JP2016157285A - 接続管理装置 - Google Patents

Abstract

【課題】より容易に接続（アクセス）権限が管理できるようにする。【解決手段】権限設定部１０８は、役割対応権限取得部１０６が取得した権限と、観点対応権限取得部１０７が取得した権限との論理積を、情報に対するユーザ情報で識別されるユーザの接続権限として設定する。例えば、制御システムにログオンしたユーザがユーザＡで、要求が「保守」であり、対象設備の運転状態が「通常運転」の場合、役割対応権限取得部１０６が取得した権限は、［読み取り］であり、観点対応権限取得部１０７が取得した権限は、［読み取り、書き込み］と［読み取り、書き込み］である。この場合、権限設定部１０８は、［読み取り］、［読み取り、書き込み］、および［読み取り、書き込み］の論理積である［読み取り］を、対象設備の情報に対するユーザＡの接続権限として設定する。【選択図】 図１

Description

本発明は、アクセス権限が管理する接続管理装置に関する。

例えば、建築物に付帯している各設備の監視制御や、プラントなどの制御には制御システムが用いられ、さらに機器管理装置が用いられている。このような監視制御システムにおいては、ネットワークにより接続している現場に設置されたプロセス機器や各種センサなどのフィールド機器との間で信号をやりとりし、フィールド機器の動作を制御し、フィールド機器の動作確認などの診断結果を表示し、また、パラメータ設定などを行っている。

このような監視制御システムには、制御および監視の対象となる機器が多数にわたり、これらを表す情報も、生産に関わる運転，生産管理，製造方法，機器管理など多種多様にわたっている。また、システムの効率化および様々な安全性確保の観点より、各情報および当該情報の表示形態に対する利用・参照権限の設定が重要となる。

例えば、システムにログオンしたユーザの識別情報が持つ権限によって、ある対象オブジェクトへの読み書き、可視/不可視、実行可否などのアクセス権管理を行う。また、ログオンしたユーザ個人の権限のみならず、運転中のフェーズ（エンジニアリング、運転、保守 など）によっても対象オブジェクト（機器、装置など）へのアクセス権管理が重要となる（特許文献１参照）。

例えば、運転員という権限でシステムにログオンしていても、運転中と保守作業中では、同じ機器に対して閲覧可能な情報を異なるものとする。言い換えると、保守作業中でもログオンしているユーザによって、閲覧可能な情報は異なるように管理する。また、ユーザの役割や運転フェーズに限らず、操作している時点の都合で「省エネ観点の有無」という別の観点でのアクセス権限を融通的に追加・削除することが重要な場合もある。

上述したように、現在では、ユーザの識別情報や運転フェーズに限らず、多次元の観点からの組み合わせでアクセス権限を管理することが重要となっている。

特開２０１３−１０９６１９号公報

しかし、現在では、前述したように、ユーザの識別情報による権限でのみ管理をしており、様々な状況に対応させるためには、各々個別に権限を設定することになる。このため、多次元の観点からの組み合わせでアクセス権限を管理しようとすると、権限の設定対象が非常に多くなり、設定に手間がかかり、加えて、管理も容易ではない。

また、全ての権限による組み合わせを１つの項目としたアクセス権限をテーブルとすることで、多次元の観点からの組み合わせでアクセス権限を管理することが考えられる。例えば、ユーザＡが保守フェーズであり、かつ省エネ観点も加える組み合わせを１つの項目とする。しかしながら、この方法では、観点が増加すると、管理すべき項目の数が、増加する前の項目数の何倍にも増加してしまう。また、各項目にアクセス権限を定義することになるが、この定義の設定には全ての観点に関する知見を持つ担当者が必要となり、定義を設定できる担当者が限られてしまう。

本発明は、以上のような問題点を解消するためになされたものであり、より容易に接続（アクセス）権限が管理できるようにすることを目的とする。

本発明に係る接続管理装置は、ユーザを識別するユーザ情報がユーザに対応する役割とともに記憶されたユーザ情報記憶部と、役割毎に、読み取り，変更，書き込み，削除を含む権限が設定された役割権限記憶部と、制御対象を構成する構成要素の接続対象となる情報の観点に対応する読み取り，変更，書き込み，削除を含む権限が設定された観点対応権限記憶部と、情報への接続要求の受付により、接続要求をしたユーザ情報に対応する役割をユーザ情報記憶部から取り出す役割取得部と、役割取得部が取り出した役割に設定された権限を役割権限記憶部より取り出す役割対応権限取得部と、情報への接続要求の受付により、情報の要求時の観点に対応する権限を観点対応権限記憶部より取り出す観点対応権限取得部と、役割対応権限取得部が取得した権限と、観点対応権限取得部が取得した権限との論理積を、情報に対するユーザ情報で識別されるユーザの接続権限として設定する権限設定部と、権限設定部が設定した接続権限により情報に対するユーザ情報で識別されるユーザの接続を管理する接続管理部とを備える。

上記接続管理装置において、観点の種別が異なる複数の観点対応権限記憶部を備え、観点対応権限取得部は、種別が異なる複数の観点毎に、対応する観点対応権限記憶部より複数の権限を取得し、権限設定部は、役割対応権限取得部が取得した権限と、観点対応権限取得部が取得した全ての権限との論理積を、情報に対するユーザ情報で識別されるユーザの接続権限として設定するようにしてもよい。

上記接続管理装置において、観点対応権限記憶部は、制御対象を構成する構成要素である製造設備の情報に対する、監視，保守，エンジニアリングを含む観点に対応する権限が設定されている。

上記接続管理装置において、第１の観点対応権限記憶部は、制御対象を構成する構成要素である製造設備の情報に対する、監視，保守，エンジニアリングを含む作業状態の観点に対応する権限が設定され、第２の観点対応権限記憶部は、製造設備の、立ち上げ時，通常運転時，定期点検時を含む運転状態の観点に対応する権限が設定されているようにしても良い。また、第３の観点対応権限記憶部が、製造設備の稼働時期を特定する季節情報を含む時期的情報に関する観点に対応する権限を設定しているようにしてもよい。

以上説明したことにより、本発明によれば、より容易に接続権限が管理できるという優れた効果が得られる。

図１は、本発明の実施の形態における接続管理装置の構成を示す構成図である。 図２は、ユーザ情報記憶部１０１の構成例を示す構成図である。 図３は、役割権限記憶部１０２の構成例を示す構成図である。 図４は、第１観点対応権限記憶部１０３の構成例を示す構成図である。 図５は、第２観点対応権限記憶部１０４の構成例を示す構成図である。 図６は、季節毎に権限が設定された第３観点対応権限記憶部の構成例を示す構成図である。

以下、本発明の実施の形態について図を参照して説明する。図１は、本発明の実施の形態における接続管理装置の構成を示す構成図である。この接続管理装置は、ユーザ情報記憶部１０１、役割権限記憶部１０２、第１観点対応権限記憶部１０３、第２観点対応権限記憶部１０４、役割取得部１０５、役割対応権限取得部１０６、観点対応権限取得部１０７、権限設定部１０８、接続管理部１０９、入力部１１１，表示部１１２を備える。

ユーザ情報記憶部１０１は、ユーザを識別するユーザ情報を、ユーザに対応する役割とともに記憶している。例えば、図２に示すように、ユーザＡは、役割が運転員であり、ユーザＢは、役割が保守員であり、ユーザＣは、役割がエンジニアであり、ユーザＤは、役割が管理者であることが、ユーザ情報記憶部１０１に記憶されている。

役割権限記憶部１０２は、役割毎に、読み取り，変更，書き込み，削除を含む権限が設定されている。例えば、図３に示すように、役割が運転員の場合は、読み取りが権限として設定され、役割が保守員の場合は、読み取りが権限として設定され、役割がエンジニアの場合は、読み取りおよび書き込みが権限として設定され、役割が管理者の場合、読み取り，書き込み，変更，消去が権限として設定されている。

第１観点対応権限記憶部１０３，第２観点対応権限記憶部１０４には、制御対象を構成する構成要素の接続対象となる情報の観点に対応する読み取り，変更，書き込み，削除を含む権限が設定されている。

第１観点対応権限記憶部１０３，第２観点対応権限記憶部１０４は、各々観点の種別が異なる。

実施の形態における接続管理装置は、例えば、プラントなどの制御対象を制御する制御システムで用いられ、第１観点対応権限記憶部１０３には、制御対象を構成する構成要素である製造設備の情報に対する、監視，保守，エンジニアリングを含む観点に対応する権限が設定されている。例えば、図４に示すように、第１観点対応権限記憶部１０３には、監視に対しては、読み取りが権限として設定され、保守に対しては、読み取りおよび書き込みが権限として設定され、エンジニアリングに対しては、読み取り，書き込み，変更が権限として設定されている。

また、第２観点対応権限記憶部１０４には、製造設備の、立ち上げ時，通常運転時，定期点検時を含む観点に対応する権限が設定されている。例えば、図５に示すように、第２観点対応権限記憶部１０４には、立ち上げ状態に対しては、読み取り，書き込み，変更，消去が権限として設定され、通常運転状態には、読み取りおよび書き込みが権限として設定され、定期点検状態には、読み取り，書き込み，変更が権限として設定されている。

役割取得部１０５は、情報への接続要求の受付により、接続要求をしたユーザ情報に対応する役割をユーザ情報記憶部１０１から取り出す。例えば、入力部１１１を操作することで制御システムにログオンしたユーザがユーザＡの場合、操作入力されたユーザＡの識別情報をもとに、役割取得部１０５は、役割として「運転員」をユーザ情報記憶部１０１から取り出す。

役割対応権限取得部１０６は、役割取得部１０５が取り出した役割に設定された権限を役割権限記憶部１０２より取り出す。例えば、制御システムにログオンしたユーザがユーザＡの場合、役割取得部１０５が「運転員」を取り出しているので、役割対応権限取得部１０６は、権限として読み取りを役割権限記憶部１０２より取り出す。

観点対応権限取得部１０７は、情報への接続要求の受付により、情報の要求時の観点に対応する権限を、第１観点対応権限記憶部１０３，第２観点対応権限記憶部１０４より取り出す。観点対応権限取得部１０７は、種別が異なる複数の観点毎に、対応する観点対応権限記憶部より複数の権限を取得する。

例えば、制御システムにログオンしたユーザによる要求が、「保守」の場合、観点対応権限取得部１０７は、権限として読み取りおよび書き込みを第１観点対応権限記憶部１０３より取り出す。また、例えば、制御システムにログオンしたユーザによる要求の対象となる設備の運転状態が「通常運転」の場合、観点対応権限取得部１０７は、権限として読み取りおよび書き込みを第２観点対応権限記憶部１０４より取り出す。

権限設定部１０８は、役割対応権限取得部１０６が取得した権限と、観点対応権限取得部１０７が取得した権限との論理積を、情報に対するユーザ情報で識別されるユーザの接続権限として設定する。例えば、制御システムにログオンしたユーザがユーザＡで、要求が「保守」であり、対象設備の運転状態が「通常運転」の場合、役割対応権限取得部１０６が取得した権限は、［読み取り］であり、観点対応権限取得部１０７が取得した権限は、［読み取り、書き込み］と［読み取り、書き込み］である。この場合、権限設定部１０８は、［読み取り］、［読み取り、書き込み］、および［読み取り、書き込み］の論理積である［読み取り］を、対象設備の情報に対するユーザＡの接続権限として設定する。

接続管理部１０９は、権限設定部１０８が設定した接続権限により情報に対するユーザ情報で識別されるユーザの接続を管理する。例えば、上述したように、権限設定部１０８が読み取りを権限として設定している場合、接続管理部１０９は、対象となる設備情報について、閲覧のみが可能な状態で、表示部１１２に表示する。

また、制御システムにログオンしたユーザがユーザＣの場合、役割はエンジニアであり（図２）、この役割に対する権限は読み取りおよび書き込みである（図３）。これに対し、作業状態として「監視」が要求されると、作業状態が立ち上げ時であっても、［読み取り、書き込み］、［読み取り］、［読み取り，書き込み，変更，消去］の論理積である［読み取り］が、対象設備の情報に対するユーザＣの接続権限として設定されることになる。

以上に説明したように、本発明では、役割権限記憶部には、役割毎に、読み取り，変更，書き込み，削除を含む権限を設定し、観点対応権限記憶部には、制御対象を構成する構成要素の接続対象となる情報の観点に対応する読み取り，変更，書き込み，削除を含む権限を設定し、各権限の論理積で対象情報への接続権限を設定するようにした。

上述した本発明では、観点毎に種類を可変に増減して権限設定を構成すればよく、全ての組み合わせを予め用意しておく必要が無い。例えば、前述した実施の形態の構成に、省エネルギーに関連して季節毎の時期的情報に関する観点を加えたい場合、図６に示すように、季節毎に権限が設定された第３観点対応権限記憶部を定義するだけで良い。この結果、本発明によれば、権限の設定対象を多くすることがなく、管理すべき権限対象の項目を増加させることなく、より容易にアクセス権限が管理できるようになる。

なお、本発明は以上に説明した実施の形態に限定されるものではなく、本発明の技術的思想内で、当分野において通常の知識を有する者により、多くの変形および組み合わせが実施可能であることは明白である。

１０１…ユーザ情報記憶部、１０２…役割権限記憶部、１０３…第１観点対応権限記憶部、１０４…第２観点対応権限記憶部、１０５…役割取得部、１０６…役割対応権限取得部、１０７…観点対応権限取得部、１０８…権限設定部、１０９…接続管理部、１１１…入力部、１１２…表示部。

Claims (5)

1. ユーザを識別するユーザ情報が前記ユーザに対応する役割とともに記憶されたユーザ情報記憶部と、
   前記役割毎に、読み取り，変更，書き込み，削除を含む権限が設定された役割権限記憶部と、
   制御対象を構成する構成要素の接続対象となる情報の観点に対応する読み取り，変更，書き込み，削除を含む権限が設定された観点対応権限記憶部と、
   情報への接続要求の受付により、前記接続要求をしたユーザ情報に対応する役割を前記ユーザ情報記憶部から取り出す役割取得部と、
   前記役割取得部が取り出した役割に設定された権限を前記役割権限記憶部より取り出す役割対応権限取得部と、
   前記情報への前記接続要求の受付により、前記情報の要求時の観点に対応する権限を前記観点対応権限記憶部より取り出す観点対応権限取得部と、
   前記役割対応権限取得部が取得した権限と、前記観点対応権限取得部が取得した権限との論理積を、前記情報に対する前記ユーザ情報で識別されるユーザの接続権限として設定する権限設定部と、
   前記権限設定部が設定した接続権限により前記情報に対する前記ユーザ情報で識別されるユーザの接続を管理する接続管理部と
   を備えることを特徴とする接続管理装置。
2. 請求項１記載の接続管理装置において、
   観点の種別が異なる複数の前記観点対応権限記憶部を備え、
   前記観点対応権限取得部は、種別が異なる複数の観点毎に、対応する前記観点対応権限記憶部より複数の権限を取得し、
   前記権限設定部は、前記役割対応権限取得部が取得した権限と、前記観点対応権限取得部が取得した全ての権限との論理積を、前記情報に対する前記ユーザ情報で識別されるユーザの接続権限として設定する
   ことを特徴とする接続管理装置。
3. 請求項１記載の接続管理装置において、
   前記観点対応権限記憶部は、前記制御対象を構成する構成要素である製造設備の情報に対する、監視，保守，エンジニアリングを含む観点に対応する権限が設定されている
   ことを特徴とする接続管理装置。
4. 請求項２記載の接続管理装置において、
   第１の観点対応権限記憶部は、前記制御対象を構成する構成要素である製造設備の情報に対する、監視，保守，エンジニアリングを含む作業状態の観点に対応する権限が設定され、
   第２の観点対応権限記憶部は、前記製造設備の、立ち上げ時，通常運転時，定期点検時を含む運転状態の観点に対応する権限が設定されている
   ことを特徴とする接続管理装置。
5. 請求項４記載の接続管理装置において、
   第３の観点対応権限記憶部は、前記製造設備の稼働時期を特定する季節情報を含む時期的情報に関する観点に対応する権限が設定されている
   ことを特徴とする接続管理装置。

Images