JP6438850B2 - 評価システム - Google Patents

Description

本発明は、評価システムに関するものである。

電力、鉄道、水道、ガスといった社会インフラや自動車で利用される制御システムは、センサの情報をもとにバルブやアクチュエータといった装置を動作させ、あらかじめ設定されている圧力や温度を保つことが要求される。この動作を実現するためには、定期的にセンサからの情報を取得し、状態を確認し、必要に応じて制御を行うということが必要となる。

このため、制御システムでは周期的に処理を行うことが通例であり、システム内の各装置で実行される処理は１周期の中で完結することが要求される。このように構築されている現在の制御システムに対して新たな処理や機器の追加や設定変更を行う際には、１周期の中で完結する処理時間となっており、制御システムの通常業務に影響を与えないことが必要であった。

一方、制御システムはこれまで専用ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）や専用プロトコルを利用しており、インターネット等の外部ネットワークからアクセスできない領域に孤立した状態で設置されているため、いわゆるコンピュータウィルスやＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃といったサイバー攻撃からは無縁であると考えられてきた。

しかしながら、コスト削減のために汎用ＯＳや汎用プロトコルを利用するケースが増加しており、効率向上のために情報系システムとの接続も進んできている。また、近年では、制御システムをターゲットとしたコンピュータウィルスが発見されており、制御システムにおいても情報システムと同様にマルウェア等の感染や外部からの不正アクセスを防止する技術が必要となっている。

さらに、これらの攻撃は日々進化しており、新たな攻撃を予防・検知するためにはファイアウォール等で利用する通信パケットのフィルタリングポリシを定期的に更新することが必要となっている。

これらに関する技術として特許文献１には、予め対象システムを模擬したシミュレーション環境を構築し、シミュレーション環境とフィルタリング装置間で通信パケットの送受信を行うことにより、フィルタリングポリシの妥当性を評価する技術が開示されている。

国際公開第２００４／０６２２１６号

特許文献１に開示された技術を使用すれば、シミュレーション可能な環境におけるフィルタリングポリシの妥当性を評価することができる。しかしながら、制御システムは利用されるアプリケーションや環境によって様々な構成があり、また、システムベンダがシステムを納入した後に顧客側で動作環境や構成を変更する可能性もあるため、シミュレーション環境を用いて現場の環境を再現することは困難である。

また、現場の環境をそのまま利用すると、制御システムの通常業務に影響を与えてしまう可能性もあるため、フィルタリングポリシを実環境に適用する前に完全に評価することはできなかった。

そこで、本発明の目的は、上記事情に鑑みてなされたものであり、制御システムの実環境を利用できるとともに通常業務に影響を与えることなく、新たなフィルタリングポリシの妥当性を評価するシステムを提供することにある。

本発明に係る代表的な評価システムは、ネットワーク装置とゲートウェイ装置とポリシ評価装置と第１の制御装置と第２の制御装置を有する評価システムであって、前記ネットワーク装置は、前記第１の制御装置から受信したパケットを複製して、前記ゲートウェイ装置と前記ポリシ評価装置へ送信し、前記ゲートウェイ装置は、前記複製されたパケットを受信して、第１のポリシ格納部に格納されたポリシに基づき第１のフィルタリング処理を実行し、前記第１のフィルタリング処理を通過したパケットを前記第２の制御装置へ送信するとともに前記第１のフィルタリング処理の結果を格納し、前記格納した第１のフィルタリング処理の結果を前記ポリシ評価装置へ送信し、前記ポリシ評価装置は、前記複製されたパケットを受信して、第２のポリシ格納部に格納されたポリシに基づき第２のフィルタリング処理を実行し、前記第２のフィルタリング処理の結果を格納し、前記送信された第１のフィルタリング処理の結果と前記格納した第２のフィルタリング処理の結果とに基づき前記第２のポリシ格納部に格納されたポリシを評価することを特徴とする。

本発明によれば、制御システムの実環境を利用できるとともに通常業務に影響与えることなく、新たなフィルタリングポリシの妥当性を評価するシステムを提供できる。

フィルタリングポリシ評価システムの構成の例を示す図である。 制御装置のハードウェア構成の例を示す図である。 ネットワーク装置、ゲートウェイ装置、ポリシ評価装置のハードウェア構成の例を示す図である。 テストサーバのハードウェア構成の例を示す図である。 実際の通信を用いてポリシ評価装置によりフィルタリングポリシを評価する処理フローの例を示す図である。 テストサーバを用いてポリシ評価装置によりフィルタリングポリシを評価する処理フローの例を示す図である。 ポリシ評価の処理フローの例を示す図である。 フィルタリングポリシの例を示す図である。 フィルタログの例を示す図である。 業務リストの例を示す図である。 評価リストの例を示す図である。 対策方針リストの例を示す図である。 ゲートウェイ装置によるフィルタリングポリシ評価システムの構成の例を示す図である。 ゲートウェイ装置のハードウェア構成の例を示す図である。 実際の通信を用いてゲートウェイ装置によりフィルタリングポリシを評価する処理フローの例を示す図である。 テストサーバを用いてゲートウェイ装置によりフィルタリングポリシを評価する処理フローの例を示す図である。

以下、本発明の好ましい実施形態について図面を参照しながら説明する。

図１は、フィルタリングポリシ評価システムの構成の例を示す図である。実施例１のフィルタリングポリシ評価システムは、図１に例示するように、制御装置１０−１、制御装置１０−２、ネットワーク装置２０、ゲートウェイ装置３０、ポリシ評価装置４０、テストサーバ５０、ネットワーク６０から構成される。

制御装置１０−１と制御装置１０−２は、ネットワーク６０経由の通信パケットにより送受信される制御コマンドに基づき制御業務を行う装置である。図１の例は、制御装置１０−１が制御コマンドを生成し、生成した制御コマンドを制御装置１０−２へ向けて送信し、制御コマンドを受信した制御装置１０−２が制御業務を行う構成である。システムにおける制御装置の構成はこれに限定されるものではなく、複数の制御装置がネットワーク６０に接続され、複数の制御装置がゲートウェイ装置３０に接続される構成であってもよい。

制御装置１０−１と制御装置１０−２は、制御処理を行う制御処理部１０１−１と制御装置部１０１−２をそれぞれ備え、ネットワーク６０やゲートウェイ装置３０等と通信を行う通信部１０２−１と通信部１０２−２をそれぞれ備える。各部はハードウェアで構成されてもよい。また、制御装置１０−１には、さらに不図示の上位サーバが接続され、上位サーバから制御装置１０−１が制御されて制御コマンドを生成してもよい。なお、以下の説明において、制御装置１０−１と制御装置１０−２に共通の説明では制御装置１０と記載する。

ネットワーク装置２０は、通信パケットを中継する装置である。ネットワーク装置２０は、ネットワーク装置２０にネットワーク６０から入力される通信パケットを複製するパケット複製部２０１、ネットワーク６０と通信を行う第一通信部２０２、ポリシ評価装置４０と通信を行う第二通信部２０３、ゲートウェイ装置３０と通信を行う第三通信部２０４を備える。

ゲートウェイ装置３０は、通信パケットをフィルタリングする装置である。ゲートウェイ装置３０は、ゲートウェイ装置３０に入力される通信パケットに対してフィルタリング処理を行うフィルタリング処理部３０１、ゲートウェイ装置３０に格納されているフィルタリングポリシを更新するポリシ更新部３０２、ネットワーク装置２０と通信を行う第一通信部３０３を備える。

また、ゲートウェイ装置３０は、フィルタリング処理部３０１で利用するフィルタリングポリシを格納するポリシ格納部３０４、フィルタリング処理部３０１でフィルタリング処理を実行した結果として生成されるフィルタログを格納するフィルタログ格納部３０５、ポリシ評価装置４０と通信を行う第二通信部３０６、制御装置１０−２通信を行う第三通信部３０７を備える。各部はハードウェアで構成されてもよい。

ポリシ評価装置４０は、新たに更新される予定のフィルタリングポリシを評価するための装置である。ポリシ評価装置４０は、ネットワーク６０と通信を行う第一通信部４０１、ネットワーク装置２０と通信を行う第二通信部４０２、ポリシ評価装置４０に入力される通信パケットに対してフィルタリング処理を行うフィルタリング処理部４０３、ポリシ評価装置４０に設定されている更新用のフィルタリングポリシの妥当性を評価するポリシ評価部４０４を備える。

また、ポリシ評価装置４０は、フィルタリングポリシを評価した結果、問題点があると判定された場合に対策案を抽出する対策方針抽出部４０５、業務毎に評価結果および対策方針が記載された評価リストを出力する評価リスト出力部４０６、所定の標準時の時刻に同期した日時情報を取得する日時情報取得部４０７、ゲートウェイ装置３０と通信を行う第三通信部４０８、フィルタリング処理部４０３で利用するフィルタリングポリシを格納するポリシ格納部４０９を備える。

また、ポリシ評価装置４０は、フィルタリング処理部４０３でフィルタリング処理を実行した結果生成されるフィルタログを格納する新フィルタログ格納部４１０、ゲートウェイ装置３０から受信したフィルタログを格納する旧フィルタログ格納部４１１、ポリシ変更に伴う影響を評価する必要がある業務一覧を格納する業務リスト格納部４１２、業務毎に評価結果および対策方針が記載された評価リストを格納する評価リスト格納部４１３を備える。

また、ポリシ評価装置４０は、フィルタリングポリシの評価を開始した日時を格納する評価開始日時格納部４１４、実際の業務データを用いて評価を行う期間を示す評価期間を格納する評価期間格納部４１５、フィルタリングポリシの評価結果が設計許容範囲を越えた場合の対策方針リストを格納する対策方針リスト格納部４１６を備える。なお、各部はハードウェアで構成されてもよい。

業務は、予め設定された業務ＩＤにより識別されるものであり、例えば制御装置１０−１に接続する１台の上位サーバが１つの業務を担当するように設定されてもよく、１台の制御装置１０−２が複数の業務で使用されるように設定されてもよい。このため、業務に応じて制御装置１０−１と制御装置１０−２の組み合わせが特定されてもよく、業務に応じて通信パケットの送信元と送信先を含むパターンなどが予め設定されてもよい。

テストサーバ５０は、ポリシ評価装置４０に対して送信するテストパケットを生成するテストパケット生成部５０１、ネットワーク６０と通信を行う通信部５０２、テストパケット生成部５０１で予め生成したテストパケットを格納するテストパケット格納部５０３を備える。なお、各部はハードウェアで構成されてもよい。

図２は制御装置１０のハードウェア構成の例を示す図である。制御装置１０は、図１を用いて説明したような制御処理部１０１−１、１０１−２と通信部１０２−１、１０２−２を備える構成以外に、図２に示すような構成、例えば一般的なコンピュータの構成であってもよい。

図２に示す制御装置１０は、ネットワーク６０あるいはゲートウェイ装置３０の第三通信部３０７と接続する通信装置１１、図示を省略したキーボードやディスプレイなどあるいはそれらと接続する入出力装置１２、ハードディスクドライブやフラッシュメモリなどの記憶装置１３、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１４、メモリ１５、これらを連結するバスなどの内部通信線１６から構成される。

さらに、制御装置１０−２は制御処理を行うための専用ハードウェアを含んでもよい。ＣＰＵ１４はメモリ１５あるいは記憶装置１３に格納されたプログラムを実行することにより、制御処理部１０１−１、１０１−２と同等の処理を実現してもよい。通信装置１１は通信部１０２−１、１０２−２に相当する装置であってもよい。

図３はネットワーク装置２０、ゲートウェイ装置３０およびポリシ評価装置４０のハードウェア構成の例を示す図である。ネットワーク装置２０、ゲートウェイ装置３０およびポリシ評価装置４０は、図１を用いて説明したような構成以外に、図３に示すような構成、例えば一般的なコンピュータの構成であってもよい。図３に示すような構成において、ネットワーク装置２０、ゲートウェイ装置３０およびポリシ評価装置４０は同じ構成であってもよい。

ネットワーク装置２０、ゲートウェイ装置３０およびポリシ評価装置４０は、第一通信装置２１−１、第二通信装置２１−２、第三通信装置２１−３、記憶装置２２、入出力装置２３、ＣＰＵ２４、メモリ２５、これらを連結するバスなどの内部通信線２６から構成される。

ここで、第一通信装置２１−１は第一通信部２０２と第一通信部３０３と第一通信部４０１に相当する装置であってもよく、第二通信装置２１−２は第二通信部２０３と第二通信部３０６と第二通信部４０２に相当する装置であってもよく、第三通信装置２１−３は第三通信部２０４と第三通信部３０７と第三通信部４０８に相当する装置であってもよい。

これらの部を除く図１を用いて説明したネットワーク装置２０、ゲートウェイ装置３０およびポリシ評価装置４０の各部と同等の処理を、ＣＰＵ２４がメモリ２５あるいは記憶装置２２に格納されたプログラムを実行することにより、実現してもよい。

図４はテストサーバ５０のハードウェア構成の例を示す図である。テストサーバ５０は、図１を用いて説明したようなテストパケット生成部５０１と通信部５０２とテストパケット格納部５０３を備える構成以外に、図４に示すような構成、例えば一般的なコンピュータの構成であってもよい。

テストサーバ５０は、ネットワーク６０と接続する通信装置５１、入出力装置５２、記憶装置５３、ＣＰＵ５４、メモリ５５、記憶媒体５７を読み込む読取装置５６、これらを連結するバスなどの内部通信線５８で構成される。記憶媒体５７は例えば着脱可能な可搬型の記憶媒体であり、取り外し可能なフラッシュメモリや光ディスクなどであってもよい。記憶媒体５７に格納された情報は、読取装置５６で読み取られ、記憶装置５３に格納されてもよい。

また、ＣＰＵ５４はメモリ５５あるいは記憶装置５３に格納されたプログラムを実行することにより、テストパケット生成部５０１およびテストパケット格納部５０３と同等の処理を実現してもよい。通信装置５１は通信部５０２に相当する装置であってもよい。

以下、フィルタリングポリシ評価システムにおける処理フローについて説明する。以下で説明する処理フローは、制御装置１０、ネットワーク装置２０、ゲートウェイ装置３０、ポリシ評価装置４０、テストサーバ５０の記憶装置１３、２２、５３に格納されたプログラムがメモリ１５、２５、５５にそれぞれロードされ、ＣＰＵ１４、２４、５４によりそれぞれ実行されることにより、フィルタリングポリシ評価システムを構成する装置上に具現化される各処理部により実行されるものである。

ここで、各プログラムは予め記憶装置１３、２２、５３に格納されてもよいし、他の記憶媒体または通信媒体（ネットワークまたはネットワークを伝搬する搬送波）を介して、必要なときに導入されてもよい。

図５は、フィルタリングポリシ評価システムにおいて、制御装置１０間の実際の通信を用いてポリシ評価装置４０がフィルタリングポリシを評価する処理フローの例を示す図である。ここでは制御装置１０−１から制御装置１０−２に対して制御コマンドを送信する処理の例を示し、ポリシ評価装置４０のポリシ格納部４０９に格納されたポリシが評価される。

ポリシ格納部４０９に格納されたポリシは、ゲートウェイ装置３０のポリシ格納部３０４に格納されたポリシを新たに更新する予定のポリシであり、ゲートウェイ装置３０で実際に使用される前に評価されるポリシである。

ポリシ評価装置４０は評価開始処理を行う（Ｓ５０１）。ここで、評価開始処理は、日時情報取得部４０７が現在の日時を取得して評価開始日時格納部４１４に格納する処理と、業務リスト格納部４１２に格納されている業務リストのログ取得状況を未取得に設定する処理と、評価リスト格納部４１３に格納されている評価リストの実処理時間、評価結果、対策方針をクリアする処理とから構成される。なお、この処理を単にＳ５０１と表現することもあり、以下の処理でも同様の表現をすることがある。

Ｓ５０１とは関わりなく、制御装置１０−１は制御措置１０−２へ向けて複数の制御コマンドを送信する。この複数の送信の中で、Ｓ５０１の後にも、制御装置１０−１は、制御コマンドを生成し（Ｓ５０２）、生成した制御コマンドを制御装置１０−２へ向けて送信する。

具体的には制御コマンドの送信先を制御装置１０−２のアドレスとして、ネットワーク６０へ送信する。ここで、最終的な送信先が制御装置１０−２のアドレスとされ、最初に到着する送信先がネットワーク装置２０のアドレスとされてもよい。なお、Ｓ５０１でポリシ評価装置４０が制御装置１０−１へ通知してＳ５０２が実行されてもよい。

ネットワーク装置２０は、ネットワーク６０を経由して制御装置１０−１から制御コマンドを受信する。そして、ネットワーク装置２０は、制御装置１０−１から受信した制御コマンドを複製し（Ｓ５０３）、複製した制御コマンドをゲートウェイ装置３０およびポリシ評価装置４０に送信する。

ゲートウェイ装置３０は、ネットワーク装置２０から受信した制御コマンドに対し、ポリシ格納部３０４に格納されているフィルタリングポリシを用いてフィルタリング処理を行う（Ｓ５０４）。フィルタリングポリシの例については図８を用いて後で説明する。そして、フィルタリング処理の結果を示す旧フィルタログを生成する（Ｓ５０６）。旧フィルタログの例については図９を用いて後で説明する。

ゲートウェイ装置３０は、生成された旧フィルタログをフィルタログ格納部３０５に格納し（Ｓ５０８）、フィルタリング処理を行った制御コマンドを制御装置１０−２に対して送信する。この例では、制御コマンドが制御装置１０−１から送信される正規の通信であり、ポリシ格納部３０４に格納されているフィルタリングポリシに基づきフィルタリング処理を通過するとしている。

制御装置１０−２は、受信した制御コマンドをもとに制御業務を行う（Ｓ５１０）。制御業務の内容そのものは、フィルタリング処理とは関係がないため、説明を省略する。

一方、ポリシ評価装置４０は、ネットワーク装置２０から受信した制御コマンドに対し、ポリシ格納部４０９に格納されているフィルタリングポリシを用いてフィルタリング処理を行う（Ｓ５０５）。そして、フィルタリング処理の結果を示す新フィルタログを生成し（Ｓ５０７）、生成した新フィルタログを新フィルタログ格納部４１０に格納する（Ｓ５０９）。

Ｓ５０２からＳ５１０までの破線で囲まれた動作が１回または複数回繰り返され、一つまたは複数の制御コマンドに対して一つまたは複数の旧フィルタログと新フィルタログが格納されてもよい。ゲートウェイ装置３０は予め設定された量の旧フィルタログを格納すると、ポリシ評価装置４０に対して旧フィルタログを送信する。

なお、図５において旧フィルタログの送信を破線の外に記載したが、破線の中に含めて、予め設定される量ではなく、制御コマンドごとに旧フィルタログはポリシ評価装置４０へ送信されてもよい。また、所定の条件を起点とする予め設定された時間あるいは予め設定された時刻に旧フィルタログはポリシ評価装置４０へ送信されてもよい。また、旧フィルタログが送信された後に、制御コマンドの送信が継続されてもよい。

旧フィルタログが送信されると、ポリシ評価装置４０は、ゲートウェイ装置３０から受信した旧フィルタログを旧フィルタログ格納部４１１に格納する（Ｓ５１１）。次に、ポリシ評価装置４０は、受信した旧フィルタログの中に含まれる制御コマンドを業務リスト格納部４１２に格納されている業務リストのパケットパターンを用いて抽出し、業務リストのログ取得状況を更新する（Ｓ５１２）。業務リストの例については図１０を用いて後で説明する。

ポリシ評価装置４０は、更新した業務リストの中で旧フィルタログを取得していない業務の有無を判定する（Ｓ５１３）。この判定の結果、旧フィルタログをまだ取得していない業務が存在すると判定された場合には、処理を終了する（Ｓ５１４）。一方、全ての業務において旧フィルタログが取得されたと判定された場合には、フィルタリングポリシの評価を行う（Ｓ５１５）。このフィルタリングポリシの評価の詳細な手順に関しては図７を用いて後で説明する。

ポリシ評価装置４０は、Ｓ５１５で生成された評価リストを評価リスト格納部４１３に格納し（Ｓ５１６）、格納された評価リストをポリシ評価装置４０の入出力装置２３や図示を省略した外部の装置等に出力する（Ｓ５１７）。ここで、処理を終了してもよい。

ポリシ評価装置４０は、評価リストをもとに業務への影響有無を判定する（Ｓ５１８）。この判定の結果、業務への影響があると判定された場合には、処理を終了する（Ｓ５１４）。一方、業務への影響がないと判定された場合には、ポリシ評価装置４０のポリシ格納部４０９に格納されている新たなフィルタリングポリシをゲートウェイ装置３０に送信する。ゲートウェイ装置３０は、受信した新たなフィルタリングポリシをポリシ格納部３０４に格納してポリシを更新する（Ｓ５１９）。

図６は、フィルタリングポリシ評価システムにおいて、テストサーバ５０を用いてポリシ評価装置４０がフィルタリングポリシを評価する処理フローの例を示す図である。この処理は、図５を用いて説明した処理フローと並行して実行され、Ｓ５１３で旧フィルタログを取得していない業務が存在すると判定され、Ｓ５１５が実行されず、フィルタリングポリシの評価されない状態が続くことを防ぐ。このため、所定の時間が経過すると、テストサーバ５０のテストパケットを用いてフィルタリングポリシを評価する。

ポリシ評価装置４０は、現在日時を取得する（Ｓ６０１）。次に、評価開始日時格納部４１４から評価開始日時を取得して評価開始日時からの経過時間を算出し（Ｓ６０２）、評価期間格納部４１５から予め設定されている評価期間を取得してＳ６０２で算出した経過時間が評価期間を経過しているか判定する（Ｓ６０３）。

この判定の結果、経過していないと判定された場合には、Ｓ６０１に戻り、現在日時を取得する。一方、経過していると判定された場合には、業務リスト格納部４１２に格納されている業務リストを取得し、フィルタログがまだ取得されていない業務を抽出する（Ｓ６０４）。ポリシ評価装置４０は、この抽出された業務のＩＤと、この抽出された業務に対するテストパケットの要求コマンドをテストサーバ５０に送信する。

これに対してテストサーバ５０は、受信したテストパケット要求コマンドと業務ＩＤをもとにテストパケット生成部５０２においてテストパケットの生成もしくはテストパケット格納部５０３に格納されているテストパケットの抽出により、テストパケットを生成する（Ｓ６０５）。ここで、テストパケットはシステム構築時などの試運転等のタイミングで全制御コマンドを収集してもよいし、このテストサーバ５０のため人手により予め生成されて設定されてもよい。

テストサーバ５０は、生成したテストパケットをポリシ評価装置４０に送信する。この際、ネットワーク装置２０は経由せずにポリシ評価装置４０の第一通信部４０１に送信する。これは本来流れないテストパケットが制御装置１０−２に対して送信され、業務に影響が出ることを防ぐためである。

ポリシ評価装置４０は、受信したテストパケットに対して、ポリシ格納部４０９に格納されているフィルタリングポリシを用いてフィルタリング処理を行い（Ｓ６０６）、フィルタリング処理の結果を示す新フィルタログを生成する（Ｓ６０７）。次に、生成した新フィルタログを新フィルタログ格納部４１０に格納する（Ｓ６０８）。

ポリシ評価装置４０は、生成された新フィルタログの中に含まれる制御コマンドを業務リスト格納部４１２に格納されている業務リストのパケットパターンを用いて抽出し、業務リストのログ取得状況を更新する（Ｓ６０９）。そして、更新した業務リストの中でフィルタログを取得していない業務の有無を判定する（Ｓ６１０）。この判定の結果、フィルタログをまだ取得していない業務が存在すると判定された場合には、Ｓ６０４に戻って再度テストパケットの要求とフィルタリング処理を行う。

一方、全ての業務においてフィルタログが取得されたと判定された場合には、フィルタリングポリシの評価を行う（Ｓ６１１）。このフィルタリングポリシの評価の詳細な手順に関しては図７を用いて後で説明する。ポリシ評価装置４０は、Ｓ６１１で生成した評価リストを評価リスト格納部４１３に格納し（Ｓ６１２）、格納した評価リストをポリシ評価装置４０の入出力装置２３や図示を省略した外部の装置等に出力する（Ｓ６１３）。

これで処理を終了してもよい。また、図５のＳ５１８とＳ５１９を用いて説明したように、ゲートウェイ装置３０のポリシ格納部３０４へ新たなフィルタリングポリシを格納してポリシを更新してもよい。

なお、ポリシ格納部３０４に格納されたフィルタリングポリシでテストパケットをフィルタリング処理した結果の旧フィルタログを、フィルタリング処理部３０１で実際に処理することなく、旧フィルタログ格納部４１１へ予め格納しておいてもよい。このために、試運転時に旧フィルタログを旧フィルタログ格納部４１１へ予め格納しておいてもよいし、テストパケットの内容を決定したときにそのテストパケットに対して発生する旧フィルタログを旧フィルタログ格納部４１１へ予め格納しておいてもよい。

図７は、フィルタリングポリシ評価システムにおいて、ポリシ評価装置４０内で実行されるポリシ評価（Ｓ５１５、Ｓ６１１）の処理フローの例を示す図である。既に説明したように制御装置１０−１から送信される正規の通信は、ゲートウェイ装置３０のポリシ格納部３０４に格納されているフィルタリングポリシに基づきフィルタリング処理を通過するものである。

これに対して、制御装置１０−１から送信される正規の通信が、ポリシ評価装置４０のポリシ格納部４０９に格納されているフィルタリングポリシに基づきフィルタリング処理を通過しないのであれば、ポリシ格納部４０９に格納されている新たなフィルタリングポリシはシステムの正常な動作を阻害するものとなる。

このため、旧フィルタログと新フィルタログとを比較することにより、新たなフィルタリングポリシは評価される。また、フィルタリング処理の時間が長くなるフィルタリングポリシも、システムの正常な動作を阻害するものとして評価される。

まず、ポリシ評価装置４０が、ポリシ評価処理を開始すると（Ｓ７０１）、新フィルタログ格納部４１０に格納されている新フィルタログを取得する（Ｓ７０２）。次に、旧フィルタログ格納部４１１に格納されている旧フィルタログを取得し（Ｓ７０３）、業務リスト格納部４１２に格納されている業務リストを取得する（Ｓ７０４）。

ポリシ評価装置４０は、Ｓ７０４で取得した業務リストに含まれる１つの業務のパケットパターンをもとに新フィルタログおよび旧フィルタログに含まれる業務関連パケットを抽出する（Ｓ７０５）。次に、抽出した新フィルタログに含まれる業務関連パケットと旧フィルタログに含まれる業務関連パケットのフィルタリング結果を比較する（Ｓ７０６）。

この比較の結果、フィルタリング結果に差分があると判定された場合には、対策方針抽出を実行する（Ｓ７０８）。対策方針抽出の処理内容については後で説明する。一方、フィルタリング結果に差分がないと判定された場合には、新フィルタログに含まれる業務関連パケットの処理時間評価を行う（Ｓ７０７）。

この処理時間評価は、業務毎に予め設定されたフィルタリング処理にかけられる最大許容処理時間であって、業務リスト格納部４１２に格納されている業務リストに含まれる業務毎の最大許容処理時間と、抽出した業務関連パケットのログから算出されるパケットのフィルタリング処理時間とを比較し、最大許容処理時間を越えているか否かを判定する。

この判定の結果、最大許容処理時間以内であると判定された場合、ポリシ評価装置４０は評価リスト作成処理を実行する（Ｓ７０９）。評価リスト作成の処理内容については後で説明する。一方、最大許容処理時間を越えていると判定された場合、対策方針リスト格納部４１６に格納されている対策方針リストの差分パターンに基づき対策案を抽出する（Ｓ７０８）。この対策方針リストの構成および差分パターンと対策案については、図１２を用いて後で説明する。

ポリシ評価装置４０は、Ｓ７０６からＳ７０８の結果をもとに評価リストを作成する（Ｓ７０９）。この評価リストの構成については図１１を用いて後で説明する。Ｓ７０４で取得した業務リストに含まれる全ての業務の評価が終了したか、すなわち全ての業務のパケットパターンを処理したかを判定する（Ｓ７１０）。

この判定の結果、全ての業務の評価が終了していないと判定した場合、Ｓ７０５へ戻り、Ｓ７０４で取得した業務リストに含まれる他の業務のパケットパターンをもとに新フィルタログおよび旧フィルタログに含まれる業務関連パケットを抽出する。全ての業務の評価が終了したと判定した場合、ポリシ評価装置４０はポリシ評価処理を終了し、ポリシ評価処理を実行する前の処理へ戻る（Ｓ７１１）。

図８は、フィルタリングポリシ評価システムにおいて、ポリシ格納部に格納されるフィルタリングポリシの例を示す図である。ここでポリシ格納部は、ゲートウェイ装置３０のポリシ格納部３０４やポリシ評価装置４０のポリシ格納部４０９であり、格納される情報の構成は共通である。

１つのフィルタリングポリシは、受信したパケットの通過の許可や拒否といったフィルタリングの設定情報を示すフィルタリングルール８０２、パケットの送信元８０３、パケットの送信先８０４、使用プロトコル８０５、ポート番号８０６という要素から構成される。フィルタリングポリシのパケットの送信元８０３パケットの送信先８０４、使用プロトコル８０５、ポート番号８０６の各値と、受信したパケットの各値とが全て一致した場合に、フィルタリングルール８０２が適用されるものであってもよい。

また、各値の全ての一致以外に、これらの構成要素の一部の各値が一致した場合に、フィルタリングルール８０２が適用されるものであってもよい。どの構成要素の値の一致を判定するかは予め設定されてもよい。フィルタリングポリシの構成要素の各値は入出力装置２３あるいは図示を省略したネットワーク経由などにより予め設定されてもよい。

なお、フィルタリングポリシの構成要素はこれらに限定されるものではなく、少なくともこれらの構成要素が含まれていればよい。また、１つのフィルタリングポリシの構成要素の順序は図８に示した順序に限定されるものではない。そして、図８の例では１つのフィルタリングポリシを示したが、ポリシ格納部に複数のフィルタリングポリシが格納され、格納された順番に実行されてもよい。

図９は、フィルタリングポリシ評価システムにおいて、フィルタログ格納部に格納されるフィルタログの例を示す図である。ここでフィルタログ格納部は、ゲートウェイ装置３０のフィルタログ格納部３０５やポリシ評価装置４０の新フィルタログ格納部４１０および旧フィルタログ格納部４１１であり、格納される情報の構成は共通である。

１つのフィルタログは、入時刻９０１、出時刻９０２、フィルタリング結果９０３、ヘッダ９０４、データ９０５という要素から構成される。入時刻９０１と出時刻９０２はそれぞれフィルタリング処理を開始した時刻と終了した時刻であり、入時刻９０１の値と出時刻９０２の値の差分を計算することによりフィルタリング処理にかかる時間を算出できる。

このために例えば、ゲートウェイ装置３０は、第一通信部３０３がパケットを受信した時刻を入時刻９０１へ格納し、第三通信部３０７からパケットを送信した時刻あるいはパケットを拒否と判定した時刻を出時刻９０２へ格納してもよい。ポリシ評価装置４０は、第二通信部４０２がパケットを受信した時刻を入時刻９０１へ格納し、パケットを許可あるいは拒否と判定した時刻を出時刻９０２へ格納してもよい。

フィルタリング結果９０３は、図８を用いて説明したフィルタリングポリシに基づいてフィルタリング処理が実行された結果が格納される。フィルタリング結果９０３の値は許可や拒否であってもよい。ヘッダ９０４は、受信したパケットのヘッダであり、パケットの送信元９０６、パケットの送信先９０７、使用プロトコル９０８、ポート番号９０９から構成される。

データ９０５は、受信したパケットのデータであり、パケットのデータそのものでもよいし、そのようなデータを変換した値であってもよい。また、データ９０５はなくてもよい。パケットを受信すると、受信したパケットのヘッダとデータがヘッダ９０４とデータ９０５へ複製されて、入時刻９０１へ値が格納され、フィルタリング処理が終了すると、フィルタリング結果９０３と出時刻９０２へ値が格納される。

なお、フィルタログの構成要素はこれらに限定されるものではなく、少なくともフィルタリング処理時間を得られる情報、フィルタリング結果９０３、ヘッダ９０４の３要素が含まれていればよい。また、フィルタログの構成要素の順序は図９に示した順序に限定されるものではない。そして、図９の例では１つのフィルタログを示したが、フィルタログ格納部に複数のフィルタログが格納されてもよい。

図１０は、フィルタリングポリシ評価システムにおいて、ポリシ評価装置４０の業務リスト格納部４１２に格納される業務リストの例を示す図である。１つの業務リストは、業務を識別する情報を示す業務ＩＤ１００２、業務毎の通信パケットの構成を示すパケットパターン１００３、各業務において許容されているパケット処理時間の最大値を示す最大許容処理時間１００４、各業務に関するフィルタログが取得されたか否かを示すログ取得状況１００５という要素から構成される。

パケットパターン１００３は、パケットの送信元１００６、パケットの送信先１００７、使用プロトコル１００８、ポート番号１００９、および特徴データ１０１０から構成される。この特徴データ１０１０は、実際に送受信されるはずのデータそのものでもよいし、そのようなデータの所定の位置の一部のデータでもよいし、そのようなデータを変換した値でもよい。また、フィルタログにデータが含まれない場合には、特徴データ１０１０はなくてもよい。

業務ＩＤ１００２とパケットパターン１００３と最大許容処理時間１００４の各値は、各業務に応じて入出力装置２３あるいは図示を省略したネットワーク経由などにより予め設定されてもよい。ログ取得状況１００５の初期値は未取得であってもよい。

フィルタログのヘッダ９０４の値およびデータ９０５の値と業務リストのパケットパターン１００３のパターンとが比較され、この比較の結果が一致するフィルタログの業務は業務ＩＤ１００２の業務であると特定されてもよい。そして、一致するパケットパターン１００３に対応するログ取得状況１００５の値が取得済みとされてもよい。

なお、業務リストの構成要素はこれらに限定されるものではなく、少なくともこれらの要素が含まれていればよい。また、業務リストの構成要素の順序は図１０に示した順序に限定されるものではない。そして、図１０の例では１つの業務リストを示したが、業務リスト格納部４１２に複数の業務リストが格納されてもよい。

図１１は、フィルタリングポリシ評価システムにおいて、ポリシ評価装置４０の評価リスト格納部４１３に格納される評価リストの例を示す図である。１つの評価リストは、業務を識別する情報を示す業務ＩＤ１１０２、各業務において許容されているパケット処理時間の最大値を示す最大許容処理時間１１０３、取得したログから算出した実際のパケットの処理時間を示す実処理時間１１０４、各業務への影響有無を示す評価結果１１０５、評価した結果影響がある場合に出力する対策案１１０６という要素から構成される。

業務ＩＤ１１０２は業務リストの業務ＩＤ１００２に対応しており、最大許容処理時間１１０３は業務リストの最大許容処理時間１００４の値が格納される。そして、業務ＩＤ１００２に対応するパケットパターン１００３のパターンと一致するヘッダ９０４の値およびデータ９０５の値の入時刻９０１と出時刻９０２の差分が、実処理時間１１０４に格納される。

評価結果１１０５は、図７を用いて説明したＳ７０８により対策方針抽出をした場合に、業務への影響有を示す情報とされ、それ以外の場合は業務への影響無を示す情報とされる。また、対策案１１０６は、Ｓ７０８により抽出された対策案１２０３の対策内容が格納される。

なお、評価リストの構成要素はこれらに限定されるものではなく、少なくともこれらの要素が含まれていればよい。また、評価リストの構成要素の順序は図１１に示した順序に限定されるものではない。そして、図１１の例では１つの評価リストを示したが、評価リスト格納部４１３に複数の評価リストが格納されてもよい。

図１２は、フィルタリングポリシ評価システムにおいて、ポリシ評価装置４０の対策方針リスト格納部４１６に格納される対策方針リストの例を示す図である。１つの対策方針リストは、更新前ポリシ（旧ポリシ）を適用した際のログ出力と更新用ポリシ（新ポリシ）を適用した際のログ出力の２つのログの差分を分類した差分パターン１２０２と、差分パターンが発生している場合の対策内容である対策案１２０３から構成される。

ここで、更新前ポリシはゲートウェイ装置３０のポリシ格納部３０４に格納されたポリシであり、更新用ポリシはポリシ評価装置４０のポリシ格納部４０９に格納されたポリシであってもよい。

また、差分パターン１２０２は、例えば２つのログに含まれるフィルタリング結果（許可、拒否）の違いであってもよいし、処理時間の違いであってもよい。フィルタリング結果に違いである場合は、本来は許可されるべきパケットが拒否されて業務への影響が出ることが明確であるため、フィルタリング以外での対策を要求するという対策内容としてもよい。

一方、処理時間に違いがある場合は、更新用ポリシによるフィルタリング処理の時間と最大許容処理時間１００４との差が予め設定された一定値以下であるか否かという点を含めてさらなる差分パターンを作成してもよい。

一定値以下の場合には、ポリシ格納部４０９に格納されている更新用ポリシの実行順序の見直しやポリシの内容の見直しを要求する対策内容としてもよい。一定値を越える場合には、フィルタリング結果に違いがある場合と同様にフィルタリング以外での対策を要求するといった対策内容としてもよい。

これらの差分パターン１２０２と対策案１２０３の各内容は、入出力装置２３あるいは図示を省略したネットワーク経由などにより予め設定されてもよい。

なお、対策方針リストの構成要素はこれらに限定されるものではなく、少なくともこれらの要素が含まれていればよい。また、対策方針リストの構成要素の順序は図１２に示した順序に限定されるものではない。そして、図１１の例では１つの対策方針リストを示したが、対策方針リスト格納部４１６に複数の評価リストが格納されてもよい。

以上で説明したように、実際に使用する制御装置１０、ゲートウェイ装置３０、ネットワーク６０を使用することにより実環境でのフィルタリングポリシの評価が可能になる。また、ネットワーク装置２０でパケットを複製し、ポリシ評価装置４０で評価することにより、実環境の通常業務へ影響を与えずに評価することができる。

さらに、実環境では発生の稀なパケットについても、所定の期間発生しない場合はテストサーバでテストパケットとして発生することにより評価が可能になる。そして、制御システムでは重要なフィルタリング処理時間の評価もできる。

実施例１のフィルタリングポリシ評価システムでは、ネットワーク装置２０、ゲートウェイ装置３０、ポリシ評価装置４０を有したが、実施例２のフィルタリングポリシ評価システムでは、これら３つの装置を１つのゲートウェイ装置３０−１にまとめる。これにより、少ないハードウェア資源でフィルタリングポリシ評価システムを構築することも可能になる。

図１３は、フィルタリングポリシ評価システムの構成の例を示す図である。実施例２のフィルタリングポリシ評価システムは、図１３に例示するように、制御装置１０−１、１０−２、ゲートウェイ装置３０−１、テストサーバ５０、ネットワーク６０から構成される。制御装置１０−１、１０−２、テストサーバ５０、ネットワーク６０は同じ符号の既に説明した構成と同じであるので説明を省略する。

ゲートウェイ装置３０−１は、ゲートウェイ装置３０−１に入力される通信パケットに対して、旧ポリシ格納部３０４−１に格納されているフィルタリングポリシに基づいてフィルタリング処理を行う旧フィルタリング処理部３０１−１、新ポリシ格納部３０４−２に格納されているフィルタリングポリシに基づいてフィルタリング処理を行う新フィルタリング処理部３０１−２、旧ポリシ格納部３０４−１に格納されているフィルタリングポリシを更新するポリシ更新部３０２を備える。

また、ゲートウェイ装置３０−１は、ネットワーク６０と通信を行う第一通信部３０３、旧フィルタリング処理部３０１−１で利用するフィルタリングポリシを格納する旧ポリシ格納部３０４−１、新フィルタリング処理部３０１−２で利用するフィルタリングポリシを格納する新ポリシ格納部３０４−２、旧フィルタリング処理部３０１−１でフィルタリング処理を実行した結果生成されるフィルタログを格納する旧フィルタログ格納部３０５−１、新フィルタリング処理部３０１−２でフィルタリング処理を実行した結果生成されるフィルタログを格納する新フィルタログ格納部３０５−２を備える。

また、ゲートウェイ装置３０−１は、ネットワーク６０を経由してテストサーバ５０と通信を行う第二通信部３０６と、制御装置１０−２と通信を行う第三通信部３０７、新ポリシ格納部３０４−２に格納されている更新用フィルタリングポリシの妥当性を評価するポリシ評価部３０８、更新用フィルタリングポリシを評価した結果、問題点があると判定された場合に対策案を抽出する対策方針抽出部３０９を備える。

また、ゲートウェイ装置３０−１は、業務毎に評価結果および対策方針が記載された評価リストを出力する評価リスト出力部３１０、所定の標準時の時刻に同期した日時情報を取得する日時情報取得部３１１、ゲートウェイ装置３０−１に入力された通信パケットを複製するパケット複製部３１２、ポリシ変更に伴う影響を評価する必要がある業務一覧を格納する業務リスト格納部３１３を備える。

また、ゲートウェイ装置３０−１は、業務毎に評価結果および対策方針が記載された評価リストを格納する評価リスト格納部３１４、更新用フィルタリングポリシの評価を開始した日時を格納する評価開始日時格納部３１５、実際の業務データを用いて評価を行う期間を示す評価期間を格納する評価期間格納部３１６、更新用フィルタリングポリシの評価結果が設計許容範囲を越えた場合の対策方針リストを格納する対策方針リスト格納部３１７を備える。

図１４はゲートウェイ装置３０−１のハードウェア構成の例を示す図である。ゲートウェイ装置３０−１は、図１３を用いて説明したような構成以外に、図１４に示すような構成、例えば一般的なコンピュータの構成であってもよい。

ゲートウェイ装置３０−１は、第一通信装置２１−１、第二通信装置２１−２、第三通信装置２１−３、第一記憶装置２２−１、第二記憶装置２２−２、入出力装置２３、第一ＣＰＵ２４−１、第二ＣＰＵ２４−２、第一メモリ２５−１、第二メモリ２５−２、これらを連結するバスなどの内部通信線２６で構成される。

ここで、図１３に示した各処理部のうち、例えば旧フィルタリング処理部３０１−１、旧ポリシ格納部３０４−１、旧フィルタログ格納部３０５−１の動作内容は、第一記憶装置２２−１、第一ＣＰＵ２４−１、第一メモリ２５−１の動作内容に対応し、その他の処理部や格納部の動作内容は第二記憶装置２２−２、第二ＣＰＵ２４−２、第二メモリ２５−２の動作内容に対応してもよい。

このよう動作内容とすることで、実業務の関連処理（旧フィルタリング処理関係）とポリシ評価関連処理（新フィルタリング処理関係）を別の実行環境で実施することができ、実業務への影響を最小化することができる。

なお、パケット複製部３１２の動作内容は第二ＣＰＵ２４−２の動作内容に対応してもよい。また、ＣＰＵの処理性能が十分に高い場合は、第一ＣＰＵ２４−１と第二ＣＰＵ２４−２に分けず、１つのＣＰＵで構成してもよいし、第一ＣＰＵ２４−１と第二ＣＰＵ２４−２のそれぞれはＣＰＵでなく、ＣＰＵのコアであってもよいが、実業務の関連処理の実行環境とポリシ評価関連処理の実行環境とは独立性が高く、同じ程度の処理能力の環境が望ましい。

実施例２のフィルタリングポリシ評価システムにおける処理フローについて説明する。以下に述べる処理フローは、制御装置１０−１、１０−２やゲートウェイ装置３０−１やテストサーバ５０の記憶装置１３、２２−１、２２−２、５３に格納されたプログラムがメモリ１５、２４−１、２４−２、５５にロードされ、ＣＰＵ１４、２４−１、２４−２、５４により実行されることにより、フィルタリングポリシ評価システムを構成する装置上に具現化される各処理部により実行されるものである。

また、各プログラムは予め記憶装置１３、２２−１、２２−２、５３に格納されてもよいし、他の記憶媒体または通信媒体（ネットワークまたはネットワークを伝搬する搬送波）を介して、必要なときに導入されてもよい。

図１５は、フィルタリングポリシ評価システムにおいて、制御装置１０−１と１０−２間の実際の通信を用いてゲートウェイ装置３０−１がフィルタリングポリシを評価する処理フローの例を示す図である。ここでは制御装置１０−１から制御装置１０−２に対して制御コマンドを送信する処理の例を示し、ゲートウェイ装置３０−１の新ポリシ格納部３０４−２に格納されたポリシが評価される。

ゲートウェイ装置３０−１のポリシ評価部３０８は評価開始処理を行う（Ｓ１５０１）。ここで、評価開始処理とは、現在の日時を取得し、評価開始日時格納部３１５に格納する処理と、業務リスト格納部３１３に格納されている業務リストのログ取得状況を未取得に設定する処理と、評価リスト格納部３１４に格納されている評価リストの実処理時間、評価結果、対策方針をクリアする処理とから構成される。

Ｓ１５０１とは関わりなく、制御装置１０−１は制御措置１０−２へ向けて複数の制御コマンドを送信する。この複数の送信の中で、Ｓ１５０１の後にも、制御装置１０−１は、制御コマンドを生成し（Ｓ１５０２）、生成した制御コマンドを制御装置１０−２へ向けて送信する。

ゲートウェイ装置３０−１のパケット複製部３１２は、制御装置１０−１から受信した制御コマンドを複製し（Ｓ１５０３）、複製した制御コマンドを旧フィルタリング処理部３０１−１および新フィルタリング処理部３０１−２に送信する。

ゲートウェイ装置３０−１の旧フィルタリング処理部３０１−１は、パケット複製部３１２から受信したパケットに対して旧ポリシ格納部３０４−１に格納されているフィルタリングポリシを用いてフィルタリング処理を行う（Ｓ１５０４）。次に、フィルタリング処理の結果を示す旧フィルタログを生成し（Ｓ１５０６）、生成した旧フィルタログを旧フィルタログ格納部３０５−１に格納する（Ｓ１５０８）。そして、フィルタリング処理を行った制御コマンドを制御装置１０−２に対して送信し、ゲートウェイ装置３０−１のポリシ評価部３０８に対して旧フィルタログ格納完了通知を送信する。

制御装置１０−２は、受信した制御コマンドをもとに制御業務を行う（Ｓ１５１０）。

一方、ゲートウェイ装置３０−１の新フィルタリング処理部３０１−２は、パケット複製部３１２から受信したパケットに対して新ポリシ格納部３０４−２に格納されているフィルタリングポリシを用いてフィルタリング処理を行う（Ｓ１５０５）。そして、フィルタリング処理の結果を示す新フィルタログを生成し（Ｓ１５０７）、生成した新フィルタログを新フィルタログ格納部３０５−２に格納し（Ｓ１５０９）、ゲートウェイ装置３０−１のポリシ評価部３０８に対して新フィルタログ格納完了通知を送信する。

Ｓ１５０２からＳ１５１０までの破線で囲まれた動作が１回または複数回繰り返され、一つまたは複数の制御コマンドに対して一つまたは複数の旧フィルタログと新フィルタログが格納されてもよい。また、破線で囲まれた動作以降に制御コマンドの送信が継続されてもよい。

次に、ゲートウェイ装置３０−１のポリシ評価部３０８は、旧フィルタログ格納部３０５−１に格納されている旧フィルタログの中に含まれる業務パケットを業務リスト格納部３１３に格納されている業務リストのパケットパターンを用いて抽出し、業務リストのログ取得状況を更新する（Ｓ１５１１）。

ポリシ評価部３０８は、更新した業務リストの中で旧フィルタログを取得していない業務の有無を判定する（Ｓ１５１２）。この判定の結果、旧フィルタログをまだ取得していない業務が存在すると判定された場合には、処理を終了する（Ｓ１５１３）。一方、全ての業務において旧フィルタログが取得されたと判定された場合には、フィルタリングポリシの評価を行う（Ｓ１５１４）。ここで、フィルタリングポリシの評価の詳細な手順に関しては、図７を用いて説明した通りである。

次に、Ｓ１５１４で生成した評価リストを評価リスト格納部３１４に格納する（Ｓ１５１５）。ここで、処理を終了してもよいし（Ｓ１５１３）、既に説明したように業務への影響有無を判定し、業務への影響がないと判定された場合には、新ポリシ格納部３０４−２に格納されたフィルタリングポリシを旧ポリシ格納部３０４−１へ格納してもよい。

図１６は、フィルタリングポリシ評価システムにおいて、テストサーバ５０を用いてポリシ評価装置４０がフィルタリングポリシを評価する処理フローの例を示す図である。ゲートウェイ装置３０−１を用いて適用するフィルタリングポリシを評価する際に評価開始日時からの経過時間が予め設定されている評価期間を経過した際に実行されてもよい。

ゲートウェイ装置３０−１の日時情報取得部３１１は、現在日時を取得する（Ｓ１６０１）。次に、評価開始日時格納部３１５から評価開始日時を取得して評価開始日時からの経過時間を算出し（Ｓ１６０２）、評価期間格納部３１６から予め設定されている評価期間を取得し、Ｓ１６０２で算出した経過時間が評価期間を経過しているか判定する（Ｓ１６０３）。

この判定の結果、経過していないと判定された場合には、Ｓ１６０１に戻り、現在日時を取得する。一方、経過していると判定された場合、日時情報取得部３１１は、経過時間が評価期間を経過したことを示す評価期間経過通知をポリシ評価部３０８に送信する。

ゲートウェイ装置３０−１のポリシ評価部３０８は、業務リスト格納部３１３に格納されている業務リストを取得し、フィルタログがまだ取得されていない業務を抽出する（Ｓ１６０４）。ポリシ評価部３０８は、この抽出された業務のＩＤと、この抽出された業務に対するテストパケットの要求コマンドをテストサーバ５０に送信する。

これに対してテストサーバ５０は、受信したテストパケット要求コマンドと業務ＩＤをもとにテストパケット生成部５０２においてテストパケットの生成もしくはテストパケット格納部５０３に格納されているテストパケットの抽出により、テストパケットを生成する（Ｓ１６０５）。ここで、テストパケットは試運転等のタイミングで収集してもよいし、人手により予め生成されて設定されてもよい。

テストサーバ５０は、生成したテストパケットをゲートウェイ装置３０−１の新フィルタリング処理部３０１−２に送信する。この際、第一通信部３０３ではなく、第二通信部３０６に対して送信する。これは本来流れないテストパケットが制御装置１０−２に対して送信され、業務に影響が出ることを防ぐためである。

ゲートウェイ装置３０−１の新フィルタリング処理部３０１−２は、受信したテストパケットに対して新ポリシ格納部３０４−２に格納されているフィルタリングポリシを用いてフィルタリング処理を行い（Ｓ１６０６）、フィルタリング処理の結果を示す新フィルタログを生成する（Ｓ１６０７）。次に、生成した新フィルタログを新フィルタログ格納部３０５−２に格納し（Ｓ１６０８）、ゲートウェイ装置３０−１のポリシ評価部３０８に対して新フィルタログ格納完了通知を送信する。

ゲートウェイ装置３０−１のポリシ評価部３０８は、生成された新フィルタログの中に含まれる制御コマンドを業務リスト格納部３１３に格納されている業務リストのパケットパターンを用いて抽出し、業務リストのログ取得状況を更新する（Ｓ１６０９）。そして、更新した業務リストの中でフィルタログを取得していない業務の有無を判定する（Ｓ１６１０）。この判定の結果、フィルタログをまだ取得していない業務が存在すると判定された場合には、Ｓ１６０４に戻って再度テストパケットの要求とフィルタリング処理を行う。

一方、全ての業務においてフィルタログが取得されたと判定された場合には、フィルタリングポリシの評価を行う（Ｓ１６１１）。ここで、フィルタリングポリシの評価の詳細な手順に関しては、図７を用いて既に説明した通りである。ポリシ評価部３０８は、Ｓ１６１１で生成した評価リストを評価リスト格納部３１４に格納する（Ｓ１６１２）。

なお、旧ポリシ格納部３０４−１に格納されたフィルタリングポリシでテストパケットをフィルタリング処理した結果の旧フィルタログを、旧フィルタリング処理部３０１−１で実際に処理することなく、旧フィルタログ格納部３０５−１へ予め格納しておいてもよい。

以上で説明したように、実際に使用する制御装置１０、ゲートウェイ装置３０−１、ネットワーク６０を使用することにより実環境でのフィルタリングポリシの評価が可能になる。また、ゲートウェイ装置３０−１内でパケットを複製し、通常業務に対するフィルタリング処理とは別に評価することにより、実環境の通常業務へ影響を与えずに評価することができる。

さらに、実環境では発生の稀なパケットについても、所定の期間発生しない場合はテストサーバでテストパケットとして発生することにより評価が可能になる。そして、制御システムでは重要なフィルタリング処理時間の評価もでき、ゲートウェイ装置３０−１が１つで評価できる。

なお、本発明の実施形態は、以上で説明した実施形態に限定されるものではなく、その要旨の範囲内で様々な変形が可能である。たとえば、制御装置内にゲートウェイ装置の処理を含める構成や、制御装置やゲートウェイ装置にネットワークとの通信部が含まれておらず、別の装置を経由してネットワークと通信を行う構成などでもよい。これらの実施形態においてもシステム全体において行う処理に本質的な相違はない。

１０−１、１０−２：制御装置
２０：ネットワーク装置
３０、３０−１：ゲートウェイ装置
４０：ポリシ評価装置
５０：テストサーバ
６０：ネットワーク

Claims (15)

1. ネットワーク装置とゲートウェイ装置とポリシ評価装置と第１の制御装置と第２の制御装置を有する評価システムであって、
   前記ネットワーク装置は、前記第１の制御装置から受信したパケットを複製して、前記ゲートウェイ装置と前記ポリシ評価装置へ送信し、
   前記ゲートウェイ装置は、前記複製されたパケットを受信して、第１のポリシ格納部に格納されたポリシに基づき第１のフィルタリング処理を実行し、前記第１のフィルタリング処理を通過したパケットを前記第２の制御装置へ送信するとともに前記第１のフィルタリング処理の結果を格納し、前記格納された第１のフィルタリング処理の結果を前記ポリシ評価装置へ送信し、
   前記ポリシ評価装置は、前記複製されたパケットを受信して、第２のポリシ格納部に格納されたポリシに基づき第２のフィルタリング処理を実行し、前記第２のフィルタリング処理の結果を格納し、前記送信された第１のフィルタリング処理の結果と前記格納された第２のフィルタリング処理の結果とに基づき前記第２のポリシ格納部に格納されたポリシを評価すること
   を特徴とする評価システム。
2. 前記ゲートウェイ装置は、前記第１のフィルタリング処理の結果に前記複製されたパケットの通過の許可あるいは拒否である第１の結果を含め、
   前記ポリシ評価装置は、前記第２のフィルタリング処理の結果に前記複製されたパケットの通過の許可あるいは拒否である第２の結果を含め、前記第１の結果と前記第２の結果の差異を判定して、前記第２のポリシ格納部に格納されたポリシを評価すること
   を特徴とする請求項１に記載の評価システム。
3. 前記ゲートウェイ装置は、前記第１のフィルタリング処理の結果に前記第１のフィルタリング処理の第１の処理時間を含め、
   前記ポリシ評価装置は、前記第２のフィルタリング処理の結果に前記第２のフィルタリング処理の第２の処理時間を含め、前記第１の処理時間と前記第２の処理時間の差異を判定し、予め設定された制約となる処理時間と前記第２の処理時間を比較して、前記第２のポリシ格納部に格納されたポリシを評価すること
   を特徴とする請求項２に記載の評価システム。
4. 前記ポリシ評価装置は、前記第１の結果と前記第２の結果の差異に応じた対策案、あるいは前記予め設定された制約となる処理時間と前記第２の処理時間を比較した結果に応じた対策案の抽出により評価リストを作成し、前記評価リストを出力すること
   を特徴とする請求項３に記載の評価システム。
5. 前記ポリシ評価装置は、前記評価の結果に基づき前記第２のポリシ格納部に格納されたポリシを前記ゲートウェイ装置へ送信し、
   前記ゲートウェイ装置は、前記送信されたポリシを前記第１のポリシ格納部へ格納すること
   を特徴とする請求項４に記載の評価システム。
6. 前記ポリシ評価装置は、前記送信された第１のフィルタリング処理の結果から予め設定された業務に関連する結果を抽出し、前記格納された第２のフィルタリング処理の結果から前記予め設定された業務に関連する結果を抽出し、前記第２のポリシ格納部に格納されたポリシを評価すること
   を特徴とする請求項５に記載の評価システム。
7. 前記ポリシ評価装置は、前記送信された第１のフィルタリング処理の結果に含まれるパケットと前記予め設定された業務に使用されるパケットとのパターンを比較して前記予め設定された業務に関連する結果を抽出し、前記格納された第２のフィルタリング処理の結果に含まれるパケットと前記予め設定された業務に使用されるパケットとのパターンを比較して前記予め設定された業務に関連する結果を抽出し、前記予め設定された業務に関連する結果を抽出すること
   を特徴とする請求項６に記載の評価システム。
8. 前記ポリシ評価装置は、前記送信された第１のフィルタリング処理の結果が前記予め設定された業務全てに関連する結果を含むと判定した場合、前記第２のポリシ格納部に格納されたポリシを評価すること
   を特徴とする請求項７に記載の評価システム。
9. 前記評価システムは、テストサーバをさらに有し、
   前記テストサーバは、前記ポリシ評価装置の要求に応じて、前記ポリシ評価装置へテストパケットを送信し、
   前記ポリシ評価装置は、前記ネットワーク装置と通信する第１の通信部および前記テストサーバと通信する第２の通信部を有し、前記第２の通信部経由で前記テストパケットを受信して、第２のポリシ格納部に格納されたポリシに基づき第２のフィルタリング処理を実行し、前記第２のフィルタリング処理の結果を格納すること
   を特徴とする請求項８に記載の評価システム。
10. 前記ポリシ評価装置は、予め設定された評価期間が経過したと判定した場合、前記テストサーバへ前記要求を送信すること
    を特徴とする請求項９に記載の評価システム。
11. ゲートウェイ装置とポリシ評価装置と第１の制御装置と第２の制御装置を有する評価システムであって、
    前記ゲートウェイ装置は、
    前記第１の制御装置からパケットを受信する第１の通信部と、
    前記第１の通信部で受信したパケットを複製して、前記ゲートウェイ装置と前記ポリシ評価装置へ送信するパケット複製部と、
    ポリシが格納される第１のポリシ格納部と、
    前記複製されたパケットを前記第１のポリシ格納部に格納されたポリシに基づき第１のフィルタリング処理を実行する第１のフィルタリング処理部と、
    前記第１のフィルタリング処理部による第１のフィルタリング処理を通過したパケットを前記第２の制御装置へ送信する第１の通信部と、
    前記第１のフィルタリング処理部による第１のフィルタリング処理の結果が格納される第１のフィルタログ格納部と、
    ポリシが格納される第２のポリシ格納部と、
    前記複製されたパケットを前記第２のポリシ格納部に格納されたポリシに基づき第２のフィルタリング処理を実行する第２のフィルタリング処理部と、
    前記第２のフィルタリング処理部による第２のフィルタリング処理の結果が格納される第２のフィルタログ格納部と、
    前記第１のフィルタログ格納部に格納された第１のフィルタリング処理の結果と前記第２のフィルタログ格納部に格納された第２のフィルタリング処理の結果とに基づき前記第２のポリシ格納部に格納されたポリシを評価するポリシ評価部と
    を有することを特徴とする評価システム。
12. 前記第１のフィルタログ格納部は、前記第１のフィルタリング処理の結果に前記複製されたパケットの通過の許可あるいは拒否である第１の結果を含めて格納され、 前記第２のフィルタログ格納部は、前記第２のフィルタリング処理の結果に前記複製されたパケットの通過の許可あるいは拒否である第２の結果を含めて格納され、
    前記ポリシ評価部は、前記第１の結果と前記第２の結果の差異を判定して、前記第２のポリシ格納部に格納されたポリシを評価すること
    を特徴とする請求項１１に記載の評価システム。
13. 前記第１のフィルタログ格納部は、前記第１のフィルタリング処理の結果に前記第１のフィルタリング処理の第１の処理時間を含めて格納され、
    前記第２のフィルタログ格納部は、前記第２のフィルタリング処理の結果に前記第２のフィルタリング処理の第２の処理時間を含めて格納され、
    前記ポリシ評価部は、前記第１の処理時間と前記第２の処理時間の差異を判定し、予め設定された制約となる処理時間と前記第２の処理時間を比較して、前記第２のポリシ格納部に格納されたポリシを評価すること
    を特徴とする請求項１２に記載の評価システム。
14. 前記ポリシ評価部は、前記第１のフィルタリング処理部と前記第２のフィルタリング処理部の完了通知に基づき前記第２のポリシ格納部に格納されたポリシを評価すること
    を特徴とする請求項１３に記載の評価システム。
15. 前記評価システムは、テストサーバをさらに有し、
    前記テストサーバは、前記ゲートウェイ装置の要求に応じて、前記ポリシ評価装置へテストパケットを送信し、
    前記ゲートウェイ装置は、前記テストサーバと通信する第３の通信部をさらに有し、
    前記第２のフィルタリング処理部は、前記第３の通信部で受信したパケットを前記第２のポリシ格納部に格納されたポリシに基づき第２のフィルタリング処理を実行すること
    を特徴とする請求項１４に記載の評価システム。

Images