(57)【要約】【課題】監視または制御のための演算能力に影響を与えることなくファイアウォールの機能を組み込んだ監視制御装置を提供する。【解決手段】制御ネットワークおよび内部ネットワーク（制御情報ネットワーク）にそれぞれ接続され、制御ネットワークに接続された機器の制御または監視のための演算を実行する監視制御装置であって、内部ネットワークを介して通信される通信データに応じた演算を実行するよう構成された演算処理部と、内部ネットワークに接続され、内部ネットワークを介した通信の受信処理を含む通信処理を実行するよう構成された装置外通信部と、装置外通信部によって受信処理された通信データを演算処理部に転送して良いか否かの許可判定を行うよう構成された論理回路を有するファイアウォール部と、ファイアウォール部で許可された場合に、通信データを演算処理部に転送するよう構成された装置内通信部と、を備える。【選択図】  図２
2020021338.tif 000002
【特許請求の範囲】
【請求項１】
制御ネットワークおよび内部ネットワークにそれぞれ接続され、前記制御ネットワークに接続された機器の制御または監視のための演算を実行する監視制御装置であって、
前記内部ネットワークを介して通信される通信データに応じた前記演算を実行するよう構成された演算処理部と、
前記内部ネットワークに接続され、前記内部ネットワークを介した通信の受信処理を含む通信処理を実行するよう構成された装置外通信部と、
前記装置外通信部によって前記受信処理された前記通信データを前記演算処理部に転送して良いか否かの許可判定を行うよう構成された論理回路を有するファイアウォール部と、
前記ファイアウォール部で許可された場合に、前記通信データを前記演算処理部に転送するよう構成された装置内通信部と、を備えることを特徴とする監視制御装置。
【請求項２】
前記装置内通信部と前記演算処理部とを接続する伝送線と、
前記装置外通信部、前記ファイアウォール部、前記装置内通信部、前記演算処理部、および前記伝送線を収容する筐体と、をさらに備えることを特徴とする請求項１に記載の監視制御装置。
【請求項３】
前記伝送線は、共通バスであることを特徴とする請求項２に記載の監視制御装置。
【請求項４】
前記ファイアウォール部を構成する前記論理回路は、プログラマブルロジックデバイスで構成されていることを特徴とする請求項１〜３のいずれか１項に記載の監視制御装置。
【請求項５】
前記ファイアウォール部は、ホワイトリストを用いて前記許可判定を行うことを特徴とする請求項１〜４のいずれか１項に記載の監視制御装置。
【請求項６】
前記演算処理部は、プラントの制御または監視のための演算を実行するよう構成されることを特徴とする請求項１〜５のいずれか１項に記載の監視制御装置。
【請求項７】
前記内部ネットワークは、外部ファイアウォール装置を介して外部ネットワークに接続されることを特徴とする請求項１〜６のいずれか１項に記載の監視制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本開示は、プラント制御装置といった産業制御システムなどの監視制御装置に関する。
【背景技術】
【０００２】
近年、ＩＣＳ（Ｉｎｄｕｓｔｒｉａｌ  Ｃｏｎｔｒｏｌ  Ｓｙｓｔｅｍｓ）、ＳＣＡＤＡ（Ｓｕｐｅｒｖｉｓｏｒｙ  Ｃｏｎｔｒｏｌ  Ａｎｄ  Ｄａｔａ  Ａｃｑｕｉｓｉｔｉｏｎ）など、石油、ガス、電力、製造などで用いられる産業用制御システムへのサイバー攻撃に対するセキュリティ対策の重要性が増している。例えば発電プラントや製造プラントなどのプラントでは、ＤＣＳ（Ｄｉｓｔｒｉｂｕｔｅｄ  Ｃｏｎｔｒｏｌ  Ｓｙｓｔｅｍ）などである監視制御装置（プラント制御装置）が、プラントに設置された複数の機器に制御ネットワークを介して接続し、これらの複数の機器の制御や監視を行う（特許文献１〜２参照）。また、プラント制御装置は、プラントの操作および監視を行うためのＯＰＳ（Ｏｐｅｒａｔｏｒ  Ｓｔａｔｉｏｎ）などとイーサネット（登録商標）などの制御情報ネットワークで接続されることにより、ＯＰＳなどの装置外部のコンピュータから送信される命令に基づいて、制御の対象となる対象機器に命令を実行する。
【０００３】
また、例えば特許文献１に記載されるように、上記の制御情報ネットワークは、インターネットなどの外部ネットワークに接続される場合もあり、クラウドなどを介するなどして外部ネットワークに接続されたリモートＯＰＳと、プラント制御装置との通信が可能とされる場合もある。この場合、上記の制御情報ネットワーク（内部ネットワーク）と外部ネットワークとの境界にはファイアウォール装置が設置される（特許文献１参照）。そして、ファイアウォール装置が、外部ネットワークからの許可されていない通信を遮断し、許可された通信のみ転送するなどのアクセス制御を実行することで、制御情報ネットワークに接続されるプラント制御装置や制御ネットワーク側の機器の保護がなされる。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１１−２２１８４６号公報
【特許文献２】特開２０１２−２２６６８０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
特許文献１〜２が開示するように、制御情報ネットワーク（以下、適宜、内部ネットワーク）上に専用のファイアウォール装置を設置する場合には、例えば内部ネットワークに不正なコンピュータ機器が接続されるなど、物理的に迂回された経路を形成された場合には脆弱である。そこで、本発明者らは、ソフトウェアベースのファイアウォールを監視制御装置に組み込むことを考えたが、監視制御装置に組み込むと監視制御装置の制御または監視のための演算能力が低下するため、この手法では、特に大量の通信が到着した場合に脆弱である。
【０００６】
上述の事情に鑑みて、本発明の少なくとも一実施形態は、監視または制御のための演算能力に影響を与えることなくファイアウォールの機能を組み込んだ監視制御装置を提供することを目的とする。
【課題を解決するための手段】
【０００７】
（１）本発明の少なくとも一実施形態に係る監視制御装置は、
制御ネットワークおよび内部ネットワークにそれぞれ接続され、前記制御ネットワークに接続された機器の制御または監視のための演算を実行する監視制御装置であって、
前記内部ネットワークを介して通信される通信データに応じた前記演算を実行するよう構成された演算処理部と、
前記内部ネットワークに接続され、前記内部ネットワークを介した通信の受信処理を含む通信処理を実行するよう構成された装置外通信部と、
前記装置外通信部によって前記受信処理された前記通信データを前記演算処理部に転送して良いか否かの許可判定を行うよう構成された論理回路を有するファイアウォール部と、
前記ファイアウォール部で許可された場合に、前記通信データを前記演算処理部に転送するよう構成された装置内通信部と、を備える。
【０００８】
上記（１）の構成によれば、監視制御装置には、自身宛ての通信に対してアクセス制御を行う論理回路を有するファイアウォール部（ハードウェア）が組み込まれており、ファイアウォール部で許可された通信データに対してのみ演算処理部によって演算処理される。換言すれば、監視制御装置の内部にハードウェアベースのファイアウォール（ハードウェアファイアウォール）が実装されている。よって、演算処理部の演算能力に影響を与えることなくアクセス制御を行うことができる。また、内部ネットワークと外部ネットワークとの境界に位置するファイアウォール装置を物理的に迂回するような迂回経路が形成された場合であっても、装置内部のファイアウォール部によって監視制御装置を適切に保護することができ、その信頼性を向上させることができる。
【０００９】
（２）幾つかの実施形態では、上記（１）の構成において、
前記装置内通信部と前記演算処理部とを接続する伝送線と、
前記装置外通信部、前記ファイアウォール部、前記装置内通信部、前記演算処理部、および前記伝送線を収容する筐体と、をさらに備える。
上記（２）の構成によれば、監視制御装置の筐体内に、演算処理部とは別に動作するハードウェアファイアウォールを収容することにより、ファイアウォールの物理的な迂回経路の形成を阻止し、監視制御装置の信頼性を向上させることができる。
【００１０】
（３）幾つかの実施形態では、上記（２）の構成において、
前記伝送線は、共通バスである。
上記（３）の構成によれば、監視制御装置の内部にハードウェアファイアウォールを実装することができる。
【００１１】
（４）幾つかの実施形態では、上記（１）〜（３）の構成において、
前記ファイアウォール部を構成する前記論理回路は、プログラマブルロジックデバイス（ＰＬＤ）で構成されている。
上記（４）の構成によれば、監視制御装置の内部に、演算処理部とは別に動作するハードウェアファイアウォールを実装することができる。
【００１２】
（５）幾つかの実施形態では、上記（１）〜（４）の構成において、
前記ファイアウォール部は、ホワイトリストを用いて前記許可判定を行う。
上記（５）の構成によれば、ホワイトリストに登録された通信のみを許可し、それ以外を遮断することにより、監視制御装置を適切に保護することができる。
【００１３】
（６）幾つかの実施形態では、上記（１）〜（５）の構成において、
前記演算処理部は、プラントの制御または監視のための演算を実行するよう構成される。
上記（６）の構成によれば、ハードウェアファイアウォールを内部に備えるプラントの監視制御装置を提供することができる。
【００１４】
（７）幾つかの実施形態では、上記（１）〜（６）の構成において、
前記内部ネットワークは、外部ファイアウォール装置を介して外部ネットワークに接続される。
上記（７）の構成によれば、監視制御装置は、その内部のファイアウォール部と、制御情報ネットワークと外部ネットワークとの境界に設置される外部ファイアウォール装置により、二重に保護される。これによって、例えば内部ネットワークに不正なコンピュータ機器が接続された場合など、外部ファイアウォール装置を物理的に迂回された経路を形成された場合にも、監視制御装置を保護することができる。
【発明の効果】
【００１５】
本発明の少なくとも一実施形態によれば、監視または制御のための演算能力に影響を与えることなくファイアウォールの機能を組み込んだ監視制御装置が提供される。
【図面の簡単な説明】
【００１６】
【図１】本発明の一実施形態に係る監視制御装置を備える産業制御システムの構成を概略的に示す図である。
【図２】本発明の一実施形態に係るプラントの監視制御装置の構成を概略的に示す図である。
【発明を実施するための形態】
【００１７】
以下、添付図面を参照して本発明の幾つかの実施形態について説明する。ただし、実施形態として記載されている又は図面に示されている構成部品の寸法、材質、形状、その相対的配置等は、本発明の範囲をこれに限定する趣旨ではなく、単なる説明例にすぎない。
例えば、「ある方向に」、「ある方向に沿って」、「平行」、「直交」、「中心」、「同心」或いは「同軸」等の相対的或いは絶対的な配置を表す表現は、厳密にそのような配置を表すのみならず、公差、若しくは、同じ機能が得られる程度の角度や距離をもって相対的に変位している状態も表すものとする。
例えば、「同一」、「等しい」及び「均質」等の物事が等しい状態であることを表す表現は、厳密に等しい状態を表すのみならず、公差、若しくは、同じ機能が得られる程度の差が存在している状態も表すものとする。
例えば、四角形状や円筒形状等の形状を表す表現は、幾何学的に厳密な意味での四角形状や円筒形状等の形状を表すのみならず、同じ効果が得られる範囲で、凹凸部や面取り部等を含む形状も表すものとする。
一方、一の構成要素を「備える」、「具える」、「具備する」、「含む」、又は、「有する」という表現は、他の構成要素の存在を除外する排他的な表現ではない。
【００１８】
図１は、本発明の一実施形態に係る監視制御装置１を備える産業制御システムＳの構成を概略的に示す図である。図１に示す産業制御システムＳは、発電プラントなどのプラント９の監視および制御のためのプラントシステムである。また、図２に示す監視制御装置１は、プラント９の自動制御および現場との入出力処理を行うプロセスステーション（ＰＳ）やＰＬＣ（Ｐｒｏｇｒａｍａｂｌｅ  Ｌｏｇｉｃ  Ｃｏｎｔｒｏｌｌｅｒ）といった分散型制御システム（ＤＣＳ：Ｄｉｓｔｒｉｂｕｔｅｄ  Ｃｏｎｔｒｏｌ  Ｓｙｓｔｅｍ）などを構成するプラント制御装置である。なお、他の幾つかの実施形態では、監視制御装置１は、製造機器の制御を行う装置との入出力や各種の演算処理を行う装置など、他の制御システムにおける監視制御装置１であっても良い。
【００１９】
より詳細には、図１に示す実施形態では、監視制御装置１は、制御ネットワーク６（コントロールネットワーク）を介して、プラント９に設置された複数のフィールド機器９１に接続される。これらのフィールド機器９１は、例えば温度、流量、圧力などを計測する各種の計測器（センサ）や、ダンパや調節弁（バルブ）といった操作端などであり、制御ネットワーク６は、このようなフィールド機器９１と監視制御装置１とを接続する通信ネットワークである。そして、監視制御装置１は、計測器によって計測される各種の計測データやイベント通知などの少なくとも１つを含むプラントデータを収集すると共に、収集した１以上のプラントデータを用いて各種の演算を実行し、その演算結果を操作端に送信することによりプラント９の自動制御を実行する。
【００２０】
また、図１に示すように、監視制御装置１は、例えばイーサネット（登録商標）などで構築されたＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）などの制御情報ネットワーク７（内部ネットワーク。以下同様）に接続される。制御情報ネットワーク７は、プラントの制御や監視、管理を行うための各種のコンピュータ装置を監視制御装置１に接続するための通信ネットワークである。
【００２１】
図１に示す実施形態では、制御情報ネットワーク７はＩＰネットワークであり、例えば、プラント９の操作および監視を行うヒューマンマシンインタフェース（ＨＭＩ）となるオペレータステーション（ＯＰＳ７１）や、プラントデータの大容量保存・管理を行うＡＣＳ７２（Ａｃｃｅｓｓｏｒｙ  Ｓｔａｔｉｏｎ）などが接続される。そして、監視制御装置１は、制御ネットワーク６を介して収集したプラントデータを、制御情報ネットワーク７に接続されたＡＣＳ７２（Ａｃｃｅｓｓｏｒｙ  Ｓｔａｔｉｏｎ）に対して定期的または要求に応じて送信する。また、監視制御装置１は、制御情報ネットワーク７を介してＯＰＳ７１などと通信し、ＯＰＳ７１などから送信された通信データＤに応じた処理を実行し、必要に応じてその処理結果を通信元に応答したりする。
【００２２】
また、上記の制御情報ネットワーク７と、インターネットなどの外部ネットワーク８との間には、ファイアウォール装置（外部ファイアウォール装置７３）が設置されており、制御情報ネットワーク７に接続された上述した監視制御装置１を含む装置と外部ネットワーク８側のＯＰＳ、ＡＣＳなどのコンピュータ装置との間で双方向の通信が可能となっている。より具体的には、例えば、制御情報ネットワーク７側のＡＣＳ７２に保存されたプラントデータを外部ネットワーク８側のクラウド（不図示）やリモートＯＰＳ（不図示）などに送信したり、クラウドに接続されたクラウドＯＰＳ（不図示）やリモートＯＰＳ（不図示）との間の通信データＤ（例えば命令やその応答）の送受信が可能とされても良い。
【００２３】
この際、上記の外部ファイアウォール装置７３は、自装置を介した外部ネットワーク８側と制御情報ネットワーク７側との通信に対してアクセス制御を行うことにより、外部ネットワーク８側からの許可されていない通信を遮断し、制御情報ネットワーク７側を不正アクセスや攻撃などから保護するよう構成される。具体的には、外部ファイアウォール装置７３は、パケットフィルタリングや、ステートフルインスペクションを実行したり、アプリケーションファイアウォールとして機能しても良い。なお、他の幾つかの実施形態では、制御情報ネットワーク７に設置されるＯＰＳ７１やＡＣＳ７２などが監視制御装置１に個別配線で直接接続されていても良く、この場合には、上記の外部ファイアウォール装置７３は設置されない。
【００２４】
以下、上述したプラントシステムを例に、本発明の監視制御装置１を説明する。図２は、本発明の一実施形態に係るプラント９の監視制御装置１の構成を概略的に示す図である。
【００２５】
監視制御装置１は、制御ネットワーク６および制御情報ネットワーク７（内部ネットワーク。以下同様。）にそれぞれ接続され、制御ネットワーク６に接続された機器（図１では、各種のフィールド機器９１）の制御または監視のための演算を実行するよう構成された装置である。図２に示すように、監視制御装置１は、装置外通信部２１と、ファイアウォール部２２と、装置内通信部２３と、演算処理部３と、を備える。
これらの監視制御装置１が備える構成について、それぞれ説明する。
【００２６】
なお、図２に示す実施形態では、装置外通信部２１と、ファイアウォール部２２と、装置内通信部２３とが、制御情報ネットワーク７に対するインターフェース部２を構成している。つまり、インターフェース部２は、制御情報ネットワーク７および演算処理部３にそれぞれ接続され、演算処理部３が制御情報ネットワーク７を介した通信を行うため機能を提供するよう構成されている。
【００２７】
演算処理部３は、制御情報ネットワーク７を介して通信される通信データＤに応じた制御または監視のための演算を実行するよう構成される。より詳細には、演算処理部３は、図示しないＣＰＵ（プロセッサ）や、ＲＯＭやＲＡＭといったメモリを備え、例えばメモリにロードされたプログラムの命令に従ってＣＰＵが動作（データの演算など）することにより、制御演算など通信データＤに応じた演算を実行する。演算処理部３は、その演算の実行の結果を、制御ネットワーク６に接続されたフィールド機器９１や、通信データＤの通信元に必要に応じて送信する。
【００２８】
例えば、上記の通信データＤは、監視制御装置１に対する命令が含まれている。この命令は、例えばフィールド機器９１に対して行う制御命令であっても良く、計測値や機器情報などの取得するための命令であっても良い。上記の命令は、監視制御装置１の情報を読み出したり、設定を行ったりするための命令であっても良い。このような命令は、制御情報ネットワーク７に接続されたＯＰＳ７１などの装置や、外部ネットワーク８に接続されたＯＰＳなどの装置をオペレータが操作することが契機となって、通信されても良い。
【００２９】
装置外通信部２１は、制御情報ネットワーク７を介した通信が可能なように制御情報ネットワーク７に接続され、制御情報ネットワーク７を介した通信の受信処理を含む通信処理を実行するよう構成される。例えば、制御情報ネットワーク７や外部ネットワーク８に接続された例えばＯＰＳ７１などのコンピュータ装置は、通信先に送信する通信データＤのＩＰパケット化、ＭＡＣフレーム化などの送信処理を行い、制御情報ネットワーク７に送信する。装置外通信部２１は、こうして制御情報ネットワーク７を伝送されている伝送フレームＦｒのうちの自装置宛ての伝送フレームＦｒを受信処理によって内部に取り込む。
【００３０】
図２に示す実施形態では、装置外通信部２１は、上記の受信処理を実行する受信処理部２１ｒを備えている。受信処理部２１ｒは、伝送フレームＦｒの宛先アドレスを確認することにより、制御情報ネットワーク７を伝送された自装置宛ての伝送フレームＦｒを受信するよう構成される。また、装置外通信部２１は、通信先に通信データＤを送信する送信処理部２１ｓをさらに有しており、送信処理部２１ｓは、演算処理部３から送信された（受け渡された）通信データＤ（送信データＤｓ）に対して送信処理（前述）を行い、制御情報ネットワーク７に送信フレームＦｓを送信するよう構成される。
【００３１】
ファイアウォール部２２は、上述した装置外通信部２１によって受信処理された通信データＤを演算処理部３に転送（送信）して良いか否かの許可判定を行うよう構成された論理回路２２ｃを有する。図２に示すように、ファイアウォール部２２は、装置外通信部２１に接続されており、装置外通信部２１から、その受信処理により装置内に取り込まれたデータ（以下、受信データＤｒ）が転送される。ファイアウォール部２２は、通信を許可した場合には、少なくとも受信データＤｒに含まれる通信データＤを、ファイアウォール部２２に接続された装置内通信部２３に転送する。
【００３２】
図２に示す実施形態では、ファイアウォール部２２（論理回路２２ｃ）は、ホワイトリストなどあらかじめ設定したルールに基づいて通信（受信データＤｒ）の許可、不許可を行うパケットフィルタリングなどのアクセス制御を行うように構成されている。例えば、ＭＡＣアドレスなどのレイヤ２のアドレスや、ＩＰアドレスなどのレイヤ３のアドレス、ポート番号、これらの少なくとも２つの組合せなどに基づいてパケットフィルタリングを行っても良いし、アプリケーションレイヤのデータ（通信データＤ）に基づいてフィルタリングを行っても良い。また、ステートフルインスペクションを実行しても良い。
【００３３】
装置内通信部２３は、上述したファイアウォール部２２で許可された場合に、通信データＤを演算処理部３に転送（送信）するよう構成される。装置内通信部２３は、通信データＤを演算処理部３に転送する際には、通信データＤと共に、ＩＰアドレスやポート番号などの、通信元の装置を特定する情報を演算処理部３に送信しても良い。図２に示す実施形態では、装置内通信部２３と演算処理部３とは伝送線４によって接続されており、伝送線４を介して通信データＤ等の転送がなされる。より詳細には、図２に示す実施形態では、伝送線４は、ＰＣＩ（Ｐｅｒｉｐｈｅｒａｌ  Ｃｏｍｐｏｎｅｎｔｓ  Ｉｎｔｅｒｃｏｎｎｅｃｔ）バスなどの共通バスであるが、他の幾つかの実施形態ではシリアル通信のためのシリアル伝送路であっても良い。
【００３４】
その他、監視制御装置１は、図２（図１も同様）に示すように、制御ネットワーク６に接続するためのインターフェース部（ネットワークアダプタ。以下、制御ネットワークＩＦ部５）を有している。この制御ネットワークＩＦ部５は、共通バス（伝送線４）に接続されることにより、演算処理部３との通信が可能とされる。また、フィールド機器９１は、ＩＯモジュール１４を介して制御ネットワーク６に接続されており、監視制御装置１とフィールド機器９１との間の通信は、制御ネットワーク６およびＩＯモジュール１４を介して行われる。
【００３５】
なお、上述した装置外通信部２１および装置内通信部２３も、それぞれ個別の演算回路で構成されても良く、それぞれデバイス化された装置外通信部２１と、ファイアウォール部２２と、装置内通信部２３とが、内部バスや高速シリアル転送デバイスなどの信号線で接続されても良い。あるいは、装置外通信部２１または装置内通信部２３の少なくとも一方が、ファイアウォール部２２を構成する論理回路２２ｃと同一のパッケージ基板上に形成しても良い。また、装置外通信部２１、ファイアウォール部２２、および装置内通信部がモジュール化されている場合には、モジュール内にＣＰＵおよびメモリを設け、ソフト的に装置外通信部２１および装置内通信部２３の機能を実現しても良い。この際、このＣＰＵやメモリは、ファイアウォール部２２の論理回路２２ｃに構成されていても良い。
【００３６】
上記の構成によれば、監視制御装置１には、自身宛ての通信に対してアクセス制御を行う論理回路２２ｃを有するファイアウォール部２２（ハードウェア）が組み込まれており、ファイアウォール部２２で許可された通信データＤに対してのみ演算処理部３によって演算処理される。換言すれば、監視制御装置１の内部にハードウェアベースのファイアウォール（ハードウェアファイアウォール）が実装されている。よって、演算処理部３の演算能力に影響を与えることなくアクセス制御を行うことができる。また、制御情報ネットワーク７と外部ネットワーク８との境界に位置するファイアウォール装置（７３）を物理的に迂回するような迂回経路が形成された場合であっても、装置内部のファイアウォール部２２によって監視制御装置１を適切に保護することができ、その信頼性を向上させることができる。
【００３７】
幾つかの実施形態では、図１〜図２に示すように、上述した監視制御装置１は、上述した装置外通信部２１、ファイアウォール部２２、装置内通信部２３（インターフェース部２）と、演算処理部３と、伝送線４とを収容する筐体、をさらに備える。より詳細には、図１〜図２に示す実施形態では、インターフェース部２、演算処理部３、制御ネットワークＩＦ部５は、それぞれこの単位で、異なる回路基板上に構成されることによりモジュール化（カード化）されている。また、各モジュール（カード）が筐体１２の内部に搭載（設置）されることで、筐体１２の内部に設置された、各モジュールを相互に接続する伝送線４（共通バス）に接続されるようになっている。
【００３８】
ただし、本実施形態に本発明は限定されない。他の幾つかの実施形態では、ファイアウォール部２２が、演算処理部３のモジュール内に設けられるなど、各モジュール（ハードウェア）に対する機能分散は、任意であって良い。その他の実施形態では、インターフェース部２と、演算処理部３と、伝送線４が同一の回路基板上に実装されていても良い。
【００３９】
上記の構成によれば、監視制御装置１の筐体４内に、演算処理部３とは別に動作するハードウェアファイアウォールを収容することにより、ファイアウォールの物理的な迂回経路の形成を阻止し、監視制御装置１の信頼性を向上させることが可能となる。
【００４０】
また、幾つかの実施形態では、ファイアウォール部２２を構成する論理回路２２ｃは、プログラマブルロジックデバイス（ＰＬＤ）で構成されても良い。すなわち、ファイアウォール部２２は、例えばＦＰＧＡ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ  Ｇａｔｅ  Ａｒｒａｙ）などのＰＬＤ（Ｐｒｏｇｒａｍｍａｂｌｅ  Ｌｏｇｉｃ  Ｄｅｖｉｃｅ）といった、設計者が任意の論理回路２２ｃを構成可能な集積回路を用いて構成されている。図２に示す実施形態では、ＦＰＧＡ上に図示しないＣＰＵ（プロセッサ）や、ＲＯＭやＲＡＭといったメモリを形成し、メモリにロードされたプログラムの命令に従ってＣＰＵが動作（データの演算など）することで、ファイアウォール部２２が備える機能を実現している。
【００４１】
なお、他の幾つかの実施形態では、ＦＰＧＡ上で論理回路２２ｃを組み合わせることでパケットフィルタリングの各ロジックを実現しても良い。その他の幾つかの実施形態では、ファイアウォール部２２をＡＳＩＣで構成しても良い。また、装置外通信部２１と、ファイアウォール部２２と、装置内通信部２３とをＦＰＧＡ（ＰＬＤ）で構成しても良い。
【００４２】
上記の構成によれば、監視制御装置１の内部に、演算処理部３とは別に動作するハードウェアファイアウォールを実装することができる。
【００４３】
本発明は上述した実施形態に限定されることはなく、上述した実施形態に変形を加えた形態や、これらの形態を適宜組み合わせた形態も含む。
【符号の説明】
【００４４】
１      監視制御装置
１２    筐体
１４    ＩＯモジュール
２      インターフェース部
２１    装置外通信部
２１ｒ  受信処理部
２１ｓ  送信処理部
２２    ファイアウォール部
２２ｃ  論理回路
２３    装置内通信部
３      演算処理部
４      伝送線
５      制御ネットワークＩＦ部
６      制御ネットワーク
７      制御情報ネットワーク
７３    外部ファイアウォール装置
８      外部ネットワーク
９      プラント
９１    フィールド機器
Ｄ      通信データ
Ｄｒ    受信データ
Ｄｓ    送信データ
Ｆｒ    伝送フレーム
Ｆｓ    送信フレーム
【図１】
2020021338.tif 000003
【図２】
2020021338.tif 000004