(57)【要約】【課題】  正当な権限を持つ者のみにシステムに対する操作を許可しつつ、緊急を要する場合には確実にシステムを操作可能とする認証方法を実現する。【解決手段】  故障を検知し、検知した場合に故障検知信号を出力する診断部と、その設備群から得られた状態情報と故障検知信号とに基づいて緊急度を算出する緊急度評価部と、緊急度を認証の厳密度に変換する緊急度厳密度変換部と、オペレータから入力された鍵情報と厳密度から正当な権限を証明するかどうかを検証し、検証に成功した場合は認証成功信号を出力する鍵検証部と、を有する。【選択図】図１
2008242874.tif 000002
【特許請求の範囲】
【請求項１】
制御対象装置を制御する制御装置において、
故障を検知し、検知した場合に故障検知信号を出力する診断部と、
前記制御対象装置から得られた状態情報と前記故障検出信号とに基づいて緊急度を算出し、緊急度を出力する緊急度評価部と、
前記緊急度を認証の厳密度に変換し、厳密度を出力する緊急度厳密度変換部と、
操作者から入力された鍵情報と前記厳密度から正当な権限を証明するかどうかを検証し、検証に成功した場合は認証成功信号を出力する鍵検証部と、を有することを特徴とする制御装置。
【請求項２】
請求項１記載の制御装置において、
前記緊急度と、前記制御対象装置に付与された識別情報と、に基づいて、操作者から入力された前記制御対象装置への操作要求が正しいか否かを判断する権限制御部を有することを特徴とする制御装置。
【請求項３】
請求項２記載の制御装置において、
前記権限制御部は、前記操作要求が不当であると判断した場合、操作者に対して権限違反警告信号を出力することを特徴とする制御装置。
【請求項４】
請求項１記載の制御装置において、
前記制御対象装置の状態情報と前記制御対象装置に付与された識別情報との関係が示された異常設備特定テーブルと、前記制御対象装置の正常運用限界情報と、が予め記憶装置に記憶され、
前記緊急度評価部は、前記入力された状態情報と前記正常運用限界情報と前記異常設備特定テーブルとに基づいて、異常の原因となっている制御対象装置の識別情報を出力することを特徴とする制御装置。
【請求項５】
請求項１記載の制御装置において、
前記緊急度評価部は、前記制御対象装置の状態情報から、異常となるまでの猶予時間を算出する猶予時間算出手段を有することを特徴とする制御装置。
【請求項６】
請求項５記載の制御装置において、
前記猶予時間と前記緊急度との関係が示された緊急度テーブルが予め記憶装置に記憶され、
前記緊急度評価部は、前記猶予時間算出手段で算出された前記猶予時間と、前記緊急度テーブルと、に基づいて前記猶予時間に対応する緊急度を出力する緊急度算出手段を有することを特徴とする制御装置。
【請求項７】
請求項１記載の制御装置において、
前記緊急度と前記厳密度との関係が示された厳密度テーブルが予め記憶装置に記憶され、
前記緊急度厳密度変換部は、入力された前記緊急度と前記厳密度テーブルとに基づいて厳密度を出力することを特徴とする制御装置。
【請求項８】
請求項２記載の制御装置において、
前記緊急度と、前記制御対象装置の操作範囲と、前記制御対象装置への操作内容との関係が示された操作要求判断テーブルが予め記憶装置に記憶され、
前記権限制御部は、前記操作要求判断テーブルに基づいて、入力された前記操作要求が正しいか否か判断することを特徴とする制御装置。
【請求項９】
請求項１記載の制御装置において、
表示装置と接続され、
前記緊急度評価部で評価された前記緊急度と、前記緊急度厳密度変換部で変換された前記厳密度とを、前記表示装置に出力することを特徴とする制御装置。
【請求項１０】
故障を検知し、検知した場合に故障検知信号を出力する診断部と制御対象装置から得られた状態情報と前記故障検出信号とに基づいて緊急度を算出し、緊急度を出力する緊急度評価部と、を有する制御装置と、
前記制御装置から入力された前記緊急度を認証の厳密度に変換し、厳密度を出力する緊急度厳密度変換部と、操作者から入力された鍵情報と前記厳密度から正当な権限を証明するかどうかを検証し、検証に成功した場合は認証成功信号を出力する鍵検証部と、を有する認証サーバと、
を有することを特徴とする認証制御システム。
【請求項１１】
請求項１０記載の認証制御システムにおいて、
前記制御装置は、複数有し、
前記認証サーバは、前記複数の制御装置から出力された複数の緊急度から緊急度集約値を生成する緊急度集約部を有することを特徴とする認証制御システム。
【請求項１２】
請求項１１記載の認証制御システムにおいて、
前記認証サーバは、前記緊急度集約値と、前記鍵検証部で出力された認証成功信号と、に基づいて操作要求の監査基準を生成する監査基準生成部を有することを特徴とする認証制御システム。
【発明の詳細な説明】
【技術分野】
【０００１】
認証機能を有する制御装置及び認証制御システムに関する。
【背景技術】
【０００２】
計算機システムにおいて、重要な操作を正当な権限を持つ者だけに許可する方法として、パスワードを用いる認証技術が公知のものとして広く用いられている。操作対象の計算機あるいは認証サーバ等において、オペレータが入力したパスワードと既定の正解との一致を確認することにより当該操作が許可される。このとき、計算機システムは前記条件が満たされるまでパスワードの入力要求を繰り返すか、あるいは高いセキュリティが求められる場合、一定回数入力要求を行った後システムを閉鎖するという動作を示す。
【０００３】
上記に関連する出願として、特許文献１では、対象計算機の使用状態から必要なセキュリティレベルを評価し、複数のパスワードから前記各レベルに対応したものを選択することを特徴とする認証手順が開示されている。
【０００４】
また、別の公知技術として、特許文献２に代表される、ＩＣカードあるいはそれに類する認証用のデバイスを用いてオペレータの権限を確認する方法がある。オペレータが、認証情報の書き込まれたデバイスを制御装置に接続されたカードリーダ等の入力装置に差し込むことにより、制御装置がデバイスに記録された認証情報を読み取り、デバイスの持ち主が正当な権限を持つかどうかを確認する。
【０００５】
また、特許文献３では、パスワード毎に操作権限を対応付けておき、認証完了時に、入力されたパスワードに応じた操作権限をオペレータに付与する方法が開示されている。
【０００６】
【特許文献１】特開２００１−３０６１７３号公報
【特許文献２】特開２００５−３０１５００号公報
【特許文献３】特開平１−１８９７５２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
産業施設における制御装置では、特にシステムの安全性や信頼性に影響を与える重要設備に対してオペレータの認証とアクセス権限の制御を行い、正当な権限を持つ者にだけ操作が許可されるようにすることが望ましい。
【０００８】
しかしながら、制御対象設備および制御装置自体が危険な状態に陥り、オペレータが安全確保のための操作を行う場合など、緊急時にオペレータが適切に介入できる余地を設けることもまたシステムの安全性や信頼性を高める上で重要である。このように、設備に対する操作権限に関しては相反する要求が存在する。
【０００９】
従来技術によるパスワード認証では、セキュリティを高めるために長く複雑なパスワードを使用することが要求される。しかし、パスワード認証は完全一致が前提であるがゆえに、入力ミスにより目的の操作を行えなくなる可能性が生じる。特に、システムが危険な状態にあるときなどは、オペレータの心理状態により入力ミスがさらに発生しやすくなることも想定される。そのような場面では、セキュリティを重視するあまり必要な操作が阻害あるいは遅延させられることは許容できない。
【００１０】
ただし、システムが危険な状態だからといってアクセス権限の制御を停止してしまうような方法は、それに乗じたシステムの不正操作といった攻撃を誘発することとなり、それもまた適切な対応とはいえない。
【００１１】
上記課題を踏まえると、特許文献１では複数のパスワードを記憶することができるため、例えば元パスワードをいろいろな長さに切り詰めたものを用意し、緊急時には短いパスワードを選択させるような運用は可能である。しかし、オペレータの入力ミスに対する救済としては不十分であり、緊急時に操作の阻害や遅延が起こる可能性が残る。
【００１２】
また、特許文献２などに示される認証デバイスを用いる方法では、オペレータの負担が少なく、緊急時に操作の阻害や遅延を招く恐れはないと言える。しかし、本方式では認証デバイスの読み取り装置等が別途必要であるため、新規設備ではコストの上昇を招く可能性があり、また、既存設備に対する追加適用は必ずしも容易ではない。
【００１３】
本発明はこれらの課題に鑑み、正当な権限を持つ者のみに制御対象の操作を許可しつつ、システムの安全確保のため緊急性を要する操作については確実に実行可能とし、システムの安全性とセキュリティをバランスよく両立させる認証方法及びそれを用いた制御装置を提供することを目的とする。
【課題を解決するための手段】
【００１４】
本発明は、上記課題を解決するために、制御対象装置を制御する制御装置において、故障を検知し、検知した場合に故障検知信号を出力する診断部と、制御対象装置から得られた状態情報と故障検知信号とに基づいて緊急度を算出し、緊急度を出力する緊急度評価部と、緊急度を認証の厳密度に変換し、厳密度を出力する緊急度厳密度変換部と、操作者から入力された鍵情報と厳密度から正当な権限を証明するかどうかを検証し、検証に成功した場合は認証成功信号を出力する鍵検証部と、を有する構成とする。
【００１５】
また、故障を検知し、検知した場合に故障検知信号を出力する診断部と、制御対象装置から得られた状態情報と故障検知信号とに基づいて緊急度を算出し、緊急度を出力する緊急度評価部と、を有する制御装置と、制御装置から入力された緊急度を認証の厳密度に変換し、厳密度を出力する緊急度厳密度変換部と、操作者から入力された鍵情報と厳密度から正当な権限を証明するかどうかを検証し、検証に成功した場合は認証成功信号を出力する鍵検証部と、を有する認証サーバと、を有する認証制御システムの構成とする。
【発明の効果】
【００１６】
正当な権限を持つ者のみに制御対象の操作を許可しつつ、システムの安全確保のため緊急性を要する操作については確実に実行可能とし、システムの安全性とセキュリティをバランスよく両立させる認証方法及びそれを用いた制御装置を提供できる。
【発明を実施するための最良の形態】
【００１７】
以下、図面を参照し、本発明の各実施例について説明する。
【実施例１】
【００１８】
本発明の制御対象装置を制御し、認証機能を有する認証制御システムの第一の実施形態を以下説明する。なお、本実施例では、制御対象装置をボイラ設備として説明するが、これに限ったものではない。
【００１９】
認証制御システムは、制御装置１と、制御対象装置であるボイラ設備群２より構成される。制御装置１は、制御部１０，診断部２０，緊急度評価部３０，緊急度厳密度変換部４０，鍵検証部５０，権限制御部６０をそれぞれ備える。
【００２０】
ボイラ設備群２は、燃料を供給して燃焼させ、水を所望の温度の蒸気に変えるための設備である。ボイラへの給水速度Ｗに応じて燃料供給速度Ｆを制御することで水に与える熱量が変化し、それに応じた蒸気温Ｔの蒸気が得られる。
【００２１】
このとき、過熱によりボイラが破損しないよう、最終の蒸気温Ｔのほか、管路の数ヶ所で水温または蒸気温Ｔ1，Ｔ2，…，Ｔn を測定し、各々がボイラの耐久上限温度ＴC およびシステムで定めた運用上限温度ＴL を超えないよう制御するものとする（Ｔ＜ＴL＜ＴC）。こうして観測された（Ｗ，Ｔ1，Ｔ2，…，Ｔn，Ｔ）は状態情報である観測値１１として制御装置１へ入力される。
【００２２】
制御対象であるボイラ機器群２は個々の機器あるいは機能ブロックなどの単位でさらに区切られて管理されており、それぞれに２ａ，２ｂ，…２ｘまでの識別子が付けられているものとする。
【００２３】
制御部１０は所定の制御周期で、下記の手順を繰り返し起動する。
【００２４】
観測値１１のうちボイラへの給水速度Ｗ，温度Ｔをサンプリングする。Ｗ，Ｔより燃料供給速度Ｆを求める所定の制御演算を実行する。Ｆを指令値１２としてボイラ設備群２へ出力する。
【００２５】
なお、「所定の制御演算」には、フィードバック制御やＰＩＤ制御など公知のものを含めて任意に選択可能であり、それにより本発明の内容が影響を受けることはない。
【００２６】
診断部２０は、自身も含めた制御装置１各部のうち少なくとも制御部１０について、その機能を実行するハードウェアやソフトウェアに対し所定の周期で故障診断を実施する。その結果、いずれかにおいて異常が検出された場合、故障検出信号２１を出力する。
【００２７】
緊急度評価部３０は、制御装置１が稼動状態にある間、観測値１１および故障検出信号２１を逐次受け取り、システムにおける現在の緊急度３１を算出する。つまり制御対象装置であるボイラ機器群２からの状態情報である観測値１１と故障検出信号２１とに基づいて緊急度３１を算出し、その緊急度３１を出力する。このとき、観測値１１および故障検出信号２１の入力間隔は、各々の有用性を失わない範囲で任意に決めてよい。
【００２８】
緊急度評価部３０において緊急度を評価する手順の一例を図２により説明する。
【００２９】
前記説明したように、ボイラ設備群２では蒸気温Ｔがそれぞれ正常運用限界情報である運用上限温度ＴL を超えない範囲で制御される。本実施例以外の実施形態では、正常運用限界情報として、正常な運用範囲を下限値あるいは上下限値両方で規定する場合もあるが、いずれの場合も本発明の内容に影響を与えることはない。
【００３０】
まず、手順３０−１でシステムの状態を評価する。観測値１１からＴ1，Ｔ2，…，Ｔn，Ｔをサンプリングし、各々運用上限温度ＴLと比較する。いずれの水温または蒸気温も正常であれば、緊急度３１として０を出力し評価を完了する。もし、いずれが運用上限温度ＴLを超過した場合、システムの異常であると判断し、手順３０−２に進む。
【００３１】
手順３０−２では、ボイラ設備群２のうち異常の原因となっている設備を特定する。水温または蒸気温の変数と設備の対応関係はシステム設計時に既知であり、緊急度評価部
３０内に図３のような制御対象装置であるボイラ設備群２の状態情報である観測値１１とその設備群の識別情報と関係が記述された異常設備特定テーブルとして定義しておくことができる。つまり、この異常設備特定テーブルを記憶装置（図示せず）に記憶しておくことで、予め定めた運用上限温度ＴL のような正常運用限界情報を用いて、異常の原因となっている制御対象装置であるボイラ設備群２の識別情報を簡易に出力できる。
【００３２】
例えば、手順３０−１において水温Ｔ1 が運用上限温度ＴL を超過したのであれば、識別子２ａを持つ設備の異常が原因と推定することができる。このように求めた識別子を設備識別情報３５として出力する。なお、システムの構成変更に対応する目的で、前記対応関係のテーブルをオンライン更新できるように構成してもよい。
【００３３】
次に、手順３０−３では、猶予時間算出手段を用いて、ボイラ設備群２の状態情報から、ボイラ設備群２が異常となるまでの猶予時間を算出する。具体的には、状態情報である水温Ｔ1が予め定めた耐久上限温度ＴCに達し、ボイラ設備群２が危険な状態に達するまでの猶予時間ｔC を算出する（図４参照）。そのために、現在からΔｔまでの過去における
Ｔ1，Ｔ2，…Ｔn ，Ｔのサンプル値を記憶手段（図示せず）に記憶しておき、それらを用いて各々の平均変化率ΔＴ1／Δｔ ，ΔＴ2／Δｔ，…，ΔＴn／Δｔ，ΔＴ／Δｔを求めておく。これにより、猶予時間ｔCは（ＴC−Ｔ1）／（ΔＴ1／Δｔ）として求められる。
【００３４】
最後に、手順３０−４では、図５のように、猶予時間が短いほど高い緊急度を与えるよう構成されたテーブル、つまり猶予時間と緊急度の関係が示された緊急度テーブルを用い、猶予時間ｔCに対応する値を緊急度３１として出力する。この緊急度テーブルは、予め記憶装置（図示せず）に記憶しておき、このテーブルを用いて、緊急度算出手段にて、猶予時間に対応する緊急度を出力する。
【００３５】
なお、手順３０−３においてオペレータの回復操作が実行困難なほど猶予時間ｔCが短いことが判明した場合、および、手順３０−１〜３０−４いずれかの時点で故障検出信号２１が出力され、制御部１０がオペレータによる回復操作を適切に実行できないと判明した場合は、オペレータの操作による回復は不可能であり、以降の認証動作は無意味となる。このとき、緊急度評価部３０は安全を優先するため直ちに強制停止指令３２を発行し、オペレータの操作によらず制御装置１および設備群２全体の動作を停止させる。
【００３６】
以上説明した評価手順における猶予時間に限らず、システムの観測結果に基づいて、オペレータの操作について何らかの時間的制限に関する情報を得ることができるならば、それを緊急度３１としてよく、それは本発明の内容に影響を与えるものではない。
【００３７】
緊急度厳密度変換部４０では、前記評価された緊急度３１を、具体的な認証の厳密度４１に変換して出力する。厳密度４１は、後述する鍵検証部５０で用いる認証方式に合わせて定義されたものを用いる。例えば、パスワード認証方式を用いるならば、「先頭のｎ文字まで一致」や「全体のｒ％が一致」あるいは「隣接するキーとの打ち間違いは許容」等の基準を利用し得る。緊急度３１から厳密度４１への変換は、図６に示すように緊急度３１と認証の厳密度４１との対応関係を記述した厳密度テーブルを予め記憶装置（図示せず）に記憶しておき、それを用いて行う。また、可能であれば、緊急度３１を数式により厳密度４１へ直接変換してもよい。
【００３８】
以上、緊急度評価部３０と緊急度厳密度変換部４０に関しては、オペレータからの認証要求の有無に関係なく、連続的あるいは一定の間隔で動作する。これにより、刻々変化するシステムの状態を正しく反映した厳密度を得ることができる。
【００３９】
鍵検証部５０では、操作者であるオペレータより入力される認証のための鍵情報５１を受け付け、それが正当な権限を証明するかどうかを厳密度を用いて検証する。検証に成功した場合は認証成功信号５２を出力する。このとき、鍵検証部５０は厳密度４１で定義された範囲での誤差や不一致を許容するよう構成しておく。
【００４０】
例えば、パスワード認証の場合、鍵検証部５０は正解となる文字列を保持し、オペレータより入力されたパスワードと照合する。ここで、厳密度４１として定義された「先頭のｎ文字まで一致」等の基準が満足されていればよい。
【００４１】
このとき、オペレータが鍵情報を入力する操作卓５に現在の緊急度３１および厳密度４１を反映したプロンプトを表示しておくと、オペレータがシステムの状態を把握する助けとなり得てよい。つまり、緊急度評価部３０で評価された緊急度３１と、緊急度厳密度変換部４０で変換された厳密度４１とを、オペレータが操作要求を入力したりする表示装置に出力し、表示させておくことで、非常にオペレータの入力支援に役立つ。
【００４２】
また、認証手法の別の例としては、指紋，声紋，網膜パターンといった生体特徴を予め登録した特徴量と比較して認証する生体認証がある。これらの認証方法は一般に認識率は高く、パスワードのような入力ミスもないが、本人を誤って排除してしまう（false 
negative）確率も低いながら存在する。鍵検証部５０において、入力された生体特徴を本人と認めるための閾値を厳密度４１で与えることとし、緊急時には本人と認める基準を緩めることで、権限を持つオペレータが緊急時に誤って排除されることを防止することが可能となる。
【００４３】
権限制御部６０は、認証成功信号５２を受信した場合にオペレータからの操作要求６１に含まれる操作対象の範囲および操作内容を監査し、操作要求６１が妥当であるかどうかを判定する。具体的には、緊急度３１と制御対象装置に付与された識別情報３５とに基づいて操作者であるオペレータから入力された制御対象装置への操作要求６１が正しいか否かを判定する。
【００４４】
図７のように緊急度３１と、制御対象装置の操作範囲と、操作内容との関係が記述された操作要求判断テーブルに基づいて、入力された操作要求６１が正しいか否か判断する。緊急度３１に対応する操作対象の範囲および操作内容についての監査基準を決定する。緊急度が高くなるにつれて許可される操作範囲および操作の内容が狭くなっており、緊急度２および緊急度３の場合は、操作対象として設備識別情報３５で指定される設備のみが認められている。これは、特定設備の異常により緊急度３１が上昇したのであれば、その原因を除去する操作を優先させるべきであり、関連が薄い周辺設備に対する操作まで許可する必要がないことを示している。
【００４５】
次に、操作要求６１に含まれる操作対象の範囲および操作内容が上記監査基準で示される権限の範囲内であるか否かを監査する。その結果、操作要求６１が妥当であると判定された場合、操作要求６１は制御部１０へ転送され、操作が実行される。操作要求６１が不当であると判定された場合、操作要求６１は破棄され、オペレータに対し権限違反警告信号６２が発せられる。
【００４６】
以上説明した構成の制御装置では、システムの状態から求めた緊急度を緊急度−厳密度変換部４０で認証の厳密度に変換し、それに基づいて鍵検証部５０を制御することで、緊急度に応じてオペレータから入力される鍵情報に一定の誤りを認める。この構成によれば、システムの正常稼働時には通常の厳密な認証によりセキュリティが保たれる一方、万一システムが緊急を要する事態に陥った場合には認証の厳密度が引き下げられることで、オペレータの入力ミス等に起因する操作の遅延や阻害を防止でき、システムの安全性が確保される。
【実施例２】
【００４７】
本発明の第二の実施形態における認証制御システムの一構成例を図８に示す。本実施例は、複数の制御装置から構成される大規模な構成を想定する。
【００４８】
制御装置３ａから３ｘはボイラ設備群２に接続されており、また、ネットワーク６を介して認証サーバ４および操作卓５と相互に接続される。以下、制御装置３ａを代表として説明する。
【００４９】
制御装置３ａは、第一の実施例と同等の制御部１０および診断部２０および緊急度評価部３０と、権限監査部６４とを備える。
【００５０】
権限監査部６４は、実施例１の権限制御部６０における、オペレータからの操作要求
６１を監査する機能の部分に相当する。ただし、操作要求の監査基準６５を認証サーバ４より取得する点が異なる。
【００５１】
制御装置３ａは、第一の実施例と同様に、観測値１１ａおよび故障検出信号２１ａより現在の緊急度３１ａを随時評価し、それをネットワーク６経由で認証サーバ４へ送信する。
【００５２】
認証サーバ４は、第一の実施例と同等の緊急度厳密度変換部４０および鍵検証部５０と、緊急度集約部３３，監査基準生成部６３を備える。
【００５３】
緊急度集約部３３は、複数の制御装置３ａから３ｘの各々において評価され、出力された個別の緊急度３１ａから３１ｘから、システム全体としての緊急度を表す緊急度集約値３４を生成する。例えば、緊急度３１ａから３１ｘの中の最大値を選択し、それを緊急度集約値３４としてよい。
【００５４】
監査基準生成部６３は、実施例中の権限制御部６０における、操作要求６１に対する監査基準を生成する機能の部分に相当する。認証成功信号５２を受信した場合に、例えば図７のように定義した対応関係に基づいて緊急度集約値３４から操作要求の監査基準６５を生成し、ネットワーク６経由で権限監査部６４へ送信する。権限監査部６４は、受信した監査基準６５に基づいてオペレータからの操作要求６１を監査し、それを制御部１０へ転送するか否かを判定する。操作対象の監査に関しては、第一の実施例と同様に異常原因となった設備の識別情報３５が参照される。
【００５５】
上記構成では、認証サーバ４に集約した緊急度−厳密度変換部４０および鍵検証部５０により、緊急度集約値３４を用いてシステム全体としての認証の厳密度を決定した上で、その厳密度に応じてオペレータを認証する。これによれば、制御装置３の各々が認証機能を持つ場合に比べて、オペレータはシステムで一括して認証を受ければよく、かつその厳密度もシステムの代表値となるため、特に緊急時においてオペレータの混乱が軽減される。
【図面の簡単な説明】
【００５６】
【図１】本発明に係る制御装置システムの第一の実施形態を示す図である。
【図２】本発明に係る制御装置の緊急度評価手順の一例を示す図である。
【図３】本発明に係る制御装置の異常設備特定テーブルの一例を示す図である。
【図４】本発明に係る制御装置の猶予時間を求める方法の一例を示す図である。
【図５】本発明に係る制御装置の猶予時間と緊急度の関係を記述した緊急度テーブルの一例を示す図である。
【図６】本発明に係る制御装置の緊急度と認証厳密度の関係を記述した厳密度テーブルの一例を示す図である。
【図７】本発明に係る制御装置の緊急度と操作権限の関係を記述したテーブルの一例を示す図である。
【図８】本発明に係る制御装置システムの第二の実施形態を示す図である。
【符号の説明】
【００５７】
１，３  制御装置
２  設備群
４  認証サーバ
５  操作卓
１０  制御部
１１  観測値
１２  出力値
２０  診断部
２１  故障検出信号
３０  緊急度評価部
３１  緊急度
３２  強制停止指令
３３  緊急度集約部
３４  緊急度集約値
３５  設備識別情報
４０  緊急度厳密度変換部
４１  厳密度
５０  鍵検証部
５１  鍵情報
５２  認証成功信号
６０  権限制御部
６１  操作要求
６２  権限違反警告
６３  監査基準生成部
６４  権限監査部
６５  監査基準
【図１】
2008242874.tif 000003
【図２】
2008242874.tif 000004
【図３】
2008242874.tif 000005
【図４】
2008242874.tif 000006
【図５】
2008242874.tif 000007
【図６】
2008242874.tif 000008
【図７】
2008242874.tif 000009
【図８】
2008242874.tif 000010