Sehr geehrte Damen und Herren,

Transkript

1 M. Kahmann, PTB, Bundesallee 00, 386 Braunschweig, Begleitunterlagen zur. Zählerfachtagung am 7./8.9.o3 in Erfurt Seite von 4 Sehr geehrte Damen und Herren, statt einer Kopie meiner Präsentation überreiche ich Ihnen beiliegend Originaltexte zur Unterstützung meines mündlichen Vortrages. Der Vortrag wird auf folgende zwei Hauptthemen eingehen: Die PTB-Anforderungen 50.8 Das neue Mess- und Eichgesetz Zu den PTB-Anforderungen finden Sie nachfolgend auf ca. 0 Seiten in stark verkleinerter Ausführung den Originaltext der PTB-Anforderungen 50.8, wie er im Vorfeld zur öffentlichen Diskussion dieses Dokumentes am in der PTB verteilt wurde. Zu dem Text sind zahlreiche Kommentare in der PTB eingegangen. Der Projektleiter für dieses Dokument, Herr Dr. Grottker, ist momentan dabei, die Kommentare im Rahmen einer Überarbeitung dieses Entwurfes, in eine neue Ausgabe einfließen zu lassen. Es ist vorgesehen, diese neue Version zum 3. September 03 wieder an die Verbände zu senden und um deren schriftliche Stellungnahme zu bitten. Von der ursprünglichen Absicht, das Dokument in einer zusätzlichen Präsenzveranstaltung in der PTB zu diskutieren, sind die Verantwortlichen abgegangen. Das schriftliche Verfahren wurde als effizienter eingestuft. Als Mitarbeiter an dem Projekt kann ich Ihnen mitteilen, dass sich an den materiellen Regelungen des Entwurfes, wie er Ihnen hiermit vorgelegt wird, voraussichtlich wenig ändern wird. Hauptsächlich sind Verschlankungen und Umstrukturierungen zur Verständnisverbesserung vorgesehen. Deshalb habe ich mich entschlossen, Ihnen den anliegenden Entwurf zur Verfügung zu stellen, obwohl klar ist, dass er schon in den nächsten Tagen obsolet sein wird. Als Orientierung für das, was auf Hersteller und Anwender von Gateways eichrechtlich zukommen wird, ist auch dieser ältere Entwurf durchaus geeignet. Im Rahmen meines Vortrages werde ich nur auf einige essenzielle Regelungen der PTB-Anforderungen 50.8 eingehen können. Eine vollständige Abhandlung des Dokumentes und seiner Absichten bedürfte deutlich mehr Zeit, als sie im Rahmen der Zählerfachtagung zur Verfügung steht. Zum neuen Mess- und Eichgesetz habe ich Ihnen in der beiliegenden Unterlage lediglich einen Auszug aus der Begründung wiedergegeben, wie sie im Referentenentwurf des Gesetzes, der dem Bundesrat zur Abstimmung vorgelegt wurde, nachgelesen werden kann. In dieser Begründung sind die Neuerungen gegenüber dem geltenden Recht klar beschrieben. Ich werde in meinem Vortrag auf einige der Highlights dieses neuen Rechts eingehen und Regelungen zu einigen ausgesuchten Paragraphen erläutern. Den Werdegang der Entstehung des Gesetzes können Sie wegen des erfreulicherweise über das Internet transparent gemachten Gesetzgebungsverfahrens auf der folgenden Webseite nach verfolgen. ( QR- Code siehe unten rechts). Über diese Webseite können Sie sich auch die Originaltexte des Gesetzes, dessen Entwürfe und sogar eine Mitschrift der Bundestagsdebatte über das Gesetz beschaffen. Schließlich möchte ich noch ein persönliches Anliegen loswerden: Meine Vorträge sind in der Regel für Präsenzveranstaltungen gestaltet. Die Digitalisierung und Reproduktion vermittelt Inhalte unter Umständen anders, als dies von mir während des Vortrages beabsichtigt war. Ich möchte Sie deshalb herzlich bitten, auf Foto-, Film- und Tonaufnahmen während meines Vortrages zu verzichten. Herzlichen Dank für Ihr Verständnis. Ihr M. Kahmann

2 M. Kahmann, PTB, Bundesallee 00, 386 Braunschweig, Begleitunterlagen zur. Zählerfachtagung am 7./8.9.o3 in Erfurt Seite von 4 Begründung zum MEG (Auszug Allgemeiner Teil, I, II, Quelle: Bundesrat Drucksache 3/3 vom ) A. Allgemeiner Teil I. Zielsetzung und Notwendigkeit des Gesetzes Mit dem Gesetz wird die gesetzliche Grundlage des Mess- und Eichwesens umfassend neu geordnet. Eine Anpassung des bislang geltenden Eichgesetzes wurde wegen der weit reichenden Neustrukturierung nicht verfolgt. Die neue gesetzliche Grundlage erhält eine neue Bezeichnung, die den Begriff des Eichens beibehält, ihn aber mit der Benennung als Mess- und Eichgesetz in einen neuen Kontext stellt. Das gesetzliche Messwesen regelt einen Sektor, der für das Wirtschaftsleben äußerst wichtig ist. Schätzungen gehen davon aus, dass in den Industrieländern etwa 4 bis 6 Prozent des Bruttonationaleinkommens durch Messgeräte und damit verbundene Messungen abgerechnet werden (s. Göbel, Strukturreform in der PTB, PTB-Mitteilungen /97, S. 9). Dies bedeutet für Deutschland einen Betrag zwischen ca. 04 Milliarden Euro und ca. 57 Mrd. Euro jährlich. Die umfassende Neuordnung ist erforderlich geworden, weil wichtige Rechtsquellen des gesetzlichen Messwesens, insbesondere das Eichgesetz und die Eichordnung, durch notwendige nachträgliche Anpassungen an europäische Entwicklungen zunehmend unübersichtlich geworden sind. Der Gesetzentwurf soll daher eine neue durchgängige Systematik der Rechtsmaterie schaffen. Er soll zudem der Rechtsvereinheitlichung dienen, indem unterschiedliche Regelungsansätze im deutschen und europäischen Recht zu Gunsten einer einheitlichen Vorgehensweise in Übereinstimmung mit dem europäischen Recht beseitigt Mit dem Gesetzentwurf werden ferner für den Bereich des gesetzlichen Messwesens notwendige Anpassungsregelungen an europäische Rechtsverordnungen sowie Umsetzungen für gegenwärtig noch im europäischen Rechtsetzungsprozess befindliche, inhaltlich jedoch weitestgehend feststehende Richtlinien vorgenommen. Schließlich soll der Gesetzentwurf auch neuen technologischen Entwicklungen und Veränderungen im Marktgeschehen Rechnung tragen. So werden neue Bestimmungen aufgenommen, die beispielsweise eine angemessene eichrechtliche Behandlung der sogenannten intelligenten Zähler (smart-meter) erlauben, aber nicht nur für diese spezielle Produktgruppe gelten. Vorgesehen werden erstmals auch Bestimmungen, die sich mit dem Verwenden von Messwerten befassen. Die den bisherigen Regelungen zu Grunde liegende Vorstellung, dass das Verwenden von Messgeräten und Messwerten stets in einer Hand liegt, trifft nicht mehr in allen Fällen zu. II. Wesentliche Regelungsinhalte Anpassung an und Umsetzung von europäischem Recht Mit Artikel des Gesetzentwurfs wird europäischen Entwicklungen umfassend Rechnung getragen. Mit dem europäischen Binnenmarktpaket, das aus den nachfolgend erwähnten europäischen Regelungen besteht, wurde das Inverkehrbringen europäisch geregelter Produkte sowie die damit in Zusammenhang stehenden Aspekte neu geordnet. Der in europäischen Regelungen über Produkte weit verbreitete neue Ansatz, der einen Verzicht auf staatliche ex-ante Genehmigungsverfahren für das Inverkehrbringen von Produkten vorsieht, wurde damit bestätigt und zugleich reformiert. Zum Binnenmarktpaket zählt die Verordnung (EG) Nr. 764/008 des Europäischen Parlaments und des Rates vom 9. Juli 008 zur Festlegung von Verfahren im Zusammenhang mit der Anwendung bestimmter nationaler technischer Vorschriften für Produkte, die in einem anderen Mitgliedstaat rechtmäßig in den Verkehr gebracht worden sind, und zur Aufhebung der Entscheidung Nr. 305/95/EG (ABl. L 8 vom , S. ). Um sie im Bereich des gesetzlichen Messwesens angemessen anzuwenden und damit das Inverkehrbringen ausländischer Messgeräte in Deutschland zu gewährleisten, bedarf es geeigneter Ausführungsbestimmungen, die insbesondere das Verfahren zur Bewertung eines vergleichbaren Schutzniveaus von Produkten aus EU-Mitgliedstaaten regeln. Die Verordnung (EG) Nr. 765/008 des Europäischen Parlaments und des Rates vom 9. Juli 008 über die Vorschriften für die Akkreditierung und Marktüberwachung im Zusammenhang mit der Vermarktung von Produkten und zur Aufhebung der Verordnung (EWG) Nr. 339/93 des Rates (ABl. L 8 vom , S. 30) enthält umfassende Regelungen zur Marktüberwachung, denen im Bereich der metrologischen Überwachung (Abschnitt 6 des Artikel ) umfassend Rechnung getragen wurde. Hier ist es sinnvoll, im Interesse einer einheitlichen Anwendungspraxis gleich lautende Vorschriften zur Überwachung der europäisch wie auch der rein national geregelten Produkte zu verankern. Das Gesetz setzt ferner die Inhalte des Beschlusses Nr. 768/008/EG des Europäischen Parlaments und des Rates vom 9. Juli 008 über einen

3 M. Kahmann, PTB, Bundesallee 00, 386 Braunschweig, Begleitunterlagen zur. Zählerfachtagung am 7./8.9.o3 in Erfurt Seite 3 von gemeinsamen Rechtsrahmen für die Vermarktung von Produkten und zur Aufhebung des Beschlusses 93/465/EWG des Rates (ABl. L 8 vom , S. 8; im Folgenden: Beschluss Nr. 768/008/EG) um. Der Rechtsetzungsprozess auf der europäischen Ebene zur formellen Einbeziehung des Beschlusses in die jeweiligen Einzelrichtlinien ist noch nicht abgeschlossen. Für den Messgerätesektor hat die Kommission einen Vorschlag vorgelegt für eine Richtlinie des Europäischen Parlaments und des Rates zur Angleichung der Rechtsvorschriften der Mitgliedstaaten betreffend die Bereitstellung von Messgeräten auf dem Markt (KOM(0) 769 endgültig vom..0 und für eine Richtlinie des Europäischen Parlaments und des Rates zur Angleichung der Rechtsvorschriften der Mitgliedstaaten betreffend die Bereitstellung nichtselbsttätiger Waagen auf dem Markt (KOM(0) 766 endgültig vom..0. Da das laufende Rechtsetzungsverfahren sich jedoch darauf beschränkt, die im Beschluss enthaltenen Musterregelungen auf die Einzelrichtlinien zu übertragen, besteht weitestgehende Sicherheit über deren Inhalt, so dass bereits zum jetzigen Zeitpunkt eine Umsetzung dieser Vorschriften in deutsches Recht in Angriff genommen werden kann.. Regelungsumfang im Gesetz und in Verordnungen Mit Artikel des vorgelegten Gesetzentwurfs sollen die grundrechtsrelevanten Aspekte zur Regelung des gesetzlichen Messwesens konsequent im Gesetz geregelt Wesentliche Regelungsbereiche, die bislang in der Eichordnung angesiedelt waren, sollen daher zukünftig im Gesetz ihren Standort finden. Es ist geplant, auch in Zukunft außer dem Gesetz noch eine Verordnung zur Regelung materieller Fragen vorzusehen. Der zukünftigen Mess- und Eichverordnung soll die Ausfüllung der gesetzlichen Grundentscheidungen überlassen bleiben. Das gilt namentlich für die nähere Bestimmung der in den Anwendungsbereich des gesetzlichen Messwesens einzubeziehenden Messgeräte. Ein Katalog relevanter Messgeräte soll aus Gründen der Übersichtlichkeit und zur Gewährleistung einer rascheren Anpassung an technologische Entwicklungen ausschließlich auf der Verordnungsebene festgelegt 3. Verhältnis zu anderen Rechtsvorschriften Mit dem zukünftigen Mess- und Eichgesetz sollen die zur Gewährleistung richtigen Messens erforderlichen Regelungen geschaffen Insoweit sind das Gesetz und die darauf basierende Rechtsverordnung als abschließendes Regelwerk zu verstehen. Nicht ausgeschlossen ist allerdings die Anwendbarkeit weiterer Vorschriften, die andere Aspekte und damit andere Rechtsgüter in Bezug auf Messgeräte regeln. Soweit beispielsweise der Anwendungsbereich des Produktsicherheitsgesetzes (ProdSG) in Bezug auf bestimmte Messgeräte eröffnet ist, ist es deshalb ebenfalls, neben dem Mess- und Eichgesetz, zubeachten. Das Mess- und Eichgesetz ist daher keine Spezialregelung des Produktsicherheitsrechts im Sinne des Absatz 4 ProdSG. Gleiches gilt für das Verhältnis zu anderen Regelungen, soweit auch sie anderen Regelungszwecken dienen, wie beispielsweise die bundes- oder landesrechtlichen Datenschutzvorschriften. Auch sie sind neben den Vorschriften des gesetzlichen Messwesens zu beachten. 4. Vereinheitlichung der Regelungen über das Inverkehrbringen von Messgeräten Im geltenden deutschen Recht sind unterschiedliche Verfahren zu beachten, je nachdem, ob das Messgerät rein national geregelt ist oder ob es einer europäischen Richtlinie unterliegt. Dieser Umstand soll mit der Novelle beseitigt Soweit europarechtlich möglich, soll zukünftig ein einheitliches Verfahren bestehen, nach dem Messgeräte, die dem Anwendungsbereich des Gesetzes unterliegen, in Verkehr zu bringen sind. Dabei bietet es sich an, das europäische Modell des sogenannten neuen Ansatzes, das in den messgerätespezifischen Richtlinien bereits verankert ist, national einheitlich zu übernehmen. Der Regelungsansatz ist im deutschen Messwesen bereits seit Jahren zur Umsetzung der Richtlinie 004//EG des Europäischen Parlaments und des Rates vom 3. März 004 über Messgeräte (ABl. L 35 vom , S. ) und der Richtlinie 009/3/EG des Europäischen Parlaments und des Rates vom 3. April 009 über nichtselbsttätige Waagen (ABl. L vom , S. 6) verankert. Die Marktbeteiligten sind daher schon weitgehend mit dem Instrument vertraut. Abweichend zu regeln sind lediglich jene Messgeräte, die gegenwärtig noch von der Richtlinie 009/34/EG des Europäischen Parlaments und des Rates vom 3. April 009 betreffend gemeinsame Vorschriften über Messgeräte sowie über Mess- und Prüfverfahren (ABl. L 07 vom , S. 6) und deren Durchführungsrichtlinien erfasst Vorzusehen sind daher Vorschriften über eine EG-Bauartzulassung und eine EG- Ersteichung. Bereits jetzt steht jedoch fest, dass die Durchführungsrichtlinien mit Wirkung zum. Dezember 05 außer Kraft treten; lediglich bestimmte Vorschriften einzelner Richtlinien bleiben noch bis zum 30. November 05 gültig (siehe Richtlinie 0/7/EU des Europäischen Parlaments und des Rates vom 9. März 0 zur Aufhebung diverser Richtlinien über das Messwesen (ABl. L 7 vom 8.3.0, S. )). Mittelfristig wird damit in Deutschland der einheitliche Ansatz zur Regelung des Inverkehrbringens von Messgeräten realisiert sein.

4 M. Kahmann, PTB, Bundesallee 00, 386 Braunschweig, Begleitunterlagen zur. Zählerfachtagung am 7./8.9.o3 in Erfurt Seite 4 von Umfassende Einbindung technischer Regelwerke Die europäischen Richtlinien des sogenannten neuen Ansatzes sehen in breitem Maße eine Einbindung technischer Regelwerke vor, bei deren Beachtung widerleglich vermutet wird, dass das Produkt die in der Richtlinie bestimmten jeweiligen wesentlichen Anforderungen an die Produktqualität einhält. Für die rein national geregelten Messgeräte soll ein solcher Mechanismus ebenfalls etabliert werden, um die Rechtsetzung von technischen Einzelfragen zu befreien und somit eine Anpassung an technische Entwicklungen rascher vornehmen zu können. Zu diesem Zweck wird ein Regelermittlungsausschuss eingerichtet, der geeignete Regeln, technische Spezifikationen oder Bestimmungen ermitteln kann, die zur Umsetzung der jeweils in den Rechtsvorschriften enthaltenen unbestimmten Rechtsbegriffe mit technischem Inhalt geeignet sind. Um Überschneidungen mit dem europäischen Recht zu vermeiden, erhält der Ausschuss lediglich die Befugnis für jene Materien Regeln zu ermitteln, die nicht von europäischen harmonisierten Normen oder normativen Dokumenten abgedeckt sind. 6. Fertigpackungen und andere Verkaufseinheiten (( für Zählerfachleute ausgelassen mk)) 7. Eichung und Metrologische Überwachung Die Eichung von Messgeräten bleibt als hoheitlicher Akt erhalten. Sie wird sich zukünftig mit Ausnahme der oben unter Ziffer 4 erwähnten EG-Ersteichung allerdings auf den Bereich beschränken, der bislang als Nacheichung bezeichnet wurde. Zuständig für die Eichung sind auch weiterhin die nach Landesrecht zuständigen Behörden sowie bei Versorgungsmessgeräten zur Ermittlung des Verbrauchs von Elektrizität, Gas, Wasser oder Wärme auch die staatlich anerkannten Prüfstellen. Mit der Beibehaltung der staatlichen Eichung soll ein wichtiger Beitrag zur Aufrechterhaltung des bislang hohen Schutzniveaus im gesetzlichen Messwesen geleistet Die Entscheidung wurde unter Berücksichtigung aller Rahmenbedingungen getroffen, die insbesondere auch die mit der Verknüpfung von Eichung und Verwendungsüberwachung verbundenen Synergieeffekte und die Möglichkeiten einer europäisch geforderten verbesserten Marktüberwachung berücksichtigt. Die Aufgaben und Befugnisse der zuständigen Behörden werden im Abschnitt Metrologische Überwachung umfassend neu geregelt und decken die verschiedenen Aspekte behördlicher Überwachungstätigkeit in diesem Rechtsbereich ab: Die Marktüberwachung erfasst die Kontrolle der in Verkehr gebrachten und auf dem Markt bereit gestellten Produkte. Sie regelt das Verhältnis zwischen den am Inverkehrbringen und an der Marktbereitstellung Beteiligten einerseits und den zuständigen Behörden andererseits. Die vorgesehenen Bestimmungen sind europäisch stark beeinflusst, indem sie sich eng an den Vorschriften der Verordnung (EG) Nr. 765/008 orientieren. Die Regelungen dieser Verordnung gelten indes nur für europäisch harmonisierte Produkte. National bestimmte Messgeräte sind daher hinsichtlich der Überwachung auch weiterhin national zu regeln. Zur Gewährleistung einheitlicher Aufgaben und Befugnisse werden die Inhalte der europäischen Verordnung bezüglich der Marktüberwachung auch auf die national geregelten Messgeräte erstreckt. Dies wird für die Praxis der Überwachungsbehörden eine deutliche Vereinfachung bedeuten. Für die Phase der Nutzung von Messgeräten und deren Messwerten sind die Bestimmungen über die Verwendungsüberwachung vorgesehen. Sie regeln das Verhältnis der zuständigen Überwachungsbehörden zu denjenigen, die Messgeräte oder Messwerte verwenden. Die Vorschriften sind an der Systematik der Regelungen über die Marktüberwachung orientiert. Ziel ist auch hier eine konsequente Vollzugstätigkeit zu gewährleisten, die die Behörden mit den erforderlichen Befugnissen ausstattet. Einer klaren gesetzlichen Regelung der Eingriffs- und Überwachungsbefugnisse bedarf ferner das Verhältnis zwischen den zuständigen Behörden und den staatlich anerkannten Prüfstellen. Zwischen diesen entsteht durch den auf der Verordnungsebene näher ausgestalteten Beleihungsakt eine Sonderrechtsbeziehung. Gleichwohl bedarf es der gesetzlichen Regelung der hoheitlichen Eingriffs- und Überwachungsbefugnisse, da die staatlich anerkannten Prüfstellen private Einrichtungen sind. Deren Personal und deren Träger steht der verfassungsrechtliche Schutz der Grundrechte zu. Insofern bedarf es gesetzlicher Regelungen, wenn in diesen Schutzbereich eingegriffen werden soll. 8. Folgeänderungen In den Artikeln bis 6 werden die sich aus der Ablösung des Eichgesetzes durch das Mess- und Eichgesetz ergebenden Folgeänderungen geregelt

5 PTB-Anforderungen Smartmeter-Gateway Physikalisch- Technische Bundesanstalt PTB-A 50.8 November 03 Die PTB-Anforderungen (PTB-A) für die Zulassung zur innerstaatlichen Eichung, den Betrieb und die Verwendung von Smartmeter Gateways als Zusatzeinrichtung entsprechen den anerkannten Regeln der Technik im gesetzlichen Messwesen. Sie sind auch auf eichpflichtige Messgeräte anzuwenden, die die Funktionalität eines Smartmeter Gateways dieser Art enthalten, sofern andere Anforderungen nicht existieren. Diese Anforderungen wurden von der Vollversammlung für das Eichwesen im November 03 verabschiedet. Die Zulassung wird von der PTB erteilt, wenn die Bauart des Smartmeter Gateways den Anforderungen der Eichordnung sowie den nachstehenden Anforderungen entspricht. Die Bauart eines Smartmeter Gateways, die von diesen Anforderungen abweicht, wird zugelassen, wenn die gleiche Messsicherheit auf andere Weise gewährleistet ist. In diesem Fall werden die Anforderungen an die Bauart bei der Zulassung festgelegt ( 6 Abs. 3 der Eichordnung). Inhalt Begriffe Begriffe aus dem Gesetzlichen Messwesen Eichtechnische Begriffe Begriffe aus dem Anwendungsbereich In [TR] verwendeten Begriffe In [TR] verwendete Abkürzungen... 0 Einführung... 3 Gesetzliche Grundlagen und anerkannte Regeln der Technik... 4 Struktur des Dokuments... 5 Messsystemkomponente Smartmeter-Gateway entsprechend BSI - PP/TR Messwerterfassung und Messwertverarbeitung, Bildung neuer Messwerte Anforderungen an die Datenakquisition Funktionen zur Speicherung von Messgrößen zu festen Zeitpunkten bei der Datenakquisition Anforderungen an die Funktionen der Zählerprofile Anforderungen an ladefähige Zählerprofile Datenrepräsentation durch Zählerprofile Parametrierung der Zählerprofile Anforderungen an Auswerteprofile und Regelwerk Generelle Anforderungen zur Bildung neuer Messwerte durch das Regelwerk Eichrechtliche Anforderungen in Bezug auf Tarifanwendungsfälle und Parametrierung der Auswerteprofile Anforderungen an TAF: Datensparsame Tarife Anforderungen an TAF: Zeitvariable Tarife Anforderungen an TAF3: Lastvariable Tarife Anforderungen an TAF4: Verbrauchsvariable Tarife Anforderungen an TAF5: Ereignisvariable Tarife Anforderungen bei Abruf von Messwerten im Bedarfsfall (TAF 6) Anforderungen bei zentraler Tarifierung (TAF 7) Anforderungen an TAF8: Erfassung von Extremwerten für Leistung Anforderungen an TAF: Prepaid Tarif Erzeugung der Inhalte der Anzeige Generierung der Anzeige Darzustellende Inhalte... 3 Herausgegeben von der Physikalisch-Technischen Bundesanstalt PTB-A508Entwurf_3053_workshopfassung Speicherung von abrechnungsrelevanten Informationen Visualisierung zum Abschluss des Vorgangs Zeitrealisierung und Synchronisation SMUhr und Zeitstempelung Dauer der Gangreserve Genauigkeit der Uhrzeit Genauigkeit von Zeitspannen Zeitüberwachung der Datenakquisition von Zählern Fehlererkennung Eichlog Maßnahmen zum Schutz gegen Manipulationen Spezielle eichrechtliche Anforderungen an die Software Rückwirkungsfreiheit der SMSchnittstellen Generelle Anforderung zur Rückwirkungsfreiheit von Schnittstellen Schnittstelle zum Kundendisplay Schnittstelle zu steuerbaren Komponenten Schnittstelle zum (WAN) Schnittstelle zum Service-Techniker Schnittstelle zu den Einrichtungen des externen Marktteilnehmers Schnittstelle zur Verwenderüberwachung (WAN) Direkte Schnittstelle zum Terminal der Verwenderüberwachung (WAN) Übermittlung der Informationen an die Verwenderüberwachung über Direkte Schnittstelle zur Letztverbraucher-Anzeige (WAN) Schnittstelle zum LMN Eichrechtliche Anforderungen aus der vorgegebenen Softwarearchitektur Abbildung der Rollen Modell-Instanz für den Letztverbraucher Modell-Instanz für die Überwachungsbehörde Modell-Instanz für den Modell-Instanz für den Service-Techniker Modell-Instanz für den Externen Marktteilnehmer Verwaltung, eichrechtlich relevante Prozeduren und Prozesse Trennung gegen eichrechtlich nicht relevante Softwareteile Stromversorgung Messsystemkomponente Kundendisplay Funktionen des Kundendisplays Anforderungen an die Hardware des Kundendisplays Vorrichtungen Eichtechnische Sicherung Stromversorgung Messsystemkomponente Kommunikationsadapter Anforderungen an die Funktionen des Kommunikationsadapters Impulsübertragung Unidirektionale Übertragung Bidirektionale Übertragung Direkte Verbindung zwischen Encoder des Zählers und Kommunikationsadapter OCR-Kamera am Rollenzählwerk Bereitstellung von Informationen für das SMGW Messwerte, eichrechtlich relevante Datenbereiche Parameter des Kommunikationsadapters Eichrechtliche Parameter Unregistriert setzbare Parameter Eichlog Eichtechnische Sicherungen Schutz der Verbindungen Schutz der Verbindung zwischen Impulsgeber am Zähler und Eingang des Kommunikationsadapters Schutz einer unidirektionalen Verbindung zwischen Zähler und Kommunikationsadapter Schutz einer bidirektionalen Verbindung zwischen Zähler und Kommunikationsadapter Schutz der Verbindung zwischen Zählerstandsencoder und Eingang des Kommunikationsadapters Schutz der Übertragung des Zählerstands mittels OCR-Kamera Schutz des Programm-Codes Schutz des Registers für elektrische Arbeit / Volumen Schutz der eichrechtlich relevanten Parameter Schutz des Eichlogs Stromversorgung, Aufbau, Umgebungsbedingungen Komponente externer Zeitserver (WAN)... 6 PTB-A508Entwurf_3053_workshopfassung 3 PTB-A508Entwurf_3053_workshopfassung 4

6 8. Zeitserver beim Anhang A: Anforderungen an Betriebssysteme Sicherheit Bootvorgang Beschränkung der Bedienmöglichkeiten Abschottung der Programm- und Datenbereiche gegeneinander "Rückwirkungsfreiheit" der Schnittstellen Dienste Update des Betriebssystems Anhang A: Anerkannte Regeln der Technik im gesetzlichen Messwesen und Leitfäden PTB-Anforderung PTB-A WELMEC-Leitfaden WELMEC-Leitfaden Anhang A3: Zeitüberwachung der Datenakquisition Unidirektionale Übertragungsstrecke Bidirektionale kollisionsgefährdete Übertragungsstrecke... 7 Anhang A4: Prüfmethoden Anhang A5: Verwenderauflagen Anhang A6: Liste der mit-geltenden Anforderungen im Sinne des Eichrechts Literatur Begriffe. Begriffe aus dem Gesetzlichen Messwesen.. Eichtechnische Begriffe Begriff Zusatzeinrichtung (Eichgesetz) Zusatzeinrichtung (Mess- und Eichgesetz) Neue Messwerte Eichtechnisch relevante Daten einfach nachvollziehbare arithmetische Operation gesicherte Parameter Impulswertigkeit Messwertwiederholung Erklärung Zusatzeinrichtungen sind Teile von Messeinrichtungen, die der Ermittlung, Darstellung oder Weiterverarbeitung von Messwerten dienen. Sie verwenden die von einem zugelassenen Messgerät über eine Schnittstelle gelieferten Signale oder Daten. Nach 4 Eichgesetz stehen sie Messgeräten gleich und sind eichpflichtig. Ausnahmen von der Eichpflicht der Zusatzeinrichtungen sind in 9 Nr., 3 und 4 sowie Anhang A Nr. 5, 7 und 8 der Eichordnung geregelt. 3, Satz 3. Zusatzeinrichtung zu einem Messgerät ist eine mit einem Messgerät verbundene Einrichtung, die für die Funktionsfähigkeit des Messgeräts nicht erforderlich ist und zu einem der folgenden Zwecke bestimmt ist: a) zur Ermittlung zusätzlicher Messgrößen, b) zur erstmaligen Speicherung oder Darstellung von Messergebnissen zum Zweck des Verwendens von Messwerten oder von Daten über die elektronische Steuerung des Messgeräts, c) zur Steuerung von Leistungen, d) zur Ermittlung des zu zahlenden Preises einer Kaufsache oder einer Dienstleistung in Anwesenheit der betroffenen Parteien (Direktverkauf), e) zur Verarbeitung von Messergebnissen zum Zweck der Übermittlung an Zusatzeinrichtungen im Sinne der Buchstaben a bis d, f) zum Anschluss an eine nicht rückwirkungsfreie Schnittstelle des Messgeräts. Aus gemessenen Größen bestimmte Werte, ermittelt durch Zusatzeinrichtungsfunktionen, die folgenden Zwecken dienen: - Ermittlung zusätzlicher Messgrößen - Erstmalige Speicherung oder Darstellung von Messergebnissen zum Zweck des Verwendens von Messwerten - Steuerung von Leistungen - zur Ermittlung des zu zahlenden Preises einer Kaufsache oder einer Dienstleistung in Anwesenheit der betroffenen Parteien (Direktverkauf) Messwerte selbst und Daten, die Einfluss auf die Bildung der abrechnungsrelevanten Messwerte und auf eichtechnisch relevante Funktionen von Messgerät oder Zusatzeinrichtung haben (einschließlich gesicherter Parameter). Die vier Grundrechenarten mit folgenden Beschränkungen: a) Es ist in Bezug auf Messwerte nur ein Rechenschritt in der Grundrechenart erforderlich, der von der Anzeige am Messgerät zum entsprechenden in der Rechnung aufgeführten Wert führt, b) die einzusetzenden Werte sind vor Ort verfügbar (am Gerät angezeigte Werte oder in der Rechnung abgedruckte Konstanten). Parameter, die durch eine eichtechnische Sicherung geschützt werden oder deren Änderung in einem eichtechnischen Logbuch registriert wird. Wichtungsfaktor, mit dem die Zahl der eingegangenen Impulse multipliziert wird, um den entsprechenden Wert der zugeordneten physikalischen Größe zu erhalten. Werden Messwerte auf einem anderen Gerät als dem Messgerät zusätzlich dargestellt ( wiederholt ), so dass man diese jederzeit mit den am Messgerät angezeigten vergleichen kann, ist das Gerät, das die Werte zusätzlich darstellt nach 9 Eichordnung von der Eichpflicht ausgenommen. PTB-A508Entwurf_3053_workshopfassung 5 PTB-A508Entwurf_3053_workshopfassung 6 Begriff Ungesicherte Parameter UTC Zusatzfunktionen Erklärung Erfolgt die Wiederholung der Größen z.b. in einer Zentrale, wo auch die Rechnung erstellt wird, so kann die EDV-Anlage in der Zentrale von der Eichpflicht ausgenommen werden, wenn die Messwerte im Messgerät selbst oder einer anderen eichfähigen Einrichtung vor Ort gespeichert und zur Anzeige gebracht werden können (eichpflichtiger Messwertspeicher). Parameter, die nicht durch eine eichtechnische Sicherung geschützt oder deren Änderungen nicht in ein eichtechnisches Logbuch eingetragen werden müssen Universal Time Coordinated, Weltzeit. Die Mitteleuropäische Zeit MEZ ist UTC + h, die Sommerzeit MESZ ist UTC + h. Eichrechtlich relevante Funktionen eines Messgerätes oder einer Zusatzeinrichtung, die über die in der MID definierten hinausgehen und damit eine nationale Zulassung des betreffenden Gerätes erfordern... Begriffe aus dem Anwendungsbereich Begriff Abrechnungsperiode, Abrechnungszeitraum, Abrechnungsspanne Lastgang Tarif Tarifschaltzeit Tarifschaltprogramm Zählerstandsgang Erklärung Zeitraum (Tag, Monat oder Jahr), für den eine Abrechnung erstellt wird. Dieser Zeitraum kann sich aus Abrechnungsintervallen von einem oder mehreren Vertragspartnern zusammensetzen. Reihe fortlaufend ermittelter Messwerte (Verbrauch oder mittlere Leistung je Registrierperiode) in lückenlos aufeinander folgenden Registrierperioden und Speicherung der Messwerte am Ende jeder Registrierperiode (vgl. Zählerstandsgang). Zeitabhängiger Preis pro Energie- oder Volumeneinheit für den Kunden (z.b. Hoch- und Niedertarif). Die Messung erfolgt in verschiedenen, je einem Tarif zugeordneten Registern. Zeitpunkt, zu dem der Tarif wechselt und die Messung auf ein anderes Register umgeschaltet wird. Im Gerät gespeicherter Langzeitplan von Tarifschaltzeiten, der kalendarische Besonderheiten berücksichtigt. Reihe fortlaufend ermittelter Zählerstände in lückenlos aufeinander folgenden Registrierperioden und Speicherung der Zählerstände am Ende jeder Registrierperiode (vgl. Lastgang).. In [TR] verwendeten Begriffe Begriff Abgeleitete Register Abgeleitete Werteliste Abrechnungsrelevanter Messwert Abrechnungstechnischer Kalendertag Abrechnungszeitraum Auswertungsprofil Bilanzierung Bilanzkreis Bilanzkreisabrechnung Einspeisung Energiemenge Erzeugungsanlage Geräte-ID Geräte-ID des Zählers Gültigkeitszeitraum HAN-Kommunikationsprofil Kommunikationsprofil Konfigurationsprofile Lastgang Laststufe Letztverbraucherkennung Lieferant Messgröße Erklärung Container zur Aufnahme eines Datensatzes. Im Kontext der traditionell benutzten Formulierung entsprechen diese Container unter anderen den Tarifregistern in einem Zähler. Abgeleitete Register beinhalten die neuen Messgrößen. Container zur Aufnahme einer Liste von Datensätzen. Im Kontext der traditionell benutzten Formulierung entsprechen diese Container den Lastgängen / Zählerstandsgängen. Abgeleitete Wertelisten können auch originäre Messwerte beinhalten. Ein mit einem geeichten und zertifizierten SMGW empfangener bzw. berechneter, gültiger und zeitgestempelter Zahlenwert einer Messgröße zuzüglich seiner Einheit. Kalendertag, der für Abrechnungszwecke bei Strom um 0:00h und bei Gas um 6:00h beginnt. Zeitraum, für den eine Abrechnung erstellt wird. Ein Auswertungsprofil parametrisiert ein Regelwerk, für einen konkreten Anwendungsfall. Siehe Bilanzkreisabrechnung. Ein Bilanzkreis ist ein virtuelles Gebilde, das sich aus einer beliebigen Anzahl von Einspeise- und Entnahmestellen zusammensetzt und zum Zweck des Ausgleichs zwischen Einspeisung und Entnahme gegenüber dem jeweiligen Übertragungsnetzbetreiber eingerichtet wird. Gegenüberstellung von Energielieferungen und -bezügen für einen Bilanzkreis. Von einer Erzeugungs- oder Speicheranlage in ein Energienetz ein-gespeiste Energiemenge. Menge an Elektrizität oder Gas, soweit sie zur leitungsgebundenen Energieversorgung und Energieeinspeisung verwendet (Bei Gas bezeichnet der Begriff Energiemenge das Gasvolumen.) Anlage zur Erzeugung von Strom, die an das Elektrizitätsversorgungsnetz angeschlossen ist oder für Gas. Der eindeutige Bezeichner eines Gerätes. Der eindeutige Bezeichner des Zählers an dem der Letztverbraucher den Zähler eindeutig identifizieren kann. Der Zeitraum für den ein Regelwerk mit gleichbleibenden Parametern im SMGW arbeiten muss. Der Zeitraum kann im Fall einer Tarifabbildung an die Vertragslaufzeiten des Tarifs geknüpft sein. HAN-Kommunikationsprofile legen die Parameter für die Kommunikation des SMGW zu Letztverbrauchern oder Service-Technikern fest. Ein Kommunikationsprofil legt die Parameter für die Kommunikation zu einem autorisierten externen Marktteilnehmer im WAN oder dem SM fest. Oberbegriff für Auswertungsprofile, Kommunikationsprofile und Zählerprofile. Gesamtheit periodisch erfasster Energiemengen über einen Zeitraum. Siehe auch Registrierende Lastgangmessung. Einteilung einer Energiemenge, die in einem bestimmten Leistungsbereich verbraucht oder eingespeist worden ist. Laststufen sind spezielle Tarifstufen. Der im SMGW eindeutige Bezeichner für einen Letztverbraucher. Energielieferant, der seine Energie dem Letztverbraucher zur Verfügung und in Rechnung stellt. Physikalische Größe, die gemessen wird. PTB-A508Entwurf_3053_workshopfassung 7 PTB-A508Entwurf_3053_workshopfassung 8

7 Begriff Messsystem Messwert Messwertliste Messwertsatz Momentanleistung Netzbetreiber Netzzustandsdaten Neue Messgröße OBIS Originärer Messwert Proxy-Kommunikationsprofil Pseudonymisierung Rechnungssteller Regelwerk Registrierende Lastgangmessung Registrierperiode Statusinformation Tarif Tarifierung Tarifstufe Tarifumschaltanweisung (Steuersignal) Erklärung Ein Messsystem ist eine in ein Kommunikationsnetz eingebundene Messeinrichtung zur Erfassung der Energiemenge, die den tatsächlichen Energieverbrauch bzw. Energieeinspeisung und den tatsächlichen Nutzungszeitraum widerspiegelt. Ein mit einem Messsystem gemessener und erfasster Zahlenwert einer Messgröße zuzüglich seiner Einheit. Eine Messwertliste enthält alle Messwerte eines Zählers, die für Messwertverarbeitungen in einem Regelwerk verwendet Zusätzlich zum Messwert wird der Zeitstempel und die Statusinformation des Messwerts hinterlegt sowie der Grund für die Messwertverarbeitung. In der technischen Umsetzung kann die Messwertliste über eine abgeleitete Werteliste modelliert Eine Menge von Messwerten. Die von einem Zähler aktuell gemessene Leistung. (Die Momentanleistung darf nur dann zur Tarifierung herangezogen werden, wenn dies mit den eichtechnischen Vorgaben vereinbar ist.) Betreiber von Energieversorgungsnetzen. Netzzustandsdaten sind nicht abrechnungsrelevante Messwerte, die für Betriebsführungszwecke benötigt werden (z.b. Spannung, Phasenwinkel, Frequenz) und die nicht für Tarifierung oder Bilanzierung verwendet Vom SMGW aus physikalischen Messgrößen berechnete Messgröße. Messwerte neuer Messgrößen werden in abgeleiteten Registern abgelegt. Object Identification System. OBIS-Kennzahlen werden zur eindeutigen Identifikation von Messwerten und auch anderer abstrakter Daten verwendet. Ein mit einem Messgerät gemessener Zahlenwert einer Messgröße zuzüglich seiner Einheit. Ein Proxy-Kommunikationsprofil ist ein spezielles Kommunikationsprofil für die HAN Schnittstelle. Proxy-Kommunikationsprofile legen Parameter für die Kommunikation zu CLS im HAN und EMT im WAN fest. Bei der Pseudonymisierung im SMGW wird für den Versand von Messwerten die mit zu sendende Geräte-ID des jeweiligen Zählers durch ein Pseudonym ersetzt, um die Identifizierung des Zählers und damit des Letztverbrauchers zu erschweren. Das verwendete Pseudonym wird jeweils vom SM vorgegeben. Derjenige, der auf Basis der abrechnungsrelevanten Messwerte Rechnungen an einen anderen Marktteilnehmer stellt. Die Vorschrift zur Verknüpfung von Eingangsgrößen, Bedingungen und Berechnungen zur Umschaltung von Tarifen. Ein Regelwerk besteht aus mehreren Regeln, die auch abgeleitete Werte desselben Regelwerks verwenden können. Regelwerke werden vom Auswertungsprofil parametriert. Erfassung der Energiemenge pro Registrierperiode. Die Gesamtheit der Energiemengen über einen Zeitraum stellt einen Lastgang dar. Eine Registrierperiode ist der Zeitraum zur Ermittlung eines Energiemesswertes für einen Lastgang oder Zählerstandsgang. Zusätzliche Information zu einem Messwert. Siehe Tarifierung. Die Tarifierung ist ein Aufteilen der gemessenen elektrischen Energie bzw. Volumenmengen gemäß den hinterlegten Auswertungsprofilen in verschiedene Tarifstufen. Eine Tarifstufe bezieht sich auf den Anteil einer Energiemenge, die mit einem eigenen Preis abgerechnet werden soll. Tarifstufen werden den abgeleiteten Registern zugeordnet. Ein vom SM oder von einem autorisierten CLS übermittelte Anweisung für die Steuerung von Tarifumschaltungen im SMGW. Begriff Tarifumschaltliste Tarifumschaltzeitpunkt Tarifwechselliste Tarifwechselzeitpunkt Verbrauch Verbrauchsstufe Zähler Zählerprofil Zählerstand Zählerstandsgang Zählpunkt Erklärung Liste von Tarifumschaltzeitpunkten. Die Umschaltzeitpunkte können periodisch wiederkehrend sein. Der Liste ist auch ein Gültigkeitszeitraum zugeordnet sowie die OBIS- Kennzahl des entsprechenden abgeleiteten Registers (Tarifstufe). Zeitpunkt zu dem in eine bestimmte Tarifstufe geschaltet werden soll. Diese werden in Auswertungsprofilen parametriert. Liste von Tarifwechselzeitpunkten. Zeitpunkt zu dem in eine bestimmte Tarifstufe geschaltet worden ist. Hier sind die tatsächlichen aufgetretenen Ist-Zeitpunkte gemeint. Von einem Letztverbraucher verbrauchte Energiemenge. Tarifstufe, die bis zu einem bestimmten Verbrauch in Abrechnungszeitraum gilt. Ein Zähler ist ein Messgerät, das allein oder in Verbindung mit anderen Messeinrichtungen für die Ermittlung eines oder mehrerer Messwerte eingesetzt wird. Ein Zählerprofil beschreibt die Konfiguration für das SMGW, die notwendig ist, um mit einem Zähler zu kommunizieren und die aktuellen Messwerte zu erfassen. Der Zählerstand ist ein Messwert eines Zählers. Gemessen wird die Energiemenge die bis zum jeweiligen Ablesezeitpunkt verbracht oder eingespeist wurde. Gesamtheit periodisch erfasster Zählerstände über einen Zeitraum. Die Periodizität ist über die Registrierperiode gegeben. Netzpunkt, an dem die Energiemenge gemessen wird..3 In [TR] verwendete Abkürzungen Abkürzung CLS CMS EMT SM HAN KMU KWK LMN MAC MDL MSB PKCS RLM SMGW TLS TR URI VNB WAN Bedeutung Controllable Local System Cryptographic Message Syntax Externer Marktteilnehmer Smart Meter Gateway istrator Home Area Network Klein- oder mittelständisches Unternehmen Kraft-/Wärmekopplung Local Metrological Network Message Authentication Code Messdienstleister Messstellenbetreiber Public Key Cryptography Standards Registrierte Leistungsmessung Smart Meter Gateway Transport Layer Security Technische Richtlinie Uniform Ressource Identifier Verteilnetzbetreiber Wide Area Network PTB-A508Entwurf_3053_workshopfassung 9 PTB-A508Entwurf_3053_workshopfassung 0 Einführung Das Dritten Energiebinnenmarktpaket der Europäischen Union (009/7/EG) [] sieht eine Verpflichtung der EU-Mitgliedstaaten vor, nach einer entsprechenden Wirtschaftlichkeitsbewertung, für eine großflächige Einführung von intelligenten Energiezählern (smart metering) bis 00 zu sorgen. Weiterhin strebt die EU in ihrem Energieeffizienzplan das Ziel an, den Primärenergieverbrauch der EU- Mitgliedstaaten bis zum Jahr 00 um 0 Prozent zu reduzieren. Dazu wurde die EU-Energieeffizienz-Richtlinie in Kraft gesetzt und zuletzt im Oktober 0 in ihrer neusten Fassung erlassen (0/7/EU) []. Im nationalen Energieeffizienz-Aktionsplan (EEAP) der Bundesrepublik Deutschland gemäß EU- Richtlinie über Endenergieeffizienz und Energiedienstleistungen (006/3/EG) wird der nationale Umsetzungsweg vorangegangener Richtlinien mit gleicher Stoßrichtung beschrieben [3]. Die Ausweitung dieses Aktionsplans kumuliert in dem als Energiewende bekannten Maßnahmenpaket der Bundesregierung. Dort soll insbesondere durch eine Liberalisierung des Strom-Messwesens die Voraussetzung für die zügige Verbreitung der zeitgenauen Verbrauchsmessung (intelligente Messsystem - Smart Metering ) geschaffen Diese schaffen den Grundstein für eine aktivere Teilnahme des Endverbrauchers am Energiemarkt unter Wahrung seiner Persönlichkeitsrechte. Diese Anforderungen wurden durch eine Novellierung des Energiewirtschaftsgesetz (EnWG) vom 8. Juli 0 (letzte Änderung: 0. Dez. 0) Rechnung getragen. Dieses legt Regeln zur Einführung sog. intelligenter Messsysteme fest, die aus einem Messgerät und der zentralen Kommunikationseinrichtung, dem Smart-Meter Gateway, bestehen [4]. Insbesondere dürfen nur Messsysteme verwendet werden, die den eichrechtlichen Vorschriften entsprechen. Die im Juni 03 vom Bundesrat verabschiedete Novelle des Mess- und Eichgesetzes (MessEG) bildet auch die neuen technologische Entwicklungen und Veränderungen im Marktgeschehen ab. So wurden neue Bestimmungen aufgenommen, die beispielsweise eine angemessene eichrechtliche Behandlung der intelligenten Zähler (smart-meter) erlauben [5]. Die technischen Anforderungen an das Smartmeter Gateway, als national geregelte Zusatzeinrichtung im Sinne des Eichrechts, werden in den vorliegenden PTB-Anforderungen beschrieben. Um den im europäischen Binnenmarkt durch die Richtlinie 004//EG (MID) [MID] geregelten Zählern den Anschluss an das national geregelte Smartmeter Gateway zu ermöglichen, wird ein entsprechender Kommunikationsadapter benötigt. Die metrologischen Anforderungen an diesen werden hier beschrieben. Des Weiteren werden auch die metrologischen Anforderungen an den Zeitserver hier ebenfalls aufgenommen. Aufgrund der grundsätzlichen Bedeutung der Energieversorgung ist dem Schutz kritischer Infrastrukturen besonderes Augenmerk zu widmen. Besondere Schutzmaßnahmen für die Informationstechnik wurden vom Bundesamt für die Informationstechnik im Auftrag des Bundesministeriums für Wirtschaft und Technologie in einem Schutzprofil für das Smart-Meter Gateway und der zugehörigen Technischen Richtlinien zusammengefasst [7]. Diese werden von diesem Dokument berücksichtigt. 3 Gesetzliche Grundlagen und anerkannte Regeln der Technik {{Noch nicht fertig!}} 4 Struktur des Dokuments Die in dieser PTB-A 50.8 aufgestellten Anforderungen greifen die Anforderungen aus [PP] und [TR] auf und ergänzen sie in eichrechtlicher Hinsicht. Diese Dokumente betreffen nur das Smartmeter Gateway. Nach Eichrecht besteht aber ein Messsystem, das EnWG ( ) entsprechen soll, aus folgenden Komponenten: dem Messgerät (Zähler), gegebenenfalls einem Kommunikationsadapter, dem Smartmeter Gateway als Zusatzeinrichtung und einer Anzeigeeinheit. Die PTB-A 50.8 beinhaltet neben Anforderungen an das Smartmeter Gateway selbst (siehe Kapitel 5) zusätzlich auch Anforderungen an diejenigen Komponenten, die funktionell für ein eichrechtskonformes Messsystem mit Smartmeter Gateway erforderlich sind, nämlich den Kommunikationsadapter (Kapitel 7) und die Anzeigeeinheit, das Kundendisplay (Kapitel 6). Zähler (kompatibel mit LMN) LMN Kommunikationsadapter Zähler (nicht kompatibel mit LMN) SMGW Abbildung 4-: Messsystem mit Smartmeter Gateway Kundendisplay Zeitserver Einleitend wurde darauf hingewiesen, dass Zähler je nach Ausführungsform der europäischen Richtlinie MID unterliegen können. Diese Zähler müssen auch in einem Messsystem wie dem hier behandelten einsetzbar sein. Der Kommunikationsadapter wird benötigt, um MID-Zähler oder Bestandszähler die nicht die Sicherheitsanforderungen für die Kommunikation mit dem Smartmeter Gateway erfüllen können, dennoch verwenden zu können. Die Anforderungen an Zähler sind nicht in der PTB-A 50.8 enthalten. Das Messsystem benötigt auch die Anbindung an einen Zeitserver. Anforderungen an diesen Server werden in Kapitel 8 behandelt. Die folgenden Abschnitte des Dokuments orientieren sich an den Vorgaben der Technischen Richtlinie und enthalten zu den einzelnen Problemstellungen jeweils die folgenden Aussagen: Nennung der Thematik und Verweis auf die entsprechenden Abschnitte der [TR] Für die Thematik relevante, aus dem Eichrecht abgeleiteten Anforderungen aus PTB-A 50.7, WELMEC-Leitfaden 7. oder WELMEC-Leitfaden. Spezifische Interpretation dieser Anforderungen hinsichtlich der jeweiligen Thematik Angabe von Beispielen für geeignete technische Lösungen, soweit notwendig, um die geforderte Realisierungsqualität zu verdeutlichen HAN WAN PTB-A508Entwurf_3053_workshopfassung PTB-A508Entwurf_3053_workshopfassung

8 5 Messsystemkomponente Smartmeter-Gateway entsprechend BSI - PP/TR 5. Messwerterfassung und Messwertverarbeitung, Bildung neuer Messwerte In [TR, 4.3] wird das Konzept der Messwerterfassung und Messwertverarbeitung beschrieben. Dieses muss aber zur lückenlosen Beschreibung der metrologischen Eigenschaften eines Messsystems in etwas anderer Form dargestellt Es ist üblich [A50.7-3, W7., OIML D3], den Datenfluss in einem Messsystem ausgehend von den Signalen eines Sensors über die Messwertverarbeitung bis zur Anzeige zu verfolgen und an die einzelnen Abschnitte Anforderungen hinsichtlich Datenrepräsentation und Funktionalität zu stellen. Mit dieser Betrachtungsweise ergeben sich für das SMGW die folgenden Messsystembestandteile in der vom Datenfluss vorgegebenen Reihenfolge: Datenakquisition von am LMN angeschlossenen Zählern und Kommunikationsadaptern. Erstmalige Speicherung. Vereinheitlichung der unterschiedlichen Übertragungs- und Datenformate in ein einheitliches Darstellungsformat, den originären Messwertlisten (siehe 5..). Verarbeitung der in einheitlichen Messwertlisten bereitgehaltenen aktuellen originären Messwerte zu neuen Messwerten nach den Vorgaben eines Regelwerkes (siehe 5..) einschließlich erstmaliger Speicherung berechneter Messwerte. Erzeugung der Inhalte der Messwertanzeige. Übertragung der darzustellenden Inhalte an das Kundendisplay und Darstellung auf dieser Komponente (siehe und 6). Speicherung aller abrechnungsrelevanten Informationen bis zum Abschluss des geschäftlichen Vorgangs. Schutz der gespeicherten Informationen gegen Manipulationen (siehe 5...4). Überprüfung der gespeicherten Informationen auf Manipulationen und Visualisierung zum Abschluss des Vorgangs (siehe 5...5). Zählerstand Datenakquisition Originäre Messwertliste Regelwerk Abgeleitete Messwertliste Aktuelle Messwertdarstellung (HTML-Seite) http-server Browser Abbildung 5-: Eichrechtlich relevante Software des SMGW 5.. Anforderungen an die Datenakquisition Eine der wichtigsten eichrechtlich relevanten Funktionen des SMGW ist die Datenakquisition von allen am LMN direkt oder über Kommunikationsadapter angeschlossenen Zählern. Diese Funktionalität wird gemäß TR im SMGW durch Zählerprofile realisiert. [TR, 4.4.]: Ein Zählerprofil beschreibt die Konfiguration für das SMGW, die notwendig ist, um mit einem Zähler zu kommunizieren und die aktuellen Messwerte zu erfassen. Zählerprofile MÜSSEN die folgenden Parameter beinhalten: Aus eichrechtlicher Sicht muss ein Zählerprofil differenzierter betrachtet Es beinhaltet Den spontanen Empfang oder die Abfrage der Zählerstände in festen Zeitintervallen synchron zur gesetzlichen Zeit. Die Kommunikation über unterschiedliche Protokolle, die gegebenenfalls anpassbar sein müssen. Die Umwandlung der unterschiedlichen Datenformate der verwendeten Zähler in ein einheitliches Format und anschließende Speicherung der Messwerte in den originären Messwertlisten. Im Folgenden wird unterschieden nach Anforderungen an Funktionen, Datenrepräsentation und Parametrierung der durch Zählerprofile realisierten Datenakquisition Funktionen zur Speicherung von Messgrößen zu festen Zeitpunkten bei der Datenakquisition 5... Anforderungen an die Funktionen der Zählerprofile Die TR definiert die Zählerprofile folgendermaßen: [TR, 4.3., 4.3.3]: Das SMGW MUSS zu jedem angeschlossenen Zähler aktuelle Zählerstände der relevanten gemessenen Messgrößen vorhalten. Zu jedem Zählerstand MÜSSEN der Zeitstempel des Eingangs, die Statuszusatzinformationen des Zählers und das vom SMGW gebildete Statuswort abgelegt Wie einleitend dargelegt, sind hier mehrere eichrechtlich relevante Details enthalten, so dass die folgenden Anforderungen zu berücksichtigen sind: PTB-A 50.7: Bildung neuer Messwerte 3..7 Uhr 3.. Impulsschnittstellen (Messwertwiederholung) Archiv Archiv Abgeleitete Archiv Abgeleitete Abgeleitete Messwertliste Messwertliste Messwertliste Generierung Messwertdarstellung Rechnungskompatible Darstellung (HTML-Seite) Daraus werden die folgenden spezifischen Anforderungen an die Funktionalität der Datenakquisition abgeleitet: Das SMGW muss die eingehenden Messwerte in die unten definierten Datenstrukturen für Messwertlisten schreiben. Das SMGW muss alle aus dem LMN empfangenen Datenformate in die einheitliche Datenstruktur originären Messwertliste ), transformieren. Diese Ein- Speicherung zum Abschluss des Vorgangs Visualisierung zur Rechnungsprüfung ) Die im Datenfluss erste Messwertliste hier immer originäre Messwertliste genannt. Die zweite Messwertliste, die die Berechnungsergebnisse der Tarifanwendungsfälle enthält, wird wie in [TR] abgeleitete Messwertliste genannt. PTB-A508Entwurf_3053_workshopfassung 3 PTB-A508Entwurf_3053_workshopfassung 4 tragung muss am Ende jeder Registrierperiode im gerade aktuellen Feld des originären Messwertlisten-Arrays erfolgen. Das SMGW muss eine Uhr besitzen, die mit der gesetzlichen Zeit synchronisiert wird (siehe Abschnitt 5.., [TR, 3..6]). Mithilfe dieser Uhr muss das SMGW die Abfragezeitpunkte vorgeben bzw. das Empfangszeitfenster bestimmen. Das SMGW muss weiterhin kontrollieren, ob die Messwerte innerhalb der zeitlichen Fehlergrenzen ermittelt und empfangen wurden (siehe Anhang A3, Abschnitt ). Anmerkung: Die in [TR, ] beschriebenen Maßnahmen zur Zeitsynchronisation erhöhen die Verfügbarkeit des Systems. Eichrechtlich relevant ist die Überwachung der Fehlergrenzen durch das SMGW wie sie in Anhang A3, Abschnitt beschrieben ist. Besondere Anforderungen zur Kommunikation im LMN Das SMGW muss jederzeit bereit sein, Telegramme, die von am LMN angeschlossenen Zählern mit unidirektionalem Kommunikationskanal gesendet wurden, zu empfangen und sofort weiter zu verarbeiten. Die Überprüfung auf Einhaltung von zeitlichen Fehlergrenzen muss dabei entsprechend Abschnitt. erfolgen. Das SMGW muss von allen am LMN angeschlossenen Zählern und Kommunikationsadaptern, die einen bidirektionalen Kommunikationskanal haben, in festen Zeitabständen (Registrierperioden), synchron zur gesetzlichen Zeit den aktuellen Zählerstand abfragen. Die Überprüfung auf Einhaltung von zeitlichen Fehlergrenzen muss dabei entsprechend Abschnitt. erfolgen. Unter bestimmten Bedingungen ist es erforderlich, den Zählerstand am Kundendisplay zu wiederholen (siehe 7.5.), damit der Letztverbraucher diesen mit dem Originalzählerstand vergleichen kann. In diesem Fall muss das SMGW so häufig, wie es die Systemauslastung zulässt, Messwerte spontan empfangen oder anfordern und sie an das Kundendisplay weiterleiten und nicht nur diejenigen, die in die für die Abrechnung relevanten Zeitfenster der Registrierperioden fallen (Abschnitt ). Anmerkung: Ist eine Kontrollanzeige nicht gemäß 6.5. aus eichrechtlichen Gründen erforderlich, so wird die flüssige Darstellung von nicht abrechnungsrelevanten Zwischenwerten auf dem Kundendisplay empfohlen um eine Kontrolle des Energieverbrauchs zu ermöglichen und eine ergonomische Bedienschnittstelle zu realisieren. Anforderungen an die Fehlerregistrierung beim Empfang von Zählerdaten Zähler können Informationen über den Fehlerstatus eines gesendeten Messwertes mit versenden. Ist dies der Fall, darf diese Information nicht verloren gehen. Die TR fordert deshalb: [TR, 4.3.4]: [TR, ]: Bevor ein aus dem LMN versendeter Zählerstand zur weiteren Verarbeitung durch das SMGW verwendet werden darf, muss das SMGW prüfen, ob der gelieferte Messwert technisch korrekt ist und zur Abrechnung herangezogen werden darf. Dazu werden neben dem eigentlichen Zählerstand auch die vom Zähler versendeten Statusinformationen und der Betriebszustand des SMGW geprüft.... Enthält der vom SMGW empfangene Messwert eine solche Statusinformation, so muss das SMGW die in Tabelle 36 beschriebenen Aktionen durchführen. Der empfangene Messwert darf nicht zur Bildung oder Veränderung von abgeleiteten Registern durch das SMGW verwendet Zusätzlich MUSS das SMGW eigene Prüfungen durchführen, um festzustellen, ob der gelieferte Messwert technisch korrekt ist und ob der Betriebszustand des SMGW eine Bildung oder Änderung von abgeleiteten Registern zulässt. Alle notwendigen Prüfungen, die mindestens vom SMGW durchgeführt werden MÜSSEN, sind in Tabelle 37 beschrieben. Zusätzlich KÖNNEN weitere Prüfungen durchgeführt Diese Aussagen der TR entsprechen den eichrechtlichen Anforderungen, jedoch sind die folgenden Ergänzungen notwendig. Die Codierung der Fehlerinformation von den verschiedenen Zählern ist nicht einheitlich. Daraus ergibt sich die Anforderung: Vor der Übernahme empfangener Zählerstände muss das SMGW die mit gesendeten Statusinformationen prüfen und in einen einheitlichen Fehlercode transformieren. Beispiel für eine akzeptable technische Lösung für eine einheitliche Fehlercodierung von Zählerfehlern {Evtl. mit level von [TR, Tabelle 4] zusammenführen}: 0 - Kein Fehler - Warnung, keine (eichrechtliche) Aktion notwendig, Messwert gültig - Temporärer Fehler, gesendeter Messwert ist ungültig, es befindet sich ein (automatisch gebildeter) Ersatzwert im Messwertfeld. 3 - Temporärer Fehler, gesendeter Messwert ist ungültig, kein automatisch gebildeter Ersatzwert vorhanden. 4 - Fataler Fehler, Zähler oder Übertragungsstrecke defekt, der aktuelle gesendete und alle zukünftigen Messwerte sind ungültig. Tabelle 5-: Codierung von eichrechtlich relevanten Fehlern Anmerkung: Es ist zulässig, auch Zähler anzuschließen, die keinen Fehlerstatus senden können, z.b. einfache MID-Zähler. Der Fehlercode muss in das Statusfeld des aktuell indizierten originären Messwertlisten- Elements eingetragen und für die Lebensdauer des Messwertes oder Platzhalters beibehalten Falls der Zähler oder Kommunikationsadapter die Nutzdaten mit einer Inneren Signatur [TR, ] versehen hat (siehe7.5., Sicherungsvariante IIIa), muss das SMGW diese vor der Übernahme des Messwertes in die originäre Messwertliste prüfen und einen Fehlerstatus setzen (Fehlercode oder 3), falls eine Diskrepanz besteht. Gemäß [TR, ] muss das SMGW noch weitere Fehler ermitteln. In Abschnitt 5.3 werden verschiedene Fehlererkennungsmaßnahmen zusätzlich zu denjenigen in [TR, Tabelle 37] gefordert. Diese Fehler müssen ebenfalls mit dem einheitlichen Fehlercode im Statusfeld des aktuell indizierten originären Messwertlisten-Elements registriert Ein fataler Fehler eines Zählers muss nicht nur in der Messwertliste, sondern zusätzlich im Eichlog registriert Die Felder eines Messwertlisten-Elements dürfen nicht undefiniert bleiben. Auch wenn zum Registrierungszeitpunkt (am Ende der Registrierperiode) kein auswertbares Teleg- PTB-A508Entwurf_3053_workshopfassung 5 PTB-A508Entwurf_3053_workshopfassung 6

9 ramm empfangen worden ist, müssen in jedes Feld definierte Werte eingetragen und anschließend das nächste Array-Element indiziert 5... Anforderungen an ladefähige Zählerprofile Zählerprofile werden im SMGW als COSEM-Interface-Klassen abgebildet. [TR, 3..4.]: Datenmodellierung mit COSEM-Interface-Klassen. Die Modellierung der Datenstrukturen des SMGW für Metering und istration MUSS mit Hilfe von COSEM Interface-Klassen aus dem Standard [IEC ] und den OBIS Codes aus den Standards [IEC ] und [EN 3757-] geschehen. Da COSEM-Objekte serialisiert werden können, gilt die folgende eichrechtliche Anforderung: Wenn die Funktionen der Datenakquisition durch ladefähige Software (z.b. serialisierte COSEM-Objekte) realisiert werden, müssen die Download-Anforderungen entsprechend Anhang A, Abschnitt 0., D-D4 und die Softwaretrennung gemäß erfüllt 5... Datenrepräsentation durch Zählerprofile Anforderungen an die Datenrepräsentation bei der Datenakquisition: Jeder Messgröße, die ein realer Zähler liefert, muss die Instanz einer originären Messwertliste zugeordnet sein (siehe ). Beispiel für eine akzeptable technische Realisierung der originären Messwertliste: - Die Messwertliste ist als ein Array realisiert, das für jede Registrierperiode des Abrechnungszeitraumes ein Element besitzt. - Jedes Element des Arrays besteht aus einem Tupel aus Messwert (momentaner Zählerstand), Zeitstempel (Zeitpunkt der Messwertermittlung) und einem Feld für einen Fehlerstatus zu dieser Messung [TR, 4.3.3]. - Beinhaltet das von einem Zähler oder Kommunikationsadapter empfangene Telegramm eine Innere Signatur [TR, ], so enthält das Array-Element zusätzlich zu dem genannten Tupel auch vollständig das empfangene Tupel, über das die Signatur gebildet worden ist. Dieses empfangene Tupel bleibt bei der weiteren Verarbeitung und Verwendung unverändert erhalten, damit beim Abschluss des Vorgangs (Rechnungsprüfung) die originären Messwerte auf Authentizität und Integrität überprüft werden können. Jedem realen Zähler muss eine Instanz einer Datenstruktur für den momentanen Zählerstand zugeordnet sein. Diese wird nur benutzt, wenn der Zählerstand auf dem Kundendisplay angezeigt werden soll. Auf die genannten Daten darf nur von eichrechtlich relevanter Software zugegriffen werden können Parametrierung der Zählerprofile [TR, 4.4.]: Ein Zählerprofil beschreibt die Konfiguration für das SMGW, die notwendig ist, um mit einem Zähler zu kommunizieren und die aktuellen Messwerte zu erfassen. Zählerprofile MÜSSEN die folgenden Parameter beinhalten (Tabelle 38). Die darauf anzuwendenden eichrechtlichen Anforderungen sind: PTB-A Eichtechnisches Logbuch WELMEC Parameterlisten P7/U7 Parameterschutz Eichrechtlich relevante Parameter der Datenakquisition: Die Zählerprofile werden durch die in [TR, 4.4., Tabelle 38] angegebenen Parameter an die Erfordernisse angepasst. In Tabelle 5- wird eine Einteilung vorgenommen, welche der in der TR genannten Parameter eichrechtlich relevant sind. Bei der Inbetriebnahme sind der Erstkonfigurator und der dafür verantwortlich, dass die Zuordnung von Zähler zu originärer Messwertliste richtig erfolgt. Das SMGW muss sicherstellen, dass diese Zuordnung im laufenden Betrieb immer erhalten bleibt und bei einer Änderung ein Eintrag im Eichlog erfolgt. Falls ein Zähler oder Kommunikationsadapter die Nutzdaten mit einer Inneren Signatur [TR, ] versehen hat (siehe7.5., Sicherungsvariante IIIa), muss dessen öffentlicher Schlüssel als weiterer eichrechtlich relevanter Parameter bei der Erstkonfiguration / Integration im SMGW gespeichert Die eichrechtlich relevanten Parameter dürfen nicht ohne Eintrag in das Eichlog geändert werden können. # Parameter Beschreibung Eichrechtlich relevant Geräte-ID Der eindeutige Bezeichner des Zählers. Kommunikationsszenario 3 Kommunikationstyp Legt das Kommunikationsszenario fest (unidirektional, bidirektional). Legt fest, ob TLS oder das symmetrische kryptographische Verfahren für die Sicherung der Kommunikation verwendet werden soll. 4 Protokoll Das Protokoll für die Kommunikation mit dem Zähler. 5a Schlüsselmaterial Auswahl des Schlüsselmaterials für die Absicherung der Kommunikation mit dem Zähler. 5b Schlüsselmaterial Eichrechtliche Ergänzung: 6a Intervall Registrierperiode Öffentlicher Schlüssel für die Innere Signatur (abhängig von den im LMN verwendeten Zählern) Das Intervall, in dem Messwerte vom Zähler empfangen bzw. ausgelesen werden müssen und in dem der im SMGW vorgehaltene aktuelle Zählerstand aktualisiert werden muss. 6b Anzeigeintervall Eichrechtliche Ergänzung: Intervall, mit dem der aktuelle Zählerstand (nur während der Anzeige) aktualisiert werden muss. 7 Saldierend Legt fest, ob der Zähler ein saldierender Zähler ist und seine Zählerstände sowohl größer als auch kleiner werden können. 8 OBIS-Kennzahlen der Messgrößen OBIS-Kennzahl gemäß EN PTB-A508Entwurf_3053_workshopfassung 7 PTB-A508Entwurf_3053_workshopfassung 8 # Parameter Beschreibung 9 Wandlerfaktor Beträgt bei direkt anzuschließenden Zählern immer. Bei Verwendung von Wandlerzählern kann der Faktor abweichend sein. Eichrechtlich relevant Tabelle 5-: Parameter des Zählerprofils, eichrechtliche Bewertung und Ergänzung der [TR, Tabelle 38] 5.. Anforderungen an Auswerteprofile und Regelwerk 5... Generelle Anforderungen zur Bildung neuer Messwerte durch das Regelwerk In [TR, 4] ist beschrieben, wie die Weiterverarbeitung der in den originären Messwertlisten bereitgestellten Messwerte erfolgen muss. Die Software, die diese Weiterverarbeitung durchführt, wird als Regelwerk bezeichnet. [TR, 4.3.]: Regelwerke verarbeiten die erfassten originären Messwerte und speichern die Ergebnisse in abgeleiteten Registern bzw. in abgeleiteten Wertelisten, die dann für den Versand an externe Marktteilnehmer vorgehalten Abgeleitete Register bzw. Wertelisten werden vom SMGW für die Modellierung der verschiedenen Tarifstufen aus den Anwendungsfällen (s. Kapitel 4.) verwendet. Dieser Softwareteil dient dazu, aus gemessenen Werten neue Messwerte zu generieren und ist deshalb eichrechtlich von besonderer Bedeutung. Folgende Anforderungen sind hier relevant: PTB-A 50.7 Bildung neuer Messwerte MEG 3 (3) Zusatzeinrichtung In Abschnitt 5... werden die daraus abgeleiteten speziellen eichrechtlichen und metrologischen Anforderungen an die Realisierung jedes Tarifanwendungsfalls im Einzelnen behandelt. Hier folgen die für alle Tarifanwendungsfälle geltenden Softwareanforderungen an die Funktionalität, Datenrepräsentation und Parametrierung. Anforderungen an die Funktionalität von Auswerteprofilen und Regelwerk: Das Regelwerk darf nur die Daten aus den originären Messwertlisten (siehe 5...) als Eingangsdaten verwenden, um daraus neue Messgrößen zu berechnen. Die Ergebnisse müssen in der Datenstruktur abgeleitete Messwertlisten gespeichert Es dürfen Messwerte aus mehreren originären Messwertlisten als Eingangsdaten verwendet werden, die zu einer abgeleiteten Messwertliste mit arithmetischen Operationen zusammengeführt werden; die Eingangsdaten müssen aber ein und demselben Letztverbraucher zugeordnet sein. Wenn ein Eintrag in der originären Messwertliste als fehlerhaft gekennzeichnet ist, müssen alle Ergebnisfelder in der abgeleiteten Messwertliste, auf die sich dieser fehlerhafte Eingangswert auswirkt, für den Letztverbraucher ebenfalls als fehlerhaft markiert Die Operationen des Regelwerkes dürfen nicht dazu führen, dass die berechneten Messwerte in den abgeleiteten Messwertlisten die Fehlergrenze von % nicht mehr einhalten. Der Wechsel des für den Letztverbraucher gültigen Auswerteprofils (Regelwerk und Parameter) eines Tarifanwendungsfalls N wird initiiert durch die in dem Feld Gültigkeitszeitraum der Tabellen in den Abschnitten [TR, 4...N.] festgelegten Zeitpunkte für An- ) Bei Bündelkunden müssen die Eingangsdaten ein und demselben Rechnungsschuldner zugeordnet sein. fang und Ende. Nachdem der diesen Zeitraum eingetragen hat, müssen alle mit dem Wechsel verbundenen Operationen automatisch ablaufen, ohne weitere Aktionen des. Da die Parameter für die einzelnen Tarifanwendungsfälle frei vom eingegeben werden können, muss das Regelwerk alle Parameter auf Einhaltung zulässiger Wertebereiche und anderer Bedingungen abprüfen. Die entsprechenden Grenzwerte und Bedingungen werden in Abschnitt 5... angegeben. Wird bei der Prüfung erkannt, dass die Grenzwerte nicht eingehalten werden, darf der eingegebene Parameter nicht aktiviert Es muss ein entsprechender Eintrag im Eichlog und eine Rückmeldung an den erfolgen. Abhängig von der vorliegenden Infrastruktur und von den Anforderungen der Externen Marktteilnehmer kann es erforderlich sein, einzelne Messwerte, abgeleitete Messwertlisten oder sonstige eichrechtlich relevante Informationen mit einer inneren Signatur zu versehen. Wenn die hier beschriebenen Funktionen durch ladefähige Software (z.b. serialisierte CO- SEM-Objekte) realisiert werden, müssen die Download-Anforderungen entsprechend Anhang A, Abschnitt 0 erfüllt Anforderungen an die Datenrepräsentation von Auswerteprofilen und Regelwerk: Jedem Tarifanwendungsfall muss genau eine Instanz einer abgeleiteten Messwertliste zugeordnet sein. (Diese befindet sich in der Datendomäne der Letztverbraucher-Instanz, siehe ) Bei Tarifanwendungsfällen, die auf Registrierperioden beruhen, muss die abgeleitete Messwertliste als Datenstruktur realisiert sein, die mindestens aus einem Kopf mit Informationen zu diesem Objekt und einem Array besteht (Registrierperioden-Array). - Der Kopf enthält: ID der TAF, Liste von IDs der originären Messwertlisten (oder Zähler-IDs), die als Eingangsdaten verwendet wurden, gegebenenfalls weitere Daten, wenn es der Tarifanwendungsfall erfordert. - Das Array besitzt für jede Registrierperiode des Abrechnungszeitraumes ein Element. - Jedes Element des Arrays besteht aus einem Tupel aus Messwert (momentaner Zählerstand), Zeitstempel (Zeitpunkt der Messwertermittlung) und einem Feld für einen Fehlerstatus des berechneten Messwertes. Bei Tarifanwendungsfällen, die unabhängig von Registrierperioden eine vorgegebene Zahl von Tarifregistern benötigen (z.b. TAF 4), muss die abgeleitete Messwertliste als Datenstruktur realisiert sein, die mindestens aus einem Kopf mit Informationen zu diesem Objekt und einer Tarifregisterliste besteht. - Der Kopf der abgeleiteten Messwertliste enthält: ID der TAF, Liste von IDs der Messwertlisten (oder Zähler-IDs), die als Eingangsdaten verwendet wurden, gegebenenfalls weitere Daten, wenn es der Tarifanwendungsfall erfordert. - Jedes Element der Tarifregisterliste besteht mindestens aus einem Tupel aus Bezeichnung und ID des Registers, Messwert (letzter Zählerstand), und einem Feld für einen Fehlerstatus des berechneten Messwertes. Kein Account (siehe 5.6..) darf Schreibzugriffe auf eine abgeleitete Messwertliste erhalten. Nur die nicht rollen-gebundene eichrechtlich relevante Systemsoftware darf verändernde Operation ausführen können. PTB-A508Entwurf_3053_workshopfassung 9 PTB-A508Entwurf_3053_workshopfassung 0

10 Wird der Tarifanwendungsfall gewechselt, so muss sichergestellt werden, dass keine ungewollte Mehrfach-Tarifierung möglich ist. - Zum Zeitpunkt des Wechsels wird sofort eine neue Instanz der abgeleiteten Messwertliste vom passenden Typ in der Datendomäne des betreffenden Letztverbrauchers erzeugt (siehe ). - Die Instanz der alten abgeleiteten Messwertliste bleibt erhalten, sie wird aber sofort schreibgeschützt. Sie wird automatisch komplett gelöscht, wenn die Einspruchsfrist nach der nächsten Rechnungslegung verstrichen ist. Dieser Wert ist durch den parametrierbar. Eichrechtlich relevante Parameter von Auswerteprofilen und Regelwerk: Die Parametrierung des Regelwerkes erfolgt durch so genannte Auswerteprofile, welche abhängig vom jeweiligen Tarifanwendungsfall sind. Die Parameter sind für jeden Tarifanwendungsfall N in [TR, 4...N.] tabellarisch zusammengestellt. In Abschnitt 5... werden diese Parameter in eichrechtlich relevante und unregistriert setzbare eingeteilt und gegebenenfalls weitere ergänzt. Die darauf anzuwendenden eichrechtlichen Anforderungen sind: PTB-A Eichtechnisches Logbuch WELMEC Parameterlisten P7/U7 Parameterschutz 5... Eichrechtliche Anforderungen in Bezug auf Tarifanwendungsfälle und Parametrierung der Auswerteprofile Im folgenden Abschnitt werden von den in [TR, 4..] definierten Tarifanwendungsfälle speziell diejenigen betrachtet, die eichrechtlichen Anforderungen unterliegen, weil neue Messwerte gebildet werden oder weil eine Speicherung von Zählerständen synchron zur gesetzlichen Zeit erfolgt (TAF,, 3, 4, 5, 7, 8, ). Die Parameter werden jeweils in [TR, 4...N.] für den jeweiligen TAF N genannt, wobei die bei allen Tabellen gleichen Einträge in der folgenden Tabelle 5-3 zusammengestellt sind. Bei einigen TAF werden die Funktionen und Parameter des Regelwerkes gegenüber der Definition in der TR genauer spezifiziert. Die als eichrechtlich relevant gekennzeichneten Parameter müssen durch eine eichtechnische Sicherung gegen unzulässige Veränderung geschützt sein. Dies wird durch die PP- und TR-Anforderungen abgedeckt, es sind jedoch die Beschränkungen der Eingriffsmöglichkeiten des zu beachen (siehe ). In den hier wiedergegebenen Tabellen sind zusätzlich zu den Angaben in der TR zulässige Grenzen und Bedingungen für bestimmte Parameter angegeben, die bei der Erst-Konfiguration oder Integration vom Service-Techniker und oder die vom SMGW beim Laden eines Auswerteprofils automatisch überprüft werden müssen. {{ Hinweis: Für die in der TR formulierten Tarifanwendungsfälle fehlt bislang noch eine Ausspezifizierung, die klar genug wäre, um eichrechtliche Anforderungen an die TAF endgültig formulieren zu können. Diese Feinspezifikation erfolgt derzeit in Kooperation zwischen einschlägigen DV und VDE-Gremien sowie dem BSI. Nach Vorliegen der Datenmodelle aus dieser Zusammenarbeit werden die PTB-Anforderungen basierend auf diesen eindeutigen Funktions-Beschreibungen ausformuliert. Vor diesem Hintergrund sind die in den Abschnitten 5... bis ausgeführten Anforderungen lediglich als erster Versuch der Schaffung einer Ausgangsbasis für die späteren verbindlichen Regelungen zu verstehen.}} # Parameter Beschreibung Tabelle 5-3: Geräte-IDs der Zähler OBIS-Kennzahl der zu verwendenden Messgröße des Zählers Zählpunktbezeichnung Abrechnungszeitraum Zugriffsberechtigungen Versandzeitpunkte Gültigkeitszeitraum Die eindeutigen Bezeichner der Zähler, die die Eingangswerte für den jeweiligen TAF liefern. Die eindeutige Kennzahl der für den TAF zu verwendenden Messgröße des jeweiligen Zählers Eindeutiger Bezeichner des Zählerpunktes Zeitraum, für den eine Rechnung erstellt werden soll. Zugriffsberechtigungen auf den zugehörigen Datensatz im HAN und WAN Zeitpunkte, zu denen der betreffende Datensatz vom SMGW (automatisch) versandt wird Zeitraum, für den der betreffende TAF gebucht worden ist. Eichrechtl. relevant Wenn Endedatum in der Vergangenheit oder Anfangsdatum in der Zukunft liegen, darf Tarif nicht aktiviert werden; stattdessen Grundtarif, z.b. TAF Anfangs- und Endezeitpunkt müssen mit denjenigen einer Registrierperiode zusammenfallen. Für alle eichrechtlich relevanten Tarifanwendungsfälle gleiche Parameter des Regelwerkes ) Automatische Überwachung beim Laden der Auswerteprofil-Parameter 5... Anforderungen an TAF: Datensparsame Tarife Grenzen, Bedingungewortlich Verant- Übereinstimmung Integrator, GWmit den realen Werten der angeschlossenen Zähler Im eichpflichtigen Fall nur Zählerstände (Lieferung, SMGW ) Bezug) Übereinstimmung Integrator, mit dem realen Wert SMGW ), Beginn nicht in der Vergangenheit Letztverbraucherkennung SMGW ), Bei diesem TAF [TR, 4...] fällt die Registrierperiode mit der Abrechnungsperiode zusammen. Eine akzeptable technische Lösung für die abgeleitete Messwertliste vom Typ TAF besitzt nur ein Listenelement wobei der Zeitpunkt der Messwertregistrierung das Ende der Abrechnungsperiode darstellt. Die eichrechtlich relevanten Parameter für diesen TAF sind in Tabelle 5-3 aufgelistet. Hinweis: Die Liste mit den Informationen, die bei diesem TAF an das Software-Modul zur Generierung der Anzeige übergeben werden befindet sich in Abschnitt , Tabelle 5- und Tabelle 5-. PTB-A508Entwurf_3053_workshopfassung PTB-A508Entwurf_3053_workshopfassung 5... Anforderungen an TAF: Zeitvariable Tarife Bei diesem TAF [TR, 4...] werden zu vertraglich vereinbarten Zeitpunkten, die mit vollen ¼ Stunden bei Elektrizität und vollen Stunden bei Gas zusammenfallen, in eine andere Tarifstufe umgeschaltet, die dann bis zum nächsten Umschaltzeitpunkt aktiv bleibt. Der Letztverbraucher muss die Umschaltzeitpunkte und Tarifstufen sowie die gerade aktive Tarifstufe am Kundendisplay ablesen können. - Eine akzeptable technische Lösung für die Darstellung der abgeleiteten Messwertliste vom Typ TAF besteht aus einer Datenstruktur mit je einer Liste der Tarifumschaltzeitpunkte des Abrechnungszeitraumes (Schaltprogramm) und einer Liste mit je einem Element pro Tarifstufe (Registerliste). Ein Element des Schaltprogramms besteht aus einem Tupel aus Umschaltzeitpunkt und Tarifstufe, in die zu diesem Zeitpunkt gewechselt werden soll. Ein Element der Registerliste besteht aus einem Tupel aus einem kumulierenden Register, der Tarifstufenkennung und einem Fehlerstatusfeld. Die eichrechtlich relevanten Parameter für diesen TAF sind in Tabelle 5-3 und Tabelle 5-4 aufgelistet. Hinweis: Die Liste mit den Informationen, die bei diesem TAF an das Software-Modul zur Generierung der Anzeige übergeben werden, befindet sich in Abschnitt , Tabelle 5- und Tabelle 5-. # Parameter Beschreibung Definition der Tarifstufen Tarifumschaltzeitpunkte Definiert die verschiedenen Tarifstufen und die zugehörigen OBIS- Kennzahlen. Hier wird auch definiert, welche Tarifstufe zum Zeitpunkt der Aktivierung des Regelwerkes gültig ist. Tarifumschaltzeitpunkte definieren die sekundengenauen Zeitpunkte, zu denen in eine andere Tarifstufe gewechselt werden muss. Die Zeitpunkte können periodisch wiederkehrend definiert sein. Eichrechtl. relevant Tabelle 5-4: Eichrechtlich relevante Parameter für TAF, Beschreibung aus [TR], Tabelle ) Automatische Überwachung beim Laden der Auswerteprofil-Parameter Anforderungen an TAF3: Lastvariable Tarife Zeitpunkte müssen mit den im Vertrag vereinbarten übereinstimmen. Müssen mit ganzen ¼ h (Elektrizität) oder vollen h (Gas) zusammenfallen Grenzen, Bedingungen Verantwortlich Tarifstufen müssen mit den im Vertrag vereinbarten übereinstimmen., SMGW ) Benennung Last bezeichnet in der TR im physikalischen Sinne einen gemessenen Leistungswert, der mit einem vorgegebenen, konfigurierten Leistungswert (Lastschwelle) verglichen wird, um abhängig vom Ergebnis des Vergleichs die erfasste elektrische Arbeit in unterschiedlichen Registern zu registrieren. Die Funktionalität entspricht im Wesentlichen der der sogenannten Überverbrauchszählern. Am Ende einer Registrierperiode muss die mittlere Leistung Ptaf3 wie folgt vom Regelwerk gebildet werden: Ptaf3 = Etaf3 / Ttaf3 Etaf3 - Während der Dauer einer Registrierperiode gemessene Energiemenge Ttaf3 - Länge der Registrierperiode Die Auflösung der Beiträge Etaf3 und Ttaf3 muss jeweils < 0-4 sein (zwei Größenordnungen geringer als die zulässige Messunsicherheit), um für die zu erwartenden Leistungsmesswerte keine auflösungsbedingten Messunsicherheitsbeiträge zu erzeugen. Die Rechenoperation zur Berechnung der mittleren Leistung muss eine Rundungsunsicherheit von <0-4 aufweisen. - Eine akzeptable technische Lösung für die Darstellung der abgeleiteten Messwertliste vom Typ TAF3 ist eine Kombination aus einem Registrierperioden-Array und einer Tarifregisterliste. - Das Registrierperioden-Array enthält den Lastgang (Ptaf3 von jeder Registrierperiode im Abrechnungszeitraum). - Die Tarifregisterliste weist für jede Laststufe ein Listenelement auf, welches aus einem Tupel besteht. Dieses Tupel setzt sich zusammen aus Untergrenze der Laststufe, Obergrenze der Laststufe, einem Fehlerstatusfeld und einem Feld mit der Summe aller Ptaf3 der Registrierperioden-Array-Elemente, bei denen Ptaf3 innerhalb der jeweiligen Grenzen - liegt. Am Ende der Abrechnungsperiode erfolgt die Summation der Ptaf3 -Werte. Die Summe wird anschließend mit der Registrierperiodenlänge Ttaf3 multipliziert, so dass sich wieder einen Energiewert ergibt, welcher in das Summenfeld eingetragen wird. - Folgende Zusicherungen müssen beim Laden der TAF3-Auswertprofil-Parameter überprüft werden: - Die Grenzen der Laststufen müssen lückenlos aneinander grenzen. - Die höchste Leistungsstufe ist nach oben offen. Die eichrechtlich relevanten Parameter für diesen TAF sind in Tabelle 5-3 und Tabelle 5-5 aufgelistet. Hinweis: Die Liste mit den Informationen, die bei diesem TAF an das Software-Modul zur Generierung der Anzeige übergeben werden befindet sich in Abschnitt , Tabelle 5- und Tabelle 5-. # Parameter Beschreibung Definition der Laststufen Registrierperiode Definiert die verschiedenen Laststufen und deren Lastschwellen, sowie die zugehörigen OBIS-Kennzahlen. Hier wird auch definiert, welche Laststufe zum Zeitpunkt der Aktivierung des Regelwerks gültig ist. Die Registrierperiode legt die Granularität fest, in der Messwerte erfasst werden müssen. Eichrechtl. relevant Tabelle 5-5: Eichrechtlich relevante Parameter für TAF3, Beschreibung aus [TR], Tabelle 3. ) Automatische Überwachung beim Laden der Auswerteprofil-Parameter Grenzen, Bedingungen Laststufen lückenlos, nicht überlappend Pmin = 0 W Pmax = unendlich (siehe Text) Elektrizität: Ttaf3 ¼ h einer ¼ h Gas: Ttaf3 h einer h Verantwortlich, SMGW ), SMGW ) PTB-A508Entwurf_3053_workshopfassung 3 PTB-A508Entwurf_3053_workshopfassung 4

11 5...4 Anforderungen an TAF4: Verbrauchsvariable Tarife Bei diesen Tarifen wird jeder Tarifstufe ein Mengenkontingent zugeordnet. Die Mengenkontingente werden nacheinander verbraucht. Am Ende jeder Registrierperiode muss die während der zurückliegenden Registrierperiode gemessene Energiemenge Etaf4 zum Register der aktiven Tarifstufe hinzu addiert Ist diese Energiemenge größer oder gleich dem Mengenkontingent der Tarifstufe wird zur nächsten gewechselt und ab der nächsten Registrierperiode in das nächste Tarifregister gezählt. Die Tarifregister müssen zu Beginn der Abrechnungsperiode auf 0 kwh gesetzt - Eine akzeptable technische Lösung für die abgeleitete Messwertliste vom Typ TAF4 ist eine Tarifregisterliste, bestehend aus einem Listenelement für jede Tarifstufe. Jedes Listenelement enthält ein Tupel, welches das Tarifregister, das Mengenkontingent und den Zeitstempel der Registrierperiode, bei der das Mengenkontingent der jeweiligen Tarifstufe überschritten wurde, und ein Fehlerstatusfeld beinhaltet. Die letzte Tarifstufe hat als Mengenkontingent unendlich. Die eichrechtlich relevanten Parameter für diesen TAF sind in Tabelle 5-3 und Tabelle 5-6 aufgelistet. Hinweis: Die Liste mit den Informationen, die bei diesem TAF an das Software-Modul zur Generierung der Anzeige übergeben werden befindet sich in Abschnitt , Tabelle 5- und Tabelle 5-. # Parameter Beschreibung Definition der Verbrauchsstufen (Mengenkontingente) Registrierperiode Definiert die verschiedenen Verbrauchsstufen in kwh, deren Kontingente sowie die zugehörigen OBIS- Kennzahlen. Die Registrierperiode legt die Granularität fest, in der Messwerte erfasst werden müssen. Eichrechtl. relevant Tabelle 5-6: Eichrechtlich relevante Parameter für TAF4, Beschreibung aus [TR], Tabelle 5. ) Automatische Überwachung beim Laden der Auswerteprofil-Parameter Anforderungen an TAF5: Ereignisvariable Tarife Grenzen, Bedingungen Mengenkontingente müssen mit den im Vertrag vereinbarten übereinstimmen. Elektrizität: Ttaf3 ¼ h einer ¼ h Gas: Ttaf3 h einer h Verantwortlich, SMGW ) Bei diesem Tarifanwendungsfall [TR, 4...5] sind mehrere Tarifstufen definiert, die durch zugeordnete Ereignisse aktiviert Die zu messende Energie wird nur in dem aktivierten Tarifregister kumuliert. Ist während einer Registrierperiode ein relevantes Ereignis eingetreten, so darf die Umschaltung in die neue Tarifstufe erst am Ende der laufenden Registrierperiode erfolgen. In der Kundenanzeige muss nach dem relevanten Ereignis sowohl die aktuelle als auch die neue Tarifstufe angezeigt werden; letztere muss als Ankündigung gekennzeichnet sein. Alle Aktivierungszeitpunkte von Tarifstufen müssen im eichpflichtigen Speicher ( abgeleitete Messwertliste ) lückenlos registriert - Eine akzeptable technische Lösung für die Darstellung der abgeleiteten Messwertliste vom Typ TAF5 besteht aus einer Tarifregisterliste, wobei für jede vertraglich vereinbarte Tarifstufe ein Listenelement existiert. - Jedes Listenelement enthält ein Tupel, welches das kumulierende Tarifregister, das Ereignis, das dieses Tarifregister aktiviert (in codierter Form), ein Fehlerstatusfeld und eine Liste mit Zeitstempeln beinhaltet. Jedes Element dieser Zeitstempelliste besteht wiederum aus einem Tupel mit Aktivierungs- und Deaktivierungszeitpunkt oder mit Aktivierungszeitpunkt und Aktivierungsdauer. Die eichrechtlich relevanten Parameter für diesen TAF sind in Tabelle 5-3 und Tabelle 5-7 aufgelistet. Hinweise: Die Liste mit den Informationen, die bei diesem TAF an das Software-Modul zur Generierung der Anzeige übergeben werden befindet sich in Abschnitt , Tabelle 5- und Tabelle 5-. Im SMGW kann nicht überprüft werden, ob der Zeitpunkt und die geforderte neue Stufe eines Tarifwechsels gerechtfertigt und vertragskonform ist. Dies muss auf andere Weise geregelt # Parameter Beschreibung 3 Definition der Tarifstufen Konfiguration der Ereignisse für Tarifstufen Registrierperiode {zusätzlich zu TR} Definiert die verschiedenen Tarifstufen sowie die zugehörigen OBIS- Kennzahlen. Hier wird auch definiert, welche Tarifstufe zum Zeitpunkt der Aktivierung des Regelwerks gültig ist. Konfiguration, die festlegt, welche Ereignisse zu einem Wechsel in eine bestimmte Tarifstufe führen. Die Registrierperiode legt die Granularität fest, in der Messwerte erfasst werden müssen. Eichrechtl. relevant Tabelle 5-7: Eichrechtlich relevante Parameter für TAF5, Beschreibung aus [TR], Tabelle 6. ) Automatische Überwachung beim Laden der Auswerteprofil-Parameter Elektrizität: Ttaf3 ¼ h einer ¼ h Gas: Ttaf3 h einer h Grenzen, Bedingungen Verantwortlich Tarifstufen müssen mit den im Vertrag vereinbarten übereinstimmen. Die Zuordnungen Ereignis-Tarifstufe müssen mit den im Vertrag vereinbarten übereinstimmen., SMGW ) PTB-A508Entwurf_3053_workshopfassung 5 PTB-A508Entwurf_3053_workshopfassung Anforderungen bei Abruf von Messwerten im Bedarfsfall (TAF 6) {{Noch nicht fertig!}} Anforderungen bei zentraler Tarifierung (TAF 7) Bei diesem Tarifanwendungsfall werden die Zählerstände jeder Registrierperiode im Abrechnungszeitraum im eichpflichtigen Speicher ( abgeleitete Messwertliste ) abgelegt und zur Übertragung an den externen Marktteilnehmer bereitgehalten. Es ist damit möglich, die Operationen gemäß TAF,, 3, 4, 5 und 8 zentral durchzuführen. Die Beschränkungen, die in diesem Abschnitt zu den einzelnen TAF genannt wurden (siehe , 5...8, 5...9), gelten dort auch. Es muss dem Letztverbraucher ermöglicht werden, mit Hilfe der in Abschnitt beschriebenen Funktionen des SMGW die Rechnung zu überprüfen. Auch bei zentraler Tarifierung müssen die in [TR] genannten abgeleiteten Messwertlisten entstehen. Der EMT muss sie an das SMGW des Letztverbrauchers zurückübertragen, wenn dieser eine Rechnungsprüfung durchführen will. Die eichrechtlich relevanten Parameter für diesen TAF sind in Tabelle 5-3 und Tabelle 5-7 aufgelistet. Hinweis: Die Liste mit den Informationen, die bei diesem TAF an das Software-Modul zur Generierung der Anzeige übergeben werden befindet sich in Abschnitt , Tabelle 5-, Tabelle 5- und Tabelle 5-4. # Parameter Beschreibung Registrierperiode Der zeitliche Abstand zwischen zwei aufeinanderfolgenden Messwerterfassungen für den Zählerstandsgang. Eichrechtl. relevant Tabelle 5-8: Eichrechtlich relevante Parameter für TAF7, Beschreibung aus [TR], Tabelle 8. ) Automatische Überwachung beim Laden der Auswerteprofil-Parameter Anforderungen an TAF8: Erfassung von Extremwerten für Leistung Grenzen, Bedingungen Elektrizität: Ttaf3 ¼ h einer ¼ h Gas: Ttaf3 h einer h Verantwortlich, SMGW ) Die Leistungsmesswerte Ptaf8 für die Maxima- und Minimamessungen sind wie folgt vom Regelwerk zu berechnen: Ptaf8 = Etaf8 / Ttaf8 Etaf8 - Während der Dauer einer Registrierperiode gemessene Energiemenge Ttaf8 - Länge der Registrierperiode Die Auflösung der Beiträge Etaf8 und Ttaf8 muss jeweils kleiner als 0-4 sein (zwei Größenordnungen geringer als die zulässige Messunsicherheit), um für die zu erwartenden Leistungsmesswerte keine auflösungsbedingten Messunsicherheitsbeiträge zu erzeugen. Die Rechenoperation zur Berechnung der mittleren Leistung muss eine Rundungsunsicherheit von kleiner als 0-4 aufweisen. Nach Ablauf jedes Abrechnungszeitraums bestimmt das SMGW die n niedrigsten und die m höchsten Werte der Leistungsmittelwerte im Abrechnungszeitraum [TR, 4...8]. Es ist zulässig, jeweils zunächst die Summe der verschiedenen Leistungswerte je Registrierperiode aus mehreren originären Messwertlisten von verschiedenen Zählern zu bilden und dann aus den Summen die Extremwerte auszuwählen. Die Summe der Zahl der Registrierperioden mit den n niedrigsten und m höchsten Leistungsmittelwerten muss gleich der Zahl der Registrierperioden im Abrechnungszeitraum sein. Dies muss das SMGW automatisch beim Laden der Parameter des Auswerteprofils prüfen. - Eine akzeptable technische Lösung für die Darstellung der abgeleiteten Messwertliste vom Typ TAF8 besteht aus einer Datenstruktur mit einem Registrierperioden-Array und zwei Summenregistern N und M. - Jedes Element des Registrierperioden-Arrays setzt sich aus einem Tupel mit einem Feld für den Leistungsmittelwert Ptaf8, dem Zeitstempel, einer Kennung, ob der Messwert zu den n niedrigsten oder m größten Messwerten gehört und einem Fehlerstatusfeld zusammen. - Das Summenregister N enthält die Summe der n Leistungsmittelwerte der Registrierperioden mit den niedrigsten Leistungen, multipliziert mit der Registrierperiodenlänge, so dass sich ein Energiewert ergibt. Das Summenregister M enthält die Summe der m Leistungsmittelwerte der Registrierperioden mit den größten Leistungen, multipliziert mit der Registrierperiodenlänge, so dass sich ebenfalls ein Energiewert ergibt. Die eichrechtlich relevanten Parameter für diesen TAF sind in Tabelle 5-3 und Tabelle 5-9 aufgelistet. Hinweis: Die Liste mit den Informationen, die bei diesem TAF an das Software-Modul zur Generierung der Anzeige übergeben werden befindet sich in Abschnitt , Tabelle 5- und Tabelle 5-. # Parameter Beschreibung Anzahl der Minimalwerte n Anzahl der Maximalwerte m 3 Registrierperiode Anzahl der Minimalwerte der Leistungsmittelwerte, die für einen Abrechnungszeitraum bestimmt werden sollen. Anzahl der Maximalwerte der Leistungsmittelwerte, die für einen Abrechnungszeitraum bestimmt werden sollen. Die Registrierperiode legt die Granularität fest, in der Messwerte erfasst Eichrechtl. relevant Grenzen, Bedingungen Anzahl muss mit der im Vertrag vereinbarten übereinstimmen. n + m = r r Zahl der Registrierperioden im Abrechnungszeitraum Anzahl muss mit der im Vertrag vereinbarten übereinstimmen. n + m = r r Zahl der Registrierperioden im Abrechnungszeitraum Elektrizität: Ttaf3 ¼ h Verantwortlich, SMGW ), SMGW ), PTB-A508Entwurf_3053_workshopfassung 7 PTB-A508Entwurf_3053_workshopfassung 8

12 werden müssen. Tabelle 5-9: Eichrechtlich relevante Parameter für TAF8, Beschreibung aus [TR], Tabelle 9. ) Automatische Überwachung beim Laden der Auswerteprofil-Parameter einer ¼ h Gas: Ttaf3 h einer h SMGW ) - Eine akzeptable technische Lösung für die abgeleitete Messwertliste vom Typ TAF ist eine Datenstruktur, die aus einem Tupel besteht. - Variante A: Das Tupel beinhaltet ein Register mit dem aktuellen Mengenkontingent, dem Tarifregister und einem Fehlerstatusfeld. In dem Statusfeld ist der aktuelle Zustand der Schalteinrichtung (Ein/Aus) gespeichert. - Variante B: Das Tupel beinhaltet ein Tarifregister mit dem aktuell noch zur Verfügung stehenden (Rest-)Mengenkontingent und einem Fehlerstatusfeld. In dem Statusfeld ist der aktuelle Zustand der Schalteinrichtung (Ein/Aus) gespeichert Anforderungen an TAF: Prepaid Tarif Bei diesem Tarifanwendungsfall wird dem Letztverbraucher ein Mengenkontingent zur Verfügung gestellt, für das er vorher bezahlt hat. Eine nicht unter die eichrechtliche Kontrolle fallende Einrichtung sorgt für das Freischalten und Abschalten der Versorgung. Anforderungen, Variante A: Das SMGW muss am Ende jeder Registrierperiode die während der zurückliegenden Registrierperiode gemessene Energiemenge Etaf in einem Tarifregister kumulieren. Ist die gemessene verbrauchte Energiemenge größer oder gleich dem zugeteilten Mengenkontingent, wird ein Signal zur Abschaltung gesendet und es erfolgt ein Eintrag mit Zeitstempel im Letztverbraucher-Log. Die Datenakquisition und Messwertverarbeitung des SMGW darf von der Abschaltung nicht beeinflusst werden und muss immer aktiviert bleiben. Wird dem Letztverbraucher vor Verbrauch des Mengenkontingents erneut ein Kontingent gut geschrieben, so muss es zu dem bestehenden addiert werden und ein Eintrag des gutgeschriebenen Betrags mit Zeitstempel im Letztverbraucher-Log erfolgen. Solange das Mengenkontingent nicht verbraucht ist, darf das kumulierende Tarifregister nicht zurückgesetzt Nachdem das Kontingent verbraucht ist, muss der letzte Stand des Mengenkontingents und des kumulierenden Tarifregisters solange erhalten bleiben, bis die nächste Gutschrift eines Mengenkontingents erfolgt. Dann muss das Mengenkontingent auf den neuen Wert und das Tarifregister auf 0 W gesetzt Es muss ein entsprechender Eintrag im Letztverbraucher-Log erfolgen. Anschließend muss das Signal zur Einschaltung der Versorgung (Freischaltung) gesendet Anforderungen, Variante B: Das SMGW muss am Ende jeder Registrierperiode den im Tarifregister gespeicherten Wert um die während der zurückliegenden Registrierperiode gemessene Energiemenge Etaf verringern. Ist der Stand des Tarifregisters gleich oder kleiner 0, so wird ein Signal zur Abschaltung gesendet und es erfolgt ein Eintrag mit Zeitstempel im Letztverbraucher-Log. Die Datenakquisition und Messwertverarbeitung des SMGW darf von der Abschaltung nicht beeinflusst werden und muss immer aktiviert bleiben. Wird dem Letztverbraucher ein Mengenkontingent gut geschrieben, so muss der Stand des Tarifregisters um den entsprechenden Betrag erhöht werden und es erfolgt ein Eintrag des gutgeschriebenen Betrags mit Zeitstempel im Letztverbraucher-Log. Ist der Stand des Tarifregisters größer als 0, muss das Signal zur Einschaltung (Freischaltung) gesendet Die eichrechtlich relevanten Parameter für diesen TAF sind in Tabelle 5-3 und Tabelle 5-0 aufgelistet. Hinweis: Die Liste mit den Informationen, die bei diesem TAF an das Software-Modul zur Generierung der Anzeige übergeben werden befindet sich in Abschnitt , Tabelle 5- und Tabelle 5-. # Parameter Beschreibung Verfügbare Energiemenge (Mengenkontingent) Toleranzzeitraum 3 Schwellwert 4 Startzeitpunkt 5 Geräte-IDs der Unterbrecher 6 Registrierperiode Verfügbare Energiemenge in kwh oder m 3. Länge des Zeitraums, in dem der Letztverbraucher nach Verbrauch der verfügbaren Energiemenge noch Energie beziehen kann. Definierter Schwellwert der verfügbaren Energiemenge in kwh oder m 3 Zeitpunkt, ab dem die verfügbare Energie freigeschaltet wird. Die eindeutigen Bezeichner der Unterbrecher, die zum Zeitpunkt des Verbrauches der verfügbaren Energiemenge, ein Signal vom SMGW erhalten. Die Registrierperiode legt die Granularität fest, in der Messwerte erfasst werden müssen. Eichrechtl. relevant Tabelle 5-0: Eichrechtlich relevante Parameter für TAF, Beschreibung aus [TR], Tabelle 34. ) Automatische Überwachung beim Laden der Auswerteprofil-Parameter Erzeugung der Inhalte der Anzeige Elektrizität: Ttaf3 ¼ h einer ¼ h Gas: Ttaf3 h einer h Grenzen, Bedingungen Wert muss mit dem im Vertrag vereinbarten übereinstimmen. Verantwortlich, SMGW ) Ein Messsystem muss eine Anzeige für die im SMGW generierten eichrechtlich relevanten Informationen besitzen. Die TR fordert nicht, dass ein SMGW mit einer Anzeige ausgestattet sein muss, es wird lediglich eine Schnittstelle definiert (IF_GW_CON), über die eine Anzeige angesteuert wer- PTB-A508Entwurf_3053_workshopfassung 9 PTB-A508Entwurf_3053_workshopfassung 30 den kann und es wird ein Mindestumfang an bereitzustellenden Informationen gefordert. Das bedeutet, dass die dem Letztverbraucher anzuzeigenden Inhalte im SMGW erzeugt werden, die eigentliche Visualisierung aber auf einer anderen Messsystemkomponente, dem Kundendisplay (siehe 6), erfolgt. Aus eichrechtlicher Sicht spricht aber auch nichts gegen ein in das SMGW integriertes Display. In Abschnitt werden Anforderungen und akzeptable Lösungen für die Generierung der anzuzeigenden Informationen angegeben. Die Inhalte der generierten Anzeigen sind Thema des Abschnitts Generierung der Anzeige Das SMGW bietet berechtigten Letztverbrauchern mit Hilfe der Schnittstelle IF_GW_CON die Möglichkeit, im SMGW die ihn betreffenden Informationen abzurufen. Ein Zugriff auf diese Daten darf nur lesend erfolgen [TR, 3.4] und nur nach einer erfolgreichen Authentifizierung möglich sein. Im Folgenden werden diese Vorgaben hinsichtlich der eichrechtlichen Anforderungen näher spezifiziert. Zugrunde liegende anerkannte Regeln der Technik: PTB-A Anzeige WELMEC 7. U8, I-3, I3-3 Authentizität der Darstellung, Tauglichkeit der Anzeige WELMEC. 4.5, 4.6, 5., 5., 5.7 Anzeige, Überprüfung der Rechnung Spezifische Anforderungen Der eichpflichtige Teil der SMSoftware, der die Generierung der eichpflichtigen Anzeige realisiert, muss die folgenden Anforderungen erfüllen: Generierung der Inhalte aller im Abschnitt beschriebenen Informationen in einem für das Kundendisplay geeigneten Format. Der Aufbau der Verbindung, ausgelöst von Bedienhandlungen des Letztverbrauchers am Kundendisplay, muss gemäß [TR, ; ; ] erfolgen, der Abbau der Verbindung entsprechend [TR, ]. Nach Verbindungsaufbau muss die freie Auswahl beliebiger für den Letztverbraucher relevanter und freigegebener Daten möglich sein (siehe auch Abschnitte und 6). Hierzu muss die eichpflichtige Software im SMGW Steuerungsbefehle zur Bedienung der Anzeige und Navigation vom Kundendisplay empfangen und entsprechend reagieren. Anmerkung: Falls das Kundendisplay in das SMGW integriert ist, müssen die Anforderungen aus Abschnitt 6 auf das SMGW angewandt Im Folgenden werden zwei technische Lösungen für die Realisierung der Kommunikation zwischen SMGW und dem Kundendisplay über das HAN beschrieben, die mit dem PP und der TR kompatibel sind [TR, 5.]. Bei beiden wird vorausgesetzt, dass eine sichere TCP/IP-Verbindung mit dem autorisierten Letztverbraucher gemäß [TR, 3.4] aufgebaut worden ist. Beispiel für eine akzeptable technische Lösungen für die Generierung der Anzeige () HTTP-Server (SMGW) - Browser (Kundendisplay) Bei diesem Lösungsbeispiel befindet sich im SMGW ein http-server (mit TLS), der HTML-Seiten mit den anzuzeigenden Informationen für das Kundendisplay zum Abruf bereit hält. Die HTML-codierten Seiten enthalten die anzuzeigenden Informationen aus Abschnitt Die Software auf dem Kundendisplay stellt einen Browser dar, der für die Kommunikation mit TLS. gemäß TR ausgelegt ist. Der HTTP-Server ist so konfiguriert, dass keine unzulässige Einwirkmöglichkeit auf das SMGW besteht. Die Inhalte der HTML-Seiten erfüllen die folgenden Bedingungen: Keine Links auf externe Seiten Alle Links und http-get-/post-requests (z.b. in Verbindung mit Formularfeldern) dienen nur der Bedienung der Anzeige und Navigation innerhalb der im SMGW gespeicherten HTML-Seiten. Es gibt keinen eingebetteten Code zur Ausführung auf der Client-Seite. Es gibt keinen interaktiven Code zur Ausführung auf dem Server (SMGW). Es müssen Maßnahmen zur Verhinderung von Cross-Side-Scripting getroffen Das SMGW empfängt Navigationsinformationen in Formularfeldern oder über Verlinkung zu anderen nur im SMGW vorgehaltenen Seiten. Das SMGW überprüft die Inhalte der Formularfelder auf der jeweiligen HTML-Seite auf zulässige Werte. Beispiele von Reaktionen auf Benutzereingaben am Kundendisplay: Zusammenstellung und Versand von Daten als http-response zurück an das Kundendisplay nach einer Benutzeranfrage, z.b. als Formulareingabe. Neuaufbau einer anderen HTML-Seite nach Wahl eines Links durch den Benutzer. Ausloggen nach Anklicken des entsprechenden Buttons. {{Das folgende Beispiel wird überarbeitet, nachdem die Feinspezifikation der Webservices durch die einschlägigen DV und VDE-Gremien sowie dem BSI erfolgt ist.}} () Socket-Verbindung zwischen SMGW und Kundendisplay Bei dieser Lösung wird eine direkte Verbindung über die Schnittstelle IF_GW_CON zwischen einer Applikation im SMGW und einer Applikation im Kundendisplay hergestellt. Der Socket ist die für den autorisierten Letztverbraucher gemäß [TR, 3.4] aufgebaute sichere TLS-Verbindung. Die Applikationen kommunizieren über ML- Schemen. Anmerkung: Die ML-Schemen gehören zur eichpflichtigen Software und müssen entsprechend dokumentiert Die Applikation im SMGW stellt alle anzuzeigenden Informationen aus Abschnitt bereit, überprüft empfangene Daten auf zulässige Werte, reagiert auf Bedien- und Navigationskommandos vom Kundendisplay, interagiert mit dem Kundendisplay bei der Letztverbraucher-Autorisierung. Die Funktionen der korrespondierenden Software auf dem Kundendisplay werden in Abschnitt 6 beschrieben. Ergonomische Aspekte Bei der Darstellung der Information und Interaktion sind ergonomische Grundsätze zu beachten (siehe[ergon]) Darzustellende Inhalte Es sind verschiedene Nutzungs- und Betriebsarten der Anzeige zu unterscheiden: PTB-A508Entwurf_3053_workshopfassung 3 PTB-A508Entwurf_3053_workshopfassung 3

13 Anzeige von aktuell gültigen Messwerten und anderen eichrechtlich relevanten aktuellen Informationen (siehe (a)) Visualisierung von Informationen für die Überprüfung der Rechnung und über die ordnungsgemäße Funktion des SMGW (siehe (b) -(d)) Die Anzeige aktueller Werte muss zu jedem Zeitpunkt erfolgen können, sobald der Letztverbraucher es wünscht. Ein Merkmal der Anzeige aktueller Werte ist, dass nicht alle eichrechtlich relevanten Informationen direkt oder in jedem Fall Eingang in die Rechnung finden, dem Letztverbraucher aber dennoch zur Verfügung gestellt werden müssen (z.b. die momentane mittlere Leistung). Die Informationen zur Rechnungsüberprüfung enthalten dagegen neben den eigentlichen historischen Messwerten weitere Daten (Stammdaten, Tarifdaten), die die Zuordnung und Kontrolle der Rechnung erst ermöglichen. Die Anzeigen zur Rechnungskontrolle beziehen sich immer auf einen zurückliegenden Zeitraum. Besteht die Gefahr der Verwechslung von eichrechtlich relevanten Informationen mit anderen, so müssen die eichrechtlich relevanten Informationen entsprechend kenntlich gemacht (a) Aktuelle Informationen In Tabelle 5- und Tabelle 5- sind die Informationen aufgelistet, deren Anzeige für den Letztverbraucher auf dem Kundendisplay ermöglicht werden muss. Abhängig vom gewählten Tarifierungsmodell können noch weitere hinzu kommen. Der Bediener des Kundendisplays muss frei zwischen den in den Tabellen genannten Informationen navigieren können. Jeder Letztverbraucher darf nur die Daten angezeigt bekommen, die ihn selbst betreffen. Diese Abgrenzung ist zur Realisierung des Datenschutzes als Schutzmaßnahme in der TR gefordert. # Größe, Art der Information Einheit Bemerkung Bedingung Gateway-Kennzeichnung Alle TAF 3 Zählerkennzeichnung Zählerstand + OBIS-Kennzahl Originäre Messwertliste, Zählerstandsgang + OBIS-Kennzahl kwh, m 3 kwh, m³ Länge der Registrierperiode h, min, s Aktivierter Tarifanwendungsfall Aktuell ausgewählter Zähler; alle dem Letztverbraucher zugeordneten Zähler müssen ausgewählt werden können. Letzter im SMGW registrierter Wert des ausgewählten Zählers. Nachkommastellen gemäß MID, PTB-A 0.3,. OBIS-Kennzahl gemäß EN Es können Summen und Differenzen von Ständen verschiedener Zähler gebildet Es muss erkennbar sein, welche Zähler mit welcher Operation miteinander verknüpft Zählerstände alle zurückliegenden Registrierperioden der laufenden Abrechnungsperiode (Ergebnis der synchronen Datenakquisition, Eingangsdaten des Regelwerkes) Kennung muss im Versorgungsvertrag erscheinen Alle TAF Alle TAF 4 Aktuelle Tarifstufe Kennungen müssen im Versorgungsvertrag erklärt Alle TAF 5 Tarifumschaltzeitpunkte tt.mm.(jj)jj, hh:mm:ss Liste der Tarifumschaltzeitpunkte des Abrechnungszeitraumes (Schaltprogramm), zurückliegende und zukünftige TAF # Größe, Art der Information Einheit Bemerkung Register der Tarifstufen kwh, m³ Aktuelle Stände aller Tarifstufen Bedingung Lastgang kw Mittlere Leistung in den zurückliegenden Registrierperioden der aktuellen Abrechnungsperiode TAF 3 Register der Tarifstufen kwh Aktuelle Stände aller Tarifstufen Rest des Kontingentes dieser Tarifstufe Hinweis Ereignis + Tarifumschaltzeitpunkte kwh, m³ Code + tt.mm.(jj)jj, hh:mm:ss Nicht die höchste Tarifstufe (Kennung der aktuellen Tarifstufe: s.o.) TAF 4 Höchste Tarifstufe Register der Tarifstufen kwh, m³ Aktuelle Stände aller Tarifstufen Liste der zurückliegenden Ereignisse zur Tarifumschaltung und deren Zeitpunkte innerhalb des aktuellen Abrechnungszeitraumes TAF 5 Kopie der originären Messwertliste (Zählerstandsgang), s.o. Deshalb keine zusätzliche Anzeige. TAF 7 Die n niedrigsten und m höchsten Leistungsmittelwerte stehen erst am Ende der Abrechnungsperiode fest. Deshalb TAF 8 keine zusätzliche aktuelle Anzeige. Mengenkontingent kwh, m³ Gekauftes Kontingent TAF Var. A Tarifregister kwh, m³ Verbrauch Rest des Kontingentes kwh, m³ 3 Datum, Uhrzeit 4 Fehlerstatus/Fehlernummer Tabelle 5-: tt.mm.(jj)jj, hh:mm:ss Gekaufte Kontingente werden addiert, Verbrauch wird subtrahiert. Gesetzliche Zeit Information, ob der (die) gerade angezeigte(n) Messwert(e) wegen eines Fehlers ungültig sind. Aktuelle metrologische Anzeigen für den Letztverbraucher auf dem Kundendisplay # Größe, Art der Info Bemerkung 5 Kennung des Letztverbrauchers Name oder Benutzerkennung 6 Kennung des Lieferanten (Rechnungsstellers) 7 Alle Parameter des Regelwerkes Tabelle 5-: Name oder Code, dessen Bedeutung bekannt gemacht worden ist Abhängig vom aktivierten TAF N [TR, 4...N.]. Siehe auch Tabelle 5-3 bis Tabelle 5-0. istrative Informationen für den Letztverbraucher, anzeigbar am Kundendisplay TAF Var. B Alle TAF Alle TAF (b) Letztverbraucherlog Das Letztverbraucherlog gemäß [TR, 5.3.] ist eine Kombination aus Messwertspeicher (z.b. Messwertlisten), Stammdaten (z.b. Kennung des Rechnungsstellers), Tarifinformationen (z.b. Änderung von Parametern von Auswertungsprofilen) sowie Fehlerereignissen, d.h. Kopien aus dem Eichlog (z.b. Status des Messsystems). Da es jederzeit für den Letztverbraucher zugänglich ist, PTB-A508Entwurf_3053_workshopfassung 33 PTB-A508Entwurf_3053_workshopfassung 34 dient es der aktuellen Information über abrechnungsrelevante Details. Zur Rechnungsprüfung ist allein die Anzeige der Log-Einträge aber nicht geeignet. Hierzu ist weitere Unterstützung erforderlich (siehe Abschnitte (d) und 5...5). Tabelle 5-3 enthält die Informationen der Tabelle 44 [TR, 5.3.] mit zusätzlicher eichrechtlicher Einordung der einzelnen Einträge. Für die Anzeige des Letztverbraucherlogs gelten ergonomische Anforderungen [ERGON]. Es muss z.b. möglich sein, nach bestimmten Einträgen zu suchen oder große Mengen von Daten strukturiert anzuzeigen. # Ereignis, Information Beschreibung Kennung des Letztverbrauchers Kennzeichnung des SMGW Kennzeichnung der dem Kunden zugeordneten Zähler Hinzufügen oder entfernen von Zählern Versenden von Daten Aktuelle Auswertungsprofile Änderung von Auswertungsprofilen Die eindeutige Kennung des Letztverbrauchers MUSS im Letztverbraucher-Log gespeichert sein. Die eindeutige Bezeichnung des SMGW (Software, Firmware und Hardware) MUSS im Letztverbraucher-Log angezeigt Die eindeutige Bezeichnung der am SMGW angeschlossenen und dem Letztverbraucher zugeordneten Zähler MUSS im Letztverbraucher-Log angezeigt Werden neue Zähler dem Letztverbraucher zugeordnet oder wurden Zähler entfernt oder ausgetauscht, so MUSS dies im Letztverbraucher- Log protokolliert Jeder Datenverkehr vom SMGW an externe Marktteilnehmer und/oder den Gateway istrator MUSS im Letztverbraucher-Log protokolliert Ebenso MUSS jeder Aufbau einer Proxy- Verbindung protokolliert Alle aktiven sowie die unmittelbar vorhergehenden Auswertungsprofile sowie die zugehörige Parametrierung gemäß Kapitel 4.4 MÜSSEN im Letztverbraucher-Log protokolliert Jede Änderung (einschließlich Parametrierung) der Auswertungsprofile gemäß Kapitel 4.4 MUSS im Letztverbraucher-Log protokolliert Kennung des Lieferanten bzw. Rechnungstel- SEN im Letztverbraucher-Log gespeichert Die Lieferanten bzw. Rechnungssteller der letzten 5 Monate MÜSlers Abrechnungsrelevante Daten Status des Messsystems Zuordnung zum Zählpunkt Änderung der Zugangsdaten Alle abrechnungsrelevanten Daten von mindestens 5 Monaten MÜSSEN im Letztverbraucher-Log gespeichert sein. Alle abrechnungsrelevanten Status- und Fehlermeldungen des SMGWs sowie der angeschlossenen und dem Letztverbraucher zugeordneten Zähler MÜSSEN im Letztverbraucher-Log protokolliert Für den Letztverbraucher MUSS erkennbar sein, ob und welche Messwerte auf Grund von Fehlern ungültig sind und nicht zur Messwertbetrachtung herangezogen werden können. Die aktuelle Zuordnung zu einem oder mehreren Zählpunkten sowie jedes Ändern, Hinzufügen oder Löschen von Zählpunkten. Sind Zugangsdaten für das Letztverbraucher-Log geändert worden, so MUSS dies im Letztverbraucher-Log protokolliert Eichrechtl. relevant Tabelle 5-3: Tabelle 44 [TR, 5.3.] mit den Inhalten des Letztverbraucher-Logs (die Verweise beziehen sich auf Kapitel der [TR]) (c) Letztverbraucher-Autorisierung Der Letztverbraucher muss bei der in [TR, ; ] beschriebenen Authentifizierung durch Anzeigen auf dem Kundendisplay unterstützt und geleitet Insbesondere müssen folgende Informationen vom SMGW über das HAN bereitgestellt werden: Anzeige der eingegebenen Benutzerkennung Anzeige der notwendigen Vertrags- und Stammdaten Anzeige der SMKennung oder Bezeichnung Einige Informationen müssen für Überwachungsbehörden, Service-Techniker oder Letztverbraucher vor Ort verfügbar und am Kundendisplay anzeigbar sein, ohne dass zuvor eine Autorisierung erfolgte: Software-Identifikatoren des SMGW, des Kundendisplays und der Kommunikationsadapter Öffentlicher Schlüssel des SMGW (d) Ausgabe zur Überprüfung der Rechnung Das SMGW muss den Letztverbraucher in die Lage versetzen, seine Rechnung anhand der im SMGW gespeicherten Daten zu überprüfen. Im Abschnitt werden die hierzu notwendigen Funktionen der Software beschrieben. In [TR, 4...N.4] wird für jeden definierten Tarifanwendungsfall N angegeben, welche Informationen dem Letztverbraucher über die HAN-Schnittstelle zur Verfügung gestellt werden müssen. In der folgenden Tabelle 5-4 werden diese Angaben verwendet und durch einige zusätzlich anzuzeigende Daten ergänzt, die zur Kontrolle der Rechnung erforderlich sind. Eine Besonderheit stellt der TAF 7 (zentrale Tarifierung) dar. Auch bei diesem Verfahren muss dem Letztverbraucher die Kontrolle der Rechnung am SMGW ermöglicht In der Zentrale erzeugte zur Rechnungsprüfung notwendige Informationen muss der EMT an das SMGW übertragen. Die Darstellung der Daten am Kundendisplay und auf der Rechnung müssen der Norm für Standardisierte Formate für die Forderungen maßgeblicher Berechnungsfaktoren - FMBF [FMBF] entsprechen. Der Letztverbraucher muss nur maximal eine arithmetische Operation durchführen, um die einzelnen Rechnungsposten der Rechnung mit denen, die von der Software zur Rechnungsprüfung generiert wurden, vergleichen zu können. Rechnungswerte und Werte, die von der Software zur Rechnungsprüfung dargestellt werden und die auf Messwerten und anderen eichrechtlich relevanten Daten beruhen, die fehlerhaft waren (Ersatzwerte, Werte mit gesetztem Fehlerflag, falsche innere Signatur usw.), müssen in der Rechnung und am Kundendisplay entsprechend gekennzeichnet dargestellt Anmerkung: In [TR, 3.4..] wird die Anzeige von historischen Daten gemäß Energieeffizienzrichtlinie vorgeschrieben. Diese Daten sind nicht zur Prüfung der Abrechnung gedacht. Hierzu sind allein die von der eichpflichtigen Software generierten Anzeigen vorgesehen, die in 5... und und Tabelle 5-4 beschrieben sind. # Größe, Art der Information Einheit Bemerkung Kennung des Letztverbrauchers Name oder Benutzerkennung Bedingung Alle TAF PTB-A508Entwurf_3053_workshopfassung 35 PTB-A508Entwurf_3053_workshopfassung 36

14 # Größe, Art der Information Einheit Bemerkung Kennung des Lieferanten (Rechnungsstellers) Name oder Code, dessen Bedeutung bekannt gemacht worden ist Bedingung Alle TAF 3 Abrechnungszeitraum tt.mm.(jj)jj Alle TAF 4 Gateway-Kennzeichnung Alle TAF Zählerkennzeichnung Originäre Messwertliste, Zählerstandsgang + OBIS-Kennzahl kwh, m³ Länge der Registrierperiode h, min, s Aktivierte Tarifanwendungsfälle + Anfangs- und Endzeitpunkt Tarifumschaltzeitpunkte tt.mm.(jj)jj, hh:mm:ss Register der Tarifstufen kwh, m³ Lastgang kw Alle dem Letztverbraucher zugeordneten Zähler. Es können Summen und Differenzen von Ständen verschiedener Zähler gebildet Es muss erkennbar sein, welche Zähler mit welcher Operation miteinander verknüpft Alle TAF Zählerstände der Registrierperioden der abgeschlossenen Abrechnungsperiode Die im SMGW für den betreffenden Letztverbraucher aktivierten TAF müssen mit den vertraglich gebuchten übereinstimmen. Kennungen müssen im Versorgungsvertrag er- Alle TAF scheinen. Liste der Tarifumschaltzeitpunkte des abgeschlossenen Abrechnungszeitraumes (Schaltprogramm) Endstände aller Tarifstufenregister des abgeschlossenen Abrechnungszeitraums Mittlere Leistung in den Registrierperioden der abgeschlossenen Abrechnungsperiode Register der Tarifstufen kwh Endstände aller Tarifstufenregister 9 Register der Tarifstufen kwh, m³ 0 Ereignis + Tarifumschaltzeitpunkte Code + tt.mm.(jj)jj, hh:mm:ss Endstände der Tarifstufenregister, die Werte > 0 enthalten. Alternativ: Endstände aller Tarifstufenregister. Nur das Register der höchsten Tarifstufe, sofern 0, enthält einen variablen Wert, die niedrigeren enthalten die vollen, den Tarifstufen zugeordneten Mengenkontingente. TAF TAF 3 TAF 4 Liste der Ereignisse (codiert) zur Tarifumschaltung und deren Zeitpunkte innerhalb des abgeschlossenen Abrechnungszeitraumes TAF 5 Register der Tarifstufen kwh, m³ Endstände aller Tarifstufenregister Siehe TAF n Lastgang Summenregister Summenregister kw kwh kwh Bei zentraler Tarifierung muss einer der auch dezentral realisierbaren TAF angewandt Die Anzeige muss derjenigen für den in dieser Tabelle beschriebenen TAF n entsprechen. Mittlere Leistung in den Registrierperioden der abgeschlossenen Abrechnungsperiode mit einer Markierung, ob die jeweilige Registrierperiode zu den mit der niedrigsten oder höchsten Leistung gehören. Summenregister N mit der Energie, die in den Registrierperioden mit der niedrigsten mittleren Leistung angefallen ist. Summenregister M mit der Energie, die in den Registrierperioden mit der höchsten mittleren Leistung angefallen ist. TAF 7 TAF 8 # Größe, Art der Information Einheit Bemerkung Mengenkontingent kwh, m³ 3 Tarifregister kwh, m³ Bedingung Im Abrechnungszeitraum gekaufte Kontingente und Übertrag von davor liegendem Abrechnungszeitraum. TAF Verbrauch im Abrechnungszeitraum und Übertrag von Var. A davor liegendem Abrechnungszeitraum. 4 Mengenkontingent kwh, m³ trag von davor liegendem Abrechnungszeitraum. TAF Var. B Im Abrechnungszeitraum gekaufte Kontingente und Über- Tarifregister kwh, m³ Rest des Kontingentes 5 Fehlerstatus/Fehlernummer Tabelle 5-4: Information, ob angezeigte Messwert wegen eines Fehlers ungültig sind. Anzuzeigende Informationen zur Überprüfung der Rechnung durch den Letztverbraucher Speicherung von abrechnungsrelevanten Informationen Alle TAF Das SMGW muss die abrechnungsrelevanten Messwerte und Informationen mindestens bis zum Ende der Einspruchsfrist für eine erhaltene Rechnung speichern, um eine beweiskräftige Überprüfung der Rechnung zu ermöglichen. Die Vertragspartner Letztverbraucher [TR, 4.5.5] und externer Marktteilnehmer [TR, 4.5.6] müssen darauf Zugriff erhalten. Eichrechtliche Anforderungen: PTB-A Messwertspeicher WELMEC 7. L-L8 Langzeitspeicherung von Messdaten WELMEC. 4.5 Speicherdauer von Last-/Zählerstandsgängen Für das SMGW abgeleitete spezifische Anforderungen an die Funktionalität der Speicherung von abrechnungsrelevanten Informationen: Das SMGW muss die unten genannte Daten für jeden Letztverbraucher laufend aufzeichnen und gemäß [PP], [TR, 4.5] gegen unbefugte Zugriffe schützen. Bevor die genannten Daten über das WAN entsprechend den Vorgaben eines Kommunikationsprofils übertragen werden [TR, 4.4.4], müssen sie gemäß [TR, 5..] kryptografisch gesichert Abhängig von der vorliegenden Infrastruktur und von den Anforderungen der Externen Marktteilnehmer kann es erforderlich sein, einzelne Messwerte, abgeleitete Messwertlisten oder sonstige eichrechtlich relevante Informationen zusätzlich mit einer inneren Signatur zu versehen. Das SMGW muss in der Lage sein, über die genannten Objekte eine Signatur zu erzeugen. Diese muss mit den in [TR, 5..] und [6] festgelegten Algorithmen und Parametern erfolgen, mit dem Unterschied, dass die dort verlangte Verschlüsselung der Informationen nicht realisiert wird, die Daten also im Klartext erhalten bleiben. Anmerkung: Die innere Signatur ist z.b. erforderlich, wenn extern tarifiert werden soll (TAF 7) oder wenn eine Transparenzsoftware außerhalb des SMGW verwendet werden soll. Anforderungen an die Datenrepräsentation von abrechnungsrelevanten Informationen: Zum Zwecke der Rechnungsprüfung müssen folgende Daten gespeichert werden (siehe (b)): PTB-A508Entwurf_3053_workshopfassung 37 PTB-A508Entwurf_3053_workshopfassung 38 Konfiguration der Zähler, Parameter der Auswertungsprofile (abhängig vom jeweiligen Tarifanwendungsfall), Parameter der Kommunikationsprofile, originäre Messwertlisten abgeleitete Messwertlisten und das Letztverbraucher-Log des betreffenden Letztverbrauchers. Die entsprechenden Datenformate und inhalte sind in [TR, 5., Tabelle 4] und [TR, 5.3., Tabelle 44] festgelegt. Die Tabelle 5-3 oben gibt den Inhalt dieser beiden Tabellen der TR wieder und zeigt eine Klassifizierung in eichrechtlich relevante und nicht relevante Daten. Ferner sind einige eichrechtlich relevante Einträge ergänzt worden Visualisierung zum Abschluss des Vorgangs Der Letztverbraucher muss die Möglichkeit haben, seine Rechnung auf der Basis von sicher gespeicherten Messwerten und weiteren eichrechtlich relevanten Informationen zu verifizieren. Eichrechtliche Anforderungen: PTB-A Nachprüfbarkeit der Rechnung anhand der Anzeigen WELMEC 7. L6 Abrufen von gespeicherten Daten WELMEC. 5. Prüfung der Rechnung über die Benutzerschnittstelle In diesem Abschnitt werden Funktionen der Software des SMGW beschrieben, die gewährleisten sollen, dass der Letztverbraucher diese Überprüfung allein mit Hilfe des SMGW und seiner Komponenten durchführen kann. Es müssen die Informationen, die in Abschnitt (d), Tabelle 5-4 wiedergegeben sind, dargestellt werden können. Außerdem muss die Visualisierungsfunktion die Informationen über Fehler von Zählern und SMGW und die administrativen Informationen der Tabelle 5- liefern. Wird eine Rechnung entsprechend [FMBF] nach EnWG 40 gestaltet, so ist sichergestellt, dass der Letztverbraucher mit wenigen Rechenschritten die Rechnungsposten anhand der genannten Anzeige verifizieren kann. Die Visualisierungssoftware muss folgende Funktionen realisieren: Sammeln aller Informationen, um die Anzeige gemäß Abschnitt (d), Tabelle 5-4 aufbauen zu können. Die Software darf hierzu nur auf die Datendomäne des eingeloggten Letztverbrauchers zugreifen (siehe und 5.6..). Die gesammelte Information muss an den Teil der Software übergeben werden, die daraus ein für das Kundendisplay geeignetes Format generiert (siehe 5...3). Im Falle der externen Tarifierung (TAF 7) muss der externe Marktteilnehmer zuvor das Ergebnis der Berechnungen zurück an das SMGW übertragen haben. Überprüfung der inneren Signatur über die abgeleitete Messwertliste unter Verwendung des öffentlichen Schlüssels des SMGW. - Bei einer akzeptablen technischen Lösung für den TAF 7 werden die Daten eines TAF -5 oder 8 in einem der in 5... beschriebenen Formate als abgeleitete Messwertliste in der Zentrale erzeugt, wobei davon ausgegangen wird, dass extern auch nur die in der [TR, 4..] beschriebenen TAF realisiert - Die zentral erzeugte abgeleitete Messwertliste wird vom EMT, der zuvor vom eine Kommunikationsberechtigung erhalten hat, zum SMGW übertragen. - Nach dieser Übertragung, erfolgt die Visualisierung zur Rechnungskontrolle so, als wäre die Tarifierung im SMGW selbst durchgeführt worden. 5. Zeitrealisierung und Synchronisation 5.. SMUhr und Zeitstempelung SMGW verfügen für bestimmte eichrechtlich relevante Funktionen über eine geräteinterne Uhr. Der richtige Gang der SMUhr muss konstruktiv sichergestellt Die eichrechtlichen Anforderungen dienen dabei der Regulierung der folgenden vier Haupteigenschaften: Genauigkeit der Uhrzeit im Verhältnis zur gesetzlichen Zeit Genauigkeit von Zeitspannen, die Tarifstufenlängen, Messperioden und Registrierperioden definieren Dauer der Gangreserve Zeitfehler-Aktionen Anmerkung: Die Zeitstempelung von Messwerten und Ereignissen kann intern in UTC erfolgen. Auf Anzeigen für den Letztverbraucher muss die Zeit aber immer in der gesetzlichen Form (MEZ, MESZ) dargeboten Folgende anerkannte Regeln der Technik gemäß Anhang, Abschnitt 0 treffen hier zu: PTB-A Uhr WELMEC. 3 Uhr 5... Dauer der Gangreserve Die SMUhr muss über eine Gangreserve verfügen. Die Gangreserve ist ein Zeitraum innerhalb dessen die Uhr ohne externe Spannungsversorgung unter Einhaltung der in den folgenden Abschnitten 5... und genannten Fehlergrenzen weiterarbeitet. Das SMGW muss in der Lage sein, bei Wiederaufnahme des normalen Betriebs zu erkennen, ob die Dauer des Fehlerzustands größer war als die garantierte Gangreserve. In diesem Fall kann es zu einer unzulässigen Abweichung der Uhrzeit von der gesetzlichen Zeit gekommen sein und ein Eintrag im Eichlog hat zu erfolgen (Fehlercode gemäß 5...). Anmerkung: Es ist zu empfehlen, die Gangreserve höchstens so lang zu wählen, dass unter Berücksichtigung der Langzeitstabilität des Uhrenbausteins die hochgerechnete Abweichung bei Ablauf der Gangreserve gerade die Fehlergrenze (s.u.) erreicht hat. Eine längere Gangreserve ist nicht sinnvoll Genauigkeit der Uhrzeit Die SMUhr muss so synchronisiert werden, dass die Abweichung zur gesetzlichen Zeit stets kleiner als 3% der kleinsten Registrierperiode ist [TR, ]. Die kleinste Registrierperiode ist in [TR] auf ¼ h festgelegt. Bei jeder Synchronisation muss das SMGW entsprechend [TR, ] prüfen, ob die Abweichung der Uhrzeit von der Sollzeit größer als 3% ist. Falls dies zutrifft, liegt ein Fehler vor und es muss ein Eintrag im Eichlog erfolgen (Fehlercode oder 3 gemäß 5...). Infolgedessen sind alle Messungen, die synchron zur gesetzlichen Zeit erfolgen mussten, innerhalb des zurückliegenden Zeitraumes seit der letzten gelungenen Synchronisation ungültig. Die Uhren der SMGW dürfen sich nur mit den zugelassenen, unter der Kontrolle des oder der PTB stehenden Zeitservern synchronisieren (Anforderungen an die Zeitserver in Abschnitt 8). PTB-A508Entwurf_3053_workshopfassung 39 PTB-A508Entwurf_3053_workshopfassung 40

15 Anmerkung: Das SMGW soll überwachen, ob die Synchronisationen häufig genug gelungen sind. Hierzu soll der ein Toleranzintervall definieren können. Ist dieses Intervall verstrichen ohne dass eine Synchronisation erfolgt ist, soll der eine Warnmeldung erhalten. Für die Dimensionierung des Toleranzintervalls gilt dasselbe wie für die Bemessung der Gangreserve (s.o.) Genauigkeit von Zeitspannen Datenakquisition und Messwertverarbeitung erfolgt in einem SMGW entsprechend [TR] auf der Basis von Registrierperioden: Als Registrierperioden sind die Zeitspannen definiert, mit denen zyklisch eine Zeitstempelung und Abspeicherung von Messwerten erfolgt. Registrierperioden definieren die Granularität, bzw. das Zeitraster für die TAF. Eine Registrierperiode muss zur vollen Stunde (Gas) oder zur vollen ¼ Stunde (Strom) beginnen. Die Fehlergrenze für die Zeitspanne Registrierperiode beträgt ± % Zeitüberwachung der Datenakquisition von Zählern Die Registrierung von Zählerständen im SMGW muss im Takt der Registrierperioden, synchron zu vollen Stunden bzw. ¼-Stunden erfolgen. In Abschnitt ist beschrieben, wie dies für verschiedene Übertragungsverfahren gewährleistet werden kann. 5.3 Fehlererkennung Im Folgenden wird eine Liste typischer Fehler mit entsprechenden Fehlererkennungsmaßnahmen aufgeführt (siehe Tabelle 5-5). Im Rahmen von Zulassung bzw. Zertifizierung nach Eichrecht muss sie individuell entsprechend den Besonderheiten der Bauart erweitert Das SMGW muss in regelmäßigen Abständen Selbsttests durchführen. Sie können auch auf Befehl des initiiert In Tabelle 5-5 sind Beispiele für akzeptable technische Lösungen für diese Tests der in Spalte Erkennungsmaßnahme angegeben. Die Tabelle 5-5 enthält ferner eine Einteilung der Erkennungsmaßnahmen in Stufen: Die Maßnahmen der Testtiefe müssen in jedem Fall realisiert werden, die der Testtiefe sind optional und die Ergebnisse können bei eichtechnischen Prüfungen berücksichtigt Ein Selbsttest muss in parametrierbaren Intervallen automatisch oder manuell durch den ausgelöst Eine weitere Spalte enthält Fehlercodes gemäß 5..., Tabelle 5-. # Fehlerart Erkennungsmaßnahme Verfälschung von gespeicherten Daten aufgrund Test: Checksumme über eichrechtlich relevanten Programmcode, physikalischer Effekte Konfigurationsdateien, im Speicher und aufgrund von Manipulationen Parameter und gespeicherte Profile berechnen und mit Sollwert vergleichen. Testtiefe Fehler- Fehlerreaktion Code Bei Fehlererkennung je nach Schwere: Eintrag im Eichlog, Fehlermeldung an, Unterscheidung temporär/permanent, falls möglich; ggf. Profil automatisch neu anfordern, Reset, Abschaltung. 4 # Fehlerart Erkennungsmaßnahme Verletzung von Authentizität und Integrität eines Patches der Firmware oder der eichrechtlich relevanten Software Überprüfung der Authentizität und Integrität der empfangenen Patches mit den kryptografischen Mitteln des SMGW. 3 Fehler bei der Test: Überprüfung der Parametrisierung der Parameter des Profils anhand Profile der in Tabelle 5-3 bis Tabelle 5-0 angegebenen Ober- oder Untergrenzen 4 Übertragungsfehler oder Ausbleiben von erwarteten Nachrichten, dauerhaft 5 Fehlerhafte Synchronisation der Gesetzlichen Zeit 6 Fehler in der Zeitbasis des Gateways 7 (Unerwartetes) Ansprechen von Watchdogs Übertragungsfehler werden durch die in [TR] vorgegebenen Protokolle sicher erkannt. Timer-Überwachung, um zu lange Unterbrechungen zu erkennen Im LMN: siehe Verfahren in Abschnitt Ausfall der Synchronisation länger als Toleranzintervall Ausfall der Synchronisation länger als Toleranzintervall, Abweichung der internen Uhr zur gesetzlichen Zeit bei Wiederkehr zu groß (Betrag > 3% der Registrierperiode) Abweichung zum Synchronisationszeitpunkt zu groß (Betrag > 3% der Registrierperiode) Fehler, die zu Verzögerungen im Programmablauf führen 8 Fehler Kundendisplay Kundendisplay nicht gefunden oder Fehlermeldung vom Kundendisplay Vorrichtung gemäß [TR, 6.] zur Erkennung von (mechanischen) Eingriffen wie Gehäuseöffnung spricht an ) Testtiefe Fehlerreaktion Fehler- Code Bei Fehlererkennung: Eintrag im Eichlog, Fehlermeldung an, zurück auf Rückfallebene, Patch neu anfordern. Bei wiederholtem Fehlschlag in Rückfallebene verbleiben. Keine Verwendung der eingegebenen Werte, Eintragung im Eichlog; Meldung an Bei Überschreitung der max. Wiederholungen oder des Überwachungsintervalls: Eintrag in Eichlog, Meldung an (falls möglich); im LMN: Eintrag in Letztverbraucher-Log, ggf. Ersatzwert bilden Zeitpunkt A des Überschreitens des Toleranzintervalls (z.b. d) im Eichlog vormerken. Wenn spätere Synchronisation keine unzulässige Abweichung zeigte: Eintrag A mit weiterem Eintrag in Eichlog als ungültig erklären. Wenn spätere Synchronisation unzulässige Abweichung zeigte: Von der Ges. Zeit abhängige Werte ab A als ungültig kennzeichnen. Ggf. Ersatzwerte bilden. (Siehe5.) Von der Ges. Zeit abhängige Werte seit der letzten gelungenen Synchronisation als ungültig kennzeichnen. Ggf. Ersatzwerte bilden. (Siehe5.) Eintrag im Eichlog, Meldung an Test: Abfrage der Präsenz Bei Fehlererkennung: Eintrag im Eichlog, Meldung an Bei Fehlererkennung: Eintrag im Eichlog, Meldung an, je nach Schwere gegebenenfalls shut-down, irreversibel. 3, PTB-A508Entwurf_3053_workshopfassung 4 PTB-A508Entwurf_3053_workshopfassung 4 # Fehlerart Erkennungsmaßnahme 0 Fehler bei Rückkehr in Normalbetrieb nach Spannungsausfall; Fehler im Watchdog, Fehler im Back-up- Speicher Testprozedur: Simulation Spannungsausfall- Spannungswiederkehr (evtl. durch Reset des SMGW); Test der Back-up-Funktion und des richtigen Wiederanlaufs; Feststellen, ob Messwerte dabei verloren gegangen sind oder zu große Abweichungen zu Sollwerten bei kumulativen Registern entstanden sind, indem vor Beginn des Tests die aktuellen Werte in nichtflüchtigen Speicher zum Vergleich gerettet Verfälschung von gespeicherten Daten aufgrund Test: Vollständige Überprüfung aller Speicher: Patterntest des RAMs (z.b. wie memtest_x86 bei physikalischer Effekte Linux), der Festplatten und SSDs, in Speichern und der Ansteuerelektronik EEPROMs, Flashspeicher mit an die Technologie angepassten Algorithmen. Beeinflussung der eichrechtlich relevanten Prozesse durch andere aufgrund von Konfigurationsfehlern des - Programmlaufüberwachung: Festlegung von Kontrollpunkten im Code. Prüfung, ob Kontrollpunkte angesprungen - Überwachung der Laufzeiten metrologisch relevanter, (Installation zu vieler, kritischer Programme bzw. zu komplexer Profile); Fehler bei der Ermittlung der notwendigen Ressourcen Programmabschnitte. - Zählung der aktiven Prozesse und Vergleich mit einer zulässigen Obergrenze - Überwachung des freien Stacks/Heaps/Swap-Speichers Tabelle 5-5: 5.4 Eichlog 9 Manipulationsversuch Testtiefe Fehlerreaktion Fehler- Code Wenn Fehlergrenze beim Test überschritten wurde: Eintrag in Eichlog, Meldung an. Bei Fehlererkennung je nach Schwere: Eintrag im Eichlog, Fehlermeldung an, Unterscheidung temporär/permanent, falls möglich; ggf. Reset, Abschaltung. Bei erkanntem Fehler: Eintrag im Eichlog, Meldung an, je nach Schwere: Reset. Eichrechtlich relevante Fehler und akzeptable technische Lösungen für Fehlererkennungsmaßnahmen und -reaktionen Fehlercode: siehe Tabelle 5-; Testtiefe: siehe Text Ereignisse, die zu einer Verfälschung von Messwerten oder Beeinflussung von Messfunktionen führen können und die unter Umständen zum Zeitpunkt der Verwendung der Messwerte nicht mehr offensichtlich sind, müssen zu Einträgen im Eichlog führen. Eichrechtliche Anforderungen: PTB-A Eichtechnisches Logbuch WELMEC 7. P7/U7 Parameterschutz, 3, 4, 3, 4 In Tabelle 5-6 sind die Ereignisse zusammengestellt, die einen Eintrag im Eichlog erfordern. Abhängig von der Bauart können noch weitere hinzukommen. Das Format der Einträge im Eichlog muss mindestens die folgenden Felder aufweisen: Art des Ereignisses (codiert) Gegebenenfalls Wert des geänderten Parameters Zeitstempel Verantwortlicher (Benutzerkennung) bei Ereignissen, die durch Handlungen des s verursacht wurden Fehlercode gemäß 5..., Tabelle 5-. Es muss ferner differenziert werden, ob die Eintragung für das SMGW, die Anzeige, einen angeschlossenen Zähler oder einen Kommunikationsadapter betrifft. Gemäß [TR, 5.3.] ist auch vorgesehen, derartige Ereignisse im Letztverbraucherlog zu registrieren. Hierbei ist zu beachten, dass es sich um eine Kopie für den von der Unregelmäßigkeit betroffenen Letztverbraucher handelt; der primäre Eintrag befindet sich im Eichlog. Das Eichlog kann vom ausgelesen Vor der Übertragung muss es mit einer inneren Signatur unter Verwendung des privaten Schlüssels des SMGW versehen Zur Kontrolle der Unversehrtheit des Eichlogs kann der öffentliche Schlüssel am Kundendisplay abgelesen werden (siehe (c)). # Ereignis / Parameter Eintrag Zuständige Eichbehörde Die zuständige Eichbehörde bzw. Prüfstellenbezeichnung sowie das Eichjahr und alle diesbezüglichen Änderungen MÜSSEN im Eichtechnischem Log protokolliert a Inbetriebnahme Die Inbetriebnahme des SMGW MUSS im Eichtechnischem Log protokolliert b c Eichung, Befundprüfung Auslösung eines Selbsttests Falls eine (Nach-)eichung, Nachschau oder Befundprüfung stattgefunden hat, muss dieses Ereignis im Eichlog registriert Die Initiierung eines Selbsttests (siehe 5.3) muss im Eichlog registriert 3 Neuer Zähler Der Anschluss und die Registrierung eines jeden neuen Zählers MUSS im Eichtechnischem Log protokolliert 4 Entfernung eines Zählers 5a 5b Änderung von Auswertungsprofilen Änderung von Zählerprofilen Die Loslösung eines Zählers vom SMGW MUSS im Eichtechnischem Log protokolliert Jede Änderung (einschließlich Parametrierung) an Auswertungsprofilen gemäß Kapitel [TR, 4.4], sofern der Parameter in Tabelle 5-3 bis Tabelle 5-0 als eichrechtlich relevant gekennzeichnet ist, sowie das Einbringen und Löschen von Auswertungsprofilen MUSS im Eichtechnischem Log protokolliert Jede Änderung (einschließlich Parametrierung) an Zählerprofilen, sofern der Parameter in Tabelle 5- als eichrechtlich relevant gekennzeichnet ist, sowie das Einbringen und Löschen von Zählerprofilen MUSS im Eichtechnischem Log protokolliert 6 Softwareupdate Jedes Update des eichtechnisch relevanten Softwareanteils (serialiserte COSEM- Objekte, Regelwerk) MUSS im Eichtechnischen Log protokolliert 7 Firmwareupdate Jedes Firmwareupdate (hierzu zählt auch ein Betriebssystemupdate, falls vorhanden) MUSS im Eichtechnischen Log protokolliert PTB-A508Entwurf_3053_workshopfassung 43 PTB-A508Entwurf_3053_workshopfassung 44

16 # Ereignis / Parameter Eintrag 8 Fehlermeldung eines Zählers 9 Fehlermeldung des SMGW Tabelle 5-6: Alle Fehlermeldungen der angeschlossenen Zähler MÜSSEN im Eichtechnischen Log gemäß Abschnitt 5... unter Nennung der Geräte-ID protokolliert Die aufgrund von Selbsttests (siehe 5.3) oder auf andere Weise erkannten eichrechtlich relevanten Fehler des SMGW müssen im Eichlog registriert Inhalt des Eichlogs, basierend auf [TR, Tab. 43] mit eichrechtlichen Ergänzungen. Das Logbuch darf nicht ohne Verletzung einer eichtechnischen Sicherung gelöscht werden können. Ist die Kapazität des Logbuchs erschöpft, dürfen weitere Änderungen, die zu einem Eintrag im Eichlog geführt hätten, nicht mehr ohne Verletzung einer eichtechnischen Sicherung möglich sein. 5.5 Maßnahmen zum Schutz gegen Manipulationen Die eichtechnisch relevanten Funktionen und Daten des SMGW dürfen nicht mit einfachen Mitteln verfälscht bzw. gestört werden können. Eichrechtliche Anforderungen: PTB-A Maßnahmen zum Schutz gegen Manipulationen WELMEC 7. P6/U6 Schutz vor vorsätzlichen Änderungen Die in [TR, 6.] verlangten Sicherungsmaßnahmen sind auch aus eichrechtlicher Sicht ausreichend zur Erfüllung der Anforderungen. Vor der Übertragung von Informationen, die über die nächste Gegenstelle im WAN oder HAN hinaus übertragen oder extern für spätere eichrechtliche Zwecke gespeichert werden sollen, muss dem Datensatz eine innere Signatur hinzugefügt Dies trifft z.b. auf die exportierte abgeleitete Messwertliste für den EMT oder das Eichlog für die Überwachungsbehörde zu. Die Signierung erfolgt mit dem privaten Schlüssel des SMGW. Der öffentliche Schlüssel kann am Kundendisplay ohne vorherige Autorisierung angezeigt werden (siehe (c)). Die zum Einsatz kommenden Algorithmen und Schlüssellängen müssen den in [TR, 5..] und [6] festgelegten entsprechen. 5.6 Spezielle eichrechtliche Anforderungen an die Software 5.6. Rückwirkungsfreiheit der SMSchnittstellen Kein über die Schnittstelle empfangener Befehl oder Datenfluss darf eine unzulässige Wirkung im SMGW haben. Dies ist der übereinstimmende Grundsatz, auf dem PP und TR einerseits und die eichrechtlichen Anforderungen andererseits basieren. Die Umsetzung in einzelne Detailanforderungen führt bei PP und TR zur Definition von Rollen, denen bestimmte Aufgaben und Verantwortlichkeiten zugeschrieben Die PTB-Anforderungen sind bei der Konkretisierung mehr auf die technische Beschränkung von unzulässigen Funktionen und Wirkungen im Gerät ausgerichtet, unabhängig davon, welcher Rollenvertreter eine Aktion auslöst. Vor diesem Hintergrund sind in der PTB-Anforderung im Detail einige Ergänzungen und Konkretisierungen zu dem System PP/TR hinzuzufügen Generelle Anforderung zur Rückwirkungsfreiheit von Schnittstellen PTB-A 50.7, A A3 WELMEC Rückwirkungsfreiheit von Schnittstellen P3/U3, P4/U4 Rückwirkungsfreiheit von Schnittstellen Es muss einen Programmteil im eichrechtlich relevanten Teil der Software geben, der die empfangenen Befehle interpretiert. Der Interpreter darf nur gültige Befehle akzeptieren; bei Empfang anderer Befehle müssen diese als solche identifiziert und verworfen Anmerkungen: "Befehle" sind alle Eingangsdatenflüsse, die im SMGW eine Wirkung wie Datenänderung, Funktionsbeeinflussung usw. hervorrufen. Der Interpreter hat die Aufgabe, nur definierte, allein durch die Software des Gerätes selbst festgelegte Funktionalitäten zuzulassen oder nicht. Handelt es sich bei dem Datenfluss dagegen um sehr komplexe Befehle wie z.b. serialisierte Objekte, so lässt sich die Modellvorstellung eines Interpreters als Filter nicht anwenden und dieser Datenfluss ist als Download aufzufassen, der entsprechend Anhang A, Abschnitt 0 zu behandeln ist. In den folgenden Abschnitten werden für in PP/TR definierte Schnittstellen zu einer Rolle zugeordneten Geräten, Beschränkungen für Zugriffe auf konkrete Daten und Funktionen festgelegt, sofern sie eichrechtlich eine Bedeutung haben. Bei den in PP/TR definierten Bezeichnungen für Schnittstellen handelt es sich nicht um Hardware- Schnittstellen des SMGW, sondern um ein- und austretende Kommunikationsverbindungen zu dem in der Bezeichnungen erscheinenden Kommunikationspartner (Rolle oder Gerät) Schnittstelle zum Kundendisplay Diese Schnittstelle trägt die Bezeichnung IF_GW_CON und beschreibt die Kommunikation mit der Software auf der Messsystemkomponente Kundendisplay. Es handelt sich um eine TLS-gesicherte Verbindung über das HAN. Zulässiger Empfang und Auswertung von http-requests bzw. ML-Schemen (vergleiche Abschnitt5...3.): Benutzerautorisierung: Es dürfen in Zusammenhang mit der Benutzerautorisierung mit HKS [TR, ] nur Requests akzeptiert werden, die zur Benutzerführung des Autorisierungsvorgangs mit http-digest-access-authentication zusammen hängen. Navigation: Es dürfen nur Requests in Zusammenhang mit der Navigation innerhalb des Vorrats der im SMGW gespeicherten bzw. generierten HTML-Seiten akzeptiert Interaktion über Bedienoberfläche am Kundendisplay: Es dürfen nur Requests in Zusammenhang mit Bedienhandlungen auf dem Kundendisplay akzeptiert werden (z.b. Klick auf einen Software-Button). Dateneingabe: Es dürfen nur Daten im richtigen Wertebereich und richtigen Format akzeptiert Es sind Maßnahmen gegen Cross-Side-Scripting vorzusehen. Bei jeglicher Eingabe über diese Schnittstelle darf es nicht möglich sein, eichrechtlich relevante Parameter oder gespeicherte Messwerte zu verändern oder andere Funktionen auszulösen als die genannten Schnittstelle zu steuerbaren Komponenten Diese Schnittstelle trägt die Bezeichnung IF_GW_CLS und beschreibt die Kommunikation mit der steuerbaren Geräten und Einrichtungen im HAN. Es handelt sich um eine TLS-gesicherte Verbindung. PTB-A508Entwurf_3053_workshopfassung 45 PTB-A508Entwurf_3053_workshopfassung 46 Die über diese Schnittstelle gemäß TR vorgesehene Kommunikation ist eichrechtlich nicht relevant. Eingaben und eingehende Datenflüsse über diesen Kanal dürfen keine Auswirkungen auf die eichrechtlich relevanten Daten, Parameter und Programme haben Schnittstelle zum (WAN) Diese Schnittstelle trägt die Bezeichnung IF_GW_WAN mit den Kommunikationsszenarien MANA- GEMENT oder ADMIN-SERVICE gemäß [TR, 3..3, 4.4.4] und beschreibt die Kommunikation mit der Software auf einem Rechner des Gateway-istrators. Es handelt sich um eine TLSgesicherte TCP/IP-Verbindung über das WAN. Folgende Kommunikation der Rolle über diese Schnittstelle ist zulässig (Aufzählung basierend auf [TR, 4.5.3]): Erkennung und Autorisierung eines Teilnehmers mit der Rolle "" gemäß Vorgaben in PP/TR Abruf des Eichlogs (und des System-Logs, welches aber nicht eichrechtlich relevant ist) Konfiguration bezüglich der Messwerterfassung, Messwertverarbeitung und Versand von Messwerten und anderen Informationen an externe Marktteilnehmer Konfiguration für die Festlegung welche externen Marktteilnehmer mit dem SMGW kommunizieren dürfen und welche Informationen diese über externe Schnittstellen erhalten dürfen Konfiguration des Sicherheitsmoduls Konfiguration des Zertifikatsmaterials im SMGW Parametrisierungen für die einzelnen Tarifanwendungsfälle. Jeder Änderung der eichrechtlich relevanten Parameter erfordert eine Eintragung im Eichlog bzw. Letztverbraucher- Log (siehe Abschnitt5...). Im SMGW müssen technische Vorkehrungen getroffen sein, die die im Folgenden aufgeführten Aktionen verhindern oder beschränken: Gemäß [TR] ist der berechtigt Software-Updates nach Überprüfung der Authentizität der Software einzuspielen. Aus eichrechtlicher Sicht ist dies aber nur gewissermaßen eine Vorprüfung, denn die eigentliche Überprüfung der Authentizität und Integrität muss automatisch im SMGW gemäß Anhang A, Abschnitt 0., D-D4 erfolgen. Die zu ladende Softwaremuss eine Zulassung bzw. ein Zertifikat einer Benannten Stelle für das gesetzliche Messwesen besitzen. Diese Anforderung betrifft insbesondere das Regelwerk. Gemäß [TR] ist der berechtigt Zählerprofile einzuspielen. Ist damit das Laden von ausführbarem Code verbunden, handelt es sich aus eichrechtlicher Sicht um einen Software-Download, der gemäß Anhang A, Abschnitt 0., D-D4 erfolgen muss; der darf den Vorgang nur initiieren können. Diese Zählerprofile müssen eine Zulassung bzw. ein Zertifikat einer Benannten Stelle für das gesetzliche Messwesen besitzen. Falls andere Akteure für den Inhalt von Profilen oder Profil-Parametrisierungen verantwortlich sind als der (z.b. der Lieferant), darf der das Einspielen in das SMGW nur initiieren können. Das Laden und die Prüfung der Authentizität und Integrität muss das SMGW entsprechend Anhang A, Abschnitt0., Anforderungen D bis D4 durchführen. Der darf nur die im Rahmen der eichrechtlichen Baumusterprüfung festgelegten Parameter und Funktionen des SMGW beeinflussen können. Die Einstellungen durch den erfolgen durch Parametrisierung der Zählerprofile und des Regelwerks. Die damit initiierten oder gesteuerten Funktionen müssen automatisch ohne weitere Aktionen des ablaufen. Der direkte Zugriff auf eichrechtlich relevante Daten oder Funktionen darf für den nicht möglich sein. Der darf das Eichlog und die Letztverbraucher-Logs nicht löschen oder verändern können (entspricht [TR, 4.5.3]). Der darf Eichlog-/Letztverbraucher-Log-Einträge bei Änderung eichrechtlich relevanter Parameter nicht umgehen oder verhindern können. Besitzt das SMGW ein Betriebssystem, so darf der nicht die Rolle des Betriebssystemadministrators einnehmen können (z.b. root, admin ). Auf Betriebssystemebene darf der nur ein normaler Benutzer ohne Privilegien sein können Schnittstelle zum Service-Techniker Diese Schnittstelle trägt die Bezeichnung IF_GW_SRV und beschreibt die Kommunikation mit der Software auf dem Diagnosegerät eines Service-Technikers. Es handelt sich um eine TLS-gesicherte TCP/IP-Verbindung über das HAN. Über diese Schnittstelle darf nur lesender Zugriff möglich sein [TR, 3.4..] Schnittstelle zu den Einrichtungen des externen Marktteilnehmers Diese Schnittstelle trägt die Bezeichnung IF_GW_WAN mit den Kommunikationsszenarien INFO- REPORT gemäß [TR, 3..3, 4.4.4] und beschreibt die Kommunikation mit der Software auf einem Rechner des Autorisierten Externen Marktteilnehmers. Es handelt sich um eine TLS-gesicherte TCP/IP-Verbindung über das WAN. Der externe Marktteilnehmer erhält ausschließlich Informationen vom SMGW, die durch Auswerteprofile vom SM festgelegt worden sind. Er erhält keinen direkten Zugriff auf Zähler im LMN und keinen direkten Zugriff auf originäre Messwertlisten, sofern der jeweilige Anwendungsfall dies nicht rechtfertigt. Anmerkung: Diese Rechtfertigung liegt bei TAF für den eichpflichtigen Betrieb im Allgemeinen nicht vor. Es sind nur Zugriffe auf die abgeleiteten Messwertlisten und gegebenenfalls die Datenstruktur mit dem aktuellen Zählerstand zulässig Schnittstelle zur Verwenderüberwachung (WAN) Direkte Schnittstelle zum Terminal der Verwenderüberwachung (WAN) Dieser Zugang ist gemäß PP/TR momentan nicht vorgesehen Übermittlung der Informationen an die Verwenderüberwachung über. Der muss der Überwachungsbehörde jederzeit den Inhalt des Eichlogs beliebiger SMGW auf Anforderung zur Verfügung stellen. Hierzu muss das SMGW folgende Anforderung erfüllen: Das SMGW muss das Eichlog vor Versand an den mit dem privaten Schlüssel des SMGW signieren. Der muss die geforderten Informationen unverzüglich vom betreffenden SMGW abrufen und unverändert an die Überwachungsbehörde weiterleiten. Im Rahmen einer Befundprüfung sind auch gleichzeitig die Daten von ein oder mehreren betroffenen Letztverbrauchern notwendig. Die Letztverbraucher müssen diese auf separatem Wege liefern Direkte Schnittstelle zur Letztverbraucher-Anzeige (WAN) Diese Schnittstelle ist momentan in PP/TR nicht vorgesehen. Falls sie in einer zukünftigen Version freigegeben wird, gelten folgende Anforderungen: PTB-A508Entwurf_3053_workshopfassung 47 PTB-A508Entwurf_3053_workshopfassung 48

17 Erkennung und Autorisierung eines Teilnehmers mit der Rolle "Letztverbraucher im WAN" Zugangsbeschränkung, festgelegt durch ein Kommunikationsprofil, das dem betreffenden Letztverbraucher zugeordnet ist. Letztverbraucher darf nur auf die ihm betreffenden Daten zugreifen können. Verantwortlich für die Zugriffsbeschränkungen auf Daten ist der Anmerkung: Bei der Anzeige über die WAN-Verbindung handelt es sich um eine Messwertwiederholung, die von der Eichpflicht ausgenommen ist. Die eichpflichtige Anzeige ist das Kundendisplay, das sich im HAN befindet. Die hier genannten Anforderungen sollen die Rückwirkungsfreiheit der Schnittstelle zum WAN gewährleisten Schnittstelle zum LMN Über die Schnittstelle zum LMN mit der Bezeichnung IF_GW_MTR erfolgt die Kommunikation mit Zählern und Kommunikationsadaptern. Es dürfen nur kryptografisch gesicherte Verbindungen aufgebaut werden können [TR, 3.3, 0]. Anforderungen: Es dürfen keine Zähler und Kommunikationsadapter dem LMN ohne Registrierung im Eichlog hinzugefügt, ausgetauscht oder gewechselt werden können: das SMGW darf nur mit den bekannt gemachten Zählern und Kommunikationsadaptern kommunizieren. Die Rückwirkungsfreiheit der Schnittstelle wird in den Zählerprofilen festgelegt. Diese müssen gewährleisten, dass über die Schnittstelle nur der Messwertempfang erfolgt und die Daten, Parameter und Funktionen des SMGW nicht in unzulässiger Weise über diese Schnittstelle beeinflusst werden können. Es dürfen nur die zugelassenen und autorisierten Zählerprofile installiert werden können Eichrechtliche Anforderungen aus der vorgegebenen Softwarearchitektur Durch PP und TR werden zum Teil detaillierte Vorgaben an die Software des SMGW unter Datensicherheitsaspekten aufgestellt. Diesen liegt ein System von Rollen und ihren Berechtigungen zugrunde. Aus diesen Vorgaben ergibt sich eine grobe Softwarearchitektur, die im SMGW realisiert werden muss. Wie oben erläutert, ist es aus eichrechtlicher Sicht zum Teil erforderlich, gewisse Anforderungen zu ergänzen bzw. in der TR aufgestellte Forderungen genauer zu spezifizieren Abbildung der Rollen Die in [PP] bzw. [TR] definierten Rollen beinhalten Berechtigungen und Zugriffsverbote usw. für die jeweiligen Rollenvertreter. Nach Eichrecht müssen diese Beschränkungen auch technisch so umgesetzt sein, dass der betreffende Vertreter der Rolle gar nicht in der Lage ist, gegen diese Vorgaben zu verstoßen. Die folgenden Anforderungen an das SMGW sollen die Ge- und Verbote für die Rollenvertreter in entsprechende technische Schutzmaßnahmen übersetzen. Es handelt sich nicht nur um Schutzmaßnahmen, sondern auch um funktionelle Anforderungen an das System. Entsprechend einer objektorientierten Beschreibung, die keine Vorgabe für eine reale Realisierung sein soll, wird hier von Instanzen (Objekten) gesprochen, die einem Rollenvertreter zugeordnet sind und gewisse Funktionen, Datenrepräsentationen und Parameter besitzen. Es kann so viele Instanzen für Rollenvertreter und deren zugehörigen Unter-Instanzen geben, wie es die Ressourcen des SMGW erlauben. Zur Gewährleistung der Betriebssicherheit muss aber vom Hersteller eine Obergrenze angegeben werden, bis zu der ein fehlerfreier Betrieb noch möglich ist (siehe 5..., 5.3, Tabelle 5-5) Modell-Instanz für den Letztverbraucher Die hier angesprochene Instanz ist der Teil der Software, mit der ein realer Letztverbraucher kommuniziert, die Informationen über ihn bereithält und diese an andere reale Rollenvertreter oder andere Software-Objekte weitergibt, und die schließlich alle die Informationen, die den Letztverbraucher betreffen, zusammenhält und gegen unzulässige Zugriffe schützt. Es ist vorteilhaft, die Software wie beschrieben zu organisieren, weil auf diese Weise automatisch eine Kapselung gegen andere Software erfolgt (siehe 5.6.3); dies ist aber nicht verpflichtend. Die im Folgenden beschriebenen Funktionen einer Software-Instanz für den Letztverbraucher stellen ein Beispiel für eine eichrechtlich akzeptable technische Lösung dar. Diese Instanz enthält die folgenden Funktionen: - Funktion, mit der Vertragsdaten (Name oder Kennung des Lieferanten, eigene Kundennummer, Vertragsnummer usw.) in die Datenstruktur der Instanz übernommen - Funktion, die eichrechtlich relevante Ereignisse (s.u.), die den Letztverbraucher betreffen, in das Letztverbraucher-Log einträgt. - Funktion, die relevante Informationen aus dem Eichlog in das Letztverbraucher-Log kopiert, damit nicht das komplette Eichlog im Zugriff des Letztverbrauchers liegt. - Funktionen, mit denen man die Datenstrukturen für einen neuen Letztverbraucher einrichten kann und Funktionen, mit denen man das Beenden eines Vertragsverhältnisses eines Letztverbrauchers abbilden kann. Die Instanz, die zu dem abgemeldeten Letztverbraucher gehört, muss noch bis zum Ende der Einspruchsfrist nach Erhalt der letzten Rechnung weiter existieren und für alle Berechtigten ansprechbar bleiben (ehemaliger Letztverbraucher,, ehemaliger externer Marktteilnehmer). Nach Ablauf der Frist wird die Instanz des ehemaligen Letztverbrauchers automatisch komplett einschließlich aller in der Datendomäne befindlichen Instanzen gelöscht. Die Frist kann vom parametriert - Funktion zur Erzeugung der Inhalte der Messwertanzeige und Übergabe des Ergebnisses an den Server für die Anzeige auf dem Kundendisplay, siehe Die im Folgenden beschriebene Datendomäne einer Software-Instanz für den Letztverbraucher stellt ein Beispiel für eine eichrechtlich akzeptable technische Lösung dar: - In der Datendomäne der Letztverbraucher-Instanz gibt es genau eine Instanz einer originären Messwertliste je angeschlossenem und dem Letztverbraucher zugeordneten Zähler, in die aktive Eintragungen durch die Datenakquisition (siehe 5...) erfolgen. - In der Datendomäne der Letztverbraucher-Instanz gibt es eine Zuordnungsliste mit Zähler- Geräte-IDs, die diesem Letztverbraucher zugeordnet sind, einerseits und einer Referenz auf die zugehörige Instanz einer originären Messwertliste andererseits. Änderungen in der Zuordnungsliste sind nur dem -Account mit Protokollierung im Eichlog möglich. - Bei Zählerwechsel wird sofort eine neue originäre Messwertlisten-Instanz in der Datendomäne der Letztverbraucher-Instanz erzeugt und ab diesem Zeitpunkt für die Eintragung der Zählerstände durch die Datenakquisition verwendet. Es erfolgt eine Anpassung der o.g. Zuordnungsliste durch den. - Die alte originäre Messwertlisten-Instanz wird sofort bei Zählerwechsel automatisch schreibgeschützt so dass die Datenakquisition (siehe 5...) keine Eintragung mehr vornehmen kann. Sie wird automatisch komplett gelöscht, wenn nach Entfernen des zugehörigen Zählers die Einspruchsfrist für die entsprechende Rechnung abgelaufen ist. - Die originäre Messwertliste, die sich in der Datendomäne einer Instanz eines ehemaligen Letztverbrauchers befindet, wird sofort nach Abmeldung des Letztverbrauchers schreibge- PTB-A508Entwurf_3053_workshopfassung 49 PTB-A508Entwurf_3053_workshopfassung 50 schützt, so dass die Datenakquisition (siehe 5...) keine Eintragung mehr vornehmen kann. - Eine originäre Messwertlisten-Instanz kann durch keinen Account sondern nur durch eine Systemfunktion gelöscht oder verändert - In der Datendomäne der Letztverbraucher-Instanz gibt es eine Instanz des Letztverbraucher-Logs. Änderungen durch Benutzereingaben sind keinem Account möglich, lesenden Zugriff hat nur der Account des besitzenden Letztverbrauchers. - In der Datendomäne der Letztverbraucher-Instanz gibt es für jeden von den Vertragspartnern vereinbarten Tarifanwendungsfall eine Tarifanwendungsfall-Instanz. Die Erzeugung und Löschung dieser Instanzen ist in 5... beschrieben. - Die Letztverbraucher-Instanz besitzt eine Datenstruktur zur Übergabe der zur Anzeige vorgesehenen HTML-Seiten an den Server für das Kundendisplay (siehe ). - In der Datendomäne der Letztverbraucher-Instanz gibt es nur genau eine Instanz des Kommunikationsprofils [TR, 4.4.4] für den Letztverbraucher, eine für das des s sowie je eine für das jedes externen Marktteilnehmers, der vom autorisiert wurde. Änderungen in den Datenstrukturen dieser Instanzen selbst sind wiederum nur dem -Account möglich. Beispiele für Funktionen, die zu diesem Teil der Software gehören: - Datenakquisition - Führen des Eichlogs - Funktion, die Änderungen der eichrechtlich relevanten Parameter vornimmt. Hierzu zählen z.b. ein Zählerwechsel, das Laden eines neuen Zählerprofils, das Laden eines neuen Auswerteprofils usw. - Funktionen, die die Zugriffsbeschränkungen für Zugriffe durch Accounts realisieren. In regelmäßigen Abständen oder auf Veranlassung des s muss die Selbsttest- Prozedur entsprechend Abschnitt 5.3 gestartet Wenn ein Software-Update durchgeführt werden soll, muss gemäß den Anforderungen in Anhang A in Abschnitt 0., D-D4 erfolgen Trennung gegen eichrechtlich nicht relevante Softwareteile Es ist möglich, die Software in einen eichpflichtigen und einen nicht eichpflichtigen Teil zu trennen. Zwischen beiden Teilen muss eine informationstechnische Schnittstelle definiert Modell-Instanz für die Überwachungsbehörde Die unter beschriebene Modell-Instanz für den Letztverbraucher kann als Vorlage für den Aufbau einer entsprechenden Instanz für die Überwachungsbehörde dienen Modell-Instanz für den Die unter beschriebene Modell-Instanz für den Letztverbraucher kann als Vorlage für den Aufbau einer entsprechenden Instanz für den dienen Modell-Instanz für den Service-Techniker Die unter beschriebene Modell-Instanz für den Letztverbraucher kann als Vorlage für den Aufbau einer entsprechenden Instanz für den Service-Techniker dienen Modell-Instanz für den Externen Marktteilnehmer Die unter beschriebene Modell-Instanz für den Letztverbraucher kann als Vorlage für den Aufbau einer entsprechenden Instanz für den Externen Marktteilnehmer dienen Verwaltung, eichrechtlich relevante Prozeduren und Prozesse Realisierung von inneren Accounts für rollen-gebundene Operationen: Nach erfolgter Authentifizierung eines Rollenvertreters am SMGW [TR, 3.4.3, 4.4.4] muss ein innerer Rollenvertreter-Account für die Dauer des eingeloggten Zustands eingerichtet Dies hat zum Ziel, dass auch Software-Objekte, deren Funktionen stellvertretend für den realen Rollenvertreter Operationen und Datenzugriffe ausführen, denjenigen Beschränkungen unterliegen, die für die jeweilige Rolle gelten. Eichrechtlich relevante Dienste: Neben den rollen-gebundenen Operationen und der Messwertverarbeitung müssen folgende Aufgaben und Dienste ausgeführt werden: Es gibt einen Teil der Firmware bzw. Systemsoftware, der alle eichrechtlich relevanten nicht rollen-gebundenen Operationen ausführt. PTB-A Softwaretrennung WELMEC 7. S S3 Softwaretrennung Der oben unter beschriebene objektorientierte Ansatz ist eine gute Voraussetzung, um Softwaretrennung realisieren zu können. Funktionen, die in diesem Abschnitt diskutiert wurden, wie Datenakquisition, Zeitstempelung, Regelwerk und Auswerteprofile, Generierung der Anzeige, Verwaltung der Logs, Steuerung von Updates, Selbsttests usw. gehören zum eichrechtlich relevanten Softwareteil. Es können noch weitere hinzukommen, abhängig von der tatsächlichen Realisierung. Besonderheit: Aus [TR, 3..4] geht hervor, dass die WAN-Kommunikation über COSEM-Interface- Classes durchgeführt wird. Dies ist nur zulässig, wenn entweder nur Objekte übertragen werden, die keinen serialisierten Code enthalten, oder wenn ein Framework realisiert wird, das zwischen der SMSoftware und den empfangenen Objekten eine Trennung realisiert. Diese Umgebung hat die Aufgabe die restliche Software des SMGW nach den Regeln der Softwaretrennung zu isolieren. Die Schnittstelle zwischen COSEM-Objekt und SMSoftware/-Firmware muss rückwirkungsfrei sein, d.h. es darf keine unzulässigen Wirkungen auf die Software über diese Schnittstelle geben. {{Diese Passage wird gegebenenfalls nach Abschluss der Feinspezifikation durch die einschlägigen Gremien überarbeitet.}} 5.7 Stromversorgung Relevante anerkannte Regeln der Technik: PTB-A Stromversorgung WELMEC 7. I- / I3- Fehlerbehebung I- / I3- Backup-Einrichtung Die Stromversorgung muss einen störungsfreien Betrieb und eine sichere Verarbeitung und Speicherung der Messwerte gewährleisten. Ein Ausfall der Stromversorgung muss sicher erkannt werden und zu einer sicheren Speicherung der aktuell gültigen Werte führen. Hierzu muss eine PTB-A508Entwurf_3053_workshopfassung 5 PTB-A508Entwurf_3053_workshopfassung 5

18 Einrichtung vorhanden sein, die für ein regelmäßiges Backup rechtlich relevanter Daten (wie z. B. Messwerte und der aktuelle Prozessstatus) im Falle einer Störung sorgt. Diese Daten müssen in einem Permanentspeicher gehalten Nach einer Wiederkehr der Stromversorgung muss eine Initialisierung des Gerätes erfolgen, die gespeicherten Daten müssen aus dem Backup- Speicher zurückgeholt werden und die Software muss zur normalen Verarbeitung zurückkehren. 6 Messsystemkomponente Kundendisplay 6. Funktionen des Kundendisplays Das Kundendisplay dient dazu, Informationen für den Letztverbraucher, die im SMGW erzeugt worden sind, darzustellen und dem Letztverbraucher eine Interaktion mit dem SMGW zu ermöglichen. Die Software muss folgende Funktionen realisieren: Das Kundendisplay darf nur einen Weckruf an das SMGW senden entsprechend [TR]. Das SMGW baut dann eine TLS-gesicherte Verbindung zum Kundendisplay auf. Das Kundendisplay darf keine Verbindungen zu anderen Komponenten aufbauen oder Verbindungswünsche von anderen akzeptieren. Falls im SMGW ein http-server realisiert ist (siehe ()), muss im Kundendisplay ein Browser implementiert sein, der mit dem Server kompatibel ist und die anzuzeigenden Inhalte fehlerfrei wiedergeben kann. Falls zwischen SMGW und Kundendisplay eine Socket-Verbindung implementiert ist ( ) muss im Kundendisplay eine kompatible Applikation implementiert sein, die die anzuzeigenden Inhalte fehlerfrei wiedergeben kann. Sie muss die empfangenen ML- Strukturen interpretieren und in die grafische Benutzeroberfläche des Kundendisplays transformieren können. Die Schnittstellen des Kundendisplays müssen rückwirkungsfrei sein, d.h. die Anzeige der vom SMGW erzeugten Inhalte, die Navigation und Benutzerführung und die Benutzer- Autorisierung dürfen nicht über die Schnittstellen beeinflussbar sein. Die Software des Kundendisplays muss im Zusammenspiel mit den Hardware- Bedienelementen und der Anzeige eine Navigation und Benutzerführung erlauben. Diese muss ergonomischen Grundsätzen genügen [ERGON]. Die Software des Kundendisplays muss im Zusammenspiel mit den Bedienelementen und dem Zertifikatsträger eine sichere Autorisierung des Benutzers erlauben. 6. Anforderungen an die Hardware des Kundendisplays 6.. Vorrichtungen Das Kundendisplay muss mit folgenden Hardware-Vorrichtungen ausgestattet sein: Display, das groß genug ist, um ergonomischen Anforderungen zu genügen. Vorrichtung zur Aufnahme des Zertifikatsträgers des jeweiligen Letztverbrauchers, Service-Technikers oder Überwachungspersonals [TR, HKS] ODER Vorrichtung zur Eingabe von Kennung und Passwort des jeweiligen Letztverbrauchers, Service-Technikers oder Überwachungspersonals [TR, HKS]. Vorrichtung zur Eingabe von Bedienerbefehlen - Beispiele für akzeptable technische Lösungen für Bedienelemente sind: x-y- Kreuzschalter und Tastatur oder Touchscreen 6.. Eichtechnische Sicherung Das Gehäuse des Kundendisplays muss wie das SMGW eichtechnisch gesichert werden können (siehe 5.5) Stromversorgung Es gelten dieselben Anforderungen wie für das SMGW (siehe 5.7), ein Backup ist jedoch nicht erforderlich. 7 Messsystemkomponente Kommunikationsadapter Ein Kommunikationsadapter verbindet einen Zähler, der nicht über ein im LMN zulässigen Protokoll kommunizieren kann, mit dem LMN. Der Adapter muss auf der LMN-Seite die in [TR, 3.3] und [TR, 0, Anhang B] beschriebenen Anforderungen sowie die Protokollspezifikationen in [TR, Anlage III] bzw. [TR, Anlage IV] erfüllen. Hierdurch werden auch die eichrechtlichen Belange für die Absicherung der Datenübertragung abgedeckt. Die im Folgenden genannten Anforderungen behandeln den Adapter selbst und die Verbindung zwischen Adapter und Zähler. Beispiele für Protokolle auf der nicht LMN-kompatiblen Seite des Adapters sind: Zähler mit Impulsschnittstelle (S0), optischer Schnittstelle (MSB, EDL/40), Zählerstandsencoder, TCP/IP-SML (Sym), Mod- Bus, nicht mit der TR kompatible Varianten der MBus- oder wmbus-protokolle. 7. Anforderungen an die Funktionen des Kommunikationsadapters 7.. Impulsübertragung Der in diesem Abschnitt behandelte Kommunikationsadaptertyp ist zum Anschluss an einen im Zähler verbauten Impulsgeber oder Kontaktgeber vorgesehen. Die Software und Hardware des Kommunikationsadapters muss die folgenden Anforderungen, die eichrechtlich relevante Funktionen betreffen, erfüllen: Die Impulsschnittstelle muss eine für den betreffenden Zähler geeignete obere Grenzfrequenz aufweisen. Auf dem Typenschild müssen die maximal zulässige Impulsfrequenz und die elektrischen Parameter der Hardware angegeben Die Bildung eines neuen Messwertes elektrische Arbeit bzw. Volumen erfolgt durch Aufsummieren der mit einem Kalibrierfaktor gewichteten Impulse. Der durch die Impulsübertragung verursachte Quantisierungsfehler fq muss deutlich kleiner als % sein, um nicht die Unsicherheits- und Fehlerfortpflanzungsbetrachtung aller Systemteile signifikant zu bestimmen. Dies betrifft insbesondere die Auflösung des Registers. Der Impulsfaktor, der auch einen Beitrag zum Quantisierungsfehler liefert, wird jedoch durch den Zähler vorgegeben. Die Auflösung muss % der metrologischen Auflösung bei /3 der Höchstlast betragen. Der Kommunikationsadapter muss einen eichtechnischen Datensatz zur Übertragung an das SMGW gemäß Anlage IV der TR bilden. Versand des aktuellen Wertes des Registers für elektrische Arbeit bzw. Volumen an das SMGW über LMN auf Anforderung. PTB-A508Entwurf_3053_workshopfassung 53 PTB-A508Entwurf_3053_workshopfassung Unidirektionale Übertragung Der in diesem Abschnitt behandelte Kommunikationsadaptertyp ist zur Anbindung von nur sendenden Zählern vorgesehen; es können keine Informationen zu den Zählern übertragen Es handelt sich im Allgemeinen um Funkverbindungen. Die Software und Hardware des Kommunikationsadapters muss die folgenden Anforderungen, die eichrechtlich relevante Funktionen betreffen, erfüllen: Es muss eine Empfangsvorrichtung sowie geeignete Software zum Empfang der gesendeten Telegramme im Kommunikationsadapter vorhanden sein. Transformation des empfangenen Telegramms in das in Anlage IV der TR beschriebene Format ohne Veränderung der eichrechtlich relevanten Dateninhalte. Sofortige Weiterleitung des transformierten Telegramms an das SMGW als Push-Nachricht (TR IVb). Anmerkung: Um die Zeitüberwachung gemäß. im SMGW realisieren zu können, müssen empfangene Telegramme unverzüglich in das LMN als Push-Nachricht weiter geleitet 7..3 Bidirektionale Übertragung Der in diesem Abschnitt behandelte Kommunikationsadaptertyp ist zur Anbindung von Zählern vorgesehen, bei denen das SMGW Messwerte und sonstige Informationen über den Adapter beim Zähler anfordert. Der Adapter leitet die Antwort des Zählers über LMN an das SMGW weiter. Die Software und Hardware des Kommunikationsadapters muss die folgenden Anforderungen, die eichrechtlich relevante Funktionen betreffen, erfüllen: Es muss eine I/O-Schnittstelle bzw. Sende-/Empfangsvorrichtung sowie geeignete Software zur Kommunikation mit dem angeschlossenen Zähler vorhanden sein. Beispiele: nicht TR-kompatibler MBus oder wmbus gemäß DIN EN 3757, EDL/40, Sym,... Transformation des vom SMGW empfangenen Abfragetelegramms in das Format der Zählerkommunikation und sofortige Weiterleitung an den Zähler. Anmerkung: Das SMGW kann neben den Messwerten auch andere eichrechtlich relevante Informationen vom Zähler abrufen, wie ID des Zählers, Firmware-/Software-ID, Adresse im zählerseitigen Netz, usw. Transformation des vom Zähler empfangenen Antworttelegramms und sofortige Weiterleitung des transformierten Telegramms an das SMGW als Push-Nachricht (TR IVb). Anmerkung: Da gemäß Abschnitt im SMGW eine Zeitüberwachung der Messzeitpunkte realisiert wird, müssen Verzögerungen auf dem Übertragungsweg vermieden, und empfangene Telegramme vom Kommunikationsadapter unverzüglich weiter geleitet Alle Schnittstellen des Kommunikationsadapters müssen rückwirkungsfrei sein Direkte Verbindung zwischen Encoder des Zählers und Kommunikationsadapter Es existieren Zähler, bei denen der Stand eines mechanischen Rollenzählwerks codiert wird und elektronisch abgefragt werden kann. Diese Zähler können über einen Kommunikationsadapter an das LMN angeschlossen Für einen derartigen Adapter gelten die folgenden Anforderungen: Der Zählerstandsencoder des Zählers muss nach Eichrecht zugelassen bzw. zertifiziert sein. Der Zählerstand steht durch das Encoder-Prinzip dem Kommunikationsadapter ohne Zeitversatz zur Verfügung. Sofortige Bildung eines Response-Telegramms mit dem codierten Zählerstand im in Anlage IV beschriebenen Format, sobald ein Request-Telegramm vom SMGW über LMN empfangen worden ist und sofortiger Versand des Response-Telegramms an das SMGW über LMN OCR-Kamera am Rollenzählwerk {{Noch nicht fertig!}} 7..6 Bereitstellung von Informationen für das SMGW Alle Schnittstellen des Kommunikationsadapters müssen rückwirkungsfrei sein. Versand des Eichlogs des Kommunikationsadapters (falls vorhanden) an SMGW über LMN auf Anforderung. Versand der ID des zugehörigen Elektrizitäts- oder Gaszählers an SMGW über LMN auf Anforderung. Versand der Firmware/Software-ID des Kommunikationsadapters an SMGW über LMN auf Anforderung. Option: Signierung des eichtechnischen Datensatzes für eine Ende-zu-Ende-Sicherung, wobei mindestens Algorithmen und Schlüssellängen entsprechend dem Sym - bzw. EDL40-Lastenheft mit "Direct Trust" zum Einsatz kommen müssen. Eine andere akzeptable technische Lösung ist die Verwendung des ohnehin vorhandenen Zertifikats für die LMN-Signierung zur Bildung eines Unterzertifikats im Kommunikationsadapter, welches dann für die Ende-zu-Ende-Signierung verwendet wird. 7. Messwerte, eichrechtlich relevante Datenbereiche Auf die folgenden Daten dürfen nur von der eichrechtlich relevanten Software des Kommunikationsadapters zugegriffen werden: Register für Elektrische Arbeit in kwh bzw. Volumen in m 3. Puffer und weitere Variablen zur Umcodierung der vom Zähler empfangenen Telegramme in eines der in der TR für LMN definierten Formate. Puffer und weitere Variablen zur Bildung der kryptografischen Signatur (optional, Endezu-Ende-Sicherung, siehe 7.). Bei Softwaretrennung im Kommunikationsadapter sind gegebenenfalls die Anforderungen gemäß A zu erfüllen. 7.3 Parameter des Kommunikationsadapters 7.3. Eichrechtliche Parameter Impulswertigkeit in kwh/imp bzw. in m 3 /Imp Software-ID des Kommunikationsadapters 4-stellige Hersteller-ID (DIN ) des Kommunikationsadapters PTB-A508Entwurf_3053_workshopfassung 55 PTB-A508Entwurf_3053_workshopfassung 56

19 4-stellige Hersteller-ID (DIN ) des zugehörigen Elektrizitäts- bzw. Gas-Zählers, falls nicht vorhanden Bestandszählernummer Optional (siehe 7.): Geheimer Schlüssel für die Ende-zu-Ende-Signatur gemäß Sym -/ EDL40-Lastenheft mit "Direct Trust". Der öffentliche Schlüssel wird beim In-Verkehr- Bringen (Personalisierung) auf das Typenschild des Kommunikationsadapters aufgedruckt. Alternativ: Speicherung eines Unterzertifikats, signiert vom SMGW unter Verwendung von dessen Signier-Zertifikat Unregistriert setzbare Parameter Adresse im LMN 7.4 Eichlog Ein Eichlog ist hier nur in bestimmten Fällen verpflichtend notwendig (siehe 7.5). Falls es vorhanden ist, muss ein Überlauf verhindert werden, indem unmittelbar zuvor alle Funktionen gesperrt werden, die einen Eintrag bewirken würden. Das Eichlog kann sich auch im SMGW befinden. Der Kommunikationsadapter muss in diesem Fall die für das Eichlog vorgesehenen Einträge solange zwischenspeichern, bis das SMGW sie abgerufen und die erfolgreiche Registrierung zurückgemeldet hat. Eichlog-Einträge des Kommunikationsadapters müssen vom SMGW wie andere Eichlog-Einträge anzeigbar und vom herunterladbar sein (siehe 5.4, ). 7.5 Eichtechnische Sicherungen Es sind Vorkehrungen zu treffen, dass Messwerte und andere eichrechtlich relevante Informationen auf der Strecke zwischen Zähler, Kommunikationsadapter und SMGW nicht unerkannt verfälscht werden können Schutz der Verbindungen Schutz der Verbindung zwischen Impulsgeber am Zähler und Eingang des Kommunikationsadapters Im Folgenden werden geeignete eichtechnische Sicherungsmaßnahmen für einen Kommunikationsadapter mit Impulsschnittstelle angegeben. Beispiel für eine akzeptable technische Lösungen: Sicherungsvariante I (BSI-DVFNN-PTB ): Die Verbindung wird an beiden Enden gesichert (Benutzersicherung). Bedingung: Die Verbindung ist kurz und lückenlos inspizierbar. Diese Sicherungsvariante ist bei allen Tarifanwendungsfällen TAF zulässig. Sicherungsvariante II (BSI-DVFNN-PTB ): Die Verbindung wird nicht gesichert. Realisierung eines Wiederholzählwerks: das Register des Kommunikationsadapters für elektrische Arbeit / Volumen kann über das SMGW auf dem Kundendisplay angezeigt Durch Vergleich der Zähleranzeige mit dem Wert auf dem Kundendisplay kann kontrolliert werden, ob Fehler oder Manipulationen bei der Impulsübertragung vorgekommen sind. Voraussetzung: bei Inbetriebnahme des Kommunikationsadapters muss der Stand des Registers für elektrische Arbeit / Volumen auf Wert des Zählers gesetzt Diese Sicherungsmethode ist nur zulässig für den Tarifanwendungsfall TAF Schutz einer unidirektionalen Verbindung zwischen Zähler und Kommunikationsadapter Im Folgenden werden geeignete eichtechnische Sicherungsmaßnahmen speziell für einen Kommunikationsadapter für unidirektionale Übertragung angegeben. Beispiel für eine akzeptable technische Lösungen: Sicherungsvariante II (BSI-DVFNN-PTB : Die Verbindung wird nicht gesichert. Realisierung eines Wiederholzählwerks: das Register des angeschlossenen Zählers für elektrische Arbeit / Volumen kann über das SMGW auf dem Kundendisplay angezeigt Durch Vergleich der Zähleranzeige mit dem Wert auf dem Kundendisplay kann kontrolliert werden, ob Fehler oder Manipulationen auf dem Übertragungsweg vorgekommen sind. Voraussetzung: bei Inbetriebnahme des Kommunikationsadapters muss der Stand des Registers für elektrische Arbeit / Volumen auf den aktuellen Wert des Zählers gesetzt Die im SMGW gespeicherte ID des Zählers ist nicht von Unbefugten änderbar, d.h. sie wird bei der Integration unter Verantwortung des als Parameter des SMGW gespeichert. Laufender Vergleich der ID des Zählers, die in jedem Telegramm mit gesendet werden muss, mit dem im SMGW gespeicherten Wert. Der Messwert wird als fehlerhaft markiert und nicht verwendet, wenn eine Diskrepanz besteht. Der Zählerstand für elektrische Arbeit / Volumen wird laufend im SMGW kontrolliert: Der Messwert wird als fehlerhaft markiert und nicht verwendet, wenn die übertragenen Zählerstände nicht monoton wachsen. Das SMGW registriert die genannten Unstimmigkeiten im Eichlog und setzt eine Fehlermeldung an den ab. Diese Sicherungsmethode ist nur zulässig für den Tarifanwendungsfall TAF. Sicherungsvariante III (BSI-DVFNN-PTB ): Sicherungsvariante IIIa, signierte Datenübertragung: Signierung des eichtechnischen Datensatzes im Zähler für eine Ende-zu-Ende-Sicherung. Es kommen mindestens Algorithmen und Schlüssellängen entsprechend dem Sym - bzw. EDL40-Lastenheft mit "Direct Trust" zum Einsatz. Der öffentliche Schlüssel ist auf dem Typenschild des Zählers aufgedruckt. Bei der Integration des Systems gemäß TR erfolgt die Registrierung des öffentlichen Schlüssels im SMGW. Das SMGW kontrolliert die Signatur im SMGW vor Eintragung des empfangenen Messwertes in die originäre Messwertliste. Der Messwert wird als fehlerhaft markiert und nicht verwendet, wenn eine Diskrepanz besteht. Das SMGW registriert Fehler bei der Signaturprüfung im Eichlog und setzt eine Fehlermeldung an den ab. PTB-A508Entwurf_3053_workshopfassung 57 PTB-A508Entwurf_3053_workshopfassung 58 Sicherungsvariante IIIb, symmetrisch verschlüsselte Datenübertragung: Verschlüsselung des eichtechnischen Datensatzes im Zähler, z.b. gemäß EN Anmerkung: Für den Zähler kann nicht vorausgesetzt werden, dass die von BSI geforderten Sicherheitserweiterungen zu EN 3757 gemäß TR-0309-IIIb implementiert sind (keine AFL-, KDF- oder TLS-Erweiterungen). Deshalb ist ein Kommunikationsadapter erforderlich. Erzeugung des symmetrischen Schlüssels bei der Zählerintegration; Registrierung des Schlüssels im SMGW bei der Integration gemäß TR. Transformation des empfangenen Telegramms im Kommunikationsadapter in das in Anlage IV der TR beschriebene Format unter Beibehaltung der Verschlüsselung. Das SMGW entschlüsselt das Telegramm und prüft vor Eintragung des Messwertes in die originäre Messwertliste, ob der Klartext syntaktisch in Ordnung ist. Wenn ein Fehler festgestellt wird, liegt eine Manipulation des Chiffrats vor und der Messwert darf nicht verwendet Das SMGW registriert Fehler bei der Entschlüsselung im Eichlog und setzt eine Fehlermeldung an den ab Schutz einer bidirektionalen Verbindung zwischen Zähler und Kommunikationsadapter Beispiel für eine akzeptable technische Lösungen: Sicherungsvariante III (BSI-DVFNN-PTB ): Sicherungsvariante IIIa, signierte Datenübertragung: Signierung des eichtechnischen Datensatzes im Zähler für Ende-zu-Ende-Sicherung ( Inneren Signatur, siehe [TR, ]). Es kommen mindestens Algorithmen und Schlüssellängen entsprechend dem Sym - bzw. EDL40-Lastenheft mit "Direct Trust" zum Einsatz. Der öffentliche Schlüssel ist auf dem Typenschild des Zählers aufgedruckt. Bei der Integration des Systems gemäß TR erfolgt die Registrierung des öffentlichen Schlüssels im SMGW. Das SMGW kontrolliert die Signatur im SMGW vor Eintragung des empfangenen Messwertes in die originäre Messwertliste. Der Messwert wird als fehlerhaft markiert und nicht verwendet, wenn eine Diskrepanz besteht. Das SMGW registriert Fehler bei der Signaturprüfung im Eichlog und setzt eine Fehlermeldung an den ab. Sicherungsvariante IIIb, symmetrisch verschlüsselte Datenübertragung: Verschlüsselung des eichtechnischen Datensatzes im Zähler, z.b. gemäß EN Anmerkung: Für den Zähler kann nicht vorausgesetzt werden, dass die von BSI geforderten Sicherheitserweiterungen zu EN 3757 gemäß TR-0309-IIIb implementiert sind (keine AFL-, KDF- oder TLS-Erweiterungen). Deshalb ist ein Kommunikationsadapter erforderlich. Erzeugung des symmetrischen Schlüssels bei der Zählerintegration; Registrierung des Schlüssels im SMGW bei der Integration gemäß TR. Transformation des empfangenen Telegramms im Kommunikationsadapter in das in Anlage IV der TR beschriebene Format unter Beibehaltung der Verschlüsselung. Das SMGW entschlüsselt das Telegramm und prüft vor Eintragung des Messwertes in die originäre Messwertliste, ob der Klartext syntaktisch in Ordnung ist. Wenn ein Fehler festgestellt wird, liegt eine Manipulation des Chiffrats vor und der Messwert darf nicht verwendet Das SMGW registriert Fehler bei der Entschlüsselung im Eichlog und setzt eine Fehlermeldung an den ab Schutz der Verbindung zwischen Zählerstandsencoder und Eingang des Kommunikationsadapters Die Verbindung wird an beiden Enden gesichert (Benutzersicherung). Bedingung: Die Verbindung ist kurz und lückenlos inspizierbar. Diese Sicherungsvariante ist bei allen Tarifanwendungsfällen TAF zulässig Schutz der Übertragung des Zählerstands mittels OCR-Kamera {{Noch nicht fertig!}} 7.5. Schutz des Programm-Codes Der Kommunikationsadapter für Impulsschnittstellen enthält eichrechtlich relevanten Programm- Code. Im Betrieb darf der Programm-Code nicht unerkennbar verändert werden können. Es wird im Betrieb durch mechanische, physische Sicherung eines Schalters, Jumpers, einer Schnittstelle oder Gehäuses verhindert, dass der Kommunikationsadapter programmiert werden kann ohne ein Siegel zu zerstören. Alternative: Es werden die Download-Anforderungen (siehe Anhang A, Abschnitt0., D-D4) erfüllt. Diese Variante setzt ein Eichlog voraus Schutz des Registers für elektrische Arbeit / Volumen Die Software des Kommunikationsadapters erkennt anhand von Schaltern, Jumpern usw., dass sie im eichpflichtigen Betrieb läuft und erlaubt in dieser Betriebsart kein Rücksetzen des Registers. Die genannten Schalter, Jumper usw. werden mechanisch, physisch gesichert Schutz der eichrechtlich relevanten Parameter Die Software des Kommunikationsadapters erkennt anhand von Schaltern, Jumpern usw., dass sie im eichpflichtigen Betrieb läuft und erlaubt in dieser Betriebsart keine Änderung von Parametern. Die genannten Schalter, Jumper usw. werden mechanisch, physisch gesichert. Alternativ kann vorgesehen sein, Parameter nur über eine besondere Schnittstelle ändern zu können. Diese Schnittstelle muss mechanisch, physisch gesichert werden können. Alternativ kann vorgesehen werden, dass bei jeder Änderung eines Parameters ein Eintrag im Eichlog erfolgt. Das Eichlog selbst muss gesichert sein (7.4, 7.5.5). Bei diesen Sicherungslösungen sind die Tarifanwendungsfälle TAF nicht beschränkt. PTB-A508Entwurf_3053_workshopfassung 59 PTB-A508Entwurf_3053_workshopfassung 60

20 Alternative (in Verbindung mit der unter 7.5. genannten Sicherungsvariante II): Keine Sicherung des Parameters Impulswertigkeit. Realisierung eines Wiederholzählwerks: das Register des Kommunikationsadapters für elektrische Arbeit / Volumen kann über das SMGW auf dem Kundendisplay angezeigt werden können. Durch Vergleich der Zähleranzeige mit dem Wert auf dem Kundendisplay kann kontrolliert werden, ob die Impulswertigkeit richtig eingestellt ist. Voraussetzung: bei Inbetriebnahme des Kommunikationsadapters muss der Stand des Registers für elektrische Arbeit / Volumen auf den zu diesem Zeitpunkt anliegenden Wert des Zählers gesetzt Diese Sicherungsmethode ist nur zulässig für den Tarifanwendungsfall TAF Schutz des Eichlogs Falls ein Eichlog vorhanden ist, muss es gegen Änderung und Löschung gesichert Die Software des Kommunikationsadapters erkennt anhand von Schaltern, Jumpern usw., dass sie im eichpflichtigen Betrieb läuft und erlaubt in dieser Betriebsart keine Änderung oder Löschung des Eichlogs. Die genannten Schalter, Jumper usw. müssen mechanisch, physisch gesichert werden können. Alternative: Die Kapazität des Eichlogs wird so groß bemessen, dass kein Löschen während der gesamten Betriebszeit notwendig ist. Der Mikrocontroller erlaubt keine Löschung des Eichlogs. 7.6 Stromversorgung, Aufbau, Umgebungsbedingungen Relevante anerkannte Regeln der Technik: PTB-A Stromversorgung WELMEC 7. I- / I3- Fehlerbehebung I- / I3- Backup-Einrichtung Daraus ergeben sich die folgenden spezifischen Anforderungen für den Kommunikationsadapter: Die Stromversorgung muss einen störungsfreien Betrieb und eine sichere Verarbeitung und Speicherung der Messwerte gewährleisten. Ein Ausfall der Stromversorgung muss sicher erkannt werden und zu einer sicheren Speicherung der aktuell gültigen Werte führen. Dies ist bei einem Kommunikationsadapter im Allgemeinen nur der Wert des Registers für elektrische Arbeit bzw. Volumen. Hierzu muss die Firmware des Kommunikationsadapters das Register in regelmäßigen Abständen in einen nicht flüchtigen Speicher übertragen. Diese Daten müssen in einem Permanentspeicher gesichert Nach einer Wiederkehr der Stromversorgung muss ein Reset des Gerätes erfolgen, der letzte Stand des Registers muss aus dem Backup-Speicher zurückgeholt werden und die Software muss zur normalen Verarbeitung zurückkehren. Ohne externe Stromversorgung müssen die eichrechtlich relevanten Daten für mindestens 4 Monate erhalten bleiben. Bei Verwendung von Batterien zur Stromversorgung des Kommunikationsadapters sind folgende zusätzliche Anforderungen zu erfüllen: Ist technisch sichergestellt, dass bei fachkundig durchgeführtem Batteriewechsel kein Datenverlust auftritt, so braucht die Batterie nicht eichtechnisch gegen Entnahme gesichert zu Kann nicht sichergestellt werden, dass alle Daten bei fachkundig durchgeführtem Batteriewechsel erhalten bleiben, so muss die Batterie unter einer eichtechnischen Sicherung liegen. Die Lebensdauer der Batterie muss in diesem Fall um mindestens Jahr über die Eichgültigkeitsdauer hinausgehen. Es gelten dieselben Anforderungen hinsichtlich der klimatischen und mechanischen Umgebungsbedingungen und EMV wie für den Zähler, zu dem der Kommunikationsadapter gehört. 8 Komponente externer Zeitserver (WAN) Das SMGW muss seine Systemzeit regelmäßig mit einer vertrauenswürdigen Zeitquelle synchronisieren, deren Zeit mit der gesetzlichen Zeit in Übereinstimmung ist. Der betreibt für die SMGW, für die er verantwortlich ist, eine Zeitserverinfrastruktur. Diese besteht aus einem oder zur Verbesserung der Verfügbarkeit gegebenenfalls aus mehreren Zeitservern, mit denen sich die SMGW synchronisieren. Die Zeitserver des s synchronisieren sich wiederum mit Zeitservern der PTB. Zur Synchronisation von PTB-Servern zu Servern des und von dort zu den einzelnen SMGW wird das Network Time Protocol (NTP) nach [RFC5905] verwendet. Die Sicherstellung der Vertrauenswürdigkeit der Synchronisation zwischen PTB- und - Servern muss durch das symmetrische Pre-shared keys -Verfahren nach [RFC5905] gewährleistet Dieses ist aber nicht kompatibel mit den WAN-Protokollen des SMGW. Ein sicheres asymmetrisches Authentifizierungsverfahren zur Sicherstellung der Vertrauenswürdigkeit der Zeitquelle ist für NTP bisher auch nicht verfügbar. Deshalb kann die Synchronisation der SMGW durch den -Server nicht mit normalen NTP-Protokollen erfolgen, vielmehr schreibt die TR 0309 ein modifiziertes NTP-Protokoll vor [TR, 3..6]. Anmerkung: Das Zeitsynchronisationskonzept soll vereinfacht werden sobald ein sicheres asymmetrisches Authentifizierungsverfahren für NTP verfügbar ist. Ein Normierungsprozess ist hierzu bei der IETF in Arbeit. 8. Zeitserver beim Die Zeitserverinfrastruktur muss die folgenden Anforderungen erfüllen: (a) Die Zeitserver des s müssen mindestens einen von der PTB bereitgestellten Zeitserver zur Zeitsynchronisation verwenden. Zeitserver des s und der PTB verwenden Standard NTP nach [RFC5905]. (b) Zur Sicherstellung der Authentizität der Kommunikationspartner und der Integrität der Synchronisationspakete wird zwischen PTB-Server und -Server das symmetrische Authentifizierungsverfahren auf Basis von Pre-shared keys verwendet. Der -Server muss die Möglichkeit bieten, einen Schlüssel, den der von der PTB erhalten hat, sicher einzugeben. Der Schlüssel darf auf dem Server nicht ausgespäht werden können. (c) Die Zeitabweichung der Zeitserver zwischen und PTB darf % der geforderten Fehlergrenze für das SMGW (d.h. 0,0% der kleinsten Registrierperiode oder 90 ms) nicht überschreiten. Größere Zeitabweichungen, sind im Systemlog des betreffenden Zeitservers aufzuzeichnen. Wird dieser Wert um den Faktor 0 überschritten (0% der Fehlergrenze für PTB-A508Entwurf_3053_workshopfassung 6 PTB-A508Entwurf_3053_workshopfassung 6 das SMGW oder 900 ms), muss eine Fehlerreaktion entsprechend dem Redundanzkonzept (s.u.) erfolgen. Dieser Vorfall ist in einem Eichlog aufzuzeichnen. (d) Der muss durch ein geeignetes Redundanzkonzept die Verfügbarkeit des Zeitsynchronisationsdienstes für die SMGW sicherstellen. Beispiele für derartige Maßnahmen: Verbund aus mehreren Rechnern, Hardware-Gangreserve, unterbrechungsfreie Stromversorgung. (e) Die Zeitserver des s müssen ihren Zeitdienst über ein modifiziertes NTP dem SMGW bereitstellen. Die TR 0309 definiert hierfür zwei Verfahren. Beide Verfahren sorgen dafür dass die NTP-Pakete über TLS sicher zwischen den Kommunikationspartnern ausgetauscht werden [TR, ]. (f) Die Zeitsynchronisation im NTP basiert auf UTC. Die Zeitserver des s müssen daher unter Verwendung der Zeitzoneninformation die Verbindung zur Gesetzlichen Zeit gewährleisten. (g) Das Betriebssystem des -Servers muss entsprechend Abschnitt 9 gegen unzulässige Eingriffe und Veränderungen abgesichert sein. 9 Anhang A: Anforderungen an Betriebssysteme {{Dieser Abschnitt wird auf die Prüfspezifikation für das SMGW abgestimmt und erst nach deren Erscheinen fertiggestellt.}} 9. Sicherheit Bootvorgang Keine Abweichung von vorgegebenem Bootprozess usw. 9. Beschränkung der Bedienmöglichkeiten Zugriffsrechte, lokale mechanische / physische Sicherung des root-passworts usw. 9.3 Abschottung der Programm- und Datenbereiche gegeneinander Abschottung des root-accounts gegen, Abschottung der User-Domains gegeneinander und gegen root- und -Account usw. 9.4 "Rückwirkungsfreiheit" der Schnittstellen 9.5 Dienste 9.6 Update des Betriebssystems PTB-A508Entwurf_3053_workshopfassung 63 PTB-A508Entwurf_3053_workshopfassung 64