JP6320177B2 - 制御権限管理システム - Google Patents

Description

この発明は、悪意のある制御を防止する制御権限管理システムに関するものである。

従来の制御権限管理システムは、ユーザ認証を行い、そのユーザの役割に応じた制御権限を与えるものであった（例えば、特許文献１参照）。

特開２０１０−９３４０号公報

従来の制御権限管理システムは、単にユーザ認証を行いそのユーザの役割に応じた制御権限を与えるものであり、ハッキング対策は考慮されていなかったため、制御権限を有するユーザになりすましてアクセスされた場合は、悪意のある制御を行われてしまうという問題点があった。

この発明は上記のような課題を解決するためになされたものであり、制御権限を有するユーザのインターネット回線からのログインを不可能にし、悪意のある制御を防止することができる制御権限管理システムを提供することを目的とする。

この発明の制御権限管理システムは、
ユーザが操作を行う端末が通信回線を介して接続されるとともに、設備を制御するサーバを備えた制御権限管理システムであって、
前記サーバには、前記端末を介して入力された前記ユーザのユーザ情報から、前記ユーザが前記設備の制御を行う制御権限を有するか否かを判定するユーザ認証部と、
前記端末が接続されている前記通信回線の種類がインターネット回線か否かを判定する通信回線判定部とを備え、
前記ユーザ認証部は、前記ユーザが前記制御権限を有すると判定された場合、
前記通信回線判定部の判定が前記インターネット回線であると判定されると、前記ユーザの前記サーバへのログインを不可とし、
前記通信回線判定部の判定が前記インターネット回線でないと判定されると、前記ユーザの前記サーバへの前記制御権限を有するログインを可とするものである。

この発明の制御権限管理システムによれば、
制御権限を有するユーザへのインターネット回線からのログインを不可能にし、悪意のある制御を防止することができる。

この発明の実施の形態１の制御権限管理システムの構成を示す図である。 図１に示した制御権限管理システムの動作を説明するためのフローチャートである。 図１に示した制御権限管理システムの表示部の表示例を示す図である。 この発明の実施の形態２の制御権限管理システムの動作を説明するためのフローチャートである。 この発明の実施の形態３の制御権限管理システムの構成を示す図である。 図５に示した制御権限管理システムの動作を説明するためのフローチャートである。 この発明の実施の形態４の制御権限管理システムの構成を示す図である。 この発明の実施の形態５の制御権限管理システムの構成を示す図である。 図８に示した制御権限管理システムの動作を説明するためのフローチャートである。

実施の形態１．
以下、本発明の実施の形態について説明する。図１はこの発明の実施の形態１における制御権限管理システムの構成を示す図である。図２は図１に示した制御権限管理システムの動作を説明するためのフローチャートである。図３は図１に示した制御権限管理システムの表示部の表示例を示す図である。

図１において、制御権限管理システムは、第１端末２と、第２端末３とに接続されたサーバ１を備えている。サーバ１は、制御するための設備が接続されているプラント内の閉鎖的なネットワーク回線４に接続されている。サーバ１はこのネットワーク回線４を介して設備を制御するものである。第１端末２はサーバ１とインターネット回線５を介して接続されている。第２端末３はサーバ１とイントラネット回線６を介して接続されている。

第１端末２および第２端末３には、各ユーザのユーザ情報としての、ユーザＩＤ、および、パスワードの情報を入力するためのユーザ情報入力部２１、３１を備えている。さらに、各種情報の画面データを表示するための表示部２２、３２を備えている。

サーバ１には、ユーザ情報データベース（以下、”データベース”は”ＤＢ”と称す）１１と、ユーザ認証部１２と、通信回線判定部１３とを備えている。ユーザ情報ＤＢ１１は、各ユーザのユーザ情報としての、ユーザＩＤ、および、パスワード、および、設備の制御を行う制御権限を有するか否かの情報が格納されている。通信回線判定部１３は、各端末２、３が接続されている回線がインターネット回線５か否かを判定するものである。

ユーザ認証部１２は、ユーザ情報ＤＢ１１のユーザ情報に基づいて、各端末２、３のユーザ情報入力部２１、３１を介して入力されたユーザＩＤおよびパスワードから、当該ユーザが制御権限を有するか否かを判定するものである。さらに、ユーザ認証部１２は、当該ユーザが制御権限を有すると判定された場合であって、通信回線判定部１３の判定がインターネット回線５であると判定されると、当該ユーザのサーバ１へのログインを不可とし、また、通信回線判定部１３の判定がインターネット回線５でないと判定されると、当該ユーザのサーバ１へのログインを可とするものである。そして、当該ユーザはサーバ１へのログインが可となり、さらに、制御権限が可とされる。よって、当該ユーザはサーバ１を介してネットワーク回線４に接続された設備の制御が指示することができる。

次に上記のように構成された実施の形態１の制御権限管理システムの動作を図２に基づいて説明する。まず、ユーザが第１端末２にユーザ情報としてのユーザＩＤとパスワードをユーザ情報入力部２１に入力する（図２のステップＳ１）。次に、入力されたユーザ情報は、インターネット回線５を経由してサーバ１のユーザ認証部１２に送信される（図２のステップＳ２）。次に、ユーザ認証部１２は、入力されたユーザＩＤおよびパスワードが一致するユーザ情報があるか否かを、ユーザ情報ＤＢ１１のユーザ情報にて確認する（図２のステップＳ３）。

そして、一致した情報が無い場合（Ｎｏ）には、ログインが失敗の旨の表示を第１端末２の表示部２２に送信し表示させ（図２のステップＳ４）、処理を終了する。また、一致した情報がある場合（Ｙｅｓ）には、ユーザ認証部１２は、当該ユーザが制御権限を有するか否かを、ユーザ情報ＤＢ１１のユーザ情報にて確認する（図２のステップＳ５）。

そして、制御権限を有しない場合（Ｎｏ）には、ログインが成功の旨の表示を第１端末２の表示部２２に送信し表示させ（図２のステップＳ６）、処理を終了する。そして、この場合は、当該ユーザがサーバ１を介して設備の制御を行うことはできないものの、サーバ１を介して設備の状態などを確認することができる。このとき、表示部２２には、図３（ｂ）に示すように、設備は影無しで表示され、制御権限を有しないユーザとしてログインとして、認証状態が表示される。

また、制御権限を有する場合（Ｙｅｓ）には、通信回線判定部１３は当該ユーザがアクセスした端末の通信回線の情報を読み込み、これがインターネット回線５か否かを判定する（図２のステップＳ７）。そして、インターネット回線５ではないと判定された場合（Ｎｏ）には、ログインが成功の旨の表示を端末の表示部に送信し表示させ（図２のステップＳ６）、処理を終了する。そして、この場合は、当該ユーザがサーバ１を介して設備の状態の確認を行うことができるとともに、設備の制御を行うことができる。

尚、このことは図１の場合においては、イントラネット回線６に接続されている第２端末３からのアクセスの場合に限られることとなる。このとき、表示部３２には、図３（ａ）に示すように、設備は影付で表示され、制御権限を有するユーザとしてログインとして、認証状態が表示される。また、インターネット回線５であると判定された場合（Ｙｅｓ）には、ログインが不可である旨の表示を第１端末２の表示部２２に送信し表示させ（図２のステップＳ８）、処理を終了する。

尚、本実施の形態１においては、第１端末２の動作を中心に示したが、第２端末３においても同様に行うことができ、同様の効果を奏することができる。また、このことは以下の実施の形態においても同様であるため、その説明は適宜省略する。

上記のように構成された実施の形態１の制御権限管理システムによれば、ユーザが制御権限を有すると判定された場合、その通信回線がインターネット回線であるユーザのサーバへのログインを不可とし、また、インターネット回線でないと判定されると、ユーザのサーバへのログインを可とするため、制御権限を有するユーザのインターネット回線からのログインを不可能にすることで、インターネット回線からの悪意のあるユーザによる不正な制御を防止することができる。また、インターネット回線からログイン可能な制御権限を持たないユーザに対しては、閲覧可能な情報を絞ることができる。

実施の形態２．
上記実施の形態１によれば、インターネット回線５からの制御権限を有するユーザのログインを不可としている。しかし、ハッキングされた場合を考えると、制御権限を持たないユーザとしてインターネット回線５からログインし、その後に、制御権限を有するユーザになりすまして制御が行われた場合、インターネット回線５からの制御信号を受け付けない必要がある。本実施の形態２においては、この場合に対応するものについて説明する。

図４はこの発明の実施の形態２における制御権限管理システムの動作を示すフローチャートである。尚、制御権限管理システムの構成は上記実施の形態１に示した図１と同様であるため、その説明は適宜省略する。実施の形態２においては、通信回線判定部１３は、ログインが可とされたユーザに対して、当該ユーザが制御信号を送信すると、当該制御信号が送信された通信回線がインターネット回線５か否かを判定し、インターネット回線５であれば、当該制御信号は不可とし、インターネット回線５でなければ、当該制御信号は可とする。

次に上記のように構成された実施の形態２の制御権限管理システムの動作を図４に基づいて説明する。まず、上記実施の形態１と同様の工程を経て、ユーザはサーバ１に対してログイン可かログイン不可かが設定されている。よって、実施の形態２においては、ログイン不可の場合には実施されない動作である。

そして、上記実施の形態１と同様の工程を経て、ユーザがサーバ１に対してログイン可とされ、その後、当該ユーザから第１端末２から制御信号をサーバ１に送信する（図４のステップＳ１０）。尚、第１端末２からログイン可とされたユーザは、上記実施の形態１によれば、制御権限が無い場合であり、実際には制御信号を送信することは無い。しかしながら、悪意により、ソースコードの解析や通信データの盗聴によりデータ構造を解析し、制御権限を有するユーザになりすまして制御信号を送信する場合があり、これはその例を示したものである。

次に、通信回線判定部１３は、当該制御信号が送信された通信回線がインターネット回線５か否かを判定する（図４のステップＳ１１）。そして、インターネット回線５であると判定された場合（Ｙｅｓ）には、当該制御信号は不可としてサーバ１は制御信号を受け付けず、その後の処理を行わず、処理を終了する。また、当該ユーザが第２端末３から制御信号をサーバ１に送信されたような場合であれば、インターネット回線５でないと判定され（Ｎｏ）、制御信号を可として、サーバ１は制御信号を受信し、設備に送信して、設備の制御を行う。

上記のように構成された実施の形態２の制御権限管理システムによれば、上記実施の形態１と同様の効果を奏するのはもちろんのこと、制御信号を受信した通信回線が、インターネット回線からであると判定した場合、制御信号を受け付けないことで、ハッキングによる制御権限を有するユーザへのなりすましが行われても不正な操作設定を防止する。

実施の形態３．
図５はこの発明の実施の形態３における制御権限管理システムの構成を示す図である。図６は図５に示した制御権限管理システムの動作を説明するためのフローチャートである。図において、上記各実施の形態と同様の部分は同一符号を付して説明を省略する。制御権限管理システムが表示している画面データは、画面データ作成端末７により作成される。

画面データ作成端末７は、制御対象となる設備のコンテンツが貼り付けられた画面データを作成する画面データ作成部７１と、当該画面データを難読化するソースコード難読化部７２とを備えている。サーバ１は、難読化して作成された画面データを保存する画面ＤＢ１４を備えている。そして、サーバ１の画面ＤＢ１４に保管され、画面データを各端末２、３がダウンロードすることで画面データが表示部２２、３２に表示される。

次に上記のように構成された実施の形態３の制御権限管理システムの動作を図６に基づいて説明する。まず、上記各実施の形態と同様の工程を経て、ユーザはサーバ１に対して制御を行う。本実施の形態３では画面データについて主に説明する。まず、画面データ作成部７１は画面データを作成する（図６のステップＳ２０）。次に、画面データ作成部７１は作成した画面データをソースコード難読化部７２に送信する（図６のステップＳ２１）。

次に、ソースコード難読化部７２は画面データの難読化を実施する（図６のステップＳ２２）。次に、ソースコード難読化部７２は難読化された画面データを画面データ作成部７１の送信する（図６のステップＳ２３）。次に、画面データ作成部７１は難読化された画面データをサーバ１に送信する（図６のステップＳ２４）。そして、サーバ１に送信された画面データは画面ＤＢ１４に格納される。次に、各端末２、３は起動時に、サーバ１から画面データを画面ＤＢ１４からダウンロードして、表示部２２、３２に表示する（図６のステップＳ２５）。

上記のように構成された実施の形態３の制御権限管理システムによれば、上記各実施の形態と同様の効果を奏するのはもちろんのこと、一般的に、端末にダウンロードされた画面データはユーザが直接参照することができ、また画面データは実行プログラムとソースコードが同じである。このため、難読化されていないとソースコードが容易に解析できてしまう。よってこのままでは、悪意のあるユーザによりデータ構造を解析され制御権限を有するユーザになりすますことで不正な制御操作を行われてしまう危険がある。しかしながら本実施の形態３によれば、画面データのソースコードの難読化を行い、端末はソースコード難読化が施された画面データをダウンロードして画面表示することで、画面データのソースコードが解析されることを防止する。

尚、本実施の形態３においては、端末に送信する画面データを難読化する例を示したが、これに限られることはなく、端末に送信される全てのデータを難読化することにより、悪意あるアクセスをより一層防止することができる。

実施の形態４．
上記実施の形態３によれば、画面データのソースコードを難読化することにより、解析されることを防止する例を示したが、端末とサーバとの通信時に通信データを盗聴され、通信データ構造を解析されることで制御権限を有するユーザになりすまされる危険性が考えられる。そこで、本実施の形態４においては、この場合に対応するものについて説明する。

図７（ａ）に示すように、一般的に、端末とサーバと間の通信プロトコルには、ＨＴＴＰプロトコルがＨＴＴＰ使用されているが、本実施の形態では、図７（ｂ）に示すように、より安全なＨＴＴＰＳプロトコルのＨＴＴＰＳ通信を使用する。

上記のように構成された実施の形態４の制御権限管理システムによれば、上記各実施の形態と同様の効果を奏するのはもちろんのこと、ＨＴＴＰＳプロトコルのＨＴＴＰＳ通信を用いるため、通信データが暗号化され、通信回線上での盗聴や制御権限を有するユーザへのなりすましを防止することができる。

実施の形態５．
図８はこの発明の実施の形態５における制御権限管理システムの構成を示す図である。図９は図８に示した制御権限管理システムの動作を説明するためのフローチャートである。図において、上記各実施の形態と同様の部分は同一符号を付して説明を省略する。各端末２、３は、ユーザが一定時間操作していない状態が続いた場合に、ログインを解除する無操作時間管理部２３、３３をそれぞれ備えている。

次に上記のように構成された実施の形態５の制御権限管理システムの動作を図９に基づいて説明する。まず、上記各実施の形態と同様の工程を経て、ユーザはサーバ１に対して制御を行う。本実施の形態５では無操作時間に対する動作について主に説明する。まず、ユーザから第１端末２に対して画面データの表示要求が行われる（図９のステップＳ３０）。次に、第１端末２の無操作時間管理部２３に、無操作状態の時間の確認要求が行われる（図９のステップＳ３１）。

次に、無操作時間管理部２３は、最終操作時刻と、現在の時刻とを比較し、無操作時間を抽出する（図９のステップＳ３２）。次に、無操作時間管理部２３は、無操作時間が指定時間以上か否かを判断する（図９のステップＳ３３）。そして、指定時間以上でないと判定された場合（Ｎｏ）には、ユーザの表示要求のあった画面データに遷移し（図９のステップＳ３４）、処理を終了する。すなわち、サーバ１の画面ＤＢ１４にアクセスされ、所望の画面データが表示部２２にダウンロードされ、表示される。

また、指定時間以上であると判定された場合（Ｙｅｓ）には、無操作時間管理部２３は、ログインを解除してログアウトとなるようにサーバ１に対して要求する（図９のステップＳ３５）。次に、無操作時間管理部２３は、表示部２２のログイン情報を削除しログアウト状態にする（図９のステップＳ３６）。次に、無操作時間管理部２３は、表示部２２に指定時間の操作が行われなかったためログアウトする旨を表示するとともに、ログイン画面に遷移し（図９のステップＳ３７）、処理を終了する。

上記のように構成された実施の形態５の制御権限管理システムによれば、上記各実施の形態と同様の効果を奏するのはもちろんのこと、無操作時間管理部を備えることにより、制御権限を有するユーザでログインした状態が放置された場合に、悪意のある操作設定が行なわれることを防止する。

尚、本発明は、その発明の範囲内において、各実施の形態を自由に組み合わせたり、各実施の形態を適宜、変形、省略することが可能である。

１ サーバ、２ 第１端末、３ 第２端末、４ ネットワーク回線、
５ インターネット回線、６ イントラネット回線、７ 画面データ作成端末、
１１ ユーザ情報ＤＢ、１２ ユーザ認証部、１３ 通信回線判定部、１４ 画面ＤＢ、２１ ユーザ情報入力部、２２ 表示部、２３ 無操作時間管理部、
３１ ユーザ情報入力部、３２ 表示部、３３ 無操作時間管理部、
７１ 画面データ作成部、７２ ソースコード難読化部。

Claims (5)

1. ユーザが操作を行う端末が通信回線を介して接続されるとともに、設備を制御するサーバを備えた制御権限管理システムであって、
   前記サーバには、前記端末を介して入力された前記ユーザのユーザ情報から、前記ユーザが前記設備の制御を行う制御権限を有するか否かを判定するユーザ認証部と、
   前記端末が接続されている前記通信回線の種類がインターネット回線か否かを判定する通信回線判定部とを備え、
   前記ユーザ認証部は、前記ユーザが前記制御権限を有すると判定された場合、
   前記通信回線判定部の判定が前記インターネット回線であると判定されると、前記ユーザの前記サーバへのログインを不可とし、
   前記通信回線判定部の判定が前記インターネット回線でないと判定されると、前記ユーザの前記サーバへの前記制御権限を有するログインを可とする制御権限管理システム。
2. 前記ユーザ認証部は、前記ユーザが前記制御権限を有しないと判定された場合、前記ユーザの前記サーバへの前記制御権限を有しないログインを可とする請求項１に記載の制御権限管理システム。
3. 前記サーバは、前記端末に送信するデータを難読化して行う請求項１または請求項２に記載の制御権限管理システム。
4. 前記サーバは、前記端末との通信にＨＴＴＰＳプロトコルを用いる請求項１から請求項３のいずれか１項に記載の制御権限管理システム。
5. 前記端末は、前記制御権限を有するユーザであるとして前記サーバにログインした状態の時間の管理を行う無操作時間管理部を備え、
   前記無操作時間管理部は、前記端末から前記サーバに対して指定時間以上操作が行われない場合、前記サーバへのログインを解除する請求項１から請求項４のいずれか１項に記載の制御権限管理システム。

Images