用于現(xiàn)場設(shè)備數(shù)據(jù)通信的密碼保護(hù)的方法和通信裝置制造方法
【專利摘要】本發(fā)明涉及用于現(xiàn)場設(shè)備（11）的數(shù)據(jù)通信的密碼保護(hù)的方法，具有以下步驟：由通信裝置（12）基于所述現(xiàn)場設(shè)備（11）的標(biāo)識碼來識別所述現(xiàn)場設(shè)備（11）；由所述通信裝置（12）選取分配給被識別的現(xiàn)場設(shè)備（11）的VPN配置；由所述通信裝置（12）基于所選取的VPN配置構(gòu)建VPN連接（15a）；以及由所述現(xiàn)場設(shè)備（11）通過所構(gòu)建的VPN連接向VPN服務(wù)器（16）傳送控制數(shù)據(jù)。
【專利說明】用于現(xiàn)場設(shè)備數(shù)據(jù)通信的密碼保護(hù)的方法和通信裝置
【技術(shù)領(lǐng)域】
[0001 ] 本發(fā)明涉及用于現(xiàn)場設(shè)備數(shù)據(jù)通信的密碼保護(hù)的方法和通信裝置。
【背景技術(shù)】
[0002]工業(yè)現(xiàn)場設(shè)備、例如用于鐵路和鐵道設(shè)備的控制設(shè)備總是較頻繁地通過開放式通 信協(xié)議、如TCP/IP來代替通過專有協(xié)議進(jìn)行通信。在此，其利用公共網(wǎng)絡(luò)、例如因特網(wǎng)來向 中心站或其他的現(xiàn)場設(shè)備傳輸通信數(shù)據(jù)。為了保護(hù)數(shù)據(jù)的傳輸免于被操作，采用密碼保護(hù) 機(jī)制、例如 MACsec、SSL/TLS、WS 安全或 IPsec。
[0003]然而，經(jīng)常由于所需的計(jì)算能力、存儲需求、許可或向下兼容性的原因而不可行的 是，使現(xiàn)場設(shè)備自身配備這樣的網(wǎng)絡(luò)技術(shù)，使得大多數(shù)的外部設(shè)備被采用，以便構(gòu)建用于現(xiàn) 場設(shè)備通過公共網(wǎng)絡(luò)、如因特網(wǎng)的通信的虛擬私人網(wǎng)絡(luò)(VPN)，并且保證所需的安全性。這 樣的外部設(shè)備必須針對具有密碼保護(hù)的數(shù)據(jù)的通信而被配置。為此，秘密的密碼的通信密 鑰是必需的，利用該通信密鑰，通過VPN發(fā)送和接收的數(shù)據(jù)可以被加密和解密。
[0004]外部設(shè)備的配置是昂貴的和易出錯的。一種可能性是，現(xiàn)場尋找和配置或重新配 置外部設(shè)備。這種可能性是時間非常密集的。
[0005]因此存在對用于現(xiàn)場設(shè)備的外部VPN設(shè)備的簡單配置的解決方案的需求，連同該 需求同時保持保證密碼數(shù)據(jù)的高安全性。

【發(fā)明內(nèi)容】

[0006]因此，本發(fā)明的一種實(shí)施方式在于用于現(xiàn)場設(shè)備的數(shù)據(jù)通信的密碼保護(hù)的方法， 具有如下步驟:由通信裝置基于現(xiàn)場設(shè)備的標(biāo)識碼來識別現(xiàn)場設(shè)備，由該通信裝置選取被 分配給所識別的現(xiàn)場設(shè)備的VPN配置，由該通信裝置基于所選取的VPN配置來構(gòu)建VPN連 接，以及由該現(xiàn)場設(shè)備通過所構(gòu)建的VPN連接向VPN服務(wù)器傳送控制數(shù)據(jù)。
[0007]根據(jù)一種有利的實(shí)施方式，該方法包括由該通信裝置借助認(rèn)證方法來對現(xiàn)場設(shè)備 進(jìn)行認(rèn)證。
[0008]此外，優(yōu)選地可以實(shí)現(xiàn)來自被分配給現(xiàn)場設(shè)備的操作傳感器的校驗(yàn)信號的檢測以 便監(jiān)控現(xiàn)場設(shè)備的完整性。
[0009]在一種優(yōu)選的實(shí)施方式中，由該通信裝置進(jìn)行的VPN配置的選取可以包括被存放 在通信裝置的存儲器中的VPN配置的選取。
[0010]替代地，由該通信裝置選取VPN配置可以包括從配置服務(wù)器接收所分配的VPN配 置并存儲該VPN配置。
[0011]此外，在一種有利的實(shí)施方式中，由該VPN服務(wù)器通過該VPN連接來對現(xiàn)場設(shè)備進(jìn) 行認(rèn)證。
[0012]根據(jù)另一實(shí)施方式，在該VPN連接已被構(gòu)建之后，由該通信裝置監(jiān)控現(xiàn)場設(shè)備的 運(yùn)行狀態(tài)，并且假如該現(xiàn)場設(shè)備不再與該通信裝置連接或是去激活的，可以實(shí)現(xiàn)該VPN連 接的斷開。[0013]根據(jù)另一實(shí)施方式，本發(fā)明實(shí)現(xiàn)用于現(xiàn)場設(shè)備的數(shù)據(jù)通信的密碼保護(hù)的通信裝 置，具有:通信接口，該通信接口被設(shè)計(jì)用于構(gòu)建與連接到該通信接口上的現(xiàn)場設(shè)備的本地 通信；計(jì)算裝置，該計(jì)算裝置被設(shè)計(jì)用于通過該通信接口基于該現(xiàn)場設(shè)備的標(biāo)識碼來識別 該現(xiàn)場設(shè)備，并且選取分配給被識別的現(xiàn)場設(shè)備的VPN配置；和網(wǎng)絡(luò)裝置，該網(wǎng)絡(luò)裝置被設(shè) 計(jì)用于基于所選取的VPN配置構(gòu)建與VPN服務(wù)器的VPN連接，其中該VPN連接被設(shè)計(jì)用于 向VPN服務(wù)器傳送該現(xiàn)場設(shè)備的控制數(shù)據(jù)。
[0014]其他的修改和變形方案由從屬權(quán)利要求的特征得出。
【專利附圖】

【附圖說明】
[0015]本發(fā)明的不同的實(shí)施方式和構(gòu)型現(xiàn)在參考附圖更詳細(xì)地被描述，其中:
圖1示出根據(jù)本發(fā)明的一種實(shí)施方式的VPN環(huán)境的示意圖；
圖2示出根據(jù)本發(fā)明的另一實(shí)施方式用于現(xiàn)場設(shè)備數(shù)據(jù)通信的密碼保護(hù)的方法的示 意圖；和
圖3示出根據(jù)本發(fā)明的另一實(shí)施方式用于構(gòu)建VPN的通信裝置的示意圖。
【具體實(shí)施方式】
[0016]只要有意義，所描述的構(gòu)型和改進(jìn)方案就可以被任意地相互組合。本發(fā)明的其他 可以的構(gòu)型、改進(jìn)方案和實(shí)施方案也包括本發(fā)明的之前或下面關(guān)于實(shí)施例所描述的特征的 未明確提到的組合。
[0017]附圖應(yīng)該促成對本發(fā)明的實(shí)施方式的進(jìn)一步理解。附圖闡明實(shí)施方式并且與說明 書關(guān)聯(lián)地用于解釋本發(fā)明的原理和方案。其他的實(shí)施方式和許多所提到的優(yōu)點(diǎn)鑒于該圖而 得出。圖的元件不是必然地相互按正確比例示出的。相同的附圖標(biāo)記在此表示相同的或相 似地起作用的組件。
[0018]圖1示出根據(jù)本發(fā)明的一種實(shí)施方式的VPN環(huán)境10的示意圖。該VPN環(huán)境10包 括現(xiàn)場設(shè)備11。該現(xiàn)場設(shè)備11例如可以是用于鐵路或鐵道設(shè)備的控制設(shè)備，例如用于道 岔、護(hù)欄或信號。然而，該現(xiàn)場設(shè)備11可以是任何其他遠(yuǎn)程設(shè)置的設(shè)備，例如氣象站或紅綠 燈。為了該現(xiàn)場設(shè)備11可以與中心站17、例如集控站交換控制消息和控制數(shù)據(jù)，存在通信 裝置12，該通信裝置與現(xiàn)場設(shè)備11連接并且通過網(wǎng)絡(luò)15與對方站16通信，該對方站在其 側(cè)與中心站17連接。該通信裝置12可以被構(gòu)建為外部設(shè)備或被集成在該現(xiàn)場設(shè)備11中。
[0019]控制數(shù)據(jù)的傳輸通過網(wǎng)絡(luò)15來實(shí)現(xiàn)，該網(wǎng)絡(luò)可以是例如因特網(wǎng)的公共網(wǎng)絡(luò)、例如 GPRS、UMTS、LTE或WiMAX的移動無線電網(wǎng)絡(luò)、例如WLAN的無線網(wǎng)絡(luò)、以太網(wǎng)網(wǎng)絡(luò)、令牌環(huán)網(wǎng) 絡(luò)、DSL網(wǎng)絡(luò)或其他類似的網(wǎng)絡(luò)。通過該網(wǎng)絡(luò)15傳輸?shù)目刂茢?shù)據(jù)因此遭受潛在的攻擊。因 此為了通信裝置12與對方站16的通信而設(shè)立有虛擬私人網(wǎng)絡(luò)15a(VPN)，通過該VPN具有 通過相應(yīng)加密的密碼保護(hù)的數(shù)據(jù)可以被發(fā)送和接收。為了加密，可以采用每個已知的加密 技術(shù)、例如 IPsec、IKE、EAP, SSL/TLS、MACsec、L2TP、PPTP, PGP、S/MIME 或相似的技術(shù)。在 此，加密可以被設(shè)置作為密碼校驗(yàn)和(消息認(rèn)證碼、數(shù)字簽名)的計(jì)算，解密可以被設(shè)置作為 密碼校驗(yàn)和的檢驗(yàn)。
[0020]因此，該通信裝置12擁有一個(或多個)通信密鑰，利用該通信密鑰，現(xiàn)場設(shè)備的要 發(fā)送的控制數(shù)據(jù)被密碼加密并且用于該現(xiàn)場設(shè)備11的要接收的數(shù)據(jù)被密碼解密?？梢灾苯邮褂猛ㄐ琶荑€。該通信密鑰同樣可以在認(rèn)證和密鑰約定協(xié)議、例如IKE協(xié)議中被使用，以 便設(shè)立會話密鑰。于是所設(shè)立的會話密鑰可以被用于與該對方站16密碼保護(hù)地傳輸控制 消息或控制數(shù)據(jù)。
[0021]此外，該VPN環(huán)境10包括配置服務(wù)器18、例如認(rèn)證服務(wù)器，其中該配置服務(wù)器擁有 所謂的“自舉(Bootstrapping)”功能。自舉表示彼此事先未知的終端設(shè)備和服務(wù)器之間的 協(xié)商，該協(xié)商允許單方面的或相互的認(rèn)證和(在此基礎(chǔ)上)密鑰的交換，由此以認(rèn)證和安全 的通信關(guān)系為前提的應(yīng)用的擴(kuò)展的利用成為可能。該配置服務(wù)器18擁有地址、例如IP地 址或URL，該地址可以在通信裝置12中被固定地編程或可以是可變化地調(diào)節(jié)的。在一種實(shí) 施方式中，配置服務(wù)器18的地址是通信裝置12的制造商的地址。在另一實(shí)施方式中配置 服務(wù)器18的地址是通信裝置12的運(yùn)營商的地址。然而也可以通過通信裝置12的其他的 地址首先確定主管相應(yīng)的通信裝置12的服務(wù)器19的另外的地址，并且接著構(gòu)建所述另外 的地址以便構(gòu)建與該配置服務(wù)器18的自舉連接。此外可以為了為通信裝置12選取分別所 屬的配置服務(wù)器18而咨詢數(shù)據(jù)庫。此外可以使相應(yīng)的配置服務(wù)器18的地址的選取依賴于 現(xiàn)場設(shè)備11的物理位置、例如衛(wèi)星導(dǎo)航數(shù)據(jù)、如GPS或GALILEO數(shù)據(jù)或其他空間坐標(biāo)。也 可以通過在通信裝置12和/或現(xiàn)場設(shè)備11中存儲的標(biāo)識碼、例如MAC地址來確定主管通 信裝置12的配置的配置服務(wù)器18。該配置服務(wù)器18也可以被集成到該對方站16中，或者 也可能的是，該對方站16擁有相應(yīng)的自舉功能。在一種變形方案中該配置服務(wù)器18也可 以直接與該通信裝置12連接。應(yīng)該清楚的是，可以有為相應(yīng)的通信裝置12分配配置服務(wù) 器18的多個另外的可能性。
[0022]VPN配置包括例如關(guān)于配置服務(wù)器18的地址、對方站16的地址、對方站16的公 鑰或數(shù)字證書、要使用的VPN協(xié)議、安全設(shè)置的、例如密鑰的和相應(yīng)的VPN連接15a的模式 的和/或關(guān)于允許的數(shù)據(jù)通信業(yè)務(wù)的過濾規(guī)則的描述的信息。這些信息能夠以文本形式、 例如作為屬性-值對或作為XML文件存在。此外也可以為現(xiàn)場設(shè)備11構(gòu)建多個VPN連接 15a，以便例如在單獨(dú)的VPN連接15a中實(shí)現(xiàn)不同的業(yè)務(wù)類型、例如控制、監(jiān)控、維護(hù)訪問和 相似的功能。
[0023]在一種變形方案中該VPN配置也可以包括現(xiàn)場設(shè)備11的標(biāo)識碼、例如現(xiàn)場設(shè)備11 的MAC地址、EAN碼、制造商的序列號或相似的識別信息。該標(biāo)識碼例如可以通過RFID或 通過現(xiàn)場設(shè)備11的通信接口從現(xiàn)場設(shè)備11的電子型號牌讀出。該現(xiàn)場設(shè)備11例如可以 包括例如根據(jù)ITU-T標(biāo)準(zhǔn)X.509的設(shè)備密鑰或數(shù)字設(shè)備證書。在這種情況下，由設(shè)備證書 例如借助哈希函數(shù)所導(dǎo)出的值或設(shè)備證書的各個字段或?qū)傩钥梢宰鳛楝F(xiàn)場設(shè)備11的標(biāo)識 碼來使用。
[0024]此外可以規(guī)定，每個VPN配置被分配VPN標(biāo)識碼，該VPN標(biāo)識碼可以在VPN配置中 被編碼或可以是可由該VPN配置導(dǎo)出的，例如其方式是，使用配置描述的各個參數(shù)或字段 或由該參數(shù)或字段借助哈希函數(shù)所導(dǎo)出的值。該VPN標(biāo)識碼可以被用于向配置服務(wù)器18 詢問，相應(yīng)的VPN配置被分配給哪個現(xiàn)場設(shè)備11?，F(xiàn)場設(shè)備11的標(biāo)識碼可以通過VPN標(biāo)識 碼被分配給該VPN配置并且使現(xiàn)場設(shè)備11的標(biāo)識碼為該配置服務(wù)器18所知。為此該通信 裝置12向該配置服務(wù)器12和/或向該對方站16發(fā)送具有VPN標(biāo)識碼和現(xiàn)場設(shè)備11的被 分配的標(biāo)識碼的注冊消息。
[0025]圖2示出用于借助通信裝置密碼保護(hù)現(xiàn)場設(shè)備數(shù)據(jù)通信的方法30的示意圖。[0026]在第一步驟31中實(shí)現(xiàn)連接到該通信裝置上的現(xiàn)場設(shè)備的識別。該識別 例如可以包括被分配給現(xiàn)場設(shè)備的標(biāo)識碼的讀出。優(yōu)選地，例如借助挑戰(zhàn)-響應(yīng) (Challenge-Response)方法，現(xiàn)場設(shè)備的認(rèn)證可以與現(xiàn)場設(shè)備的識別同時實(shí)現(xiàn)，其中在所 述挑戰(zhàn)-響應(yīng)方法中校驗(yàn)數(shù)據(jù)、即所謂的“挑戰(zhàn)”由該通信裝置傳送給該現(xiàn)場設(shè)備，并且由 該現(xiàn)場設(shè)備根據(jù)該挑戰(zhàn)產(chǎn)生校驗(yàn)值，該校驗(yàn)值與預(yù)期的答復(fù)、即所謂的“響應(yīng)”的一致性由 該通信裝置來確定，以便能夠證實(shí)現(xiàn)場設(shè)備的真實(shí)性。通過現(xiàn)場設(shè)備的認(rèn)證可以有利地保 證，通過VPN連接所發(fā)送的數(shù)據(jù)可以一對一地被分配給確定的現(xiàn)場設(shè)備。
[0027]在此，也可以由該通信裝置例如通過層2連通性的驗(yàn)證或通過所傳輸?shù)男盘柕膫?播時間測量來檢驗(yàn)，是否該現(xiàn)場設(shè)備是直接地連接的。由此可以阻止，該通信裝置遠(yuǎn)離其原 來的使用位置。此外，可以由該通信裝置來驗(yàn)證現(xiàn)場設(shè)備的完整性。此外，該通信裝置可以 從現(xiàn)場設(shè)備或外殼的裝置接收校驗(yàn)信號，其中該現(xiàn)場設(shè)備被布置在該外殼中，并且可以從 外部檢查可能存在的操作或所不期望的干預(yù)。該校驗(yàn)信號在此可以例如從該外殼中或上或 該現(xiàn)場設(shè)備自身中的操作傳感器讀入。
[0028]在第二個步驟32中由該通信裝置為構(gòu)建一個或必要時多個VPN連接而選取一個 或必要時多個VPN配置，該現(xiàn)場設(shè)備可以通過該通信裝置與VPN服務(wù)器和/或VPN對方站 交換控制數(shù)據(jù)。在此，例如可以使用存儲在該通信裝置中的VPN配置。為此該通信裝置可 以擁有存儲器，在該存儲器中VPN配置被預(yù)安裝或預(yù)配置。被存儲的VPN配置可以根據(jù)對 在步驟31中被識別的現(xiàn)場設(shè)備的分配來驗(yàn)證。如果在此應(yīng)該確定被分配給現(xiàn)場設(shè)備的VPN 配置，那么可以選取該VPN配置。此外，替代地也可以驗(yàn)證，是否被選取的VPN配置當(dāng)前還 是有效的。
[0029]替代地，在步驟32中聯(lián)系配置服務(wù)器以便選取VPN配置，現(xiàn)場設(shè)備的被確定的識 別數(shù)據(jù)被傳送給該配置服務(wù)器。于是該配置服務(wù)器可以根據(jù)現(xiàn)場設(shè)備的所傳送的識別數(shù)據(jù) 從數(shù)據(jù)庫中挑選出VPN配置或者專門為被識別的現(xiàn)場設(shè)備動態(tài)地創(chuàng)建VPN配置并且供該通 信裝置支配。通信裝置與配置服務(wù)器的通信在此可以通過以下方式安全地實(shí)現(xiàn)，即該通信 裝置通過公共網(wǎng)絡(luò)、例如因特網(wǎng)或移動無線電網(wǎng)絡(luò)相對于該配置服務(wù)器被認(rèn)證。這例如可 以通過在通信裝置中專門設(shè)置的通信密鑰來實(shí)現(xiàn)，使得該通信裝置可以例如通過SSL/TLS 或IPsec來通信。
[0030]該配置服務(wù)器向該通信裝置傳送被分配給現(xiàn)場設(shè)備的具有相應(yīng)的VPN配置數(shù)據(jù) 的VPN配置。該通信裝置可以存儲該VPN配置并且在內(nèi)部分配給被識別的現(xiàn)場設(shè)備。
[0031]在第三步驟33中通過網(wǎng)絡(luò)、例如因特網(wǎng)、移動無線電網(wǎng)絡(luò)或相似的網(wǎng)絡(luò)實(shí)現(xiàn)與 VPN服務(wù)器的VPN連接的構(gòu)建。該VPN連接在此由該通信裝置根據(jù)所選取的VPN配置來設(shè) 立。此外，例如也可以根據(jù)不同的VPN配置為相同的現(xiàn)場設(shè)備構(gòu)建多個VPN連接。然后，通 過所構(gòu)建的VPN連接，可以由該VPN服務(wù)器進(jìn)行例如現(xiàn)場設(shè)備的識別和/或認(rèn)證。如果在 此現(xiàn)場設(shè)備的標(biāo)識與分配給該VPN配置的現(xiàn)場設(shè)備一致，那么該VPN連接可以從VPN服務(wù) 器方面被釋放。
[0032]在第四步驟34中通過由該通信裝置為該現(xiàn)場設(shè)備所構(gòu)建的VPN連接向VPN服務(wù) 器傳輸現(xiàn)場設(shè)備的控制數(shù)據(jù)。同時，控制數(shù)據(jù)可以從該VPN服務(wù)器通過該VPN連接向該現(xiàn) 場設(shè)備傳輸。在此，該控制數(shù)據(jù)分別通過維持該VPN連接的通信裝置被傳輸。該通信裝置 可以被設(shè)計(jì)用于，只要該現(xiàn)場設(shè)備與該通信裝置保持連接，就一直維持該VPN連接。為此該通信裝置可以優(yōu)選地周期性進(jìn)行與現(xiàn)場設(shè)備的本地連接的驗(yàn)證。一旦該現(xiàn)場設(shè)備不再被連 接或是去激活的，該通信裝置就可以斷開或去激活該VPN連接。
[0033]該VPN服務(wù)器可以通過VPN配置進(jìn)行對現(xiàn)場設(shè)備的明確分配。為此該VPN服務(wù)器 可以利用預(yù)先確定的列表調(diào)整該VPN配置或從配置服務(wù)器調(diào)用該VPN配置數(shù)據(jù)。該VPN服 務(wù)器可以在通過該VPN連接與現(xiàn)場設(shè)備通信期間進(jìn)行數(shù)據(jù)通信業(yè)務(wù)的過濾，使得僅可被明 確分配給現(xiàn)場設(shè)備的數(shù)據(jù)包向控制計(jì)算機(jī)、例如集控站轉(zhuǎn)發(fā)。為此可以分析在數(shù)據(jù)包中包 含的標(biāo)識消息、例如MAC地址、IP地址、DNS名、SIP-URI (會話發(fā)起協(xié)議統(tǒng)一資源標(biāo)識符) 或相似的信息。
[0034]該通信裝置在一種實(shí)施方式中也可以為多個現(xiàn)場設(shè)備構(gòu)建VPN連接，其中或者可 以為所述現(xiàn)場設(shè)備中的每一個構(gòu)建VPN連接，或者現(xiàn)場設(shè)備構(gòu)成現(xiàn)場設(shè)備組，該現(xiàn)場設(shè)備 可以通過分配給現(xiàn)場設(shè)備組的VPN連接來通信。在此，現(xiàn)場設(shè)備組的所有現(xiàn)場設(shè)備相對于 該通信裝置和/或該VPN服務(wù)器作為(虛擬的)現(xiàn)場設(shè)備出現(xiàn)。
[0035]圖3示出具有計(jì)算裝置21、通信接口 22、存儲器23和網(wǎng)絡(luò)裝置24的通信裝置12 的示意圖。
[0036]該通信裝置12可以通過通信接口 22與現(xiàn)場設(shè)備11通信。特別是，該通信裝置 12可以通過該通信接口 22進(jìn)行該現(xiàn)場設(shè)備11的識別以及必要時進(jìn)行該現(xiàn)場設(shè)備11的認(rèn) 證。在存儲器23中可以預(yù)安裝VPN配置和/或保存從配置服務(wù)器接收的VPN配置。該存 儲器23例如可以包括安全的存儲區(qū)域23a，在該存儲區(qū)域中存放有用于通信裝置12與配置 服務(wù)器的安全通信的配置數(shù)據(jù)或通信密鑰。該存儲器23例如可以是存儲器組件，在該存儲 器組件中可持久地或可改寫地存放有通信裝置12的配置設(shè)置，該存儲器組件例如是串行 的EEPR0M、閃存或類似的存儲裝置。
[0037]該計(jì)算裝置21可以被設(shè)計(jì)用于從操作傳感器Ilb接收校驗(yàn)信號并進(jìn)行分析，該操 作傳感器可以被布置在現(xiàn)場設(shè)備11或外殼Ila中，其中該現(xiàn)場設(shè)備11可以被布置在該外 殼中。該傳感器Ilb例如可以是“篡改”傳感器，即可以識別對現(xiàn)場設(shè)備11、對現(xiàn)場設(shè)備11 的部分或外殼Ila的物理操作的傳感器。該計(jì)算裝置21此外可以進(jìn)行現(xiàn)場設(shè)備11的識別 和認(rèn)證以及根據(jù)為現(xiàn)場設(shè)備11所選取的VPN配置構(gòu)建和監(jiān)控與VPN服務(wù)器的VPN連接。
[0038]該通信裝置12包括網(wǎng)絡(luò)裝置24，通過該網(wǎng)絡(luò)裝置可以構(gòu)建與VPN服務(wù)器的VPN連 接15a。在此，該VPN連接15a例如可以通過因特網(wǎng)、例如GPRS、UMTS、LTE或WiMAX的移動 無線電網(wǎng)絡(luò)、例如WLAN的無線網(wǎng)絡(luò)、以太網(wǎng)網(wǎng)絡(luò)、令牌環(huán)網(wǎng)絡(luò)或其他類似的網(wǎng)絡(luò)來構(gòu)建。
【權(quán)利要求】
1.用于現(xiàn)場設(shè)備(11)的數(shù)據(jù)通信的密碼保護(hù)的方法(30)，具有以下步驟:由通信裝置(12)基于所述現(xiàn)場設(shè)備(11)的標(biāo)識碼來識別所述現(xiàn)場設(shè)備(11)；由所述通信裝置(12)選取分配給被識別的現(xiàn)場設(shè)備(11)的VPN配置；由所述通信裝置(12)基于所選取的VPN配置構(gòu)建VPN連接(15a)；以及由所述現(xiàn)場設(shè)備(11)通過所構(gòu)建的VPN連接向VPN服務(wù)器(16 )傳送控制數(shù)據(jù)。
2.根據(jù)權(quán)利要求1所述的方法(30)，此外具有以下步驟:由所述通信裝置(12)借助認(rèn)證方法對所述現(xiàn)場設(shè)備(11)進(jìn)行認(rèn)證。
3.根據(jù)權(quán)利要求1和2之一所述的方法(30)，此外具有以下步驟:檢測來自被分配給所述現(xiàn)場設(shè)備(11)的操作傳感器(Ilb)的校驗(yàn)信號以便監(jiān)控所述現(xiàn)場設(shè)備(11)的完整性。
4.根據(jù)權(quán)利要求1到3之一所述的方法(30)，其中由所述通信裝置(12)選取VPN配置包括選取存放在所述通信裝置(12)的存儲器(23)中的VPN配置。
5.根據(jù)權(quán)利要求1到3之一所述的方法(30)，其中由所述通信裝置(12)選取VPN配置包括從配置服務(wù)器(18)接收所分配的VPN配置并存儲該VPN配置。
6.根據(jù)權(quán)利要求1到5之一所述的方法(30)，此外具有以下步驟:由所述VPN服務(wù)器(16)通過所述VPN連接(15a)對所述現(xiàn)場設(shè)備(11)進(jìn)行認(rèn)證。
7.根據(jù)權(quán)利要求1到6之一所述的方法(30)，此外具有以下步驟:在所述VPN連接(15a)已被構(gòu)建之后，由所述通信裝置(12)監(jiān)控所述現(xiàn)場設(shè)備(11)的運(yùn)行狀態(tài)；并且如果所述現(xiàn)場設(shè)備(11)不再與所述通信裝置(12)連接或是去激活的，那么斷開所述 VPN 連接(15a)。
8.用于現(xiàn)場設(shè)備(11)的數(shù)據(jù)通信的密碼保護(hù)的通信裝置(12)，具有:通信接口(22)，所述通信接口被設(shè)計(jì)用于構(gòu)建與連接到所述通信接口(22)上的現(xiàn)場設(shè)備(11)的本地通信；計(jì)算裝置(21)，所述計(jì)算裝置被設(shè)計(jì)用于通過所述通信接口(22)基于所述現(xiàn)場設(shè)備(11)的標(biāo)識碼來識別所述現(xiàn)場設(shè)備(11)，并且選取分配給被識別的現(xiàn)場設(shè)備的VPN配置； 和網(wǎng)絡(luò)裝置(24)，所述網(wǎng)絡(luò)裝置被設(shè)計(jì)用于基于所選取的VPN配置構(gòu)建與VPN服務(wù)器(16)的VPN連接(15a)，其中所述VPN連接(15a)被設(shè)計(jì)用于向所述VPN服務(wù)器(16)傳送所述現(xiàn)場設(shè)備(11)的控制數(shù)據(jù)。
9.根據(jù)權(quán)利要求8所述的通信裝置(12)，其中所述計(jì)算裝置(21)此外被設(shè)計(jì)用于借助認(rèn)證方法對所述現(xiàn)場設(shè)備(11)進(jìn)行認(rèn)證。
10.根據(jù)權(quán)利要求8和9之一所述的通信裝置(12)，其中所述計(jì)算裝置(21)此外被設(shè)計(jì)用于接收來自被分配給所述現(xiàn)場設(shè)備(11)的操作傳感器(Ilb)的校驗(yàn)信號以便監(jiān)控所述現(xiàn)場設(shè)備(11)的完整性。
11.根據(jù)權(quán)利要求8到10之一所述的通信裝置(12)，此外具有:存儲器(23)，在該存儲中存放有多個VPN配置，所述計(jì)算裝置(21)從所述多個VPN配置中選取VPN配置。
12.根據(jù)權(quán)利要求8到10之一所述的通信裝置(12)，其中所述計(jì)算裝置(21)此外被設(shè)計(jì)用于從配置服務(wù)器(18)通過所述網(wǎng)絡(luò)裝置(24)接收被分配給所述現(xiàn)場設(shè)備(11)的VPN配置。
13.根據(jù)權(quán)利要求8到12之一所述的通信裝置(12)，其中所述計(jì)算裝置(21)此外被設(shè)計(jì)用于監(jiān)控所述現(xiàn)場設(shè)備(11)的運(yùn)行狀態(tài)，并且 如果所述現(xiàn)場設(shè)備(11)不再與所述通信裝置(12)連接或是去激活的，那么斷開所構(gòu)建的VPN連接(15a)。
【文檔編號】H04L29/06GK103460669SQ201280017859
【公開日】2013年12月18日 申請日期:2012年3月30日 優(yōu)先權(quán)日:2011年4月12日
【發(fā)明者】R.法爾克 申請人:西門子公司