JP6238849B2 - プラント計装システム - Google Patents

Description

この発明は、プラント計装システムに関するもので、特に、プラント制御装置の出力するプラントデータ、または監視操作装置から出力する制御データを中継するデータ処理装置がマルウェア等に感染しデータ改ざんする等の異常を検知することが可能なプラント計装システムに係るものである。

従来の電力プラントのホストコンピュータ（プラント制御システム）とコンピュータ・ネットワークを介して接続され、ホストコンピュータのデータ収集の異常を検出することができる端末コンピュータ（監視端末装置）、ホストコンピュータのデータ収集の異常を検出する技術として、ホストコンピュータから計測データを周期的に受信する手段と、計測データファイル中の計測データから計測データの収集周期を算出する手段と、計測データファイル中の各計測データの収集時刻間隔を前記算出した収集周期の誤差の範囲内か否かをチェックする手段と、チェックの結果前記収集時刻間隔が前記算出した収集周期の誤差の範囲内にない場合にデータ収集に異常あるとする手段とからなる異常検出手段を有するものが開示されている（例えば特許文献１）。

特開２００２−９９３２７号公報

しかしながら上記特許文献１に示された技術は、外部装置を用いてプラントデータを周期的に収集し、受信したデータと前周期に受信したデータとを比較することでデータ収集の異常を検知するものであるが、データ内容の確認に対応可能な技術ではなく、マルウェア（悪意のあるプログラム）や悪意を持つ人物によるデータ改ざん、不正操作を検知できないという問題点がある。

この発明は上記のような課題を解決するためになされたものであり、マルウェア等によるデータ改ざん、不正操作等によってなされるデータ処理装置の異常を検知できる機能を備えたプラント計装システムを提供することを目的としている。

この発明は、監視操作装置につながる情報ネットワークを介して設けられたチェック装置およびデータ処理装置と、チェック装置およびデータ処理装置にプラントネットワークを介して接続され、監視操作装置の出力によりプラント機器の制御を行う制御装置とが設けられたプラント計装システムにおいて、監視操作装置はデータ処理装置の出力するプラントデータを画面上に表示し、監視操作装置が出力する制御データを入力するチェック装置は、制御データに基づき予測画面データと予測出力データを予測データとして作成するとともに、制御装置が出力する実際のプラントデータである画面データを監視操作装置から情報ネットワークを介して入力すること、およびプラントデータである出力データをデータ処理装置から情報ネットワークを介して入力すること、の少なくともいずれか一方を行い、予測データと実際のプラントデータとの比較を行うことで、データ処理装置の異常発生の有無を検知するものである。

この発明に係るプラント計装システムによれば、プラント内において、情報ネットワーク、プラントネットワークを介してデータを中継するデータ処理装置に、感染したマルウェア等によるデータ改ざん等の異常を検知することができ、プラントシステムへの被害の早期発見が可能となるという効果がある。

実施の形態１によるプラント計装システムを示すブロック図である。 実施の形態１による異常検知のフローチャートを示す図である。 実施の形態１による異常検知のフローチャートを示す図である。 実施の形態２によるプラント計装システムを示すブロック図である。

実施の形態１．
以下、この発明によるプラント計装システムを図に基づいて説明する。図１は実施の形態１による原子力発電プラントにおけるプラント計装システム１００を示すブロック図である。図１においてこのプラント計装システム１００は、制御装置１とデータ処理装置３と表示画面を備えた監視操作装置５とチェック装置６とが設けられ、前記制御装置１とデータ処理装置３と監視操作装置５とチェック装置６はプラントネットワーク２および情報ネットワーク４を介して接続されている。制御装置１は監視操作装置５の指令によりプラントの制御を行うとともに、プラントネットワーク２を経由してデータ処理装置３にプラントデータ８を送信する。データ処理装置３は受信したプラントデータ８を演算処理し、情報ネットワーク４を経由して監視操作装置５に送信する。チェック装置６には予測比較モジュール９とデータベース１２と出力部１３とが設けられている。ここで図１のチェック装置６に記載した制御データ７は、監視操作装置５が指令発信するプラントの制御データ７であり、またプラントデータ８は、図示省略したプラント機器の出力を制御装置１が入力し、データ処理装置３で演算されたプラントデータ８であり、いずれも予測比較モジュール９に入力される。また出力データ１０は予測比較モジュール９が、後述するように監視操作装置５の指令により、制御装置１がプラント機器から取得する機器の出力データを予測して生成したものであり、かつ実際のプラントデータ８の中の出力データ１０Ａに相当するものであり、また画面データ１１は監視操作装置５が制御指令発信した際、図示省略した監視操作装置５の画面上に表示される画面を前記予測比較モジュール９が予測して作成されたものであり、かつ実際のプラントデータ８の中の画面データ１１Ａに相当するものである。これら出力データ１０、画面データ１１の予測のベースとなるデータは、いずれもデータベース１２に格納されている。プラント計装システム１００の運転制御は、プラント運転技術員の運転操作に基づいて、監視操作装置５から指令された制御データ７が、前述したプラントデータ８とは逆の経路を辿って図示省略したプラント機器を運転制御する制御装置１に送信される。

チェック装置６に設けられた予測比較モジュール９には、制御装置１から送信されるプラント機器のプラントデータ８、および監視操作装置５の指令する制御データ７が入力される。この予測比較モジュール９は、前記監視操作装置５が前記制御データ７を指令発信した際に、指令に対応したデータベース１２に格納されたデータを取得して予測して作成した画面データ１１の生成と、前記制御データ７に基づき前記制御装置１がプラント機器の出力するプラントデータ８を予測して作成した出力データ１０を生成するとともに、この予測作成した出力データ１０および画面データ１１と、前記データ処理装置３が受信、演算処理した実際のプラントデータ８の中の出力データ１０Ａ、画面データ１１Ａとの比較を行うものである。この比較によってデータ処理装置３に感染したマルウェア等によるデータ改ざんや不正操作の異常を検知、判定することが可能となる。判定結果は出力部１３を介して監視操作装置５に表示されるとともに、図示省略した監視センタに送信される。

ここで、チェック装置６の予測比較モジュール９とデータベース１２の動作について説明する。データベース１２にはプラント計装システム１００が、マルウェア等による感染でデータ改ざんや不正操作がなされてない正常状態において、監視操作装置５が指令する各種制御データ７に基づいて、制御装置１を介するプラント機器の出力する各種の出力データおよび画面データが格納されている。この各種の出力データおよび画面データは、プラント全般の通常運転モード時の出力データ、画面データはもとより、許容規格内における想定される各種態様である、例えば過負荷運転時、プラント機器運転立上げや過渡現象時等の出力データ、画面データが格納されている。監視操作装置５が指令する制御データ７を入力する予測比較モジュール９は、制御データ７に基づき、データベース１２から格納されている出力データ、画面データを取得して、前述の如く予測した画面データ１１、出力データ１０を作成するとともに、予測比較モジュール９は、データ処理装置３から入力する実際のプラントデータ８中の出力データ１０Ａ、画面データ１１Ａと、前記予測した画面データ１１、出力データ１０の比較を行う。例に差異があると、プラントネットワーク２あるいは情報ネットワーク４を介してデータ処理装置３にマルウェア等によるデータの改ざんや不正操作がなされているとみなす。

次に実施の形態１の動作ステップ（以下ＳＴと記す）をフローチャート図に基づき説明する。図２は画面データ１１、１１Ａを用いたプラント計装システム１００のデータ処理装置３の異常検知の動作を示すフローチャートである。
ＳＴ１にて、監視操作装置５が発信する情報ネットワーク４の中を流れている制御データ７をチェック装置６が入力する。
ＳＴ２にて、予測比較モジュール９は、制御データ７に対応する画面のデータを予測して、データベース１２から取得し、予測作成した画面データ１１とする。
ＳＴ３にて、チェック装置６は監視操作装置５から実際のプラントデータ８中の画面データ１１Ａを情報ネットワーク４を介して取得する。
ＳＴ４にて、予測比較モジュール９は、前記予測作成した画面データ１１と前記実際の画面データ１１Ａとの比較を行い、乖離の有無をチェックする。無のとき、異常検知の動作はストップする。
ＳＴ５にて、乖離が有のとき、プラントネットワーク２または情報ネットワーク４の双方あるいはそのいずれかを介してデータを中継するデータ処理装置３にマルウェア等によるデータの改ざんや不正操作があったと判定してプラント管理者に通知するとともに、出力部１３を介して監視操作装置５に表示を行う。

図３は出力データ１０、１０Ａを用いたデータ処理装置３の異常検知の動作を示すフローチャートである。
ＳＴ１にて、監視操作装置５が発信する情報ネットワーク４の中を流れている制御データ７をチェック装置６が入力する。
ＳＴ２にて、予測比較モジュール９は、制御データ７に対応するプラント機器の出力のデータを予測してデータベース１２から取得し、予測作成した出力データ１０とする。
ＳＴ３にて、チェック装置６はデータ処理装置３から、プラントネットワーク２の中を流れているプラント機器の出力する実際のプラントデータ８中の出力データ１０Ａを取得する。
ＳＴ４にて、予測比較モジュール９は、前記予測作成した出力データ１０と前記実際の出力データ１０Ａとの比較を行い、乖離の有無をチェックする。無のとき、異常検知の動作はストップする。
ＳＴ５にて、乖離が有のとき、プラントネットワーク２または情報ネットワーク４の双方あるいはそのいずれかを介してデータを中継するデータ処理装置３にマルウェア等によるデータの改ざんや不正操作があったと判定してプラント管理者に通知するとともに、出力部１３を介して監視操作装置５に表示を行う。

尚、上記図２、図３ではそれぞれ別個のフローにて異常検出を行う場合を示したが、同時に動作してもよく、シーケンシャルに動作してもよい。

この実施の形態１では、上記のような構成を採用しているので、原子力発電プラントのような重要な設備において、プラントネットワーク２や情報ネットワーク４に感染するマルウェア等によるデータ改ざんや不正操作を検出することができ、プラントの安全な運転が継続できるという効果がある。

実施の形態２．
次に、実施の形態２を説明する。図４に示すように監視操作装置５には、タッチパネル操作を読み取る操作センサ１４が設けられており、監視操作装置５が指令する制御データ７はタッチパネル操作によってなされ、この制御データ７を操作センサ１４が読み取る。チェック装置６に設けられた制御データ読み取り部１５は前記操作センサ１４から送信される制御データ７を読み取り、この制御データ７が予測比較モジュール９に入力されて出力データ１０、画面データ１１を予測して作成する。他の構成、動作は実施の形態１と同様である。尚、この実施の形態２の動作フローは、前述した実施の形態１のフローチャートの図２、図３のＳＴ１に示す「制御データ７を入手する」を「操作センサ１４から送信される制御データ７を制御データ読み取り部１５が読み取る」に置き換える。それ以外は図２、図３と同様である。このような構成を備えた実施の形態２のプラント計装システム１００は前述した実施の形態１と同様の効果を奏する。

実施の形態３．
この実施の形態３は、前述した実施の形態２の監視操作装置５に設けられた操作センサ１４に代替してキーロガーを設けるとともに、チェック装置６に設けられた制御データ読み取り部１５に代替してキーログを設けたものであり、他は実施の形態２と同様である。また動作フローも、実施の形態２の操作センサ１４に代替してキーロガー、制御データ読み取り部１５に代替してキーログに置き換える。それ以外は実施の形態２と同様であり、効果も同様である。

この発明の実施の形態１から実施の形態３では、原子力発電プラントのプラント計装システム１００の場合について説明したが、原子力発電プラントに限定されず、例えば公共交通網管理プラント、道路交通管理プラント、一般産業用プラント等にも適用可能である。

尚、この発明は、その発明の範囲内において、各実施の形態を自由に組み合わせたり、各実施の形態を適宜、変形、省略することが可能である。

１ 制御装置、２ プラントネットワーク、３ データ処理装置、
４ 情報ネットワーク、５ 監視操作装置、６ チェック装置、７ 制御データ、
８ プラントデータ、９ 予測比較モジュール、１０，１０Ａ 出力データ、
１１，１１Ａ 画面データ、１２ データベース、１３ 出力部、
１５ 制御データ読み取り部、１００ プラント計装システム。

Claims (5)

1. 監視操作装置につながる情報ネットワークを介して設けられたチェック装置およびデータ処理装置と、前記チェック装置および前記データ処理装置にプラントネットワークを介して接続され、前記監視操作装置の出力によりプラント機器の制御を行う制御装置とが設けられたプラント計装システムにおいて、前記監視操作装置は前記データ処理装置の出力するプラントデータを画面上に表示し、前記監視操作装置が出力する制御データを入力する前記チェック装置は、前記制御データに基づき予測画面データと予測出力データを予測データとして作成するとともに、前記制御装置が出力する実際のプラントデータである画面データを前記監視操作装置から前記情報ネットワークを介して入力すること、および前記プラントデータである出力データを前記データ処理装置から前記情報ネットワークを介して入力すること、の少なくともいずれか一方を行い、前記予測データと前記実際のプラントデータとの比較を行うことで、前記データ処理装置の異常発生の有無を検知することを特徴とするプラント計装システム。
2. 前記チェック装置には予測比較モジュールが設けられており、前記予測データの作成および前記実際のプラントデータとの比較は、前記予測比較モジュールが行うことを特徴とする請求項１に記載のプラント計装システム。
3. 前記チェック装置にはデータベースが設けられており、前記データベースには過去に前記制御装置が出力した実際のプラントデータが格納されており、前記予測データの作成は前記制御データに対応するものを前記データベースから取得することによってなされることを特徴とする請求項２に記載のプラント計装システム。
4. 前記監視操作装置から出力される前記制御データは、前記監視操作装置に設けられた操作センサを介して出力されるとともに、前記チェック装置に設けられた制御データ読み取り部が、前記操作センサの出力を読み取ることを特徴とする請求項１から請求項３のいずれか１項に記載のプラント計装システム。
5. 前記予測データと前記実際のプラントデータの比較結果は、前記チェック装置に設けられた出力部を介して前記監視操作装置に表示されるとともに、前記出力部から外部に送信されることを特徴とする請求項１から請求項４のいずれか１項に記載のプラント計装システム。

Images