DE102006059107A1

DE102006059107A1 - Verfahren zum softwaremäßigen Aktualisieren einer elektronischen Einrichtung, insbesondere des Auslösers von Niederspannungs-Leistungsschaltern

Info

Publication number: DE102006059107A1
Application number: DE102006059107A
Authority: DE
Inventors: Ilka Dipl.-Ing. Redmann
Original assignee: Siemens Corp
Current assignee: Siemens Corp
Priority date: 2006-12-08
Filing date: 2006-12-08
Publication date: 2008-06-12
Also published as: WO2008068189A1; US20100031243A1; CN101548446A

Abstract

Die Erfindung betrifft ein Verfahren zum softwaremäßigen Aktualisieren einer elektronischen Einrichtung (1), inbesondere des Auslösers von Niederspannungsleistungsschaltern, deren Software (3a) in einem nichtflüchtigen Speicherbereich (2, 3) abgespeichert ist, bei dem die aktualisierte Software (4a) von einem externen Träger (4) in diesen Speicherbereich (3) kopiert wird. Um auch nach einem Software-Update einen sicheren Betrieb des Leistungsschalters zu gewährleisten, wird vorgeschlagen, dass die in diesen Speicherbereich (3) kopierte aktualisierte Software (4a) mittels einer externen Prüfeinrichtung (6) überprüft wird, dass die Prüfeinrichtung (6) bei fehlerfrei kopierter aktualisierter Software (4a) eine Fehlerfreikennung (K) in den/einen nichtflüchtigen Speicherbereich schreibt und dass die aktualisierte Software von der elektronischen Einrichtung nur gestartet wird, wenn die Fehlerfreikennung (K) für die aktualisierte Software (3a) vorliegt.

Description

Die Erfindung betrifft ein Verfahren zum softwaremäßigen Aktualisieren einer elektronischen Einrichtung, insbesondere des Auslösers von Niederspannungs-Leistungsschaltern, gemäß dem Oberbegriff des Anspruchs 1.
Auslöser von Niederspannungs-Leistungsschaltern benötigen heute eine Software, die als Firmware bezeichnet wird und auf den Leistungsschalter zugeschnitten ist sowie dessen Betrieb steuert. Aufgrund von Fehlerbehebungen und Funktionserweiterungen wird die Firmware ständig weiterentwickelt und verändert. Dabei besteht häufig die Notwendigkeit, bei den sicherheitsrelevanten elektronischen Auslösern die aktualisierte Firmware sicher einzuspielen. Dies sollte nach Möglichkeit auch vom Kunden selbst durchgeführt werden.
Um einen sicheren Betrieb zu gewährleisten, ist es erforderlich, dass wenigstens die sicherheitsrelevanten Funktionen des Leistungsschalters nach der Aktualisierung überprüft werden. Diese Überprüfung erfolgt meist mit Hilfe von externen Prüfgeräten; sie kann aber auch als interne Funktionen ausgeführt werden.
Problematisch ist dabei, dass die aktualisierte Firmware selbst nicht feststellen kann, ob diese Prüfung tatsächlich und erfolgreich durchgeführt worden ist, um so einen sicheren Betrieb des Leistungsschalters sicherzustellen.
Die Aufgabe der Erfindung ist es, auch nach einem Software-Update einen sicheren Betrieb des Leistungsschalters zu gewährleisten.
Die Lösung der Erfindung ist durch die Merkmale des Anspruchs 1 gegeben; die Unteransprüche beziehen sich auf vorteilhafte Ausgestaltungen.
Die Lösung sieht vor, dass die in diesen Speicherbereich kopierte aktualisierte Software mittels einer externen Prüfeinrichtung überprüft wird, dass die Prüfeinrichtung bei fehlerfrei kopierter aktualisierter Software eine Fehlerfreikennung in den/einen nichtflüchtigen Speicherbereich schreibt und dass die aktualisierte Software von der elektronischen Einrichtung nur gestartet wird, wenn die Fehlerfreikennung für die aktualisierte Software vorliegt. Damit ist sichergestellt, dass die (vorgeschriebene) Überprüfung der elektronischen Einrichtung nach einem Software-Update auch wirklich durchgeführt wird. Dies macht ein Software-Update auch für sicherheitsrelevante Einrichtungen deutlich sicherer und zuverlässiger. Insbesondere kann ein solches Update auch ohne besondere Kenntnisse und Schulungen vom Kunden selbst durchgeführt werden. Dies bietet sich an, da die Mehrzahl der elektronischen Auslöser von Niederspannungs-Leistungsschaltern mit nichtflüchtigen Speichern (EEPROM, FLASH und gepufferte RAM) ausgerüstet ist. Die Idee der Erfindung ist es, einen Teil dieses Speichers dazu zu verwenden, die erfolgreich durchgeführte Überprüfung der Einrichtung durch eine externe Prüfeinrichtung zu erkennen.
Vorteilhafterweise kann die elektronische Einrichtung die Fehlerfreikennung auch zyklisch überprüfen.
Die Sicherheit lässt sich erhöhen, wenn der Speicherbereich mit der Fehlerfreikennung von der aktualisierten Software beim Kopieren überschrieben wird oder wenn der Speicherbereich zur Abspeicherung der Fehlerfreikennung zu Beginn der Softwareaktualisierung mit einem vorgegebenen Wert überschrieben wird.
Die Erfindung wird nachfolgend anhand einer Zeichnung mit einer einzigen Figur näher beschrieben.
Die einzige Figur zeigt einen Auslöser 1 eines Niederspannungs-Leistungsschalters (selbst nicht gezeigt) in einer schematischen Darstellung. Der Auslöser verfügt über einen nichtflüchtigen Speicher 2, 3, wobei der nichtflüchtige Speicher 3 der Firmware-Speicher 3 ist, also der Speicherbereich, in dem die zu aktualisierende Betriebssoftware (Firmware) 3a abgelegt ist. Weiter zeigt die Figur ein externes Speichermedium 4 (z.B. eine Diskette), auf der eine aktuelle Firmware 4a abgespeichert ist. Auf Anforderung oder selbsttätig nach Anschließen des externen Speichermediums 4 wird die aktualisierte Software 4a vom externen Speichermedium 4 in den Firmware-Speicher 3 übertragen, was durch den Pfeil 5 schematisch dargestellt ist.
Nach vollständiger Übertragung der aktuellen Firmware 4a in den Firmware-Speicher 3, der hierbei überschrieben wird, wird eine externe Prüfeinrichtung 6 an den Auslöser 1 angeschlossen, welche überprüft, ob die aktualisierte Firmware 3a korrekt und fehlerfrei im Firmware-Speicher 3 abgelegt wurde. Die Prüfung durch die externe Prüfeinrichtung 6 ist in der Figur durch einen Pfeil 8 schematisch dargestellt. Bei Übereinstimmung, also fehlerfrei aktualisierter Firmware 3a, wird eine Fehlerfreikennung K in den nichtflüchtigen Speicher 2 geschrieben, in dem ein Kennungsspeicher 7 nur für diesen Zweck reserviert ist.
Die Fehlerfreikennung K wird im Kennungsspeicher 7 nach Feststellung der Fehlerfreiheit mit einer aktuellen Fehlerfreikennung K überschrieben, die z.B. das aktuelle Datum aufweist.
Es ist aber auch möglich, dass der Kennungsspeicher 7 zu Beginn der Softwareaktualisierung zunächst mit einem vorgegebenen Nichtkennungswert L und erst nach Beendigung der Firmwareaktualisierung mit der Fehlerfreikennung K überschrieben wird.
Vor dem Neustart der aktualisierten Firmware 3a erfolgt jeweils eine Abfrage der Fehlerfreikennung K im Kennungsspeicher 7, was durch den Pfeil 9 dargestellt ist.
Selbstverständlich kann die Abfrage der Fehlerfreikennung K auch zyklisch erfolgen.

Claims

Verfahren zum softwaremäßigen Aktualisieren einer elektronischen Einrichtung (1), insbesondere des Auslösers von Niederspannungsleistungsschaltern, deren Software (3a) in einem nichtflüchtigen Speicherbereich (2, 3) abgespeichert ist, bei dem die aktualisierte Software (4a) von einem externen Träger (4) in diesen Speicherbereich (3) kopiert wird, dadurch gekennzeichnet, dass die in diesen Speicherbereich (3) kopierte aktualisierte Software (4a) mittels einer externen Prüfeinrichtung (6) überprüft wird, dass die Prüfeinrichtung (6) bei fehlerfrei kopierter aktualisierter Software (4a) eine Fehlerfreikennung (K) in den/einen nichtflüchtigen Speicherbereich schreibt und dass die aktualisierte Software von der elektronischen Einrichtung nur gestartet wird, wenn die Fehlerfreikennung (K) für die aktualisierte Software (3a) vorliegt.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die elektronische Einrichtung (1) die Fehlerfreikennung (K) zyklisch überprüft .
Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass der Speicherbereich (3) beim Kopieren von der aktualisierten Software (4a) mit der Fehlerfreikennung überschrieben wird.
Verfahren nach einem der Ansprüche 1–3, dadurch gekennzeichnet, dass der Speicherbereich (7) zur Abspeicherung der Fehlerfreikennung (K) zu Beginn der Softwareaktualisierung mit einem vorgegebenen Wert (L) überschrieben wird.