WO2003085945A1

WO2003085945A1 - Verfahren zur fernsteuerung und/oder -regelung eines systems

Info

Publication number: WO2003085945A1
Application number: PCT/CH2003/000224
Authority: WO
Inventors: Florian Straub; Thomas Von Hoff; Mario Crevatin; Hans-Peter Züger; Bernhard Deck
Original assignee: Abb Research Ltd
Priority date: 2002-04-05
Filing date: 2003-04-04
Publication date: 2003-10-16
Also published as: CN1647497A; RU2325770C2; US8032749B2; CN1647497B; RU2004132704A; AU2003215488A1; WO2003085945A8; EP1351480A1; ES2315343T3; MY140040A; DE50212956D1; EP1351480B1; US20050221811A1; ATE413060T1

Abstract

Die Erfindung betrifft ein Verfahren zur Fernsteuerung und/oder -regelung mindestens eines Systems (1), insbesondere einer Industrieanlage unter Verwendung einer Kommunikationseinrichtung (2), welche dem System (1) zugeordnet ist, und mindestens einer Empfangseinrichtung (3), wobei eine Information betreffend das System von der Kommunikationseinrichtung (2) an die mindestens eine Empfangseinrichtung (3) übermittelt wird, die Information einen Validierungscode enthält, der von der Kommunikationseinrichtung (2) erzeugt wird, von der Kommunikationseinrichtung (2) eine Nachricht empfangen wird, die Kommunikationseinrichtung (2) aus der Nachricht nach einer Extraktionsregel einen Kontrollcode und eine Befehlsinformation extrahiert, die Kommunikationseinrichtung (2) anhand von Validierungscode und Kontrollcode die Nachricht validiert und nur bei einer erfolgreichen Validierung die Befehlsinformation vom System (1) umgesetzt wird.

Description

Verfahren zur Fernsteuerung und/oder -regelung eines Systems

BESCHREIBUNG

Technisches Gebiet

Die Erfindung bezieht sich auf das Gebiet der Steuerung und/oder Regelung von fernab gelegenen Systemen. Sie betrifft ein Verfahren zur Fernsteuerung und/oder -regelung eines Systems, insbesondere einer Industrieanlage, gemäss dem Oberbegriff des unabhängigen Patentanspruches.

Stand der Technik

Möglichkeiten einer Fernüberwachung, -Steuerung und/oder -regelung sind ein zunehmend wichtiger Faktor bei der Konzeption aller Arten von Systemen, insbesondere bei Industrieanlagen und Versorgungsanlagen beispielsweise in den Bereichen Elektrizität, Wasser und Wärme. Solche Möglichkeiten erlauben Effizienz- und Flexibilitätssteigerungen bei einem Betrieb und Unterhalt der Systeme, insbesondere im Hinblick auf Kundendienst- und Serviceleistungen, aber auch bei einem Normalbetrieb komplexer Systeme, falls ein häufiges Eingreifen von Bedienpersonal für einen störungsfreien Betrieb der Systeme erforderlich ist. Ein Aspekt der Fernüberwachung und -Steuerung betrifft dabei eine Übermittlung einer das System betreffenden Information, beispielsweise in Form einer Warnung oder eines Alarms, und eine darauffolgende Rückübermittlung einer Befehlsinformation als Reaktion des Bedienpersonals.

EP 617350 offenbart Verfahren zur Fernsteuerung von Heizungsoder Klimaanlagen sowie zur Selbstdiagnose mit Fernübertragung von Diagnoseergebnissen. Bei der Selbstdiagnose werden diagnoserelevante Daten der Heizungs- oder Klimaanlage durch eine Kommunikationseinrichtung erfasst, bearbeitet, kodiert und nach einer Herstellung einer Datenverbindung als Diagnoseinformationen zu einer externen Empfangseinrichtung übermittelt, wo sie empfangen, decodiert und schliesslich bearbeitet, angezeigt, ausgedruckt und/oder gespeichert werden. Bei der Fernsteuerung wird zunächst eine Datenverbindung von einer externen Befehlseinrichtung zu der Kommunikationseinrichtung aufgebaut und an- schliessend eine Befehlsinformation in der Befehlseinrichtung kodiert, zur Kommunikationseinrichtung übermittelt, dort empfangen und dekodiert und schliesslich in der Kommunikationseinrichtung und/oder einer Steuer- und/oder Regeleinrichtung der Heizungs- oder Klimaanlage bearbeitet und/oder ausgeführt. Eine Übermittlung von Diagnose- und/oder Befehlsinformationen kann dabei über eine direkte Leitung stattfinden, ist es jedoch auch möglich, bestehende herkömmliche Informationsübertragungssysteme, z.B. Telekommunikationssysteme der Post wie Telefon, Fax, Cityruf u.a. für die Übermittlung zu benutzen.

Eine Problematik bei fernsteuer- und/oder -regelbaren Systemen ist die Gefahr eines Eingriffs in das System durch Unbefugte. Falls die Kommunikationseinrichtung eine Verbindung zu einem öffentlichen Netz, beispielsweise einem Telekommunikationssystem der Post, aufweist., kann eine Verbindung zur Kommunikationseinrichtung durch Unbefugte ohne grössere Schwierigkeiten erstellt werden. Ist ein Protokoll für eine Kodie- rung/Dekodierung der Befehlsinformation bekannt, können Unbefugte sehr leicht Befehlsinformationen an die Kommunikations- einrichtung übermitteln. Werden diese von der Steuer- und/oder Regeleinrichtung entsprechend ausgeführt, kann es zu Ausfällen oder gar zu Schäden am System kommen, je nach System unter Umständen auch zu einer Gefährdung oder Schädigung der Umgebung und der Umwelt. In EP 617350 wird deswegen vorgeschlagen, in der Kommunikationseinrichtung vor einer eigentlichen Eingabe von Befehlsinformationen eine Benutzerauthentifizierung durchzuführen. Dazu muss ein Passwort oder eine Kennnummer eingegeben werden, welche die Berechtigung des Zugriffs auf die Kommunikationseinrichtung und damit das System beinhalten.

Während durch eine Benutzerauthentifizierung die Gefahr eines Zugriffs durch Unbefugte weitgehend gebannt werden kann, verbleibt dennoch ein gewisses Restrisiko. Dies ist insbesondere dann der Fall, wenn das Passwort oder die Kennnummer Unbefugten bekannt ist oder wird.

Eine besondere Gefahr stellen darüber hinaus sogenannte Hacker- Attacken dar. Dies sind Angriffe von Unbefugten, die darauf abzielen, durch wiederholte Versuche Passwort und/oder Kennnummer zu erraten. Vor allem solche Systeme, deren Kommunikationseinrichtungen Verbindungen zu Computernetzwerken aufweisen, sind hier besonders gefährdet, da die Hacker-Attacke mit Hilfe von Computerprogrammen und/oder -Skripten automatisiert werden kann, so dass binnen kurzer Zeit eine sehr grosse Anzahl von Versuchen zum Erraten von Passwort und/oder Kennnummer durchgeführt werden kann.

Beschreibung der Erfindung

Es ist deswegen Aufgabe der Erfindung, ein Verfahren zur Fernsteuerung und -regelung von Systemen anzugeben, welches die Gefahr einer Manipulation durch Unbefugte wirkungsvoll minimiert und insbesondere vor Hacker-Attacken schützt.

Es ist weiterhin Aufgabe der Erfindung, ein sicheres Verfahren zur Fernsteuerung und/oder -regelung eines Systems anzugeben, welches ohne die Notwendigkeit einer vor einer eigentlichen Übermittlung einer Befehlsinformation stattfindenden Benutzerauthentifizierung auskommt, und somit einfach und effizient ist.

Diese Aufgaben werden durch ein Verfahren nach Anspruch 1 gelöst. Eine Mitteilung, welche eine das System betreffende Information und einen Validierungscode umfasst, wird dabei von einer dem System zugeordneten Kommunikationseinrichtung versendet, vorzugsweise an eine im voraus bestimmte Empfangseinrich- tung. Sobald die Kommunikationseinrichtung zu einem Zeitpunkt nach der Versendung der Mitteilung eine Nachricht empfängt, wird aus dieser Nachricht nach einer vorgegebenen Regel ein Kontrollcode extrahiert. Anhand von Validierungscode und Kontrollcode wird unter Berücksichtigung der vorgegebenen Regel eine Herkunft der Nachricht überprüft, d.h. es wird überprüft, ob die Nachricht von einem Empfänger der Mitteilung stammt. Somit ist es möglich, anhand von Validierungscode und Kontrollcode zu verifizieren, ob die empfangene Nachricht eine Antwort auf die versendete Mitteilung darstellt.

Nur in solchen Fällen, in denen erfolgreich überprüft wurde, dass die Nachricht von einem Empfänger der Mitteilung stammt, wird aus der empfangenen Nachricht zusätzlich zum Kontrollcode nach der vorgegebenen Regel eine Befehlsinformation sowohl extrahiert als auch bearbeitet und/oder vom System ausgeführt.

Falls hingegen anhand von Validierungscode und Kontrollcode nicht verifiziert werden konnte, dass die empfangene Nachricht eine Antwort auf die versendete Mitteilung darstellt, wird entweder die Befehlsinformation gar nicht erst aus der Nachricht extrahiert, oder die extrahierte Befehlsinformation wird igno- riert.

Diese und weitere Aufgaben, Vorteile und Merkmale der Erfindung werden aus der nachfolgenden, detaillierten Beschreibung eines bevorzugten Ausführungsbeispiels der Erfindung in Verbindung mit den Zeichnungen ersichtlich.

Kurze Erläuterung der Zeichnung

Fig. 1 zeigt schematisch ein Blockschaltbild eines mit dem erfindungsgemässen Verfahren fernsteuer- und/oder -regelbaren Systems .

Die in der Zeichnung verwendeten Bezugszeichen und deren Bedeutung sind in der Bezugszeichenliste zusammengefasst .

Wege zur Ausführung der Erfindung

Fig. 1 zeigt schematisch ein Blockschaltbild eines Systems 1, welches über eine Kommunikationseinrichtung 2, die eine Systemschnittstelle 21 und eine Netzschnittstelle 22 aufweist, und eine Empfangseinrichtung 3 nach dem erfindungsgemässen Verfahren fernsteuer- und/oder -regelbar ist. Die Netzschnittstelle 22 verfügt über mindestens je ein Mittel zum Senden bzw. Empfangen von Mitteilungen bzw. Nachrichten.

Das System betreffende Daten werden in der Kommunikationsein- richtung 2, einer angeschlossenen Datenverarbeitungsanlage und/oder einer Untereinheit des Systems 1 gesammelt und gegebenenfalls aufbereitet. Die Daten können das System 1 direkt oder indirekt betreffen. Es können einerseits Betriebsparameter wie z.B. Temperaturen, Drücke, Durchflussmengen von Substanzen, Konfigurationsparameter wie Schalter- oder Ventilstellungen, andererseits auch Umgebungsparameter wie beispielsweise Umgebungstemperaturen oder ähnliches sein. Es kann sich, wie in den vorgenannten Beispielen, um Einzeldaten, die durch einen einzelnen Zahlenwert ausgedrückt werden können, vorteilhaft aber auch um komplexe, von einer Untereinheit des Systems vorverarbeitete Datensätze handeln. Die Daten werden schliesslich zu einer Information zusam engefasst . Dabei kann die Information aus lediglich einem einzelnen Datum bestehen, sie kann aus ei- ner Vielzahl von Daten zusammengesetzt sein oder auch das Ergebnis einer Analyse von Daten sein, die in der Kommunikationseinrichtung 2, der angeschlossenen Datenverarbeitungsanlage oder dem System 1 selbst durchgeführt wurde.

Eine Mitteilung, welche die Information enthält, wird bei Er- füllung gewisser Bedingungen von der Kommunikationseinrichtung 2 über die Netzschnittstelle 21 an eine Empfangseinrichtung 3 übermittelt. Bedingung für eine Übermittlung einer Mitteilung ist vorzugsweise ein bei einer Auswertung der Daten diagnostizierter Fehler im System 1. Es ist jedoch auch denk- bar, dass eine Mitteilung unabhängig von einem Zustand des Systems 1 übermittelt wird, beispielsweise wenn ein das System 1 indirekt betreffender Parameter wie die Umgebungstemperatur einen gewissen Grenzwert über- oder unterschreitet. In den genannten Situationen stellt die Übermittlung der Mitteilung ge- wissermassen einen Alarm dar. Vorteilhaft kann die Mitteilung aber auch zu einer fixen Uhrzeit, an einem festen Tag oder zu vorherbestimmten Terminen übermittelt werden.

Der Mitteilung wird von der Kommunikationseinrichtung 2 ein Validierungscode beigefügt. Zu diesem Zweck werden Information und Validierungscode gemäss einer ersten Kombinationsregel zusammengesetzt. Vorteilhaft erfolgt dies durch ein Aneinander- hängen von Information und Validierungscode. Bestehen Information und Validierungscode aus Zeichenfolgen, werden beim Aneinanderhängen vorteilhaft vorgegebene Steuer- oder Sonder- zeichen als Separator dazwischengesetzt .

Eine Gültigkeit des Validierungscodes ist vorzugsweise einmalig und unterliegt einer zeitlichen Begrenzung. Der Validierungscode wird dabei auf geeignete Weise erzeugt, beispielswei- se durch einen Zufallszahlengenerator, so dass er für Unbefugte nicht vorhersagbar ist. Die zeitliche Begrenzung und einmalige Gültigkeit erschweren eine Manipulation des Systems 1 durch Unbefugte in Fällen, in denen der Validierungscode bekannt wird.

Das erfindungsgemässe Verfahren wird fortgesetzt, sobald von der Kommunikationseinrichtung 2 über die Netzschnittstelle 21 eine Nachricht empfangen wird. Die Kommunikationseinrichtung 2 extrahiert dann nach einer ersten Extraktionsregel einen Kontrollcode aus der Nachricht. Eine Herkunft der empfangenen Nachricht wird sodann anhand des Validierungscodes und des Kontrollcodes überprüft. Vorteilhaft wird zu diesem Zweck ein Kontrollcode verwendet, der mit dem Validierungscode identisch ist. Die Überprüfung der Herkunft erfolgt dann durch einen Vergleich von Validierungscodes und Kontrollcode. Dazu muss bei einem Versenden der Mitteilung eine Kopie des Validierungscodes gespeichert werden, um für den Vergleich beim späteren Empfang einer Nachricht zur Verfügung zu stehen. Eine zeitliche Begrenzung der Gültigkeit des Validierungscodes wird in diesem Fall vorteilhaft dadurch ermöglicht, dass eine Gültigkeitsinfor ati- on zusammen mit dem Validierungscode gespeichert wird. Es ist jedoch auch eine Überprüfung ohne explizite Kenntnis des Validierungscodes vorteilhaft einsetzbar. So können unter anderem bestimmte Eigenschaften des Validierungscodes zur Überprüfung herangezogen werden, beispielsweise dessen Quersumme. Der Kon- trollcode muss dann nur auf diese Eigenschaften, im Beispiel die Quersumme, überprüft werden.

Neben dem Kontrollcode wird aus der Nachricht nach der ersten Extraktionsregel ausserdem eine Befehlsinformation extrahiert. Nur bei erfolgreicher Überprüfung anhand von Validierungs- und Kontrollcode wird die Befehlsinformation von der Kommunikationseinrichtung 2 zum Zwecke einer Ausführung über die Systemschnittstelle 22 an das System 1 weitergegeben, gegebenenfalls nach einer vorangehenden Bearbeitung. Dabei ist vorzugsweise zwischen Kommunikationseinrichtung 2 und System 1 eine Steuer- einrichtung vorgesehen, an welche die Befehlsinformation gegeben wird und von wo sie an das System 1 weitergegeben wird. War die Überprüfung nicht erfolgreich, bleibt die Befehlsinformation unberücksichtigt.

Die erste Extraktionsregel ist dabei vorzugsweise so beschaffen, dass Kontrollcode und Befehlsinformation durch ein Herausschneiden von Teilbereichen der Nachricht extrahiert werden.

Wie sich aus den bisherigen Erläuterungen ergibt, stellt eine Anwendung des erfindungsgemässen Verfahrens sicher, dass nur ein Empfänger der Mitteilung und damit des Validierungscodes in der Lage ist, Befehle zur Fernsteuerung- und/oder -regelung des Systems 1 zu erteilen. Um dies zu tun, muss der Empfänger gemäss einer zweiten Extraktionsregel, welche eine Umkehrung der ersten Kombinationsregel darstellt, zunächst den Validie- rungscode aus der Mitteilung extrahieren. Aus den Befehlen, die er zu erteilen beabsichtigt, kann er zusammen mit dem Validierungscode unter Kenntnis der ersten Extraktionsregel eine Nachricht generieren, aus der die Kommunikationseinrichtung 2, nachdem sie diese Nachricht empfangen hat, einen Kontrollcode extrahiert, der zur erfolgreichen Überprüfung der Nachricht führt und damit zur Extraktion und Umsetzung der Befehlsinformation. Dazu muss er eine zweite Kombinationsregel benutzen, die dies gewährleistet.

In einer weiteren bevorzugten Ausgestaltung des erfindungsgemä- ssen Verfahrens wird aus der Nachricht nach einer dritten Extraktionsregel eine Absenderinformation extrahiert. In der Kommunikationseinrichtung 2 wird die Absenderinformation überprüft und nur im Falle einer erfolgreichen Absenderidentifizierung, d.h. einer Übereinstimmung der Absenderinformation mit gespei- cherten Absenderdaten autorisierter Benutzer, wird die Befehlsinformation von der Kommunikationseinrichtung 2 an das System 1 weitergegeben und/oder bearbeitet. Vorzugsweise beinhaltet die Absenderinformation dabei ein geheimes Passwort oder eine geheime Kennnummer. In diesem Falle handelt es sich um eine sogenannte starke Benutzerauthentifizierung, d.h. der Absender wird dadurch als autorisierter Benutzer authentifiziert, dass er einerseits etwas weiss, nämlich Passwort oder Kennnummer, andererseits etwas besitzt - im vorliegenden Fall die Empfangseinrichtung 3, an welche die Mitteilung übermittelt wurde respektive die Mitteilung, die er mit der Empfangseinrichtung 3 empfangen hat. Der Empfänger der Mitteilung muss dabei einer Nachricht, welche er generiert, die Absenderinforma- tion gemäss einer dritten Kombinationsregel beifügen.

In einer bevorzugten Ausgestaltung des erfindungsgemässen Verfahrens werden Validierungscode, Kontrollcode und/oder Absenderinformation verschlüsselt übertragen. Dazu werden vorzugsweise Validierungscode und/oder Absenderinformation selbst verschlüs- seit, bevor sie gemäss erster bzw. dritter Kombinationsregel der Mitteilung bzw. Nachricht beigefügt werden. Vorteilhaft kann aber auch die gesamte Mitteilung und/oder Nachricht verschlüsselt werden. Empfängt die Kommunikationseinrichtung 2 eine verschlüsselte Nachricht, muss diese zunächst entschlüs- seit werden. Liegen Kontrollcode oder Absenderinformation nach der Extraktion aus der Nachricht in verschlüsselter Form vor, sind diese zu entschlüsseln. Wenn die Nachricht eine Absenderinformation enthält, wird durch eine verschlüsselte Übertragung die Gefahr einer Manipulation durch Unbefugte weiter ver- ringert, weil aus abgehörten oder abgefangenen Nachrichten nicht ohne weiteres die Absenderinformation gewonnen werden kann. Auch wenn die Gültigkeit des Validierungscodes einer zeitlichen Begrenzung unterliegen soll, ist eine verschlüsselte Übertragung vorteilhaft. In diesem Fall kann eine Gültig- keitsinformation dem Validierungscode direkt, beispielsweise durch Anhängen, beigefügt werden. Eine Manipulation der Gültigkeitsinformation durch den Empfänger ist ausgeschlossen. Nach einer Entschlüsselung von Nachricht oder Kontrollcode in der Kommunikationseinrichtung 2 liegt die Gültigkeitsinformation wieder im Klartext vor. Eine Speicherung der Gültigkeitsinformation ist somit nicht notwendig.

In einer bevorzugten Ausgestaltung des erfindungsgemässen Verfahrens wird die Mitteilung bzw. die Nachricht mittels Short message service (SMS) über ein GSM- oder ISDN-Netz verschickt bzw. empfangen.

In einer weiteren bevorzugten Ausgestaltung des erfindungsgemässen Verfahrens wird die Nachricht über ein öffentliches Computernetz, vorzugsweise das Internet, empfangen.

Die bei der Durchführung des erfindungsgemässen Verfahrens gemäss vorstehender Beschreibung eingesetzten Mittel wie Kommunikationseinrichtung 2, Netzschnittstelle 21, Systemschnittstelle 22, Empfangseinrichtung 3 und Steuereinrichtung sind als funktionale Elemente zu verstehen und müssen nicht notwendigerweise als eigenständige physikalische Einheiten ausgebildet sein. So kann mit dem Verfahren vorteilhaft auch ein System 1 ferngesteuert und/oder -geregelt werden, bei dem die Kommuni ations- einrichtung und/oder die Steuereinrichtung in das System 1 integriert ist. Vorteilhaft kann die Kommunikationseinrichtung 2 in eine elektronische Rechenanlage integriert sein, in welcher vorteilhaft auch die Steuereinrichtung implementiert ist. Vorteilhaft dient die elektronische Rechenanlage auch als Datenverarbeitungsanlage bei einer Erfassung und der Analyse das System betreffender Daten.

Das erfindungsgemässe Verfahren lässt sich vorteilhaft auch bei der Fernsteuerung und/oder -regelung von computerbasierten Systemen wie beispielsweise Datenverarbeitungssystemen, Finanztransaktionssystemen oder Handelssystemen einsetzen.

Der Empfänger der Mitteilung wird im Allgemeinen eine Person sein. Die Mitteilung kann in diesem Fall vorteilhaft auch in akustischer Form vorliegen und beispielsweise aus einer zeitlichen Aufeinanderfolge aus Information und Validierungscode be- stehen. Es ist aber auch denkbar, dass der Empfänger ein elektronisches Gerät ist, das eine Nachricht mit einer geeigneten Befehlsinformation automatisch als Antwort auf die Mitteilung erstellt und an die Kommunikationseinrichtung 2 zurückübermit- telt.

Bezugszeiσhenliste

1 System

2 Kommunikationseinrichtung

21 Netzschnittstelle

22 Systemschnittstelle

3 Empfangseinrichtung

Claims

PATENTANSPRÜCHE

1 Verfahren zur Fernsteuerung und/oder -regelung mindestens eines Systems (1), insbesondere einer Industrieanlage, - unter Verwendung einer Kommunikationseinrichtung (2), welche dem System (1) zugeordnet ist, wobei von der Kommunikationseinrichtung (2) eine Mitteilung versendet wird, dadurch gekennzeichnet, dass - die Mitteilung eine Information betreffend das System (1) und einen Validierungscode umfasst und aus einer Nachricht, welche die Kommunikationseinrichtung (2) nach der Versendung der Mitteilung empfängt,

• gemäss einer ersten Extraktionsregel ein Kontrollcode extrahiert wird,

• anhand von Validierungscode und Kontrollcode überprüft wird, ob die Nachricht von einem Empfänger der Mitteilung stammt und

• nur im Fall einer erfolgreichen Überprüfung eine Be- fehlsinformation gemäss der ersten Extraktionsregel aus der Nachricht extrahiert und vom System (1) umgesetzt wird.

2 Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass - die Mitteilung und/oder die Nachricht per short message Service versendet und/oder empfangen wird.

3 Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass die Antwort via Internet empfangen wird.

Verfahren nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass

- der Validierungscode eine zeitlich begrenzte Gültigkeit aufweist.

Verfahren nach Anspruch 4, dadurch gekennzeichnet, dass dem Validierungscode eine Gültigkeitsinformation beige- fügt, vorzugsweise angehängt oder vorangestellt wird.

Verfahren nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass der Validierungscode in verschlüsselter Form übertragen wird.

Verfahren nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass

- gemäss einer dritten Extraktionsregel aus der Nachricht eine Absenderinformation extrahiert wird, anhand von Absenderinformation und gespeicherten Absenderdaten der Absender identifiziert wird und

- nur im Fall einer erfolgreichen Absenderidentifizierung die Befehlsinformation vom System (1) umgesetzt wird.

Verfahren nach Anspruch 7, dadurch gekennzeichnet, dass

- die Absenderinformation in verschlüsselter Form übertragen wird.