JP4529071B2

JP4529071B2 - プロセス制御装置

Info

Publication number: JP4529071B2
Application number: JP2004121217A
Authority: JP
Inventors: 悟大迫
Original assignee: Yokogawa Electric Corp
Current assignee: Yokogawa Electric Corp
Priority date: 2004-04-16
Filing date: 2004-04-16
Publication date: 2010-08-25
Anticipated expiration: 2024-04-16
Also published as: JP2005301935A

Description

本発明は、ネットワークに接続されたプロセス制御装置に関し、自らセキュリティを管理し、制御することができるプロセス制御装置に関するものである。

今日、プラントが大規模になり、プロセス制御装置が他社製品をはじめ様々な機器とネットワークで接続されるようになった。そのため、ネットワークから侵入され、内部のプログラムやデータを破壊されることがないように、セキュリティを重視することが求められるようになってきた。

図５にネットワークに接続されたプロセス制御システムの構成を示す。図５において、パソコン６１はイーサネット（登録商標）などのネットワークに接続されている。７は制御ステーションであり、通信バス６４に接続されている。６３はコンソールであり、イーサネット（登録商標）などのネットワーク６２と通信バス６４を接続している。コンソール６３によってデータの設定やアプリケーションの変更を行う。

このようなプロセス制御システムでは、ネットワーク６２に接続されたパソコン６１から制御ステーション７にアクセスしてアプリケーションプログラムやデータを変更することもできる。この場合、ログイン機構で権限のないユーザが制御ステーション７にアクセスできないようになっている。

図６に制御ステーション７の構成を示す。７１は通信インターフェイスであり、通信バス６４を介して上位機器と接続される。通信インターフェイス７１は要求受付タスク７２に受信したデータ変更などの要求を出し、要求受付タスク７２はこの要求を要求処理タスク７３に伝達する。要求処理タスク７３はデータベース７４にアクセスして、伝達された要求を処理する。

このような構成において、通信インターフェイス７１が受信した要求が異常である場合もある。そのため、その要求がデータ変更やプログラムの変更であるときは、要求受付タスク７２および要求処理タスク７３はプログラムやデータベースが破壊されることがないかどうかをチェックする。

図７に、安全計装システムの構成を示す。エンジニアリングＰＣ８１と制御ステーション９は通信バス８２で接続されており、このエンジニアリングＰＣ８１を用いて制御ステーション９のデータあるいはプログラムを変更することができる。

制御ステーション９内には安全機能手段９２，プログラム９３およびデータベース９４が内蔵されている。安全機能手段９２は通信バス８２に接続され、エンジニアリングＰＣ８１からの要求によってプログラム９３およびデータベース９４を変更する。

このような構成において、安全機能手段９２に不正な要求が入力されると、プログラム９３やデータベース９４が破壊される危険性がある。そのため、通信バス８２と安全機能手段９２との間にセキュリティスイッチ９１を挿入し、必要なときのみ通信バス８２を安全機能手段９２に接続するようにする。

すなわち、ユーザはエンジニアリングＰＣ８１からプログラム９３やデータベース９４を書き換えるときに手動でセキュリティスイッチ９１をオンにし、変更が終了するとオフにする。このようにすることによって、不正なユーザがログインして、プログラム９３やデータベース９４を書き換えることを防止できる。

特開平９−２１８８３７号公報特許第２６９８８７７号公報

しかし、図６に示した制御ステーションは要求受付タスク７２や要求処理タスク７３で要求の正当性をチェックしているが、このチェックはプログラムやデータベースが破壊されるかどうか、あるいは制御ステーションが誤動作するかどうかのチェックのみであり、ユーザが意図した要求であるかどうかを判断することは出来ないという課題があった。

また、変更する権限があるかどうかのチェックをパソコン６１などの外部機器に任せており、制御ステーション内で判断していないために確実なチェックを行うことができないという課題もあった。

図７の安全計装システムは、変更するときのみセキュリティスイッチ９１をオンにする構成であるので、意図しないタイミングでの書き換えを防止することができる。しかし、書き換えをするためには、現場に行っていちいちセキュリティスイッチ９１をオンにしなければならず、操作が面倒であるという課題があった。

また、セキュリティスイッチ９１がオンになっている間は様々な変更を受け付けるので、ユーザが本当に意図した変更のみ受け付けたかどうかを証明することが難しいという課題もあった。さらに、許可されていないユーザでもセキュリティスイッチ９１を操作でき、またセキュリティスイッチ９１が故障することもあり、確実性に欠けるという課題もあった。
従って本発明が解決しようとする課題は、制御装置自身がセキュリティを制御、監視し、ユーザが意図したタイミングで意図した変更のみを許可するプロセス制御装置を提供することにある。

このような課題を達成するために、本発明のうち請求項１記載の発明は、
入力された要求を受け付けるかどうかを表すセキュリティ状態の現在の状態が保存されるセキュリティ状態情報手段と、
パスワードが保存されるパスワード保存手段と、
セキュリティ状態変更通知が入力され、このセキュリティ状態変更通知と同時に送られてきたパスワードと前記パスワード保存手段に保存されたパスワードを比較し、比較結果が一致していると前記セキュリティ状態変更通知に基づいて前記セキュリティ状態情報手段の現在のセキュリティ状態を書き換えるセキュリティ管理手段と、
プログラムあるいはデータの変更要求が入力され、前記セキュリティ状態情報手段に保存された現在のセキュリティ状態を参照して、前記入力された変更要求が許可されていると、この変更要求を出力する要求受付手段と、
前記要求受付手段が出力したプログラムあるいはデータの変更要求が入力され、この変更要求を処理する要求処理手段と、
前記セキュリティ状態情報手段に格納された現在のセキュリティ状態を監視し、この現在のセキュリティ状態が前記変更要求の少なくとも１つを許可する状態が所定の時間継続したときに、その旨を通知するセキュリティ状態監視手段と、
を備えたことを特徴とするプロセス制御装置である。外部機器からの意図しない変更を防止できる。また、セキュリティ状態のリセットし忘れを防止できる。

請求項２記載の発明は、請求項１記載の発明において、
セキュリティ状態通知手段を有し、このセキュリティ状態通知手段は、前記セキュリティ状態情報手段に格納された現在のセキュリティ状態が変更されたときに、その旨を通知するようにしたものである。セキュリティ状態の意図しない変更を知ることができる。

請求項３記載の発明は、請求項２記載の発明において、
前記通知は、メッセージとユーザアプリケーションの少なくともいずれかを介して行われるようしにしたものである。簡単に実装できる。

以上説明したことから明らかなように、本発明によれば次のような効果がある。
本発明では、プログラムやデータを書き換える際に、まず現在のセキュリティ状態を変更し、その後プログラムやデータの変更要求を出すようにした。また、現在のセキュリティ状態変更の際、パスワードを照合するようにした。

ユーザが意図したタイミングでのみプログラムやデータの変更が可能であるので、外部機器からの意図しないこれらの変更を防止することができるという効果がある。また、ユーザが意図した変更のみ許可するので、ユーザの操作ミスを防止することが出来るという効果もある。

また、ソフトウエアで実現することが出来るので、安価に実現することができ、かつ変更が容易になるという効果もある。さらに、遠隔地で操作、監視が可能になるという効果もある。また、現在のセキュリティ状態を変更するときにパスワードを照合するので、変更する権限を有さないユーザの操作を排除することができるという効果もある。

また、セキュリティ状態通知手段を実装し、現在のセキュリティ状態が変更されたときに通知することにより、意図しないセキュリティ状態の変更を知ることが出来る。さらに、セキュリティ状態監視手段を実装し、リセットでない状態が所定の期間以上継続しないようにすることにより、リセットし忘れを防止することができという効果もある。

プロセス制御装置は、万一プラントに異常が発生したときに確実に緊急停止しなければならない。そのため、プログラムやデータの変更が正しく行われていることを制御装置自身で保証できることが重要であり、本発明はその点で効果が大きい。

以下本発明を図面を用いて詳細に説明する。図１は本発明に係るプロセス制御装置の一実施例を示す構成図である。図１において、１はエンジニアリングＰＣであり、通信バス２に接続されている。３はプロセス制御装置である制御ステーションである。なお、この図ではセキュリティ管理に関係のない部分は省略している。

この制御ステーション３には、通信バス２のインターフェイスである通信インターフェイス３１，複数の状態をとるセキュリティ状態情報手段３２，このセキュリティ状態情報手段３２を変更するセキュリティ管理手段３３，セキュリティ管理手段３３によって参照されるセキュリティ用パスワードが格納されているパスワード保存手段３４，通信インターフェイス３１が受信した変更要求が入力される要求受付手段３５，要求受付手段３５によって起動される要求処理手段３６，要求処理手段３６によって変更されるプログラム３７およびデータベース３８で構成されている。なお、要求受付手段３５および要求処理手段３６は、それぞれ複数のタスクで構成されている。

通信インターフェイス３１は通信バス２に接続され、エンジニアリングＰＣ１が出力するセキュリティ変更要求およびプログラム３７またはデータベース３８の変更要求を受信し、セキュリティ管理手段３３または要求処理手段３５に出力する。

セキュリティ管理手段３３は、エンジニアリングＰＣ１から送られてきたセキュリティ変更要求と共に送られてきたパスワードとパワード保存手段３４に格納されているパスワードを比較し、一致していればセキュリティ状態情報手段３２の現在のセキュリティ状態を変更する。

通信インターフェイス３１が受信した要求変更は要求受付手段３５に入力される。要求受付手段３５はこの要求変更を受け取ると、セキュリティ状態情報手段３２に格納されている現在のセキュリティ状態を参照し、許可されていると変更要求を要求処理手段３６に出力する。要求処理手段３６は入力された変更要求に従ってプログラム３７および／またはデータベース３８を再設定する。

次に、この実施例の動作の概念を、図２を用いて説明する。図２において、４は制御ステーション、４１はこの制御ステーション４のファイアウオール、４２１，４２２はセキュリティ状態情報手段３２内の現在のセキュリティ状態によってその状態が変化するセキュリティゲート、４３はセキュリティ管理手段、４４，４５はそれぞれ変更要求Ｂ、Ｃの受付タスクである。セキュリティ管理手段４３は図１のセキュリティ管理手段３３と同じものであり、変更Ｂ受付タスク４４、変更Ｃ受付タスク４５は図１の要求受付手段３５の一部である。

なお、変更要求Ａはどのような場合であっても受け付けてはいけない要求であり、変更要求ＢおよびＣは、ユーザが指定したタイミングでのみ受け付けたい要求である。

図２（Ａ）は定常状態、すなわち変更要求を行わないときの状態を表している。変更要求Ａに対しては、ファイアウオール４１自体が閉じているので、どのような場合であっても受け付けられない。変更要求Ｂ、Ｃは、ファイアウオール４１は開いているが、セキュリティゲート４２１，４２２が閉じているので、やはり受け付けられない。

同図（Ｂ）はセキュリティ変更要求によってセキュリティ状態情報手段３２内の現在のセキュリティ状態を変更して、変更要求Ｂを受け付けるようにした状態を表す。セキュリティゲート４２２が開いたために変更要求Ｂは変更Ｂ受付タスク４４に到達し、実行される。なお、セキュリティゲート４２１は閉じたままなので、変更要求Ｃは受け付けられない。

なお、図２は模式的に記載したので、変更要求がセキュリティゲート４２１，４２２によって阻まれて受付タスク４４，４５に到達しないようになっているが、受付タスク４４，４５がセキュリティ状態情報手段３２を参照して受け付けるかどうかを決定するようにしてもよい。

次に、図３に基づいて図１実施例の動作を説明する。なお、図１と同じ要素には同一符号を付し、説明を省略する。図３は動作を順番に記載したものであり、時間は上から下に流れるものとする。

図３において、プログラムあるいはデータベースを変更したいユーザは、（Ａ）でエンジニアリングＰＣ１を操作してセキュリティ状態変更通知を制御ステーション３に送信する。このとき、パスワードも同時に送信する。

セキュリティ状態変更通知を受け取ったセキュリティ管理手段３３は、同時に送られてきたパスワードとパスワード保存手段３４に保存しているパスワードを比較して、一致していると（Ｃ）でセキュリティ状態情報手段３２内の現在のセキュリティ状態を変更し、（Ｄ）でエンジニアリングＰＣ１にセキュリティ状態の変更が完了したことを通知する。セキュリティ管理手段３３は、パスワードが一致していると変更権限を有する特別なユーザであると判断する。

セキュリティ状態変更完了通知を受け取ったユーザは、（Ｅ）でエンジニアリングＰＣ１を用いて変更要求を送信する。この変更要求は要求受付手段３５で受信される。要求受付手段３５は、（Ｆ）でセキュリティ状態情報手段３２内の現在のセキュリティ状態を参照し、受信した変更要求が許可されているかどうかをチェックする。

次に、（Ｇ）でデータベース３８に書き込む操作を行い、（Ｈ）で書き込みが成功した、あるいは失敗したことをエンジニアリングＰＣ１に通知する。この通知を受け取ったユーザは、（Ｉ）でセキュリティ状態情報手段３２をリセットし、全ての変更要求が受け付けられないようにする。

なお、この図ではデータベース３８への書き込み操作の例を示したが、プログラム３７の変更その他の操作であってもよい。

前述の実施例では、ユーザがセキュリティ状態情報手段３２をリセットし忘れると、パスワードを持たないユーザもプログラム３７あるいはデータベース３８の変更ができてしまうという欠点がある。図４にこの欠点を除去した実施例を示す。

図４において、５はセキュリティ状態管理手段であり、セキュリティ管理手段３３に内蔵される。５１はセキュリティ状態通知手段であり、セキュリティ状態管理手段５に内蔵される。このセキュリティ状態通知手段５１は、セキュリティ状態情報手段３２内の現在のセキュリティ状態が変化したときに、変化した旨をメッセージやユーザアプリケーションを通じてユーザに通知する。これによって、ユーザは意図しないタイミングでセキュリティ状態情報手段３２が変更されたことを知ることができる。

５２はセキュリティ状態監視手段であり、セキュリティ状態管理手段５に内蔵され、またタイマ５２１を内蔵している。このセキュリティ状態監視手段５２はセキュリティ状態情報手段３２を常時監視し、現在のセキュリティ状態が安全でない、すなわち図２（Ａ）の状態でない状態が一定時間以上継続すると異常と判断し、セキュリティ状態通知手段５１を介してユーザに通知して異常を知らせる。

本発明の一実施例を示す構成図である。本発明の概念を説明するための図である。本発明の動作を説明するための図である。本発明の他の実施例を示す構成図である。プロセス制御システムの構成図である。制御ステーションの構成図である。安全計装システムの構成図である。

符号の説明

１、４エンジニアリングＰＣ
２通信バス
３制御ステーション
３１通信インターフェイス
３２セキュリティ状態情報手段
３３、４３セキュリティ管理手段
３４パスワード保存手段
３５要求受付手段
３６要求処理手段
３７プログラム
３８データベース
４１ファイアウオール
４２１，４２２セキュリティゲート
４４変更Ｂ受付タスク
４５変更Ｃ受付タスク
５セキュリティ状態管理手段
５１セキュリティ状態通知手段
５２セキュリティ状態監視手段
５２１タイマ

Claims

ネットワーク経由で内部のプログラムやデータが変更可能なプロセス制御装置において、
入力された要求を受け付けるかどうかを表すセキュリティ状態の現在の状態が保存されるセキュリティ状態情報手段と、
パスワードが保存されるパスワード保存手段と、
セキュリティ状態変更通知が入力され、このセキュリティ状態変更通知と同時に送られてきたパスワードと前記パスワード保存手段に保存されたパスワードを比較し、比較結果が一致していると前記セキュリティ状態変更通知に基づいて前記セキュリティ状態情報手段の現在のセキュリティ状態を書き換えるセキュリティ管理手段と、
プログラムあるいはデータの変更要求が入力され、前記セキュリティ状態情報手段に保存された現在のセキュリティ状態を参照して、前記入力された変更要求が許可されていると、この変更要求を出力する要求受付手段と、
前記要求受付手段が出力したプログラムあるいはデータの変更要求が入力され、この変更要求を処理する要求処理手段と、
前記セキュリティ状態情報手段に格納された現在のセキュリティ状態を監視し、この現在のセキュリティ状態が前記変更要求の少なくとも１つを許可する状態が所定の時間継続したときに、その旨を通知するセキュリティ状態監視手段と、
を備えたことを特徴とするプロセス制御装置。
セキュリティ状態通知手段を有し、このセキュリティ状態通知手段は、前記セキュリティ状態情報手段に格納された現在のセキュリティ状態が変更されたときに、その旨を通知するようにしたことを特徴とする請求項１記載のプロセス制御装置。
前記通知は、メッセージとユーザアプリケーションの少なくともいずれかを介して行われることを特徴とする請求項２記載のプロセス制御装置。