JP2017191958A - 冗長管理システム、冗長切り替え方法、および冗長切り替えプログラム - Google Patents

Abstract

【課題】制御システムにおける外部からの進入や攻撃によって影響が与えられた状態を戻しながら制御を継続する。【解決手段】冗長構成の管理制御端末が、センサから取得される計測結果を示す計測結果情報に基づき、制御対象に対する制御に設定する制御設定情報を生成し、論理制御装置が、制御設定情報に基づいて制御対象を制御する。セキュリティゲートウェイは、管理制御端末が送受信する信号から計測結果情報および制御設定情報を取り出す。セキュリティサーバは、取り出された計測結果情報および制御設定情報を蓄積し、計測結果情報および制御設定情報に基づいて、稼働系の管理制御端末に関連する異常を検知し、稼働系の管理制御端末の異常な動作が始まった時点である異常動作開始時点を特定し、異常動作開始時点以前の制御設定情報を用いて制御対象の制御を引き継ぐように、稼働系の管理制御端末と待機系の管理制御端末の切り替えを実施する。【選択図】図１

Description

本発明は、制御システムに適用されるセキュリティ対策に関する。

近年、モノのインターネットと呼ばれるＩｏＴ（Ｉｎｔｅｒｎｅｔ ｏｆ Ｔｈｉｎｇｓ）技術を活用する動きが広まっている。例えば、重要インフラや産業制御システム（ＩＣＳ： Ｉｎｄｕｓｔｒｉａｌ Ｃｏｎｔｒｏｌ Ｓｙｓｔｅｍ）において制御対象であるフィールド機器（モータ、ポンプ、発電機）などを制御するのにＩｏＴ技術が利用できる。また、フィールド機器に設置されて周囲の状況を観測するセンサーにより計測されるデータをネットワーク経由で取得することにより、稼働中の機器あるいはシステムの監視、保守、および運用を効率化できる。

これまで一般に制御システムは独立したネットワークと専用のコントローラで構成されていた。しかし、ＩｏＴの活用に伴って制御システムのオープン化が進んでいる。例えば、制御システムを企業内のネットワークに接続した構成が採用される始めている。その場合、通信プロトコルとしては、インターネットあるいはイントラネットで利用されているＴＣＰ／ＩＰが利用されている。また、制御システムにおいて、制御、監視、および管理にコントローラとして利用されるコンピュータに、一般的な情報処理システムで用いられているような汎用のオペレーティングシステムが採用され始めている。

また、そのため、重要インフラや産業制御システムにおいて、セキュリティ上あらたな問題事例が起き、脆弱性が指摘されている。例えば、外部から持ち込まれた可搬型のストレージからコンピュータウィルスが制御システムに不正侵入するという事例が起きている。また、外部から持ち込まれたノートパソコンから制御システムに対して悪意のある攻撃が行われるという事例が発生している。

上述のような制御システムの脆弱性に対する対策が求められている。例えば、制御システムへの侵入あるいは制御システムに対する攻撃などが発生した場合、システムに発生した異常あるいはシステムに対する攻撃を迅速に検知し、セキュリティ上の対策を実行することが求められる。

特許文献１には、制御システムにおいてセキュリティ上の異常を検出した場合の処理に関する技術が開示されている。特許文型１に記載の技術は、産業制御システムが外部から悪意のある攻撃を受けた場合に、ネットワーク上で該当システムを外部のシステムから切り離すというものである。

また、非特許文献１には、情報処理システムにおいてネットワークとの境界部分に設置され、外部ネットワークから内部ネットワークへの侵入あるいは攻撃を検知してトラヒックを遮断する機能を持ったＩＤＳ／ＩＰＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ／Ｐｒｅｖｅｎｔｉｏｎ Ｓｙｓｔｅｍ）について述べられている。

特開２０１２−２２６５０８号公報

日経ＮＥＴＷＯＲＫ２０１３年０２月号、日経ＢＰ社、２０１３年１月２８日発行、「ネットワークセキュリティ」（０７６ｐ）

一般の情報処理システムにおけるセキュリティの分野では、機密性（Ｃｏｎｆｉｄｅｎｔｉａｌｉｔｙ）、一貫性、および可用性が重視される。機密性は、情報へのアクセスを許可された人だけに限定することである。一貫性は、情報が改竄されていないことを保障することである。可用性は、必要な時点で情報にアクセスできることを保証することである。特に、個人情報が外部に漏洩したり、企業活動の技術情報や営業上などが漏洩したりすると大きな被害が生じるため、機密性の保持が最も重要視される。

一方、産業制御システムのセキュリティでは、一般的な情報処理システムとは異なる点も重視される。具体的には、制御対象となっているフィールド機器の安全性の確保が非常に重視される。

これは、産業制御システムには、モータ、油圧装置、エンジンなどの駆動装置、高温あるいは高圧になる設備など、制御対象となるフィールド機器が暴走したり、停止したりしたときの影響が大きいからである。駆動装置は例えば制御対象のモノを動かすアクチュエータである。高温で高圧となる設備の例として圧延プラントがある。このような設備に事故が発生したり、設備が破壊されたりすると大きな被害を生じさせる可能性がある。そのため、例えば、ウィルス感染や外部からの悪意のある攻撃などがあった場合に異常を検出し、制御対象となっているフィールド機器を安全に停止させたり、フィールド機器の処理を安全に継続させたりすることが要求される。

また、産業制御システムにおいて、ウィルス感染で乗っ取られた管理制御端末が、アクチュエータに対して不正なコマンドや不正な設定値を送り、システムを暴走させる可能性がある。そのため、例えば、ウィルスにより乗っ取られた管理制御端末からの指令を遮断し、代替となるマシンを立ち上げて処理を継続させることが求められる。

さらに、乗っ取られた管理制御端末を切り離しても、切り離す前に管理制御端末が不正なコマンド、不正な設定値、不正な制御目標値が制御システムに設定されてしまっている場合も想定される。そのため、例えば、乗っ取られた管理制御端末に代わって制御を行う新たな管理制御端末が、その不正な制御目標値や設定値を引き継ぎ、異常な状態を解消できなくなる可能性がある。

しかしながら、特許文献１および非特許文献１を含む従来の技術においては、制御システムにおける外部からの進入や攻撃によって影響が与えられた状態を戻しながら制御を継続することについて考慮されてこなかった。

本発明の目的は、制御システムにおける外部からの進入や攻撃によって影響が与えられた状態を戻しながら制御を継続する技術を提供することである。

上記目的を達成するために、本発明による冗長管理システムは、稼働系と待機系による冗長構成の管理制御端末により、センサから取得される計測結果を示す計測結果情報に基づき、前記制御対象に対する制御に設定する制御設定情報を生成し、論理制御装置が、前記制御設定情報に基づいて前記制御対象を制御する制御システムにおいて前記管理制御端末の切り替えを行う冗長管理システムであって、前記管理制御端末が送受信する信号から前記計測結果情報および前記制御設定情報を取り出すセキュリティゲートウェイと、取り出された前記計測結果情報および前記制御設定情報を蓄積するとともに、前記計測結果情報および前記制御設定情報に基づいて、前記稼働系の管理制御端末に関連する異常を検知し、前記稼働系の管理制御端末の異常な動作が始まった時点である異常動作開始時点を特定し、前記異常動作開始時点以前の制御設定情報を用いて前記制御対象の制御を引き継ぐように、前記稼働系の管理制御端末と前記待機系の管理制御端末の切り替えを実施するセキュリティサーバと、を有する。

本発明によれば、稼働系の管理制御端末の制御に起因する異常により管理制御端末を稼働系から待機系に切り替えるとき、それまでに蓄積した過去の情報に基づいて、異常動作が始まる前の正常な状態に戻しつつ制御を継続させることが可能となる。

本実施形態による産業制御システム１０９の全体構成を示すブロック図である。 Ｓｅｃｕｒｅ ＩｏＴゲートウェイ１０４の論理構成の一例を示すブロック図である。 Ｓｅｃｕｒｅ ＩｏＴサーバ１０８の論理構成の一例を示すブロック図である。 管理制御端末１０６から論理制御装置１０３に異常な制御設定値が通知された動作を示すシーケンス図である。 Ｓｅｃｕｒｅ ＩｏＴゲートウェイ１０４の処理アルゴリズムを示すフローチャートである。 Ｓｅｃｕｒｅ ＩｏＴサーバ１０８の処理アルゴリズムを示すフローチャートである。 Ｓｅｃｕｒｅ ＩｏＴゲートウェイ１０４の設定値はずれＤＢの一構成例を示す図である。 Ｓｅｃｕｒｅ ＩｏＴゲートウェイ１０４のフィールドセンサデータはずれＤＢの一構成例を示す図である。

本発明の実施形態について図面を参照して詳細に説明する。

図１は、本実施形態による産業制御システム１０９の全体構成を示すブロック図である。

産業制御システム１０９は、さまざまな計測ポイントに配置された各種フィールドセンサ１０２で計測される値に基づいて各種フィールド機器１０１を制御するシステムである。

フィールド機器１０１は、産業制御システム１０９における制御対象となるフィールド機器であり、例えば、タンクに水をくみ上げるポンプ、それを駆動するモータ、モータに電力を供給する発電機等である。

フィールドセンサ１０２は、フィールド機器１０１およびその周囲の環境や状況を計測するフィールドセンサであり、例えば、発電機の回転数、温度、加速度、ポンプでくみ上げられたタンク内の水位、モータに供給される電流、電圧等を計測する。

論理制御装置（ＰＬＣ：Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｃｏｎｔｒｏｌｌｅｒ）１０３は、フィールドネットワーク１１０を介してフィールド機器１０１およびフィールドセンサ１０２と接続され、フィールドセンサ１０２で計測された値を含むセンサデータと、制御ネットワーク１０５を介して管理制御端末（ＳＣＡＤＡ：Ｓｕｐｅｒｖｉｓｏｒｙ Ｃｏｎｔｒｏｌ Ａｎｄ Ｄａｔａ Ａｃｑｕｉｓｉｔｉｏｎ）１０６から設定された制御設定値に基づいて、フィールド機器１０１に対する制御プロセスを実行する論理制御装置である。

フィールドネットワーク１１０は、フィールド機器１０１およびフィールドセンサ１０２と論理制御装置１０３を有線あるいは無線で接続するネットワークある。論理制御装置１０３からフィールド機器１０１への制御データ、フィールドセンサ１０２から論理制御装置１０３へのセンサデータがフィールドネットワーク１１０上を伝送される。

制御ネットワーク１０５は、論理制御装置１０３、稼働系の管理制御端末１０６、待機系の管理制御端末１０７、Ｓｅｒｃｕｒｅ ＩｏＴゲートウェイ１０４、およびＳｅｒｃｕｒｅ ＩｏＴサーバ１０８を相互に接続するネットワークである。
制御ネットワーク１０５は、管理制御端末１０６から論理制御装置１０３へ通知される制御設定値を含むパケットを中継したり、フィールドセンサ１０２から取得したフィールド機器１０１に関連する計測結果データを論理制御装置１０３から稼働系の管理制御端末１０６へ通知するパケットを中継したりする。

管理制御端末１０６、１０７は、論理制御装置１０３を介してフィールドセンサ１０２からの計測結果データを取得し、更に、論理制御装置１０３から、論理制御装置１０３がフィールド機器１０１に対して実行している制御プロセスの状態を示す制御状態データを取得し、計測結果データおよび制御状態データを操作員に対して画面表示する。操作員は、その画面表示を見て、論理制御装置１０３に設定する制御設定値を決定することができる。管理制御端末１０６は、操作員が入力した制御設定値を論理制御装置１０３に通知し、制御設定値に基づく制御プロセスの実行を指示する。

ここでは現在、管理制御端末１０６が稼働系であり、管理制御端末１０７が待機系であるとする。したがって、管理制御端末１０６、１０７の機能として上記に述べた処理は稼働系の管理制御端末１０６が実行している。待機系の管理制御端末１０７は、稼働系の管理制御端末１０６に障害が発生したとき、また稼働系の管理制御端末１０６にセキュリティ上の異常が発生したとき、稼動系の管理制御端末１０６に代わって上記処理を引き継いで実行する。

Ｓｅｃｕｒｅ ＩｏＴゲートウェイ１０４は、論理制御装置１０３と管理制御端末１０６の間の通信を中継する。Ｓｅｃｕｒｅ ＩｏＴゲートウェイ１０４は、管理制御端末１０６が論理制御装置１０３に設定する制御設定値が含まれるパケットを中継する際、その制御設定値の情報を取得し、時系列的に蓄積する。また、Ｓｅｃｕｒｅ ＩｏＴゲートウェイ１０４は、フィールドセンサ１０２から管理制御端末１０６に通知される計測結果データのパケットを、論理制御装置１０３と管理制御端末１０６の間で中継する際、その計測結果データを取得し、時系列的に蓄積する。更に、Ｓｅｃｕｒｅ ＩｏＴゲートウェイ１０４は、制御ネットワーク１０５上で論理制御装置１０３と管理制御端末１０６が送受信するパケットの所定の統計値を算出し、統計情報を時系列的に蓄積する。ここで算出する統計値は例えば単位時間当りのパケット数である。

更に、Ｓｅｃｕｒｅ ＩｏＴゲートウェイ１０４は、蓄積した論理制御装置１０３への制御設定値の時系列データと、蓄積したフィールドセンサ１０２による計測結果の時系列データと、制御ネットワーク１０５内を流れるパケットの統計情報の時系列データを、Ｓｅｃｕｒｅ ＩｏＴサーバ１０８に送信する。

更に、Ｓｅｃｕｒｅ ＩｏＴゲートウェイ１０４は、Ｓｅｃｕｒｅ ＩｏＴサーバ１０８から通知される、稼働系の管理制御端末１０６の異常状態を検出する条件を含む検出用データを用いて、稼働系の管理制御端末１０６の状態を監視する。この検出用データは、Ｓｅｃｕｒｅ ＩｏＴサーバ１０８が、論理制御装置１０３に設定された制御設定値の時系列データと、計測結果の時系列データと、パケットの統計情報とを分析して得られたものである。Ｓｅｃｕｒｅ ＩｏＴゲートウェイ１０４は、異常状態を検出すると、Ｓｅｃｕｒｅ ＩｏＴサーバ１０８に通知する。ここでいう異常状態は、一例として、管理制御端末１０６の乗っ取り、などのセキュリティ上の異常状態である。

また、Ｓｅｃｕｒｅ ＩｏＴゲートウェイ１０４は、Ｓｅｃｕｒｅ ＩｏＴサーバ１０８から稼働系の管理制御端末１０６と待機系の管理制御端末１０７の切り替えを指示されると、稼働系の管理制御端末１０６から論理制御装置１０３へのパケットを破棄し、待機系の管理制御端末１０７から論理制御装置１０３へのパケットを通過させるようにすることにより、管理制御端末１０６、１０７の稼働系と待機系を切り替える。

Ｓｅｃｕｒｅ ＩｏＴサーバ１０８は、制御ネットワーク１０５を介してＳｅｃｕｒｅ ＩｏＴゲートウェイ１０４に接続され、ＩｏＴゲートウェイ１０４で記憶されている各種の時系列の情報を取得する。ここで取得される情報は、管理制御端末１０６から論理制御装置１０３に設定される制御設定値の時系列の情報と、フィールドセンサ１０２から取得したフィールド機器１０１やその周囲の環境あるいは状況に関するフィールドセンサ１０２で計測された計測結果の時系列の情報と、制御ネットワーク１０５内を流れるパケットの統計情報の時系列の情報とを含む。

更に、Ｓｅｃｕｒｅ ＩｏＴサーバ１０８は、取得した各種時系列の情報に基づき異常状態を検出するための検出用データを算出し、Ｓｅｃｕｒｅ ＩｏＴゲートウェイ１０４に通知する。

Ｓｅｃｕｒｅ ＩｏＴサーバ１０８は、更にＳｅｃｕｒｅ ＩｏＴゲートウェイ１０４から制御ネットワーク１０５内で、管理制御端末１０６の乗っ取りなどのセキュリティ上の異常を通知された場合には、乗っ取られた管理制御端末１０６から送信されたパケットを破棄するようにＳｅｃｕｒｅ ＩｏＴゲートウェイ１０４に指示する。さらに、Ｓｅｃｕｒｅ ＩｏＴサーバ１０８は、論理制御装置１０３に設定された制御設定値の時系列情報と、時系列的に記憶されているフィールドセンサ１０２による計測結果データと、時系列的に記憶された制御ネットワーク１０５内を流れるパケットの統計情報とに基づいて、乗っ取りあるいは攻撃が開始された時点（異常動作開始時点）を推定する。そして、Ｓｅｃｕｒｅ ＩｏＴサーバ１０８は、その時点以前に送受信された管理制御端末１０６から論理制御装置１０３への制御設定値を抽出する。

さらに、Ｓｅｃｕｒｅ ＩｏＴサーバ１０８は、現在の稼働系の管理制御端末１０６の代替となる待機系の管理制御端末１０７を起動し、抽出された乗っ取りあるいは攻撃が開始以前の論理制御装置１０３への制御設定値を通知し、管理制御端末１０６の処理を継続させる機能を有する。

図２は、Ｓｅｃｕｒｅ ＩｏＴゲートウェイ１０４の論理構成の一例を示すブロック図である。

ネットワークインターフェース２０１、２０２は、制御ネットワーク１０５に接続されており、パケット解析／中継部２０３が、制御ネットワーク１０５を通じてＳｅｃｕｒｅ ＩｏＴサーバ１０８と通信したり、制御ネットワーク１０５上での管理制御端末１０６と論理制御装置１０３の間の通信を中継したりするためのインタフェースである。

具体的には、管理制御端末１０６から論理制御装置１０３への制御設定値が格納されたパケットを中継する。また、フィールドセンサ１０２から取得したフィールド機器１０１や周囲の環境・状況のセンサデータが格納されたパケットを論理制御装置１０３から管理制御端末１０６に中継する。

また、Ｓｅｃｕｒｅ ＩｏＴサーバ１０８からセンサデータはずれ値ＤＢ２１０、設定値はずれ値ＤＢ２１１、パケット統計はずれ値ＤＢ２１２、アクセスリスト（ホワイトリスト・ブラックリスト）２０４に格納するデータをＳｅｃｕｒｅ ＩｏＴサーバ１０８から受信する。また、パケットデータ記憶部２０５、フィールドセンサデータ記憶部２０６、設定値記憶部２０７に格納されたデータをＳｅｃｕｒｅ ＩｏＴサーバ１０８へ送信する。また、Ｓｅｃｕｒｅ ＩｏＴゲートウェイ１０４内部の異常や、Ｓｅｃｕｒｅ ＩｏＴゲートウェイ１０４におけるセキュリティ上の脅威が検出された場合にそれをＳｅｃｕｒｅ ＩｏＴサーバ１０８に通知する。

パケット解析／中継部２０３は、ネットワークインターフェース２０１、２０２からパケットを受信し、そのパケットの宛先を含む内容を解析を行い、そのパケットを宛先に中継する。その際、パケット解析／中継部２０３は、アクセスリスト２０４に含まれるホワイトリストおよびブラックリストを参照して、受信したパケットを宛先に中継するか、破棄するかを決定する。アクセスリスト２０４に設定されるホワイトリストおよびブラックリストはＳｅｃｕｒｅ ＩｏＴサーバ１０８から通知される。

さらに、パケット解析／中継部２０３は、管理制御端末１０６から論理制御装置１０３へ通知される制御設定値が格納されたパケットを中継するとき、該当パケット中に含まれる制御設定値とパケットの受信時刻を設定値記憶部２０７に記憶する。また、パケット解析／中継部２０３は、フィールドセンサ１０２から取得したフィールド機器１０１や周囲の環境および状況を計測した計測結果データが格納されたパケットを論理制御装置１０３から管理制御端末１０６に中継するとき、計測結果データとパケットの受信時刻をフィールドセンサデータ記憶部２０６に記録する。

また、パケット解析／中継部２０３は、パケットの中継を行う場合にパケットの５−ｔｕｐｌｅ（送信元ＩＰアドレス、受信先ＩＰアドレス、プロトコル種別、送信元ポート番号、受信先ポート番号）、送信元ＭＡＣアドレス、受信先ＭＡＣアドレスを受信時刻とともに、統計情報としてパケットデータ記憶部２０５に記憶する。

セキュリティ監視部２０８は、パケット解析／中継部２０３が管理制御端末１０６から論理制御装置１０３への制御設定値が格納されたパケットを中継する場合、設定値はずれ値ＤＢ２１１を参照して該当パケット中に含まれる制御設定値に異常な値が設定されていないかチェックする。制御設定値に異常が検出された場合、セキュリティ監視部２０８は、異常が検出された旨を、Ｓｅｃｕｒｅ ＩｏＴサーバ１０８に通知する。

パケット解析／中継部２０３が、フィールドセンサ１０２で計測されたフィールド機器１０１や周囲の環境や状況の計測結果データが格納されたパケットを論理制御装置１０３から管理制御端末１０６に中継する場合、セキュリティ監視部２０８は、フィールドセンサ１０２による計測結果データを、センサデータはずれ値ＤＢを参照しつつチェックし、フィールド機器１０１が異常な動作を行っていないか、あるいは周囲の環境に異常が発生していないか判断する。動作や環境に異常があると判断した場合、セキュリティ監視部２０８は、異常が検出された旨を、Ｓｅｃｕｒｅ ＩｏＴサーバ１０８に通知する。

また、パケット解析／中継部２０３がパケットを転送する際には、セキュリティ監視部２０８は、パケット統計はずれ値ＤＢ２１２を参照しつつ、パケットの５−ｔｕｐｌｅ（送信元ＩＰアドレス、受信先ＩＰアドレス、プロトコル種別、送信元ポート番号、受信先ポート番号）、送信元ＭＡＣアドレス、受信先ＭＡＣアドレスをチェックし、セキュリティ上の異常となる通信を行っている端末が制御ネットワーク１０５上に存在しているか否か判断する。異常な通信が行われていると判断すると、セキュリティ監視部２０８は、異常が検出された旨を、Ｓｅｃｕｒｅ ＩｏＴサーバ１０８に通知する。

さらに、セキュリティ監視部２０８は、パケットデータ記憶部２０５、フィールドセンサデータ記憶部２０６、設定値記憶部２０７の内容をＳｅｃｕｒｅ ＩｏＴサーバ１０８へ送信する。

図３は、Ｓｅｃｕｒｅ ＩｏＴサーバ１０８の論理構成の一例を示すブロック図である。

ネットワークインターフェース３０１は制御ネットワーク１０５に接続され、Ｓｅｃｕｒｅ ＩｏＴサーバ１０８による制御ネットワーク１０５を介した通信を実現するインタフェースである。

パケット処理部３０２は、ネットワークインターフェース３０１を介して制御ネットワーク１０５に接続され、制御ネットワーク１０５を通してＳｅｒｃｕｒｅ ＩｏＴゲートウェイ１０４と通信する。例えば、Ｓｅｃｕｒｅ ＩｏＴゲートウェイ１０４から送信されたパケットデータ記憶部２０５の内容を受信し、パケットデータ記憶部３１１に格納する。また、Ｓｅｃｕｒｅ ＩｏＴゲートウェイ１０４から送信されたフィールドセンサデータ記憶部２０６の内容を受信し、フィールドセンサデータ記憶部３１２に格納する。また、Ｓｅｃｕｒｅ ＩｏＴゲートウェイ１０４から送信された設定値記憶部２０７の内容を受信し、設定値記憶部３１３に格納する。また、Ｓｅｃｕｒｅ ＩｏＴゲートウェイ１０４から、制御ネットワーク１０５の装置などの異常やセキュリティ上の脅威が発見された旨の通知を受信する。

統計処理／機械学習処理部３１０は、パケットデータ記憶部３１１、フィールドセンサデータ記憶部３１２、および設定値記憶部３１３に記録された情報に対して統計処理を行い、統計モデル作成部３１４に、産業制御システム１０９に異常あるいは故障が発生していないか、また、セキュリティ上の攻撃を受けていないかなどをチェックするための統計モデルを作成させる。

ここで作成される統計モデルは、Ｓｅｃｕｒｅ ＩｏＴゲートウェイ１０４にて異常あるい何らかの故障が発生していないか、管理制御端末１０６がセキュリティ上の攻撃を受けていないかを監視するためのはずれ値、正常に動作している装置のリスト、異常が検出された装置のリストなどのデータを含む。具体的には、統計モデルには、管理制御端末１０６が送信したパケットの統計値のはずれ値を示すパケット統計はずれ値ＤＢ３１５、フィールドセンサ１０２による計測結果のはずれ値を示すセンサデータはずれ値ＤＢ３１６、管理制御端末１０６から論理制御装置１０３へ通知される御設定値のはずれを示す設定値はずれ値ＤＢ３１７、正常に動作している装置のリスト（ホワイトリスト）と異常が検出された装置のリスト（ブラックリスト）を含むアクセスリスト３１８が作成される。

ここで作成されたパケット統計はずれ値ＤＢ３１５、センサデータはずれ値ＤＢ３１６、設定値はずれ値ＤＢ３１７、アクセスリスト３１８は、ネットワークインターフェース３０１およびパケット処理部３０２を通してＳｅｃｕｒｅ ＩｏＴゲートウェイ１０４に通知される。

異常／セキュリティ処理部３２０は、Ｓｅｃｕｒｅ ＩｏＴゲートウェイ１０４から、管理制御端末１０６から論理制御装置１０３へ通知される制御設定値の異常、フィールドセンサ１０２で計測された計測結果の異常、あるいはセキュリティ上の異常な通信を行っている端末が制御ネットワーク１０５に存在していることを検出した場合には、それらの異常に対応した処理を実施する。

例えば、管理制御端末１０６が乗っ取られたことを検出した場合には、異常／セキュリティ処理部３２０は、待機させていたコンピュータのマシンを管理制御端末１０７として起動したり、あるいは待機系の管理制御端末１０７を稼働系に切り替えたりする。

さらに、乗っ取りや攻撃を受けた結果、論理制御装置１０３へ通知される制御設定値が異常な値になっていることが検知された場合、そのまま管理制御端末１０６を稼働させるとその異常状態が継続してしまう。このため、異常／セキュリティ処理部３２０は、パケットデータ記憶部３１１、フィールドセンサデータ記憶部３１２、および設定値記憶部３１３を解析し、異常が発生する前の制御設定値を抽出し、新たに稼働系となる管理制御端末１０７が制御の運用を開始するときに用いる制御設定値（運用設定値）３２３として記録する。そして、異常／セキュリティ処理部３２０は、起動あるいは待機系から稼働系に切り替えられた、新たな稼働系の管理制御端末１０７に対して、起動直後の制御運用に用いる制御設定値（起動運用設定値）３２２および運用設定値３２３を設定し、異常を起こした管理制御端末１０６の代替として動作させる。

さらに、異常／セキュリティ処理部３２０は、Ｓｅｃｕｒｅ ＩｏＴゲートウェイ１０４に対して、異常を起こした管理制御端末１０６をアクセスリスト２０４のブラックリストに登録するように指示し、異常を起こした管理制御端末１０６を制御ネットワーク１０５から切り離す。

図４は、管理制御端末１０６から論理制御装置１０３に異常な制御設定値が通知された動作を示すシーケンス図である。

論理制御装置１０３はフィールドセンサ１０２から計測結果データ（図中ではセンサデータ）を取得する（４０１）。論理制御装置１０３は、その取得した計測結果データを、制御ネットワーク１０５を通して管理制御端末１０６に通知する（４０２）。

Ｓｅｃｕｒｅ ＩｏＴゲートウェイ１０４はパケットを中継する際に、パケットから計測結果データを読み取り、フィールドセンサデータ記憶部２０６に、受信時刻とともに記録する。

管理制御端末１０６は、論理制御装置１０３へ制御設定値（図中では単に設定値）を通知する（４０３）。Ｓｅｃｕｒｅ ＩｏＴゲートウェイ１０４はパケットを中継する際に、制御設定値を読み取り、設定値記憶部２０７に、受信時刻とともに記録する。さらに、Ｓｅｃｕｒｅ ＩｏＴゲートウェイ１０４からＳｅｃｕｒｅ ＩｏＴサーバ１０８にフィールドセンサデータ記憶部２０６、設定値記憶部２０７、およびパケットデータ記憶部２０５の内容を通知する（４０４）。

Ｓｅｃｕｒｅ ＩｏＴサーバ１０８は、統計処理／機械学習処理部３１０により、パケットデータ記憶部３１１、フィールドセンサデータ記憶部３１２、および設定値記憶部３１３の内部のデータを処理して統計モデルを作成し、Ｓｅｃｕｒｅ ＩｏＴゲートウェイ１０４に通知する（４０５）。ここで統計モデルには、パケット統計はずれ値ＤＢ３１５、センサデータはずれ値ＤＢ３１６、設定はずれ値３１７、およびアクセスリスト３１８が含まれ、それらを含む統計モデルがＳｅｃｕｒｅ ＩｏＴゲートウェイ１０４に通知される。

本例では、ここで管理制御端末１０６のセキュリティ上の脆弱性をついて、乗っ取りが発生したとする（４０６）。そのため管理制御端末１０６は、論理制御装置１０３に制御対象のフィールド機器１０１を破壊するような異常な制御設定値を設定しようとする（４０７）。その制御設定値を中継しながら、監視しているＳｅｃｕｒｅ ＩｏＴゲートウェイ１０４は、Ｓｅｃｕｒｅ ＩｏＴサーバ１０８にフィールドセンサデータ記憶部２０６、設定値記憶部２０７、およびパケットデータ記憶部２０５の内容を通知する（４２０）。このとき、管理制御端末（１０６）が乗っ取られているため、制御設定値には異常な値が含まれている。

ここでは、管理制御端末１０６は、更に、論理制御装置１０３に制御対象のフィールド機器１０１を破壊するような異常な制御設定値を設定しようとする（４０８）。Ｓｅｃｕｒｅ ＩｏＴゲートウェイ１０４はここで、セキュリティ監視部２０８にて制御設定値が異常であることを検出する（４０９）。そして、Ｓｅｃｕｒｅ ＩｏＴゲートウェイ１０４は、制御設定値が異常な値となっていること、および制御設定値が異常となった原因となっている管理制御端末１０６とをＳｅｃｕｒｅ ＩｏＴサーバ１０８に通知する（４１０）。

Ｓｅｃｕｒｅ ＩｏＴサーバ１０８は、乗っ取られて異常な制御設定値を送っている管理制御端末１０６を制御ネットワーク１０５から切り離すために、管理制御端末１０６をブラックリストに追加するようにＳｅｃｕｒｅ ＩｏＴゲートウェイ１０４に通知する（４１１）。それ以後、Ｓｅｃｕｒｅ ＩｏＴゲートウェイ１０４は、ブラックリストに追加された管理制御端末１０６からのパケットを破棄す（４２１）。

Ｓｅｃｕｒｅ ＩｏＴサーバ１０８は、乗っ取られている管理制御端末１０６のバックアップとされているマシンを管理制御端末１０７として起動する、あるいは、乗っ取られている管理制御端末１０６に対する待機系の管理制御端末１０７を稼働系に切り替える（４１２、４１３）。

次に、Ｓｅｃｕｒｅ ＩｏＴサーバ１０８は、異常／セキュリティ処理部３２０により、パケットデータ記憶部３１１、フィールドセンサデータ記憶部３１２、および設定値記憶部３１３に記録されているデータを解析し、管理制御端末１０６に障害や乗っ取りなどセキュリティ上の異常が発生する前の制御設定値を抽出し、その値を、管理制御端末１０７の運用における制御設定値として記録すると共に、管理制御端末１０７に通知する（４１４）。

新たに稼働系となった管理制御端末１０７は、通知された制御設定値を基に論理制御装置１０３に対して制御設定値を設定し、旧稼働系の管理制御端末１０６に異常が発生する前の状態から制御を継続させる。

図５は、Ｓｅｃｕｒｅ ＩｏＴゲートウェイ１０４の処理アルゴリズムを示すフローチャートである。

Ｓｅｃｕｒｅ ＩｏＴゲートウェイ１０４が処理を開始し（５０１）、パケットを受信すると（５０２）、パケット解析／中継部２０３は、そのパケットが、はずれ値ＤＢの更新要求のパケットであるか否か判定する（５０３）。はずれ値ＤＢの更新要求のパケットである場合、パケット解析／中継部２０３は、セキュリティ監視部２０８を呼び出し、セキュリティ監視部２０８は、センサデータはずれ値ＤＢ２１０、設定値はずれ値ＤＢ２１１、およびパケット統計はずれ値ＤＢ２１２を更新する処理を行う（５０４）。

一方、受信したパケットがはずれ値ＤＢの更新要求のパケットでなければ、パケット解析／中継部２０３は、そのパケットがフィールドセンサ１０２による計測結果データを通知するパケットであるか否か判定する（５０５）。フィールドセンサ１０２による計測結果データを通知するパケットである場合、パケット解析／中継部２０３は、フィールドセンサ１０２の計測結果データの値とパケットの受信時刻をフィールドセンサデータ記憶部２０６に記録する（５０６）。次に、パケット解析／中継部２０３は、セキュリティ監視部２０８を呼び出し、セキュリティ監視部２０８はパケットに含まれていたフィールドセンサ１０２による計測結果データに異常がないかチェックする（５０７）。異常を検出した場合には、セキュリティ監視部２０８は、Ｓｅｃｕｒｅ ＩｏＴサーバ１０８に異常を通知する（５０８）。

一方、受信したパケットがフィールドセンサ１０２による計測結果データを通知するパケットでない場合、パケット解析／中継部２０３は、受信したパケットが論理制御装置１０３へ制御設定値を通知するパケットであるか否か判定する（５０９）。論理制御装置１０３へ制御設定値を通知するパケットである場合、パケット解析／中継部２０３は、その制御設定値とパケットの受信時刻とを設定値記憶部２０７に記録する（５１０）。次に、パケット解析／中継部２０３は、セキュリティ監視部２０８を呼び出し、セキュリティ監視部２０８は、受信したパケットに含まれていた制御設定値に異常がないかチェックする（５１１）。異常を検出した場合には、セキュリティ監視部２０８は、Ｓｅｃｕｒｅ ＩｏＴサーバ１０８に異常を通知する（５１２）。

ステップ５０４、ステップ５０８、またはステップ５１２の処理の後、あるいはステップ５０７またはステップ５１１の判定結果がＮＯであったとき、パケット解析／中継部２０３は、パケットの処理として、パケットに含まれたデータを、時系列の統計処理用のデータとしてパケットデータ記憶部２０５に格納する（５１３）。続いて、パケット解析／中継部２０３は、セキュリティ監視部２０８を呼び出し、セキュリティ監視部２０８は、
パケット統計はずれ値ＤＢ２１２を参照し、受信したパケットが統計処理において異常なデータを含んでいないかチェックする（５１４）。異常を検出した場合には、セキュリティ監視部２０８は、Ｓｅｃｕｒｅ ＩｏＴサーバ１０８に異常を通知する（５１５）。

ステップ５１４の判定においてＮｏだった場合、あるいはステップ５１５の処理の後、セキュリティ監視部２０８は、パケットデータ記憶部２０５、フィールドセンサデータ記憶部２０６、あるいは設定値記憶部２０７の内容データが、送信するか否か判定するための閾値を超えたか否か判定する（５１６）。いずれかの記憶部の内容データが閾値を超えていれば、セキュリティ監視部２０８は、パケットデータ記憶部２０５、フィールドセンサデータ記憶部２０６、および設定値記憶部２０７の内容データを、Ｓｅｃｕｒｅ ＩｏＴサーバ１０８へ送信する（５１７）。ここで用いる閾値は、例えば、時間、パケットの受信数、各ＤＢの値の変化の大きさなどに対して設定することができる。更に、受信したパケットが転送の必要なパケットであった場合には、パケット解析／中継部２０３は、そのパケットを次の転送先へ転送する（５１８）。

図６は、Ｓｅｃｕｒｅ ＩｏＴサーバ１０８の処理アルゴリズムを示すフローチャートである。Ｓｅｃｕｒｅ ＩｏＴサーバ１０８が処理を開始し（６０１）、パケットを受信すると（６０２）、パケット処理部３０２は、受信したパケットがセキュリティ上の異常を通知するパケットであるか否か判定する（６０３）。

セキュリティ上の異常を通知するパケットであれば、パケット処理部３０２は、異常／セキュリティ処理部３２０を呼び出し、異常／セキュリティ処理部３２０は、まず異常動作を行っている端末を特定する（６０４）。異常動作を行っている端末が管理制御端末１０６であると、異常／セキュリティ処理部３２０は、その管理制御端末１０６をアクセスリスト３１８のブラックリストに追加し、Ｓｅｃｕｒｅ ＩｏＴゲートウェイ１０４にブラックリストへの端末の追加を通知する（６０５）。

更に、異常／セキュリティ処理部３２０は代替マシン管理部３２１を呼び出し、代替マシン管理部３２１は、異常動作を行っている管理制御端末１０６に代わって動作させるるマシンを管理制御端末１０７として立ち上げる、あるいは、待機系であった管理制御端末１０７を稼動系に切り替える（６０６）。ここでのマシンは仮想インフラ上に設けられた仮想マシンであってもよい。

次に、異常／セキュリティ処理部３２０は、パケットデータ記憶部３１１、フィールドセンサデータ記憶部３１２、および設定値記憶部３１３のデータを参照して、管理制御端末１０６によるセキュリティ上の異常動作がいつ発生したかを推定する（６０７）。

管理制御端末１０６が乗っ取られた場合、新たに稼働系の管理制御端末１０７として動作させるマシンに、乗っ取られた制御管理端末が設定した設定設定値を用いさせると、新たな管理制御端末１０７が乗っ取られた管理制御端末１０６の異常動作を引き継いでします。それを防止するために、本実施形態では、管理制御端末１０６が乗っ取られる以前の制御設定値を新たな管理制御端末１０７に用いさせるためである。

続いて、異常／セキュリティ処理部３２０は、管理制御端末１０６の障害あるいは管理制御端末１０６が乗っ取られる以前の制御設定値を取り出し（６０８）、管理制御端末１０６の代替となるマシンに通知してその制御設定値から処理を実行させる（６０９）。

ステップ６０３の判定において、受信したパケットがセキュリティ上の異常を通知するパケットでなかったら、パケット処理部３０２は、次に、受信したパケットが各記憶部の更新を要求するものであったか否か判定する（ステップ６１０）。受信したパケットが各記憶部の更新を要求するものであった場合、パケット処理部３０２は、統計処理／機械学習処理部３１０を呼び出し、統計処理／機械学習処理部３１０は、呼び出されると、パケットデータ記憶部３１１、フィールドセンサデータ記憶部３１２、および設定値記憶部３１３を更新する（６１１）。更に、統計処理／機械学習処理部３１０は、パケットデータ記憶部３１１およびフィールドセンサデータ記憶部３１２のデータから、異常動作を行っているフィールド機器１０１や設定値の異常をＳｅｃｕｒｅ ＩｏＴゲートウェイ１０４で検出するために使用する統計モデルを統計モデル作成部３１４に作成させる（６１２）。

続いて、パケット処理部３０２は、統計モデル作成部３１４に指示して、パケット統計はずれ値ＤＢ３１５、センサデータはずれ値ＤＢ３１６、および設定値はずれ値ＤＢ３１７の内容データを作成し（６１３）、異常動作をしている管理制御端末１０６からのパケットをＳｅｃｕｒｅ ＩｏＴゲートウェイ１０４で遮断するためのアクセスリスト（３１８）を作成し（６１３）、Ｓｅｃｕｒｅ ＩｏＴゲートウェイ１０４に通知する（６１４）。

図７は、Ｓｅｃｕｒｅ ＩｏＴゲートウェイ１０４の設定値はずれＤＢの一構成例を示す図である。設定値はずれ値ＤＢ２１１には、転送パケットレート７０１と、フィールドセンサデータ値７０２と、制御設定値（図中では単に設定値）７０３と、フラグ７０４とが対応づけて記録されている。

図７の例では、レコード７０５には、転送パケットレート７０１が１０ｋｂｐｓであり、フィールドセンサ１０２による計測結果を示すフィールドセンサデータ値７０２が１０００〜２０００の範囲にあるとき、制御設定値７０３が１５００〜１６００の範囲に設定されていれば、正常な状態であることが示されている。また、レコード７０６には、転送パケットレート７０１が１０ｋｂｐｓであり、フィールドセンサ１０２による計測結果を示すフィールドセンサデータ値７０２が１０００〜２０００の範囲にあるとき、制御設定値７０３が１００００以上に設定されていたら、異常な状態であることが示されている。異常な状態というのは、例えばフィールド機器１０１の故障を招くような制御設定値７０３が設定されている状態である。

図８は、Ｓｅｃｕｒｅ ＩｏＴゲートウェイ１０４のフィールドセンサデータはずれＤＢの一構成例を示す図である。転送パケットレート８０１と、制御設定値（図中では単に設定値）８０２と、フィールドセンサデータ値８０３と、フラグ８０４とが対応づけて記録されている。

図８の例では、レコード８０５には、転送パケットレート８０１が１０ｋｂｐｓであり、制御設定値８０２が１５００であるとき、フィールドセンサデータ値８０３つまりフィールドセンサ１０２で計測された値が１０００〜２０００の範囲内であれば、正常な状態であることが示されている。また、レコード８０６には、転送パケットレート８０１が１０ｋｂｐｓであり、制御設定値８０２が１００００であるとき、フィールドセンサデータ値８０３つまりフィールドセンサ１０２で計測された値が０であれば、異常な状態であることが示されている。例えば、フィールド機器１０１の故障を招くような値を示してる状態である。

以上説明した本実施形態は以下のように整理することができる。

本実施形態には、稼働系と待機系による冗長構成の管理制御端末１０６、１０７により、フィールドセンサ１０２から取得される計測結果を示す計測結果情報に基づき、制御対象であるフィールド機器１０１に対する制御に設定する制御設定情報を生成し、論理制御装置１０３が、制御設定情報に基づいて制御対象を制御する制御システムにおいて管理制御端末１０６、１０７の切り替えを行う管理システムが含まれる。セキュリティゲートウェイ（Ｓｅｃｕｒｅ ＩｏＴゲートウェイ）１０４は、管理制御端末１０６が送受信する信号から計測結果情報および制御設定情報を取り出す。セキュリティサーバ（Ｓｅｓｕｒｅ ＩｏＴサーバ）１０８は、取り出された計測結果情報および制御設定情報を蓄積するとともに、計測結果情報および制御設定情報に基づいて、稼働系の管理制御端末１０６に関連する異常を検知し、稼働系の管理制御端末１０６の異常な動作が始まった時点である異常動作開始時点を特定し、異常動作開始時点以前の制御設定情報を用いて制御対象の制御を引き継ぐように、稼働系の管理制御端末１０６と待機系の管理制御端末１０７の切り替えを実施する。

これによれば、稼働系の管理制御端末１０６の制御に起因する異常により管理制御端末１０６、１０７を切り替えるとき、蓄積した過去の情報に基づいて、異常動作が始まる前の正常な状態に戻しつつ制御を継続させることが可能となり、制御システムにおける外部からの侵入や攻撃に対するセキュリティ性を高めることができる。

また、本実施形態では、セキュリティサーバ１０８は、蓄積した計測結果情報および制御設定情報に基づいて、管理制御端末１０６を異常と判定するための異常状態検出条件を決定し、セキュリティゲートウェイ１０４に通知する。セキュリティゲートウェイ１０４は、その異常状態検出条件に従って管理制御端末１０６の異常を検知し、セキュリティサーバ１０８へ通知する。セキュリティサーバ１０８は、セキュリティゲートウェイ１０４から稼働系の管理制御端末１０６の異常が通知されると、稼働系の管理制御端末１０６と待機系の管理制御端末１０７を切り替える。これによれば、過去の制御設定情報と計測結果情報から外れ値を算出し、切り替え起動の条件にするので、過去に無いような異常な状態を検出することが容易になる。

また、セキュリティゲートウェイ１０４は、論理制御装置１０３と管理制御端末１０６の通信を中継し、中継において、管理制御端末１０６から論理制御装置１０３への制御設定情報を疎通あるいは遮断することが可能である。セキュリティサーバ１０８は、管理制御端末１０６、１０７の稼働系から待機系への切り替えを前記セキュリティゲートウェイに指示する。セキュリティゲートウェイ１０４は、切り替えの指示を受けると、稼働系の管理制御端末１０６から論理制御装置１０３への制御設定情報を疎通し、待機系の管理制御端末１０７から論理制御装置１０３への制御設定情報を遮断している状態から、待機系の管理制御端末１０７から論理制御装置１０３への制御設定情報を疎通し稼働系の管理制御端末１０６から論理制御装置１０３への制御設定情報を遮断する状態へ移行する。これによれば、切替機構を設けなくても稼働系と待機系の切り替えが可能である。

また、セキュリティサーバ１０８は、稼働系の管理制御端末１０６から待機系の管理制御端末１０７への切り替えを実施するとき、異常動作開始時点以前の制御設定情報を、新たに稼働系となる管理制御端末１０７に通知し、制御設定情報に基づく制御を開始させる。これによれば、稼働系の管理制御端末１０６の異常動作により切り替えを実施するとき、制御プロセスを異常動作開始時点以前の状態に戻すように制御を開始することができる。

また、セキュリティゲートウェイ１０４は、更に、管理制御端末１０６、１０７が送受信する信号の所定の統計値を算出し、その統計値を含む統計情報を生成してセキュリティサーバ１０８に通知する。セキュリティサーバ１０８は、更に、統計情報に基づいて、稼働系の管理制御端末１０６の異常動作開始時点を特定し、異常動作開始時点以前の制御設定情報に基づいて、制御対象を異常動作開始時点以前の状態に戻して制御を継続するように、稼働系の管理制御端末１０６と待機系の管理制御端末１０７の切り替えを実施する。これによれば、管理制御端末１０６が送受信する信号の異常により管理制御端末１０６、１０７を切り替えるとき、異常動作の開始前の正常な状態に戻しつつ制御を継続させることができる。

上述した本発明の実施形態は、本発明の説明のための例示であり、本発明の範囲をそれらの実施形態にのみ限定する趣旨ではない。当業者は、本発明の要旨を逸脱することなしに、他の様々な態様で本発明を実施することができる。

１０１…フィールド機器、１０２…フィールドセンサ、１０３…論理制御装置、１０４…Ｓｅｃｕｒｅ ＩｏＴゲートウェイ、１０５…制御ネットワーク、１０６…管理制御端末、１０７…管理制御端末、１０８…Ｓｅｃｕｒｅ ＩｏＴサーバ、１０９…産業制御システム、１１０…フィールドネットワーク、２０１…ネットワークインターフェース、２０２…ネットワークインターフェース、２０３…中継部、２０４…アクセスリスト、２０５…パケットデータ記憶部、２０６…フィールドセンサデータ記憶部、２０７…設定値記憶部、２０８…セキュリティ監視部、２１０…センサデータはずれ値ＤＢ、２１１…設定値はずれ値ＤＢ、２１２…パケット統計はずれ値ＤＢ、３０１…ネットワークインターフェース、３０２…パケット処理部、３１０…機械学習処理部、３１１…パケットデータ記憶部、３１２…フィールドセンサデータ記憶部、３１３…設定値記憶部、３１４…統計モデル作成部、３１５…パケット統計はずれ値ＤＢ、３１６…センサデータはずれ値ＤＢ、３１７…設定値はずれ値ＤＢ、３１８…アクセスリスト、３２０…セキュリティ処理部、３２１…代替マシン管理部、３２３…運用設定値、７０１…転送パケットレート、７０２…フィールドセンサデータ値、７０３…制御設定値、７０４…フラグ、７０５…レコード、７０６…レコード、８０１…転送パケットレート、８０２…制御設定値、８０３…フィールドセンサデータ値、８０４…フラグ、８０５…レコード、８０６…レコード

Claims (9)

1. 稼働系と待機系による冗長構成の管理制御端末により、センサから取得される計測結果を示す計測結果情報に基づき、制御対象に対する制御に設定する制御設定情報を生成し、論理制御装置が、前記制御設定情報に基づいて前記制御対象を制御する制御システムにおいて前記管理制御端末の切り替えを行う冗長管理システムであって、
   前記管理制御端末が送受信する信号から前記計測結果情報および前記制御設定情報を取り出すセキュリティゲートウェイと、
   取り出された前記計測結果情報および前記制御設定情報を蓄積するとともに、前記計測結果情報および前記制御設定情報に基づいて、前記稼働系の管理制御端末に関連する異常を検知し、前記稼働系の管理制御端末の異常な動作が始まった時点である異常動作開始時点を特定し、前記異常動作開始時点以前の制御設定情報を用いて前記制御対象の制御を引き継ぐように、前記稼働系の管理制御端末と前記待機系の管理制御端末の切り替えを実施するセキュリティサーバと、
   を有する冗長管理システム。
2. 前記セキュリティサーバは、蓄積した前記計測結果情報および前記制御設定情報に基づいて、前記管理制御端末を異常と判定するための異常状態検出条件を決定し、前記セキュリティゲートウェイに通知し、
   前記セキュリティゲートウェイは、前記異常状態検出条件に従って前記管理制御端末の異常を検知し、前記セキュリティサーバへ通知し、
   前記セキュリティサーバは、前記セキュリティゲートウェイから前記稼働系の管理制御端末の異常が通知されると、前記稼働系の管理制御端末と前記待機系の管理制御端末を切り替える、請求項１に記載の冗長管理システム。
3. 前記セキュリティゲートウェイは、前記論理制御装置と前記管理制御端末の通信を中継し、前記中継において、前記管理制御端末から前記論理制御装置への制御設定情報を疎通あるいは遮断することが可能であり、
   前記セキュリティサーバは、前記管理制御端末の稼働系から待機系への切り替えを前記セキュリティゲートウェイに指示し、
   前記セキュリティゲートウェイは、前記切り替えの指示を受けると、前記稼働系の管理制御端末から前記論理制御装置への制御設定情報を疎通し前記待機系の管理制御端末から前記論理制御装置への制御設定情報を遮断している状態から、前記待機系の管理制御端末から前記論理制御装置への制御設定情報を疎通し前記稼働系の管理制御端末から前記論理制御装置への制御設定情報を遮断する状態へ移行する、
   請求項１に記載の冗長管理システム。
4. 前記セキュリティサーバは、前記稼働系の管理制御端末から前記待機系の管理制御端末への切り替えを実施するとき、前記異常動作開始時点以前の制御設定情報を、新たに稼働系となる管理制御端末に通知し、前記制御設定情報に基づく制御を開始させる、請求項３に記載の冗長管理システム。
5. 前記セキュリティゲートウェイは、更に、前記管理制御端末が送受信する信号の所定の統計値を算出し、該統計値を含む統計情報を生成して前記セキュリティサーバに通知し、
   前記セキュリティサーバは、更に、前記統計情報に基づいて、前記稼働系の管理制御端末の前記異常動作開始時点を特定し、前記異常動作開始時点以前の制御設定情報に基づいて、前記制御対象を前記異常動作開始時点以前の状態に戻して制御を継続するように、前記稼働系の管理制御端末と前記待機系の管理制御端末の切り替えを実施する、
   請求項１に記載の冗長管理システム。
6. 稼働系と待機系による冗長構成の管理制御端末により、センサから取得される計測結果を示す計測結果情報に基づき、制御対象に対する制御に設定する制御設定情報を生成し、論理制御装置が、前記制御設定情報に基づいて前記制御対象を制御する制御システムにおいて前記管理制御端末の切り替えを行うための冗長切り替え方法であって、
   統計処理手段が、前記計測結果情報および前記制御設定情報を蓄積し、
   異常処理手段が、前記計測結果情報および前記制御設定情報に基づいて、前記稼働系の管理制御端末に関連する異常を検知し、
   前記異常処理手段が、前記計測結果情報および前記制御設定情報に基づいて、前記稼働系の管理制御端末の異常な動作が始まった時点である異常動作開始時点を特定し、
   前記異常処理手段が、前記異常動作開始時点以前の制御設定情報を用いて前記制御対象の制御を引き継ぐように、前記稼働系の管理制御端末と前記待機系の管理制御端末の切り替えを実施する、
   を有する冗長切り替え方法。
7. パケット処理手段は、蓄積した前記計測結果情報および前記制御設定情報に基づいて、前記管理制御端末を異常と判定するための異常状態検出条件を決定し、
   前記異常処理手段は、前記異常状態検出条件に従って前記管理制御端末の異常が検知されると、前記稼働系の管理制御端末と前記待機系の管理制御端末を切り替える、請求項６に記載の冗長切り替え方法。
8. 稼働系と待機系による冗長構成の管理制御端末により、センサから取得される計測結果を示す計測結果情報に基づき、制御対象に対する制御に設定する制御設定情報を生成し、論理制御装置が、前記制御設定情報に基づいて前記制御対象を制御する制御システムにおいて、コンピュータに前記管理制御端末の切り替えを実行させるための冗長切り替えプログラムであって、
   コンピュータを、
   前記計測結果情報および前記制御設定情報を蓄積する統計処理手段と、
   前記計測結果情報および前記制御設定情報に基づいて、前記稼働系の管理制御端末に関連する異常を検知し、前記計測結果情報および前記制御設定情報に基づいて、前記稼働系の管理制御端末の異常な動作が始まった時点である異常動作開始時点を特定し、前記異常動作開始時点以前の制御設定情報を用いて前記制御対象の制御を引き継ぐように、前記稼働系の管理制御端末と前記待機系の管理制御端末の切り替えを実施する異常処理手段、
   として動作させるための冗長切り替えプログラム。
9. パケット処理手段は、蓄積した前記計測結果情報および前記制御設定情報に基づいて、前記管理制御端末を異常と判定するための異常状態検出条件を決定し、
   前記異常処理手段は、前記異常状態検出条件に従って前記管理制御端末の異常が検知されると、前記稼働系の管理制御端末と前記待機系の管理制御端末を切り替える、請求項８に記載の冗長切り替えプログラム。

Images