JP2021503191A - ネットワークセキュリティ用ｌ２スイッチ及びこれを用いた遠隔監視制御システム - Google Patents

Abstract

本発明の一実施形態は、フレームを暗号化または復号化する暗号化モジュールと、前記フレームが受信された受信ポートの設定に基づいて、前記フレームを暗号化または復号化するか否かを決定して前記暗号化モジュールに伝達し、前記暗号化モジュールから受信した暗号化又は復号化フレームを、目的地に接続された送信ポートにスイッチングするスイッチファブリックモジュールとを含む、ネットワークセキュリティ用Ｌ２スイッチ、及びこれを用いた遠隔監視制御システムを提供することができる。【選択図】図１

Description

本発明は、ネットワークセキュリティ用Ｌ２スイッチ及びこれを用いた遠隔監視制御システムに関する。

取水場、浄水場、配水池などで行われる水処理（ｗａｔｅｒ ｔｒｅａｔｍｅｎｔ）過程に工場自動化（ＦＡ、Ｆａｃｔｏｒｙ Ａｕｔｏｍａｔｉｏｎ）概念が導入されて以来、各種の水処理設備は、ネットワークを介して遠隔地から電子的に監視及び制御されている。水処理だけでなく、発電、送電、配電などのインフラを監視制御するネットワークは、各種の工程で生成される監視データの収集と各種の設備を制御する命令が常に伝達できるように接続性が保障されなければならず、ハッキングなどのサイバー攻撃から保護される必要がある。よって、インフラで生成される監視データと各種の設備を制御する命令を暗号化してセキュリティ性を向上させ、ネットワークを監視しサイバー攻撃を遮断することができるネットワークデバイスに関する要求が存在する。

韓国登録特許第１０−１４１８７０７号公報

本発明の一実施形態に係る目的は、水資源管理や電力網管理などの基幹施設管理のためのネットワークのセキュリティ性を向上させることにある。
また、本発明の一実施形態に係る目的は、ポート設定に基づいてフレームを暗号化して送受信することができ、サイバー攻撃を遮断することができ、遠隔監視制御装置が、ネットワークを構成するＬ２スイッチの状態を監視することができるように、Ｌ２スイッチに関する情報を遠隔監視制御装置へ提供するネットワークセキュリティ用Ｌ２スイッチ、及びこれを用いた遠隔監視制御システムを提供することにある。
また、本発明の一実施形態に係る目的は、管理者がＬ２スイッチのタッチパネルを観察してＬ２スイッチの異常か否かを容易に認識することができ、タッチパネルを用いてＬ２スイッチの暗号化機能をオフ（Ｏｆｆ）することができるネットワークセキュリティ用Ｌ２スイッチ、及びこれを用いた遠隔監視制御システムを提供することにある。

本発明の一実施形態に係るネットワークセキュリティ用Ｌ２スイッチは、フレームを暗号化または復号化する暗号化モジュールと、前記フレームが受信された受信ポートの設定に基づいて、前記フレームを暗号化または復号化するか否かを決定して前記暗号化モジュールに伝達し、前記暗号化モジュールから受信した暗号化又は復号化フレームを、目的地に接続された送信ポートにスイッチングするスイッチファブリックモジュールとを含むことができる。
また、本発明の一実施形態に係るネットワークセキュリティ用Ｌ２スイッチは、前記ネットワークセキュリティ用Ｌ２スイッチに関する情報を含む状態報告フレームを生成して前記遠隔監視制御装置に伝達する状態管理モジュールをさらに含み、前記ネットワークセキュリティ用Ｌ２スイッチに関する情報は、通信量に関する情報、サイバー攻撃に関する情報、または前記ネットワークセキュリティ用Ｌ２スイッチ自体の状態に関する情報のうちの少なくとも一つを含むことができる。
また、前記状態管理モジュールは、モードバス（ＭＯＤＢＵＳ）プロトコルに基づいて前記状態報告フレームを生成するが、ルックアップテーブルを用いて前記ネットワークセキュリティ用Ｌ２スイッチに関する情報の項目ごとに与えられた項目コードを確認し、前記項目コードと該項目コードに該当する値とを含むモードバスデータを生成することができる。
また、本発明の一実施形態に係るネットワークセキュリティ用Ｌ２スイッチは、前記ネットワークセキュリティ用Ｌ２スイッチ自体に備えられ、管理者に情報を提供する表示部と、前記ネットワークセキュリティ用Ｌ２スイッチ自体に備えられ、管理者の入力を受信する入力部とをさらに含み、前記状態管理モジュールは、前記ネットワークセキュリティ用Ｌ２スイッチ自体に問題が発生した場合に前記表示部に問題発生通知画面を表示するか；前記ネットワークセキュリティ用Ｌ２スイッチに物理的接続が検知される場合または前記入力部が入力を検知する場合に、前記表示部にパスワード入力画面を表示し、前記入力部に所定のパスワードが入力される前まで前記物理的接続または前記入力を遮断するか；或いは、前記管理者の入力に基づいて暗号化機能をオン／オフするための緊急切替選択画面を表示し、前記入力部に緊急切替選択が入力される場合に前記スイッチファブリックモジュールが前記暗号化モジュールへフレームを伝達しないように制御する動作をさらに行うことができる。
また、前記スイッチファブリックモジュールは、前記フレームが受信されたポートがユーザ−ネットワークインターフェースとして設定された場合には、前記受信したフレームを暗号化するために前記暗号化モジュールへ伝達し、前記フレームが受信されたポートがネットワーク−ネットワークインターフェースとして設定された場合には、前記受信したフレームを復号化するために前記暗号化モジュールへ伝達し、前記フレームが受信されたポートがユーザ−ネットワークインターフェースまたはネットワーク−ネットワークインターフェースとして設定されていないポートである場合には、前記フレームの目的地に接続された送信ポートに、前記受信されたフレームをスイッチングすることができる。
また、前記暗号化モジュールは、前記ユーザ−ネットワークインターフェースとして設定したポートから受信したフレームの目的地であるＬ２スイッチと自分との関係で暗号化セッションが設定されているか否かを確認し、暗号化セッションが設定されていない場合には、暗号化セッションの設定を要求するコントロールフレームを生成して、前記目的地であるＬ２スイッチへ伝送し、前記暗号化セッションの設定を要求するコントロールフレームを受信した場合には、返信で前記暗号化セッションの設定を承諾するコントロールフレームを生成して、前記暗号化セッションの設定を要求するコントロールフレームを送信したＬ２スイッチへ伝送し、前記暗号化セッションの設定を承諾するコントロールフレームを受信した場合には、暗号化セッションを設定するセッション設定動作をさらに行うことができる。
本発明の一実施形態に係るネットワークセキュリティ用Ｌ２スイッチを用いた遠隔監視制御システムは、フレームが受信された受信ポートの設定に基づいて前記フレームを暗号化または復号化し、目的地に接続された送信ポートにスイッチングするネットワークセキュリティ用Ｌ２スイッチ、前記ネットワークセキュリティ用Ｌ２スイッチに接続され、監視データを生成して送信する制御設備、及び前記ネットワークセキュリティ用Ｌ２スイッチに接続され、前記制御設備から受信した監視データに基づいて制御命令を生成して送信する遠隔監視制御装置を含むことができる。
また、前記ネットワークセキュリティ用Ｌ２スイッチは、前記ネットワークセキュリティ用Ｌ２スイッチに関する情報を含む状態報告フレームをモードバス（ＭＯＤＢＵＳ）プロトコルに基づいて生成して前記遠隔監視制御装置へ提供し、前記遠隔監視制御装置は、前記ネットワークセキュリティ用Ｌ２スイッチが提供する前記状態報告フレームに基づいて、前記ネットワークセキュリティ用Ｌ２スイッチの状態を監視し制御することができる。
また、前記遠隔監視制御装置は、前記モードバス（ＭＯＤＢＵＳ）プロトコルに基づいて前記状態報告フレームを解析するが、前記状態報告フレームのモードバスデータに含まれている項目コードとデータ値をルックアップテーブルと対照して、前記ネットワークセキュリティ用Ｌ２スイッチに関する情報の項目とその内容を認識することができる。

本発明の特徴及び利点は、添付図面に基づいた以降の詳細な説明からさらに明らかになるだろう。
これに先立ち、本明細書及び請求の範囲で使用された用語や単語は、通常的かつ辞典的な意味で解釈されてはならず、発明者が自分の発明を最善の方法で説明するために用語の概念を適切に定義することができるという原則に即して、本発明の技術的思想に符合する意味と概念で解釈されるべきである。

本発明の一実施形態によれば、Ｌ２スイッチのポート設定に基づいて、送受信するフレームの暗号化または復号化を行うことができ、暗号化セッションが設定された送信側及び受信側のＬ２スイッチの間で暗号文フレームが伝送されるので、既存の一般Ｌ２スイッチを全て交換しなくても暗号化機能を行うことができるため、段階的にネットワークのセキュリティ性を向上させることができる。
また、本発明の一実施形態によれば、Ｌ２スイッチは、Ｌ２スイッチの状態に関する情報を格納し、広く使用されるモードバス（ＭＯＤＢＵＳ）プロトコルを用いて遠隔監視制御装置に報告することができるので、体系的かつ効果的にネットワークを管理することができ、基幹施設の監視制御のためのネットワークに広く適用することができる。
また、本発明の一実施形態によれば、Ｌ２スイッチの外部に備えられるタッチパネルを介して現場の管理者が異常か否かを容易に認識することができ、Ｌ２スイッチに問題が発生した場合に緊急切替選択画面を介して暗号化機能をオフ（Ｏｆｆ）して非暗号化通信に切り替えることにより、遠隔監視制御装置と制御設備との間の常時情報送受信を保障することができる。

本発明の一実施形態に係るネットワークセキュリティ用Ｌ２スイッチを用いた遠隔監視制御システムの構成を示す図である。 本発明の一実施形態に係るネットワークセキュリティ用Ｌ２スイッチの構成を示すブロック図である。 本発明の一実施形態に係るネットワークセキュリティ用Ｌ２スイッチから受信したフレームを処理する動作を示すフローチャートである。 本発明の一実施形態による平文フレーム、暗号文フレーム及びセッション設定フレームを示す図である。 本発明の一実施形態に係るセッション生成ステップを示すフローチャートである。 本発明の一実施形態に係るネットワークセキュリティ用Ｌ２スイッチを用いて構成した遠隔監視制御システムのためのネットワークを示す図である。 本発明の一実施形態に係る遠隔監視制御装置がネットワークセキュリティ用Ｌ２スイッチの状態を監視するために使用されるルックアップテーブルの一部を示す図である。 本発明の一実施形態に係るネットワークセキュリティ用Ｌ２スイッチの表示部を示す図である。

本発明の一実施形態の目的、特定の利点及び新規な特徴は、添付図面に関連している以降の詳細な説明及び好適な実施形態からさらに明らかになるだろう。本明細書において、各図面の構成要素に参照番号を付加するにあたり、同一の構成要素に限っては、たとえ他の図面上に表示されても、できる限り同一の番号を持つようにしていることに留意すべきである。また、「一面」、「他面」、「第１」、「第２」などの用語は、一つの構成要素を他の構成要素から区別するために使用されるものであって、構成要素がこれらの用語によって限定されるものではない。以下、本発明の一実施形態を説明するにあたり、本発明の一実施形態の要旨を不要に曖昧にするおそれのある関連した公知の技術についての詳細な説明は省略する。

以下、添付図面を参照して本発明の一実施形態を詳細に説明する。
図１は本発明の一実施形態に係るネットワークセキュリティ用Ｌ２スイッチ１００を用いた遠隔監視制御システムの構成を示す図である。
図１に示すように、本発明の一実施形態に係るネットワークセキュリティ用Ｌ２スイッチ１００を用いた遠隔監視制御システムは、遠隔監視制御装置１０、ネットワークセキュリティ用Ｌ２スイッチ１００、及び制御設備３０を含むことができる。本明細書において、本発明の一実施形態に係るネットワークセキュリティ用Ｌ２スイッチ１００は、簡略に「Ｌ２スイッチ１００」、従来の暗号化機能がない一般なＬ２スイッチは、「一般Ｌ２スイッチ９０」という。また、本明細書において、暗号化されていないフレームを「平文フレームＮＦ」、暗号化されたフレームを「暗号文フレームＥｎＦ」という。

遠隔監視制御装置１０は、制御設備３０が位置するところから遠く離れた遠隔地で制御設備３０を監視及び制御することができる装置をいう。例えば、遠隔監視制御装置１０は、ＳＣＡＤＡ１１（Ｓｕｐｅｒｖｉｓｏｒｙ Ｃｏｎｔｒｏｌ Ａｎｄ Ｄａｔａ Ａｃｑｕｉｓｉｔｉｏｎ）システムやＨＭＩ（Ｈｕｍａｎ Ｍａｃｈｉｎｅ Ｉｎｔｅｒｆａｃｅ）などであり得る。遠隔監視制御装置１０は、ネットワーク２０のセキュリティ及び管理を行うＳＯＣ１２（Ｓｅｃｕｒｉｔｙ Ｏｐｅｒａｔｉｏｎｓ Ｃｅｎｔｅｒ）をさらに含むことができる。遠隔監視制御装置１０は、ネットワークセキュリティ用Ｌ２スイッチ１００に接続され、制御設備３０から受信した監視データに基づいて制御命令を生成して送信することにより、制御設備３０を自動的に監視及び制御することができる。

制御設備３０は、現在状態を測定し、必要な動作を行う各種の装置を含む。例えば、制御設備３０はＰＬＣ３１と端末３２を含むことができる。端末３２は、ダムの水位を測定する水位センサや、放流量を測定する流量センサなどの測定装置であり得る。または、端末３２は、ダムの水門を開閉する駆動設備、浄水場で塩素消毒剤を水に投入する塩素設備などの設備であり得る。制御設備３０は、ネットワークセキュリティ用Ｌ２スイッチ１００に接続され、監視データを生成して送信することができる。端末３２は、現場状態をモニタリングして監視データを生成してＰＬＣ３１に伝送するか、或いはＰＬＣ３１から受信した制御命令に基づいて必要な動作を行うことができる。端末３２は、ＰＬＣ３１に接続されず、直ちにＬ２スイッチ１００に接続されてもよい。

ＰＬＣ３１（Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｃｏｎｔｒｏｌｌｅｒ）とは、自動制御盤内の続電器（Ｒｅｌａｙ）、タイマー（Ｔｉｍｅｒ）、カウンタ（Ｃｏｕｎｔｅｒ）などの機能をＬＳＩ、トランジスタ（Ｔｒａｎｓｉｓｔｏｒ）などの半導体素子で代替して、既存のシーケンス制御機能に数値演算機能を追加してプログラムを制御することができるように構成した制御装置である。ＰＬＣ３１は、端末３２に接続され、端末３２が生成する各種の監視データを受信して遠隔監視制御装置１０へ送信することができる。ＰＬＣ３１は、遠隔監視制御装置１０から受信する制御命令に基づいて、ＰＬＣ３１に接続された端末３２を制御することができる。

本発明の一実施形態に係るＬ２スイッチ１００は、ＯＳＩ（Ｏｐｅｎ Ｓｙｓｔｅｍ Ｉｎｔｅｒｃｏｎｎｅｃｔｉｏｎ）７ ｌａｙｅｒｓ模型の第２レイヤーでフレームを暗号化または復号化して送受信するスイッチである。Ｌ２スイッチ１００は、遠隔監視制御装置１０と制御設備３０とを接続するネットワーク２０を構成することができる。両端がＬ２スイッチ１００に接続されて暗号文フレームＥｎＦが送受信されるネットワーク２０の一部を暗号化区間とし、平文フレームＮＦが送受信されるネットワーク２０の一部を平文区間とすることができる。例えば、図１に示すように、遠隔監視制御装置１０に接続される第１Ｌ２スイッチ１００ａと制御設備３０に接続される第２Ｌ２スイッチ１００ｂとの間を暗号化区間とすることができる。遠隔監視制御装置１０と第１Ｌ２スイッチ１００ａとの間、及び制御設備３０と第２Ｌ２スイッチ１００ｂとの間を平文区間とすることができる。

Ｌ２スイッチ１００は、フレームが受信された受信ポート１１１（ｒ）の設定に基づいてフレームを暗号化または復号化し、目的地に接続された送信ポート１１１（ｓ）にスイッチングすることができる。Ｌ２スイッチ１００は、送信側Ｌ２スイッチ１００ｓと受信側Ｌ２スイッチ１００ｒに区分することができ、送信側Ｌ２スイッチ１００ｓは、フレームを暗号化して送信し、受信側Ｌ２スイッチ１００ｒは、暗号化されたフレームを復号化して送信することができる。例えば、第１Ｌ２スイッチ１００ａは、遠隔監視制御装置１０から受信するフレームを暗号化して第２Ｌ２スイッチ１００ｂへ送信し、第２Ｌ２スイッチ１００ｂは、第１Ｌ２スイッチ１００ａから受信した暗号文フレームＥｎＦを復号化して制御設備３０へ伝送することができ、このとき、第１Ｌ２スイッチ１００ａは送信側Ｌ２スイッチ１００ｓ、第２Ｌ２スイッチ１００ｂは受信側Ｌ２スイッチ１００ｒとなる。逆に、第２Ｌ２スイッチ１００ｂは、制御設備３０から受信するフレームを暗号化して第１Ｌ２スイッチ１００ａへ送信し、第１Ｌ２スイッチ１００ａは、第２Ｌ２スイッチ１００ｂから受信した暗号文フレームＥｎＦを復号化して遠隔監視制御装置へ伝送することができ、このとき、第１Ｌ２スイッチ１００ａは受信側Ｌ２スイッチ１００ｒ、第２Ｌ２スイッチ１００ｂは送信側Ｌ２スイッチ１００ｓとなる。

従来の一般Ｌ２スイッチ９０は、平文フレームＮＦを送受信するので、部外者がフレームをインターセプトして分析し、基幹施設が誤作動するように制御命令を偽造・変造するなどの事故が発生する危険性があった。しかし、本発明のＬ２スイッチ１００は、フレームを暗号化して送受信するので、フレームが流出しても監視制御データのセキュリティを維持することができる。よって、水資源管理や電力網管理などの重要な基幹施設管理の安定性が強化されるという利点がある。

Ｌ２スイッチ１００は、自分の状態に関する情報を生成して遠隔監視制御装置１０へ伝送することができる。Ｌ２スイッチ１００の状態に関する情報は、通信量（ｔｒａｆｆｉｃ）、有害トラフィック、サイバー攻撃に関する情報、暗号化機能動作有無など、Ｌ２スイッチ１００が構成するネットワーク２０を管理者が監視し制御するために必要な様々な情報を含むことができる。Ｌ２スイッチ１００は、自分の状態に関する情報を含む状態報告フレームＭＢＦを生成し、状態報告フレームＭＢＦをネットワーク２０を介して遠隔監視制御装置１０へ伝送することができる。遠隔監視制御装置１０は、受信した状態報告フレームＭＢＦに基づいて、ネットワーク２０を構成するＬ２スイッチ１００の状態を確認することができる。

従来の一般Ｌ２スイッチ９０は、通信量を伝達する機能のみを行うことにより、遠隔監視制御装置１０が制御設備３０を監視し制御することは可能であったが、ネットワーク２０を構成する一般Ｌ２スイッチ９０を監視し制御することができなかった。よって、一般Ｌ２スイッチ９０は、自体の故障や有害トラフィックの流入やサイバー攻撃などの問題が発生する場合、管理者が、一般Ｌ２スイッチ９０に発生した問題を直ちに認知することが難しいため、ネットワーク２０の健全性を確保することが難しかった。しかし、本発明の一実施形態に係るＬ２スイッチ１００は、自分の状態を遠隔監視制御装置１０に提供するので、管理者が遠隔監視制御装置１０を介してＬ２スイッチ１００の状態を容易に確認することができ、必要な措置を取ることができるという利点がある。

図２は本発明の一実施形態に係るネットワークセキュリティ用Ｌ２スイッチ１００の構成を示すブロック図である。
図２に示すように、本発明の一実施形態に係るネットワークセキュリティ用Ｌ２スイッチ１００は、スイッチファブリックモジュール１１０、スイッチングＤＢ１２０、暗号化モジュール１３０、セッションＤＢ１４０、状態管理モジュール１５０、表示部１６０及び入力部１７０を含むことができる。

スイッチファブリックモジュール１１０は、複数の物理的ポート１１１を含むことができ、任意のポート１１１から受信したフレームを、フレームの目的地に接続されたポート１１１にスイッチングする。スイッチファブリックモジュール１１０は、フレームが受信された受信ポート１１１（ｒ）の設定に基づいて、前記フレームを暗号化または復号化するか否かを決定して暗号化モジュール１３０に伝達し、暗号化モジュール１３０から受信した暗号化又は復号化フレームを、目的地に接続された送信ポート１１１（ｓ）にスイッチングすることができ、暗号化が不要なフレームは、直ちに目的地に接続された送信ポート１１１（ｓ）にスイッチングすることができる。任意の物理的ポート１１１は、受信ポート１１１（ｒ）または送信ポート１１１（ｓ）になることができる。

スイッチングＤＢ１２０は、スイッチファブリックモジュール１１０のそれぞれのポート１１１に接続された装置のアドレスを格納する。スイッチファブリックモジュール１１０は、スイッチングＤＢ１２０にフレームの目的地アドレスが接続されたポート１１１情報を照会し、その結果として取得したポート１１１へフレームを伝送する。

暗号化モジュール１３０は、フレームを暗号化または復号化することができる。暗号化モジュール１３０は、ＡＥＳ１２８ｂｉｔ、ＡＥＳ１９２ｂｉｔ、ＡＥＳ２５６ｂｉｔ、３ＤＥＳなどのロジックを用いてフレームを暗号化または復号化することができる。暗号化モジュール１３０は、暗号化機能のみを行う別途のプロセッサに実現できる。暗号化モジュール１３０は、対称キーを用いた暗号化または復号化を行うことができる。

セッションＤＢ１４０は、Ｌ２スイッチ１００自身と他のＬ２スイッチ１００との関係で暗号文を送信または受信するためのセッションの設定に関する情報を格納する。暗号化モジュール１３０は、セッションＤＢ１４０に暗号化セッションが設定されているＬ２スイッチ１００へ伝送するフレームを暗号化し、セッションＤＢ１４０に復号化セッションが設定されているＬ２スイッチ１００から受信したフレームを復号化する。

状態管理モジュール１５０は、Ｌ２スイッチ１００自体の状態をリアルタイムで監視し格納することができる。状態管理モジュール１５０は、Ｌ２スイッチ１００に試みられる各種のサイバー攻撃を探知し遮断することができる。例えば、状態管理モジュール１５０は、ＡＲＰ ｓｐｏｏｆｉｎｇ、ＩＰ Ｓｐｏｏｆｉｎｇ、Ｈｏｓｔ Ｓｃａｎｎｉｎｇ ａｔｔａｃｋ、Ｐｏｒｔ Ｓｃａｎｎｉｎｇ ａｔｔａｃｋ、ＤｏＳ、ＤＤｏ、ＤＨＣＰ Ａｔｔａｃｋ、ＩＣＭＰ Ａｔｔａｃｋ、ＡＲＰ Ａｔｔａｃｋ、Ｂｒｏａｄｃａｓｔ Ａｔｔａｃｋ、ＩＰｖ６ ＤＡＤ Ａｔｔａｃｋなどのサイバー攻撃を探知し遮断することができ、サイバー攻撃の状態と記録を格納することができる。状態管理モジュール１５０は、Ｌ２スイッチ１００が処理する通信量（ｔｒａｆｆｉｃ）をリアルタイムで測定し格納することができ、有害トラフィックを遮断することができる。

状態管理モジュール１５０は、Ｌ２スイッチ１００の電源状態、暗号化機能の動作有無、ポート１１１の動作有無など、ネットワーク２０の管理に必要な情報を取得し格納することができる。状態管理モジュール１５０は、Ｌ２スイッチ１００の状態に関する情報を含む状態報告フレームＭＢＦを生成し、遠隔監視制御装置１０へ伝送することができる。状態管理モジュール１５０は、Ｌ２スイッチ１００の状態に関する情報を格納し、周期的に遠隔監視制御装置１０へ状態報告フレームＭＢＦを伝送するか、或いは遠隔監視制御装置１０の要求に応じて状態報告フレームＭＢＦを伝送することができる。

表示部１６０は、ネットワークセキュリティ用Ｌ２スイッチ１００自体に備えられ、管理者に情報を提供することができる。表示部１６０は、管理者にＬ２スイッチ１００の現在状態を知らせるか、或いはＬ２スイッチ１００の操作に必要な情報を表示することができる。

入力部１７０は、ネットワークセキュリティ用Ｌ２スイッチ１００自体に備えられ、管理者の入力を受信することができる。例えば、表示部１６０は、タッチパネルであってもよく、タッチパネルは、入力部１７０の機能を行うことができる。

図３は本発明の一実施形態に係るネットワークセキュリティ用Ｌ２スイッチ１００から受信したフレームを処理する動作を示すフローチャートである。
フレーム受信ステップ（Ｓ１０）で、スイッチファブリックモジュール１１０は、外部からフレームを受信する。次に、ホストネットワーク（Ｈｏｓｔ ｎｅｔｗｏｒｋ）判断ステップ（Ｓ１１）で、スイッチファブリックモジュール１１０は、受信したフレームの目的地を確認して、最終目的地がＬ２スイッチ１００であるか否かを確認し、フレームの目的地がＬ２スイッチ１００である場合（Ｙ）には、状態管理モジュール１５０へフレームを伝達し、フレームの目的地がＬ２スイッチ１００ではない場合（Ｎ）には、受信ポート確認ステップ（Ｓ１２）を行う。状態管理モジュール１５０の動作は後述する。

受信ポート確認ステップ（Ｓ１２）で、スイッチファブリックモジュール１１０は、フレームが受信されたポート１１１がユーザ−ネットワークインターフェース（ＵＮＩ、Ｕｓｅｒ−Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ）またはネットワーク−ネットワークインターフェース（ＮＮＩ、Ｎｅｔｗｏｒｋ−Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ）として設定されているか否かを確認し、受信ポート１１１（ｒ）がユーザ−ネットワークインターフェースとして設定された場合（ＵＮＩ）には、暗号化のためにフレームを暗号化モジュール１３０へ伝達し、受信ポート１１１（ｒ）がネットワーク−ネットワークインターフェースとして設定された場合（ＮＮＩ）には、復号化のためにフレームを暗号化モジュール１３０へ伝達し、ユーザ−ネットワークインターフェースまたはネットワーク−ネットワークインターフェースとして設定されていない場合（一般）には、スイッチング動作（Ｓ６０）を行う。

スイッチファブリックモジュール１１０は、装置が接続されたポート１１１をユーザ−ネットワークインターフェースＵＮＩまたはネットワーク−ネットワークインターフェースＮＮＩとして設定することができ、受信ポート１１１（ｒ）の設定に基づいて暗号化または復号化を決めることができるので、ポート１１１ごとに暗号化または復号化を行うことができる。また、スイッチファブリックモジュール１１０は、受信ポート１１１（ｒ）に設定がない場合、フレームの暗号化または復号化なしに直ちにスイッチング動作を行うことができるので、従来の一般Ｌ２スイッチ９０と平文フレームＮＦの伝送が可能なので、ネットワーク２０を構成する全てのＬ２スイッチ１００を一時に交換しなくてもよいという利点がある。

例えば、第１Ｌ２スイッチ１００ａの第１ポートに遠隔監視制御装置１０が接続された場合には、第１ポートをユーザ−ネットワークインターフェースＵＮＩとして設定することができ、第２Ｌ２スイッチ１００ｂの第２ポートに制御設備３０が接続された場合には、第２ポートをユーザ−ネットワークインターフェースＵＮＩとして設定することができる。第１Ｌ２スイッチ１００ａの第２ポートに他のネットワーク２０と接続される一般Ｌ２スイッチ９０が接続されている場合、第２ポートをネットワーク−ネットワークインターフェースＮＮＩとして設定することができ、第２Ｌ２スイッチ１００ｂの第１ポートに他のネットワーク２０と接続される一般Ｌ２スイッチ９０が接続されている場合、第１ポートをネットワーク−ネットワークインターフェースＮＮＩとして設定することができる。第１Ｌ２スイッチ１００ａの第３ポートに暗号化が不要な装置が接続された場合、第３ポートは、ユーザ−ネットワークインターフェースＵＮＩまたはネットワーク−ネットワークインターフェースＮＮＩとして設定していない一般ポートに設定することができる。

スイッチング動作（Ｓ６０）で、スイッチファブリックモジュール１１０は、フレームの目的地を、スイッチングＤＢ１２０に格納されている各ポート１１１に接続された装置のアドレスと対照して、フレームがどの送信ポート１１１（ｓ）へ伝達されなければならないかを検索し、検索された送信ポート１１１（ｓ）へフレームを伝達する。

ユーザ−ネットワークインターフェースＵＮＩとして設定された受信ポート１１１（ｒ）で受信したフレームは、暗号化モジュール１３０へ伝達されて暗号化が行われる。まず、暗号化セッション確認ステップ（Ｓ２１）で、暗号化モジュール１３０は、フレームの目的地であるＬ２スイッチ１００と暗号化セッションが設定されているかを、セッションＤＢ１４０を検索して確認する。目的地であるＬ２スイッチ１００と暗号化セッションが設定されている場合（Ｙ）、暗号化モジュール１３０は、暗号化エンジンを用いてフレームを暗号化して暗号文フレームＥｎＦを生成し（Ｓ３０）、暗号文フレームＥｎＦをスイッチファブリックモジュール１１０へ伝達し、スイッチファブリックモジュール１１０は、スイッチング動作（Ｓ６０）を介して暗号文フレームＥｎＦを送信する。目的地であるＬ２スイッチ１００と暗号化セッションが設定されていない場合（Ｎ）、暗号化モジュール１３０は、目的地であるＬ２スイッチ１００とセッション生成ステップ（Ｓ５０）を行う。セッション生成ステップ（Ｓ５０）の詳細については後述する。

暗号化セッションが生成される場合（Ｙ）、暗号化モジュール１３０は、フレームを暗号化（Ｓ３０）して伝送（Ｓ６０）し、暗号化セッションの生成が失敗した場合（Ｎ）、フレームを平文状態にスイッチングする（Ｓ６０）。送信側Ｌ２スイッチ１００ｓと受信側Ｌ２スイッチ１００ｒとの間に暗号化セッションを成立した状態でのみフレームを暗号化して伝送するので、受信側Ｌ２スイッチ１００ｒが一般Ｌ２スイッチ９０であって暗号化セッションが成立できないか或いは受信側Ｌ２スイッチ１００ｒに問題が発生して緊急切替状態で暗号化セッションが成立できない場合、フレームを平文状態で伝送して遠隔監視制御装置１０と制御設備３０との接続を常に維持することができる。

ネットワーク−ネットワークインターフェースＮＮＩとして設定された受信ポート１１１（ｒ）で受信したフレームは、暗号化モジュール１３０へ伝達されて復号化が行われる。まず、復号化セッション確認ステップ（Ｓ２２）で、暗号化モジュール１３０は、フレームの出発地であるＬ２スイッチ１００と復号化セッションが設定されているかを、セッションＤＢ１４０を検索して確認する。出発地であるＬ２スイッチ１００と復号化セッションが設定されている場合（Ｙ）、暗号化モジュール１３０は、復号化エンジンを用いてフレームを復号化して平文フレームＮＦを生成し（Ｓ４０）、平文フレームＮＦをスイッチファブリックモジュール１１０へ伝達し、スイッチファブリックモジュール１１０は、スイッチング動作（Ｓ６０）を介して平文フレームＮＦを送信する。出発地であるＬ２スイッチ１００と復号化セッションが設定されていない場合（Ｎ）、受信したフレームをそのままスイッチファブリックモジュール１１０へ伝達してスイッチング動作（Ｓ６０）を行う。Ｌ２スイッチ１００は、復号化セッションが成立していない出発地Ｌ２スイッチ１００から伝送されたフレームをそのままスイッチングするので、送信側Ｌ２スイッチ１００ｓが一般Ｌ２スイッチ９０であるか、或いは送信側Ｌ２スイッチ１００ｓに問題が発生して緊急切替状態で復号化セッションが成立できない場合に、平文のまま伝送されるフレームをそのまま伝達することができるので、遠隔監視制御装置１０と制御設備３０との接続を常に維持することができる。

図４は本発明の一実施形態に係る平文フレームＮＦ、暗号文フレームＥｎＦ、セッション設定フレーム及び状態報告フレームＭＢＦを示す図である。
図４に示すように、平文フレームＮＦ、暗号文フレームＥｎＦ及びセッション設定フレームは、イーサネット（Ｅｔｈｅｒｎｅｔ）プロトコルとインターネットプロトコル（ＩＰ）に従うように構成できる。暗号化モジュール１３０は、平文フレームＮＦのデータ（ＩＰ Ｄａｔａ）部分を暗号化して暗号文データ（ＥｎＤａｔａ）を生成し、復号化に必要な情報を暗号化データヘッダ（ＥｎＤａｔａ Ｈｅａｄｅｒ）に格納して暗号文フレームＥｎＦを生成する暗号化動作（Ｓ３０）を行う。暗号文フレームＥｎＦは、目的地ＭＡＣアドレス（ｄｅｓｔＭＡＣ）、出発地ＭＡＣアドレス（ｓｒｃＭＡＣ）、イーサネットタイプ（Ｔｙｐｅ）、ＩＰアドレス（ＩＰ）情報を暗号化しないので、一般Ｌ２スイッチ９０を介して伝達されても目的地にフレームが移動することができる。

暗号文フレームＥｎＦは、ＩＰアドレス（ＩＰ）の次に暗号化データヘッダ（ＥｎＤａｔａ Ｈｅａｄｅｒ）と暗号文データ（ＥｎＤａｔａ）が順次位置し、暗号化モジュール１３０は、暗号化データヘッダ（ＥｎＤａｔａ Ｈｅａｄｅｒ）に含まれている情報に基づいて暗号文データ（ＥｎＤａｔａ）を復号化して平文フレームＮＦを生成する復号化動作（Ｓ４０）を行うことができる。暗号化データヘッダ（ＥｎＤａｔａ Ｈｅａｄｅｒ）は、暗号化データ区分のためＵｎｉｑｕｅ ＩＤ、暗号化以前の原データのプロトコルタイプ、データフラグメンテーション（ｆｒａｇｍｅｎｔａｔｉｏｎ）インジケータ、フラグメントシーケンス番号（ｆｒａｇｍｅｎｔ ｓｅｑｕｅｎｃｅ ｎｕｍｂｅｒ）、暗号モジュールタイプ、フラグメントシーケンスＩＤ（ｆｒａｇｍｅｎｔ ｓｅｑｕｅｎｃｅ ｉｄ）、データソース長、データハッシュ値（ｈａｓｈ ｖａｌｕｅ）、データソースチェックサム値（ｃｈｓｕｍ ｖａｌｕｅ）、暗号化／復号化インジケーションベクトル（ｉｎｄｉｃａｔｉｏｎ ｖｅｃｔｏｒ）などの情報を含むことができる。暗号化モジュール１３０は、暗号化エンジンと復号化エンジンを含むことができる。暗号化エンジンと復号化エンジンは、プロセッサ内で動作するプログラムコードで構成できる。

図５は本発明の一実施形態に係るセッション生成ステップ（Ｓ５０）を示すフローチャートである。
暗号化セッションと復号化セッションは、送信側Ｌ２スイッチ１００ｓと受信側Ｌ２スイッチ１００ｒとの間で形成される。一つのＬ２スイッチ１００は、ネットワーク２０側に暗号文フレームＥｎＦを送信するときは送信側Ｌ２スイッチ１００ｓとして動作し、ネットワーク２０側から暗号文フレームＥｎＦを受信するときは受信側Ｌ２スイッチ１００ｒとして動作する。図５は、第１Ｌ２スイッチ１００ａが送信側であり、第２Ｌ２スイッチ１００ｂが受信側である場合を例示的に示す。

受信ポート１１１（ｒ）がユーザ−ネットワークインターフェースＵＮＩとして設定された場合、受信されたフレームは暗号化モジュール１３０へ伝達され、暗号化モジュール１３０は暗号化セッション確認ステップ（Ｓ２１）を行い、暗号化セッションが存在しない場合（Ｎ）、セッション生成ステップ（Ｓ５０）を行う。暗号化モジュール１３０は、ユーザ−ネットワークインターフェースとして設定されたポート１１１から受信したフレームの目的地であるＬ２スイッチ１００と自分との関係で暗号化セッションが設定されているかを確認し、暗号化セッションが設定されていない場合には、暗号化セッションの設定を要求するコントロールフレームＣＦを生成して、目的地であるＬ２スイッチ１００へ伝送し、暗号化セッションの設定を要求するコントロールフレームＣＦを受信した場合には、返信で暗号化セッションの設定を承諾するコントロールフレームＣＦを生成して、暗号化セッションの設定を要求するコントロールフレームＣＦを送信したＬ２スイッチ１００へ伝送し、暗号化セッションの設定を承諾するコントロールフレームＣＦを受信した場合には、暗号化セッションを設定するセッション生成動作（Ｓ５０）をさらに行うことができる。
まず、送信側Ｌ２スイッチ１００ｓの暗号化モジュール１３０は、暗号化セッションの設定を要求する図４に示されたコントロールフレームＣＦを生成して受信側Ｌ２スイッチ１００ｒに送るセッション設定要求ステップ（Ｓ５１）を行う。次に、送信側Ｌ２スイッチ１００ｓの暗号化モジュール１３０は、セッションＤＢ１４０に、受信側Ｌ２スイッチ１００ｒへセッション設定の要求を伝送した状態であることを格納する（Ｓ５２）。

図４を参照すると、コントロールフレームＣＦは、目的地ＭＡＣアドレス（ｄｅｓｔＭＡＣ）、出発地ＭＡＣアドレス（ｓｒｃＭＡＣ）、イーサネットタイプ（Ｔｙｐｅ）、ＩＰアドレス（ＩＰ）情報の後に、暗号化コントロールデータ（ＥｎＣｏｎｔｒｏｌ Ｄａｔａ）を含む。暗号化コントロールデータは、ホストのｓｏｕｒｃｅ ＭＡＣ ａｄｄｒｅｓｓ、ホストのｓｏｕｒｃｅ ＩＰ ａｄｄｒｅｓｓ、ホストのｄｅｓｔｉｎａｔｉｏｎ ＩＰ ａｄｄｒｅｓｓ、ｆｒａｍｅ ｃｏｎｔｒｏｌ ｔｙｐｅ：（ｒｅｑｕｅｓｔ、ｒｅｓｐｏｎｓｅ）、ｆｒａｍｅ ｔｙｐｅ ｃｏｎｔｒｏｌ、ｄａｔａ ｈａｓｈ ｖａｌｕｅ、ｅｎｃｒｙｐｔｉｏｎ／ｄｅｃｒｙｐｔｉｏｎ ｄｅｖｉｃｅｓ’ｓｅｒｉａｌ ｉｄ、ｅｎｃｒｙｐｔｉｏｎ／ｄｅｃｒｙｐｔｉｏｎ ａｕｔｈｅｎｔｉｆｉｃａｔｉｏｎ ｋｅｙ ｌｅｎｇｔｈ、ｅｎｃｒｙｐｔｉｏｎ／ｄｅｃｒｙｐｔｉｏｎ ｓａｌｔ ｋｅｙ、ｅｎｃｒｙｐｔｉｏｎ／ｄｅｃｒｙｐｔｉｏｎ ｄａｔａ ｖａｌｕｅを含むことができる。

再び図５を参照すると、受信側Ｌ２スイッチ１００ｒの暗号化モジュール１３０は、送信側Ｌ２スイッチ１００ｓから暗号化セッションの設定を要求するコントロールフレームＣＦを受信すると（Ｓ５３）、暗号化セッションの設定を承諾するコントロールフレームＣＦを生成して送信側Ｌ２スイッチ１００ｓに送る応答伝送ステップ（Ｓ５４）を行う。次に、受信側Ｌ２スイッチ１００ｒの暗号化モジュール１３０は、セッションＤＢ１４０に、暗号化セッションの設定を承諾する応答を伝送した状態であることを格納する（Ｓ５５）。

次に、セッション設定要求を送信（Ｓ５１）するときから設定された時間内に送信側Ｌ２スイッチ１００ｓの暗号化モジュール１３０が、受信側Ｌ２スイッチ１００ｒから暗号化セッションの設定を承諾するコントロールフレームＣＦを受信すると（Ｓ５６）、セッションＤＢ１４０に、受信側Ｌ２スイッチ１００ｒと暗号化セッションが成立した状態であることを格納する（Ｓ５７）。送信側Ｌ２スイッチ１００ｓの暗号化モジュール１３０は、セッション設定要求を送信（Ｓ５１）するときから設定された時間内に受信側Ｌ２スイッチ１００ｒから暗号化セッション成立を承諾するコントロールフレームＣＦが受信されない場合、セッションＤＢ１４０に格納された受信側Ｌ２スイッチ１００ｒへセッション設定要求を伝送した状態を削除する。定められた時間内に暗号化セッション成立を承諾するコントロールフレームＣＦを受け取っていない場合は、受信側Ｌ２スイッチ１００ｒが一般Ｌ２スイッチ９０であり得るので、自動的に平文フレームＮＦが伝送される。

次に、送信側Ｌ２スイッチ１００ｓの暗号化モジュール１３０がフレームを暗号化して（Ｓ３０）、暗号化フレームを受信側Ｌ２スイッチ１００ｒにスイッチングすると（Ｓ６０）、受信側Ｌ２スイッチ１００ｒは、暗号化フレームを受信し復号化動作を行うことにより（Ｓ４０）、平文フレームＮＦを伝達する。受信側Ｌ２スイッチ１００ｒは、セッションＤＢ１４０に、送信側Ｌ２スイッチ１００ｓと復号化セッションが成立したことを記録する（Ｓ５８）。

セッションＤＢ１４０に格納される暗号化セッションと復号化セッションは、定められた時間が経過すると、自動的に削除され、セッションが成立した以降から定められた時間以内に処理される平文フレームＮＦまたは暗号化フレームは、暗号化セッションまたは復号化セッションが設定されているので、セッション設定ステップ（Ｓ５０）を経ることなく直ちに暗号化（Ｓ３０）または復号化（Ｓ４０）される。セッションＤＢ１４０に記録された暗号化セッション及び復号化セッションが時間の経過によって削除される場合、送信側Ｌ２スイッチ１００ｓがフレームを受信した後、再びセッション設定ステップ（Ｓ５０）を行う。

第１Ｌ２スイッチ１００ａと第２Ｌ２スイッチ１００ｂとが接続された場合、第１Ｌ２スイッチ１００ａが送信側Ｌ２スイッチ１００ｓであり、第２Ｌ２スイッチ１００ｂが受信側Ｌ２スイッチ１００ｒである第１暗号化セッションが設定でき、第２Ｌ２スイッチ１００ｂが送信側Ｌ２スイッチ１００ｓであり、第１Ｌ２スイッチ１００ａが受信側Ｌ２スイッチ１００ｒである第２暗号化セッションが第１暗号化セッションとは別個に設定できる。第１暗号化セッションが、設定された期間が経過して消滅する場合にも、第２暗号化セッションの設定期間が経過していなければそのまま維持できる。

図６は本発明の一実施形態に係るネットワークセキュリティ用Ｌ２スイッチ１００を用いて構成した遠隔監視制御システムのためのネットワーク２０を示す図である。
図６に示すように、水資源や電気供給網などの基幹施設を管理するためのネットワーク２０は、ネットワーク２０の一部が断絶されても、監視データの収集と制御命令の伝達を保障する必要があるので、二重化構造で構成される。図６では、リング（Ｒｉｎｇ）状に二重化されたネットワーク２０を例示的に示し、ネットワーク２０の一部を省略して表示した。本発明の一実施形態に係るネットワーク２０のセキュリティのためのＬ２スイッチ１００を用いてネットワーク２０のセキュリティを達成するためには、二重化構造のネットワーク２０を構成する全ての一般Ｌ２スイッチ９０をネットワーク２０のセキュリティのためのＬ２スイッチ１００に変更する必要がない。図６に示すように、遠隔監視制御装置１０と二重化されたネットワーク２０とを接続するラインに第１Ｌ２スイッチ１００ａを設置し、制御設備３０と二重化されたネットワーク２０とを接続するラインに第２Ｌ２スイッチ１００ｂを設置すると、両端がＬ２スイッチ１００に接続された暗号化区間を設定することができる。

図４に示すように、暗号文フレームＥｎＦは、ＩＰアドレス後のＩＰデータ（ＩＰ Ｄａｔａ）領域のみが暗号化されているので、二重化ネットワーク２０を構成する既存の一般Ｌ２スイッチ９０は、暗号文フレームＥｎＦを平文フレームＮＦと同じ方式で伝達することができる。例えば、第１Ｌ２スイッチ１００ａ、第２Ｌ２スイッチ１００ｂ及び第３Ｌ２スイッチ１００ｃの間の区間は、暗号化フレームが送受信でき、一般Ｌ２スイッチ９０に直接接続された制御設備３０と第１Ｌ２スイッチ１００ａ又は第２Ｌ２スイッチ１００ｂとの間の区間は、平文フレームＮＦで送受信できる。よって、既存の二重化ネットワーク２０を構成する一般Ｌ２スイッチ９０は、そのまま維持し、二重化ネットワーク２０の各ノードと現場とを接続する箇所にＬ２スイッチ１００を設置すれば十分なので、全体ネットワーク２０の構成を一時に変更しなくてもよく、セキュリティが優先的に必要な区間から適用することができる。

図７は本発明の一実施形態に係る遠隔監視制御装置１０がネットワークセキュリティ用Ｌ２スイッチ１００の状態を監視するために使用されるルックアップテーブルの一部を示す。
図１を再び参照すると、Ｌ２スイッチ１００の状態管理モジュール１５０は、ネットワークセキュリティ用Ｌ２スイッチ１００に関する情報を含む状態報告フレームＭＢＦを生成し、遠隔監視制御装置１０へ伝達する。ネットワークセキュリティ用Ｌ２スイッチ１００に関する情報は、通信量に関する情報、サイバー攻撃に関する情報、またはネットワークセキュリティＬ２スイッチ１００自体の状態に関する情報のうちの少なくとも一つを含むことができる。遠隔監視制御装置１０は、Ｌ２スイッチ１００から受信する状態報告フレームＭＢＦに含まれている情報に基づいて、Ｌ２スイッチ１００の状態を確認することができ、Ｌ２スイッチ１００に必要な制御命令を伝達することができる。

図４を参照すると、状態報告フレームＭＢＦは、モードバス（ＭＯＤＢＵＳ）プロトコルに従う。モードバス（ＭＯＤＢＵＳ）プロトコルは、産業用データ送受信のために開発されたもので、従来のＳＮＭＰなどの方式に比べて汎用性が高く、互換性が高いという利点がある。モードバス（ＭＯＤＢＵＳ）プロトコルは、産業用に開発されたもので、さまざまな情報を込めることが難しいという問題があるが、本発明の一実施形態に係る状態報告フレームＭＢＦは、ルックアップテーブルを用いてさまざまな類型の情報をモードバスプロトコルに従うフレームに格納して伝達することができる。Ｌ２スイッチ１００の状態管理モジュール１５０は、ＭＯＤＢＵＳプロトコルに基づいて状態報告フレームＭＢＦを生成し、遠隔監視制御装置１０は、ＭＯＤＢＵＳプロトコルに基づいて受信した状態報告フレームＭＢＦを解析してＬ２スイッチ１００の状態に関する情報を認識することができる。

状態報告フレームＭＢＦは、ＭＡＣヘッダ（ＭＡＣ ＨＤＲ）、ＩＰヘッダ（ＩＰ ＨＤＲ）、ＴＣＰヘッダ（ＴＣＰ ＨＤＲ）の後にモードバス／ＴＣＰデータ（ＭＯＤＢＵＳ／ＴＣＰ Ｄａｔａ）を含むように構成できる。モードバス／ＴＣＰデータ（ＭＯＤＢＵＳ／ＴＣＰ Ｄａｔａ）は、図７のルックアップテーブルに例示的に記載される項目それぞれに対する項目コードと、項目コードに対応するデータ値とを含むことができる。例えば、Ｌ２スイッチ１００が第１ポート１１１のＴＸ通信量を遠隔監視制御装置１０に報告しようとする場合、状態管理モジュール１５０は、第１ポート１１１のＴＸ通信量の項目コードである「３０００３」とＴＸ通信量の「値」をモードバス／ＴＣＰデータ（ＭＯＤＢＵＳ／ＴＣＰ Ｄａｔａ）に含ませて状態管理フレームを生成し、遠隔監視制御装置１０へ送信する。遠隔監視制御装置１０は、同じルックアップテーブルに基づいて状態管理フレームのモードバス／ＴＣＰデータ（ＭＯＤＢＵＳ／ＴＣＰ Ｄａｔａ）を解釈して、第１ポート１１１のＴＸ通信量の値がいくらであるかが分かる。類似の方法として、第１ポート１１１の動作（項目コード１００１６）の状態値（Ｅｎａｂｌｅ：１／Ｄｉｓａｂｌｅ：０）やサイバー攻撃（項目コード３００６９）中のＤｏｓ Ａｔｔａｃｋ探知（６５００６）などをルックアップテーブルと対照して状態報告フレームＭＢＦを生成し、解釈することができる。

図８は本発明の一実施形態に係るネットワークセキュリティ用Ｌ２スイッチ１００の表示部１６０を示す図である。
図８の（ａ）に示すように、ネットワークセキュリティ用Ｌ２スイッチ１００は、タッチパネルで実現される表示部１６０を含むことができる。表示部１６０は、タッチパネルに加えて、スピーカなどの装置をさらに含むことができる。タッチパネルは、管理者の入力を受信する入力部１７０として機能することもできる。タッチパネルは、Ｌ２スイッチ１００の外部ケースの前面に備えられ得る。

図８の（ｂ）に示すように、ネットワークセキュリティ用Ｌ２スイッチ１００自体に問題が発生した場合、前記表示部１６０に問題発生通知画面１６０ａが表示できる。Ｌ２スイッチ１００の状態管理モジュール１５０は、タッチパネルを介してＬ２スイッチ１００の異常か否かを管理者に視覚的に表示することができる。例えば、タッチパネルは、Ｌ２スイッチ１００に異常があることを表示するフレーズ（例えば、問題発生など）を表示することができ（図８の（ｂ）参照）、赤と白を交互に表示するなどの視覚的方法を用いて問題発生を表示することができる。Ｌ２スイッチ１００に発生する可能性のある問題は、サイバー攻撃または有害トラフィックの発生や内部構成の機能異常などである。Ｌ２スイッチ１００が設置された現場の管理者は、タッチパネルを確認することだけで、Ｌ２スイッチ１００に問題があることを容易に認識し、問題解決に着手することができる。

図８の（ｃ）に示すように、状態管理モジュール１５０は、ネットワークセキュリティ用Ｌ２スイッチ１００に物理的接続が検知されるか或いは入力部１７０が入力を検知すると、表示部１６０にパスワード入力画面１６０ｂを表示し、入力部１７０に所定のパスワードが入力される前まで物理的接続または入力を遮断することができる。状態管理モジュール１５０は、Ｌ２スイッチ１００のファームウェアアップデートを行わなければならないか、或いはＬ２スイッチ１００のポート１１１に物理的装置が接続される場合、表示部１６０（タッチパネル）にパスワード入力画面１６０ｂを表示し、管理者がパスワードを入力してこそ、接続された装置が動作するように制限することができる。Ｌ２スイッチ１００に部外者がアクセスして電子装置を任意に接続する場合、ハッキングなどの危険が存在する。よって、部外者または管理者であっても、Ｌ２スイッチ１００に装置を接続する場合、パスワード入力ステップを経てこそ装置を使用することができるように制限してセキュリティ性を向上させることができる。パスワード入力画面１６０ｂは、管理者が入力部１７０を介してＬ２スイッチ１００を制御しようとする場合にも表示できる。

図８の（ｄ）に示すように、Ｌ２スイッチ１００の状態管理モジュール１５０は、管理者の入力に基づいて暗号化機能をオン／オフするための緊急切替選択画面１６０ｃを表示し、入力部１７０に緊急切替選択が入力される場合、スイッチファブリックモジュール１１０が暗号化モジュール１３０へフレームを伝達しないように制御する動作を行うことができる。水資源管理または電力網管理などの基幹施設を監視制御するネットワーク２０は、常に監視データ及び制御命令の伝達が保障される必要がある。よって、Ｌ２スイッチ１００に問題が発生するか、或いは他の理由で暗号文フレームＥｎＦを送受信することができない状況が発生することがある。このような場合、管理者は、Ｌ２スイッチ１００の暗号化機能を使用しないように切り替える必要がある。Ｌ２スイッチ１００は、タッチパネルを介して、管理者が暗号化機能をオン（Ｏｎ）またはオフ（Ｏｆｆ）することができる緊急切替選択画面１６０ｃを提供することができる。例えば、管理者がＬ２スイッチ１００の暗号化機能をオフ（Ｏｆｆ）しようとする場合は、管理者がパスワード入力画面１６０ｂを介してパスワードを入力し、緊急切替選択画面１６０ｃで「切替」を選択すると、状態管理モジュール１５０は、スイッチファブリックモジュール１１０で受信ポート１１１（ｒ）の設定に関係なく全てのフレームを暗号化モジュール１３０へ伝達せずに直ちにスイッチングするように制御することができる。

上述した本発明の一実施形態によれば、Ｌ２スイッチ１００のポート１１１の設定に基づいて送受信するフレームの暗号化または復号化を行うことができ、暗号化セッションが設定された送信側及び受信側のＬ２スイッチ１００ｒの間で暗号文フレームＥｎＦが伝送されるので、既存の一般Ｌ２スイッチ９０を全て交換しなくても、暗号化機能を行うことができるため、段階的にネットワーク２０のセキュリティ性を向上させることができる。

また、本発明の一実施形態によれば、Ｌ２スイッチ１００は、Ｌ２スイッチ１００の状態に関する情報を格納し、広く使用されるモードバス（ＭＯＤＢＵＳ）プロトコルを用いて遠隔監視制御装置１０に報告することができるので、体系的かつ効果的にネットワーク２０を管理することができ、基幹施設の監視制御のためのネットワーク２０に広く適用することができる。

また、本発明の一実施形態によれば、Ｌ２スイッチ１００の外部に備えられるタッチパネルを介して、現場の管理者が異常か否かを容易に認識することができ、Ｌ２スイッチ１００に問題が発生したときに緊急切替選択画面１６０ｃを介して暗号化機能をオフ（Ｏｆｆ）して非暗号化通信に切り替え、遠隔監視制御装置１０と制御設備３０との間の常時情報送受信を保障することができる。

以上、本発明を具体的な実施形態によって詳細に説明したが、これらの実施形態は、本発明を具体的に説明するためのもので、本発明を限定するものではない。本発明は、本発明の技術的思想内で、当該分野における通常の知識を有する者によってその変形や改良が可能であるのは明らかである。
本発明の単純な変形ないし変更はいずれも、本発明の範囲に属するものであって、本発明の具体的な保護範囲は、添付された特許請求の範囲によって明確になるだろう。

１００ 本発明の一実施形態に係るネットワークセキュリティ用Ｌ２スイッチ
１１０ スイッチファブリックモジュール
１１１ ポート
１２０ スイッチングＤＢ
１３０ 暗号化モジュール
１４０ セッションＤＢ
１５０ 状態管理モジュール
１６０ 表示部
１６０ａ 問題発生通知画面
１６０ｂ パスワード入力画面
１６０ｃ 緊急切替選択画面
１７０ 入力部
１０ 遠隔監視制御装置
１１ ＳＣＡＤＡ（Ｓｕｐｅｒｖｉｓｏｒｙ ｃｏｎｔｒｏｌ ａｎｄ ｄａｔａ ａｃｑｕｉｓｉｔｉｏｎ）
１２ ＳＯＣ（Ｓｅｃｕｒｉｔｙ Ｏｐｅｒａｔｉｏｎｓ Ｃｅｎｔｅｒ）
２０ ネットワーク
３０ 制御設備
３１ ＰＬＣ
３２ 端末
ＮＦ 平文フレーム
ＥｎＦ 暗号文フレーム
ＭＢＦ 状態報告フレーム
ＣＦ コントロールフレーム

Claims (9)

1. 遠隔監視制御装置と制御設備とを接続するネットワークを構成するＬ２スイッチであって、
   フレームを暗号化または復号化する暗号化モジュールと、
   前記フレームが受信された受信ポートの設定に基づいて、前記フレームを暗号化または復号化するか否かを決定して前記暗号化モジュールへ伝達し、前記暗号化モジュールから受信した暗号化又は復号化フレームを、目的地に接続された送信ポートにスイッチングするスイッチファブリックモジュールと、を含む、ネットワークセキュリティ用Ｌ２スイッチ。
2. 前記ネットワークセキュリティ用Ｌ２スイッチに関する情報を含む状態報告フレームを生成し、前記遠隔監視制御装置へ伝達する状態管理モジュールをさらに含み、
   前記ネットワークセキュリティ用Ｌ２スイッチに関する情報は、
   通信量に関する情報、サイバー攻撃に関する情報、または前記ネットワークセキュリティ用Ｌ２スイッチ自体の状態に関する情報のうちの少なくとも一つを含む、請求項１に記載のネットワークセキュリティ用Ｌ２スイッチ。
3. 前記状態管理モジュールは、
   モードバス（ＭＯＤＢＵＳ）プロトコルに基づいて前記状態報告フレームを生成するが、ルックアップテーブルを用いて前記ネットワークセキュリティ用Ｌ２スイッチに関する情報の項目ごとに与えられた項目コードを確認し、前記項目コードと前記項目コードに該当する値とを含むモードバスデータを生成する、請求項２に記載のネットワークセキュリティ用Ｌ２スイッチ。
4. 前記ネットワークセキュリティ用Ｌ２スイッチ自体に備えられ、管理者に情報を提供する表示部と、
   前記ネットワークセキュリティ用Ｌ２スイッチ自体に備えられ、管理者の入力を受信する入力部とをさらに含み、
   前記状態管理モジュールは、
   前記ネットワークセキュリティ用Ｌ２スイッチ自体に問題が発生した場合、前記表示部に問題発生通知画面を表示するか、
   前記ネットワークセキュリティ用Ｌ２スイッチに物理的接続が検知される場合または前記入力部が入力を検知する場合、前記表示部にパスワード入力画面を表示し、前記入力部に所定のパスワードが入力される前まで前記物理的接続または前記入力を遮断するか、
   或いは、前記管理者の入力に基づいて暗号化機能をオン／オフするための緊急切替選択画面を表示し、前記入力部に緊急切替選択が入力される場合、前記スイッチファブリックモジュールが前記暗号化モジュールへフレームを伝達しないように制御する動作をさらに行う、請求項２に記載のネットワークセキュリティ用Ｌ２スイッチ。
5. 前記スイッチファブリックモジュールは、
   前記フレームが受信されたポートがユーザ−ネットワークインターフェースとして設定された場合には、前記受信したフレームを暗号化するために前記暗号化モジュールへ伝達し、前記フレームが受信されたポートがネットワーク−ネットワークインターフェースとして設定された場合には、前記受信したフレームを復号化するために前記暗号化モジュールへ伝達し、前記フレームが受信されたポートがユーザ−ネットワークインターフェースまたはネットワーク−ネットワークインターフェースとして設定されていないポートである場合には、前記フレームの目的地に接続された送信ポートに、前記受信されたフレームをスイッチングする、請求項２に記載のネットワークセキュリティ用Ｌ２スイッチ。
6. 前記暗号化モジュールは、
   前記ユーザ−ネットワークインターフェースとして設定されたポートから受信したフレームの目的地であるＬ２スイッチと自分との関係で暗号化セッションが設定されているか否かを確認し、暗号化セッションが設定されていない場合には、暗号化セッションの設定を要求するコントロールフレームを生成して、前記目的地であるＬ２スイッチへ伝送し、前記暗号化セッションの設定を要求するコントロールフレームを受信した場合には、返信で前記暗号化セッションの設定を承諾するコントロールフレームを生成して、前記暗号化セッションの設定を要求するコントロールフレームを送信したＬ２スイッチへ伝送し、前記暗号化セッションの設定を承諾するコントロールフレームを受信した場合には、暗号化セッションを設定するセッション設定動作をさらに行う、請求項５に記載のネットワークセキュリティ用Ｌ２スイッチ。
7. フレームが受信された受信ポートの設定に基づいて前記フレームを暗号化または復号化して、目的地に接続された送信ポートにスイッチングするネットワークセキュリティ用Ｌ２スイッチと、
   前記ネットワークセキュリティ用Ｌ２スイッチに接続され、監視データを生成して送信する制御設備と、
   前記ネットワークセキュリティ用Ｌ２スイッチに接続され、前記制御設備から受信した監視データに基づいて制御命令を生成して送信する遠隔監視制御装置とを含む、ネットワークセキュリティ用Ｌ２スイッチを用いた遠隔監視制御システム。
8. 前記ネットワークセキュリティ用Ｌ２スイッチは、
   前記ネットワークセキュリティ用Ｌ２スイッチに関する情報を含む状態報告フレームをモードバス（ＭＯＤＢＵＳ）プロトコルに基づいて生成して前記遠隔監視制御装置へ提供し、
   前記遠隔監視制御装置は、
   前記ネットワークセキュリティ用Ｌ２スイッチが提供する前記状態報告フレームに基づいて、前記ネットワークセキュリティ用Ｌ２スイッチの状態を監視し制御する、請求項７に記載のネットワークセキュリティ用Ｌ２スイッチを用いた遠隔監視制御システム。
9. 前記遠隔監視制御装置は、
   前記モードバス（ＭＯＤＢＵＳ）プロトコルに基づいて前記状態報告フレームを解析するが、前記状態報告フレームのモードバスデータに含まれている項目コードとデータ値をルックアップテーブルと対照して、前記ネットワークセキュリティ用Ｌ２スイッチに関する情報の項目とその内容を認識する、請求項８に記載のネットワークセキュリティ用Ｌ２スイッチを用いた遠隔監視制御システム。

Images