Signature SAFE

Introduction

Les PAC de sécurité M580 autonomes et redondants (Hot Standby) incluent un mécanisme permettant de générer une empreinte SHA256 de l'application sécurisée sur la base d'un algorithme : la signature du source SAFE. Lors du transfert de l'application du PC vers le PAC, Control Expert compare la signature dans le PC à celle se trouvant dans le PAC afin de déterminer si les applications sécurisées dans le PC et le PAC sont identiques ou différentes.

La fonction de signature SAFE est facultative. La génération d'une signature de source SAFE prend plus ou moins de temps selon la taille de l'application sécurisée. Les options de gestion de la signature SAFE vous offrent la possibilité de générer une signature de source SAFE sous la forme d'un algorithme pour votre application sécurisée :

à chaque génération ou
seulement si vous souhaitez générer manuellement cette signature et l'ajouter à la dernière génération ou
dans aucun cas de figure.

Actions modifiant la signature de source SAFE

Les modifications apportées à la configuration et aux valeurs de variables peuvent entraîner la modification de la signature de source SAFE.

Modifications de configuration : les opérations de configuration suivantes modifient la signature.

Equipement	Action
CPU de sécurité	Changement de référence de CPU à l'aide de l'option Remplacer le processeur…
	Changement de version de CPU à l'aide de l'option Remplacer le processeur…
	Modification d'un paramètre dans l'onglet de configuration Configuration ou Redondance d'UC de la CPU
	Modification d'un paramètre dans un onglet du module de communication Ethernet de la CPU ( Sécurité, IPConfig, RSTP, SNMP , NTP, Port de service, Safety)
Coprocesseur de sécurité	Non applicable, car le coprocesseur n'est pas configurable.
Autre module de sécurité	Ajout /suppression /déplacement d'un module : directement (via une commande), indirectement (par exemple, en remplaçant une embase Ethernet à 8 emplacements avec un module de sécurité à l'emplacement 7 par une embase Ethernet à 4 emplacements, entraînant ainsi la suppression d'un module)
	Modification d'un paramètre du module de sécurité dans l'onglet Configuration (par exemple, Court-circuit pour détection 24 V , Détection de fil ouvert ) ou dans le volet de gauche de l'éditeur (par exemple, Fonction, Repli)
	Modification de l'identifiant du module via la commande Renouveler les ID & Regénérer tout
	Modification du nom de l'instance de DDT d'équipement
Module CIP Safety	Ajout /suppression d'un module
	Modification d'un paramètre d'un module CIP Safety dans l'éditeur de DTM de l'équipement CIP Safety ou dans la liste d'équipements de l'éditeur de DTM de la CPU maître
	Modification du nom de l'instance de DDT d'équipement
Alimentation de sécurité	Ajout /suppression d'une alimentation de sécurité
Autre équipement lié à la sécurité	Modification de l'adresse topologique d'un équipement prenant en charge un équipement de sécurité, par exemple : Déplacement d'un rack contenant un équipement de sécurité Déplacement d'un bus ou d'une station contenant un équipement de sécurité

Modifications de valeur : sauf exception, les éléments suivants interviennent dans le calcul de la signature du source SAFE. La modification de leur valeur entraîne celle de la signature :

Type	Eléments
Programme	Tâche SAFE et sections de code associées
Variables	Variables de zone SAFE et attributs associés
DDT	Attributs de DDT SAFE, à l'exception des attributs de date et version
	Variables contenues dans chaque DDT, y compris les attributs associés
	DDT SAFE, même ceux non utilisés dans l'application sécurisée
DFB	Attributs de DFB SAFE, à l'exception des attributs de date et version
	Variables contenues dans chaque DFB, y compris les attributs associés
	DFB SAFE, même ceux non utilisés dans l'application sécurisée
Paramètres de portée SAFE	Options de projet de portée SAFE
Paramètres de portée commune	Options de projet suivantes de portée commune :
	Variables Chiffres en début autorisés Jeu de caractères Autoriser l'utilisation du front sur EBOOL Autoriser INT/DINT à la place de ANY_BIT Autoriser l'extraction de bits pour INT, WORD et BYTE Autoriser la représentation directe de tableaux Activer la scrutation rapide de tendance Forcer l'initialisation des références
	Programme > Langages > Commun Autoriser les procédures Autoriser les commentaires imbriqués Autoriser les affectations en cascade [a:=b:=c] (ST/LD) Autoriser les paramètres vides dans les appels informels (ST/IL) Maintenir les liens de sortie sur les EF désactivées (EN=0) Afficher les commentaires complets d'élément de structure
	Programme > Langages > LD Détection de front montant unique pour EBOOL
	Général > Heure¹ Fuseau horaire personnalisé Fuseau horaire Décalage Régler automatiquement l'horloge sur l'heure d'été Tous les paramètres DEBUT et FIN sous Régler automatiquement l'horloge sur l'heure d'été
1. Ces variables ne sont pas exportées, mais la modification de leur valeur entraîne celle de la signature partielle de configuration.

Gestion de la signature de source SAFE

Vous pouvez gérer la signature du source SAFE dans la fenêtre Outils > Options du projet de Control Expert, en sélectionnant l'option Général > Options de génération , puis l'un des paramètres de gestion de la signature SAFE suivants :

Automatique (par défaut) : permet de générer une nouvelle signature de source SAFE à chaque exécution d'une commande Générer.
A la demande de l'utilisateur : permet de générer une nouvelle signature de source SAFE lorsque la commande Générer > Mettre à jour la signature SAFE est exécutée.

NOTE : avec l'option A la demande de l'utilisateur, Control Expert crée une signature de source SAFE égale à 0 à chaque génération. Si vous n'exécutez pas la commande Générer > Mettre à jour la signature SAFE, cela signifie que vous décidez de ne pas utiliser la fonction de signature SAFE.

Transfert d'une application du PC vers l'automate

Lors du téléchargement d'une application du PC vers le PAC, Control Expert compare la signature de source SAFE de l'application téléchargée avec celle présente dans le PAC. Voici ce qui se passe dans Control Expert :

Nouvelle signature SAFE	Signature SAFE dans le PAC	Informations affichées dans Control Expert
Toute valeur	Pas d'application	Confirmation du transfert
Toute valeur (sauf 0)	0	Confirmation du transfert
0	0	Confirmation du transfert
0	Toute valeur (sauf 0)	Confirmation du transfert, puis "Cette action réinitialisera la signature SAFE", puis nouvelle confirmation du transfert
XXXX = YYYY²	YYYY	Confirmation du transfert
XXXX ≠ YYYY³	YYYY	Confirmation du transfert, puis "Cette action modifiera l'application SAFE", puis nouvelle confirmation du transfert
1. La valeur "0" indique qu'aucune signature de source SAFE n'a été générée (automatiquement ou manuellement). 2. L'application sécurisée du PC (XXXX) et l'application sécurisée du PAC (YYYY) sont IDENTIQUES. 3. L'application sécurisée du PC (XXXX) et l'application sécurisée du PAC (YYYY) sont DIFFERENTES.

Affichage de la signature de source SAFE

Chaque signature de source SAFE utilisée se compose d'une série de valeurs hexadécimales, qui peut être très longue. Il est donc difficile pour un utilisateur de lire et comparer directement ces valeurs. Pour réaliser facilement des comparaisons, il est possible de coller ces valeurs dans un éditeur de texte adéquat. Vous trouverez la signature de source SAFE à différents endroits dans Control Expert :

Onglet Propriétés de Projet > Identification : dans le Navigateur du projet , cliquez avec le bouton droit sur Projet, puis sélectionnez Propriétés.
Onglet Ecran de l'automate > Informations : dans le Navigateur du projet , accédez à la section Projet > Configuration > Bus automate > <CPU>, cliquez avec le bouton droit de la souris, puis sélectionnez Ouvrir et l'onglet Animation.
Boîte de dialogue Comparaison PC <--> Automate : sélectionnez cette commande dans le menu Automate .
Boîte de dialogue Transférer le projet vers l'automate : sélectionnez cette commande dans le menu Automate (ou dans la boîte de dialogue Comparaison PC <--> Automate ).

Différences entre la signature de source SAFE et le SAId

La signature de source SAFE a été introduite afin de vérifier théoriquement que l'application sécurisée n'a pas changé. Il est recommandé d'utiliser cette fonction chaque fois que l'application du processus est modifiée, pour éviter toute modification involontaire de l'application sécurisée.

Bien qu'elle soit fiable, la signature de source SAFE ne suffit pas pour les applications de sécurité. En effet, un même code source peut correspondre à différents codes binaires (exécutables), en fonction de l'option de génération utilisée après la dernière modification du code sécurisé.

Le SAId peut être évalué en cours d'exécution seulement. Il est calculé deux fois et comparé par la CPU et par le coprocesseur, sur la base du code binaire exécuté par l'application sécurisée. Le SAId étant sensible à toutes les modifications, y compris celles apportées via la commande Regénérer tout après la génération du projet, il est conseillé d'utiliser la commande Regénérer tout pour générer une version de référence de l'application sécurisée. Cette procédure vous permet d'utiliser l'option de génération de votre choix ( Regénérer tout ou Générer le projet en mode local ou connecté) pour les modifications visant l'application du processus sans que le SAId soit affecté.

Utilisez de préférence le SAId pour vous assurer que l'application sécurisée est bien celle qui a été validée. Le SAId n'est pas automatiquement testé par l'application. C'est pourquoi il est recommandé de le vérifier régulièrement (par exemple, via Control Expert ou une IHM) en lisant la sortie du bloc fonction S_SYST_STAT_MX ou le contenu du mot système %SW169.

Modification de l'application du processus - Procédure simplifiée

Gestion du SAId