(57)【要約】【課題】比較的簡素な導入コストでプラント設備の安全を担保する、プラント監視制御端末装置及びプラント監視制御方法を提供する。【解決手段】作業者用端末１０３に、制御命令の正当性を判断する命令判定部２０６を設ける。命令判定部２０６は、ログファイル２０５に記録されている過去の作業内容に基づく手動操作用辞書２０７と、コントローラ１０６で稼働するシーケンスプログラムに基づくシーケンス処理用辞書２０８を参照し、手動操作の観点と、シーケンス処理の観点の両方で、操作部２０２から生じた制御命令の正当性を判断する。正当な制御命令であればコントローラ１０６に送信し、不正な制御命令であればコントローラ１０６には送信せずに、当該制御命令に関する情報を付加して管理者へ報告する。このように、作業者用端末１０３のプラント制御プログラムに制御命令のフィルタリング機能を付加することで、悪意ある者の操作や誤操作からプラント機器１０５を保護することができる。【選択図】図１
2013109608.tif 000002
【特許請求の範囲】
【請求項１】
監視及び制御の対象となるプラント機器を表示する表示部と前記プラント機器を制御するために操作する操作部とが接続され、前記操作部から生じた操作内容を前記プラント機器に対する制御命令に変換し、前記制御命令を、前記プラント機器を制御するコントローラに送信する入出力制御部と、
前記入出力制御部が前記制御命令を前記コントローラに送信する前に、前記制御命令の正当性を判断して、正当な制御命令であると判断した時には、前記入出力制御部が前記制御命令を前記コントローラに送信するべく、その旨を前記入出力制御部に報告すると共に、不正な制御命令であると判断した時には、前記入出力制御部が前記制御命令に関する情報を管理端末に報告するべく、その旨を前記入出力制御部に報告する、命令判定部と
を具備するプラント監視制御端末装置。
【請求項２】
更に、
前記制御命令が手動操作に基づく正当な制御命令であるか否かを判断するための手動操作用辞書と、
前記制御命令がシーケンス制御に基づく正当な制御命令であるか否かを判断するためのシーケンス処理用辞書と
を具備し、
前記命令判定部は、前記手動操作用辞書と前記シーケンス処理用辞書を参照して前記制御命令の正当性を判断する、
請求項１記載のプラント監視制御端末装置。
【請求項３】
更に、
前記コントローラへ送信される前記制御命令と、前記コントローラから受信される前記プラント機器の異常状態を示すアラーム情報が記録されるログファイルと、
前記ログファイルに記録されている前記アラーム情報及び前記操作内容を、時間軸に基づいて関連付けた前記手動操作用辞書を生成する辞書作成部と
を具備する、請求項２記載のプラント監視制御端末装置。
【請求項４】
端末の操作部から制御命令が発生したことを受けて、前記制御命令が発生した時点で生じているアラーム情報を取得するアラーム情報取得ステップと、
前記アラーム情報取得ステップにてアラーム情報が発生しているか否かを判定するアラーム情報判定ステップと、
前記アラーム情報判定ステップにてアラーム情報が発生していると判定した場合、予め手動操作の類型を保持した手動操作用辞書を参照して、発生したアラーム情報に対して前記制御命令は前記手動操作用辞書に該当する正当な手動操作であるか否かを判定する手動操作正当性判定ステップと、
前記アラーム情報判定ステップにてアラーム情報が発生していないと判定した場合、前記制御命令は前記手動操作用辞書に該当する手動操作と認められるか否かを判定する不正手動操作判定ステップと、
前記不正手動操作判定ステップにて前記手動操作用辞書に該当する前記手動操作と認められない場合に、コントローラで実行中のシーケンスプログラムの情報を取得するシーケンスプログラム情報取得ステップと、
前記シーケンスプログラム情報取得ステップにて、前記制御命令が前記コントローラで実行中の前記シーケンスプログラムが現在制御対象としているプラント機器に対する制御命令であり、且つ、前記シーケンスプログラムが実行中の制御内容と異なる制御命令であるか否かを判定するシーケンス処理判定ステップと、
前記手動操作正当性判定ステップにて発生した前記アラーム情報に対して前記制御命令が前記手動操作用辞書に該当する正当な手動操作でない場合、前記不正手動操作判定ステップにて前記制御命令が前記手動操作用辞書に該当する手動操作と認められる場合、又は前記シーケンス処理判定ステップにて、前記制御命令が前記コントローラで実行中の前記シーケンスプログラムが現在制御対象としているプラント機器に対する制御命令であり、且つ、前記シーケンスプログラムが実行中の制御内容と異なる制御命令である場合、前記制御命令に関する情報を管理端末に報告する不正命令報告ステップと
を有する、プラント監視制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、プラント監視制御システムに用いる、プラント監視制御端末装置及びプラント監視制御方法に関する。
【背景技術】
【０００２】
周知のように、プラント監視制御システムは、上下水道や発電所等の社会インフラ、或は工場施設等の監視と制御を行うシステムであり、広く普及している。プラント監視制御システムは、その制御対象が大規模且つ社会的に重大な存在であるが故に、誤った制御が行われてはならない。誤った制御は、制御対象となるプラント機器によっては重大な事故に直結する可能性もある。
しかしながら、悪意ある者が社会的打撃を与える等の目的で、プラント監視制御システムが設けられている施設に侵入し、操作用端末を操作して悪意ある制御を実行する可能性がある。勿論、施設の警備を厳重にして、そのような侵入者を阻止することは必須であるが、警備だけでプラント監視制御システムの安全を保証できるとはいえない。セキュリティの維持は様々な「層」で対策を施さなければならない。
【０００３】
これまで、プラント監視制御システム自体にも悪意ある者の操作を拒絶するための仕組みを設ける等の工夫が施されてきた。例えば特許文献１に記載の技術では、操作者がＩＤカードを所持し、操作用端末を操作する際にはそのＩＤカードで認証を行う。個人認証が正常に行われた時のみ、操作が可能になる。更に、操作者毎に操作権限を設定し、操作者のプラント設備に対する制御操作の習熟度に応じて、実行できる操作の制限を変更している。このように特許文献１に開示されている技術内容では、操作者をＩＤカードを用いた個人認証で識別し、操作権限を段階的に設定することで、不正操作や誤操作を防いでいる。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開平７−１３６０３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
特許文献１に開示されている従来技術では、操作者の個人認証は操作を行う際に実行され、操作端末を使用する間、常に繰り返し実行される訳ではない。例えば、個人認証後に操作者が離席した場合、侵入者が操作者不在の個人認証済み端末を悪用する可能性が考えられる。また、ＩＤカードは紛失や盗難、そして複製等の可能性を否定できない。盗難され、不正に複製されたＩＤカードの利用者権限が管理者権限であった場合、プラント設備に甚大な被害を生じさせてしまう虞がある。
また近年では、正規の操作者が悪意ある不正操作を行う事件も起きており、そのような場合、ＩＤカードを用いた特許文献１に開示される対策法は効果がない。
【０００６】
本発明は係る状況に鑑みてなされたものであり、比較的簡素な導入コストでプラント設備の安全を担保する、プラント監視制御端末装置及びプラント監視制御方法を提供することを目的とする。
【課題を解決するための手段】
【０００７】
上記課題を解決するために、本発明のプラント監視制御端末装置は、監視及び制御の対象となるプラント機器を表示する表示部と、プラント機器を制御するために操作する操作部と、表示部と操作部とが接続され、操作部から生じた操作内容をプラント機器に対する制御命令に変換し、制御命令を、プラント機器を制御するコントローラに送信する入出力制御部を備える。
更に、命令判定部は、入出力制御部が制御命令をコントローラに送信する前に、制御命令の正当性を判断して、正当な制御命令であると判断した時には、入出力制御部が制御命令をコントローラに送信するべく、その旨を入出力制御部に報告すると共に、不正な制御命令であると判断した時には、入出力制御部が制御命令に関する情報を管理端末に報告するべく、その旨を入出力制御部に報告する。
【発明の効果】
【０００８】
本発明により、比較的簡素な導入コストでプラント設備の安全を担保する、プラント監視制御端末装置及びプラント監視制御方法を提供できる。
【図面の簡単な説明】
【０００９】
【図１】プラント監視制御システムの全体構成を示すブロック図である。
【図２】本実施形態に係る作業者用端末のブロック図である。
【図３】辞書作成部のブロック図である。
【図４】各種テーブルのフィールド構成を示す図である。
【図５】各種テーブルのフィールド構成を示す図である。
【図６】シーケンス処理用辞書の作成手順を示すブロック図である。
【図７】シーケンス処理用辞書のフィールド構成を示す図である。
【図８】命令判定部による制御命令の判定処理の流れを示すフローチャートである。
【発明を実施するための形態】
【００１０】
［全体構成］
図１は、プラント監視制御システムの全体構成を示すブロック図である。
プラント監視制御システム１０１は、管理者用端末１０２と、複数の作業者用端末１０３が、制御ＬＡＮ１０４にて相互接続されている。作業者用端末１０３は、プラント機器１０５に対する制御命令を生成する。制御命令は、制御ＬＡＮ１０４に接続されているコントローラ１０６に送信される。コントローラ１０６は、制御命令を解釈して適切な演算処理を施し、プラント機器１０５に対するより具体的な制御情報に変換する。制御情報はコントローラ１０６に接続されている、プラント機器１０５との入出力信号のインターフェースであるプロセスＩ／Ｏ装置１０７へ送出され、プラント弁１０８やポンプ１０９等のプラント機器１０５が制御される。
本発明に係るプラント監視制御端末装置としては、例として図１中の作業者用端末１０３が該当する。
一方、管理端末ともいえる管理者用端末１０２は、作業者用端末１０３と同等のプラント設備に対する制御を実行する機能を有する他、作業者用端末１０３ではできない、作業者用端末１０３を監視する機能を備える。
【００１１】
図２は、本実施形態に係る作業者用端末１０３のブロック図である。
作業者用端末１０３は、一例としては一般的なパーソナルコンピュータ（以下「パソコン」と略す）が用いられる。パソコンにネットワークＯＳとプラント制御プログラムをインストールし、これらソフトウェアが稼働することで、パソコンはプラント監視制御システム１０１の作業者用端末１０３として機能する。
ディスプレイである表示部２０１と、キーボード及びマウス等のポインティングデバイスである操作部２０２は、入出力制御部２０３に接続される。入出力制御部２０３は制御ＬＡＮ１０４に接続されている。表示部２０１と操作部２０２と入出力制御部２０３は、操作者にＧＵＩ（Graphical User Interface）環境を提供する。表示部２０１には、監視及び制御の対象となるプラント設備と、プラント設備内に設置されているプラント機器１０５に関する情報が、模式図の形態で表示される。操作者が操作部２０２を操作すると、入出力制御部２０３は、操作部２０２から生じる操作情報に対応する、プラント機器１０５に対する制御命令を、コントローラ１０６に向けて送信する。その際、入出力制御部２０３はコントローラアドレス２０４を参照する。また、プラント機器１０５に設けられている図示しないセンサ等から生じる、異常状態を示すアラーム情報は、入出力制御部２０３を通じて表示部２０１に表示される。
また、コントローラ１０６へ送信される制御命令と、コントローラ１０６から受信されるアラーム情報は、図示しない周知のリアルタイムクロックから得られる日時情報を伴って、ログファイル２０５に記録される。
【００１２】
入出力制御部２０３には、更に命令判定部２０６が接続されている。命令判定部２０６は入出力制御部２０３から生成される制御命令を、コントローラ１０６に送信される前に一旦取り込んで、その操作内容がプラント機器１０５に対して正しい制御命令であるか否かを判定する。判定の際には、手動操作用辞書２０７と、シーケンス処理用辞書２０８を参照する。
判定の結果、プラント機器１０５に対して正しい制御命令であれば、命令判定部２０６はその旨を入出力制御部２０３に報告する。入出力制御部２０３はその報告を受けて、当該制御命令をコントローラ１０６へ送信する。
判定の結果、プラント機器１０５に対して誤動作や事故を引き起こす可能性がある不正な制御命令であれば、命令判定部２０６はその旨を入出力制御部２０３に報告する。入出力制御部２０３はその報告を受けて、当該制御命令が生成された事実を管理者用端末１０２へ報告する。その際、入出力制御部２０３は管理者用端末アドレス２０９を参照する。
つまり、命令判定部２０６は不正な命令をフィルタリングして、不正な命令がコントローラ１０６へ送信されることを防止すると共に、不正な命令が生成された旨を管理者用端末１０２へ報告する。
【００１３】
［手動操作用辞書２０７］
プラント機器１０５は、コントローラ１０６のプログラムに組み込まれているシーケンス制御等の自動制御プログラムによって制御されている。このため、操作者が手動で行う操作は、プラント機器１０５から異常状態を示すアラーム情報が発生した場合に、そのアラーム情報に対応する操作として、プラント機器１０５を異常状態から正常状態に復帰させるための操作を行うことが多い。例えば、「タンクＡの水位が上昇して危険域に到達」という内容のアラーム情報が発生した場合は、操作者は「タンクＡに接続されたバルブＡの開度変更」という操作を行い、タンクＡの排水を行う。このような操作を行った後、一定時間経過後にタンクＡの水位が正常域になると、「タンクＡの水位が正常域に変化」という内容のアラームが発生する。このような、プラント機器１０５が異常状態から正常状態に復旧したことを告げるアラーム情報を、復旧アラーム情報と称する。
このように、アラーム情報が発生したことに対して操作者がプラント機器１０５の操作を行うと、その操作に呼応して正常復帰を知らせる復旧アラーム情報が発生する。つまり、手動操作には一定のパターンが認められる。この、「アラーム情報に対応する操作」のパターンを予めファイル等に保持しておき、新たな制御命令が発生した時にそのパターンと合致するか否か照合すれば、正常な手動操作であるか否かを類推できる。
【００１４】
本実施形態では、辞書作成部２１０が、アラーム情報、操作内容、そして復旧アラーム情報を関連付けた手動操作用辞書２０７を、ログファイル２０５に記録されている、操作者の一定期間の操作内容から抽出して生成する。
命令判定部２０６は、制御命令の内容と手動操作用辞書２０７の比較を行う。操作者が、アラーム情報が発生していないのに、手動操作用辞書２０７内にある操作を行った場合は、不正操作である可能性が高いため、命令判定部２０６はその旨を入出力制御部２０３に報告する。操作者がアラーム情報に対して手動操作用辞書２０７の操作内容と異なる操作を行った場合も同様に、不正操作である可能性が高いため、命令判定部２０６はその旨を入出力制御部２０３に報告する。
入出力制御部２０３は命令判定部２０６の報告を受けて、制御命令の内容を管理者用端末１０２に送信する。
【００１５】
図３は、辞書作成部２１０のブロック図である。
ログファイル２０５には、アラーム情報と、操作内容と、復旧アラーム情報が時系列順に記録されている。
アラームフィルタ３０１は、ログファイル２０５からアラーム情報のレコードだけを抽出し、アラームログ３０２に出力する。
操作フィルタ３０３は、ログファイル２０５から操作内容のレコードだけを抽出すると共に、重要度マスタ３０４を参照して操作内容に対応する重要度を紐付けて、操作ログ３０５に出力する。
復旧アラームフィルタ３０６は、ログファイル２０５から復旧アラーム情報のレコードだけを抽出し、復旧アラームログ３０７に出力する。
手動操作用辞書作成部３０８は、アラームログ３０２と、復旧アラームログ３０７と、操作ログ３０５のレコードを、プラント機器関連度マスタ３０９に記述されているプラント機器１０５同士の関連度を参照しながら、時系列に沿って紐付けて、手動操作用辞書２０７に出力する。
【００１６】
アラームフィルタ３０１、復旧アラームフィルタ３０６及び操作フィルタ３０３は、その名の通りフィルタプログラムである。辞書作成部２１０自体はリアルタイム性を必要としないので、これらのフィルタプログラムが同時に動作する必要はなく、実行される順番はどのような順番であっても構わない。最終的に、手動操作用辞書作成部３０８がアラームログ３０２、操作ログ３０５及び復旧アラームログ３０７を処理できればよい。
【００１７】
図４及び図５は、各種テーブルのフィールド構成を示す図である。
アラームログ３０２は、アラーム発生機器フィールドと、アラーム内容フィールドと、発生日時フィールドよりなる。
アラーム発生機器フィールドには、アラーム情報が発生したプラント機器１０５の名称或はコードが記録される。
アラーム内容フィールドには、アラーム情報の内容を示す文章或はコードが記録される。
発生日時フィールドには、アラーム情報が発生した日時が記録される。
【００１８】
重要度マスタ３０４は、操作機器フィールドと、重要度フィールドよりなる。
操作機器フィールドには、操作者が操作を実施するプラント機器１０５の名称或はコードが記録される。
重要度フィールドには、操作機器フィールドに記録されるプラント機器１０５の重要度が記録される。
【００１９】
操作ログ３０５は、操作機器フィールドと、操作内容フィールドと、重要度フィールドと、操作日時フィールドよりなる。
操作機器フィールドには、操作者が操作を実施したプラント機器１０５の名称或はコードが記録される。
操作内容フィールドには、操作の内容を示す文章或はコードが記録される。
重要度フィールドには、操作機器フィールドに記録されるプラント機器１０５の重要度が記録される。このフィールドは重要度マスタ３０４を参照して記録される。
操作日時フィールドには、操作者が操作内容フィールドに記録される操作を実施した日時が記録される。
【００２０】
復旧アラームログ３０７は、復旧アラーム発生機器フィールドと、復旧アラーム内容フィールドと、発生日時フィールドよりなる。
復旧アラーム発生機器フィールドには、復旧アラーム情報が発生したプラント機器１０５の名称或はコードが記録される。
復旧アラーム内容フィールドには、復旧アラーム情報の内容を示す文章或はコードが記録される。
発生日時フィールドには、復旧アラーム情報が発生した日時が記録される。
【００２１】
図５を参照して、テーブルの説明を続ける。
プラント機器関連度マスタ３０９は、プラント機器１０５フィールドと、関連機器フィールドよりなる。
プラント機器１０５フィールドには、プラント機器１０５の名称或はコードが記録される。
関連機器フィールドには、プラント機器１０５フィールドに記録されているプラント機器１０５に関連する他のプラント機器１０５の名称或はコードが記録される。
プラント機器１０５と関連機器とは、一対多の関係である。プラント機器関連度マスタ３０９は、この一対多の関係を記録する。
【００２２】
手動操作用辞書２０７は、アラーム発生機器フィールドと、アラーム内容フィールドと、操作機器フィールドと、操作内容フィールドと、重要度フィールドと、復旧アラーム発生機器フィールドと、復旧アラーム内容フィールドよりなる。
アラーム発生機器フィールドと、アラーム内容フィールドは、アラームログ３０２の同名フィールドと同じである。
操作機器フィールドと、操作内容フィールドと、重要度フィールドは、操作ログ３０５の同名フィールドと同じである。
復旧アラーム発生機器フィールドと、復旧アラーム内容フィールドは、復旧アラームログ３０７の同名フィールドと同じである。
つまり、手動操作用辞書２０７のレコードは、アラームログ３０２と、操作ログ３０５と、復旧アラームログ３０７の各レコードを紐付けた内容で構成されている。
【００２３】
［シーケンス処理用辞書２０８］
近年のプラント操業は、工程管理にシーケンス制御を用いている。
例えば、ある製品を製造する際、各々のプラント機器１０５の動作は、コントローラ１０６上で稼働するシーケンス制御のプログラム内容（シーケンスプログラム）に従う。シーケンスプログラムは、コントローラ１０６からプログラムの記述通りに指示することで、弁の開閉やポンプの起動・停止などを実行する。また、シーケンスプログラムは複数存在し、１つのシーケンスプログラムに記述された処理が終了すると、次のシーケンスプログラムが実行される。
このように、プラント設備はシーケンスプログラムの内容に従って制御されているが、シーケンスプログラムの指示内容と違う操作が作業者用端末１０３から行われた場合は、プラントの操業が正常に行えなくなる。
そこで、「シーケンスプログラムに記述されている、プラント機器１０５に対する操作のパターン」そのものを、先の手動操作用辞書２０７と同様に予めファイル等に保持しておき、新たな制御命令が発生した時にそのパターンと合致するか否か照合すれば、正常な手動操作であるか否かを類推できる。
【００２４】
シーケンスプログラムはプラント監視制御システム１０１をプラント設備に敷設する際、コントローラ１０６にインストールされる。したがって、シーケンス処理用辞書２０８は全ての作業者用端末１０３に共通の辞書ファイルである。操作者端末毎に異なる手動操作用辞書２０７が作成されることはないので、辞書作成部２１０のような、操作者端末毎に辞書ファイルを作成する仕組みを設ける必要はない。
命令判定部２０６は、制御命令の内容とシーケンス処理用辞書２０８の比較を行う。操作者が、手動操作用辞書２０７内にある操作を行った場合や、アラーム情報に対して手動操作用辞書２０７の操作内容と異なる操作を行った場合は、不正操作である可能性が高いため、命令判定部２０６はその旨を入出力制御部２０３に報告する。入出力制御部２０３は命令判定部２０６の報告を受けて、制御命令の内容を管理者用端末１０２に送信する。
【００２５】
図６は、シーケンス処理用辞書２０８の作成手順を示すブロック図である。
シーケンス処理用辞書２０８は、一般的なパソコン等でフィルタプログラムであるシーケンス処理用辞書作成部６０１を稼働させて、作成する。
シーケンス処理用辞書作成部６０１は、コントローラ１０６上で稼働するシーケンスプログラムの元となるシーケンススクリプト６０２と、重要度マスタ３０４を読み込み、シーケンス処理用辞書２０８を作成する。
【００２６】
図７は、シーケンス処理用辞書２０８のフィールド構成を示す図である。
シーケンス処理用辞書２０８は、シーケンス番号フィールドと、操作機器フィールドと、動作フィールドと、行程番号フィールドと、重要度フィールドよりなる。
シーケンス番号フィールドには、シーケンスプログラムに付されている番号が記録される。このシーケンス番号は、シーケンスプログラムを実行する順番を示す。
操作機器フィールドには、シーケンスプログラムが制御を実行する対象となるプラント機器１０５の名称或はコードが記録される。
動作フィールドには、操作機器フィールドに記録されているプラント機器１０５に対して制御を実行する具体的な制御内容が記録される。
行程番号フィールドには、一つのシーケンスプログラム内に制御対象となる複数のプラント機器１０５が記述されている場合に、その制御を実行する順番が記録される。
重要度フィールドには、操作機器フィールドに記録されているプラント機器１０５の重要度が記録される。これは重要度マスタ３０４を参照して記録される。
【００２７】
［動作］
図８は、命令判定部２０６による制御命令の判定処理の流れを示すフローチャートである。命令判定部２０６は、入出制御部から発生する制御命令に呼応して起動される。
処理を開始すると（Ｓ８０１）、命令判定部２０６は現時点においてコントローラ１０６から得られるアラーム情報の取得を試みて（Ｓ８０２）、アラーム情報が発生しているか否かを確認する（Ｓ８０３）。アラーム情報が発生していれば（Ｓ８０３のＹＥＳ）、次に命令判定部２０６は手動操作用辞書２０７を参照し、今評価している制御命令と、ステップＳ８０２にて取得したアラーム情報との組み合わせは、手動操作用辞書２０７に存在しないか否かを確認する（Ｓ８０４）。つまり、正しい手動操作に基づく制御命令であるか否かを確認する。
【００２８】
ステップＳ８０４において、評価している制御命令が、手動操作用辞書２０７に登録されている正しい制御命令であれば（Ｓ８０４のＮＯ）、この時点で手動操作の観点では正常な制御命令である。そこで次に、命令判定部２０６はコントローラ１０６において現時点で稼動しているシーケンスプログラムの情報を取得する（Ｓ８０５）。取得するシーケンスプログラムの情報とは、シーケンス番号と行程番号である。そして、シーケンス番号と行程番号でシーケンス処理用辞書２０８のレコードを特定したら、当該レコードの操作機器フィールドと、動作フィールドを参照する。
【００２９】
命令判定部２０６は、操作機器フィールドに記されているプラント機器１０５が、今評価している制御命令の対象となるプラント機器１０５であるか否か、そして動作フィールドに記されている制御内容と異なる制御命令であるか否かを確認する（Ｓ８０６）。もし、操作機器フィールドに記されているプラント機器１０５とは異なるプラント機器１０５に対する制御命令であるか、或は、操作機器フィールドに記されているプラント機器１０５と同じプラント機器１０５に対する制御命令であり、且つ動作フィールドに記されている制御内容と同じ制御命令である場合（Ｓ８０６のＮＯ）は、当該制御命令は手動操作の観点とシーケンス制御の観点の、何れの観点で見ても正しい制御命令であるので、当該制御命令をコントローラ１０６に送信して、プラント機器１０５に対する制御を実行して（Ｓ８０７）、一連の処理を終了する（Ｓ８０８）。
【００３０】
ステップＳ８０６において、もし、操作機器フィールドに記されているプラント機器１０５と同一のプラント機器１０５に対する制御命令であり、且つ、動作フィールドに記されている制御内容と異なる制御命令である場合（Ｓ８０６のＹＥＳ）は、当該制御命令はシーケンス制御の観点で見て誤った制御命令である。そこで、命令判定部２０６は当該制御命令が不正な制御命令であることを入出力制御部２０３に報告する。入出力制御部２０３は、当該制御命令と、制御命令が制御対象としていたプラント機器１０５、そして重要度を、管理者用端末１０２へ送信して（Ｓ８０９）、一連の処理を終了する（Ｓ８０８）。
【００３１】
ステップＳ８０３において、アラーム情報が発生していなければ（Ｓ８０３のＮＯ）、次に命令判定部２０６は手動操作用辞書２０７を参照し、今評価している制御命令は、手動操作用辞書２０７に存在するか否かを確認する（Ｓ８１０）。つまり、不正な手動操作に基づく制御命令であるか否かを確認する。
ステップＳ８１０において、評価している制御命令が、手動操作用辞書２０７に登録されている制御命令であれば（Ｓ８１０のＹＥＳ）、当該制御命令はアラーム情報が発生していないにもかかわらず、手動操作用辞書２０７に存在する制御命令である。つまり、不正な手動操作に基づく制御命令である。そこで、命令判定部２０６は当該制御命令が不正な制御命令であることを入出力制御部２０３に報告する。入出力制御部２０３は、当該制御命令と、制御命令が制御対象としていたプラント機器１０５、そして重要度を、管理者用端末１０２へ送信して（Ｓ８０９）、一連の処理を終了する（Ｓ８０８）。
【００３２】
ステップＳ８１０において、評価している制御命令が、手動操作用辞書２０７に登録されていない制御命令であれば（Ｓ８１０のＮＯ）、次に命令判定部２０６はコントローラ１０６において現時点で稼動しているシーケンスプログラムの情報を取得する（Ｓ８０５）。そして、ステップＳ８０６へ移行する。
【００３３】
ステップＳ８０４において、評価している制御命令が、手動操作用辞書２０７に登録されている正しい制御命令でなければ（Ｓ８０４のＹＥＳ）、当該制御命令はアラーム情報が発生しているにもかかわらず、手動操作用辞書２０７に存在しない制御命令である。つまり、不正な手動操作に基づく制御命令である。そこで、命令判定部２０６は当該制御命令が不正な制御命令であることを入出力制御部２０３に報告する。入出力制御部２０３は、当該制御命令と、制御命令が制御対象としていたプラント機器１０５、そして重要度を、管理者用端末１０２へ送信して（Ｓ８０９）、一連の処理を終了する（Ｓ８０８）。
【００３４】
以上説明した通り、図８のフローチャートは、以下の条件による場合分けを実施する。
（１）アラーム情報が発生している（Ｓ８０３のＹＥＳ）にもかかわらず、評価している制御命令が、手動操作用辞書２０７に登録されている正しい制御命令でない場合（Ｓ８０４のＹＥＳ）：
（２）アラーム情報が発生していない（Ｓ８０３のＮＯ）にもかかわらず、評価している制御命令が、手動操作用辞書２０７に登録されている制御命令である場合（Ｓ８１０のＹＥＳ）：
（３）アラーム情報が発生していない（Ｓ８０３のＮＯ）と共に、評価している制御命令が、手動操作用辞書２０７に登録されていない制御命令である（Ｓ８１０のＮＯ）にもかかわらず、シーケンス処理対象機器に対して、シーケンス処理用辞書と異なる処理の命令である場合（Ｓ８０６のＹＥＳ）：
以上（１）、（２）及び（３）の場合は、命令判定部２０６が当該制御命令が不正な制御命令であると判断する。そして入出力制御部２０３は、当該制御命令と、制御命令が制御対象としていたプラント機器１０５、そして重要度を、管理者用端末１０２へ送信する（Ｓ８０９）。
【００３５】
（４）アラーム情報が発生している（Ｓ８０３のＹＥＳ）と共に、評価している制御命令が、手動操作用辞書２０７に登録されている正しい制御命令であり（Ｓ８０４のＮＯ）、シーケンス処理対象機器とは異なるプラント機器１０５に対する制御命令であるか、或は、シーケンス処理対象機器と同じプラント機器１０５に対する制御命令であり、且つシーケンス処理用辞書に記されている制御内容と同じ制御命令である場合（Ｓ８０６のＮＯ）：
（５）アラーム情報が発生していない（Ｓ８０３のＮＯ）と共に、評価している制御命令が、手動操作用辞書２０７に登録されていない制御命令であり（Ｓ８０４のＮＯ）、シーケンス処理対象機器とは異なるプラント機器１０５に対する制御命令であるか、或は、シーケンス処理対象機器と同じプラント機器１０５に対する制御命令であり、且つシーケンス処理用辞書に記されている制御内容と同じ制御命令である場合（Ｓ８０６のＮＯ）：
以上（４）及び（５）の場合は、命令判定部２０６が当該制御命令が正当な制御命令であると判断する。そして入出力制御部２０３は、当該制御命令をコントローラ１０６へ送信し、コントローラ１０６は制御を実行する（Ｓ８０７）。
【００３６】
入出力制御部２０３は、命令判定部２０６が判定した、制御命令の正当性に関する判定結果を受けて、制御命令をコントローラ１０６に送信するか、或は制御命令の内容等の情報を管理者用端末１０２へ送信する。このために、コントローラアドレス２０４と管理者用端末１０２アドレスが必要になる。アドレスとは、制御ＬＡＮ１０４上に存在するネットワーク機器を一意に識別するための情報である。例として、ＴＣＰ／ＩＰネットワークの場合は周知のＩＰアドレスである。また、ＩＰアドレスの代わりにホスト名やＦＱＤＮ（Full Qualified Domain Name）を所定のテキストファイル等に記述する。
【００３７】
命令判定部２０６は、入出力制御部２０３に制御命令の正当性を判定する機能を提供し、入出力制御部２０３の一部をなす、図示しないプラント制御プログラムに組み込まれる。命令判定部２０６の実装形態の例としては、制御ＬＡＮ１０４がＴＣＰ／ＩＰネットワークである場合、命令判定部２０６はアプリケーション層に該当するプラント制御プログラムにサブルーチンとして組み込まれるか、或はプラント制御プログラムとＴＣＰ／ＩＰプロトコルスタックとの間に入り込んで、プラント制御プログラムからＴＣＰ／ＩＰプロトコルスタックに送出されるストリームデータをフックする構成が望ましい。
【００３８】
本実施形態では以下の応用例が可能である。
（１）管理者へ不正な制御命令が発生した旨を報告する手段は、様々な態様が考えられる。例えば、管理者のメールアドレスにメールを送信する、という構成も考えられる。このような場合、管理者用端末１０２アドレスの代わりに管理者のメールアドレスが用いられることとなる。つまり、報告したい対象は管理者であるので、必ずしも管理者用端末１０２でなければならないという訳ではない。
更に、管理者用端末１０２にメッセージを直接送信する機能と、管理者のメールアドレスに向けてメールを送信する機能を併用することも考えられる。管理者が不在の場合に、メールで不正な制御命令が発生した事実を把握することができれば、管理者は外出先等からプラント設備に勤務する作業者に適切な指示を出すことができるだろう。
【００３９】
本実施形態では、プラント監視制御端末装置である作業者用端末１０３を開示した。
作業者用端末１０３に、制御命令の正当性を判断する命令判定部２０６を設ける。
命令判定部２０６は、ログファイル２０５に記録されている過去の作業内容に基づく手動操作用辞書２０７と、コントローラ１０６で稼働するシーケンスプログラムに基づくシーケンス処理用辞書２０８を参照し、手動操作の観点と、シーケンス処理の観点の両方で、操作部２０２から生じた制御命令の正当性を判断する。正当な制御命令であればコントローラ１０６に送信し、不正な制御命令であればコントローラ１０６には送信せずに、当該制御命令に関する情報を付加して管理者へ報告する。このように、作業者用端末１０３のプラント制御プログラムに制御命令のフィルタリング機能を付加することで、悪意ある者の操作や誤操作からプラント機器１０５を保護することができる。
【００４０】
以上、本発明の実施形態例について説明したが、本発明は上記実施形態例に限定されるものではなく、特許請求の範囲に記載した本発明の要旨を逸脱しない限りにおいて、他の変形例、応用例を含む。
【符号の説明】
【００４１】
１０１…プラント監視制御システム、１０２…管理者用端末、１０３…作業者用端末、１０４…制御ＬＡＮ、１０５…プラント機器、１０６…コントローラ、１０７…プロセスＩ／Ｏ装置、１０８…プラント弁、１０９…ポンプ、２０１…表示部、２０２…操作部、２０３…入出力制御部、２０４…コントローラアドレス、２０５…ログファイル、２０６…命令判定部、２０７…手動操作用辞書、２０８…シーケンス処理用辞書、２０９…管理者用端末アドレス、２１０…辞書作成部、３０１…アラームフィルタ、３０２…アラームログ、３０３…操作フィルタ、３０４…重要度マスタ、３０５…操作ログ、３０６…復旧アラームフィルタ、３０７…復旧アラームログ、３０８…手動操作用辞書作成部、３０９…プラント機器関連度マスタ、６０１…シーケンス処理用辞書作成部、６０２…シーケンススクリプト
【図１】
2013109608.tif 000003
【図２】
2013109608.tif 000004
【図３】
2013109608.tif 000005
【図４】
2013109608.tif 000006
【図５】
2013109608.tif 000007
【図６】
2013109608.tif 000008
【図７】
2013109608.tif 000009
【図８】
2013109608.tif 000010