JP7114769B2 - 通信システム - Google Patents

Description

本発明は、通信の監視をするための、監視装置、スイッチ、通信装置、通信システム、監視方法及び監視プログラムに関する。

近年、ＩｏＴ（Internet of Things）に総称されるように、あらゆるものがインターネットに接続されるようになってきている。例えば、独自のプロトコルで、通信していた工場やプラントの制御ネットワークを、新たにインターネットに接続するようなことが行われている。従い、工場内の工作機器、センサやカメラといったエンドポイントの端末（以下、「エンド端末」と呼ぶ。）もインターネットに接続されることとなる。

このようにインターネットに接続されることにより、新たな付加価値、機器管理など多様な恩恵が得られる一方、不正アクセスやＤｏＳ攻撃（Denial of Service attack）、ウイルスといった手段を用いた、悪意のある者からの脅威にさらされることにもなる。

そこで、このような脅威からエンド端末を守る手段として、エンド端末にウイルス対策ソフトをインストールすることがまず考えられる。

例えば、特許文献１の明細書段落番号［０００７］や［０００８］には、ウイルスや、ハッカー等によるデータ破壊に対抗するために、システム内に含まれるエンド端末のそれぞれにウイルス対策ソフトウェア搭載することにより、悪意のある者からの脅威から、エンド端末を守ることが記載されている。

また、悪意のある者からの脅威からエンド端末を守るための他の手段としては、例えば、これらのエンド端末を制御するＬＡＮ（Local Area Network）と、インターネットとの接続部分においてファイアウォールを設けることが考えられる。このようにしてファイアウォールを設ければ、インターネットを介した悪意のある者からの脅威から、エンド端末を守ることが可能となる。

特開２０１５－７２７０４号公報

上述したように、各エンド端末にウイルス対策ソフトをインストールしたり、ファイアウォールを設けたりすることにより、エンド端末を守ることができる。

しかしながら、上記の説明で一例として挙げた、工場やプラントに設置されている、工作端末、センサ及びカメラといったエンド端末には、汎用ＯＳ（Operating System）が実装されてない場合が多く、この場合ウイルス対策ソフトをインストールすることができない。

そのため、ウイルス対策ソフトによってエンド端末を脅威から守ることができず、エンド端末がウイルスなどに感染し、想定しない宛先にフレームを送付したり、想定外の量のフレームを送信し、回線を圧迫したりする。また、ファイアウォールなど専用アプライアンスは、インターネットと内部ＬＡＮの出入り口に配置されるため、内部ＬＡＮに接続されたエンド端末同士の想定していない通信（例えば、ウイルス感染に起因する異常な通信）や、エンド端末の故障等により生じるエンド端末固有の異常な通信の検出はできない。

つまり、特許文献１等に記載の既存の技術では、不適切な通信を防止することが困難であった。

そこで、本発明は、不適切な通信を防止することが可能な、監視装置、スイッチ、通信装置、通信システム、監視方法及び監視プログラムを提供することを目的とする。

本発明の第１の観点によれば、所定の処理の対象とするデータの条件のリストを記憶する記憶手段と、データの解析を行う解析手段と、を備えた監視装置であって、前記解析手段は、経路選択を行う中継装置を介することなく自監視装置に接続された端末が送受信するデータを解析し、該解析結果が前記リストに含まれる何れかの条件と一致するならば該解析結果に対応する受信データに対して前記所定の処理を行ない、該比較した解析結果が前記リストに含まれる何れかの条件と一致しないならば該データに対応する受信データに対して前記所定の処理以外の処理を行なうことを特徴とする監視装置が提供される。

本発明の第２の観点によれば、上記本発明の第１の観点により提供される監視装置を複数含むと共に、前記端末も複数含む通信システムであって、前記複数の端末のそれぞれは、前記複数の監視装置の内の少なくとも何れかの監視装置に接続されることを特徴とする通信システムが提供される。

本発明の第３の観点によれば、上記本発明の第１の観点により提供される監視装置を複数含むと共に、前記端末を接続するための複数のポートも複数含むスイッチであって、前記ポートのそれぞれは、前記複数の監視装置の内の少なくとも何れかに対応し、前記端末のそれぞれは、自端末が接続されるポートに対応する監視装置にも接続されることを特徴とするスイッチが提供される。

本発明の第４の観点によれば、上記本発明の第１の観点により提供される監視装置と該監視装置に接続された前記端末とを含む通信装置であって、前記端末は、前記監視装置を介して通信を行うことを特徴とする通信装置が提供される。

本発明の第５の観点によれば、所定の処理の対象とするデータの条件のリストを記憶する記憶手段を備えた監視装置が行う監視方法であって、経路選択を行う中継装置を介することなく自監視装置に接続された端末が送受信するデータを解析し、該解析結果が前記リストに含まれる何れかの条件と一致するならば該解析結果に対応する受信データに対して前記所定の処理を行ない、該比較した解析結果が前記リストに含まれる何れかの条件と一致しないならば該データに対応する受信データに対して前記所定の処理以外の処理を行なうことを特徴とする監視方法が提供される。

本発明の第６の観点によれば、所定の処理の対象とするデータの条件のリストを記憶する記憶手段を備えたコンピュータを監視装置として機能させる監視プログラムであって、前記コンピュータを、経路選択を行う中継装置を介することなく自監視装置に接続された端末が送受信するデータを解析し、該解析結果が前記リストに含まれる何れかの条件と一致するならば該解析結果に対応する受信データに対して前記所定の処理を行ない、該比較した解析結果が前記リストに含まれる何れかの条件と一致しないならば該データに対応する受信データに対して前記所定の処理以外の処理を行なう監視装置として機能させることを特徴とする監視プログラムが提供される。

本発明によれば、不適切な通信を防止することが可能となる。

本発明の各実施形態全体の基本的構成を表す図である。 本発明の第１の実施形態における監視装置に含まれる機能ブロック図である。 本発明の各実施形態における第１の監視装置におけるフローリストの一例を表す図である。 本発明の各実施形態における第２の監視装置におけるフローリストの一例を表す図である。 本発明の各実施形態における第Ｎの監視装置におけるフローリストの一例を表す図である。 本発明の各実施形態における第Ｍの監視装置におけるフローリストの一例を表す図である。 本発明の第１の実施形態における基本的動作を表すフローチャートである。 本発明の各実施形態における第Ｍの監視装置が受信したフレームの一例及び解析部に設定されたフローリストに関しての設定例を表す図である。 本発明の第２の実施形態における監視装置に含まれる機能ブロック図である。 本発明の第２の実施形態における登録期間での基本的動作を表すフローチャートである。 本発明の第２の実施形態における登録期間にて第Ｍの監視装置が受信したフレームの一例及び解析部に設定された登録期間における関しての設定例を表す図である。 本発明の各実施形態全体の基本的構成の変形例の１つを表す図である。 本発明の各実施形態全体の基本的構成の変形例の１つを表す図である。

次に、本発明の第１の実施形態と第２の実施形態それぞれの概略を説明する。

まず本発明の第１の実施形態では、各エンド端末それぞれに対して監視装置を接続し、各エンド端末がこの監視装置を介して他のエンド端末とフレームを送受信する構成とする。そして、監視装置は、各エンド端末が送信又は受信するフレームを監視する。そして、監視結果に応じて、フレームを通過させたり、フレームを通過させずに廃棄等したりといった処理を行う。

これにより、通過させるべきフレームを通過させ、通過させるべきではないと考えられる想定外の不適切なフレームを通過させないことが可能となり、不適切な通信を防止することが可能となる。

ここで、通過させるべきフレームであるか否かの判定方法としては、例えば、マルウェア感染やＤｏｓ攻撃に関連すると考えられる送信元や宛先のアドレス等や、プロトコル種別等をリストとして用意しておき、このリストとフレームを比較することにより判定を行うという方法が考えられる。

しかしながら、未知の通信先からの未知の攻撃を新たに受けること等も考えられるため、問題があると考えられる全ての通信先のアドレス等やプロトコル種別等を１つ残らず網羅してリスト化するのは非常に困難である。

そこで、本発明の第１の実施形態では、問題があると考えられる通信先を特定するアドレス等やプロトコル種別等をリストとするのではなく、問題の無いと考えられる通信先を特定するアドレス等やプロトコル種別等をリストとし、このリストに合致するフレームについては例えば転送を許可し、このリストに合致しないフレームについては例えば破棄する、という方法を採用する。

更に、本発明の第２の実施形態では、かかるリストの少なくとも一部を自動的に生成する機能を更に追加する。

具体的には、監視装置に、登録期間と運用期間を設ける。そして、登録期間において監視装置に入力したフレームから抽出した情報をリストに追加することによりリストを自動生成する。ただし、このとき、自動生成したリストを、ユーザの操作により、手動で追加や削除することを可能としてもよい。

その後、登録期間から運用期間に切り替え、監視装置に入力したフレームの情報と、登録期間で自動生成したリストとを比較し、一致したらならばフレームを通過させ、不一致であればフレームを破棄等することを継続する。

これにより、リストの自動生成及びリストによるセキュリティ管理を行うことができる。

次に、図面を参照して各実施形態について詳細に説明をする。

＜第１の実施形態＞
図１を参照すると本実施形態は、複数の監視装置１００、複数のエンド端末２００、スイッチ３００、ＰＬＣ４００、ＰＣ５００、ファイアウォール装置６００、インターネット７００、第１のネットワーク８００、第２のネットワーク９００及び設定用端末１０００を含む。

なお、以下の説明において、第１の監視装置１００－１、第２の監視装置１００－２、第Ｎの監視装置１００－Ｎ及び１００－Ｍの何れかを特定する場合には、第１の監視装置１００－１や第Ｎの監視装置１００－Ｎのように末尾の数字やアルファベットまで表記するが、何れかを特定しない場合には、単に監視装置１００と表記する。例えば、各監視装置１００において共通する構成等を説明する場合には、単に監視装置１００と表記する。同様に、何れかを特定しない場合には、単にエンド端末２００と表記する。また、本例において、Ｎは「３以上の自然数」であり、Ｍは「Ｎに１を加算した自然数」であるとする。

次に、これら各機器の接続について説明する。本実施形態において、ＰＬＣ４００やＰＣ５００は、第１のネットワーク８００において通信を行う。ここで、第１のネットワーク８００は、例えば、工場やプラントに併設されたオフィスに構築されたＬＡＮ（Local Area Network）である。また、第１のネットワーク８００には、任意の機器を接続でき、例えば、プリンター等の他の図示をしていない機器が含まれていても良い。第１のネットワーク８００はインターネット７００と接続されており、第１のネットワーク８００とインターネット７００の境界にはファイアウォール装置６００が設けられている。そして、ファイアウォール装置６００により、ウイルス等の不適切なデータの侵入等を防止している。

一方で、ＰＬＣ４００と、各エンド端末２００は、第２のネットワーク９００において通信を行う。ここで、第２のネットワーク９００は、例えば、工場やプラントに構築された機器を制御するための制御ネットワークである。

ここで、上述のファイアウォール装置６００は、インターネット７００に存在する機器との間の通信において機能するが、各エンド端末２００間の通信については機能しない。そこで、本実施形態では、各エンド端末２００間での不適切な通信を防止するために、各エンド端末２００に、一対一の関係で、監視装置１００を接続する。

なお、第Ｎの監視装置１００－Ｎについては、今後エンド端末２００が接続される可能性があるが、現時点ではエンド端末２００は接続されていないものとする。この点を表すために、図１において「（未配置）」と表す。

ここで、監視装置１００は、スイッチ３００を介して行なわれる、エンド端末２００間の通信やエンド端末２００とＰＬＣ４００間の通信を監視するための監視装置である。

監視装置１００は、上述したようにフローリストを利用した処理を行うことにより、悪意のある者等の行為により送信された不適切なフレームを廃棄等する。

ここで、監視装置１００には、図中に「Ｐ０」「Ｐ１」と記載されているように、２つの接続用のポートが設けられている。そして、かかるポート「Ｐ０」にエンド端末２００やＰＬＣ４００が接続される。一方で、ポート「Ｐ１」には、スイッチ３００が接続される。

なお、ポート「Ｐ１」とスイッチ３００間には、図示を省略した中継装置等が更に存在しても良い。なぜならば、Ｐ１にて送受信されるフレームは、既に、何れかの監視装置１００による監視が行なわれているフレームだからであり、かかるフレームはウイルス等に関連しない適切なフレームであり、中継装置による経路選択で本来の宛先に転送されるべきものだからである。

一方で、ポート「Ｐ０」とエンド端末スイッチ３００間や、ポート「Ｐ０」とエンド端末１００間には、経路選択を行う中継装置が存在しておらず、直接接続される構成にすることが好ましい。

その理由について説明する。例えば、第１のエンド端末２００－１がウイルスに感染し、宛先が不適切な不要なフレームを大量に送信したような場合に、第１の監視装置１００－１と第１のエンド端末２００－１の間に中継装置が存在していると、かかる中継装置が、不要なフレームを他のエンド端末等に転送してしまうような場合があるからである。これを防ぐためには、「Ｐ０」とエンド端末スイッチ３００間や、「Ｐ０」とＰＬＣ４００間を、それぞれ直接接続し、例えば、第１のエンド端末２００－１が送信するフレームを、まず第１の監視装置１００－１にて全て監視する必要があるからである。

複数のエンド端末２００は、それぞれが通信機能を有する端末である。エンド端末２００は、スイッチ３００を介して他のエンド端末２００やＰＬＣ４００との間で通信を行う。かかる通信は、例えば、ＩＰ（Internet Protocol）や、ＴＣＰ(Transmission Control
Protocol)や、ＵＤＰ（User Datagram Protocol）といった一般的なプロトコルに準拠して実行される。なお、実際にやり取りされるデータの内容、すなわち、ペイロード部分に含まれる内容がどのような内容であるのか等については、特に制限は無い。

また、エンド端末２００は、ユーザが直接操作するような端末で実現しても良いが、工場やプラントに設置されている、工作機器、センサ及びカメラといった機器で実現しても良い。以下の説明では、第１のエンド端末２００－１が、工場に設置された工作機械であり、第２のエンド端末２００－２がセンサであると想定して説明を行う。

スイッチ３００は、各エンド端末スイッチ３００間や、各エンド端末スイッチ３００とＰＬＣ４００間で行なわれるフレームを、フレーム内の宛先アドレスに応じて転送する中継装置である。スイッチ３００は、例えば、Ｌ２スイッチにより実現される。

ＰＬＣ４００は、工作機械を制御するＰＬＣ（Programmable Logic Controller）である。ＰＬＣ４００は、各エンド端末２００に対して所定の動作指示を出したり、各エンド端末２００の故障監視を行なったりするために、各エンド端末２００との間でフレームを送受信する。

ＰＣ５００は、第１のネットワーク８００内で使用されるパーソナルコンピュータであり、ファイアウォール装置６００を介してインターネット７００に存在する他の装置と通信をしたり、ＰＬＣ４００と通信を行ったりする。

ファイアウォール装置６００は、上述したようにファイアウォールを実現するための装置である。ファイアウォール装置６００は、第１のネットワーク８００とインターネット７００間で送受信されるデータについての制御を行うことにより、例えば、意図しないソフトウェアによる通信等を防止することができる。

インターネット７００、第１のネットワーク８００及び第２のネットワーク９００による接続については上述した通りである。

設定用端末１０００は、各監視装置１００に対しての設定を行ったり、各監視装置１００からの通知を受信したりするための端末である。なお、図中では、設定用端末１０００は、スイッチ３００を介して各監視装置１００と接続されているが、必ずしもこのようにスイッチ３００を介する必要はない。つまり、スイッチ３００を介することなく、設定用端末１０００と各監視装置１００とを直接接続するようにしてもよい。このようにスイッチ３００を介することなく直接接続した場合であっても、設定用端末１０００は、各監視装置１００に対しての設定を行ったり、各監視装置１００からの通知を受信したりすることができる。

ここで、設定用端末１０００は、本実施形態を管理する管理者等により用いられる。設定用端末１０００は、監視装置１００を設定するための専用の端末で実現しても良いが、監視装置１００を設定するためのソフトウェア等を追加した、パーソナルコンピュータ等の汎用の端末で実現しても良い。設定用端末１０００による設定や、監視装置１００からの通知の具体的な内容については後述する。

次に、図２を参照して、監視装置１００に含まれる機能ブロックについて説明をする。図２を参照すると、監視装置１００は、フレーム解析部１１０、フローリスト生成部１２０及びフローリスト記憶部１３０を含む。

フレーム解析部１１０は、監視装置１００が、ポート「Ｐ０」やポート「Ｐ１」において外部から入力フレームを受信する度に、受信した入力フレームを解析する。ここで、解析とは、受信した入力フレームから所定の情報（以下、「フレーム情報」と呼ぶ。）を抽出することである。

フレーム情報は、例えば、通信に用いる各プロトコルにより、記述することが定められている所定の情報である。具体例としては、受信ポートの番号、レイヤ２（ＭＡＣヘッダ）情報、フレームのタイプにより、レイヤ３（ＩＰヘッダ）情報以上の上位レイヤの必要な情報である。本実施形態では、このような汎用のプロトコルに準拠したフレーム情報を利用することにより、ペイロード部分に特殊な情報等を埋め込む等の処理を不要とすることができる。

また、本実施形態では、フレーム情報や各リストにおいて、これらの情報全てを用いるようにしても良いが、一部の情報の組み合わせを用いるようにしても良い。例えば、レイヤ２（ＭＡＣヘッダ）情報のみを用いたり、レイヤ２（ＭＡＣヘッダ）情報とレイヤ３（ＩＰヘッダ）情報の組み合わせを用いたりするようにしても良い。

また、例えば、仮にレイヤ２（ＭＡＣヘッダ）情報を用いるとするならば、全てのレイヤ２（ＭＡＣヘッダ）情報を用いても良いが、その一部である、宛先アドレス（ＭＡＣ－ＤＡ（Destination address））や、宛先アドレス（ＭＡＣ－ＳＡ（Source address））を用いるようにしても良いし、これらの組み合わせを用いるようにしても良い。

更に、フレーム解析部１１０は、入力フレーム受信時に、受信した入力フレームからフレーム情報を抽出する。そして、抽出したフレーム情報と、フローリスト記憶部１３０が記憶しているフローリストに登録されているフレーム情報を比較する。そして、監視装置１００は、比較の結果、一致した場合と、一致しなかった場合とで、それぞれ所定の動作を行う。

かかる所定の動作が具体的にどのような動作であるのかということは、「動作設定」として設定される。動作設定は、例えば、設定用端末１０００からの指示や、監視装置１００に設けられたディップスイッチ等により行なわれる。

例えば、フローリストに一致した場合には、対応するフレームを通過させるように設定できる。ここで、通過とは、受信した入力フレームを、フレーム解析部１１０を含む監視装置１００を通過させて出力フレームとして出力するということである。ここで、ポート「Ｐ０」において受信した入力フレームは、ポート「Ｐ１」から出力フレームとしてされる。一方で、ポート「Ｐ１」において受信した入力フレームは、ポート「Ｐ０」から出力フレームとしてされる。

すなわち、本実施形態の監視装置１００は、スイッチのようにルーティングを行う訳ではないので、通過の場合は、フレームが監視装置１００を素通りするということである。

一方で、フローリストに一致しなかった場合には、比較したフレーム情報の抽出元のフレームである、対応するフレームを廃棄させるように設定できる。

また、これのみならず、フローリストと一致した場合や、しなかった場合に、その旨の通知を行うか否かを設定することもできる。通知内容は、フローリストと一致した旨や、一致しなかった旨のみでも良いが、フレーム情報に対応するフレームを複製して、この複製したフレームを通知に含めるようにしても良い。そして、例えば設定用端末１０００により仮想的な通信システムを作成し、かかる仮想的な通信システムにおいてフレームの複製を通信させることにより、悪意の有るフレームの影響を知ることができるようにしても良い。

通知先は、例えば、設定用端末１０００であっても良いが、他のサーバ装置等であっても良い。また、通知に代えて又は通知と共に、監視装置１００内部にてフレーム情報に対応するフレームを記録するようにしても良い。本実施形態を管理する管理者等は、かかる通知の内容や、監視装置１００に記録された内容を、ログとして参照することにより、本実施形態での通信状況を把握することができる。なお、かかる記録を行うことを以下では、「ログを取る」と表現し、かかる記録を行なわないことを以下では、「ログを取らない」と表現する。

なお、フレーム解析部１１０が行う、通知やログを取るための出力を図２において「通知出力（記録）」と記載する。

フローリスト生成部１２０は、フローリスト記憶部１３０が記憶するフローリストを生成し、生成したフローリストをフローリスト記憶部１３０が記憶させる部分であるフローリスト生成部１２０による、フローリストの生成について説明をする。

まず、本実施形態を利用する管理者等のユーザは、設定用端末１０００を利用して、各エンド端末２００やＰＬＣ４００が、ウイルス等に感染していない通常時に送受信する正規のフレームのフレーム情報をフローリスト生成部１２０に設定する。かかる設定を図２において「フロー設定」と記載する。

この点、前提として、各エンド端末２００やＰＬＣ４００は、予め想定される所定のフレームを所定の通信先と送受信する機器であり、想定外の通信先と想定外のフレームを送受信したり等はしないものと想定する。例えば、各エンド端末２００やＰＬＣ４００の機器仕様に基づいて、どのような所定のフレームを、どの通信先と送受信するかを特定することができる。

そのため、管理者等のユーザは、予め想定されるフレームのフレーム情報を知ることができ、これをフローリスト生成部１２０に設定することができる。

フローリスト生成部１２０は、設定用端末１０００から設定されたフレーム情報を、フレーム解析部１１０が参照できるデータ構造に変換してフローリストとする。そして、作成したフローリストを、フローリスト記憶部１３０に登録する。

なお、本実施形態を利用する当初に、フローリスト生成部１２０によるフローリストを作成するが、その後、設定用端末１０００からの設定にてフローリストが修正されるようにしても良い。

例えば、設定用端末１０００を利用する管理者がフローリストの一部のフレーム情報を削除したり、新たなフレーム情報をフローリストに追加したりできるようにしても良い。このようにすれば、例えばエンド端末２００を新たに追加するような場合に、フローリスト全体を再設定しなくとも、新たに追加するエンド端末２００に関連するフレームを通過させることが可能となる。

また、他にも、例えば既存のエンド端末２００を一部取り外した場合に、取り外したエンド端末２００に関連するフレーム情報をフローリストから削除することができる。

フローリスト記憶部１３０は、フローリストを記憶する記憶部である。フローリスト記憶部１３０が記憶するフローリストは、上述したようにフローリスト生成部１２０により生成される。そして、フローリスト記憶部１３０が記憶するフローリストは、フレーム解析部１１０に参照されて利用される。

フローリストは、例えば、フレーム解析部１１０を通過させるフレームのフレーム情報が設定される。具体的には、各エンド端末２００において利用されるプロトコルのフレームを特定するためのフレーム情報や、各エンド端末２００において利用される宛先や送信元を表すアドレスを含んだフレームを特定するためのフレーム情報がフローリストに含まれる。

なお今回、フローリストを構成する要素を、装置、レイヤ２、レイヤ３、及びレイヤ４としているが、上述したようにこれらの全てを必ず要素として含む必要はなく、その一部を組み合わせたり、他の要素を追加したりしても良い。

次に、本実施形態において、各監視装置１００それぞれにおいて、フローリスト生成部１２０に作成され、フローリスト記憶部１３０が記憶するフローリストの具体例について説明をする。

各エンド端末２００やＰＬＣ４００の機器仕様に基づいて、予め想定される正規のフレームは以下の通りであるとする。そして、以下のフレーム以外のフレームは、想定外の適切とは考えられないフレームであるとする。

＜想定される正規のフレーム＞
（１）各エンド端末２００は、ＰＬＣ４００に対してフレームを送信するものとする。そのため、第１のエンド端末２００－１からＰＬＣ４００に対してのフレームと、第２のエンド端末２００－２からＰＬＣ４００に対してのフレームが想定される。
（２）ＰＬＣ４００は、第２のエンド端末２００－２に対してのみフレームを送信するので、ＰＬＣ４００から第２のエンド端末２００－２に対してのフレームが想定される。以上の送信元及び宛先以外のフレームは想定されない。
（３）レイヤ２において通信に用いられるタイプは「ＩＰｖ４」であるとする。また、レイヤ３にて用いられるプロトコルは「６（ＴＣＰ）」であるとする。

このような想定される正規のフレームに対応するフレーム情報が、設定用端末１０００により設定され、これに応じて、フローリストがフローリスト生成部１２０に作成され、フローリスト記憶部１３０に記憶される。

この場合に、各監視装置１００それぞれのフローリスト記憶部１３０に記憶されるフローリストについて図３－１乃至図３－４を参照して説明をする。

まず、図３－１に第１の監視装置１００－１のフローリスト記憶部１３０に記憶されるフローリストを示す。この点、上記（１）より、第１のエンド端末２００－１からＰＬＣ４００に対して送信するフレームのフレーム情報（図中のフローリスト項番１に相当）がフローリストに含まれる。かかるフレーム情報は上記（３）も満たす。

次に、図３－２に第２の監視装置１００－２のフローリスト記憶部１３０に記憶されるフローリストを示す。この点、上記（１）より、第１のエンド端末２００－１からＰＬＣ４００に対して送信するフレームのフレーム情報（図中のフローリスト項番１に相当）がフローリストに含まれる。かかるフレーム情報は上記（３）も満たす。

次に、図３－３に第Ｎの監視装置１００－Ｎのフローリスト記憶部１３０に記憶されるフローリストを示す。この点、第Ｎの監視装置１００－Ｎにはエンド端末２００は接続されていないため、第Ｎの監視装置１００－Ｎを経由するフレームは想定されない。そのため、何らのフレーム情報もフローリストに含まれない。

次に、図３－４に１００－Ｍのフローリスト記憶部１３０に記憶されるフローリストを示す。この点、上記（１）より、第１のエンド端末２００－１からＰＬＣ４００に対して送信するフレームのフレーム情報（図中のフローリスト項番１に相当）と、第２のエンド端末２００－２からＰＬＣ４００に対して送信するフレームのフレーム情報（図中のフローリスト項番２に相当）がフローリストに含まれる。加えて上記（２）より、ＰＬＣ４００から第２のエンド端末２００－２に対して送信するフレームのフレーム情報（図中のフローリスト項番３に相当）がフローリストに含まれる。これらのフレーム情報は上記（３）も満たす。

次に、このようにして記憶されているフローリストを利用して、監視を実行する際の動作について、図４のフローチャートを参照して説明をする。なお、今回は、１００－Ｍによる監視を例に取って説明するが、他の監視装置１００も同様の動作をするものとする。

まず、監視装置１００が入力フレームを受信すると、フレーム解析部１１０は受信した入力フレームを解析することにより、フレーム情報を抽出する（ステップＳ１１）。ここで、受信したフレームから抽出したフレーム情報の例を図５の上段に表２として示す。

今回、受信した入力フレームのフレーム情報が表２の順に６フレーム分抽出されたとする。なお、今回は、上記（１）乃至（３）により想定される正規のフレームが受信されているが、その後、しばらくするとＰＬＣ４００がウイルスに感染し、上記正規のフレーム以外の想定外の不適切なフレームが受信されている状況であると想定する。詳細については後述する。

また、フレーム解析部１１０に設定されている「動作設定」について、図５の下段に表３として示す。

表３に記載のように、本例では、受信したフレームから抽出したフレーム情報がフローリストに登録されているフレーム情報と一致した場合には、このフレーム情報の抽出元のフレームを通過させる。また、この場合に、通知は行なわず、ログも取らない。

一方で、表３に記載のように、本例では、受信したフレームから抽出したフレーム情報がフローリストに登録されているフレーム情報と一致しなかった場合には、このフレーム情報の抽出元のフレームを廃棄する。また、この場合に、その旨の通知を行うと共に、ログも取る。

次に、フレーム解析部１１０は抽出したフレーム情報とフローリスト記憶部１３０が記憶するフローリストを比較し、両者が一致するか否かを判定する（ステップＳ１２）。

ここで、例えば、表３における、入力順番号１のフレームのフレーム情報が判定の対象であったとする。この場合、表１－Ｍにおける、禁止リスト記憶部１３０に記憶されたフローリストの項番１と一致する（ステップＳ１２においてＹｅｓ）。また、例えば、表３における、入力順番号２のフレームのフレーム情報が判定の対象であったとする。この場合、表１－Ｍにおける、禁止リスト記憶部１３０に記憶されたフローリストの項番２と一致する（ステップＳ１２においてＹｅｓ）。更に、例えば、表３における、入力順番号３のフレームのフレーム情報が判定の対象であったとする。この場合、表１－Ｍにおける、禁止リスト記憶部１３０に記憶されたフローリストの項番３と一致する（ステップＳ１２においてＹｅｓ）。

そのため、これらの場合にはステップＳ１３に進む。

ステップＳ１３において、フレーム解析部１１０は、フローリストと一致したフレーム情報に対応する、入力順番号１のフレーム、入力順番号２のフレーム、及び入力順番号３のフレームに対して、フローリストと一致した場合の動作設定の指示に従い処理をする（ステップＳ１３）。

一致した場合は、上述したように、表３において「対応フレーム通過、通知しない、ログ取らない」となっているので、フレーム解析部１１０は、フレームにフレーム解析部１１０を含む監視装置１００を通過させることによりフレームを出力する。ただし、通知はせず、ログも取らない。

ステップＳ１３の処理が終了すると、ステップＳ１１に戻り、新たに受信したフレームを対象として、上述の各動作を繰り返す。

他方、ステップＳ１２において、フレーム情報がフローリストと一致しなかった場合は（ステップＳ１２においてＮｏ）、ステップＳ１４に進む。

例えば、表２における、入力順番号４のフレームのフレーム情報及び入力順番号５のフレームのフレーム情報が判定の対象であったとする。これらのフレームは、ＰＬＣ４００がウイルスに感染したことに起因してＰＬＣ４００から送信されたフレームであり正規のフレームで想定される宛先である第１のエンド端末２００－１ではなく、第２のエンド端末２００－２に対して送信されたフレームである。この場合、このようなフレームは想定しておらず、フローリストにもこのようなフレームに対応するフレーム情報は含まれていない。そのため、表１－Ｍにおける、禁止リスト記憶部１３０に記憶されたフローリストの項番１、項番２及び項番３の何れとも一致しない（ステップＳ１２においてＮｏ）。そのため、ステップＳ１４に進む。また、例えば、表２における、入力順番号６のフレームのフレーム情報が判定の対象であったとする。このフレームは、ＰＬＣ４００がウイルスに感染したことに起因してＰＬＣ４００から送信されたフレームであり正規のフレームで想定される第２のエンド端末２００－２に宛てられたものではあるが、正規のフレームで想定されるＩＰｖ４ではなく、ＩＰｖ６に準拠したフレームである。この場合、このようなフレームは想定しておらず、フローリストにもこのようなフレームに対応するフレーム情報は含まれていない。そのため、表１－Ｍにおける、禁止リスト記憶部１３０に記憶されたフローリストの項番１、項番２及び項番３の何れとも一致しない（ステップＳ１２においてＮｏ）。そのため、ステップＳ１４に進む。

ステップＳ１４において、フレーム解析部１１０は、フローリストと一致しなかったフレーム情報に対応する、入力順番号４のフレーム、入力順番号５のフレーム、及び入力順番号６のフレームに対して、フローリストと一致しなかった場合の動作設定の指示に従い処理をする（ステップＳ１４）。

一致しなかった場合は、上述したように、表３において「対応フレーム廃棄、通知する、ログ取る」となっているので、フレーム解析部１１０は、フレームを廃棄する。加えて、フレーム解析部１１０は、廃棄をした旨を設定用端末１０００に通知すると共に、廃棄した旨のログを取る。このとき、通知やログに廃棄したフレームの複製を含ませるようにすると良い。

ステップＳ１３の処理が終了すると、ステップＳ１１に戻り、新たに受信したフレームを対象として、上述の各動作を繰り返す。

上述した動作により、本実施形態では、フローリストと一致するフレーム情報を有するフレームはフレーム解析部１１０を含む監視装置１００を通過させ、フローリストと一致しないフレーム情報を有するフレームはフレーム解析部１１０にて廃棄させることが可能となる。

これにより、フローリストとフレーム情報が一致しない、想定外の不適切と考えられるフレームを廃棄できるので、ウイルス等に起因する悪意のあるフレームが第２のネットワーク９００で拡散するようなことを防止することができる。

一方で、フローリストとフレーム情報が一致する、想定内の適切と考えられるフレームを通過させることができるので、仮にウイルス等に起因する悪意のあるフレームが送信されているような状況となったとしても、適切なフレームによる通信は継続することができる。つまり、一部のエンド端末２００がウイルスに感染した場合に、速やかにこのエンド端末２００を隔離できなかったとしても、可用性を保つことができる。

＜第２の実施形態＞
次に、第２の実施形態について説明をする。上述した第１の実施形態では、（１）（２）及び（３）と例示したような、エンド端末２００間で送受信することが想定される正規のフレームに対応するフレーム情報が、設定用端末１０００により設定され、これに応じて、フローリストがフローリスト生成部１２０に作成され、フローリスト記憶部１３０に記憶されていた。

これに対して、本実施形態では、フローリスト生成部１２０が設定用端末１０００による設定を要すること無く、フローリストの少なくとも一部を自動生成する機能を備える。

この点について、図６及び図７を参照して説明をする。なお、本実施形態と第１の実施形態とで共通する部分については、再度の説明を省略する。

図６に示すように、本実施形態では、設定用端末１０００が、上述した「フロー設定」や「動作設定」のみならず、「登録期間設定」を行う。

具体的には、フレーム解析部１１０には、設定用端末１０００により「登録期間設定」と「動作設定」の２つの設定がなされる。

ここで、本実施形態では、上述したように登録期間と運用期間の２つがあるが、登録期間設定により、登録期間と運用期間を切り換える設定が行われる。また、一度登録期間に設定されてから所定時間が経過すると、自動的に運用期間に遷移するようにする。かかる所定時間の長さは、環境に応じて任意に設定することができる。例えば、エンド端末２００間で送受信されるフレームの内容が限定されているような環境下において、１時間あれば、限定されているフレームが全て送受信されるような場合であれば、上記の所定時間を１時間とすると良い。これが、限定されているフレームが全て送受信されるのに一週間を要するような場合であれば、上記の所定時間を一週間とすると良い。

そして、フレーム解析部１１０は、入力フレーム受信時、登録期間であった場合、フレーム情報を受信した入力フレームから抽出し、後述のフローリスト生成部１２０に渡す。

そして、フローリスト生成部１２０は、渡されたフレーム情報を、想定される正規のフレームのフレーム情報として、フローリスト記憶部１３０が記憶するフローリストに追加する。このようにすることにより、登録期間においてフローリストを自動生成することができる。なお、登録期間において、受信したフレームについては、動作設定の指示に従い処理をする。

例えば、「対応フレーム通過、通知しない、ログ取らない」となっているのであれば、フレーム解析部１１０は、フレームにフレーム解析部１１０を含む監視装置１００を通過させることによりフレームを出力する。ただし、通知はせず、ログも取らない。

その後、所定時間が経過して、又は、設定用端末１０００からの操作にて、運用期間に遷移したならば、フローリスト生成部１２０は、かかるフローリストの自動生成の処理を終了する。その後の、運用期間における本実施形態の動作は、第１の実施形態の動作と同じとなる。なお、本実施形態においても、設定用端末１０００からのフロー設定の操作によってフローリストからフロー情報を一部削除したり、フローリストにフロー情報を追加したりすることは可能であるとする。

次に、図７のフローチャートを参照して、登録期間における本実施形態の動作について説明をする。なお、以下では、１００－Ｍの動作を例に取って説明するが、他の監視装置１００も同様の動作を行うものとする。

監視装置１００は、まずフレーム解析部１１０が登録期間に設定されているか否かを判定する（ステップＳ２１）。ここで、登録期間に設定されているならば（ステップＳ２１においてＹｅｓ）、ステップＳ２２に進む。一方で、登録期間に設定されていないならば（ステップＳ２１においてＮｏ）、すなわち、運用期間に設定されているのであれば、図４を参照して説明をしたステップＳ１１乃至ステップＳ１４の処理を行う。かかる、ステップＳ１１乃至ステップＳ１４の処理の内容は、第１の実施形態と同様である。

ステップＳ２２では、フレーム解析部１１０が受信したフレームを解析し、フレーム情報を抽出する。そして、抽出したフレーム情報を、フローリスト生成部１２０に渡す（ステップＳ２２）。

登録期間において受信したフレームから抽出したフレーム情報の例を図８の上段に表４－Ｍとして示す。今回、受信した入力フレームのフレーム情報が表４－Ｍの順に３フレーム分フローリスト生成部１２０に渡されるとする。具体的には、上述した、上記（１）より、第１のエンド端末２００－１からＰＬＣ４００に対して送信するフレームのフレーム情報（図中のフローリスト項番１に相当）と、第２のエンド端末２００－２からＰＬＣ４００に対して送信するフレームのフレーム情報（図中のフローリスト項番２に相当）がフローリストに含まれる。加えて上記（２）より、ＰＬＣ４００から第２のエンド端末２００－２に対して送信するフレームのフレーム情報（図中のフローリスト項番３に相当）がフローリストに含まれる。これらのフレーム情報は上記（３）も満たす。

次に、フローリスト生成部１２０は、渡されたフレーム情報を、フレーム解析部１１０が参照できるデータ構造に変換してフローリストとする。そして、作成したフローリストを、フローリスト記憶部１３０に記憶させる（ステップＳ２３）。

以上の処理により、図３－４の表１－Ｍと同様のフローリストがフローリスト記憶部１３０に記憶される。つまり、本実施形態でのフローリストの自動生成を実現することができる。

一方で、フレーム解析部１１０は、フレーム情報を抽出後、受信した入力順番号１のフレーム、入力順番号２のフレーム、及び入力順番号３のフレームに対して、登録期間における動作設定の指示に従い処理をする（ステップＳ２４）。ここで、図８の下段に表５に示すように、登録期間における動作設定が「対応フレーム通過、通知しない、ログ取らない」となっていたとする。するとフレーム解析部１１０は、かかる動作設定に従い、入力順番号１のフレーム、入力順番号２のフレーム、及び入力順番号３のフレーム、のそれぞれにフレーム解析部１１０を含む監視装置１００を通過させることによりフレームを出力する。ただし、通知はせず、ログも取らない。

次に、ステップＳ２５において、登録期間となってから所定時間が経過しているかを確認する。ここで、経過しているのであれば（ステップＳ２５においてＹｅｓ）、ステップＳ２６として、図４を参照して説明をしたステップＳ１１乃至ステップＳ１４の処理を行う。かかる、ステップＳ１１乃至ステップＳ１４の処理の内容は、第１の実施形態と同様である。

一方で、経過していないのであれば（ステップＳ２５においてＮｏ）、ステップＳ２２に戻り、新たに受信したフレームを対象として、上述の各動作を繰り返す。

上述した動作により、本実施形態では、登録期間開始から所定時間が経過するまでの間、フローリストを自動生成できると共に、受信したフレームはフレーム解析部１１０を通過させることが可能となる。従って、通常通りにフレームを送受信しながら、フローリストを自動生成させることができ、管理者等のユーザが、設定用端末１０００を用いてフロー設定を行う手間を省くことが可能となる。

上記の監視装置、エンド端末及び設定用端末のそれぞれは、ハードウェア、ソフトウェア又はこれらの組み合わせによりそれぞれ実現することができる。また、上記の監視装置、エンド端末及び設定用端末により行なわれる中継方法も、ハードウェア、ソフトウェア又はこれらの組み合わせにより実現することができる。ここで、ソフトウェアによって実現されるとは、コンピュータがプログラムを読み込んで実行することにより実現されることを意味する。

プログラムは、様々なタイプの非一時的なコンピュータ可読媒体(non-transitory computer readable medium)を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体(tangible storage medium)を含む。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えば、フレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば、光磁気ディスク）、ＣＤ－ＲＯＭ(Read Only Memory)、ＣＤ－Ｒ、ＣＤ－Ｒ／Ｗ、半導体メモリ（例えば、マスクＲＯＭ、ＰＲＯＭ(Programmable ROM)、ＥＰＲＯＭ(Erasable PROM)、フラッシュＲＯＭ、ＲＡＭ(random access memory）)を含む。

また、上述した実施形態は、本発明の好適な実施形態ではあるが、上記実施形態のみに本発明の範囲を限定するものではなく、本発明の要旨を逸脱しない範囲において種々の変更を施した形態での実施が可能である。

例えば、以下のように各実施形態を変形することが可能である。

上述の各実施形態では、スイッチ３００とＰＬＣ４００の間、又は、スイッチ３００とエンド端末２００の間に監視装置１００を接続していた。つまり、経路選択を行うスイッチ３００と、監視を行う監視装置１００とを別個の装置として実現していた。

しかしそうするのではなく、図９に示すセキュリティスイッチ２０００のように、１つの装置にスイッチ３００としての経路選択機能を持たせると共に、かかるスイッチ３００の各ポートに監視装置１００としての監視機能を持たせるようにしても良い。このようにすれば、セキュリティスイッチ２０００という単体の装置で、経路選択及び監視を実行することができるので良い。単体の監視装置１００と、セキュリティスイッチ２０００の双方が１つのネットワーク内に混在するようにしても良い。

また、他にも、図１０に示すように、エンド端末２００が通信を行うためのＮＩＣ（Network Interface Card）として監視装置１００を実装し、監視装置１００とエンド端末２００との組で１つの通信装置３０００を実現するようにしても良い。なお、ＰＬＣ４００のＮＩＣを監視装置１００で実現して、単一の装置とするようにしても良い。また、単体の監視装置１００と、通信装置３０００の双方が１つのネットワーク内に混在するようにしても良いし、更に、セキュリティスイッチ２０００が混在するようにしても良い。

更に、他にも、上述の各実施形態では、フローリストと一致した場合の動作設定、フローリストと不一致した場合の動作設定、及び登録期間における動作設定は、各監視装置１００にて共通する内容に設定されると想定していた。しかしながら、このようにするのではなく、各監視装置１００にて設定される内容が異なるようにしても良い。例えば、第１の監視装置１００－１では、フローリストと不一致した場合に、通知をするように設定する一方で、第１の監視装置１００－１では、フローリストと不一致した場合であっても通知をしないように設定するようにしても良い。

また、上述の各実施形態では、第２のネットワーク９００が、第１のネットワーク８００に接続していたが、必ずしも第１のネットワーク８００に接続する必要はない。第１のネットワーク８００に接続していない場合であっても、例えば、悪意を持っているユーザが社内ネットワークに不正なエンド端末２００を接続したような場合に発生する悪意のあるフレームを検出することができる。

上述の第２の実施形態では、登録期間となってから所定時間経過後に運用期間となり、動作を継続していた。この場合に、運用期間から再度登録期間に遷移し、遷移後所定時間が経過したならば、再度運用期間に遷移するようにしても良い。つまり、再登録を行うことにより、フローリストを更新するようにしても良い。

例えば、運用期間遷移後に、新たにエンド端末を追加した場合に、再登録を行うことにより、かかる追加したエンド端末に関するフレームをフローリストに追加するようにしても良い。この場合に、フローリストをまっさらな状態として、ゼロからフローリストを作りなおしても良いし、既存のフローリストに新たにフレーム情報を追加するようにしても良い。

更に、各実施形態の動作の説明において、フローチャートを参照しながら、受信した複数のフレーム情報について並列に説明を行ったが、このように複数のフレームについて一度に動作を行うのではなく、フレーム情報を１つ受信する度に動作を行うようにしても良い。つまり、フレーム１つを受信する度に、上記の各ステップを実行するようにしても良い。

上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。

（付記１） 所定の処理の対象とするデータの条件のリストを記憶する記憶手段と、
データの解析を行う解析手段と、
を備えた監視装置であって、
前記解析手段は、経路選択を行う中継装置を介することなく自監視装置に接続された端末が送受信するデータを解析し、該解析結果が前記リストに含まれる何れかの条件と一致するならば該解析結果に対応する受信データに対して前記所定の処理を行ない、該比較した解析結果が前記リストに含まれる何れかの条件と一致しないならば該データに対応する受信データに対して前記所定の処理以外の処理を行なうことを特徴とする監視装置。

（付記２） 前記所定の処理とは、前記データを該データの送信元が指定する宛先に送信するための処理であり、前記所定の処理以外の処理とは前記データを該データの送信元が指定する宛先に送信することを含まない処理であることを特徴とする付記１に記載の監視装置。

（付記３） 前記解析手段は、前記経路選択を行う中継装置を介することなく自監視装置に接続された端末が送受信する全てのデータを対象として動作することを特徴とする付記１又は２に記載の監視装置。

（付記４） 前記解析手段は、所定の期間において、端末が送受信するデータを解析し、該解析結果を前記所定の処理の対象とするデータの条件として前記リストに追加することを特徴とする付記１乃至３の何れか１に記載の監視装置。

（付記５） 前記解析手段は、前記所定の処理及び前記所定の処理以外の処理の何れか又は双方の処理の一環として、前記解析結果が前記リストに含まれる何れかの条件と一致したか否かの結果を外部に対して通知することを特徴とする付記１乃至４の何れか１に記載の監視装置。

（付記６） 付記１乃至５の何れか１に記載の監視装置を複数含むと共に、前記端末も複数含む通信システムであって、
前記複数の端末のそれぞれが、前記複数の監視装置の何れかと１対１で接続されることを特徴とする通信システム。

（付記７） 付記１乃至５の何れか１に記載の監視装置を複数含むと共に、前記端末を接続するための複数のポートも複数含むスイッチであって、
前記ポートのそれぞれは、前記複数の監視装置の内の少なくとも何れかに対応し、
前記端末のそれぞれは、自端末が接続されるポートに対応する監視装置にも接続されることを特徴とするスイッチ。

（付記８） 付記１乃至５の何れか１に記載の監視装置と該監視装置に接続された前記端末とを含む通信装置であって、
該通信装置に含まれる前記端末は、該通信装置に含まれる前記監視装置を介して通信を行うことを特徴とする通信装置。

（付記９） 所定の処理の対象とするデータの条件のリストを記憶する記憶手段を備えた監視装置が行う監視方法であって、
経路選択を行う中継装置を介することなく自監視装置に接続された端末が送受信するデータを解析し、該解析結果が前記リストに含まれる何れかの条件と一致するならば該解析結果に対応する受信データに対して前記所定の処理を行ない、該比較した解析結果が前記リストに含まれる何れかの条件と一致しないならば該データに対応する受信データに対して前記所定の処理以外の処理を行なうことを特徴とする監視方法。

（付記１０） 所定の処理の対象とするデータの条件のリストを記憶する記憶手段を備えたコンピュータを監視装置として機能させる監視プログラムであって、
前記コンピュータを、
経路選択を行う中継装置を介することなく自監視装置に接続された端末が送受信するデータを解析し、該解析結果が前記リストに含まれる何れかの条件と一致するならば該解析結果に対応する受信データに対して前記所定の処理を行ない、該比較した解析結果が前記リストに含まれる何れかの条件と一致しないならば該データに対応する受信データに対して前記所定の処理以外の処理を行なう監視装置として機能させることを特徴とする監視プログラム。

本発明は、中継装置におけるセキュリティ対策に好適である。

１００－１ 第１の監視装置
１００－２ 第２の監視装置
１００－Ｎ 第Ｎの監視装置
１００－Ｍ 第Ｍの監視装置
１１０ フレーム解析部
１２０ フローリスト生成部
１３０ フローリスト記憶部
２００－１ 第１のエンド端末
２００－２ 第２のエンド端末
３００ スイッチ
４００ ＰＬＣ
５００ ＰＣ
６００ ファイアウォール装置
７００ インターネット
８００ 第１のネットワーク
９００ 第２のネットワーク
１０００ 設定用端末
２０００ セキュリティスイッチ
３０００ 通信装置

Claims (12)

1. 第１の通信ポートを備える複数のエンド端末と、
   第２および第３の通信ポートを備え、前記エンド端末を制御するＰＬＣ装置と、
   第４および第５の通信ポートを備える複数の監視部と、
   転送部と、
   を含む通信システムであって、
   前記第１の通信ポートおよび前記第２の通信ポートは、各々個別の前記第４の通信ポートと接続され、
   前記第５の通信ポートは、前記転送部に接続され、
   前記第３の通信ポートは第１のネットワークに接続され、
   前記ＰＬＣ装置は前記エンド端末に対し制御フレームを送信し、
   前記エンド端末は、他の前記エンド端末または前記ＰＬＣ装置との間でフレームを送受信し、
   前記監視部は、
   自装置の前記第４の通信ポートが接続されている前記第１の通信ポートから送信された、または自装置の前記第４の通信ポートが接続されている前記第２の通信ポートから送信された、あるいは、自装置の前記第４の通信ポートが接続されている前記第１の通信ポートで受信する、または自装置の前記第４の通信ポートが接続されている前記第２の通信ポートで受信する、フレームの解析を行う解析手段と、
   前記フレームが正規のフレームであるかを判断する基準と、前記基準に合致する場合に行う処理、又は、合致しない場合に行う処理の少なくとも一方と、を記憶する記憶手段と、を備え、
   前記転送部は、各前記第５の通信ポート間で送受信されるフレームを転送し、
   前記転送部と前記複数の監視部とは同じ筐体に格納されている
   ことを特徴とする通信システム。
2. 第１の通信ポートを備える複数のエンド端末と、
   第２および第３の通信ポートを備え、前記エンド端末を制御するＰＬＣ装置と、
   第４および第５の通信ポートを備える複数の監視部と、
   転送部と、
   を含む通信システムであって、
   前記第１の通信ポートおよび前記第２の通信ポートは、各々個別の前記第４の通信ポートと接続され、
   前記第５の通信ポートは、前記転送部に接続され、
   前記第３の通信ポートは第１のネットワークに接続され、
   前記ＰＬＣ装置は前記エンド端末に対し制御フレームを送信し、
   前記エンド端末は、他の前記エンド端末または前記ＰＬＣ装置との間でフレームを送受信し、
   前記監視部は、
   自装置の前記第４の通信ポートが接続されている前記第１の通信ポートから送信された、または自装置の前記第４の通信ポートが接続されている前記第２の通信ポートから送信された、あるいは、自装置の前記第４の通信ポートが接続されている前記第１の通信ポートで受信する、または自装置の前記第４の通信ポートが接続されている前記第２の通信ポートで受信する、フレームの解析を行う解析手段と、
   前記フレームが正規のフレームであるかを判断する基準と、前記基準に合致する場合に行う処理、又は、合致しない場合に行う処理の少なくとも一方と、を記憶する記憶手段と、を備え、
   前記転送部は、各前記第５の通信ポート間で送受信されるフレームを転送し、
   前記エンド端末と当該エンド端末と接続される前記監視部とは同じ筐体に格納されている
   ことを特徴とする通信システム。
3. 第１の通信ポートを備える複数のエンド端末と、
   第２および第３の通信ポートを備え、前記エンド端末を制御するＰＬＣ装置と、
   第４および第５の通信ポートを備える複数の監視部と、
   転送部と、
   を含む通信システムであって、
   前記第１の通信ポートおよび前記第２の通信ポートは、各々個別の前記第４の通信ポートと接続され、
   前記第５の通信ポートは、前記転送部に接続され、
   前記第３の通信ポートは第１のネットワークに接続され、
   前記ＰＬＣ装置は前記エンド端末に対し制御フレームを送信し、
   前記エンド端末は、他の前記エンド端末または前記ＰＬＣ装置との間でフレームを送受信し、
   前記監視部は、
   自装置の前記第４の通信ポートが接続されている前記第１の通信ポートから送信された、または自装置の前記第４の通信ポートが接続されている前記第２の通信ポートから送信された、あるいは、自装置の前記第４の通信ポートが接続されている前記第１の通信ポートで受信する、または自装置の前記第４の通信ポートが接続されている前記第２の通信ポートで受信する、フレームの解析を行う解析手段と、
   前記フレームが正規のフレームであるかを判断する基準と、前記基準に合致する場合に行う処理、又は、合致しない場合に行う処理の少なくとも一方と、を記憶する記憶手段と、を備え、
   前記転送部は、各前記第５の通信ポート間で送受信されるフレームを転送し、
   前記ＰＬＣ装置と当該ＰＬＣ装置と接続される前記監視部とは同じ筐体に格納されている
   ことを特徴とする通信システム。
4. 第１の通信ポートを備える複数のエンド端末と、
   第２および第３の通信ポートを備え、前記エンド端末を制御するＰＬＣ装置と、
   第４および第５の通信ポートを備える複数の監視部と、
   転送部と、
   を含む通信システムであって、
   前記第１の通信ポートおよび前記第２の通信ポートは、各々個別の前記第４の通信ポートと接続され、
   前記第５の通信ポートは、前記転送部に接続され、
   前記第３の通信ポートは第１のネットワークに接続され、
   前記ＰＬＣ装置は前記エンド端末に対し制御フレームを送信し、
   前記エンド端末は、他の前記エンド端末または前記ＰＬＣ装置との間でフレームを送受信し、
   前記監視部は、
   自装置の前記第４の通信ポートが接続されている前記第１の通信ポートから送信された、または自装置の前記第４の通信ポートが接続されている前記第２の通信ポートから送信された、あるいは、自装置の前記第４の通信ポートが接続されている前記第１の通信ポートで受信する、または自装置の前記第４の通信ポートが接続されている前記第２の通信ポートで受信する、フレームの解析を行う解析手段と、
   前記フレームが正規のフレームであるかを判断する基準と、前記基準に合致する場合に行う処理、又は、合致しない場合に行う処理の少なくとも一方と、を記憶する記憶手段と、を備え、
   前記転送部は、各前記第５の通信ポート間で送受信されるフレームを転送し、
   前記エンド端末と接続される前記監視部は、それぞれ、前記転送部または当該エンド端末と同じ筐体に格納され、
   前記ＰＬＣ装置と接続される前記監視部は、前記転送部または当該ＰＬＣ装置と同じ筐体に格納されている
   ことを特徴とする通信システム。
5. 前記ＰＬＣ装置と当該ＰＬＣ装置と接続される前記監視部とは同じ筐体に格納されている
   ことを特徴とする請求項２に記載の通信システム。
6. 前記転送部は、レイヤ２による転送を行う
   ことを特徴とする請求項１乃至５のいずれか１項に記載の通信システム。
7. 前記監視部は、
   解析した結果が前記基準の何れかと一致する場合、第１の処理を行い、
   前記解析した結果が前記基準の全てと一致しない場合、第２の処理を行う
   ことを特徴とする請求項１乃至６のいずれか１項に記載の通信システム。
8. 前記第１の処理は、前記フレームを前記フレームの送信元が指定する宛先に送信するための処理であり、
   前記第２の処理は、前記フレームを前記フレームの送信元が指定する宛先に送信しない処理である
   ことを特徴とする請求項７に記載の通信システム。
9. 前記解析手段は、
   所定の期間において、前記解析した結果を前記基準に追加する
   ことを特徴とする請求項１乃至８の何れか１項に記載の通信システム。
10. 前記解析手段は、
    前記第１の処理及び前記第２の処理の何れか又は双方の処理の一環として、前記解析した結果が前記基準のいずれかと一致したか否かの結果を外部に対して通知する
    ことを特徴とする請求項７又は８に記載の通信システム。
11. 前記フレームの宛先は、前記ＰＬＣ装置または前記エンド端末のいずれかであることを特徴する請求項１乃至１０の何れか１項に記載の通信システム。
12. 前記第１の通信ポートおよび前記第２の通信ポートは、すべて各々前記監視部の前記第４の通信ポートに接続されている
    ことを特徴とする請求項１乃至１１の何れか１項に記載の通信システム。

Images