(57)【要約】【課題】クローズな環境を含んだネットワークにおいてセキュリティを確保しながら情報の閲覧を行う。【解決手段】広域監視制御システム１において、監視制御システム３は、クローズドネットワークの下で監視装置（子局）３２を介して重要施設２内部の場内設備３１を監視する監視制御装置３３を有する。監視制御システム４は、オープンネットワークの下で重要施設２外部の場外子局４２を介して場外設備４１を監視する。ＶＤＩサーバ５は、監視制御装置３３からのアクセスにより、監視端末４３における（監視）画面を仮想デスクトップに表示させる。ＬＡＮ１は、ＶＤＩサーバ５と監視制御システム４とを接続する。ＬＡＮ２，ＬＡＮ３は、ＬＡＮ１と異なるセグメントの下でＶＤＩサーバ５と監視制御装置３３とを接続する。【選択図】図１
2020003835.tif 000002
【特許請求の範囲】
【請求項１】
クローズドネットワークに属する端末を介して場内設備を監視する監視制御装置を有する第一の監視制御システムと、
オープンネットワークに属する端末を介して場外設備を監視する第二の監視制御システムと、
前記監視制御装置からのアクセスにより前記オープンネットワークに属する端末における画面を仮想デスクトップに表示させるサーバと、
このサーバと前記第二の監視制御システムとを接続する第一のローカルエリアネットワークと、
この第一のローカルエリアネットワークと異なるセグメントの下で前記サーバと前記監視制御装置とを接続する第二のローカルエリアネットワークと
を有することを特徴とする広域監視制御システム。
【請求項２】
前記監視制御装置と前記サーバとの間の通信には、前記サーバの仮想デスクトップの画面情報及び操作情報のデータ転送のみを行う画面転送プロトコルを用いることを特徴とする請求項１に記載の広域監視制御システム。
【請求項３】
前記サーバのオペレーティングシステムは前記オープンネットワークに属する端末のクライアントアプリが動作可能なものであることを特徴とする請求項１または２に記載の広域監視制御システム。
【請求項４】
前記クライアントアプリは専用アプリケーションまたは汎用ブラウザであることを特徴とする請求項３に記載の広域監視制御システム。
【請求項５】
前記仮想デスクトップには、前記監視制御装置とはソフトウエア互換性の無いオープンネットワークに属する端末における画面を表示させることを特徴とする請求項１から４のいずれか１項に記載の広域監視制御システム。
【請求項６】
前記仮想デスクトップには、前記監視制御装置とはソフトウエア互換性の無い他のクローズドネットワークに属する端末における画面を表示させることを特徴とする請求項１から４のいずれか１項に記載の広域監視制御システム。
【請求項７】
前記クローズドネットワークに属する端末は前記場内設備が属する特定施設の内部の端末であり、
前記オープンネットワークに属する端末は前記特定施設の外部の端末であること
を特徴とする請求項１から６のいずれか１項に記載の広域監視制御システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュリティレベルの異なる複数のネットワークを含んだネットワーク環境における情報の閲覧技術に関する。
【背景技術】
【０００２】
監視制御システムに外部の監視システムを接続されたネットワークシステムとして、例えば特許文献１のネットワークシステムや特許文献２の遠隔管理システムがある。
【０００３】
特許文献１のネットワークシステムは、パーソナルコンピュータ等の端末から通信ネットワークを介してプロセス制御機器等の通信対象機器の操作や監視を行う。
【０００４】
特許文献２の遠隔管理システムは、企業内ローカルエリアネットワーク等の閉域ネットワーク網に接続された管理対象装置を、インターネット等の広域ネットワーク網を介して遠隔管理する。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００１−１５４９５３号公報
【特許文献２】特開２００４−３５５２３４号公報
【特許文献３】特表２０１１−５１３８１６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
工場やプラントなどに適用される監視制御システムは、上下水道施設などの特に重要な施設（重要施設）では高セキュリティが求められる。このような事情から、監視制御装置と監視装置などを接続するネットワークは、物理的に隔離され、インターネットから分離された「クローズドネットワーク」の下で利用されている。
【０００７】
一方、場外にある簡易水道やマンホールポンプなどの比較的重要度の低い小規模場外施設はインターネットに接続された「オープンネットワーク」のクラウド監視システムにより運営されるケースが多い。
【０００８】
ここで、同一の監視端末を用いて「クローズドネットワーク」のシステムと「オープンネットワーク」のシステムとを統合させようとすると、セキュリティ上の懸念がある。このため、これらのシステムは、同一の監視所内において、それぞれ別端末で利用されており、一体化させるには、高いセキュリティが要求される「監視制御システム」のインターネットからの分離を担保する必要がある。
【０００９】
特に、特許文献１のネットワークシステムは、インターネット上の端末からファイアウォールを通過して内部ネットワークの通信対象機器とデータ交換を行い、通信対象装置がインターネット上の機器と直接通信する。そのため、高セキュリティが要求される装置のインターネットからの分離という用途には適さない。
【００１０】
また、特許文献２の遠隔管理システムは、管理ネットワーク上の通信装置と閉域ネットワーク上の機器との間のデータ交換がゲートウエイを介して行われる。当該システムでは、データを中継するマスターエージェントによるデータのフォーマット変換が行われるが、広域ネットワークを挟んで管理ネットワーク側機器と閉域ネットワーク側機器の間で、各々にとって有意なデータを交換する仕組みとなっている。このため、当該システムは、特許文献１のネットワークシステムと同様に、高セキュリティが必要な装置のインターネットからの分離を実現していない。例えば、広域ネットワーク上の第三者からマスターエージェントにとって有意なデータを送りつけられると、保護対象機器への影響を遮断することができない。
【００１１】
本発明は、上記の事情を鑑み、セキュリティレベルの異なる複数のネットワークを含んだネットワーク環境において安全に情報の閲覧を行うことを課題とする。
【課題を解決するための手段】
【００１２】
そこで、本発明の一態様は、広域監視制御システムであって、クローズドネットワークに属する端末を介して場内設備を監視する監視制御装置を有する第一の監視制御システムと、オープンネットワークに属する端末を介して場外設備を監視する第二の監視制御システムと、前記監視制御装置からのアクセスにより前記オープンネットワークに属する端末における画面を仮想デスクトップに表示させるサーバと、このサーバと前記第二の監視制御システムとを接続する第一のローカルエリアネットワークと、この第一のローカルエリアネットワークと異なるセグメントの下で前記サーバと前記監視制御装置とを接続する第二のローカルエリアネットワークとを有する。
【００１３】
本発明の一態様は、前記広域監視制御システムにおいて、前記監視制御装置と前記サーバとの間の通信には、前記サーバの仮想デスクトップの画面情報及び操作情報のデータ転送のみを行う画面転送プロトコルを用いる。
【００１４】
本発明の一態様は、前記広域監視制御システムにおいて、前記サーバのオペレーティングシステムは前記オープンネットワークに属する端末のクライアントアプリが動作可能なものである。
【００１５】
本発明の一態様は、前記広域監視制御システムにおいて、前記クライアントアプリは専用アプリケーションまたは汎用ブラウザである。
【００１６】
本発明の一態様は、前記広域監視制御システムにおいて、前記仮想デスクトップには、前記監視制御装置とはソフトウエア互換性の無いオープンネットワークに属する端末における画面を表示させる。
【００１７】
本発明の一態様は、前記広域監視制御システムにおいて、前記仮想デスクトップには、前記監視制御装置とはソフトウエア互換性の無い他のクローズドネットワークに属する端末における画面を表示させる。
【００１８】
本発明の一態様は、前記広域監視制御システムにおいて、前記クローズドネットワークに属する端末は前記場内設備が属する特定施設の内部の端末であり、前記オープンネットワークに属する端末は前記特定施設の外部の端末である。
【発明の効果】
【００１９】
以上の本発明によれば、セキュリティレベルの異なる複数のネットワークを含んだネットワーク環境において安全に情報の閲覧を行える。
【図面の簡単な説明】
【００２０】
【図１】本発明の一実施形態である広域監視制御システムの概略構成図。
【発明を実施するための形態】
【００２１】
以下に図面を参照しながら本発明の実施形態について説明する。
【００２２】
図１に示された本実施形態の広域監視制御システム１は、監視制御システム３と、監視制御システム４と、ＶＤＩ（Virtual Desktop Infrastructure）サーバ５とを備える。
【００２３】
ＶＤＩサーバ５は、第一のローカルエリアネットワーク（以下、ＬＡＮ１）を介して監視制御システム４と接続され、さらに、第二のローカルエリアネットワーク（ＬＡＮ２，ＬＡＮ３）を介して監視制御システム３と接続されている。
【００２４】
以下、監視制御システム３、監視制御システム４及びＶＤＩサーバ５の具体的な態様例について説明する。
【００２５】
（監視制御システム３）
監視制御システム３は、クローズドネットワークの下で監視装置（子局）３２を介して重要施設２内部の場内設備３１を監視する監視制御装置３３を有する。
【００２６】
監視制御装置３３は、ＬＡＮ１とはセグメントが異なるＬＡＮ２，ＬＡＮ３を介してＶＤＩサーバ５と接続される一方で、第三のローカルエリアネットワーク（以下、ＬＡＮ４）を介して監視装置（子局）３２と接続されている。ＬＡＮ２はＶＤＩサーバ５側に接続される一方でＬＡＮ３は監視制御装置３３側に接続される。また、ＬＡＮ２とＬＡＮ３との間にはファイアウォールＦＷ２を介在させている。
【００２７】
ＬＡＮ２，ＬＡＮ３を介した監視制御装置３３とＶＤＩサーバ５との間の通信には、ＶＤＩサーバ５上の仮想デスクトップの画面情報及び操作情報のデータ転送のみを行う周知の画面転送プロトコルが適用されている。
【００２８】
監視制御装置３３は、ＶＤＩサーバ５上で稼働するインターネットベースサービスのアプリケーションをリモート使用することにより、仮想デスクトップにおいて、監視制御システム４のクライアント端末における画面を出力表示する。
【００２９】
監視制御装置３３の表示装置には、セキュリティレベルの異なる監視制御システム４の画面の表示が可能となっている。また、この表示装置においては、監視制御装置３３とはソフトウエア互換性の無いインターネットベースサービスの画面の表示が可能となっている。さらに、この表示装置においては、監視制御装置３３とはソフトウエア互換性の無い監視制御システム以外のインターネットベースサービスの画面の表示が可能となっている。
【００３０】
（監視制御システム４）
監視制御システム４は、オープンネットワークの下で重要施設２外部の場外子局４２を介して場外設備４１を監視する。
【００３１】
場外子局４２は、インターネットまたは広域ネットワーク（ＷＡＮ）等のネットワーク４０を介してクラウドサーバ４４と接続されている。
【００３２】
クラウドサーバ４４は、場外子局４２から収集されたデータを格納及び管理する。尚、監視端末４３が、クラウドサーバ４４の機能（データの格納及び管理等）を包含し、場外子局４２が、ネットワーク４０を介して監視端末４３と接続される態様であってもよい。
【００３３】
クラウドサーバ４４は、ネットワーク４０を介して端末（本実施形態では場外子局４２及び監視端末４３）からのアクセスが可能となっている。
【００３４】
また、重要施設２からはＶＤＩサーバ５がＬＡＮ１及びネットワーク４０を介してクラウドサーバ４４に対してアクセスが可能となっている。ＬＡＮ１はＬＡＮ２及びＬＡＮ３と異なるセグメントによりネットワーク４０に接続されている。尚、ＬＡＮ１には、ファイアウォールＦＷ１が具備されている。
【００３５】
（ＶＤＩサーバ５）
ＶＤＩサーバ５は、画面転送型のＶＤＩ方式に対応した仮想デスクトップサーバであって、監視制御装置３３からのアクセスによりオープンネットワークに属する端末のＯＳ（オペレーティングシステム）やアプリケーションを実行させる。これにより、前記端末における（監視）画面が仮想デスクトップに表示される。ＶＤＩサーバ５としては、例えば、特許文献３に開示されたＶＤＩシステムのリモートデスクトップサーバが適用される。
【００３６】
本実施形態において、ＶＤＩサーバ５は、重要施設２内に具備され、ＬＡＮ１を介して監視制御システム４のネットワーク４０に接続される共に、ＬＡＮ２及びＬＡＮ３を介して監視制御システム３の監視制御装置３３に接続されている。
【００３７】
ＶＤＩサーバ５にインストールされるＯＳは、インターネットベースの監視制御システム４のクライアントアプリが動作可能な周知のＯＳが適宜に選択されて採用される。ＶＤＩサーバ５で動作するクライアントアプリとしては専用アプリケーションまたは汎用ブラウザが使用される。
【００３８】
（本実施形態の動作例及び作用効果）
広域監視制御システム１においては、ＶＤＩサーバ５において、インターネットベースの監視制御システム４のアプリケーションが動作する。このアプリケーションは、ＬＡＮ１を介してクラウドサーバ４４にアクセスし、ＬＡＮ３，ＬＡＮ２を介した監視制御装置３３からのアクセスによりリモート操作される。この際、監視制御装置３３とＶＤＩサーバ５の間では前記画面転送プロトコルによりＶＤＩサーバ５の仮想デスクトップの画面情報及び操作情報のデータの転送が行われる。
【００３９】
このように広域監視制御システム１の監視制御装置３３から、ＶＤＩサーバ５で稼働する監視制御システム４の前記アプリケーションをリモート使用できる。したがって、ＶＤＩサーバ５で実現されている仮想デスクトップにおいて、例えば、監視制御システム４のクライアント端末（監視端末４３）における前記アプリケーションの画面が出力表示される。
【００４０】
特に、監視制御装置３３とＶＤＩサーバ５との間の通信には、監視制御装置３３の表示装置に出力表示される画面情報または操作情報のデータ転送のみを行う画面転送プロトコルが適用されている。これにより、ネットワーク４０（例えば、インターネット）上の外部の通信装置（例えば、他のクライアントの端末）から監視制御装置３３に影響を与える情報（有意のデータ）の送信ができない。
【００４１】
また、広域監視制御システム１において、ＶＤＩサーバ５と監視制御装置３３とはＬＡＮ１と異なるセグメントのＬＡＮ２，ＬＡＮ３により接続されている。これにより、ＶＤＩサーバ５で動作させる前記アプリケーションが供されるＬＡＮ１のセグメントがＶＤＩサーバ５のアプリをリモート利用するＬＡＮ２のセグメントと分離される。
【００４２】
以上のことから、監視制御装置３３のインターネットからの分離を担保した状態でインターネットベースシステムの機能を使用でき、監視制御装置３３のセキュリティレベルが維持される。このことにより、セキュリティレベルの異なる複数のネットワークを含んだネットワーク環境において安全に情報の閲覧を行える。
【００４３】
さらに、セキュリティレベルが異なる監視制御システム４の機能を監視制御装置３３で使用できるので、監視制御装置３３の表示装置において、セキュリティレベルの異なるインターネットベースシステムの画面を出力表示できる。したがって、重要度の高い特定施設の場内設備と比較的重要度の低い場外設備を統合管理できる。
【００４４】
そして、監視制御システム４と監視制御装置３３と間にソフトウエア（データフォーマットや通信プロトコル等）互換性を必要としないため、例えば、監視制御装置３３と互換性のない、他ベンダーのシステムや設備管理などの別ソリューションの機能を、監視制御システムから安全に利用できる。例えば、前記仮想デスクトップには、前記監視制御装置とはソフトウエア互換性の無いオープンネットワークに属する端末における画面を表示できる。または、前記監視制御装置とはソフトウエア互換性の無い他のクローズドネットワークに属する端末における画面を表示させることができる。
【符号の説明】
【００４５】
１…広域監視制御システム
２…重要施設（特定施設）
３…監視制御システム（第一の監視制御システム）、３１…場内設備、３２…監視装置（クローズドネットワークに属する端末）、３３…監視制御装置
４…監視制御システム（第二の監視制御システム）、４０…ネットワーク、４１…場外設備、４２…場外子局（オープンネットワークに属する端末）、４３…監視端末、４４…クラウドサーバ
５…ＶＤＩサーバ
【図１】
2020003835.tif 000003