JP6021552B2 - 監視装置、監視システム、プログラム、及び監視方法 - Google Patents

Description

本発明は、エネルギー管理システムにおける監視装置、監視システム、プログラム、及び監視方法に関する。

建物の設備機器の監視や制御を行うことで建物のエネルギー消費を管理するエネルギー管理システム（例えば、ＢＥＭＳ（Building and Energy Management System）など）が知られている。

また、顧客の建物のエネルギー管理システムを、クラウトシステムなどのシステムにより遠隔から管理することで、顧客に対してエネルギー管理の支援サービスを提供するエネルギー管理支援システムが知られている。

例えば、特許文献１には、顧客施設内の設備機器の運転状態や室内環境に関するデータが顧客施設の外部のサービス提供施設に送られ、サービス提供施設が顧客施設内の設備機器を最適化制御するための支援を行うことが記載されている。

特開２０１１−２４８５６８号公報

ところで、近年エネルギー管理の重要性が高まる中、建物内の設備機器だけでなく、ＰＣ（Personal Computer）やサーバなどのいわゆるＩＴ（Information Technology）機器についても統合的に管理して、管理を効率化したいという要望が高まっている。また、インターネットなどのネットワークを介して設備機器を遠隔操作することができるシステムでは、従来想定されていない設備機器の不正操作などのセキュリティリスクが高まっている。そのため、設備機器を含むネットワーク全体を統合的に監視することが求められている。

そこで、本発明は、エネルギー管理システムにおいて、設備機器及びＩＴ機器を統合的に管理することを目的とする。

本願は、上記課題の少なくとも一部を解決する手段を複数含んでいるが、その例を挙げるならば、以下のとおりである。

上記の課題を解決するための本発明の第一の態様は、監視装置であって、ＩＴ機器、設備機器、及び前記設備機器を制御する制御装置を含むエネルギー管理システムに接続され、前記ＩＴ機器及び前記制御装置が接続される第一のネットワーク上の通信経路を特定する第一の経路情報を取得する第一の取得部と、前記設備機器及び前記制御装置が接続されるネットワークであって、前記第一のネットワークとは通信方式が異なる第二のネットワーク上の通信経路を特定する第二の経路情報を取得する第二の取得部と、前記第一の経路情報及び前記第二の経路情報に基づいて、前記ＩＴ機器、前記設備機器、及び前記制御装置の接続関係を特定するシステム構成情報を生成するシステム構成情報生成部と、前記システム構成情報に基づいて、前記ＩＴ機器、前記設備機器、及び前記制御装置の接続関係を表す表示情報を出力する出力部と、を有する、ことを特徴とする。

上記の監視装置は、前記第一のネットワーク上の通信をキャプチャするキャプチャ部と、前記第二のネットワーク上の通信のログ情報を前記制御装置から収集するログ収集部と、前記キャプチャ部によりキャプチャされたキャプチャ情報に基づいて、前記第一のネットワーク上の通信経路を特定する経路情報を生成する第一の生成部と、前記ログ収集部により収集されたログ情報に基づいて、前記第二のネットワーク上の通信経路を特定する経路情報を生成する第二の生成部と、を有し、前記第一の取得部は、前記第一の生成部が生成した経路情報を前記第一の経路情報として取得し、前記第二の取得部は、前記第二の生成部が生成した経路情報を前記第二の経路情報として取得する、ことを特徴としてもよい。

上記の監視装置は、宛先のアドレス情報と、当該宛先へのアクセスが許可される送信元のアドレス情報とを関連付けたアクセス許可情報を取得する第三の取得部と、前記第一のネットワーク上の通信を監視し、当該通信に含まれるアドレス情報と、前記アクセス情報に含まれるアドレス情報とに基づいて、当該通信のアクセスが許可されているか否かを監視する第一の監視部と、を有し、前記出力部は、前記第一の監視部により許可されていないと判定された通信を特定する表示情報を出力する、ことを特徴としてもよい。

上記の監視装置は、前記第一のネットワーク上の通信経路及び前記第二ネットワーク上の通信経路ごとに、当該通信経路上の通信に関するパラメータと比較するための閾値を関連付けた閾値情報を取得する第四の取得部と、前記第一のネットワーク上の通信経路及び前記第二のネットワーク上の通信経路を監視し、前記通信経路ごとに、当該通信経路における通信に関する前記パラメータを求め、前記閾値情報に基づいて当該パラメータが前記閾値を超えているか否かを判定する第二の監視部と、を有し、前記出力部は、前記第二の監視部により前記閾値を超えていると判定された通信経路を特定する表示情報を出力する、ことを特徴としてもよい。

上記の監視装置は、前記出力部により出力される前記接続関係を表す表示情報に対する入力を受け付ける入力部を有し、前記出力部は、前記ＩＴ機器、前記設備機器、及び前記制御装置に対応するオブジェクトと、前記オブジェクト間のリンクと、により前記接続関係を表す表示情報を出力し、前記入力部は、前記オブジェクトについて、関連するファイルを特定する情報の設定を受け付けて保持し、前記出力部は、前記ファイルを特定する情報が設定されたオブジェクトに関連付けて、当該ファイル内容を表す表示情報を出力する、ことを特徴としてもよい。

上記の監視装置であって、前記出力部は、前記システム構成情報に基づいて、前記ＩＴ機器及び前記制御装置の接続関係に関連付けて前記第一のネットワークの範囲を表す表示情報を出力し、前記制御装置及び前記設備機器の接続関係に関連付けて前記第二のネットワークの範囲を表す表示情報を出力する、ことを特徴としてもよい。

上記の課題を解決するための本発明の第二の態様は、監視システムであって、ＩＴ機器、設備機器、及び前記設備機器を制御する制御装置を含むエネルギー管理システムに接続される監視装置と、前記エネルギー管理システムに接続される端末とを備え、前記監視装置は、前記ＩＴ機器及び前記制御装置が接続される第一のネットワーク上の通信経路を特定する第一の経路情報を取得する第一の取得部と、前記設備機器及び前記制御装置が接続されるネットワークであって、前記第一のネットワークとは通信方式が異なる第二のネットワーク上の通信経路を特定する第二の経路情報を取得する第二の取得部と、前記第一の経路情報及び前記第二の経路情報に基づいて、前記ＩＴ機器、前記設備機器、及び前記制御装置の接続関係を特定するシステム構成情報を生成するシステム構成情報生成部と、前記システム構成情報に基づいて、前記ＩＴ機器、前記設備機器、及び前記制御装置の接続関係を表す表示情報を出力する出力部と、を有し、前記端末は、前記出力部から出力された表示情報を表示する表示部を有する、ことを特徴とする。

上記の課題を解決するための本発明の第三の態様は、監視装置のプログラムであって、前記監視装置は、ＩＴ機器、設備機器、及び前記設備機器を制御する制御装置を含むエネルギー管理システムに接続され、前記プログラムは、前記ＩＴ機器及び前記制御装置が接続される第一のネットワーク上の通信経路を特定する第一の経路情報を取得する第一の取得ステップと、前記設備機器及び前記制御装置が接続されるネットワークであって、前記第一のネットワークとは通信方式が異なる第二のネットワーク上の通信経路を特定する第二の経路情報を取得する第二の取得ステップと、前記第一の経路情報及び前記第二の経路情報に基づいて、前記ＩＴ機器、前記設備機器、及び前記制御装置の接続関係を特定するシステム構成情報を生成するシステム構成情報生成ステップと、前記システム構成情報に基づいて、前記ＩＴ機器、前記設備機器、及び前記制御装置の接続関係を表す表示情報を出力する出力ステップと、を前記監視装置に実行させる、ことを特徴とする。

上記の課題を解決するための本発明の第四の態様は、ＩＴ機器、設備機器、及び前記設備機器を制御する制御装置を含むエネルギー管理システムの監視方法であって、前記ＩＴ機器及び前記制御装置が接続される第一のネットワーク上の通信経路を特定する第一の経路情報を取得する第一の取得ステップと、前記設備機器及び前記制御装置が接続されるネットワークであって、前記第一のネットワークとは通信方式が異なる第二のネットワーク上の通信経路を特定する第二の経路情報を取得する第二の取得ステップと、前記第一の経路情報及び前記第二の経路情報に基づいて、前記ＩＴ機器、前記設備機器、及び前記制御装置の接続関係を特定するシステム構成情報を生成するシステム構成情報生成ステップと、前記システム構成情報に基づいて、前記ＩＴ機器、前記設備機器、及び前記制御装置の接続関係を表す表示情報を出力する出力ステップと、を含む、ことを特徴とする。

上記した以外の課題、構成、及び効果は、以下の実施形態の説明により明らかにされる。

本発明の一実施形態に係るエネルギー管理システム１のシステム構成の一例を示す図。 通信監視装置１００の機能構成の一例を示す図。 通信情報テーブル１９１の一例を示す図。 通信情報テーブル１９２の一例を示す図。 システム構成テーブル２０１の一例を示す図。 監視ルールテーブル２１１の一例を示す図。 監視ルールテーブル２１２の一例を示す図。 アクセスリスト２２１の一例を示す図。 コンピューター３００のハードウェア構成の一例を示す図。 通信情報生成処理の一例を示すフロー図。 システム構成情報生成処理の一例を示すフロー図。 システム構成を編集するユーザーインターフェイス画面５００の一例を示す図（その１）。 システム構成を編集するユーザーインターフェイス画面５００の一例を示す図（その２）。 システム構成を編集するユーザーインターフェイス画面５００の一例を示す図（その３）。 システム構成を編集するユーザーインターフェイス画面５００の一例を示す図（その４）。 監視ルール生成処理の一例を示すフロー図。 監視ルールを編集するユーザーインターフェイス画面６００の一例を示す図。 不正通信監視処理の一例を示すフロー図。 不正通信を通知するユーザーインターフェイス画面７００の一例を示す図。 システム構成を編集するユーザーインターフェイス画面５００の変形例を示す図。

以下、本発明の一実施形態について、図面を参照して説明する。

図１は、本発明の一実施形態に係るエネルギー管理システム１のシステム構成の一例を示す図である。

エネルギー管理システム１では、ＢＥＭＳなどのエネルギー管理システムが構築された顧客施設１０と、顧客施設１０に対してエネルギー管理に関する支援サービスを提供するサービス提供施設２０とが、インターネット４０を介して接続されている。

顧客施設１０には、管理サーバ１１と、管理端末１２と、エネルギー制御装置１４と、設備機器１５と、計測機器１６とが含まれている。なお、設備機器１５及び計測機器１６は、それぞれ一以上含まれている。

管理サーバ１１、管理端末１２、及びエネルギー制御装置１４は、いわゆるＩＴ機器としての機能を備えており、ネットワーク（以下、「ＩＴ機器ネットワーク」ともいう。）を介して互いに通信可能である。ＩＴ機器ネットワークは、例えば、ＩＥＥＥ８０２．３の規格のＬＡＮであり、ルーターなどの通信機器を介して、インターネット４０に接続されている。ＩＴ機器ネットワークでは、通信プロトコルとして、例えば、ＩＰ（Internet Protocol）などが用いられる。

エネルギー制御装置１４は、設備機器１５及び計測機器１６と、ネットワーク（以下、「設備機器ネットワーク」ともいう。）を介して互いに通信可能である。設備機器ネットワークは、エネルギー制御装置１４を介してＩＴ機器ネットワークと接続されており、ＩＴ機器が、直接的に設備機器１５及び計測機器１６にアクセスできないようになっている。すなわち、設備機器ネットワークでは、ＩＴ機器ネットワークとは異なる既存の通信プロトコルが用いられる。

設備機器１５は、例えば、ガス設備、電気設備、空調設備などの建物の所要の場所に設置された設備を構成する機器である。また、計測機器１６は、各設備の所要の場所に設けられ、各設備や設備機器１５の消費エネルギーなどの運転状態や、温度などの環境に関する情報を計測する機器である。なお、設備機器及び計測機器の両方を含めて、単に設備機器と呼んでもよい。

エネルギー制御装置１４は、設備機器１５及び計測機器１６の運転状態の監視、制御などを行う装置であり、ビルコントローラーなどとも呼ばれる。エネルギー制御装置１４は、設備機器１５及び計測機器１６の個々を監視、制御するコントローラーを集約していてもよい。また、エネルギー制御装置１４は、設備機器１５及び計測機器１６から取得した情報を、管理サーバ１１又は遠隔管理サーバ２１に送信できる。また、エネルギー制御装置１４は、管理サーバ１１又は遠隔管理サーバ２１から、設備機器１５及び計測機器１６の動作を直接的または間接的に決める制御パラメータ値を受信し、この制御パラメータ値に基づいて、設備機器１５及び計測機器１６を制御することができる。

本実施形態では、エネルギー制御装置１４は、設備機器１５及び計測機器１６との通信のログを記録することができるようになっている。また、ログ情報をＩＴ機器ネットワーク側に送信することができるようになっている。ログ情報には、例えば、通信した宛先の設備機器１５及び計測機器１６の識別情報、宛先との通信内容（日付時刻、通信種別、データ量など）などが含まれる。

管理サーバ１１は、エネルギー制御装置１４を制御する。管理サーバ１１は、例えば、エネルギー制御装置１４を介して設備機器１５及び計測機器１６の情報を取得する。また、例えば、取得した情報に基づいて、設備機器１５の消費エネルギーなどの情報を含むグラフを生成し、管理端末１２に出力して表示させる。また、管理サーバ１１は、管理端末１２を介して制御パラメータ値などの入力を受け付け、エネルギー制御装置１４に送信してもよい。また、管理サーバ１１は、設備機器１５及び計測機器１６の情報を、遠隔管理サーバ２１に送信してもよい。

管理端末１２は、管理サーバ１１を操作するための装置である。顧客側管理者１３は、管理端末１２を介して管理サーバ１１を操作することで、エネルギー情報の確認や、設備機器１５の制御などを行うことができる。管理サーバ１１を用いることにより、顧客施設１０に、いわゆるＢＥＭＳが構築される。

サービス提供施設２０には、遠隔管理サーバ２１と、管理端末２２とが含まれている。これらは、ＬＡＮなどのネットワークを介して接続されている。

遠隔管理サーバ２１及び管理端末２２は、いわゆるＩＴ機器としての機能を備えており、ネットワーク（以下、「ＩＴ機器ネットワーク」ともいう。）を介して互いに通信可能である。ＩＴ機器ネットワークは、例えば、ＬＡＮであり、ルーターなどの通信機器を介して、インターネット４０に接続されている。

遠隔管理サーバ２１は、顧客施設１０に対するエネルギー管理支援を行う。遠隔管理サーバ２１は、例えば、管理サーバ１１又はエネルギー制御装置１４から、設備機器１５及び計測機器１６の情報を取得する。また、例えば、取得した情報に基づいて、分析、評価、シミュレーションなどを行って、省エネルギー効果の高い制御を行うための制御パラメータ値を生成し、管理サーバ１１又はエネルギー制御装置１４に送信する。

管理端末２２は、遠隔管理サーバ２１を操作するための装置である。サービス側管理者２３は、管理端末２２を介して遠隔管理サーバ２１を操作することで、エネルギー情報の確認や、分析、評価、シミュレーションなどに関する入力などを行うことができる。このように、遠隔管理サーバ２１により、顧客施設１０に対するエネルギー管理支援が提供される。

本実施形態では、上述のようにＢＥＭＳが構築された顧客施設１０内に、通信監視装置１００が設置され、ＩＴ機器ネットワークに接続される。詳細は後述するが、通信監視装置１００は、ＩＴ機器ネットワーク及び設備機器ネットワークの情報を収集し、収集した情報に基づいて、ＩＴ機器ネットワーク及び設備機器ネットワークを統合したシステム構成情報を生成する。また、ＩＴ機器ネットワーク及び設備機器ネットワークを統合したシステムにおける、不正通信（例えば、不正アクセス者５１による、インターネット４０に接続された端末５０からの管理サーバ１１、管理端末１２、エネルギー制御装置１４などに対する攻撃が考えられる。）の監視を行う。通信監視装置１００を用いることにより、エネルギー管理システム１を監視する監視システムが構築される。

上記の図１のエネルギー管理システム１の構成は、本願発明の特徴を説明するにあたって主要構成を説明したのであって、上記の構成に限られない。また、一般的なエネルギー管理システムが備える構成を排除するものではない。

図２は、通信監視装置１００の機能構成の一例を示す図である。

通信監視装置１００は、制御部１１０と、記憶部１８０と、通信部２３０とを有する。

記憶部１８０には、通信情報記憶部１９０と、システム構成情報記憶部２００と、監視ルール記憶部２１０と、アクセスリスト記憶部２２０とが含まれる。

通信情報記憶部１９０は、顧客施設１０のＩＴ機器ネットワーク上の通信に関する情報（以下、「通信情報」ともいう。）と、設備機器ネットワーク上の通信情報とを格納する。

ＩＴ機器ネットワークの通信情報は、例えば、図３（通信情報テーブル１９１の一例を示す図）に示すように構成される。通信情報テーブル１９１には、送信元アドレス情報１９１１と、宛先アドレス情報１９１２と、通信データ量１９１３と、通信頻度１９１４と、を関連付けたレコードが格納される。

送信元アドレス情報１９１１及び宛先アドレス情報１９１２は、送信元及び宛先を特定するアドレス情報であり、例えば、ＩＰアドレスである。通信データ量１９１３は、送信元アドレス情報１９１１及び宛先アドレス情報１９１２で特定される通信（「通信経路」と呼んでもよい。）のデータ量であり、例えば、当該通信の単位時間あたりのデータ量である。通信頻度１９１４は、送信元アドレス情報１９１１及び宛先アドレス情報１９１２で特定される通信の頻度であり、例えば、当該通信の単位時間あたりのＩＰパケットの数である。

設備機器ネットワークの通信情報は、例えば、図４（通信情報テーブル１９２の一例を示す図）に示すように構成される。通信情報テーブル１９２には、エネルギー制御装置ＩＤ１９２１と、機器ＩＤ１９２２と、通信データ量１９２３と、通信頻度１９２４と、を関連付けたレコードが格納される。

エネルギー制御装置ＩＤ１９２１は、エネルギー制御装置１４の識別情報であり、例えば、ＩＰアドレスである。機器ＩＤ１９２２は、設備機器１５及び計測機器１６の識別情報であり、例えば、エネルギー制御装置ＩＤ１９２１が各機器の監視、制御に使用している各機器のＩＤである。通信データ量１９２３は、エネルギー制御装置ＩＤ１９２１及び機器ＩＤ１９２２で特定される通信（「通信経路」と呼んでもよい。）のデータ量であり、例えば、当該通信の単位時間あたりのデータ量である。通信頻度１９２４は、エネルギー制御装置ＩＤ１９２１及び機器ＩＤ１９２２で特定される通信の頻度であり、例えば、当該通信の単位時間あたりの通信パケットなどの通信単位の数である。

なお、上述した通信データ量や通信頻度は、後述する不正通信の監視において使用される尺度である。ただし、不正通信の監視ができれば、使用する尺度は、通信データ量や通信頻度に限定されるものではない。また、使用する尺度は、一つでも複数でもよい。また、不正通信の監視ができれば、通信データ量や通信頻度の定義は、上述した定義に限られない。例えば、通信データ量は、一連の通信（一回の通信）ごとのデータ量の平均や最大値であってもよし、通信頻度は、単位時間あたりの一連の通信の回数であってもよい。

図２に戻って、システム構成情報記憶部２００は、顧客施設１０のＩＴ機器ネットワーク及び設備機器ネットワークの両方を含むシステムの構成情報（以下、「システム構成情報」ともいう。）を格納する。

システム構成情報は、例えば、図５（システム構成テーブル２０１の一例を示す図）に示すように構成される。システム構成テーブル２０１には、構成要素ＩＤ２０１１と、名称２０１２と、補足情報２０１３と、オブジェクト情報２０１４と、接続関係２０１５と、を関連付けたレコードが格納される。

構成要素ＩＤ２０１１は、システムを構成する各構成要素（ＩＴ機器、設備機器等）の識別情報であり、例えば、上述したＩＰアドレスや機器ＩＤなどである。名称２０１２は、構成要素ＩＤ２０１１で特定される構成要素の名称であり、例えば、文字列などである。補足情報２０１３は、構成要素に関する補足情報であり、例えば、文字列、関連ファイルへのパスなどである。オブジェクト情報２０１４は、構成要素に対応するオブジェクトを表示する画面上の位置、当該オブジェクトの大きさなどを特定する情報である。接続関係２０１５は、構成要素ＩＤ２０１１で特定される構成要素の他の構成要素との接続関係を特定する情報であり、例えば、当該他の構成要素の構成要素ＩＤである。

図２に戻って、監視ルール記憶部２１０は、顧客施設１０のＩＴ機器ネットワーク上の不正通信の監視ルールと、設備機器ネットワーク上の不正通信の監視ルールとを格納する。

ＩＴ機器ネットワークの監視ルールは、例えば、図６（監視ルールテーブル２１１の一例を示す図）に示すように構成される。監視ルールテーブル２１１には、送信元アドレス情報２１１１と、宛先アドレス情報２１１２と、通信データ量閾値２１１３と、通信頻度閾値２１１４と、を関連付けたレコードが格納される。

送信元アドレス情報２１１１及び宛先アドレス情報２１１２は、監視対象の通信を特定する送信元アドレス及び宛先アドレスである。通信データ量閾値２１１３は、送信元アドレス情報２１１１及び宛先アドレス情報２１１２で特定される通信が不正通信であるか否かを判定するための通信データ量の閾値である。通信頻度閾値２１１４は、送信元アドレス情報２１１１及び宛先アドレス情報２１１２で特定される通信が不正通信であるか否かを判定するための通信頻度の閾値である。

設備機器ネットワークの監視ルールは、例えば、図７（監視ルールテーブル２１２の一例を示す図）に示すように構成される。監視ルールテーブル２１２には、エネルギー制御装置ＩＤ２１２１と、機器ＩＤ２１２２と、通信データ量閾値２１２３と、通信頻度閾値２１２４と、を関連付けたレコードが格納される。

エネルギー制御装置ＩＤ２１２１及び機器ＩＤ２１２２は、監視対象の通信を特定するエネルギー制御装置１４のＩＰアドレス及び機器ＩＤである。通信データ量閾値２１２３は、エネルギー制御装置ＩＤ２１２１及び機器ＩＤ２１２２で特定される通信が不正通信であるか否かを判定するための通信データ量の閾値である。通信頻度閾値２１２４は、エネルギー制御装置ＩＤ２１２１及び機器ＩＤ２１２２で特定される通信が不正通信であるか否かを判定するための通信頻度の閾値である。

図２に戻って、アクセスリスト記憶部２２０は、顧客施設１０の宛先のＩＴ機器に対してアクセスが許可される送信元の情報（以下、「アクセスリスト」ともいう。）を格納する。

アクセスリストは、例えば、図８（アクセスリスト２２１の一例を示す図）に示すように構成される。アクセスリスト２２１には、宛先アドレス情報２２１１と、許可送信元アドレス情報２２１２と、を関連付けたレコードが格納される。

宛先アドレス情報２２１１及び許可送信元アドレス情報２２１２は、宛先及び当該宛先に対してアクセスが許可される送信元を特定するアドレス情報であり、例えば、ＩＰアドレスである。

なお、上述したアクセスリストは、後述する不正アクセスの監視において使用される。ただし、不正アクセスの監視ができれば、アクセスリストの構成や使用方法は限定されない。例えば、アクセスリストに送信元アドレス（又は宛先アドレス、又は送信元アドレスと宛先アドレスの組み合わせ）を登録し、登録されていない送信アドレスからの通信（又は登録されていない宛先アドレスへの通信、又は登録されていない送信元アドレスと宛先アドレスの組み合わせの通信）を不正アクセスと判断してもよい。また、逆に、登録されている送信アドレスからの通信（又は登録されている宛先アドレスへの通信、又は登録されている送信元アドレスと宛先アドレスの組み合わせの通信）を不正アクセスと判断してもよい。

図２に戻って、制御部１１０は、情報生成部１２０と、キャプチャ部１３０と、ログ収集部１４０と、監視部１５０と、入力制御部１６０と、出力制御部１７０とを有する。

情報生成部１２０は、キャプチャ部１３０が収集する顧客施設１０のＩＴ機器ネットワーク上の通信のキャプチャ情報に基づいて、通信情報テーブル１９１を生成する。また、ログ収集部１４０が収集する顧客施設１０の設備機器ネットワーク上の通信のログ情報に基づいて、通信情報テーブル１９２を生成する。

また、情報生成部１２０は、通信情報テーブル１９１、通信情報テーブル１９２、及び入力制御部１６０を介して取得した入力情報に基づいて、システム構成テーブル２０１を生成する。また、情報生成部１２０は、入力制御部１６０を介して取得した入力情報に基づいて、監視ルールテーブル２１１、及び監視ルールテーブル２１２、アクセスリスト２２１を生成する。

キャプチャ部１３０は、通信部２３０を介してＩＴ機器ネットワーク上の通信パケットなどをキャプチャし、記憶部１８０などにバッファリングする。なお、キャプチャ技術は、公知の技術を用いることができる。

ログ収集部１４０は、通信部２３０を介してエネルギー制御装置１４にログ情報を要求し、収集する。そして、記憶部１８０などにバッファリングする。

監視部１５０は、キャプチャ部１３０からキャプチャ情報を取得し、取得したキャプチャ情報に基づいて、監視ルールテーブル２１１に含まれる送信元アドレス情報２１１１及び宛先アドレス情報２１１２から特定される通信ごとに、当該通信の通信データ量及び通信頻度を算出し、更新する。また、対応する通信ごとに、更新した通信データ量及び通信頻度と、通信データ量閾値２１１３及び通信頻度閾値２１１４とを比較することで、不正通信の発生を監視する。

また、監視部１５０は、ログ収集部１４０からログ情報を取得し、取得したログ情報に基づいて、監視ルールテーブル２１２に含まれるエネルギー制御装置ＩＤ２１２１及び機器ＩＤ２１２２から特定される通信ごとに、当該通信の通信データ量及び通信頻度を算出し、更新する。また、対応する通信ごとに、更新した通信データ量及び通信頻度と、通信データ量閾値２１２３及び通信頻度閾値２１２４とを比較することで、不正通信の発生を監視する。

また、監視部１５０は、キャプチャ部１３０からキャプチャ情報を取得し、取得したキャプチャ情報に基づいて、アクセスリスト２２１の宛先アドレス情報２２１１と一致する宛先アドレスを含む通信を特定する。そして、当該特定した通信の送信元アドレスが、許可送信元アドレス情報２２１２と一致するか否かを判定することで、不正通信の発生を監視する。

入力制御部１６０は、通信部２３０を介して、管理端末１２又は管理端末２２からの情報の入力を制御する。入力制御部１６０は、例えば、管理端末１２又は管理端末２２に表示された通信監視装置１００を操作するためのユーザーインターフェイス画面に対する入力を受け付ける。なお、入力制御部１６０は、後述する自装置の入力装置３５０を介した情報の入力を制御する。

出力制御部１７０は、通信部２３０を介して、管理端末１２又は管理端末２２への情報の出力を制御する。出力制御部１７０は、例えば、通信監視装置１００を操作するためのユーザーインターフェイス画面を、管理端末１２又は管理端末２２に出力する。なお、出力制御部１７０は、後述する自装置の出力装置３６０を介した情報の出力を制御してもよい。

通信部２３０は、ＩＴ機器ネットワークと接続し、ＩＴ機器ネットワークを介した情報の送受信を行う。

上述した通信監視装置１００は、例えば、図９（コンピューター３００のハードウェア構成の一例を示す図）に示すような、ＣＰＵ（Central Processing Unit）３１０と、メモリー３２０と、ＨＤＤ等の外部記憶装置３３０と、無線や有線により通信ネットワークに接続するための通信装置３４０と、マウスやキーボードなどの入力装置３５０と、液晶ディスプレイなどの出力装置３６０と、ＤＶＤ（Digital Versatile Disk）などの記録媒体に対する情報の読書きを行う読書き装置３７０、を備えるコンピューター３００で実現できる。

例えば、制御部１１０は、外部記憶装置３３０に記憶されている所定のプログラムをメモリー３２０にロードしてＣＰＵ３１０で実行することで実現可能である。記憶部１８０は、ＣＰＵ３１０がメモリー３２０又は外部記憶装置３３０を利用することにより実現可能である。通信部２３０は、ＣＰＵ３１０が通信装置３４０を利用することで実現可能である。

上記の所定のプログラムは、通信装置３４０を介してネットワークから、外部記憶装置３３０にダウンロードされ、それから、メモリー３２０上にロードされてＣＰＵ３１０により実行されるようにしてもよい。また、通信装置３４０を介してネットワークから、メモリー３２０上に直接ロードされ、ＣＰＵ３１０により実行されるようにしてもよい。また、コンピューター３００が、読書き装置３７０にセットされた記憶媒体から、上記の所定のプログラムを、外部記憶装置３３０あるいはメモリー３２０にロードするようにしてもよい。

なお、上述した管理サーバ１１、管理端末１２、遠隔管理サーバ２１、及び管理端末２２も、例えば、図９に示すようなコンピューター３００で実現することができる。

上記の図２の通信監視装置１００の構成は、理解容易にするために、主な処理内容に応じて分類したものである。構成要素の分類の仕方や名称によって、本願発明が制限されることはない。通信監視装置１００の構成は、処理内容に応じて、さらに多くの構成要素に分類することもできる。また、１つの構成要素がさらに多くの処理を実行するように分類することもできる。また、各構成要素の処理は、１つのハードウェアで実行されてもよいし、複数のハードウェアで実行されてもよい。また、各構成要素の処理は、１つのプログラムで実現されてもよいし、複数のプログラムで実現されてもよい。

また、上記の図３〜図８の各情報のテーブルは、一例であり、図示した例に限られない。また、各情報は、テーブル構造に限られず、他のデータ構造であってもよい。

次に、上記の通信監視装置１００で実現される動作について説明する。

図１０は、通信情報生成処理の一例を示すフロー図である。なお、キャプチャ部１３０によるキャプチャ処理と、ログ収集部１４０によるログ情報の収集処理は、例えば、本フローと並列的に実行される。

本フローが開始されると、情報生成部１２０は、キャプチャ部１３０からキャプチャ情報を取得する（Ｓ１１）。キャプチャ情報には、例えば、ＩＴ機器ネットワーク上を流れるＩＰパケットの情報などが含まれる。

また、情報生成部１２０は、ステップＳ１１で取得したキャプチャ情報に基づいて、通信情報を生成する（Ｓ１２）。具体的には、情報生成部１２０は、取得したキャプチャ情報に含まれるＩＰパケットの送信元アドレス及び宛先アドレスに対応する送信元アドレス情報１９１１及び宛先アドレス情報１９１２が通信情報テーブル１９１に含まれているか否かを判定する。含まれていない場合、取得した送信元アドレス及び宛先アドレスを含むレコードを通信情報テーブル１９１に追加する。また、情報生成部１２０は、取得したキャプチャ情報に含まれるＩＰパケットに対応するレコードの通信データ量１９１３及び通信頻度１９１４を更新する。

なお、情報生成部１２０は、例えば、通信情報テーブル１９１に含まれる各レコードに関連付けて、直近の単位時間（例えば、１時間）内にキャプチャされた各ＩＰパケットのデータ量を、キャプチャした時刻情報とともに記録する。情報生成部１２０は、この記録を用いて、各レコードの通信データ量１９１３及び通信頻度１９１４を算出することができる。

それから、情報生成部１２０は、通信情報の生成を終了するか否かを判定する（Ｓ１３）。具体的には、情報生成部１２０は、本フローの開始から一定時間が経過したか否か、又は、入力制御部１６０を介して管理端末１２又は管理端末２２から終了の指示があったか否かを判定する。通信情報の生成を終了しない場合（Ｓ１３：Ｎ）、処理をＳ１１に戻す。

通信情報の生成を終了する場合（Ｓ１３：Ｙ）、情報生成部１２０は、ログ収集部１４０からログ情報を取得する（Ｓ１４）。ログ情報には、例えば、エネルギー制御装置１４のＩＰアドレス、通信した宛先の設備機器１５及び計測機器１６の機器ＩＤや、宛先との通信内容（日付時刻、通信種別、データ量など）が含まれる。

また、情報生成部１２０は、ステップＳ１４で取得したログ情報に基づいて、通信情報を生成する（Ｓ１５）。具体的には、情報生成部１２０は、取得したログ情報に含まれるエネルギー制御装置１４のＩＰアドレス及び宛先の機器ＩＤに対応するエネルギー制御装置ＩＤ１９２１及び機器ＩＤ１９２２が通信情報テーブル１９２に含まれているか否かを判定する。含まれていない場合、取得したエネルギー制御装置１４のＩＰアドレス及び宛先の機器ＩＤを含むレコードを通信情報テーブル１９２に追加する。また、情報生成部１２０は、取得したログ情報に含まれるエネルギー制御装置１４のＩＰアドレス及び宛先の機器ＩＤに対応するレコードの通信データ量１９２３及び通信頻度１９２４を更新する。

なお、情報生成部１２０は、例えば、通信情報テーブル１９２に含まれる各レコードに関連付けて、直近の単位時間（例えば、１時間）内に収集した各通信のデータ量を、収集した時刻情報とともに記録する。情報生成部１２０は、この記録を用いて、各レコードの通信データ量１９２３及び通信頻度１９２４を算出することができる。

それから、情報生成部１２０は、通信情報の生成を終了するか否かを判定する（Ｓ１６）。具体的には、情報生成部１２０は、本フローの開始から一定時間が経過したか否か、又は、入力制御部１６０を介して管理端末１２又は管理端末２２から終了の指示があったか否かを判定する。通信情報の生成を終了しない場合（Ｓ１６：Ｎ）、処理をＳ１４に戻す。通信情報の生成を終了する場合（Ｓ１６：Ｙ）、本フローを終了する。

上記のフローにより、後述の図１１のシステム構成情報生成処理で使用される通信経路の情報を含む通信情報を生成することができる。また、後述の図１６の監視ルール生成処理で表示される通信情報を生成することができる。なお、Ｓ１１〜Ｓ１３の処理と、Ｓ１４〜Ｓ１６の処理は、別々に、例えば、並列的に行われるようにしてもよい。

図１１は、システム構成情報生成処理の一例を示すフロー図である。

本フローが開始されると、情報生成部１２０は、通信情報を取得する（Ｓ２１）。具体的には、情報生成部１２０は、通信情報記憶部１９０から、通信情報テーブル１９１及び通信情報テーブル１９２を取得する。

それから、情報生成部１２０は、システム構成情報を生成する（Ｓ２２）。具体的には、情報生成部１２０は、通信情報テーブル１９１に含まれる各レコードの通信経路（送信元アドレス情報１９１１及び宛先アドレス情報１９１２で特定できる。）に基づいて、各構成要素（送信元アドレス情報１９１１又は宛先アドレス情報１９１２で識別できる。）の間の接続関係を特定する。

また、情報生成部１２０は、システム構成テーブル２０１に、識別した構成要素ごとに、レコードを追加し、当該構成要素のＩＰアドレスを構成要素ＩＤ２０１１として設定するとともに、当該構成要素と接続関係を有する他の構成要素のＩＰアドレスを接続関係２０１５として設定する。本ステップでは、名称２０１２、補足情報２０１３、及びオブジェクト情報２０１４には、情報を設定しない。

また、情報生成部１２０は、通信情報テーブル１９２に含まれる各レコードの通信経路（エネルギー制御装置ＩＤ１９２１及び機器ＩＤ１９２２で特定できる。）に基づいて、各構成要素（エネルギー制御装置ＩＤ１９２１又は機器ＩＤ１９２２で識別できる。）の間の接続関係を特定する。

また情報生成部１２０は、システム構成テーブル２０１に、識別した構成要素ごとに、レコードを追加し、当該構成要素の識別情報（エネルギー制御装置ＩＤ１９２１又は機器ＩＤ１９２２）を構成要素ＩＤ２０１１として設定するとともに、当該構成要素と接続関係を有する他の構成要素の識別情報を接続関係２０１５として設定する。本ステップでは、名称２０１２、補足情報２０１３、及びオブジェクト情報２０１４には、情報を設定しない。

それから、出力制御部１７０は、システム構成を表示する（Ｓ２３）。具体的には、出力制御部１７０は、システム構成情報記憶部２００から、システム構成テーブル２０１を取得する。そして、システム構成テーブル２０１の各レコードの構成要素ＩＤ２０１１に基づいて、各構成要素に対応するオブジェクトを配置した表示情報を生成する。なお、各オブジェクトは、表示の際に互いに重ならないように配置するものとする。また、各レコードの接続関係２０１５に基づいて、接続関係がある各構成要素のオブジェクト間を結ぶリンクの表示情報を生成する。そして、生成した表示情報を含むユーザーインターフェイス画面の表示情報を、通信部２３０を介して、管理端末１２又は管理端末２２に出力する。

管理端末１２又は管理端末２２は、通信監視装置１００から受信した表示情報に基づいて、例えば、図１２（システム構成を編集するユーザーインターフェイス画面５００の一例を示す図（その１））に示すようなユーザーインターフェイス画面５００を、ディスプレイに出力する。本図に示すように、ユーザーインターフェイス画面５００には、オブジェクト５１０とリンク５２０とから構成されるシステム構成が表示される。オブジェクト５１０の中には、構成要素ＩＤ２０１１（「20.1.2.101」、「20.1.2.110」、「20.1.2.111」、「1」、「2」、「3」）が表示される。なお、本図の例は、システム構成テーブル２０１（図５）の各レコードの構成要素ＩＤ２０１１及び接続関係２０１５に設定されている値に基づいている。

このように、管理端末１２又は管理端末２２には、顧客施設１０のＩＴ機器ネットワーク及び設備機器ネットワークが統合されたシステム構成が表示される。

ここで、管理端末１２又は管理端末２２は、キーボードやマウスなどの入力装置により、ユーザーインターフェイス画面５００に表示されたシステム構成に関する編集操作を受け付けることができる。

図１１に戻って、入力制御部１６０は、通信部２３０を介して、管理端末１２又は管理端末２２からシステム構成を編集する操作の入力を受け付ける（Ｓ２４）。なお、出力制御部１７０は、編集操作に応じた表示情報を生成して出力するものとする。

具体的には、例えば、入力制御部１６０は、ユーザーインターフェイス画面５００に表示されたオブジェクト５１０の位置及び大きさを調整する操作を受け付ける。例えば、図１３（システム構成を編集するユーザーインターフェイス画面５００の一例を示す図（その２））に示すように、図１２と比べて、各ＩＴ機器及び各設備機器のオブジェクト（「20.1.2.101」、「20.1.2.110」、「20.1.2.111」、「1」、「2」、「3」）５１０の配置が変更されるとともに、各設備機器のオブジェクト（「1」、「2」、「3」）５１０の大きさが小さく変更されている。なお、リンク５２０は、接続関係２０１５に基づいてオブジェクト５２０間の接続を保ったまま表示される。入力制御部１６０は、各オブジェクト５１０の位置及び大きさを示す情報を保持する。

また、例えば、入力制御部１６０は、オブジェクト５１０に対して、関連する情報の入力を受け付ける。例えば、図１４（システム構成を編集するユーザーインターフェイス画面５００の一例を示す図（その３））に示すように、オブジェクト「1」の選択を受け付けた場合、出力制御部１７０は、当該オブジェクトに関する詳細情報を設定するためのダイアログ５３０を表示する。ダイアログ５３０では、オブジェクト（構成要素）の名称、補足情報としてのメモ、補足情報としてファイルのパスの設定を受け付けることができる。入力制御部１６０は、ダイアログ５３０に設定された詳細情報（名称、メモ、ファイル）を受け付け、保持する。なお、名称には、例えば、ＩＴ機器、設備機器、計測機器の名称などを設定し、メモには、例えば、各機器の設置場所など、ファイルには、例えば、各機器の外観を撮影した写真などを設定することが考えられる。

図１５は、システム構成を編集するユーザーインターフェイス画面５００の一例を示す図（その４）である。本図は、各オブジェクト５１０の名称及び補足情報が設定された場合を示している。本図に示すように、各オブジェクト５１０には、構成要素ＩＤ２０１１と名称２０１２（「管理端末」、「管理サーバ」、「制御装置」、「空調設備」、「照明設備」、「防犯設備」）が表示されている。また、例えば、オブジェクト「1」が選択された場合、出力制御部１７０は、当該オブジェクトに関する詳細情報を表示するダイアログ５４０を表示する。ダイアログ５４０では、オブジェクトの補足情報としてのメモと、補足情報としての画像情報のパスで指定された画像とが表示されている。

このように、管理端末１２又は管理端末２２には、顧客施設１０のＩＴ機器ネットワーク及び設備機器ネットワークが統合されたシステム構成に関連して、各機器の詳細情報が表示される。そのため、例えば、作業者が、設備機器に直接作業を行いたい場合などに、位置や外観を事前に確認することができる。

図１１に戻って、情報生成部１２０は、システム構成の編集が終了したか否かを判定する（Ｓ２５）。具体的には、情報生成部１２０は、入力制御部１６０を介して管理端末１２又は管理端末２２から終了の指示があったか否かを判定する。編集が終了していない場合（Ｓ２５：Ｎ）、処理をＳ２４に戻す。

編集が終了した場合（Ｓ２５：Ｙ）、情報生成部１２０は、本フローを終了する。この場合、情報生成部１２０は、ステップＳ２４で設定された各オブジェクトの位置、大きさ、詳細情報などを、入力制御部１６０から取得し、システム構成テーブル２０１を更新する。例えば、オブジェクトの位置及び大きさを、オブジェクト情報２０１４に設定し、ダイアログ５３０で設定された名称を、名称２０１２に設定し、補足情報（メモ、画像ファイルのパス）を、補足情報２０１３に設定する。

なお、本フローの手順に限らず、出力制御部１７０は、管理端末１２又は管理端末２２からの要求に応じて、システム構成を出力することができる。すなわち、出力制御部１７０は、要求を受け付けた場合、システム構成テーブル２０１に基づいてシステム構成の表示情報を生成し、当該システム構成を含むユーザーインターフェイス画面の表示情報を生成し、管理端末１２又は管理端末２２に出力する。また、入力制御部１６０は、当該ユーザーインターフェイス画面における編集操作を受け付けることができる。

このように、顧客施設１０のＩＴ機器ネットワーク及び設備機器ネットワークが統合されたシステム構成に対して、顧客側管理者１３又はサービス側管理者２３の要望に応じてシステム構成を編集できる。

図１６は、監視ルール生成処理の一例を示すフロー図である。

本フローが開始されると、出力制御部１７０は、通信情報及び監視ルールを取得する（Ｓ３１）。具体的には、出力制御部１７０は、通信情報記憶部１９０から、通信情報テーブル１９１及び通信情報テーブル１９２を取得するとともに、監視ルール記憶部２１０から、監視ルールテーブル２１１及び監視ルールテーブル２１２を取得する。

それから、出力制御部１７０は、通信情報及び監視ルールを表示する（Ｓ３２）。例えば、出力制御部１７０は、通信情報テーブル１９１及び通信情報テーブル１９２と、監視ルールの各レコードの情報を入力する欄と、を含むユーザーインターフェイス画面の表示情報を、通信部２３０を介して管理端末１２又は管理端末２２に出力する。

管理端末１２又は管理端末２２は、通信監視装置１００から受信した表示情報に基づいて、例えば、図１７（監視ルールを編集するユーザーインターフェイス画面６００の一例を示す図）に示すようなユーザーインターフェイス画面６００を、ディスプレイに出力する。ユーザーインターフェイス画面６００には、通信情報テーブル１９１に対応する通信情報テーブル６１０と、通信情報テーブル１９２に対応する通信情報テーブル６２０とが、実績データとして表示される。

また、ユーザーインターフェイス画面６００には、監視ルールテーブル２１１に対応する監視ルールテーブル６３０と、監視ルールテーブル２１２に対応する監視ルールテーブル６４０とが、監視ルールとして表示される。なお、監視ルールテーブルに、レコードが格納されていない場合は、空欄を表示するようにすればよい。

ここで、管理端末１２又は管理端末２２は、キーボードやマウスなどの入力装置により、ユーザーインターフェイス画面６００上で、監視ルールの編集操作を受け付けることができる。

図１６に戻って、入力制御部１６０は、監視ルールを編集する操作の入力を受け付ける（Ｓ３３）。なお、出力制御部１７０は、編集操作に応じた表示情報を生成して出力するものとする。

例えば、入力制御部１６０は、監視ルールテーブル６３０の各情報（送信元アドレス情報、宛先アドレス情報、通信データ量閾値、通信頻度閾値）の設定、及び、監視ルールテーブル６４０の各情報（エネルギー制御装置ＩＤ、機器ＩＤ、通信データ量閾値、通信頻度閾値）の設定を、通信部２３０を介して受け付ける。

図１６に戻って、情報生成部１２０は、監視ルールの編集が終了したか否かを判定する（Ｓ３４）。例えば、情報生成部１２０は、入力制御部１６０を介して管理端末１２又は管理端末２２から終了の指示があったか否かを判定する。編集が終了していない場合（Ｓ３４：Ｎ）、処理をＳ３３に戻す。

編集が終了した場合（Ｓ３４：Ｙ）、情報生成部１２０は、本フローを終了する。この場合、情報生成部１２０は、ステップＳ３３で設定された、監視ルールテーブル６３０及び、監視ルールテーブル６４０の各レコードの情報を、入力制御部１６０から取得し、監視ルールテーブル２１１及び監視ルールテーブル２１２に設定する。

このように、顧客施設１０のＩＴ機器ネットワーク及び設備機器ネットワークが統合されたシステム構成に対して、管理者１３又は管理者２３の要望に応じて不正通信を監視する監視ルールを設定することができる。

なお、アクセスリスト２２１についても同様にして生成することができる。例えば、出力制御部１７０は、アクセスリストの各レコードの情報を入力する欄を含むユーザーインターフェイス画面を出力する。また、入力制御部１６０は、アクセスリストの各情報（宛先アドレス情報、許可送信元アドレス情報）の設定を、通信部２３０を介して受け付ける。編集が終了した場合、情報生成部１２０は、設定されたアクセスリストの各レコードの情報を、入力制御部１６０から取得し、アクセスリスト２２１に設定する。

図１８は、不正通信監視処理の一例を示すフロー図である。なお、キャプチャ部１３０によるキャプチャ処理と、ログ収集部１４０によるログ情報の収集処理は、例えば、本フローと並列的に実行される。

本フローが開始されると、監視部１５０は、監視ルール記憶部２１０から、監視ルールテーブル２１１及び監視ルールテーブル２１２を取得する（Ｓ４１）。また、監視部１５０は、アクセスリスト記憶部２２０から、アクセスリスト２２１を取得する（Ｓ４２）。

それから、監視部１５０は、キャプチャ部１３０からキャプチャ情報を取得する（Ｓ４３）。

また、監視部１５０は、ステップＳ４３で取得したキャプチャ情報に基づいて、通信がアクセス許可されているか否かを判定する（Ｓ４４）。具体的には、監視部１５０は、キャプチャ情報に含まれるＩＰパケットの送信元アドレス及び宛先アドレスを取得する。そして、取得した宛先アドレスと一致する宛先アドレス情報２２１１が、ステップＳ４２で取得したアクセスリスト２２１に含まれているか否かを判定する。含まれていない場合、アクセス許可されていると判定して（Ｓ４４：Ｙ）、処理をＳ４６に進める。含まれている場合、取得した宛先アドレスと一致する宛先アドレス情報２２１１に関連付けられている許可送信元アドレス情報２２１２と、取得した送信元アドレスとが一致するか否かを判定する。一致する場合、アクセス許可されていると判定して（Ｓ４４：Ｙ）、処理をＳ４６に進める。一致しない場合、アクセス許可されていない（アクセス禁止されている）と判定して（Ｓ４４：Ｎ）、処理をＳ４５に進める。

ステップＳ４５では、出力制御部１７０は、アクセス許可されていない通信があったことを、通知する（Ｓ４５）。例えば、出力制御部１７０は、システム構成テーブル２０１に基づくシステム構成の表示情報に加え、ステップＳ４４でアクセス許可されていないと判定された送信元アドレスのオブジェクト及び宛先アドレスのオブジェクトと、これらのオブジェクトを結ぶリンクの情報を含むユーザーインターフェイス画面の表示情報を、通信部２３０を介して管理端末１２又は管理端末２２に出力する。

管理端末１２又は管理端末２２は、通信監視装置１００から受信した表示情報に基づいて、例えば、図１９（不正通信を通知するユーザーインターフェイス画面７００の一例を示す図）に示すようなユーザーインターフェイス画面７００を、ディスプレイに出力する。ユーザーインターフェイス画面７００には、図１５と同様に、オブジェクト５１０やリンク５２０から構成されるシステム構成が表示される。さらに、ユーザーインターフェイス画面７００には、アクセス許可されていないと判定された送信元アドレスのオブジェクト７１０と、当該オブジェクト７１０及び当該オブジェクト７１０の宛先アドレスのオブジェクトを結ぶリンク７２０と、当該リンク７２０の通信が未許可であることを示すダイアログ７３０とが表示される。

このように、管理端末１２又は管理端末２２には、顧客施設１０のＩＴ機器ネットワーク及び設備機器ネットワークが統合されたシステム構成に関連して、不正アクセスと予想される通信を特定する情報が表示される。

図１８に戻って、ステップＳ４６では、監視部１５０は、ステップＳ４３で取得したキャプチャ情報の集計を行う（Ｓ４６）。具体的には、監視部１５０は、取得したキャプチャ情報に含まれるＩＰパケットの送信元アドレス及び宛先アドレスに対応する送信元アドレス情報２１１１及び宛先アドレス情報２１１２を有するレコードが、監視ルールテーブル２１１に含まれているか否かを判定する。含まれている場合、監視部１５０は、当該レコードに関連付けている通信データ量及び通信頻度の実績値を更新する。

なお、監視部１５０は、監視ルールテーブル２１１に含まれる各レコードに関連付けて、直近の単位時間（例えば、１時間）内にキャプチャされた各ＩＰパケットのデータ量を、キャプチャした時刻情報とともに記録する。監視部１５０は、この記録を用いて、各レコードの通信データ量及び通信頻度の実績値を算出することができる。

それから、監視部１５０は、ステップＳ４６で集計したキャプチャ情報の通信データ量及び通信頻度の実績値が、閾値を超えたか否かを判定する（Ｓ４７）。具体的には、監視部１５０は、ステップＳ４６で更新した通信データ量及び通信頻度の実績値が、対応する通信データ量閾値２１１３及び通信頻度閾値２１１４を超えているか否かを判定する。いずれの実績値も閾値を超えていない場合（Ｓ４７：Ｎ）、処理をＳ４９に進める。その他の場合（Ｓ４７：Ｙ）、処理をＳ４８に進める。

ステップＳ４８では、出力制御部１７０は、閾値を超えている通信経路が検出されたことを、通知する（Ｓ４８）。具体的には、出力制御部１７０は、システム構成テーブル２０１に基づくシステム構成の表示情報に加え、ステップＳ４７で閾値を超えていると判定されたリンクの情報を含むユーザーインターフェイス画面の表示情報を、通信部２３０を介して、管理端末１２又は管理端末２２に出力する。

管理端末１２又は管理端末２２は、通信監視装置１００から受信した表示情報に基づいて、例えば、図１９（不正通信を通知するユーザーインターフェイス画面７００の一例を示す図）に示すようなユーザーインターフェイス画面７００を、ディスプレイに出力する。ユーザーインターフェイス画面７００には、図１５と同様に、オブジェクト５１０やリンク５２０から構成されるシステム構成が表示される。さらに、ユーザーインターフェイス画面７００には、通信データ量及び通信頻度の少なくともいずれか一方が閾値を超えていると判定された通信を結ぶリンク７４０が、他のリンク５２０及びリンク７２０と区別して分かる態様で表示される。また、当該リンク７４０の通信が、通信データ量及び通信頻度の少なくともいずれか一方が閾値を超えていることを示すダイアログ７５０が表示される。なお、ダイアログ７５０では、閾値を超えていると判定された項目（通信データ量及び通信頻度の少なくともいずれか一方）について、通知すればよい。

このように、管理端末１２又は管理端末２２には、顧客施設１０のＩＴ機器ネットワーク及び設備機器ネットワークが統合されたシステム構成に関連して、ＩＴ機器ネットワーク上の不正通信が発生している可能性がある通信を特定する情報が表示される。

図１８に戻って、監視部１５０は、ログ収集部１４０からログ情報を取得する（Ｓ４９）。

また、監視部１５０は、ステップＳ４９で取得したログ情報の集計を行う（Ｓ５０）。具体的には、監視部１５０は、取得したログ情報に含まれるエネルギー制御装置１４のＩＰアドレス及び宛先の機器ＩＤに対応するエネルギー制御装置ＩＤ２１２１及び機器ＩＤ２１２２を有するレコードが、監視ルールテーブル２１２に含まれているか否かを判定する。含まれている場合、監視部１５０は、当該レコードに関連付けている通信データ量及び通信頻度の実績値を更新する。

なお、監視部１５０は、監視ルールテーブル２１２に含まれる各レコードに関連付けて、直近の単位時間（例えば、１時間）内に収集した各通信のデータ量を、収集した時刻情報とともに記録する。監視部１５０は、この記録を用いて、各レコードの通信データ量及び通信頻度の実績値を算出することができる。

それから、監視部１５０は、ステップＳ５０で集計したログ情報の通信データ量及び通信頻度の実績値が、閾値を超えたか否かを判定する（Ｓ５１）。具体的には、監視部１５０は、ステップＳ５０で更新した通信データ量及び通信頻度の実績値が、対応する通信データ量閾値２１２３及び通信頻度閾値２１２４を超えているか否かを判定する。いずれの実績値も閾値を超えていない場合（Ｓ５１：Ｎ）、処理をＳ４３に戻す。その他の場合（Ｓ５１：Ｙ）、処理をＳ５２に進める。

ステップＳ５２では、出力制御部１７０は、閾値を超えている通信があったことを、通知する（Ｓ５２）。具体的には、出力制御部１７０は、システム構成テーブル２０１に基づくシステム構成の表示情報に加え、ステップＳ５１で閾値を超えていると判定された通信のリンクの情報を含むユーザーインターフェイス画面の表示情報を、通信部２３０を介して、管理端末１２又は管理端末２２に出力する。

例えば、ユーザーインターフェイス画面７００には、図１９と同様に、オブジェクト５１０やリンク５２０から構成されるシステム構成が表示される。さらに、ユーザーインターフェイス画面７００には、通信データ量及び通信頻度の少なくともいずれか一方が閾値を超えていると判定された通信を結ぶリンク７６０が、他のリンク５２０及びリンク７２０と区別して分かる態様で表示される。また、当該リンク７６０の通信が、通信データ量及び通信頻度の少なくともいずれか一方が閾値を超えていることを示すダイアログ７７０が表示される。なお、ダイアログ７７０では、閾値を超えていると判定された項目（通信データ量及び通信頻度の少なくともいずれか一方）について、通知すればよい。

このように、管理端末１２又は管理端末２２には、顧客施設１０のＩＴ機器ネットワーク及び設備機器ネットワークが統合されたシステム構成に関連して、設備機器ネットワーク上の不正通信が発生している可能性がある通信を特定する情報が表示される。

図１８に戻って、監視部１５０は、ステップＳ５２の終了後、処理をステップＳ４３に戻す。

上記の図１０、図１１、図１６、及び図１８のフローチャートの処理単位は、制御部１１０の処理を理解容易にするために、主な処理内容に応じて分割したものである。処理単位の分割の仕方や名称によって、本願発明が制限されることはない。制御部１１０の処理は、処理内容に応じて、さらに多くの処理単位に分割することもできる。また、１つの処理単位がさらに多くの処理を含むように分割することもできる。また、上記のフローチャートの処理順序も、図示した例に限られるものではない。

また、上記の図１２〜図１５、図１７、及び図１９のユーザーインターフェイス画面の構成は、図示された例に限られない。

以上、本発明の一実施形態について説明した。本実施形態によれば、エネルギー管理システムにおいて、設備機器及びＩＴ機器を統合的に管理することができる。

また、通信監視装置１００を顧客施設１０に設置することで、顧客施設１０のシステム変更等をほぼ行わずに、監視システムを構築することができるため、コストをなるべく抑えつつ監視サービスを提供することができる。

なお、以上の本発明の実施形態は、本発明の要旨と範囲を例示することを意図し、限定するものではない。多くの代替物、修正、変形例は当業者にとって明らかである。

例えば、複数の顧客施設１０それぞれに通信監視装置１００を設置し、管理端末２２で、顧客施設１０それぞれのシステム構成及び不正通信を、集中的に監視するようにしてもよい。このようにすれば、複数の顧客施設１０のシステム構成及び不正通信を効率的に監視することができる。

例えば、出力制御部１７０は、システム構成を表示する場合、ＩＴ機器ネットワークの範囲と設備機器ネットワークの範囲とを示す情報を出力ようにしてもよい。具体的には、例えば、図２０（システム構成を編集するユーザーインターフェイス画面５００の変形例を示す図）に示すように、ＩＴ機器ネットワークを構成するオブジェクト５１０及びリンク５２０を含むＩＴ機器ネットワークの範囲５５０が表示される。また、設備機器ネットワークを構成するオブジェクト５１０及びリンク５２０を含む設備機器ネットワークの範囲５６０が表示される。なお、出力制御部１７０は、例えば、システム構成テーブル２０１の構成要素ＩＤ２０１１が、通信情報テーブル１９１及び通信情報テーブル１９２のいずれに含まれるかを判定することで、構成要素ＩＤ２０１１が示す機器がＩＴ機器であるか設備機器であるかを特定することができる。このようにすれば、顧客側管理者１３又はサービス側管理者２３は、ＩＴ機器ネットワーク及び設備機器ネットワークの範囲を認識し易くなる。

１：エネルギー管理システム、１０：顧客施設、１１：管理サーバ、１２：管理端末、１３：顧客側管理者、１４：エネルギー制御装置、１５：設備機器、１６：計測機器、２０：サービス提供施設、２１：遠隔管理サーバ、２２：管理端末、２３：サービス側管理者、４０：インターネット、５０：端末、５１：不正アクセス者、１００：通信監視装置、１１０：制御部、１２０：情報生成部、１３０：キャプチャ部、１４０：ログ収集部、１５０：監視部、１６０：入力制御部、１７０：出力制御部、１８０：記憶部、１９０：通信情報記憶部、１９１：通信情報テーブル、１９２：通信情報テーブル、２００：システム構成情報記憶部、２０１：システム構成テーブル、２１０：監視ルール記憶部、２１１：監視ルールテーブル、２１２：監視ルールテーブル、２２０：アクセスリスト記憶部、２２１：アクセスリスト、２３０：通信部、３００：コンピューター、３１０：ＣＰＵ、３２０：メモリー、３３０：外部記憶装置、３４０：通信装置、３５０：入力装置、３６０：出力装置、３７０：読書き装置、５００：ユーザーインターフェイス画面、５１０：オブジェクト、５２０：リンク、５３０：ダイアログ、５４０：ダイアログ、５５０：範囲、５６０：範囲、６００：ユーザーインターフェイス画面、６１０：通信情報テーブル、６２０：通信情報テーブル、６３０：監視ルールテーブル、６４０：監視ルールテーブル、７００：ユーザーインターフェイス画面、７１０：オブジェクト、７２０：リンク、７３０：ダイアログ、７４０：リンク、７５０：ダイアログ、７６０：リンク、７７０：ダイアログ、１９１１：送信元アドレス情報、１９１２：宛先アドレス情報、１９１３：通信データ量、１９１４：通信頻度、１９２１：エネルギー制御装置ＩＤ、１９２２：機器ＩＤ、１９２３：通信データ量、１９２４：通信頻度、２０１１：構成要素ＩＤ、２０１２：名称、２０１３：補足情報、２０１４：オブジェクト情報、２０１５：接続関係、２１１１：送信元アドレス情報、２１１２：宛先アドレス情報、２１１３：通信データ量閾値、２１１４：通信頻度閾値、２１２１：エネルギー制御装置ＩＤ、２１２２：機器ＩＤ、２１２３：通信データ量閾値、２１２４：通信頻度閾値、２２１１：宛先アドレス情報、２２１２：許可送信元アドレス情報

Claims (8)

1. 監視装置であって、
   ＩＴ機器、設備機器、及び前記設備機器を制御する制御装置を含むエネルギー管理システムに接続され、
   前記ＩＴ機器及び前記制御装置が接続される第一のネットワーク上の通信をキャプチャするキャプチャ部と、
   前記設備機器及び前記制御装置が接続されるネットワークであって、前記第一のネットワークとは通信方式が異なる第二のネットワーク上の通信のログ情報を前記制御装置から収集するログ収集部と、
   前記キャプチャ部によりキャプチャされたキャプチャ情報に基づいて、前記第一のネットワーク上の通信経路を特定する第一の経路情報を生成する第一の生成部と、
   前記ログ収集部により収集されたログ情報に基づいて、前記第二のネットワーク上の通信経路を特定する第二の経路情報を生成する第二の生成部と、
   前記生成された第一の経路情報を取得する第一の取得部と、
   前記生成された第二の経路情報を取得する第二の取得部と、
   前記第一の経路情報及び前記第二の経路情報に基づいて、前記ＩＴ機器、前記設備機器、及び前記制御装置の接続関係を特定するシステム構成情報を生成するシステム構成情報生成部と、
   前記システム構成情報に基づいて、前記ＩＴ機器、前記設備機器、及び前記制御装置の接続関係を表す表示情報を出力する出力部と、を有する
   ことを特徴とする監視装置。
2. 請求項１に記載の監視装置であって、
   アドレス情報を含むアクセス情報を取得する第三の取得部と、
   前記第一のネットワーク上の通信を監視し、当該通信に含まれるアドレス情報と、前記アクセス情報に含まれるアドレス情報とに基づいて、当該通信のアクセスが許可されているか否かを監視する第一の監視部と、を有し、
   前記出力部は、前記第一の監視部により許可されていないと判定された通信を特定する表示情報を出力する、
   ことを特徴とする監視装置。
3. 請求項１又は２に記載の監視装置であって、
   前記第一のネットワーク上の通信経路及び前記第二ネットワーク上の通信経路ごとに、当該通信経路上の通信に関するパラメータと比較するための閾値を関連付けた閾値情報を取得する第四の取得部と、
   前記第一のネットワーク上の通信経路及び前記第二のネットワーク上の通信経路を監視し、前記通信経路ごとに、当該通信経路における通信に関する前記パラメータを求め、前記閾値情報に基づいて当該パラメータが前記閾値を超えているか否かを判定する第二の監視部と、を有し、
   前記出力部は、前記第二の監視部により前記閾値を超えていると判定された通信経路を特定する表示情報を出力する、
   ことを特徴とする監視装置。
4. 請求項１〜３のいずれか一項に記載の監視装置であって、
   前記出力部により出力される前記接続関係を表す表示情報に対する入力を受け付ける入力部を有し、
   前記出力部は、前記ＩＴ機器、前記設備機器、及び前記制御装置に対応するオブジェクトと、前記オブジェクト間のリンクと、により前記接続関係を表す表示情報を出力し、
   前記入力部は、前記オブジェクトについて、関連するファイルを特定する情報の設定を受け付けて保持し、
   前記出力部は、前記ファイルを特定する情報が設定されたオブジェクトに関連付けて、当該ファイル内容を表す表示情報を出力する、
   ことを特徴とする監視装置。
5. 請求項１〜４のいずれか一項に記載の監視装置であって、
   前記出力部は、前記システム構成情報に基づいて、前記ＩＴ機器及び前記制御装置の接続関係に関連付けて前記第一のネットワークの範囲を表す表示情報を出力し、前記制御装置及び前記設備機器の接続関係に関連付けて前記第二のネットワークの範囲を表す表示情報を出力する、
   ことを特徴とする監視装置。
6. 監視システムであって、
   ＩＴ機器、設備機器、及び前記設備機器を制御する制御装置を含むエネルギー管理システムに接続される監視装置と、前記エネルギー管理システムに接続される端末とを備え、
   前記監視装置は、
   前記ＩＴ機器及び前記制御装置が接続される第一のネットワーク上の通信をキャプチャするキャプチャ部と、
   前記設備機器及び前記制御装置が接続されるネットワークであって、前記第一のネットワークとは通信方式が異なる第二のネットワーク上の通信のログ情報を前記制御装置から収集するログ収集部と、
   前記キャプチャ部によりキャプチャされたキャプチャ情報に基づいて、前記第一のネットワーク上の通信経路を特定する第一の経路情報を生成する第一の生成部と、
   前記ログ収集部により収集されたログ情報に基づいて、前記第二のネットワーク上の通信経路を特定する第二の経路情報を生成する第二の生成部と、
   前記生成された第一の経路情報を取得する第一の取得部と、
   前記生成された第二の経路情報を取得する第二の取得部と、
   前記第一の経路情報及び前記第二の経路情報に基づいて、前記ＩＴ機器、前記設備機器、及び前記制御装置の接続関係を特定するシステム構成情報を生成するシステム構成情報生成部と、
   前記システム構成情報に基づいて、前記ＩＴ機器、前記設備機器、及び前記制御装置の接続関係を表す表示情報を出力する出力部と、を有し、
   前記端末は、
   前記出力部から出力された表示情報を表示する表示部を有する、
   ことを特徴とする監視システム。
7. 監視装置のプログラムであって、
   前記監視装置は、ＩＴ機器、設備機器、及び前記設備機器を制御する制御装置を含むエネルギー管理システムに接続され、
   前記プログラムは、
   前記ＩＴ機器及び前記制御装置が接続される第一のネットワーク上の通信をキャプチャするキャプチャステップと、
   前記設備機器及び前記制御装置が接続されるネットワークであって、前記第一のネットワークとは通信方式が異なる第二のネットワーク上の通信のログ情報を前記制御装置から収集するログ収集ステップと、
   前記キャプチャステップでキャプチャされたキャプチャ情報に基づいて、前記第一のネットワーク上の通信経路を特定する第一の経路情報を生成する第一の生成ステップと、
   前記ログ収集ステップで収集されたログ情報に基づいて、前記第二のネットワーク上の通信経路を特定する第二の経路情報を生成する第二の生成ステップと、
   前記生成された第一の経路情報を取得する第一の取得ステップと、
   前記生成された第二の経路情報を取得する第二の取得ステップと、
   前記第一の経路情報及び前記第二の経路情報に基づいて、前記ＩＴ機器、前記設備機器、及び前記制御装置の接続関係を特定するシステム構成情報を生成するシステム構成情報生成ステップと、
   前記システム構成情報に基づいて、前記ＩＴ機器、前記設備機器、及び前記制御装置の接続関係を表す表示情報を出力する出力ステップと、を前記監視装置に実行させる、
   ことを特徴とするプログラム。
8. ＩＴ機器、設備機器、及び前記設備機器を制御する制御装置を含むエネルギー管理システムに接続される監視装置における監視方法であって、
   前記ＩＴ機器及び前記制御装置が接続される第一のネットワーク上の通信をキャプチャするキャプチャステップと、
   前記設備機器及び前記制御装置が接続されるネットワークであって、前記第一のネットワークとは通信方式が異なる第二のネットワーク上の通信のログ情報を前記制御装置から収集するログ収集ステップと、
   前記キャプチャステップでキャプチャされたキャプチャ情報に基づいて、前記第一のネットワーク上の通信経路を特定する第一の経路情報を生成する第一の生成ステップと、
   前記ログ収集ステップで収集されたログ情報に基づいて、前記第二のネットワーク上の通信経路を特定する第二の経路情報を生成する第二の生成ステップと、
   前記生成された第一の経路情報を取得する第一の取得ステップと、
   前記生成された第二の経路情報を取得する第二の取得ステップと、
   前記第一の経路情報及び前記第二の経路情報に基づいて、前記ＩＴ機器、前記設備機器、及び前記制御装置の接続関係を特定するシステム構成情報を生成するシステム構成情報生成ステップと、
   前記システム構成情報に基づいて、前記ＩＴ機器、前記設備機器、及び前記制御装置の接続関係を表す表示情報を出力する出力ステップと、を含む、
   ことを特徴とする監視方法。

Images