【技術(shù)實現(xiàn)步驟摘要】
【國外來華專利技術(shù)】
本專利技術(shù)涉及一種用于在通信系統(tǒng)、尤其用于工業(yè)自動化系統(tǒng)的通信系統(tǒng)內(nèi)安全傳輸時間關(guān)鍵數(shù)據(jù)的方法、一種用于執(zhí)行該方法的通信系統(tǒng)和一種用于該通信系統(tǒng)的終端設(shè)備的適配器。
技術(shù)介紹
1、工業(yè)自動化系統(tǒng)通常包括多個通過工業(yè)通信網(wǎng)絡(luò)彼此聯(lián)網(wǎng)的自動化設(shè)備并且在制造或過程自動化的范圍內(nèi)用于控制或調(diào)節(jié)設(shè)施、機器或設(shè)備。由于工業(yè)自動化系統(tǒng)中的對時間要求嚴(yán)格的框架條件，為了在自動化設(shè)備之間進行通信主要使用實時通信協(xié)議、如profinet、profibus、實時以太網(wǎng)或時間敏感網(wǎng)絡(luò)（tsn）。控制服務(wù)或控制應(yīng)用尤其可以自動化地并且與利用率相關(guān)地分布到工業(yè)自動化系統(tǒng)的當(dāng)前可用的服務(wù)器或虛擬機上。
2、由ep?3?646?559?b1已知一種用于檢查在具有多個自動化單元的工業(yè)自動化系統(tǒng)內(nèi)部傳輸?shù)臄?shù)據(jù)報的方法，其中，來自自動化單元的待檢查的數(shù)據(jù)報經(jīng)由相應(yīng)的防火墻接口傳輸給防火墻系統(tǒng)以用于檢查并且在那里基于規(guī)則地檢查。防火墻系統(tǒng)由至少一個虛擬機形成，至少一個虛擬機被提供在包括多個計算單元的數(shù)據(jù)處理系統(tǒng)內(nèi)。為了傳輸要檢查的數(shù)據(jù)報，分別在各個防火墻接口和防火墻系統(tǒng)之間建立保護層隧道。在各個保護層隧道內(nèi)不僅傳輸待檢查的數(shù)據(jù)報而且傳輸至少成功檢查的數(shù)據(jù)報。
3、文獻wo?2020/182627?a1描述用于監(jiān)控工業(yè)網(wǎng)絡(luò)物理系統(tǒng)的完整性的方法，其中提供或者量取測量數(shù)據(jù)或者控制數(shù)據(jù)，測量數(shù)據(jù)利用網(wǎng)絡(luò)物理系統(tǒng)的不同的傳感器來檢測，控制數(shù)據(jù)用于網(wǎng)絡(luò)物理系統(tǒng)的不同的致動器。此外，在利用不同的傳感器檢測的測量數(shù)據(jù)之間確定至少一個測量數(shù)據(jù)關(guān)聯(lián)參數(shù)，或者在對
4、具有申請?zhí)?2175490.6的在先歐洲專利申請涉及在通信系統(tǒng)內(nèi)時間關(guān)鍵數(shù)據(jù)的安全傳輸，通信系統(tǒng)包括多個局域網(wǎng)，在局域網(wǎng)中借助于交換來傳輸數(shù)據(jù)，通信系統(tǒng)包括至少一個相對于局域網(wǎng)疊加的網(wǎng)絡(luò)，在該網(wǎng)絡(luò)中借助于路由來傳輸數(shù)據(jù)，并且通信系統(tǒng)包括用于將通信系統(tǒng)連接到至少一個未保護的外部網(wǎng)絡(luò)上的網(wǎng)關(guān)系統(tǒng)。僅在認(rèn)證的系統(tǒng)組件之間授權(quán)經(jīng)由該疊加的網(wǎng)絡(luò)的網(wǎng)絡(luò)層通信。交換機分別認(rèn)證所連接的終端設(shè)備并且根據(jù)相應(yīng)的終端設(shè)備身份將這些終端設(shè)備分配給物理或邏輯局域網(wǎng)。基于相應(yīng)終端設(shè)備到同一局域網(wǎng)的分配隱含地授權(quán)在局域網(wǎng)內(nèi)的保護層通信。在不同局域網(wǎng)的終端設(shè)備之間的或與不保護的外部網(wǎng)絡(luò)中的終端設(shè)備的osi的3-7層上的通信借助零信任代理來授權(quán)，這些零信任代理被分別分配給局域網(wǎng)。
5、零信任方案規(guī)定，用戶或設(shè)備與其相應(yīng)的位置或環(huán)境無關(guān)地相對于通信伙伴或者在訪問受保護資源時被認(rèn)證，以便在成功認(rèn)證之后例如可以訪問所期望的數(shù)據(jù)或應(yīng)用。在工業(yè)自動化系統(tǒng)中，關(guān)于零信任方案的應(yīng)用的問題在于，不是每個用戶或每個設(shè)備都能夠尤其在經(jīng)濟方面執(zhí)行認(rèn)證。零信任方案的應(yīng)用通常需要附加的加密功能（例如信任錨）和密鑰材料（例如設(shè)備證書）或計算能力，其在現(xiàn)有硬件組件中不總是可自由獲得。此外，工業(yè)自動化系統(tǒng)中的現(xiàn)有安全或通信協(xié)議不能容易地適于或替換來實現(xiàn)零信任方案。
6、除了數(shù)據(jù)安全性之外，在工業(yè)自動化系統(tǒng)的通信網(wǎng)絡(luò)中也必須確保確定性的數(shù)據(jù)傳輸和數(shù)據(jù)處理。在工業(yè)自動化系統(tǒng)中，尤其為了確保功能安全性需要確定性的行為。然而相對于通信伙伴的相應(yīng)的零信任方案所設(shè)置的相互認(rèn)證使決定性的數(shù)據(jù)傳輸和數(shù)據(jù)處理變得困難。
技術(shù)實現(xiàn)思路
1、因此本專利技術(shù)的基本目的在于，提供一種可簡單地集成到現(xiàn)有的通信系統(tǒng)中的用于安全傳輸時間關(guān)鍵數(shù)據(jù)的方法，該方法尤其在工業(yè)自動化系統(tǒng)中實現(xiàn)同時確保數(shù)據(jù)安全性和決定性，并且提供一種用于在技術(shù)上實現(xiàn)該方法的合適的裝置。
2、根據(jù)本專利技術(shù)，該目的通過具有在權(quán)利要求1中說明的特征的方法、具有在權(quán)利要求15中說明的特征的通信系統(tǒng)以及具有在權(quán)利要求16中說明的特征的適配器來實現(xiàn)。本專利技術(shù)的有利的改進方案在從屬權(quán)利要求中給出。
3、按照根據(jù)本專利技術(shù)的用于在通信系統(tǒng)內(nèi)安全傳輸時間關(guān)鍵數(shù)據(jù)的方法，通信系統(tǒng)包括多個局域網(wǎng)、控制單元和配屬于控制單元的控制網(wǎng)絡(luò)，該控制網(wǎng)絡(luò)與局域網(wǎng)分離。局域網(wǎng)各自包括至少一個交換機和多個終端設(shè)備，其中，控制單元控制多個交換機和終端設(shè)備的功能。基于相應(yīng)終端設(shè)備到同一局域網(wǎng)的分配隱含地授權(quán)在局域網(wǎng)內(nèi)的通信。
4、局域網(wǎng)的交換機優(yōu)選被分配給軟件限定網(wǎng)絡(luò)（sdn），軟件限定網(wǎng)絡(luò)包括稱為控制平面的通信控制平面和稱為數(shù)據(jù)平面的數(shù)據(jù)傳輸平面。在此，控制單元被分配給控制平面，而交換機被分配給數(shù)據(jù)平面。尤其通過該控制單元能夠預(yù)設(shè)流表，能夠從該流表推導(dǎo)出用于配屬于控制單元的網(wǎng)絡(luò)基建設(shè)備的路由表或轉(zhuǎn)發(fā)表。在此，網(wǎng)絡(luò)基建設(shè)備例如包括路由器或交換機。
5、根據(jù)本專利技術(shù)，為每個終端設(shè)備分配零信任適配器，該零信任適配器獲取終端設(shè)備的狀態(tài)信息，將終端設(shè)備的狀態(tài)信息經(jīng)由控制網(wǎng)絡(luò)轉(zhuǎn)發(fā)至控制單元以進行評估，并且相對于控制單元或通信伙伴對終端設(shè)備進行認(rèn)證。零信任適配器例如可以分別作為硬件組件和/或軟件組件集成到相應(yīng)的終端設(shè)備中。根據(jù)可選的實施方式，零信任適配器各自包括集成在各個終端設(shè)備中的獲取狀態(tài)信息的零信任代理以及與各個終端設(shè)備分開的對終端設(shè)備進行認(rèn)證的零信任接口裝置。此外，也可以將用于多個終端設(shè)備的零信任適配器綜合在共同的零信任代理中。
6、根據(jù)本專利技術(shù)，控制單元基于狀態(tài)信息為終端設(shè)備分別確定信任得分（例如信任分?jǐn)?shù)）并且將取決于信任得分的規(guī)則用于終端設(shè)備的配置或允許的通信關(guān)系。例如根據(jù)由控制單元所應(yīng)用的規(guī)則，授權(quán)終端設(shè)備與其相應(yīng)的局域網(wǎng)外的通信伙伴的通信關(guān)系。尤其可以根據(jù)由控制單元應(yīng)用的規(guī)則來控制終端設(shè)備或交換機的功能。優(yōu)選地，依賴于信任得分的規(guī)則的應(yīng)用在相應(yīng)成功的終端設(shè)備認(rèn)證之后才進行。在終端設(shè)備認(rèn)證失敗的情況下，有利地分別發(fā)出警告。
7、通過零信任適配器，本專利技術(shù)尤其能夠?qū)崿F(xiàn)零信任方案在工業(yè)通信或自動化系統(tǒng)中的低耗費集成。這尤其在現(xiàn)有的基礎(chǔ)設(shè)施中是有利的，基礎(chǔ)設(shè)施的組件不能容易地更換。如果零信任適配器各自包括用于存儲適配器特定的或終端設(shè)備特定的密鑰材料的信任錨，則得到再次簡化的集成。此外，通過在分離的控制網(wǎng)絡(luò)內(nèi)實現(xiàn)零信任控制功能來確保：不會不利地影響或改變現(xiàn)有工業(yè)通信或自動化系統(tǒng)的功能和行為。優(yōu)選地，終端設(shè)備為此分別通過專用端口連接至零信任接口裝置或控制網(wǎng)絡(luò)上。
8、根據(jù)本專利技術(shù)的優(yōu)選的實施方式，狀態(tài)信息由用于控制單元的各個零信任適配器進行預(yù)處理。在此，有利地只有預(yù)處理的狀態(tài)信息或從狀態(tài)信息中提取的元信息轉(zhuǎn)發(fā)至控制單元以進行評估。狀態(tài)信息尤其可以包括日志文件，日志文件通過各個零信任適配器來搜集、預(yù)處理并且轉(zhuǎn)發(fā)到控制單元。以這種方式，可以在終端設(shè)備的安全狀態(tài)或可能的安全風(fēng)險方面再次更精確地評估該終端設(shè)備。
9、優(yōu)選地，通過安全策略來預(yù)設(shè)由控制單元根據(jù)信任得分應(yīng)用的規(guī)則。這些安全策略限定了哪些終端設(shè)備或用戶需要對哪些數(shù)據(jù)和/或資源進行訪本文檔來自技高網(wǎng)...
【技術(shù)保護點】
1.一種用于在通信系統(tǒng)內(nèi)安全傳輸時間關(guān)鍵數(shù)據(jù)的方法，其中，
2.根據(jù)權(quán)利要求1所述的方法，其中，根據(jù)由所述控制單元（202）應(yīng)用的所述規(guī)則，授權(quán)所述終端設(shè)備（102-105）與在所述終端設(shè)備的相應(yīng)的局域網(wǎng)（100）之外的通信伙伴的通信關(guān)系。
3.根據(jù)權(quán)利要求1或2中任一項所述的方法，其中，通過用于所述控制單元的相應(yīng)的所述零信任適配器（121，131，141，151）預(yù)處理（202）所述狀態(tài)信息，并且其中，僅將已預(yù)處理的所述狀態(tài)信息和/或從所述狀態(tài)信息中提取的元信息轉(zhuǎn)發(fā)至所述控制單元以進行評估。
4.根據(jù)權(quán)利要求1至3中任一項所述的方法，其中，所述終端設(shè)備（102-105）各自經(jīng)由專用端口（122，132，142，152）連接至零信任接口裝置（121b，131b，141b，151b）和/或所述控制網(wǎng)絡(luò)（200）。
5.根據(jù)權(quán)利要求1至4中任一項所述的方法，其中，所述零信任適配器（121，131，141，151）各自作為硬件組件和/或軟件組件被集成到相應(yīng)的所述終端設(shè)備（102-105）中。
6.根據(jù)權(quán)利要求1至4中任一項所述
7.根據(jù)權(quán)利要求1至4中任一項所述的方法，其中，在共同的零信任代理（110）中組合用于多個終端設(shè)備（102-105）的所述零信任適配器。
8.根據(jù)權(quán)利要求1至7中任一項所述的方法，其中，所述零信任適配器各自包括用于存儲適配器專用的和/或終端設(shè)備專用的密鑰材料的信任錨。
9.根據(jù)權(quán)利要求1至8中任一項所述的方法，其中，通過安全策略預(yù)設(shè)所述規(guī)則，所述安全策略限定哪些終端設(shè)備和/或用戶需要訪問哪些數(shù)據(jù)和/或資源。
10.根據(jù)權(quán)利要求9所述的方法，其中，基于所述安全策略通過配屬于控制裝置的策略決策點來評估所述狀態(tài)信息，并且其中，通過所述控制裝置將所述安全策略作為策略執(zhí)行點來執(zhí)行。
11.根據(jù)權(quán)利要求1至10中任一項所述的方法，其中，根據(jù)由所述控制單元應(yīng)用的所述規(guī)則來控制所述終端設(shè)備和/或交換機的功能。
12.根據(jù)權(quán)利要求1至11中任一項所述的方法，其中，僅在終端設(shè)備認(rèn)證分別成功之后才應(yīng)用取決于所述信任得分的所述規(guī)則，并且其中，在終端設(shè)備認(rèn)證錯誤的情況下分別發(fā)出警告。
13.根據(jù)權(quán)利要求1至12中任一項所述的方法，其中，所述局域網(wǎng)（100）的所述交換機（101）被分配給軟件限定網(wǎng)絡(luò)，所述軟件限定網(wǎng)絡(luò)包括被稱為控制平面的通信控制平面和被稱為數(shù)據(jù)平面的數(shù)據(jù)傳輸平面，其中，所述控制單元（202）被分配給所述控制平面，并且其中，所述交換機（101）被分配給所述數(shù)據(jù)平面。
14.根據(jù)權(quán)利要求13所述的方法，其中，所述控制單元（202）能夠預(yù)設(shè)流表，從所述流表推導(dǎo)出用于配屬于所述控制單元的網(wǎng)絡(luò)基建設(shè)備（101）的路由表和/或轉(zhuǎn)發(fā)表，并且其中，所述網(wǎng)絡(luò)基建設(shè)備包括路由器和/或交換機。
15.一種用于安全傳輸時間關(guān)鍵數(shù)據(jù)的通信系統(tǒng)，具有：
16.一種用于根據(jù)權(quán)利要求15所述的通信系統(tǒng)的終端設(shè)備的適配器，
...【技術(shù)特征摘要】
【國外來華專利技術(shù)】
1.一種用于在通信系統(tǒng)內(nèi)安全傳輸時間關(guān)鍵數(shù)據(jù)的方法，其中，
2.根據(jù)權(quán)利要求1所述的方法，其中，根據(jù)由所述控制單元（202）應(yīng)用的所述規(guī)則，授權(quán)所述終端設(shè)備（102-105）與在所述終端設(shè)備的相應(yīng)的局域網(wǎng)（100）之外的通信伙伴的通信關(guān)系。
3.根據(jù)權(quán)利要求1或2中任一項所述的方法，其中，通過用于所述控制單元的相應(yīng)的所述零信任適配器（121，131，141，151）預(yù)處理（202）所述狀態(tài)信息，并且其中，僅將已預(yù)處理的所述狀態(tài)信息和/或從所述狀態(tài)信息中提取的元信息轉(zhuǎn)發(fā)至所述控制單元以進行評估。
4.根據(jù)權(quán)利要求1至3中任一項所述的方法，其中，所述終端設(shè)備（102-105）各自經(jīng)由專用端口（122，132，142，152）連接至零信任接口裝置（121b，131b，141b，151b）和/或所述控制網(wǎng)絡(luò)（200）。
5.根據(jù)權(quán)利要求1至4中任一項所述的方法，其中，所述零信任適配器（121，131，141，151）各自作為硬件組件和/或軟件組件被集成到相應(yīng)的所述終端設(shè)備（102-105）中。
6.根據(jù)權(quán)利要求1至4中任一項所述的方法，其中，所述零信任適配器各自包括被集成到相應(yīng)的所述終端設(shè)備（102-105）中的、獲取所述狀態(tài)信息的零信任代理（121a，131a，141a，151a）和與相應(yīng)的所述終端設(shè)備分離的、認(rèn)證所述終端設(shè)備的零信任接口裝置（121b，131b，141b，151b）。
7.根據(jù)權(quán)利要求1至4中任一項所述的方法，其中，在共同的零信任代理（110）中組合用于多個終端設(shè)備（102-105）的所述零信任適配器。
8.根據(jù)權(quán)利要求1至...
【專利技術(shù)屬性】
技術(shù)研發(fā)人員：漢斯·阿紹爾，揚·赫爾曼，阿希姆·克內(nèi)貝爾，斯特凡·澤爾茨薩姆，馬丁·維默，
申請(專利權(quán))人：西門子股份公司，
類型：發(fā)明
國別省市：
還沒有人留言評論。發(fā)表了對其他瀏覽者有用的留言會獲得科技券。