DE102004061344A1

DE102004061344A1 - Method for the safe design of a system, associated system component and software

Info

Publication number: DE102004061344A1
Application number: DE102004061344A
Authority: DE
Inventors: Udo Doebrich; Roland Heidel; Edmund Linzenkirchner
Original assignee: Siemens Corp
Current assignee: Siemens Corp
Priority date: 2004-12-20
Filing date: 2004-12-20
Publication date: 2006-07-06
Also published as: WO2006067121A1

Abstract

Die Erfindung betrifft ein Verfahren zur sicheren Auslegung eines Systems, eine zugehörige Systemkomponente und eine zugehörige Software sowie ein System selbst. DOLLAR A Die Sicherheit eines Systems gegenüber bewussten Eingriffen unberechtigter Dritter ist häufig unbekannt. Eine Absicherung gegenüber Industriespionage und Sabotage wird jedoch häufig angestrebt. DOLLAR A Aufgabe der Erfindung ist es, das Sicherheitsniveau eines Systems auf nachvollziehbare Weise transparent zu machen. DOLLAR A Als Lösung wird vorgeschlagen, jede Systemkomponente mit einem Merkmal auszustatten, das über die Sicherheitsklasse der Systemkomponente aus einer Mehrzahl von Sicherheitsklassen informiert. Die Sicherheitsklassen werden bevorzugt durch Normung festgelegt und erlauben eine quantifizierbare Bestimmung des Sicherheitsniveaus des Systems. Darauf aufbauend wird die Sicherheitsklasse des Systems bestimmt, und zwar bevorzugt während des Produktivbetriebs mittels eines Computerprogramms.The invention relates to a method for the safe design of a system, an associated system component and associated software and a system itself. DOLLAR A The security of a system against deliberate intervention by unauthorized third parties is often unknown. However, protection against industrial espionage and sabotage is often sought. DOLLAR A object of the invention is to make transparent the level of security of a system in a traceable manner. DOLLAR A As a solution, it is proposed to equip each system component with a feature that informs about the security class of the system component from a plurality of security classes. The security classes are preferably determined by standardization and allow a quantifiable determination of the security level of the system. Based on this, the security class of the system is determined, preferably during productive operation by means of a computer program.

Description

Die Erfindung betrifft das Gebiet der Sicherheitstechnik und insbesondere die sichere Auslegung von Systemen derart, dass diese bei bewussten Eingriffen unberechtigter Dritter geschützt bleiben. Bei den sicher zu konfigurierenden Systemen kann es sich um Hardware- und/oder Software-Systeme handeln, um Industrieanlagen wie beispielsweise Kraftwerksteuerungen und Automatisierungsanlagen, oder um Steuerungen für die Stromverteilung in Hochspannungsnetzen.The The invention relates to the field of security technology and in particular the safe design of systems in such a way that they are consciously intervened unauthorized third party stay. The systems that can be safely configured may be to trade hardware and / or software systems to industrial equipment such as power plant controls and automation systems, or to controllers for the power distribution in high voltage networks.

Industrieanlagen, also beispielsweise solche der Automatisierungstechnik, sind zunehmend komplexere Systeme und sind zunehmend vernetzte Systeme mit miteinander kommunizierenden Systemkomponenten. Diese Entwicklung macht es unberechtigten Dritten zunehmend einfacher, innerhalb des Systems ausgetauschte Informationen mitzuhören, Daten zu verändern, Eigenschaften von Systemkomponenten, des Systems oder mit dem System hergestellter Produkte zu beeinflussen. Die wirtschaftlichen Folgen derartiger Industriespionage und Sabotage sind nicht nur kurzfristige Verfügbarkeitsprobleme, sondern auch hohe Schäden an den Systemen sowie Gefährdungen von Mensch und Umwelt. Darüber hinaus entstehen oft quantifizierbare Produktionsausfälle in Millionenhöhe. Auch angesichts der Transformation unserer Gesellschaft in eine Wissensgesellschaft, bei der Know-how ein Rohstoff darstellt, der die Position des jeweiligen Unternehmens auf dem Markt prägt, gibt es einen erhöhten Bedarf, einen Abfluss dieses Wissens zu verhindern und es vor Dritten zu schützen.Industrial plants, So, for example, those of automation technology, are increasing more complex systems and are increasingly interconnected systems with each other communicating system components. This development makes it unauthorized Third, increasingly easier to exchange within the system To listen to information To change data Properties of system components, system, or system To influence products. The economic consequences of such Industrial espionage and sabotage are not just short-term availability issues, but also high damage at the systems as well as threats of man and the environment. About that In addition, there are often quantifiable production losses in the millions. Also in the face of the transformation of our society into a knowledge society, where know-how represents a commodity that represents the position of each Company shapes in the market, there is an increased Need to prevent an outflow of this knowledge and to third parties to protect.

Eine Industrieanlage, beispielsweise ein Automatisierungssystem, besteht in der Regel aus einer großen Zahl von Systemkomponenten wie Geräten und Netzwerken. Diese werden häufig von unterschiedlichen Herstellern zugekauft und ein gebaut. Zusätzlich gibt es Komponenten des Systembetreibers selbst. Je nach der Sicherheitsphilosophie des jeweiligen Komponentenherstellers ist die mit der Komponente erreichbare Sicherheit unterschiedlich. Dies gilt auch für das Gesamtsystem, wobei die mit dem System erreichbare Sicherheit nur schwer definierbar ist. Dies gilt umso mehr, als die Systemkomponenten häufig zu unterschiedlichen Zeitpunkten in das System eingefügt werden und sich mitunter die Vorstellung der jeweiligen Komponentenhersteller betreffend der zu gewährleistenden Sicherheit im Laufe der Zeit wandelt.A Industrial plant, for example, an automation system exists usually from a big one Number of system components such as devices and networks. These will often purchased from different manufacturers and built. In addition there it components of the system operator itself. Depending on the security philosophy of the respective component manufacturer is the one with the component achievable safety different. This also applies to the overall system, the security achievable with the system is difficult to define is. This is all the more true as the system components frequently too be inserted into the system at different times and sometimes the idea of the respective component manufacturers the to be guaranteed Safety changes over time.

Ein Gefahrenpotenzial bei Automatisierungssystemen besteht in der Verwendung von Komponenten mit einer Funkschnittstelle, meist unter Verwendung von Plattformen aus der IT-Welt. Zusätzliche Angriffspunkte für unberechtigte Dritte, die Sicherheit des Systems zu untergraben, sind die vielfältigen Schnittstellen, die Automatisierungssysteme mit der Bürowelt verzahnen. Beispiele sind Schnittstellen zur Fernwartung des Systems oder Schnittstellen zum Abfragen von Fertigungsinformationen, damit diese in Darstellungen über Geschäftsabläufe eingebettet werden können.One Hazard potential in automation systems is the use of components with a radio interface, mostly using from platforms in the IT world. Additional targets for unauthorized Third, undermining the security of the system, are the multiple interfaces, interlock the automation systems with the office world. Examples are interfaces for remote maintenance of the system or interfaces to query manufacturing information so that it is embedded in representations about business processes can be.

Der Erfindung liegt das technische Problem zugrunde, ein Verfahren zur sicheren Auslegung eines Systems, eine zugehörige Systemkomponente und eine zugehörige Software sowie ein System bereitzustellen, mit denen das Sicherheitsniveau des Systems auf nachvollziehbare Weise transparent gemacht wird.Of the Invention is the technical problem underlying a method for safe design of a system, an associated system component and a associated Software as well as provide a system with which the security level the system is made transparent in a comprehensible way.

Ein weiteres technisches Problem besteht darin, aufbauend auf dem transparent gewordenen Sicherheitsniveau das System kontinuierlich zu überwachen.One Another technical problem is building on the transparent The security level has been continuously monitored.

Die Lösung dieser und weiterer technischer Probleme erfolgt durch die Merkmale der unabhängigen Ansprüche. Vorteilhafte Weiterbildungen werden durch die abhängigen Ansprüche wiedergegeben oder lassen sich aus der nachfolgenden Beschreibung sowie dem Ausführungsbeispiel entnehmen.The solution These and other technical problems are caused by the features the independent one Claims. Advantageous developments are represented by the dependent claims or can be understood from the following description and the embodiment remove.

Der Erfindung liegt die Idee zugrunde, dass zur Lösung des oben genannten technischen Problems zur Bestimmung des Sicherheitsniveaus objektive Kriterien herangezogen werden sollten, die das Sicherheitsniveau quantitativ bestimmbar machen.Of the Invention is based on the idea that to solve the above technical Problems to determine the safety level objective criteria should be used to quantify the safety level make determinable.

Objektive Kriterien sind hierbei vordefinierte Forderungen an Systemkomponenten, welche sicherheitsrelevante Funktionalität sie zu gewährleisten haben. Die Festlegung, welche sicherheitsrelevante Funktionalität eine Systemkomponente bereitstellen muss, sollte bevorzugt branchenübergreifend und am besten durch eine Normierung vorgenommen werden. Beispielsweise kann sie in analoger Weise zu den Safety Integrity Levels (SIL) der IEC 61508 festgelegt werden.lenses Criteria are predefined requirements for system components, which safety-relevant functionality to guarantee them to have. Defining which safety-relevant functionality a system component needs to provide, should be preferred across industries and best by a standardization be made. For example, it may be analogous to the Safety Integrity Levels (SIL) of IEC 61508.

Bei den vorstehend genannten Safety Integrity Levels geht es um den Sicherheitsaspekt, der im Englischen als „Safety" bezeichnet wird, d. h. um die Absicherung eines Systembetreibers gegenüber Fehlfunktionen und Fehlbedienungen berechtigter Dritter. Im Rahmen der vorliegenden Erfindungsbeschreibung geht es jedoch um den Sicherheitsaspekt, der im Englischen mit dem Begriff „Security" bezeichnet wird, d. h. der Abschottung gegenüber Eingriffen unberechtigter Dritter mit Schädigungsabsicht zum Zwecke der Industriespionage, der Schädigung eines Konkurrenten etc.The Safety Integrity Levels referred to above are concerned with the safety aspect, which is referred to as "safety" in English, ie the safeguarding of a system operator against malfunctions and incorrect operation of authorized third parties English with the term "security" is called, ie the foreclosure against interference of unauthorized third parties with intent to harm for the purpose of industrial espionage, the injury of a competitor etc.

Die oben genannte Definition der von der Systemkomponente zu gewährleistenden sicherheitsrelevanten Funktionalität führt zur Entstehung von Sicherheitsklassen mit unterschiedlichen Graden an zu erzielender Sicherheit. Dies bedeutet, dass jedem Sicherheitsniveau, welches beispielsweise über ein Pflichtenheft definiert werden könnte, eine von mehreren Sicherheitsklassen zugeordnet ist. Auf diese Weise wird Sicherheit quantifizierbar, und zwar unter Rückgriff auf allgemein gültige Kriterien in Gestalt von Sicherheitsklassen.The above definition of the system component to be guaranteed safety-relevant functionality leads to the emergence of safety classes with varying degrees of safety to achieve. This means that every level of security, for example, over a Specification could be defined one of several security classes is assigned. In this way Security becomes quantifiable, with recourse to universal Criteria in the form of security classes.

Es wird bevorzugt, wenn die Sicherheitsklassen in Zahlen angegeben werden. So können Sicherheitsklassen zwischen 0 und 10 vorgesehen sein, wobei die Sicherheitsklasse 0 für ein System ohne Schutz und die Sicherheitsklasse 10 für ein System höchster Sicherheit steht.It is preferred if the security classes are given in numbers. So can security classes between 0 and 10 be provided, with the security class 0 for a system without protection and the security class 10 stands for a system of highest safety.

Das erfindungsgemäße Verfahren sieht zunächst vor, dass die jeweilige Sicherheitsklasse der Systemkomponenten bestimmt wird, und zwar von allen Sicherheitskomponenten. Hierzu muss die Systemkomponente über ein Merkmal verfügen, das über die Sicherheitsklasse der Systemkomponente aus einer Mehrzahl von Sicherheitsklassen informiert. Dieses Merkmal ist ein Identifikationsmerkmal, das auf vielfältige Weise abrufbar sein kann. Beispielsweise kann vorgesehen sein, dass die jeweilige Systemkomponente ein optisches Merkmal aufweist, das entsprechend optisch abfragbar ist. So kann ein Strichcode gewählt werden, der von außen lesbar ist. Eine induktive Abfrage des Identifikationsmittels wäre denkbar, wenn in die Systemkomponente eine Spule integriert wäre und die Sicherheitsklasse der Komponente induktiv abgefragt werden kann. Auch möglich ist eine Abfrage per Funk. Beispielsweise kann die Komponente ein RFID (Radio Frequency Identification Device) besitzen, das es auf eine einfache Art und Weise ermöglicht, die Kenndaten der Systemkomponente abzufragen. Handelt es sich bei den Systemkomponenten um elektrische oder elektronische Komponenten, so lässt sich das Identifikationsmittel auch elektronisch abfragen, wenn es über eine geeignete Komponente mit dieser Information verfügt, beispielsweise ein ASIC oder ein EPROM. Insofern residiert die Information in der Hardware oder der Firmware des jeweiligen elektronischen Bauteils. Hierbei ist eine direkte Abfrage der Sicherheitsklasse über eine Kommunikationsschnittstelle der Systemkomponente möglich.The inventive method looks first before that the respective security class of the system components is determined by all security components. For this must be the system component over have a feature, the above the security class of the system component from a plurality of Safety classes informed. This feature is an identification feature that on diverse Way can be retrieved. For example, it can be provided that the respective system component has an optical feature which is optically interrogatable. So a barcode can be chosen the outside is readable. An inductive query of the identification means would be conceivable if in the system component a coil would be integrated and the Safety class of the component can be queried inductively. Also possible is a query by radio. For example, the component may be RFID (Radio Frequency Identification Device), which it up a simple way allows to query the characteristics of the system component. Is it the case of System components around electrical or electronic components, so lets the means of identification also interrogate electronically, if it over one has appropriate component with this information, such as an ASIC or an EPROM. Insofar the information resides in the hardware or the firmware of the respective electronic component. Here is a direct query of the security class via a communication interface of the System component possible.

Die Hinterlegung der Information über die jeweilige Sicherheitsklasse erfolgt zweckmäßigerweise mittels einer beschreibenden Technik, z. B. in Form einer EDD (Electronic Device Description) mittels der Beschreibungssprache EDDL (Electronic Device Description Language) nach IEC 61804. In diesem Fall können die EDD-Informationen über die Kommunikationsschnittstelle ausgelesen werden.The Deposit of information about the respective security class is expediently carried out by means of a descriptive Technology, z. B. in the form of an EDD (Electronic Device Description) by means of the description language EDDL (Electronic Device Description Language) according to IEC 61804. In this case, the EDD information about the Communication interface are read out.

Teilweise haben Systembetreiber einen unterschiedlichen Sicherheitsbedarf für unterschiedliche Systembereiche. So gibt es beispielsweise bei Produktionsanlagen hochsichere Anlagenteile und Anlagenteile, bei denen die Systemsicherheit weniger kritisch ist. Um dem gerecht zu werden wird bevorzugt, dass sich bei einem aus mehreren Systembereichen zusammengesetzten System mit jedem Systembereich eine Sicherheitsklasse aus einer Mehrzahl von Sicherheitsklassen verknüpfen lässt oder dass jedem Sicherheitsbereich eine Sicherheitsklasse zugeordnet ist. In diesem Fall können die Anstrengungen zur Gewährleistung einer Sicherheit für den jeweiligen Tätigkeitsbereich maßgeschneidert und die Kosten für die Gewährleistung der Systemsicherheit begrenzt werden.Partially system operators have a different need for security for different System areas. For example, there are production plants highly secure plant parts and plant parts, where the system security less critical. In order to meet this it is preferred that in a system composed of several system areas with each system area a safety class of a plurality from security classes leaves or that each security area is assigned a security class is. In this case, you can the efforts to guarantee a security for the respective field of activity custom and the cost of the warranty of system security.

Es wird bevorzugt, wenn die Bestimmung der jeweiligen Sicherheitsklasse während des laufenden Betriebs des Systems und damit online erfolgen kann. Hierdurch wird ein transparenter Überblick über das jeweilige aktuelle Sicherheitsniveau des Systems im Produktivbetrieb und damit unter realistischen Umgebungsbedingungen möglich.It is preferred if the determination of the respective safety class while running the system and can be done online. This provides a transparent overview of the current version Security level of the system in productive operation and thus under realistic environmental conditions possible.

In einem zweiten Schritt des erfindungsgemäßen Verfahrens wird bestimmt, welche Sicherheitsklasse das System angesichts der Sicherheitsklassen der Systemkomponenten besitzt. Hierbei ist zu berücksichtigen, dass die Systemkomponenten je nach der Konfiguration des Systems unterschiedlich wechselwirken. Je nachdem, wie Systemkomponenten mit ihrer sicherheitsrelevanten Funktionalität miteinander kombiniert werden, führt dies zu einem Mehr oder zu einem Weniger an Sicherheit, was sich entsprechend auf die Sicherheitsklasse des Systems niederschlägt. Hierbei sind im Wesentlichen zwei Fälle zu unterscheiden:

A) Im einfachsten Fall wird die gleiche Funktionalität zweimal eingesetzt. In einem Beispiel sind zwei Türen mit einem normalen Schloss hintereinander angeordnet. Durch das Vorsehen zweier derartiger Türen erhöht sich die Sicherheitsklasse des Gesamtsystems im Wesentlichen nicht. Lediglich der Zeitaufwand zur Überwindung der Barriere steigt.
B) Werden Systemkomponenten mit unterschiedlicher sicherheitstechnischer Funktionalität kombiniert, so addieren sich in der Regel diese Funktionalitäten. Dies führt dazu, dass das Sicherheitsniveau insgesamt gesteigert und demgemäß eine höhere Sicherheitsklasse erreicht wird. Ein Beispiel wäre die Anordnung zweier Türen hintereinander, bei der die erste Tür ein mechanisches Schloss aufweist und die zweite Tür nur mit einer Ausweiskarte geöffnet werden kann. Die Kombination dieser beiden Türen führt bei einem Gesamtsystem dazu, dass die Sicherheitsklasse höher ausfällt als die Sicherheitsklasse jeder der beiden Einzeltüren.

In a second step of the method according to the invention, it is determined which security class the system has in view of the security classes of the system components. It should be noted that the system components interact differently depending on the configuration of the system. Depending on how system components with their safety-related functionality are combined with each other, this leads to more or less security, which is reflected accordingly in the safety class of the system. There are two main differences:

A) In the simplest case, the same functionality is used twice. In one example, two doors are arranged one behind the other with a normal lock. By providing two such doors, the security class of the overall system is essentially not increased. Only the time required to overcome the barrier increases.
B) If system components with different safety-related functionality are combined, these functionalities usually add up. As a result, the security level as a whole is increased and accordingly a higher security class is achieved. An example would be the arrangement of two doors in succession, in which the first door has a mechanical lock and the second door can only be opened with an identification card. The combination of these two doors leads to a Ge overall safety class is higher than the safety class of each of the two individual doors.

Bei der Bestimmung der Sicherheitsklasse des Systems ist auch zu berücksichtigen, dass die Sicherheitsklasse zustandsabhängig ist. Hat beispielsweise eine Tür eine Sicherheitsklasse 3, so gilt dies nur für den verschlossenen Zustand. Ist die Tür geöffnet, liegt kein Schutz vor und die Sicherheitsklasse wäre damit z. B. 0.When determining the security class of the system, it must also be considered that the security class is state-dependent. For example, has a door a security class 3 , this only applies to the locked state. If the door is open, there is no protection and the security class would thus z. Eg 0.

Der letztgenannte Umstand macht die Möglichkeit, die Sicherheitsklasse von Systemkomponenten während des laufenden Betriebs und damit online zu ermitteln, besonders wertvoll. Nur auf diese Weise kann über die erfassten Zustände der Systemkomponenten im Produktivbetrieb festgestellt werden, welche Sicherheitsklasse das System besitzt.Of the The latter circumstance makes it possible for the safety class of system components during on-going, and therefore online, especially valuable. Only in this way can the detected states of the System components are found in productive operation, which Security class owns the system.

Daher ist es besonders wünschenswert, wenn die jeweilige Sicherheitsklasse der Systemkomponente kontinuierlich be stimmt wird. Je nach den Besonderheiten des Systems kann es jedoch auch ausreichend sein, wenn diese Bestimmung in vorgegebenen Zeitintervallen vorgenommen wird.Therefore it is especially desirable if the respective security class of the system component continuously be true. However, depending on the specifics of the system, it may as well be sufficient if this determination at predetermined time intervals is made.

Sind die Sicherheitsklassen der Systemkomponenten bestimmt, so wird darauf aufbauend die Sicherheitsklasse des Systems ermittelt und kann bei Abweichungen vom vorherigen Zustand oder beim Unterschreiten eines vorgegebenen Sicherheitsniveaus eine Warnmeldung an den Systembetreiber ausgegeben werden.are the security classes of the system components are determined so it will Building on the safety class of the system is determined and can in case of deviations from the previous state or when falling below a predetermined Security levels issued a warning to the system operator become.

Insbesondere die Erkenntnis, dass die Sicherheitsklasse einer Systemkomponente in hohem Maße zustandsabhängig ist, macht, wie oben ausgeführt, eine kontinuierliche Bestimmung der jeweiligen Sicherheitsklassen der Komponenten und damit des Gesamtsystems wünschenswert. Dies ist besonders dann leicht realisierbar, wenn diese Bestimmung automatisch erfolgen kann. Insofern wird dem Zustand Rechnung getragen, dass Sicherheit nicht nur eine statische Angelegenheit ist sondern auch zeitlich variieren und vom jeweiligen Zustand der Gesamtanlage bzw. von den Einzelkomponenten abhängen kann.Especially the realization that the security class of a system component to a great extent state-dependent is, does, as stated above, a continuous determination of the respective safety classes the components and thus the overall system desirable. This is especially true easily realizable if this determination is made automatically can. In this respect, the condition is taken into account that security not only a static matter but also in time vary and from the respective condition of the entire plant or of the May depend on individual components.

Die Bestimmung der Sicherheitsklasse der jeweiligen Systemkomponenten und/oder des Systems wird bevorzugterweise mittels eines Computerprogramms durchgeführt. Das Computerprogramm kann in den internen Speicher eines digitalen Computers geladen werden und umfasst Software-Codeabschnitte, mit denen die automatische Abfrage der Sicherheitsklasse durchgeführt wird. Wie allgemein üblich, kann das Computerprogramm durch einen Datenträger, wie beispielsweise eine CD oder eine DVD, verkörpert werden, in einem Computerspeicher residieren oder mittels eines elektrischen Trägersignals übertragen werden.The Determination of the safety class of the respective system components and / or the system is preferably by means of a computer program carried out. The computer program can be stored in the internal memory of a digital Computers are loaded and includes software code sections, with which the automatic query of the security class is performed. As usual, The computer program may be replaced by a data carrier, such as a CD or a DVD, embodied be resident in a computer memory or by means of a transmitted electrical carrier signal become.

Das Computerprogramm basiert am besten auf einem anlagenspezifischen Sicherheitsmodell. Nach dem Modell ist zunächst die Systemkonfiguration bekannt, wobei diese ggf. aus den Engineeringdaten der Anlage extrahierbar ist. Im Modell ist der Einfluss einer einzelnen Systemkomponente auf die Sicherheit anderer Systemkomponenten oder auf ganze Systembereiche hinterlegt. Basierend auf dem Sicherheitsmodell berechnet das Programm bei einer Modifikation einer einzelnen Systemkomponente die neue Sicherheitsklasse des Gesamtsystems. Die Modifikation kann hierbei in einem Austausch der Systemkomponente durch eine solche mit höherer Sicherheitsklasse bestehen. Das Computerprogramm kann Teil eines Programms zur Systemkonzeptionierung bzw. von Engineering-Software sein.The Computer program is best based on a plant specific Security model. After the model is first the system configuration known, which may be extracted from the engineering data of the plant is. The model is the influence of a single system component on the security of other system components or on entire system areas deposited. Based on the security model, the program calculates in a modification of a single system component, the new one Safety class of the entire system. The modification can hereby in an exchange of the system component by one with a higher security class consist. The computer program can be part of a system design program or by engineering software.

Die transparente und anhand objektiver Kriterien vorgenommene Bestimmung des Sicherheitsniveaus des Systems erlaubt es, das System in sicherheitstechnischer Hinsicht zu konfigurieren. Hierbei wird in einem ersten Schritt ein Soll-Sicherheitsniveau bzw. eine Soll-Sicherheitsklasse vorgegeben. In einem zweiten Schritt wird die Soll-Sicherheitsklasse mit der Ist-Sicherheitsklasse verglichen. Für den Fall, dass die Soll-Sicherheitsklasse des Systems nicht der zuvor bestimmten Ist-Sicherheitsklasse des Systems entspricht, können zwei Maßnahmen vorgesehen sein:

1. Es kann ein Austausch mindestens einer Systemkomponente durch eine andere Systemkomponente vorgenommen werden, wobei die andere Systemkomponente den Anforderungen einer Sicherheitsklasse entspricht, die mit einer höheren Sicherheit einhergeht bzw. eine höhere Sicherheitsklasse besitzt, und/oder
2. es kann eine Rekonfiguration der Systemkomponenten vorgenommen werden,

bis die gewünschte Sicherheitsklasse erreicht ist. Der erstgenannte Fall wäre beispielsweise dann einschlägig, wenn bei einer Tür ein Schloss gewählt würde, das eine höhere Sicherheit verspricht. Der zweitgenannte Fall setzt eine bauliche Änderung des Systems derart voraus, dass ein potenzieller Angreifer nunmehr ein schwierigeres Hindernis zu überwinden hätte. Dieser Fall ist anlagenspezifisch.The transparent determination of the security level of the system based on objective criteria makes it possible to configure the system from a security point of view. Here, in a first step, a desired safety level or a desired safety class is specified. In a second step, the target safety class is compared with the actual safety class. In the event that the target safety class of the system does not correspond to the previously determined actual safety class of the system, two measures can be provided:

1. An exchange of at least one system component may be performed by another system component, the other system component meeting the requirements of a security class associated with a higher security or having a higher security class, and / or
2. a reconfiguration of the system components can be carried out

until the desired safety class is reached. The former case would be relevant, for example, if a lock was chosen for a door, which promises greater security. The second case requires a structural change of the system in such a way that a potential attacker would now have to overcome a more difficult obstacle. This case is plant specific.

Die im letzten Absatz genannte Konfiguration des Systems kann die Konfiguration eines neuen Systems sein. In diesem Fall erfolgt die Konfiguration bereits in der Entwicklungsphase des Systems und z. B. unter Einsatz bekannter Engineeringsysteme. Die Engineeringsysteme sind dann für die entsprechende sicherheitstechnische Gewährleistung abgewandelt.The Configuration of the system mentioned in the last paragraph may be the configuration to be a new system. In this case, the configuration is already done in the development phase of the system and z. B. using known Engineering systems. The engineering systems are then for the appropriate safety-related warranty modified.

Auch kann ein bereits existierendes System bezüglich seiner Sicherheit neu konfiguriert und dieses somit nachgerüstet werden. Hierzu werden sämtliche Komponenten zusätzlich mit dem besagten Merkmal ausgestattet, das über die Sicherheitsklasse der Systemkomponente informiert. Diese Merkmalsausstattung kann bei elektronischen Baukomponenten durch eine Aktualisierung der Firmware erfolgen.Also an already existing system can be new in terms of its security configured and thus retrofitted. To do this all Additional components equipped with the said feature that exceeds the safety class of System component informed. This feature feature can be included in electronic components by updating the firmware respectively.

Nachfolgend soll die vorliegende Erfindung anhand eines Ausführungsbeispiels in Verbindung mit den Figuren näher erläutert werden. Hierbei zeigt:following the present invention is based on an embodiment in conjunction with closer to the figures explained become. Hereby shows:

1 ein aus verschiedenen Systemkomponenten zusammengesetztes Gesamtsystem, 1 a complete system composed of different system components,

2 eine Systemkomponente. 2 a system component.

1 zeigt ein aus verschiedenen Systemkomponenten zusammengesetztes System. Bei dem System handelt es sich um eine Industrieanlage, und zwar um eine Automatisierungsanlage 1. Es kann sich bei dem System jedoch auch um ein vernetztes Computersystem, wie insbesondere ein WLAN 1', handeln. 1 shows a system composed of various system components. The system is an industrial plant, namely an automation system 1 , However, the system can also be a networked computer system, in particular a WLAN 1' , act.

Das System 1 bzw. 1' verfügt über Systemkomponenten 2 bzw. 2'. Bei einer Automatisierungsanlage 1 sind diese Systemkomponenten beispielsweise Steuerungscomputer, Feldbusse, Aktoren, Sensoren etc. Bei einem WLAN sind dies im Wesentlichen Computer, Router, Schnittstellen etc.The system 1 respectively. 1' has system components 2 respectively. 2 ' , In an automation system 1 These system components are, for example, control computers, field buses, actuators, sensors, etc. In the case of a WLAN, these are essentially computers, routers, interfaces, etc.

Jede dieser Systemkomponenten verfügt über ASICs 4 oder EPROMs 4'. Bei den ASICs 4 ist die Information über die Sicherheitsklasse in der Hardware implementiert. Die EPROMs 4' besitzen diese Information in ihrer Firmware im Speicherbereich. Hierzu müssen bei einer Binärcodierung lediglich vier Bits für die Aufnahme dieser Information bereitgestellt werden. Die Sicherheitsklassen der Systemkomponenten sind Zahlen zwischen 0 (kein Schutz) und 10 (höchstes Sicherheitsniveau).Each of these system components has ASICs 4 or EPROMs 4 ' , At the ASICs 4 the information about the security class is implemented in the hardware. The EPROMs 4 ' own this information in their firmware in the memory area. For this purpose, only four bits must be provided for recording this information in a binary coding. The security classes of the system components are numbers between 0 (no protection) and 10 (highest security level).

Die Systemkomponenten sind über Datenleitungen 6 untereinander und mit einem Computer 3 verbunden. Der Computer 3 liest die Sicherheitsklassen der Systemkomponenten 2, 2' über die Datenleitungen 6 elektronisch aus und ermittelt das Sicherheitsniveau des Gesamtsystems 1 bzw. 1'. Dies geschieht durch Auslesen der EDD-Informationen jeder Systemkomponente über eine Ethernet-Schnittstelle. Hierzu läuft auf dem Computer 3 ein für das System maßgeschneidertes Computerprogramm unter dem Betriebssystem Windows^TM. Die Abfrage erfolgt automatisch. Aus den Informationen über die Sicherheitsklasse jeder einzelnen Systemkomponente errechnet das Computerprogramm die Sicherheitsklasse des Gesamtsystems 1 bzw. 1'.The system components are via data lines 6 with each other and with a computer 3 connected. The computer 3 reads the security classes of the system components 2 . 2 ' over the data lines 6 electronically and determines the safety level of the entire system 1 respectively. 1' , This is done by reading the EDD information of each system component via an Ethernet interface. This is done on the computer 3 a customized computer program for the system under the operating system Windows ^TM . The query is automatic. From the information about the security class of each individual system component, the computer program calculates the security class of the entire system 1 respectively. 1' ,

Das hierfür eingesetzte Computerprogramm basiert auf einem für das System maßgeschneiderten Sicherheitsmodell, in welchem die Systemkonfiguration hinterlegt ist. Das Sicherheitsmodell erlaubt es, den Einfluss einzelner Systemkomponenten auf die Sicherheit des Gesamtsystems zu berechnen. Die Erstellung des Sicherheitsmodells ist als zusätzliche Ebene in die Engineeringtools zur Planung des Systems integriert. Für die bedarfsabhängige bzw. laufende Berechnung der Sicherheitsklasse des Gesamtsystems wird ein ablauffähiger Code für das Modell erzeugt, welches im Computer 3 zum Ablauf gebracht wird. Das Computerprogramm läuft permanent im Hintergrund des Computers 3 und bestimmt kontinuierlich die Sicherheitsklasse des Gesamtsystems 1 bzw. 1'. Ändert sich die Sicherheitsklasse, so wird an den Systemverantwortlichen eine Warnung ausgegeben.The computer program used for this purpose is based on a tailor-made security model for the system, in which the system configuration is stored. The security model allows to calculate the influence of individual system components on the safety of the entire system. The creation of the security model is integrated as an additional level in the engineering tools for planning the system. For the demand-dependent or current calculation of the security class of the entire system, an executable code for the model is generated, which is in the computer 3 is brought to expiration. The computer program runs permanently in the background of the computer 3 and continuously determines the safety class of the overall system 1 respectively. 1' , If the security class changes, a warning is issued to the system administrator.

2 zeigt eine Systemkomponente 2 in Form eines Feldbusgeräts, das über ein Merkmal 5 verfügt, das über die Sicherheitsklasse informiert. Bei dem Merkmal 5 handelt es sich um einen Strichcode, der über einen Strichcodeleser ausgelesen werden kann. 2 shows a system component 2 in the form of a fieldbus device that has a feature 5 that informs about the security class. In the feature 5 It is a barcode that can be read by a barcode reader.

Claims

Method for determining the security level of one of a plurality of system components ( 2 . 2 ' ) existing system ( 1 ) against deliberate interference by unauthorized third parties in the system where a security level is linked to a security class consisting of a plurality of security classes, comprising the following steps: a) determining the respective security class of the system components ( 2 . 2 ' b) Determine which security class the system achieves with the security classes of the system components.

Method according to claim 1, characterized in that that in a system composed of several system areas with each system area a safety class of a plurality linked by security classes is.

Method according to claim 1 or 2, characterized that the determination of the respective safety class of the system components and / or the system is done automatically.

Method according to one of claims 1 to 3, characterized that the determination of the respective safety class of the system components done by means of a remote sensing.

Method according to one of claims 1 to 4, characterized that the respective security class of the system components electronically queried becomes.

Method according to one of claims 1 to 5, characterized that the respective safety class of the system components in given Time intervals or continuously determined and based on it the security class of the system is redetermined.

Method according to one of claims 1 to 6, characterized that for the case that the desired Security class of the system not the previously determined security class corresponds to the system, c1) an exchange of a system component through a system component that meets the requirements of a security class matches, with a higher one Safety is accompanied, made and / or c2) a reconfiguration the system components is made, until the desired security class is reached.

Method according to claim 7, characterized in that that a new system is configured or that an existing one System re its security is reconfigured.

Method according to one of claims 1 to 8, characterized that the determination of the safety class of the respective system components and / or of the system by means of a computer program.

Method according to one of claims 1 to 9, characterized by its use in an industrial plant ( 1 ) and in particular in an automation system.

Method according to one of Claims 1 to 10, characterized by its use in a networked computer system ( 1' ) and in particular with a WLAN.

Method according to one of claims 1 to 10, characterized through its use in a power plant or in a system for Power distribution in high voltage networks.

System component, characterized in that it has a feature ( 5 ) that informs about the security class of the system component from a plurality of security classes.

System component according to claim 13, characterized in that it comprises an electrical component ( 4 . 4 ' ), which contains the feature electronically readable.

System with at least one system component according to claim 13 or 14.

Computer program that directly into the internal memory a digital computer can be loaded and includes software code sections, with which the steps according to a of claims 1 to 12 executed when the product is running on a computer.

Computer program according to claim 16, embodied in a disk, stored in a computer memory or transmitted by means of an electrical Carrier signal.