JP7424089B2 - 制御システム、中継装置、およびアクセス管理プログラム - Google Patents

Description

本発明は、制御システム、中継装置、およびアクセス管理プログラムに関し、より特定的には、制御対象を制御する制御システム、制御対象を制御する制御装置に対する外部装置からのアクセスを中継する中継装置、および制御対象を制御する制御装置に対する外部装置からのアクセスを管理するアクセス管理プログラムに関する。

ＦＡ（Factory Automation）を用いた生産現場で使用される機械や設備は、典型的には、プログラマブルコントローラ（Programmable Logic Controller；以下「ＰＬＣ」とも称す。）などの制御装置によって制御される。このような制御装置は、外部装置との間で通信可能に構成されているものがある。

たとえば、特開２００１－１７５６１５号公報（特許文献１）には、工作機械に対応した装置エージェントと、当該装置エージェントを管理するエージェント管理サーバとを有する生産システムが開示されている。

特開２００１－１７５６１５号公報

特許文献１に開示された生産システムのように、ＦＡ分野においては、ネットワークを介して、制御装置に対して外部装置からアクセス可能に構成されたシステムが存在するが、制御装置と外部装置との間の通信については必ずしもセキュアな状態が保証されているわけではない。この点、ＩＴ（Information Technology）分野においては、ＶＰＮ（Virtual Private Network）などのセキュリティを向上させるための技術が存在する。しかし、ＦＡ分野においては、外部装置が所謂レガシーアプリケーションとなっていることが多く、このような従前から使用しているシステムに対して新たなセキュリティ技術を実装することは、システム全体を大幅に変更することになり兼ねず、コストが大きく掛かったり、生産現場の稼働を一時的に停止させたりする必要があるなど、現実的ではない。

本発明は、上述したような課題を解決することを一つの目的とし、レガシーアプリケーションを変更することなくセキュリティを向上させる技術を提供することを目的とする。

本開示の一例に従えば、制御対象を制御する制御システムが提供される。制御システムは、制御対象を制御するとともに外部装置との間で通信する制御部と、制御部に対する外部装置からのアクセスを中継する中継部とを備える。中継部は、要求元から認証要求を受け付ける受付部と、受付部によって認証要求が受け付けられたときに要求元の正当性を認証する認証部と、認証部によって要求元の正当性が認証されたことを条件に、制御部に対する外部装置からのアクセスの制限レベルを制御するアクセス管理部と、複数のポートのうち、管理モードの種類に応じた少なくとも１つのポートを介して外部装置と制御部との間で通信を確立する通信部とを含む。アクセス管理部は、管理モードの種類に応じた少なくとも１つのポートについて、制御部に対する外部装置からのアクセスの制限レベルを制御する。

この開示によれば、制御部に対する外部装置からのアクセスを中継する中継部によって要求元の正当性が認証されたことを条件に、制御部に対する外部装置からのアクセスの制限レベルが中継部によって制御されるため、レガシーアプリケーションである外部装置を変更することなくセキュリティを向上させることができる。さらに、管理モードの種類に応じて、制御部に対する外部装置からのアクセスの制限レベルが中継部によって制御されるため、運用面を考慮しつつセキュリティを向上させることができる。

上述の開示において、認証部は、所定の認証用データに基づき要求元の正当性を認証する。

この開示によれば、中継部による要求元の正当性の認証について、所定の認証用データを用いてよりセキュリティを向上させることができる。

上述の開示において、認証部は、要求元からの通信を秘匿化した状態で当該要求元の正当性を認証する。

この開示によれば、中継部による要求元の正当性の認証について、通信の秘匿化によってよりセキュリティを向上させることができる。

上述の開示において、中継部は、制御部に対する外部装置からのアクセスに関するログを残す。

この開示によれば、制御部に対する外部装置からのアクセスに関するログを残すことができるため、制御部に対する外部装置からのアクセスに関して管理し易くなる。

上述の開示において、アクセス管理部は、認証部によって要求元の正当性が認証されたことを条件に、制御部に対する外部装置からのアクセスの制限レベルを制御するためのリストに基づき、制御部に対する外部装置からのアクセスの制限レベルを制御する。

この開示によれば、制御部に対する外部装置からのアクセスの制限レベルを制御するためのリストを用いて、セキュリティを向上させることができる。

上述の開示において、リストは、制御部に対する外部装置からのアクセスにおいてインシデントが発生した場合に更新される。

この開示によれば、インシデントの発生を考慮したリストを用いて、セキュリティを向上させることができる。

本開示の別の一例に従えば、制御対象を制御する制御装置に対する外部装置からのアク
セスを中継する中継装置が提供される。中継装置は、要求元から認証要求を受け付ける受
付部と、受付部によって認証要求が受け付けられたときに要求元の正当性を認証する認証
部と、認証部によって要求元の正当性が認証されたことを条件に、制御装置に対する外部
装置からのアクセスの制限レベルを制御するアクセス管理部と、複数のポートのうち、管理モードの種類に応じた少なくとも１つのポートを介して外部装置と制御装置との間で通信を確立する通信部とを含む。アクセス管理部は、管理モードの種類に応じた少なくとも１つのポートについて、制御装置に対する外部装置からのアクセスの制限レベルを制御する。

この開示によれば、制御装置に対する外部装置からのアクセスを中継する中継装置によ
って要求元の正当性が認証されたことを条件に、制御装置に対する外部装置からのアクセ
スの制限レベルが中継装置によって制御されるため、レガシーアプリケーションである外
部装置を変更することなくセキュリティを向上させることができる。さらに、管理モードの種類に応じて、制御装置に対する外部装置からのアクセスの制限レベルが中継装置によって制御されるため、運用面を考慮しつつセキュリティを向上させることができる。

本開示の別の一例に従えば、制御対象を制御する制御装置に対する外部装置からのアクセスを管理するアクセス管理プログラムが提供される。アクセス管理プログラムは、コンピュータに、要求元から認証要求を受け付ける受付ステップと、受付ステップによって認証要求が受け付けられたときに要求元の正当性を認証する認証ステップと、認証ステップによって要求元の正当性が認証されたことを条件に、制御装置に対する外部装置からのアクセスの制限レベルを制御するアクセス管理ステップと、複数のポートのうち、管理モードの種類に応じた少なくとも１つのポートを介して外部装置と制御装置との間で通信を確立する通信ステップとを含む。アクセス管理ステップは、管理モードの種類に応じた少なくとも１つのポートについて、制御装置に対する外部装置からのアクセスの制限レベルを制御する。

この開示によれば、制御装置に対する外部装置からのアクセスを管理するアクセス管理
プログラムによって要求元の正当性が認証されたことを条件に、制御装置に対する外部装
置からのアクセスの制限レベルがアクセス管理プログラムによって制御されるため、レガ
シーアプリケーションである外部装置を変更することなくセキュリティを向上させること
ができる。さらに、管理モードの種類に応じて、制御装置に対する外部装置からのアクセスの制限レベルが中継装置によって制御されるため、運用面を考慮しつつセキュリティを向上させることができる。

本実施の形態に係る制御システムの概要を説明するための模式図である。 本実施の形態に係る制御システムのハードウェア構成例を示す模式図である。 本実施の形態に係る制御システムにおける構成のバリエーションを示す表である。 本実施の形態に係る制御装置のハードウェア構成例を示す模式図である。 本実施の形態に係る中継装置のハードウェア構成例を示す模式図である。 本実施の形態に係るアクセス管理リストに含まれるポート管理リストを示す表である。 本実施の形態に係るアクセス管理リストに含まれるＩＰアドレス管理リストを示す表である。 本実施の形態に係るサポート装置のハードウェア構成例を示す模式図である。 本実施の形態に係る制御システムにおけるアクセス管理処理の一例を示す模式図である。 本実施の形態に係る制御システムにおけるアクセス管理処理の一例を示すシーケンス図である。 本実施の形態に係る制御システムにおけるアクセス管理処理についてインシデントが発生した場合の一例を示す模式図である。 別の実施の形態に係る制御システムにおけるアクセス管理処理の一例を示す模式図である。

本発明の実施の形態について、図面を参照しながら詳細に説明する。なお、図中の同一または相当部分については、同一符号を付してその説明は繰り返さない。

＜Ａ．適用例＞
本発明が適用される場面の一例について説明する。

図１は、本実施の形態に係る制御システム１ａの概要を説明するための模式図である。図１に示すように、制御システム１ａは、制御部１００ａと、外部装置７００ａと、中継部２００ａとを備える。

制御部１００ａは、制御対象を制御するとともに中継部２００ａを介して外部装置７００ａとの間で通信可能に構成されている。制御部１００ａは、各種の設備や装置などの制御対象を制御する産業用コントローラの機能であり、典型的には、ＰＬＣ（プログラマブルコントローラ）に含まれる機能である。制御部１００ａは、予め設計されたユーザプログラムに従って、図示しない制御対象を制御する。制御対象は、ＦＡ分野において用いられる生産工程を自動化するための種々の産業用機器を含む。たとえば、制御対象は、ロボットコントローラ、ロボットコントローラによって制御されるアームロボット、サーボドライバによって制御されるサーボモータ、ワークを撮影するための視覚センサ、および生産工程で使用されるその他の機器などを含む。

外部装置７００ａは、中継部２００ａを介して制御部１００ａとの間で通信可能に構成されている。外部装置７００ａは、制御部１００ａから各種データを収集して蓄積する。外部装置７００ａによって蓄積される各種データは、制御部１００ａによる制御対象の制御に関するデータを含む。たとえば、外部装置７００ａによって蓄積される各種データは、ワークから計測されたトレーサビリティに関する情報などを含む。

中継部２００ａは、制御部１００ａに対する外部装置７００ａからのアクセスを中継する。具体的には、中継部２００ａは、通信コントローラ２１０ａと、ポート２２０１ａを含むネットワークコントローラ２２０ａとを備える。通信コントローラ２１０ａは、制御部１００ａが備える通信コントローラ１１０ａとの間でデータの遣り取りを担当する。通信コントローラ２１０ａを介して取得された制御部１００ａからのデータは、ネットワークコントローラ２２０ａのポート２２０１ａを介して外部装置７００ａに送信される。

なお、制御部１００ａおよび中継部２００ａは、各々別の装置に含まれてもよいし、同じ装置に含まれてもよい。たとえば、制御部１００ａを有する装置の一例であるＰＬＣは、制御部１００ａの機能を有する一方で中継部２００ａの機能を有さなくてもよいし、あるいは、制御部１００ａの機能を有するとともに中継部２００ａの機能を有していてもよい。

このような構成を有する制御システム１ａにおいては、外部装置７００ａは、中継部２００ａを介して制御部１００ａにアクセスすることで、制御部１００ａから各種データを収集して蓄積する。ここで、制御システム１ａが属するＦＡ分野においては、外部装置７００ａが所謂レガシーアプリケーションとなっていることが多い。このため、このような従前から使用している外部装置７００ａと制御部１００ａとの間の通信についてセキュアな状態を保証するためにＶＰＮなどの比較的新しいセキュリティ技術を実装しようとした場合、システム全体を大幅に変更することになり兼ねず、コストが大きく掛かったり、生産現場の稼働を一時的に停止させたりする必要が生じる。

そこで、本実施の形態においては、レガシーアプリケーションを変更することなくセキュリティを向上させる技術が提案されている。

具体的には、中継部２００ａは、受付部２３０ａと、認証部２４０ａと、アクセス管理部２５０ａとを備える。受付部２３０ａは、要求元５００ａからの認証要求を受け付ける。認証部２４０ａは、受付部２３０ａによって認証要求が受け付けられたときに要求元５００ａの正当性を認証する。アクセス管理部２５０ａは、認証部２４０ａによって要求元５００ａの正当性が認証されたことを条件に、制御部１００ａに対する外部装置７００ａからのアクセスの制限レベルを制御する。

要求元５００ａとは、制御部１００ａに対する外部装置７００ａからのアクセスを要求する一連の処理を開始する（キックする）機能部である。要求元５００ａは、制御部１００ａとは別の装置に含まれてもよいし、制御部１００ａと同じ装置に含まれてもよい。たとえば、制御部１００ａを有する装置の一例であるＰＬＣは、制御部１００ａの機能を有する一方で要求元５００ａの機能を有さなくてもよいし、制御部１００ａの機能を有するとともに要求元５００ａの機能を有していてもよい。

「要求元の正当性」とは、たとえば、制御部１００ａに対する外部装置７００ａからのアクセスの制限レベルを制御することを要求元５００ａに許可してもよいという性質を含む。言い換えると、要求元５００ａの正当性が認証されると、制御部１００ａに対する外部装置７００ａからのアクセスの制限レベルを制御することが要求元５００ａに対して許可される。

認証部２４０ａは、所定の認証用データに基づき、要求元５００ａの正当性を認証する。たとえば、認証部２４０ａによる要求元５００ａの正当性を認証する手法には、利用者のＩＤおよびパスワードを利用したパスワード認証、利用者の指紋や顔画像などの身体的特徴を利用した生体認証、認証局によって発行された電子証明書を利用した証明書認証、秘密鍵／公開鍵や共通鍵などの鍵データを用いた鍵認証など、セキュリティを担保することができる認証であればいずれも適用することができる。つまり、「所定の認証用データ」には、パスワード認証におけるＩＤおよびパスワード、生体認証における利用者の身体的特徴、証明書認証における電子証明書、鍵認証における鍵データなどが含まれる。さらに、認証部２４０ａは、要求元５００ａからの通信を秘匿化した状態で当該要求元５００ａの正当性を認証する。秘匿化する代表的な手法としては、ＶＰＮなどのセキュリティを向上させるための技術を適用することができる。

「アクセスの制限レベル」とは、制御部１００ａに対する外部装置７００ａからのアクセスの禁止状態または許可状態の有無を示す度合いである。たとえば、制御部１００ａに対する外部装置７００ａからのアクセスが禁止状態から許可状態に制御された場合、アクセスの制限レベルが下がり、制御部１００ａに対する外部装置７００ａからのアクセスが許可状態から禁止状態に制御された場合、アクセスの制限レベルが上がる。

また、制御部１００ａに対する外部装置７００ａからのアクセスの制限は、一のポート２２０１ａに限らず、複数のポートの各々に対して課せられてもよい。たとえば、制御部１００ａに対する外部装置７００ａからのアクセスについて、第１のポートに対するアクセスが禁止状態から許可状態に制御され、かつ第２のポートに対するアクセスが禁止状態から許可状態に制御された場合、アクセスの制限レベルが下がり、第１のポートに対するアクセスが禁止状態から許可状態に制御され、かつ第２のポートに対するアクセスが許可状態または禁止状態で維持された場合、アクセスの制限レベルが下がり、第１のポートに対するアクセスが許可状態または禁止状態で維持され、かつ第２のポートに対するアクセスが禁止状態から許可状態に制御された場合、アクセスの制限レベルが下がる。一方、制御部１００ａに対する外部装置７００ａからのアクセスについて、第１のポートに対するアクセスが許可状態から禁止状態に制御され、かつ第２のポートに対するアクセスが許可状態から禁止状態に制御された場合、アクセスの制限レベルが上がり、第１のポートに対するアクセスが許可状態から禁止状態に制御され、かつ第２のポートに対するアクセスが許可状態または禁止状態で維持された場合、アクセスの制限レベルが上がり、第１のポートに対するアクセスが許可状態または禁止状態で維持され、かつ第２のポートに対するアクセスが許可状態から禁止状態に制御された場合、アクセスの制限レベルが上がる。

つまり、制御部１００ａに対する外部装置７００ａからのアクセスがより制限される方向に制御される場合、アクセスの制限レベルが上がり、制御部１００ａに対する外部装置７００ａからのアクセスがより制限されない方向に制御される場合、アクセスの制限レベルが下がる。

中継部２００ａは、上述したように構成されることによって、以下のように動作する。具体的には、中継部２００ａは、受付部２３０ａによって要求元５００ａからの認証要求を受け付ける。このような処理を、受付ステップと称する。次に、中継部２００ａは、認証部２４０ａによって要求元５００ａの正当性を認証する。このような処理を、認証ステップと称する。中継部２００ａは、要求元５００ａの正当性が認証されたことを条件に、アクセス管理部２５０ａによって制御部１００ａに対する外部装置７００ａからのアクセスの制限レベルを制御する。このような処理を、アクセス管理ステップと称する。なお、中継部２００ａによって制御部１００ａに対する外部装置７００ａからのアクセスの制限レベルを制御する一連の処理を、以下ではアクセス管理処理とも称する。

このように、制御システム１ａによれば、制御部１００ａに対する外部装置７００ａからのアクセスを中継する中継部２００ａによって要求元５００ａの正当性が認証されたことを条件に、制御部１００ａに対する外部装置７００ａからのアクセスの制限レベルが中継部２００ａによって制御されるため、レガシーアプリケーションである外部装置７００ａを変更することなくセキュリティを向上させることができる。

なお、外部装置７００ａは、１つに限らず、複数あってもよい。つまり、複数の外部装置７００ａの各々から制御部１００ａに対してアクセス可能であってもよく。複数の外部装置７００ａの各々に対して、アクセスの制限レベルが制御されてもよい。

上述した、制御部１００ａ、中継部２００ａ、要求元５００ａ、受付部２３０ａ、認証部２４０ａ、およびアクセス管理部２５０ａは、コンピュータや回路基板によって実現され得る。以下、これら各機能部を装置に搭載した場合の例について説明する。

＜Ｂ．制御システムのハードウェア構成＞
図２は、本実施の形態に係る制御システム１のハードウェア構成例を示す模式図である。図２に示すように、制御システム１は、制御装置１００と、中継装置２００と、１または複数の機能ユニット４００と、電源ユニット４５０とを備える。

制御装置１００と中継装置２００との間は、任意のデータ伝送路（たとえば、ＰＣＩ Ｅｘｐｒｅｓｓまたはイーサネット（登録商標）など）を介して接続されている。制御装置１００と１または複数の機能ユニット４００との間は、内部バスを介して接続されている。

制御装置１００は、制御システム１において中心的な処理を実行する。制御装置１００は、任意に設計された要求仕様に従って、制御対象を制御するための制御演算を実行する。図２に示す構成例において、制御装置１００は、１または複数の通信ポートを有しており、そのうちの１つの通信ポートは１または複数のＨＭＩ（Human Machine Interface）６００と通信可能に接続されている。

中継装置２００は、制御装置１００に接続され、他の装置との間の通信機能を担当する。図２に示す構成例において、中継装置２００は、１または複数の通信ポートを有しており、そのうちの１つの通信ポートはネットワーク１１を介してサポート装置５００と通信可能に接続され、他の１つの通信ポートはネットワーク１２を介して１または複数の外部装置７００と通信可能に接続されている。

機能ユニット４００は、制御システム１による様々な制御対象に対する制御を実現するための各種機能を提供する。機能ユニット４００は、典型的には、Ｉ／Ｏユニット、セーフティＩ／Ｏユニット、通信ユニット、モーションコントローラユニット、温度調整ユニット、パルスカウンタユニットなどを含む。Ｉ／Ｏユニットとしては、たとえば、デジタル入力（ＤＩ）ユニット、デジタル出力（ＤＯ）ユニット、アナログ入力（ＡＩ）ユニット、アナログ出力（ＡＯ）ユニット、パルスキャッチ入力ユニット、および複数の種類を混合させた複合ユニットなどが挙げられる。

電源ユニット４５０は、制御システム１を構成する各ユニットに対して、所定電圧の電源を供給する。

＜Ｃ．制御システムにおける構成のバリエーション＞
図３は、本実施の形態に係る制御システムにおける構成のバリエーションを示す表である。図１の適用例において説明した、制御部１００ａ、中継部２００ａ、要求元５００ａ、受付部２３０ａ、認証部２４０ａ、およびアクセス管理部２５０ａの各機能部は、図２に示す制御システム１における制御装置１００、中継装置２００、およびサポート装置５００のいずれかに属することができる。

図３に示すように、パターン１に係る制御システムでは、制御装置１００が、制御部１００ａの機能を有し、中継装置２００が、中継部２００ａ、受付部２３０ａ、認証部２４０ａ、およびアクセス管理部２５０ａの機能を有し、サポート装置５００が、要求元５００ａの機能を有する。

パターン２に係る制御システムでは、制御装置１００が、制御部１００ａおよび要求元５００ａの機能を有し、中継装置２００が、中継部２００ａ、受付部２３０ａ、認証部２４０ａ、およびアクセス管理部２５０ａの機能を有する。

パターン３に係る制御システムでは、パターン１に係る制御システムにおいて制御装置１００と中継装置２００とが一体型になっている。すなわち、パターン３に係る制御システムでは、制御装置１００と中継装置２００とが一体型になった装置が、制御部１００ａ、中継部２００ａ、受付部２３０ａ、認証部２４０ａ、およびアクセス管理部２５０ａの機能を有し、サポート装置５００が、要求元５００ａの機能を有する。

パターン４に係る制御システムでは、制御装置１００と中継装置２００とが一体型になった装置が、制御部１００ａ、中継部２００ａ、要求元５００ａ、受付部２３０ａ、認証部２４０ａ、およびアクセス管理部２５０ａの機能を有する。

なお、本実施の形態においては、図９～図１１に示す例を用いてパターン１に係る制御システムの機能を説明し、図１２に示す例を用いてパターン２に係る制御システムの機能を説明する。

＜Ｄ．制御装置のハードウェア構成例＞
図４は、本実施の形態に係る制御装置のハードウェア構成例を示す模式図である。図４に示すように、制御装置１００は、主たるコンポーネントとして、ＣＰＵ（Central Processing Unit）またはＧＰＵ（Graphical Processing Unit）などのプロセッサ１０２と、チップセット１０４と、主記憶装置１０６と、二次記憶装置１０８と、通信コントローラ１１０と、メモリカードインターフェイス１１４と、ネットワークコントローラ１４４，１４６と、内部バスコントローラ１２２とを含む。

プロセッサ１０２は、二次記憶装置１０８に格納された各種プログラムを読み出して、主記憶装置１０６に展開して実行することで、各種の機能を実現する。

チップセット１０４は、プロセッサ１０２と各コンポーネントとの間のデータの遣り取りを仲介することで、制御装置１００全体としての機能を実現する。

主記憶装置１０６は、ＤＲＡＭ（Dynamic Random Access Memory）およびＳＲＡＭ（Static Random Access Memory）などの揮発性記憶装置などで構成される。

二次記憶装置１０８は、たとえば、ＨＤＤ（Hard Disk Drive）およびＳＳＤ（Solid State Drive）などの不揮発性記憶装置などで構成される。二次記憶装置１０８には、基本的な機能を提供するシステムプログラム１８０２に加えて、ユーザにより任意に作成されたユーザプログラム１８０４が格納される。ユーザプログラム１８０４は、システムプログラム１８０２が提供する実行環境上で動作する。

通信コントローラ１１０は、中継装置２００との間のデータの遣り取りを担当する。通信コントローラ１１０としては、たとえば、ＰＣＩ Ｅｘｐｒｅｓｓまたはイーサネット（登録商標）などに対応する通信チップを採用できる。

メモリカードインターフェイス１１４は、メモリカード１１５を着脱可能に構成されており、メモリカード１１５に対してユーザプログラムや各種設定などのデータを書き込み、あるいは、メモリカード１１５からユーザプログラムや各種設定などのデータを読み出すことが可能になっている。

ネットワークコントローラ１４４，１４６の各々は、ネットワークを介した任意のデバイスとの間のデータの遣り取りを担当する。ネットワークコントローラ１４４，１４６は、ＥｔｈｅｒＣＡＴ（登録商標）、ＥｔｈｅｒＮｅｔ／ＩＰ（登録商標）、ＤｅｖｉｃｅＮｅｔ（登録商標）、ＣｏｍｐｏＮｅｔ（登録商標）などの産業用ネットワークプロトコルを採用してもよい。

ネットワークコントローラ１４４は、１または複数のフィールドデバイス８００との間のデータの遣り取りを担当する。フィールドデバイス８００は、制御対象から制御演算に必要な各種情報を収集するセンサおよび検出器、または、制御対象に対して何らかの作用を与えるアクチュエータなどを含む。フィールドデバイス８００は、ワークに対して何らかの外的な作用を与えるロボット、ワークを搬送するコンベヤ、フィールドに配置されたセンサおよびアクチュエータとの間で信号を遣り取りするＩ／Ｏユニットなどを含む。

ネットワークコントローラ１４６は、ＨＭＩ６００との間のデータの遣り取りを担当する。ＨＭＩ６００は、制御システム１での制御演算によって得られる各種情報をユーザ（オペレータ）へ提示するとともに、ユーザからの操作に従って、制御システム１に対して内部コマンドなどを生成する。

内部バスコントローラ１２２は、１または複数の機能ユニット４００との間のデータの遣り取りを担当する。内部バスには、メーカ固有の通信プロトコルを用いてもよいし、いずれかの産業用ネットワークプロトコルと同一または準拠した通信プロトコルを用いてもよい。

図４には、プロセッサ１０２がプログラムを実行することで必要な機能が提供される構成例を示したが、これらの提供される機能の一部または全部を、専用のハードウェア回路（たとえば、ＡＳＩＣ（Application Specific Integrated Circuit）またはＦＰＧＡ（Field-Programmable Gate Array）など）を用いて実装してもよい。あるいは、制御装置１００の主要部を、汎用的なアーキテクチャに従うハードウェア（たとえば、汎用パソコンをベースとした産業用パソコン）を用いて実現してもよい。この場合には、仮想化技術を用いて、用途の異なる複数のＯＳ（Operating System）を並列的に実行させるとともに、各ＯＳ上で必要なアプリケーションを実行させるようにしてもよい。

＜Ｅ．中継装置のハードウェア構成例＞
図５は、本実施の形態に係る中継装置２００のハードウェア構成例を示す模式図である。図５に示すように、中継装置２００は、主たるコンポーネントとして、ＣＰＵまたはＧＰＵなどのプロセッサ２０２と、チップセット２０４と、主記憶装置２０６と、二次記憶装置２１６と、通信コントローラ２１０と、メモリカードインターフェイス２１４と、ネットワークコントローラ２０８，２２０とを備える。

プロセッサ２０２は、二次記憶装置２１６に格納された各種プログラムを読み出して、主記憶装置２０６に展開して実行することで、各種の機能を実現する。

チップセット２０４は、プロセッサ２０２と各コンポーネントとの間のデータの遣り取りを仲介することで、中継装置２００全体としての機能を実現する。

二次記憶装置２１６には、基本的な機能を提供するシステムプログラムに加えて、システムプログラムが提供する実行環境上で動作する各種のプログラムが格納される。たとえば、二次記憶装置２１６には、図１で示した受付ステップ、認証ステップ、およびアクセス管理ステップなどからなるアクセス管理処理を実行するためのアクセス管理プログラム２８０２が格納されている。

また、二次記憶装置２１６には、アクセス管理ステップにおいて参照されるアクセス管理リスト２８０４、認証ステップにおいて参照される認証用データ２８０６、およびフィルタログ２８０８が格納される。アクセス管理リスト２８０４については、図６および図７を参照しながら説明する。認証用データ２８０６は、要求元の正当性を認証するためのデータであり、上述したように、パスワード認証におけるＩＤおよびパスワード、生体認証における利用者の身体的特徴、証明書認証における電子証明書、鍵認証における鍵データなどが含まれる。フィルタログ２８０８は、制御装置１００に対する外部装置７００からのアクセスに関するログであり、たとえば、制御装置１００に対する外部装置７００からのアクセスの成功や失敗の有無といったアクセス履歴などの特定の情報を含む。これにより、中継装置２００は、制御装置１００に対する外部装置７００からのアクセスに関するログを残すことができるため、制御装置１００に対する外部装置７００からのアクセスに関して管理し易くなる。

通信コントローラ２１０は、制御装置１００との間のデータの遣り取りを担当する。通信コントローラ２１０としては、制御装置１００の通信コントローラ２１０と同様に、たとえば、ＰＣＩ Ｅｘｐｒｅｓｓあるいはイーサネットなどに対応する通信チップを採用できる。

メモリカードインターフェイス２１４は、メモリカード２１５を着脱可能に構成されており、メモリカード２１５に対してユーザプログラムおよび各種設定などのデータを書き込み、あるいは、メモリカード２１５からユーザプログラムおよび各種設定などのデータを読み出すことが可能になっている。

ネットワークコントローラ２０８，２２０の各々は、ネットワークを介して任意のデバイスとの間のデータの遣り取りを担当する。ネットワークコントローラ２０８，２２０の各々は、イーサネット（登録商標）などの汎用的なネットワークプロトコルを採用してもよい。本実施の形態においては、たとえば、ネットワークを介して、サポート装置５００および外部装置７００が中継装置２００に接続される。

図５には、プロセッサ２０２がプログラムを実行することで必要な機能が提供される構成例を示したが、これらの提供される機能の一部または全部を、専用のハードウェア回路（たとえば、ＡＳＩＣまたはＦＰＧＡなど）を用いて実装してもよい。あるいは、中継装置２００の主要部を、汎用的なアーキテクチャに従うハードウェア（たとえば、汎用パソコンをベースとした産業用パソコン）を用いて実現してもよい。この場合には、仮想化技術を用いて、用途の異なる複数のＯＳを並列的に実行させるとともに、各ＯＳ上で必要なアプリケーションを実行させるようにしてもよい。

＜Ｆ．アクセス管理リストに含まれるポート管理リスト＞
図６は、本実施の形態に係るアクセス管理リスト２８０４に含まれるポート管理リストを示す表である。図６に示すように、アクセス管理リスト２８０４には、制御装置１００の段階（状態）を管理するための複数種類の管理モードＸ（Ｘ＝１～３）に対して、制御装置１００に対する外部装置７００のアクセス経路となるネットワークコントローラ２２０に含まれる１または複数のポートα（α＝１～３）が割り当てられたリストが含まれる。

ポート１には、たとえば、ＯＰＣＵＡ（Object Linking and Embedding for Process Control Unified Architecture）などのネットワークプロトコルが採用される。ポート２には、たとえば、イーサネットなどのネットワークプロトコルが採用される。ポート３には、たとえば、ＦＩＮＳといった装置メーカ特有のネットワークプロトコルが採用される。

管理モード１は制御装置１００を含むシステムの開発段階を示すモードであるが、システムの開発段階においては、ポート１～３の全ての通信が用いられるため、管理モード１の場合、ポート１～３の全てにおいて通信を許可する必要がある。

管理モード２は制御装置１００を含むシステムの稼働段階を示すモードであるが、システムの稼働段階においては、ポート１のみの通信を利用するため、管理モード１の場合、ポート１のみにおいて通信を確立する必要がある。

管理モード３は制御装置１００を含むシステムの保守段階を示すモードであるが、システムの保守段階においては、ポート１およびポート２の通信を利用するため、管理モード３の場合、ポート１およびポート２において通信を確立する必要がある。

制御システム１においては、アクセス管理処理によって制御装置１００に対する外部装置７００からのアクセスの制限レベルを制御する際、現在の管理モードの種類に応じて、対応するポートにおいて制御装置１００に対する外部装置７００からのアクセスが許可される。たとえば、アクセス管理ステップによれば、管理モード１の場合、ポート１～３の全てにおいて制御装置１００に対する外部装置７００からのアクセスが許可され、管理モード２の場合、ポート１のみにおいて制御装置１００に対する外部装置７００からのアクセスが許可される一方、ポート２およびポート３において制御装置１００に対する外部装置７００からのアクセスが禁止され、管理モード３の場合、ポート１およびポート２において制御装置１００に対する外部装置７００からのアクセスが許可される一方、ポート３において制御装置１００に対する外部装置７００からのアクセスが禁止される。

このように、管理モードの種類に応じて、制御装置１００に対する外部装置７００からのアクセスの制限レベルが中継装置２００によって制御されるため、運用面を考慮しつつセキュリティを向上させることができる。

＜Ｇ．アクセス管理リストに含まれるＩＰアドレス管理リスト＞
図７は、本実施の形態に係るアクセス管理リスト２８０４に含まれるＩＰアドレス管理リストを示す表である。図７に示すように、ＩＰアドレス管理リストには、所謂、ブラックリストが含まれる。ブラックリストには、明示的にアクセスを禁止する特定のＩＰアドレスが規定されている。なお、アクセス管理リスト２８０４には、ブラックリストに限らず、明示的にアクセスを許可する特定のＩＰアドレスを規定するホワイトリストが含まれてもよい。

制御システム１においては、アクセス管理処理によって制御装置１００に対する外部装置７００からのアクセスの制限レベルを制御する際、ポート管理リストに基づき、現在の管理モードの種類に応じて、対応するポートにおいて制御装置１００に対する外部装置７００からのアクセスが許可されるが、さらに、ＩＰアドレス管理リストで規定されたＩＰアドレスからのアクセスについては禁止される。

このように、制御装置１００に対する外部装置７００からのアクセスの制限レベルを制御するためのＩＰアドレス管理リストを用いて、セキュリティを向上させることができる。

＜Ｈ．サポート装置のハードウェア構成例＞
図８は、本実施の形態に係るサポート装置５００のハードウェア構成例を示す模式図である。サポート装置５００は、一例として、汎用的なアーキテクチャに従うハードウェア（たとえば、汎用パソコン）を用いて実現される。図８に示すように、サポート装置５００は、ＣＰＵおよびＧＰＵなどのプロセッサ５０２と、主記憶装置５０４と、入力部５０６と、出力部５０８と、二次記憶装置５１０と、光学ドライブ５１２と、ネットワークコントローラ５２０とを備える。これらのコンポーネントは、プロセッサバス５１８を介して接続されている。

プロセッサ５０２は、二次記憶装置５１０に格納されたプログラムを読み出して、主記憶装置５０４に展開して実行することで、各種の機能を実現する。

二次記憶装置５１０には、基本的な機能を実現するためのＯＳ５１０２に加えて、中継装置２００によって実行されるアクセス管理処理に関するプログラムとしてアクセス管理アプリケーション５１０４と、認証用データ５１０６とが格納される。アクセス管理アプリケーション５１０４は、たとえば、サポート装置５００が図１に示す要求元５００ａとして機能した場合に、アクセス管理処理を開始する（キックする）ための処理などが規定されており、アクセス管理アプリケーション５１０４が実行されることで、サポート装置５００から中継装置２００に対して認証要求が送信される。認証用データ５１０６は、要求元であるサポート装置５００を利用するユーザの正当性を認証するためのデータであり、上述したように、パスワード認証におけるＩＤおよびパスワード、生体認証における利用者の身体的特徴、証明書認証における電子証明書、鍵認証における鍵データなどが含まれる。

入力部５０６は、キーボードやマウスなどで構成され、ユーザ操作を受け付ける。出力部５０８は、ディスプレイ、各種インジケータ、プリンタなどで構成され、プロセッサ５０２からの処理結果などを出力する。

サポート装置５００は、光学ドライブ５１２を有しており、コンピュータ読取可能な命令を非一過的に格納する記録媒体５１４（たとえば、ＤＶＤ（Digital Versatile Disc）などの光学記録媒体）から、その中に格納されたプログラムが読取られて二次記憶装置５１０などにインストールされる。

サポート装置５００で実行される各種プログラムは、コンピュータ読取可能な記録媒体５１４を介してインストールされてもよいが、ネットワーク上のサーバ装置などからダウンロードする形でインストールするようにしてもよい。また、本実施の形態に従うサポート装置５００が提供する機能は、ＯＳが提供するモジュールの一部を利用する形で実現される場合もある。

ネットワークコントローラ５２０は、ネットワークを介した任意のデバイスとの間のデータの遣り取りを担当する。ネットワークコントローラ５２０は、イーサネット（登録商標）などの汎用的なネットワークプロトコルを採用してもよい。本実施の形態においては、たとえば、ネットワークを介して、中継装置２００がサポート装置５００に接続される。

図８には、プロセッサ５０２がプログラムを実行することで、サポート装置５００として必要な機能が提供される構成例を示したが、これらの提供される機能の一部または全部を、専用のハードウェア回路（たとえば、ＡＳＩＣまたはＦＰＧＡなど）を用いて実装してもよい。

＜Ｉ．制御システムにおけるアクセス管理処理の一例＞
図９は、本実施の形態に係る制御システム１におけるアクセス管理処理の一例を示す模式図である。なお、上述したように、図９～図１１には、図３に示したパターン１に係る制御システム１において実行されるアクセス管理処理の一例が示されている。

図９に示すように、まず、要求元であるサポート装置５００がアクセス管理アプリケーション５１０４を実行すると、サポート装置５００から中継装置２００に対して認証要求が行われる。このとき、サポート装置５００からは、ユーザによって入力された認証用データ５１０６が中継装置２００に送信される。

中継装置２００は、ネットワークコントローラ２０８に含まれる通信ポート２０８１を介して、サポート装置５００から認証要求を受け付けると、サポート装置５００からの認証用データ５１０６と自身が保持する認証用データ２８０６とを照合するなどして、要求元であるサポート装置５００を利用するユーザの正当性を認証する。サポート装置５００を利用するユーザの正当性の認証は、ＶＰＮ認証によって秘匿化されているため、セキュリティが担保されている。このような認証処理は、アクセス管理プログラム２８０２に従って実行される。

中継装置２００は、サポート装置５００を利用するユーザの正当性を認証すると、サポート装置５００に対して認証許可を通知する。これにより、ＶＰＮ認証によってセキュリティが担保された状態で、サポート装置５００と中継装置２００との間の通信が確立する。

サポート装置５００は、アクセス管理アプリケーション５１０４に従って、制御装置１００に対する外部装置７００からのアクセスの有効化を中継装置２００に対して要求する。

これに対して、中継装置２００は、アクセス管理プログラム２８０２に従ったアクセス管理処理によって、ネットワークコントローラ２２０に含まれる通信ポート２２０１を介して、中継装置２００に対する外部装置７００からのアクセスを有効化する。このとき、中継装置２００は、アクセス管理プログラム２８０２に従って、アクセス管理リスト２８０４に基づき、サポート装置５００によって要求された管理モードに対応する通信ポートにおけるアクセスのみを許可する一方で、対象外の通信ポートにおけるアクセスを禁止するように、ネットワークコントローラ２２０を制御する。

それ以降、アクセスが許可された通信ポートについては、外部装置７００からのアクセスが許可され、外部装置７００は、中継装置２００を介して、制御装置１００からの各種データを取得することができる。

このように、制御装置１００に対する外部装置７００からのアクセスを中継する中継装置２００によって要求元であるサポート装置５００を利用するユーザの正当性が認証されたことを条件に、制御装置１００に対する外部装置７００からのアクセスの制限レベルが中継装置２００によって制御されるため、レガシーアプリケーションである外部装置７００を変更することなくセキュリティを向上させることができる。

＜Ｊ．制御システムにおけるアクセス管理処理のシーケンス＞
図１０は、本実施の形態に係る制御システム１におけるアクセス管理の方法の一例を示すシーケンス図である。なお、図１０において、サポート装置５００では、プロセッサ５０２がアクセス管理アプリケーション５１０４を実行することで処理が進み、中継装置２００では、プロセッサ２０２がアクセス管理プログラム２８０２を実行することで処理が進み、外部装置７００では、外部装置７００が備える図示しないプロセッサがデータ通信アプリケーション７０１０を実行することで処理が進むように、シーケンスが示されている。特に、プロセッサ２０２は、アクセス管理プログラム２８０２を実行することで、図１に示す受付部２３０ａ、認証部２４０ａ、およびアクセス管理部２５０ａの機能を実現する。

図１０に示すように、まず、要求元であるサポート装置５００は、中継装置２００に対して認証要求を行う（Ｓ５１）。中継装置２００は、サポート装置５００から認証要求を受け付けると（Ｓ２１）、サポート装置５００を利用するユーザの正当性を認証する。中継装置２００は、サポート装置５００を利用するユーザの正当性を認証すると、サポート装置５００に対して認証許可を通知する（Ｓ２２）。これにより、ＶＰＮ認証によってセキュリティが担保された状態で、サポート装置５００と中継装置２００との間の通信が確立する。

セキュリティが担保された状態でサポート装置５００と中継装置２００との通信が確立すると、サポート装置５００は、ユーザなどから管理モードＸ（Ｘ＝１～３）の選択を受け付ける（Ｓ５２）。サポート装置５００は、選択された管理モードＸに応じたポートα（α＝１～３）におけるアクセスの有効化を中継装置２００に対して要求する（Ｓ５３）。

これに対して、中継装置２００は、アクセス管理リスト２８０４に基づき、選択された管理モードＸに応じたポートαのアクセスの有効化をネットワークコントローラ２２０に指令する（Ｓ２４）。これに従って、中継装置２００のネットワークコントローラ２２０は、選択された管理モードＸに応じたポートαのアクセスの有効化を設定する（Ｓ２５）
。

それ以降、アクセスが許可された通信ポートについては、外部装置７００からのアクセスが許可され、外部装置７００は、中継装置２００を介して、制御装置１００からの各種データを取得することができる。たとえば、ポートαのアクセスが有効化される前に、外部装置７００がポートαに対してアクセス応答した場合（Ｓ７１）、ネットワークコントローラ２２０から応答されない（Ｓ２３）が、ポートαのアクセスが有効化された後に、外部装置７００がポートαに対してアクセス応答した場合（Ｓ７２）、ネットワークコントローラ２２０から応答される（Ｓ２６）。

このように、制御装置１００に対する外部装置７００からのアクセスを管理するアクセス管理プログラム２８０２によって要求元であるサポート装置５００を利用するユーザの正当性が認証されたことを条件に、制御装置１００に対する外部装置７００からのアクセスの制限レベルがアクセス管理プログラム２８０２によって制御されるため、レガシーアプリケーションである外部装置７００を変更することなくセキュリティを向上させることができる。

＜Ｋ．制御システムにおけるアクセス管理処理についてインシデントが発生した場合＞
図１１は、本実施の形態に係る制御システム１におけるアクセス管理処理についてインシデントが発生した場合の一例を示す模式図である。

図１１に示すように、制御装置１００に対して他の外部装置９００からのアクセスが許可されていた場合において、インシデントが発生した場合を想定する。なお、この時点では、他の外部装置９００のＩＰアドレスは、図７に示すアクセス管理リスト２８０４内のブラックリストに含まれていないとする。インシデントが発生すると、ＨＭＩ６００にインシデントが発生した旨を示す画像が表示される。さらに、ＨＭＩ６００においては、インシデントを発生させた他の外部装置９００のＩＰアドレスと、当該外部装置９００からのアクセスを無効にするか否かを選択させるための画像が表示される。

ユーザが、外部装置９００からのアクセスを無効にする旨を承認（たとえば、画面上でＹＥＳを選択）すると、サポート装置５００から中継装置２００に対して、制御装置１００に対する他の外部装置９００からのアクセスの無効化が要求される。

これに対して、中継装置２００は、アクセス管理リスト２８０４内のブラックリストを更新して、インシデントを発生させた他の外部装置９００のＩＰアドレスをブラックリストに規定する。それ以降、制御装置１００に対して他の外部装置９００からのアクセスが禁止される。

このように、制御システム１においては、制御装置１００に対する外部装置７００からのアクセスの制限レベルを制御するためのアクセス管理リスト２８０４を用いて、セキュリティを向上させることができる。さらに、アクセス管理リスト２８０４は、制御装置１００に対する他の外部装置９００からのアクセスにおいてインシデントが発生した場合に更新されるため、インシデントの発生を考慮したアクセス管理リスト２８０４を用いて、セキュリティを向上させることができる。

＜Ｌ．別の実施の形態に係る制御システムにおけるアクセス管理処理＞
図１２は、別の実施の形態に係る制御システム１０００におけるアクセス管理処理の一例を示す模式図である。なお、上述したように、図１２には、図３に示したパターン２に係る制御システム１０００において実行されるアクセス管理処理の一例が示されている。

図１２に示すパターン２に係る制御システム１０００は、図９に示したパターン１に係る制御システム１とは異なり、制御装置１００が要求元になっている。具体的には、まず、要求元である制御装置１００においては、ユーザプログラム１８０４からの命令に従って、通信コントローラ１１０が、中継装置２００の通信コントローラ２１０に対して認証要求を行う。このとき、制御装置１００からは、認証用データが中継装置２００に送信される。

中継装置２００は、通信コントローラ２１０を介して、制御装置１００から認証要求を受け付けると、制御装置１００からの認証用データと自身が保持する認証用データ２８０６とを照合するなどして、要求元である制御装置１００の正当性を認証する。制御装置１００の正当性の認証は、ＶＰＮ認証によって秘匿化されているため、セキュリティが担保されている。このような認証処理は、アクセス管理プログラム２８０２に従って実行される。

中継装置２００は、制御装置１００の正当性を認証すると、制御装置１００に対して認証許可を通知する。これにより、ＶＰＮ認証によってセキュリティが担保された状態で、制御装置１００と中継装置２００との間の通信が確立する。

中継装置２００は、アクセス管理プログラム２８０２に従ったアクセス管理処理によって、ネットワークコントローラ２２０に含まれる通信ポート２２０１を介して、中継装置２００に対する外部装置７００からのアクセスを有効化する。このとき、中継装置２００は、アクセス管理プログラム２８０２に従って、アクセス管理リスト２８０４に基づき、制御装置１００によって要求された管理モードに対応する通信ポートにおけるアクセスのみを許可する一方で、対象外の通信ポートにおけるアクセスを禁止するように、ネットワークコントローラ２２０を制御する。

それ以降、アクセスが許可された通信ポートについては、外部装置７００からのアクセスが許可され、外部装置７００は、中継装置２００を介して、制御装置１００からの各種データを取得することができる。

＜Ｍ．付記＞
以上のように、本実施の形態では以下のような開示を含む。

（構成１）
制御対象を制御する制御システム（１ａ，１）であって、
前記制御対象を制御するとともに外部装置（７００ａ，７００）との間で通信する制御部（１００ａ，１００）と、
前記制御部に対する前記外部装置からのアクセスを中継する中継部（２００ａ，２００）とを備え、
前記中継部は、
要求元から認証要求を受け付ける受付部（２３０ａ，２０２）と、
前記受付部によって前記認証要求が受け付けられたときに前記要求元の正当性を認証する認証部（２４０ａ，２０２）と、
前記認証部によって前記要求元の正当性が認証されたことを条件に、前記制御部に対する前記外部装置からのアクセスの制限レベルを制御するアクセス管理部（２５０ａ，２０２）とを含む、制御システム（１ａ，１）。

（構成２）
前記認証部は、所定の認証用データに基づき前記要求元の正当性を認証する、構成１の制御システム。

（構成３）
前記認証部は、前記要求元からの通信を秘匿化した状態で当該要求元の正当性を認証する、構成２の制御システム。

（構成４）
前記制御部は、管理モードの種類に応じて前記外部装置との間で通信し、
前記アクセス管理部は、前記管理モードの種類に応じて前記外部装置からのアクセスの制限レベルを制御する、構成１～構成３のいずれかの制御システム。

（構成５）
前記中継部は、前記制御部に対する前記外部装置からのアクセスに関するログ（２８０８）を残す、構成１～構成４のいずれかの制御システム。

（構成６）
前記アクセス管理部は、前記認証部によって前記要求元の正当性が認証されたことを条件に、前記制御部に対する前記外部装置からのアクセスの制限レベルを制御するためのリスト（２８０４）に基づき、前記制御部に対する前記外部装置からのアクセスの制限レベルを制御する、構成１～構成５のいずれかの制御システム。

（構成７）
前記リストは、前記制御部に対する前記外部装置からのアクセスにおいてインシデントが発生した場合に更新される、構成６の制御システム。

（構成８）
制御対象を制御する制御装置（１００ａ，１００）に対する外部装置（７００ａ，７００）からのアクセスを中継する中継装置（２００ａ，２００）であって、
要求元から認証要求を受け付ける受付部（２３０ａ，２０２）と、
前記受付部によって前記認証要求が受け付けられたときに前記要求元の正当性を認証する認証部（２４０ａ，２０２）と、
前記認証部によって前記要求元の正当性が認証されたことを条件に、前記制御装置に対する前記外部装置からのアクセスの制限レベルを制御するアクセス管理部（２５０ａ，２０２）とを含む、中継装置（２００ａ，２００）。

（構成９）
制御対象を制御する制御装置（１００ａ，１００）に対する外部装置（７００ａ，７００）からのアクセスを管理するアクセス管理プログラム（２８０２）であって、
前記アクセス管理プログラムは、コンピュータ（２０２）に、
要求元から認証要求を受け付ける受付ステップ（Ｓ２１）と、
前記受付ステップによって前記認証要求が受け付けられたときに前記要求元の正当性を認証する認証ステップ（Ｓ２２）と、
前記認証ステップによって前記要求元の正当性が認証されたことを条件に、前記制御装置に対する前記外部装置からのアクセスの制限レベルを制御するアクセス管理ステップ（Ｓ２４）とを含む、アクセス管理プログラム（２８０２）。

＜Ｈ．利点＞
本実施の形態に係る制御システム１によれば、レガシーアプリケーションである外部装置７００を変更することなくセキュリティを向上させることができる。

今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記した説明ではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

１，１ａ，１０００ 制御システム、１１，１２ ネットワーク、１００ 制御装置、１００ａ 制御部、１０２，２０２，５０２ プロセッサ、１０４，２０４ チップセット、１０６，２０６，５０４ 主記憶装置、１０８，２１６，５１０ 二次記憶装置、１１０，１１０ａ，２１０，２１０ａ 通信コントローラ、１１４，２１４ メモリカードインターフェイス、１１５，２１５ メモリカード、１２２ 内部バスコントローラ、１４４，１４６，２０８，２２０，２２０ａ，５２０ ネットワークコントローラ、２００ 中継装置、２００ａ 中継部、２３０ａ 受付部、２４０ａ 認証部、２５０ａ アクセス管理部、４００ 機能ユニット、４５０ 電源ユニット、５００ サポート装置、５００ａ 要求元、５０６ 入力部、５０８ 出力部、５１２ 光学ドライブ、５１４ 記録媒体、５１８ プロセッサバス、７００，７００ａ 外部装置、９００ 他の外部装置、８００ フィールドデバイス、１８０２ システムプログラム、１８０４ ユーザプログラム、２０８１，２２０１ 通信ポート、２８０２ アクセス管理プログラム、２８０４ アクセス管理リスト、２８０６，５１０６ 認証用データ、２８０８ フィルタログ、５１０４ アクセス管理アプリケーション、７０１０ データ通信アプリケーション。

Claims (8)

1. 制御対象を制御する制御システムであって、
   前記制御対象を制御するとともに外部装置との間で通信する制御部と、
   前記制御部に対する前記外部装置からのアクセスを中継する中継部とを備え、
   前記中継部は、
   要求元から認証要求を受け付ける受付部と、
   前記受付部によって前記認証要求が受け付けられたときに前記要求元の正当性を認証する認証部と、
   前記認証部によって前記要求元の正当性が認証されたことを条件に、前記制御部に対する前記外部装置からのアクセスの制限レベルを制御するアクセス管理部と、
   複数のポートのうち、管理モードの種類に応じた少なくとも１つのポートを介して前記外部装置と前記制御部との間で通信を確立する通信部とを含み、
   前記アクセス管理部は、前記管理モードの種類に応じた前記少なくとも１つのポートについて、前記制御部に対する前記外部装置からのアクセスの制限レベルを制御する、制御システム。
2. 前記認証部は、所定の認証用データに基づき前記要求元の正当性を認証する、請求項１に記載の制御システム。
3. 前記認証部は、前記要求元からの通信を秘匿化した状態で当該要求元の正当性を認証する、請求項２に記載の制御システム。
4. 前記中継部は、前記制御部に対する前記外部装置からのアクセスに関するログを残す、請求項１～請求項３のいずれか１項に記載の制御システム。
5. 前記アクセス管理部は、前記認証部によって前記要求元の正当性が認証されたことを条件に、前記制御部に対する前記外部装置からのアクセスの制限レベルを制御するためのリストに基づき、前記制御部に対する前記外部装置からのアクセスの制限レベルを制御する、請求項１～請求項４のいずれか１項に記載の制御システム。
6. 前記リストは、前記制御部に対する前記外部装置からのアクセスにおいてインシデントが発生した場合に更新される、請求項５に記載の制御システム。
7. 制御対象を制御する制御装置に対する外部装置からのアクセスを中継する中継装置であって、
   要求元から認証要求を受け付ける受付部と、
   前記受付部によって前記認証要求が受け付けられたときに前記要求元の正当性を認証する認証部と、
   前記認証部によって前記要求元の正当性が認証されたことを条件に、前記制御装置に対する前記外部装置からのアクセスの制限レベルを制御するアクセス管理部と、
   複数のポートのうち、管理モードの種類に応じた少なくとも１つのポートを介して前記外部装置と前記制御装置との間で通信を確立する通信部とを含み、
   前記アクセス管理部は、前記管理モードの種類に応じた前記少なくとも１つのポートについて、前記制御装置に対する前記外部装置からのアクセスの制限レベルを制御する、中継装置。
8. 制御対象を制御する制御装置に対する外部装置からのアクセスを管理するアクセス管理プログラムであって、
   前記アクセス管理プログラムは、コンピュータに、
   要求元から認証要求を受け付ける受付ステップと、
   前記受付ステップによって前記認証要求が受け付けられたときに前記要求元の正当性を認証する認証ステップと、
   前記認証ステップによって前記要求元の正当性が認証されたことを条件に、前記制御装置に対する前記外部装置からのアクセスの制限レベルを制御するアクセス管理ステップと、
   複数のポートのうち、管理モードの種類に応じた少なくとも１つのポートを介して前記外部装置と前記制御装置との間で通信を確立する通信ステップとを含み、
   前記アクセス管理ステップは、前記管理モードの種類に応じた前記少なくとも１つのポートについて、前記制御装置に対する前記外部装置からのアクセスの制限レベルを制御する、アクセス管理プログラム。

Images