用于嵌入式固件的安全分发的方法和装置的制造方法
【技术领域】
[0001] 本文中公开的主题总体上涉及用于向工业控制系统中的模块提供嵌入式固件的 安全分发的系统和方法，并且更具体地涉及用于经由可移动介质，诸如安全数字（SD)存储 卡，利用专有加密证书来分发嵌入式固件的系统和方法。
【背景技术】
[0002] 工业控制系统通常包括配置成执行控制程序的至少一个工业控制器和关于受控 机器或受控过程分发的多个模块。工业控制器为用于控制例如工厂环境中的工业过程或工 业机械的专用计算机系统。通常，工业控制器执行从与该受控过程和该受控机器相关联并 且感测该过程或该机器的状况的各种传感器读取输入的存储的控制程序，并且该工业控制 器基于这些输入和存储的控制程序来计算用于控制对过程或机器进行控制的致动器的输 出集合。
[0003] 工业控制器与常规的计算机在许多方式上不同。物理上，工业控制器被构造成基 本上对冲击和损害更鲁棒，并且被构造成与常规的计算机相比更好地抵抗极端环境状况。 处理器和操作系统被优化用于实时控制并且用如下语言进行编程，该语言设计成允许快速 开发被定制用于不断变化的机器控制应用集合或过程控制应用集合的控制程序。
[0004] 通常，工业控制系统具有例如允许使用不同数目和类型的输入模块和输出模块来 将工业控制器连接至待控制的过程或机械的高度模块化架构。通过使用适于高可靠性和 可用的实时通信的专用"控制网络"便利了这种模块化。这样的控制网络（例如，控制网 (ControlNet)、以太网/IP(EtherNeVIP))与标准的通信网络（例如，以太网）的不同在于 保证最大通信延迟、预调度网络的通信能力和/或提供针对高可用性的冗余通信能力。
[0005] 作为工业控制系统的增强的模块化的一部分，该工业控制系统可以使用能够配置 成执行不同功能的模块。模块可以包括例如配置成接收另外的硬件，诸如选项卡，的插座或 插槽。不同的选项卡可以被配置成执行不同的功能而可以被插到相同的插座或插槽中。可 选地，模块可以包括硬件部件中的所有硬件部件以执行若干不同的功能。然而，硬件部件可 能需要特定的固件和/或配置以便于启用硬件和相应的功能。即使模块是不能够配置的， 该模块也可能包括执行固件以执行其意在功能的处理器。
[0006] 对工业控制系统中模块内固件的提高的依赖存在一定的挑战。有时，可能需要向 模块提供新的固件。例如，固件可以接收升级以改进性能和/或纠正模块的问题。可替代 地，客户可以更改其控制系统的配置并且期望启用模块中的不同功能集合。然而，如本领域 内已知的，存在许多实用工具以拷贝软件文件。因此，不期望简单地将新的固件文件发送至 客户端以用于安装在模块中。客户端可以例如针对单个模块购买升级并且将新的软件安装 在多个模块中。类似地，软件文件存在加载至能够例如经由因特网被公开访问的计算机或 服务器的潜力。然后，固件将能够被模块的所有用户得到而无需购买升级。
[0007] 因此，期望提供用于嵌入式固件的安全分发的改进方法。
【发明内容】
[0008] 本文中公开的主题描述了一种用于向工业控制系统中的模块安全地分发嵌入式 固件的方法和装置。利用专有算法来生成与固件对应的安全证书。该证书包括与待加载固 件的模块对应的标识符和与分发有固件的可移动介质，诸如SD存储卡，对应的标识符。将 可移动介质插入到工业控制系统中的待加载固件的模块中。该模块读取安全证书，并且该 模块验证该固件意在用于该模块并且验证该安全证书包括针对插入到模块中的可移动介 质的标识符。如果固件意在用于该模块并且安全证书包括针对可移动介质的标识符，则模 块从可移动介质加载固件。
[0009] 根据本发明的一个实施方式，公开了一种用于向工业控制系统中的模块提供固件 的装置。该装置包括可移动存储介质、固件文件和证书。模块包括与该模块对应的第一标 识符，并且可移动存储介质包括与该可移动存储介质对应的第二标识符。固件文件存储在 可移动存储介质上，并且该固件文件至少部分地定义模块的操作。证书也存储在可移动存 储介质上，并且包括与模块对应的第一标识符的副本和与可移动存储介质对应的第二标识 符的副本。该证书被配置成由模块读取以在证书中的第一标识符的副本与模块上包括的第 一标识符匹配并且证书中的第二标识符的副本与可移动存储介质上的第二标识符匹配时， 允许模块将固件文件加载至该模块。
[0010] 根据本发明的另一个实施方式，公开了一种对工业控制系统中的模块提供嵌入式 固件的安全分发的方法。将可移动存储介质插入到模块上的容座中，并且用该模块读取存 储在可移动存储介质上的证书。该模块验证该证书包括与该模块对应的第一标识符的副本 和与该可移动存储介质对应的第二标识符的副本。在证书中的第一标识符的副本与模块上 包括的第一标识符匹配并且证书中的第二标识符的副本与可移动存储介质上的第二标识 符匹配时，将固件文件从可移动存储介质加载至该模块。
[0011] 根据【具体实施方式】和附图，本发明的这些及其他优点和特征对于本领域内技术人 员将变得明显。然而应当理解的是，【具体实施方式】和附图在指示本发明的优选实施方式的 同时通过说明而非限制性的方式来给出。在不脱离本发明的精神的情况下在本发明的范围 内可以进行许多变化和修改，并且本发明包括所有这样的修改。
【附图说明】
[0012] 在附图中示出了本文中所公开的主题的各种示例性实施方式，在附图中，相似的 附图标记始终表示相似的部分，并且在附图中：
[0013] 图1是根据本发明的一个实施方式的合并可以接收嵌入式固件的模块的示例性 工业控制系统的示意性表示；
[0014] 图2是来自图1的工业控制系统的示例性模块的框图表示；
[0015] 图3是根据本发明的一个实施方式的示例性证书的框图表示；以及
[0016] 图4是示出了根据本发明的一个实施方式的用于在模块中安装新的固件的加载 过程中的步骤的流程图。
[0017] 在描述附图中示出的本发明的各种实施方式的过程中，为了清楚起见，将采用特 定用语。然而，并非意在将本发明限制于所选定的特定术语，并且应当理解，每个特定术语 包括以相似方式操作以达到相似目的的所有技术等同。例如，经常使用单词"连接"、"附 接"，或者与其相似的术语。这些术语不局限于直接连接，而包括通过其他元件的连接，这种 连接被本领域内技术人员认为是等同的。
【具体实施方式】
[0018] 首先转向图1，示例性工业控制网络包括一对工业控制器10。如所示出的，该工业 控制器10是模块化的，并且该工业控制器10可以由一起连接在机架中或安装于轨道的许 多不同模块构成。可以添加另外的模块，或者可以移除现有模块，以及可以将工业控制器10 重新配置成适应新的配置。可选地，工业控制器10可以具有预定并且固定的配置。所示出 的工业控制器10中的每个工业控制器10均包括电源模块12、处理器模块14和网络模块 16。还示出每个工业控制器10均具有两个另外的模块18,这两个另外的模块18可以根据 应用需求来选择并且可以为例如模拟输入或输出模块或者数字输入或输出模块。
[0019] 可以将一个或更多个操作者接口 20连接至工业控制网络。每个操作者接口 20均 可以包括处理设备22、输入设备24和显示设备26,该输入设备24包括但不限于键盘、触摸 板、鼠标、轨迹球或触摸屏。可以设想的是，操作者接口的每个部件可以被并入单个单元，诸 如工业计算机、膝上型计算机或平板计算机。还可以设想的是，可以关于受控机器或受控过 程来分配多个显示设备26和/或多个输入设备24,并且可以将多个显示设备26和/或多 个输入设备24连接至一个或更多个处理设备22。操作者接口 20可以用于显示受控机器或 受控过程的操作参数和/或状况