(57)【要約】【課題】  監視制御システムのデータ管理装置では、認証の際、ユーザにひもづいた情報の入力によりユーザ単位でアクセス権限を実施し、ユーザが担当する領域に対しては全ての権限が許容されていた。しかし、認証が完了したユーザに許される権限全てを与えることは端末の紛失時などにおいて情報流出のリスクが高い。【解決手段】  監視制御システムのデータ管理装置における情報要求者に対して、正当な情報要求者であるか否かを判断するとともに、正当な情報要求者であると判断した場合にのみ必要な情報を提供するとともに、予め定められた権限設定に従って監視制御システムの有するデータを提供する。【選択図】  図１
2015133025.tif 000002
【特許請求の範囲】
【請求項１】
広域を監視する監視制御システムに用いられ、当該監視制御システムの外部から前記監視制御システムに接続するユーザに対し、当該監視制御システムの有するデータを提供するデータ管理装置であって、
このデータ管理装置の制御時刻を管理する時刻管理部と、
認証に用いる情報を設定する認証情報設定部と、
前記認証に用いる情報を管理する認証情報管理部と、
設備の点検計画を設定する点検計画設定部と、
前記設備の点検計画の情報を管理する点検計画管理部と、
前記設備に対する前記ユーザの権限を設定する権限情報設定部と、
前記設備と前記ユーザの権限との対応を規定する情報を管理する権限情報管理部と、
前記監視制御システムの外部との接続の際に、前記認証情報管理部の情報を用いて認証を行う認証部と、
前記外部から接続するユーザに対し、前記時刻管理部が規定する時刻にもとづいて、前記点検計画管理部の情報を照合して前記ユーザの権限を判定する権限判定部と、
前記権限に応じた施設データを取得する施設データ取得部と、
個々の施設に関連した施設データの情報を管理する施設データ管理部と、
を備え、
前記権限判定部が、前記ユーザが正当であると判定した場合に、予め定められた権限設定に従って前記監視制御システムが有するデータを提供することを特徴とするデータ管理装置。
【請求項２】
前記認証情報設定部は、前記ユーザに対し複数の代替符号と、代替符号に対応する前記認証に用いる情報を割当てる認証情報設定割当部を有し、前記点検計画設定部は、前記代替符号に対し設備の点検計画を設定する点検計画設定割当部を有し、前記権限情報設定部は、前記設備に対する前記代替符号の権限を設定する権限情報設定割当部を有することを特徴とする請求項１に記載のデータ管理装置。
【請求項３】
前記施設データ取得部は、施設データの取得に加え施設データの変更が可能な施設データ取得変更部を有するとともに、
アクセスされるネットワークの種類を判定するネットワーク判定部を備えたことを特徴とする請求項１または請求項２に記載のデータ管理装置。
【請求項４】
外部からのリクエスト情報を転送する転送部と、
特定の施設データを管理する特定施設データ管理部と、
前記特定の施設データを前記特定施設データ管理部から取得する特定施設データ取得部と、
前記施設データ管理部から前記特定施設データ管理部に特定の施設データを反映するデータ反映部と、
を備えたことを特徴とする請求項１または請求項２に記載のデータ管理装置。
【請求項５】
外部からのリクエスト情報を転送する転送部と、
特定の施設データを管理する特定施設データ管理部と、
前記特定施設データ管理部から施設データを取得し変更する特定施設データ取得変更部と、
前記施設データ管理部と前記特定施設データ管理部との間で特定の施設データを反映するデータ反映部と、
前記特定施設データ管理部での前記特定の施設データを変更するタイミングと、前記特定の施設データの変更を反映させて前記施設データ管理部の施設データを変更するタイミン
グとを同期させるデータ反映同期部と、
を備えたことを特徴とする請求項３に記載のデータ管理装置。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、河川、ダム、プラント設備などの広域を監視するのに用いられる監視制御システムにおいて、システム外から内部システムに接続するユーザに対し、その権限に応じたデータを提供する設備であるデータ管理装置に関するものである。
【背景技術】
【０００２】
従来のシステム外部から接続する機器においては、アクセスキーを用いて内部装置による認証を実施し、同一ユーザに対しても外部接続と内部接続を峻別することで、アクセスできるリソースを変化させている(たとえば、特許文献１参照)。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００８−２３４２５６号公報
【特許文献２】特開２００１−２１６４００号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
従来の監視制御システムのデータ管理装置では、認証に際して、ユーザにひもづいた情報の入力によりユーザ単位でアクセス権限を実施していた。この方法では、ユーザが担当する領域に対しては全ての権限が許容されることになる。しかしながら、認証が完了したユーザに許される権限全てを与えることは、端末の紛失時などにおいて情報流出のリスクが高い。
【０００５】
この発明は上記のような課題を解決するためになされたものであり、情報システムにおける情報要求者に対して、正当な情報要求者であるか否かを判断するとともに、正当な情報要求者であると判断した場合にのみ必要な情報を提供することができる装置を得ることを目的とする。
【課題を解決するための手段】
【０００６】
本発明のデータ管理装置は、
広域を監視する監視制御システムに用いられ、当該監視制御システムの外部から前記監視制御システムに接続するユーザに対し、当該監視制御システムの有するデータを提供するデータ管理装置であって、
このデータ管理装置の制御時刻を管理する時刻管理部と、
認証に用いる情報を設定する認証情報設定部と、
前記認証に用いる情報を管理する認証情報管理部と、
設備の点検計画を設定する点検計画設定部と、
前記設備の点検計画の情報を管理する点検計画管理部と、
前記設備に対する前記ユーザの権限を設定する権限情報設定部と、
前記設備と前記ユーザの権限との対応を規定する情報を管理する権限情報管理部と、
前記監視制御システムの外部との接続の際に、前記認証情報管理部の情報を用いて認証を行う認証部と、
前記外部から接続するユーザに対し、前記時刻管理部が規定する時刻にもとづいて、前記点検計画管理部の情報を照合して前記ユーザの権限を判定する権限判定部と、
前記権限に応じた施設データを取得する施設データ取得部と、
個々の施設に関連した施設データの情報を管理する施設データ管理部と、
を備え、
前記権限判定部が、前記ユーザが正当であると判定した場合に、予め定められた権限設定に従って前記監視制御システムが有するデータを提供するものである。
【発明の効果】
【０００７】
情報システムにおける情報要求者に対して正当な情報要求者であるか否かを判断するとともに、正当な情報要求者であると判断した場合にのみ必要な情報を提供することができるため、情報漏えいによるリスクを低減することが可能となる。
【図面の簡単な説明】
【０００８】
【図１】本発明の実施の形態１によるデータ管理装置の一例を示す図である。
【図２】本発明の実施の形態１によるデータ管理装置の動作を説明するフロー図である。
【図３】本発明の実施の形態１による登録テーブルの内容の一例を示す図である。
【図４】本発明の実施の形態１における権限設定のイメージの一例を示す図である。
【図５】本発明の実施の形態２によるデータ管理装置の一例を示す図である。
【図６】本発明の実施の形態２による登録テーブルの内容の一例を示す図である。
【図７】本発明の実施の形態３によるデータ管理装置の一例を示す図である。
【図８】本発明の実施の形態３によるデータ管理装置の動作を説明するフロー図である。
【図９】本発明の実施の形態４によるデータ管理装置の一例を示す図である。
【図１０】本発明の実施の形態４によるデータ管理装置の動作を説明するフロー図である。
【図１１】本発明の実施の形態５によるデータ管理装置の一例を示す図である。
【図１２】本発明の実施の形態５によるデータ管理装置の動作を説明するフロー図である。
【発明を実施するための形態】
【０００９】
実施の形態１．
以下、この発明の実施の形態１について、図１〜図３を用いて説明する。
データ管理装置１は、外部機器９０１からリクエストを受け、認証完了後に内部データを提供する監視制御システムにおけるデータ管理のための装置である。
【００１０】
まず、図１を用いて、発明の実施の形態１に係るデータ管理装置１について説明する。図１のデータ管理装置１において、最下段に設置した機材情報管理部２１、人員情報管理部２２、施設情報管理部２３は、それぞれの名称に対応した認証や点検のためのマスタデータを設定する。まず、機材情報管理部２１は、点検者が点検に使うノートＰＣなど、データ管理装置１へ外部から接続する機器を管理する。また、人員情報管理部２２は、点検員等の人員を管理する。最後に、施設情報管理部２３は、点検対象となる施設の情報を管理する。これらの管理情報は、マスタデータ管理部２０１にて管理される。
【００１１】
続いて、認証情報設定部３１、点検計画設定部３２、権限情報設定部３３は、業務の必要性に応じて内容を変更するなど、運用時の動的な情報設定をする。ここで動的な情報設定とは、業務の必要性などに応じて点検計画テーブル等などのデータの内容が変更されうる状態に設定することを意味する。
この認証情報設定部３１は、点検者とその認証情報を設定する。設定された内容は認証情報管理部３０１に格納される。点検計画設定部３２は、点検対象施設と点検日時、また点検人員を設定する。設定された内容は、点検計画管理部３０２に設定される。権限情報設定部３３は点検者の権限レベルを設定する。たとえば、権限レベル１であれば対象設備の計測値のみ確認できる、権限レベル３であれば対象設備の制御情報まで確認できる、といったように権限レベルによって確認内容を制限できる。設定された内容は、権限情報管
理部３０３に設定される。また、各施設にひもづいた（関連づけられた）情報は施設データ管理部３０４に格納されている。
【００１２】
続いて、認証部４１は、外部接続の際に認証情報管理部３０１の情報を用いて認証を行う。権限判定部４２は、点検計画管理部３０２と権限情報管理部３０３の情報を用いて、認証者の権限を判定する。ここで、権限判定部４２で判定する権限とは、接続認証されたユーザに対してデータを提供可能かどうか判定する権限のことをいう。接続認証されたユーザが点検計画に存在し、さらに点検条件に合致する場合、データを提供する。また、施設データ取得部４３は、権限判定部４２の情報と施設データ管理部３０４のデータから、認証者に公開するデータを選別する。
【００１３】
インタフェース部５１は、外部機器からデータ管理装置１の施設データや認証情報データを取得するなど、外部と内部のデータを有線、もしくは無線でやりとりする。例えばインタフェース部にＷｅｂサーバ機能があり、外部機器からＨＴＴＰ接続するといった方法が挙げられるが、通信プロトコルに関しては特定のものを規定しない。
【００１４】
時刻管理部７１は、データ管理装置の時刻を規定する。時刻管理部７１によって規定される時刻は、権限判定に利用される。ここでの時刻についてはＮＴＰ（Network Time Protocol）を利用するなどして、データ管理装置が利用される地域の標準時から、ずれが少
なくなるよう（大きくても１秒程度）に設定されているものとする。
【００１５】
次に動作について、図１〜図３を用いて説明する。
まず、図２のマスタデータ登録Ｓ１１の動作について説明する。Ｓ１１では、図１のデータ管理装置１にて管理対象となるマスタデータ情報の管理を行う。ここでいう管理とは、たとえば機材が増えた場合はテーブルへの登録を実施すること、あるいは機材を廃棄する場合はテーブルから削除することなどを意味する。マスタデータ登録は、図１の機材情報管理部２１、人員情報管理部２２、施設情報管理部２３の３箇所で行う。
【００１６】
次に、図１の機材情報管理部２１では機材情報を登録する。図３の機材テーブルにこの登録された機材情報を示す。人員情報管理部２２では人員情報を登録する。図３の人員テーブルにこの登録された人員情報を示す。施設情報管理部２３では施設情報を登録する。図３の施設テーブルにこの登録された施設情報を示す。
【００１７】
続いて、図２の点検計画の設定Ｓ１２について説明する。Ｓ１２では、点検計画の設定を行う。点検計画の設定は図１の点検計画設定部３２で行われる。この点検計画設定部３２では、点検計画の内容を図１の点検計画管理部３０２に登録する。登録された点検計画の内容の一例を図３の点検計画テーブルに示す。
【００１８】
続いて、図２の認証情報の設定Ｓ１３について説明する。この認証情報の設定は、図１の認証情報設定部３１で行われる。この認証情報設定部３１では、点検ユーザとその認証情報の対応を設定する。ここで点検ユーザとは、点検を実施するユーザのことであり、本実施の形態１においては、図２のＳ１２にて人員テーブルに登録されている人員が割り当てられる。認証情報はデータ管理装置を使用する組織のセキュリティ運用によって異なるが、たとえばパスワード認証するとか、電子証明書によって認証する、といった認証方法は組織によって決められていることが前提である。点検ユーザと認証情報の対応関係について、その対応関係の内容を図１の認証情報管理部３０１に設定する。この設定内容を図３の認証テーブルに示す。なお、図３の認証テーブルでは認証情報としてパスワードを用いた例を記載しているが、認証情報として、証明書などを用いるなど一般的なユーザ認証の方法を用いてもよい。一般的なユーザ認証の方法とは、例えば特許文献２に示される、電子証明書を認証に用いる方法などがその例である。
【００１９】
続いて、図２の権限情報の設定Ｓ１４について説明する。この権限情報の設定は、図１の権限情報設定部３３で行われる。この権限情報設定部３３では、点検ユーザとその権限レベルの対応を設定する。点検内容によって必要な権限レベルが異なることがあるため、点検ユーザには必要以上の権限を与えない。点検ユーザと権限レベルの対応関係の内容を図１の権限情報管理部３０３に設定する。また、この設定内容の一例を図３の権限テーブルに示す。
【００２０】
次に、外部機器とインタフェース部の接続時について以降説明する。
図２の接続待ち受けＳ２９では、外部機器からの接続を待ち受ける状態を継続する。
外部機器９０１からデータ管理装置１に接続があった際、接続待ち受けは終了し、図２の外部接続の認証Ｓ２１が行われる。これは、外部機器からデータ管理装置１に渡されるユーザＩＤと認証情報について、図１の認証部４１が認証情報管理部３０１の情報を利用して、正当なものであるか否かを判断するものである。外部機器が送信してきたユーザＩＤと認証情報の組み合わせに対して、図１の認証情報管理部３０１の認証テーブルに同一の組み合わせがある場合は正当なものであり、それ以外は正当でないものとして判断される。正当でないと判断された場合は図２に示すように、接続を拒否し、接続待ち受けＳ２９に戻る。正当であると判断された場合は、次のステップに進み、図２の権限判定Ｓ２２を実行する。
【００２１】
この権限判定Ｓ２２では、認証されたユーザに対して、どこまでのアクセスを許可するか判断するものである。この権限判定は図１の権限判定部４２で行われる。
この権限判定部４２において、図１の点検計画管理部３０２に存在する点検計画テーブルの内容を確認し、該当するユーザに対応する点検対象施設ＩＤがあり、かつ点検条件が正当である場合は次ステップに進む。ここで、点検条件とは点検日時などの情報である。ここで、点検条件による判断の一例を示す。点検条件が“２０１３／０９／１１  １０：００  −  １７：００”となっていた場合、２０１３年９月１１日の１０時から１７時までの接続であれば正当、それ以外であれば正当でない、との判断となる。ここでの時刻判定は、図１の時刻管理部７１の時刻を基準として行う。なお点検対象施設ＩＤがない、または点検条件が正当でない場合は、そのユーザにはデータの提供を拒否し、接続待ち受けＳ２９に戻る（図２参照）。
【００２２】
続いて、図２のデータ提供Ｓ２３について説明する。権限判定が完了したユーザからデータ取得要求があった際には、図１の施設データ取得部４３は、予め定められた権限設定に従って図１の施設データ管理部３０４の施設データを提供する。この施設データにおいては、機能や部品やデータごとに権限レベルが予め設定されており、たとえば権限レベルが一定以下のユーザには、ある権限以上に設定されたデータを提供しない、ある機能の利用を制限する、などである。具体的には、図４にその一例を示すように、権限設定された人員は、自身の権限レベル以下に設定されたデータや機能を利用可能となる。なお、データや機能に対する権限設定は事前に実施されているものとする。
【００２３】
このようにして、点検計画設定部３２、権限情報設定部３３、により点検条件を設定し、権限判定部４２により点検条件に基づいた判断を実施するようにしたので、点検計画に沿った正当なユーザのみに必要十分なデータを提供可能となるため、情報漏えいによるリスク低減の効果を得る。なお、正当権限があるにも関わらず、データ入力ミスなどで権限なしと判定されるようなことはない。ここでデータ入力ミスとは、ユーザがパスワードを間違えて入力することであり、一般的にＰＣログインする際のパスワード間違いと同等の対応としている。具体例を説明すると、「５回入力したら１０分間ロック」において、この回数や時間は制限するものではない（正当か否かを判断する対象でない）ので、これらの入力を間違えても権限なしと判定されるようなことはない。
【００２４】
実施の形態２．
本実施の形態２について、図５、図６を用いて説明する。
上記実施の形態１では、点検計画に沿ったユーザのみに必要十分なデータを提供可能としたが、図５に示すように、認証情報設定割当部３４、点検計画設定割当部３５、権限情報設定割当部３６を設け、また認証情報管理部３０１、点検計画管理部３０２、権限情報管理部３０３において、図６に示すように、点検計画テーブル、認証テーブル、および権限テーブルを変更し、接続用の人員ＩＤ（代替符号と同じ意味。以下同様）にユーザＩＤを対応させるようにし、権限割り当てと点検計画は人員ＩＤにより実現することも可能である。
【００２５】
このようにすることで、所定のユーザに対して複数の人員ＩＤ割り当てが可能となり、同一点検者にて施設ごとに権限を変更することができるため、情報漏えいによるリスクをさらに低減することが可能となる。図２と比較して動作フロー上の相違点は無いが、認証情報の設定Ｓ１３における点検ユーザとして、本実施の形態２では認証テーブルの人員ＩＤが割り当てられている。
【００２６】
実施の形態３．
本実施の形態３について、図７を用いて説明する。
上記実施の形態１や２の場合では点検計画に沿ったユーザのみに必要十分なデータを提供する場合について述べたが、図７に示すようにネットワーク判定部６１を設け、外部機器９０１がインターネット等の外部ネットワークからの接続であるか内部ネットワークからの接続であるかを判断するようにし、さらに施設データ取得部４３の代わりに、データ取得のみでなくデータ変更も可能とした施設データ取得変更部４４を設置することも可能である。
【００２７】
このようにすることで、内部ネットワークのような信頼できるネットワークからの接続においてデータ変更が可能となり、点検対象施設のデータを遠隔地から変更することができることによるユーザの移動コスト低減などの効果を得る。
【００２８】
図８に動作フローを示す。実施の形態１、実施の形態２と異なる箇所は、権限判定Ｓ２２の後にネットワーク判定Ｓ２８にて、社内ネットワーク等の信頼できるネットワークからの接続かどうかを判定する。判定の結果、信頼できるネットワークであったとすると、Ｓ２７において、外部機器９０１へのデータ提供に加え、外部機器９０１からのデータ変更を許可する。信頼できないネットワークであれば、Ｓ２３において、データ提供のみとし（この場合、提供するデータは、実施の形態１、および実施の形態２で説明した「データ提供」のデータと同じである。「データ提供拒否」はしないが、データの変更はできない。）、データ変更は許可しない。ここで、信頼できるネットワークの判断に関しては、信頼できる接続元アドレスのリストを事前に作成して、外部接続機器の接続元アドレスが当該リストに存在すれば信頼できるものとして判断する、というのが一つの方法である。接続アドレスとしてＩＰアドレスを用いた場合を例に説明すると、信頼できる接続元アドレスとしては、例えば自社に割り当てられているＩＰアドレスの一覧や、自部門に割り当てられているＩＰアドレスの一覧などを利用する。
【００２９】
実施の形態４．
本実施の形態４について、図９を用いて説明する。
上記実施の形態１、２ではデータ管理装置１において外部機器へのデータ提供を実現する場合について述べたが、図９に示すように、データ管理装置１においては、データ反映部４６と転送部６２を設け、データ提供システム２（図中一点鎖線で囲んだ所）においては、特定施設データ取得部４５と特定施設データ管理部３０５を設けるとともに、特定施設
の点検実施前に特定施設データをデータ反映部４６にてデータ提供システム２に移設し、外部機器９０１がデータ管理装置１のインタフェース部５１に接続し特定施設のデータにアクセスすることがわかった時点で、データ提供システム２にリクエストを転送し、データ提供システム２から当該特定施設のデータの取得をすることもできる。
【００３０】
このようにすることで、データ管理装置１の施設データ管理部に対するデータ提供の処理負荷を低減させ、より広域での監視制御を同等の処理時間で対応しうる効果を得る。なお、図９のデータ管理装置１においては、実施の形態１、２で説明しなかった部分のみ記載しており、その他については、実施の形態１、２と同じであるので図９への記載を省略するとともに、ここでの詳しい説明は省略する。
【００３１】
動作フローとしては、図１０に示すようにデータ反映Ｓ１９と転送判定・転送Ｓ２６が追加されている。データ反映Ｓ１９では、施設データ管理部３０４から、例えば遠隔地などに設置されたデータ提供システム２における特定施設データ管理部に特定施設のデータを反映する。転送判定・転送Ｓ２６では、点検ユーザが点検する対象施設のデータを保持しているデータ提供システム２へリクエストを転送する。外部機器は次ステップのデータ提供Ｓ２３にて、特定施設データ管理部３０５から所望のデータを取得するようになる。
【００３２】
実施の形態５．
本実施の形態５について、図１１を用いて説明する。
上記実施の形態３ではデータ管理装置１において、外部機器へのデータ提供、また信頼できるネットワークからの接続に対し外部機器からのデータ変更を実現する場合について述べた。本実施の形態５では、図１１に示すように、データ管理装置１に、新たにデータ反映部４６とデータ反映同期部４８と転送部６２を設けるとともに、データ提供システム２（図中の一点鎖線で囲んだ所）を構成する要素である特定施設データ取得変更部４７と特定施設データ管理部３０５とを新たに設ける。そして、特定施設の点検実施前に特定施設データをデータ反映部４６によりデータ提供システム２に移設する。そして、外部機器９０１がデータ管理装置１のインタフェース部５１に接続して特定施設のデータにアクセスすることがわかった時点で、データ提供システム２にリクエストを転送し、データ提供システム２からデータを取得して当該データに関する変更を行う。
【００３３】
またデータ反映同期部４８によって、特定施設データ管理部３０５と施設データ管理部３０４間にて、特定施設データ管理部３０５のデータ変更時点から遅滞なく、データ変更を同期させ、特定施設データ管理部３０５にて変更されたデータをデータ管理装置１の施設データ管理部３０４に反映することを可能とした（図１１に示すように、データ反映部４６とデータ反映同期部４８は、データ管理装置１とデータ提供システム２に各々セットで存在する。データ管理装置１とデータ提供システム２の間で同期を取るために必要だからである）。
【００３４】
このようにしたことで、データ管理装置１の施設データ管理部に対するデータ提供・変更の処理負荷を低減させ、より広域での監視制御を同等の処理時間で対応しうる効果を得る。なお、図１１のデータ管理装置１においては、実施の形態３で説明しなかった部分のみ記載しており、その他については実施の形態３と同じであるので、この図への詳しい記載とここでの対応する説明は省略する。
【００３５】
動作フローとしては、図１２に示すように、実施の形態４の動作フローに加え、データ提供・変更Ｓ２７のステップがデータ提供Ｓ２３のステップに代わって設けられ、データ同期しているか否かの判断ステップが新たに追加される。ここで、データ同期していると判断された場合には、動作は完了する。一方、データ同期していないと判断された場合には、データ提供・変更Ｓ２７のステップに戻る。なお、本発明は、その発明の範囲内にお
いて、各実施の形態を自由に組み合わせたり、各実施の形態を適宜、変形、省略することが可能である。
【符号の説明】
【００３６】
１  データ管理装置、２１  機材情報管理部、２２  人員情報管理部、２３  施設情報管理部、３１  認証情報設定部、３２  点検計画設定部、３３  権限情報設定部、４１  認証部、４２  権限判定部、４３  施設データ取得部、５１  インタフェース部、７１  時刻管理部、２０１  マスターデータ管理部、３０１  認証情報管理部、３０２  点検計画管理部、３０３  権限情報管理部、３０４  施設データ管理部、９０１  外部機器。
【図１】
2015133025.tif 000003
【図２】
2015133025.tif 000004
【図３】
2015133025.tif 000005
【図４】
2015133025.tif 000006
【図５】
2015133025.tif 000007
【図６】
2015133025.tif 000008
【図７】
2015133025.tif 000009
【図８】
2015133025.tif 000010
【図９】
2015133025.tif 000011
【図１０】
2015133025.tif 000012
【図１１】
2015133025.tif 000013
【図１２】
2015133025.tif 000014