WO2021014766A1 - 通信中継装置および診断方法 - Google Patents

通信中継装置および診断方法 Download PDF

Info

Publication number
WO2021014766A1
WO2021014766A1 PCT/JP2020/021669 JP2020021669W WO2021014766A1 WO 2021014766 A1 WO2021014766 A1 WO 2021014766A1 JP 2020021669 W JP2020021669 W JP 2020021669W WO 2021014766 A1 WO2021014766 A1 WO 2021014766A1
Authority
WO
WIPO (PCT)
Prior art keywords
detection
circuit
data
diagnostic
input
Prior art date
Application number
PCT/JP2020/021669
Other languages
English (en)
French (fr)
Inventor
寛 岩澤
遠藤　浩通
Original Assignee
株式会社日立製作所
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社日立製作所 filed Critical 株式会社日立製作所
Publication of WO2021014766A1 publication Critical patent/WO2021014766A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]

Definitions

  • This disclosure relates to a communication relay device and a diagnostic method.
  • Control systems including control devices that control equipment such as chemical plants or product assembly equipment in the manufacturing industry, need to maintain safe and stable operation. However, invalid data may be sent to the control device for the purpose of hindering the operation of the control device or causing the control device to perform an erroneous operation. Therefore, the control system may be equipped with a communication relay device having a function of blocking unauthorized data such as a firewall or an IPS (Intrusion Protection System).
  • a communication relay device having a function of blocking unauthorized data such as a firewall or an IPS (Intrusion Protection System).
  • Patent Document 1 discloses a communication relay device that detects invalid data by using a detection device composed of dedicated hardware such as FPGA (Field Programmable Gate Array).
  • FPGA Field Programmable Gate Array
  • the delay time can be shortened as compared with a device that detects invalid data by using software.
  • An object of the present disclosure is to provide a communication relay device and a diagnostic method capable of diagnosing a failure of a detection device while ensuring real-time performance even when the detection device is configured with dedicated hardware. ..
  • it is a communication relay device that relays communication data, and different detection patterns are set for each, and whether or not the input data, which is the input data, includes the set detection pattern.
  • Signal control in which diagnostic data including a detection pattern set in the detection circuit is input to at least one of the plurality of detection circuits and the communication data is input to the other detection circuits.
  • the interruption circuit for switching between relaying and blocking of the communication data, and the detection result of the detection circuit to which the diagnostic data is input. It has a diagnostic circuit for diagnosing whether or not a failure has occurred in the detection circuit.
  • control system configuration First, the configuration of the entire control system according to the embodiment of the present disclosure will be described.
  • the control system described below is used to control equipment used in a plant such as a chemical plant, but the equipment controlled by the control system is not particularly limited.
  • FIG. 1 is a diagram showing a configuration example of the entire control system.
  • the control system 100 shown in FIG. 1 includes a fire wall 101, a terminal device 102, a production management server 103, an HMI (Human Machine Interface) device 104, a monitoring control server 105, a control device 106, and a controlled device 107. And a communication relay device 108. Further, the control system 100 is connected to an external network 200 such as the Internet.
  • an external network 200 such as the Internet.
  • Each part 101 to 108 of the control system 100 is connected to each other so as to be able to communicate with each other by using a hierarchical network composed of a plurality of networks 111 to 113.
  • the control target equipment 107 is interconnected with the control device 106.
  • the control device 106 is interconnected with the communication relay device 108.
  • the communication relay device 108 is interconnected with the monitoring control server 105 via the control system network 113.
  • the monitoring control server 105 is interconnected with the HMI device 104 and the production control server 103 via the control system information network 112.
  • the production control server 103 is interconnected with the terminal device 102 and the firewall 101 via the information system network 111.
  • the firewall 101 is connected to the external network 200.
  • each part 101 to 108 of the control system 100 there may be a plurality of each part 101 to 108 of the control system 100.
  • the communication relay device 108 is installed for each control device 106.
  • the firewall 101 is a device that relays communication between the information system network 111 and the external network 200.
  • the firewall 101 has a function of preventing unauthorized access from the external network 200 to the control system 100 (specifically, the information system network 111).
  • the terminal device 102 is used by a user (administrator, etc.) of the control system 100.
  • the terminal device 102 receives the plan information regarding the planned value such as the production target value or the production target number in the plant from the user, and notifies the production control server 103 of the plan information. Further, the terminal device 102 receives the actual information regarding the production amount of the plant and the like from the production control server 103, and displays the actual information. As a result, the user can monitor the actual information of the plant.
  • the production control server 103 determines the planned value of the plant based on the plan information from the terminal device 102, and notifies the monitoring control server 105 of the planned value. Further, the production control server 103 receives the state information indicating the state of the control target equipment 107 from the monitoring control server 105, generates the actual information based on the state information, and notifies the terminal device 102.
  • the HMI device 104 receives various information from the user and displays various information. For example, the HMI device 104 receives command information regarding a command value for controlling the control target equipment 107 from the user, and transmits the command information to the monitoring control server 105. Further, the HMI device 104 receives the state information of the control target equipment 107 from the control target equipment 107 and displays the state information. As a result, the user can monitor the state of the controlled equipment 107.
  • the monitoring control server 105 determines the command value based on the planned value from the production control server 103 and the command information from the HMI device 104, and notifies the control device 106 of the command value via the communication relay device 108. To do. Further, the monitoring control server 105 receives the status information of the control target equipment 107 from the control device 106 via the communication relay device 108, and notifies the production control server 103 and the HMI device 104 of the status information.
  • the control device 106 controls the control target equipment 107 based on the command value from the monitoring control server 105. Further, the control device 106 acquires the state of the control target equipment 107, and transmits the state information indicating the state to the monitoring control server 105 via the communication relay device 108.
  • the equipment to be controlled 107 is a switch, a valve, a sensor, and the like.
  • the command value for controlling the control target equipment 107 described above is, for example, a value indicating opening / closing of a switch and a valve, an opening degree, or the like.
  • the state of the control target equipment 107 described above is, for example, pressure, temperature, rotation speed, etc. measured by the sensor.
  • the communication relay device 108 is a device that relays communication between the monitoring control server 105 and the control device 106. Since the communication between the monitoring control server 105 and the control device 106 requires real-time performance, it is preferable that the delay time for the communication by the communication relay device 108 is as short as possible.
  • the communication relay device 108 has a detection function that detects and blocks invalid data from the control system network 113, and a diagnostic function that diagnoses whether or not a failure has occurred in the detection function.
  • Illegal data is generated as a result of infection of a device in the control system 100 such as the monitoring control server 105 with malware such as a computer virus.
  • malicious data may be transmitted from a device such as a PC (Personal Computer) directly connected to the control system network 113 by an attacker who has invaded the inside of the plant. Since it is difficult to prevent such illegal data by the firewall 101 for the external network 200, it is important that the communication relay device 108 installed for each control device 106 detects it.
  • PC Personal Computer
  • the detection function includes only a method called a blacklist type that detects and blocks communication data including a preset detection pattern (bit string pattern) as invalid data, and communication data including a preset detection pattern.
  • a blacklist type detects and blocks communication data including a preset detection pattern (bit string pattern) as invalid data, and communication data including a preset detection pattern.
  • a white list type in which other communication data (communication data that does not include a detection pattern) is detected as invalid data and blocked by passing the data.
  • a pattern characteristic of malicious data transmitted by malware or the like is set as a detection pattern.
  • a characteristic pattern is set as the detection pattern in the permission data for permitting relay (for example, regular data transmitted to the control device 106).
  • FIG. 2 is a block diagram showing a configuration example of the communication relay device 108 having no diagnostic function.
  • the communication relay device 108 shown in FIG. 2 is connected to the external network 21 and the internal network 24, and relays the communication between the external network 21 and the internal network 24.
  • FIG. 2 shows a configuration for relaying communication data transmitted from the external network 21 to the internal network 24.
  • the communication relay device 108 shown in FIG. 2 is mounted on the control system 100 shown in FIG. 1, the external network 21 corresponds to the control system network 113 shown in FIG. 1, and the internal network 24 controls the communication relay device 108.
  • the communication relay device 108 has a cutoff circuit 31 and detection circuits 61 and 62.
  • the communication data 22 from the external network 21 is input to the cutoff circuit 31, the detection circuits 61 and 62, respectively.
  • the detection circuits 61 and 62 may be configured by dedicated hardware such as FPGA, respectively.
  • the number of detection circuits is not limited to two, and may be, for example, three or more.
  • the detection circuits 61 and 62 detect whether or not the input input data (communication data 22 in the example of FIG. 2) includes a detection pattern set in itself, and a detection signal indicating the detection result. 641 and 642 are output and input to the cutoff circuit 31. In the present embodiment, the detection circuits 61 and 62 activate the detection signals 641 and 642 when the communication data 22 includes the detection pattern, and the detection signals 641 when the communication data 22 does not include the detection pattern. And 642 are inactive.
  • the cutoff circuit 31 switches between passing (relaying) and cutting off the communication data 22 based on the detection signals 641 and 642 from the detection circuits 61 and 62.
  • the cutoff circuit 31 corresponds to the blacklist type. That is, the cutoff circuit 31 passes the communication data 22 as output data 23 as it is when the detection signals 641 and 642 are all inactive, and cuts off the communication data 22 when at least one of the detection signals 641 and 642 is active. ..
  • FIG. 3 is a timing chart for explaining the operation of the communication relay device 108, which is compatible with the blacklist type and does not have a diagnostic function. In FIG. 3, the delay in the circuit is ignored for the sake of simplicity.
  • the first half of the communication data 22 is normal data (normal) that does not include the detection pattern, and in the latter half of the communication data 22, invalid data (malicious (malicious)) that includes the detection pattern set in the detection circuit 62. 62)).
  • the detection signal 641 output from the detection circuit 61 is always inactive.
  • the detection signal 642 output from the detection circuit 62 is inactive in the first half of the communication data 22, but is active because the detection pattern 62 is detected in the second half of the communication data 22. It becomes.
  • the cutoff circuit 31 passes the first half of the communication data 22 as the output data 23 and cuts off the second half of the communication data 22. As a result, invalid data (malicious (62)) including the detection pattern can be blocked, and only normal data (normal) not including the detection pattern can be transmitted to the internal network 24 as output data 23.
  • the configuration of the communication relay device 108 that is compatible with the whitelist type and does not have a diagnostic function is the same as the configuration shown in FIG. However, the operation of the cutoff circuit 31 is different. Specifically, in the case of the whitelist type, the cutoff circuit 31 cuts off the communication data 22 when all the detection signals 641 and 642 are inactive, and the communication data when at least one of the detection signals 641 and 642 is active. 22 is passed as it is as output data 23.
  • FIG. 4 is a timing chart for explaining the operation of the communication relay device 108, which is compatible with the whitelist type and does not have a diagnostic function. In FIG. 4, the delay in the circuit is ignored for the sake of simplicity.
  • the communication data 22 is normal data (normal) not including the detection pattern in the first half, and permission data (allow (62)) including the detection pattern set in the detection circuit 62 in the second half. It becomes.
  • the detection signal 641 output from the detection circuit 61 is always inactive.
  • the detection signal 642 output from the detection circuit 62 is inactive in the first half of the communication data 22, but is active because the detection pattern 62 is detected in the second half of the communication data 22. It becomes.
  • the cutoff circuit 31 cuts off the first half of the communication data 22, and passes the second half of the communication data 22 as output data 23.
  • the normal data (normal) that does not include the detection pattern can be blocked, and only the permission data (allow (62)) that includes the detection pattern can be transmitted to the internal network 24. In this case, invalid data can be blocked as normal data.
  • FIG. 5 is a block diagram showing a configuration example of the communication relay device 108 having a diagnostic function.
  • the communication relay device 108 shown in FIG. 5 includes a pattern generation circuit 4, switching circuits 51 and 52, a switching signal generation circuit 53, a detection circuit 63, and a diagnostic circuit 71. Further prepare.
  • the detection circuit 63 is a circuit having the same function as the detection circuits 61 and 62, and a unique detection pattern different from the detection patterns set in the detection circuits 61 and 62 is set.
  • the number of detection circuits is not limited to three, and it is desirable that more than the number of detection patterns to be detected be provided. Further, the communication relay device 108 may be configured so that a detection circuit can be added.
  • the pattern generation circuit 4, the switching circuits 51 and 52, and the switching signal generation circuit 53 constitute a signal control unit that controls the input / output of the detection circuits 61 to 63.
  • the signal control unit inputs diagnostic data corresponding to the detection circuit into at least one of the detection circuits 61 to 63, and inputs communication data 22 into the other detection circuits.
  • the signal control unit sequentially inputs diagnostic data including the detection pattern set in the detection circuit as a diagnostic pattern to each of the detection circuits 61 to 63.
  • the switching signal generation circuit 53 repeatedly generates and outputs a plurality (specifically, three) switching signals 54 corresponding to each of the detection circuits 61 to 63 in order.
  • the pattern generation circuit 4 sequentially repeatedly generates and outputs diagnostic data 41 including detection patterns set in each of the detection circuits 61 to 63 as diagnostic patterns in response to the switching signal 54 from the switching signal generation circuit 53. ..
  • the switching circuit 51 is a first switching circuit that switches switching output signals 511 to 513 to be input to each of the detection circuits 61 to 63 according to the switching signal 54 from the switching signal generation circuit 53. Specifically, the switching circuit 51 inputs the diagnostic data 41 from the pattern generation circuit 4 as a switching output signal to any of the detection circuits 61 to 63 according to the switching signal 54, and all of the other detection circuits.
  • the communication data 22 is input as a switching output signal.
  • diagnostic data including the detection pattern set in the detection circuit is sequentially input to each of the detection circuits 61 to 63, and the detection circuits other than the detection circuit to which the diagnostic data is input are input. Communication data 22 is input.
  • the switching circuit 52 inputs any of the detection signals 641 to 643 from each of the detection circuits 61 to 63 into the diagnostic circuit 71 as the switching output signal 523 in response to the switching signal 54 from the switching signal generation circuit 53, and the rest.
  • This is a second switching circuit that inputs the detection signals of the above to the cutoff circuit 31 as switching output signals 521 and 522.
  • the diagnostic circuit 71 diagnoses whether or not a failure has occurred in the detection circuits 61 to 63 based on the switching signal 54 from the switching signal generation circuit 53 and the switching output signal 523, and outputs the diagnosis result 711. To do.
  • the diagnosis result 711 may be output to a higher-level device (not shown). In this case, the host device may notify the user of the presence or absence of a failure and the location of the failure.
  • the host device may be a device in the control system 100 shown in FIG. 1 (for example, a terminal device 102, an HMI device 104, a monitoring control server 105, or the like).
  • FIG. 6 is a timing chart for explaining the operation of the communication relay device 108 shown in FIG. It is assumed that all the detection circuits 61 to 63 are normal, that is, they are not out of order. Further, as the communication data 22, safe data (Safe) that does not include the detection pattern is input to the communication relay device 108.
  • the switching signal generation circuit 53 repeatedly generates and outputs three switching signals 54 corresponding to each of the detection circuits 61 to 63 in order.
  • the values of the three switching signals 54 corresponding to the detection circuits 61 to 63 are A, B, and C, respectively.
  • the pattern generation circuit 4 generates and outputs diagnostic data 41 having a detection pattern set in the detection circuit corresponding to the switching signal 54 from the switching signal generation circuit 53 among the detection circuits 61 to 63 as a diagnostic pattern. As a result, the pattern generation circuit 4 repeatedly generates three diagnostic data 41 (diag (61), diag (62), diag (63)) having diagnostic patterns set in the detection circuits 61 to 63, respectively. Will be output.
  • the switching circuit 51 converts the diagnostic data 41 having the diagnostic pattern set in the detection circuit corresponding to the switching signal 54 from the switching signal generation circuit 53 into the detection circuit corresponding to the switching signal 54. It is input as a switching output signal, and the communication data 22 is input as a switching output signal to all the other detection circuits.
  • the switching output signal 511 input to the detection circuit 61 becomes diagnostic data 41 (diag (61)), and the switching is input to the detection circuits 62 and 63.
  • the output signals 512 and 513 become the communication data 22.
  • the switching output signal 512 becomes the diagnostic data 41 (diag (62)), and the switching output signals 511 and 513 become the communication data 22.
  • the switching output signal 513 becomes the diagnostic data 41 (diag (63)), and the switching output signals 511 and 512 become the communication data 22.
  • the diagnostic data 41 showing the detection pattern set in itself as the diagnostic pattern is repeatedly input to the detection circuits 61 to 63 in order.
  • the detection circuits 61 to 63 activate the output detection signals 641 to 643 while the diagnostic data 41 is input. ..
  • the communication data 22 does not always include the safe data (Safe), that is, the detection pattern
  • the detection circuits 61 to 63 have the detection signals 641 to 643 while the communication data 22 is input. To deactivate.
  • the switching circuit 52 inputs the detection signal from the detection circuit corresponding to the switching signal 54 from the switching signal generation circuit 53 to the diagnostic circuit 71 as the switching output signal 523, and inputs the remaining detection signal to the diagnostic circuit 71.
  • the switching output signals 521 and 522 are input to the cutoff circuit 31.
  • the detection signals from the detection circuit to which the communication data 22 is input are input to the cutoff circuit 31 as switching output signals 512 and 522, and the detection circuits to which the diagnostic data 41 is input are input to the diagnostic circuit 71.
  • the detection signal is input as a switching output signal 523.
  • the cutoff circuit 31 corresponds to the blacklist type, when the switching output signals 521 and 522 from the switching circuit 52 are all inactive, the communication data 22 is passed as it is as the output data 23, and the switching output signals 521 and When at least one of 522 is active, the communication data 22 is blocked. Here, since the switching output signals 521 and 522 are all inactive, the cutoff circuit 31 passes the communication data 22 as it is as the output data 23.
  • the diagnostic circuit 71 diagnoses whether or not the detection circuit corresponding to the switching signal 54 from the switching signal generation circuit 53 has failed based on the switching output signal 523 at that time, and outputs the diagnosis result as the diagnosis result 711. To do. Specifically, since the switching output signal 523 is a detection signal output by the detection circuit to which the diagnostic data is input, it is active if the detection circuit is not broken. In the example of the figure, since the switching output signal 523 is always active, the diagnostic circuit 71 determines that the detection circuits 61 to 63 have not failed, and outputs nothing as the diagnostic result 711. In this case, since the host device does not output anything as the diagnosis result 711 from the communication relay device 108, it is determined that the detection circuits 61 to 63 have not failed.
  • FIG. 7 is a timing chart for explaining the operation of the communication relay device 108 in which a failure has occurred in a part of the detection circuits (here, the detection circuit 63). In FIG. 7, the delay in the circuit is ignored for the sake of simplicity.
  • the operation until the switching circuit 51 outputs the switching output signals 511 to 513 is the same as the operation when the detection circuits 61 to 63 described with reference to FIG. 6 are not out of order. Further, the operations of the detection circuits 61 and 62 are the same as in the case of FIG. Since the detection circuit 63 is out of order, the switching signal 54 becomes the value "C" corresponding to the detection circuit 63, and even if the diagnostic data 41 (diag (63)) is input to the detection circuit 63 as the switching output signal 513. , The detection signal 643 remains inactive. As a result, when the value of the switching signal 54 is "C", the switching output signal 523 input from the switching circuit 52 to the diagnostic circuit 71 becomes inactive.
  • the diagnostic circuit 71 detects that the value of the switching signal 54 when the switching output signal 523 is inactive is "C" as a failure in the detection circuit 63 corresponding to the switching signal 54. , A signal indicating that a failure has occurred in the detection circuit 63 is output as a diagnosis result 711. In the example of the figure, the diagnostic circuit 71 outputs the switching signal 54 as the diagnostic result 711. As a result, the host device receives the switching signal 51 having a value of "C" as the diagnosis result 711 from the communication relay device 108, and determines from the value that a failure has occurred in the detection circuit 63.
  • the communication relay device 108 is compatible with the blacklist type, but may be compatible with the whitelist type.
  • the difference is that the output data 23 in FIGS. 6 and 7 is cut off by the cutoff circuit 31.
  • the communication relay device 108 has been described by giving an example of relaying communication data transmitted from the external network 21 to the internal network 24, the communication relay device 108 is transmitted from the internal network 24 to the external network 21. Communication data may be relayed. At this time, the communication relay device 108 may have a detection function for the communication data and a diagnostic function thereof, or may simply relay the communication data. Further, the communication relay device 108 is preferably used at a place where real-time performance is required as shown in FIG. 1, but may be provided at another place. Further, the communication relay device 108 can also be applied to a firewall 101 or the like.
  • the communication relay device (108) is a communication relay device that relays communication data, and different detection patterns are set for each, and the set detection pattern is set for the input data which is the input data. Diagnostic data including the detection pattern set in the detection circuit is input to at least one of the plurality of detection circuits (61 to 63) for detecting whether or not the detection circuit is included, and the other detection circuits.
  • a signal control unit (4, 51 to 53,) that inputs communication data to, and a cutoff circuit (31) that switches between relay and cutoff of communication data based on the detection result of the detection circuit to which communication data is input. It has a diagnostic circuit (71) for diagnosing whether or not a failure has occurred in the detection circuit based on the detection result of the detection circuit into which the diagnostic data has been input.
  • the signal control unit sequentially inputs diagnostic data including the detection pattern set in the detection circuit to each of the plurality of detection circuits. In this case, since it is possible to sequentially perform failure diagnosis for a plurality of detection circuits, it is possible to perform failure diagnosis for a plurality of detection circuits while ensuring real-time performance.
  • the signal control unit is set in the switching signal generation circuit (53) that outputs a plurality of switching signals corresponding to each of the plurality of detection circuits in order and in each of the plurality of detection circuits according to the switching signals.
  • a pattern generation circuit (4) that outputs a plurality of diagnostic data including the detected detection pattern in order and outputs the detection pattern set in the detection circuit to each of the plurality of detection circuits according to the switching signal.
  • the first switching circuit (51) which inputs communication data to other detection circuits while inputting the including diagnostic data in order, and the detection result of the detection circuit to which the communication data is input are blocked according to the switching signal.
  • It has a second switching circuit (52) that inputs to the circuit and inputs the detection result of the detection circuit into which the diagnostic data is input to the diagnostic circuit. In this case, it is possible to perform failure diagnosis of the detection device while ensuring real-time performance with a simple configuration.
  • the cutoff circuit cuts off the communication data when it is detected by the detection circuit to which the communication data is input, and the diagnostic circuit cuts off the detection pattern by the detection circuit to which the diagnostic data is input. If it is detected that the detection circuit is not included, it is diagnosed that the detection circuit is abnormal. Therefore, in a communication relay device having a blacklist type detection function, it is possible to perform failure diagnosis for the detection circuit while ensuring real-time performance.
  • the cutoff circuit cuts off the communication data when it is detected by the detection circuit to which the communication data is input that the detection pattern is not included, and the diagnostic circuit is the detection circuit to which the diagnostic data is input. When it is detected that the detection pattern is not included, it is diagnosed that the detection circuit is abnormal. Therefore, in a communication relay device having a whitelist type detection function, it is possible to perform failure diagnosis for the detection circuit while ensuring real-time performance.
  • the above-described embodiments of the present disclosure are examples for the purpose of explaining the present disclosure, and the scope of the present disclosure is not limited to those embodiments, and the present disclosure includes various modifications. Further, the above-described embodiment is used for explaining the present disclosure in an easy-to-understand manner, and is not necessarily limited to the one including all the configurations. In addition, a part of the configuration of each embodiment can be replaced with another configuration or deleted, and a new configuration can be added. In addition, the wiring and the like indicate what is considered necessary for explanation, and do not necessarily indicate all the wiring and the like necessary for product application.
  • Pattern generation circuit 21 External network 24: Internal network 31: Breaking circuit 51-52: Switching circuit 53: Switching signal generation circuit 61-63: Detection circuit 71: Diagnostic circuit 100: Control system 101: Firewall 102: Terminal Device 103: Production management server 104: HMI device 105: Monitoring control server 106: Control device 107: Control target equipment 108: Communication relay device 111: Information system network 112: Control system information network 113: Control system network 200: External network

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Small-Scale Networks (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

リアルタイム性を確保しつつ、ハードウェアで構成された検知回路の故障診断を行うことを可能にする。検知回路６１～６３には、それぞれ異なる検知パターンが設定される。検知回路６１～６３は、入力されたデータである入力データに当該設定された検知パターンが含まれるか否かを検知する。信号制御部は、複数の検知回路の少なくとも１つに当該検知回路に設定された検知パターンを含む診断データを入力し、他の検知回路に通信データを入力する。遮断回路３１は、通信データが入力された検知回路の検知結果に基づいて、通信データの中継と遮断とを切り替える。診断回路７１は、診断データが入力された検知回路の検知結果に基づいて、当該検知回路に障害が発生しているか否かを診断する。

Description

通信中継装置および診断方法
　本開示は、通信中継装置および診断方法に関する。
　製造業における化学プラントまたは製品組み立て装置のような設備を制御する制御装置を含む制御システムは、安全かつ安定な動作を維持する必要がある。しかしながら、制御装置の動作を阻害したり、制御装置に誤った動作を行わせたりする目的で、制御装置に対して不正なデータが送られてくる場合がある。このため、制御システムには、ファイヤーウォールまたはＩＰＳ(Intrusion Protection System)のような不正なデータを遮断する機能を有する通信中継装置が実装されることがある。
　また、制御システムでは、データのセンシング、センシングの結果に基づく制御演算、制御演算の結果に基づくアクチュエーションという一連の動作を予め定められた制御周期内に行うリアルタイム性が必要となる。このため、上記の通信中継装置を制御システムに実装する場合、リアルタイム性を確保するために、通信中継装置による遅延時間をできるだけ小さくする必要がある。
　特許文献１には、ＦＰＧＡ(Field Programmable Gate Array)等の専用のハードウェアで構成した検知装置を用いて不正なデータを検知する通信中継装置が開示されている。この通信中継装置では、ソフトウェアを用いて不正なデータを検知する装置と比べて、遅延時間を短くすることができる。
特開２００８－２９９８６４号公報
　特許文献１に記載の技術のように不正なデータを検知する検知装置をハードウェアで構成した場合、検知装置の故障を検知することが難しいという問題がある。これは、ソフトウェアで構成された検知装置では、その構成要素である演算回路等が様々な処理で共用されているために故障が顕在化しやすいのに対して、ハードウェアで構成された検知装置は、他の用途で使用されないために故障が顕在化しにくいためである。
　本開示の目的は、検知装置が専用のハードウェアで構成された場合でも、リアルタイム性を確保しつつ、検知装置の故障診断を行うことが可能な通信中継装置および診断方法を提供することにある。
　本開示の一態様によれば、通信データを中継する通信中継装置であって、それぞれ異なる検知パターンが設定され、入力されたデータである入力データに当該設定された検知パターンが含まれるか否かを検知する複数の検知回路と、前記複数の検知回路の少なくとも１つに当該検知回路に設定された検知パターンを含む診断データを入力し、他の前記検知回路に前記通信データを入力する信号制御部と、前記通信データが入力された検知回路の検知結果に基づいて、前記通信データの中継と遮断とを切り替える遮断回路と、前記診断データが入力された検知回路の検知結果に基づいて、当該検知回路に障害が発生しているか否かを診断する診断回路と、を有する。
　本発明によれば、検知装置が専用のハードウェアで構成された場合でも、リアルタイム性を確保しつつ、検知装置の故障診断を行うことが可能になる。これ以外の効果は、以下の実施形態の説明により明らかにされる。
本開示の一実施形態に係る制御システム全体の構成を示すブロック図である。 診断機能を備えていない通信中継装置の構成例を示すブロック図である。 診断機能を備えていない通信中継装置の動作の一例を説明するためのタイミングチャートである。 診断機能を備えていない通信中継装置の動作の他の例を説明するためのタイミングチャートである。 診断機能を備えた通信中継装置の構成例を示すブロック図である。 診断機能を備えた通信中継装置の動作の一例を説明するためのタイミングチャートである。 診断機能を備えた通信中継装置の動作の他の例を説明するためのタイミングチャートである。
　以下、本開示の実施形態について図面を参照して説明する。
［制御システム全体の構成］
　先ず、本開示の一実施形態に係る制御システム全体の構成について説明する。以下で説明する制御システムは、化学プラントのようなプラントで用いられる設備を制御するために使用されているが、制御システムが制御する設備は、特に限定されない。
　図１は、制御システム全体の構成例を示す図である。図１に示す制御システム１００は、ファイヤーウォール１０１と、端末装置１０２と、生産管理サーバ１０３と、ＨＭＩ（Human Machine Interface）装置１０４と、監視制御サーバ１０５と、制御装置１０６と、制御対象設備１０７と、通信中継装置１０８とを有する。また、制御システム１００は、インターネットなどの外部ネットワーク２００と接続されている。
　制御システム１００の各部１０１～１０８は、複数のネットワーク１１１～１１３にて構成される階層状のネットワークを用いて相互に通信可能に接続されている。具体的には、制御対象設備１０７は、制御装置１０６と相互に接続されている。制御装置１０６は、通信中継装置１０８と相互に接続されている。通信中継装置１０８は、制御システムネットワーク１１３を介して、監視制御サーバ１０５と相互に接続されている。監視制御サーバ１０５は、制御系情報ネットワーク１１２を介して、ＨＭＩ装置１０４及び生産管理サーバ１０３と相互に接続されている。生産管理サーバ１０３は、情報系ネットワーク１１１を介して、端末装置１０２及びファイヤーウォール１０１と相互に接続されている。ファイヤーウォール１０１は、外部ネットワーク２００と接続される。
　また、制御システム１００の各部１０１～１０８は、複数あってもよい。制御装置１０６が複数ある場合、通信中継装置１０８は、制御装置１０６ごとに設置される。
　ファイヤーウォール１０１は、情報系ネットワーク１１１と外部ネットワーク２００との間の通信を中継する装置である。ファイヤーウォール１０１は、外部ネットワーク２００から制御システム１００（具体的には、情報系ネットワーク１１１）への不正アクセスを防ぐ機能を有する。
　端末装置１０２は、制御システム１００のユーザ（管理者等）にて使用される。端末装置１０２は、ユーザから、プラントにおける生産目標値または生産目標個数等の計画値に関する計画情報を受け付け、その計画情報を生産管理サーバ１０３に通知する。また、端末装置１０２は、生産管理サーバ１０３からプラントの生産量などに関する実績情報を受信し、その実績情報を表示する。これにより、ユーザは、プラントの実績情報を監視することができる。
　生産管理サーバ１０３は、端末装置１０２からの計画情報に基づいて、プラントの計画値を決定し、その計画値を監視制御サーバ１０５に通知する。また、生産管理サーバ１０３は、監視制御サーバ１０５から制御対象設備１０７の状態を示す状態情報を受信し、その状態情報に基づいて、実績情報を生成して端末装置１０２に通知する。
　ＨＭＩ装置１０４は、ユーザから種々の情報を受け付け、また、種々の情報を表示する。例えば、ＨＭＩ装置１０４は、ユーザから、制御対象設備１０７を制御するための指令値に関する指令情報を受け付け、その指令情報を監視制御サーバ１０５に送信する。また、ＨＭＩ装置１０４は、制御対象設備１０７から制御対象設備１０７の状態情報を受信し、その状態情報を表示する。これにより、ユーザは、制御対象設備１０７の状態を監視することができる。
　監視制御サーバ１０５は、生産管理サーバ１０３からの計画値と、ＨＭＩ装置１０４からの指令情報に基づいて、指令値を決定し、その指令値を、通信中継装置１０８を介して制御装置１０６に通知する。また、監視制御サーバ１０５は、制御装置１０６から通信中継装置１０８を介して、制御対象設備１０７の状態情報を受信し、その状態情報を生産管理サーバ１０３およびＨＭＩ装置１０４に通知する。
　制御装置１０６は、監視制御サーバ１０５からの指令値に基づいて、制御対象設備１０７を制御する。また、制御装置１０６は、制御対象設備１０７の状態を取得し、その状態を示す状態情報を、通信中継装置１０８を介して監視制御サーバ１０５に送信する。
　制御対象設備１０７は、スイッチ、バルブ及びセンサなどである。上述した制御対象設備１０７を制御するための指令値は、例えば、スイッチ及びバルブの開閉を示す値又は開度などである。また、上述した制御対象設備１０７の状態は、例えば、センサにより計測される圧力、温度及び回転数などである。
　通信中継装置１０８は、監視制御サーバ１０５と制御装置１０６との間の通信を中継する装置である。監視制御サーバ１０５と制御装置１０６との間の通信には、リアルタイム性が必要であるため、通信中継装置１０８による通信に対する遅延時間は、できるだけ短いことが好ましい。
　通信中継装置１０８は、制御システムネットワーク１１３からの不正なデータを検知して遮断する検知機能と、検知機能に障害が発生しているか否かを診断する診断機能とを有する。
　不正なデータは、例えば、監視制御サーバ１０５等の制御システム１００内の装置がコンピュータウィルスのようなマルウェアに感染した結果として生成される。また、不正なデータは、プラントの内部に侵入した攻撃者が制御システムネットワーク１１３に直接接続したＰＣ（Personal Computer）等の装置から送信されることもある。このような不正なデータは、外部ネットワーク２００向けのファイヤーウォール１０１では防ぐことが難しいため、制御装置１０６ごとに設置した通信中継装置１０８にて検知されることが重要となる。
　検知機能には、予め設定された検知パターン（ビット列のパターン）を含む通信データを不正なデータとして検知して遮断するブラックリスト型と呼ばれる方式と、予め設定された検知パターンを含む通信データのみを通過させ、他の通信データ（検知パターンを含まない通信データ）を不正なデータとして検知して遮断するホワイトリスト型と呼ばれる方式とがある。ブラックリスト型の場合、検知パターンとして、マルウェア等により送信される不正なデータに特徴的なパターンが設定される。また、ホワイトリスト型の場合、検知パターンとして、中継を許可する許可データ（例えば、制御装置１０６に送信する正規のデータ）に特徴的なパターンが設定される。
　以下、通信中継装置１０８についてより詳細に説明する。
　先ず、検知機能について説明するために、診断機能を備えていない通信中継装置１０８について説明する。
［診断機能を備えていない通信中継装置（ブラックリスト型）の構成および動作］
　図２は、診断機能を備えていない通信中継装置１０８の構成例を示すブロック図である。図２に示す通信中継装置１０８は、外部ネットワーク２１および内部ネットワーク２４と接続され、外部ネットワーク２１と内部ネットワーク２４との間の通信を中継する。図２では、外部ネットワーク２１から内部ネットワーク２４に向かって伝送される通信データを中継する構成が示されている。なお、図２に示す通信中継装置１０８を図１に示す制御システム１００に実装する場合、外部ネットワーク２１は、図１の制御システムネットワーク１１３に対応し、内部ネットワーク２４は、通信中継装置１０８と制御装置１０６とを接続するネットワーク（図示せず）に対応する。
　通信中継装置１０８は、図２の例では、遮断回路３１と、検知回路６１および６２とを有する。外部ネットワーク２１からの通信データ２２は、遮断回路３１、検知回路６１および６２のそれぞれに入力される。
　検知回路６１および６２は、それぞれＦＰＧＡなどの専用のハードウェアにて構成されてもよい。検知回路は、２つに限らず、例えば、３つ以上あってもよい。
　検知回路６１および６２には、それぞれ異なる固有の検知パターンが設定されている。検知回路６１および６２は、入力された入力データ（図２の例では、通信データ２２）に、自身に設定されている検知パターンが含まれるか否かを検知し、その検知結果を示す検知信号６４１および６４２を出力して遮断回路３１に入力する。本実施形態では、検知回路６１および６２は、通信データ２２に検知パターンが含まれている場合、検知信号６４１および６４２をアクティブとし、通信データ２２に検知パターンが含まれていない場合、検知信号６４１および６４２を非アクティブとする。
　遮断回路３１は、検知回路６１および６２からの検知信号６４１および６４２に基づいて、通信データ２２の通過（中継）と遮断とを切り替える。ここでは、遮断回路３１は、ブラックリスト型に対応している。つまり、遮断回路３１は、検知信号６４１および６４２が全て非アクティブの場合、通信データ２２をそのまま出力データ２３として通過させ、検知信号６４１および６４２の少なくとも一方がアクティブの場合、通信データ２２を遮断する。
　図３は、ブラックリスト型に対応した、診断機能を備えていない通信中継装置１０８の動作を説明するためのタイミングチャートである。なお、図３では、簡単のために回路内における遅延は無視している。
　図３の例では、通信データ２２の前半は、検知パターンを含まない通常データ（normal）であり、通信データ２２の後半において、検知回路６２に設定された検知パターンを含む不正なデータ（malicious(62)）となる。
　この場合、通信データ２２は前半でも後半でも検知回路６１に設定された検知パターンを含まないため、検知回路６１から出力される検知信号６４１は、常に非アクティブとなる。一方、検知回路６２から出力される検知信号６４２は、通信データ２２の前半では、非アクティブであるが、通信データ２２の後半において、検知回路６２で検知パターンが検知されるため、アクティブ（Active）となる。その結果、遮断回路３１は、通信データ２２の前半を出力データ２３として通過させ、通信データ２２の後半を遮断する。これにより、検知パターンを含む不正なデータ（malicious(62)）を遮断し、検知パターンを含まない通常データ（normal）のみが出力データ２３として内部ネットワーク２４へ伝達することができる。
［診断機能を備えていない通信中継装置（ホワイトリスト型）の構成および動作］
　上述したブラックリスト型に対応した通信中継装置１０８では、通信データ２２に検知パターンが含まれている場合に、通信データ２２を遮断していた。以下では、通信データ２２に検知パターンが含まれていない場合に、通信データ２２を遮断するホワイトリスト型に対応した通信中継装置１０８について説明する。
　ホワイトリスト型に対応した、診断機能を備えていない通信中継装置１０８の構成は、図３に示した構成と同じである。ただし、遮断回路３１の動作が異なる。具体的には、ホワイトリスト型の場合、遮断回路３１は、検知信号６４１および６４２が全て非アクティブの場合、通信データ２２を遮断し、検知信号６４１および６４２の少なくとも一方がアクティブの場合、通信データ２２をそのまま出力データ２３として通過させる。
　図４は、ホワイトリスト型に対応した、診断機能を備えていない通信中継装置１０８の動作を説明するためのタイミングチャートである。なお、図４では、簡単のために回路内における遅延は無視している。
　図４の例では、通信データ２２は、前半においては、検知パターンを含まない通常データ（normal）であり、後半において、検知回路６２に設定された検知パターンを含む許可データ（allow(62)）となる。
　この場合、通信データ２２は前半でも後半でも検知回路６１に設定された検知パターンを含まないため、検知回路６１から出力される検知信号６４１は、常に非アクティブとなる。一方、検知回路６２から出力される検知信号６４２は、通信データ２２の前半では、非アクティブであるが、通信データ２２の後半において、検知回路６２で検知パターンが検知されるため、アクティブ（Active）となる。その結果、遮断回路３１は、通信データ２２の前半を遮断し、通信データ２２の後半を出力データ２３として通過させる。これにより、検知パターンを含まない通常データ（normal）を遮断し、検知パターンを含む許可データ（allow(62)）のみを内部ネットワーク２４へ伝達することができる。この場合、不正なデータは通常データ（normal）として遮断することができる。
［診断機能を備えた通信中継装置の構成および動作（ブラックリスト型）］
　次に診断機能を備えた通信中継装置１０８について説明する。また、以下では、特に断りのない限り、通信中継装置１０８はブラックリスト型に対応しているものとする。
　図５は、診断機能を備えた通信中継装置１０８の構成例を示すブロック図である。図５に示す通信中継装置１０８は、図２に示した構成に加えて、パターン生成回路４と、切替回路５１および５２と、切替信号生成回路５３と、検知回路６３と、診断回路７１とをさらに備える。検知回路６３は、検知回路６１および６２と同様な機能を有する回路であり、検知回路６１および６２に設定された検知パターンとは異なる、固有の検知パターンが設定されている。なお、検知回路は、３つに限らず、検知すべき検知パターンの数以上設けられることが望ましい。また、通信中継装置１０８は、検知回路の増設が可能に構成されてもよい。
　パターン生成回路４、切替回路５１、５２および切替信号生成回路５３は、検知回路６１～６３の入出力を制御する信号制御部を構成する。信号制御部は、検知回路６１～６３の少なくとも１つに、その検知回路に対応する診断データを入力し、他の検知回路に通信データ２２を入力する。本実施形態では、信号制御部は、検知回路６１～６３のそれぞれに対して、その検知回路に設定された検知パターンを診断パターンとして含む診断データを順番に入力する。
　切替信号生成回路５３は、検知回路６１～６３のそれぞれに対応する複数（具体的には、３つ）の切替信号５４を順番に繰り返し生成して出力する。
　パターン生成回路４は、切替信号生成回路５３からの切替信号５４に応じて、検知回路６１～６３のそれぞれに設定された検知パターンを診断パターンとして含む診断データ４１を順番に繰り返し生成して出力する。
　切替回路５１は、切替信号生成回路５３からの切替信号５４に応じて、検知回路６１～６３のそれぞれに入力する切替出力信号５１１～５１３を切り替える第１の切替回路である。切替回路５１は、具体的には、切替信号５４に応じて、検知回路６１～６３のいずれかに、パターン生成回路４からの診断データ４１を切替出力信号として入力し、他の検知回路の全てに通信データ２２を切替出力信号として入力する。これにより、検知回路６１～６３のそれぞれに、その検知回路に設定された検知パターンを診断パターンとして含む診断データが順番に入力され、診断データが入力されている検知回路以外の検知回路には、通信データ２２が入力される。
　切替回路５２は、切替信号生成回路５３からの切替信号５４に応じて、検知回路６１～６３のそれぞれからの検知信号６４１～６４３のいずれかを切替出力信号５２３として診断回路７１に入力し、残りの検知信号を切替出力信号５２１および５２２として遮断回路３１に入力する第２の切替回路である。
　診断回路７１は、切替信号生成回路５３からの切替信号５４と、切替出力信号５２３とに基づいて、検知回路６１～６３に障害が発生しているか否かを診断し、その診断結果７１１を出力する。診断結果７１１は、図示していない上位装置に出力されてもよい。この場合、上位装置からユーザに対して故障の有無および故障個所が通知されてもよい。なお、上位装置は、図１に示した制御システム１００内の装置（例えば、端末装置１０２、ＨＭＩ装置１０４または監視制御サーバ１０５等）でもよい。
［検知回路が故障していないときの通信中継装置の動作］
　図６は、図５に示した通信中継装置１０８の動作を説明するためのタイミングチャートである。検知回路６１～６３は、全て正常である、つまり故障していないとする。また、通信データ２２として、検知パターンを含まないセーフデータ（Safe）が通信中継装置１０８に入力される。
　切替信号生成回路５３は、検知回路６１～６３のそれぞれに対応する３つの切替信号５４を順番に繰り返し生成して出力する。図６では、検知回路６１～６３に対応する３つの切替信号５４の値をそれぞれＡ、Ｂ、Ｃとしている。
　パターン生成回路４は、検知回路６１～６３のうち、切替信号生成回路５３からの切替信号５４に対応する検知回路に設定された検知パターンを診断パターンとして有する診断データ４１を生成して出力する。これにより、パターン生成回路４は、検知回路６１～６３のそれぞれに設定された診断パターンを有する３つの診断データ４１（diag(61)、diag(62)、diag(63)）を順番に繰り返し生成して出力することになる。
　切替回路５１は、３つの診断データ４１のうち、切替信号生成回路５３からの切替信号５４に対応する検知回路に設定された診断パターンを有する診断データ４１を、切替信号５４に対応する検知回路に切替出力信号として入力し、他の検知回路の全てに通信データ２２を切替出力信号として入力する。
　これにより、例えば、切替信号５４の値が「Ａ」の場合、検知回路６１に入力される切替出力信号５１１が診断データ４１（diag(61)）となり、検知回路６２および６３に入力される切替出力信号５１２および５１３が通信データ２２となる。同様に、切替信号５４の値が「Ｂ」の場合、切替出力信号５１２が診断データ４１（diag(62)）となり、切替出力信号５１１および５１３が通信データ２２となる。また、切替信号５４の値が「Ｃ」の場合、切替出力信号５１３が診断データ４１（diag(63)）となり、切替出力信号５１１および５１２が通信データ２２となる。
　以上により、検知回路６１～６３には、自身に設定された検知パターンを診断パターンとして示す診断データ４１が順番に繰り返し入力される。図の例では、検知回路６１～６３に故障が発生していないため、検知回路６１～６３は、診断データ４１が入力されている間、出力する検知信号６４１～６４３をアクティブ（Active）にする。なお、図の例では、通信データ２２は常にセーフデータ（Safe）、つまり検知パターンを含んでいないため、検知回路６１～６３は、通信データ２２が入力されている間は、検知信号６４１～６４３を非アクティブにする。
　切替回路５２は、検知信号６４１～６４３のうち、切替信号生成回路５３からの切替信号５４に対応する検知回路からの検知信号を切替出力信号５２３として診断回路７１に入力し、残りの検知信号を切替出力信号５２１および５２２として遮断回路３１に入力する。これにより、遮断回路３１には、通信データ２２が入力された検知回路からの検知信号が切替出力信号５１２および５２２として入力され、診断回路７１には、診断データ４１が入力された検知回路からの検知信号が切替出力信号５２３として入力される。
　遮断回路３１は、ブラックリスト型に対応しているため、切替回路５２からの切替出力信号５２１および５２２が全て非アクティブの場合、通信データ２２をそのまま出力データ２３として通過させ、切替出力信号５２１および５２２の少なくとも一方がアクティブの場合、通信データ２２を遮断する。ここでは、切替出力信号５２１および５２２が全て非アクティブであるため、遮断回路３１は、通信データ２２をそのまま出力データ２３として通過させる。
　診断回路７１は、切替信号生成回路５３からの切替信号５４に対応する検知回路が故障しているか否かを、その時の切替出力信号５２３に基づいて診断し、その診断結果を診断結果７１１として出力する。具体的には、切替出力信号５２３は、診断データが入力された検知回路が出力した検知信号であるため、検知回路が故障していなければ、アクティブとなる。図の例では、切替出力信号５２３は常にアクティブであるため、診断回路７１は、検知回路６１～６３が故障していないと判断して、診断結果７１１として何も出力しない。この場合、上位装置は、通信中継装置１０８から診断結果７１１として何も出力されていないことから、検知回路６１～６３に故障が発生していないと判断する。
［検知回路に故障が発生しているときの通信中継装置の動作］
　図７は、一部の検知回路（ここでは、検知回路６３）に故障が発生している通信中継装置１０８の動作を説明するためのタイミングチャートである。なお、図７では、簡単のために回路内における遅延は無視している。
　切替回路５１が切替出力信号５１１～５１３を出力するまでの動作は、図６を用いて説明した検出回路６１～６３が故障していない場合の動作と同様である。また、検知回路６１および６２の動作も図６の場合と同様である。検知回路６３は、故障しているため、切替信号５４が検知回路６３に対応する値「Ｃ」となり、検知回路６３に診断データ４１（diag(63)）が切替出力信号５１３として入力されても、検知信号６４３が非アクティブのままとなる。この結果、切替信号５４の値が「Ｃ」のときに、切替回路５２から診断回路７１に入力される切替出力信号５２３が非アクティブとなる。
　診断回路７１は、切替出力信号５２３が非アクティブのときの切替信号５４の値が「Ｃ」であることを、その切替信号５４に対応する検知回路６３に故障が発生していることとして検知し、検知回路６３に故障が発生していることを示す信号を診断結果７１１として出力する。図の例では、診断回路７１は、切替信号５４を診断結果７１１として出力する。これにより、上位装置は、通信中継装置１０８から診断結果７１１として値が「Ｃ」の切替信号５１を受信することになり、その値から検知回路６３に故障が発生していると判断する。
　以上の動作では、通信中継装置１０８は、ブラックリスト型に対応していたが、ホワイトリスト型に対応していてもよい。ホワイトリスト型の場合、図６および図７における出力データ２３が遮断回路３１で遮断される点が異なる。
　また、外部ネットワーク２１から内部ネットワーク２４へ送信される通信データを中継する例を挙げて、通信中継装置１０８について説明していたが、通信中継装置１０８は、内部ネットワーク２４から外部ネットワーク２１へ送信される通信データを中継してもよい。このとき、通信中継装置１０８は、この通信データに対する検知機能とその診断機能とを有していてもよいし、通信データを単に中継するだけでもよい。また、通信中継装置１０８は、図１に示したようなリアルタイム性が必要な箇所に使用されることが好ましいが、別の箇所に設けられてもよい。また、通信中継装置１０８は、ファイヤーウォール１０１等にも適用することができる。
　以上説明したように、本開示は以下の事項を含む。
　本開示の一態様に係る通信中継装置（１０８）は、通信データを中継する通信中継装置であって、それぞれ異なる検知パターンが設定され、入力されたデータである入力データに当該設定された検知パターンが含まれるか否かを検知する複数の検知回路（６１～６３）と、複数の検知回路の少なくとも１つに当該検知回路に設定された検知パターンを含む診断データを入力し、他の検知回路に通信データを入力する信号制御部（４、５１～５３、）と、通信データが入力された検知回路の検知結果に基づいて、通信データの中継と遮断とを切り替える遮断回路（３１）と、診断データが入力された検知回路の検知結果に基づいて、当該検知回路に障害が発生しているか否かを診断する診断回路（７１）と、を有する。
　上記構成を備えることにより、診断データが入力された検知回路の検知結果に基づいて、当該検知回路に障害が発生しているか否かが診断され、他の検知回路の検知回路の検知結果に基づいて、通信データの中継と遮断とが切り替えられる。したがって、通信データの中継および不正データの遮断を行いながら、検知回路の故障診断を行うことが可能になる。したがって、検知装置である検知回路が専用のハードウェアで構成された場合でも、リアルタイム性を確保しつつ、検知装置の故障診断を行うことが可能になる。
　また、信号制御部は、複数の検知回路のそれぞれに、当該検知回路に設定された検知パターンを含む診断データを順番に入力する。この場合、複数の検知回路に対する故障診断を順番に行うことが可能になるため、リアルタイム性を確保しつつ、複数の検知回路に対する故障診断を行うことが可能になる。
　また、信号制御部は、複数の検知回路のそれぞれに対応する複数の切替信号をして順番に出力する切替信号生成回路（５３）と、切替信号に応じて、複数の検知回路のそれぞれに設定された検知パターンを含む含む複数の診断データをして順番に出力するパターン生成回路（４）と、切替信号に応じて、複数の検知回路のそれぞれに、当該検知回路に設定された検知パターンを含む診断データを順番に入力しつつ、他の検知回路には通信データを入力する第１の切替回路（５１）と、切替信号に応じて、通信データが入力された検知回路の検知結果を遮断回路に入力し、診断データが入力された検知回路の検知結果を診断回路に入力する第２の切替回路（５２）と、を有する。この場合、簡単な構成でリアルタイム性を確保しつつ、検知装置の故障診断を行うことが可能になる。
　また、遮断回路は、通信データが入力された検知回路にて検知パターンが含まれることが検知された場合、通信データを遮断し、診断回路は、診断データが入力された検知回路にて検知パターンが含まれないことが検知された場合、当該検知回路が異常であると診断する。このため、ブラックリスト型の検知機能を有する通信中継装置において、リアルタイム性を確保しつつ、検知回路に対する故障診断を行うことが可能になる。
　また、遮断回路は、通信データが入力された検知回路にて検知パターンが含まれないことが検知された場合、通信データを遮断し、記診断回路は、診断データが入力された検知回路にて検知パターンが含まれないことが検知された場合、当該検知回路が異常であると診断する。このため、ホワイトリスト型の検知機能を有する通信中継装置において、リアルタイム性を確保しつつ、検知回路に対する故障診断を行うことが可能になる。
　上述した本開示の実施形態は、本開示の説明のための例示であり、本開示の範囲をそれらの実施形態にのみ限定する趣旨ではなく、本開示には様々な変形例が含まれる。また、上記の実施形態は本開示を分かりやすく説明するために用いたものであり、必ずしも全ての構成を備えるものに限定されるものではない。また、各実施形態の構成の一部について、他の構成に置換したり、削除したりすることが可能であり、新たな構成を追加することも可能である。また、配線等は説明上必要と考えられるものを示しており、製品適用上に必要なすべての配線等を示しているとは限らない。
　４：パターン生成回路　２１：外部ネットワーク　２４：内部ネットワーク　３１：遮断回路　５１～５２：切替回路　５３：切替信号生成回路　６１～６３：検知回路　７１：診断回路　１００：制御システム　１０１：ファイヤーウォール　１０２：端末装置　１０３：生産管理サーバ　１０４：ＨＭＩ装置　１０５：監視制御サーバ　１０６：制御装置　１０７：制御対象設備　１０８：通信中継装置　１１１：情報系ネットワーク　１１２：制御系情報ネットワーク　１１３：制御システムネットワーク　２００：外部ネットワーク

Claims (6)

  1. 　通信データを中継する通信中継装置であって、
    　それぞれ異なる検知パターンが設定され、入力されたデータである入力データに当該設定された検知パターンが含まれるか否かを検知する複数の検知回路と、
    　前記複数の検知回路の少なくとも１つに当該検知回路に設定された検知パターンを含む診断データを入力し、他の前記検知回路に前記通信データを入力する信号制御部と、
    　前記通信データが入力された検知回路の検知結果に基づいて、前記通信データの中継と遮断とを切り替える遮断回路と、
    　前記診断データが入力された検知回路の検知結果に基づいて、当該検知回路に障害が発生しているか否かを診断する診断回路と、を有する通信中継装置。
  2. 　前記信号制御部は、前記複数の検知回路のそれぞれに、当該検知回路に設定された検知パターンを含む診断データを順番に入力する、請求項１に記載の通信中継装置。
  3. 　前記信号制御部は、
    　前記複数の検知回路のそれぞれに対応する複数の切替信号を順番に出力する切替信号生成回路と、
    　前記切替信号に応じて、前記複数の検知回路のそれぞれに設定された検知パターンを含む含む複数の診断データを順番に出力するパターン生成回路と、
    　前記切替信号に応じて、前記複数の検知回路のそれぞれに、当該検知回路に設定された検知パターンを含む診断データを順番に入力しつつ、他の前記検知回路には前記通信データを入力する第１の切替回路と、
    　前記切替信号に応じて、前記通信データが入力された検知回路の検知結果を遮断回路に入力し、前記診断データが入力された検知回路の検知結果を前記診断回路に入力する第２の切替回路と、を有する、請求項２に記載の通信中継装置。
  4. 　前記遮断回路は、前記通信データが入力された検知回路にて前記検知パターンが含まれることが検知された場合、前記通信データを遮断し、
    　前記診断回路は、前記診断データが入力された検知回路にて前記検知パターンが含まれないことが検知された場合、当該検知回路が異常であると診断する、請求項１に記載の通信中継装置。
  5. 　前記遮断回路は、前記通信データが入力された検知回路にて前記検知パターンが含まれないことが検知された場合、前記通信データを遮断し、
    　前記診断回路は、前記診断データが入力された検知回路にて前記検知パターンが含まれないことが検知された場合、当該検知回路が異常であると診断する、請求項１に記載の通信中継装置。
  6. 　それぞれ異なる検知パターンが設定され、入力されたデータである入力データに当該設定された検知パターンが含まれるか否かを検知する複数の検知回路を有し、通信データを中継する通信中継装置が行う診断方法であって、
    　前記複数の検知回路のいずれかに当該検知回路に設定された検知パターンを含む診断データを入力し、かつ、他の前記検知回路に前記通信データを入力し、
    　前記通信データが入力された検知回路の検知結果に基づいて、前記通信データの中継と遮断とを切り替え、
    　前記診断データが入力された検知回路の検知結果に基づいて、当該検知回路に障害が発生しているか否かを診断する、診断方法。

     
PCT/JP2020/021669 2019-07-25 2020-06-01 通信中継装置および診断方法 WO2021014766A1 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2019-136597 2019-07-25
JP2019136597A JP7290495B2 (ja) 2019-07-25 2019-07-25 通信中継装置および診断方法

Publications (1)

Publication Number Publication Date
WO2021014766A1 true WO2021014766A1 (ja) 2021-01-28

Family

ID=74194160

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/021669 WO2021014766A1 (ja) 2019-07-25 2020-06-01 通信中継装置および診断方法

Country Status (2)

Country Link
JP (1) JP7290495B2 (ja)
WO (1) WO2021014766A1 (ja)

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006005738A (ja) * 2004-06-18 2006-01-05 Oki Techno Creation:Kk アクセス制御システム、アクセス制御方法、およびアクセス制御プログラム
JP2011182011A (ja) * 2010-02-26 2011-09-15 Mitsubishi Electric Corp 中継装置及び通信システム及び異常検出方法及びプログラム

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006005738A (ja) * 2004-06-18 2006-01-05 Oki Techno Creation:Kk アクセス制御システム、アクセス制御方法、およびアクセス制御プログラム
JP2011182011A (ja) * 2010-02-26 2011-09-15 Mitsubishi Electric Corp 中継装置及び通信システム及び異常検出方法及びプログラム

Also Published As

Publication number Publication date
JP2021022771A (ja) 2021-02-18
JP7290495B2 (ja) 2023-06-13

Similar Documents

Publication Publication Date Title
JP6749106B2 (ja) 産業用通信ネットワークにおける異常検出、異常検出システム、及び異常検出を行う方法
US7010450B2 (en) Coordination of field device operations with overrides and bypasses within a process control and safety system
EP2866407A1 (en) Protection of automated control systems
KR102251600B1 (ko) 산업 제어 시스템을 보안화하기 위한 시스템 및 방법
JP5911439B2 (ja) 監視制御システム
US10574671B2 (en) Method for monitoring security in an automation network, and automation network
US10592668B2 (en) Computer system security with redundant diverse secondary control system with incompatible primary control system
US7130703B2 (en) Voter logic block including operational and maintenance overrides in a process control system
CN106886716B (zh) 综合生产系统及其控制方法
JP2008102920A (ja) 安全計装システム又はプロセス制御システムにおけるコントローラ間通信方法
CN106886202B (zh) 控制装置、综合生产系统及其控制方法
JP2019049968A (ja) プロセス制御システムにおける暗号化されたトラフィックのためのファイアウォール
JP4642881B2 (ja) 制御装置及び制御方法、処理装置、及びプログラム
US11169491B2 (en) Safety switch
RU2647684C2 (ru) Устройство и способ обнаружения несанкционированных манипуляций системным состоянием блока управления и регулирования ядерной установки
WO2021014766A1 (ja) 通信中継装置および診断方法
JP4511861B2 (ja) オーバライドおよびバイパスを利用したプロセス制御・安全システム内におけるフィールドデバイスの動作調整
WO2014042636A1 (en) Packet intrusion inspection in an industrial control network
Negi et al. Intrusion Detection & Prevention in Programmable Logic Controllers: A Model-driven Approach
JP2017228887A (ja) 制御システム、ネットワーク装置、及び制御装置の制御方法
US11062027B2 (en) System with an electrical apparatus
KR101779117B1 (ko) 원격 감시 및 제어용 인터페이스 장치
WO2020109252A1 (en) Test system and method for data analytics
JP6743553B2 (ja) 異常検知システム及び異常検知方法
NL2028737B1 (en) A method, a monitoring system and a computer program product for monitoring a network connected controller

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20843773

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 20843773

Country of ref document: EP

Kind code of ref document: A1