三菱重工技報 Vol.57 No.1 (2020年3月)
Authors: Kenji Takao (Chief Staff Manager, ICT Solutions Headquarters, CIS Department), Osamu Kimura (Manager, NHPS Engineering Co, Ltd.), Toshimichi Nishimura (Manager, NHPS Engineering Co, Ltd.), Futoshi Yoshikai (MHPS Engineering Co., Ltd.)
クラウドシステムを用いた状態分析/予兆検知を行うサービスは広く浸透しているが，プラントなどの監視対象を外部ネットワークに常時接続することはセキュリティ上の懸念がある。そこで，外部にデータを出すことなく状態監視を行うエッジコンピュータを用いた遠隔監視サービスシステムが近年注目されている。しかし，エッジコンピュータでプラントの状態監視を行う場合でも，異常検知時の原因究明には，いかに効率よく，かつセキュアに現在のプラント状況を遠隔保守員と共有するかが課題となっていた。
そこで，比較的容易かつ安価に，エッジコンピュータと外部ネットワークを，必要な時のみセキュアに接続できる技術を開発した。これにより，高いセキュリティ性を保持した状態で遠隔監視サービスを提供することが可能となる。
はじめに
近年の機械学習/AI 技術の進展に伴い，日々収集されるプラントデータに基づく異常検知，異常予測を行う遠隔監視サービスの適用事例が増加している。またクラウドサーバの信頼性向上，低コスト化に伴い，遠隔監視システムをクラウド上に構築するケースが多い。しかし，クラウドサーバを用いて遠隔監視を行うには，常時外部ネットワークに接続し，運転データをクラウドサーバにアップロードする必要がある。常時接続は，制御装置へのサイバー攻撃や運転データの流出リスクなどが高まることから，遠隔監視システム/サービスの導入に踏み切れないプラントオーナも多いが，エッジコンピューティングによるデータ分析サービスが一つの解決手段となる。エッジコンピューティングでは，プラント内に監視/分析ロジックが含まれる計算機を設置し，現場でデータを処理し異常検知/異常予知を行うため，外部にデータを出すことなくプラントの状態監視が可能となる。しかし，エッジコンピュータを用いた監視サービスには以下のような課題が考えられる。
1) エッジコンピュータが収集したデータ，及び分析結果の，遠隔保守員との共有
(2) Updating the data analysis program installed on the edge computer As a measure for the above, a VPN (virtual private network) is often used in general, but the equipment and service is expensive and setting it up is troublesome. Therefore, we developed a system for remote monitoring services that establishes a secure connection with an external network only when needed and allows only necessary operations using security technologies that are relatively cheap and can be set up relatively easily without complicated configuration.
セキュア通信技術 - NATトラバーサル＋独自暗号化通信
セキュア通信技術の特徴
開発したシステムは，remot3.it 社（米国）(1)が提供するセキュア通信技術を利用している。本技術は，NAT トラバーサルと remot3.it 社独自の暗号化通信をベース技術とするもので，“小さく”，“軽く”，“簡単”であることが特徴である。特に，以下の機能により高いセキュリティを確保している。
(1) セキュア接続を行う際に，グローバル IP（Internet Protocol）アドレスを要求しない。またプライベート IP アドレスも接続相手に公開する必要がない（図1）。
(2) インバウンド通信（外から内への方向の通信）に対して，接続先マシンのポートを全て閉じた状態でもセキュア通信が可能である（図2）。
In addition, this technology is a package technology that allows secure communication technology to be easily used without knowledge of encrypted communication and NAT traversal, and can be introduced relatively smoothly.
セキュア通信技術の詳細
Figure 3 shows the mechanism of secure communication technology combining remot3.it’s unique NAT traversal and encryption. In this figure, “Management server” is located in the cloud, and that server manages all connections. Each terminal encrypts its own location (its own local IP and the public IP of the connected router) and periodically transmits the information to the management server using UDP. Thereby, even when the terminal is connected to another router, the management server can always determine the location of the terminal by appropriately updating the terminal information based on the information transmitted from the terminal.
端末間で接続を開始する場合は，接続要求元から管理サーバに対して接続要求先のサービス名（マシン名＋サービス名）を送信する(①)。サーバは要求元の認証を行った上で（②，③，④），その要求情報を解釈し，接続に必要な情報を暗号化した上で接続要求元に送信する（⑤－１）。同時に，接続要求先にも接続要求元の情報を送信する（⑤－２）。この際，接続要求元，接続要求先の UDPポート番号を基に Stateful Inspection の原理を用いた情報交換（⑤－１，２）が行われ，端末間で独自暗号化トンネルを確立させる(⑥，⑦)。確立した独自暗号化トンネル上で例えば SSH 接続時には，SSH 接続先のホスト情報を用いず，ローカルホスト（ループバックアドレス127.0.0.1）を利用することで，SSH接続先のIPアドレスとポート番号を完全に隠すことができる。本技術の利用に際し，事前準備は，専用のアプリケーションを接続したいマシンにインストールし，“マシン名とサービス名”を登録するのみであり，簡単な設定，操作で高いセキュリティを確保できる。
セキュアな遠隔監視サービスシステム
システム構成
This chapter describes a remote monitoring service system developed using the secure communication technology described in Chapter 2. Figure 4 depicts the configuration of this system. It is not necessary to install remot3.it software on the remote monitoring PC that is the connection source and the customer’s monitoring PC if the remote monitoring function (3.2 (1)) by the web application is only used. (Note: It is necessary to install remot3.it software if the functions of 3.2(2) or 3.2 (3) are used.).
機能
遠隔監視サービスでは，以下の機能が利用できる。これらの機能を用いることで，セキュアな遠隔監視サービスの導入が可能となり，異常の早期発見や異常時の早期復旧による稼働率向上が期待できる。
- Web application screen browsing using http/https
本機能により，Web サービス利用を特定の利用者に限定させることでセキュリティレベルを上げることができる。本機能利用者は，Web サーバが含まれるマシンへの接続を確立した後，ブラウザに，ローカルホストアドレス（127.0.0.1）を入力するだけで，該当の Web アプリケーション画面を閲覧することが可能となる。実際の IP アドレスを利用しないため，高いセキュリティが確保される（図５）。
- Access to remote machines using remote desktop
お客様工場サイトに置かれたデータ分析エンジンや Web サーバが含まれるコンピュータ（エッジコンピュータ）を運用する場合は遠隔保守が必要になる。遠隔アクセスの権限はお客様に持たせることで，外部からのアクセス管理をお客様自身が容易に行うことが可能となる。1)と同様に，リモートアクセス時の IP アドレスはローカルホストアドレス（127.0.0.1）を利用する（図６）。
- Automatic secure transmission of data
エッジコンピュータを用いた監視サービス提供中でも，異常発生時などには，遠隔地にいるデータアナリストによる詳細データ分析が必要となる場合がある。その際，データのセキュアな送受信を行う場合に本機能が活用できる。例えば，エッジコンピュータである計測値の予測を行っていたとする。予測精度が悪化したことを検知すると，原因分析に必要なデータをセキュアデータ転送プロトコル（sFTP）により該当マシン（遠隔地）に送信し，送信完了後にセキュア接続を自動切断する。これにより，人を介さず自動的にデータが共有でき，迅速な原因特定が可能となる。また同様に，エッジコンピュータに対してセキュリティパッチを送信する場合など，遠隔地からエッジコンピュータへセキュアにファイルを送信することもできる（図７）。
適用事例
本報で述べたシステムのうち，一部の機能について，MHPS エンジニアリング(株)（以下，MHPSエンジ）長崎事業部にて実施されている“VPSA（真空圧力スイング吸着）式酸素発生装置”のアフターサービスを対象として実証試験を実施した。
Conventionally, when an alarm occurred at a customer plant, MHPS Engineering requested that the customer emails the data necessary to investigate the cause and then performed detailed analysis (Figure 8). In this process, it took a lot of time to recover, resulting in a decrease in the availability of the customer’s plant.
開発したセキュア通信システムを本遠隔監視サービスに適用した。その概要図及びセキュア接続プロセスを図９に示す。本サービスシステムに実装した機能は以下の通りである。
(1) Operation support using graphic operation terminal (2) Display of ladder program of controller (PLC) and improvement of program (3) Trend graph monitoring of data obtained from control device in customer’s plant (4) Secure transmission function of operation log file for detailed data analysis
開発したシステムをお客様の工場に適用し、検証を行った。検証試験の結果、上記の全ての機能がMHPSエンジニアリングからリモートで実行でき、要求事項を満たしていることが確認された。
本システムは MHPS エンジにてさらに複数のお客様工場にて実証試験を実施している。実証試験を経て，2020 年度にサービス開始を行う予定である。
まとめ
本報では，当社が開発した，NAT トラバーサルと独自の暗号化技術を組み合わせたセキュア通信を用いた遠隔監視システムについて紹介した。
NAT トラバーサルと独自の暗号化技術を組み合わせたセキュア通信を用いることで，従来のエッジコンピュータで課題となっていた，データ共有方法などを解決することが可能となり，幅広くお客様に遠隔監視サービスを提供することができるようになる。
開発したシステムは，MHPS エンジにて計画中の遠隔監視サービスに適用し，その有効性を検証した。今後は，他のプラントにも展開を図っていくとともに，さらに顧客価値向上に寄与できる機能開発を行っていく。
本システムを開発するにあたり，remot3.it社には技術的な支援をいただきました。ここに感謝の意を表します。
Download a PDF version of the MHI technical case study in Englishand Japanese