JP2014170391A - 制御システム、サーバコンピュータおよびコンピュータプログラム - Google Patents

Abstract

【課題】コンピュータネットワークにおいて、常時監視されない装置で不正プログラムが検出された場合にも、迅速に対処できるようにする。
【解決手段】外部ネットワークと接続するゲートウェイ装置と、制御コンピュータとを備え、オペレータ用コンピュータが複数台接続される制御システムであって、ゲートウェイ装置は、自装置内で不正プログラムを検出すると、制御コンピュータに対して不正プログラムが検出された旨の情報を伝達し、制御コンピュータは、不正プログラムが検出された旨の情報を受け付けると、複数台のオペレータ用コンピュータに、不正プログラムが検出された旨の警報を即時行なわせるためのデータを一斉出力する。
【選択図】図１

Description

本発明は、コンピュータネットワークのセキュリティに関し、特に、常時監視されない装置が不正プログラムを検出した際の警告出力技術に関する。

コンピュータをインターネット等の外部ネットワークに接続する場合には、ウィルス等の不正プログラムを検出し、警告や駆除等の対応を行なう不正プログラム対策ソフトウェアを利用することが一般的となっている。

広く普及しているスタンドアローン型の不正プログラム対策ソフトウェアは、コンピュータ上で不正プログラムを検出すると、即座に警告メッセージ等の表示等を行い、そのコンピュータを使用しているユーザに通知する。

これに対して、企業等で導入されているネットワーク対応型の不正プログラム対策ソフトウェアでは、ネットワーク上のあるコンピュータで不正プログラムが検出されると、そのコンピュータを使用しているユーザに対する警告メッセージの表示に加えて、ネットワークの管理者にも不正プログラムが検出されたことを通知することも行なわれている。通常、管理者への通知は、特許文献１に記載されているように、電子メールにより行なわれる。

管理者や一般ユーザは、常時コンピュータを使用していることが想定されるため、ネットワーク対応型の不正プログラム対策ソフトウェアにより不正プログラムが検出されると、速やかに管理者や一般ユーザが認識でき、不正プログラムに対処することができる。これにより、不正プログラムが他のコンピュータに拡散することを防いでいる。

特開２００４−１０２８３３号公報

従来のネットワーク対応型の不正プログラム対策ソフトウェアは、管理者やユーザが常時コンピュータを使用していることを前提としているため、特殊な形態のネットワークにおいては、不正プログラム対策ソフトウェアが不正プログラムを検出しても、人間が気づくまでに時間がかかってしまう場合がある。

例えば、特殊な形態のネットワークとして、プラント等における各種プロセスを制御するために用いられる生産制御システムが挙げられる。図５は、従来の生産制御システムの構成例を示すブロック図である。

本図に示すように生産制御システム３００は、プラント等に配置されたプログラマブルロジックコントローラ（ＰＬＣ）群３７０、フィールド機器（ＦＩ）群３８０を制御する１台または複数台のフィールド制御コンピュータ３１０と、マンマシンインタフェース用の複数台のオペレータ用コンピュータ３２０と、ゲートウェイ（ＧＷ）コンピュータ３３０とを備えており、制御用バス３９０を介して相互に接続されている。

オペレータ用コンピュータ３２０はオペレータが使用するコンピュータである。オペレータは、オペレータ用コンピュータ３２０が備える表示装置や入力デバイスを介して、プロセスの監視や各種操作を行なう。

ゲートウェイコンピュータ３３０は、インターネット、イントラネット等の外部のネットワーク４００と制御用バス３９０による生産制御システム３００のネットワークとを仲介する装置である。ゲートウェイコンピュータ３３０は、フィールド制御コンピュータ３１０やオペレータ用コンピュータ３２０との通信処理を行なうための通信部３３１を備えている。

また、ゲートウェイコンピュータ３３０には、外部ネットワーク４００から不正プログラムが侵入したことを検出するために不正プログラム対策ソフトウェアがインストールされており、このソフトウェアが動作することにより不正プログラム検出部３３２が形成されている。

フィールド制御コンピュータ３１０は、オペレータ用コンピュータ３２０との間の情報入出力制御を行なう入出力制御部３１１を備えている。オペレータ用コンピュータ３２０から入力する情報としては、例えば、オペレータの操作に基づく操作情報があり、オペレータ用コンピュータ３２０に出力する情報としては、実行中のプロセスに関する情報やフィールド機器３８０の状態を表わす情報等がある。オペレータ用コンピュータ３２０は、これらの情報を受信すると、表示装置に表示してオペレータに通知する。

なお、生産制御システム３００内のフィールド制御コンピュータ３１０やオペレータ用コンピュータ３２０は、各種プロセスの制御を目的としているため、電子メール等の外部ネットワーク４００との情報のやり取りを行なうツールは基本的にインストールされない。

このような構成の生産制御システム３００において、ゲートウェイコンピュータ３３０の不正プログラム検出部３３２がウィルス等の不正プログラムを検出したとする。

不正プログラム検出部３３２は、ゲートウェイコンピュータ３３０の表示装置に警告メッセージを表示するが、ゲートウェイコンピュータ３３０の表示装置はメンテナンス時に用いるだけであり、オペレータが常時監視することはなく、表示装置自体が接続されていない場合もある。このため、ゲートウェイコンピュータ３３０の表示装置における警告メッセージでオペレータが不正プログラム検出を即座に認識することは期待できない。

また、生産制御システム３００のオペレータに電子メールで通知しようとしても、生産制御システム３００内は電子メールが使用できない環境がほとんどである。仮に、電子メールが使用できる環境を構築したとしても、プロセス操業中に電子メールの内容を確認できるとは限られない。また、オペレータ用コンピュータ３２０を使用するのは、不特定のオペレータであるため、電子メールの宛先を適切に設定することは困難である。

このため、ゲートウェイコンピュータ３３０で不正プログラムが検出されても、オペレータが認識するまで時間がかかり、不正プログラムが生産制御システム３００内に拡散してしまったり、不正プログラムの悪影響を被ってしまうおそれがある。

そこで、本発明は、コンピュータネットワークにおいて、常時監視されない装置で不正プログラムが検出された場合にも、迅速に対処できるようにすることを目的とする。

上記課題を解決するため、本発明の第１の態様である制御システムは、外部ネットワークと接続するゲートウェイ装置と、制御コンピュータとを備え、オペレータ用コンピュータが複数台接続される制御システムであって、前記ゲートウェイ装置は、自装置内で不正プログラムを検出すると、前記制御コンピュータに対して不正プログラムが検出された旨の情報を伝達し、前記制御コンピュータは、不正プログラムが検出された旨の情報を受け付けると、前記複数台のオペレータ用コンピュータに、不正プログラムが検出された旨の警報を即時行なわせるためのデータを一斉出力することを特徴とする。
ここで、前記不正プログラムが検出された旨の警報を即時行なわせるためのデータは、前記オペレータ用コンピュータが備える表示装置に警告メッセージを即時表示させるデータ、前記オペレータ用コンピュータにブザーを即時出力させるデータの少なくとも一方とすることができる。
上記課題を解決するため、本発明の第２の態様であるサーバコンピュータは、複数台のクライアントコンピュータと接続するサーバコンピュータであって、自装置内で不正プログラムを検出すると、前記複数台のクライアントコンピュータに、不正プログラムが検出された旨の警報を即時行なわせるためのデータを一斉出力することを特徴とする。
上記課題を解決するため、本発明の第３の態様であるコンピュータプログラムは、外部ネットワークと接続するゲートウェイ装置と、制御コンピュータとを備え、オペレータ用コンピュータが複数台接続される制御システムで動作するコンピュータプログラムであって、前記ゲートウェイ装置に、自装置内で不正プログラムを検出すると、前記制御コンピュータに対して不正プログラムが検出された旨の情報を伝達させる処理を行なわせるモジュールと、前記制御コンピュータに、不正プログラムが検出された旨の情報を受け付けると、前記複数台のオペレータ用コンピュータに、不正プログラムが検出された旨の警報を即時行なわせるためのデータを一斉出力する処理を行なわせるモジュールとを含むことを特徴とする。
上記課題を解決するため、本発明の第４の態様であるコンピュータプログラムは、複数台のクライアントコンピュータと接続するサーバコンピュータで動作するコンピュータプログラムであって、自装置内で不正プログラムを検出すると、前記複数台のクライアントコンピュータに、不正プログラムが検出された旨の警報を即時行なわせるためのデータを一斉出力する処理を前記サーバコンピュータに行なわせることを特徴とする。

本発明によれば、コンピュータネットワークにおいて、常時監視されない装置で不正プログラムが検出された場合にも、迅速に対処できるようになる。

本実施形態に係る生産制御システムの構成を示すブロック図である。 ゲートウェイコンピュータの動作について説明するフローチャートである。 フィールド制御コンピュータの動作について説明するフローチャートである。 本発明の別形態であるクライアントサーバシステムの構成を示すブロック図である。 従来の生産制御システムの構成例を示すブロック図である。

本発明の実施の形態について図面を参照して説明する。本実施形態では、本発明を生産制御システムに適用した場合について説明する。図１は、本実施形態に係る生産制御システムの構成を示すブロック図である。

本図に示すように生産制御システム１００は、プラント等に配置されたプログラマブルロジックコントローラ（ＰＬＣ）群１７０、フィールド機器（ＦＩ）群１８０を制御する１台または複数台のフィールド制御コンピュータ１１０と、マンマシンインタフェース用の複数台のオペレータ用コンピュータ１２０と、ゲートウェイ（ＧＷ）コンピュータ１３０とを備えており、制御用バス１９０を介して相互に接続されている。生産制御システム１００は、稼働の信頼性が重要視されるため、フィールド制御コンピュータ１１０等を多重化してもよい。

従来の生産制御システム３００と同様に、オペレータ用コンピュータ１２０はオペレータが使用するコンピュータであり、オペレータ用コンピュータ１２０が備える表示装置や入力デバイスを介して、プロセスの監視や各種操作が行なわれる。

フィールド制御コンピュータ１１０は、フィールド制御用のソフトウェアがインストールされており、このソフトウェアが動作することにより、オペレータ用コンピュータ１２０からの操作情報を入力したり、オペレータ用コンピュータ１２０に各種情報を出力する処理を行なう入出力制御部１１１が形成されている。

また、フィールド制御コンピュータ１１０は、不正プログラムが検出されたことを示す検出フラグ１１２を備えている。検出フラグ１１２は、通常はオフ状態であるが、後述するゲートウェイコンピュータ１３０の不正プログラム検出部１３２が不正プログラムを検出すると、不正プログラム検出部１３２によりオン状態に切り替えられる。検出フラグ１１２は、フィールド制御コンピュータ１１０が従来から用意している多数のタグの１つを利用することができる。

入出力制御部１１１は、検出フラグ１１２を監視しており、検出フラグ１１２がオン状態になると、制御用バス１９０に接続されているオペレータ用コンピュータ１２０に、不正プログラムが検出された旨の警報を即時行なわせるためのデータを一斉出力する。オペレータ用コンピュータ１２０に対するデータの一斉出力は、既存の機能を利用することで、コストを上昇させることなく、本機能を実現することが可能となる。

不正プログラムが検出された旨の警報を即時行なわせるためのデータは、例えば、オペレータ用コンピュータ１２０が備える表示装置に警告メッセージを表示させるためのデータとすることができる。このデータを入力したオペレータ用コンピュータ１２０は、警告メッセージを即座に表示装置に表示する。なお、制御用バス１９０上に制御系統等の異なる複数のグループが混在している場合には、オペレータ用コンピュータ１２０側で、所属するグループのフィールド制御コンピュータ１１０以外から送られたデータについては警告メッセージを表示しないように設定できるようにしてもよい。

また、不正プログラムが検出された旨の警報を即時行なわせるためのデータは、警告メッセージを表示させるデータに加えて、あるいは警告メッセージを表示させるデータに替えて、オペレータ用コンピュータ１２０にブザーを出力させるデータとしてもよい。この場合、オペレータがオペレータ用コンピュータ１２０の画面を監視していないときにも不正プログラムが検出された旨をオペレータに通知することが可能となる。

ゲートウェイコンピュータ１３０は、インターネット、イントラネット等の外部のネットワーク４００と制御用バス１９０による生産制御システム１００のネットワークとを仲介する装置である。ゲートウェイコンピュータ１３０は、フィールド制御コンピュータ１１０やオペレータ用コンピュータ１２０との通信処理を行なうための通信部１３１を備えている。

また、ゲートウェイコンピュータ１３０には、外部ネットワーク４００から不正プログラムが侵入したことを検出するために不正プログラム対策ソフトウェアがインストールされており、このソフトウェアが動作することにより不正プログラム検出部１３２が形成されている。

本実施形態において、不正プログラム検出部１３２は、不正プログラムを検出すると、通信部１３１に不正プログラムを検出した旨を通知する。

この通知を受信した通信部１３１は、フィールド制御コンピュータ１１０の検出フラグ１１２をオン状態に設定する。フィールド制御コンピュータ１１０が複数台存在する場合は、すべてのフィールド制御コンピュータ１１０の検出フラグ１１２をオン状態にしてもよいし、一部のフィールド制御コンピュータ１１０の検出フラグ１１２をオン状態にするようにしてもよい。

次に、上記構成の生産制御システム１００の動作について説明する。まず、ゲートウェイコンピュータ１３０の動作について図２のフローチャートを参照して説明する。

不正プログラム検出部１３２が自装置内で不正プログラムを検出すると（Ｓ１０１：Ｙｅｓ）、通信部１３１に不正プログラムを検出した旨を通知する（Ｓ１０２）。このとき、従来と同様に、ゲートウェイコンピュータ１３０が備えている表示装置に、不正プログラムが検出された旨の警告メッセージを表示するようにしてもよい。

通信部１３１は、不正プログラム検出部１３２から不正プログラムを検出した旨を通知されると、制御用バス１９０を介して、フィールド制御コンピュータ１１０の検出フラグ１１２をオン状態に設定する（Ｓ１０３）。

次に、フィールド制御コンピュータ１１０の動作について図３のフローチャートを参照して説明する。

入出力制御部１１１は、検出フラグ１１２の状態を監視しており、検出フラグ１１２のオン状態を検知すると（Ｓ２０１：Ｙｅｓ）、制御用バス１９０に接続されているオペレータ用コンピュータ１２０に、不正プログラムが検出された旨の警報を即時行なわせるためのデータを一斉出力する（Ｓ２０２）。ここでは、警告メッセージを表示させるデータを一斉出力するものとする。

これにより、オペレータ用コンピュータ１２０の表示装置では、不正プログラムが検出された旨の警告メッセージが即時表示されるため、オペレータは、ゲートウェイコンピュータ１３０で不正プログラムが検出されたことをすぐに認識することができる。この結果、不正プログラムに対する迅速な処理を行なうことができるため、不正プログラムの拡散、生産制御システム１００への悪影響を防ぐことができる。

なお、本発明は、上記実施形態で説明した生産制御システム等の制御システムのみならず、常時監視されない装置を含むようなコンピュータネットワークに広く適用することができる。図４は、本発明をクライアントサーバシステムに適用した場合の構成を示すブロック図である。

本図に示すように、クライアントサーバシステム２００は、サーバコンピュータ２１０と複数台のクライアントコンピュータ２２０とを備えており、ルータ２３０を介して外部ネットワーク４００と接続している。通常、サーバコンピュータ２１０に対する操作は行なわないため、サーバコンピュータ２１０は常時監視されない装置である。

サーバコンピュータ２１０は、クライアントコンピュータ２２０との間で情報の入出力を行なう入出力制御部２１１を備えている。また、サーバコンピュータ２１０には、外部ネットワーク４００から不正プログラムが侵入したことを検出するために不正プログラム対策ソフトウェアがインストールされており、このソフトウェアが動作することにより不正プログラム検出部２１２が形成されている。

本例において、不正プログラム検出部２１２が、サーバコンピュータ２１０内で不正プログラムを検出すると、入出力制御部２１１に不正プログラムが検出されたことを通知する。

また、サーバコンピュータ２１０の入出力制御部２１１は、不正プログラム検出部２１２から不正プログラムが検出されたことを通知されると、クライアントサーバシステム２００内の複数台のクライアントコンピュータ２２０に、不正プログラムが検出された旨の警報を即時行なわせるためのデータを一斉出力する。不正プログラムが検出された旨の警報を即時行なわせるためのデータは、警告メッセージを表示させるデータ、ブザーを出力させるデータ等とすることができる。

これにより、各クライアントコンピュータ２２０では、不正プログラムが検出された旨の警告メッセージが即時表示されたり、ブザーが出力されたりするため、クライアントコンピュータ２２０のユーザは、サーバコンピュータ２１０で不正プログラムが検出されたことをすぐに認識することができる。この結果、不正プログラムに対する迅速な処理を行なうことができるため、不正プログラムの拡散、クライアントサーバシステム２００への悪影響を防ぐことができる。

１００…生産制御システム、１１０…フィールド制御コンピュータ、１１１…入出力制御部、１１２…検出フラグ、１２０…オペレータ用コンピュータ、１３０…ゲートウェイコンピュータ、１３１…通信部、１３２…不正プログラム検出部、１７０…プログラマブルロジックコントローラ群、１８０…フィールド機器群、１９０…制御用バス、２００…クライアントサーバシステム、２１０…サーバコンピュータ、２１１…入出力制御部、２１２…不正プログラム検出部、２２０…クライアントコンピュータ、２３０…ルータ、３００…生産制御システム、３１０…フィールド制御コンピュータ、３１１…入出力制御部、３２０…オペレータ用コンピュータ、３３０…ゲートウェイコンピュータ、３３１…通信部、３３２…不正プログラム検出部、３７０…プログラマブルロジックコントローラ群、３８０…フィールド機器群、３９０…制御用バス、４００…外部ネットワーク

Claims (5)

1. 外部ネットワークと接続するゲートウェイ装置と、制御コンピュータとを備え、オペレータ用コンピュータが複数台接続される制御システムであって、
   前記ゲートウェイ装置は、
   自装置内で不正プログラムを検出すると、前記制御コンピュータに対して不正プログラムが検出された旨の情報を伝達し、
   前記制御コンピュータは、
   不正プログラムが検出された旨の情報を受け付けると、前記複数台のオペレータ用コンピュータに、不正プログラムが検出された旨の警報を即時行なわせるためのデータを一斉出力することを特徴とする制御システム。
2. 前記不正プログラムが検出された旨の警報を即時行なわせるためのデータは、前記オペレータ用コンピュータが備える表示装置に警告メッセージを即時表示させるデータ、前記オペレータ用コンピュータにブザーを即時出力させるデータの少なくとも一方であることを特徴とする請求項１に記載の制御システム。
3. 複数台のクライアントコンピュータと接続するサーバコンピュータであって、
   自装置内で不正プログラムを検出すると、前記複数台のクライアントコンピュータに、不正プログラムが検出された旨の警報を即時行なわせるためのデータを一斉出力することを特徴とするサーバコンピュータ。
4. 外部ネットワークと接続するゲートウェイ装置と、制御コンピュータとを備え、オペレータ用コンピュータが複数台接続される制御システムで動作するコンピュータプログラムであって、
   前記ゲートウェイ装置に、自装置内で不正プログラムを検出すると、前記制御コンピュータに対して不正プログラムが検出された旨の情報を伝達させる処理を行なわせるモジュールと、
   前記制御コンピュータに、不正プログラムが検出された旨の情報を受け付けると、前記複数台のオペレータ用コンピュータに、不正プログラムが検出された旨の警報を即時行なわせるためのデータを一斉出力する処理を行なわせるモジュールとを含むことを特徴とするコンピュータプログラム。
5. 複数台のクライアントコンピュータと接続するサーバコンピュータで動作するコンピュータプログラムであって、
   自装置内で不正プログラムを検出すると、前記複数台のクライアントコンピュータに、不正プログラムが検出された旨の警報を即時行なわせるためのデータを一斉出力する処理を前記サーバコンピュータに行なわせることを特徴とするコンピュータプログラム。