JP2006323475A - 監視制御装置の操作管理装置 - Google Patents

Abstract

【課題】監視制御装置の操作の操作員権限認証を操作性を損なわずに実現し確実な操作履歴を残す監視制御装置の操作管理装置を得る。
【解決手段】監視制御装置４を操作する操作員の生体的情報からなる操作員識別情報を取得する操作員識別情報取得手段１と、予め各操作員の前記操作員識別情報および操作権限情報を格納した操作員データ格納手段３と、監視制御装置に対してなされた操作に関する操作情報および該操作時に前記操作員識別情報取得手段で取得された前記操作員識別情報と、前記操作員データ格納手段に格納された前記操作権限情報および前記操作員識別情報をそれぞれ照合して操作員が正当でありかつ操作権限が正当であると判定した場合だけ、監視制御装置に操作出力を許可する操作員照合手段２と、取得した前記操作員識別情報と操作情報を記録する操作記録手段５と、を備えた。
【選択図】図１

Description

この発明は、エネルギープラントや製造プラント等を監視・制御する監視制御装置の操作権限管理及び操作記録を行う監視制御装置の操作管理装置に関する。

従来の監視制御装置の操作員の操作権限管理は、監視制御装置にログイン画面を設けて操作員を認証して、ログイン後は操作員の権限に応じて、操作制限を行っていた(例えば、特許文献１参照)。

特開２００１−２２４０３号公報(第７頁、第１図)

監視制御装置は重要な機器を監視・操作するため、不正な操作や誤った操作を防ぐためにその操作が行える操作員を制限できる必要がある一方で、緊急操作も必要とされるため、操作不可であっても一定の監視機能を持つことや迅速な操作が可能である必要がある。また、重要な機器を操作する場合においては、不正な操作を行っていないことを確実に証明できる操作記録機能を持つことも求められている。

従来の監視制御装置のセキュリティ管理方式では、ログイン画面を設けて利用者を識別して操作制限をおこなうため、ログイン操作をしないと監視・操作が実行できず、監視・操作がすぐにはできない問題があった。また、一度ログインできるとログイン状態が保持され、ログイン承認された操作員が他の操作員に入れ替わっても、制限された操作ができてしまう問題点があった。また、ログイン方式で一般に用いられるパスワード認証やＩＤカードによる認証では、パスワードやＩＤカードが盗用された場合も想定する必要があるが、不正な操作があった後で、操作をした記録を確認しても操作者を完全に特定し、証明することができないという問題点があった。

この発明は上記のような課題を解決するためになされたものであり、監視制御装置の監視機能と操作性を維持しつつ、操作者の権限認証を可能とし、操作者を特定・証明可能な操作履歴を残すことを実現する監視制御装置の操作管理装置を得ることを目的とする。

この発明は、監視制御装置の操作管理を行う監視制御装置の操作管理装置であって、
監視制御装置を操作する操作員の生体的情報からなる操作員識別情報を取得する操作員識別情報取得手段と、予め各操作員の前記操作員識別情報および操作権限情報を格納した操作員データ格納手段と、監視制御装置に対してなされた操作に関する操作情報および該操作時に前記操作員識別情報取得手段で取得された前記操作員識別情報と、前記操作員データ格納手段に格納された前記操作権限情報および前記操作員識別情報をそれぞれ照合して操作員が正当でありかつ操作権限が正当であると判定した場合だけ、監視制御装置に操作出力を許可する操作員照合手段と、取得した前記操作員識別情報と操作情報を記録する操作記録手段と、を備えたことを特徴とする監視制御装置の操作管理装置にある。

この発明では、監視制御装置の監視機能と操作性を維持しつつ、操作者の権限認証を可能とし、操作者を特定・証明可能な操作履歴を残すことができる。

以下、この発明による監視制御装置の操作管理装置を各実施の形態に従って説明する。

実施の形態１．
図１はこの発明の実施の形態１による監視制御装置の操作管理装置の構成を示すブロック図である。図１において、操作員識別情報取得手段を構成する操作員識別情報取得装置１は、例えばビデオカメラなどで構成され、監視制御装置４を操作しようとする操作員を確実に特定する生体的情報、例えば操作員の画像、を自動的に取り込む。操作員データ格納手段３は、監視制御装置４を操作する各操作員毎の、操作員の認証を行うための操作員識別情報と操作員の操作の権限を示す操作権限情報(これらを操作員データとする)が予め格納(登録)されている。操作員照合手段２は、操作員識別情報取得装置１から取り込んだ情報と操作員データ格納手段３の操作員識別情報、および監視制御装置４から得られる操作員による操作と操作員データ格納手段３の操作権限情報を照合して操作員の正当性と操作権限の正当性を判定して、監視制御装置４の操作出力の許可、禁止を行う。監視制御装置４は操作員の操作に従ってプラント(図示省略)を監視する装置である。そして操作記録手段５は、操作員識別情報取得装置１から取り込んだ操作員の生体的情報からなる操作員識別情報と監視制御装置４で操作した操作情報を同時に記録する。

なお構成の一例として、監視制御装置４は１つのコンピュータで構成され、操作員照合手段２、操作員データ格納手段３および操作記録手段５は別の１つのコンピュータで構成され、操作員データ格納手段３および操作記録手段５はコンピュータのメモリで構成される。

図２には図１に示された装置の動作フローチャートを示し、以下これに従って動作について説明する。まず操作員照合手段２が、監視制御装置４の入力部(図示省略)等に対して行われた操作員の操作入力を監視制御装置４から取り込み(Ｓ１０１)、また例えばビデオカメラ等で構成される操作員識別情報取得装置１から、操作員の顔画像等の操作員を判別するのに必要な生体的情報である操作員識別情報を取り込む(Ｓ１０２)。

次に、操作員照合手段２は、操作員識別情報取得装置１から取り込んだ操作員識別情報および監視制御装置４から取り込んだ操作員の操作を、操作員データ格納手段３に格納されている操作員識別情報および操作権限情報とそれぞれに照合し、操作員の正当性および操作員の操作権限の正当性を判定する(Ｓ１０３)。そしてステップＳ１０３の判定の結果、操作可(Ｙ)であれば、操作員照合手段２からは例えば操作出力許可信号が監視制御装置４に送られ、監視制御装置４は操作員による入力に従った操作出力を行い(Ｓ１０４)、操作記録手段５には操作員識別情報と操作情報の記録が保存される(Ｓ１０５)。また、ステップＳ１０３の判定結果が操作不可(Ｎ)の場合は、操作員照合手段２からは例えば操作出力禁止信号が監視制御装置４に送られ、操作出力はされず、監視制御装置４から操作の認証失敗が操作員に通知される(例えば監視制御装置４の表示部(図示省略)に表示)(Ｓ１０６)。

操作員照合手段２が、操作員の生体的情報による認証を使用するのは、パスワード認証やＩＤカードなど他の認証方式では操作員本人を確実に証明できないためである。しかしながら、顔認証などの生体的情報を使用した操作員の照合手段においては、１００％確実な照合を保証する方法はなく、一般的に生体的情報を使用した照合手段の照合精度を高めると本人拒否率が上がり、登録されている正規の操作員本人が操作できなくなる場合が生じ得る問題点がある。本人拒否率が上がって何度も認証をする必要があれば、操作の即時性が失われ、監視制御システムとして致命的な問題となる。本人拒否率が操作に支障がでないように照合手段の照合精度を調整し、操作記録から不正操作の有無を後から判断できるようにする。このため、操作記録手段５に保存する操作員識別情報は、通常のシステムで使われる操作員の名前やＩＤなどではなく、操作員識別情報取得装置１で取り込んだ操作員の画像そのまま等、後で操作記録手段５から操作員識別情報を取り出したときに、操作員の確認が再度生体的情報を使用して確認可能な情報で保存するものとする。

この実施の形態では、操作員認証においてログイン画面を持たず、操作と同時に自動的に操作員の認証を行うため、操作員が認証されている限り、監視・操作がすぐに実行可能である。また、生体的情報を用いるためパスワードやＩＤカード方式と比較して信頼性が高く、保存された操作員の生体的情報は、後でも照合可能な情報でありこれを操作ログとして保存するため、生体的情報の認証の完全性の証明が困難であっても、少なくとも後で操作員確認可能な有効な情報として使用できる。

なお以上の説明では、操作出力の制限について述べたが、監視について操作員の制限、例えばある監視画面を表示することができる操作員を制限することを実現する機能(例えば操作員照合手段２から監視画面表示許可／禁止信号が監視制御装置４に送られる)を持つようにしてもよい。

実施の形態２．
図３はこの発明の実施の形態２による監視制御装置の操作管理装置の構成を示すブロック図、図４は図３の装置の動作フローチャートを示す。上記実施の形態と同一もしくは相当部分は同一符号で示し説明を省略する。上記の実施の形態では操作員の自動的な照合と記録について述べたが、この実施の形態では、操作員照合通信手段１１を設け、操作員識別情報取得装置１、監視制御装置４および操作員照合通信手段１１と離れた場所に、遠隔操作員照合手段２ａと遠隔操作員データ格納手段３ａと遠隔操作記録手段５ａを設ける。但しこれらは遠隔地に限らず、監視制御装置と異なる場所に設けられていればよい(以下同様)。またこれらは特許請求の範囲における、操作員照合手段、操作員データ格納手段および操作記録手段をそれぞれ構成する。

なお構成の一例として、操作員照合通信手段１１は１つのコンピュータで構成され、遠隔操作員照合手段２ａと遠隔操作員データ格納手段３ａと遠隔操作記録手段５ａは別の１つのコンピュータで構成され遠隔操作員データ格納手段３ａおよび遠隔操作記録手段５ａはコンピュータのメモリで構成される。

以下図４の動作フローチャートに従って動作について説明する。ステップＳ１０１，Ｓ１０２，Ｓ１０４，Ｓ１０６は図２と同じ動作をし、その説明を省略する。ステップＳ１１１において操作員照合通信手段１１は、監視制御装置４から取り込まれた操作員の操作と、操作員識別情報取得装置１から取り込まれた生体的情報である操作員識別情報を遠隔操作員照合手段２ａに送信する。そしてステップＳ１１２において、遠隔操作員照合手段２ａにより、送信されてきた操作員の操作および操作員識別情報が遠隔操作員データ格納手段３ａの操作権限情報および操作員識別情報と照合され、操作可否を示す照合結果が操作員照合通信手段１１に返信される。続いて、ステップＳ１１３において、操作員の操作情報と操作員識別情報が遠隔操作記録手段５ａに保存される。一方ステップＳ１１４では、操作員照合通信手段１１に返された操作員照合結果に基づき、監視制御装置４における操作員が行った操作の実行可否処理(ステップＳ１０４，Ｓ１０６)が行われる。

この実施の形態では、監視制御操作を行う監視制御装置４と離れた場所に、取り込んだ操作員識別情報および操作情報を記録することにより、照合用の操作員データの改ざんや操作記録の操作後の消失、破壊を防ぐことができる。また、大規模プラントで監視制御装置が複数の場所に離れて存在する場合に、操作員データを集中して管理することも可能である。

実施の形態３．
図５はこの発明の実施の形態３による監視制御装置の操作管理装置の構成を示すブロック図、図６は図５の装置の動作フローチャートを示す。上記実施の形態と同一もしくは相当部分は同一符号で示し説明を省略する。この実施の形態では、遠隔場所に操作員データや操作記録等を持たせると共に、加えて監視制御装置４側にも操作員照合補助手段２ｂ、操作員データ補助格納手段３ｂおよび操作補助記録手段５ｂを設けた。これらは遠隔操作員照合手段２ａ、遠隔操作員データ格納手段３ａおよび遠隔操作記録手段５ａや上記実施の形態の操作員照合手段２、操作員データ格納手段３および操作記録手段５等に相当する機能をそれぞれ有する。なお遠隔操作員照合手段２ａ、遠隔操作員データ格納手段３ａおよび遠隔操作記録手段５ａは、特許請求の範囲における操作員照合手段、操作員データ格納手段および操作記録手段をそれぞれ構成する。

なお構成の一例として、操作員照合通信手段１１、操作員照合補助手段２ｂ、操作員データ補助格納手段３ｂおよび操作補助記録手段５ｂは１つのコンピュータで構成され、操作員データ補助格納手段３ｂおよび操作補助記録手段５ｂはコンピュータのメモリで構成される。

以下図６の動作フローチャートに従って動作について説明する。ステップＳ１０１，Ｓ１０２，Ｓ１０４，Ｓ１０５，Ｓ１０６は図２と同じ動作をし、ステップＳ１１１〜Ｓ１１４は図４と同じ動作をし、その説明を省略する。ステップＳ１２１において、操作員照合通信手段１１は、遠隔操作員照合手段２ａと通信可能か判定する。そしてステップＳ１２１において通信可能(Ｙ)と判定された場合、図４と同じくステップＳ１１１〜Ｓ１１４を実行する。一方ステップＳ１２１において通信不可能(Ｎ)と判定された場合、操作員照合通信手段１１がこれを操作員照合補助手段２ｂに知らせ、操作員照合補助手段２ｂはステップ１２２において操作員データ補助格納手段３ｂを使って上述の操作員の正当性および操作権限の正当性の判定を行う。この場合、操作を行った記録も遠隔に送信できないため、ステップＳ１０５にて操作情報と操作員識別情報を操作補助記録手段５ｂに記録する。

なお操作員照合通信手段１１は、遠隔操作員照合手段２ａと通信が可能な間に、一定の周期または前回の操作員照合時に、遠隔操作員データ格納手段３ａの遠隔操作員データ(操作員識別情報、操作権限情報)を遠隔操作員照合手段２ａに要求し、その複製を操作員データ補助格納手段３ｂに保存しておく。

また、操作員照合通信手段１１又は操作員照合補助手段２ｂにおいて、操作の種類によって、操作員照合通信手段１１と遠隔操作員照合手段２ａとが通信できない場合に、操作員データ補助格納手段３ｂで操作員認証すなわち上述の操作員の正当性および操作権限の正当性の判定を可能とするか否かを決めるようにしてもよい。

この実施の形態では、一定の操作制限機能を維持しつつ、遠隔操作員照合手段との通信が途絶しても操作可能にする必要がある場合に、遠隔操作員データ格納手段から複製された操作員データ補助格納手段で操作員権限を認証して監視制御操作ができる操作管理装置が構築できる。

実施の形態４．
図７はこの発明の実施の形態４による監視制御装置の操作管理装置の構成を示すブロック図、図８は図７の装置の動作フローチャートを示す。上記実施の形態と同一もしくは相当部分は同一符号で示し説明を省略する。上記実施の形態では、操作員が操作後に操作員認証を行う方式について述べたが、この実施の形態では、実施の形態１の操作員照合手段２を操作員常時照合手段２１に変更し、さらに例えばコンピュータのディスプレイ(図示省略)からなる照合状態表示手段２２を追加する。

以下図８の動作フローチャートに従って動作について説明する。ステップＳ１０４，Ｓ１０５，Ｓ１０６は図２と同じ動作をし、その説明を省略する。ステップＳ１３１において、操作員常時照合手段２１は、一定の周期または最後の操作から一定時間後に、操作員識別情報取得装置１から操作員識別情報と取り込み、ステップＳ１３２におい操作員データ格納手段３の操作員識別情報を用いて操作員の照合(実際には操作員の正当性の判定)を行い、ステップＳ１３３において照合状態表示手段２２に操作員の照合結果を表示する。照合状態表示手段２２は例えばディスプレイ等で構成し、動作権限のモードや操作員の氏名等の操作員を照合した結果を操作員にわかるように表示する。

一方、操作員常時照合手段２１はステップＳ１０１において、図２と同じく操作入力を監視制御装置４から取り込み、ステップＳ１３４において、ステップ１３２の操作員照合結果から照合された操作員識別情報を取り込み、該操作員が行った操作の権限を確認、判定する(操作権限の正当性の判定)。そしてステップＳ１３４の判定結果が操作可能(Ｙ)の場合は、ステップＳ１０４に進み、操作不可(Ｎ)の場合はステップＳ１０６に進む。

この実施の形態では、操作員は自分の照合状態が確認できるため、例えば自分が監視制御装置から認識されているかを操作する前に確認することができる。また、操作する時には認証が済んでいるので、認証に時間がかかる場合においても、早く操作ができる。

実施の形態５．
図９はこの発明の実施の形態５による監視制御装置の操作管理装置の構成を示すブロック図、図１０は図９の装置の動作フローチャートを示す。上記実施の形態と同一もしくは相当部分は同一符号で示し説明を省略する。図７の実施の形態４では操作員を常時照合する装置について述べたが、この実施の形態では、図７に加えて図９に示すように、操作員識別情報連続記録手段３１と出力判定装置３２と警報装置３３を追加する。

なお構成の一例として、操作員常時照合手段２１、照合状態表示手段２２、操作員データ格納手段３、操作記録手段５および操作員識別情報連続記録手段３１は１つのコンピュータで構成され、操作員データ格納手段３および操作記録手段５はコンピュータのメモリ、操作員識別情報連続記録手段３１は一部がメモリ、照合状態表示手段２２はディスプレイでそれぞれ構成される。出力判定装置３２と警報装置３３は外部装置として構成される。

以下図１０の動作フローチャートに従って動作について説明する。ステップＳ１０４，Ｓ１０５，Ｓ１０６は図２と同じ動作を行い、ステップＳ１０１，Ｓ１３１，Ｓ１３２，Ｓ１３３，Ｓ１３４は図８と同じ動作を行い、その説明を省略する。ステップＳ１４１において、操作員識別情報連続記録手段３１は、操作員識別情報取得装置１から連続的にデータすなわち生体的情報である操作員識別情報を取り込み保存又は更新しながら保存しつづけ、ステップＳ１４２において、操作員識別情報連続記録手段３１は、連続記録できているかを判定して、ステップＳ１４１に戻る。ステップＳ１４２の連続記録判定が不可(Ｎ)の場合は、ステップＳ１４３において警報装置３３に例えば警報信号を送り警報出力を実行しかつ、ステップＳ１４４において出力判定装置３２にてＳ１０４の操作出力を取り込み、その出力を禁止する。

出力判定装置３２は監視制御装置４の操作出力を操作員識別情報連続記録手段３１からの操作出力許可／禁止信号により、出力許可／禁止する。なお、図９に破線で示すように操作員識別情報連続記録手段３１からの操作出力許可／禁止信号を、操作員常時照合手段２１からのものと同様に監視制御装置４に直接入力して監視制御装置４を制御すれば、出力判定装置３２はなくてもよい。また、図９に破線で示すように操作員識別情報連続記録手段３１は、操作員識別情報取得装置１から直接、操作員識別情報を取り込むようにしてもよい。

警報装置３３の警報信号とは、音やメッセージ、メールなどでの外部通知などである。操作員識別情報連続記録手段３１の動作が正常でない場合とは、この操作員識別情報連続記録手段３１が壊れた場合や操作員識別情報取得装置１の情報取り込み口をふさがれるなどで、操作員識別情報が自動的に取り込めなくなった場合である。

この実施の形態により、監視制御装置４への操作に関し、監視制御装置４が認識できない不正な方法でアクセスしようとする操作の防止や破壊行為の記録(情報を連続保存の場合)や検出・警報動作が可能である。監視制御装置４の装置が自身で認識できない不正な操作とは、例えば監視制御装置４のＯＳへの直接アクセス等である。なお、監視制御装置４のＯＳへの不正アクセスはネットワーク越しでも可能であるが、監視制御装置および操作管理装置からなるシステム全体を外部のネットワークから隔離することでその抑止ができる。

この発明の実施の形態１による監視制御装置の操作管理装置の構成を示すブロック図である。 図１の装置の動作フローチャートである。 この発明の実施の形態２による監視制御装置の操作管理装置の構成を示すブロック図である。 図３の装置の動作フローチャートである。 この発明の実施の形態３による監視制御装置の操作管理装置の構成を示すブロック図である。 図５の装置の動作フローチャートである。 この発明の実施の形態４による監視制御装置の操作管理装置の構成を示すブロック図である。 図７の装置の動作フローチャートである。 この発明の実施の形態５による監視制御装置の操作管理装置の構成を示すブロック図である。 図９の装置の動作フローチャートである。

符号の説明

１ 操作員識別情報取得装置、２ 操作員照合手段、２ａ 遠隔操作員照合手段、２ｃ 操作員照合補助手段、３ 操作員データ格納手段、３ａ 遠隔操作員データ格納手段、３ｂ 操作員データ補助格納手段、４ 監視制御装置、５ 操作記録手段、５ａ 遠隔操作記録手段、５ｂ 操作補助記録手段、１１ 操作員照合通信手段、２１ 操作員常時照合手段、２２ 照合状態表示手段、３１ 操作員識別情報連続記録手段、３２ 出力判定装置、３３ 警報装置。

Claims (5)

1. 監視制御装置の操作管理を行う監視制御装置の操作管理装置であって、
   監視制御装置を操作する操作員の生体的情報からなる操作員識別情報を取得する操作員識別情報取得手段と、
   予め各操作員の前記操作員識別情報および操作権限情報を格納した操作員データ格納手段と、
   監視制御装置に対してなされた操作に関する操作情報および該操作時に前記操作員識別情報取得手段で取得された前記操作員識別情報と、前記操作員データ格納手段に格納された前記操作権限情報および前記操作員識別情報をそれぞれ照合して操作員が正当でありかつ操作権限が正当であると判定した場合だけ、監視制御装置に操作出力を許可する操作員照合手段と、
   取得した前記操作員識別情報と操作情報を記録する操作記録手段と、
   を備えたことを特徴とする監視制御装置の操作管理装置。
2. 監視制御装置と異なる場所に前記操作員照合手段、前記操作員データ格納手段および前記操作記録手段を設け、監視制御装置側に前記異なる場所との間で通信を行う操作員照合通信手段を備えたことを特徴とする請求項１に記載の監視制御装置の操作管理装置。
3. 前記操作員データ格納手段の操作員識別情報および操作権限情報の複製が格納される監視制御装置側に設けられた操作員データ補助格納手段と、
   前記操作員照合通信手段による通信ができないときに、監視制御装置に対してなされた操作に関する操作情報および該操作時に前記操作員識別情報取得手段で取得された前記操作員識別情報と前記操作員データ補助格納手段に格納された前記操作員識別情報および操作権限情報をそれぞれ照合して、操作員が正当でありかつ操作権限が正当であると判定した場合だけ監視制御装置に操作出力を許可する監視制御装置側に設けられた操作員照合補助手段と、
   取得した前記操作員識別情報と操作情報を記録する監視制御装置側に設けられた操作補助記録手段と、
   を備えることを特徴とする請求項２に記載の監視制御装置の操作管理装置。
4. 前記操作員照合手段が前記操作員識別情報取得手段で取得された操作員識別情報と前記操作員データ格納手段に格納された操作員識別情報の照合を常時行い、前記操作員照合手段での照合結果を表示する照合状態表示手段をさらに備えることを特徴とする請求項１に記載の監視制御装置の操作管理装置。
5. 前記操作員識別情報取得手段からの操作員識別情報を連続記録し、連続記録されていない時に監視制御装置の操作出力を禁止する操作員識別情報連続記録手段をさらに備えたことを特徴とする請求項１なしい４のいずれか１項に記載の監視制御装置の操作管理装置。

Images