JP2017506377A - 産業用制御システムを防護するためのシステムおよび方法 - Google Patents

Abstract

本発明は、産業プロセスの制御を防護するためのシステムおよび方法に関する。本発明は、産業プロセスの制御に使用する防護された分散制御システムを提供する。このシステムは、複数のフィールド機器と、１つの重要なプロセスのための制御論理を含むフィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）モジュールおよびそれ以外のすべての産業プロセスのための制御論理を含むマスタープロセッサから成るコントローラモジュールと、フィールド機器とコントローラモジュールとの間で信号を送受信するための入出力モジュールとから成る。本発明はまた、本発明のシステムを用いて、産業プロセスの制御に使用する分散制御システムを制御論理の改変から防護する方法を提供する。【選択図】図１

Description

本発明は概して、プラント内の産業プロセスを制御するためのシステムおよび方法に関し、詳細には、産業プロセスを制御するための防護されたシステムおよび方法に関する。

産業プラントでは、実施されるほとんどの産業プロセスの制御に制御システムが使用される。プラントには通常、ユーザ入出力、ディスク入出力およびその他の周辺機器を備えた分散制御システム（ＤＣＳ）を有する中央制御室がある。制御システムネットワークには、コントローラが連結されている。プロセス入出力サブシステムは、プラント全体の様々なフィールド機器に接続される複数の入出力ポートを含む。フィールド機器には、様々な種類の分析機器、圧力センサ、容量型圧力センサ、抵抗型温度計、電源スイッチ、熱電対、リミットスイッチ、オン／オフスイッチ、流量送信器、圧力送信器、静電容量型レベルスイッチ、計量器、弁開度検出装置、弁制御器、アクチュエータ、電磁弁および表示灯が含まれる。本願で使用する「フィールド機器」という用語は、上記の装置、および分散制御システムにおいて機能を果たす、制御技術分野で公知のその他すべての装置を包含する。

産業プロセス制御システムとは、一般的に、分散制御システム（ＤＣＳ）がコントローラを用いて産業プロセスを監視・制御する産業用システムまたは一連の産業プロセスの監視・制御システムを指す。コントローラは運転員に情報を送信するＤＣＳサーバおよびエンジニアリングステーションにより統制され、運転員はプラント制御室に設置された操作卓を介して産業プロセスを監視・制御する。単一のＤＣＳが、警報および視覚データによって産業プロセスの状況を運転員に知らせるための操作卓を多数有することがある。ＤＣＳやＥＳＤ（緊急停止装置）のような多数の制御システムが、プロセス制御通信ネットワークを介して接続されることがある。

産業用制御システム（ＩＣＳ）は、企業ＬＡＮ（事業体統制ネットワーク）および制御システムＬＡＮから成る。企業ワークステーション、ビジネスサーバ、ウェブサーバ、企業データベースは、企業ＬＡＮに分類される。制御室ワークステーション、ＤＣＳコントローラ、ＨＭＩ（ヒューマン・マシン・インターフェース）、ならびに現場管理者のデスクおよびエンジニアリング・ワークステーションを監視・制御するために産業用ケーブル／バス型ネットワーク（Ｍｏｄｂｕｓ、Ｐｒｏｆｉｂｕｓ、Ｆｉｅｌｄｂｕｓなど）によって連結される生産ラインおよびプロセスの全体は、制御システムＬＡＮに分類される。

ＤＣＳ（分散制御システム）は、発電、石油・ガス精製、化学、自動車製造など様々な産業のプラントの産業プロセスを制御するために使用される。ＤＣＳは、リアルタイム応答および極めて高い可用度、予測可能性、ならびに制御・データの信頼性を必要とするなど数多くの独特の性質を有する。ＤＣＳの使用は、人の健康と安全に対するリスクを最小にし、深刻な環境被害を防ぎ、国の経済や重要な機能の遂行に悪影響をもたらす深刻な生産停止や遅延を防ぎ、重要な社会基盤を日常的なヒューマンエラーおよび機密情報の侵害から防護することにつながる。

ＤＣＳは、産業プロセスに使用される分散された機器を監視・制御するために様々な産業で導入されている。ＤＣＳは、連続的なまたはバッチ処理中心の製造プロセスの制御に使用される専用システムである。ＤＣＳは、センサおよびアクチュエータに接続され、設定値の制御によりプロセスを制御する。入出力（Ｉ／Ｏ）装置は、コントローラと一体化されるか、または遠隔配置される。コントローラシステム全体は、通信と監視のためにネットワークに接続される。遠隔ステーションから受け取った情報に基づいて、自動でまたは運転員の判断により、監視コマンドを遠隔ステーション制御装置（しばしばフィールド機器とも称される）に配信することができる。フィールド機器は、弁および遮断器の開閉、ポンプ、モータおよび他のプロセスの始動および停止、センサシステムからのデータ収集、ならびにローカル環境の警報条件に対する監視などのローカル操作を制御する。

ＤＣＳは計算能力があり、比例・積分・微分（ＰＩＤ）制御のほかに、概して論理制御およびシーケンス制御を行うことができる。ＩＣＳではＥＳＤ（緊急停止装置）のような専用の安全系統およびネットワークを利用可能であるものの、発電プラントの運転停止は多大な経済的損失をもたらす可能性がある。

ＩＣＳへのおよびＩＣＳからのデータ転送については、セキュリティリスクを評価する必要がある。ＵＳＢ記憶ドライブや企業向け／ＩＣＳファイアウォールによるセキュリティ対策には欠陥がある。ＩＣＳのウィルス感染の完全な防止はおそらく不可能であり、産業界は、完全な防止よりも、ＩＣＳをサイバー攻撃から防護できるセキュリティアーキテクチャを構築する必要があると思われる。ＩＣＳまたは監視制御・データ収集（ＳＣＡＤＡ）システムは、高度に複雑で相互に連結されているため、外部からプロセスコントローラへアクセスを可能にする経路が多数存在するシステムである。

事業体統制ネットワークは、ほとんどのビジネスユーザ、事業会計システム、および企業資源計画（ＥＲＰ）システムなどの計画システムの上位に来る企業ネットワークである。Ｍｉｃｒｏｓｏｆｔ Ｉｎｔｅｒｎｅｔ Ｓｅｃｕｒｉｔｙ ａｎｄ Ａｃｃｅｌｅｒａｔｉｏｎ（ＩＳＡ）サーバは、プラント領域をワイドエリアネットワーク（ＷＡＮ）から防護する。ＩＳＡサーバは、領域同士も相互に防護する。セキュリティ領域間のすべての送受信は、ＩＳＡサーバを介する。各ＩＳＡサーバは、ファイアウォールサービス、ネットワークアドレス変換、ウェブプロキシ、ウィルススキャン、防護されたウェブサーバ・パブリッシングなどの多数の機能の中で中心的役割を果たす。すべてのＩＳＡサーバは、初期設定により、企業ＷＡＮなどの信頼性の低いネットワークからの接続を阻止するように構成されている。ＩＳＡサーバは、信頼性の低いネットワークのクライアントから、境界ネットワーク内のウェブサーバなどの選択されたサーバへの、ウェブサービス接続などによる接続を許可する。

ＤＣＳ装置とＥＲＰシステムは通常、堅牢化されていないネットワーク・スタックを使用しており、最も一般的なオペレーティング・システムはＭｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓである。その結果、そのようなシステムは、ウィルス、ワーム、およびトロイの木馬による被害を受けやすい。インストールされたアンチウイルス・ソフトウェアの品質のいかんにかかわらず、インターネットから、または他の手段によって、マルウェア（トロイの木馬、ウィルスおよびワーム）が偶発的にダウンロードされる可能性があり、そのようなマルウェアはあらゆる種類の可搬型記憶装置上で自己複製することができる。

最近の事例では、サイバー攻撃によってプラントの運転に障害が生じたり、産業プロセス用ＤＣＳの制御論理が改変されたりしたことがある。２０１２年７月に起きた、世界史上最大規模の停電（大規模停電とも呼ばれる）では、世界人口の１０％を超える７億人近いインドの人々が２日以上電気を使えなくなり、重大な経済的損失が生じた。この停電の原因として、意図的な人為的妨害、または制御システムの不具合をもたらすウィルス、ワーム、およびトロイの木馬のその他の要因が疑われている。

そのような一例であるワームのＳｔｕｘｎｅｔは、産業プロセスの制御を損なうように設計されたコンピュータマルウェアである。Ｓｔｕｘｎｅｔは、隔離・防護されているはずの産業用制御システム（ＩＣＳ）の中へ外部から侵入する可能性がある。このワームが、ＩＣＳ内に感染・伝播し、セキュリティ技術および手順を免れるほどの威力を持った。このワームは、インターネットに接続されたＥＲＰネットワーク、感染した取外し可能なドライブ（ＵＳＢフラッシュドライブや可搬型外部ハードディスクなど）、ローカルエリアネットワーク通信（共有ネットワークドライブまたは他のサービス）、または感染したＤＣＳ／ＰＬＣ制御論理ファイルを介して伝播する。このワームは、多数のネットワーク経路を介して素早く伝播し、利用可能なウィルス検出技術によって検出されないように挙動を変え、同類同士のネットワークを確立して、インターネットに直接接続していない機器に対してもコマンドを伝播し、サーバを制御する。

さらにこのワームは、プログラミング論理を改変してプロセスコントローラに不具合を引き起こし、改変された制御論理プログラムを、不具合の生じたシステムを診断する制御エンジニアやシステム管理者から隠ぺいする。Ｗｉｎｄｏｗｓオペレーティング・システムとプロセスコントローラが、このマルウェアによる攻撃を受ける。このマルウェアは、適当な標的を検出すると、制御システムの特定モデルの制御論理を改変する。その目的は、可変周波数ドライブ制御論理を用いて、特定の産業プロセスに損傷を与えることであると思われる。このようなワームは、高度なサイバーセキュリティを用いても特定されないしブロックもされない。

重要な社会基盤に対するサイバー犯罪や他の電子攻撃も増加傾向にある。かつて、遠隔操作によるクラッキングにはかなりの技量やコンピュータの知識が必要とされたが、ハッカーたちは現在、攻撃用のスクリプトやプロトコルをインターネットからダウンロードして、攻撃対象のサイトやシステムに向けて起動させることができる。したがって、攻撃ツールはより高度になっているが、使いやすくなっている。このことは、国家安全保障に対する様々な顕著な脅威にもなっている。Ｓｔｕｘｎｅｔの侵入とトランス・シベリア・パイプライン計画のハッキングは、産業用制御システムに対するサイバー攻撃および電子攻撃の少数だが典型的な例である。

上記の例から見て、現在のＤＣＳ基盤は産業プラントの機能不全を引き起こさないよう十分に防護されておらず、安全、経済および環境を脅かす危険要因として多大な損失を発生させる可能性があると言える。産業用の制御システムおよび方法に内在する限界から見て、防護されたＤＣＳと、ＤＣＳを防護するための効率的で、迅速で、堅牢で、柔軟で、費用効率が高く、環境に優しい方法とが必要とされている。本発明は、この必要性を満たすと共に、以下の概要で述べるような利点を有する。

先行技術に内在する前述の弱点を考慮すると、本発明の一般的な目的は、利便性と有用性に関して改良された組み合わせを提供し、先行技術の長所を取り入れ、かつ先行技術に内在する短所を克服することである。

一局面において、本発明は、産業プロセスの制御に使用する防護された分散制御システムを提供する。このシステムは、複数のフィールド機器と、少なくとも１つの重要な産業プロセスのための制御論理を含むフィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）モジュールおよび重要なプロセスを除くそれ以外のすべての産業プロセスのための制御論理を含むマスタープロセッサから成るコントローラモジュールと、複数のフィールド機器とコントローラモジュールとの間で信号を送受信するための入出力モジュールとから成る。

本発明の別の局面において、ＦＰＧＡモジュール内の制御論理は、特殊ツールを用いたハードウェア記述言語で構成されている。

本発明のさらに別の局面では、ハードウェア記述言語でＦＰＧＡモジュールを構成することにより、意図的な人為的妨害や、サイバー攻撃、マルウェア、トロイの木馬、ウィルス、感染した記憶装置、またはそれらの組み合わせを含むオフラインもしくはオンラインのソフトウェアの脅威による制御論理の改変を防止する。

別の局面において、本発明は、産業プロセスの制御に使用する分散制御システムを制御論理の改変から防護する方法を提供する。この方法は、複数のフィールド機器、コントローラモジュールおよび入出力モジュールを含む分散制御システムを提供するステップと、１つ以上の重要な産業プロセスを特定するステップと、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）モジュールを提供するステップと、当該１つ以上の重要なプロセスの制御論理を当該コントローラモジュールから隔離するステップと、当該コントローラモジュールが、当該１つ以上の重要なプロセスのための制御論理を含む当該ＦＰＧＡモジュールと、当該１つ以上の重要なプロセスを除いたそれ以外のすべてのプロセスの制御論理を含むマスタープロセッサとから成るように、当該１つ以上の重要なプロセスの当該制御論理を当該ＦＰＧＡモジュール内に書き込むことによって当該ＦＰＧＡモジュールを構成するステップから成る。

本発明の上記および他の局面は、本発明の特徴を表す様々な新規の特性と共に、本願に付属し本願の一部を成す請求項の中に詳しく記述してある。本発明と、その運用上の利益と、それを使用することによって達成される具体的な目的とを十分に理解するためには、本発明の例示的な実施態様を説明してある添付図面および記述事項を参照すべきである。

本発明の利点と特徴のさらなる理解に資するように、添付の図面を参照して以下に詳しく説明する。

本発明の一実施態様における防護されたＤＣＳの概略図である。

本発明の一実施態様におけるコントローラモジュールのブロック図である。

本発明の一実施態様におけるＤＣＳを防護する方法の流れ図である。

本発明の一実施態様におけるＥＳＤシステムと協働する本発明のシステムの概略図である。

いくつかの図面の中で使用している同じ参照番号は、同じ構成要素を指している。

以下の説明では、本発明の十分な理解に資するように、説明目的で多数の具体的な詳細事項を記載する。しかし、これらの具体的な詳細事項がなくても本発明を実施できることは、当業者にとって明らかである。

本願で使用する「複数」という用語は、対象となる品目が２つ以上存在することを意味する。また、「１つの」および「少なくとも」という用語は、数量の制限を表すものではなく、対象品目が１つ以上存在することを意味する。

「産業プロセス」または「プロセス」という用語は、本願では同じ意味で使われ、相互に置き換えて使用可能である。

例示的な一実施態様において、本発明は産業用制御システムを防護するための方法およびシステムを提供する。本発明のシステムおよび方法は、容易で、費用効率が高く、環境に優しく、生産的なやり方で大規模な導入を行うために使用できる。

本発明の改良点は、本願で具体的に説明する対象以外にも、産業用制御システムを防護するための多数の方法およびシステムに適用可能である。かかる方法およびシステムは、通常の技量を有する当業者にとって容易に理解可能であり、当技術分野で公知の様々な変更を加えることによって実現できる。

本願で使用する商標、ソフトウェア名等はそれぞれ、所有者である企業の財産であり、本願では説明目的でのみ使用する。本願の出願人は、そのような用語についていかなる権利も主張しない。

本願における「一実施態様」または「別の実施態様」への言及は、その実施態様に関連して説明する特定の機能、構造物または性質を、本発明の１つ以上の実施態様に含めることができることを意味する。本願の随所で使用する「一実施態様において」という表現は、必ずしも同じ実施態様を指すものではなく、個別のまたは代替の実施態様は他の実施態様と相互排他的でもない。また、本発明の１つ以上の実施態様を表すプロセス流れ図または図面におけるステップの順序は、特定の順序を本質的に示すものではなく、本発明における制限を意味するものでもない。

図１に示すのは、本発明の一実施態様における、産業プロセスを制御するために使用される防護された分散制御システム１０の概略図である。システム１０は複数のフィールド機器１２から成り、各フィールド機器１２は、産業プロセスの始動と停止、センサからのデータ収集、産業プロセスパラメータの警報条件に対する監視を含む動作を行わせるために使用される。システム１０に含まれるコントローラモジュール１４は、複数のフィールド機器１２から受け取ったデータに基づいて、複数の産業プロセスを制御し、事前に設定した制御論理に従ってプロセス状態および警報条件について必要な措置を講じる。コントローラモジュール１４は、複数の産業プロセスのうち１つ以上の重要な産業プロセスのための制御論理を含むフィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）モジュール１６と、複数の産業プロセスから重要なプロセスを除いた他のすべての産業プロセスのための制御論理を含むマスタープロセッサ１８とから成る。このシステムはさらに、複数のフィールド機器１２とコントローラモジュール１４との間で信号を送受信するための入出力モジュール２０を含む。

フィールド機器１２には、様々な種類の分析機器、圧力センサ、容量型圧力センサ、抵抗型温度計、電源スイッチ、熱電対、リミットスイッチ、オン／オフスイッチ、流量送信器、圧力送信器、静電容量型レベルスイッチ、計量器、弁開度検出装置、弁制御器、アクチュエータ、電磁弁および表示灯が含まれることがある。本願で使用する「フィールド機器」という用語は、上記の装置、および分散制御システムにおいて機能を果たす制御技術分野で公知のその他すべての装置を包含する。

コントローラモジュール１４は、フィールド機器１２からプロセスパラメータに関する信号を受信し、それぞれの産業プロセスの制御に必要な措置を講じる。コントローラモジュール１４は、すべてのプロセスに対して、プロセスの正しい動作パラメータは何か、検出されるパラメータの閾値は何か、パラメータに変化があった場合にどのような措置を講じるかを定める制御論理プログラムを有する。コントローラモジュール１４は、入出力モジュール２０を介してフィールド機器１２から信号を受信する。入出力モジュール２０は、フィールド機器１２によって収集された種々のプロセスパラメータの値をコントローラモジュール１４に転送すると共に、必要な措置を講じるためのコマンドを、コントローラモジュールからフィールド機器へ送信する。

本発明のシステム１００にさらに含まれる操作卓（図示せず）によって、運転員は種々の産業プロセスを監視し、プロセスの制御に必要なコマンドを送ることができる。

本発明のコントローラモジュール１４は、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）モジュール１６とマスタープロセッサ１８とから成る。従来のＤＣＳコントローラモジュールは、複数の産業プロセスすべてのための制御論理を含む単一のプロセッサを有している。しかし、本発明のシステム１０は、複数の産業プロセスから選ばれた１つ以上の重要な産業プロセスのための制御論理を含むフィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）モジュール１６と、複数の産業プロセスから重要なプロセスを除いた他のすべての産業プロセスのための制御論理を含むマスタープロセッサ１８とから成るコントローラモジュール１４を有する。本発明の別の実施態様では、複数のプロセスを重要なプロセスとして特定し、それぞれの制御論理をＦＰＧＡモジュール１６内に書き込むことができる。

本発明の一実施態様において、ＦＰＧＡモジュール１６内の制御論理は、ハードウェア記述言語で構成されている。ＦＰＧＡモジュールは、特殊ツールを使った場合にのみ構成でき、特殊ツールを利用できない場合は構成することができない。

ＦＰＧＡ（フィールド・プログラマブル・ゲート・アレイ）モジュールは、顧客または設計者によって構成できるように設計されたプログラム可能な集積回路である。ＦＰＧＡセキュリティはソフトウェア、また知的財産である。ＦＰＧＡは既製のシリコン素子であり、電子的にプログラミングすることによって、ほとんどあらゆる種類のデジタル回路またはシステムを構成することができる。合成ツールによってコードから翻訳されたビットストリームを、ＦＰＧＡの構成メモリにダウンロードする。一般的には、ハードウェア記述言語（ＨＤＬ）を用いて機器を構成する。また、特定の機器に対して最適化されたライブラリに基づく解決策もある。

ＦＰＧＡは、同時に並列処理することができる。並列処理によると、速度をはるかに高速化できるだけでなく、コンピュータのようにタスクやコンテキストを切り替える必要もなくなる。リアルタイム用途におけるコンピュータオペレーティングシステムの主要な機能は、プログラムにおいて、割り込みを処理するためにタスクを切り替え、コンピュータリソースを様々なタスクに差し向けることである。ＦＰＧＡ内の並列回路はまた、信号処理用途の目的で効率的なパイプライン処理も実行する。

ＨＤＬは、ＦＰＧＡを構成するための最も一般的な手法である。ＶＨＤＬおよびＶｅｒｉｌｏｇという２つの言語が支配的である。Ｖｅｒｉｌｏｇは当初、ハードウェアをモデル化するためのＣ言語に類似するプログラミング言語であった。ＦＰＧＡは、複雑なデジタル計算を実施するために、論理ゲートおよびＲＡＭブロックの多くのリソースを有している。

ハードウェア記述言語によるＦＰＧＡモジュールの構成は、意図的な人為的妨害や、サイバー攻撃、マルウェア、トロイの木馬、ウィルス、感染した記憶装置、またはそれらの組み合わせを含むオフラインもしくはオンラインのソフトウェアの脅威による制御論理の改変を防ぎ、それにより、重要なプロセスの制御論理が改変されないようシステム１０を防護する。感染した記憶装置とは、制御論理に影響を与えるプログラムに感染した、例えばＵＳＢ、メモリカード、ハードディスクまたは当技術分野で公知の記憶装置などの外部記憶装置または一体型記憶装置である。

制御論理の劣化または改変と、ＤＣＳに対する脅威は、外部または内部の脅威であることが考えられる。外部の脅威は、インターネット、ＥＲＰネットワークまたはプラントネットワークに接続されたその他のネットワークを介して、あるいはＵＳＢや外部ハードドライブなどの感染された大容量記憶装置もしくはその他の記憶装置を介して侵入する可能性がある。外部の脅威として、あらゆる種類のマルウェア、ウィルス、トロイの木馬、ワーム、スパイウェア、または制御ネットワークのハッキングが考えられる。

同様に、内部の脅威として、プロセス制御装置の取り扱いにおける人的ミスによる警報条件の発生などの人的影響が考えられる。プラントの運転時、保守時またはその他のプラント条件下での意図的な人為的妨害のような形態もありうる。本発明のシステム１０は、外部および内部の脅威に対して産業プロセス用の制御論理の劣化または改変を防止する。

本発明のさらに別の実施態様において、ＦＰＧＡモジュール１６は、通信バスを使用してマスタープロセッサ１８および入出力モジュール２０と結合されるハードウェア機器である。これによって、システム１０を実装するのが非常に容易になる。重要なプロセスの制御は、コントローラモジュールのレベルで既存のＤＣＳに組み込むことができるＦＰＧＡモジュール１６上に実装され、ＤＣＳで利用できるものと同じ入出力を有効に利用する。したがって、新しい制御システムへの投資を回避できる。

ＤＣＳに加えて産業用制御システムもまた、非常事態で作動してプラントを運転停止させるＥＳＤ（緊急停止装置）を有している。サイバー攻撃による運転停止後に、ＤＣＳシステムを再び完全に試験するまでは、起動と生産活動を実施することはできない。ＤＣＳの完全な試験と試運転が必要である。本発明のシステム１０では、比較的重要ではないプロセスについてのみ試験および試運転が必要なので、プラントの再試験および試運転活動を減らすことができる。重要なプロセスはＦＰＧＡの中で安全であり防護されているので、それ以外の比較的重要ではないプロセスについてのみ試験と試運転が要求される。これにより、サーバ攻撃が起きた場合にＤＣＳの完全な試験および試運転を行わないのでプラントの起動がより迅速になると共に、経済および環境面の危険を取り除き、安全性を高めることができる。

図２は、本発明の一実施態様におけるコントローラモジュール１４のブロック図である。コントローラモジュール１４は、ＦＰＧＡモジュール１６およびマスタープロセッサ１８から成る。ＦＰＧＡモジュール１６はＦＰＧＡプロセッサユニットを有し、メモリユニット、タイマーユニットおよび入出力ユニットに接続されている。同様に、マスターコントローラ１８は、指示ユニット、レジスタユニット、タイマーユニット、演算装置（ＡＬＵ）、アドレスユニット、メモリユニット、整数ユニット、プロセッサユニットおよび入出力ユニットを有し、それらはデータバスを介して接続されている。

図３に示すのは、本発明の一実施態様に基づく、産業プロセスの制御に使用する分散制御システムを制御論理の改変から防護する方法１００の流れ図である。この方法１００の最初のステップ１１０では、複数のフィールド機器１２、コントローラモジュール１４および入出力モジュール２０を含む分散制御システムを提供する。プラントの産業プロセス制御において、先行技術で利用可能な従来型ＤＣＳを提供・実装する。フィールド機器１２は、プロセスパラメータに関する情報を収集し、入出力モジュール２０を介してコントローラモジュール１４に提供する。コントローラは、すべての情報を監視し、コントローラモジュールにおけるデータおよび制御論理のプログラミングに基づいて、必要なコマンドをフィールド機器に提供する。ＤＣＳはさらに、産業プロセス制御で使用するための先行技術で利用可能な他の標準構成機器を含むことがあり、本願ではそれらを参照する。

ステップ１２０では、産業プラントの複数の産業プロセスの中から１つ以上のプロセスを重要なプロセスとして特定する。この特定は、経験に基づくこともあれば、プラント所有者または設計者の選択に基づくこともある。本発明の別の実施態様では、複数のプロセスを重要なプロセスとして特定することができる。例えば火力発電所では、ボイラー、タービン、復水器、給水ポンプおよび排気筒など様々な構成機器が様々な動作をする。プラント技師が、ボイラーの動作がプラントにとって重要であると考えるのであれば、ボイラー内での蒸気の発生が重要なプロセスとして特定される。プラント技師はまた、給水ポンプも重要な構成機器であると考える可能性があるが、その場合、このプロセスも別の重要なプロセスとして特定され、２つのプロセスが重要なプロセスとして特定されることになる。

同様に、石油精製所の加熱炉、コークスドラム、急冷塔、分留塔およびリフラックスドラムから成る重質油熱分解装置に関して、運転員はコークスドラムの動作が重要であると特定する可能性があるが、その場合、そのプロセスが本発明の方法における重要なプロセスとして使用されることになる。

次にステップ１３０において、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）モジュール１６が提供される。ＦＰＧＡモジュール１６は、顧客または設計者によって構成できるように設計されたプログラム可能な集積回路である。

ステップ１４０では、特定された重要なプロセスの制御論理が、コントローラモジュール１４から隔離される。特定された重要なプロセスの制御論理のプログラミング部分が、このコントローラモジュールから取り除かれる。

次のステップ１５０では、重要なプロセスの制御論理をＦＰＧＡモジュールに書き込むことによってＦＰＧＡモジュール１６を構成する。特定された重要なプロセスに対応するプログラミング部分は、コントローラモジュールから取り除かれてＦＰＧＡモジュールに組み込まれるため、コントローラモジュールでは２つの構成機器が同時に動作する状況になる。すなわち、重要なプロセスの制御論理を含むＦＰＧＡモジュールと、複数の産業プロセスから重要なプロセスを除いた他のすべてのプロセスの制御論理を含むマスタープロセッサ１８である。入出力モジュール２０は、マスターコントローラ１８およびＦＰＧＡモジュール１６の両方に共通であるが、ＦＰＧＡモジュール１６は、重要なプロセスの制御論理のみを有している。前述の火力発電所の例では、例えばボイラードラムのレベルでの制御論理はＦＰＧＡモジュール内にあり、火力発電所におけるそれ以外のプロセスはマスタープロセッサが制御する。

本方法の一実施態様では、制御論理をハードウェア記述言語で書くことによってＦＰＧＡモジュールを構成する。別の実施態様では、特殊ツールを使用することによってのみＦＰＧＡモジュールを構成する。ハードウェア記述言語によりＦＰＧＡモジュールを構成すると、意図的な人為的妨害や、サイバー攻撃、マルウェア、トロイの木馬、ウィルス、感染した記憶装置、またはそれらの組み合わせを含むオフラインもしくはオンラインのソフトウェアの脅威による制御論理の改変が防止される。感染した記憶装置とは、制御論理に影響を与えるプログラムに感染した、例えばＵＳＢ、メモリカード、ハードディスクまたは当技術分野で公知の任意の記憶装置などの外部記憶装置または一体型記憶装置である。

原子力発電事業において設計の窃盗は最大の懸念事項であり、プログララマブル論理に統合能力があることから、数や種類が増大するそのような用途について複製やリバースエンジニアリングに対する懸念が生まれる。同様に、設計者／メーカーは、自社製システムに組み込まれた知的財産を含む製品や設計を、複製やリバースエンジニアリングから保護することを望んでいる。設計者／メーカーはまた、ＦＰＧＡが送受信するデータストリームの完全性と機密性を保護することを望んでいる。ユーザは、装置の設計が、複製、破壊または他の態様で損なわれるのを防ぐことに関心がある。知的財産のセキュリティは、競争上の優位性が、複雑な自社開発設計を実装する能力に依拠している企業や知的財産の開発者にとって主要な関心事である。知的財産の窃盗は近年劇的に増えており、多大な経済的損失をもたらしている。ＦＰＧＡモジュール内の重要なプロセスの制御論理をハードウェア記述言語で書くことは、模倣者による内容の複製や、設計および知的財産の窃盗を防ぐことにもなる。ＦＰＧＡは特殊ツールを用いなければ構成できないので、リバースエンジニアリングや複製を行うのが比較的難しい。

図４は、本発明の一実施態様におけるＥＳＤシステムと協働する本発明のシステムの概略図である。ＥＳＤシステムは一次および二次ＥＳＤネットワークを有し、これらはそれぞれ、２つの冗長な中央演算処理装置（ＣＰＵ）であるＣＰＵ１およびＣＰＵ２に接続されている。これらのＣＰＵは、各自意図される機能を果たし、それぞれのネットワークと相互作用することにより、ネットワークに接続された他のシステムに対して全体像を示す。ＥＳＤシステムはさらに、フィールド機器から情報を受け取りＣＰＵからフィールド機器にコマンドを送るための４つの冗長な入出力カードを有し、それによってフィールド機器の動作を制御する。ＥＳＤシステムは、非常に重要度の高い警報状態が発生した場合や、いずれかの制御パラメータについて非常に高い設定値が生じた場合に、プラントの運転を停止するように設計されている。ＥＳＤシステムは、産業プラントのいずれか１つの構成機器またはプロセスに関連して非常に高い警報信号または非常に高い設定値を受信した場合に、トリップコマンドを送信してプラント全体を停止させる。

図４に示すＤＣＳは、本発明の一実施態様における防護されたＤＣＳ１０である。ＤＣＳ１０は、ＦＰＧＡ１６とマスタープロセッサ１８とを備えたコントローラモジュール１４を有し、本願ではこれをハイブリッドＤＣＳと称する。本願における「ハイブリッドＤＣＳ」という用語はまた、本発明のシステム１０を指す。図に示すように、ハイブリッドＤＣＳは２つの冗長なＣＰＵ、すなわちハイブリッドＣＰＵ１およびハイブリッドＣＰＵ２を含み、これらはそれぞれ一次ＤＣＳネットワークおよび二次ＤＣＳネットワークに接続されている。本発明の一実施態様において、システム１０は、ＥＳＤシステムの入出力カードとは独立にフィールド機器から直接データを収集するための、随意的な４つの冗長な入出力カードを含むことができる。

ＤＣＳシステム１０は、プラントの公称運転用であり、プラントを運転停止させるものではない。このシステムは、重要度の低い警報および低設定値に対しては動作状態である。いずれかのプロセスまたは構成機器がＤＣＳ制御の範囲内のパラメータ値を示す場合、ＤＣＳ制御部は、特定されたプロセスまたは構成機器を動作させるために閉鎖コマンドを送信する。警報状態および設定値が低い場合、プラント全体の運転停止は要求されず、特定のプロセスまたは装置のみを閉鎖することにより、停止したプロセスまたは構成機器が修理されるまでの間、それ以外のプロセスを機能させることができる。本発明のＤＣＳシステム１０は、そのような状況下で安全でないプラントの運転やプラント全体の運転停止を回避することにより、サイバー攻撃後のプラントの再試験および試運転による多大な損失の発生を防止する。ＥＳＤおよびＤＣＳシステムは、フィールド機器からデータを受け取り、ＤＣＳおよびＥＳＤシステムの論理に基づいて最終的な信号をフィールド機器へ送信する。

ＦＰＧＡには、以下のような複数の利点がある。
・高い信頼性
・高速度
・概念的に簡単な実装
・非常に頑丈で放射線耐性が高い（いくつかの原子炉ではＦＰＧＡを用いて安全性を実装したり機能を省略したりしている）。
・より柔軟性のあるプログラミング
・速い入出力応答と特化した機能性
・デジタル信号プロセッサよりも高い計算能力
・低い消費電力
・長期間にわたる高レベルの制御

ＦＰＧＡを用いたこのシステム１０および方法１００は、前述のような利点があるため、原子力プロセス制御システムへの実装に有用である。ＦＰＧＡおよびそれに関連するソフトウェアツールの性能は近頃向上しており、今日では、ほとんどの複雑なデジタル制御システムの設計への採用が検討されている。

本発明の方法は、簡易で、費用効率が高く、環境に優しく、かつ生産的なやり方による、既存のＤＣＳにおける１つのステップとしての実装、あるいは、新しい独立のＤＣＳまたはソフトウェアの一部としての開発が可能である。

さらに、本願では、本発明の特定の実施態様が不明瞭になるのを避けるために、周知の方法、手順およびステップを記述していない。また、様々なシステムおよび方法を使用することによって、本発明の実施態様に関して様々な局面を提供することができる。

本発明の特定の例示的な実施態様を説明目的で詳細に開示したが、本方法のステップの再構成、ステップの変更、装置の差異を含め、開示された発明の変形や改造が可能であることを当業者は理解するであろう。したがって本発明は、本発明の精神と範囲内に収まるそのようなすべての代替、改造および変形を包含することを意図している。

上記の本発明の具体的な実施態様の記述は、例証および説明を目的とするものである。この記述は、網羅的であることを意図しておらず、開示された形式に厳密に沿って本発明を限定する意図もなく、上記の教示に照らして多くの改造や変形が可能であるのは明らかである。本出願で選択および記述した実施態様は、本発明の原理および実用的な応用を最もよく説明すると共に、それによって当業者が本発明と様々な実施態様を、意図される特定の用途に適した様々な改造と共に最もよく利用できるようにするために示したものである。状況に応じて得策であれば様々な省略および置換が考えられるが、本願の特許請求の精神または範囲から逸脱することなく、かかる応用または実施を包含することを意図している。

Claims (9)

1. 産業プロセスの制御に使用される防護された分散制御システムであって、
   各々が、産業プロセスの始動と停止、センサからのデータ収集、産業プロセスパラメータの警報条件の監視を含む動作を行わせるための複数のフィールド機器と、
   当該複数のフィールド機器から受け取ったデータに基づいて、複数の産業プロセスを制御し、事前に設定した制御論理に従って警報条件について必要な措置を講じるコントローラモジュールであって、
   当該複数の産業プロセスのうち１つ以上の重要な産業プロセスのための制御論理を含むフィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）モジュール、および
   当該複数の産業プロセスから当該１つ以上の重要なプロセスを除いた他のすべての産業プロセスのための制御論理を含むマスタープロセッサ
   からなるコントローラモジュールと、
   当該複数のフィールド機器と当該コントローラモジュールとの間で信号を送受信するための入出力モジュールと
   から成るシステム。
2. 前記ＦＰＧＡモジュール内の前記制御論理がハードウェア記述言語で構成されている、請求項１のシステム。
3. 前記ＦＰＧＡモジュールは特殊ツールを使用することによってのみ構成できる、請求項１のシステム。
4. 前記ハードウェア記述言語により前記ＦＰＧＡモジュールを構成することにより、意図的な人為的妨害や、サイバー攻撃、マルウェア、トロイの木馬、ウィルス、感染した記憶装置、またはそれらの組み合わせを含むオフラインもしくはオンラインのソフトウェアの脅威による前記制御論理の改変を防止することを特徴とする、請求項２のシステム。
5. 前記ＦＰＧＡモジュールが、通信バスにより前記マスタープロセッサおよび前記入出力モジュールに結合されたハードウェア構成機器である、請求項１のシステム。
6. 産業プロセスの制御に使用する分散制御システムを制御論理の改変から防護する方法であって、
   複数のフィールド機器、コントローラモジュールおよび入出力モジュールを含む分散制御システムを提供するステップと、
   複数の産業プロセスの中から１つ以上の重要な産業プロセスを特定するステップと、
   フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ）モジュールを提供するステップと、
   当該１つ以上の重要なプロセスの制御論理を当該コントローラモジュールから隔離するステップと、
   当該コントローラモジュールが、当該１つ以上の重要なプロセスのための制御論理を含む当該ＦＰＧＡモジュールと、当該複数の産業プロセスから当該１つ以上の重要なプロセスを除いた他のすべてのプロセスの制御論理を含むマスタープロセッサとから成るように、当該１つ以上の重要なプロセスの当該制御論理を当該ＦＰＧＡモジュール内に書き込むことによって当該ＦＰＧＡモジュールを構成するステップと
   から成る方法。
7. 前記制御論理をハードウェア記述言語で書くことによって前記ＦＰＧＡモジュールを構成する、請求項６の方法。
8. 前記ＦＰＧＡモジュールは特殊ツールを使用することによってのみ構成できる、請求項６の方法。
9. 前記ハードウェア記述言語により前記ＦＰＧＡモジュールを構成することにより、意図的な人為的妨害や、サイバー攻撃、マルウェア、トロイの木馬、ウィルス、感染した記憶装置、またはそれらの組み合わせを含むオフラインもしくはオンラインのソフトウェアの脅威による前記制御論理の改変を防止することを特徴とする、請求項７の方法。