JP6478929B2 - プラントの運転支援装置、プラント計装システムおよびプラントの運転支援方法 - Google Patents

Description

この発明は、プラントの運転支援装置、プラント計装システムおよびプラントの運転支援方法に関し、特に、プラントに向けられたサイバー攻撃に対応するプラントの運転支援装置、プラント計装システムおよびプラントの運転支援方法に関するものである。

ユーザが運用するコンピュータの性能やセキュリティを監視する監視サービスシステムが提案されている（例えば、特許文献１から５を参照）。監視サービスシステムは、異常発生時に、ユーザにサイバー攻撃を受けたことを通報する。これらの監視サービスシステムにおいては、通信状況の監視からサイバー攻撃を検知している。サイバー攻撃を検知した場合、セキュリティ管理者に対し、サイバー攻撃を受けた旨の警告を発信する。

これまでのサイバーセキュリティシステムは、サイバー攻撃を検知し、警告を発信することは可能である。警告はサイバー攻撃を受けたことを通知するものであり、原子力プラントなどの運転継続性に対する警告を発信するものではない。また、プラントの運転に必要な各種監視制御機能やプラントの状態を示す各種パラメータの信頼性を判断することはできない。

特開２００４−３４８２９２号公報 特開２００５−２０２６６４号公報 特開２０１２−２１７１６１号公報 特開２０１５−１１５００１号公報 特開２０１５−１２１９６８号公報

この発明は上記のような、サイバー攻撃を受けたプラントにおける課題を解決するためになされたものであり、特に、原子力プラントにおけるサイバー攻撃に対応する、プラントの運転支援装置、プラント計装システムおよびプラントの運転支援方法に関するものである。すなわち、プラントがサイバー攻撃を受けた際に、このサイバー攻撃がプラント設備に与えた影響を正確に把握し、プラントの運転員がプラントの運転継続可否を判断することを支援し、サイバー攻撃に適応できる、プラントの運転支援装置、プラント計装システムおよびプラントの運転支援方法を得ることを目的とする。

本発明にかかわるプラントの運転支援装置は、異常判定モジュール、影響度判定モジュール、モニタおよびデータベースを備え、データベースはプラント設備の運転要領を記憶しており、異常判定モジュールは、ネットワークを経由してプラント設備に関係するログを取得するステップと、この取得したログに、セキュリティ異常を示すログが含まれているかどうかを判断するステップと、取得したログにセキュリティ異常を示すログが見つかった場合、このセキュリティ異常を示すログから、信頼できないパラメータと判定される、機能情報とプラントデータ情報を、異常パラメータ情報として抽出するステップと、この抽出した異常パラメータ情報をモニタに表示するステップと、を実行し、影響度判定モジュールは、異常パラメータ情報を取得するステップと、この取得した異常パラメータ情報に対応したプラント設備に関する運転要領をデータベースから抽出するステップと、この抽出した運転要領を取得した異常パラメータ情報と比較して、影響度情報を作成するステップと、この作成された影響度情報から、セキュリティ異常を示すログがプラント設備の運転継続に影響があるかどうかを判断するステップと、プラント設備の運転継続に影響があると判定した場合には影響度情報をモニタに表示するステップと、を実行することを特徴とする。

本発明にかかわるプラントの運転支援装置は、異常判定モジュール、影響度判定モジュール、モニタおよびデータベースを備え、データベースはプラント設備の運転要領を記憶しており、異常判定モジュールは、ネットワークを経由してプラント設備に関係するログを取得するステップと、この取得したログに、セキュリティ異常を示すログが含まれているかどうかを判断するステップと、取得したログにセキュリティ異常を示すログが見つかった場合、このセキュリティ異常を示すログから、信頼できないパラメータと判定される、機能情報とプラントデータ情報を、異常パラメータ情報として抽出するステップと、この抽出した異常パラメータ情報をモニタに表示するステップと、を実行し、影響度判定モジュールは、異常パラメータ情報を取得するステップと、この取得した異常パラメータ情報に対応したプラント設備に関する運転要領をデータベースから抽出するステップと、この抽出した運転要領を取得した異常パラメータ情報と比較して、影響度情報を作成するステップと、この作成された影響度情報から、セキュリティ異常を示すログがプラント設備の運転継続に影響があるかどうかを判断するステップと、プラント設備の運転継続に影響があると判定した場合には影響度情報をモニタに表示するステップと、を実行することにより、プラントがサイバー攻撃を受けた際に、このサイバー攻撃がプラント設備に与えた影響を正確に把握し、プラントの運転員がプラントの運転継続可否を判断することを支援することができる。

この発明の実施の形態にかかわるプラント計装システムの全体構成を示す概略図である。 この発明の実施の形態１にかかわる、プラントの運転支援装置の全体構成を示す概略図である。 この発明の実施の形態１にかかわるプラントの運転支援装置における、異常パラメータ情報の検出動作を示すフローチャート図である。 この発明の実施の形態１にかかわるプラントの運転支援装置における、影響度の判定動作を示すフローチャート図である。 この発明の実施の形態２にかかわる、プラントの運転支援装置の全体構成を示す概略図である。 この発明の実施の形態２にかかわるプラントの運転支援装置における、影響度の判定動作を示すフローチャート図である。

本発明の実施の形態に係る、プラントの運転支援装置、プラント計装システムおよびプラントの運転支援方法について、図を参照しながら以下に説明する。なお、各図において、同一または同様の構成部分については同じ符号を付しており、対応する各構成部のサイズや縮尺はそれぞれ独立している。例えば構成の一部を変更した断面図の間で、変更されていない同一構成部分を図示する際に、同一構成部分のサイズや縮尺が異なっている場合もある。また、プラントの運転支援装置、プラント計装システムおよびプラントの運転支援方法の構成は、実際にはさらに複数の部材を備えているが、説明を簡単にするため、説明に必要な部分のみを記載し、他の部分については省略している。

この発明は、特に、原子力発電プラントに向けたサイバー攻撃に対応する、プラントの運転支援装置、プラント計装システムおよびプラントの運転支援方法に関するものである。本発明の実施の形態に係る、プラントの運転支援装置、プラント計装システムおよびプラントの運転支援方法は、異常パラメータ特定機能と影響度判定機能を備えている。プラントにおいて、デジタルプラント計装システムが出力したセキュリティログから、プラントの運転支援装置はサイバー攻撃を認識する。異常パラメータ特定機能は、異常状態にある可能性のある設備が出力もしくは中継しているデータを信頼できないデータとしてプラント運転員に通知する。影響度判定機能は、プラント設備の運転要領と照らし合わせてプラント運転への影響度を判定する。

実施の形態１．
図１は、原子力発電プラントなどにかかわるプラント計装システムの一実施の形態を示す全体構成図である。図において、プラント計装システム１００は、プラント制御装置１ａ〜１ｃ、データ処理装置３、プラントの運転支援装置６、監視操作装置５ａ〜５ｃ、プラントネットワーク２およびプラントネットワーク４などから構成されている。プラント制御装置１ａ〜１ｃは、それぞれが、原子力発電プラントなどに設置されたプラント設備８の制御を実際に行うデジタルプラント計装システムである。モータやポンプなどのプラント設備８は、専用のケーブルで、プラント制御装置１と接続され、プラントデータをプラント制御装置１に発信している。プラント制御装置１は、プラントネットワーク２を経由してデータ処理装置３に、プラント制御装置１がプラント設備８から取得したプラントデータを送信する。データ処理装置３は、ネットワークアダプタ３ａおよびネットワークアダプタ３ｂを備えていて、プラントネットワーク２とプラントネットワーク４を接続している。

データ処理装置３は、ＣＰＵ（Central Processing Unit）３ｃを備えている。監視操作装置５ａ〜５ｃは、プラントネットワーク４を経由して、データ処理装置３から受信したプラント運転に関するプラントデータを、演算および加工して、原子力発電プラントの運用に使用するデータを表示する。プラントの運転支援装置６は、ネットワークアダプタ６ａおよびネットワークアダプタ６ｂを備えている。データ処理装置３およびプラントの運転支援装置６は、ネットワークアダプタ３ａ，３ｂおよびネットワークアダプタ６ａ，６ｂを通じて、それぞれ、プラントネットワーク２およびプラントネットワーク４に乗り入れている。プラント制御装置１ａ〜１ｃは、それぞれ、プラントネットワーク２に接続している。

監視操作装置５ａ〜５ｃは、それぞれ、プラントネットワーク４に接続している。プラント制御装置１ａ〜１ｃ、データ処理装置３および監視操作装置５ａ〜５ｃは、それぞれに、ウイルス対策ソフトウェア等のセキュリティソフトウェアが搭載されている。セキュリティソフトウェアは、実行中に、各種のログを発行し、発行されたログをプラントの運転支援装置６に出力する。プラントの運転支援装置６は、ＣＰＵ（Central Processing Unit）６ｃを備えており、受信したログから、サイバー攻撃を検知した際に、サイバー攻撃がプラント設備に与えた影響を正確に把握し、プラント運転員がプラントの運転継続可否を判断することを支援する。プラントの運転支援装置６には、このための運転支援ソフトウェアが搭載されている。本発明に係るプラントの運転支援方法は、運転支援ソフトウェアに含まれている。

図２は、プラントの運転支援装置６の内部構成を表している。プラント制御装置１に搭載されているセキュリティソフトウェアは、プラント制御装置ログ１２を発行する。監視操作装置５に搭載されているセキュリティソフトウェアは、監視操作装置ログ１１を発行する。データ処理装置３に搭載されているセキュリティソフトウェアは、計算機ログ１０を発行する。セキュリティソフトウェアが発行した、プラント制御装置ログ１２、監視操作装置ログ１１、計算機ログ１０等のセキュリティログは、ネットワークアダプタ６ａまたはネットワークアダプタ６ｂを経由して、プラントの運転支援装置６が受信する。

異常判定モジュール１３、影響度判定モジュール１５、運転員通知モニタ７などは、プラントの運転支援装置６のＣＰＵ６ｃおよびメモリ６ｄによって管理されている。異常判定モジュール１３は、ネットワークアダプタ６ａおよびネットワークアダプタ６ｂを経由して受信したこれらのログの中に、セキュリティ異常を示すログが含まれているかどうかを判断する。セキュリティ異常を示すログが含まれていた場合、当該設備（プラント制御装置１、データ処理装置３、監視操作装置５またはプラント設備８）がセキュリティに異常をきたしていると判断する。セキュリティ異常をきたしていると判断した場合、プラントの運転支援装置６の異常判定モジュール１３の処理によって、当該設備が担っている機能情報や当該設備が出力もしくは中継しているプラントデータ情報を信頼できないパラメータと判定する。プラントデータは、プラントデータ情報に含まれている。

プラントの運転支援装置６において、異常判定モジュール１３は、これらの信頼できないパラメータを異常パラメータ情報１４としてまとめて、運転員通知モニタ７に表示する。プラントの運転支援装置６は、異常パラメータ情報１４を出力後、影響度判定モジュール１５にてプラント設備の運転要領と比較する。プラント設備の運転要領は、運転要領データベース１７Ａに収納されているが、影響度判定モジュール１５に組み込まれている場合も考えられる。さらに、プラントの運転支援装置６は、影響度判定モジュール１５の処理により影響度情報１６を出力する。その後、プラントの運転支援装置６は、プラント設備の運転継続に影響のある運転動作を影響度情報１６として運転員通知モニタ７に表示することにより、プラント運転員が今後の運転継続性を判定することを支援する。

次にプラントの運転支援装置６における、運転支援ソフトウェアのフローについて説明する。図３は、実施の形態１に係るプラントの運転支援装置６における、セキュリティ異常の検出動作を示すフローチャートである。同図では、計算機ログ１０、監視操作装置ログ１１及びプラント制御装置ログ１２を用いた異常パラメータ情報の判定動作を示している。データ処理装置３、監視操作装置５およびプラント制御装置１は、プラントネットワーク２またはプラントネットワーク４に説持続され、それぞれ、計算機ログ１０、監視操作装置ログ１１およびプラント制御装置ログ１２を出力する。これらのログが出力されると、プラントの運転支援装置６がログを取得するステップ２１がスタートする。

その後、機能情報およびプラントデータ情報を取得するステップ２２がスタートする。異常判定モジュール１３の処理で、機能情報およびプラントデータ情報を調査し、取得したログにセキュリティ異常を示すログが含まれているかどうかを判断する（ステップ２３）。取得したログにセキュリティ異常を示すログが含まれていた場合、当該設備が担っている、機能情報とプラントデータ情報が、異常パラメータ情報１４として抽出される（ステップ２４）。抽出された異常パラメータ情報１４は、運転員通知モニタ７に表示される（ステップ２５）。プラントデータ情報は、プラント設備が出力もしくは中継しているプラントデータを含んでいる。

図４は、実施の形態１に係るプラントの運転支援装置６における、影響度の判定動作を示すフローチャートである。同図では、前図のフローチャートで出力した異常パラメータ情報を用いたプラント運転への影響度を判定する動作を示している。プラントの運転支援装置６の内部で異常パラメータ情報１４が出力されると、異常パラメータ情報を取得するステップ３１がスタートする。その後、プラント設備の運転要領を異常パラメータ情報と比較するステップがスタートする。影響度判定モジュール１５は、運転要領データベース１７Ａを参照し、収納されているプラント設備の運転要領を抽出する（ステップ３２）。その後、影響度判定モジュール１５にて、異常パラメータ情報１４を抽出したプラントの運転要領と比較し、影響度を抽出する。プラントの運転支援装置６は、比較の結果、影響のある運転動作を抽出して、影響度情報１６として出力する（ステップ３３）。

この動作によって、セキュリティ異常の故障範囲が特定される。影響度判定モジュール１５の処理により影響度情報１６が出力されると、プラントの運転支援装置６は、プラント設備の運転継続に重大な影響があるかどうかを判断する（ステップ３４）。影響が重大か、軽微かの基準は、あらかじめ設定してある。プラント運転の継続に重大な影響があると判断された場合は、ステップ３４からステップ３５に進み、運転員通知モニタ７に表示される。プラント運転の継続に重大な影響がないと判断された場合は、終了する。プラントの運転支援装置６は、影響のある運転動作を影響度情報１６として運転員通知モニタ７に表示することにより、プラント運転員が今後の運転継続性を判定することを支援する。

したがって、本発明にかかわるプラントの運転支援装置は、異常パラメータ判定機能と影響度判定機能を備えている。異常パラメータ判定機能は、プラントのデジタルプラント計装システムが出力したウイルス検出等のセキュリティログからサイバー攻撃を検知すると、異常状態にある設備が担っている機能と、出力もしくは中継しているデータを信頼できないパラメータとしてプラント運転員に通知する。影響度判定機能は、原子力プラントの運転要領と照らし合わせ、監視機能および制御機能の喪失度合からプラント運転への影響度を判定し、運転員に通知する。

すなわち、本実施の形態にかかわるプラントの運転支援装置は、異常判定モジュール、影響度判定モジュール、モニタおよびデータベースを備え、データベースはプラント設備の運転要領を記憶しており、異常判定モジュールは、ネットワークを経由してプラント設備に関係するログを取得するステップと、この取得したログに、セキュリティ異常を示すログが含まれているかどうかを判断するステップと、取得したログにセキュリティ異常を示すログが見つかった場合、このセキュリティ異常を示すログから異常パラメータ情報を抽出するステップと、この抽出した異常パラメータ情報をモニタに表示するステップと、を実行し、影響度判定モジュールは、異常パラメータ情報を取得するステップと、この取得した異常パラメータ情報に対応したプラント設備に関する運転要領をデータベースから抽出するステップと、抽出した運転要領を取得した異常パラメータ情報と比較して、影響度情報を作成するステップと、この作成された影響度情報から、セキュリティ異常を示すログがプラント設備の運転継続に影響があるかどうかを判断するステップと、プラント設備の運転継続に影響があると判定した場合には影響度情報をモニタに表示するステップと、を実行することを特徴とする。

実施の形態２．
なお、上記実施の形態１では、影響度判定モジュール１５にてプラント設備の運転要領と比較し、プラント設備の運転可否の判断を支援する場合について述べた。本発明の実施の形態２によるプラントの運転支援装置６は、図５に示すように、重要度情報データベース１７Ｂを備えている。重要度情報データベース１７Ｂは、プラントの運転支援装置６のＣＰＵ６ｃおよびメモリ６ｄによって管理されている。重要度情報データベース１７Ｂには、プラント設備に関する重要度情報が収納されている。重要度情報は、プラント制御装置１などの重要度を含んでいる。実施の形態２に係るプラントの運転支援装置６における、セキュリティ異常の検出動作を示すフローチャートは、図３と同様である。

図６は、実施の形態２に係るプラントの運転支援装置６における、影響度の判定動作を示すフローチャートである。同図では、異常パラメータ情報を用いたプラント運転への影響度を判定する動作を示している。プラントの運転支援装置６の内部で異常パラメータ情報１４が出力されると、異常パラメータ情報を取得するステップ３１がスタートする。この動作によって、セキュリティ異常の故障範囲が特定される。影響度判定モジュール１５は、故障範囲の特定後、重要度情報データベース１７Ｂを参照する（ステップ３６）。重要度情報データベース１７Ｂに記録されている重要度情報を抽出し、プラント設備の重要度を認識する（ステップ３７）。次のステップでは、重要度情報データベース１７Ｂを参照して、セキュリティ異常をきたした設備の重要度がある閾値を超えているかどうかを判断する（ステップ３８）。

セキュリティ異常をきたした設備の重要度がある閾値を超えていると判断した場合、原子力発電プラント（または該当するプラント設備）を停止させるよう、運転員に警告する（ステップ３９）。したがって、本実施の形態にかかわるプラントの運転支援装置は、セキュリティ異常をきたした設備の重要度がある閾値を超えたと判断した場合は、原子力発電プラントを停止させるよう、警報や警音などで、運転員に注意を促すことで、プラント運転継続性の判断を支援する。重要度がある閾値を超えていない場合、プラント運転の継続に重大な影響がないと判断して終了する。

すなわち、本実施の形態にかかわるプラントの運転支援装置は、異常判定モジュール、影響度判定モジュール、モニタおよびデータベースを備え、データベースはプラント設備に関する重要度を記憶しており、異常判定モジュールは、ネットワークを経由してプラント設備に関係するログを取得するステップと、この取得したログに、セキュリティ異常を示すログが含まれているかどうかを判断するステップと、取得したログにセキュリティ異常を示すログが見つかった場合、このセキュリティ異常を示すログから異常パラメータ情報を抽出するステップと、この抽出した異常パラメータ情報をモニタに表示するステップと、を実行し、影響度判定モジュールは、異常パラメータ情報を取得するステップと、この取得した異常パラメータ情報に対応したプラント設備に関する重要度をデータベースから抽出するステップと、抽出した重要度が閾値を超えているかどうかを判断するステップと、重要度が閾値を超えていると判断した場合にはプラントの運転停止を警告するステップと、を実行することを特徴とする。

なお、本発明は、その発明の範囲内において、実施の形態を自由に組み合わせたり、各実施の形態を適宜、変形、省略することが可能である。

１ プラント制御装置、１ａ プラント制御装置、１ｂ プラント制御装置、１ｃ プラント制御装置、２ プラントネットワーク、３ データ処理装置、３ａ ネットワークアダプタ、３ｂ ネットワークアダプタ、４ プラントネットワーク、５ 監視操作装置、５ａ 監視操作装置、５ｂ 監視操作装置、５ｃ 監視操作装置、６ 運転支援装置、６ａ ネットワークアダプタ、６ｂ ネットワークアダプタ、７ 運転員通知モニタ、８ プラント設備、１０ 計算機ログ、１１ 監視操作装置ログ、１２ プラント制御装置ログ、１３ 異常判定モジュール、１４ 異常パラメータ情報、１５ 影響度判定モジュール、１６ 影響度情報、１７Ａ 運転要領データベース、１７Ｂ 重要度情報データベース、１００ プラント計装システム

Claims (3)

1. 異常判定モジュール、影響度判定モジュール、モニタおよびデータベースを備え、
   前記データベースはプラント設備の運転要領を記憶しており、
   前記異常判定モジュールは、
   ネットワークを経由してプラント設備に関係するログを取得するステップと、
   この取得したログに、セキュリティ異常を示すログが含まれているかどうかを判断するステップと、
   取得したログにセキュリティ異常を示すログが見つかった場合、このセキュリティ異常を示すログから、信頼できないパラメータと判定される、機能情報とプラントデータ情報を、異常パラメータ情報として抽出するステップと、
   この抽出した異常パラメータ情報を前記モニタに表示するステップと、を実行し、
   前記影響度判定モジュールは、
   前記異常パラメータ情報を取得するステップと、
   この取得した異常パラメータ情報に対応したプラント設備に関する運転要領を前記データベースから抽出するステップと、
   この抽出した運転要領を取得した異常パラメータ情報と比較して、影響度情報を作成するステップと、
   この作成された影響度情報から、前記セキュリティ異常を示すログがプラント設備の運転継続に影響があるかどうかを判断するステップと、
   プラント設備の運転継続に影響があると判定した場合には前記影響度情報を前記モニタに表示するステップと、を実行することを特徴とするプラントの運転支援装置。
2. プラント設備と接続し、このプラント設備からプラントデータを取得すると、このプラントデータを第１のネッワークを経由して発信するプラント制御装置と、
   前記プラント制御装置が発信したプラントデータを第１のネッワークを経由して受信し、第２のネットワークを経由して発信するデータ処理装置と、
   前記データ処理装置が発信したプラントデータを第２のネットワークを経由して受信し、この受信したプラントデータをもとに前記プラント設備を制御する監視操作装置と、
   請求項１に記載のプラントの運転支援装置とを備え、
   前記プラント制御装置と前記データ処理装置と前記監視操作装置は、それぞれが、プラント設備に関係するログを発行することを特徴とするプラント計装システム。
3. ネットワークを経由してプラント設備に関係するログを取得するステップと、
   この取得したログに、セキュリティ異常を示すログが含まれているかどうかを判断するステップと、
   取得したログにセキュリティ異常を示すログが見つかった場合、このセキュリティ異常を示すログから、信頼できないパラメータと判定される、機能情報とプラントデータ情報を、異常パラメータ情報として抽出するステップと、
   この抽出した異常パラメータ情報をモニタに表示するステップと、
   前記異常パラメータ情報に対応したプラント設備に関する運転要領をデータベースから抽出するステップと、
   この抽出した運転要領を前記異常パラメータ情報と比較して、影響度情報を作成するステップと、
   この作成された影響度情報から、前記セキュリティ異常を示すログがプラント設備の運転継続に影響があるかどうかを判断するステップと、
   プラント設備の運転継続に影響があると判定した場合には前記影響度情報を前記モニタに表示するステップと、を備えていることを特徴とするプラントの運転支援方法。

Images