JP6676508B2 - セキュリティ診断装置およびセキュリティ診断方法 - Google Patents

Description

本発明は、発電／蓄電プラントにおけるセキュリティ診断装置に関する。

プラントに異常な過渡事象や事故等が生じた際に、プラントからの計測データを基にその異常や事故の発生を検知する技術として、特開２０１５−１６２１４０号公報（特許文献１）に記載の技術がある。

この公報には、「信号が変化した原因がプラント特性の変化であるか、制御ロジックの変化であるかを区別する」という記載がある。

特開２０１５−１６２１４０

遠隔プラント制御サーバはプラント操作信号を送出し、プラントを制御する。特許文献１では、遠隔プラント制御サーバがマルウェアに感染した等により、異常な操作信号を送出していれば、その出力が異常となり遠隔プラント制御サーバの異常を検出できる。
しかし、プラントには送信する操作信号の値は正常な動作範囲の値であっても、操作信号の値が急激に変化した場合には異常をもたらす場合がある。例えば、遠隔プラント制御サーバからプラントのタービンの回転数を最小値と最大値の間の変更を一気に実施すことを繰り返すことでタービンが故障する。遠隔プラント制御サーバがマルウェア等に感染して急激な操作信号値を送信するような場合には、プラントが異常動作になるまで遠隔プラント制御サーバの異常動作に気付くことが難しいという課題がある。

上記課題を解決する為に本発明に係るセキュリティ診断装置は、遠隔プラント制御サーバが送信した操作信号をカテゴリに分類する操作信号分類手段と、過去の診断結果を保存するデータベースと、プラントで計測された計測信号をカテゴリに分類する計測信号分類手段と、前記操作信号分類手段の分類結果及び前記計測信号分類手段の分類結果と過去の診断結果に基づいて遠隔プラント制御サーバの操作信号が異常であることを診断するセキュリティ診断手段と、を備えたことを特徴とする。

遠隔プラント制御サーバの操作信号が正常範囲の信号であっても、プラントを異常動作させる運転になっていることを検知できる。

セキュリティ診断装置１００を説明するブロック図 セキュリティ診断装置１００の動作フローチャート図 分類部のデータ分解機能の構成を説明する図 Ｆ０レイヤー６２１の構成を示すブロック図 Ｆ１レイヤー６２２の構成を示すブロック図 セキュリティ診断手段１７０の動作フローチャート図 操作信号分類結果データベースに保存されるデータの様態を説明する図 診断結果データベースに保存されるデータの様態を説明する図 図４のフローチャートでの判定結果、操作信号、操作信号や計測信号をカテゴリに分類した結果を表示する画面を示す図 操作対象のプラント２００がガスタービンプラントである場合の構成を説明する図 操作対象のプラント２００が蓄電池プラントである場合の構成を説明する図

本発明の実施例であるセキュリティ診断装置について、図面を参照して以下に説明する。

図１は、本発明の第１の実施例であるセキュリティ診断装置１００を説明するブロック図である。セキュリティ診断装置１００を用いて、遠隔プラント制御サーバ３１０及びプラント２００を監視する。

プラント２００には現場プラント制御装置２１０およびプラント主機２２０がある。プラント主機には色々な計測機器が設置されており、これらの計測機器で計測した計測信号は現場プラント制御装置２１０に送信される。遠隔地からプラント２００を制御するために遠隔プラント制御サーバ３１０がある。遠隔プラント制御サーバ３１０は、プラント２００にある現場プラント制御装置２１０に操作信号１を送信する。現場プラント制御装置２１０では、遠隔プラント制御サーバ３１０から送信された操作信号１に基づいてプラント主機２２０を所望の運転状態に制御するため、操作信号を計算してプラント主機２２０に送信する。

現場プラント制御装置２１０で受信したプラント計測信号１９と、現場プラント制御装置２１０で計算した操作信号１７を含む信号３はプラントデータ収録装置３２０に保存される。信号３には現場プラント制御装置２１０で計算した任意の信号を含めても良い。

セキュリティ診断装置１００は演算装置として、操作信号分類手段１５１と、計測信号分類手段１５２と、セキュリティ診断手段１７０と、を備えている。また、セキュリティ診断装置１００には、データベースとして、計測信号データベース１３０と、操作信号データベース１４０と、操作信号分類結果データベース１６１と、計測信号分類結果データベース１６２と、診断結果データベース１８０と、を備える。尚、図１においてはデータベースをＤＢと略記している。

また、セキュリティ診断装置１００は、外部とのインターフェイスとして外部入力インターフェイス１１０と、外部出力インターフェイス１２０と、を備えている。

そして、外部入力インターフェイス１１０を介してプラントの運転状態である各種上状態量を計測した計測信号４と、遠隔プラント制御サーバからの操作信号１と、運転管理室４００に備えられているキーボード４２０及びマウス４３０にて構成される外部入力装置４１０の操作で操作する外部入力信号５と、がセキュリティ診断装置１００に取込まれる。

また、外部出力インターフェイス１２０を介して、画像表示情報１７を運転管理室２００に備えられている画像表示装置４４０に出力する。
セキュリティ診断装置１００に取込まれた計測信号６は、計測信号データベース１３０に保存する。セキュリティ診断装置１００に取込まれた操作信号７は、操作信号データベース１４０に保存する。なお、計測信号４および操作信号１の多くはアナログ量であるが、セキュリティ診断装置１００に取込まれた計測信号６および操作信号７は時系列的なデジタル量であるため記号を区別している。

セキュリティ診断装置１００は、モデル構築処理モードと診断処理モードの２つの処理モードを持つ。

モデル構築モードでは、正常状態の計測信号と操作信号を、クラスタリング技術を用いて、いくつかのグループに分類し、診断モデルを構築する。

診断処理では、診断する時刻の計測信号および操作信号について、クラスタリング技術を用いてグループに分類し、セキュリティ診断を行う。

モデル構築処理モードの動作をまず述べる。

モデル構築処理モードでは、状態変化の検知に用いる監視モデルを構築する。まず、計測信号分類手段１５２が、所定期間の計測信号８を計測信号データベース１３０から抽出し、計測信号８をクラスタリング技術により分類する。分類結果である計測信号分類結果情報１１は計測信号分類結果データベース１６２に送信し、保存する。

次に、操作信号分類手段１５１が、所定期間の操作信号９を操作信号データベース１４０から抽出し、クラスタリング技術により分類する。分類結果である操作信号分類結果情報１０は操作信号分類結果データベース１６１に送信し、保存する。

なお、計測信号だけでなく現場プラント制御装置２１０で計算した任意の信号を抽出し、計測信号分類手段１５２は計測信号と現場プラント制御装置２１０で計算した任意の信号をクラスタリング技術によって分類するようにしても良い。また、計測信号と操作信号をそれぞれ任意のグループに分け、各グループ毎に診断モデルを構築するようにしても良い。

このように、本実施例のセキュリティ診断装置１００では、計測信号と操作信号をそれぞれ個別に分類する。

次に、診断処理モードの動作を述べる。

まず、計測信号分類処理手段１５２が計測信号８とモデル構築処理モードで構築した診断モデルを参照しながら計測信号８をクラスタリング技術により分類し、操作信号分類結果情報１２セキュリティ診断手段１７０に送信する。
また、操作信号分類処理手段１５１が操作信号９とモデル構築処理モードで構築した診断モデルを参照しながら操作信号９をクラスタリング技術により分類し、計測信号分類結果情報１３をセキュリティ診断手段１７０に送信する。

そして、セキュリティ診断手段１７０が、操作信号分類結果情報１２や計測信号分類結果情報１３から、過去の診断結果情報２０に基づいて、遠隔プラント制御サーバ３１０のセキュリティを診断する。診断結果情報１６は外部出力インターフェイス１２０に出力する。

なお、本実施例のセキュリティ診断装置１００においては、操作信号分類手段１５１、計測信号分類手段１５２、セキュリティ診断手段１７０、操作信号データベース１４０、計測信号データベース１３０、操作信号分類結果データベース１６１、計測信号分類結果データベース１６２、診断結果データベース１８０がセキュリティ診断装置１００の内部に備えられているが、これらの一部の装置をセキュリティ診断装置１００の外部に配置し、データのみを装置間で通信するようにしてもよい。

また、セキュリティ診断装置１００に設置された操作信号データベース１４０、計測信号データベース１３０、操作信号分類結果データベース１６１、計測信号分類結果データベース１６２、診断結果データベース１８０に保存されているデータベース情報１８０１・１８０２は、運転管理室９００とデータ通信できるようになっており、データベースの情報を画像表示装置９４０に表示できる。また、これらの情報は、キーボード４２０とマウス４３０で構成する外部入力装置４１０を操作して生成する外部入力信号５で修正できる。

図２は、セキュリティ診断装置１００の動作フローチャート図である。

ステップＲ１０：プラントデータ収録装置に保存されている信号を、外部入力インターフェイス１２０を介して診断装置１００に取込み、計測信号６を計測信号データベース１３０に保存する。また、遠隔プラント制御サーバの送信信号を、外部入力インターフェイス１２０を介して診断装置１００に取込み、操作信号７を計測信号データベース１４０に保存する。

ステップＲ２０：計測信号分類手段１５２を動作させて、所定の計測信号８を計測信号データベース１３０から抽出し、クラスタリング技術より分類する。分類結果である計測信号分類結果情報１１は計測信号分類結果データベース１６２に送信し、保存する。
また、分類結果である計測信号分類結果情報１５はセキュリティ診断手段１７０にも送信する。計測信号分類手段１５２の詳細動作内容については、図３を用いて後述する。

ステップＲ３０：操作信号分類手段１５１を動作させて、所定の操作信号７を操作信号データベース１４０から抽出し、クラスタリング技術より分類する。分類結果である操作信号分類結果情報１０は操作信号分類結果データベース１６１に送信し、保存する。
また、分類結果である操作信号分類結果情報１２はセキュリティ診断手段１７０にも送信する。計測信号分類手段１５１の詳細動作内容については、図３を用いて後述する。

ステップＲ４０：動作モードを判定する。モデル構築モードの場合は終了し、診断処理モードの場合はステップＲ５０に移る。

ステップＲ５０：セキュリティ診断手段１７０を動作させて、遠隔プラント制御サーバの状態を診断し、診断結果情報１６を外部出力インターフェイス１２０に出力する。

また、診断結果情報２１を診断結果データベース１８０にも送信し、保存する。セキュリティ診断手段１７０の動作内容については、図４を用いて後述する。

ステップＲ６０：終了判定を実施、終了判定を満足する場合は診断処理モードを終了する。終了条件を満たさない場合は、ステップＲ１０に戻る。ここで終了条件とは、あらかじめユーザによって定められた条件である。例えば、キーボード４１またはマウス４２からセキュリティ診断手段１７０へ終了信号が送信された時に終了する。
図３は、操作信号分類手段１５１および計測信号分類手段１５２を説明する図である。

本実施例では、信号を分類する技術として、適応共鳴理論（Ａｄａｐｔｉｖｅ Ｒｅｓｏｎａｎｃｅ Ｔｈｅｏｒｙ：ＡＲＴ）を適用した場合について述べる。尚、ベクトル量子化、サポートベクターマシン等、他のクラスタリング手法を用いることもできる。

図３（ａ）に示すように、データ分類機能はデータ前処理装置６１０とＡＲＴモジュール６２０で構成する。データ前処理装置６１０は、運転データをＡＲＴモジュール６２０の入力データに変換する。

以下に、前記データ前処理装置６１０及びＡＲＴモジュール６２０によるそれらの手段について説明する。

まず、データ前処理装置６１０において、操作信号および計測項目毎にデータを正規化する。操作信号及び計測信号を正規化したデータＮｘｉ（ｎ）及び正規化したデータの補数ＣＮｘｉ（ｎ）（＝１−Ｎｘｉ（ｎ））を含むデータを入力データＩ_ｉ（ｎ）とする。この入力データＩ_ｉ（ｎ）が、ＡＲＴモジュール６２０に入力される。

ＡＲＴモジュール６２０においては、入力データである計測信号８、もしくは操作信号９を複数のカテゴリに分類する。

ＡＲＴモジュール６２０は、Ｆ０レイヤー６２１、Ｆ１レイヤー６２２、Ｆ２レイヤー６２３、メモリ６２４及び選択サブシステム６２５を備え、これらは相互に結合している。Ｆ１レイヤー６２２及びＦ２レイヤー６２３は、重み係数を介して結合している。重み係数は、入力データが分類されるカテゴリのプロトタイプ（原型）を表している。ここで、プロトタイプとは、カテゴリの代表値を表すものである。

次に、ＡＲＴモジュール６２０のアルゴリズムについて説明する。

ＡＲＴモジュール６２０に入力データが入力された場合のアルゴリズムの概要は、下記の処理１〜処理５のようになる。

処理１：Ｆ０レイヤー６２１により入力ベクトルを正規化し、ノイズを除去する。

処理２：Ｆ１レイヤー６２２に入力された入力データと重み係数との比較により、ふさわしいカテゴリの候補を選択する。

処理３：選択サブシステム６２５で選択したカテゴリの妥当性がパラメータρとの比により評価される。妥当と判断されれば、入力データはそのカテゴリに分類され、処理４に進む。一方、妥当と判断されなければ、そのカテゴリはリセットされ、他のカテゴリからふさわしいカテゴリの候補を選択する（処理２を繰り返す）。パラメータρの値を大きくするとカテゴリの分類が細かくなり、ρの値を小さくすると分類が粗くなる。このパラメータρをビジランス（ｖｉｇｉｌａｎｃｅ）パラメータと呼ぶ。

処理４：処理２において全ての既存のカテゴリがリセットされると、入力データが新規カテゴリに属すると判断され、新規カテゴリのプロトタイプを表す新しい重み係数を生成する。

処理５：入力データがカテゴリＪに分類されると、カテゴリＪに対応する重み係数ＷＪ（ｎｅｗ）は、過去の重み係数ＷＪ（ｏｌｄ）及び入力データｐ（又は入力データから派生したデータ）を用いて下記式（１）により更新される。
ＷＪ（ｎｅｗ）＝Ｋｗ・ｐ＋（１−Ｋｗ）・ＷＪ（ｏｌｄ） ・・・式（１）
ここで、Ｋｗは、学習率パラメータ（０＜Ｋｗ＜１）であり、入力ベクトルを新しい重み係数に反映させる度合いを決定する値である。

尚、式（１）及び後述する式（２）乃至式（１２）の各演算式は前記ＡＲＴモジュール６２０に組み込まれている。

ＡＲＴモジュール６２０のデータ分類アルゴリズムの特徴は、上記の処理４にある。

処理４においては、学習した時のパターンと異なる入力データが入力された場合、記録されているパターンを変更せずに新しいパターンを記録することができる。このため、過去に学習したパターンを記録しながら、新たなパターンを記録することが可能となる。

このように、入力データとして予め与えた運転データを与えると、ＡＲＴモジュール６２０は与えられたパターンを学習する。したがって、学習済みのＡＲＴモジュール６２０に新たな入力データが入力されると、上記アルゴリズムにより、過去におけるどのパターンに近いかを判定することができる。また、過去に経験したことのないパターンであれば、新規カテゴリに分類される。

図３（ｂ）は、Ｆ０レイヤー６２１の構成を示すブロック図である。Ｆ０レイヤー６２１では、入力データＩ_ｉを各時刻で再度正規化し、Ｆ１レイヤー６２２、及び選択サブシステム６２５に入力する正規化入力ベクトルｕ_ｉを作成する。

始めに、入力データＩ_ｉから、式（２）に従ってｗ_ｉ ^０を計算する。ここで、ａは定数である。

次に、ｗ_ｉ ^０を正規化したｘ_ｉ ^０を、式（３）を用いて計算する。ここで、｜｜・｜｜はノルムを表す記号である。

そして、式（４）を用いて、ｘ_ｉからノイズを除去したｖ_ｉ ^０を計算する。ただし、θはノイズを除去するための定数である。式（４）の計算により、微小な値は０となるため、入力データのノイズが除去される。

最後に、式（５）を用いて正規化入力ベクトルｕ_ｉ ^０を求める。ｕ_ｉ ^０はＦ１レイヤーの入力となる。

図３（ｃ）は、Ｆ１レイヤー６２２の構成を示すブロック図である。Ｆ１レイヤー６２２では、式（５）で求めたｕ_ｉ ^０を短期記憶として保持し、Ｆ２レイヤー７２２に入力するｐ_ｉを計算する。Ｆ２レイヤーの計算式をまとめて式（６）〜式（１２）に示す。ただし、ａ、ｂは定数、ｆ（・）は式（４）で示した関数、Ｔ_ｊはＦ２レイヤー６２３で計算する適合度である。

ただし、

図４は、セキュリティ診断手段１７０のフローチャート図であり、図２のＲ５０を詳細に説明する図である。

ステップＳ１０：セキュリティ診断手段１７０は、操作信号分類結果１２が、操作信号分類データベース１６１に保存された前回の操作信号分類結果情報１３を比較して前回のカテゴリから変化したかのチェックをする。カテゴリの変化がなかった場合には、ステップＳ２０に移り、カテゴリの変化があった場合には、ステップＳ３０に移る。

ステップＳ２０：セキュリティ診断手段１７０は、カテゴリ変化がなかった場合に、正常動作と判定し、処理を終了する。

ステップＳ３０：セキュリティ診断手段１７０は、診断結果データベース１８０から過去の診断結果情報２０を読み出してカテゴリ変更回数Ｆを算出する。算出したカテゴリ変更回数Ｆを診断結果データベース１８０へ記録してステップＳ４０へ移る。

ステップＳ４０：セキュリティ診断手段１７０は、カテゴリが変更された時間Ｔを診断結果データベース１８０に記録し、ステップＳ５０へ移る。

ステップＳ５０：セキュリティ診断手段１７０は、ステップＳ３０で算出したカテゴリ変更回数と操作信号分類結果データベース１６１に保存されたカテゴリ間距離Ｄの積が規定値以上になっているかのチェックをする。カテゴリ間距離Ｄは、例えば、式（１３）に示す式で求める。Ａｉ、Ｂiはカテゴリ変更前と変更後の信号値である。

チェックの結果が規定値α以上、つまり、式（１４）を満たすならば、ステップＳ６０に移り異常動作判定処理を行い、規定値未満ならば、ステップＳ７０に移る。

ステップＳ６０：セキュリティ診断手段１７０は、遠隔プラント制御装置３１０が異常状態となっておりプラント２００が故障する可能性あると判定し、外部インターフェイス１２０を経由して警告を画像表示装置４４０に警告を表示し、処理を終了する。

ステップＳ７０：セキュリティ診断手段１７０は、診断結果データベース１８０から前回のカテゴリ変更時間を読み出し、今回のカテゴリ変更時間との差分時間Ｓを計算し、ステップＳ８０に移る。

ステップＳ８０：セキュリティ診断手段１７０は、ステップＳ７０で計算した差分時間Ｓの逆数と操作信号分類結果データベース１６１に保存されたカテゴリ間距離の積Ｐが規定値β以上ならば、つまり、式（１５）を満たすならば、ステップＳ９０に移り異常動作判定処理を行い、規定値β未満ならば、ステップＳ１００に移る。

ステップＳ９０：セキュリティ診断手段１７０は、プラント２００が異常動作している可能性あると判定し、外部インターフェイス１２０を経由して警告を画像表示装置４４０に警告を表示し、処理を終了する。

ステップＳ１００：セキュリティ診断手段１７０は、正常動作と判定し、処理を終了する。

図４に一連の処理フローを示す本発明のセキュリティ診断手段では、ステップＳ５０にてカテゴリ変更回数と操作信号分類結果データベース１６１に保存されたカテゴリ間距離情報から正常な動作範囲内でも操作信号の急激な変化を異常として検知できる効果が得られる。

また、ステップＳ８０にて差分時間と操作信号分類結果データベース１６１に保存されたカテゴリ間距離情報から正常な動作範囲内でも操作信号の短時間の信号変化の繰り返しを異常として検知できる効果が得られる。

図５は、操作信号分類結果データベース１６１に保存されているデータの様態を説明する図である。操作信号分類結果データベース１６１には、時刻と操作信号分類時のカテゴリ番号の関係と、カテゴリ変更前とカテゴリ変更後の距離係数を保存する。

図６は、診断結果データベース１８０に保存されているデータの様態を説明する図である。診断結果データベース１８０には、カテゴリ変更した回数と、カテゴリ変更が発生した時間を保存する。

操作信号分類結果データベース１６１に保存されている操作信号分類結果情報１３と、診断結果データベース１８０に保存されている診断結果情報２０を用いて、診断手段１８０では遠隔プラント制御サーバ３１０の状態を診断する。

図７は、画像表示装置４４０に表示する画面の実施例を説明する図である。画像表示装置には、操作信号値、操作信号と計測信号をカテゴリに分類した結果、診断結果、を表示する。本画面により、操作信号分類手段１５１、セキュリティ診断手段１７０の動作結果を確認できる。この画面によれば、操作信号の変化によりマルウェアに感染したことが表示されている。

本実施例の画像表示装置４４０には上述した画面の他にも、操作信号や計測信号のトレンドグラフや各種データベースの情報を表示し、運転員がプラント２００や遠隔プラント制御サーバの状態を把握できる。

図８は診断対象のプラント２００がガスタービンによる発電プラントである場合の構成を説明する図である。プラント２００は、ガスタービン発電機２２０、現場プラント制御装置２１０を含む。ガスタービン発電機２２０は、発電機２２１、圧縮機２２２、燃焼器２２３及びタービン２２４を含む。

発電に際しては、圧縮機２２２にて吸い込んだ空気を圧縮して圧縮空気とし、この圧縮空気を燃焼器２２３に送り、燃料と混合して燃焼する。燃焼により発生した高圧ガスを用いてタービン２２４を回転させ、発電機２２１により発電を行う。
現場プラント制御装置２１０においては、電力需要に応じてガスタービン発電機２２０の出力を制御する。また、現場プラント制御装置２１０は、ガスタービン発電機２２０に設置されたセンサ（図示せず）で計測した運転データ１８を入力データとしている。運転データ１８は、吸気温度、燃料投入量、タービンガス温度、タービン回転数、発電機発電量、タービン振動などの状態量であり、サンプリング周期毎に計測している。また、大気温度などの気象情報も計測している。

現場プラント制御装置２１０においては、これらの運転データ１９を用いて、ガスタービン発電機２２０を制御するための制御信号１８を算出する。また、現場プラント制御装置２１０では、運転データ１９の値が予め設定した範囲を逸脱した時に、警報を発生させる処理を実施している。警報信号は、運転データ１９が予め設定した範囲を逸脱した時に１、範囲内の時は０のデジタル信号として処理する。警報信号が１の時は、音や画面表示などで、警報の内容をオペレータに通知する。
現場プラント制御装置２１０において、計測した運転データ１９、及び現場プラント制御装置２１０で算出した制御信号１８、および警報信号を含む計測信号をプラントデータ収録装置３２０に送信する。

本実施例の操作信号ＤＢ１４０には、少なくともガスタービン発電機１１０の出力を制御するための燃料投入量、タービン回転数の指令値、が操作信号として保存される。
本実施例の計測信号ＤＢ１３０には、少なくとも吸気温度、燃料投入量、タービン排ガス温度、タービン回転数、発電機発電量、タービン軸振動などの状態量が計測信号として保存される。

本発明のセキュリティ診断装置を用いることで、発電プラントに送信する操作信号の値が正常な動作範囲であっても、操作信号の値が急激に変化する異常を検知できる。その結果、タービンの回転数を最小値と最大値の間の変更を一気に実施すことを繰り返すことによるタービンの故障を回避できる効果が得られる。

図９はプラント２００が蓄電プラントであるときの実施形態を示した図である。図９は診断対象のプラント２００が蓄電システムである場合の構成を説明する図である。プラント２００は、蓄電システム２２０、現場プラント制御装置２１０を含む。蓄電システム２２０は、蓄電池２２５、直流と交流を変換するＰＣＳ（Ｐｏｗｅｒ Ｃｏｎｄｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）２２６、変圧器２２７、遮断器２２８を含む。

放電に際しては、蓄電池２２５から直流電流をＰＣＳ２２６に流し、ＰＣＳ２２６において直流電流を交流電流に変換し、変圧器にて電力系統の電圧に昇圧し、遮断器にて電力系統に接続し、電力を供給する。また、充電に際しては、電力系統から受電した電力を変圧器２２７にてＰＣＳ２２６の定格電圧まで降圧し、ＰＣＳ２２６にて交流電流から直流電流に変換し、蓄電池２２５へ流し、蓄電池２２５にて蓄電する。

本実施例の操作信号ＤＢ１４０には、少なくとも蓄電池２２５が充放電する電力、ＰＣＳ２２６の運転制御信号などが操作信号として保存される。

本実施例の計測信号ＤＢ１３０には、少なくとも蓄電池２２５のＳＯＣ（Ｓｔａｔｅ Ｏｆ Ｃｈａｒｇｅ）、充電電力、放電電力、電圧、温度、充電電力量、放電電力量、ＰＣＳ２２６の運転状態などの状態量が計測信号として保存される。

本発明のセキュリティ診断装置を用いることで、蓄電プラントに送信する操作信号の値が正常な動作範囲であっても、操作信号の値が急激に変化する異常を検知できる効果が得られる。その結果、充電電力や放電電力が最小値と最大値の間の変更を一気に実施することを繰り返すことにより系統連系している電力系統へ周波数変動を発生させてしまうことを回避できる効果が得られる。

なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。

また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記録装置、または、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。

また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。
また、本発明は、セキュリティ診断装置として、火力発電プラント、原子力発電プラントや蓄電プラントなど、各種プラントに適用可能である。

１００…セキュリティ診断装置、１１０…外部入力インターフェイス、１２０…外部出力インターフェイス、１３０…計測信号データベース、１４０…操作信号データベース、１５１…操作信号分類手段、１５２…計測信号分類手段、１６１…操作信号分類結果データベース、１６２…計測信号分類結果データベース、１７０…セキュリティ診断手段、１８０…診断結果データベース、１…操作信号、３…計測信号、４…計測信号、５…外部入力信号、６…計測信号、７…操作信号、８…計測信号、９…操作信号、１０…操作信号分類結果情報、１１…計測信号分類結果情報、１２…操作信号分類結果情報、１３…操作信号分類結果情報、１４…計測信号分類結果情報、１５…計測信号分類結果情報、１６…診断結果情報、１７…画像表示情報、１８…操作信号、１９…計測信号、２０…診断結果情報、２１…診断結果情報

Claims (10)

1. 遠隔プラント制御サーバが送信した操作信号をカテゴリに分類する操作信号分類手段と、過去の診断結果を保存するデータベースと、プラントで計測された計測信号をカテゴリに分類する計測信号分類手段と、前記操作信号分類手段の分類結果及び前記計測信号分類手段の分類結果と過去の診断結果に基づいて遠隔プラント制御サーバの操作信号が異常であることを診断するセキュリティ診断手段と、を備えたことを特徴としたセキュリティ診断装置。
2. 請求項１に記載したセキュリティ診断装置において、
   前記セキュリティ診断手段は、第一期間の分類結果と第二期間の分類結果を比較することを特徴としたセキュリティ診断装置。
3. 請求項２に記載したセキュリティ診断装置において、
   前記セキュリティ診断手段は、前記操作信号のカテゴリの関係が前記第一期間と前記第二期間で同じ場合には遠隔プラント制御サーバの状態が正常であると判定し、
   前記操作信号のカテゴリの関係が前記第一期間と前記第二期間で相違があり、カテゴリ変化が規定値以上またはカテゴリ変更時間が規定値より短い場合、遠隔プラント制御サーバの状態が異常であると判断することを特徴としたセキュリティ診断装置。
4. 請求項１に記載したセキュリティ診断装置は、
   前記操作信号分類手段の分類結果を保存する操作信号分類データベースを備え、
   前記操作信号分類手段は、操作信号のカテゴリに分類した結果を前記操作信号分類データベースに送ることを特徴としたセキュリティ診断装置。
5. 請求項１乃至４の何れかに記載したセキュリティ診断装置において、
   前記遠隔プラント制御サーバには少なくともガスタービン発電機の出力を制御するための燃料投入量、及びタービン回転数の指令値が保存されており、
   外部出力インターフェイスを介して接続される画像表示装置に画面表示させる信号は発電プラントに送信する操作信号の値が正常な動作範囲であっても、操作信号の値が変化する異常を検知した結果であり、
   タービンの回転数を最小値と最大値の間の変更を繰り返すことによるタービンの故障を回避できる情報を画面表示させること
   を特徴としたセキュリティ診断装置。
6. 請求項１乃至４の何れかに記載したセキュリティ診断装置において、
   前記遠隔プラント制御サーバには少なくとも蓄電池システムの充電電力や放電電力を制御するための充放電指令値が保存されており、
   外部出力インターフェイスを介して接続される画像表示装置に画面表示させる信号は蓄電プラントに送信する操作信号の値が正常な動作範囲であっても、操作信号の値が変化する異常を検知した結果であり、
   充放電電力を最小値と最大値の間の変更を繰り返すことによる電力系統の周波数変動の発生を回避できる情報を画面表示させること
   を特徴としたセキュリティ診断装置。
7. 遠隔プラント制御サーバが送信した操作信号をカテゴリに分類するステップと、プラントで計測された計測信号をカテゴリに分類するステップと、操作信号を分類した分類結果及び前記の分類結果と過去の診断結果に基づいて遠隔プラント制御サーバの操作信号が異常であることを診断するセキュリティ診断ステップと、を備えたことを特徴としたセキュリティ診断方法。
8. 請求項７に記載したセキュリティ診断方法において、
   前記セキュリティ診断ステップは、第一期間の分類結果と第二期間の分類結果を比較するステップであることを特徴としたセキュリティ診断方法。
9. 請求項８に記載したセキュリティ診断方法において、
   前記セキュリティ診断ステップは、前記操作信号のカテゴリの関係が前記第一期間と前記第二期間で同じ場合には遠隔プラント制御サーバの状態が正常であると判定し、
   前記操作信号のカテゴリの関係が前記第一期間と前記第二期間で相違があり、カテゴリ変化が規定値以上またはカテゴリ変更時間が規定値より短い場合、遠隔プラント制御サーバの状態が異常であると判断することを特徴としたセキュリティ診断方法。
10. 請求項７に記載したセキュリティ診断方法において、
    前記操作信号をカテゴリに分類するステップで操作信号のカテゴリに分類した結果を保存することを特徴としたセキュリティ診断方法。

Images