用于分析对象的系统和方法技术方案

本发明专利技术涉及一种用于分析系统操作者的至少一个对象的系统，其中，给至少一个对象在本地分配系统操作者的至少一个第一计算单元，其包括至少一个第一数据存储器、第一评估单元和第一应用，第一数据存储器包括对象的数据，第一应用安排评估单元来处理第一数据存储器的数据并且为了通知对象而将由此产生的第一结果传输到第一数据存储器处。系统包括服务运行者的代理和第二计算单元，第二计算单元包括至少一个第二数据存储器、第二评估单元和第二应用，代理被分配给至少一个第一计算单元并且将第一数据存储器的数据经由互联网送到第二数据存储器和/或接收第二数据存储器的数据。本发明专利技术还涉及一种用于分析系统操作者的至少一个对象的方法。

【技术实现步骤摘要】
用于分析对象的系统和方法
本专利技术涉及一种用于借助于被动的数据收集器和用于抑制到对象的指令的封锁模块来分析系统操作者的对象的系统和方法。
技术介绍
本专利技术处于基于代理的、用于所谓的基于云的系统和服务的数据收集的安全范围之内。本专利技术还涉及所谓的“物联网(IoT)”或者所谓的“系统网(WoS)”的范围。在基于代理的数据收集中，该代理表现为在数据源和基于云的系统之间的接口。其收集数据并且发送数据到系统。数据的发送能够直接经由中介者(所谓的代理者)或者经由网关实现。数据源是工业的自动化系统中的自动化或计算单元。其能够是可编程逻辑控制器、具有控制器的现场设备，比如发动机、变流器、传感器，又或者汽车中的控制器、光信号设备、照相机或者类似物。这些代理能够是纯软件代理，其在该境况下直接集成在前述的控制系统或者控制器中，并且在该处作为数据收集器起作用。可替换地，代理也能够在特有的硬件中运行，其随后直接经由通信协议(西门子S7、Profibus、Modbus、OPCDA/UA、SOAP/XML等)连接数据源。在数据源经由代理的耦联的要求方面能够将其分为下列类型。在一种情况中，代理应当从数据源收集数据，发送给基于云的系统和/或能够接收从基于云的系统到数据源的控制信号。这样的数据收集和控制代理的实例能够是发动机中的代理，其在简单的应用情况中从发动机的传感器读取数据、例如加速数据，并且将这些数据为了分析目的而发送给基于云的系统。当涉及对于工业自动化系统来说由于其功能而被示出的并且因此必须被监视的发动机的时候，基于云的系统能够在评估数据之后确定异常情况并且将停止指令发送给代理，其随后再次将用于停止发动机的相应的信号发送给发动机的控制系统。在另一种情况中，代理是被动的数据收集器，其仅收集数据并且发送给基于云的系统，其利用这些数据实施另外的分析功能。代理的这种形式应当不从基于云的系统接收指令。在工业环境中引入与基于云的系统连接的数据收集的代理具有若干与安全相关的结果。代理为互联网示出了工业的自动化系统和各个自动化和计算单元。代理自身直接或间接地与汽车中的与互联网连接的控制系统连接能够是危险的。因此，客户察觉到经由互联网和代理与控制系统连接的基于云的系统是危险的。由于该原因并且为了使安全风险最小化，主要允许的代理是，其仅是被动的数据收集器并且仅允许到云(向外)的连接。然而，客户不再总认为这样的被动的代理是安全的。因此担心的是，能够从外入侵到被动的代理中并且将其改变，以使得其还是将控制指令发送给自动化或计算单元。也存在风险的是，被动的代理在代理的配置或执行指令的基础上将控制信号发送给数据源。所尝试遇到的是，能将被动的代理设置为使得其仅仅在向外连接模式中工作。然而在该模式中也能够实现将控制指令发送给自动化或计算单元，即经由基于应答通信向外请求。如果成功利用流氓软件感染了被动的代理，那么其对此能够安排的是，将修改的信号或指令发送给自动化和计算单元。取决于具体的应用情况能够发生的是，这样的代理之后例如应当为来自于云的远程服务所激活，其随后-至少在一定的时间内-表示自动化或计算单元的控制。
技术实现思路
相应地从前述问题出发，本专利技术的目的在于提出一种系统和方法，其提升了前述的系统的安全性。特别地，该目的阻止的是，被动的代理将控制信号发送给自动化单元。该目的通过本专利技术的系统和本专利技术的方法实现。用于分析至少一个对象的系统是系统操作者的对象。在这点上，对象例如理解为工厂自动化中的自动化系统，其由一系列基本上在控制和现场层中的不同的自动化部件、如可编程逻辑控制器组成。在此，对象的概念理解为每个智能的和装配有软件的现场部件或控制部件，并且就此来说该概念也应当包括驱动部件、监视部件或传感器部件，例如发动机或变流器。这些对象通常彼此联网并且由各种按等级布置的上级的控制系统所操纵和/或监视。除了工厂自动化之中的前述对象之外，该概念也应当理解为每个与计算单元-无论在哪种环境中工作-连接的、实施控制和监视功能的对象。例如，车辆(道路车辆、农业车辆或轨道车辆)能够表现为这样的对象，然而也能是房屋控制和监视环境中的智能的装置。系统操作者应当理解为，对象在其占据物或占有物之中或者在其直接的影响范围之中，并且对象利用其数据进行工作。给对象在本地分配至少一个第一计算单元。通常，计算单元位于具有对象的结构上的单元中。然而也能考虑的是，对象和其计算单元不形成结构上的单元。然而也在这样的情况中，计算单元和对象应当相互在空间上邻近，但是至少位于本地的通信网之中的系统操作者的影响范围的界限中。第一计算单元具有数据存储器、至少一个评估单元和至少一个应用。评估单元实现为硬件和软件的组合。其设计为与数据存储器分开的独立的计算单元，然而其也能包括计算单元。数据存储器包括对象的数据。在这点上，数据存储器也应当理解为内部的寄存器或数据变量。对象的数据能够是内部的对象数据又或者是对象外围设备(用于对象的传感器或执行机构)的数据。该应用安排评估单元来处理第一数据存储器的数据并且将第一数据存储器上由此产生的用于传送的第一结果-特别是作为控制信号-传输给对象或上级的控制系统。该系统包括至少一个代理和第二计算单元。第二计算单元远离第一计算单元并且位于服务运行者的占据物、占有物或影响范围之中。在此涉及基于云的计算单元。第二计算单元包括第二数据存储器、第二评估单元和至少一个第二应用。代理被分配给第一计算单元。其应当理解为，代理要么作为纯软件代理直接安装在第一计算单元的硬件上，并且就此来说也使用该计算单元的评估单元，或者该代理在特有的硬件上按照软件执行，并且维持本地的通信网之中到对象的计算单元的特有的通信连接。该代理将数据从第一数据存储器经由互联网传送到第二数据存储器处。在此，该代理能够读取地访问第一数据存储器。可替换地，该代理也能够在其存储到第一数据存储器中之前收集数据。第二应用安排第二评估单元来处理第二数据存储器的数据并且将由此产生的第二结果传输到第二数据存储器。在该形式中，第二评估单元也设计为与第二数据存储器分开的、独立的计算单元。为了阻止从第二计算单元到第一计算单元的、用于对象的不期望的控制指令执行对象的行为又或者使用第一数据存储器中的数据，执行封锁模块(“CIL”-ControlInhibitionLayer)，其闭锁在第一和第二数据存储器之间的数据的、从第二到第一数据存储器的方向上的传输。封锁模块仅允许代理读取访问第一数据存储器。其抑制了代理对第一数据存储器的或者用于对象的第一计算单元的评估单元的、所有的修改/写入/控制指令。在功能组织上，封锁模块或封锁层位于第一计算单元和代理之间。封锁模块占据局外者、即抗病毒程序或防火墙的角色，并且在此控制代理与计算单元的第一数据存储器的通信，通过其作为位于该通信之间的封锁层的方式。当在代理和第一数据存储器之间总是存在通信的时候，封锁模块决定允许或闭锁该通信。假如代理要尝试写入到第一数据存储器中，那么就将其闭锁。根据另一个观点，封锁模块也能够附加地封锁在第一和第二数据存储器之间的数据的、从第一到第二数据存储器的方向上的交换。随后其基本上能够具有的优点为，系统操作者所期望的是完全或在确定的时间内禁止到基于云的计算单元的数据传输。在该情况中抑制代理从第一数据存本文档来自技高网...

【技术保护点】
一种用于分析系统操作者的至少一个对象(1a‑1d)的系统(100)，其中，给至少一个所述对象在本地分配所述系统操作者的至少一个第一计算单元(12)，所述第一计算单元包括至少一个第一数据存储器(14)、第一评估单元(13)和第一应用(15)，其中，所述第一数据存储器(14)包括所述对象的数据(22)，并且所述第一应用安排所述第一评估单元(13)来处理所述第一数据存储器的数据并且为了通知所述对象而将由此产生的第一结果(24)传输到所述第一数据存储器处，其中，所述系统包括服务运行者的代理(25)和第二计算单元(17)，其中，所述第二计算单元包括至少一个第二数据存储器(19)、第二评估单元(18)和第二应用(20)，其中，所述代理被分配给至少一个所述第一计算单元并且将所述第一数据存储器的数据经由互联网(16)送到所述第二数据存储器(19)和/或接收所述第二数据存储器的数据，其中，所述第二应用安排所述第二评估单元来处理所述第二数据存储器的数据并且将由此产生的第二结果(27)传输到所述第二数据存储器中，其特征在于，所述系统具有封锁模块(28)，所述封锁模块被分配给所述第一计算单元，并且通过所述封锁模块能封锁在所述第一数据存储器和所述第二数据存储器之间的数据的、从所述第二数据存储器到所述第一数据存储器的方向上的数据交换。...

【技术特征摘要】
2015.09.15 EP 15185275.31.一种用于分析系统操作者的至少一个对象(1a-1d)的系统(100)，其中，给至少一个所述对象在本地分配所述系统操作者的至少一个第一计算单元(12)，所述第一计算单元包括至少一个第一数据存储器(14)、第一评估单元(13)和第一应用(15)，其中，所述第一数据存储器(14)包括所述对象的数据(22)，并且所述第一应用安排所述第一评估单元(13)来处理所述第一数据存储器的数据并且为了通知所述对象而将由此产生的第一结果(24)传输到所述第一数据存储器处，其中，所述系统包括服务运行者的代理(25)和第二计算单元(17)，其中，所述第二计算单元包括至少一个第二数据存储器(19)、第二评估单元(18)和第二应用(20)，其中，所述代理被分配给至少一个所述第一计算单元并且将所述第一数据存储器的数据经由互联网(16)送到所述第二数据存储器(19)和/或接收所述第二数据存储器的数据，其中，所述第二应用安排所述第二评估单元来处理所述第二数据存储器的数据并且将由此产生的第二结果(27)传输到所述第二数据存储器中，其特征在于，所述系统具有封锁模块(28)，所述封锁模块被分配给所述第一计算单元，并且通过所述封锁模块能封锁在所述第一数据存储器和所述第二数据存储器之间的数据的、从所述第二数据存储器到所述第一数据存储器的方向上的数据交换。2.根据权利要求1所述的系统，其特征在于，在所述第一数据存储器和所述第二数据存储器之间的数据的、从所述第一数据存储器到所述第二数据存储器的方向上的数据交换也能被封锁。3.根据权利要求1或2所述的系统，其特征在于，所述封锁模块能由所述系统操作者通过调节编辑器进行配置。4.根据权利要求1至3中任一项所述的系统，其特征在于，所述封锁模块作为分开的软件模块在所述第一计算单元的另外的应用中执行。5.根据权利要求4所述的系统，其特征在于，所述封锁模块能由所述代理借助于通信询问进行调用。6.根据权利要求4所述的系统，其特征在于，至少所述第一计算单元具有用于管理所述第一数据存储器的应用，并且在通过所述代理进行通信询问之后，所述封锁模块能够由用于管理所述第一数据存储器的应用进行调用。7.根据权利要求1或2所述的系统，其特征在于，所述封锁模块在特有的硬件上执行。8.根据权利要求4至6中任一项所述的系统，其特征在于，所述封锁模块作为软件模块在所述代理中执行。9.根据权利要求1至8中任一项所述的系统，其特征在于，所述封锁模块闭锁对于运行系统的网络操作、数据操作或存储器操作的所有的请求。10.根据权利要求1至9中任一项所述的系统，其...

【专利技术属性】
技术研发人员：阿米特·维尔马，
申请(专利权)人：西门子公司，
类型：发明
国别省市：德国,DE