WO2019123523A1 - 通信装置、通信システム、通信制御方法、プログラム - Google Patents

通信装置、通信システム、通信制御方法、プログラム Download PDF

Info

Publication number
WO2019123523A1
WO2019123523A1 PCT/JP2017/045379 JP2017045379W WO2019123523A1 WO 2019123523 A1 WO2019123523 A1 WO 2019123523A1 JP 2017045379 W JP2017045379 W JP 2017045379W WO 2019123523 A1 WO2019123523 A1 WO 2019123523A1
Authority
WO
WIPO (PCT)
Prior art keywords
communication
communication path
instrumentation
paths
access
Prior art date
Application number
PCT/JP2017/045379
Other languages
English (en)
French (fr)
Inventor
陽一郎 森田
かや人 関谷
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to US16/954,693 priority Critical patent/US11297563B2/en
Priority to PCT/JP2017/045379 priority patent/WO2019123523A1/ja
Priority to JP2019559887A priority patent/JP7156310B2/ja
Publication of WO2019123523A1 publication Critical patent/WO2019123523A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W48/00—Access restriction; Network selection; Access point selection
    • H04W48/18—Selecting a network or a communication service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4641—Virtual LANs, VLANs, e.g. virtual private networks [VPN]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4604—LAN interconnection over a backbone network, e.g. Internet, Frame Relay
    • H04L12/462—LAN interconnection over a bridge based backbone
    • H04L12/4625—Single bridge functionality, e.g. connection of two networks over a single bridge
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4633—Interconnection of networks using encapsulation techniques, e.g. tunneling
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/28—Restricting access to network management systems or functions, e.g. using authorisation function to access network configuration

Definitions

  • the present invention relates to a communication apparatus, a communication system, a communication control method, and a program.
  • FIG. 1 is a diagram schematically illustrating a typical example of a related art instrumentation system.
  • a system 1 (1) is hardware or software provided in the system. In order to observe the operating conditions and maintain normal operation, these devices always collect information and transmit instructions in accordance with predetermined conditions.
  • the system 2 (2) is, for example, hardware equipment or software connected to the system by a person in charge of maintenance or the like at the time of maintenance inspection or the like. These devices temporarily collect information and transmit instructions in accordance with instructions from maintenance personnel, etc., for changing settings or replacing equipment.
  • the referential mark 1 and 2 of a drawing is not attached, but it calls the system
  • the control policies of the input and output of the grids 1 and 2 have the following differences.
  • the grid 1 is an input / output that is always necessary for normal operation of the instrumentation system 3. These maintain input / output even if any problems occur, for example, from the viewpoint of emphasizing the availability of the system, and basically, communication between the instrumentation system 3 and the grid 1 is basically shut off do not do.
  • the system 2 is an input / output required for temporary work, and an input / output unnecessary during normal operation.
  • the system 2 performs an access control of temporarily permitting passage and interrupting the normal operation from the viewpoint of emphasizing security such as system protection.
  • Network resources (hardware and software such as network switches) that provide communication paths to the inputs and outputs of the grids 1 and 2 are not necessarily independent due to reasons of cost, installation volume, etc., and some or all It may be shared among the strains.
  • FIG. 2A is a diagram for explaining such a configuration example (note that FIG. 2A is also referred to in the description of one embodiment of the present invention).
  • the communication devices 4 such as a network switch (simply referred to as “switch”) are shared by the grid 1 and the grid 2 as a part of the shared communication path.
  • the shared communication path may include, for example, a communication line between switches, a communication node, and the like.
  • the communication device 4 is a switch will be described.
  • the system 2 includes, for example, a maintenance terminal (such as a portable information terminal or a PC (Personal Computer)). At the time of maintenance work, it is connected to the switch 4 to adjust the PLC, or monitor the field equipment connected with the PLC via the field bus, and adjust the parameter setting and the like.
  • a maintenance terminal such as a portable information terminal or a PC (Personal Computer)
  • FIG. 2B is a diagram for explaining an access control function in the switch 4 in FIG. 2A. Although one switch 4 is illustrated in FIG. 2B for ease of explanation, it goes without saying that a plurality of switches may be provided.
  • the access control function 5 in the switch 4 permits and blocks communication between the grids 1 and 2 and the instrumentation system 3.
  • the access control function 5 may be configured by, for example, a packet filter or the like.
  • the access control function 5 controls, for example, permission or blocking of the packet received by the switch 4 based on a rule (also referred to as a “filter rule”) set in an access control list (ACL).
  • ACL includes, for example, a condition to be matched with predetermined header information of the packet (frame), and an operation to be performed on the packet when the condition is met (ACTION: for example, permission or blocking of packet passage And the like) are set.
  • switch 4 access from system 2 is based on the security policy etc., and according to the rules (access-list # 2 in FIG. 2B) set in the access control list (ACL), Control of permission and blocking is performed.
  • a plurality of ACL rules can be set with the same number. For example, the priority described above may be higher.
  • the access control function 5 packet filter or the like
  • the access control function 5 judges the ACL rule in order from the top, and an operation corresponding to the matched condition is executed. If it does not match until the last rule of ACL, the packet is blocked by implicit deny (default-deny). That is, it denies anything not explicitly permitted in the ACL (this is also referred to as a default-deny policy).
  • implicit deny default-deny
  • the grid 2 is virtually disconnected from the network (the access from the grid 2 to the instrumentation system 3 is blocked).
  • setting is made to the implicit permit (default-permit) that permits something not specified. It may be changed.
  • the numbers 198.14.1.1, 198.14.2.1, etc. of the terminals (hosts) 1-1 and 1-2 represent IP (Internet Protocol) addresses of IPv4 (Internet Protocol version 4) (however, the numerical values are Fictitious value).
  • IPv4 Internet Protocol version 4
  • addresses other than IPv4 IPv6, protocols for instrumentation systems, etc. may be used as the addresses etc.
  • ACL2 shows an example of ACL set in the switch 4 to enable maintenance work of the instrumentation system 3 from the system 2.
  • access control based on ACL2 is performed in the switch 4, and a packet from a terminal of the system 2 permitted by the access-list # 2 is permitted.
  • ACL2 all packets from system 1 are permitted.
  • access control based on the source IP (Internet Protocol) address of the packet is illustrated in the ACL, but in the switch or the like of layer 2 of the Open Systems Interconnection (OSI) reference model (seven layers).
  • OSI Open Systems Interconnection
  • a port-based ACL for controlling permission or blocking in units of ports of the switch 4 or a VLAN-based ACL for controlling passage or permission may be used in units of virtual local area network (VLAN).
  • VLAN virtual local area network
  • control of the system 2 does not affect the system 1.
  • a device such as switch 4 providing a communication path or a partial failure such as a communication line makes the port used by system 2 unusable
  • the system changes to another port of switch 4.
  • a mechanism is needed to eliminate the possibility of affecting 1.
  • the maintenance personnel connect the maintenance terminal of the system 2 to a port different from the port to be originally connected to perform the maintenance work, etc. It is preferable to block access from the line 2.
  • the switch 4 needs a mechanism for eliminating the possibility of affecting the grid 1 when the grid 2 is connected. For example, when attempting to manually rewrite the ACL in the switch 4, a large number of man-hours are required depending on the number of ports of the switch 4 and the number of switches 4 in the network. This makes it difficult to achieve prompt maintenance. In addition, it is necessary to understand the network configuration, and it is difficult to verify that the availability of the grid 1 is not affected.
  • U.S. Patent Application Publication No. 2003 / 0,147 discloses a computer-implemented method for routing a new data stream from a source to a destination via a network including a plurality of forwarding devices interconnected with a plurality of links.
  • This method is (A) receiving at the control device a request for creating paths through the plurality of interconnected transfer devices for a new data stream; (B) determining the type of said new data stream; (C) determining, based on the determined type, a plurality of usage history characteristics of a plurality of data streams having the determined type; (D) the requested from the source to the destination through the plurality of interconnected forwarding devices based on the plurality of usage history characteristics of the plurality of data streams having the determined type Determining the path, (E) For each forwarding device along the path, a routing table indicating which port of the forwarding device routes data from the new data stream along the path determined in (d) Stage to decide, (F) transmitting the routing table determined in (e) for each of the transfer devices, and configuring the transfer device.
  • Patent Document 2 includes a safety instrumentation system and an upper system connected via a network and divided into different zones, provided for each of the zones and detecting a cyber attack from the outside of the own zone.
  • An integrated production system is disclosed, which comprises: detecting means for detecting and means for preventing communication between the zones or communication within the zones based on the detection result of the detecting means.
  • Patent Documents 1 and 2 do not disclose means for preventing control of the system 2 from affecting the system 1 even when the systems 1 and 2 share a communication path.
  • An object of the present invention is to provide an apparatus, a system, a method, and a program capable of automatically setting a mechanism for eliminating an influence.
  • the first system uses the communication path between the first system and the second system based on the usage history of the communication path by the first system.
  • a communication apparatus comprising: control means for setting a communication path usable in the second system from the communication path excluding the communication path.
  • a communication apparatus comprising: means for setting a communication path usable in the second system from the communication path excluding the communication path used by the first system usage history system; And means for storing the usage history of the system of
  • a program which causes a computer to execute a process of setting a communication path usable in the second system from a communication path excluding the communication path used by the first system usage history first system.
  • a semiconductor storage such as a computer readable recording medium (for example, RAM (Random Access Memory), ROM (Read Only Memory), or EEPROM (Electrically Erasable and Programmable ROM)) storing the above program, HDD
  • a computer readable recording medium for example, RAM (Random Access Memory), ROM (Read Only Memory), or EEPROM (Electrically Erasable and Programmable ROM)
  • HDD A non-transitory computer readable recording medium such as a (Hard Disk Drive), a CD (Compact Disc), a DVD (Digital Versatile Disc), etc. is provided.
  • the present invention when a plurality of systems are connected to the instrumentation system via the communication path, it is possible to automatically set a mechanism for eliminating the influence of the connection of one system on another system.
  • the present invention is applicable to, for example, system configurations such as FIG. 2A and FIG. 2B.
  • the access control function 5 in the communication device 4 is configured to solve the problem described with reference to FIG. 2A, FIG. 2B and the like.
  • the communication device 4 (communication device) removes the communication path used by the system 1 among the available communication paths based on the use history of the communication path by the system 1.
  • the set communication path is set as the setting range of the system 2. That is, the communication device 4 disallows the use of the communication path used by the system 1 by the system 2 and does not permit the use of the system 2 with respect to the system 2.
  • the setting range may be an access control that permits or denies access from the system 2.
  • FIG. 3 is a diagram for explaining an embodiment of the present invention.
  • FIG. 3 basically corresponds to the configuration of FIG. 2B.
  • the system 1, the system 2, the switch 4, and the instrumentation system 3 correspond to the system 1, the system 2, the communication device 4, and the instrumentation system 3 in FIGS. 2A and 2B.
  • the communication device control setting unit 6 sets, for the switch 4, the communication path (for example, a port) used by the system 1 to the system 2.
  • the communication device 4 and the communication device control setting unit 6 may be configured as one unit, or may be configured as another unit connected via the communication unit.
  • the instrumentation system 3 exemplifies three PLCs 1-3 (31-1 to 31-3) and a device (field device) 32 connected to them.
  • the PLCs 1-3 (31-1 to 31-3) are connected to ports D, E, and F of the switch 4 by NICs (Network Interface Cards) 33-1 to 33-3, respectively.
  • the switch 4 has a table (a correspondence table (MAC address table) of a port and a MAC (Media Access Control) address connected to the destination) for determining a port to which the received frame is transferred.
  • the switch 4 searches the MAC address table using the destination MAC address of the received frame as a key to determine the output port.
  • the switch 4 may be connected to another device, or may be connected to the device from the PLC via a bus connection of multidrop method, T branch method, and tree branch. In addition, although one switch 4 is illustrated for simplicity, a plurality of switches 4 may be provided.
  • the switch 4 may perform access control in port (port of layer 2 switch) units, for example (port-based ACL).
  • the communication device control setting unit 6 sets an ACL including a rule for disallowing access from the system 2 to the switch 4 for the port used by the system 1 among the ports of the switch 4. For this reason, it is possible to automatically set a mechanism for eliminating the influence of the connection of the grid 2 on the availability of the grid 1 and the like.
  • the switch 4 may perform access control based on the port VLAN. That is, a VLAN ID (Identifier) (VLAN number) may be allocated to the port of the switch 4 to perform access control for each VLAN.
  • VLAN ID Identity
  • the switch 4 matches the VLAN number (VLAN ID) set for the port. Forward packets (frames) to the output port (port with the same VLAN number). If the VLAN number to which the packet (frame) belongs and the VLAN number (VLAN ID) set for the port do not match, the packet (frame) is discarded.
  • the communication device control setting unit 6 may perform assignment, update, etc. of the VLAN number of the port in the switch 4 based on the use history of the port of the switch 4 in the system 1.
  • ports A, B, D, and E may be allocated as a VLAN of grid 1 and ports C and F may be allocated as a VLAN of grid 2.
  • system 1, ports A, B, D and E of switch 4 and nodes (for example, NIC 33-1, 33-2 etc.) of instrumentation system 3 constitute one VLAN, and system 2 and switch 4 Port C and the node (for example, the NIC 33-3) of the instrumentation system 3 form another VLAN 2.
  • VLAN 2 can not be accessed from system 2.
  • access control may be performed based on the MAC address to which the port is connected. For example, when the maintenance terminal of the system 2 connected to the port C accesses the port B, the MAC address of the maintenance terminal of the system 2 does not match the MAC address allocated to the port B. The frame transmitted from the maintenance terminal to port B is discarded.
  • the MAC address of a node connected to the switch 4 in the system 1 and the MAC addresses of the NICs 33-1 and 33-2 of the PLC 1 and PLC 2 of the instrumentation system 3 are included in one VLAN.
  • the MAC address of the NIC 33-3 of the PLC 3 to which the maintenance terminal can be connected may be another VLAN, and the system 2 may be disconnected from the PLCs 1 and 2.
  • the switch 4 rejects it. That is, the frame addressed to PLC 1 or PLC 2 of instrumentation system 3 from the maintenance terminal or the like of system 2 is discarded at switch 4.
  • access control may be performed based on the transmission source IP address of the packet received at the port as shown in the ACL 1 and 2 of FIG. 2B.
  • the packet from the node of the source IP address may arrive at the switch 4 via another switch (for example, layer 3 switch) or the like.
  • FIG. 4 is a diagram for explaining an embodiment of the present invention.
  • the control setting unit 7 of the system 2 sets access control for the system 2.
  • the control setting unit 7 of the grid 2 removes the communication path which has been used or has been used by the grid 1 out of the setting range of the grid 2.
  • the setting range of the system 2 is a range in which both permit and deny for the system 2 can be set without affecting the system 1, for convenience of the system 2, and the like.
  • the communication device control setting unit 6 sets the communication device 4 so that the access control corresponding to the setting range available in the system 2 can be performed in the communication device 4 such as a switch.
  • connection of the system 2 to the port P3 of the communication device 4 is not permitted.
  • a frame (packet) from the maintenance terminal of the system 2 is blocked (discarded).
  • FIG. 5 is a view for explaining an example of the embodiment of FIG. Referring to FIG. 5, in addition to the configuration of FIG. 4, a system 1 use history storage unit 8 is provided.
  • the system 1 use history storage unit 8 stores the use history of the communication path by the system 1.
  • the system 1 use history storage unit 8 may be a random access memory (RAM), an electrically erasable programmable read-only memory (EEPROM), a universal serial bus (USB) memory, a hard disk drive (HDD), or the like.
  • RAM random access memory
  • EEPROM electrically erasable programmable read-only memory
  • USB universal serial bus
  • HDD hard disk drive
  • the system 1 use history storage unit 8 stores a history of access to a port of the communication device 4 from a node device (terminal) (not shown) of the system 1. Access to the port of the communication device 4 from a node device (terminal) (not shown) of the system 1 is performed by aggregating the history based on the MAC address (IP address) which is the source address of the frame (packet) received from the port. You may do it.
  • IP address MAC address
  • the usage history is extracted from, for example, the header of a frame (packet), Source MAC address, Destination MAC address, ⁇ protocol, Source IP address, Destination IP address, -When the upper protocol is TCP (Transmission Control Protocol) and UDP (User Datagram Protocol), in addition to the source port number and the destination port number, ⁇ Log time, ⁇ Transmission / reception interface, ⁇ Number of packets of same flow, Etc. may be stored.
  • TCP Transmission Control Protocol
  • UDP User Datagram Protocol
  • port ID Identifier
  • storage management may be performed using a logical element such as an alias name.
  • the acquisition of the usage history may use a log function provided by the communication device 4.
  • the information collection on the side of the system 1 and the history of instruction transmission may be acquired using a function (for example, referred to as “historian”) of storing time-series history.
  • a packet capture function may be used to collect packets (frames) transferred between the system 1 and the communication device 4.
  • the system 1 use history storage unit 8 may use a storage device such as a network management device (not shown). Alternatively, the system 1 use history storage unit 8 may be configured to be provided in the communication device 4.
  • the control setting unit 7 of the system 2 refers to the usage history of the system 1 stored in the system 1 usage history storage unit 8 to determine the setting range (ports P5 to P6 in FIG. 4) usable in the system 2 , Notify the communication device control setting unit 6.
  • the communication device control setting unit 6 sets, for example, an access control list (ACL) in the communication device 4 so that the access control corresponding to the setting range available in the system 2 can be performed.
  • ACL access control list
  • FIG. 6 is a view for explaining a modification of the configuration of FIG.
  • the control setting unit 7 of the grid 2 determines the setting range of the communication path of the grid 2 based on the usage history information of the grid 1.
  • the configuration of FIG. 1 No change from the configuration of FIG. 2A or FIG. 2B is required.
  • the communication device control setting unit 6 performs access control corresponding to the setting range available in the system 2 based on the information from the system 1 use history storage unit 8 and the control setting unit 7 of the system 2.
  • An ACL is generated so as to enable it, and is set for the communication device 4.
  • FIG. 7 is a view for explaining a modification of the configuration of FIG.
  • the communication device control setting selection unit 9 is newly provided.
  • the communication device control setting selection unit 9 sets the filter function of the setting information of the control setting unit 7 of the system 2 based on the use history of the system 1 use history storage unit 8, and the communication device control setting unit inside the communication device 4. Set to 6.
  • the control of the system 2 is not changed from the configuration etc. of FIG. 1, FIG. 2A and FIG. 2B.
  • FIG. 8 is a diagram for explaining the procedure (method) of an embodiment of the present invention.
  • the available port of the communication device 4 is acquired (step S1). For example, with reference to the MAC address table of the communication device 4, the port whose MAC address of the connection destination is the MAC address of the node of the system 1 is not currently an available port in the system 2. Also, even if a certain terminal of system 2 is currently connected to a port, the port is not an available port. This process may be performed by the control setting unit of the system 2.
  • usage history information of the system 1 is acquired (step S2). For example, among the free ports of the communication device 4, information of the port previously connected to the node (terminal) of the grid 1 is acquired.
  • step S3 the communication path obtained by removing the communication path used in the grid 1 from the available communication paths is selected as the communication path that can be set in the grid 2 (step S3). This is performed by the control setting unit 7, the communication device control setting unit 6 or the communication device control setting selection unit 9 of the system 2.
  • the communication device 4 controls the frame (packet) from the system 2 to be permitted only within the setting range.
  • FIG. 9 is a diagram for explaining the configuration of one embodiment of the present invention.
  • the function of the communication device (switch) 4 may be implemented in the computer device 300.
  • the computer device 300 may be a processor (CPU (Central Processing Unit), data processing device) 301, a semiconductor memory (for example, RAM (Random Access Memory), ROM (Read Only Memory), or EEPROM (Electrically Erasable). and a communication interface 303.
  • the storage device 302 includes at least one of an HDD (Hard Disk Drive), a CD (Compact Disc), a DVD (Digital Versatile Disc), and the like.
  • the communication interface 303 corresponds to the port of the switch and is configured of, for example, an NIC.
  • the storage device 302 may be configured to store at least a program for realizing the function of the communication device control setting unit 6.
  • the processor 301 can set the communication route other than the communication route used by the system 1 among the available communication routes to the system 2 based on the use history of the system 1 by reading and executing the program. Execute processing to set a communication path (permit, deny can be set).
  • the storage device 302 may store a MAC address table or the like managed by the communication device 4. Further, the system 1 use history storage unit 8 may be provided in the storage device 302.
  • connection control of the grid 2 does not affect the grid 1.
  • the connection control of the system 2 eliminates the influence on the system 1 and the normal control can be applied to the function of performing the control on the system 2 without considering the influence on the system 1 at each control. It becomes.
  • the setting change of the system 2 can be implemented only by the approval of the administrator of the system 2.
  • the need to physically separate the communication devices used to control the grid 1 and the grid 2 is reduced.
  • problems such as logicalization, IT (Intelligent Technology), and the inability to distinguish by the appearance at the time of opening are suppressed, and communication equipment can be logically, ITized, standardized, consolidated, etc. Promotion becomes possible.
  • system 1 which places high priority on availability
  • system 2 which places emphasis on security such as system protection.
  • Patent Documents 1 and 2 described above are incorporated herein by reference. Within the scope of the entire disclosure of the present invention (including the scope of the claims), modifications and adjustments of the embodiments or examples are possible based on the basic technical concept of the invention. In addition, various combinations or selections of various disclosed elements (including each element of each claim, each element of each embodiment, each element of each drawing, etc.) are possible within the scope of the claims of the present invention. . That is, the present invention of course includes the entire disclosure including the scope of the claims, and various modifications and alterations that can be made by those skilled in the art according to the technical concept.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)

Abstract

本発明は、複数の系統が通信経路を介して計装システムに接続する場合に、ある系統の接続が他の系統に与える影響を排除する仕組みを自動で設定可能とする。第１、第２の系統と計装システムとの間の通信経路に関して、前記第１の系統が使用した通信経路を除いた通信経路から、前記第２の系統で使用可能な通信経路を設定する。

Description

通信装置、通信システム、通信制御方法、プログラム
　本発明は通信装置、通信システム、通信制御方法、プログラムに関する。
　ＰＬＣ（Programmable Logic Controller）などを用いた計装システムに対しては、一般に、２つの入出力系統が接続される。図１は、関連技術の計装システムの典型例を模式的に説明する図である。図１において、系統１（１）はシステムに備え付けのハードウェアやソフトウェアである。これらは、稼働状況を観測し、正常な稼働を維持するため、常に、予め定められた条件に従って、情報収集や命令伝達を行う。
　系統２（２）は、例えば保守担当者等が保守点検時等にシステムに接続するハードウェア機器やソフトウェアである。これらは、設定変更や機器交換などのため、一時的に、保守員等の指示に従って、情報収集や命令伝達を行う。なお、以下では、系統１（１）、系統２（２）について、図面の参照符号１、２は付けず、系統１、系統２という。
　系統１、２の入出力の制御方針には、下記の違いがある。系統１は、計装システム３の正常稼働にとって常に必要な入出力である。これらは、例えばシステムの可用性を最重要視する観点から、仮に何らかの問題が発生した場合でも、入出力を維持し、基本的に、計装システム３と系統１間の通信は、原則、遮断はしない。
　系統２は、一時的な作業にとって必要な入出力であり、通常時は不要な入出力である。系統２は、システム保護などのセキュリティを重視する観点から、一時的に通過を許可し、通常時は、遮断するというアクセス制御を行う。
　系統１、２の入出力に通信経路を提供するネットワークリソース（ネットワークスイッチなどのハードウェアやソフトウェア）は、コストや、設置にかかる容積などの都合上、必ずしも独立していず、一部または全部を系統間で共有する場合がある。
　図２Ａは、このような構成例を説明する図である（なお、図２Ａは、本発明の一形態の説明においても参照される）。図２Ａに示す例では、共有される通信経路の一部として、ネットワークスイッチ（単に、「スイッチ」という）等の通信機器４が、系統１と系統２で共有されている。なお、共有される通信経路としては、例えばスイッチ間の通信回線、通信ノード等を含むようにしてもよい。以下では、説明の簡単化のため、通信機器４をスイッチとした例について説明する。
　系統２は、例えば保守端末（携帯型情報端末又はＰＣ（Personal Computer）等）を含む。保守作業時に、スイッチ４に接続して、ＰＬＣ、又はＰＬＣとフィールドバスを介して接続する現場機器等のモニタ、パラメータ設定等の調整を行う。
　図２Ｂは、図２Ａにおけるスイッチ４におけるアクセスコントロール機能を説明する図である。なお、図２Ｂには、説明の容易化のため、１台のスイッチ４が例示されているが、スイッチは、複数を備えてもよいことは勿論である。
　スイッチ４におけるアクセスコントロール機能５は、系統１、２と、計装システム３間の通信の許可、遮断を行う。なお、アクセスコントロール機能５は例えばパケットフィルタ等で構成されてもよい。アクセスコントロール機能５は、例えばアクセスコントロールリスト（ＡＣＬ）に設定された規則（「フィルタ規則」ともいう）に基づき、スイッチ４で受信したパケットの許可、遮断等の制御を行う。ＡＣＬには、例えば、パケット（フレーム）の所定のヘッダ情報と照合される条件と、該条件に一致した場合に当該パケットに対して行われる動作（ＡＣＴＩＯＮ：例えば、パケットの通過の許可、遮断（廃棄）等）とを規定した規則が設定される。
　スイッチ４において、系統２からのアクセスは、セキュリティポリシー等に基づき、アクセスコントロールリスト（ＡＣＬ）に設定された規則（図２Ｂのaccess-list #2）にしたがって、計装システム３へのパケット転送の許可・遮断の制御が行われる。
　ＡＣＬの規則は同じ番号のものを複数設定可能とされ、例えば、先に記述したもの程優先度を高くしてもよい。この場合、スイッチ４でパケットを受信すると、アクセスコントロール機能５（パケットフィルタ等）は、ＡＣＬの規則を上から順番に判断し、マッチした条件に対応する動作を実行される。ＡＣＬの最後の規則までマッチしなかった場合は、暗黙のdeny（default-deny）により、パケットは遮断される。すなわち、ＡＣＬに明示的に許可されていないものはすべて拒否する（これをdefault-denyポリシーともいう）。暗黙のdenyの環境では、ＡＣＬに何も規則がない場合、事実上、系統２はネットワークから遮断される（系統２からの計装システム３へのアクセスは遮断される）。このように、暗黙のdenyでは、ＡＣＬにセキュリティポリシーの規則を記述しない限り、通信は許可されないが、逆に、明示されていないものを許可とする暗黙の許可（default-permit）に、設定を変更するようにしてもよい。
　図２Ｂに示す例では、通常動作時、ＡＣＬ１によるアクセス制御が行われ、系統１からのパケットは全て許可とされる（図２Ｂのaccess-list #1 permit any)。系統２からのアクセスは遮断される。なお、図２Ｂの端末（ホスト）１－１、１－２の数字198.14.1.1、198.14.2.1等はＩＰｖ４（Internet Protocol version 4）のIP（Internet Protocol）アドレスを表している（ただし、数値は架空の値である）。なお、アドレス等として，ＩＰｖ４以外 (ＩＰｖ６や，計装システム向けプロトコル等) のアドレス等を用いてもよいことは勿論である。
　図２Ｂにおいて、ＡＣＬ２は、系統２からの計装システム３の保守作業を可能とするためにスイッチ４に設定されるＡＣＬの一例を示している。保守作業時には、スイッチ４において、ＡＣＬ２に基づくアクセス制御が行われ、access-list #2で許可（permit）された系統２の端末からのパケットが許可される。ＡＣＬ２では、系統１からのパケットは全て許可とされる。なお、図２Ｂでは、ＡＣＬにおいて、パケットの送信元ＩＰ（Internet Protocol）アドレス等に基づくアクセスコントロールを例示しているが、ＯＳＩ（Open Systems Interconnection）参照モデル（７階層）のレイヤ２のスイッチ等において、スイッチ４のポート単位に許可、遮断を制御するポートベースのＡＣＬやＶＬＡN（Virtual Local Area Network）単位に、通過、許可を制御するＶＬＡＮベースのＡＣＬ等を用いてもよい。
　ところで、図２Ａ、図２Ｂに例示したシステム構成においては、系統１と系統２が通信経路を共有しているため、メンテナンス系である系統２の入出力の制御が、系統１に影響を与える可能性がある。
　系統２の入出力の制御が、系統１に影響を与えることは、システムの可用性の観点から許容できない。
　このため、系統２に対する制御が、系統１に影響しない仕組みが必要となる。例えば、通信経路を提供するスイッチ４などの機器や、通信回線等の部分的な故障により、系統２が使用するポートが使用不能となり、スイッチ４の別のポートへ変更するような場合において、系統１に影響する可能性を排除する仕組みが必要となる。あるいは、保守要員が、系統２の保守端末を、本来接続すべきポートとは異なるポートに接続して保守作業等を行おうとした場合にも、系統１に影響する可能性を排除する観点から、系統２からのアクセスを遮断することが好ましい。
　以上のように、スイッチ４において、系統２の接続時に、系統１に影響する可能性を排除するための仕組みが必要となる。例えば、スイッチ４内のＡＣＬを書き換える作業を人手で行おうとした場合、スイッチ４のポートの数、ネットワーク内のスイッチ４の個数によって、多大の工数を要する。このため、迅速な保守の実現を困難としている。また、ネットワーク構成の把握が必要とされ、系統１の可用性に影響を及ぼさないことを検証することも難しい。
　なお、特許文献１には、複数のリンクと相互接続された複数の転送デバイスを含むネットワークを介して、新規データストリームを送信元から宛先へルーティングするためのコンピュータ実施方法が開示されている。この方法は、
（ａ）新規データストリームのために複数の前記相互接続された転送デバイスを通るパスを作成するよう求める要求を、制御デバイスで受信する段階と、
（ｂ）前記新規データストリームのタイプを決定する段階と、
（ｃ）決定された前記タイプに基づいて、前記決定されたタイプを有する複数のデータストリームの複数の使用履歴特性を決定する段階と、
（ｄ）前記決定されたタイプを有する複数のデータストリームの前記複数の使用履歴特性に基づいて、前記複数の相互接続された転送デバイスを通る、前記送信元から前記宛先への、要求された前記パスを決定する段階と、
（ｅ）前記パスに沿ったそれぞれの転送デバイスについて、前記転送デバイスのどのポートが、（ｄ）で決定された前記パスに沿って前記新規データストリームからのデータをルーティングするかを示すルーティングテーブルを決定する段階と、
（ｆ）それぞれの前記転送デバイスの各々について、（ｅ）で決定された前記ルーティングテーブルを送信し、前記転送デバイスを構成する段階と、を備える。
　また、特許文献２には、ネットワークを介して接続され、互いに異なるゾーンに区分けされている安全計装システム及び上位システムを備え、前記ゾーン毎に設けられ、自ゾーンに対する外部からのサイバー攻撃を検知する検知手段と、前記検知手段の検知結果に基づいて、前記ゾーン間の通信或いは前記ゾーン内の通信を制限する対策を行う防御手段と、を備えた統合生産システムが開示されている。
　しかしながら、特許文献１、２には、系統１と系統２が通信経路を共有する場合であっても、系統２に対する制御が、系統１に影響しないようにする手段は開示されていない。
特表２０１７－５１１０６８号公報 特開２０１７－１１１５４０号公報
　前述したように、系統１と系統２が通信経路を共有する場合であっても、系統２に対する制御が、系統１に影響しない仕組みが必要となる。例えば、系統１と系統２が通信経路を共有可能とする構成において、系統２が系統１の通信性能、動作特性、可用性（システムが継続して稼働できる能力）等に影響を与える可能性を排除する機構を自動設定することが望まれる。
　したがって、本発明は、上記課題に鑑みて創案されたものであって、その目的は、複数の系統が通信経路を介して計装システムに接続する場合に、ある系統の接続が他の系統に与える影響を排除する仕組みを自動で設定可能とする装置、システム、方法、プログラムを提供することにある。
　本発明の１つの形態によれば、第１、第２の系統と計装システムとの間の通信経路に関して、前記第１の系統による通信経路の使用履歴に基づき、前記第１の系統が使用した通信経路を除いた通信経路から、前記第２の系統で使用可能な通信経路を設定する制御手段を備えた、ことを特徴とする通信装置が提供される。
　本発明の１つの形態によれば、前記第１の系統の使用履歴第１、第２の系統と計装システムとの間の通信経路に関して、前記第１の系統による通信経路の使用履歴に基づき、前記第１の系統の使用履歴第１の系統が使用した通信経路を除いた通信経路から、前記第２の系統で使用可能な通信経路を設定する手段を備えた通信装置と、前記第１の系統の前記使用履歴を記憶する手段と、を備えた通信システムが提供される。
　本発明の１つの形態によれば、前記第１の系統の使用履歴第１、第２の系統と計装システムとの間の通信経路に関して、前記第１の系統による通信経路の使用履歴に基づき、前記第１の系統の使用履歴第１の系統が使用した通信経路を除いた通信経路から、前記第２の系統で使用可能な通信経路を設定する通信制御方法が提供される。
　本発明の１つの形態によれば、前記第１の系統の使用履歴第１、第２の系統と計装システムとの間の通信経路に関して、前記第１の系統による通信経路の使用履歴に基づき、前記第１の系統の使用履歴第１の系統が使用した通信経路を除いた通信経路から、前記第２の系統で使用可能な通信経路を設定する処理をコンピュータに実行させるプログラムが提供される。
　本発明によれば、上記プログラムを記憶したコンピュータ読み出し可能な記録媒体（例えばＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、又は、ＥＥＰＲＯＭ（Electrically Erasable and Programmable ROM））等の半導体ストレージ、ＨＤＤ（Hard Disk Drive）、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disc）等の非一時的コンピュータ読み出し可能な記録媒体（non-transitory computer readable recording medium）が提供される。
　本発明によれば、複数の系統が通信経路を介して計装システムに接続する場合に、ある系統の接続が他の系統に与える影響を排除する仕組みを自動で設定可能としている。
関連技術の典型的なシステム構成を説明する図である。 関連技術及び本発明の一形態を説明する図である。 関連技術を説明する図である。 本発明の一実施形態を説明する図である。 本発明の一実施形態を説明する図である。 本発明の一実施形態を説明する図である。 本発明の一実施形態の変形例を説明する図である。 本発明の一実施形態の変形例を説明する図である。 本発明の一実施形態の手順を説明する流れ図である。 本発明の一形態のコンピュータ装置の構成を説明する図である。
　本発明の実施形態について説明する。本発明は、例えば図２Ａ、図２Ｂ等のシステム構成に対して、適用可能とされる。本発明の一形態によれば、通信機器４におけるアクセスコントロール機能５が、図２Ａ、図２Ｂ等を参照して説明した課題を解決する構成とされている。本発明の一形態によれば、図２Ａにおいて、通信機器４（通信装置）は、系統１による通信経路の使用履歴に基づき、利用可能は通信経路のうち、系統１が使用した通信経路を除いた通信経路を、系統２の設定範囲とする。すなわち、通信機器４は、系統１が使用した通信経路については系統２による使用を不許可とし、系統２に対して、系統１が使用した通信経路を除いた通信経路に対して、系統２の設定範囲を設定する制御を行う。この設定範囲は、系統２からのアクセスを許可とするか、あるいは拒否するアクセス制御を行うようにしてもよい。
＜実施形態＞
　図３は、本発明の一実施形態を説明する図である。図３は、基本的に、図２Ｂの構成に対応している。図３において、系統１、系統２、スイッチ４、計装システム３は、図２Ａ、図２Ｂの系統１、系統２、通信機器４、計装システム３に対応している。図３において、通信機器制御設定部６は、スイッチ４において、系統１が使用した通信経路（例えばポート）は、系統２では使用できないようにスイッチ４に対して設定する。なお、通信機器４と通信機器制御設定部６を一つのユニットとして構成してもよいし、通信手段を介して接続する別のユニットとして構成してもよい。
　なお、計装システム３には、３台のＰＬＣ１－３（３１－１～３１－３）と、これらに接続する機器（フィールド機器）３２が例示されている。ＰＬＣ１－３（３１－１～３１－３）は、ＮＩＣ（Network Interface Card）３３－１～３３－３によりスイッチ４のポートＤ、Ｅ、Ｆにそれぞれ接続する。なお、スイッチ４は、受信したフレームの転送先のポートを決定するためのテーブル（ポートとその先に接続するＭＡＣ(Media Access Control)アドレスの対応表（ＭＡＣアドレステーブル））を有する。スイッチ４は、受信したフレームの宛先ＭＡＣアドレスをキーとしてＭＡＣアドレステーブルを検索して出力ポートを決定する。なお、宛先アドレスがＭＡＣアドレステーブルに登録されていない場合は、例えば受信ポートを除く全てのポートに当該フレームを出力する（フラッディング）。なお、ＰＬＣ等の台数は３に制限されるものでないことは勿論である。スイッチ４には、他の機器が接続される構成であってもよく、また、ＰＬＣから、マルチドロップ方式、Ｔ分岐方式、ツリー分岐のバス接続を介して機器に接続する構成としてもよい。また、スイッチ４は、簡単のため１台が例示されているが、複数台備えた構成としてもよい。
　特に制限されないが、スイッチ４は、例えばポート（レイヤ２スイッチのポート）単位でのアクセス制御を行うようにしてもよい（ポートベースのＡＣＬ）。
　この場合、スイッチ４のポートに着信するトラフィック（フレーム）に対して、ポート単位に、ＡＣＬに指定されたアクセス制御を行うことができる。通信機器制御設定部６では、スイッチ４のポートのうち、系統１が使用したポートについて、系統２からのアクセスを不許可とする規則を含むＡＣＬをスイッチ４に対して設定する。このため、系統２の接続が系統１の可用性等に与える影響を排除する仕組みを自動で設定することができる。
　あるいは、スイッチ４において、ポートＶＬＡＮに基づくアクセス制御を行うようにしてもよい。すなわち、スイッチ４のポートにＶＬＡＮ　ＩＤ（Identifier)（ＶＬＡＮ番号）を割り付け、ＶＬＡＮ毎のアクセス制御を行うようにしてもよい。この場合、スイッチ４のポートにパケット（フレーム）が到着すると、該パケット（フレーム）の属するＶＬＡＮ番号を判別し、スイッチ４は、該ポートに設定されたＶＬＡＮ番号（ＶＬＡＮ　ＩＤ）に一致する場合、出力ポート（同一のＶＬＡＮ番号のポート）にパケット（フレーム）を転送する。パケット（フレーム）の属するＶＬＡＮ番号とポートに設定されたＶＬＡＮ番号（ＶＬＡＮ　ＩＤ）が不一致の場合、パケット（フレーム）は廃棄される。
　通信機器制御設定部６では、系統１によるスイッチ４のポートの使用履歴に基づき、スイッチ４におけるポートのＶＬＡＮ番号の割り付け、更新等を行うようにしてもよい。図４のスイッチ４において、例えばポートＡ、Ｂ、Ｄ、Ｅを、系統１のＶＬＡＮ、ポートＣ、Ｆを系統２のＶＬＡＮとして割り当てるようにしてもよい。この場合、系統１と、スイッチ４のポートＡ、Ｂ、Ｄ、Ｅと、計装システム３のノード（例えばＮＩＣ３３－１、３３－２等）が１つのＶＬＡＮを構成し、系統２とスイッチ４のポートＣと計装システム３のノード（例えばＮＩＣ３３－３等）が別のＶＬＡＮ２を構成する。その結果、系統２からは、ＶＬＡＮ２はアクセスできない。
　あるいは、スイッチ４が、レイヤ２の中継を行う場合、ポートが接続するＭＡＣアドレスに基づきアクセス制御を行うようにしてもよい。例えば本来、ポートＣに接続する系統２の保守端末が、ポートＢにアクセスした場合、系統２の保守端末のＭＡＣアドレスが当該ポートＢに対して割り付けられたＭＡＣアドレスと一致しないため、系統２の保守端末からポートＢに送信されたフレームは廃棄される。
　あるいは、例えば、系統１においてスイッチ４に接続するノードのＭＡＣアドレスと、計装システム３のＰＬＣ１、ＰＬＣ２のＮＩＣ３３－１、３３－２のＭＡＣアドレスを一つのＶＬＡＮに含め、系統２の保守端末と、該保守端末が接続可能なＰＬＣ３のＮＩＣ３３－３のＭＡＣアドレスを別のＶＬＡＮとし、系統２をＰＬＣ１、２から切り離すようにしてもよい。この場合、系統２の保守端末等がＰＬＣ１やＰＬＣ２にアクセスしようとしても、スイッチ４において拒否される。すなわち、系統２の保守端末等から計装システム３のＰＬＣ１やＰＬＣ２宛てのフレームはスイッチ４において廃棄される。
　あるいは、スイッチ４が、レイヤ３の中継を行う場合、図２ＢのＡＣＬ１、２等に示したように、ポートで受信したパケットの送信元ＩＰアドレスに基づき、アクセス制御を行うようにしてもよい。この場合、該送信元ＩＰアドレスのノードからのパケットは、別のスイッチ（例えばレイヤ３スイッチ）等を介して、該スイッチ４に到着するものであってもよい。
　図４は、本発明の一実施形態を説明する図である。図４を参照すると、系統２の制御設定部７は、系統２に対するアクセス制御の設定を行う。系統２の制御設定部７は、系統１が使用中、又は使用したことのある通信経路を、系統２の設定範囲から外す。なお、系統２の設定範囲は、系統１に影響を与えずに、系統２に都合等によって、系統２に対して許可（permit）も拒否（deny）も設定可能な範囲である。通信機器制御設定部６は、スイッチ等の通信機器４において、系統２で使用可能な設定範囲に対応するアクセスコントロールを実施可能とするように通信機器４を設定する。
　図４では、系統２は通信機器４のポートＰ３への接続は不許可とされる。例えば、系統２の保守端末を通信機器４のポートＰ３に接続して通信を行う場合、系統２の保守端末からのフレーム（パケット）は遮断（廃棄）される。
　図５は、図４の実施形態の一例を説明する図である。図５を参照すると、図４の構成に加えて、系統１使用履歴記憶部８が設けられている。系統１使用履歴記憶部８は、系統１による通信経路の使用履歴を記憶する。系統１使用履歴記憶部８はＲＡＭ（Random Access Memory）、ＥＥＰＲＯＭ（Electrically Erasable Programmable Read-Only Memory）、ＵＳＢ（Universal Serial Bus）メモリ、ＨＤＤ（Ｈａｒｄ　Ｄｉｓｋ　Ｄｒｉｖｅ）等であってもよい。
　系統１使用履歴記憶部８は、系統１の不図示のノード装置（端末）からの通信機器４のポートへのアクセスの履歴を記憶する。系統１の不図示のノード装置（端末）からの通信機器４のポートへのアクセスは、ポートから受信したフレーム（パケット）の送信元アドレスであるＭＡＣアドレス（ＩＰアドレス）等に基づき、履歴を集計するようにしてもよい。
　特に制限されないが、使用履歴は、例えば、フレーム（パケット）のヘッダから抽出された、
・送信元ＭＡＣアドレス、
・宛先ＭＡＣアドレス、
・プロトコル、
・送信元ＩＰアドレス、
・宛先ＩＰアドレス、
・上位プロトコルがＴＣＰ（Transmission Control Protocol）とＵＤＰ（User Datagram Protocol）の場合、送信元ポート番号、宛先ポート番号
に加えて、
・ログ時刻、
・送信・受信インタフェース、
・同一フローのパケット数、
等を記憶するようにしてもよい。
　送信・受信インタフェースとして、
・レイヤ２での中継の場合、ＩＮとＯＵＴのポート番号やＶＬＡＮ　ＩＤ等、
・レイヤ３での中継の場合、ＶＬＡＮ　ＩＤ等、
を記憶するようにしてもよい。
　なお、ポート番号等のポートＩＤ（Identifier）のかわりに、アリアス名等、論理的な要素で記憶管理してもよい。
　使用履歴の取得は、通信機器４が具備するログ機能を利用してもよい。あるいは、系統１側の情報収集、命令伝達の履歴を時系列で記憶する機能（例えば「ヒストリアン」と称呼される）を用いて取得するようにしてもよい。あるいは、パケットキャプチャ機能を用いて、系統１と通信機器４との間で転送されるパケット（フレーム）を収集するようにしてもよい。
　系統１使用履歴記憶部８は、不図示のネットワーク管理装置等のストレージ装置を用いてもよい。あるいは、系統１使用履歴記憶部８は通信機器４内に備えた構成としてもよい。
　系統２の制御設定部７は、系統１使用履歴記憶部８に記憶された系統１の使用履歴を参照して、系統２で使用可能な設定範囲（図４ではポートＰ５からＰ６）を決定し、通信機器制御設定部６に通知する。通信機器制御設定部６は、系統２で使用可能な設定範囲に対応するアクセスコントロールを実施可能とするように、例えばアクセスコントロールリスト（ＡＣＬ）を通信機器４に設定する。
　図６は、図５の構成の変形例を説明する図である。図５では、系統２の制御設定部７が、系統１の使用履歴情報に基づき、系統２の通信経路の設定範囲を決定しているが、図６の構成では、系統２の制御は、図１、図２Ａ、図２Ｂの構成等からの変更を要しない。
　図６を参照すると、通信機器制御設定部６は、系統１使用履歴記憶部８と系統２の制御設定部７からの情報に基づき、系統２で使用可能な設定範囲に対応するアクセスコントロールを実施可能とするようにＡＣＬを生成し、通信機器４に対して設定する。
　図７は、図５の構成の変形例を説明する図である。図７では、通信機器制御設定選択部９を新たに備えている。通信機器制御設定選択部９は、系統２の制御設定部７の設定情報を、系統１使用履歴記憶部８の使用履歴に基づき、フィルタ機能を設定し、通信機器４内部の通信機器制御設定部６に設定する。系統２の制御は図１、図２Ａ、図２Ｂの構成等から変更しない。
　図８は、本発明の一実施形態の手順（方法）を説明する図である。通信機器４の利用可能なポートを取得する（ステップＳ１）。例えば通信機器４のＭＡＣアドレステーブルを参照して、現在、接続先のＭＡＣアドレスが系統１のノードのＭＡＣアドレスであるポートは、系統２で利用可能なポートではない。また、現在、系統２のある端末があるポートに接続されている場合も、該ポートは利用可能なポートではない。この処理は系統２の制御設定部で行うようにしてもよい。
　次に、系統１の使用履歴情報を取得する（ステップＳ２）。例えば通信機器４の空きポートのうち、以前に系統１のノード（端末）に接続されたポートの情報を取得する。
　次に、利用可能な通信経路から系統１で使用した通信経路を除いた通信経路を系統２に設定可能な通信経路として選択する（ステップＳ３）。系統２の制御設定部７、通信機器制御設定部６、又は、通信機器制御設定選択部９で行われる。
　通信機器４は、系統２からのフレーム（パケット）に対して、設定範囲内でのみ許可するように制御する。
　図９は、本発明の一形態の構成を説明する図である。通信機器（スイッチ）４の機能をコンピュータ装置３００に実装してもよい。図９を参照すると、コンピュータ装置３００は、プロセッサ（ＣＰＵ（Central Processing Unit）、データ処理装置）３０１、半導体メモリ（例えばＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、又は、ＥＥＰＲＯＭ（Electrically Erasable and Programmable ROM）等）、ＨＤＤ（Hard Disk Drive）、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disc）等の少なくともいずれかを含む記憶装置３０２と、通信インタフェース３０３を備えている。通信インタフェース３０３はスイッチのポートに対応し例えばＮＩＣ等で構成される。
　記憶装置３０２は、少なくとも、通信機器制御設定部６の機能を実現するプログラムを記憶する構成としてもよい。プロセッサ３０１が、該プログラムを読み出して実行することで、系統１の使用履歴に基づき、利用可能な通信経路のうち、系統１が使用した通信経路以外の通信経路を系統２に対して、設定可能（許可（permit）、拒否（deny）が設定可能）な通信経路とする処理を実行する。なお、記憶装置３０２には、通信機器４で管理するＭＡＣアドレステーブル等を記憶するようにしてもよい。また、系統１使用履歴記憶部８を記憶装置３０２に設けるようにしてもよい。
　本実施形態によれば、系統２の接続制御が、系統１に影響しない仕組みの提供が可能となる。これにより、系統２の接続制御が系統１に対する影響を排除するとともに、系統２に対する制御を行う機能についても、制御の度に、系統１に対する影響を考慮することなく、通常通りの制御が適用可能となる。
　この結果、本実施形態によれば、系統２の設定変更において、系統２の管理者の承認のみで実施可能となる。
　本実施形態によれば、系統２の設定変更において、系統１の管理者の承認を経る必要が無くなるか、承認は必要であるが、該変更に必要な検証等の手間を削減することを可能としている。
　したがって、系統２の設定変更について、
・前例の無い内容への変更、
・情報収集結果と連動した動的な変更、
・新しい情報収集機能の追加や削除、
・時間的・空間的に細分化された多量の設定、
・リードタイムの極端な短縮
等を可能としている。
　これにより、本実施形態によれば、系統１と系統２の制御に用いる通信機器について、物理的に分離する必要性を低下させる。その結果、論理化、ＩＴ（Intelligent Technology）化、オープン化した際の見た目による区別が付かないことに伴う問題の発生を抑制し、通信機器の論理化、ＩＴ化、共通化、集約化などの促進が可能となる。
　上記の通り、本実施形態によれば、可用性を最重要視する系統１と、システム保護などのセキュリティを重視する系統２という、異なる制御方針に基づいた、異なる系統の管理機能の共存を可能としている。
　なお、上記実施形態では、系統１と系統２の２つの系統からなるシステムについて説明したが、３つ以上の系統を含むシステムについても、上記実施形態と同様なアクセス制御を行うことが可能である。
　なお、上記の特許文献１、２の各開示を、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の請求の範囲の枠内において種々の開示要素（各請求項の各要素、各実施例の各要素、各図面の各要素等を含む）の多様な組み合わせ乃至選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。
１　系統１
１－１、１－２　端末（ホスト）
２　系統２
３　計装システム
４　通信機器（スイッチ）
５　アクセスコントロール機能（パケットフィルタ）
６　通信機器制御設定部
７　系統２の制御設定部
８　系統１使用履歴記憶部
９　通信機器制御設定選択部

Claims (13)

  1. 　第１、第２の系統と計装システムとの間の通信経路に関して、前記第１の系統による通信経路の使用履歴に基づき、前記第１の系統が使用した通信経路を除いた通信経路から、前記第２の系統で使用可能な通信経路を設定する制御手段を備えた、ことを特徴とする通信装置。
  2. 　前記第１の系統の前記使用履歴に基づき、前記通信装置の利用可能な通信経路のうち、
    　前記第１の系統が使用した通信経路に対して前記第２の系統によるアクセスを不許可とし、
    　前記第１の系統が使用した通信経路を除いた通信経路に対して、前記第２の系統のアクセスの設定範囲とするフィルタ規則を自動生成する手段を備えるか、又は、前記手段に接続可能とされ、
    　前記制御手段は、前記フィルタ規則に基づき、前記第２の系統からの通信の許可、遮断を制御する、ことを特徴とする請求項１に記載の通信装置。
  3. 　前記第１の系統は、前記計装システムの運用のための入力及び／又は出力を行い、
    　前記第２の系統は、前記計装システムの保守時に、前記通信装置に接続され、前記計装システムや現場機器に対する保守の入力及び／又は出力を行う保守端末を含む、ことを特徴とする請求項１又は２に記載の通信装置。
  4. 　第１、第２の系統と計装システムとの間の通信経路を提供する通信装置に関して、前記第１の系統が使用した通信経路の使用履歴を取得し、
    　複数の前記通信経路のうち、前記第１の系統が使用した通信経路を前記第２の系統によるアクセスを不許可とし、前記第１の系統が使用した通信経路を除いた通信経路を、前記第２の系統によるアクセスの設定範囲として、前記通信装置に設定する、ことを特徴とする制御設定装置。
  5. 　前記第１の系統は、前記計装システムの運用のための入力及び／又は出力を行い、
    　前記第２の系統は、前記計装システムの保守時に、前記通信装置に接続され、前記計装システムや現場機器に対する保守の入力及び／又は出力を行う保守端末を含む、ことを特徴とする請求項４に記載の制御設定装置。
  6. 　請求項１乃至３のいずれか１項に記載の通信装置と、
    　前記第１の系統の前記使用履歴を記憶する記憶装置と、
    　を備えた通信システム。
  7. 　請求項４又は５に記載の制御設定装置と、
    　前記第１、第２の系統と計装システムとの間の通信経路を提供する通信装置と、
    　前記第１の系統の前記使用履歴を記憶する記憶装置と、
    　を備えた通信システム。
  8. 　第１、第２の系統と計装システムとの間の通信経路に関して、前記第１の系統による通信経路の使用履歴に基づき、前記第１の系統が使用した通信経路を除いた通信経路から、前記第２の系統で使用可能な通信経路を設定する、ことを特徴とする通信制御方法。
  9. 　前記第１の系統の前記使用履歴に基づき、利用可能な通信経路のうち、
    　前記第１の系統が使用した通信経路に対して前記第２の系統によるアクセスを不許可とし、
    　前記第１の系統が使用した通信経路を除いた通信経路を、前記第２の系統によるアクセスの設定範囲とするフィルタ規則を自動生成し、
    　通信装置では、前記フィルタ規則に基づき、前記第２の系統からの通信の許可、遮断を制御する、ことを特徴とする請求項８に記載の通信制御方法。
  10. 　第１、第２の系統と計装システムとの間の通信経路を提供する通信装置に関して、前記第１の系統が使用した通信経路の使用履歴を取得し、複数の前記通信経路のうち、前記第１の系統が使用した通信経路を除いた通信経路を、前記第２の系統により使用可能な通信経路として、前記通信装置に設定する、ことを特徴とする通信制御方法。
  11. 　前記第１の系統は、前記計装システムの運用のための入力及び／又は出力を行い、
    　前記第２の系統は、前記計装システムの保守時に、前記通信装置に接続され、前記計装システムや現場機器に対する保守の入力及び／又は出力を行う保守端末を含む、ことを特徴とする請求項９又は１０に記載の通信制御方法。
  12. 　第１、第２の系統と計装システムとの間の通信経路に関して、前記第１の系統による通信経路の使用履歴に基づき、前記第１の系統が使用した通信経路を除いた通信経路から、前記第２の系統で使用可能な通信経路を設定する処理を、通信装置を構成するコンピュータに実行させるプログラム。
  13. 　前記第１の系統の前記使用履歴に基づき、前記通信装置の利用可能な通信経路のうち、
    　前記第１の系統が使用した通信経路に対して前記第２の系統によるアクセスを不許可とし、前記第１の系統が使用した通信経路を除いた通信経路を、前記第２の系統のアクセスの設定範囲とするフィルタ規則を自動生成する処理と、
    　前記フィルタ規則に基づき、前記第２の系統からの通信の許可、遮断を制御する処理と、をコンピュータに実行させる請求項１２に記載のプログラム。
PCT/JP2017/045379 2017-12-18 2017-12-18 通信装置、通信システム、通信制御方法、プログラム WO2019123523A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
US16/954,693 US11297563B2 (en) 2017-12-18 2017-12-18 Communication apparatus, communication system, communication control method, and program
PCT/JP2017/045379 WO2019123523A1 (ja) 2017-12-18 2017-12-18 通信装置、通信システム、通信制御方法、プログラム
JP2019559887A JP7156310B2 (ja) 2017-12-18 2017-12-18 通信装置、通信システム、通信制御方法、プログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2017/045379 WO2019123523A1 (ja) 2017-12-18 2017-12-18 通信装置、通信システム、通信制御方法、プログラム

Publications (1)

Publication Number Publication Date
WO2019123523A1 true WO2019123523A1 (ja) 2019-06-27

Family

ID=66993282

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2017/045379 WO2019123523A1 (ja) 2017-12-18 2017-12-18 通信装置、通信システム、通信制御方法、プログラム

Country Status (3)

Country Link
US (1) US11297563B2 (ja)
JP (1) JP7156310B2 (ja)
WO (1) WO2019123523A1 (ja)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20220149947A1 (en) * 2019-03-26 2022-05-12 Nec Corporation Optical transponder, and method for controlling same
US11875621B2 (en) * 2021-05-17 2024-01-16 Marat Kushnir Lock and switch controller system, lock and switch device with offline responsiveness, lock and switch controller system with flexible commands

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2013141227A (ja) * 2012-01-05 2013-07-18 General Electric Co <Ge> データを分離するための動的仮想ｌａｎ
JP2015179925A (ja) * 2014-03-19 2015-10-08 三菱電機株式会社 中継装置

Family Cites Families (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003018215A (ja) 2001-07-02 2003-01-17 Meidensha Corp 分散制御システム
US7865251B2 (en) 2003-01-28 2011-01-04 Fisher-Rosemount Systems, Inc. Method for intercontroller communications in a safety instrumented system or a process control system
JP4029768B2 (ja) 2003-05-09 2008-01-09 株式会社日立製作所 レイヤ２網制御装置および制御方法
JP2007219985A (ja) 2006-02-20 2007-08-30 Matsushita Electric Ind Co Ltd サーバー、コントローラ、およびそのプログラム
JP2008191862A (ja) 2007-02-02 2008-08-21 Nec Corp 通信装置および通信制御方法
US8674823B1 (en) * 2009-05-12 2014-03-18 Plug ID, LLC. Power management system
JP5445626B2 (ja) 2012-06-25 2014-03-19 横河電機株式会社 ネットワーク管理システム
EP2947826A4 (en) * 2013-01-21 2016-09-21 Nec Corp CONTROL APPARATUS, COMMUNICATION APPARATUS, COMMUNICATION SYSTEM, SWITCH CONTROL METHOD, AND SWITCH CONTROL SOFTWARE
JP6117050B2 (ja) 2013-08-09 2017-04-19 株式会社日立製作所 ネットワーク制御装置
US9531591B2 (en) * 2014-03-23 2016-12-27 Avaya Inc. Configuration of networks using switch device access of remote server
US10142342B2 (en) * 2014-03-23 2018-11-27 Extreme Networks, Inc. Authentication of client devices in networks
JP2015201021A (ja) 2014-04-08 2015-11-12 三菱電機株式会社 アクセス制御装置
US8811172B1 (en) 2014-04-10 2014-08-19 tw telecom holdings inc. Network path selection using bandwidth prediction
US10955810B2 (en) 2015-11-13 2021-03-23 International Business Machines Corporation Monitoring communications flow in an industrial system to detect and mitigate hazardous conditions
JP6759572B2 (ja) 2015-12-15 2020-09-23 横河電機株式会社 統合生産システム
US10659254B2 (en) * 2017-07-10 2020-05-19 Fungible, Inc. Access node integrated circuit for data centers which includes a networking unit, a plurality of host units, processing clusters, a data network fabric, and a control network fabric

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2013141227A (ja) * 2012-01-05 2013-07-18 General Electric Co <Ge> データを分離するための動的仮想ｌａｎ
JP2015179925A (ja) * 2014-03-19 2015-10-08 三菱電機株式会社 中継装置

Also Published As

Publication number Publication date
JP7156310B2 (ja) 2022-10-19
US20200359309A1 (en) 2020-11-12
US11297563B2 (en) 2022-04-05
JPWO2019123523A1 (ja) 2020-12-03

Similar Documents

Publication Publication Date Title
US10887194B2 (en) Context-sensitive command whitelisting for centralized troubleshooting tool
EP3342100B1 (en) Distributing remote device management attributes to service nodes for service rule processing
EP3138243B1 (en) Network service insertion
JP7414391B2 (ja) 強化されたスマートプロセス制御スイッチのポートロックダウン
WO2012077603A1 (ja) コンピュータシステム、コントローラ、及びネットワーク監視方法
JP5411916B2 (ja) 保護継電器とこれを備えるネットワークシステム
US8442041B2 (en) Virtual service domains
JP2006339933A (ja) ネットワークアクセス制御方法、およびシステム
WO2017073089A1 (ja) 通信装置及びシステム及び方法
CN108833305B (zh) 主机的虚拟网络装置
WO2019123523A1 (ja) 通信装置、通信システム、通信制御方法、プログラム
JP2019213182A (ja) ネットワーク防御装置およびネットワーク防御システム
CN116566752B (zh) 安全引流系统、云主机及安全引流方法
US11159533B2 (en) Relay apparatus
RU2580004C2 (ru) Автоматический межсетевой экран
CN114978563B (zh) 一种封堵ip地址的方法及装置
JP2018064228A (ja) パケット制御装置
Cisco Configuring Source-Route Bridging
Cisco Configuring Source-Route Bridging
KR20220039345A (ko) 소프트웨어 정의 네트워크 기반 망 분리 서비스를 제공하는 시스템 및 방법
CN110708305B (zh) 一种网络隔离设备及方法
Bishop et al. Defending cyberspace with software-defined networks
CN116980196A (zh) 安全防护的方法、装置及电子设备
CN117596220A (zh) 一种裸金属服务器影子流量的传输方法及系统
JP6336797B2 (ja) 中継制御装置、中継制御方法、中継制御プログラム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 17935466

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2019559887

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 17935466

Country of ref document: EP

Kind code of ref document: A1