JP6590763B2 - 電力系統監視制御システム - Google Patents

Description

この発明は、電力系統の状態を常時監視して制御する電力系統監視制御システムに関し、特に、複数のサーバ拠点と複数のクライアント拠点とが分散配置された構成の電力系統監視制御システムにおいて好適に用いられるものである。

従来の電力系統監視制御システムは、地域的に分割された複数の管轄にそれぞれ設けられており、各管轄内でシステムを二重化することなどによって信頼性が確保されていた。しかしながら、大規模災害に見舞われた場合は、ある管轄内の全ての電力系統監視制御システムが使用不能になる可能性があった。

上記の対策として、広域ＩＰ（Internet Protocol）ネットワークを基盤とした広域分散型システムが一般的になりつつある。広域分散型システムでは、運転員が駐在する複数の運用拠点（クライアント拠点とも称する）と、監視制御処理を実行するサーバが設置されたサーバ拠点とが分散配置されている。

上記の広域分散型システムでは広域ＩＰネットワークを利用することから、セキュリティの強化も求められている。たとえば、ＩＥＥＥ８０２．１Ｘ規格に従う認証スイッチおよび認証サーバを用いた認証方式を適用することが考えられる。

特開２００８−２９９７８２号公報（特許文献１）は、システムダウンまたはネットワークの故障に対処するために認証サーバを二重化することを開示している。具体的に、クライアント端末は、認証サーバとの接続が不可能なときは、予め認証サーバから与えられた暗号化認証情報を認証代理サーバに送信し、認証代理サーバから復号化された認証情報を受け取る。クライアント端末は、この認証情報によって業務アプリケーションにログインすることができる。

特開２００８−２９９７８２号公報

電力系統監視制御システムは、２４時間３６５日停止しないことが要求されるミッションクリティカルなシステムでなければならない。このため、メインシステムの故障時にメインシステムからバックアップシステムに切り替える際にも、その切替時間をできるだけ短くすることによって、クライアントがシステムを利用できなくなる時間を短縮することが必要である。しかしながら、従来技術では、この利用不可能時間の短縮について考慮されていなかった。

上記の特許文献１の技術は、認証サーバがシステムダウンしたときにも、業務アプリケーションへのログインが可能となるように、簡易な方法で認証代理サーバから認証情報を取得するものである。しかしながら、業務アプリケーションの利用中に認証サーバがシステムダウンしたときには、認証代理サーバによって再認証を受ける必要があり、この再認証の間、業務アプリケーションの利用することができない。

この発明は、上記の課題を考慮してなされたものであり、その目的は、二重化された認証システムを備えた電力系統監視制御システムにおいて、使用中の機器が使用不能になりバックアップの機器に切り替える際のシステムの利用不可能時間を短縮することである。

この発明は電力系統監視制御システムであって、第１のサーバ拠点、第２のサーバ拠点、および第１のクライアント拠点を備える。第１のサーバ拠点は、第１の認証サーバと、電力系統を監視し制御する機能を提供する第１の機能サーバとを備える。第２のサーバ拠点は、第１のサーバ拠点と広域ネットワークを介して接続され、第２の認証サーバと、電力系統を監視し制御する機能を提供する第２の機能サーバとを備える。第１のクライアント拠点は、第１の認証スイッチと、この第１の認証スイッチを介して広域ネットワークに接続可能な第１の操作卓とを備える。第１の認証サーバは、第１の認証スイッチを通じて第１の操作卓から受けたログイン認証要求を認める場合には、第１の認証スイッチに対して第１の機能サーバと第１の操作卓とを接続するための第１のポートを開放させるとともに、第１の操作卓が認証済みであるという第１の認証済み情報を第２の認証サーバに通知する。第２の認証サーバは、第１の認証済み情報に基づいて、第２の機能サーバと第１の操作卓とを接続するための第２のポートを開放するように、第１の認証スイッチに要求する。

この発明によれば、第１の操作卓の認証済み情報に基づいて、第２のサーバ拠点の第２の機能サーバと第１の操作卓とを接続するために用いられる第１の認証スイッチのポートが予め開放される。したがって、第１のサーバ拠点が使用不能の場合でも、第２の認証サーバにログイン認証要求を行うことなく、第２の機能サーバと通信を継続することができる。この結果、システムの利用不可能時間を短縮することができる。

一実施の形態における電力系統監視制御システムの構成を示すブロック図である。 ユーザ情報記憶部に格納されたユーザ情報の一例を示す図である。 認証済み情報記憶部に格納されている認証済み情報の一例を示す図である。 ログイン認証の手順を示すフローチャートである。 クライアント拠点の操作卓とサーバ拠点との間の一方の認証スイッチが故障した場合において、他方の認証スイッチに切り替える手順を示すフローチャートである。 メインの認証サーバが故障した場合にサブの認証サーバに切り替える手順を示すフローチャートである。 サーバ拠点が被災などにより使用できなくなった場合に他のサーバ拠点に切り替える手順を示すフローチャートである。 ログアウトの手順を示すフローチャートである。

以下、実施の形態について図面を参照して詳しく説明する。なお、同一または相当する部分には同一の参照符号を付して、その説明を繰返さない。

［電力系統監視制御システムの構成］
図１は、一実施の形態における電力系統監視制御システムの構成を示すブロック図である。図１を参照して、電力系統監視制御システムは、複数のサーバ拠点Ａ（１００）およびＢ（２００）と、複数のクライアント拠点Ａ（３００）およびＢ（４００）とが広域ＩＰ（Internet Protocol）ネットワークを介して相互に接続された構成を有している。図１では代表的に２つのサーバ拠点１００，２００と、２つのクライアント拠点３００，４００とが示されているが、電力系統監視制御システムは、さらに多くのサーバ拠点およびクライアント拠点が広域ＩＰネットワークを介して接続された構成を有していてもよい。

サーバ拠点Ａ（１００）は、認証サーバ１１０，１２０と機能サーバ１３０とを備える。サーバ拠点Ｂ（２００）は、認証サーバ２１０，２２０と機能サーバ２３０とを備える。

機能サーバ１３０および機能サーバ２３０は、電力系統を監視し制御するための同一の機能を提供する。機能サーバ１３０，２３０のハードウェア資源は、一般的なサーバ装置と同様である。たとえば、機能サーバ１３０，２３０の各々は、ＣＰＵ（Central Processing Unit）、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、表示装置、入力装置、不揮発性の記憶装置、通信装置などを備える。

サーバ拠点Ａ（１００）の認証サーバ１１０，１２０は、２系列のデュアルサーバとして冗長化されており、常時いずれの認証サーバとも使用可能な状態である。ただし、認証要求の許可通知を発行する認証サーバの状態を一意にしておく目的から若番の認証サーバがマスタとなり他方の認証サーバがスレーブとなる。図１の場合には、認証サーバ１１０がマスタとなり、認証サーバ１２０がスレーブとなる。

同様に、サーバ拠点Ｂ（２００）の認証サーバ２１０，２２０は２系列のデュアルサーバとして冗長化されており、常時いずれの認証サーバとも使用可能な状態である。ただし、図１の場合には、認証サーバ２１０がマスタとなり認証サーバ２２０がスレーブとなる。

認証サーバ１１０，１２０，２１０，２２０のハードウェア資源は、一般的なサーバ装置と同様である。たとえば、認証サーバ１１０，１２０，２１０，２２０の各々は、ＣＰＵ、ＲＡＭ、ＲＯＭ、表示装置、入力装置、不揮発性の記憶装置、通信装置などを備える。

機能的には、認証サーバ１１０は、ユーザ情報を記憶するユーザ情報記憶部１１１と、認証済み情報を記憶する認証済み情報記憶部１１３と、認証処理部１１２とを備える。ユーザ情報記憶部１１１および認証済み情報記憶部１１３は、たとえば、上記の記憶装置の記憶領域に相当する。認証処理部１１２は、上記のＣＰＵに対応し、クライアント拠点からログイン認証要求があったときに、プログラムに従って認証処理を実行する。

他の認証サーバ１２０も同様の機能的構成を有している。すなわち、認証サーバ１２０は、ユーザ情報記憶部１２１と、認証済み情報記憶部１２３と、認証処理部１２２とを備える。認証サーバ２１０は、ユーザ情報記憶部２１１と、認証済み情報記憶部２１３と、認証処理部２１２とを備える。認証サーバ２２０は、ユーザ情報記憶部２２１と、認証済み情報記憶部２２３と、認証処理部２２２とを備える。

図２は、ユーザ情報記憶部に格納されたユーザ情報の一例を示す図である。図１および図２を参照して、ユーザ情報記憶部１１１，１２１，２１１，２２１は、それぞれ対応する認証処理部１１２，１２２，２１２，２２２が認証処理を行う際に、ユーザが入力したユーザ情報（たとえば、ユーザ名とパスワードとの組合わせ）と照合するためのユーザ情報を予め記憶する。図２の例では、クライアント拠点に設けられた操作卓の識別番号と、当該操作卓のユーザ名およびパスワードとがユーザ情報記憶部１１１に予め記憶されている。ユーザ情報記憶部１１１，１２１，２１１，２２１に格納されている情報は互いに一致している。ユーザ情報が更新された場合には、全ての認証サーバのユーザ情報記憶部１１１，１２１，２１１，２２１が更新される。

図３は、認証済み情報記憶部に格納されている認証済み情報の一例を示す図である。図１および図３を参照して、認証済み情報記憶部１１３，１２３，２１３，２２３は、認証処理部１１２，１２２，２１２，２２２のうちのいずれかがログイン認証を行った場合に、認証された接続中の操作卓の情報を格納する。認証済み情報記憶部１１３，１２３，２１３，２２３に格納されている情報は同一である。図３の例では、クライアント拠点の識別名と操作卓の識別番号が、認証済み情報記憶部１１３，１２３，２１３，２２３に格納されている。いずれかの操作卓がログアウトした場合には、全ての認証済み情報記憶部１１３，１２３，２１３，２２３から当該操作卓の情報が削除される。

再び図１を参照して、クライアント拠点Ａ（３００）は、操作卓３０１と認証スイッチ３１１，３１２とを備える。クライアント拠点Ｂ（４００）は、操作卓４０１と認証スイッチ４１１，４１２とを備える。操作卓３０１，４０１は、表示装置、入力装置、ＣＰＵ、通信装置などによって構成される。

操作卓３０１は、認証スイッチ３１１または３１２を介して広域ＩＰネットワーク１０に接続可能であり、さらに、広域ＩＰネットワーク１０に接続されたサーバ拠点１００，２００に接続可能である。操作卓４０１は、認証スイッチ４１１または４１２を介して広域ＩＰネットワーク１０に接続可能であり、さらに、広域ＩＰネットワーク１０に接続されたサーバ拠点１００，２００に接続可能である。

認証スイッチ３１１，３１２，４１１，４１２の各々は、対応する操作卓と広域ＩＰネットワーク１０とを接続するための複数のポートとを備えている。通常はこれらのポートは閉じており、操作卓は通信をすることができない。認証スイッチ３１１，３１２，４１１，４１２の各々は、認証サーバからの許可を得た場合のみ、該当するポートを開放して通信を許可する。

操作卓３０１は認証が許可されると、故障部位の検出を目的に自動的に認証スイッチ３１１および３１２を介して機能サーバ１３０および２３０のヘルスチェックを行う。さらに、操作卓３０１は、定期的に認証スイッチ３１１および３１２を介して、認証を許可した認証サーバに対してポーリングを行う。同様に、操作卓４０１は認証が許可されると、故障部位の検出を目的に認証スイッチ４１１および４１２を介して機能サーバ２３０および１３０のヘルスチェックを行う。また、操作卓４０１は、定期的に認証スイッチ４１１および４１２を介して、認証を許可した認証サーバに対してポーリングを行う。

［ログイン認証の手順］
次に、クライアント拠点Ａ（３００）の操作卓３０１から行うログイン認証の手順について説明する。図４は、ログイン認証の手順を示すフローチャートである。

図１および図４を参照して、電力系統監視制御システムの通常運用時、ユーザが操作卓３０１を使用する場合には、ユーザは操作卓３０１にユーザ名およびパスワードを入力する。操作卓３０１は、ユーザが入力したユーザ名、パスワードを認証スイッチ３１１に送信し、認証スイッチ３１１に対してログイン認証要求を行う（ステップＳ１００）。認証スイッチ３１１は、マスタである認証サーバ１１０に認証要求を認めるか否かの問い合わせを行う（ステップＳ１１０）。

認証サーバ１１０は、認証要求されたユーザ名、パスワードをユーザ情報記憶部１１１の内容と照合する（ステップＳ１２０）。認証サーバ１１０は、照合が成功すれば、認証スイッチ３１１に認証成功を通知する（ステップＳ１２１）。この認証成功通知を受けて、認証スイッチ３１１は、操作卓３０１と認証サーバ１１０および機能サーバ１３０とを接続するためのポートαを開放する（ステップＳ１１１）。これにより、操作卓３０１は、認証スイッチ３１１のポートαを介して、サーバ拠点Ａ（１００）の機能サーバ１３０と通信することができる。

このとき、認証スイッチ３１１介した通信ルートが故障することに備えて、認証サーバ１１０は、認証スイッチ３１２に対しても認証成功を通知する（ステップＳ１２１）。この認証成功通知を受けて、認証スイッチ３１２は、操作卓３０１と認証サーバ１１０および機能サーバ１３０とを接続するためのポートεを開放する（ステップＳ１１１）。これにより、操作卓３０１は、認証スイッチ３１２のポートεを介して、サーバ拠点Ａ（１００）の機能サーバ１３０との通信が可能となる。

次に、認証サーバ１１０の認証処理部１１２は操作卓３０１を認証すると、操作卓３０１が認証済みであるという認証済み情報Ｘを、認証済み情報記憶部１１３に書き込むとともに、認証サーバ１２０の認証済み情報記憶部１２３にも書き込む（ステップＳ１２２）。さらに、認証サーバ１１０の認証処理部１１２は、認証サーバ２１０の認証処理部２１２に広域ＩＰネットワーク１０を介して操作卓３０１の認証済み情報Ｘを送信する（ステップＳ１２３）。

認証サーバ２１０の認証処理部２１２は、認証処理部１１２から受信した操作卓３０１の認証済み情報Ｘを認証済み情報記憶部２１３に書き込むとともに、認証サーバ２２０の認証済み情報記憶部２２３に書き込む（ステップＳ１４０）。

サーバ拠点Ａ（１００）の認証サーバ１２０は、認証済み情報記憶部１２３が更新されると、新たに格納された認証済み情報Ｘに基づいて、認証スイッチ３１１および３１２に対して操作卓３０１と接続するためのポートの開放を要求する（ステップＳ１３０）。これにより、認証スイッチ３１１は、操作卓３０１と認証サーバ１２０および機能サーバ１３０とを接続するためのポートβを開放する（ステップＳ１１２）。認証スイッチ３１２は、操作卓３０１と認証サーバ１２０および機能サーバ１３０とを接続するためのポートζを開放する（ステップＳ１１２）。

サーバ拠点Ｂ（２００）の認証サーバ２１０は、認証済み情報記憶部２１３が更新されると、新たに格納された認証済み情報Ｘに基づいて、認証スイッチ３１１および３１２に対して操作卓３０１と接続するためのポートの開放を要求する（ステップＳ１４１）。これにより、認証スイッチ３１１は、操作卓３０１と認証サーバ２１０および機能サーバ２３０とを接続するためのポートγを開放する（ステップＳ１１３）。認証スイッチ３１２は、操作卓３０１と認証サーバ２１０および機能サーバ２３０とを接続するためのポートηを開放する（ステップＳ１１３）。

サーバ拠点Ｂ（２００）の認証サーバ２２０は、認証済み情報記憶部２２３が更新されると、新たに格納された認証済み情報Ｘに基づいて、認証スイッチ３１１および３１２に対して操作卓３０１と接続するためのポートの開放を要求する（ステップＳ１５０）。これにより、認証スイッチ３１１は、操作卓３０１と認証サーバ２２０および機能サーバ２３０とを接続するためのポートδを開放する（ステップＳ１１４）。認証スイッチ３１２は、操作卓３０１と認証サーバ２２０および機能サーバ２３０とを接続するためのポートθを開放する（ステップＳ１１４）。

操作卓４０１を使用する場合も上記と同様である。この場合、上記の説明において、クライアント拠点Ａ（３００）に関するものをクライアント拠点Ｂ（４００）に関するものに読み替え、サーバ拠点Ａ（１００）に関するものとサーバ拠点Ｂ（２００）に関するものとを入れ替える。具体的には以下のとおりである。

電力系統監視制御システムの通常運用時に、ユーザが操作卓４０１を使用する場合には、ユーザは操作卓４０１にユーザ名およびパスワードを入力する。操作卓４０１は、ユーザが入力したユーザ名およびパスワードを認証スイッチ４１１に送信し、認証スイッチ４１１に対してログイン認証要求を行う。認証スイッチ４１１は、マスタである認証サーバ２１０に認証要求を認めるか否かの問い合わせを行う。

認証サーバ２１０は、認証要求されたユーザ名、パスワードをユーザ情報記憶部２１１の内容と照合する。認証サーバ２１０は、照合が成功すれば、認証スイッチ４１１に認証成功を通知する。この認証成功通知を受けて、認証スイッチ４１１は、操作卓４０１と認証サーバ２１０および機能サーバ２３０とを接続するためのポートαを開放する。これにより、操作卓４０１は、認証スイッチ４１１のポートαを介して、サーバ拠点Ｂ（２００）の機能サーバ２３０との通信が可能となる。

このとき、認証スイッチ４１１介した通信ルートが故障することに備えて、認証サーバ２１０は、認証スイッチ４１２に対しても認証成功を通知する。この認証成功通知を受けて、認証スイッチ４１２は、操作卓４０１と認証サーバ２１０および機能サーバ２３０とを接続するためのポートεを開放する。これにより、操作卓４０１は、認証スイッチ４１２のポートεを介して、サーバ拠点Ｂ（２００）の機能サーバ２３０との通信が可能となる。

次に、認証サーバ２１０の認証処理部２１２は操作卓４０１を認証すると、操作卓４０１が認証済みであるという認証済み情報Ｙを、認証済み情報記憶部２１３に書き込むとともに、認証サーバ２２０の認証済み情報記憶部２２３にも書き込む。さらに、認証サーバ２１０の認証処理部２１２は、認証サーバ１１０の認証処理部１１２に操作卓４０１の認証済み情報Ｙを、広域ＩＰネットワーク１０を介して送信する。

認証サーバ１１０の認証処理部１１２は、認証処理部２１２から受信した操作卓４０１の認証済み情報Ｙを認証済み情報記憶部１１３に書き込むとともに、認証サーバ１２０の認証済み情報記憶部１２３に書き込む。

サーバ拠点Ｂ（２００）の認証サーバ２２０は、認証済み情報記憶部２２３が更新されると、新たに格納された認証済み情報Ｙに基づいて、認証スイッチ４１１および４１２に対して操作卓４０１と接続するためのポートの開放を要求する。これにより、認証スイッチ４１１は、操作卓４０１と認証サーバ２２０および機能サーバ２３０とを接続するためのポートβを開放する。認証スイッチ４１２は、操作卓４０１と認証サーバ２２０および機能サーバ２３０とを接続するためのポートζを開放する。

サーバ拠点Ａ（１００）の認証サーバ１１０は、認証済み情報記憶部１１３が更新されると、新たに格納された認証済み情報Ｙに基づいて、認証スイッチ４１１および４１２に対して操作卓４０１と接続するためのポートの開放を要求する。これにより、認証スイッチ４１１は、操作卓４０１と認証サーバ１１０および機能サーバ１３０とを接続するためのポートγを開放する。認証スイッチ４１２は、操作卓４０１と認証サーバ１１０および機能サーバ１３０とを接続するためのポートηを開放する。

サーバ拠点Ａ（１００）の認証サーバ１２０は、認証済み情報記憶部１２３が更新されると、新たに格納された認証済み情報Ｙに基づいて、認証スイッチ４１１および４１２に対して操作卓４０１と接続するためのポートの開放を要求する。これにより、認証スイッチ４１１は、操作卓４０１と認証サーバ１２０および機能サーバ１３０とを接続するためのポートδを開放する。認証スイッチ４１２は、操作卓４０１と認証サーバ１２０および機能サーバ１３０とを接続するためのポートθを開放する。

［故障時の動作］
次に、メイン装置が故障したときにスレーブ装置に切り替える手順について説明する。

（１．一方の認証スイッチが故障した場合）
図５は、クライアント拠点の操作卓とサーバ拠点との間の一方の認証スイッチが故障した場合において、他方の認証スイッチに切り替える手順を示すフローチャートである。

図１および図５を参照して、まず前提として、クライアント拠点Ａ（３００）の操作卓３０１から、認証スイッチ３１１にログオン認証要求が送信され（ステップＳ２００）、サーバ拠点Ａ（１００）の認証サーバ１１０は、操作卓３０１を認証したとする。この結果、認証スイッチ３１１，３１２は、それぞれポートαおよびポートεを開放する（ステップＳ２０５）。

操作卓３０１は、認証スイッチ３１１のポートαを介して機能サーバ１３０と通信する（ステップＳ２１０）。さらに、操作卓３０１は、定期的に認証スイッチ３１１のポートαおよび認証スイッチ３１２のポートεをそれぞれ介して認証サーバ１１０にポーリングを行う（ステップＳ２１５）。認証スイッチ３１１，３１２のいずれを介したポーリングに対しても応答があった場合には（ステップＳ２２０でＮＯ）、上記の機能サーバ１３０の通信（ステップＳ２１０）および定期的なポーリング（ステップＳ２１５）が継続される。

一方、認証スイッチ３１１を介した通信経路のみ認証サーバ１１０からの応答がなかった場合には（ステップＳ２２０でＹＥＳ）、操作卓３０１は、認証スイッチ３１１または認証スイッチ３１１を介した通信経路が故障したと判断する。この場合、操作卓３０１は、認証スイッチ３１２のポートεを使用して機能サーバ１３０との通信を試みる。既に操作卓３０１は認証済みであり、操作卓３０１と認証サーバ１１０および機能サーバ１３０とを接続するための認証スイッチ３１２のポートεは開放されている。したがって、操作卓３０１は、認証スイッチ３１２を介して、再度認証サーバ１１０に認証要求を行うことなく、機能サーバ１３０との間で通信を行うことができる（ステップＳ２２５）。

クライアント拠点Ｂ（４００）の認証スイッチ４１１または認証スイッチ４１２を介した通信経路が故障した場合も同様である。この場合、操作卓４０１は、認証スイッチ４１２のポートεを使用して機能サーバ２３０との通信を試みる。既に操作卓４０１は認証済みであり、操作卓４０１と認証サーバ２１０および機能サーバ２３０とを接続するための認証スイッチ４１２のポートεは開放されている。したがって、操作卓４０１は、認証スイッチ４１２を介して、再度認証サーバ２１０に認証要求を行うことなく、機能サーバ２３０との間で通信を行うことができる。

（２．メインの認証サーバが故障した場合）
図６は、メインの認証サーバが故障した場合にサブの認証サーバに切り替える手順を示すフローチャートである。

図１および図６を参照して、まず前提として、クライアント拠点Ａ（３００）の操作卓３０１から、認証スイッチ３１１にログオン認証要求が送信され（ステップＳ３００）、サーバ拠点Ａ（１００）のメインの認証サーバ１１０は、操作卓３０１を認証したとする。この結果、認証スイッチ３１１，３１２は、それぞれポートαおよびポートεを開放する（ステップＳ３０５）。

さらに、スレーブの認証サーバ１２０は、上記の操作卓３０１の認証済みの情報に基づいて認証スイッチ３１１，３１２のポートの開放を要求する。認証スイッチ３１１，３１２はポートβ，ζをそれぞれ開放する（ステップＳ３１０）。

操作卓３０１は、認証スイッチ３１１のポートαを介して機能サーバ１３０と通信する（ステップＳ３１５）。さらに、操作卓３０１は、定期的に認証スイッチ３１１のポートαおよび認証スイッチ３１２のポートεをそれぞれ介して認証サーバ１１０にポーリングを行う（ステップＳ３２０）。認証スイッチ３１１，３１２のいずれを介したポーリングに対しても応答があった場合には（ステップＳ３２５でＮＯ）、上記の機能サーバ１３０の通信（ステップＳ３１５）および定期的なポーリング（ステップＳ３２０）が継続される。

一方、認証スイッチ３１１，３１２のいずれを介した通信経路によっても認証サーバ１１０からの応答がなかった場合には（ステップＳ３２５でＹＥＳ）、操作卓３０１は、メインの認証サーバ１１０が故障した判断する。この場合、スレーブの認証サーバ１２０がマスタとなり、操作卓３０１は認証スイッチ３１１（３１２）のポートβ（ζ）を使用して機能サーバ１３０との通信を試みる。既に、操作卓３０１と認証サーバ１２０および機能サーバ１３０とを接続するための認証スイッチ３１１，３１２のポートβ，ζは開放されている。したがって、操作卓３０１は、認証スイッチ３１１を介して再度認証サーバ１２０に認証要求を行うことなく、機能サーバ１３０との間で通信を行うことができる（ステップＳ３３０）。

クライアント拠点Ｂ（４００）のメインの認証サーバ２１０が故障した場合も同様である。この場合、スレーブの認証サーバ２２０がマスタとなり、操作卓４０１は認証スイッチ４１１（４１２）のポートβ（ζ）を使用して機能サーバ２３０との通信を試みる。既に、操作卓４０１と認証サーバ２２０および機能サーバ２３０とを接続するための認証スイッチ４１１，４１２のポートβ，ζは開放されている。したがって、操作卓４０１は、認証スイッチ４１１を介して再度認証サーバ２２０に認証要求を行うことなく、機能サーバ２３０との間で通信を行うことができる。

（３．サーバ拠点Ａが被災などにより使用できなくなった場合）
図７は、サーバ拠点が被災などにより使用できなくなった場合に他のサーバ拠点に切り替える手順を示すフローチャートである。

図１および図７を参照して、まず前提として、クライアント拠点Ａ（３００）の操作卓３０１から、認証スイッチ３１１にログオン認証要求が送信され（ステップＳ４００）、サーバ拠点Ａ（１００）の認証サーバ１１０は、操作卓３０１を認証したとする。この結果、認証スイッチ３１１，３１２は、それぞれポートαおよびポートεを開放する（ステップＳ４０５）。

さらに、サーバ拠点Ｂ（２００）の認証サーバ２１０は、上記の操作卓３０１の認証済みの情報に基づいて認証スイッチ３１１，３１２のポートの開放を要求する。認証スイッチ３１１，３１２はポートγ，ηをそれぞれ開放する（ステップＳ４１０）。

操作卓３０１は、認証スイッチ３１１または認証スイッチ３１２を介して機能サーバ１３０と通信する（ステップＳ４１５）。この後、サーバ拠点Ａ（１００）が被災したために、操作卓３０１は、認証サーバ１１０，１２０および機能サーバ１３０のいずれとも通信できなくなったとする（ステップＳ４２０でＹＥＳ）。

この場合、操作卓３０１は認証スイッチ３１１（３１２）のポートγ（η）を使用してサーバ拠点Ｂ（２００）の機能サーバ２３０との通信を試みる。既に、操作卓３０１と認証サーバ２１０および機能サーバ２３０とを接続するための認証スイッチ３１１，３１２のポートγ，ηは開放されている。したがって、操作卓３０１は、認証スイッチ３１１を介して再度認証サーバ２１０に認証要求を行うことなく、機能サーバ１３０との間で通信を行うことができる（ステップＳ４２５）。

サーバ拠点Ｂ（２００）が被災したことにより、操作卓４０１と認証サーバ２１０，２２０および機能サーバ２３０との間で通信ができなくなった場合も同様である。この場合、操作卓４０１は認証スイッチ４１１（４１２）のポートγ（η）を使用してサーバ拠点Ａ（１００）の機能サーバ１３０との通信を試みる。既に、操作卓４０１と認証サーバ１１０および機能サーバ１３０とを接続するための認証スイッチ４１１，４１２のポートγ，ηは開放されている。したがって、操作卓４０１は、認証スイッチ４１１を介して再度認証サーバ１１０に認証要求を行うことなく、機能サーバ１３０との間で通信を行うことができる。

［ログアウトの手順］
次に、クライアント拠点Ａ（３００）の操作卓３０１から行うログアウトの手順について説明する。図８はログアウトの手順を示すフローチャートである。

図１および図８を参照して、操作卓３０１は、機能サーバによって提供されたアプリケーションの使用が終わると認証スイッチ３１１にログアウト要求を行う（ステップＳ５００）。操作卓３０１からのログアウト要求を受けて、認証スイッチ３１１はサーバ拠点Ａ（１００）の認証サーバ１１０にログアウト要求を行う（ステップＳ５１０）。

認証サーバ１１０の認証処理部１１２は、認証済み情報記憶部１１３から操作卓３０１の認証済み情報Ｘを削除するとともに、認証サーバ１２０の認証済み情報記憶部１２３から操作卓３０１の認証済み情報Ｘを削除する（ステップＳ５２０）。さらに、認証処理部１１２は、認証スイッチ３１１，３１２に対して操作卓３０１と接続するためのポートα，εの閉鎖を要求する（ステップＳ５２１）。このポート閉鎖要求に従って、認証スイッチ３１１，３１２はポートα，εをそれぞれ閉鎖する（ステップＳ５１１）。

認証サーバ１２０の認証処理部１２２は、認証済み情報記憶部１２３から認証済み情報Ｘが削除されると、認証スイッチ３１１，３１２に対して操作卓３０１と接続するためのポートβ，ζの閉鎖を要求する（ステップＳ５３０）。このポート閉鎖要求に従って、認証スイッチ３１１，３１２はポートβ，ζをそれぞれ閉鎖する（ステップＳ５１１）。

さらに、認証サーバ１１０の認証処理部１１２は、認証サーバ２１０の認証処理部２１２に対して広域ＩＰネットワーク１０を介して操作卓３０１の認証済み情報Ｘの削除要求を送信する（ステップＳ５２２）。認証サーバ２１０の認証処理部２１２は、操作卓３０１の認証済み情報Ｘの削除要求を受信すると、認証済み情報記憶部２１３，２２３から操作卓３０１の認証済み情報Ｘを削除する（ステップＳ５４０）。さらに、認証サーバ２１０の認証処理部２１２は、認証スイッチ３１１，３１２に対して操作卓３０１と接続するためのポートγ，ηの閉鎖を要求する（ステップＳ５４１）。このポート閉鎖要求に従って、認証スイッチ３１１，３１２はポートγ，ηをそれぞれ閉鎖する（ステップＳ５１２）。

認証サーバ２２０の認証処理部２２２は、認証済み情報記憶部２２３から認証済み情報Ｘが削除されると、認証スイッチ３１１，３１２に対して操作卓３０１と接続するためのポートδ，θの閉鎖を要求する（ステップＳ５５０）。このポート閉鎖要求に従って、認証スイッチ３１１，３１２はポートδ，θをそれぞれ閉鎖する（ステップＳ５１２）。

操作卓４０１がログアウト要求する場合も上記と同様の手順であるので詳しい説明を繰り返さない。この場合、上記の説明において、クライアント拠点Ａ（３００）に関するものをクライアント拠点Ｂ（４００）に関するものに読み替え、サーバ拠点Ａ（１００）に関するものとサーバ拠点Ｂ（２００）に関するものとを入れ替える。

［効果］
上記のように構成された電力系統監視制御システムによれば、サーバ拠点の被災、認証サーバの故障、サーバ拠点内のＬＡＮ（Local Area Network）の故障、および認証スイッチのいずれの故障が生じても、セキュリティ状態を維持しつつ、電力系統監視制御システムの運転を継続することができる。この結果、上記の故障時において、クライアントがシステムを使用不能になる時間を短縮することができる。

［付記］
上記の実施の形態における用語と請求項の用語との対応関係について説明する。

サーバ拠点Ａ（１００）、サーバ拠点Ｂ（２００）、クライアント拠点Ａ（３００）は、第１のサーバ拠点、第２のサーバ拠点、第１のクライアント拠点にそれぞれ対応する。認証サーバ１１０、認証サーバ１２０、機能サーバ１３０は、第１の認証サーバ、第１のスレーブ認証サーバ、第１の機能サーバにそれぞれ対応する。認証サーバ２１０、認証サーバ２２０、機能サーバ２３０は、第２の認証サーバ、第２のスレーブ認証サーバ、第２の機能サーバにそれぞれ対応する。操作卓３０１、認証スイッチ３１１、認証スイッチ３１２は、第１の操作卓、第１の認証スイッチ、第２の認証スイッチにそれぞれ対応する。認証済み情報Ｘは第１の認証済み情報に対応する。ポートα、ポートγ、ポートβ、ポートδ、ポートε、ポートη、ポートζは、第１〜第７のポートにそれぞれ対応する。

今回開示された実施の形態はすべての点で例示であって制限的なものでないと考えられるべきである。この発明の範囲は上記した説明ではなくて請求の範囲によって示され、請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

１０ 広域ＩＰネットワーク、１００，２００ サーバ拠点、１１０，１２０，２１０，２２０ 認証サーバ、１１１，１２１，２１１，２２１ ユーザ情報記憶部、１１２，１２２，２１２，２２２ 認証処理部、１１３，１２３，２１３，２２３ 認証済み情報記憶部、１３０，２３０ 機能サーバ、３００，４００ クライアント拠点、３０１，４０１ 操作卓、３１１，３１２，４１１，４１２ 認証スイッチ、Ｘ，Ｙ 認証済み情報。

Claims (6)

1. 第１の認証サーバと、電力系統を監視し制御する機能を提供する第１の機能サーバとを備えた第１のサーバ拠点、
   前記第１のサーバ拠点と広域ネットワークを介して接続され、第２の認証サーバと、前記電力系統を監視し制御する機能を提供する第２の機能サーバとを備えた第２のサーバ拠点、および
   第１の認証スイッチと、前記第１の認証スイッチを介して前記広域ネットワークに接続可能な第１の操作卓とを備えた第１のクライアント拠点を含み、
   前記第１の認証サーバは、前記第１の認証スイッチを通じて前記第１の操作卓から受けたログイン認証要求を認める場合には、前記第１の認証スイッチに対して前記第１の機能サーバと前記第１の操作卓とを接続するための第１のポートを開放させるとともに、前記第１の操作卓が認証済みであるという第１の認証済み情報を前記第２の認証サーバに通知し、
   前記第２の認証サーバは、前記第１の認証済み情報に基づいて、前記第２の機能サーバと前記第１の操作卓とを接続するための第２のポートを開放するように、前記第１の認証スイッチに要求する、電力系統監視制御システム。
2. 前記第１のサーバ拠点は、マスタとして動作する前記第１の認証サーバに対してスレーブとして動作する第１のスレーブ認証サーバをさらに備え、
   前記第１のスレーブ認証サーバは、前記第１の認証済み情報に基づいて、前記第１の機能サーバと前記第１の操作卓とを接続するための第３のポートを開放するように、前記第１の認証スイッチに要求する、請求項１に記載の電力系統監視制御システム。
3. 前記第２のサーバ拠点は、マスタとして動作する前記第２の認証サーバに対してスレーブとして動作する第２のスレーブ認証サーバをさらに備え、
   前記第２のスレーブ認証サーバは、前記第１の認証済み情報に基づいて、前記第２の機能サーバと前記第１の操作卓とを接続するための第４のポートを開放するように、前記第１の認証スイッチに要求する、請求項２に記載の電力系統監視制御システム。
4. 前記第１のクライアント拠点は第２の認証スイッチをさらに備え、
   前記第１の操作卓は、前記第２の認証スイッチを介して前記広域ネットワークに接続可能であり、
   前記第１の認証サーバは、前記第１の認証スイッチを通じて前記第１の操作卓から受けたログイン認証要求を認める場合には、前記第１の機能サーバと前記第１の操作卓とを接続するための第５のポートを開放するように、前記第２の認証スイッチにも要求し、
   前記第２の認証サーバは、前記第１の認証済み情報に基づいて、前記第２の機能サーバと前記第１の操作卓とを接続するための第６のポートを開放するように、前記第２の認証スイッチにも要求し、
   前記第１のスレーブ認証サーバは、前記第１の認証済み情報に基づいて、前記第１の機能サーバと前記第１の操作卓とを接続するための第７のポートを開放するように、前記第２の認証スイッチにも要求する、請求項２に記載の電力系統監視制御システム。
5. 前記第１の操作卓は、前記第１および第２の認証スイッチの各々を介する経路を使用して前記第１の認証サーバに対してポーリングを行い、
   前記第１の操作卓は、前記第１および第２の認証スイッチのどちらを介する経路についても前記第１の認証サーバから前記ポーリングに対する応答がなかった場合には、前記第１の認証スイッチの前記第３のポートまたは前記第２の認証スイッチの前記第７のポートを使用して前記第１の機能サーバとの通信を継続する、請求項４に記載の電力系統監視制御システム。
6. 前記第１の操作卓は、前記第１の認証サーバ、前記第１のスレーブ認証サーバ、および前記第１の機能サーバとの通信が不能になった場合には、前記第１の認証スイッチの前記第２のポートまたは前記第２の認証スイッチの前記第６のポートを使用して前記第２の機能サーバとの通信を開始する、請求項５に記載の電力系統監視制御システム。

Images