SCADA は、水管理、電力、製造業などの業界で採用されている制御システムおよび管理システムを意味します。SCADA システムは、システム内のさまざまなタイプの機器からデータを収集し、その情報をコントロール センターに転送して分析します。一般に、コントロール センターの担当者が、SCADA システムのアクティビティをモニタし、必要に応じて介入します。

リモート端末ユニット（RTU）は、SCADA システム内のプライマリ制御システムとして機能します。RTU は、SCADA システム内の特定の機能を制御するように設定されています。これは、ユーザ インターフェイスを使って必要に応じて変更できます。

IR1101 では、回線は非同期インターフェイスと同じ 0/2/0 です。

ネットワークでは、コントロール センターは常に、IR1101 との通信時にネットワーク内のマスターとして機能します。IR1101 は、RTU と通信するときにコントロール センターのプロキシ マスターステーションとして機能します。

IR1101 は、次を実行するために SCADA ゲートウェイとして機能するプロトコル変換を提供します。

• RTU からデータを受信し、コントロール センターから RTU に設定コマンドを中継する。

• 設定コマンドをコントロールセンターから受信し、RTU データをコントロールセンターに中継します。

• RTU がオフラインのときは、コントロール センターから受信する要求を終端する。

IR1101 は、次のプロトコルに対してプロトコル変換を実行します。

• IEC 60870 T101 と IEC 60870 T104 の送受信。

• DNP3 シリアルから DNP3 IP へ

IR1101 で T101 および T104 プロトコル スタックを設定する場合は、次の用語が関係します。

• チャネル：各 IR1101 シリアル ポート インターフェイスでチャネルが設定されており、リモート コントロール センターへの各 IP 接続に単一の RTU への接続が提供されます。各接続は、単一の T101（RTU）または T104（コントロール センター）プロトコル スタックを転送します。

• リンク アドレス：デバイスまたはステーションのアドレスです。

• リンク モード（平衡型および非平衡型）：データ転送のモードです。

  • 非平衡型の設定とは、マスターから開始されたデータ転送を指します。

  • 平衡型の設定とは、プライマリまたはセカンダリのいずれかから開始されたデータ転送を指します。

• セクター： リモート サイト内の単一の RTU を指します。

• セッション：リモート サイトへの単一の接続を表します。

IR1101 で DNP3 プロトコル スタックを設定する場合は、次の用語が関係します。

• チャネル：IR1101 シリアル ポート インターフェイスでチャネルが設定されており、リモート コントロール センターへの各 IP 接続に単一の RTU への接続が提供されます。各接続は、単一の DNP3 シリアル（RTU）または DNP3 IP（コントロール センター）プロトコル スタックを転送します。

• リンク アドレス：デバイスまたはステーションのアドレスです。

• セッション：リモート サイトへの単一の接続を表します。

以下の図では、（電力網の二次変電所内にインストールされた）IR1101 は、プロトコル変換を使用して、SCADA システム内のコントロールセンターと RTU 間のセキュアなエンドツーエンド接続を提供しています。

IR1101 は、RS232 接続を介して RTU（スレーブ）に接続します。パブリック インフラストラクチャ（セルラーなど）を介して転送されたトラフィックを保護するため、IR1101 は、RTU から SCADA データを、IPSec トンネル（FlexVPN サイト間またはハブ アンド スポーク）を介して SCADA システムのコントロール センターに転送します。IPSec トンネルは、IR1101 とヘッドエンド アグリゲーション ルータ間のすべてのトラフィックを保護します。SCADA トラフィックは、適切なコントロール センターに転送される前に、SCADA トラフィックのパスに配置された IPS デバイスで点検できます。

各チャネルは 1 つのセッションのみをサポートします。

各セッションは 1 つのセクターのみをサポートします。

この項では、次のトピックについて取り上げます。

（注）	プロトコル変換で動作する IR1101 の設定を変更する前に、プロトコル変換エンジンの開始と停止 のセクションを参照してください。

この機能強化により、次のような TNB の WG RTU との互換性が提供されます。

• TNB RTU では、シリアルの正しい初期化を確実にするために、リセットリンクメッセージをリンクステータスメッセージとともに送信する必要があります。この機能は、新しいコンフィギュレーション CLI scada-gw protocol force reset-link を使用して選択的にオンにすることができます。

• クロックパススルーが有効になっていて、ルータが DNP3-IP マスターからタイムスタンプを受け取っていない場合は、ルータのハードウェアの時刻がダウンストリームの RTU に送信されます。DNP3-IP マスターから新しいタイムスタンプを受信すると、ルータは DNP3-IP マスターから送信された新しいタイムスタンプを RTU に送信し始めます。

• メモリ内のバッファ可能な DNP3 イベントの数が 600 から 10000 に増加します。

• scada-gw プロトコルインターロック コマンドは、DNP3 でサポートされます。以前は、T101 と T104 のみがサポートされていました。この新しい機能強化により、DNP3-IP マスターがダウンしているか到達不能な場合、ルータはシリアルリンクを切断します。同様に、RTU へのシリアルリンクがダウンすると、DNP3-IP マスターへの TCP 接続が解除されます。

• カスタムの「リクエスト」は優先度に基づいて自動的に順序付けられるため、ユーザーは好きな順序でリクエストを指定できます。

次の例は、T101 接続用のシリアル ポート インターフェイスの設定、T101 および T104 プロトコル スタックの設定、および IR1101 でプロトコル変換エンジンを開始する方法を示しています。

router# configure terminal 
router(config)# interface async 0/2/0
router (config-if)# no shutdown
router (config-if)# encapsulation scada
router (config-if)# exit
router(config)# scada-gw protocol t101
router(config-t101)# channel rtu_channel
router(config-t101-channel)# role master
router(config-t101-channel)# link-mode unbalanced
router(config-t101-channel)# link-addr-size one
router(config-t101-channel)# bind-to-interface async 0/2/0
router(config-t101-channel)# exit
router(config-t101)# session rtu_session
router(config-t101-session)# attach-to-channel rtu_channel
router(config-t101-session)# common-addr-size two
router(config-t101-session)# cot-size one
router(config-t101-session)# info-obj-addr-size two
router(config-t101-session)# link-addr 3
router(config-t101-session)# exit
router(config-t101)# sector rtu_sector
router(config-t101-sector)# attach-to-session rtu_session
router(config-t101-sector)# asdu-addr 3
router(config-t101-sector)# exit
router(config-t101)# exit
router(config)# scada-gw protocol t104
router(config-t104)# channel cc_master1
router(config-t104-channel)# k-value 12
router(config-t104-channel)# w-value 8
router(config-t104-channel)# t0-timeout 30
router(config-t104-channel)# t1-timeout 15
router(config-t104-channel)# t2-timeout 10
router(config-t104-channel)# t3-timeout 30
router(config-t104-channel)# tcp-connection 0 local-port 2050 remote-ip any
router(config-t104-channel)# tcp-connection 1 local-port 2051 remote-ip any
router(config-t104-channel)# exit
router(config-t104)# session cc_master1
router(config-t104-session)# attach-to-channel cc_master1
router(config-t104-session)# cot-size two
router(config-t104-session)# exit
router(config-t104)# sector cc_master1-sector
router(config-t104-sector)# attach-to-session cc_master1
router(config-t104-sector)# asdu-adr 3
router(config-t104-sector)# map-to-sector rtu_sector
router(config-t104)# exit

router(config-t104)# session cc_master2
router(config-t104-session)# attach-to-channel cc_master2
router(config-t104-session)# cot-size two
router(config-t104-session)# exit
router(config-t104)# sector cc_master2-sector
router(config-t104-sector)# attach-to-session cc_master2
router(config-t104-sector)# asdu-adr 3
router(config-t104-sector)# map-to-sector rtu_sector
router(config-t104-sector)# exit
router(config-t104)# exit
router(config)# scada-gw enable

次の例は、DNP3 プロトコル スタックを使用して SCADA システム内のコントロール センターと RTU 間のエンドツーエンド通信を設定し、IR1101 でプロトコル変換エンジンを開始する方法を示しています。

router# configure terminal 
router(config)# interface async 0/2/0
router (config-if)# no shutdown
router (config-if)# encapsulation scada
router (config-if)# exit
router(config)# scada-gw protocol dnp3-serial
router(config-dnp3s)# channel rtu_channel
router(config-dnp3s-channel)# bind-to-interface async 0/2/0
router(config-dnp3s-channel)# link-addr source 3
router(config-dnp3s-channel)# unsolicited-response enable
router(config-dnp3s-channel)# exit
router(config-dnp3s)# session rtu_session
router(config-dnp3s-session)# attach-to-channel rtu_channel
router(config-dnp3s-session)# link-addr dest 3
router(config-dnp3s-session)# exit
router(config-dnp3s)# exit
router(config)# scada-gw protocol dnp3-ip
router(config-dnp3n)# channel cc_channel
router(config-dnp3n-channel)# link-addr dest 3
router(config-dnp3n-channel)# tcp-connection local-port default remote-ip any
router(config-dnp3n-channel)# exit
router(config-dnp3n)# session cc_session
router(config-dnp3n-session)# attach-to-channel cc_channel
router(config-dnp3n-session)# link-addr source 3
router(config-dnp3n-session)# map-to-session rtu_session
router(config-dnp3n)# exit
router(config)# exit
router(config)# scada-gw enable

（注）	T101 側から取得した IOA アドレスは、SCADA ゲートウェイによる変更なしで T104 側に送信されます。

Cisco IOS XE 17.1.1 リリースには、Scada システム向けの Cisco IOS XE YANG モデルのサポートが導入されています。他の領域においては、以前のリリースで YANG モデルが提供されていました。

https://github.com/YangModels/yang/tree/master/vendor/cisco/xe/17111

SCADA システム内のコントロール センターと RTU 間のエンドツーエンド通信を可能にする DNP3 シリアルおよび DNP3 IP プロトコル スタックを設定できます。

以前は古い RTU がピアツーピアモードで使用されていた場合もあります。これらの RTU は、メッセージヘッダーのビット DIR=1 を設定することで、DNP 3 シリアル下位およびプライマリのロールを動的にスワップしました。Cisco ルータで使用される ASE の SCADA スタックは、常に DNP3 シリアルプライマリとして設定さています。この場合、DIR=1 の DNP3 シリアルから受信したすべてのパケットが無視され、RTU からの多くのメッセージが廃棄されました。これらのシナリオを処理するために、新しい SCADA 設定 CLI が追加されました。

scada-gw protocol ignore direction を使用して無効にすることができます。

この CLI を有効にすると、DIR=1 の場合でも、ルータは RTU からの着信パケットを受け入れることができます。新しい CLI は、Cisco-IOS-XE-scada-gw.yang 設定モデルにも追加されます。

次に、使用例を示します。

Router# config term
Router(config)# scada-gw protocol ignore direction

次の例は、show scada tcp および show scada statistics コマンドの出力を示しています。

router# show scada tcp
DNP3 network channel [test]: 4 max simultaneous connections
conn: local-ip: 3.3.3.21        local-port 20000        remote-ip 3.3.3.15      data-socket 1
Total:
  1 current client connections
  0 total closed connections
router# show scada statistics 
DNP3 network Channel [test]:
  5 messages sent, 2 messages received
  0 timeouts, 0 aborts, 0 rejections
  2 protocol errors, 2 link errors, 0 address errors
DNP3 serial Channel [test]:
  152 messages sent, 152 messages received
  1 timeouts, 0 aborts, 0 rejections
  0 protocol errors, 0 link errors, 0 address errors

このセクションでは、トラブルシューティングに役立ついくつかのデバッグ コマンドを示します。