(57)【特許請求の範囲】
【請求項１】
制御プロセスを実行するフィールド機器と、該フィールド機器による制御プロセスの実行を制御するコントローラと、を備える制御システムであって、
前記コントローラは、
制御プロセスの状態を記憶する制御プロセス状態記憶部と、
制御プロセスの状態とセキュリティ対策方法とが対応付けられたセキュリティ対策管理テーブルを記憶するセキュリティ対策管理テーブル記憶部と、
制御システムのセキュリティ異常を検出するセキュリティ異常検出部と、
該セキュリティ異常検出機能部により制御システムのセキュリティ異常が検出された際に、前記セキュリティ対策管理テーブルに基づいて前記セキュリティ対策方法を決定するセキュリティ対策決定部と、
該セキュリティ対策決定部により決定された前記セキュリティ対策方法を実行するセキュリティ対策実施部と、
セキュリティ異常とハードウェア異常の両方が検出されない場合に正常信号をバスに流す正常信号駆動部と、
ハードウェア異常の検出を行い、ハードウェア異常を検出した場合に前記正常信号駆動部にハードウェア異常を通知するハードウェア異常検出部と、
前記セキュリティ対策決定部からの制御プロセス停止命令により、前記正常信号駆動部にセキュリティ異常の通知を行う制御プロセス停止部と、
バスの正常信号の有無を常時監視し、正常信号の停止を検知した場合に、予め設定された停止処理を実行するバスに接続する１以上のハードウェアと、
を備えることを特徴とする制御システム。
【請求項２】
請求項１に記載の制御システムであって、
前記セキュリティ対策決定部は、検出されたセキュリティ異常に対する前記セキュリティ対策方法として、セキュリティ異常検出時の制御プロセスの状態に対応付けられた前記セキュリティ対策方法を決定する、ことを特徴とする制御システム。
【請求項３】
請求項１に記載の制御システムであって、
前記セキュリティ対策管理テーブルは、前記セキュリティ対策方法が更にセキュリティ異常の内容に対応付けられ、
前記セキュリティ対策決定部は、検出されたセキュリティ異常に対する前記セキュリティ対策方法として、セキュリティ異常検出時の制御プロセスの状態及び検出されたセキュリティ異常の内容に対応付けられた前記セキュリティ対策方法を決定する、ことを特徴とする制御システム。
【請求項４】
請求項１に記載の制御システムであって、
前記セキュリティ対策管理テーブルにおける制御プロセスの状態は、制御プロセスの種別ごとの制御プロセスの状態である、ことを特徴とする制御システム。
【請求項５】
請求項１に記載の制御システムであって、
２以上の前記コントローラを有し、前記コントローラの内、いずれか２以上の前記コントローラの前記セキュリティ対策管理テーブル記憶部の各々は、内容の異なる前記セキュリティ対策管理テーブルを有する、ことを特徴とする制御システム。
【請求項６】
制御プロセスを実行するフィールド機器と、該フィールド機器による制御プロセスの実行を制御するコントローラと、を備える制御システムにおける制御方法であって、
前記コントローラは、
制御システムのセキュリティ異常を検出し、
制御システムのセキュリティ異常が検出された際の制御プロセスの状態に基づいてセキュリティ異常に対するセキュリティ対策方法を決定および実行し、
ハードウェア異常の検出を行い、ハードウェア異常を検出した場合にはハードウェア異常を通知し、
前記セキュリティ対策方法の決定による制御プロセス停止命令により、セキュリティ異常を通知し、
セキュリティ異常とハードウェア異常の両方が検出されない場合に正常信号をバスに流し、
前記バスに接続する１以上のハードウェアは、
バスの正常信号の有無を常時監視し、正常信号の停止を検知した場合に、予め設定された停止処理を実行する、
ことを特徴とする制御方法。
【請求項７】
請求項６に記載の制御方法であって、
前記コントローラは制御プロセスの状態とセキュリティ対策方法とが対応付けられたセキュリティ対策管理テーブルを有し、
検出されたセキュリティ異常に対する前記セキュリティ対策方法として、セキュリティ異常検出時の制御プロセスの状態に対応付けられた前記セキュリティ対策方法を決定する、ことを特徴とする制御方法。
【請求項８】
請求項６に記載の制御方法であって、
前記セキュリティ対策管理テーブルは、前記セキュリティ対策方法が更にセキュリティ異常の内容に対応付けられ、
前記コントローラは、検出されたセキュリティ異常に対する前記セキュリティ対策方法として、セキュリティ異常検出時の制御プロセスの状態及び検出されたセキュリティ異常の内容に対応付けられた前記セキュリティ対策方法を決定する、ことを特徴とする制御方法。
【請求項９】
請求項６に記載の制御方法であって、
前記セキュリティ対策管理テーブルにおける制御プロセスの状態は、制御プロセスの種別ごとの制御プロセスの状態である、ことを特徴とする制御方法。
【請求項１０】
フィールド機器による制御プロセスの実行を制御するコントローラであって、
制御プロセスの状態を記憶する制御プロセス状態記憶部と、
制御プロセスの状態とセキュリティ対策方法とが対応付けられたセキュリティ対策管理テーブルを記憶するセキュリティ対策管理テーブル記憶部と、
制御システムのセキュリティ異常を検出するセキュリティ異常検出部と、
該セキュリティ異常検出機能部により制御システムのセキュリティ異常が検出された際に、前記セキュリティ対策管理テーブルに基づいて前記セキュリティ対策方法を決定するセキュリティ対策決定部と、
該セキュリティ対策決定部により決定された前記セキュリティ対策方法を実行するセキュリティ対策実施部と、
セキュリティ異常とハードウェア異常の両方が検出されない場合に正常信号をバスに流す正常信号駆動部と、
ハードウェア異常の検出を行い、ハードウェア異常を検出した場合に前記正常信号駆動部にハードウェア異常を通知するハードウェア異常検出部と、
前記セキュリティ対策決定部からの制御プロセス停止命令により、前記正常信号駆動部にセキュリティ異常の通知を行う制御プロセス停止部と、
バスの正常信号の有無を常時監視し、正常信号の停止を検知した場合に、予め設定された停止処理を実行するバスに接続する１以上のハードウェアと、
を備えることを特徴とするコントローラ。
【請求項１１】
請求項１０に記載のコントローラであって、
前記セキュリティ対策決定部は、検出されたセキュリティ異常に対する前記セキュリティ対策方法として、セキュリティ異常検出時の制御プロセスの状態に対応付けられた前記セキュリティ対策方法を決定する、ことを特徴とするコントローラ。
【請求項１２】
請求項１０に記載のコントローラであって、
前記セキュリティ対策管理テーブルは、前記セキュリティ対策方法が更にセキュリティ異常の内容に対応付けられ、
前記セキュリティ対策決定部は、検出されたセキュリティ異常に対する前記セキュリティ対策方法として、セキュリティ異常検出時の制御プロセスの状態及び検出されたセキュリティ異常の内容に対応付けられた前記セキュリティ対策方法を決定する、ことを特徴とするコントローラ。
【請求項１３】
請求項１０に記載のコントローラであって、
前記セキュリティ対策管理テーブルにおける制御プロセスの状態は、制御プロセスの種別ごとの制御プロセスの状態である、ことを特徴とするコントローラ。
【請求項１４】
請求項１０に記載のコントローラであって、
前記コントローラの内、いずれか２以上の前記コントローラの前記セキュリティ対策管理テーブル記憶部の各々は、内容の異なる前記セキュリティ対策管理テーブルを有する、ことを特徴とするコントローラ。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セーフティコントローラ、セーフティ制御システム、及びセキュリティ対策方法に関し、特に、圧延プラント等、産業用プラントに適用されるセーフティコントローラ、セーフティ制御システム、及びセキュリティ対策方法に関する。
【背景技術】
【０００２】
近年、圧延プラント、化学プラント、自動車製造プラント、発電システム・上下水システムなどの制御システムをインターネット等のネットワークに接続し、システム中で稼動する機器の制御や保守、監視を、ネットワークを介して自動的に行う動きが高まっている。それに伴い、プラント内で動作するコンピュータ、コントローラ等がインターネットを介してウィルスに感染するなどのセキュリティ異常が、制御システムにおいても発生している。そのため、情報系システムだけでなく、制御システムにおいてもセキュリティ対策技術が必要となっている。【０００３】
制御システムにおいて、セキュリティ異常を検出した場合のセキュリティ対策に関する技術として、特許文献１がある。特許文献１に記載の技術は、ウィルス等のセキュリティ異常を検出したときに、予め設定したセキュリティ異常検出時の処理に従い、コントローラの動作を制御する。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００３−２７１２０５
【発明の概要】
【発明が解決しようとする課題】
【０００５】
制御システムの重要な要件として、「安全性」が挙げられる。制御システムの中で、ウィルス感染などのセキュリティ異常が検出された場合においても、火災などの重大事故につながらないように対策を実行することが必要である。制御システムの種類によっては、セキュリティ異常などの異常検出時に制御プロセスを停止させることが、必ずしも安全につながらない場合がある。例えば、圧延プラントの制御システムに設置されている、圧延処理を制御するコントローラにおいてセキュリティ異常が発生した場合に、制御プロセスを停止させると、高温の被圧延金属が圧延ラインからはみ出し、火災などの重大な災害をひきおこす可能性がある。一方で、圧延ラインに鉄鋼は流さず、制御プロセスを試験的に動作させる保守作業中においては、圧延ラインにオペレータが立ち入る可能性もあるため、セキュリティ異常などの異常検出時に、制御プロセスを停止することが安全の確保につながる。【０００６】
圧延プラントを制御するコントローラに特許文献１の技術を適用した場合を考える。セキュリティ異常検出時のセキュリティ対策として、制御プロセスの停止が設定されている場合、セキュリティ異常が検出されると制御プロセスが停止されることになる。例えば、制御システムが保守中である時にセキュリティ異常が検出されたさいには、制御プロセスが停止されることにより、安全性が確保される。しかし、制御システムが稼働中である時にセキュリティ異常が検出された場合には、制御プロセスが停止されることにより、高温の被圧延金属が圧延ラインからはみ出し、火災などの重大な災害をひきおこす可能性があり、安全性が損なわれる。次に、セキュリティ異常検出時のセキュリティ対策として、管理端末への通知が設定されている場合を考える。制御システムが稼働中である時にセキュリティ異常が検出された場合には、管理者への通知が実行されることにより、安全性を確保したまま、セキュリティ異常に対する具体的な対策を検討することが可能である。しかし、制御システムが保守中である場合には、制御プロセスは停止されないため、安全性が確保されない。【０００７】
本発明は上記課題を解決するための発明であり、制御システムの制御プロセスの状態を考慮して、セキュリティ異常検出時に制御システムの安全性を確保することを目的とする。
【課題を解決するための手段】
【０００８】
上記目的を達成するために、本発明の一つの観点から、制御プロセスを実行するフィールド機器と該フィールド機器による制御プロセスの実行を制御するコントローラとを備える制御システムを提供する。コントローラは、制御プロセスの状態を記憶する制御プロセス状態記憶部と、制御プロセスの状態とセキュリティ対策方法とが対応付けられたセキュリティ対策管理テーブルを記憶するセキュリティ対策管理テーブル記憶部と、制御システムのセキュリティ異常を検出するセキュリティ異常検出部と、該セキュリティ異常検出機能部により制御システムのセキュリティ異常が検出された際に、セキュリティ対策管理テーブルに基づいてセキュリティ対策方法を決定するセキュリティ対策決定部と、セキュリティ対策決定機能により決定されたセキュリティ対策方法を実行するセキュリティ対策実施部と、を備える。
【発明の効果】
【０００９】
圧延プラントなどの制御プロセスの状態に応じたセキュリティ対策が安全性を高める上で必要となる制御システム内で、セキュリティ異常が発生した場合においても、制御システムの安全性を確保することができる。
【図面の簡単な説明】
【００１０】
【図１】本実施形態の制御システムの全体構成を示す図である。
【図２】本実施形態のコントローラが接続するフィールドネットワークの構成を示す図である。
【図３】第１の実施例のコントローラを示すブロック図である。
【図４】第１の実施例のコントローラを構成するセキュリティ対策管理テーブルを示す図である。
【図５】第１の実施例のコントローラの動作を示すフロー図である。
【図６】第２の実施例のコントローラを示すブロック図である。
【図７】第２の実施例のコントローラを構成するセキュリティ対策管理テーブルを示す図である。
【図８】第３の実施例のコントローラを示すブロック図である。
【図９】第３の実施例のコントローラを構成するセキュリティ対策管理テーブルを示す図である。
【図１０】第４の実施例のコントローラを示すブロック図である。
【図１１】第４の実施例のコントローラを構成するセキュリティ対策管理テーブルを示す図である。
【図１２】第５の実施例のコントローラを示すブロック図である。
【図１３】第５の実施例のコントローラを構成するセキュリティ対策管理テーブルを示す図である。
【図１４】第６の実施例のコントローラを示すブロック図である。
【発明を実施するための形態】
【００１１】
＜第一の実施形態＞
以下、本発明の実施形態を図面を用いて説明する。
【００１２】
図１に本発明の実施形態に関わる制御システムの全体構成図を示す。本実施形態では制御システムの一例として、圧延プラント１０５を想定して説明するが、火力発電プラント、原子力発電プラント、風力発電プラント、水力発電プラント、上下水システム、石油プラント、化学プラント、自動車製造プラント、食品製造プラント、鉄鋼製造プラント、または、その他のものであってもよい。図１では、圧延プラント１０５の内部に制御ネットワーク１０９が施設されている。制御ネットワーク１０９には、圧延プラント１０５内で稼動する各種機器が接続される。制御ネットワーク１０９はネットワーク接続装置１１６を介して、オフィス１０１の内部に施設される情報ネットワーク１０２と接続される。情報ネットワーク１０２はＯＡ業務で使用される情報機器が接続されるネットワークである。情報ネットワーク１０２には例えば、ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）、ファイルサーバ、Ｗｅｂサーバ、メールサーバ、プリンタなどが接続される。情報ネットワーク１０２はネットワーク接続装置１０３を介してインターネット１０４に接続される。ネットワーク接続装置１０３、１１６は、ネットワークに接続する機器同士の通信を中継する装置であり、ルータ、レイヤ３スイッチ、スイッチングハブなどである。
【００１３】
制御ネットワーク１０９には、ネットワーク接続装置１１６を介して、制御端末１０６、プログラミング端末１０７、ログサーバ１０８、監視端末１１７、コントローラ(１１０、１１２)が接続される。制御ネットワーク１０９に接続される機器の内、コントローラ(１１０、１１２)は１台以上必須であるが、その他の機器については１つ、または、複数が存在しなくてもよい。また、制御ネットワークにその他の機器が接続されてもよい。制御ネットワーク１０９は、有線、無線、または有線と無線の両方により構成されるネットワークである。
【００１４】
制御ネットワーク１０９のトポロジは、スタートポロジ、バストポロジ、リングトポロジ、その他のトポロジのいずれか、または組み合わせであってもよい。
【００１５】
制御端末１０６は、コントローラ（１１０、１１２）のファームウェア更新などの作業を、制御ネットワーク１０９を介して行う。また、制御端末１０６は、コントローラ(１１０、１１２）の制御プロセスの実行、及び制御プロセスの状態の把握も行う。制御端末１０６は、例えば、コントローラ（１１０、１１２）のファームウェア更新などの作業を実施しているときに、制御プロセスの状態は「保守中」であると把握してもよい。制御端末１０６は、例えば、コントローラ（１１０、１１２）へ制御プロセスの実行を命令したときに、制御プロセスの状態は「稼働中」であると把握してもよい。制御端末１０６は、その他の方法により、制御プロセスの状態を把握してもよい。
【００１６】
プログラミング端末１０７は、制御ネットワーク１０９を介してコントローラ（１１０、１１２）に対して、コントローラ（１１０、１１２）上で動作する制御プログラムの書き込みを行う端末である。
【００１７】
ログサーバ１０８は、コントローラ（１１０、１１２）の動作ログを制御ネットワーク１０９を介して収集し、記録する装置である。ログサーバ１０８は、監視端末１１７からの要求に応じて、記録している動作ログを制御ネットワーク１０９を介して監視端末１１７へ送信する。
【００１８】
監視端末１１７は、制御ネットワーク１０９を介してログサーバ１０８へアクセスしてログデータを取得し、コントローラ（１１０、１１２）の稼動状態などを監視する装置である。
【００１９】
コントローラ（１１０、１１２）は、アクチュエータ、モータ、センサなどのフィールド機器とフィールドネットワーク（１１１、１１３）を介して接続する。フィールドネットワーク（１１１、１１３）は、コントローラ（１１０、１１２）がフィールド機器の制御を行うためのネットワークである。フィールドネットワーク（１１１、１１３）は、有線、無線、または、有線と無線の両方により構成されるネットワークである。フィールドネットワーク（１１１、１１３）の規格として、Ｐｒｏｆｉｂｕｓ、Ｍｏｄｂｕｓ、ＨＡＲＴ、ＷｉｒｅｌｅｓｓＨＡＲＴ、ＩＳＡ１００．１１ａ等がある。図１の構成では、コントローラ（１１０、１１２）はフィールドネットワーク（１１１、１１３）を介してフィールド機器と接続するが、コントローラ（１１１、１１３）が有するＩ／Ｏ（Ｉｎｐｕｔ／Ｏｕｔｐｕｔ）部を介して直接フィールド機器と接続してもよい。また、図中では、各コントローラがフィールドネットワークに接続されているが、例えば、複数コントローラが１つのフィールドネットワークに接続され、共有してもよい。
【００２０】
図２にコントローラ１１０が接続するフィールドネットワーク１１１の構成を示す。
【００２１】
圧延プラントでは、圧延ラインへの被圧延金属の投入、圧延処理、圧延加工品の巻き取りなどの制御プロセスが実行される。コントローラ１１０は、制御プロセスとして圧延処理の実行を制御するコントローラであるとする。
【００２２】
フィールドネットワーク１１１には、リモートＩ／Ｏ（２０１、２０２、２０３、２０４、２０５、２０６）を介して、フィールド機器が接続されている。リモートＩ／Ｏ（２０１、２０２、２０３、２０４、２０５、２０６）は、フィールドネットワーク（１１１）を介して、コントローラから受信した命令をフィールド機器に入力する。また、リモートＩ／Ｏ（２０１、２０２、２０３、２０４、２０５、２０６）は、フィールド機器が出力した情報を、フィールドネットワーク（１１１）を介して、コントローラ１１０へ送信する。
【００２３】
リモートＩ／Ｏ１（２０１）に接続しているモータ２０８は、コントローラ１１０からの入力に基いて、モータ２０８を回転させる。モータ２０８が回転することにより、ローラ(２０９、２１０）が回転し、非圧延金属２０７が圧延ラインを流れる。リモートＩ／Ｏ２（２０２）に接続している板速度センサ２１１は被圧延金属２０７の移動速度を計測し、測定結果をコントローラ１１０へ出力する。リモートＩ／Ｏ３（２０３）に接続している板温度センサ２１２は、被圧延金属２０７の温度を測定し、測定結果をコントローラ１１０へ出力する。リモートＩ／Ｏ４（２０４）に接続している加熱装置２１３は、コントローラ１１０からの入力を受けて、被圧延金属２０７を加熱する。リモートＩ／Ｏ５（２０５）に接続している板厚センサ２１４は、非圧延金属２０７の厚さを測定し、測定結果をコントローラ１１０へ入力する。リモートＩ／Ｏ６（２０６）へ接続しているモータ２１５は、コントローラ１１０からの入力を受けて、ローラ（２１６、２１７）を回転させる。
【００２４】
コントローラ１１０は、板速度センサ２１１が計測する速度情報、板温度センサ２１２が計測する温度情報、板厚センサ２１４が計測する板厚情報をもとに、モータ（２０８、２１５）の回転速度、加熱装置２１３の熱出力を制御する。
【００２５】
図３に本発明の第１の実施形態における、コントローラ１１０の機能ブロック図を示す。コントローラ１１０は、制御プロセス状態記憶部３０１、セキュリティ対策管理テーブル記憶部３１３、セキュリティ対策実施機能３０３、制御プロセス停止機能３０６、管理者通知機能３０７、バス３０８、ＣＰＵ３０９、制御ネットワーク通信Ｉ／Ｆ３１０、フィールドネットワーク通信Ｉ／Ｆ３１１、Ｉ／Ｏ部３１２から構成される。
【００２６】
制御プロセス状態記憶部３０１は、現在の制御システムの制御プロセスの状態の通知を受け、記憶する。制御プロセス状態記憶部３０１が記憶する、現在の制御システムの制御プロセスの状態は、セキュリティ対策決定機能３０５により参照される。本実施形態では、制御端末１０６が制御プロセスの状態をコントローラ１１０に通知するものとする。制御プロセス状態記憶部３０１は、制御端末１０６、制御ネットワーク１０９、制御ネットワーク通信Ｉ／Ｆ３１０、バス３０８、を介して、現在の制御プロセスの状態を受信する。制御プロセス状態記憶部３０１は、Ｉ／Ｏ部３１２の状態から、現在の制御プロセスの状態を推定してもよい。制御プロセス状態記憶部３０１は、例えば、Ｉ／Ｏ部３１２に格納されている値が頻繁に変化している場合に、制御プロセスの状態が「稼働中」であると推定してもよい。制御プロセス状態記憶部３０１は、例えば、Ｉ／Ｏ部３１２に格納されている値が一定時間更新されていない場合に、制御プロセスの状態は「保守中」であると推定してもよい。制御プロセス状態記憶部３０１は、フィールドネットワーク１１１に接続しているリモートＩ／Ｏ（２０１、２０２、２０３、２０４、２０５、２０６）の状態から、現在の制御プロセスの状態を推定してもよい。制御プロセス状態記憶部３０１は、例えば、リモートＩ／Ｏ（２０１、２０２、２０３、２０４、２０５、２０６）に格納されている値が頻繁に変化している場合に、制御プロセスの状態が「稼働中」であると推定することができる。制御プロセス状態記憶部３０１は、例えば、リモートＩ／Ｏ（２０１、２０２、２０３、２０４、２０５、２０６）に格納されている値が一定時間更新されていない場合に、制御プロセスの状態が「保守中」であると推定することができる。制御プロセス状態記憶部３０１はその他の方法により、現在の制御プロセスの状態を取得してもよい。
【００２７】
セキュリティ対策管理テーブル記憶部３１３は、制御プロセスの状態と、各制御プロセスの状態においてセキュリティ異常が検出された場合に実施するセキュリティ対策とが対応付けられたセキュリティ対策管理テーブル３０２を記憶する。制御プロセス状態記憶部３０１とセキュリティ対策管理テーブル記憶部３１３は同一の記憶部でもよい。
【００２８】
セキュリティ対策実施機能３０３は、セキュリティ異常が検出された際にセキュリティ対策を実施する。本実施形態では、セキュリティ対策実施機能３０３は、セキュリティ対策機能として、制御プロセス停止機能３０６、管理者通知機能３０７をもつ。セキュリティ対策実施機能３０３は、通信Ｉ／Ｆ停止機能など、その他のセキュリティ対策機能をもってもよい。
【００２９】
セキュリティ異常検出機能３０４は、ウィルス感染、ＤｏＳ（Ｄｅｎｉａｌ ｏｆ  Ｓｅｒｖｉｃｅ）攻撃、制御プログラムの書換えなどのセキュリティ異常を検出し、セキュリティ対策決定機能３０５に通知する。セキュリティ対策決定機能３０５は、セキュリティ異常検出機能３０４からのセキュリティ異常通知を受けると、制御プロセス状態記憶部３０１が記憶している現在の制御プロセスの状態を取得する。セキュリティ対策決定機能３０５は、セキュリティ対策管理テーブル３０２を参照し、制御プロセス状態記憶部３０１から取得した現在のプロセス状態に対応するセキュリティ対策を取得し、セキュリティ対策実施機能３０３に通知する。セキュリティ対策実施機能３０３は、セキュリティ対策決定機能３０５から通知された、セキュリティ対策を実施する。
【００３０】
ＣＰＵ３０９、制御ネットワーク通信Ｉ／Ｆ３１０、フィールドネットワーク通信Ｉ／Ｆ３１１、Ｉ／Ｏ部３１２は、バス３０９を介して信号をやりとりする。
【００３１】
図４にセキュリティ対策管理テーブル３０２の構成例を示す。制御プロセス状態４０１が保守中４０２である時にセキュリティ異常が検出された場合には、セキュリティ対策４０６として、制御プロセス停止４０３が実行される。制御プロセス状態４０１が稼働中４０４である時にセキュリティ異常が検出された場合には、セキュリティ対策４０６として管理者通知４０５が実行される。制御プロセス停止４０３は、コントローラ１１０が実行している制御プロセスを停止させることを表し、本実施例の場合、セキュリティ対策実施機能３０３がモータ２０８、加熱装置２１３の動作を停止させることとなる。管理者通知４０５では、セキュリティ異常が発生したことを、制御ネットワーク通信Ｉ／Ｆ３１０、制御ネットワーク１０９を介して、セキュリティ対策実施機能３０３が制御システムの管理者が操作する制御端末１０６に通知する。セキュリティ対策管理テーブル３０２には、その他のセキュリティ対策が登録されてもよい。
【００３２】
図５に、コントローラ１１０の動作フロー図を示す。コントローラ１１０は初めに、セキュリティ対策管理テーブルを設定する（５０１）。セキュリティ対策管理テーブル３０２は、コントローラ起動時に、コントローラが設定ファイルを読み込むことにより、設定されてもよい。セキュリティ対策管理テーブルは、制御端末１０６から制御ネットワーク１０９を介して設定されてもよい。セキュリティ対策管理テーブル３０２は、その他の方法により設定されてもよい。コントローラ１１０は次に、制御端末１０６からの現在の制御プロセス状態の通知の受信有無を確認する（５０２）。制御プロセス状態の通知を受信していない場合には、処理５０５に進む。制御プロセス状態の通知を受信している場合には、取得した制御プロセス状態が、制御プロセス状態記憶部３０１が記憶する制御プロセス状態と同じかどうかを確認する(５０３)。取得した制御プロセス状態が、制御プロセス状態記憶部３０１の記憶する制御プロセス状態と同じである場合には、処理５０５に進む。取得した制御プロセス状態が、制御プロセス状態記憶部３０１が記憶する制御プロセス状態と異なる場合には、制御プロセス状態記憶部３０１が記憶する制御プロセス状態を、取得した制御プロセス状態に更新する（５０４）。次に、セキュリティ異常検出処理を実行し（５０５）、セキュリティ異常が検出されたかを確認する（５０６）。セキュリティ異常を検出されなかった場合には、処理５０２に進む。セキュリティ異常が検出された場合には、セキュリティ対策決定機能３０５は、セキュリティ対策管理テーブル３０２を参照し、現在のシステム状態に対応するセキュリティ対策を決定し、セキュリティ対策実施機能３０３に通知する（５０７）。セキュリティ対策実施機能５０８は、セキュリティ対策決定機能からの通知を受けると、指定されたセキュリティ対策を実施する（５０８）。
【００３３】
制御プロセスの状態が保守中である時にセキュリティ異常が検出されたさいには、セキュリティ対策として制御プロセスが停止されることにより、安全性が確保される。制御プロセスの状態が稼働中である時にセキュリティ異常が検出された際には、管理者への通知が実行されることにより、安全性を確保したまま、セキュリティ異常に対する具体的な対策を検討することが可能となる。本実施例により、制御プロセスの状態に応じて、適切なセキュリティ対策を実施することにより、セキュリティ異常発生時においても制御システムの安全性を確保することが可能となる。本実施例は、圧延プラントのように、セキュリティ異常発生時に、制御プロセスを停止させることが必ずしも安全につながらないような制御システムに対して、特に有効である。
【００３４】
＜第二の実施形態＞
本実施例のコントローラは、セキュリティ異常の内容と制御プロセス状態の両方にもとづいて、セキュリティ対策を決定することを特徴とする。
【００３５】
図６に本実施例のコントローラ６０１を示す。図６において、図３の各部分と同じ動作を行う部分には同一の符号をつける。
【００３６】
セキュリティ対策管理テーブル６０２は、制御プロセス状態とセキュリティ異常内容の両方に基いたセキュリティ対策方法を管理する。セキュリティ対策実施機能６０３は、具体的なセキュリティ対策として、制御プロセス停止機能３０６、管理者通知機能３０７、未登録アドレス通信遮断機能６０４、通信Ｉ／Ｆ受信停止機能６０５、通信Ｉ／Ｆ停止機能６０６をもつ。未登録アドレス通信遮断機能６０４は、予め登録されたアドレス以外との通信を遮断する。通信Ｉ／Ｆ受信停止機能６０５は、制御ネットワーク通信Ｉ／Ｆ３１０、フィールドネットワーク通信Ｉ／Ｆ３１１の受信機能を停止し、送信機能のみに限定する。通信Ｉ／Ｆ停止機能６０６は、制御ネットワーク通信Ｉ／Ｆ３１０、フィールドネットワーク通信Ｉ／Ｆ３１１の送信機能と受信機能の両方を停止させる。
【００３７】
図７にセキュリティ対策管理テーブル６０２の構成例を示す。制御プロセス状態７０１が保守中７０２である時にセキュリティ異常７０４として、ウィルス感染７０５が検出された場合には、セキュリティ対策として、制御プロセス停止７０９が実行される。制御プロセス状態７０１が稼働中７０３である時にセキュリティ異常７０４として、ウィルス感染７０５が検出された場合には、セキュリティ対策として管理者通知７１３が実行される。
制御プロセス状態７０１が保守中７０２である時にセキュリティ異常７０４として、未登録端末からのアクセス７０６が検出された場合には、セキュリティ対策として、通信Ｉ／Ｆ停止７１０が実行される。制御プロセス状態７０１が稼働中７０３である時にセキュリティ異常７０４として、未登録端末からのアクセスが検出された場合には、セキュリティ対策として未登録アドレス通信遮断７１４が実行される。
制御プロセス状態７０１が保守中７０２である時にセキュリティ異常７０４として、ＤｏＳ攻撃７０７が検出された場合には、セキュリティ対策として、通信Ｉ／Ｆ停止７１１が実行される。制御プロセス状態７０１が稼働中７０３である時にセキュリティ異常７０４として、ＤｏＳ攻撃７０７が検出された場合には、セキュリティ対策として通信Ｉ／Ｆ受信停止７１５が実行される。
【００３８】
制御プロセス状態７０１が保守中７０２である時にセキュリティ異常７０４として、制御プログラム不正書換え７０８が検出された場合には、セキュリティ対策として、制御プロセス停止７１２が実行される。制御プロセス状態７０１が稼働中７０３である時にセキュリティ異常７０４として、制御プログラム不正書換え７０８が検出された場合には、セキュリティ対策として管理者通知７１６が実行される。
【００３９】
本実施例によれば、制御プロセスの状態とセキュリティ異常内容の両方に基いてセキュリティ対策を決定することにより、複数パターンのセキュリティ異常が起こりうる制御システムにおいても、制御システムの安全性を確保することができる。
【００４０】
＜第三の実施形態＞
実施例１、２においては、制御プロセスの状態が保守中であるときと稼働中である場合の２つの状態をとる場合を想定した。しかし、制御システムによっては、制御プロセスが稼働中であるときに、具体的な制御プロセスの内容によって、さらに複数の状態に分類される。例えば、圧延プラント内の制御システムを想定した場合、制御システムを稼動させた初期の段階では、圧延ラインに被圧延金属２０７を流さず、加熱装置２１３を用いて圧延ラインの加熱のみを行うことも想定される。そして、圧延ラインの加熱が完了した後、非圧延金属２０７を圧延ラインに流し、圧延処理を実施すると想定される。先に述べたとおり、制御プロセスが稼働中であり、具体的なプロセスとして圧延処理を行っている際に、プロセスを停止させると、高温の鋼材が圧延ラインからはみ出し、火災などの重大な災害をひきおこす可能性がある。一方、制御プロセスが稼働中であり、具体的なプロセスとして圧延ラインの加熱を行っている際には、プロセスを停止させた場合においても、高温の鋼材が圧延ラインからはみ出し、火災などの重大な災害を引き起こす可能性はない。そのため、圧延ラインの加熱を行っている際に、セキュリティ異常を検出した場合には、セキュリティ対策として、制御プロセスの停止を実行することが、制御システムの安全性確保につながると考えられる。
【００４１】
本実施例のコントローラは、制御プロセス状態が稼働中であるときに、その稼動状態の具体的なプロセスの状態に応じて、セキュリティ異常検出時のセキュリティ対策方法を決定することを特徴とする。
【００４２】
図８に本実施例のコントローラ８０１を示す。図８において、図３の各部分と同じ動作を行う部分には同一の符号をつける。セキュリティ対策管理テーブル８０２は、制御プロセス状態が稼働中であるときの具体的なプロセスの状態と、異常検出時のセキュリティ対策を対応付ける。
【００４３】
図９にセキュリティ対策管理テーブル８０２の構成例を示す。制御プロセス状態９０１が保守中９０２である時にセキュリティ異常が検出された場合には、セキュリティ対策９０６として、制御プロセス停止９０７が実行される。制御プロセス状態が稼働中９０３であり、具体的な制御プロセスの内容が圧延ラインの加熱９０４である時に、セキュリティ異常が検出された場合には、セキュリティ対策として制御プロセス停止９０８が実行される。制御プロセス状態９０１が稼働中９０３であり、具体的な制御プロセスの内容が圧延処理９０５である時に、セキュリティ異常が検出された場合には、セキュリティ対策として管理者通知９０９が実行される。
【００４４】
本実施例によれば、制御プロセスの具体的な内容により、稼動中のプロセスが複数に分類される制御システムにおいてセキュリティ異常が検出された場合においても、制御システムの安全性を確保することができる。
【００４５】
＜第四の実施形態＞
本実施例のコントローラは、セキュリティ異常の内容と、制御プロセス稼動時の具体的内容の両方に応じて、セキュリティ異常検出時のセキュリティ対策を決定することを特徴とする。
【００４６】
図１０に本実施例のコントローラ１００１を示す。図１０において、図６の各部分と同じ動作を行う部分には同一の符号をつける。セキュリティ対策管理テーブル１００２は、セキュリティ異常の内容と、制御プロセス稼動時の具体的内容の両方に応じて、セキュリティ異常検出時のセキュリティ対策を決定する。
【００４７】
図１１にセキュリティ対策管理テーブル１００２の構成例を示す。制御プロセス状態１１０１が保守中１１０２である時にセキュリティ異常１１０６として、ウィルス感染１１０７が検出された場合には、セキュリティ対策として、制御プロセス停止１１１１が実行される。制御プロセス状態１１０１が稼働中１１０３であり、かつ、具体的なプロセスの内容が圧延ラインの加熱１１０４である時にセキュリティ異常１１０６として、ウィルス感染１１０７が検出された場合には、セキュリティ対策として管理者通知１１１５が実行される。制御プロセス状態１１０１が稼働中１１０３であり、かつ、具体的なプロセスの内容が圧延処理１１０５である時にセキュリティ異常１１０６として、ウィルス感染１１０７が検出された場合には、セキュリティ対策として管理者通知１１１９が実行される。
【００４８】
制御プロセス状態１１０１が保守中１１０２である時にセキュリティ異常１１０６として、未登録端末からのアクセス１１０８が検出された場合には、セキュリティ対策として、通信Ｉ／Ｆ停止１１１２が実行される。制御プロセス状態１１０１が稼働中１１０３であり、かつ、具体的なプロセスの内容が圧延ラインの加熱１１０４である時にセキュリティ異常１１０６として、未登録端末からのアクセス１１０８が検出された場合には、セキュリティ対策として通信Ｉ／Ｆ停止１１１６が実行される。制御プロセス状態１１０１が稼働中１１０３であり、かつ、具体的なプロセスの内容が圧延処理１１０５である時にセキュリティ異常１１０６として、未登録端末からのアクセス１１０８が検出された場合には、セキュリティ対策として未登録端末との通信遮断１１２０が実行される。
【００４９】
制御プロセス状態１１０１が保守中１１０２である時にセキュリティ異常１１０６として、ＤｏＳ攻撃１１０９が検出された場合には、セキュリティ対策として、通信Ｉ／Ｆ停止１１１３が実行される。制御プロセス状態１１０１が稼働中１１０３であり、かつ、具体的なプロセスの内容が圧延ラインの加熱１１０４である時にセキュリティ異常１１０６として、ＤｏＳ攻撃１１０９が検出された場合には、セキュリティ対策として通信Ｉ／Ｆ停止１１１７が実行される。制御プロセス状態１１０１が稼働中１１０３であり、かつ、具体的なプロセスの内容が圧延処理１１０５である時にセキュリティ異常１１０６として、ＤｏＳ攻撃１１０９が検出された場合には、セキュリティ対策として未登録端末との通信Ｉ／Ｆ受信停止１１２１が実行される。
【００５０】
制御プロセス状態１１０１が保守中１１０２である時にセキュリティ異常１１０６として、制御プログラムの不正書換え１１１０が検出された場合には、セキュリティ対策として、制御プロセス停止１１１４が実行される。制御プロセス状態１１０１が稼働中１１０３であり、かつ、具体的なプロセスの内容が圧延ラインの加熱１１０４である時にセキュリティ異常１１０６として、制御プログラムの不正書換え１１１０が検出された場合には、セキュリティ対策として管理者通知１１１８が実行される。制御プロセス状態１１０１が稼働中１１０３であり、かつ、具体的なプロセスの内容が圧延処理１１０５である時にセキュリティ異常１１０６として、制御プログラムの不正書換え１１１０が検出された場合には、セキュリティ対策として未登録端末との管理者通知１１２２が実行される。
【００５１】
本実施によれば、制御プロセスの具体的な内容により、稼動中のプロセスが複数に分類され、かつ、複数種類のセキュリティ異常が起こりえる制御システムにおいても、制御システムの安全性を確保することができる。
【００５２】
＜第五の実施形態＞
制御システムの中では、複数種類の制御プロセスが実施される場合がある。圧延プラント内の制御システムにおける制御プロセスとして、圧延ラインへの被圧延金属の投入、圧延処理などが挙げられる。
【００５３】
本実施例では、複数の制御プロセスが存在し、各制御プロセスを異なるコントローラが制御する制御システムを想定する。本実施例の制御システムを構成する各コントローラは、コントローラが制御する制御プロセスの種類により、セキュリティ異常検出時のセキュリティ対策の方法が異なることを特徴とする。
【００５４】
本実施例の制御システムを図１を用いて説明する。圧延プラント１０５内のコントローラ１１０は、制御プロセスとして、圧延処理を実施する。コントローラ１１２は、制御プロセスとして、圧延ラインへの被圧延金属の投入を実施する。コントローラ１１０の構成は、実施例１で説明した図３のとおりである。
【００５５】
コントローラ１１２の構成を図１２に示す。図１２において、図３の各部分と同じ動作を行う部分には同一の符号をつける。警報駆動機能１２０２は、警報を鳴らす機能である。
コントローラ１１０のセキュリティ対策管理テーブル３０２の構成を図１３（ａ）に示す。圧延処理を制御するコントローラ１１０は、制御プロセス状態４０１が保守中４０２である時にセキュリティ異常を検出した場合には、セキュリティ対策４０６として、制御プロセス停止４０３を実行する。圧延処理を制御するコントローラ１１０は、制御プロセス状態４０１が稼働中４０４である時にセキュリティ異常を検出した場合には、セキュリティ対策４０６として管理者通知４０５を実行する。
【００５６】
コントローラ１１２のセキュリティ対策管理テーブル１２０１の構成を図１３（ｂ）に示す。圧延ラインへの被圧延金属の投入を制御するコントローラ１１２は、制御プロセス状態１３０１が保守中１３０２である時にセキュリティ異常を検出した場合には、セキュリティ対策１３０６として、制御プロセス停止１３０３を実行する。圧延ラインへの被圧延金属の投入を制御するコントローラ１１２は、制御プロセス状態１３０１が稼働中１３０４である時にセキュリティ異常を検出した場合には、セキュリティ対策１３０６として警報駆動１３０５を実行する。制御プロセスの内容によっては、オペレータがフィールド機器、コントローラの周辺で制御プロセスを監視する場合もある。このような制御プロセスが稼働中にセキュリティ異常が発生した場合においては、管理者の端末に通知するよりも、コントローラが警報を発報し、周辺のオペレータに異常を通知することが安全性の確保につながる。
【００５７】
本実施例の各コントローラ（１１０、１１２）は、配置されるゾーン毎に異なるセキュリティ対策管理テーブルを設定されてもよい。例えば、重要な制御プロセスを実施するゾーンに配置されるコントローラと、比較的重要でない制御プロセスを実施するゾーンに配置されるコントローラに対して異なるセキュリティ対策管理テーブルを設定してもよい。
【００５８】
本実施例の各コントローラ（１１０、１１２）は、実施例２に示したように、制御プロセス状態とセキュリティ異常内容の両方に基いてセキュリティ対策を決定してもよい。
【００５９】
本実施例の各コントローラ（１１０、１１２）は、実施例３に示したように、稼働中の制御プロセスの具体的な内容に応じて、セキュリティ異常検出時のセキュリティ対策を行ってもよい。
【００６０】
本実施例の各コントローラは、実施例４に示したように、セキュリティ異常の内容と、制御プロセス稼動時の具体的なプロセスの内容の両方に応じて、セキュリティ異常検出時のセキュリティ対策を決定してもよい。
【００６１】
本実施例によれば、複数種類の制御プロセスが存在する制御システムにおいてセキュリティ異常が発生した場合においても、制御システムの安全性を確保することができる。
【００６２】
＜第六の実施形態＞
実施例1〜５のコントローラは、以下の構成により制御プロセスの停止を実行することを特徴とする。本実施例のコントローラ１４０１の構成を図１４に示す。図３の各部分と同じ動作を行う部分には同一の符号をつける。ハードウェア異常検出機能１４０８は、ＣＰＵ１４０４、制御ネットワーク１４０５、フィールドネットワーク通信Ｉ／Ｆ、Ｉ／Ｏ部１４０７のハードウェア異常を検出した場合に、正常信号駆動機能に１４０２に通知を行う。ハードウェア異常検出機能１４０８は、バス１４０３に接続しているその他のハードウェアの異常を検出してもよい。制御プロセス停止機能１４０１は、セキュリティ対策決定機能３０５から制御プロセス停止命令、または、ハードウェア異常検出機能１４０８からのハードウェア異常検出信号を受けると、次の方法により、制御プロセスを停止させる。
【００６３】
正常信号駆動機能１４０２は、コントローラ内において、ハードウェア異常、または、セキュリティ異常が検出されていない場合、常時、バス１４０３に正常信号を流す。正常信号駆動機能１４０２は、ハードウェア異常検出機能１４０８からのハードウェア異常検出信号、または、セキュリティ対策決定機能３０５からの、制御プロセス停止命令を受けると、バス１４０３へ常時流している正常信号の駆動を停止する。バス１４０３に接続するＣＰＵ１４０４、制御ネットワーク通信Ｉ／Ｆ１４０５、フィールドネットワーク通信Ｉ／Ｆ１４０６、Ｉ／Ｏ部１４０７は、バス１４０２へ流れている正常信号の有無を常時監視する。ＣＰＵ１４０４、制御ネットワーク通信Ｉ／Ｆ１４０５、フィールドネットワーク通信Ｉ／Ｆ１４０６、Ｉ／Ｏ部１４０７は、バス１４０２に正常信号が流れている場合には、命令された制御プロセスを実施する。ＣＰＵ１４０４、制御ネットワーク通信Ｉ／Ｆ１４０５、フィールドネットワーク通信Ｉ／Ｆ１４０６、Ｉ／Ｏ部１４０７は、バス１４０２に正常信号が流れてない場合には、予め設定された制御プロセス停止処理を実施する。予め設定された制御プロセス停止処理の一例として、例えば、Ｉ／Ｏ部１４０７は、バス１４０３へ正常信号が流れていないことを確認した場合、Ｉ／Ｏ部１４０７の最終状態を保持し、ＣＰＵ１４０４などから書き込み命令を受けた場合にも、変更を受け付けない。
【００６４】
本実施例によれば、セキュリティ異常をハードウェア異常と同等に扱い、セキュリティ異常検出時においても、制御システムを安全に停止させることが可能となる。
【符号の説明】
【００６５】
１０１  オフィス
１０２  情報ネットワーク
１０３、１１６  ネットワーク接続装置
１０４  インターネット
１０５  圧延プラント
１０６  制御端末
１０７  プログラミング端末
１０８  ログサーバ
１０９  制御ネットワーク
１１０、１１２、６０１、８０１、１００１、１４０１  コントローラ
１１１、１１３  フィールドネットワーク
１１７  監視端末
２０１、２０２、２０３、２０４、２０５、２０６  リモートＩ／Ｏ
２０７  被圧延金属
２０８、２１５  モータ
２０９、２１０、２１６、２１７  ローラ
２１１  板速度センサ
２１２  板温度センサ
２１３  加熱装置
２１４  板厚センサ
３０１  制御プロセス状態記憶部
３０２、６０２、８０２、１００２、１２０１  セキュリティ対策管理テーブル
３０３、６０３  セキュリティ対策実施機能
３０４  セキュリティ異常検出機能
３０５  セキュリティ対策決定機能
３０６  制御プロセス停止機能
３０７  管理者通知機能
３０８、１４０３  バス
３０９、１４０４  ＣＰＵ
３１０、１４０５  制御ネットワーク通信Ｉ／Ｆ
３１１、１４０６  フィールドネットワーク通信Ｉ／Ｆ
３１２、１４０７  Ｉ／Ｏ部
６０４  未登録アドレス通信遮断機能
６０５  通信Ｉ／Ｆ受信停止機能
６０６  通信Ｉ／Ｆ停止機能
１２０２  警報駆動機能
１４０２  正常信号駆動機能
【図１】
0005799170.tif 000002
【図２】
0005799170.tif 000003
【図３】
0005799170.tif 000004
【図４】
0005799170.tif 000005
【図５】
0005799170.tif 000006
【図６】
0005799170.tif 000007
【図７】
0005799170.tif 000008
【図８】
0005799170.tif 000009
【図９】
0005799170.tif 000010
【図１０】
0005799170.tif 000011
【図１１】
0005799170.tif 000012
【図１２】
0005799170.tif 000013
【図１３】
0005799170.tif 000014
【図１４】
0005799170.tif 000015