JP2020030450A - 情報セキュリティ装置および情報セキュリティシステム - Google Patents

Abstract

【課題】異常な通信データを情報処理装置に送ることが無く、しかも健全な通信データの送受信については遅らせることの無い情報セキュリティ装置を提供する。【解決手段】外部システム１０９からの情報の健全性をチェックする通信データチェック部４と、情報処理装置１に情報を入出力する入出力部３との間にリレースイッチ部５を設け、通信データチェック部にてチェックされた情報が健全でない場合にのみリレースイッチ部を開放状態にする。【選択図】図１

Description

本願は、情報セキュリティ装置および情報セキュリティシステムに関するものである。

火力発電プラントおよび原子力発電プラントにおいて使用されている制御装置には、制御データを含む制御プログラムおよび制御プログラムを起動するための基本ソフトが搭載されたコンピュータが採用されている。
外部から受信した情報を使用してプラントを制御する情報処理装置の場合には、外部からの情報を受ける外部システムと、プラントを制御する情報処理装置としての制御装置との間に、情報セキュリティ装置を設け、マルウエアおよびウイルスが外部から侵入することの無いように、外部からの情報をチェックして、安全性が確認された情報だけが情報処理装置に届けられるように工夫されている。

特許文献１においては、外部からの情報を受け入れる受信部と情報処理装置としての制御装置との間に情報セキュリティ装置を設け、この情報セキュリティ装置には、外部システムに接続される入出力部に第１のスイッチが設けられ、制御装置に接続される入出力部に第２のスイッチが設けられ、この第１のスイッチと第２のスイッチとが同時にオンにならないように構成することが提案されている。

まず、外部システムから情報セキュリティ装置へデータが送られる際は、外部システムから情報セキュリティ装置の物理スイッチ部に対してデータを送る旨の通知をし、外部システムと情報セキュリティ装置間のスイッチがオンとなる。この時、情報セキュリティ装置と情報処理装置としての監視制御装置のスイッチは、オフのままである。情報セキュリティ装置内の通信データチェック部でファイルの健全性が確認できれば、物理スイッチ部へ確認完了の旨の通知をし、外部システムと情報セキュリティ装置間のスイッチをオフ、情報セキュリティ装置と監視制御装置のスイッチをオンして、ファイルを監視制御装置の通信部へ送信する。

また、逆方向の通信も同様にして、監視制御装置からセキュリティ装置へデータが送られる際は、監視制御装置から情報セキュリティ装置の物理スイッチ部に対してデータを送る旨の通知をし、監視制御装置と情報セキュリティ装置間のスイッチがオンとなる。この時、セキュリティ装置と外部システムのスイッチはオフのままである。情報セキュリティ装置内の通信データチェック部でファイルの健全性が確認できれば、物理スイッチ部へ確認完了の旨の通知をし、監視制御装置と情報セキュリティ装置間のスイッチをオフにして、情報セキュリティ装置と外部システム間のスイッチをオンして、ファイルを外部システムへ送信する。

特開２０１６‐９３８０号公報

特許文献１に提案されているシステムでは、外部システムと情報セキュリティ装置との間の第１のスイッチと、情報セキュリティ装置と監視制御装置との間の第２のスイッチが、情報セキュリティ装置で通信データの健全性を確認する都度、スイッチの開閉動作を行い、このスイッチが同時に閉状態とならないように開閉操作を行うことによってデータの送受信が遅くなるという問題があった。
本願は、前述の問題を解決するためになされたものであり、異常な通信データを情報処理装置に送ることが無く、しかも健全な通信データの送受信については遅らせることの無い情報セキュリティ装置を得ることを目的とする。

本願の情報セキュリティ装置は、外部と情報処理装置との間に設けられる装置であって、前記外部からの情報を受ける第１の入出力部、前記情報処理装置に情報を送る第２の入出力部、前記第１の入出力部と前記第２の入出力部との間に設けられ、前記第１の入出力部にて受けた情報の健全性をチェックする通信データチェック部、前記通信データチェック部と前記第２の入出力部との間に設けられたリレースイッチ部、および前記通信データチェック部にてチェックされた情報が健全でない場合に前記リレースイッチ部を開放状態に制御する制御部を備え、前記第１の入出力部から前記第２の入出力部の間において通信データを遮断するスイッチが前記リレースイッチ部のみであることを特徴としている。

本願に開示される情報セキュリティ装置は、通信データチェック部と第２の入出力部との間にリレースイッチ部を設け、通信データが健全でない場合にのみ、リレースイッチ部によって送信を遮断するようにすると共に、第１の入出力部から前記通信データチェック部の間にはスイッチを設けないことによって、データの送受信が遅くならないようにできるものである。

本願の実施の形態１の外部システム、情報処理装置、および情報セキュリティ装置との関係を示す概略的な構成のブロック図である。 本願の実施の形態１のセキュリティＩＯカードとＣＰＵカードとを備えた情報セキュリティシステムの構成を示すブロック図である。 本願の実施の形態１のセキュリティＩＯカードとＣＰＵカードとのデータフローを示すブロック図である。 本願の実施の形態２のセキュリティＩＯカードとＣＰＵカードとのデータフローデータフローを示すブロック図である。 本願の実施の形態３のセキュリティＩＯカードとＣＰＵカードとのデータフローデータフローを示すブロック図である。 本願の実施の形態４のセキュリティＩＯカードを備えた情報セキュリティシステムの構成を示すブロック図である。 本願の実施の形態４のセキュリティＩＯカードのデータフローを示すブロック図である。

実施の形態１
以下、図１に示す概略的な全体構成図に基づいて実施の形態１の説明を行う。図１において、情報セキュリティ装置１００は、外部システム１０９と情報処理装置１との間に設けられ、外部システム１０９から情報処理装置１に送信される情報の健全性をチェックする。すなわち、情報セキュリティ装置１００は、外部システム１０９に情報を入出力する第１の入出力部２、情報処理装置１に情報を入出力する第２の入出力部３、第１の入出力部２と第２の入出力部３との間に設けられ、第１の入出力部２にて受けた情報の健全性をチェックする通信データチェック部４、通信データチェック部４と第２の入出力部３との間に設けられたリレースイッチ部５、および通信データチェック部４にてチェックされた情報が健全でない場合に、リレースイッチ部５を開放状態にする制御部６を備え、通信データチェック部４にて、外部システム１０９からの通信データの健全性をチェックした結果、通信データが異常時のみリレースイッチ部５を開放状態（オフ状態）とするようにして、第１の入出力部から前記通信データチェック部の間に物理的なスイッチ部を設けていないものである。

情報処理装置がＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）カードの形態となっている場合に、図１に示した構成の情報セキュリティ装置を、如何にして実現するかということが重要になる。すなわち、外部からの通信をＣＰＵカードが直接受信しているような場合、情報セキュリティ装置をセキュリティＩＯ（Ｉｎｐｕｔ／Ｏｕｔｐｕｔ）カードとして実現する必要がある。このセキュリティＩＯカードの構成を図２に示す。

図２は、情報セキュリティ装置１００をセキュリティＩＯカード１０３によって実現する情報セキュリティシステムの構成を示している。この情報セキュリティ装置１００としてのセキュリティＩＯカード１０３は、ＣＰＵ装置１０１に組み込まれて構成されている。このＣＰＵ装置１０１には、ＣＰＵカード１０２をはじめ各種Ｉ／Ｆ（Ｉｎｔｅｒｆａｃｅ）カード１１２を、差し込むことのできるスロット（図には表れていない）が設けられており、ＣＰＵ装置１０１の裏側に設けられたＰＣＩ−ｅｘｐｒｅｓｓ（ＰＣＩ−ＳＩＧ（ＰＣＩ ＳｐｅｃｉａｌＩｎｔｅｒｅｓｔ Ｇｒｏｕｐ）によって仕様が策定されたシリアルインターフェース規格のことである）のマザーボードに対して、ＣＰＵカード１０２、セキュリティＩＯカード１０３、および各種Ｉ／Ｆカード１１２が、コネクタＩ／Ｆを経由してマザーボードに接続される形態になっている。

セキュリティＩＯカード１０３は、ＣＰＵ装置１０１の任意の空きスロットに挿入する。セキュリティＩＯカード１０３の前面には、ＣＰＵカードと同様にＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）Ｉ／Ｆ１０６およびＳＤカードスロット１０７が実装されている。外部システム１０９との通信は、ＬＡＮＩ／Ｆ１０６で行い、ＳＤカード１０８の装置情報は、ＳＤカードスロット１０７を通じて入出力する。外部システム１０９からの通信は、まず、セキュリティＩＯカード１０３へ入力され、セキュリティＩＯカード１０３上で、通信データはチェックを受けた後、データフロー１１０の流れでＣＰＵカード１０２へ伝送される。ＣＰＵカード１０２上で一般的な受信処理がされた後、各種Ｉ／Ｆカード１１２へ伝送され、ここから他の制御装置および保守端末の機器へ指令が送られる

図３に示すブロック図によって、外部システム１０９から受信した情報についてのデータフローを説明する。
セキュリティＩＯカード１０３は、バックプレーン１２１のコネクタ１２２に接続され、ＣＰＵカード１０２は、バックプレーン１２１のコネクタ１２３に接続される。
セキュリティＩＯカード１０３上のＬＡＮＩ／Ｆ１０６およびＳＤカードスロット１０７で受けた外部システム１０９およびＳＤカード１０８からの通信データは、ＭＰＵ（Ｍｉｃｒｏｐｒｏｃｅｓｓｏｒ ｕｎｉｔ）１２４に接続された接続Ｉ／Ｆ１３４、１３５を経て、ＭＰＵ１２４のファイアウォール異常検知部１２５、もしくはウイルスチェック異常検知部１２６でデータの健全性をチェックし、ＭＰＵ１２４からリレーＳＷ（Ｓｗｉｔｃｈ）部１２９に接続された接続Ｉ／Ｆ１３６を経て、リレーＳＷ部１２９を通過し、バックプレーン１２１を経由してＣＰＵカード１０２へ送信される。ＣＰＵカード１０２へ送信された通信データは、ＣＰＵカード１０２上のデータ処理部１３１にて処理され、各種Ｉ／Ｆカード１１２へ送信される。

仮に、セキュリティＩＯカード１０３が、異常な通信データおよび攻撃を受信し、ＭＰＵ１２４のファイアウォール異常検知部１２５で異常が検知されると、異常通知部１２７からリレーＳＷ部１２９へ指令が送られ、リレーＳＷ部１２９が開状態となり、物理的に外部からの通信データを遮断するため、ＣＰＵカード１０２および各種Ｉ／Ｆカード１１２が保護される。また、同様に、ＳＤカード１０８内のデータにマルウエアが含んでいた場合には、ＭＰＵ１２４のウイルスチェック異常検知部１２６でウイルス検知し、異常通知部１２７から接続Ｉ／Ｆ１３７を通じてリレーＳＷ部１２９へ指令が送られ、リレーＳＷ部１２９が開状態となり、物理的に外部からの通信データを遮断することになり、ＣＰＵカード１０２および各種Ｉ／Ｆカード１１２に異常な通信データおよび攻撃が届くことが無い。

このように、外部システム１０９およびＳＤカード１０８からセキュリティＩＯカード１０３の間には物理的なスイッチ部を設けずに、セキュリティＩＯカード１０３からＣＰＵカード１０２間にのみ物理的なスイッチ部を設けるため、スイッチの開閉のタイミングとは無関係に、データに異常が検知された場合のみリレースイッチ部が開状態とされるので、正常時のデータ送受信を効率よく行うことができる。

実施の形態２
実施の形態１においては、異常な通信データおよび攻撃を受信した場合に通信を遮断する機構について述べたが、この実施の形態２においては、さらに、ＣＰＵカード１０２上にＬＡＮＩ／Ｆ１０４およびＳＤカードスロット１０５を備えている場合を取り上げている。この実施の形態２においては、セキュリティＩＯカード１０３がバックプレーン１２１のコネクタ１２２にセットされると、ＣＰＵカード１０２上のＬＡＮＩ／Ｆ１０４およびＳＤカードスロット１０５を無効とする機構を設けている。これによって、誤ってＣＰＵカード１０２に外部システム１０９とつながるＬＡＮケーブルを挿入した場合および誤ってＳＤカード１０８をスロットに挿入した場合でも、情報処理装置としての制御装置のセキュリティを確保できるようにしている。

図４に示すブロック図によって外部システム１０９およびＳＤカード１０８から受信した情報についてのデータフローを説明する。
まず、セキュリティＩＯカード１０３を挿入することにより、セキュリティＩＯカード１０３上のＭＰＵ１２４の存在通知部１２８が、バックプレーン１２１経由で、ＣＰＵカード１０２へ存在通知信号１３８を送信する。存在通知信号１３８は、ＣＰＵカード１０２上のＭＰＵ１３２の通信制御部１３０にて処理され、ＣＰＵカード１０２のＬＡＮＩ／Ｆ１０４およびＳＤカードスロット１０５を無効化させる。

セキュリティＩＯカード１０３を挿入すると、ＣＰＵカード１０２上のＭＰＵ１３２の所定の端子がＧＮＤレベルに落ち、ＭＰＵ１３２がその変化を検知すると、ＬＡＮＩ／Ｆ１０４およびＳＤカードスロットから入ってくる通信データを無視（無効化）する。
外部システムからの通信データを無視（無効化）するため、ＣＰＵカード１０２上の、ＬＡＮＩ／Ｆ１０４およびＳＤカードスロット１０５に誤って通信ケーブルおよびＳＤカードを挿した場合でも、ＣＰＵカード１０２は外部システム１０９からの通信データを認識することがないため、ＣＰＵカード１０２のセキュリティを保つことができる。

実施の形態３
実施の形態１においては、異常な通信データおよび攻撃を受信すると、通信を遮断する機構について、述べたが、この実施の形態３においては、図５に示すように、セキュリティＩＯカード１０３上に、メモリ２０１と専用ＬＡＮＩ／Ｆ３０１を設けることで、管理装置３０４とセキュリティＩＯカード１０３が随時通信できるようになる。このようにすることによって、異常時の通知およびウイルスパターンファイルの更新を随時行うことができるようになる。なお、専用ＬＡＮＩ／Ｆ３０１は、外部システム１０９とは接続されることなく、ローカル専用線とする。

セキュリティＩＯカード１０３上のＭＰＵ１２４の異常通知部１２７で異常を検知した場合、検知した異常ログをメモリ２０１およびＳＤカード１０８に保存することができる。また、異常ログをメモリ２０１から専用ＬＡＮＩ／Ｆ３０１を経由して、管理装置３０４へ送信するため、過去に発生した異常および攻撃の内容を分析することができることによって、セキュリティＩＯカード１０３のセキュリティ強化改修に役立てることができる。

また、異常ログを分析し、ファイアウォール異常検知部１２５のバージョンアップおよびウイルスチェック異常検知部１２６でパターンファイルを更新する場合は、管理装置３０４から専用ＬＡＮＩ／Ｆ３０１経由で、一旦、メモリ２０１に展開し、ＭＰＵ１２４に書き込むことができる。

実施の形態４
実施の形態１から３においては、ＣＰＵカード１０２とセキュリティＩＯカード１０３が１台ずつの構成について述べたが、この実施の形態４においては、図６のように、各カード２枚ずつ二重の系の情報セキュリティシステムとしている。このようにすることによって、異常な通信データおよび攻撃を受信した際、片側の系の通信を遮断しても、他片系のカードで通信を継続することができ、システム全体の稼働率を向上させることができる。

図６に示すように、二重系用ＣＰＵ装置４０１に、Ａ系ＣＰＵカード４０２およびＢ系ＣＰＵカード４０３と、Ａ系セキュリティＩＯカード４０４およびＢ系セキュリティＩＯカード４０５を挿入する。なお、他に電源カードおよび各種Ｉ／Ｆカードについては図に示してはいないが、それぞれの径に対応して同様に設ける。

この実施の形態４におけるデータフローは、図７に示すブロック図の構成において行われる。すなわち、Ａ系セキュリティＩＯカード４０４が、制御状態で通信をしている時には、Ｂ系セキュリティＩＯカード４０５は、待機状態であり、リレーＳＷ部１２９は開放状態（オフ状態）となっている。ここで、Ａ系セキュリティＩＯカード４０４にて異常な通信データおよび攻撃を受信した場合、Ａ系セキュリティＩＯカード４０４のＭＰＵ１２４の異常通知部１２７が、リレーＳＷ部１２９に指令４０９を送り、通信を遮断させるが、同時にＢ系セキュリティＩＯカード４０５のリレーＳＷ部１２９にも指令４１０を送り、Ｂ系セキュリティＩＯカード４０５を機能させて、外部との情報の通信を開始させる。

なお、図７のブロック図においては、ＣＰＵカードの構成を表していないが、図６に示しているように、Ａ系セキュリティＩＯカード４０４およびＢ系セキュリティＩＯカード４０５のそれぞれに対応してＡ系ＣＰＵカード４０２およびＢ系ＣＰＵカード４０３が接続される構成となっている。

なお、更に、情報処理を実施するための一つのＣＰＵカードに対して、外部システムからの入出力を行うセキュリティＩＯカードを複数の系統とすることができる。すなわち、図７に示したブロック図に図５に示したブロック図のＣＰＵカードを組合せた構成となる。このように、一つのＣＰＵカード（情報処理装置）に対して複数のセキュリティＩＯカード（情報セキュリティ装置）を設けた情報セキュリティシステムとすることによって、外部システムからの異常な通信データおよび攻撃を受けた場合に、入出力の系統を切替えて、引き続き入出力の通信系統を維持できることになる。

なお、実施の形態の説明においては、外部システムとＳＤカードとを区別して記載しているが、いずれも外部のシステムから情報あるいはデータが入るものに変わりがないため、総称として、外部から入れられる情報として説明することもある。

本開示は、様々な例示的な実施の形態および実施例が記載されているが、１つまたは複数の実施の形態に記載された様々な特徴、態様、および機能は特定の実施の形態の適用に限られるのではなく、単独で、または様々な組み合わせで実施の形態に適用可能である。
従って、例示されていない無数の変形例が、本願明細書に開示される技術の範囲内において想定される。例えば、少なくとも１つの構成要素を変形する場合、追加する場合または省略する場合、さらには、少なくとも１つの構成要素を抽出し、他の実施の形態の構成要素と組み合わせる場合が含まれるものとする。

１ 情報処理装置、２ 第１の入出力部、３ 第２の入出力部、
４ 通信データチェック部、５ リレースイッチ部、６ 制御部、
１００ 情報セキュリティ装置、１０１ ＣＰＵ装置、１０２ ＣＰＵカード、
１０３ セキュリティＩＯカード、１０４，１０６ ＬＡＮＩ／Ｆ、
１０５，１０７ ＳＤカードスロット、１０８ ＳＤカード、１０９ 外部システム、
２０１ メモリ

Claims (5)

1. 外部と情報処理装置との間に設けられる装置であって、前記外部に情報を入出力する第１の入出力部、前記情報処理装置に情報を入出力する第２の入出力部、前記第１の入出力部と前記第２の入出力部との間に設けられ、前記第１の入出力部にて受けた情報の健全性をチェックする通信データチェック部、前記通信データチェック部と前記第２の入出力部との間に設けられたリレースイッチ部、および前記通信データチェック部にてチェックされた情報が健全でない場合にのみ前記リレースイッチ部を開放状態にする制御部を備え、前記第１の入出力部から前記第２の入出力部の間において通信データを遮断するスイッチが前記リレースイッチ部のみであることを特徴とする情報セキュリティ装置。
2. 情報セキュリティ装置がセキュリティＩＯカードであって、情報処理装置としてのＣＰＵカードと共にＣＰＵ装置に組み込まれ、前記セキュリティＩＯカードには、外部からの情報を入出力する入出力部と、前記ＣＰＵカードへの通信を遮断するリレースイッチ部と、通信データの健全性をチェックする異常検知部と、異常を検出した場合にのみ前記リレースイッチ部に遮断指令を送る異常通知部とを備えたことを特徴とする情報セキュリティシステム。
3. 前記ＣＰＵカードは、外部からの情報を入出力する入出力部を有し、前記セキュリティＩＯカードは、前記セキュリティＩＯカードの存在を前記ＣＰＵカードに伝える存在通知部を備え、前記存在通知部からの信号を受けて前記ＣＰＵカードの前記入出力部を無効にするようにしたことを特徴とする請求項２に記載の情報セキュリティシステム。
4. 前記セキュリティＩＯカードは、検出した異常な通信データの情報を記憶するメモリを備えたことを特徴とする請求項２または３に記載の情報セキュリティシステム。
5. 前記セキュリティＩＯカードが、第１のセキュリティＩＯカードと第２のセキュリティＩＯカードであって、前記第１のセキュリティＩＯカードにおいて、異常な通信データを検出した場合に、前記第１のセキュリティＩＯカードの前記リレースイッチ部を遮断し、前記第２のセキュリティＩＯカードを機能させることを特徴とする請求項２から４のいずれか１項に記載の情報セキュリティシステム。

Images