JP5028202B2

JP5028202B2 - Control network system

Info

Publication number: JP5028202B2
Application number: JP2007252977A
Authority: JP
Inventors: 浩通遠藤; めぐみ長洲; 芳昭足達
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2007-09-28
Filing date: 2007-09-28
Publication date: 2012-09-19
Anticipated expiration: 2027-09-28
Also published as: JP2009088732A

Description

リアルタイム制御に係るデータ通信に供される制御ネットワークシステムに関する。 The present invention relates to a control network system used for data communication related to real-time control.

制御システムにおける、リアルタイム制御に係るデータ通信（以下制御通信）では、システムの制御周期との同期を維持することが重要である。従って、制御ネットワークに対する要求として、制御通信の通信速度（スループット）よりも、通信に伴う遅延（レイテンシ）や通信タイミングのゆらぎ（ジッタ）の少なさがより重視される場合がある。 In data communication related to real-time control (hereinafter referred to as control communication) in a control system, it is important to maintain synchronization with the control cycle of the system. Therefore, as a request for the control network, there is a case where importance is attached to the delay (latency) associated with communication and the fluctuation (jitter) of communication timing, rather than the communication speed (throughput) of control communication.

上記に関連する既存技術として、制御通信の周期を維持する方法が特許文献１に記載されている。こちらでは、自装置がリング状仮想サイクリック伝送路上に送出したサイクリックデータの受信時刻より、前記伝送路における制御通信の周期を推定している。前記伝送路の混雑等により受信周期が所定の値を逸脱した場合には、非サイクリックデータの送出を抑制して前記伝送路の混雑を解消し、サイクリックデータの通信周期を回復する。 As an existing technique related to the above, Patent Document 1 describes a method for maintaining the period of control communication. Here, the period of control communication in the transmission path is estimated from the reception time of the cyclic data sent from the device itself onto the ring-shaped virtual cyclic transmission path. When the reception cycle deviates from a predetermined value due to the congestion of the transmission line, the transmission of the cyclic data is eliminated by suppressing the transmission of acyclic data, and the cyclic communication period of the cyclic data is restored.

また、別の既存技術として、ネットワーク上の通信が適正なものであるかどうかを判断し、該通信を制御する方法が特許文献２に記載されている。こちらでは、宛先アドレス等より設備通信として分類した通信パケットについて、特定アドレスへの連続送信や、一定頻度以上のマルチキャストおよびブロードキャストである場合にそのパケットを異常アクセスによるものと判断し、遮断等の措置をとっている。 Further, as another existing technique, Patent Document 2 describes a method for determining whether or not communication on a network is appropriate and controlling the communication. Here, for communication packets classified as equipment communication based on destination address, etc., if the packet is continuously transmitted to a specific address or multicast or broadcast with a certain frequency or more, it is determined that the packet is due to abnormal access, and measures such as blocking are taken. Have taken.

特開２０００−３５３０１１号公報JP 2000-353011 A 特開２００６−１３５９５０号公報JP 2006-135950 A

制御通信を麻痺させる目的で、悪意を持つ者が不正な機器を構成して制御ネットワークに接続したり、既にネットワークに接続されている正常な機器から不正な手段で制御権を奪ったりした上で、ネットワーク上に大量の不正パケットを放出させる、いわゆるDenial of Service（ＤｏＳ）攻撃を実行する場合がある。 For the purpose of paralyzing control communication, a malicious person configures an unauthorized device and connects it to the control network, or deprives the right of control from a normal device already connected to the network by unauthorized means. In some cases, a so-called Denial of Service (DoS) attack is performed that releases a large number of illegal packets on the network.

特許文献１では、各プラント入出力装置は、他のプラント入出力装置から送信されたデータに対して送信制御を適用できない。このため、標的となる装置に対してのみ大量のパケットを送りつけるようなＤｏＳ攻撃が実行された場合、標的となる装置は送りつけられたパケットを遮断できない。また、標的以外の装置は異常を検出できないためアクションを起こすことができない。 In Patent Document 1, each plant input / output device cannot apply transmission control to data transmitted from another plant input / output device. For this reason, when a DoS attack that sends a large amount of packets only to the target device is executed, the target device cannot block the sent packets. In addition, since devices other than the target cannot detect the abnormality, no action can be taken.

また、不正な機器をスイッチングハブに直接接続された場合には、いずれの装置も流入してくる不正パケットを遮断することができない。 In addition, when an unauthorized device is directly connected to the switching hub, any device cannot block the incoming unauthorized packet.

一方、特許文献２では、異常アクセスと判定するための基準値を予め規定しておく必要があるが、本当の異常アクセスと、単に高負荷である状態を明確に区別できる基準値を設定することは現実には困難である。さらに、多数の機器が接続されたネットワークでは、転送元と転送先の全ての組み合わせについて前記のような基準値を個別に設定することは現実的でない。 On the other hand, in Patent Document 2, it is necessary to predetermine a reference value for determining abnormal access. However, a reference value that can clearly distinguish between true abnormal access and a state of high load is set. Is difficult in reality. Furthermore, in a network to which a large number of devices are connected, it is not practical to individually set the reference values as described above for all combinations of transfer sources and transfer destinations.

本発明は、悪意を持った者によって引き起こされる障害にも対処でき、制御通信の周期の安定化を図ると共に、制御通信に適したセキュリティ向上を実現できる制御ネットワークシステムを提供することを目的とする。 It is an object of the present invention to provide a control network system that can cope with a failure caused by a malicious person, stabilizes the cycle of control communication, and realizes security improvement suitable for control communication. .

本発明は、上記課題を解決するために、所定の周期で制御通信を行う複数の制御機器と、複数のセグメントから構成される通信路と、複数のセグメントの各セグメント間に配置され、セグメントと制御機器との接続状態を制御するネットワークスイッチと、通信路と接続された障害検知手段と、を有し、障害検知手段は、通信路上から収集したパケットのヘッダ部分から経路を抽出し、且つパケットの収集時刻からパケット情報を生成する経路分類部と、パケット情報から各経路における制御通信周期を算出する周期計測部と、その算出された各経路における制御通信周期と、予め記憶された各経路における制御通信周期の適正範囲と、を比較し、制御通信周期が適正範囲を逸脱した場合、障害検知信号を出力する逸脱判定部と、前記障害検知信号を検出すると、逸脱の原因となった制御通信の経路を推定すると、前記適正範囲を逸脱した経路におけるパケット送信元の前記制御機器が逸脱の原因であると推定するとともに、前記逸脱した経路における前記制御通信周期が前記適正範囲よりも短い周期で逸脱したか、または、長い周期で逸脱したかを判断し、短い周期で逸脱した場合には、逸脱の原因と推定された前記制御機器による不正パケットの放出が障害原因であると推定する障害原因推定部と、前記推定された経路における前記制御機器のアドレスを送信元とするパケット情報の送信を遮断する指令を、前記ネットワークスイッチに出力する遮断ルール生成部と、を有する構成とする。
In order to solve the above problems, the present invention provides a plurality of control devices that perform control communication in a predetermined cycle, a communication path that includes a plurality of segments, and a segment that is disposed between each segment of the plurality of segments. A network switch for controlling a connection state with the control device; and a failure detection unit connected to the communication path, wherein the failure detection unit extracts a path from a header portion of the packet collected from the communication path, and the packet A route classifying unit that generates packet information from the collection time, a cycle measuring unit that calculates a control communication cycle in each route from the packet information, a control communication cycle in each calculated route, and a pre-stored route in each route A deviation determination unit that outputs a failure detection signal when the control communication cycle deviates from the appropriate range; Detecting the signal result, it estimates the path caused the control communication deviation Then, with estimates that the appropriate range wherein the packet sender in deviant path control device is the cause of the deviation, in the deviant path It is judged whether the control communication cycle has deviated at a cycle shorter than the appropriate range or deviated at a long cycle. A failure cause estimator that estimates that the release of a packet is a cause of failure, and a block that outputs to the network switch a command that blocks transmission of packet information that uses the address of the control device in the estimated route as a transmission source And a rule generation unit.

悪意を持った者によって引き起こされる障害にも対処でき、制御通信の周期の安定化を図ると共に、制御通信に適したセキュリティ向上を実現できる制御ネットワークシステムが提供できる。 It is possible to provide a control network system that can cope with a failure caused by a malicious person, stabilize the cycle of control communication, and realize security improvement suitable for control communication.

以下、図面を参照し、本発明の実施例について説明する。 Embodiments of the present invention will be described below with reference to the drawings.

本発明の第一の実施形態を表す制御ネットワークシステムの構成を図１に示す。 FIG. 1 shows the configuration of a control network system representing the first embodiment of the present invention.

複数の制御ネットワークセグメント２０は、それぞれネットワークスイッチ３によって連結され、一つの通信路である制御ネットワーク２を形成する。制御ネットワーク２のトポロジーとして、本図ではバス接続のように記載しているが、実施の際はスター型，リング型など任意のトポロジーを採用してよく、それにより本発明の内容が影響を受けることはない。 The plurality of control network segments 20 are respectively connected by the network switch 3 to form the control network 2 that is one communication path. Although the topology of the control network 2 is described as a bus connection in the figure, an arbitrary topology such as a star type or a ring type may be adopted in implementation, thereby affecting the contents of the present invention. There is nothing.

ネットワークスイッチ２は、複数の制御ネットワークセグメント２０の各セグメント間に配置され、その制御ネットワークセグメント２０と制御機器１との接続状態を制御するものであって、アクセス制御リスト３１で指定されたアドレス情報を持つパケットに対して通過または遮断のアクションをとることができる。アクセス制御リスト３１で指定するアドレスは、ＩＥＥＥ８０２．３アドレス（いわゆるＭＡＣアドレス）のほか、Internet Protocol（ＩＰ）アドレスや、Transmission Control Protocol（ＴＣＰ）／User Datagram Protocol（ＵＤＰ）におけるポート番号を用いて記述できてもよい。制御機器１は、ネットワークスイッチ２の機器用ポート３２を介して接続される。機器用ポート３２はネットワークスイッチ２に複数備わっていてよい。 The network switch 2 is arranged between each of the plurality of control network segments 20 and controls the connection state between the control network segment 20 and the control device 1, and includes address information specified by the access control list 31. A pass or block action can be taken on a packet having. Addresses specified in the access control list 31 are described using IEEE 802.3 addresses (so-called MAC addresses), Internet Protocol (IP) addresses, and port numbers in Transmission Control Protocol (TCP) / User Datagram Protocol (UDP). It may be possible. The control device 1 is connected via a device port 32 of the network switch 2. A plurality of device ports 32 may be provided in the network switch 2.

制御機器１は、それぞれが所定の周期で制御演算，制御通信を実行しており、その過程において、他の制御機器との間で制御ネットワーク２を介して制御通信を実行する。一方、不正機器１ｘは悪意を持つ者によって構成された機器であり、ネットワークスイッチ３を経由して制御ネットワーク２へ大量のパケットを放出し、制御機器１による制御通信を妨害しようとする。 Each of the control devices 1 executes control calculation and control communication at a predetermined cycle. In the process, the control device 1 executes control communication with other control devices via the control network 2. On the other hand, the unauthorized device 1x is a device configured by a malicious person, and releases a large amount of packets to the control network 2 via the network switch 3 and attempts to disturb the control communication by the control device 1.

障害検知装置４は、通信路である制御ネットワーク２と接続され、通信路上に設けられ、通信路上に伝送されたパケットを収集するパケット収集用ポート３３を通じて通信パケットを収集する。このとき、各パケットを収集した時刻を該パケットに関連づけて記録しておく（図示せず）。パケット収集用ポート３３には、独立したリピータハブを用いてもよいし、ネットワークスイッチ２の機器用ポート３２の一つを用いてもよい（ただし、前記機器用ポートは、制御ネットワーク２上の全てのパケットを転送するよう設定したものであること）。なお、障害検知装置４は通信を妨害しないよう、パケットを収集するのみであり、収集したパケットに対していかなる形の返信もしない。 The failure detection device 4 is connected to the control network 2 that is a communication path, and is provided on the communication path, and collects communication packets through a packet collection port 33 that collects packets transmitted on the communication path. At this time, the time when each packet is collected is recorded in association with the packet (not shown). An independent repeater hub may be used as the packet collection port 33, or one of the device ports 32 of the network switch 2 may be used (however, the device ports are all on the control network 2). Must be set to forward packets). The failure detection device 4 only collects packets so as not to interfere with communication, and does not send any form of reply to the collected packets.

経路分類部４０は、通信路である制御ネットワーク２から収集したパケットのヘッダ部分から経路を示す送信元および送信先アドレスを抽出し、かつ、前記パケットのヘッダ部分と前記パケットの収集時刻からパケット情報４１０を生成する。なお、経路を示すそれぞれのアドレスは、システムで用いられるＩＰアドレス，ＩＥＥＥ８０２．３アドレス，ＴＣＰ／ＵＤＰのポート番号、およびそれらの組み合わせを任意に用いてよい。さらに、前記パケット情報４１０を、経路が同じもの同士でグループ化してパケット情報蓄積部４１に蓄積する。また、経路の送信先アドレスがブロードキャストアドレスやマルチキャストアドレスである場合、そのことを示すマーク（図中では、ブロードキャストパケットに対し“Ｂ”）を付けた上で、他の単一アドレスと同様に扱う。図２に、前記手順を模式的に表した図を示す。 The route classification unit 40 extracts a source and destination address indicating a route from a header portion of a packet collected from the control network 2 that is a communication route, and packet information from the header portion of the packet and the collection time of the packet 410 is generated. As each address indicating a route, an IP address used in the system, an IEEE 802.3 address, a TCP / UDP port number, and a combination thereof may be arbitrarily used. Further, the packet information 410 is grouped together with the same route and stored in the packet information storage unit 41. When the destination address of the route is a broadcast address or a multicast address, a mark indicating that (in the figure, “B” for the broadcast packet) is added and treated in the same manner as other single addresses. . FIG. 2 schematically shows the procedure.

以上、パケットを収集して、経路分類部４０にてパケット情報４１０を生成し、パケット情報蓄積部４１に蓄積するまでの手順は、制御ネットワーク２にパケットが流れるたびに実行される必要がある。 As described above, the procedure from collecting packets to generating packet information 410 in the route classification unit 40 and storing the packet information in the packet information storage unit 41 needs to be executed every time the packet flows through the control network 2.

周期計測部４２は、パケット情報４１０から各経路における制御通信周期である平均周期を算出する。具体的には、パケット情報蓄積部４１に蓄積されたパケット情報４１０から経路と収集時刻の組を単位時間（例えば１秒）分だけ読み出し、同一経路を持つ組に対して収集時刻の統計処理を施し、各経路における制御通信の平均周期（Ｔ）４３を算出する。図３に、前記手順を模式的に表した図を示す。このとき、平均周期に加えて、周期の分散（σ²）や平均周期の変動率（ΔＴ／Δｔ）などのような統計量も求めておくとよい（後述）。 The period measuring unit 42 calculates an average period that is a control communication period in each route from the packet information 410. Specifically, a set of a route and a collection time is read from the packet information 410 stored in the packet information storage unit 41 for a unit time (for example, 1 second), and statistical processing of the collection time is performed on the set having the same route. The average period (T) 43 of the control communication in each route is calculated. FIG. 3 schematically shows the procedure. At this time, in addition to the average period, statistics such as period variance (σ ² ) and average period variation rate (ΔT / Δt) may be obtained (described later).

通信周期の適正範囲４４は、障害検知装置４の起動時に予め設定されるパラメータであり、ネットワークシステム上で利用する予定の各経路における適正な通信周期の範囲が定義される。 The appropriate communication cycle range 44 is a parameter that is set in advance when the failure detection apparatus 4 is activated, and defines an appropriate communication cycle range for each route that is scheduled to be used on the network system.

逸脱判定部５０は、周期計測部４２において算出された各経路の制御通信周期である平均周期４３と、各経路における制御通信周期の適正範囲４４とを比較する。その結果、平均周期４３が適正範囲４４に収まっていた場合には、該経路の通信は正常であると判定し、次の経路における通信周期を判定する。もし、平均周期４３が適正範囲４４から逸脱していた場合には、該通信に障害が発生していると判定し、該通信の経路情報および障害の程度情報（例えば、適正範囲４４からの平均周期４３の逸脱割合）を含む障害検知信号５１を出力する。 The departure determination unit 50 compares the average cycle 43 that is the control communication cycle of each route calculated by the cycle measurement unit 42 with the appropriate range 44 of the control communication cycle in each route. As a result, if the average period 43 not fall proper range 44, it is determined that the communication pathway is normal, determining the communication cycle in the next path. If the average period 43 deviates from the appropriate range 44, it is determined that a failure has occurred in the communication, and the communication route information and failure degree information (for example, the average from the appropriate range 44). The fault detection signal 51 including the deviation ratio of the period 43 is output.

このとき、障害検知信号５１を、例えば別途設けた操作卓５で受信し、オペレータに対し障害の発生を報告する警報６を生成するために利用してもよい。また、算出された経路の平均周期４３に対応する適正範囲４４が定義されていない場合、そもそもシステムにおいて想定していない不正な通信が発生したということであり、平均周期４３の値にかかわらず直ちに障害検知信号５１を出力する。 At this time, the failure detection signal 51 may be received by, for example, a separately provided console 5 and used to generate an alarm 6 for reporting the occurrence of the failure to the operator. In addition, when the appropriate range 44 corresponding to the calculated average period 43 of the route is not defined, it means that unauthorized communication that is not assumed in the system has occurred in the first place, regardless of the value of the average period 43. A failure detection signal 51 is output.

以上、周期計測部４２にて平均周期４３を算出し、適正範囲４４と比較するまでの手順は、任意に設定した単位時間を周期として実行してよい。その場合、パケット情報蓄積部４１に必要な蓄積容量は設定する単位時間に比例するため、どちらか一方が制約条件となる場合はそちらをもとに他方を決定するとよい。 As described above, the procedure from the calculation of the average period 43 by the period measurement unit 42 to the comparison with the appropriate range 44 may be executed with the arbitrarily set unit time as the period. In this case, the storage capacity necessary for the packet information storage unit 41 is proportional to the unit time to be set. Therefore, if one of them becomes a constraint condition, the other may be determined based on that.

障害原因推定部５２は、障害検知信号５１が出力されたことを検出すると、周期計測部４２において算出された全経路の平均周期を取得して調べることで、逸脱の原因となった制御通信の経路を推定する、つまり障害の直接の原因となっている通信がどの経路上のものかを推定する。以下、原因の推定についての単純な例を図４から６に示し説明する。 When the failure cause estimation unit 52 detects that the failure detection signal 51 has been output, the failure cause estimation unit 52 obtains and examines the average period of all the routes calculated by the period measurement unit 42 to thereby determine the control communication that caused the deviation. Estimate the route, that is, on which route the communication that is the direct cause of the failure is. Hereinafter, simple examples of cause estimation will be described with reference to FIGS.

図４に示すように、障害と判定された経路（１ｘ→１ａ）において、通常の制御通信における適正な通信周期よりも大幅に短い周期でパケットが送信されている場合、送信元アドレスが不正機器１ｘによって取得されており、そこから制御機器１ａへのＤｏＳ攻撃が行われていると推定される。この場合、同時に、制御機器１ａを送信元とする別の経路（１ａ→１ｂ，１ａ→１ｃ）で適正な通信周期からの遅延による障害が検知されている可能性があり、あわせてＤｏＳ攻撃が行われているとの推定を強めることができる。 As shown in FIG. 4, when a packet is transmitted on a route (1x → 1a) determined to be a failure with a period significantly shorter than an appropriate communication period in normal control communication, the transmission source address is an unauthorized device. It is presumed that a DoS attack to the control device 1a is being performed. In this case, at the same time, there is a possibility that a failure due to a delay from an appropriate communication cycle is detected on another route (1a → 1b, 1a → 1c) having the transmission source of the control device 1a, and a DoS attack is also performed. It is possible to strengthen the presumption that it is done.

図５に示すように、障害と判定された経路がブロードキャスト経路（１ｘ→１ａ，１ｂ，１ｃ，…）であり、かつ通常の制御通信における適正な通信周期よりも短い周期でパケットが送信されている場合、送信元アドレスが不正機器１ｘによって取得されており、そこから無差別型のＤｏＳ攻撃が行われていると推定される。 As shown in FIG. 5, the route determined to be a failure is a broadcast route (1x → 1a, 1b, 1c,...), And a packet is transmitted at a cycle shorter than an appropriate communication cycle in normal control communication. If it is, the transmission source address is acquired by the unauthorized device 1x, and it is estimated that an indiscriminate DoS attack is being performed therefrom.

図６に示すように、障害と判定された経路（１ａ→１ｂ）において、通常の制御通信における適正な通信周期よりも大幅に長い周期でパケットが送信されているが、他の経路（１ｂ→１ｃなど）では障害が検出されていない場合、制御機器１ａ単独の故障であり、ネットワークシステムとしての障害ではないと推定される。 As shown in FIG. 6, in the route (1a → 1b) determined to be a failure, a packet is transmitted with a period significantly longer than the proper communication cycle in normal control communication, but other routes (1b → 1b) If no failure is detected in 1c and the like), it is estimated that this is a failure of the control device 1a alone and not a failure as a network system.

いずれの例でも、上記のように障害検出時点での各経路の平均周期のみで判断することは可能であるが、周期計測部４２において周期の分散（σ²）や平均周期の変動率（ΔＴ／Δｔ）などの統計量をあわせて求めておくと、例えば周期の分散により適正範囲４４からの逸脱が有意なものであるか否かを判断することができたり、平均周期の変動率により、障害が突発的なものか一定の期間継続する可能性があるのかといったことを判断でき、障害の原因推定の精度を高めることができて好適である。 In any of the examples, it is possible to make a determination based only on the average period of each path at the time of failure detection as described above. However, the period measurement unit 42 uses the period variance (σ ² ) and the average period variation rate (ΔT). / Δt) and other statistics can be determined together, for example, whether or not the deviation from the appropriate range 44 is significant due to the variance of the cycle, or the variation rate of the average cycle, It is possible to determine whether the failure is abrupt or has a possibility of continuing for a certain period of time, and the accuracy of the cause estimation of the failure can be improved.

障害原因推定部５２において障害原因となっている経路が特定され、かつその原因がＤｏＳ攻撃などの有害なものであると推定された場合、その経路で行われている通信を遮断してネットワークシステムを障害状態から回復させる必要がある。 If the failure cause estimation unit 52 identifies a route that is the cause of the failure and the cause is estimated to be harmful, such as a DoS attack, the network system is blocked by blocking communication performed on the route. Must be recovered from the fault state.

障害原因推定部５２は、前記推定した障害原因経路のアドレス情報を遮断経路情報５３として遮断ルール生成部５４へ出力する。遮断ルール生成部５４は図７に示すように、遮断経路情報５３で示されたアドレス情報に基づきアクセス制御リスト３１により障害原因経路の遮断をネットワークスイッチ３に指令する。図中の“deny src 1x dst all”は、「アドレス１ｘを送信元とする、任意の送信先へのパケットを遮断する」という意味である。 The failure cause estimation unit 52 outputs the estimated failure cause route address information to the cutoff rule generation unit 54 as cutoff route information 53. As shown in FIG. 7, the blocking rule generation unit 54 instructs the network switch 3 to block the failure cause path by the access control list 31 based on the address information indicated by the blocking path information 53. “Deny src 1x dst all” in the figure means “blocks a packet to an arbitrary transmission destination having the address 1x as a transmission source”.

最終的に、各々のネットワークスイッチ３がネットワークセグメント２０の境界で障害原因経路に属する通信パケットを阻止することにより、障害が排除されて正常な制御通信を行える状態が回復される。 Eventually, each network switch 3 blocks communication packets belonging to the failure cause path at the boundary of the network segment 20, so that the failure can be eliminated and normal control communication can be performed.

本実施例では、以上説明した動作により制御ネットワーク上の制御通信を監視し、制御にとって有害な異常をきたしていると推定される経路の通信を遮断することで、他の制御通信の周期を維持し、システム全体としての安定性を向上させることができる。 In this embodiment, the control communication on the control network is monitored by the above-described operation, and the communication of the route that is estimated to cause an abnormality harmful to the control is interrupted to maintain the cycle of other control communication. In addition, the stability of the entire system can be improved.

本発明の第二の実施形態を表す制御ネットワークシステムの構成を図８に示す。 FIG. 8 shows the configuration of the control network system representing the second embodiment of the present invention.

本実施例では、制御ネットワークを乱し、システムの制御動作を妨害する目的で、不正機器１ｘが制御ネットワーク３に接続されていると仮定する。 In this embodiment, it is assumed that the unauthorized device 1x is connected to the control network 3 for the purpose of disturbing the control network and disturbing the control operation of the system.

第一の実施例では、制御通信周期の適正範囲４４が定義されていない通信経路を不正な通信とみなし、障害として扱うことを説明したが、不正機器１ｘは自らの存在を隠し、妨害動作をなるべく長い間行えるよう、しばしば既存の制御機器１ａ，１ｂ，…のアドレスを詐称してパケットを送信する場合がある。それにより、信頼できない経路情報に基いて周期の監視がなされるため、正確な障害検知ができなくなるほか、場合によっては本来正常であるはずの制御機器１ａや１ｂを含む経路が異常を判断され、誤って遮断されてしまう可能性がある。上記のような事例に対処するために、悪意を持つ者が故意に制御通信の周期を乱そうとして送信するパケットについても正しく検知し、適切に対処することを目的とする。 In the first embodiment, it has been described that a communication path in which the appropriate range 44 of the control communication cycle is not defined is regarded as unauthorized communication and treated as a failure. However, the unauthorized device 1x hides its presence and performs a disturbing operation. In order to perform as long as possible, the address of the existing control devices 1a, 1b,. Thereby, since the period is monitored based on the unreliable route information, it is impossible to accurately detect the failure, and in some cases, the route including the control devices 1a and 1b that should be normal is determined to be abnormal, There is a possibility of being blocked by mistake. In order to deal with the above cases, it is an object to correctly detect a packet transmitted by a malicious person intentionally trying to disturb the period of control communication and appropriately deal with it.

本実施例では、第一の実施例における構成に加え、制御機器１ａおよび１ｂが各々認証コード生成部６０と認証コード検証部６１を備え、かつ障害検知装置４も認証コード検証部６１を備える。 In the present embodiment, in addition to the configuration in the first embodiment, the control devices 1a and 1b each include an authentication code generation unit 60 and an authentication code verification unit 61, and the failure detection device 4 also includes an authentication code verification unit 61.

制御装置１ａから制御装置１ｂへの通常の制御通信においては、図９に示すように、制御装置１ａの内部で生成された制御通信メッセージ６２に、認証コード生成部６０で生成した認証コード６３を付加し、制御通信パケット６５を生成して制御装置１ｂへ送信する。制御装置１ｂは、受信した制御通信パケット６５を制御通信メッセージ６２と認証コード６３とに再分解し、認証コード検証部６１において、受信された認証コード６３と同じ認証コードを生成できるかどうかを検証する。 In normal control communication from the control device 1a to the control device 1b, as shown in FIG. 9, the authentication code 63 generated by the authentication code generation unit 60 is added to the control communication message 62 generated inside the control device 1a. In addition, a control communication packet 65 is generated and transmitted to the control device 1b. The control device 1b re-disassembles the received control communication packet 65 into a control communication message 62 and an authentication code 63, and verifies whether or not the authentication code verification unit 61 can generate the same authentication code as the received authentication code 63. To do.

前記認証コード６３は、前記制御通信メッセージ６２と、予め制御装置１の間で合意されている秘密の共通鍵６４とから、メッセージ認証コード（Message Authentication Code；ＭＡＣ）として知られている技術を用いて生成・検証されるものである。ＭＡＣを生成する過程で用いられる、ハッシュ関数と呼ばれる関数の数学的性質より、共通鍵６４を知らない者が同一の認証コード６３を生成することは著しく困難である。本実施例では、認証コード生成部６０が予め定められた共通鍵６４に基づいてパケットを生成する。また認証コード検証部６１は、その共通鍵に基づいて認証コードを検証する。なお、共通鍵６４は、制御機器１及び障害検知装置４内に予め記憶しておく。 The authentication code 63 uses a technique known as a message authentication code (MAC) from the control communication message 62 and a secret common key 64 agreed in advance between the control devices 1. Generated and verified. Due to the mathematical nature of a function called a hash function used in the process of generating the MAC, it is extremely difficult for a person who does not know the common key 64 to generate the same authentication code 63. In the present embodiment, the authentication code generation unit 60 generates a packet based on a common key 64 determined in advance. The authentication code verification unit 61 verifies the authentication code based on the common key. The common key 64 is stored in advance in the control device 1 and the failure detection device 4.

従って、本実施例では、共通鍵６４の秘密が保たれている限り、正当な制御機器１ａ，１ｂ，…のみが有効な認証コードを６３を含む制御通信パケット６５を生成することができ、例え不正機器１ｘが制御機器１ａなどのアドレスを不当に名乗っていても、不正機器１ｘから送信されたパケットを峻別することが可能である。 Therefore, in this embodiment, as long as the secret of the common key 64 is kept, only the valid control devices 1a, 1b,... Can generate the control communication packet 65 including the valid authentication code 63. For example, Even if the unauthorized device 1x improperly names the address of the control device 1a or the like, it is possible to distinguish packets transmitted from the unauthorized device 1x.

障害検知装置４において、上記の手順により制御通信パケット６５から認証コード６３と同一の認証コードを生成できた場合、実施例１と同様にして経路ごとに集計し、適正な周期であるかどうかをチェックする。一方、図１０に示すように、受信した制御通信パケット６５から生成した認証コード６３ｘと受信したした認証コード６３とが一致しなかった場合、パケット情報蓄積部４１で不正なパケットであることを示すマーク（図中の“！”）を付け、他の正当なパケットとは区別して集計する。そのようなパケットの発生が散発的であれば、ノイズ等による単なるパケット破損の可能性が高いが、ある頻度を超えて検出されるような場合には不正機器による攻撃の可能性が高いと推定される。そのような場合には、集計や適正周期のチェックなど行わず、遮断ルール生成部５４から不正パケットを遮断するためのアクセス制御リスト３１をネットワークスイッチ２へ即座に出力するような構成にしてもよい。 In the failure detection device 4, when the same authentication code as the authentication code 63 can be generated from the control communication packet 65 by the above procedure, it is counted for each route in the same manner as in the first embodiment, and it is determined whether or not it is an appropriate cycle. To check. On the other hand, as shown in FIG. 10, when the authentication code 63x generated from the received control communication packet 65 and the received authentication code 63 do not match, the packet information storage unit 41 indicates that the packet is an illegal packet. A mark ("!" In the figure) is attached and counted separately from other legitimate packets. If the occurrence of such packets is sporadic, the possibility of mere packet corruption due to noise or the like is high, but if it is detected beyond a certain frequency, it is estimated that there is a high possibility of an attack by an unauthorized device Is done. In such a case, the access control list 31 for blocking unauthorized packets from the blocking rule generation unit 54 may be immediately output to the network switch 2 without performing aggregation or checking of an appropriate period. .

本発明の第三の実施形態を表す制御ネットワークシステムの構成を図１１に示す。 FIG. 11 shows a configuration of a control network system representing the third embodiment of the present invention.

基本的構成は、障害検知装置４も含めて実施例１と同様であるが、設計情報変換・検証手段７１およびそれに与える設計情報７０が追加されている。 The basic configuration is the same as that of the first embodiment including the failure detection device 4, but a design information conversion / verification unit 71 and design information 70 given thereto are added.

第一および第二の実施例では、各経路における通信周期の適正範囲４４の与え方を定義しなかったが、大規模なシステムでは制御通信の経路数が膨大になると考えられ、これらを手作業で決定し入力することは非常に煩雑な作業となる。本実施例では、上記適正範囲を制御ネットワークシステムの設計情報７０に基づいて抽出することにより上記問題の解決を図る。また、逆に、運転中のシステムにおいて観測された制御通信の周期を設計の見直しを行う際の情報として用い、システムの改善に資することも目的とする。 In the first and second embodiments, the method of giving the appropriate range 44 of the communication cycle in each route was not defined. However, in a large-scale system, it is considered that the number of control communication routes becomes enormous, and these are handled manually. It is a very complicated task to determine and input in the above. In the present embodiment, the above problem is solved by extracting the appropriate range based on the design information 70 of the control network system. On the other hand, it is also intended to contribute to system improvement by using the control communication cycle observed in the operating system as information when the design is reviewed.

利用する設計情報７０としては、実際に制御機器１に搭載される設定ファイルや制御用ソフトウェアなどの具体的なデータのほか、各制御装置１が行うべき制御通信の具体的な仕様（制御データのスループットやデータ長、許容される遅延時間など。もちろん通信周期そのものであってもよい）が定義された電子的な文書を用いてもよい。設計情報変換・検証手段７１は、制御ネットワークシステムの起動時に、与えられた前記設計情報７０を走査して含まれている制御通信の仕様情報を抽出し、さらにそれらに基づいて各制御通信周期の適正範囲４４を算出し、障害検知装置４に設定する。 As design information 70 to be used, in addition to specific data such as setting files and control software that are actually mounted on the control device 1, specific specifications of control communication to be performed by each control device 1 (control data An electronic document in which the throughput, data length, allowable delay time, etc. (of course, the communication cycle itself may be defined) may be used. The design information conversion / verification unit 71 scans the given design information 70 when the control network system is activated, and extracts control communication specification information contained therein. The appropriate range 44 is calculated and set in the failure detection device 4.

システムの定常運転中、障害検知装置４は各制御通信経路を監視し、周期計測部４２にて制御通信周期である平均周期４３を算出する。設計情報変換・検証手段７１は所定の頻度で各経路の平均周期４３を取得し、その取得した平均周期と前記算出した適正範囲４４と比較し、その比較結果を報告書であるレポート７２を作成してシステムの管理者に通知する。通知されたレポート７２より、通信周期が適正範囲４４に収まってはいるが変動に対して余裕のない経路や、通信周期の変動が大きく安定性に欠ける経路があるかどうかを読み取ることができ、例えばそれらを解決するための通信仕様見直しを検討する資料として用いることができる。 During steady operation of the system, the failure detection device 4 monitors each control communication path, and the period measurement unit 42 calculates an average period 43 that is a control communication period. The design information conversion / verification unit 71 acquires the average period 43 of each route at a predetermined frequency, compares the acquired average period with the calculated appropriate range 44, and creates a report 72 that is a report of the comparison result. To notify the system administrator. From the reported report 72, it is possible to read whether there is a path in which the communication cycle is within the appropriate range 44 but there is no room for fluctuation, or whether there is a path that has a large fluctuation in the communication period and lacks stability, For example, it can be used as data for reviewing communication specifications to solve them.

本発明に係る制御ネットワークシステムの第一の実施形態を示す図である。1 is a diagram showing a first embodiment of a control network system according to the present invention. 第一の実施形態において収集したパケットの蓄積手順を示す模式図である。It is a schematic diagram which shows the accumulation | storage procedure of the packet collected in 1st embodiment. 通信周期を算出する手順を示す模式図である。It is a schematic diagram which shows the procedure which calculates a communication period. 制御ネットワークシステムにおける障害原因の推定例（１）の模式図である。It is a schematic diagram of the example (1) of estimation of the cause of a failure in a control network system. 制御ネットワークシステムにおける障害原因の推定例（２）の模式図である。It is a schematic diagram of an estimation example (2) of a failure cause in the control network system. 制御ネットワークシステムにおける障害原因の推定例（３）の模式図である。It is a schematic diagram of an example (3) of estimating the cause of failure in the control network system. 本発明に係る制御ネットワークシステムのパケット遮断手順を示す模式図である。It is a schematic diagram which shows the packet blocking procedure of the control network system according to the present invention. 本発明に係る制御ネットワークシステムの第二の実施形態を示す図である。It is a figure which shows 2nd embodiment of the control network system which concerns on this invention. 第二の実施形態におけるＭＡＣ適用手順の模式図である。It is a schematic diagram of the MAC application procedure in 2nd embodiment. 不正パケットの取り扱いの例を示す模式図である。It is a schematic diagram which shows the example of handling of an unauthorized packet. 本発明に係る制御ネットワークシステムの第三の実施形態を示す図である。It is a figure which shows 3rd embodiment of the control network system which concerns on this invention.

Explanation of symbols

１制御機器
１ｘ不正機器
２制御ネットワーク
３ネットワークスイッチ
４障害検知装置
５操作卓
６警報
２０ネットワークセグメント
３１アクセス制御リスト
３２機器用ポート
３３パケット収集用ポート
４０経路分類部
４１パケット情報蓄積部
４２周期計測部
４３平均周期
４４適正範囲
５０逸脱判定部
５１障害検知信号
５２障害原因推定部
５３遮断経路情報
５４遮断ルール生成部
６０認証コード生成部
６１認証コード検証部
６２制御通信メッセージ
６３認証コード
６４共通鍵
６５制御通信パケット
７０設計情報
７１設計情報変換・検証手段
７２レポート
４１０パケット情報 DESCRIPTION OF SYMBOLS 1 Control apparatus 1x Unauthorized apparatus 2 Control network 3 Network switch 4 Failure detection apparatus 5 Console 6 Alarm 20 Network segment 31 Access control list 32 Equipment port 33 Packet collection port 40 Path classification part 41 Packet information storage part 42 Period measurement part 43 Average period 44 Appropriate range 50 Deviation determination unit 51 Failure detection signal 52 Failure cause estimation unit 53 Blocking path information 54 Blocking rule generation unit 60 Authentication code generation unit 61 Authentication code verification unit 62 Control communication message 63 Authentication code 64 Common key 65 Control Communication packet 70 Design information 71 Design information conversion / verification means 72 Report 410 Packet information

Claims

A plurality of control devices that perform control communication in a predetermined cycle;
A communication path composed of a plurality of segments;
A network switch that is arranged between each of the plurality of segments and controls a connection state between the segment and the control device;
Fault detection means connected to the communication path,
The failure detection means includes
A route classifying unit that extracts a route from a header portion of a packet collected from the communication path and generates packet information from a collection time of the packet;
A cycle measuring unit that calculates a control communication cycle in each path from the packet information;
The calculated control communication cycle in each route is compared with a preset appropriate range of the control communication cycle in each route, and a failure detection signal is output when the control communication cycle deviates from the appropriate range A deviation determination unit to
When the failure detection signal is detected , it is estimated that the control device of the packet transmission source in the route that deviates from the appropriate range is the cause of the deviation, and the control communication cycle in the deviated route is shorter than the appropriate range. Judgment whether it deviated in a cycle or deviated in a long cycle, and when deviating in a short cycle, it is presumed that the emission of an illegal packet by the control device presumed to be the cause of the deviation is the cause of the failure A failure cause estimation unit;
A blocking rule generating unit that outputs a command to block transmission of packet information whose source is the address of the control device in the estimated route to the network switch;
A control network system.

The control network system according to claim 1,
The failure cause estimation unit is a case where the control communication cycle in the deviated route deviates at a cycle longer than the appropriate range, and the control communication cycle of a route different from the deviated route is in the appropriate range. If it does not deviate from the above, it is estimated that a failure of the control device of the packet transmission source in the deviated route is the cause of the failure .

The control network system according to claim 1 or 2,
A control network system having a packet collection port that is provided on the communication path and collects packets transmitted on the communication path.

The control network system according to claim 1 or 2,
A control network system including a packet information storage unit that stores packet information generated by the route classification unit in groups of the same routes.

The control network system according to claim 1 or 2,
The control device is
An authentication code generation unit that adds an authentication code to the generated control communication message, generates a packet, and outputs the packet;
An authentication code verification unit that separates the control communication message and the authentication code from the input packet and verifies whether or not the same authentication code as the separated authentication code can be generated;
A control network system.

The control network system according to claim 5, wherein
The authentication code generation unit generates an authentication code based on a predetermined common key,
The authentication code verification unit is a control network system that verifies the authentication code using the common key.

The control network system according to claim 6, wherein
The failure detection unit includes an authentication code verification unit that separates the control communication message and the authentication code from an input packet and verifies whether or not the same authentication code as the separated authentication code can be generated,
The authentication code verification unit verifies the authentication code separated using the common key for packets collected from the communication path,
The route classification unit extracts a route from the header portion of the packet only for a packet whose validity is confirmed as a result of verification by the authentication code verification unit, and generates packet information from the collection time of the packet Control network system.

The control network system according to claim 1 or 2,
A control network system comprising design information conversion / verification means for generating an appropriate range of the control communication cycle based on design information of the control network system.

The control network system according to claim 8,
The design information conversion / verification unit is a control network system that extracts control communication specification information from the design information when the control network system is activated, and calculates an appropriate range of the control communication cycle based on the specification information.

The control network system according to claim 9, wherein
The design information conversion / verification unit acquires a control communication cycle of each route at a predetermined frequency, compares the acquired control communication cycle of each route with the calculated appropriate range of the control communication cycle, and compares Control network system that outputs the result of the operation as a report.