Technical report

Secure IoT
Gateway
Architecture

プラントとクラウドの IoT プラットホームをつなぐ
安全な IoT ゲートウェイアーキテクチャとは産業向けに使用されている IoT ゲートウェイのアーキテクチャと、さらに安全性が強化されたアーキテクチャをご紹介します。
インダストリー 4.0 や産業用 IoT の登場により、プラントの制御システムをクラウドに接続することへの関心が高まってきています。クラウド上の IoT プラットホームを利用した遠隔監視は、プラントのデータを有効利用し生産性の向上に役立てられることが期待されています。機器からクラウドへ連携する方法の１つに、OPC UA を使用してデータを収集し、MQTT ゲートウェイを使用してクラウドに送信することがあげられます。セキュリティ面においても望ましい組み合わせになりますが、全てのユーザーのニーズを満たすとは限りません。まずは産業用の一般的な IoT ゲートウェイの構造を説明したうえでセキュリティを強化する方式を紹介します。

１. 一般的な IoT ゲートウェイ
２. DMZ とデイジーチェーン接続
３. DHTP で安全性が強化された IoT ゲートウェイ
４. IoT ソリューションのご紹介
４-１. プラントとクラウドまでを容易に接続するミドルウェア DataHub
４-２. VPN を使わない安全な高速・双方向データ通信サービス iBRESS Cloud
４-３. 来て！見て！試して！『IIoT Lab』
４-４. 充実のセミナー＆ハンズオン
４-５. OPC UA 技術の評価ラボ© Skkynet Cloud Systems, Inc. & BellChild Co.,Ltd.

IIoT（Industrial Internet of Things）技術のご紹介

Skkynet の DataHub IoT ゲートウェイソフトウエアは、

１. 一般的な IoT ゲートウェイ

OPC UA インターフェイスによりプラント内での安全な通信を提供し、MQTT によりプラントからクラウドへの安全な通信を一般的な産業用 IoT ゲートウェイでは、プラント内とプラント提供できます。

からクラウドへの２つの通信を組み合わせます。

プラント内の通信には OPC UA が使用されています。OPCUA は、インダストリー 4.0 および産業用 IoT の安全な通信規格として推奨されていますが、これは OPC UA がアプリケーション層での認証と承認を含む多層セキュリティに加え、トランスポート層での証明書の使用による暗号化とデータの整合性を提供※矢印は初期接続パスを示しています。接続確立後、双方向通信が可能となります。

するためです。しかし、プラントからクラウドへ接続する場合は、プラントからクラウドへ接続できるようファイアウォールの外側

すべての IoT ゲートウェイは、OPC UA のセキュリティ機能からのポートを開く必要があるため、OPC UA は必ずしも安全とデータ交換機能をサポートする必要があり、MQTT の安全なとは限りません。

接続に加え、SSL 証明書ベースによってトランスポート層でのセキュリティもサポートする必要があります。この組み合わせに

MQTT は、プラントからクラウドへの接続によく使用されてより、プラントのデバイスや機器からクラウドへの強固で安全ないます。Microsoft Azure、Google Cloud、Amazon IoT通信が期待できます。ただし、この接続方式にはひとつ欠点があCore などのクラウドサービスでサポートされているため、IoTり、OPC UA のデータをクラウドに送信する IoT ゲートウェイ

ゲートウェイに有用な通信規格です。MQTT を使用することでで「インターネットへの直接接続」が必要となります。企業のセファイアウォールの外側からのポートを開かずに内側 ( プラント )キュリティポリシーでプラントからのインターネットへ直接接続から外側 ( クラウド ) へのアウトバウンド接続を確立できます。

が許可されていない場合は、直接接続をせずに安全にデータを送

これはプラントの制御システムの安全確保に不可欠な方式です。

信するためのシステム要件が必要です。のデータモデルと動作を再構築する必要があります。OPC UA

２. DMZ とデイジーチェーン接続

は複雑であるため、このような再構築を行うことはできません。
加えて、クライアントがサーバーに接続しなければならず、サーさらに安全な通信を実現するために、多くの企業はプラント

バーはクライアントが接続できるようリッスン状態にしておく

ネットワークの内部と外部を分離した中間のネットワーク（以必要があります。これを満たすには外側からのポートを開かな

下「DMZ（非武装地帯）」）を設けています。そのほか、データければならないため、回避したいシステム要件です。

を IT 側に送信し、データストリームの一部に接続し、クラウドに送信する方式も考えられます。実際、安全性の高いプラント

MQTT は特別に設計されたブローカとデイジーチェーン接続はインターネットには直接接続されていないため、IT 部門またできますが、各ノードがチェーンの一部であることを認識し、は DMZ を介してデータを送信しています。どちらの場合も「デ個別に構成する必要があります。システム内のすべての MQTTイジーチェーン」とも呼ばれるマルチホップが必要となります。

クライアントは、他のすべてのデータソースとなる MQTT クライアントを認識しなければならず、各データ項目を接続元の堅牢なデイジーチェーン接続では、各ホップは全ての受信デーステータスと関連付けるように構成する必要があります。このタを確実に再送信すると同時に、チェーンに沿った任意の場所構成は、セキュリティを重要視するシステムにおいては、莫大でネットワーク接続の障害をダウンストリームクライアントになメンテナンスコストを必要とします。また、MQTT のサービ通知する必要があります。しかしながら OPC UA も MQTT もス品質は、チェーン全体に伝播することができないため、このこのユースケース用には設計されていません。

マルチホップではクライアントが最新の値を持っていることを保証できません。

OPC UA は、クライアントがサーバーに直接接続され、サーバーが主要な情報源であることを前提としています。ところがデイジーチェーンでは、チェーンに沿ったホップがクライアン
トとサーバーの両方である必要があり、各ホップは元のサーバー© Skkynet Cloud Systems, Inc. & BellChild Co.,Ltd.

※デイジーチェーン接続とは、一般的に複数の機器を数珠つなぎにつないでいく接続方法ですが、DataHub のデイジーチェー
ンとは、アプリケーションにおけるデータのデイジーチェーン接続を意味します。

３. DHTP で安全性が強化された IoT ゲートウェイ
産業用 IoT に必要なのは、さらに強化された方式です。つまり、だけでなく、チェーン内のノードにデータを渡し、データの一各ノードで完全なデータセットをミラーリングし、権限のある貫性も維持できます。DHTP のサービス品質は、通信帯域が不クライアントとチェーン内のノードに対して、データへのアク足して一部のイベントをドロップした場合であっても、チェーセスを提供できる方式です。もちろん、これらは高いセキュリン内のすべてのクライアント、または中間ポイントが元のソーティを確保したうえで実現する必要があります。これにより、スとデータの整合性を確保します。ネットワーク接続が失われIT 部門はクラウドへ連携されているデータへ安全にアクセスすた場合も、DataHub は関連するすべてのデータポイントのデーることができます。

タ品質を自動的に更新して、チェーン内のすべてのクライアントがデータ品質（ネットワーク接続の損失）をすぐに認識できこの強化された方式は、各ノードにインストールされているます。

DataHub などのミドルウェア製品を使用して実現できます。
DataHub は、プラント上でファイアウォールの外部ポートをDHTP は DMZ、IT 部門、または別のインターネットノードを開かずに、プラント内ノードと DMZ または、IT 部門のサーバー介して MQTT ゲートウェイ接続を安全に構成する実証されたの間でデータをトンネリングできます。そして DMZ または、通信方式です。しかしながら、ほとんどの IoT ゲートウェイ製IT 部門のサーバーにインストールされた 2 番目の DataHub は、品はこの方式には適しておらず、一般的な IoT ゲートウェイアー

MQTT サービスにデータを渡すことができます。

キテクチャの OPC UA 通信、または MQTT 通信しか提供できていません。セキュリティに対し重要度が低いシステムでは問題ないかもしれませんが、産業用アプリケーションでは多くのシステム要件が必要となります。DMZ を使用してプラントを保護する必要がある場合、データをクラウドに渡す前に IT 部門に送信する場合、Skkynet の DataHub が堅牢で安全なソ※矢印は初期接続パスを示しています。接続確立後、双方向通信が可能となります。

DataHub から DataHub への接続には、DataHub 転送プロトコル（以下「DHTP」）が使用されます。DHTP は、LAN、WAN、またはインターネットを介して TCP を使用してリアルタイムでデータを送受信します。プラントでの DataHub へのOPC UA 接続はシングルホップです。さらに DataHub からクラウドへの MQTT 接続もシングルホップです。DHTP はデリューションを提供します。
※本技術レポートは、Skkynet 社 ( カナダ ) の Skkynet White
Paper の『What Makes a Secure IoT Gateway Architecture?』の翻訳です。英語版と翻訳に相違がある場合、英語版の内容を優先するものとします 。
【英語版】What Makes a Secure IoT Gateway Architecture?
https://skkynet.com/secure-iot-gateway-architecture/

イジーチェーン接続を処理し、各ノードの完全なデータセット

より詳しく知りたい方は裏面の問い合わせ先にて承ります。と接続ステータスをミラーリングします。DataHub を使用す

常設展示ブースやセミナーも開催しておりますので、お気軽にることで、アクセス権限のあるクライアントがアクセスできるお問い合わせください。

４. IoT ソリューションのご紹介
４-１. プラントとクラウドまでを容易に接続する
ミドルウェア DataHub
DataHub は、産業用通信 OPC (Classic や A&E、最新の UA)をはじめ、Modbus やデータベース、.NET アプリ連携、MQTTなどクラウドサービスとのリアルタイムな双方向通信を確立する産業オートメーション向けのミドルウェアです。アラート通知や監視画面、冗長化などの多種多様な機能により産業データを最大限に活用いただけます。

DataHub の手軽さを体験してみてください。
DataHub 評価用ソフトを無料でダウンロード！

https://cogentdatahub.com/download/
IIoT（Industrial Internet of Things）技術のご紹介

４-２. VPN を使わない安全な高速・双方向データ通信サービス iBRESS CloudiBRESS Cloud は、お客様のパソコンにデータ接続用ミドルウェ
ア『DataHub』を利用することで、アウトバウンド接続でプラントのデータをクラウドに送信できます。また DataHub でクラウドからデータを取り込むこともできます。

４-３. 来て！見て！試して！『IIoT Lab』
『IIoT Lab』は、2019 年 4 月に ( 株 ) ベルチャイルド 東京オフィス内に開設した「製造業向けの IoT」が体験できるユニー
クな施設です。センサやカメラ、PLC データを DataHub からiBRESS Cloud へ接続、データの可視化などを実際に機器を触りながら体験できます。

４-４. 充実のセミナー＆ハンズオン

セキュアなデータ接続のためのIIoT ソリューションご紹介セミナー

堅牢なシステム構築実現のため基本を DataHub や iBRESS

初心者向け

Cloud を用いてデモや演習で学べる『IIoT ソリューションご紹

OPC UA 基礎セミナー

介セミナー』、OPC UA の知識・動向が学べる『OPC UA 学習

企画設計者向け

OPC UA 学習講座

講座』
、OPC UA 製品の開発に必要な知識の学習と接続から動開発者向け

OPC UA 開発ワークショップ

作確認まで体験できる『OPC UA 開発ワークショップ』など多彩なセミナーを用意しています。

IoT 技術習得ハンズオンセミナー

つなげる編・⾒える化編

４-５. OPC UA 技術の評価ラボ
software
UA CTT
Cogent DataHub
OPC Foundation Reference Server
UA Server for C++
UA Server for Ansi-C
UA Server for .NET

UA Camera
ioLogik:MOXA

インダストリー 4.0 の推奨ネットワークである

IO Link Master:ComtrolOPC UA 機器の接続実験（Interoperability Test）、
インターネット経由でのクラウド接続試験、ネッUA Server for JAVAUA Client for C++
UA Client for .NETUA Client for JAVA
PUERTO UA Monitor
Virtual Box

Install

CONPROSYS:CONTEC

トワーク負荷試験等を行うために国内外の多くのFirewalliBRESS Box:BellChild

サーバ、クライアント機器、テストツールを用意しRenesasR
Synergy
S:Skkynet Japanております。エンジニアリングコンサルティングもForward ProxyTM

HF5111A:Skkynet Japan

行っております。OPC UA の技術交流の場として

Test Server

Test Target(UA Server and Client)

ご利用ください。
Interoperability test devices〒105-0013
東京都港区浜松町 2-5-5 PMO 浜松町 10F

株式会社ベルチャイルドwww.bell-c.co.jp

取扱店

TEL：03-5843-7502
FAX：03-5843-7503
E-mail：contact@ibress.com
http://www.ibress.com/
SK-F0101