エネルギー管理装置および電力管理システム
【課題】本来の電力制御の処理に影響を与えずにネットワークからの不正アクセスを防止する。
【解決手段】電力管理用を含む少なくとも一つ以上のアプリケーションが記憶されたアプリケーション記憶部３６と、アプリケーション実行部３１と、複数のネットワークインタフェース部３８〜４１と、個々のアプリケーションごとに、ネットワークインタフェース部３８〜４１の夫々に対するアクセスを許可するか否かを設定するポリシー設定部３４と、アプリケーションの識別情報と、ネットワークインタフェース部３８〜４１の夫々に対するアクセスを許可するか否かを示すアクセス可否情報とを記憶するポリシー記憶部３３と、ネットワークインタフェース部３８〜４１を特定するＩ／Ｆ管理部３７と、ポリシー記憶部３３に記憶されたアクセス可否情報に基づいて判断するアクセス制御部３２と、を備える。
【解決手段】電力管理用を含む少なくとも一つ以上のアプリケーションが記憶されたアプリケーション記憶部３６と、アプリケーション実行部３１と、複数のネットワークインタフェース部３８〜４１と、個々のアプリケーションごとに、ネットワークインタフェース部３８〜４１の夫々に対するアクセスを許可するか否かを設定するポリシー設定部３４と、アプリケーションの識別情報と、ネットワークインタフェース部３８〜４１の夫々に対するアクセスを許可するか否かを示すアクセス可否情報とを記憶するポリシー記憶部３３と、ネットワークインタフェース部３８〜４１を特定するＩ／Ｆ管理部３７と、ポリシー記憶部３３に記憶されたアクセス可否情報に基づいて判断するアクセス制御部３２と、を備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明の実施形態は、電力系統から供給される電力と、宅内で消費あるいは発生する電力とを管理するエネルギー管理装置および電力管理システムに関する。
【背景技術】
【０００２】
原子力や火力などの枯渇性エネルギーと太陽光や風力などの再生可能エネルギーとを併用して電力品質の安定化を図るために、次世代電力網(スマートグリッド)を構築する計画が進められている。
【０００３】
次世代電力網では、メンテナンスや電力需要の予測処理のために、EMS（Energy Management System）などの系統機器がインターネットに接続されることになる。ところが、インターネットは、コンピュータウイルスや情報漏洩、不正アクセスなどの脅威に晒されており、EMS等の系統機器をインターネットに接続すると、情報セキュリティ上の問題が生じるおそれがある。
【０００４】
例えば、従来の不正アクセス対策技術としては、ネットワークやEMS上に侵入検知システム(Intrusion Detection System: IDS)を設置したり、脆弱性(セキュリティ上の欠陥)に対処するためのパッチを定期的に適用するといった手法が一般的である。しかしながら、系統機器、特にEMSの場合、Webサーバなどの従来のサーバ機器とは異なり、系統ネットワークを介してRTU（Remote Terminal Unit）などの機器から発電量などの情報を収集し、等時間間隔で定期的に発電命令などの信号を伝送する必要があり、レイテンシの制約が生じることが考えられる。このため、不正アクセスの検出のような処理負荷の高い煩雑な処理を系統機器で実行するのは現実的ではない。系統機器ではインターネットからの不正アクセスを防止しつつ本来の電力制御の処理に影響を与えない不正アクセス防止機能を備えていることが望ましい。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特許第４４０６３４６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
本発明の一実施形態は、本来の電力制御の処理に影響を与えずにネットワークからの不正アクセスを防止可能なエネルギー管理装置および電力管理システムを提供することにある。
【課題を解決するための手段】
【０００７】
本実施形態に係るエネルギー管理装置は、電力管理用のアプリケーションを含む少なくとも一つ以上のアプリケーションが記憶されたアプリケーション記憶部と、アプリケーション記憶部に記憶されたアプリケーションを実行するアプリケーション実行部と、複数のネットワークのそれぞれに対応して設けられる複数のネットワークインタフェース部と、個々のアプリケーションごとに、複数のネットワークインタフェース部のそれぞれに対するアクセスを許可するか否かを設定するポリシー設定部と、ポリシー設定部が設定する個々のアプリケーションごとに、アプリケーションの識別情報と、複数のネットワークインタフェース部のそれぞれに対するアクセスを許可するか否かを示すアクセス可否情報とを記憶するポリシー記憶部と、ネットワークアドレスと、複数のネットワークインタフェース部のそれぞれとの対応関係を管理し、アプリケーション実行部が実行するアプリケーションが利用するネットワークインタフェース部を特定するＩ／Ｆ管理部と、アプリケーション実行部が実行するアプリケーションが利用するネットワークインタフェース部に対するアクセスが許可されているか否かをポリシー記憶部に記憶されたアクセス可否情報に基づいて判断するアクセス制御部と、を備える。
【０００８】
また、本発明の一実施形態は、電力管理用のアプリケーションを含む少なくとも一つ以上のアプリケーションが記憶されたアプリケーション記憶部と、アプリケーション記憶部に記憶されたアプリケーションを実行するアプリケーション実行部と、公衆ネットワークおよび専用ネットワークを含む複数のネットワークのそれぞれに対応して設けられる複数のネットワークインタフェース部と、個々のアプリケーションごとに、複数のネットワークインタフェース部のそれぞれに対するアクセスを許可するか否かを設定するポリシー設定部と、ポリシー設定部が設定する個々のアプリケーションごとに、アプリケーションの識別情報と、複数のネットワークインタフェース部のそれぞれに対するアクセスを許可するか否かを示すアクセス可否情報とを記憶するポリシー記憶部と、アプリケーション実行部が実行するアプリケーションが利用するネットワークインタフェース部に対するアクセスが許可されているか否かをポリシー記憶部に記憶されたアクセス可否情報に基づいて判断するアクセス制御部と、アプリケーション実行部が現在実行中のアプリケーションについての識別情報と複数のネットワークインタフェース部に対するアクセス可否情報とを登録した管理テーブルを作成して、現在実行中のアプリケーションを管理するアプリケーション実行管理部と、を備え、アプリケーション実行管理部は、アプリケーション実行部が実行するアプリケーションが専用ネットワークに対するアクセスを許可されているか否かを前記ポリシー記憶部に記憶されたアクセス可否情報に基づいて判定し、許可されていれば、管理テーブル中の該アプリケーションのアクセス可否情報を許可モードに設定し、許可されていなければ禁止モードに設定する開始時モード設定部と、アプリケーションの終了時に、該アプリケーションが専用ネットワークに対するアクセスが禁止されているか否かをポリシー記憶部に記憶されたアクセス可否情報に基づいて判定し、禁止されていなければ、そのまま終了し、禁止されていれば、他のアプリケーションが前記管理テーブルに登録されているか否かを検出し、登録されていれば実行中のすべてのアプリケーションについて専用ネットワークに対するアクセスを禁止する前記禁止モードに設定し、登録されていなければ実行中のすべてのアプリケーションについて前記専用ネットワークに対するアクセスを許可する許可モードに設定する終了時モード設定部と、終了時モード設定部でモード設定を行なった後に、終了したアプリケーションに関する登録情報を管理テーブルから削除する登録削除部と、を有する。
【図面の簡単な説明】
【０００９】
【図１】第１の実施形態に係る電力管理システムの概略構成を示すブロック図。
【図２】EMSのネットワーク構成を示す第１の実施形態のブロック図。
【図３】EMSの他のネットワーク構成を示す第１の実施形態のブロック図
【図４】第１の実施形態によるEMSの概略構成を示すブロック図。
【図５】ポリシー記憶部に登録される情報のデータ構成の一例を示す図。
【図６】ポリシー設定部アプリケーションをポリシー記憶部に登録手順例を示す図。
【図７】アプリケーションパッケージのファイル構成例を示す図。
【図８】アプリ実行部とアクセス制御部の処理手順例を示す図。
【図９】I/F管理部が管理するテーブル例を示す図。
【図１０】ネットワークI/Fを問い合わせる場合の処理手順例を示す図。
【図１１】第１の変形例に係る電力管理システムの概略構成を示すブロック図。
【図１２】図１１のEMSの内部構成例を示すブロック図。
【図１３】ポリシー記憶部が管理する情報の構成例を示す図。
【図１４】アクセス制御の処理手順例を示す図。
【図１５】第２の実施形態によるEMSの概略構成を示すブロック図。
【図１６】アプリ実行管理部が管理するデータ構造例を示す図。
【図１７】第２の実施形態によるアプリ実行部とアクセス制御部の処理手順を示す図。
【図１８】第２の実施形態の一変形例によるEMSの概略構成を示すブロック図。
【図１９】アクセス制御フェーズの処理手順例を示す図。
【図２０】アプリ実行管理部に登録されるアプリケーションのリスト例を示す図。
【図２１】コネクション確立要求が通知された時の処理手順例を示す図。
【発明を実施するための形態】
【００１０】
(第１の実施形態)
図１は第１の実施形態に係るエネルギー管理装置（EMS）を備えた電力管理システム１の概略構成を示すブロック図である。図１の電力管理システム１は、電力系統管理装置２と、この電力系統管理装置２とインターネット３を介して通信を行う宅内電力管理装置４と、電力系統管理装置２とインターネット３を介して通信を行うメンテナンス用管理端末５および天気予報サーバ６とを備えている。
【００１１】
電力系統管理装置２は、EMS（エネルギー管理装置）１０と、MDMS（Meter Data Management System）１１と、コンセントレータ１２と、RTU（Remote Terminal Unit）１３と、分散電源１４と、蓄電装置１５と、送配電制御装置１６とを有する。電力系統管理装置２内のEMS１０、MDMS１１、RTU１３は内部ネットワーク１７に接続されている。この内部ネットワーク１７は、系統ネットワークあるいは専用ネットワークとも呼ばれる。
【００１２】
宅内電力管理装置４は、各家庭ごとに設けられるものであり、スマートメータ１８とHEMS１９（Home Energy Management System）とを有する。各家庭で太陽電池パネル等により発生した余剰電力を電力系統側に供給する場合には、その制御を行う装置を宅内電力管理装置４内に設けてもよい。
【００１３】
スマートメータ１８は、インターネット３を介して、電力系統管理装置２内のコンセントレータ１２と呼ばれる中継器によって数台ごとにまとめられ、内部ネットワーク１７を介してMDMS１１と通信する。MDMS１１は、各家庭のスマートメータ１８から一定の時間間隔で電力使用量を受信して記憶する。MDMS１１はインターネット３を介してHEMS１９と接続されており、電力の需要抑制命令や発電命令などをHEMS１９に送信する。
【００１４】
EMS１０は、MDMS１１に集約された複数の家庭の電力使用量、あるいは電力系統管理装置２内に設置されたセンサ（不図示）からの情報に基づいて、各家庭のスマートメータ１８やHEMS１９に対して電力使用の抑制を要求するなどの電力制御を行う。また、EMS１０は、RTU１３に接続された太陽光発電や風力発電などの分散電源１４、蓄電装置１５、および送配電制御装置１６を制御し、スマートグリッド全体の電圧や周波数を安定化するための制御を行う。
【００１５】
さらに、EMS１０は、EMS１０内に蓄積されたログ情報の収集や設定の変更などのメンテナンスを行うために、遠隔地に設置されたメンテナンス用管理端末５とインターネット３を介して通信する。同様に、EMS１０は電力供給量の制御を行ったり電力需要量の抑制を行うために電力需要の予測処理を行うことがある。その場合、インターネット３を介して天気予報サーバ６などから予測処理に必要な各地の天気予報などの情報を取得する。
【００１６】
なお、天気予報サーバ６は一例であり、電力管理に役立つ各種情報を提供するサーバであればよい。
【００１７】
図１ではEMS１０とメンテナンス用管理端末５、MDMS１１と家庭内に設置されるスマートメータ１８、およびMDMS１１と同じく家庭内に設置されるHEMS１９をそれぞれインターネット３で接続しているが、インターネット３に直接接続する代わりに、不図示のブリッジやルータ、ファイアウォールなどのネットワーク機器を介して接続していてもよい。これにより、セキュリティの向上が図れる。
【００１８】
また、図１では、EMS１０とRTU１３、EMS１０とMDMS１１を内部ネットワーク１７(イントラネット)に接続しているが、内部ネットワーク１７に不図示のブリッジやルータなどのネットワーク機器を接続してもよい。なお、EMS１０とRTU１３はインターネット３を経由して接続してもよい。
【００１９】
図２および図３はEMS１０のネットワーク構成を示すブロック図である。図２の例では、EMS１０、MDMS１１およびRTU１３は内部ネットワーク１７（系統ネットワーク１７）に接続されている。EMS１０は、遠隔管理用ネットワーク２１にも接続されており、この遠隔管理用ネットワーク２１は、ゲートウェイ(GW)/ファイアウォール（FW）２２を介してインターネット３に接続されている。インターネット３には天気予報サーバ６とメンテナンス用管理端末５が接続されており、EMS１０は、遠隔管理用ネットワーク２１、ファイアウォール２２およびインターネット３を介して、天気予報サーバ６およびメンテナンス用管理端末５と通信を行う。
【００２０】
また、図３の例では、EMS１０は、ルータ２３を介して内部ネットワーク１７に接続されている。内部ネットワーク１７には、MDMS１１とRTU１３が接続されている。ルータ２３には遠隔管理用ネットワーク２１も接続されている。
【００２１】
図２および図３は一例であり、他のネットワーク構成を採用してもよい。ただし、本実施形態のEMS１０は、基本的なネットワーク機能として、インターネット３接続用のインタフェースと、内部ネットワーク１７接続用のインタフェースとを有する。この機能を備えている限り、種々のネットワーク形態を採用することができる。
【００２２】
なお、遠隔管理用ネットワーク２１と系統ネットワーク１７の物理レイヤおよびリンクレイヤとして、イーサネット（登録商標）やIEEE802.11に準拠した無線LANなどの種々の形態が採用可能である。ネットワークレイヤとして、インターネット３プロトコル（IP）を使用する場合、IPv4とIPv6のいずれでもよい。
【００２３】
図２では、EMS１０が二つのネットワークに接続するために物理的に二つのネットワークインタフェース（以下、ネットワークI/F）を有する例を示しているが、図３に示すように、EMS１０が物理的に一つのネットワークI/Fを有し、EMS１０に二つ以上のIPアドレスを付与して論理的に複数のインタフェースを持つようにしてもよい。この場合、ルータ２３は、EMS１０のアドレスXから送信されるパケットを遠隔管理用ネットワーク２１に転送し、アドレスYから送信されるパケットを系統ネットワーク１７に転送するように設定しておく。
【００２４】
図４は本実施形態によるEMS１０の概略構成を示すブロック図である。図４に示したEMS１０はアプリ実行部３１、アクセス制御部３２、ポリシー記憶部３３、ポリシー設定部３４、アプリロード部３５、アプリ記憶部３６、I/F管理部３７、系統ネットワークI/F管理部３８、遠隔管理用ネットワークI/F管理部３９、系統ネットワークI/F処理部４０、遠隔管理用ネットワークI/F処理部４１、および登録状態管理部４２を有する。
【００２５】
アプリ記憶部３６は、EMS１０が実行するアプリケーションを記憶する。ここで、アプリケーションとは、プログラムモジュールであり、例えば、MDMS１１と通信を行って消費電力情報を取得したり、電力の需給予測の計算を行ってRTU１３と通信して電力供給量を調整する処理を行うプログラムモジュールを指す。また、アプリケーションとは、インターネット３経由で接続されたメンテナンス用管理端末５と通信を行い、どのようなログ情報を記録すべきかの指示を受け付けたり、ログ情報などをメンテナンス用管理端末５に送信する処理を行うプログラムモジュールも指す。
【００２６】
プログラムモジュールの実装形態はハードウェアでもソフトウェアでも、その組み合わせでもよいが、ここではソフトウェアモジュールとして実装した場合の例について述べる。なお、図４ではエネルギー管理アプリがアプリ記憶部３６に格納されている例を示しているが、これ以外のアプリケーションがアプリ記憶部３６に格納されていてもよい。
【００２７】
アプリロード部３５はアプリ記憶部３６に格納されたアプリケーションを必要に応じてロードする処理を行う。アプリケーションのロードはユーザの指示で行ってもよいし、毎日決まった時刻などに定期的にロードしてもよいし、電力消費が一定の閾値を超えた場合など特定のイベントが発生した場合にロードしてもよいし、ネットワークからの所定の信号を受信する事によってロードしてもよい。
【００２８】
アプリ実行部３１はアプリロード部３５がロードしたアプリケーションを実行する。アプリケーションは複数同時に実行されることを想定しており、また系統ネットワーク１７に接続された機器を制御したりデータを取得したりするアプリケーションと、メンテナンス用の処理を行うアプリケーションとは、別々のアプリケーション（例えば別々のファイルのソフトウェアモジュール）として構成されることを想定している。なお、複数のアプリケーションは必ずしも同時に実行されるとは限らず、場合によっては、一つのアプリケーションが実行される場合もありうる。
【００２９】
I/F管理部３７は、アプリケーションが接続先機器を指定した場合にアプリケーションから送受信されるデータ（パケット）が、系統ネットワークI/F管理部３８で処理するデータか、遠隔管理用ネットワークI/F管理部３９で処理するデータかを選別する処理を行う。接続先機器は、例えばIPアドレスを用いて指定される。その場合、I/F管理部３７はアプリケーションから送信されたパケットに含まれる宛先IPアドレスから、どちらのI/F管理部３７で処理させるデータかを選別する。
【００３０】
系統ネットワークI/F管理部３８は、系統ネットワーク１７に接続された機器と通信を行うためのデータリンクレイヤ処理、ネットワークレイヤ処理、およびトランスポートレイヤ処理を行う。一方、遠隔管理用ネットワークI/F管理部３９は、遠隔管理用ネットワーク２１に接続された機器あるいはメンテナンス用管理端末５と通信を行うためのデータリンクレイヤ処理、ネットワークレイヤ処理、およびトランスポートレイヤ処理を行う。
【００３１】
なお、系統ネットワーク１７と遠隔管理用ネットワーク２１がともにネットワークプロトコルとしてTCP/IPを用いる場合、系統ネットワーク１７に付与されるIPアドレスと遠隔管理用ネットワーク２１に付与されるIPアドレスに違いはあるものの、両I/F管理部３８，３９の処理内容に違いはない。
【００３２】
両I/F管理部３８，３９の処理が終わると、系統ネットワークI/F処理部４０または遠隔管理用ネットワークI/F処理部４１の処理が行われる。系統ネットワークI/F処理部４０は系統ネットワーク１７と通信を行うための物理レイヤ処理の処理を行う。遠隔管理用ネットワークI/F処理部４１は遠隔管理用ネットワーク２１に接続された機器と通信を行うための物理レイヤ処理の処理を行う。
【００３３】
系統ネットワークI/F管理部３８と系統ネットワークI/F処理部４０を専用ネットワークI/F部に対応し、遠隔管理用ネットワークI/F管理部３９と遠隔管理用ネットワークI/F処理部４１は公衆ネットワークI/F部に対応する。本実施形態では、２つのネットワークI/F処理部を有するが、３つ以上のネットワークI/F処理部を設けて、Ｉ／Ｆ管理部３７で任意の一つを選択してもよい。
【００３４】
図２に示すように、EMS１０は異なるネットワーク（内部ネットワーク１７と遠隔管理用ネットワーク２１）に接続されており、二つの物理インタフェースを有する。これらの物理インタフェースがそれぞれ系統ネットワークI/F処理部４０と遠隔管理用ネットワークI/F処理部４１に対応する。
【００３５】
また、図２に示すネットワーク構成では、系統ネットワーク１７と遠隔管理用ネットワーク２１は異なるネットワークアドレス（例えばIPアドレス）が付与される。I/F管理部３７は、アプリケーションで指定された宛先IPアドレスが系統ネットワーク１７と遠隔管理用ネットワーク２１のどちらのネットワークアドレスの範囲に含まれるか検索し、利用するネットワークI/Fを決定する処理を行うことになる。
【００３６】
ポリシー記憶部３３は、アプリケーションごとに、どのネットワークI/Fに対するアクセスを許可するかを定めたアクセス可否情報（ポリシー）を蓄積する。つまり、ポリシー記憶部３３は、個々のアプリケーションごとに、アプリケーションの識別情報と、複数のネットワークI/F部のそれぞれに対するアクセスを許可するか否かを示すアクセス可否情報とを、対応付けて記憶する。
【００３７】
ポリシー設定部３４は、ポリシー記憶部３３に対してポリシーを設定する。つまり、ポリシー設定部３４は、個々のアプリケーションごとに、複数のネットワークI/F部のそれぞれに対するアクセスを許可するか否かを設定する。ポリシーのデータ構造や設定方法については後述する。
【００３８】
アクセス制御部３２は、アプリケーションからのネットワークI/F利用要求に基づいて、ポリシー記憶部３３からポリシーを取得し、比較処理を行ってアプリケーションがネットワークI/Fのアクセスを許可されているか否かを判断するアクセス制御処理を行う。アクセス制御の処理の詳細については後述する。
【００３９】
本実施形態によるEMS１０は、アプリケーション登録フェーズとアクセス制御フェーズとの二つの処理を行う。アプリケーション登録フェーズでは、アプリケーションのネットワークI/F利用に先立ち、ネットワークを利用してよいアプリケーションをあらかじめ登録しておく処理を行う。一方、アクセス制御フェーズでは、実際にアプリケーションがネットワークI/Fを利用する時に、そのアプリケーションが利用してよいインタフェースか否か判別処理を行う。
【００４０】
まず、EMS１０が行うアプリケーション登録フェーズの処理手順について説明する。アプリケーション登録フェーズでは、ポリシー設定部３４を使ってポリシー記憶部３３に対して、どのアプリケーションがどのネットワークI/Fのアクセスを許可するかを登録する処理を行う。
【００４１】
図５はポリシー記憶部３３に登録される情報のデータ構成の一例を示す図である。図５に示すように、ポリシー記憶部３３には、各アプリケーションごとに、アプリケーション識別情報、系統用ネットワークI/Fのアクセス可否情報、遠隔管理用ネットワークI/Fのアクセス可否情報が登録されている。アプリケーション識別情報はアプリケーションを識別するための情報である。アプリケーションを識別する情報として、以下の３つのいずれか、あるいはその任意の組み合わせが考えられる。
（ａ）アプリケーションプログラムファイルが保存されている場所(パス名＋ファイル名)。
（ｂ）アプリケーションが実行される時に付与されるプロセス名またはプロセス識別情報。
（ｃ）アプリケーションプログラムのハッシュ値。
【００４２】
このように、ポリシー記憶部３３は、アプリケーションの種類によって、どちらのネットワークI/Fに対するアクセスを許可するかのアクセス可否情報を登録する。例えば、系統ネットワーク１７を経由してMDMS１１に対して電力需要抑制命令を送信するアプリケーションについては、系統用ネットワークI/Fに対するアクセスを許可するが、遠隔管理用ネットワークI/Fに対するアクセスを禁止する。
【００４３】
同様に、RTU１３から発電情報を取得したり、RTU１３に対して発電命令を送信したりするアプリケーションについても、系統用ネットワークI/Fに対するアクセスを許可するが、遠隔管理用ネットワークI/Fに対するアクセスは禁止する。
【００４４】
一方、インターネット３を経由してメンテナンス用管理端末５に対してログ情報を送信したりするアプリケーションについては、遠隔管理用ネットワークI/Fに対するアクセスを許可し、系統用ネットワークI/Fに対するアクセスは禁止する。同様にインターネット３上のサーバからインターネット３を経由して天気情報を取得するアプリケーションについてもインターネット３に接続する遠隔管理用ネットワークI/Fのアクセスを許可し、系統用ネットワークI/Fに対するアクセスは禁止する。また、ログ情報を記録するといったネットワークの機能を用いないアプリケーションに対しては両方のネットワークI/Fに対するアクセスを禁止する。
【００４５】
なお、後述するように、登録されていないアプリケーションについてはネットワークI/Fに対するアクセスを禁止するというルールにしておけば、ネットワークI/Fを利用するアプリケーションのポリシーをポリシー記憶部３３に登録しておけばよく、ネットワークI/Fに対するアクセスを禁止するアプリケーションを明示的に登録しておくことは必須ではないため、アプリケーション登録の手間を省くことができる。
【００４６】
一般的なEMS１０では、メンテナンス用管理端末５と通信するアプリケーションは系統用ネットワークI/Fを利用するが、本実施形態では明示的にポリシー記憶部３３にポリシーを登録しておかない限り、アプリケーションが系統用ネットワークI/Fにアクセスすることを禁止する設定にすることに利点がある。
【００４７】
特にアプリケーションが外部からのアクセスを許可するような、いわゆるサーバとして機能する場合に極めて有用である。昨今、インターネット３から管理者の権限を不正に取得して装置に侵入したり、不正にデータを取得したりするような不正アクセスによるサイバー犯罪が後を絶たない。EMS１０では電力の需給予測などを行う他、RTU１３などEMS１０以外の装置に対して電力の需要命令を送信したりするため、EMS１０内のデータが改ざんされたり、EMS１０以外の装置に対して不正な電力の需要命令を送信したりすると正常に需給を管理することができず、需給のバランスが崩れて停電などの大規模災害を引き起こす危険性がある。
【００４８】
特にアプリケーションがインターネット３からアクセス可能な状態でサーバ機能を提供する場合、アプリケーションの実装ミスや設定ミスによって不正に管理者権限が取得されてしまうと、攻撃者はインターネット３を経由して系統ネットワーク１７に不正なデータを送信可能となり、RTU１３やMDMS１１などの装置に不正な命令を送信したり、EMS１０をRTU１３やMDMS１１に対して侵入を仕掛ける際の踏み台として利用されたりする危険性がある。各アプリケーションがアクセス可能なネットワークI/Fを制限することで、仮にアプリケーションに脆弱性が含まれていて攻撃者がその脆弱性を利用してアプリケーションを乗っ取り、遠隔管理用ネットワーク２１から侵入したとしても、そのアプリケーションを使って系統ネットワーク１７に不正なパケットを送信することを防ぐことができる。
【００４９】
登録状態管理部４２はポリシー記憶部３３にアプリケーションを登録してもよい状態か否かを判別する。前述のようにポリシー記憶部３３にアプリケーションを登録できるのはポリシー設定部３４に限定されるが、ポリシー設定部３４がポリシー記憶部３３にアプリケーションを登録する際、登録状態管理部４２は、ポリシー設定部３４がアプリケーションの登録を許可できる状態（登録許可状態）にあるか否かを確認する。登録禁止状態の場合はポリシー設定部３４によるアプリケーションの登録を禁止し、登録許可状態の時にポリシー設定部３４によるアプリケーションの登録を許可する。これは不正にアプリケーションが登録されることを防ぐためである。
【００５０】
上述のように、遠隔管理用ネットワーク２１を経由して不正者がEMS１０に侵入し、本来許可されていないアプリケーションに対してネットワークI/Fのアクセスが許可されるようポリシー設定部３４に登録する危険性がある。これを防ぐためにポリシーへの登録が正規のオペレーターによる操作であることを確認する処理が必要となる。
【００５１】
なお、登録情報管理部が確認する登録許可状態とは、以下の３つのいずれか、あるいはその任意の組み合わせである。
（ａ）アプリケーションが遠隔管理用ネットワークI/F管理部３９を使ってパケットの送受信を行っていない時（遠隔管理用ネットワーク２１を経由したネットワークコネクションが確立されていない時）。
（ｂ）ポリシー設定部３４が遠隔管理用ネットワークI/F管理部３９からの入力ではなく、キーボードからの入力に基づいてポリシー記憶部３３への登録を行っていることが確認できたとき。
（ｃ）系統ネットワークI/F管理部３８を使ってパケットの送受信を行っていないとき。
【００５２】
図６はポリシー設定部３４がアプリケーションをポリシー記憶部３３に登録する処理手順の一例を示すフローチャートである。まず、登録対象のアプリケーションを選択し、ポリシー設定部３４に登録対象のアプリケーションを指定する（ステップＳ１）。次に、ポリシー設定部３４またはポリシー記憶部３３は登録対象のアプリケーション識別情報を収集する（ステップＳ２）。これらの手順はEMS１０をネットワークに接続する前に行ってもよいし、ネットワーク接続後のアプリケーションのインストール時に行ってもよい。
【００５３】
アプリケーション識別情報の収集は、オペレーターに手入力させてもよい。以降では、ポリシー設定部３４が自動的に情報を収集する処理の例について説明する。その前提として、アプリケーション開発者がアプリケーション識別情報をアプリケーションパッケージのファイルに含めておく。
【００５４】
図７はアプリケーションパッケージのファイル構成を示す図である。なお、図７ではアプリケーション識別情報としてアプリケーション実行プログラムのハッシュ値を使うものとする。アプリケーション識別情報はアプリケーションを識別可能な値であれば、アプリケーション開発者が一意に付けたID、一意に付けたファイル名(パッケージ名)などでもよい。図７に示すように、アプリケーションパッケージには複数のファイルが含まれている。これらファイルは、アプリケーションの実態であるアプリケーション実行ファイル、設定データやインストーラーなどが含まれたアプリケーションデータ、それにアプリケーション識別情報(ハッシュ値)などを含んでいる。
【００５５】
なお、オプションとしてどのネットワークI/Fを利用するアプリケーションかを示す情報を記述したファイルを含めてもよい。
【００５６】
アプリケーション開発者はアプリケーションインストールに先立ちアプリケーション生成時にアプリケーション識別情報(ハッシュ値)を事前に計算しておき、パッケージファイルと共に配布する。
【００５７】
ポリシー設定部３４はEMS１０にインストールされているアプリケーション実行プログラムのハッシュ値を計算するか、またはアプリケーションパッケージに含まれていたファイルに含まれるハッシュ値をアプリケーション識別情報とする。
【００５８】
ポリシー設定部３４は、アプリケーションの登録に必要な情報の収集が終了すると、登録状態管理部４２の状態を検査する（ステップＳ３）。その結果、登録状態管理部４２が登録許可状態か否かを判定し（ステップＳ４）、登録許可状態でなければ（ステップＳ５）、エラー処理を行って（ステップＳ６）、以降の処理は行わない。登録可能状態であれば、ポリシー設定部３４は収集した情報をポリシー記憶部３３に登録する（ステップＳ７）。この時、EMS１０にインストールされているアプリケーション実行プログラムのハッシュ値を計算し、その計算値がアプリケーションパッケージに含まれていたファイルに含まれるハッシュ値と一致するか否かを検査し、一致する場合にアプリケーションをハッシュ値と共に登録する。この時さらに、アプリケーションパッケージのハッシュ値にアプリケーション開発者の秘密鍵で署名を施してアプリケーションパッケージファイルに含め、かつポリシー記憶部３３は事前に秘密鍵に対応する公開鍵をインストールしておけば、ポリシー設定部３４はアプリケーション登録時にその公開鍵で署名を検証し、署名検証処理が成功した時に登録する。このように、署名検証処理を行うことで、信頼できるアプリケーション開発者が開発したアプリケーションであること、さらにアプリケーションパッケージが改変されていないことが保証できる。
【００５９】
なお、アプリケーションパッケージのハッシュ値に署名を施してもよいし、アプリケーションパッケージ内の特定のファイル、例えばアプリケーション実行ファイルやアプリケーション識別情報に署名を施してもよい。その後、ポリシー設定部３４はアプリケーション識別情報と、系統用ネットワークI/Fまたは遠隔管理用ネットワークI/Fのいずれかのインタフェースに対するアクセスを許可するかを示すアクセス可否情報をポリシー記憶部３３に登録する（ステップＳ７）。これにより、アプリケーションの登録処理が終了する（ステップＳ８）。
【００６０】
どのインタフェースに対するアクセスを許可するかを示すアクセス可否情報として、どのネットワークI/Fにアクセスするアプリケーションかを示す情報がアプリケーションパッケージ内に含まれている場合は、その情報を利用してもよいし、含まれていない場合には管理者がアプリケーションの内容に応じてアクセス可能なインタフェースを選択してもよい。もしアプリケーションパッケージにアプリケーション実行ファイルがどのIPアドレスの機器と接続するかそのIPアドレス利用情報が含まれていれば、その情報を利用して登録してもよい。
【００６１】
なお、IPアドレス利用情報はIPアドレス(123.456.789.123)の形式でもよいし、DNSドメイン名(bar.foo.com)でもよい。
【００６２】
次に、EMS１０が行うアクセス制御フェーズの処理手順について説明する。図８はアクセス制御フェーズにおけるアプリ実行部３１とアクセス制御部３２の処理手順の一例を示すフローチャートである。まず、アプリ実行部３１はアプリケーションが利用するIPアドレス(またはDNSドメイン)とアプリケーション識別情報をアクセス制御部３２に通知する（ステップＳ１１）。この処理はアプリケーション実行プログラム自身がアクセス制御部３２に通知してもよいし、アプリケーション実行に先立ち、アプリ実行部３１がアプリケーションパッケージ内に含まれるIPアドレス利用情報とアプリケーション識別情報を取得してアクセス制御部３２に通知してもよい。アクセス制御部３２は受信したIPアドレスから系統用ネットワークと遠隔管理用ネットワーク２１のどちらのネットワークにアクセスするかをI/F管理部３７に問い合わせる（ステップＳ１２）。
【００６３】
なお、IPアドレスの代わりにDNSドメイン名を利用している場合は、I/F管理部３７に通知する前にDNSサーバからIPアドレスに変換する処理を行ってもよい。
【００６４】
図９はI/F管理部３７が管理するテーブルの一例を示す図である。この管理テーブルは、どのIPアドレスがどちらのネットワークI/Fに対応するかを管理する。図９に示すように、IPアドレスとネットワークI/Fは1対1に対応してもよいし、アドレス範囲ごとにネットワークI/Fに対応していてもよい。I/P管理部は、アクセス制御部３２から指定されたIPアドレスがどのネットワークI/Fに対応するかをテーブルから検索し、ネットワークI/F名をアクセス制御部３２に回答する（ステップＳ１３）。
【００６５】
アクセス制御部３２は、許可されたネットワークI/Fに対するアクセスであるか否かをポリシー記憶部３３に問い合わせる（ステップＳ１４）。ポリシー記憶部３３は図５に示したテーブルに従って許可か禁止かをアクセス制御部３２に回答する。アクセス制御部３２は、ポリシー記憶部３３からの回答に基づいて、アプリケーションがアクセスを要求したネットワークI/Fのアクセスが許可されているか否かを判定する（ステップＳ１５，Ｓ１６）。
【００６６】
禁止されたアクセスであればアプリ実行部３１またはアプリケーションに対してそのことを通知し（ステップＳ１７）、アプリケーションはエラー処理を行う（ステップＳ１８）。もちろん、禁止されていてもアプリケーション実行中にネットワークI/Fを利用してネットワーク上の機器とコネクションを確立しようとする場合にはそのコネクション確立を禁止する。ネットワークI/Fに対するアクセスが許可されていれば、そのことをアプリケーションに通知して（ステップＳ１９）、アプリケーションはネットワーク上の機器とネットワークコネクションの確立が成功する（ステップＳ２０）。
【００６７】
なお、このネットワークI/Fに対するアクセスの可否はファイアウォール装置などでよく用いられている機器のネットワークフィルタリングの仕組みを用いてもよいし、ネットワークコネクション確立命令をオペレーティングシステムに通知する際に、その命令をアクセス制御部３２がブロックするように実装してもよい。
【００６８】
図８ではアプリケーションがどちらのネットワークI/Fにアクセスするかをアクセス制御部３２がI/F管理部３７に問い合わせていたが、アプリ実行部３１がI/F管理部３７に対してネットワークI/Fを問い合わせてもよい。
【００６９】
図１０はアプリ実行部３１がI/F管理部３７に対してネットワークI/Fを問い合わせる場合の処理手順の一例を示すフローチャートである。まずアプリ実行部３１はアプリケーションが利用するIPアドレスをI/F管理部３７に問い合わせる（ステップＳ３１）。I/F管理部３７は図９のテーブルに従ってネットワークI/Fを特定して、アプリ実行部３１に回答する（ステップＳ３２）。アプリ実行部３１はアプリケーションがアクセスするネットワークI/Fとアプリケーション識別情報をアクセス制御部３２に通知する（ステップＳ３３）。その後のアクセス制御部３２の処理（ステップＳ３４〜Ｓ３９）は図８のステップＳ１５〜Ｓ２０と同じである。
【００７０】
なお、この場合、アプリケーション開発者が必ずネットワークコネクション利用に先立ち、I/F管理部３７にどちらのネットワークI/Fを利用するか問い合わせる処理を含めるよう、合意しておく必要がある。
【００７１】
次に、IPアドレスとネットワークI/Fの対応を管理する別例について示す。次世代電力網の特徴の一つにネットワーク構成が機器によって管理されていることが挙げられる。一般的なインターネット３では個々のネットワーク管理者が個々の機器に個々のドメイン名やIPアドレスを割り振るローカルネットワークをそれぞれ運用・管理しており、すべてのローカルネットワーク上の機器を統一的に管理する管理者は存在しない。しかし次世代電力網では、図１に示す分散電源１４や蓄電装置１５などがどの内部ネットワーク１７（電力系統ネットワーク１７）に接続されており、個々の電力系統ネットワーク１７を束ねるネットワーク構成がどのような形態であるかを示すネットワークトポロジーの情報が管理されている。より具体的には、IEC 61850規格(CIM(Common Information Model))に代表されるようにネットワークトポロジーのモデルの記述方法が規定されている。すなわち、次世代電力網(系統ネットワーク１７)に蓄電装置１５などの機器が新たに接続されたり、停電やメンテナンス作業などによって切断されたりした場合に、データベースの内容を更新する仕組みが次世代電力網では提供されている。このデータベース管理はEMS１０が行ってもよいし、CIMデータベースの専用装置が行ってもよい。以下では、EMS１０がCIMデータベースを管理する構成について説明する。
【００７２】
図１１は第１の実施形態の第１の変形例に係る電力管理システム１ａの概略構成を示すブロック図である。図１では、EMS１０とすべてのRTU１３が共通の内部ネットワーク１７に接続される例を説明したが、図１１では、電力系統管理装置２内に複数の系統ネットワークが設けられ、それぞれの系統ネットワークがルータを介して接続される。
【００７３】
より具体的には、図１では電力系統管理装置２内のEMS１０やRTU１３などが接続されるネットワークを内部ネットワーク１７（系統ネットワーク１７）と総称したが、図１１に示す電力系統管理装置２では、分散電源１４と蓄電装置１５およびそれらに接続されるRTU１３は系統ネットワーク１７内のネットワークAに接続され、送配電制御装置１６とそれに接続されるRTU１３は系統ネットワーク１７内のネットワークBに接続されている。そしてネットワークAとネットワークBはルータAを介してEMS１０と接続されている。
【００７４】
以下に示す例では、EMS１０がCIMデータベース（CIM DB）を利用することで、アプリケーションが系統ネットワーク１７か遠隔管理用ネットワーク２１のどちらのネットワークに所属する機器と接続しようとしているかを特定し、かつ系統ネットワーク１７の中のどのネットワークあるいは機器に接続しようとしているかを特定して、アクセス制御を行うものである。すなわち、図１１の電力管理システム１ａは、アプリケーションが天気予報サーバ６やRTU１３に接続してよいかだけでなく、分散電源１４に接続されたRTU１３に接続してよいか(ネットワークAの機器に接続してよいか)、あるいは送配電制御装置１６のRTU１３に接続してよいか(ネットワークBの機器に接続してよいか)といったことまで管理することができる。
【００７５】
図１２は図１１のEMS１０ａの内部構成の一例を示すブロック図である。図１２のEMS１０ａはCIM DB記憶部４３とCIM DB管理部４４を備えている点が図４と異なる。CIM DB記憶部４３は上述したCIMデータベースのデータを格納する。CIM DB管理部４４は、ネットワークに機器が接続された時や、ネットワークから機器が切断された時など、ネットワークの構成が変更された時に、そのことを示すメッセージを外部の機器から受信し、CIM DB記憶部４３に通知して、ネットワークの構成とCIM DB記憶部４３の内容が一致するようにCIM DB記憶部４３のデータを書き換える処理を行う機能を有する。
【００７６】
図１３はポリシー記憶部３３が管理する情報の構成の一例を示す図である。図１３のポリシー記憶部３３は、遠隔管理用ネットワークI/Fに加えて、系統ネットワーク１７のうちネットワークAとネットワークBの利用許可情報についても管理できる点が図５とは異なる。
【００７７】
図１４は図１３のEMS１０ａが行うアクセス制御の処理手順を示すフローチャートである。図１３のEMS１０ａが行うポリシー記憶部３３への登録処理手順は図６と比べて、個々のアプリケーションがネットワークAとネットワークBへのアクセス許可情報を加えるだけの違いしかないため、説明を省略する。
【００７８】
図１４において、アプリ実行部３１がI/F管理部３７を使ってインタフェースを特定するまでのステップＳ４１〜Ｓ４３は図８のステップＳ１１〜Ｓ１３と同様の処理手順でよい。その後、遠隔管理用I/Fか否かを判定し（ステップＳ４４）、遠隔管理用ネットワークI/Fではなく系統用ネットワークI/Fだった場合、アクセス制御部３２はCIM DB記憶部４３からネットワーク構成を取得する（ステップＳ４５）。そしてアクセス制御部３２はアプリケーションが該当するネットワーク(ネットワークA、ネットワークB、遠隔管理用ネットワーク２１)へのアクセスが許可されているか否かをポリシー記憶部３３に問い合わせ、許可されたアクセスであるか否かを判定する。それ以降の処理（ステップＳ４６〜Ｓ５２）は図８のステップＳ１４〜Ｓ２０と同じ処理手順でよい。
【００７９】
このように、第１の実施形態では、 個々のアプリケーションごとに、個々のネットワークI/F部のアクセス可否情報をポリシー設定部３４で判断してポリシー記憶部３３に記憶しておくため、アプリ実行部３１が実行するアプリケーションに対して特定のネットワークI/F部のアクセスを許可するか否かを簡易かつ迅速に決定できる。これにより、不正なアプリケーションによるネットワークI/F部へのアクセスを禁止でき、本来の電力制御の処理に影響を与えずにネットワークからの不正アクセスを防止できる。
【００８０】
また、系統ネットワーク１７の詳細なネットワーク構成を記憶するCIM DB記憶部４３を設ければ、系統ネットワーク１７内の個々のネットワークごとに、アプリケーションによるアクセスを許可するか否かを設定でき、系統ネットワーク１７内の個々のネットワーク単位でアクセス制限をかけることができ、不正アクセス防止をより徹底させることができる。
【００８１】
（第２の実施形態）
第１の実施形態では、ネットワークI/Fを利用するアプリケーションを事前に登録しておき、アプリケーションはネットワークI/F利用時にネットワークI/Fを利用してよいかどうかアプリケーション自身がEMS１０ａに可否を問い合わせる。ネットワークI/Fの利用が許可されていることを示すポリシーが登録されているアプリケーションであれば特定のネットワークI/Fに対するアクセスを許可し、そうでなければアクセスを禁止することで、特定のアプリケーションしか特定のネットワークI/Fの利用をできないように禁止することを実現していた。すなわち、第１の実施形態は、アクセス制御の判定をアプリケーションがネットワーク上の機器とネットワークコネクションを確立する前に行っている。これに対して、第２の実施形態は、アプリケーションがネットワーク上の機器とネットワークコネクションを確立する時に自動的にネットワークI/Fのアクセス可否を判定する処理を行う。
【００８２】
図１５は第２の実施形態によるEMS１０ｂの概略構成を示すブロック図である。図１５のEMS１０ｂはアプリ実行管理部４５を備えている点が図４のブロック図とは異なる。前述したように、EMS１０ｂでは複数のアプリケーションが同時に実行される場合がある。第２の実施形態ではアプリケーションの実行が開始されると、その実行中のアプリケーションがアプリ実行管理部４５に登録される。アプリケーションの実行が終了するとアプリ実行管理部４５からアプリケーションが削除される。すなわちアプリ実行管理部４５は現在どのようなアプリケーションが実行されているかを管理する処理を行う。
【００８３】
図１６はアプリ実行管理部４５が管理するデータ構造を示す図である。ここで、図１３に示すようなデータがポリシー記憶部３３に登録されているものとする。アプリ実行管理部４５はアプリケーションの実行を監視し、アプリ実行部３１がアプリケーションの実行を開始するとポリシー記憶部３３に登録されたアプリケーションか否かを調べる。
【００８４】
例えば、アプリケーションAが実行された場合、アプリ実行管理部４５はアプリケーションAが実行されたことを検出して、ポリシー記憶部３３にアプリケーションＡが登録されているか否かを確認する。例えば、アプリケーションＡのポリシーがポリシー記憶部３３に登録されている場合には、図１６に示すように、アプリケーション名とアプリケーション識別情報、ネットワークI/F情報をアプリ実行管理部４５にロードする。
【００８５】
同様に、アプリケーションＡが実行されている状態で、アプリケーションCとアプリケーションＥが実行されると、アプリ実行管理部４５にロードされるデータは図１６に示すようなものになる。ポリシー記憶部３３に登録されていないアプリケーションであればネットワークI/Fの利用は禁止状態として登録する。すなわち、図１６に示すようにアプリ実行管理部４５には現在実行中のアプリケーションに関するポリシーがロードされることになる。図１６の例では、アプリケーションA、C、Eが現在実行されており、AとCはポリシー設定部３４に登録されたアクセス可否情報がそのままアプリ実行管理部４５に登録される。アプリケーションBやDは現在実行されていないため、アプリ実行管理部４５にはロードされていない。一方、アプリケーションEはポリシー設定部３４にはアクセス可否情報が登録されていないが実行中のアプリケーションであるため、ネットワークI/Fの利用はすべて禁止状態となる。
【００８６】
なお、アプリケーション識別情報は、第１の実施形態と同様に、（ａ）アプリケーションプログラムファイルが保存されている場所(パス名＋ファイル名)、（ｂ）アプリケーションが実行される時に付与されるプロセス名またはプロセス識別情報、（ｃ）アプリケーションプログラムのハッシュ値のいずれでもよく、これらの任意の組み合わせでもよい。以下では（ｃ）の情報を用いた例について説明する。
【００８７】
仮にアプリケーションＣの実行が終了した場合には、アプリ実行管理部４５はアプリケーションＣに対応するエントリー(ポリシー)をアプリ実行管理部４５から削除する。
【００８８】
ただし、ポリシー記憶部３３に格納されたアプリケーションＣに対応するエントリーは削除しない。これはポリシー記憶部３３に格納されたデータは現在実行中のアプリケーションとは関係なくポリシーを管理するデータベースであり、かつポリシー記憶部３３のデータを追加・削除できるのはポリシー設定部３４に限定しているためである。
【００８９】
また、アプリケーションの実行に先立ち、アプリケーションをポリシー記憶部３３に登録する必要があるが、この処理手順は第１の実施形態と同じであるため説明を省略する。
【００９０】
次に、第２の実施形態によるEMS１０ｂが行うアクセス制御フェーズの処理手順について説明する。図１７は第２の実施形態によるEMS１０ｂが行うアクセス制御フェーズのアプリ実行部３１とアクセス制御部３２の処理手順を示す図である。まず、アプリケーションの実行時にアプリ実行管理部４５にアプリケーションを登録する。次にアプリ実行部３１はネットワーク上の機器と接続するためにネットワークコネクション確立要求をアクセス制御部３２に送信する（ステップＳ６１）。このネットワークコネクション確立要求には少なくとも確立先の機器のIPアドレスまたはDNSドメイン名が含まれる。アクセス制御部３２はコネクション確立要求の通知を受けると、そのコネクション確立要求がどのアプリケーションから発行されたものであるかを調査して、アプリケーションを特定する（ステップＳ６２）。この調査にはアプリ実行管理部４５が管理している情報(図１６の情報)を用いる。別の方法として、現在動作中のアプリケーションプロセスリストの中から特定してもよいし、もしネットワークコネクション確立要求に実行中のアプリケーション名またはアプリケーション識別情報が含まれている場合には、その情報を用いてアプリケーションを特定してもよい。
【００９１】
次に、アクセス制御部３２はコネクション確立要求に含まれるIPアドレスがどのインタフェースに対応するかI/F管理部３７に問い合わせて（ステップＳ６３）、系統用ネットワークI/Fか遠隔管理用ネットワークI/Fかを特定する（ステップＳ６４）。
【００９２】
次に、遠隔管理用I/Fか否かを判定して（ステップＳ６５）、系統用ネットワークI/Fであれば、CIM DB記憶部４３からネットワーク構成を取得する（ステップＳ６６）。ステップＳ６６の処理が終了した場合、またはステップＳ６５で遠隔管理用I/Fと判定された場合、アクセス制御部３２は、ネットワーク情報とアプリケーション識別情報をポリシー記憶部３３に問い合わせる（ステップＳ６７）。
【００９３】
次に、アクセス制御部３２は、アプリケーション識別情報に基づいて、ネットワークI/Fのアクセスが許可されているかをアプリ実行管理部４５に問い合わせる（ステップＳ６８、Ｓ６９）。もしアクセスが許可されていればコネクション確立要求を受け付けて所定の処理を行い（ステップＳ７０）、もし禁止されていればコネクション確立要求に対してエラーを返す（ステップＳ７１）。
【００９４】
なお、この例では、図１６に示すように、現在実行中のアプリケーションが個々のネットワークおよびネットワークI/Fを利用できるか否かのアクセス可否情報をアプリ実行管理部４５が管理する例を示した。この例とは別に、アプリ実行管理部４５が現在実行中のアプリケーションに対応するアプリケーション識別情報を管理し、個々のネットワークおよびネットワークI/Fを利用できるか否かのアクセス可否情報は管理しないようにしてもよい。その場合、アクセス制御部３２がアプリケーション識別情報に基づいてネットワークアクセスが許可されているアプリケーションであるか否かをアプリ実行管理部４５に問い合わせた場合、アプリ実行管理部４５は、アプリケーションに該当するエントリーがポリシー記憶部３３に格納されているかどうか検査し、格納されていない場合にはアクセスを拒否し、格納されている場合はそのアプリケーションに対応するエントリーをポリシー記憶部３３からロードし、アプリケーションが利用するネットワークI/Fへのアクセスが許可されているか否かを判定してもよい。
【００９５】
第１の実施形態では、アプリケーションに対してネットワークI/F部の利用が許可されているか否かをアクセス制御部３２が通知する処理を行ったが、第２の実施形態ではコネクション確立要求処理が正常に行われるか、あるいはエラー処理を返すかで、アプリケーションによるネットワークI/Fの利用可否を判定するため、アプリケーション開発者は通常の手順に沿ってアプリケーションを開発すればよく、アプリケーション開発コストを下げることができる利点がある。
【００９６】
以下では、EMS１０ｂの処理をより簡略化した構成を説明する。図１８は第２の実施形態の一変形例によるEMS１０ｃの概略構成を示すブロック図である。図１８に示したEMS１０ｃはI/F管理部３７がなく、その代わりにアプリ実行管理部４５がポリシー記憶部３３を呼び出す点が図１２のブロック図と異なる。図１８のEMS１０ｃはCIM DB記憶部４３とCIM DB管理部４４を備えているが、これらは必須の構成ではなく、省略してもよい。
【００９７】
図１９は図１８のEMS１０ｃが行うアクセス制御フェーズの処理手順を示すフローチャートである。より具体的には、図１９（ａ）はアプリケーション実行時におけるアプリ実行部３１とアプリ実行管理部４５の処理手順を示し。図１９（ｂ）はアプリケーション終了時におけるアプリ実行部３１とアプリ実行管理部４５の処理手順を示す。
【００９８】
図１９（ａ）において、まずアプリケーションが実行されると、アプリ実行管理部４５は系統用ネットワークI/Fにアクセスしてよいアプリケーションかをポリシー記憶部３３に問い合わせる（ステップＳ８１）。この時、ポリシー記憶部３３に加えてCIM DB記憶部４３を使って系統用ネットワークのネットワークAまたはBにアクセスしてよいアプリケーションか否かを問い合わせてもよい（ステップＳ８２）。もし系統用ネットワークI/Fにアクセスしてもよいアプリケーションの場合にはアプリ実行管理部４５は許可モードに入る（ステップＳ８３）。
【００９９】
一方、系統用ネットワークI/Fに対するアクセスを禁止されているアプリケーションの場合にはアプリケーションをアプリ実行管理部４５に登録し（ステップＳ８４）、禁止モードに入る（ステップＳ８５）。すなわち、アプリ実行管理部４５には現在実行中で系統用ネットワークI/Fの利用が禁止されているアプリケーションのリストが登録されることになる。なお、禁止モードで系統用ネットワークI/Fにアクセスしてもよいアプリケーションが実行された場合でも、許可モードに入る事はなく、禁止モードのままである(不図示)。
【０１００】
図２０はアプリ実行管理部４５に登録されるアプリケーションのリストの一例を示す図である。図２０に示すように、実際には系統用ネットワークI/Fに対するアクセスが許可されているアプリケーションA,Cが実行されているが、アプリ実行管理部４５には登録されず、その代わり系統用ネットワークI/Fに対するアクセスが禁止されているアプリケーションEが登録されている。
【０１０１】
アプリケーションが終了した場合は、図１９（ｂ）に示すように、そのアプリケーションが系統用ネットワークI/Fをアクセスしてよいかをポリシー記憶部３３に問い合わせる（ステップＳ９１、Ｓ９２）。もしアクセスが許可されているアプリケーションであれば、その状態を保持したまま処理を終える。
【０１０２】
一方、禁止されているアプリケーションであれば他にアプリ実行管理部４５に登録されているアプリケーションがあるか否かを調べ（ステップＳ９３）、もしあればアプリ実行管理部４５のモードを禁止モードのままにし（ステップＳ９４）、もしアプリケーションがなければ許可モードに設定し（ステップＳ９５）、終了したアプリケーションについての情報をアプリ実行管理部４５から削除して終了する（ステップＳ９６）。
【０１０３】
ここで、禁止モードに設定された場合は、ポリシー記憶部３３とアプリ実行管理部４５に登録されていない実行中のアプリケーションすべてについて、系統用ネットワークI/Fに対するアクセスが禁止される。逆に、許可モードに設定された場合は、ポリシー記憶部３３とアプリ実行管理部４５に登録されていない実行中のアプリケーションすべてについて、系統用ネットワークI/Fに対するアクセスが許可される。
【０１０４】
なお、アプリ実行管理部４５のアプリケーションの登録と削除は同時に実行されないよう排他的に管理することが望ましい。
【０１０５】
図２１はアプリ実行部３１がネットワーク上の機器に対してコネクション確立要求がアクセス制御部３２に通知された時の処理手順を示すフローチャートである。アクセス制御部３２はコネクション確立要求の通知を受けると（ステップＳ１０１）、アプリ実行管理部４５にモードを問い合わせる（ステップＳ１０２、Ｓ１０３）。もし禁止モードであればコネクション確立要求に対してエラーを返す（ステップＳ１０４）。許可モードであれば所定のコネクション確立処理を行う（ステップＳ１０５）。
【０１０６】
ここで、アプリ実行管理部４５が禁止モードの場合とは、系統用ネットワークI/Fに対するアクセスが禁止されているアプリケーションが一つ以上実行されている状態にあるため、すべてのアプリケーションに対して系統用ネットワークI/Fに対するアクセスを禁止してしまう。これにより、アクセス制御部３２がコネクション確立要求の発行元を調べる処理を省略することができるため、機器の構成を簡略化することができるだけでなく、実行速度を保ちつつアクセス制御を両立させることができる。
【０１０７】
以上説明したように、第２の実施形態によれば、ネットワーク上の機器と接続する処理を行うアプリケーションを開発する開発者が特別な処理を記述しなくても、図１９の処理によって許可モードまたは禁止モードの設定を行うため、簡易な処理で個々のアプリケーションのネットワークアクセス制御を実現することができる。
【０１０８】
上述した実施形態で説明したエネルギー管理装置および電力管理システムの少なくとも一部は、ハードウェアで構成してもよいし、ソフトウェアで構成してもよい。ソフトウェアで構成する場合には、エネルギー管理装置および電力管理システムの少なくとも一部の機能を実現するプログラムをフレキシブルディスクやＣＤ−ＲＯＭ等の記録媒体に収納し、コンピュータに読み込ませて実行させてもよい。記録媒体は、磁気ディスクや光ディスク等の着脱可能なものに限定されず、ハードディスク装置やメモリなどの固定型の記録媒体でもよい。
【０１０９】
また、エネルギー管理装置および電力管理システムの少なくとも一部の機能を実現するプログラムを、インターネット３等の通信回線（無線通信も含む）を介して頒布してもよい。さらに、同プログラムを暗号化したり、変調をかけたり、圧縮した状態で、インターネット３等の有線回線や無線回線を介して、あるいは記録媒体に収納して頒布してもよい。
【０１１０】
本発明の態様は、上述した個々の実施形態に限定されるものではなく、当業者が想到しうる種々の変形も含むものであり、本発明の効果も上述した内容に限定されない。すなわち、特許請求の範囲に規定された内容およびその均等物から導き出される本発明の概念的な思想と趣旨を逸脱しない範囲で種々の追加、変更および部分的削除が可能である。
【符号の説明】
【０１１１】
１ 電力管理システム
２ 電力系統管理装置
３ インターネット
４ 宅内電力管理装置
５ メンテナンス用管理端末
６ 天気予報サーバ
１０ EMS（エネルギー管理装置）
１１ MDMS
１２ コンテントレータ
１３ RTU
１４ 分散電源
１５ 蓄電装置
１６ 送配電制御装置
１７ 内部ネットワーク
１８ スマートメータ
１９ HEMS
２１ 遠隔管理用ネットワーク
２２ ファイアウォール
２３ ルータ
３１ アプリ実行部
３２ アクセス制御部
３３ ポリシー記憶部
３４ ポリシー設定部
３５ アプリロード部
３６ アプリ記憶部
３７ I/F管理部
３８ 系統ネットワークI/F管理部
３９ 遠隔管理用ネットワークI/F管理部
４０ 系統ネットワークI/F処理部
４１ 遠隔管理用ネットワークI/F処理部
４２ 登録状態管理部
【技術分野】
【０００１】
本発明の実施形態は、電力系統から供給される電力と、宅内で消費あるいは発生する電力とを管理するエネルギー管理装置および電力管理システムに関する。
【背景技術】
【０００２】
原子力や火力などの枯渇性エネルギーと太陽光や風力などの再生可能エネルギーとを併用して電力品質の安定化を図るために、次世代電力網(スマートグリッド)を構築する計画が進められている。
【０００３】
次世代電力網では、メンテナンスや電力需要の予測処理のために、EMS（Energy Management System）などの系統機器がインターネットに接続されることになる。ところが、インターネットは、コンピュータウイルスや情報漏洩、不正アクセスなどの脅威に晒されており、EMS等の系統機器をインターネットに接続すると、情報セキュリティ上の問題が生じるおそれがある。
【０００４】
例えば、従来の不正アクセス対策技術としては、ネットワークやEMS上に侵入検知システム(Intrusion Detection System: IDS)を設置したり、脆弱性(セキュリティ上の欠陥)に対処するためのパッチを定期的に適用するといった手法が一般的である。しかしながら、系統機器、特にEMSの場合、Webサーバなどの従来のサーバ機器とは異なり、系統ネットワークを介してRTU（Remote Terminal Unit）などの機器から発電量などの情報を収集し、等時間間隔で定期的に発電命令などの信号を伝送する必要があり、レイテンシの制約が生じることが考えられる。このため、不正アクセスの検出のような処理負荷の高い煩雑な処理を系統機器で実行するのは現実的ではない。系統機器ではインターネットからの不正アクセスを防止しつつ本来の電力制御の処理に影響を与えない不正アクセス防止機能を備えていることが望ましい。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特許第４４０６３４６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
本発明の一実施形態は、本来の電力制御の処理に影響を与えずにネットワークからの不正アクセスを防止可能なエネルギー管理装置および電力管理システムを提供することにある。
【課題を解決するための手段】
【０００７】
本実施形態に係るエネルギー管理装置は、電力管理用のアプリケーションを含む少なくとも一つ以上のアプリケーションが記憶されたアプリケーション記憶部と、アプリケーション記憶部に記憶されたアプリケーションを実行するアプリケーション実行部と、複数のネットワークのそれぞれに対応して設けられる複数のネットワークインタフェース部と、個々のアプリケーションごとに、複数のネットワークインタフェース部のそれぞれに対するアクセスを許可するか否かを設定するポリシー設定部と、ポリシー設定部が設定する個々のアプリケーションごとに、アプリケーションの識別情報と、複数のネットワークインタフェース部のそれぞれに対するアクセスを許可するか否かを示すアクセス可否情報とを記憶するポリシー記憶部と、ネットワークアドレスと、複数のネットワークインタフェース部のそれぞれとの対応関係を管理し、アプリケーション実行部が実行するアプリケーションが利用するネットワークインタフェース部を特定するＩ／Ｆ管理部と、アプリケーション実行部が実行するアプリケーションが利用するネットワークインタフェース部に対するアクセスが許可されているか否かをポリシー記憶部に記憶されたアクセス可否情報に基づいて判断するアクセス制御部と、を備える。
【０００８】
また、本発明の一実施形態は、電力管理用のアプリケーションを含む少なくとも一つ以上のアプリケーションが記憶されたアプリケーション記憶部と、アプリケーション記憶部に記憶されたアプリケーションを実行するアプリケーション実行部と、公衆ネットワークおよび専用ネットワークを含む複数のネットワークのそれぞれに対応して設けられる複数のネットワークインタフェース部と、個々のアプリケーションごとに、複数のネットワークインタフェース部のそれぞれに対するアクセスを許可するか否かを設定するポリシー設定部と、ポリシー設定部が設定する個々のアプリケーションごとに、アプリケーションの識別情報と、複数のネットワークインタフェース部のそれぞれに対するアクセスを許可するか否かを示すアクセス可否情報とを記憶するポリシー記憶部と、アプリケーション実行部が実行するアプリケーションが利用するネットワークインタフェース部に対するアクセスが許可されているか否かをポリシー記憶部に記憶されたアクセス可否情報に基づいて判断するアクセス制御部と、アプリケーション実行部が現在実行中のアプリケーションについての識別情報と複数のネットワークインタフェース部に対するアクセス可否情報とを登録した管理テーブルを作成して、現在実行中のアプリケーションを管理するアプリケーション実行管理部と、を備え、アプリケーション実行管理部は、アプリケーション実行部が実行するアプリケーションが専用ネットワークに対するアクセスを許可されているか否かを前記ポリシー記憶部に記憶されたアクセス可否情報に基づいて判定し、許可されていれば、管理テーブル中の該アプリケーションのアクセス可否情報を許可モードに設定し、許可されていなければ禁止モードに設定する開始時モード設定部と、アプリケーションの終了時に、該アプリケーションが専用ネットワークに対するアクセスが禁止されているか否かをポリシー記憶部に記憶されたアクセス可否情報に基づいて判定し、禁止されていなければ、そのまま終了し、禁止されていれば、他のアプリケーションが前記管理テーブルに登録されているか否かを検出し、登録されていれば実行中のすべてのアプリケーションについて専用ネットワークに対するアクセスを禁止する前記禁止モードに設定し、登録されていなければ実行中のすべてのアプリケーションについて前記専用ネットワークに対するアクセスを許可する許可モードに設定する終了時モード設定部と、終了時モード設定部でモード設定を行なった後に、終了したアプリケーションに関する登録情報を管理テーブルから削除する登録削除部と、を有する。
【図面の簡単な説明】
【０００９】
【図１】第１の実施形態に係る電力管理システムの概略構成を示すブロック図。
【図２】EMSのネットワーク構成を示す第１の実施形態のブロック図。
【図３】EMSの他のネットワーク構成を示す第１の実施形態のブロック図
【図４】第１の実施形態によるEMSの概略構成を示すブロック図。
【図５】ポリシー記憶部に登録される情報のデータ構成の一例を示す図。
【図６】ポリシー設定部アプリケーションをポリシー記憶部に登録手順例を示す図。
【図７】アプリケーションパッケージのファイル構成例を示す図。
【図８】アプリ実行部とアクセス制御部の処理手順例を示す図。
【図９】I/F管理部が管理するテーブル例を示す図。
【図１０】ネットワークI/Fを問い合わせる場合の処理手順例を示す図。
【図１１】第１の変形例に係る電力管理システムの概略構成を示すブロック図。
【図１２】図１１のEMSの内部構成例を示すブロック図。
【図１３】ポリシー記憶部が管理する情報の構成例を示す図。
【図１４】アクセス制御の処理手順例を示す図。
【図１５】第２の実施形態によるEMSの概略構成を示すブロック図。
【図１６】アプリ実行管理部が管理するデータ構造例を示す図。
【図１７】第２の実施形態によるアプリ実行部とアクセス制御部の処理手順を示す図。
【図１８】第２の実施形態の一変形例によるEMSの概略構成を示すブロック図。
【図１９】アクセス制御フェーズの処理手順例を示す図。
【図２０】アプリ実行管理部に登録されるアプリケーションのリスト例を示す図。
【図２１】コネクション確立要求が通知された時の処理手順例を示す図。
【発明を実施するための形態】
【００１０】
(第１の実施形態)
図１は第１の実施形態に係るエネルギー管理装置（EMS）を備えた電力管理システム１の概略構成を示すブロック図である。図１の電力管理システム１は、電力系統管理装置２と、この電力系統管理装置２とインターネット３を介して通信を行う宅内電力管理装置４と、電力系統管理装置２とインターネット３を介して通信を行うメンテナンス用管理端末５および天気予報サーバ６とを備えている。
【００１１】
電力系統管理装置２は、EMS（エネルギー管理装置）１０と、MDMS（Meter Data Management System）１１と、コンセントレータ１２と、RTU（Remote Terminal Unit）１３と、分散電源１４と、蓄電装置１５と、送配電制御装置１６とを有する。電力系統管理装置２内のEMS１０、MDMS１１、RTU１３は内部ネットワーク１７に接続されている。この内部ネットワーク１７は、系統ネットワークあるいは専用ネットワークとも呼ばれる。
【００１２】
宅内電力管理装置４は、各家庭ごとに設けられるものであり、スマートメータ１８とHEMS１９（Home Energy Management System）とを有する。各家庭で太陽電池パネル等により発生した余剰電力を電力系統側に供給する場合には、その制御を行う装置を宅内電力管理装置４内に設けてもよい。
【００１３】
スマートメータ１８は、インターネット３を介して、電力系統管理装置２内のコンセントレータ１２と呼ばれる中継器によって数台ごとにまとめられ、内部ネットワーク１７を介してMDMS１１と通信する。MDMS１１は、各家庭のスマートメータ１８から一定の時間間隔で電力使用量を受信して記憶する。MDMS１１はインターネット３を介してHEMS１９と接続されており、電力の需要抑制命令や発電命令などをHEMS１９に送信する。
【００１４】
EMS１０は、MDMS１１に集約された複数の家庭の電力使用量、あるいは電力系統管理装置２内に設置されたセンサ（不図示）からの情報に基づいて、各家庭のスマートメータ１８やHEMS１９に対して電力使用の抑制を要求するなどの電力制御を行う。また、EMS１０は、RTU１３に接続された太陽光発電や風力発電などの分散電源１４、蓄電装置１５、および送配電制御装置１６を制御し、スマートグリッド全体の電圧や周波数を安定化するための制御を行う。
【００１５】
さらに、EMS１０は、EMS１０内に蓄積されたログ情報の収集や設定の変更などのメンテナンスを行うために、遠隔地に設置されたメンテナンス用管理端末５とインターネット３を介して通信する。同様に、EMS１０は電力供給量の制御を行ったり電力需要量の抑制を行うために電力需要の予測処理を行うことがある。その場合、インターネット３を介して天気予報サーバ６などから予測処理に必要な各地の天気予報などの情報を取得する。
【００１６】
なお、天気予報サーバ６は一例であり、電力管理に役立つ各種情報を提供するサーバであればよい。
【００１７】
図１ではEMS１０とメンテナンス用管理端末５、MDMS１１と家庭内に設置されるスマートメータ１８、およびMDMS１１と同じく家庭内に設置されるHEMS１９をそれぞれインターネット３で接続しているが、インターネット３に直接接続する代わりに、不図示のブリッジやルータ、ファイアウォールなどのネットワーク機器を介して接続していてもよい。これにより、セキュリティの向上が図れる。
【００１８】
また、図１では、EMS１０とRTU１３、EMS１０とMDMS１１を内部ネットワーク１７(イントラネット)に接続しているが、内部ネットワーク１７に不図示のブリッジやルータなどのネットワーク機器を接続してもよい。なお、EMS１０とRTU１３はインターネット３を経由して接続してもよい。
【００１９】
図２および図３はEMS１０のネットワーク構成を示すブロック図である。図２の例では、EMS１０、MDMS１１およびRTU１３は内部ネットワーク１７（系統ネットワーク１７）に接続されている。EMS１０は、遠隔管理用ネットワーク２１にも接続されており、この遠隔管理用ネットワーク２１は、ゲートウェイ(GW)/ファイアウォール（FW）２２を介してインターネット３に接続されている。インターネット３には天気予報サーバ６とメンテナンス用管理端末５が接続されており、EMS１０は、遠隔管理用ネットワーク２１、ファイアウォール２２およびインターネット３を介して、天気予報サーバ６およびメンテナンス用管理端末５と通信を行う。
【００２０】
また、図３の例では、EMS１０は、ルータ２３を介して内部ネットワーク１７に接続されている。内部ネットワーク１７には、MDMS１１とRTU１３が接続されている。ルータ２３には遠隔管理用ネットワーク２１も接続されている。
【００２１】
図２および図３は一例であり、他のネットワーク構成を採用してもよい。ただし、本実施形態のEMS１０は、基本的なネットワーク機能として、インターネット３接続用のインタフェースと、内部ネットワーク１７接続用のインタフェースとを有する。この機能を備えている限り、種々のネットワーク形態を採用することができる。
【００２２】
なお、遠隔管理用ネットワーク２１と系統ネットワーク１７の物理レイヤおよびリンクレイヤとして、イーサネット（登録商標）やIEEE802.11に準拠した無線LANなどの種々の形態が採用可能である。ネットワークレイヤとして、インターネット３プロトコル（IP）を使用する場合、IPv4とIPv6のいずれでもよい。
【００２３】
図２では、EMS１０が二つのネットワークに接続するために物理的に二つのネットワークインタフェース（以下、ネットワークI/F）を有する例を示しているが、図３に示すように、EMS１０が物理的に一つのネットワークI/Fを有し、EMS１０に二つ以上のIPアドレスを付与して論理的に複数のインタフェースを持つようにしてもよい。この場合、ルータ２３は、EMS１０のアドレスXから送信されるパケットを遠隔管理用ネットワーク２１に転送し、アドレスYから送信されるパケットを系統ネットワーク１７に転送するように設定しておく。
【００２４】
図４は本実施形態によるEMS１０の概略構成を示すブロック図である。図４に示したEMS１０はアプリ実行部３１、アクセス制御部３２、ポリシー記憶部３３、ポリシー設定部３４、アプリロード部３５、アプリ記憶部３６、I/F管理部３７、系統ネットワークI/F管理部３８、遠隔管理用ネットワークI/F管理部３９、系統ネットワークI/F処理部４０、遠隔管理用ネットワークI/F処理部４１、および登録状態管理部４２を有する。
【００２５】
アプリ記憶部３６は、EMS１０が実行するアプリケーションを記憶する。ここで、アプリケーションとは、プログラムモジュールであり、例えば、MDMS１１と通信を行って消費電力情報を取得したり、電力の需給予測の計算を行ってRTU１３と通信して電力供給量を調整する処理を行うプログラムモジュールを指す。また、アプリケーションとは、インターネット３経由で接続されたメンテナンス用管理端末５と通信を行い、どのようなログ情報を記録すべきかの指示を受け付けたり、ログ情報などをメンテナンス用管理端末５に送信する処理を行うプログラムモジュールも指す。
【００２６】
プログラムモジュールの実装形態はハードウェアでもソフトウェアでも、その組み合わせでもよいが、ここではソフトウェアモジュールとして実装した場合の例について述べる。なお、図４ではエネルギー管理アプリがアプリ記憶部３６に格納されている例を示しているが、これ以外のアプリケーションがアプリ記憶部３６に格納されていてもよい。
【００２７】
アプリロード部３５はアプリ記憶部３６に格納されたアプリケーションを必要に応じてロードする処理を行う。アプリケーションのロードはユーザの指示で行ってもよいし、毎日決まった時刻などに定期的にロードしてもよいし、電力消費が一定の閾値を超えた場合など特定のイベントが発生した場合にロードしてもよいし、ネットワークからの所定の信号を受信する事によってロードしてもよい。
【００２８】
アプリ実行部３１はアプリロード部３５がロードしたアプリケーションを実行する。アプリケーションは複数同時に実行されることを想定しており、また系統ネットワーク１７に接続された機器を制御したりデータを取得したりするアプリケーションと、メンテナンス用の処理を行うアプリケーションとは、別々のアプリケーション（例えば別々のファイルのソフトウェアモジュール）として構成されることを想定している。なお、複数のアプリケーションは必ずしも同時に実行されるとは限らず、場合によっては、一つのアプリケーションが実行される場合もありうる。
【００２９】
I/F管理部３７は、アプリケーションが接続先機器を指定した場合にアプリケーションから送受信されるデータ（パケット）が、系統ネットワークI/F管理部３８で処理するデータか、遠隔管理用ネットワークI/F管理部３９で処理するデータかを選別する処理を行う。接続先機器は、例えばIPアドレスを用いて指定される。その場合、I/F管理部３７はアプリケーションから送信されたパケットに含まれる宛先IPアドレスから、どちらのI/F管理部３７で処理させるデータかを選別する。
【００３０】
系統ネットワークI/F管理部３８は、系統ネットワーク１７に接続された機器と通信を行うためのデータリンクレイヤ処理、ネットワークレイヤ処理、およびトランスポートレイヤ処理を行う。一方、遠隔管理用ネットワークI/F管理部３９は、遠隔管理用ネットワーク２１に接続された機器あるいはメンテナンス用管理端末５と通信を行うためのデータリンクレイヤ処理、ネットワークレイヤ処理、およびトランスポートレイヤ処理を行う。
【００３１】
なお、系統ネットワーク１７と遠隔管理用ネットワーク２１がともにネットワークプロトコルとしてTCP/IPを用いる場合、系統ネットワーク１７に付与されるIPアドレスと遠隔管理用ネットワーク２１に付与されるIPアドレスに違いはあるものの、両I/F管理部３８，３９の処理内容に違いはない。
【００３２】
両I/F管理部３８，３９の処理が終わると、系統ネットワークI/F処理部４０または遠隔管理用ネットワークI/F処理部４１の処理が行われる。系統ネットワークI/F処理部４０は系統ネットワーク１７と通信を行うための物理レイヤ処理の処理を行う。遠隔管理用ネットワークI/F処理部４１は遠隔管理用ネットワーク２１に接続された機器と通信を行うための物理レイヤ処理の処理を行う。
【００３３】
系統ネットワークI/F管理部３８と系統ネットワークI/F処理部４０を専用ネットワークI/F部に対応し、遠隔管理用ネットワークI/F管理部３９と遠隔管理用ネットワークI/F処理部４１は公衆ネットワークI/F部に対応する。本実施形態では、２つのネットワークI/F処理部を有するが、３つ以上のネットワークI/F処理部を設けて、Ｉ／Ｆ管理部３７で任意の一つを選択してもよい。
【００３４】
図２に示すように、EMS１０は異なるネットワーク（内部ネットワーク１７と遠隔管理用ネットワーク２１）に接続されており、二つの物理インタフェースを有する。これらの物理インタフェースがそれぞれ系統ネットワークI/F処理部４０と遠隔管理用ネットワークI/F処理部４１に対応する。
【００３５】
また、図２に示すネットワーク構成では、系統ネットワーク１７と遠隔管理用ネットワーク２１は異なるネットワークアドレス（例えばIPアドレス）が付与される。I/F管理部３７は、アプリケーションで指定された宛先IPアドレスが系統ネットワーク１７と遠隔管理用ネットワーク２１のどちらのネットワークアドレスの範囲に含まれるか検索し、利用するネットワークI/Fを決定する処理を行うことになる。
【００３６】
ポリシー記憶部３３は、アプリケーションごとに、どのネットワークI/Fに対するアクセスを許可するかを定めたアクセス可否情報（ポリシー）を蓄積する。つまり、ポリシー記憶部３３は、個々のアプリケーションごとに、アプリケーションの識別情報と、複数のネットワークI/F部のそれぞれに対するアクセスを許可するか否かを示すアクセス可否情報とを、対応付けて記憶する。
【００３７】
ポリシー設定部３４は、ポリシー記憶部３３に対してポリシーを設定する。つまり、ポリシー設定部３４は、個々のアプリケーションごとに、複数のネットワークI/F部のそれぞれに対するアクセスを許可するか否かを設定する。ポリシーのデータ構造や設定方法については後述する。
【００３８】
アクセス制御部３２は、アプリケーションからのネットワークI/F利用要求に基づいて、ポリシー記憶部３３からポリシーを取得し、比較処理を行ってアプリケーションがネットワークI/Fのアクセスを許可されているか否かを判断するアクセス制御処理を行う。アクセス制御の処理の詳細については後述する。
【００３９】
本実施形態によるEMS１０は、アプリケーション登録フェーズとアクセス制御フェーズとの二つの処理を行う。アプリケーション登録フェーズでは、アプリケーションのネットワークI/F利用に先立ち、ネットワークを利用してよいアプリケーションをあらかじめ登録しておく処理を行う。一方、アクセス制御フェーズでは、実際にアプリケーションがネットワークI/Fを利用する時に、そのアプリケーションが利用してよいインタフェースか否か判別処理を行う。
【００４０】
まず、EMS１０が行うアプリケーション登録フェーズの処理手順について説明する。アプリケーション登録フェーズでは、ポリシー設定部３４を使ってポリシー記憶部３３に対して、どのアプリケーションがどのネットワークI/Fのアクセスを許可するかを登録する処理を行う。
【００４１】
図５はポリシー記憶部３３に登録される情報のデータ構成の一例を示す図である。図５に示すように、ポリシー記憶部３３には、各アプリケーションごとに、アプリケーション識別情報、系統用ネットワークI/Fのアクセス可否情報、遠隔管理用ネットワークI/Fのアクセス可否情報が登録されている。アプリケーション識別情報はアプリケーションを識別するための情報である。アプリケーションを識別する情報として、以下の３つのいずれか、あるいはその任意の組み合わせが考えられる。
（ａ）アプリケーションプログラムファイルが保存されている場所(パス名＋ファイル名)。
（ｂ）アプリケーションが実行される時に付与されるプロセス名またはプロセス識別情報。
（ｃ）アプリケーションプログラムのハッシュ値。
【００４２】
このように、ポリシー記憶部３３は、アプリケーションの種類によって、どちらのネットワークI/Fに対するアクセスを許可するかのアクセス可否情報を登録する。例えば、系統ネットワーク１７を経由してMDMS１１に対して電力需要抑制命令を送信するアプリケーションについては、系統用ネットワークI/Fに対するアクセスを許可するが、遠隔管理用ネットワークI/Fに対するアクセスを禁止する。
【００４３】
同様に、RTU１３から発電情報を取得したり、RTU１３に対して発電命令を送信したりするアプリケーションについても、系統用ネットワークI/Fに対するアクセスを許可するが、遠隔管理用ネットワークI/Fに対するアクセスは禁止する。
【００４４】
一方、インターネット３を経由してメンテナンス用管理端末５に対してログ情報を送信したりするアプリケーションについては、遠隔管理用ネットワークI/Fに対するアクセスを許可し、系統用ネットワークI/Fに対するアクセスは禁止する。同様にインターネット３上のサーバからインターネット３を経由して天気情報を取得するアプリケーションについてもインターネット３に接続する遠隔管理用ネットワークI/Fのアクセスを許可し、系統用ネットワークI/Fに対するアクセスは禁止する。また、ログ情報を記録するといったネットワークの機能を用いないアプリケーションに対しては両方のネットワークI/Fに対するアクセスを禁止する。
【００４５】
なお、後述するように、登録されていないアプリケーションについてはネットワークI/Fに対するアクセスを禁止するというルールにしておけば、ネットワークI/Fを利用するアプリケーションのポリシーをポリシー記憶部３３に登録しておけばよく、ネットワークI/Fに対するアクセスを禁止するアプリケーションを明示的に登録しておくことは必須ではないため、アプリケーション登録の手間を省くことができる。
【００４６】
一般的なEMS１０では、メンテナンス用管理端末５と通信するアプリケーションは系統用ネットワークI/Fを利用するが、本実施形態では明示的にポリシー記憶部３３にポリシーを登録しておかない限り、アプリケーションが系統用ネットワークI/Fにアクセスすることを禁止する設定にすることに利点がある。
【００４７】
特にアプリケーションが外部からのアクセスを許可するような、いわゆるサーバとして機能する場合に極めて有用である。昨今、インターネット３から管理者の権限を不正に取得して装置に侵入したり、不正にデータを取得したりするような不正アクセスによるサイバー犯罪が後を絶たない。EMS１０では電力の需給予測などを行う他、RTU１３などEMS１０以外の装置に対して電力の需要命令を送信したりするため、EMS１０内のデータが改ざんされたり、EMS１０以外の装置に対して不正な電力の需要命令を送信したりすると正常に需給を管理することができず、需給のバランスが崩れて停電などの大規模災害を引き起こす危険性がある。
【００４８】
特にアプリケーションがインターネット３からアクセス可能な状態でサーバ機能を提供する場合、アプリケーションの実装ミスや設定ミスによって不正に管理者権限が取得されてしまうと、攻撃者はインターネット３を経由して系統ネットワーク１７に不正なデータを送信可能となり、RTU１３やMDMS１１などの装置に不正な命令を送信したり、EMS１０をRTU１３やMDMS１１に対して侵入を仕掛ける際の踏み台として利用されたりする危険性がある。各アプリケーションがアクセス可能なネットワークI/Fを制限することで、仮にアプリケーションに脆弱性が含まれていて攻撃者がその脆弱性を利用してアプリケーションを乗っ取り、遠隔管理用ネットワーク２１から侵入したとしても、そのアプリケーションを使って系統ネットワーク１７に不正なパケットを送信することを防ぐことができる。
【００４９】
登録状態管理部４２はポリシー記憶部３３にアプリケーションを登録してもよい状態か否かを判別する。前述のようにポリシー記憶部３３にアプリケーションを登録できるのはポリシー設定部３４に限定されるが、ポリシー設定部３４がポリシー記憶部３３にアプリケーションを登録する際、登録状態管理部４２は、ポリシー設定部３４がアプリケーションの登録を許可できる状態（登録許可状態）にあるか否かを確認する。登録禁止状態の場合はポリシー設定部３４によるアプリケーションの登録を禁止し、登録許可状態の時にポリシー設定部３４によるアプリケーションの登録を許可する。これは不正にアプリケーションが登録されることを防ぐためである。
【００５０】
上述のように、遠隔管理用ネットワーク２１を経由して不正者がEMS１０に侵入し、本来許可されていないアプリケーションに対してネットワークI/Fのアクセスが許可されるようポリシー設定部３４に登録する危険性がある。これを防ぐためにポリシーへの登録が正規のオペレーターによる操作であることを確認する処理が必要となる。
【００５１】
なお、登録情報管理部が確認する登録許可状態とは、以下の３つのいずれか、あるいはその任意の組み合わせである。
（ａ）アプリケーションが遠隔管理用ネットワークI/F管理部３９を使ってパケットの送受信を行っていない時（遠隔管理用ネットワーク２１を経由したネットワークコネクションが確立されていない時）。
（ｂ）ポリシー設定部３４が遠隔管理用ネットワークI/F管理部３９からの入力ではなく、キーボードからの入力に基づいてポリシー記憶部３３への登録を行っていることが確認できたとき。
（ｃ）系統ネットワークI/F管理部３８を使ってパケットの送受信を行っていないとき。
【００５２】
図６はポリシー設定部３４がアプリケーションをポリシー記憶部３３に登録する処理手順の一例を示すフローチャートである。まず、登録対象のアプリケーションを選択し、ポリシー設定部３４に登録対象のアプリケーションを指定する（ステップＳ１）。次に、ポリシー設定部３４またはポリシー記憶部３３は登録対象のアプリケーション識別情報を収集する（ステップＳ２）。これらの手順はEMS１０をネットワークに接続する前に行ってもよいし、ネットワーク接続後のアプリケーションのインストール時に行ってもよい。
【００５３】
アプリケーション識別情報の収集は、オペレーターに手入力させてもよい。以降では、ポリシー設定部３４が自動的に情報を収集する処理の例について説明する。その前提として、アプリケーション開発者がアプリケーション識別情報をアプリケーションパッケージのファイルに含めておく。
【００５４】
図７はアプリケーションパッケージのファイル構成を示す図である。なお、図７ではアプリケーション識別情報としてアプリケーション実行プログラムのハッシュ値を使うものとする。アプリケーション識別情報はアプリケーションを識別可能な値であれば、アプリケーション開発者が一意に付けたID、一意に付けたファイル名(パッケージ名)などでもよい。図７に示すように、アプリケーションパッケージには複数のファイルが含まれている。これらファイルは、アプリケーションの実態であるアプリケーション実行ファイル、設定データやインストーラーなどが含まれたアプリケーションデータ、それにアプリケーション識別情報(ハッシュ値)などを含んでいる。
【００５５】
なお、オプションとしてどのネットワークI/Fを利用するアプリケーションかを示す情報を記述したファイルを含めてもよい。
【００５６】
アプリケーション開発者はアプリケーションインストールに先立ちアプリケーション生成時にアプリケーション識別情報(ハッシュ値)を事前に計算しておき、パッケージファイルと共に配布する。
【００５７】
ポリシー設定部３４はEMS１０にインストールされているアプリケーション実行プログラムのハッシュ値を計算するか、またはアプリケーションパッケージに含まれていたファイルに含まれるハッシュ値をアプリケーション識別情報とする。
【００５８】
ポリシー設定部３４は、アプリケーションの登録に必要な情報の収集が終了すると、登録状態管理部４２の状態を検査する（ステップＳ３）。その結果、登録状態管理部４２が登録許可状態か否かを判定し（ステップＳ４）、登録許可状態でなければ（ステップＳ５）、エラー処理を行って（ステップＳ６）、以降の処理は行わない。登録可能状態であれば、ポリシー設定部３４は収集した情報をポリシー記憶部３３に登録する（ステップＳ７）。この時、EMS１０にインストールされているアプリケーション実行プログラムのハッシュ値を計算し、その計算値がアプリケーションパッケージに含まれていたファイルに含まれるハッシュ値と一致するか否かを検査し、一致する場合にアプリケーションをハッシュ値と共に登録する。この時さらに、アプリケーションパッケージのハッシュ値にアプリケーション開発者の秘密鍵で署名を施してアプリケーションパッケージファイルに含め、かつポリシー記憶部３３は事前に秘密鍵に対応する公開鍵をインストールしておけば、ポリシー設定部３４はアプリケーション登録時にその公開鍵で署名を検証し、署名検証処理が成功した時に登録する。このように、署名検証処理を行うことで、信頼できるアプリケーション開発者が開発したアプリケーションであること、さらにアプリケーションパッケージが改変されていないことが保証できる。
【００５９】
なお、アプリケーションパッケージのハッシュ値に署名を施してもよいし、アプリケーションパッケージ内の特定のファイル、例えばアプリケーション実行ファイルやアプリケーション識別情報に署名を施してもよい。その後、ポリシー設定部３４はアプリケーション識別情報と、系統用ネットワークI/Fまたは遠隔管理用ネットワークI/Fのいずれかのインタフェースに対するアクセスを許可するかを示すアクセス可否情報をポリシー記憶部３３に登録する（ステップＳ７）。これにより、アプリケーションの登録処理が終了する（ステップＳ８）。
【００６０】
どのインタフェースに対するアクセスを許可するかを示すアクセス可否情報として、どのネットワークI/Fにアクセスするアプリケーションかを示す情報がアプリケーションパッケージ内に含まれている場合は、その情報を利用してもよいし、含まれていない場合には管理者がアプリケーションの内容に応じてアクセス可能なインタフェースを選択してもよい。もしアプリケーションパッケージにアプリケーション実行ファイルがどのIPアドレスの機器と接続するかそのIPアドレス利用情報が含まれていれば、その情報を利用して登録してもよい。
【００６１】
なお、IPアドレス利用情報はIPアドレス(123.456.789.123)の形式でもよいし、DNSドメイン名(bar.foo.com)でもよい。
【００６２】
次に、EMS１０が行うアクセス制御フェーズの処理手順について説明する。図８はアクセス制御フェーズにおけるアプリ実行部３１とアクセス制御部３２の処理手順の一例を示すフローチャートである。まず、アプリ実行部３１はアプリケーションが利用するIPアドレス(またはDNSドメイン)とアプリケーション識別情報をアクセス制御部３２に通知する（ステップＳ１１）。この処理はアプリケーション実行プログラム自身がアクセス制御部３２に通知してもよいし、アプリケーション実行に先立ち、アプリ実行部３１がアプリケーションパッケージ内に含まれるIPアドレス利用情報とアプリケーション識別情報を取得してアクセス制御部３２に通知してもよい。アクセス制御部３２は受信したIPアドレスから系統用ネットワークと遠隔管理用ネットワーク２１のどちらのネットワークにアクセスするかをI/F管理部３７に問い合わせる（ステップＳ１２）。
【００６３】
なお、IPアドレスの代わりにDNSドメイン名を利用している場合は、I/F管理部３７に通知する前にDNSサーバからIPアドレスに変換する処理を行ってもよい。
【００６４】
図９はI/F管理部３７が管理するテーブルの一例を示す図である。この管理テーブルは、どのIPアドレスがどちらのネットワークI/Fに対応するかを管理する。図９に示すように、IPアドレスとネットワークI/Fは1対1に対応してもよいし、アドレス範囲ごとにネットワークI/Fに対応していてもよい。I/P管理部は、アクセス制御部３２から指定されたIPアドレスがどのネットワークI/Fに対応するかをテーブルから検索し、ネットワークI/F名をアクセス制御部３２に回答する（ステップＳ１３）。
【００６５】
アクセス制御部３２は、許可されたネットワークI/Fに対するアクセスであるか否かをポリシー記憶部３３に問い合わせる（ステップＳ１４）。ポリシー記憶部３３は図５に示したテーブルに従って許可か禁止かをアクセス制御部３２に回答する。アクセス制御部３２は、ポリシー記憶部３３からの回答に基づいて、アプリケーションがアクセスを要求したネットワークI/Fのアクセスが許可されているか否かを判定する（ステップＳ１５，Ｓ１６）。
【００６６】
禁止されたアクセスであればアプリ実行部３１またはアプリケーションに対してそのことを通知し（ステップＳ１７）、アプリケーションはエラー処理を行う（ステップＳ１８）。もちろん、禁止されていてもアプリケーション実行中にネットワークI/Fを利用してネットワーク上の機器とコネクションを確立しようとする場合にはそのコネクション確立を禁止する。ネットワークI/Fに対するアクセスが許可されていれば、そのことをアプリケーションに通知して（ステップＳ１９）、アプリケーションはネットワーク上の機器とネットワークコネクションの確立が成功する（ステップＳ２０）。
【００６７】
なお、このネットワークI/Fに対するアクセスの可否はファイアウォール装置などでよく用いられている機器のネットワークフィルタリングの仕組みを用いてもよいし、ネットワークコネクション確立命令をオペレーティングシステムに通知する際に、その命令をアクセス制御部３２がブロックするように実装してもよい。
【００６８】
図８ではアプリケーションがどちらのネットワークI/Fにアクセスするかをアクセス制御部３２がI/F管理部３７に問い合わせていたが、アプリ実行部３１がI/F管理部３７に対してネットワークI/Fを問い合わせてもよい。
【００６９】
図１０はアプリ実行部３１がI/F管理部３７に対してネットワークI/Fを問い合わせる場合の処理手順の一例を示すフローチャートである。まずアプリ実行部３１はアプリケーションが利用するIPアドレスをI/F管理部３７に問い合わせる（ステップＳ３１）。I/F管理部３７は図９のテーブルに従ってネットワークI/Fを特定して、アプリ実行部３１に回答する（ステップＳ３２）。アプリ実行部３１はアプリケーションがアクセスするネットワークI/Fとアプリケーション識別情報をアクセス制御部３２に通知する（ステップＳ３３）。その後のアクセス制御部３２の処理（ステップＳ３４〜Ｓ３９）は図８のステップＳ１５〜Ｓ２０と同じである。
【００７０】
なお、この場合、アプリケーション開発者が必ずネットワークコネクション利用に先立ち、I/F管理部３７にどちらのネットワークI/Fを利用するか問い合わせる処理を含めるよう、合意しておく必要がある。
【００７１】
次に、IPアドレスとネットワークI/Fの対応を管理する別例について示す。次世代電力網の特徴の一つにネットワーク構成が機器によって管理されていることが挙げられる。一般的なインターネット３では個々のネットワーク管理者が個々の機器に個々のドメイン名やIPアドレスを割り振るローカルネットワークをそれぞれ運用・管理しており、すべてのローカルネットワーク上の機器を統一的に管理する管理者は存在しない。しかし次世代電力網では、図１に示す分散電源１４や蓄電装置１５などがどの内部ネットワーク１７（電力系統ネットワーク１７）に接続されており、個々の電力系統ネットワーク１７を束ねるネットワーク構成がどのような形態であるかを示すネットワークトポロジーの情報が管理されている。より具体的には、IEC 61850規格(CIM(Common Information Model))に代表されるようにネットワークトポロジーのモデルの記述方法が規定されている。すなわち、次世代電力網(系統ネットワーク１７)に蓄電装置１５などの機器が新たに接続されたり、停電やメンテナンス作業などによって切断されたりした場合に、データベースの内容を更新する仕組みが次世代電力網では提供されている。このデータベース管理はEMS１０が行ってもよいし、CIMデータベースの専用装置が行ってもよい。以下では、EMS１０がCIMデータベースを管理する構成について説明する。
【００７２】
図１１は第１の実施形態の第１の変形例に係る電力管理システム１ａの概略構成を示すブロック図である。図１では、EMS１０とすべてのRTU１３が共通の内部ネットワーク１７に接続される例を説明したが、図１１では、電力系統管理装置２内に複数の系統ネットワークが設けられ、それぞれの系統ネットワークがルータを介して接続される。
【００７３】
より具体的には、図１では電力系統管理装置２内のEMS１０やRTU１３などが接続されるネットワークを内部ネットワーク１７（系統ネットワーク１７）と総称したが、図１１に示す電力系統管理装置２では、分散電源１４と蓄電装置１５およびそれらに接続されるRTU１３は系統ネットワーク１７内のネットワークAに接続され、送配電制御装置１６とそれに接続されるRTU１３は系統ネットワーク１７内のネットワークBに接続されている。そしてネットワークAとネットワークBはルータAを介してEMS１０と接続されている。
【００７４】
以下に示す例では、EMS１０がCIMデータベース（CIM DB）を利用することで、アプリケーションが系統ネットワーク１７か遠隔管理用ネットワーク２１のどちらのネットワークに所属する機器と接続しようとしているかを特定し、かつ系統ネットワーク１７の中のどのネットワークあるいは機器に接続しようとしているかを特定して、アクセス制御を行うものである。すなわち、図１１の電力管理システム１ａは、アプリケーションが天気予報サーバ６やRTU１３に接続してよいかだけでなく、分散電源１４に接続されたRTU１３に接続してよいか(ネットワークAの機器に接続してよいか)、あるいは送配電制御装置１６のRTU１３に接続してよいか(ネットワークBの機器に接続してよいか)といったことまで管理することができる。
【００７５】
図１２は図１１のEMS１０ａの内部構成の一例を示すブロック図である。図１２のEMS１０ａはCIM DB記憶部４３とCIM DB管理部４４を備えている点が図４と異なる。CIM DB記憶部４３は上述したCIMデータベースのデータを格納する。CIM DB管理部４４は、ネットワークに機器が接続された時や、ネットワークから機器が切断された時など、ネットワークの構成が変更された時に、そのことを示すメッセージを外部の機器から受信し、CIM DB記憶部４３に通知して、ネットワークの構成とCIM DB記憶部４３の内容が一致するようにCIM DB記憶部４３のデータを書き換える処理を行う機能を有する。
【００７６】
図１３はポリシー記憶部３３が管理する情報の構成の一例を示す図である。図１３のポリシー記憶部３３は、遠隔管理用ネットワークI/Fに加えて、系統ネットワーク１７のうちネットワークAとネットワークBの利用許可情報についても管理できる点が図５とは異なる。
【００７７】
図１４は図１３のEMS１０ａが行うアクセス制御の処理手順を示すフローチャートである。図１３のEMS１０ａが行うポリシー記憶部３３への登録処理手順は図６と比べて、個々のアプリケーションがネットワークAとネットワークBへのアクセス許可情報を加えるだけの違いしかないため、説明を省略する。
【００７８】
図１４において、アプリ実行部３１がI/F管理部３７を使ってインタフェースを特定するまでのステップＳ４１〜Ｓ４３は図８のステップＳ１１〜Ｓ１３と同様の処理手順でよい。その後、遠隔管理用I/Fか否かを判定し（ステップＳ４４）、遠隔管理用ネットワークI/Fではなく系統用ネットワークI/Fだった場合、アクセス制御部３２はCIM DB記憶部４３からネットワーク構成を取得する（ステップＳ４５）。そしてアクセス制御部３２はアプリケーションが該当するネットワーク(ネットワークA、ネットワークB、遠隔管理用ネットワーク２１)へのアクセスが許可されているか否かをポリシー記憶部３３に問い合わせ、許可されたアクセスであるか否かを判定する。それ以降の処理（ステップＳ４６〜Ｓ５２）は図８のステップＳ１４〜Ｓ２０と同じ処理手順でよい。
【００７９】
このように、第１の実施形態では、 個々のアプリケーションごとに、個々のネットワークI/F部のアクセス可否情報をポリシー設定部３４で判断してポリシー記憶部３３に記憶しておくため、アプリ実行部３１が実行するアプリケーションに対して特定のネットワークI/F部のアクセスを許可するか否かを簡易かつ迅速に決定できる。これにより、不正なアプリケーションによるネットワークI/F部へのアクセスを禁止でき、本来の電力制御の処理に影響を与えずにネットワークからの不正アクセスを防止できる。
【００８０】
また、系統ネットワーク１７の詳細なネットワーク構成を記憶するCIM DB記憶部４３を設ければ、系統ネットワーク１７内の個々のネットワークごとに、アプリケーションによるアクセスを許可するか否かを設定でき、系統ネットワーク１７内の個々のネットワーク単位でアクセス制限をかけることができ、不正アクセス防止をより徹底させることができる。
【００８１】
（第２の実施形態）
第１の実施形態では、ネットワークI/Fを利用するアプリケーションを事前に登録しておき、アプリケーションはネットワークI/F利用時にネットワークI/Fを利用してよいかどうかアプリケーション自身がEMS１０ａに可否を問い合わせる。ネットワークI/Fの利用が許可されていることを示すポリシーが登録されているアプリケーションであれば特定のネットワークI/Fに対するアクセスを許可し、そうでなければアクセスを禁止することで、特定のアプリケーションしか特定のネットワークI/Fの利用をできないように禁止することを実現していた。すなわち、第１の実施形態は、アクセス制御の判定をアプリケーションがネットワーク上の機器とネットワークコネクションを確立する前に行っている。これに対して、第２の実施形態は、アプリケーションがネットワーク上の機器とネットワークコネクションを確立する時に自動的にネットワークI/Fのアクセス可否を判定する処理を行う。
【００８２】
図１５は第２の実施形態によるEMS１０ｂの概略構成を示すブロック図である。図１５のEMS１０ｂはアプリ実行管理部４５を備えている点が図４のブロック図とは異なる。前述したように、EMS１０ｂでは複数のアプリケーションが同時に実行される場合がある。第２の実施形態ではアプリケーションの実行が開始されると、その実行中のアプリケーションがアプリ実行管理部４５に登録される。アプリケーションの実行が終了するとアプリ実行管理部４５からアプリケーションが削除される。すなわちアプリ実行管理部４５は現在どのようなアプリケーションが実行されているかを管理する処理を行う。
【００８３】
図１６はアプリ実行管理部４５が管理するデータ構造を示す図である。ここで、図１３に示すようなデータがポリシー記憶部３３に登録されているものとする。アプリ実行管理部４５はアプリケーションの実行を監視し、アプリ実行部３１がアプリケーションの実行を開始するとポリシー記憶部３３に登録されたアプリケーションか否かを調べる。
【００８４】
例えば、アプリケーションAが実行された場合、アプリ実行管理部４５はアプリケーションAが実行されたことを検出して、ポリシー記憶部３３にアプリケーションＡが登録されているか否かを確認する。例えば、アプリケーションＡのポリシーがポリシー記憶部３３に登録されている場合には、図１６に示すように、アプリケーション名とアプリケーション識別情報、ネットワークI/F情報をアプリ実行管理部４５にロードする。
【００８５】
同様に、アプリケーションＡが実行されている状態で、アプリケーションCとアプリケーションＥが実行されると、アプリ実行管理部４５にロードされるデータは図１６に示すようなものになる。ポリシー記憶部３３に登録されていないアプリケーションであればネットワークI/Fの利用は禁止状態として登録する。すなわち、図１６に示すようにアプリ実行管理部４５には現在実行中のアプリケーションに関するポリシーがロードされることになる。図１６の例では、アプリケーションA、C、Eが現在実行されており、AとCはポリシー設定部３４に登録されたアクセス可否情報がそのままアプリ実行管理部４５に登録される。アプリケーションBやDは現在実行されていないため、アプリ実行管理部４５にはロードされていない。一方、アプリケーションEはポリシー設定部３４にはアクセス可否情報が登録されていないが実行中のアプリケーションであるため、ネットワークI/Fの利用はすべて禁止状態となる。
【００８６】
なお、アプリケーション識別情報は、第１の実施形態と同様に、（ａ）アプリケーションプログラムファイルが保存されている場所(パス名＋ファイル名)、（ｂ）アプリケーションが実行される時に付与されるプロセス名またはプロセス識別情報、（ｃ）アプリケーションプログラムのハッシュ値のいずれでもよく、これらの任意の組み合わせでもよい。以下では（ｃ）の情報を用いた例について説明する。
【００８７】
仮にアプリケーションＣの実行が終了した場合には、アプリ実行管理部４５はアプリケーションＣに対応するエントリー(ポリシー)をアプリ実行管理部４５から削除する。
【００８８】
ただし、ポリシー記憶部３３に格納されたアプリケーションＣに対応するエントリーは削除しない。これはポリシー記憶部３３に格納されたデータは現在実行中のアプリケーションとは関係なくポリシーを管理するデータベースであり、かつポリシー記憶部３３のデータを追加・削除できるのはポリシー設定部３４に限定しているためである。
【００８９】
また、アプリケーションの実行に先立ち、アプリケーションをポリシー記憶部３３に登録する必要があるが、この処理手順は第１の実施形態と同じであるため説明を省略する。
【００９０】
次に、第２の実施形態によるEMS１０ｂが行うアクセス制御フェーズの処理手順について説明する。図１７は第２の実施形態によるEMS１０ｂが行うアクセス制御フェーズのアプリ実行部３１とアクセス制御部３２の処理手順を示す図である。まず、アプリケーションの実行時にアプリ実行管理部４５にアプリケーションを登録する。次にアプリ実行部３１はネットワーク上の機器と接続するためにネットワークコネクション確立要求をアクセス制御部３２に送信する（ステップＳ６１）。このネットワークコネクション確立要求には少なくとも確立先の機器のIPアドレスまたはDNSドメイン名が含まれる。アクセス制御部３２はコネクション確立要求の通知を受けると、そのコネクション確立要求がどのアプリケーションから発行されたものであるかを調査して、アプリケーションを特定する（ステップＳ６２）。この調査にはアプリ実行管理部４５が管理している情報(図１６の情報)を用いる。別の方法として、現在動作中のアプリケーションプロセスリストの中から特定してもよいし、もしネットワークコネクション確立要求に実行中のアプリケーション名またはアプリケーション識別情報が含まれている場合には、その情報を用いてアプリケーションを特定してもよい。
【００９１】
次に、アクセス制御部３２はコネクション確立要求に含まれるIPアドレスがどのインタフェースに対応するかI/F管理部３７に問い合わせて（ステップＳ６３）、系統用ネットワークI/Fか遠隔管理用ネットワークI/Fかを特定する（ステップＳ６４）。
【００９２】
次に、遠隔管理用I/Fか否かを判定して（ステップＳ６５）、系統用ネットワークI/Fであれば、CIM DB記憶部４３からネットワーク構成を取得する（ステップＳ６６）。ステップＳ６６の処理が終了した場合、またはステップＳ６５で遠隔管理用I/Fと判定された場合、アクセス制御部３２は、ネットワーク情報とアプリケーション識別情報をポリシー記憶部３３に問い合わせる（ステップＳ６７）。
【００９３】
次に、アクセス制御部３２は、アプリケーション識別情報に基づいて、ネットワークI/Fのアクセスが許可されているかをアプリ実行管理部４５に問い合わせる（ステップＳ６８、Ｓ６９）。もしアクセスが許可されていればコネクション確立要求を受け付けて所定の処理を行い（ステップＳ７０）、もし禁止されていればコネクション確立要求に対してエラーを返す（ステップＳ７１）。
【００９４】
なお、この例では、図１６に示すように、現在実行中のアプリケーションが個々のネットワークおよびネットワークI/Fを利用できるか否かのアクセス可否情報をアプリ実行管理部４５が管理する例を示した。この例とは別に、アプリ実行管理部４５が現在実行中のアプリケーションに対応するアプリケーション識別情報を管理し、個々のネットワークおよびネットワークI/Fを利用できるか否かのアクセス可否情報は管理しないようにしてもよい。その場合、アクセス制御部３２がアプリケーション識別情報に基づいてネットワークアクセスが許可されているアプリケーションであるか否かをアプリ実行管理部４５に問い合わせた場合、アプリ実行管理部４５は、アプリケーションに該当するエントリーがポリシー記憶部３３に格納されているかどうか検査し、格納されていない場合にはアクセスを拒否し、格納されている場合はそのアプリケーションに対応するエントリーをポリシー記憶部３３からロードし、アプリケーションが利用するネットワークI/Fへのアクセスが許可されているか否かを判定してもよい。
【００９５】
第１の実施形態では、アプリケーションに対してネットワークI/F部の利用が許可されているか否かをアクセス制御部３２が通知する処理を行ったが、第２の実施形態ではコネクション確立要求処理が正常に行われるか、あるいはエラー処理を返すかで、アプリケーションによるネットワークI/Fの利用可否を判定するため、アプリケーション開発者は通常の手順に沿ってアプリケーションを開発すればよく、アプリケーション開発コストを下げることができる利点がある。
【００９６】
以下では、EMS１０ｂの処理をより簡略化した構成を説明する。図１８は第２の実施形態の一変形例によるEMS１０ｃの概略構成を示すブロック図である。図１８に示したEMS１０ｃはI/F管理部３７がなく、その代わりにアプリ実行管理部４５がポリシー記憶部３３を呼び出す点が図１２のブロック図と異なる。図１８のEMS１０ｃはCIM DB記憶部４３とCIM DB管理部４４を備えているが、これらは必須の構成ではなく、省略してもよい。
【００９７】
図１９は図１８のEMS１０ｃが行うアクセス制御フェーズの処理手順を示すフローチャートである。より具体的には、図１９（ａ）はアプリケーション実行時におけるアプリ実行部３１とアプリ実行管理部４５の処理手順を示し。図１９（ｂ）はアプリケーション終了時におけるアプリ実行部３１とアプリ実行管理部４５の処理手順を示す。
【００９８】
図１９（ａ）において、まずアプリケーションが実行されると、アプリ実行管理部４５は系統用ネットワークI/Fにアクセスしてよいアプリケーションかをポリシー記憶部３３に問い合わせる（ステップＳ８１）。この時、ポリシー記憶部３３に加えてCIM DB記憶部４３を使って系統用ネットワークのネットワークAまたはBにアクセスしてよいアプリケーションか否かを問い合わせてもよい（ステップＳ８２）。もし系統用ネットワークI/Fにアクセスしてもよいアプリケーションの場合にはアプリ実行管理部４５は許可モードに入る（ステップＳ８３）。
【００９９】
一方、系統用ネットワークI/Fに対するアクセスを禁止されているアプリケーションの場合にはアプリケーションをアプリ実行管理部４５に登録し（ステップＳ８４）、禁止モードに入る（ステップＳ８５）。すなわち、アプリ実行管理部４５には現在実行中で系統用ネットワークI/Fの利用が禁止されているアプリケーションのリストが登録されることになる。なお、禁止モードで系統用ネットワークI/Fにアクセスしてもよいアプリケーションが実行された場合でも、許可モードに入る事はなく、禁止モードのままである(不図示)。
【０１００】
図２０はアプリ実行管理部４５に登録されるアプリケーションのリストの一例を示す図である。図２０に示すように、実際には系統用ネットワークI/Fに対するアクセスが許可されているアプリケーションA,Cが実行されているが、アプリ実行管理部４５には登録されず、その代わり系統用ネットワークI/Fに対するアクセスが禁止されているアプリケーションEが登録されている。
【０１０１】
アプリケーションが終了した場合は、図１９（ｂ）に示すように、そのアプリケーションが系統用ネットワークI/Fをアクセスしてよいかをポリシー記憶部３３に問い合わせる（ステップＳ９１、Ｓ９２）。もしアクセスが許可されているアプリケーションであれば、その状態を保持したまま処理を終える。
【０１０２】
一方、禁止されているアプリケーションであれば他にアプリ実行管理部４５に登録されているアプリケーションがあるか否かを調べ（ステップＳ９３）、もしあればアプリ実行管理部４５のモードを禁止モードのままにし（ステップＳ９４）、もしアプリケーションがなければ許可モードに設定し（ステップＳ９５）、終了したアプリケーションについての情報をアプリ実行管理部４５から削除して終了する（ステップＳ９６）。
【０１０３】
ここで、禁止モードに設定された場合は、ポリシー記憶部３３とアプリ実行管理部４５に登録されていない実行中のアプリケーションすべてについて、系統用ネットワークI/Fに対するアクセスが禁止される。逆に、許可モードに設定された場合は、ポリシー記憶部３３とアプリ実行管理部４５に登録されていない実行中のアプリケーションすべてについて、系統用ネットワークI/Fに対するアクセスが許可される。
【０１０４】
なお、アプリ実行管理部４５のアプリケーションの登録と削除は同時に実行されないよう排他的に管理することが望ましい。
【０１０５】
図２１はアプリ実行部３１がネットワーク上の機器に対してコネクション確立要求がアクセス制御部３２に通知された時の処理手順を示すフローチャートである。アクセス制御部３２はコネクション確立要求の通知を受けると（ステップＳ１０１）、アプリ実行管理部４５にモードを問い合わせる（ステップＳ１０２、Ｓ１０３）。もし禁止モードであればコネクション確立要求に対してエラーを返す（ステップＳ１０４）。許可モードであれば所定のコネクション確立処理を行う（ステップＳ１０５）。
【０１０６】
ここで、アプリ実行管理部４５が禁止モードの場合とは、系統用ネットワークI/Fに対するアクセスが禁止されているアプリケーションが一つ以上実行されている状態にあるため、すべてのアプリケーションに対して系統用ネットワークI/Fに対するアクセスを禁止してしまう。これにより、アクセス制御部３２がコネクション確立要求の発行元を調べる処理を省略することができるため、機器の構成を簡略化することができるだけでなく、実行速度を保ちつつアクセス制御を両立させることができる。
【０１０７】
以上説明したように、第２の実施形態によれば、ネットワーク上の機器と接続する処理を行うアプリケーションを開発する開発者が特別な処理を記述しなくても、図１９の処理によって許可モードまたは禁止モードの設定を行うため、簡易な処理で個々のアプリケーションのネットワークアクセス制御を実現することができる。
【０１０８】
上述した実施形態で説明したエネルギー管理装置および電力管理システムの少なくとも一部は、ハードウェアで構成してもよいし、ソフトウェアで構成してもよい。ソフトウェアで構成する場合には、エネルギー管理装置および電力管理システムの少なくとも一部の機能を実現するプログラムをフレキシブルディスクやＣＤ−ＲＯＭ等の記録媒体に収納し、コンピュータに読み込ませて実行させてもよい。記録媒体は、磁気ディスクや光ディスク等の着脱可能なものに限定されず、ハードディスク装置やメモリなどの固定型の記録媒体でもよい。
【０１０９】
また、エネルギー管理装置および電力管理システムの少なくとも一部の機能を実現するプログラムを、インターネット３等の通信回線（無線通信も含む）を介して頒布してもよい。さらに、同プログラムを暗号化したり、変調をかけたり、圧縮した状態で、インターネット３等の有線回線や無線回線を介して、あるいは記録媒体に収納して頒布してもよい。
【０１１０】
本発明の態様は、上述した個々の実施形態に限定されるものではなく、当業者が想到しうる種々の変形も含むものであり、本発明の効果も上述した内容に限定されない。すなわち、特許請求の範囲に規定された内容およびその均等物から導き出される本発明の概念的な思想と趣旨を逸脱しない範囲で種々の追加、変更および部分的削除が可能である。
【符号の説明】
【０１１１】
１ 電力管理システム
２ 電力系統管理装置
３ インターネット
４ 宅内電力管理装置
５ メンテナンス用管理端末
６ 天気予報サーバ
１０ EMS（エネルギー管理装置）
１１ MDMS
１２ コンテントレータ
１３ RTU
１４ 分散電源
１５ 蓄電装置
１６ 送配電制御装置
１７ 内部ネットワーク
１８ スマートメータ
１９ HEMS
２１ 遠隔管理用ネットワーク
２２ ファイアウォール
２３ ルータ
３１ アプリ実行部
３２ アクセス制御部
３３ ポリシー記憶部
３４ ポリシー設定部
３５ アプリロード部
３６ アプリ記憶部
３７ I/F管理部
３８ 系統ネットワークI/F管理部
３９ 遠隔管理用ネットワークI/F管理部
４０ 系統ネットワークI/F処理部
４１ 遠隔管理用ネットワークI/F処理部
４２ 登録状態管理部
【特許請求の範囲】
【請求項１】
電力管理用のアプリケーションを含む少なくとも一つ以上のアプリケーションが記憶されたアプリケーション記憶部と、
前記アプリケーション記憶部に記憶されたアプリケーションを実行するアプリケーション実行部と、
複数のネットワークのそれぞれに対応して設けられる複数のネットワークインタフェース部と、
個々のアプリケーションごとに、前記複数のネットワークインタフェース部のそれぞれに対するアクセスを許可するか否かを設定するポリシー設定部と、
前記ポリシー設定部が設定する個々のアプリケーションごとに、アプリケーションの識別情報と、前記複数のネットワークインタフェース部のそれぞれに対するアクセスを許可するか否かを示すアクセス可否情報とを記憶するポリシー記憶部と、
ネットワークアドレスと、前記複数のネットワークインタフェース部のそれぞれとの対応関係を管理し、前記アプリケーション実行部が実行するアプリケーションが利用するネットワークインタフェース部を特定するＩ／Ｆ管理部と、
前記アプリケーション実行部が実行するアプリケーションが利用するネットワークインタフェース部に対するアクセスが許可されているか否かを前記ポリシー記憶部に記憶されたアクセス可否情報に基づいて判断するアクセス制御部と、を備えることを特徴とするエネルギー管理装置。
【請求項２】
前記アクセス制御部は、アクセスを許可する旨のアクセス可否情報が前記ポリシー記憶部に記憶されたネットワークインタフェース部によるアクセスを許可し、前記ポリシー記憶部に記憶されないネットワークインタフェース部によるアクセスを拒否することを特徴とする請求項１に記載のエネルギー管理装置。
【請求項３】
前記アプリケーション実行部は、実行対象のアプリケーションが利用するＩＰアドレスと、該アプリケーションの識別情報とを、前記アクセス制御部に通知し、
前記Ｉ／Ｆ管理部は、実行対象のアプリケーションが利用するＩＰアドレスに基づいて、利用されるネットワークインタフェース部を特定して前記アクセス制御部に通知し、
前記アクセス制御部は、実行対象のアプリケーションが利用するＩＰアドレスに対応するネットワークインタフェース部を前記Ｉ／Ｆ管理部に問合せるとともに、前記Ｉ／Ｆ管理部から通知されたネットワークインタフェース部を取得して、該ネットワークインタフェース部に対するアクセスが許可されているか否かを前記ポリシー記憶部に問い合せることを特徴とする請求項１または２に記載のエネルギー管理装置。
【請求項４】
前記複数のネットワークインタフェース部は、専用ネットワーク用のインタフェース部と、公衆ネットワーク用のインタフェース部とを含むことを特徴とする請求項１乃至３のいずれかに記載のエネルギー管理装置。
【請求項５】
前記ポリシー設定部は、専用ネットワークに接続された機器に対するアクセスを要求するアプリケーションに対しては、専用ネットワーク用のネットワークインタフェース部に対するアクセスは許可するが、公衆ネットワーク用のネットワークインタフェース部に対する利用は禁止することを特徴とする請求項４に記載のエネルギー管理装置。
【請求項６】
前記ポリシー設定部は、公衆ネットワークに接続された機器に対するアクセスを要求するアプリケーションに対しては、公衆ネットワーク用のネットワークインタフェース部に対するアクセスは許可するが、専用ネットワーク用のネットワークインタフェース部に対するアクセスは禁止することを特徴とする請求項４または５に記載のエネルギー管理装置。
【請求項７】
専用ネットワークの構成に変更が生じたことを検出するネットワーク構成管理部と、
専用ネットワークの構成情報を記憶するとともに、前記ネットワーク構成管理部にて専用ネットワークの構成の変更が検出されると、記憶されている専用ネットワークの構成情報を更新するネットワーク構成情報記憶部と、を備え、
前記アクセス制御部は、前記アプリケーション実行部が実行するアプリケーションが利用するネットワークインタフェース部が専用ネットワーク用のネットワークインタフェース部の場合には、前記ネットワーク構成情報記憶部から最新の構成情報を読出して、読出した構成情報に対応する個々のネットワークに対するアクセスが許可されているか否かを前記ポリシー記憶部に基づいて検出することを特徴とする請求項１乃至６のいずれかに記載のエネルギー管理装置。
【請求項８】
前記アプリケーション実行部が現在実行中のアプリケーションを管理するアプリケーション実行管理部を備え、
前記アプリケーション実行管理部は、前記ネットワーク構成情報記憶部から読出された最新の構成情報と前記ポリシー記憶部に記憶されたアクセス可否情報とに基づいて、個々のアプリケーションごとに、アプリケーションの識別情報と、個々の専用ネットワークに対するアクセスを許可するか否かのアクセス可否情報と、公衆ネットワーク用の公衆ネットワークインタフェース部に対するアクセスを許可するか否かのアクセス可否情報とを含む管理テーブルを作成して管理し、
前記アクセス制御部は、前記アプリケーション実行部が実行するアプリケーションが利用するネットワークインタフェース部に対するアクセスが許可されているか否かを前記アプリケーション実行管理部が管理するアクセス可否情報に基づいて判断することを特徴とする請求項７に記載のエネルギー管理装置。
【請求項９】
前記アプリケーション実行管理部は、前記アプリケーション実行部によるアプリケーションの実行が終了した場合には、該アプリケーションについての識別情報とアクセス可否情報とを前記管理テーブルから削除し、
前記ポリシー記憶部は、個々のアプリケーションを実行中か否かにかかわらず、個々のアプリケーションについての識別情報とアクセス可否情報とを記憶することを特徴とする請求項８に記載のエネルギー管理装置。
【請求項１０】
電力管理用のアプリケーションを含む少なくとも一つ以上のアプリケーションが記憶されたアプリケーション記憶部と、
前記アプリケーション記憶部に記憶されたアプリケーションを実行するアプリケーション実行部と、
公衆ネットワークおよび専用ネットワークを含む複数のネットワークのそれぞれに対応して設けられる複数のネットワークインタフェース部と、
個々のアプリケーションごとに、前記複数のネットワークインタフェース部のそれぞれに対するアクセスを許可するか否かを設定するポリシー設定部と、
前記ポリシー設定部が設定する個々のアプリケーションごとに、アプリケーションの識別情報と、前記複数のネットワークインタフェース部のそれぞれに対するアクセスを許可するか否かを示すアクセス可否情報とを記憶するポリシー記憶部と、
前記アプリケーション実行部が実行するアプリケーションが利用するネットワークインタフェース部に対するアクセスが許可されているか否かを前記ポリシー記憶部に記憶されたアクセス可否情報に基づいて判断するアクセス制御部と、
前記アプリケーション実行部が現在実行中のアプリケーションについての識別情報と前記複数のネットワークインタフェース部に対するアクセス可否情報とを登録した管理テーブルを作成して、現在実行中のアプリケーションを管理するアプリケーション実行管理部と、を備え、
前記アプリケーション実行管理部は、
前記アプリケーション実行部が実行するアプリケーションが前記専用ネットワークに対するアクセスを許可されているか否かを前記ポリシー記憶部に記憶されたアクセス可否情報に基づいて判定し、許可されていれば、前記管理テーブル中の該アプリケーションのアクセス可否情報を許可モードに設定し、許可されていなければ禁止モードに設定する開始時モード設定部と、
アプリケーションの終了時に、該アプリケーションが前記専用ネットワークに対するアクセスが禁止されているか否かを前記ポリシー記憶部に記憶されたアクセス可否情報に基づいて判定し、禁止されていなければ、そのまま終了し、前記禁止されていれば、他のアプリケーションが前記管理テーブルに登録されているか否かを検出し、登録されていれば実行中のすべてのアプリケーションについて前記専用ネットワークに対するアクセスを禁止する前記禁止モードに設定し、登録されていなければ実行中のすべてのアプリケーションについて前記専用ネットワークに対するアクセスを許可する前記許可モードに設定する終了時モード設定部と、
前記終了時モード設定部でモード設定を行なった後に、終了したアプリケーションに関する登録情報を前記管理テーブルから削除する登録削除部と、を有することを特徴とするエネルギー管理装置。
【請求項１１】
電力系統管理装置と、
公衆ネットワークを介して前記電力系統管理装置と通信を行う宅内電力管理装置と、
公衆ネットワークを介して前記電力系統管理装置と通信を行う電力関連情報提供サーバと、
公衆ネットワークを介して前記電力系統管理装置と通信を行う保守管理装置と、を備えた電力管理システムにおいて、
前記電力系統管理装置は、
エネルギー管理装置と、
系統ネットワークを介して前記エネルギー管理装置と通信を行う電力メータ管理装置と、
前記電力メータ管理装置と前記宅内電力管理装置との通信の中継を行う中継器と、
系統ネットワークを介して前記エネルギー管理装置と通信を行う遠隔端末ユニットと、を有し、
前記宅内電力管理装置は、
公衆ネットワークを介して前記中継器と通信を行うスマートメータと、
公衆ネットワークを介して前記電力メータ関連装置と通信を行うホームサーバと、を有し、
前記エネルギー管理装置は、
電力管理用のアプリケーションを含む少なくとも一つ以上のアプリケーションが記憶されたアプリケーション記憶部と、
前記アプリケーション記憶部に記憶されたアプリケーションを実行するアプリケーション実行部と、
前記公衆ネットワークおよび前記系統ネットワークを含む複数のネットワークのそれぞれに対応して設けられる複数のネットワークインタフェース部と、
個々のアプリケーションごとに、前記複数のネットワークインタフェース部のそれぞれに対するアクセスを許可するか否かを設定するポリシー設定部と、
前記ポリシー設定部が設定する個々のアプリケーションごとに、アプリケーションの識別情報と、前記複数のネットワークインタフェース部のそれぞれに対するアクセスを許可するか否かを示すアクセス可否情報とを記憶するポリシー記憶部と、
ネットワークアドレスと、前記複数のネットワークインタフェース部のそれぞれとの対応関係を管理し、前記アプリケーション実行部が実行するアプリケーションが利用するネットワークインタフェース部を特定するＩ／Ｆ管理部と、
前記アプリケーション実行部が実行するアプリケーションが利用するネットワークインタフェース部に対するアクセスが許可されているか否かを前記ポリシー記憶部に記憶されたアクセス可否情報に基づいて判断するアクセス制御部と、を有することを特徴とする電力管理システム。
【請求項１】
電力管理用のアプリケーションを含む少なくとも一つ以上のアプリケーションが記憶されたアプリケーション記憶部と、
前記アプリケーション記憶部に記憶されたアプリケーションを実行するアプリケーション実行部と、
複数のネットワークのそれぞれに対応して設けられる複数のネットワークインタフェース部と、
個々のアプリケーションごとに、前記複数のネットワークインタフェース部のそれぞれに対するアクセスを許可するか否かを設定するポリシー設定部と、
前記ポリシー設定部が設定する個々のアプリケーションごとに、アプリケーションの識別情報と、前記複数のネットワークインタフェース部のそれぞれに対するアクセスを許可するか否かを示すアクセス可否情報とを記憶するポリシー記憶部と、
ネットワークアドレスと、前記複数のネットワークインタフェース部のそれぞれとの対応関係を管理し、前記アプリケーション実行部が実行するアプリケーションが利用するネットワークインタフェース部を特定するＩ／Ｆ管理部と、
前記アプリケーション実行部が実行するアプリケーションが利用するネットワークインタフェース部に対するアクセスが許可されているか否かを前記ポリシー記憶部に記憶されたアクセス可否情報に基づいて判断するアクセス制御部と、を備えることを特徴とするエネルギー管理装置。
【請求項２】
前記アクセス制御部は、アクセスを許可する旨のアクセス可否情報が前記ポリシー記憶部に記憶されたネットワークインタフェース部によるアクセスを許可し、前記ポリシー記憶部に記憶されないネットワークインタフェース部によるアクセスを拒否することを特徴とする請求項１に記載のエネルギー管理装置。
【請求項３】
前記アプリケーション実行部は、実行対象のアプリケーションが利用するＩＰアドレスと、該アプリケーションの識別情報とを、前記アクセス制御部に通知し、
前記Ｉ／Ｆ管理部は、実行対象のアプリケーションが利用するＩＰアドレスに基づいて、利用されるネットワークインタフェース部を特定して前記アクセス制御部に通知し、
前記アクセス制御部は、実行対象のアプリケーションが利用するＩＰアドレスに対応するネットワークインタフェース部を前記Ｉ／Ｆ管理部に問合せるとともに、前記Ｉ／Ｆ管理部から通知されたネットワークインタフェース部を取得して、該ネットワークインタフェース部に対するアクセスが許可されているか否かを前記ポリシー記憶部に問い合せることを特徴とする請求項１または２に記載のエネルギー管理装置。
【請求項４】
前記複数のネットワークインタフェース部は、専用ネットワーク用のインタフェース部と、公衆ネットワーク用のインタフェース部とを含むことを特徴とする請求項１乃至３のいずれかに記載のエネルギー管理装置。
【請求項５】
前記ポリシー設定部は、専用ネットワークに接続された機器に対するアクセスを要求するアプリケーションに対しては、専用ネットワーク用のネットワークインタフェース部に対するアクセスは許可するが、公衆ネットワーク用のネットワークインタフェース部に対する利用は禁止することを特徴とする請求項４に記載のエネルギー管理装置。
【請求項６】
前記ポリシー設定部は、公衆ネットワークに接続された機器に対するアクセスを要求するアプリケーションに対しては、公衆ネットワーク用のネットワークインタフェース部に対するアクセスは許可するが、専用ネットワーク用のネットワークインタフェース部に対するアクセスは禁止することを特徴とする請求項４または５に記載のエネルギー管理装置。
【請求項７】
専用ネットワークの構成に変更が生じたことを検出するネットワーク構成管理部と、
専用ネットワークの構成情報を記憶するとともに、前記ネットワーク構成管理部にて専用ネットワークの構成の変更が検出されると、記憶されている専用ネットワークの構成情報を更新するネットワーク構成情報記憶部と、を備え、
前記アクセス制御部は、前記アプリケーション実行部が実行するアプリケーションが利用するネットワークインタフェース部が専用ネットワーク用のネットワークインタフェース部の場合には、前記ネットワーク構成情報記憶部から最新の構成情報を読出して、読出した構成情報に対応する個々のネットワークに対するアクセスが許可されているか否かを前記ポリシー記憶部に基づいて検出することを特徴とする請求項１乃至６のいずれかに記載のエネルギー管理装置。
【請求項８】
前記アプリケーション実行部が現在実行中のアプリケーションを管理するアプリケーション実行管理部を備え、
前記アプリケーション実行管理部は、前記ネットワーク構成情報記憶部から読出された最新の構成情報と前記ポリシー記憶部に記憶されたアクセス可否情報とに基づいて、個々のアプリケーションごとに、アプリケーションの識別情報と、個々の専用ネットワークに対するアクセスを許可するか否かのアクセス可否情報と、公衆ネットワーク用の公衆ネットワークインタフェース部に対するアクセスを許可するか否かのアクセス可否情報とを含む管理テーブルを作成して管理し、
前記アクセス制御部は、前記アプリケーション実行部が実行するアプリケーションが利用するネットワークインタフェース部に対するアクセスが許可されているか否かを前記アプリケーション実行管理部が管理するアクセス可否情報に基づいて判断することを特徴とする請求項７に記載のエネルギー管理装置。
【請求項９】
前記アプリケーション実行管理部は、前記アプリケーション実行部によるアプリケーションの実行が終了した場合には、該アプリケーションについての識別情報とアクセス可否情報とを前記管理テーブルから削除し、
前記ポリシー記憶部は、個々のアプリケーションを実行中か否かにかかわらず、個々のアプリケーションについての識別情報とアクセス可否情報とを記憶することを特徴とする請求項８に記載のエネルギー管理装置。
【請求項１０】
電力管理用のアプリケーションを含む少なくとも一つ以上のアプリケーションが記憶されたアプリケーション記憶部と、
前記アプリケーション記憶部に記憶されたアプリケーションを実行するアプリケーション実行部と、
公衆ネットワークおよび専用ネットワークを含む複数のネットワークのそれぞれに対応して設けられる複数のネットワークインタフェース部と、
個々のアプリケーションごとに、前記複数のネットワークインタフェース部のそれぞれに対するアクセスを許可するか否かを設定するポリシー設定部と、
前記ポリシー設定部が設定する個々のアプリケーションごとに、アプリケーションの識別情報と、前記複数のネットワークインタフェース部のそれぞれに対するアクセスを許可するか否かを示すアクセス可否情報とを記憶するポリシー記憶部と、
前記アプリケーション実行部が実行するアプリケーションが利用するネットワークインタフェース部に対するアクセスが許可されているか否かを前記ポリシー記憶部に記憶されたアクセス可否情報に基づいて判断するアクセス制御部と、
前記アプリケーション実行部が現在実行中のアプリケーションについての識別情報と前記複数のネットワークインタフェース部に対するアクセス可否情報とを登録した管理テーブルを作成して、現在実行中のアプリケーションを管理するアプリケーション実行管理部と、を備え、
前記アプリケーション実行管理部は、
前記アプリケーション実行部が実行するアプリケーションが前記専用ネットワークに対するアクセスを許可されているか否かを前記ポリシー記憶部に記憶されたアクセス可否情報に基づいて判定し、許可されていれば、前記管理テーブル中の該アプリケーションのアクセス可否情報を許可モードに設定し、許可されていなければ禁止モードに設定する開始時モード設定部と、
アプリケーションの終了時に、該アプリケーションが前記専用ネットワークに対するアクセスが禁止されているか否かを前記ポリシー記憶部に記憶されたアクセス可否情報に基づいて判定し、禁止されていなければ、そのまま終了し、前記禁止されていれば、他のアプリケーションが前記管理テーブルに登録されているか否かを検出し、登録されていれば実行中のすべてのアプリケーションについて前記専用ネットワークに対するアクセスを禁止する前記禁止モードに設定し、登録されていなければ実行中のすべてのアプリケーションについて前記専用ネットワークに対するアクセスを許可する前記許可モードに設定する終了時モード設定部と、
前記終了時モード設定部でモード設定を行なった後に、終了したアプリケーションに関する登録情報を前記管理テーブルから削除する登録削除部と、を有することを特徴とするエネルギー管理装置。
【請求項１１】
電力系統管理装置と、
公衆ネットワークを介して前記電力系統管理装置と通信を行う宅内電力管理装置と、
公衆ネットワークを介して前記電力系統管理装置と通信を行う電力関連情報提供サーバと、
公衆ネットワークを介して前記電力系統管理装置と通信を行う保守管理装置と、を備えた電力管理システムにおいて、
前記電力系統管理装置は、
エネルギー管理装置と、
系統ネットワークを介して前記エネルギー管理装置と通信を行う電力メータ管理装置と、
前記電力メータ管理装置と前記宅内電力管理装置との通信の中継を行う中継器と、
系統ネットワークを介して前記エネルギー管理装置と通信を行う遠隔端末ユニットと、を有し、
前記宅内電力管理装置は、
公衆ネットワークを介して前記中継器と通信を行うスマートメータと、
公衆ネットワークを介して前記電力メータ関連装置と通信を行うホームサーバと、を有し、
前記エネルギー管理装置は、
電力管理用のアプリケーションを含む少なくとも一つ以上のアプリケーションが記憶されたアプリケーション記憶部と、
前記アプリケーション記憶部に記憶されたアプリケーションを実行するアプリケーション実行部と、
前記公衆ネットワークおよび前記系統ネットワークを含む複数のネットワークのそれぞれに対応して設けられる複数のネットワークインタフェース部と、
個々のアプリケーションごとに、前記複数のネットワークインタフェース部のそれぞれに対するアクセスを許可するか否かを設定するポリシー設定部と、
前記ポリシー設定部が設定する個々のアプリケーションごとに、アプリケーションの識別情報と、前記複数のネットワークインタフェース部のそれぞれに対するアクセスを許可するか否かを示すアクセス可否情報とを記憶するポリシー記憶部と、
ネットワークアドレスと、前記複数のネットワークインタフェース部のそれぞれとの対応関係を管理し、前記アプリケーション実行部が実行するアプリケーションが利用するネットワークインタフェース部を特定するＩ／Ｆ管理部と、
前記アプリケーション実行部が実行するアプリケーションが利用するネットワークインタフェース部に対するアクセスが許可されているか否かを前記ポリシー記憶部に記憶されたアクセス可否情報に基づいて判断するアクセス制御部と、を有することを特徴とする電力管理システム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【公開番号】特開２０１３−４１３７０（Ｐ２０１３−４１３７０Ａ）
【公開日】平成２５年２月２８日（２０１３．２．２８）
【国際特許分類】
【出願番号】特願２０１１−１７６９３５（Ｐ２０１１−１７６９３５）
【出願日】平成２３年８月１２日（２０１１．８．１２）
【出願人】（０００００３０７８）株式会社東芝 (54,554)
【Ｆターム（参考）】
【公開日】平成２５年２月２８日（２０１３．２．２８）
【国際特許分類】
【出願日】平成２３年８月１２日（２０１１．８．１２）
【出願人】（０００００３０７８）株式会社東芝 (54,554)
【Ｆターム（参考）】
[ Back to top ]