(57)【要約】【課題】  プログラムやデータ変更の権限があるかのチェックを外部機器に依存していたために完全なチェックが出来ず、またハードウエアスイッチで通信バスとの接続を切り換える方式は操作が面倒であるという課題を解決する。【解決手段】  プログラムやデータを変更するときに、ユーザはまずパスワードと共にセキュリティ状態変更通知を送信する。プロセス制御装置はパスワードを照合し、一致していると現在のセキュリティ状態を変更する。その後、ユーザは変更要求を送信し、プロセス制御装置は現在のセキュリティ状態を参照して、受信した変更要求が許可されているかをチェックし、許可されていると変更を実行する。プロセス制御装置自身がセキュリティを管理、制御することが出来る。【選択図】                    図１
2005301935.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク経由で内部のプログラムやデータが変更可能なプロセス制御装置において、
現在のセキュリティ状態が保存されるセキュリティ状態情報手段と、
パスワードが保存されるパスワード保存手段と、
セキュリティ状態変更通知が入力され、このセキュリティ状態変更通知と同時に送られてきたパスワードと前記パスワード保存手段に保存されたパスワードを比較し、比較結果が一致していると前記セキュリティ状態変更通知に基づいて前記セキュリティ状態情報手段の現在のセキュリティ状態を書き換えるセキュリティ管理手段と、
変更要求が入力され、前記セキュリティ状態情報手段に保存された現在のセキュリティ状態を参照して、前記入力された変更要求が許可されていると、この変更要求を出力する要求受付手段と、
前記要求受付手段が出力した変更要求が入力され、この変更要求を処理する要求処理手段と、
を備えたことを特徴とするプロセス制御装置。
【請求項２】
前記変更要求によって変更される対象物は、プログラムとデータの少なくともいずれかであることを特徴とする請求項１記載のプロセス制御装置。
【請求項３】
セキュリティ状態通知手段を有し、このセキュリティ状態通知手段は、前記セキュリティ状態情報手段に格納された現在のセキュリティ状態が変更されたときに、その旨を通知するようにしたことを特徴とする請求項１若しくは請求項２記載のプロセス制御装置。
【請求項４】
セキュリティ状態監視手段を有し、このセキュリティ状態監視手段は前記セキュリティ状態情報手段に格納された現在のセキュリティ状態を監視し、この現在のセキュリティ状態が前記変更要求の少なくとも１つを許可する状態が所定の時間継続したときに、その旨を通知するようにしたことを特徴とする請求項１乃至請求項３のいずれかに記載のプロセス制御装置。
【請求項５】
前記通知は、メッセージとユーザアプリケーションの少なくともいずれかを介して行われることを特徴とする請求項３若しくは請求項４記載のプロセス制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークに接続されたプロセス制御装置に関し、自らセキュリティを管理し、制御することができるプロセス制御装置に関するものである。
【背景技術】
【０００２】
今日、プラントが大規模になり、プロセス制御装置が他社製品をはじめ様々な機器とネットワークで接続されるようになった。そのため、ネットワークから侵入され、内部のプログラムやデータを破壊されることがないように、セキュリティを重視することが求められるようになってきた。
【０００３】
図５にネットワークに接続されたプロセス制御システムの構成を示す。図５において、パソコン６１はイーサネット（登録商標）などのネットワークに接続されている。７は制御ステーションであり、通信バス６４に接続されている。６３はコンソールであり、イーサネット（登録商標）などのネットワーク６２と通信バス６４を接続している。コンソール６３によってデータの設定やアプリケーションの変更を行う。
【０００４】
このようなプロセス制御システムでは、ネットワーク６２に接続されたパソコン６１から制御ステーション７にアクセスしてアプリケーションプログラムやデータを変更することもできる。この場合、ログイン機構で権限のないユーザが制御ステーション７にアクセスできないようになっている。
【０００５】
図６に制御ステーション７の構成を示す。７１は通信インターフェイスであり、通信バス６４を介して上位機器と接続される。通信インターフェイス７１は要求受付タスク７２に受信したデータ変更などの要求を出し、要求受付タスク７２はこの要求を要求処理タスク７３に伝達する。要求処理タスク７３はデータベース７４にアクセスして、伝達された要求を処理する。
【０００６】
このような構成において、通信インターフェイス７１が受信した要求が異常である場合もある。そのため、その要求がデータ変更やプログラムの変更であるときは、要求受付タスク７２および要求処理タスク７３はプログラムやデータベースが破壊されることがないかどうかをチェックする。
【０００７】
図７に、安全計装システムの構成を示す。エンジニアリングＰＣ８１と制御ステーション９は通信バス８２で接続されており、このエンジニアリングＰＣ８１を用いて制御ステーション９のデータあるいはプログラムを変更することができる。
【０００８】
制御ステーション９内には安全機能手段９２，プログラム９３およびデータベース９４が内蔵されている。安全機能手段９２は通信バス８２に接続され、エンジニアリングＰＣ８１からの要求によってプログラム９３およびデータベース９４を変更する。
【０００９】
このような構成において、安全機能手段９２に不正な要求が入力されると、プログラム９３やデータベース９４が破壊される危険性がある。そのため、通信バス８２と安全機能手段９２との間にセキュリティスイッチ９１を挿入し、必要なときのみ通信バス８２を安全機能手段９２に接続するようにする。
【００１０】
すなわち、ユーザはエンジニアリングＰＣ８１からプログラム９３やデータベース９４を書き換えるときに手動でセキュリティスイッチ９１をオンにし、変更が終了するとオフにする。このようにすることによって、不正なユーザがログインして、プログラム９３やデータベース９４を書き換えることを防止できる。
【００１１】
【特許文献１】特開平９−２１８８３７号公報
【特許文献２】特許第２６９８８７７号公報
【発明の開示】
【発明が解決しようとする課題】
【００１２】
しかし、図６に示した制御ステーションは要求受付タスク７２や要求処理タスク７３で要求の正当性をチェックしているが、このチェックはプログラムやデータベースが破壊されるかどうか、あるいは制御ステーションが誤動作するかどうかのチェックのみであり、ユーザが意図した要求であるかどうかを判断することは出来ないという課題があった。
【００１３】
また、変更する権限があるかどうかのチェックをパソコン６１などの外部機器に任せており、制御ステーション内で判断していないために確実なチェックを行うことができないという課題もあった。
【００１４】
図７の安全計装システムは、変更するときのみセキュリティスイッチ９１をオンにする構成であるので、意図しないタイミングでの書き換えを防止することができる。しかし、書き換えをするためには、現場に行っていちいちセキュリティスイッチ９１をオンにしなければならず、操作が面倒であるという課題があった。
【００１５】
また、セキュリティスイッチ９１がオンになっている間は様々な変更を受け付けるので、ユーザが本当に意図した変更のみ受け付けたかどうかを証明することが難しいという課題もあった。さらに、許可されていないユーザでもセキュリティスイッチ９１を操作でき、またセキュリティスイッチ９１が故障することもあり、確実性に欠けるという課題もあった。
従って本発明が解決しようとする課題は、制御装置自身がセキュリティを制御、監視し、ユーザが意図したタイミングで意図した変更のみを許可するプロセス制御装置を提供することにある。
【課題を解決するための手段】
【００１６】
このような課題を達成するために、本発明のうち請求項１記載の発明は、
現在のセキュリティ状態が保存されるセキュリティ状態情報手段と、
パスワードが保存されるパスワード保存手段と、
セキュリティ状態変更通知が入力され、このセキュリティ状態変更通知と同時に送られてきたパスワードと前記パスワード保存手段に保存されたパスワードを比較し、比較結果が一致していると前記セキュリティ状態変更通知に基づいて前記セキュリティ状態情報手段の現在のセキュリティ状態を書き換えるセキュリティ管理手段と、
変更要求が入力され、前記セキュリティ状態情報手段に保存された現在のセキュリティ状態を参照して、前記入力された変更要求が許可されていると、この変更要求を出力する要求受付手段と、
前記要求受付手段が出力した変更要求が入力され、この変更要求を処理する要求処理手段と、
を備えたことを特徴とするプロセス制御装置である。外部機器からの意図しない変更を防止できる。
【００１７】
請求項２記載の発明は、請求項１記載の発明において、
前記変更要求によって変更される対象物は、プログラムとデータの少なくともいずれかであるものである。プロセス制御装置の誤動作を防止できる。
【００１８】
請求項３記載の発明は、請求項１若しくは請求項２記載の発明において、
セキュリティ状態通知手段を有し、このセキュリティ状態通知手段は、前記セキュリティ状態情報手段に格納された現在のセキュリティ状態が変更されたときに、その旨を通知するようにしたものである。セキュリティ状態の意図しない変更を知ることができる。
【００１９】
請求項４記載の発明は、請求項１乃至請求項３のいずれかに記載の発明において。
セキュリティ状態監視手段を有し、このセキュリティ状態監視手段は前記セキュリティ状態情報手段に格納された現在のセキュリティ状態を監視し、この現在のセキュリティ状態が前記変更要求の少なくとも１つを許可する状態が所定の時間継続したときに、その旨を通知するようにしたものである。セキュリティ状態のリセットし忘れを防止できる。
【００２０】
請求項５記載の発明は、請求項３若しくは請求項４記載の発明において、
前記通知は、メッセージとユーザアプリケーションの少なくともいずれかを介して行われるようしにしたものである。簡単に実装できる。
【発明の効果】
【００２１】
以上説明したことから明らかなように、本発明によれば次のような効果がある。
本発明では、プログラムやデータを書き換える際に、まず現在のセキュリティ状態を変更し、その後プログラムやデータの変更要求を出すようにした。また、現在のセキュリティ状態変更の際、パスワードを照合するようにした。
【００２２】
ユーザが意図したタイミングでのみプログラムやデータの変更が可能であるので、外部機器からの意図しないこれらの変更を防止することができるという効果がある。また、ユーザが意図した変更のみ許可するので、ユーザの操作ミスを防止することが出来るという効果もある。
【００２３】
また、ソフトウエアで実現することが出来るので、安価に実現することができ、かつ変更が容易になるという効果もある。さらに、遠隔地で操作、監視が可能になるという効果もある。また、現在のセキュリティ状態を変更するときにパスワードを照合するので、変更する権限を有さないユーザの操作を排除することができるという効果もある。
【００２４】
また、セキュリティ状態通知手段を実装し、現在のセキュリティ状態が変更されたときに通知することにより、意図しないセキュリティ状態の変更を知ることが出来る。さらに、セキュリティ状態監視手段を実装し、リセットでない状態が所定の期間以上継続しないようにすることにより、リセットし忘れを防止することができという効果もある。
【００２５】
プロセス制御装置は、万一プラントに異常が発生したときに確実に緊急停止しなければならない。そのため、プログラムやデータの変更が正しく行われていることを制御装置自身で保証できることが重要であり、本発明はその点で効果が大きい。
【発明を実施するための最良の形態】
【００２６】
以下本発明を図面を用いて詳細に説明する。図１は本発明に係るプロセス制御装置の一実施例を示す構成図である。図１において、１はエンジニアリングＰＣであり、通信バス２に接続されている。３はプロセス制御装置である制御ステーションである。なお、この図ではセキュリティ管理に関係のない部分は省略している。
【００２７】
この制御ステーション３には、通信バス２のインターフェイスである通信インターフェイス３１，複数の状態をとるセキュリティ状態情報手段３２，このセキュリティ状態情報手段３２を変更するセキュリティ管理手段３３，セキュリティ管理手段３３によって参照されるセキュリティ用パスワードが格納されているパスワード保存手段３４，通信インターフェイス３１が受信した変更要求が入力される要求受付手段３５，要求受付手段３５によって起動される要求処理手段３６，要求処理手段３６によって変更されるプログラム３７およびデータベース３８で構成されている。なお、要求受付手段３５および要求処理手段３６は、それぞれ複数のタスクで構成されている。
【００２８】
通信インターフェイス３１は通信バス２に接続され、エンジニアリングＰＣ１が出力するセキュリティ変更要求およびプログラム３７またはデータベース３８の変更要求を受信し、セキュリティ管理手段３３または要求処理手段３５に出力する。
【００２９】
セキュリティ管理手段３３は、エンジニアリングＰＣ１から送られてきたセキュリティ変更要求と共に送られてきたパスワードとパワード保存手段３４に格納されているパスワードを比較し、一致していればセキュリティ状態情報手段３２の現在のセキュリティ状態を変更する。
【００３０】
通信インターフェイス３１が受信した要求変更は要求受付手段３５に入力される。要求受付手段３５はこの要求変更を受け取ると、セキュリティ状態情報手段３２に格納されている現在のセキュリティ状態を参照し、許可されていると変更要求を要求処理手段３６に出力する。要求処理手段３６は入力された変更要求に従ってプログラム３７および／またはデータベース３８を再設定する。
【００３１】
次に、この実施例の動作の概念を、図２を用いて説明する。図２において、４は制御ステーション、４１はこの制御ステーション４のファイアウオール、４２１，４２２はセキュリティ状態情報手段３２内の現在のセキュリティ状態によってその状態が変化するセキュリティゲート、４３はセキュリティ管理手段、４４，４５はそれぞれ変更要求Ｂ、Ｃの受付タスクである。セキュリティ管理手段４３は図１のセキュリティ管理手段３３と同じものであり、変更Ｂ受付タスク４４、変更Ｃ受付タスク４５は図１の要求受付手段３５の一部である。
【００３２】
なお、変更要求Ａはどのような場合であっても受け付けてはいけない要求であり、変更要求ＢおよびＣは、ユーザが指定したタイミングでのみ受け付けたい要求である。
【００３３】
図２（Ａ）は定常状態、すなわち変更要求を行わないときの状態を表している。変更要求Ａに対しては、ファイアウオール４１自体が閉じているので、どのような場合であっても受け付けられない。変更要求Ｂ、Ｃは、ファイアウオール４１は開いているが、セキュリティゲート４２１，４２２が閉じているので、やはり受け付けられない。
【００３４】
同図（Ｂ）はセキュリティ変更要求によってセキュリティ状態情報手段３２内の現在のセキュリティ状態を変更して、変更要求Ｂを受け付けるようにした状態を表す。セキュリティゲート４２２が開いたために変更要求Ｂは変更Ｂ受付タスク４４に到達し、実行される。なお、セキュリティゲート４２１は閉じたままなので、変更要求Ｃは受け付けられない。
【００３５】
なお、図２は模式的に記載したので、変更要求がセキュリティゲート４２１，４２２によって阻まれて受付タスク４４，４５に到達しないようになっているが、受付タスク４４，４５がセキュリティ状態情報手段３２を参照して受け付けるかどうかを決定するようにしてもよい。
【００３６】
次に、図３に基づいて図１実施例の動作を説明する。なお、図１と同じ要素には同一符号を付し、説明を省略する。図３は動作を順番に記載したものであり、時間は上から下に流れるものとする。
【００３７】
図３において、プログラムあるいはデータベースを変更したいユーザは、（Ａ）でエンジニアリングＰＣ１を操作してセキュリティ状態変更通知を制御ステーション３に送信する。このとき、パスワードも同時に送信する。
【００３８】
セキュリティ状態変更通知を受け取ったセキュリティ管理手段３３は、同時に送られてきたパスワードとパスワード保存手段３４に保存しているパスワードを比較して、一致していると（Ｃ）でセキュリティ状態情報手段３２内の現在のセキュリティ状態を変更し、（Ｄ）でエンジニアリングＰＣ１にセキュリティ状態の変更が完了したことを通知する。セキュリティ管理手段３３は、パスワードが一致していると変更権限を有する特別なユーザであると判断する。
【００３９】
セキュリティ状態変更完了通知を受け取ったユーザは、（Ｅ）でエンジニアリングＰＣ１を用いて変更要求を送信する。この変更要求は要求受付手段３５で受信される。要求受付手段３５は、（Ｆ）でセキュリティ状態情報手段３２内の現在のセキュリティ状態を参照し、受信した変更要求が許可されているかどうかをチェックする。
【００４０】
次に、（Ｇ）でデータベース３８に書き込む操作を行い、（Ｈ）で書き込みが成功した、あるいは失敗したことをエンジニアリングＰＣ１に通知する。この通知を受け取ったユーザは、（Ｉ）でセキュリティ状態情報手段３２をリセットし、全ての変更要求が受け付けられないようにする。
【００４１】
なお、この図ではデータベース３８への書き込み操作の例を示したが、プログラム３７の変更その他の操作であってもよい。
【００４２】
前述の実施例では、ユーザがセキュリティ状態情報手段３２をリセットし忘れると、パスワードを持たないユーザもプログラム３７あるいはデータベース３８の変更ができてしまうという欠点がある。図４にこの欠点を除去した実施例を示す。
【００４３】
図４において、５はセキュリティ状態管理手段であり、セキュリティ管理手段３３に内蔵される。５１はセキュリティ状態通知手段であり、セキュリティ状態管理手段５に内蔵される。このセキュリティ状態通知手段５１は、セキュリティ状態情報手段３２内の現在のセキュリティ状態が変化したときに、変化した旨をメッセージやユーザアプリケーションを通じてユーザに通知する。これによって、ユーザは意図しないタイミングでセキュリティ状態情報手段３２が変更されたことを知ることができる。
【００４４】
５２はセキュリティ状態監視手段であり、セキュリティ状態管理手段５に内蔵され、またタイマ５２１を内蔵している。このセキュリティ状態監視手段５２はセキュリティ状態情報手段３２を常時監視し、現在のセキュリティ状態が安全でない、すなわち図２（Ａ）の状態でない状態が一定時間以上継続すると異常と判断し、セキュリティ状態通知手段５１を介してユーザに通知して異常を知らせる。
【図面の簡単な説明】
【００４５】
【図１】本発明の一実施例を示す構成図である。
【図２】本発明の概念を説明するための図である。
【図３】本発明の動作を説明するための図である。
【図４】本発明の他の実施例を示す構成図である。
【図５】プロセス制御システムの構成図である。
【図６】制御ステーションの構成図である。
【図７】安全計装システムの構成図である。
【符号の説明】
【００４６】
１、４  エンジニアリングＰＣ
２  通信バス
３  制御ステーション
３１  通信インターフェイス
３２  セキュリティ状態情報手段
３３、４３  セキュリティ管理手段
３４  パスワード保存手段
３５  要求受付手段
３６  要求処理手段
３７  プログラム
３８  データベース
４１  ファイアウオール
４２１，４２２  セキュリティゲート
４４  変更Ｂ受付タスク
４５  変更Ｃ受付タスク
５  セキュリティ状態管理手段
５１  セキュリティ状態通知手段
５２  セキュリティ状態監視手段
５２１  タイマ
【図１】
2005301935.tif 000003
【図２】
2005301935.tif 000004
【図３】
2005301935.tif 000005
【図４】
2005301935.tif 000006
【図５】
2005301935.tif 000007
【図６】
2005301935.tif 000008
【図７】
2005301935.tif 000009