(57)【特許請求の範囲】
【請求項１】
第１のゾーンに配置された安全計装システムと、
ネットワークを介して前記安全計装システムに接続され、前記第１のゾーンとは異なる第２のゾーンに配置された、プラントでの製品の製造を効率的に行うために構築される製造システムと、
前記第１のゾーンに設けられ、前記第１のゾーンに対する外部からのサイバー攻撃を検知する第１の検知手段と、
前記第２のゾーンに設けられ、前記第２のゾーンに対する外部からのサイバー攻撃を検知する第２の検知手段と、
前記第１のゾーンに配置され、或いは前記第１のゾーン及び前記第２のゾーンの何れにも配置されておらず、前記第１の検知手段の検知結果及び前記第２の検知手段の検知結果に基づいて、前記第１のゾーンと前記第２のゾーンとの間の通信或いは前記第１のゾーン又は前記第２のゾーン内の通信を制限する対策を行う防御手段と、
を備え、
前記第１の検知手段が前記第１のゾーンに対する外部からのサイバー攻撃を検知した場合、前記防御手段は、予め定められた方法で前記ネットワークを遮断する対策を行う
統合生産システム。
【請求項２】
前記防御手段は、前記第１の検知手段の検知結果及び前記第２の検知手段の検知結果に基づいて前記サイバー攻撃の対象及び種別を特定し、特定した前記サイバー攻撃の対象及び種別に応じた前記対策を設定する設定手段と、
前記設定手段で設定された前記対策を実行する実行手段と、
を備える請求項１記載の統合生産システム。
【請求項３】
前記設定手段は、前記サイバー攻撃の対象及び種別と、前記サイバー攻撃の対象及び種別に応じて行うべき対策とが対応付けられた設定リストを用いて前記対策を設定する、請求項２記載の統合生産システム。
【請求項４】
前記防御手段は、前記第１のゾーンに配置されており、前記ネットワークを介して前記第１の検知手段の検知結果及び前記第２の検知手段の検知結果を得るとともに、前記ネットワークを介して前記対策を行う、請求項１から請求項３の何れか一項に記載の統合生産システム。
【請求項５】
前記防御手段は、前記ネットワークとは異なる第１通信線を介して前記第１の検知手段の検知結果及び前記第２の検知手段の検知結果を得るとともに、前記ネットワークとは異なる第２通信線を介して前記対策を行う、請求項１から請求項３の何れか一項に記載の統合生産システム。
【請求項６】
前記製造システムは、製造実行システム、プラント情報管理システム、及び機器管理システムの少なくとも何れか１つのシステムを含み、
前記第１のゾーン及び前記第２のゾーンとは異なる第３のゾーンに配置された基幹業務システムを更に備える
請求項１から請求項５の何れか一項に記載の統合生産システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、統合生産システムに関する。
【背景技術】
【０００２】
従来から、プラントや工場等（以下、これらを総称する場合には、単に「プラント」という）においては、統合生産システムが構築されており、高度な自動操業が実現されている。このような統合生産システムは、安全性を確保しつつ高度な制御を行うために、プラントで実現される工業プロセスの制御を行うプロセス制御システムである分散制御システム（ＤＣＳ：Distributed Control System）等の制御システムと、安全計装システム（ＳＩＳ：Safety Instrumented System）等の安全システムとを備える。
【０００３】
上記の分散制御システムは、フィールド機器と呼ばれる現場機器（測定器、操作器）と、これらを制御するコントローラとが通信手段を介して接続され、フィールド機器で測定された測定データをコントローラが収集し、収集した測定データに応じてコントローラがフィールド機器を操作（制御）することによって工業プロセスにおける各種の状態量の制御を行うシステムである。上記の安全計装システムは、緊急時においてプラントを確実に安全な状態に停止させることで、人身事故や環境汚染を未然に防止するとともに、高価な設備の保護を図るシステムである。この安全計装システムは、プラントに異常事態が生じた場合に、「安全を守る最後の砦」としての役割を担っている。
【０００４】
上述した統合生産システムは、外部からのサイバー攻撃を受ける可能性が考えられる。このため、統合生産システムでは、分散制御システム及び安全計装システムの各々で個別に、或いは統合生産システム全体で、サイバー攻撃を受けた場合の対策（セキュリティ対策）が施されている。例えば、外部から統合生産システムへの侵入を防ぐためのファイアウォールの設置、或いはコンピュータに対するウィルス対策ソフト（ウィルス感染を検知してウィルスの除去を行うソフト）のインストール等が行われている。尚、分散制御システム及び安全計装システムの中核をなすコントローラは、独自のオペレーティングシステムを用いることで、サイバー攻撃に対する耐性が高められている。
【０００５】
統合生産システムは、複数のゾーンに区分けされており、上述したセキュリティ対策は基本的にゾーン毎に施されている。例えば、国際標準規格ＩＳＡ−９５（ＩＥＣ／ＩＳＯ ６２２６４）で規定されている階層構造に準じて構築されている統合生産システムは、階層を基準として複数のゾーンに区分けされており、上述したセキュリティ対策は階層毎に施されている。尚、以下の特許文献１，２には、制御系ネットワークのセキュリティを維持するための従来技術が開示されており、以下の特許文献３には、上述した国際標準規格ＩＳＡ−９５の階層構造に習ったツリービューを表示する従来技術が開示されている。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２０００−２６７９５７号公報
【特許文献２】特開２０１０−０８１６１０号公報
【特許文献３】特開２０１３−１６１４３２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
ところで、上述の通り、外部からのサイバー攻撃に対するセキュリティ対策は基本的にゾーン毎に施されていることから、サイバー攻撃が行われた場合のセキュリティ対策はゾーン毎に個別に実行されることになる。このため、従来の統合生産システムでは、各ゾーンのセキュリティ対策がサイバー攻撃に対して十分でない場合には、安全計装システムが属するゾーンまでサイバー攻撃が及んでしまい、最終的な防衛策は、安全計装システムが属するゾーンで施されているセキュリティ対策に依存してしまうという問題がある。
【０００８】
また、安全計装システムは、上位のシステムとの通信は通常行わないが、分散制御システムと通信する必要がある。一方、分散制御システムには、上位システムとの通信が求められる。すると、安全計装システムも、結果として上位システムと繋がることになるため、サイバー攻撃が及んでしまう可能性が考えられるという問題がある。
【０００９】
ここで、上述の通り、各ゾーンのセキュリティ対策がサイバー攻撃に対して十分でない場合には、安全計装システムが属するゾーンまでサイバー攻撃が及んでしまい、安全計装システム（或いは、安全計装システムで用いられるプログラムの作成を行うエンジニアリングステーション）の制御権が奪われる事態が生ずる虞が考えられる。このような事態が生じて安全計装システムの中核をなすコントローラのプログラムが書き換えられてしまうと「安全を守る最後の砦」としての役割が失われてしまうことから、上記の事態が生じないようにする必要がある。
【００１０】
本発明は上記事情に鑑みてなされたものであり、安全計装システムに対するサイバー攻撃を未然に防いで安全計装システムの健全性を担保することが可能な統合生産システムを提供することを目的とする。
【課題を解決するための手段】
【００１１】
上記課題を解決するために、本発明の統合生産システムは、ネットワークを介して接続され、互いに異なるゾーン（Ｚ１〜Ｚ３）に区分けされている安全計装システム（３０）及び上位システム（４０、５０）を備える統合生産システム（１〜３）において、前記ゾーン毎に設けられ、自ゾーンに対する外部からのサイバー攻撃を検知する検知手段（６０）と、前記検知手段の検知結果に基づいて、前記ゾーン間の通信或いは前記ゾーン内の通信を制限する対策を行う防御手段（７０）と、を備える。
また、本発明の統合生産システムは、前記防御手段が、前記検知手段の検知結果に基づいて前記サイバー攻撃の対象及び種別を特定し、特定した前記サイバー攻撃の対象及び種別に応じた前記対策を設定する設定手段（７１）と、前記設定手段で設定された前記対策を実行する実行手段（７２）と、を備える。
また、本発明の統合生産システムは、前記設定手段が、前記サイバー攻撃の対象及び種別と、前記サイバー攻撃の対象及び種別に応じて行うべき対策とが対応付けられた設定リスト（ＬＳ）を用いて前記対策を設定する。
また、本発明の統合生産システムは、前記防御手段が、前記安全計装システムが属するゾーンに区分けされており、前記ネットワークを介して前記検知手段の検知結果を得るとともに、前記ネットワークを介して前記対策を行う。
或いは、本発明の統合生産システムは、前記防御手段が、前記ネットワークとは異なる第１通信線（Ｌ１）を介して前記検知手段の検知結果を得るとともに、前記ネットワークとは異なる第２通信線（Ｌ２）を介して前記対策を行う。
また、本発明の統合生産システムは、前記防御手段が、前記ゾーンの何れか１つのゾーンに区分けされ、或いは前記ゾーンの何れにも区分けされていない。
また、本発明の統合生産システムは、前記上位システムが、製造実行システム、プラント情報管理システム、及び機器管理システムの少なくとも何れか１つのシステムを含む第１システム（４０）と、前記第１システムとは異なるゾーンに区分けされ、基幹業務システムを含む第２システム（５０）と、を備える。
【発明の効果】
【００１２】
本発明によれば、安全計装システム及び上位システムが区分けされるゾーン毎に検知手段を設け、検知手段の検知結果に基づいて防御手段がゾーン間の通信或いはゾーン内の通信を制限する対策を行うようにしているため、安全計装システムに対するサイバー攻撃を未然に防いで安全計装システムの健全性を担保することが可能であるという効果がある。
【図面の簡単な説明】
【００１３】
【図１】本発明の第１実施形態による統合生産システムの全体構成を示すブロック図である。
【図２】本発明の第１実施形態における防御装置の要部構成を示すブロック図である。
【図３】本発明の第１実施形態における設定リストの一例を示す図である。
【図４】本発明の第１実施形態における攻撃対象リスト及び対策リストの一例を示す図である。
【図５】本発明の第１実施形態における設定リストの他の例を示す図である。
【図６】本発明の第１実施形態における攻撃対象リスト及び対策リストの他の例を示す図である。
【図７】本発明の第１実施形態における防御装置の動作を示すフローチャートである。
【図８】本発明の第２実施形態による統合生産システムの全体構成を示すブロック図である。
【図９】本発明の第３実施形態による統合生産システムの全体構成を示すブロック図である。
【図１０】本発明のその他の実施形態による統合生産システムを示すブロック図である。
【発明を実施するための形態】
【００１４】
以下、図面を参照して本発明の実施形態による統合生産システムについて詳細に説明する。
【００１５】
〔第１実施形態〕
図１は、本発明の第１実施形態による統合生産システムの全体構成を示すブロック図である。図１に示す通り、本実施形態の統合生産システム１は、フィールド機器１０、分散制御システム（ＤＣＳ）２０、安全計装システム（ＳＩＳ）３０、製造システム４０（上位システム、第１システム）、経営システム５０（上位システム、第２システム）、検知装置６０（検知手段）、及び防御装置７０（防御手段）を備えており、プラントの自動操業を行うとともにプラントの維持管理等を行う。
【００１６】
この統合生産システム１は、国際標準規格ＩＳＡ−９５（ＩＥＣ／ＩＳＯ ６２２６４）で規定されている階層構造に準じて構築されている。具体的に、統合生産システム１は、レベル２の階層に分散制御システム２０及び安全計装システム３０が属し、レベル３の階層に製造システム４０が属し、レベル４の階層に経営システム５０が属するように構築されている。これら分散制御システム２０、安全計装システム３０、製造システム４０、及び経営システム５０に加えて、検知装置６０及び防御装置７０は、ネットワーク機器ＮＥ１〜ＮＥ６によって構成されるネットワークを介して接続されている。
【００１７】
また、統合生産システム１は、セキュリティ対策のために、上述した階層を基準として複数のゾーンに区分けされている。具体的に、統合生産システム１は、分散制御システム２０及び安全計装システム３０がゾーンＺ１に区分けされており、製造システム４０がゾーンＺ２に区分けされており、経営システム５０がゾーンＺ３に区分けされている。
【００１８】
ここで、上記のプラントとしては、化学等の工業プラントの他、ガス田や油田等の井戸元やその周辺を管理制御するプラント、水力・火力・原子力等の発電を管理制御するプラント、太陽光や風力等の環境発電を管理制御するプラント、上下水やダム等を管理制御するプラント等がある。
【００１９】
フィールド機器１０は、プラントの現場に設置されて分散制御システム２０の制御の下で工業プロセスの制御に必要な測定や操作を行う機器である。具体的に、フィールド機器１０は、例えば圧力計や流量計や温度センサやガスセンサや振動センサ等のセンサ機器、流量制御弁や開閉弁等のバルブ機器、ファンやモータ等のアクチュエータ機器、プラント内の状況や対象物を撮影するカメラやビデオ等の撮像機器、プラント内の異音等を収集したり警報音等を発したりするマイクやスピーカ等の音響機器、各機器の位置情報を出力する位置検出機器、その他の機器である。
【００２０】
フィールド機器１０は、分散制御システム２０又は安全計装システム３０と通信を行う。例えば、フィールド機器１０は、分散制御システム２０又は安全計装システム３０との間で、ネットワークや通信バス（図示省略）を介した有線通信、或いはＩＳＡ１００．１１ａやＷｉｒｅｌｅｓｓＨＡＲＴ（登録商標）等の産業用無線通信規格に準拠した無線通信を行う。
【００２１】
分散制御システム２０は、制御コントローラ２１、操作監視端末２２、及びエンジニアリング端末２３を備えており、フィールド機器１０で測定された測定データを収集し、収集した測定データに応じてフィールド機器１０を操作（制御）することによって各種の状態量の制御を行う。尚、分散制御システム２０によって制御される状態量は、工業プロセスにおける各種の状態量であり、例えば圧力、温度、流量等である。
【００２２】
制御コントローラ２１は、分散制御システム２０の中核をなす装置であり、フィールド機器１０からの測定データの収集、フィールド機器１０に対する操作（制御）を行う。操作監視端末２２は、例えばプラントの運転員によって操作され、プラントの運転状態の監視のために用いられる装置である。エンジニアリング端末２３は、制御コントローラ２１で実行されるプログラムを作成するための装置である。これら制御コントローラ２１、操作監視端末２２、及びエンジニアリング端末２３は、ネットワーク機器ＮＥ２を介して相互に接続されている。尚、上記のエンジニアリング端末２３は、例えば制御コントローラ２１で実行されるプログラムを作成する必要がない等の事情があれば省略されても良いし、常時ネットワークに接続されている必要はない。
【００２３】
安全計装システム３０は、安全コントローラ３１及びエンジニアリング端末３２を備えており、緊急時においてプラントを確実に安全な状態に停止させることで、人身事故や環境汚染を未然に防止するとともに、高価な設備の保護を図るシステムである。この安全計装システムは、プラントに異常事態が生じた場合に、「安全を守る最後の砦」としての役割を担っている。
【００２４】
安全コントローラ３１は、安全計装システム３０の中核をなす装置であり、フィールド機器１０、或いは他の安全コントローラ（図示省略）と通信を行って必要なデータを得てプラントに異常事態が生じたか否かを判断する。また、安全コントローラ３１は、プラントに異常事態が生じたと判断した場合に、安全制御を実現するための安全制御ロジックを実行する。エンジニアリング端末３２は、安全コントローラ３１で実行されるプログラムを作成するための装置である。これら安全コントローラ３１及びエンジニアリング端末２３は、ネットワーク機器ＮＥ１，ＮＥ２を介して相互に接続されている。尚、上記のエンジニアリング端末３２は、エンジニアリング端末２３と同様に、例えば安全コントローラ３１で実行されるプログラムを作成する必要がない等の事情があれば省略されても良いし、常時ネットワークに接続されている必要はない。
【００２５】
製造システム４０は、プラントでの製品の製造を効率的に行うために構築されるシステムである。例えば、製造システム４０は、製造実行システム（ＭＥＳ：Manufacturing Execution System）、プラント情報管理システム（ＰＩＭＳ：Plant Information Management System）、或いは機器管理システム（ＰＡＭ：Plant Asset Management）等である。この製造システム４０として、製造実行システム、プラント情報管理システム、及び機器管理システムの何れか１つのみが構築されていても良く、何れか２つ以上が構築されていても良い。尚、製造システム４０は、ネットワーク機器ＮＥ３，ＮＥ４を介して分散制御システム２０及び安全計装システム３０に接続されている。
【００２６】
経営システム５０は、企業における経営或いは営業等の業務を行うために構築されるシステムである。例えば、経営システム５０は、基幹業務システム（ＥＲＰ：Enterprise Resource Planning）等である。尚、経営システム５０は、ネットワーク機器ＮＥ５を介して製造システム４０に接続されており、ネットワーク機器ＮＥ６を介して不図示の他のネットワーク（例えば、インターネット）に接続されている。
【００２７】
検知装置６０は、前述したゾーンＺ１〜Ｚ３毎に設けられており、自ゾーンに対する外部からのサイバー攻撃を検知する装置である。ここで、外部からのサイバー攻撃としては、統合生産システム１への不正な侵入、統合生産システム１で用いられているプログラムの改竄、統合生産システム１で用いられるデータの詐取や破壊、統合生産システム１を機能不全に陥らせる行為、その他の行為が挙げられる。
【００２８】
検知装置６０は、ゾーンＺ１〜Ｚ３の各々の設計思想により実装され、例えば市販のウィルス対策ソフト（ウィルス感染を検知してウィルスの除去を行うソフト）、或いは侵入検知システム等を活用することが可能である。尚、本実施形態では、理解を容易にするために、検知装置６０が「装置」として実装される例について説明するが、検知装置６０の機能がソフトウェアによって実現されていても良い。
【００２９】
ゾーンＺ１〜Ｚ３の各々に設けられる検知装置６０は、ネットワーク機器ＮＥ１〜ＮＥ６によって構成されるネットワークに接続されており、サイバー攻撃を検知した場合には、その検知結果を、ネットワークを介して防御装置７０に送信する。具体的に、ゾーンＺ１に設けられる検知装置６０は、ネットワーク機器ＮＥ２，ＮＥ３に接続されており、ゾーンＺ２に設けられる検知装置６０は、ネットワーク機器ＮＥ４，ＮＥ５に接続されており、ゾーンＺ３に設けられる検知装置６０は、ネットワーク機器ＮＥ５，ＮＥ６に接続されている。
【００３０】
尚、ネットワーク機器ＮＥ１〜ＮＥ６は、ファイアウォール、ルータ、スイッチ等である。上記のネットワーク機器ＮＥ４は、ゾーンＺ１とゾーンＺ２との間に設けられており、上記のネットワーク機器ＮＥ５は、ゾーンＺ２とゾーンＺ３との間に設けられており、上記のネットワーク機器ＮＥ６は、ゾーンＺ３と不図示の他のネットワーク（例えば、インターネット）との間に設けられている。また、ネットワーク機器ＮＥ１は、安全コントローラ３１とネットワーク機器Ｎ２との間に設けられている。
【００３１】
防御装置７０は、検知装置６０から得られる検知結果に基づいて、外部からのサイバー攻撃を防ぐためのセキュリティ対策を行う。例えば、防御装置７０は、ゾーンＺ１〜Ｚ３間の通信を制限する対策、或いはゾーンＺ１内の通信を制限する対策を行う。この防御装置７０は、安全計装システム３０が属するゾーンＺ１に区分けされており、ネットワーク機器ＮＥ１〜ＮＥ６によって構成されるネットワークを介して検知装置６０の検知結果を得るとともに、ネットワーク機器ＮＥ１〜ＮＥ６によって構成されるネットワークを介して上述のセキュリティ対策を行う。
【００３２】
図２は、本発明の第１実施形態における防御装置の要部構成を示すブロック図である。図２に示す通り、防御装置７０は、設定部７１（設定手段）及び実行部７２（実行手段）を備える。設定部７１は、検知装置６０の検知結果に基づいてサイバー攻撃の対象及び種別等を特定し、特定した内容に応じたセキュリティ対策を設定する。ここで、設定部７１は、サイバー攻撃の対象及び種別等の一覧を示す攻撃対象リストと、サイバー攻撃の対象及び種別等に応じて行うべきセキュリティ対策の一覧を示す対策リストとが対応付けられた設定リストＬＳを用いて上述のセキュリティ対策を設定する。実行部７２は、設定部７１で設定されたセキュリティ対策を実行する。尚、本実施形態では、理解を容易にするために、防御装置７０が「装置」として実装される例について説明するが、検知装置６０と同様に、防御装置７０の機能がソフトウェアによって実現されていても良い。
【００３３】
図３は、本発明の第１実施形態における設定リストの一例を示す図である。また、図４は、本発明の第１実施形態における攻撃対象リスト及び対策リストの一例を示す図である。尚、図４（ａ）が、攻撃対象リストを示す図であり、図４（ｂ）が、対策リストを示す図である。図３，図４に示す通り、設定リストＬＳは、攻撃対象リストの「攻撃対象番号」（攻撃対象Ｎｏ．）、対策リストの「対策番号」（対策Ｎｏ．）、及び「対象機器」が対応付けられたリストである。尚、上記の「対象機器」は、セキュリティ対策が行われる対象となる機器である。
【００３４】
図４（ａ）に示す通り、攻撃対象リストは、「攻撃対象番号」（攻撃対象Ｎｏ．）、「ゾーン」、「機器」、「レベル」、及び「タイプ」が対応付けられたリストである。この攻撃対象リストは、どのゾーンのどの機器にどのような攻撃がなされたかを特定するために用いられるリストである。上記の「攻撃対象番号」は、統合生産システム１に対して行われる様々なサイバー攻撃を区別するために割り当てられる番号である。上記の「ゾーン」は、サイバー攻撃が行われたゾーンを特定するための情報である。
【００３５】
上記の「機器」は、サイバー攻撃が行われた機器を特定するための情報である。この「機器」としては、例えばパーソナルコンピュータ（ＰＣ)、コントローラ、スイッチ、ファイアウォール等が挙げられる。上記の「レベル」は、サイバー攻撃が機器のどの部分に対して行われているかを特定するための情報である。この「レベル」としては、オペレーティングシステム（ＯＳ）、ネットワーク、ハードウェア、アプリケーション等が挙げられる。上記の「タイプ」は、サイバー攻撃の種別を特定するための情報である。この「タイプ」としては、例えばウィルス、ＤｏＳ攻撃（Denial of Service attack）等が挙げられる。
【００３６】
図４（ｂ）に示す通り、対策リストは、「対策番号」（対策Ｎｏ．）と「アクション」とが対応付けられたリストである。上記の「対策番号」は、統合生産システム１で行われる様々なセキュリティ対策を区別するために割り当てられる番号である。上記の「アクション」は、サイバー攻撃が行われた場合に、サイバー攻撃に対して行うべきセキュリティ対策を規定した情報である。この「アクション」としては、例えばネットワークポートの論理的切断、或いはネットワークの物理的遮断等が挙げられる。
【００３７】
例えば、図３に示す設定リストＬＳの第４行目では、攻撃対象番号“Ａ４”、対策番号“Ｂ３”、及び対象機器“ＮＥ５，Ｎ２６”が対応付けられている。このような対応付けがなされていることで、サイバー攻撃によってゾーンＺ３に属するＰＣにウィルスが感染した場合には、ネットワーク機器ＮＥ５，ＮＥ６のネットワークポートを論理的に切断するセキュリティ対策が行われることになる。
【００３８】
また、例えば、図３に示す設定リストＬＳの第８行目では、攻撃対象番号“Ａ８”、対策番号“Ｂ５”、及び対象機器“ＮＥ１，ＮＥ２，ＮＥ３”が対応付けられている。このような対応付けがなされていることで、ゾーンＺ１に属するＰＣに対するサイバー攻撃が行われた場合には、ネットワーク機器ＮＥ１，ＮＥ２，ＮＥ３の電源を遮断して、ネットワークを物理的に遮断するセキュリティ対策が行われることになる。
【００３９】
また、例えば、図３に示す設定リストＬＳの第９行目では、攻撃対象番号“Ａ９”、対策番号“Ｂ２”、及び対象機器“ＨＭＩ２２，ＥＮＧ２３，３２”が対応付けられている。このような対応付けがなされていることで、ゾーンＺ１に属するＰＣに対してＵＳＢ（Universal Serial Bus）機器の挿入が検知された場合には、操作監視端末（ＨＭＩ）２２及びエンジニアリング端末（ＥＮＧ）２３，３２のイベントログにその旨を記録するとともに、操作監視端末（ＨＭＩ）２２にアラームを表示する対策が行われることになる。
【００４０】
図５は、本発明の第１実施形態における設定リストの他の例を示す図である。また、図６は、本発明の第１実施形態における攻撃対象リスト及び対策リストの他の例を示す図である。尚、図６（ａ）が、攻撃対象リストを示す図であり、図６（ｂ）が、対策リストを示す図である。図５に示す設定リストＬＳ、並びに図６に示す攻撃対象リスト及び対策リストは、図３，図４に示すものとは異なり、サイバー攻撃が検知された場合には、ネットワークの切断等は行わずに、管理者がサイバー攻撃への対応を判断するようにするものである。
【００４１】
例えば、図５に示す設定リストＬＳの第３行目では、攻撃対象番号“Ａ１３”、対策番号“Ｂ１３”、及び対象機器“ＨＭＩ２２，ＥＮＧ２３，３２”が対応付けられている。このような対応付けがなされていることで、ゾーンＺ１に属するＰＣに対する何らかのサイバー攻撃が検知された場合には、操作監視端末（ＨＭＩ）２２及びエンジニアリング端末（ＥＮＧ）２３，３２のイベントログにその旨を記録するとともに、操作監視端末（ＨＭＩ）２２にアラームを表示する対策が行われることになる。
【００４２】
次に、上記構成における統合生産システム１の動作について説明する。尚、統合生産システム１の動作は多岐に亘るが、以下では、主に検知装置６０及び防御装置７０で行われる動作（サイバー攻撃を検知して防御する動作）について説明する。図７は、本発明の第１実施形態における防御装置の動作を示すフローチャートである。尚、図７に示すフローチャートの処理は、例えば予め規定された一定の周期で実行される。
【００４３】
図７に示すフローチャートの処理が開始されると、まず、検知装置６０から得られる検知結果を読み込み（ステップＳ１１）、その検知結果を解析する処理（ステップＳ１２）が防御装置７０の設定部７１（図２参照）で行われる。次に、解析の結果に基づいて統合生産システム１に対するサイバー攻撃の有無を判断する処理が設定部７１で行われる（ステップＳ１３）。統合生産システム１に対するサイバー攻撃が無いと判断された場合（ステップＳ１３の判断結果が「ＮＯ」の場合に）には、図７に示す一連の処理が終了する。
【００４４】
これに対し、統合生産システム１に対するサイバー攻撃が有ったと判断された場合（ステップＳ１３の判断結果が「ＹＥＳ」の場合に）には、ステップＳ１２で行われた解析の結果から、サイバー攻撃の対象及び種別等を特定する処理が設定部７１で行われる（ステップＳ１４）。サイバー攻撃の対象及び種別等が特定されると、設定リストＬＳを用いて、特定された内容に応じたセキュリティ対策を設定する処理が設定部７１で行われる（ステップＳ１５）。セキュリティ対策が設定されると、設定されたセキュリティ対策を示す情報が設定部７１から実行部７２に出力され、設定部７１で設定されたセキュリティ対策を実行する処理が実行部７２で行われる（ステップＳ１６）。
【００４５】
ここで、例えばゾーンＺ３に属する経営システム５０で用いられているＰＣに対するサイバー攻撃が行われ、そのＰＣがウィルス感染したとする。すると、ゾーンＺ３に属する検知装置６０によって、ＰＣのウィルス感染が検知される。この検知結果は、防御装置７０の設定部７１に読み込まれて（ステップＳ１１）、解析が行われる（ステップＳ１２）。すると、図７に示すステップＳ１３の判断結果が「ＹＥＳ」となり、ステップＳ１４の処理によって、サイバー攻撃によってゾーンＺ３に属するＰＣにウィルスが感染した（攻撃対象番号“Ａ４”）と特定される。
【００４６】
サイバー攻撃の対象及び種別等が特定されると、図３に示す設定リストＬＳの第４行目から攻撃対象番号“Ａ４”に対応付けられている対策番号“Ｂ３”及び対象機器“ＮＥ５，Ｎ２６”に基づいて、ネットワーク機器ＮＥ５，ＮＥ６のネットワークポートを論理的に切断するセキュリティ対策が設定される（ステップＳ１５）。そして、防御装置７０の設定部７１によって設定されたセキュリティ対策が実行部７２で行われ、ネットワーク機器ＮＥ５，ＮＥ６のネットワークポートが論理的に切断される（ステップＳ１６）。以上の処理が行われることで、ウィルスに感染したＰＣが、他のゾーン（ゾーンＺ１，Ｚ２）に属する機器と通信を行ってウィルス感染が拡大するといった事態を防止することができる。
【００４７】
また、例えばゾーンＺ１に属するＰＣに対するサイバー攻撃が行われたとする。すると、ゾーンＺ１に属する検知装置６０によって、ＰＣに対するサイバー攻撃が検知される。この検知結果は、防御装置７０の設定部７１に読み込まれて（ステップＳ１１）、解析が行われる（ステップＳ１２）。すると、図７に示すステップＳ１３の判断結果が「ＹＥＳ」となり、ステップＳ１４の処理によって、サイバー攻撃によってゾーンＺ１に属するＰＣに対するサイバー攻撃が行われた（攻撃対象番号“Ａ８”）と特定される。
【００４８】
サイバー攻撃の対象及び種別等が特定されると、図３に示す設定リストＬＳの第８行目から攻撃対象番号“Ａ８”に対応付けられている対策番号“Ｂ５”及び対象機器“ＮＥ１，ＮＥ２，ＮＥ３”に基づいて、ネットワーク機器ＮＥ１，ＮＥ２，ＮＥ３の電源を遮断して、ネットワークを物理的に遮断するセキュリティ対策が設定される（ステップＳ１５）。そして、防御装置７０の設定部７１によって設定されたセキュリティ対策が実行部７２で行われ、ネットワーク機器ＮＥ１，ＮＥ２，ＮＥ３の電源を遮断して、ゾーンＺ１内においてネットワークが物理的に遮断される（ステップＳ１６）。
【００４９】
以上の処理が行われることで、サイバー攻撃が行われたＰＣと安全計装システム３０の中核をなす安全コントローラ３１とがゾーンＺ１内において物理的に切り離される。これにより、安全コントローラ３１、安全計装システム３０に対するサイバー攻撃を未然に防ぐことができ、安全計装システム３０の健全性を担保することができることから、「安全を守る最後の砦」としての役割が失われることはない。
【００５０】
以上の通り、本実施形態では、安全計装システム３０、製造システム４０、及び経営システム５０が区分けされるゾーンＺ１，Ｚ２，Ｚ３毎に外部からのサイバー攻撃を検知する検知装置６０を設け、検知装置６０の検知結果に基づいて、ゾーンＺ１〜Ｚ３間の通信或いは前記ゾーンＺ１内の通信を防御装置７０によって制限する対策を行うようにしている。このため、安全計装システム３０に対するサイバー攻撃を未然に防ぐことができ、安全計装システム３０の健全性を担保することができる。また、サイバー攻撃の脅威に応じた対応策を設定することで、プラントを不用意に停止させることなく、サイバー攻撃を効果的に防ぐことが可能である。
【００５１】
〔第２実施形態〕
図８は、本発明の第２実施形態による統合生産システムの全体構成を示すブロック図である。尚、図８においては、図１に示す構成と同じ構成（或いは、図１に示す構成に相当する構成）には同一の符号を付してある。図８に示す通り、本実施形態の統合生産システム２は、図１に示す統合生産システム１と概ね同様の構成である。但し、本実施形態の統合生産システム２は、検知装置６０と防御装置７０とが、ネットワーク（ネットワーク機器ＮＥ１〜ＮＥ６によって構成されるネットワーク）とは異なる通信線Ｌ１（第１通信線）を介して接続されている点、及び防御装置７０とネットワーク機器ＮＥ１〜ＮＥ６とが、上記ネットワークとは異なる通信線Ｌ２（第２通信線）を介して接続されている点が、図１に示す統合生産システム１とは異なる。
【００５２】
通信線Ｌ１は、例えば接点信号を伝送するための伝送線、アナログ信号を伝送するための伝送線であり、検知装置６０で検知された検知結果を防御装置７０に送信するためのものである。尚、通信線Ｌ１は、検知装置６０と防御装置７０とを１対１で接続するものであっても良く、複数の検知装置６０と防御装置７０とをネットワークの形態で接続するものであっても良い。
【００５３】
通信線Ｌ２は、通信線Ｌ１と同様に、例えば接点信号を伝送するための伝送線、アナログ信号を伝送するための伝送線であり、防御装置７０から送信される信号（セキュリティ対策を行うための信号）をネットワーク機器ＮＥ１〜ＮＥ６に送信するためのものである。尚、通信線Ｌ２は、通信線Ｌ１と同様に、防御装置７０とネットワーク機器ＮＥ１〜ＮＥ６とを１対１で接続するものであっても良く、防御装置７０とネットワーク機器ＮＥ１〜ＮＥ６とをネットワークの形態で接続するものであっても良い。
【００５４】
このように、通信線Ｌ１によって検知装置６０と防御装置７０とを接続し、通信線Ｌ２によって防御装置７０とネットワーク機器ＮＥ１〜ＮＥ６とを接続するのは、外部からのサイバー攻撃をより確実に防ぐことができるようにするためである。つまり、サイバー攻撃がなされると、ネットワーク機器ＮＥ１〜ＮＥ６によって構成されるネットワークを介した通信ができなくなる可能性が考えられる。仮に、ネットワークを介した通信ができなくなったとしても、通信線Ｌ１及び通信線Ｌ２を介した通信が可能であれば、検知装置６０の検知結果を防御装置７０に送信することができ、且つ防御装置７０によるセキュリティ対策（例えば、ゾーンＺ１〜Ｚ３間の通信を制限する対策、或いはゾーンＺ１内の通信を制限する対策）を実施することができるため、外部からのサイバー攻撃をより確実に防ぐことができる。
【００５５】
尚、本実施形態の統合生産システム２は、検知装置６０の検知結果が通信線Ｌ１を介して防御装置７０に送信され、防御装置７０からの信号（セキュリティ対策を行うための信号）が通信線Ｌ２を介してネットワーク機器ＮＥ１〜ＮＥ６に送信される点を除いて第１実施形態の統合生産システム１と同様である。このため、本実施形態の統合生産システム２の動作は、基本的には第１実施形態の統合生産システム１と同様であるため、ここでの詳細な説明は省略する。
【００５６】
以上の通り、本実施形態においても、第１実施形態と同様に、安全計装システム３０、製造システム４０、及び経営システム５０が区分けされるゾーンＺ１，Ｚ２，Ｚ３毎に外部からのサイバー攻撃を検知する検知装置６０を設け、検知装置６０の検知結果に基づいて、ゾーンＺ１〜Ｚ３間の通信或いは前記ゾーンＺ１内の通信を防御装置７０によって制限する対策を行うようにしている。このため、安全計装システム３０に対するサイバー攻撃を未然に防ぐことができ、安全計装システム３０の健全性を担保することができる。また、サイバー攻撃の脅威に応じた対応策を設定することで、プラントを不用意に停止させることなく、サイバー攻撃を効果的に防ぐことが可能である。
【００５７】
〔第３実施形態〕
図９は、本発明の第３実施形態による統合生産システムの全体構成を示すブロック図である。尚、図９においては、図１，図８に示す構成と同じ構成（或いは、図１，図８に示す構成に相当する構成）には同一の符号を付してある。図９に示す通り、本実施形態の統合生産システム３の構成は、図８に示す統合生産システム２とほぼ同様の構成である。但し、本実施形態の統合生産システム３は、防御装置７０がゾーンＺ１〜Ｚ３の何れにも区分けされていない（防御装置７０がゾーンＺ１〜Ｚ３の何れにも属していない）点が、図８に示す統合生産システム２とは異なる。
【００５８】
図８に示す統合生産システム２のように、安全計装システム３０が区分けされているゾーンＺ１に防御装置７０が区分けされている場合には、「安全を守る最後の砦」としての役割を担う安全計装システム３０と、この安全計装システム３０を防御する防御装置７０とを一体的に構築することができる。これに対し、本実施形態の統合生産システム３のようにすることで、安全計装システム３０と防御装置７０とを別々に構築することができ、構築の自由度を高めることができる。
【００５９】
尚、本実施形態においても、第１，第２実施形態と同様に、安全計装システム３０、製造システム４０、及び経営システム５０が区分けされるゾーンＺ１，Ｚ２，Ｚ３毎に外部からのサイバー攻撃を検知する検知装置６０を設け、検知装置６０の検知結果に基づいて、ゾーンＺ１〜Ｚ３間の通信或いは前記ゾーンＺ１内の通信を防御装置７０によって制限する対策を行うようにしている。このため、安全計装システム３０に対するサイバー攻撃を未然に防ぐことができ、安全計装システム３０の健全性を担保することができる。また、サイバー攻撃の脅威に応じた対応策を設定することで、プラントを不用意に停止させることなく、サイバー攻撃を効果的に防ぐことが可能である。
【００６０】
また、本実施形態においては、第２実施形態と同様に、通信線Ｌ１によって検知装置６０と防御装置７０とを接続し、通信線Ｌ２によって防御装置７０とネットワーク機器ＮＥ１〜ＮＥ６とを接続している。このため、仮にネットワーク機器ＮＥ１〜ＮＥ６によって構成されるネットワークを介した通信ができなくなったとしても、検知装置６０の検知結果を防御装置７０に送信することができ、且つ防御装置７０によるセキュリティ対策を実施することができるため、外部からのサイバー攻撃をより確実に防ぐことができる。
【００６１】
〔その他の実施形態〕
図１０は、本発明のその他の実施形態による統合生産システムを示すブロック図である。図１０においては、図１，図８，図９に示す構成と同じ構成（或いは、図１，図８，図９に示す構成に相当する構成）には同一の符号を付してある。また、図１０においては、フィールド機器１０及びネットワーク機器ＮＥ１〜ＮＥ６等を省略して図示を簡略化している。
【００６２】
図１０（ａ）に示す実施形態の統合生産システムは、製造システム４０と経営システム５０とが１つのゾーンＺ２０に区分けされ、そのゾーンＺ２０に１つの検知装置６０が設けられたものである。第１〜第３実施形態の統合生産システム１〜３は、階層を基準として複数のゾーンＺ１〜Ｚ３に区分けされていたが、本実施形態のように、複数の階層が１つのゾーンに区分けされていても良い。
【００６３】
図１０（ｂ）に示す実施形態の統合生産システムは、分散制御システム２０及び安全計装システム３０を複数備えるものである。この態様の統合生産システムでは、分散制御システム２０、安全計装システム３０、検知装置６０、及び防御装置７０が１つずつゾーンＺ１１，Ｚ１２にそれぞれ区分けされている。尚、図１０（ｂ）に示す態様の統合生産システムでは、安全計装システム３０と防御装置７０とが対応付けられており、防御装置７０は、対応付けられた安全計装システム３０に対するサイバー攻撃を未然に防ぐように動作する。
【００６４】
また、上述した第２実施形態において、防御装置７０は、安全計装システム３０が区分けされているゾーンＺ１に区分けされていたが、防御装置７０は、必ずしもゾーンＺ１に区分けされている必要は無い。例えば、防御装置７０は、安全計装システム３０が区分けされているゾーンＺ１とは異なるゾーン（ゾーンＺ２，Ｚ３の何れか）に区分けされていても良い。
【００６５】
以上、本発明の実施形態による統合生産システムについて説明したが、本発明は上述した実施形態に制限されることなく、本発明の範囲内で自由に変更が可能である。例えば、上述した実施形態では、統合生産システムが、セキュリティ対策のために、国際標準規格ＩＳＡ−９５（ＩＥＣ／ＩＳＯ ６２２６４）で規定されている階層を基準として複数のゾーンＺ１〜Ｚ３に区分けされている例について説明した。しかしながら、統合生産システムは、必ずしも上記の規格に準拠して構築されている必要はない。また、セキュリティ対策のためのゾーンは、図１０に例示する通り、任意に設定することができ、統合生産システムをなす構成を何れのゾーンに区分けするかも任意に設定することができる。
【００６６】
また、上述した実施形態では、理解を容易にするために、安全計装システム３０に対するサイバー攻撃を防御する例について説明した。しかしながら、安全計装システム３０に加えて、分散制御システム２０への影響を考慮して、セキュリティ対策を行うようにしても良い。
【符号の説明】
【００６７】
１〜３        統合生産システム
３０          安全計装システム
４０          製造システム
５０          経営システム
６０          検知装置
７０          防御装置
７１          設定部
７２          実行部
Ｌ１          通信線
Ｌ２          通信線
ＬＳ          設定リスト
Ｚ１〜Ｚ３    ゾーン
【図１】
0006759572.tif 000002
【図２】
0006759572.tif 000003
【図３】
0006759572.tif 000004
【図４】
0006759572.tif 000005
【図５】
0006759572.tif 000006
【図６】
0006759572.tif 000007
【図７】
0006759572.tif 000008
【図８】
0006759572.tif 000009
【図９】
0006759572.tif 000010
【図１０】
0006759572.tif 000011