JP6972429B1 - プラント管理方法及びプラント設計装置 - Google Patents

Abstract

プラント管理方法は、複数の構成要素により構成されるプラントがサイバー攻撃を受けた場合におけるサイバー攻撃を受けた構成要素とその影響を受けうる構成要素との間の相関関係を示す相関関係情報を取得するステップ（Ｓ１２）と、相関関係情報に基づいて複数の構成要素をゾーニングするステップ（Ｓ１４）と、を備える。

Description

本開示は、プラントの管理技術に関し、とくに、プラント管理方法、プラント管理方法に利用可能なプラント設計装置及びプラント管理装置に関する。

生活を支える重要インフラ（電力、ガス、水道等）や製造業などの幅広い分野において、プラントの制御システム（Industrial Control System：ICS）が利用されている。例えば、特許文献１には、プラントの運転中に、複数の制御対象装置の状態を示す状態値を取得し、取得された状態値と、将来における状態値の予測値との間の差又は差の変化率に基づいて算出される指標が所定の条件に合致した場合に、その旨を報知する技術が開示されている。

特許第６５２９６９０号

従来のプラントにおけるＩＣＳは、一般に、独自のハードウエア、ソフトウエア、プロトコルなどで構築された、隔離されたネットワーク構造を有する。したがって、外部からのサイバー攻撃に強いと考えられてきた。しかし、近年は、低コストの汎用デバイスが多くのプラントで使用されるようになっている。このような汎用デバイスは、詳細な情報が一般に公開されているため、サイバー攻撃の標的になりやすい。プラントを外部のネットワークから完全に切り離して運転することは困難であるから、現実問題として、プラントがサイバー攻撃を受けた場合の被害を抑える技術の開発が急務とされる。

本開示は、こうした状況を鑑みてなされたものであり、その目的は、プラントがサイバー攻撃を受けた場合の被害を抑えることにある。

上記課題を解決するために、本開示のある態様のプラント管理方法は、複数の構成要素により構成されるプラントがサイバー攻撃を受けた場合におけるサイバー攻撃を受けた構成要素とその影響を受けうる構成要素との間の相関関係を示す相関関係情報を取得するステップと、相関関係情報に基づいて複数の構成要素をゾーニングするステップと、を備える。

本開示の別の態様は、プラント設計装置である。この装置は、複数の構成要素により構成されるプラントがサイバー攻撃を受けた場合におけるサイバー攻撃を受けた構成要素とその影響を受けうる構成要素との間の相関関係を示す相関関係情報を取得する相関関係情報取得部と、相関関係情報に基づいて複数の構成要素をゾーニングするゾーニング実行部と、を備える。

本開示のさらに別の態様は、プラント管理装置である。この装置は、複数の構成要素により構成されるプラントの運転中に、複数の構成要素の状態を示す複数の状態値を取得する状態値取得部と、取得された複数の状態値のそれぞれに基づいて、将来の所定の時点におけるそれぞれの状態値の予測値を予測する状態値予測部と、所定の時点におけるそれぞれの状態値と所定の時点又は所定の時点よりも後の時点におけるそれぞれの予測値との間の差又は差の変化率が、プラントがサイバー攻撃を受けた場合にプラントの運転に影響を与える度合いが大きい構成要素として複数の構成要素から選択された重要要素に与える影響の大きさを示す重要度、又は、差又は差の変化率が重要要素に与える影響の緊急性を示す緊急度を表す指標を算出する指標算出部と、算出された指標を提示する指標提示部と、を備える。

なお、以上の構成要素の任意の組合せ、本発明の表現を方法、装置、システム、記録媒体、コンピュータプログラムなどの間で変換したものもまた、本発明の態様として有効である。

本開示によれば、プラントがサイバー攻撃を受けた場合の被害を抑えることができる。

実施の形態に係るプラント管理システムの全体構成を示す図である。 実施の形態に係るプラント設計装置の構成を示す図である。 プラントを構成する複数の構成要素の相関関係の例を示す図である。 プラントの運転データと通信データをクラスタリングした例を示す図である。 実施の形態に係る学習装置の構成を示す図である。 実施の形態に係るプラント管理装置及び制御装置の構成を示す図である。 操作パネルの表示装置に表示される表示画面の例を示す図である。 実施の形態に係るプラント管理方法の手順を示すフローチャートである。 実施の形態に係るプラント管理方法の手順を示すフローチャートである。

本開示の実施の形態として、プラントがサイバー攻撃を受けた場合の被害を抑えるための技術について説明する。

化学製品や工業製品などを生産するためのプラントにおいては、反応器、加熱炉、弁などの多数の構成要素により一連のプロセスが実行されている。プラントを構成する複数の構成要素は、それぞれ、インターネット、プライベートネットワーク、ＵＳＢなどの通信手段によって他の構成要素と通信している。したがって、外部のネットワークに接続された構成要素を足がかりとして、個々の通信手段を辿って任意の構成要素に外部から侵入される可能性がある。プラントには、故障や外因などにより誘発される異常な事象の発生を抑止するための厳重なセキュリティシステムが設けられているが、サイバー攻撃によって乗っ取られた構成要素は、異常な動作を強制され、セキュリティシステムが想定していない異常な事象を誘発しうる。プラントを構成する複数の構成要素のほとんどは、独立して動作しているわけではなく、何らかの形で他の構成要素に影響を及ぼしうるので、サイバー攻撃によって乗っ取られた構成要素に生じた異常な事象は、その構成要素のみにとどまらず、他の構成要素に伝播されていく。複数の制御装置による制御対象装置に対するフィードバック制御が相互に干渉し合う場合には、複数の構成要素の間の相関関係は更に複雑になるので、予期しない異常な事象が広範囲の構成要素に拡大しうる。

このような課題を解決するために、実施の形態に係るプラント管理システムは、プラントを構成する構成要素がサイバー攻撃によって乗っ取られ、異常な事象が発生したときに、異常を早期に検知し、乗っ取られた構成要素を他の構成要素から隔離して手動制御に切り替える。これにより、他の構成要素への被害の拡大や侵入を防ぎつつ、乗っ取られた構成要素を手動制御で正常な状態に戻すことができるので、サイバー攻撃による被害を抑えることができる。

上述したように、サイバー攻撃によって、現実には起こりえない異常な事象が誘発されうる。また、現実には同時に発生する可能性がほとんどない異常な事象の組み合わせが同時多発的に誘発されうる。このような異常な事象に適切に対処するためには、プラントの設計思想を根本から見直し、従来想定していなかった異常な事象までもが発生しうることを想定してプラントを設計する必要があることを本発明者らは課題として認識した。

このような課題を解決するために、実施の形態に係るプラント設計装置は、プラントを構成する複数の構成要素を、構成要素の間の相関関係に基づいてゾーニングする。プラント設計装置は、例えば、複数の構成要素の間のいずれかがサイバー攻撃を受けた場合におけるサイバー攻撃を受けた構成要素とその影響を受けうる構成要素との間の相関関係を示す相関関係情報のマトリクスに基づいて、複数の構成要素をゾーニングする。そして、サイバー攻撃を受けた場合に、サイバー攻撃を受けたゾーンから他のゾーンへの被害の拡大や侵入を抑えることが可能となるようにプラントを設計する。例えば、ハードウェア、ソフトウェア、通信プロトコルなどの種類をゾーンごとに異ならせてもよい。これにより、サイバー攻撃を受けたゾーンに侵入したときと同じ方法で他のゾーンに侵入することを困難にすることができる。また、サイバー攻撃を受けた場合に、通信の切断による隔離や、構成要素の手動制御への切り替えなどを、ゾーンごとに実施することができるように各ゾーンを構成する。これにより、サイバー攻撃に強く、サイバー攻撃を受けた場合に被害の拡大を抑えることが可能なプラントを設計することができるので、サイバー攻撃による被害を抑えることができる。

サイバー攻撃による被害をより小さく抑えるためには、プラントの運転に影響を与える度合いが大きい構成要素として複数の構成要素から選択された重要要素が異常な状態に陥らないようにする必要がある。したがって、本実施の形態のプラント設計装置は、サイバー攻撃を受けた場合にサイバー攻撃を受けた構成要素から重要要素への影響の伝播を効果的に遮断することが可能となるように、複数の構成要素をゾーニングする。プラント設計装置は、例えば、重要要素を上位事象とするフォルトツリーに基づいて、複数の構成要素をゾーニングする。これにより、プラントがサイバー攻撃を受けた場合であっても、重要要素への影響を抑えることができるので、サイバー攻撃による被害を抑えることができる。

実際にサイバー攻撃を受けたときには、サイバー攻撃を受けたことを早期に検知してオペレータに報知するとともに、ゾーンの隔離、手動運転への切替、プラントの運転継続、運転停止などの対応策をオペレータが判断するために必要な情報を分かりやすくオペレータに提示する必要がある。サイバー攻撃を検知する技術については、後述する。オペレータに必要な情報を提示する技術については、上述した特許文献１に開示された技術を利用可能である。

図１は、実施の形態に係るプラント管理システムの全体構成を示す。プラント管理システム１は、化学製品や工業製品などを生産するためのプラント３と、プラント３を設計するプラント設計装置１００と、プラント管理装置３０において使用されるアルゴリズムを学習するための学習装置４とを備える。プラント３と学習装置４とは、インターネットや社内接続系統などの任意の通信網２により接続され、オンプレミス、エッジコンピューティングなどの任意の運用形態で運用される。

プラント３は、プラント３に設置された反応器や加熱炉などの制御対象装置１０と、制御対象装置１０の運転条件を制御するための操作量を設定する制御装置２０と、学習装置４により学習されたアルゴリズムを使用してプラント３を管理するプラント管理装置３０とを備える。

まず、プラント設計装置１００によりサイバー攻撃に強いプラント３を設計する技術について説明する。

図２は、実施の形態に係るプラント設計装置１００の構成を示す。プラント設計装置１００は、通信装置１１１、表示装置１１２、入力装置１１３、処理装置１２０、及び記憶装置１３０を備える。

通信装置１１１は、無線又は有線による通信を制御する。表示装置１１２は、処理装置１２０により生成された表示画像を表示する。入力装置１１３は、処理装置１２０に指示を入力する。

記憶装置１３０は、処理装置１２０が使用するデータ及びコンピュータプログラムを格納する。記憶装置１３０は、ＨＡＺＯＰ情報保持部１３１、ＨＡＺＯＰ情報解析アルゴリズム１３２、及び相関関係情報生成アルゴリズム１３３を含む。

処理装置１２０は、ＨＡＺＯＰ情報取得部１２１、相関関係情報生成部１２２、ゾーニング実行部１２３、ＨＡＺＯＰ情報解析アルゴリズム学習部１２４、及び相関関係情報生成アルゴリズム学習部１２５を備える。これらの構成は、ハードウエアコンポーネントでいえば、任意のコンピュータのＣＰＵ、メモリ、メモリにロードされたプログラムなどによって実現されるが、ここではそれらの連携によって実現される機能ブロックを描いている。したがって、これらの機能ブロックがハードウエアのみ、ソフトウエアのみ、またはそれらの組合せによっていろいろな形で実現できることは、当業者には理解されるところである。

ＨＡＺＯＰ情報取得部１２１は、プラント３の安全性を評価する際にプラント３を構成する複数の構成要素を対象として実施されたＨＡＺＯＰ（Hazard and Operability Studies）又はＳＩＬ（Safety Integrity Level）解析において生成又は記録された情報を取得し、ＨＡＺＯＰ情報保持部１３１に格納する。ＨＡＺＯＰは、プラントの潜在危険性をもれなく洗い出し、それらの影響や結果を評価し、必要な安全対策を講ずることを目的として実施される。ＳＩＬ解析は、安全、環境、資産に関わるプロセスリスクの大きさに基づいて、要求される安全健全性レベルを決定するとともに、安全健全性レベルを維持するために必要な設備構成と機能試験頻度を合理的に決定することにより、プラントの安全性を向上させることを目的として実施される。ＨＡＺＯＰ又はＳＩＬ解析に関する情報は、音声、画像、文章などを含む。

相関関係情報生成部１２２は、ＨＡＺＯＰ情報保持部１３１に保持された情報を解析することにより、プラント３を構成する複数の構成要素の間の相関関係を表す相関関係情報を生成する。相関関係情報生成部１２２は、まず、ＨＡＺＯＰ情報保持部１３１に保持されたＨＡＺＯＰ情報を、ＨＡＺＯＰ情報解析アルゴリズム１３２を用いて解析し、ＨＡＺＯＰ情報をテキスト情報に変換する。相関関係情報生成部１２２は、変換されたテキスト情報を形態素解析などの自然言語解析手法により解析し、プラント３を構成する複数の構成要素の故障、異常、停止などによって生じる可能性のあるオペレーショントラブルを抽出する。相関関係情報生成部１２２は、更に、相関関係情報生成アルゴリズム１３３を用いて、抽出された情報からフォルトツリーを生成する。これにより、重要要素を上位事象とするフォルトツリーをＨＡＺＯＰ情報から自動生成することができるので、制御上重要である重要要素と、重要要素の停止や異常動作を防ぐためにセキュリティ上重要である構成要素を特定することができる。

ゾーニング実行部１２３は、相関関係情報生成部１２２により生成された相関関係情報に基づいて、プラント３を構成する複数の構成要素をゾーニングする。ゾーニング実行部１２３は、相関関係情報から複数の構成要素の間の相関関係を表したマトリクスを生成し、行列演算などにより複数の構成要素をゾーニングしてもよい。

ＨＡＺＯＰ情報解析アルゴリズム学習部１２４は、ＨＡＺＯＰ情報解析アルゴリズム１３２を学習する。ＨＡＺＯＰ情報解析アルゴリズム１３２は、ＨＡＺＯＰ情報に含まれる構成要素の名称、機能、動作、異常や故障などの態様や程度などを表現する名詞、動詞、形容詞、形容動詞などを格納した辞書を使用してＨＡＺＯＰ情報を解析してもよい。この場合、ＨＡＺＯＰ情報解析アルゴリズム学習部１２４は、過去に取得したＨＡＺＯＰ情報を学習データとして辞書を学習してもよい。

相関関係情報生成アルゴリズム学習部１２５は、相関関係情報生成アルゴリズム１３３を学習する。相関関係情報生成アルゴリズム１３３は、ＨＡＺＯＰ情報解析アルゴリズム１３２により抽出されたテキスト情報から、複数の構成要素の間の相関関係を表す表現を分析し、相関関係情報を生成してもよい。この場合、相関関係情報生成アルゴリズム学習部１２５は、過去に取得したＨＡＺＯＰ情報から抽出されたテキスト情報と複数の構成要素の間の相関関係情報を学習データとして相関関係情報生成アルゴリズム１３３を機械学習してもよい。

図３は、プラント３を構成する複数の構成要素の相関関係の例を示す。図３（ａ）は、構成要素Ａ、Ｂ、Ｃ、Ｄに異常が生じた場合に、その影響を受ける構成要素を「１」で、その影響を受けない構成要素を「０」で表したマトリクスを示す。図３（ａ）の例では、構成要素Ａの異常の影響は構成要素Ｃに波及し、構成要素Ｂの異常の影響は構成要素Ｄに波及する。図３（ｂ）は、ゾーニング実行部１２３によるゾーニングの例を示す。ゾーニング実行部１２３は、相関関係を有する構成要素ＡとＣ、及び構成要素ＢとＤを異なるゾーンに分け、互いに影響を及ぼさない構成要素ＡとＢ、及び構成要素ＣとＤが同じゾーンになるように構成要素をゾーニングする。これにより、構成要素Ａ又はＢがサイバー攻撃を受けた場合に、構成要素Ａ及びＢを含むゾーンを、構成要素Ｃ及びＤを含むゾーンから隔離することにより、構成要素Ａ又はＢに生じた異常の影響が構成要素Ｃ又はＤへ伝播するのを防ぐことができる。

図３には、説明の便宜上、簡略化された例を示しているが、現実のプラント３においては、多数の構成要素が複雑な相関関係を有している。このような場合であっても、既知の任意の技術により、複数の構成要素を適切にゾーニングすることができる。相関関係情報は、それぞれの構成要素の制御上の重要度、各構成要素間の相関関係の程度、条件などを含んでもよい。

このようにして複数の構成要素が適切にゾーニングされた後、それぞれのゾーンの詳細な構成が設計される。それぞれのゾーンは、物理的に区画されてもよいし、ネットワーク上で論理的に区画されてもよい。ゾーンの境界には、ゾーン間の通信を遮断するための構成が設けられる。ゾーンの境界に、炎、煙、漏洩ガス、爆風、飛散物などを物理的に遮断するための構成が設けられてもよい。

つづいて、プラント設計装置１００により設計されたプラント３の運転中に、プラント管理装置３０によりプラント３に対するサイバー攻撃を検知してオペレータに報知し、オペレータが対応策を検討するために必要な情報を提示する技術について説明する。

プラント３の構成要素がサイバー攻撃を受けた場合、プラント３の構成要素の状態量や制御量などの運転データと、プラント３の構成要素間や構成要素と外部ネットワークとの間で送受信される通信データとが、正常時とは異なる挙動を示す。したがって、本実施の形態のプラント管理装置３０は、プラント３が正常に運転されたときにプラント３から取得された運転データと通信データをクラスタリングすることにより学習されたサイバー攻撃検知アルゴリズムを使用してサイバー攻撃を検知する。

図４は、プラント３の運転データと通信データをクラスタリングした例を示す。図４（ａ）は、プラント３が正常に運転されたときにプラント３から取得されたプラント３の運転データをクラスタリングした例を示す。領域７０ａは、平常運転時の運転データのクラスタに対応し、領域７１ａは、スタートアップ時の運転データのクラスタに対応し、領域７２ａは、シャットダウン時の運転データのクラスタに対応する。図４（ｂ）は、プラント３が正常に運転されたときの通信データをクラスタリングした例を示す。領域７０ｂは、平常運転時の通信データのクラスタに対応し、領域７１ｂは、スタートアップ時の通信データのクラスタに対応し、領域７２ｂは、シャットダウン時の通信データのクラスタに対応する。

プラント３がサイバー攻撃を受けた場合、プラント３から取得される運転データ及び通信データは、図４（ｃ）及び図４（ｄ）に示すように、プラント３が正常に運転されたときに取得された運転データ及び通信データのクラスタに対応する領域から外れる。このとき、プラント管理装置３０は、プラント３がサイバー攻撃を受けていることを検知する。

プラント管理装置３０は、運転データと通信データの双方が異常である場合に、サイバー攻撃を検知してもよい。運転データが正常であり、通信データのみが異常である場合は、通信機器の故障などによる通信障害が発生していると判定してもよい。通信データが正常であり、運転データのみが異常である場合は、サイバー攻撃以外の要因により運転状態に異常が発生していると判定してもよい。ハッカーが運転データ又は通信データを偽装している可能性もあるので、プラント管理装置３０は、運転データと通信データの少なくとも一方が異常である場合に、サイバー攻撃を検知してもよい。

プラント管理装置３０がサイバー攻撃を検知したとき、プラント管理装置３０は、オペレータが対応策を検討するための情報として、サイバー攻撃が重要要素に及ぼす影響の重要度及び緊急度を表す指標を算出して提示する。影響の重要度及び緊急度を表す指標を算出するためのアルゴリズムは、学習装置４により学習される。

図５は、実施の形態に係る学習装置の構成を示す。学習装置４は、サイバー攻撃検知アルゴリズム学習ユニット６０、実績値取得部４１、推定アルゴリズム学習ユニット５０、指標評価取得部４４、指標算出アルゴリズム学習ユニット５１、及び提供部４９を備える。これらの構成は、ハードウエアコンポーネントでいえば、任意のコンピュータのＣＰＵ、メモリ、メモリにロードされたプログラムなどによって実現されるが、ここではそれらの連携によって実現される機能ブロックを描いている。したがって、これらの機能ブロックがハードウエアのみ、ソフトウエアのみ、またはそれらの組合せによっていろいろな形で実現できることは、当業者には理解されるところである。

サイバー攻撃検知アルゴリズム学習ユニット６０は、運転データ取得部６１、通信データ取得部６２、クラスタリング実行部６３、及びサイバー攻撃検知アルゴリズム６４を含む。運転データ取得部６１は、プラント３が正常に運転されたときのプラント３の運転に関する運転データを取得する。通信データ取得部６２は、プラント３が正常に運転されたときのプラント３の通信に関する通信データを取得する。

サイバー攻撃検知アルゴリズム６４は、プラント３の運転中に取得される運転データ及び通信データからプラント３に対するサイバー攻撃を検知するために使用される。サイバー攻撃検知アルゴリズム６４は、プラント３の運転中に取得される運転データ及び通信データを、プラント３が正常に運転されたときに取得された運転データ及び通信データの特徴と比較することにより、サイバー攻撃の有無を判定してもよい。サイバー攻撃検知アルゴリズム６４は、運転データ及び通信データから、正常時と異常時で値が異なる特徴量を算出してもよい。

クラスタリング実行部６３は、運転データ取得部６１により取得された運転データと、通信データ取得部６２により取得された通信データをクラスタリングし、サイバー攻撃検知アルゴリズムを学習する。クラスタリング実行部６３は、サイバー攻撃検知アルゴリズム６４を用いて運転データ及び通信データから算出される特徴量がプラント３の運転状態に応じて異なるクラスタに分類されるように、サイバー攻撃検知アルゴリズム６４を学習する。クラスタリング実行部６３は、例えば、特徴選択、特徴抽出で使用されるオートエンコーダや、ｔ分布型確率的近傍埋め込み法などの手法により、多次元の情報を次元圧縮・削減しても特徴量は保持されるような特徴量算出器を学習する。

サイバー攻撃検知アルゴリズム６４は、プラント３が運転されているときに取得可能な情報を、プラント３の運転状態に応じてクラス分類又はクラスタリングするための任意の手法により学習されてもよい。サイバー攻撃検知アルゴリズム６４は、教師あり学習により学習されてもよいし、教師なし学習により学習されてもよい。

推定アルゴリズム学習ユニット５０は、重要要素の停止又は故障の要因となりうる複数の状態量のそれぞれの予測値を算出するための複数の推定アルゴリズム４３ａ、４３ｂ、・・・と、複数の推定アルゴリズム４３ａ、４３ｂ、・・・（以下、「推定アルゴリズム４３」と総称する）のそれぞれを学習する複数の推定アルゴリズム学習部４２ａ、４２ｂ、・・・（以下、「推定アルゴリズム学習部４２」と総称する）を含む。

重要要素の停止又は故障の要因となりうる状態量は、プラント設計装置１００により生成されたフォルトツリーに基づいて特定される。プラント設計装置１００は、上位事象である重要要素の停止又は故障の要因となりうる下位事象の発生原因、発生経路、及び発生確率に基づいて、監視すべき複数の状態量を決定する。推定アルゴリズム学習ユニット５０は、プラント設計装置１００により決定された監視すべき複数の状態量の予測値を算出するための推定アルゴリズム４３を学習する。

推定アルゴリズム４３は、プラント３の状態を示す複数の状態値のそれぞれに基づいて、将来の所定の時点におけるそれぞれの状態値の予測値を推定するために使用される。予測値の算出の対象となる将来の所定の時点は、プラント３を構成する構成要素の種類、プロセスの種類、状態量の変化率、制御量の値の変更により状態量の値が変化する速度などによって決定されればよいが、例えば、数秒後から数分後程度であってもよい。

実績値取得部４１は、複数の状態値と複数の制御量の設定値のそれぞれの過去の実績値をプラント３から取得する。

推定アルゴリズム学習部４２は、実績値取得部４１により取得された複数の状態値と複数の制御量の設定値のそれぞれの過去の実績値に基づいて、機械学習により推定アルゴリズム４３を学習する。推定アルゴリズム学習部４２は、ある時点における複数の状態値及び複数の操作量の設定値の実績値を推定アルゴリズム４３に入力したときに、その時点から所定時間が経過した時点における複数の状態値の実績値に近い値が算出されるように、推定アルゴリズム４３を学習する。推定アルゴリズム学習部４２は、実績値取得部４１により取得された過去の実績値を教師データとした教師あり学習により推定アルゴリズム４３を学習してもよいし、その他の既知の任意の機械学習技術により推定アルゴリズム４３を学習してもよい。

多数の実績値を用いて推定アルゴリズム４３を学習させることにより、推定アルゴリズム４３の精度を向上させることができるので、より精確にプラント３の状態を示す状態値の予測値を算出することが可能な推定アルゴリズム４３を生成することができる。また、複雑なプロセスを再現するための高度なシミュレータを開発する必要がないので、推定アルゴリズム４３を生成するのに要する時間及び負荷を大幅に低減させることができる。また、シミュレータでは再現が困難であるような要素も加味することができるので、より精確に出力の予測値を算出することができる。

指標算出アルゴリズムは、所定の時点又は所定の時点よりも後の時点におけるそれぞれの状態値の予測値と所定の時点における実際の状態値との間の差又は差の変化率に基づいて、重要要素の運転挙動に与える影響の大きさ及び緊急性を表す指標を算出するために使用される。指標算出アルゴリズムにおいて、監視すべき複数の状態量の発生確率、上位事象への発生経路、上位事象である重要因子が重要要素の運転挙動に与える影響の大きさなどに応じて、それぞれの状態量の過去の挙動との差又は差の変化率に重みが付される。指標は、重要要素に与える影響の大きさを示す重要度と、重要要素に与える影響の緊急性を示す緊急度を含む。重要度には、主に、それぞれの状態値の予測値と実際の状態値との間の差及び差の変化率の大きさが反映され、緊急度には、主に、それぞれの状態値の現時点の予測値と現時点の実際の状態値との差の変化率の大きさや、それぞれの状態値の将来の予測値と現時点の実際の状態値との差又は差の変化率が反映される。

指標評価取得部４４は、それぞれの状態値について算出された予測値と実際の状態値の実績値の履歴と、重要要素の運転挙動の評価を取得する。重要要素の運転挙動の評価は、状態値の履歴などから算出されてもよいし、オペレータにより入力されてもよい。指標評価取得部４４は、それぞれの状態値について算出された予測値と実際の状態値の実績値の履歴と、重要度算出アルゴリズム４６及び緊急度算出アルゴリズム４８により算出された指標に対する評価を取得してもよい。指標に対する評価は、オペレータが評価した結果であってもよい。

指標算出アルゴリズム学習ユニット５１は、重要要素に与える影響の大きさを示す重要度を算出するための重要度算出アルゴリズム４６、重要度算出アルゴリズム４６を学習する重要度算出アルゴリズム学習部４５、重要要素に与える影響の緊急性を示す緊急度を算出するための緊急度算出アルゴリズム４８、緊急度算出アルゴリズム４８を学習する緊急度算出アルゴリズム学習部４７を含む。

重要度算出アルゴリズム学習部４５及び緊急度算出アルゴリズム学習部４７は、指標評価取得部４４により取得された予測値と状態値の実績値の履歴と、重要要素の運転挙動の評価に基づいて、重要度算出アルゴリズム４６及び緊急度算出アルゴリズム４８をそれぞれ学習する。重要度算出アルゴリズム学習部４５及び緊急度算出アルゴリズム学習部４７は、指標評価取得部４４により取得された予測値及び実績値の履歴と、重要要素の運転挙動の評価に基づいて、ある時点又はその後の時点における予測値と状態値との間の差又は差の変化率を重要度算出アルゴリズム４６及び緊急度算出アルゴリズム４８に代入することにより算出される指標が、重要要素の運転挙動に与える影響の重要度及び緊急度を正しく評価するものであったか否かを、その後の重要要素の運転挙動の評価から判定する。重要度算出アルゴリズム学習部４５及び緊急度算出アルゴリズム学習部４７は、その後の重要要素の運転挙動が所定よりも悪い評価であった場合は、より悪い値の指標が算出されるように重要度算出アルゴリズム４６及び緊急度算出アルゴリズム４８を学習し、その後の重要要素の運転挙動が所定よりも良い評価であった場合は、より良い値の指標が算出されるように重要度算出アルゴリズム４６及び緊急度算出アルゴリズム４８を学習する。このように、重要度算出アルゴリズム学習部４５及び緊急度算出アルゴリズム学習部４７は、指標評価取得部４４により取得された重要要素の運転挙動の評価を教師データとした教師あり学習により重要度算出アルゴリズム４６及び緊急度算出アルゴリズム４８を学習してもよいし、その他の既知の任意の機械学習技術により重要度算出アルゴリズム４６及び緊急度算出アルゴリズム４８を学習してもよい。

指標評価取得部４４は、オペレータが重要度算出アルゴリズム４６及び緊急度算出アルゴリズム４８によらずに自ら算出又は評価した指標の値を教師データとして取得してもよい。この場合、重要度算出アルゴリズム学習部４５及び緊急度算出アルゴリズム学習部４７は、ある時点又はその後の時点における予測値と状態値との間の差又は差の変化率を重要度算出アルゴリズム４６及び緊急度算出アルゴリズム４８に入力したときに、指標評価取得部４４により取得された指標の値が算出されるように、重要度算出アルゴリズム４６及び緊急度算出アルゴリズム４８を学習する。

提供部４９は、サイバー攻撃検知アルゴリズム学習ユニット６０により学習されたサイバー攻撃検知アルゴリズム６４と、推定アルゴリズム学習部４２により学習された推定アルゴリズム４３と、重要度算出アルゴリズム学習部４５及び緊急度算出アルゴリズム学習部４７により学習された重要度算出アルゴリズム４６及び緊急度算出アルゴリズム４８をプラント管理装置３０に提供する。

重要要素が停止してしまうような事象はめったに発生しないので、そのような事象の過去の実績に基づいて、そのような事象が発生したときのプラント３の挙動を学習することは困難であるが、本実施の形態では、過去の運転実績と現在の運転状態の差から重要要素の運転挙動に与える影響の大きさを指標化するので、重要要素が停止した実績がなくても、重要要素が停止しうる状態を的確に検出することが可能な人工知能を提供することができる。

本図においては、説明の簡略化のため、学習装置４を単独の装置として示しているが、学習装置４は、クラウドコンピューティング技術や分散処理技術などを利用して、複数のサーバにより実現されてもよい。これにより、プラント３から収集した大量の情報を高速に処理してサイバー攻撃検知アルゴリズム６４、推定アルゴリズム４３、重要度算出アルゴリズム４６、及び緊急度算出アルゴリズム４８を学習させることができるので、サイバー攻撃検知アルゴリズム６４、推定アルゴリズム４３、重要度算出アルゴリズム４６、及び緊急度算出アルゴリズム４８の精度を向上させるために要する時間を大幅に短縮することができる。

図６は、実施の形態に係るプラント管理装置３０及び制御装置２０の構成を示す。制御装置２０は、制御部２１、操作パネル２２、及び実績値記憶部２９を備える。

操作パネル２２は、プラント３の運転状態を示す各種の状態値と、制御装置２０により設定された各種の操作量の設定値と、プラント３の運転結果を示す出力の値などを表示装置に表示するとともに、各種の操作量の設定値の入力をオペレータから受け付ける。

制御部２１は、操作量設定部２３、状態値取得部２４、状態値送信部２５、実績値送信部２６、指標評価取得部２７、及び指標評価送信部２８を備える。これらの機能ブロックも、ハードウエアのみ、ソフトウエアのみ、またはそれらの組合せによっていろいろな形で実現できる。

操作量設定部２３は、操作パネル２２によりオペレータから受け付けた各種の操作量の設定値を設定し、制御対象装置１０を制御するとともに、操作パネル２２の表示装置に表示する。状態値取得部２４は、制御対象装置１０などに設けられた各種のセンサや測定器などから、プラント３の運転状態及び運転結果を示す各種の状態値を取得し、操作パネル２２の表示装置に表示するとともに、実績値記憶部２９に記録する。状態値送信部２５は、状態値取得部２４により取得された状態値をプラント管理装置３０に送信する。実績値送信部２６は、操作量設定部２３により設定された操作量の値と、実績値記憶部２９に記憶された状態値を、学習装置４に送信する。

指標評価取得部２７は、操作パネル２２に表示された指標に対する評価をオペレータから取得する。指標評価取得部２７は、操作パネル２２に表示された指標が大き過ぎる、又は小さ過ぎることを示す評価をオペレータから取得してもよいし、操作パネル２２に表示された指標の修正値をオペレータから取得してもよい。指標評価送信部２８は、指標評価取得部２７がオペレータから取得した指標に対する評価を学習装置４に送信する。指標に対する評価は、前述したように、学習装置４において重要度算出アルゴリズム４６及び緊急度算出アルゴリズム４８を学習するために使用される。

プラント管理装置３０は、制御部３１、推定アルゴリズム４３、重要度算出アルゴリズム４６、緊急度算出アルゴリズム４８、及びサイバー攻撃検知アルゴリズム６４を備える。

制御部３１は、状態値取得部３２、予測部３３ａ、３３ｂ、・・・（以下、「予測部３３」と総称する）、指標算出部３４、報知部３７、表示部３８、学習部３９、サイバー攻撃検知部６５、運転データ取得部６６、及び通信データ取得部６７を備える。これらの機能ブロックも、ハードウエアのみ、ソフトウエアのみ、またはそれらの組合せによっていろいろな形で実現できる。

サイバー攻撃検知アルゴリズム６４、推定アルゴリズム４３、重要度算出アルゴリズム４６、及び緊急度算出アルゴリズム４８は、学習装置４から取得され、記憶装置に格納される。

運転データ取得部６６は、プラント３の運転データを取得する。運転データは、制御装置２０の状態値送信部２５から取得される状態値であってもよいし、操作量設定部２３により設定された操作量の設定値であってもよいし、プラント３に設置された各種のセンサや構成要素から取得可能な任意のデータであってもよい。

通信データ取得部６７は、プラント３の内部のネットワークで送受信される通信データ、又はプラント３の外部のネットワークとプラント３の内部のネットワークの間で送受信される通信データなどに関するデータを取得する。

サイバー攻撃検知部６５は、サイバー攻撃検知アルゴリズム６４を使用し、運転データ取得部６６により取得された運転データ、及び通信データ取得部６７により取得された通信データに基づいて、プラント３に対するサイバー攻撃を検知する。サイバー攻撃検知部６５は、サイバー攻撃が検知された場合、その旨を報知部３７からオペレータに報知する。

状態値取得部３２は、制御装置２０の状態値送信部２５から、複数の状態値を取得する。予測部３３は、推定アルゴリズム４３を使用して、状態値取得部３２により取得された複数の状態値から将来の所定の時点におけるそれぞれの状態量の予測値を算出し、記憶装置に格納する。

指標算出部３４は、重要度算出部３５及び緊急度算出部３６を含む。重要度算出部３５及び緊急度算出部３６は、状態値取得部３２により取得された状態値と、予測部３３により算出されて記憶装置に格納されていた状態値の予測値との差又は差の変化率を算出し、重要度算出アルゴリズム４６及び緊急度算出アルゴリズム４８を使用して、重要度及び緊急度を示す指標を算出する。

報知部３７は、指標算出部３４により算出された指標が所定の条件に合致した場合に、その旨を報知する。報知部３７は、プラント３の運転中、常時算出された指標を操作パネル２２に表示してオペレータに報知してもよいし、指標が所定の値よりも悪い値であった場合に、その旨を操作パネル２２に表示してオペレータに報知してもよい。これにより、重要要素に影響を及ぼしうる状態が発生していることをオペレータに報知することができる。

表示部３８は、指標算出部３４により算出された重要度と緊急度を縦軸及び横軸に取ってプロットしたマトリクスを操作パネル２２に表示する。これにより、現在の状態が重要要素に与える影響の重要度と緊急度を視覚的に理解しやすい態様でオペレータに提示することができる。表示部３８は、複数の状態値のそれぞれについて算出された予測値と状態値との間の差又は差の変化率をそれぞれ操作パネル２２に表示する。これにより、重要要素に影響を与えうる複数の状態値のうち、いずれの状態値が異常を示しているのか、及び、その状態値の異常の程度をオペレータに提示することができるので、オペレータが操作量の設定値を変更するために参照すべき情報を適切に提供することができる。

学習部３９は、サイバー攻撃検知アルゴリズム６４、推定アルゴリズム４３、重要度算出アルゴリズム４６、又は緊急度算出アルゴリズム４８を学習する。学習部３９は、学習装置４のサイバー攻撃検知アルゴリズム学習ユニット６０、推定アルゴリズム学習部４２、重要度算出アルゴリズム学習部４５、又は緊急度算出アルゴリズム学習部４７と同様の方法によりサイバー攻撃検知アルゴリズム６４、推定アルゴリズム４３、重要度算出アルゴリズム学習部４５、又は緊急度算出アルゴリズム学習部４７を再学習してもよい。学習装置４においてサイバー攻撃検知アルゴリズム６４、推定アルゴリズム４３、重要度算出アルゴリズム４６、又は緊急度算出アルゴリズム４８を再学習する場合には、学習部３９は設けられなくてもよい。

図７は、操作パネルの表示装置に表示される表示画面の例を示す。表示画面には、プラント３のプロセスフロー図と、複数の状態値と、それらの状態値の所定時間後の予測値と、重要度及び緊急度をプロットしたマトリクスと、状態値の推移が表示されている。プロセスフロー図には、複数の構成要素のそれぞれが属するゾーンが表示されている。オペレータは、提示された情報を参考にして、操作量の設定値を決定し、操作パネル２２に入力する。操作量設定部２３は、入力された設定値に基づいて制御対象装置１０を制御する。

指標算出部３４は、所定の間隔で指標を算出し、表示部３８は、所定の間隔で算出された指標の重要度と緊急度をマトリクスにプロットする。すなわち、重要度と緊急度のマトリクスは、リアルタイムに更新され、その時点でのプラント３の状態を示す。本実施の形態のマトリクス表示と、状態値及び予測値の推移は、操作パネル２２に常時表示されるので、オペレータは、異常が発生した場合であっても、その変更によるマトリクス表示と、状態値及び予測値の推移の変化をリアルタイムに確認しながら、操作量の設定値を変更してプラント３の運転状態を調整することができる。

サイバー攻撃検知部６５は、サイバー攻撃を検知した場合、その旨を操作パネル２２に表示させる。オペレータは、サイバー攻撃による影響の重要度と緊急度をマトリクスから的確に把握することができるので、ゾーンの隔離、手動操作への切替、運転継続、運転停止などの対応策を迅速に検討して実行することができる。

サイバー攻撃検知部６５は、サイバー攻撃を検知した場合、サイバー攻撃されたゾーンの隔離、手動操作への切替、運転停止などの対応策を自動的に判定し、判定された対応策を自動的に実行してもよい。この場合、サイバー攻撃検知部６５は、指標算出部３４により算出された指標に応じて、対応策を自動的に判定してもよい。例えば、重要度及び緊急度の値の範囲と対応策の内容とが予め対応付けられていてもよい。これにより、プラント３がサイバー攻撃を受けた場合に、より迅速に的確な対応策を講じることができるので、被害を抑えることができる。

図８は、実施の形態に係るプラント管理方法の手順を示すフローチャートである。本図は、プラント３を設計する際の手順を示す。プラント設計装置１００のＨＡＺＯＰ情報取得部１２１は、プラント３を構成する複数の構成要素を対象として実施されたＨＡＺＯＰにおいて生成又は記録された情報を取得する（Ｓ１０）。相関関係情報生成部１２２は、ＨＡＺＯＰ情報を解析することにより、プラント３を構成する複数の構成要素の間の相関関係を表す相関関係情報を生成する（Ｓ１２）。ゾーニング実行部１２３は、相関関係情報生成部１２２により生成された相関関係情報に基づいて、プラント３を構成する複数の構成要素をゾーニングする（Ｓ１４）。プラント設計装置１００は、各ゾーンの詳細を設計する（Ｓ１６）。

プラント設計装置１００は、ＨＡＺＯＰ情報から生成されたフォルトツリーに基づいて、重要要素を特定し（Ｓ１８）、重要要素の停止又は故障の要因となりうる状態量を監視対象状態量として特定する（Ｓ２０）。

学習装置４の推定アルゴリズム学習部４２は、監視対象状態量の予測値を推定するための推定アルゴリズム４３を学習する（Ｓ２２）。重要度算出アルゴリズム学習部４５は、重要度算出アルゴリズム４６を学習する（Ｓ２４）。緊急度算出アルゴリズム学習部４７は、緊急度算出アルゴリズム４８を学習する（Ｓ２６）。サイバー攻撃検知アルゴリズム学習ユニット６０は、サイバー攻撃検知アルゴリズム６４を学習する（Ｓ２８）。

図９は、実施の形態に係るプラント管理方法の手順を示すフローチャートである。本図は、プラント３の運転を管理する手順を示す。プラント管理装置３０の運転データ取得部６６は、プラント３の運転データを取得する（Ｓ３０）。通信データ取得部６７は、プラント３の内部のネットワークで送受信される通信データ、又はプラント３の外部のネットワークとプラント３の内部のネットワークの間で送受信される通信データなどに関するデータを取得する（Ｓ３２）。サイバー攻撃検知部６５は、サイバー攻撃検知アルゴリズム６４を使用し、運転データ取得部６６により取得された運転データ、及び通信データ取得部６７により取得された通信データに基づいて、プラント３に対するサイバー攻撃を検知する（Ｓ３４）。

状態値取得部３２は、複数の監視対象状態量の状態値を取得する（Ｓ３６）。予測部３３は、推定アルゴリズム４３を使用して、状態値取得部３２により取得された複数の状態値から将来の所定の時点におけるそれぞれの状態量の予測値を算出する（Ｓ３８）。重要度算出部３５及び緊急度算出部３６は、状態値取得部３２により取得された状態値と、予測部３３により算出された予測値との差又は差の変化率を算出し、重要度算出アルゴリズム４６及び緊急度算出アルゴリズム４８を使用して、重要度及び緊急度を示す指標を算出する（Ｓ４０、Ｓ４２）。表示部３８は、算出された重要度と緊急度を縦軸及び横軸に取ってプロットしたマトリクスを操作パネル２２に表示する（Ｓ４４）。

以上、本開示を、実施例に基づいて説明した。この実施例は例示であり、それらの各構成要素や各処理プロセスの組合せにいろいろな変形例が可能なこと、またそうした変形例も本開示の範囲にあることは当業者に理解されるところである。

本発明の技術は、連続工程のプラントにも、バッチ工程のプラントにも適用可能である。

１ プラント管理システム、３ プラント、４ 学習装置、１０ 制御対象装置、２０ 制御装置、２２ 操作パネル、３０ プラント管理装置、３２ 状態値取得部、３３ 予測部、３４ 指標算出部、３５ 重要度算出部、３６ 緊急度算出部、３７ 報知部
、３８ 表示部、３９ 学習部、４１ 実績値取得部、４２ 推定アルゴリズム学習部、４３ 推定アルゴリズム、４４ 指標評価取得部、４５ 重要度算出アルゴリズム学習部、４６ 重要度算出アルゴリズム、４７ 緊急度算出アルゴリズム学習部、４８ 緊急度算出アルゴリズム、４９ 提供部、５０ 推定アルゴリズム学習ユニット、５１ 指標算出アルゴリズム学習ユニット、６０ サイバー攻撃検知アルゴリズム学習ユニット、６１ 運転データ取得部、６２ 通信データ取得部、６３ クラスタリング実行部、６４ サイバー攻撃検知アルゴリズム、６５ サイバー攻撃検知部、６６ 運転データ取得部、６７ 通信データ取得部、１００ プラント設計装置、１２１ ＨＡＺＯＰ情報取得部、１２２ 相関関係情報生成部、１２３ ゾーニング実行部、１２４ ＨＡＺＯＰ情報解析アルゴリズム学習部、１２５ 相関関係情報生成アルゴリズム学習部、１３１ ＨＡＺＯＰ情報保持部、１３２ ＨＡＺＯＰ情報解析アルゴリズム、１３３ 相関関係情報生成アルゴリズム。

本発明は、プラントを設計するプラント設計装置に利用可能である。

Claims (12)

1. 複数の構成要素により構成されるプラントがサイバー攻撃を受けた場合におけるサイバー攻撃を受けた構成要素とその影響を受けうる構成要素との間の相関関係を示す相関関係情報を取得するステップと、
   前記相関関係情報に基づいて前記複数の構成要素をゾーニングするステップと、
   を備え、
   前記相関関係情報は、前記プラントの運転に影響を与える度合いが大きい構成要素として前記複数の構成要素から選択された重要要素を上位事象とするフォルトツリーであり、
   前記フォルトツリーは、前記プラントの安全性を評価する際に生成又は記録された情報を解析することにより生成される
   プラント管理方法。
2. 前記情報は、前記プラントの安全性を評価する際に前記プラントを構成する複数の構成要素を対象として実施されたＨＡＺＯＰ（Hazard and Operability Studies）又はＳＩＬ（Safety Integrity Level）解析において生成又は記録された情報である
   請求項１に記載のプラント管理方法。
3. 前記情報から、前記プラントを構成する複数の構成要素の故障、異常、又は停止によって生じる可能性のあるオペレーショントラブルを抽出するステップと、
   抽出されたオペレーショントラブルの情報から前記フォルトツリーを自動生成するステップと、
   を更に備える
   請求項２に記載のプラント管理方法。
4. 前記プラントの運転中に、前記複数の構成要素の状態を示す複数の状態値を取得するステップと、
   取得された複数の状態値のそれぞれに基づいて、将来の所定の時点におけるそれぞれの状態値の予測値を予測するステップと、
   前記所定の時点におけるそれぞれの状態値と前記所定の時点又は前記所定の時点よりも後の時点におけるそれぞれの予測値との間の差又は差の変化率が前記重要要素に与える影響の大きさを示す重要度、又は、前記差又は差の変化率が前記重要要素に与える影響の緊急性を示す緊急度を表す指標を算出するステップと、
   算出された指標を提示するステップと、
   を更に備える請求項１から３のいずれかに記載のプラント管理方法。
5. 前記重要度を表す指標と前記緊急度を表す指標とを縦軸及び横軸に取ってプロットしたマトリクスを表示する請求項４に記載のプラント管理方法。
6. 前記プラントを構成する複数の構成要素のいずれかがサイバー攻撃を受けたことが検知された場合、前記ゾーニングするステップにおいてゾーニングされたゾーンごとに、ゾーンに含まれる構成要素の制御方式を切り替えるステップを更に備える請求項４又は５に記載のプラント管理方法。
7. 前記算出するステップにおいて算出された重要度又は緊急度を表す指標に応じて、前記ゾーンに含まれる構成要素の制御方式を切り替える請求項６に記載のプラント管理方法。
8. サイバー攻撃を受けた構成要素が含まれるゾーンと他のゾーンとを遮断するステップを更に備える請求項６又は７に記載のプラント管理方法。
9. 前記予測値は、前記複数の状態値のそれぞれの過去の実績値に基づく機械学習により学習された予測アルゴリズムにより予測される請求項４から８のいずれかに記載のプラント管理方法。
10. 前記指標は、それぞれの構成要素の状態値について算出された前記差又は差の変化率が前記重要要素に与える影響の大きさに基づいてそれぞれの差又は差の変化率に重みが付された指標算出アルゴリズムにより算出される請求項４から９のいずれかに記載のプラント管理方法。
11. 前記指標算出アルゴリズムは、それぞれの状態値について算出された前記予測値及び実績値の履歴と、前記重要要素が含まれるゾーンの運転挙動の評価とに基づいて学習される請求項１０に記載のプラント管理方法。
12. 複数の構成要素により構成されるプラントの安全性を評価する際に生成又は記録された情報を取得する取得部と、
    前記プラントがサイバー攻撃を受けた場合におけるサイバー攻撃を受けた構成要素とその影響を受けうる構成要素との間の相関関係を示す相関関係情報を生成する相関関係情報生成部と、
    前記相関関係情報に基づいて前記複数の構成要素をゾーニングするゾーニング実行部と、
    を備え、
    前記相関関係情報生成部は、前記取得部により取得された情報を解析することにより、前記プラントの運転に影響を与える度合いが大きい構成要素として前記複数の構成要素から選択された重要要素を上位事象とするフォルトツリーを生成する
    プラント設計装置。

Images