JP6331638B2 - 制御システム間通信システム、及び通信制御方法 - Google Patents

Description

本発明は、工場や、プラント等に構築され、工場や、プラントを構成する装置を制御する制御システムに関する。

工場や、プラント等においては、プログラマブルロジックコントローラ（ＰＬＣ：programmable logic controller）、センサ、アクチュエータ、入出力装置、通信装置、監視制御装置等をネットワークで接続することによって制御システムが構築される。入出力装置は、センサ、及びアクチュエータと接続され、センサ、及びアクチュエータとの間で、データの取り込み又は書き込みを行う。通信装置は、複数のＰＬＣ間を接続するとともに、他の制御システムと接続する。

また、工場や、プラント等においては、共通のセキュリティ要求事項を共有する物理環境、情報、及びアプリケーション資産を論理的にグループ化することによりセキュリティゾーンが設定される。

複数のネットワークにコンピュータを接続する際のセキュリティに関する技術に関して、ネットワークへのアクセスをネットワークゾーンに応じて制御する技術が知られている（例えば、特許文献１参照）。

また、ユーザ端末のセキュリティ状況を取得し、ユーザ端末に対するセキュリティポリシーを確定し、確定したセキュリティポリシーをパケットサービスサポートノードに送信し、パケットサービスサポートノードは、受信したセキュリティポリシーに基づいて制御する技術が知られている（例えば、特許文献２参照）。

また、接続するコンピュータと接続されるネットワークとの間で担保するセキュリティのうち、最も妥当なセキュリティレベルを選択する技術が知られている（例えば、特許文献３参照）。

特開２００４−３１０７７４号公報 特表２００８−５２６１４４号公報 特開２００９−６５５３８号公報

制御システム間で設定した認証や暗号化等のセキュリティ対策を実行し、通信した結果、セキュリティ処理等の負荷が増加し、制御システムに求められる要求性能を満足しない場合がある。また、制御システムに求められる要求性能を満足しないことを検知できないため、要求性能を満足しない状態で制御システムが運用され続けるおそれがある。要求性能を満足しない状態で制御システムが運用され続ける結果、工場や、プラント等によって生産される製造品、精製品の品質や、生産性が大きく低下するおそれがある。

さらに、工場や、プラント等によって生産される製造品、精製品の品質や、生産性が大きく低下した場合に、要求性能を満足しない原因の究明が必要となり、制御システムの改修が必要となり、コストの増大につながる。

本発明の目的は、工場や、プラント等に設定されるセキュリティゾーン毎に構築される制御システム間で通信を行う際に、セキュリティ対策を施すとともに、要求性能を満足する状態で運用することである。

開示の一実施例の制御システム間通信システムは、
複数の装置を有する第１の制御システム、及び第２の制御システム間で通信を行う制御システム間通信システムであって、
前記第１の制御システムを構成する第１の通信装置は、
前記第２の制御システムを構成する第２の通信装置との間でセキュリティレベルを設定する第１のセキュリティレベル設定部と、
前記第１のセキュリティレベル設定部によって設定したセキュリティレベルにしたがって送信パケットに対してセキュリティ処理を行う第１のセキュリティ処理部と、
前記第１のセキュリティ処理部によってセキュリティ処理した送信パケットを前記第２の通信装置へ送信する第１の送信部と、
前記第１の送信部によって送信した送信パケットに対する応答パケットを受信する第１の受信部と、
前記第１のセキュリティ処理部によって送信パケットに対してセキュリティ処理を行うところから、前記第１の送信部によって前記セキュリティ処理した送信パケットを送信し、前記第１の受信部によって前記応答パケットを受信するまでの経過時間に基づいて、前記第２の通信装置との間で設定したセキュリティレベルが要求性能を満たすか否かを判定する要求性能判定部と
を有し、
前記第２の通信装置は、
前記第１の通信装置との間でセキュリティレベルを設定する第２のセキュリティレベル設定部と、
前記第１の通信装置から送信される送信パケットを受信する第２の受信部と、
前記第２のセキュリティレベル設定部によって設定したセキュリティレベルにしたがって、前記第２の受信部によって受信した送信パケットに対してセキュリティ処理を行う第２のセキュリティ処理部と、
前記第２のセキュリティ処理部によってセキュリティ処理した送信パケットに対する応答パケットを作成する受信パケット処理部と、
前記受信パケット処理部によって作成した応答パケットを前記第１の通信装置へ送信する第２の送信部と
を有する。

開示の実施例によれば、工場や、プラント等に設定されるセキュリティゾーン毎に構築される制御システム間で通信を行う際に、セキュリティ対策を施すとともに、要求性能を満たす状態で制御システムを運用することができる。

制御システムの一実施例を示す図である。 第１の通信装置、及び第２の通信装置の一実施例を示す図である。 セキュリティ設定テーブルの一例を示す図である。 パケット分割数設定テーブルの一例を示す図である。 第１の通信装置、及び第２の通信装置の一実施例を示す機能ブロック図である。 第１の通信装置、及び第２の通信装置の動作の一実施例を示すシーケンスチャート（その１）である。 第１の通信装置、及び第２の通信装置の動作の一実施例を示すシーケンスチャート（その２）である。 第１の通信装置、及び第２の通信装置の動作の一実施例を示すシーケンスチャート（その３）である。 第１の通信装置、及び第２の通信装置の動作の一実施例を示すシーケンスチャート（その４）である。 セキュリティレベルの一例を示す図である。 第１の通信装置、及び第２の通信装置の動作の一実施例を示すシーケンスチャート（その５）である。 第１の通信装置、及び第２の通信装置の動作の一実施例を示すシーケンスチャート（その６）である。

次に、本発明を実施するための形態を、以下の実施例に基づき図面を参照しつつ説明する。以下で説明する実施例は一例に過ぎず、本発明が適用される実施の形態は、以下の実施例に限られない。
なお、実施例を説明するための全図において、同一機能を有するものは同一符号を用い、繰り返しの説明は省略する。

＜実施例＞
＜制御システム間通信システム＞
図１は、セキュリティゾーン毎に構築される制御システムの一実施例を示す。図１には、セキュリティゾーンＡ１００、及びセキュリティゾーンＢ２００が示され、セキュリティゾーンＡ１００には制御システムＡ１０２が構築され、セキュリティゾーンＢ２００には制御システムＢ２０２が構築される。制御システムＡ１０２と、制御システムＢ２０２は、地理的に離れていることもある。各セキュリティゾーンに複数の制御システムが構築されてもよい。制御システムＡ１００と制御システムＢ２００は、光ファイバ、絶縁物及び保護物で被覆されている電線等の通信用ケーブル１５０で、インターネット等の通信ネットワーク５０を介して、有線接続される。この通信ネットワーク５０には、イーサネット(Ethernet)（登録商標）等の有線ローカルエリアネットワーク(LAN: Local Area Network)だけでなく、WｉＦｉ（Wireless Fidelity）や、Ｂｌｕｅｔｏｏｔｈ（登録商標）等の無線による通信が行われる箇所があってもよい。

＜制御システムＡ１０２＞
制御システムＡ１０２は、第１の監視・制御装置１０４、第１のＰＬＣ１０６、第２のＰＬＣ１０８、第１の通信装置１１０、第１の入出力装置１１２、第２の入出力装置１１４、第１のセンサ１１６、第２のセンサ１２０、第１のアクチュエータ１１８、及び第２のアクチュエータ１２２を備える。

第１の監視・制御装置１０４、第１のＰＬＣ１０６、及び第２のＰＬＣ１０８は、第１の通信バス１２４によって接続されることによりＬＡＮを構成する。第１のＰＬＣ１０６、第２のＰＬＣ１０８、第１の通信装置１１０、第１の入出力装置１１２、及び第２の入出力装置１１４は、第２の通信バス１２６によって接続されることによりＬＡＮを構成する。第１の入出力装置１１２、第１のセンサ１１６、及び第１のアクチュエータ１１８は、第３の通信バス１２８によって接続されることによりＬＡＮを構成する。第２の入出力装置１１４、第２のセンサ１２０、及び第２のアクチュエータ１２２は、第４の通信バス１３０によって接続されることによりＬＡＮを構成する。

第１のセンサ１１６、及び第２のセンサ１２０は、温度を測定する温度計や圧力を測定する圧力計、流量を測定する流量計、レベルセンサ等の制御対象の状態を観測する装置である。第１のセンサ１１６によって観測される制御対象の状態の観測値情報は第１の入出力装置１１２に入力され、第２のセンサ１２０によって観測される制御対象の状態の観測値情報は第２の入出力装置１１４に入力される。

第１のアクチュエータ１１８は、第１の入出力装置１１２から入力される制御信号による指令によって制御対象に対する制御量を調節する。第２のアクチュエータ１２２は、第２の入出力装置１１４から入力される制御信号による指令によって制御対象に対する制御量を調節する。

第１の入出力装置１１２は、第１のセンサ１１６から入力される観測値を第１のＰＬＣ１０６へ出力するとともに、第１のＰＬＣ１０６から入力される制御信号を第１のアクチュエータ１１８へ出力する。

第１のＰＬＣ１０６は、第１の入出力装置１１２から入力される観測値情報に基づいて、第１のアクチュエータ１１８によって制御量が調整される制御対象に対する制御量を演算し、制御量情報を付帯した制御信号を作成する。例えば、第１のＰＬＣ１０６は、プラントのプロセスの挙動が目標値に一致するようにプラントの動きをオンラインで推定して、動的に制御を行うための制御量を演算する。第１のＰＬＣ１０６は、第１の入出力装置１１２に制御量情報を付帯した制御信号を出力する。また、第１のＰＬＣ１０６は、プラントのプロセスの状態や第１のセンサ１１６からの観測値情報に異常を検知した場合に第１の監視・制御装置１０４へ通知する。

第２の入出力装置１１４は、第２のセンサ１２０から入力される観測値を第２のＰＬＣ１０８へ出力するとともに、第２のＰＬＣ１０８から入力される制御信号を第２のアクチュエータ１２２へ出力する。

第２のＰＬＣ１０８は、第２の入出力装置１１４から入力される観測値情報に基づいて、第２のアクチュエータ１２２によって制御量が調整される制御対象に対する制御量を演算し、制御量情報を付帯した制御信号を作成する。例えば、第２のＰＬＣ１０８は、プラントのプロセスの挙動が目標値に一致するようにプラントの動きをオンラインで推定して、動的に制御を行うための制御量を演算する。第２のＰＬＣ１０８は、第２の入出力装置１１４に制御量情報を付帯した制御信号を出力する。また、第２のＰＬＣ１０８は、プラントのプロセスの状態や第２のセンサ１２０からの観測値情報に異常を検知した場合に第１の監視・制御装置１０４へ通知する。

第１の監視・制御装置１０４は、第１のＰＬＣ１０６，及び第２のＰＬＣ１０８から異常が通知された場合に、オペレータに異常を通知する。また、第１の監視・制御装置１０４は、トレーサビリティの確保や、問題が生じた場合の解析のために、過去のデータを蓄積する。

第１の通信装置１１０は、制御システムＢ２０２の第２の通信装置２１０との間で通信を行う。

＜制御システムＢ２０２＞
制御システムＢ２０２は、第２の監視・制御装置２０４、第３のＰＬＣ２０６、第４のＰＬＣ２０８、第２の通信装置２１０、第３の入出力装置２１２、第４の入出力装置２１４、第３のセンサ２１６、第４のセンサ２２０、第３のアクチュエータ２１８、及び第４のアクチュエータ２２２を備える。

第２の監視・制御装置２０４、第３のＰＬＣ２０６、及び第４のＰＬＣ２０８は、第５の通信バス２２４によって接続されることによりＬＡＮを構成する。第３のＰＬＣ２０６、第４のＰＬＣ２０８、第２の通信装置２１０、第３の入出力装置２１２、及び第４の入出力装置２１４は、第６の通信バス２２６によって接続されることによりＬＡＮを構成する。第３の入出力装置２１２、第３のセンサ２１６、及び第３のアクチュエータ２１８は、第７の通信バス２２８によって接続されることによりＬＡＮを構成する。第４の入出力装置２１４、第４のセンサ２２０、及び第４のアクチュエータ２２２は、第８の通信バス２３０によって接続されることによりＬＡＮを構成する。

第３のセンサ２１６、及び第４のセンサ２２０は、第１のセンサ１１６、及び第２のセンサ１２０と同様に、温度計や圧力計、流量計、レベルセンサ等の制御対象の状態を観測する装置である。第３のセンサ２１６によって観測される制御対象の状態の観測値情報は第３の入出力装置２１２に入力され、第４のセンサ２２０によって観測される制御対象の状態の観測値情報は第４の入出力装置２１４に入力される。

第３のアクチュエータ２１８は、第３の入出力装置２１２から入力される制御信号による指令によって制御対象に対する制御量を調節する。第４のアクチュエータ２２２は、第４の入出力装置２１４から入力される制御信号による指令によって制御対象に対する制御量を調節する。

第３の入出力装置２１２は、第３のセンサ２１６から入力される観測値を第３のＰＬＣ２０６へ出力するとともに、第３のＰＬＣ２０６から入力される制御信号を第３のアクチュエータ２１８へ出力する。

第３のＰＬＣ２０６は、第３の入出力装置２１２から入力される観測値情報に基づいて、第３のアクチュエータ２１８によって制御量が調整される制御対象に対する制御量を演算し、制御量情報を付帯した制御信号を作成する。例えば、第３のＰＬＣ２０６は、プラントのプロセスの挙動が目標値に一致するようにプラントの動きをオンラインで推定して、動的に制御を行うための制御量を演算する。第３のＰＬＣ２０６は、第３の入出力装置２１２に制御量情報を付帯した制御信号を出力する。また、第３のＰＬＣ２０６は、プラントのプロセスの状態や第３のセンサ２１６からの観測値情報に異常を検知した場合に第２の監視・制御装置２０４へ通知する。

第４の入出力装置２１４は、第４のセンサ２２０から入力される観測値を第４のＰＬＣ２０８へ出力するとともに、第４のＰＬＣ２０８から入力される制御信号を第４のアクチュエータ２２２へ出力する。

第４のＰＬＣ２０８は、第４の入出力装置２１４から入力される観測値情報に基づいて、第４のアクチュエータ２２２によって制御量が調整される制御対象に対する制御量を演算し、制御量情報を付帯した制御信号を作成する。例えば、第４のＰＬＣ２０８は、プラントのプロセスの挙動が目標値に一致するようにプラントの動きをオンラインで推定して、動的に制御を行うための制御量を演算する。第４のＰＬＣ２０８は、第４の入出力装置２１４に制御量情報を付帯した制御信号を出力する。また、第４のＰＬＣ２０８は、プラントのプロセスの状態や第４のセンサ２２０からの観測値情報に異常を検知した場合に第２の監視・制御装置２０４へ通知する。

第２の監視・制御装置２０４は、第３のＰＬＣ２０６、及び第４のＰＬＣ２０８から異常が通知された場合に、オペレータに異常を通知する。また、第２の監視・制御装置２０４は、トレーサビリティの確保や、問題が生じた場合の解析のために、過去のデータを蓄積する。

第２の通信装置２１０は、制御システムＡ１０２の第１の通信装置１１０との間で通信を行う。

さらに、通信ネットワーク５０には、制御システムＡ１０２、及び制御システムＢ２０２を管理する管理装置（図示なし）が接続される。管理装置は、第１の通信装置１１０、及び第２の通信装置２１０へ、制御に関する初期値等のパラメータを変更する指令を付帯した送信パケットを送信する。

以下、主に、第１の通信装置１１０、及び第２の通信装置２１０について説明する。

図２は、第１の通信装置１１０のハードウエア構成の一実施例を示す。

第１の通信装置１１０は、第１の通信Ｉ／Ｆ(interface)１５２、マイクロプロセッサ１５４、ＨＤＤ（Hard disk drive）１６０、ＲＡＭ(Random Access Memory)１６２、第２の通信Ｉ／Ｆ１６４、及び上記各構成要素を図２に示されているように電気的に接続するためのアドレスバスやデータバス等のバスライン１８０を備える。

第１の通信Ｉ／Ｆ１５２は、通信ネットワーク５０を利用してデータ伝送をするためのインターフェースである。マイクロプロセッサ１５４は、ＣＰＵ(Central Processing Unit)１５６、及びＲＯＭ(Read Only Memory)１５８を備え、第１の通信装置１１０全体の動作を制御する。ＲＯＭ１５８には、第１の通信装置１１０に設定されているセキュリティレベル情報が格納されている。

ＨＤＤ１６０は、ＩＰＬ(Initial Program Loader)等のＣＰＵ１５６の駆動に用いられるプログラム、第１の通信装置用プログラム、セキュリティ設定テーブル、及びパケット分割数設定テーブル等の各種データが記憶されている。第１の通信装置用プログラムは、インストール可能な形式又は実行可能な形式のファイルで、記録メディア等のコンピュータで読み取り可能な記録媒体に記録して流通させるようにしてもよい。

ＲＡＭ１６２は、ＣＰＵ１５６のワークエリアとして使用される。第２の通信Ｉ／Ｆ１６４は、第２の通信バス１２６を利用してデータ伝送をするためのインターフェースである。

（セキュリティ設定テーブル）
図３は、セキュリティ設定テーブルの一例を示す。ＨＤＤ１６０には、図３に示されるようなセキュリティ設定テーブルが格納される。セキュリティ設定テーブルでは、セキュリティの強度を表すセキュリティレベルに対して、各セキュリティ対策の内容が紐付けられることにより関連付けられて管理される。セキュリティレベルは、外部から攻撃する者に応じて設定することができる。例えば、セキュリティレベルは、素人が誤ってセキュリティに関する事故を生じさせた場合、多少の知識を有する者が生じさせた場合、及び高い技術を有する者が悪意で生じさせた場合等を想定して設定することができる。セキュリティレベルが「１」から「４」と高くなるにしたがって、セキュリティの強度も高くなる。本実施例では、一例としてセキュリティレベルの数が４種類である場合について説明されるが、セキュリティレベルの数は２種類−３種類としてもよいし、５種類以上としてもよい。

例えば、図３に示されるセキュリティ設定テーブルにおいて、セキュリティレベルが「１」のセキュリティ対策の内容は「パスワード付き」でデータを送信することである。また、セキュリティレベルが「２」のセキュリティ対策の内容は「パスワード付き」で、且つ第１の暗号方式によって暗号処理を行ってデータを送信することである。また、セキュリティレベルが「３」のセキュリティ対策の内容は「パスワード付き」で、且つ第２の暗号方式によって暗号処理を行ってデータを送信することである。また、セキュリティレベルが「４」のセキュリティ対策の内容は「パスワード付き」で、且つ第２の暗号方式によって暗号処理を行ってデータを送信するとともに、電子署名を送信することである。第２の暗号方式は、その暗号強度が第１の暗号方式の暗号強度より高いものが設定される。例えば、第１の暗号方式は鍵長が１２８ビットであるＡＥＳ(Advanced Encryption Standard)であり、第２の暗号方式は鍵長が２５６ビットであるＡＥＳである。

また、暗号方式として、ＡＥＳ以外にも、ＤＥＳ(Data Encryption Standard)、Ｔｒｉｐｌｅ ＤＥＳ、ＦＥＡＬ(Fast Data Encipherment Algorithm)、ＩＤＥＡ(International Data Encryption Algorithm)、ＲＣ４(Rivest's Cipher 4)などの共通鍵暗号方式を適用できる。共通鍵暗号方式を適用する場合には、第１の通信装置１１０、及び第２の通信装置２１０間で共通鍵が管理される。

また、暗号方式として、ＲＳＡ(Rivest Shamir Adleman)、楕円曲線暗号、ElGamal、ＤＳＡ(Digital Signature Algorithm)などの公開鍵暗号方式、ＰＧＰ(Pretty Good Privacy)、Ｓ／ＭＩＭＥ (Secure / Multipurpose Internet Mail Extensions)、ＳＳＬ(Secure Sockets Layer)などのハイブリッド方式を適用できる。

（パケット分割数設定テーブル）
図４は、パケット分割数設定テーブルの一例を示す。ＨＤＤ１６０には、図４に示されるようなパケット分割数設定テーブルが格納される。第１の通信装置１１０と、第２の通信装置２１０との間でセキュリティレベルが設定された後に、一方の通信装置において、セキュリティ対策を行った結果が、要求される性能を満足するか否かを検証するためのパケット（以下、「性能検証用パケット」という）が作成され、暗号化されて、他方の通信装置へ送信される。他方の通信装置では、性能検証用パケットが受信され、復号されて、性能検証用パケットの応答パケット（以下、「性能検証用応答パケット」という）が作成され、送信される。

性能検証用パケットを送信した通信装置は、性能検証用パケットを暗号化するところ（暗号化するとき）から、暗号化した性能検証用パケットを送信し、性能検証用応答パケットを受信するまでのラウンドトリップタイム（Round-Trip Time: RTT）を計測することにより経過時間を求める。性能検証用パケットを送信した通信装置は、経過時間が予め設定される時間が短いか否かを判定することによって要求性能を満たしているか否かを判定し、要求性能を満たさない場合に、経過時間に応じて、パケットの分割数を設定する。このパケット分割数設定テーブルでは、経過時間に対して、パケットの分割数が紐付けられることにより関連づけられて管理される。基準となるデータサイズが予め用意され、性能検証用パケットを送信した通信装置は、その基準となるデータサイズによってパケットを分割する。

例えば、図４に示されるパケット分割数設定テーブルにおいて、経過時間ｔがｔ_１以下であるときは分割数は「１」とされる。ここで、経過時間ｔ_１は、性能検証用パケットについて要求性能を満たすと判定される経過時間の上限である。また、経過時間ｔがｔ_１より長く、ｔ_２以下であるときは分割数は「２」とされる。また、経過時間ｔがｔ_２より長く、ｔ_３以下であるときは分割数は「３」とされる。また、経過時間ｔがｔ_３より長く、ｔ_４以下であるときは分割数は「４」とされる。ｔ_２、ｔ_３、及びｔ_４は、紐付けられた分割数で分割してパケットが送信された場合に、要求性能を満たすように予め設定される。図４に示されるのは、性能検証用パケットについてのものであり、性能検証用パケット以外のパケットについてもそれぞれパケット分割数設定テーブルが用意される。

図２に戻り、説明を続ける。

また、第２の通信装置２１０は、第１の通信装置１１０と同様のハードウェア構成を有しているため、その説明を省略する。但し、ＲＯＭ１５８には、第２の通信装置２１０に設定されているセキュリティレベル情報が格納されている。さらに、ＨＤＤ１６０には、ＩＰＬ等のＣＰＵ１５６の駆動に用いられるプログラム、第２の通信装置用プログラム、及びセキュリティ設定テーブル等の各種データが記憶されている。この場合も、第２の通信装置用プログラムは、インストール可能な形式又は実行可能な形式のファイルで、記録メディアやＣＤ−ＲＯＭ等のコンピュータで読み取り可能な記録媒体に記録して流通させるようにしてもよい。第２の通信Ｉ／Ｆ１６４は、第６の通信バス２２６を利用してデータ伝送をするためのインターフェースである。

＜実施例の機能構成＞
図５は、制御システムＡ１０２を構成する第１の通信装置１１０、及び制御システムＢ２０２を構成する第２の通信装置２１０の機能ブロック図である。図５では、第１の通信装置１１０、及び第２の通信装置２１０が、通信ネットワーク５０を介してデータ通信することができるように接続されている。また、図１に示されている第１の通信装置１１０、及び第２の通信装置２１０以外の装置は、データ通信において直接関係ないため、図５では省略されている。

＜第１の通信装置１１０の機能構成＞
第１の通信装置１１０、及び第２の通信装置２１０の機能構成を説明する前提として、第１の通信装置１１０から第２の通信装置２１０へ接続要求を行う場合について説明する。第２の通信装置２１０から第１の通信装置１１０へ接続要求を行う場合についても、第１の通信装置１１０と第２の通信装置２１０との間で読み替えることにより適用できる。つまり、第１の通信装置１１０は第２の通信装置２１０の機能として説明する機能も有し、第２の通信装置２１０は第１の通信装置１１０の機能として説明する機能も有する。

第１の通信装置１１０は、送受信部１１０２、セキュリティレベル設定部１１０４、認証部１１０６、暗号化・復号処理部１１０８、要求性能判定部１１１０、送信パケット処理部１１１２、及び受信パケット処理部１１１４を有している。これら各部は、図２に示されている各構成要素のいずれかが、ＨＤＤ１６０からＲＡＭ１６２上に展開された第１の通信装置用プログラムにしたがったＣＰＵ１５６からの命令によって動作することで実現される機能、又は機能される手段である。

（第１の通信装置１１０の各機能構成）
次に、図２及び図５を用いて、第１の通信装置１１０の各機能構成について詳細に説明する。なお、以下では、第１の通信装置１１０の各機能構成部を説明するにあたって、図５に示されている各構成要素のうち、第１の通信装置１１０の各機能構成部を実現させるための主な構成要素との関係も説明する。

図５に示されている第１の通信装置１１０の送受信部１１０２は、図２に示されているＣＰＵ１５６からの命令、図２に示されている第１の通信Ｉ／Ｆ１５２及び第２の通信Ｉ／Ｆ１６４によって実現され、通信ネットワーク５０を介して、制御システムＡ１０２以外の他の制御システムの通信装置（図５に示される例では、「第２の通信装置２１０」）と各種データの送受信を行う。送受信部１１０２は、第２の通信装置と通信を行うのに先だって、第２の通信装置２１０から送信される認証を要求する旨を示す認証要求情報を認証部１１０６へ入力するとともに、認証部１１０６から入力されるＩＤコード及びパスワードを第２の通信装置２１０へ送信する。

また、第２の通信装置２１０によって、第１の通信装置１１０が第２の通信装置２１０に接続できる権限を有していることが確認され、通信を開始する際に、送受信部１１０２は、第１の通信装置１１０に設定されているセキュリティレベル情報を送信するとともに、第２の通信装置２１０から送信される、第２の通信装置２１０によって選択されたセキュリティレベル情報を受信し、セキュリティレベル設定部１１０４へ入力する。なお、セキュリティレベル情報は、図３に示されているセキュリティレベル「１」−「４」のいずれかである。

また、送受信部１１０２は、要求性能判定部１１１０で作成され、暗号化・復号処理部１１０８で暗号化等のセキュリティ対策処理が行われた性能検証用パケットを第２の通信装置２１０へ送信する。

セキュリティレベル設定部１１０４は、図２に示されているＣＰＵ１５６からの命令によって実現され、送受信部１１０２によって受信された第２の通信装置２１０によって選択されたセキュリティレベル情報を設定する。例えば、セキュリティレベル設定部１１０４は、ＨＤＤ１６０に格納されているセキュリティ設定テーブルを参照し、送受信部１１０２で受信されたセキュリティレベル情報によって表されるセキュリティレベルに紐付けられたセキュリティ対策の内容を、暗号化・復号処理部１１０８に設定する。

セキュリティレベル設定部１１０４は、第２の通信装置２１０によって、電子署名を付与するセキュリティレベル（セキュリティレベル４）が選択された場合、第２の通信装置２１０からセキュリティレベル情報とともに、デジタル証明書を取得する。セキュリティレベル設定部１１０４は、デジタル証明書に付帯される認証局の署名を認証局の公開鍵で復号できるか否かを確認することによって、デジタル証明書が本物であるか否かを確認する。デジタル証明書に付帯される認証局の署名を認証局の公開鍵で復号できることにより、デジタル証明書が正当であると確認できる。セキュリティレベル設定部１１０４は、デジタル証明書が本物であることを確認できた場合に、暗号鍵の基本となる乱数を発生させ、該乱数をデジタル証明書に付帯される第２の通信装置２１０の公開鍵で暗号化し、第２の通信装置２１０へ送受信部１１０２から送信する。セキュリティレベル設定部１１０４は、鍵を生成するとともに、該鍵から共通鍵を生成し、暗号化・復号処理部１１０８に設定する。

認証部１１０６は、図２に示されているＣＰＵ１５６からの命令によって実現され、送受信部１１０２によって受信される認証を要求する旨を示す認証要求情報に対して、第１の通信装置１１０に設定されているＩＤコードとパスワードを送受信部１１０２から送信する。ここで、ＩＤコードは、第１の通信装置１１０を一意に識別するために使われる言語、文字、記号、又は各種のしるし等の識別情報を示す。また、ＩＤコードは、言語、文字、記号、及び各種のしるしのうち、少なくとも２つが組み合わされた識別情報であってもよい。ここでは、パスワード認証を適用する場合について説明するが、認証方式として、チャレンジレスポンス認証、ワンタイムパスワードなどを適用することもできる。

暗号化・復号処理部１１０８は、図２に示されているＣＰＵ１５６からの命令によって実現され、セキュリティレベル設定部１１０４にセキュリティ対策の内容が設定されたのを契機として、要求性能判定部１１１０から入力される性能検証用パケットを暗号化することによってセキュリティ処理部として機能し、暗号化した性能検証用パケットを送受信部１１０２へ入力する。送受信部１１０２は、暗号化・復号処理部１１０８から入力された暗号化された性能検証用パケットを第１の通信Ｉ／Ｆ１５２から送信する。第１の通信Ｉ／Ｆ１５２から送信された暗号化された性能検証用パケットは、通信ネットワーク５０を介して、第２の通信装置２１０へ送信される。第２の通信装置２１０は、暗号化された性能検証用パケットを復号し、性能検証用パケットに対する性能検証用応答パケットを作成し、第１の通信装置１１０へ送信する。

要求性能判定部１１１０は、図２に示されているＣＰＵ１５６からの命令によって実現され、セキュリティレベル設定部１１０４にセキュリティ対策の内容が設定されたのを契機として、セキュリティレベル設定部１１０４に設定されたセキュリティ対策の内容が第１の通信装置１１０及び第２の通信装置２１０との間で要求される性能を満足するか否かを検証するための性能検証データが付帯された性能検証用パケットを作成し、暗号化・復号処理部１１０８へ入力する。

さらに、要求性能判定部１１１０は、暗号化・復号処理部１１０８によって性能検証用パケットを暗号化するところから、送受信部１１０２によって暗号化された性能検証用パケットを送信し、送受信部１１０２によって性能検証用応答パケットを受信するまでのラウンドトリップタイムを計測することによって経過時間を求め、経過時間が予め設定される時間より短いか否かを判定することによって要求性能を満たしているか否かを判定する。要求性能判定部１１１０は、経過時間が要求性能を満たしている場合には、送信パケット処理部１１１２へ、送信データを分割しないで、送信パケットを作成してよいこと、つまり送信データの分割数が「１」であることを通知する。一方、要求性能判定部１１１０は、経過時間が要求性能を満たしていない場合には、ＨＤＤ１６０に格納されているパケット分割数設定テーブルを参照し、経過時間に基づいて送信データの分割数を求め、送信パケット処理部１１１２へ、送信データの分割数を通知する。

送信パケット処理部１１１２は、図２に示されているＣＰＵ１５６からの命令によって実現され、要求性能判定部１１１０から通知される送信データの分割数にしたがって、基準となるデータサイズによって第２の通信装置２１０へ送信する送信データを分割し、分割した送信データとともに、分割した送信データの順番を表すシーケンス番号を付帯した送信パケットを作成する。送信パケット処理部１１１２は、第２の通信装置２１０へ送信する送信パケットを送受信部１１０２に入力する。また、送信パケット処理部１１１２は、第１の通信装置１１０から送信される送信パケットに対する肯定応答(ACK)又は否定応答(NACK)に応じて、再送処理を行う。

受信パケット処理部１１１４は、図２に示されているＣＰＵ１５６からの命令によって実現され、第２の通信装置２１０から送信される送信パケットに対する肯定応答(ACK)又は否定応答(NACK)を作成し、送受信部１１０２から送信する。

＜第２の通信装置２１０の機能構成＞
第２の通信装置２１０は、送受信部２１０２、セキュリティレベル設定部２１０４、認証部２１０６、暗号化・復号処理部２１０８、要求性能判定部２１１０、送信パケット処理部２１１２、及び受信パケット処理部２１１４を有している。これら各部は、図２に示されている各構成要素のいずれかが、ＨＤＤ１６０からＲＡＭ１６２上に展開された第２の通信装置用プログラムにしたがったＣＰＵ１５６からの命令によって動作することで実現される機能、又は機能される手段である。

（第２の通信装置２１０の各機能構成）
次に、図２及び図５を用いて、第２の通信装置２１０の各機能構成について詳細に説明する。なお、以下では、第２の通信装置２１０の各機能構成部を説明するにあたって、図５に示されている各構成要素のうち、第２の通信装置２１０の各機能構成部を実現させるための主な構成要素との関係も説明する。

図５に示されている第２の通信装置２１０の送受信部２１０２は、図２に示されているＣＰＵ１５６からの命令、図２に示されている第１の通信Ｉ／Ｆ１５２、及び第２の通信Ｉ／Ｆ１６４によって実現され、通信ネットワーク５０を介して、制御システムＢ２０２以外の他の制御システムの通信装置（図５に示される例では、「第１の通信装置１１０」）と各種データの送受信を行う。送受信部２１０２は、第１の通信装置と通信を行うのに先だって、第１の通信装置１１０から接続が要求された場合に、第１の通信装置１１０へ認証を要求する旨を示す認証要求情報を送信するとともに、第１の通信装置１１０から送信されるＩＤコード及びパスワードを認証部２１０６へ入力する。

また、送受信部２１０２は、第１の通信装置１１０から送信されるセキュリティ対策処理が行われた性能検証用パケットを受信する。

また、第２の通信装置２１０によって、第１の通信装置１１０が第２の通信装置２１０に接続できる権限を有していることが確認され、通信を開始する際に、送受信部２１０２は、第１の通信装置１１０から送信されるセキュリティレベル情報を受信するとともに、セキュリティレベル設定部２１０４によって選択されるセキュリティレベル情報を送信する。なお、セキュリティレベル情報は、図３に示されているセキュリティレベル「１」−「４」のいずれかである。

また、送受信部２１０２は、第１の通信装置１１０から送信される送信パケットを第２の通信Ｉ／Ｆ１６４から第３のＰＬＣ２０６、及び第４のＰＬＣ２０８の一方又は両方へ入力する。

セキュリティレベル設定部２１０４は、図２に示されているＣＰＵ１５６からの命令によって実現され、送受信部２１０２によって受信された第１の通信装置１１０のセキュリティレベル情報と第２の通信装置２１０に設定されているセキュリティレベルに基づいて、第１の通信装置１１０との間で通信を行う際に使用するセキュリティレベルを選択し、設定する。具体的には、セキュリティレベル設定部２１０４は、第１の通信装置１１０のセキュリティレベル、及び第２の通信装置２１０に設定されているセキュリティレベルを比較し、高い方のセキュリティレベルを選択し、設定する。さらに、セキュリティレベル設定部２１０４は、ＨＤＤ１６０に格納されているセキュリティ設定テーブルを参照し、選択したセキュリティレベル情報により表されるセキュリティレベルに紐付けられたセキュリティ対策の内容を暗号化・復号処理部２１０８に設定する。

セキュリティレベル設定部２１０４は、電子署名を付与するセキュリティレベル（セキュリティレベル４）を選択した場合、認証局(CA Certificate Authority)に登録申請を行い、認証局からデジタル証明書を取得する。これにより、第２の通信装置２１０は認証され、公開鍵の正当性を証明することができる。セキュリティレベル設定部２１０４は、デジタル証明書を取得すると、第１の通信装置１１０へ、そのデジタル証明書を送信する。セキュリティレベル設定部２１０４は、第１の通信装置１１０から送信された暗号化された乱数を第２の通信装置２１０の秘密鍵で復号する。セキュリティレベル設定部２１０４は、鍵を生成し、該鍵から共通鍵を生成し、暗号化・復号処理部２１０８に設定する。

認証部２１０６は、図２に示されているＣＰＵ１５６からの命令によって実現され、送受信部２１０２から入力される第１の通信装置１１０に設定されているＩＤコード及びパスワードの組み合わせが、予め登録されている組み合わせと比較することによって、第１の通信装置１１０が第２の通信装置２１０と接続できる権限を有していることを確認する。認証部２１０６は、第１の通信装置１１０が第２の通信装置２１０と接続できる権限を有していることを確認できない場合には、その旨を通知する。

暗号化・復号処理部２１０８は、図２に示されているＣＰＵ１５６からの命令によって実現され、セキュリティレベル設定部２１０４にセキュリティ対策の内容が設定されたのを契機として、第１の通信装置１１０から送信され、送受信部２１０２から入力される性能検証用パケットを復号することによってセキュリティ処理部として機能し、復号した性能検証用パケットを要求性能判定部２１１０へ入力する。

要求性能判定部２１１０は、図２に示されているＣＰＵ１５６からの命令によって実現され、セキュリティレベル設定部２１０４にセキュリティ対策の内容が設定されたのを契機として、暗号化・復号処理部２１０８から復号された性能検証用パケットが入力された場合に、受信パケット処理部２１１４にその性能検証用パケットに対する応答である性能検証用応答パケットを作成させ、送受信部２１０２へ入力させる。送受信部２１０２は、受信パケット処理部２１１４から入力された性能検証用応答パケットを第１の通信Ｉ／Ｆ１５２から送信する。第１の通信Ｉ／Ｆ１５２から送信された暗号化された性能検証用パケットは、通信ネットワーク５０を介して、第１の通信装置１１０へ送信される。

送信パケット処理部２１１２は、図２に示されているＣＰＵ１５６からの命令によって実現され、第１の通信装置１１０へ送信する送信パケットを作成し、暗号化・復号処理部２１０８へ入力する。

受信パケット処理部２１１４は、図２に示されているＣＰＵ１５６からの命令によって実現され、暗号化・復号処理部２１０８から入力される復号された送信パケットから送信データを復元する。例えば、受信パケット処理部２１１４は、暗号化・復号処理部２１０８から入力される復号された送信パケットを、該送信パケットに付帯されるシーケンス番号にしたがって結合することにより、送信データを復元する。

＜第１の通信装置１１０、及び第２の通信装置２１０の動作＞
図６−図８は、第１の通信装置１１０、及び第２の通信装置２１０の動作の一実施例を示す。

ステップＳ６０２では、第１の通信装置１１０と第２の通信装置２１０との間で接続処理が行われる。例えば、第１の通信装置１１０は第２の通信装置２１０へ接続要求を行い、第２の通信装置２１０の認証部２１０６は、第１の通信装置１１０へ認証を要求する旨を示す認証要求情報を送信する。第１の通信装置１１０の送受信部１１０２は、第２の通信装置へ認証要求情報に対する応答として、ＩＤコード及びパスワードを送信する。第２の通信装置２１０の認証部２１０６は、第１の通信装置１１０から送信されたＩＤコード及びパスワードの組み合わせが、予め登録されている組み合わせと比較することによって、第１の通信装置１１０が第２の通信装置２１０と接続できる権限を有していることを確認する。

ステップＳ６０４では、第１の通信装置１１０と第２の通信装置２１０との間で接続処理が行われた後、第１の通信装置１１０の送受信部１１０２は、第１の通信装置１１０のＲＯＭ１５８に設定されているセキュリティレベル情報を送信する。

ステップＳ６０６では、第２の通信装置２１０のセキュリティレベル設定部２１０４は、第１の通信装置１１０のセキュリティレベルと第２の通信装置２１０に設定されているセキュリティレベルに基づいて、第１の通信装置１１０との間で通信を行う際に使用するセキュリティレベルを選択し、設定する。具体的には、セキュリティレベル設定部２１０４は、第１の通信装置１１０のセキュリティレベル、及び第２の通信装置２１０に設定されているセキュリティレベルを比較し、高い方のセキュリティレベルを選択し、設定する。

ステップＳ６０８では、第２の通信装置２１０の送受信部２１０２は、セキュリティレベル設定部２１０４によって選択されるセキュリティレベル情報を送信する。

ステップＳ６１０では、第１の通信装置１１０のセキュリティレベル設定部１１０４は、ＨＤＤ１６０に格納されているセキュリティ設定テーブルを参照し、送受信部１１０２によって受信された第２の通信装置２１０によって選択されたセキュリティレベル情報によって表されるセキュリティレベルに紐付けられたセキュリティ対策の内容を、暗号化・復号処理部１１０８に設定する。

ステップＳ６１２では、第１の通信装置１１０の要求性能判定部１１１０は、セキュリティレベル設定部１１０４に設定されたセキュリティ対策の内容が第１の通信装置１１０及び第２の通信装置２１０との間で要求される性能を満足するか否かを検証するための性能検証用パケットを作成する。

ステップＳ６１４では、第１の通信装置１１０の要求性能判定部１１１０は、性能検証用パケットを暗号化するところから、暗号化した性能検証用パケットを送信し、性能検証用応答パケットを受信するまでの経過時間の計測を開始する。

ステップＳ６１６では、第１の通信装置１１０の暗号化・復号処理部１１０８は、要求性能判定部１１１０によって作成される性能検証用パケットに暗号化等のセキュリティ対策処理を行う。

ステップＳ６１８では、第１の通信装置１１０の送受信部１１０２は、セキュリティ対策処理が行われた性能検証用パケットを第２の通信装置２１０へ送信する。

ステップＳ６２０では、第２の通信装置２１０の暗号化・復号処理部２１０８は、第１の通信装置１１０から送信されたセキュリティ対策処理が行われた性能検証用パケットに対して、復号等のセキュリティ対策処理を行う。

ステップＳ６２２では、第２の通信装置２１０の要求性能判定部２１１０は、性能検証用パケットに対する応答である性能検証用応答パケットを受信パケット処理部２１１４に作成させ、送受信部２１０２から送信させる。

ステップＳ６２４では、第１の通信装置１１０の要求性能判定部２１１０は、送受信部１１０２において、第２の通信装置２１０から送信される性能検証用応答パケットが受信されると、経過時間の計測を終了する。

ステップＳ６２６では、第１の通信装置１１０の要求性能判定部２１１０は、性能検証用パケットを暗号化するところから、暗号化した性能検証用パケットを送信し、性能検証用応答パケットを受信するまでの経過時間と要求性能とを比較する。

ステップＳ６２８では、第１の通信装置１１０の要求性能判定部２１１０は、経過時間が要求性能を満たすか否かを判定する。これにより、セキュリティゾーン毎に構築される制御システム間で通信を行う際に設定されるセキュリティ対策が、要求性能を満たすか否かを判定できる。工場や、プラント等に設定されるセキュリティゾーンでは、短い周期で、リアルタイムで処理するため経過時間が重要となるため、要求性能の一実施例は経過時間とされる。しかし、経過時間に関わらず他の性能を要求性能とすることもできる。

図７は、経過時間が要求性能を満たさない場合（ステップＳ６２８で「ＮＯ」）の処理を示す。

ステップＳ７０２では、第１の通信装置１１０の送信パケット処理部１１１２は、送信データをＮ（Ｎは、Ｎ＞１の整数）個に分割する。「Ｎ」は、図４に示すパケット分割数設定テーブルにより求められる。ここで、送信データは、第１の通信装置１１０によって作成される制御対象を制御する際に使用する制御データや、性能検証データを使用できる。

ステップＳ７０４では、第１の通信装置１１０の送信パケット処理部１１１２は、分割した送信データ、及び分割した送信データの順番を示すシーケンス番号を付帯した送信パケットを作成する。

ステップＳ７０６では、第１の通信装置１１０の暗号化・復号処理部１１０８は、送信パケット処理部１１１２によって作成される送信パケットに暗号化等のセキュリティ対策処理を行う。

ステップＳ７０８では、第１の通信装置１１０の送受信部１１０２は、セキュリティ対策処理が行われたＮ個の送信パケットのうち、最初の送信パケットを第２の通信装置２１０へ送信する。

ステップＳ７１０では、第２の通信装置２１０の暗号化・復号処理部２１０８は、第１の通信装置１１０から送信されたセキュリティ対策処理が行われた最初の送信パケットに対して、復号等のセキュリティ対策処理を行う。

ステップＳ７１２では、第２の通信装置２１０の受信パケット処理部２１１４は、最初の送信パケットに対する応答パケットを作成し、送受信部２１０２から送信する。

以降、ステップＳ７０２によって分割された送信データの数に応じて、２番目から（Ｎ−１）番目の送信パケットについて、ステップＳ７０８−Ｓ７１２と同様の処理が行われる。

ステップＳ７１４では、第１の通信装置１１０の送受信部１１０２は、セキュリティ対策処理が行われたＮ番目の送信パケットを第２の通信装置２１０へ送信する。

ステップＳ７１６では、第２の通信装置２１０の暗号化・復号処理部２１０８は、第１の通信装置１１０から送信されたセキュリティ対策処理が行われたＮ番目の送信パケットに対して、復号等のセキュリティ対策処理を行う。

ステップＳ７１８では、第２の通信装置２１０の受信パケット処理部２１１４は、Ｎ番目の送信パケットに対する応答パケットを作成し、送受信部２１０２から送信する。

ステップＳ７２０では、第２の通信装置２１０の受信パケット処理部２１１４は、Ｎ個の送信パケットのそれぞれに付帯されるシーケンス番号に基づいて、送信データを結合する。これにより、第１の通信装置１１０から送信された送信データが復元される。第１の通信装置１１０から送信された送信データが復元できた場合に、第２の通信装置２１０の受信パケット処理部２１１４から、第１の通信装置１１０へ、送信データが復元できたことを表す応答を送信することもできる。これにより、経過時間が要求性能を満たさない場合であっても、送信データを分割して送信することにより、セキュリティゾーン毎に構築される制御システム間で通信を行う際に設定されるセキュリティ対策が、要求性能を満たすようにできる。

図８は、経過時間が要求性能を満たす場合（ステップＳ６２８で「ＹＥＳ」）の処理を示す。

ステップＳ８０２では、第１の通信装置１１０の送信パケット処理部１１１２は、送信データを付帯した送信パケットを作成する。

ステップＳ８０４では、第１の通信装置１１０の暗号化・復号処理部１１０８は、送信パケット処理部１１１２によって作成される送信パケットに暗号化等のセキュリティ対策処理を行う。

ステップＳ８０６では、第１の通信装置１１０の送受信部１１０２は、セキュリティ対策処理が行われた送信パケットを第２の通信装置２１０へ送信する。

ステップＳ８０８では、第２の通信装置２１０の暗号化・復号処理部２１０８は、第１の通信装置１１０から送信されたセキュリティ対策処理が行われた送信パケットに対して、復号等のセキュリティ対策処理を行う。

ステップＳ８１０では、第２の通信装置２１０の受信パケット処理部２１１４は、送信パケットに対する応答パケットを作成し、送受信部２１０２から送信する。

制御システムの一実施例によれば、セキュリティゾーン毎に構築される制御システム間で通信を行う際に、セキュリティ対策を施すことができるとともに、施したセキュリティ対策が、要求性能を満たすか否かを判定できる。例えば、セキュリティ対策によっては、暗号化処理、復号処理、及び制御システム間の伝送速度の違いが経過時間に影響を及ぼすことがある。このような場合に、要求性能を満たすか否かを判定せずに制御システムが運用される場合、制御システムにおける製造品、精製品の品質や、生産性に影響を及ぼす。本実施例では、要求性能を満たすか否かを判定することにより、適切な対応を採ることができるため、生産停止、原因の究明、及び制御システムの改修を不要にでき、ロスコストを抑制できる。要求性能を満たすか否かを判定する処理は、運用の途中で実行することもできる。運用の途中で実行することにより、第１の通信装置から第２の通信装置へ送信する送信パケットのサイズが変化した場合でも適切に対応できる。

また、制御システムの一実施例によれば、セキュリティゾーン毎に構築される制御システム間で通信を行う際に、設定したセキュリティ対策が要求性能を満たさない場合に、送信データを分割して送信することにより、設定されるセキュリティ対策が、要求性能を満たすようにできる。

＜変形例（その１）＞
制御システムの一変形例では、第１の通信装置１１０は、制御システムＢ２０２に擬似的に処理を実行させ、その処理時間を含む経過時間に基づいて、要求性能を満たすか否かを判定する。

第１の通信装置１１０、及び第２の通信装置２１０のハードウエア構成は、図２を適用できる。

（第１の通信装置１１０の各機能構成）
第１の通信装置１１０の要求性能判定部１１１０は、制御システムＢ２０２に実行させる擬似的な処理内容を表す性能検証データを付帯した性能検証用パケットを作成し、送受信部１１０２は、性能検証用パケットを第２の通信装置２１０へ送信する。
第２の通信装置２１０の要求性能判定部２１１０は、第１の通信装置１１０から送信された性能検証用パケットに付帯される性能検証データによって表される擬似的な処理内容にしたがって、制御システムＢ２０２の第３のＰＬＣ２０６、及び第４のＰＬＣ２０８の一方又は両方に擬似的な処理を実行させる。受信パケット処理部２１１４は、制御システムＢ２０２の第３のＰＬＣ２０６、及び第４のＰＬＣ２０８の一方又は両方から、擬似的な処理の結果を取得し、擬似的な処理の結果を付帯した応答パケットを作成し、送受信部２１０２から第１の通信装置１１０へ送信する。

第１の通信装置１１０の要求性能判定部１１１０は、性能検証用パケットを暗号化するところから、暗号化した性能検証用パケットを送信し、擬似的な処理の結果を付帯した応答パケットを受信するまでのラウンドトリップタイムを計測することにより経過時間を求める。

＜第１の通信装置１１０、及び第２の通信装置２１０の動作＞
図９は、第１の通信装置１１０、及び第２の通信装置２１０の動作の一変形例を示す。

ステップＳ９０２−Ｓ９１０は、図６を参照して説明したステップＳ６０２−Ｓ６１０を適用できる。

ステップＳ９１２では、第１の通信装置１１０の要求性能判定部１１１０は、セキュリティレベル設定部１１０４に設定されたセキュリティ対策の内容が第１の通信装置１１０及び第２の通信装置２１０との間で要求される性能を満足するか否かを検証するための性能検証用パケットを作成する。ここで、性能検証用パケットには、擬似的な処理内容を表す性能検証データが付帯される。

ステップＳ９１４−Ｓ９２０は、図６を参照して説明したステップＳ６１４−Ｓ６２０を適用できる。

ステップＳ９２２では、第２の通信装置２１０の要求性能判定部２１１０は、第１の通信装置１１０から送信される性能検証用パケットに付帯される性能検証データにしたがって、制御システムＢ２０２を構成する装置へ性能検証用パケットを転送する。図９では、一例として、性能検証データが、第３のＰＬＣ２０６に擬似的に処理を実行させる指令である場合について示される。この場合、第２の通信装置２１０の送受信部２１０２は、第２の通信Ｉ／Ｆ１６４から性能検証用パケットを第３のＰＬＣ２０６へ入力する。

ステップＳ９２４では、第３のＰＬＣ２０６は、第２の通信装置２１０から転送される性能検証用パケットに付帯される性能検証データにしたがって、所定の処理（擬似的な処理）を実行する。

ステップＳ９２６では、第３のＰＬＣ２０６は、所定の処理の実行結果を第２の通信装置２１０へ送信する。

ステップＳ９２８では、第２の通信装置２１０の要求性能判定部２１１０は、受信パケット処理部２１１４に第３のＰＬＣ２０６から送信される処理結果を取得させ、その処理結果を付帯した応答パケットを作成させ、送受信部２１０２に入力させる。送受信部２１０２は、第１の通信Ｉ／Ｆ１５２から応答パケットを送信する。

ステップＳ９３０−Ｓ９３４は、図６を参照して説明したステップＳ６２４−Ｓ６２８を適用できる。

ステップＳ９３４において、経過時間が要求性能を満たさないと判定される場合には図７を参照して説明した処理を適用でき、経過時間が要求性能を満たすと判定される場合には図８を参照して説明した処理を適用できる。

制御システムの一変形例によれば、セキュリティゾーン毎に構築される制御システム間で通信を行う際に、セキュリティ対策を施すことができるとともに、施したセキュリティ対策が、要求性能を満たすか否かを判定できる。例えば、セキュリティ対策によっては、暗号化処理、復号処理、及び制御システム間の伝送速度の違いとともに、ＰＬＣ等の制御システムを構成する装置によって実行される処理が経過時間に影響を及ぼすことがある。このような場合に、要求性能を満たすか否かを判定せずに制御システムが運用される場合、制御システムにおける製造品、精製品の品質や、生産性に影響を及ぼす。本変形例では、制御システムを構成する装置によって実行される処理時間を含む経過時間に基づいて、要求性能を満たすか否かを判定することにより、適切な対応を採ることができる。

＜変形例（その２）＞
制御システムの一変形例では、各セキュリティゾーンに、伝送するデータの種別毎にセキュリティレベルが設定される。

第１の通信装置１１０、及び第２の通信装置２１０のハードウエア構成は、図２を適用できる。ただし、第１の通信装置１１０のＲＯＭ１５８、及び第２の通信装置２１０のＲＯＭ１５８には、それぞれ、データ種別と、データ種別に対して設定されるセキュリティレベルが格納される。

図１０は、第１の通信装置１１０、及び第２の通信装置２１０のＲＯＭ１５８に格納されるセキュリティレベルの一例を示す。図１０には、データ種別が「データα」のセキュリティレベルは「３」であり、データ種別が「データβ」のセキュリティレベルは「２」であることが示される。第１の通信装置１１０、及び第２の通信装置２１０で、セキュリティレベルの値は異なっている場合もある。例えば、データαは制御に関するパラメータの初期値等のパラメータであり、データβは通常のデータである。この場合、データαはデータβよりも高いセキュリティレベルが設定される。ここで、制御に関するパラメータの値は、管理装置からの指令によって変更される場合がある。データ種別は２種類に限らず３種類以上のデータ種別を用意することもできる。

制御システムＡ１０２を構成する第１の通信装置１１０及び制御システムＢ２０２を構成する第２の通信装置２１０の機能ブロック図は、図５を適用できる。

＜第１の通信装置１１０の機能構成＞
第２の通信装置２１０によって、第１の通信装置１１０が第２の通信装置２１０に接続できる権限を有していることが確認され、通信を開始する際に、送受信部１１０２は、第１の通信装置１１０に設定されているセキュリティレベル情報を送信するとともに、第２の通信装置２１０から送信される、第２の通信装置２１０によって選択されたセキュリティレベル情報を受信し、セキュリティレベル設定部１１０４へ入力する。なお、セキュリティレベル情報は、図１０に示されているようにデータ種別とセキュリティレベル「１」−「４」のいずれかとの組み合わせである。

セキュリティレベル設定部１１０４は、送受信部１１０２によって受信された第２の通信装置２１０によって選択されたセキュリティレベル情報を設定する。例えば、セキュリティレベル設定部１１０４は、ＨＤＤ１６０に格納されているセキュリティ設定テーブルを参照し、送受信部１１０２で受信されたセキュリティレベル情報により表されるデータ種別毎のセキュリティレベルに紐付けられたセキュリティ対策の内容を、暗号化・復号処理部１１０８に設定する。

暗号化・復号処理部１１０８は、セキュリティレベル設定部１１０４にデータ種別毎にセキュリティ対策の内容が設定されたのを契機として、要求性能判定部１１１０から入力される性能検証用パケットを暗号化し、送受信部１１０２へ入力する。送受信部１１０２は、暗号化・復号処理部１１０８から入力された暗号化された性能検証用パケットを第１の通信Ｉ／Ｆ１５２から送信する。第１の通信Ｉ／Ｆ１５２から送信された暗号化された性能検証用パケットは、通信ネットワーク５０を介して、第２の通信装置２１０へ送信される。第２の通信装置２１０は、暗号化された性能検証用パケットを復号し、性能検証用パケットに対する応答である性能検証用応答パケットを作成し、第１の通信装置１１０へ送信する。

要求性能判定部１１１０は、セキュリティレベル設定部１１０４にデータ種別毎にセキュリティ対策の内容が設定されたのを契機として、セキュリティレベル設定部１１０４に設定されたデータ種別毎のセキュリティ対策の内容が第１の通信装置１１０及び第２の通信装置２１０との間で要求される性能を満足するか否かを検証するための性能検証データが付帯された性能検証用パケットを作成し、暗号化・復号処理部１１０８へ入力する。

さらに、要求性能判定部１１１０は、暗号化・復号処理部１１０８によって性能検証用パケットを暗号化するところから、送受信部１１０２によって暗号化された性能検証用パケットを送信し、送受信部１１０２によって性能検証用応答パケットを受信するまでのラウンドトリップタイムを計測することにより経過時間を求める。要求性能判定部１１１０は、経過時間が要求性能を満たしているか否かを判定する。要求性能判定部１１１０は、経過時間が要求性能を満たしている場合には、送信パケット処理部１１１２へ、送信データを分割しないで、送信パケットを作成してよいこと、つまり送信データの分割数が「１」であることを通知する。一方、要求性能判定部１１１０は、経過時間が要求性能を満たしていない場合には、ＨＤＤ１６０に格納されているパケット分割数設定テーブルを参照し、送信データの分割数を求め、送信パケット処理部１１１２へ、送信データの分割数を通知する。

＜第２の通信装置２１０の機能構成＞
送受信部２１０２は、第２の通信装置２１０によって、第１の通信装置１１０が第２の通信装置２１０に接続できる権限を有していることが確認され、通信を開始する際に、第１の通信装置１１０から送信されるセキュリティレベル情報を受信するとともに、セキュリティレベル設定部２１０４によって選択されるセキュリティレベル情報を送信する。なお、セキュリティレベル情報は、図１０に示されているようにデータ種別とセキュリティレベル「１」−「４」のいずれかとの組み合わせである。

セキュリティレベル設定部２１０４は、送受信部２１０２によって受信された第１の通信装置１１０のデータ種別毎のセキュリティレベルと第２の通信装置２１０に設定されているデータ種別毎のセキュリティレベルに基づいて、第１の通信装置１１０との間で通信を行う際に使用するセキュリティレベルをデータ種別毎に選択し、設定する。具体的には、セキュリティレベル設定部２１０４は、第１の通信装置１１０のデータ種別毎のセキュリティレベル、及び第２の通信装置２１０に設定されているデータ種別毎のセキュリティレベルを比較し、高い方のセキュリティレベルをデータ種別毎に選択し、設定する。さらに、セキュリティレベル設定部２１０４は、ＨＤＤ１６０に格納されているセキュリティ設定テーブルを参照し、選択したセキュリティレベル情報により表されるセキュリティレベルに紐付けられたセキュリティ対策の内容をデータ種別毎に暗号化・復号処理部２１０８に設定する。

暗号化・復号処理部２１０８は、セキュリティレベル設定部２１０４にデータ種別毎にセキュリティ対策の内容が設定されたのを契機として、第１の通信装置１１０から送信され、送受信部１１０２から入力される性能検証用パケットを復号し、要求性能判定部１１１０へ入力する。

＜第１の通信装置１１０、及び第２の通信装置２１０の動作＞
第１の通信装置１１０、及び第２の通信装置２１０の動作の一変形例は、図６−図８を適用できる。ただし、ステップＳ６０６では、第２の通信装置２１０のセキュリティレベル設定部２１０４は、第１の通信装置１１０のデータ種別毎のセキュリティレベル、及び第２の通信装置２１０に設定されているデータ種別毎のセキュリティレベルに基づいて、第１の通信装置１１０との間で通信を行う際に使用するセキュリティレベルをデータ種別毎に選択し、設定する。具体的には、セキュリティレベル設定部２１０４は、第１の通信装置１１０のデータ種別毎のセキュリティレベル、及び第２の通信装置２１０に設定されているデータ種別毎のセキュリティレベルを比較し、高い方のセキュリティレベルをデータ種別毎に選択し、設定する。

ステップＳ６１０では、第１の通信装置１１０のセキュリティレベル設定部１１０４は、ＨＤＤ１６０に格納されているセキュリティ設定テーブルを参照し、送受信部１１０２によって受信された第２の通信装置２１０によって選択されたセキュリティレベル情報によって表されるデータ種別毎のセキュリティレベルに紐付けられたセキュリティ対策の内容を、暗号化・復号処理部１１０８にデータ種別毎に設定する。

本変形例において、ＰＬＣ等の制御システムを構成する装置によって実行される処理時間も経過時間に含めて、要求性能を満たすか否かを判定することもできる。

制御システムの一変形例によれば、データ種別毎にセキュリティレベルを設定できるため、より重要度の高いデータに対してセキュリティレベルを高くできる。このため、全てのデータに対して一律に同様のセキュリティレベルで処理する場合と比較して、暗号化、及び復号する処理負荷を低減できるため経過時間を短縮できる。

＜変形例（その３）＞
制御システムの一変形例は、送信データのサイズが所定のサイズよりも大きい場合に、経過時間が要求性能を満たすか否かを判定する点で、上述した実施例、及び変形例とは異なる。

第１の通信装置１１０、及び第２の通信装置２１０のハードウエア構成は、図２を適用できる。

＜第１の通信装置１１０の機能構成＞
送信パケット処理部１１１２は、セキュリティレベル設定部１１０４にセキュリティ対策の内容が設定されたのを契機として、第２の通信装置２１０へ送信する送信データのサイズが所定のサイズ（閾値）よりも大きいか否かを判定する。送信パケット処理部１１１２は、第２の通信装置２１０へ送信する送信データのサイズが所定のサイズよりも大きい場合に、送信データを付帯した送信パケットを作成し、要求性能判定部１１１０へ入力する。

要求性能判定部１１１０は、セキュリティレベル設定部１１０４にセキュリティ対策の内容が設定されたのを契機として、送受信部１１０２から送信パケットが入力された場合に、送信パケットを暗号化するところから、暗号化した送信パケットを送信し、送信パケットに対する応答パケットを受信するまでのラウンドトリップタイムを計測することにより経過時間を求める。要求性能判定部１１１０は、経過時間が要求性能を満たしているか否かを判定する。要求性能判定部１１１０は、経過時間が要求性能を満たしている場合には、送信パケット処理部１１１２へ、送信データを分割しないで、送信パケットを作成してよいこと、つまり送信データの分割数が「１」であることを通知する。一方、要求性能判定部１１１０は、経過時間が要求性能を満たしていない場合には、ＨＤＤ１６０に格納されているパケット分割数設定テーブルを参照し、送信データの分割数を求め、送信パケット処理部１１１２へ、送信データの分割数を通知する。

＜第２の通信装置２１０の機能構成＞
暗号化・復号処理部２１０８は、セキュリティレベル設定部２１０４にセキュリティ対策の内容が設定されたのを契機として、第１の通信装置１１０から送信され、送受信部１１０２から入力される送信パケットを復号し、送信パケット処理部２１１２へ入力する。

応答パケット処理部２１１４は、第１の通信装置１１０から送信される送信パケットに対する応答パケットを作成し、送受信部２１０２へ入力する。

＜第１の通信装置１１０、及び第２の通信装置２１０の動作＞
図１１は、第１の通信装置１１０、及び第２の通信装置２１０の動作の一変形例を示す。

ステップＳ１１０２−Ｓ１１１０は、図６を参照して説明したステップＳ６０２−Ｓ６１０を適用できる。

ステップＳ１１１２では、第１の通信装置１１０の送信パケット処理部１１１２は、第２の通信装置２１０へ送信する送信データのサイズをチェックする。

ステップＳ１１１４では、第１の通信装置１１０の送信パケット処理部１１１２は、第２の通信装置２１０へ送信する送信データのサイズが所定のサイズよりも大きいか否かを判定する。

ステップＳ１１１６では、第２の通信装置２１０へ送信する送信データのサイズが所定のサイズよりも大きい場合、第１の通信装置１１０の送信パケット処理部１１１２は、送信データを付帯したパケットを作成する。

ステップＳ１１１８では、第１の通信装置１１０の要求性能判定部１１１０は、送信パケットを暗号化するところから、暗号化した送信パケットを送信し、送信パケットに対する応答パケットを受信するまでの経過時間の計測を開始する。

ステップＳ１１２０では、第１の通信装置１１０の暗号化・復号処理部１１０８は、送信パケット処理部１１１２によって作成される送信パケットに暗号化等のセキュリティ対策処理を行う。

ステップＳ１１２２では、第１の通信装置１１０の送受信部１１０２は、セキュリティ対策処理が行われた送信パケットを第２の通信装置２１０へ送信する。

ステップＳ１１２４では、第２の通信装置２１０の暗号化・復号処理部２１０８は、第１の通信装置１１０から送信された送信パケットに対して、復号等のセキュリティ対策処理を行う。

ステップＳ１１２６では、第２の通信装置２１０の送信パケット処理部２１１２は、送信パケットに対する応答パケットを作成し、送受信部２１０２から送信する。

ステップＳ１１２８では、第１の通信装置１１０の要求性能判定部２１１０は、送受信部１１０２において、第２の通信装置２１０から送信される応答パケットが受信されると、経過時間の計測を終了する。

ステップＳ１１３０では、第１の通信装置１１０の要求性能判定部２１１０は、第１の通信装置１１０において、送信パケットを暗号化するところから、暗号化した送信パケットが送信され、応答パケットが受信されるまでの経過時間と要求性能とを比較する。

ステップＳ１１３２では、第１の通信装置１１０の要求性能判定部２１１０は、経過時間が要求性能を満たすか否かを判定する。これにより、セキュリティゾーン毎に構築される制御システム間で通信を行う際に設定されるセキュリティ対策が、要求性能を満たすか否かを判定できる。工場や、プラント等に設定されるセキュリティゾーンでは、短い周期で、リアルタイムで処理するため経過時間が重要となるため、要求性能の一変形例は経過時間とされる。しかし、経過時間に関わらず他の性能を要求性能として、セキュリティゾーン毎に構築される制御システム間で通信を行う際に設定されるセキュリティ対策が、要求性能を満たすか否かを判定することもできる。

ステップＳ１１１４において送信データのサイズが所定のサイズ以下であると判定される場合、及びステップＳ１１３２において、経過時間が要求性能を満たすと判定される場合には、図８を参照して説明した処理を適用できる。

ステップＳ１１３２において、経過時間が要求性能を満たさないと判定される場合には、図７を参照して説明した処理を適用できる。

また、ステップＳ１１１４において第２の通信装置２１０へ送信する送信データのサイズが所定のサイズよりも大きい場合、経過時間が要求性能を満たすか否かを判定せずに、図７を参照して説明した処理へ以降してもよい。

本変形例において、ＰＬＣ等の制御システムを構成する装置によって実行される処理時間も経過時間に含めて、要求性能を満たすか否かを判定することもできる。

制御システムの一変形例によれば、送信データのサイズが所定のサイズよりも大きい場合に、経過時間が要求性能を満たすか否かを判定するようにしたので、経過時間が要求性能を満たすか否かを判断する処理の回数を減少させることができる。これにより、第１の通信装置１１０、及び第２の通信装置２１０の処理負荷を低減できるとともに、処理に要する時間を削減できる。

＜変形例（その４）＞
制御システムの一変形例は、経過時間が要求性能を満たさない場合の処理が上述した実施例、及び変形例と異なる。

第１の通信装置１１０の要求性能判定部１１１０は、セキュリティレベル設定部１１０４にセキュリティ対策の内容が設定されたのを契機として、セキュリティレベル設定部１１０４に設定されたセキュリティ対策の内容が第１の通信装置１１０及び第２の通信装置２１０との間で要求される性能を満足するか否かを検証するための性能検証用パケットを作成し、暗号化・復号処理部１１０８へ入力する。さらに、要求性能判定部１１１０は、送受信部１１０２から性能検証用応答パケットが入力された場合に、性能検証用パケットを暗号化するところから、暗号化した性能検証用パケットを送信し、性能検証用応答パケットを受信するまでのラウンドトリップタイムを計測することにより経過時間を求める。要求性能判定部１１１０は、経過時間が要求性能を満たしているか否かを判定する。

要求性能判定部１１１０は、経過時間が要求性能を満たしている場合には、送信パケット処理部１１１２へ、送信データを分割しないで、送信パケットを作成してよいこと、つまり送信データの分割数が「１」であることを通知する。一方、要求性能判定部１１１０は、経過時間が要求性能を満たしていない場合には、第１の監視・制御装置１０４へ、経過時間が要求性能を満たさないことを通知する。さらに、第２の監視・制御装置２０４へも、経過時間が要求性能を満たさないことを通知することができる。具体的には、要求性能判定部１１１０は、経過時間が要求性能を満たしていないことを示す情報を送受信部１１０２へ入力し、送受信部１１０２は、第１のＰＬＣ１０６及び第２のＰＬＣ１０８のいずれか一方又は両方を介して第１の監視・制御装置１０４へ送信する。さらに、送受信部１１０２は、第２の通信装置２１０を介して第２の監視・制御装置２０４へ送信することができる。

図１２は、経過時間が要求性能を満たさない場合の処理を示す。経過時間が要求性能を満たすか否かを判定するまでの処理は図６を適用でき、経過時間が要求性能を満たす場合の処理は図８を適用できる。

ステップＳ１２０２では、第１の通信装置１１０の要求性能判定部１１１０は、経過時間が要求性能を満たしていない場合には、第１の監視・制御装置１０４へ、経過時間が要求性能を満たさないことを通知する。

制御システムの処理によっては、経過時間が要求性能を満たしていない場合に、送信データを分割して送信することによって処理を継続するよりも、制御システムの処理状況を確認する方が好ましい場合がある。経過時間が要求性能を満たしていない場合に、第１の監視・制御装置１０４へ通知することにより、オペレータに経過時間が要求性能を満たしていないことを通知できるため、オペレータに適切な対応を促すことができる。

以上、本発明は特定の実施例、及び変形例を参照しながら説明されてきたが、各実施例、及び変形例は単なる例示に過ぎず、当業者は様々な変形例、修正例、代替例、置換例等を理解するであろう。説明の便宜上、本発明の実施例に従った装置は機能的なブロック図を用いて説明されたが、そのような装置はハードウェアで、ソフトウェアで又はそれらの組み合わせで実現されてもよい。本発明は上記実施例、及び変形例に限定されず、本発明の精神から逸脱することなく、様々な変形例、修正例、代替例、置換例等が包含される。

５０ 通信ネットワーク
１００ セキュリティゾーンＡ
１０２ 制御システムＡ
１０４ 第１の監視・制御装置
１０６ 第１のＰＬＣ
１０８ 第２のＰＬＣ
１１０ 第１の通信装置
１１２ 第１の入出力装置
１１４ 第２の入出力装置
１１６ 第１のセンサ
１１８ 第１のアクチュエータ
１５２ 第１の通信Ｉ／Ｆ
１５４ マイクロプロセッサ
１５６ ＣＰＵ
１５８ ＲＯＭ
１６０ ＨＤＤ
１６２ ＲＡＭ
１６４ 第２の通信Ｉ／Ｆ
１２０ 第２のセンサ
１２２ 第２のアクチュエータ
１２４ 第１の通信バス
１２６ 第２の通信バス
１２８ 第３の通信バス
１３０ 第４の通信バス
１５０ 通信用ケーブル
２００ セキュリティゾーンＢ
２０２ 制御システムＢ
２０４ 第２の監視・制御装置
２０６ 第３のＰＬＣ
２０８ 第４のＰＬＣ
２１０ 第２の通信装置
２１２ 第３の入出力装置
２１４ 第４の入出力装置
２１６ 第３のセンサ
２１８ 第３のアクチュエータ
２２０ 第４のセンサ
２２２ 第４のアクチュエータ
２２４ 第５の通信バス
２２６ 第６の通信バス
２２８ 第７の通信バス
２３０ 第８の通信バス
１１０２ 送受信部
１１０４ セキュリティレベル設定部
１１０６ 認証部
１１０８ 暗号化・復号処理部
１１１０ 要求性能判定部
１１１２ 送信パケット処理部
１１１４ 受信バケット処理部
２１０２ 送受信部
２１０４ セキュリティレベル設定部
２１０６ 認証部
２１０８ 暗号化・復号処理部
２１１０ 要求性能判定部
２１１２ 送信パケット処理部
２１１４ 受信バケット処理部

Claims (8)

1. 複数の装置を有する第１の制御システム、及び第２の制御システム間で通信を行う制御システム間通信システムであって、
   前記第１の制御システムを構成する第１の通信装置は、
   前記第２の制御システムを構成する第２の通信装置との間でセキュリティレベルを設定する第１のセキュリティレベル設定部と、
   前記第１のセキュリティレベル設定部によって設定したセキュリティレベルにしたがって送信パケットに対してセキュリティ処理を行う第１のセキュリティ処理部と、
   前記第１のセキュリティ処理部によってセキュリティ処理した送信パケットを前記第２の通信装置へ送信する第１の送信部と、
   前記第１の送信部によって送信した送信パケットに対する応答パケットを受信する第１の受信部と、
   前記第１のセキュリティ処理部によって送信パケットに対してセキュリティ処理を行うところから、前記第１の送信部によって前記セキュリティ処理した送信パケットを送信し、前記第１の受信部によって前記応答パケットを受信するまでの経過時間に基づいて、前記第２の通信装置との間で設定したセキュリティレベルが要求性能を満たすか否かを判定する要求性能判定部と
   を有し、
   前記第２の通信装置は、
   前記第１の通信装置との間でセキュリティレベルを設定する第２のセキュリティレベル設定部と、
   前記第１の通信装置から送信される送信パケットを受信する第２の受信部と、
   前記第２のセキュリティレベル設定部によって設定したセキュリティレベルにしたがって、前記第２の受信部によって受信した送信パケットに対してセキュリティ処理を行う第２のセキュリティ処理部と、
   前記第２のセキュリティ処理部によってセキュリティ処理した送信パケットに対する応答パケットを作成する受信パケット処理部と、
   前記受信パケット処理部によって作成した応答パケットを前記第１の通信装置へ送信する第２の送信部と
   を有する制御システム間通信システム。
2. 前記第１の通信装置は、
   前記要求性能判定部によって前記第２の通信装置との間で設定したセキュリティレベルが要求性能を満たさないと判定した場合に、前記第２の通信装置へ送信する送信データを分割し、該分割した送信データを付帯した送信パケットを作成する送信パケット処理部
   を有し、
   前記第１の送信部は、前記送信パケット処理部によって作成した送信パケットを送信する、請求項１に記載の制御システム間通信システム。
3. 前記第１の送信部は、前記第１の制御システムに設定されているセキュリティレベル情報を前記第２の通信装置へ送信し、
   前記第２の受信部は、前記第１の通信装置から送信される前記第１の制御システムに設定されているセキュリティレベル情報を受信し、
   前記第２のセキュリティレベル設定部は、前記第１の制御システムに設定されているセキュリティレベルと、前記第２の制御システムに設定されているセキュリティレベルに基づいて、セキュリティ強度が高い方のセキュリティレベルを設定し、
   前記第２の送信部は、前記第２のセキュリティレベル設定部によって設定したセキュリティレベル情報を前記第１の通信装置へ通知し、
   前記第１の受信部は、前記第２の通信装置から送信されるセキュリティレベル情報を受信し、
   前記第１のセキュリティレベル設定部は、前記第１の受信部によって受信したセキュリティレベルを設定する、請求項１又は２に記載の制御システム間通信システム。
4. 前記第１の送信部は、前記第１の制御システムに設定されているデータ種別毎のセキュリティレベル情報を前記第２の通信装置へ送信し、
   前記第２の受信部は、前記第１の通信装置から送信される前記第１の制御システムに設定されているデータ種別毎のセキュリティレベル情報を受信し、
   前記第２のセキュリティレベル設定部は、前記第１の制御システムに設定されているデータ種別毎のセキュリティレベルと、前記第２の制御システムに設定されているデータ種別毎のセキュリティレベルに基づいて、セキュリティ強度が高い方のセキュリティレベルをデータ種別毎に設定し、
   前記第２の送信部は、前記第２のセキュリティレベル設定部によって設定されるセキュリティレベルをデータ種別毎に前記第１の通信装置へ通知し、
   前記第１の受信部は、前記第２の通信装置から送信されるセキュリティレベル情報をデータ種別毎に受信し、
   前記第１のセキュリティレベル設定部は、前記第１の受信部によって受信したセキュリティレベルをデータ種別毎に設定する、請求項１又は２に記載の制御システム間通信システム。
5. 前記第１のセキュリティレベル設定部は、前記第１の制御システムを管理する管理装置からの指令にしたがって、前記第２の通信装置へ送信する送信パケットのセキュリティレベルを変更する、請求項１乃至４のいずれか１項に記載の制御システム間通信システム。
6. 前記経過時間は、
   前記第１の通信装置が、
   前記第１のセキュリティ処理部によって送信パケットに対してセキュリティ処理を行い、前記第１の送信部によってセキュリティ処理した送信パケットを前記第２の通信装置へ送信し、
   前記第２の通信装置が、
   前記第２の受信部によって前記第１の通信装置から送信される送信パケットを受信し、前記第２のセキュリティ処理部によって前記第２の受信部によって受信した送信パケットに対してセキュリティ処理を行い、前記第２の送信部によって前記第２の制御システムを構成する装置へ、前記第２のセキュリティ処理部でセキュリティ処理を行った送信パケットを送信し、
   前記第２の制御システムを構成する装置が
   前記第２の通信装置から送信されるセキュリティ処理を行った送信パケットを受信し、該受信したパケットに基づいて所定の処理を実行し、実行結果を前記第２の通信装置へ送信し、
   前記第２の通信装置が、
   前記第２の受信部によって前記第２の制御システムを構成する装置から送信される実行結果を受信し、前記受信パケット処理部によって前記第２の受信部によって受信した実行結果に基づいて応答パケットを作成し、前記第２の送信部によって該応答パケットを前記第１の通信装置へ送信し、
   前記第１の通信装置が、
   前記第１の受信部によって前記第２の通信装置から送信された応答パケットを受信し、
   前記第１のセキュリティ処理部によって送信パケットに対してセキュリティ処理を行うところから、前記第１の受信部によって前記第２の通信装置から送信された応答パケットを受信するまでの時間である、請求項１乃至５のいずれか１項に記載の制御システム間通信システム。
7. 複数の装置を有する第１の制御システム、及び第２の制御システム間で実行される通信制御方法であって、
   前記第１の制御システムを構成する第１の通信装置は、
   前記第２の制御システムを構成する第２の通信装置との間でセキュリティレベルを設定する第１のセキュリティレベル設定ステップと、
   前記第１のセキュリティレベル設定ステップによって設定したセキュリティレベルにしたがって送信パケットに対してセキュリティ処理を行う第１のセキュリティ処理ステップと、
   前記第１のセキュリティ処理ステップによってセキュリティ処理した送信パケットを前記第２の通信装置へ送信する第１の送信ステップと、
   前記第１の送信ステップによって送信した送信パケットに対する応答パケットを受信する第１の受信ステップと、
   前記第１のセキュリティ処理ステップによって送信パケットに対してセキュリティ処理を行うところから、前記第１の送信ステップによって前記送信パケットを送信し、前記第１の受信ステップによって前記応答パケットを受信するまでの経過時間に基づいて、前記第２の通信装置との間で設定したセキュリティレベルが要求性能を満たすか否かを判定する要求性能判定ステップと
   を実行し、
   前記第２の通信装置は、
   前記第１の通信装置との間でセキュリティレベルを設定する第２のセキュリティレベル設定ステップと、
   前記第１の通信装置から送信される送信パケットを受信する第２の受信ステップと、
   前記第２のセキュリティレベル設定ステップによって設定したセキュリティレベルにしたがって、前記第２の受信ステップによって受信した送信パケットに対してセキュリティ処理を行う第２のセキュリティ処理ステップと、
   前記第２のセキュリティ処理ステップによってセキュリティ処理した送信パケットに対する応答パケットを作成する受信パケット処理ステップと、
   前記受信パケット処理ステップによって作成した応答パケットを前記第１の通信装置へ送信する第２の送信ステップと
   を実行する、通信制御方法。
8. 前記第１の通信装置は、
   前記要求性能判定ステップによって前記第２の通信装置との間で設定したセキュリティレベルが要求性能を満たさないと判定した場合に、前記第２の通信装置へ送信する送信データを分割し、該分割した送信データを付帯した送信パケットを作成する送信パケット処理ステップと、
   前記送信パケット処理ステップによって作成した送信パケットを送信する第３の送信ステップと
   を実行する、請求項７に記載の通信制御方法。

Images