(57)【特許請求の範囲】
【請求項１】
フィールドバス(60)を介した安全な通信をサポートするためのセキュリティデバイス(20; 120)であって、
前記セキュリティデバイス(20、120)を、フィールドバス(60)に接続されるフィールドバス接続機器(30、80)のネットワークインタフェース(31、81)に、直接的に結合するための接続装置（10、121）であって、前記フィールドバス接続機器(30、80)が前記フィールドバス(60)を介して安全な通信をするように構成されていない接続装置（10、121）と、
前記セキュリティデバイス(20、120)を前記フィールドバス(60)に接続するためのネットワークインタフェース(50、122)と、
送受信装置（24、123）であって、直接的に結合されて、かつ安全な通信をするように構成されていないフィールドバス接続機器(30)からのデータを、所定のセキュリティプロトコルに従って前記フィールドバスを介して送信するように構成されるとともに、前記所定のセキュリティプロトコルに従って前記フィールドバスを介して送信され、前記フィールドバス接続機器(30)のために指定されたデータを受信して前記フィールドバス接続機器(30)に転送するよう構成された送受信装置（24、123）と、を備え、
前記セキュリティデバイス(20、120)と前記フィールドバス接続機器(30)とが接続されている結合状態において、当該結合からの分離又は当該結合の損傷があると、前記セキュリティデバイス(20、120)の正常な動作が可逆的、または、非可逆的にブロックされるよう構成されているセキュリティデバイス。
【請求項２】
コントローラ(22、126)、及び、前記セキュリティデバイス(20、120)とフィールドバス接続機器(30)との間の接続を監視するように構成された監視装置(21、124)によって特徴づけられ、前記コントローラ(22、126)は、前記監視装置(21; 124)からのエラー信号に応答して、前記セキュリティデバイスの正常な動作をブロックするよう構成されている、請求項１に記載のセキュリティデバイス。
【請求項３】
前記セキュリティデバイス(20)は、プラグコネクタに一体化されている、請求項１又は２に記載のセキュリティデバイス。
【請求項４】
前記送受信装置(24; 127)は、フィールドバスを介して受信された暗号化されたデータを復号し、フィールドバスを介した安全な通信のために構成されていないフィールドバス接続機器(30)によって送信されるべきデータを暗号化するように構成されていることを特徴とする、請求項１乃至３のいずれか１項に記載のセキュリティデバイス。
【請求項５】
セキュリティデバイス(20; 120)は、所定のセキュリティプロトコルに従って１つの認証方式および/または少なくとも1つの暗号アルゴリズムを実行するように構成されていることを特徴とする、請求項１乃至４のいずれか１項に記載のセキュリティデバイス。
【請求項６】
暗号鍵を格納するためのセキュアメモリ(23; 125)によって特徴づけられる、請求項１乃至５のいずれか１項に記載のセキュリティデバイス。
【請求項７】
前記コントローラ(22、126)は、前記監視装置(21、124)からのエラー信号に応答して、少なくとも1つの暗号鍵を消去し、および/または、セキュリティデバイス(20、120)の、接続装置(10、121)および/またはネットワークインタフェース(50、122)を不可逆的または可逆的にブロックするように構成されていることを特徴とする、請求項2を引用する請求項6および請求項2のいずれか1項に記載のセキュリティデバイス。
【請求項８】
前記セキュリティデバイス(20; 120)の電力供給は、前記フィールドバス60を介して、および/または内部電源によって、および/または接続されているフィールドバス接続機器30を介して、および/または エネルギーハーベスティングによって行われる、請求項１乃至７のいずれか１項に記載のセキュリティデバイス。
【請求項９】
前記送受信装置(24; 127)は、接続されたフィールドバス接続機器(30)であってフィールドバスを介した安全な通信のためには構成されていないフィールドバス接続機器(30)からのデータを、前記フィールドバスに透過的に送信するよう構成されていることを特徴とする、請求項１乃至８のいずれか１項に記載のセキュリティデバイス。
【請求項１０】
請求項１乃至９のいずれか１項に記載のセキュリティデバイスであって、
当該セキュリティデバイスに、フィールドバス接続機器(30)として、フィールドデバイスまたは制御デバイスが接続可能になっていることを特徴とするセキュリティデバイス。
【請求項１１】
前記所定のセキュリティプロトコルは、１つのフィールドバスプロトコルに統合された複数の定義されたセキュリティ機能を含むことを特徴とする請求項１乃至１０のいずれか１項に記載のセキュリティデバイス。
【請求項１２】
フィールドバスを介した安全な通信をサポートするためのフィールドバスシステム(5)であって、
フィールドバス(60)と、
前記フィールドバス(60)に接続するために構成されたネットワークインタフェース(31; 81)を有する少なくとも1つの第1のフィールドバス接続機器(30; 80)と、
を備え、
前記少なくとも1つの第1のフィールドバス接続機器(30; 80)は、前記フィールドバスを介した安全な通信のためには構成されておらず、
前記少なくとも1つの第1のフィールドバス接続機器(30; 80)は、請求項１乃至１０のいずれか１項に記載のセキュリティデバイス (120; 120')に接続され、前記セキュリティデバイス(120; 120')は、所定のセキュリティプロトコルに従う安全な通信のために構成されているフィールドバスシステム(5)。
【請求項１３】
少なくとも1つの、前記フィールドバス(60)に接続され第2のフィールドバス接続機器(70)であって、前記少なくとも1つの第1のフィールドバス接続機器(30; 80)が結合されるセキュリティデバイス(120; 120')との所定のセキュリティプロトコルに従う安全な通信のために構成されている第2のフィールドバス接続機器(70)によって特徴づけられる請求項12に記載のフィールドバスシステム。
【請求項１４】
前記少なくとも1つの第1のフィールドバス接続機器(30; 80)と前記セキュリティデバイス(120; 120')との間は、着脱不能に接続されていることを特徴とする、請求項12または13に記載のフィールドバスシステム。
【請求項１５】
前記少なくとも1つの第1のフィールドバス接続機器(30)は、フィールドデバイスまたは制御デバイスとして構成することができ、少なくとも1つの第2のフィールドバス接続機器(80)は、フィールドデバイスまたは制御デバイスとして構成されうる、請求項12〜14のいずれか1項に記載のフィールドバスシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、フィールドバスを介した安全な通信をサポートするためのセキュリティデバイスおよびフィールドバスシステムに関する。
【背景技術】
【０００２】
情報通信技術における通信セキュリティは、サイバー空間全体において、したがって産業自動化技術においても、ますます重要な役割を果たしている。
【０００３】
特許文献１から、マイクロネットワーク(マイクログリッド)内の従来の装置に安全な通信を提供することができる手段が知られている。この目的のために、セキュリティデバイスは、従来のローカル装置と、BITW (バンプ・イン・ザ・ワイヤ)装置として構成されたリモート接続との間で切り替えられる。そのようなBITWデバイスは、別個のエンティティとしてオンにされ、管理される。
【０００４】
Modbus、PROFINET、Ethernet / IP、HART、Foundation Fieldbusプロトコルなどの既存のフィールドバスネットワークプロトコルには、セキュリティメカニズム又はセキュリティ機能、すなわち例えば、2以上の接続機器間の通信リンクを外部攻撃から保護することができるセキュリティ機構が含まれていない。通信セキュリティ、特に接続機器間の情報交換の保護を保証する公知のセキュリティ機能は、例えば、認証アルゴリズム、完全性保証アルゴリズム、または暗号化・復号アルゴリズムである。これまで、既知のフィールドバスネットワークは、周辺に配置されたファイヤウォールまたはアプリケーションゲートウェイによって保護され、その結果、信頼性は高いゾーンではあるが内部において通信が安全でないゾーンが生じる。
【０００５】
特許文献２から、フィールドデバイスを安全指向型フィールドバスに接続するための安全指向型装置が知られている。このために、フィールドバスコネクタが使用され、このフィールドバスコネクタは、フィールドバスを介して制御システムへの安全指向型信号の伝送を可能にする安全指向型フィールドバスインタフェースを有する。安全指向型信号は、必要とされる安全カテゴリ、したがって安全面に対応する。さらに、フィールドバスコネクタは、１つの安全指向型でフィールドバス中立のフィールドバスインタフェースを有する安全フィールドデバイスに接続することができる１つの安全指向型でフィールドバス中立のデバイスインタフェースを有する。
安全指向型でフィールドバス中立のフィールドバスインタフェースと、安全指向型ではあるがフィールドバス依存のフィールドバスインタフェースの両方を有する特殊なフィールドバスコネクタのおかげで、フィールドデバイスは、安全指向型のフィールドバス中立のフィールドバスインタフェースのためだけの開発が必要となる。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】欧州特許出願公開第 2 940 541号明細書
【特許文献２】独国特許出願公開第102 48 100号明細書
【発明の概要】
【発明が解決しようとする課題】
【０００７】
本発明の目的は、セキュリティ機能を持たないフィールドバス接続機器に、フィールドバスを介して安全に通信する能力を与えることができるセキュリティデバイス及びフィールドバスシステムを提供することである。
【課題を解決するための手段】
【０００８】
上記の技術的課題は、請求項1の特徴によって解決される。
【０００９】
これによれば、フィールドバスを介した安全な通信をサポートするために、セキュリティデバイスが提供される。セキュリティデバイスは、フィールドバス接続機器の、フィールドバスとの接続のために構成されたネットワークインタフェースにこのセキュリティデバイスを直接結合するための接続装置を有するが、このフィールドバス接続機器は、フィールドバスを介した安全な通信のために構成されていない。これは、フィールドバス接続機器が、通信を安全にするためのセキュリティ機能を有していないことを意味する。換言すれば、通信を安全にするためのセキュリティ機能を有していないフィールドバス接続機器は、技術的には、自分自身と少なくとも1つの他のフィールドバス接続機器との間の情報交換を保護することができない。
【００１０】
このセキュリティデバイスは、セキュリティデバイスとフィールドバスを介した安全な通信のために構成されていないフィールドバス接続機器とが結合した状態において、前記結合の分離または損傷が起これば、セキュリティデバイスの正常な動作が可逆的または不可逆的にブロックされるようになっている。セキュリティデバイスはまた、このセキュリティデバイスをフィールドバスに接続するためのネットワークインタフェースを有する。さらに、セキュリティデバイスは、フィールドバスを介して所定のセキュリティプロトコルに従って、安全な通信のために構成されていない、直接結合されたフィールドバス接続機器から来るデータを確実に送信するように構成された送受信装置を有する。さらに、この送受信装置は、このフィールドバス接続機器のために指定されたデータを、所定の安全プロトコルに従いフィールドバスを介して受信し、このフィールドバス接続機器に非安全として転送するように構成される。
【００１１】
所定のセキュリティプロトコルは、2以上の接続機器間の通信接続または情報交換を保護するプロトコルと理解される。例えば、所定のセキュリティプロトコルは、認証、完全性保護、データ暗号化、またはデータ復号を管理する。したがって、セキュリティデバイスは、例えば外部攻撃から保護された安全な通信を確実にするために、１つの認証方式を実行するように、および/または所定のセキュリティプロトコルに従って少なくとも1つの暗号アルゴリズムを実行するように構成されることが好ましい。
【００１２】
所定のセキュリティプロトコルに応じて、送受信装置は、フィールドバスを介して受信された暗号化されたデータを復号し、フィールドバスを介した安全な通信のために構成されていない接続されたフィールドバス接続機器から送信されるべきデータを暗号化するように構成することもできる。
【００１３】
暗号アルゴリズムを実行できるようにするために、セキュリティデバイスは、暗号鍵を格納するためのセキュアメモリを有することができる。また、所定のセキュリティプロトコルに従ってセキュリティ機能を実行するためのプログラムを、セキュアメモリに格納することもできる。
【００１４】
この点で、セキュリティデバイスは、通信セキュリティのためのセキュリティプロトコルの変更に適合させることができることを述べておくべきである。この目的のために、セキュリティデバイスはプログラミングインタフェースを有することができ、このプログラミングインタフェースを介してセキュリティデバイスの対応するプログラミングが可能となる。しかし、セキュリティデバイスがフィールドバスを介して有効化されうることも考えられる。
【００１５】
有利には、セキュリティデバイスは、コントローラと、セキュリティデバイスとこれに接続されたフィールドバス接続機器との間の接続を監視するように構成された監視装置とを有する。コントローラは、監視装置からのエラー信号に応答してセキュリティデバイスの正常な動作をブロックするように構成されている。このようなエラー信号は、セキュリティデバイスが、正常にすなわち損傷なしに、または無理やりに、結合されたフィールドバス装置から切り離された場合に、セキュリティデバイスによってトリガすることができる。
【００１６】
有利な発展形態では、セキュリティデバイスがコネクタ、特にRJ45コネクタに一体化されて設けられる。
【００１７】
有利には、コントローラは、監視装置からのエラー信号に応答して、セキュアメモリに格納された暗号鍵のうちの少なくとも1つを削除するように、および/または、セキュリティデバイスの接続デバイスおよび/またはネットワークインタフェースを不可逆的または可逆的にブロックするように構成されてもよい。
【００１８】
この手段は、セキュリティデバイスは、フィールドバス接続機器との結合の分離、損傷が確認されると、仮に再度動作可能であるとしても、オペレータが、例えば、以前に削除された暗号鍵を再度新たに格納し、及び/又は、遮断されたネットワークインタフェース及び/又は接続装置の遮断解除をすることによって、セキュリティデバイスを再び自由に使えるようにした場合にのみ、セキュリティデバイスを再度動作させることができることを確実にする。
【００１９】
好ましくは、例えば既知のパワーオーバーイーサネット技術によってフィールドバスを介して、および/または内部電源によって、および/または接続されたフィールドバス接続機器を介して、および/またはエネルギーハーベスティング（Energy Harvesting）技術によって、セキュリティデバイスのエネルギー供給が行われる。
【００２０】
フィールドバスを介した安全な通信のために構成されておらず、既にセキュリティデバイスに結合されているフィールドバス接続機器が、フィールドバスを介した非安全な通信が可能化されるべきである場合、送信および受信デバイスは、接続されたフィールドバス接続機器から、フィールドバスに対して透過的にデータを受信するように構成され得る。
【００２１】
好ましくは、フィールドデバイスまたは制御デバイスは、フィールドバス接続機器としてセキュリティデバイスに接続することができる。
【００２２】
所定のセキュリティプロトコルは、認証機能、暗号化機能、および完全性保証機能などの複数の定義されたセキュリティ機能を含み、これらは、別個のプロトコル・スタックとして実装されてもよく、またはフィールドバスプロトコルに統合されてもよい。
【００２３】
上記の技術的課題は、請求項12の特徴によっても解決される。
【００２４】
これによれば、フィールドバスを介した安全な通信をサポートするために、フィールドバスシステムが提供される。フィールドバスシステムは、フィールドバスと、フィールドバスに接続されるように構成されたネットワークインタフェースを有する少なくとも1つの第1のフィールドバス接続機器とを含み、少なくとも1つの第1のフィールドバス接続機器は、フィールドバスを介した安全な通信のために構成されていない。少なくとも1つの第1のフィールドバス接続機器は、上記で定義されたセキュリティデバイスに接続され、セキュリティデバイスは、所定のセキュリティプロトコルに従って安全な通信のために構成される。
【００２５】
有利には、少なくとも1つのフィールドバス接続機器およびそれに結合されたセキュリティデバイスは、例えば、共通アドレスを少なくとも1つのフィールドバス接続機器およびそれに結合されたセキュリティデバイスに割り当てることによって、フィールドバスシステム内で単一のフィールドバス接続機器として管理される。
【００２６】
有利には、フィールドバスには、所定のセキュリティプロトコルに従って少なくとも1つの第1のフィールドバス接続機器のセキュリティデバイスと安全に通信するように構成された第2のフィールドバス接続機器が接続される。
【００２７】
少なくとも1つの第1のフィールドバス接続機器と少なくとも1つのセキュリティデバイスとの間の安定した信頼できる結合を確立するために、セキュリティデバイスは、少なくとも1つの第1のフィールドバス接続機器に着脱可能または着脱不能に接続される。取り外し可能な接続は、例えば、ねじ接続を意味すると理解され、一方、取り外し不可能な接続は、例えば、リベット接続、溶接接続、または接着接続とすることができる。
【００２８】
有利な実施形態によれば、少なくとも1つの第1のフィールドバス接続機器はフィールドデバイスまたは制御デバイスとして構成され、少なくとも1つの第2のフィールドバス接続機器はフィールドデバイスまたは制御デバイスとして構成され得る。フィールドデバイスは、例えば、センサまたはアクチュエータであってもよく、一方、制御デバイスは、例えば、PLC (プログラマブルロジックコントローラ)またはDCS (分散制御システム)システムであってもよい。
【００２９】
本発明は、添付の図面と併せて、いくつかの実施形態を参照して、より詳細に説明される。
【図面の簡単な説明】
【００３０】
【図１】RJ45プラグに組み込まれたフィールドバスを介した安全な通信をサポートする例示的なセキュリティデバイスを示す。
【図２】別の例示的なセキュリティデバイスを示す。
【図３】本発明が実現される例示的なフィールドバスシステムを示す。
【００３１】
図1は、図３に例示されているフィールドバス60を介して安全な通信をサポートするための例示的なセキュリティデバイス20を示す。言い換えれば、セキュリティデバイス20は、フィールドバス60を介した通信の確保、例えば、外部からの攻撃に対する情報交換の保護をする役割を果たす。図1が例として示すように、セキュリティデバイス20は、プラグコネクタ、特にRJ45プラグ20に組み込むことができる。
【００３２】
セキュリティデバイス20は、フィールドバス60を介した安全な通信のために構成されてはいないフィールドバス接続機器30の、フィールドバス60への接続のために構成されたネットワークインタフェース31にセキュリティデバイス20を直接結合するための接続装置10を有する。すなわち、フィールドバス接続機器30は、通信を確保するためのセキュリティ機能を有さない。フィールドバス接続機器30のネットワークインタフェースは、セキュリティデバイス20を含むRJ45プラグを挿入することができるRJ45ソケットであることが好ましい。RJ45プラグ10及びRJ45ソケットは、着脱可能な、又は、脱着不能な態様で機械的に互いに結合することができる。
【００３３】
例えば図3に示す結合状態では、セキュリティデバイス20とフィールドバス接続機器30との間にある接続または結合は、その結合の分離又は損傷があるとセキュリティデバイス20の正常な動作が可逆的または不可逆的にブロックされるようになっている。
【００３４】
セキュリティデバイス20をフィールドバス接続機器30から取り外そうとしたとき、セキュリティデバイス20が損傷してその結果正常な動作が不可逆的にブロックされるように、セキュリティデバイス20がフィールドバス接続機器30にリベット止めされることが考えられる。セキュリティデバイス20が取り外される際、損傷されずまたはもはや機能しなくなるような損傷状態にならないのが好ましい。
【００３５】
セキュリティデバイス20は、フィールドバス60に接続するためのネットワークインタフェース50を有する。好ましくは、ネットワークインタフェース50は、ケーブル40を介してセキュリティデバイス20に接続することができるRJ45ソケットである。さらに、セキュリティデバイス20には送受信装置24が実装されており、送受信装置24は、直接結合されたフィールドバス接続機器、例えば、安全な通信のために構成されていないフィールドバス接続機器30から来るデータを、所定のセキュリティプロトコルに従ってフィールドバス60を介して確実に送信するように構成されている。送受信装置24は、さらに、フィールドバス60を介して所定のセキュリティプロトコルに従って送信されフィールドバス接続機器30のために指定されたデータを受信し、次いで、安全性を解除してフィールドバス接続機器30に転送するように構成される。このようにして、フィールドバス60を介した情報の交換を、例えば外部からの攻撃から保護することができる。
【００３６】
セキュリティデバイス20は、マイクロコントローラとして構成することができるコントローラ22を有することができる。さらに、セキュリティデバイス20と接続されたフィールドバス接続機器、例えばフィールドバス接続機器30との間の電気的および/または機械的接続を監視するように構成された監視装置21を設けることができ、コントローラ22は、監視装置21からのエラー信号に応答してセキュリティデバイス20の正常な動作をブロックするように構成されている。そのようなエラー信号は、セキュリティデバイス20が正常に、すなわち損傷なしに切断された場合、または結合されたフィールドバス接続機器30から強制的に切断された場合に、セキュリティデバイス20によってトリガされ得る。
【００３７】
監視装置21は、例えば圧力センサとして構成することができ、この圧力センサは、セキュリティデバイス20がフィールドバス接続機器30に結合されたときを検出する。監視装置21は、セキュリティデバイス20がフィールドバス接続機器30に接続されたときに電流を検出するように構成されることも考えられる。
【００３８】
所定のセキュリティプロトコルに応じて、送受信装置24は、フィールドバス60を介して受信された暗号化されたデータを復号し、接続されたフィールドバス接続機器、例えば、フィールドバスを介した安全な通信のために構成されていないフィールドバス接続機器30から送信されたデータを暗号化するために送信されてもよい。さらに、または任意選択で、セキュリティデバイス20は、所定のセキュリティプロトコルに従って認証動作および/または少なくとも1つの暗号アルゴリズムを実行するように構成されてもよい。
【００３９】
データを暗号化し、暗号アルゴリズムを実行するために、セキュリティデバイス20は、暗号鍵を格納することができるセキュアメモリ23を有する。さらに、セキュアメモリ23または別個のメモリには、コントローラ22が所定のセキュリティプロトコルに従ってセキュリティ機能を果たすために実行され得るプログラムが格納され得る。セキュアメモリとしては、HSM(Hardware Security Module)を用いることができる。
【００４０】
所定のセキュリティプロトコルは、既知であるかまたはまだ開発中の、セキュリティデバイス20によって実行可能な、複数のセキュリティ機能を含む。特に、所定のセキュリティプロトコルは、例えば、7層OSIモデルのプロトコル層とは無関係に、安全な通信セキュリティ機能をサポートすることができる。例示的なセキュリティ機能は、レイヤ2 MAC (メッセージ認証コード)アルゴリズムの実装をサポートすることができる。別のセキュリティ機能は、TCPベースのプロトコルのためのトランスポート層セキュリティ(TLS)をサポートすることができる。別のセキュリティ機能は、OSI階層モデルのアプリケーション層上でエンドポイント認証およびセッション鍵管理をサポートすることができる。
【００４１】
複数のセキュリティ機能を含むセキュリティプロトコルは、別個のプロトコル・スタックとして実施することができ、またはセキュリティデバイスに格納することができるフィールドバスプロトコルに統合することができる。
【００４２】
コントローラ22は、監視装置21からのエラー信号に応答して、セキュアメモリ23に記憶された暗号鍵のうちの少なくとも1つを削除するように構成されてもよい。このようにして、セキュリティデバイス20の機能を可逆的にブロックすることができる。なぜなら、セキュリティデバイス20が使用され続ける場合には、削除された暗号鍵がメモリ23に新たに書き込まれ、または、新たに定義された鍵が書き込まれうるからである。この目的のために、セキュリティデバイス20は、外部プログラミングのためのプログラミングインタフェースを有してもよい。プログラミングインタフェースを介して、セキュリティデバイス20は、セキュリティプロトコルの変更にも適合させることができる。セキュリティデバイス20の機能または正常な動作を不可逆的にブロックするために、コントローラ22は、監視装置21からのエラー信号に応答して接続装置10および/またはネットワークインタフェース50を不可逆的または可逆的にブロックするように構成されてもよい。
【００４３】
セキュリティデバイス20の電力供給は、フィールドバス60を介して、および/または内部電源(図示せず)によって、および/または接続されたフィールドバス接続機器、例えばフィールドバス接続機器30を介して、および/または エネルギーハーベスティング技術によって行うことができる。フィールドバス60を介したセキュリティデバイス20の電力供給は、例えば、公知のパワーオーバーイーサネット技術によって達成することができる。内部電源としては、電池を用いることができる。
【００４４】
図1に示すフィールドバス接続機器30は、例えば、制御デバイスであってもよい。しかし、フィールドバス接続機器として、センサまたはアクチュエータなどのフィールドデバイスをセキュリティデバイス20に接続することができる。
【００４５】
図2は、ハウジング130内に収容された別のセキュリティデバイス120を示している。この点において、セキュリティデバイス120の動作モード及び構造は、セキュリティデバイス20の機能及び構造に本質的に対応することができ、そのため、繰り返しを避けるために、セキュリティデバイス20に関する説明を参照されたい。
【００４６】
ハウジング130上には、2つのフランジ127および128が配置されてもよく、その各々に開口部が設けられ、その開口部を通って、例えば、セキュリティデバイス120を結合するためのねじまたはリベットが、フィールドバス接続機器に通されてもよい。セキュリティデバイス120は、セキュリティデバイス120をフィールドバス接続機器、例えばフィールドバスを介して安全に通信するようには構成されていないフィールドバス接続機器30の、フィールドバスとの接続のために構成さえたネットワークインタフェースに直接結合するための接続装置121を有する。接続装置121は、セキュリティデバイス120のハウジング130から導出されるRJ45プラグとして構成することができる。さらに、セキュリティデバイス120は、セキュリティデバイス120をフィールドバス60に接続するためのネットワークインタフェース122を有する。ネットワークインタフェース122は、RJ45ソケットとして構成することができ、その中にネットワークケーブルのRF-45プラグを挿入して、セキュリティデバイス120をフィールドバス60に接続することができる。
【００４７】
ここにおいても、図3に示されるように、結合状態では、セキュリティデバイス120とフィールドバス接続機器30との間の電気的および機械的接続は、セキュリティデバイス120の正常な動作の結合に対する分離または損傷が可逆的または不可逆的にブロックされるようになっている。セキュリティデバイス120はさらに、図から分かるように、セキュリティデバイス120をフィールドバス60に接続するためのネットワークインタフェース122を有する。さらに、セキュリティデバイス120は、直接結合されたフィールドバス接続機器、例えば、安全な通信のために構成されていないフィールドバス接続機器30から来るデータを、所定のセキュリティプロトコルに従って、フィールドバス60を介して確実に送信するように構成された送受信装置123を有する。さらに、送受信装置123は、フィールドバス60を介して所定のセキュリティプロトコルに従って送信された、フィールドバス接続機器30のために指定されたデータを受信しそしてフィールドバス接続機器30に転送するように構成される。
【００４８】
セキュリティデバイス20と同様に、セキュリティデバイス120は、監視装置124と、セキュアメモリ125と、例えばマイクロコントローラとして構成されたコントローラ126とを備えることができる。セキュリティデバイス120をプログラムするために、プログラミングインタフェース129が提供され得る。例えば、コンピュータをこのプログラミングインタフェース129に接続することができ、このコンピュータを介して、例えば、暗号鍵をセキュアメモリ125に書き込むことができる。プログラミングインタフェース129を介して、セキュリティデバイス120は、セキュリティプロトコルの変更にも適合させることができる。対応するセキュリティ機能は、セキュアメモリ125または別個のメモリ(図示せず)に格納することもできる。マイクロコントローラ126は、セキュアメモリ125に格納された暗号鍵およびプログラムにアクセスして、正常なセキュリティ機能を実行することができる。
【００４９】
図3は、フィールドバス60を介した安全な通信をサポートするための例示的なフィールドバスシステム5を示す。
【００５０】
フィールドバスシステム5は、フィールドバス60と、フィールドバス接続機器80をフィールドバス60に接続するように構成されたネットワークインタフェース81を有する少なくとも1つの第1のフィールドバス接続機器80とを有する。少なくとも1つの第1のフィールドバス接続機器80は、例えばセンサであってもよいが、フィールドバス60を介した安全な通信のために構成されていない。換言すれば、フィールドバス接続機器80は、通信を安全にするためのセキュリティ機能を全く含まず、したがって、フィールドバス60を介した通信を安全にするためのセキュリティ機能も全く含まない。
【００５１】
少なくとも1つの第1のフィールドバス接続機器80は、ネットワークインタフェース81を介してセキュリティデバイス120'に接続される。セキュリティデバイス120'は、所定のセキュリティプロトコルに従って安全な通信を行うように構成されている。言い換えると、セキュリティデバイス120'内には、特に外部攻撃に対してフィールドバス接続機器80への通信及びフィールドバス接続機器80からの通信を安全にするため、例えば、認証、完全性保護、データの暗号化、およびデータの復号を実行するセキュリティ機能が実装される。
【００５２】
セキュリティデバイス120'は、構造および動作モードにおいて、図２に示されるセキュリティデバイス120と実質的に同一とすることができる。したがって、セキュリティデバイス120は、フィールドバス60に接続するための送受信装置およびネットワークインタフェース122'と、フィールドバス接続機器80に機械的および電気的に接続するための接続装置121'とを有する。任意的に、セキュリティデバイス120'は、コントローラ、監視装置、セキュアメモリ、およびプログラミングインタフェースを含むことができる。セキュリティデバイス120'は、2つのフランジ127'及び128'を配置することができるハウジング130'内に収容することができる。フランジ127'及び128はそれぞれ開口部を有し、それぞれの開口部は、フィールドバス接続機器80と機械的に結合するためのねじ111及び110またはリベットを通過させることができる。フィールドバス接続機器80には、ねじを受け入れるための対応する凹部を設けることができる。ネットワークケーブル92は、セキュリティデバイス120'をフィールドバス60に接続するために、セキュリティデバイス120'のネットワークインタフェース122'に接続される。
【００５３】
フィールドバス60には、例えばアクチュエータとして構成された別のフィールドバス接続機器70がネットワークケーブル91を介して接続されている。フィールドバス接続機器80とは対照的に、フィールドバス接続機器70は、フィールドバス60を介した安全な通信のために構成されている。換言すれば、フィールドバス接続機器70では、所定のセキュリティプロトコルのセキュリティ機能が既に実現されている。
【００５４】
例えば、図1に示す制御デバイス30も、図２に示すセキュリティデバイス120を介してフィールドバス60に接続されている。セキュリティデバイス120は、例えば、ハウジング130のフランジ127、128の開口部を貫通するねじ100、101を介して、制御デバイス30に取り外し不能に接続されている。図3にさらに示すように、セキュリティデバイス120は、ネットワークケーブル90を介してフィールドバス60にも接続されている。ネットワークケーブル90は、この目的のために、セキュリティデバイス120のネットワークインタフェース122に接続される。
【００５５】
有利な発展形態によれば、セキュリティデバイス120およびセキュリティデバイス120'は、制御デバイス30またはセンサ80にリベット接続を介して取り外し不能に接続することもできる。そのような機械的結合は、ネットワークインタフェース122または122'を破壊または損傷することなく、それぞれのセキュリティデバイスをそれぞれのフィールドバス接続機器から取り外すことができないことを確実にする。したがって、このようなリベット接続は、セキュリティデバイス120又120'の機能をそれらを取り外した後は不可逆的に確実にブロックする。これは、セキュリティデバイスをもはや使用することができないことを意味する。
【００５６】
既に述べたように、セキュリティデバイス120及び120'は、例えば、公知のパワーオーバーイーサネット技術によって、フィールドバス60を介して電力を供給することができる。代替的に又は追加的に、セキュリティデバイス120は、コントローラ30によって電力供給されてもよく、セキュリティデバイス120'は、エネルギーを有するセンサ80によって電力供給されてもよい。代替的に又は追加的に、各セキュリティデバイスは、例えばバッテリの形態のそれ自体の内部電源を有することができる。さらに、既知のエネルギーハーべスティング技術を使用して、セキュリティデバイス120および120'に電力を供給することもできる。
【００５７】
また、セキュリティデバイス20、120、120'は、セキュリティアルゴリズム、乱数ジェネレータ、および暗号化アルゴリズムを所定のセキュリティプロトコルに従って実施することができる、いわゆるハードウェアセキュリティモジュールとみなすことができることにも留意されたい。
【００５８】
典型的なフィールドバスシステム5では、とりわけ、センサ80から制御デバイス30に送信するデータを暗号化して送信することができる。このために、センサ80からセキュリティデバイス120'に渡されたデータは、セキュリティ機能に従って暗号化され、フィールドバスを介してセキュリティデバイス120に送信される。セキュリティデバイス120は、受信したデータを再び復号し、暗号化することなくコントローラ30に転送する。同様に、アクチュエータ70によって暗号化されたデータは、セキュリティデバイス120に送信され、次いで復号されコントローラ30に渡されてもよい。同様に、制御デバイス30によってセンサ80のために指定されたデータは、まず、セキュリティデバイス120によって暗号化され、フィールドバス60を介してセキュリティデバイス120'に送信される。次いで、受信されたデータは、セキュリティデバイス120'によって復号され、センサ80に渡される。さらに、セキュリティデバイス120、120'およびアクチュエータ70は、所定のセキュリティプロトコルに従って相互認証を実行するように構成されてもよい。
【００５９】
セキュリティデバイス120および120'のおかげで、制御デバイス30およびフィールドバス接続機器80のそれ自体に通信セキュリティ技術の対策を行わなくても、フィールドバス60を介したフィールドバス接続機器70、80及び制御デバイス30の間の安全な、例えば外部攻撃から保護された通信が可能となる。
【００６０】
制御デバイス30がセキュリティデバイス120から取り外されることなく、セキュリティデバイス20が制御デバイス30と共にフィールドバス60から切断される場合、セキュリティデバイス120の正常な動作が単に可逆的にブロックされることが考えられる。この場合、セキュリティデバイス120の正常な動作は、オペレータの目標とされた介入によって再起動されることができ、その結果、制御デバイス30は、結合されたセキュリティデバイス120に再びフィールドバス60に接続され、動作されることができる。
【００６１】
セキュリティデバイス120、120'に、所定のセキュリティプロトコルのセキュリティ機能が未だ格納されておらず、または、有効化されていない場合、セキュリティデバイス120又はセキュリティデバイス120'の送受信装置は、コントローラ30とセンサ80との間の従来の、すなわち、安全ではない通信を可能にするため、制御デバイス30からのデータ、またはセンサ80からデータをフィールドバス60にそのまま通過させるように構成される。これは、既存の非安全なフィールドバスシステムを安全なフィールドバスシステムに切り替える場合に有用である。この目的のために、安全な通信のために構成されていないフィールドバス接続機器30および80に、セキュリティデバイス120および120'が結合され、フィールドバス60に接続される。まず、これらのセキュリティデバイスが、普通に動作する。その後、対応するセキュリティ機能が、セキュリティプロトコルに従って、セキュリティデバイス120および120'において可能化される。
【００６２】
有利には、フィールドバス接続機器30およびそれに結合されたセキュリティデバイス120は、例えば、フィールドバス接続機器30およびそれに結合されたセキュリティデバイス120に共通アドレスを割り当てることによって、フィールドバスシステム5内で単一のフィールドバス接続機器として管理される。同様に、フィールドバス接続機器80およびそれに結合されたセキュリティデバイス120'にも共通アドレスを割り当てることができる。このように、例示的なフィールドバスシステム5は、3つのフィールドバス接続機器を有するフィールドバスシステムとみなすことができる。
【図１】
0006968175.tif 000002
【図２】
0006968175.tif 000003
【図３】
0006968175.tif 000004