[發明專利]用于建立到工業自動化系統的安全的通信連接的方法和防火墻系統

有效

• 申請號: 201780043441.1
• 申請日: 2017-06-27
• 公開（公告）號: CN109479056B
• 公開（公告）日: 2019-11-19
• 發明（設計）人: 卡爾·格拉斯;斯文·哥特瓦爾德
• 申請（專利權）人: 西門子股份公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G05B19/418
• 代理公司: 11240 北京康信知識產權代理有限責任公司
• 代理人: 張英;沈敬亭<國際申請>=PCT/EP2

為了建立到工業自動化系統的安全的通信連接，連接管理裝置在權限檢查結果過為正面的情況下為進行請求的用戶的第一通信設備和所選擇的第二通信設備提供在這兩個通信設備之間建立加密的通信連接的訪問管控信息。在此，連接管理裝置通過在防火墻系統上運行的服務器實例形成。經由在進行請求的用戶的第一通信設備和所選擇的第二通信設備之間的加密的通信連接傳輸的數據包通過防火墻系統針對基于確定的安全規則的檢查進行解密并且在常規檢查的情況下以加密的方式轉發至進行請求的用戶的第一通信設備或轉發至所選擇的第二通信設備。

技術領域

本發明涉及工業自動化系統領域，進一步地，本發明涉及一種用于建立到工業自動化系統的安全的通信連接的方法以及一種防火墻系統。

背景技術

工業自動化系統用于監視、控制和調節工程過程，尤其在制造自動化、過程自動化和建筑自動化領域中的工程過程，并且實現控制裝置、傳感器、機器和工業設施的運行，該運行應盡可能自主地且不受人類干預地進行。在此，特別重要的是實時地提供監視功能、控制功能和調節功能。對自動化設備和工業自動化系統的計算單元之間的通信連接的干擾能夠引起不利地重復傳輸服務請求。特別地，未傳輸的或未完整傳輸的消息會防止工業自動化系統過渡到安全運行狀態下，并且導致工業設施的失效。在工業自動化系統中從具有相對大量的、但是相對短的要實時傳輸的消息的消息通信中產生特別的問題。

從US8555373B2中已知設置在源設備和目標設備之間的防火墻，該防火墻包括用于對照允許的列表檢查從數據包提取的數據的硬件安全部件。硬件安全部件還執行關于協議的基于狀態的檢查。防火墻能夠設計為安全代理，并且借助于軟件安全部件實現兩個參與者之間的安全的會話。為了對待檢查的包進行認證或解密以及對經檢查的包進行加密，軟件安全部件采用硬件安全部件。

在US7958549B2中描述具有加密處理器和虛擬服務器的防火墻。在此，加密處理器連接在虛擬服務器上游且對加密的數據包進行解密，數據包隨后轉發供給虛擬服務器以進行處理。沿相反的方向，加密處理器從虛擬服務器接收處理過的數據包，以便將該轉發加密。

為了保護機密的信息或數據也在工業通信網絡中使用VPN通信連接(虛擬專用網絡)。在VPN通信連接中，進行對于在發射器和接收器之間傳輸的數據的端對端加密。在此，發射器能夠建立和使用同時到多個接收器的多個VPN通信連接。

為了管理遠程維護系統的多個VPN連接，其中，能夠由多個在工業通信網絡之外的遠程維護計算機訪問工業通信網絡之內的不同的待控制的設施或設施部件，而設置有交會服務器。在此，遠程監視計算機的用戶例如借助其相應的用戶標識在交會服務器處登陸并且在交會服務器中請求對設施、設施部件或現場設備進行訪問。在成功登陸和請求之后，交會服務器靜態地或動態地促使建立遠程維護過程的通信參與者之間的VPN通信連接并且將其聯接。由此，在遠程維護計算機一方和設施、設施部件或現場設備另一方之間建立加密的端對端通信連接。然而，這種防竊聽的端對端通信連接原則上防止對在遠程維護過程的通信用戶之間進行交換的數據或信息的控制。特別地，無法輕易檢查，是否始于遠程維護計算機在設施、設施部件或遠程設備處執行不可靠的干預，或者是否使用允許的通信協議或自動化系統協議。

發明內容

因此，本發明的目的在于，提供一種用于建立到工業通信系統的安全的通信連接的方法，該方法實現在對傳輸的數據的可靠性進行檢查的同時實現防竊聽的數據傳輸，以及提供一種用于執行該方法的適當的設備。

按照根據本發明的用于建立到工業自動化系統的安全的通信連接的方法，經由連接管理裝置來建立從工業自動化系統之外的第一通信設備到與工業自動化系統相關聯的第二通信設備的通信連接。連接管理裝置尤其能夠是交會服務器。此外，第二通信設備例如能夠集成到自動化設備中或者與這些自動化設備相關聯。在通過第一通信設備的進行請求的用戶請求建立到所選擇的第二通信設備的連接時，連接管理裝置相對于訪問管控列表對進行請求的用戶執行權限檢查。訪問管控列表優選包括分別在至少一個第一通信設備與至少一個第二通信設備之間的可靠的通信連接的用戶獨有的說明。