边缘设备和用于运行边缘设备的方法技术

本发明专利技术涉及一种边缘设备(10)和用于运行边缘设备(10)的方法，其中，为边缘设备(10)增补特型内核管理器(52)和基础特型内核(54)，其中，特型内核管理器(52)用作至少用于启动和停止安装在边缘设备(10)上的特型内核(40‑46)的装置，并且其中，基础特型内核(54)以独立的特型内核形式包括边缘设备(10)的基础功能。

Edge devices and methods used to run edge devices

【技术实现步骤摘要】
【国外来华专利技术】边缘设备和用于运行边缘设备的方法
本专利技术涉及一种边缘设备和用于运行边缘设备的方法。
技术介绍
边缘设备原则上是公知的并且通常也称作为边缘仪器或边缘网关。边缘设备用作两个计算机网络之间、即例如在第一计算机网络与第二计算机网络(例如所谓的云)之间的接口，其中，借助该第一计算机网络，设定用于控制和/或监控工业过程的自动化设备在所谓的现场层中彼此通信连接。原则上，每个属于相应的第一计算机网络的设备能够借助于边缘设备与相应的第二计算机网络中的设备交换数据，例如将在控制和/或监控工业过程的框架中生成的数据存储在云中等等。随着物联网(InternetofThings)云平台(例如，SiemensMindSphere，微软AzureIoT，亚马逊AWSIoT等)和所述的边缘设备的出现，工业环境中系统架构的复杂性增加。在安全性方面，对经典的现场层和其中的边缘设备(边缘网关)与共同云平台的连接性提出了新的挑战。当今的边缘设备通常配备有具有广泛的功能和服务范围的通用操作系统(例如Linux，Windows等)。软件本地安装在这些系统上。为了保护这些设备免受攻击，人们尝试通过停用不需要的服务或组件来“强化”系统软件(由相应的操作系统和下面称作为基础功能的网关软件来构成的整体)。当然，在停用的情况下，这种通用服务或组件仍如之前那样存在于操作系统内核中，从而导致潜在更大的攻击面。同时，通常需要：边缘设备不仅承担一项专门的功能，而且还并行提供多个功能。例如，边缘设备一方面可以提供自动化解决方案的现场层到云的连接，并且另一方面提供应用，其能够处理来自现场层的数据。为了在一个边缘设备或多个边缘设备上动态地安装(部署)这样的或类似的功能和一个或每个对功能来说所必需的应用，已经建立了所谓的容器技术。容器技术是用于以简单的方式将应用打包和分布(“部署”)到一个目标设备或一组目标设备上的标准方法，并且存在各种实现方式。例如，在Linux环境中，例如开源软件“Docker”已作为容器技术来实现。除了相应的应用之外，被打包为容器并进行部署的应用还包括完整的运行时环境，即库和/或二进制文件和配置文件，它们对于执行相应的应用是必需的。通过将至少一个应用及其相应的运行时环境打包(以下称为容器化)在软件容器中，可以将各种操作系统发行版本中的差异抽象化。所得的软件容器具有并行能力，即封装在其中的应用可以并行地并且相互独立地执行。但是，容器技术的一个特性在于：所有软件容器都共享一个共同的操作系统内核。尽管可以通过相应的网络虚拟化来使各个软件容器分离，但是软件容器全部都安装在共同的通用内核(参见图1)上，该通用内核在可能存在的安全漏洞方面提供了大面积的攻击面。
技术实现思路
相应地，本专利技术的目的在于：降低边缘设备的潜在的受攻击性并且在此获得在容器技术的框架内提供的灵活性。根据本专利技术，该目的借助于具有权利要求1的特征的边缘设备来实现。边缘设备以原则上已知的方式和方法设定和设置用于：用作在自动化设备一方与至少一个外部网络另一之间的接口，该自动化设备彼此通信连接并且设定用于控制和/或监控工业过程。根据在此提出的方案，代替至今为止使用的容器技术，将特型内核技术用于封装在边缘设备上待执行的软件应用并且边缘设备为此包括以软件实现的附加功能单元。第一附加功能单元下面称作为特型内核(Unikernel)管理器。第二附加功能单元在下面称为基础特型内核。特型内核管理器用作至少用于启动和停止安装在边缘设备上的特型内核的装置，并且相应地设定和设置用于：在边缘设备运行时按需启动和停止安装在边缘设备上的特型内核。基础特型内核以独立的特型内核的形式包括边缘设备的基础功能，即允许边缘设备用作在联网的自动化设备一方与另一网络一方之间的接口。在用于运行这种边缘设备的方法中，借助于特型内核管理器按需且自动地启动和停止安装在边缘设备上的特型内核，并且借助于基础特型内核展开边缘设备的基础功能。本专利技术的优点在于：一个或每个待借助于边缘设备执行的应用以出于安全考量而尤其有利的方式和方法封装在特型内核中。此外，特型内核在封装一个或多个应用方面提供与软件容器相同的优点。特别地，特型内核同样是有并行能力的，使得封装于其中的应用在此也能够并行地并且彼此独立地执行。特型内核技术的简化方案有益于边缘设备一方和总系统一方的安全性，其中，在该总系统中边缘设备履行其接口功能。一个或每个安装在边缘设备上的且借助于特型内核管理器监控的(启动、停止等等)特型内核不包括传统内核的许多服务，或者至少得到了显著精简。因此，所实现的组件数量(在边缘设备上运行的服务)的减少使得边缘设备的受攻击性显著降低。此外，特型内核直到超级监控者层(例如Xen超级监控者)都能被隔离，而在常规的软件容器中，隔离仅包括作为最低层的内核。由于可以启动(开启，开机)或停止(结束，关机)特型内核，能够动态地调整在此提出的类型的边缘设备的功能。就这一点而言，例如，可以通过启动另一个特型内核和至少一个封装在其中的应用来添加附加的功能，和/或通过停止相应的特型内核来停用不再需要的功能。在边缘设备运行期间变得已知的安全漏洞的情况下，仅必须停用与安全漏洞相关的一个或每个特型内核，而全部其他的特型内核能够功能未受损地在边缘设备上继续运行。在使用常规的操作系统或容器技术的边缘设备中，必须停用整个边缘设备或者例如对内核打补丁。本专利技术的有利设计方案是从属权利要求的主题。在此使用的权利要求之间的引用关系表示通过相应的从属权利要求的特征对所引用的权利要求的主题的进一步改进。引用关系不可理解为放弃对于从属权利要求的特征或特征组合实现独立、客观的保护。此外，鉴于从属权利要求和说明书的布局，在将从属权利要求中的特征详细具体化时的前提是：相应的前述权利要求以及主题的边缘设备或其运行方法的一般化实施方式中的这种限制是不存在的。因此，即使没有具体指明也可将说明书中对于从属权利要求方面的任何引用理解为可选特征的描述。最后要指出的是：在此提出的边缘设备也可以根据从属的方法权利要求来改进，例如通过使边缘设备包括相应装置的方式，该装置例如设定和设置用于执行一个或多个相应的方法步骤，并且反之亦然。在边缘设备和其运行方法的一个实施方式中，借助于基础特型内核能够接收标志处于危险中的特型内核的标识并借助于基础特型内核进行接收；并且借助特型内核管理器能够停止一个或每个由接收到的标识所标志的特型内核，并且借助于基础特型内核将其停止。借此，能够以简单的方式和方法在一定程度上切断使得边缘设备可被攻击的功能。由于停止了处于危险中的特型内核，使其对外不再可见并且消除了受攻击性。因此，可以将一个或多个、或者一些或所有应用和/或特别是边缘设备的基本功能实现为特型内核。通过将应用与一个或多个库(例如来自包含操作系统服务的驱动/库的库操作系统(LibOS))一起直接编译可以创建特型内核，其中，该库包含应用专门需要的操作系统服务(尤其只是操作系统服务)。因此，可以如下地实现特型内核，使得其直接地在硬件上、直接地在超级监控者上(在这种情况下，有时也存在：在虚拟的LibOS机中实施特型内核)、本文档来自技高网...

【技术保护点】
1.一种边缘设备(10)，所述边缘设备设定和设置为，用作自动化设备(14-16)一方与至少一个外部网络(18)一方之间的接口，所述自动化设备彼此通信连接并且设定用于控制和/或监控工业过程(12)，/n其特征在于，/n设有特型内核管理器(52)和基础特型内核(54)，/n其中，所述特型内核管理器(52)用作至少用于启动和停止安装在所述边缘设备(10)上的特型内核(40-46)的装置，并且/n其中，所述基础特型内核(54)以独立的特型内核形式包括所述边缘设备10的基础功能。/n

【技术特征摘要】
【国外来华专利技术】20170619 EP 17176590.21.一种边缘设备(10)，所述边缘设备设定和设置为，用作自动化设备(14-16)一方与至少一个外部网络(18)一方之间的接口，所述自动化设备彼此通信连接并且设定用于控制和/或监控工业过程(12)，
其特征在于，
设有特型内核管理器(52)和基础特型内核(54)，
其中，所述特型内核管理器(52)用作至少用于启动和停止安装在所述边缘设备(10)上的特型内核(40-46)的装置，并且
其中，所述基础特型内核(54)以独立的特型内核形式包括所述边缘设备10的基础功能。


2.根据权利要求1所述的边缘设备(10)，
其中，借助于所述基础特型内核(54)能够接收标志处于危险中的特型内核(40-46)的标识(70)，并且
其中，借助于所述特型内核管理器(52)能够停止由接收到的所述标识(70)标志的一个或每个所述特型内核(40-46)。


3.根据权利要求1或2所述的边缘设备(10)，其中，借助于所述基础特型内核(54)能够将预留在远离所述边缘设备(10)的特型内核堆栈(60)中的特型内核(44、46)从该特型内核堆栈(60)中下载，并且能够将该特型内核安装在所述边缘设备(10)上。


4.根据权利要求3所述的边缘设备(10)，其中，借助于所述基础特型内核(54)能够检验预留在所述特型内核堆栈(60)中的或从所述特型内核堆栈(60)中下载的特型内核(44、46)的电子签名。


5.根据权利要求3或4所述的边缘设备(10)，其中，借助于所述基础特型内核(54)能够对从所述特型内核堆栈(60)中下载的所述特型内核(44、46)解密。


6.根据权利要求5所述的边缘设备(10)，其中，借助于所述基础特型内核(54)能够借助于由所述边缘设备(10)的硬件(30)包括的TPM芯片(56)对从所述特型内核...

【专利技术属性】
技术研发人员：本杰明·科勒，伊丽莎白·海因德尔，伊戈尔·米洛瓦诺维克，沃尔夫冈·里德尔，
申请(专利权)人：西门子股份公司，
类型：发明
国别省市：德国;DE