JP2000267957A

JP2000267957A - 制御系用ファイアウォール

Info

Publication number: JP2000267957A
Application number: JP11069575A
Authority: JP
Inventors: Masatoshi Furuya; 雅年古谷; Teruji Sekozawa; 照治瀬古沢; Hiromitsu Kato; 博光加藤
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 1999-03-16
Filing date: 1999-03-16
Publication date: 2000-09-29

Abstract

(57)【要約】【課題】制御系ＬＡＮと情報系ＬＡＮとの接点におい
て、悪意、または、無意識による制御系への不正介入、
トラフィック妨害を防ぐための制御系用ファイアウォー
ルを提供する。【解決手段】情報系プロセスで、暗号化データを受信
し、そのデータを復号化し、復号化したデータを制御系
プロセスに渡し、データから制御コマンドを抽出し、コ
マンドフィルタリングテーブルを参照して、「通過」で
きる制御コマンドだけフィルタリングして、制御系ＬＡ
Ｎ上の監視制御コンピュータなどに転送する。また、制
御系プロセスで、監視データを受信し、プロセス間通信
で情報系プロセスに渡し、さらに、情報系ＬＡＮ上の端
末やデータベースサーバに転送する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、不特定多数の人が
利用する情報系ネットワークを利用して、プラントの監
視制御を行うシステムにおいて、情報系ネットワークと
制御系ネットワークとを安全に接続する装置に関する。

【０００２】

【従来の技術】従来、例えば、下水処理場や排水機場な
どのプラントの監視制御は、専用のリアルタイムオペレ
ーティングシステム（以下、ＲＴ−ＯＳという）で動作
する制御機器・計測機器・制御装置・監視制御卓などを
専用の回線で接続して制御系ネットワークを構築し、専
用の制御系用通信プロトコルによって制御データ・監視
データなどを通信する送ることによって行われてきた。

【０００３】これに対し、企業をはじめとする様々な組
織では、事務管理や電子メール・プリンタの共有などを
目的として、組織内情報系ネットワーク（以下、イント
ラネットという）を構築している。一般に、情報端末に
は汎用のオペレーティングシステム（以下、Ｇ−ＯＳと
いう）で動作するものを利用し、また、汎用の情報通信
用プロトコルによって情報通信を行っている。さらに、
イントラネットをインターネットに接続して、組織を超
えたＷＷＷ（ＷｏｒｌｄＷｉｄｅＷｅｂ）サービス
や電子メールも行っている。

【０００４】インターネットを経由して、イントラネッ
トに不正な侵入を防ぐものとしてファイアウォールがあ
る。例えば、文献１（「ファイアウォール」、５１頁〜
７９頁、１９９５、ソフトバンク）によれば、ファイア
ウォールには、方式として、パケットフィルタリングゲ
ートウェイ、トランスポートレベルゲートウェイ、アプ
リケーションレベルゲートウェイがある。

【０００５】パケットフィルタリングゲートウェイは、
送信元／送信先のＩＰ（ＩｎｔｅｒｎｅｔＰｒｏｔｏ
ｃｏｌ）アドレス／ポートに基づいてパケットを遮断／
許可する。トランスポートレベルゲートウェイは、送信
元がトランスポートレベルゲートウェイのＴＣＰ（Ｔｒ
ａｎｓｍｉｓｓｉｏｎＣｏｎｔｒｏｌＰｒｏｔｏｃ
ｏｌ）ポートに接続すると、トランスポートレベルゲー
トウェイが別のネットワーク上のサーバのポートに接続
する。コネクションが確立している間は、トランスポー
トレベルゲートウェイがリレーして、すべてのデータが
双方向に送られる。アプリケーションレベルゲートウェ
イは、送信元が別のネットワーク上のサーバのポートに
接続要求をしたとき、アプリケーションレベルゲートウ
ェイのＴＣＰポートに接続し、アプリケーションレベル
ゲートウェイが要求のあったサーバのポートに接続要求
する。

【０００６】こうした状況において、制御系ネットワー
クとイントラネットとを接続し、情報系ネットワーク上
の情報端末（イントラネット内の情報端末、インターネ
ットを介して接続する情報端末、公衆回線・無線などを
使ってイントラネットに接続した情報端末など）からプ
ラントの監視・制御、または、プラントの監視データの
２次利用を行うシステムが要求されている。

【０００７】上記のシステムを構築するためには、
（１）従来の制御系ネットワーク、および、制御用通信
プロトコルを、情報系ネットワーク、および、情報系通
信プロトコルに置き換えて再構築する方法と、（２）従
来の制御系ネットワーク、および、制御用通信プロトコ
ルを使って独自のイントラネットを構築し、その上に情
報端末を接続する方法と、（３）従来の制御系ネットワ
ーク、とイントラネットとを接続する方法とがある。こ
のうち、（１）（２）は既に稼動しているプラント監視
制御系、または、イントラネットを再構築する必要が生
じ、それぞれに必要なサービスを業務に支障をきたさな
いように維持するのは大変である。また、いずれかが新
規の構築になる場合であっても、それぞれに必要なサー
ビスが一様に同一のネットワーク上にあることは、制御
系の役割を考えると、セキュリティやリアルタイム性の
点で不安である。そこで、図２に示すように、制御系ネ
ットワーク１０００と情報系ネットワーク２０００とを
分けて考え、それらを接続する。このとき、制御系のセ
キュリティやリアルタイム性を確保するために、制御系
ネットワーク１０００と情報系ネットワーク２０００と
の接点に、制御系用ファイアウォール１が必要となる。

【０００８】制御系用ファイアウォール１には、制御系
ネットワークに接続するための制御系ＬＡＮボード、お
よび、情報系ネットワークに接続するための情報系ＬＡ
Ｎボードを搭載し、制御系用通信プロトコルと、情報系
用通信プロトコルとがサポートされている必要がある。
両通信プロトコルをサポートするためには、ＲＴ−ＯＳ
に両通信プロトコルをサポートさせる方法と、Ｇ−ＯＳ
とＲＴ−ＯＳの両方を共存させる方法が考えられる。

【０００９】Ｇ−ＯＳとＲＴ−ＯＳの両方を共存させる
方法としては、例えば、文献２（「リアルタイム制御方
式」、特開平１０−２１０９４）によれば、Ｇ−ＯＳが
動作するＣＰＵと、ＲＴ−ＯＳが動作するＣＰＵとを搭
載し、共有メモリを介して相互のプロセスの間のデータ
交換を行う方法と、ＲＴ−ＯＳをコアにして、この上に
Ｇ−ＯＳエミュレータを実装する方法とが紹介されてい
る。

【００１０】

【発明が解決しようとする課題】本発明の課題は、プラ
ントの監視制御を行う制御系ネットワークと組織内情報
系ネットワーク（イントラネット）を接続し、イントラ
ネット上の情報端末などで、プラントデータの監視、ま
たは、プラントの制御を行うとき、制御系ネットワーク
のセキュリティ、および、リアルタイム性を確保するた
めに、制御系ネットワークとイントラネットの接点に設
置する制御系用ファイウォールを提供することにある。

【００１１】本発明の第１の課題は、制御系にとって有
用なコマンドのみを制御系に転送するコマンドフィルタ
リング機能を有する制御系用ファイアウォールを提供す
ることにある。

【００１２】本発明の第２の課題は、制御系の状況に応
じて有用なコマンドの制限を変更するアクティブコマン
ドフィルタリング機能を有する制御系用ファイアウォー
ルを提供することにある。

【００１３】本発明の第３の課題は、コマンドフィルタ
リングのルールを情報系ネットワーク上のいかなるプロ
セスからも覗くことができないようにするフィルタリン
グテーブル不可視化機能を有する制御系用ファイアウォ
ールを提供することにある。

【００１４】本発明の第４の課題は、権利のないユーザ
が制御できないように、かつ、権利をもつユーザでも他
の権利者が制御を実行している間は制御できないように
するユーザ認証・操作権認証機能を有する制御系用ファ
イアウォールを提供することにある。

【００１５】本発明の第５の課題は、制御コマンドを送
信したとき、そのコマンドに対する制御系の進捗状況、
または、結果をレポートするトランザクションモニタリ
ング機能を有する制御系用ファイアウォールを提供する
ことにある。

【００１６】本発明の第６の課題は、不特定多数のユー
ザがプラントデータの監視ができ、かつ、不特定多数の
リクエストが制御系にじょう乱を与えないようにするリ
アルタイム監視データ転送機能を有する制御系用ファイ
アウォールを提供することにある。

【００１７】本発明の第７の課題は、プラント監視デー
タのヒストリカルデータも不特定多数のユーザが利用で
きるようにするリアルタイム監視データ転送機能を有す
る制御系用ファイアウォールを提供することにある。

【００１８】本発明の第８の課題は、プラント監視デー
タをリアルタイムに必要とするユーザに対して、ユーザ
が毎回リクエストを要求しなくてもデータが配信され、
かつ、要求のないプラント監視データはデータが配信さ
れないようにするリアルタイム監視データ転送機能を有
する制御系用ファイアウォールを提供することにある。

【００１９】本発明の第９の課題は、故障などのイベン
トが発生したときに、不特定多数のユーザに対してリア
ルタイムに配信され、かつ、後でイベント発生リストを
確認することもできるようにするリアルタイム監視デー
タ転送機能を有する制御系用ファイアウォールを提供す
ることにある。

【００２０】本発明の第１０の課題は、ＲＴ−ＯＳとＧ
−ＯＳとの双方に対して、メモリや記憶装置、ＬＡＮボ
ードなどに対して、アクセス領域が異なる制御系用ファ
イアウォールを提供することにある。

【００２１】本発明の第１１の課題は、制御系用ファイ
アウォール上に対するアクセスによって発生した事象
を、不正・正当を問わずログをとる機能と、そのログを
分析して適当な警報システムに状況報告をする機能を有
する制御系用ファイアウォールを提供することにある。

【００２２】

【課題を解決するための手段】（１）制御系用ファイア
ウォールをＧ−ＯＳとＲＴ−ＯＳが共存するコンピュー
タに実装する。Ｇ−ＯＳとＲＴ−ＯＳ上のそれぞれのプ
ロセスは共有メモリを介してプロセス間通信ができるよ
うにする。このとき、Ｇ−ＯＳ上の情報系プロセスで、
暗号化データを受信し、そのデータを復号化し、復号化
したデータをＲＴ−ＯＳ上の制御系プロセスに渡す。こ
の制御系プロセスで、データから制御コマンドを抽出
し、コマンドフィルタリングテーブルを参照して、「通
過」できるコマンドだけを制御系ＬＡＮ上の監視制御コ
ンピュータなどに転送する。

【００２３】（２）監視制御コンピュータなどからの監
視データに基づいて、コマンドフィルタリングテーブル
のルールを変更するロジックをもつプロセスをＲＴ−Ｏ
Ｓ上で実行させるか、または、監視制御コンピュータな
どから直接ルールの変更要求を受け取れるようにする。

【００２４】（３）コマンドフィルタリングテーブルを
Ｇ−ＯＳ上の情報系プロセスからはアクセスできないメ
モリや記憶装置におく。

【００２５】（４）情報系プロセスにおいて、正当なユ
ーザからのアクセスであるかを認証し、正当なユーザか
らのアクセスの場合、正当なユーザが利用している端末
と制御系用ファイウォール１との間でユニークな操作権
番号を共有する。正当なユーザからの暗号化データを受
信するが、それには、「ユーザＩＤ」「操作権番号」
「制御コマンド」が含まれるようにする。そして、ユー
ザＩＤと操作権番号が一致するかをチェックする。も
し、一致するならば、「操作権番号」と「制御コマン
ド」を制御系プロセスに転送する。制御系プロセスで
は、「操作権番号」と「制御コマンド」を含むデータを
受信し、操作権認証を行う。操作権認証は、受信した
「操作権番号」と「制御コマンド」の組み合わせが一致
するかを比較する。

【００２６】（５）制御系プロセスで、正当な制御コマ
ンドを監視制御コンピュータなどに転送した後、制御コ
マンドを送出したことをプロセス間通信によって、情報
系プロセスに通知し、情報系プロセスは、通知を受け取
ると、さらに、制御コマンドを発信したユーザ宛てに転
送する。このサイクルを監視制御コンピュータなどから
制御トランザクションに関するレポートが通知されるた
びに繰り返す。

【００２７】（６）制御系プロセスで監視データを受信
したとき、プロセス間通信で情報系プロセスに監視デー
タを引き渡し、さらに、情報系プロセスは、情報系ＬＡ
Ｎ上の端末やデータベースサーバに監視データを転送す
る。

【００２８】（７）情報系プロセスにおいて、タイマー
を設定し、前回、データを転送したときの転送時刻より
も新しい時刻のものに更新されているものだけを取り出
し、データベースサーバへまとめて転送する。そして転
送時刻を更新する。

【００２９】（８）情報系プロセスにおいて、ユーザか
ら、ある監視項目のリアルタイム配信要求を受けたと
き、正当なユーザからの要求であるかを認証を行う。正
当なユーザである場合には、その監視項目と配信先を登
録する。この登録が済むと、指定されている監視項目の
更新がある度に、登録されている配信先へ監視データを
転送する。

【００３０】（９）情報系プロセスにおいて、イベント
発生を受信する度に、イベント内容を情報系ＬＡＮ上に
マルチキャストする。

【００３１】（１０）共有メモリに、Ｇ−ＯＳから書き
込み可能だが、ＲＴ−ＯＳからは読み込みしかできない
アドレス空間と、ＲＴ−ＯＳから書き込み可能だが、Ｇ
−ＯＳからは読み込みしかできないアドレス空間とを持
たせる。

【００３２】また、Ｇ−ＯＳからしかアクセスできない
メモリや記憶装置、ＬＡＮボード、及び、ＲＴ−ＯＳか
らしかアクセスできないメモリや記憶装置、ＬＡＮボー
ドを持たせる。

【００３３】（１１）情報系プロセスにおいて、受信し
たデータを復号化したとき、送信元、ユーザ名、アクセ
ス時刻、内容、処理状況のログをとる。定期、または、
不定期に、このアクセスログを分析すし、分析によって
アクセス状況を認識し、重大、または、注意に値する状
況になっている場合には、警報システムへ状況を報告す
る。

【００３４】

【発明の実施の形態】図２は、制御系用ファイアウォー
ルを介して情報系ネットワークと制御系ネットワークを
接続するシステム構成例を示したものである。

【００３５】制御系用ファイアウォール（プラントファ
イアウォール）１は、制御系ネットワーク（制御系ＬＡ
Ｎ）１０００と、情報系ネットワーク（イントラネッ
ト）２０００との間に接続される。制御系ＬＡＮ１００
０には、監視制御コンピュータ１００１が接続され、監
視制御コンピュータ１００１は、制御機器１００２の制
御を行ったり、計測機器１００３の計測データを取り込
んだりしている。監視制御卓１００４は制御コマンドの
送信やデータの監視を行う。イントラネット２０００に
は、情報サーバ２００３、データベースサーバ２００
４、情報端末３００１などが接続され、さらに、ファイ
アウォール２００２を介してインターネット２００１に
接続している。情報端末３００１としては、イントラネ
ット２０００上の他にも、公衆回線や無線回線など３０
０２を介して情報サーバ２００３の１つに接続するも
の、インターネットサービスプロバイダ３００３を介し
てインターネットに接続しているもの、他のネット上か
らインタネットに接続しているものなどがある。

【００３６】図１、３、４、５は、制御系用ファイアウ
ォールの第１の発明であるコマンドフィルタリング機能
の実施例を示したものである。

【００３７】制御系用ファイアウォール１は、制御系Ｌ
ＡＮに接続する制御系ＬＡＮボード１４と、イントラネ
ットに接続する情報系ＬＡＮボード１１とを搭載し、Ｒ
Ｔ−ＯＳ３とＧ−ＯＳ２とが動作し、それぞれのＯＳ上
で、制御系用通信プロトコルによる通信９、情報系用通
信プロトコルによる通信４で通信する機能を持ってい
る。さらに、ＲＴ−ＯＳ上のプロセス３０とＧ−ＯＳ上
のプロセス２０は、制御系−情報系間プロセス通信機能
６、７によって共有メモリ１０を介してプロセス間通信
することができる。なお、図３以降の発明に関する図に
おいては、通信プロトコル４、９、プロセス間通信６、
７、メモリ・記憶装置など管理５、８に該当するものは
割愛する。

【００３８】情報系プロセス２０では、暗号化データを
受信し（２１）、復号鍵を使って暗号化データを復号化
する（２２）。正当なデータならば、復号化データには
制御コマンドが含まれている。そして、復号化データの
一部、または、全部（制御コマンドを含む）を制御系−
情報系間プロセス通信を使って制御系プロセス３０に渡
す（２３）。制御系プロセス３０で復号化データの一
部、または、全部を受信し（３１）、復号化データの中
から制御コマンドをとりだし、その制御コマンドの通過
・待機・遮断を行うコマンドフィルタリングを行い（３
２）、通過させる制御コマンド（正当なコマンド）のみ
を制御系ＬＡＮ上の監視制御用コンピュータ１００１な
どに転送する。

【００３９】図３は、コマンドフィルタリングを行うた
めのフイルタリングテーブル３４の例を示したものであ
る。

【００４０】フィルタリングテーブル３４には、フィル
タリング動作４１、制御コマンド４２、制御コマンドの
送信先４３が記述されており、ＲＴ−ＯＳ３上のプロセ
ス上から読み書き可能なメモリ、または、ハードディス
クなどの記憶装置１３に記憶されている。動作には、
「通過」「待機」「遮断」がある。

【００４１】図４、５は、コマンドフィルタリング３２
の具体的処理を示したものである。

【００４２】受信した復号化データから抽出した制御コ
マンドがフィルタリングテーブル３４に存在しているか
を確認し（５１）、コマンドが存在していない場合は、
削除して（５４）、終了する。存在する場合は、フィル
タリング動作をチェックする（５２）。動作が「遮断」
のコマンドは、削除して（５４）、終了する。「通過」
のコマンドは、監視制御コンピュータなど指定されてい
る送信先に送信する（３３）。「待機」のコマンドは、
コマンドの内容を保持し、別プロセスなどからの通知を
待つ（５３）。もし、別プロセスから通知があり、動作
が「待機」から「通過」または「遮断」に変更になった
ときは、フィルタリング動作の再チェックを行う（５
２）。

【００４３】しかし、もし、あるコマンドが連続して送
信されたとき（制御トランザクションが完了しないうち
に次のコマンドが送信されたとき）に、図４の処理だけ
では不足である。そこで、図５に示したように、「通
過」のコマンドに対しては、まず、そのフィルタリング
ルールの動作を一時「待機」にしておき（５５）、コマ
ンドを転送した（３３）後、制御トランザクションの完
了を待って（５６）、完了を知った時点で、また、「通
過」に戻す（５７）。連続して送信されたコマンドは
「待機」に基づき保持される。

【００４４】以上によって、情報系ＬＡＮ上の情報端末
から行える制御を限定できる。不必要な制御コマンドが
いたずらに制御系ＬＡＮ上に流れることもない。制御ト
ランザクションが完了しないうちに到着した制御コマン
ドにも対処できる。もし、一切の制御コマンドを排除し
たい場合には、フィルタリングテーブルの中味を無にす
れば良い（記述のない制御コマンドは「遮断」を意味す
る）。

【００４５】図６は、制御系用ファイアウォールの第２
の発明であるアクティブコマンドフィルタリング機能の
実施例を示したものである。

【００４６】制御系プロセス６０で、監視データ、また
は、フィルタリング動作変更要求を取得する（６１）。
フィルタリング動作変更要求（コマンドＡを「通過」な
ど）を取得した場合には、その通りにフィルタリングテ
ーブルの変更を行う（６３）。制御系プロセス６０から
アクセス可能なメモリまたは記憶装置１３上に、フィル
タリング動作を変更するためのルール６５が存在する場
合には、これに従って、入手した監視データを元に、動
作変更の必要性があるかを調べ（６２）、必要がある場
合には、フィルタリングテーブルの変更を行う（６
３）。変更を行ったときは、別の制御系プロセスにもそ
の旨を通知する（６４）。フィルタリング動作を変更す
るためのルール６５とは、例えば、「主電源がＯＦＦ状
態のとき、緊急ポンプ停止の制御コマンドは遮断」など
のルールである。

【００４７】監視制御コンピュータ１００１側が、有効
な制御コマンドを管理する機能を既にもっている場合
（つまり、制御プロセス６０の中の、動作変更要求の必
要性の判断を行うロジック６２相当のものを既に監視制
御コンピュータが持っている場合）は、制御コマンドの
有効／無効が切り替わったときのみ、その旨を制御系用
ファイアウォール１に送信し、そのコマンドに対する動
作の通過／遮断を切り替えることができる。監視制御コ
ンピュータ１００１側が、有効な制御コマンドを管理す
る機能を持っていない場合には、２つの方法がある。
（１）監視制御コンピュータにロジックを実装する。
（２）制御系用ファイアウォール１の制御系プロセス６
０に実装する。（２）の場合、例えば、制御系ＬＡＮ上
にたくさんの監視制御コンピュータがある場合でも、ロ
ジックのメンテナンスを１箇所で行うことができる。逆
に、ロジックが複雑、または、ルールを処理する数が多
いと、制御系用ファイアウォール自身の負荷が大きくな
る。

【００４８】以上によって、例えば、ポンプ運転の状態
に入ったら、保守コマンド系は遮断するとか、電源がＯ
Ｎの状態でないと、ポンプ運転系のコマンドは受け付け
ないなど、制御系の状態に基づく制御コマンドのフィル
タリングができる。つまり、制御系の現在状態にとって
不必要な制御コマンドがいたずらに制御系ＬＡＮ上に流
れることを防げる。

【００４９】図７は、制御系用ファイアウォールの第３
の発明であるフィルタリングテーブルの不可視化の実施
例を示したものである。

【００５０】Ｇ−ＯＳ２とＲＴ−ＯＳ３が動作する制御
系用ファイアウォールに対して、フィルタリングテーブ
ルの記憶は、（ａ）情報系プロセスからアクセス可能な
メモリ、記憶装置１２上、（ｂ）情報系プロセスからア
クセス可能な共有メモリ１０上、（ｃ）制御系プロセス
からアクセス可能なメモリ、記憶装置１３上の３つがあ
る。

【００５１】（ａ）の場合、情報系プロセス７０ａから
アクセス可能なため、悪意のあるユーザによって例えば
システムのルート権限に不正侵入して、フィルタリング
テーブル７２ａを書き換えてしまう可能性がある。フィ
ルタリングテーブルが読み込みしかできないようになっ
ている場合は、動的にフィルタリングテーブルを変更す
ることができなくなる。また、読み込みができることを
利用して、制御可能なコマンドをいたずらに送信してく
る可能性もでてしまう。

【００５２】（ｂ）の場合も（ａ）と同様の問題があ
る。

【００５３】これに対し、（ｃ）の場合、情報系プロセ
ス７０ｃからは、直接的には、フィルタングテーブルを
参照することができないので、情報系ＬＡＮ上の端末か
らは、制御可能なコマンド書き換えられることも、盗み
見られることも可能性は極めて小さい。

【００５４】第３の発明は、フィルタリングテーブル７
３を制御系プロセス７１からのみアクセス可能なメモ
リ、記憶装置１３上に記憶することで情報系プロセスか
ら隠ぺいすることができる。

【００５５】図８、９、１０、１１は、制御系用ファイ
アウォールの第４の発明であるユーザ認証・操作権認証
機能の実施例を示したものである。

【００５６】情報系プロセス８０は、ユーザＩＤとパス
ワードとの組み合わせなどを用い、正当なユーザからの
アクセスであるかを認証する（８１）。そして、正当な
ユーザからのアクセスと判断されたときは、正当なユー
ザが利用している端末３００１と制御系用ファイウォー
ル１との間でユニークな操作権番号８４、８５を共有す
る（８２）。このとき、制御系用ファイアウォール１側
ではユーザＩＤと操作権番号の組み合わせを暗号化して
記憶しておくことが望ましい（８３）。もし、同じユー
ザＩＤを使って別の端末からもアクセスがあるとして
も、別の操作権番号が共有されることになる。

【００５７】次に、情報系プロセス９０は、正当なユー
ザからの暗号化データを受信し（２１）、復号化する
（２２）。復号化したデータには、「ユーザＩＤ」「操
作権番号」「制御コマンド」が含まれる。そして、ユー
ザＩＤと操作権番号が一致するかをチェックする（９
１）。もし、一致するならば、「操作権番号」と「制御
コマンド」を制御系プロセスに転送する（２３）。

【００５８】制御系プロセス１００は、「操作権番号」
と「制御コマンド」を含む復号化データを受信し（３
１）、操作権認証を行ってから（１０１）、コマンドフ
ィルタリングを行う（３２）。このとき、図１１に示し
たようにフィルタリングテーブル３４には、制御コマン
ド４２に対する操作権番号１０４が記憶されている。図
中「−」で示されているのは、その制御コマンドが現在
どのユーザにも利用しようとしていないことを意味す
る。操作権認証１０１は、受信した「操作権番号」と
「制御コマンド」の組み合わせが一致するかを比較する
（１０２）。もし、一致するならば、コマンドフィルタ
リングを行う（３２）。もし、フィルタリングテーブル
に操作権番号が登録されていないとき（図中「−」のと
き）は、受信した操作権番号を該当の制御コマンド、お
よび、それに関連する制御コマンドに登録をしてから
（１０３）、コマンドフィルタリングを行う（３２）。
一致しないときは終了する。

【００５９】その他に、制御系プロセスには、制御系コ
マンドと操作権番号との関連付けを空きにする手順が必
要である。これは、利用者が操作権を放棄したり、また
は、一定時間以上操作がない（操作権の放棄の忘れ）、
または、ある利用者の操作権を強制的にはく奪する場合
に実行される。

【００６０】以上によって、制御系にコマンドを送り込
むことができるのは、正当なユーザだけである。しか
も、他の正当なユーザが制御コマンドを実施中は、例
え、自分が正当ユーザであっても、制御コマンドを送り
込むことはできない。図１２は、制御系用ファイアウォ
ールの第５の発明であるトランザクションモニタリング
機能の実施例を示したものである。

【００６１】制御系プロセス１１０では、正当な制御コ
マンドを転送した後（３３）、制御コマンドを送出した
ことをプロセス間通信によって、情報系プロセス１２０
に通知する（１１１）。情報系プロセスでは、通知を受
け取ると、その内容を、さらに、制御コマンドを発信し
たユーザ宛てに転送する（１２２）。このサイクルを監
視制御コンピュータなどから制御トランザクションに関
するレポートが通知されるたびに繰り返し（１１３、１
２１）、制御トランザクションが完了するまで繰り返す
（１１２、１２３）。

【００６２】以上によって、ユーザが送信した制御コマ
ンドが正確に監視制御コンピュータ１００１などに伝わ
ったのかを把握することができる。また、１つの制御コ
マンドに対してその制御トランザクションが完了するの
に時間がかかる場合でも途中の進捗状況を把握すること
ができる。

【００６３】図１３、１４は、制御系用ファイアウォー
ルの第６の発明である監視データ転送機能の実施例を示
したものである。

【００６４】制御系プロセス１３０では、監視データを
制御系ＬＡＮ上の監視制御コンピュータなどから受信し
（１３１）、監視データをプロセス間通信によって、情
報系プロセスに渡す（１３２）。実際には、図１４に示
したように共有メモリ１０上の監視データ空間１３４に
書き込まれ、ここには最新データ、及び、その更新時刻
などの可変データが入る。一方、共有メモリ１０上に
は、監視項目に対する属性情報空間１３３もあり、ここ
には、データＩＤ、データ名称、単位、共有メモリ上の
監視データの保存アドレスなどが示される。属性情報空
間１３３の内容は、監視項目の追加や削除・修正などが
あった場合に制御系プロセス側から書き換えられるよう
になっている。

【００６５】情報系プロセス１４０では、監視データを
受信した後（１４１）、監視データを情報系ＬＡＮ上の
端末３００１やデータベースサーバ２００４などにさら
に転送する（１４２）。また、必要に応じて、属性情報
空間の内容を転送する場合もある。

【００６６】以上によって、監視制御コンピュータ１０
０１などがもつ制御機器や計測機器のデータを情報系上
の端末やデータベースサーバに転送することができる。

【００６７】上記の監視データの情報系ＬＡＮ上の機器
への転送の方法には、さらに、以下の３つの発明があ
る。

【００６８】図１５、１６は、監視データの転送機能に
おける大容量データ転送機能の発明（制御系用ファイア
ウォールの第７の発明）の実施例を示したものである。

【００６９】まず、タイマーイベントを発生する初期時
刻、及び、時間間隔１５９をセットしておく（１５
１）。

【００７０】情報系プロセス１５０では、タイマーイベ
ントが発生すると（１５２）、前回、データをデータベ
ースサーバ２００４へ転送したときの転送時刻１５８を
読み込む（１５３）。監視データを受信し（共有メモリ
１０上のデータを読み込み）（１４１）、前回転送時刻
よりも新しい時刻のデータであるかをチェックする（１
５４）。データが新しいときは、そのデータを一時記憶
する（１５５）。これをすべての監視データに対して繰
り返す（１５６）。そして、一時記憶しておいた監視デ
ータをデータベースサーバ２００４へまとめて転送する
（１４２）。転送した監視データの中で最も新しい更新
時刻を最終転送時刻１５８として書き換える（１５
７）。

【００７１】上記を図１６の具体的な例で説明する。こ
の例では、１２：００を基点として、２０分ごとにタイ
マーイベントが発生するように設定されてあり、現在時
刻は、１３：２０になった場合である。前回の最終転送
時刻は１３：００と記憶されており、監視データ空間１
３４上のデータから１３：００よりも新しいものを一時
記憶空間１６４に抽出し、抽出したデータをまとめてデ
ータベースサーバに転送する。そして、最終転送時刻を
最も新しいものである１３：１５におきかえる。なお、
この例において、最終転送時刻を現在時刻の１３：２０
とする場合もある。

【００７２】以上によって、データベースサーバ２００
４に定期的にデータを一括して転送することができる。
監視データ空間のデータの更新時刻が同一でなくても問
題ない。このとき、更新されていないデータに関して
は、転送されないので、トラフィックの節約にもなる
し、一度送ったことのあるデータの再送によるデータベ
ースサーバ側の負荷低減にもなる。また、通常、制御系
上での監視データの更新サイクルはかなり短く、このサ
イクルに合わせて全てのデータを転送するのは、相当負
荷が大きいが、時間間隔の設定ができるので、転送サイ
クルを長くすることで、制御系プラントファイウォール
・ネットワークトラフィック・データベースサーバの負
荷を抑えることができる。

【００７３】図１７は、監視データの転送機能における
リアルタイム配信機能の発明（制御系用ファイアウォー
ルの第８の発明）の実施例を示したものである。

【００７４】情報系プロセス１６０では、ある監視項目
のリアルタイム配信要求を受信すると（１６１）、ま
ず、そのユーザの認証を行う（８１）。正当なユーザで
ある場合には、その監視項目と配信先を登録する（１６
２）。

【００７５】上記の登録があると、情報系プロセス１４
０では、指定されている監視項目の更新がある度に（１
４１）、登録されている配信先へ転送する（１４２）。
なお、配信先は１箇所でない場合もある。

【００７６】以上によって、情報系ＬＡＮ上の端末は、
リアルタイム配信を受けることができる。また、ユーザ
認証を加えていることにより、なりすましによってリア
ルタイム配信サービスを不正に大量に行って、リアルタ
イム配信サービスの妨害することから防ぐこともでき
る。なお、リアルタイム配信は、１ユーザあたり３項目
までのように制約をつけてリアルタイム配信サービスを
保護してもよい。

【００７７】図１８は、監視データの転送機能における
イベントのマルチキャスト配信機能の発明（制御系用フ
ァイアウォールの第９の発明）の実施例を示したもので
ある。

【００７８】情報系プロセス１７０では、イベント発生
を受信する度に（１７１）、イベント内容を情報系ＬＡ
Ｎ上にマルチキャストする（１７２）。情報系ＬＡＮ上
のデータベースサーバ２００４、端末３００１はマルチ
キャストを受信すると、イベント内容を取り込み、デー
タベースサーバにイベントを取り込んだり、端末にイベ
ントを表示したりなどの適切な処置を行う。

【００７９】以上によって、マルチキャストを受信する
体制になっている情報系ＬＡＮ上の端末、データベース
サーバは、イベントをリアルタイムに受信することがで
きる。また、端末が受信する体制になかったとしても、
データベースサーバには、発生イベントが格納されてい
るので、こちらを参照することでイベントリストを見る
ことができる。

【００８０】図１９は、制御系用ファイアウォールの第
１０の発明であるメモリアクセスの安全性の実施例を示
したものである。

【００８１】制御系用ファイアウォール１は、Ｇ−ＯＳ
２とＲＴ−ＯＳ３が実装され、それぞれ共有メモリ１０
にアクセスすることができる。このとき、共有メモリ
は、Ｇ−ＯＳ２から書き込み可能だが、ＲＴ−ＯＳ３か
らは読み込みしかできないアドレス空間１８１と、ＲＴ
−ＯＳ３から書き込み可能だが、Ｇ−ＯＳ２からは読み
込みしかできないアドレス空間１８２とを持たせる。ア
ドレス空間１８１には、例えば、制御コマンドや、適当
な各種フラグが、Ｇ−ＯＳ側のプロセスによって書き込
まれる。アドレス空間１８２には、例えば、属性情報
や、適当な各種フラグ、監視データ、イベント、制御ト
ランザクションのレポートなどが、ＲＴ−ＯＳ側のプロ
セスによって書き込まれる。

【００８２】以上によって、Ｇ−ＯＳ上のプロセスが誤
って、監視データやイベントなどを書き換えてしまうこ
とがなくなる。また、共有メモリを介したプロセス間通
信として、お互いに通信の受領を通知したい場合でも、
両方の空間にそれぞれのＯＳのプロセスがフラグを書き
込むための領域があるので、問題ない。

【００８３】図２０は、制御系用ファイアウォールの第
１１の発明であるメモリアクセスの安全性の第2の実施
例を示したものである。

【００８４】制御系用ファイアウォール１は、Ｇ−ＯＳ
２とＲＴ−ＯＳ３が実装され、それぞれ共有メモリ１０
にアクセスすることができるが、Ｇ−ＯＳ２からしかア
クセスできないメモリや記憶装置１２、ＬＡＮボード１
１、及び、ＲＴ−ＯＳ３からしかアクセスできないメモ
リや記憶装置１３、ＬＡＮボード１４を持たせる。例え
ば、Ｇ−ＯＳ２は、メモリ１３を認識することはできな
い。

【００８５】以上によって、例えば、コマンドフィルタ
リングテーブル３４をメモリ１３に置くことで、Ｇ−Ｏ
Ｓ側のプロセスからは、その内容を直接読んだり、書き
換えたりすることはできない。

【００８６】図２１は、制御系用ファイアウォールの第
１２の発明であるアクセスログ機能の実施例を示したも
のである。

【００８７】情報系プロセス１９０では、暗号化してあ
る、または、平文のままのデータを受信する（２１）。
そして、その内容を復号化する（２２）。当然、平文は
復号化処理を施せば意味のないものにかわる。そして、
復号化したデータが、意味のあるものかどうかを判断し
（１９１）、意味不明の場合には、内容が不正であると
して、処理を「不正による削除（１９２）」として、送
信元、ユーザ名、アクセス時刻、内容、処理状況のログ
１９５をとる（１９４）。復号化した内容に意味がある
場合には、ユーザＩＤや操作権番号が一致するかを確認
し（９１）、不一致の場合には、「処理：操作権不一致
による削除（１９３）」として、同様にログ１９５をと
る（１９４）。一致の場合には、「処理：正当なデータ
転送」として、内容をプロセス間通信によって、制御系
プロセスに引き渡す。このときもログ１９５をとる（１
９４）。

【００８８】図２２は、制御系用ファイアウォールの第
１３の発明である警報機能の実施例を示したものであ
る。

【００８９】情報系プロセス２００では、定期、また
は、不定期に、アクセスログ１９５を分析する（２０
１）。分析によってアクセス状況を認識し（２０２）、
もし、重大、または、注意に値する状況になっている場
合には、警報システムへ状況を報告する（２０３）。問
題なければ、特に何もしない。

【００９０】以上によって、正当、不正を含めてアクセ
スの状況が内容レベルまでログをとり、さらに、重大な
不正があった場合には、即座に警報システムに報告がで
る。

【００９１】

【発明の効果】本発明によれば、情報系ＬＡＮ上の情報
端末３００１から行える制御を限定できる。不必要な制
御コマンドがいたずらに制御系ＬＡＮ上に流れることも
ない。制御トランザクションが完了しないうちに到着し
た制御コマンドにも対処できる。もし、一切の制御コマ
ンドを排除したい場合には、フィルタリングテーブルの
中味を無にすれば良い。

【００９２】本発明によれば、例えば、ポンプ運転の状
態に入ったら、保守コマンド系は遮断するとか、電源が
ＯＮの状態でないと、ポンプ運転系のコマンドは受け付
けないなど、制御系の状態に基づく制御コマンドのフィ
ルタリングができる。つまり、制御系の現在状態にとっ
て不必要な制御コマンドがいたずらに制御系ＬＡＮ上に
流れることを防げる。

【００９３】本発明によれば、フィルタリングテーブル
を制御系プロセスからのみアクセス可能なメモリ、記憶
装置上に記憶することで情報系プロセスから隠ぺいする
ことができる。

【００９４】本発明によれば、制御系にコマンドを送り
込むことができるのは、正当なユーザだけである。しか
も、他の正当なユーザが制御コマンドを実施中は、例
え、自分が正当ユーザであっても、制御コマンドを送り
込むことはできない。本発明によれば、ユーザが送信し
た制御コマンドが正確に監視制御コンピュータなどに伝
わったのかを把握することができる。また、１つの制御
コマンドに対してその制御トランザクションが完了する
のに時間がかかる場合でも途中の進捗状況を把握するこ
とができる。

【００９５】本発明によれば、監視制御コンピュータな
どがもつ制御機器や計測機器のデータを情報系上の端末
やデータベースサーバに転送することができる。

【００９６】本発明によれば、データベースサーバに定
期的にデータを一括して転送することができる。監視デ
ータ空間のデータの更新時刻が同一でなくても問題な
い。このとき、更新されていないデータに関しては、転
送されないので、トラフィックの節約にもなるし、一度
送ったことのあるデータの再送によるデータベースサー
バ側の負荷低減にもなる。また、通常、制御系上での監
視データの更新サイクルはかなり短く、このサイクルに
合わせて全てのデータを転送するのは、相当負荷が大き
いが、時間間隔の設定ができるので、転送サイクルを長
くすることで、制御系プラントファイウォール・ネット
ワークトラフィック・データベースサーバの負荷を抑え
ることができる。

【００９７】本発明によれば、情報系ＬＡＮ上の端末
は、リアルタイム配信を受けることができる。また、ユ
ーザ認証を加えていることにより、なりすましによって
リアルタイム配信サービスを不正に大量に行って、リア
ルタイム配信サービスの妨害することから防ぐこともで
きる。

【００９８】本発明によれば、マルチキャストを受信す
る体制になっている情報系ＬＡＮ上の端末、データベー
スサーバは、イベントをリアルタイムに受信することが
できる。また、端末が受信する体制になかったとして
も、データベースサーバには、発生イベントが格納され
ているので、こちらを参照することでイベントリストを
見ることができる。

【００９９】本発明によれば、Ｇ−ＯＳ上のプロセスが
誤って、監視データやイベントなどを書き換えてしまう
ことがなくなる。また、共有メモリを介したプロセス間
通信として、お互いに通信の受領を通知したい場合で
も、両方の空間にそれぞれのＯＳのプロセスがフラグを
書き込むための領域があるので、問題ない。

【０１００】本発明によれば、例えば、コマンドフィル
タリングテーブルをメモリに置くことで、Ｇ−ＯＳ側の
プロセスからは、その内容を直接読んだり、書き換えた
りすることはできない。

【０１０１】本発明によれば、正当、不正を含めてアク
セスの状況が内容レベルまでログをとり、さらに、重大
な不正があった場合には、即座に警報システムに報告が
でる。

【図面の簡単な説明】

【図１】本発明のコマンドフィルタリング機能の実施例
の説明図である。

【図２】制御系用ファイアウォールを含めた全体システ
ムの例である。

【図３】本発明のコマンドフィルタリング機能の実施例
の第１の説明図である。

【図４】本発明のコマンドフィルタリング機能の実施例
の第２の説明図である。

【図５】本発明のコマンドフィルタリング機能の実施例
の第３の説明図である。

【図６】本発明のアクティブコマンドフィルタリング機
能の実施例の説明図である。

【図７】本発明のコマンドフィルタリングテーブルの不
可視化の実施例の説明図である。

【図８】本発明のユーザ認証・操作権認証機能の実施例
の第１の説明図である。

【図９】本発明のユーザ認証・操作権認証機能の実施例
の第２の説明図である。

【図１０】本発明のユーザ認証・操作権認証機能の実施
例の第３の説明図である。

【図１１】本発明のユーザ認証・操作権認証機能の実施
例の第４の説明図である。

【図１２】本発明の制御トランンザクションのレポート
機能の実施例の説明図である。

【図１３】本発明の監視データの転送、及び、その拡張
機能の実施例の第１の説明図である。

【図１４】本発明の監視データの転送、及び、その拡張
機能の実施例の第２の説明図である。

【図１５】本発明の監視データの転送、及び、その拡張
機能の実施例の第３の説明図である。

【図１６】本発明の監視データの転送、及び、その拡張
機能の実施例の第４の説明図である。

【図１７】本発明の監視データの転送、及び、その拡張
機能の実施例の第５の説明図である。

【図１８】本発明の監視データの転送、及び、その拡張
機能の実施例の第６の説明図である。

【図１９】本発明のメモリアクセスの安全性確保の実施
例の第１の説明図である。

【図２０】本発明のメモリアクセスの安全性確保の実施
例の第２の説明図である。

【図２１】本発明のアクセスログ、及び、警報機能の実
施例の第１の説明図である。

【図２２】本発明のアクセスログ、及び、警報機能の実
施例の第２の説明図である。

【符号の説明】

１…制御系用ファイウォール（プラントファイアウォー
ル）、２…情報系ＯＳ（Ｇ−ＯＳ）、３制御系ＲＴ−Ｏ
Ｓ（ＲＴ−ＯＳ）、１０…共有メモリ、１１…情報系Ｌ
ＡＮボード、１２…情報系メモリ・記憶装置、１３…制
御系メモリ・記憶装置、１４…制御系ＬＡＮボード、３
４…コマンドフィルタリングテーブル、１０００…制御
系ＬＡＮ、１００１…監視制御コンピュータ、１００２
…制御機器、１００３…計測機器、２０００…情報系Ｌ
ＡＮ（イントラネット）、２００１…インターネット、
２００４…データベースサーバ、３００１…情報端末。

───────────────────────────────────────────────────── フロントページの続き (72)発明者加藤博光神奈川県川崎市麻生区王禅寺1099番地株式会社日立製作所システム開発研究所内Ｆターム(参考） 5B089 GA01 GA11 HA06 HA10 JA35 JB10 JB16 KA17 KB04 KB13 KC32 KC53 KC58 KH01 5B098 AA10 GA02 GA04 GC16 5K033 AA08 CB01 CB08 DA01 DA05 DB10 DB12 DB14 DB16 EA07

Claims

【特許請求の範囲】

【請求項１】制御機器を制御したり、計測機器からデー
タを収集したりする監視制御用コンピュータが接続され
ている制御系ネットワークに接続する制御系ＬＡＮボー
ドと、情報端末や情報サーバが接続されている情報系ネ
ットワークに情報系ＬＡＮボードとを搭載し、制御系用
リアルタイムオペレーティングシステムと情報系用オペ
レーティングシステムとが動作し、制御系用通信プロト
コルで通信する手段と情報系用通信プロトコルで通信す
る手段とを有し、制御系用リアルタイムオペレーティン
グシステム上で動作するプロセスと情報系用オペレーテ
ィングシステム上で動作するプロセスとがプロセス間通
信する手段を有するコンピュータであって、情報系用オ
ペレーティングシステム上では、情報系ネットワークか
ら送信された暗号化コマンドを復号化する手段と、復号
化したコマンドを制御系用リアルタイムオペレーティン
グシステム上で動作するプロセスにプロセス間通信する
手段とを有し、制御系用リアルタイムオペレーティング
システム上では、プロセス間通信によって入手したコマ
ンドをフィルタリングする手段と、フィルタリング手段
によって許可されたコマンドを前記監視制御用コンピュ
ータに通信する手段とを有していることを特徴とする制
御系用ファイアウォール。
【請求項２】請求項１記載の制御用ファイアウォールで
あって、制御系用リアルタイムオペレーティングシステ
ム上では、制御可能なコマンド情報、または、監視デー
タを制御系ネットワークから受信し、受信した内容に基
づいてコマンドをフィルタリングするルールを変更する
手段を有していることを特徴とする制御系用ファイアウ
ォール。
【請求項３】請求項１記載の制御系用ファイアウォール
であって、コマンドフィルタリング手段のためのフィル
タリングルールを記憶する記憶装置は、制御系用リアル
タイムオペレーティングシステム上で動作するプロセス
からのみ読み書き可能なことを特徴とする制御系用ファ
イアウォール。
【請求項４】請求項１記載の制御系用ファイアウォール
であって、情報系用オペレーティングシステム上では、
コマンドを送信したユーザが正当な権利をもつかを認証
する手段と、操作権が登録のものと一致するかを確認す
る手段とを有し、正当な権利をもち、かつ、操作権をも
っているユーザからのデータのみを、制御系用リアルタ
イムオペレーティングシステム上で動作するプロセスに
プロセス間通信し、制御系用リアルタイムオペレーティ
ングシステム上では、さらに、制御コマンドを実行する
ことが許可されている操作権であるかを確認する手段を
有していることを特徴とする制御系用ファイアウォー
ル。
【請求項５】請求項１記載の制御系用ファイアウォール
であって、制御系用リアルタイムオペレーティングシス
テム上では、制御コマンドを前記監視制御用コンピュー
タに通信したとき、該監視制御用コンピュータより制御
コマンドに対する進捗状況、または、結果を受信し、該
進捗状況、または、結果を情報系用オペレーティングシ
ステム上で動作するプロセスにプロセス間通信する手段
を有し、情報系用オペレーティングシステム上では、プ
ロセス間通信によって入手した進捗状況、または、結果
を制御コマンドの発信元に転送する手段とを有している
ことを特徴とする制御系用ファイアウォール。