AK) eine Steuerungsanlage, ein industrielles Gateway, ein Remote-I/O, ein Plant-Access-Point oder ein Edge Device ist.
Applications Claiming Priority (2)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
DE102020120300.4 | 2020-07-31 | ||
DE102020120300.4A DE102020120300A1 (de) | 2020-07-31 | 2020-07-31 | Verfahren zum Detektieren einer etwaigen Manipulation einer Automatisierungskomponente |
Publications (1)
Publication Number | Publication Date |
---|---|
WO2022022891A1 true WO2022022891A1 (de) | 2022-02-03 |
Family
ID=76708205
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
PCT/EP2021/066757 WO2022022891A1 (de) | 2020-07-31 | 2021-06-21 | Verfahren zum detektieren einer etwaigen manipulation einer automatisierungskomponente |
Country Status (2)
Country | Link |
---|---|
DE (1) | DE102020120300A1 (de) |
WO (1) | WO2022022891A1 (de) |
Citations (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
DE102012004542A1 (de) * | 2012-03-09 | 2013-09-12 | Rwe Ag | Elektronisches Typenschild für Messgeräte |
US20160359825A1 (en) * | 2015-06-02 | 2016-12-08 | Rockwell Automation Technologies, Inc. | Active Response Security System for Industrial Control Infrastructure |
EP3554050A1 (de) * | 2018-04-09 | 2019-10-16 | Siemens Aktiengesellschaft | Verfahren zum sichern einer automatisierungskomponente |
US20190349204A1 (en) * | 2018-05-14 | 2019-11-14 | NStar Technology Incorporated | Trusted Contextual Content |
Family Cites Families (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US7757944B2 (en) | 2004-12-30 | 2010-07-20 | Life Technologies Corporation | System and method for offering and managing online purchasing card transactions |
WO2014150706A1 (en) | 2013-03-15 | 2014-09-25 | Wellaware Holdings, Inc. | Systems and methods for providing end-to-end monitoring and/or control of remote oil and gas production assets |
US20170032382A1 (en) | 2014-04-14 | 2017-02-02 | Jenda Tag, LLC | System and Method for Product Authentication |
WO2017176429A1 (en) | 2016-04-05 | 2017-10-12 | Wellaware Holdings, Inc. | Monitoring and controlling industrial equipment |
DE102016208512A1 (de) | 2016-05-18 | 2017-11-23 | Bundesdruckerei Gmbh | Zugangskontrolle mit einem Mobilfunkgerät |
-
2020
- 2020-07-31 DE DE102020120300.4A patent/DE102020120300A1/de active Pending
-
2021
- 2021-06-21 WO PCT/EP2021/066757 patent/WO2022022891A1/de active Application Filing
Patent Citations (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
DE102012004542A1 (de) * | 2012-03-09 | 2013-09-12 | Rwe Ag | Elektronisches Typenschild für Messgeräte |
US20160359825A1 (en) * | 2015-06-02 | 2016-12-08 | Rockwell Automation Technologies, Inc. | Active Response Security System for Industrial Control Infrastructure |
EP3554050A1 (de) * | 2018-04-09 | 2019-10-16 | Siemens Aktiengesellschaft | Verfahren zum sichern einer automatisierungskomponente |
US20190349204A1 (en) * | 2018-05-14 | 2019-11-14 | NStar Technology Incorporated | Trusted Contextual Content |
Also Published As
Publication number | Publication date |
---|---|
DE102020120300A1 (de) | 2022-02-03 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
WO2009106414A1 (de) | Verfahren zum betreiben eines feldgerätes | |
DE102017111928A1 (de) | Verfahren zur autorisierten Aktualisierung eines Feldgeräts der Automatisierungstechnik | |
EP3264208A1 (de) | Verfahren zum aktualisieren von prozessobjekten in einem engineerings-system | |
DE102012109348A1 (de) | Verfahren zum sicheren Bedienen eines Feldgerätes | |
DE202016105474U1 (de) | Vorrichtung zur manipulationssicheren Registrierung von Messwerten | |
DE102017102677A1 (de) | Verfahren zur Authentifizierung eines Feldgeräts der Automatisierungstechnik | |
EP3607405B1 (de) | Verfahren zum parametrieren eines feldgeräts sowie parametrierbares feldgerät | |
WO2016026622A1 (de) | Verfahren zum parametrieren eines feldgerätes | |
EP3391611B1 (de) | Zugangsschlüssel für ein feldgerät | |
WO2012065808A1 (de) | Verfahren zum erstellen einer diagnose eines feldgerätes | |
DE102014112226A1 (de) | Verfahren zum Übertragen von Feldgerätedaten | |
WO2022022891A1 (de) | Verfahren zum detektieren einer etwaigen manipulation einer automatisierungskomponente | |
WO2007122117A1 (de) | Verfahren zum parametrieren eines feldgerätes der prozessautomatisierungstechnik durch nachbildung der azyklischen dienste | |
EP3732868B1 (de) | Verfahren zum sichern einer automatisierungskomponente | |
WO2005109133A2 (de) | Verfahren zur bestimmung von serviceintervallen für feldgeräte der automatisierungstechnik | |
DE102010028152A1 (de) | Aufzeichnung von History-Informationen in einem Feldgerät | |
DE102010027963A1 (de) | Verfahren zum Betreiben eines Feldgerätes der Prozessautomatisierungstechnik | |
DE102007022006A1 (de) | Verfahren zum Übertragen von Daten zu einem Feldgerät der Automatisierungstechnik insbesondere der Prozessautomatisierungstechnik | |
WO2022135844A1 (de) | Honeypot für eine verbindung zwischen edge device und cloudbasierter serviceplattform | |
AT522276B1 (de) | Vorrichtung und Verfahren zur Integritätsprüfung von Sensordatenströmen | |
DE102020127079A1 (de) | Verfahren und System zum Einbinden von Feldgeräten der Automatisierungstechnik in eine cloudbasierte Serviceplattform | |
DE102020118958A1 (de) | Feldvorrichtung und Verfahren zur Integration einer Feldvorrichtung | |
EP3820081A1 (de) | Verfahren zur durchführung einer erlaubnisabhängigen kommunikation zwischen wenigstens einem feldgerät der automatisierungstechnik und einem bediengerät | |
DE102011084321A1 (de) | Kommunikationseinheit mit Informationsdarstellung basierend auf Anlagenstruktur | |
DE102022103950A1 (de) | Verfahren zum Überprüfen der Originalität einer Firmware eines Feldgeräts der Automatisierungstechnik |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
121 | Ep: the epo has been informed by wipo that ep was designated in this application |
Ref document number: 21736270 Country of ref document: EP Kind code of ref document: A1 |
|
NENP | Non-entry into the national phase |
Ref country code: DE |
|
122 | Ep: pct application non-entry in european phase |
Ref document number: 21736270 Country of ref document: EP Kind code of ref document: A1 |