JP5928707B2 - セキュリティポリシ配布実行システムおよびセキュリティポリシ実行方法 - Google Patents

Description

本発明は、情報制御システムのセキュリティポリシ配布・実行システム（セキュリティポリシ配布実行システム）およびセキュリティポリシ実行方法に関する。

情報システムに対するコンピュータウィルスによるサイバー攻撃や組織内部からの情報漏えいは従来からあったものの、近年、ライフラインを狙った事案の発生や、意図的な情報漏えいの増加など、従来ターゲットとなっていなかった情報制御システムがセキュリティの脅威にさらされている。

情報制御システムとは、設備と呼ばれる監視・制御対象の機器からデータを取得し、設備あるいはデータ毎の演算を実施し、その演算結果に応じて、自動で設備に対し、制御指示を出す制御装置（無人運転の制御装置を意味する。）と、当該設備、あるいはデータ毎の演算結果をオペレータが判断して制御指示を出すための監視・制御装置からなるシステムである。

情報制御システムの例としては、鉄道分野では、設備は、信号機、てんてつ器（線路の分岐を操作する装置）などであり、制御装置は、前記設備の状態に基づき実際の列車の進路を制御するための信号を送信し、監視・制御装置は、各設備の現在状態をシンボルと呼ばれる部品の集合により画面表示することで、業務知識を持ったオペレータの判断により監視制御をする。

また、情報制御システムには、以下のような特徴がある。まず、鉄道や電力などの社会インフラを支えるシステムが大部分を占め、停止することができない、高信頼なシステムである。また、永年に渡る機能拡張により新旧の装置群が混在しており、老朽化した装置ではハードウェア、ソフトウェアとも古いアーキテクチャであり、性能上の余力がない状態で動作している。

一般的に、情報制御システムのセキュリティレベルを維持するためには、納入前と納入後で以下を行う必要がある。システム納入前には、まず、「対象システムの構成、実運用を考慮したセキュリティ脅威分析を実施し、脅威の発生点と具体的な脅威を洗い出す」ことである。次に、「脅威の発生点と具体的な脅威に対する対策（以下、セキュリティポリシまたは単にポリシという）を設計する」ことである。次に、セキュリティポリシによる対策とその検証を行う。具体的には、まず、「セキュリティポリシにより、対策を講じる」、次に、「対策内容についての検証を行う」。これらのステップは、問題が無くなるまで必要に応じ繰り返す。

システム納入後には、対象システムの構成、実運用に変更があった場合のみ、前記ステップを実施する。ここで、セキュリティポリシとは、企業や組織におけるコンピュータのセキュリティに関する方針や行動指針を指し、例えば、ユーザＩＤに関しては、「ログインのユーザＩＤは、英数字含みで１６文字以上」、「ログインのユーザＩＤの有効期限は、３ヶ月以内」、「ログインに３回以上失敗したユーザＩＤは無効にする」などがあげられる。

「容易に停止することができない」、「性能上の余力がない」、「無人運転の装置もある」のような特徴がある情報制御システムに対して、日々発生しているセキュリティインシデントに対応すべく、情報制御システムの動作に影響を与えることなく、セキュリティポリシを効率良く、確実に配布・実行する必要がある。

セキュリティポリシを効率良く、確実に配布・実行する手段として、一般的には、ＯＳ（Operating System）やウィルス駆除ソフトで実施されているパッチ配信方法がある。このパッチ配信方法は、パッチ配信サーバからネットワークを経由して対象のソフトウェア（ＯＳやウィルス駆除ソフト）がインストールされている装置に対し、パッチを配信後、強制的にパッチ実行・反映するというものである。このパッチ配信方法は、パッチ配信サーバが強制的に配布・実行・反映をするもので、無人運転装置を含む情報制御システムではパッチ適用後の動作の健全性確認ができないため、適用困難である。

また、この問題の別の解決手段として、特許文献１では、運用対策データを配信するサーバ装置と配信された運用データを端末の利用者が端末で設定・実行するセキュリティポリシ運用管理方法が開示されている。前記セキュリティポリシ運用管理方法により、端末において、利用者が実行したいタイミングで運用対策データを表示し、実行項目を選択することで、セキュリティポリシを実行することができる。

特許文献２では、サーバにポリシデータベース、セキュリティ管理プログラムを配置し、クライアント側がポリシ対策システム範囲を指定して、ポリシの設定を行うセキュリティポリシ管理方法が開示されている。前記クライアントにおいて、ポリシ範囲を指定してポリシ設定・実行を行うことができる。

特開２００６−６５５０９号公報 特開２００２−２４７０３３号公報

特許文献１で開示されているセキュリティポリシ運用管理方法は、セキュリティポリシを配布された端末側で、端末の利用者が前記セキュリティポリシを実行する項目やタイミングを決める必要があり、無人運転を行う装置を含む情報制御システムには適用困難である。

同様にして、特許文献２で開示されているセキュリティポリシ管理方法においても、クライアント側で設定・実行するため、情報制御システムへの適用は困難である。

本発明は、前記の課題を解決するための発明であって、無人運転の装置を含む情報制御システムに与える影響を最小限にしながら、セキュリティの高い情報制御システムを構築することができるセキュリティポリシ配布実行システムおよびセキュリティポリシ実行方法を提供することを目的とする。

前記目的を達成するため、本発明によるセキュリティポリシ配布実行システムは、設備を制御する制御装置（例えば、制御装置３００）と、入力部（例えば、ポリシ入力部１０１ａ）から入力されたセキュリティポリシとその危険度を、配布対象のポリシファイルとして記憶部（例えば、外部記憶装置１０２）に格納し、ポリシファイルを制御装置に配布するポリシ配布装置（例えば、ポリシ定義装置１００）とを備え、制御装置は、ポリシファイルの配布を受けた場合、ポリシファイルを装置記憶部（例えば、外部記憶装置３０２）に格納し、ポリシファイルに含まれる危険度と所定の処理が実行中であるか否かの状況とに基づいて、ポリシファイルを実行するか否かを判定することを特徴とする。

本発明によれば、無人運転の装置を含む情報制御システムに与える影響を最小限にしながら、セキュリティの高い情報制御システムを構築することができる。

本発明の実施形態に係るセキュリティポリシ配布・実行システムの構成を示すブロック図である。 ポリシ定義装置の構成を示すブロック図である。 ポリシ定義装置のポリシ入力部の画面例を示す図である。 ポリシ定義装置のポリシ入力部・ポリシ生成部の処理を示すフローチャートである。 ポリシ定義装置のポリシ格納テーブルのデータ構成を示す図である。 ポリシ定義装置のポリシ配布部の画面例を示す図である。 ポリシ定義装置のポリシ配布部の処理を示すフローチャートである。 監視・制御装置および制御装置のポリシ受信部の処理を示すフローチャートである。 監視・制御装置および制御装置のポリシ受信テーブルのデータ構成を示す図である。 監視・制御装置および制御装置のポリシ実行部の処理を示すフローチャートである。 監視・制御装置および制御装置の構成を示すブロック図である。

以下、本発明の実施形態を、図面を参照しながら詳細に説明する。
図１は、本発明の実施形態に係るセキュリティポリシ配布・実行システムの構成を示すブロック図である。セキュリティポリシ配布・実行システムは、ポリシ定義装置１００（ポリシ配布装置）、監視・制御装置２００、制御装置３００、および１以上の設備４００（例えば、設備４００Ａ，４００Ｂ，４００Ｃ）を含んで構成される。ポリシ定義装置１００、監視・制御装置２００、および制御装置３００は、ネットワーク１０（情報ネットワーク）を介して通信可能に接続されており、監視・制御装置２００、制御装置３００、および設備４００は、ネットワーク２０（制御ネットワーク）を介して、通信可能に接続されている。また、監視・制御装置２００、制御装置３００は、それぞれ複数の装置であってもよい。多重系の制御装置３００は、例えば、稼動系と待機系で系切換えを行う場合もある。

制御装置３００は、設備４００である監視・制御対象の機器からデータを取得し、設備４００毎あるいは所定のデータ毎の演算を実施し、その演算結果に応じて、設備４００に対し、制御指示を出す無人運転の制御装置である。監視・制御装置２００は、設備４００毎あるいは所定のデータ毎の演算結果をオペレータが判断して制御指示を出すための装置である。

ポリシ定義装置１００は、監視・制御装置２００および制御装置３００に配布するためのポリシを定義する装置である。前記したように、ポリシとは、脅威の発生点に対する脅威に対する対策であり、企業や組織におけるコンピュータのセキュリティに関する方針や行動指針を指している。ポリシ定義装置１００は、ポリシを定義するためのポリシ入力部１０１ａ、入力された定義情報に基づきポリシを生成するポリシ生成部１０１ｂ、監視・制御装置２００および制御装置３００に配布するためのポリシ配布部１０１ｃを有する。また、ポリシ定義装置１００は、ポリシ格納テーブル１０２ａ（図５参照）、配布用のファイルであるポリシファイル１０２ｂ、ポリシファイルの配布状況を管理するポリシ配布テーブル１０２ｃを有している。装置の詳細な構成については、図２で後記する。

監視・制御装置２００は、ポリシファイルを受信するポリシ受信部２０１ｄ、アプリケーション２０１ｅ、ポリシ情報２０１ｆ、ポリシ実行部２０１ｇを有する。また、監視・制御装置２００は、ポリシファイル２０２ｂ、ポリシ受信テーブル２０２ｄ、ポリシ実行テーブル２０２ｅを有している。なお、アプリケーション２０１ｅは、設備４００を制御するためのプログラムなどである。装置の詳細な構成については、図１１で後記する。

制御装置３００は、ポリシファイルを受信するポリシ受信部３０１ｄ、アプリケーション３０１ｅ、ポリシ情報３０１ｆ、ポリシ実行部３０１ｇを有する。また、制御装置３００は、ポリシファイル３０２ｂ、ポリシ受信テーブル３０２ｄ、ポリシ実行テーブル３０２ｅを有している。なお、アプリケーション３０１ｅは、設備４００を制御するためのプログラムなどである。装置の詳細な構成については、図１１で後記する。

図２は、ポリシ定義装置の構成を示すブロック図である。ポリシ定義装置１００は、メモリ１０１、外部記憶装置１０２、ＣＰＵ１０３、インタフェース１０４、表示装置１０５、入力装置１０６、通信装置１０７から構成される。メモリ１０１には、図１で示したポリシ入力部１０１ａ、ポリシ生成部１０１ｂ、およびポリシ配布部１０１ｃのプログラムが記憶されている。また、外部記憶装置１０２には、ポリシ格納テーブル１０２ａ（図５参照）、ポリシファイル１０２ｂ、ポリシ配布テーブル１０２ｃが記憶されている。ポリシ定義装置１００は、通信装置１０７を介して、ネットワーク１０に接続されている。

図１１は、監視・制御装置および制御装置の構成を示すブロック図である。図１１（ａ）は、監視・制御装置２００の構成を示すブロック図であり、図１１（ｂ）は、制御装置３００の構成を示すブロック図である。

監視・制御装置２００は、メモリ２０１、外部記憶装置２０２、ＣＰＵ２０３、インタフェース２０４、表示装置２０５、入力装置２０６、通信装置２０７から構成される。メモリ２０１には、図１で示したポリシ受信部２０１ｄ、アプリケーション２０１ｅ、およびポリシ実行部２０１ｇのプログラム、実行中のポリシ情報２０１ｆが記憶されている。外部記憶装置２０２には、ポリシファイル２０２ｂ、ポリシ受信テーブル２０２ｄ、ポリシ実行テーブル２０２ｅが記憶されている。監視・制御装置２００は、通信装置２０７を介して、ネットワーク１０，２０に接続されている。

同様に、制御装置３００は、メモリ３０１、外部記憶装置３０２、ＣＰＵ３０３、インタフェース３０４、表示装置３０５、入力装置３０６、通信装置３０７から構成される。メモリ３０１には、図１で示したポリシ受信部３０１ｄ、アプリケーション３０１ｅ、およびポリシ実行部３０１ｇのプログラム、実行中のポリシ情報３０１ｆが記憶されている。外部記憶装置３０２には、ポリシファイル３０２ｂ、ポリシ受信テーブル３０２ｄ、ポリシ実行テーブル３０２ｅが記憶されている。制御装置３００は、通信装置３０７を介して、ネットワーク１０，２０に接続されている。

図３は、ポリシ定義装置のポリシ入力部の画面例を示す図である。適宜図２を参照して説明する。画面３０は、ポリシ入力部１０１ａが起動した際に表示する画面であり、表示装置１０５に表示される。画面３０は、設定項目３１、値３２、単位３３、危険度３４を有している。また、画面３０は、入力されたポリシの整合性をチェックするためのエラーチェックのボタン３５、入力されたポリシを生成実行するためのポリシ生成実行のボタン３６、終了のボタン３７を有している。危険度３４は、管理者がポリシを設定する際の危険度であり、例えば、大、中、小などから選択できるようになっている。新規に入力する場合は、画面３０に表示されている空欄の行に、設定項目３１、値３２、および単位３３の欄の項目を入力するとともに、危険度３４を選択するとよい。

ポリシの整合性とは、例えば、設定項目が機器番号の長さであれば、所定の値以上は整合性がないとみなす。また、数値が入力されるのに文字が入っている場合には整合性がないとみなすことを意味する。

具体的に図３を説明すると、設定項目３１が「パスワードの最大文字列長」の場合、値３２に「１６」、単位３３に「文字」、危険度３４に「大」が設定されている。設定項目３１が「パスワードの有効期間」の場合、値３２に「３」、単位３３に「ヶ月」、危険度３４に「中」が設定されている。設定項目３１が「機器認証の有無」の場合、値３２に「する」、単位３３に「文字」、危険度３４に「大」が設定されている。同様に、設定項目３１が「機器番号の長さ」の場合、値３２に「１６」、単位３３に「バイト」、危険度３４に「大」が設定されている。なお、機器番号とは、制御装置３００を特定するためのＩＤである。

ポリシの配布先として、有人の制御装置であるか、無人の制御装置であるかにより、配布先を変更してもよい。例えば、ポリシとして、「パスワードの最大文字列長」、「パスワードの有効期間」の場合は、監視・制御装置２００に配布するとよい。また、ポリシとして、「機器認証の有無」、「機器番号の長さ」の場合、制御装置３００に配布するとよい。

図４は、ポリシ定義装置のポリシ入力部・ポリシ生成部の処理を示すフローチャートである。適宜図１、図２を参照して説明する。動作主体はＣＰＵ１０３であるが、括弧書きで動作主体をさらに明確にして説明する。ポリシ定義装置１００において、まず、本システムの利用者が入力装置１０６を介してポリシ入力部１０１ａの起動を指示すると、ＣＰＵ１０３は、ポリシ入力部１０１ａを起動し、画面３０（図３参照）を表示する（ステップＳ４０１）。次に、利用者が、画面３０を介して各設定項目に対する値を設定すると、ＣＰＵ１０３（ポリシ入力部１０１ａ）は、各設定項目に対する値をポリシ格納テーブル１０２ａに設定する（ステップＳ４０２）。利用者が画面３０を介して設定項目の危険度を設定すると、ＣＰＵ１０３（ポリシ入力部１０１ａ）は、設定項目の危険度をポリシ格納テーブル１０２ａに設定する（ステップＳ４０３）。例えば、設定項目３１が「パスワードの最大文字列長」の場合、パスワードの最大文字列長が１６文字に設定され、危険度が「大」に設定される。

次に、利用者が画面３０のエラーチェックボタン３０５をクリックすると、ＣＰＵ１０３（ポリシ入力部１０１ａ）は、エラーチェックを実行する（ステップＳ４０４）。エラーがあった場合、画面３０にエラーがある旨が表示される。利用者は画面３０を介して再入力するとよい。エラーが無い場合、利用者がポリシ生成実行のボタン３６をクリックすると、ＣＰＵ１０３（ポリシ生成部１０１ｂ）が当該設定データをポリシ格納テーブル１０２ａに格納し、ポリシを生成する（ステップＳ４０５）。最後に、利用者が終了ボタンをクリックすると、ＣＰＵ１０３は、画面３０を閉じて、ポリシ入力部１０１ａの処理を終了する（ステップＳ４０６）。

ここで、設定される危険度とは、各設定項目に対し必ず一つ設定される。設定内容は、“大”、“中”、“小”からなる。大は、セキュリティ上最も危険であり、直ぐに対応が必要な項目、中は、セキュリティ上危険であるが、直ぐに対応が必要ではない項目、小は、セキュリティ上危険ではないので、対応要否は配布側で判断しても良い項目を指す。さらに、ステップＳ４０５のポリシ生成のステップにおいて、ポリシファイル１０２ｂは、危険度毎に纏めて生成される。

図５は、ポリシ定義装置のポリシ格納テーブルのデータ構成を示す図である。ポリシ格納テーブル１０２ａは、設定項目５１、値５２、単位５３、危険度５４から構成される。ポリシ格納テーブル１０２ａには、図３で示した画面３０を介して入力されたポリシが格納されている。

図６は、ポリシ定義装置のポリシ配布部の画面例を示す図である。適宜図２を参照して説明する。画面６０は、ポリシ配布部１０１ｃが起動した際に表示する画面であり、表示装置１０５に表示される。画面６０は、ポリシ生成日時分秒６１、配布状況６２などを有するとともに、ポリシ配布実行のボタン６３、終了のボタン６４を有している。ポリシファイル１０２ｂは各識別情報（Ｎｏ．）を有しており、例えば画面６０のＮｏ．に該当する。画面６０を参照すると、識別番号が「２」の場合、２０１２年１月１０日に既に配布済みであり、識別番号が「１」の場合、２０１２年１月２７日現在、配布の実行中であることがわかる。

図７は、ポリシ定義装置のポリシ配布部の処理を示すフローチャートである。利用者が入力装置１０６を介してポリシ配布部１０１ｃの起動指示をすると、ＣＰＵ１０３は、ポリシ配布部１０１ｃを起動し（ステップＳ７０１）、未配布のポリシリストの画面を表示する。次に、利用者が表示された配布したいポリシを選択し、ポリシ配布のボタン６３をクリックすると（ステップＳ７０２）、ＣＰＵ１０３（ポリシ配布部１０１ｃ）が配布対象のポリシファイル１０２ｂを読出し（取得し）（ステップＳ７０３）、各装置にブロードキャストする（ステップＳ７０４）。最後に、利用者が画面６０の終了のボタン６４をクリックすると、ＣＰＵ１０３は画面を閉じて、ポリシ配布部１０１ｃの処理を終了する（ステップＳ７０５）。

次に、配布先である監視・制御装置および制御装置の処理について説明する。
図８は、監視・制御装置および制御装置のポリシ受信部の処理を示すフローチャートである。適宜図１１を参照して説明する。監視・制御装置２００のポリシ受信部２０１ｄおよび制御装置３００のポリシ受信部３０１ｄは、同様の処理機能を有する。

ＣＰＵ２０１（ポリシ受信部２０１ｄ）は、ポリシ配布部１０１ｃから配布されたポリシファイル１０２ｂを危険度毎にＸＸＸ−ｈ、ＸＸＸ−ｍ、ＸＸＸ−ｌ（ＸＸＸは、生成日時分秒が入る）のようにポリシファイル名で識別し、外部記憶装置２０２に格納し（ステップＳ８０１）、そして、ポリシ受信テーブル２０２ｄ（図９参照）を更新する（ステップＳ８０２）。

同様に、ＣＰＵ３０３（ポリシ受信部３０１ｄ）は、ポリシ配布部１０１ｃから配布されたポリシファイル１０２ｂを危険度毎にＸＸＸ−ｈ、ＸＸＸ−ｍ、ＸＸＸ−ｌ（ＸＸＸは、生成日時分秒が入る）のようにポリシファイル名で識別し、外部記憶装置３０２に格納し（ステップＳ８０１）、そして、ポリシ受信テーブル３０２ｄ（図９参照）を更新する（ステップＳ８０２）。

図９は、監視・制御装置および制御装置のポリシ受信テーブルのデータ構成を示す図である。ポリシ受信テーブル２０２ｄ，３０２ｄは、ポリシ受信日時分秒９１、ポリシファイル名９２から構成される。具体的には、ポリシ受信部２０１ｄ，３０１ｄは、２０１１年１２月１２日１０時３８分２０秒にポリシファイルを受信し、ポリシ受信日時分秒９１および危険度毎にポリシファイル名９２を生成している。ポリシファイル名９２の末尾のｈ、ｍ、ｌは、危険度が「大」、「中」、「小」に対応する。

図１０は、監視・制御装置および制御装置のポリシ実行部の処理を示すフローチャートである。ポリシ実行部２０１ｇの動作主体はＣＰＵ２０３であり、ポリシ実行部３０１ｇの動作主体はＣＰＵ３０３である。ポリシ実行部２０１ｇ，３０１ｇは、新たにポリシを受信したとき、ポリシに含まれるその危険度をチェックし（ステップＳ１００１）、危険度が大であるか否かを判定する（ステップＳ１００２）。危険度が大であれば（ステップＳ１００２，Ｙｅｓ）、ポリシ実行部２０１ｇ，３０１ｇは、ステップＳ１００５に進み、ポリシを実行し処理を終了する。なお、ここで、ポリシを実行するとは、受信した装置でポリシを適用することを意味する。

危険度が大でなければ（ステップＳ１００２，Ｎｏ）、ポリシ実行部２０１ｇ，３０１ｇは、危険度が中であるか否かを判定する（ステップＳ１００３）。危険度が中であれば（ステップＳ１００３，Ｙｅｓ）、現在の装置の状況でポリシを実行できるか否かを判定する（装置状況はＯＫ？）（ステップＳ１００４）。装置状況がＯＫであれば（ステップＳ１００４，Ｙｅｓ）、ポリシ実行部２０１ｇ，３０１ｇは、ステップＳ１００５に進み、ポリシを実行する。装置状況がＯＫでなければ（ステップＳ１００４，Ｎｏ）、ポリシ実行部２０１ｇ，３０１ｇは、ステップＳ１００６に進み、危険度が小として、無条件でポリシの実行待ちに入る（ステップＳ１００６）。なお、ステップＳ１００３において、危険度が中でなければ（ステップＳ１００３，Ｎｏ）、ステップＳ１００６に進む。

ステップＳ１００４における装置の状況は、監視・制御装置２００のポリシ実行部２０１ｇでは、ＣＰＵ負荷や周期プログラム実行中か否かにより判定し、一方、制御装置３００のポリシ実行部３０１ｇでは、これらに加え、多重系での系切替えの実行中、設備への制御指示の実行中、リトライ処理の実行中か否かにより判定する。具体的には、これらの処理が実行中の場合には、ポリシ実行処理が実施されないものとする。

最後に、ポリシ実行部２０１ｇ，３０１ｇは、装置の電源がＯＦＦ／ＯＮになったとき、待ちのポリシを全て実行するとよい。

ステップＳ１００３において、危険度が中であるか否かを判定しているが、これに限定されることはない、例えば、所定のレベル以下である場合（危険度が中または危険度が小である場合）、制御装置３００の処理状況が、多重系の制御装置の系切替えの実行中、設備４００への制御指示の実行中、設備４００へのリトライ処理の実行中の少なくともいずれかの処理中である場合、実行中の処理が終了するまで、ポリシファイルに記載されたポリシの実行を待ち状態にするとよい。

本実施形態の情報制御システムは、容易に停止できない、性能の余力がない、無人運転の装置もあるなどの特徴により、配布サーバ側主導のセキュリティポリシの配布・実行では、情報制御システムの動作に影響を与える可能性がある。一方、情報制御システムにおいても、セキュリティを高めつつ、既存の情報制御システムの動作への影響を少なくして、セキュリティポリシの配布・実行を実現する必要がある。

本実施形態のセキュリティポリシ配布・実行システムは、セキュリティポリシをその危険度と一緒に定義する手段（例えば、ポリシ入力部１０１ａ、ポリシ生成部１０１ｂ）と、セキュリティポリシを一括配布する手段（例えば、ポリシ配布部１０１ｃ）とを有するポリシ定義装置１００と、配布されたセキュリティポリシを危険度と配布された装置側の状況とを比較して実行可否を自動判断する手段（例えば、ポリシ実行部３０１ｇ）とを有する、設備４００を制御する制御装置３００とを備えている。例えば、自動判断する手段では、最適な設定項目のみ（例えば、図５の設定項目５１のうち、危険度が大きいもの）を実行する。

本実施形態のセキュリティポリシ配布・実行システムによれば、情報制御システムへの影響を与えることなく、確実・安全にセキュリティポリシの配布・実行ができる。また、自動判断する手段がポリシ実行の判定を自動で行うことで、無人運転装置への対応も容易にできる効果がある。

１０ ネットワーク（情報ネットワーク）
２０ ネットワーク（制御ネットワーク）
１００ ポリシ定義装置（ポリシ配布装置）
１０１ メモリ
１０１ａ ポリシ入力部
１０１ｂ ポリシ生成部
１０１ｃ ポリシ配布部
１０２ 外部記憶装置
１０２ａ ポリシ格納テーブル
１０２ｂ ポリシファイル
１０２ｃ ポリシ配布テーブル
１０３ ＣＰＵ
１０５ 表示装置
１０６ 入力装置
２００ 監視・制御装置
２０１ メモリ
２０１ｄ ポリシ受信部
２０１ｅ アプリケーション
２０１ｆ ポリシ情報
２０１ｇ ポリシ実行部
２０２ 外部記憶装置
２０２ｂ ポリシファイル
２０２ｄ ポリシ受信テーブル
２０２ｅ ポリシ実行テーブル
２０３ ＣＰＵ
３００ 制御装置
３０１ メモリ
３０１ｄ ポリシ受信部
３０１ｅ アプリケーション
３０１ｆ ポリシ情報
３０１ｇ ポリシ実行部
３０２ 外部記憶装置（装置記憶部）
３０２ｂ ポリシファイル
３０２ｄ ポリシ受信テーブル
３０２ｅ ポリシ実行テーブル
３０３ ＣＰＵ
４００ 設備

Claims (8)

1. 設備を制御する制御装置と、
   入力部から入力されたセキュリティポリシとその危険度を、配布対象のポリシファイルとして記憶部に格納し、前記ポリシファイルを前記制御装置に配布するポリシ配布装置とを備え、
   前記制御装置は、前記ポリシファイルの配布を受けた場合、前記ポリシファイルを装置記憶部に格納し、前記ポリシファイルに含まれる前記危険度と所定の処理が実行中であるか否かの状況とに基づいて、前記ポリシファイルを実行するか否かを判定する
   ことを特徴とするセキュリティポリシ配布実行システム。
2. 前記所定の処理とは、多重系の制御装置の系切替えの実行中、前記設備への制御指示の実行中、および前記設備へのリトライ処理の実行中のうち少なくともいずれかである
   ことを特徴とする請求項１に記載のセキュリティポリシ配布実行システム。
3. 前記制御装置は、前記危険度が所定のレベル以下であり、かつ、前記所定の処理が、多重系の制御装置の系切替えの実行中、前記設備への制御指示の実行中、および前記設備へのリトライ処理の実行中のうち少なくともいずれかの処理中である場合、前記実行中の処理が終了するまで、前記ポリシファイルの実行を待ち状態にする
   ことを特徴とする請求項１に記載のセキュリティポリシ配布実行システム。
4. 前記制御装置は、無人運転の装置である
   ことを特徴とする請求項１に記載のセキュリティポリシ配布実行システム。
5. セキュリティポリシとその危険度を、配布対象のポリシファイルとして記憶する記憶部を有するポリシ配布装置から、前記ポリシファイルの配布を受ける、設備を制御する制御装置は、
   前記ポリシファイルの配布を受けた場合、前記ポリシファイルを装置記憶部に格納し、前記ポリシファイルに含まれる前記危険度と所定の処理が実行中であるか否かの状況とに基づいて、前記ポリシファイルを実行するか否かを判定する
   ことを特徴とするセキュリティポリシ実行方法。
6. 前記所定の処理とは、多重系の制御装置の系切替えの実行中、前記設備への制御指示の実行中、および前記設備へのリトライ処理の実行中のうち少なくともいずれかである
   ことを特徴とする請求項５に記載のセキュリティポリシ実行方法。
7. 前記制御装置は、前記ポリシファイルに含まれる前記危険度が所定のレベル以下であり、かつ、前記所定の処理が、多重系の制御装置の系切替えの実行中、前記設備への制御指示の実行中、および前記設備へのリトライ処理の実行中のうち少なくともいずれかの処理中である場合、前記実行中の処理が終了するまで、前記ポリシファイルの実行を待ち状態にする
   ことを特徴とする請求項５に記載のセキュリティポリシ実行方法。
8. 前記制御装置は、無人運転の装置である
   ことを特徴とする請求項５に記載のセキュリティポリシ実行方法。

Images