(57)【要約】【課題】簡単な構成でセキュリティを強化することが可能な監視制御システムを提供する。【解決手段】ＰＬＣ（プログラマブル・ロジック・コントローラ）部１０のＰＬＣ１が、ＰＬＣ１がシステム内で共通に使用するキーコードを作成して他の各ＰＬＣ及びＨＭＩ（ヒューマン・インタフェース）部３０の各ＨＭＩに分配する。ＰＬＣ部１０とＨＭＩ部３０との間の通信時、通信パケットにキーコードを書き込み送信し、通信パケットを受信した際キーコードが正しいときはそのデータを採用して処理を行い、正しくないときはそのデータを破棄する。これにより、第三者がフォーマットに則っている異常な誤動作を狙ったパケットを流した場合、それを破棄でき、簡単な構成でセキュリティを強化できる。【選択図】  図１
2004151807.tif 000002
【特許請求の範囲】
【請求項１】
少なくとも１つの制御装置と少なくとも１つの監視装置を有し、制御装置と監視装置との間で通信を行う監視制御システムにおいて、少なくとも１つの制御装置または少なくとも１つの監視装置のうちの１つの装置に設けられ、キーコードを作成するキーコード作成手段と、このキーコード作成手段により作成されたキーコードを、キーコードを作成した装置以外の制御装置及び監視装置に送信する送信手段と、キーコードを作成した装置以外の制御装置及び監視装置に設けられ、前記送信手段により送信されたキーコードを受信する受信手段と、キーコードを作成した装置においては作成されたキーコードを、キーコードを作成した装置以外の制御装置及び監視装置においては受信されたキーコードをそれぞれ記憶する記憶手段と、前記制御装置及び前記監視装置のそれぞれに設けられ、通信パケットを送信する際に、通信パケットに、前記記憶手段に記憶されたキーコードを書き込み送信する手段と、前記制御装置及び前記監視装置のそれぞれに設けられ、通信パケットを受信した際に、通信パケットに書込まれているキーコードと前記記憶手段に記憶されたキーコードとを比較し、受信した通信パケットのキーコードが正しいかどうかを判定する判定手段と、この判定手段の判定結果により、キーコードが正しい場合には受信した通信パケットのデータを採用して処理を行い、正しくない場合には通信パケットのデータを破棄する処理手段とを備えたことを特徴とする監視制御システム。
【請求項２】
少なくとも１つの制御装置と少なくとも１つの監視装置を有し、制御装置と監視装置との間で通信を行う監視制御システムにおいて、少なくとも１つの制御装置及び少なくとも１つの監視装置のそれぞれの装置に設けられ、キーコードを作成するキーコード作成手段と、前記制御装置に設けられ、前記キーコード作成手段により作成されたキーコードを、前記監視装置に送信する送信手段と、前記監視装置に設けられ、前記制御装置の送信手段から送信されたキーコードを受信する受信手段と、前記監視装置に設けられ、前記キーコード作成手段により作成されたキーコードを、前記制御装置に送信する送信手段と、前記制御装置に設けられ、前記監視装置の送信手段から送信されたキーコードを受信する受信手段と、前記制御装置及び前記監視装置のそれぞれの装置に設けられ、作成したキーコードを記憶する第１の記憶手段と、前記制御装置及び前記監視装置のそれぞれの装置に設けられ、前記受信手段により受信されたキーコードをそれぞれ記憶する第２の記憶手段と、前記制御装置及び前記監視装置のそれぞれに設けられ、通信パケットを送信する際に、通信パケットに、前記第１の記憶手段に記憶されたキーコードを書き込み送信する手段と、前記制御装置及び前記監視装置のそれぞれに設けられ、通信パケットを受信した際に、通信パケットに書込まれているキーコードと前記第２の記憶手段に記憶されたキーコードとを比較し、受信した通信パケットのキーコードが正しいかどうかを判定する判定手段と、この判定手段の判定結果により、キーコードが正しい場合には受信した通信パケットのデータを採用して処理を行い、正しくない場合には通信パケットのデータを破棄する処理手段とを備えたことを特徴とする監視制御システム。
【請求項３】
請求項１または請求項２に記載の監視制御システムにおいて、前記キーコードを発生させる更新間隔を設定する設定手段を備え、前記キーコード作成手段は、前記設定手段により設定された更新間隔で、新キーコードを作成するものであることを特徴とする監視制御システム。
【請求項４】
請求項１乃至請求項３のいずれかに記載の監視制御システムにおいて、前記処理手段は、前記判定手段の判定結果により、キーコードが正しくない場合には、通信パケットのデータを破棄するとともに、警報を発信するものであることを特徴とする監視装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、プラント制御で用いる、複数の汎用ＰＬＣ（Ｐｒｏｇｒａｍｍａｂｌｅ  Ｌｏｇｉｃ  Ｃｏｎｔｒｏｌｌｅｒ、プログラマブル・ロジック・コントローラ）（以下ＰＬＣと称する。）と複数の汎用ＨＭＩ（Ｈｕｍａｎ  Ｉｎｔｅｒｆａｃｅ、ヒューマン・インターフェース）（以下ＨＭＩと称する）を組み合わせた監視制御システムに関し、特に、パケット単位のデータ送受信を行うもののうち、パケットにセキュリティを強化した機能を含めたものに関する。
【０００２】
【従来の技術】
近年、プラント制御で用いる監視制御システムでは、複数の汎用ＰＬＣと複数の汎用ＨＭＩを組み合わせたシステムが見られる。このシステムにおいて、ＰＬＣとＨＭＩ間の通信はＣＳＭＡ／ＣＤ方式のＬＡＮ（例えばイーサネット（登録商標））を用いる場合が増えてきた。代表的なプロトコルはＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ／ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ）あるいはＵＤＰ（Ｕｓｅｒ  Ｄａｔａｇｒａｍ  Ｐｒｏｔｏｃｏｌ）である。通信パケットのフォーマットは通常固定で決まっており、フォーマットに則った形式のパケットがＰＬＣとＨＭＩ間で通信し合う。
【０００３】
もし第三者がこのネットワークに侵入し、同フォーマットに則っている異常な誤動作を狙ったパケットを流した場合、システムが誤動作する恐れがある。最近ネットワークセキュリティを掻い潜り、ＨＰ（Ｈｏｍｅ  ｐａｇｅ）を改ざんされたという例が見られる。近年は外部のネットワークに接続する工場や事業所が増えてきている。工場や事業所のようなプラント設備にハッカーがアタックした例はあまり見受けられないが、工場や事業所が外部ネットワークに接続する限り悪意を持った第三者から攻撃を受ける可能性がある。もしくは内部者による内部からの攻撃も考えられる。
【０００４】
また、従来、例えばシステムを、暗号鍵を用いた暗号通信システムとすることにより、セキュリティを強化したシステムが考えられている（例えば特許文献１参照。）。
【０００５】
【特許文献１】
特開平１１−２４３３８８号（第６−７頁、図１、図２）
【０００６】
【発明が解決しようとする課題】
上述のように、従来の監視制御システムにおいては、第三者がネットワークに侵入し、そのフォーマットに則っている異常な誤動作を狙ったパケットを流した場合、システムが誤動作する恐れがあるという問題点があった。
【０００７】
また、暗号鍵を用いた暗号通信システムとするには、システムの構成が複雑となるという問題点があった。
【０００８】
本発明は、このような従来技術の欠点を解消し、悪意を持った第三者がシステムのネットワークに侵入しそのフォーマットに則っている異常な誤動作を狙ったパケットを流した場合、それを破棄できる可能性を高めることができ、簡単な構成でセキュリティを強化することが可能な監視制御システムを提供することを目的とする。
【０００９】
【課題を解決するための手段】
本発明は、少なくとも１つの制御装置と少なくとも１つの監視装置を有し、制御装置と監視装置との間で通信を行う監視制御システムにおいて、少なくとも１つの制御装置または少なくとも１つの監視装置のうちの１つの装置に設けられ、キーコードを作成するキーコード作成手段と、このキーコード作成手段により作成されたキーコードを、キーコードを作成した装置以外の制御装置及び監視装置に送信する送信手段と、キーコードを作成した装置以外の制御装置及び監視装置に設けられ、送信手段により送信されたキーコードを受信する受信手段と、キーコードを作成した装置においては作成されたキーコードを、キーコードを作成した装置以外の制御装置及び監視装置においては受信されたキーコードをそれぞれ記憶する記憶手段と、制御装置及び監視装置のそれぞれに設けられ、通信パケットを送信する際に、通信パケットに、記憶手段に記憶されたキーコードを書き込み送信する手段と、制御装置及び監視装置のそれぞれに設けられ、通信パケットを受信した際に、通信パケットに書込まれているキーコードと記憶手段に記憶されたキーコードとを比較し、受信した通信パケットのキーコードが正しいかどうかを判定する判定手段と、この判定手段の判定結果により、キーコードが正しい場合には受信した通信パケットのデータを採用して処理を行い、正しくない場合には通信パケットのデータを破棄する処理手段とを備えたことを特徴とする。
【００１０】
このような構成の本発明によれば、悪意を持った第三者がシステムのネットワークに侵入しそのフォーマットに則っている異常な誤動作を狙ったパケットを流した場合、それを破棄できる可能性を高めることができ、簡単な構成でセキュリティを強化することができる。
【００１１】
また、監視装置及び制御装置以外の他のサーバまたは監視装置及び制御装置内のサーバが認証鍵を与える方式と異なり、監視装置と制御装置のみで簡単に実装することができ、コストの削減、システム信頼性の向上を図ることができる。
【００１２】
また、本発明は、少なくとも１つの制御装置と少なくとも１つの監視装置を有し、制御装置と監視装置との間で通信を行う監視制御システムにおいて、少なくとも１つの制御装置及び少なくとも１つの監視装置のそれぞれの装置に設けられ、キーコードを作成するキーコード作成手段と、制御装置に設けられ、キーコード作成手段により作成されたキーコードを、監視装置に送信する送信手段と、監視装置に設けられ、制御装置の送信手段から送信されたキーコードを受信する受信手段と、監視装置に設けられ、キーコード作成手段により作成されたキーコードを、制御装置に送信する送信手段と、制御装置に設けられ、監視装置の送信手段から送信されたキーコードを受信する受信手段と、制御装置及び監視装置のそれぞれの装置に設けられ、作成したキーコードを記憶する第１の記憶手段と、制御装置及び監視装置のそれぞれの装置に設けられ、受信手段により受信されたキーコードをそれぞれ記憶する第２の記憶手段と、制御装置及び監視装置のそれぞれに設けられ、通信パケットを送信する際に、通信パケットに、第１の記憶手段に記憶されたキーコードを書き込み送信する手段と、制御装置及び監視装置のそれぞれに設けられ、通信パケットを受信した際に、通信パケットに書込まれているキーコードと第２の記憶手段に記憶されたキーコードとを比較し、受信した通信パケットのキーコードが正しいかどうかを判定する判定手段と、この判定手段の判定結果により、キーコードが正しい場合には受信した通信パケットのデータを採用して処理を行い、正しくない場合には通信パケットのデータを破棄する処理手段とを備えたことを特徴とする。
【００１３】
このような構成の本発明によれば、悪意を持った第三者がシステムのネットワークに侵入しそのフォーマットに則っている異常な誤動作を狙ったパケットを流した場合、それを破棄できる可能性を高めることができ、簡単な構成でセキュリティを強化することができる。
【００１４】
また、監視装置及び制御装置以外の他のサーバまたは監視装置及び制御装置内のサーバが認証鍵を与える方式と異なり、監視装置と制御装置のみで簡単に実装することができ、コストの削減、システム信頼性の向上を図ることができる。
【００１５】
さらに、制御装置及び監視装置のそれぞれが送信するパケットについて、それぞれのパケットの送信元が作成したキーコードを用いるため、それぞれの送信元に対応したセキュリティの強化を図ることができる。
【００１６】
【発明の実施の形態】
以下、図面を参照して本発明の実施形態について詳細に説明する。なお、以下の図において、同符号は同一部分または対応部分を示す。
【００１７】
＜第１の実施形態＞
図１は、本発明の第１の実施形態に係る監視制御システムの概略構成を示す図である。
【００１８】
同図に示すように、複数のＰＬＣすなわちＰＬＣ１、ＰＬＣ２、…、ＰＬＣＭからなるＰＬＣ部１０と、複数のＨＭＩすなわちＨＭＩ１、ＨＭＩ２、…、ＨＭＩＮからなるＨＭＩ部３０とは、ネットワーク５０で接続されている。
【００１９】
ＰＬＣ部１０の各ＰＬＣはそれぞれ固有のＰＬＣ番号を持つ。
【００２０】
この実施形態においては、ＰＬＣ１はキーコード配信サーバの機能を持つ。ＰＬＣ１がキーコードを作成して他の各ＰＬＣ及びＨＭＩ部３０の各ＨＭＩに分配する。ＰＬＣ例えばＰＬＣ１がキーコードを作成する理由は、ＰＬＣはパソコンベースのＨＭＩより故障が少なく信頼性が高いこと、及びＰＬＣはＨＭＩよりシャットダウンされることが少ないからである。つまりＰＬＣの方がＨＭＩよりＭＴＢＦ（Ｍｅａｎ  Ｔｉｍｅ  Ｂｅｔｗｅｅｎ  Ｆａｉｌｕｒｅ、平均故障間隔）が長いことによる。ＰＬＣ１が作成したキーコードをシステム全体のキーコードとみなす。
【００２１】
次に、この実施形態の動作について説明する。
【００２２】
（新キーコードを他のＰＬＣとＨＭＩに指示する場合）
まず、新キーコード配信の動作について説明する。図２は、新キーコード配信の動作を説明するための図で、この図では、ＰＬＣの代表として１番目のＰＬＣすなわちＰＬＣ１と、他のＰＬＣの一つが示されている。
【００２３】
ＰＬＣ１のキーコード指示管理部１１が特定のタイミングでキーコード作成をキーコード生成部１２に指示する。ここで言う特定のタイミングとは例えば１時間に１回などを意味する。特定のタイミングは図３のようにＰＬＣに記憶されている。記憶されている時間を周期（更新間隔）としてキーコードを更新する。
【００２４】
タイミングは、図４における新キーコード作成開始Ｔ１である。このタイミングＴ１で、キーコード生成部１２はキーコードを生成する。図２で情報の流れを示す。キーコード生成部１２は、キーコード生成部１２内のキーコード一時記憶部にそのキーコードをコピーする。キーコード生成部１２は、通信パケットのパケットフォーマットのキーコード部にキーコードを記入する。
【００２５】
このパケットフォーマットのデータ部に、本パケットはキーコード指示であることを認識させるキーコード指示部がある。キーコード指示部は０／１（０：オフ、１：キーコード指示）の値を取る。キーコードをＨＭＩ部３０及び他ＰＬＣに指示するときのみ、キーコード指示部は１の値を取り、他の場合は０となる。
【００２６】
パケットは送信部１３からＨＭＩ部３０と他のＰＬＣに送信され、ＨＭＩ部３０及び他のＰＬＣの受信部３１、２１が、それぞれそのパケットを受信する。
【００２７】
ＨＭＩ部３０及び他のＰＬＣのキーコード指示部判定部３２、２２は、それぞれ受信したパケットのキーコード指示部が１なら、新しいキーコードが送られてきたと判断し、それぞれのＰＬＣからのキーコード記憶部３３、２３に記憶する。以上により、ＰＬＣ部１０のＰＬＣ１で作成したキーコードがＨＭＩ部３０側と他のＰＬＣで記憶された。
【００２８】
ＨＭＩ部３０と他のＰＬＣは、キーコードが正しく記憶されたことをＰＬＣ１に通報するため、ＨＭＩ部３０と他のＰＬＣは確認パケットフォーマットのキーコード確認部に１を書いたパケットを、送信部３４、２４からそれぞれＰＬＣ１に送信する。キーコード確認部は０／１／−１（０：オフ、１：正常記憶、−１：異常）の値を取る。また、このＰＬＣ１に送信する確認パケットフォーマットのキーコード部には、今回ＰＬＣ１から受け取ったキーコードを記す。
【００２９】
ＰＬＣ１は受信部１４によりＨＭＩ部３０から受信した確認パケットフォーマットのキーコード確認部とキーコード部とＨＭＩ番号から、各ＨＭＩが正しくキーコードを受け取ったか判断する。
【００３０】
ＰＬＣ１は受信部１４により他のＰＬＣから受信した確認パケットフォーマットのキーコード確認部とキーコード部とＰＬＣ番号から、各ＰＬＣが正しくキーコードを受け取ったか判断する。
【００３１】
正常に起動している全ＨＭＩ及び全ＰＬＣが正しくキーコードを受け取ったと判断できるまで、正しく受け取れなかったＨＭＩ及びＰＬＣに対して、同様の上記動作を繰り返す。
【００３２】
図４の新キーコード通報開始Ｔａから新キーコード確認受取Ｔｂまでの区間は更新前のキーコードを使用する。
【００３３】
通常は、リトライが発生しても、ＨＭＩ及びＰＬＣに対しての通報は最終的に成功する。全ＨＭＩ及び全ＰＬＣが正しくキーコードを受け取ったと判断したときキーコード生成部１２内のキーコード一時記憶部にコピーされていたキーコードをＰＬＣのキーコード記憶部１５に送り記憶する。もし規定回数以上通報が成功しない場合、システムに重大な故障が発生している可能性があるので警報発信する。
【００３４】
以上の新キーコード配信の動作を説明するためのフローチャートを図１１に示す。同図に示すように、キーコード指示管理部１１で時間カウントを行い（ステップＳ１１１）、特定タイミングの設定時間になると（ステップＳ１１２）、キーコード指示管理部１１は、キーコード生成部１２に指示してキーコードを作成させ（ステップＳ１１３）、時間カウントをリセットする（ステップＳ１１４）。キーコード生成部１２は作成したキーコードをキーコード一時記憶部（ｔｍｐ）にコピーする（ステップＳ１１５）。キーコードを記入したパケットは送信部１３からＨＭＩ部３０と他のＰＬＣに送信される（ステップＳ１１６）。全ＨＭＩ及び全ＰＬＣが正しくキーコードを受信するとキーコード一時記憶部（ｔｍｐ）にコピーされていたキーコードをＰＬＣのキーコード記憶部１５に送り記憶する（ステップＳ１１７、ステップＳ１１８）。正しく受信されなかったＨＭＩ及びＰＬＣがあると、同様の上記動作を繰り返し（ステップＳ１１６、ステップＳ１１７、ステップＳ１１９）、正しく受信されなかった回数が許容値を超えた場合、通信異常として警報発信する（ステップＳ１１９、ステップＳ１２０）。
【００３５】
（新キーコードが他のＰＬＣとＨＭＩに持たれている場合）
次に、図５を参照して、新キーコード配信後のＰＬＣ部１０とＨＭＩ部３０との間の通信について説明する。本段階は図４の新キーコード区間に相当する。
【００３６】
［ＰＬＣ→ＨＭＩの通信］
ＰＬＣ部１０からＨＭＩ部３０への通信を説明する。キーコードは既に送信済みであり、ここで言うパケットとは、ＰＬＣ部１０の各ＰＬＣが収集したプロセスのアナログ、デジタルデータをパケット化したものである。
【００３７】
ＰＬＣ部１０がＨＭＩ部３０に通信パケットを送信する前に、ＰＬＣのキーコード記憶部１５が通信パケットのキーコード部にキーコードを記入する。パケットは送信部１３からＨＭＩ部３０に通信され、ＨＭＩ部３０で受信部３１がそのパケットを受信し、ＰＬＣからのキーコード判定部３５が、ＰＬＣからのキーコード記憶部３３と比較し、通信パケットのキーコード部を判定する。
【００３８】
キーコードが正なら、通信パケットがＰＬＣからの情報としてＨＭＩ上のアプリケーションで利用される。この利用とは例えば監視システムでのプラントの状態表示等である。
【００３９】
キーコードが正しくないなら、なんらかの異常、特に第三者の違法な侵入の可能性があるとして通信パケットは破棄され、監視システム（ＨＭＩ）に警報発信される。
【００４０】
［ＨＭＩ→ＰＬＣの通信］
ＨＭＩ部３０からＰＬＣ部１０への通信を説明する。ＨＭＩ部３０がＰＬＣ部１０にパケットを送信する前に、ＨＭＩ部３０のＰＬＣからのキーコード記憶部３３が通信パケットのキーコード部にキーコードを記入する。パケットは送信部３４からＰＬＣ部１０に通信され、ＰＬＣ部１０で受信部１４がそのパケットを受信し、ＰＬＣからのキーコード判定部１６が、ＰＬＣからのキーコード記憶部１７と比較し、通信パケットのキーコード部を判定する。
【００４１】
キーコードが正なら、通信パケットがＨＭＩからの情報としてＰＬＣのアプリケーションで利用される。この利用とは、例えば制御システムでのプラントの運転信号オンオフ等である。
【００４２】
キーコードが正しくないなら、なんらかの異常、特に第三者の違法な侵入の可能性があるとして通信パケットは破棄され、別の送信パケットの警報通信部（オン＝１、オフ＝０）に１を書き、同パケットを送信部１３からＨＭＩ部３０に送信する。ＨＭＩ部３０は同パケットの警報通信部を参照し、１ならば警報を発信する。
【００４３】
以上説明したように、この第１の実施形態においては、ＰＬＣ１がキーコード配信サーバの機能を持ち、ＰＬＣ１がシステム内で共通に使用するキーコードを作成して他の各ＰＬＣ及びＨＭＩ部の各ＨＭＩに分配する構成としている。従って、悪意を持った第三者がシステムのネットワークに侵入しそのフォーマットに則っている異常な誤動作を狙ったパケットを流した場合、それを破棄できる可能性を高めることができ、簡単な構成でセキュリティを強化することができる。
【００４４】
＜第２の実施形態＞
本発明の第２の実施形態に係る監視制御システムの概略構成は、図１に示す第１の実施形態のものと同様である。
【００４５】
ＰＬＣ部１０の各ＰＬＣはそれぞれ固有のＰＬＣ番号を持つ。また、ＨＭＩ部の各ＨＭＩはそれぞれ固有のＨＭＩ番号を持つ。
【００４６】
上述の第１の実施形態においては、ＰＬＣ１がキーコード配信サーバの機能を持ち、ＰＬＣ１がキーコードを作成して他の各ＰＬＣ及びＨＭＩ部の各ＨＭＩに分配することとしたが、この第２の実施形態においては、ＰＬＣ部の各ＰＬＣ及びＨＭＩ部の各ＨＭＩがそれぞれ新キーコードを作成し、ＨＭＩ部の各ＨＭＩ及びにＰＬＣ部の各ＰＬＣに分配することとしたものである。
【００４７】
次に、この実施形態の動作について説明する。
【００４８】
（ＰＬＣが新キーコードをＨＭＩに指示する場合）
図６を参照して、ＰＬＣ部の各ＰＬＣが新キーコードをＨＭＩ部の各ＨＭＩに配信する動作を説明する。
【００４９】
ＰＬＣ部１０の各ＰＬＣにおけるキーコード指示管理部１１が特定のタイミングでキーコード作成をキーコード生成部１２に指示する。ここで言う特定のタイミングとは例えば１時間に１回などを意味する。特定のタイミング（更新の周期）の記憶方法は図３と同じである。タイミングは図４における新キーコード作成開始Ｔ１である。
【００５０】
このタイミングＴ１で、キーコード生成部１２はキーコードを生成する。キーコード生成部１２は、キーコード生成部１２内のキーコード一時記憶部にそのキーコードをコピーする。キーコード生成部１２は、通信パケットのパケットフォーマットのキーコード部にキーコードを記入する。このパケットフォーマットのデータ部に、本パケットはキーコード指示であることを認識させるキーコード指示部がある。キーコード指示部は０／１（０：オフ、１：キーコード指示）の値を取る。キーコードをＨＭＩ部３０及びＰＬＣ部１０に指示するときのみ、キーコード指示部は１の値を取り、他の場合は０となる。
【００５１】
パケットは送信部１３からＨＭＩ部３０に送信され、ＨＭＩ部３０の受信部３１がそのパケットを受信する。
【００５２】
ＨＭＩ部３０のキーコード指示部判定部は、受信したパケットのキーコード指示部が１なら、新しいキーコードが送られてきたと判断し、ＰＬＣからのキーコード記憶部３３に記憶する。ＰＬＣからのキーコード記憶部３３はＰＬＣ  Ｍ台分のキーコードを記憶できる記憶容量がある。パケットのヘッダー部には、どのＰＬＣが送り元（Ｓｏｕｒｃｅ）か判別できるようにＰＬＣ番号が書かれている。ＰＬＣ番号を参照して、該当のＰＬＣからのキーコード記憶部にキーコードが記憶される。以上により、ＰＬＣ部１０で作成したキーコードがＨＭＩ部３０側で記憶された。
【００５３】
図１６で示すようにキーコードが正しく記憶されたことをＰＬＣ部１０に通報するため、ＨＭＩ部３０は確認パケットフォーマットのキーコード確認部に１を書く。キーコード確認部は０／１／−１（０：オフ、１：正常記憶、−１：異常）の値を取る。また、この確認パケットフォーマットのキーコード部に、今回ＰＬＣ部１０から受け取ったキーコードを記し、ＰＬＣ部１０に送信する。ＰＬＣ部１０はＨＭＩ部３０から受信した確認パケットフォーマットのキーコード確認部とキーコード部とＨＭＩ番号から、各ＨＭＩが正しくキーコードを受け取ったか判断する。
【００５４】
図４の新キーコード通報開始Ｔａから新キーコード確認受取Ｔｂまでの区間は更新前のキーコードを使用する。
【００５５】
正常に起動している全ＨＭＩが正しくキーコードを受け取ったと判断できるまで正しく受け取れなかったＨＭＩに対して同様の上記動作を繰り返す（図１６参照）。
【００５６】
通常は、もしリトライが発生しても、ＨＭＩに対しての通報は最終的に成功する。全ＨＭＩが正しくキーコードを受け取ったと判断したときキーコード生成部１２内のキーコード一時記憶部にコピーされていたキーコードをＰＬＣのキーコード記憶部１５に送り記憶する。もし規定回数以上通報が成功しない場合、システムに重大な故障が発生している可能性があるので警報発信する。すなわち、図１６に示すように、異常通報パケットフォーマットの警報通信部（オン＝１、オフ＝０）に１を書き込み、送信部１３からＨＭＩ部３０に送信し、ＨＭＩ部３０は受信部３１でこれを受信し、警報を発信する処理を行う。
【００５７】
（ＨＭＩが新キーコードをＰＬＣに指示する場合）
図６を参照して、ＨＭＩ部の各ＨＭＩが新キーコードをＰＬＣ部の各ＰＬＣに配信する動作を説明する。
【００５８】
ＨＭＩ部３０の各ＨＭＩにおけるキーコード指示管理部３６が特定のタイミングでキーコード作成をキーコード生成部３７に指示する。ここで言う特定のタイミングとは例えば１時間に１回などを意味する。特定のタイミング（更新の周期）の記憶方法は図３と同じである。タイミングは図４における新キーコード作成開始Ｔ１である。
【００５９】
このタイミングＴ１でキーコード生成部３７はキーコードを生成する。キーコード生成部３７は、キーコード生成部３７内のキーコード一時記憶部にそのキーコードをコピーする。キーコード生成部３７は通信パケットのパケットフォーマットのキーコード部にキーコードを記入する。このパケットフォーマットのデータ部に、本パケットはキーコード指示であることを認識させるキーコード指示部がある。キーコード指示部は０／１（０：オフ、１：キーコード指示）の値を取る。キーコードをＰＬＣ部１０に指示するときのみキーコード指示部は１の値をとり、他の場合は０となる。
【００６０】
パケットは送信部３４からＰＬＣ部１０に送信され、ＰＬＣ部１０の受信部１４がそのパケットを受信する。
【００６１】
ＰＬＣ部１０のキーコード指示部判定部は、受信したパケットのキーコード指示部が１なら、新しいキーコードが送られてきたと判断し、ＨＭＩからのキーコード記憶部１９に記憶する。ＨＭＩからのキーコード記憶部１９はＨＭＩ  Ｎ台分のキーコードを記憶できる記憶容量がある。パケットのヘッダー部には、どのＨＭＩが送り元（Ｓｏｕｒｃｅ）か判別できるようにＨＭＩ番号が書かれている。ＨＭＩ番号を参照して、該当のＨＭＩからのキーコード記憶部にキーコードが記憶される。以上により、ＨＭＩ部３０で作成したキーコードがＰＬＣ部１０側で記憶された。
【００６２】
図１６で示すようにキーコードが正しく記憶されたことをＨＭＩ部３０に通報するため、ＰＬＣ部１０は確認パケットフォーマットのキーコード確認部に１を書く。キーコード確認部は０／１／−１（０：オフ、１：正常記憶、−１：異常）の値を取る。また、この確認パケットフォーマットのキーコード部に、今回ＨＭＩから受け取ったキーコードを記し、ＨＭＩ部３０に送信する。ＨＭＩ部３０はＰＬＣ部１０から受信した確認パケットフォーマットのキーコード確認部とキーコード部とＰＬＣ番号から、各ＰＬＣが正しくキーコードを受け取ったか判断する。
【００６３】
図４の新キーコード通報開始Ｔａから新キーコード確認受取Ｔｂまでの区間は更新前のキーコードを使用する。
【００６４】
正常に起動している全ＰＬＣが正しくキーコードを受け取ったと判断できるまで正しく受け取れなかったＰＬＣに対して同様の上記動作を繰り返す（図１６参照）。
【００６５】
通常は、もしリトライが発生しても、ＰＬＣに対しての通報は最終的に成功する。全ＰＬＣが正しくキーコードを受け取ったと判断したときキーコード生成部３７内のキーコード一時記憶部にコピーされていたキーコードをＨＭＩのキーコード記憶部３８に送り記憶する（図６参照）。もし規定回数以上通報が成功しない場合、システムに重大な故障が発生している可能性があるので警報発信する。
【００６６】
以上の新キーコード配信動作のフローチャートは、第１の実施形態の場合と同様で、図１１に示すとおりである。
【００６７】
（新キーコードがＰＬＣとＨＭＩに持たれている場合）
次に、図７を参照して、新キーコード配信後のＰＬＣ部１０とＨＭＩ部３０との間の通信について説明する。本段階は図４の新キーコード区間に相当する。
【００６８】
［ＰＬＣ→ＨＭＩの通信］
ＰＬＣ部１０からＨＭＩ部３０への通信を説明する。ＰＬＣ部１０がＨＭＩ部３０にパケットを送信する前に、ＰＬＣのキーコード記憶部１５が通信パケットのキーコード部にキーコードを記入する。パケットは送信部１３からＨＭＩ部３０に通信され、ＨＭＩ部３０で受信部３１がそのパケットを受信し、ＰＬＣからのキーコード判定部３５が、ＰＬＣからのキーコード記憶部３３と比較し、通信パケットのキーコード部を判定する。
【００６９】
キーコードが正なら、通信パケットがＰＬＣからの情報としてＨＭＩ上のアプリケーションで利用される。この利用とは例えば監視システムでのプラントの状態表示等である。
【００７０】
キーコードが正しくないなら、なんらかの異常、特に第三者の違法な侵入の可能性があるとして通信パケットは破棄され、監視システム（ＨＭＩ）に警報発信される。
【００７１】
［ＨＭＩ→ＰＬＣの通信］
ＨＭＩ部３０からＰＬＣ部１０への通信を説明する。ＨＭＩ部３０がＰＬＣ部１０にパケットを送信する前に、ＨＭＩのキーコード記憶部３８が通信パケットのキーコード部にキーコードを記入する。パケットは送信部３４からＰＬＣ部１０に通信され、ＰＬＣ部１０で受信部１４がそのパケットを受信し、ＨＭＩからのキーコード判定部１８が、ＨＭＩからのキーコード記憶部１９と比較し、通信パケットのキーコード部を判定する。
【００７２】
キーコードが正なら、通信パケットがＨＭＩからの情報としてＰＬＣのアプリケーションで利用される。この利用とは、例えば制御システムでのプラントの運転信号オンオフ等である。
【００７３】
キーコードが正しくないなら、なんらかの異常、特に第三者の違法な侵入の可能性があるとして通信パケットは破棄され、別の送信パケットの警報通信部（オン＝１、オフ＝０）に１を書き、同パケットをＨＭＩ部３０に送信する。ＨＭＩ部は同パケットの警報通信部を参照し、１ならば警報を発信する。すなわち、図１６に示すように、異常通報パケットフォーマットの警報通信部（オン＝１、オフ＝０）に１を書き込み、送信部１３からＨＭＩ部３０に送信し、ＨＭＩ部３０は受信部３１でこれを受信し、警報を発信する処理を行う。
【００７４】
以上説明したように、この第２の実施形態においては、ＰＬＣ部の各ＰＬＣ及びＨＭＩ部の各ＨＭＩがそれぞれ新キーコードを作成し、ＨＭＩ部の各ＨＭＩ及びにＰＬＣ部の各ＰＬＣに分配する構成としている。従って、悪意を持った第三者がシステムのネットワークに侵入しそのフォーマットに則っている異常な誤動作を狙ったパケットを流した場合、それを破棄できる可能性を高めることができ、簡単な構成でセキュリティを強化することができる。また、ＰＬＣ部の各ＰＬＣ及びＨＭＩ部の各ＨＭＩのそれぞれが送信するパケットについて、それぞれのパケットの送信元が作成したキーコードを用いるため、それぞれの送信元に対応したセキュリティの強化を図ることができる。
【００７５】
＜第３の実施形態＞
次に、本発明の第３の実施形態について説明する。この実施形態は、上述の第１及び第２の実施形態における通信の方式と通信パケットの具体例を示すものである。
【００７６】
図１におけるネットワーク５０は、ＣＳＭＡ／ＣＤ方式のＬＡＮ（例えば、イーサネット（登録商標））となる。
【００７７】
そして、ＰＬＣ部１０と、ＨＭＩ部３０はそれぞれマルチキャストグループに割り付けられる。
【００７８】
ＰＬＣ部１０から出るパケットには大別して３種類ある。パケットのサイズは、例えば、約７００ＷＯＲＤである。
【００７９】
パケットのフォーマットの概略構成を図８に示す。同図において、（ａ）はＰＬＣから出るパケットを、（ｂ）はＨＭＩから出るパケットを示す。同図に示すように、ＵＤＰ、ＴＣＰ／ＩＰの各プロトコルに特定のプロトコルヘッダー領域がある。
【００８０】
パケットの種類とその役割は次のとおりである。
【００８１】
（１）通常のデータパケット
（１−１）ＰＬＣから出るパケットの場合
プラントの実アナログデータ、実デジタルデータがＨＭＩに送信される。ＨＭＩは本データを参照し監視する。
【００８２】
（１−２）ＨＭＩから出るパケットの場合
プラントに与える指令値がＰＬＣに送信される。これには、アナログ設定値、デジタル指令値がある。
【００８３】
（２）新キーコードをＨＭＩ部または他のＰＬＣに通達するためのパケット
第１の実施形態の場合、本パケットはＰＬＣ１から他ＰＬＣとＨＭＩに送信される。
【００８４】
第２の実施形態の場合、本パケットはＰＬＣからＨＭＩ及びＨＭＩからＰＬＣに送信される。
【００８５】
（３）新キーコード通達に成功したことを通達するパケット
第１の実施形態の場合、本パケットは他ＰＬＣとＨＭＩからＰＬＣ１に送信される。
【００８６】
第２の実施形態の場合、本パケットはＰＬＣからＨＭＩ及びＨＭＩからＰＬＣに送信される。
【００８７】
また、各プロトコルにおける通信方法は、次のとおりである。
【００８８】
（プロトコルがＵＤＰの場合）
ＰＬＣ部１０とＨＭＩ部３０にマルチキャストグループを分ける。特定のマルチキャストアドレスをＰＬＣ部１０とＨＭＩ部３０に割り付け、マルチキャストアドレスに対し通信することで、ＰＬＣ部１０からＨＭＩ部３０  およびＨＭＩ部３０からＰＬＣ部１０への通信は同報通信になる。
【００８９】
（プロトコルがＴＣＰ／ＩＰの場合）
同報通信の概念はなく、特定のＩＰアドレス同士でコネクションを作り通信することになる。
【００９０】
第１の実施形態の場合、パケットはＰＬＣ１から他ＰＬＣとＨＭＩで順次コネクションが作成され送受信され、それぞれコネクションを順次作成する。
【００９１】
第２の実施形態の場合、パケットはＰＬＣからＨＭＩ及びＨＭＩからＰＬＣに順次コネクションが作成され送受信される。
【００９２】
＜第４の実施形態＞
次に、本発明の第４の実施形態について説明する。この実施形態は、上述の第１及び第２の実施形態において判別用のキーコードを発生させる時間間隔（更新間隔）を設定する設定機能の具体例を示すものである。
【００９３】
この実施形態における判別用のキーコードを発生させる時間間隔（更新間隔）を設定するための画面を図９に示す。
【００９４】
判別用のキーコードを発生させる時間間隔（更新間隔）を設定する設定手段は、例えばＨＭＩ部３０、またはＰＬＣ部１０に設けられる。
【００９５】
本画面には、キーコードを発生させる時間間隔を指定し、操作者が確認できるよう、時間間隔設定部９１を設けるとともに、不法侵入者の発見を行えるよう、設定日時を一覧９２で表示する。
【００９６】
設定指定部９３の［ＰＬＣ］を押した場合はＰＬＣの設定モードになる。［ＰＬＣ番号］で設定したいＰＬＣを指定する。［ＨＭＩ］を押した場合はＨＭＩの設定モードになる。［ＨＭＩ番号］で設定したいＨＭＩを指定する。
【００９７】
［変更ＰＢ］を押すと、設定時間の変更が行える。変更し、［設定ＰＢ］が押されるまでの間は現在のキーコードは変更されない。［設定ＰＢ］が押されると設定情報を選択したＰＬＣ又はＨＭＩに送信し、受信したＰＬＣ又はＨＭＩは図３の設定値を変更する。
【００９８】
＜第５の実施形態＞
次に、本発明の第５の実施形態について説明する。この実施形態は、上述の第１及び第２の実施形態において正しくないキーコードを持ったパケットが来た場合に警報を発信する警報機能の具体例を示すものである。
【００９９】
図１０に示すＨＭＩ上の警報画面に、図示のように、キーコード異常１００が表示される。また、システムによって警報を音で出力するものもあるが、この場合には音による通報も行う。
【０１００】
＜第６の実施形態＞
次に、本発明の第６の実施形態に係る監視制御システムを説明する。この実施形態は、一般産業システムに適用した場合のもので、図１２は工場の監視制御システムである。
【０１０１】
このシステムにおいて、制御はＰＬＣ部の各ＰＬＣで行い、ＰＬＣ１〜ＰＬＣＭまでが、随所に配置されている。各ＰＬＣは制御情報を管理するＰＬＣ本体、現場計器からの入出力信号を管理し、正規化するＩ／Ｏユニット、及び現場計器で構成される。中央ＨＭＩ部３０−１は工場の中央に配置され監視制御情報が表示され、またＨＭＩからＰＬＣに対して制御指令を送る。ＨＭＩ部３０とＰＬＣ部１０は監視制御ＬＡＮ５０で接続される。監視制御ＬＡＮ５０はＣＳＭＡ／ＣＤ方式のＬＡＮ（例えばイーサネット（登録商標））である。ＨＭＩ部の一部３０−２（ＨＭＩＮ）は工場の現場と離れた事務所に設置され、事務所から現場の情報を見ることができる。ＨＭＩＮは外部ネットワーク（インターネット）６０に接続されるとともに、本社７０と社内ネットワーク８０で接続されている。このとき、外部から悪意を持った第三者から攻撃を受ける可能性がある。もしくは悪意を持った内部者による内部からの攻撃も考えられる。
【０１０２】
ＰＬＣ部１０の各ＰＬＣはそれぞれ固有のＰＬＣ番号を持つ。また、ＨＭＩ部３０の各ＨＭＩはそれぞれ固有のＨＭＩ番号を持つ。
【０１０３】
次に、この実施形態の動作について説明する。
【０１０４】
（ＰＬＣが新キーコードをＨＭＩに指示する場合）
まず、ＰＬＣが新キーコードをＨＭＩに配信する動作について説明する。
【０１０５】
例としてＨＭＩＮ上にキーコード更新間隔設定画面９０があり、本画面９０からＰＬＣ１〜ＰＬＣＭ、ＨＭＩ１〜ＨＭＩＮのキーコードの更新間隔を設定できる。変更する場合は、設定指定部９３の［ＰＬＣ］、［ＨＭＩ］のＰＢ（ボタン）で対象を選択し、変更を許可するため、［変更ＰＢ］を押す。例えば、ＰＬＣ１についてキーコードの更新間隔を設定する場合、ＰＬＣ番号（＝１）を指定し、時間間隔設定部９１の日時分秒に数値を入力する。例えば日＝１、時・分・秒＝０とすると、１日＝２４時間間隔でキーコードの更新を行うことを意味する。数値入力後、［設定ＰＢ］を押すと、設定用のパケットが図１３に示すように、ＰＬＣ部のＰＬＣ１に送信される。本パケットはＰＬＣ１のＰＬＣのキーコード更新間隔記憶部４１に対し、キーコード更新間隔を設定する。キーコード更新間隔の初期値は０時０分０秒であり、それからキーコード更新間隔経過後、キーコード指示管理部１１の指示によりキーコード生成部はキーコードを生成する。
【０１０６】
キーコードの作成方法を図１４に示す。８桁の乱数を発生させる。乱数は１〜８までの値を取る。キーコードは文字列１〜８が乱数１〜８と対応しており、キーコード作成のタイミングで乱数を発生する。文字列はユニコードとし、半角１文字につき４ＷＯＲＤとなる。
【０１０７】
例えば８６７３３５４２という乱数が作られた場合、「文字列８＋文字列６＋文字列７＋文字列３＋文字列３＋文字列５＋文字列４＋文字列２」がキーコードとなる。
【０１０８】
キーコード生成部は、キーコード生成部内のキーコード一時記憶部にそのキーコードをコピーする。キーコード生成部は通信パケットのパケットフォーマットのキーコード部にキーコードを記入する。パケットフォーマットのデータ部に、本パケットはキーコード指示であることを認識させるキーコード指示部がある。
【０１０９】
キーコード指示部は０／１（０：オフ、１：キーコード指示）の値を取る。キーコードをＨＭＩ部３０に指示するときのみキーコード指示部は１をとり、他の場合は０となる。
【０１１０】
パケットは送信部１３からＨＭＩ部３０に送信され、ＨＭＩ部３０がそのパケットを受信する。
【０１１１】
ＨＭＩ部３０のキーコード指示部判定部は、受信したパケットのキーコード指示部が１なら、新しいキーコードが送られてきたと判断し、ＰＬＣからのキーコード記憶部に記憶する。ＰＬＣからのキーコード記憶部はＰＬＣ  Ｍ台分のキーコードを記憶できる記憶容量がある。
【０１１２】
パケットのヘッダー部にはどのＰＬＣが送り元（Ｓｏｕｒｃｅ）か判別できるようにＰＬＣ番号が書かれている。ＰＬＣ番号を参照して、該当のＰＬＣからのキーコード記憶部にキーコードが記憶される。以上により、ＰＬＣ部１０で作成したキーコードがＨＭＩ部３０側で記憶された。
【０１１３】
以上の処理の手順を図１５に示す。すなわち、通常はパケット受信処理、制御処理及びパケット送信処理が行なわれている（ステップＳ１５１、ステップＳ１５２、ステップＳ１５６）が、キーコード変更タイミングという条件成立時、キーコード作成及び送信処理は逐次処理される（ステップＳ１５３、ステップＳ１５４、ステップＳ１５５）。
【０１１４】
キーコードが送信され、受信したことが確認されるまでの間は図４の新キーコード通報開始Ｔａから新キーコード確認受取Ｔｂまでの区間になるが、この間は更新前のキーコードを使用する。
【０１１５】
キーコードが正しく記憶されたことをＰＬＣ部１０に通報するため、ＨＭＩ部３０はパケットのキーコード確認部に１を書く。キーコード確認部は０／１／−１（０：オフ、１：正常記憶、−１：異常）の値を取る。またこの確認パケットフォーマットのキーコード部に、今回ＰＬＣ部１０から受け取ったキーコードを記し、ＰＬＣ部１０に送信する。ＰＬＣ部１０はＨＭＩ部３０から受信した確認パケットフォーマットのキーコード確認部とキーコード部とＨＭＩ番号から、各ＨＭＩが正しくキーコードを受け取ったか判断する。
【０１１６】
正常に起動している全ＨＭＩが正しくキーコードを受け取ったと判断できるまで正しく受け取れなかったＨＭＩに対して同様の上記動作を繰り返す。
【０１１７】
通常は、もしリトライが発生しても、ＨＭＩに対しての通報は最終的に成功する。全ＨＭＩが正しくキーコードを受け取ったと判断したときキーコード生成部内のキーコード一時記憶部にコピーされていたキーコードをＰＬＣのキーコード記憶部に送り記憶する。もし規定回数以上通報が成功しない場合、システムに重大な故障が発生している可能性があるので警報発信する。
【０１１８】
（ＨＭＩが新キーコードをＰＬＣに指示する場合）
次に、ＨＭＩが新キーコードをＰＬＣに配信する動作について説明する。
【０１１９】
例としてＨＭＩＮ上にキーコード更新間隔設定画面９０があり、本画面９０からＰＬＣ１〜ＰＬＣＭ、ＨＭＩ１〜ＨＭＩＮのキーコードを設定できる。変更する場合は、変更を許可するため、設定指定部９３の［変更ＰＢ］を押す。例えば、ＨＭＩ１についてキーコードの更新間隔を設定する場合、ＨＭＩ番号（＝１）を指定し、時間間隔設定部９１の日時分秒に数値を入力する。例えば日＝１、時・分・秒＝０とすると、１日＝２４時間間隔でキーコードの更新を行うことを意味する。数値入力後、［設定ＰＢ］を押すと、設定用のパケットがＨＭＩ１に送信される。本パケットはＨＭＩ１のＨＭＩのキーコード更新間隔記憶部に対し、キーコード更新間隔を設定する。キーコード更新間隔の初期値は０時０分０秒であり、それからキーコード更新間隔経過後、キーコード指示管理部の指示によりキーコード生成部はキーコードを生成する。キーコードの作成方法を図１４に示す。８桁の乱数を発生させる。乱数は１〜８までの値を取る。キーコードは文字列１〜８が乱数１〜８と対応しており、キーコード作成のタイミングで乱数を発生する。文字列はユニコードとし、半角１文字につき４ＷＯＲＤとなる。
【０１２０】
例えば５４４３８２１７と言う乱数が作られた場合、「文字列５＋文字列４＋文字列４＋文字列３＋文字列８＋文字列２＋文字列１＋文字列７」がキーコードとなる。
【０１２１】
キーコード生成のタイミングは図４における新キーコード通報開始である。  このタイミングでキーコード生成部はキーコードを生成する。キーコード生成部は、キーコード生成部内のキーコード一次記憶部にそのキーコードをコピーする。キーコード生成部は通信パケットのパケットフォーマットのキーコード部にキーコードを記入する。パケットフォーマットのデータ部に、本パケットはキーコード指示であることを認識させるキーコード指示部がある。キーコード指示部は０／１（０：オフ、１：キーコード指示）の値を取る。キーコードをＰＬＣ部１０に指示するときのみキーコード指示部は１をとり、他の場合は０となる。
【０１２２】
パケットは送信部からＰＬＣ部１０に送信され、ＰＬＣ部１０がそのパケットを受信する。
【０１２３】
ＰＬＣ部１０のキーコード指示部判定部は、受信したパケットのキーコード指示部が１なら、新しいキーコードが送られてきたと判断し、ＨＭＩからのキーコード記憶部に記憶する。ＨＭＩからのキーコード記憶部はＨＭＩ  Ｎ台分のキーコードを記憶できる記憶容量がある。
【０１２４】
パケットのヘッダー部には、どのＨＭＩが送り元（Ｓｏｕｒｃｅ）か判別できるように、ＨＭＩ番号が書かれている。ＨＭＩ番号を参照して、該当のＨＭＩからのキーコード記憶部にキーコードが記憶される。以上により、ＨＭＩ部３０で作成したキーコードがＰＬＣ部１０側で記憶された。
【０１２５】
キーコードが正しく記憶されたことをＨＭＩ部３０に通報するため、ＰＬＣ部１０はパケットのキーコード確認部に１を書く。キーコード確認部は０／１／−１（０：オフ、１：正常記憶、−１：異常）の値を取る。また、この確認パケットフォーマットのキーコード部に、今回ＨＭＩ部３０から受け取ったキーコードを記し、ＨＭＩ部３０に送信する。ＨＭＩ部３０はＰＬＣ部１０から受信した確認パケットフォーマットのキーコード確認部とキーコード部とＰＬＣ番号から、各ＰＬＣが正しくキーコードを受け取ったか判断する。
【０１２６】
図４の新キーコード通報開始Ｔａから新キーコード確認受取Ｔｂまでの区間は更新前のキーコードを使用する。
【０１２７】
正常に起動している全ＰＬＣが正しくキーコードを受け取ったと判断できるまで正しく受け取れなかったＰＬＣに対して同様の上記動作を繰り返す。
【０１２８】
通常は、もしリトライが発生しても、ＰＬＣに対しての通報は最終的に成功する。全ＰＬＣが正しくキーコードを受け取ったと判断したときキーコード生成部内のキーコード一時記憶部にコピーされていたキーコードをＨＭＩのキーコード記憶部に送り記憶する。もし規定回数以上通報が成功しない場合、システムに重大な故障が発生している可能性があるので図１０の警報画面にキーコード異常１００を警報発信する。
【０１２９】
以上の新キーコード配信動作のフローチャートは図１１に示すとおりである。
【０１３０】
（新キーコードがＰＬＣとＨＭＩに持たれている場合）
次に、図７を参照して、新キーコード配信後のＰＬＣ部１０とＨＭＩ部３０との間の通信について説明する。本段階は図４の新キーコード区間に相当する。
【０１３１】
［ＰＬＣ→ＨＭＩの通信］
ＰＬＣ部１０からＨＭＩ部３０への通信を説明する。ＰＬＣ部１０がＨＭＩ部３０にパケットを送信する前に、ＰＬＣのキーコード記憶部１５が通信パケットのキーコード部にキーコードを記入する。パケットは送信部１３からＨＭＩ部３０に通信され、ＨＭＩ部３０で受信部３１がそのパケットを受信し、ＰＬＣからのキーコード判定部３５が、ＰＬＣからのキーコード記憶部３３と比較し、通信パケットのキーコード部を判定する。
【０１３２】
キーコードが正なら、通信パケットがＰＬＣからの情報としてＨＭＩ上のアプリケーションで利用される。この利用とは例えば監視システムでのプラントの状態表示等である。
【０１３３】
キーコードが正しくないなら、なんらかの異常、特に第３者の違法な侵入の可能性があるとして通信パケットは破棄され、監視システム（ＨＭＩ）に警報発信される。
【０１３４】
［ＨＭＩ→ＰＬＣの通信］
ＨＭＩ部３０からＰＬＣ部１０への通信を説明する。ＨＭＩ部３０がＰＬＣ部１０にパケットを送信する前に、ＨＭＩのキーコード記憶部３８が通信パケットのキーコード部にキーコードを記入する。パケットは送信部３４からＰＬＣ部１０に通信され、ＰＬＣ  部１０で受信部１４がそのパケットを受信し、ＨＭＩからのキーコード判定部１８が、ＨＭＩからのキーコード記憶部１９と比較し、通信パケットのキーコード部を判定する。
【０１３５】
キーコードが正なら、通信パケットがＨＭＩからの情報としてＰＬＣのアプリケーションで利用される。この利用とは、例えば制御システムでのプラントの運転信号オンオフ等である。
【０１３６】
キーコードが正しくないなら、なんらかの異常、特に第３者の違法な侵入の可能性があるとして通信パケットは破棄され、別の送信パケットの警報通信部（オン＝１、オフ＝０）に１を書き、同パケットをＨＭＩ部３０に送信する。ＨＭＩ部３０は同パケットの警報通信部を参照し、１ならば図１０の警報画面にキーコード異常１００を警報発信する。
【０１３７】
なお、上述の各実施形態は、産業用プロセス、上下水道等の監視制御システムに適用して実施することができる。
【０１３８】
【発明の効果】
本発明によれば、産業一般プラントで用いる、少なくとも１つの制御装置と少なくとも１つの監視装置を有し、制御装置と監視装置との間で通信を行う監視制御システムにおいて、その制御装置と監視装置との間の通信はパケット単位のデータ送受信を行うもののうち、悪意を持った第三者がこのシステムのネットワークに侵入しそのフォーマットに則った、プラントを異常な誤動作をさせるためのパケットを流した場合でも、それを破棄できる可能性を大幅に高められる。
【図面の簡単な説明】
【図１】本発明の第１乃至第５の実施形態に係る監視制御システムの概略構成を示す図。
【図２】本発明の第１の実施形態における新キーコード配信の動作を説明するための図。
【図３】本発明の第１乃至第６の実施形態における新キーコードを発生させる時間間隔の記憶方法の例を示す図。
【図４】本発明の第１乃至第６の実施形態における新キーコードの使用期間を示す図。
【図５】本発明の第１の実施形態における通信の動作を説明するための図。
【図６】本発明の第２の実施形態における新キーコード配信の動作を説明するための図。
【図７】本発明の第２、及び第６の実施形態における通信の動作を説明するための図。
【図８】本発明の第３の実施形態におけるパケットのフォーマットの概略構成を示す図で、（ａ）はＰＬＣから出るパケットのフォーマット、（ａ）はＨＭＩから出るパケットのフォーマットを示す図。
【図９】本発明の第４の実施形態におけるキーコード更新間隔設定画面の例を示す図。
【図１０】本発明の第５の実施形態における警報画面の例を示す図。
【図１１】本発明の第１、第２、及び第６の実施形態における新キーコード配信の動作を示すフローチャート。
【図１２】本発明の第６の実施形態に係る監視制御システムの概略構成を示す図。
【図１３】本発明の第６の実施形態におけるキーコード更新間隔設定の動作を説明するための図。
【図１４】本発明の第６の実施形態におけるキーコードの作成方法を説明するための図。
【図１５】本発明の第６の実施形態におけるＰＬＣの通常の処理及びキーコードの処理の動作を示すフローチャート。
【図１６】本発明の第２の実施形態における異常動作を説明するための図。
【符号の説明】
１０…ＰＬＣ部
３０…ＨＭＩ部
５０…ネットワーク（監視制御ＬＡＮ）
１１…キーコード指示管理部
１２…キーコード生成部
１３、２４、３４…送信部
１４、２１、３１…受信部
１５…ＰＬＣのキーコード記憶部
１６、３５…ＰＬＣからのキーコード判定部
２２、３２…キーコード指示部判定部
１７、２３、３３…ＰＬＣからのキーコード記憶部
１８…ＨＭＩからのキーコード判定部
１９…ＨＭＩからのキーコード記憶部
４１…ＰＬＣのキーコード更新間隔記憶部
６０…外部ネットワーク（インターネット）
７０…本社
８０…社内ネットワーク
９０…キーコード更新間隔設定画面
１００…キーコード異常
【図１】
2004151807.tif 000003
【図２】
2004151807.tif 000004
【図３】
2004151807.tif 000005
【図４】
2004151807.tif 000006
【図５】
2004151807.tif 000007
【図６】
2004151807.tif 000008
【図７】
2004151807.tif 000009
【図８】
2004151807.tif 000010
【図９】
2004151807.tif 000011
【図１０】
2004151807.tif 000012
【図１１】
2004151807.tif 000013
【図１２】
2004151807.tif 000014
【図１３】
2004151807.tif 000015
【図１４】
2004151807.tif 000016
【図１５】
2004151807.tif 000017
【図１６】
2004151807.tif 000018