産業制御システムを管理する管理システム、管理方法および管理プログラム
【課題】異常時において適切な対処を行う。
【解決手段】制御装置と、制御装置に接続される制御ネットワークと、制御ネットワークを介して制御装置により制御される複数の機器とを備える産業制御システムの管理システムであって、産業制御システムの一部ずつを制御する制御ゾーン毎に設けられ、制御ゾーン内の機器と制御ネットワークとの間の通信を中継する複数のファイヤウォール部と、複数のファイヤウォール部のそれぞれからイベントを収集して解析し、制御ゾーン毎の異常を検知するイベント解析部と、異常が検知された制御ゾーンに設けられたファイヤウォール部を介する通信動作を変更する通信管理部と、を備える管理システムを提供する。
【解決手段】制御装置と、制御装置に接続される制御ネットワークと、制御ネットワークを介して制御装置により制御される複数の機器とを備える産業制御システムの管理システムであって、産業制御システムの一部ずつを制御する制御ゾーン毎に設けられ、制御ゾーン内の機器と制御ネットワークとの間の通信を中継する複数のファイヤウォール部と、複数のファイヤウォール部のそれぞれからイベントを収集して解析し、制御ゾーン毎の異常を検知するイベント解析部と、異常が検知された制御ゾーンに設けられたファイヤウォール部を介する通信動作を変更する通信管理部と、を備える管理システムを提供する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、産業制御システムを管理する管理システム、管理方法および管理プログラムに関する。
【背景技術】
【０００２】
工業システムおよびインフラストラクチャシステムの管理および制御をする産業制御システム（ＩＣＳ）が知られている（例えば、非特許文献１参照）。従来、産業制御システムは、外部ネットワークとは接続されず、固有のプロトコルで動作するものが多かった。しかし、近年、産業制御システムは、インターネットプロトコル等の一般的なプロトコルにより接続され、また、外部ネットワークと接続されたシステムも多くなってきた。
【０００３】
非特許文献１ "ＳＣＡＤＡ"、［online］、ウィキペディア、［２０１１年３月３０日検索］、インターネット〈URL：http://ja.wikipedia.org/wiki/SCADA〉
特許文献１ 特開２００８−０５４２０４号公報
特許文献２ 特開２００７−１３４７４８号公報
特許文献３ 特開２００７−１２９２７４号公報
特許文献４ 特開２００６−２７７１８５号公報
特許文献５ 特開２００５−１１５７８８号公報
特許文献６ 特開２００１−２１６４２３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
ところで、産業制御システムは、外部ネットワークと接続されると、外部からの攻撃の脅威が増す。従って、このような産業制御システムでは、内部に備える機器等に異常が発生した場合、対処プロセスを実行する必要がある。
【０００５】
しかしながら、産業制御システムの中には、対処プロセスが確実に実行されなければならないものも存在し、また、対処プロセスの実行に伴う他システムへの影響を最小限にしなければならないものも存在する。従って、産業制御システムでは、異常発生時において、適切な対処プロセスを確実に実行する必要があった。
【課題を解決するための手段】
【０００６】
上記課題を解決するために、本発明の第１の態様においては、制御装置と、前記制御装置に接続される制御ネットワークと、前記制御ネットワークを介して前記制御装置により制御される複数の機器とを備える産業制御システムの管理システムであって、前記産業制御システムの一部ずつを制御する制御ゾーン毎に設けられ、前記制御ゾーン内の機器と前記制御ネットワークとの間の通信を中継する複数のファイヤウォール部と、前記複数のファイヤウォール部のそれぞれからイベントを収集して解析し、前記制御ゾーン毎の異常を検知するイベント解析部と、異常が検知された前記制御ゾーンに設けられたファイヤウォール部を介する通信動作を変更する通信管理部と、を備える管理システム、並びに、このような管理システムに関する管理方法および管理プログラムを提供する。
【０００７】
なお、上記の発明の概要は、本発明の必要な特徴の全てを列挙したものではない。また、これらの特徴群のサブコンビネーションもまた、発明となりうる。
【図面の簡単な説明】
【０００８】
【図１】本実施形態に係るコンピューティングシステム１０の構成を示す。
【図２】状態ワークフローおよび異常検知条件の一例を示す。
【図３】本実施形態の変形例に係るデータセンタシステム１００の構成を示す。
【図４】データセンタシステム１００の温度異常時における処理フローの一例を示す。
【図５】データセンタシステム１００における対処フローの一例を示す。
【図６】本実施形態に係るコンピュータ１９００のハードウエア構成の一例を示す。
【発明を実施するための形態】
【０００９】
以下、発明の実施の形態を通じて本発明を説明するが、以下の実施形態は特許請求の範囲にかかる発明を限定するものではない。また、実施形態の中で説明されている特徴の組み合わせの全てが発明の解決手段に必須であるとは限らない。
【００１０】
図１は、本実施形態に係るコンピューティングシステム１０の構成を示す。本実施形態に係るコンピューティングシステム１０は、産業制御システム２０と、管理システム３０とを備える。
【００１１】
産業制御システム２０は、複数のコンピュータおよび複数の機器等が接続されたシステムである。産業制御システム２０は、一例として、工業システムおよびインフラストラクチャ（交通およびエネルギ等）システム等の各オブジェクトの管理および制御をするシステムである。
【００１２】
産業制御システム２０は、一例として、一つのビル内のネットワークに接続された様々なデバイス（例えば、電気、ガス、水道、空調およびセキュリティシステム等）を管理するシステムである。また、産業制御システム２０は、一つの大きな制御システム内における一部分のシステムであってもよい。例えば、産業制御システム２０は、都市全体を管理するシステムを構成する部分的な管理システム（例えば、ビル管理システム、工場管理システム、水道管理システム、および電気管理システム等）であってもよい。
【００１３】
また、産業制御システム２０は、一例として、オフィス内または家庭内のネットワークに接続された様々なデバイス（例えば電話機およびコピー機、等々）を管理するシステムであってもよい。また、産業制御システム２０は、企業等内のネットワークに接続された複数のコンピュータを管理するシステムであってもよいし、データセンタ等のネットワークに接続された多数のサーバを管理するシステムであってもよい。
【００１４】
本実施形態において、産業制御システム２０は、複数の機器２２と、制御装置２４と、制御ネットワーク２６とを有する。複数の機器２２のそれぞれは、当該産業制御システム２０内に備えられる各種のデバイスである。複数の機器２２のそれぞれは、一例として、当該産業制御システム２０における制御対象となるデバイス、これらのデバイスを制御するＰＬＣ（Programmable Logic Controller）、デイバスの状態等を検出するセンサ、および、コンピュータ等の情報処理装置等である。
【００１５】
制御装置２４は、コンピュータ等により実現される。制御装置２４は、複数の機器２２のそれぞれを制御し、または、複数の機器２２のそれぞれから情報を取得する。
【００１６】
制御ネットワーク２６は、制御装置２４と複数の機器２２との間を接続して、情報を相互に伝達させる。制御ネットワーク２６は、一例として、インターネットプロトコル等の所定のプロトコルにより制御装置２４と複数の機器２２のそれぞれの間のデータを転送する。
【００１７】
管理システム３０は、産業制御システム２０を管理する。より詳しくは、管理システム３０は、産業制御システム２０の状態を取得し、取得した状態に応じて当該産業制御システム２０を制御する。
【００１８】
管理システム３０は、複数のファイヤウォール部３２と、ワークフローデータベース３４と、応答データベース３６と、イベント解析部３８と、通信管理部４０とを有する。
【００１９】
ここで、産業制御システム２０は、複数の機器２２を一部ずつ制御するための複数の制御ゾーン２８が形成される。複数のファイヤウォール部３２のそれぞれは、複数の制御ゾーン２８のそれぞれ毎に設けられる。複数のファイヤウォール部３２のそれぞれは、対応する制御ゾーン２８内の機器２２と制御ネットワーク２６との間の通信を中継する。即ち、制御装置２４から制御ネットワーク２６を介して複数の制御ゾーン２８内のそれぞれの機器２２へと入力されるデータ、および、複数の制御ゾーン２８内のそれぞれの機器２２から制御ネットワーク２６を介して制御装置２４へと出力されるデータは、対応するファイヤウォール部３２を経由する。
【００２０】
また、複数のファイヤウォール部３２のそれぞれは、対応する制御ゾーン２８内の機器２２と制御ネットワーク２６との間の通信を制御する。例えば、複数のファイヤウォール部３２のそれぞれは、ある特定の機器２２から制御ネットワーク２６へと送出されるメッセージのヘッダの内容を書き換えたり、当該メッセージを廃棄したりする。また、複数のファイヤウォール部３２のそれぞれは、通信量を制限したり、通信ルートを変更したりしてもよい。
【００２１】
ワークフローデータベース３４は、産業制御システム２０の状態変化のフローを示す状態ワークフロー、および、状態ワークフローに示された各状態における異常検知条件を格納する。状態ワークフローおよび異常検知条件は、管理システム３０の管理者によって予め作成され、ワークフローデータベース３４に登録される。なお、状態ワークフローおよび異常検知条件については、図２等を参照して更に説明する。
【００２２】
応答データベース３６は、状態ワークフローに示された各状態に対応した、制御ゾーンに対する異常時における対処動作を示す対処フローを格納する。対処フローは、管理システム３０の管理者によって予め作成され、応答データベース３６に登録される。なお、対処フローについては、図２等を参照して更に説明する。
【００２３】
イベント解析部３８は、複数の制御ゾーンのそれぞれからイベントを収集して解析し、複数の制御ゾーンのそれぞれの異常を検知する。本実施形態においては、イベント解析部３８は、複数のファイヤウォール部３２のそれぞれからイベントを収集して解析し、制御ゾーン２８毎の異常を検知する。
【００２４】
ここで、イベントとは、産業制御システム２０内において生じる事象であって、例えばセンサまたはコンピュータ等によって検出が可能な事象をいう。イベントは、一例として、産業制御システム２０内の機器等に対して設けられたセンサにより検出された物理量（電力、温度、湿度、質量、体積および流量等）であってよい。また、イベントは、一例として、産業制御システム２０内の情報処理装置等に入出力されるデータの測定値（例えば、データレート、データの送受信のレスポンス、エラーレート等）であってもよい。また、イベントは、一例として、産業制御システム２０内の各機器の状態（例えば、スイッチの接続の有無および機器の動作モード等）、または、産業制御システム２０内の情報処理装置を構成するリソースの状態（例えば、メモリのデータ占有量およびプロセッサの使用率等）であってもよい。
【００２５】
イベント解析部３８は、複数の制御ゾーン２８毎の状態を、状態ワークフローに従って管理する。より詳しくは、イベント解析部３８は、複数の制御ゾーン２８毎に、対応するファイヤウォール部３２から管理ネットワーク４４を介してイベントを収集する。イベント解析部３８は、複数の制御ゾーン２８のそれぞれ毎に、収集したイベントが、ワークフローデータベース３４内に格納された状態ワークフローにより特定される現在の状態における異常検知条件を満たすか否かを判断する。そして、イベント解析部３８は、異常検知条件を満たしたと判断した場合には、対応する制御ゾーンの状態が状態ワークフローに従って変化したと判断する。なお、制御ゾーン２８の状態を状態ワークフローに従って管理することについては、図２等を参照して更に説明をする。
【００２６】
通信管理部４０は、異常が検知された制御ゾーン２８に設けられたファイヤウォール部３２を介する通信動作を変更する。より詳しくは、通信管理部４０は、複数の制御ゾーン２８のそれぞれ毎に、対応する制御ゾーン２８の状態が変化したと判断されたことに応じて、変化後の状態に対応した対処フローをファイヤウォール部３２に対して適用する。
【００２７】
管理ネットワーク４４は、ワークフローデータベース３４、応答データベース３６、イベント解析部３８および通信管理部４０を互いに接続する。管理ネットワーク４４は、制御ネットワーク２６とは別個に設けられたネットワークである。
【００２８】
さらに、管理ネットワーク４４は、複数のファイヤウォール部３２のそれぞれと接続される。複数のファイヤウォール部３２のそれぞれは、複数の機器２２と制御ネットワーク２６との間を接続するためのデータ入出力用のポートと、管理ネットワーク４４と接続される制御用のポートとを有する。そして、複数のファイヤウォール部３２のそれぞれは、対応する制御ゾーン２８内におけるイベントを取得し、取得したイベントを管理ネットワーク４４を介してイベント解析部３８に供給する。また、複数のファイヤウォール部３２のそれぞれは、管理ネットワーク４４を介して通信管理部４０から与えられた制御命令に応じて、複数の機器２２と制御ネットワーク２６との間の通信を制御する。
【００２９】
図２は、状態ワークフローおよび異常検知条件の一例を示す。ワークフローデータベース３４は、一例として、図２に示されるような状態遷移図により表される状態ワークフローを格納する。そして、イベント解析部３８は、図２に示されるような状態遷移図に基づき、複数の制御ゾーン２８のそれぞれの状態を管理する。
【００３０】
イベント解析部３８は、制御ゾーン２８が正常に動作している場合には、対応する制御ゾーン２８が第１状態（ＳＴ１）であるとして管理する。第１状態（ＳＴ１）において、イベント解析部３８は、複数の制御ゾーン２８のそれぞれに設けられた予め定められた所定種類のセンサ（例えば温度センサ）の値を、対応するファイヤウォール部３２からイベントとして取得する。
【００３１】
第１状態（ＳＴ１）において、イベント解析部３８は、収集した所定種類のセンサの値にエラーが発生していない場合（Ｘ＝０）、対応する制御ゾーン２８が、第１状態（ＳＴ１）に維持されていると判断する。しかし、第１状態（ＳＴ１）において、所定種類のセンサにエラーが発生して、且つ、エラーとなったセンサの個数がＡ個より大きい場合には（Ｘ＞Ａ）、イベント解析部３８は、対応する制御ゾーン２８が、第１状態（ＳＴ１）から第２状態（ＳＴ２）に変化したと判断する。また、第１状態（ＳＴ１）において、所定種類のセンサにエラーが発生して、且つ、エラーとなったセンサの個数がＡ個以下の場合には（Ｘ≦Ａ）、イベント解析部３８は、対応する制御ゾーン２８が、第１状態（ＳＴ１）から第３状態（ＳＴ３）に変化したと判断する。
【００３２】
ここで、「所定種類のセンサにエラーが発生して、且つ、エラーとなったセンサの個数がＡ個より大きい」という条件、および、「所定種類のセンサにエラーが発生して、且つ、エラーとなったセンサの個数がＡ個以下」という条件は、第１状態（ＳＴ１）における異常検知条件を示す。ワークフローデータベース３４は、第１状態（ＳＴ１）に対応して、このような異常検知条件を格納する。
【００３３】
第１状態（ＳＴ１）から第２状態（ＳＴ２）に変化した場合、通信管理部４０は、対応する制御ゾーン２８に対して、第１プランに従った対処フローを実行させる。通信管理部４０は、一例として、第１プランとして、対応する制御ゾーン２８を予め指定された手順でシャットダウンすることを実行させる。「第１プラン」は、第２状態（ＳＴ２）に対応して制御ゾーン２８に適用する対処フローである。応答データベース３６は、第２状態（ＳＴ２）に対応して、このような対処フローを格納する。そして、イベント解析部３８は、第２状態（ＳＴ２）において、第１プランの実行が終了すると、対応する制御ゾーン２８の動作が終了したと判断する。
【００３４】
第３状態（ＳＴ３）において、イベント解析部３８は、制御ネットワーク２６が正常に動作しているかどうか（例えば制御ネットワーク２６の混雑度）を、対応するファイヤウォール部３２からイベントとして取得する。イベントを収集した結果、第３状態（ＳＴ３）において、制御ネットワーク２６が正常に動作している場合（Ｙ＝真）、イベント解析部３８は、対応する制御ゾーン２８が第３状態（ＳＴ３）から第４状態（ＳＴ４）に変化したと判断する。また、第３状態（ＳＴ３）において、制御ネットワーク２６が正常に動作していない場合（Ｙ＝偽）、イベント解析部３８は、対応する制御ゾーン２８が第３状態（ＳＴ３）から第５状態（ＳＴ５）に変化したと判断する。
【００３５】
ここで、「制御ネットワーク２６が正常に動作している」という条件、および、「制御ネットワーク２６が正常に動作していない」という条件は、第３状態（ＳＴ３）における異常検知条件を示す。ワークフローデータベース３４は、第３状態（ＳＴ３）に対応して、このような異常検知条件を格納する。
【００３６】
第３状態（ＳＴ３）から第４状態（ＳＴ４）に変化した場合、通信管理部４０は、対応する制御ゾーン２８に対して、第２プランに従った対処フローを実行させる。通信管理部４０は、一例として、第２プランとして、対応する制御ゾーン２８の所定種類のセンサのうちこれまでに異常と判断されたセンサの値を無効とする処理を実行させる。「第２プラン」は、第４状態（ＳＴ４）に対応して制御ゾーン２８に適用する対処フローである。応答データベース３６は、第４状態（ＳＴ４）に対応して、このような対処フローを格納する。そして、イベント解析部３８は、第２プランの実行が終了すると、対応する制御ゾーン２８が第４状態（ＳＴ４）から第１状態（ＳＴ１）に変化したと判断する。
【００３７】
第３状態（ＳＴ３）から第５状態（ＳＴ５）に変化した場合、通信管理部４０は、対応する制御ゾーン２８に対して、第３プランに従った対処フローを実行させる。通信管理部４０は、一例として、第３プランとして、対応する制御ゾーン２８の所定種類のセンサのうちこれまでに異常と判断されたセンサからのメッセージを遮断して制御ネットワーク２６には転送しない処理を実行させる。「第３プラン」は、第５状態（ＳＴ５）に対応して制御ゾーン２８に適用する対処フローである。応答データベース３６は、第５状態（ＳＴ５）に対応して、このような対処フローを格納する。
【００３８】
第５状態（ＳＴ５）において、イベント解析部３８は、制御ネットワーク２６が正常に動作しているかどうかを、対応するファイヤウォール部３２からイベントとして取得する。イベントを収集した結果、第５状態（ＳＴ５）において、制御ネットワーク２６が正常に動作している場合（Ｙ＝真）、イベント解析部３８は、対応する制御ゾーン２８が第５状態（ＳＴ５）から第１状態（ＳＴ１）に変化したと判断する。また、第５状態（ＳＴ５）において、制御ネットワーク２６が正常に動作していない場合（Ｙ＝偽）、イベント解析部３８は、対応する制御ゾーン２８が第５状態（ＳＴ５）から第６状態（ＳＴ６）に変化したと判断する。
【００３９】
第５状態（ＳＴ５）から第６状態（ＳＴ６）に変化した場合、通信管理部４０は、対応する制御ゾーン２８に対して、第１プランに従った対処フローを実行させる。「第１プラン」は、第６状態（ＳＴ６）に対応して制御ゾーン２８に適用する対処フローである。応答データベース３６は、第６状態（ＳＴ６）に対応して、このような対処フローを格納する。そして、イベント解析部３８は、第６状態（ＳＴ６）において、第１プランの実行が終了すると、対応する制御ゾーン２８の動作が終了したと判断する。
【００４０】
以上のように、本実施形態に係る管理システム３０によれば、異常発生時において、それぞれの状態毎に適切な対処プロセスを実行することができる。さらに、本実施形態に係る管理システム３０によれば、産業制御システム２０内の機器２２およびコンピュータ等を直接制御するのではなく、通信されるデータに対する制御をするので、対処を容易に且つ早急に実行することができる。
【００４１】
また、更に、本実施形態に係る管理システム３０によれば、複数の制御ゾーン２８毎にファイヤウォール部３２を設けて通信の制御を行うので、異常に対する対処処理による影響を小さくすることができる。また、本実施形態に係る管理システム３０によれば、ファイヤウォール部３２を専用の管理ネットワーク４４を介して制御するので、安全性を高くし、また、セキュリティ性も高くすることができる。
【００４２】
なお、イベント解析部３８が検知する異常検知条件、および、通信管理部４０が実行するプランは、次のような内容であってもよい。
【００４３】
即ち例えば、イベント解析部３８は、第１の制御ゾーン２８内の機器２２である第１センサから異常値が送信されているか否かを検知する。そして、通信管理部４０は、第１の制御ゾーン２８内のセンサから異常値が送信されていることが検知された場合に、第１の制御ゾーン２８に設けられたファイヤウォール部３２を制御して、制御ネットワーク２６に対する異常値の転送を遮断してもよい。これにより、管理システム３０は、第１センサが例えば故障等により異常値が検出され続け、制御ネットワーク２６の通信が正常に実行されなくなった場合において、制御ネットワーク２６の動作を正常に戻すことができる。
【００４４】
また例えば、通信管理部４０は、第１の制御ゾーン２８内の第１センサから異常値が送信されていることが検知された場合に、第１の制御ゾーン２８に設けられたファイヤウォール部３２を制御して、当該ファイヤウォール部３２により異常値を正常値に変換させる。これにより、管理システム３０は、第１センサの故障による外部への影響を少なくすることができる。
【００４５】
また例えば、通信管理部４０は、第１の制御ゾーン２８内の第１センサから異常値が送信されていることが検知された場合に、第２の制御ゾーン２８に設けられたファイヤウォール部３２を制御して、第１センサの検出値に代えて、第２の制御ゾーン２８内の第２センサによる検出値を制御ネットワーク２６へと転送させてもよい。これにより、管理システム３０は、第１センサのバックアップとなる第２センサの検出値に置き換えて、第１センサの故障による外部への影響を少なくすることができる。
【００４６】
また例えば、イベント解析部３８は、第１の制御ゾーン２８内の機器２２の動作が正常か否かを第１の制御ゾーン２８に設けられたファイヤウォール部３２から収集したイベントに基づき検知する。そして、通信管理部４０は、第１の制御ゾーン２８内の機器２２の動作が異常であることが検知された場合に、第１の制御ゾーン２８に設けられたファイヤウォール部３２を制御して、当該機器２２から他の制御ゾーン２８への制御信号を遮断してもよい。これにより、管理システム３０は、センサが例えば故障した場合、故障したセンサの結果が他の制御ゾーン２８に影響を与えないようにできる。
【００４７】
図３は、本実施形態の変形例に係るデータセンタシステム１００の構成を示す。本実施形態は、データセンタシステム１００に適用することができる。
【００４８】
データセンタシステム１００は、図１に示したコンピューティングシステム１０と略同一の機能および構成を有する。同一の構成および同一の機能を有する構成要素については同一の名称および符号を付けて、相違点を除き説明を省略する。
【００４９】
データセンタシステム１００は、第１のデータセンタ５０−１と、第２のデータセンタ５０−２とを備える。第１のデータセンタ５０−１および第２のデータセンタ５０−２のそれぞれは、図１に示した制御ゾーン２８に対応する。第１のデータセンタ５０−１および第２のデータセンタ５０−２は、例えば異なる都市に設けられ（例えば、一方は東京、他方は大阪）、障害発生において互いにバックアップをする関係となっている。
【００５０】
それぞれのデータセンタ５０は、一例として、計算機ゾーン５２と、空調システム５４と、複数の温度センサ５６とを有する。計算機ゾーン５２は、サーバ等が設けられる。空調システム５４は、複数の温度センサ５６により検出された温度値に応じて、サーバが設けられた部屋の温度を調整する。複数の温度センサ５６は、サーバの温度を測定する。計算機ゾーン５２、空調システム５４および複数の温度センサ５６のそれぞれは、図１に示した機器２２に対応する。
【００５１】
図４は、データセンタシステム１００の温度異常時における処理フローの一例を示す。まず、イベント解析部３８は、正常時において、データセンタ５０毎に、複数の温度センサ５６のそれぞれにより検出された温度をイベントとして取得する。イベント解析部３８は、複数の温度センサ５６のそれぞれにより検出された温度が正常温度範囲であれば、複数の温度センサ５６のそれぞれが正常に動作していると判断する。
【００５２】
イベント解析部３８は、温度（イベント）を例えば一定期間毎に取得して、何れかのデータセンタ５０において、温度センサ５６が故障した場合（例えば、検出した温度が、温度レンジの最大値または最小値を示している場合）、処理をステップＳ１１に進める。
【００５３】
ステップＳ１１において、イベント解析部３８は、そのデータセンタ５０内の全ての温度センサ５６のうち５０％以上が故障しているか否かを判断する。イベント解析部３８は、そのデータセンタ５０内の全ての温度センサ５６のうち５０％以上が故障している場合、処理をステップＳ１６に進める。一方、イベント解析部３８は、そのデータセンタ５０内の全ての温度センサ５６のうち５０％未満が故障している場合、処理をステップＳ１２に進める。
【００５４】
ステップＳ１２において、イベント解析部３８は、制御ネットワーク２６が正常に動作しているか否かを判断する。イベント解析部３８は、制御ネットワーク２６が正常に動作している場合には（Ｓ１２の真）、処理をステップＳ１３に進める。イベント解析部３８は、制御ネットワーク２６が正常に動作していない場合には（Ｓ１２の偽）、処理をステップＳ１４に進める。
【００５５】
ステップＳ１３において、通信管理部４０は、第２プランに対応する対処フローを実行させる。通信管理部４０は、一例として、第２プランとして、故障した温度センサ５６の値を無効とする処理（例えば、故障した温度センサ５６から出力された温度値を無効値に置き換える処理）を、そのデータセンタ５０のファイヤウォール部３２に実行させる。これにより、通信管理部４０は、故障した温度センサ５６により検出された温度値に応じて誤った温度制御がされなくなるので、サーバが設けられた部屋の温度を適切に調節させることができる。そして、イベント解析部３８は、ステップＳ１３の処理を終えると当該フローを抜けて、次に新たな故障した温度センサ５６が検出されるまで、正常状態として動作を維持する。
【００５６】
また、ステップＳ１４において、通信管理部４０は、第３プランに対応する対処フローを実行させる。通信管理部４０は、一例として、第３プランとして、故障した温度センサ５６の値の転送を遮断する処理（例えば、故障した温度センサ５６から出力された温度値を破棄する処理）を、そのデータセンタ５０のファイヤウォール部３２に実行させる。これにより、通信管理部４０は、故障した温度センサ５６により検出された温度値に応じて誤った温度制御がされなくなり、さらに、ネットワークの混雑も無くなるので、サーバが設けられた部屋の温度を適切に調節するとともに、当該データセンタシステム１００全体の処理も安定化させることができる。
【００５７】
また、イベント解析部３８は、ステップＳ１４の処理を終えると、処理をステップＳ１５に進める。ステップＳ１５において、イベント解析部３８は、制御ネットワーク２６が正常に動作しているか否かを判断する。イベント解析部３８は、制御ネットワーク２６が正常に動作している場合には（Ｓ１５の真）、当該フローを抜けて、次に新たな故障した温度センサ５６が検出されるまで、正常状態として動作を維持する。イベント解析部３８は、制御ネットワーク２６が正常に動作していない場合には（Ｓ１５の偽）、処理をステップＳ１６に進める。
【００５８】
ステップＳ１６において、通信管理部４０は、第１プランに対応する対処フローを実行させる。通信管理部４０は、一例として、第１プランとして、そのデータセンタ５０により提供されているサービスを他のデータセンタ５０に移転して、そのデータセンタ５０を停止させる処理を実行させる。これにより、通信管理部４０は、故障した温度センサ５６の数が多く、データセンタ５０の温度制御を安定して実行できない可能性がある場合には、そのデータセンタ５０の利用者に影響を与えずに、そのデータセンタ５０を停止することができる。そして、通信管理部４０は、ステップＳ１６の処理を終えると、当該フローを抜けて、そのデータセンタ５０に対する制御を終了する。
【００５９】
図５は、データセンタシステム１００における対処フローの一例を示す。通信管理部４０は、ステップＳ１６において実行する第１プランとして、例えば図５に示される対処フローを実行する。
【００６０】
この場合、まず、ステップＳ２１において、通信管理部４０は、対応するデータセンタ５０のファイヤウォール部３２を介して、対応するデータセンタ５０内の空調システム５４を制御して、室温を最低に設定する。これにより、通信管理部４０は、少なくとも温度の異常上昇により機器が破壊することを回避することができる。
【００６１】
続いて、ステップＳ２２において、通信管理部４０は、対応するデータセンタ５０のファイヤウォール部３２を介して制御装置２４に命令を与えて、対応するデータセンタ５０により提供されている全てのサービスを、他方のデータセンタ５０に移転する。即ち、第１のデータセンタ５０−１に異常が生じていれば、第１のデータセンタ５０−１により提供されている全てのサービスを第２のデータセンタ５０−２に移転する。
【００６２】
続いて、ステップＳ２３において、通信管理部４０は、移転処理が完了するまで処理を待機する。全てのサービスが移転されると（ステップＳ２３のＹｅｓ）、通信管理部４０は、処理をステップＳ２４に進める。そして、ステップＳ２４において、通信管理部４０は、対応するデータセンタ５０の空調システム５４の動作を停止する。以上により、通信管理部４０は、そのデータセンタ５０の利用者に影響を与えずに、そのデータセンタ５０を停止することができる。
【００６３】
以上のように、本実施形態に係るコンピューティングシステム１０によれば、温度センサ５６の故障時において、故障のレベルに応じて、データセンタ５０に対して適切な対処を実行することができる。
【００６４】
図６は、本実施形態に係るコンピュータ１９００のハードウェア構成の一例を示す。本実施形態に係るコンピュータ１９００は、ホスト・コントローラ２０８２により相互に接続されるＣＰＵ２０００、ＲＡＭ２０２０、グラフィック・コントローラ２０７５、及び表示装置２０８０を有するＣＰＵ周辺部と、入出力コントローラ２０８４によりホスト・コントローラ２０８２に接続される通信インターフェイス２０３０、ハードディスクドライブ２０４０、及びＣＤ−ＲＯＭドライブ２０６０を有する入出力部と、入出力コントローラ２０８４に接続されるＲＯＭ２０１０、フレキシブルディスク・ドライブ２０５０、及び入出力チップ２０７０を有するレガシー入出力部とを備える。
【００６５】
ホスト・コントローラ２０８２は、ＲＡＭ２０２０と、高い転送レートでＲＡＭ２０２０をアクセスするＣＰＵ２０００及びグラフィック・コントローラ２０７５とを接続する。ＣＰＵ２０００は、ＲＯＭ２０１０及びＲＡＭ２０２０に格納されたプログラムに基づいて動作し、各部の制御を行う。グラフィック・コントローラ２０７５は、ＣＰＵ２０００等がＲＡＭ２０２０内に設けたフレーム・バッファ上に生成する画像データを取得し、表示装置２０８０上に表示させる。これに代えて、グラフィック・コントローラ２０７５は、ＣＰＵ２０００等が生成する画像データを格納するフレーム・バッファを、内部に含んでもよい。
【００６６】
入出力コントローラ２０８４は、ホスト・コントローラ２０８２と、比較的高速な入出力装置である通信インターフェイス２０３０、ハードディスクドライブ２０４０、ＣＤ−ＲＯＭドライブ２０６０を接続する。通信インターフェイス２０３０は、ネットワークを介して他の装置と通信する。ハードディスクドライブ２０４０は、コンピュータ１９００内のＣＰＵ２０００が使用するプログラム及びデータを格納する。ＣＤ−ＲＯＭドライブ２０６０は、ＣＤ−ＲＯＭ２０９５からプログラム又はデータを読み取り、ＲＡＭ２０２０を介してハードディスクドライブ２０４０に提供する。
【００６７】
また、入出力コントローラ２０８４には、ＲＯＭ２０１０と、フレキシブルディスク・ドライブ２０５０、及び入出力チップ２０７０の比較的低速な入出力装置とが接続される。ＲＯＭ２０１０は、コンピュータ１９００が起動時に実行するブート・プログラム、及び／又は、コンピュータ１９００のハードウェアに依存するプログラム等を格納する。フレキシブルディスク・ドライブ２０５０は、フレキシブルディスク２０９０からプログラム又はデータを読み取り、ＲＡＭ２０２０を介してハードディスクドライブ２０４０に提供する。入出力チップ２０７０は、フレキシブルディスク・ドライブ２０５０を入出力コントローラ２０８４へと接続すると共に、例えばパラレル・ポート、シリアル・ポート、キーボード・ポート、マウス・ポート等を介して各種の入出力装置を入出力コントローラ２０８４へと接続する。
【００６８】
ＲＡＭ２０２０を介してハードディスクドライブ２０４０に提供されるプログラムは、フレキシブルディスク２０９０、ＣＤ−ＲＯＭ２０９５、又はＩＣカード等の記録媒体に格納されて利用者によって提供される。プログラムは、記録媒体から読み出され、ＲＡＭ２０２０を介してコンピュータ１９００内のハードディスクドライブ２０４０にインストールされ、ＣＰＵ２０００において実行される。
【００６９】
コンピュータ１９００にインストールされ、コンピュータ１９００を管理システム３０として機能させるプログラムは、ワークフローデータベースモジュールと、応答データベースモジュールと、イベント解析モジュールと、通信管理モジュールとを備える。これらのプログラム又はモジュールは、ＣＰＵ２０００等に働きかけて、コンピュータ１９００を、ワークフローデータベース３４、応答データベース３６、イベント解析部３８および通信管理部４０としてそれぞれ機能させる。
【００７０】
これらのプログラムに記述された情報処理は、コンピュータ１９００に読込まれることにより、ソフトウェアと上述した各種のハードウェア資源とが協働した具体的手段であるワークフローデータベース３４、応答データベース３６、イベント解析部３８および通信管理部４０として機能する。そして、これらの具体的手段によって、本実施形態におけるコンピューティングシステム１０の使用目的に応じた情報の演算又は加工を実現することにより、使用目的に応じた特有の管理システム３０が構築される。
【００７１】
一例として、コンピュータ１９００と外部の装置等との間で通信を行う場合には、ＣＰＵ２０００は、ＲＡＭ２０２０上にロードされた通信プログラムを実行し、通信プログラムに記述された処理内容に基づいて、通信インターフェイス２０３０に対して通信処理を指示する。通信インターフェイス２０３０は、ＣＰＵ２０００の制御を受けて、ＲＡＭ２０２０、ハードディスクドライブ２０４０、フレキシブルディスク２０９０、又はＣＤ−ＲＯＭ２０９５等の記憶装置上に設けた送信バッファ領域等に記憶された送信データを読み出してネットワークへと送信し、もしくは、ネットワークから受信した受信データを記憶装置上に設けた受信バッファ領域等へと書き込む。このように、通信インターフェイス２０３０は、ＤＭＡ（ダイレクト・メモリ・アクセス）方式により記憶装置との間で送受信データを転送してもよく、これに代えて、ＣＰＵ２０００が転送元の記憶装置又は通信インターフェイス２０３０からデータを読み出し、転送先の通信インターフェイス２０３０又は記憶装置へとデータを書き込むことにより送受信データを転送してもよい。
【００７２】
また、ＣＰＵ２０００は、ハードディスクドライブ２０４０、ＣＤ−ＲＯＭドライブ２０６０（ＣＤ−ＲＯＭ２０９５）、フレキシブルディスク・ドライブ２０５０（フレキシブルディスク２０９０）等の外部記憶装置に格納されたファイルまたはデータベース等の中から、全部または必要な部分をＤＭＡ転送等によりＲＡＭ２０２０へと読み込ませ、ＲＡＭ２０２０上のデータに対して各種の処理を行う。そして、ＣＰＵ２０００は、処理を終えたデータを、ＤＭＡ転送等により外部記憶装置へと書き戻す。このような処理において、ＲＡＭ２０２０は、外部記憶装置の内容を一時的に保持するものとみなせるから、本実施形態においてはＲＡＭ２０２０および外部記憶装置等をメモリ、記憶部、または記憶装置等と総称する。本実施形態における各種のプログラム、データ、テーブル、データベース等の各種の情報は、このような記憶装置上に格納されて、情報処理の対象となる。なお、ＣＰＵ２０００は、ＲＡＭ２０２０の一部をキャッシュメモリに保持し、キャッシュメモリ上で読み書きを行うこともできる。このような形態においても、キャッシュメモリはＲＡＭ２０２０の機能の一部を担うから、本実施形態においては、区別して示す場合を除き、キャッシュメモリもＲＡＭ２０２０、メモリ、及び／又は記憶装置に含まれるものとする。
【００７３】
また、ＣＰＵ２０００は、ＲＡＭ２０２０から読み出したデータに対して、プログラムの命令列により指定された、本実施形態中に記載した各種の演算、情報の加工、条件判断、情報の検索・置換等を含む各種の処理を行い、ＲＡＭ２０２０へと書き戻す。例えば、ＣＰＵ２０００は、条件判断を行う場合においては、本実施形態において示した各種の変数が、他の変数または定数と比較して、大きい、小さい、以上、以下、等しい等の条件を満たすかどうかを判断し、条件が成立した場合（又は不成立であった場合）に、異なる命令列へと分岐し、またはサブルーチンを呼び出す。
【００７４】
また、ＣＰＵ２０００は、記憶装置内のファイルまたはデータベース等に格納された情報を検索することができる。例えば、第１属性の属性値に対し第２属性の属性値がそれぞれ対応付けられた複数のエントリが記憶装置に格納されている場合において、ＣＰＵ２０００は、記憶装置に格納されている複数のエントリの中から第１属性の属性値が指定された条件と一致するエントリを検索し、そのエントリに格納されている第２属性の属性値を読み出すことにより、所定の条件を満たす第１属性に対応付けられた第２属性の属性値を得ることができる。
【００７５】
以上に示したプログラム又はモジュールは、外部の記録媒体に格納されてもよい。記録媒体としては、フレキシブルディスク２０９０、ＣＤ−ＲＯＭ２０９５の他に、ＤＶＤ又はＣＤ等の光学記録媒体、ＭＯ等の光磁気記録媒体、テープ媒体、ＩＣカード等の半導体メモリ等を用いることができる。また、専用通信ネットワーク又はインターネットに接続されたサーバシステムに設けたハードディスク又はＲＡＭ等の記憶装置を記録媒体として使用し、ネットワークを介してプログラムをコンピュータ１９００に提供してもよい。
【００７６】
以上、本発明を実施の形態を用いて説明したが、本発明の技術的範囲は上記実施の形態に記載の範囲には限定されない。上記実施の形態に、多様な変更または改良を加えることが可能であることが当業者に明らかである。その様な変更または改良を加えた形態も本発明の技術的範囲に含まれ得ることが、特許請求の範囲の記載から明らかである。
【００７７】
特許請求の範囲、明細書、および図面中において示した装置、システム、プログラム、および方法における動作、手順、ステップ、および段階等の各処理の実行順序は、特段「より前に」、「先立って」等と明示しておらず、また、前の処理の出力を後の処理で用いるのでない限り、任意の順序で実現しうることに留意すべきである。特許請求の範囲、明細書、および図面中の動作フローに関して、便宜上「まず、」、「次に、」等を用いて説明したとしても、この順で実施することが必須であることを意味するものではない。
【符号の説明】
【００７８】
１０ コンピューティングシステム
２０ 産業制御システム
２２ 機器
２４ 制御装置
２６ 制御ネットワーク
２８ 制御ゾーン
３０ 管理システム
３２ ファイヤウォール部
３４ ワークフローデータベース
３６ 応答データベース
３８ イベント解析部
４０ 通信管理部
４４ 管理ネットワーク
１００ データセンタシステム
５０ データセンタ
５２ 計算機ゾーン
５４ 空調システム
５６ 温度センサ
１９００ コンピュータ
２０００ ＣＰＵ
２０１０ ＲＯＭ
２０２０ ＲＡＭ
２０３０ 通信インターフェイス
２０４０ ハードディスクドライブ
２０５０ フレキシブルディスク・ドライブ
２０６０ ＣＤ−ＲＯＭドライブ
２０７０ 入出力チップ
２０７５ グラフィック・コントローラ
２０８０ 表示装置
２０８２ ホスト・コントローラ
２０８４ 入出力コントローラ
２０９０ フレキシブルディスク
２０９５ ＣＤ−ＲＯＭ
【技術分野】
【０００１】
本発明は、産業制御システムを管理する管理システム、管理方法および管理プログラムに関する。
【背景技術】
【０００２】
工業システムおよびインフラストラクチャシステムの管理および制御をする産業制御システム（ＩＣＳ）が知られている（例えば、非特許文献１参照）。従来、産業制御システムは、外部ネットワークとは接続されず、固有のプロトコルで動作するものが多かった。しかし、近年、産業制御システムは、インターネットプロトコル等の一般的なプロトコルにより接続され、また、外部ネットワークと接続されたシステムも多くなってきた。
【０００３】
非特許文献１ "ＳＣＡＤＡ"、［online］、ウィキペディア、［２０１１年３月３０日検索］、インターネット〈URL：http://ja.wikipedia.org/wiki/SCADA〉
特許文献１ 特開２００８−０５４２０４号公報
特許文献２ 特開２００７−１３４７４８号公報
特許文献３ 特開２００７−１２９２７４号公報
特許文献４ 特開２００６−２７７１８５号公報
特許文献５ 特開２００５−１１５７８８号公報
特許文献６ 特開２００１−２１６４２３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
ところで、産業制御システムは、外部ネットワークと接続されると、外部からの攻撃の脅威が増す。従って、このような産業制御システムでは、内部に備える機器等に異常が発生した場合、対処プロセスを実行する必要がある。
【０００５】
しかしながら、産業制御システムの中には、対処プロセスが確実に実行されなければならないものも存在し、また、対処プロセスの実行に伴う他システムへの影響を最小限にしなければならないものも存在する。従って、産業制御システムでは、異常発生時において、適切な対処プロセスを確実に実行する必要があった。
【課題を解決するための手段】
【０００６】
上記課題を解決するために、本発明の第１の態様においては、制御装置と、前記制御装置に接続される制御ネットワークと、前記制御ネットワークを介して前記制御装置により制御される複数の機器とを備える産業制御システムの管理システムであって、前記産業制御システムの一部ずつを制御する制御ゾーン毎に設けられ、前記制御ゾーン内の機器と前記制御ネットワークとの間の通信を中継する複数のファイヤウォール部と、前記複数のファイヤウォール部のそれぞれからイベントを収集して解析し、前記制御ゾーン毎の異常を検知するイベント解析部と、異常が検知された前記制御ゾーンに設けられたファイヤウォール部を介する通信動作を変更する通信管理部と、を備える管理システム、並びに、このような管理システムに関する管理方法および管理プログラムを提供する。
【０００７】
なお、上記の発明の概要は、本発明の必要な特徴の全てを列挙したものではない。また、これらの特徴群のサブコンビネーションもまた、発明となりうる。
【図面の簡単な説明】
【０００８】
【図１】本実施形態に係るコンピューティングシステム１０の構成を示す。
【図２】状態ワークフローおよび異常検知条件の一例を示す。
【図３】本実施形態の変形例に係るデータセンタシステム１００の構成を示す。
【図４】データセンタシステム１００の温度異常時における処理フローの一例を示す。
【図５】データセンタシステム１００における対処フローの一例を示す。
【図６】本実施形態に係るコンピュータ１９００のハードウエア構成の一例を示す。
【発明を実施するための形態】
【０００９】
以下、発明の実施の形態を通じて本発明を説明するが、以下の実施形態は特許請求の範囲にかかる発明を限定するものではない。また、実施形態の中で説明されている特徴の組み合わせの全てが発明の解決手段に必須であるとは限らない。
【００１０】
図１は、本実施形態に係るコンピューティングシステム１０の構成を示す。本実施形態に係るコンピューティングシステム１０は、産業制御システム２０と、管理システム３０とを備える。
【００１１】
産業制御システム２０は、複数のコンピュータおよび複数の機器等が接続されたシステムである。産業制御システム２０は、一例として、工業システムおよびインフラストラクチャ（交通およびエネルギ等）システム等の各オブジェクトの管理および制御をするシステムである。
【００１２】
産業制御システム２０は、一例として、一つのビル内のネットワークに接続された様々なデバイス（例えば、電気、ガス、水道、空調およびセキュリティシステム等）を管理するシステムである。また、産業制御システム２０は、一つの大きな制御システム内における一部分のシステムであってもよい。例えば、産業制御システム２０は、都市全体を管理するシステムを構成する部分的な管理システム（例えば、ビル管理システム、工場管理システム、水道管理システム、および電気管理システム等）であってもよい。
【００１３】
また、産業制御システム２０は、一例として、オフィス内または家庭内のネットワークに接続された様々なデバイス（例えば電話機およびコピー機、等々）を管理するシステムであってもよい。また、産業制御システム２０は、企業等内のネットワークに接続された複数のコンピュータを管理するシステムであってもよいし、データセンタ等のネットワークに接続された多数のサーバを管理するシステムであってもよい。
【００１４】
本実施形態において、産業制御システム２０は、複数の機器２２と、制御装置２４と、制御ネットワーク２６とを有する。複数の機器２２のそれぞれは、当該産業制御システム２０内に備えられる各種のデバイスである。複数の機器２２のそれぞれは、一例として、当該産業制御システム２０における制御対象となるデバイス、これらのデバイスを制御するＰＬＣ（Programmable Logic Controller）、デイバスの状態等を検出するセンサ、および、コンピュータ等の情報処理装置等である。
【００１５】
制御装置２４は、コンピュータ等により実現される。制御装置２４は、複数の機器２２のそれぞれを制御し、または、複数の機器２２のそれぞれから情報を取得する。
【００１６】
制御ネットワーク２６は、制御装置２４と複数の機器２２との間を接続して、情報を相互に伝達させる。制御ネットワーク２６は、一例として、インターネットプロトコル等の所定のプロトコルにより制御装置２４と複数の機器２２のそれぞれの間のデータを転送する。
【００１７】
管理システム３０は、産業制御システム２０を管理する。より詳しくは、管理システム３０は、産業制御システム２０の状態を取得し、取得した状態に応じて当該産業制御システム２０を制御する。
【００１８】
管理システム３０は、複数のファイヤウォール部３２と、ワークフローデータベース３４と、応答データベース３６と、イベント解析部３８と、通信管理部４０とを有する。
【００１９】
ここで、産業制御システム２０は、複数の機器２２を一部ずつ制御するための複数の制御ゾーン２８が形成される。複数のファイヤウォール部３２のそれぞれは、複数の制御ゾーン２８のそれぞれ毎に設けられる。複数のファイヤウォール部３２のそれぞれは、対応する制御ゾーン２８内の機器２２と制御ネットワーク２６との間の通信を中継する。即ち、制御装置２４から制御ネットワーク２６を介して複数の制御ゾーン２８内のそれぞれの機器２２へと入力されるデータ、および、複数の制御ゾーン２８内のそれぞれの機器２２から制御ネットワーク２６を介して制御装置２４へと出力されるデータは、対応するファイヤウォール部３２を経由する。
【００２０】
また、複数のファイヤウォール部３２のそれぞれは、対応する制御ゾーン２８内の機器２２と制御ネットワーク２６との間の通信を制御する。例えば、複数のファイヤウォール部３２のそれぞれは、ある特定の機器２２から制御ネットワーク２６へと送出されるメッセージのヘッダの内容を書き換えたり、当該メッセージを廃棄したりする。また、複数のファイヤウォール部３２のそれぞれは、通信量を制限したり、通信ルートを変更したりしてもよい。
【００２１】
ワークフローデータベース３４は、産業制御システム２０の状態変化のフローを示す状態ワークフロー、および、状態ワークフローに示された各状態における異常検知条件を格納する。状態ワークフローおよび異常検知条件は、管理システム３０の管理者によって予め作成され、ワークフローデータベース３４に登録される。なお、状態ワークフローおよび異常検知条件については、図２等を参照して更に説明する。
【００２２】
応答データベース３６は、状態ワークフローに示された各状態に対応した、制御ゾーンに対する異常時における対処動作を示す対処フローを格納する。対処フローは、管理システム３０の管理者によって予め作成され、応答データベース３６に登録される。なお、対処フローについては、図２等を参照して更に説明する。
【００２３】
イベント解析部３８は、複数の制御ゾーンのそれぞれからイベントを収集して解析し、複数の制御ゾーンのそれぞれの異常を検知する。本実施形態においては、イベント解析部３８は、複数のファイヤウォール部３２のそれぞれからイベントを収集して解析し、制御ゾーン２８毎の異常を検知する。
【００２４】
ここで、イベントとは、産業制御システム２０内において生じる事象であって、例えばセンサまたはコンピュータ等によって検出が可能な事象をいう。イベントは、一例として、産業制御システム２０内の機器等に対して設けられたセンサにより検出された物理量（電力、温度、湿度、質量、体積および流量等）であってよい。また、イベントは、一例として、産業制御システム２０内の情報処理装置等に入出力されるデータの測定値（例えば、データレート、データの送受信のレスポンス、エラーレート等）であってもよい。また、イベントは、一例として、産業制御システム２０内の各機器の状態（例えば、スイッチの接続の有無および機器の動作モード等）、または、産業制御システム２０内の情報処理装置を構成するリソースの状態（例えば、メモリのデータ占有量およびプロセッサの使用率等）であってもよい。
【００２５】
イベント解析部３８は、複数の制御ゾーン２８毎の状態を、状態ワークフローに従って管理する。より詳しくは、イベント解析部３８は、複数の制御ゾーン２８毎に、対応するファイヤウォール部３２から管理ネットワーク４４を介してイベントを収集する。イベント解析部３８は、複数の制御ゾーン２８のそれぞれ毎に、収集したイベントが、ワークフローデータベース３４内に格納された状態ワークフローにより特定される現在の状態における異常検知条件を満たすか否かを判断する。そして、イベント解析部３８は、異常検知条件を満たしたと判断した場合には、対応する制御ゾーンの状態が状態ワークフローに従って変化したと判断する。なお、制御ゾーン２８の状態を状態ワークフローに従って管理することについては、図２等を参照して更に説明をする。
【００２６】
通信管理部４０は、異常が検知された制御ゾーン２８に設けられたファイヤウォール部３２を介する通信動作を変更する。より詳しくは、通信管理部４０は、複数の制御ゾーン２８のそれぞれ毎に、対応する制御ゾーン２８の状態が変化したと判断されたことに応じて、変化後の状態に対応した対処フローをファイヤウォール部３２に対して適用する。
【００２７】
管理ネットワーク４４は、ワークフローデータベース３４、応答データベース３６、イベント解析部３８および通信管理部４０を互いに接続する。管理ネットワーク４４は、制御ネットワーク２６とは別個に設けられたネットワークである。
【００２８】
さらに、管理ネットワーク４４は、複数のファイヤウォール部３２のそれぞれと接続される。複数のファイヤウォール部３２のそれぞれは、複数の機器２２と制御ネットワーク２６との間を接続するためのデータ入出力用のポートと、管理ネットワーク４４と接続される制御用のポートとを有する。そして、複数のファイヤウォール部３２のそれぞれは、対応する制御ゾーン２８内におけるイベントを取得し、取得したイベントを管理ネットワーク４４を介してイベント解析部３８に供給する。また、複数のファイヤウォール部３２のそれぞれは、管理ネットワーク４４を介して通信管理部４０から与えられた制御命令に応じて、複数の機器２２と制御ネットワーク２６との間の通信を制御する。
【００２９】
図２は、状態ワークフローおよび異常検知条件の一例を示す。ワークフローデータベース３４は、一例として、図２に示されるような状態遷移図により表される状態ワークフローを格納する。そして、イベント解析部３８は、図２に示されるような状態遷移図に基づき、複数の制御ゾーン２８のそれぞれの状態を管理する。
【００３０】
イベント解析部３８は、制御ゾーン２８が正常に動作している場合には、対応する制御ゾーン２８が第１状態（ＳＴ１）であるとして管理する。第１状態（ＳＴ１）において、イベント解析部３８は、複数の制御ゾーン２８のそれぞれに設けられた予め定められた所定種類のセンサ（例えば温度センサ）の値を、対応するファイヤウォール部３２からイベントとして取得する。
【００３１】
第１状態（ＳＴ１）において、イベント解析部３８は、収集した所定種類のセンサの値にエラーが発生していない場合（Ｘ＝０）、対応する制御ゾーン２８が、第１状態（ＳＴ１）に維持されていると判断する。しかし、第１状態（ＳＴ１）において、所定種類のセンサにエラーが発生して、且つ、エラーとなったセンサの個数がＡ個より大きい場合には（Ｘ＞Ａ）、イベント解析部３８は、対応する制御ゾーン２８が、第１状態（ＳＴ１）から第２状態（ＳＴ２）に変化したと判断する。また、第１状態（ＳＴ１）において、所定種類のセンサにエラーが発生して、且つ、エラーとなったセンサの個数がＡ個以下の場合には（Ｘ≦Ａ）、イベント解析部３８は、対応する制御ゾーン２８が、第１状態（ＳＴ１）から第３状態（ＳＴ３）に変化したと判断する。
【００３２】
ここで、「所定種類のセンサにエラーが発生して、且つ、エラーとなったセンサの個数がＡ個より大きい」という条件、および、「所定種類のセンサにエラーが発生して、且つ、エラーとなったセンサの個数がＡ個以下」という条件は、第１状態（ＳＴ１）における異常検知条件を示す。ワークフローデータベース３４は、第１状態（ＳＴ１）に対応して、このような異常検知条件を格納する。
【００３３】
第１状態（ＳＴ１）から第２状態（ＳＴ２）に変化した場合、通信管理部４０は、対応する制御ゾーン２８に対して、第１プランに従った対処フローを実行させる。通信管理部４０は、一例として、第１プランとして、対応する制御ゾーン２８を予め指定された手順でシャットダウンすることを実行させる。「第１プラン」は、第２状態（ＳＴ２）に対応して制御ゾーン２８に適用する対処フローである。応答データベース３６は、第２状態（ＳＴ２）に対応して、このような対処フローを格納する。そして、イベント解析部３８は、第２状態（ＳＴ２）において、第１プランの実行が終了すると、対応する制御ゾーン２８の動作が終了したと判断する。
【００３４】
第３状態（ＳＴ３）において、イベント解析部３８は、制御ネットワーク２６が正常に動作しているかどうか（例えば制御ネットワーク２６の混雑度）を、対応するファイヤウォール部３２からイベントとして取得する。イベントを収集した結果、第３状態（ＳＴ３）において、制御ネットワーク２６が正常に動作している場合（Ｙ＝真）、イベント解析部３８は、対応する制御ゾーン２８が第３状態（ＳＴ３）から第４状態（ＳＴ４）に変化したと判断する。また、第３状態（ＳＴ３）において、制御ネットワーク２６が正常に動作していない場合（Ｙ＝偽）、イベント解析部３８は、対応する制御ゾーン２８が第３状態（ＳＴ３）から第５状態（ＳＴ５）に変化したと判断する。
【００３５】
ここで、「制御ネットワーク２６が正常に動作している」という条件、および、「制御ネットワーク２６が正常に動作していない」という条件は、第３状態（ＳＴ３）における異常検知条件を示す。ワークフローデータベース３４は、第３状態（ＳＴ３）に対応して、このような異常検知条件を格納する。
【００３６】
第３状態（ＳＴ３）から第４状態（ＳＴ４）に変化した場合、通信管理部４０は、対応する制御ゾーン２８に対して、第２プランに従った対処フローを実行させる。通信管理部４０は、一例として、第２プランとして、対応する制御ゾーン２８の所定種類のセンサのうちこれまでに異常と判断されたセンサの値を無効とする処理を実行させる。「第２プラン」は、第４状態（ＳＴ４）に対応して制御ゾーン２８に適用する対処フローである。応答データベース３６は、第４状態（ＳＴ４）に対応して、このような対処フローを格納する。そして、イベント解析部３８は、第２プランの実行が終了すると、対応する制御ゾーン２８が第４状態（ＳＴ４）から第１状態（ＳＴ１）に変化したと判断する。
【００３７】
第３状態（ＳＴ３）から第５状態（ＳＴ５）に変化した場合、通信管理部４０は、対応する制御ゾーン２８に対して、第３プランに従った対処フローを実行させる。通信管理部４０は、一例として、第３プランとして、対応する制御ゾーン２８の所定種類のセンサのうちこれまでに異常と判断されたセンサからのメッセージを遮断して制御ネットワーク２６には転送しない処理を実行させる。「第３プラン」は、第５状態（ＳＴ５）に対応して制御ゾーン２８に適用する対処フローである。応答データベース３６は、第５状態（ＳＴ５）に対応して、このような対処フローを格納する。
【００３８】
第５状態（ＳＴ５）において、イベント解析部３８は、制御ネットワーク２６が正常に動作しているかどうかを、対応するファイヤウォール部３２からイベントとして取得する。イベントを収集した結果、第５状態（ＳＴ５）において、制御ネットワーク２６が正常に動作している場合（Ｙ＝真）、イベント解析部３８は、対応する制御ゾーン２８が第５状態（ＳＴ５）から第１状態（ＳＴ１）に変化したと判断する。また、第５状態（ＳＴ５）において、制御ネットワーク２６が正常に動作していない場合（Ｙ＝偽）、イベント解析部３８は、対応する制御ゾーン２８が第５状態（ＳＴ５）から第６状態（ＳＴ６）に変化したと判断する。
【００３９】
第５状態（ＳＴ５）から第６状態（ＳＴ６）に変化した場合、通信管理部４０は、対応する制御ゾーン２８に対して、第１プランに従った対処フローを実行させる。「第１プラン」は、第６状態（ＳＴ６）に対応して制御ゾーン２８に適用する対処フローである。応答データベース３６は、第６状態（ＳＴ６）に対応して、このような対処フローを格納する。そして、イベント解析部３８は、第６状態（ＳＴ６）において、第１プランの実行が終了すると、対応する制御ゾーン２８の動作が終了したと判断する。
【００４０】
以上のように、本実施形態に係る管理システム３０によれば、異常発生時において、それぞれの状態毎に適切な対処プロセスを実行することができる。さらに、本実施形態に係る管理システム３０によれば、産業制御システム２０内の機器２２およびコンピュータ等を直接制御するのではなく、通信されるデータに対する制御をするので、対処を容易に且つ早急に実行することができる。
【００４１】
また、更に、本実施形態に係る管理システム３０によれば、複数の制御ゾーン２８毎にファイヤウォール部３２を設けて通信の制御を行うので、異常に対する対処処理による影響を小さくすることができる。また、本実施形態に係る管理システム３０によれば、ファイヤウォール部３２を専用の管理ネットワーク４４を介して制御するので、安全性を高くし、また、セキュリティ性も高くすることができる。
【００４２】
なお、イベント解析部３８が検知する異常検知条件、および、通信管理部４０が実行するプランは、次のような内容であってもよい。
【００４３】
即ち例えば、イベント解析部３８は、第１の制御ゾーン２８内の機器２２である第１センサから異常値が送信されているか否かを検知する。そして、通信管理部４０は、第１の制御ゾーン２８内のセンサから異常値が送信されていることが検知された場合に、第１の制御ゾーン２８に設けられたファイヤウォール部３２を制御して、制御ネットワーク２６に対する異常値の転送を遮断してもよい。これにより、管理システム３０は、第１センサが例えば故障等により異常値が検出され続け、制御ネットワーク２６の通信が正常に実行されなくなった場合において、制御ネットワーク２６の動作を正常に戻すことができる。
【００４４】
また例えば、通信管理部４０は、第１の制御ゾーン２８内の第１センサから異常値が送信されていることが検知された場合に、第１の制御ゾーン２８に設けられたファイヤウォール部３２を制御して、当該ファイヤウォール部３２により異常値を正常値に変換させる。これにより、管理システム３０は、第１センサの故障による外部への影響を少なくすることができる。
【００４５】
また例えば、通信管理部４０は、第１の制御ゾーン２８内の第１センサから異常値が送信されていることが検知された場合に、第２の制御ゾーン２８に設けられたファイヤウォール部３２を制御して、第１センサの検出値に代えて、第２の制御ゾーン２８内の第２センサによる検出値を制御ネットワーク２６へと転送させてもよい。これにより、管理システム３０は、第１センサのバックアップとなる第２センサの検出値に置き換えて、第１センサの故障による外部への影響を少なくすることができる。
【００４６】
また例えば、イベント解析部３８は、第１の制御ゾーン２８内の機器２２の動作が正常か否かを第１の制御ゾーン２８に設けられたファイヤウォール部３２から収集したイベントに基づき検知する。そして、通信管理部４０は、第１の制御ゾーン２８内の機器２２の動作が異常であることが検知された場合に、第１の制御ゾーン２８に設けられたファイヤウォール部３２を制御して、当該機器２２から他の制御ゾーン２８への制御信号を遮断してもよい。これにより、管理システム３０は、センサが例えば故障した場合、故障したセンサの結果が他の制御ゾーン２８に影響を与えないようにできる。
【００４７】
図３は、本実施形態の変形例に係るデータセンタシステム１００の構成を示す。本実施形態は、データセンタシステム１００に適用することができる。
【００４８】
データセンタシステム１００は、図１に示したコンピューティングシステム１０と略同一の機能および構成を有する。同一の構成および同一の機能を有する構成要素については同一の名称および符号を付けて、相違点を除き説明を省略する。
【００４９】
データセンタシステム１００は、第１のデータセンタ５０−１と、第２のデータセンタ５０−２とを備える。第１のデータセンタ５０−１および第２のデータセンタ５０−２のそれぞれは、図１に示した制御ゾーン２８に対応する。第１のデータセンタ５０−１および第２のデータセンタ５０−２は、例えば異なる都市に設けられ（例えば、一方は東京、他方は大阪）、障害発生において互いにバックアップをする関係となっている。
【００５０】
それぞれのデータセンタ５０は、一例として、計算機ゾーン５２と、空調システム５４と、複数の温度センサ５６とを有する。計算機ゾーン５２は、サーバ等が設けられる。空調システム５４は、複数の温度センサ５６により検出された温度値に応じて、サーバが設けられた部屋の温度を調整する。複数の温度センサ５６は、サーバの温度を測定する。計算機ゾーン５２、空調システム５４および複数の温度センサ５６のそれぞれは、図１に示した機器２２に対応する。
【００５１】
図４は、データセンタシステム１００の温度異常時における処理フローの一例を示す。まず、イベント解析部３８は、正常時において、データセンタ５０毎に、複数の温度センサ５６のそれぞれにより検出された温度をイベントとして取得する。イベント解析部３８は、複数の温度センサ５６のそれぞれにより検出された温度が正常温度範囲であれば、複数の温度センサ５６のそれぞれが正常に動作していると判断する。
【００５２】
イベント解析部３８は、温度（イベント）を例えば一定期間毎に取得して、何れかのデータセンタ５０において、温度センサ５６が故障した場合（例えば、検出した温度が、温度レンジの最大値または最小値を示している場合）、処理をステップＳ１１に進める。
【００５３】
ステップＳ１１において、イベント解析部３８は、そのデータセンタ５０内の全ての温度センサ５６のうち５０％以上が故障しているか否かを判断する。イベント解析部３８は、そのデータセンタ５０内の全ての温度センサ５６のうち５０％以上が故障している場合、処理をステップＳ１６に進める。一方、イベント解析部３８は、そのデータセンタ５０内の全ての温度センサ５６のうち５０％未満が故障している場合、処理をステップＳ１２に進める。
【００５４】
ステップＳ１２において、イベント解析部３８は、制御ネットワーク２６が正常に動作しているか否かを判断する。イベント解析部３８は、制御ネットワーク２６が正常に動作している場合には（Ｓ１２の真）、処理をステップＳ１３に進める。イベント解析部３８は、制御ネットワーク２６が正常に動作していない場合には（Ｓ１２の偽）、処理をステップＳ１４に進める。
【００５５】
ステップＳ１３において、通信管理部４０は、第２プランに対応する対処フローを実行させる。通信管理部４０は、一例として、第２プランとして、故障した温度センサ５６の値を無効とする処理（例えば、故障した温度センサ５６から出力された温度値を無効値に置き換える処理）を、そのデータセンタ５０のファイヤウォール部３２に実行させる。これにより、通信管理部４０は、故障した温度センサ５６により検出された温度値に応じて誤った温度制御がされなくなるので、サーバが設けられた部屋の温度を適切に調節させることができる。そして、イベント解析部３８は、ステップＳ１３の処理を終えると当該フローを抜けて、次に新たな故障した温度センサ５６が検出されるまで、正常状態として動作を維持する。
【００５６】
また、ステップＳ１４において、通信管理部４０は、第３プランに対応する対処フローを実行させる。通信管理部４０は、一例として、第３プランとして、故障した温度センサ５６の値の転送を遮断する処理（例えば、故障した温度センサ５６から出力された温度値を破棄する処理）を、そのデータセンタ５０のファイヤウォール部３２に実行させる。これにより、通信管理部４０は、故障した温度センサ５６により検出された温度値に応じて誤った温度制御がされなくなり、さらに、ネットワークの混雑も無くなるので、サーバが設けられた部屋の温度を適切に調節するとともに、当該データセンタシステム１００全体の処理も安定化させることができる。
【００５７】
また、イベント解析部３８は、ステップＳ１４の処理を終えると、処理をステップＳ１５に進める。ステップＳ１５において、イベント解析部３８は、制御ネットワーク２６が正常に動作しているか否かを判断する。イベント解析部３８は、制御ネットワーク２６が正常に動作している場合には（Ｓ１５の真）、当該フローを抜けて、次に新たな故障した温度センサ５６が検出されるまで、正常状態として動作を維持する。イベント解析部３８は、制御ネットワーク２６が正常に動作していない場合には（Ｓ１５の偽）、処理をステップＳ１６に進める。
【００５８】
ステップＳ１６において、通信管理部４０は、第１プランに対応する対処フローを実行させる。通信管理部４０は、一例として、第１プランとして、そのデータセンタ５０により提供されているサービスを他のデータセンタ５０に移転して、そのデータセンタ５０を停止させる処理を実行させる。これにより、通信管理部４０は、故障した温度センサ５６の数が多く、データセンタ５０の温度制御を安定して実行できない可能性がある場合には、そのデータセンタ５０の利用者に影響を与えずに、そのデータセンタ５０を停止することができる。そして、通信管理部４０は、ステップＳ１６の処理を終えると、当該フローを抜けて、そのデータセンタ５０に対する制御を終了する。
【００５９】
図５は、データセンタシステム１００における対処フローの一例を示す。通信管理部４０は、ステップＳ１６において実行する第１プランとして、例えば図５に示される対処フローを実行する。
【００６０】
この場合、まず、ステップＳ２１において、通信管理部４０は、対応するデータセンタ５０のファイヤウォール部３２を介して、対応するデータセンタ５０内の空調システム５４を制御して、室温を最低に設定する。これにより、通信管理部４０は、少なくとも温度の異常上昇により機器が破壊することを回避することができる。
【００６１】
続いて、ステップＳ２２において、通信管理部４０は、対応するデータセンタ５０のファイヤウォール部３２を介して制御装置２４に命令を与えて、対応するデータセンタ５０により提供されている全てのサービスを、他方のデータセンタ５０に移転する。即ち、第１のデータセンタ５０−１に異常が生じていれば、第１のデータセンタ５０−１により提供されている全てのサービスを第２のデータセンタ５０−２に移転する。
【００６２】
続いて、ステップＳ２３において、通信管理部４０は、移転処理が完了するまで処理を待機する。全てのサービスが移転されると（ステップＳ２３のＹｅｓ）、通信管理部４０は、処理をステップＳ２４に進める。そして、ステップＳ２４において、通信管理部４０は、対応するデータセンタ５０の空調システム５４の動作を停止する。以上により、通信管理部４０は、そのデータセンタ５０の利用者に影響を与えずに、そのデータセンタ５０を停止することができる。
【００６３】
以上のように、本実施形態に係るコンピューティングシステム１０によれば、温度センサ５６の故障時において、故障のレベルに応じて、データセンタ５０に対して適切な対処を実行することができる。
【００６４】
図６は、本実施形態に係るコンピュータ１９００のハードウェア構成の一例を示す。本実施形態に係るコンピュータ１９００は、ホスト・コントローラ２０８２により相互に接続されるＣＰＵ２０００、ＲＡＭ２０２０、グラフィック・コントローラ２０７５、及び表示装置２０８０を有するＣＰＵ周辺部と、入出力コントローラ２０８４によりホスト・コントローラ２０８２に接続される通信インターフェイス２０３０、ハードディスクドライブ２０４０、及びＣＤ−ＲＯＭドライブ２０６０を有する入出力部と、入出力コントローラ２０８４に接続されるＲＯＭ２０１０、フレキシブルディスク・ドライブ２０５０、及び入出力チップ２０７０を有するレガシー入出力部とを備える。
【００６５】
ホスト・コントローラ２０８２は、ＲＡＭ２０２０と、高い転送レートでＲＡＭ２０２０をアクセスするＣＰＵ２０００及びグラフィック・コントローラ２０７５とを接続する。ＣＰＵ２０００は、ＲＯＭ２０１０及びＲＡＭ２０２０に格納されたプログラムに基づいて動作し、各部の制御を行う。グラフィック・コントローラ２０７５は、ＣＰＵ２０００等がＲＡＭ２０２０内に設けたフレーム・バッファ上に生成する画像データを取得し、表示装置２０８０上に表示させる。これに代えて、グラフィック・コントローラ２０７５は、ＣＰＵ２０００等が生成する画像データを格納するフレーム・バッファを、内部に含んでもよい。
【００６６】
入出力コントローラ２０８４は、ホスト・コントローラ２０８２と、比較的高速な入出力装置である通信インターフェイス２０３０、ハードディスクドライブ２０４０、ＣＤ−ＲＯＭドライブ２０６０を接続する。通信インターフェイス２０３０は、ネットワークを介して他の装置と通信する。ハードディスクドライブ２０４０は、コンピュータ１９００内のＣＰＵ２０００が使用するプログラム及びデータを格納する。ＣＤ−ＲＯＭドライブ２０６０は、ＣＤ−ＲＯＭ２０９５からプログラム又はデータを読み取り、ＲＡＭ２０２０を介してハードディスクドライブ２０４０に提供する。
【００６７】
また、入出力コントローラ２０８４には、ＲＯＭ２０１０と、フレキシブルディスク・ドライブ２０５０、及び入出力チップ２０７０の比較的低速な入出力装置とが接続される。ＲＯＭ２０１０は、コンピュータ１９００が起動時に実行するブート・プログラム、及び／又は、コンピュータ１９００のハードウェアに依存するプログラム等を格納する。フレキシブルディスク・ドライブ２０５０は、フレキシブルディスク２０９０からプログラム又はデータを読み取り、ＲＡＭ２０２０を介してハードディスクドライブ２０４０に提供する。入出力チップ２０７０は、フレキシブルディスク・ドライブ２０５０を入出力コントローラ２０８４へと接続すると共に、例えばパラレル・ポート、シリアル・ポート、キーボード・ポート、マウス・ポート等を介して各種の入出力装置を入出力コントローラ２０８４へと接続する。
【００６８】
ＲＡＭ２０２０を介してハードディスクドライブ２０４０に提供されるプログラムは、フレキシブルディスク２０９０、ＣＤ−ＲＯＭ２０９５、又はＩＣカード等の記録媒体に格納されて利用者によって提供される。プログラムは、記録媒体から読み出され、ＲＡＭ２０２０を介してコンピュータ１９００内のハードディスクドライブ２０４０にインストールされ、ＣＰＵ２０００において実行される。
【００６９】
コンピュータ１９００にインストールされ、コンピュータ１９００を管理システム３０として機能させるプログラムは、ワークフローデータベースモジュールと、応答データベースモジュールと、イベント解析モジュールと、通信管理モジュールとを備える。これらのプログラム又はモジュールは、ＣＰＵ２０００等に働きかけて、コンピュータ１９００を、ワークフローデータベース３４、応答データベース３６、イベント解析部３８および通信管理部４０としてそれぞれ機能させる。
【００７０】
これらのプログラムに記述された情報処理は、コンピュータ１９００に読込まれることにより、ソフトウェアと上述した各種のハードウェア資源とが協働した具体的手段であるワークフローデータベース３４、応答データベース３６、イベント解析部３８および通信管理部４０として機能する。そして、これらの具体的手段によって、本実施形態におけるコンピューティングシステム１０の使用目的に応じた情報の演算又は加工を実現することにより、使用目的に応じた特有の管理システム３０が構築される。
【００７１】
一例として、コンピュータ１９００と外部の装置等との間で通信を行う場合には、ＣＰＵ２０００は、ＲＡＭ２０２０上にロードされた通信プログラムを実行し、通信プログラムに記述された処理内容に基づいて、通信インターフェイス２０３０に対して通信処理を指示する。通信インターフェイス２０３０は、ＣＰＵ２０００の制御を受けて、ＲＡＭ２０２０、ハードディスクドライブ２０４０、フレキシブルディスク２０９０、又はＣＤ−ＲＯＭ２０９５等の記憶装置上に設けた送信バッファ領域等に記憶された送信データを読み出してネットワークへと送信し、もしくは、ネットワークから受信した受信データを記憶装置上に設けた受信バッファ領域等へと書き込む。このように、通信インターフェイス２０３０は、ＤＭＡ（ダイレクト・メモリ・アクセス）方式により記憶装置との間で送受信データを転送してもよく、これに代えて、ＣＰＵ２０００が転送元の記憶装置又は通信インターフェイス２０３０からデータを読み出し、転送先の通信インターフェイス２０３０又は記憶装置へとデータを書き込むことにより送受信データを転送してもよい。
【００７２】
また、ＣＰＵ２０００は、ハードディスクドライブ２０４０、ＣＤ−ＲＯＭドライブ２０６０（ＣＤ−ＲＯＭ２０９５）、フレキシブルディスク・ドライブ２０５０（フレキシブルディスク２０９０）等の外部記憶装置に格納されたファイルまたはデータベース等の中から、全部または必要な部分をＤＭＡ転送等によりＲＡＭ２０２０へと読み込ませ、ＲＡＭ２０２０上のデータに対して各種の処理を行う。そして、ＣＰＵ２０００は、処理を終えたデータを、ＤＭＡ転送等により外部記憶装置へと書き戻す。このような処理において、ＲＡＭ２０２０は、外部記憶装置の内容を一時的に保持するものとみなせるから、本実施形態においてはＲＡＭ２０２０および外部記憶装置等をメモリ、記憶部、または記憶装置等と総称する。本実施形態における各種のプログラム、データ、テーブル、データベース等の各種の情報は、このような記憶装置上に格納されて、情報処理の対象となる。なお、ＣＰＵ２０００は、ＲＡＭ２０２０の一部をキャッシュメモリに保持し、キャッシュメモリ上で読み書きを行うこともできる。このような形態においても、キャッシュメモリはＲＡＭ２０２０の機能の一部を担うから、本実施形態においては、区別して示す場合を除き、キャッシュメモリもＲＡＭ２０２０、メモリ、及び／又は記憶装置に含まれるものとする。
【００７３】
また、ＣＰＵ２０００は、ＲＡＭ２０２０から読み出したデータに対して、プログラムの命令列により指定された、本実施形態中に記載した各種の演算、情報の加工、条件判断、情報の検索・置換等を含む各種の処理を行い、ＲＡＭ２０２０へと書き戻す。例えば、ＣＰＵ２０００は、条件判断を行う場合においては、本実施形態において示した各種の変数が、他の変数または定数と比較して、大きい、小さい、以上、以下、等しい等の条件を満たすかどうかを判断し、条件が成立した場合（又は不成立であった場合）に、異なる命令列へと分岐し、またはサブルーチンを呼び出す。
【００７４】
また、ＣＰＵ２０００は、記憶装置内のファイルまたはデータベース等に格納された情報を検索することができる。例えば、第１属性の属性値に対し第２属性の属性値がそれぞれ対応付けられた複数のエントリが記憶装置に格納されている場合において、ＣＰＵ２０００は、記憶装置に格納されている複数のエントリの中から第１属性の属性値が指定された条件と一致するエントリを検索し、そのエントリに格納されている第２属性の属性値を読み出すことにより、所定の条件を満たす第１属性に対応付けられた第２属性の属性値を得ることができる。
【００７５】
以上に示したプログラム又はモジュールは、外部の記録媒体に格納されてもよい。記録媒体としては、フレキシブルディスク２０９０、ＣＤ−ＲＯＭ２０９５の他に、ＤＶＤ又はＣＤ等の光学記録媒体、ＭＯ等の光磁気記録媒体、テープ媒体、ＩＣカード等の半導体メモリ等を用いることができる。また、専用通信ネットワーク又はインターネットに接続されたサーバシステムに設けたハードディスク又はＲＡＭ等の記憶装置を記録媒体として使用し、ネットワークを介してプログラムをコンピュータ１９００に提供してもよい。
【００７６】
以上、本発明を実施の形態を用いて説明したが、本発明の技術的範囲は上記実施の形態に記載の範囲には限定されない。上記実施の形態に、多様な変更または改良を加えることが可能であることが当業者に明らかである。その様な変更または改良を加えた形態も本発明の技術的範囲に含まれ得ることが、特許請求の範囲の記載から明らかである。
【００７７】
特許請求の範囲、明細書、および図面中において示した装置、システム、プログラム、および方法における動作、手順、ステップ、および段階等の各処理の実行順序は、特段「より前に」、「先立って」等と明示しておらず、また、前の処理の出力を後の処理で用いるのでない限り、任意の順序で実現しうることに留意すべきである。特許請求の範囲、明細書、および図面中の動作フローに関して、便宜上「まず、」、「次に、」等を用いて説明したとしても、この順で実施することが必須であることを意味するものではない。
【符号の説明】
【００７８】
１０ コンピューティングシステム
２０ 産業制御システム
２２ 機器
２４ 制御装置
２６ 制御ネットワーク
２８ 制御ゾーン
３０ 管理システム
３２ ファイヤウォール部
３４ ワークフローデータベース
３６ 応答データベース
３８ イベント解析部
４０ 通信管理部
４４ 管理ネットワーク
１００ データセンタシステム
５０ データセンタ
５２ 計算機ゾーン
５４ 空調システム
５６ 温度センサ
１９００ コンピュータ
２０００ ＣＰＵ
２０１０ ＲＯＭ
２０２０ ＲＡＭ
２０３０ 通信インターフェイス
２０４０ ハードディスクドライブ
２０５０ フレキシブルディスク・ドライブ
２０６０ ＣＤ−ＲＯＭドライブ
２０７０ 入出力チップ
２０７５ グラフィック・コントローラ
２０８０ 表示装置
２０８２ ホスト・コントローラ
２０８４ 入出力コントローラ
２０９０ フレキシブルディスク
２０９５ ＣＤ−ＲＯＭ
【特許請求の範囲】
【請求項１】
制御装置と、前記制御装置に接続される制御ネットワークと、前記制御ネットワークを介して前記制御装置により制御される複数の機器とを備える産業制御システムの管理システムであって、
前記産業制御システムの一部ずつを制御する制御ゾーン毎に設けられ、前記制御ゾーン内の機器と前記制御ネットワークとの間の通信を中継する複数のファイヤウォール部と、
前記複数のファイヤウォール部のそれぞれからイベントを収集して解析し、前記制御ゾーン毎の異常を検知するイベント解析部と、
異常が検知された前記制御ゾーンに設けられたファイヤウォール部を介する通信動作を変更する通信管理部と、
を備える管理システム。
【請求項２】
前記産業制御システムの状態変化のフローを示す状態ワークフロー、および、前記状態ワークフローに示された各状態における異常検知条件を格納するワークフローデータベースと、
前記状態ワークフローに示された各状態に対応した、前記制御ゾーンに対する対処フローを格納する応答データベースと、
を更に備え、
前記イベント解析部は、複数の制御ゾーンのそれぞれ毎に、収集したイベントが前記状態ワークフローにより特定される現在の状態における異常検知条件を満たすか否かを判断し、
前記複数の制御ゾーンのそれぞれ毎に、対応する制御ゾーンの状態が変化したと判断されたことに応じて、変化後の状態に対応した前記対処フローを前記ファイヤウォール部に対して適用する
請求項１に記載の管理システム。
【請求項３】
前記イベント解析部は、第１の前記制御ゾーン内の機器である第１センサから異常値が送信されているか否かを検知し、
前記通信管理部は、前記第１の制御ゾーン内の前記センサから異常値が送信されていることが検知されたことに応じて、前記第１の制御ゾーンに設けられた前記ファイヤウォール部を制御して、前記制御ネットワークに対する異常値の転送を遮断する
請求項１または２に記載の管理システム。
【請求項４】
前記通信管理部は、第１の前記制御ゾーン内の第１センサから異常値が送信されていることが検知されたことに応じて、第２の前記制御ゾーンに設けられた前記ファイヤウォール部を制御して、前記第１センサの検出値に代えて、前記第２の制御ゾーン内の第２センサによる検出値を前記制御ネットワークへと転送させる請求項１から３のいずれか一項に記載の管理システム。
【請求項５】
前記通信管理部は、第１の前記制御ゾーン内の第１センサから異常値が送信されていることが検知されたことに応じて、前記第１の制御ゾーンに設けられた前記ファイヤウォール部を制御して、当該ファイヤウォール部により異常値を正常値に変換させる請求項１から４のいずれか一項に記載の管理システム。
【請求項６】
前記イベント解析部は、第１の前記制御ゾーン内の機器の動作が正常か否かを前記第１の制御ゾーンに設けられた前記ファイヤウォール部から収集したイベントに基づき検知し、
前記第１の制御ゾーン内の機器の動作が異常であることが検知されたことに応じて、前記第１の制御ゾーンに設けられた前記ファイヤウォール部を制御して、当該機器から他の前記制御ゾーンへの制御信号を遮断する
請求項１から５のいずれか一項に記載の管理システム。
【請求項７】
前記複数のファイヤウォール部と、前記イベント解析部および前記通信管理部とを接続する管理ネットワークを更に備える請求項１から６の何れか一項に記載の管理システム。
【請求項８】
制御装置と、
前記制御装置に接続される制御ネットワークと、
前記制御ネットワークを介して前記制御装置により制御される複数の機器と、
複数の機器の一部ずつを備える制御ゾーン毎に設けられ、前記制御ゾーン内の機器と前記制御ネットワークとの間の通信を中継する複数のファイヤウォール部と、
前記複数のファイヤウォール部で発生するイベントを収集して解析し、制御ゾーン毎の異常を検知するイベント解析部と、
異常が検知された前記制御ゾーンに設けられたファイヤウォール部を介する通信動作を変更する通信管理部と、
を備える産業制御システム。
【請求項９】
制御装置と、前記制御装置に接続される制御ネットワークと、前記制御ネットワークを介して前記制御装置により制御される複数の機器と、前記複数の機器の一部ずつを制御する制御ゾーン毎に設けられた複数のファイヤウォール部とを備える産業制御システムを管理する管理方法であって、
前記複数のファイヤウォール部により前記制御ゾーン内の機器と前記制御ネットワークとの間の通信を中継する中継段階と、
コンピュータにより、前記複数のファイヤウォールで発生するイベントを収集して解析し、制御ゾーン毎の異常を検知するイベント解析段階と、
前記コンピュータにより、異常が検知された前記制御ゾーンに設けられたファイヤウォール部を介する通信動作を変更する通信管理部と、
を備える管理方法。
【請求項１０】
制御装置と、前記制御装置に接続される制御ネットワークと、前記制御ネットワークを介して前記制御装置により制御される複数の機器と、前記複数の機器の一部ずつを制御する制御ゾーン毎に設けられ、前記制御ゾーン内の機器と前記制御ネットワークとの間の通信を中継する複数のファイヤウォール部とを備える産業制御システムをコンピュータにより管理する管理プログラムであって、
当該管理プログラムは、前記コンピュータを、
前記複数のファイヤウォール部で発生するイベントを収集して解析し、制御ゾーン毎の異常を検知するイベント解析部と、
異常が検知された前記制御ゾーンに設けられたファイヤウォール部を介する通信動作を変更する通信管理部と、
して機能させる管理プログラム。
【請求項１】
制御装置と、前記制御装置に接続される制御ネットワークと、前記制御ネットワークを介して前記制御装置により制御される複数の機器とを備える産業制御システムの管理システムであって、
前記産業制御システムの一部ずつを制御する制御ゾーン毎に設けられ、前記制御ゾーン内の機器と前記制御ネットワークとの間の通信を中継する複数のファイヤウォール部と、
前記複数のファイヤウォール部のそれぞれからイベントを収集して解析し、前記制御ゾーン毎の異常を検知するイベント解析部と、
異常が検知された前記制御ゾーンに設けられたファイヤウォール部を介する通信動作を変更する通信管理部と、
を備える管理システム。
【請求項２】
前記産業制御システムの状態変化のフローを示す状態ワークフロー、および、前記状態ワークフローに示された各状態における異常検知条件を格納するワークフローデータベースと、
前記状態ワークフローに示された各状態に対応した、前記制御ゾーンに対する対処フローを格納する応答データベースと、
を更に備え、
前記イベント解析部は、複数の制御ゾーンのそれぞれ毎に、収集したイベントが前記状態ワークフローにより特定される現在の状態における異常検知条件を満たすか否かを判断し、
前記複数の制御ゾーンのそれぞれ毎に、対応する制御ゾーンの状態が変化したと判断されたことに応じて、変化後の状態に対応した前記対処フローを前記ファイヤウォール部に対して適用する
請求項１に記載の管理システム。
【請求項３】
前記イベント解析部は、第１の前記制御ゾーン内の機器である第１センサから異常値が送信されているか否かを検知し、
前記通信管理部は、前記第１の制御ゾーン内の前記センサから異常値が送信されていることが検知されたことに応じて、前記第１の制御ゾーンに設けられた前記ファイヤウォール部を制御して、前記制御ネットワークに対する異常値の転送を遮断する
請求項１または２に記載の管理システム。
【請求項４】
前記通信管理部は、第１の前記制御ゾーン内の第１センサから異常値が送信されていることが検知されたことに応じて、第２の前記制御ゾーンに設けられた前記ファイヤウォール部を制御して、前記第１センサの検出値に代えて、前記第２の制御ゾーン内の第２センサによる検出値を前記制御ネットワークへと転送させる請求項１から３のいずれか一項に記載の管理システム。
【請求項５】
前記通信管理部は、第１の前記制御ゾーン内の第１センサから異常値が送信されていることが検知されたことに応じて、前記第１の制御ゾーンに設けられた前記ファイヤウォール部を制御して、当該ファイヤウォール部により異常値を正常値に変換させる請求項１から４のいずれか一項に記載の管理システム。
【請求項６】
前記イベント解析部は、第１の前記制御ゾーン内の機器の動作が正常か否かを前記第１の制御ゾーンに設けられた前記ファイヤウォール部から収集したイベントに基づき検知し、
前記第１の制御ゾーン内の機器の動作が異常であることが検知されたことに応じて、前記第１の制御ゾーンに設けられた前記ファイヤウォール部を制御して、当該機器から他の前記制御ゾーンへの制御信号を遮断する
請求項１から５のいずれか一項に記載の管理システム。
【請求項７】
前記複数のファイヤウォール部と、前記イベント解析部および前記通信管理部とを接続する管理ネットワークを更に備える請求項１から６の何れか一項に記載の管理システム。
【請求項８】
制御装置と、
前記制御装置に接続される制御ネットワークと、
前記制御ネットワークを介して前記制御装置により制御される複数の機器と、
複数の機器の一部ずつを備える制御ゾーン毎に設けられ、前記制御ゾーン内の機器と前記制御ネットワークとの間の通信を中継する複数のファイヤウォール部と、
前記複数のファイヤウォール部で発生するイベントを収集して解析し、制御ゾーン毎の異常を検知するイベント解析部と、
異常が検知された前記制御ゾーンに設けられたファイヤウォール部を介する通信動作を変更する通信管理部と、
を備える産業制御システム。
【請求項９】
制御装置と、前記制御装置に接続される制御ネットワークと、前記制御ネットワークを介して前記制御装置により制御される複数の機器と、前記複数の機器の一部ずつを制御する制御ゾーン毎に設けられた複数のファイヤウォール部とを備える産業制御システムを管理する管理方法であって、
前記複数のファイヤウォール部により前記制御ゾーン内の機器と前記制御ネットワークとの間の通信を中継する中継段階と、
コンピュータにより、前記複数のファイヤウォールで発生するイベントを収集して解析し、制御ゾーン毎の異常を検知するイベント解析段階と、
前記コンピュータにより、異常が検知された前記制御ゾーンに設けられたファイヤウォール部を介する通信動作を変更する通信管理部と、
を備える管理方法。
【請求項１０】
制御装置と、前記制御装置に接続される制御ネットワークと、前記制御ネットワークを介して前記制御装置により制御される複数の機器と、前記複数の機器の一部ずつを制御する制御ゾーン毎に設けられ、前記制御ゾーン内の機器と前記制御ネットワークとの間の通信を中継する複数のファイヤウォール部とを備える産業制御システムをコンピュータにより管理する管理プログラムであって、
当該管理プログラムは、前記コンピュータを、
前記複数のファイヤウォール部で発生するイベントを収集して解析し、制御ゾーン毎の異常を検知するイベント解析部と、
異常が検知された前記制御ゾーンに設けられたファイヤウォール部を介する通信動作を変更する通信管理部と、
して機能させる管理プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図２】
【図３】
【図４】
【図５】
【図６】
【公開番号】特開２０１２−２２６６８０（Ｐ２０１２−２２６６８０Ａ）
【公開日】平成２４年１１月１５日（２０１２．１１．１５）
【国際特許分類】
【出願番号】特願２０１１−９５８０７（Ｐ２０１１−９５８０７）
【出願日】平成２３年４月２２日（２０１１．４．２２）
【出願人】（３９０００９５３１）インターナショナル・ビジネス・マシーンズ・コーポレーション (4,084)
【氏名又は名称原語表記】ＩＮＴＥＲＮＡＴＩＯＮＡＬ ＢＵＳＩＮＥＳＳ ＭＡＳＣＨＩＮＥＳ ＣＯＲＰＯＲＡＴＩＯＮ
【復代理人】
【識別番号】１００１４３５０２
【弁理士】
【氏名又は名称】明石 英也
【Ｆターム（参考）】
【公開日】平成２４年１１月１５日（２０１２．１１．１５）
【国際特許分類】
【出願日】平成２３年４月２２日（２０１１．４．２２）
【出願人】（３９０００９５３１）インターナショナル・ビジネス・マシーンズ・コーポレーション (4,084)
【氏名又は名称原語表記】ＩＮＴＥＲＮＡＴＩＯＮＡＬ ＢＵＳＩＮＥＳＳ ＭＡＳＣＨＩＮＥＳ ＣＯＲＰＯＲＡＴＩＯＮ
【復代理人】
【識別番号】１００１４３５０２
【弁理士】
【氏名又は名称】明石 英也
【Ｆターム（参考）】
[ Back to top ]