CN102752165B

CN102752165B - 用于控制多个产业控制系统之间的通信的系统

Info

Publication number: CN102752165B
Application number: CN201210116008.5A
Authority: CN
Inventors: 浦本直彦; 秋山一人; 工藤道治; 高桥瞳
Original assignee: International Business Machines Corp
Current assignee: International Business Machines Corp
Priority date: 2011-04-19
Filing date: 2012-04-19
Publication date: 2015-06-03
Anticipated expiration: 2032-04-19
Also published as: US8732270B2; US20120331104A1; JP5754704B2; JP2012226508A; US8872638B2; US20120268256A1; CN102752165A

Abstract

本发明涉及用于控制多个产业控制系统之间的通信控制系统。在产业控制系统中发生了异常的情况下采取适当的对策。通信控制系统用于控制在网络上连接的多个产业控制系统之间的通信，通信控制系统包括：通信中继装置，对两个以上的产业控制系统之间的通信进行中继；监视部，监视多个产业控制系统；以及控制部，根据监视部检测到至少一个产业控制系统的异常的情况，进行切换，使得被检测到异常的产业控制系统与其他的产业控制系统之间的通信经由通信中继装置而进行。

Description

用于控制多个产业控制系统之间的通信的系统

技术领域

本发明涉及用于控制多个产业控制系统之间的通信的系统。

背景技术

已知进行工业系统以及基础设施系统的管理以及控制的产业控制系统(ICS)(例如，参照非专利文献1)。以往，产业控制系统多数不与外部网络连接，而在固有的协议下工作。

非专利文献1：”SCADA”，[在线]，维基百科，“2011年3月30日检索”，因特网URL：http://ia.wikipedia.org/wiki/SCADA

专利文献1：(日本)特表2007-506353号公报

但是，近年来，产业控制系统通过因特网协议等的一般性的通信协议来连接，此外，与企业内系统以及外部网络等连接的系统也增多。这样的产业控制系统在有来自外部的恶意的攻击的情况下，需要采取紧急停止运行等的措施，以便控制对象的设备不被攻击者控制。

但是，产业控制系统根据控制对象，有时由于技术性的原因或者社会需要的检测而无法短时间内停止运行。从而，在产业控制系统中，当由于来自外部的有恶意的攻击等而被检测到异常的情况下，需要采取与控制对象等对应的适当的措施。

发明内容

为了解决上述课题，本发明的第1方式中，提供一种通信控制系统，用于控制在网络上连接的多个产业控制系统之间的通信，所述通信控制系统包括：通信中继装置，对两个以上的产业控制系统之间的通信进行中继；监视部，监视所述多个产业控制系统；以及控制部，根据所述监视部检测到至少一个所述产业控制系统的异常的情况，进行切换，使得被检测到异常的所述产业控制系统与其他的所述产业控制系统之间的通信经由所述通信中继装置而进行。此外，提供与这样的通信控制系统有关的系统、装置以及程序。

另外，上述发明的概要并非是列举了本发明所需的全部特征的发明。此外，这样的特征组的副组合也还可以成为发明。

附图说明

图1表示本实施方式的计算系统10的功能结构。

图2表示本实施方式的控制部34中的处理流程。

图3表示在一部分产业控制系统20发生了异常的状态下的、计算系统10的功能结构。

图4表示在网络22配置了通信中继装置30的状态下的计算系统10的功能结构。

图5表示在通信中继装置30正在再运行(rerouting)通信的状态下的计算系统10的功能结构。

图6表示通信中继装置30挑选通信的状态下的、计算系统10的功能结构。

图7表示在通信中继装置30断开通信的状态下的、计算系统10的功能结构。

图8表示在将有异常的产业控制系统20停止运行的状态下的、计算系统10的功能结构。

图9表示一边阶段性地提高对应等级，一边执行用于使被检测到异常的产业控制系统20恢复正常的方案的一例。

图10表示本实施方式的计算机1900的硬件结构的一例。

标号说明

10 计算系统

20 产业控制系统

22 网络

30 通信中继装置

32 监视部

34 控制部

40 信息处理装置

42 中间服务器

1900 计算机

2000 CPU

2010 ROM

2020 RAM

2030 通信接口

2040 硬盘驱动

2050 软盘驱动

2060 CD-ROM驱动

2070 输入输出芯片

2075 图形控制器

2080 显示装置

2082 主控制器

2084 输入输出控制器

2090 软盘

2095 CD-ROM

具体实施方式

以下，通过发明的实施方式来说明本发明，但以下的实施方式并不限定与权利要求书有关的发明。此外，并非在实施方式中说明的所有的特征组合是发明的解决方法必需的。

图1表示本实施方式的计算系统10的功能结构。本实施方式的计算系统10包括多个产业控制系统(ICS)20、网络22、通信中继装置30、监视部32、控制部34。

作为一例，产业控制系统20是工业系统以及基础设施(交通以及能源等)系统等对各对象进行管理以及控制的系统。作为一例，产业控制系统20也可以是对办公室内或者家庭内的连接到网络上的各种设备(例如电话机以及复印机等)进行管理的系统。此外，产业控制系统20也可以是对企业内的连接到网络上的多个计算机进行管理的系统，也可以是对数据中心等连接到网络上的多个服务器进行管理的系统。

此外，多个产业控制系统20的每个产业控制系统20可以是一个较大的产业控制系统内的一部分系统。例如，多个产业控制系统20的每个产业控制系统20也可以是用于构成对城市整体进行管理的产业控制系统的部分管理系统(例如，大厦管理系统、工厂管理系统、自来水管理系统、以及电管理系统等)。

多个产业控制系统20的每个产业控制系统20，作为一例，包括多个信息处理装置40以及中间服务器42等。多个信息处理装置40的每个信息处理装置执行程序，从而进行数据处理以及机器的控制等。多个信息处理装置40的每个信息处理装置40可以是计算机，也可以是被编入机器中的数据处理单元。多个信息处理装置40的每个信息处理装置40，作为一例，也可以是控制机器的PLC(可编程逻辑控制器)。

中间服务器42作为一例，对该产业控制系统20内的信息处理装置40进行控制及管理。此外，中间服务器42作为一例，控制经由网络22而进行的与其他的产业控制系统20之间的通信。

在网络22上连接多个产业控制系统20。例如，网络22将在多个产业控制系统20之间收发的数据，按照因特网等的协议来传输。

通信中继装置30对两个以上的产业控制系统20之间的通信进行中继。更具体地说，在某个产业控制系统20中检测到异常的情况下，通信中继装置30对被检测到异常的产业控制系统20与其他的产业控制系统20之间的通信进行中继。然后，通信中继装置30在任何产业控制系统20中均未被检测到异常的情况下，不对两个以上的产业控制系统20之间的通信进行中继。

在本实施方式中，计算系统10还包括连接到网络22并配置和执行虚拟设备的服务器装置。此外，在本实施方式中，通过由服务器装置所执行的虚拟设备来动态地实现通信中继装置30。

更具体地说，由虚拟设备实现的通信中继装置30在任意的产业控制系统20均未被检测到异常的情况下，并不配置在网络22上。但是，在任何产业控制系统20中被检测到异常的情况下，由虚拟设备实现的通信中继装置30被加载和设定适当的软件，作为被检测到异常的产业控制系统20中的网关而被提供(provisioning)给网络22上。由此，在任意的产业控制系统20中被检测到异常的情况下，由虚拟设备实现的通信中继装置30被配置在网络22上。

此外，在被检测到异常的产业控制系统20成为正常的情况下，由虚拟设备实现的通信中继装置30被解除设定等，并从网络22上移除(deprovisioning)。由此，由虚拟设备实现的通信中继装置30在任何产业控制系统20中都未被检测到异常的情况下，停止执行而从网络22上移除。

另外，针对服务器的提供，例如能够利用用于提供虚拟服务器的服务(“IBM Smart Businessクラウド·サ一ビス”，[online]，IBM主页，[2011年3月28日检索]，因特网<URL：http://www-935.ibm.com/services/jp/index.wss/summary/its/k311218v05196i57>)等的技术来实现。

监视部32监视多个产业控制系统20。更详细地说，监视部22检测在该计算系统10所包括的多个产业控制系统20中是否发生了异常。

控制部34基于监视部32检测到至少一个产业控制系统20的异常的情况，进行切换，使得经由通信中继装置30来进行在被检测到异常的产业控制系统20与其他的产业控制系统20之间的通信。由此，通信中继装置30能够使通信中继装置30起到被检测到异常的产业控制系统20的网关的作用。

此外，控制部34基于被检测到异常的产业控制系统20返回正常的情况，进行切换使得返回正常的产业控制系统20与其他的产业控制系统20之间的通信不经由通信中继装置30来进行。由此，通信中继装置30能够从网络22上移除用于起到返回正常的产业控制系统20的网关的作用的通信中继装置30。

图2表示本实施方式的控制部34中的处理流程。首先，在步骤S11中，控制部34通过监视部32判断在任意的产业控制系统20中是否检测到异常。

若未检测到异常的情况下，即全部的产业控制系统20处于正常，则控制部34等待处理(S11：否)。在任意的产业控制系统20中被检测到异常的情况下，控制部34将处理进入步骤S12(S11：是)。

接着，在步骤S12中，控制部34根据检测到的异常的内容、异常之处以及异常的等级等，生成用于恢复产业控制系统20的处理的方案。作为一例，控制部34预先存储了多个方案，根据所检测到的异常的内容、异常之处以及异常的等级等，从预先存储的多个方案中选择适当的方案。

在本实施方式中，控制部34生成用于执行再运行、挑选、断开以及停止运行中的任一个的处理或者将这些进行组合的处理的安敢。对于再运行、挑选、断开以及停止运行的处理，将在后面叙述其细节。

接着，在步骤S13中，控制部34通过提供，在网络22上配置通信中继装置30，从而能够使通信中继装置30起到被检测到异常的产业控制系统20的网关的作用。即，控制部34对由虚拟设备实现的通信中继装置30，进行用于使通信中继装置30起到产业控制系统20的网关的作用的软件的加载以及设定，并使其执行所加载的软件。

接着，在步骤S14中，控制部34改变在被检测到异常的产业控制系统20内设置的路由器等的设定，以便从被检测到异常的产业控制系统20至其他的产业控制系统20传输的分组全部经由通信中继装置30。作为一例，控制部34对在被检测到异常的产业控制系统20内设置的路由器进行设定，使得对从被检测到异常的产业控制系统20输出到外部的分组的报头，写入通信中继装置30的地址作为中继点。

此外，控制部34改变在其他的产业控制系统30的各个产业控制系统30内设置的路由器等的设定，以便从其他的产业控制系统20传输到被检测到异常的产业控制系统20的分组全部经由通信中继装置30。作为一例，控制部34对在其他的产业控制系统20的各产业控制系统内20设置的路由器设设定路由表格，以便将被检测到异常的产业控制系统20作为目的地而指定的分组的中继点设为通信中继装置30。

由此，控制部34能够使对包含被检测到异常的产业控制系统20的区域(zone)内的信息处理装置40输入输出的所有数据经由在网络22上配置的通信中继装置30。即，控制部34能够生成包含被检测到异常的产业控制系统20的、以通信中继装置30作为网关的网络区域。

接着，在步骤S15中，控制部34使通信中继装置30执行在步骤S12中生成的方案。在本实施方式中，控制部34使通信中继装置30执行再运行(S21)、挑选(S22)、断开(S23)、以及停止运行(S24)的任一个、或者是它们的组合。

进一步地，在步骤S15中执行方案的期间，控制部34还可以执行用于使被检测到异常的产业控制系统20恢复正常状态的其他的处理。例如，若异常的原因是非法的软件(恶意软件)引起的，则控制部34执行恶意软件的检测以及排除的处理。此外，若异常的原因是机器的故障等，则控制部34也可以将故障通知给管理者，从而等待维修和更换所故障的机器。

接着，在步骤S16中，控制部34判断检测到的异常是否被修复而正常。当异常未被修复的情况下(步骤S16：否)，控制部34继续步骤S15的方案的执行。

当已经正常的情况下(步骤S16：是)，控制部34在步骤S17中，将在步骤S14中变更的数据的路由还原。更具体地说，控制部34还原在被检测到异常的产业控制系统20内设置的路由器等的设定，使得从被检测到异常的产业控制系统20传输到其他的产业控制系统20的分组不经由通信中继装置30。此外，控制部34还原在其他的产业控制系统20的每个产业控制系统20中设置的路由器等的设定，使得从其他的产业控制系统20转发到被检测到异常的产业控制系统20的分组不经由通信中继装置30。

接着，在步骤S18中，控制部34从网络22上移除对网络22配置的通信中继装置30。即，控制部34使由虚拟设备实现的通信中继装置30的执行停止，并解除通信中继装置30的设定，使得网络22上不存在通信中继装置30。

根据这样的计算系统10，在被检测到异常的产业控制系统20与其他的产业控制系统20之间动态地配置并网络性地分离通信中继装置30。由此，根据计算系统10，能够一边减少对被检测到异常的产业控制系统20以外的产业控制系统20的影响，一边以适当的步骤恢复被检测到异常的产业控制系统20。

图3表示在一部分产业控制系统20产生了异常的状态下的、计算系统10的功能结构。作为一例，监视部32检测对产业控制系统20输入输出的数据的流量增加到余下决定的值以上的情况作为异常。更具体地说，例如，在某一产业控制系统20从其他的产业控制系统20接受了过剩的服务请求的情况下，监视部32检测为接受了过剩的服务请求的一个产业控制系统20处于异常。此外，相反，监视部32也可以检测为发生了过剩的服务请求的产业控制系统20处于异常。

此外，作为一例，也可以在某一产业控制系统20的响应速度显著降低，或者服务器的温度上升的情况下，监视部32检测为产业控制系统20处于异常。此外，作为一例，也可以在产业控制系统20存在恶意软件的情况下，监视部32作为异常来检测。然后，监视部32在检测到这样的异常的情况下，对控制部34通知检测到异常的意思以及异常的内容等。

图4表示在通信中继装置30配置在网络22上的状态下的、计算系统10的功能结构。通信中继装置30在任意的产业控制系统20中被检测到异常的情况下，通过控制部34的控制，被提供给网络22中的被指定的地址。然后，通信中继装置30起到被检测到异常的产业控制系统20的网关的作用。

即，通信中继装置30临时取得从其他的产业控制系统20输出的数据，并将所取得的数据转发到被检测到异常的产业控制系统20。此外，通信中继装置30临时取得从被检测到异常的产业控制系统20输出的数据，并将所取得的数据转发给其他的产业控制系统20。从而，在从其他的产业控制系统20对被检测到异常的产业控制系统20发生了过剩的服务请求的情况下，通信中继装置30能够对来自其他的产业控制系统20的过剩的服务请求进行中继而转发给被检测到异常的产业控制系统20。

图5表示在通信中继装置30再运行通信的状态下的、计算系统10的功能结构。在产业控制系统20被检测到异常的情况下，作为一例，控制部34使通信中继装置30执行再运行。在再运行的执行过程中，通信中继装置30使来自其他的产业控制系统20的服务请求路由(routing)到多个产业控制系统20中的接受该服务请求的替代的产业控制系统20。

此时，作为一例，通信中继装置30将从其他的产业控制系统20提供给被检测到异常的产业控制系统20的服务请求或者数据，转发给提供与被检测到异常的产业控制系统20同样的服务的其他的产业控制系统20。此外，此时，作为一例，通信中继装置30也可以在从特定的一个产业控制系统20对被检测到异常的产业控制系统20提供大量的服务请求或者数据的情况下，选择在提供给被检测到异常的产业控制系统20的所有的服务请求以及数据中的从特定的一个产业控制系统20产生的大量的服务请求以及数据的一方，从而将其转发给替代的产业控制系统20。

由此，控制部34能够减轻被检测到异常的产业控制系统20的处理负担。然后，控制部34能够将被检测到异常的产业控制系统20的动作返回正常。

图6表示在通信中继装置30挑选(culling)通信的状态下的、计算系统10的功能结构。在产业控制系统20被检测到异常的情况下，作为一例，控制部34使通信中继装置30执行挑选(culling)。在执行挑选(culling)的过程中，通信中继装置30限制被检测到异常的产业控制系统20与其他的产业控制系统20之间的通信。

更详细地说，通信中继装置30将从其他的产业控制系统20至被检测到异常的产业控制系统20的服务请求以及数据中的至少一方减少。此外，此时，作为一例，当从特定的一个产业控制系统20对被检测到异常的产业控制系统20提供大量的服务请求或数据的情况下，通信中继装置30选择对被检测到异常的产业控制系统20提供的所有的服务请求以及数据中的从该特定的一个产业控制系统20产生的大量的服务请求以及数据的一方，从而进行减少。

此外，作为一例，通信中继装置30也可以将反方向的服务请求以及数据中的至少一方减少。即，通信中继装置30也可以减少从被检测到异常的产业控制系统20至其他的产业控制系统20的服务请求以及数据中的至少一方。由此，控制部34能够减轻从被检测到异常的产业控制系统20提供服务请求或者数据的产业控制系统20的处理负担。然后，控制部34能够将从被检测到异常的产业控制系统20提供服务请求或者数据的产业控制系统20的动作返回正常。

图7表示在通信中继装置30断开通信的状态下的、计算系统10的功能结构。在产业控制系统20被检测到异常的情况下，作为一例，控制部34使通信中继装置30执行断开。在执行断开的过程中，通信中继装置30切断被检测到异常的产业控制系统20与其他的产业控制系统20之间的通信。

此时，作为一例，通信中继装置30将从其他的产业控制系统20对被检测到异常的产业控制系统20提供的服务请求或者数据，不转发给被检测到异常的产业控制系统20而丢弃。此外，作为一例，也可以在从特定的一个产业控制系统20对被检测到异常的产业控制系统20提供大量的服务请求或者数据的情况下，通信中继装置30选择对被检测到异常的产业控制系统20提供的所有的服务请求以及数据中的从该特定的一个产业控制系统20发生的大量的服务请求以及数据的一方，从而将其丢弃。此外，此时，作为一例，通信中继装置30也可以利用系统现有的标准来通知服务请求被丢弃的情况。

此外，作为一例，通信中继装置30也可以将反方向的服务请求以及数据中的至少一方不转发而丢弃。即，作为一例，通信中继装置30也可以丢弃从被检测到异常的产业控制系统20对其他的产业控制系统20的服务请求以及数据中的至少一方。由此，控制部34能够减轻从被检测到异常的产业控制系统20提供服务供求或者数据的产业控制系统20的处理负担。然后，控制部34能够将从被检测到异常的产业控制系统20提供服务请求或者数据的产业控制系统20的动作返回正常。

图8表示在将处于异常的产业控制系统20停止运行的状态下的、计算系统10的功能结构。在产业控制系统20被检测到异常的情况下，作为一例，控制部34停止运行被检测到异常的产业控制系统20。

即，通信中继装置30使被检测到异常的产业控制系统20的动作全部停止。然后，通信中继装置30进行停止运行之后，使被检测到异常的产业控制系统20再启动而开始动作。由此，控制部34能够将被检测到异常的产业控制系统20的动作返回正常。

图9表示一边阶段性地提高对应等级，一边执行用于使被检测到异常的产业控制系统20恢复正常的方案的一例。在本实施方式中，对用于使发生了异常的产业控制系统20恢复正常状态的处理，根据该处理对系统整体带来的影响度等而设定对应等级。

例如，虽然能够使产业控制系统20恢复正常的概率低但通过执行而对系统带来的影响较少的处理，被设定较低的对应等级。此外，例如，虽然能够使产业控制系统20恢复正常的概率较高但通过执行对系统带来的影响大的处理，被设定较高的对应等级。例如，在本实施方式中，对应等级最低的是再运行，第二低的是挑选，第三低的是断开，然后，对应等级最高的是停止运行。

因此，控制部34进一步基于监视部32的监视结果而决定对于被检测到异常的产业控制系统20的对应等级。作为一例，控制部34根据检测到的异常的内容以及严重程度等，决定对应等级。然后，控制部34使通信中继装置30执行基于所决定的对应等级的处理。此外，根据产业控制系统20的种类，例如在与社会基础设施有关的产业控制系统20中，有时即使发生了某种故障，也无法立即执行高对应等级。此时，控制部34选择对应等级，使得一边使系统以最低限度地工作，一边进行恢复。

此外，控制部34也可以开始执行对应等级低的处理，当产业控制系统20不恢复正常的状态的情况下，阶段性地提高对应等级而执行处理。例如，在任意的产业控制系统20中被检测到异常的情况下，控制部34首先使通信中继装置30执行再运行(步骤S11)。再运行由于使被检测到异常的产业控制系统20应处理的服务由未被检测到异常的产业控制系统20来代替，因此对系统带来的影响较少。

接着，当通过执行再运行，产业控制系统20也未恢复到正常的状态的情况下，控制部34使通信中继装置30执行挑选(步骤S12)。挑选由于丢弃服务以及数据的一部分，因此对系统带来的影响比再运行大，但由于减少通信量，因此与再运行相比，产业控制系统20恢复正常的状态的概率提高。

接着，当通过执行挑选，产业控制系统20也未恢复到正常的状态的情况下，控制部34使通信中继装置30执行断开(步骤S13)。断开由于丢弃所有的服务以及数据，因此对系统带来的影响比挑选大，但是在系统整体中的通信量比挑选还减少，因此与挑选相比，产业控制系统20恢复正常的状态的概率提高。

接着，通过执行断开，产业控制系统20也未恢复到正常的状态的情况下，控制部34使产业控制系统停止运行(步骤S14)。停止运行由于再启动之前需要时间，而且也无法控制设备，因此对系统带来的影响非常大，但是由于使异常的产业控制系统20再启动，因此恢复到正常的状态的概率变得非常高。

控制部34通过这样根据对应等级阶段性地改变处理的方案，能够从不会由于该计算系统10的动作而带来影响的方案开始逐渐执行。从而，通信中继装置30不会对严重程度小的异常执行过程的恢复方案，而能够执行与所发生的异常对应的适当等级的恢复方案。

图10表示本实施方式的计算机1900的硬件结构的一例。本实施方式的计算机1900包括：具有通过主控制器2082相互连接的CPU2000、RAM2020、图形控制器2075以及显示装置2080的CPU周边部；具有通过输入输出控制器2084而连接到主控制器2082的通信接口2030、硬盘驱动2040、以及CD-ROM驱动2060的输入输出部；以及具有连接到输入输出控制器2084的ROM2010、软盘驱动2050、以及输入输出芯片2070的传统输入输出部。

主控制器2082连接RAM2020、以高传输率访问RAM2020的CPU2000以及图形控制器2075。CPU2000基于在ROM2010以及RAM2020中存储的程序而动作，并进行各部的控制。图形控制器2075取得CPU2000等在RAM2020内设置的帧缓冲器上生成的图像数据，并使其显示在显示装置2080上。取而代之，图形控制器2075也可以将用于存储CPU2000等生成的图像数据的帧缓冲器包含在内部。

输入输出控制器2084连接主控制器2082、作为较高速的输入输出装置的通信接口2030、硬盘驱动2040、CD-ROM驱动2060。通信接口2030经由网络与其他的装置进行通信。硬盘驱动2040存储由计算机1900内的CPU2000使用的程序以及数据。CD-ROM驱动2060从CD-ROM2095读取程序或者数据，并经由RAM2020提供给硬盘驱动2040。

此外，输入输出控制器2084上连接有ROM2010、软盘驱动2050、以及输入输出芯片2070的比较低速的输入输出装置。ROM2010存储在计算机1900启动时执行的引导程序和/或依赖计算机1900的硬件的程序等。软盘驱动2050从软盘2090读取程序或数据，并经由RAM2020提供给硬盘驱动2040。输入输出芯片2070将软盘驱动2050连接到输入输出控制器2084，并经由例如并行端口、串行端口、键盘端口、鼠标端口等将各种输入输出装置连接到输入输出控制器2084。

经由RAM202提供给硬盘驱动2040的程序被存储在软盘2090、CD-ROM2095、或者IC卡等的记录介质而由利用者来提供。程序被从记录介质读出，经由RAM2020安装到计算机1900内的硬盘驱动2040，并在CPU2000被执行。

安装到计算机1900并使计算机1900起到计算系统10的作用的程序包括监视模块、控制模块、通信中继模块。这些程序或者模块推动CPU2000等，使计算机1900分别起到计算系统10的作用。

被这些程序记述的信息处理被计算机1900读取，从而起到软件与上述各种硬件资源协作的具体部件即监视部32、控制部34以及通信中继装置30的作用。然后，通过这些具体部件，实现与本实施方式的计算机1900的使用目的对应的信息的运算或加工，从而构筑与使用目的对应的特有的计算系统10。

作为一例，在计算机1900与外部的装置等之间进行通信的情况下，CPU2000执行在RAM2020上加载的通信程序，并基于在通信程序中记述的处理内容，对通信接口2030指示通信处理。通信接口2030接受CPU2000的控制，从而读取在RAM2020、硬盘驱动2040、软盘2090、或者CD-ROM2095等的存储装置上设置的发送缓冲器区域等存储的发送数据而发送给网络，或者将从网络接收的接收数据写入在存储装置上设置的接收缓冲器区域等。这样，通信接口2030可以通过DMA(直接存储器存取)方式在与存储装置之间转发发送接收数据，也可以取而代之，CPU2000从转发源的存储装置或者通信接口2030读取数据，并对转发目的地的通信接口2030或者存储装置写入数据，从而转发发送接收数据。

此外，CPU2000从在硬盘驱动2040、CD-ROM驱动2060(CD-ROM2095)、软盘驱动2050(软盘2090)等的外部存储装置中存储的文件或者数据库等中，通过DMA转发等而将全部或者必要的部分读入RAM2020，并对RAM2020上的数据进行各种处理。然后，CPU2000将结束了处理的数据通过DMA转发等而写回外部存储装置。在这样的处理中，RAM2020看做临时保持外部存储装置的内容的存储器，因此在本实施方式中将RAM2020以及外部存储装置等统称为存储器、存储部、或者存储装置等。本实施方式的各种程序、数据、表格、数据库等的各种信息被存储在这样的存储装置上，成为信息处理的对象。另外，CPU2000还可以将RAM2020的一部分保持在闪速存储器，并在闪速存储器上进行读写。在这样的方式中，闪速存储器也承担RAM2020的一部分功能，因此在本实施方式中，处理器区分表示的情况之外，闪速存储器也设为包含在RAM2020、存储器和/或存储装置中。

此外，CPU2000对从RAM2020读取的数据，进行通过程序的命令串而指定的、包含在本实施方式中记载的各种运算、信息的加工、条件判断、信息的检索/置换等的各种处理，并写回RAM2020。例如，CPU2000在进行条件判断的情况下，判断在本实施方式中表示的各种变量与其他的变量或常数比较，是否满足大、小、以上、以下、相等等的条件，当条件成立的情况下(或者不成立的情况下)，向不同的命令串分支，或者调用子程序(subroutine)。

此外，CPU2000能够检索在存储装置内的文件或者数据库等中存储的信息。例如，在存储装置中存储有对第1属性的属性值分别将第2属性的属性值相关联的多个条目的情况下，CPU2000从在存储装置中存储的多个条目中检索与被指定了第1属性的属性值的条件一致的条目，并读取对该条目存储的第2属性的属性值，从而能够取得与满足规定的条件的第1属性相关联的第2属性的属性值。

以上所示的程序或者模块可以存储在外部的记录介质中。作为记录介质，除了软盘2090、CD-ROM2095之外，还可以利用DVD或者CD等的光学记录介质、MO等的光磁记录介质、带介质、ID卡等的半导体存储器等。此外，也可以将在连接到专用通信网络或者因特网的服务器系统中设置的硬盘或者RAM等的存储装置作为记录介质来使用，并经由网络，将程序提供给计算机1900。

以上，利用实施方式来说明了本发明，但本发明的技术范围并不限定于上述实施方式中记载的范围。本领域技术人员明白能够对上述实施方式施加各种变更或者改良。根据权利要求书的记载可知，这样的施加了变更或者改良的方式也可以包含在本发明的技术范围内。

权利要求书、说明书以及附图中所示的装置、系统、程序、以及方法中的动作、步骤、以及阶段等各处理的执行顺序并未明确表示为“之前”、“以前”，此外，应注意，在后面的处理中不利用前面的处理的输出的情况下，能够以任意的顺序来实现。针对权利要求书、说明书、以及附图中的动作流程，即使为了方便而利用“首先”、“接着”等进行说明，也并非表示必须按照该顺序实施。

Claims

1.一种通信控制系统，用于控制在网络上连接的多个产业控制系统之间的通信，所述通信控制系统包括：

通信中继装置，对两个以上的产业控制系统之间的通信进行中继；

监视部，监视所述多个产业控制系统；以及

控制部，根据所述监视部检测到至少一个所述产业控制系统的异常的情况，进行切换，使得被检测到异常的所述产业控制系统与其他的所述产业控制系统之间的通信经由所述通信中继装置而进行。

2.如权利要求1所述的通信控制系统，其中，

所述通信中继装置限制被检测到异常的所述产业控制系统与其他的所述产业控制系统之间的通信。

3.如权利要求2所述的通信控制系统，其中，

所述通信中继装置减少从其他的所述产业控制系统至被检测到异常的所述产业控制系统的服务请求以及数据中的至少一方。

4.如权利要求3所述的通信控制系统，其中，

所述控制部使来自所述其他的产业控制系统的服务请求被路由至所述多个产业控制系统中的接受该服务请求的替代的所述产业控制系统。

5.如权利要求2至4的任一项所述的通信控制系统，其中，

所述控制部基于所述监视部的监视结果，进一步决定对于被检测到异常的所述产业控制系统的对应等级，

所述通信中继装置根据所述对应等级，切断被检测到异常的所述产业控制系统与其他的所述产业控制系统之间的通信。

6.如权利要求5所述的通信控制系统，其中，

所述控制部根据所述对应等级，停止运行被检测到异常的所述产业控制系统。

7.如权利要求1所述的通信控制系统，其中，

还包括连接到所述网络上并执行虚拟设备的服务器装置，

所述控制部根据检测到至少一个所述产业控制系统的异常的情况，将在所述服务器装置上执行的所述虚拟设备作为所述通信中继装置来进行分配。

8.如权利要求1所述的通信控制系统，其中，

所述控制部生成包含被检测到异常的所述产业控制系统的、以所述通信中继装置作为网关的网络区域。

9.如权利要求1所述的通信控制系统，其中，

根据被检测到异常的所述产业控制系统返回到正常的情况，所述控制部进行切换，使得返回到正常的所述产业控制系统与其他的所述产业控制系统之间的通信不经由所述通信中继装置而进行。

10.一种计算系统，包括：

多个产业控制系统；

网络，用于连接所述多个产业控制系统；

监视部，监视所述多个产业控制系统；以及

控制部，根据所述监视部检测到至少一个所述产业控制系统的异常的情况，进行切换，使得被检测到异常的所述产业控制系统与其他的所述产业控制系统之间的通信经由所述通信中继装置来进行。

11.一种通信控制方法，用于控制在网络上连接的多个产业控制系统之间的通信，其中，

监视所述多个产业控制系统，

配置用于对两个以上的产业控制系统之间的通信进行中继的通信中继装置，

根据检测到至少一个所述产业控制系统的异常的情况，进行切换，使得被检测到异常的所述产业控制系统与其他的产业控制系统之间的通信经由所述通信中继装置而进行。