JP2016200993A - リモート監視システムおよびソフトウェア管理装置 - Google Patents

Abstract

【課題】発電プラントの監視制御用のソフトウェアが装置間で送受信されて利用される場合に、発電プラントのセキュリティを向上させる。
【解決手段】一の実施形態によれば、リモート監視システムは、発電プラントを監視、制御する監視制御装置と、発電プラントを監視制御装置を介して監視、制御するリモート接続装置と、リモート接続装置が監視制御装置に接続するための接続ソフトウェアを管理する管理装置とを備える。管理装置は、リモート接続装置に接続ソフトウェアを送信するソフトウェア管理部と、リモート接続装置と監視制御装置との接続の可否を判断する接続管理部とを備える。リモート接続装置は、管理装置から接続ソフトウェアを受信し、接続ソフトウェアにより監視制御装置に接続を要求する。監視制御装置は、リモート接続装置から接続を要求された場合に、接続管理部に接続の可否を問い合わせ、接続管理部からの応答に応じて接続の可否を決定する。
【選択図】図１

Description

本発明の実施形態は、リモート監視システムおよびソフトウェア管理装置に関する。

発電プラントの運転状況は、中央操作室内に設置されたＰＣ（Personal Computer）で監視することができる。また、発電プラントの運転は、中央操作室内のＰＣから発電プラント内の機器に指令を出すことで操作することができる。しかしながら、発電プラントを監視および操作する装置を、中央操作室内のＰＣに固定しない要求が高まっている。例えば、発電プラントの運転状況を運転員の自席のＰＣに表示したり、発電プラントのフィールド内でモバイル端末などの操作端末の画面を確認しながら、発電プラントの運転状況を把握したりすることが望まれている。

特開２００６−１９０１３６号公報

発電プラントのフィールド内で操作端末により機器を操作する場合、次のような問題が起こり得る。第１に、中央操作室内のＰＣとフィールド内の端末で同じ操作が重複して行われる可能性や、中央操作室内のＰＣとフィールド内の端末で異なる操作が同時に行われる可能性がある。第２に、操作端末を持ち運び可能なことから、端末の盗難や、端末内のソフトウェアの盗難のおそれがある。第３に、悪意を持ったユーザが中央操作室側で望ましくない操作を行う可能性がある。

例えば、発電プラントの監視制御用のソフトウェアを操作端末にダウンロードして利用するシステムが考えられる。この場合、このソフトウェアをだれもがダウンロードできると、このソフトウェアを悪意を持ったユーザが利用することや、このソフトウェアにより発電プラントが望ましくないタイミングで操作されることが問題となり得る。また、このソフトウェアが別の機器にコピーされて、発電プラントを別の機器から操作されることが問題となり得る。

そこで、本発明は、発電プラントの監視制御用のソフトウェアが装置間で送受信されて利用される場合に、発電プラントのセキュリティを向上させることが可能なリモート監視システムおよびソフトウェア管理装置を提供することを課題とする。

一の実施形態によれば、リモート監視システムは、発電プラントを監視および制御する監視制御装置と、前記発電プラントを前記監視制御装置を介して監視および制御するリモート接続装置と、前記リモート接続装置が前記監視制御装置に接続するための接続ソフトウェアを管理するソフトウェア管理装置とを備える。前記ソフトウェア管理装置は、前記リモート接続装置にネットワークを介して前記接続ソフトウェアを送信するソフトウェア管理部と、前記リモート接続装置と前記監視制御装置との接続の可否を判断する接続管理部とを備える。前記リモート接続装置は、前記ソフトウェア管理装置から前記ネットワークを介して前記接続ソフトウェアを受信する受信部を備え、前記接続ソフトウェアにより前記監視制御装置に接続を要求する。前記監視制御装置は、前記リモート接続装置から前記接続ソフトウェアにより接続を要求された場合に、前記接続管理部に接続の可否を問い合わせ、前記接続管理部からの応答に応じて前記リモート接続装置の接続の可否を決定する接続部を備える。

第１実施形態のリモート監視システムの構成を示す概略図である。 第２実施形態のリモート監視システムの構成を示す概略図である。 第２実施形態のソフトウェア管理装置の動作を示すフローチャートである。 第２実施形態の監視制御装置の動作を示すフローチャートである。 第３実施形態のリモート監視システムの構成を示す概略図である。 第３実施形態の変形例のリモート監視システムの構成を示す概略図である。 第４実施形態のリモート監視システムの構成を示す概略図である。 第４実施形態の変形例のリモート監視システムの構成を示す概略図である。 第５実施形態のリモート監視システムの構成を示す概略図である。 第６実施形態のリモート監視システムの構成を示す概略図である。

以下、本発明の実施形態を、図面を参照して説明する。

（第１実施形態）
図１は、第１実施形態のリモート監視システムの構成を示す概略図である。

図１のリモート監視システムは、ソフトウェア管理装置１と、リモート接続装置２と、監視制御装置３と、データ送信装置４と、ネットワーク５とを備えている。

監視制御装置３は、発電プラントを監視および制御するための装置である。監視制御装置３の例は、ＰＣである。監視制御装置３は例えば、発電プラントの監視用の監視画面を監視制御装置３のディスプレイに表示する。監視制御装置３のユーザは、発電プラントの運転状況を監視画面により監視することができ、発電プラントの運転を監視画面の操作により制御することができる。本実施形態の監視制御装置３は、発電プラントの中央操作室内に設置されており、発電プラント内の制御装置を介して発電プラントを監視および制御することができる。

リモート接続装置２は、発電プラントを監視制御装置３を介して監視および制御するための装置である。リモート接続装置２の例は、ＰＣや持ち運び可能な操作端末である。リモート接続装置２は例えば、監視制御装置３から転送された監視画面をリモート接続装置２のディスプレイに表示する。リモート接続装置２のユーザは、発電プラントの運転状況を監視画面により監視することができ、発電プラントの運転を監視画面の操作により制御することができる。本実施形態のリモート接続装置２は、発電プラントの中央操作室外で使用され、例えば、発電プラントのフィールド内で使用される。

ソフトウェア管理装置１は、リモート接続装置２が監視制御装置３に接続するための接続ソフトウェアを管理するための装置である。ソフトウェア管理装置１の例は、ＰＣやサーバ装置である。

ソフトウェア管理装置１と監視制御装置３とデータ送信装置４は、ネットワーク５により互いに接続されている。リモート接続装置２は、データ送信装置４を介してネットワーク５に接続される。ネットワーク５の例は、有線ＬＡＮ（Local Area Network）である。データ送信装置４の例は、発電プラントのフィールド内に設置されたネットワークハブである。リモート接続装置２は例えば、データ送信装置４にＬＡＮケーブルにより有線接続される。

［ソフトウェア管理装置１］
ソフトウェア管理装置１は、ソフトウェア管理部１１と、ソフトウェア格納部１２と、接続管理部１３とを備えている。

ソフトウェア格納部１２には、接続ソフトウェアが格納されている。ソフトウェア管理部１１は、ソフトウェア格納部１２内の接続ソフトウェアを管理するブロックである。ソフトウェア管理部１１は、リモート接続装置２にネットワーク５を介して接続ソフトウェアを送信する。接続管理部１３は、リモート接続装置２と監視制御装置３との接続を管理するブロックである。接続管理部１３は、監視制御装置３からリモート接続装置２の接続の可否の問い合わせを受けた場合に、リモート接続装置２と監視制御装置３との接続の可否を判断し、監視制御装置３に接続の可否の判断結果を応答する。

［リモート接続装置２］
リモート接続装置２は、受信部の例であるデータ受信部２１と、ソフトウェアダウンロード部２２と、ソフトウェア保持部２３とを備えている。

ソフトウェアダウンロード部２２は、データ送信装置４およびネットワーク５を介してソフトウェア管理装置１（ソフトウェア管理部１１）にアクセスし、ソフトウェア管理装置１から接続ソフトウェアをダウンロードする。接続ソフトウェアは、ネットワーク５およびデータ送信装置４を介してデータ受信部２１により受信され、ソフトウェア格納部２３内に一時的に保持される。

リモート接続装置２のユーザは、接続ソフトウェアを起動させ、接続ソフトウェアにより監視制御装置３へのアクセスを開始することができる。この際、リモート接続装置２内の接続ソフトウェアは、リモート接続装置２と監視制御装置３との接続を監視制御装置３に要求する。

［監視制御装置３］
監視制御装置３は、接続部の例である接続待ち受け部３１を備えている。

接続待ち受け部３１は、リモート接続装置２からの接続を待ち受けるブロックである。接続待ち受け部３１は、リモート接続装置２から接続ソフトウェアにより接続を要求された場合に、ソフトウェア管理装置１（接続管理部１３）に接続の可否を問い合わせる。そして、接続待ち受け部３１は、ソフトウェア管理装置１からの応答に応じてリモート接続装置２の接続の可否を決定する。

次に、図１のリモート監視システムの動作を詳細に説明する。

リモート接続装置２がデータ送信装置４に接続された後、ソフトウェアダウンロード部２２は、データ送信装置４およびネットワーク５を介してソフトウェア管理部１１にアクセスする。そして、ソフトウェアダウンロード部２２は、ソフトウェア管理装置１から接続ソフトウェアをダウンロードする（ステップＳ１）。接続ソフトウェアは、データ受信部２１により受信され、ソフトウェア格納部２３内に一時的に保持される。

次に、リモート接続装置２は、接続ソフトウェアによりデータ送信装置４およびネットワーク５を介して接続待ち受け部３１にアクセスする。そして、リモート接続装置２は、接続ソフトウェアにより接続待ち受け部３１に接続を要求する（ステップＳ２）。

接続待ち受け部３１は、リモート接続装置２内の接続ソフトウェアから接続を要求されると、この接続が許可されているかどうかを接続管理部１３に問い合わせる（ステップＳ３）。この場合、接続管理部１３は、リモート接続装置２と監視制御装置３との接続が許可されているかどうかを判断し、監視制御装置３にこの判断結果を応答する。接続待ち受け部３１は、接続管理部１３からの応答に従って接続を許可または拒否する。

例えば、リモート接続装置２は、監視制御装置３への接続を許可された場合には、監視制御装置３から転送された監視画面により発電プラントを監視および制御することが可能となる。一方、リモート接続装置２は、監視制御装置３への接続を拒否された場合には、監視画面により発電プラントを監視および制御することが許可されない。

なお、ソフトウェア管理部１１は、ソフトウェアダウンロード部２２から接続ソフトウェアのダウンロードを要求された場合、このダウンロードの可否を接続管理部１３に問い合わせてもよい（ステップＳ４）。この場合、接続管理部１３は、接続ソフトウェアのダウンロードの可否を判断し、ソフトウェア管理部１１にこの判断結果を応答する。ソフトウェア管理部１１は、接続管理部１３からの応答に従って、接続ソフトウェアのダウンロードをソフトウェアダウンロード部２２に許可または拒否する。ソフトウェアダウンロード部２２は、ダウンロードが許可された場合のみ接続ソフトウェアをダウンロードすることができる。

（第１実施形態の効果）
以上のように、本実施形態では、リモート接続装置２と監視制御装置３との接続の可否をソフトウェア管理装置１が判断する。よって、本実施形態によれば、接続ソフトウェアにより監視制御装置３を利用可能なリモート接続装置２を制限することが可能となる。例えば、監視制御装置３を利用可能なユーザ、位置、時間、回数などを制限することが可能となる。よって、本実施形態によれば、接続ソフトウェアが装置間で送受信されて利用される場合において、発電プラントのセキュリティを向上させることが可能となる。なお、監視制御装置３を利用制限の具体的については、後述する。

また、本実施形態によれば、リモート接続装置２と監視制御装置３との接続の可否を、ソフトウェア管理装置１が統括的に判断することが可能となる。これは例えば、本実施形態のリモート監視システムが、複数のリモート接続装置２を備える場合や、複数の監視制御装置３を備える場合などに有用である。

また、本実施形態では、リモート接続装置２による接続ソフトウェアのダウンロードの可否をソフトウェア管理装置１が判断する。よって、本実施形態によれば、接続ソフトウェアをダウンロード可能なリモート接続装置２を制限することが可能となる。例えば、接続ソフトウェアをダウンロード可能なユーザや位置などを制限することが可能となる。よって、本実施形態によれば、接続ソフトウェアの望ましくないダウンロードを未然に防ぐことで、発電プラントのセキュリティをさらに向上させることが可能となる。

（第２実施形態）
図２は、第２実施形態のリモート監視システムの構成を示す概略図である。

本実施形態のソフトウェア管理部１１は、接続ソフトウェアがリモート接続装置２によりダウンロードされる前に、監視制御装置３への接続を制限するための制限情報を接続ソフトウェアに埋め込む（ステップＳ５）。よって、リモート接続装置２は、制限情報が埋め込まれた接続ソフトウェアをダウンロードする。

本実施形態の制限情報は、十分に長い乱数からなるセッションキーである。本実施形態の制限情報は、監視制御装置３への接続時間と接続回数を制限するために使用され、接続ソフトウェアは、一定時間かつ一定回数のみ監視制御装置３に接続可能である。接続ソフトウェアの接続制限の判断は、接続管理部１３が行う。制限情報は、乱数以外の情報としてもよい。

接続待ち受け部３１は、ステップＳ３において、制限情報を用いて接続管理部１３に接続の可否を問い合わせる。この場合、接続管理部１３は、リモート接続装置２と監視制御装置３との接続の可否を制限情報が正当であるか否かに基づいて判断し、監視制御装置３にこの判断結果を応答する。接続待ち受け部３１は、接続管理部１３からの応答に従って接続を許可または拒否する。

図３は、第２実施形態のソフトウェア管理装置１の動作を示すフローチャートである。

ソフトウェア管理装置１内で起動したソフトウェア管理部１１は、一定時間ごとにセッションキーをランダムに生成する（ステップＳ１１、Ｓ１２）。次に、ソフトウェア管理部１１は、生成したセッションキーをソフトウェア格納部１２内の接続ソフトウェアに埋め込む。こうして、セッションキーが埋め込まれた接続ソフトウェアが生成される（ステップＳ１３）。

ソフトウェア管理部１１は、一定時間ごとにセッションキーを更新する（ステップＳ１４、Ｓ１５）。この場合、接続ソフトウェアに埋め込まれたセッションキーは、更新後のセッションキーに差し替えられる。よって、リモート接続装置２がソフトウェア管理装置１からダウンロードした接続ソフトウェアは、ある時間に生成されたセッションキーを含んでいる。リモート接続装置２は、監視制御装置３に接続を要求する際に、監視制御装置３にこのセッションキーの情報を通知する。

図４は、第２実施形態の監視制御装置３の動作を示すフローチャートである。

監視制御装置３内で起動した接続待ち受け部３１は、接続ソフトウェア（リモート接続装置２）からの接続を待機する（ステップＳ２１、Ｓ２２）。接続待ち受け部３１は、接続ソフトウェアから接続を要求されると、リモート接続装置２との接続情報からセッションキーを取り出す（ステップＳ２３）。

次に、接続待ち受け部３１は、取り出したセッションキーが正当かどうかを接続管理部１３を介してソフトウェア管理部１１に問い合わせる（ステップＳ２４）。この場合、接続管理部１３は、接続待ち受け部３１から取得したセッションキーがソフトウェア管理部１１が最後に生成したセッションキーと同一か否かの判断を、ソフトウェア管理部１１に依頼する（図３のステップＳ１５、Ｓ１６）。そして、接続管理部１３は、ソフトウェア管理部１１がこれらは同一であると回答した場合には、セッションキーは正当であると接続待ち受け部３１に応答する。一方、接続管理部１３は、ソフトウェア管理部１１がこれらは同一ではないと回答した場合には、セッションキーは正当ではないと接続待ち受け部３１に応答する。

接続待ち受け部３１は、取り出したセッションキーは正当ではないとの応答を受けた場合、接続ソフトウェアの接続は正当ではない可能性があるため、接続ソフトウェアの接続を終了する（ステップＳ２５、Ｓ２７）。

一方、接続待ち受け部３１は、取り出したセッションキーは正当であるとの応答を受けた場合、接続ソフトウェアの接続は正当であることが確認できるため、接続ソフトウェアの接続を許可する（ステップＳ２５、Ｓ２６）。その後、接続ソフトウェアは、監視制御装置３を一定時間利用することができるが、一定時間が過ぎると接続ソフトウェアの接続が終了される（ステップＳ２７）。

ソフトウェア管理部１１は、一定時間ごとにセッションキーを更新し、接続ソフトウェア内のセッションキーを差し替える（図３のＳ１５を参照）。よって、セッションキーは、一定時間の間だけ使用可能である。また、ソフトウェア管理部１１は、接続待ち受け部３１からセッションキーの問い合わせが発生した時点でセッションキーを再生成し、接続ソフトウェア内のセッションキーを差し替える（図３のＳ１５を参照）。よって、セッションキーの使用は１回に制限されており、同じセッションキーを２回以上使用することはできない。このように、本実施形態のセッションキーは、監視制御装置２への接続時間と接続回数を制限するために使用される。

なお、本実施形態では、ある接続ソフトウェアを使用して監視制御装置３に一度も接続していない場合でも、ソフトウェア管理部１１がセッションキーを更新してしまうと、その接続ソフトウェアは使用できなくなる。

（第２実施形態の効果）
以上のように、本実施形態では、監視制御装置３への接続を制限するための制限情報を接続ソフトウェアに埋め込み、リモート接続装置２と監視制御装置３との接続の可否をこの制限情報を用いて判断する。よって、本実施形態によれば、接続の可否を接続ソフトウェアに含まれる情報に基づいて判断することが可能となる。

また、本実施形態では、接続ソフトウェアの接続時間や接続回数が制限情報により制限される。そのため、本実施形態では、接続ソフトウェアをコピーしても、コピーした接続ソフトウェアはいずれ使用できなくなる。よって、本実施形態によれば、接続ソフトウェアの不正コピーを抑止することが可能となる。

また、本実施形態の制限情報は、現実的に予測不可能な情報である乱数を用いて生成される。よって、本実施形態によれば、制限情報の偽造を防止することが可能となる。

なお、本実施形態では、接続ソフトウェアの接続回数が１回に制限された制限情報について説明したが、接続ソフトウェアの接続回数はＮ回（Ｎは２以上の整数）に制限されていてよい。

（第３実施形態）
図５は、第３実施形態のリモート監視システムの構成を示す概略図である。

本実施形態のリモート接続装置２は、データ送信装置４と非接触通信方式により無線接続される。よって、リモート接続装置２のデータ受信部２１は、ステップＳ１において、データ送信装置４から非接触通信により接続ソフトウェアを受信する。また、リモート接続装置２は、ステップＳ２において、データ送信装置４との非接触通信により監視制御装置３にアクセスする。これらの非接触通信は、リモート接続装置２がデータ送信装置４から所定距離内に位置する場合に行うことが可能である。符号Ｘ１は、データ送信装置４のアクセス可能エリアを模式的に示している。データ送信装置４は、通信装置の例である。

本実施形態の非接触通信方式の例は、Ｗｉｆｉ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）、赤外線方式などである。これらの場合、データ送信装置４の通信距離は数ｃｍ以内や数ｍ以内に限られる。これらの場合、リモート接続装置２は、データ送信装置４から数ｃｍ以内または数ｍ以内に位置する場合に、データ送信装置４と非接触通信を行うことが可能である。

図６は、第３実施形態の変形例のリモート監視システムの構成を示す概略図である。

本変形例では、ネットワーク５が、管理ネットワーク６と接続ネットワーク７とに分離されている。

ソフトウェア管理装置１と監視制御装置３とデータ送信装置４は、管理ネットワーク６により互いに接続されている。リモート接続装置２は、データ送信装置４を介して管理ネットワーク６に接続される。管理ネットワーク６の例は、有線ＬＡＮである。本変形例のリモート接続装置２は、データ送信装置４と非接触通信方式により接続される。符号Ｘ１は、データ送信装置４のアクセス可能エリアを模式的に示している。本変形例のステップＳ１、Ｓ３の処理は、管理ネットワーク６を使用して行われる。

一方、本変形例のステップＳ２の処理は、接続ネットワーク７を使用して行われる。接続ネットワーク７の例は、有線ＬＡＮである。本変形例の監視制御装置３は、ＬＡＮケーブルにより接続ネットワーク７に接続されている。一方、本変形例のリモート接続装置２は、非接触通信方式により接続ネットワーク７に接続可能である。符号Ｘ２は、この非接触通信のアクセス可能エリアを模式的に示している。

本変形例では、エリアＸ２は、エリアＸ１よりも広く設定されている。よって、ステップＳ２の非接触通信の際のリモート接続装置２の通信距離は、ステップＳ１の非接触通信の際のリモート接続装置２の通信距離よりも長くなる。

管理ネットワーク６は、接続ソフトウェアのダウンロード用に使用される。この場合の非接触通信では、一般に接続の安定性や通信のスピードよりも通信のセキュリティが求められる。そのため、エリアＸ１は狭いことが望ましい。一方、接続ネットワーク７は、発電プラントの監視および制御用に使用される。この場合の非接触通信では、一般に接続の安定性や通信のスピードが求められる。そのため、エリアＸ２は広いことが望ましい。よって、本変形例では、エリアＸ２がエリアＸ１よりも広く設定されている。これにより、発電プラントの監視や制御の際の接続の信頼性や通信のスピードを向上させることが可能となる。

（第３実施形態の効果）
以上のように、本実施形態のリモート接続装置２は、データ送信装置４から非接触通信により接続ソフトウェアを受信する。よって、本実施形態によれば、接続ソフトウェアを取得可能なリモート接続装置２を、データ送信装置４との非接触通信が可能な位置にあるリモート接続装置２に限定することが可能となる。

（第４実施形態）
図７は、第４実施形態のリモート監視システムの構成を示す概略図である。

本実施形態のデータ送信装置４は、データ送信装置４の位置情報が格納された位置情報格納部４１を備えている。位置情報は、データ送信装置４が配置された位置を示す情報である。位置情報の例は、データ送信装置４が配置された建屋やフロアの情報や、データ送信装置４のＩＰアドレスなどである。

ソフトウェア管理装置１は、複数の接続ソフトウェアが格納された複数のソフトウェア格納部１２ａ〜１２ｃを備えている。ソフトウェア格納部１２ａ〜１２ｃは、異なるストレージでもよいし、同じストレージ内の異なる領域でもよい。また、これらの接続ソフトウェアは、異なる種類のソフトウェアでもよいし、異なる情報が付与された同じ種類のソフトウェアでもよい。以下、ソフトウェア格納部１２ａ〜１２ｃ内の接続ソフトウェアをそれぞれ、第１から第３の接続ソフトウェアと呼ぶ。

ソフトウェア管理部１１は、ステップＳ１において接続ソフトウェアをリモート接続装置２に送信する前に、リモート接続装置２が接続されているデータ送信装置４の位置情報を取得する（ステップＳ６）。ソフトウェア管理部１１が位置情報を取得する処理は、プル型でもプッシュ型でもよい。

ソフトウェア管理部１１は、データ送信装置４の位置情報を取得すると、ソフトウェア格納部１２ａ〜１２ｃの中から、この位置情報に対応するソフトウェア格納部１２を選択する。そして、ソフトウェア管理部１１は、選択したソフトウェア格納部１２内の接続ソフトウェアをリモート接続装置２に送信する。例えば、位置情報がソフトウェア格納部１２ａに対応している場合には、ソフトウェア格納部１２ａ内の第１の接続ソフトウェアが送信される。

本実施形態の監視制御装置３は、第１から第３の接続ソフトウェアに異なるサービスを提供する。例えば、監視制御装置３は、発電プラント内のボイラの操作を第１の接続ソフトウェアのみに許可し、発電プラント内のポンプの操作を第２の接続ソフトウェアのみに許可する。

なお、データ送信装置４は、データ送信装置４の位置を示す位置情報の代わりに、データ送信装置４を識別するための識別情報を有していてもよい。この場合、ソフトウェア管理部１１は、データ送信装置４から識別情報を取得し、識別情報に基づいて接続ソフトウェアを選択する。

図８は、第４実施形態の変形例のリモート監視システムの構成を示す概略図である。

本変形例のリモート監視システムは、ネットワーク５に接続された複数のデータ送信装置４ａ〜４ｃを備えている。データ送信装置４ａ〜４ｃはそれぞれ、データ送信装置４ａ〜４ｃの位置情報が格納された位置情報格納部４１ａ〜４１ｃを備えている。

ソフトウェア管理部１１は、ステップＳ６においてデータ送信装置４ａの位置情報を取得すると、ソフトウェア格納部１２ａ内の第１の接続ソフトウェアを送信する。また、ソフトウェア管理部１１は、データ送信装置４ｂの位置情報を取得すると、ソフトウェア格納部１２ｂ内の第２の接続ソフトウェアを送信する。また、ソフトウェア管理部１１は、データ送信装置４ｃの位置情報を取得すると、ソフトウェア格納部１２ｃ内の第３の接続ソフトウェアを送信する。

（第４実施形態の効果）
一般的な発電プラントは、様々な種類の機器を備えており、中央操作室はプラント全体を監視および制御している。一方、機器の動作確認など、プラント内の特定の機器の近くで運転員が機器を実際に見ながら機器の監視や操作を行いたい場合もある。この場合、運転員の端末（リモート接続装置２）に中央操作室の装置（監視制御装置３）と同じ機能を提供すると、運転員が、誤って別の機器を操作したり、誤って別の機能を使ってしまったりする可能性がある。

一方、本実施形態では、リモート接続装置２が接続されたデータ送信装置４の位置情報に基づいて、リモート接続装置２に提供する接続ソフトウェアを選択する。よって、本実施形態では例えば、データ送信装置４がボイラ付近にある場合には、このデータ送信装置４に接続されたリモート接続装置２にボイラの操作のみを許可することが可能となる。よって、本実施形態によれば、運転員が誤って別の機器を操作したり誤って別の機能を使うことを防止することが可能となり、リモート接続装置２を使用して安全かつ効率的に発電プラントを監視および制御することが可能となる。

（第５実施形態）
図９は、第５実施形態のリモート監視システムの構成を示す概略図である。

本実施形態のリモート監視システムは、図７に示す構成要素に加えて、リモート接続装置２に設けられた装置情報格納部２４を備えている。装置情報格納部２４には、リモート接続装置２の識別情報である装置情報（ハードウェア情報）が格納されている。ステップＳ７は、装置情報格納部２４から装置情報を読み出す処理を示している。

ソフトウェアダウンロード部２２は、ステップＳ１において接続ソフトウェアのダウンロードをソフトウェア管理装置１に要求する際に、リモート接続装置２の装置情報をソフトウェア管理装置１に送信する（ステップＳ８）。ソフトウェア管理部１１は、この要求に応じて接続ソフトウェアをリモート接続装置２に送信する。その後、ソフトウェア管理部１１は、この接続ソフトウェアを送信したリモート接続装置２の装置情報を、この接続ソフトウェアに埋め込まれたセッションキーと共に記録しておく。

次に、リモート接続装置２は、接続ソフトウェアにより監視制御装置３に接続を要求する。この際、接続ソフトウェアから監視制御装置３に、リモート接続装置２の装置情報と上述のセッションキーが提供される（ステップＳ９）。

次に、接続待ち受け部３１は、これらの装置情報およびセッションキーが正当かどうかを接続管理部１３を介してソフトウェア管理部１１に問い合わせる。この場合、接続管理部１３は、接続待ち受け部３１から取得した装置情報およびセッションキーが、記録された装置情報およびセッションキーと同一か否かの判断を、ソフトウェア管理部１１に依頼する。そして、接続管理部１３は、ソフトウェア管理部１１がこれらは同一であると回答した場合には、装置情報およびセッションキーは正当であると接続待ち受け部３１に応答する。一方、接続管理部１３は、ソフトウェア管理部１１がこれらは同一ではないと回答した場合には、装置情報およびセッションキーは正当ではないと接続待ち受け部３１に応答する。取得した装置情報およびセッションキーの少なくとも一方が、記録された装置情報およびセッションキーと異なる場合には、これらは同一ではないと判断される。

接続待ち受け部３１は、装置情報およびセッションキーは正当であるとの応答を受けた場合、接続ソフトウェアの接続を許可する。その後、接続ソフトウェアは、監視制御装置３を一定時間利用することができる。一方、接続待ち受け部３１は、装置情報およびセッションキーは正当ではないとの応答を受けた場合、接続ソフトウェアの接続を終了する。

装置情報の例は、リモート接続装置２のＭＡＣアドレスやシリアル番号である。装置情報の別の例は、リモート接続装置２のクライアント証明書である。後者の場合、ソフトウェア管理装置１内で証明書の確認を行うことで、装置情報の安全性を高めることが可能となる。

（第５実施形態の効果）
以上のように、本実施形態によれば、リモート接続装置２と監視制御装置３との接続の可否を、制限情報（セッションキー）だけでなく装置情報を用いて判断する。よって、本実施形態によれば、監視制御装置３を利用可能なリモート接続装置２を効果的に制限することが可能となり、発電プラントのセキュリティをさらに向上させることが可能となる。

（第６実施形態）
図１０は、第６実施形態のリモート監視システムの構成を示す概略図である。

本実施形態のリモート監視システムは、図９に示す構成要素に加えて、リモート接続装置２に設けられたユーザ情報格納部２５を備えている。ユーザ情報格納部２５には、リモート接続装置２のユーザの情報であるユーザ情報を格納可能である。ユーザ情報の例は、ユーザのＩＤおよびパスワードである。ユーザ情報の別の例は、ユーザの指紋などの生体認証情報である。本実施形態の接続管理部１３は、リモート接続装置２と監視制御装置３との所定の接続を所定のユーザのみに許可する。

リモート接続装置２は、接続ソフトウェアが起動すると、リモート接続装置２のディスプレイにユーザ情報の入力画面を表示する。リモート接続装置２のユーザは、この入力画面上でユーザ情報を入力することができる。このユーザ情報は、ユーザ情報格納部２５に格納される。

次に、リモート接続装置２は、接続ソフトウェアにより監視制御装置３に接続を要求する。この際、接続ソフトウェアから監視制御装置３に、リモート接続装置２の装置情報、入力画面で入力されたユーザ情報、および上述のセッションキーが提供される（ステップＳ１０）。

次に、接続待ち受け部３１は、これらの装置情報、ユーザ情報、およびセッションキーが正当かどうかを接続管理部１３を介してソフトウェア管理部１１に問い合わせる。この場合、接続管理部１３は、接続待ち受け部３１から取得した装置情報、ユーザ情報、およびセッションキーが、記録された装置情報、ユーザ情報、およびセッションキーと同一か否かの判断を、ソフトウェア管理部１１に依頼する。そして、接続管理部１３は、ソフトウェア管理部１１がこれらは同一であると回答した場合には、装置情報、ユーザ情報、およびセッションキーは正当であると接続待ち受け部３１に応答する。一方、接続管理部１３は、ソフトウェア管理部１１がこれらは同一ではないと回答した場合には、装置情報、ユーザ情報、およびセッションキーは正当ではないと接続待ち受け部３１に応答する。取得した装置情報、ユーザ情報、およびセッションキーの少なくとも一方が、記録された装置情報、ユーザ情報、およびセッションキーと異なる場合には、これらは同一ではないと判断される。

接続待ち受け部３１は、装置情報、ユーザ情報、およびセッションキーは正当であるとの応答を受けた場合、接続ソフトウェアの接続を許可する。その後、接続ソフトウェアは、監視制御装置３を一定時間利用することができる。一方、接続待ち受け部３１は、装置情報、ユーザ情報、およびセッションキーは正当ではないとの応答を受けた場合、接続ソフトウェアの接続を終了する。

なお、ソフトウェア管理部１１は、ユーザ情報を装置情報およびセッションキーと共に記録しておいてもよいし、ユーザ情報を装置情報およびセッションキーと別々に記録しておいてもよい。

（第６実施形態の効果）
以上のように、本実施形態によれば、リモート接続装置２と監視制御装置３との接続の可否を、制限情報（セッションキー）だけでなくユーザ情報を用いて判断する。よって、本実施形態によれば、監視制御装置３を利用可能なユーザを効果的に制限することが可能となり、発電プラントのセキュリティをさらに向上させることが可能となる。例えば、本実施形態によれば、所定のユーザのみに所定の機能を利用可能とすることで、機器の誤操作を防止することや、悪意を持ったユーザによる望ましくない操作を防止することが可能となる。

以上、いくつかの実施形態を説明したが、これらの実施形態は、例としてのみ提示したものであり、発明の範囲を限定することを意図したものではない。本明細書で説明した新規なシステムおよび装置は、その他の様々な形態で実施することができる。また、本明細書で説明したシステムおよび装置の形態に対し、発明の要旨を逸脱しない範囲内で、種々の省略、置換、変更を行うことができる。添付の特許請求の範囲およびこれに均等な範囲は、発明の範囲や要旨に含まれるこのような形態や変形例を含むように意図されている。

１：ソフトウェア管理装置、２：リモート接続装置、
３：監視制御装置、４、４ａ、４ｂ、４ｃ：データ送信装置、５：ネットワーク、
６：管理ネットワーク、７：接続ネットワーク、１１：ソフトウェア管理部、
１２、１２ａ、１２ｂ、１２ｃ：ソフトウェア格納部、１３：接続管理部、
２１：データ受信部、２２：ソフトウェアダウンロード部、
２３：ソフトウェア保持部、２４：装置情報格納部、２５：ユーザ情報格納部、
３１：接続待ち受け部、４１、４１ａ、４１ｂ、４１ｃ：位置情報格納部

Claims (7)

1. 発電プラントを監視および制御する監視制御装置と、前記発電プラントを前記監視制御装置を介して監視および制御するリモート接続装置と、前記リモート接続装置が前記監視制御装置に接続するための接続ソフトウェアを管理するソフトウェア管理装置とを備え、
   前記ソフトウェア管理装置は、前記リモート接続装置にネットワークを介して前記接続ソフトウェアを送信するソフトウェア管理部と、前記リモート接続装置と前記監視制御装置との接続の可否を判断する接続管理部とを備え、
   前記リモート接続装置は、前記ソフトウェア管理装置から前記ネットワークを介して前記接続ソフトウェアを受信する受信部を備え、前記接続ソフトウェアにより前記監視制御装置に接続を要求し、
   前記監視制御装置は、前記リモート接続装置から前記接続ソフトウェアにより接続を要求された場合に、前記接続管理部に接続の可否を問い合わせ、前記接続管理部からの応答に応じて前記リモート接続装置の接続の可否を決定する接続部を備える、
   リモート監視システム。
2. 前記ソフトウェア管理部は、前記リモート接続装置に前記接続ソフトウェアを送信する前に、前記接続管理部に送信の可否を問い合わせ、前記接続管理部からの応答に応じて前記接続ソフトウェアの送信の可否を決定する、請求項１に記載のリモート監視システム。
3. 前記ソフトウェア管理部は、前記監視制御装置への接続を制限するための制限情報を有する前記接続ソフトウェアを前記リモート接続装置に送信し、
   前記接続部は、前記制限情報を用いて前記接続管理部に接続の可否を問い合わせ、前記接続管理部からの応答に応じて前記リモート接続装置の接続の可否を決定する、
   請求項１または２に記載のリモート監視システム。
4. 前記受信部は、前記ネットワークに接続された通信装置から非接触通信により前記接続ソフトウェアを受信し、前記リモート接続装置が前記通信装置から所定距離内に位置する場合に前記非接触通信を行うことが可能である、請求項１から３のいずれか１項に記載のリモート監視システム。
5. 前記リモート接続装置は、前記ソフトウェア管理装置から前記接続ソフトウェアを取得する前に、前記リモート接続装置の識別情報である装置情報を前記ソフトウェア管理装置に送信し、
   前記リモート接続装置は、前記接続ソフトウェアにより前記監視制御装置に接続を要求するときに、前記装置情報を前記監視制御装置に提供し、
   前記接続部は、前記装置情報を用いて前記接続管理部に接続の可否を問い合わせ、前記接続管理部からの応答に応じて前記リモート監視装置の接続の可否を決定する、
   請求項１から４のいずれか１項に記載のリモート監視システム。
6. 前記リモート接続装置は、前記接続ソフトウェアにより前記監視制御装置に接続を要求するときに、前記リモート接続装置のユーザの情報であるユーザ情報を前記監視制御装置に送信し、
   前記接続部は、前記ユーザ情報を用いて前記接続管理部に接続の可否を問い合わせ、前記接続管理部からの応答に応じて前記リモート接続装置の接続の可否を決定する、
   請求項１から５のいずれか１項に記載のリモート監視システム。
7. 発電プラントを監視制御装置を介して監視および制御するリモート接続装置が前記監視制御装置に接続するための接続ソフトウェアを管理し、前記リモート接続装置にネットワークを介して前記接続ソフトウェアを送信するソフトウェア管理部と、
   前記監視制御装置から前記リモート接続装置の接続の可否の問い合わせを受けた場合に、前記リモート接続装置と前記監視制御装置との接続の可否を判断し、前記監視制御装置に接続の可否の判断結果を応答する接続管理部と、
   を備えるソフトウェア管理装置。

Images