JP6507076B2 - プラントセキュリティ装置、及びプラントセキュリティシステム - Google Patents

Description

本発明の実施形態は、プラントセキュリティ装置、及びプラントセキュリティシステムに関する。

端末から外部ネットワークを経由し、発電プラントや化学プラントなどの各種産業プラント内に設置されたデータサーバに保存しているデータが取得される。この場合、データサーバにおけるデータ漏えい、および端末へデータを伝送する際の外部ネットワークにおけるデータ漏えいを防止することが、セキュリティを向上させるために、重要視されている。

一般にこれらのデータ漏えいの対策には、ユーザ認証、アクセス認証、およびデータの暗号化などが有効である。図７は、このようなデータ漏えいの対策に用いられるセキュリティ装置１０の構成例を示す図である。この図７に示すように、データベース１００には、検査データ及びユーザ情報がインターフェース部１０１により暗号化され、登録されている。端末１０２のユーザからデータの要求を受けた場合には、データベース１００に、暗号化され、登録されたユーザ情報や検査データが、インターフェース部１０１により、必要に応じて復号される。ユーザ認証が行われた後、要求されたデータはデータベース１００から検索される。そして、検索されたデータは、再び暗号化され、端末１０２へ送出される。

このように、データベース１００のデータは暗号化され、データは暗号化された状態で送出される。このため、データベース１００におけるデータ漏えい、および端末１０２へデータを伝送する際の外部ネットワークにおけるデータ漏えいが防止される。

特開２００３−１７８０６９号公報 特開２００３−２４２１２４号公報

ところが、外部ネットワークからインターフェース部１０１にアクセスが可能であり、インターフェース部１０１を介して情報が漏えいするおそれがある。また、復号機能を有するインターフェース部１０１もセキュリティ装置１０内に存在する。このため、暗号鍵及び復号鍵が漏えいすると、セキュリティ装置１０内でデータの復号が可能となり、より多くのデータ漏えいが生じてしまう。

そこで、本発明の実施形態は、このような点を考慮してなされたものであり、データを暗号化する暗号化部を外部ネットワークから遮断可能なプラントセキュリティ装置およびプラントセキュリティシステムを提供することである。

本実施形態に係るプラントセキュリティ装置は、
データ記憶部から取得されるデータを第１の暗号鍵で暗号化して出力するとともに、当該第１の暗号鍵で暗号化された暗号化データを復号するために用いる第１の復号鍵を出力する暗号化部と、
前記暗号化部から取得される前記第１の復号鍵を単一方向に伝送する第１伝送部と、
前記暗号化部から取得される前記暗号化データを単一方向に伝送する第２伝送部と、
を備えることを特徴とする。

本実施形態に係るプラントセキュリティシステムは、
暗号鍵および対応する復号鍵の組を複数有する端末と、
データ記憶部から得たデータを第１の暗号鍵で暗号化して出力するとともに、当該第１の暗号鍵で暗号化された暗号化データを、復号するために用いる第１の復号鍵を出力する暗号化部と、
前記暗号化部から取得される前記第１の復号鍵を単一方向に伝送する第１伝送部と、
前記暗号化部から取得される前記暗号化データを単一方向に伝送する第２伝送部と、
前記第１伝送部を介して取得した前記第１の復号鍵を記憶し、当該第１の復号鍵の取得を要求する前記端末が認証条件を満した場合に、前記端末から取得した第２の暗号鍵で前記第１の復号鍵を暗号化して当該端末に出力する第１認証部と、
前記第２伝送部を介して取得した前記暗号化データを記憶し、当該前記暗号化データの取得を要求する前記端末が認証条件を満した場合に、前記端末から取得した第３の暗号鍵で前記暗号化データを暗号化して当該端末に出力する第２認証部と、を有するプラントセキュリティ装置と、
を備え、
前記端末は、前記第２の暗号鍵用の第２の復号鍵、前記第３の暗号鍵用の第３の復号鍵を有する端末であって、前記第２の復号鍵で前記暗号化された第１の復号鍵を復号し、前記第２認証部で暗号化された暗号化データを前記第３の復号鍵で復号し、更に当該復号した第１の復号鍵で暗号化データを復号し、前記データを取得することを特徴とする。

データを暗号化する暗号化部を外部ネットワークから遮断可能なプラントセキュリティ装置およびプラントセキュリティシステムを提供することができる。

第１実施形態に係るプラントセキュリティシステムの構成を示すブロック図。 ダイオードの構成を示す模式図。 伝送経路を任意に設定可能なダイオードの構成を示す模式図。 傍受検知部の構成を示すブロック図。 プラントセキュリティシステム全体の処理の流れを説明するフローチャートを示す図。 第２実施形態に係るプラントセキュリティシステムの構成を示すブロック図。 従来のセキュリティ装置の構成を示すブロック図。

以下、図面を参照して、本発明の実施形態について説明する。本実施形態は、本発明を限定するものではない。

（第１実施形態）
本実施形態に係るプラントセキュリティ装置は、暗号化部に第１の復号鍵を単一方向に伝送するダイオードと、データを暗号化した暗号化データを単一方向に伝送するデータダイオードとを、接続することで、暗号化部が外部ネットワークから遮断されるようにしたものである。より詳しくを、以下に説明する。

（構成）
図１に基づき第１実施形態に係るプラントセキュリティシステム１の構成を説明する。図１は、第１実施形態に係るプラントセキュリティシステム１の構成を示すブロック図である。この図１に示すように、本実施形態に係る第１実施形態に係るプラントセキュリティシステム１は、端末２と、プラントセキュリティ装置４と、プラント制御監視装置６とを、備えて構成されている。

端末２は、外部ネットワークを経由してプラント内のデータを要求する。例えばこの端末２は、２対の公開鍵暗号方式の暗号鍵と復号鍵とを備えて構成されるコンピュータである。

プラントセキュリティ装置４は、プラント内のデータを外部ネットワークから遮断した状態で端末２に出力する。すなわち、このプラントセキュリティ装置４は、暗号化部４２と、ダイオード４４と、ユーザ認証部４６と、データダイオード４８と、データサーバ５０と、を備えて構成されている。

暗号化部４２は、プラント内のデータを第１の暗号鍵で暗号化して暗号化データとして出力するとともに、第１の暗号鍵で暗号化された暗号化データを復号するために用いる第１の復号鍵を出力する。暗号化部４２は、例えば公開鍵暗号方式の暗号鍵と復号鍵を備え、暗号鍵でデータを暗号化するコンピュータで構成されている。この公開鍵暗号方式は、暗号鍵と復号鍵の１対の鍵でデータの暗号化と復号化を行う方式である。暗号鍵で暗号化した情報は復号鍵でないと復号困難という性質があり、暗号化の方式には、ＤＨ（Diffie-Hellman）、ＲＳＡ（Rivest-Shamir-Adleman）、ＤＳＡ（Digital Signature Algorithm）、楕円曲線暗号（Elliptic Curve Cryptosystem）などの方式が適用される。暗号化部４２で用いる暗号方式には、共通鍵暗号方式を用いてもよい。ここでの暗号化部４２は、例えば、プラント内のデータを第１の暗号鍵で暗号化して出力するとともに、第１の復号鍵を出力する。

ダイオード４４は、一端が暗号化部４２と接続され、第１の復号鍵を単一方向に伝送する。このダイオード４４は、例えば単一方向のゲートウェイであり、通信を１方方向だけに制限して外部ネットワークからの侵入を遮断する。詳細の構成を後述するが、ダイオード４４では、ＬＤやＬＥＤなどの発光素子から光ファイバで情報を光伝送し、ＰＤやＡＰＤなどの受光素子で光を検出して情報を取得する。この場合、発光素子から受光素子へは情報伝送できるが、受光素子から発光素子へは物理的に情報伝送できないので、情報を単一方向に伝送できるのである。なお、本実施形態では、ダイオード４４が第1伝送部に対応する。

ユーザ認証部４６は、ダイオード４４を介して取得した第１の復号鍵を記憶し、第１の復号鍵の取得を要求する端末２が認証条件を満した場合に、この端末２から取得した第２の暗号鍵で第１の復号鍵を暗号化して端末２に出力する。すなわち、ユーザ認証部４６は、第１の復号鍵の取得を要求する端末２を認証し、正当である場合に、この端末２へ第２の暗号鍵を要求する。そして、第１の復号鍵を第２の暗号鍵で暗号化して端末２へ送信する。このユーザ認証部４６は、例えばコンピュータである。なお、本実施形態では、ユーザ認証部４６が第1認証部に対応する。

ここでの認証は、ＭＡＣ（Media Access Control address）アドレス、ユーザＩＤ、パスワード、電子署名、ＳＳＬ（Secure Socket Layer）やＴＬＳ（Transport Layer Security）のいずれか、またはこれらの１部または全てを組み合せることで行う。また、電子署名にはさらに認証局の電子証明書を付属させることでセキュリティ性をさらに向上させることが可能である。例えば、端末２でユーザＩＤやパスワードのハッシュ値を求めた後に暗号鍵で暗号化し、端末２からユーザ認証部４６へ送信し、これとは別に暗号鍵をユーザ認証部４６へ送信して電子署名とすることが可能である。ユーザ認証部４６は暗号鍵で端末２の電子署名を確認でき、さらにユーザＩＤやパスワードで端末２をさらに確実に認証できる。ハッシュ値を求めるハッシュ関数にはＭＤ５やＳＨＡ−１などを用いることが可能である。

データダイオード４８は、一端が暗号化部４２と接続され、暗号化部４２で第１の暗号鍵を用いて暗号化された暗号化データを単一方向に伝送する。データダイオード４８は、単一方向のゲートウェイであり、通信を１方方向だけに制限して外部ネットワークからの侵入を遮断する。データダイオード４８はダイオード４４と同様の構造である。ここでのデータダイオード４８は、発光素子−受光素子を並列に設けて構成されている。このため、大容量のデータ伝送が可能である。なお、本実施形態では、データダイオード４８が第２伝送部に対応する。

データサーバ５０は、データダイオード４８を介して取得した暗号化データを記憶し、暗号化データの取得を要求する端末２が認証条件を満した場合に、端末２から取得した第３の暗号鍵で暗号化データを暗号化して端末２に出力する。すなわち、データサーバ５０は、暗号化データの記憶及び２重の暗号化、アクセスを要求する端末２の認証、データ送信を行うコンピュータである。このデータサーバ５０は、端末２を認証した後に、端末２から送信される暗号鍵で暗号化データを２重に暗号化して送信する。端末２の認証はユーザ認証部４６と同様、ＭＡＣ（Media Access Control address）アドレス、ユーザＩＤ、パスワード、電子署名、電子証明書付の電子署名のいずれか、またはこれらの１部または全てを組み合せることで行う。さらに、データサーバ５０から端末２へのデータ送信時に送信データのハッシュ値を付属させることでデータの改ざんを検証する。なお、本実施形態では、データサーバ５０が第２認証部に対応する。

プラント制御監視装置６は、制御監視部６２と、データ記憶部６４を備えて構成されている。プラント制御監視装置６は、発電プラントや化学プラント等の各種産業プラントを制御監視する。

制御監視部６２は、プラントを制御するために用いる監視データを監視し、プラント内の各装置を制御する。例えば、発電プラントは、ボイラ、ボイラで発生させた蒸気を用いて発電する発電機などで構成されている。この場合、制御監視部６２は、発電プラントを制御するために用いる監視データを監視し、発電プラント内の各装置を制御している。例えば、これらの監視データには、発電機が発電した発電量、復水器へ冷却水を供給するポンプの冷却水温度、復水流量、給水ポンプ出口圧力などのデータがある。

データ記憶部６４は、例えばデータサーバで構成され、プラント監視制御装置６が制御に用いる監視データ、およびプラントに関するデータのうちの少なくともいずれかをプラントデータ、すなわちプラント内のデータとして記憶する。例えばこれらのプラントデータは、外部の端末２でプラントを監視するために用いられたり、非常時に遠隔操作するなどのために用いられたりする。このため、プラント制御監視装置６には安全性や信頼性、経済性に加え、近年は情報セキュリティの重要性が挙げられている。セキュリティのリスクには、ＤｏＳ攻撃（Denial of Service)、不正アクセス及び操作、データの傍受、漏えい、改ざんや破壊などがあり、セキュリティレベルを上げる必要があるのである。

このように、ダイオード４４は、暗号化部４２からユーザ認証部４６への１方向伝送、すなわち単一方向伝送を行う。また、データダイオード４８は、暗号化部４２からデータサーバ５０への１方向伝送である。このため、暗号化部４２は、外部ネットワークに対して完全に隔離された状態にある。また、制御監視部６２およびデータ記憶部６４は暗号化部２に接続され、暗号化部２は更にダイオード４４およびデータダイオード４８に接続されている。このため、暗号化部２が外部ネットワークから遮断されることで、制御監視部６２およびデータ記憶部６４、すなわちプラント制御監視装置６も外部ネットワークから遮断されるのである。

次に図２に基づきダイオード４４の構造を説明する。図２は、ダイオード４４の構成を示す模式図である。この図２に示すように、このダイオード４４は、波長数及び波長の順序を任意に決めた搬送波を変調して情報を１方向、つまり単一方向に伝送する。すなわち、送信部４４０と、復調部４４２とを備えて構成されている。送信部４４０は、複数の波長を含む光をデータ搬送波４４４に変調し、送信する。この送信部４４０は、波長幅を持つ光源を用い、時間または空間における波長毎に伝送させる情報を分散させる。この場合、波長の数と順序を設定し、各波長をデジタル変調またはアナログ変調またはその両方を行って情報を重畳するのである。そして、波長各々を時間または空間で合波し、データ搬送波４４４として伝送する。図２におけるデータ搬送波４４４は空間で合波されていない例である。データ搬送波４４４の波長や変調については、情報のビット単位で波長や変調量または変調手法を変えてもよいし、パケットなどの単位で波長や変調量または変調手法を変えてもよい。

復調部４４２は、予め設定された波長数及び波長の順序に従って変調されたデータ搬送波４４４を受光して復調する。すなわち、この復調部４４２は、データ搬送波４４４の波長各々が時間または空間で合波されている場合に、時間または空間で波長毎に再度分散させる。そしてデータ搬送波４４４を波長毎に受光して復調し、予め設定された順序で各波長の値を復元することで情報を取得する。このように、図２に示すダイオード４４やデータダイオード４８を用いた場合、複数以上の波長を含む光がデータ搬送波４４４として伝送され、これを傍受しただけでは使用波長とその波長数、再生時の順序が分からないため、情報を再生できないのである。この結果、暗号化部４２は外部ネットワークから遮断されると共に、暗号化部４２に接続されるデータ記憶部６４からのデータ漏えいをも防止することができる。

次に、図３に基づいて伝送経路を任意に設定可能なダイオード４４の構造を説明する。図３は、伝送経路を任意に設定可能なダイオード４４の構成を示す模式図である。

この図３に示すように、ダイオード４４は、復調部４４２と、偏向部４４６と、を備えて構成されている。上述のように復調部４４２は、変調されたデータ搬送波４４４を受光して復調する。

偏向部４４６は、データ搬送波４４４の変調と伝搬方向を設定する。復調部４４２と偏向部４４６との間の経路は、データ搬送波４４４の偏向部材４４６_１〜４４６_９で設定される。この偏向部材４４６_１〜４４６_９は、ミラー、プリズム、回折格子、波長板と組み合せた偏光素子などの偏向素子で構成可能である。この偏向部４４６は、ＬＥＤやＬＤなどの光源が出射する光に対して変調後、偏向部材４４６_１〜４４６_９の方向や角度を変え、データ搬送波４４４の伝搬方向を設定する。データ搬送波４４４を不可視光とすることで、データ搬送波４４４の傍受をより困難にすることが可能である。なお、本実施形態では、偏向部４４６が送信部４４０に対応する。このように、図３に示すダイオード４４やデータダイオード４８を用いた場合、複数以上の伝送路があり、データ搬送波４４４が不可視光で時間的に伝送路が変わると傍受もできないのである。この結果、暗号化部４２は外部ネットワークから遮断されると共に、暗号化部４２に接続されるデータ記憶部６４からのデータ漏えいをも防止することができる。

次に、図４に基づいて傍受検知部７２について説明する。図４は、傍受検知部７２の構成を示すブロック図である。この図４に示すように、傍受検知部７２は、送信部の特性測定部７２２と、受信部の特性測定部７２４と、傍受判定部７２６とを、備えて構成されている。送信部の特性測定部７２２は、送信時のデータ搬送波の特性を測定する。送信部の特性測定部７２２は、例えば波長、強度、偏光などの特性を測定する波長計、パワーメータ、偏光度計などで構成可能である。

受信部の特性測定部７２４は、受信時のデータ搬送波の特性を測定する。傍受判定部７２６は、送信部の特性測定部５２２および受信部の特性測定部７２４それぞれからの出力信号に基づき送受信時の変化を検出する。すなわち、傍受判定部７２６は、測定された特性の１つ、幾つかの組み合せまたは全ての組み合せを比較し、送受信部間での変化の有無を検出する。そして、変化量が設定値以下、或いは変化した項目が設定数以下の場合は、送受信部間で傍受が無いと判定する。このように、傍受検知部７２を備えることによって傍受の有無が判定でき、傍受を受けたデータは破棄する、或いはデータ伝送を中止するなどの対応をとることができる。

（作用）
図５に基づいてプラントセキュリティシステム１全体の処理の流れを説明する。図５は、プラントセキュリティシステム１全体の処理の流れを説明するフローチャートを示す図である。この図５に示すように、まず、暗号化部４２は、データ記憶部６４から取得されるプラントデータを第１の暗号鍵で暗号化する（ステップＳ１００）。そして、第１の暗号鍵で暗号化されたプラントデータはデータダイオード４８を通ってデータサーバ５０に記憶される。１方で、第１の暗号鍵と対となる第１の復号鍵はダイオード４４を通ってユーザ認証部４６に記憶される。

次に、外部ネットワークにある端末２が第１の復号鍵を要求した場合、ユーザ認証部４６は端末２の認証を行う（ステップＳ１０２）。最初にユーザ認証部４６は、端末２から第２の暗号鍵と電子証明書を取得する。そして、外部ネットワークを通じて認証局に第２の暗号鍵を確認させ、端末２を認証する。なお、第２の暗号鍵が信頼できる時は電子証明書の確認は不要である。また、認証局についてはパブリック認証局を要求してもよいし、プライベート認証局を要求してもよい。認証局が中間認証局の時にはその中間認証局についても正当性を適宜確認するようにする。

続いて、ユーザ認証部４６は端末２から、第２の暗号鍵で暗号化したユーザＩＤとパスワード、ユーザＩＤとパスワードのハッシュ値を取得する。必要に応じて第２の暗号鍵で暗号化したＭＡＣアドレスとＭＡＣアドレスのハッシュ値も含めてもよい。そして、最初に取得した第２の暗号鍵に対応する第２の復号鍵でユーザＩＤとパスワードを復号する。暗号鍵で暗号化したものは対になっている復号鍵でしか復号できないため、この復号で端末２を認証できる。次にユーザＩＤとパスワードのハッシュ値を計算し、端末２から取得したハッシュ値と一致することを確認して改ざんがないことが確認できる。ハッシュ値はデータのダイジェストに相当してデータ固有の値となるため、改ざんの確認に利用される。さらに続いて、ユーザ認証部４６は、端末２のユーザＩＤとパスワードが登録されていることを確認することで、さらに確実に端末２を認証する。必要に応じてＭＡＣアドレスも端末２の認証項目に加えてよい。

次に、ユーザ認証部４６は、端末２を認証した後、保管している第１の復号鍵を端末２から送信された第２の暗号鍵で暗号化して端末２へ送信する（ステップ１０４）。また同時に、ユーザ認証部４６はデータサーバ５０のＵＲＬ（Uniform Resource Locator）またはＩＰアドレスを第２の暗号鍵で暗号化して端末２へ送信する。なお、ユーザ認証部４６と外部ネットワークの間にファイアウォールを設け、登録されたＩＰアドレス以外を遮断することでユーザ認証部４６のセキュリティをさらに高めることもできる。

次に、外部ネットワークにある端末２がプラントデータを要求した場合、データサーバ５０は端末２の認証を行う（ステップＳ１０６）。端末２は、第２の復号鍵で第１の復号鍵とデータサーバ５０のＵＲＬまたはＩＰアドレスを取得し、取得したＵＲＬまたはＩＰアドレスからデータサーバ５０へプラントデータを要求する。この要求に対し、データサーバ５０は端末２から第３の暗号鍵と電子証明書を取得する。そして、外部ネットワークを通じて認証局に第３の暗号鍵を確認し、端末２を認証する。なお、第３の暗号鍵が信頼できる時は電子証明書の確認は不要である。また、認証局については第２の暗号鍵の電子証明書と同じ認証局を要求してもよいし、異なる認証局を要求してもよい。認証局が中間認証局の時にはその中間認証局についても正当性を適宜確認するようにする。なお、第３の暗号鍵と電子証明書に変え、第２の暗号鍵と電子証明書を用いてもよい。

さらには、データサーバ５０は端末２から、第３の暗号鍵で暗号化したユーザＩＤとパスワード、ユーザＩＤとパスワードのハッシュ値を取得し、第３の復号鍵で復号して端末２をさらに確実に認証し、ハッシュ値の取得値と計算値の比較により改ざんがないことを確認してもよい。必要に応じて第３の暗号鍵で暗号化したＭＡＣアドレスとＭＡＣアドレスのハッシュ値も含めてもよい。そして、データサーバ５０は端末２のユーザＩＤとパスワードが登録されていることを確認することで、さらに確実に端末２を認証できる。必要に応じてＭＡＣアドレスも端末２の認証項目に加えてよい。

次に、データサーバ５０は、端末２を認証した後、保管している暗号化されたプラントデータを端末２から送信された第３の暗号鍵でさらに暗号化し、２重に暗号化されたプラントデータを端末２へ送信する（ステップ１０８）。

次に、端末２は、２重に暗号化されたプラントデータに対して予め所有する第３の復号鍵で復号し、さらに最初に取得した第１の復号鍵で復号することにより、目的のプラントデータを得る（ステップ１１０）。なお、データサーバ５０と外部ネットワークの間にファイアウォールを設け、登録されたＩＰアドレス以外を遮断することでデータサーバ５０のセキュリティをさらに高めることもできる。さらにはデータサーバ５０と外部ネットワークの間にゲートウエィやプロキシサーバを設けてデータサーバ５０のＩＰアドレスをプライベートアドレスとすることで、ユーザ認証部４６の送信毎にデータサーバ５０のＩＰアドレスを変更することができ、データサーバ５０のセキュリティをさらに高めることができる。

このように、暗号化部４２が、ダイオード４４を介してユーザ認証部４６に第１の復号鍵を出力するとともに、データを第１の暗号鍵で暗号化してデータダイオード４８を介してデータサーバ５０に出力する。続いて、ユーザ認証部４６が、第１の復号鍵の取得を要求する端末２が認証条件を満した場合に、第２の暗号鍵で第１の復号鍵を暗号化して端末２に出力する。さらに続いて、データサーバ５０が、暗号化データの取得を要求する端末２が認証条件を満した場合に、第３の暗号鍵で暗号化データを暗号化して出力する。そして、端末２が第２の復号鍵で暗号化された第１の復号鍵を復号し、暗号化データを第３の復号鍵で復号し、更に復号した第１の復号鍵で暗号化データを復号し、データを取得するのである。

（効果）
以上のように、本実施形態に係るプラントセキュリティ装置４によれば、暗号化部４２に第１の復号鍵を単一方向に伝送するダイオード４４と、データを暗号化した暗号化データを単一方向に伝送するデータダイオード４８とを、接続することとした。これにより、暗号化部４２が外部ネットワークから遮断され、暗号化部４２を介して情報が外部に漏洩するリスクをより低減できる。また、ダイオード４４を介して取得した第１の復号鍵をユーザ認証部４６が第２の暗号鍵で暗号化し、データダイオード４８を介して取得した暗号化されたデータを更にデータサーバ５０が第３の暗号鍵で暗号化し、それぞれ異なる経路で端末２に出力することとした。これにより、外部ネットワークにおいてデータが漏えいするリスクをより低減できる。

（第２実施形態）
（構成）
図６に基づいて第２実施形態に係るプラントセキュリティシステム１の構成を説明する。図６は、第２実施形態に係る計測装置プラントセキュリティシステム１の構成を説明するブロック図である。このプラントセキュリティシステム１は、この図６に示すように、プラントセキュリティ装置４が、復号鍵一時保管部７４と、開閉部７６と、位置取得部７８とを、更に備えることで第１実施形態に係るプラントセキュリティシステム１と相違する。以下、上述した第１実施形態と異なる部分を説明する。

復号鍵一時保管部７４は、暗号化部４２からダイオード４４を介して伝送される第１の復号鍵に対し、保持と破棄を繰り返す。この復号鍵一時保管部７４は、ＤＲＡＭやＳＲＡＭなどの揮発性メモリで構成され、予め設定した時間間隔で第１の復号鍵の保持と破棄を繰り返すのである。

また、傍受検知部７２で傍受が検知された場合、第１の復号鍵の破棄、もしくは電源を切ることにより第１の復号鍵の破棄をする。さらにまた、災害などの不測の事態の発生時には、第１の復号鍵の破棄、もしくは電源を切ることにより第１の復号鍵の破棄をする。このように、傍受検知部７２で傍受が検知された場合、傍受されたデータの破棄、データ伝送を中止させることができ、データサーバ５０からのデータ漏えいを防止することができる。なお、第１の復号鍵の破棄が確実に可能な時には不揮発性メモリで復号鍵一時保管部７４を構成可能である。

開閉部７６は、データサーバ５０と外部ネットワークの間に接続され、端末２から要求を受けた場合に、端末２が正当である場合にデータサーバ５０への接続を可能にする。すなわち、この開閉部７６は、端末２を認証して端末２が正当である場合にのみデータサーバ５０へのアクセスを可能にするのである。開閉部７６は、機械式、光学式、電気式や磁気式の開閉回路、電子部品を使ったアナログ回路やデジタル回路で構成され、暗号化部４２の指令、または予め設定した時間間隔でデータサーバ５０と外部ネットワークの間の開閉を行うのである。

位置取得部７８は、データサーバ５０の位置を取得し、データサーバ５０が所定位置にある場合にデータサーバ５０に対してデータ送受信を許可する。すなわち、位置取得部５８は、データサーバ５０に接続され、電磁波や磁気を用いてデータサーバ５０の位置を取得し、所定位置にある時に限ってデータサーバ５０のデータ送受信を許可するのである。位置取得部５８は、光や電波などの電磁波、磁気などをセンサで位置を検出し、測定値が設定値を超えるとデータサーバ５０の、プラントデータが暗号化された暗号化データを破棄するようになっている。例えば、衛星からの電波を用いたＧＰＳ（Global Positioning System）や携帯電話の電波で位置測定を行い、規定位置と比較する。ＧＰＳでは数ｍの精度で位置がリアルタイムに特定でき、さらに受信可能な衛星数の変化を判定に使うことでさらに位置の変化を確実に検出することができる。なお、本実施形態では、位置取得部５８が許可部に対応する。

（作用）
まず、復号鍵一時保管部７４に関連する処理動作について説明する。復号鍵一時保管部７４は暗号化部４２の出力（送信）に同期し、予め設定した時間間隔、第１の復号鍵の保持と破棄を繰り返す。あるいは、暗号化部４２の指令に従って、第１の復号鍵の保持と破棄を繰り返す。第１の復号鍵の保持時間と破棄時間の割合は任意に設定でき、処理動作を行う前に設定されている。これにより、第１の復号鍵は、破棄時間には存在しないことから、第１の復号鍵が漏えいするリスクをより低減可能である。

一方で、上述のようにユーザ認証部４６は、端末２から送信された第２の暗号鍵を用い、復号鍵一時保管部７４に保持されている第１の復号鍵を暗号化して端末２へ送信する。この時、復号鍵一時保管部７４の復号鍵が破棄された状態の時は、再び保持されるまでユーザ認証部４６は待機させられる。

次に、開閉部７６に関連する処理動作について説明する。上述のように端末２は、データサーバ５０へプラントデータを要求する。この時、開閉部７６は、暗号化部４２の送信に同期し、予め設定した時間、もしくは暗号化部４２の指令に従って開状態になっている。開閉部７６は、これ以外では閉状態である。データサーバ５０は開閉部７６によって、閉状態においては常に外部ネットワークと遮断されているので、プラントデータが暗号化された暗号化データが漏えいするリスクをより低減可能である。

次に、位置取得部７８に関連する処理動作について説明する。データサーバ５０を不正に持ち出したり移動させたりすると、位置取得部７８が位置の変化を検出し、データサーバ５０のプラントデータを破棄する。位置取得部７８は、データサーバ５０が所定位置にある時に限ってデータ送受信を許可し、不正に持ち出したり移動させたりするとプラントデータが暗号化された暗号化データを破棄することから、データの漏えいするリスクをより低減可能である。

（効果）
以上のように、本実施形態に係るプラントセキュリティ装置４によれば、復号鍵一時保管部７４が、予め設定した時間間隔もしくは指令に従い、第１の復号鍵の保持と破棄を繰り返すこととした。これにより、第１の復号鍵が存在しない時間が生じることから、第１の復号鍵が漏えいするリスクをより低減できる。また、開閉部７６が、予め設定した時間もしくは指令に従い、データサーバ５０と外部ネットワークとの間の開閉を繰り返すこととした。このため、データサーバ５０は、開閉部７６が閉状態にある場合、常に外部ネットワークと遮断されているので、データが漏えいするリスクをより低減可能である。さらにまた、位置取得部７８が、データサーバ５０の不正な持ち出しや移動を検出してデータサーバ５０が保持するデータを破棄することとした。これにより、データサーバ５０からデータが漏えいするリスクをより低減できる。これらにより、データ記憶部６４からデータが漏えいするリスク及びデータ伝送時の外部ネットワークにおいてデータが漏えいするリスクをより低減することができる。

以上、いくつかの実施形態を説明したが、これらの実施形態は、例としてのみ提示したものであり、発明の範囲を限定することを意図したものではない。本明細書で説明した新規な装置およびシステムは、その他の様々な形態で実施することができる。また、本明細書で説明した装置およびシステムの形態に対し、発明の要旨を逸脱しない範囲内で、種々の省略、置換、変更を行うことができる。添付の特許請求の範囲およびこれに均等な範囲は、発明の範囲や要旨に含まれるこのような形態や変形例を含むように意図されている。

１：プラントセキュリティシステム、２：端末、４：プラントセキュリティ装置、６：プラント制御監視装置、４２：暗号化部、４４：ダイオード、４６：ユーザ認証部、４８：データダイオード、５０：データサーバ、６２：制御監視部、６４：データ記憶部、７２：傍受検知部、７４：復号鍵一時保管部、７６：開閉部、７８：位置取得部、４４０：送信部、４４２：復調部、４４６：偏向部

Claims (10)

1. データ記憶部から取得されるデータを第１の暗号鍵で暗号化して出力するとともに、当該第１の暗号鍵で暗号化された暗号化データを、復号するために用いる第１の復号鍵を出力する暗号化部と、
   前記暗号化部から取得される前記第１の復号鍵を単一方向に伝送する第１伝送部と、
   前記暗号化部から取得される前記暗号化データを単一方向に伝送する第２伝送部と、
   前記第１伝送部を介して取得した前記第１の復号鍵を記憶し、当該第１の復号鍵の取得を要求する端末が認証条件を満した場合に、当該端末から取得した第２の暗号鍵で前記第１の復号鍵を暗号化して当該端末に出力する第１認証部と、
   前記第２伝送部を介して取得した前記暗号化データを記憶し、前記暗号化データの取得を要求する端末が認証条件を満した場合に、当該端末から取得した第３の暗号鍵で前記前記暗号化データを暗号化して当該端末に出力する第２認証部と、
   を備えることを特徴とするプラントセキュリティ装置。
2. 前記第１伝送部及び前記第２伝送部のうちの少なくとも一方は、
   入力信号を、光を用いたデータ搬送波で伝送する送信部と、
   前記データ搬送波で伝送された前記入力信号を受信し、復調する復調部と、
   を有することを特徴とする請求項１に記載のプラントセキュリティ装置。
3. 前記送信部は、複数の波長を含む光をデータ搬送波とし、波長数及び波長の順序を変調して光伝送することを特徴とする請求項２に記載のプラントセキュリティ装置。
4. 前記送信部と前記復調部との間は、複数の伝送路から構成され、当該複数の伝送路が設定可能に構成されていることを特徴とする請求項２又は３に記載のプラントセキュリティ装置。
5. 前記データ搬送波の特性に基づき伝送傍受の有無を検知する傍受検知部を更に備えたことを特徴とする請求項２乃至４のいずれか一項に記載のプラントセキュリティ装置。
6. 前記第１認証部は、前記暗号化部から前記第１伝送部を介して伝送される前記第１の復号鍵に対し、保持と破棄を繰り返す保持部を有することを特徴とする請求項１に記載のプラントセキュリティ装置。
7. 前記端末から要求を受けた場合に、前記第２認証部への接続を可能にする開閉部を、更に備えることを特徴とする請求項１又は６に記載のプラントセキュリティ装置。
8. 前記第２認証部の位置を取得し、当該位置が所定位置にある場合に第２認証部に対してデータ送受信を許可する許可部を、更に備えることを特徴とする請求項６又は７に記載のプラントセキュリティ装置。
9. 前記データ記憶部は、前記暗号化部に接続され、プラント監視制御装置が制御に用いるデータ、およびプラントに関するデータのうちの少なくともいずれかを記憶することを特徴とする請求項１乃至８のいずれか一項に記載のプラントセキュリティ装置。
10. 暗号鍵および対応する復号鍵の組を複数有する端末と、
    データ記憶部から得たデータを第１の暗号鍵で暗号化して出力するとともに、当該第１の暗号鍵で暗号化された暗号化データを、復号するために用いる第１の復号鍵を出力する暗号化部と、
    前記暗号化部から取得される前記第１の復号鍵を単一方向に伝送する第１伝送部と、
    前記暗号化部から取得される前記暗号化データを単一方向に伝送する第２伝送部と、
    前記第１伝送部を介して取得した前記第１の復号鍵を記憶し、当該第１の復号鍵の取得を要求する前記端末が認証条件を満した場合に、前記端末から取得した第２の暗号鍵で前記第１の復号鍵を暗号化して当該端末に出力する第１認証部と、
    前記第２伝送部を介して取得した前記暗号化データを記憶し、当該前記暗号化データの取得を要求する前記端末が認証条件を満した場合に、前記端末から取得した第３の暗号鍵で前記暗号化データを暗号化して当該端末に出力する第２認証部と、を有するプラントセキュリティ装置と、
    を備え、
    前記端末は、前記第２の暗号鍵用の第２の復号鍵、前記第３の暗号鍵用の第３の復号鍵を有する端末であって、前記第２の復号鍵で前記暗号化された第１の復号鍵を復号し、前記第２認証部で暗号化された暗号化データを前記第３の復号鍵で復号し、更に当該復号した第１の復号鍵で暗号化データを復号し、前記データを取得することを特徴とするプラントセキュリティシステム。