专利名称：用于将设备集成在网络中的方法和装置的制作方法
技术领域：
本发明涉及用于将设备集成在网络中的、特别是将控制设备保护地集成在自动化网络中的一种方法和一种服务器。
背景技术：
为了使有通信能力的设备，例如现场设备，比如控制设备、智能传感器或者执行器能集成在通信网络中，在该设备上实施配置调节。
此外，待配置的设备能与上一级的服务器，例如过程管理系统的自动化服务器或者可编程控制装置或者控制台通信，以便获得配置设定。此外，必需加密保护通过在该设备和该服务器之间通信连接的数据交换，例如通过将数据用密码书写或者计算加密的检验和来实现。
因此，在该设备和该服务器之间所交换的数据能加密地用密码来书写，该设备需要在该设备中必须被配置的加密密钥或者是密码。将加密密钥或者是密码配置在设备中通常伴随着高昂的管理费用。此外，在该设备中加密或者输入或是配置密码是很容易出错。因而，对于有通信能力的设备的安装和调试通常必需很长的时间消耗。此外因为整个网络的安全性是取决于该配置的，所以该配置对此必须被保护地进行。发明内容
因而本发明的目的在于实现用于集成在网络中的一种方法和一种装置，该方法和装置允许有效率地和被保护地在有通信能力的设备中建立配置设定。
该目的根据本发明通过具有在权利要 求1中所提出的特征的方法来实现。
本发明实现了用于将设备集成在网络中的方法，该方法具有步骤
通过对此授权的读取设备来测定所述设备的第一设备标识，该测定的第一设备标识作为配置数据传输至网络的有读取保护的配置数据存储器中，其中，设备的该第一设备标识从读取设备传输至网络的配置数据存储器并且在保存其中，
将待连接的设备连接在网络的访问节点上，其中，设备自身相对于网络的服务器借助于第二设备标识进行识别，并且
对于网络的连接的设备通过服务器来自动配置，一旦为了连接在网络的访问节点上的设备的第二设备标识已经将设备的所属的第一设备标识存储在网络的有读取保护的配置数据存储器中，则通过服务器来实现连接的设备对于网络的自动配置。
在根据本发明的方法的一个可能的实施方式中，第一设备标识具有设置在设备上能光学识别的条形码。
在根据本发明的方法的另一个可能的实施方式中，第一设备标识具有设备的能光学测定的型号铭牌或者标签。
在根据本发明的方法的一个可能的实施方式中，第一设备标识具有设备的能读出的RFID识别标志。
在根据本发明的方法的一个可能的实施方式中，该设备通过无线的接口连接在网络的访问节点上。
在根据本发明的方法的另一个可能的实施方式中，该设备通过有线的接口连接在网络的访问节点上。
在根据本发明的方法的一个可能的实施方式中，第二设备标识是制造厂标识。
此外，可能的是，第二设备标识具有该设备的序列号或者MAC地址。
在根据本发明的方法的一个可能的实施方式中，待集成的设备借助于加密密钥和 /或数字的证书相对于网络的服务器来验证该设备的第二设备标识。
在根据本发明的方法的一个可能的实施方式中，测定的第一设备标识设有时间标记并且在能设定的时间间隔期满以后自动地从网络的配置数据存储器中删除。
在根据本发明的方法的一个可能的实施方式中，连接在网络上的设备的第二设备标识通过该网络的服务器如下地检验，属于该第二设备标识的第一设备标识是否已经存在于该网络的有读取保护的配置数据存储器中。
在根据本发明的方法的一个可能的实施方式中，第一设备标识和第二设备标识是相同的。
在根据本发明的方法的一个可能的实施方式中，第二设备标识是数字的证书，该证书包括第一设备标识。
在根据本发明的方法的另一个可能的实施方式中，第一设备标识和第二设备标识的哈希值是相同的。
在根据本发明的方法的可选的实施方式中，第一设备标识的哈希值和第二设备标识是相同的。
在根据本发明的方法的另一个可能的实施方式中，第一设备标识和用于相对于网络的服务器验证第二设备标识所使用的加密密钥的或所使用的数字证书的哈希值是相同的。
在根据本发明的方法的一个可能的实施方式中，连接在网络的访问节点上的设备自身相对于网络的服务器进行识别和验证。
在根据本发明的方法的另一个可能的实施方式中，通过服务器加密保护地实施连接的设备的自动配置。
在根据本发明的方法的另一个可能的实施方式中，在第一设备标识由读取设备保存在网络的配置数据存储器中之前，该第一设备标识具有加密的、由读取设备来校验的检验和。
此外，本发明实现了将设备集成在网络中的一种服务器，其中，服务器对网络的配置数据存储器进行访问，所允许的设备的第一设备标识能通过对此授权的读取设备保存在配置数据存储器中，其中，如果为了由设备的通过网络传输至服务器的设备的第二设备标识已经在网络的配置数据存储器中存储了从属的设备的第一设备标识，服务器在设备连接在网络的访问节点上之后，自动配置设备。
在根据本发明的服务器的一个可能的实施方式中，服务器由此实现对连接在网络的访问节点上的设备的配置，即服务器借助于DHCP，UPnP, TFTP, HTTP或者SNMP通过该网络和该网络的访问节点将具有加密密钥、证书和/或密码的配置设定传输至连接的设备。
在根据本发明的服务器的一个可能的实施方式中，在网络的文件服务器上或者在网络的目录服务中或者在数据库中设有该服务器访问的配置数据存储器。
在根据本发明的服务器的一个可能的实施方式中，服务器的作用在于将设备集成在自动化网络中。
在一个可能的实施方式中，该网络是有线的或者无线的网络。
此外，用于将设备集成在网络中的、根据本发明的方法的和根据本发明的装置的可能的实施方式参照附图加以说明。
其示出
图1是用于说明根据本发明的、用于将设备集成在网络中的方法的一个可能的实施方式的示图2是用于描述根据本发明的、用于将设备集成在网络中的方法的一个可能的实施方式的流程图。
具体实施方式
如能从图1中识别出的，在所示出的实例中能将设备I集成在网络2中。在图1 所示出的实施例中，网络2是一种具有各种单元的无线自动化网络，这些单元通过数据总线彼此相连。
待连接的设备I具有通信接口 3，该通信接口在所示出的实施例中通过电缆4可连接在自动化网络2的访问节点5上。
此外，自动化网络2具有服务器6，该服务器还预设用于将设备集成在网络2中。 此外，该服务器6对该网络的配置数据存储器7进行访问，读取装置8在该配置数据存储器上写进数据，或者其中，数据由该读取装置8通过该配置数据存储器7来读出。在图1所示出的实施例中该读取装置8位于所谓的设备安全隔离室9中。该设备安全隔离室9优选地是有访问保护的，使得仅仅有授权的人员因此进行访问。
将设备I集成在自动化网络2中能以多个步骤来实施。如根据图2在流程图中所示的，在步骤SI中通过读取设备8来测定该设备I的第一设备标识G-1D1。在该第一设备标识G-1Dl中涉及一种布置在该设备I上的可光学识别的条形码。在另一个可能的实施方式中，第一设备标识是该设备I的可光学测定的型号铭牌或者标签。此外，在第一设备标识G-1Dl中也涉及一种该设备I的可读出的RFID标志。第一设备标识也可以是各种第一设备标识的组合形式，并且该第一设备标识通过读取设备8在布骤SI中进行测定，其中，该读取设备8对此被授权，测定的第一设备标识G-1Dl作为配置数据传输到网络的有访问保护的配置数据存储器7中。在一个可能的实施方式中，读取设备8具有光学的传感器或者是摄像机，其用于测定该设备I的可光学测定的型号铭牌或者是标签的可光学识别的条形码。可选地，读取设备8具有用于读出该设备I的RFID标志的RFID收发器。在该读取设备8中涉及一种固定安装的设备，但是也涉及一种可携带的装置。在图1所示出的实施方式中，读取设备8位于有访问保护的设备安全隔离室9中。可选地，该读取设备8也能通过由此对于待集成的设备I对此有权的用户来携带，以便在此处测定该设备I的第一设备标识G-皿。
在另一个步骤S2中，该待集成的设备I连接在自动化网络2的访问节点5上。此外，该设备I能通过无线的、或者如在图1中所示通过有线的通信接口连接在网络2的访问节点5上。
已连接的设备I自身相对于网络2的服务器6借助于第二设备标识G-1D2进行识别。在一个可能的实施方式中，该第二设备标识G-1D2是设备I的制造厂标识、序列号或者 MAC地址。此外，该第二设备标识可以由设备I的制造厂标识、序列号或者MAC地址的组合构成。在一个可能的实施方式中，待集成的设备I借助于加密密钥和/或数字的证书相对于网络5的服务器6验证其第二设备标识G-1D2。
在另一个步骤S3中，只要所属的设备I的第一设备标识G-1Dl对于连接在访问节点5上的设备I的第二设备标识G-1D2来说已经存在于网络I的有访问保护的配置数据存储器7中，则通过服务器6实现对于网络2的连接的设备I的自动化配置。因此，待集成在网络2中的设备I的第二设备标识G-1D2通过网络2的服务器6如下地检验，从属于第二设备标识G-1D2的合适的第一设备标识G-1Dl是否已经存在于网络2的有读取保护的配置数据存储器7中。在一个可能的实施方式中，设备I的第一设备标识G-1Dl和第二设备标识G-1D2是相同的。可选地，第一设备标识G-1Dl和第二设备标识G-1D2可以是不同并且可以相互从属，特别是当第一和第二设备标识之间的预先给定的归属函数 CZugehorigkeitsfunktion.)存在时。在一个可能的实施方式中，第二设备标识G-1D2是包含第一设备标识G-1Dl的数字的证书。此外，第一设备标识G-1Dl能包含在数字的证书的特征范围中。此外，第一设备标识G-1Dl和第二设备标识G-1D2的哈希值H (G-1D2)是相同的。可选地，第一设备标识G-1Dl的哈希值H (G-1D2)可以与第二设备标识G-1D2相同。 此外，哈希函数H能使用例如CRC函数，MD5函数，或者SHA-256函数。
另外的可能性在于，第一设备标识G-1Dl和用于验证第二设备标识G-1D2的哈希值相对于网络2的服务器C所使用的加密密钥K或者是为此所使用的数字的证书Z是相同的。在一个可能的实施方式中，对于自动化网络2所允许的装置的清单存在于有访问保护的配置数据存储器7中。然后自动化服务器6检查，在该清单所允许的装置中分配给设备标识G-1D2的记录是否存在于该清单中。如果是的话，则对于自动化网络2允许有通信能力的设备I连接在访问节点5上。然后能实现所连接的设备I的、所谓的Plug-and-Play 配置。Plug-and-Play配置能涉及配置设定，该配置设定本身存储在该设备I上或者该配置设定能分配给该设备1，并且例如存储在自动化服务器6的存储器上。所允许的设备I的配置可以特别包括产生和保存加密资格证书，例如加密密钥或者数字的证书，和/或例如该设备I的和/或服务器的IP地址的或者DNS名称的、网络地址的配置。
在根据本发明的方法的另一个可能的实施方式中，第一设备标识G-1Dl在测定时设有时间标记，并且在能设定的时间间隔期满以后自动地从配置数据存储器7中删除。在这种实施方式中，对于所允许的设备的清单实现Time-out函数，也就是说在一个小时或者 24小时之后例如自动地删除设备ID的记录，如果在这个时间段内相应的设备ID的设备I 没有与自动化网络2相连接的话。
相对于网络2的服务器6，连接 在网络2的访问节点5上的设备I自身利用设备标识G-1D2进行识别和验证。此外，能使用不同的网络验证方法，例如使用根据X. 509的数字的证书和/或使用加密密钥，例如根据MACsec，IPsec/IKE，SSL/TLS、802.1x的或者以EAP 为基础的验证的网络验证方法,其中，该设备I被验证。如果除了设备ID，加密的检验和存在于清单所允许的设备中，那么自动化网络6可以在一个可能的实施方式中根据该检验和检查通过设备I的通信接口 3所接收的第二检验和，例如检查一致性。在成功的检验之后， 随后进行对待集成的设备I的Plug-and-Play配置。在另一个变体方案中，为此使用包含在自动化网络2的所允许的设备7的清单中的、加密的检验和，以便加密保护对实施待集成的设备I的Plug-and-Play配置,特别地以便加密保护Plug-and-Play通信。此外,加密的检验和能作为加密密钥来使用。另外可能的是，加密密钥K从加密的检验和推导出，例如通过密钥推导函数KDF。例如对于这样的密钥推导函数是]\ 5，3撤-1，!1獻(-]\ 5或者歷(-5撤1。 那么能使用加密密钥K用于借助于MACsec，IPsec或者TLS-PSK所保护的通信。在另一个变体方案中，网络访问协议例如借助于IEE802.1x Port based Acces Control来实现。此外设备I被识别或者是被验证。验证服务器6通知该访问节点5，所连接的设备I是否是允许的。为此例如能使用RAD1-US协议或者DIAMETER协议。此外，附加地通知了该访问节点5的政策，例如设备I与什么样的VLAN连接，例如Gast-VLAN，生产VLAN或者注册VLAN。 如果待集成的设备I存在于所允许的设备的清单中，则其与注册VLAN相连接。相反地，已经注册的设备I与生产VLAN相连接。在一个可能的实施方式中，服务器6这样对被连接在网络2的访问节点5上的设备I进行配置，即服务器6借助于DHCP，UPNP, TFTP, HTTP或者 SNMP协议通过网络2和其访问节点5将具有加密密钥、证书和/或密码的配置设定传输至被连接的设备I。
服务器6对配置数据存储器7进行访问，如在图1中所示。在一个可能的实施方式中，该数据存储器7存在于网络2的文件服务器上。此外，可能的是，数据存储器7存在于网络2的目录服务中或者数据库中。
在图1所示出的自动化网络2例如是Ethernet (以太网)、IP网络或者无线的网络，特别是 WLAN，Bluetooth，802.15.4 或者 ZigBee 网络。
在根据本发明的方法中，因而在第一阶段中例如借助于位于设备安全隔离室9中的读取设备8实现设备注册。在第二阶段中，即设备网络连接或者是设备网络安装中，在待集成的设备I被连接在网络2的访问节点5上之后，紧接着实现对于网络2的被连接的设备 I的自动配置。第一阶段、即设备注册和第二阶段、即设备网络连接或者是设备网络安装，能在时间上被分开地实施。例如将设备I首先在该设备安全隔离室9处注册，并且写入在配置数据存储器7中的所允许的设备的清单中。随后将注册的设备I例如存放在企业的仓库中，并且仅在晚些的时间点将该装置连接在自动化网络2的访问节点5上以用于配置。
在装置I中能涉及不同的装置，特别是涉及对于自动化网络的有通信能力的自动化装置。此外，在网络2中能涉及一种车辆的网络，例如机动车辆的或者轨道车辆的网络， 该装置I应该与它们相连接。此外，在网络2中能涉及一种能源供给企业的网络2，作为装置I的智能-能源-网关应该连接在该网络上。
权利要求
1.一种用于将设备集成在网络中的方法，所述方法具有如下步骤 (a)通过对此授权的读取设备(8)来測定(SI)所述设备(I)的第一设备标识(G-1D1),測定的所述第一设备标识(G-1D1)作为配置数据传输至所述网络(2)的有读取保护的配置数据存储器(7)中，其中，所述设备(I)的所述第一设备标识(G-1D1)从所述读取设备(8)传输至所述网络(2)的所述配置数据存储器(7)并且保存在所述配置数据存储器中； (b)将待集成的所述设备(I)连接在所述网络(2)的访问节点(5)上，其中，所述设备(I)自身相对于所述网络(I)的服务器(6)借助于第二设备标识(G-1D2)进行识别；并且 (c)一旦为了连接在所述网络(I)的所述访问节点(5)上的所述设备(I)的所述第二设备标识(G-1D2)已经将所述设备(I)的所属的第一设备标识(G-1D1)存储在所述网络(I)的有读取保护的所述配置数据存储器(7)中，则通过所述服务器(6)来实现连接的所述设备(I)对于所述网络(2 )的自动配置； 其中，连接的所述设备(I)的所述自动配置通过所述服务器(6)加密保护地执行。
2.根据权利要求1所述的方法，其中，所述第一设备标识(G-1D1)具有设置在所述设备(I)上的能光学识别的条形码，所述设备(I)的能光学測定的型号铭牌或者标签或者所述设备(I)的能读出的RFID标志。
3.根据权利要求1或2中任一项所述的方法，其中，所述设备(I)通过无线的或者有线的通信接ロ连接在所述网络(2)的所述访问节点(5)上。
4.根据权利要求1-3中任一项所述的方法，其中，所述第二设备标识(G-1D2)具有所述设备(I)的制造厂标识、序列号或者MAC地址。
5.根据权利要求1-4中任一项所述的方法，其中，待集成的所述设备(I)借助于加密的密钥和/或数字的证书相对于所述网络(2)的所述服务器(6)来验证所述设备的第二设备标识(G-1D2)。
6.根据权利要求1-5中任一项所述的方法，其中，測定的所述第一设备标识(G-1D1H^有时间标记，并且在能设定的时间间隔期满以后自动地从所述网络(2)的所述配置数据存储器(7)中删除。
7.根据权利要求1-6中任一项所述的方法，其中，连接在所述网络(2)上的所述设备(I)的所述第二设备标识(G-1D2)通过所述网络(2)的所述服务器(6)如下地检验，属于所述第二设备标识(G-1D2)的第一设备标识(G-1D1)是否已经存在于所述网络(2)的有读取保护的所述配置数据存储器(7)中。
8.根据权利要求1-7中任一项所述的方法，其中，所述第一设备标识(G-1D1)和所述第ニ设备标识(G-1D2)是相同的。
9.根据权利要求1-8中任一项所述的方法，其中，所述第二设备标识(G-1D2)是数字的证书，所述证书包括所述第一设备标识(G-1D1)tj
10.根据权利要求1-9中任一项所述的方法，其中，所述第一设备标识(G-1D1)和所述第二设备标识(G-1D2)的哈希值是相同的，或者其中，所述第一设备标识(G-1D1)的哈希值和所述第二设备标识(G-1D2)是相同的。
11.根据权利要求5-7中任一项所述的方法，其中，所述第一设备标识(G-1D1)和用于相对于所述网络(2)的所述服务器(6)验证所述第二设备标识(G-1D2)所使用的所述加密密钥或所使用的数字证书的哈希值是相同的。
12.根据权利要求1-11中任一项所述的方法，其中，连接在所述网络(2)的所述访问节点(5)上的所述设备(I)自身相对于所述网络(2)的所述服务器(6)进行识别和验证。
13.根据权利要求1-12中任一项所述的方法，其中，在所述第一设备标识(G-1D1)由所述读取设备(8)保存在所述网络(2)的所述配置数据存储器(7)中之前，所述第一设备标识(G-1D1)具有加密的、由所述读取设备(8)来校验的检验和。
14.一种用于将设备(I)集成在网络(2)中的服务器(6)，其中，所述服务器(6)对所述网络(2)的配置数据存储器(7)进行访问，所允许的设备的第一设备标识(G-1D1)能通过对此授权的读取设备(8)保存在所述配置数据存储器中，其中，如果为了由所述设备(I)的通过所述网络(2)传输至所述服务器(6)的所述设备(I)的第二设备标识(G-1D2)已经在所述网络(2)的所述配置数据存储器(7)中存储了所述设备(I)的所属的第一设备标识(G-1D1),所述服务器(6)在所述设备(I)连接在所述网络(2)的访问节点(5)上之后自动配置所述设备(I);其中，通过所述服务器(6)加密保护地实施所述连接的设备(I)的所述自动配置。
15.根据权利要求14所述的服务器，其中，所述服务器(6)由此实现对连接在所述网络(2)的所述访问节点(5)上的所述设备(I)的配置，即所述服务器(6)借助于DHCP，UPnP,TFTP, HTTP或者SNMP通过所述网络(2)和所述网络的访问节点(5)将具有加密密钥、证书和/或密码的配置设定传输至连接的所述设备(I)。
16.根据权利要求15的所述服务器，其中，在所述网络(2)的文件服务器上或者在所述网络(2 )的目录服务中或者在数据库中设有所述服务器(6 )访问的所述配置数据存储器(7)。
17.根据权利要求14-16所述的服务器，其中，所述网络(2)是自动化网络，其中，所述网络(2)是有线的或者无线的网络。
全文摘要
本发明涉及用于将设备集成在网络中的一种方法和一种服务器，其中，设备(1)的第一设备标识(G-ID1)通过对此授权的读取设备(8)来测定(S1)，并且测定的第一设备标识(G-ID1)作为配置数据传输至网络(2)的有读取保护的配置数据存储器(7)中。设备(1)的第一设备标识(G-ID1)由读取设备(8)传输至网络(2)的配置数据存储器(7)并且保存在其中。在待集成的设备(1)连接(S2)在网络(2)的访问节点(5)上后，其中设备(1)相对于网络(1)的服务器(6)借助于第二设备标识(G-ID2)进行识别，一旦为了连接在网络(1)的访问节点(5)上的设备(1)的第二设备标识(G-ID2)已经将设备(1)的所属的第一设备标识(G-ID1)存储在网络(1)的有读取保护的配置数据存储器(7)中，则通过服务器(6)来实现连接的设备(1)对于网络(2)的自动配置。该方法允许有通信能力的终端设备有效地和被保护地集成在网络(2)中。
文档编号H04L9/08GK103039039SQ201180037473
公开日2013年4月10日 申请日期2011年7月8日 优先权日2010年8月3日
发明者赖纳·法尔克, 沃尔夫冈·克拉森, 吉多·斯特凡 申请人:西门子公司