JP6716424B2 - データ収集システム、末端装置、データ収集装置、データ収集方法及びプログラム - Google Patents

Description

本発明の実施形態は、データ収集システム、末端装置、データ収集装置、データ収集方法及びプログラムに関する。

従来より、プラントシステム、移動体などの各種データを収集するシステムがある。プラントシステムの場合、センサ、アクチュエータなどの末端機器におけるデータは、ネットワークなどの通信ラインを介して中央監視装置に送信され、中央監視装置においてセンサ等のデータが収集され、プラントの各種状態が監視される。

また、従来より、データを暗号化して送信し、暗号化されたデータを受信した装置において復号化するデータ通信技術がある。

プラントシステムなどのシステムにおいても、セキュリティを考慮してセンサデータなどを暗号化して送信することも考えられるが、高い処理能力を持つ処理回路を末端装置が有しない場合、全てのデータを暗号化して送信することができない場合がある。

また、データを収集する装置が、高い処理能力を持つ中央処理装置等を有しない場合、末端装置の数が多いと、データ収集装置である中央監視装置は、受信した全てのデータを復号化することができない場合もある。

特開平１１−２４３３８８号公報

そこで、本実施形態は、データを送信する末端機器あるいはそのデータを受信するデータ収集装置が高い処理能力を有しない場合であっても、可能な範囲で暗号化されたデータ通信を可能とするデータ収集システム、末端装置、データ収集装置、データ収集方法及びプログラムを提供することを目的とする。

実施形態のデータ収集システムは、複数の末端装置と、各末端装置のデータを収集するデータ収集装置とを含むデータ収集システムにおいて、前記各末端装置は、前記データ収集装置と通信するための第１の通信部と、前記データと、前記データ収集装置から前記第１の通信部を介して受信した閾値データとを比較することによって、前記データを暗号化するかを判定する判定部と、前記判定部において暗号化すると判定された前記データを暗号化して暗号化されたデータを生成する暗号化部と、前記データあるいは前記暗号化されたデータを前記データ収集装置へ前記第１の通信部を介して送信するデータ送信部と、を有し、前記データ収集装置は、前記各末端装置と通信するための第２の通信部と、前記閾値データを前記各末端装置へ送信する閾値データ送信部と、前記各末端装置から前記第２の通信部を介して受信した前記暗号化されたデータを復号化して前記データを生成する復号化部と、を有する。

実施形態に係わるデータ収集システムの構成を示す構成図である。 実施形態に係わるデータ収集システムの構成を示すブロック図である。 実施形態に係わるノードの構成を示すブロック図である。 実施形態に係わるサーバの構成を示すブロック図である。 実施形態に係わる、サーバのメモリに格納される閾値テーブルの構成を説明するための図である。 実施形態に係わる、サーバにおけるデータ要求取得処理の流れの例を示すフローチャートである。 実施形態に係わる、ノードから送信されるセンサデータのフォーマット示す図である。 実施形態に係わる、ノードにおけるデータ送信処理の流れの例を示すフローチャートである。 実施形態に係わる、サーバにおける分析更新処理の流れの例を示すフローチャートである。 実施形態の変形例２に係わる、サーバにおけるデータ要求取得処理の流れの他の例を示すフローチャートである。 実施形態の変形例２に係わる、ノードにおけるデータ送信処理の流れの他の例を示すフローチャートである。 実施形態の変形例２に係わるノード３の構成を示すブロック図である。 実施形態の変形例３に係わる、サーバから各ノードへ送信されるテーブルデータＴＢＬ１の例を示す図である。

以下、図面を参照して実施形態を説明する。
（システム構成）
図１は、本実施形態に係わるデータ収集システムの構成を示す構成図である。

ここでは、データ収集システム１は、工場プラント２の敷地２ａ内に配設されたセンサ、アクチュエータなどの複数のノード３からのデータを収集する。データ収集システム１は、複数のノード３と、ネットワーク４を介して複数のノード３と接続されたゲートウエイ装置５と、インターネット６を介してゲートウエイ装置５と通信可能に接続されたサーバ７とを含んで構成されている。

各ノード３は、工場プラント２の敷地２ａ内に配設された末端装置であり、圧力センサ、温度センサなどを有するセンサ装置、あるいはバルブ、モータなどを有するアクチュエータ装置である。
各ノード３は、センサ装置であれば、検出データを、プラント内あるいは外部の制御装置へネットワーク４を介して送信する。

また、ノード３がアクチュエータ装置であれば、各ノード３は、プラント内の制御装置（図示せず）あるいは外部のサーバ７からのコマンドをネットワーク４経由で受信し、受信したコマンドに応じた動作を行う。

後述するように、各ノード３は、中央処理装置（以下、ＣＰＵという）と、ＲＯＭ，ＲＡＭなどのメモリと、通信部とを有する。各ノード３は、センサ装置であれば、圧力センサ、温度センサなどのセンサを有し、センサのセンサデータを通信部からサーバ７へ送信する。

各ノード３は、アクチュエータ装置であれば、バルブなどの出力機構すなわちアクチュエータを有し、受信したコマンドに応じた動作を出力機構において行うように制御するだけでなく、バルブの開度などのアクチュエータの出力値データを通信部からサーバ７へ送信する。
また、各ノード３は、後述する暗号化処理のための回路若しくはプログラムを有し、暗号化処理を実行可能である。

ネットワーク４は、工場プラント２内のネットワークであり、リアルタイムでデータ通信が可能となっている。ネットワーク４は、複数のネットワークから構成されていてもよい。
ゲートウエイ装置５は、プラント内のネットワーク４とインターネット６とを接続するネットワーク機器である。

サーバ７は、工場プラント２からのデータを、インターネット６とゲートウエイ装置５を介して収集するデータ収集装置であり、１台のサーバでもよいし、複数台のサーバから構成されていてもよい。ここでは、サーバ７は、インターネット６上のクラウド８内に存在するリソース装置である。

各ノード３、ゲートウエイ装置５及びサーバ７は、各ノード３とゲートウエイ装置５間、及びゲートウエイ装置５とサーバ７間においてリアルタイムでデータの送受信が行えるようにするデータ収集及び配信のためのソフトウエアプログラムを搭載しており、そのプログラムにより互いにリアルタイム通信が可能となっている。

サーバ７は各ノード３のデータを収集するが、各ノード３のデータの全部あるいは一部は暗号化されている。サーバ７は、暗号化されたデータに対しては復号化する処理を実行し、平文データ、すなわち暗号化される前のデータを生成する。

サーバ７は、収集したデータをデータ蓄積部に記憶するデータ収集装置として機能すると共に、収集したデータに基づいて各アクチュエータへの制御信号を送信する監視制御装置としても機能する。さらに、後述するように、サーバ７は、各ノードにおいてデータを暗号化するか否かの判定基準データである閾値データ（後述する）を、各ノード３へ送信する。
以上のように、データ収集システム１は、各々が末端装置である複数のノード３と、各ノード３のデータを収集するデータ収集装置であるサーバ７とを含む。

図２は、本実施形態に係わるデータ収集システムの構成を示すブロック図である。
図２に示すように、複数のノード３は、複数のセンサ装置３ａと、複数のアクチュエータ装置３ｂを含む。各センサ装置３ａは、センサ素子が検出した圧力などのデータを、ネットワーク４を介してゲートウエイ装置５へ送信する。ゲートウエイ装置５は、各センサ装置３ａからのデータを、インターネット６を介してサーバ７へ送信する。サーバ７は、各センサ装置３ａからのデータに基づいて制御演算を行い、制御信号を生成してインターネット６を介してゲートウエイ装置５へ送信する。各アクチュエータ装置３ｂは、ネットワーク４を介して制御信号を受信して、制御信号に応じたバルブの開閉などの動作を行う。
ゲートウエイ装置５は、ＣＰＵを含む制御部（図示せず）と、通信部（図示せず）と、データ収集／配信部５ａを含む。

データ収集／配信部５ａは、各センサ装置３ａからのデータをネットワーク４から受信し、インターネット６を介してサーバ７へ送信すると共に、各アクチュエータ装置３ｂへの制御信号をインターネット６から受信し、制御信号に指定されたノードであるアクチュエータ装置３ｂへネットワーク４を介して制御信号を送信する。
また、後述する閾値データは、図２において点線で示すように、インターネット６、ゲートウエイ装置５及びネットワーク４を介して、サーバ７から各ノード３へ送信される。閾値データは、各ノード３がデータの暗号化をするか否かに関わる指示データである。

サーバ７は、監視、演算、及び制御を行う制御部を有する装置本体７ａと、収集したデータを蓄積するデータ蓄積部７ｂとを有している。データ蓄積部７ｂは、例えば、ハードディスク装置などの大容量記憶装置である。

サーバ７は、各ノード３からのデータをデータ蓄積部７ｂに記憶して、各ノード３を監視するデータ収集装置として機能し、収集したデータに基づいて各種制御演算処理を実行して各アクチュエータへの制御信号を生成して送信する監視制御装置としても機能するとともに、各ノード３へ送信する閾値データを更新する閾値データ更新装置としても機能する。
（ノード構成）
図３は、ノード３の構成を示すブロック図である。なお、ここでは、ノード３の構成をセンサ装置の例で説明する。

ノード３は、センサ装置３ａの場合、温度センサ、湿度センサあるいは圧力センサなどのセンサ素子１１と、各種回路が搭載された基板１２とを有している。
基板１２は、データ取得部１３、送受信部１４、メモリ１５、判定部１６、暗号化部１７及び制御部１８を含む。データ取得部１３、送受信部１４、メモリ１５、判定部１６、暗号化部１７及び制御部１８は、バス１９を介して互いに通信可能に接続されている。

センサ素子１１は、上述したように温度センサなどである。なお、ここでは、ノード３は、１つのセンサ素子１１を有しているが、点線で示すようにさらに別のセンサ素子１１ａを有してもよく、さらに３つ以上のセンサ素子を有してもよい。
基板１２上に設けられたデータ取得部１３は、センサ素子１１からの検出信号を受信し、検出信号に基づくデータ（以下、センサデータという）をバス１９に出力する回路である。

送受信部１４は、ネットワーク４とバス１９とを接続し、データの送受信を行う回路である。すなわち、送受信部１４は、データ収集装置であるサーバ７と通信するための通信部を構成する。
メモリ１５は、プログラム及び各種データが格納されたフラッシュメモリなどの不揮発性メモリである。メモリ１５には、上述したリアルタイム通信のためのプログラムも格納されている。さらに、メモリ１５には、後述する閾値データも格納される。

判定部１６は、送受信部１４を介して受信したサーバ７からの閾値データに基づき、センサデータを暗号化するか否かを判定する回路である。
暗号化部１７は、センサ素子１１のセンサデータを、所定の暗号化方式で暗号化する回路である。すなわち、暗号化部１７は、判定部１６において暗号化すると判定されたセンサデータを暗号化して、暗号化されたデータを生成するデータ保護部を構成する。

制御部１８は、ノード３全体の動作の制御を行うとともに、センサデータ、あるいは暗号化されたセンサデータを送信する制御を行う回路である。すなわち、制御部１８は、センサデータあるいは暗号化されたデータをサーバ７へ送受信部１４を介して送信するデータ送信部を構成する。
なお、各ノード３における判定部１６、暗号化部１７及び制御部１８の処理は、ＣＰＵ及びＲＯＭ等を用いて、ソフトウエアプログラムで実行するようにしてもよい。
その場合は、メモリ１５には、暗号化処理プログラム及び暗号鍵データも記憶される。ＣＰＵは、暗号化処理プログラム及び暗号鍵データをメモリ１５から読み出して実行することにより、送信データの暗号化を行う。

なお、ここでは、暗号化してセキュアな通信を実現しているが、暗号化処理に加えて、デジタル署名あるいはメッセージ認証子を付加してデータを送信することにより、各ノード３とサーバ７との間のさらなるセキュアな通信を実現するようにしてもよい。その場合、デジタル署名あるいはメッセージ認証子を付加したデータの送信処理は、ハードウエア回路で実現してもよいし、ソフトウエアプログラムで実現してもよい。

ソフトウエアで実現する場合は、メモリ１５には、デジタル署名生成プログラム及び署名生成鍵データ、あるいはＭＡＣ（Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）生成プログラム及びＭＡＣ生成鍵データが記録される。

なお、ノード３がアクチュエータ装置３ｂの場合、データ取得部１３は、アクチュエータに接続されたアクチュエータを駆動する駆動部により置き換わり、制御信号に応じた駆動信号をアクチュエータへ出力する。

さらに、ノード３がアクチュエータ装置３ｂの場合、判定部１６は、バルブの開度などのアクチュエータの出力値データを、サーバ７からの閾値データに基づき暗号化するか否かを判定する。そして、暗号化部１７は、アクチュエータの出力値データを、所定の暗号化方式で暗号化する。

よって、制御部１８は、サーバ７からの閾値データを、送受信部１４を介して受信してメモリ１５に格納する。制御部１８は、センサデータを閾値データに基づいて暗号化するか否かを判定部１６に判定させ、センサデータを暗号化する場合は暗号化部１７に暗号化させ、送受信部１４を介してネットワーク４へ出力するように各部の制御を行う。制御部１８は、暗号化しない場合は、センサデータを、送受信部１４を介してネットワーク４へ出力するように各部の制御を行う。

ゲートウエイ装置５は、ＣＰＵ、ＲＯＭ、ＲＡＭ、通信Ｉ／Ｆを有し、各ノード３から受信したデータをサーバ７へリアルタイムで送信し、サーバ７から受信したデータを各ノード３へリアルタイムで送信する中継装置である。
（サーバ構成）
図４は、サーバ７の構成を示すブロック図である。

サーバ７は、装置本体７ａと、データ蓄積部７ｂとを含む。
装置本体７ａは、インターフェース（以下、Ｉ／Ｆと略す）２１、送受信部２２、メモリ２３、データ要求部２４、復号化部２５、制御部２６及び分析更新部２７を含む。Ｉ／Ｆ２１、送受信部２２、メモリ２３、データ要求部２４、復号化部２５、制御部２６及び分析更新部２７は、バス２８を介して互いに通信可能に接続されている。

Ｉ／Ｆ２１は、制御部２６がデータ蓄積部７ｂへのデータの書き込み及びデータ蓄積部７ｂからのデータの読み出しをするために、バス２８とデータ蓄積部７ｂとを接続する回路である。

送受信部２２は、インターネット６とバス２８とを接続し、データの送受信を行う回路である。すなわち、送受信部２２は、各ノード３と通信するための通信部を構成する。
メモリ２３は、プログラム及び各種データが格納されたフラッシュメモリなどの不揮発性メモリである。メモリ２３には、リアルタイム通信のためのプログラムも格納されている。
さらに、メモリ２３は、後述する閾値テーブルＴＢＬも記憶している。すなわち、メモリ２３は、各ノード３の指示データすなわち閾値データを保持する指示データ保持部を構成する。

データ要求部２４は、各ノード３へデータの送信要求を行う回路である。データ要求部２４は、監視及び制御のためのプログラムにより、定期的にあるいは所定のイベントタイミングで、データの送信要求を行うデータリクエストコマンドＲＣを各ノード３へ送信する。すなわち、データ要求部２４は、データを送信するように要求するデータリクエストを、送受信部２２を介して各ノード３へ送信するデータリクエスト送信部を構成する。

復号化部２５は、暗号化されたデータを復号化する回路である。復号化部２５は、各ノード３において暗号化されたデータを平文に戻すための復号化処理を実行する。すなわち、復号化部２５は、各ノード３から送受信部２２を介して受信した暗号化されたデータを復号化して、平文のデータを生成する。
制御部２６は、サーバ７全体の動作の制御を行うとともに、閾値データを各ノード３へ送信する制御を行う回路である。すなわち、制御部２６は、指示データである閾値データを各ノード３へ送信する指示データ送信部を構成する。

分析更新部２７は、後述するように、各ノード３からのデータを分析して、各ノードからのデータの暗号化を行うか否かの判断基準である閾値データを更新する処理を行う回路である。
言い換えれば、分析更新部２７は、送受信部２２を介して受信した各ノード３のデータに基づいて、複数のノード３の全て又は一部についての指示データである閾値データを更新する更新部を構成する。

なお、サーバ７におけるデータ要求部２４、復号化部２５、制御部２６及び分析更新部２７の処理を、ＣＰＵ及びＲＯＭ等を用いて、ソフトウエアプログラムで実行するようにしてもよい。
その場合は、メモリ２３には、復号化処理のための復号化処理プログラム及び復号鍵データと共に、分析更新処理のためのプログラムも記憶される。ＣＰＵは、復号化処理プログラム及び復号鍵データをメモリ２３から読み出して実行することにより、受信データの復号化を行い、分析更新処理のためのプログラムをメモリ２３から読み出して実行することにより、各ノード３のデータを分析して各閾値データの更新処理を行う。

上述したように、セキュアな通信が暗号化処理に加えて、デジタル署名あるいはメッセージ認証子を付加したデータを送信することにより実現される場合、デジタル署名あるいはメッセージ認証子を付加したデータの受信処理は、ハードウエア回路で実現してもよいし、ソフトウエアプログラムで実現してもよい。

ソフトウエアで実現する場合は、メモリ２３には、デジタル検証プログラム及び署名検証鍵データ、あるいはＭＡＣ検証プログラム及びＭＡＣ検証鍵データが記録される。
以上のように、制御部２６は、各ノード３からのデータを、送受信部２２を介して受信してデータ蓄積部７ｂに格納する。そのとき、制御部２６は、データが暗号化されている場合は、復号化部２５に復号化してからデータ蓄積部７ｂに記憶し、データが暗号化されていない場合は、データをそのままデータ蓄積部７ｂに記憶するように各部の制御を行う。

さらに、制御部２６は、各ノード３からのデータを、分析更新部２７において分析し、その分析結果に基づいて、必要な１又は２以上のノード３の閾値データを更新する。各ノード３の閾値データは、メモリ２３の閾値テーブルＴＢＬに格納される。

図５は、サーバ７のメモリ２３に格納される閾値テーブルＴＢＬの構成を説明するための図である。
閾値テーブルＴＢＬは、ノード毎の閾値データを格納するメモリ２３のデータ記憶領域である。

図５に示すように、ノード識別子（以下、ＩＤと略す）が「０００１」のノード３の閾値は、「ａ１」であるというように、各ノード３に対応してすなわち各センサに対応する閾値データが、閾値テーブルＴＢＬに格納されている。
なお、１つのノード３が複数のセンサ素子１１を有する場合は、ＩＤは、ノード識別子及びそのノード中のセンサ識別子を含む。

閾値は、暗号化するかしないかをノード３が判定するための判定基準値である。ノード３がセンサ装置である場合は、閾値データは、センサ素子１１のセンサデータと比較されるデータである。ノード３が、アクチュエータ装置である場合は、閾値データは、例えばアクチュエータの動作値（バルブの開度等）、出力回数等の出力値と比較されるデータである。

図５では、例えば、ＩＤが「０００１」のノードでは、センサ素子１１のセンサデータの値が、閾値「ａ１」以上になると、センサデータを暗号化して、暗号化されたデータをサーバ７に送信することを示している。逆に、ＩＤが「０００１」のノードでは、センサ１１のセンサデータの値が、閾値「ａ１」未満になると、センサデータを暗号化しないで、データをそのまま、すなわち平文のデータをサーバ７に送信する。
すなわち、サーバ７は、各ノード３から送信されるセンサデータを暗号化するかしないかの閾値データを保持し、その閾値データは、後述するように更新可能となっている。

また、閾値を無限大あるいは極めて大きな値にすれば、センサデータは暗号化されずに送信され、閾値を０あるいは極めて小さな値にすれば、センサデータはほぼすべてが暗号化されて送信される。言い換えれば、閾値データを調整することによって、閾値データは、センサデータを暗号化する暗号化指示データか、あるいはセンサデータを暗号化しないという指示データとなる。

また、ノード３においては、過去のデータから生成したデータ、例えばトレンドデータ、を送信可能な場合もあり、その場合には、閾値データを極めて小さな値にするなどして、サーバ７は、ノード３に対して、トレンドデータをすべて暗号化して送信させるようにすることもできる。
センサデータが閾値以上になると暗号化するかあるいはセンサデータが閾値以下になると暗号化するかは、各ノード３の判定部１６において規定されている。閾値テーブルＴＢＬは、このように各ノード３において用いられる閾値データを保持している。

（動作）
図６は、サーバ７におけるデータ要求取得処理の流れの例を示すフローチャートである。

サーバ７は、データの送信を要求するノード３に対して、閾値データを含むデータリクエストコマンドＲＣを送信する（ステップ（以下、Ｓと略す）１）。データリクエストコマンドＲＣの送信は、制御部２６の制御の下、データ要求部２４により行われる。データリクエストコマンドＲＣは、ノード３の有するデータ、例えばセンサ素子１１のセンサデータ、を要求するコマンドである。

データリクエストコマンドＲＣは、所定の周期で各ノード３へ送信され、あるいは所定の時刻になると又は所定のイベントが発生すると、各ノード３へ送信される。例えば、新たにネットワーク４に追加して接続されたノード３があると、そのようなイベントのタイミングで、制御部２６は、データリクエストコマンドＲＣを送信する。

なお、データ要求部２４は、既に過去に閾値データを含むデータリクエストコマンドＲＣを送信済で、その後に閾値データに変更がないときは、閾値データを含まないデータリクエストコマンドＲＣを送信するようにしてもよい。
なお、ここでは、サーバリクエストコマンドＲＣの送信に応じて各ノード３がセンサデータを送信しているが、予めノード３（末端機器側）が閾値データを保持している場合（例えば工場出荷時に閾値データがメモリ１５に書き込まれている場合）、ノード３（末端機器側）が、サーバ７に対して、サーバ７からのデータリクエストコマンドＲＣ無しで、定期的に（暗号化された）センサデータを送ってもよい。その場合は、データ要求部２４が不要となる。また、ステップＳ１も不要となる。

Ｓ１の後、制御部２６は、データリクエストコマンドＲＣの送信先であるノード３からセンサデータを受信したか否かを判定する（Ｓ２）。制御部２６は、データリクエストコマンドＲＣの送信先であるノード３からセンサデータを受信しないとき（Ｓ２：ＮＯ）、センサデータを受信するまで、何もしない。
制御部２６は、データリクエストコマンドＲＣの送信先であるノード３からセンサデータを受信すると（Ｓ２：ＹＥＳ）、受信したデータを復号化が必要か否かを判定する（Ｓ３）。

図７は、ノードから送信されるセンサデータのフォーマット示す図である。
ノード３は、データリクエストコマンドＲＣに応じてセンサデータを送信するが、ノード３が送信するセンサデータのフォーマットＤＦは、フラグ（Ｆ）、ＩＤ及びデータ部（Ｄａｔａ）を含む。

フォーマットＤＦのフラグ（Ｆ）は、データ部のデータが暗号化されているか否かを示すデータフィールドである。
フォーマットＤＦのＩＤは、ノードＩＤが格納されるデータフィールドである。

フォーマットＤＦのデータ部は、ノードのセンサデータが格納されるデータフィールドである。
例えば、フラグ（Ｆ）が「１」であるとき、データ部に格納されたセンサデータは暗号化されたデータであり、フラグ（Ｆ）が「０」であるとき、データ部に格納されたセンサデータは暗号化されていない平文データである。

よって、制御部２６は、受信したデータのフラグ（Ｆ）の値に応じて、受信したセンサデータを復号化する必要があるか否かを判定することができる。
なお、ここでは、暗号化されているか否かは、データの先頭フラグ（Ｆ）を用いて判断しているが、他の方法を用いてもよい。例えば、データの形式により、データが暗号化されているか否かを判断できるような暗号化の方法を用いてもよい。
図６に戻り、制御部２６は、受信したセンサデータを復号化する必要があると判定すると（Ｓ３：ＹＥＳ）、復号化部２５により、データ部（Ｄａｔａ）に格納されたセンサデータを所定のアルゴリズムを用いて復号化する復号化処理を実行する（Ｓ４）。

制御部２６は、復号化処理により復号化されたセンサデータをデータ蓄積部７ｂにストアする（Ｓ５）。
制御部２６は、受信したセンサデータを復号化する必要がないと判定すると（Ｓ３：ＮＯ）、データ部に格納されたセンサデータをデータ蓄積部７ｂにストアする（Ｓ５）。

図８は、ノードにおけるデータ送信処理の流れの例を示すフローチャートである。
ノード３の制御部１８は、閾値データを含むデータリクエストコマンドＲＣを受信すると、図８の処理を実行する。

制御部１８は、閾値データを含むデータリクエストコマンドＲＣを受信すると、データリクエストコマンドＲＣに含まれる閾値データをメモリ１５に記憶する（Ｓ１１）。なお、閾値データは、判定部１６内のメモリあるいはレジスタに格納してもよい。
なお、データリクエストコマンドＲＣが閾値データを含まないときは、Ｓ１１の処理は行われない。

Ｓ１１の後、制御部１８は、データ取得部１３を制御してセンサ素子１１へポーリング信号を送信して、データ取得部１３にセンサ素子１１から検出信号を受信させて、データ取得部１３からセンサデータを取得する（Ｓ１２）。
判定部１６は、制御部１８の制御の下で、センサ素子１１のセンサデータの値が、メモリ１５に格納された閾値データ以上であるか否かに基づいて暗号化が必要であるか否かを判定する（Ｓ１３）。判定部１６は、判定結果を制御部１８へ送信する。
なお、判定部１６における判定にセンサデータが不要な場合、ステップＳ１２の処理は、ステップＳ１４より前であればどの時点で実行してもよい。

制御部１８は、センサ素子１１からの検出信号に基づくデータの値が、例えばメモリ１５に格納された閾値データ以上であるとの判定結果を受信すると（Ｓ１３：ＹＥＳ）、暗号化部１７により、データを所定のアルゴリズムを用いて暗号化する暗号化処理を実行させる（Ｓ１４）。暗号化部１７は、暗号化したデータを制御部１８へ送信する。

なお、ここでは、センサ１１からの検出信号に基づくセンサデータの値が、メモリ１５に格納された閾値データ以上であるとき、データの暗号化が行われているが、上述したように、データが閾値以上になると暗号化するかあるいはデータが閾値以下になると暗号化するかは、各ノード３の判定部１６において規定されている。
制御部１８は、暗号化処理により暗号化したデータを用いて、図７に示すようなフォーマットの送信データを生成し、ネットワーク４を介してサーバ７へ送信する（Ｓ１５）。

制御部１８は、センサ１１のセンサデータの値がメモリ１５に格納された閾値データ未満であると判定すると（Ｓ１３：ＮＯ）、データを暗号化しないで、送信データを生成し、ネットワーク４を介してサーバ７を送信する（Ｓ１５）。

以上のように、サーバ７からのデータリクエストコマンドＲＣの送信と、そのデータリクエストコマンドＲＣに応じた各ノード３からのデータの送信により、工場プラント２内のデータのうち閾値データに基づいて選択されたデータのみが、セキュアな通信により行われる。

図９は、サーバにおける分析更新処理の流れの例を示すフローチャートである。サーバ７は、例えば、各ノード３からのデータの取得のタイミングあるいは所定のタイミングで図９の処理を実行する。図９の処理は、サーバ７の分析更新部２７において実行される。

分析更新部２７は、まず、データ分析を実行する（Ｓ２１）。分析更新部２７は、各ノード３からのデータを分析し、そのデータ分析結果を取得する（Ｓ２２）。分析更新部２７は、データ分析結果に基づいて、各ノード３の閾値データを更新する閾値更新処理を実行する（Ｓ２３）。

分析更新部２７は、種々の方法で、各ノード３についての閾値データの更新を行うことができる。
例えば、分析更新部２７におけるデータ分析から閾値更新処理までは、ニューラルネットワークを用いたディープラーニング技術を利用することができる。

例えば、ニューラルネットワークを利用した制御手法によりプラントの制御を行う場合、各ノード３のデータは、ニューラルネットワークの入力層に入力され、制御出力は、分析結果として、ニューラルネットワークの出力層に出力される。制御部２６は、その分析結果に基づき、アクチュエータなどのノード３に制御信号を出力するというようにして、プラントの制御が行われる。

Ｓ２２で得られた分析結果は、各ノードの閾値の更新処理にも用いられ、入力データおよびデータ蓄積部７ｂに保存された過去データを上記ニューラルネットワークに入力した際のヤコビアン行列とその特異値を算出し、例えば出力層に対する入力層の特異値の平均の上位一定数のみ暗号化するように過去データのデータ範囲を用いて閾値テーブルＴＢＬの更新を行う。
暗号化される入力ノード数は各ノード３の処理能力とサーバ７の処理能力の範囲内で、暗号化と復号化が行われるように決定される。

また、閾値データの更新は、ニューラルネットワークを用いたディープラーニング技術を用いなくても行うことができる。
例えば、工場プラント２内で発生する各種イベント応じた、各ノード３の閾値データを予め生成してメモリ２３に記憶しておく。各ノード３の閾値データは、イベント毎に、かつサーバ７及び各ノードの処理能力の範囲で予め決められる。よって、サーバ７は、各ノード３からのデータを分析して（Ｓ２１）、イベントの発生を検出し（Ｓ２２）、発生したイベントに対応する閾値データを用いて、閾値テーブルＴＢＬの更新を行う（Ｓ２３）。その結果、サーバ７は、更新された閾値データを含むデータリクエストコマンドＲＣを各ノード３へ送信する。すなわち、所定のイベントの発生に応じて、閾値テーブルＴＢＬの更新が行われる。閾値テーブルＴＢＬの更新が行われても、サーバ７の処理能力の範囲でかつ各ノードの処理能力の範囲で、その発生したイベントについての必要な範囲でのセキュアな通信が行われる。

以上のように、各ノード３が、暗号化処理が可能であってもその処理能力から暗号化処理を常時行うことができなかったり、サーバ７も、復号化処理を実行できてもその処理能力から全てのノード３からのデータについて復号化をできなかったりしても、上述した実施形態によれば、各ノード３及びサーバ７の処理能力の範囲内で閾値データが適応的に変更され、データの暗号化が行われる。

よって、上述した実施形態によれば、データを送信する末端機器あるいはデータを受信する中央監視装置が高い処理能力を有しない場合であっても、可能な範囲で暗号化されたデータ通信を可能とするデータ収集システム、末端装置、データ収集装置及びデータ収集方法を提供することができる。

なお、上述した実施形態のデータ収集システムは、工場などのプラントの制御システムに配置された機器のデータを収集するシステムであるが、自動車等の移動体の各種センサデータなどを収集するシステムでもよい。

次に変形例について説明する。
（変形例１）
上述した実施形態では、サーバ７がゲートウエイ装置５及びインターネット６を介して各ノード３のデータを収集しているが、上述したデータの収集及び閾値データの更新は、中継装置としてのゲートウエイ装置５で行うようにしてもよい。すなわち、ゲートウエイ装置５がデータ収集装置として、上述したサーバ７の動作を行うようにしてもよい。
あるいは、サーバ７がゲートウエイ装置５の動作も行うようにしてもよい。
また、ゲートウエイ装置５とサーバ７の間のデータ通信においても、暗号化するか否かの閾値データを、サーバ７からゲートウエイ装置５へ送信し、ゲートウエイ装置５とサーバ７は、それぞれの閾値データに基づいて暗号化するか否かを決定して、互いに通信を行うようにしてもよい。
さらにあるいは、上述したデータの収集及び閾値データの更新は、ネットワーク４に接続された図示しない中央監視装置で行うようにしてもよい。
すなわち、各ノード３が接続されたネットワーク４に接続された装置において、データを収集し、かつ各ノード３の閾値データを更新するようにしてもよい。

（変形例２）
上述した実施形態では、データリクエストコマンドＲＣに閾値データを含めているが、データリクエストコマンドＲＣの送信と、指示データである閾値データの送信を別々に行うようにしてもよい。

図１０は、サーバ７におけるデータ要求取得処理の流れの他の例を示すフローチャートである。
サーバ７は、データリクエストコマンドＲＣを送信する（Ｓ３１）。データリクエストコマンドＲＣの送信は、制御部２６の制御の下、データ要求部２４により行われる。データリクエストコマンドＲＣには、閾値データは含まれていない。

Ｓ３１の後、制御部２６は、データリクエストコマンドＲＣを送信したノード３からセンサ種類コードが送信されるので、そのセンサ種類コードを受信したか否かを判定する（Ｓ３２）。センサ種類コードは、ノードＩＤとセンサ種類とを示すコードである。
なお、ノード３にセンサが１つしか搭載されていない場合は、センサ種類コードは、ノードＩＤでもよい。

制御部２６は、センサ種類コードを受信しなければ、何もせず、センサ種類コードを受信すると、センサ種類コードに対応する閾値データを、センサ種類コードを送信したノード３へ送信する（Ｓ３３）。
すなわち、サーバ７は、メモリ２３に、センサ種類コードに対応して閾値データが記録されたテーブルデータを有し、制御部２６は、ノード識別子を含むセンサ種類コードを受信すると、メモリ２３を参照して、センサ種類コードに対応する閾値データを抽出して、センサ種類コードを送信したノード３へ送信する（Ｓ３３）。

Ｓ３３以降の処理は、上述した図６のＳ２からＳ５の処理と同様である。
図１１は、ノードにおけるデータ送信処理の流れの他の例を示すフローチャートである。

ノード３の制御部１８は、データリクエストコマンドＲＣを受信すると、図１１の処理を実行する。
制御部１８は、データリクエストコマンドＲＣを受信すると、ノード３のセンサ素子のセンサ種類データをサーバ７へ送信する（Ｓ４１）。
すなわち、後述する種類データ保持部３１（図１２）には、ノード３のセンサの種類を示すセンサ種類データが格納されている。制御部１８は、データリクエストコマンドＲＣを受信すると、種類データ保持部３１を参照して、センサ種類データを抽出してサーバ７へ送信する（Ｓ４１）。

Ｓ４１の後、制御部１８は、サーバ７から閾値データを受信したか否かを判定する（Ｓ４２）。
制御部１８は、サーバ７から閾値データを受信しなければ（Ｓ４２：ＮＯ）、何もしない。制御部１８は、サーバ７から閾値データを受信すると（Ｓ４２：ＹＥＳ）、閾値データをメモリ１５に記憶する（Ｓ１１）。

Ｓ１１以降の処理は、上述した図８のＳ１１からＳ１５の処理と同様である。
図１２は、本変形例におけるノード３の構成を示すブロック図である。図１２において、図３に示した構成要素と同じ構成要素については同じ符号を用い、説明は省略し、異なる構成について説明する。

ノード３は、判定部１６に代えて、センサ種類データを保持する種類データ保持部３１を有する。種類データ保持部３１は、バス１９に接続されている。
本変形例のサーバ７の構成は、図４に示した構成と同じであるが、上述したように、メモリ２３には、センサ種類に応じた閾値データも格納されている点が異なる。

このような構成を有することにより、図１０及び図１１の処理が実行可能となる。
（変形例３）
上述した実施形態では、サーバ７は、各ノード３が有するセンサ素子あるいはアクチュエータの種類及び数を予め把握しており、図５に示すようなテーブルに基づいてデータ収集を行う。しかし、複数のノード３が複数のグループに分けられ、かつサーバ７が各ノード３の有するセンサあるいはアクチュエータの種類及びノード３の属するグループが不明な場合に、サーバ７が、全ノード３あるいは一部のノード３に、複数のグループの閾値データを含むテーブルデータを送信し、各ノード３は、そのテーブルデータに基づいて、暗号化を行うか否かの判定を行ってデータをサーバ７へ送信するようにしてもよい。

図１３は、サーバから各ノードへ送信されるテーブルデータＴＢＬ１の例を示す図である。
テーブルデータＴＢＬ１は、グループＩＤ（ＧｒＩＤ）と、センサあるいはアクチュエータの種類コード、及び閾値データを含む。テーブルデータＴＢＬ１には、グループＩＤ毎に、種類コードと、種類コードに対応する閾値データが格納されている。

例えば、各ノード３の有するグループが不明である場合、サーバ７は、各ノード３にデータリクエストコマンドＲＣを送信するときに、テーブルデータＴＢＬ１を含むデータリクエストコマンドＲＣを送信する。

各ノード３には、グループＩＤが予め設定されているので、各ノード３は、自己のグループＩＤに基づいて、テーブルデータＴＢＬ１を参照して、種類コードに該当するセンサ素子１１などの閾値データを読み出す。各ノード３の判定部は、読み出した閾値データに基づいて、各センサ素子１１からのセンサデータなどを暗号化するか否かを判定する。

（変形例４）
上述した実施形態及び各変形例では、サーバ７から送信される閾値データに基づいて、各ノード３は暗号化するか否かを判定しているが、サーバ７は、ノード３、ゲートウエイ装置５及びサーバ７の各機器のＣＰＵ使用率の情報を得て、各機器のＣＰＵ使用率に応じて閾値データを決定するようにしてもよい。

（変形例５）
上述した実施形態及び各変形例では、サーバ７から送信される閾値データに基づいて、各ノード３は暗号化するか否かを判定しているが、サーバ７は、データ収集システム１のシステム稼働率に基づいて、各ノード３の閾値データを決定するようにしてもよい。
システム稼働率は、ある期間における全時間と、その期間におけるシステム停止時間とから算出される。例えば、平均故障間隔をＭＴＢＦとし、平均修理時間をＭＴＴＲとしたとき、稼働率は、（ＭＴＢＦ）／（ＭＴＢＦ＋ＭＴＴＲ）で表される。
よって、サーバ７は、この稼働率に基づいて、各ノード３の閾値データを決定する。

（変形例６）
上述した実施形態及び各変形例では、サーバ７から送信される閾値データに基づいて、各ノード３は暗号化するか否かを判定しているが、サーバ７は、データのリアルタイム性が要求されるか否かに基づいて、各ノード３の閾値データを決定するようにしてもよい。

（変形例７）
上述した実施形態及び各変形例では、サーバ７から送信される閾値データに基づいて、各ノード３は暗号化するか否かを判定しているが、サーバ７は、さらに、暗号化をさせるときのアルゴリズム及び暗号鍵のデータ長の少なくとも１つの変更指示も、各ノード３に対して行うようにしてもよい。

（変形例８）
上述した実施形態及び各変形例では、サーバ７から送信される閾値データに基づいて、各ノード３は暗号化するか否かを判定し、各ノード３からのデータの暗号化が行われているが、サーバ７は、各ノード３へ送信するデータを暗号化してもよい。
その場合、各ノード３の処理能力に応じて、サーバ７は、各ノード３へ送信するデータの暗号化を行う。

（変形例９）
上述した実施形態及び各変形例では、サーバ７から送信される閾値データに基づいて、各ノード３は暗号化するか否かを判定し、各ノード３からのデータの暗号化が行われているが、ゲートウエイ装置５からサーバ７へ送信されるデータだけを暗号化してもよい。

（変形例１０）
上述した実施形態及び各変形例では、データの暗号化を行っているが、暗号化に代えて、可逆圧縮を施してもよい。可逆圧縮アルゴリズムの例として、ランレングス、ハフマン符号、LZWなどが挙げられる。また、可逆圧縮を施した上で暗号化を行ってもよい。可逆圧縮を行うことによって、使用する通信帯域をおさえることができる。
（変形例１１）
さらになお、上述した実施形態及び各変形例では、データ収集システムは、データの暗号化を行う暗号化部を有しているが、暗号化処理に代えて、デジタル署名あるいはメッセージ認証子を付加してデータを送信するデータ保護部を有するようにしてもよい。
デジタル署名アルゴリズムとして、ECDSA（Elliptic Curve Digital Signature Algorithm）、RSA署名アルゴリズム等を用いればよい。また、メッセージ認証子アルゴリズムとして、CBC-MAC、HMAC、CMAC等のアルゴリズムを用いればよい。
（変形例１２）
なお、上述した実施形態及び各変形例では、各ノード３はデータをサーバ７へ送信しているが、暗号化する／しないに限らず、各ノード３による判定の結果、各ノード３はデータを送信しないとしてもよい。そうすることによって、使用する通信帯域を抑えることができる。

以上のように、上述した実施形態及び各変形例によれば、データを送信する末端機器あるいはデータを受信する中央監視装置が高い処理能力を有しない場合であっても、可能な範囲で暗号化されたデータ通信を可能とするデータ収集システム、末端装置、中央監視装置、データ収集方法及びプログラムを提供することができる。

本明細書における各「部」は、実施形態の各機能に対応する概念的なもので、必ずしも特定のハードウエアやソフトウエア・ルーチンに１対１には対応しない。従って、本明細書では、以下、実施形態の各機能を有する仮想的回路ブロック（部）を想定して実施形態を説明した。また、本実施形態における各手順の各ステップは、その性質に反しない限り、実行順序を変更し、複数同時に実行し、あるいは実行毎に異なった順序で実行してもよい。さらに、本実施形態における各手順の各ステップの全てあるいは一部をハードウエアにより実現してもよい。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として例示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると共に、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１ データ収集システム、２ 工場プラント、２ａ 敷地、３ ノード、３ａ センサ装置、３ｂ アクチュエータ装置、４ ネットワーク、５ ゲートウエイ装置、５ａ データ収集／配信部、６ インターネット、７ サーバ、７ａ 装置本体、７ｂ データ蓄積部、８ クラウド、１１、１１ａ センサ素子、１２ 基板、１３ データ取得部、１４ 送受信部、１５ メモリ、１６ 判定部、１７ 暗号化部、１８ 制御部、１９ バス、２２ 送受信部、２３ メモリ、２４ データ要求部、２５ 復号化部、２６ 制御部、２７ 分析更新部、２８ バス、３１ 種類データ保持部。

Claims (12)

1. 複数の末端装置と、各末端装置のデータを収集するデータ収集装置とを含むデータ収集システムにおいて、
   前記各末端装置は、
   前記データ収集装置と通信するための第１の通信部と、
   前記データと、前記データ収集装置から前記第１の通信部を介して受信した閾値データとを比較することによって、前記データを暗号化するかを判定する判定部と、
   前記判定部において暗号化すると判定された前記データを暗号化して暗号化されたデータを生成する暗号化部と、
   前記データあるいは前記暗号化されたデータを前記データ収集装置へ前記第１の通信部を介して送信するデータ送信部と、
   を有し、
   前記データ収集装置は、
   前記各末端装置と通信するための第２の通信部と、
   前記閾値データを前記各末端装置へ送信する閾値データ送信部と、
   前記各末端装置から前記第２の通信部を介して受信した前記暗号化されたデータを復号化して前記データを生成する復号化部と、
   を有するデータ収集システム。
2. 前記データを送信するように要求するデータリクエストを、前記第２の通信部を介して前記各末端装置へ送信するデータリクエスト送信部を有する請求項１に記載のデータ収集システム。
3. 前記第２の通信部を介して受信した前記各末端装置の前記データに基づいて、前記複数の末端装置の全て又は一部についての前記閾値データを更新する更新部を有する請求項１又は２に記載のデータ収集システム。
4. 前記更新部は、前記複数の末端装置の前記データに基づいてオンライン学習により、前記閾値データを更新する請求項３に記載のデータ収集システム。
5. 前記データ収集装置は、前記各末端装置の前記閾値データを保持する閾値データ保持部を有する請求項１から４のいずれか１つに記載のデータ収集システム。
6. 前記複数の末端装置の全てあるいは一部は、センサを有し、
   前記データ送信部は、前記データとして前記センサのセンサデータを送信する請求項１から５のいずれか１つに記載のデータ収集システム。
7. 前記複数の末端装置の全てあるいは一部は、アクチュエータを有し、
   前記データ送信部は、前記データとして前記アクチュエータの出力値データを送信する請求項１から５のいずれか１つに記載のデータ収集システム。
8. 複数の末端装置のデータを収集し、各末端装置が前記データを暗号化するか否かに関わる閾値データを有し、かつ前記閾値データの更新を行うデータ収集装置と通信するための通信部と、
   前記データと、前記データ収集装置から前記通信部を介して受信した前記閾値データとを比較することによって、前記データを暗号化するかを判定する判定部と、
   前記判定部において暗号化すると判定された前記データを暗号化して暗号化されたデータを生成する暗号化部と、
   前記データを送信するように要求するデータリクエストを前記データ収集装置から前記通信部を介して受信すると、前記データあるいは前記暗号化されたデータを前記データ収集装置へ前記通信部を介して送信するデータ送信部と、
   を有する末端装置。
9. 複数の末端装置のデータを収集するデータ収集装置であって、
   各末端装置と通信するための通信部と、
   前記データを送信するように要求するデータリクエストを、前記通信部を介して前記各末端装置へ送信するデータリクエスト送信部と、
   前記各末端装置において前記データの暗号化をするか否かを判定するために用いられる閾値データを前記各末端装置へ送信する閾値データ送信部と、
   前記各末端装置から前記通信部を介して受信した前記暗号化されたデータを復号化して前記データを生成する復号化部と、
   前記通信部を介して受信した前記各末端装置の前記データに基づいて、前記複数の末端装置の全て又は一部についての前記閾値データを更新する更新部と、
   を有するデータ収集装置。
10. データ収集装置において複数の末端装置のデータを収集するデータ収集方法であって、
    前記データ収集装置の第１の通信部から、前記データを送信するように要求するデータリクエストを、各末端装置へ送信し、
    前記データ収集装置の前記第１の通信部から、前記各末端装置において前記データの暗号化をするか否かを判定するために用いられる閾値データを前記各末端装置へ送信し、
    前記各末端装置が、前記データと、前記データ収集装置から第２の通信部を介して受信した前記閾値データとを比較することによって、前記データを暗号化するかを判定し、
    前記各末端装置が、暗号化すると判定された前記データを暗号化して暗号化されたデータを生成し、
    前記各末端装置が、前記データあるいは前記暗号化されたデータを前記データ収集装置へ前記第２の通信部を介して送信し、
    前記データ収集装置において、前記各末端装置から前記第１の通信部を介して受信した前記暗号化されたデータを復号化して前記データを生成し、
    前記データ収集装置が、前記第１の通信部を介して受信した前記各末端装置の前記データに基づいて、前記複数の末端装置の全て又は一部についての前記閾値データを更新する、
    データ収集方法。
11. 通信部を有し、データ収集装置にデータを収集される末端装置に、
    前記データを暗号化するか否かに関わる閾値データを前記データ収集装置との間で通信するステップと、
    前記データと、前記データ収集装置から前記通信部を介して受信した前記閾値データとを比較することによって、前記データを暗号化するかを判定するステップと、
    暗号化すると判定された前記データを暗号化して暗号化されたデータを生成するステップと、
    前記データを送信するように要求するデータリクエストを前記データ収集装置から前記通信部を介して受信すると、前記データあるいは前記暗号化されたデータを前記データ収集装置へ前記通信部を介して送信するステップと、
    を実行させるプログラム。
12. 通信部を有し、複数の末端装置のデータを収集するデータ収集装置に、
    各末端装置に前記データを送信するように要求するデータリクエストを、前記各末端装置へ送信するステップと、
    前記各末端装置において前記データの暗号化をするか否かを判定するために用いられる閾値データを前記各末端装置へ送信するステップと、
    前記各末端装置から前記通信部を介して受信した前記暗号化されたデータを復号化して前記データを生成するステップと、
    受信した前記各末端装置の前記データに基づいて、前記複数の末端装置の全て又は一部についての前記閾値データを更新するステップと、
    を実行させるプログラム。

Images