JP2014146087A - 監視制御システム - Google Patents

Abstract

【課題】セキュリティレベルの異なる複数のネットワークを有する監視制御システムにおいて、セキュリティ脅威に対応する。
【解決手段】この発明に係る監視制御システムは、セキュリティレベルの高いネットワーク５に接続された監視制御装置４と、セキュリティレベルの低いネットワーク８に接続された監視装置６とを送信機１１および受信機１２を介して物理的な一方向通信としたもので、セキュリティレベルの高いネットワーク５の安全を確保するものである。
【選択図】図１

Description

この発明は、セキュリティレベルの異なる複数のネットワークを有する監視制御システムに関するものである。

一般的な監視制御システムは、監視の対象となる設備からの情報を温度センサ、圧力センサ、位置センサ、その他の各種センサで検出し、その情報を運転・監視員に提示するとともに、運転・監視員の操作によりモーター、弁、開閉器、油圧装置などの各種駆動装置を動作させて設備の動作状態を制御するものであり、発電プラント、化学プラント、受配電設備、上下水道など、幅広い分野で用いられている。

このような監視制御システムの典型的な例としては、図５に示すような構成が採られている。
図において、監視制御システムは、監視の対象となる設備１と、この設備１の温度、圧力、位置、その他の動作情報を検出する各種のセンサ２と、設備１を駆動するモーター、弁、開閉器、油圧装置などの各種の駆動装置３と、センサ２からの情報に基づいて設備１の動作状態を監視し、所望の状態にコントロールする監視制御装置４とを備えている。この監視制御装置４は、センサ２からの情報を処理して駆動装置３を駆動させ、設備１を所望の状態にコントロールする操作端末４ａおよび設備１の動作状態などを表示するディスプレイ４ｂを有し、これらの装置は施設内部のネットワーク５を介して相互に接続されている。

また、監視制御装置４の設置位置とは異なる位置で設備１の動作状態を監視するため、監視装置６がネットワーク５に接続されたプラントゲートウェー（以下、ゲートウェーをＧ／Ｗと称す）装置７、ネットワーク８を介して設けられており、この監視装置６には監視制御装置４とデータ通信を行なうための通信用端末６ａおよびディスプレイ６ｂが設けられている。なお、これらのネットワーク５、８は、専用もしくは汎用のプロトコルにて実装されている。

ここで、設備１の運転制御を行なわない監視装置６のような装置は、通常外部から情報を収集したり、外部へのデータ送信を行なうため、外部通信Ｇ／Ｗ装置９を介してインターネット１０にも接続可能とされている。

このような従来の監視制御システムでは、設備１とこの設備１を直接運転操作する監視制御装置４とは、サイバー攻撃など外部からの侵入を防ぐため、プラントＧ／Ｗ装置７によりセキュリティレベルを高く設定して保護しているが、単に監視を行う監視装置６は、外部通信Ｇ／Ｗ装置９によりセキュリティを確保しているものの、外部と通信するため、さほどセキュリティレベルを高く維持することができない。

このため、従来の監視制御システムにおいては、セキュリティレベルの高いネットワーク５は、インターネット１０を介した外部からの侵入を防止することが可能であるが、セキュリティレベルの低いネットワーク８は、近年のサイバー攻撃の高度化に伴い、外部侵入を防ぐことができない可能性を有しており、一旦ネットワーク８がウイルスなどに感染すると、このネットワーク８における許容されたパケットを利用してセキュリティレベルの高いネットワーク５も感染するというセキュリティ脅威の可能性が生じてきている。

ところで、一般的にセキュリティを保護するものとして、ネットワーク内にセキュリティを評価する装置を設け、セキュリティレベルの低いネットワークからの通信を制限するものが知られている。（特開2006-279338号公報）
また、外部ネットワークからのサイバー攻撃から情報資産を保護するため、光スイッチにより通信方向を切り替えるものが知られている。（特開2004-274444号公報）

特開2006-279338号公報（段落0041、0046） 特開2004-274444号公報（段落0022） 特開2005-32238号公報（段落0033） 特開2004-185483号公報（段落0011）

しかしながら、上記の特許文献のようなネットワークの保護装置を適合した場合、セキュリティレベルの異なる監視制御装置４および監視装置６との通信を確保することができず、監視制御システムを構成できないものとなる。また、逆に、通信を確保した場合、セキュリティレベルの低いネットワーク８からセキュリティレベルの高いネットワーク５に感染が及ぶ可能性があり、監視制御システムの信頼性を損なうものとなっていた。
すなわち、従来のものにおいては、ファイアウォールを使用して通信を制限しているものの、ファイアウォールはソフトウエア的なものであり、このため、ファイアウォール自身の脆弱性や管理者権限の取得により禁止されていた方向への通信が可能となるような設定変更が行われる可能性がある。

この発明は、上述した問題点を解決するためになされたもので、セキュリティレベルの高いネットワークからセキュリティレベルの低いネットワークへの一方向のみの通信を可能とすることにより安全を確保することができる監視制御システムを提供するものである。

この発明に係る監視制御システムは、制御対象となる設備の動作状態を検出するセンサと、前記設備の動作状態を調整する駆動装置と、前記センサの出力に基づき、前記駆動装置を動作させて前記設備の動作状態を制御する監視制御装置と、インターネット等の外部ネットワークに接続可能であって、前記監視制御装置に接続され、前記設備の動作状態を監視する監視装置と、前記監視制御装置と前記監視装置との間に設けられ、前記監視制御装置から前記監視装置へ一方向にのみ通信する送信機および受信機とを備え、セキュリティレベルの高いネットワークからセキュリティレベルの低いネットワークへのみデータ通信を行なわせるようにしたものである。

この発明によれば、セキュリティレベルの低いネットワークからセキュリティレベルの高いネットワークへのデータ通信を阻止することができ、監視制御システムの信頼性を確保することができるという効果を奏する。

この発明の実施の形態１に係る監視制御システムを示す構成図である。 この発明の実施の形態２に係る監視制御システムを示す構成図である。 この発明の実施の形態３に係る監視制御システムを示す構成図である。 この発明の実施の形態４に係る監視制御システムを示す構成図である。 従来の監視制御システムを示す概要構成図である。

実施の形態１．
以下、この発明を実施の形態である図面を参照して説明する。
図１は、この発明の実施の形態１に係る監視制御システムを示す構成図である。
図において、この監視制御システムは、監視制御の対象となる設備１と、この設備１に装着され、設備１の動作状態を検出するセンサ２と、設備１の動作状態を制御する駆動装置３と、これらセンサ２および駆動装置３にネットワーク５を介して接続された操作端末４ａおよびディスプレイ４ｂなどからなる監視制御装置４とを有している。
また、監視制御システムは、監視制御装置４にネットワーク８を介して接続された監視装置６を有しており、この監視装置６は、外部通信Ｇ／Ｗ装置９を介してインターネット１０に接続可能とされている。

ここで、ネットワーク５とネットワーク８とは、送信機１１、受信機１２を介在させてネットワーク５からネットワーク８へ一方向のみデータ通信が可能となるように構成されている。さらに、受信機１２からハードワイヤード１３を介して送信機１１側に信号をフィードバックし、この信号によって受信機１２の動作異常を表示するための表示手段１４が設けられている。

なお、一方向のみのデータ通信は、送信機／受信機の片方向にのみ光ケーブルを実装することにより行なわせることができ、また、受信機１２における異常状態の検出は、電源の停止やウオッチドッグタイマの不到達などＲＡＳ（Reliability Availability Serviceability）通知を用いて行なわせることができる。さらに、ネットワーク５およびネットワーク８の通信は、汎用プロトコルで行なわせることができる。また、表示手段１４は、ハードワイヤード１３からの信号を監視制御装置４のディスプレイ４ｂに供給することによって省略することも可能である。

このような構成のもとで、監視制御装置４は、ネットワーク５、送信機１１を介して設備１の動作状態のデータを送信し、このデータを受信機１２で受信し、さらに、ネットワーク８を介して監視装置６へ供給することになる。

このように送信機１１、受信機１２を用いて監視制御装置４から監視装置６へ一方向にデータを送信させることにより、セキュリティレベルの低いネットワーク８からのネットワーク５へのデータ流入を物理的に遮断することができ、ネットワーク５をセキュリティレベルの高いものとすることが可能となる。この結果、監視制御システムの信頼性を確保することができる。
また、受信機１２が正常に動作していない場合、ウオッチドッグタイマの不到達などのＲＡＳ通知を用いて表示手段１４によりその状態を表示させることができ、この結果、監視装置６が正常にデータを受信していないことを把握することが可能となり、対策を講じさせることができる。

実施の形態２．
図２は、この発明の実施の形態２に係る監視制御システムを示す構成図である。
図において、この監視制御システムは、実施の形態１に加えて、送信機１１ａ、受信機１２ａを送信機１１、受信機１２に並列に設けるとともに、これらをＲＡＳ通知の有無により切り替える中継装置１５を設けている。
これらの送信機１１ａ、受信機１２ａは、それぞれ送信機１１、受信機１２と同等の機能を持ち、汎用プロトコルにより同じデータを並列に伝送している。
また、ハードワイヤード１３ａにより、受信機１２ａの動作状態を送信機１１ａ側にフィードバックするように構成している。

このような構成のもとで、通常時、中継装置１５は、受信機１２を主系、受信機１２ａを従系であるとして、伝送路Ａを経由して受信機１２で受け取ったデータのみをセキュリティレベルの低いネットワーク８へ伝送する。
次に、受信機１２からのウオッチドッグタイマの不到達などのＲＡＳ通知を受け取る等の異常が発生すると、中継装置１５は、即座に受信機１２ａを主系として伝送路Ｂを経由して受け取ったデータをセキュリティレベルの低いネットワーク８へ伝送することになる。
このように、主系の受信機１２の不具合を受信すると、中継装置１５で従系の受信機１２側に切り替えて情報を伝達する冗長化構成を採ることにより、送信機１１、受信機１２のいずれかが故障した場合でもデータ通信機能を維持させることができる。

実施の形態３．
図３は、この発明の実施の形態３に係る監視制御システムを示す構成図である。
図において、監視制御システムは、実施の形態２に加えて、送信機１１から受信機１２ａに、送信機１１ａから受信機１２にも同じ情報を伝送するように構成するとともに、中継装置１５により受信データを選択するように構成している。

すなわち、中継装置１５は、通常時、伝送路Ａを１番、伝送路Ｂを２番、伝送路Ｃを３番、伝送路Ｄを４番として優先付けし、優先順位の高い伝送路Ａを経由した受信データのみをセキュリティレベルの低いネットワーク８へと伝送する。ここで、中継装置１５の優先順位の判定は、送信機１１、１１ａ、受信機１２、１２ａ間のデータ構造に優先度フラグを付与するなどにより実現することができる。

次に、例えば受信機１２に異常が生じた場合、受信機１２の異常をハードワイヤード１３、表示手段１４を介して送信機１１へ通知し、ハードワイヤード１３ｃ、表示手段１４ａを介して送信機１１ａへ通知する。これに伴い、送信機１１は伝送路Ａの優先度を、送信機１１ａは伝送路Ｃの優先度を、それぞれ伝送路Ｂ、伝送路Ｄより下げ、この結果、伝送路Ｂの優先度を１番、伝送路Ｄの優先度を２番として優先順位が変更され、中継装置１５では伝送路Ｂを経由したデータのみをセキュリティレベルの低いネットワーク８へと伝送する。このような送信機１１、１１ａにおける優先順位の変更は、優先度フラグの値の変更などにより実現することができる。また、表示手段１４および表示手段１４ａにて受信機１２にて異常が発生していることを表示することになる。
このように、４つの伝送路のうち優先度の高い伝送路を通過したデータのみを中継装置１５で伝達する冗長化構成を採ることにより、送信機と受信機とがそれぞれ１つずつ故障した場合でもデータ通信機能を維持させることができ、監視制御システムの信頼性を向上させることができる。

実施の形態４．
図４は、この発明の実施の形態４に係る監視制御システムを示す構成図である。
この監視制御システムは、送信機１１、１１ａおよび受信機１２、１２ａにそれぞれ系切替装置１６、１６ａ、１７、１７ａを設け、これらにより冗長化構成を実現するものである。

すなわち、系切替装置１６、１６ａは、送信機１１を主系、送信機１１ａを従系として認識する機能を有し、系切替装置１７、１７ａは、受信機１２を主系、受信機１２ａを従系として認識する機能を有している。
ここで、通常動作時には、送信機１１から受信機１２へ送られるデータを主系として、主系の受信機１２のみがセキュリティレベルの低いネットワーク８へデータを伝送し、従系である受信機１２ａはデータをネットワーク８へ伝送しない。
次に、例えば受信機１２に異常が生じた場合、系切替装置１７がこれを検知し、受信機１２を従系にするとともに、系切替装置１７ａに通知して受信機１２ａを主系とする。これによって、主系は送信機１１と受信機１２ａとなり、送信機１１から受信機１２ａへ送られるデータがセキュリティレベルの低いネットワーク８へ伝送される。

また、送信機１１に異常が生じた場合、系切替装置１６がこれを検知し、送信機１１を従系にするとともに、系切替装置１６ａに通知して送信機１１ａを主系とする。これによって、主系は送信機１１ａと受信機１２となり、送信機１１ａから受信機１２へ送られるデータがセキュリティレベルの低いネットワーク８へ伝送される。
同様に、送信機１１および受信機１２に異常が生じた場合、系切替装置１６、１７により、送信機１１ａおよび受信機１２ａを主系とし、これを通したデータがネットワーク８へ伝送されることになる。

このように、系切替装置１６、１６ａ、１７、１７ａが各送信機１１、１１ａ、受信機１２、１２ａの主系または従系を制御することにより、冗長化構成を実現することができ、例えば送信機と受信機とがそれぞれ１つずつ故障した場合でも送受信機能を維持させることができる。この結果、監視制御システムの信頼性を向上させることができる。
また、系切替装置１６、１６ａ、１７、１７ａをソフトウエアとして監視制御システムに組み込むことにより、図２、図３における中継装置１５といった別の機器を設ける必要がなく、装置を安価に構成することが可能である。さらに、中継装置１５の故障といったケースを想定する必要がなくなる。
なお、本発明は、その発明の範囲内において、各実施の形態を適宜、変形、省略することが可能である。

本発明は、発電プラント、化学プラント、受配電設備、上下水道などの監視制御システムに適用することができる。

１：設備 ２：センサ ３：駆動装置
４：監視制御装置 ４ａ：操作端末 ４ｂ：ディスプレイ
５：ネットワーク ６：監視装置 ８：ネットワーク
１１，１１ａ:送信機 １２，１２ａ：受信機
１３，１３ａ, １３ｂ，１３ｃ：ハードワイヤード
１４，１４ａ：表示手段 １５：中継装置
１６，１６ａ，１７，１７ａ：系切替装置

Claims (4)

1. 制御対象となる設備の動作状態を検出するセンサと、前記設備の動作状態を調整する駆動装置と、前センサの出力に基づき、前記駆動装置を動作させて前記設備の動作状態を制御する監視制御装置と、インターネット等の外部ネットワークに接続可能であって、前記監視制御装置に接続され、前記設備の動作状態を監視する監視装置と、前記監視制御装置と前記監視装置との間に設けられ、前記監視制御装置から前記監視装置へ一方向にのみ通信する送信機および受信機とを備え、セキュリティレベルの高いネットワークからセキュリティレベルの低いネットワークへのみデータ通信を行なわせるようにしたことを特徴とする監視制御システム。
2. 前記受信機における動作異常を前記送信機側に通知するハードワイヤードを設けたことを特徴とする請求項１に記載の監視制御システム。
3. 前記監視制御装置から前記監視装置へ一方向にのみ通信する送信機および受信機を並列に設けるとともに、前記監視制御装置から前記監視装置へ伝達するデータ伝送路を選択する中継装置を設けたことを特徴とする請求項１又は２に記載の監視制御システム。
4. 前記監視制御装置から前記監視装置へ一方向にのみ通信する送信機および受信機を並列に設けるとともに、各送信機および各受信機にその通信状態を監視してデータ伝送路を切り替える系切替装置を設け、前記監視制御装置から前記監視装置へ伝達するデータ伝送路を選択するようにしたことを特徴とする請求項１に記載の監視制御システム。