JP2020145537A - 通信中継装置 - Google Patents

Abstract

【課題】通信の停止を伴うことなく検知パターンの更新を行い得る通信中継装置を提供する。【解決手段】通信中継装置１は、複数のパターン検出回路（１１１，１１２，１１３，１１４）を有し、これらのうち１つ以上のパターン検出回路の検知パターンが空き状態であって、前記検知パターンの更新を行う場合、空き状態のパターン検出回路から新たな検知パターンの更新を行う。【選択図】 図２

Description

本発明は、不正な通信を遮断する機能を有する通信中継装置に係り、特に制御システム等のリアルタイム性が求められるシステムに用いられる通信中継装置に関する。

製造業における化学プラントや組み立て装置等の設備を制御する制御システムは、安全かつ安定な動作を維持する必要がある。しかし、制御装置に対してその動作を阻害したり誤った動作を行わせる意図で、制御システム用のネットワークを介して不正な内容のデータが送られる場合がある。対策として、このような不正な通信を遮断する能力を具備したファイアウォールやＩＰＳ（Ｉｎｔｒｕｓｉｏｎ Ｐｒｏｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）等を介して防御対象の装置を制御システムネットワークに接続する方法が知られている。

このファイアウォール等について、特に制御システムにこれらを直接実装する場合においては、「センシング−制御演算−アクチュエーション」の一連の動作を定められた制御周期の時間内に完結させる（リアルタイム性を確保する）必要があるため、通信に要する時間によってこれを超過することが無いようにファイアウォール等での遅延時間を極力小さくする必要がある。特許文献１には、ＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）等を用いてハードウェアで構成したウィルス照合器を用いて不正な通信を検出することで、短い遅延時間での処理を実現し、リアルタイム性を高めた通信中継装置が開示されている。

特開２００８−２９９８６４号公報

一方で、新たな脅威に対応させるためには、不正な通信を判別するための検知パターンを定期的に更新する必要がある。特許文献１に記載される通信中継装置では、この検知パターンの更新は通信が行われていないタイミングで通信を停止して行っており、常に通信を行えるようにする必要のある用途には適さなかった。

そこで、本発明は、通信の停止を伴うことなく検知パターンの更新を行い得る通信中継装置を提供する。

上記課題を解決するため、本発明に係る通信中継装置は、複数のパターン検出回路を有し、これらのうち１つ以上のパターン検出回路の検知パターンが空き状態であって、前記検知パターンの更新を行う場合、空き状態のパターン検出回路から新たな検知パターンの更新を行うことを特徴とする。

本発明によれば、通信の停止を伴うことなく検知パターンの更新を行い得る通信中継装置を提供することが可能となる。
上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。

本発明の一実施例に係る通信中継装置を有する制御システムの全体概略構成図である。 図１に示す通信中継装置の内部構成例を示すブロック図である。 図２に示す検知回路の内部構成例を示すブロック図である。

以下、本発明の実施例について、図面を用いて説明する。本明細書及び図面において実質的に同一の機能又は構成を有する構成要素については、同一の符号を付して重複する説明を省略する。

［制御システム全体の構成］
まず、本実施例に係る通信中継装置を含む制御システム全体の構成について説明する。図１は、本発明の一実施例に係る通信中継装置を有する制御システムの全体概略構成図である。
図１に示すように、制御システムは一例として、外部ネットワーク向けのファイアウォール２１、端末装置２２、生産管理サーバ２３、ＨＭＩ（Ｈｕｍａｎ Ｍａｃｈｉｎｅ Ｉｎｔｅｒｆａｃｅ）装置２４、監視制御サーバ２５、通信中継装置１、制御装置２６、及び制御対象設備２７から構成される。これらは相互に通信可能に接続されて階層状のネットワークを形成している。

制御対象設備２７は、制御装置２６に接続されている。制御装置２６は更に、通信中継装置１に接続されている。通信中継装置１は更に、制御システムネットワーク３を介して、監視制御サーバ２５に接続されている。監視制御サーバ２５は更に、制御系情報ネットワーク３３を介して、ＨＭＩ装置２４及び生産管理サーバ２３に接続されている。生産管理サーバ２３は更に、情報系ネットワーク３２を介して、端末装置２２及びファイアウォール２１に接続されている。ファイアウォール２１は更に、インターネットなどの外部ネットワーク３１に接続されている。

ファイアウォール２１は、情報系ネットワーク３２と外部ネットワーク３１との間の通信を中継すると共に、外部ネットワーク３１から情報系ネットワーク３２への不正アクセスを防ぐ。

生産管理サーバ２３は、プラントの生産目標や生産個数指示などの計画値を決定し、計画値を監視制御サーバ２５へ送信する。端末装置２２は、情報系ネットワーク３２を介して生産管理サーバ２３にアクセスすることにより、生産管理サーバ２３へ計画値に関する情報を入力し、生産管理サーバ２３から出力される実績などの情報を図示しない表示装置に表示する。これにより、端末装置２２の管理者は、制御システムの実績を監視することができる。

監視制御サーバ２５は、生産管理サーバ２３から受信した計画値に基づいて、制御対象設備２７の指令値を決定し、制御システムネットワーク３及び通信中継装置１を介して、制御装置２６へ指令値を送信する。ＨＭＩ装置２４は、制御系情報ネットワーク３３を介して監視制御サーバ２５にアクセスすることにより、監視制御サーバ２５へ指令値に関する情報を入力し、監視制御サーバ２５から出力される状態などの情報を図示しない表示装置に表示する。これにより、ＨＭＩ装置２４の管理者は、制御対象設備２７の状態を監視することができる。

制御装置２６は、監視制御サーバ２５から受信した指令値に基づいて、制御対象設備２７を制御する。制御対象設備２７は、例えば、スイッチ、バルブ、及びセンサ等である。指令値は、例えば、スイッチやバルブの開閉や開度などである。状態は、例えば、センサにより計測される圧力、温度、回転数等である。
［通信中継装置の役割］
通信中継装置１は、単なる通信の中継の機能を有するのみならず、制御システムネットワーク３から送信される不正な通信を検出及び遮断する能力を有る。この不正な通信は、監視制御サーバ２５等の内部装置がコンピュータウィルス等に感染した結果として生成されるものもあれば、攻撃者がシステム内部に侵入し、制御システムネットワーク３に直接ＰＣ等を接続して送信するような場合も考えられる。いずれの場合も、外部ネットワーク向けのファイアウォール２１のみではその不正な通信を防ぐことはできないため、制御装置２６毎に設置した通信中継装置１による保護が必要となる。
［通信中継装置の構成］
次に、通信中継装置１の詳細について説明する。図２は、図１に示す通信中継装置１の内部構成例を示すブロック図である。
通信中継装置１は、制御システムネットワーク３を通じて第１通信装置２に接続され、また、保護対象の第２通信装置４に接続されている。第１通信装置２は、例えば監視制御サーバ２５である。第２通信装置４は、例えば制御装置２６である。通信中継装置１は更に、複数の検知回路１１１、検知回路１１２、検知回路１１３、検知回路１１４、除去回路１２、更新選択器１３、選択回路１４から構成される。

次に、通信中継装置１内部の動作について説明する。まず、あるタイミングにおいて、複数の検知回路のうち検知回路１１１は空き回路（空状態）として用いられ、その他の検知回路１１２、検知回路１１３、及び検知回路１１４はそれぞれ異なる検知パターン１５が記憶されている。この状態で、制御システムネットワーク３から入力信号５が入力されると、入力信号５は検知回路１１１、検知回路１１２、検知回路１１３、検知回路１１４、及び除去回路１２に入力される。ここで、検知回路１１１は空き回路であるため何も出力しないが、その他の検知回路１１２、検知回路１１３、及び検知回路１１４は各々に記憶された検知パターン１５と入力信号５とを照合し、パターンが合致した場合に検知信号１７をアクティブとする。具体的には、検知パターン１５には不正な通信に特徴的なパターンを用いる。換言すれば、検知パターン１５は、例えば、ウィルス定義情報または不正通信の不正アドレス等を含む。なお、検知回路１１２、検知回路１１３、及び検知回路１１４には、それぞれ異なる検知パターンが格納されている。すなわち、検知パターンの種別に応じて検知回路の数が定まる。

検知信号１７は除去回路１２へ入力され、除去回路１２は検知信号１７のいずれかがアクティブな場合、すなわち何らかの不正な通信が検出された場合には入力信号５を出力信号６として伝達せず、除去する。逆に、除去回路１２は検知信号１７のいずれもアクティブでない場合、すなわち不正な通信が検出されていない場合には入力信号５を出力信号６としてそのまま伝達する。

ここで、検知回路の詳細について説明する。図３は、図２に示す検知回路１１２の内部構成例を示すブロック図である。一例として、検知回路１１２を示すが、検知回路１１１、検知回路１１３、及び検知回路１１４もそのハードウェア構成は同様である。
図３に示すように、検知回路１１２は、シフトレジスタ１２１と特徴値比較部１２２から構成される。シフトレジスタ１２２は入力信号５を通じて受信したデータ列を１ｂｉｔずつ格納しながら図中右側へシフトする動作を行う。これらの動作により、受信したデータ列はシフトレジスタ１２１の長さと動作周波数の積に比例した一定期間、シフトレジスタ１２１内に溜め込まれることになる。

また、特徴値比較部１２２は内部にマッチングパターンレジスタ１２３を内蔵しており、マッチングパターンレジスタ１２３はシフトレジスタ１２１に溜め込まれたデータ列に対し、自らのパターンが合致するかを照合し、合致する場合には検知信号１７を出力する。
従って、空き回路として用いられる検知回路１１１のマッチングパターンレジスタ１２３には、全てのｂｉｔが“０”のデータ列が格納されている。

なお、本実施例では、検知回路１１１、検知回路１１２、検知回路１１３、及び検知回路１１４の４個の検知回路を実装している場合を一例としてしめしているが、実装する検知回路の数はこれより多くても良い。実際には、多様な脅威に対応するため、一般に数十から数百を超える数の検知回路が必要となる。
〔検知パターンの更新］
上述の通信中継装置１の構成で不正な通信を検知し除去することができるが、そのままでは新たな脅威に対応することができず、すぐに陳腐化してしまう可能性がある。これを防ぐためには、検知パターン１５を随時更新することが必要である。ただし、リアルタイム性を確保するにはその更新のために通信を停止することは適切ではなく、通信を停止することなく検知パターン１５を更新する工夫が必要である。これを実現するため、本実施例においては検知回路１１１、検知回路１１２、検知回路１１３、及び検知回路１１４のうちの空き回路を積極的に活用する。

以下、本実施例における検知パターン１５の更新方法について、詳細を説明する。更新のためには、更新選択器１３、選択回路１４、および通信中継装置１の外部にある更新サーバ７を用いる。更新の対象となる新しい検知パターン１６は更新サーバ７に蓄えられており、更新選択器１３からの操作に従い選択回路１４を通じて検知回路１１１、検知回路１１２、検知回路１１３、及び１１４へ配信される。

ここで、配信・更新する順番およびタイミングに気を付ける必要がある。すなわち、最初に空き回路として用いられている検知回路、現在の例では検知回路１１１を最初に更新し、当該検知回路１１１を有効化する。その後、すでに有効化している検知回路１１２、検知回路１１３、及び検知回路１１４のうち一つ、例えば、検知回路１１２を無効化し、新たに更新対象とするというステップで順次更新していく。更に具体的に説明すると、検知回路１１２を無効化は、検知回路１１２を構成するマッチングパターンレジスタ１２３（図３）に格納されている検知パターン１５を表す全てのｂｉｔを“０”のデータ列として書き込む。これにより、検知回路１１２が空き回路となる。

また、検知回路１１３及び検知回路１１４については、マッチングパターンレジスタ１２３（図３）に格納されている検知パターン１５を表す全てのｂｉｔを“０”のデータ列として書き込む。その後、マッチングパターンレジスタ１２３に更新の対象となる新しい検知パターン１６のデータ列を書き込むことで更新を行う。

このようにすることで、本実施例では常に３個以上の検知回路が有効になっている状態を維持することができ、通信を停止することなく検知パターン１５を更新することができる。
なお、更新サーバ７と通信中継装置１との間のデータのやりとりは、専用の配線を用いてもよいし、制御システムネットワーク３を通じて入力信号５と同じ経路で配信される形でもよい。後者は通常の通信とパターンの配信との弁別処理が複雑となるが、配線の数を節約できるメリットがある。
［優先度に応じた更新順序］
更に好適な構成として、検知パターン１５の更新の順番について、検知パターン１５内の優先順位が高いものから順番に更新していく方式が考えられる。この場合の優先順位としては、例えば、検知パターンに対応する脅威の強度の度合、迅速に対応する必要性の度合等に基づき順位が設定される。このような構成とすることで、優先度が高い脅威に対して迅速に対応することができ、不正な通信に対して最大限に保護を行うことができる。
［繰り返し更新によるソフトエラー対策］
また、別の好適な構成として、例えば図２の構成において、検知回路１１１、検知回路１１２、及び検知回路１１３を新しい検知パターン１６に更新した後も更新を終了することなく、同じ検知パターン１６の組み合わせで引き続き検知回路１１４→１１１→１１２→１１３→１１４・・・、のように繰り返し継続して更新を行う方式が考えられる。ここで、ソフトエラーとは、例えば、マッチングパターンレジスタ１２３（図３）を構成するフリップフロップ回路が飛来する宇宙線等の外的刺激によって意図せず内部状態が遷移してしまい、マッチングパターンレジスタ１２３の記憶内容が変わってしまう現象である。すなわち、外的要因により、例えば、マッチングパターンレジスタ１２３に格納されている検知パターンのｂｉｔ“１”が“０”に変化することを示す。ソフトエラーはいつ生ずるかわからないため、更新処理を繰り返し実行することが効果的である。換言すれば、更新を継続しない場合と比べ、通常時はその検知動作の結果は変わらないが、検知回路を構成するマッチングパターンレジスタ１２３(記憶素子)にソフトエラーが生じた場合にその検知動作が改善される。

上述のように、ソフトエラーとは、レジスタを構成するフリップフロップ回路が飛来する宇宙線等の外的刺激によって意図せず内部状態が遷移してしまい、レジスタの記憶内容が変わってしまう現象を指す。このソフトエラーが生じると検知回路は正しい動作を行えなくなってしまう。しかし、このソフトエラーは再度正しい値で上書きすれば元通りの正常な動作に戻るため、上述したように、検知回路１１１、検知回路１１２、検知回路１１３、及び検知回路１１４を検知パターン１６で繰り返し継続して更新することで自動的に修復することができる。
［ソフトウェア型検知回路との併用］
以上で述べた通信中継装置は不正な通信の検知に用いる、検知回路１１１、検知回路１１２、検知回路１１３、及び検知回路１１４にＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）等を用いたハードウェア型の検知回路を採用した場合に好適な構成となっている。しかし、ハードウェア型の検知回路は、対応したい脅威の数と同じ数だけの検知回路を実装する必要があり、対応すべき脅威の数が非常に多くなると実装が困難になる可能性がある。これを解決するには、多数の脅威に対応することが比較的容易な、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）を用いたソフトウェア型検知回路(図示しない)を併用することが次善策として考えられる。ただし、ソフトウェア型検知回路は遅延時間が大きいため、リアルタイム性を維持しようとすると不正な通信をその場で遮断することができず、一旦伝達した後に、事後に通知して対応するような形となる。

以上の通り本実施例によれば、通信の停止を伴うことなく検知パターンの更新を行い得る通信中継装置を提供することが可能となる。
なお、本発明は上記の実施例に限定されるものではなく、様々な変形例が含まれる。上記の実施例は本発明を分かりやすく説明するために用いたものであり、必ずしも全ての構成を備えるものに限定されるものではない。

１…通信中継装置
２…第１通信装置
３…制御システムネットワーク
４…第２通信装置
５…入力信号
６…出力信号
７…更新サーバ
１２…除去回路
１３…更新選択器
１４…選択回路
１５…検知パターン
１６…新しい検知パターン
２１…ファイアウォール
２２…端末装置
２３…生産管理サーバ
２４…ＨＭＩ装置
２５…監視制御サーバ
２６…制御装置
２７…制御対象設備
３１…外部ネットワーク
３２…情報系ネットワーク
３３…制御系情報ネットワーク
１１１，１１２，１１３，１１４…検知回路
１１６…新しい検知パターン
１２１…シフトレジスタ
１２２…特徴値比較部
１２３…マッチングパターンレジスタ

Claims (5)

1. 複数のパターン検出回路を有し、これらのうち１つ以上のパターン検出回路の検知パターンが空き状態であって、前記検知パターンの更新を行う場合、空き状態のパターン検出回路から新たな検知パターンの更新を行うことを特徴とする通信中継装置。
2. 請求項１に記載の通信中継装置において、
   更新選択器と選択回路とを備え、
   前記選択回路は、前記更新選択器の操作に基づき外部サーバに格納される更新の対象となる新たな検知パターンを前記パターン検出回路へ配信することを特徴とする通信中継装置。
3. 請求項１または請求項２に記載の通信中継装置において、
   検知パターンに対応する脅威の強度の度合または迅速に対応する必要性の度合に基づき設定される優先度の高い検知パターンから順に更新することを特徴とする通信中継装置。
4. 請求項１または請求項２に記載の通信中継装置において、
   最後のパターン検出回路のパターン更新が完了してもパターンの更新を終了することなく、繰り返し同じパターンでの更新を実行することを特徴とする通信中継装置。
5. 請求項１または請求項２に記載の通信中継装置において、
   前記検知パターンは、ウィルス定義情報を含むことを特徴とする通信中継装置。

Images