JP7034885B2 - 異常要因判定装置およびその表示装置 - Google Patents

Description

本発明の実施形態は、異常要因判定装置およびその表示装置に関する。

プラントやＦＡ（Ｆａｃｔｏｒｙ Ａｕｔｏｍａｔｉｏｎ）等に設置された機器を制御する制御システムでは、近年、ネットワーク化が進んでいる。このような制御システムでは、ネットワークのセキュリティ対策が重要になる。そこで、制御システム内におけるネットワークの異常を検知するＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）と呼ばれる装置が知られている。また、制御システムで起こり得る異常には例えばネットワークを介した攻撃と、機器の故障とがあり、これら異常の種類によってそれぞれ異なる対応が必要である。

従来、制御システムで検出された異常が、機器の故障に起因するか、またはネットワークを介した攻撃に起因するかを判定する異常要因判定装置が知られている。

特開２０１７－１９２１０５号公報

しかしながら、近年では機器の故障と見せかけた攻撃や、攻撃と似た振る舞いをする機器の故障など、異常の種類が多様化している。従来の異常要因判例装置がこれら異常の要因を判例する場合、一般的な攻撃や故障と比べて異常の要因の判定までに長い時間を要する。この判定に長い時間を要すると、異常に対して迅速に対応できなくなる可能性がある。

そこで本発明が解決しようとする課題は、異常要因の判定前に異常への対応を準備できる異常要因判定装置およびその表示装置を提供することである。

上記の課題を解決するために、実施形態の表示装置によれば、ネットワークを介したデータ通信により機器を制御する制御システム内の異常要因判定装置の表示装置において、各データの一次判定の結果を集計する集計部と、表示部と、を備え、この異常要因判定装置による異常要因の判定には一次判定と二次判定とがあり、前記一次判定では、前記判定の途中経過として前記データ通信により受信した複数のデータが前記ネットワークを介して攻撃を受けていることを示す攻撃判定条件または前記機器の故障を示す故障判定条件のどちらに該当するかをデータ毎に判定し、前記二次判定では、前記集計に基づき、前記攻撃判定条件または前記故障判定条件のうちより多くのデータが一次判定された一方を前記異常要因として判定し、前記表示部は、前記異常要因判定装置が前記一次判定中の場合には、前記攻撃判定条件または前記故障判定条件のどちらにより多くのデータが一次判定されたかを前記集計に基づいて表示し、前記異常要因判定装置が前記二次判定を完了した場合には前記二次判定の結果を表示する。

本発明の実施形態によれば、異常要因の判定前に、異常への対応を準備することができる。

実施形態に係る制御システムの構成を示すブロック図である。 実施形態に係る異常要因判定装置および表示装置の構成を示すブロック図である。 実施形態に係る異常要因判定装置による異常要因の判定処理を示すフローチャートである。 実施形態に係る表示装置の表示部から表示される集計結果の一例である。 実施形態に係る表示装置の表示部から表示される集計結果の他の一例である。

図１は、第１実施形態に係る制御システムの構成を示すブロック図である。図１に示す制御システム１は、制御装置１０と、ＨＭＩ（Ｈｕｍａｎ Ｍａｃｈｉｎｅ Ｉｎｔｅｒｆａｃｅ）２０と、ツール３０と、ネットワークスイッチ４０と、異常要因判定装置５０と、表示装置６０とを備える。

制御装置１０は、ネットワークを介したデータ通信により、プラントやＦＡ等に設置された機器を制御する。この制御装置１０は、コントローラと、センサと、アクチュエータと、を備えている（すべて図示省略）。コントローラ（図示省略）は、例えばＰＬＣ（Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｃｏｎｔｒｏｌｌｅｒ）で構成されている。センサ（図示省略）は、制御対象機器の状態や環境等をセンシングする。アクチュエータ（図示省略）は、コントローラの制御に基づいて動作する。本実施形態では、一つの制御装置１０が制御システム１内に設けられているが、複数の制御装置１０が設けられていてもよい。さらに、制御装置１０の構成も、上記機器を制御する構成であればよく、図１に示す構成に限定されない。

ＨＭＩ２０は、ネットワークスイッチ４０を介して制御装置１０の状態を監視する。

ツール３０は、ネットワークスイッチ４０を介して制御装置１０の制御プログラムを変更するエンジニアリングツールである。

ネットワークスイッチ４０は、制御装置１０をネットワークに接続する。本実施形態では、このネットワークは、Ｅｔｈｅｒｎｅｔ（登録商標）であるが、他の規格のネットワークであってもよい。また、ネットワークスイッチ４０はミラーポートを有し、このミラーポートに異常要因判定装置５０が接続される。これにより、異常要因判定装置５０は、ネットワークスイッチ４０を介して、制御システム１内を伝送するパケット形式の全てのデータを取得できる。

次に、図１に示す異常要因判定装置５０について、図２を用いて詳細に説明する。図２は、実施形態に係る異常要因判定装置および表示装置の構成を示すブロック図である。異常要因判定装置５０は、通信インターフェース部５１と、タイマ部５２と、取得部５３と、分析部５４と、一次判定条件保存部５５と、一次判定結果記憶部５６と、を備える。異常要因判定装置５０を構成するこれらの構成要素は、ハードウェアで実現されてもよいし、ソフトウェアで実現されてもよい。

通信インターフェース部５１は、ネットワークスイッチ４０を介してデータを入出力する。タイマ部５２は現在時刻を取得する。

取得部５３は、通信インターフェース部５１で受信した制御装置１０からのデータ情報を取得する。また、取得部５３は、タイマ部５２から取得した時刻情報をヘッダ情報に付与して分析部５４へ出力する。

分析部５４は、取得部５３から入力されたデータ情報を一次判定条件と比較して、データ情報が一次判定条件に該当するかを一次判定し、その一次判定結果に基づいて異常の要因を判定する。一次判定条件保存部５５は、分析部５４によるデータ情報の一次判定条件を保存する。一次判定結果保存部５６は、分析部５４による判定の途中経過であるデータ情報の一次判定結果を保存する。本実施形態においては、一次判定条件保存部５５と一次判定結果保存部５６とが共に異常要因判定装置５０に設けられている場合を例示して説明するが、例えばこれら保存部の少なくとも一方が外付けされてもよい。

ここでいう「一次判定」とは、分析部５４が異常の要因を判定する途中経過として、各データ情報を一次判定条件と比較して、各データ情報を最も近い一次判定条件に振り分けることをいう。また「一次判定条件」とは、各データ情報を一次判定するためにあらかじめ設定された条件のことをいう。さらに「一次判定結果」とは、この一次判定条件との比較によりデータ情報が一次判定された結果をいう。一方、分析部５４が異常の要因を最終的に判定することを、「二次判定」という。

例えば、１秒間のパケット数の変化量が所定値よりも大きいことを攻撃と一次判定するための一次判定条件（攻撃判定条件）として一次判定条件保存部５５に保存した場合に、分析部５４は、取得部５３から入力された情報と、一次判定条件保存部５５に保存された一次判定条件とを比較する。この比較の結果、データ情報の１秒間のパケット数の変化量が所定値よりも大きいならば、分析部５４は、データ情報が攻撃判定条件を満たすと一次判定する。

また、例えば２秒以上所定の制御装置１０からのデータの受信がないことを故障と一次判定するための一次判定条件（故障判定条件）として一次判定条件保存部５５に保存した場合に、分析部５４は、取得部５３から入力された情報と、一次判定条件保存部５５に保存された一次判定条件とを比較する。この比較の結果、２秒以上所定の制御装置１０からのデータ情報の受信がないならば、分析部５４は、データ情報が故障判定条件を満たすと一次判定する。

本実施形態における攻撃判定条件および故障判定条件は、上述した場合に限定されることはなく、そのデータ情報や、想定される攻撃および故障の種類等に応じて適宜設定される。

表示装置６０は、分析部５４による一次判定結果および二次判定結果の少なくとも一方を表示する装置である。表示装置６０は、集計部６１と、表示部６２とを備える。

集計部６１は、一次判定結果保存部５６に保存された一次判定結果を一次判定結果保存部５６から受信し、これら一次判定結果が攻撃判定条件と故障判定条件どちらにより多くの情報が該当するかを集計する。

表示部６２は、集計部６１による集計の結果および分析部５４による異常の要因の判定結果を表示するモニタである。表示部６２による表示の詳細については後述する。

次に、異常要因判定装置５０による異常判定方法と、表示装置６０の表示部６２による表示方法について図３を用いて詳細に説明する。図３は、実施形態に係る異常要因判定装置による異常要因の判定処理を示すフローチャートである。

通信インターフェース部５１がネットワークスイッチ４０を介して制御装置１０からのデータ情報を受信する（ステップＳ０１）。続いて、取得部５３が、通信インターフェース部５１で受信されたデータ情報を受信する（ステップＳ０２）。このとき、取得部５３は、タイマ部５２から時刻情報を受信して、通信インターフェース部５１からのデータ情報と共に分析部５４へ出力する。

分析部５４は、取得部５３からデータ情報と、一次判定条件保存部５５に保存された一次判定条件とを受信して、このデータ情報を一次判定する（ステップＳ０３）。すなわち、取得部５３から受信したデータ情報と、一次判定条件保存部５５に保存された一次判定条件（攻撃判定条件と故障判定条件）とを比較して、このデータ情報が攻撃判定条件に当てはまる場合には攻撃判定条件に該当し、故障判定条件に当てはまる場合には故障判定条件に該当する、と一次判定する。また、データ情報が一次判定条件保存部５５に保存される一次判定条件のいずれに該当しない場合には、このデータ情報は正常であると一次判定する。

分析部５４によるこの一次判定結果は、一次判定結果保存部５６に送信される。一次判定結果保存部５６では、この一次判定結果とデータの時刻情報とを紐付けて保存する（ステップＳ０４）。以上のステップＳ０１からＳ０４は、通信インターフェース部５１が新たなデータを受信する毎に実行される。

一方、分析部５４は、データ情報の一次判定（ステップＳ０１からＳ０４）を所定の回数行い、それらの一次判定結果に基づいて異常の要因を二次判定する（ステップＳ０５）。ここでいう二次判定とは、前述した通り、分析部５４による異常要因の最終判定のことを示す。

分析部５４が異常要因を判定中（ステップＳ０５を実行中、つまりは二次判定の途中）の場合、表示装置６０の集計部６１は、一次判定結果保存部５６からデータ情報毎の一次判定結果を受信して、これらの一次判定結果を集計する（ステップＳ１６）。図４に示すように、表示部６２は、集計部６１による集計結果を受信して、攻撃と異常どちらの一次判定条件に、より多くのデータ情報が一次判定されているかを表示する（ステップＳ１７）。ステップＳ１６およびＳ１７は、一次判定結果保存部５６に新たなデータ情報の一次判定結果が記憶される毎に（つまり、ステップＳ０４が行われる毎に）実行される。

一方、分析部５４が異常要因を判定した（ステップＳ０５が完了した）場合、表示部６２は分析部５４から判定結果を受信し、この判定結果を表示する（ステップＳ２７）。

すなわち、表示装置６０は、分析部５４による異常要因の判定結果を表示部６２で表示するだけでなく、分析部５４が異常要因を二次判定中の場合は、二次判定の途中経過である一次判定の結果を表示部６２で表示する。

上述した実施形態によれば、一次判定結果保存部５６が分析部５４による異常要因の判定の途中経過である一次判定結果を記憶し、異常要因の判定中であってもこれら一次判定結果を集計部６１で集計して表示部６２から表示できるようにする。これにより、分析部５４が異常要因を判定する途中経過を把握できるため、判定結果が得られる前にどのような要因で異常が発生しているかを予測し、その対応の準備を行うことができる。

なお、本実施形態においては、表示部６２が図４に示すような方法で集計結果を表示する場合を例示して説明したが、この表示形式は図４の場合に限定されず、例えば図５に示すように、表示部６２が攻撃判定条件と異常判定条件に一次判定されたデータ情報それぞれのデータ個数（それぞれの一次判定条件に一次判定した回数）を表示してもよい。また、図４および図５では、一次判定条件に該当するデータ情報の個数だけを表示しているが、一次判定条件に該当するデータ情報の個数と共に、一次判定条件に該当しない（正常であると一次判定した）データ情報の個数を表示してもよい。

また、本実施形態においては、表示部６２がモニタである場合を例示して説明したが、この表示部６２は、少なくとも途中経過である一次判定結果について、攻撃と一次判定した場合と故障と一次判定した場合のどちらが多いか、そして判定の結果として異常の要因が攻撃と故障どちらに該当するかを区別できればよく、必ずしもモニタである必要はない。例えば、表示部６２が、少なくとも二種類の一次判定結果と、少なくとも二種類の判定の結果のそれぞれを、色や明るさによる違いで表示する発光機器でもよい。また、この表示部６２は必ずしも判定の途中経過である一次判定結果を常時表示する必要はなく、例えば攻撃判定条件と故障判定条件のそれぞれに一次判定されたデータ情報の個数の大小が逆転した場合にだけ表示してもよい。

さらに、本実施形態においては、集計部６１による集計（ステップＳ１６）および表示部６２による表示（ステップＳ１７）が、一次判定結果保存部５６に新たなデータ情報の一次判定結果が保存される毎に実行される場合を例示して説明したが、集計部６１による集計は、必ずしも一次判定結果保存部５６に新たなデータ情報の一次判定結果が保存される毎に行う必要はない。例えば、一次判定結果保存部５６に３回分の新たなデータ情報の一次判定結果が保存される毎など、所定の回数分の一次判定結果が新たに保存された場合に集計部６１による集計を行ってもよい。

さらに、本実施形態においては、分析部５４による判定の途中経過として、分析部５４がデータ情報を攻撃判定条件と故障判定条件とに分類する場合を例示して説明したが、攻撃判定条件と故障判定条件として、その少なくとも一方の条件を複数設定してもよい。例えば、３種類の攻撃判定条件と２種類の故障判定条件とを一次判定条件としてそれぞれ設定するような構成としても構わない。ただし、この条件の数については特定の場合に限定されない。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の趣旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１．制御システム、１０．制御装置、２０．ＨＭＩ、３０．ツール、４０．ネットワークスイッチ、５０．異常要因判定装置、５１．通信インターフェース部、５２．タイマ部、５３．取得部、５４．分析部、５５．一次判定条件保存部、５６．一次判定結果保存部、６０．表示装置、６１．集計部、６２．表示部

Claims (3)

1. ネットワークを介したデータ通信により機器を制御する制御システム内の異常要因判定装置の表示装置において、
   各データの一次判定の結果を集計する集計部と、
   表示部と、を備え、
   この異常要因判定装置による異常要因の判定には一次判定と二次判定とがあり、
   前記一次判定では、前記判定の途中経過として前記データ通信により受信した複数のデータが前記ネットワークを介して攻撃を受けていることを示す攻撃判定条件または前記機器の故障を示す故障判定条件のどちらに該当するかをデータ毎に判定し、
   前記二次判定では、前記集計に基づき、前記攻撃判定条件または前記故障判定条件のうちより多くのデータが一次判定された一方を前記異常要因として判定し、
   前記表示部は、
   前記異常要因判定装置が前記一次判定中の場合には、前記攻撃判定条件または前記故障判定条件のどちらにより多くのデータが一次判定されたかを前記集計に基づいて表示し、前記異常要因判定装置が前記二次判定を完了した場合には前記二次判定の結果を表示する異常要因判定装置の表示装置。
2. ネットワークを介したデータ通信により機器を制御する制御システム内の異常要因判定装置の表示装置において、
   各データの一次判定の結果を集計する集計部と、
   表示部と、を備え、
   この異常要因判定装置による異常要因の判定には一次判定と二次判定とがあり、
   前記一次判定では、前記判定の途中経過として前記データ通信により受信した複数のデータが前記ネットワークを介して攻撃を受けていることを示す攻撃判定条件または前記機器の故障を示す故障判定条件のどちらに該当するかをデータ毎に判定し、
   前記二次判定では、前記集計に基づき、前記攻撃判定条件または前記故障判定条件のうちより多くのデータが一次判定された一方を前記異常要因として判定し、
   前記表示部は、
   前記異常要因判定装置が前記一次判定中の場合には、前記データが前記攻撃判定条件に一次判定された回数および前記データが前記故障判定条件に一次判定された回数のそれぞれを前記集計に基づいて表示し、前記異常要因判定装置が前記二次判定を完了した場合には、前記二次判定の結果を表示する表示装置。
3. 請求項１または２に記載された表示装置を備える異常要因判定装置。

Images