(57)【特許請求の範囲】
【請求項１】
プラント管理機器が接続される第１のネットワークと、
フィールド機器が接続される第２のネットワークと、
ファイアウォール機能を有し、これら第１のネットワークと第２のネットワークに接続されたネットワーク管理機器とで構成され、
前記ネットワーク管理機器は、専用の接続線を介して接続することにより冗長化されるとともに、複数のネットワークに接続するための複数の通信ポートを有し、
前記通信ポート毎に接続するセキュリティエリアを分類することを特徴とするネットワーク管理システム。
【請求項２】
前記ネットワークは、インダストリアルオートメーション用無線通信規格ISA100.11aに基づき構築されるネットワークであることを特徴とする請求項１に記載のネットワーク管理システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク管理システムに関し、詳しくは、ネットワークのセキュリティ管理に関する。
【０００２】
図３は、インダストリアルオートメーション用無線通信規格ISA100.11aに基づき構築された従来のネットワークの一例を示すブロック図である。プラント管理機器１１，１２は第１のネットワークＮＷ１に接続されていて、これらプラント管理機器１１，１２は、第１のセキュリティエリアＳＡ１を構成している。
【０００３】
第１のネットワークＮＷ１は、ファイアウォール２１を介して第２のネットワークＮＷ２に接続されている。
【０００４】
無線ネットワーク管理機器３１，３２は、ISA100.11aにおけるシステムマネージャーの機能とゲートウェイの機能を持つ機器であり、無線ネットワークの管理を行うとともに、無線ネットワーク上の機器との情報のやりとりを行うものである。
【０００５】
また、無線ネットワーク管理機器３１，３２は、第２のネットワークＮＷ２に接続されるとともに第３のネットワークＮＷ３に接続されている。
【０００６】
第３のネットワークＮＷ３には、メンテナンス用端末４も接続されている。これら無線ネットワーク管理機器３１，３２とメンテナンス用端末４は、第３のセキュリティエリアＳＡ３を構成している。
【０００７】
第３のネットワークＮＷ３は、ファイアウォール２２を介して第４のネットワークＮＷ４に接続されている。
【０００８】
第４のネットワークＮＷ４には、フィールド機器５１〜５ｎが接続されている。これらフィールド機器５１〜５ｎは、第５のセキュリティエリアＳＡ５を構成している。
【０００９】
ここで、ファイアウォール２１，２２は、第１のセキュリティエリアＳＡ１、第３のセキュリティエリアＳＡ３および第５のセキュリティエリアＳＡ５それぞれの異なるセキュリティポリシーを満たすために、各ネットワークの境界に設けられている。
【００１０】
なお、セキュリティポリシーとは、たとえば該当するネットワークに接続を許可するＩＰアドレス情報を含む情報である。接続を許可するＩＰアドレスが設定された場合、該当する通信ポートでは、他のＩＰアドレスからの接続を許可しない。
【００１１】
第１のセキュリティエリアＳＡ１には、プラント管理機器１１，１２を冗長構成で使用するためのセキュリティポリシーが設定される。
【００１２】
第３のセキュリティエリアＳＡ３には、無線ネットワーク管理機器３１，３２を冗長構成で使用するためのセキュリティポリシーが設定される。
【００１３】
第５のセキュリティエリアＳＡ５には、複数台のフィールド機器５１〜５ｎを並列駆動するためのセキュリティポリシーが設定される。
【００１４】
特許文献１には、インダストリアルオートメーションにおけるプロセス制御システムを無線制御ネットワークシステムとして構成するのにあたり、悪意の第三者による改ざん等を回避するとともに、優先度を保証して高度なリアルタイム性が要求されるプロセス制御用無線通信信号とリアルタイム性がそれほど要求されない信号とを同一のネットワークに同居させることを可能とする制御ネットワーク管理システムの技術について記載されている。
【先行技術文献】
【特許文献】
【００１５】
【特許文献１】特開２０１１−１４２４４１号公報
【発明の概要】
【発明が解決しようとする課題】
【００１６】
しかし、図３の構成において、無線ネットワーク管理機器３を新たに接続するのにあたっては、ファイアウォール２を利用してネットワークの境界を守る必要があり、ファイアウォール２を設置するためのコストがかかることになる。
【００１７】
また、無線ネットワーク管理機器３に直接接続するメンテナンス用端末４や、冗長化用の第３のセキュリティエリアＳＡ３のセキュリティを考慮する必要があり、セキュリティポリシーの管理が複雑になってしまう。
【００１８】
また、ファイアウォール２の設置だけでなく、冗長化用のネットワークを構成するためのネットワークスイッチなどの設備も必要となる。
【００１９】
さらに、ネットワークの構成にもよるが、冗長化構成を制御する通信が、他のネットワーク上を経由することにより、他のネットワークに影響を与える可能性がある。
【００２０】
本発明は、このような従来の問題点に着目したものであり、その目的は、複数のセキュリティポリシーを有する無線ネットワーク管理機器を用いることで、複数のセキュリティレベルのネットワークにおける同時使用を可能にする。
【００２１】
他の目的は、ファイアウォール機能を内蔵する無線ネットワーク管理機器を用いることにより、外部にファイアウォールを設置することなくセキュリティを確保し、冗長化用のネットワーク設定や運用の手間を省くことにある。
【課題を解決するための手段】
【００２２】
このような課題を達成する請求項１の発明は、
プラント管理機器が接続される第１のネットワークと、
フィールド機器が接続される第２のネットワークと、
ファイアウォール機能を有し、これら第１のネットワークと第２のネットワークに接続されたネットワーク管理機器とで構成され、
前記ネットワーク管理機器は、専用の接続線を介して接続することにより冗長化されていることを特徴とするネットワーク管理システムである。
【００２３】
請求項２の発明は、請求項１に記載のネットワーク管理システムにおいて、
前記ネットワーク管理機器は、複数のネットワークに接続するための複数の通信ポートを有することを特徴とする。
【００２４】
請求項３の発明は、請求項２に記載のネットワーク管理システムにおいて、
前記通信ポート毎に接続するセキュリティエリアを分類することを特徴とする。
【００２５】
請求項４の発明は、請求項１から請求項３のいずれかに記載のネットワーク管理システムにおいて、
前記ネットワークは、インダストリアルオートメーション用無線通信規格ISA100.11aに基づき構築されるネットワークであることを特徴とする。
【発明の効果】
【００２７】
これらにより、ネットワーク管理機器を、複数のセキュリティレベルのネットワークで同時に使用できる。
【００２８】
また、別途ファイアウォールを設けることなくセキュリティを確保でき、冗長化用のネットワークの設定、運用の手間を省くことができる。
【図面の簡単な説明】
【００２９】
【図１】本発明の一実施例を示すブロック図である。
【図２】無線ネットワーク管理機器６１の具体例を示すブロック図である。
【図３】従来のネットワークの一例を示すブロック図である。
【発明を実施するための最良の形態】
【００３０】
以下、本発明について、図面を用いて説明する。図１は本発明の一実施例を示すブロック図であり、図３と共通する部分には同一の符号を付けている。
【００３１】
プラント管理機器１１，１２は第１のネットワークＮＷ１に接続されていて、これらプラント管理機器１１，１２は、第１のセキュリティエリアＳＡ１を構成している。
【００３２】
無線ネットワーク管理機器６１，６２は、第１のネットワークＮＷ１と第２のネットワークＮＷ２に接続されている。無線ネットワーク管理機器６１と６２は専用の接続線で接続されている。メンテナンス用端末７は、無線ネットワーク管理機器６１または６２に直接接続される。これら無線ネットワーク管理機器６１，６２とメンテナンス用端末７は、第６のセキュリティエリアＳＡ６を構成している。
【００３３】
フィールド機器５１〜５ｎは、第２のネットワークＮＷ２に接続されている。
【００３４】
無線ネットワーク管理機器６１，６２は、ISA100.11aにおけるシステムマネージャーの機能とゲートウェイの機能の他、ファイアウォール機能も有するものである。無線ネットワーク管理機器６１，６２にファイアウォール機能を持たせることで、無線ネットワーク管理機器６１，６２と各ネットワークＮＷ１，ＮＷ２を直接接続できる。
【００３５】
そして、無線ネットワーク管理機器６１，６２のポート毎にセキュリティポリシーを割り当てることで、セキュリティポリシーの異なる複数のネットワークに接続することができる。
【００３６】
また、無線ネットワーク管理機器６１，６２間の通信に専用の接続線を使用することで、冗長化構成を構築できる。
【００３７】
図２は、無線ネットワーク管理機器６１の具体例を示すブロック図である。図２において、パケット処理部６１ａには冗長化管理機器接続用通信ポート６１ｂが接続されるとともに、ファイアウォール機能部６１ｃが接続されている。
【００３８】
ファイアウォール機能部６１ｃには、フィルタリングルール設定データベース６１ｄが接続されるとともに、メンテナンス端末直結用通信ポート６１ｅ、上位ネットワーク接続用通信ポート６１ｆ、下位ネットワーク接続用通信ポート６１ｇが接続されている。
【００３９】
図２の構成において、ファイアウォール機能部６１ｃは、フィルタリングルール設定データベース６１ｄからフィルタリングルールを取得して動作する。ここで、フィルタリングルールとは、各通信ポートで通信を許可するＩＰアドレス一覧などの情報である。
【００４０】
ファイアウォール機能部６１ｃは、フィルタリングルール設定データベース６１ｄから取得したフィルタリングルールに基づいて受信したパケットの制御を行い、通信が許可されるものはパケット処理部６１ａに渡す。
【００４１】
冗長化構成された無線ネットワーク管理機器６１，６２間では、一方の無線ネットワーク管理機器（たとえば６１）内のデータベースがペアとなる他方の無線ネットワーク管理機器（たとえば６２）内のデータベースと等しくなるように、情報の同期を行う。
【００４２】
データベースの同期を行うための通信は、たとえば一方の無線ネットワーク管理機器６１に他方の無線ネットワーク管理機器６２を直接接続するための通信ポート６１ｂを使用する。これにより、上位側ネットワークＮＷ１および下位側ネットワークＮＷ２上にデータベース同期の通信が流れることはない。
【００４３】
このような構成によれば、無線ネットワーク管理機器６１，６２を、セキュリティレベルの異なる複数のネットワークＮＷ１，ＮＷ２に接続することができる。
【００４４】
別途ファイアウォールを使用することなく、セキュリティレベルの境界に、無線ネットワーク管理機器６１，６２を設置することができる。
【００４５】
無線ネットワーク管理機器６１，６２相互を専用の接続線で直接接続することで、冗長化構成のためのネットワークを構築する必要はなく、冗長化を容易に実現できる。
【００４６】
さらに、無線ネットワーク管理機器６１，６２を冗長化構成で運用する際に必要な通信は、専用の接続線を介して行うことから、他のネットワークに影響を与えない。この場合の専用接続線としては、ネットワークケーブルに限るものではなく、専用ケーブルや、プリント配線板のバックプレーンを利用してもよい。
【００４７】
また、上記実施例では、ネットワーク管理機器が無線ネットワーク管理機器の例について説明したが、これに限るものではなく、有線のネットワーク管理機器についても同等の効果が得られる。
【００４８】
以上説明したように、本発明によれば、ファイアウォール機能を内蔵する無線ネットワーク管理機器を用いることにより、複数のセキュリティレベルのネットワークにおける同時使用が可能で、外部にファイアウォールを設置することなくセキュリティを確保し、冗長化用のネットワーク設定や運用の手間を省くことができるネットワーク管理システムが実現できる。
【符号の説明】
【００４９】
１（１１，１２）  プラント管理機器
５（５１〜５ｎ）  フィールド機器
６（６１，６２）  無線ネットワーク管理機器
６１ａ  パケット処理部
６１ｂ  冗長化管理機器接続用通信ポート
６１ｃ  ファイアウォール機能部
６１ｄ  フィルタリングルール設定データベース
６１ｅ  メンテナンス端末直結用通信ポート
６１ｆ  上位ネットワーク接続用通信ポート
６１ｇ  下位ネットワーク接続用通信ポート
【図１】
0005445626.tif 000002
【図２】
0005445626.tif 000003
【図３】
0005445626.tif 000004