(57)【要約】【課題】既設の制御システムの大幅な変更またはバージョンアップをせずに、セキュリティ性能を向上させられるアクセス制御装置の提供する。【解決手段】アクセスプロトコルを解析し、操作対象物および操作に関する情報を抽出するプロトコル解析部１１と、ユーザー情報と認証データとに基づいて、ユーザーを特定するユーザー認証部１２と、抽出された操作対象物および操作に関する情報とアクセス制御データとに基づいて、特定されたユーザーが、操作対象物に対する操作を行う権限を有するかを判定し、権限を有する場合にはアクセスを許可し、権限を有さない場合にはアクセスを許可しないアクセス制御部１４とを備える。【選択図】図１
2015201021.tif 000002
【特許請求の範囲】
【請求項１】
制御システムに対するユーザーからのアクセスを制御するアクセス制御装置であり、
前記アクセスのためのアクセスプロトコルには、前記制御システムにおける少なくとも１つの操作対象物、および、当該操作対象物に対する少なくとも１つの操作に関する情報が含まれ、
前記ユーザーから入力された前記アクセスプロトコルを解析し、前記操作対象物および前記操作に関する情報を抽出するプロトコル解析部と、
前記ユーザーから入力された、前記アクセスを行う前記ユーザーを特定するための情報であるユーザー情報を受け付ける受付部と、
前記ユーザー情報に対応する前記ユーザーを特定する認証データを記憶する認証データベースと、
前記制御システムにおける各前記操作対象物について、当該操作対象物に対し前記操作を行う権限を有するユーザーを特定するアクセス制御データを記憶するアクセス制御データベースと、
前記受付部において受け付けられた前記ユーザー情報と前記認証データとに基づいて、前記ユーザーを特定するユーザー認証部と、
前記プロトコル解析部において抽出された前記操作対象物および前記操作に関する情報と前記アクセス制御データとに基づいて、前記ユーザー認証部において特定された前記ユーザーが、前記プロトコル解析部において抽出された前記操作対象物に対する前記操作を行う権限を有するユーザーであるか否かを判定し、前記権限を有するユーザーである場合には前記アクセスを許可し、前記権限を有さないユーザーである場合には前記アクセスを許可しないアクセス制御部とを備える、
アクセス制御装置。
【請求項２】
前記制御システムの調整操作のための調整要求プロトコルには、前記制御システムにおける少なくとも１つの調整対象物に関する情報が含まれ、
前記プロトコル解析部は、前記ユーザーから入力された前記調整要求プロトコルを解析し、前記調整対象物に関する情報を抽出し、
前記アクセス制御データベースは、前記制御システムにおける各前記調整対象物について、当該調整対象物に対し前記調整操作を行う権限を有するユーザーを特定するデータを記憶し、
前記アクセス制御部は、前記プロトコル解析部において抽出された前記調整対象物に関する情報と前記アクセス制御データとに基づいて、前記ユーザー認証部において特定された前記ユーザーが、前記プロトコル解析部において抽出された前記調整対象物に対する前記調整操作を行う権限を有するユーザーであるか否かを判定し、前記権限を有するユーザーである場合には前記アクセスを許可し、前記権限を有さないユーザーである場合には前記アクセスを許可しない、
請求項１に記載のアクセス制御装置。
【請求項３】
前記アクセス制御部は、前記調整操作に対応する、前記調整操作を終了するための調整終了プロトコルが一定時間以上前記プロトコル解析部に入力されない場合、管理者権限による前記調整操作の終了を許可する、
請求項２に記載のアクセス制御装置。
【請求項４】
前記アクセス制御データベースは、前記プロトコル解析部における前記ユーザーからのアクセス履歴についても記憶する、
請求項１から３のうちのいずれか１項に記載のアクセス制御装置。
【請求項５】
前記認証データベースは、少なくとも、ユーザー名およびパスワードを記憶する、
請求項１から４のうちのいずれか１項に記載のアクセス制御装置。
【請求項６】
前記認証データベースは、前記受付部における前記ユーザーからのアクセス履歴についても記憶する、
請求項１から５のうちのいずれか１項に記載のアクセス制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、制御システムに対するアクセスの制御技術に関する。
【背景技術】
【０００２】
近年、社会インフラを支える制御システムに対するサイバーセキュリティの脅威が増大しつつある。そこで、当該制御システムのセキュリティを確保するために、ＩＥＣ６２４４３等の、制御システムのセキュリティ規格が制定され、また、同規格に準拠した製品が提供されるようになった。そのような製品を使用して、セキュリティ対策を施した制御システムも構築されつつある（特許文献１）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１１−１００４４３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
既設の制御システムを上記セキュリティ規格に適合させるためには、特に脆弱なプロトコルの刷新のために、エンジニアリング端末またはプログラマブルコントローラの更新が不可欠である。このため、既設の制御システムのセキュリティ対応には多大の時間および工数を必要とすることになり、なかなか対策が進まないという問題があった。
【０００５】
よって、既設の制御システムの大幅な変更またはバージョンアップをせずに、わずかな装置の追加だけでセキュリティ性能を向上させられる技術が求められている。
【０００６】
本発明は、上記のような問題を解決するためになされたものであり、既設の制御システムの大幅な変更またはバージョンアップをせずに、わずかな構成の追加だけでセキュリティ性能を向上させられるアクセス制御装置を提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明の一態様に関するアクセス制御装置は、制御システムに対するユーザーからのアクセスを制御するアクセス制御装置であり、前記アクセスのためのアクセスプロトコルには、前記制御システムにおける少なくとも１つの操作対象物、および、当該操作対象物に対する少なくとも１つの操作に関する情報が含まれ、前記ユーザーから入力された前記アクセスプロトコルを解析し、前記操作対象物および前記操作に関する情報を抽出するプロトコル解析部と、前記ユーザーから入力された、前記アクセスを行う前記ユーザーを特定するための情報であるユーザー情報を受け付ける受付部と、前記ユーザー情報に対応する前記ユーザーを特定する認証データを記憶する認証データベースと、前記制御システムにおける各前記操作対象物について、当該操作対象物に対し前記操作を行う権限を有するユーザーを特定するアクセス制御データを記憶するアクセス制御データベースと、前記受付部において受け付けられた前記ユーザー情報と前記認証データとに基づいて、前記ユーザーを特定するユーザー認証部と、前記プロトコル解析部において抽出された前記操作対象物および前記操作に関する情報と前記アクセス制御データとに基づいて、前記ユーザー認証部において特定された前記ユーザーが、前記プロトコル解析部において抽出された前記操作対象物に対する前記操作を行う権限を有するユーザーであるか否かを判定し、前記権限を有するユーザーである場合には前記アクセスを許可し、前記権限を有さないユーザーである場合には前記アクセスを許可しないアクセス制御部とを備える。
【発明の効果】
【０００８】
本発明の上記態様によれば、既設の制御システムの大幅な変更またはバージョンアップをせずに、わずかな構成の追加だけで、セキュリティ性能を向上させることができる。
【０００９】
本発明の目的、特徴、局面、および利点は、以下の詳細な説明と添付図面とによって、より明白となる。
【図面の簡単な説明】
【００１０】
【図１】実施形態に関する制御システム、アクセス制御装置、および、エンジニアリング端末の構成を概念的に示す図である。
【図２】実施形態に関する制御システム、アクセス制御装置、および、エンジニアリング端末の構成を概念的に示す図である。
【図３】実施形態に関する制御システム、アクセス制御装置、および、エンジニアリング端末の構成を概念的に示す図である。
【図４】実施形態に関する制御システム、アクセス制御装置、および、エンジニアリング端末のハードウェア構成を例示する図である。
【発明を実施するための形態】
【００１１】
以下、添付の図面を参照しながら実施形態について説明する。以下の説明では、同様の構成要素には同じ符号を付して図示し、それらの名称および機能も同様のものとする。よって、それらについての詳細な説明を省略する場合がある。
【００１２】
＜第１実施形態＞
＜構成＞
図１は、本実施形態に関する制御システム、アクセス制御装置としてのセキュリティゲートウェイ、および、エンジニアリング端末の構成を概念的に示す図である。
【００１３】
制御システムは、プラントバス２２、プログラマブルコントローラ２３、および、オペレータステーション２４を備える。
【００１４】
プラントバス２２は、工場またはプラントにおいて制御装置または操作卓を接続し、プラント稼働状況の監視または制御のための情報の通信を行うネットワークである。プラントバスは、一般的なネットワークに比べて、実時間性、可用性および耐故障性に優れる。
【００１５】
プログラマブルコントローラ２３は、プログラムで定められた順序または条件等に従って、設備または機械の動作を制御する装置である。位置、速度または連続量を制御したり、装置間で情報交換したりすることも可能である。プログラマブルロジックコントローラともいう。
【００１６】
オペレータステーション２４は、プラントの運手員が、プラント状態を監視および制御機器を操作するための監視制御端末である。
【００１７】
エンジニアリング端末２０は、制御システムの遠隔地にある端末であり、操作画面２５を有する。エンジニアリング端末２０は、インターネット２１等を介して、操作画面２５から、制御システムのプログラマブルコントローラ２３およびオペレータステーション２４にアクセスできる。
【００１８】
インターネット２１と制御システムとを接続する場合、ファイアウォール（ｆｉｒｅｗａｌｌ）または侵入検知システム（ｉｎｔｒｕｓｉｏｎ  ｄｅｔｅｃｔｉｏｎ  ｓｙｓｔｅｍ）を介して接続することで、制御システムのセキュリティ性を高めることが一般的に行われている。本実施形態におけるセキュリティゲートウェイ１０は、ファイアウォールまたは侵入検知システムと併用され、インターネット２１とプラントバス２２との接続部分に設置される。
【００１９】
通常、エンジニアリング端末２０による制御システムの操作とは、プログラマブルコントローラ２３が処理するプログラム２７、システム構成またはアラーム設定等のパラメータ２８、制御システムの入出力または内部カウンタ等のデータ２９（タグデータ）への読み書きである。
【００２０】
特に制御システムの場合、データは計測器または調整器ごとに「タグ」と呼ばれるデータ構造にまとめられており、エンジニアリング端末２０による制御システムの操作は、タグ単位で行われることが一般的である。
【００２１】
アクセス制御装置としてのセキュリティゲートウェイ１０は、プロトコル解析部１１、ユーザー認証部１２、認証データベース１３、アクセス制御部１４およびアクセス制御データベース１５を備える。認証データベース１３およびアクセス制御データベース１５は、例えば、ハードディスクまたはメモリ等によって構成される。
【００２２】
プロトコル解析部１１は、ユーザーによって操作画面２５から入力される制御システムへのアクセスプロトコルを解析し、どのプログラマブルコントローラ２３またはオペレータステーション２４の、どのプログラム２７、パラメータ２８、データ２９およびタグデータに対して、どのような操作（読み出しまたは書き込み等）をするのかの情報を得る。すなわち、どの操作対象物に対して、どのような操作をするためのアクセスなのかについての情報を得る。そして、プロトコル解析部１１は、そのアクセスプロトコルを制御システムに通してもよいかをアクセス制御部１４に問い合わせるため、解析結果をアクセス制御部１４に送る。
【００２３】
アクセス制御部１４は、アクセス制御データベース１５に記憶された、どのユーザーがどのデータ等を操作できるかをあらかじめ定義したデータ、すなわち、制御システムにおける各操作対象物について、当該操作対象物に対し操作を行う権限を有するユーザーを特定するデータであるアクセス制御データを参照し、プロトコル通過の可否を判定する。
【００２４】
プロトコルは、インターネット２１上ではＴＣＰ／ＩＰプロトコルを用い、そのペイロード部分に制御システム固有のプロトコル、例えばＣＣ−ＬｉｎｋまたはＦＬｎｅｔ等のプロトコルが格納される。プラントバス２２上では、制御システム固有のプロトコルを用いて、プログラマブルコントローラ２３またはオペレータステーション２４にアクセスする。
【００２５】
プロトコル解析部１１は、インターネット２１上およびプラントバス２２上の両方のプロトコルを解析し、特に制御プロトコルに関しては、どの計器または制御機器に対して、どのようなコマンドまたは操作を行っているのかまで解析する。
【００２６】
ただし、既存の制御システムへのアクセスプロトコルは、ユーザー情報を持たない場合が多い。その場合、アクセス制御部１４は、操作画面２５を操作しているユーザーが誰なのか、そのユーザー情報を別途得る必要がある。
【００２７】
そこで、ユーザー認証部１２が、エンジニアリング端末２０に対して認証ダイアログ２６を表示させ、制御システムへのアクセスを行うユーザーを特定するための情報であるユーザー情報、具体的にはユーザーＩＤおよびパスワードの入力を要求する。このユーザーＩＤおよびパスワードは、予め認証データベース１３に登録されているものとする。
【００２８】
入力されたユーザーＩＤ（ユーザー名）およびパスワードは、ユーザー認証部１２において、認証データベース１３に登録されているユーザーＩＤおよびパスワードと照合される。照合結果は、ユーザー認証部１２からアクセス制御部１４に送られ、アクセス制御部１４においてプロトコル通過の可否の判定に使われる。
【００２９】
ユーザー認証部１２は、ひとたび認証に成功した時からの経過時間である認証有効期間も管理する。例えば、認証成功してから（すなわち制御システムにログインしてから）１時間後に強制的に無効化（強制ログアウト）、あるいはプロトコル通過が１０分間途絶えたら無効化等の方法によって管理する。
【００３０】
なお、セキュリティ規格には、パスワードの長さまたは強度（文字種類の数）、認証失敗時のリトライ回数、および、失敗時の措置（例えばロックアウト等）等のセキュリティ機能について規定されており、ユーザー認証部１２は、これらのチェックまたは制御も行う。これらのセキュリティ機能は、例えばＩＥＣ６２４４３−４−２に記載されている。
【００３１】
アクセス制御部１４は、プロトコル解析部１１において抽出された操作対象物および操作に関する情報と、アクセス制御データとを参照する。そして、アクセス制御部１４は、ユーザー認証部１２において特定されたユーザーが、抽出された操作対象物に対する操作を行う権限を有するユーザーであるか否かを判定する。そして、アクセス制御部１４は、権限を有するユーザーである場合にはアクセスを許可し、権限を有さないユーザーである場合にはアクセスを許可しない。
【００３２】
抽出された操作対象物に対する操作を行う権限を有するユーザーである場合、プロトコル解析部１１は、アクセス制御部１４の判断に従い、当該プロトコルを操作対象のプログラマブルコントローラ２３またはオペレータステーション２４に中継する。一方、抽出された操作対象物に対する操作を行う権限を有するユーザーでない場合、プロトコル解析部１１は、アクセス制御部１４の判断に従い、プロトコル解析部１１は当該プロトコルを破棄する。そして、プロトコル解析部１１は、エンジニアリング端末２０に対しプロトコルエラーの信号を返す。
【００３３】
セキュリティゲートウェイ１０の認証データベース１３およびアクセス制御データベース１５は、専用設定ツールにより設定される。セキュリティリスクを回避するため、専用設定ツールは遠隔地のエンジニアリング端末２０には搭載せず、制御システムからのみ操作可能とする。
【００３４】
本発明は、セキュリティ規格が要求する保護対象、すなわちプログラマブルコントローラのプログラム、パラメータ、データおよびアクチュエータへのアクセス制御を管理するセキュリティゲートウェイを、エンジニアリング端末と制御システムとの間に設置する。そして、エンジニアリング端末による制御システム内の保護対象の操作時に、ユーザーが対象へのアクセス権限（操作権限）があるか否かを判定し、プロトコルの通過の可否を判定する。
【００３５】
また、既存の制御システムへのアクセスプロトコルは、ユーザー情報を持たない場合が多い。そのため、セキュリティゲートウェイは、エンジニアリング端末に対しユーザー情報に関する追加の認証を行うためのダイアログ（認証ダイアログ２６）を表示させ、ユーザー認証を行う。セキュリティゲートウェイは、エンジニアリング端末から入力されたユーザー情報を解析し、必要ならば追加のユーザー認証を行い、そのユーザーによる対象へのアクセス（操作）の可否を判定する。
【００３６】
以上のように、セキュリティ規格が要求するユーザーごとの操作対象別の操作の可否を、セキュリティゲートウェイがまとめて判定することで、既存の制御システムにセキュリティゲートウェイを追加するだけで、規格に適合したセキュリティ機能を有する制御システムを得ることができる。
【００３７】
ここで、図４において、図１に示された制御システム、セキュリティゲートウェイ、および、エンジニアリング端末についてのハードウェア構成を例示する。
【００３８】
コンピュータ端末１２０は、図１におけるエンジニアリング端末２０に対応する。
【００３９】
セキュリティゲートウェイ１１０は、図１におけるセキュリティゲートウェイ１０に対応する。
【００４０】
プログラマブルコントローラ１２３は、図１におけるプログラマブルコントローラ２３に対応する。
【００４１】
コンピュータ端末１２４は、図１におけるオペレータステーション２４に対応する。
【００４２】
＜効果＞
以下に、本実施形態による効果を例示する。
【００４３】
本実施形態によれば、アクセス制御装置が、プロトコル解析部１１と、受付部としての認証ダイアログ２６と、認証データベース１３と、アクセス制御データベース１５と、ユーザー認証部１２と、アクセス制御部１４とを備える。
【００４４】
プロトコル解析部１１は、ユーザーから入力されたアクセスプロトコルを解析し、操作対象物および操作に関する情報を抽出する。アクセスのためのアクセスプロトコルには、制御システムにおける少なくとも１つの操作対象物、および、当該操作対象物に対する少なくとも１つの操作に関する情報が含まれる。
【００４５】
認証ダイアログ２６では、ユーザーから入力された、アクセスを行うユーザーを特定するための情報であるユーザー情報が入力される。
【００４６】
認証データベース１３は、ユーザー情報に対応するユーザーを特定する認証データを記憶する。
【００４７】
アクセス制御データベース１５は、制御システムにおける各操作対象物について、当該操作対象物に対し操作を行う権限を有するユーザーを特定するアクセス制御データを記憶する。
【００４８】
ユーザー認証部１２は、認証ダイアログ２６において受け付けられたユーザー情報と認証データとに基づいて、ユーザーを特定する。
【００４９】
アクセス制御部１４は、プロトコル解析部１１において抽出された操作対象物および操作に関する情報とアクセス制御データとに基づいて、ユーザー認証部１２において特定されたユーザーが、プロトコル解析部１１において抽出された操作対象物に対する操作を行う権限を有するユーザーであるか否かを判定し、権限を有するユーザーである場合にはアクセスを許可し、権限を有さないユーザーである場合にはアクセスを許可しない。
【００５０】
このような構成によれば、既設の制御システムの大幅な変更またはバージョンアップをせずに、わずかなセキュリティ装置（アクセス制御装置）の追加だけで、セキュリティ性能を向上させることができる。具体的には、ユーザー、操作対象物および操作ごとに細かなアクセス制御が可能となる。また、アクセスプロトコルがユーザー情報を含んでいない場合でも、追加のユーザー認証を行うため、アクセスの可否と判断できる。
【００５１】
＜第２実施形態＞
＜構成＞
以下では、上記実施形態で説明した構成と同様の構成については同じ符号を付して図示し、その詳細な説明については適宜省略する。
【００５２】
図２は、本実施形態に関する制御システム、セキュリティゲートウェイおよびエンジニアリング端末の構成を概念的に示す図である。
【００５３】
アクセス制御データベース１５ａは、プロトコル解析部１１における外部からのリモートアクセス操作について記録を残す。特に、リモートアクセス操作があった時の時刻、リモートアクセス操作があったエンジニアリング端末２０のＩＰアドレス、リモートアクセス操作を行ったユーザー名、入力されたアクセスプロトコルの種類あるいはコマンドの種類、操作対象となった計器または制御機器、および、アクセス制御の可否について記録する。
【００５４】
この記録を分析することで、制御システムへの攻撃者の発見、あるいは追跡が可能となる。攻撃者に対象制御システムの操作経験がなければ、攻撃者はリモートアクセス操作においてパスワードの入力失敗、または、存在しない制御機器を対象としたアクセス等の不正なエラーを犯すはずである。これらの不正なエラーを把握することで、攻撃あるいは侵入の兆候を知ることができる。
【００５５】
認証データベース１３ａは、認証ダイアログ２６における外部からのリモートアクセスに関するユーザー認証についての記録を残す。特に、リモートアクセス操作があった時の時刻、リモートアクセス操作があったエンジニアリング端末２０のＩＰアドレス、リモートアクセス操作を行ったユーザー名、入力されたパスワード、バックスペースの入力、および、認証結果の可否について記録する。
【００５６】
攻撃者は、他者になりすましてパスワードを入力しようとしても、打ち慣れていないので間違い、やり直しが必要となる場合が多い。その場合、バックスペースを入力したりパスワードを再入力したりすることが多い。これらの入力状況と認証結果とを記録しておくことで、なりすましの兆候を知ることができる。
【００５７】
すなわち、本実施形態は、第１実施形態のアクセス制御およびユーザー認証において、その認証状況を記録することで、攻撃の発見あるいは侵入の兆候を見出すことを目的とする。
【００５８】
これらの記録は、セキュリティゲートウェイ１０ａに直結あるいはインターネット接続されたエンジニアリング端末２０から、内容を確認することができる。あるいは、認証エラーが検出された場合に、セキュリティゲートウェイ１０ａの表示部に通知することができる。なお、セキュリティ対策としての侵入検知は侵入検知システム（ＩＤＳ）と呼ばれる装置によって行われることが一般的であり、本実施形態ではＩＤＳに提供するリモートアクセスおよび認証の記録を残すところまでについて述べている。
【００５９】
＜効果＞
以下に、本実施形態による効果を例示する。
【００６０】
本実施形態によれば、アクセス制御データベース１５ａは、プロトコル解析部１１におけるユーザーからのアクセス履歴についても記憶する。
【００６１】
このような構成によれば、制御システムへの攻撃者の発見、あるいは追跡が可能となる。そして、攻撃あるいは侵入の兆候を把握することで、必要となる対策を講じることができる。
【００６２】
また、本実施形態によれば、認証データベース１３ａは、認証ダイアログ２６におけるユーザーからのアクセス履歴についても記憶する。
【００６３】
このような構成によれば、他社になりすまして制御システムへ攻撃しようとする者の発見、あるいは追跡が可能となる。そして、攻撃あるいは侵入の兆候を把握することで、必要となる対策を講じることができる。
【００６４】
＜第３実施形態＞
＜構成＞
以下では、上記実施形態で説明した構成と同様の構成については同じ符号を付して図示し、その詳細な説明については適宜省略する。
【００６５】
図３は、本実施形態に関する制御システム、セキュリティゲートウェイおよびエンジニアリング端末の構成を概念的に示す図である。
【００６６】
図３に示されたプログラマブルコントローラ２３ｂおよびオペレータステーション２４ｂにおける、データ２９ｂおよびタグデータのタグデータは、タグデータが表現する計器または制御機器がメンテナンス中であることを意味するデータフラグである「札掛けフラグ」を内包している。
【００６７】
札掛けフラグは、現場のメンテナンスの場合だけでなく、オペレータステーション２４あるいはエンジニアリング端末２０により、タグデータ内の設定値等を設定する場合にも、アラームの誤発または操作ミスを回避するために設定される。札掛けフラグが設定された札掛け中の計器または札掛け中の制御機器はメンテナンス作業者以外が操作することのないよう、プラント運転のルールが規定されており、該当機器への意図しない設定操作は回避される。
【００６８】
しかし、エンジニアリング端末２０からのセキュリティ脅威は、札掛け中の計器または札掛け中の制御機器に対しても攻撃を加えるであろう。そこで、タグデータにおける札掛けフラグの設定については権限を持つユーザーのみが可能であり、札掛け中は札掛けフラグの設定を行ったユーザーのみが値の書き込みおよび札掛けフラグの解除を行う、という一般的なアクセス制御を提供しなければならない。
【００６９】
アクセス制御データベース１５ｂには、どのユーザーがどのタグデータについて札掛け可能であるか、すなわち、各調整対象物について、当該調整対象物に対し調整操作を行う権限を有するユーザーを特定するデータを予め登録しておく。札掛け要求のプロトコルである調整要求プロトコルに対し、アクセス制御部１４ｂは、ユーザー認証部１２からのユーザー情報を得て、そのユーザーが該当タグデータに対して札掛け可能か否かを判定する。すなわち、アクセス制御部１４ｂは、プロトコル解析部１１において抽出された調整対象物に関する情報とアクセス制御データとに基づいて、ユーザー認証部１２において特定されたユーザーが、調整対象物に対する調整操作を行う権限を有するユーザーであるか否かを判定する。そして、アクセス制御部１４ｂは、すでに該当タグデータが札掛け中であれば、要求に対しプロトコル解析部１１を介してエラーを返す。該当タグデータが札掛け中でなく、かつ、当該ユーザーが権限を有するユーザーである場合にはアクセスを許可する。該当タグデータが札掛け中でなくとも、当該ユーザーが権限を有さないユーザーである場合にはアクセスを許可しない。
【００７０】
札掛け要求が許可されれば、該当タグデータに誰が札掛けフラグを設定したのかがアクセス制御データベース１５ｂに記録される。そして、アクセス制御部１４は、プロトコル解析部１１を介して、札掛け要求プロトコルをプログラマブルコントローラ２３に送る。
【００７１】
同様に、エンジニアリング端末２０から札掛け解除要求があった場合、アクセス制御部１４ｂは、該当タグデータの札掛け者（当該タグデータに札掛けフラグを設定した者）と、札掛け解除要求を行っているユーザーとが一致するかを調べる。そして、アクセス制御部１４ｂは、一致しない場合（不許可）であればプロトコル解析部１１を介してエラーを返し、一致する場合（許可）であれば、アクセス制御データベース１５ｂを更新し、プロトコル解析部１１を介して、該当プロトコルをプログラマブルコントローラ２３に送る。
【００７２】
このように、第３実施形態によれば、計器および制御機器の札掛けフラグ設定操作に関するアクセス制御、および、当該タグデータへの排他制御が行われていない制御システムについて、セキュリティゲートウェイ１０ｂの追加のみで、札掛けフラグ設定操作に関するアクセス制御、および、当該タグデータへの排他制御を追加することができる。
【００７３】
さらに、制御システムではデータやアクチュエータがメンテナンス中であることを示す「札掛け」情報を持つが、誰が札掛け中であるかは管理されていない。セキュリティゲートウェイは、札掛け要求を行うプロトコルのユーザー情報を管理することで、札掛け中のデータについて札掛けユーザー以外からの書き換えを拒否することができるので、セキュリティで求められるアクセス制御を制御システムに追加できる。
【００７４】
＜変形例＞
従来の制御システムの札掛けフラグの設定は、基本的に、調整作業前に、現場作業者が札掛けフラグを設定し、調整作業後に、現場作業者が札掛けフラグを解除するものである。しかし、作業が長引いて作業員が交代する場合、または、作業完了をオペレータが確認して中央制御室から札掛けフラグを解除する場合等もあり得るので、必ずしも原則通りとはならない。原則通りに現場作業者が設定および解除をできない場合、札掛けフラグの強制解除の処理が必要である。
【００７５】
また、札掛けフラグの設定操作は、現場作業者が制御システムの制御機器を直接操作することになるため、セキュリティの観点からは十分な対策が必要な操作でもある。そのため、札掛け要求する作業者が何らかの理由で札掛け解除操作が一定時間以上できない場合、すなわち、プロトコル解析部１１に対し、調整操作を終了するための調整終了プロトコルの入力が一定時間以上されない場合に、制御システムの管理者あるいはセキュリティ管理者が、強制的に札掛け解除操作を行うことができるようにすることが必要である。
【００７６】
具体的には、管理者権限において、アクセス制御データベース１５ｂにおける該当札掛けフラグ記録を解除し、プログラマブルコントローラ２３の該当札掛けフラグを解除する。アクセス制御部１４ｂは、管理者権限による当該終了操作を許可する。プログラマブルコントローラ２３の札掛けフラグを解除すると、その結果は制御システムのすべてのプログラマブルコントローラ２３およびオペレータステーション２４に対して自動的に通知される。また、オペレータステーション２４では、札掛け解除をオペレータが確認できるように、当該内容が画面表示されるようにする。
【００７７】
このように、札掛け作業者が替わった場合、あるいは札掛け作業のアクセスが途切れた場合でも、札掛けの強制解除を行うことができるので、現実の札掛け作業を阻害せずに、要求されるセキュリティ機能を実現することができる。
【００７８】
＜効果＞
以下に、本実施形態による効果を例示する。
【００７９】
本実施形態によれば、プロトコル解析部１１は、ユーザーから入力された調整要求プロトコルを解析し、調整対象物に関する情報を抽出する。ここで、制御システムの調整操作のための調整要求プロトコルには、制御システムにおける少なくとも１つの調整対象物に関する情報が含まれる。
【００８０】
アクセス制御データベース１５ｂは、制御システムにおける各調整対象物について、当該調整対象物に対し調整操作を行う権限を有するユーザーを特定するデータを記憶する。アクセス制御部１４ｂは、プロトコル解析部１１において抽出された調整対象物に関する情報とアクセス制御データとに基づいて、ユーザー認証部１２において特定されたユーザーが、プロトコル解析部１１において抽出された調整対象物に対する調整操作を行う権限を有するユーザーであるか否かを判定し、権限を有するユーザーである場合にはアクセスを許可し、権限を有さないユーザーである場合にはアクセスを許可しない。
【００８１】
このような構成によれば、計器および制御機器の札掛けフラグ設定操作に関するアクセス制御、および、当該タグデータへの排他制御が行われていない制御システムについて、セキュリティゲートウェイ１０ｂの追加のみで、札掛けフラグ設定操作に関するアクセス制御、および、当該タグデータへの排他制御を追加することができる。
【００８２】
また、本実施形態によれば、アクセス制御部１４ｂは、調整操作に対応する、調整操作を終了するための調整終了プロトコルが一定時間以上プロトコル解析部１１に入力されない場合、管理者権限による調整操作の終了を許可する。
【００８３】
このような構成によれば、札掛け作業者が替わった場合、あるいは札掛け作業のアクセスが途切れた場合でも、札掛けの強制解除を行うことができるので、現実の札掛け作業を阻害せずに、要求されるセキュリティ機能を実現することができる。
【００８４】
上記実施形態で記載された各構成要素による作用は、少なくとも１つの、処理回路または電気回路において実施することができる。処理回路および電気回路には、プログラムされた演算処理装置を含む。処理回路には、集積回路（ａｐｐｌｉｃａｔｉｏｎ  ｓｐｅｃｉｆｉｃ  ｉｎｔｅｇｒａｔｅｄ  ｃｉｒｃｕｉｔ、ＡＳＩＣ）、または、上記実施形態で記載された作用を実現するように変更された従来の回路要素等を含む。
【００８５】
上記実施形態で記載された各構成要素による作用は、上記の処理回路または電気回路が、あらかじめ設定されたプログラムに従って動作することによって実施される。また、各構成要素による作用を実現するプログラムは、ハードディスクまたはメモリ等の記憶媒体に記憶される。
【００８６】
また、本発明は、各構成要素が複数の装置に分散して備えられる場合（システム）であってもよい。例えば、認証データベース１３およびアクセス制御データベース１５の少なくとも一方が、外部の機能部であってもよい。その場合、セキュリティゲートウェイ１０内の他の機能部と互いに作用しあうことによって、全体としてアクセス制御装置の機能を果たすものとする。
【００８７】
上記実施形態では、各構成要素の寸法、形状、相対的配置関係または実施の条件等についても記載している場合があるが、これらはすべての局面において例示であって、本発明が記載されたものに限られることはない。よって、例示されていない無数の変形例（任意の構成要素の変形または省略、さらには、異なる実施形態間の自由な組み合わせを含む）が、本発明の範囲内において想定され得る。
【符号の説明】
【００８８】
１０，１０ａ，１０ｂ，１１０  セキュリティゲートウェイ、１１  プロトコル解析部、１２  ユーザー認証部、１３，１３ａ  認証データベース、１４，１４ｂ  アクセス制御部、１５，１５ａ，１５ｂ  アクセス制御データベース、２０  エンジニアリング端末、２１  インターネット、２２  プラントバス、２３，２３ｂ，１２３  プログラマブルコントローラ、２４，２４ｂ  オペレータステーション、２５  操作画面、２６  認証ダイアログ、２７  プログラム、２８  パラメータ、２９，２９ｂ  データ、１２０，１２４  コンピュータ端末。
【図１】
2015201021.tif 000003
【図２】
2015201021.tif 000004
【図３】
2015201021.tif 000005
【図４】
2015201021.tif 000006