(57)【要約】【課題】通信ネットワークを利用する計装制御装置において、通信ネットワークを経由した第三者からの攻撃に対する耐性を高めて、継続して運転可能とする。【解決手段】実施形態に係る計装制御装置は、コントローラユニット１１ｘ，１１ｙと、通信ネットワーク３０，３１と、を有する。コントローラユニット１１ｘはコントローラ１２ｘａ，１２ｘｂを含む。コントローラ１２ｘａは、通信ポート１７ｘａ，１８ｘａ，１９ｘａ，２０ｘａと、計装制御対象機器３２，３３との間および第２のコントローラユニット１１ｙとの間で信号を送受信する制御信号送受信部１６ｘａと、通信ポートが攻撃を受けたことを検出する攻撃監視部１５ｘａと、攻撃が検出されたときに使用される通信ポートを変更させるポート変更部１４ｘａと、を備える。【選択図】図１
2018120274.tif 000002
【特許請求の範囲】
【請求項１】
それぞれが複数の計装制御対象機器に接続された第１および第２のコントローラユニットと、
前記第１のコントローラユニットと前記第２のコントローラユニットとの間、および、前記第１のコントローラユニットおよび前記第２のコントローラユニットと前記計装制御対象機器との間を、互いに並列に接続する複数の通信ネットワークと、
を有する計装制御装置であって、
前記第１および第２のコントローラユニットそれぞれが少なくとも一つのコントローラを含み、
前記少なくとも一つのコントローラそれぞれが、
前記複数の通信ネットワークのうちの異なる通信ネットワークにそれぞれが接続された複数の通信ポートと、
前記複数の通信ポートのうちから選択された一つの通信ポートおよび当該一つの通信ポートに接続された一つの前記通信ネットワークを介して、前記計装制御対象機器との間および、前記第１および第２のコントローラユニットの間で信号を送受信する制御信号送受信部と、
前記通信ポートを監視して、使用中の前記通信ポートが、当該通信ポートに接続された前記通信ネットワークを介して外部から攻撃を受けたことを検出する攻撃監視部と、
前記通信ポートが前記攻撃を受けたことが前記攻撃監視部によって検出されたときに、前記複数の通信ポートのうちで当該攻撃を受けた通信ポート以外の通信ポートに前記制御信号送受信部が接続されるように、使用される通信ポートを変更させ、前記攻撃を受けた通信ポート以外の通信ポートに接続された前記通信ネットワークを介して、他のコントローラユニットに当該通信ポートの変更を通知するポート変更部と、
を備えることを特徴とする計装制御装置。
【請求項２】
前記少なくとも一つのコントローラそれぞれが、前記複数の通信ポートそれぞれに割り当てられたポート番号と、前記複数の通信ポートそれぞれが前記攻撃を受けているか否かを示す被攻撃フラグとを記憶するポート番号テーブルをさらに備え、
前記ポート変更部は、前記通信ポートが前記攻撃を受けたことが前記攻撃監視部によって検出されたときに、前記被攻撃フラグを前記ポート番号テーブルに記憶し、前記使用される通信ポートを変更させたときに当該使用通信ポートの変更を前記ポート番号テーブルに記憶するように構成されていること、
を特徴とする請求項１に記載の計装制御装置。
【請求項３】
前記第１のコントローラユニットが、
互いに代替可能な二つの前記コントローラと、
前記二つのコントローラ同士を接続する多重化ネットワークと、
を含み、
前記第１のコントローラユニットの前記二つのコントローラのうちのいずれか一方のみの前記コントローラの前記攻撃監視部が前記攻撃を検出したときに、前記攻撃を検出した側の前記コントローラの前記ポート変更部は、前記第１のコントローラユニットの前記二つのコントローラのうちの前記攻撃を検出していない側の前記コントローラの前記ポート変更部に当該通信ポートの変更を通知するように構成されていること、
を特徴とする請求項１または請求項２に記載の計装制御装置。
【請求項４】
それぞれが複数の計装制御対象機器に接続された第１および第２のコントローラユニットと、
前記第１のコントローラユニットと前記第２のコントローラユニットとの間、および、前記第１のコントローラユニットおよび前記第２のコントローラユニットと前記計装制御対象機器との間を、互いに並列に接続する複数の通信ネットワークと、
を有する計装制御装置であって、
前記第１および第２のコントローラユニットそれぞれが少なくとも一つのコントローラを含み、
前記少なくとも一つのコントローラそれぞれが、
前記複数の通信ネットワークのうちの異なる通信ネットワークにそれぞれが接続された複数の通信ポートと、
前記複数の通信ポートのうちから選択された一つの通信ポートおよび当該一つの通信ポートに接続された一つの前記通信ネットワークを介して、前記計装制御対象機器との間および、前記第１および第２のコントローラユニットの間で信号を送受信する制御信号送受信部と、
当該コントローラの前記複数の通信ポートそれぞれについての使用可能時間を設定し、時間の経過に応じて前記複数の通信ポートそれぞれについての前記使用可能時間から減少していく使用残時間を計測し、前記複数の通信ポートの一つの使用残時間がゼロになったときに当該通信ポートを閉鎖し、当該通信ポートの変更依頼信号を発信する時間監視部と、
前記時間監視部から前記通信ポートの変更依頼信号を受信して、前記閉鎖された通信ポート以外の通信ポートを新たな使用通信ポートとして指定して、かつその新たな使用通信ポートの使用可能時間を設定し、当該コントローラ以外のコントローラに対して前記使用通信ポートの変更を通知するポート変更部と、
を備えることを特徴とする計装制御装置。
【請求項５】
前記少なくとも一つのコントローラそれぞれが、前記複数の通信ポートそれぞれに割り当てられたポート番号と、前記複数の通信ポートそれぞれの前記使用残時間および当該通信ポートが使用通信ポート変更中であるか否か示す変更中フラグとを記憶するポート番号テーブルをさらに備え、
前記ポート変更部は、前記通信ポートのいずれかの前記使用残時間がゼロになったことが前記時間監視部によって検出されたときに、前記変更中フラグを前記ポート番号テーブルに記憶し、使用される通信ポートを変更させたときに当該使用通信ポートの変更を前記ポート番号テーブルに記憶するように構成されていること、
を特徴とする請求項４に記載の計装制御装置。
【請求項６】
前記ポート変更部は、前記新たな使用通信ポートの使用可能時間を、乱数によって設定するものであること、を特徴とする請求項４または請求項５に記載の計装制御装置。
【請求項７】
前記第１および第２のコントローラユニットを監視操作するための監視操作装置と前記第１および第２のコントローラユニットとの間を互いに並列に接続する複数の監視操作ネットワークをさらに有すること、を特徴とする請求項１ないし請求項６のいずれか一項に記載の計装制御装置。
【請求項８】
請求項１ないし請求項３のいずれか一項に係る計装制御装置を用いた計装制御方法であって、
前記第１のコントローラユニットを構成する前記コントローラの前記攻撃監視部が、当該コントローラの前記通信ポートの一つが前記通信ネットワークを介して外部から攻撃を受けたことを検出する攻撃検出ステップと、
前記攻撃検出ステップの後に、前記第１のコントローラユニットを構成する前記コントローラの前記ポート変更部が、前記複数の通信ポートのうちで当該攻撃を受けた通信ポート以外の通信ポートに前記制御信号送受信部が接続されるように、使用される通信ポートを変更させる第１コントローラユニットポート変更ステップと、
前記攻撃検出ステップの後に、前記第１のコントローラユニットを構成する前記コントローラの前記ポート変更部が、前記攻撃を受けた通信ポート以外の通信ポート、およびその攻撃を受けた通信ポート以外の通信ポートに接続された前記通信ネットワークを介して、前記第２のコントローラユニットに当該通信ポートの変更を通知する通知ステップと、
前記通知ステップの後に、前記第２のコントローラユニットを構成する前記コントローラの前記制御信号送受信部が、通知された前記通信ポートの変更に応じて、前記第１のコントローラユニットへの宛先ポートを変更する第２コントローラユニットポート変更ステップと、
を有することを特徴とする計装制御方法。
【請求項９】
請求項４ないし請求項６のいずれか一項に係る計装制御装置を用いた計装制御方法であって、
前記第１のコントローラユニットを構成する前記コントローラの前記時間監視部が、当該コントローラの前記複数の通信ポートの前記使用残時間のうちの一つがゼロになったことを検出する使用残時間ゼロ検出ステップと、
前記時間監視部が、前記使用残時間ゼロ検出ステップの後に、当該コントローラの前記使用残時間がゼロになった通信ポートから当該コントローラの前記使用残時間がゼロになっていない通信ポートに前記制御信号送受信部が接続されるように、使用される通信ポートを変更させる第１コントローラユニットポート変更ステップと、
前記第１コントローラユニットポート変更ステップの後に、前記第１のコントローラユニットを構成する前記コントローラの前記ポート変更部が、前記使用残時間がゼロになっていない通信ポートに接続された前記通信ネットワークを介して、前記第２のコントローラユニットに当該通信ポートの変更を通知する通知ステップと、
前記通知ステップの後に、前記第２のコントローラユニットを構成する前記コントローラの前記制御信号送受信部が、通知された前記通信ポートの変更に応じて、前記第１のコントローラユニットへの宛先ポートを変更する第２コントローラユニットポート変更ステップと、
を有することを特徴とする計装制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明の実施形態は、通信ネットワークを利用する計装制御装置および計装制御方法に関する。
【背景技術】
【０００２】
一般に、各種プラントの制御システムは、常用系と待機系から成る複数組の計装制御コントローラで構成され、一組の計装制御コントローラは複数のＰＩＯ（プロセス入出力）入力値を得て、ＰＩＯ出力値を計算し、ＰＩＯ出力を行う。
【０００３】
一組の計装制御コントローラは、ＰＩＯ入力値からＰＩＯ出力値を演算する演算ロジックをプログラム可能であり、計装制御コントローラは、ファンクションブロックダイアグラムとしてオペレータにより作成されたプログラムを保持する。
【０００４】
近年、ＰＩＯ入出力はＥｔｈｅｒｎｅｔ（商標）通信を用いるケースが多く、ＰＩＯ入出力を行う制御信号用ネットワークにおいて悪意の第三者による攻撃に対する耐性が強く求められている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１２−３４２７３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
計装制御装置は、ネットワーク通信を経由した悪意の第三者による攻撃を検出または防御する手段が求められる。一般的なセキュリティ機能は特定のネットワークポートに対する攻撃を検出した場合、そのネットワークポートを遮断する等の対策を実施する。しかしその場合は、サービスを継続することが困難となる。
【０００７】
プラント制御システムは、任意のネットワークポートに対する攻撃を検出した際、制御に必要な通信を継続したまま攻撃を無効化する必要があるが、現在の一般的な手法ではそれが困難である。
【０００８】
本実施形態は、通信ネットワークを利用する計装制御装置において、通信ネットワークを経由した第三者からの攻撃に対する耐性を高めて、継続して運転可能とすることを目的とする。
【課題を解決するための手段】
【０００９】
第１の実施形態に係る計装制御装置は、それぞれが複数の計装制御対象機器に接続された第１および第２のコントローラユニットと、前記第１のコントローラユニットと前記第２のコントローラユニットとの間、および、前記第１のコントローラユニットおよび前記第２のコントローラユニットと前記計装制御対象機器との間を、互いに並列に接続する複数の通信ネットワークと、を有する計装制御装置であって、前記第１および第２のコントローラユニットそれぞれが少なくとも一つのコントローラを含み、前記少なくとも一つのコントローラそれぞれが、前記複数の通信ネットワークのうちの異なる通信ネットワークにそれぞれが接続された複数の通信ポートと、前記複数の通信ポートのうちから選択された一つの通信ポートおよび当該一つの通信ポートに接続された一つの前記通信ネットワークを介して、前記計装制御対象機器との間および、前記第１および第２のコントローラユニットの間で信号を送受信する制御信号送受信部と、前記通信ポートを監視して、使用中の前記通信ポートが、当該通信ポートに接続された前記通信ネットワークを介して外部から攻撃を受けたことを検出する攻撃監視部と、前記通信ポートが前記攻撃を受けたことが前記攻撃監視部によって検出されたときに、前記複数の通信ポートのうちで当該攻撃を受けた通信ポート以外の通信ポートに前記制御信号送受信部が接続されるように、使用される通信ポートを変更させ、前記攻撃を受けた通信ポート以外の通信ポートに接続された前記通信ネットワークを介して、他のコントローラユニットに当該通信ポートの変更を通知するポート変更部と、を備えることを特徴とする。
【００１０】
第２の実施形態に係る計装制御装置は、それぞれが複数の計装制御対象機器に接続された第１および第２のコントローラユニットと、前記第１のコントローラユニットと前記第２のコントローラユニットとの間、および、前記第１のコントローラユニットおよび前記第２のコントローラユニットと前記計装制御対象機器との間を、互いに並列に接続する複数の通信ネットワークと、を有する計装制御装置であって、前記第１および第２のコントローラユニットそれぞれが少なくとも一つのコントローラを含み、前記少なくとも一つのコントローラそれぞれが、前記複数の通信ネットワークのうちの異なる通信ネットワークにそれぞれが接続された複数の通信ポートと、前記複数の通信ポートのうちから選択された一つの通信ポートおよび当該一つの通信ポートに接続された一つの前記通信ネットワークを介して、前記計装制御対象機器との間および、前記第１および第２のコントローラユニットの間で信号を送受信する制御信号送受信部と、当該コントローラの前記複数の通信ポートそれぞれについての使用可能時間を設定し、時間の経過に応じて前記複数の通信ポートそれぞれについての前記使用可能時間から減少していく使用残時間を計測し、前記複数の通信ポートの一つの使用残時間がゼロになったときに当該通信ポートを閉鎖し、当該通信ポートの変更依頼信号を発信する時間監視部と、前記時間監視部から前記通信ポートの変更依頼信号を受信して、前記閉鎖された通信ポート以外の通信ポートを新たな使用通信ポートとして指定して、かつその新たな使用通信ポートの使用可能時間を設定し、当該コントローラ以外のコントローラに対して前記使用通信ポートの変更を通知するポート変更部と、を備えることを特徴とする。
【００１１】
第１の実施形態に係る計装制御方法は、前記第１の実施形態に係る計装制御装置を用いた計装制御方法であって、前記第１のコントローラユニットを構成する前記コントローラの前記攻撃監視部が、当該コントローラの前記通信ポートの一つが前記通信ネットワークを介して外部から攻撃を受けたことを検出する攻撃検出ステップと、前記攻撃検出ステップの後に、前記第１のコントローラユニットを構成する前記コントローラの前記ポート変更部が、前記複数の通信ポートのうちで当該攻撃を受けた通信ポート以外の通信ポートに前記制御信号送受信部が接続されるように、使用される通信ポートを変更させる第１コントローラユニットポート変更ステップと、前記攻撃検出ステップの後に、前記第１のコントローラユニットを構成する前記コントローラの前記ポート変更部が、前記攻撃を受けた通信ポート以外の通信ポート、およびその攻撃を受けた通信ポート以外の通信ポートに接続された前記通信ネットワークを介して、前記第２のコントローラユニットに当該通信ポートの変更を通知する通知ステップと、前記通知ステップの後に、前記第２のコントローラユニットを構成する前記コントローラの前記制御信号送受信部が、通知された前記通信ポートの変更に応じて、前記第１のコントローラユニットへの宛先ポートを変更する第２コントローラユニットポート変更ステップと、を有することを特徴とする。
【００１２】
第２の実施形態に係る計装制御方法は、前記第２の実施形態に係る計装制御装置を用いた計装制御方法であって、前記第１のコントローラユニットを構成する前記コントローラの前記時間監視部が、当該コントローラの前記複数の通信ポートの前記使用残時間のうちの一つがゼロになったことを検出する使用残時間ゼロ検出ステップと、前記時間監視部が、前記使用残時間ゼロ検出ステップの後に、当該コントローラの前記使用残時間がゼロになった通信ポートから当該コントローラの前記使用残時間がゼロになっていない通信ポートに前記制御信号送受信部が接続されるように、使用される通信ポートを変更させる第１コントローラユニットポート変更ステップと、前記第１コントローラユニットポート変更ステップの後に、前記第１のコントローラユニットを構成する前記コントローラの前記ポート変更部が、前記使用残時間がゼロになっていない通信ポートに接続された前記通信ネットワークを介して、前記第２のコントローラユニットに当該通信ポートの変更を通知する通知ステップと、前記通知ステップの後に、前記第２のコントローラユニットを構成する前記コントローラの前記制御信号送受信部が、通知された前記通信ポートの変更に応じて、前記第１のコントローラユニットへの宛先ポートを変更する第２コントローラユニットポート変更ステップと、を有することを特徴とする。
【発明の効果】
【００１３】
実施形態によれば、通信ネットワークを利用する計装制御装置において、通信ネットワークを経由した第三者からの攻撃に対する耐性を高めて、継続して運転可能となる。
【図面の簡単な説明】
【００１４】
【図１】第１の実施形態に係る計装制御装置を示すブロック図である。
【図２】第１の実施形態に係る計装制御装置を用いた計装制御方法の手順の一例を示すフロー図である。
【図３】第１の実施形態に係る計装制御装置におけるポート番号テーブルの一例を示す図である。
【図４】第２の実施形態に係る計装制御装置を示すブロック図である。
【図５】第２の実施形態に係る計装制御装置を用いた計装制御方法の手順の一例を示すフロー図である。
【図６】第２の実施形態に係る計装制御装置におけるポート番号テーブルの一例を示す図である。
【発明を実施するための形態】
【００１５】
以下、図面を参照して実施形態について説明する。ここで、互いに同一または類似の部分には共通の符号を付して、重複説明は省略する。
【００１６】
［第１の実施形態］
図１は、第１の実施形態に係る計装制御装置を示すブロック図である。図２は、第１の実施形態に係る計装制御装置を用いた計装制御方法の手順の一例を示すフロー図である。図３は、第１の実施形態に係る計装制御装置におけるポート番号テーブルの一例を示す図である。
【００１７】
この実施形態の計装制御装置１０は、第１のコントローラユニット１１ｘと、第２のコントローラユニット１１ｙと、複数の計装制御対象機器３２，３３と、複数の監視操作装置（ヒューマンマシンインタフェース、ＨＭＩ）４２，４３とを備えている。
【００１８】
第１のコントローラユニット１１ｘは、互いに代替可能な第１および第２のコントローラ１２ｘａ，１２ｘｂを備えている。第１および第２のコントローラ１２ｘａ，１２ｘｂの一方が常用系として機能し、他方が待機系として機能する。その意味で、第１のコントローラユニット１１ｘは多重化（二重化）されている。同様に、第２のコントローラユニット１１ｙは２個のコントローラ１２ｙａ，１２ｙｂを備えていて二重化されている。
【００１９】
各コントローラは、後述する通信ポートを介して、第１および第２の制御ネットワーク（通信ネットワーク）３０，３１により互いに接続されているとともに、計装制御対象機器３２，３３に接続されている。また、各コントローラは、通信ポートを介して、第１および第２の監視操作ネットワーク（通信ネットワーク）４０，４１により監視操作装置４２，４３に接続されている。
【００２０】
計装制御対象機器３２，３３は、たとえばプラントの計装装置や、ポンプ、モータ等の制御対象機器であり、通常は３個以上の多数であるが、図１では２個だけを示している。監視操作装置４２，４３は、計装制御対象機器３２，３３の状況を操作員が監視するための表示装置が含まれ、また、操作員が操作するための操作機器などの入力装置が含まれる。監視操作装置４２，４３は、通常は３個以上の多数であるが、図１では２個だけを示している。
【００２１】
コントローラユニット１１ｘ，１１ｙは、計装制御対象機器３２，３３と監視操作装置４２，４３との間に介在する。これにより、計装制御対象機器３２，３３の状況が、監視操作装置４２，４３を通じて操作員に伝えられ、また、操作員の指示が、監視操作装置４２，４３を通じてコントローラユニット１１ｘ，１１ｙに伝えられ、コントローラユニット１１ｘ，１１ｙにより計装制御対象機器３２，３３が制御される。
【００２２】
第１のコントローラ１２ｘａは、ポート番号テーブル１３ｘａ、ポート変更部１４ｘａ、攻撃監視部１５ｘａ、制御信号送受信部１６ｘａ、演算部３５ｘａを有する。また、第１のコントローラ１２ｘａは、第１の制御ネットワーク３０に接続された通信ポート１７ｘａと、第２の制御ネットワーク３１に接続された通信ポート１８ｘａと、第１の監視操作ネットワーク４０に接続された通信ポート１９ｘａと、第２の監視操作ネットワーク４１に接続された通信ポート２０ｘａと、を有する。
【００２３】
第２のコントローラ１２ｘｂは、第１のコントローラ１２ｘａと同様の構成であって、ポート番号テーブル１３ｘｂ、ポート変更部１４ｘｂ、攻撃監視部１５ｘｂ、制御信号送受信部１６ｘｂ、演算部３５ｘｂを有する。また、第２のコントローラ１２ｘｂは、第１の制御ネットワーク３０に接続された通信ポート１７ｘｂと、第２の制御ネットワーク３１に接続された通信ポート１８ｘｂと、第１の監視操作ネットワーク４０に接続された通信ポート１９ｘｂと、第２の監視操作ネットワーク４１に接続された通信ポート２０ｘｂと、を有する。
【００２４】
第１のコントローラ１２ｘａおよび第２のコントローラ１２ｘｂはそれぞれ、通信ポート２１ｘａ，２１ｘｂを有し、通信ポート２１ｘａ，２１ｘｂが、多重化ネットワーク４５ｘによって互いに接続されている。
【００２５】
第２のコントローラユニット１１ｙは、第１のコントローラユニット１１ｘとほぼ同様の構成であり、第１のコントローラユニット１１ｘを構成する２個のコントローラ１２ｙａ，１２ｙｂは第１のコントローラユニット１１ｘを構成する第１および第２のコントローラ１２ｘａ，１２ｘｂと同様の構成である。これら２個のコントローラ１２ｙａ，１２ｙｂは、通信ポート２１ｙａ，２１ｙｂを介して、多重化ネットワーク４５ｙにより互いに接続されている。
【００２６】
第２のコントローラユニット１１ｙを構成するコントローラ１２ｙａは、第１の制御ネットワーク３０に接続された通信ポート１７ｙａと、第２の制御ネットワーク３１に接続された通信ポート１８ｙａと、第１の監視操作ネットワーク４０に接続された通信ポート１９ｙａと、第２の監視操作ネットワーク４１に接続された通信ポート２０ｙａと、を有する。
【００２７】
同様に、コントローラ１２ｙｂは、第１の制御ネットワーク３０に接続された通信ポート１７ｙｂと、第２の制御ネットワーク３１に接続された通信ポート１８ｙｂと、第１の監視操作ネットワーク４０に接続された通信ポート１９ｙｂと、第２の監視操作ネットワーク４１に接続された通信ポート２０ｙｂと、を有する。
【００２８】
第２のコントローラユニット１１ｙを構成するコントローラ１２ｙａ，１２ｙｂはそれぞれが、第１のコントローラユニット１１ｘを構成する第１および第２のコントローラ１２ｘａ，１２ｘｂと同様に、ポート番号テーブル、ポート変更部、攻撃監視部、制御信号送受信部、演算部を有するが、それらの図示は省略する。
【００２９】
第１のコントローラユニット１１ｘと第２のコントローラユニット１１ｙでは、演算部の機能が異なるが、その他の構成および機能はほぼ同様である。
【００３０】
ポート番号テーブル１３ｘａは、たとえば図３に示すように、第１のコントローラ１２ｘａの通信ポート１７ｘａ，１８ｘａ，１９ｘａ，２０ｘａ（図３で、それぞれ、ネットワーク接続部Ａ，Ｂ，Ｃ，Ｄと表示する）の使用ポート番号と、後述する被攻撃フラグを記憶する。
【００３１】
攻撃監視部１５ｘａは、一般にＩＤＳ（Ｉｎｔｒｕｓｉｏｎ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ、侵入検知システム）と呼ばれる装置と同等の機能を具備するものであって、第１のコントローラ１２ｘａが使用しているポート番号に対する通信を監視する。
【００３２】
つぎに、図２を参照しながら、本実施形態に係る計装制御装置を用いた計装制御方法について説明する。
【００３３】
ここでは、第１のコントローラ１２ｘａの通信ポート１７ｘａ，１８ｘａ，１９ｘａ，２０ｘａの一つ（「第１ポート」と呼ぶ。図３の例ではネットワーク接続部Ｃに対応）に対して、第１および第２の制御ネットワーク３０，３１のいずれか、または第１および第２の監視操作ネットワーク４０，４１のいずれかを介して、外部から攻撃があったものとする。
【００３４】
そのとき、攻撃監視部１５ｘａが第１ポートへの攻撃を検出する（ステップＳ１）。
【００３５】
そして、攻撃監視部１５ｘａは第１ポートを閉鎖する（ステップＳ２）。
【００３６】
さらに、攻撃監視部１５ｘａは、ポート番号テーブル１３ｘａにおける第１ポートのポート番号に対して、被攻撃フラグを１にセットする（ステップＳ３）。
【００３７】
つぎに、攻撃監視部１５ｘａは、ポート変更部１４ｘａに対して、被攻撃対象通信ポート番号の変更依頼を発行する（ステップＳ４）。ポート変更部１４ｘａは、被攻撃対象通信ポート番号の変更依頼を受け、新たな通信ポート番号をポート番号テーブル１３ｘａに書き込む（ステップＳ５）。
【００３８】
次に、ポート変更部１４ｘａは、ポート番号テーブル１３ｘａにて被攻撃フラグがクリアとなっている制御ネットワークを用いて、他のコントローラユニット（たとえば第２のコントローラユニット１１ｙ）に対するポート番号変更通知を送信する（ステップＳ６）。
【００３９】
他のコントローラユニット（たとえば第２のコントローラユニット１１ｙ）では、制御信号送受信部が、ポート番号変更通知を受信し、そのポート番号変更通知に基づき、ポート番号が変更されたコントローラ（第１のコントローラユニット１１ｘ）宛ての送信に用いる宛先ポート番号を変更する（ステップＳ７）。
【００４０】
図１に示す例のように第１のコントローラユニット１１ｘが第１および第２のコントローラ１２ｘａ，１２ｘｂを有する場合、第１のコントローラ１２ｘａの攻撃監視部１５ｘａは、多重化ネットワーク４５ｘを通じて、第２のコントローラ１２ｘｂに対し、被攻撃対象通信ポート番号の変更依頼を発行する（ステップＳ８）。第２のコントローラ１２ｘｂのポート変更部１４ｘｂは、被攻撃対象通信ポート番号の変更依頼を受け、新たな通信ポート番号を、第２のコントローラ１２ｘｂのポート番号テーブル１３ｘｂに書き込む（ステップＳ９）。
【００４１】
つぎに、攻撃対象となった第１のコントローラ１２ｘａのポート変更部１４ｘａは被攻撃フラグをゼロに戻す（リセットする）（ステップＳ１０）。
【００４２】
このようにして、特定ポート番号に対する攻撃を無効化することができる。
【００４３】
上記説明において、コントローラユニット１１ｘ，１１ｙの数は２個として説明したが、演算部で必要な機能の種類の数に応じて３個以上であってもよい。
【００４４】
また、コントローラユニット１１ｘ，１１ｙはそれぞれ２個のコントローラ１２ｘａ，１２ｘｂ；１２ｙａ，１２ｙｂを有するものとしたが、それぞれのコントローラユニットが３個以上のコントローラで多重化（三重化等）してもよい。また、各コントローラユニットが多重化されておらず、１個のコントローラのみから構成されていてもよい。その場合は、通信ポート２１ｘａ，２１ｘｂなどは不要であり、多重化ネットワーク４５ｘなども不要である。
【００４５】
［第２の実施形態］
図４は、第２の実施形態に係る計装制御装置を示すブロック図である。図５は、第２の実施形態に係る計装制御装置を用いた計装制御方法の手順の一例を示すフロー図である。図６は、第２の実施形態に係る計装制御装置におけるポート番号テーブルの一例を示す図である。
【００４６】
この第２の実施形態は、第１の実施形態の変形であるから、以下の説明では第１の実施形態との相違部分について説明し、重複説明は省略する。
【００４７】
図４に示すように、この第２の実施形態に係る計装制御装置では、第１のコントローラ１２ｘａは、攻撃監視部１５ｘａ（図１参照）を有しておらず、時間監視部５０ｘａを有する。同様に、第２のコントローラ１２ｘｂは、攻撃監視部を有しておらず、時間監視部５０ｘｂを有する。時間監視部５０ｘａは、第１のコントローラ１２ｘａの通信ポート１７ｘａ，１８ｘａ，１９ｘａ，２０ｘａそれぞれについて、使用可能時間を設定し、時間の経過に応じて通信ポート１７ｘａ，１８ｘａ，１９ｘａ，２０ｘａそれぞれについての使用可能時間から減少していく使用残時間を計測し、各通信ポートの使用残時間を出力する。さらに、時間監視部５０ｘａは、通信ポートの使用残時間がゼロになったときに、当該通信ポートを閉鎖し、その通信ポートの変更依頼信号を発信する。
【００４８】
また、この実施形態では、第１のコントローラ１２ｘａのポート番号テーブル１３ｘａは、たとえば図６に示すように、第１のコントローラ１２ｘａの通信ポート１７ｘａ，１８ｘａ，１９ｘａ，２０ｘａ（図６で、それぞれ、ネットワーク接続部Ａ，Ｂ，Ｃ，Ｄと表示する）の使用ポート番号のほか、変更中フラグとポート番号使用残時間（秒）とを記憶する。またこのとき、ポート変更部１４ｘｂは、新たな使用残時間（使用可能時間）を乱数等によって決定し、使用可能時間をポート番号テーブル１３ｘａに書き込む。
【００４９】
また、この実施形態では、第１のコントローラ１２ｘａのポート変更部１４ｘａは、時間監視部５０ｘａから通信ポートの変更依頼信号を受信して、閉鎖された通信ポート以外の通信ポートを新たな使用通信ポートとして指定して、かつその新たな使用通信ポートの使用可能時間を設定し、第１のコントローラ１２ｘａ以外のコントローラ１２ｘｂ，１２ｙａ，１２ｙｂに対して使用通信ポートの変更を通知する。
【００５０】
つぎに、図５を参照しながら、実施形態に係る計装制御装置を用いた計装制御方法について説明する。
【００５１】
第１のコントローラ１２ｘａの通信ポート１７ｘａ，１８ｘａ，１９ｘａ，２０ｘａのポート番号使用残時間は互いに異なった値となっていて、それぞれの通信ポートの使用残時間は時間経過とともに減少する。これらのポート番号使用残時間のうちの一つ（これを第１ポートと呼ぶ）がゼロになると、第１のコントローラ１２ｘａの時間監視部５０ｘａが、第１ポートのポート番号使用残時間がゼロになったことを検出する（ステップＳ２１）。
【００５２】
そして、時間監視部５０ｘａは、第１ポートを閉鎖する（ステップＳ２２）。
【００５３】
さらに、時間監視部５０ｘａは、ポート番号テーブル１３ｘａにおける第１ポートのポート番号に対して、変更中フラグを１にセットする（ステップＳ２３）。
【００５４】
つぎに、時間監視部５０ｘａは、ポート変更部１４ｘａに対して、使用通信ポート番号の変更依頼を発行する（ステップＳ２４）。ポート変更部１４ｘａは、使用通信ポート番号の変更依頼を受け、新たな通信ポート番号を、ポート番号テーブル１３ｘａに書き込む（ステップＳ２５）。
【００５５】
次に、ポート変更部１４ｘａは、ポート番号テーブル１３ｘａにて変更中フラグがクリアとなっている制御ネットワークを用いて、他のコントローラユニット（たとえば第２のコントローラユニット１１ｙ）に対するポート番号変更通知を送信する（ステップＳ２６）。
【００５６】
他のコントローラユニット（たとえば第２のコントローラユニット１１ｙ）では、制御信号送受信部が、ポート番号変更通知を受信し、そのポート番号変更通知に基づき、ポート番号が変更されたコントローラ（第１のコントローラユニット１１ｘ）宛ての送信に用いる宛先ポート番号を変更する（ステップＳ２７）。
【００５７】
図４に示す例のように第１のコントローラユニット１１ｘが第１および第２のコントローラ１２ｘａ，１２ｘｂを有する場合、第１のコントローラ１２ｘａの時間監視部５０ｘａは、多重化ネットワーク４５ｘを通じて、第２のコントローラ１２ｘｂに対し、使用通信ポート番号の変更依頼を発行する（ステップＳ２８）。第２のコントローラ１２ｘｂのポート変更部１４ｘｂは、使用通信ポート番号の変更依頼を受け、新たな通信ポート番号を、第２のコントローラ１２ｘｂのポート番号テーブル１３ｘｂに書き込む（ステップＳ２９）。
【００５８】
つぎに、変更対象となった第１のコントローラ１２ｘａのポート変更部１４ｘａは変更中フラグをゼロに戻す（リセットする）（ステップＳ３０）。
【００５９】
このようにして、ポートスキャニング攻撃により制御信号送受信ポートの漏洩を防ぐことができる。
【００６０】
［他の実施形態］
本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。
【符号の説明】
【００６１】
１０…計装制御装置
１１ｘ，１１ｙ…コントローラユニット
１２ｘａ，１２ｘｂ，１２ｙａ，１２ｙｂ…コントローラ
１３ｘａ，１３ｘｂ…ポート番号テーブル
１４ｘａ，１４ｘｂ…ポート変更部
１５ｘａ，１５ｘｂ…攻撃監視部
１６ｘａ，１６ｘｂ…制御信号送受信部
１７ｘａ，１７ｘｂ，１７ｙａ，１７ｙｂ，１８ｘａ，１８ｘｂ，１８ｙａ，１８ｙｂ，１９ｘａ，１９ｘｂ，１９ｙａ，１９ｙｂ，２０ｘａ，２０ｘｂ，２０ｙａ，２０ｙｂ，２１ｘａ，２１ｘｂ，２１ｙａ，２１ｙｂ…通信ポート
３０，３１…制御ネットワーク（通信ネットワーク）
３２，３３…計装制御対象機器
３５ｘａ，３５ｘｂ…演算部
４０，４１…監視操作ネットワーク（通信ネットワーク）
４２，４３…監視操作装置（ヒューマンマシンインタフェース、ＨＭＩ）
４５ｘ，４５ｙ…多重化ネットワーク
５０ｘａ，５０ｘｂ…時間監視部
【図１】
2018120274.tif 000003
【図２】
2018120274.tif 000004
【図３】
2018120274.tif 000005
【図４】
2018120274.tif 000006
【図５】
2018120274.tif 000007
【図６】
2018120274.tif 000008