DE112012001160T5

DE112012001160T5 - Unregelmäßigkeitserkennungssystem zum Erkennen einer Unregelmäßigkeit in mehreren Steuersystemen

Info

Publication number: DE112012001160T5
Application number: DE112012001160T
Authority: DE
Inventors: Michiharu Kudoh; Naohiko Uramoto; Kazuhito Akiyama
Original assignee: International Business Machines Corp
Current assignee: International Business Machines Corp
Priority date: 2011-05-13
Filing date: 2012-05-08
Publication date: 2013-12-19
Also published as: US9360855B2; CN103502949A; JPWO2012157471A1; WO2012157471A1; SG194695A1; GB201320978D0; GB2505367A; JP5571847B2; CN103502949B; GB2505367B; US20150293516A1

Abstract

Zu lösendes Problem Zu ermöglichen, dass mehrere Industriesteuersysteme miteinander zusammenarbeiten, um eine Unregelmäßigkeit zu erkennen. Lösung Ein Unregelmäßigkeitserkennungssystem zum Erkennen einer Unregelmäßigkeit in einer Vielzahl von Steuersystemen weist eine Vielzahl von Analyseelementen auf, die den entsprechenden Steuersystemen zugehörig sind und ein in einem zugehörigen Steuersystem auftretendes Ereignis erfassen und das Ereignis analysieren, um zu ermitteln, ob es eine Unregelmäßigkeit gibt. Ein erstes Analyseelement aus der Vielzahl von Analyseelementen ermittelt, ob ein in dem zugehörigen Steuersystem auftretendes Ereignis einem zweiten Analyseelement aus der Vielzahl von Analyseelementen anzuzeigen ist, und das zweite Analyseelement stellt unter der Bedingung, dass das von dem ersten Analyseelement angezeigte Ereignis eine Korrelation mit einem durch ein anderes Analyseelement als das erste Analyseelement angezeigten Ereignis aufweist, fest, dass eine Unregelmäßigkeit aufgetreten ist.

Description

Technisches Anwendungsgebiet
Die vorliegende Erfindung betrifft ein Unregelmäßigkeitserkennungssystem zum Erkennen einer Unregelmäßigkeit in mehreren Steuersystemen.
Stand der Technik
Es sind industrielle Steuersysteme (ICS, industrial control systems) bekannt, die Industrie- und Infrastruktursysteme verwalten und steuern (siehe zum Beispiel Nichtpatentliteratur 1). Viele der herkömmlichen Industriesteuersysteme sind nicht mit einem externen Netzwerk verbunden und werden mit speziellen Protokollen betrieben. Aktuelle Industriesteuersysteme sind jedoch zunehmend über ein allgemeines Protokoll wie zum Beispiel das Internet-Protokoll mit einem externen Netzwerk verbunden. Hierdurch wird es ermöglicht, dass mehrere Industriesteuersysteme miteinander zusammenarbeiten.
Patentliteratur 1

Nationale Veröffentlichung der internationalen Patentanmeldung mit der Nr. 2007-506353

Nichtpatentliteratur 1

„SCADA", (online), Wikipedia, (Suche am 30. März 2011), das Internet, URL: http://ja.wikipedia.org/wiki/SCADA

Kurzdarstellung der Erfindung
Durch die Erfindung zu lösendes Problem
Industriesteuersysteme überwachen ständig ihre internen Einheiten oder dergleichen auf Unregelmäßigkeiten; mehrere Industriesteuersysteme haben bisher jedoch nicht zusammenwirkend eine Unregelmäßigkeit überwacht.
Mittel zum Lösen des Problems
Zum Lösen des Problems stellt ein erster Aspekt der Erfindung ein Unregelmäßigkeitserkennungssystem zum Erkennen einer Unregelmäßigkeit in einer Vielzahl von Steuersystemen bereit, wobei das Unregelmäßigkeitserkennungssystem eine Vielzahl von Analyseelementen aufweist, die den entsprechenden Steuersystemen zugewiesen sind und ein in einem zugehörigen Steuersystem auftretendes Ereignis erfassen und das Ereignis analysieren, um zu ermitteln, ob es eine Unregelmäßigkeit gibt, wobei ein erstes Analyseelement aus der Vielzahl von Analyseelementen ermittelt, ob ein in dem zugehörigen Steuersystem auftretendes Ereignis einem zweiten Analyseelement aus der Vielzahl von Analyseelementen anzuzeigen ist; und das zweite Analyseelement unter der Bedingung, dass das von dem ersten Analyseelement angezeigte Ereignis eine Korrelation mit einem durch ein anderes Analyseelement als das erste Analyseelement angezeigten Ereignis aufweist, feststellt, dass eine Unregelmäßigkeit aufgetreten ist. Es werden auch ein Verfahren und ein Programm für das System bereitgestellt.
Die Zusammenfassung der Erfindung führt nicht alle der wesentlichen Merkmale der Erfindung auf. Eine Unterkombination aus derartigen Merkmalen kann auch innerhalb einer Erfindung liegen.
3. Kurzbeschreibung der Zeichnungen:
1 zeigt eine Konfiguration eines Datenverarbeitungssystems 10 gemäß einer Ausführungsform der Erfindung;
2 zeigt eine Konfiguration eines ersten Analyseelements 30-1 und eines zweiten Analyseelements 30-2 gemäß der Ausführungsform;
3 zeigt einen Prozessablauf des ersten Analyseelements 30-1 und des zweiten Analyseelements 30-2 gemäß der Ausführungsform;
4 zeigt ein Beispiel von durch das erste Analyseelement 30-1 erfassten Ereignissen und ein Beispiel von durch das erste Analyseelement 30-1 gesendeten Ereignissen;
5 zeigt ein Beispiel einer zum Verschleiern von zusätzlichen Informationen verwendeten Tabelle; und
6 zeigt eine beispielhafte Hardware-Konfiguration eines Computers 1900 gemäß der Ausführungsform.
Art des Ausführens der Erfindung
Obwohl die vorliegende Erfindung nachfolgend unter Bezugnahme auf ihre Ausführungsform beschrieben ist, soll die Ausführungsform die beanspruchte Erfindung nicht einschränken. Auch sind nicht alle Kombinationen der in der Ausführungsform dargelegten Merkmale für die Lösung gemäß der Erfindung entscheidend.
1 zeigt eine Konfiguration eines Datenverarbeitungssystems 10 gemäß einer Ausführungsform. Das Datenverarbeitungssystem 10 der Ausführungsform beinhaltet mehrere Steuersysteme 20, mehrere Analyseelemente 30 und ein Netzwerk 40.
Bei jedem der Steuersysteme 20 handelt es sich um ein System, das durch mehrere miteinander verbundene Computer und Einheiten dargestellt wird. Bei den Steuersystemen 20 kann es sich zum Beispiel jeweils um ein Industriesteuersystem (ICS) zum Verwalten und Steuern von Objekten eines Industrie- oder Infrastruktur-(z. B. Verkehrs-, Energie-)Systems handeln. In diesem Fall weisen die Steuersysteme 20 mehrere Einheiten, eine speicherprogrammierbare Steuerung (SPS) zum Steuern der Einheiten, einen Server und dergleichen auf.
Bei den Steuersystemen 20 kann es sich zum Beispiel jeweils um ein System zum Verwalten verschiedener mit einem Netzwerk innerhalb eines Gebäudes verbundener Einheiten handeln (z. B. ein Elektrizitäts-, Gas-, Wasser-, Klimaanlagen- oder Sicherheitssystem). Bei jedem der Steuersysteme 20 kann es sich auch um ein Teilsystem eines großen Steuersystems handeln. Bei den Steuersystemen 20 kann es sich jeweils um ein Verwaltungsteilsystem handeln, das ein System darstellt, das zum Verwalten einer gesamten Stadt zuständig ist (z. B. ein System zum Verwalten von Gebäuden, Fabriken, der Wasserversorgung, der Elektrizität usw.).
Bei den Steuersystemen 20 kann es sich zum Beispiel auch um Systeme zum Verwalten verschiedener Einheiten (z. B. Telefone, Kopiergeräte) handeln, die mit einem Büro- oder Hausnetzwerk verbunden sind. Bei den Steuersystemen 20 kann es sich auch um Systeme zum Verwalten von mit einem Netzwerk innerhalb einer Firma oder dergleichen verbundenen Computern oder Systeme zum Verwalten einer großen Anzahl von mit einem Netzwerk eines Rechenzentrums oder dergleichen verbundenen Servern handeln.
Die Analyseelemente 30 sind jeweils den Steuersystemen 20 zugehörig. Jedes der Analyseelemente 30 kann einer oder zwei oder mehreren Steuersystemen 20 zugehörig sein. Die Analyseelemente 30 erfassen jeweils Ereignisse, die in dem/den zugehörigen Steuersystemen) 20 auftreten, und analysieren die Ereignisse, um zu ermitteln, ob es in dem/den Steuersystemen) 20 eine Unregelmäßigkeit gibt.
Ein Ereignis bezieht sich auf einen Vorfall, der in einem zugehörigen Steuersystem 20 stattfindet und der zum Beispiel durch einen Sensor oder einen Computer erkannt werden kann. Bei einem Ereignis kann es sich zum Beispiel um einen physischen Wert (wie zum Beispiel Elektrizität, Temperatur, Feuchtigkeit, Masse, Volumen und Flussgeschwindigkeit) handeln, der von einem für eine Einheit oder dergleichen innerhalb des Steuersystems 20 bereitgestellten Sensor erkannt wird. Bei einem Ereignis kann es sich zum Beispiel auch um eine Messung von Daten handeln, die in einen Informationsprozessor oder dergleichen innerhalb des Steuersystems 20 eingegeben und von diesem ausgegeben werden (z. B. Datengeschwindigkeit, Reaktion auf das Senden und Empfangen von Daten und Fehlerrate). Bei einem Ereignis kann es sich auch um den Zustand einer Einheit in dem Steuersystem 20 (z. B. in/außer Betrieb und Betriebsart) oder den Zustand von Ressourcen handeln, die den Informationsprozessor in dem Steuersystem 20 darstellen (z. B. Nutzung des Arbeitsspeichers, Auslastung des Prozessors).
Jedes der Analyseelemente 30 erfasst in dem zugehörigen Steuersystem 20 auftretende Ereignisse und ermittelt, ob ein vorher festgelegtes Ereignis erfasst wird. Wenn ein vorher festgelegtes Ereignis erfasst wird, stellt jedes der Analyseelemente 30 fest, dass es in dem zugehörigen Steuersystem 20 eine Unregelmäßigkeit gibt. Beim Feststellen, dass das zugehörige Steuersystem 20 eine Unregelmäßigkeit aufweist, führt das Analyseelement 30 das Verarbeiten zum Handhaben der Unregelmäßigkeit aus.
Das Netzwerk 40 stellt eine Verbindung zwischen den Steuersystemen 20 und den Analyseelementen 30 her, um das Senden und Empfangen von Daten zwischen diesen zu ermöglichen. Das Netzwerk 40 überträgt Daten gemäß einem allgemeinen Protokoll wie zum Beispiel dem Internet-Protokoll.
2 zeigt eine Konfiguration eines ersten Analyseelements 30-1 und eines zweiten Analyseelements 30-2 gemäß der vorliegenden Ausführungsform. Die Analyseelemente 30 in dem Datenverarbeitungssystem 10 gemäß der vorliegenden Ausführungsform arbeiten zusammen, um als Unregelmäßigkeitserkennungssystem zum Erkennen von Unregelmäßigkeiten in den Steuersystemen 20 zu fungieren.
Konkret zeigt das erste Analyseelement 30-1 aus den Analyseelementen 30 dem zweiten Analyseelement 30-2 aus den Analyseelementen 30 ein von dem zugehörigen Steuersystem 20 erfasstes Ereignis an. Das zweite Analyseelement 30-2 ermittelt dann, ob es eine Korrelation zwischen dem Ereignis von dem ersten Analyseelement 30-1 und einem von einem anderen Analyseelement 30 als dem ersten Analyseelement 30-1 gibt, und stellt dann fest, dass es eine Unregelmäßigkeit gibt, wenn sie eine Korrelation aufweisen.
In der vorliegenden Ausführungsform dient zumindest eines der in dem Datenverarbeitungssystem 10 beinhalteten Analyseelemente 30 als zweites Analyseelement 30-2. Das andere Analyseelement 30 als das zweite Analyseelement 30-2 fungiert als erstes Analyseelement 30-1.
Das erste Analyseelement 30-1 beinhaltet zumindest eine Analyseeinheit 50, die in dem zugehörigen Steuersystem 20 auftretende Ereignisse erfasst und die Ereignisse analysiert, um zu ermitteln, ob das Steuersystem eine Unregelmäßigkeit aufweist. Das zweite Analyseelement 30-2 beinhaltet zumindest eine Analysesteuereinheit 70, die ermittelt, ob es in irgendeinem der Steuersysteme 20 eine Unregelmäßigkeit gibt. Das zweite Analyseelement 30-2 kann ferner die Analyseeinheit 50 beinhalten.
Die Analyseeinheit 50 beinhaltet eine Erfassungseinheit 52, eine Ermittlungseinheit 54, eine Standardisierungseinheit 56, eine Verschleierungseinheit 58, eine Ereignis-Sendeeinheit 60, eine Unregelmäßigkeitsempfangseinheit 62 und eine Überwachungseinheit 64. Die Analysesteuereinheit 70 beinhaltet eine Ereignisempfangseinheit 72, eine Korrelationserkennungseinheit 74 und eine Unregelmäßigkeits-Sendeeinheit 76.
Die Erfassungseinheit 52 erfasst in dem zugehörigen Steuersystem 20 auftretende Ereignisse. Die Erfassungseinheit 52 erfasst zum Beispiel durch physische Sensoren, die sich an bestimmten Punkten innerhalb des Steuersystems 20 befinden, physische Werte (wie zum Beispiel Elektrizität, Temperatur, Feuchtigkeit, Masse, Volumen und Flussgeschwindigkeit) als Ereignisse. Die Erfassungseinheit 52 kann auch Messungen von Daten als Ereignisse erfassen, die in einen Informationsprozessor oder dergleichen innerhalb des Steuersystems 20 eingegeben oder von diesem ausgegeben werden (z. B. Datengeschwindigkeit, Reaktion auf das Senden und Empfangen von Daten und Fehlerrate). Die Erfassungseinheit 52 kann auch den Zustand von Einheiten innerhalb des Steuersystems 20 oder den Zustand von den Informationsprozessor in dem Steuersystem 20 darstellenden Ressourcen als Ereignisse erfassen (z. B. Nutzung des Arbeitsspeichers, Auslastung des Prozessors).
Die Ermittlungseinheit 54 ermittelt beruhend auf einem erfassten Ereignis, ob das zugehörige Steuersystem 20 eine Unregelmäßigkeit aufweist. Die Ermittlungseinheit 54 ermittelt zum Beispiel, ob ein erfasstes Ereignis einen vorher festgelegten Wert aufweist.
Die Ermittlungseinheit 54 stellt zum Beispiel fest, dass das zugehörige Steuersystem 20 eine Unregelmäßigkeit aufweist, wenn ein durch einen Sensor erkannter physischer Wert außerhalb eines vorher festgelegten normalen Bereichs liegt. Die Ermittlungseinheit 54 kann auch feststellen, dass das zugehörige Steuersystem 20 eine Unregelmäßigkeit aufweist, wenn ein Messwert von Dateneingaben in den und Datenausgaben aus dem Informationsprozessor in dem Steuersystem 20 außerhalb eines vorher festgelegten normalen Bereichs liegt. Die Ermittlungseinheit 54 kann auch feststellen, dass das zugehörige Steuersystem 20 eine Unregelmäßigkeit aufweist, wenn sich eine Einheit in dem Steuersystem 20 oder eine den Informationsprozessor in dem Steuersystem 20 darstellende Ressource zum Beispiel in einem vorher festgelegten Zustand befinden.
Wenn die Ermittlungseinheit 54 feststellt, dass das zugehörige Steuersystem 20 eine Unregelmäßigkeit aufweist, benachrichtigt sie die Überwachungseinheit 64 über die Unregelmäßigkeit. Nach Benachrichtigung über die Unregelmäßigkeit durch die Ermittlungseinheit 54 führt die Überwachungseinheit 64 einen Handhabungsprozess durch, der durchgeführt werden sollte, wenn es eine Unregelmäßigkeit gibt. Die Überwachungseinheit 64 meldet die Unregelmäßigkeit zum Beispiel einem Systemverwalter des zugehörigen Steuersystems 20. Die Überwachungseinheit 64 kann zum Beispiel auch die Häufigkeit des Überwachens des zugehörigen Steuersystems 20 erhöhen. In diesem Fall erhöht die Überwachungseinheit 64 zum Beispiel die Häufigkeit der Ereigniserfassung an der Erfassungseinheit 52. Die Überwachungseinheit 64 kann auch die unregelmäßige Einheit deaktivieren oder deren Stromversorgung abschalten.
Die Ermittlungseinheit 54 ermittelt ferner, ob in dem zugehörigen Steuersystem 20 auftretende Ereignisse dem zweiten Analyseelement 30-2 anzuzeigen sind, selbst wenn das zugehörige Steuersystem 20 als nicht unregelmäßig festgelegt wurde. In der vorliegenden Ausführungsform stellt die Ermittlungseinheit 54 fest, dass ein erfasstes Ereignis dem zweiten Analyseelement 30-2 angezeigt werden sollte, wenn das Ereignis einen Wert aufweist, der nicht als unregelmäßig festgelegt wurde, und wenn die Differenz zwischen dem Wert und einem Schwellwert der Unregelmäßigkeitsermittlung innerhalb eines vorher festgelegten Bereichs liegt. Die Ermittlungseinheit 54 kann auch feststellen, dass ein Ereignis, auf Grund dessen das zugehörige Steuersystem 20 als unregelmäßig festgelegt wird, auch dem zweiten Analyseelement 30-2 angezeigt werden sollte.
Als Beispiel stellt die Ermittlungseinheit 54 fest, dass ein Ereignis dem zweiten Analyseelement 30-2 angezeigt werden sollte, wenn ein durch einen Sensor erkannter physischer Wert oder ein Messwert von Daten, die in einen Informationsprozessor in dem Steuersystem 20 eingegeben und von diesem ausgegeben werden, innerhalb eines vorher festgelegten normalen Bereichs liegen (ein Bereich, in dem das zugehörige System als normal festgelegt wird) und wenn die Differenz zwischen dem Wert und einem Schwellwert der Unregelmäßigkeitsermittlung innerhalb eines vordefinierten Bereichs liegt. Als weiteres Beispiel stellt die Ermittlungseinheit 54 fest, dass ein Ereignis dem zweiten Analyseelement 30-2 angezeigt werden sollte, wenn sich eine Einheit in dem Steuersystem 20 oder eine den Informationsprozessor in dem Steuersystem 20 darstellende Ressource in einem Zustand befinden, auf Grund dessen das Steuersystem 20 als normal und sich auch in einem vordefinierten Zustand befindlich festgelegt wird.
Die Standardisierungseinheit 56 standardisiert das Datenformat für ein Ereignis, das in dem zugehörigen Steuersystem 20 aufgetreten ist und für das an der Ermittlungseinheit 54 ermittelt wurde, dass es dem zweiten Analyseelement 30-2 anzuzeigen ist. Konkret standardisiert die Standardisierungseinheit 56 ein Ereignis, für das ermittelt wurde, dass es dem zweiten Analyseelement 30-2 anzuzeigen ist, durch Umwandeln des Datenformats des Ereignisses in ein Datenformat für das zweite Analyseelement 30-2. Die Standardisierungseinheit 56 kann das Datenformat eines Ereignisses, das in dem zugehörigen Steuersystem 20 aufgetreten ist, zum Beispiel auch in ein Standarddatenformat für die mehreren Steuersysteme 20 umwandeln, um das Ereignis zu standardisieren. Die Standardisierungseinheit 56 kann dadurch ein Ereignis, das dem zweiten Analyseelement 30-2 anzuzeigen ist, in ein Datenformat umwandeln, das durch das zweite Analyseelement 30-2 gelesen werden kann.
Die Verschleierungseinheit 58 verschleiert einen Teil Daten, die ein in dem zugehörigen Steuersystem 20 auftretendes Ereignis beschreiben, für das durch die Ermittlungseinheit 54 ermittelt wurde, dass es dem zweiten Analyseelement 30-2 anzuzeigen ist. Beispielsweise verschleiert die Verschleierungseinheit 58 einen Teil Daten, die ein Ereignis beschreiben, das anderen Analyseelementen 30 nicht offenbart werden sollte. Die Verschleierungseinheit 58 verschleiert zum Beispiel Daten, die eine Tatsache darstellen, die den Systemverwaltern der anderen Steuersysteme 20 zur Sicherstellung der Sicherheit nicht offenbart werden sollte (z. B. der Installationsort und die Leistungsfähigkeit eines Sensors).
Die Ereignis-Sendeeinheit 60 sendet ein Ereignis in dem zugehörigen Steuersystem 20, das durch die Standardisierungseinheit 56 standardisiert wurde und wobei ein Teil dessen Daten durch die Verschleierungseinheit 58 verschleiert wurde, an die Analysesteuereinheit 70 des zweiten Analyseelements 30-2. Die Analyseeinheit 50 des ersten Analyseelements 30-1 wandelt das Ereignis in eine Nachricht um und sendet diese an die Analysesteuereinheit 70 des zweiten Analyseelements 30-2 über das Netzwerk 40. Die Analyseeinheit 50 des zweiten Analyseelements 30-2 kann der Analysesteuereinheit 70 über oder ohne das Netzwerk 40 ein Ereignis anzeigen.
Die Ereignisempfangseinheit 72 der Analysesteuereinheit 70 empfängt von den Analyseelementen 30 gesendete Ereignisse. Konkret empfängt die Ereignisempfangseinheit 72 von der Analyseeinheit 50 des ersten Analyseelements 30-1 gesendete Ereignisse und von der Analyseeinheit 50 des zweiten Analyseelements 30-2 gesendete Ereignisse.
Die Korrelationserkennungseinheit 74 der Analysesteuereinheit 70 vergleicht von den Analyseelementen 30 gesendete Ereignisse miteinander, um zu ermitteln, ob die Ereignisse eine Korrelation aufweisen, die gleich ist wie oder größer ist als ein vorher festgelegter Korrelationswert. Die Korrelationserkennungseinheit 74 ermittelt zum Beispiel, dass eines der Analyseelemente 30 unregelmäßig ist, wenn von den Analyseelementen 30 gesendete Ereignisse eine Korrelation aufweisen, die gleich ist wie oder größer ist als ein vorher festgelegter Korrelationswert.
Die Unregelmäßigkeits-Sendeeinheit 76 der Analysesteuereinheit 70 zeigt der Analyseeinheit 50 von entsprechenden ersten Analyseelemente 30-1 und der Analyseeinheit 50 des zweiten Analyseelements 30-2 eine Unregelmäßigkeit an, wenn die Korrelationserkennungseinheit 74 feststellt, dass es eine Unregelmäßigkeit gibt. In diesem Fall stellt die Unregelmäßigkeits-Sendeeinheit 76 in Unregelmäßigkeitsinformationen Daten über einen verschleierten Teil bereit, die in einem Ereignis beinhaltet sind, das von einem Analyseelement 30 gesendet wurde, und für das ermittelt wurde, dass es eine Korrelation mit einem von einem anderen Analyseelement 30 gesendeten Ereignis aufweist und für die Analyseeinheit 50 der Analyseelemente 30 unregelmäßig ist.
Die Unregelmäßigkeitsempfangseinheit 62 empfängt die von der Analysesteuereinheit 70 des zweiten Analyseelements 30-2 gesendeten Unregelmäßigkeitsinformationen. Die Unregelmäßigkeitsempfangseinheit 62 überträgt die Unregelmäßigkeitsinformationen an die Verschleierungseinheit 58.
Die Verschleierungseinheit 58 löscht die Verschleierung des verschleierten Datenteils, der in den Unregelmäßigkeitsinformationen beinhaltet ist. Die Verschleierungseinheit 58 überträgt die Unregelmäßigkeitsinformationen und die unverschleierten Daten an die Überwachungseinheit 64.
Als Reaktion auf das Anzeigen von Unregelmäßigkeitsinformationen von der Analysesteuereinheit 70 des zweiten Analyseelements 30-2 erkennt die Überwachungseinheit 64 die Einzelheiten der von dem zweiten Analyseelement 30-2 angezeigten Unregelmäßigkeit. Wenn die Verschleierungseinheit 58 zum Beispiel ein Ereignis anzeigt, wobei der Installationsort eines Sensors verschleiert ist, erkennt die Überwachungseinheit 64 den Installationsort des Sensors aus den unverschleierten Daten. Dies ermöglicht es der Verschleierungseinheit 58, den Sensor zu finden, der ein Ereignis verursacht hat, das durch das zweite Analyseelement 30-2 als unregelmäßig festgelegt wurde. Die Überwachungseinheit 64 führt dann einen Handhabungsprozess aus, der im Falle einer Unregelmäßigkeit durchgeführt werden sollte.
3 zeigt einen Prozessablauf zwischen dem ersten Analyseelement 30-1 und dem zweiten Analyseelement 30-2 gemäß der vorliegenden Ausführungsform. 4 zeigt ein Beispiel von durch das erste Analyseelement 30-1 erfassten Ereignissen und ein Beispiel von durch das erste Analyseelement 30-1 gesendeten Ereignissen. 5 zeigt ein Beispiel einer zum Verschleiern von zusätzlichen Informationen verwendeten Tabelle.
Zunächst erfasst das erste Analyseelement 30-1 in Schritt S11 Ereignisse, die in bestimmten Zeitintervallen in dem zugehörigen Steuersystem 20 auftreten. In dem Beispiel aus 4 erfasst das erste Analyseelement 30-1 die Temperatur einer Einheit, die in dem Hinterhof eines durch das zugehörige Steuersystem 20 verwalteten Gebäudes installiert ist, alle zehn Minuten als Ereignisse.
Dann ermittelt das erste Analyseelement 30-1 in Schritt S12, ob jedes dieser regelmäßig erfassten Ereignisse dem zweiten Analyseelement 30-2 anzuzeigen ist. Als Beispiel stellt das erste Analyseelement 30-1 fest, dass das Ereignis dem zweiten Analyseelement 30-2 angezeigt werden sollte, wenn eine Änderung des Ereignisses größer ist als ein vorher festgelegter Änderungswert.
In dem Beispiel aus 4 stellt das erste Analyseelement 30-1 fest, dass eine Temperatur (ein Ereignis) dem zweiten Analyseelement 30-2 angezeigt werden sollte, wenn sich die Temperatur (ein Ereignis) der Einheit, die in dem Hinterhof eines durch das zugehörige Steuersystem 20 verwalteten Gebäudes installiert ist, in den letzten zehn Minuten um einen vorher festgelegten Wert oder mehr verändert hat. Wenn das erste Analyseelement 30-1 feststellt, dass das Ereignis anzuzeigen ist (S12: JA), fährt das erste Analyseelement 30-1 mit Schritt S13 fort.
In Schritt S13 standardisiert das erste Analyseelement 30-1 das Datenformat des betreffenden Ereignisses. Beispielsweise wandelt das erste Analyseelement 30-1 das Ereignis beschreibende Bestimmungsdaten und einen den Wert des Ereignisses angebenden Ereigniswert in ein Datenformat um, das von dem zweiten Analyseelement 30-2 gelesen werden kann (z. B. in ein in dem Datenverarbeitungssystem 10 allgemein gebräuchliches Datenformat).
In dem Beispiel aus 4 wandelt das erste Analyseelement 30-1 individuelle, als „Temperatur” dargestellte Bestimmungsdaten in allgemein gebräuchliche, als „Temperatursensor” dargestellte Bestimmungsdaten um. In dem Beispiel aus 4 wandelt das erste Analyseelement 30-1 auch eine in 12-Stunden-Format dargestellte „Zeit” (ein individueller Ereigniswert) in eine „Zeit” um, die in 24-Stunden-Format dargestellt wird (ein allgemein gebräuchlicher Wert). In dem Beispiel aus 4 wandelt das erste Analyseelement 30-1 auch eine in Fahrenheit dargestellte „Temperatur” (ein individueller Ereigniswert) in eine „Temperatur” um, die in Celsius dargestellt wird (ein allgemein gebräuchlicher Wert).
Dann verschleiert das erste Analyseelement 30-1 in Schritt S14 einen Teil Daten, die das anzuzeigende Ereignis beschreiben und die anderen Analyseelementen 30 nicht offenbart werden sollten (z. B. die Sicherheit betreffende Daten, konkrete Orte der Ereignismessung zeigende Daten). Als Beispiel verschleiert das erste Analyseelement 30-1 Sensorpositionsdaten, die zusätzliche Informationen über das Ereignis darstellen. In dem Beispiel aus 4 verschleiert das erste Analyseelement 30-1 als „Hinterhof #1” dargestellte Sensorpositionsdaten als Zufallscode „39485”.
Das erste Analyseelement 30-1 speichert auch eine Umwandlungstabelle, die zum Beispiel den Zusammenhang zwischen unverschleierten Daten und verschleierten Daten zeigt und verschleiert Daten unter Bezugnahme auf die Umwandlungstabelle. In diesem Beispiel speichert das erste Analyseelement 30-1 eine Umwandlungstabelle zum Umwandeln von Sensorpositionsdaten, die Sensorpositionen darstellen (Hinterhof #1, Hinterhof #2, Haupttor #1, Haupttor #2) in entsprechende Zufallscodes (39485, 13456, 27321, 53884) wie zum Beispiel den in 5 gezeigten Code.
In Schritt S15 wählt das erste Analyseelement 30-1 zumindest ein zweites Analyseelement 30-2 aus den Analyseelementen 30 als Ziel des Sendens von Ereignissen aus. Wenn es zum Beispiel zwei oder mehrere Analyseelemente 30 gibt, die in der Lage sind, Ereignisse von mehreren Analyseelementen 30 zu empfangen und zu ermitteln, ob eine Unregelmäßigkeit aufgetreten ist, wählt das erste Analyseelement 30-1 aus diesen Einheiten ein, zwei oder mehrere Analyseelemente 30 als zweite(s) Analyseelement(e) 30-2 aus.
Das erste Analyseelement 30-1 kann die als zweites Analyseelement 30-2 aus den Analyseelementen 30 ausgewählte Einheit dynamisch ändern. Das erste Analyseelement 30-1 legt das zweite Analyseelement 30-2 zum Beispiel für jeden bestimmten Zeitraum fest (z. B. einen Tag, eine Woche).
In diesem Fall kann das erste Analyseelement 30-1 beim Auswählen des zweiten Analyseelements 30-2 aus den Analyseelementen 30 einem Analyseelement 30 mit einer kurzen Antwortzeit eine höhere Priorität zuweisen. Dadurch kann das erste Analyseelement 30-1 eine Anzeige einer Unregelmäßigkeit schneller empfangen. Das erste Analyseelement 30-1 kann auch ein neues zweites Analyseelement 30-2 auswählen, nachdem das Anzeigen von Ereignissen an dasselbe zweite Analyseelement 30-2 für einen bestimmten Zeitraum oder länger angedauert hat. Das erste Analyseelement 30-1 kann dadurch verhindern, dass ein Analyseelement unveränderlich zum zweiten Analyseelement 30-2 wird.
Dann wird das Ereignis, das in Schritt S13 standardisiert und in Schritt S14 verschleiert wurde, in Schritt S16 dem in Schritt S15 ausgewählten, zweiten Analyseelement 30-2 angezeigt. In Schritt S17 empfängt das zweite Analyseelement 30-2 das Ereignis von dem ersten Analyseelement 30-1.
In Schritt S18 erkennt das zweite Analyseelement 30-2 eine Korrelation zwischen von mehreren Analyseelementen 30 angezeigten Ereignissen und ermittelt, ob eines der Steuersysteme 20 eine Unregelmäßigkeit aufweist. Konkret stellt das zweite Analyseelement 30-2 fest, dass es eine Unregelmäßigkeit gibt, wenn ein von dem ersten Analyseelement 30-1 angezeigtes Ereignis eine Korrelation mit einem von einem anderen Analyseelement 30 als dem ersten Analyseelement 30-1 angezeigten Ereignis aufweist. Beispielsweise stellt das zweite Analyseelement 30-2 fest, dass es eine Unregelmäßigkeit gibt, wenn es eine Korrelation gibt, die gleich ist wie oder größer ist als ein vorher festgelegter Korrelationswert zwischen einer durch das erste Analyseelement 30-1 angezeigten Änderung von Ereignissen und einer durch ein anderes Analyseelement 30 als das erste Analyseelement 30-1 angezeigten Änderung von Ereignissen.
Die Korrelationserkennungseinheit 74 stellt zum Beispiel fest, dass es eine Unregelmäßigkeit gibt, wenn sich Temperaturen von mehreren entsprechend in den Steuersystemen 20 bereitgestellten Temperatursensoren mit einer gemeinsamen Korrelation geändert haben. In dem Beispiel aus 4 treten Änderungen in einem Steuersystem 20 auf, die beinhalten, dass die durch einen Temperatursensor erkannte Temperatur zwischen 20:20 und 20:30 steigt, und die durch den Temperatursensor erkannte Temperatur zwischen 20:30 und 20:40 abfällt. In einem derartigen Fall stellt das zweite Analyseelement 30-2 eine Unregelmäßigkeit fest, wenn ein in den Steuersystemen 20 bereitgestellter Temperatursensor eine Änderung der Temperatur zeigt, die gleichartig wie die in 4 gezeigten ist.
Wenn das zweite Analyseelement 30-2 in Schritt S18 feststellt, dass es eine Unregelmäßigkeit gibt, zeigt das zweite Analyseelement 30-2 in Schritt S19 dem ersten Analyseelement 30-1 die Unregelmäßigkeit an. In diesem Fall stellt das zweite Analyseelement 30-2 der Analyseeinheit 50 in Unregelmäßigkeitsinformationen Daten über einen verschleierten Teil bereit, die in dem Ereignis beinhaltet sind, das von dem ersten Analyseelement 30-1 gesendet wurde, und für das ermittelt wurde, dass es mit einem von einem anderen Analyseelement 30 gesendeten Ereignis korreliert und unregelmäßig ist.
In Schritt 520 empfängt dann das erste Analyseelement 30-1 die von dem zweiten Analyseelement 30-2 gesendeten Unregelmäßigkeitsinformationen. In Schritt S21 erkennt das erste Analyseelement 30-1 die Einzelheiten über die Unregelmäßigkeit des zugehörigen Steuersystems 20 aus den von dem zweiten Analyseelement 30-2 gesendeten Unregelmäßigkeitsinformationen.
Das erste Analyseelement 30-1 wandelt den verschleierten Datenteil in den Unregelmäßigkeitsinformationen von dem zweiten Analyseelement 30-2 unter Bezugnahme auf die Umwandlungstabelle zurück in unverschleierte Daten um. Das erste Analyseelement 30-1 erkennt dann die in dem zugehörigen Steuersystem aufgetretene Unregelmäßigkeit aus dem jetzt unverschleierten Ereignis. Das erste Analyseelement 30-1 findet zum Beispiel unter Bezugnahme auf eine derartige, wie in 5 gezeigte Umwandlungstabelle heraus, dass die Unregelmäßigkeit in dem Sensor in dem Hinterhof des Gebäudes aufgetreten ist.
In Schritt S22 ändert das erste Analyseelement 30-1 eine Betriebsart zum Steuern des zugehörigen Steuersystems 20 in eine Alarmbetriebsart. Das erste Analyseelement 30-1 meldet die Unregelmäßigkeit dem Systemverwalter des zugehörigen Steuersystems 20. Das erste Analyseelement 30-1 erhöht auch die Häufigkeit des Überwachens des zugehörigen Steuersystems 20 zum Beispiel durch Erhöhen der Häufigkeit der Ereigniserfassung. Das erste Analyseelement 30-1 kann auch die unregelmäßige Einheit deaktivieren und/oder deren Stromversorgung abschalten.
Wie oben beschrieben, kann mit dem Datenverarbeitungssystem 10 gemäß der vorliegenden Ausführungsform eine Unregelmäßigkeit aus dem Auftreten von Vorfällen oder Ereignissen erkannt werden, die miteinander eine bestimmte Korrelation auf mehreren Analyseelementen 30 aufweisen, selbst wenn jeder/jedes einzelne der Vorfälle oder Ereignisse in einem einzelnen Steuersystem 20 selbst nicht als Unregelmäßigkeit erkannt wird. Folglich ermöglicht es das Datenverarbeitungssystem 10 mehreren Analyseelementen 30, zum Erkennen einer Unregelmäßigkeit mit höherer Genauigkeit und Empfindlichkeit zusammenzuarbeiten.
Das zweite Analyseelement 30-2 kann von dem ersten Analyseelement 30-1 ein verschleiertes Ereignis anfordern, wenn ein von dem ersten Analyseelement 30-1 angezeigtes Ereignis eine Korrelation mit einem von einem anderen Analyseelement 30 als dem ersten Analyseelement 30-1 angezeigten Ereignis aufweist. In diesem Fall zeigt das erste Analyseelement 30-1 als Reaktion auf die Anforderung über ein unverschleiertes Ereignis dem Analyseelement 30-2 ein Ereignis ohne Verschleierung.
Das zweite Analyseelement 30-2 empfängt dann das unverschleierte Ereignis von dem ersten Analyseelement 30-1 und ermittelt wiederum, ob es eine Korrelation zwischen dem unverschleierten Ereignis von dem ersten Analyseelement 30-1 und einem Ereignis von dem anderen Analyseelement 30 als dem ersten Analyseelement 30-1 gibt. Wenn die Ereignisse eine Korrelation aufweisen, stellt das zweite Analyseelement 30-2 fest, dass es eine Unregelmäßigkeit gibt. Das zweite Analyseelement 30-2 kann somit das Auftreten einer Unregelmäßigkeit genauer ermitteln.
6 zeigt eine beispielhafte Hardware-Konfiguration eines Computers 1900 gemäß der vorliegenden Ausführungsform. Der Computer 1900 gemäß der vorliegenden Ausführungsform beinhaltet einen CPU-Peripherieteil mit einer CPU 2000, einem RAM 2020, einer Grafiksteuereinheit 2075 und einer Anzeigeeinheit 2080, die durch eine Host-Steuereinheit 2082 miteinander verbunden sind, einen Eingabe/Ausgabe-Teil mit einer Datenübertragungsschnittstelle 2030, einem Festplattenlaufwerk 2040 und einem CD-ROM-Laufwerk 2060, die über eine Eingabe/Ausgabe-Steuereinheit 2084 mit der Host-Steuereinheit 2082 verbunden sind, und einen traditionellen Eingabe/Ausgabe-Teil mit einem ROM 2010, einem Diskettenlaufwerk 2050 und einem Eingabe/Ausgabe-Chip 2070, die mit der Eingabe/Ausgabe-Steuereinheit 2084 verbunden sind.
Die Host-Steuereinheit 2082 verbindet den RAM 2020 mit der CPU 2000 und der Grafiksteuereinheit 2075, die mit einer hohen Übertragungsgeschwindigkeit auf den RAM 2020 zugreifen. Die CPU 2000 arbeitet gemäß in dem ROM 2010 und dem RAM 2020 gespeicherten Programmen, um Komponenten zu steuern. Die Grafiksteuereinheit 2075 erfasst durch die CPU 2000 oder dergleichen in einem in dem RAM 2020 bereitgestellten Bildspeicher erzeugte Bilddaten und lässt sie auf der Anzeigeeinheit 2080 anzeigen. Alternativ kann die Grafiksteuereinheit 2075 intern einen Bildspeicher zum Speichern von durch die CPU 2000 oder dergleichen erzeugten Bilddaten beinhalten.
Die Eingabe/Ausgabe-Steuereinheit 2084 verbindet die Host-Steuereinheit 2082 mit der Datenübertragungsschnittstelle 2030, dem Festplattenlaufwerk 2040 und einem CD-ROM-Laufwerk 2060, bei denen es sich um relativ schnelle Eingabe/Ausgabe-Einheiten handelt. Die Datenübertragungsschnittstelle 2030 tauscht mit anderen Einheiten über ein Netzwerk Daten aus. Das Festplattenlaufwerk 2040 speichert Programme und Daten, die durch die CPU 2000 des Computers 1900 verwendet werden. Das CD-ROM-Laufwerk 2060 liest ein Programm oder Daten von der CD-ROM 2095 und stellt diese über den RAM 2020 dem Festplattenlaufwerk 2040 bereit.
Die Eingabe/Ausgabe-Steuereinheit 2084 ist mit dem ROM 2010 und auch mit dem Diskettenlaufwerk 2050 und dem Eingabe/Ausgabe-Chip 2070 verbunden, bei denen es sich um relativ langsame Eingabe/Ausgabe-Einheiten handelt. Der ROM 2010 speichert ein beim Hochfahren des Computers 1900 ausgeführtes Urladeprogramm und/oder Programme, die von der Hardware des Computers 1900 abhängen. Das Disketten-Laufwerk 2050 liest ein Programm oder Daten von der Diskette 2090 und stellt diese über den RAM 2020 dem Festplattenlaufwerk 2040 bereit. Der Eingabe/Ausgabe-Chip 2070 verbindet das Diskettenlaufwerk 2050 mit der Eingabe/Ausgabe-Steuereinheit 2084 und verbindet auch verschiedene Eingabe/Ausgabe-Einheiten mit der Eingabe/Ausgabe-Steuereinheit 2084 zum Beispiel über einen parallelen Anschluss, einen seriellen Anschluss, einen Tastaturanschluss oder einen Mausanschluss.
Über den RAM 2020 dem Festplattenlaufwerk 2040 bereitgestellte Programme werden gespeichert auf einem Aufzeichnungsmedium wie zum Beispiel einer Diskette 2090, einer CD-ROM 2095 oder einer IC-Karte durch den Benutzer bereitgestellt. Die Programme werden von dem Aufzeichnungsmedium gelesen und auf dem Festplattenlaufwerk 2040 in dem Computer 1900 über den RAM 2020 installiert und in der CPU 2000 ausgeführt.
Programme, die auf dem Computer 1900 installiert sind und den Computer 1900 dazu veranlassen, als Analyseeinheit 50 zu fungieren, beinhalten ein Erfassungsmodul, ein Ermittlungsmodul, ein Standardisierungsmodul, ein Verschleierungsmodul, ein Ereignis-Sendemodul, ein Unregelmäßigkeitsempfangsmodul und ein Überwachungsmodul. Diese Programme oder Module arbeiten mit der CPU 2000 und dergleichen, um den Computer 1900 dazu zu veranlassen, als Erfassungseinheit 52, Ermittlungseinheit 54, Standardisierungseinheit 56, Verschleierungseinheit 58, Ereignis-Sendeeinheit 60, Unregelmäßigkeitsempfangseinheit 62 und Überwachungseinheit 64 zu fungieren.
Eine in den Programmen beschriebene Datenverarbeitung wird in den Computer 1900 eingelesen, um als Erfassungseinheit 52, Ermittlungseinheit 54, Standardisierungseinheit 56, Verschleierungseinheit 58, Ereignis-Sendeeinheit 60, Unregelmäßigkeitsempfangseinheit 62 und Überwachungseinheit 64 zu fungieren, wobei es sich um spezifische Mittel handelt, die durch die Zusammenarbeit von Software und den verschiedenen oben beschriebenen Hardware-Ressourcen realisiert werden. Diese spezifischen Mittel setzen dann die Operation oder die Änderung von Informationen gemäß einer Anwendung des Datenverarbeitungssystems 10 in der vorliegenden Ausführungsform um, so dass die Analyseeinheit 50 spezifisch für die Anwendung aufgebaut wird.
Programme, die auf dem Computer 1900 installiert sind und den Computer 1900 dazu veranlassen, als Analysesteuereinheit 70 zu fungieren, beinhalten ein Ereignisempfangsmodul, ein Korrelationserkennungsmodul und ein Unregelmäßigkeits-Sendemodul. Diese Programme oder Module arbeiten mit der CPU 2000 und dergleichen, um den Computer 1900 dazu zu veranlassen, als Ereignisempfangseinheit 72, Korrelationserkennungseinheit 74 und Unregelmäßigkeits-Sendeeinheit 76 zu fungieren.
Eine in den Programmen beschriebene Datenverarbeitung wird in den Computer 1900 eingelesen, um als Ereignisempfangseinheit 72, Korrelationserkennungseinheit 74 und Unregelmäßigkeits-Sendeeinheit 76 zu fungieren, wobei es sich um spezifische Mittel handelt, die durch die Zusammenarbeit von Software und den verschiedenen oben beschriebenen Hardware-Ressourcen realisiert werden. Diese spezifischen Mittel setzen dann die Operation oder die Änderung von Informationen gemäß der Anwendung des Datenverarbeitungssystems 10 in der vorliegenden Ausführungsform um, so dass die Analysesteuereinheit 70 spezifisch für die Anwendung aufgebaut wird.
Wenn zum Beispiel eine Datenübertragung zwischen dem Computer 1900 und einer externen Einheit oder dergleichen durchgeführt wird, führt die CPU 2000 ein in den RAM 2020 geladenes Datenübertragungsprogramm aus und weist die Datenübertragungsschnittstelle 2030 bezüglich des Verarbeitens der Datenübertragung gemäß dem in dem Datenübertragungsprogramm beschriebenen Verarbeiten an. Die Datenübertragungsschnittstelle 2030 liest Daten zum Senden, die in einem Sendepufferbereich gespeichert sind, der in einer Speichereinheit wie zum Beispiel dem RAM 2020, dem Festplattenlaufwerk 2040, der Diskette 2090 oder der CD-ROM 2095 bereitgestellt wird, und sendet die Daten unter Steuerung durch die CPU 2000 an ein Netzwerk oder schreibt von dem Netzwerk empfangene Daten in einen Empfangspufferbereich, der in der Speichereinheit bereitgestellt wird. Somit kann die Datenübertragungsschnittstelle 2030 gesendete/empfangene Daten durch Direktspeicherzugriff (DMA, direct memory access) an die Speichereinheit übertragen, oder die CPU 2000 kann alternativ Daten von einem Quellspeicher oder der Datenübertragungsschnittstelle 2030 lesen und die Daten in eine Ziel-Datenübertragungsschnittstelle 2030 oder Speichereinheit schreiben, wodurch gesendete/empfangene Daten übertragen werden.
Die CPU 2000 liest auch alle oder lediglich benötigte Daten aus einer Datei oder Datenbank, die in einer externen Speichereinheit wie zum Beispiel dem Festplattenlaufwerk 2040, dem CD-ROM-Laufwerk 2060 (CD-ROM 2095), dem Diskettenlaufwerk 2050 (Diskette 2090) gespeichert sind, in den RAM 2020 durch DMA-Übertragung oder dergleichen und führt verschiedene Verarbeitungen mit den Daten in dem RAM 2020 durch. Die CPU 2000 schreibt dann verarbeitete Daten zurück in die externe Speichereinheit durch DMA-Übertragung oder dergleichen. Da der RAM 2020 als die Inhalte der externen Speichereinheit während eines solchen Prozesses vorübergehend speichernd angesehen werden kann, bezeichnet die vorliegende Ausführungsform den RAM 2020 und die externe Speichereinheit oder dergleichen als Arbeitsspeicher, Massenspeicher oder Speichereinheit. Verschiedene Programme und Informationen wie zum Beispiel Daten, Tabellen und Datenbanken werden in der vorliegenden Ausführungsform in der Speichereinheit gespeichert und einer Datenverarbeitung unterzogen. Die CPU 2000 kann auch einen Teil Daten aus dem RAM 2020 in Cachespeicher speichern und Datenlese- und -schreibvorgänge in dem Cachespeicher durchführen. Da der Cachespeicher auch in einer derartigen Anordnung verantwortlich für einige der Funktionen des RAM 2020 ist, geht die vorliegende Ausführungsform davon aus, dass der Cachespeicher auch in dem RAM 2020, dem Arbeitsspeicher und/oder einer Speichereinheit beinhaltet ist, soweit nicht konkret unterschieden wird.
Die CPU 2000 führt bei Datenlesevorgängen aus dem RAM 2020 auch verschiedene Arten von Verarbeitung durch, darunter die in der Ausführungsform beschriebenen verschiedenen Rechenvorgänge, Änderungen von Informationen, bedingten Feststellungen, Informationsabrufe und Ersetzungen, die durch Befehlszeilen in Programmen festgelegt werden, und schreibt die Daten zurück in den RAM 2020. Beim Durchführen einer bedingten Feststellung ermittelt die CPU 2000 zum Beispiel, ob irgendeine der in der Ausführungsform gezeigten Variablen eine bestimmte Bedingung erfüllt, zum Beispiel größer, kleiner, gleich oder größer als, gleich wie oder kleiner als oder gleich wie eine andere Variable oder eine Konstante zu sein, und verzweigt zu einer anderen Befehlszeile oder ruft eine Subroutine auf, wenn die Bedingung erfüllt wird (oder nicht erfüllt wird).
Die CPU 2000 kann auch nach in einer Datei oder einer Datenbank innerhalb einer Speichereinheit gespeicherten Informationen suchen. Wenn mehrere Einträge zum Beispiel in einer Speichereinheit gespeichert sind und der Attributwert eines ersten Attributes in jedem der Einträge einem Attributwert eines zweiten Attributs zugehörig ist, sucht die CPU 2000 nach einem Eintrag, wobei der Attributwert des ersten Attributs eine festgelegte Bedingung aus den Einträgen in der Speichereinheit erfüllt, und liest den in diesem Eintrag gespeicherten Attributwert des zweiten Attributs, wodurch der Attributwert des zweiten Attributs erhalten wird, der dem ersten Attribut zugehörig ist, das die Bedingung erfüllt.
Die Programme oder Module können in einem externen Aufzeichnungsmedium gespeichert sein, bei dem es sich um die Diskette 2090, die CD-ROM 2095 oder ein optisches Aufzeichnungsmedium wie zum Beispiel eine DVD und CD, ein magnetooptisches Aufzeichnungsmedium wie ein MO, ein Bandmedium oder einen Halbleiterspeicher wie eine IC-Karte handeln kann. Alternativ kann eine Speichereinheit wie zum Beispiel eine Festplatte oder ein RAM als Aufzeichnungsmedium verwendet werden, die in einem mit einem zweckbestimmten Datenübertragungsnetzwerk verbundenen Server bereitgestellt werden können, und die Programme können dem Computer 1900 über das Netzwerk bereitgestellt werden.
Obwohl die vorliegende Erfindung unter Bezugnahme auf ihre Ausführungsform beschrieben wurde, soll der technische Umfang der Erfindung nicht auf den in der Ausführungsform dargelegten Umfang beschränkt sein. Für einen Fachmann wird es offensichtlich sein, dass verschiedene Abänderungen oder Verbesserungen an der Ausführungsform vorgenommen werden können. Aus Beschreibungen in Ansprüchen ist ersichtlich, dass Ausführungsformen mit derartigen Abänderungen oder Verbesserungen innerhalb des technischen Umfangs der Erfindung eingeschlossen sein können.
Es sei angemerkt, dass die Reihenfolge des Ausführens von Prozessen wie zum Beispiel Aktionen, Verfahren, Schritten und Phasen in den Einheiten, dem System, den Programmen und dem Verfahren, die in den Ansprüchen, der Beschreibung und den Zeichnungen dargelegt werden, in einer beliebigen Reihenfolge durchgeführt werden kann, soweit nicht konkret durch „bevor”, „vor” oder dergleichen angegeben, und soweit eine Ausgabe von einem vorangehenden Prozess nicht in dem nachfolgenden Prozess verwendet wird. „Zunächst”, „dann” oder dergleichen bedeuten nicht, dass das Ausführen in der beschriebenen Reihenfolge unbedingt notwendig ist, selbst wenn diese Begriffe in Zusammenhang mit einem in den Ansprüchen, der Beschreibung und den Zeichnungen der Bequemlichkeit halber verwendet werden.
Bezugszeichenliste

10: Datenverarbeitungssystem
20: Steuersystem
30: Analyseelement
40: Netzwerk
50: Analyseeinheit
52: Erfassungseinheit
54: Ermittlungseinheit
56: Standardisierungseinheit
58: Verschleierungseinheit
60: Ereignis-Sendeeinheit
62: Unregelmäßigkeitsempfangseinheit
64: Überwachungseinheit
70: Analysesteuereinheit
72: Ereignisempfangseinheit
74: Korrelationserkennungseinheit
76: Unregelmäßigkeits-Sendeeinheit
1900: Computer
2000: CPU
2010: ROM
2020: RAM
2030: Datenübertragungsschnittstelle
2040: Festplattenlaufwerk
2050: Diskettenlaufwerk
2060: CD-ROM-Laufwerk
2070: Eingabe/Ausgabe-Chip
2075: Grafik-Steuereinheit
2080: Anzeigeeinheit
2082: Host-Steuereinheit
2084: Eingabe/Ausgabe-Steuereinheit
2090: Diskette
2095: CD-ROM

Claims

Unregelmäßigkeitserkennungssystem zum Erkennen einer Unregelmäßigkeit in einer Vielzahl von Steuersystemen, das Unregelmäßigkeitserkennungssystem aufweisend: eine Vielzahl von Analyseelementen, die den entsprechenden Steuersystemen zugehörig sind und ein in einem zugehörigen Steuersystem auftretendes Ereignis erfassen und das Ereignis analysieren, um zu ermitteln, ob es eine Unregelmäßigkeit gibt, wobei ein erstes Analyseelement aus der Vielzahl von Analyseelementen ermittelt, ob ein in dem zugehörigen Steuersystem auftretendes Ereignis einem zweiten Analyseelement aus der Vielzahl von Analyseelementen anzuzeigen ist; und das zweite Analyseelement unter der Bedingung, dass das von dem ersten Analyseelement angezeigte Ereignis eine Korrelation mit einem von einem anderen Analyseelement als dem ersten Analyseelement angezeigten Ereignis aufweist, feststellt, dass es eine Unregelmäßigkeit gibt.
Unregelmäßigkeitserkennungssystem nach Anspruch 1, wobei jedes aus der Vielzahl von Analyseelementen eine Standardisierungseinheit aufweist, die ein Datenformat für ein in dem zugehörigen Steuersystem auftretendes Ereignis in ein Datenformat für das zweite Analyseelement umwandelt, wodurch das Ereignis standardisiert wird.
Unregelmäßigkeitserkennungssystem nach Anspruch 2, wobei die Standardisierungseinheit des ersten Analyseelements das Datenformat für ein in dem zugehörigen Steuersystem auftretendes Ereignis in ein Standard-Datenformat für die Vielzahl von Analyseelementen umwandelt, wodurch das Ereignis standardisiert wird.
Unregelmäßigkeitserkennungssystem nach einem der Ansprüche 1 bis 3, wobei jedes aus der Vielzahl von Analyseelementen eine Verschleierungseinheit aufweist, die einen Teil ein in dem zugehörigen Steuersystem auftretendes Ereignis beschreibende Daten verschleiert.
Unregelmäßigkeitserkennungssystem nach Anspruch 4, wobei die Verschleierungseinheit des ersten Analyseelements eine Umwandlungstabelle speichert, die den Zusammenhang zwischen unverschleierten Daten und verschleierten Daten zeigt; das zweite Analyseelement dem ersten Analyseelement Unregelmäßigkeitsinformationen bereitstellt, die in einem von dem ersten Analyseelement empfangenen verschleierten Ereignis beinhaltete verschleierte Daten beinhalten, wenn das zweite Analyseelement feststellt, dass es eine Unregelmäßigkeit gibt; und die Verschleierungseinheit des ersten Analyseelements die in den durch das zweite Analyseelement bereitgestellten Unregelmäßigkeitsinformationen unter Bezugnahme auf die Umwandlungstabelle in unverschleierte Daten umwandelt und die in dem zugehörigen Steuersystem aufgetretene Unregelmäßigkeit erkennt.
Unregelmäßigkeitserkennungssystem nach Anspruch 4 oder 5, wobei das zweite Analyseelement das erste Analyseelement zum Anzeigen eines unverschleierten Ereignisses auffordert, wenn ein durch das erste Analyseelement angezeigte Ereignis eine Korrelation mit einem durch ein anderes Analyseelement als das erste Analyseelement angezeigten Ereignis aufweist, ein unverschleiertes Ereignis von dem ersten Analyseelement empfängt und unter der Bedingung, dass das durch das erste Analyseelement angezeigte unverschleierte Ereignis eine Korrelation mit dem durch ein anderes Analyseelement als das erste Analyseelement angezeigten Ereignis aufweist, feststellt, dass es eine Unregelmäßigkeit gibt.
Unregelmäßigkeitserkennungssystem nach einem der Ansprüche 1 bis 6, wobei das zweite Analyseelement zumindest einigen aus der Vielzahl von Analyseelementen eine Unregelmäßigkeit anzeigt, und zumindest einige aus der Vielzahl von Analyseelementen, denen die Unregelmäßigkeit angezeigt wurde, eine Häufigkeit des Überwachens des zugehörigen Steuersystems erhöhen.
Unregelmäßigkeitserkennungssystem nach einem der Ansprüche 1 bis 7, wobei das erste Analyseelement ein aus der Vielzahl von Analyseelementen als zweites Analyseelement ausgewähltes Analyseelement dynamisch ändert.
Unregelmäßigkeitserkennungssystem nach Anspruch 8, wobei das erste Analyseelement ein neues zweites Analyseelement auswählt, nachdem das Anzeigen von Ereignissen an ein gleiches zweites Analyseelement für einen bestimmten Zeitraum oder länger angedauert hat.
Unregelmäßigkeitserkennungssystem nach Anspruch 8 oder 9, wobei das erste Analyseelement beim Auswählen des zweiten Analyseelements aus der Vielzahl von Analyseelementen einem Analyseelement mit einer kurzen Antwortzeit eine höhere Priorität zuweist.
Unregelmäßigkeitserkennungssystem nach einem der Ansprüche 1 bis 10, wobei das erste Analyseelement zumindest eine Analyseeinheit aufweist, die in dem zugehörigen Steuersystem auftretende Ereignisse erfasst und die Ereignisse analysiert, um zu ermitteln, ob das Steuersystem eine Unregelmäßigkeit aufweist, das zweite Analyseelement zumindest eine Analysesteuereinheit aufweist, die ermittelt, ob irgendeins aus der Vielzahl von Steuersystemen eine Unregelmäßigkeit aufweist, die Analyseeinheit des ersten Analyseelements ein in dem zugehörigen Steuersystem auftretendes Ereignis erfasst und ermittelt, ob das Ereignis dem zweiten Analyseelement anzuzeigen ist, und das Ereignis an die Analysesteuereinheit des zweiten Analyseelements überträgt, wenn die Analyseeinheit feststellt, dass das Ereignis dem zweiten Analyseelement anzuzeigen ist, die Analysesteuereinheit des zweiten Analyseelements eine Korrelation zwischen Ereignissen von einer Vielzahl von ersten Analyseelementen erkennt und unter der Bedingung, dass die Ereignisse eine Korrelation aufweisen, feststellt, dass es eine Unregelmäßigkeit gibt, und die Unregelmäßigkeit der Analyseeinheit des ersten Analyseelements anzeigt, wenn die Analysesteuereinheit feststellt, dass es eine Unregelmäßigkeit gibt, und die Analyseeinheit des ersten Analyseelements die durch das zweite Analyseelement angezeigte Unregelmäßigkeit dem Systemverwalter des zugehörigen Steuersystems meldet.
Unregelmäßigkeitserkennungssystem nach einem der Ansprüche 1 bis 11, wobei das zweite Analyseelement dem ersten Analyseelement eine Unregelmäßigkeit anzeigt, wenn das zweite Analyseelement feststellt, dass es eine Unregelmäßigkeit gibt, und das erste Analyseelement dem Systemverwalter des zugehörigen Steuersystems die durch das zweite Analyseelement angezeigte Unregelmäßigkeit meldet.
Unregelmäßigkeitserkennungssystem nach einem der Ansprüche 1 bis 12, wobei das zweite Analyseelement unter der Bedingung, dass eine Änderung von von dem ersten Analyseelement angezeigten Ereignissen eine Korrelation mit einer Änderung von von einem anderen Analyseelement als dem ersten Analyseelement angezeigten Ereignissen aufweist, feststellt, dass es eine Unregelmäßigkeit gibt.
Vorrichtung, die so konfiguriert ist, dass sie als Analyseeinheit des Unregelmäßigkeitserkennungssystems nach Anspruch 11 fungiert.
Vorrichtung, die so konfiguriert ist, dass sie als Analysesteuereinheit des Unregelmäßigkeitserkennungssystems nach Anspruch 11 fungiert.
Programm zum Veranlassen eines Computers, dass dieser als Vorrichtung nach Anspruch 14 fungiert.
Programm zum Veranlassen eines Computers, dass dieser als Vorrichtung nach Anspruch 15 fungiert.
Unregelmäßigkeitserkennungsverfahren zum Erkennen einer Unregelmäßigkeit in einer Vielzahl von Steuersystemen, wobei eine Vielzahl von Analyseelementen bereitgestellt wird, die den entsprechenden Steuersystemen zugehörig sind und ein in einem zugehörigen Steuersystem auftretendes Ereignis erfassen und das Ereignis analysieren, um zu ermitteln, ob es eine Unregelmäßigkeit gibt, das Verfahren aufweisend: Ermitteln durch ein erstes Analyseelement aus der Vielzahl von Analyseelementen, ob ein in dem zugehörigen Steuersystem auftretendes Ereignis einem zweiten Analyseelement aus der Vielzahl von Analyseelementen anzuzeigen ist; und Feststellen durch das zweite Analyseelement, dass es eine Unregelmäßigkeit gibt, unter der Bedingung, dass das von dem ersten Analyseelement angezeigte Ereignis eine Korrelation mit einem von einem anderen Analyseelement als dem ersten Analyseelement angezeigten Ereignis aufweist.