プラント運用・保守端末及びプラント運用・保守の記録管理方法
【課題】プラントの運用・保守作業がどの作業者によって行われたかを特定することができると共に、運用・保守記録の改ざんや漏洩を防止することを目的とする。
【解決手段】プラントの運用・保守作業を行う運用・保守ツール２１と、管理者公開鍵２２１と管理者秘密鍵２２０及び作業者公開鍵２２３と作業者秘密鍵２２２を生成する公開鍵組生成ツール２４と、管理者公開鍵２２１及び作業者秘密鍵２２２を保管する鍵保管領域２１２と、作業者が運用・保守ツール２１を用いて行ったプラントの運用・保守記録を、作業者秘密鍵２２２で署名すると共に管理者公開鍵２２１で暗号化して保管する記録保管領域２１１を備え、システム管理者は、記録保管領域２１１に保管された運用・保守記録を、管理者秘密鍵２２０で復号すると共に作業者公開鍵２２３で署名検証する。
【解決手段】プラントの運用・保守作業を行う運用・保守ツール２１と、管理者公開鍵２２１と管理者秘密鍵２２０及び作業者公開鍵２２３と作業者秘密鍵２２２を生成する公開鍵組生成ツール２４と、管理者公開鍵２２１及び作業者秘密鍵２２２を保管する鍵保管領域２１２と、作業者が運用・保守ツール２１を用いて行ったプラントの運用・保守記録を、作業者秘密鍵２２２で署名すると共に管理者公開鍵２２１で暗号化して保管する記録保管領域２１１を備え、システム管理者は、記録保管領域２１１に保管された運用・保守記録を、管理者秘密鍵２２０で復号すると共に作業者公開鍵２２３で署名検証する。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、プラントの制御・監視システムにおいて、プラントの運用・保守作業を実施した作業者を特定できるとともに、運用・保守記録の改ざんや漏洩を防止するプラント運用・保守端末及びプラント運用・保守の記録管理方法に関するものである。
【背景技術】
【０００２】
従来、プラント点検保守記録の管理方法及び装置として、例えば、特許文献１で開示されているような管理方法及び装置が知られている。
この管理方法は、例えば、機器の点検保守の結果を記録保存手段を用いてデジタルデータとして保存する処理ステップと、点検保守管理者が前記デジタルデータを承認したのち、第１メッセージダイジェスト計算手段を用いて当該デジタルデータから認証データとしてのメッセージダイジェストを計算する処理ステップと、前記認証データを第１の通信手段を用いて認証機関に送信する処理ステップと、認証機関において、プラントから送信された前記認証データを受信する処理ステップと、この受信した認証データを受信時刻と共に認証記録保存手段に登録する処理ステップと、この認証記録保存手段に登録された認証データを第２の通信手段を用いてプラントに返信する処理ステップと、プラントにおいて、前記認証機関から返信された認証データを受信する処理ステップと、プラント内で作成された前記認証データと前記第２の通信手段を用いて受信した認証データを比較して両者の同一性を確認する処理ステップからなる。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００５−２８４８５４号公報（請求項２、図１など）
【発明の概要】
【発明が解決しようとする課題】
【０００４】
プラントの監視・制御システムにおいては、プラントの点検保守だけではなく、プラントの機能追加や設定変更のために、プラント内の監視装置のプログラムの更新、プラント内の制御装置のプログラムの更新、各種設定ファイルの更新等の変更作業を行うことも多い。このような変更作業にあたっては、変更作業履歴として変更作業の記録を行う必要があるが、そのときの変更作業記録は、点検記録の様に第三者によって改ざんされていないことを保証するだけでは充分ではなく、誰によって操作されたかを保証することが重要となる。
【０００５】
特に、サイバーセキュリティのターゲットとなるような原子力発電所などの重要プラントの場合、実際に行われた作業が第三者によって改ざんされていないことを保証するばかりでなく、誰によって操作されたかを検証することは非常に重要となる。
【０００６】
この発明は上記のような課題を解決するためになされたものであり、プラントの運用・保守作業がどの作業者によって行われたかを特定することができると共に、運用・保守記録の改ざんや漏洩を防止することができるようにしたプラント運用・保守端末及びプラント運用・保守の記録管理方法を提供する。
【課題を解決するための手段】
【０００７】
この発明によるプラント運用・保守端末は、システム管理者と作業者という異なる権限を有する二種のユーザを備えると共に、プラントの運用・保守作業を行う運用・保守ツールと、システム管理者の管理者公開鍵と管理者秘密鍵及び作業者の作業者公開鍵と作業者秘密鍵を生成する公開鍵組生成ツールと、公開鍵組生成ツールで生成した管理者公開鍵及び作業者秘密鍵を保管する鍵保管領域と、作業者が運用・保守ツールを用いて行ったプラントの運用・保守記録を、作業者秘密鍵で署名すると共に、管理者公開鍵で暗号化して保管する記録保管領域を備え、システム管理者は、記録保管領域に保管された運用・保守記録を管理者秘密鍵で復号すると共に作業者公開鍵で署名検証するものである。
【０００８】
この発明によるプラント運用・保守の記録管理方法は、システム管理者の管理者公開鍵と管理者秘密鍵、並びに作業者の作業者公開鍵と作業者秘密鍵を生成するステップと、作業者がプラントの運用・保守作業を行った運用・保守記録を、作業者秘密鍵で署名すると共に管理者公開鍵で暗号化するステップと、システム管理者が、上記署名され暗号化された運用・保守記録を管理者秘密鍵で復号すると共に作業者公開鍵で署名検証するステップとを含むものである。
【発明の効果】
【０００９】
この発明のプラント運用・保守端末及びプラント運用・保守の記録管理方法によれば、プラントの運用・保守作業の記録に対して、作業者秘密鍵により署名付与を行いかつ管理者公開鍵による暗号化を行うことで、作業者の特定を可能とし、かつ運用・保守記録の改ざん及び漏洩を防止することができる。
【図面の簡単な説明】
【００１０】
【図１】この発明の実施の形態１によるプラントの運用・保守端末及び方法を説明するための全体構成図を示す。
【図２】この発明の実施の形態１においてシステム管理者の公開鍵組の生成と作業者の登録の手順を示すフローチャートを示す。
【図３】この発明の実施の形態１において作業者が運用・保守作業を実施する場合の手順を示すフローチャートを示す。
【図４】この発明の実施の形態１においてシステム管理者が運用・保守記録を閲覧し検証するフローチャートを示す。
【図５】この発明の実施の形態２で使用するＰＫＩに基づく電子証明書の発行の手順を示す。
【図６】この発明の実施の形態２によるプラントの運用・保守端末を説明するための構成図である。
【図７】この発明の実施の形態３によるプラントの運用・保守端末を説明するための構成図である。
【図８】この発明の実施の形態４によるプラントの運用・保守端末を説明するための構成図である。
【図９】この発明の実施の形態５による記録サーバの動作を説明するための構成図である。
【図１０】この発明の実施の形態５による作業計画データの一例を示す。
【図１１】この発明の実施の形態５による操作記録の一例を示す。
【図１２】この発明の実施の形態５によるログの閾値データの一例を示す。
【図１３】この発明の実施の形態５によるプラントの出力するログの一例を示す。
【発明を実施するための形態】
【００１１】
実施の形態１．
図１はこの発明の実施の形態１によるプラントの運用・保守端末及び運用・保守方法を説明するための全体構成図である。
図１において、１０は例えば原子力発電所等のプラントであり、２０はプラント１０の運用・保守を実施する運用・保守端末であり、３０はシステム管理者用の管理者端末である。
プラント１０は、プラント全体を監視する監視装置１１と、監視装置１１により監視される制御装置１２ａ〜１２ｎを有し、ネットワーク１３を介して接続されている。制御装置１２ａ〜１２ｎには、それぞれプラント制御機器等（図示せず）がＩ／Ｏを介して接続されている。
運用・保守端末２０は、作業者がプラント１０の運用・保守作業を実施する運用・保守ツール２１を有している。また、運用・保守端末２０は、作業者が運用・保守作業の際に使用する作業用ファイルを格納するための作業ファイル格納エリア２００を有し、作業用ファイルとしての監視プログラム２０１、制御プログラム２０２、設定ファイル２０３を格納している。そして、作業者は、運用・保守ツール２１を用いて、監視装置１１に対して監視プログラム２０１や設定ファイル２０３をアップロードして更新したり、監視装置１１からログを取得したりする等、各種操作を行う（図示（Ａ））。また、作業者は、運用・保守ツール２１を用いて、制御装置１２ａ〜１２ｎに対して制御プログラム２０２や設定ファイル２０３をアップロードして更新したり、制御装置１２ａ〜１２ｎからログを取得したりする等、各種操作を行う（図示（Ｂ））。
【００１２】
運用・保守端末２０は、システム管理者によるユーザの登録や作業者による運用・保守端末２０へのログインを行うユーザ管理機能２３と、システム管理者及び作業者の公開鍵と秘密鍵の組（管理者公開鍵と管理者秘密鍵、作業者公開鍵と作業者秘密鍵）を生成する公開鍵組生成ツール２４を有している。また、運用・保守ツール２１は、作業者により実施された運用・保守記録の署名付与及び暗号化を行うための署名付与・暗号化機能２２と、作業者の秘密鍵を活性化するための秘密鍵活性化機能２５を有している。
【００１３】
運用・保守端末２０は、システム管理者の管理者公開鍵２２１、作業者の作業者秘密鍵２２２、及び暗号化したパスフレーズ２２４を格納した鍵保管領域２１２を備える。
また、運用・保守端末２０は、運用・保守ツール２１の署名付与・暗号化機能２２により署名付与・暗号化された運用・保守記録（操作記録２１１ａ、更新ファイル２１１ｂ、ログ２１１ｃ）を保管する記録保管領域２１１を備える。
ここで、記録保管領域２１１及び鍵保管領域２１２は、作業者を含めて第三者による鍵及びファイルの持ち出しや削除等を防止するために、システム管理者のみがアクセスできる管理者アクセス領域２１０に保管することが望ましい。
【００１４】
運用・保守端末２０は、システム管理者と作業者という権限の異なる２種類のユーザを設定できる。システム管理者は、運用・保守端末２０におけるユーザ管理と、記録保管領域２１１に保管された運用・保守記録データの検証及び操作が可能である。作業者は、上述したように、運用・保守ツール２１を用いて、プラント１０の監視装置１１や制御装置１２ａ〜１２ｎの運用・保守作業を行う。
【００１５】
図２のフローチャートに基づいて、システム管理者による自己の公開鍵組の生成と作業者の登録の手順を説明する。
システム管理者は、あらかじめ公開鍵組生成ツール２４を用いて、自己の管理者公開鍵２２１と管理者秘密鍵２２０の組を生成する（Ｓ１００）。公開鍵組生成ツール２４で生成された管理者公開鍵２２１は鍵保管領域２１２に格納される（Ｓ１０１）。一方、システム管理者は、管理者秘密鍵２２０を運用・保守端末２０から管理者端末３０へ取り出して管理者自身の管理下に置くと共に、管理者秘密鍵２２０を運用・保守端末２０から削除する（Ｓ１０２）。
次に、システム管理者は、ユーザ管理機能２３を用いて運用・保守端末２０に作業者の登録を行う（Ｓ１０３）。ユーザ管理機能２３は、指定された作業者名に基づいてユーザＩＤの割当を実施すると共に、指定された作業者が運用・保守端末２０へログインする際に必要となるパスワードを生成する（Ｓ１０４）。また、ユーザ管理機能２３は、公開鍵組生成ツール２４を用いて作業者公開鍵２２３と作業者秘密鍵２２２の組を生成（Ｓ１０５）し、作業者秘密鍵２２２を鍵保管領域２１２に保管する（Ｓ１０６）。このとき、システム管理者は、作業者秘密鍵２２２を活性化するためのパスフレーズを指定する（Ｓ１１０）。また、システム管理者は、作業者公開鍵２２３を運用・保守端末２０から取り出し、システム管理者の管理者端末３０に保管する（Ｓ１０７）。
作業者秘密鍵２２２を活性化するためのパスフレーズは、作業者のログイン用のパスワードを用いて暗号化され、暗号化パスフレーズ２２４として鍵保管領域２１２に保管される（Ｓ１０８）。
【００１６】
次に、図３のフローチャートに基づいて、作業者がプラント１０の運用・保守作業を実施する場合の手順を説明する。
作業者は、ログインパスワードを用いて運用・保守端末２０のユーザ管理機能２３にログインすると、ユーザ管理機能２３はログインパスワードに基づいて運用・保守ツール２１を起動する（Ｓ１２０）。そして、運用・保守ツール２１は、秘密鍵活性化機能２５により、ログインした作業者のログインパスワードを使用して、作業者秘密鍵２２２を活性化するための暗号化パスフレーズ２２４を復号（Ｓ１２１）し、作業者秘密鍵２２２を活性化（Ｓ１２２）する。
次に、作業者は、運用・保守ツール２１を使用してプラント１０の運用・保守作業を行う。
作業者が、運用・保守ツール２１を用いて、プラント１０の監視装置１１の監視プログラム及び制御装置１２ａ〜１２ｎの制御プログラムを更新する（Ｓ１３０）と、運用・保守ツール２１の署名付与・暗号化機能２２は、更新したプログラムに対して作業者秘密鍵２２２で署名を付与し、管理者公開鍵２２１で暗号化した後、記録保管領域２１１に格納する（Ｓ１２３）。
また、作業者が、運用・保守ツール２１を用いて、設定ファイルを更新する（Ｓ１３１）と、運用・保守ツール２１の署名付与・暗号化機能２２は、更新した設定ファイルに対して作業者秘密鍵２２２で署名を付与し、管理者公開鍵２２１で暗号化した後、記録保管領域２１１に格納する（Ｓ１２４）。
また、作業者がプラント１０に対して上記作業を含めて行った各種操作（Ｓ１３２）の操作履歴は、記録保管領域２１１にその都度記録される（Ｓ１２５）。
さらに、作業者がプラント１０のログを表示する（Ｓ１３３）と、運用・保守ツール２１の署名付与・暗号化機能２２は、ログ表示用に運用・保守端末２０にダウンロードされたログデータに対して作業者秘密鍵２２２で署名を付与し、管理者公開鍵２２１で暗号化した後、記録保管領域２１１に格納する（Ｓ１２６）。
作業者が運用・保守作業を終了する（Ｓ１３４）と、運用・保守ツール２１の署名付与・暗号化機能２２は、上記各種操作履歴を作業者秘密鍵２２２で署名を付与し、管理者公開鍵２２１で暗号化した後、記録保管領域２１１に格納する（Ｓ１２７）。
最後に、運用・保守ツール２１は、作業者の秘密鍵活性化用の復号したパスフレーズを廃棄した後、作業者秘密鍵の非活性化を行う（Ｓ１２８）。
そして、作業者はログアウトする（Ｓ１２９）。
【００１７】
図４はシステム管理者が運用・保守記録を閲覧して検証するフローチャートを示す。
システム管理者は、作業者による運用・保守作業の完了後、運用・保守端末２０の記録保管領域２１１から作業者秘密鍵２２２で署名され管理者公開鍵２２１で暗号化された運用・保守記録（操作記録２１１ａ、更新ファイル２１１ｂ、ログ２１１ｃ）を管理者端末３０に取り出す（Ｓ１４０）。そして、システム管理者は、管理者秘密鍵２２０により、管理者公開鍵２２１で暗号化された運用・保守記録を復号して（Ｓ１４１）、運用・保守記録の検証を行う。また、システム管理者は、復号された運用・保守記録を作業者公開鍵２２３を用いて作業者秘密鍵２２２で付与された署名の検証を行う（Ｓ１４２、Ｓ１４３）。
【００１８】
以上のように本実施の形態によれば、作業者が運用・保守ツールを用いて運用・保守作業を行う際に、更新プログラム、設定ファイル、プラントのログ、及び各種操作履歴を作業者秘密鍵で署名した後、管理者公開鍵で暗号化するようにしたので、システム管理者は運用・保守作業を実施した作業者を特定することができる。また、運用・保守作業の内容及び結果が改ざんされていないことを確認できる。さらに、システム管理者だけが復号できるように暗号化しているために、運用・保守記録の内容が他に漏洩することを防止できる。
【００１９】
実施の形態２．
本実施の形態ではＰＫＩ（Public Key Infrastructure）に基づく電子証明書を利用することにより、システム管理者及び作業者の正当性を第三者機関である認証局（CA：Certification Authority）によって保証することを目的とする。
【００２０】
図５はこの発明の実施の形態２で使用するＰＫＩに基づく電子証明書の発行の手順を示す。システム管理者は、実施の形態１で説明したように公開鍵組生成ツール２４により、管理者公開鍵２２１及び管理者秘密鍵２２０の組と、登録する作業者（作業者Ｗ１〜作業者Ｗｎ）の作業者公開鍵（２２３−１〜２２３−ｎ）及び作業者秘密鍵（２２２−１〜２２２−ｎ）の組を生成する。上記生成した全ての公開鍵を認証局３００に送り、証明書の発行を依頼する。認証局３００は受け取った公開鍵（管理者公開鍵２２１、作業者公開鍵２２３−１〜２２３−ｎ）に対して、各鍵の所有者を審査し、公開鍵（管理者公開鍵２２１、作業者公開鍵２２３−１〜２２３−ｎ）を内部に格納した電子証明書（管理者証明書２３０、作業者証明書２３１−１〜２３１−ｎ）を発行する。管理者証明書２３０は運用・保守端末２０の鍵保管領域２１２に保管され、作業者証明書２３１−１〜２３１−ｎは管理者端末３０で管理される。
【００２１】
図６はこの発明の実施の形態２によるプラントの運用・保守端末２０を説明するための構成図である。本実施の形態では、作業者が、運用・保守ツール２１を用いて、監視プログラム、制御プログラム又は設定ファイルを更新したり、ログを表示したり、各種操作を実施すると、運用・保守ツール２１の署名付与・暗号化機能２２は、更新したプログラムやログデータ等の運用保守記録に対して作業者秘密鍵２２２で署名を付与すると共に、管理者公開鍵を格納した管理者証明書２３０で暗号化した後、記録保管領域２１１に格納する。このとき、署名付与・暗号化機能２２は運用保守記録を暗号化する際に、認証局３００に対してシステム管理者の証明書の検証を要求することが出来る。
そして、システム管理者は、管理者秘密鍵２２０により、管理者証明書２３０で暗号化された運用・保守記録を復号して、運用・保守記録の検証を行う。また、復号された運用・保守記録を作業者証明書２３１−１〜２３１−ｎを用いて署名の検証を行う。
なお、その他の構成及び動作は上記の実施の形態と同様であるので、説明は省略する。
【００２２】
以上のように本実施の形態によれば、第三者機関である認証局（CA：Certification Authority）によってシステム管理者及び作業者の特定が可能となり、システム管理者権限搾取によるシステム管理者や作業者の詐称を防止する効果がある。
【００２３】
実施の形態３．
上記実施の形態では、運用・保守端末２０にログインするパスワードが漏洩したり、作業者が別の作業者に教えた場合には、第３者ユーザがログインして運用・保守作業をする危険性がある。本実施の形態では、運用・保守端末２０へのログイン及び作業者の秘密鍵の活性化を行う際に、パスワードではなく、生態認証機能を用いることとする。
【００２４】
図７はこの発明の実施の形態３によるプラントの運用・保守端末２０を説明するための構成図である。運用・保守端末２０には生態認証装置４０が接続される。システム管理者は作業者を登録する際に、ユーザ管理機能２３に登録した作業者Ｗ１〜Ｗｎから、当該作業者が生態認証装置４０によって認証されるための作業者生態情報４１−１〜４１−ｎを採取し、運用・保守端末２０内に登録しておく。
ユーザ管理機能２３は登録された作業者生態情報４１−１〜４１−ｎを用いて、作業者秘密鍵２２２を活性化するためのパスフレーズ２２４を暗号化し、鍵保管領域２１２に格納する。
ユーザが運用・保守端末２０にログインする際に、ユーザ管理機能２３は生態認証装置４０から入力された作業者生態情報４１と登録されている作業者生態情報４１−１〜４１−ｎを比較して同一であれば、ログインを許可する。運用・保守ツール２１が起動されると、秘密鍵活性化機能２５は入力された作業者生態情報４１を用いて作業者秘密鍵２２２を活性化するためのパスフレーズ２２４を復号し、作業者秘密鍵２２２を活性化する。
なお、その他の構成及び動作は上記の実施の形態と同様であるので、説明は省略する。
【００２５】
以上のように本実施の形態によれば、作業者が運用・保守端末２０にログインする際にパスワードではなく生態情報を用いることにより、パスワードの漏洩による正当ユーザのなり済ましを防止し、確実に作業者を特定することが可能となる。
【００２６】
実施の形態４．
上記実施の形態では、運用・保守作業の記録は運用・保守端末内の記録保管領域に格納していたが、システム管理者が運用・保守作業の結果を確認するためには運用・保守端末から管理者端末に運用・保守記録を取り出して、確認する必要があった。本実施の形態では、運用・保守作業の記録をネットワークを介して、記録サーバに保存することにより、システム管理者が運用・保守作業後に運用・保守端末から取り出すことなく記録を参照可能とする。
【００２７】
図８はこの発明の実施の形態４によるプラントの運用・保守端末２０を説明するための構成図である。運用・保守端末２０は、ネットワーク６０を介して、記録サーバ５０に接続される。運用・保守端末２０内の運用・保守ツール２１は、運用・保守作業の記録に対して署名付与・暗号化機能２２により作業者秘密鍵２２２で署名し管理者公開鍵で暗号化を行った後、記録送信処理２６により記録サーバ５０に送信し、記録サーバ５０内の記録保管領域２５０に格納する。そして、システム管理者は、記録サーバ５０に格納された運用・保守記録を管理者秘密鍵２２０を用いて復号し、作業者公開鍵２２３を用いて付与された署名を検証する。なお、ネットワーク６０は、専用の保守回線を用いてもよいし、インターネットを使用してもよい。インターネットを介して運用・保守記録データを送信した場合も、システム管理者の管理者公開鍵によって暗号化されているため、運用・保守記録データの内容が漏洩することはない。
なお、その他の構成及び動作は上記の実施の形態と同様であるので、説明は省略する。
【００２８】
以上のように本実施の形態によれば、システム管理者が運用・保守端末から運用・保守記録を取り出すことなく、記録サーバに格納された運用・保守記録データを用いて、運用・保守作業の結果を確認することができるという効果がある。
【００２９】
実施の形態５．
図９はこの発明の実施の形態５による記録サーバ５０の動作を説明するための構成図である。
記録サーバ５０は、実施の形態４で説明した運用・保守端末２０の記録送信処理２６から送信される運用・保守記録を保管する記録保管領域２５０を有し、記録保管領域２５０には、署名付与・暗号化された更新ファイル（監視プログラム２５１、制御プログラム２５２、設定ファイル２５３）、操作記録２５４及びログ２５５が保管される。
また、記録サーバ５０は、署名され暗号化された運用・保守記録を復号し署名検証を行う復号・署名検証機能５２と、復号された運用・保守記録を基準ファイル及び基準データと比較検証する作業チェック・ログ監視機能５１を有している。
さらに、記録サーバ５０は、システム管理者の管理者秘密鍵２２０及び各作業者の作業者公開鍵２２３を保持する鍵保管領域２７０を有している。また、記録サーバ５０は、基準ファイルとしての、作業者の運用・保守作業用として予め登録したファイル（監視プログラム２６１、制御プログラム２６２、設定ファイル２６３）と、基準データとしての、運用・保守作業の作業計画データ２６４及びプラント１０のログ閾値データ２６５を格納しているファイル格納エリア２６０を有している。
なお、記録保管領域２５０及び鍵保管領域２７０は、作業者を含めて第三者による鍵及びファイルの持ち出しや削除等を防止するために、システム管理者のみがアクセスできる管理者アクセス領域２８０に保管することが望ましい。
【００３０】
図１０はファイル格納エリア２６０に格納されている作業計画データ２６４の一例である。作業計画２６４には、作業予定者、作業日、作業時間、及び作業の手順としての実施する作業と対象となるファイルや装置が記載されている。
図１２はファイル格納エリア２６０に格納されているプラントのログ閾値データ２６５の一例である。プラントのログの閾値には監視対象及び当該監視対象の計測値の最小値と最大値を記載する。
【００３１】
次に、本実施の形態の記録サーバ５０の動作について説明する。記録サーバ５０は、運用・保守端末２０から送信されて記録保管領域２５０に保管された運用・保守記録（更新ファイル（監視プログラム２５１、制御プログラム２５２、設定ファイル２５３）、操作記録２５４及びログ２５５）を、復号・署名検証機能５２によって、管理者秘密鍵２２０を用いて復号し、その後、作業者公開鍵２２３を用いて署名検証を行う。
記録サーバ５０は上記の署名検証が完了すると、作業チェック・ログ監視機能５１によって、作業計画データ２６４を参照し、実際の作業者が計画された作業者と同一であるかどうかを判定する。
その後、作業チェック・ログ監視機能５１は、プラント１０にアップロードした監視プログラム２５１、制御プログラム２５２及び設定ファイル２５３が、予め計画時に登録された監視プログラム２６１、制御プログラム２６２、設定ファイル２６３と同じであるかどうかを比較する。
また、作業チェック・ログ監視機能５１は、操作記録２５４が作業計画データ２６４に記載された作業手順と合致しているかどうかを比較する。図１１は運用・保守ツール２１の出力する操作記録の一例を示す。操作記録２５４には、実行日時、実行コマンド、実行結果が記載されている。
さらに、作業チェック・ログ監視機能５１は、プラントから取得したログ２５５について、ログ閾値データ２６５に基づき異常な値を検出していないかどうかを検索する。図１３はプラントの出力するログ２５５の一例を示す。
作業チェック・ログ監視機能５１は、上記の内容について異常が発見された場合、アラートを出力する。
【００３２】
以上のように本実施の形態によれば、運用・保守作業の記録から実際に計画された運用・保守が実施されたかどうかを自動的に検出可能となり、設定ミスなどによる事故の防止に役立つ。
【符号の説明】
【００３３】
１０ プラント、１１ 監視装置、１２ａ〜１２ｎ 制御装置、
２０ 運用・保守端末、２１ 運用・保守ツール、２２ 署名付与・暗号化機能、
２３ ユーザ管理機能、２４ 公開鍵組生成ツール、２５ 秘密鍵活性化機能、
２６ 記録送信処理、３０ 管理者端末、４０ 生態認証装置、４１ 作業者生態情報、５０ 記録サーバ、５１ 作業チェック・ログ監視機能、５２ 復号・署名検証機能、
２００ 作業ファイル格納エリア、２０１ 監視プログラム、２０２ 制御プログラム、２０３ 設定ファイル、２１０ 管理者アクセス領域、２１１ 記録保管領域、
２１２ 鍵保管領域、２２０ 管理者秘密鍵、２２１ 管理者公開鍵、
２２２ 作業者秘密鍵、２２３ 作業者公開鍵、２２４ パスフレーズ、
２５０ 記録保管領域、２６０ ファイル格納エリア、２７０ 鍵保管領域、
３００ 認証局。
【技術分野】
【０００１】
この発明は、プラントの制御・監視システムにおいて、プラントの運用・保守作業を実施した作業者を特定できるとともに、運用・保守記録の改ざんや漏洩を防止するプラント運用・保守端末及びプラント運用・保守の記録管理方法に関するものである。
【背景技術】
【０００２】
従来、プラント点検保守記録の管理方法及び装置として、例えば、特許文献１で開示されているような管理方法及び装置が知られている。
この管理方法は、例えば、機器の点検保守の結果を記録保存手段を用いてデジタルデータとして保存する処理ステップと、点検保守管理者が前記デジタルデータを承認したのち、第１メッセージダイジェスト計算手段を用いて当該デジタルデータから認証データとしてのメッセージダイジェストを計算する処理ステップと、前記認証データを第１の通信手段を用いて認証機関に送信する処理ステップと、認証機関において、プラントから送信された前記認証データを受信する処理ステップと、この受信した認証データを受信時刻と共に認証記録保存手段に登録する処理ステップと、この認証記録保存手段に登録された認証データを第２の通信手段を用いてプラントに返信する処理ステップと、プラントにおいて、前記認証機関から返信された認証データを受信する処理ステップと、プラント内で作成された前記認証データと前記第２の通信手段を用いて受信した認証データを比較して両者の同一性を確認する処理ステップからなる。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００５−２８４８５４号公報（請求項２、図１など）
【発明の概要】
【発明が解決しようとする課題】
【０００４】
プラントの監視・制御システムにおいては、プラントの点検保守だけではなく、プラントの機能追加や設定変更のために、プラント内の監視装置のプログラムの更新、プラント内の制御装置のプログラムの更新、各種設定ファイルの更新等の変更作業を行うことも多い。このような変更作業にあたっては、変更作業履歴として変更作業の記録を行う必要があるが、そのときの変更作業記録は、点検記録の様に第三者によって改ざんされていないことを保証するだけでは充分ではなく、誰によって操作されたかを保証することが重要となる。
【０００５】
特に、サイバーセキュリティのターゲットとなるような原子力発電所などの重要プラントの場合、実際に行われた作業が第三者によって改ざんされていないことを保証するばかりでなく、誰によって操作されたかを検証することは非常に重要となる。
【０００６】
この発明は上記のような課題を解決するためになされたものであり、プラントの運用・保守作業がどの作業者によって行われたかを特定することができると共に、運用・保守記録の改ざんや漏洩を防止することができるようにしたプラント運用・保守端末及びプラント運用・保守の記録管理方法を提供する。
【課題を解決するための手段】
【０００７】
この発明によるプラント運用・保守端末は、システム管理者と作業者という異なる権限を有する二種のユーザを備えると共に、プラントの運用・保守作業を行う運用・保守ツールと、システム管理者の管理者公開鍵と管理者秘密鍵及び作業者の作業者公開鍵と作業者秘密鍵を生成する公開鍵組生成ツールと、公開鍵組生成ツールで生成した管理者公開鍵及び作業者秘密鍵を保管する鍵保管領域と、作業者が運用・保守ツールを用いて行ったプラントの運用・保守記録を、作業者秘密鍵で署名すると共に、管理者公開鍵で暗号化して保管する記録保管領域を備え、システム管理者は、記録保管領域に保管された運用・保守記録を管理者秘密鍵で復号すると共に作業者公開鍵で署名検証するものである。
【０００８】
この発明によるプラント運用・保守の記録管理方法は、システム管理者の管理者公開鍵と管理者秘密鍵、並びに作業者の作業者公開鍵と作業者秘密鍵を生成するステップと、作業者がプラントの運用・保守作業を行った運用・保守記録を、作業者秘密鍵で署名すると共に管理者公開鍵で暗号化するステップと、システム管理者が、上記署名され暗号化された運用・保守記録を管理者秘密鍵で復号すると共に作業者公開鍵で署名検証するステップとを含むものである。
【発明の効果】
【０００９】
この発明のプラント運用・保守端末及びプラント運用・保守の記録管理方法によれば、プラントの運用・保守作業の記録に対して、作業者秘密鍵により署名付与を行いかつ管理者公開鍵による暗号化を行うことで、作業者の特定を可能とし、かつ運用・保守記録の改ざん及び漏洩を防止することができる。
【図面の簡単な説明】
【００１０】
【図１】この発明の実施の形態１によるプラントの運用・保守端末及び方法を説明するための全体構成図を示す。
【図２】この発明の実施の形態１においてシステム管理者の公開鍵組の生成と作業者の登録の手順を示すフローチャートを示す。
【図３】この発明の実施の形態１において作業者が運用・保守作業を実施する場合の手順を示すフローチャートを示す。
【図４】この発明の実施の形態１においてシステム管理者が運用・保守記録を閲覧し検証するフローチャートを示す。
【図５】この発明の実施の形態２で使用するＰＫＩに基づく電子証明書の発行の手順を示す。
【図６】この発明の実施の形態２によるプラントの運用・保守端末を説明するための構成図である。
【図７】この発明の実施の形態３によるプラントの運用・保守端末を説明するための構成図である。
【図８】この発明の実施の形態４によるプラントの運用・保守端末を説明するための構成図である。
【図９】この発明の実施の形態５による記録サーバの動作を説明するための構成図である。
【図１０】この発明の実施の形態５による作業計画データの一例を示す。
【図１１】この発明の実施の形態５による操作記録の一例を示す。
【図１２】この発明の実施の形態５によるログの閾値データの一例を示す。
【図１３】この発明の実施の形態５によるプラントの出力するログの一例を示す。
【発明を実施するための形態】
【００１１】
実施の形態１．
図１はこの発明の実施の形態１によるプラントの運用・保守端末及び運用・保守方法を説明するための全体構成図である。
図１において、１０は例えば原子力発電所等のプラントであり、２０はプラント１０の運用・保守を実施する運用・保守端末であり、３０はシステム管理者用の管理者端末である。
プラント１０は、プラント全体を監視する監視装置１１と、監視装置１１により監視される制御装置１２ａ〜１２ｎを有し、ネットワーク１３を介して接続されている。制御装置１２ａ〜１２ｎには、それぞれプラント制御機器等（図示せず）がＩ／Ｏを介して接続されている。
運用・保守端末２０は、作業者がプラント１０の運用・保守作業を実施する運用・保守ツール２１を有している。また、運用・保守端末２０は、作業者が運用・保守作業の際に使用する作業用ファイルを格納するための作業ファイル格納エリア２００を有し、作業用ファイルとしての監視プログラム２０１、制御プログラム２０２、設定ファイル２０３を格納している。そして、作業者は、運用・保守ツール２１を用いて、監視装置１１に対して監視プログラム２０１や設定ファイル２０３をアップロードして更新したり、監視装置１１からログを取得したりする等、各種操作を行う（図示（Ａ））。また、作業者は、運用・保守ツール２１を用いて、制御装置１２ａ〜１２ｎに対して制御プログラム２０２や設定ファイル２０３をアップロードして更新したり、制御装置１２ａ〜１２ｎからログを取得したりする等、各種操作を行う（図示（Ｂ））。
【００１２】
運用・保守端末２０は、システム管理者によるユーザの登録や作業者による運用・保守端末２０へのログインを行うユーザ管理機能２３と、システム管理者及び作業者の公開鍵と秘密鍵の組（管理者公開鍵と管理者秘密鍵、作業者公開鍵と作業者秘密鍵）を生成する公開鍵組生成ツール２４を有している。また、運用・保守ツール２１は、作業者により実施された運用・保守記録の署名付与及び暗号化を行うための署名付与・暗号化機能２２と、作業者の秘密鍵を活性化するための秘密鍵活性化機能２５を有している。
【００１３】
運用・保守端末２０は、システム管理者の管理者公開鍵２２１、作業者の作業者秘密鍵２２２、及び暗号化したパスフレーズ２２４を格納した鍵保管領域２１２を備える。
また、運用・保守端末２０は、運用・保守ツール２１の署名付与・暗号化機能２２により署名付与・暗号化された運用・保守記録（操作記録２１１ａ、更新ファイル２１１ｂ、ログ２１１ｃ）を保管する記録保管領域２１１を備える。
ここで、記録保管領域２１１及び鍵保管領域２１２は、作業者を含めて第三者による鍵及びファイルの持ち出しや削除等を防止するために、システム管理者のみがアクセスできる管理者アクセス領域２１０に保管することが望ましい。
【００１４】
運用・保守端末２０は、システム管理者と作業者という権限の異なる２種類のユーザを設定できる。システム管理者は、運用・保守端末２０におけるユーザ管理と、記録保管領域２１１に保管された運用・保守記録データの検証及び操作が可能である。作業者は、上述したように、運用・保守ツール２１を用いて、プラント１０の監視装置１１や制御装置１２ａ〜１２ｎの運用・保守作業を行う。
【００１５】
図２のフローチャートに基づいて、システム管理者による自己の公開鍵組の生成と作業者の登録の手順を説明する。
システム管理者は、あらかじめ公開鍵組生成ツール２４を用いて、自己の管理者公開鍵２２１と管理者秘密鍵２２０の組を生成する（Ｓ１００）。公開鍵組生成ツール２４で生成された管理者公開鍵２２１は鍵保管領域２１２に格納される（Ｓ１０１）。一方、システム管理者は、管理者秘密鍵２２０を運用・保守端末２０から管理者端末３０へ取り出して管理者自身の管理下に置くと共に、管理者秘密鍵２２０を運用・保守端末２０から削除する（Ｓ１０２）。
次に、システム管理者は、ユーザ管理機能２３を用いて運用・保守端末２０に作業者の登録を行う（Ｓ１０３）。ユーザ管理機能２３は、指定された作業者名に基づいてユーザＩＤの割当を実施すると共に、指定された作業者が運用・保守端末２０へログインする際に必要となるパスワードを生成する（Ｓ１０４）。また、ユーザ管理機能２３は、公開鍵組生成ツール２４を用いて作業者公開鍵２２３と作業者秘密鍵２２２の組を生成（Ｓ１０５）し、作業者秘密鍵２２２を鍵保管領域２１２に保管する（Ｓ１０６）。このとき、システム管理者は、作業者秘密鍵２２２を活性化するためのパスフレーズを指定する（Ｓ１１０）。また、システム管理者は、作業者公開鍵２２３を運用・保守端末２０から取り出し、システム管理者の管理者端末３０に保管する（Ｓ１０７）。
作業者秘密鍵２２２を活性化するためのパスフレーズは、作業者のログイン用のパスワードを用いて暗号化され、暗号化パスフレーズ２２４として鍵保管領域２１２に保管される（Ｓ１０８）。
【００１６】
次に、図３のフローチャートに基づいて、作業者がプラント１０の運用・保守作業を実施する場合の手順を説明する。
作業者は、ログインパスワードを用いて運用・保守端末２０のユーザ管理機能２３にログインすると、ユーザ管理機能２３はログインパスワードに基づいて運用・保守ツール２１を起動する（Ｓ１２０）。そして、運用・保守ツール２１は、秘密鍵活性化機能２５により、ログインした作業者のログインパスワードを使用して、作業者秘密鍵２２２を活性化するための暗号化パスフレーズ２２４を復号（Ｓ１２１）し、作業者秘密鍵２２２を活性化（Ｓ１２２）する。
次に、作業者は、運用・保守ツール２１を使用してプラント１０の運用・保守作業を行う。
作業者が、運用・保守ツール２１を用いて、プラント１０の監視装置１１の監視プログラム及び制御装置１２ａ〜１２ｎの制御プログラムを更新する（Ｓ１３０）と、運用・保守ツール２１の署名付与・暗号化機能２２は、更新したプログラムに対して作業者秘密鍵２２２で署名を付与し、管理者公開鍵２２１で暗号化した後、記録保管領域２１１に格納する（Ｓ１２３）。
また、作業者が、運用・保守ツール２１を用いて、設定ファイルを更新する（Ｓ１３１）と、運用・保守ツール２１の署名付与・暗号化機能２２は、更新した設定ファイルに対して作業者秘密鍵２２２で署名を付与し、管理者公開鍵２２１で暗号化した後、記録保管領域２１１に格納する（Ｓ１２４）。
また、作業者がプラント１０に対して上記作業を含めて行った各種操作（Ｓ１３２）の操作履歴は、記録保管領域２１１にその都度記録される（Ｓ１２５）。
さらに、作業者がプラント１０のログを表示する（Ｓ１３３）と、運用・保守ツール２１の署名付与・暗号化機能２２は、ログ表示用に運用・保守端末２０にダウンロードされたログデータに対して作業者秘密鍵２２２で署名を付与し、管理者公開鍵２２１で暗号化した後、記録保管領域２１１に格納する（Ｓ１２６）。
作業者が運用・保守作業を終了する（Ｓ１３４）と、運用・保守ツール２１の署名付与・暗号化機能２２は、上記各種操作履歴を作業者秘密鍵２２２で署名を付与し、管理者公開鍵２２１で暗号化した後、記録保管領域２１１に格納する（Ｓ１２７）。
最後に、運用・保守ツール２１は、作業者の秘密鍵活性化用の復号したパスフレーズを廃棄した後、作業者秘密鍵の非活性化を行う（Ｓ１２８）。
そして、作業者はログアウトする（Ｓ１２９）。
【００１７】
図４はシステム管理者が運用・保守記録を閲覧して検証するフローチャートを示す。
システム管理者は、作業者による運用・保守作業の完了後、運用・保守端末２０の記録保管領域２１１から作業者秘密鍵２２２で署名され管理者公開鍵２２１で暗号化された運用・保守記録（操作記録２１１ａ、更新ファイル２１１ｂ、ログ２１１ｃ）を管理者端末３０に取り出す（Ｓ１４０）。そして、システム管理者は、管理者秘密鍵２２０により、管理者公開鍵２２１で暗号化された運用・保守記録を復号して（Ｓ１４１）、運用・保守記録の検証を行う。また、システム管理者は、復号された運用・保守記録を作業者公開鍵２２３を用いて作業者秘密鍵２２２で付与された署名の検証を行う（Ｓ１４２、Ｓ１４３）。
【００１８】
以上のように本実施の形態によれば、作業者が運用・保守ツールを用いて運用・保守作業を行う際に、更新プログラム、設定ファイル、プラントのログ、及び各種操作履歴を作業者秘密鍵で署名した後、管理者公開鍵で暗号化するようにしたので、システム管理者は運用・保守作業を実施した作業者を特定することができる。また、運用・保守作業の内容及び結果が改ざんされていないことを確認できる。さらに、システム管理者だけが復号できるように暗号化しているために、運用・保守記録の内容が他に漏洩することを防止できる。
【００１９】
実施の形態２．
本実施の形態ではＰＫＩ（Public Key Infrastructure）に基づく電子証明書を利用することにより、システム管理者及び作業者の正当性を第三者機関である認証局（CA：Certification Authority）によって保証することを目的とする。
【００２０】
図５はこの発明の実施の形態２で使用するＰＫＩに基づく電子証明書の発行の手順を示す。システム管理者は、実施の形態１で説明したように公開鍵組生成ツール２４により、管理者公開鍵２２１及び管理者秘密鍵２２０の組と、登録する作業者（作業者Ｗ１〜作業者Ｗｎ）の作業者公開鍵（２２３−１〜２２３−ｎ）及び作業者秘密鍵（２２２−１〜２２２−ｎ）の組を生成する。上記生成した全ての公開鍵を認証局３００に送り、証明書の発行を依頼する。認証局３００は受け取った公開鍵（管理者公開鍵２２１、作業者公開鍵２２３−１〜２２３−ｎ）に対して、各鍵の所有者を審査し、公開鍵（管理者公開鍵２２１、作業者公開鍵２２３−１〜２２３−ｎ）を内部に格納した電子証明書（管理者証明書２３０、作業者証明書２３１−１〜２３１−ｎ）を発行する。管理者証明書２３０は運用・保守端末２０の鍵保管領域２１２に保管され、作業者証明書２３１−１〜２３１−ｎは管理者端末３０で管理される。
【００２１】
図６はこの発明の実施の形態２によるプラントの運用・保守端末２０を説明するための構成図である。本実施の形態では、作業者が、運用・保守ツール２１を用いて、監視プログラム、制御プログラム又は設定ファイルを更新したり、ログを表示したり、各種操作を実施すると、運用・保守ツール２１の署名付与・暗号化機能２２は、更新したプログラムやログデータ等の運用保守記録に対して作業者秘密鍵２２２で署名を付与すると共に、管理者公開鍵を格納した管理者証明書２３０で暗号化した後、記録保管領域２１１に格納する。このとき、署名付与・暗号化機能２２は運用保守記録を暗号化する際に、認証局３００に対してシステム管理者の証明書の検証を要求することが出来る。
そして、システム管理者は、管理者秘密鍵２２０により、管理者証明書２３０で暗号化された運用・保守記録を復号して、運用・保守記録の検証を行う。また、復号された運用・保守記録を作業者証明書２３１−１〜２３１−ｎを用いて署名の検証を行う。
なお、その他の構成及び動作は上記の実施の形態と同様であるので、説明は省略する。
【００２２】
以上のように本実施の形態によれば、第三者機関である認証局（CA：Certification Authority）によってシステム管理者及び作業者の特定が可能となり、システム管理者権限搾取によるシステム管理者や作業者の詐称を防止する効果がある。
【００２３】
実施の形態３．
上記実施の形態では、運用・保守端末２０にログインするパスワードが漏洩したり、作業者が別の作業者に教えた場合には、第３者ユーザがログインして運用・保守作業をする危険性がある。本実施の形態では、運用・保守端末２０へのログイン及び作業者の秘密鍵の活性化を行う際に、パスワードではなく、生態認証機能を用いることとする。
【００２４】
図７はこの発明の実施の形態３によるプラントの運用・保守端末２０を説明するための構成図である。運用・保守端末２０には生態認証装置４０が接続される。システム管理者は作業者を登録する際に、ユーザ管理機能２３に登録した作業者Ｗ１〜Ｗｎから、当該作業者が生態認証装置４０によって認証されるための作業者生態情報４１−１〜４１−ｎを採取し、運用・保守端末２０内に登録しておく。
ユーザ管理機能２３は登録された作業者生態情報４１−１〜４１−ｎを用いて、作業者秘密鍵２２２を活性化するためのパスフレーズ２２４を暗号化し、鍵保管領域２１２に格納する。
ユーザが運用・保守端末２０にログインする際に、ユーザ管理機能２３は生態認証装置４０から入力された作業者生態情報４１と登録されている作業者生態情報４１−１〜４１−ｎを比較して同一であれば、ログインを許可する。運用・保守ツール２１が起動されると、秘密鍵活性化機能２５は入力された作業者生態情報４１を用いて作業者秘密鍵２２２を活性化するためのパスフレーズ２２４を復号し、作業者秘密鍵２２２を活性化する。
なお、その他の構成及び動作は上記の実施の形態と同様であるので、説明は省略する。
【００２５】
以上のように本実施の形態によれば、作業者が運用・保守端末２０にログインする際にパスワードではなく生態情報を用いることにより、パスワードの漏洩による正当ユーザのなり済ましを防止し、確実に作業者を特定することが可能となる。
【００２６】
実施の形態４．
上記実施の形態では、運用・保守作業の記録は運用・保守端末内の記録保管領域に格納していたが、システム管理者が運用・保守作業の結果を確認するためには運用・保守端末から管理者端末に運用・保守記録を取り出して、確認する必要があった。本実施の形態では、運用・保守作業の記録をネットワークを介して、記録サーバに保存することにより、システム管理者が運用・保守作業後に運用・保守端末から取り出すことなく記録を参照可能とする。
【００２７】
図８はこの発明の実施の形態４によるプラントの運用・保守端末２０を説明するための構成図である。運用・保守端末２０は、ネットワーク６０を介して、記録サーバ５０に接続される。運用・保守端末２０内の運用・保守ツール２１は、運用・保守作業の記録に対して署名付与・暗号化機能２２により作業者秘密鍵２２２で署名し管理者公開鍵で暗号化を行った後、記録送信処理２６により記録サーバ５０に送信し、記録サーバ５０内の記録保管領域２５０に格納する。そして、システム管理者は、記録サーバ５０に格納された運用・保守記録を管理者秘密鍵２２０を用いて復号し、作業者公開鍵２２３を用いて付与された署名を検証する。なお、ネットワーク６０は、専用の保守回線を用いてもよいし、インターネットを使用してもよい。インターネットを介して運用・保守記録データを送信した場合も、システム管理者の管理者公開鍵によって暗号化されているため、運用・保守記録データの内容が漏洩することはない。
なお、その他の構成及び動作は上記の実施の形態と同様であるので、説明は省略する。
【００２８】
以上のように本実施の形態によれば、システム管理者が運用・保守端末から運用・保守記録を取り出すことなく、記録サーバに格納された運用・保守記録データを用いて、運用・保守作業の結果を確認することができるという効果がある。
【００２９】
実施の形態５．
図９はこの発明の実施の形態５による記録サーバ５０の動作を説明するための構成図である。
記録サーバ５０は、実施の形態４で説明した運用・保守端末２０の記録送信処理２６から送信される運用・保守記録を保管する記録保管領域２５０を有し、記録保管領域２５０には、署名付与・暗号化された更新ファイル（監視プログラム２５１、制御プログラム２５２、設定ファイル２５３）、操作記録２５４及びログ２５５が保管される。
また、記録サーバ５０は、署名され暗号化された運用・保守記録を復号し署名検証を行う復号・署名検証機能５２と、復号された運用・保守記録を基準ファイル及び基準データと比較検証する作業チェック・ログ監視機能５１を有している。
さらに、記録サーバ５０は、システム管理者の管理者秘密鍵２２０及び各作業者の作業者公開鍵２２３を保持する鍵保管領域２７０を有している。また、記録サーバ５０は、基準ファイルとしての、作業者の運用・保守作業用として予め登録したファイル（監視プログラム２６１、制御プログラム２６２、設定ファイル２６３）と、基準データとしての、運用・保守作業の作業計画データ２６４及びプラント１０のログ閾値データ２６５を格納しているファイル格納エリア２６０を有している。
なお、記録保管領域２５０及び鍵保管領域２７０は、作業者を含めて第三者による鍵及びファイルの持ち出しや削除等を防止するために、システム管理者のみがアクセスできる管理者アクセス領域２８０に保管することが望ましい。
【００３０】
図１０はファイル格納エリア２６０に格納されている作業計画データ２６４の一例である。作業計画２６４には、作業予定者、作業日、作業時間、及び作業の手順としての実施する作業と対象となるファイルや装置が記載されている。
図１２はファイル格納エリア２６０に格納されているプラントのログ閾値データ２６５の一例である。プラントのログの閾値には監視対象及び当該監視対象の計測値の最小値と最大値を記載する。
【００３１】
次に、本実施の形態の記録サーバ５０の動作について説明する。記録サーバ５０は、運用・保守端末２０から送信されて記録保管領域２５０に保管された運用・保守記録（更新ファイル（監視プログラム２５１、制御プログラム２５２、設定ファイル２５３）、操作記録２５４及びログ２５５）を、復号・署名検証機能５２によって、管理者秘密鍵２２０を用いて復号し、その後、作業者公開鍵２２３を用いて署名検証を行う。
記録サーバ５０は上記の署名検証が完了すると、作業チェック・ログ監視機能５１によって、作業計画データ２６４を参照し、実際の作業者が計画された作業者と同一であるかどうかを判定する。
その後、作業チェック・ログ監視機能５１は、プラント１０にアップロードした監視プログラム２５１、制御プログラム２５２及び設定ファイル２５３が、予め計画時に登録された監視プログラム２６１、制御プログラム２６２、設定ファイル２６３と同じであるかどうかを比較する。
また、作業チェック・ログ監視機能５１は、操作記録２５４が作業計画データ２６４に記載された作業手順と合致しているかどうかを比較する。図１１は運用・保守ツール２１の出力する操作記録の一例を示す。操作記録２５４には、実行日時、実行コマンド、実行結果が記載されている。
さらに、作業チェック・ログ監視機能５１は、プラントから取得したログ２５５について、ログ閾値データ２６５に基づき異常な値を検出していないかどうかを検索する。図１３はプラントの出力するログ２５５の一例を示す。
作業チェック・ログ監視機能５１は、上記の内容について異常が発見された場合、アラートを出力する。
【００３２】
以上のように本実施の形態によれば、運用・保守作業の記録から実際に計画された運用・保守が実施されたかどうかを自動的に検出可能となり、設定ミスなどによる事故の防止に役立つ。
【符号の説明】
【００３３】
１０ プラント、１１ 監視装置、１２ａ〜１２ｎ 制御装置、
２０ 運用・保守端末、２１ 運用・保守ツール、２２ 署名付与・暗号化機能、
２３ ユーザ管理機能、２４ 公開鍵組生成ツール、２５ 秘密鍵活性化機能、
２６ 記録送信処理、３０ 管理者端末、４０ 生態認証装置、４１ 作業者生態情報、５０ 記録サーバ、５１ 作業チェック・ログ監視機能、５２ 復号・署名検証機能、
２００ 作業ファイル格納エリア、２０１ 監視プログラム、２０２ 制御プログラム、２０３ 設定ファイル、２１０ 管理者アクセス領域、２１１ 記録保管領域、
２１２ 鍵保管領域、２２０ 管理者秘密鍵、２２１ 管理者公開鍵、
２２２ 作業者秘密鍵、２２３ 作業者公開鍵、２２４ パスフレーズ、
２５０ 記録保管領域、２６０ ファイル格納エリア、２７０ 鍵保管領域、
３００ 認証局。
【特許請求の範囲】
【請求項１】
システム管理者と作業者という異なる権限を有する二種のユーザを備えたプラント運用・保守端末であって、
プラントの運用・保守作業を行う運用・保守ツールと、
上記システム管理者の管理者公開鍵と管理者秘密鍵、及び上記作業者の作業者公開鍵と作業者秘密鍵を生成する公開鍵組生成ツールと、
上記公開鍵組生成ツールで生成した上記管理者公開鍵及び上記作業者秘密鍵を保管する鍵保管領域と、
上記作業者が上記運用・保守ツールを用いて行ったプラントの運用・保守記録を、上記作業者秘密鍵で署名すると共に、上記管理者公開鍵で暗号化して保管する記録保管領域を備え、
上記システム管理者は、上記記録保管領域に保管された運用・保守記録を、上記管理者秘密鍵で復号すると共に上記作業者公開鍵で署名検証するプラント運用・保守端末。
【請求項２】
請求項１に記載のプラント運用・保守端末において、ネットワークを介して記録サーバが接続され、上記記録サーバに、上記作業者秘密鍵で署名されると共に上記管理者公開鍵で暗号化されたプラントの運用・保守記録を保管する記録保管領域を備えたプラント運用・保守端末。
【請求項３】
上記記録サーバは、上記記録保管領域に保管された運用・保守記録を、上記管理者秘密鍵を用いて復号し、上記作業者公開鍵を用いて署名検証を行う復号・署名検証機能と、上記復号した運用・保守記録を基準ファイル及び基準データと比較検証する作業チェック・ログ監視機能を備えた請求項２に記載のプラント運用・保守端末。
【請求項４】
上記作業者が上記運用・保守ツールにログインパスワードによりログインした場合、上記ログインパスワードを用いて予め登録されている暗号化パスフレーズを復号し、復号されたパスフレーズにより上記作業者秘密鍵を活性化する請求項１から請求項３のいずれか１項に記載のプラント運用・保守端末。
【請求項５】
請求項１から請求項３のいずれか１項に記載のプラント運用・保守端末において、生態認証装置が接続され、上記作業者が作業者生態情報によりログインした場合、上記生態情報を用いて予め登録されている暗号化パスフレーズを復号し、復号されたパスフレーズにより上記作業者秘密鍵を活性化するプラント運用・保守端末。
【請求項６】
上記管理者公開鍵及び上記作業者公開鍵の代わりに、上記管理者公開鍵及び上記作業者公開鍵をそれぞれ内部に格納したＰＫＩ（Public Key Infrastructure）に基づく管理者証明書及び作業者証明書を使用する請求項１から請求項５のいずれか１項に記載したプラント運用・保守端末。
【請求項７】
システム管理者の管理者公開鍵と管理者秘密鍵、並びに作業者の作業者公開鍵と作業者秘密鍵を生成するステップと、
上記作業者がプラントの運用・保守作業を行った運用・保守記録を、上記作業者秘密鍵で署名すると共に上記管理者公開鍵で暗号化するステップと、
上記システム管理者が、上記署名され暗号化された運用・保守記録を、上記管理者秘密鍵で復号すると共に上記作業者公開鍵で署名検証するステップとを含むプラント運用・保守の記録管理方法。
【請求項１】
システム管理者と作業者という異なる権限を有する二種のユーザを備えたプラント運用・保守端末であって、
プラントの運用・保守作業を行う運用・保守ツールと、
上記システム管理者の管理者公開鍵と管理者秘密鍵、及び上記作業者の作業者公開鍵と作業者秘密鍵を生成する公開鍵組生成ツールと、
上記公開鍵組生成ツールで生成した上記管理者公開鍵及び上記作業者秘密鍵を保管する鍵保管領域と、
上記作業者が上記運用・保守ツールを用いて行ったプラントの運用・保守記録を、上記作業者秘密鍵で署名すると共に、上記管理者公開鍵で暗号化して保管する記録保管領域を備え、
上記システム管理者は、上記記録保管領域に保管された運用・保守記録を、上記管理者秘密鍵で復号すると共に上記作業者公開鍵で署名検証するプラント運用・保守端末。
【請求項２】
請求項１に記載のプラント運用・保守端末において、ネットワークを介して記録サーバが接続され、上記記録サーバに、上記作業者秘密鍵で署名されると共に上記管理者公開鍵で暗号化されたプラントの運用・保守記録を保管する記録保管領域を備えたプラント運用・保守端末。
【請求項３】
上記記録サーバは、上記記録保管領域に保管された運用・保守記録を、上記管理者秘密鍵を用いて復号し、上記作業者公開鍵を用いて署名検証を行う復号・署名検証機能と、上記復号した運用・保守記録を基準ファイル及び基準データと比較検証する作業チェック・ログ監視機能を備えた請求項２に記載のプラント運用・保守端末。
【請求項４】
上記作業者が上記運用・保守ツールにログインパスワードによりログインした場合、上記ログインパスワードを用いて予め登録されている暗号化パスフレーズを復号し、復号されたパスフレーズにより上記作業者秘密鍵を活性化する請求項１から請求項３のいずれか１項に記載のプラント運用・保守端末。
【請求項５】
請求項１から請求項３のいずれか１項に記載のプラント運用・保守端末において、生態認証装置が接続され、上記作業者が作業者生態情報によりログインした場合、上記生態情報を用いて予め登録されている暗号化パスフレーズを復号し、復号されたパスフレーズにより上記作業者秘密鍵を活性化するプラント運用・保守端末。
【請求項６】
上記管理者公開鍵及び上記作業者公開鍵の代わりに、上記管理者公開鍵及び上記作業者公開鍵をそれぞれ内部に格納したＰＫＩ（Public Key Infrastructure）に基づく管理者証明書及び作業者証明書を使用する請求項１から請求項５のいずれか１項に記載したプラント運用・保守端末。
【請求項７】
システム管理者の管理者公開鍵と管理者秘密鍵、並びに作業者の作業者公開鍵と作業者秘密鍵を生成するステップと、
上記作業者がプラントの運用・保守作業を行った運用・保守記録を、上記作業者秘密鍵で署名すると共に上記管理者公開鍵で暗号化するステップと、
上記システム管理者が、上記署名され暗号化された運用・保守記録を、上記管理者秘密鍵で復号すると共に上記作業者公開鍵で署名検証するステップとを含むプラント運用・保守の記録管理方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【公開番号】特開２０１２−１７８０７４（Ｐ２０１２−１７８０７４Ａ）
【公開日】平成２４年９月１３日（２０１２．９．１３）
【国際特許分類】
【出願番号】特願２０１１−４１０５９（Ｐ２０１１−４１０５９）
【出願日】平成２３年２月２８日（２０１１．２．２８）
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【Ｆターム（参考）】
【公開日】平成２４年９月１３日（２０１２．９．１３）
【国際特許分類】
【出願日】平成２３年２月２８日（２０１１．２．２８）
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【Ｆターム（参考）】
[ Back to top ]