OPC UAとUA Securityのご紹介
The Next Generation of System Interoperability

製造業XMLフォーラム2009
2009.6.5
大田区産業プラザ(PIO)

日本OPC協議会
発表者：
藤井 稔久

目次
OPC協議会について
OPC仕様の変遷
第1世代⇒第2世代⇒第3世代(UA)UA仕様について特徴
開発動向(広がり)

UAセキュリティについて
想定脅威
UAのセキュリティ機能

日本OPC協議会

2OPC Foundation / OPC協議会
国際的に組織された産業標準化団体：
9 450+ Member Companies / 100+ end-users Members
9 2500+ Total Companies Build OPC Products = 15000+ Products

ビジョン： 安全で信頼性のある「情報の相互運用性」を実現・提供
9 For moving information vertically from the factory floor through the enterprise of multivendor systems (with stops in between…)
9 For moving information horizontally between devices on different industrial networks fromdifferent vendors
9 Not just data but information…….

行動：
9 情報交換のためのオープンプラットフォーム実現に向け、様々な標準化団体と協力・連携を推進

日本OPC協議会

会員 48社全体会議（総会)
監事

代表幹事
11社で幹事会を構成

日本OPC協議会

幹事会

事務局

企画部会

普及部会

技術部会

ﾕｰｻﾞ交流部会•将来ビジョン立案•他団体連携•総務事項•広報、展博
•製品普及•協議会ｲﾝﾌﾗ整備•新仕様策定•技術教育/セミナー•認証・インオペ推進•ﾕｰｻﾞ交流会運営•ﾕｰｻﾞﾌｨｰﾄﾞﾊﾞｯｸまとめ•ﾕｰｻﾞﾒﾘｯﾄまとめ

3

OPC 仕様の変遷

第一世代： プロセスデータ交換 I/F
OPC⇒ ベンダや機器に依存することなくデータ交換を行なうClient / Server システムのための標準インタフェースです。
課題
9999
9
99

多数のベンダー製品
カスタムメイドのソリューション
プロプラエタリィな技術
1対1結合による統合
限られたリアルタイム情報
保守の悪夢
散逸した責任解決策
9 OPC！

Application X

...

PLC

DCS

Application Y

Controller

Application X

Application Y

OPCクライアント

OPCクライアント

COM/DCOM

日本OPC協議会

OPCサーバ

OPCサーバ

PLC

DCS

OPCサーバController

5第二世代： 水平・垂直データ交換 I/F
本社、社外

OPC
XMLInternet / Intranet
工場管理
DB

DCS

HMI/SCADAMESOPCクライアント

OPC
DA

日本OPC協議会

工場内 Intranet

OPC
DX

OPC
DX

OPC
DX

OPCサーバ
Fieldbus

OPCサーバDeviceNet

OPCサーバ
Profibus

OPCサーバControlNet

工場システム工場システム工場システム工場システム6

第三世代(UA)： 製造情報データ連携 I/F
OPC UA ：業界標準の相互運用性を提供⇒ interOperability, Productivity & Collaboration
ERP, SAP … 経営情報システム （本社・社外)
OPC Unified Architecture

製造、生産、保守 (工場管理)
OPC Unified Architecture

HMI

SCADA

OPC
PC ベース制御
OPC
工業用ネットワーク
工業用ネットワーク

データ収集
データ収集

OPC

日本OPC協議会

PLC
PLC
DCS
DCS

OPC

高度制御

MES

バッチ??.......??
??.......??
7

UA仕様策定の背景

Internet

DCOM

.NET
new
Communicationarchitecture...

OPC-UA
More Areas ofBetter

Integration(DA, HDA, AE)

日本OPC協議会

Service
Oriented

Application(MES, ERP)

8

UA仕様について特徴：UA (Unified Architecture) とは？
抽象化されたサービス

型定義
オブジェクトモデル

データモデル
既存OPC(DA, HDA,A&E,,)

プラットフォーム
非依存
日本OPC協議会

SOAモデル

OPC
UA
通信モデル

プロトコル
非依存

Intranet/Internet
アクセス10

インタフェース レイヤ
Modeling Data – 制御対象(デバイス)に依存しないI/F
Transport Data – 通信媒体に依存しないI/F

日本OPC協議会

11オブジェクトモデル&アドレススペース
UA アドレススペース

UA オブジェクトモデル
OPC DA and HDA

OPC Commands

OPC UA Object
Variables_________

Methods
___()
___()
___()
EventsReference

OPC A&E
日本OPC協議会

12

スタック プロファイル
SecurityをBuilt-inした3種類のスタックプロファイル：
XML Web Service : ITシステムとの親和性⇒ ERP / ビジネスApp
Native Binary: 高速通信⇒組み込み / PCベース制御 / SCADA
Native with SOAP/HTTP : MES / ERPXML Web Services

UA XMLWS Secure Conversation

日本OPC協議会

NativeWith SOAP/HTTP

NativeBinary

UA Binary
UA Secure Conversation

SOAP 1.2

UA TCP

HTTP/HTTPSTCP/IP
13動向： IEC国際標準化（IEC62541)
 ２００７−０５ US NCより提案 OPC-Fコンソーシアム リエーゾン
 ２００７−０５ NP（パート 1-10ドラフト含む）回送 ２００７−０８ NP 承認
WG6設置：US、SE、FI、JP、CH、CA、FR、DE(14名のエクスパート）
 ２００７−０９ CD1 パート 1-10 配布
 ２００７−０９ 第１回WG8会議キックオフ（仏） ２００８−０１ 第2回WG8会議 CD1のNCコメント審議
 ２００８−０４ CD1 パート 1-10 のNCコメントに対する回答
 ２００８−０６ CDV パート1-6、8配布
 ２００８−１１ 第3回WG8会議 CDVコメント審議(国内) ２００８−１１ CD2パート7、9、10配布
 ２００９−０１ CDV パート1-6、8承認

日本OPC協議会

14

UA Securityについて

UA Security
UAセキュリティ：仕様書(12部)のコア仕様として定義¾ Part.1---¾ Part.2¾ Part.3¾ Part.4¾ Part.5¾ Part.6¾ Part.7---¾ Part.8¾ Part.9¾ Part.10¾ Part.11---¾ Part.12
日本OPC協議会:Concepts & Overview//概要:Security Model:Address Space Model:Services:Information Model:Service Mappings:Profiles//コア仕様
// ..
// ..
// ..
// ..
// ..

:Data Access:Alarms and Conditions:Programs:Historical Access//OPC独自情報モデル
// ..
// ..
// ..

:Discovery
16

UA Security
UA Securityの構成
OPC UA Part 2:
Security Model

OPC UA Part 4: Services

OPC UA Part 6: Mappings• セキュアチャネル• データ・エンコーディング• セッション• セキュリティ・プロトコル• 監査• トランスポート プロトコル

日本OPC協議会• 目的 、 脅威と対策

OPC UA Part 7: Profiles• セキュリティ プロファイル(ポリシー)

17

- UA Security : 目的・脅威・対策
Part.2：UAに求められるクライアント/サーバシステムのSecurityアセスメント結果
目的： システムの機密性、完全性、可用性
Threat(s)・メッセージ氾濫
・盗聴・メッセージのなりすまし・メッセージ改ざん
・メッセージリプレイ
・マルフォームメッセージ・サーバプロファイリング
・セッションハイジャック・。。。

日本OPC協議会

Mitigation(s)ユーザ認証
アプリケーション認証
メッセージ認証
監査
侵入検知システム
侵入防止システム。。。

18

- UA Security : アプリケーション
Secure アプリケーション
安全なアーキテクチャを採用し、⇒安全メカニズムをビルトイン

OPC UA Client• アプリケーション認証• ユーザ 認証
• メッセージの完全性• ユーザ 権限の付与• メッセージの機密性

OPC UA Server

アプリケーション層

Sessionアプリケーション層

コミュニケーション層

Secure Channel

コミュニケーション層

トランスポート層

Socketトランスポート層

日本OPC協議会

19

- UA Security :プロファイル（Part.7)
Security モード
None
Sign
SignAndEncrypt– セキュリティなし– メッセージに署名は付けるが、暗号化はしない。
–メッセージに署名は付けかつ暗号化する。

Security ポリシー
Basic128Rsa15
Basic256
None– 最低限のセキュリティ(⇔高速応答性が必要な場合)– 推奨セキュリティ– 推奨できない⇒ Security要件に応じて組合せをプロファイルに定義し、使い分けます。

日本OPC協議会

20

- UA Security: サービス（Part.4)
セッション管理
UAアプリケーション層で実装
Client/Server間のハイレベルな論理的接続機能を提供
ユーザの認証・認可(アクセス制御)によりClientのServerアクセスを制限
セッションの確立にはSecureチャネルの開設が必要

Secureチャネル
UAコミュニケーション層(通信スタック)で実装
Client/Server間のローレベルな論理的接続機能を提供
アプリケーション認証のための証明書を提供
送信メッセージを暗号化するなど、Sercureなメッセージ送信を可能に！
受信メッセージの署名による改ざん検査(Verify)など、Sercureなメッセージ受信を可能に！

日本OPC協議会

21

- UA Security : サービス
セッション Service Set
セキュアチャネル Service Set
監査
OPC UA Client

OPC UA Server

アプリケーション層

CreateSession
ActivateSession

アプリケーション層

コミュニケーション層

OpenSecureChannel
CloseSecureChannel

コミュニケーション層

トランスポート層

Socketトランスポート層

日本OPC協議会

22

- UA Security: 監査
UA
ClientAudit Entry ID : Z
Client A Audit InfoA
UA
ServerUA
ClientB

UA
ServerUA
ClientUA
Server

日本OPC協議会

DAudit Entry ID : Y
Client Name : A
Client Audit Entry ID : Z
Client B Audit Info

CAudit Entry ID : X
Client Name : B
Client Audit Entry ID : Y
Client C Audit Info
Audit Entry ID : W
Client Name : C
Client Audit Entry ID : X
Server D Audit Info23

- UA Security : まとめ①UAセキュリティは特殊なものではありません。
⇒ITの世界で標準的に使用されているセキュリティ対策を使用します。
②UAセキュリティのための特別な実装は不要です。
⇒スタックに実装されている機能を利用することによりその恩恵を簡単に享受することができます。

日本OPC協議会

24

Questions?
日本OPC協議会

日本OPC協議会

25