JP2017098870A - ログ収集システム - Google Patents

Abstract

【課題】通信ログを取得するログ収集装置の効率的な配置のための情報を表示するログ収集システムを提供する。【解決手段】ログ収集システム１０００は、ネットワークに接続された複数の制御装置１０iと、ネットワークに接続され、複数の制御装置に係る通信ログを収集するログ収集装置２０jと、ログ収集装置から通信ログを受信する通信ログ取得部３０１を有するログ集約装置３０と、を有し、ログ集約装置は、複数の制御装置のネットワークに対するインタフェースの数に応じた数のネットワークアドレスが登録された制御装置リストが保存される制御装置リスト記憶部３０７と、制御装置リスト及び通信ログに基づいて、インタフェースにおける送受信の通信ログが取得されているかどうかを算出し表示するログ取得状況算出表示部３０２と、を備える。【選択図】図１

Description

本発明は、ログ収集システムに関し、例えば、互いに通信を行う制御装置からなる制御システムに適用して好適なものである。

電力、鉄道、水道、ガスといった社会インフラや自動車で利用される、複数の制御装置からなる制御システムにおいては、例えば、センサの情報をもとにバルブやアクチュエータといった装置を動作させ、あらかじめ設定されている圧力や温度に保ったり、変化させたりすることが要求される。この動作を実現するためには、制御装置内の組込み処理装置において、定期的にセンサからの情報を取得し、状態を確認し、他の制御装置やサーバ等に通知し、必要に応じて制御を行うことが必要となる。このため、制御システムでは周期的に大量の通信が発生し、その通信データをもとに処理を行うことが通例である。

一方、制御システムはこれまで専用ＯＳ（Operating System）や専用プロトコルを利用しており、インターネット等の外部ネットワークからアクセスできない領域に孤立した状態で設置されているため、いわゆるコンピュータウィルスやＤｏＳ（Denial of Service）攻撃といったサイバー攻撃からは無縁であると考えられてきた。しかしながら、コスト削減のために汎用ＯＳや汎用プロトコルを利用するケースが増加しており、効率向上のために情報系システムとの接続も行われている。また、近年では、制御システムをターゲットとしたコンピュータウィルスが発見されており、制御システムにおいてもインターネット等に接続された情報システムと同様にマルウェア等の感染や外部からの不正アクセスを検知することが求められるようになっている。このような不正アクセスの検知には、まず制御システム内のネットワークにおいて通信ログを取得するログ収集装置を配置し、解析できるようにすることが必要となる。

特許文献１は、不正アクセスを検知し検知関連ログを保存する複数の検知装置、及び各検知装置の負荷状態に応じて検知関連ログを収集することについて開示している。

特開２００６−１７３７８１号公報

上述のような不正アクセスの検知のためのログ収集装置は、網羅的でかつ重複なく通信ログを取得できるように配置される必要があるが、社会インフラシステム等を構成する制御システムは大規模で、かつ構成が複雑であり、また、運用事業者によって、システム構成の変更や新たな業務フローが追加される場合があるため、必要な設置場所を見つけることは困難であった。

本発明は以上の点を考慮してなされたもので、通信ログを取得するログ収集装置の効率的な配置のための情報を表示するログ収集システム及びログ収集方法を提供しようとするものである。

かかる課題を解決するため本発明のログ収集システムは、ネットワークに接続された複数の制御装置と、前記ネットワークに接続され、前記複数の制御装置に係る通信ログを収集するログ収集装置と、前記ログ収集装置から前記通信ログを受信する通信ログ取得部を有するログ集約装置と、を有し、前記ログ集約装置は、前記複数の制御装置の前記ネットワークに対するインタフェースの数に応じた数のネットワークアドレスが登録された制御装置リストが保存される制御装置リスト記憶部と、前記制御装置リスト及び前記通信ログに基づいて、前記インタフェースにおける送受信の前記通信ログが取得されているかどうかを算出し表示するログ取得状況算出表示部と、を備えることを特徴とするログ収集システムである。

本発明によれば、通信ログを取得するログ収集装置の効率的な配置のための情報を表示することができる。

本実施の形態によるログ収集システムについて概略的に示す図である。 制御装置のハードウェア構成の例を示す図である。 ログ収集装置のハードウェア構成の例を示す図である。 ログ集約装置のハードウェア構成を例示する図である。 複数の制御装置間で互いに制御コマンドを送受信する際に、通信ログを生成・集約する処理の例を示すシーケンス図である。 ログ収集ポリシの構成の例について示す図である。 ログ収集装置で生成される通信ログの構成の例を示す図である。 ログ集約装置に保存される通信ログ群の構成の例について示す図である。 ログ収集システムにおける、ログ取得状況を表示し、ログ収集ポリシを生成する処理の例を示すシーケンス図である。 ログ取得状況算出表示処理について示すフローチャートである。 制御装置リストの構成について例を示す図である。 ログ取得状況画面の例について示す図である。 ログ収集ポリシ生成処理について示すフローチャートである。 収集データ量リストの構成の例について示す図である。 変形例に係るログ収集システムについて概略的に示す図である。 ログ取得状況を表示し、ログ収集装置配置設計を表示し、ログ収集装置の配置変更の後、ログ収集ポリシを変更する処理の例について示すシーケンス図である。 不要ログ収集装置算出処理について示すフローチャートである。 ログ収集装置配置リストの構成の例について示す図である。 追加ログ収集装置算出処理について示すフローチャートである。 通信フローリストの構成の例について示す図である。 装置配置設計表示処理について示すフローチャートである。 装置配置設計画面の例について示す図である。 ログ収集ポリシ生成処理について示すフローチャートである。

以下図面について、本発明の一実施の形態を詳述する。以下の説明において、同様の要素には同一の符号を付し、重複する説明を省略する。

（１） 本実施の形態によるログ収集システムの構成
図１は、本実施の形態によるログ収集システム１０００について概略的に示す図である。ログ収集システム１０００は、図１に例示するように、制御装置１０₁〜１０_mと、ログ収集装置２０₁〜２０_nと、ログ集約装置３０と、業務ネットワーク４０と、収集ネットワーク５０と、から構成されている。ここで、ｍ及びｎはそれぞれ自然数であり、以降、制御装置１０₁〜１０_mの各々については制御装置１０_iで参照する。ここでｉは１〜ｍのいずれであってもよい。また、ログ収集装置２０₁〜２０_nの各々についてはログ収集装置２０_jで参照する。ここでｊは１〜ｎのいずれであってもよく、また以降の説明において符号に付された下付文字ｊはログ収集装置２０_jの構成要素の一例であることを意味する。また、図１では、業務ネットワーク４０及び収集ネットワーク５０を別のネットワークとしているが、同じネットワークであってもよい。制御装置１０_iは、制御処理を行うと共に、業務ネットワーク４０やログ収集装置２０_j等と通信を行う。なお、図１においては、以降の説明を分かりやすくするため、制御装置１０₂〜１０_m-1及びログ収集装置２０₂〜２０_n-1の記載を省略している。

ログ収集装置２０_jは、いずれかの制御装置１０_iと通信を行う第一通信部２０４_jと、
通信ログの収集時に利用する収集ネットワーク５０を利用して通信を行う第二通信部２０７_jと、通常業務時に利用する業務ネットワーク４０を利用して通信を行う第三通信部２０８_jと、第一通信部２０４_jで受信される通信パケットを第三通信部２０８_jから送信し、また第三通信部２０８_jで受信される通信パケットを第一通信部２０４_jから送信するパケット転送部２０１_jと、ログ収集装置２０_jを通過する通信パケットのうち、通信ログを生成するかどうかの規則であるログ収集ポリシが保存されるログ収集ポリシ記憶部２０５_jと、ログ集約装置３０からログ収集ポリシを取得するログ収集ポリシ取得部２０２_jと、ログ収集ポリシに従って通信ログを生成する通信ログ生成部２０３_jと、生成した通信ログを保存する通信ログ記憶部２０６_jと、を有している。なお、ログ収集装置２０_jは、４つ以上の通信部を保有してもよいし、２つの通信部で業務ネットワーク４０は収集ネットワーク５０の機能を有することとしてもよい。

ログ集約装置３０は、ログ収集装置２０₁〜２０_nが生成した通信ログを取得する通信ログ取得部３０１と、収集ネットワーク５０と通信を行う通信部３０５と、各ログ収集装置２０_jから受信した通信ログを保存する通信ログ群記憶部３０６と、制御装置１０₁〜１０_mの業務ネットワーク４０に対するインタフェースの数に応じた数のネットワークアドレスが登録された制御装置リストが保存される制御装置リスト記憶部３０７と、制御装置リスト及び通信ログに基づいて、インタフェースで送受信される通信ログが取得されているかどうかを算出して表示するログ取得状況算出表示部３０２と、重複した通信ログを抽出する重複ログ抽出部３０３と、ログ収集装置２０₁〜２０_nの収集したデータ量が保存される収集データ量リスト記憶部３０８と、ログ収集装置２０₁〜２０_nのログ収集ポリシが保存される生成ログ収集ポリシ記憶部３０９と、重複した通信ログを送信したログ収集装置２０₁〜２０_nのうち、収集データ量リスト記憶部３０８において収集データ量が多いログ収集装置２０_jのログ収集ポリシを、重複した通信ログと同一の送受信情報を有する通信ログを生成しないように変更して生成ログ収集ポリシ記憶部３０９に保存すると共に、収集データ量が多いログ収集装置に変更されたログ収集ポリシを送信するログ収集ポリシ生成部３０４と、を有している。

図２は制御装置１０_iのハードウェア構成の例を示す図である。制御装置１０_iは、ログ収集装置２０_j又は業務ネットワーク４０と通信を行う通信装置１１と、マウス、キーボード及び表示装置等の入出力装置１２と、ハードディスク等からなる記憶装置１３と、ＣＰＵ（Central Processing Unit）１４と、ＲＡＭ（Random Access Memory）等からなるメモリ１５と、がバスなどの内部通信線１６で連結され、構成されている。

図３はログ収集装置２０_jのハードウェア構成の例を示す図である。ログ収集装置２０_jは、上述した第一通信部２０４_j、第二通信部２０７_j及び第三通信部２０８_jの機能を有するそれぞれのハードウェアと、ハードディスク等からなる記憶装置２２と、マウス、キーボード及び表示装置等の入出力装置２３と、ＣＰＵ（Central Processing Unit）２４と、ＲＡＭ（Random Access Memory）等からなるメモリ２５とが、バスなどの内部通信線２６で連結され、構成されている。なお、上述したように、ログ収集装置２０_jは、４つ以上の通信部を保有してもよいし、２つの通信部で業務ネットワーク４０は収集ネットワーク５０の機能を有することとしてもよい。

図４はログ集約装置３０のハードウェア構成を例示する図である。ログ集約装置３０は、上述の通信部３０５の機能を有するハードウェアと、マウス、キーボード及び表示装置等の入出力装置３２と、ハードディスク等からなる記憶装置３３と、ＣＰＵ（Central Processing Unit）３４と、ＲＡＭ（Random Access Memory）等からなるメモリ３５と、ＣＤ−ＲＯＭ等の記憶媒体３７を読み込む読取装置３６がバスなどの内部通信線３８で連結され、構成されている。

（２） 通信ログの集約処理
本実施の形態のログ収集システム１０００における通信ログの集約処理について説明する。以下に述べる処理フローは、制御装置１０_i、ログ収集装置２０_j及びログ集約装置３０のそれぞれにおいて、それぞれの記憶装置に保存されたプログラムがメモリにロードされ、ＣＰＵにより実行されることにより、ログ収集システムを構成する装置上に具現化される各処理部により実行されるものである。また、各プログラムは予め記憶装置等に保存されてもよいし、他の記憶媒体または通信媒体（ネットワークまたはネットワークを伝搬する搬送波）を介して、必要なときに導入されてもよい。

図５は、本実施の形態におけるログ収集システム１０００において、複数の制御装置１０_i間で互いに制御コマンドを送受信する際に、通信ログを生成・集約する処理の例を示すシーケンス図である。ここでは例示的に、制御装置１０₁及び制御装置１０_m間で制御コマンドが送受信される際における、これらの間に配置されたログ収集装置２０₁及びログ収集装置２０_nの処理、並びにログ集約装置３０の処理について説明する。

このシーケンス図に示されるように、制御装置１０₁は、まず、制御コマンドを生成し（Ｓ５０１）、生成した制御コマンドＡ５０１をログ収集装置２０₁及び２０_nを経由して制御装置１０_mに送信する。ここで制御コマンドとは、制御装置１０_i間で送受信されるデータであり、制御装置１０_iの動作変更等を指示するものである。次に、制御装置１０_mは受信した制御コマンドＡ５０１に応じて動作変更等を行って制御業務を行う（Ｓ５０２）。

ログ収集装置２０₁においては、パケット転送部２０１₁により上述の制御コマンドＡ５０１の転送処理が行われると、通信ログ生成部２０３₁が、ログ収集装置２０₁のログ収集ポリシ記憶部２０５₁からログ収集ポリシを取得し（Ｓ５０３）、取得したログ収集ポリシに基づいて、転送した制御コマンドＡ５０１についての通信ログを生成するかどうかを判断する（Ｓ５０４）。通信ログを生成しないと判断した場合には処理を終了する（Ｓ５０５）。一方、通信ログを生成すると判断した場合には、通信ログを生成し（Ｓ５０６）、生成した通信ログＡ５０２をログ集約装置３０に送信する。ここで、生成した通信ログの送信を一時的に通信ログ記憶部２０６₁に保存し、制御コマンドの送受信が行われていないタイミングや所定の周期で送信することとしてもよい。ログ集約装置３０の通信ログ取得部３０１は、ログ収集装置２０₁から通信ログＡ５０２を受信すると、通信ログ群記憶部３０６に保存する（Ｓ５１１）。

一方、ログ収集装置２０_nにおいても、パケット転送部２０１_nにより上述の制御コマンドＡ５０１の転送処理が行われているため、通信ログ生成部２０３_nは、ログ収集装置２０_nのログ収集ポリシ記憶部２０５_nからログ収集ポリシを取得し（Ｓ５０７）、取得したログ収集ポリシに基づいて、転送した制御コマンドＡ５０１についての通信ログを生成するかどうかを判断する（Ｓ５０８）。通信ログを生成しないと判断した場合には処理を終了する（Ｓ５０９）。一方、通信ログを生成すると判断した場合には、通信ログを生成し（Ｓ５１０）、生成した通信ログＡ５０３をログ集約装置３０に送信する。ここで、生成した通信ログの送信を一時的に通信ログ記憶部２０６_nに保存し、制御コマンドの送受信が行われていないタイミングや所定の周期で送信することとしてもよい。ログ集約装置３０の通信ログ取得部３０１は、ログ収集装置２０_nから受信した通信ログＡ５０３を通信ログ群記憶部３０６に保存する（Ｓ５１２）。

図６は、ログ収集ポリシの構成の例を示す図である。この図に示されるように、ログ収集ポリシは、例えばフォーマットＡ８０１に示されるように、通信ログを作成するかどうかを示す収集フラグＡ８０２と、通信パケットの送信元を例えばＩＰ（Internet Protocol）アドレス等で示す送信元Ａ８０３と、通信パケットの送信先を例えばＩＰアドレス等で示される送信先Ａ８０４と、通信パケットで使用されたプロトコルを示すプロトコルＡ８０５と、例えばＴＣＰ（Transmission Control Protocol）のポート番号等、通信パケットで使用されたポート番号Ａ８０６とから構成される。ここで、収集フラグには収集を行うフラグと収集を行わないフラグのいずれも保存できることとしてもよいし、特定される通信パケットについて通信ログを作成しない、及び作成する、のいずれかのみが定められるものであってもよい。なお、ログ収集ポリシの構成要素はフォーマットＡ８０１に限定されるものではない。また、ログ収集ポリシの構成要素の順序についても、このフォーマットＡ８０１に示された順序に限定されるものではない。

図７は、ログ収集装置２０_jで生成される通信ログの構成の例を示す図である。この図に示されるように、通信ログのフォーマットＡ９０１は、通信パケットを受信した日時Ａ９０２と、例えばＩＰアドレス等で示される通信パケットの送信元Ａ９０３と、例えばＩＰアドレス等で示される通信パケットの送信先Ａ９０４と、通信パケットのプロトコルＡ９０５と、例えばＴＣＰのポート番号等である通信パケットのポート番号Ａ９０６と、サイズ、ＩＤ（Identification）、シーケンス番号、不正なパケットの可能性がある旨等の通信パケット毎の固有情報Ａ９０７から構成される。ここで、通信パケット毎の固有情報はプロトコルやポート番号に応じて変化するものである。なお、通信ログの構成要素はフォーマットＡ９０１に限定されるものではない。また、通信ログの構成要素の順序も、このフォーマットＡ９０１に限定されるものではない。

図８は、ログ集約装置３０に保存される通信ログ群の構成の例について示す図である。この図に示されるように、通信ログ群のフォーマットＡ１００１は、システム内に存在するログ収集装置の識別情報を示す収集装置ＩＤ（Ａ１００２）と、図７で示した通信ログのフォーマットＡ９０１が逐次追加される通信ログ領域Ａ１００３から構成される。なお、通信ログ群構成要素はフォーマットＡ１００１に限定されるものではない。また、通信ログ群の構成要素の順序もフォーマットＡ１００１に限定されるものではない。

（３） ログ取得状況の表示処理、及びログ収集ポリシの生成処理
図９は、ログ収集システム１０００における、ログ取得状況を表示し、ログ収集ポリシを生成する処理の例を示すシーケンス図である。この図に示されるように、ログ取得状況を表示し、ログ収集ポリシを生成する処理では、まず、ログ集約装置３０のログ取得状況算出表示部３０２が、ログ取得状況算出表示処理Ｓ６１０を行う。

図１０は、ログ取得状況算出表示処理Ｓ６１０について示すフローチャートである。この図に示されるように、ログ取得状況算出表示処理Ｓ６１０では、まず、ログ取得状況算出表示部３０２が、制御装置リスト記憶部３０７から制御装置リストを取得する（Ｓ６１１）。制御装置リストの構成は、例えば図１１のフォーマットＡ１１０１に示されており、システム内に存在する制御装置１０₁〜１０_mの識別情報を示す制御装置ＩＤ（Ａ１１０２）と、制御装置１０_iが保有するネットワークＩ／Ｆ名Ａ１１０３と、制御装置１０_iの各ネットワークＩ／Ｆに割り当てられているＩＰアドレスＡ１１０４とサブネットマスクＡ１１０５から構成される。なお、制御装置リストの構成要素はフォーマットＡ１１０１に限定されるものではないが、ネットワークの通信ログから制御装置１０_iが特定できる情報が含まれていることが好ましい。また、制御装置リストの構成要素の順序はフォーマットＡ１１０１に限定されるものではない。

図１０に戻り、ログ取得状況算出表示部３０２は、制御装置リストを取得すると、ログ取得状況テーブルを作成する。ログ取得状況テーブルは、例えば、後述する図１２のログ取得状況画面Ａ７０１におけるログ取得状況リストＡ７０３の構成であり、ログ取得状況算出表示部３０２は、まず、取得した制御装置リストＡ１１０１に基づいて、制御装置ＩＤ（Ａ７０４）、ネットワークＩ／Ｆ（Ａ７０５）及びＩＰアドレスの欄が入力されたログ取得状況テーブルを作成する（Ｓ６１２）。引き続き、ログ取得状況テーブルの「ログ取得状況」の欄に、初期値として、ログを取得できていないことを意味する×（「Ｎｏ」）を書き込んで保存する（Ｓ６１３）。

次にログ取得状況算出表示部３０２は、収集装置ＩＤを指定して通信ログ群記憶部３０６から指定された収集装置ＩＤに係るログ収集装置２０_jの通信ログ群を取得する（Ｓ６１５）。取得した通信ログ群から通信ログが取得されているＩＰアドレスについてログ取得状況テーブルのログ取得状況の欄に、ログを取得できていることを意味する○（「Ｙｅｓ」）を書き込んで保存する（Ｓ６１６）。Ｓ６１５及びＳ６１６の処理をすべての収集装置ＩＤについて繰り返し行う（Ｓ６１４）。すべての収集装置ＩＤについて終了すると、ログ取得状況算出表示部３０２は、表示装置にログ取得状況画面Ａ７０１の表示を行う（Ｓ６１７）。

図１２は、ログ取得状況画面Ａ７０１の例について示す図である。この画面では、ログ取得状況マップＡ７０２とログ取得状況リストＡ７０３との２種類の形式でログ取得状況が示されているが、いずれか１種類であっても他の形式での表示であってもよい。ログ取得状況マップＡ７０２は、制御装置リスト記憶部３０７に保存されている制御装置リストから、各ネットワークと、それぞれのネットワークに接続される制御装置１０_iが有するネットワークＩ／Ｆを含めて図示したものである。また、ログを取得しているＩ／Ｆには収集できていることを示す記号（例えば○）を、ログを取得していないインタフェースには収集できていないことを示す記号（例えば×）を示している。ログ取得状況リストＡ７０３は、制御装置ＩＤ（Ａ７０４）、ネットワークＩ／Ｆ（Ａ７０５）、ＩＰアドレスＡ７０６、ログ取得状況Ａ７０７から構成されており、ログ取得状況マップＡ７０２と同様の情報をリスト化して表示している。これによりシステム管理者は、容易にログ収集装置２０_jの撤去すべき位置及び追加すべき位置を把握することができる。したがって、本実施の形態のログ収集システム１０００によれば、ログ収集装置２０_jの効率的な配置のための情報を表示することができる。

図９に戻り、ログ取得状況算出表示処理Ｓ６１０が終了すると、ログ収集ポリシ生成処理Ｓ６３０に移行する。本実施の形態においては、ログ収集ポリシ生成処理Ｓ６３０に移行することとしているが、ログ収集ポリシ生成の必要のない場合には、ログ取得状況画面Ａ７０１の表示の段階において終了することとしてもよい。

図１３は、ログ収集ポリシ生成処理Ｓ６３０について示すフローチャートである。この図に示されるように、ログ収集ポリシ生成処理Ｓ６３０では、まず、重複ログ抽出部３０３が、取得した通信ログの重複を抽出する（Ｓ６３１）。ここで、通信ログの重複とは通信ログ群記憶部３０６に保存されている通信ログの中で、受信日時以外の項目が同一である通信ログを意味する。しかしながら、通信ログの重複には、少なくとも送信元及び送信先の両方が同一、送信元及び送信先のいずれかが同一である等その他の基準を用いることができる。

次に、ログ収集ポリシ生成部３０４が、収集データ量リスト記憶部３０８から、重複した通信ログを取得しているログ収集装置２０_jにおいて収集している通信ログの量を示す収集データ量リストを取得する（Ｓ６３２）。収集データ量リストの構成は、例えば図１４のフォーマットＡ１２０１で示されており、ログ収集装置２０_jの識別情報を示す収集装置ＩＤ（Ａ１２０２）と、ログ収集装置２０_jで収集している通信ログのデータ量Ａ１２０３から構成されている。収集装置ＩＤ（Ａ１２０２）には、ログ収集システム１０００で用いられている識別子の他ＩＰアドレス等収集装置を識別できるものを用いることができる。データ量Ａ１２０３には、データサイズ（ｂｙｔｅ等）の他パケット数等を用いることができる。ここで、収集データ量リストの構成要素は、フォーマットＡ１２０１に限定されるものではなく、少なくとも収集データ量が含まれるものであればよく、また、構成要素の順序は上記に限定されるものでもない。また、本実施の形態においては、収集データ量リストを用いることとしたが、収集データ量リストを用いずに、通信ログ群のデータサイズを取得する等他の手段によりログ収集装置２０_jの取得データ量を取得することとしてもよい。

図１３に戻り、ログ収集ポリシ生成部３０４は、重複通信ログが作成されないようにログ収集ポリシを作成し（Ｓ６３３）、ログ収集ポリシ生成処理Ｓ６３０を終了する。この際に、重複通信ログを取得している複数のログ収集装置２０_jに係る複数の収集データ量リストのうち、収集データ量が多いログ収集装置２０_jに対して、重複通信ログと同じ送受信アドレスの通信ログを取得しないログ収集ポリシを作成するとすることができる。しかしながら、の収集している通信ログの量に関わらず、重複通信ログが作成されないようにログ収集ポリシを作成するものであればよい。また他の基準を用いて、重複通信ログを作成しないログ収集装置２０_jを定めることとしてもよい。

図９に戻り、ログ収集ポリシ生成処理Ｓ６３０が終了すると、ログ収集ポリシ生成部３０４は、作成されたログ収集ポリシに係るログ収集装置２０_jに、ログ収集ポリシを送信する。図９では、ログ収集装置２０₁及び２０_nに対してログ収集ポリシを送信する例について示している。ログ収集装置２０₁及び２０_nに対して、それぞれに対応するログ収集ポリシＡ６０１₁及びＡ６０１_nが送信されると、それぞれのログ収集装置２０₁及び２０_nのログ収集ポリシ取得部２０２₁及び２０２_nが、それぞれのログ収集ポリシＡ６０１₁及びＡ６０１_nを取得し、それぞれログ収集ポリシ記憶部２０５₁及び２０５_nに保存する（Ｓ６５１，Ｓ６５３）。その後、ログ収集ポリシ取得部２０２₁及び２０２_nは、保存結果を示すレスポンスＡ６０２₁及びＡ６０２_nをログ集約装置３０に送信し、レスポンスＡ６０２₁及びＡ６０２_nを受信したログ収集装置２０₁及び２０_nは、それぞれ収集データリストの収集データ量を更新する（Ｓ６５２，Ｓ６５４）。図９では、ログ収集装置２０₁及び２０_nの例について示したが、これら以外のログ収集装置２０_jに、それぞれ対応するログ収集ポリシが送信される場合であっても同様の処理が行われる。

以上説明したように、本実施の形態によれば、ログ収集装置２０_jの効率的な配置のための情報を表示することができる。また、ログ収集ポリシ生成処理Ｓ６３０においては、複数のログ収集装置２０_jから受信した通信ログに重複が存在する場合、いずれか１つのログ収集装置２０_jにおいてログを収集することとしているため、ネットワーク負荷や取得後の処理の負荷の低減を図ることができる。また、更に、収集データ量が多いログ収集装置２０_jに対して、重複する通信ログを取得しないログ収集ポリシを作成することとしてもよく、この場合には更にログ収集装置２０_jの負荷を均等化させることができる。

なお、ログ収集ポリシ生成処理Ｓ６３０は通信ログを集約する毎に実行してもよいし、ある一定量の通信ログが集約されたタイミングで実行してもよいし、ある一定間隔毎に実行してもよいし、特に試運転等の特殊なタイミングで実行する等その他のタイミングで実行することができる。

（４） 変形例に係るログ収集システムの構成
図１５は、上述の実施形態の変形例に係るログ収集システム２０００について概略的に示す図である。この図に例示されるように、ログ収集システム２０００の構成は、図１のログ収集システム１０００と同様に、制御装置１０₁〜１０_mと、ログ収集装置２０₁〜２０_nと、ログ集約装置３０と、業務ネットワーク４０と、収集ネットワーク５０と、から構成されている。ここで、ｍ及びｎはそれぞれ自然数であり、以降、制御装置１０₁〜１０_mの各々については制御装置１０_iで参照する。ここでｉは１〜ｍのいずれであってもよい。また、ログ収集装置２０₁〜２０_nの各々についてはログ収集装置２０_jで参照する。ここでｊは１〜ｎのいずれであってもよく、また以降の説明において符号に付された下付文字ｊはログ収集装置２０_jの構成要素の一例であることを意味する。また、図１５では、業務ネットワーク４０及び収集ネットワーク５０を別のネットワークとしているが、同じネットワークであってもよい。制御装置１０_iは、制御処理を行うと共に、業務ネットワーク４０やログ収集装置２０_j等と通信を行う。

制御装置１０₁〜１０_mおよびログ収集装置２０₁〜２０_nの構成要素は図１と同様であるため重複する説明は省略する。ログ集約装置３０は、図１で示した構成の他、ログ収集装置の配置の変更について設計し表示する装置配置設計表示部３１０と、業務ネットワーク４０を用いて制御装置１０_i間で実行される通信フローの一覧を保存する通信フローリスト記憶部３１１と、システム内に設置しているログ収集装置２０_jの配置情報を保存するログ収集装置配置リスト記憶部３１２と、を有している。

（５） ログ収集装置配置設計表示処理等
図１６は、本変形例に係るログ収集システム２０００において、ログ取得状況を表示し、ログ収集装置配置設計を表示し、ログ収集装置２０_jの配置変更の後、ログ収集ポリシを変更する処理の例について示すシーケンス図である。この図に示されるように、ログ取得状況を表示し、ログ収集装置配置設計を表示し、ログ収集装置２０_jの配置変更の後、ログ収集ポリシを変更する処理では、まず、ログ集約装置３０のログ取得状況算出表示部３０２が、前述の実施の形態と同様のログ取得状況算出表示処理Ｓ６１０（図１０参照）において、図１２のログ取得状況画面Ａ７０１と同様の表示及び表示された情報の保存を行う。引き続き、不要ログ収集装置算出処理Ｓ７３０に移行する。

図１７は、不要ログ収集装置算出処理Ｓ７３０について示すフローチャートである。この図に示されるように、不要ログ収集装置算出処理Ｓ７３０では、まず、重複ログ抽出部３０３が、取得した通信ログの重複を抽出する（Ｓ７３１）。ここで、ログの重複とは通信ログ群記憶部３０６に保存されている通信ログの中で、受信日時以外の項目が同一である通信ログを意味することとするが、これ以外の基準を用いてもよい。

次に、装置配置設計表示部３１０が、重複通信ログを収集するログ収集装置２０_jの一覧を作成し（Ｓ７３２）、一覧に記載されたログ収集装置２０_jについて、通信ログ群記憶部３０６から通信ログ群を取得し、収集している通信ログがすべて重複するかどうかを判定する（Ｓ７３４）。すべて重複しない場合には、ループ終了判定Ｓ７３３に移行し、すべて重複する場合には、そのログ収集装置が撤去された場合に収集できない通信ログが発生するかどうかについて判定する（Ｓ７３５）。ここで収集できない通信ログが発生する場合には、ループ終了判定Ｓ７３３に移行し、収集できないログが発生しない場合には、ログ収集装置配置リストの対応するログ収集装置２０_jの不要フラグの欄に不要フラグを立てる（Ｓ７３６）。ログ収集装置配置リストについては後述する。ループ終了判定Ｓ７３２では、一覧に記載されたすべてのログ収集装置について終了したかどうかが判定され、終了していない場合には一覧の次のログ収集装置２０_jについてステップＳ７３４〜Ｓ７３６を行い、終了している場合には、不要ログ収集装置算出処理Ｓ７３０を終了する。

図１８は、ログ集約装置３０に保存されるログ収集装置配置リストの構成の例について示す図である。この図に示されるように、ログ収集装置配置リストのフォーマットＡ１７０１は、ログ収集装置２０_jを識別する情報を示す収集装置ＩＤ（Ａ１７０２）と、システム内の制御装置１０_iを識別する情報を示す制御装置ＩＤ（Ａ１７０３）と、ログ収集装置２０_jが接続されている制御装置１０_iのネットワークＩ／Ｆ（Ａ１７０４）と、当該ログ収集装置２０_jの設置が不要である事を意味する不要フラグＡ１７０５と、新たに追加が必要である事を意味する追加フラグＡ１７０６とから構成される。ここで、ログ収集装置配置リストの構成要素は、このフォーマットＡ１７０１に限定されるものではない。また、ログ収集装置配置リストの構成要素の順序は上記に限定されるものではない。

図１６に戻り、不要ログ収集装置算出処理Ｓ７３０が終了すると、追加ログ収集装置算出処理Ｓ７５０に移行する。図１９は、追加ログ収集装置算出処理Ｓ７５０について示すフローチャートである。この図に示されるように、追加ログ収集装置算出処理Ｓ７５０では、まず、通信フローリスト記憶部３１１に保存されている通信フローリストを取得する（Ｓ７５１）。通信フローリストの構成については図２０に記載する。次に、ログ取得状況算出表示部３０２により算出されたログ取得状況リストＡ７０３から、ログ取得状況が×（「Ｎｏ」）である制御装置のネットワークＩ／Ｆの一覧を作成する（Ｓ７５２）。この一覧に記載されたネットワークＩ／ＦのＩＰアドレスが、通信フローリストの送信元及び送信先のいずれかに含まれる場合には、ログ取得状況の欄に×（「Ｎｏ」）を書き込む（Ｓ７５５）。一覧に記載されたすべてのネットワークＩ／Ｆについて処理を繰り返し（Ｓ７５３）、すべてのネットワークＩ／Ｆについて処理を終了すると、ステップＳ７５６に移行し、ログ取得状況Ａ１６０７が×（「Ｎｏ」）である業務のログを収集するためのログ収集装置の追加位置を１つ算出する（Ｓ７５６）。ここで１つのログ収集装置で出来る限り多くの業務のログが収集できる事が望ましいため、ログ取得状況Ａ１６０７が×（「Ｎｏ」）である業務の送信元Ａ１６０３または送信先Ａ１６０４に最も多く含まれるＩＰアドレスを追加するべき位置としてもよい。最後に、ログ収集装置配置リストに、追加する収集装置ＩＤについて、追加フラグを立てて追加し（Ｓ７５７）、追加ログ収集装置算出処理Ｓ７５０を終了する。

図２０は、ログ集約装置３０に保存される通信フローリストの構成の例について示す図である。この図に示されるように、通信フローリストのフォーマットＡ１６０１は、業務を識別する情報を示す業務ＩＤ（Ａ１６０２）と、通信パケットの送信元Ａ１６０３と、通信パケットの送信先Ａ１６０４と、通信パケットのプロトコルＡ１６０５と、通信パケットのポート番号Ａ１６０６とログ取得状況Ａ１６０７とから構成される。ここで、通信フローリストの構成要素はこのフォーマットＡ１６０１に限定されるものではない。また、通信フローリストの構成要素の順序はフォーマットＡ１６０１に限定されるものではない。

図１６に戻り、追加ログ収集装置算出処理Ｓ７５０が終了すると、装置配置設計表示処理Ｓ７７０に移行する。図２１は、装置配置設計表示処理Ｓ７７０について示すフローチャートである。この図に示されるように、装置配置設計表示処理Ｓ７７０では、まず、装置配置設計表示部３１０が、ログ収集装置配置リスト記憶部３１２に保存されたログ収集装置配置リストを取得し（Ｓ７７１）、装置配置設計画面Ａ１５０１を表示する（Ｓ７７２）。

図２２は、ログ集約装置３０の装置配置設計表示部３１０が入出力装置３２に表示する装置配置設計画面Ａ１５０１の例を示した図である。この図に示されるように、装置配置設計画面Ａ１５０１は、装置配置設計マップＡ１５０２を有している。装置配置設計マップＡ１５０２は、制御装置リスト記憶部３０７に保存されている制御装置リストから、同一ネットワークに含まれる制御装置１０_iを保有するネットワークＩ／Ｆ（例えば「ｅｔｈ０」）を含めて図示し、ログ収集装置配置リスト記憶部３１２に保存されているログ収集装置２０_jの配置情報に基づいて、システム内のログ収集装置２０_jの配置情報を示したものである。また、現在配置しているログ収集装置２０_jのうち、不要であるものには不要であることを示す情報Ａ１５０３を付与し、新たに追加すべきものには追加が必要であることを示す情報Ａ１５０４を付与しているため、追加すべきログ収集装置２０_j、及び撤去すべきログ収集装置２０_jについて容易に把握することができる。

図１６に戻り、装置配置設計表示処理Ｓ７７０が終了すると、システム管理者は、入出力装置の表示画面に表示された装置配置設計マップＡ１５０２に従って、ログ収集装置２０_jの配置を変更し（Ｓ７９１）、ログ収集装置配置リスト記憶部３１２に保存されているログ収集装置配置リストの不要フラグのセットされた収集装置ＩＤのレコードを削除し、追加フラグのセットされたレコードについては追加フラグの欄をリセットして、ログ収集装置配置リストを更新する（Ｓ７９２）。その後、ログ収集ポリシ生成処理Ｓ７８０に移行する。

図２３は、ログ収集ポリシ生成処理Ｓ７８０について示すフローチャートである。この図に示されるように、ログ収集ポリシ生成処理Ｓ７８０では、まず、ログ収集ポリシ生成部３０４が、ログ収集装置配置リスト記憶部３１２からログ収集装置配置リストを取得し（Ｓ７８１）、ログ収集装置配置リストに基づいて、重複通信ログが取得されるログ収集装置２０_jを抽出する（Ｓ７８２）。次に重複通信ログが取得されるログ収集装置２０_jの収集データ量リストを取得し（Ｓ７８３）、重複する通信ログが作成されてないようにログ収集ポリシを作成する（Ｓ７８４）。この際に、収集データ量リストで収集データ量が多いログ収集装置に対して、重複通信ログと同じ送受信アドレスの通信ログを取得しないログ収集ポリシを作成することとしてもよい。

ログ収集ポリシ生成処理Ｓ７８０が終了すると、ログ収集ポリシ生成部３０４は、作成されたログ収集ポリシに係るログ収集装置２０_jに、ログ収集ポリシを送信する。図１６では、ログ収集装置２０₁及び２０_nの例について示されている。ログ収集装置２０₁及び２０_nに対して、それぞれに対応するログ収集ポリシＡ１４０１₁及びＡ１４０１_nが送信されると、それぞれのログ収集装置２０₁及び２０_nのログ収集ポリシ取得部２０２₁及び２０２_nが、それぞれのログ収集ポリシＡ１４０１₁及びＡ１４０１_nを取得し、それぞれログ収集ポリシ記憶部２０５₁及び２０５_nに保存する（Ｓ７９５，Ｓ７９７）。その後、ログ収集ポリシ取得部２０２₁及び２０２_nは、保存結果を示すレスポンスＡ１４０２₁及びＡ１４０２_nをログ集約装置３０に送信し、レスポンスＡ１４０２₁及びＡ１４０２_nを受信したログ収集装置２０₁及び２０_nは、それぞれ収集データリストの収集データ量を更新する（Ｓ７９６、Ｓ７９８）。以上、ログ収集装置２０₁及び２０_nの例について示したが、これら以外のログ収集装置２０_jに、それぞれ対応するログ収集ポリシが送信される場合であっても同様の処理が行われる。

ここで、新規で追加したログ収集装置２０_jについては、ログ収集ポリシを生成しないこととしてもよい。この場合には、全通信ログを収集して、通信ログの収集後、ログ収集ポリシの生成処理を行うこととすることができる。

これらの構成、手順およびデータ構造を実現することにより、制御システム内の通信ログを効率的に収集することが可能となる。なお、本発明は、上記の実施形態に限定されるものではなく、その要旨の範囲内で様々な変形が可能である。たとえば、制御装置内にログ収集装置が含まれている場合や、業務ネットワークと収集ネットワークが同一のネットワークである場合や、制御装置やログ集約装置にネットワークとの通信機能が含まれておらず、別の装置を経由してネットワークと通信を行う場合などである。該実施形態の場合においてもシステム全体において行う処理に本質的な変化はない。

（６） 本実施の形態の効果
本実施の形態におけるログ収集システムは、ネットワーク４０で接続された複数の制御装置１０_iと、ネットワーク４０に接続され、複数の制御装置１０_iに係る通信ログを収集するログ収集装置２０_jと、ログ収集装置２０_jから通信ログを受信する通信ログ取得部３０１を有するログ集約装置３０と、を有し、ログ集約装置３０は、複数の制御装置のネットワーク４０に対するインタフェースの数に応じた数のネットワークアドレスが登録された制御装置リストが保存される制御装置リスト記憶部３０７と、制御装置リスト及び通信ログに基づいて、インタフェースにおける送受信の通信ログが取得されているかどうかを算出し表示するログ取得状況算出表示部３０２と、を備える。したがって、通信ログを取得するログ収集装置の効率的な配置のための情報を表示することができる。

また、複数の制御装置１０_iのうちのいずれかの制御装置１０_iは、複数のネットワークと接続され、ログ取得状況算出表示部３０２は、複数のネットワーク及び複数のネットワークのそれぞれに接続されるインタフェースと共に表示することとしてもよく、この場合には、管理者はいずれのインタフェースでログが取得できていないか把握することができる。しかしながら、複数のネットワークについて表示しない構成であってもよい。

また、ログ収集装置２０_jは、ログ収集装置２０_jを通過する通信のうち、通信ログを生成するかどうかの規則であるログ収集ポリシが保存されるログ収集ポリシ記憶部２０５_jと、ログ収集ポリシに基づいて通信ログを生成することを決定した通信について、通信ログを生成する通信ログ生成部２０３_jとを更に有していてもよい。これにより通信ログを必要としない通信や重複する通信について通信ログを作成しないこととできるため、ネットワークのトラフィックを抑制することができる。しかしながら、本発明において、すべての通信ログを生成することとし、ログ収集ポリシを有さないものであってもよい。

また、ログ集約装置３０は、重複した通信ログを抽出する重複ログ抽出部３０３と、重複ログ抽出部３０３が抽出した重複した通信ログを送信した複数のログ収集装置２０_jのうちのいずれか対して、重複した通信ログの少なくとも送信先及び受信先を有する通信について通信ログを収集しないというログ収集ポリシを生成して送信するログ収集ポリシ生成部３０４とを更に有することができる。この場合には、重複した通信ログを生成及び収集しないため、ネットワークのトラフィックを抑制することができる。

また、ログ集約装置３０は、ログ収集装置２０_jの収集したデータ量が保存される収集データ量リスト記憶部３０８を更に有し、ログ収集ポリシ生成部３０４は、重複した通信ログを送信した複数のログ収集装置２０_jのうち、収集データ量リスト記憶部３０８において収集データ量が多いログ収集装置２０_jに対して、通信ログを収集しないというログ収集ポリシを生成して送信することとしてもよい。この場合には、通信ログの生成負荷の高いログ収集装置２０_jに対して、通信ログの生成負荷を軽減させることができるため、ログ収集装置２０_jの能力を変化させないまま、ログ収集システムとしてより多くの通信ログを取得することができる。

また、ログ集約装置３０は、ログ収集装置２０_jのそれぞれ通信ログである通信ログ群を保存する通信ログ群記憶部３０６と、通信ログ群の内容に基づいて、ログ収集装置２０_jを撤去すべき位置を表示する装置配置設計表示部３１０とを更に有していてもよい。この場合には、管理者は、撤去すべきログ収集装置を容易に把握することができる。しかしながら、ログ収集装置２０_jを撤去すべき位置を表示することなく、ログ取得状況算出表示部３０２が、インタフェースにおける送受信の通信ログが取得されているかどうかを算出し表示するのみであってもよい。また、ログ集約装置３０は、少なくとも通信の送信元、送信先及びログ取得状況を有する通信フローリストが保存される通信フローリスト記憶部３１１を更に有し、装置配置設計表示部３１０は、通信フローリスト及びログ取得状況算出表示部３０２の算出結果に基づいて、ログ収集装置２０_jを追加すべき位置を表示してもよい。この場合には、管理者は、追加すべきログ収集装置の位置を容易に把握することができる。また、追加すべき位置は、ログ取得状況において、通信ログが取得されていない送信元又は送信先を最も多く含むインタフェースの位置であることとすることができ、この場合には、より少ないログ収集装置２０_jの追加で多くの種類の通信ログを取得することができる。しかしながら、ログ収集装置２０_jを撤去すべき位置又は追加すべき位置を表示することなく、ログ取得状況算出表示部３０２が、インタフェースにおける送受信の通信ログが取得されているかどうかを算出し表示するのみであってもよい。

本発明は、互いに通信を行う制御装置からなる制御システムに適用することができる。

１０００ ログ収集システム
２０００ ログ収集システム
１０_i 制御装置
２０_j ログ収集装置
３０ ログ集約装置
４０ 業務ネットワーク
５０ 収集ネットワーク
２０１_j パケット転送部
２０２_j ログ収集ポリシ取得部
２０３_j 通信ログ生成部
２０４_j 第一通信部
２０５_j ログ収集ポリシ記憶部
２０６_j 通信ログ記憶部
２０７_j 第二通信部
２０８_j 第三通信部
３０１ 通信ログ取得部
３０２ ログ取得状況算出表示部
３０３ 重複ログ抽出部
３０４ ログ収集ポリシ生成部
３０５ 通信部
３０６ 通信ログ群記憶部
３０７ 制御装置リスト記憶部
３０８ 収集データ量リスト記憶部
３０９ 生成ログ収集ポリシ記憶部
３１０ 装置配置設計表示部
３１１ 通信フローリスト記憶部
３１２ ログ収集装置配置リスト記憶部

Claims (8)

1. ネットワークに接続された複数の制御装置と、
   前記ネットワークに接続され、前記複数の制御装置に係る通信ログを収集するログ収集装置と、
   前記ログ収集装置から前記通信ログを受信する通信ログ取得部を有するログ集約装置と、を有し、
   前記ログ集約装置は、
   前記複数の制御装置の前記ネットワークに対するインタフェースの数に応じた数のネットワークアドレスが登録された制御装置リストが保存される制御装置リスト記憶部と、
   前記制御装置リスト及び前記通信ログに基づいて、前記インタフェースにおける送受信の前記通信ログが取得されているかどうかを算出し表示するログ取得状況算出表示部と、を備える
   ことを特徴とするログ収集システム。
2. 請求項１に記載のログ収集システムにおいて、
   前記複数の制御装置のうちのいずれかの制御装置は、複数の前記ネットワークと接続され、
   前記ログ取得状況算出表示部は、前記複数のネットワーク及び前記複数のネットワークのそれぞれに接続されるインタフェースと共に表示する
   ことを特徴とするログ収集システム。
3. 請求項１又は２に記載のログ収集システムにおいて、
   前記ログ収集装置は、
   前記ログ収集装置を通過する通信のうち、前記通信ログを生成するかどうかの規則であるログ収集ポリシが保存されるログ収集ポリシ記憶部と、
   前記ログ収集ポリシに基づいて前記通信ログを生成することを決定した前記通信について、前記通信ログを生成する通信ログ生成部と、を備える
   ことを特徴とするログ収集システム。
4. 請求項３に記載のログ収集システムにおいて、
   前記ログ集約装置は、
   重複した前記通信ログを抽出する重複ログ抽出部と、
   前記重複ログ抽出部が抽出した前記重複した通信ログを送信した複数のログ収集装置のうちのいずれか対して、前記重複した通信ログの少なくとも送信先及び受信先を有する前記通信について前記通信ログを収集しないという前記ログ収集ポリシを生成して送信するログ収集ポリシ生成部と、を更に備える
   ことを特徴とするログ収集システム。
5. 請求項４に記載のログ収集システムにおいて、
   前記ログ集約装置は、前記ログ収集装置の収集したデータ量が保存される収集データ量リスト記憶部を更に備え、
   前記ログ収集ポリシ生成部は、前記重複した通信ログを送信した複数のログ収集装置のうち、前記収集データ量リスト記憶部において収集データ量が多い前記ログ収集装置に対して、前記通信ログを収集しないという前記ログ収集ポリシを生成して送信する
   ことを特徴とするログ収集システム。
6. 請求項１乃至５のいずれか一項に記載のログ収集システムにおいて、
   前記ログ集約装置は、
   少なくとも送信元、送信先及びログ取得状況を有する通信フローリストが保存される通信フローリスト記憶部と、
   前記通信フローリスト及び前記ログ取得状況算出表示部の算出結果に基づいて、前記ログ収集装置を追加すべき位置を表示する装置配置設計表示部と、を更に備える
   ことを特徴とするログ収集システム。
7. 請求項６に記載のログ収集システムにおいて、
   前記ログ集約装置は、前記ログ収集装置のそれぞれ前記通信ログである通信ログ群を保存する通信ログ群記憶部を更に備え、
   前記装置配置設計表示部は、前記通信ログ群の内容に基づいて、前記ログ収集装置を撤去すべき位置を表示する
   ことを特徴とするログ収集システム。
8. 請求項７に記載のログ収集システムにおいて、
   前記追加すべき位置は、前記ログ取得状況において、前記通信ログが取得されていない送信元又は送信先を最も多く含む前記インタフェースの位置である
   ことを特徴とするログ収集システム。

Images