JP2020135346A - プラント監視制御システム - Google Patents

Abstract

【課題】従来のセキュリティの不備を改善して、セキュリティ事故を確実に防ぐことができるプラント監視制御システムを提供する。【解決手段】各種のプラント機器の監視制御を行う監視制御装置１、プラント機器の監視制御用のデータを保有するデータベース装置２、監視制御装置１に対する不正操作があった場合の不正操作警告を受け取るセキュリティ担当者操作端末３を備え、監視制御装置１を操作する操作員の操作ログをデータベース装置２の比較機能２ｅで操作傾向データ記憶部２ｃに蓄積されてきた今までの操作員の操作傾向データと比較し、操作ログが操作傾向と大きく逸脱していないを判断する。なりすまし操作員による操作の場合は比較傾向と一致ないので、セキュリティ異常検知機能２ｆによって不正操作と検知され、これに応じて、通知機能部２ｇによってセキュリティ担当者端末３へ警告が通知される。【選択図】図１

Description

本願は、プラント機器の監視制御を行う操作員が今まで蓄積された操作傾向から逸脱した操作を行った場合に、不正操作と判断することでセキュリティ機能を高めたプラント監視制御システムに関するものである。

従来の監視制御装置には、監視制御を行う操作員ごとの操作ログを採取して保存しておき、現在の操作が保存された今までのログの操作から逸脱している場合には、外部に警告を発するようにして不正アクセスを防止するものが提案されている（例えば、下記の特許文献１参照）。また、他の従来技術として、監視制御を行う操作員の操作ログを採取して得た操作傾向からプラントの最適な操作を促すようにしたものが提案されている（例えば、下記の特許文献２〜４）。

特開２０１４−１５７４４４号公報 特開平６−２０２７０７号公報 特開２００３−１５０５５０号公報 特開２０１４−５６２８６号公報

しかしながら、従来のプラント監視制御装置は、現在の操作が保存された操作ログから逸脱しているかどうかを単純に判断するだけであり、操作員ごとの操作ログを採取して今までに蓄積されている各操作員特有のログの操作傾向を分析した上で、現在の操作が行われた場合の操作ログと先に分析されたログの操作傾向とを比較することでその操作が適切なものかどうかを判断するものではない。

したがって、正当な操作員が少しのログの操作を誤っただけでも外部に頻繁に警告が発せられるなどの不具合が生じていた。また、悪意をもった内部の操作者が不正操作を行っても、偶然に現在の操作が保存された操作ログと一致しているときには、外部に警告が発せられないなど、セキュリティの面で不十分な点が多かった。

本願は、上記のような課題を解決するための技術を開示するものであり、不要な警告が頻発し、また、悪意をもった内部の操作者が不正操作を行っても警告が発せられない場合があるなどの、従来のセキュリティの不備を改善して、セキュリティ事故を確実に防ぐことができるプラント監視制御システムの提供を目的とする。

本願に開示されるプラント監視制御システムは、
各種のプラント機器の監視制御を行う監視制御装置、前記プラント機器の監視制御用のデータを保有するデータベース装置、および前記監視制御装置に対する不正操作があった場合の不正操作警告を受け取るセキュリティ担当者操作端末を備え、
前記データベース装置は、
前記監視制御装置に対する操作員の操作に伴うログイン情報から監視制御用データのアクセスを許可するアクセス認証機能部と、
前記アクセスに伴う操作ログを保管する操作ログデータ記憶部と、
前記操作ログに関する前記操作員の操作傾向を示す操作傾向データを保管する操作傾向データ記憶部と、
現在の操作ログと前記操作傾向データ記憶部に記憶されている前記操作傾向データとを比較して現在の操作ログが操作傾向から逸脱していないかどうかを判断する比較機能部と、
前記比較機能部による比較の結果、現在の操作ログが前記操作傾向から逸脱していないと判断された場合には、当該操作ログに関する前記操作員の操作傾向を分析してその分析結果を前記操作傾向データ記憶部に記憶する操作傾向分析機能部と、
前記比較機能部による比較結果、現在の操作ログが前記操作傾向から逸脱していると判断された場合には不正操作として検知するセキュリティ異常検知機能部と、
前記セキュリティ異常検知機能部で不正操作が検知された場合に前記セキュリティ担当者操作端末へ警告通知を出力する通知機能部と、
を備えている。

本願に開示されるプラント監視制御システムによれば、操作員ごとの操作ログを採取、保存して操作員特有のログの操作傾向を分析した上で、現在の操作が行われた場合の操作ログと先に分析されたログの操作傾向とを比較することでその操作が適切なものかどうかを判断するようにしたので、従来のセキュリティの不備を改善して、より一層確実にセキュリティ事故を未然に防ぐことが可能になる。

本願の実施の形態１におけるプラント監視制御システムを示す構成図である。 実施の形態１のプラント監視制御システムがプラント監視制御を行う場合の動作手順の説明に供するフローチャートである。 実施の形態１のプラント監視制御システムがプラント監視制御を行う場合の通常操作時の動作説明図である。 実施の形態１のプラント監視制御システムがプラント監視制御を行う場合の不正操作時の動作説明図である。 本願の実施の形態２におけるプラント監視制御システムを示す構成図である。 実施の形態２のプラント監視制御システムがプラント監視制御を行う場合の動作手順の説明に供するフローチャートである。 本願の実施の形態３におけるプラント監視制御システムを示す構成図である。 実施の形態３のプラント監視制御システムがプラント監視制御を行う場合の動作手順の説明に供するフローチャートである。 本願の実施の形態４におけるプラント監視制御システムを示す構成図である。 実施の形態４のプラント監視制御システムがプラント監視制御を行う場合の動作手順の説明に供するフローチャートである。 本願の実施の形態５におけるプラント監視制御システムを示す構成図である。 実施の形態５のプラント監視制御システムがプラント監視制御を行う場合の動作手順の説明に供するフローチャートである。 本願の実施の形態６におけるプラント監視制御システムを示す構成図である。 実施の形態６のプラント監視制御システムがプラント監視制御を行う場合の動作手順の説明に供するフローチャートである。 本願の実施の形態７におけるプラント監視制御システムを示す構成図である。 実施の形態７のプラント監視制御システムがプラント監視制御を行う場合の動作手順の説明に供するフローチャートである。 実施の形態７のプラント監視制御システムにおいてセキュリティ担当者が操作するパーソナルコンピュータの表示画面の一例を示す説明図である。 本願の実施の形態８におけるプラント監視制御システムを示す構成図である。 実施の形態８のプラント監視制御システムがプラント監視制御を行う場合の動作手順の説明に供するフローチャートである。 本願の実施の形態９におけるプラント監視制御システムを示す構成図である。

実施の形態１．
図１は本願の実施の形態１におけるプラント監視制御システムを示す構成図である。

この実施の形態１におけるプラント監視制御システムは、図示しない各種のプラント機器の監視制御を行う監視制御装置１、各種のプラント機器で得られる監視制御データを保有するデータベース装置（以下、ＤＢ装置と表記）２、プラント機器に対する不正操作の警告を受け取るセキュリティ担当者操作端末（以下、セキュリティ担当者ＰＣ（パーソナルコンピュータ）と表記）３、監視制御装置１とセキュリティ担当者ＰＣ３との間で不正操作警告データの伝達を可能とする情報ローカルエリアネットワーク（以下、情報ＬＡＮと表記）４、および監視制御装置１と各種のプラント機器との間で監視制御データの伝達を可能とする制御ネットワーク５とで構成されている。

上記の監視制御装置１は、当該装置１の起動時のログイン認証により操作員の識別を行って操作員のログイン情報をＤＢ装置２へ送信する操作員認証機能部１ａと、監視制御装置１に対する監視制御用の操作を検知して操作ログのデータをＤＢ装置２へ送信する操作検知機能部１ｂとを備えている。

また、ＤＢ装置２においては、操作員認証機能部１ａによって送られてきた操作員のログイン情報から操作員がアクセスできる範囲内においてプラント機器への監視制御用の各種データのアクセスを許可するアクセス認証機能部２ａ、操作員のアクセスに伴う操作ログを保管する操作ログデータ記憶部２ｂ、後述の操作傾向分析機能部２ｄで分析された操作ログに関する操作員の今までの操作傾向を示す操作傾向データを保管する操作傾向データ記憶部２ｃと、現在の操作ログと操作傾向データ記憶部２ｃに記憶されている操作傾向データとを比較して現在の操作ログが操作傾向から逸脱しているかどうかを判断する比較機能部２ｅ、比較機能部２ｅによる比較の結果、現在の操作ログが今までの操作傾向から逸脱していないと判断された場合に、その操作ログに関して操作員の操作傾向を分析する操作傾向分析機能部２ｄ、比較機能部２ｅによる比較結果により操作傾向が逸脱していると判断された場合に不正操作として検知するセキュリティ異常検知機能部２ｆ、およびセキュリティ異常検知機能部２ｆで不正操作が検知された場合にセキュリティ担当者ＰＣ３に対して警告通知を出力する通知機能部２ｇを備えている。

なお、上記の操作傾向分析機能部２ｄによる操作員の操作傾向の分析は、例えば使用頻度の高い操作を行う操作ログを操作手順に沿ってヒストグラム形式に表すなどの統計処理をしたり、あるいは使用頻度の高い操作を時間帯ごとに分類するなどの処理が行われる。

一方、セキュリティ担当者ＰＣ３は、ＤＢ装置２の通知機能部２ｇより送られてきた警告通知をディスプレイの画面に表示する警告表示機能部３ａを有する。

次に、この実施の形態１において、プラント監視制御を行う場合の動作を、図１、図２、図３を参照して説明する。図２はプラント監視制御を行う場合の動作手順の説明に供するフローチャートである。なお、以降において、符号Ｓは各処理ステップを意味する。また、図３はプラント監視制御を行う場合の通常操作時と不正操作時の動作説明図である。

操作員が自身に予め割り当てられたＩＤまたはパスワードにより監視制御装置１にログインすると（ステップＳ１）、操作員認証機能部１ａによって操作員が認証され、その認証された情報がＤＢ装置２のアクセス認証機能部２ａへ送られ、操作員の操作ログデータ記憶部２ｂと操作傾向データ記憶部２ｃへのアクセスが許可される（ステップＳ２）。

次に、監視制御装置１に対して操作を行うと（ステップＳ３）、操作検知機能部１ｂによって操作ログが操作ログデータ記憶部２ｂへ保管される。

そして、保管された操作ログは、さらに比較機能部２ｅによって操作傾向データ記憶部２ｃに蓄積されてきた操作員の今までの操作傾向を示すデータと比較され、操作員の今までの操作傾向と大きく逸脱していないかどうか判断される（ステップＳ４）。

通常操作時の場合、すなわち監視制御装置１を操作する権限が与えられた正当な操作員ＭＡが操作する場合、比較機能部２ｅによって操作員ＭＡの操作傾向と大きく逸脱していないと判断されるため（ステップＳ４でＹｅｓ）、図３Ａに示すように、操作ログは操作傾向分析機能部２ｄによって傾向分析が行われ（ステップＳ５）、分析されたデータが操作傾向データ記憶部２ｃへ保管される（ステップＳ６）。そして、次にログアウトが行われたかどうかが判断され（ステップＳ７）、ログアウトされていない限り、ステップＳ３に戻って動作を継続する。

これに対して、なりすまし操作員ＭＰによる不正操作時の場合は、通常の操作から逸脱することが多くなるため、比較機能部２ｅによって、現在の操作ログは、正当な操作員ＭＡの操作傾向から大きく逸脱していると判断される（ステップＳ４でＮｏ）。そのため、図３Ｂに示すように、セキュリティ異常検知機能部２ｆによって不正操作として検知される（ステップＳ８）。そして、通知機能部２ｇによってセキュリティ担当者ＰＣ３の警告表示機能部３ａに対して警告が送信され、セキュリティ担当者ＭＳへ警告が通知される（ステップＳ９）。

以上のように、この実施の形態１のプラント監視制御システムによれば、操作員ごとに操作ログを採取、保存して各操作員の特有のログの操作傾向を分析した上で、現在の操作が行われた場合の操作ログと先に分析されたログの操作傾向とを比較することでその操作が適切なものかどうかを判断するようにしたので、不要な警告が頻発したり、悪意をもった内部の操作者が不正操作を行っても警告が発せられない場合があるなどの、従来のセキュリティの不備を改善することができ、より一層確実にセキュリティ事故を未然に防ぐことが可能になる。

実施の形態２．
図４は本願の実施の形態２におけるプラント監視制御システムを示す構成図であり、図１に示した実施の形態１と対応もしくは相当する構成部分には同一の符号を付す。

この実施の形態２の特徴は、ＤＢ装置２の通知機能部２ｇには、音声またはメールでの通知選択が可能な通知手段選択機能部２ｇ１が設けられている。そして、通知手段選択機能部２ｇ１により音声通知が選択された場合に備えて、通知機能部２ｇからの音声電波を受信して警告通知を出す音声通知装置１０が設けられるとともに、音声通知装置１０には公衆回線１１が接続されている。また、通知手段選択機能部２ｇ１によりメール通知が選択された場合に備えて、情報ＬＡＮ４にはルータ１２を介してインターネット網１３が接続されている。そして、このようなメールまたは音声通知を受信するために、セキュリティ担当者ＭＳが携帯する携帯端末１４を備えている。
その他の構成は、図１に示した実施の形態１の場合と同様であるから、ここでは詳しい説明は省略する。

次に、この実施の形態２において、プラント監視制御を行う場合の動作を、図４、図５を参照して説明する。図５はプラント監視制御を行う場合の動作手順の説明に供するフローチャートである。

図５において、ステップＳ１〜Ｓ８の各動作は、図２に示した実施の形態１と同じであるので、ここでは詳しい説明は省略する。

セキュリティ担当者ＰＣ３を用いて、予めＤＢ装置２の通知手段選択機能部２ｇ１に対して、不正操作と検知された場合の警告を音声で通知するのか、あるいは、メールで通知するのかを予め選択しておく。

ここで、音声通知が選択されている場合は、通知手段選択機能部２ｇ１より音声通知装置１０へ警告通知データが送信され、公衆回線１１を介してセキュリティ担当者ＭＳの携帯端末１４へ音声通知が発信される（ステップＳ２１）。

一方、メール通知が選択されている場合は、情報ＬＡＮ４上のルータ１２へ通知手段選択機能部２ｇ１より警告通知データが送信される。送信された警告通知データは、ルータ１２からインターネット網１３を介してセキュリティ担当者ＭＳの携帯端末１４へその旨のメールが送信される（ステップＳ２１）。

以上のように、この実施の形態２のプラント監視制御システムによれば、通知機能部２ｇに、通知手段選択機能部２ｇ１を設け、不正操作が検知された場合には、セキュリティ担当者ＰＣ３に警告表示されるだけでなく、セキュリティ担当者ＭＳが携帯する携帯端末１４に、音声通知またはメール通知が行われるようにしたので、セキュリティ担当者ＭＳは、セキュリティ担当者ＰＣ３の前に常に着席していなくても、携帯端末１４を携帯しておれば、場所によらずに不正操作の確認を行うことができる。このことで、迅速に不正操作を発見できるとともに、セキュリティ事故を未然に防ぐことが可能となる。

実施の形態３．
図６は本願の実施の形態３におけるプラント監視制御システムを示す構成図であり、図１に示した実施の形態１と対応もしくは相当する構成部分には同一の符号を付す。

前述の実施の形態１、２では、不正操作が行われた場合の検知、および警告通知が可能である。しかし、監視制御装置１に対して不正操作が行われた場合、当該監視制御装置１を用いたプラント機器の監視制御操作がそれ以降は継続できなくなるようにするのがセキュリティ対策上好ましい。

そこで、この実施の形態３では、監視制御装置１に対するモードを管理するモード管理機能部１ｃを監視制御装置１に設けるとともに、ＤＢ装置２には、セキュリティ異常検知機能部２ｆで不正操作が検知された場合に、監視制御装置１のモード管理機能部１ｃに対して操作モードから監視モードへと自動的にモードを切り替を指示するモード切替機能部２ａ１を備えている。
その他の構成は、図１に示した実施の形態１の場合と同様であるから、ここでは詳しい説明は省略する。

次に、この実施の形態３において、プラント監視制御を行う場合の動作を、図６、図７を参照して説明する。図７はプラント監視制御を行う場合の動作手順の説明に供するフローチャートである。

図７において、ステップＳ１〜Ｓ９の各動作は、図２に示した実施の形態１と同じであるので、ここでは詳しい説明は省略する。

ここで、ＤＢ装置２のセキュリティ異常検知機能部２ｆによって不正操作と検知された場合（ステップＳ８）、モード切替機能部２ａ１によってモード切替指令が送信され、監視制御装置１のモード管理機能部１ｃがそれを受けて操作モードから監視モードへモード切り替えを行う。

すなわち、モード管理機能部１ｃが操作モードを選択している場合には、監視制御装置１に対してプラント機器の監視制御操作を通常通り行うことができる。これに対して、監視制御装置１に対して不正操作が行われた結果、セキュリティ異常検知機能部２ｆによって不正操作が検知された場合には、モード切替機能部２ａ１によってモード切替指令が送信され、監視制御装置１のモード管理機能部１ｃがそれを受けて操作モードから監視モードへモード切り替えを実行する（ステップＳ３１）。
そして、監視モードに切り替えられると、監視制御装置１によるプラント機器の監視制御操作がそれ以降は不可能になる。

以上のように、この実施の形態３のプラント監視制御システムによれば、不正操作が検出された場合には、監視モードへ自動的に切り替えられてそれ以降は監視制御装置１を操作してプラント機器への監視制御操作ができなくなるので、被害拡大を防ぎ、セキュリティ事故を未然に防ぐことができる。

実施の形態４．
図８は本願の実施の形態４におけるプラント監視制御システムを示す構成図であり、図６に示した実施の形態３と対応もしくは相当する構成部分には同一の符号を付す。

上記の実施の形態３より、不正操作が検出された場合には、監視モードへ自動的に切り替えられてそれ以降は監視制御装置１を操作したプラント機器の監視制御ができなくなるようにしている。

しかし、プラントの監視制御の運用を継続するためには、不正操作が行われた監視制御装置１以外の他の監視制御装置を用いてプラントの監視制御操作を継続して実施できるようにすることが好ましい。

そこで、この実施の形態４では、この監視制御装置１の運用を管理する管理者（以下、単に管理者と称する）によって予め信任された他の操作員ＭＣが使用可能な他の監視制御装置１５を情報ＬＡＮ４に接続するとともに、ＤＢ装置２には、不正操作と検知された場合にモード切替機能部２ａ１でモード切替が行われる際に、予め信任された他の操作員ＭＣが監視制御装置１５を操作できるように操作権を移行させる操作権移行指令を送信する操作権移行機能部２ｈを設けている。そして、監視制御装置１５には、操作権移行機能部２ｈから送信された操作権移行指令を受け入れて操作可能状態に起動される操作権受け入れ機能部１５ａを設けている。
その他の構成は、図６に示した実施の形態３の場合と同様であるから、ここでは詳しい説明は省略する。

次に、この実施の形態４において、プラント監視制御を行う場合の動作を、図８、図９を参照して説明する。図９はプラント監視制御を行う場合の動作手順の説明に供するフローチャートである。

図９において、ステップＳ１〜Ｓ９、およびステップＳ３１の各動作は、図７に示した実施の形態３と同じであるので、ここでは詳しい説明は省略する。

ここで、ＤＢ装置２のセキュリティ異常検知機能部２ｆによって不正操作が検知された場合（ステップＳ８）、モード切替機能部２ａ１によってモード切替指令が送信され、監視制御装置１のモード管理機能部１ｃがそれを受けて操作モードから監視モードへモード切り替えを行うが、その際、これと並行して操作権移行機能部２ｈから操作権移行の指令が送信され、この指令が情報ＬＡＮ４を経由して他の監視制御装置１５の操作権受け入れ機能部１５ａに受信されるので、当該監視制御装置１５が操作可能状態に起動される（ステップＳ４１）。このため、信任された操作員ＭＣは、この監視制御装置１５を操作して監視制御装置１からプラントの監視制御を継続することができる。

以上のように、この実施の形態４のプラント監視制御システムによれば、不正操作が検知された場合、管理者によって予め信任された他の操作員ＭＣが使用する監視制御装置１５に対して操作権が移行されるので、この監視制御装置１５を用いてプラントの監視制御を継続できるので、プラントの監視制御のセキュリティを確保するとともに、プラントの運用の継続も可能となる。

実施の形態５．
図１０は本願の実施の形態５におけるプラント監視制御システムを示す構成図であり、図６に示した実施の形態３と対応もしくは相当する構成部分には同一の符号を付す。

前述の実施の形態１〜４より、操作傾向データ記憶部２ｃに記憶されている操作員ＭＡの操作傾向データを現在の操作ログと比較することによって、なりすまし操作員ＭＰによる人的な不正操作が行われた場合には不正操作の検知が可能である。

しかし、人的操作以外の不正操作、例えば正当な操作員ＭＡ以外の者が監視制御装置１にアクセスして不正操作するような場合でも、その不正操作を的確に判断できるようにすることが好ましい。

そこで、この実施の形態５では、ＤＢ装置２の比較機能部２ｅに、外部の操作端末（ＰＣ等）を使用した不正アクセスなどの人的操作ではありえない操作を検知した場合に、不正操作と判断する異常操作判断機能部２ｅ１を設けている。
その他の構成は、図６に示した実施の形態３の場合と同様であるから、ここでは詳しい説明は省略する。

次に、この実施の形態５において、プラント監視制御を行う場合の動作を、図１０、図１１を参照して説明する。図１１はプラント監視制御を行う場合の動作手順の説明に供するフローチャートである。

図１１において、ステップＳ１〜Ｓ９、およびステップＳ３１の各動作は、図７に示した実施の形態３と同じであるので、ここでは詳しい説明は省略する。

外部の操作端末（ＰＣ等）を使用して情報ＬＡＮ４から監視制御装置１に侵入して監視制御装置１に不正アクセスする場合など、人的操作ではありえないような操作があれば、異常操作判断機能部２ｅ１によって異常操作が行われていると判断される（ステップＳ５１）。例えば、監視制御装置１が備えるマウスあるいはキーボードが動作しているかどうか、あるいは、一定時間内に操作ログが何回入力されたかなどの判断が異常操作判断機能部２ｅ１によって行われる（ステップＳ５１）。

そして、異常操作判断機能部２ｅ１によって異常操作の条件の一つでも該当する場合があると判断されれば（ステップＳ５１でＮｏ）、人的操作でないという判断がセキュリティ異常検知機能部２ｆへ送信されて不正操作が検知される（ステップＳ８）。これにより、実施の形態３の場合と同様に、操作モードが監視モードに切り替えられるとともに（ステップＳ３１）、通知機能部２ｇによってセキュリティ担当者ＰＣ３の警告表示機能部３ａに警告が表示される（ステップＳ９）。

以上のように、この実施の形態５のプラント監視制御システムによれば、外部の操作端末（ＰＣ等）を使用するなどして監視制御装置１に不正アクセスされた場合など、人的操作ではありえないような操作があれば、異常操作判断機能部２ｅ１によって不正操作が防止されるため、プラントの監視制御のセキュリティを確保するとともに、ログによるインシデントの原因究明に要する時間の削減が可能となる。

実施の形態６．
図１２は本願の実施の形態６におけるプラント監視制御システムを示す構成図であり、図６に示した実施の形態３と対応もしくは相当する構成部分には同一の符号を付す。

この実施の形態６では、監視制御装置１へのログイン時に、正当な操作員ＭＡに対して予め設定されているパスワードと一致しないパスワードが一定回数以上間違えて入力された場合、なりすまし操作員ＭＰによる操作であると判断してセキュリティ担当者ＰＣ３へ警告通知を行えるようにしたものである。

すなわち、この実施の形態６では、正当な操作員ＭＡに対して予め設定されているパスワードと一致しないパスワードが予め設定した一定回数以上間違えて入力された場合には、認証異常と判断する認証異常判断機能部２ａ２を、ＤＢ装置２のアクセス認証機能部２ａに設けている。
その他の構成は、図６に示した実施の形態３の場合と同様であるから、ここでは詳しい説明は省略する。

次に、この実施の形態６において、プラント監視制御を行う場合の動作を、図１２、図１３を参照して説明する。図１３はプラント監視制御を行う場合の動作手順の説明に供するフローチャートである。

図１３において、ステップＳ１〜Ｓ９、およびステップＳ３１の各動作は、図７に示した実施の形態３と同じであるので、ここでは詳しい説明は省略する。

監視制御装置１にパスワードを入力してログインすると（ステップＳ６１）、操作員認証機能部１ａによって認証された情報がＤＢ装置２のアクセス認証機能部２ａへ送られる。ここで、なりすまし操作員ＭＰが監視制御装置１へログインする際に、パスワードを一定回数以上間違えた場合（ステップＳ６２でＮｏ、ステップＳ６３でＹｅｓ）、認証異常判断機能部２ａ２によって認証異常と判断され、認証異常信号がセキュリティ異常検知機能部２ｆへ送信されて不正操作として検知される（ステップＳ８）。その後、通知機能部２ｇによりセキュリティ担当者ＰＣ３へ警告が通知される（ステップＳ９）。

以上のように、この実施の形態６のプラント監視制御システムによれば、正当な操作員ＭＡに対して予め設定されているパスワードと一致しないパスワードが一定回数以上間違えて入力された場合には、認証異常と判断する認証異常判断機能部２ａ２を設けたので、なりすまし操作員ＭＰによる監視制御装置１の操作を未然に防ぐことができる。

実施の形態７．
図１４は本願の実施の形態７におけるプラント監視制御システムを示す構成図であり、図４に示した実施の形態２と対応もしくは相当する構成部分には同一の符号を付す。

先の実施の形態２では、不正操作が検知された場合には、セキュリティ担当者ＰＣ３に警告表示されるだけでなく、セキュリティ担当者ＭＳが携帯する携帯端末１４に、音声通知またはメール通知が行われるようにしている。この実施の形態７では、不正操作を検知した場合に、セキュリティ担当者ＰＣ３から正当な操作員ＭＡが携帯する携帯端末１６に不正操作を検知した旨を通知して確認をとることができるように、セキュリティ担当者ＰＣ３に通話機能部３ｂを設けるとともに、セキュリティ担当者ＭＳが携帯する携帯端末１４と通話ができるように、正当な操作員ＭＡが携帯する携帯端末１６を装備している。
その他の構成は、図４に示した実施の形態２の場合と同様であるから、ここでは詳しい説明は省略する。

次に、この実施の形態７において、プラント監視制御を行う場合の動作を、図１４、図１５、図１６を参照して説明する。図１５はプラント監視制御を行う場合の動作手順の説明に供するフローチャートである。

図１５において、ステップＳ１〜Ｓ９の各動作は、図５に示した実施の形態２と同じであるので、ここでは詳しい説明は省略する。

監視制御装置１への不正操作が検知された場合、ＤＢ装置２の通知機能部２ｇによって警告通知がセキュリティ担当者ＰＣ３の警告表示機能部３ａへ送信され、画面上に警告が通知される。その際、図１６に示すように、当該セキュリティ担当者ＰＣ３の画面上には、正当な操作員ＭＡに対して通話を行うかどうかの確認ウィンドウ３ｃが表示される（ステップＳ７０）。そこで、確認ウィンドウ３ｃの「はい」ボタン３ｃ１を選択すると（ステップＳ７１でＹｅｓ）、通話機能部３ｂからセキュリティ担当者ＭＳが携帯する携帯端末１４に対して通話発信指令が送信される。これに応じて、セキュリティ担当者ＭＳが携帯する携帯端末１４から正当な操作員ＭＡが携帯する携帯端末１６へ通話が発信される（ステップＳ７２）。これにより、セキュリティ担当者ＭＳは、警告表示が妥当なものかどうかを正当な操作員ＭＡ自身に確認することができる。

以上のように、この実施の形態７のプラント監視制御システムによれば、セキュリティ担当者ＭＳから正当な操作員ＭＡに対して、監視制御装置１の操作が妥当なものかどうかを本人に確認することが可能となるため、早急なインシデント発生の対応が行える。

実施の形態８．
図１７は本願の実施の形態８におけるプラント監視制御システムを示す構成図であり、図８に示した実施の形態４と対応もしくは相当する構成部分には同一の符号を付す。

この実施の形態８では、監視制御装置１には、当該監視制御装置１が監視制御する各種のプラント機器（個々の設備または装置）の個々の制御の重要度に応じてセキュリティレベルを、管理者が管理者専用画面上でのみ、例えば高／中／低の３段階に設定できるセキュリティレベル設定機能部１ｄを設けている。一方、ＤＢ装置２には、セキュリティレベル設定機能部１ｄで設定されたセキュリティレベルに応じてどのような対処処理を実行するかを決定するセキュリティレベル判定機能部２ｉが設けられるとともに、各種のプラント機器のデータを記憶した設備データ記憶部２ｊが設けられている。
その他の構成は、図８に示した実施の形態４の場合と同様であるから、ここでは詳しい説明は省略する。

次に、この実施の形態８において、プラント監視制御を行う場合の動作を、図１７、図１８を参照して説明する。図１８はプラント監視制御を行う場合の動作手順の説明に供するフローチャートである。

図１８において、ステップＳ１〜Ｓ９、およびステップＳ３１の各動作は、図９に示した実施の形態３と同じであるので、ここでは詳しい説明は省略する。

管理者は、監視制御装置１を操作して、管理者専用の画面上で監視制御装置１が監視制御する各種プラント機器（個々の設備または装置）の個々の制御内容の重要度に応じて、セキュリティレベル設定機能部１ｄに対して高／中／低の３段階のいずれかを予め設定しておく。このセキュリティレベル設定機能部１ｄで設定されたセキュリティレベルのデータは、ＤＢ装置２のセキュリティレベル判定機能部２ｉに保存される。

セキュリティ異常検知機能部２ｆによって不正操作が検知された場合（ステップＳ８）、セキュリティレベル判定機能部２ｉは、設備データ記憶部２ｊに記憶されている各種のプラント機器のデータを参照して、予め設定されたセキュリティレベルに応じた対処処理を実行する（ステップＳ８１）。

すなわち、セキュリティレベル判定機能部２ｉは、プラント機器（個々の設備または装置）に対する監視制御に対する操作について、予め設定されたセキュリティレベルが「低」に設定されている場合は、監視制御装置１が備える図示しない画面上に警告を通知する（ステップＳ８２）。セキュリティレベルが「中」に設定されている場合は、操作モードから監視モードへと切り替えられ（ステップＳ３１）、監視制御装置１による監視制御操作ができなくなるとともに、セキュリティ担当者ＰＣ３へ警告が通知される（ステップＳ３１、ステップＳ２１）。セキュリティレベルが「高」に設定されている場合は、モードが監視モードへ切り替えられた後（ステップＳ３１）、管理者によって予め信任された他の操作員ＭＣが使用する監視制御装置１５に対して操作権が移行され（ステップＳ４１）、さらにセキュリティ担当者ＰＣ３へ警告が通知される（ステップＳ２１）。

以上のように、この実施の形態８のプラント監視制御システムによれば、監視制御装置１が監視制御するプラント機器の個々の制御内容の重要度に応じたセキュリティレベルを管理者が予め設定しておき、その設定されたセキュリティレベルの程度に応じてどのような対処処理を実行するかを自動的に決定することができるので、監視制御装置１の運用に応じたセキュリティ対策の設定を行うことが可能となる。

実施の形態９．
図１９は本願の実施の形態９におけるプラント監視制御システムを示す構成図であり、実施の形態１〜８に記載した構成部分と対応もしくは相当する部分には同一の符号を付して詳しい説明は省略する。

この実施の形態９では、不正操作と判断する場合のロジックの書き換えあるいは追加などの編集が行えるように、監視制御装置１にビルダ機能部１ｅが設けられている。

したがって、管理者が監視制御装置１を操作して管理者専用画面上のビルダ機能部１ｅを起動すると、監視制御装置１が備える図示しない画面上には、ＤＢ装置２の比較機能部２ｅに保存されているセキュリティ判断用のロジックが表示されるので、管理者は、そのセキュリティのロジックを書き換え、あるいは追加することで、編集したロジックデータが比較機能部２ｅへ送信されてその内容が更新される。

以上のように、この実施の形態９のプラント監視制御システムによれば、管理者が監視制御装置１を操作して管理者専用画面上でセキュリティ判断のロジックの書き換え、あるいは追加などの編集が可能となるため、監視制御装置１の運用に応じたセキュリティ対策の設定をより詳細に行うことが可能となる。

なお、本願は、様々な例示的な実施の形態が記載されているが、各々の実施の形態１〜９に記載された様々な特徴、態様、および機能は、特定の実施の形態の適用のみに限られるものではなく、単独で、または様々な組み合わせで各実施の形態に適用可能である。

したがって、例示されていない無数の変形例が、本願に開示される技術の範囲内において想定される。例えば、少なくとも一つの構成要素を変形する場合、追加する場合、または省略する場合、さらには、少なくとも一つの構成要素を抽出し、他の実施の形態の構成要素と組み合わせる場合が含まれものとする。

１ 監視制御装置、１ａ 操作員認証機能部、１ｂ 操作検知機能部、
１ｃ モード管理機能部、１ｄ セキュリティレベル設定機能部、２ ＤＢ装置、
２ａ アクセス認証機能部、２ａ１ モード切替機能部、２ａ２ 認証異常判断機能部、２ｂ 操作ログデータ記憶部、２ｃ 操作傾向データ記憶部、
２ｄ 操作傾向分析機能部、２ｅ 比較機能部、２ｅ１ 異常操作判断機能部、
２ｆ セキュリティ異常検知機能部、２ｇ 通知機能部、２ｇ１ 通知手段選択機能部、２ｈ 操作権移行機能部、２ｉ セキュリティレベル判定機能部、
２ｊ 設備データ記憶部、３ セキュリティ担当者ＰＣ、３ａ 警告表示機能部、
３ｂ 通話機能部、４ 情報ＬＡＮ、５ 制御ネットワーク、１０ 音声通知装置、
１１ 公衆回線、１２ ルータ、１３ インターネット網、１４ 携帯端末、
１５ 他の監視制御装置、１５ａ 操作権受け入れ機能部、１６ 携帯端末。

Claims (9)

1. 各種のプラント機器の監視制御を行う監視制御装置、前記プラント機器の監視制御用のデータを保有するデータベース装置、および前記監視制御装置に対する不正操作があった場合の不正操作警告を受け取るセキュリティ担当者操作端末を備え、
   前記データベース装置は、
   前記監視制御装置に対する操作員の操作に伴うログイン情報から監視制御用データのアクセスを許可するアクセス認証機能部と、
   前記アクセスに伴う操作ログを保管する操作ログデータ記憶部と、
   前記操作ログに関する前記操作員の操作傾向を示す操作傾向データを保管する操作傾向データ記憶部と、
   現在の操作ログと前記操作傾向データ記憶部に記憶されている前記操作傾向データとを比較して現在の操作ログが操作傾向から逸脱していないかどうかを判断する比較機能部と、
   前記比較機能部による比較の結果、現在の操作ログが前記操作傾向から逸脱していないと判断された場合には、当該操作ログに関する前記操作員の操作傾向を分析してその分析結果を前記操作傾向データ記憶部に記憶する操作傾向分析機能部と、
   前記比較機能部による比較結果、現在の操作ログが前記操作傾向から逸脱していると判断された場合には不正操作として検知するセキュリティ異常検知機能部と、
   前記セキュリティ異常検知機能部で不正操作が検知された場合に前記セキュリティ担当者操作端末へ警告通知を出力する通知機能部と、
   を備えているプラント監視制御システム。
2. 前記通知機能部には、音声またはメールでの通知選択が可能な通知手段選択機能部が設けられ、前記通知手段選択機能部で音声通知が選択された場合に音声電波を受信して公衆回線に警告通知を出力する音声通知装置を備えるとともに、前記通知手段選択機能部によりメール通知が選択された場合にメールを送信するインターネット網が接続され、かつ、セキュリティ担当者が携帯して前記メールおよび前記音声通知の少なくとも一方を受信する携帯端末を備える請求項１に記載のプラント監視制御システム。
3. 前記データベース装置には、前記セキュリティ異常検知機能部で不正操作が検知された場合に、前記監視制御装置に対して監視制御操作が可能な操作モードから前記監視制御装置に対する監視制御操作を不可とする監視モードへと切り替えるモード切替機能部が設けられている、請求項１または請求項２に記載のプラント監視制御システム。
4. 前記監視制御装置の運用を管理する管理者によって信任された他の操作員が操作する別の監視制御装置を備えるとともに、前記データベース装置には、不正操作の検知に応じて前記モード切替機能部で監視モードへの切り替えが行われる際に、前記別の監視制御装置への操作を可能とする操作権の移行指令を出力する操作権移行機能部か設けられている請求項３に記載のプラント監視制御システム。
5. 前記データベース装置の前記比較機能部には、人的操作ではありえない操作を検知した場合に不正操作と判断する異常操作判断機能部が設けられている請求項１から請求項４のいずれか１項に記載のプラント監視制御システム。
6. 前記監視制御装置へのログイン時に、予め設定されているパスワードと一致しないパスワードが予め設定された回数以上間違えて入力された場合には、認証異常と判断して前記セキュリティ異常検知機能部に対して不正操作として通知する認証異常判断機能部を備える請求項１から請求項５のいずれか１項に記載のプラント監視制御システム。
7. 前記セキュリティ担当者操作端末には、前記通知機能部からの警告通知の受信に応じて起動される通話機能部が設けられるとともに、前記監視制御装置を操作する操作員が携帯して前記通話機能部との間で通話可能な携帯端末を備える請求項１から請求項６のいずれか１項に記載のプラント監視制御システム。
8. 前記監視制御装置には、当該監視制御装置が監視制御するプラント機器の制御の重要度に応じてセキュリティレベルを設定できるセキュリティレベル設定機能部を備えるとともに、前記データベース装置には、前記セキュリティ異常検知機能部によって不正操作が検知された場合、前記セキュリティレベル設定機能部で設定されたセキュリティレベルに応じてどのような対処処理を実行するかを決定するセキュリティレベル判定機能部が設けられている請求項１から請求項７のいずれか１項に記載のプラント監視制御システム。
9. 前記監視制御装置には、前記データベース装置の前記比較機能部に保存されているセキュリティ判断用のロジックの編集および登録を行うビルダ機能部が設けられている請求項１から請求項８のいずれか１項に記載のプラント監視制御システム。

Images