JP5684103B2 - プラント用セキュリティ管理装置、管理方法及び管理プログラム - Google Patents

Description

本発明の実施形態は、プラント監視制御システムにおけるセキュリティ対策を強化したプラント用セキュリティ管理装置、管理方法及び管理プログラムに関する。

発電所、製鉄所、化学工場等のプラントは、プラント内の各種の設備を制御要素とするプラント監視制御システムによって制御されている。このようなプラント監視制御システムは、プラント制御装置及び操作・監視装置等を有している。

プラント制御装置は、制御要素を制御する。操作・監視装置は、プラント制御装置を介して制御要素を操作・監視する。プラント制御装置及び操作・監視装置は、それぞれオペレーティングシステム上で、制御用、操作・監視用のソフトウェアを動作させている。

また、プラント制御装置及び操作・監視装置は、制御及び操作・監視用の信号を送受信するために、ネットワークに接続されている。

このようなプラント監視制御システムにおいては、従来は、オペレーティングシステム及び制御用、操作・監視用のソフトウェアとして、メーカ独自で開発したものを用いていた。また、信号送受信用のネットワークとしては、専用のものが用いられていた。このため、外部からのウィルス攻撃等のリスクは少なかった。

特開２０１０−４４６１３号公報

ところで、近年では、多くのシステムで、設置やメンテナンスの容易化、低コスト化の観点から、ハードウェア、ソフトウェア及びネットワークとして、汎用のものを用いる傾向にある。

同様の理由から、プラント監視制御システムにおいても、プラント制御装置や操作・監視装置として、汎用のオペレーティングシステムがインストールされたパーソナルコンピュータが用いられる傾向にある。また、ネットワークとしても、公衆回線網を利用することが考えられる。

しかし、かかる場合には、ネットワーク、パーソナルコンピュータのＵＳＢポート等を経由して、ウィルス等の不正なプログラムが侵入する可能性が増大することになる。

これに対処するため、汎用のウィルス対策ソフトウェアを実行させて、ウィルス感染の有無を定期的にチェックすることが考えられる。しかし、ウィルス対策ソフトウェアの実行中は、ＣＰＵの負荷率が上昇する。このため、オペレーティンスシステム及び制御用、操作・監視用のソフトウェアの動作が遅れる可能性がある。

特に、制御対象となるプラントは、長年に亘って運転を継続させる必要性が高い。このため、外因によって運転の遅れや停止が発生することは、極力避けなければならない。

本発明の実施形態は、上記のような課題を解決するために提案されたものであり、その目的は、プラントの運転に影響を与えることなく、高いセキュリティを確保できる技術を提供することにある。

上記のような目的を達成するため、実施形態のプラント用セキュリティ管理装置は、以下の構成を有することを特徴とする。
(1) プラントの監視制御に関して常用系と待機系に多重化された構成部のうち、いずれの構成部が待機系かを判定する判定部
(2) 待機系の構成部に対してのみ、セキュリティ処理を行うセキュリティ処理部
(3) 待機系の構成部と常用系の構成部との切替指示を出力する切替指示部
(4) 多重化された構成部のうち、常用系の構成部の負荷率が、所定のしきい値を超えるか否かを判定する負荷率判定部
(5) 前記負荷率判定部による判定結果に応じて、セキュリティ処理部によるセキュリティ処理を抑制する抑制部

なお、本実施形態は、上記の各部の機能をコンピュータ又は電子回路により実現するための方法及びコンピュータに実行させるプログラムとして捉えることもできる。

第１の実施形態の構成例を示すブロック図 図１の常用待機切り替え前の信号の流れを示す図 図１の常用待機切り替え後の信号の流れを示す図 第１の実施形態の処理の流れを示すフローチャート 第２の実施形態の構成例を示すブロック図 第２の実施形態の処理の流れを示すフローチャート 第３の実施形態の構成例を示すブロック図 第３の実施形態の処理の流れを示すフローチャート 第４の実施形態の構成例を示すブロック図 第４の実施形態の処理の流れを示すフローチャート 第５の実施形態の構成例を示すブロック図 第５の実施形態の処理の流れを示すフローチャート 第６の実施形態の構成例を示すブロック図 第７の実施形態の構成例を示すブロック図 第８の実施形態の構成例を示すブロック図

［Ａ．第１の実施形態］
［１．構成］
［プラント監視制御システム］
まず、本実施形態のセキュリティ管理装置が適用されるプラント監視制御システムＳを、図１を参照して説明する。プラント監視制御システムＳは、プラントプロセスＰを監視制御するシステムである。

ここで、プラントプロセスＰは、制御対象となるプラントを構成する各種の設備等の制御要素及びその運転状態を示すパラメータやデータの集合体であり、パラメータやデータを収集、記憶、演算、出力する機器も含まれる。

そして、プラント監視制御システムＳは、プラント監視制御に関する装置として、複数のプラント制御装置２０−１〜２０−Ｎ、複数の操作・監視装置３０−１〜３０−Ｎを有している。以下の説明では、単にプラント制御装置、操作・監視装置を述べる場合には、プラント制御装置２０、操作・監視装置３０とする。

プラント制御装置２０、操作・監視装置３０は、ネットワーク１に接続されている。これにより、プラント制御装置２０、操作・監視装置３０は、制御用の信号及び操作・監視用の信号を、ネットワーク１を介して送受信可能に構成されている。

プラント制御装置２０は、プラントプロセスＰを制御する装置である。このプラント制御装置２０は、プラント監視制御に関して多重化された構成部として、一対の制御部２０ａ、２０ｂ、常用・待機切替装置２３を有している。２つの制御部２０ａ、２０ｂは、たとえば、それぞれが独立したＣＰＵを備えたコンピュータとする。この制御部２０ａ、２０ｂは、それぞれプラント制御ソフトウェア２１、オペレーティングシステム（図中、ＯＳとする）２２がインストールされている。制御部２０ａ、２０ｂは、オペレ−ティングシステム２２上で、プラント制御ソフトウェア２１を作動させることにより、プラントプロセスＰを制御する。

常用・待機切替装置２３は、プラントプロセスＰを制御する装置を、制御部２０ａ、２０ｂのいずれかに切り替える装置である。これにより、プラント監視制御システムＳは、プラントプロセスＰの制御に冗長化を持たせている。ここで、「常用」とは、実際にプラントプロセスＰの制御に使用されていることを意味する。このため、現在使用されているという意味で、「現用」と表現することもできる。また、「待機」とは、実際にはプラントプロセスＰの制御に使用されていないが、「常用」に切り替えることにより制御動作が可能な状態にあることを意味する。

なお、いずれの制御部２０ａ、２０ｂを「常用」に切り替えて常用系とするか、「待機」に切り替えて待機系とするかは、自由である。たとえば、常用系である一方の制御部２０ａが故障した時に、他方の制御部２０ｂを待機系から常用系に切り替えることが可能である。また、本実施形態においては、後述するように、セキュリティ処理のために、常用系と待機系の切り替えを行う。

操作・監視装置３０は、プラント制御装置２０を介して、プラントプロセスＰを操作・監視する装置である。操作・監視装置３０は、操作・監視ソフトウェア３１、オペレーティングシステム３２を有している。この操作・監視装置３０は、オペレーティングシステム３２上で、操作・監視ソフトウェア３１を作動させる。これにより、操作・監視装置３０は、プラント制御装置２０に対する操作指令の送信、状態監視等を行う。

なお、図示はしないが、プラント制御装置２０、操作・監視装置３０は、入力部、出力部、記憶部を有している。入力部は、装置の処理に必要な情報の入力、処理の選択や指示を入力する処理部である。出力部は、それぞれの処理の対象となる情報を、運転員等のユーザが認識可能となるように出力する表示装置等の処理部である。記憶部は、処理に必要な各種の情報を記憶する処理部である。

［セキュリティ管理装置］
次に、本実施形態のセキュリティ管理装置１０を説明する。セキュリティ管理装置１０は、プラント制御装置２０のセキュリティ処理を行う装置である。このセキュリティ管理装置１０は、ネットワーク１に接続されている。そして、セキュリティ管理装置１０は、問合部１１、判定部１２、セキュリティ処理部１３、確認部１４、切替指示部１５を有している。

問合部１１は、待機系問合せ信号によって、プラント制御装置２０における制御部２０ａ、２０ｂのどちらが待機系であるかを、常用・待機切替装置２３に問い合わせる処理部である。判定部１２は、常用・待機切替装置２３からの待機系装置連絡信号によって、制御部２０ａ、２０ｂのどちらが待機系であるかを判定する処理部である。なお、この待機系の判定処理は、制御部２０ａ、２０ｂのどちらか常用系かを判定することにより、間接的に待機系を判定する処理も含まれる。これは、以下の実施形態における待機系の判定においても同様である。

セキュリティ処理部１３は、待機系と判定された制御部２０ａ若しくは制御部２０ｂに対して、ネットワーク１を介して、セキュリティ上の異常に対処するセキュリティ処理を行う処理部である。セキュリティ処理部１３には、たとえば、異常を検知する検知部１３ａと、異常を検知した場合に、これを排除する排除部１３ｂが含まれる。

異常を検知する処理には、たとえば、ウィルススキャン若しくはウィルスチェックが含まれる。異常を排除する処理には、検知されたウィルスの駆除、除去若しくは隔離を行う処理が含まれる。

また、異常には、スパイウェア等のマルウェアと呼ばれる不正なプログラムの侵入、感染も含まれる。さらに、異常には、外部からの不正なアクセス、内部からの不正なサイトへのアクセスも含まれる。

確認部１４は、セキュリティ処理部１３によるセキュリティ処理の完了を確認する処理部である。切替指示部１５は、常用・待機切替装置２３に対して、常用・待機切替指令を送信することにより、常用系と待機系の制御部２０ａ、２０ｂを切り替えさせる処理部である。

［入力部］
上記のようなセキュリティ管理装置１０には、各部の処理に必要な情報の入力、処理の選択や指示を入力する入力部１０ａが接続されている。この入力部１０ａとしては、キーボード、マウス等、現在又は将来において利用可能なあらゆる入力装置を含む。

［出力部］
また、セキュリティ管理装置１０には、各部の処理の対象となる情報を、ユーザが認識可能となるように出力する出力部１０ｂを有している。この出力部１０ｂとしては、表示装置、プリンタ等、現在又は将来において利用可能なあらゆる出力装置を含む。

［記憶部］
さらに、図示はしないが、セキュリティ管理装置１０は、各部の処理に必要な各種情報を記憶する記憶部を有している。たとえば、待機系装置連絡信号のように待機系を判断するための情報を受信した場合には、かかる情報を記憶部が記憶する。また、負荷率を判断するための情報を受信した場合には、かかる情報を記憶部が記憶する。セキュリティ処理の結果についても、記憶部が記憶する。

さらに、記憶部は、演算式、パラメータ、しきい値等、各種の設定に関する情報も記憶する。記憶部における各情報の記憶領域は、それぞれ各情報の記憶部として捉えることができる。これらの情報は、入力部１０ａを用いて、ユーザが入力することもできる。記憶部としては、現在又は将来において利用可能なあらゆる記憶媒体を利用可能である。

なお、上記のようなプラント制御装置２０、操作・監視装置３０、セキュリティ管理装置１０は、コンピュータを所定のプログラムで制御することによって実現できる。たとえば、コンピュータとしては、汎用のパーソナルコンピュータやサーバ装置を用いることができる。また、プログラムであるプラント制御ソフトウェア２１、操作・監視ソフトウェア３１、オペレーティングシステム２２、３２についても、汎用のものを用いることができる。

この場合のプログラムは、コンピュータのハードウェアを物理的に活用することで、上記のような各部の処理を実現するものである。ハードウェアで処理する範囲、プログラムを含むソフトウェアで処理する範囲をどのように設定するかは、特定の態様には限定されない。

［２．作用］
以上のような本実施形態によるセキュリティ処理を、図２〜４を参照して説明する。図２、３は、信号の流れを示すために必要な部分のみを示した構成図である。図４は、セキュリティ管理装置１０の処理の流れを示すフローチャートである。なお、以下に述べる各部の処理を実行する方法、プログラム及びプログラムを記録した記録媒体も、実施形態の一態様である。

まず、セキュリティ管理装置１０における問合部１１が、ネットワーク１を介して、現在、制御部２０ａ、２０ｂのいずれが待機系であるかを問い合わせる（ステップ１０１）。この問い合わせ処理は、図２に示すように、問合部１１が、常用・待機切替装置２３に対して、待機系問合わせ信号１１ａを送信することにより行う。セキュリティ管理装置１０は、この問い合わせに対する回答を待つ（ステップ１０２のＮＯ）。

常用・待機切替装置２３は、問い合わせに対して、現在、制御部２０ａ、２０ｂのどちらが待機系であるかを、ネットワーク１を介して回答する。回答処理は、常用・待機切替装置２３が、セキュリティ管理装置１０に対して、待機系装置連絡信号２３ａを送信することにより行う。一例として、以下の説明では、現在、制御部２０ｂが待機系であり、制御部２０ａが常用系であるとする。

待機系装置連絡信号２３ａを受信したセキュリティ管理装置１０においては（ステップ１０２のＹＥＳ）、判定部１２が、待機系装置連絡信号２３ａを参照して、制御部２０ｂが待機系であると判定する（ステップ１０３）。

セキュリティ処理部１３は、判定部１２による判定結果に基づいて、待機系である制御部２０ｂに対して、セキュリティ処理を行う（ステップ１０４）。たとえば、セキュリティ処理部１３における検知部１３ａが、制御部２０ｂのプラント制御ソフトウェア２１、オペレーティングシステム２２について、ネットワーク１を介して、ウィルスチェックを行う。そして、ウィルスが発見された場合には、排除部１３ｂが、ウィルスの駆除を行う。

確認部１４は、セキュリティ処理部１３によるセキュリティ処理の完了を待つ（ステップ１０５のＮＯ）。確認部１４が完了を確認すると（ステップ１０５のＹＥＳ）、切替指示部１５は、常用と待機の切り替えを指示する（ステップ１０６）。この指示処理は、図３に示すように、切替指示部１５が、常用・待機切替装置２３に対して、常用・待機切替指令１５ａを送信することにより行う。セキュリティ管理装置１０は、この切替指示に対する連絡を待つ（ステップ１０７のＮＯ）。

すると、常用・待機切替装置２３が、制御部２０ａと２０ｂの常用と待機を切り替える。たとえば、常用・待機切替装置２３が、現在の常用系である制御部２０ａを待機系にして、待機系である制御部２０ｂを常用系にする。このとき、常用・待機切替装置２３は、セキュリティ管理装置１０に、待機系装置連絡信号２３ａを送信する。

待機系装置連絡信号２３ａを受信したセキュリティ管理装置１０においては（ステップ１０７のＹＥＳ）、判定部１２が、待機系装置連絡信号２３ａを参照して、制御部２０ｂが待機系であると判定する（ステップ１０８）。

セキュリティ処理部１３は、判定部１２による判定結果に基づいて、待機系に切り替わった制御部２０ａに対して、ネットワーク１を介してセキュリティ処理を行う（ステップ１０９）。

確認部１４は、セキュリティ処理部１３によるセキュリティ処理が完了を待つ（ステップ１１０のＮＯ）。確認部１４が完了を確認すると（ステップ１１０のＹＥＳ）、セキュリティ処理を完了する。なお、セキュリティ処理は、記憶部に記憶されたタイミングで行うことも、ユーザによる入力部１０ａからの指示入力に応じて行うことも可能である。

［３．効果］
以上のような本実施形態によれば、制御部２０ａ、２０ｂが、プラントプロセスＰの制御を行っていない待機系である場合にのみ、セキュリティ処理を実施する。このため、制御部２０ａ、２０ｂがプラントプロセスＰの制御中である場合には、セキュリティ処理を実施することがない。

したがって、プラントプロセスＰの制御中の制御部２０ａ若しくは制御部２０ｂの負荷が上昇することがなく、プラント制御ソフトウェア２１、オペレーティングシステム２２の動作の遅れや停止を防止できる。つまり、プラントの運転を、安定して継続させることが可能となる。

セキュリティ上の問題が発生した装置は、単にネットワーク１との接続を切り離したり、アクセス制御を実行したりすることにより、セキュリティを確保できる。しかし、かかる場合には、プラントの運転継続が困難となる。本実施形態では、上記のように、プラントにおいて必須となる運転の継続が可能となる点で、大きな利点がある。

さらに、動作中の装置に、単にウィルスチェック等を行う場合にも、負荷が大きくなり、運転に遅延をもたらす。本実施形態においては、制御部２０ａ、２０ｂが待機中である場合にのみ、セキュリティ処理を行うため、プラントの運転に支障はない。たとえば、一つの装置において、仮想化により冗長化を図る場合に比べても、負荷は小さくて済む。

［Ｂ．第２の実施形態］
［１．構成］
本実施形態の構成を、図５を参照して説明する。なお、第１の実施形態と同様の構成については同一の符号を付し、重複する説明は省略する。

まず、プラント制御装置２０における制御部２０ａ、２０ｂには、負荷率測定部２４が設けられている。この負荷率測定部２４は、制御部２０ａ、２０ｂにおけるＣＰＵの負荷率を測定する処理部である。

そして、セキュリティ管理装置１０は、負荷率問合部１６ａ、負荷率判定部１６ｂ、抑制部１６ｃを有している。負荷率問合部１６ａは、負荷率測定部２４に、負荷率を問い合わせる処理部である。負荷率判定部１６ｂは、負荷率測定部２４からの負荷率が、所定のしきい値を超えるか否かを判定する処理部である。しきい値は、あらかじめ記憶部に記憶されている。

抑制部１６ｃは、負荷率判定部１６ｂにより、負荷率がしきい値を超えると判定された場合に、セキュリティ処理部１３によるセキュリティ処理を抑制する処理部である。

［２．作用］
このように構成された本実施の形態における処理の流れを、図６のフローチャートを参照して説明する。まず、現在、制御部２０ａが常用系であるとする。このとき、常用系の制御部２０ａにおける負荷率測定部２４が、制御部２０ａの負荷率を測定している。

そして、セキュリティ管理装置１０における負荷率問合部１６ａは、制御部２０ａにおける負荷率測定部２４に対して、ネットワーク１経由で、負荷率を問い合わせる（ステップ２０１）。負荷率測定部２４は、制御部２０ａの負荷率のデータを、セキュリティ管理装置１０に送信する。

負荷率のデータを受信したセキュリティ管理装置１０においては、負荷率判定部１６ｂが、負荷率が所定のしきい値を超えるか否かを判定する（ステップ２０２）。

負荷率判定部１６ｂが、負荷率が所定のしきい値以下と判定した場合には（ステップ２０３のＹＥＳ）、プラントが安定していると判断することができる。そこで、上記の実施形態と同様に、セキュリティ処理を行う（ステップ２０４〜ステップ２１３）。

また、負荷率判定部１６ｂが、負荷率が処置のしきい値を超えると判定した場合には（ステップ２０３のＮＯ）、プラントが安定していないと判断することができる。そこで、抑制部１６ｃが、セキュリティ処理部１３によるセキュリティ処理を抑制する。このため、セキュリティ処理は実行されずに終了する。

［３．効果］
本実施の形態によれば、セキュリティ処理のフローが開始する前に、負荷率に応じて、セキュリティ処理を行うか否かを判定する。したがって、高負荷がかかった制御部２０ａ若しくは制御部２０ｂに対して、セキュリティ処理のために切り替え処理を行うことによる制御への影響を防止できる。

［Ｃ．第３の実施形態］
［１．構成］
本実施形態の構成を、図７を参照して説明する。なお、第１及び第２の実施形態と同様の構成については同一の符号を付し、重複する説明は省略する。まず、操作・監視装置３０は、警報表示部３３を有している。警報表示部３３は、セキュリティ管理装置１０から出力された警報を表示する処理部である。たとえば、警報表示部３３は、操作・監視装置３０の出力部によって構成できる。

そして、セキュリティ管理装置１０は、異常判定部１７ａ、警報出力部１７ｂを有している。異常判定部１７ａは、セキュリティ処理部１３によるセキュリティ処理の完了後、その結果に異常があったか否かを判定する処理部である。たとえば、セキュリティ処理部１３によりウィルスが検知された場合は、異常判定部１７ａは異常があったと判定する。

警報出力部１７ｂは、異常判定部１７ａにより異常があったと判定された場合に、操作・監視装置３０及び出力部１０ｂに警報を出力する処理部である。たとえば、操作・監視装置３０の警報表示部３３、出力部１０ｂの画面に、ウィルスが検知された旨を表示させることができる。

［２．作用］
このように構成された本実施の形態における処理の流れを、図８のフローチャートを参照して説明する。なお、現在、制御部２０ａが常用系であるとする。まず、負荷率の判定による処理は、上記と同様である（ステップ３０１〜３０３）。

そして、セキュリティ処理についても、基本的には、上記と同様である（ステップ３０４〜３０８）。ただし、待機系の制御部２０ｂに対するセキュリティ処理の完了後、異常判定部１７ａが異常の有無を判定する（ステップ３０９）。

異常があった場合には（ステップ３０９のＮＯ）、警報出力部１７ｂが、警報を出力する（ステップ３１６）。操作・監視装置３０における警報表示部３３は、受信した警報を画面に表示する。セキュリティ管理装置１０の出力部１０ｂも警報を表示できる。

異常がなかった場合（ステップ３０９のＹＥＳ）若しくは警報出力後、切替指示部１５が、常用・待機切替装置２３に、待機系と常用系を切り替えさせる。そして、セキュリティ処理部１３が、切り替え後の待機系の制御部２０ａに対して、セキュリティ処理を行う（ステップ３１０〜３１４）。

切り替え後の待機系の制御部２０ａに対するセキュリティ処理の完了後、異常判定部１７ａが異常の有無を判定する（ステップ３１５）。異常があった場合には（ステップ３１５のＮＯ）、警報出力部１７ｂが、警報を出力する（ステップ３１７）。操作・監視装置３０における警報表示部３３は、受信した警報を画面に表示する。セキュリティ管理装置１０の出力部１０ｂも警報を表示できる。

異常がなかった場合（ステップ３１５のＹＥＳ）若しくは上記のような警報出力後、処理を終了する。

［３．効果］
本実施の形態によれば、プラント制御装置２０における制御部２０ａ若しくは制御部２０ｂに、ウィルス感染等の異常が発生したかどうかを、プラントの運転員が警報により直ぐに認識することができる。このため、運転員は、異常に対して、直ちに対処することが可能となる。なお、警報は、画面表示のみならず、ランプの点灯や音声によって行なってもよい。この場合、警報表示部３３、出力部１０ｂとしては、発光部、音声出力部を用いることができる。

［Ｄ．第４の実施形態］
［１．構成］
本実施形態の構成を、図９を参照して説明する。なお、第１〜３の実施形態と同様の構成については同一の符号を付し、重複する説明は省略する。

まず、プラント制御装置２０における制御部２０ａ、２０ｂには、切離部２５が設けられている。切離部２５は、制御部２０ａ、２０ｂを、ネットワーク１から切り離す処理部である。たとえば、切り離し処理としては、接続されているポートを閉じる、ルータの電源を切る等が考えられる。

また、セキュリティ管理装置１０は、異常系判定部１８ａ、切離指示部１８ｂを有している。異常系判定部１８ａは、異常判定部１７ａによって異常があったと判定された制御部２０ａ、２０ｂが、常用系か待機系かを判定する処理部である。切離指示部１８ｂは、異常があったと判定された制御部２０ａ、２０ｂが待機系である場合に、切離部２５に、切り離しを指示する処理部である。

［２．作用］
このように構成された本実施の形態における処理の流れを、図１０のフローチャートを参照して説明する。なお、本実施形態の処理は、基本的には上記の第３の実施形態と同様である。なお、当初は制御部２０ａが常用系であったが、切り替え後に制御部２０ｂが常用系となるものとする。

まず、上記のようなセキュリティ処理後（ステップ３０１〜３１７）、制御部２０ａ及び制御部２０ｂの双方が正常であった場合には（ステップ３１８のＹＥＳ）、処理を終了する。制御部２０ａ及び制御部２０ｂの双方若しくは一方に異常があった場合（ステップ３１８のＮＯ）、異常系判定部１８ａによる系の判定が行われる。

つまり、異常系判定部１８ａは、異常があった制御部２０ａ若しくは制御部２０ｂが、現在、常用系か待機系かを判定する（ステップ３１９）。異常があったのが、待機系である場合（ステップ３２０のＹＥＳ）、切離指示部１８ｂが待機系に切り離し指示を出力する（ステップ３２２）。

この場合、現在、制御部２０ａが待機系であるため、切り離し指示を受信した制御部２０ａの切離部２５は、制御部２０ａを、ネットワーク１から切り離す。

異常があったのが、常用系である場合（ステップ３２０のＮＯ）、切替指示部１５は、常用系と待機系との切り替え指令を出力する（ステップ３２１）。この場合、常用・待機切替装置２３が、制御部２０ｂを待機系に切り替える。

そして、切離指示部１８ｂが、待機系となった制御部２０ｂに切り離し指示を出力する（ステップ３２２）。切り離し指示を受信した制御部２０ｂの切離部２５は、制御部２０ｂを、ネットワーク１から切り離す。

［３．効果］
本実施の形態によれば、セキュリティ処理により異常と判定された制御部２０ａ若しくは制御部２０ｂを、ネットワーク１から切り離すことができる。ウィルスの感染等の異常があった場合、基本的には、セキュリティ処理によりウィルスの駆除が行われる。しかし、検知できなかった異常が存在し、それが他の装置へ影響を与える可能性もあるため、より詳細に異常を調べた方がよい場合がある。本実施形態においては、異常があった制御部２０ａ若しくは制御部２０ｂを、待機系にした状態で切り離すことができるので、他の装置への影響を防ぐことができる。また、他方の制御部２０ａ若しくは２０ｂによって、プラント運転を継続することが可能となる。

［Ｅ．第５の実施形態］
［１．構成］
本実施形態の構成を、図１１を参照して説明する。なお、第１〜４の実施形態と同様の構成については同一の符号を付し、重複する説明は省略する。

まず、操作・監視装置３０は、トリップ推奨表示部３４を有している。トリップ推奨表示部３４は、セキュリティ管理装置１０から出力されたトリップ推奨表示を表示する処理部である。このトリップ推奨表示は、プラント運転を継続するかトリップさせるかの選択を促す表示である。

そして、セキュリティ管理装置１０は、トリップ推奨出力部１８ｃを有している。トリップ推奨出力部１８ｃは、異常系判定部１８ａによって常用系と待機系の双方の制御部２０ａ、制御部２０ｂに異常があったと判定された場合に、操作・監視装置３０及び出力部１０ｂにトリップ推奨表示を出力する処理部である。

［２．作用］
このように構成された本実施の形態における処理の流れを、図１２のフローチャートを参照して説明する。なお、本実施形態の処理は、基本的には上記の第４の実施形態と同様である（ステップ３０１〜３２２）。

ただし、異常系判定部１８ａによって異常があったと判定されたのが、常用系と待機系の双方である場合（ステップ３２３のＹＥＳ）、トリップ推奨出力部１８ｃが、トリップ推奨表示を出力する（ステップ３２４）。

すると、操作・監視装置３０のトリップ推奨表示部３４及び出力部１０ｂに、トリップ推奨表示が表示される。異常があったと判定されたのが、常用系と待機系のいずれか一方のみである場合には（ステップ３２３のＮＯ）、処理を終了する。

［３．効果］
本実施の形態によれば、セキュリティ処理により異常と判定された場合に、運転員に、プラント運転を継続するかトリップさせるかの選択を促す表示を提示できる。このため、運転員は、プラント運転の継続の有無を判断して、トリップ等の処理を行うことにより、信頼性の低下や事故の発生を未然に防止できる。

［Ｆ．第６の実施形態］
［１．構成］
本実施形態の構成を、図１３を参照して説明する。なお、第１〜５の実施形態と同様の構成については同一の符号を付し、重複する説明は省略する。すなわち、本実施形態のセキュリティ管理装置１０は、通信部１９を有している。また、操作・監視装置３０、プラント制御装置２０の制御部２０ａ、２０ｂも、それぞれ通信部３５、２６を有している。

セキュリティ管理装置１０、プラント制御装置２０の制御部２０ａ、２０ｂは、通信部１９、３５、２６により、ネットワーク１とは独立したセキュリティ処理専用のネットワーク１ａに接続されている。

［２．作用効果］
以上のような本実施形態によれば、上記と同様のセキュリティ処理を、プラントの操作・監視及び制御に使用されているネットワーク１とは別のネットワーク１ａを介して実施することができる。このため、ネットワーク１に比べてセキュリティが確保しやすい環境下でセキュリティ処理を行うことができ、プラントの継続運転を確保しやすい。たとえば、セキュリティ処理の際にウィルスが侵入することを防止でき、セキュリティ処理のためのデータが、プラント制御のためのネットワーク１のトラフィックを圧迫することがない。

［Ｇ．第７の実施形態］
［１．構成］
本実施形態の構成を、図１４を参照して説明する。なお、第１〜５の実施形態と同様の構成については同一の符号を付し、重複する説明は省略する。すなわち、本実施形態のセキュリティ管理装置１０は、ＶＰＮ通信部１９ａを有している。また、操作・監視装置３０、プラント制御装置２０も、ＶＰＮ通信部３５ａ、２６ａを有している。

セキュリティ管理装置１０、プラント制御装置２０の制御部２０ａ、２０ｂは、ＶＰＮ通信部１９ａ、３５ａ、２６ａにより、ネットワーク１とは独立したＶＰＮ（Virtual Private Network）１ｂを介して、信号を送受信可能に設けられている。

［２．作用効果］
以上のような本実施形態によれば、単にネットワーク１とは別のネットワークを用いるだけなく、ＶＰＮ１ｂを用いてセキュリティ処理を行うことができる。このため、カプセル化及び暗号化等により、さらに高いセキュリティを確保した環境化で、セキュリティ処理を行うことができ、プラントの継続運転を確保しやすい。

［Ｈ．第８の実施形態］
本実施形態の構成を、図１５を参照して説明する。なお、第１〜７の実施形態と同様の構成については同一の符号を付し、重複する説明は省略する。まず、操作・監視装置３０が、プラント監視制御に関して多重化された構成部として、操作・監視部３０ａ、３０ｂを有している。２つの操作・監視部３０ａ、３０ｂは、たとえば、それぞれが独立したＣＰＵを備えたコンピュータとする。操作・監視部３０ａ、３０ｂは、常用系と待機系とが交替可能に設けられている。

そして、本実施形態のセキュリティ管理装置１０における各部は、上記のプラント制御装置２０における制御部２０ａ、２０ｂに対する処理と同様の処理を、操作・監視部３０ａ、３０ｂに対して行う。このため、操作・監視装置についても、通常動作を継続させつつ、異常の検知や、異常があった場合の迅速な対処が可能となり、上記の実施形態と同様の作用効果が得られる。切り替えは、各操作・監視部３０ａ、３０ｂの動作モードの切り替えによって行なってもよいし、通信装置によるネットワーク１ｂとの接続の切り替えによって行なってもよい。

［Ｉ．他の実施形態］
（１）実施形態によるセキュリティ処理の対象となるプラント制御装置、操作・監視装置の数は、特定の数には限定されない。複数あるプラント制御装置、操作・監視装置のいずれに対してセキュリティ処理を行うか否かは自由に設定可能である。また、多重化される構成部である制御部や操作・監視部の数は、３つ以上であってもよい。この場合、待機系である制御部や操作・監視部に対して、どのような順序でセキュリティ処理を行うか、常用系への切り替えを行うかも、自由に設定可能である。なお、上記の実施形態における各部は、共通のコンピュータにおいて実現してもよいし、ネットワークで接続された複数のコンピュータによって実現してもよい。

（２）実施形態が接続されるネットワークは、情報のやりとりが可能な伝送路（伝送回線）を広く含む。伝送路としては、有線若しくは無線のあらゆる伝送媒体を適用可能であり、どのようなＬＡＮやＷＡＮを経由するか若しくは経由しないかは問わない。通信プロトコルについても、現在又は将来において利用可能なあらゆるものを適用可能である。ネットワークを介した情報の送受信を行うための装置についても、現在又は将来において利用可能なあらゆる装置を適用可能である。

（３）実施形態に用いられる情報の具体的な内容、値は自由であり、特定の内容、数値には限定されない。実施形態において、値に対する大小判断、一致不一致の判断等において、以上、以下として値を含めるように判断するか、より大きい、より小さいとして値を含めないように判断するかも自由である。

（４）本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

１、１ａ…ネットワーク
１ｂ…ＶＰＮ
１０…セキュリティ管理装置
１０ａ…入力部
１０ｂ…出力部
１１…問合部
１２…判定部
１３…セキュリティ処理部
１４…確認部
１５…切替指示部
１６ａ…負荷率問合部
１６ｂ…負荷率判定部
１７ａ…異常判定部
１７ｂ…警報出力部
１７ｃ…トリップ推奨出力部
１８ａ…異常系判定部
１８ｂ…切離指示部
１９、２６、３５…通信部
１９ａ、２６ａ、３５ａ…ＶＰＮ通信部
２０、２０−１〜２０−Ｎ…プラント制御装置
２０ａ、２０ｂ…制御部
２１…プラント制御ソフトウェア
２２、３２…オペレーティングシステム
２３…常用・待機切替装置
２４…負荷率測定部
３０、３０−１〜３０−Ｎ…操作・監視装置
３１…操作・監視ソフトウェア
３３…警報表示部
３４…トリップ推奨表示部
Ｓ…プラント監視制御システム

Claims (9)

1. プラントの監視制御に関して常用系と待機系に多重化された構成部のうち、いずれの構成部が待機系かを判定する判定部と、
   待機系の構成部に対してのみ、セキュリティ処理を行うセキュリティ処理部と、
   待機系の構成部と常用系の構成部との切替指示を出力する切替指示部と、
   多重化された構成部のうち、常用系の構成部の負荷率が、所定のしきい値を超えるか否かを判定する負荷率判定部と、
   前記負荷率判定部による判定結果に応じて、セキュリティ処理部によるセキュリティ処理を抑制する抑制部と、
   を有することを特徴とするプラント用セキュリティ管理装置。
2. 前記セキュリティ処理部は、
   待機系の構成部におけるセキュリティ上の異常を検知する検知部と、
   前記検知部により検知された異常を排除する排除部と、
   を有することを特徴とする請求項１記載のプラント用セキュリティ管理装置。
3. 前記セキュリティ処理部によるセキュリティ処理により、構成部に異常があったか否かを判定する異常判定部と、
   前記異常判定部により異常があったと判定された場合に、警報を出力する警報出力部を有することを特徴とする請求項１又は請求項２記載のプラント用セキュリティ管理装置。
4. 多重化された構成部にネットワークを介して接続され、
   前記セキュリティ処理部によるセキュリティ処理により、構成部に異常があったか否かを判定する異常判定部と、
   前記異常判定部により異常があったと判定された構成部を、前記ネットワークから切り離す指示を出力する切離指示部を有することを特徴とする請求項１又は請求項２記載のプラント用セキュリティ管理装置。
5. 前記セキュリティ処理部によるセキュリティ処理により、構成部に異常があったか否かを判定する異常判定部と、
   前記異常判定部により異常があったと判定された場合に、プラント運転を継続するかトリップさせるかの選択を促す表示を出力するトリップ推奨出力部を有することを特徴とする請求項１又は請求項２記載のプラント用セキュリティ管理装置。
6. プラントの監視制御に使用されるネットワークとは独立したネットワークを介して、多重化された構成部に接続されていることを特徴とする請求項１〜５のいずれか１項に記載のプラント用セキュリティ管理装置。
7. 前記独立したネットワークは、ＶＰＮであることを特徴とする請求項６記載のプラント用セキュリティ管理装置。
8. コンピュータ又は電子回路が、
   プラントの監視制御に関して常用系と待機系に多重化された構成部のうち、いずれの構成部が待機系かを判定する処理と、
   多重化された構成部のうち、常用系の構成部の負荷率が、所定のしきい値を超えるか否かを判定する処理と、を行い、
   前記負荷率が所定のしきい値を超える場合には、セキュリティ処理を抑制する処理を行い、
   前記負荷率が所定のしきい値以下の場合には、待機系の構成部に対するセキュリティ処理と、
   前記セキュリティ処理の終了後、待機系の構成部と常用系の構成部との切替指示を出力する処理と、
   切り替え後の待機系の構成部に対するセキュリティ処理と、
   を行うことを特徴とするプラント用セキュリティ管理方法。
9. コンピュータに、
   プラントの監視制御に関して常用系と待機系に多重化された構成部のうち、いずれの構成部が待機系かを判定する処理と、
   多重化された構成部のうち、常用系の構成部の負荷率が、所定のしきい値を超えるか否かを判定する処理と、を実行させ、
   前記負荷率が所定のしきい値を超える場合には、セキュリティ処理を抑制する処理を実行させ、
   前記負荷率が所定のしきい値以下の場合には、待機系の構成部に対するセキュリティ処理と、
   前記セキュリティ処理の終了後、待機系の構成部と常用系の構成部との切替指示を出力する処理と、
   切り替え後の待機系の構成部に対するセキュリティ処理と、
   を実行させることを特徴とするプラント用セキュリティ管理プログラム。

Images