(57)【要約】【課題】セキュリティ性と機能安全性とを両立させるとともに、サービス不能攻撃を受けた場合においても制御システムとしての可用性を維持する。【解決手段】セキュリティ機能とブラックチャネル診断によるセーフティ機能とを有する制御装置のセキュリティ機能部として、サービス不能攻撃の有無を判定し、サービス不能攻撃を検出した場合、当該制御装置の通信インタフェース部に受信制限を実施させるとともに、セキュリティ処置部に受信制限を行っていることを示す遮断情報データの送信データへの添付を指示する判定部と、判定部からの指示に従い、送信時にセーフティ処理部からの送信データに対し、外部装置からの受信データ中に含まれこの外部装置に送り返すフィードバック診断のための折り返しデータを遮断情報データへ付け替えるセキュリティ処置部とを有するセキュリティ処理部を備える。【選択図】図２
2017215788.tif 000002
【特許請求の範囲】
【請求項１】
外部装置との通信処理を行う通信インタフェース部、
サービス不能攻撃の有無を判定し、サービス不能攻撃を検出した場合、前記通信インタフェース部に受信制限を実施させるとともに、セキュリティ処置部に受信制限を行っていることを示す遮断情報データの送信データへの添付を指示する判定部と、
前記判定部からの指示に従い、送信時にセーフティ処理部からの送信データに対し、前記外部装置からの受信データ中に含まれこの外部装置に送り返す折り返しデータを前記遮断情報データへ付け替えるセキュリティ処置部と、
を有するセキュリティ処理部、および、
受信データに含まれる所定のデータを基に、該受信データの完全性をチェックするためのブラックチャネル診断を実施するブラックチャネル診断部と、
前記外部装置への送信データに対し、前記折り返しデータを含む、ブラックチャネル診断のための所定のデータを添付し、前記セキュリティ処置部に渡すブラックチャネル送出部と、
を有するセーフティ処理部、
を備える制御装置。
【請求項２】
外部装置との通信処理を行う通信インタフェース部、
受信データに含まれる所定のデータを基に、該受信データの完全性をチェックするためのブラックチャネル診断を実施するブラックチャネル診断部と、
前記外部装置への送信データに対し、前記外部装置に送り返させる折り返しデータを含む、ブラックチャネル診断のための所定のデータを添付し、セキュリティ処置部に渡すブラックチャネル送出部と、
を有するセーフティ処理部、および、
前記外部装置への送信時に、前記ブラックチャネル送出部から渡された送信データ中の折り返しデータを保存する折り返しデータ保存部と、
折り返し送信側となっている前記外部装置からの受信データ中の折り返しデータ部分が、受信制限を行っていることを示す遮断情報データである場合、前記ブラックチャネル診断部へ渡すデータに対し、この遮断情報データを前記折り返しデータ保存部で保存している折り返しデータに置換するとともに、置換後のデータを用いて、ブラックチャネル診断で用いる所定のデータを修正するデータ置換部と、
を有するセキュリティ処理部、
を備える制御装置。
【請求項３】
前記セキュリティ処理部は、
前記外部装置への送信時に、前記ブラックチャネル送出部から渡された送信データ中の折り返しデータを保存する折り返しデータ保存部と、
折り返し送信側となっている前記外部装置からの受信データ中の折り返しデータ部分が前記遮断情報データである場合、この遮断情報データを前記折り返しデータ保存部で保存している折り返しデータに置換するとともに、前記ブラックチャネル診断部で用いる前記所定のデータを修正するデータ置換部と、
をさらに有する請求項１に記載の制御装置。
【請求項４】
前記判定部は、前記通信インタフェース部での受信データ数を監視し、この受信データ数が一定時間内に予め規定された閾値を超えた場合、前記通信インタフェース部に対する受信制限の指示を行い、前記受信データ数が前記閾値以下の場合は、前記通信インタフェース部に対し前記受信制限を解除する指示を行う、請求項１または請求項３に記載の制御装置。
【請求項５】
前記折り返しデータ保存部は、折り返し受信側となる複数の送信相手毎の別々の折り返しデータを保存し、
前記データ置換部は、前記遮断情報データの折り返しデータへの置換を行う際、折り返し送信してきた送信相手に対応する、前記折り返しデータ保存部で保存されている送信相手毎の折り返しデータを用いる、
請求項２または請求項３に記載の制御装置。
【請求項６】
前記セキュリティ処理部は、セキュリティに係る保護処理が施された受信データから当該保護を解除するセキュリティ解除部をさらに有し、
前記セキュリティ処置部は、
送信時に送信データに対し、セキュリティに係る保護処理を施す、
請求項１から請求項５のいずれか１項に記載の制御装置。
【請求項７】
前記所定のデータは、通信シーケンス番号、送信元および送信先アドレス、タイムスタンプ、エラー検出符号のいずれか又は複数種の情報を含む、請求項１から請求項６のいずれか１項に記載の制御装置。
【請求項８】
１または複数の折り返し送信側としての請求項１または請求項３に記載の制御装置と、折り返し受信側としての請求項２または請求項３に記載の制御装置とから構成される制御システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明の実施形態は、制御装置および制御システムに関する。
【背景技術】
【０００２】
近年、プラント等を制御する制御システムでは、ネットワークを介した外部からの攻撃に備えたセキュリティ性と、故障に備えた機能安全性とを共に備えたシステムが求められている。機能安全性に関しては、従来技術として、通信相手の装置に送信したデータを相手装置から送り返し、データの正着確認を行うことで通信の完全性を確認するフィードバック診断によるものなどが知られている。また、セキュリティ性に関しては、制御システムに対する代表的なサービス不能攻撃手法であるＤｏＳ（Denial  of  Service）攻撃に対し、受信パケット数を監視し、パケット数が一定値以上の値になった場合にはＤｏＳ攻撃を受けているとみなし、その間は受信を制限するＤｏＳ攻撃対策が知られている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１３−１９６０５８号公報
【特許文献２】特開２０１５−２３１１３１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、機能安全性とセキュリティ性を共に備えるこれまでの制御システムでは、ＤｏＳ攻撃を検出し受信を制限するＤｏＳ攻撃対策を用いた場合、折り返し送信側の制御装置において受信データを使用したフィードバック診断のための正常な折り返し送信ができなくなる。このときの折り返し送信側の挙動は自発的な通信制限によるものだが、フィードバック診断を行う折り返し受信側の制御装置にとっては、折り返し送信側での自発的な受信制限による折り返しデータ不良と故障による折り返しデータ不良との区別が付かないため、いずれの場合の折り返しデータ不良も折り返し送信側の故障として検出せざるを得ず、制御システムの可用性が損なわれる課題があった。
【０００５】
本発明が解決しようとする課題は、セキュリティ性と機能安全性とを両立させるとともに、サービス不能攻撃を受けた場合においても制御システムとしての可用性を維持することができる制御装置および制御システムを提供することである。
【課題を解決するための手段】
【０００６】
実施形態の制御装置は、通信インタフェース部と、セキュリティ処理部と、セーフティ処理部を備える。通信インタフェース部は、外部装置との通信処理を行う。セキュリティ処理部は、サービス不能攻撃の有無を判定し、サービス不能攻撃を検出した場合、通信インタフェース部に受信制限を実施させるとともに、セキュリティ処置部に受信制限を行っていることを示す遮断情報データの送信データへの添付を指示する判定部と、判定部からの指示に従い、送信時にセーフティ処理部からの送信データに対し、外部装置からの受信データ中に含まれこの外部装置に送り返す折り返しデータを遮断情報データへ付け替えるセキュリティ処置部と、を有する。セーフティ処理部は、受信データに含まれる所定のデータを基に、該受信データの完全性をチェックするためのブラックチャネル診断を実施するブラックチャネル診断部と、外部装置への送信データに対し、折り返しデータを含む、ブラックチャネル診断のための所定のデータを添付し、セキュリティ処置部に渡すブラックチャネル送出部と、有する。
【図面の簡単な説明】
【０００７】
【図１】図１は、第１の実施形態に係る制御システムのシステム構成図である。
【図２】図２は、同実施形態に係る、折り返し送信側の制御装置の基本構成を示すブロック図である。
【図３】図３は、同実施形態に係る、折り返し受信側の制御装置の基本構成を示すブロック図である。
【図４】図４は、同実施形態で使用するデータフォーマットの一例を示す図である。
【図５】図５は、同実施形態における折り返し受信側の制御装置の送信フローを説明するフローチャートである。
【図６】図６は、同実施形態において、折り返しデータ保存部で保存されるデータのデータ構造例を示す図である。
【図７】図７は、同実施形態における折り返し受信側の制御装置の受信フローを説明するフローチャートである。
【図８】図８は、同実施形態における折り返し送信側の制御装置のセキュリティ処理部に備わる判定部の処理フローの一例である。
【図９】図９は、同実施形態における折り返し送信側の制御装置での受信フローを説明するフローチャートである。
【図１０】図１０は、同実施形態における折り返し送信側の制御装置の折り返し送信フローを説明する図である。
【図１１】図１１は、第２の実施形態に係る制御システムのシステム構成を示す図である。
【図１２】図１２は、同実施形態に係る折り返し受信・送信兼用の制御装置の基本構成を示すブロック図である。
【図１３】図１３は、第３の実施形態に係る制御システムのシステム構成を示す図である。
【図１４】図１４は、同実施形態において、折り返し送信側の制御装置と折り返し受信側の制御装置を用いて構成する場合の折り返し受信側の制御装置の基本構成を示すブロック図である。
【図１５】図１５は、同実施形態において、折り返し受信・送信兼用の制御装置を用いて構成する場合の制御装置の基本構成を示すブロック図である。
【図１６】図１６は、同実施形態において、折り返しデータ保存部のクライアントＤＢ部で保存されるデータのデータ構造例を示す図である。
【発明を実施するための形態】
【０００８】
以下、発明を実施するための諸実施形態について、図面を参照して説明する。
【０００９】
（第１の実施形態）
図１は、第１の実施形態に係る制御システムのシステム構成図である。
【００１０】
本実施形態に係る制御システムは、一方の制御装置から通信相手の制御装置に送信した特定のデータ（折り返しデータ）を送信先の制御装置（図では、折り返し送信側の制御装置１）から送信元の制御装置（図では、折り返し受信側の制御装置２）に送り返し、データの正着確認を行うことで通信の完全性を確認するフィードバック診断を行うシステムである。同図に示すように、本実施形態に係る制御システムは、折り返し送信側の制御装置１と折り返し受信側の制御装置２とをネットワークを介して相互に接続した構成を採る。なお、制御装置（１、２）間の送受信は、例えば、一定の間隔で行われる。
【００１１】
図２は、本実施形態に係る、折り返し送信側の制御装置１の基本構成を示すブロック図である。
【００１２】
図２に示す折り返し送信側の制御装置１は、通信Ｉ／Ｆ部（通信インタフェース部）１１、セキュリティ処理部１２Ａ、セーフティ処理部１３、および、制御処理部１４の４つのブロックから構成される。これらは同一のハードウェア部品上に構成されてもよいし、別々のハードウェア部品上に構成されてもよい。
【００１３】
通信Ｉ／Ｆ部１１は、イーサネット（登録商標）等によるネットワークを介し自装置外からのデータ（フレーム）を受信し、受信データをセキュリティ処理部１２Ａに送る受信処理部１１１と、セキュリティ処理部１２Ａからの送信データを自装置外の装置（ここでは、折り返し受信側の制御装置２）に送信する送信処理部１１２とを備える。なお、受信処理部１１１は、下記の判定部１２１からの受信制限の指示があった場合、受信したデータ（フレーム）を破棄する。
【００１４】
セキュリティ処理部１２Ａは、セキュリティ機能を実現する機能部であり、通信Ｉ／Ｆ部１１の受信処理部１１１の受信状態を監視しＤｏＳ攻撃等のサービス不能攻撃（以下では、ＤｏＳ攻撃として説明）を検出した場合に、受信処理部１１１に対する受信制限の指示とセキュリティ処置部１２３に対する安全データへの遮断情報データの添付指示を行う判定部１２１と、通信Ｉ／Ｆ部１１から渡された暗号化などの保護処理が施された受信データに対しその保護を解除し、セーフティ処理部１３に渡すセキュリティ解除部１２２と、送信時にセーフティ処理部１３からの送信データに対し暗号化などの保護処理を加えて通信Ｉ／Ｆ部１１に渡すセキュリティ処置部１２３と、を備える。なお、遮断情報データは、折り返し送信側の制御装置１において、外部からの攻撃に対処するため受信制限を実施していることを示すデータであり、ＤｏＳ攻撃が検出された際に、折り返し受信側の制御装置２から受信済みの安全データ中の折り返しデータに代えて設定されるデータである。また、判定部１２１は、ＤｏＳ攻撃検出後は一定間隔で受信パケット数を監視し、パケット数が所定の閾値を下回った場合に攻撃が収束したと判断して、受信処理部１１１へ受信制限を解除する指示を行う。
【００１５】
セーフティ処理部１３は、セーフティ機能を実現する機能部であり、セキュリティ処理部１２Ａからの受信データの完全性をチェックするためのブラックチャネル診断を実施するブラックチャネル診断部１３１と、セキュリティ処理部１２Ａに渡す送信データに対し受信側（相手側）でのブラックチャネル診断を実施するための安全確認データを生成し添付するブラックチャネル送出部１３２とを備える。
【００１６】
図３は、本実施形態に係る、折り返し受信側の制御装置２の基本構成を示すブロック図である。ここでは、図２に示した折り返し送信側の制御装置１の構成要素と共通する構成要素には同一の符号を附し、重複する部分についてはその説明を省略する。同図に示すように、通信Ｉ／Ｆ部１１、セーフティ処理部１３、および、制御処理部１４は、前述の折り返し送信側の制御装置１のものと共通である。
【００１７】
図３に示す折り返し受信側の制御装置２のセキュリティ処理部１２Ｂは、セキュリティ解除部１２２と、セキュリティ処置部１２３と、データ置換部１２４と、折り返しデータ保存部１２５とを備える。なお、このセキュリティ処理部１２Ｂにおける、セキュリティ解除部１２２およびセキュリティ処置部１２３は、前述の折り返し送信側の制御装置１のセキュリティ処理部１２Ａのものと共通である。
【００１８】
データ置換部１２４は、受信処理部１１１が受信した折り返し送信側の制御装置１からの受信データから得られる安全データ中の折り返しデータの部分が遮断情報データとなっている場合、ブラックチャネル診断部１３１におけるフィードバック診断にて故障と診断されないよう矛盾の無いデータとするために、遮断情報データとなっている折り返しデータの部分を折り返しデータ保存部１２５に保存している折り返しデータに付け替える置換を行い、置換後の安全データをセーフティ処理部１３に渡す。
【００１９】
折り返しデータ保存部１２５は、ブラックチャネル送出部１３２から受信した送信データ中の折り返しデータを保存し、データ置換部１２４が折り返しデータの部分の置換（上記）を行う際に、利用できるようにする機能を有する。
【００２０】
ここで、図４に、本実施形態で使用するデータフォーマットの一例を示し、その構成について説明する。
【００２１】
折り返し送信側の制御装置１と折り返し受信側の制御装置２の間をデータが伝送される際には、そのデータは暗号化などの保護処理が施されたセキュリティ対策データ３０１の状態にある（図４）。このセキュリティ対策データ３０１が制御装置（１または２）にて受信され、セキュリティ解除部１２２によってその保護の解除処理（復号など）が施された状態が安全データ３０２である。なお、セキュリティ対策データ３０１は、イーサネットフレーム等のデータ部に含まれるものであり、送受信されるデータ（フレーム）には、セキュリティ対策データ３０１の他に、宛先アドレス、送信元アドレス、タイプ等の情報が付加される。
【００２２】
安全データ３０２は、制御データ３０３、折り返しデータ３０４、および、安全チェックコード３０５から構成される。
【００２３】
制御データ３０３は、安全かつセキュアに伝送したい制御データの本体である。
【００２４】
折り返しデータ３０４は、送信元の制御装置（ここでは、折り返し受信側の制御装置２）がフィードバック診断のために添付するデータであり、送信元の制御装置２は、この折り返しデータ３０４を用いて制御データ３０３の送達確認を行う（フィードバック診断）。送信元の制御装置２が添付した折り返しデータ３０４は、送信先の制御装置（ここでは、折り返し送信側の制御装置１）からの折り返し送信データに再度添付され、送信元に戻される。送信元は自身が送付した折り返しデータ３０４が通信相手から返送されることをもって、先の送信が通信相手の制御装置１に正しく受信されたことを確認できる。
【００２５】
安全チェックコード３０５は、制御装置（１、２）が備える機能安全性に関わる異常診断機能として、フィードバック診断以外の診断を行うためのチェックコードである。安全チェックコード３０５には、通信シーケンス番号、送信元および送信先アドレス、タイムスタンプ、エラー検出符号などを含めることができる。受信側の制御装置（１、２）はセーフティ処理部１３のブラックチャネル診断部１３１で安全チェックコード３０５を検査することで、制御データ３０３が正しく受信できたことを確認する。以下では、折り返しデータ３０４と安全チェックコード３０５をまとめて、安全確認データ３０６と呼ぶこととする。
【００２６】
続いて、以上の構成による本実施形態の制御システムにおける折り返し受信側と折り返し送信側の制御装置（１、２）の動作について図５〜６を用いて説明する。本実施形態の制御システムでは、（ａ）折り返し受信側の制御装置２での送信、（ｂ）折り返し送信側の制御装置１での受信、（ｃ）折り返し送信側の制御装置１での折り返し送信、（ｄ）折り返し受信側の制御装置２での受信の順に、送受信が実行される。
【００２７】
図５は、折り返し受信側の制御装置２の送信フローを説明するフローチャートである。
【００２８】
折り返し受信側の制御装置２では、制御処理部１４において制御データ３０３が生成され（Ｓ１０１）、セーフティ処理部１３において安全確認データ３０６がＳ１０１で生成された制御データ３０３に添付されることで安全データ３０２が完成する（Ｓ１０２）。
【００２９】
セキュリティ処理部１２Ｂの折り返しデータ保存部１２５では、完成した安全データ３０２に含まれる安全確認データ３０６中の折り返しデータ３０４が、後に図７を用いて説明する折り返しデータ３０４の付け替え用に、安全データ３０２と関連付けて保存される（Ｓ１０３）。ここでは、例えば、図６に例示するように、通信シーケンス番号等の安全データ識別情報と、安全確認データ３０６中の折り返しデータ３０４とが対応付けられて保存される。
【００３０】
セキュリティ処置部１２３では、安全データ３０２に暗号化等の保護処理を加えることでセキュリティ対策データ３０１が生成される（Ｓ１０４）。生成されたセキュリティ対策データ３０１は、通信Ｉ／Ｆ部１１の送信処理部１１２から送信され（Ｓ１０５）、折り返し受信側の制御装置２は受信待ちに入る（図７：Ｓ１０６）。
【００３１】
図７は、折り返し受信側の制御装置２の受信フローを説明するフローチャートである。
【００３２】
折り返し受信側の制御装置２は、受信待ちの状態において（Ｓ１０６）、折り返し送信側の制御装置１から送信されてきたセキュリティ対策データ３０１を受信すると（Ｓ１０７）、セキュリティ処理部１２Ｂのセキュリティ解除部１２２において、セキュリティ対策データ３０１に復号等の保護解除処理を加えて安全データ３０２を生成する（Ｓ１０８）。
【００３３】
保護解除処理後の安全データ３０２が規定のフォーマットを維持していない場合（Ｓ１０９でＹｅｓ）、保護解除処理の失敗扱いとなり、受信した安全データ３０２は使用されない。この場合は、この安全データ３０２は破棄し、異常ログに記録するようにする（Ｓ１１０）。
【００３４】
一方、保護解除処理後の安全データ３０２が規定のフォーマットを維持している場合、安全データ３０２は正常と判定され（Ｓ１０９でＮｏ）、データ置換部１２４において、折り返しデータ３０４の内容が折り返し送信側の制御装置１により添付された遮断情報データ３０７となっているか、判定が行われる（Ｓ１１１）。
【００３５】
ここで、折り返しデータ３０４が遮断情報データ３０７となっている場合（Ｓ１１１でＹｅｓ）、折り返し送信側の制御装置１がＤｏＳ攻撃等により、意図的に受信制限を行っており、受信制限の実施を示す遮断情報データ３０７を折り返しデータ３０４に添付したことを意味する。この場合、折り返し受信側の制御装置２のデータ置換部１２４は、安全データ３０２の折り返しデータ３０４の部分に入っている遮断情報データ３０７を、先に折り返しデータ保存部１２５で保存していた折り返しデータに付け替えると共に（Ｓ１１２）、安全チェックコード３０５を、付け替えた折り返しデータ３０４に合わせて修正し（Ｓ１１３）、修正後の安全データ３０２をブラックチャネル診断部１３１に送る。なお、安全データ３０２の折り返しデータ３０４の部分が遮断情報データ３０７でない場合（すなわち、折り返しデータ３０４そのものである場合）（Ｓ１１１でＮｏ）、データ置換部１２４は、置換処理は行わず安全データ３０２をブラックチャネル診断部１３１に送る。
【００３６】
ブラックチャネル診断部１３１では、渡された安全データ３０２の安全確認データ３０６をチェックする（Ｓ１１４）。ここで、安全データ３０２の安全チェックコード３０５に通信シーケンス番号を備えるようにした場合、ブラックチャネル診断部１３１は、セキュリティ対策データ３０１が適切な順番で折り返し受信側の制御装置２に到着したか否かを確認することができる。また、安全チェックコード３０５に送信元および送信先アドレスを備えるようにした場合、ブラックチャネル診断部１３１は、受信データが正しい送信元から送信されていることを確認することができる。なお、この場合、折り返し受信側の制御装置２は、ブラックチャネル診断部１３１で、正しい送信元のアドレスおよび自装置のアドレスを保持するようにする。また、安全チェックコード３０５にタイムスタンプを備えるようにした場合、ブラックチャネル診断部１３１は、セキュリティ対策データ３０１が適切なタイミングで折り返し受信側の制御装置２に到着したか否かを確認することができる。また安全チェックコード３０５にエラー検出符号を備えるようにした場合、ブラックチャネル診断部１３１は、ビットエラーの有無を確認することができる。
【００３７】
Ｓ１１４での安全確認データ３０６のチェック結果が正常ならば（Ｓ１１５でＹｅｓ）、制御データ３０３を正しいデータと見做すこととし、制御処理部１４で受信した制御データ３０３が制御処理に使用される（Ｓ１１６）。一方、安全確認データ３０６のチェック結果が異常ならば（Ｓ１１５でＮｏ）、安全データ３０２は破棄する（Ｓ１１７）。
【００３８】
次に、折り返し送信側の制御装置１における送受信の際の動作について説明する。
【００３９】
図８は、折り返し送信側の制御装置１のセキュリティ処理部１２Ａに備わる判定部１２１の処理フローの一例である。
【００４０】
判定部１２１の役割は、折り返し送信側の制御装置１がＤｏＳ攻撃を受ける際の処理能力の枯渇を防ぐため、ＤｏＳ攻撃の有無の判定と攻撃があった場合に受信制限を行うための制御をすることである。判定部１２１は、折り返し送信側の制御装置１の受信処理部１１１を監視し、受信処理部１１１が管理している受信数情報を定期的に取得している。なお、受信したデータは受信処理部１１１のキューに蓄えられており、受信処理部１１１は、そのデータ数の情報を受信数情報として管理している。判定部１２１は、取得した受信数情報から、前回取得時の値と今回の値の差分を計算し、監視周期（一定時間）内に受信したデータ数（受信数）を算出する（Ｓ１２１）。
【００４１】
この算出値が所定の閾値以上の場合（Ｓ１２２でＹｅｓ）、判定部１２１は通信Ｉ／Ｆ部１１がＤｏＳ攻撃を受けていると見做し、受信処理部１１１に受信を制限するよう指示を送る（Ｓ１２３）。
【００４２】
この受信制限中にも判定部１２１は定周期（監視周期）で受信数を監視し、上記の算出値が閾値未満に収まった場合（Ｓ１２２でＮｏ）、判定部１２１は通信Ｉ／Ｆ部１１に対するＤｏＳ攻撃が収束したと判断し、受信処理部１１１での受信を許可する指令を出す（Ｓ１２４）。
【００４３】
なお、判定部１２１でのＤｏＳ攻撃の有無の判定手法としては、図８に示すような受信数と閾値を用いた手法以外に、受信処理部１１１やセキュリティ解除部１２２での処理負荷を取得し、その値について閾値を設け、同様の判定を行うことにより、ＤｏＳ攻撃の有無を判定する手法を採用してもよい。
【００４４】
図９は、折り返し送信側の制御装置１での受信フローを説明するフローチャートである。
【００４５】
まず、受信制限中でない場合（Ｓ２０１でＮｏ）、折り返し送信側の制御装置１は、受信待ちの状態となっている（Ｓ２０２）。そして、折り返し受信側の制御装置２からセキュリティ対策データ３０１の受信があると、折り返し送信側の制御装置１のセキュリティ処理部１２Ａは、折り返し受信側の制御装置２から送信されてきたセキュリティ対策データ３０１を、受信処理部１１１から受信する（Ｓ２０３）。
【００４６】
そして、セキュリティ解除部１２２が、セキュリティ対策データ３０１に復号化等の保護解除処理を加えて安全データ３０２を生成する（Ｓ２０４）。
【００４７】
このとき、保護解除処理後の安全データ３０２が規定のフォーマットを維持していない場合、すなわち、安全データ３０２が正常でない場合（Ｓ２０５でＮｏ）、セキュリティ解除部１２２は、この安全データ３０２についてセキュリティ異常ないし保護解除処理の失敗扱いとして、この安全データ３０２を破棄し、結果を異常ログに記録する（Ｓ２０７）。
【００４８】
一方、安全データ３０２が規定のフォーマットを維持している場合、すなわち、安全データ３０２が正常である場合（Ｓ２０５でＹｅｓ）、セキュリティ解除部１２２は、安全データ３０２をセーフティ処理部１３に送る。
【００４９】
セーフティ処理部１３のブラックチャネル診断部１３１は、セキュリティ解除部１２２から受信した安全データ３０２中の安全確認データ３０６のチェックを行う（Ｓ２０６）。ここで、安全データ３０２の安全チェックコード３０５に通信シーケンス番号を備えるようにした場合、ブラックチャネル診断部１３１は、セキュリティ対策データ３０１が適切な順番で折り返し送信側の制御装置１に到着したか否かを確認することができる。また、安全チェックコード３０５に送信元および送信先アドレスを備えるようにした場合、ブラックチャネル診断部１３１は受信データが正しい送信元から送信されていることを確認することができる。なお、この場合、折り返し送信側の制御装置１は、ブラックチャネル診断部１３１で、正しい送信元のアドレスおよび自装置のアドレスを保持するようにする。また、安全チェックコード３０５にタイムスタンプを備えるようにした場合、ブラックチャネル診断部１３１は、セキュリティ対策データ３０１が適切なタイミングで折り返し送信側の制御装置１に到着したか否かを確認することができる。また安全チェックコード３０５にエラー検出符号を備えるようにした場合、ブラックチャネル診断部１３１は、ビットエラーの有無を確認することができる。
【００５０】
Ｓ２０６での安全確認データ３０６のチェック結果が正常ならば（Ｓ２０８でＹｅｓ）、ブラックチャネル診断部１３１は、制御データ３０３を正しいデータと見做すこととし、安全データ３０２に含まれる制御データ３０３を制御処理部１４に送信する。制御処理部１４では、受信した制御データ３０３が制御処理に使用される（Ｓ２０９）。また、ブラックチャネル診断部１３１は、受信した安全データ３０２に含まれる折り返しデータ３０４を使用し、折り返し送信の準備に入る。一方、チェック結果が異常ならば（Ｓ２０８でＮｏ）、ブラックチャネル診断部１３１は、安全データ３０２を破棄する（Ｓ２１０）。なお、制御データ３０３を使用できない状況では、制御処理部１４は、制御データ３０３の前回値を用いるか、制御対象を安全停止させるように制御する。
【００５１】
なお、受信制限中の場合は（Ｓ２０１でＹｅｓ）、処理は、図１０のＳ２１１へ移行する。
【００５２】
図１０は、折り返し送信側の制御装置１の折り返し送信フローを説明する図である。
【００５３】
まず、制御処理部１４が、送信用の（帰りの）制御データ３０３を生成し（Ｓ２１１）、ブラックチャネル送出部１３２が、セキュリティ処理部１２Ａから受信した最新の有効な（行きの）安全確認データ３０６から折り返しデータ３０４を抽出する（Ｓ２１２）。そして、ブラックチャネル送出部１３２は、制御処理部１４が生成した制御データ３０３と、抽出した折り返しデータ３０４とから安全チェックコード３０５を生成し（Ｓ２１３）、この制御データ３０３と折り返しデータ３０４と安全チェックコード３０５とで折り返し送信用の（帰りの）安全データ３０２を完成させる。
【００５４】
このとき、折り返し送信側の制御装置１が受信制限中の場合（Ｓ２１４でＹｅｓ）、折り返しデータ３０４は適正な値とはなっていない。そこで、この場合、セキュリティ処置部１２３は、先に完成させた安全データ３０２中の折り返しデータ３０４の中身を遮断情報データ３０７に付け替え（Ｓ２１５）、制御データ３０３とこの遮断情報データ３０７から、安全チェックコード３０５を再生成し（Ｓ２１６）、折り返し送信用の安全データ３０２を完成させる。一方、折り返し送信側の制御装置１が受信制限中でない場合（Ｓ２１４でＮｏ）、折り返しデータ３０４は適正な値であるので、先に完成させた安全データ３０２を用いることとする。
【００５５】
そしてセキュリティ処置部１２３は、完成させた安全データ３０２に暗号化等の保護処理を加えることでセキュリティ対策データ３０１を生成する（Ｓ２１７）。
【００５６】
生成された（帰りの）セキュリティ対策データ３０１は通信Ｉ／Ｆ部１１の送信処理部１１２に送信され、この送信処理部１１２から折り返し受信側の制御装置２に送信する（Ｓ２１８）。
【００５７】
以上のように、折り返し送信側の制御装置１および折り返し受信側の制御装置２は動作する。以下では、折り返し送信側の制御装置１がＤｏＳ攻撃を受けた際の、折り返し送信側の制御装置１および折り返し受信側の制御装置２間の動作について説明する。
【００５８】
折り返し送信側の制御装置１がＤｏＳ攻撃を受けている場合、受信処理部１１１はＤｏＳ攻撃の攻撃用パケットにより、正規のセキュリティ対策データ３０１以外の受信データを大量に受信した状態にある。このとき折り返し送信側の制御装置１では、受信数が閾値以上となり、図８の判定部１２１の処理フローに示す処理により、折り返し送信側の制御装置１は、受信処理部１１１での受信制限を開始する。
【００５９】
受信制限中、折り返し送信側の制御装置１はセキュリティ対策データ３０１の受信を行わずに、図１０の送信フローに示す処理により、折り返しデータ３０４の中身を遮断情報データ３０７に付け替えた（帰りの）セキュリティ対策データ３０１を生成し、折り返し受信側の制御装置２に送信する。
【００６０】
折り返し受信側の制御装置２は、図７の受信フローに示す処理により、安全データ３０２の折り返しデータ３０４の部分が遮断情報データ３０７であることを確認すると、すなわち、折り返し送信側の制御装置１が受信制限中であることを認識すると、セーフティ処理部１３のブラックチャネル診断部１３１による故障検出を行わせないよう、データ置換部１２４が、受信した安全データ３０２に含まれている遮断情報データ３０７を、折り返しデータ保存部１２５で保存していた折り返しデータに付け替える。さらに、データ置換部１２４は、安全チェックコード３０５を、付け替えた折り返しデータ３０４に合わせて修正する。これにより、折り返し受信側の制御装置２は、折り返し送信側の制御装置１がＤｏＳ攻撃を受けている場合でも、従来ではこの制御装置１側の故障と検出してしまうセーフティ処理部１３のブラックチャネル診断部１３１による故障検出を回避することができる。
【００６１】
したがって、折り返し送信側の制御装置１は、ＤｏＳ攻撃により折り返し送信側の制御装置１が、折り返し受信側の制御装置２から送られたセキュリティ対策データ３０１を受信できずとも、折り返し受信側の制御装置２のブラックチャネル診断部１３１による故障検出を回避させるセキュリティ対策データ３０１を、折り返し受信側の制御装置２に対して送信することができる。
【００６２】
また、折り返し送信側の制御装置１や、折り返し送信側の制御装置１と折り返し受信側の制御装置２間の通信路が、物理的・電気的に異常となった場合は、図７の受信フローに示す処理によりセキュリティ異常あるいは安全性異常を検出することにより、不正なまたは誤った制御データ３０３が制御処理部１４で制御に使用されることを避けることができる。
【００６３】
前述のように、従来は、本実施形態におけるような制御装置にセーフティ機能とセキュリティ機能を共存させた場合、ＤｏＳ攻撃からの保護機能による返信された折り返しデータ３０４の不良を通信相手側の故障として検出することによって、制御システムの可用性が損なわれる問題があった。この問題に対して、本実施形態にかかる制御システムは、正常動作ではあるが上記問題となる検出を避けるための処理機能を、制御装置（１、２）がそのセキュリティ処理部（１２Ａ、１２Ｂ）側に備えるので、安全性を担保するため変更を加えることが好ましくないセーフティ処理部１３側の構成に変更を加える必要がなく、かつ、ＤｏＳ攻撃を受けた場合でも可用性を損なわずにセキュリティ機能とセーフティ機能の両方を実現することが可能となる。
【００６４】
（第２の実施形態）
次に、第２の実施形態に係る制御システムについて、図面を参照して説明する。なお、前述の第１の実施形態で説明した構成と共通する部分については同一の符号を用いその説明は省略する。
【００６５】
図１１は、本実施形態に係る制御システムのシステム構成を示す図である。
【００６６】
前述の第１の実施形態に係る制御システムは、折り返し送信側の制御装置１と折り返し受信側の制御装置２によって構成されたが、本実施形態では、図１１に示すように、２台の折り返し受信・送信兼用の制御装置３が相互に接続された構成を採る。つまり、本実施形態に係る制御システムは、折り返し受信・送信兼用の制御装置３の一種類の制御装置を用いて構成される。
【００６７】
図１２は、本実施形態に係る折り返し受信・送信兼用の制御装置３の基本構成を示すブロック図である。
【００６８】
図１２に示す折り返し受信・送信兼用の制御装置３は、セキュリティ処理部１２Ｃに、判定部１２１、セキュリティ解除部１２２、セキュリティ処置部１２３、データ置換部１２４、および、折り返しデータ保存部１２５を備えることにより、前述の折り返し送信側の制御装置１と折り返し受信側の制御装置２に備わる全ての構成要素を内包するものとなっている。この制御装置３の各構成要素の機能および個別の動作は、第１の実施形態の同一符号が示すそれと同様である。
【００６９】
第１の実施形態においては、折り返し受信側の制御装置２の送信、折り返し送信側の制御装置１の受信、折り返し送信側の制御装置１の折り返し送信、折り返し受信側の制御装置２の折り返し受信の順に、これらの送受信が実行される。一方、本実施形態では、２台の折り返し受信・送信兼用の制御装置３の何れもが、上記送信、受信、折り返し送信、折り返し受信の能力を有する。本実施形態では、この構成をとったことにより、１台目の折り返し受信・送信兼用の制御装置３の送信、２台目の折り返し受信・送信兼用の制御装置３の受信、２台目の折り返し受信・送信兼用の制御装置３の折り返し送信、１台目の折り返し受信・送信兼用の制御装置３の受信の順に、第１の実施形態で前述した一連の送受信フローが実行される。１台目と２台目の折り返し受信・送信兼用の制御装置３は、互いに送受信役を交換することができるため、一定の時間内に１台目の折り返し受信・送信兼用の制御装置３の送信から始まる送受信フローと、２台目の折り返し受信・送信兼用の制御装置３の送信から始まる送受信フローの双方が実行可能である。
【００７０】
ここで、折り返し受信・送信兼用の制御装置３が、ＤｏＳ攻撃を受けた際の、２台の制御装置３の間の動作について説明する。
【００７１】
何れの折り返し受信・送信兼用の制御装置３がＤｏＳ攻撃を受けた場合でも、この攻撃を受けた側の折り返し受信・送信兼用の制御装置３は、前述の第１の実施形態の折り返し送信側の制御装置１と同様に、折り返しデータ３０４の中身を遮断情報データ３０７に付け替えて、セキュリティ対策データ３０１をもう１台の折り返し受信・送信兼用の制御装置３に送信する。もう１台の折り返し受信・送信兼用の制御装置３は、第１の実施形態の折り返し受信側の制御装置２と同様に、受信データに含まれる折り返しデータ３０４の部分が遮断情報データ３０７であることを認識すると、通信相手の折り返し受信・送信兼用の制御装置３がＤｏＳ攻撃により自発的に受信制限を行っていることを認識し、折り返しデータ３０４の付け替えを行ってブラックチャネル診断部１３１による故障検出を回避する。
【００７２】
以上に説明したように、本実施形態では、相互に接続された折り返し受信・送信兼用の制御装置３がそれぞれ、第１の実施形態で説明した送信、受信、折り返し送信、および、折り返し受信を行うことができ、折り返しデータ３０４の付替え（折り返し送信側となっている折り返し受信・送信兼用の制御装置３での遮断情報データ３０７への付替え、折り返し受信側となっている折り返し受信・送信兼用の制御装置３での元の折り返しデータ３０４への付替え）を行う機能、通信相手側での受信制限を認識する機能を有する。これにより、何れの折り返し受信・送信兼用の制御装置３がＤｏＳ攻撃を受けた場合でも、もう一方の折り返し受信・送信兼用の制御装置３が被攻撃装置の受信制限を認識しブラックチャネル診断部１３１による故障検出を回避することができる。つまり、従来のセーフティ機能とセキュリティ機能とを制御装置に共存させた場合の、ＤｏＳ攻撃からの保護機能による折り返しデータ不良を故障として検出してしまい、システムの可用性が損なわれる問題に対して、本実施形態は、第１の実施形態における効果に加え、何れの折り返し受信・送信兼用の制御装置３がＤｏＳ攻撃を受けても、システムの可用性を損なわずにセキュリティとセーフティの機能の両方を実現することが可能となる効果を有する。
【００７３】
（第３の実施形態）
次に、第３の実施形態に係る制御システムについて、図面を参照して説明する。なお、前述の第１の実施形態および第２の実施形態で説明した構成と共通する部分については同一の符号を用い、その説明は省略する。
【００７４】
図１３は、本実施形態に係る制御システムのシステム構成を示す図である。
【００７５】
本実施形態では、折り返し送信側の制御装置１と折り返し受信側の制御装置２は１対多、あるいは多対多の関係で接続される構成を採る。また、図１３に示す折り返し送信側の制御装置１と折り返し受信側の制御装置２の代わりに、第２の実施形態における折り返し受信・送信兼用の制御装置３を用いた構成をとることも可能である。
【００７６】
図１４は、本実施形態において、折り返し送信側の制御装置１と折り返し受信側の制御装置２を用いて構成する場合の折り返し受信側の制御装置２の基本構成を示すブロック図である。
【００７７】
図１４に示す構成では、折り返し受信側の制御装置２は、前述の第１の実施形態における構成に加え、折り返しデータ保存部１２５の内部にクライアントＤＢ部１２６を備える構成とする。
【００７８】
図１５は、本実施形態において、折り返し受信・送信兼用の制御装置３を用いて構成する場合の制御装置３の基本構成を示すブロック図である。
【００７９】
図１５に示す構成では、折り返し受信・送信兼用の制御装置３は、前述の第２の実施形態における構成に加え、本実施形態における上記の折り返し受信側の制御装置２と同様に、折り返しデータ保存部１２５の内部にクライアントＤＢ部１２６を備える構成とする。
【００８０】
ここで、本実施形態における折り返し受信側の制御装置（２または３）の機能および動作について説明する。
【００８１】
基本的な動作は、図５を用いて前述した送信フローおよび図７を用いて前述した受信フローに準じた動作となる。ただし、本実施形態では、折り返し受信側となっている制御装置（２または３）の送信相手となる折り返し送信側となる制御装置（１または３）が、単一ではなく複数となる。そこで、本実施形態では、安全確認データ３０６中の折り返しデータ３０４は、全ての送信相手の制御装置（１または３）に対して共通のデータとはせず、送信相手の制御装置（１または３）毎に別々の折り返しデータ３０４を用意する（もちろん、折り返しデータ３０４として共通のデータを用いることもできる）。そして、セキュリティ処理部（１２Ｂ、１２Ｃ）の折り返しデータ保存部１２５では、図５のＳ１０３で安全確認データ３０６中の折り返しデータ３０４を安全データ３０２と関連付けて保存する際、図７のＳ１１２で行う折り返しデータ３０４の付け替え用に、さらに送信相手毎に安全データ３０２と関連付けて、折り返しデータ保存部１２５の内部に備えたクライアントＤＢ部１２６に保存するようにする。ここでは、図１６に例示するように、ＩＰアドレス等の送信先識別情報と、通信シーケンス番号等の安全データ識別情報と、安全確認データ３０６中の折り返しデータ３０４とが対応付けられて保存される。なお、送信相手である折り返し送信側となる制御装置（１または３）毎の別々の折り返しデータ３０４を添付した送信データの送信は、ピアｔｏピアの送信となる（共通の折り返しデータ３０４を用いる場合は、ブロードキャストも可能である）。
【００８２】
クライアントＤＢ部１２６に保存された折り返しデータ３０４は、図７に示す受信フローのＳ１１２で、データ置換部１２４が、安全データ３０２の折り返しデータ３０４の部分に入っている遮断情報データ３０７を、先に折り返しデータ保存部１２５のクライアントＤＢ部１２６が保存していた折り返しデータに付け替える際に利用される。この置換の際は、データ置換部１２４は、遮断情報データ３０７を折り返しデータへ置換する際、折り返し送信してきた送信相手に対応する、クライアントＤＢ部１２６で保存されている送信相手毎の折り返しデータを用いる。
【００８３】
以上に説明したように、本実施形態における折り返し送信側の制御装置１と折り返し受信側の制御装置２、あるいは折り返し受信・送信兼用の制御装置３は、通信相手の制御装置毎に別々の折り返しデータ３０４を保持し、通信相手となる制御装置毎に、送信する送信データに必要に応じた別々の折り返しデータを付与することができる。このことから、本実施形態では、１対多、あるいは多対多の接続構成において、通信相手の制御装置毎に個別の機能安全性に係る異常および故障の診断を実施することが可能となる。また、１対多、あるいは多対多の接続構成において、制御システムとして多用な用途への適用が容易になるとともに、システム規模の増大による異常および故障の診断機能の精度低下を防ぐことが可能となる。また、本実施形態に係る制御システムが、第１の実施形態および第２の実施形態に係る制御システムが有する効果をもつことは言うまでもない。
【００８４】
以上説明したとおり、第１から第３の実施形態によれば、ＤｏＳ攻撃に対処するため意図的な受信制限を行うとき、フィードバック診断による故障検出を行わせないようにすることで、被攻撃時においても制御システムとしての可用性を維持しつつ、機能安全性（セーフティ）のためのフィードバック診断を含む診断機能とセキュリティのためのＤｏＳ攻撃対策機能の双方を両立させることができる。
【００８５】
本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。例えば、上述の第１の実施形態において、折り返し送信側の制御装置１を第２の実施形態における折り返し受信・送信兼用の制御装置３に置き換えることも可能であり、折り返し受信側の制御装置２を第２の実施形態における折り返し受信・送信兼用の制御装置３に置き換えることも可能である。また、上述の第２の実施形態において、折り返し送信側となる折り返し受信・送信兼用の制御装置３を第１の実施形態における折り返し送信側の制御装置１に置き換えることも可能であり、折り返し受信側となる折り返し受信・送信兼用の制御装置３を第１の実施形態における折り返し受信側の制御装置２に置き換えることも可能である。また、各実施形態において通信Ｉ／Ｆ部１１およびセキュリティ処理部（１２Ａ、１２Ｂ、１２Ｃ）を別の機能部として記述しているが、同一の機能部として構成することも可能である。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。
【符号の説明】
【００８６】
１  （折り返し送信側）制御装置
２  （折り返し受信側）制御装置
３  （折り返し受信・送信兼用）制御装置
１１  通信Ｉ／Ｆ部
１２Ａ、１２Ｂ、１２Ｃ  セキュリティ処理部
１３  セーフティ処理部
１４  制御処理部
１１１  受信処理部
１１２  送信処理部
１２１  判定部
１２２  セキュリティ解除部
１２３  セキュリティ処置部
１２４  データ置換部
１２５  折り返しデータ保存部
１２６  クライアントＤＢ部
１３１  ブラックチャネル診断部
１３２  ブラックチャネル送出部
【図１】
2017215788.tif 000003
【図２】
2017215788.tif 000004
【図３】
2017215788.tif 000005
【図４】
2017215788.tif 000006
【図５】
2017215788.tif 000007
【図６】
2017215788.tif 000008
【図７】
2017215788.tif 000009
【図８】
2017215788.tif 000010
【図９】
2017215788.tif 000011
【図１０】
2017215788.tif 000012
【図１１】
2017215788.tif 000013
【図１２】
2017215788.tif 000014
【図１３】
2017215788.tif 000015
【図１４】
2017215788.tif 000016
【図１５】
2017215788.tif 000017
【図１６】
2017215788.tif 000018