CN114342321A - 通信控制装置以及系统 - Google Patents

Abstract

以往的安全对策一般以IT系统为对象，因此难以满足控制系统所要求的实时性、可用性。进而，由于不考虑时间分割型的时隙通信方式，所以在这样的时隙通信中存在计算机资源的高效利用、可用性降低的课题。本发明为了解决上述课题，根据由接收部(133)接收到的通信分组的特性，使用时隙特性存储部(130)确定时隙，根据所确定的时隙，由检查模式选择部(131)选择存储在检查模式存储部(136)中的检查模式。

Description

通信控制装置以及系统

技术领域

本发明涉及通信控制技术，并涉及用于其的信息处理装置以及信息处理硬件、信息处理软件、通信控制方法以及通信系统。

背景技术

作为控制系统，存在控制用计算机经由网络来控制单一或者多个控制对象的结构。在这样的控制系统中，根据控制系统的用途、要件、要求，选择并应用适当的控制网络。从技术的观点出发，也可以说通过这些控制系统的要求的高度化带来了控制网络的技术进展。对这样的控制网络的要求涉及多方面，是通信延迟的降低、低成本化、连接台数的增加、时刻同步的高精度化、连接距离的长距离化、通信介质以及通信数据模型的共用化、冗余化通信等。

与基于标准化技术的导入的技术的进展相结合，对控制网络中的控制系统的要求高度化。以往，指向与控制对象的控制通信性能的高度化。但是，近年来，不限于通信性能，可列举向控制系统的AI应用、或者基于维护数据的有效利用的CBM(Condition BasedMaintenance，基于状态的维护)的应用所产生的资产管理这样的用途。

作为促进这样的信息技术向控制系统的导入的控制网络，可列举TSN(TimeSensitive Network，时间敏感的网络)。

由被称为TSN的一系列的IEEE标准组构成的通信方式是能够将IEEE802.3标准应用于控制系统的控制网络。TSN通过导入基于时间分割的时隙通信，能够在每个时隙区分使用控制通信、信息通信(包括AI、监视用途、CBM等通信)。

换句话说，能够在满足控制通信的实时要件的同时，兼顾相同网络上的信息通信。

另一方面，随着这些标准化技术、IT领域的技术的导入，在控制系统中，网络安全的威胁也提高。特别是现场领域中的安全确保需要满足实时性、可用性这样的控制系统特有的要件，难以应对。

在先技术文献

专利文献

专利文献1：日本特开2006-148505号公报

专利文献2：日本特开2015-119386号公报

发明内容

发明所要解决的课题

然而，以往的安全对策一般以IT系统为对象，因此如上所述难以满足控制系统所要求的实时性、可用性。

专利文献1是将通信数据的分组存放在中继装置内的发明。然而，在分组的中继时需要向存储器等的写入和读出这样的至少2次的存储器操作，这成为使由中继引起的延迟增大的重要因素。虽然有可能通过存储器元件、总线的高速化来缩短延迟，但导致中继装置的大型化、消耗电力的增加。关于这样的高速化，考虑到在许多的控制对象没备中控制装置的设置场所受限、为了确保控制装置的可靠性而管理发热量这一点，不优选。

进而，专利文献2是以下发明：依次接收由第一通信装置发送的通信帧内的多个要素，决定表示通信帧的特征的特征值，判定特征值是否满足条件。然后，将所接收的多个要素依次传递，在判定为特征值不满足条件的情况下，变更所传递的多个要素的一部分，并依次向第二通信装置发送。然而，由于未考虑TSN这样的时间分割型的时隙通信方式，因此在这样的时隙通信中存在计算机资源(存储器、比对电路等)的高效利用、基于统一的特征值比较的可用性降低的课题。

用于解决课题的手段

本发明为了解决上述课题，确定与时隙相应的安全对策。在安全对策的确定中，包括针对检查模式的确定(按每个时隙变更检查模式)、安全软件的确定。

本发明的一个方式包括以下的结构。一种通信控制装置，其是转送通信帧的通信控制装置，具有：接收所述通信帧的单元；确定处理所述通信帧的时间的单元；以及确定与所确定的所述时间对应的时隙相应的针对所述通信帧的安全对策的单元。

发明效果

在采用时隙通信的网络中，能够实施与状况相应的安全对策。

附图说明

图1是使用了本发明的一实施方式的系统结构图。

图2是本发明的一实施方式中的硬件结构图。

图3是表示本发明的一实施方式的功能结构图。

图4是表示本发明的一实施方式的动作过程的图。

图5是表示本发明的一实施方式的动作过程的图。

图6是表示本发明的一实施方式的动作过程的图。

图7是表示本发明的一实施方式的动作过程的图。

图8是表示本发明的一实施方式的特性与检查模式(pattern)的关系的图。

图9(a)是表示本发明的一实施方式中的特性与检查模式的关系的图。

图9(b)是表示本发明的一实施方式的各特性间的关系的图。

图10是表示中继通信装置121中的时隙的图。

图11是表示本发明的一实施方式中的时隙和动作的图。

图12(a)是表示本发明的一实施方式中的时隙和动作的图。

图12(b)是表示并行地进行本发明的一实施方式中的比对处理和检查模式的更新的功能结构的图。

图13是表示本发明的一实施方式中的时隙和动作的图。

图14是表示本发明的一实施方式中的时隙和动作的图。

图15是表示本发明的一实施方式的功能结构图。

图16是使用了本发明的一实施方式的系统结构图和表示时隙以及动作的图。

图17是使用了本发明的一实施方式的系统结构图。

具体实施方式

(系统结构例)

在图1中示出应用了本发明的一实施方式的系统结构。中央控制装置120经由控制网络122、网络中继装置121与分散控制装置123连接并进行通信。

中央控制装置120通过对分散控制装置123收发通信分组，来执行用于控制被控制装置124的控制指令值的传输、被控制装置124的测量值的取得、各种设定。

中央控制装置120可例示如DCS(Distributed Control System，分布式控制系统)的中央控制装置、电力系统的保护控制装置那样，对各控制系统内的采样数据、控制指令、状态信号进行交换。也可以将相同控制系统内的数据存放在分组内。

作为中央控制装置120，可例示专用控制器、工业用个人计算机、控制用计算机、DCS控制器、SCADA(Supervisory Control and Data Acquisition，监控与数据采集)服务器、PLC(Programmable Logic Controller，可编程逻辑控制器)、IED(IntelligentElectronic Device，智能电子器件)、保护控制装置、云、服务器。

网络中继装置121是控制网络122中的中继装置，对中央控制装置120、分散控制装置123、网络中继装置121所通信的分组进行路径控制、转送。作为网络中继装置121，可例示包括L2交换机、L3交换机的网络交换机(switch)、网桥、路由器、IEEE 1588的TC(Transparent Clock，透明时钟)、BC(Boundary Clock，边界时钟)、OpenFlow交换机、IEC62439-3中定义的RedBox、QuadBox、光交换机、光合波器、光分波器等各种网络中继装置。

控制网络122是连接中央控制装置120、分散控制装置123、网络中继装置121的网络，可例示出使用与TSN相关的IEEE通信标准组、采用IEC61784中的时隙通信的一部分标准、其他时隙通信的网络。

此外，作为协议栈中的上位协议，可例示IEC61850、OPC UA(UnifiedArchitecture，统一架构)、IEC 61850-7-420、IEC60870-5-104、OpenADR、ECHONET Lite(注册商标)等。或者，以上的协议也可以被层级化。例如，可例示在TSN上数据区域的内容应用OPC UA标准。

分散控制装置123与被控制装置124连接，经由控制网络122，根据从中央控制装置120接收到的控制指令来控制、设定被控制装置124。此外，取得被控制装置124的状态、信息，并经由控制网络122向中央控制装置120发送。

作为分散控制装置123，可例示专用控制器、工业用个人计算机、控制用计算机、DCS控制器、SCADA装置、PLC、IED、MU(Merging Unit，合并单元)以及保护控制装置。

被控制装置124是由分散控制装置123控制的设备、装置。作为被控制装置124，可例示移动机器人、机器人臂等工业用机器人、贴片机、机床工作台、加工装置、机床、半导体制造装置、或者制造装置内的马达、逆变器、切断器、断路器等这类电力设备。

检查模式管理装置125管理防火墙126中的检查模式。作为管理的内容，包括检查模式的更新、置换、除去、有效化、无效化、取得等处理。

另外，所谓的检查模式表示带有非法通信的特征的通信内容。其内容定义为具有通信协议上的含义的区域(例如，目的地地址、通信端口编号等)中的非法值、异常值、包括恶意软件的通信等任意的位置处的确定的数据串、或者恶意软件的特征值。进而，检查模式是安全对策的一个方式，也包括后述的杀毒软件等。

作为检查模式管理装置125，可以例示SDN(Software Defined Network，软件定义网络)中的OpenFlow控制器等通信控制装置、专用的通信装置。

防火墙126是执行本实施方式的处理的通信装置。此外，作为基本功能，设置在中央控制装置120、网络中继装置121、分散控制装置123、检查模式管理装置125各自的装置之间，对通信进行中继，对非法的通信内容实施安全对策。在图1中示出了设置在网络中继装置121与分散控制装置123之间的结构。

防火墙126将输入的分组与检查模式进行比较，在一致的情况下将该分组判断为非法分组或者攻击分组。在判断为非法分组、攻击分组的情况下，可以废弃该分组，也可以变更分组末尾的CRC(Cyclic Redundancy Check：循环冗余检查)，即，变更分组末尾的检错码，在转送目的地能够废弃该分组。

另外，在图1中，在中央控制装置120与分散控制装置123之间连接两个网络中继装置121，但也可以是不同的数量，通信路径也可以是多个。

作为图1所示的系统结构，可例示面向FA(Factory Automation，工厂自动化)、面向PA(Process Automation，工序自动化)的DCS等控制系统、电力领域的监视控制/保护控制系统、工业用设备、半导体制造装置、车载系统、建设机械、铁道车辆内的控制系统、铁道地面信号系统、航空器内的控制系统等。或者，可例示基于经由控制网络122收集到的信息，在中央控制装置120或者未图示的云、计算机上通过人工智能进行解析，实现控制系统的性能提高的IoT系统等。

(硬件构成)

图2示出应用了本实施方式的防火墙126的硬件结构。

CPU101将程序从非易失性存储介质105转送到存储器104并执行。作为执行处理程序，可例示操作系统(以下，称为OS)、在OS上动作的应用程序。在CPU101上进行动作的程序取得通信控制IC102的动作设定、状态信息。

通信控制IC102将从PHY103接收到的分组与检查模式进行比较来判断是否是非法分组，在非法分组的情况下废弃该分组。或者，经由总线106向CPU101、存储器104、非易失性存储介质105转送分组，在CPU101上进行动作的软件中，进行非法分组的判断处理和废弃等应对。

作为通信控制IC102的安装例，可例示FPGA(Field Programmable Gate Array，现场可编程门阵列)、CPLD(Complex Programmable Logic Device，复杂可编程逻辑器件)、ASIC(Application Specific Integrated Circuit，应用专用集成电路)、门阵列等IC。或者，也可以与CPU101一体化而构成。也可以将通信控制IC102设为包括MAC层、PHY层的IEEE802.3通信器件，此外，也可以使其包括直到PHY功能为止的功能而包括于通信控制IC102。在这种情况下，作为通信控制IC102的安装例，包括IEEE802.3标准的MAC(Media AccessControl，介质访问控制)芯片、PHY(物理层)芯片、MAC和PHY的复合芯片。另外，通信控制IC102也可以包括在CPU101、控制计算机内部的信息路径的芯片组中。此外，在图2的结构中，示出了一个通信控制IC102，但通信控制IC102的数量也可以是多个。

PHY103是安装有与控制网络122的通信功能的收发机IC。作为PHY103所提供的通信标准，可例示IEEE802.3的PHY(物理层)芯片。另外，在图2的结构中，PHY103与通信控制IC102连接，因此IEEE 802.3的MAC(Media Access Control，介质访问控制)层的处理包括在通信控制IC102中。但是，在将提供MAC功能的IC配置在通信控制IC102与PHY103之间的结构、对将提供MAC功能的IC和PHY103组合而得到的通信用IC和通信控制IC102进行连接的结构中，也不会丧失本发明的效果。另外，PHY103也可以包括在通信控制IC102中。此外，在图2的结构中，将PHY103各表示一个，但PHY103的数量也可以是多个。

存储器104是用于CPU101进行动作的临时存储区域，存放有检查模式、从非易失性存储介质105转送的OS、应用程序等。

非易失性存储介质105是信息的存储介质，被用于OS、应用程序、没备驱动程序等、用于使CPU101动作的程序的保存、检查模式、程序的执行结果的保存。作为非易失性存储介质105，可例示硬盘驱动器(HDD)、固态驱动器(SSD)以及闪速存储器。此外，作为容易拆卸的外部存储介质，可例示软盘(FD)、CD、DVD、蓝光(注册商标)、USB存储器、CF卡等闪速存储器型存储卡等的利用。

总线106分别连接CPU101、通信控制IC102、存储器104、非易失性存储介质105。作为总线106，可例示PCI总线、ISA总线、PCI Express总线、系统总线以及存储器总线等。

此外，在图2所示的结构中，也可以将多个器件(例如，CPU101、存储器104、非易失性存储介质105、通信控制IC102)构成为处理器内置型的FPGA。

(防火墙126的功能结构)

图3示出应用了本发明的一实施方式的防火墙126的功能结构。图3中的时隙特性存储部130存储在防火墙126中设定的各时隙的特性。这样的特性可例示：被设定、设计为在该时隙进行通信的上位通信协议、或者在图1的控制系统上构建的应用程序上的用途等。作为后者的用途的例子，可例示控制、信息处理、管理、监视、时刻同步、AI(包括推断处理)、机器学习等。

时隙特性存储部130可例示由存储器104、非易失性存储介质105中的任一个或者双方构成的结构，具有存储信息的功能。

检查模式选择部131根据由时隙协作时刻同步部135同步的时隙，根据时隙特性存储部130的信息判别该时隙的特性。此外，从检查模式存储部136中选择检查模式。该选择结果在实时模式检查部134中使用。该检查模式选择部131通过通信控制IC102、在CPU101上进行动作的软件中的任意一个或者双方来实现。

发送部132具有对从实时模式检查部134通知的数据或者分组进行加工并发送的功能。发送部132的加工处理可例示从数据生成帧的处理、数据或者分组的复制、追加给定的标签、以及CRC等异常诊断数据的计算和附加。作为发送部132所附加的标签，可例示由IEEE802.1Q定义的VLAN标签、由IEC62439-3定义的HSR标签以及PRP标签。在VLAN标签的设定中，包括按照由TSN相关标准定义的内容的PCP(Priority Code Point，优先级代码点)、VID(VLAN Identifier，VLAN标识符)的设定。

发送部132由PHY103、在CPU101上进行动作的软件、通信控制IC102中的任一个或者多个构成。发送部132也可以具有MAC功能。

接收部133将接收到的分组向实时模式检查部134转送。接收部133也可以对接收分组进行加工，作为加工处理，可例示对分组附加的标签的除去、数据的提取。此外，接收部133为了将处理后的分组的信息存储一定期间而具有信息存储单元，例如，也可以存储发送源地址、标签上的信息。接收部133可例示由通信控制IC102、PHY103或者CPU101上的软件中的任一个或者多个进行安装。

实时模式检查部134接收从接收部133输入的分组或者数据。然后，对从检查模式选择部131通知的检查模式依次进行比对。为了依次对输入数据进行比对，能够进行将转送延迟设为固定的直通转送。另外，也可以并行地对多个检查模式进行比对。此外，判定方式可以是将与检查模式一致的分组或者数据判定为非法的黑名单方式，或者也可以是将与检查模式一致的数据判定为正常(不是非法)的白名单方式。

判定为非法的分组既可以废弃，也可以为了进行直通转送，有意地将FCS(FrameCheck Sequence，帧校验序列)部的CRC设为错误的计算值(某种表示非法的值)。由此，能够利用接收侧的分散控制装置123废弃该分组。

或者，也可以根据条件对分组进行缓冲并以存储&转发方式进行非法判定，并执行与判定结果相应的处理(分组废弃、CRC的变更等)。

实时模式检查部134可例示由通信控制IC102或者在CPU101上进行动作的软件中的任一个或者双方构成的结构。

时隙协作时刻同步部135通过与网络中继装置121或者中央控制装置120、分散控制装置123、其他防火墙126按照时刻同步通信协议以及时隙通信协议进行通信，来管理防火墙126上的时隙。由此，时隙协作时刻同步部135与中央控制装置120、网络中继装置121、分散控制装置123、其他防火墙126进行时刻同步。然后，判别在某一瞬间成为哪个时隙、或者切换为下一个时隙的定时。

为了实现时刻同步协议，时隙协作时刻同步部135使用接收部133、发送部132、实时模式检查部134来应对时刻同步协议。作为这样的时刻同步协议，可例示IEEE1588(PTP：Precision Time Protocol，精确时间协议)、NTP(Network Time Protocol，网络时间协议)、SNTP(Simple Network Time Protocol、简单网络时间协议)等。

为了应对IEEE1588的Peer延迟机制，可例示具有TC(Transparent Clock)的功能。

这可例示通过与相邻装置之间对同步分组进行通信来测量路径上的延迟。此外，可例示对防火墙126内的同步分组的转送时间进行测量，以1步骤方式或者2步骤方式，将测量到的转送时间加到同步分组(Sync或者Follow_Up信息)上的CorrectionField或者时间戳上。

时隙协作时刻同步部135可例示由通信控制IC102或者在CPU101上进行动作的软件中的任意一个或者双方构成的结构。

检查模式存储部136存储由实时模式检查部134进行比对的检查模式的集合。这样的检查模式可以是给定通信协议分组格式中的给定字段的值，也可以是不依赖于给定通信协议的签名(特征值)。

此外，检查模式也可以具有表示是黑名单还是白名单的信息。

这也可以针对每个检查模式区分是白名单还是黑名单，两者各自的检查模式混合存在。另外，黑名单是指在存在与列表一致的情况下判断为非法，在不存在一致的情况下判断为正常。白名单是指在存在与列表一致的白名单的情况下判断为正常，在不存在一致的情况下判断为非法。

或者，也可以存储在多个白名单的检查模式与黑名单的检查模式同时一致的情况下用于决定是判定为非法还是判定为正常的优先级、规则。另外，所谓正常，也可以定义为不能检测到非法的情况。

例如，可以示出在黑名单的检查模式与白名单的检查模式同时一致的情况下，采用优先级高的检查模式的判定结果。具体而言，与黑名单的检查模式A和白名单的检查模式B同时一致，在将检查模式A的优先级设定得较高的情况下判定为非法。

或者，若设为存在白名单的检查模式A、B、黑名单的检查模式C，也可以以“若与A且与B一致，则即使在与C一致的情况下也判定为正常”(A&B→正常判定)来表达。

同样地，可例示“即使一个与黑名单的检查模式一致，则判定为异常”这样的定义。

检查模式存储部136可例示由通信控制IC102、存储器104、非易失性存储介质105、在CPU101上进行动作的软件中的任一个或者多个构成。

(防火墙126的动作过程)

接下来，图4表示防火墙126中的检查模式的设定中的动作过程。该动作过程是以检查模式选择部131为中心的动作。

首先，基于时隙协作时刻同步部135同步的时刻，等待时隙的切换(S001)。若时隙切换(S001的“是”)，则检查模式选择部131从时隙特性存储部130中提取该时隙的特性(S002)。该特性可例示在该时隙进行通信的通信协议、或者控制用途、信息收集用途、监视用途、AI的学习用途、应用程序这样的用途。

另外，在本实施方式中，使用特性来确定时隙，但也可以使用识别分组内的时隙的ID来确定。此外，也可以由防火墙126保持确定时隙的表，并使用其确定时隙。

接下来，检查模式选择部131从检查模式存储部136选择与在S002中提取出的时隙对应的检查模式(S003)。这既可以是一个也可以是多个，或者也可以是0个(不选择)。

接下来，将所选择的检查模式设定到实时模式检查部134(S004)。

接下来，判定是否满足结束条件(S005)。若满足结束条件(S005的“是”)，则结束处理。若不满足结束条件(S005的“否”)，则面向下一个时隙，返回到S001的步骤。

结束条件可以由系统运用者或者控制系统管理装置(包括SCADA、工作站、服务器装置)等明确地设定为结束，或者也可以基于硬件故障、软件故障这样的异常的发生来判断。或者，也可以基于转送了给定数量、给定数据大小的分组、运转了给定时间、或者经过了给定期间(例如，1日中的10点至17点)来进行判断。

另外，S001以时隙的切换为契机，但也可以在从时隙的切换起早S002到S004中的任意一个或者多个步骤的处理时间的时间，开始S001。这样，在切换了时隙的定时，能够在实时模式检查部134设定该检查模式。此外，为了实现这一点，可例示在一定的固定时间来执行S002至S004的过程的结构。

(动作过程)

接下来，使用图5、图6对实时模式检查部134中的分组的检查步骤进行说明。

(动作过程：字段)

图5是设想给定的通信协议，对给定字段的值进行比较的情况等的过程。

首先，接收部133接收分组，待机，直至将其输入到实时模式检查部134为止(S010)。另外，为了能够进行直通转送，可例示接收部133在不对分组整体进行缓冲的情况下，一旦接收到分组的前端，依次向实时模式检查部134进行转送。当输入接收分组时(S010的“是”)，根据分组的输入，判定是否满足比较检查模式的条件(S011)。这可例示对依次输入的分组的内容进行解析，进行通信协议的判别、每个通信协议的字段的位置的确定。例如，在作为检查模式将IPv4的发送源MAC地址作为对象的情况下，对作为IEEE802.3帧输入的数据识别类型(从前端起第13字节和第14字节)是0x0800。而且，意味着提取后续的IPv4报头的从第13字节到第16字节的信息。

若在S011中满足条件(S011的“是”)，则判定是否与检查模式一致(S012)。在一致的情况下(S012的“是”)，在不一致的情况下(S012的“否”)，分别判定检查模式是否为白名单比较(S013、S014)。

在与检查模式一致(S012的“是”)且为白名单比较的情况下(S013的“是”)，以及在与检查模式不一致(S012的“否”)且不是白名单比较的情况下(S014的“否”)，作为正常分组进行处理(S015)。

另一方面，在与检查模式一致(S012的“是”)且不是白名单比较的情况下(S013的“否”)，以及在与检查模式不一致(S012的“否”)且为白名单比较的情况下(S014的“是”)，作为非法分组进行异常处理(S016)。

作为正常处理的例子，包括不对接收分组进行任何处理而直接进行转送的情况。进而，在IEEE 1588的时刻同步分组的情况下，可例示将防火墙126中的转送时间与correctionField(用于滞留时间、延迟修正的IEEE1588报头上的字段)相加。另外，在本实施方式中，在S013以及S014中表达为“是否为白名单比较”，但也能够表达为“是否为黑名单比较”。换句话说，在S013以及S014中，判断是白名单比较还是黑名单比较。另外，在表达为“是否为黑名单比较”的情况下，与“是否为白名单比较”的Y(是)和N(否)流程是相反的。

作为异常处理的例子，可例示废弃该分组、有意地将CRC变更为异常的值(将原来的CRC值反转等)。

接下来，判定是否是分组的末端(S017)若是分组的末端(S017的“是”)，则进行结束判定(8018)。S018与图4的S005相同。若在S017中不是分组的末端(S017的“否”)，则返回到S011。

另外，若不满足S011中的条件(S011的“否”)，则进入S017。

(动作过程：签名)

图6是与给定签名进行比较的情况等的步骤。签名可以出现在分组上的任意的位置。因此，虽然与图5的过程大致相同，但省略S011的过程。

图5、图6所示的检查模式的比较过程可例示根据检查模式的差异、是白名单判定还是黑名单判定的差异等而并列多个地进行动作。

将这些统一后的动作示于图7。

首先，等待接收分组的输入(S010)。若输入接收分组，则等待全部的检查模式的检查的结束(S020)。通常，这通过实时模式检查部134的判定处理到达接收分组的末尾来进行判断。

或者，也可以判定为各检查模式的验证结束(例如与检查模式一致，输出了某些判定结果)，在判定结果齐备时判定为结束。

若各检查模式的验证结束(S020的“是”)，则基于单独的判定结果，决定最终的判定结果(S021)。这既可以对单独的检查模式设定优先级来决定，也可以基于针对整体的检查模式的决定方法(例如，在即使一个判定为异常的情况下也判定为异常)来决定。

另外，在图5、图6的S015、S016中进行了正常处理、异常处理，但也可以仅在S015、S016中决定判定结果，最终的处理在S021中执行。

此外，即使在判定签名的情况下，也可以判别协议上的字段。例如，可例示如下情况：识别给定协议的报头，对于报头，从检查模式的比对对象中除去，仅在数据区域限定比对。

(用途)

另外，作为各时隙的用途，可例示面向AI应用的学习数据的收集、用于执行基于神经网络的推断的输入信息的传输。或者，可例示用于对被控制装置124应用预防保养、预兆诊断的监视数据、状态数据用的通信。

或者，可例示从中央控制装置120对分散控制装置123进行以下更新、分发的情况下的用于该数据的转送的用途。例如，可以是作为程序、固件、OS、OS级别的虚拟化环境的容器(包括虚拟机)图像或者容器的结构信息、安全补丁等。

(针对检查模式的用途、协议或者应用的设定)

可例示在基于由时隙特性存储部130识别出的特性的检查模式存储部136中的检查模式的选择中，设定与各检查模式相关的用途或者协议。

例如，也可以对某检查模式设定将该检查模式作为对象的通信协议、用途、或者应用程序等。该设定也可以设定通信协议和用途、应用程序中的任意一个或者多个。

例如，签名检查模式由于不设想通信协议而可能存在以特定应用程序为对象的情况，因此设定该应用程序。另外，由于用途和应用程序可能存在并非1对1对应的情况，因此可例示设为独立的项目。例如，针对保养用途，可能存在多个不同的应用程序协作的情况、分开使用的情况。

同样地，也可例示对相同用途关联不同的通信协议。例如，对于控制这样的用途，可以使用EtherCAT(IEC61158、IEC61784-2)、作为其上位协议的COE(CANopen overEtherCAT)、或者IEC61850的GOOSE通信。在这样的情况下，作为时隙的特性，提取控制用途。接下来，作为与控制用途相关联的通信协议，例如，可例示选择面向COE的检查模式和IEC61850的GOOSE通信的检查模式，并设定于实时模式检查部134。

将它们的关系示于图8。作为时隙特性存储部130可提取的特性是通信协议140、用途141、应用程序142，此外，它们相互关联。但是，为了避免循环参照，可例示参照不循环一周。例如，最初提取的特性作为用途141，提取与该用途相关联的通信防议140和/或应用程序142。进而，在分别提取相关的通信协议140、应用程序142之后，停止相关的提取。然后，选择与各自相关联的检查模式。

具体例如图9(a)和图9(b)所示。图9(a)表示特性间的关系。在此，作为最初由时隙特性存储部130提取出的特性，存在控制这样的用途，从中提取通信协议EtherCAT COE和IEC61850的GOOSE、应用程序D、E。接下来，作为与通信协议的EtherCAT COE和IEC61850的GOOSE相关联的应用程序，提取A、B、C。此外，作为与应用程序D相关联的通信协议，选择IEEE1588。

图9(b)表示各检查模式与特性的关系。例如，检查模式1表示将作为通信协议的EtherCAT COE、作为应用程序的程序B作为对象，检查模式2将作为用途的控制作为对象。

选择以提取出的各特性为对象的检查模式。以图9(a)所示的特性为例，作为用途提取控制，作为通信协议，提取EtherCAT COE、IEC61850的GOOSE、IEEE1588、作为应用程序，提取程序A、B、C、D、E。因此，作为检查模式，选择1至7。

另外，在图9中，在特性间赋予顺序关系，最初提取用途，但也可以是通信协议、应用程序中的任一种。例如，若排序为用途、通信协议、应用程序，由时隙特性存储部130提取出的特性是通信协议，则仅提取通信协议和应用程序。或者，可例示如果在时隙特性存储部130中提取出的特性是应用程序，则仅提取应用程序。

(非选择)

另外，在图9的检查模式的指定中，也可以不表示相关联的特性，而指定不相关联的特性。例如，可以是“应用于IEEE1588以外的协议”这样的条件。通过这样做，能够提高设定的灵活性。

同样地，在该时隙中，也可以废弃(非选择)无关的通信协议的分组。

(检查模式的优先顺序)

另外，可能存在无法对实时模式检查部134的计算机资源应用由检查模式选择部131选择出的检查模式的全部的情况。

例如，可例示对LSI(包括FPGA、CPLD)的逻辑容量的限制、RAM等的存储容量的限制、或者相对于所选择的检查模式的比对处理时间，时隙的时间短这样的时间限制。

在这样的情况下，可例示对检查模式赋予优先级并依次进行选择。该优先级赋予也可以由运用者基于安全攻击的流行信息、统计信息，基于在系统运转前静态地确定的固定的优先级进行，或者也可以在动作中进行变更、设定。或者，也可以根据过去的该检查模式的利用次数、从登记起的经过时间(例如，将新登记的检查模式优先检查为最近的安全威胁)、最后利用之后的经过时间等动态地确定。或者，也可以基于由时隙特性存储部130提取出的特性和其提取顺序来决定优先级。例如，在以下例示的情况下也可以变更优先级。

·该检查模式与用途相关的情况。

·在时隙特性存储部130中最初提取出的特性是用途的情况。

·时隙特性存储部130提取用途的顺序为第二个(例如，在通信协议之后提取用途)，第三个(例如，在通信协议、应用程序之后提取用途)的情况。

或者，也可以将对这些指标值进行加权并相加后的结果作为最终的指标值来确定优先级。

此外，若检查模式的数量较多，则也可以向外部提示。也可以在通信控制IC102上设置寄存器，并能够从CPU101上的软件访问该寄存器。或者，可以从防火墙126向预先设定的发送目的地，利用电子邮件等电子手段进行通知，也可以在防火墙126上构建web服务器，从外部通过web浏览器等进行访问来进行确认。或者，也可以在防火墙126上通过LED、警报这样的物理手段进行提示。通过这样向外部进行通知，运用者通过调整检查模式的数量、配置追加的防火墙126，在安全性的观点上，结果上容易适当地运用控制系统。

(检查模式的切换方法)

检查模式的设定方法，可例示预先将保持该检查模式的比对功能构成为软件或者LSI(包括FPGA、CPLD)中的硬件逻辑，使该比对功能有效或者无效。

或者，也可以在实时模式检查部134内，通过改变作为比对对象的接收分组的转送路径来选择比对的检查模式。

或者，也可以构成为将检查模式存储于RAM等贮存设备，根据时隙的切换而加载到比对功能，根据所选择的检查模式，变更每个贮存设备的保存地址(加载源地址)。

另外，可例示在周期内的时隙的数量多(即，检查模式的切换多)且访问速度不同的贮存设备构成为多级的情况下，对贮存设备间的检查模式的加载进行调度。例如，在图2的结构中，可例示使用FPGA构成通信控制IC102，利用硬件电路安装检查模式的比对功能，作为贮存设备而由通信控制IC102内的芯片上RAM和存储器104这2级构成的情况。

一般而言，在存储容量与访问速度之间存在权衡，换言之，从FPGA内的硬件比对电路来看，芯片上RAM能够高速地访问，但容量有限。另一方面，存储器104能够相对地增大容量，但由于经由总线106，所以访问速度变慢。

图12(a)表示检查模式的转送、加载的调度例。假设计划了时隙A到F，比对电路具有一个时隙相应量的检查模式的容量，芯片上RAM具有三个时隙相应量的容量，存储器上具有能够存放6个时隙的容量。

在t0，将检查模式A转送至比对电路，t2、t4、t7、t10、t12、t15也同样地转送各检查模式。比对电路在t1、t3、t5、t9、t11、t13、t17设定时隙的检查模式，对接收分组进行比对。

在t6，从存储器向芯片上RAM转送时隙D、E、F用的检查模式，在t14转送时隙A、B、C用的检查模式。

例如，t1-t0表示针对芯片上RAM的访问时间(加载时间)，t8-t6表示存储器与芯片上RAM之间的访问时间(加载时间)。

基于各设备间的访问速度、转送容量、访问时间、时隙的开始时间(t1、t3、t5、t9、t11、t13、t17)，决定转送开始时间(t0、t2、t4、t7、t10、t12、t15、t6、t14)。它们可以根据检查模式的数量、各个检查模式的尺寸、芯片上RAM、比对电路的存储容量来设计。

另外，在图12(a)中，将贮存设为2级，但也可以是3级以上，例如，可例示加入非易失性存储介质105(HDD等)的情况。

以上，说明了在装置内加载检查模式的结构，但也可以跨越控制网络122而从控制网络122上的贮存设备(例如，NAS：Network Attached Storage，网络附加存储装置)加载检查模式。

此外，也可以将芯片上RAM的一部分作为更新用的区域，与比对处理并行地更新检查模式。在图12(b)中示出了用于其的功能结构例。在这种情况下，为了能够同时访问，可例示通信控制IC102的芯片上RAM使用Dual Port存储器。另外，如图13所示，若刚好在时隙前接收到的分组的末端的处理时刻t1比t0晚，则设想到t2之前不接收分组，因此可以切换检查模式。在此，t0是指与t2相比帧间隔Interframe gap前的时间。

(基于软件的比对)

另外，若是传输延迟的要求不严格的情况，则也可以不是通过直通转送，而是通过对接收分组进行缓冲的存储转发方式与检查模式进行比对。在这样的情况下，可例示在图2的结构中由通信控制IC102取入了分组之后，将分组向存储器104转送，通过在CPU101上进行动作的软件进行比对。

或者，也可以由与图2的结构相同的处理器内置型的FPGA构成。此时，也可以不在该时隙进行转送，而是在下一周期以后的时隙进行转送(图11)。

这样，通过与存储容量相对大的存储器104中存储的多个检查模式进行比对，能够提高安全等级。另外，作为应用这样的处理的情况，可例示以给定的时隙为对象的情况。

或者，可例示独立于时隙，以给定的用途、通信协议、应用程序所关联的分组为对象。

另外，作为检查模式，包括使用与确定对应的通信协议用的杀毒软件。

此外，作为通信协议的特性，在使用上述用途的情况下，其用途与检查模式的关系也可以如下。在前者的用途中，后者分别表示检查模式的特征。

·控制用途：能够高速检查。

·AI用途(学习)：低速，但能够详细检查。

·监视用途以及信息收集用途：上述的中间(中速且检查内容也中庸)(刚好在时隙切换之前接收到的分组)。

图10表示将上述的各用途应用于中继通信装置121的时隙的例子。在图10中，将时隙1作为控制用(控制用途)，将时隙2作为AI用(AI用途(学习))，将时隙3作为监视用(监视用途以及信息收集用途)。

另外，叙述时隙切换和接收分组的处理重叠的情况(图14)的处理。

在这种情况下，可以直接比对时隙A的检查模式，或者也可以检测定时重叠的情况，废弃分组。另外，也可以检测出定时重叠的情况，并向外部提示。在此，也可以在通信控制IC102上设置寄存器，并能够从CPU101上的软件访问该寄存器。或者，可以从防火墙126向预先设定的发送目的地，利用电子邮件等电子手段进行通知，也可以在防火墙126上构建web服务器，从外部通过web浏览器等进行访问来进行确认。或者，也可以在防火墙126上通过LED、警报这样的物理单元进行提示。通过这样向外部通知，运用者通过调整发送侧的发送定时，能够容易地保证通信的时间上的制约等，其结果是，容易适当地运用控制系统。

(周期)

另外，也可以针对由多个时隙的集合构成的每个周期，变更向各时隙的检查模式。

(多端口)

此外，对防火墙126的通信端口在发送部132和接收部133中分别设为各一个进行了说明，但也可以与网络中继装置121同样地具备多个通信端口。在这种情况下，也可以针对各个端口，根据时隙来变更检查模式。

(检查模式分发用时隙)

此外，时隙的一部分也可以是由检查模式管理装置125进行的检查模式的分发用的时隙。例如，可例示在该时隙中不进行检查模式的比对。

该时隙的设定可以由防火墙126明确地以电子、或者物理手段中的任意一个或者多个来设定，也可以在分组上的给定字段中明示其是检查模式分发用分组。由此，可例示由防火墙126识别并取入其是检查模式的分发的情况。

既可以直接废弃，电可以转送。另外，在后级的装置不是防火墙126的情况下，可例示必定废弃。因此，可例示预先设定或者通过通信确认后级的装置是否是防火墙126。

检查模式的发布可例示通过加密、证书等应该进行的安全手段来发布。也可以以多个周期进行分割并发送。更新后，可以有意地发送与检查模式一致的非法分组来进行动作验证，也可以设置这样的动作验证用的时隙。

(模糊检索)

也可以将检查模式的一部分设为多个值或者未定义(不要求完全一致的don‘tcare)。由此，能够进行模糊检索或检测亚种的病毒、签名。或者，由于能够通过一个检查模式信息来表达多个模式，因此能够使检查模式的存储容量高效化。

(从前后的时隙估计特性)

另外，时隙的特性提取也可以从前后的时隙的特性中自动提取。例如，在周期内的最后的时隙中，若在到目前为止的时隙中没有执行时刻同步协议，则将该时隙估计为时刻同步协议用。

这样，可例示将整体的特性的集合作为已知，估计为在执行完毕的时隙中未提取的未提取的特性。

或者，也可以观察资源预约协议的通信内容来决定。

(时隙防火墙)

另外，防火墙126不需要检查在控制网络122上计划的全部时隙，也可以以一个或者多个给定的时隙为对象进行检查模式的比对。

也可以连续地设置多个限定了这样的对象时隙的防火墙126。针对防火墙126的每个设备限定对象时隙，通过调整控制网络122上的配置，能够灵活地设定安全对象。

(层级化)

另外，图16表示使用多个防火墙126层级性地比对检查模式的例子。图16表示网络结构的一部分。

防火墙126a分别在时隙A、B、C中进行检查模式的比对。防火墙126b、c、d在分别计划了从防火墙126a转送的分组的时隙中，在进一步细分化的时隙中与检查模式进行比对。例如，以如下方式进行转送。防火墙126a在时隙A接收到的分组转送给防火墙126b。时隙B接收到的分组转送给防火墙126c。时隙C接收到的分组转送给防火墙126d。

作为这样的结构，例如，如以下所示，也可以构成为分担某个通信协议内的子协议。在时隙A中，作为通信协议，对IEC61850进行检查。此外，在防火墙126b的时隙D中检查IEC61850的GOOSE，在时隙E中检查SampledValue，在时隙F中对除此以外的协议进行检查。

或者，防火墙126a也可以按照通信协议对检查模式进行比对，防火墙126b如以下那样按每个特性进行层级化：按用途在时隙D中为控制用途，在时隙E中为监视用途，在时隙F中是AI的学习用途。

之后，既可以通过防火墙126e在通信路径上再次进行聚合，也可以向各个目的地进行转送(例如，防火墙126d)。

另外，对于每个时隙变更路由的方法既可以静态地构成，也可以由VLAN构成。

这样，能够灵活地形成检查模式比对的结构，通过用多个防火墙126进行功能分散，能够保证安全级别。

(动态地判定)

此外，在仅计划了时隙而未决定各时隙内的检查模式的状况下，可例示根据在各时隙内通信的内容来决定检查模式。例如，根据图9的信息和在对象时隙中通信的分组的协议种类，决定应用的检查模式。

具体而言，可例示在某个时隙中通信了IEC61850 GOOSE的情况下，应用IEC 61850的GOOSE用的检查模式、控制用途的检查模式、相关的应用程序用的检查模式。

这可例示将通信分为设置(setup)阶段和正式运用阶段，将在设置阶段中判定出的检查模式与时隙的对应应用于正式运用阶段以后。设置阶段、正式运用阶段的差异可例示明确地指示表示时间(从给定时刻、运转起的经过期间)、阶段的切换的通知。这表示防火墙126上的软件上的操作或者硬件上的操作(基于按钮、物理开关的设定)。

(SDN有效利用)

另外，检查模式也可以从检查模式管理装置125动态地访问防火墙126来进行变更。这可例示对在防火墙126的存储器104、通信控制IC102、非易失性存储介质105上保持的检查模式进行变更。

此时，从检查模式管理装置125向防火墙126通知的检查模式的内容除了检查模式的内容本身之外，还可以包括以下的内容。可例示包括与该检查模式对应的给定时隙的信息、识别符、或者包括该时隙所对应的特性(通信协议、用途、应用程序等)。

或者，也可以不包括检查模式本身，变更与每个时隙相关联的特性，并通知该内容。通过通知特性的变更，能够自动地变更在防火墙126中应用的检查模式。因此，与通知检查模式本身的方法相比，能够以简易的方法，且由于减少通信数据量，因此能够抑制控制网络122的网络资源(通信频带等)的消耗来进行设定变更。

此时，能够记录检查模式、特性的变更的履历，能够确认当前的状态，或者能够在过去的任意的时间点判定应用了怎样的检查模式。

(同步异常)

另外，示出防火墙126不同步而无法适当地管理时隙的情况下的动作。作为这样的情况，存在以下的情况。

·没有基于来自其他装置的时刻同步协议的响应、时刻信息的分发。

·最后时刻同步后的经过时间为给定时间以上的情况。

·防火墙126中的时刻管理器件(CPU101上的软件时钟、石英振子、振荡器、通信控制IC102内的计时器件)等中的异常发生。

在不能适当地管理时隙的情况下，有以下的对应方法。

·转送各接收分组。

·废弃各接收分组。

·与定义为时刻同步的异常用的检查模式组进行比对。

·与基于检查模式的优先级而选择的检查模式进行比对。

·仅转送与时刻同步协议的通信有关的分组。

为了基于最后从时刻同步起的经过时间来判定时刻同步异常，防火墙126也可以设置向外部提示经过时间的阈值、当前的经过时间等信息的单元。也可以在通信控制IC102上设置寄存器，并能够从CPU101上的软件或者外部的装置经由通信来访问该寄存器。

此外，也可以向外部提示时刻同步的异常。电可以在通信控制IC102上设置寄存器，并能够从CPU101上的软件访问该寄存器。或者，可以从防火墙126向预先设定的发送目的地，利用电子邮件等电子手段进行通知，也可以在防火墙126上构建web服务器，从外部通过web浏览器等进行访问来进行确认。或者，也可以在防火墙126上通过LED、警报这样的物理手段进行提示。通过这样向外部通知，运用者能够知道时刻同步异常，通过进行必要的调查、适当的对处，作为结果，容易适当地运用控制系统。

根据本实施方式，由于能够按每个时隙改变检查模式，所以即使是相同的分组，通过分组的行为也能够按照每个时隙而变化。例如，在某个时隙中，即使进行了基于CRC改变的异常对应处理，在其他的时隙也不进行CRC改变等。

(无线应用)

另外，本实施方式以TSN这样的时隙型的有线通信方式为对象进行了说明，但也可以将5G、4G、Wifi、LPWA(Low Power，Wide Area，低功率，广域)、LoRa、SIGFOX这样的无线方式作为对象。

(系统结构)

作为系统结构，可例示如图17所示的分层构造、图1那样的平坦的系统、5G、无线通信那样没有物理性的连接关系的结构。

(复用要素)

另外，在本发明中，示出了根据时隙来改变检查模式的情况，但并不限于时间分割，还可例示根据复用要素来变更检查模式的情况。作为这样的复用要素，可例示按振幅不同的基本信号(例如载波)承载信号的情况下的每个振幅的检查模式、不同频率的基本信号中的每个该频率的检查模式、相位不同的基本信号中的每个相位的检查模式。

作为实时模式检查部134的功能结构，图15的分离部150根据复用要素分离信号。实时模式检查部151对分离出的各信号比对检查模式。合成部152对分离出的信号进行合成。此时，关于攻击数据、非法的异常信号，可例示不进行合成而废弃的情况(例如，仅发送基本的载波)。

通过以上的结构，在本实施方式中，在某个时隙，避免与以无关的通信协议、通信特性为对象的检查模式偶然一致而废弃分组等的处理，能够提高可用性。此外，通过将有限的计算机资源(贮存容量、CPU等的处理分配时间)限定为与时隙一致的检查模式的比对，能够高效地有效利用并确保安全性。

特别是，在将本实施方式应用于控制系统的情况下，能够提供一种高度的控制系统，在维持安全性的同时，计算机资源的利用效率优异，能够在保证控制系统的实时要件的同时，进行控制系统中的信息技术的导入。

符号说明

101…CPU，102…通信控制IC，103…PHY，104…存储器，105…非易失性存储介质，106…总线，120…中央控制装置，121…网络中继装置，122…控制网络，123…分散控制装置，124…被控制装置，125…检查模式管理装置，126…防火墙，130…时隙特性存储部，131…检查模式选择部，132…发送部，133…接收部，134，151…实时模式检查部，135…时隙协作时刻同步部，136…检查模式存储部，140…通信协议，141…用途，142…应用程序，143…检查模式，150…分离部，152…合成部。

Claims (9)

1.一种通信控制装置，其是转送通信帧的通信控制装置，其特征在于，具有：

接收所述通信帧的单元；

确定处理所述通信帧的时间的单元；以及

确定与所确定的所述时间对应的时隙相应的针对所述通信帧的安全对策的单元。

2.根据权利要求1所述的通信控制装置，其中，

还具有：确定所述时隙的单元，

确定所述安全对策的单元确定与所确定的所述时隙相应的安全对策。

3.根据权利要求2所述的通信控制装置，其中，

确定所述时隙的单元使用所述通信帧中包括的确定所述时隙的信息。

4.根据权利要求2所述的通信控制装置，其中，

还具有：存放用于确定每个时间段的时隙的信息的单元，

确定所述时隙的单元使用进行所述存放的单元来确定所述时隙。

5.根据权利要求1所述的通信控制装置，其中，

还具有：从所述通信帧中提取该通信帧的特性的单元，

确定所述安全对策的单元确定与提取出的所述通信帧的特性相应的安全对策。

6.根据权利要求5所述的通信控制装置，其中，

在所述通信帧的特性中包括所述通信帧的通信协议、用途以及利用该通信帧的应用程序中的至少一个。

7.根据权利要求1所述的通信控制装置，其中，

还具有：实施所述安全对策的单元，

确定所述安全对策的单元对接收到的所述通信帧和预先存储的检查模式进行比对，

执行所述安全对策的单元，基于所述比对的结果，变更所述通信帧的末尾的检错码，作为所述安全对策。

8.一种通信系统，其是在由发送通信帧的发送装置、转送所述通信帧的通信中继装置以及接收转送的所述通信帧的接收装置构成的通信系统，其特征在于，

所述发送装置发送所述通信帧，

所述通信中继装置接收所述通信帧，

所述通信中继装置确定处理所述通信帧的时间，

所述通信中继装置根据与所确定的所述时间对应的时隙相应的针对所述通信帧的安全对策，

对所述通信帧实施所确定的所述安全对策。

9.根据权利要求8所述的通信系统，其中，

为了确定所述安全对策，所述通信中继装置对接收到的所述通信帧和预先存储的检查模式进行比对，

基于所述比对的结果，变更所述通信帧的末尾的检错码，作为所述安全对策。

Images