JP2012170296A

JP2012170296A - 電力系統保護制御システムおよび保護制御装置

Info

Publication number: JP2012170296A
Application number: JP2011031114A
Authority: JP
Inventors: Yasuhiro Shirai; 康弘白井; Takeo Hikita; 猛雄匹田; Taku Takara; 卓高良
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2011-02-16
Filing date: 2011-02-16
Publication date: 2012-09-06
Anticipated expiration: 2031-02-16
Also published as: JP5591144B2

Abstract

【課題】パスワードレスキュー機能の実行後に、セキュリティ的に無防備な状態が生じてしまうことを確実に防止すること。
【解決手段】外部表示器３００との間で授受されるＨＭＩ情報を処理するＨＭＩ情報処理部１１０および、外部表示器３００を使用するユーザ毎の権限に応じたアクセス認証情報を格納する不揮発性メモリ１１１を備える。ユーザ毎の権限として、最高アクセス権限と、当該最高アクセス権限以外の権限とが少なくとも設定される。ＨＭＩ情報処理部１１０は、外部表示器３００がＩＰ通信網２００を介して保護制御装置本体１００にアクセスする際、不揮発性メモリ１１１に最高アクセス権限のアクセス認証情報が未登録の場合には、ログイン画面の表示を禁止して、アクセス認証登録画面のみを表示する制御を行う。
【選択図】図１

Description

本発明は、電力系統の保護、監視および制御を行う保護制御装置および、この保護制御装置を含む電力系統保護制御システムに関する。

昨今の電力会社内における運用遠隔化のニーズに即し、近時の電力系統保護制御システムは、ＩＰ通信網を介して接続された外部表示器（外部端末）により、保護制御装置本体の保護制御情報の確認および、保護制御装置本体への設定情報の確認、変更等を行うことが可能な仕様となっている。

その一方で、外部表示器から保護制御装置本体へのアクセスに対し、所要のセキュリティを確保することが求められている。この要請に対し、一般的な手法ではあるものの、下記非特許文献１では、外部表示器のログイン時に、ユーザ・パスワード（以下単に「パスワード」という）を入力する手法を紹介している。

なお、従来の電力系統保護制御システムでは、装置を移設する場合、設定したパスワードの情報を忘れてしまった場合あるいは、設定したパスワードの情報を紛失してしまった場合などに備えて、設定したパスワードを強制的にリセット（全消去）する（すなわち、パスワードが設定されていない初期状態に戻す）パスワードレスキューと呼ばれる機能（パスワードレスキュー機能）を具備しているのが一般的である。

「保護リレーの新しい機能・性能」電気協同研究第６５巻第２号第６章６．１．４（２）（ｂ）（ｖ）（ア）ｐｐ．９２社団法人電気協同研究会平成２１年１０月

従来のパスワードレスキュー機能を具備する電力系統保護制御システムでは、パスワードレスキュー機能を実行した後の保護制御装置本体の状態は、パスワード、すなわち保護制御装置本体へのアクセス認証情報が何も登録されていない状態となる。このため、アクセス権限を持たない者であっても、アクセス認証情報を入力することなく認証を成功させることができ、その結果、保護制御装置本体における保護制御情報の確認や、保護制御装置本体に対する設定情報の確認、変更等ができてしまうという問題がある。

なお、パスワードレスキュー機能を実行した後に、必ず最高権限を有するシステム管理者（「アドミニストレータ」と称されることもある）がアクセス認証情報を登録する作業を迅速に行えば、上記のような問題は発生しないと考えられる。

しかしながら、パスワードレスキュー機能の実行時にアドミニストレータが不在の場合には、アドミニストレータによってアクセス認証情報が登録されるまでの間、セキュリティ的に無防備な状態が継続するため、好ましい状態であるとは言えない。

また、パスワードレスキュー機能を実行したという事実をアドミニストレータが知らない場合でも、システムの運用自体は問題なく実行できてしまうので、セキュリティ的に無防備な状態が長期間放置されてしまうという虞がある。

本発明は、上記に鑑みてなされたものであって、パスワードレスキュー機能の実行後に、セキュリティ的に無防備な状態が生じてしまうことを確実に防止することができる電力系統保護制御システムを提供することを目的とする。

上述した課題を解決し、目的を達成するために、本発明に係る電力系統保護制御システムは、電力系統の保護、監視および制御を行う保護制御装置本体と、この保護制御装置本体に通信網を介してアクセス可能な外部接続端末と、を有する電力系統保護制御システムにおいて、前記保護制御装置本体は、前記外部接続端末との間で授受されるＨＭＩ情報を処理するＨＭＩ情報処理部と、前記外部接続端末を使用するユーザ毎の権限に応じたアクセス認証情報を格納するメモリと、を備え、前記ユーザ毎の権限として、最高アクセス権限と、当該最高アクセス権限以外の権限とが少なくとも設定されており、前記ＨＭＩ情報処理部は、前記外部接続端末が、前記通信網を介して前記保護制御装置本体にアクセスする際、前記メモリに前記最高アクセス権限のアクセス認証情報が未登録の場合には、ログイン画面の表示を禁止して、アクセス認証登録画面のみを表示する制御を行うことを特徴とする。

本発明によれば、パスワードレスキュー機能の実行後において、セキュリティ的に無防備な状態が生じてしまうことを確実に防止することができるという効果を奏する。

図１は、実施の形態１に係る電力系統保護制御システムの構成図である。図２は、実施の形態１に係るＨＭＩ画面起動時のフローチャートである。図３は、外部表示器のＨＭＩ画面に表示されるログイン画面の一例を示す図である。図４は、外部表示器のＨＭＩ画面に表示されるメインメニュー画面の一例を示す図である。図５は、外部表示器のＨＭＩ画面に表示されるアクセス認証登録画面の一例を示す図である。図６は、実施の形態２に係るＨＭＩ画面起動時のフローチャートである。図７は、実施の形態３に係るＨＭＩ画面起動時のフローチャートである。

以下に添付図面を参照し、本発明の実施の形態に係る電力系統保護制御システムについて説明する。なお、以下に示す実施の形態により本発明が限定されるものではない。

実施の形態１．
図１は、本発明の実施の形態１に係る電力系統保護制御システムの構成図である。実施の形態１に係る電力系統保護制御システムは、図１に示すように、保護制御装置本体１００と外部表示器３００とが、本システム専用の通信網であるＩＰ通信網２００を介して通信可能となるように接続されている。なお、ＩＰ通信網２００は、ＷＡＮなどの広域通信網であってもよいし、イーサネット（登録商標）ＬＡＮなどのローカルなネットワークであっても構わない。また、これらの双方を含む通信網ネットワークであっても構わない。

保護制御装置本体１００は、内部に、後述する外部表示器３００との間で授受されるＨＭＩ（Human Machine Interface）情報を処理するＨＭＩ情報処理部１１０と、例えば書き換え可能な不揮発性メモリである不揮発性メモリ１１１と、を備え、前面には押釦１２１が設けられた前面表示器１２０を備えて構成される。この押釦１２１は、アクセス認証登録情報を全て消去するための手段である。また、不揮発性メモリ１１１には、アクセス認証登録情報１１２が格納されている。

外部接続端末である外部表示器３００は、ＩＰ通信網２００を介して保護制御装置本体１００の保護制御情報の確認および設定情報の確認、変更を行うための表示器であり、内部にＨＭＩ画面処理部３１０を有して構成される。

外部表示器３００は、例えばパーソナルコンピュータまたは、専用の可搬型のツール等で構築することが可能である。なお、ＩＰ通信網２００を介した外部表示器３００は、複数台にも対応しているが、ここでは便宜上１台として記述する。また、前面表示器１２０に具備された押釦１２１は複数個にも対応しているが、ここでは便宜上１個として記述する。

つぎに、実施の形態１に係る電力系統保護制御システムの動作について、図１〜図５の各図面を適宜参照して説明する。図２は、実施の形態１の電力系統保護制御システムにおけるＨＭＩ画面起動時のフローチャートであり、図３は、外部表示器３００のＨＭＩ画面に表示されるログイン画面の一例を示す図であり、図４は、外部表示器３００のＨＭＩ画面に表示されるメインメニュー画面の一例を示す図であり、図５は、外部表示器３００のＨＭＩ画面に表示されるアクセス認証登録画面の一例を示す図である。なお、ここでは、保護制御装置本体１００が運転中であることを前提とし、また、外部表示器３００は、ＩＰ通信網２００を介して保護制御装置本体１００にアクセス可能となるように接続されているものとする。

まず、操作者は、外部表示器３００上でＨＭＩ画面処理部３１０を起動する（ステップＳ１１）。すると、ＨＭＩ画面処理部３１０は、保護制御装置本体１００に対して登録済みのアクセス認証登録情報１１２（例えば、１つのユーザＩＤと当該ユーザＩＤのパスワードとを１組とする情報、以下同じ）を全て取得するように要求する（ステップＳ１２）。このとき、保護制御装置本体１００側では、ＨＭＩ情報処理部１１０がこの要求に応じて不揮発性メモリ１１１に格納されている全てのアクセス認証登録情報１１２が読み出され、外部表示器３００へ向けて返信される。

外部表示器３００は、保護制御装置本体１００から返信されたアクセス認証登録情報１１２を取得し（ステップＳ１３）、最高アクセス権限のアクセス認証登録情報１１２が１組以上登録されているか否かを判定する（ステップＳ１４）。

最高アクセス権限のアクセス認証登録情報１１２が１組以上登録されている場合（ステップＳ１４，Ｙｅｓ）、ＨＭＩ画面処理部３１０は、ログイン画面（図３参照）を表示する（ステップＳ１５）。任意のアクセス権限のアクセス認証情報（例えば、ユーザＩＤとパスワードの組み合わせ）が入力されると（ステップＳ１６）、ＨＭＩ画面処理部３１０は、保護制御装置本体１００に対するアクセス認証処理を実行する（ステップＳ１７）。このアクセス認証処理では、保護制御装置本体１００から取得した登録済みのアクセス認証登録情報１１２の中に、入力されたアクセス認証情報と一致する登録情報が見つかった場合は認証成功とし、入力されたアクセス認証情報と一致する登録情報が見つからなかった場合には認証失敗とする。

ここで、アクセス認証に成功した場合（ステップＳ１７，Ｙｅｓ）、ＨＭＩ画面処理部３１０は、外部表示器３００上に当該アクセス権限用のメインメニュー画面（図４参照）を表示する（ステップＳ１８）。一方、アクセス認証に失敗した場合（ステップＳ１７，Ｎｏ）、ＨＭＩ画面処理部３１０は、外部表示器３００上に再びログイン画面を表示する。このようにして、アクセス認証の手順に従って認証が成功した操作者のみ外部表示器３００上のメインメニュー画面から画面遷移することにより、保護制御装置本体１００の保護制御情報について確認、変更を行うことができる。なお、操作を終了したい場合には、外部表示器３００上でＨＭＩ画面を終了させる（ステップＳ１９）。

つぎに、最高アクセス権限のアクセス認証登録情報１１２が１組も登録されていない場合について説明する。なお、最高アクセス権限のアクセス認証登録情報１１２が１組も登録されていない場合とは、例えば不揮発性メモリ１１１に格納されているアクセス認証登録情報１１２の全てが消去された場合などが、この状態に該当する。

ここで、アクセス認証登録情報１１２の全てが消去される動作について説明する。保護制御装置本体１００が運転中であるとき、操作者は、前面表示器１２０上の押釦１２１を一定時間押下し続ける操作を行う。この操作が行われると、前面表示器１２０は、ＨＭＩ情報処理部１１０に対して全てのアクセス認証登録情報１１２を消去するように要求する。この要求を受けたＨＭＩ情報処理部１１０は、不揮発性メモリ１１１に格納されているアクセス認証登録情報１１２の全てを消去する。

図２のフローに戻り、最高アクセス権限のアクセス認証登録情報１１２が１組も登録されていない場合（ステップＳ１４、Ｎｏ）、ＨＭＩ画面処理部３１０は、アクセス認証登録画面（図５参照）を表示する（ステップＳ２０）。操作者は、アクセス認証登録画面に任意のアクセス権限のアクセス認証情報を入力し（ステップＳ２１）、保護制御装置本体１００に対して入力されたアクセス認証情報の登録を要求する（ステップＳ２２）。

例えば、図５に示すように、アクセス権限を３段階とし、最高アクセス権限（システム管理者１，２）のユーザＩＤをそれぞれ「ＫＯＢＥ」、「ＪＩＭ０７８」とし、それぞれに所要のパスワードを設定する。同様に、中間アクセス権限（運用者１，２）のユーザＩＤをそれぞれ「ＯＳＡＫＡ」、「ＳＡＭ０６」とし、それぞれに所要のパスワードを設定する。さらに、最低アクセス権限（閲覧者１，２）のユーザＩＤをそれぞれ「ＫＹＯＴＯ」、「ＴＯＭ０７５」とし、それぞれに所要のパスワードを設定する。

保護制御装置本体１００では、登録要求を受けたアクセス認証情報が不揮発性メモリ１１１に登録される（ステップＳ２３）。保護制御装置本体１００でのアクセス認証登録情報１１２の登録が完了すると、その旨が外部表示器３００側に通知される。操作者は、アクセス認証登録画面を閉じて、ＨＭＩ画面を終了させる（ステップＳ２４）。その後、操作者は、外部表示器３００を操作して、ＨＭＩ画面処理部３１０を再起動し、ＨＭＩ画面を再表示する。なお、再起動の動作は起動時と同様であり、上述した図２のフローチャートにおけるステップＳ１１〜Ｓ１４の処理が実行される。

ここで、ステップＳ１４では、最高アクセス権限のアクセス認証登録情報１１２が１組以上登録されているか否かの判定が行われるが、今度は、先程登録したばかりの「ＫＯＢＥ」、「ＪＩＭ０７８」の登録があるので、ログイン画面が表示される（ステップＳ１５）。ステップＳ１５以降の動作は、上述したとおりであり、その説明は省略する。なお、最高アクセス権限のアクセス認証登録情報１１２が一つも登録されていなかった場合、ログイン画面が表示されることはなく、アクセス認証登録画面が必ず表示される。

以上説明したように、この実施の形態の電力系統保護制御システムでは、アクセス権限を持たない者がアクセス認証情報を入力することなく認証を成功させるといった状況を回避することが可能となる。その結果、アクセス権限を持たない者が、保護制御装置本体における保護制御情報の確認や、保護制御装置本体に対する設定情報の確認、変更等を行ったり、あるいはアクセス権限を持つ者が自身のアクセス権を超える保護制御情報の確認や、設定情報の確認、変更等を行ったりすることを確実に防止することができる。また、パスワードレスキュー機能の実行時にシステム管理者が不在の場合であってもセキュリティ的に無防備な状態が長期間放置されてしまうといった状態を回避することができる。

また、この実施の形態の電力系統保護制御システムでは、操作者がアクセス認証登録情報を登録することを促す仕組みを構築しているので、例えば意図的に、あるいは過誤により、パスワードレスキュー機能を実行させてしまっても、そのままの状態でシステムが運用されることはなく、セキュリティ的に無防備な状態に陥ることを確実に防止することができる。

実施の形態２．
実施の形態１では、アクセス認証情報の登録後にアクセス認証登録画面を終了させて、ＨＭＩ画面処理部３１０を再起動する処理としていたが、実施の形態２では、操作者の利便性を向上させるため、アクセス認証情報の登録後であっても、ＨＭＩ画面処理部３１０を再起動させることなく、ログイン処理に移行可能としている。以下、実施の形態２に係る電力系統保護制御システムの動作について、図１、図２および図６の図面を適宜参照して説明する。図６は、実施の形態２の電力系統保護制御システムにおけるＨＭＩ画面起動時のフローチャートである。なお、図６において、図２に示す実施の形態１に係る処理と同一の処理については同一符号を付して示し、重複する説明は適宜省略する。

図６において、ステップＳ１１〜Ｓ２２までの処理は、図２と同一である。具体的には、ステップＳ１４において、最高アクセス権限のアクセス認証登録情報１１２が１組も登録されていない場合（ステップＳ１４、Ｎｏ）の処理フローにおける最後の処理（ステップＳ２３ａ）が異なっている。図２のステップＳ２３，Ｓ２４では、保護制御装置本体１００でのアクセス認証登録情報１１２の登録が完了した直後に、外部表示器３００のＨＭＩ画面処理部３１０の再起動を促すようにしていたが、図６のステップＳ２３ａでは、保護制御装置本体１００でのアクセス認証登録情報１１２の登録が完了すると、いま登録したアクセス認証登録情報１１２の取得要求を行うためにステップＳ１２の処理に移行するようにしている。

上記の処理は、保護制御装置本体１００のＨＭＩ情報処理部１１０の処理を変更することによって実現可能である。具体的には、ＨＭＩ情報処理部１１０は、不揮発性メモリ１１１に最高アクセス権限のアクセス認証情報（アクセス認証登録情報）が登録済みか否かを定期的に監視し、あるいは、不揮発性メモリ１１１にアクセス認証情報が登録済みか否かの情報を保護制御装置本体１００から受領することにより実現可能である。

上記の処理を実現することにより、保護制御装置本体１００でのアクセス認証登録情報１１２の登録が完了した直後であっても、ＨＭＩ画面処理部３１０を再起動する必要がなくなるので、操作者（特にシステム管理者）の利便性が向上するという効果が得られる。

実施の形態３．
実施の形態１，２では、ログイン画面を表示させるか、アクセス認証登録画面を表示させるかの判定処理において、最高アクセス権限のアクセス認証登録情報が１組以上登録されているか否かを判定条件としていたが、実施の形態３では、最高アクセス権限にかかるアクセス認証登録情報の組が全て登録されているか否かを判定条件とする点が実施の形態１，２との相違点である。以下、実施の形態３に係る電力系統保護制御システムの動作について、図１、図２および図７の図面を適宜参照して説明する。図７は、実施の形態３の電力系統保護制御システムにおけるＨＭＩ画面起動時のフローチャートである。なお、図７において、図２に示す実施の形態１に係る処理と同一の処理については同一符号を付して示し、重複する説明は適宜省略する。

図７において、ステップＳ１４ａ以外の処理は図２と同一である。図２のステップＳ１４では、最高アクセス権限のアクセス認証登録情報１１２が１組以上登録されているか否かを判定条件としたが、図７のステップＳ１４ａでは、最高アクセス権限のアクセス認証登録情報１１２が全て登録されているか否かが判定条件となる。

電力系統保護制御システムのユーザとして、複数の部署に分散している場合がある。このような場合、これら複数の部署毎に最高アクセス権限が設けられることもある（図５参照）。実施の形態１，２の場合では、最初にアクセスしたシステム管理者のときにはアクセス認証画面が表示され、２番目以降にアクセスしたシステム管理者のときには、ログイン画面が表示されることになる。システムの運用に先立って、一人のシステム管理者が、全てのユーザのアクセス権限等を設定しておくことは、セキュリティ的には、より堅牢となる方向に働く。

一方、組織の規模が大きくなり、一人のシステム管理者が管理する範囲が広範多岐に渡る場合や、複数の部署が地理的に離れていたりする場合には、一人のシステム管理者が他の部署のユーザのアクセス権限等を設定することは、困難な場合も考えられる。実施の形態３の実施態様は、このような場合に有効である。すなわち、実施の形態３では、ログイン画面を表示させるか、アクセス認証登録画面を表示させるかの判断において、最高アクセス権限のアクセス認証登録情報が全て登録されているか否かを判定条件としている。その結果、一人のシステム管理者によって、一つの最高アクセス権限が登録されただけでは、ログイン画面は表示されず、全ての最高アクセス権限が登録されたときに、ログイン画面が表示されるので、システム管理者間の連携が必須となり、システムの運用を通じて、システム管理者間のセキュリティ意識が高まるという効果が得られる。

以上のように、本発明に係る電力系統保護制御システムは、パスワードレスキュー機能の実行後に、セキュリティ的に無防備な状態が生じてしまうことを確実に防止することができる発明として有用である。

１００保護制御装置本体
１１０ＨＭＩ情報処理部
１１１不揮発性メモリ
１１２アクセス認証登録情報
１２０前面表示器
１２１押釦
２００ＩＰ通信網
３００外部表示器
３１０ＨＭＩ画面処理部

Claims

電力系統の保護、監視および制御を行う保護制御装置本体と、この保護制御装置本体に通信網を介してアクセス可能な外部接続端末と、を有する電力系統保護制御システムにおいて、
前記保護制御装置本体は、
前記外部接続端末との間で授受されるＨＭＩ情報を処理するＨＭＩ情報処理部と、
前記外部接続端末を使用するユーザ毎の権限に応じたアクセス認証情報を格納するメモリと、
を備え、
前記ユーザ毎の権限として、最高アクセス権限と、当該最高アクセス権限以外の権限とが少なくとも設定されており、
前記ＨＭＩ情報処理部は、前記外部接続端末が、前記通信網を介して前記保護制御装置本体にアクセスする際、前記メモリに前記最高アクセス権限のアクセス認証情報が未登録の場合には、ログイン画面の表示を禁止して、アクセス認証登録画面のみを表示する制御を行う
ことを特徴とする電力系統保護制御システム。
前記ＨＭＩ情報処理部は、前記最高アクセス権限のアクセス認証情報が１組以上登録されていない場合に、当該アクセス認証情報が未登録であると判定することを特徴とする請求項１に記載の電力系統保護制御システム。
前記ＨＭＩ情報処理部は、前記最高アクセス権限のアクセス認証情報が全て登録されていない場合に、当該アクセス認証情報が未登録であると判定することを特徴とする請求項１に記載の電力系統保護制御システム。
前記ＨＭＩ情報処理部は、前記最高アクセス権限のアクセス認証情報が登録済みか否か判定することにより、当該最高アクセス権限のアクセス認証情報の登録直後であっても、前記外部接続端末を再起動させることなく、前記アクセス認証登録画面から前記ログイン画面への遷移を許容することを特徴とする請求項１〜３の何れか１項に記載の電力系統保護制御システム。
通信網を介した外部接続端末からのアクセスを許容するように構成された電力系統保護制御システムに適用され、電力系統の保護、監視および制御を行う保護制御装置において、
前記外部接続端末との間で授受されるＨＭＩ情報を処理するＨＭＩ情報処理部と、
前記外部接続端末を使用するユーザ毎の権限に応じたアクセス認証情報を格納するメモリと、
を備え、
前記ユーザ毎の権限として、最高アクセス権限と、当該最高アクセス権限以外の権限とが少なくとも設定されており、
前記ＨＭＩ情報処理部は、前記外部接続端末が、前記通信網を介して前記保護制御装置本体にアクセスする際、前記メモリに前記最高アクセス権限のアクセス認証情報が未登録の場合には、ログイン画面の表示を禁止して、アクセス認証登録画面のみを表示する制御を行う
ことを特徴とする保護制御装置。
前記ＨＭＩ情報処理部は、前記最高アクセス権限のアクセス認証情報が１組以上登録されていない場合に、当該アクセス認証情報が未登録であると判定することを特徴とする請求項５に記載の保護制御装置。
前記ＨＭＩ情報処理部は、前記最高アクセス権限のアクセス認証情報が全て登録されていない場合に、当該アクセス認証情報が未登録であると判定することを特徴とする請求項５に記載の保護制御装置。
前記ＨＭＩ情報処理部は、前記最高アクセス権限のアクセス認証情報が登録済みか否か判定することにより、当該最高アクセス権限のアクセス認証情報の登録直後であっても、前記外部接続端末を再起動させることなく、前記アクセス認証登録画面から前記ログイン画面への遷移を許容することを特徴とする請求項５〜７の何れか１項に記載の保護制御装置。