JP7300874B2 - 通信制御装置、通信制御方法、および制御システム - Google Patents

Description

本開示は、制御システムのセキュリティの向上に関する。

石油、ガス、電力、製造などのインフラストラクチャを支える産業用制御システム（ＩＣＳ：Ｉｎｄｕｓｔｒｉａｌ Ｃｏｎｔｒｏｌ Ｓｙｓｔｅｍｓ）の制御装置（例えばＤＣＳ：Ｄｉｓｔｒｉｂｕｔｅｄ Ｃｏｎｔｒｏｌ Ｓｙｓｔｅｍ）は、制御ネットワークを介してプラントに設置された複数のフィールド機器に接続し、これらの制御や監視を行う（特許文献１～２参照）。例えば、制御装置は、プラントの操作および監視を行うためのＨＭＩ（Ｈｕｍａｎ Ｍａｃｈｉｎｅ Ｉｎｔｅｒｆａｃｅ）となる操作端末に通信ネットワーク（制御情報ネットワークなど）で接続され、このような操作端末から送信される命令に基づいて、各フィールド機器の制御や監視を実行する。

近年、このような産業用制御システムが外部ネットワークに接続されるようになってきており、サイバー攻撃に対するセキュリティ対策の重要性が増している。例えば、制御装置への指令（操作）が許可されている正規の操作端末がウイルス感染した場合や、不正なコンピュータによる正規の操作端末のなりすましが行われた場合に、制御装置に対して不正な制御指令がなされる可能性がある。このような不正な制御指令が制御装置に通信されるのをブロックする為にはまずは不正侵入を検知することが重要である。この不正侵入の検知は、ネットワークを流れる情報を監視する方法が一般的であり、例えば、制御装置宛てのパケットの構造（フォーマット）や値を評価することにより不正なパケット（不正侵入）を検知することが可能である。

特開２０１１－２２１８４６号公報 特開２０１２－２２６６８０号公報

しかしながら、制御装置宛てのパケットの構造や値を評価することにより不正なパケットかどうかを判定する手法では、パケットが正しい構造、および適正な範囲の値を有している場合には、悪意のある不正パケットを検知できない。

上述の事情に鑑みて、本発明の少なくとも一実施形態は、正規の操作端末の操作に基づいて行われる制御装置への通信を検知し、許可する通信制御装置を提供することを目的とする。

（１）本発明の少なくとも一実施形態に係る通信制御装置は、
制御装置の操作端末で実行された前記制御装置に対する指令の実行操作を記録した操作ログを取得するよう構成された操作ログ取得部と、
前記制御装置を宛先とする通信データである対象通信データが、前記操作ログに記録された前記実行操作に応じて前記操作端末から送信された正規の通信データであるか否かを判定するための特徴情報を前記操作ログから抽出するよう構成された特徴情報抽出部と、
前記対象通信データに対する前記特徴情報に基づく通信制御の実行を指示するよう構成された指示部と、を備える。

上記（１）の構成によれば、通信制御装置は、制御装置に対する指令（操作）が許可された正規の操作端末から取得した操作ログから、制御装置宛ての通信データ（対象通信データ）が正規の操作端末におけるオペレータの操作に基づいて送信された通信データであるか否かを判定するための特徴情報を抽出すると共に、その特徴情報に基づく通信制御の実行を通信制御実行部などに指示する。

これによって、制御装置宛ての対象通信データを受信した際に、上記の特徴情報を用いることで、対象通信データがオペレータの操作に基づいて送信されたものであるか否かの判定を可能にすることができる。したがって、オペレータの操作に基づいて行われた制御装置への通信（指令）を許可しつつ、上記の操作ログにないような、例えばウイルスに感染した正規の操作端末からのオペレータの操作に基づかずに行われた通信や、不正なコンピュータからの通信など、対象通信データの構造や値を評価することでは検知できない不正な通信（不正侵入）の検知を可能にすることができる。

（２）幾つかの実施形態では、上記（１）の構成において、
通信ネットワークから前記対象通信データを受信する受信部と、
受信された前記対象通信データが前記特徴情報に一致するか否かの判定を通して、前記対象通信データに対する前記通信制御を実行する通信制御実行部と、をさらに備える。
上記（２）の構成によれば、上述した指令部によって指示された特徴情報に基づいて、通信ネットワークから受信した対象通信データに対する通信制御を実行する。これによって、不正侵入の検知、および、その遮断を行うことができる。

（３）幾つかの実施形態では、上記（１）～（２）の構成において、
前記特徴情報は、前記実行操作された実行コマンドを含む。
上記（３）の構成によれば、特徴情報は、正規の操作端末においてオペレータにより実行された実行コマンドを含む。これによって、実行コマンドを含む特徴情報に基づいて、受信される対象通信データのうちからの、制御装置へ転送可能な対象通信データの判別を可能にすることができる。

（４）幾つかの実施形態では、上記（３）の構成において、
前記対象通信データを受信した受信時刻を生成するよう構成された受信時刻生成部を、さらに備え、
前記特徴情報は、前記実行コマンドが前記実行操作された操作時刻を、さらに含む。

上記（４）の構成によれば、特徴情報は、正規の操作端末においてオペレータの操作により実行された実行コマンドおよびその操作時刻（コマンドの操作時刻）を含む。これによって、実行コマンドおよびその操作時刻を含む特徴情報に基づいて、受信される対象通信データのうちからの、制御装置へ転送可能な対象通信データの判別をより適切にできるようにすることができる。

（５）幾つかの実施形態では、上記（４）の構成において、
前記操作端末の内部時刻と、前記受信時刻生成部が前記受信時刻の生成に用いる内部時刻とはＮＴＰプロトコルによって同期されている。

上記（５）の構成によれば、操作端末の内部時刻（システムクロック）と、通信制御装置の内部時刻（システムクロック）とがＮＴＰプロトコルにより同期される。これによって、操作時刻と受信時刻が一致するか否かの判定を精度良く行うことができる。

（６）幾つかの実施形態では、上記（１）～（５）の構成において、
前記特徴情報は、前記対象通信データの宛先ポート番号を含む。
上記（６）の構成によれば、特徴情報は、宛先ポート番号を含む。これによって、宛先ポート番号を含む特徴情報に基づいて、受信される対象通信データのうちからの、制御装置へ転送可能な対象通信データの判別を可能にすることができる。

（７）本発明の少なくとも一実施形態に係る通信制御方法は、
制御装置の操作端末で実行された前記制御装置に対する指令の実行操作を記録した操作ログを取得するよう構成された操作ログ取得ステップと、
前記制御装置を宛先とする通信データである対象通信データが、前記操作ログに記録された前記実行操作に応じて前記操作端末から送信された正規の通信データであるか否かを判定するための特徴情報を前記操作ログから抽出するよう構成された特徴情報抽出ステップと、
前記対象通信データに対する前記特徴情報に基づく通信制御の実行を指示するよう構成された指示ステップと、を備える。
上記（７）の構成によれば、上記（１）と同様の効果を奏する。

（８）本発明の少なくとも一実施形態に係る制御システムは、
上記（１）～（６）のいずれか１項に記載の通信制御装置と、
プラントの制御装置と、
前記制御装置に対する指令の実行操作に応じて、前記実行操作を記録した操作ログを生成し、前記通信制御装置に送信すると共に、前記指令を前記制御装置に送信する操作端末と、を備える。
上記（８）の構成によれば、上記（１）と同様の効果を奏する。

本発明の少なくとも一実施形態によれば、正規の操作端末の操作に基づいて行われる制御装置への通信を検知し、許可する通信制御装置が提供される。

本発明の一実施形態に係る通信制御装置を含む制御システムの構成を概略的に示す図である。 本発明の一実施形態に係る機能分散された通信制御装置の構成例を概略的に示す図である。 本発明の一実施形態に係る操作端末、通信制御装置および制御装置間のシーケンス図である。 本発明の一実施形態に係る通信制御方法を示す図である。

以下、添付図面を参照して本発明の幾つかの実施形態について説明する。ただし、実施形態として記載されている又は図面に示されている構成部品の寸法、材質、形状、その相対的配置等は、本発明の範囲をこれに限定する趣旨ではなく、単なる説明例にすぎない。
例えば、「ある方向に」、「ある方向に沿って」、「平行」、「直交」、「中心」、「同心」或いは「同軸」等の相対的或いは絶対的な配置を表す表現は、厳密にそのような配置を表すのみならず、公差、若しくは、同じ機能が得られる程度の角度や距離をもって相対的に変位している状態も表すものとする。
例えば、「同一」、「等しい」及び「均質」等の物事が等しい状態であることを表す表現は、厳密に等しい状態を表すのみならず、公差、若しくは、同じ機能が得られる程度の差が存在している状態も表すものとする。
例えば、四角形状や円筒形状等の形状を表す表現は、幾何学的に厳密な意味での四角形状や円筒形状等の形状を表すのみならず、同じ効果が得られる範囲で、凹凸部や面取り部等を含む形状も表すものとする。
一方、一の構成要素を「備える」、「具える」、「具備する」、「含む」、又は、「有する」という表現は、他の構成要素の存在を除外する排他的な表現ではない。

図１は、本発明の一実施形態に係る通信制御装置１を含む制御システム８の構成を概略的に示す図である。図２は、本発明の一実施形態に係る機能分散された通信制御装置１の構成例を概略的に示す図である。図３は、本発明の一実施形態に係る操作端末８２、通信制御装置１および制御装置８１間のシーケンス図である。

図１～図３に示すように、制御システム８は、例えばプラントに設置されたフィールド機器（不図示）などの機器を制御するよう構成された制御装置８１と、この制御装置８１に通信ネットワークＮを介して接続され、オペレータによる操作などに応じて制御装置８１に対する指令（通信）の実行が可能な操作端末８２と、上記の通信ネットワークＮを介してなされる制御装置８１への通信制御を実行する通信制御装置１と、を備える。

図１～図３に示す実施形態では、制御システム８は、電力、ガス、水道などの社会インフラや、発電プラント、化学プラントなどのプラントの監視および制御のための産業用制御システム（ＩＣＳ）である。この制御システム８において、上記の制御装置８１は、プラントの自動制御および現場との入出力処理を実行する例えばＤＣＳなどの装置である。また、上記の操作端末８２は、プラントの操作および監視を行うヒューマンマシンインタフェース（ＨＭＩ）となるオペレータステーション（ＯＰＳ）である。これらの制御装置８１および操作端末８２は、例えばイーサネット（登録商標）などで構築される通信ネットワークＮである制御情報ネットワークＮ１にそれぞれ接続されている。そして、制御装置８１は、オペレータの操作に従って操作端末８２から送信され、制御情報ネットワークＮ１を通って通信されるプラントに対する指令を受信すると、その指令内容に応じて、制御ネットワークＮ２側に接続されているフィールド機器８４の制御の実行といった指令の実行や、応答の返信の実行などを行うようになっている。

なお、図１～図３に示す実施形態では、操作端末８２は制御情報ネットワークＮ１に接続されているが、他の幾つかの実施形態では、操作端末８２は、制御情報ネットワークＮ１に接続された、不図示の企業内ＬＡＮやインターネット（外部ネットワーク）などの他の通信ネットワークＮに接続されていても良い。この制御情報ネットワークＮ１は、プラントの制御や監視、管理を行うための上述した操作端末８２などの各種のコンピュータ装置と制御装置８１とを接続するネットワーク（ＩＰネットワークなど）であり、ファイアウォール（不図示）を介して、他の通信ネットワークに接続されている。

そして、上記の通信制御装置１は、上述したような制御装置８１および操作端末８２と通信可能に通信ネットワークＮに接続された状態で、制御装置８１への通信制御を実行するように構成される。
以下、この通信制御装置１について、図１～図３を用いて詳細に説明する。

図１に示すように、通信制御装置１は、操作ログ取得部２と、特徴情報抽出部３と、指示部４と、を備える。図１～図３に示す実施形態では、通信制御装置１は、通信ネットワークＮから通信データを受信する受信部２２と、制御装置８１を宛先とする通信の通信制御を実行する通信制御実行部５と、をさらに備える。通信制御装置１が備える上記の機能部について、それぞれ説明する。

なお、通信制御装置１は、例えばコンピュータで構成されており、図示しないＣＰＵ（プロセッサ）や、ＲＯＭやＲＡＭといったメモリなどの記憶装置ｍを備えている。そして、主記憶装置にロードされたプログラム（通信制御プログラム）の命令に従ってＣＰＵが動作（データの演算など）することで、通信制御装置１が備える後述するような各機能部を実現する。また、以下の説明で用いる通信データは、制御装置に対して指令を行うために必要な情報（アプリケーション層のデータ。以下、通信情報）を運ぶ例えばＩＰパケットなどのＯＳＩの第３層のデータであるものとして説明するが、通信情報を意味しても良いし、ＩＰパケットを運ぶ第２層のイーサネット（登録商標）フレームなどを意味しても良い。

操作ログ取得部２は、制御装置８１の操作端末８２において実行された制御装置８１に対する指令の実行操作を記録した操作ログＨを取得するよう構成された機能部である。より詳細には、操作ログ取得部２は、上記の受信部２２および通信ネットワークＮ（図１～図３では制御情報ネットワークＮ１）を介して操作端末８２と通信することにより、操作ログＨを取得する。例えば、幾つかの実施形態では、操作端末８２は、オペレータの操作に基づいて制御装置８１への指令の通信を行う際に、操作ログＨを通信制御装置１に対して送信することにより、操作ログ取得部２は操作ログＨを取得しても良い（図３参照）。この場合、操作端末８２は、通信制御装置１に代えて、通信ネットワークＮに接続された他の装置（不図示）に対して操作の実行内容を送信すると共に、通信制御装置１はこの他の装置に蓄積された操作ログＨを取得しても良い。他の幾つかの実施形態では、操作ログ取得部２から操作端末８２に対して操作ログＨの送信を要求することにより、操作ログ取得部２が操作ログＨを取得するように構成されていても良い。

また、上記の操作ログＨは、オペレータが、操作端末８２のディスプレイ上の表示（表示画面）を見ながら、操作端末８２の入出力装置（マウス、キーボード、タッチパネル、操作ボタンなど）を操作（実行操作）することにより制御装置８１に対して実行された指令内容の記録である。この操作ログＨは、操作端末８２から制御装置８１に送信される通信情報（前述）と同じ情報を含んでいても良いし、その通信情報に含まれる情報のうちの少なくとも一部（後述する実行コマンドＣなど）を含んでも良い。後述する操作時刻Ｔｅを含んでも良い。通信を実行するのに用いた送信元や宛先に関するポート番号およびアドレスなどの通信制御情報（パケットのヘッダ部の情報）を含んでも良い。

すなわち、操作端末８２においては、そのＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）上で、プラントの操作および監視を行うアプリケーションが動作している。そして、このアプリケーションは、オペレータによる入出力装置の操作を通して制御装置８１に対する指令の実行の入力（実行操作）を受けると、その指令内容に対応する操作ログＨを生成すると共に、制御装置８１への上記の指令の通信を実行するのに必要なアドレス、ポート番号などの情報を記憶装置ｍから取得しつつ、ＯＳの機能（ＡＰＩなど）を用いて指令の通信を実行するようになっている。つまり、上記の実行操作は、指令を選択あるいは入力した後、実行ボタンのクリック操作あるいはエンターキーの押下などであっても良く、この実行操作に応じて、操作ログＨが生成、および制御装置８１に対する通信が開始されても良い。なお、操作端末８２は生成した操作ログＨを蓄積した操作履歴を管理しても良い。

ただし、本実施形態に本発明は限定されない。他の幾つかの実施形態では、通信制御装置１と操作端末８２とは、両者を接続する通信ネットワークＮ（Ｎ１）とは異なるネットワーク、あるいは、両者を直接接続する通信線を介して通信することにより、操作ログ取得部２は操作端末８２から操作ログＨを取得しても良い。

特徴情報抽出部３は、上述した操作ログＨから特徴情報Ｆを抽出するよう構成された機能部である。この特徴情報Ｆは、通信ネットワークＮなどから受信される、制御装置８１を宛先とする通信データ（以下、対象通信データＤｃ）が、操作ログＨに記録された実行操作に応じて操作端末８２から送信された正規の通信データであるか否かを判定するための情報である。より具体的には、特徴情報Ｆは１以上の個別情報を含んでおり、全ての個別情報に一致する情報が含まれる対象通信データＤｃを、正規の通信データと判定するのに用いられる。なお、個別情報は、後述するような実行コマンドＣや操作時刻（実行時刻）を含んでいても良いし、ポート番号であっても良い。

図２～図３に示す実施形態では、操作ログＨは、規定のフォーマットに従って生成されており、特徴情報抽出部３は、このフォーマットの情報に基づいて、操作ログＨから特徴情報Ｆの抽出を行うようになっている。

指示部４は、上記の通信ネットワークＮから受信される対象通信データＤｃに対する特徴情報Ｆに基づく通信制御の実行を指示するよう構成された機能部である。図１～図３に示す実施形態では、図１に示すように、指示部４は、通信制御実行部５に接続されており、通信制御実行部５に対して上記の指示を送信（実行）する。この通信制御実行部５は、上述した受信部２２に接続されており、受信部２２が通信ネットワークＮから受信した対象通信データＤｃが入力されるようになっている。そして、通信制御実行部５は、その対象通信データＤｃが特徴情報Ｆに一致するか否かの判定を実行すると共に、一致すると判定した対象通信データＤｃを制御装置８１に転送し、一致しないと判定した対象通信データＤｃを制御装置８１に転送せずに、例えば破棄などする。

また、上述した構成を備える通信制御装置１は、幾つかの実施形態では、全ての機能部が１つの筐体に収められているなど、１つの装置で実現されていても良い。他の幾つかの実施形態では、図２～図３に示すように、複数の筐体（装置）に機能分散されていても良い。また、少なくとも通信制御実行部５は、制御装置８１と同じ筐体内に設けられるなど、通信制御装置１の機能部の一部または全部が、制御装置８１の内部に設けられても良い。

図２～図３に示す実施形態では、通信制御装置１は、上述した操作ログ取得部２と、特徴情報抽出部３と、指示部４と、を備える仲介装置１１と、上述した通信制御実行部５を備えるファイアウォール１２とに機能分散されている。また、仲介装置１１は操作ログＨを通信するための受信部２２を備え、ファイアウォール１２は対象通信データＤｃを受信するための受信部２２を備えており、それぞれが自身の受信部２２を介して、制御情報ネットワークＮ１に接続されている。また、制御装置８１は、ファイアウォール１２を介して制御情報ネットワークＮ１に接続されている。そして、仲介装置１１からファイアウォール１２に対して、上記の指示としての特徴情報Ｆの通信が制御情報ネットワークＮ１を介してなされるようになっている。

より詳細には、図２～図３に示す実施形態では、図３に示すような処理を経て、対象通信データＤｃに対する通信制御がなされるようになっている。すなわち、図３のステップＳ３０において、操作端末８２において、オペレータの操作によって制御装置８１に対する指令が実行されると、まずは、ステップＳ３１において、その操作ログＨが仲介装置１１に送信される。そして、ステップＳ３２において、仲介装置１１が上記の操作ログＨを受信すると、ステップＳ３３において操作ログＨから特徴情報Ｆを抽出し、ファイアウォール１２に送信する。ステップＳ３４において、ファイアウォール１２が特徴情報Ｆを受信すると、ステップＳ３５において、通信制御実行部５に対して、特徴情報Ｆに一致する制御装置宛ての通信データの通過を許可し、特徴情報Ｆに一致しない制御装置宛ての通信データの通過を許可しない設定を行う。

一方、操作端末８２は、ステップＳ３１の実行後、規定期間の経過後に、ステップＳ３６を実行し、上述したオペレータによる実行操作された指令を、制御装置８１を宛先とする例えばＩＰパケットなどのパケット（つまり、対象通信データＤｃ。以下同様。）に載せて制御情報ネットワークＮ１に送信する。ステップＳ３７において、ファイアウォール１２がこのパケットを受信すると、ステップＳ３８において、受信したパケットと特徴情報Ｆとを比較する。そして、ファイアウォール１２は、このパケットが特徴情報Ｆに一致すると判定した場合には、ステップＳ３９において制御装置８１に転送する。ステップＳ３１０において、このパケットを制御装置８１が受信すると、ステップＳ３１１において制御装置８１はパケットから指令を取得し、実行する。逆に、ステップＳ３８において、ファイアウォール１２が、受信したパケットが特徴情報Ｆに一致しないと判定し場合には、ステップＳ３１２において、このパケットを廃棄するようになっている。

なお、ステップＳ３９において、ファイアウォール１２がパケットを制御装置８１に転送した後、上記の特徴情報Ｆを削除などして無効化している。これによって、その後に受信した、この特徴情報Ｆに一致する別のパケットが、制御装置８１へ転送されるのを防止することができる。同様に、設定された特徴情報Ｆは、所定の時間を経過した過後に、削除されても良い。

このように通信制御装置１を構成することで、制御装置８１への不正な指令（通信）をブロックすることが可能となる。例えば、仮に、図２に示すように、制御装置８１の指令（通信）が許可されていない例えばノートＰＣなどの不正端末９が、制御装置８１に通信可能な通信ネットワークＮに接続されており、制御装置８１に対して指令を送信したとする。この場合、通信制御装置１（通信制御実行部５）は、この不正端末９から送信された対象通信データＤｃを受信したとしても、不正端末９から操作ログＨを取得しないために、これの通過を許可する特徴情報Ｆを有していないので、この対象通信データＤｃの制御装置８１への通過を許可することはない。

また、仮に、正規の操作端末８２がウイルスに感染し、ウイルスによってオペレータの操作なしに、制御装置８１へ指令を実行したとしても、オペレータの操作に応じたものではないため、この指令の実行に関する操作ログＨがない。よって、通信制御装置１が操作ログＨを取得したとしても、このウイルス感染の操作端末８２から送信された対象通信データＤｃはその操作ログＨから生成された特徴情報Ｆに一致しないので、通信制御装置１（通信制御実行部５）は、その通過を許可することはない。

ただし、本実施形態に本発明は限定されない。他の幾つかの実施形態では、通信制御装置１は、複数の装置（筐体）に機能分散されていなくても良い。また、制御装置８１は、通信ネットワークＮ（Ｎ１）に直接接続されていても良い。この場合、操作端末８２は、通信データを、通信ネットワークＮ（Ｎ１）を介して通信制御装置１（ファイアウォール１２）に送信する。また、制御装置８１は、通信制御装置１宛ての通信データを制御装置８１宛てとして、処理する。すなわち、この場合の通信制御装置１（ファイアウォール１２）宛ての通信データは、上述した対象通信データＤｃであり、通信制御装置１は、許可した対象通信データＤｃを、通信ネットワークＮ（Ｎ１）を介して制御装置８１に転送する。

上記の構成によれば、通信制御装置１は、制御装置８１に対する指令（操作）が許可された正規の操作端末８２から取得した操作ログＨから、制御装置８１宛ての通信データ（対象通信データＤｃ）が正規の操作端末８２におけるオペレータの操作に基づいて送信された通信データであるか否かを判定するための特徴情報Ｆを抽出すると共に、その特徴情報Ｆに基づく通信制御の実行を通信制御実行部５などに指示する。

これによって、制御装置８１宛ての対象通信データＤｃを受信した際に、上記の特徴情報Ｆを用いることで、対象通信データＤｃがオペレータの操作に基づいて送信されたものであるか否かの判定を可能にすることができる。したがって、オペレータの操作に基づいて行われた制御装置８１への通信（指令）を許可しつつ、上記の操作ログＨにないような、例えばウイルスに感染した正規の操作端末８２からのオペレータの操作に基づかずに行われた通信や、不正なコンピュータからの通信など、対象通信データＤｃの構造や値を評価することでは検知できない不正な通信（不正侵入）の検知を可能にすることができる。

次に、上述した特徴情報Ｆについて、より詳細に説明する。
幾つかの実施形態では、特徴情報Ｆは、制御装置８１に対して実行（実行操作）された実行コマンドＣを含んでも良い。つまり、操作ログＨには、そのフォーマットに従った位置に格納された実行コマンドＣが含まれており、特徴情報抽出部３は、特徴情報Ｆとして、操作ログＨから実行コマンドＣを抽出する。これによって、通信制御実行部５は、特徴情報Ｆに基づいて通信制御を実行することにより、正規の操作端末８２においてオペレータの操作により実行された（実行操作された）実行コマンドＣと同一のコマンドを含む対象通信データＤｃの通過を許可するようになる。

上記の構成によれば、特徴情報Ｆは、正規の操作端末８２においてオペレータにより実行された実行コマンドＣを含む。これによって、実行コマンドＣを含む特徴情報Ｆに基づいて、受信される対象通信データＤｃのうちからの、制御装置８１へ転送可能な対象通信データＤｃの判別を可能にすることができる。

また、幾つかの実施形態では、図１に示すように、通信制御装置１は、対象通信データＤｃを受信した受信時刻Ｔｒを生成するよう構成された受信時刻生成部６を、さらに備えても良い。そして、上述した特徴情報Ｆ、操作端末８２において実行コマンドＣの実行が操作（実行操作）された操作時刻Ｔｅを、さらに含んでも良い。つまり、操作ログＨには、そのフォーマットに従った位置に格納された実行コマンドＣおよび操作時刻Ｔｅが含まれており、特徴情報抽出部３は、特徴情報Ｆとして、操作ログＨから実行コマンドＣおよび操作時刻Ｔｅを抽出する。

この場合、通信制御実行部５は、受信時刻生成部６によって生成された受信時刻Ｔｒと、特徴情報Ｆの操作時刻Ｔｅとが規定期間内にあり、かつ、特徴情報Ｆの実行コマンドＣと同一のコマンドの情報を有する対象通信データＤｃを制御装置８１へ転送する。操作端末８２において制御装置８１に対する指令が実行された後、その指令を制御装置８１に伝えるための対象通信データＤｃが通信制御装置１によって受信されるまでには、処理時間、伝送遅延などによる遅れがある。よって、上記の規定期間は、これらの遅れの時間を考慮して定める。

この際、幾つかの実施形態では、操作端末８２の有する内部時刻と、上述した受信時刻生成部６が受信時刻Ｔｒの生成に用いる内部時刻とはＮＴＰ（Ｎｅｔｗｏｒｋ Ｔｉｍｅ Ｐｒｏｔｏｃｏｌ）プロトコルによって同期されていても良い。すなわち、操作端末８２および通信制御装置１は、ＮＴＰクライアントである。この際、ＮＴＰサーバは、制御情報ネットワークＮ１に接続されていても良いし、それ以外の他のネットワークに接続されていても良い。このように、操作端末８２の内部時刻（システムクロック）と、通信制御装置１の内部時刻（システムクロック）とがＮＴＰプロトコルにより同期されることによって、操作時刻Ｔｅと受信時刻Ｔｒが一致するか否かの判定を精度良く行うことができる。

上記の構成によれば、特徴情報Ｆは、正規の操作端末８２におけるオペレータの操作により実行された実行コマンドＣおよびその操作時刻Ｔｅを含む。これによって、実行コマンドＣおよびその操作時刻Ｔｅを含む特徴情報Ｆに基づいて、受信される対象通信データＤｃのうちからの、制御装置８１へ転送可能な対象通信データＤｃの判別をより適切にできるようにすることができる。

また、幾つかの実施形態では、特徴情報Ｆは、対象通信データＤｃの宛先ポート番号を含んでも良い。つまり、操作ログＨには、そのフォーマットに従った位置に格納された宛先ポート番号が含まれており、特徴情報抽出部３は、特徴情報Ｆとして、操作ログＨから宛先ポート番号を抽出する。これによって、通信制御実行部５は、受信された対象通信データＤｃの宛先ポート番号が特徴情報Ｆに含まれるポート番号に一致するかを判定の上、通信制御を実行するようになる。

例えば、通信制御実行部５は、特徴情報Ｆに含まれる宛先ポート番号の受信を待機するようにすることで、特徴情報Ｆの宛先ポート番号に一致する宛先ポート番号を有する対象通信データＤｃ以外は処理しないようにしても良い。そして、特徴情報Ｆの宛先ポート番号に一致する宛先ポート番号を有する対象通信データＤｃを受信した場合には、特徴情報Ｆに他の個別情報が含まれている場合いは、その一致判定を実行しても良い。

上記の構成によれば、特徴情報Ｆは、宛先ポート番号を含む。これによって、宛先ポート番号を含む特徴情報Ｆに基づいて、受信される対象通信データＤｃのうちからの、制御装置８１へ転送可能な対象通信データＤｃの判別を可能にすることができる。

以下、上述した通信制御装置１が実行する処理に対応する通信制御方法について、図４を用いて説明する。図４は、本発明の一実施形態に係る通信制御方法を示す図である。

通信制御方法は、上述したような制御装置８１への通信を制御する方法である。図４に示すように、通信制御方法は、操作ログ取得ステップと、特徴情報抽出ステップと、指示ステップと、を備える。図４に示す実施形態では、通信制御方法は、通信制御実行ステップを、さらに備える。
これらのステップについて、図４のステップ順に説明する。

図４のステップＳ１において、操作ログ取得ステップを実行する。操作ログ取得ステップ（Ｓ１）は、上述した操作ログＨを取得するステップである。この操作ログ取得ステップ（Ｓ１）は、既に説明した操作ログ取得部２が実行する処理内容と同様であるため、詳細は省略する。

図４のステップＳ２において、特徴情報抽出ステップを実行する。特徴情報抽出ステップ（Ｓ２）は、上述した特徴情報Ｆを操作ログＨから抽出するステップである。この特徴情報抽出ステップ（Ｓ２）は、既に説明した特徴情報抽出部３が実行する処理内容と同様であるため、詳細は省略する。

図４のステップＳ３において、指示ステップを実行する。指示ステップ（Ｓ３）は、上記の通信ネットワークＮから受信される上述した対象通信データＤｃの特徴情報Ｆに基づく通信制御の実行を指示するステップである。より具体的には、特徴情報Ｆを、ファイアウォール１２に設定する。この指示ステップ（Ｓ３）は、既に説明した指示部４が実行する処理内容と同様であるため、詳細は省略する。

図４のステップＳ４において、通信制御実行ステップを実行する。通信制御実行ステップ（Ｓ４）は、上記の通信ネットワークＮから受信された対象通信データＤｃが特徴情報Ｆに一致するか否かの判定を通して、対象通信データＤｃに対する通信制御を実行するステップである。より具体的には、ファイアウォール１２に対象通信データＤｃのフィルタリングを実行させる。この通信制御実行ステップ（Ｓ４）は、既に説明した通信制御実行部５が実行する処理内容と同様であるため、詳細は省略する。

本発明は上述した実施形態に限定されることはなく、上述した実施形態に変形を加えた形態や、これらの形態を適宜組み合わせた形態も含む。

１ 通信制御装置
１１ 仲介装置
１２ ファイアウォール
２ 操作ログ取得部
２２ 受信部
３ 特徴情報抽出部
４ 指示部
５ 通信制御実行部
６ 受信時刻生成部
８ 制御システム
８１ 制御装置
８２ 操作端末
８４ フィールド機器
９ 不正端末

Ｎ 通信ネットワーク
Ｎ１ 制御情報ネットワーク
Ｎ２ 制御ネットワーク
Ｈ 操作ログ
Ｆ 特徴情報
Ｄｃ 対象通信データ
Ｃ 実行コマンド
Ｔｅ 操作時刻
Ｔｒ 受信時刻
ｍ 記憶装置

Claims (7)

1. 制御装置の操作端末で実行された前記制御装置に対する指令の実行操作を記録した操作ログを取得するよう構成された操作ログ取得部と、
   前記制御装置を宛先とする通信データである対象通信データが、前記操作ログに記録された前記実行操作に応じて前記操作端末から送信された正規の通信データであるか否かを判定するための特徴情報を前記操作ログから抽出するよう構成された特徴情報抽出部と、
   前記対象通信データに対する前記特徴情報に基づく通信制御の実行を指示するよう構成された指示部と、を備え、
   前記操作端末のＯＳ上で動作するアプリケーションが、
   前記操作端末の入出力装置を介したオペレータの操作を検出し、前記操作に対応する前記操作ログを生成するとともに、
   前記オペレータの前記操作を通じて前記指令を含む前記対象通信データを前記操作端末から前記制御装置に送る通信を行うとともに、
   通信ネットワークを介して前記操作端末から前記操作ログおよび前記対象通信データを受信する受信部と、
   受信された前記対象通信データが前記特徴情報に一致するか否かの判定を通して、前記対象通信データに対する前記通信制御を実行する通信制御実行部と、
   をさらに備える
   ことを特徴とする通信制御装置。
2. 前記特徴情報は、前記実行操作された実行コマンドを含むことを特徴とする請求項１に記載の通信制御装置。
3. 前記対象通信データを受信した受信時刻を生成するよう構成された受信時刻生成部を、さらに備え、
   前記特徴情報は、前記実行コマンドが前記実行操作された操作時刻を、さらに含むことを特徴とする請求項２に記載の通信制御装置。
4. 前記操作端末の内部時刻と、前記受信時刻生成部が前記受信時刻の生成に用いる内部時刻とはＮＴＰプロトコルによって同期されていることを特徴とする請求項３に記載の通信制御装置。
5. 前記特徴情報は、前記対象通信データの宛先ポート番号を含むことを特徴とする請求項１～４のいずれか１項に記載の通信制御装置。
6. 制御装置の操作端末で実行された前記制御装置に対する指令の実行操作を記録した操作ログを取得するよう構成された操作ログ取得ステップと、
   前記制御装置を宛先とする通信データである対象通信データが、前記操作ログに記録された前記実行操作に応じて前記操作端末から送信された正規の通信データであるか否かを判定するための特徴情報を前記操作ログから抽出するよう構成された特徴情報抽出ステップと、
   前記対象通信データに対する前記特徴情報に基づく通信制御の実行を指示するよう構成された指示ステップと、を備え、
   前記操作端末のＯＳ上で動作するアプリケーションが、
   前記操作端末の入出力装置を介したオペレータの操作を検出し、前記操作に対応する前記操作ログを生成するとともに、
   前記オペレータの前記操作を通じて前記指令を含む前記対象通信データを前記操作端末から前記制御装置に送る通信を行うとともに、
   通信ネットワークを介して前記操作端末から前記操作ログおよび前記対象通信データを受信する受信ステップと、
   受信された前記対象通信データが前記特徴情報に一致するか否かの判定を通して、前記対象通信データに対する前記通信制御を実行する通信制御実行ステップと、
   をさらに備える
   ことを特徴とする通信制御方法。
7. 請求項１～５のいずれか１項に記載の通信制御装置と、
   プラントの制御装置と、
   前記制御装置に対する指令の実行操作に応じて、前記実行操作を記録した操作ログを生成し、前記通信制御装置に送信すると共に、前記指令を前記制御装置に送信する操作端末と、を備えることを特徴とする制御システム。

Images