JP6138591B2 - 制御システム - Google Patents

Description

本発明は，制御システムに関する。

制御対象設備の安全かつ安定な運転を担保するため、制御装置における各種機能の健全性を診断し、機能の異常を未然に、あるいは早期に検出して対策を実行することが求められる。

本技術分野に関連する背景技術として，〔特許文献１〕には、共有バスの診断において、テストパターンによるモジュールの誤動作や診断報告の誤りを防止し、安全かつ正確な診断を実施するための診断制御技術が開示されている。

特開２００７−２９３６７８号公報

特に社会インフラ分野の制御システムは社会生活の維持に密接に関連するため，悪意を持つ者により制御装置のセキュリティが侵害された場合には制御対象設備の安全を確保しつつも，稼動状態を可能な限り維持することが求められる。そのため，被害拡大防止の観点から，制御システムには，機能の一部縮退などの状態変更を含む防御機能が必要とされ，かつそれが必要なときに正しく動作することを担保するために定期的な診断が必要とされる。

ただし，実際に制御状態の変更を行わせるような機能診断の実施にあたっては，それが平常時における制御対象設備の稼動状態を損ねないこと、そして，診断後には診断前の制御状態が維持されることが必要である。

従来技術の（特許文献１）の構成は，制御処理の中でそれ以外の機能に対する診断を指令するものであり，制御機能自身の状態変更を伴う機能診断を実施する方法は開示されていない。

本発明は，平常時における制御対象設備の稼動状態を維持しつつ，制御状態の変更を伴う機能診断を実施可能な制御システムを提供することを目的とする。

上記課題を解決するために、本発明は制御対象設備に対する制御を行う制御システムにおいて、一時的に制御を停止可能で、制御の健全性を診断するテストデータを入力する制御機能部と、該制御機能部の制御データを退避可能な記憶部と、前記制御データを前記記憶部へ退避させ、前記制御機能部の健全性を診断する診断実行制御部と、前記診断結果を出力可能な出力部とを備え、機能診断を行うことを特徴とするものである。

更に、本発明は制御システムにおいて、前記制御機能部の応答を収集し解析する診断解析部を備え、該診断解析部は診断の前後における前記制御対象設備に対する制御指令値の変化内容を解析することを特徴とするものである。

更に、本発明は制御システムにおいて、前記制御機能部の内部状態を取得及び設定する状態取得・設定部を備え、前記診断実行制御部は制御状態を監視・退避あるいは復元するために、前記状態取得・設定部に接続され、制御機能部の内部状態を取得・設定可能となるようにしたことを特徴とするものである。

更に、本発明は制御システムにおいて、前記制御対象設備に対する制御出力を安定させるための代替出力生成部と、前記制御対象設備に対する制御出力の出力元を切り替える制御出力切替部とを備えたことを特徴とするものである。

更に、本発明は制御システムにおいて、前記テストデータが更新可能であることを特徴とするものである。

更に、本発明は制御システムにおいて、制御を一時的に停止した際に、停止状態信号を外部へ出力することを特徴とするものである。

本発明によれば，制御対象設備の稼動状態を維持しつつ，制御状態の変更を伴う機能診断を実施可能な制御システムを提供することができる。

本願の第一の発明である制御システムの全体構成例を示す図。 本願の第一の発明である制御システムの平常運転時から診断開始にかけての動作を説明する図。 本願の第一の発明である制御システムの診断実行中の動作を説明する図。 本願の第一の発明である制御システムの診断完了時の動作を説明する図。 本願の第二の発明である制御システムの全体構成例を示す図。 本願の第二の発明である制御システムの平常運転時から診断開始にかけての動作を説明する図。

以下，図面を用いて本発明の実施例を説明する。

本実施例では，本願の第一の発明である制御システムについて説明する。

＜各部の構成と機能＞
図１は，本実施例における制御システム１の全体構成図である。

制御装置１０は、制御プログラム（図示せず）に従い、制御対象設備２に対する制御指令値を算出する装置であり、制御プログラムを実行する制御機能部１１と，セキュリティの侵害時に制御機能の縮退などの保護指令を生成する保護機能部１２と，制御機能部１１の内部状態を取得及び設定する状態取得・設定部１３と，診断時に入力されたテストデータに対する保護機能部１２及び制御機能部１１の応答を収集し解析する診断解析部１４と、制御対象設備２に対する制御出力の出力元を切り替える制御出力切替部１５と、制御対象設備２に対する制御出力を安定させるための代替出力生成部１６とを具備する。

機能診断装置２０は、制御装置１０において制御を停止可能となったときに、制御装置１０に対してテストデータを入力し、制御装置１０における保護機能部１２の健全性診断を実行する装置であり、制御装置１０における制御状態を監視し、診断の実行を指令する診断実行制御部２１と、診断実行制御部２１からの指令に基づき、テストデータを生成して制御装置１０に入力する診断入力生成部２２と、制御機能部１１の内部状態を退避する退避メモリ２３と、テストデータに対して制御装置１０が生成する診断報告を受信し、検証する診断結果検証部２４を具備する。

また、診断実施装置２０には、テストデータの生成パターンの設定・更新及び診断実行結果の監視・記録を行うための管理端末２５が接続される。

制御装置１０と機能診断装置２０は、制御用ネットワーク３０を介して相互に接続される。診断実行制御部２１は、制御装置１０の制御状態を監視・退避あるいは復元するために、状態取得・設定部１３に接続され、制御機能部１１の内部状態を取得・設定可能となるように構成される。診断実行制御部２１と状態取得・設定部１３との接続手段は、専用線を用いても、上記の制御用ネットワーク３０を用いてもよい。

加えて、診断実行制御部２１は制御装置１０の診断中における制御出力の切り替え指令と、診断実行後の解析結果取得のため、制御出力切替部１５と、診断解析部１４に接続された診断結果検証部２４にそれぞれ接続する。

なお、上記の接続態様に関して、１台の機能診断装置２０に対して任意の台数の制御装置１０が接続される各種の接続手段を構成してよい。
＜全体の動作＞
次に、全体の動作について、図２から図４までを参照して説明する。

図２は、本実施例における平常運転時から診断開始前にかけての動作を説明する図である。

制御機能部１１は、例えば１０ｍｓといった所定の制御周期で制御プログラムを実行し、制御指令値１００を算出する。このとき、制御プログラムの実行により、制御機能部１１の内部状態も制御周期ごとに更新される。制御システム１が平常状態にあるとき、制御出力切替部１５は制御機能部１１の側に接続されており、制御指令値１００は制御対象設備２に出力される。

診断実行制御部２１は、前記の制御周期ごとに状態取得・設定部１３を介して制御機能部１１の内部状態を取得し、制御装置１０が一時的に制御を休止可能かどうか判定する。例えば、制御対象設備２がボイラである場合において、蒸気圧力が許容上下限値に対して十分余裕を持っており、かつ流量変動が少ないときに制御を休止するといった判定が可能である。

診断実行制御部２１は、一時的に制御を休止可能と判定した場合、取得した制御機能部１１の内部状態を退避メモリ２３に保存する。次いで、診断実行制御部２１は、制御出力切替部１５に対し、代替出力生成部１６と接続するよう出力切替指令２００を出力する。出力切替指令２００は、診断実行中を示す信号として制御システム１の外部へも出力されるようにしてよい。

図３は、本実施例における診断実行中の動作を説明する図である。

診断実行制御部２１は、御機能部１１の内部状態を退避メモリ２３に保存した後、診断入力生成部２２に対してテストデータ生成を指示する。診断入力生成部２２は、テストデータ生成パターン２６に基づいて一連のテストデータ２７を生成し、制御装置１０に対して送出する。テストデータ生成パターン２６は診断の目的に合わせて作成され、管理端末２５から設定されるものである。

例えば、保護機能部１２に関してセキュリティ侵害に対する防御機能を診断しようとする場合、テストデータ生成パターン２６は、既知の攻撃パターン（特定の通信ポートに侵入コードを送りつけてメモリ上に配置させ、さらに前記侵入コードを介して外部から攻撃コードを送り込むなど）を再現可能なように作成する。

送出されるテストデータ２７は、例えば上記の攻撃パターンを元に、通信ポートの番号や侵入コードの長さやアドレスといったパラメータを所定の範囲で変更し、保護機能部１２が適切に動作することを確認可能となるように生成する。

テストデータ２７を受信した保護機能部１２は、これを制御入力に対する実際の攻撃として認識し、攻撃内容に対応する所定の保護出力、例えば制御機能部１１に対する機能縮退指令１０１を発動する。制御機能部１１が機能縮退指令１０１を受信し、自らの制御機能の一部を制限することで、制御機能部１１が算出する制御指令値１００の内容も変化する。

診断解析部１４は、発行された機能縮退指令１０１の内容や、診断の前後における制御指令値１００の変化内容を解析し、結果を診断報告１０２として診断結果検証部２４へ送信する。尚、診断報告１０２の返送手段は、専用線であっても、制御ネットワーク３０を利用したものでもよい。

図４は、本実施例における診断完了時の動作を説明する図である。

診断結果検証部２４は、診断解析部１４から受信した診断報告１０２を、送出したテストデータ２７に対する診断報告の期待値２０１と比較し、保護機能部１２及び制御機能部１１が期待する挙動を示したかどうかを検証する。期待値２０１は、診断結果検証部２４が検証に先立ちテストデータ２７に基づいて生成したものである。

診断報告１０２の検証の結果、期待値２０１との不一致が検出された場合は、保護機能部１２または制御機能部１１の機能異常が疑われるため、アラーム信号を管理端末２５に送信、表示し、制御システム１の健全性を維持するために必要な対応を運転要員に促す。

続いて、診断結果検証部２４は、検証結果に関わらず、診断を実施したエビデンスとして、診断実施日時、診断に用いたテストデータ２７、退避メモリ２３に退避した制御機能部１１の内部状態、診断報告１０２の内容を診断記録２０２として管理端末２５に出力し、さらに、診断実行制御部２１に対して診断報告の検証完了通知２０３を発行する。

診断実行制御部２１は、診断報告の検証完了通知２０３を検出後、退避メモリ２３に保存されていた制御機能部１１の診断実行前の内部状態を状態取得・設定部１３を介して制御機能部１１に再設定し、テストデータ２７によって変更された可能性のある制御状態を復元した後、出力切替指令２００を解除し、制御出力切替部１５と制御機能部１１を再接続して制御を継続させる。

以上説明した動作により、本実施例の制御システムは制御を休止可能な状態となったときに制御機能部１１の内部状態を退避させて機能診断を実施し、診断実施後に前記退避させた内部状態を制御機能部１１に再設定して制御を継続させる。従って、制御状態を維持しながらも、制御状態の変更を伴う機能診断を実行することが可能となる。

本実施例では，本願の第二の発明である制御システムについて説明する。

＜各部の構成と機能＞
図５は，本実施例における制御システム１−２の全体構成図である。
制御装置１０−２ａ及び１０−２ｂは、実施例１における制御装置１０とほぼ同様の構成であり，制御プログラムに従って制御対象設備２に対する制御指令値を算出する機能を具備する。ただし，制御装置１０における診断実行部１４及び代替出力生成部１６が省かれている。また，制御出力切替部１５は制御装置の外部に設けられ，制御装置１０−２ａ及び１０−２ｂの制御機能部１１の出力にそれぞれ接続される。この構成により，制御装置１０−２ａ及び１０−２ｂは待機冗長系として機能する。本実施例では，制御装置１０−２ａを主系（稼動系），制御装置１０−２ｂを従系（待機系）と仮定する。

また，機能診断装置２０−２は、実施例１における機能診断装置２０から退避メモリ２３を除いたものである。なお，機能診断装置２０−２は、制御装置１０−２ａ及び１０−２ｂに内蔵されていてもよい。

このほか，実施例１におけるサフィックスなしの構成要素と，本実施例における同じ番号にａ及びｂのサフィックスが付いた構成要素は，同じ機能を持つ。

＜全体の動作＞
制御装置１０−２ａ及び１０−２ｂは、上述の通り待機冗長系を構成している。いずれも，実施例１と同様，制御機能部１１ａ及び１１ｂにおいて，所定の制御周期で制御プログラムを実行し、制御指令値１００を算出する。平常運転時，制御出力切替部１５は，制御装置１０−２ａからの制御指令値を制御対象設備２へ出力するように構成される。

図６は，本実施例の制御システムにおいて，診断開始までの動作を説明する図である。

診断実行制御部２１−２は、機能診断が必要と判定した場合、例えば所定の時間ごとに，状態取得・設定部１３ａ及び１３ｂに対し，制御装置１０−２ａから制御装置１０−２ｂへの内部状態の退避を指示する。状態取得・設定部１３ａは制御機能部１１ａの内部状態を取得し，状態取得・設定部１３ｂへ送信する。状態取得・設定部１３ｂは，受信した内部状態を制御機能部１１ｂに設定する。次いで、診断実行制御部２１は、制御出力切替部１５に対し、制御機能部１１ｂと接続するよう出力切替指令２００を出力する。以上の手順により，主系と従系の制御状態を厳密に一致させた上で，制御出力を従系側に切り替える。

以降，実施例１と同様に，テストデータを保護機能部１２ａへ送出し，その結果診断解析部１４ｂが生成する診断報告１０２を診断結果検証部２４にて期待値と比較することで保護機能の健全性を検証する。

診断完了後，診断実行制御部２１−２が状態取得・設定部１３ａ及び１３ｂに対し，制御装置１０−２ｂから制御装置１０−２ａへの内部状態の復元を指示する。状態取得・設定部１３ｂは制御機能部１１ｂの内部状態を取得し，状態取得・設定部１３ａへ送信する。状態取得・設定部１３ａは受信した内部状態を制御機能部１１ａに設定する。次いで、診断実行制御部２１が制御出力切替部１５に対し、制御機能部１１ａと接続するよう出力切替指令２００を出力する。

以上の動作により，診断開始時に主系制御装置の制御状態を従系制御装置で引き継ぎ，全体として制御対象設備２への制御を停止することなく主系制御装置の機能診断を実施することが可能となる。

尚、本発明は上記した実施例に限定されるものではなく，様々な変形例が含まれる。例えば，上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり，必ずしも説明した全ての構成を備えるものに限定されるものではない。

また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。
また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、半導体メモリや、ハードディスク等の記録装置、または、磁気や光を利用する記録媒体に置くことができる。
また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。

１ 制御システム
２ 制御対象設備
１０ 制御装置
１１ 制御機能部
１２ 保護機能部
１３ 状態取得・設定部
１４ 診断結果解析部
２０ 機能診断装置
２１ 診断実行制御部
２２ 診断入力生成部
２３ 退避メモリ
２４ 診断結果検証部
２５ 管理端末
３０ 制御ネットワーク

Claims (6)

1. 制御対象設備に対する制御を行う制御システムにおいて、
   一時的に制御を停止可能で、制御の健全性を診断するテストデータを入力する制御機能部と、
   該制御機能部の制御データを退避可能な記憶部と、
   前記制御データを前記記憶部へ退避させ、前記制御機能部の健全性を診断する診断実行制御部と、
   前記診断結果を出力可能な出力部と、
   前記制御機能部の内部状態を取得及び設定する状態取得・設定部を備え、
   前記診断実行制御部は制御状態を監視・退避あるいは復元するために、前記状態取得・設定部に接続され、制御機能部の内部状態を取得・設定することを特徴とする制御システム。
   
2. 請求項１の制御システムにおいて、
   前記制御機能部に入力されるテストデータ及び前記制御機能部から出力される制御指令値を収集し、前記テストデータの入力前後に対応する前記制御指令値の変化内容を抽出し、さらに、前記抽出した制御指令値の変化内容を前記テストデータに対応する所定の期待値と比較する診断解析・検証部を備えることを特徴とする制御システム。
   
3. 請求項１の制御システムにおいて、
   前記制御対象設備に対する制御出力を安定させるための代替出力生成部と、
   前記制御対象設備に対する制御出力の出力元を切り替える制御出力切替部と
   を備えたことを特徴とする制御システム。
   
4. 請求項１の制御システムにおいて、
   前記テストデータが更新可能であることを特徴とする制御システム。
   
5. 請求項１の制御システムにおいて、
   制御を一時的に停止した際に、停止状態信号を外部へ出力することを特徴とする制御システム。
   
6. 請求項１乃至５のいずれかに記載の制御システムにおいて、
   主系の制御機能部と従系の制御機能部とを備え、前記主系の制御機能部の制御データを前記従系の制御機能部へ退避させることを特徴とする制御システム。