JP2010193118A - データ収集システム - Google Patents

Abstract

【課題】セキュリティレベルを向上させる新たな認証の手法を提供すると共に、隔離領域（ＤＭＺ）を不要としたシンプルなデータ収集経路によるコスト低減と使い勝手や信頼性を向上させたデータ収集システムを実現する。
【解決手段】プラントに配置された複数の無線フィールド機器からの電波を無線アクセスポイントで受信し、受信データをプロセスコントロールネットワークに接続されたフィールドデータサーバに収集するデータ収集システムにおいて、前記無線フィールド機器で測定されたプロセス量に関連する第１データを受信する第１アクセスポイント及び前記無線フィールド機器相互間の位置情報に関する第２データを受信する第２アクセスポイントを有するフィールドネットワークと、前記第１データを前記フィールドデータサーバに渡すと共に、前記第２データを機器認証装置に渡すゲートウェイ装置と、を備える。
【選択図】図１

Description

本発明は、プラントに配置された複数の無線フィールド機器からの電波を無線アクセスポイントで受信し、受信データをプロセスコントロールネットワークに接続されたフィールドデータサーバに収集するデータ収集システムに関するものである。

無線を使った工業用フィールド機器（以降，無線フィールド機器）を制御システムと接続してデータを収集する場合、セキュリティへの配慮から通信の暗号化や認証レベルの強化を図る必要がある。

図４は、従来のデータ収集システムの構成例を示す機能ブロック図である。プラント領域１０において、プロセスコントロールネットワーク１１とローカルコントロールネットワーク１２間には、分散型制御システムの上位装置である操作監視装置１３が接続されている。

ローカルコントロールネットワーク１２には、コントロールステーション１４が接続され操作監視装置１３と通信してプラントのフィールド機器を制御する。プロセスコントロールネットワーク１１とローカルコントロールネットワーク１２間には、フィールドデータサーバ１５が接続され、収集したプロセスデータをコントロールステーション１４に渡す。

プラントのプロセスデータを測定するために配置された無線フィールド機器１６ａ１６ｂ，…１６ｎからの電波信号は、分散型，集中型トポロジー等の無線ネットワーク網Ｗを介して、隔離領域（DMZ:Demilitarized zone）２０内のＤＭＺネットワーク２１に設けられた無線アクセスポイント２２との間で接続を確立する。この接続を（Ａ）で示す。

無線アクセスポイント２２で受信された無線フィールド機器１６ａ１６ｂ，…１６ｎからの測定データは、ＤＭＺネットワーク２１に設けられたフィールドデータプロキシ２３に渡される。この経路を（Ｂ）で示す。

ＤＭＺネットワーク２１には、認証サーバ２４及びキーサーバ２５が接続され、これらは無線アクセスポイント２２と無線フィールド機器１６ａ１６ｂ，…１６ｎの接続に対する認証と暗号化の機能を提供している。

ＤＭＺネットワーク２１は、ファイアウォール３０に接続され、ルータ４０を経由してプラント領域１０のプロセスコントロールネットワーク１１に接続されると共に、外部のオフィスＬＡＮ５０を経由してＰＣ６０等の外部機器に接続されている。ＰＣ６０等の外部データもフィールドデータプロキシ２３を経由してプラント領域１０に渡される。

経路（Ｂ）でフィールドデータプロキシ２３に渡された測定データ及びＰＣ６０等の外部機器からのデータは、ファイアウォール３０及びルータ４０を経由してプラント領域１０のプロセスコントロールネットワーク１１に接続されたフィールドデータサーバ１５に渡される。この経路を（Ｃ）で示す。

フィールドデータサーバ１５に渡された測定データは、ローカルコントロールネットワーク１２を経由してコントロールステーション１４に渡される。この経路を（Ｄ）で示す。このように、無線フィールド機器１６ａ１６ｂ，…１６ｎからの測定データは、（Ａ）→（Ｂ）→（Ｃ）→（Ｄ）の経路を経由して最終的にコントロールステーション１４に渡される。

このような経路を構成するプロセスデータ収集の手法は、現在の工業用フィールド機器における無線の応用例において標準化されつつある。理由は、セキュリティに対する配慮にある。

現在ISAのS99としてまとめられている産業用システムにおけるセキュリティの標準では、プロセスとのインターフェイスを持つ制御機器や安全システムを、高位のセキュリティレベルが求められる所と位置づけ、それをとりまくプラントネットワークの最外延部に外部との接続点を設置するという考え方が基本となっている。

この接続点の総称が、隔離領域（ＤＭＺ）２０である。無線フィールド機器１６ａ１６ｂ，…１６ｎからの測定データは、この隔離領域でＩＤの認証及び暗号化処理をされ、フィールドデータプロキシ２３に渡された後に、ファイアウォール３０を経由してプラント領域１０に渡されている。

これは、インターネットと企業のオフィスネットワークを接続する際の一般的な考え方を取り入れたものである。この場合、無線システムのセキュリティは万全ではないという理解から、物理的にはプラント領域１０に存在する無線フィールド機器１６ａ１６ｂ，…１６ｎからの接続を、インターネットと同様に外部からの接続とみなす考え方である。

特開２００４−２９８９７号公報

従来のデータ収集システムの手法では、次のような問題がある。
（１）セキュリティレベルが完全ではない。
認証サーバ２４及びキーサーバ２５による電子的な認証の手法では、成りすましによる脅威を完全に防ぐことができないと言われている。事実として、現在業界内の認識として無線フィールド機器からの入力を制御室へ直接取り込まないこと、図のように隔離領域２０を経由することが求められている。

（２）設備コストが高い。
隔離領域２０の環境構築が必要であり、フィールドデータプロキシの配置や認証や暗号化に必要な機器が必要である。これらは、追加費用として初期コストを上昇させる要因となる。

（３）管理コストが高い。
認証や暗号鍵のサーバの管理が必要であり、定期的な運用監査が必要である。認証サーバや暗号鍵サーバの管理には、ＩＴ管理技術が必要とされる。ふさわしい技能をもった管理者を設置するか、定期的な運用監査を受ける必要がある。これは管理コストを直ちに上昇させる要因となる。

（４）使い勝手が悪い。
高いレベルの認証や暗号化機能は、無線フィールド機器の消費電力を押し上げてしまい、結果としてバッテリ交換の時期を早めてしまい、保守が煩雑となる。これらは使い勝手に影響する。

（５）信頼性、即応性が悪い。
長いデータ移動経路のため、通信の信頼性やスループットが低下する要因となる。

本発明の目的は、セキュリティレベルを向上させる新たな認証の手法を提供すると共に、隔離領域（ＤＭＺ）を不要としたシンプルなデータ収集経路によるコスト低減と使い勝手や信頼性を向上させたデータ収集システムを実現することにある。

このような課題を達成するために、本発明は次の通りの構成になっている。
（１）プラントに配置された複数の無線フィールド機器からの電波を無線アクセスポイントで受信し、受信データをプロセスコントロールネットワークに接続されたフィールドデータサーバに収集するデータ収集システムにおいて、
前記無線フィールド機器で測定されたプロセス量に関連する第１データを受信する第１アクセスポイント及び前記無線フィールド機器相互間の位置情報に関する第２データを受信する第２アクセスポイントを有するフィールドネットワークと、
このフィールドネットワークと前記プロセスコントロールネットワーク間に接続され、前記第１データを前記プロセスコントロールネットワークに接続された前記フィールドデータサーバに渡すと共に、前記第２データを前記プロセスコントロールネットワークに接続された機器認証装置に渡すゲートウェイ装置と、
を備えたことを特徴とするデータ収集システム。

（２）前記機器認証装置は、前記ゲートウェイ装置より渡された前記第２データを、予め登録されている前記無線フィールド機器相互間の位置情報と照合し、異常がある場合には前記ゲートウェイ装置に異常通知を返すことを特徴とする（１）に記載のデータ収集システム。

（３）前記ゲートウェイ装置は、前記機器認証装置より前記第２データの異常通知を受けた場合に、異常の対象となった前記無線フィールド機器より受信した前記第１データの通信を遮断すると共にシステムに異常を通知することを特徴とする（１）または（２）に記載のデータ収集システム。

（４）前記フィールドデータサーバの機能が、前記ゲートウェイ装置内に内蔵されていることを特徴とする（１）乃至（３）のいずれかに記載のデータ収集システム。

（５）前記無線フィールド機器の保守要員を撮影した撮像データが、前記機器認証装置に送信され、前記撮像データを前記第２データの異常検知の確認情報として利用することを特徴とする（１）乃至（４）のいずれかに記載のデータ収集システム。

（６）前記機器認証装置は、前記プラントに配置されている機器の資源を統合管理する、統合機器管理システムが備える機能として提供されることを特徴とする（１）乃至（５）のいずれかに記載のデータ収集システム。

（７）前記フィールドデータサーバは、分散型制御システムを形成するローカルコントロールネットワークに接続され、収集した前記第１データを前記分散型制御システムに渡すことを特徴とする（１）乃至（６）のいずれかに記載のデータ収集システム。

本発明によれば以下のような効果がある。
（１）セキュリティレベルを向上させることができる。
電波の発信源を位置情報によって特定することで、即ち、正しく設置されたものであるかどうかの判断を基に無線フィールド機器を認証する手法を特徴としている。この手法に対しては、不正に現場の無線フィールド機器を直接操作する、若しくは交換される脅威が存在するが、一般的な工場では安全法規等の要請に従い、物理的・管理的なセキュリティ対策が十分に施されており、そのような脅威は現実的ではない。従って、定期的な位置情報の診断を行うことで，電波の発信源としての無線機器の認証に対する信頼性は十分に確保される。

（２）設備コストを低減することができる。
隔離領域（ＤＭＺ）環境の構築が不要である。認証および暗号化を使用しないため関連する機器が不要である。フィールドデータプロキシによる追加対策も不要である。

（３）管理コストを低減することができる。
高度なＩＴ管理技術を必要とする認証や暗号鍵のサーバの管理が不要である。通常の現場機器の保守手順を拡張した管理で十分である。

（４）使い勝手を良くすることができる。
高度な認証に伴う無線フィールド機器側の電力消費が抑えられる。また、制御室と現場の無線フィールド機器とを直接接続する構成のため、保守性が著しく向上する。

（５）信頼性、即応性が向上する。
無線フィールド機器から制御室までのデータ通信距離が短く、介在する機器が少ないので、通信の信頼性及びスループットを向上させることができる。

本発明を適用したデータ収集システムの一実施例示す機能ブロック図である。 本発明を適用したデータ収集システムの他の実施例示す機能ブロック図である。 本発明を適用したデータ収集システムの更に他の実施例示す機能ブロック図である。 従来のデータ収集システムの構成例を示す機能ブロック図である。

以下本発明を、図面を用いて詳細に説明する。図１は、本発明の一実施例を示す構成図である。図４で説明した従来システムと同一構成要素には、同一符号を付して説明を省略する。本発明では、フィールド無線機器と制御システムを接続するにあたり、従来システムに比べてセキュリティを十分に確保しながらコストを抑え、使い勝手を向上させることができる手法を提供する。

図１において、本発明の構成上の特徴は、従来システムで必要とされる隔離領域（ＤＭＺ）２０を備えない点にある。プラント領域１０において従来システムに新規に追加された構成要素につき説明する。

プラント領域１０に配置されたフィールドネットワーク１００は、第１無線アクセスポイント１０１及び第２無線アクセスポイント１０２を備えている。フィールドネットワーク１００とプロセスコントロールネットワーク１１間には、ゲートウェイ装置２００が接続されている。更に、プロセスコントロールネットワーク１１には、機器認証装置３００が接続されている。

第１無線アクセスポイント１０１は、従来システムの無線アクセスポイント２２と同一機能であり、無線フィールド機器１６ａ１６ｂ，…１６ｎからの測定データである、第１データＤ１を受信する。

第１データＤ１は、フィールドネットワーク１００よりゲートウェイ装置２００を経由し、プロセスコントロールネットワーク１１に接続されたフィールドデータサーバ１５に渡される。この経路を（Ｅ）で示す。フィールドデータサーバ１５からコントロールステーション１４への経路は、従来システムと同一であり、その経路を（Ｄ）で示す。

次に、セキュリティへの配慮に関する本発明の特徴を説明する。フィールドネットワーク１００に設けられた第２無線アクセスポイント１０２は、無線ネットワーク網Ｗより、無線フィールド機器１６ａ１６ｂ，…１６ｎ相互の位置関係を示す情報である、第２データＤ２を受信する。

現在主流の無線フィールド機器は、２種類の無線機能を標準機能として有している。一つはWireless HARTやISA SP100等のフィールド機器専用プロトコルである。もう一つはIEEE802.11n等の一般的な無線インターフェイスである。

この無線インターフェイスを使って無線局同士はお互いの位置関係を確認することができる。また、その情報を基に全体の配置状況を追尾することができる。本発明は、無線フィールド機器が備えるこのインターフェイス機能を、セキュリティ認証のための情報として利用することを特徴としている。

第２無線アクセスポイント１０２で受信した第２データＤ２は、フィールドネットワーク１００よりゲートウェイ装置２００を経由し、プロセスコントロールネットワーク１１に接続された機器認証装置３００に渡される。この経路を（Ｆ）で示す。

機器認証装置３００は、定周期で位置情報の取得を実行し、各無線フィールド機器の位置情報を更新させる。機器認証装置３００は、ゲートウェイ装置より渡されて定周期で更新している第２データＤ２を、予め登録されている無線フィールド機器１６ａ１６ｂ，…１６ｎ相互間の位置情報と照合する。

もし位置情報の取得が失敗する、または位置が変わる等の変化を検出した場合、機器認証装置３００は、該当する無線フィールド機器のステータスを異常とする。機器認証装置３００は、異常が発生した場合には、ゲートウェイ装置２００に異常通知を返す。この経路を（Ｇ）で示す。

ゲートウェイ装置２００は、機器認証装置３００より第２データＤ２の異常通知を受けた場合には、異常の対象となった無線フィールド機器より受信した第１データＤ１の通信を遮断する。これにより、成りすましや接続のハイジャックに対応することができる。同時にシステム（操作監視装置１３等）に向けて無線ネットワーク網Ｗにおいてセキュリティ事故が発生の異常メッセージを通知する。

本発明では、過度な設備や複雑な管理を要求することなく、セキュリティ問題を解決しているところが最大の特徴である。そもそもの問題は、センサからの測定データを制御システムに取り込む過程で必要になる通信路のセキュリティにある。

このセキュリティは細かく見ると、アクセスポイントに対する接続の確立を必要としている機器の認証が最大の課題である。ついで、確立した接続における通信の完全性が損なわれないことが必要である。本発明は、無線ネットワークがすでに実現している位置情報サービスを利用することで、この二つの課題を合理的に解決することを特徴としている。

認証において求められることは、認証を求めている個体がまさしくその固体であるかどうかの同一性の立証にある。一般的にフィールド機器は、テンポラリセンサを除いて、一度設備としてセットアップされると、頻繁にその設置環境が変化することはない。

そこで、試運転までの間に正確な位置と固体を結びつけ、以後その状態を監視し続けるようにすると、それらの固体認証の確からしさを担保することができる。位置情報については、普及しているIEEE802.11サポートの無線モジュールにおいて、すぐに利用することができる。

その原理は、お互いの電波強度及び方向に基づくもので、お互いの位置関係を無線網全体で計算し共有している。そのため、攻撃者がこの位置情報を誤らせようとした場合は、非常に強力な妨害電波を発生させるか、機器が設置された現場に侵入して無線網に特別に改造した機器を参加させる必要がある。当然であるが、現在の無線技術ではそのような物理的な干渉を加えた場は、ただちに通信エラーとして検出される。

この通信エラーの監視システムが通信の完全性保証に対して有効となる。即ち、通信エラーの発生をもって該当する機器に対する認証をご破算にする。これにより、制御システム側はどのフィールド機器が認証されており、信頼できるのかを確認することができる。

本発明のセキュリティ対策は、従来のセキュリティ対策に比べて直感的で分かりやすいという特徴がある。また使用する機材は現在の制御システム製品への機能追加によって提供されるもので、その費用対効果は大である。最新技術による利便性を取り込みながら、同時に安心と安全をプラントオーナに提供することができる。

本発明で使用される機器認証装置３００は、無線フィールド機器の位置情報照合のために専用に設計する他、既存の資源を利用することができる。プラントに配置されている機器の資源を統合管理するために、プロセスコントロールネットワーク１１上に配置される機器統合管理システム（PRM: Plant Resource Manager）が標準で備える機能をそのまま利用することができ、コストの低減に貢献できる。ＰＲＭについては、特許文献１に技術的な開示がある。

図２は、本発明を適用したデータ収集システムの他の実施例示す機能ブロック図である。図１の構成では、プロセスコントロールネットワーク１１に接続されたフィールドデータサーバ１５とゲートウェイ装置２００は、別体構成である。

この実施例では、フィールドデータサーバ１５の機能をゲートウェイ装置２００内に設けて一体にまとめたものである。必要なハードウェアの個数を削減し、フットプリントを少なくするという効果がある。

図３は、本発明を適用したデータ収集システムの更に他の実施例示す機能ブロック図である。フィールドネットワーク１００にカメラ４００を接続して無線フィールド機器の現場を撮影し、撮像データを経路（Ｈ）で機器認証装置３００に取り込む。保守要員５００が存在する場合には、その撮像情報も取り込む。

機器認証装置３００では、事前に登録された保守要員の撮像情報と照会することで正規の保守要員を確認できる。現場の保守要員が正規の手順で無線フィールド機器をメンテナンスした際に偶発的に機器の場所が動いてしまった場合に、認証済み接続の遮断プロセスに介入し、異常メッセージの発生を抑止させることが可能になる。

１０ プラント領域
１１ プロセスコントロールネットワーク
１２ ローカルコントロールネットワーク
１３ 操作監視装置
１４ コントロールステーション
１５ フィールドデータサーバ
１６ａ〜１６ｎ 無線フィールド機器
３０ ファイアウォール
４０ ルータ
５０ オフィスＬＡＮ
６０ ＰＣ
１００ フィールドネットワーク
１０１ 第１無線アクセスポイント
１０２ 第２無線アクセスポイント
２００ ゲートウェイ装置
３００ 機器認証装置

Claims (7)

1. プラントに配置された複数の無線フィールド機器からの電波を無線アクセスポイントで受信し、受信データをプロセスコントロールネットワークに接続されたフィールドデータサーバに収集するデータ収集システムにおいて、
   前記無線フィールド機器で測定されたプロセス量に関連する第１データを受信する第１アクセスポイント及び前記無線フィールド機器相互間の位置情報に関する第２データを受信する第２アクセスポイントを有するフィールドネットワークと、
   このフィールドネットワークと前記プロセスコントロールネットワーク間に接続され、前記第１データを前記プロセスコントロールネットワークに接続された前記フィールドデータサーバに渡すと共に、前記第２データを前記プロセスコントロールネットワークに接続された機器認証装置に渡すゲートウェイ装置と、
   を備えたことを特徴とするデータ収集システム。
2. 前記機器認証装置は、前記ゲートウェイ装置より渡された前記第２データを、予め登録されている前記無線フィールド機器相互間の位置情報と照合し、異常がある場合には前記ゲートウェイ装置に異常通知を返すことを特徴とする請求項１に記載のデータ収集システム。
3. 前記ゲートウェイ装置は、前記機器認証装置より前記第２データの異常通知を受けた場合に、異常の対象となった前記無線フィールド機器より受信した前記第１データの通信を遮断すると共にシステムに異常を通知することを特徴とする請求項１または２に記載のデータ収集システム。
4. 前記フィールドデータサーバの機能が、前記ゲートウェイ装置内に内蔵されていることを特徴とする請求項１乃至３のいずれかに記載のデータ収集システム。
5. 前記無線フィールド機器の保守要員を撮影した撮像データが、前記機器認証装置に送信され、前記撮像データを前記第２データの異常検知の確認情報として利用することを特徴とする請求項１乃至４のいずれかに記載のデータ収集システム。
6. 前記機器認証装置は、前記プラントに配置されている機器の資源を統合管理する、統合機器管理システムが備える機能として提供されることを特徴とする請求項１乃至５のいずれかに記載のデータ収集システム。
7. 前記フィールドデータサーバは、分散型制御システムを形成するローカルコントロールネットワークに接続され、収集した前記第１データを前記分散型制御システムに渡すことを特徴とする請求項１乃至６のいずれかに記載のデータ収集システム。

Images