[发明专利]在设备处对通信伙伴进行认证

说明书

一种用于在设备处对通信伙伴(ST)进行认证的方法，其中除了物理设备实现(FD1)之外，还存在至少一个分配给所述设备的虚拟设备实现(TD‑FD1)，所述方法具有以下步骤:‑在所述两个设备实现中的第一设备实现中接收(S1)通信伙伴(ST)的访问权限，‑通过所述第一设备实现检验(S2)所述访问权限，以及‑如果所述访问权限被认为是允许的，则从所述第一设备实现向所述通信伙伴(ST)提供(S3)权限证明(AC)，以及‑允许(S4)通过所述通信伙伴(ST)借助于所述权限证明(AC)访问所述两个设备实现中的第二设备实现。

技术领域

本发明涉及一种用于在设备处对通信伙伴进行认证的方法，其中除了物理设备实现之外，还存在至少一个分配给所述设备的虚拟设备实现。

背景技术

经由网络连接对设备、诸如现场设备、控制设备、物联网(IoT)设备等的访问必须被认证，以便防止通过未经授权方的访问。在工业环境中，访问不仅可以通过自动化系统的其他设备进行，而且例如可以通过服务技术人员进行，所述服务技术人员经由基于网络的本地服务接口或经由远程维护接入(Fernwartungszugang)来访问设备。

在工业环境中，数字孪生(也称为Digital Twin(数字孪生)或管理壳或Administration Shell)的概念日益起重要作用。在此，通过数字孪生实现真实对象的虚拟表示。

出版物SIEMENS AG(西门子公司)等：“Digital-Twin-Zertifikat”(PRIOR ARTPUBLISHING GMBH,PRIOR ART PUBLISHING GMBH,MANFRED-VON-RICHTHOFEN-STR.9,12101BERLIN GERMANY,Bd.www.priorartregister.com,2019年2月21日(2019-02-21),1-5页,XP007022409)描述不仅分配给物理对象而且分配给其数字孪生的数字孪生证书。数字孪生证书包含分配给真实对象或其数字孪生的两个公钥条目以及数字孪生的链接(URL)。物理对象使用数字孪生证书，以便在检验方处进行认证。随后，检验方可以通过第二公钥对数字孪生的以加密的方式传送的数据进行解密并且从而访问所述数据。

WO 2019/243429 A1公开一种用于客户端设备安全地访问云服务器中的云服务的方法，其中该访问通过第三方的服务器上的应用程序被提供。

为服务技术人员或其他通信伙伴设立和管理访问权限以及设立和管理相对应的检验数据是耗费的。从而，例如密码信息、公钥证书或甚至权限信息必须在用户数据库中被设立和管理。此外，在工业环境中，通信网络此外通常与外部通信网络隔离，使得不能使用中央安全服务、诸如目录服务或认证服务器。

此外，这样的设备通常具有低的计算能力或通过电池被供电，使得在那里应该避免耗费的查询或操作。

发明内容

因此，本发明的任务是以尽可能节能和节省容量的方式设计针对这样的设备的接入认证，并且仍然保证足够的保护和灵活的访问可能性。

该任务通过在独立权利要求中描述的特征来解决。本发明的有利改进方案在从属权利要求中示出。

根据第一方面，本发明涉及一种用于在设备处认证通信伙伴的方法，其中除了物理设备实现之外，还存在至少一个分配给所述设备的虚拟设备实现，所述方法具有以下步骤:

-在所述两个设备实现中的第一设备实现中接收通信伙伴的访问权限，

-通过第一设备实现检验访问权限，以及

-如果所述访问权限被认为是允许的，则从所述第一设备实现向所述通信伙伴提供用于通过所述通信伙伴访问所述第二设备实现的权限证明(Berechtigungsnachweis)，以及

-允许通过所述通信伙伴借助于所述权限证明访问所述两个设备实现中的第二设备实现。