(57)【要約】【課題】制御対象機器において異常が発生した場合に、認証の失敗によって、正当な従事者の介入が妨げられることを防止できる制御システムおよび制御装置を提供する。【解決手段】実施形態の制御システムは、受信部と、認証部と、送信部と、制御部と、を備える。受信部は、クライアント端末から、ユーザの認証に用いる第１情報と、プラント内の制御対象機器の状態に関する第２情報の送信を指示する第３情報と、を受信する。認証部は、第１情報に基づいてユーザの認証を行う。送信部は、認証部によるユーザの認証に成功した場合、第２情報をクライアント端末に送信し、認証部によるユーザの認証に失敗した場合、第２情報のクライアント端末への送信を禁止する。制御部は、第２情報が所定の異常情報条件に合致した場合、クライアント端末への第２情報の送信の禁止を解除する。【選択図】図３
2016184231.tif 000002
【特許請求の範囲】
【請求項１】
クライアント端末から、ユーザの認証に用いる第１情報と、プラント内の制御対象機器の状態に関する第２情報の送信を指示する第３情報と、を受信する受信部と、
前記第１情報に基づいてユーザの認証を行う認証部と、
前記認証部によるユーザの認証に成功した場合、前記第２情報を前記クライアント端末に送信し、前記認証部によるユーザの認証に失敗した場合、前記第２情報の前記クライアント端末への送信を禁止する送信部と、
前記第２情報が所定の異常情報条件に合致した場合、前記クライアント端末への前記第２情報の送信の禁止を解除する制御部と、
を備えた制御システム。
【請求項２】
前記制御部は、複数の前記第２情報のうち少なくとも１つが前記異常情報条件に合致した場合、前記クライアント端末への前記第２情報の送信の禁止を解除する請求項１に記載の制御システム。
【請求項３】
前記制御部は、前記第３情報によって送信が指示された前記第２情報が前記異常情報条件に合致した場合にのみ、前記クライアント端末への前記第２情報の送信の禁止を解除する請求項１に記載の制御システム。
【請求項４】
複数の前記第２情報のうち少なくとも１つが前記異常情報条件に合致した場合に、前記クライアント端末への前記第２情報の送信の禁止を解除する第１処理、および前記第３情報によって送信が指示された前記第２情報が前記異常情報条件に合致した場合にのみ、前記クライアント端末への前記第２情報の送信の禁止を解除する第２処理のいずれを実行するかを設定する設定部を備え、
前記制御部は、前記第１処理および前記第２処理のうち前記設定部により設定された処理を実行する請求項１に記載の制御システム。
【請求項５】
前記クライアント端末への前記第２情報の送信の禁止の解除履歴を記憶する記憶部を備える請求項１から４のいずれか一に記載の制御システム。
【請求項６】
前記制御部は、前記第２情報が複数の前記異常情報条件のうち少なくとも１つと合致した場合、前記クライアント端末への前記第２情報の送信の禁止を解除する請求項１から５のいずれか一に記載の制御システム。
【請求項７】
前記制御部は、前記第２情報が複数の前記異常情報条件の全てと合致した場合、前記クライアント端末への前記第２情報の送信の禁止を解除する請求項１から５のいずれか一に記載の制御システム。
【請求項８】
クライアント端末から、ユーザの認証に用いる第１情報と、プラント内の制御対象機器の状態に関する第２情報の送信を指示する第３情報と、を受信する受信部と、
前記第１情報に基づいて前記クライアント端末の認証を行う認証部と、
前記認証部によるユーザの認証に成功した場合、前記第２情報を前記クライアント端末に送信し、前記認証部によるユーザの認証に失敗した場合、前記第２情報の前記クライアント端末への送信を禁止する送信部と、
前記第２情報が所定の異常情報条件に合致した場合、前記クライアント端末への前記第２情報の送信の禁止を解除する制御部と、
を備えた制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明の実施形態は、制御システムおよび制御装置に関する。
【背景技術】
【０００２】
コントローラは、プラント内のセンサにより検出された入力情報を演算し、入力情報の演算結果である出力情報を、プラント内のバルブ等の制御対象機器に対して出力する制御装置である。プラント監視装置は、プラント内の制御対象機器の状態に関する情報であるタグを監視および表示し、当該制御対象機器をリモート制御するクライアント端末である。このタグには、入力情報および出力情報等が含まれる。
【０００３】
例えば、ＰＩＤコントローラ（Proportional-Integral-Derivative  Controller）タグは、ＰＩＤパラメータ（出力情報）を含むが、ＬＰ（Lamp）タグは、ランプの点灯状態（入力情報）を含むものの、ＰＩＤパラメータを含まない。すなわち、タグの種別は、一般的に制御対象機器に応じて決定される。また、タグには、制御対象機器の内部のデータやパラメータの状態に応じたアラーム状態を持つものもある。例えば、タグは、制御対象機器の状態を表す値が予め設定された閾値を超えた場合に変化するアラーム状態を含む。そのため、タグは、コントローラやプラント監視装置を用いてプラントを運転するプラントエンジニアやオペレータ等の従事者にとって、プラント内の制御対象機器の単位である。タグの管理は、様々な実施形態があるが、コントローラが実施するものとする。
【０００４】
コントローラおよびプラント監視装置を有し、プラントを自動またはリモートで制御する制御システムがある。昨今、この制御システムをセキュリティ脅威から保護することが求められている。セキュリティ脅威には、様々な形態があるが、プラントのオーナーが意図しないユーザのタグへアクセスする形態がある。制御システムが、この形態のセキュリティ脅威に晒された場合、プラントの安全に関わるタグの書き換えによって、プラントの安全性が損なわれる可能性がある。そのため、制御システムには、タグへのアクセスに対して、認証プロセスを行う構成が含まれている。この認証プロセスは、タグを管理するコントローラにおいて行われ、ユーザＩＤおよびパスワード等のプラント監視装置の認証に用いる認証情報が、予め登録された認証情報と一致したプラント監視装置にのみ、タグへのアクセスを許可するプロセスとする。
【０００５】
具体的には、プラント監視装置において、プラントエンジニアまたはオペレータが、所定画面を利用してユーザＩＤおよびパスワードを入力する。コントローラは、プラント監視装置において入力されたユーザＩＤおよびパスワードを用いて、プラント監視装置の認証プロセスを実行する。次に、プラント監視装置は、コントローラに対して、タグの送信を指示するタグBIND要求を送信する。このタグBIND要求は、プラント監視装置において表示したい監視または表示したいタグがどのコントローラに記憶されているかを調査するためのメカニズムである。プラント監視装置は、プラントエンジニアまたはオペレータの操作に応じて所定の画面を表示した際に自動的にタグBIND要求をコントローラに送信する。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００４−１３３５８４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
ところで、制御システムで行われる認証プロセスは、当該制御システムをセキュリティ脅威から保護するために必要な機能であるが、正当な使用者がユーザＩＤおよびパスワード等の認証情報を忘れて認証に失敗する場合があり、プラントの安全を保全するという観点からすると、問題になり得る。例えば、プラントが、オペレータのリモート操作の無しには正常な状態に復帰させることができない事態に陥っている場合である。
【課題を解決するための手段】
【０００８】
実施形態の制御システムは、受信部と、認証部と、送信部と、制御部と、を備える。受信部は、クライアント端末から、ユーザの認証に用いる第１情報と、プラント内の制御対象機器の状態に関する第２情報の送信を指示する第３情報と、を受信する。認証部は、第１情報に基づいてユーザの認証を行う。送信部は、認証部によるユーザの認証に成功した場合、第２情報をクライアント端末に送信し、認証部によるユーザの認証に失敗した場合、第２情報のクライアント端末への送信を禁止する。制御部は、第２情報が所定の異常情報条件に合致した場合、クライアント端末への第２情報の送信の禁止を解除する。
【図面の簡単な説明】
【０００９】
【図１】図１は、第１の実施形態にかかる制御システムにおける認証処理の一例を説明するための図である。
【図２】図２は、第１の実施形態にかかる制御システムにおけるタグ情報の送信処理の一例を説明するための図である。
【図３】図３は、第１の実施形態にかかる制御システムにおけるタグ情報の送信の禁止を解除する処理の一例を説明するための図である。
【図４】図４は、第１の実施形態にかかる制御システムのコントローラが有する異常情報条件ＤＢの一例を示す図である。
【図５】図５は、第２の実施形態にかかる制御システムにおけるタグ情報の送信の禁止を解除する処理の一例を説明するための図である。
【発明を実施するための形態】
【００１０】
以下、添付の図面を用いて、本実施形態にかかる制御システムおよび制御装置について説明する。
【００１１】
（第１の実施形態）
図１は、第１の実施形態にかかる制御システムにおける認証処理の一例を説明するための図である。図１に示すように、本実施形態にかかる制御システムは、プラント監視装置１（クライアント端末の一例）と、コントローラ２（制御装置の一例）と、を有する。そして、プラント監視装置１とコントローラ２とは、ネットワークＮＴを介して接続されている。
【００１２】
プラント監視装置１は、当該プラント監視装置１を使ってプラントを運転するプラントエンジニアやオペレータ等のユーザである従事者によって操作される。そして、プラント監視装置１は、当該プラント監視装置１が有する表示部１１に対して、従事者の認証に用いる認証情報Ｉ１を入力するための所定の画面である認証クライアント入力画面Ｇ１を表示する。そして、プラント監視装置１は、認証クライアント入力画面Ｇ１を用いて従事者が入力した認証情報Ｉ１（第１情報の一例）を含む認証要求を、コントローラ２に送信する。ここで、認証情報Ｉ１は、プラント監視装置１を使用する従事者の認証に用いる情報であり、例えばユーザＩＤ（例えば、「ＡＢＣ」）およびパスワード（例えば、「ＤＥＦ」）である。
【００１３】
コントローラ２は、パスワード管理ＤＢ２１と認証機能部２２とを有する。パスワード管理ＤＢ２１は、プラント監視装置１を使用する従事者の認証の際に参照する参照情報を記憶する。ここで、参照情報は、予め登録された従事者を識別可能とする情報であるユーザＩＤと、当該予め登録された従事者の認証に用いるパスワードと、当該予め登録された従事者が使用するプラント監視装置１を識別可能とする情報であるＩＰアドレスと、を含む。
【００１４】
認証機能部２２（受信部の一例）は、プラント監視装置１から認証要求を受信する。そして、認証機能部２２（認証部の一例）は、受信した認証要求が含む認証情報Ｉ１に基づいて従事者の認証を行う。本実施形態では、認証機能部２２は、受信した認証要求が含む認証情報Ｉ１と、パスワード管理ＤＢ２１に記憶された参照情報とを比較して、従事者の認証を行う。そして、認証機能部２２は、認証要求の送信元のプラント監視装置１に対して、従事者の認証結果を示す認証応答を送信する。
【００１５】
図２は、第１の実施形態にかかる制御システムにおけるタグ情報の送信処理の一例を説明するための図である。図２に示すように、プラント監視装置１は、表示部１１に対して、コントローラ２に対して送信を指示するタグ情報Ｉ２を識別可能とする情報であるタグＩＤを入力するための所定の画面であるタグＩＤ入力画面Ｇ２を表示する。ここで、タグ情報Ｉ２（第２情報の一例）は、プラント内のバルブ等の制御対象機器の状態に関する情報である。そして、プラント監視装置１は、タグ情報Ｉ２の送信を指示するタグBIND要求（第３情報の一例）をコントローラ２に対して送信する。本実施形態では、プラント監視装置１は、タグＩＤ入力画面Ｇ２を用いて従事者が入力したタグＩＤを含むタグBIND要求を、コントローラ２に対して送信する。
【００１６】
コントローラ２は、パスワード管理ＤＢ２１および認証機能部２２に加えて、タグＤＢ２３およびタグ機能部２４を有する。タグＤＢ２３は、プラント内の制御対象機器毎に、当該制御対象機器の状態に関するタグ情報Ｉ２を記憶する。タグ機能部２４（受信部の一例）は、プラント監視装置１から、タグBIND要求を受信する。そして、タグ機能部２４は、タグBIND要求の送信元のプラント監視装置１の従事者の認証に成功したか否かを判断する。
【００１７】
タグ機能部２４（送信部の一例）は、認証機能部２２によってタグBIND要求の送信元のプラント監視装置１の従事者の認証に成功していると判断した場合、タグBIND要求に従って、タグＤＢ２３に記憶されたタグ情報Ｉ２（例えば、タグ情報：「ＰＩＤ００１」など）を含むタグBIND応答を、タグBIND要求の送信元のプラント監視装置１に送信する。一方、タグ機能部２４は、タグBIND要求の送信元のプラント監視装置１の従事者の認証に失敗していると判断した場合、プラント監視装置１に対するタグBIND応答の送信を行わない（言い換えると、タグBIND応答の送信を禁止する）。
【００１８】
図３は、第１の実施形態にかかる制御システムにおけるタグ情報の送信の禁止を解除する処理の一例を説明するための図である。図３に示すように、コントローラ２は、パスワード管理ＤＢ２１、認証機能部２２、タグＤＢ２３およびタグ機能部２４に加えて、異常情報条件ＤＢ２５を有する。異常情報条件ＤＢ２５は、制御対象機器の状態が異常であると判断するタグ情報の条件である異常情報条件Ｉ３（所定の異常情報条件の一例）を記憶する。図４は、第１の実施形態にかかる制御システムのコントローラが有する異常情報条件ＤＢの一例を示す図である。図４に示すように、本実施形態では、異常情報条件ＤＢ２５は、タグＤＢ２３に記憶されたタグ情報Ｉ２のタグＩＤと対応付けて、制御対象機器の状態が異常となった場合のタグ情報Ｉ２（例えば、「PID001.PVH1」）を、少なくとも１つ異常情報条件Ｉ３として記憶する。
【００１９】
タグ機能部２４は、タグＤＢ２３に記憶されているタグ情報Ｉ２が、異常情報条件ＤＢ２５に記憶された異常情報条件Ｉ３に合致するか否かを判断する。そして、タグ機能部２４（制御部の一例）は、タグＤＢ２３に記憶されたタグ情報Ｉ２が、異常情報条件ＤＢ２５に記憶された異常情報条件Ｉ３と合致した場合、タグBIND要求の送信元のプラント監視装置１の従事者の認証結果を無効化して、プラント監視装置１に対するタグBIND応答の送信の禁止を解除する。これにより、プラント内の制御対象機器において異常が発生した場合に、正当な従事者の認証の失敗によって、プラント監視装置１に対するタグ情報Ｉ２の送信が禁止されるのを防止できるので、制御対象機器において異常が発生した場合に、認証の失敗によって、正当な従事者の介入が妨げられることを防止できる。
【００２０】
本実施形態では、タグ機能部２４は、タグＤＢ２３に記憶されている複数のタグ情報Ｉ２のうち少なくとも１つが異常情報条件ＤＢ２５に記憶された異常情報条件Ｉ３と合致した場合、プラント監視装置１に対するタグBIND応答の送信の禁止を解除する第１解除処理を実行する。
【００２１】
また、本実施形態では、タグ機能部２４は、タグＤＢ２３に記憶されているタグ情報Ｉ２が、異常情報条件ＤＢ２５において、当該タグ情報Ｉ２のタグＩＤと対応付けて記憶された複数の異常情報条件Ｉ３のうち少なくとも１つと合致した場合に、プラント監視装置１に対するタグBIND応答の送信の禁止を解除する。または、タグ機能部２４は、タグＤＢ２３に記憶されているタグ情報Ｉ２が、異常情報条件ＤＢ２５において、当該タグ情報Ｉ２のタグＩＤと対応付けて記憶された異常情報条件Ｉ３の全てと合致した場合に、プラント監視装置１に対するタグBIND応答の送信の禁止を解除しても良い。
【００２２】
このように、第１の実施形態にかかる制御システムによれば、プラント内の制御対象機器において異常が発生した場合に、正当な従事者の認証の失敗によって、プラント監視装置１に対するタグ情報Ｉ２の送信が禁止されるのを防止できるので、制御対象機器において異常が発生した場合に、認証の失敗によって、正当な従事者の介入が妨げられることを防止できる。
【００２３】
（第２の実施形態）
本実施形態は、タグBIND要求により送信が指示されたタグ情報が異常情報条件に合致した場合にのみ、プラント監視装置へのタグ情報の送信の禁止を解除する例である。以下の説明では、第１の実施形態と同様の箇所については説明を省略する。
【００２４】
図５は、第２の実施形態にかかる制御システムにおけるタグ情報の送信の禁止を解除する処理の一例を説明するための図である。図５に示すように、本実施形態では、コントローラ５００が有するタグ機能部５０１は、タグＤＢ２３に記憶されたタグ情報Ｉ２のうち、タグBIND要求が含むタグＩＤにより特定されるタグ情報Ｉ２が、異常情報条件ＤＢ２５に記憶された異常情報条件Ｉ３に合致するか否かを判断する。
【００２５】
そして、タグ機能部５０１は、タグBIND要求が含むタグＩＤにより特定されるタグ情報Ｉ２が異常情報条件Ｉ３に合致した場合にのみ、タグBIND要求の送信元のプラント監視装置１の従事者の認証結果を無効化して、異常情報条件Ｉ３に合致したタグ情報Ｉ２を含むタグBIND応答のプラント監視装置１への送信の禁止を解除する第２解除処理を実行する。一方、タグ機能部５０１は、タグBIND要求が含むタグＩＤにより特定されるタグ情報Ｉ２が異常情報条件Ｉ３に合致していない場合には、タグＤＢ２３に記憶された他のタグ情報Ｉ２が異常情報条件Ｉ３に合致していたとしても、タグBIND要求の送信元のプラント監視装置１へのタグBIND応答の送信の禁止を解除しない。
【００２６】
このように、第２の実施形態にかかる制御システムによれば、タグ情報Ｉ２のいずれかが異常情報条件Ｉ３に合致した場合、全てのタグBIND要求に応答することを防止できるので、タグ情報Ｉ２がセキュリティ脅威に晒される可能性を低くすることができる。
【００２７】
（第３の実施形態）
本実施形態は、第１解除処理および第２解除処理のうちいずれかを設定し、タグ情報が異常情報条件と合致した場合に、第１解除処理および第２解除処理のうち設定された処理を実行する例である。以下の説明では、上述の実施形態と同様の箇所については説明を省略する。
【００２８】
本実施形態では、タグ機能部５０１（設定部の一例）は、コントローラ５００の図示しない操作部から入力された信号に応じて、第１解除処理および第２解除処理のうちいずれかを設定する。そして、タグ機能部５０１は、タグ情報Ｉ２が異常情報条件Ｉ３に合致した場合に、第１解除処理および第２解除処理のうち設定された処理を実行する。
【００２９】
このように、第３の実施形態にかかる制御システムによれば、タグ情報Ｉ２が異常情報条件Ｉ３に合致した場合における、タグ情報Ｉ２の送信の禁止を解除する処理のシステム設計に柔軟性を与えることができる。
【００３０】
（第４の実施形態）
本実施形態は、プラント監視装置へのタグ情報の送信の禁止の解除履歴を記憶する記憶部を有する例である。以下の説明では、上述の実施形態と同様の箇所については説明を省略する。
【００３１】
本実施形態では、プラント監視装置１は、当該プラント監視装置１へのタグBIND応答の送信の禁止の解除履歴を記憶する図示しない記憶部を有する。本実施形態では、解除履歴には、タグBIND応答の送信の禁止を解除した解除日時、タグ情報Ｉ２が合致した異常情報条件Ｉ３、タグBIND応答の送信の禁止が解除された後に受信したタグBIND要求の送信元のプラント監視装置１を識別可能とする情報としてのＩＰアドレス等を含む。
【００３２】
コントローラ５００は、プラント監視装置１へのタグBIND応答の送信の禁止を解除して、タグBIND応答をプラント監視装置１に送信する度に、解除履歴をプラント監視装置１に対して送信する。具体的には、コントローラ５００は、現在時刻を計時するタイマーを有する。タグ機能部５０１は、プラント監視装置１へのタグBIND応答の送信の禁止を解除すると、タイマーから現在時刻を取得する。そして、タグ機能部５０１は、取得した現在時刻（解除日時）、異常情報条件Ｉ３、タグBIND応答の送信の禁止が解除された後に受信したタグBIND要求の送信元のプラント監視装置１のＩＰアドレスを含む解除履歴をプラント監視装置１に送信する。
【００３３】
本実施形態では、プラント監視装置１が有する図示しない記憶部が解除履歴を記憶しているが、制御システム内のいずれかの装置が解除履歴を記憶するものであれば、これに限定するものではなく、例えば、コントローラ５００が有する図示しない記憶部が解除履歴を記憶していても良い。
【００３４】
このように第４の実施形態にかかる制御システムによれば、従事者の認証結果が無効化されて、タグ情報Ｉ２の送信の禁止が解除された場合に、プラントに不正なアクセスが無かったか否かを確認することができる。
【００３５】
以上説明したとおり、第１から第４の実施形態によれば、制御対象機器において異常が発生した場合に、認証の失敗によって、正当な従事者の介入が妨げられることを防止できる。
【００３６】
なお、本実施形態のコントローラ２，５００で実行されるプログラムは、ＲＯＭ（Read  Only  Memory）等に予め組み込まれて提供される。本実施形態のコントローラ２，５００で実行されるプログラムは、インストール可能な形式又は実行可能な形式のファイルでＣＤ−ＲＯＭ、フレキシブルディスク（ＦＤ）、ＣＤ−Ｒ、ＤＶＤ（Digital  Versatile  Disk）等のコンピュータで読み取り可能な記録媒体に記録して提供するように構成してもよい。
【００３７】
さらに、本実施形態のコントローラ２，５００で実行されるプログラムを、インターネット等のネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせることにより提供するように構成しても良い。また、本実施形態のコントローラ２，５００で実行されるプログラムをインターネット等のネットワーク経由で提供または配布するように構成しても良い。
【００３８】
本実施形態のコントローラ２，５００で実行されるプログラムは、上述した各部（認証機能部２２、タグ機能部２４，５０１）を含むモジュール構成となっており、実際のハードウェアとしてはＣＰＵ（Central  Processing  Unit）が上記ＲＯＭからプログラムを読み出して実行することにより上記各部が主記憶装置上にロードされ、認証機能部２２、タグ機能部２４，５０１が主記憶装置上に生成されるようになっている。
【００３９】
本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。
【符号の説明】
【００４０】
１  プラント監視装置
２，５００  コントローラ
２１  パスワード管理ＤＢ
２２  認証機能部
２３  タグＤＢ
２４，５０１  タグ機能部
２５  異常情報条件ＤＢ
【図１】
2016184231.tif 000003
【図２】
2016184231.tif 000004
【図３】
2016184231.tif 000005
【図４】
2016184231.tif 000006
【図５】
2016184231.tif 000007