(57)【特許請求の範囲】
【請求項１】
制御装置と、サブ制御装置と、ネットワーク装置と、制御ネットワークと、被制御装置を含む制御システムであって、
前記制御装置は、第１の制御信号を送信し、
前記サブ制御装置は、第２の制御信号を送信し、
前記ネットワーク装置は前記制御ネットワークに接続され、前記第１の制御信号と前記第２の制御信号を前記被制御装置に送信し、受信した前記制御装置宛ての信号を前記サブ制御装置に送信せず、前記制御装置に送信し、
前記被制御装置は、前記制御ネットワークに接続され、前記第１の制御信号と前記第２の制御信号の双方を所定の条件で受信した場合に限り前記第１の制御信号と前記第２の制御信号に従った動作を実行する
制御システム。
【請求項２】
請求項１に記載の制御システムであって、
サブ表示装置をさらに含み、
前記ネットワーク装置は、前記制御装置宛ての信号を前記サブ制御装置に送信せず、前記制御装置と前記サブ表示装置に送信する
制御システム。
【請求項３】
請求項１に記載の制御システムであって、
前記制御装置は汎用ＯＳを搭載した装置であって、前記サブ制御装置、被制御装置は汎用ＯＳを搭載しない装置である
制御システム。
【請求項４】
請求項２に記載の制御システムであって、
前記サブ表示装置は汎用ＯＳを搭載しない装置である
制御システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、制御システム、プログラムに関する。
【背景技術】
【０００２】
例えば、津波・高潮対策用防潮水門、ダム等、高い信頼性が求められる制御システムにおいて、近年、ＰＣ化、サーバー化、オープンネットワーク化が進んでいる（非特許文献１）。
【先行技術文献】
【非特許文献】
【０００３】
【非特許文献１】佐々木弘志、“社会を動かすモノのセキュリティに向き合おう−産業用制御システムを襲うサイバー攻撃の実態・最新動向”、［online］、平成30年11月27日、［令和2年2月26日検索］、インターネット<URL：https://www.nic.ad.jp/ja/materials/iw/2018/proceedings/d1/d1-3-sasaki.pdf>
【発明の概要】
【発明が解決しようとする課題】
【０００４】
制御システムの一部をＰＣ化、サーバー化、オープンネットワーク化することにより、ユーザの利便性は高まったものの、このような制御システムでは、他の一般的な情報システムと同様にサイバー攻撃の対象となるリスクが増大した（非特許文献１）。
【０００５】
例えば図１に示すように、従来の制御システム９が制御装置１１、制御ネットワーク１４、制御ネットワーク１４に接続されたＮ台（Ｎは１以上の整数）の被制御装置１５−１、…、１５−Ｎを含み、制御装置１１からの制御信号により被制御装置１５−１、…、１５−Ｎが制御可能であるものとする。このとき、例えば制御ネットワーク１４に不正な装置が接続され（同図の破線）、この不正な装置が制御装置１１に攻撃通信を送信することにより、制御装置１１を攻撃する可能性がある。また同図の例に限らず、例えば制御装置１１のＵＳＢポートなどを経由して、制御装置１１をウイルスに感染させることにより、制御装置１１がハッカーにより遠隔操作されるリスクがある。前述したように、ＰＣ化、サーバー化、オープンネットワーク化により、制御装置１１は、汎用ＯＳを搭載したＰＣで実現されており、サイバー攻撃に対して脆弱である。
【０００６】
上述のサイバー攻撃に、最新のファイヤウォールやアンチウイルスソフト等を用いて対抗しても、これを確実に防ぐことは難しく、特にダムなどのインフラがサイバー攻撃にさらされた場合人命に関わる事態が生じる可能性があり、標準技術の採用と高信頼性確保の両立が課題となっていた。
【０００７】
そこで本発明では、サイバー攻撃に対する安全性が高い制御システムを提供することを目的とする。
【課題を解決するための手段】
【０００８】
本発明の制御システムは、制御装置と、サブ制御装置と、ネットワーク装置と、制御ネットワークと、被制御装置を含む。
【０００９】
制御装置は、第１の制御信号を送信する。サブ制御装置は、第２の制御信号を送信する。ネットワーク装置は制御ネットワークに接続され、第１の制御信号と第２の制御信号を被制御装置に送信し、受信した制御装置宛ての信号をサブ制御装置に送信せず、制御装置に送信する。被制御装置は、制御ネットワークに接続され、第１の制御信号と第２の制御信号の双方を所定の条件で受信した場合に限り第１の制御信号と第２の制御信号に従った動作を実行する。
【発明の効果】
【００１０】
本発明の制御システムは、サイバー攻撃に対する安全性が高い。
【図面の簡単な説明】
【００１１】
【図１】従来の制御システムの構成例を示すブロック図。
【図２】実施例１の制御システムの構成を示すブロック図。
【図３】実施例１の制御システムの動作を示すシーケンス図。
【図４】実施例２の制御システムの構成を示すブロック図。
【図５】実施例２の制御システムの動作を示すシーケンス図。
【図６】コンピュータの機能構成例を示す図。
【発明を実施するための形態】
【００１２】
以下、本発明の実施の形態について、詳細に説明する。なお、同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。
【実施例１】
【００１３】
以下、図２を参照して実施例１の制御システム１の構成を説明する。本実施例の制御システム１は、従来の制御システム９の構成にサブ制御装置１２、ネットワーク装置１３を加えたことを特徴とする。なお、ネットワーク装置１３は、制御ネットワーク１４に接続されている。以下、図３を参照して本実施例の制御システム１の動作を説明する。
【００１４】
被制御装置１５−１、…、１５−Ｎのいずれかを動作させたい場合、オペレータは制御装置１１を操作し、制御装置１１は、第１の制御信号を生成して送信する（Ｓ１１１）。以下、対象となる被制御装置については、被制御装置１５と呼称する。制御装置１１は、汎用ＯＳを搭載した装置であるものとする。第１の制御信号には制御装置１１の識別子であるＩＤ１、タイムスタンプＴ１などを含む。ＩＤ１は、制御装置１１の識別子だけでなく制御内容を表す識別子や対象となる被制御装置１５の識別子を付加したものであってもよい。
【００１５】
このとき、制御装置１１を操作するオペレータの手元には、サブ制御装置１２が配置されており、オペレータは、制御装置１１に対する入力操作と同時に、サブ制御装置１２に対する入力操作を行うものとし、サブ制御装置１２は、第２の制御信号を生成して送信する（Ｓ１２１）。サブ制御装置１２は、汎用ＯＳを搭載しない装置（例えばNon-OSの装置）であるものとする。被制御装置１５も同様に、汎用ＯＳを搭載しない装置（例えばNon-OSの装置）であるものとする。第２の制御信号にはサブ制御装置１２の識別子であるＩＤ２、タイムスタンプＴ２などを含む。ＩＤ２は、サブ制御装置１２の識別子だけでなく制御内容を表す識別子や対象となる被制御装置１５の識別子を付加したものであってもよい。
【００１６】
ネットワーク装置１３は、制御装置１１から第１の制御信号（ＩＤ１＋Ｔ１）、サブ制御装置１２から第２の制御信号（ＩＤ１＋Ｔ１）を受信し（Ｓ１３１、Ｓ１３２）、第１の制御信号と第２の制御信号を制御対象となっている被制御装置１５に送信する（Ｓ１３３）。
【００１７】
被制御装置１５は、第１の制御信号と第２の制御信号を受信する（Ｓ１５１）。被制御装置１５は、第１の制御信号と第２の制御信号の双方を所定の条件（例えばＩＤ１とＩＤ２がいずれも真正であり、かつタイムスタンプＴ１とＴ２の差分が所定の閾値以下）で受信した場合に限り、第１の制御信号と第２の制御信号に従った動作を実行する（Ｓ１５２）。
【００１８】
被制御装置１５は制御装置１１とサブ制御装置１２の双方から真正な制御信号を受信した場合に限り動作するため、仮に制御装置１１が不正に遠隔操作されていたとしても、サブ制御装置１２が同時に遠隔操作されない限り、被制御装置１５が不正な動作をすることがない。また、サブ制御装置１２は汎用ＯＳを搭載しない装置であるため、ウイルス感染、ハッキングを受ける可能性が低い。
【００１９】
次に、被制御装置１５（または不正な装置）から制御装置１１宛に信号が送信された場合の動作を説明する。図３に示すように、被制御装置１５は、制御装置１１宛に信号を送信する（Ｓ１５３）。この信号は、例えば動作を正常に終了したことを通知する信号、動作が正常に行われなかったことを通知するエラー信号などである。ネットワーク装置１３は当該信号を受信する（Ｓ１３４）。ネットワーク装置１３は、受信した制御装置１１宛ての信号をサブ制御装置１２に送信せず、制御装置１１に送信する（Ｓ１３５）。制御装置１１は当該信号を受信する（Ｓ１１２）。
【００２０】
図２に破線で囲んだ矢印／〇、矢印／×に示すように、ネットワーク装置１３はサブ制御装置１２からの信号送信は許可するものの、サブ制御装置１２への信号送信は許可しない（一方向通信）。これにより、不正な装置が被制御装置１５になりすまして、攻撃通信（Attack）を送信した場合であっても、サブ制御装置１２が攻撃通信（Attack）にさらされることがない。
【実施例２】
【００２１】
以下、図４を参照して実施例２の制御システム２の構成を説明する。本実施例の制御システム２は、実施例１の制御システム１の構成にサブ表示装置２６を加え、実施例１のネットワーク装置１３をネットワーク装置２３に変更したことを特徴とする。以下、図５を参照して本実施例の制御システム２の動作を説明する。
【００２２】
被制御装置１５−１、…、１５−Ｎのいずれかを動作させたい場合のシステムの動作は実施例１と同様である（Ｓ１１１〜Ｓ１５２）。
【００２３】
次に、被制御装置１５（または不正な装置）から制御装置１１宛に信号が送信された場合の動作を説明する。実施例１と同様にステップＳ１５３、Ｓ１３４、Ｓ１３５、Ｓ１１２が実行される。さらにネットワーク装置２３は、追加の動作として、制御装置１１宛ての信号を複製して、サブ表示装置２６にも送信する（Ｓ２３６）。サブ表示装置２６は当該信号を受信し、これを表示する（Ｓ２６１）。
【００２４】
制御装置１１がウイルスに感染している場合、または不正に遠隔操作されている場合には、被制御装置１５から送信された信号が制御装置１１で正しく表示されないおそれがある。これにより、オペレータから見て制御装置１１、被制御装置１５が正常に動作しているように見えるため、不正な操作の発覚が遅れる可能性がある。本実施例のように制御装置１１宛の信号を複製してサブ表示装置２６にも送信することとし、サブ表示装置２６が受信した信号を表示することにより、制御装置１１が正常でない場合であっても、サブ表示装置２６を用いて被制御装置１５を常時監視することが出来る。なお、サブ表示装置２６は、汎用ＯＳを搭載しない装置であるため、ウイルス感染、ハッキングを受ける可能性が低い。
【００２５】
＜実施例に記載のシステムの効果＞
実施例に開示した制御システム１、２は、安価な汎用ＰＣやネットワーク等の標準システムを採用しつつ、操作時や動作確認時に用いる、書換えが容易でないハードウェア（Non-OSの装置であるサブ制御装置１２やサブ表示装置２６）を追加し、さらに被制御装置１５は汎用ＰＣなどで実現された制御装置１１だけでなく制御専用のハードウェアであるサブ制御装置１２からの通信を受けて初めて動作するように構成したため、仮に制御装置１１がサイバー攻撃により乗っ取られ不正制御コマンドが生成されたとしても被制御装置１５は動作せず、動作確認時に、異常発生を知る事が出来る。
【００２６】
＜補記＞
本発明の装置は、例えば単一のハードウェアエンティティとして、キーボードなどが接続可能な入力部、液晶ディスプレイなどが接続可能な出力部、ハードウェアエンティティの外部に通信可能な通信装置（例えば通信ケーブル）が接続可能な通信部、ＣＰＵ（Central Processing Unit、キャッシュメモリやレジスタなどを備えていてもよい）、メモリであるＲＡＭやＲＯＭ、ハードディスクである外部記憶装置並びにこれらの入力部、出力部、通信部、ＣＰＵ、ＲＡＭ、ＲＯＭ、外部記憶装置の間のデータのやり取りが可能なように接続するバスを有している。また必要に応じて、ハードウェアエンティティに、ＣＤ−ＲＯＭなどの記録媒体を読み書きできる装置（ドライブ）などを設けることとしてもよい。このようなハードウェア資源を備えた物理的実体としては、汎用コンピュータなどがある。
【００２７】
ハードウェアエンティティの外部記憶装置には、上述の機能を実現するために必要となるプログラムおよびこのプログラムの処理において必要となるデータなどが記憶されている（外部記憶装置に限らず、例えばプログラムを読み出し専用記憶装置であるＲＯＭに記憶させておくこととしてもよい）。また、これらのプログラムの処理によって得られるデータなどは、ＲＡＭや外部記憶装置などに適宜に記憶される。
【００２８】
ハードウェアエンティティでは、外部記憶装置（あるいはＲＯＭなど）に記憶された各プログラムとこの各プログラムの処理に必要なデータが必要に応じてメモリに読み込まれて、適宜にＣＰＵで解釈実行・処理される。その結果、ＣＰＵが所定の機能（上記、…部、…手段などと表した各構成要件）を実現する。
【００２９】
本発明は上述の実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で適宜変更が可能である。また、上記実施形態において説明した処理は、記載の順に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されるとしてもよい。
【００３０】
既述のように、上記実施形態において説明したハードウェアエンティティ（本発明の装置）における処理機能をコンピュータによって実現する場合、ハードウェアエンティティが有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記ハードウェアエンティティにおける処理機能がコンピュータ上で実現される。
【００３１】
上述の各種の処理は、図６に示すコンピュータの記録部１００２０に、上記方法の各ステップを実行させるプログラムを読み込ませ、制御部１００１０、入力部１００３０、出力部１００４０などに動作させることで実施できる。
【００３２】
この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。具体的には、例えば、磁気記録装置として、ハードディスク装置、フレキシブルディスク、磁気テープ等を、光ディスクとして、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ−ＲＡＭ（Random Access Memory）、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ−Ｒ（Recordable）／ＲＷ（ReWritable）等を、光磁気記録媒体として、ＭＯ（Magneto-Optical disc）等を、半導体メモリとしてＥＥＰ−ＲＯＭ（Electrically Erasable and Programmable-Read Only Memory）等を用いることができる。
【００３３】
また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。
【００３４】
このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。
【００３５】
また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、ハードウェアエンティティを構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。
【要約】
【課題】サイバー攻撃に対する安全性が高い制御システムを提供する。
【解決手段】制御装置と、サブ制御装置と、ネットワーク装置と、制御ネットワークと、被制御装置を含む制御システムであって、制御装置は、第１の制御信号を送信し、サブ制御装置は、第２の制御信号を送信し、ネットワーク装置は制御ネットワークに接続され、第１の制御信号と第２の制御信号を被制御装置に送信し、受信した制御装置宛ての信号をサブ制御装置に送信せず、制御装置に送信し、被制御装置は、制御ネットワークに接続され、第１の制御信号と第２の制御信号の双方を所定の条件で受信した場合に限り第１の制御信号と第２の制御信号に従った動作を実行する。
【選択図】図２【図１】
0006924294.tif 000002
【図２】
0006924294.tif 000003
【図３】
0006924294.tif 000004
【図４】
0006924294.tif 000005
【図５】
0006924294.tif 000006
【図６】
0006924294.tif 000007