JP6584733B2 - 侵入検知装置および侵入検知方法ならびに侵入検知システム - Google Patents

Description

本発明は、ネットワークへの侵入を検知する侵入検知装置および侵入検知方法ならびに侵入検知システムに関する。

近年、ビル設備の制御システム等の産業制御システムにおいて、システムがサイバー攻撃の標的になるケースが増加している。これに対して、産業制御システムのネットワーク通信が固定的であることを利用し、送信先アドレスと送信元アドレスのペアやプロトコル等の許可された通信を定義し、許可された通信を通信許可リストとし、通信許可リストにない通信を検知することによって侵入を検知する方法が用いられている（例えば、特許文献１、２参照）。

特開２０１６−１６３３５２号公報 特許第６０５４０１０号公報

ところで、特許文献１、２に記載された従来技術では、通信許可リストは、ネットワークから収集した通信データを学習、解析してリストにしたものを用いている。しかし、このような学習方式によってリストを作成する場合には、学習に時間がかかる上、学習が十分でリストが正確なものであるかどうかを確認することが難しいという問題があった。

そこで、本発明は、簡便に通信許可リストの作成が可能な侵入検知装置を提供することを目的とする。

本発明の侵入検知装置は、ビル設備の管理システムを構成するネットワークへの侵入を検知する侵入検知装置であって、前記ネットワークに流れる前記ビル設備に関する通信データを取得する通信取得部と、前記ネットワークにおける通信を許可する通信許可ルールを生成して通信許可リストとして格納する通信許可リスト生成部と、前記通信取得部が取得した前記通信データを含む通信判定データと前記通信許可リストの中の前記通信許可ルールとを比較して前記ネットワークへの侵入を検知する侵入検知部と、を備え、前記通信許可リスト生成部は、前記ビル設備のオブジェクトの属性情報を含むエンジニアリング情報に基づいて前記通信許可ルールを生成することを特徴とする。

本発明の侵入検知装置において、前記通信取得部は、取得した前記通信データに基づいて前記通信判定データを生成して前記侵入検知部に出力し、前記侵入検知部は、前記通信判定データが前記通信許可リストの中のいずれの前記通信許可ルールにも該当しない場合に前記ネットワークへの侵入を検知すること、としてもよい。

本発明の侵入検知装置において、前記エンジニアリング情報を解析して前記通信許可ルールの生成に必要な情報を抽出し、前記ネットワークの通信仕様フォーマットに形成して中間データとして出力する属性情報解析部を備え、前記通信許可リスト生成部は、前記中間データにネットワーク構成情報とオブジェクト入出力情報とを含む管理情報を合わせて前記通信許可ルールを生成してもよい。

本発明の侵入検知装置において、前記エンジニアリング情報は、外部から前記属性情報解析部に入力され、前記管理情報は、外部から前記通信許可リスト生成部に入力されてもよい。

本発明の侵入検知装置において、前記通信取得部が生成した前記通信判定データを学習して前記ネットワークに流れる前記ビル設備に関する前記通信データから通信ルールを生成し、通信ルールリストとして出力する通信ルールリスト生成部と、修正通信許可リストを格納する通信許可リスト格納部と、前記通信ルールリストの中の一の通信ルールが前記通信許可リストの中のいずれかの前記通信許可ルールと一部のみが異なる場合には前記通信許可ルールに合わせて前記一の通信ルールを修正して前記修正通信許可リストとして前記通信許可リスト格納部に出力し、前記通信ルールリストの中の全ての通信ルールが前記通信許可リストの中のいずれかの前記通信許可ルールと一致する場合には、前記通信ルールリストを前記修正通信許可リストとして前記通信許可リスト格納部に出力する通信ルールリスト検証部と、を含み、前記侵入検知部は、前記通信取得部が生成した前記通信判定データが前記通信許可リスト格納部に格納された前記修正通信許可リストの中のいずれの前記通信許可ルールにも該当しない場合に前記ネットワークへの侵入を検知してもよい。

本発明の侵入検知装置において、前記通信ルールリスト検証部は、前記通信ルールリストの中の一の通信ルールが前記通信許可リスト中のいずれかの前記通信許可ルールと異なる場合で、且つ、前記通信許可ルールに合わせて前記一の通信ルールを修正できない場合には、前記通信ルールリストから前記一の通信ルールを削除して前記修正通信許可リストとして前記通信許可リスト格納部に出力してもよい。

本発明の侵入検知装置において、前記通信ルールリスト検証部は、前記通信許可リストに含まれる前記オブジェクトに関する前記通信許可ルールの中で、前記通信ルールリストに前記オブジェクトに関する前記通信ルールが含まれていないものがある場合には、その前記通信許可ルールを前記通信ルールリストに追加して前記修正通信許可リストとして前記通信許可リスト格納部に出力してもよい。

本発明の侵入検知装置において、前記侵入検知部が前記ネットワークへの侵入を検知した場合に、侵入を検知したことを示す警報を前記ネットワークに出力する警報部を備えてもよい。

本発明の侵入検知方法は、ビル設備の管理システムを構成するネットワークへの侵入を検知する侵入検知方法であって、前記ネットワークに流れる前記ビル設備に関する通信データを取得する通信データ取得ステップと、前記ビル設備のオブジェクトの属性情報を含むエンジニアリング情報に基づいて前記ネットワークにおける通信を許可する通信許可ルールを生成して通信許可リストとして出力する通信許可リスト生成ステップと、取得した前記通信データを含む通信判定データと前記通信許可リストの中の前記通信許可ルールとを比較して前記ネットワークへの侵入を検知する侵入検知ステップと、を備えることを特徴とする。

本発明の侵入検知装置において、取得した前記通信データに基づいて前記通信判定データを生成する判定データ生成ステップを含み、前記侵入検知ステップは、前記通信判定データが前記通信許可リストの中のいずれの前記通信許可ルールにも該当しない場合に前記ネットワークへの侵入を検知すること、としてもよい。

本発明の侵入検知方法において、前記エンジニアリング情報を解析して前記通信許可ルールの生成に必要な情報を抽出し、前記ネットワークの通信仕様フォーマットに形成して中間データとして出力する属性情報解析ステップを備え、前記通信許可リスト生成ステップは、前記中間データにネットワーク構成情報とオブジェクト入出力情報とを含む管理情報を合わせて前記通信許可ルールを生成してもよい。

本発明の侵入検知方法において、前記通信判定データを学習して前記ネットワークに流れる前記ビル設備に関する前記通信データから通信ルールを生成して通信ルールリストとして出力する通信ルールリスト生成ステップと、前記通信ルールリストの中の一の通信ルールが前記通信許可リストの中のいずれかの前記通信許可ルールと一部のみが異なる場合には前記通信許可ルールに合わせて前記一の通信ルールを修正して修正通信許可リストとし、前記通信ルールリストの中の全ての通信ルールが前記通信許可リストの中のいずれかの前記通信許可ルールと一致する場合には、前記通信ルールリストを前記修正通信許可リストとする通信ルールリスト検証ステップと、を含み、前記侵入検知ステップは、前記通信判定データが前記修正通信許可リストの中のいずれの前記通信許可ルールにも該当しない場合に前記ネットワークへの侵入を検知してもよい。

本発明の侵入検知方法において、前記通信ルールリスト検証ステップは、前記通信ルールリストの中の一の通信ルールが前記通信許可リスト中のいずれの前記通信許可ルールとも異なる場合で、且つ、前記通信許可ルールに合わせて前記一の通信ルールを修正できない場合には、前記通信ルールリストから前記一の通信ルールを削除して前記修正通信許可リストとしてもよい。

本発明の侵入検知方法において、前記通信ルールリスト検証ステップは、前記通信許可リストに含まれる前記オブジェクトに関する前記通信許可ルールの中で、前記通信ルールリストに前記オブジェクトに関する前記通信ルールが含まれていないものがある場合には、その前記通信許可ルールを前記通信ルールリストに追加して前記修正通信許可リストとしてもよい。

本発明の侵入検知システムは、ビル設備の管理システムを構成するネットワークへの侵入を検知する侵入検知システムであって、前記管理システムのシステム状態を設定する外部装置と、前記ネットワークへの侵入を検知する侵入検知装置と、を含み、前記侵入検知装置は、前記外部装置から前記管理システムの前記システム状態を受信するシステム状態受信部と、前記ネットワークに流れる前記ビル設備に関する通信データを取得する通信取得部と、前記ビル設備のオブジェクトの属性情報を含むエンジニアリング情報と前記システム状態受信部から入力された前記システム状態とに基づいて通信を許可する通信データ条件とシステム状態条件との組み合わせを規定した通信許可ルールを生成して通信許可リストとして格納する通信許可リスト生成部と、前記通信取得部から入力された前記通信データと前記システム状態受信部から入力された前記システム状態とを組み合わせて通信判定データを生成し、生成した前記通信判定データと前記通信許可リストの中の前記通信許可ルールとを比較することにより前記ネットワークへの侵入を検知する侵入検知部と、前記侵入検知部が侵入を検知した際に前記ネットワークに警報を発信する警報部と、を有することを特徴とする。

本発明の侵入検知システムにおいて、前記ネットワークに接続され、前記ネットワークから前記警報が入力された際に、前記警報の内容を解析し、解析結果に基づいて前記侵入検知装置に格納されている前記通信許可リストを更新する監視センターを含むこと、としてもよい。

本発明の侵入検知システムにおいて、前記侵入検知装置は、前記エンジニアリング情報を解析して前記通信許可ルールの生成に必要な情報を抽出する属性情報解析部を含み、前記通信許可リスト生成部は、前記属性情報解析部が抽出した前記情報とネットワーク構成情報とオブジェクト入出力情報とに基づいて前記通信データ条件を規定した中間通信許可ルールを生成し、中間通信許可リストとして格納する中間通信許可リスト生成部と、前記システム状態受信部から入力された前記システム状態に基づいて前記中間通信許可ルールの前記通信データ条件に組み合わせられる前記システム状態条件を前記中間通信許可ルールに付加して前記通信許可ルールを生成し、前記通信許可リストとして格納する通信許可リスト修正部と、を含み、前記侵入検知部は、前記通信判定データに含まれる前記通信データと前記システム状態との組み合わせが前記通信許可ルールに含まれる前記通信データ条件とシステム状態条件との組み合わせのいずれにも該当しない場合に前記ネットワークへの侵入を検知すること、としてもよい。

本発明の侵入検知システムにおいて、前記警報部は、前記侵入検知部が前記ネットワークへの侵入を検知した際に、通信データ異常の判定結果と、前記通信判定データの中の前記システム状態と前記通信データとを含む警報を前記ネットワークに発信すること、としてもよい。

本発明の侵入検知システムにおいて、前記ネットワークから前記警報が入力された際に、前記警報の内容を解析し、解析結果に基づいて追加通信許可ルールを生成する警報解析部と、前記中間通信許可リスト生成部が生成した前記中間通信許可リストと前記通信許可リスト生成部が生成した前記通信許可リストとを格納する記憶部と、前記記憶部及び前記侵入検知装置に格納されている前記通信許可リストを更新する通信許可リスト更新部と、を有する監視センターを含み、前記警報解析部は、前記警報に含まれる前記通信データが前記記憶部に格納されている前記中間通信許可リストに含まれる前記通信データ条件のいずれか一つに該当する場合、該当した一の前記通信データ条件と前記警報に含まれる前記システム状態とを組み合わせて前記追加通信許可ルールを生成し、前記通信許可リスト更新部は、前記警報解析部が生成した前記追加通信許可ルールを前記記憶部及び前記侵入検知装置に格納されている前記通信許可リストに追加して前記記憶部に格納されている前記通信許可リストを更新すること、としてもよい。

本発明の侵入検知システムにおいて、前記監視センターは、前記警報解析部が生成した前記追加通信許可ルールとシステム仕様とを比較して、前記追加通信許可ルールが前記システム仕様に合致しているかどうかを判定するルール判定部を有し、前記通信許可リスト更新部は、前記ルール判定部が前記追加通信許可ルールは前記システム仕様に合致していると判定した場合に、前記通信許可リストの更新を実行すること、としてもよい。

本発明の侵入検知システムにおいて、前記通信取得部は、取得した前記通信データに取得時刻を示すタイムスタンプを付加してタイムスタンプ付通信データとして前記侵入検知部と前記通信許可リスト修正部に出力し、前記通信許可リスト修正部は、前記通信取得部から入力された前記タイムスタンプ付通信データに含まれる前記通信データが前記中間通信許可ルールに含まれる一の前記通信データ条件に該当する場合が複数存在する場合、前記タイムスタンプに基づいて一の前記通信データ条件に対応する周期条件を生成し、前記周期条件と、前記システム状態受信部から入力された前記システム状態に基づいて前記中間通信許可ルールの前記通信データ条件に組み合わせられる前記システム状態条件とを前記中間通信許可ルールに付加して前記通信許可ルールを生成し、前記通信許可リストとして格納し、前記侵入検知部は、前記通信取得部から入力された前記タイムスタンプ付通信データと前記システム状態受信部から入力された前記システム状態とを組み合わせて前記通信判定データを生成し、前記通信判定データに含まれる前記通信データと前記システム状態との組み合わせが前記通信許可ルールに含まれる一の前記通信データ条件と一の前記システム状態条件との組み合わせに該当する場合が複数存在する場合、前記通信判定データに含まれる前記タイムスタンプに基づいて一の前記通信データ条件と一の前記システム状態条件との組み合わせに該当する前記通信データと前記システム状態との組み合わせが前記ネットワークに流れる周期を算出し、算出した前記周期が前記通信許可ルールに含まれる前記周期条件を満足しない場合に、前記ネットワークへの侵入を検知すること、としてもよい。

本発明の侵入検知システムにおいて、前記警報部は、前記ネットワークへの侵入を検知した際に、周期異常の判定結果と、前記通信判定データの中の前記システム状態と、一の前記通信データ条件と一の前記システム状態条件との組み合わせを含む通信ルール番号と、算出した前記周期とを含む警報を前記ネットワークに発信すること、としてもよい。

本発明の侵入検知システムにおいて、前記ネットワークから前記警報が入力された際に、前記警報の内容を解析し、解析結果に基づいて前記通信許可リストに含まれる前記通信許可ルールを変更して変更通信許可ルールを生成する警報解析部と、前記通信許可リスト生成部が生成した前記通信許可リストとを格納する記憶部と、前記記憶部及び前記侵入検知装置に格納されている前記通信許可リストを更新する通信許可リスト更新部と、を有する監視センターを含み、前記警報解析部は、前記記憶部に格納されている前記通信許可リストの中の前記警報に含まれる前記通信ルール番号に対応する前記通信許可ルールの前記周期条件が前記警報に含まれる前記周期を含むように変更した前記変更通信許可ルールを生成し、
前記通信許可リスト更新部は、前記記憶部及び前記侵入検知装置に格納されている前記通信許可リストの中の前記通信ルール番号の前記通信許可ルールを前記変更通信許可ルールに変更して前記記憶部及び前記侵入検知装置に格納されている前記通信許可リストを更新すること、としてもよい。

本発明の侵入検知システムにおいて、前記監視センターは、前記警報解析部が生成した前記変更通信許可ルールとシステム仕様とを比較して、前記変更通信許可ルールが前記システム仕様に合致しているかどうかを判定するルール判定部を有し、前記通信許可リスト更新部は、前記ルール判定部が前記変更通信許可ルールは前記システム仕様に合致していると判定した場合に、前記通信許可リストの更新を実行すること、としてもよい。

本発明は、簡便に通信許可リストの作成が可能な侵入検知装置を提供することができる。

実施形態の侵入検知装置が適用されたビル管理システムの構成を示す系統図である。 実施形態の侵入検知装置の構成を示す機能ブロック図である。 図２に示す侵入検知装置を形成するコンピュータのハードウェア構成図である。 図２に示すエンジニアリング情報ファイルに格納されているエンジニアリングデータの構成を示す図である。 図２に示す属性情報解析部が出力する中間データの構成を示す図である。 図２に示す通信許可リスト生成部が出力する通信許可リストの構成を示す図である。 図２に示す侵入検知装置の基本動作を示すフローチャートである。 図２に示す侵入検知装置の通信許可リスト生成動作を示すフローチャートである。 他の実施形態の侵入検知装置の構成を示す機能ブロック図である。 他の実施形態の侵入検知装置の構成を示す機能ブロック図である。 図１０に示す通信ルールリスト生成部が生成する通信ルールリストの構成を示す図である。 図１０に示す侵入検知装置の修正通信許可リスト生成動作を示すフローチャートである。 図１０に示す侵入検知装置の基本動作を示すフローチャートである。 実施形態の侵入検知システムが適用されたビル設備の管理システムを示す系統図である。 実施形態の侵入検知システムの機能ブロック図である。 図１５に示す進入検知システムにおける通信許可リスト生成動作を示すフローチャートである。 図１６に示す通信許可リスト生成動作において、取得したエンジニアリングデータのデータ構成と、そのエンジニアリングデータから生成した中間データのデータ構成とを示す図である。 図１６に示す通信許可リスト生成動作において、中間データのデータ構成と、その中間データから生成した中間通信許可リストのデータ構成を示す図である。 図１６に示す通信許可リスト生成動作において、中間通信許可リストのデータ構成と、その中間通信許可リストから生成した通信許可リストのデータ構成とを示す図である。 実施形態の進入検知システムにおける侵入検知動作を示すフローチャートである。 図２０に示す侵入検知動作において、取得した通信データのデータ構成と、その通信データから生成した通信判定データのデータ構成とを示す図である。 図２０に示す侵入検知動作において、通信判定データと通信許可リストとの比較を示す図である。 図２０に示す侵入検知動作において、警報部が発報する警報のデータ構成を示す図である。 実施形態の進入検知システムにおける他の通信許可リスト生成動作を示すフローチャートである。 図２４に示す通信許可リスト生成動作において、中間通信許可リストと、タイムスタンプ付通信データとに基づいて生成した通信許可リストのデータ構成を示す図である。 実施形態の侵入検知システムにおける他の侵入検知動作を示すフローチャートである。 図２６に示す侵入検知動作において、タイムスタンプ付通信データに基づいて生成した通信判定データと、通信許可リストとの比較を示す図である。 図２６に示す侵入検知動作において、警報部が発報する警報のデータ構成を示す図である。 他の実施形態の侵入検知システムが適用されたビル設備の管理システムを示す系統図である。 他の実施形態の侵入検知システムの機能ブロック図である。 図３０に示す侵入検知システムにおける通信許可リストの更新動作を示すフローチャートである。 図３１に示す通信許可リストの更新動作において、警報と中間通信許可リストの比較と、更新通信許可リストのデータ構成とを示す図である。 図３０に示す侵入検知システムにおける通信許可リストの他の更新動作を示すフローチャートである。 図３３に示す他の更新動作において、警報と通信許可リストと更新通信許可リストのデータ構成を示す図である。

以下、図面を参照しながら本実施形態の侵入検知装置１０について説明する。最初に図１を参照しながら本実施形態の侵入検知装置１０が適用されたビル管理システム１００の構成について説明する。ビル管理システム１００は、ビル設備である空調機器５６、照明機器５７が接続されたコントローラ５１、５２と、監視制御端末４０と、コントローラ５１、５２と監視制御端末４０とを接続するネットワーク３０と、ネットワーク３０に接続された侵入検知装置１０とを備えている。

監視制御端末４０は、通信によりネットワーク３０を介してコントローラ５１、５２の監視・制御を行うもので、例えば、操作員がコントローラ５１、５２への指令を送る際に用いる機器である。コントローラ５１、５２は、監視制御端末４０からの制御指令に基づいてビル設備である空調機器５６、照明機器５７の制御を行う。空調機器５６、照明機器５７は、コントローラ５１、５２の指令に基づいて所定の動作を行う。ネットワーク３０で接続された監視制御端末４０とコントローラ５１、５２との間の通信には、ＢＡＣｎｅｔ（Ｂｕｉｌｄｉｎｇ Ａｕｔｏｍａｔｉｏｎ ａｎｄ Ｃｏｎｔｒｏｌ ｎｅｔｗｏｋｉｎｇ ｐｒｏｔｏｃｏｌ）が用いられる。侵入検知装置１０は、ネットワーク３０の通信におけるサイバー攻撃による侵入検知を行うものである。

図２に示すように、侵入検知装置１０は、通信取得部１１と、侵入検知部１２と、警報部１３と、通信許可リスト生成部１４と、属性情報解析部１５とを備える。

通信取得部１１は、ネットワーク３０に流れる監視制御端末４０とコントローラ５１、５２との間の空調機器５６、照明機器５７に関する通信データを取得し、通信判定データを生成し、生成した通信判定データを侵入検知部１２に出力する。通信データは、プロトコル種別、送信元／先情報、データ長、ペイロード条件を含むデータセットである。通信判定データは、通信データに管理システム１００のシステム状態と通信データの周期を付加したデータセットであり、図６に示す通信許可リスト７３の中の通信ルールと同様、番号、システム状態、プロトコル種別、送信元／先情報、データ長、ペイロード条件、周期の各項目を含むデータセットである。ここで、管理システム１００のシステム状態とは、運転、保守、停止、立ち上げ、立ち下げのいずれかの状態をいう。

侵入検知部１２は、通信取得部１１が出力した通信判定データと、通信許可リスト生成部１４に格納されている通信許可リスト７３とを比較してネットワーク３０への侵入の検知を行う。そして、ネットワーク３０への侵入を検知したら侵入検知信号を警報部１３に出力する。ここで、通信許可リスト７３は、図６に示す様に、ルール番号、システム状態、プロトコル種別、送信元／先情報、データ長、ペイロード条件、周期条件の各項目を含むデータセットである通信ルールをリストにしたものである。

警報部１３は、侵入検知部１２から侵入検知信号が入力された場合に、侵入を検知したことを示す警報をネットワーク３０に出力する。

属性情報解析部１５は、エンジニアリング情報ファイル１６から、空調機器５６、照明機器５７の温度センサ等のオブジェクトの属性情報を含むエンジニアリングデータ７１を読み出し、エンジニアリングデータ７１を解析して通信許可ルールの生成に必要な情報を抽出する。ここで、エンジニアリングデータ７１は、図４に示すように、内部識別子番号、オブジェクト名、型、オブジェクト識別子、単位、最大値、最小値の各項目を含むデータセットをリストにしたエンジニアリング情報である。

属性情報解析部１５は、抽出した通信許可ルールの生成に必要な情報をネットワーク３０の通信仕様フォーマットに形成して中間データ７２として通信許可リスト生成部１４に出力する。ここで、中間データ７２は、ネットワーク３０の通信仕様フォーマットと同様の格納領域を有するデータセットである。図５に示す様に、中間データ７２は、通信許可リスト７３と同様、ルール番号、システム状態、プロトコル種別、送信元／先情報、データ長、ペイロード条件、周期条件の各格納領域を有するデータセットで、状態、データ長の欄が空欄になっているものである。

通信許可リスト生成部１４は、属性情報解析部１５から入力された中間データ７２に、ネットワーク３０の構成情報と、空調機器５６、照明機器５７の温度センサ等のオブジェクトの入出力情報とを含む管理情報と、を合わせて通信許可ルールを生成し、通信許可リスト７３として格納する。なお、本実施形態の侵入検知装置１０では、管理情報は、デフォルト設定として内部に格納されている。

以上説明した、侵入検知装置１０の通信取得部１１と、侵入検知部１２と、警報部１３と、通信許可リスト生成部１４と、属性情報解析部１５は、図３に示すコンピュータ６０によって実現される。

コンピュータ６０は、ＣＰＵ６１と、補助記憶装置６２と、メモリ６３と、通信装置６４と、入力インターフェース６５と、出力インターフェース６７と、これらを接続するデータバス６９と、を備えている。ＣＰＵ６１は、情報処理を行うと共に、データバス６９を介して接続されている他のハードウェアを制御する。

補助記憶装置６２は、例えば、ＲＯＭ、フラッシュメモリ、ハードディスク等を構成される。メモリ６３は、例えば、ＲＡＭである。通信装置６４はネットワーク３０からデータを受信するレシーバ６４ａとデータをネットワーク３０に出力するトランスミッタ６４ｂを含んでいる。通信装置６４は、例えば、通信チップ等で構成される。入力インターフェース６５には、キーボード、マウス、タッチパネル等の入力装置６６が接続されている。出力インターフェース６７には、ディスプレイ６８が接続されている。

補助記憶装置６２には、通信取得部１１と、侵入検知部１２と、警報部１３と、通信許可リスト生成部１４と、属性情報解析部１５の機能を実現するプログラムが記憶されている。プログラムは、ＣＰＵ６１で実行される。

侵入検知装置１０の機能ブロックである通信取得部１１と、侵入検知部１２と、警報部１３と、通信許可リスト生成部１４と、属性情報解析部１５とは、図３に示すコンピュータ６０の各ハードウェアとＣＰＵ６１で実行されるプログラムとの協働動作により実現される。

次に、図７、図８を参照しながら本実施形態の侵入検知装置１０の動作について説明する。なお、図７、図８は、侵入検知方法を示すものでもある。最初に図７を参照しながら、侵入検知装置１０の基本動作について説明する。侵入検知装置１０は、図７のステップＳ１０１からＳ１０４の動作を所定の間隔で繰り返して実行する。

図７のステップＳ１０１に示すように、通信取得部１１は、ネットワーク３０に流れる監視制御端末４０とコントローラ５１、５２との間の空調機器５６、照明機器５７に関する通信データを取得する（通信データ取得ステップ）。通信データは、プロトコル種別、送信元／先情報、データ長、ペイロード条件を含むデータセットである。通信取得部１１は、取得した通信データに、システム状態、周期を付加して通信判定データを生成し、生成した通信判定データを侵入検知部１２に出力する（判定データ生成ステップ）。通信判定データは、図６に示す通信許可リスト７３の中の通信ルールと同様、番号、システム状態、プロトコル種別、送信元／先情報、データ長、ペイロード条件、周期の各項目を含むデータセットである。

図７のステップＳ１０２に示すように、侵入検知部１２は、通信取得部１１から入力された通信判定データと図６に示す通信許可リスト７３の通信ルールとを比較する。比較は、例えば、通信判定データ中のシステム状態、プロトコル種別、送信元／先情報、データ長、ペイロード条件、周期条件の各項目と通信許可リスト７３のルール番号１の通信ルール中のシステム状態、プロトコル種別、送信元／先情報、データ長、ペイロード条件、周期条件の各項目とを比較する。そして、全ての項目が一致する場合には、侵入検知部１２は、通信判定データは、通信許可リスト７３の中のルール番号１の通信ルールに該当すると判断する。

一方、各項目の内、１項目でも相違する項目があった場合には、侵入検知部１２は、通信判定データは通信許可リスト７３の中のルール番号１の通信ルールに該当しないと判断し、ルール番号２と通信判定データとを比較する。そして、通信判定データがいずれの通信ルールとも一致しない場合には、通信判定データは、通信許可リスト７３の中のいずれの通信ルールにも該当しないと判断して、図７のステップＳ１０３に進み、警報部１３に侵入検知信号を出力する（侵入検知ステップ）。

警報部１３は、侵入検知部１２から侵入検知信号が入力された場合、図７のステップＳ１０４において、ネットワーク３０に警報を出力する。出力された警報は、ネットワーク３０を介して監視制御端末４０に入力され、監視制御端末４０のディスプレイ６８に表示される。

侵入検知部１２は、図７のステップＳ１０２において、通信判定データがいずれかの通信ルールと一致した場合には、侵入検知信号を出力せずにルーチンを終了し、次のルーチンを開始する。

次に図８を参照しながら、侵入検知装置１０における通信許可リスト７３の生成について説明する。図８のステップＳ２０１からステップＳ２０６は通信許可リスト生成ステップを構成する。また、図８のステップＳ２０１からステップＳ２０４は、属性情報解析ステップを構成する。

図８のステップＳ２０１に示すように、属性情報解析部１５は、外部のエンジニアリング情報ファイル１６から図４に示すようなエンジニアリングデータ７１を取得する。先に説明したように、エンジニアリングデータ７１は、空調機器５６、照明機器５７の温度センサ等のオブジェクトの属性情報データをリストにしたもので、図４に示すように、内部識別子、温度センサ１のようなオブジェクトの名称、型、オブジェクト識別子、単位、最大値、最小値の各項目を含むデータセットをリストにしたものである。エンジニアリング情報ファイル１６は、ＢＡＣｎｅｔの通信を用いたビル管理システム１００を構築する際に用いられるもので、例えば、ＢＡＣｎｅｔ仕様に基づいた温度センサ等のオブジェクトの属性情報をカンマ区切りにしたＣＳＶフォーマットファイルであってもよい。

図８のステップＳ２０２において、属性情報解析部１５は、取得したエンジニアリングデータ７１を解析して通信許可ルールの生成に必要な情報を抽出する。そして、属性情報解析部１５は、図８のステップＳ２０３において、抽出した情報をネットワーク３０の通信仕様フォーマットに形成して中間データ７２として出力する。

先に説明したように、中間データ７２は、図５に示す様に、通信許可リスト７３と同様、ネットワーク３０の通信仕様フォーマットと同様の格納領域を有している。属性情報解析部１５は、エンジニアリングデータ７１を解析し、エンジニアリングデータ７１の中の「センサ温度１」のオブジェクト名がオブジェクト識別子１に該当し、そのデータはアナログ入力データで、最大値が８０、最小値が−２０であることを抽出する。そして、属性情報解析部１５は、中間データ７２のルール番号１の行の送信元／先情報の欄にオブジェクト名である「センサ温度１」を格納し、ペイロード条件の欄に「オブジェクト識別子１、Ａｎａｌｏｇ ｉｎｐｕｔ、−２０〜８０」のデータを格納する。同様に、属性情報解析部１５は、エンジニアリングデータ７１の中の「センサ温度２」のオブジェクト名がオブジェクト識別子２に該当し、そのデータはアナログ入力データで、最大値が１００、最小値が０であることを抽出する。そして、属性情報解析部１５は、中間データ７２のルール番号２の行の送信元／先情報の欄にオブジェクト名である「センサ温度２」を格納し、ペイロード条件の欄に「オブジェクト識別子２、Ａｎａｌｏｇ ｉｎｐｕｔ、０〜１００」のデータを格納する。また、ネットワーク３０の通信にはＢＡＣｎｅｔを用いるので、プロトコル種別にはそれぞれＢＡＣｎｅｔを格納する。

属性情報解析部１５は、エンジニアリングデータ７１に含まれる全てのオブジェクトについて通信許可ルールの生成に必要な情報を抽出して中間データ７２の各項目に入力して中間データ７２を生成する。このように、属性情報解析部１５は、エンジニアリングデータ７１を解析して通信許可ルールの生成に必要な情報を抽出し、ネットワーク３０の通信仕様フォーマットと同様の格納領域を有する中間データ７２の各項目に入力することにより中間データ７２を形成する。

属性情報解析部１５は、図８のステップＳ２０３で中間データ７２を形成したら、図８のステップＳ２０４に示すように形成した中間データ７２を通信許可リスト生成部１４に出力する。

通信許可リスト生成部１４は、図８のステップＳ２０５に示すように、内部に格納されているデフォルトの管理情報を読み出す。ここで、管理情報とは、ネットワーク３０の構成情報と、空調機器５６、照明機器５７の温度センサ等のオブジェクトの入出力情報とを含むものである。ネットワーク３０の構成条件とは、例えば、送信元／先アドレス、データ長等である。オブジェクトの入出力情報とは、例えば、オブジェクト識別子の読み、書き等のコマンド条件である。

通信許可リスト生成部１４は、図８のステップＳ２０６において、読み出した管理情報に基づいて、中間データ７２の送信元／先情報に格納されているオブジェクト名の「センサ温度１」を送信元／先アドレスに変換する。また、ペイロード条件に格納されている「オブジェクト識別子１」をセンサ温度１の入出力情報である「ｒｅａｄ ｐｒｏｐｅｒｔｙ」に変換する。そして、データ長に「８２」、状態に「運転」、周期条件に「１秒以上」を追加する。このように、通信許可リスト生成部１４は、中間データ７２に管理情報を合わせて図６に示すような通信許可リスト７３を生成する。通信許可リスト生成部１４は、図８のステップＳ２０６において、生成した通信許可リスト７３をメモリ６３に格納する。

以上説明したように、本実施形態の侵入検知装置１０は、ＢＡＣｎｅｔの通信を用いたビル管理システム１００を構築する際に用いられるエンジニアリング情報ファイル１６の中のエンジニアリングデータ７１に基づいて通信許可リスト７３を生成するので、学習等に基づくよりも簡便に通信許可リスト７３を生成することができる。

次に図９を参照しながら、他の実施形態の侵入検知装置１０について説明する。図９に示す侵入検知装置１０は、管理情報ファイル１７を外部から入力することによって外部から管理情報を入力可能としたものである。図９に示すように、管理情報ファイル１７は、オブジェクト名−送信元先情報変換テーブル１８、オブジェクト識別子−コマンド条件変換テーブル１９を含んでいる。

本実施形態の侵入検知装置１０は、管理情報を外部のファイルから取り込むようにしたので、管理情報に変更があった場合でも簡便に通信許可リスト７３を再生成することができる。

次に図１０から図１２を参照しながら他の実施形態の侵入検知装置２０について説明する。先に図１から図８を参照して説明した侵入検知装置１０と同様の部分については簡略に説明する。

図１０に示す侵入検知装置２０は、通信取得部２１と、侵入検知部２２と、警報部２３と、通信ルールリスト生成部２７と、通信許可リスト生成部２４と、属性情報解析部２５と、通信ルールリスト検証部２８と、通信許可リスト格納部２９とを備えている。通信取得部２１、警報部２３、属性情報解析部２５、は、先に説明した侵入検知装置１０の通信取得部１１、警報部１３、属性情報解析部１５と同様である。

通信ルールリスト生成部２７は、通信取得部２１が取得した通信判定データを学習して図１１に示すような通信ルールリスト７４を生成し、通信ルールリスト検証部２８に出力する。通信許可リスト生成部２４は、先に説明した通信許可リスト生成部１４と同様の動作で通信許可リスト７３を生成し、生成した通信許可リスト７３を通信ルールリスト検証部２８に出力する。通信ルールリスト検証部２８は、通信ルールリスト７４と通信許可リスト７３とを比較して通信ルールリスト７４を修正して修正通信許可リストとして通信許可リスト格納部２９に格納する。侵入検知部２２は、通信取得部２１から入力された通信判定データと通信許可リスト格納部２９に格納した修正通信許可リストとを比較して侵入検知を行う。

図１２、図１３を参照しながら本実施形態の侵入検知装置２０の動作について説明する。図７、図８を参照して説明した侵入検知装置１０の動作と同様のステップについては同様の符号を付して説明は省略する。なお、図１２、図１３は、侵入検知方法を示すものでもある。

通信許可リスト生成部２４は、通信許可リスト生成部１４と同様、図１２のステップＳ２０１からＳ２０４において中間データ７２を形成、出力し、図１２のステップＳ２０５において管理情報を読み出し、図１２のステップＳ２２６で通信許可リスト生成部１４と同様の方法で通信許可リスト７３を生成し、生成した通信許可リスト７３を通信ルールリスト検証部２８に出力する。図１２のステップＳ２０１からステップＳ２２６は通信許可リスト生成ステップを構成する。また、図１２のステップＳ２０１からステップＳ２０４は、属性情報解析ステップを構成する。

通信ルールリスト生成部２７は、図１２のステップＳ２１０に示すように、通信取得部２１から通信判定データを取得し、この通信判定データを学習して図１１に示す通信ルールリスト７４を生成する。先に説明したように、通信判定データは、図６に示す通信許可リスト７３の中の通信ルールと同様、番号、システム状態、プロトコル種別、送信元／先情報、データ長、ペイロード条件、周期条件の各項目を含むデータセットである。通信ルールリスト生成部２７は、通信判定データに含まれる上記のデータセットを抽出してネットワーク３０の通信仕様フォーマットの格納領域を有する通信ルールリスト７４の各項目に入力することによって通信ルールリスト７４を生成していく。学習によって同一の通信ルールを１つの通信ルールに纏めて図１１に示すような通信ルールリスト７４を生成する。そして、通信ルールリスト生成部２７は、図１２のステップＳ２１２において、生成した通信ルールリスト７４を通信ルールリスト検証部２８に出力する。通信ルールリストの生成は、例えば、監視制御端末４０の据え付け時の動作試験の際に行ってもよい。図１２のステップＳ２１０からステップＳ２１２は通信ルールリスト生成ステップを構成する。

図１１に示す通信ルールのルール番号１の通信ルールは、図６に示す通信許可リスト７３のルール番号１の通信ルールとデータ長のみが異なり、他の項目は一致している。また、通信ルールリスト７４のルール番号２の通信ルールは、図６に示す通信許可リスト７３のルール番号２の通信ルールと状態、送信元／先情報、データ長、ペイロード条件が異なっている。このような通信ルールは、エンジニアリング情報から逸脱しており、侵入によって生成されたものと判断されるため、通信ルールリスト検証部２８は、図１２のステップＳ２１３において、以下のように通信ルールリスト７４を比較、修正して修正通信許可リストを生成する。

通信ルールリスト検証部２８は、図１２のステップＳ２１３において、通信ルールリスト７４と通信許可リスト７３とを比較して通信ルールリスト７４の修正が必要かどうか判定する。図１２のステップＳ２１３において、通信ルールリスト検証部２８は、通信ルールリスト７４の中の一の通信ルールが通信許可リスト７３の中のいずれかの通信許可ルールと一部のみが異なる場合には、通信ルールリスト７４の修正が必要と判断して図１２のステップＳ２１４に進む。通信ルールリスト検証部２８は、図１２のステップＳ２１４において、通信許可リスト７３に合わせて一の通信ルールを修正して修正通信許可リストとして通信許可リスト格納部２９に出力する。

また、通信ルールリスト検証部２８は、図１２のステップＳ２１３において、通信ルールリスト７４の中の一の通信ルールが通信許可リスト７３中のいずれの通信許可ルールとも異なる場合で、且つ、通信許可ルールに合わせて一の通信ルールを修正できない場合にも通信ルールリスト７４の修正が必要と判断して図１２のステップＳ２１４に進む。そして、図１２のステップＳ２１４において、通信ルールリスト７４から当該一の通信ルールを削除して修正通信許可リストとして通信許可リスト格納部２９に出力する。

また、通信ルールリスト検証部２８は、図１２のステップＳ２１３において、通信許可リスト７３に含まれるオブジェクトに関する通信許可ルールの中で、通信ルールリスト７４にそのオブジェクトに関する通信ルールが含まれていないものがある場合にも通信ルールリスト７４の修正が必要と判断して図１２のステップＳ２１４に進む。そして、図１２のステップＳ２１４において、その通信許可ルールを通信ルールリスト７４に追加して修正通信許可リストとして通信許可リスト格納部２９に出力する。例えば、通信許可リスト７３に含まれるが通信ルールリスト７４に含まれない送信元／先情報が有る場合、その送信元／先情報保含む通信許可ルールを通信ルールとして通信ルールリスト７４に追加して修正通信許可リストとして通信許可リスト格納部２９に出力する。

一方、通信ルールリスト検証部２８は、図１２のステップＳ２１３において、通信ルールリスト７４の中の全ての通信ルールが通信許可リスト７３の中のいずれかの通信許可ルールと一致する場合で、通信許可リスト７３に含まれるオブジェクトに関する通信許可ルールの全てが通信ルールリスト７４の中に通信ルールとして含まれている場合には、通信ルールリスト７４の修正は必要ないと判断して図１２のステップＳ２１５に進む。通信ルールリスト検証部２８は、図１２のステップＳ２１５において、通信ルールリスト７４を修正通信許可リストとして通信許可リスト格納部２９に出力する。図１２のステップＳ２１３からステップＳ２１５は、通信ルールリスト検証ステップを構成する。

例えば、通信ルールのルール番号１の通信ルールは、図６に示す通信許可リスト７３のルール番号１の通信許可ルールとデータ長のみが異なり、他の項目は一致している。この場合、通信ルールリスト検証部２８は、データ長を通信許可リスト７３に合わせて修正し、修正した通信ルールを含む通信ルールリスト７４を修正通信許可リストとして通信許可リスト格納部２９に出力する。また、通信ルールリスト７４のルール番号２の通信ルールのように図６に示す通信許可リスト７３のルール番号２の通信許可ルールと多数の項目において一致していない場合、通信ルールリスト検証部２８は、この通信ルールを通信許可リスト７３に合わせて修正することは困難と判断し、ルール番号２の通信ルールを削除して修正通信許可リストとして通信許可リスト格納部２９に出力する。

侵入検知部２２は、図１３のステップＳ１０１において通信取得部２１から通信判定データを取得し（判定データ取得ステップ）、図１３のステップＳ１１０において通信判定データが通信許可リスト格納部２９に格納した修正通信許可リストの中のいずれの通信許可ルールにも該当しないと判断した場合には、図１３のステップＳ１０３に進んで侵入検知を行い、侵入検知信号を警報部２３に出力する。警報部２３は、警報をネットワーク３０に出力する（侵入検知ステップ）。

以上、説明したように、本実施形態の侵入検知装置２０は、通信データを学習して通信ルールリスト７４を作成する場合に、エンジニアリングデータ７１に基づいて生成した通信許可リスト７３を用いて通信ルールリスト７４を修正するので、エンジニアリング情報から逸脱する通信ルールを排除することができる。これにより、簡便な方法で通信許可リスト７３の正確性を確保することができる。また、通信許可リスト７３を用いて通信ルールリスト７４に含まれていないオブジェクトに関する通信ルールを追加するので、通信ルールの網羅度を向上させることができる。

次に図１４から図２８を参照しながら実施形態の侵入検知システム８００について説明する。先に説明した侵入検知装置１０、２０は、通信許可リスト７３の各領域のデータの内、エンジニアリングデータ７１に基づいて生成できないシステム状態条件は、内部に格納されているデフォルトの管理情報あるいは外部の管理情報ファイルから読み出して設定していた。この方法では、その後の修正が多くなり、通信許可リスト７３の生成に時間が掛かってしまう場合があった。

本実施形態の侵入検知システム８００は、ネットワーク３０に接続されて管理システム１１０のシステム状態を設定する外部装置４５からシステム状態を取得し、これに基づいて通信許可リスト１７７を生成するので、より簡便に精度の高い通信許可リスト１７７を生成することができる。また、本実施形態の侵入検知システム８００は、通信データ１７８にデータ取得時刻を示すタイムスタンプを付加したタイムスタンプ付通信データ３７８を用いて通信の周期を算出し、通信許可リストの周期条件の設定を行うこともできる。この場合、より簡便に通信許可リスト２７７を生成することができる。以下、説明する。

最初に図１４を参照しながら侵入検知システム８００が適用されたビル設備の管理システム１１０について説明する。管理システム１１０は、ビル設備である空調機器５６、照明機器５７が接続されたコントローラ５１，５２と、監視制御端末４２と、コントローラ５１，５２と監視制御端末４２とを接続するネットワーク３０と、ネットワーク３０に接続された侵入検知装置８０と、メンテナンスＰＣ４３とを含んでいる。侵入検知システム８００は、管理システム１１０を構成するネットワーク３０への侵入を検知するシステムである。

監視制御端末４２、メンテナンスＰＣ４３は管理システム１１０のシステム状態を設定し、設定したシステム状態を侵入検知装置８０に出力する。監視制御端末４２、メンテナンスＰＣ４３は、それぞれ管理システム１１０のシステム状態を設定する外部装置４５を構成する。ここで、管理システム１１０のシステム状態とは、運転、保守、停止、立ち上げ、立ち下げのいずれかの状態をいう。

監視制御端末４２は、上記の点以外は、先に図１を参照して説明した監視制御端末４０と同一の構成である。また、メンテナンスＰＣ４３はネットワーク３０に接続されて監視制御端末４２と同様の動作を行うことができるコンピュータである。メンテナンスＰＣ４３は、管理システム１１０の導通試験を行う際に、管理システム１１０の状態を運転、保守、停止、立ち上げ、立ち下げのいずれかの状態に設定することができる。

図１５に示すように、侵入検知装置８０は、通信取得部８１と、侵入検知部８２と、警報部８３と、通信許可リスト生成部８４と、属性情報解析部８５と、システム状態受信部８８とを備えている。通信許可リスト生成部８４は、中間通信許可リスト生成部８４ａと、中間通信許可リストを格納する記憶部８４ｂと、通信許可リスト修正部８４ｃと、通信許可リストを格納する記憶部８４ｄとを含んでいる。

通信取得部８１は、ネットワーク３０に流れる監視制御端末４２とコントローラ５１、５２との間の空調機器５６、照明機器５７に関する通信データを取得して侵入検知部８２に出力する。図２１に示すように、通信データは、プロトコル種別、送信元／先情報、データ長、ペイロード条件を含むデータセットである。また、通信取得部８１は、通信データに取得時刻を示すタイムスタンプを付加して図２７に示すタイムスタンプ付通信データ（以下、Ｔ通信データという）として侵入検知部８２、通信許可リスト修正部８４ｃに出力する。

システム状態受信部８８は外部装置４５が設定したシステム状態を受信し、通信許可リスト修正部８４ｃと侵入検知部８２に出力する。

属性情報解析部８５は、エンジニアリング情報ファイル８６から、空調機器５６、照明機器５７の温度センサ等のオブジェクトの属性情報を含むエンジニアリングデータ７１を読み出し、エンジニアリングデータ７１を解析して中間通信許可ルールの生成に必要な情報を抽出し、中間データ１７５として中間通信許可リスト生成部８４ａに出力する。

ここで、エンジニアリングデータ７１は、先に図４を参照して説明したと同様、内部識別子番号、オブジェクト名、型、オブジェクト識別子、単位、最大値、最小値の各項目を含むデータセットをリストにしたエンジニアリング情報である。また、中間データ１７５は、図１７に示す様に、ルール番号、プロトコル種別、送信元／先情報、データ長、ペイロード条件、の各格納領域を有するデータセットである。

中間通信許可リスト生成部８４ａは、属性情報解析部８５から入力された中間データ１７５とネットワーク構成情報ファイル８７ａから読み出したネットワーク構成情報とオブジェクト入出力情報ファイル８７ｂから読み出したオブジェクト入出力情報とに基づいて、通信を許可する通信データ条件を規定した中間通信許可ルールを生成し、中間通信許可リスト１７６として記憶部８４ｂに格納すると共に、通信許可リスト修正部８４ｃに出力する。

ここで、中間通信許可リスト１７６は、図１８に示すように、ルール番号、プロトコル種別、送信元／先情報、データ長、ペイロード条件、の各格納領域を有するデータセットである。中間通信許可リスト１７６に規定されているプロトコル種別、送信元／先情報、データ長、ペイロード条件は通信データ条件を構成する。

通信許可リスト修正部８４ｃは、システム状態受信部８８から入力されたシステム状態に基づいて中間通信許可ルールの通信データ条件に組み合わせられるシステム状態条件を付加して通信許可ルールを生成し、図１９に示す通信許可リスト１７７として記憶部８４ｄに格納すると共に、侵入検知部８２に出力する。ここで、通信許可リスト１７７は、図１９に示すように、中間通信許可リスト１７６にシステム状態条件を追加したものである。

また、通信許可リスト修正部８４ｃは、通信取得部８１から入力されたＴ通信データ２７８と、システム状態受信部８８から入力されたシステム状態と、中間通信許可リスト生成部から入力された中間通信許可リスト１７６に基づいて図２５に示すような通信許可リスト２７７を生成して記憶部８４ｄに格納すると共に、侵入検知部８２に出力する。

侵入検知部８２は、通信取得部８１から入力された通信データ１７８とシステム状態受信部８８から入力されたシステム状態とを組み合わせて図２１に示す通信判定データ１７９を生成し、生成した通信判定データ１７９と通信許可リスト１７７の中の通信許可ルールとを比較することによりネットワーク３０への侵入を検知する。また、侵入検知部８２は、通信取得部８１から入力されたＴ通信データ３７８とシステム状態受信部８８から入力されたシステム状態とを組み合わせて図２７に示す通信判定データ３７９を生成し、生成した通信判定データ３７９と通信許可リスト２７７の中の通信許可ルールとを比較することによりネットワーク３０への侵入を検知する。

警報部８３は、侵入検知部８２が侵入を検知した際には、ネットワーク３０に警報を発報する。

以上説明した、侵入検知装置８０の通信取得部８１と、侵入検知部８２と、警報部８３と、通信許可リスト生成部８４と、属性情報解析部８５と、システム状態受信部８８と、通信許可リスト生成部８４の、中間通信許可リスト生成部８４ａと、通信許可リスト修正部８４ｃと、記憶部８４ｂ，８４ｄとは、先に図３を参照して説明したコンピュータ６０により実現される。

次に、侵入検知システム８００の動作について説明する。最初に図１６から図１９を参照しながら通信許可リスト１７７の生成動作について説明する。

図１６のステップＳ３０１に示すように、属性情報解析部８５は、エンジニアリング情報ファイル８６から図１７に示すエンジニアリングデータ７１を取得する。図１６のステップＳ３０２において、属性情報解析部８５は、取得したエンジニアリングデータ７１を解析し、図１６のステップＳ３０３で図１７に示す中間データ１７５を生成して中間通信許可リスト生成部８４ａに出力する。

中間データ１７５は、先に図５を参照して説明した中間データ７２で空欄としていた状態、周期条件の格納領域を有さないデータ構造を有している。図１７に示す中間データ１７５のルール番号、プロトコル種類、送信元／先情報、データ長、ペイロード条件の各領域に格納されるデータは図５を参照して説明した中間データ７２の各格納領域に格納されているデータと同一である。

図１６のステップＳ３０４において、中間通信許可リスト生成部８４ａは、ネットワーク構成情報ファイル８７ａからネットワーク情報を取得し、オブジェクト入出力情報ファイル８７ｂからオブジェクト入出力情報を取得する。ネットワーク情報は、中間データ１７５の送信元／先情報に含まれる「センサ温度１」等のオブジェクト名をネットワークのＩＰアドレスに変換するオブジェクト名−送信元／先情報変換テーブルを含む。また、オブジェクト入出力情報は、中間データ１７５のペイロード条件に含まれる「オブジェクト識別子１」等のオブジェクト識別子をｒｅａｄ／ｗｒｉｔｅ等のコマンドに変換するオブジェクト識別子−コマンド変換テーブルを含む。

図１６のステップＳ３０５おいて、中間通信許可リスト生成部８４ａは、取得したオブジェクト名−送信元／先情報変換テーブルを参照して図１８に示すように中間データ１７５の送信元／先情報に含まれる「センサ温度１」、「センサ温度２」をそれぞれネットワーク３０のＩＰアドレスに変換する。また、オブジェクト識別子−コマンド変換テーブルを参照して図１８に示すように、中間データ１７５のペイロード条件に含まれる「オブジェクト識別子１」、「オブジェクト識別子２」をそれぞれ「ｒｅａｄ ｐｒｏｐｅｒｔｙ」に変換する。また、中間データ１７５のプロトコル種類、データ長をコピーする。そして、図１８に示すような中間許可ルールがルール番号の順に並んだ中間通信許可リスト１７６を生成する。中間通信許可リスト生成部８４ａは、生成した中間通信許可リスト１７６を記憶部８４ｂに格納すると共に、通信許可リスト修正部８４ｃに出力する。

図１６のステップＳ３０６において、通信許可リスト修正部８４ｃは、システム状態受信部８８から管理システム１１０のシステム状態を取得する。外部装置４５としてメンテナンスＰＣ４３が接続されており、例えば、メンテナンスＰＣ４３が導通試験の際に管理システム１１０を「運転」の状態に設定している場合、通信許可リスト修正部８４ｃは「運転」のシステム状態を取得する。

図１６のステップＳ３０７において、通信許可リスト修正部８４ｃは、図１９に示すように取得したシステム状態をシステム状態条件として中間通信許可リスト１７６に格納されている通信データ条件に組み合わせて通信許可リスト１７７を生成する。そして、通信許可リスト修正部８４ｃは、生成した通信許可リスト１７７を記憶部８４ｄに格納する。図１９に示すように、通信許可リスト１７７は、通信を許可する通信データ条件とシステム状態条件との組み合わせを規定した通信許可ルールをルール番号の順に並べてリストとしてものである。

以上の通信許可リスト１７７の生成動作は、メンテナンスＰＣ４３は管理システム１１０を「運転」の状態に設定している場合について説明したが、メンテナンスＰＣ４３が管理システム１１０の導通試験の際にシステム状態を「運転」以外の「保守」、「停止」、「立ち上げ」、「立ち下げ」のいずれかの状態に設定している場合も同様の手順で通信許可リスト１７７を生成することができる。この場合、通信許可ルールのシステム状態には、それぞれ「保守」、「停止」、「立ち上げ」、「立ち下げ」のいずれかが格納される。

次に図２０から図２３を参照して図１９に示す通信許可リスト１７７を用いた侵入検知動作について説明する。

図２０のステップＳ３１１に示すように、侵入検知装置８０の通信取得部８１は、ネットワーク３０に流れる通信データ１７８を取得する。通信データ１７８は、図２１に示すように、プロトコル種別、送信元／先情報、データ長、ペイロード条件を含むデータセットである。通信取得部８１は、取得した通信データ１７８を侵入検知部８２に出力する。

侵入検知部８２は、図２０のステップＳ３１２において、システム状態受信部８８からシステム状態を取得する。そして、図２０のステップＳ３１３において、図２１に示すように、通信データ１７８にシステム状態を付加して通信判定データ１７９を生成する。図２１に示すように、通信判定データ１７９は、通信データ１７８に通信データ１７８を取得した際のシステム状態とを組み合わせたデータ構造を有している。

侵入検知部８２は、図２０のステップＳ３１４において、図２２に示すように、通信判定データ１７９と通信許可リスト１７７に含まれる通信許可ルールとを比較する。そして、通信判定データ１７９に含まれる通信データとシステム状態との組み合わせが通信許可ルールに含まれる通信データ条件とシステム状態条件との組み合わせのいずれにも該当しない場合には、図２０のステップＳ３１４でＹＥＳと判断して図２０のステップＳ３１５に進んで侵入を検知する。一方、通信判定データ１７９に含まれる通信データとシステム状態との組み合わせが通信許可ルールに含まれる通信データ条件とシステム状態条件との組み合わせのいずれか１つに該当した場合には、図２０のステップＳ３１４でＮＯと判断して侵入検知動作を終了する。

図２２に示す通信判定データ１７９にデータ番号１で示される通信判定データは、データ長が通信許可リストのルール番号１、２のいずれとも異なるので、図２０のステップＳ３１４でＹＥＳと判断して侵入を検知して図２０のステップＳ３１５に進む。また、図２２のデータ番号２の通信判定データは、システム状態、送信元／先情報、データ長が通信許可リストのルール番号１、２のいずれとも異なるので、侵入検知部８２は、図２０のステップＳ３１４でＹＥＳと判断して侵入を検知して図２０のステップＳ３１５に進む。

侵入検知部８２は、図２０のステップＳ３１５で通信判定データ１７９のデータ番号１は「通信データ異常」を含むと判定する。また、通信判定データ１７９のデータ番号２も「通信データ異常」を含むと判定する。そして、侵入検知部８２は、侵入検知信号と、判定結果と、通信データ異常と判定した通信判定データ１７９とを警報部８３に出力する。

警報部８３は、図２０のステップＳ３１６において、侵入検知部８２から入力された判定結果と、通信判定データ１７９を組み合わせて図２２に示すような警報１８０を生成し、生成した警報１８０をネットワーク３０に発信する。

以上説明した本実施形態の侵入検知システム８００は、ネットワーク３０に接続されて管理システム１１０のシステム状態を設定する外部装置４５からシステム状態を取得し、これに基づいて通信許可リスト１７７を生成するので、より簡便に精度の高い通信許可リスト１７７を生成することができる。また、外部装置４５から入力されたシステム状態と通信データ１７８とを合わせた通信判定データ１７９と通信許可リスト１７７の通信許可ルールとを比較して侵入検知を行うので、より正確に侵入検知を行うことができる。

次に図２４から図２８を参照して、Ｔ通信データ２７８を用いて通信の周期を算出して通信許可リスト２７７の周期条件の設定を行い、通信許可リスト２７７を生成する場合について説明する。

先に図１６、図１７を参照して説明したと同様、属性情報解析部８５は、図２０のステップＳ３０１でエンジニアリングデータ７１を取得し、ステップＳ３０２でエンジニアリングデータ７１を解析し、図２４のステップＳ３０３で中間データ１７５を生成して中間通信許可リスト生成部８４ａに出力する。中間通信許可リスト生成部８４ａは、図１８を参照して説明したと同様、図２４のステップＳ３０５において、中間データ１７５から中間通信許可リスト１７６を生成し、通信許可リスト修正部８４ｃに出力する。

本動作では、通信取得部８１は、ネットワークから図２１に示す通信データ１７８を取得し、データの取得時刻を示すタイムスタンプを付加して図２５に示すＴ通信データ２７８として侵入検知部８２と通信許可リスト修正部８４ｃとに出力している。図２４のステップＳ３２６において、通信許可リスト修正部８４ｃは、通信取得部８１からのＴ通信データ２７８を取得する。

通信許可リスト修正部８４ｃは、図２４のステップＳ３２７において、ステップＳ３２６で取得したＴ通信データ２７８に含まれる通信データと、ステップＳ３０５で生成した中間通信許可リスト１７６に含まれる通信データ条件とを比較する。そして、通信データが中間通信許可ルールに含まれる一の通信データ条件に該当する場合が複数存在するか判断する。

図２５に示す例では、Ｔ通信データ２７８のデータ番号１とデータ番号２の通信データは、中間通信許可リスト１７６のルール番号１に含まれる通信データ条件とに該当する。この場合、通信許可リスト修正部８４ｃは、図２４のステップＳ３２７でＹＥＳと判断して図２４のステップＳ３２８に進む。そして、通信許可リスト修正部８４ｃは、図２５に示すＴ通信データ２７８のデータ番号１とデータ番号２のタイムスタンプの差から通信データの周期を９９０（ｍｓｅｃ）と算出する。そして、通信許可リスト修正部８４ｃは算出した周期に所定の余裕を付与した時間間隔を中間通信許可リスト１７６のルール番号１に含まれる通信データ条件に対応する周期条件として設定する。図２５に示す例では、通信許可リスト修正部８４ｃはルール番号１に含まれる通信データ条件に対応する周期条件を９００（ｍｓｅｃ）〜１１００（ｍｓｅｃ）の間と設定している。

通信許可リスト修正部８４ｃは、図２４のステップＳ３２９において、システム状態条件と周期条件とを中間通信許可ルールに付加して通信許可ルールを生成し、それを番号順に並べて通信許可リスト２７７を生成する。そして、通信許可リスト修正部８４ｃは、生成した通信許可リスト２７７を記憶部８４ｄに格納すると共に、侵入検知部８２に出力する。

一方、通信許可リスト修正部８４ｃは、図２４のステップＳ３２７でＮＯと判断した場合には、通信データ条件に対応する周期条件はないと判断して図２４のステップＳ３３１で通信許可ルールの周期条件の欄に「設定なし」と入力して図２４のステップＳ３２９に進んで通信許可リストルールを生成する。

次に図２６から図２８を参照して図２５に示す通信許可リスト２７７を用いた侵入検知動作について説明する。

図２６のステップＳ３３１において、侵入検知部８２は、通信取得部８１から図２７に示すＴ通信データ３７８を取得する。また、図２６のステップＳ３３２において、侵入検知部８２はシステム状態受信部８８からシステム状態を取得し、図２６のステップＳ３３３において、Ｔ通信データ３７８にシステム状態を付加して通信判定データ３７９を生成する。

図２６のステップＳ３３４において、侵入検知部８２は、図２０のステップＳ３１４と同様、通信判定データ３７９と通信許可リスト２７７に含まれる通信許可ルールとを比較する。そして、通信判定データ３７９に含まれる通信データとシステム状態との組み合わせが通信許可ルールに含まれる通信データ条件とシステム状態条件との組み合わせのいずれにも該当しないかどうか判断する。侵入検知部８２は、図２６のステップＳ３３４でＹＥＳと判断した場合には、図２６のステップＳ３３５で図２０のステップＳ３１５と同様、通信データ異常の判定を行い、図２６のステップＳ３３６で図２０のステップＳ３１６と同様の警報を発報する。

一方、侵入検知部８２は、図２６のステップＳ３３４でＮＯと判断した場合、図２６のステップＳ３３７に進み、通信判定データ３７９に含まれる通信データとシステム状態との組み合わせが通信許可ルールに含まれる一の通信データ条件と一のシステム状態条件との組み合わせに該当する場合が複数存在するか判断する。

図２７に示す例では、通信判定データ３７９のデータ番号１と２と、システム状態と通信データとの組み合わせが同一なので、この場合、侵入検知部８２は、図２６のステップＳ３３７でＹＥＳと判断して図２６のステップＳ３３８に進んで通信判定データ３７９のデータ番号１と２の間の周期を算出する。図２７に示す例では、データ番号１と２との間の周期は５００（ｍｓｅｃ）と計算される。

侵入検知部８２は、図２６のステップＳ３３９に進んで、算出した周期が通信許可リスト２７７に含まれている周期条件を満足するか判断する。図２７に示す例では、通信判定データ３７９のデータ番号１、２が該当する通信許可リスト２７７のルール番号１では、周期条件が９００（ｍｓｅｃ）と１１００（ｍｓｅｃ）との間に設定されているので、データ番号１と２との周期はこの周期条件を満足いない。この場合、侵入検知部８２は、図２６のステップＳ３３９でＹＥＳと判断して侵入を検知して図２６のステップＳ３４０に進む。

侵入検知部８２は、図２６のステップＳ３４０で通信判定データ３７９は「周期異常」を含むと判定する。侵入検知部８２は、侵入検知信号と、判定結果と、システム状態と、通信データ異常と判定した通信許可リスト２７７の通信ルール番号と、ステップＳ３３８で算出した周期とを警報部８３に出力する。

警報部８３は、図２６のステップＳ３３６において、侵入検知部８２から入力されたシステム状態と、判定結果と、ルール番号と通信間隔とを組み合わせて図２８に示すような警報３８０を生成し、生成した警報３８０をネットワーク３０に発信する。

また、侵入検知部８２は、図２６のステップＳ３３７、Ｓ３３９でいずれもＮＯと判断した場合には、侵入がないと判断して警報を発信せずに侵入検知動作を終了する。

以上説明した通信許可リスト２７７の生成動作は、ネットワーク３０に接続されて管理システム１１０のシステム状態を設定する外部装置４５からシステム状態を取得し、ネットワーク３０に流れる通信データの周期にもとづいて周期条件を生成し、これに基づいて通信許可リスト２７７を生成するので、図１６を参照して説明した生成動作よりも更に簡便に精度の高い通信許可リスト２７７を生成することができる。

また、また、外部装置４５から入力されたシステム状態とＴ通信データ３７８とを合わせた通信判定データ３７９と周期条件を含む通信許可リスト２７７の通信許可ルールとを比較して侵入検知を行うので、周期異常の判定を行うことができ、正確に侵入検知を行うことができる。

次に図２９から図３４を参照しながら他の実施形態の侵入検知システム９００について説明する。先に説明した侵入検知システム８００と同様の部位には同様の符号を付して説明は省略する。

図２９に示すように、侵入検知システム９００は、図１４、１５を参照して説明した侵入検知システム８００に監視センター９０を追加したものである。監視センター９０は、ネットワーク３０に接続され、ネットワーク３０から警報が入力された際に、警報の内容を解析し、解析結果に基づいて侵入検知装置８０に格納されている通信許可リスト２７７を更新するものである。

図３０に示すように、監視センター９０は、警報解析部９１と、記憶部９２と、ルール判定部９３と、通信許可リスト更新部９５とを含んでいる。

記憶部９２は、中間通信許可リスト生成部８４ａが生成した中間通信許可リスト１７６と通信許可リスト修正部８４ｃが生成した通信許可リスト２７７とを格納する。警報解析部９１は、ネットワーク３０から警報が入力された際に、警報の内容を解析し、解析結果に基づいて追加通信許可ルールあるいは変更通信許可ルールを生成する。ルール判定部９３は、警報解析部９１が生成した追加通信許可ルールあるいは変更通信許可ルールがシステム仕様に合致しているかを判定する。ルール判定部９３は、追加通信許可ルールあるいは変更通信許可ルールがシステム仕様に合致していると判定した場合には、更新許可信号と警報解析部９１が生成した追加通信許可ルールあるいは変更通信許可ルールを通信許可リスト更新部９５に送信する。通信許可リスト更新部９５は、追加通信許可ルールあるいは変更通信許可ルールにより記憶部８４ｄ、９２に格納されている通信許可リスト２７７を更新して更新通信許可リスト２７７ａ、２７７ｂとする。

以下、図３１、３２を参照しながら侵入検知部８２が通信データ異常と判定した場合の監視センター９０による通信許可リスト２７７の更新動作について説明する。以下、図３２に示す警報１８０ａが入力されたとして説明する。

図３１のステップＳ３５１に示すように、監視センター９０の警報解析部９１は、ネットワーク３０から図３２に示す警報１８０ａが入力されると、警報１８０ａに含まれている判定結果が通信データ異常かどうか判断する。通信データ異常の判定結果が含まれている場合には、警報解析部９１は、図３１のステップＳ３５２に進む。ステップＳ３５１でＮＯと判断した場合には、警報解析部９１は解析を行わずにルーチンを終了する。

図３２に示す例では、警報１８０ａに含まれている判定結果は、通信データ異常であるから、警報解析部９１は、図３１のステップＳ３５１でＹＥＳと判断して図３１のステップＳ３５２に進む。

警報解析部９１は、図３１のステップＳ３５２において、警報１８０ａに含まれる通信データが記憶部９２に格納されている中間通信許可リスト１７６に含まれる通信データ条件のいずれか一つに該当するかどうかを判断する。図３２に示す例では、警報番号１、２は、それぞれ中間通信許可リスト１７６のルール番号１、２の各通信データ条件と同一の通信データを含んでいる。従って、この場合、警報解析部９１は、図３１のステップＳ３５２でＹＥＳと判断し、図３１のステップＳ３５３に進む。

図３１のステップＳ３５３において、警報解析部９１は、警報１８０ａに含まれる通信データと一致した中間通信許可リスト１７６の通信データ条件と警報１８０ａに含まれるシステム状態とを組み合わせて追加通信許可ルールを生成する。図３２の例では、警報解析部９１は、警報１８０ａの警報番号１に含まれる通信データと一致した中間通信許可リスト１７６の番号１の中間通信許可ルールの通信データ条件と警報番号１に含まれる「停止」のシステム状態とを組み合わせて追加通信許可ルールを生成する。記憶部９２に格納されている通信許可リスト２７７には３０個の通信許可ルールがリストされているので、生成した追加通信許可ルールのルール番号は３１となる。また、同様に、中間通信許可リスト１７６の番号２の中間通信許可ルールの通信データ条件と警報番号２に含まれる「保守」のシステム状態とを組み合わせて、ルール番号３２として追加通信許可ルールを生成する。そして、警報解析部９１は、生成した追加通信許可ルールをルール判定部９３に出力する。

ルール判定部９３は、図３１のステップＳ３５４において、システム仕様ファイル９４から管理システム１２０のシステム仕様を取得する。そして、ルール判定部９３は、図３１のステップＳ３５５において、ルール番号３１、３２の追加通信許可ルールとシステム仕様とを比較し、追加通信許可ルールがシステム仕様と合致しているかを判定する。

図３１のステップＳ３５５において、ＹＥＳと判定した場合、ルール判定部９３は、通信許可リスト更新部９５に通信ルール追加許可信号と、ルール番号３１、３２の追加通信許可ルールとを出力する。通信許可リスト更新部９５は、ルール判定部９３から追加許可信号が入力されたら、追加通信許可ルールを記憶部８４ｄ、９２に格納されている通信許可リスト２７７に追加して更新通信許可リスト２７７ａとし、記憶部８４ｄ、９２に格納する。

次に図３３、３４を参照しながら、侵入検知部８２が周期異常と判定した場合の監視センター９０による通信許可リスト２７７の更新動作について、図３４に示す警報３８０が入力された場合を例として説明する。

図３３のステップＳ３６１に示すように、監視センター９０の警報解析部９１は、ネットワーク３０から図３４に示す警報３８０が入力されると、警報３８０に含まれている判定結果が周期異常かどうか判断する。周期異常の判定結果が含まれている場合には、警報解析部９１は、図３３のステップＳ３６２に進む。また、ステップＳ３６１でＮＯと判断した場合には、警報解析部９１は解析を行わずにルーチンを終了する。

図３４に示す例では、警報３８０に含まれている判定結果は、周期異常であるから、警報解析部９１は、図３３のステップＳ３６１でＹＥＳと判断して図３３のステップＳ３６２に進む。

警報解析部９１は、図３３のステップＳ３６２において、記憶部９２に格納されている通信許可リスト２７７の中の通信ルールの内、警報３８０に含まれる通信ルール番号に対応する通信許可ルールの周期条件が警報３８０に含まれる周期を含むように変更した変更通信許可ルールを生成する。

図３４の例では、警報３８０に含まれている通信ルール番号は、１であるから、警報解析部９１は、通信許可リスト２７７のルール番号１に含まれる周期条件が警報３８０に含まれる周期、５００（ｍｓｅｃ）を含むように、周期条件を４００（ｍｓｅｃ）〜１１００（ｍｓｅｃ）に変更した変更通信許可ルールを生成する。そして、警報解析部９１は、生成した変更通信許可ルールをルール判定部９３に出力する。

ルール判定部９３は、図３３のステップＳ３６３において、システム仕様ファイル９４から管理システム１２０のシステム仕様を取得する。そして、ルール判定部９３は、図３３のステップＳ３６４において、ルール番号１の変更通信許可ルールとシステム仕様とを比較し、変更通信許可ルールがシステム仕様と合致しているかを判定する。

図３６のステップＳ３６４において、ＹＥＳと判定した場合、ルール判定部９３は、通信許可リスト更新部９５に通信ルール変更許可信号と、ルール番号１の変更通信許可ルールとを出力する。通信許可リスト更新部９５は、ルール判定部９３から変更許可信号が入力されたら、記憶部８４ｄ、９２に格納されている通信許可リスト２７７のルール番号１の通信許可ルールを変更通信許可ルールに変更して更新通信許可リスト２７７ｂとし、記憶部８４ｄ、９２に格納する。

図３４に示した例では、警報３８０は通信許可リスト２７７に含まれる周期条件よりも短い周期が検出された場合であるが、警報３８０は通信許可リスト２７７に含まれる周期条件よりも長い周期が検出された場合、あるいはタイムアウトとなって周期の検出ができなかった場合には、警報解析部９１は、警報３８０の通信ルール番号に対応する通信許可リスト２７７の中の通信許可ルールに規定されている周期条件の上限を大きくしてもよい。例えば、図３４に示す例では、周期条件の上限を１１００（ｍｓｅｃ）から１２００（ｍｓｅｃ）あるいは１５００（ｍｓｅｃ）のように変更してもよい。

また、以上の説明では、ルール判定部９３が追加通信許可ルール、変更通信許可ルールがシステム仕様と合致しているかどうかを判定することとして説明したが、図３０に示すように、監視センター９０に配置されている管理システムの管理者等の判定者９６が追加通信許可ルール、変更通信許可ルールがシステム仕様と合致しているかを判断し、ルール判定部９３から通信許可ルールの追加許可信号、変更許可信号を発信させるようにしてもよい。

以上説明したように、本実施形態の侵入検知システム９００は、ネットワーク３０から入力された警報の内容を解析し、解析結果に基づいて侵入検知装置８０に格納されている通信許可リスト２７７を更新するので、より短時間に通信許可リストを生成することができる。

また、ルール判定部９３によって追加通信許可ルール、変更通信許可ルールがシステム仕様に合致している場合にのみ通信許可リスト２７７を更新するので、システム仕様に合致しない通信許可ルールが更新通信許可リスト２７７ｂに含まれることを防止でき、正確な更新通信許可リスト２７７ｂを生成することができる。

本発明は以上説明した実施形態に限定されるものではなく、請求の範囲により規定されている本発明の技術的範囲ないし本質から逸脱することない全ての変更および修正を包含するものである。

１０，２０，８０ 侵入検知装置、１１，２１，８１ 通信取得部、１２，２２，８２ 侵入検知部、１３，２３，８３ 警報部、１４，２４，８４ 通信許可リスト生成部、１５，２５，８５ 属性情報解析部、１６，８６ エンジニアリング情報ファイル、１７ 管理情報ファイル、１８ 送信元先情報変換テーブル、１９ コマンド条件変換テーブル、２７ 通信ルールリスト生成部、２８ 通信ルールリスト検証部、２９ 通信許可リスト格納部、３０ ネットワーク、４０，４２ 監視制御端末、４３ メンテナンスＰＣ、４５ 外部装置、５１，５２ コントローラ、５６ 空調機器、５７ 照明機器、６０ コンピュータ、６１ ＣＰＵ、６２ 補助記憶装置、６３ メモリ、６４ 通信装置、６４ａ レシーバ、６４ｂ トランスミッタ、６５ 入力インターフェース、６６ 入力装置、６７ 出力インターフェース、６８ ディスプレイ、６９ データバス、７１ エンジニアリングデータ、７２，１７５ 中間データ、７３，１７７，２７７， 通信許可リスト、７４ 通信ルールリスト、８４ａ 中間通信許可リスト生成部、８４ｂ，８４ｄ，９２ 記憶部、８４ｃ 通信許可リスト修正部、８７ａ ネットワーク構成情報ファイル、８７ｂ オブジェクト入出力情報ファイル、８８ システム状態受信部、９０監視センター、９１ 警報分析部、９３ ルール判定部、９４ システム仕様ファイル、９５ 通信許可リスト更新部、９６ 判定者、１００ ビル管理システム、１１０，１２０ 管理システム、１７６ 中間通信許可リスト、１７９，３７９ 通信判定データ、１８０、１８０ａ，３８０ 警報、２７７ａ，２７７ｂ 更新通信許可リスト、２７８ ３７８ Ｔ通信データ（タイムスタンプ付通信データ）、８００，９００ 侵入検知システム。

Claims (19)

1. ビル設備の管理システムを構成するネットワークへの侵入を検知する侵入検知装置であって、
   前記ネットワークに流れる前記ビル設備に関する通信データを取得する通信取得部と、
   前記ネットワークにおける通信を許可する通信許可ルールを生成して通信許可リストとして格納する通信許可リスト生成部と、
   前記通信取得部が取得した前記通信データを含む通信判定データと前記通信許可リストの中の前記通信許可ルールとを比較して前記ネットワークへの侵入を検知する侵入検知部と、
   前記ビル設備のオブジェクトの属性情報を含むエンジニアリング情報を解析して前記通信許可ルールの生成に必要な情報を抽出し、前記ネットワークの通信仕様フォーマットに形成して中間データとして出力する属性情報解析部と、を備え、
   前記通信取得部は、取得した前記通信データに基づいて前記通信判定データを生成して前記侵入検知部に出力し、
   前記侵入検知部は、前記通信判定データが前記通信許可リストの中のいずれの前記通信許可ルールにも該当しない場合に前記ネットワークへの侵入を検知し、
   前記通信許可リスト生成部は、
   前記中間データにネットワーク構成情報とオブジェクト入出力情報とを含む管理情報を合わせて前記通信許可ルールを生成する侵入検知装置。
2. 請求項１に記載の侵入検知装置であって、
   前記エンジニアリング情報は、外部から前記属性情報解析部に入力され、
   前記管理情報は、外部から前記通信許可リスト生成部に入力される侵入検知装置。
3. 請求項１又は２に記載の侵入検知装置であって、
   前記通信取得部が生成した前記通信判定データを学習して前記ネットワークに流れる前記ビル設備に関する前記通信データから通信ルールを生成し、通信ルールリストとして出力する通信ルールリスト生成部と、
   修正通信許可リストを格納する通信許可リスト格納部と、
   前記通信ルールリストの中の一の通信ルールが前記通信許可リストの中のいずれかの前記通信許可ルールと一部のみが異なる場合には前記通信許可ルールに合わせて前記一の通信ルールを修正して前記修正通信許可リストとして前記通信許可リスト格納部に出力し、前記通信ルールリストの中の全ての通信ルールが前記通信許可リストの中のいずれかの前記通信許可ルールと一致する場合には、前記通信ルールリストを前記修正通信許可リストとして前記通信許可リスト格納部に出力する通信ルールリスト検証部と、を含み、
   前記侵入検知部は、前記通信取得部が生成した前記通信判定データが前記通信許可リスト格納部に格納された前記修正通信許可リストの中のいずれの前記通信許可ルールにも該当しない場合に前記ネットワークへの侵入を検知する侵入検知装置。
4. 請求項３に記載の侵入検知装置であって、
   前記通信ルールリスト検証部は、
   前記通信ルールリストの中の一の通信ルールが前記通信許可リスト中のいずれの前記通信許可ルールとも異なる場合で、且つ、前記通信許可ルールに合わせて前記一の通信ルールを修正できない場合には、前記通信ルールリストから前記一の通信ルールを削除して前記修正通信許可リストとして前記通信許可リスト格納部に出力する侵入検知装置。
5. 請求項３又は４に記載の侵入検知装置であって、
   前記通信ルールリスト検証部は、
   前記通信許可リストに含まれる前記オブジェクトに関する前記通信許可ルールの中で、前記通信ルールリストに前記オブジェクトに関する前記通信ルールが含まれていないものがある場合には、その前記通信許可ルールを前記通信ルールリストに追加して前記修正通信許可リストとして前記通信許可リスト格納部に出力する侵入検知装置。
6. 請求項１から５のいずれか１項に記載に侵入検知装置であって、
   前記侵入検知部が前記ネットワークへの侵入を検知した場合に、侵入を検知したことを示す警報を前記ネットワークに出力する警報部を備える侵入検知装置。
7. ビル設備の管理システムを構成するネットワークへの侵入を検知する侵入検知方法であって、
   前記ネットワークに流れる前記ビル設備に関する通信データを取得する通信データ取得ステップと、
   前記ビル設備のオブジェクトの属性情報を含むエンジニアリング情報に基づいて前記ネットワークにおける通信を許可する通信許可ルールを生成して通信許可リストとして出力する通信許可リスト生成ステップと、
   取得した前記通信データを含む通信判定データと前記通信許可リストの中の前記通信許可ルールとを比較して前記ネットワークへの侵入を検知する侵入検知ステップと、
   前記エンジニアリング情報を解析して前記通信許可ルールの生成に必要な情報を抽出し、前記ネットワークの通信仕様フォーマットに形成して中間データとして出力する属性情報解析ステップと、
   取得した前記通信データに基づいて前記通信判定データを生成する判定データ生成ステップと、を備え、
   前記侵入検知ステップは、前記通信判定データが前記通信許可リストの中のいずれの前記通信許可ルールにも該当しない場合に前記ネットワークへの侵入を検知し、
   前記通信許可リスト生成ステップは、
   前記中間データにネットワーク構成情報とオブジェクト入出力情報とを含む管理情報を合わせて前記通信許可ルールを生成する侵入検知方法。
8. 請求項７に記載の侵入検知方法であって、
   前記通信判定データを学習して前記ネットワークに流れる前記ビル設備に関する前記通信データから通信ルールを生成して通信ルールリストとして出力する通信ルールリスト生成ステップと、
   前記通信ルールリストの中の一の通信ルールが前記通信許可リストの中のいずれかの前記通信許可ルールと一部のみが異なる場合には前記通信許可ルールに合わせて前記一の通信ルールを修正して修正通信許可リストとし、前記通信ルールリストの中の全ての通信ルールが前記通信許可リストの中のいずれかの前記通信許可ルールと一致する場合には、前記通信ルールリストを前記修正通信許可リストとする通信ルールリスト検証ステップと、を含み、
   前記侵入検知ステップは、前記通信判定データが前記修正通信許可リストの中のいずれの前記通信許可ルールにも該当しない場合に前記ネットワークへの侵入を検知する侵入検知方法。
9. 請求項８に記載の侵入検知方法であって、
   前記通信ルールリスト検証ステップは、
   前記通信ルールリストの中の一の通信ルールが前記通信許可リスト中のいずれの前記通信許可ルールとも異なる場合で、且つ、前記通信許可ルールに合わせて前記一の通信ルールを修正できない場合には、前記通信ルールリストから前記一の通信ルールを削除して前記修正通信許可リストとする侵入検知方法。
10. 請求項８又は９に記載の侵入検知方法であって、
    前記通信ルールリスト検証ステップは、
    前記通信許可リストに含まれる前記オブジェクトに関する前記通信許可ルールの中で、前記通信ルールリストに前記オブジェクトに関する前記通信ルールが含まれていないものがある場合には、その前記通信許可ルールを前記通信ルールリストに追加して前記修正通信許可リストとする侵入検知方法。
11. ビル設備の管理システムを構成するネットワークへの侵入を検知する侵入検知システムであって、
    前記管理システムのシステム状態を設定する外部装置と、
    前記ネットワークへの侵入を検知する侵入検知装置と、を含み、
    前記侵入検知装置は、
    前記外部装置から前記管理システムの前記システム状態を受信するシステム状態受信部と、
    前記ネットワークに流れる前記ビル設備に関する通信データを取得する通信取得部と、
    前記ビル設備のオブジェクトの属性情報を含むエンジニアリング情報と前記システム状態受信部から入力された前記システム状態とに基づいて通信を許可する通信データ条件とシステム状態条件との組み合わせを規定した通信許可ルールを生成して通信許可リストとして格納する通信許可リスト生成部と、
    前記通信取得部から入力された前記通信データと前記システム状態受信部から入力された前記システム状態とを組み合わせて通信判定データを生成し、生成した前記通信判定データと前記通信許可リストの中の前記通信許可ルールとを比較することにより前記ネットワークへの侵入を検知する侵入検知部と、
    前記侵入検知部が侵入を検知した際に前記ネットワークに警報を発信する警報部と、
    前記エンジニアリング情報を解析して前記通信許可ルールの生成に必要な情報を抽出する属性情報解析部と、を有し
    前記通信許可リスト生成部は、
    前記属性情報解析部が抽出した前記情報とネットワーク構成情報とオブジェクト入出力情報とに基づいて前記通信データ条件を規定した中間通信許可ルールを生成し、中間通信許可リストとして格納する中間通信許可リスト生成部と、
    前記システム状態受信部から入力された前記システム状態に基づいて前記中間通信許可ルールの前記通信データ条件に組み合わせられる前記システム状態条件を前記中間通信許可ルールに付加して前記通信許可ルールを生成し、前記通信許可リストとして格納する通信許可リスト修正部と、を含み、
    前記侵入検知部は、
    前記通信判定データに含まれる前記通信データと前記システム状態との組み合わせが前記通信許可ルールに含まれる前記通信データ条件とシステム状態条件との組み合わせのいずれにも該当しない場合に前記ネットワークへの侵入を検知すること、
    を特徴とする侵入検知システム。
12. 請求項１１に記載の侵入検知システムであって、
    前記ネットワークに接続され、前記ネットワークから前記警報が入力された際に、前記警報の内容を解析し、解析結果に基づいて前記侵入検知装置に格納されている前記通信許可リストを更新する監視センターを含むこと、
    を特徴とする侵入検知システム。
13. 請求項１１に記載の侵入検知システムであって、
    前記警報部は、
    前記侵入検知部が前記ネットワークへの侵入を検知した際に、通信データ異常の判定結果と、前記通信判定データの中の前記システム状態と前記通信データとを含む警報を前記ネットワークに発信すること、
    を特徴とする侵入検知システム。
14. 請求項１３に記載の侵入検知システムであって、
    前記ネットワークから前記警報が入力された際に、前記警報の内容を解析し、解析結果に基づいて追加通信許可ルールを生成する警報解析部と、
    前記中間通信許可リスト生成部が生成した前記中間通信許可リストと前記通信許可リスト生成部が生成した前記通信許可リストとを格納する記憶部と、
    前記記憶部及び前記侵入検知装置に格納されている前記通信許可リストを更新する通信許可リスト更新部と、を有する監視センターを含み、
    前記警報解析部は、
    前記警報に含まれる前記通信データが前記記憶部に格納されている前記中間通信許可リストに含まれる前記通信データ条件のいずれか一つに該当する場合、該当した一の前記通信データ条件と前記警報に含まれる前記システム状態とを組み合わせて前記追加通信許可ルールを生成し、
    前記通信許可リスト更新部は、
    前記警報解析部が生成した前記追加通信許可ルールを前記記憶部及び前記侵入検知装置に格納されている前記通信許可リストに追加して前記記憶部に格納されている前記通信許可リストを更新すること、
    を特徴とする侵入検知システム。
15. 請求項１４に記載の侵入検知システムであって、
    前記監視センターは、
    前記警報解析部が生成した前記追加通信許可ルールとシステム仕様とを比較して、前記追加通信許可ルールが前記システム仕様に合致しているかどうかを判定するルール判定部を有し、
    前記通信許可リスト更新部は、
    前記ルール判定部が前記追加通信許可ルールは前記システム仕様に合致していると判定した場合に、前記通信許可リストの更新を実行すること、
    を特徴とする侵入検知システム。
16. 請求項１１に記載の侵入検知システムであって、
    前記通信取得部は、
    取得した前記通信データに取得時刻を示すタイムスタンプを付加してタイムスタンプ付通信データとして前記侵入検知部と前記通信許可リスト修正部に出力し、
    前記通信許可リスト修正部は、
    前記通信取得部から入力された前記タイムスタンプ付通信データに含まれる前記通信データが前記中間通信許可ルールに含まれる一の前記通信データ条件に該当する場合が複数存在する場合、前記タイムスタンプに基づいて一の前記通信データ条件に対応する周期条件を生成し、
    前記周期条件と、前記システム状態受信部から入力された前記システム状態に基づいて前記中間通信許可ルールの前記通信データ条件に組み合わせられる前記システム状態条件とを前記中間通信許可ルールに付加して前記通信許可ルールを生成し、前記通信許可リストとして格納し、
    前記侵入検知部は、
    前記通信取得部から入力された前記タイムスタンプ付通信データと前記システム状態受信部から入力された前記システム状態とを組み合わせて前記通信判定データを生成し、
    前記通信判定データに含まれる前記通信データと前記システム状態との組み合わせが前記通信許可ルールに含まれる一の前記通信データ条件と一の前記システム状態条件との組み合わせに該当する場合が複数存在する場合、前記通信判定データに含まれる前記タイムスタンプに基づいて一の前記通信データ条件と一の前記システム状態条件との組み合わせに該当する前記通信データと前記システム状態との組み合わせが前記ネットワークに流れる周期を算出し、
    算出した前記周期が前記通信許可ルールに含まれる前記周期条件を満足しない場合に、前記ネットワークへの侵入を検知すること、
    を特徴とする侵入検知システム。
17. 請求項１６に記載の侵入検知システムであって、
    前記警報部は、
    前記ネットワークへの侵入を検知した際に、周期異常の判定結果と、前記通信判定データの中の前記システム状態と、一の前記通信データ条件と一の前記システム状態条件との組み合わせを含む通信ルール番号と、算出した前記周期とを含む警報を前記ネットワークに発信すること、
    を特徴とする侵入検知システム。
18. 請求項１７に記載の侵入検知システムであって、
    前記ネットワークから前記警報が入力された際に、前記警報の内容を解析し、解析結果に基づいて前記通信許可リストに含まれる前記通信許可ルールを変更して変更通信許可ルールを生成する警報解析部と、
    前記通信許可リスト生成部が生成した前記通信許可リストと、を格納する記憶部と、
    前記記憶部及び前記侵入検知装置に格納されている前記通信許可リストを更新する通信許可リスト更新部と、を有する監視センターを含み、
    前記警報解析部は、
    前記記憶部に格納されている前記通信許可リストの中の前記警報に含まれる前記通信ルール番号に対応する前記通信許可ルールの前記周期条件が前記警報に含まれる前記周期を含むように変更した前記変更通信許可ルールを生成し、
    前記通信許可リスト更新部は、
    前記記憶部及び前記侵入検知装置に格納されている前記通信許可リストの中の前記通信ルール番号の前記通信許可ルールを前記変更通信許可ルールに変更して前記記憶部及び前記侵入検知装置に格納されている前記通信許可リストを更新すること、
    を特徴とする侵入検知システム。
19. 請求項１８に記載の侵入検知システムであって、
    前記監視センターは、
    前記警報解析部が生成した前記変更通信許可ルールとシステム仕様とを比較して、前記変更通信許可ルールが前記システム仕様に合致しているかどうかを判定するルール判定部を有し、
    前記通信許可リスト更新部は、
    前記ルール判定部が前記変更通信許可ルールは前記システム仕様に合致していると判定した場合に、前記通信許可リストの更新を実行すること、
    を特徴とする侵入検知システム。