JP7318711B2 - 異常検知装置、異常検知方法、及びプログラム - Google Patents

Description

本発明は、制御システムの異常を検知する異常検知装置、異常検知方法に関し、更には、これらを実現するためのプログラムに関する。

近年、制御システムに関するインシデント報告が年々増加しており、制御システム対する高度なセキュリティ対策が求められている。

制御システムのセキュリティ対策として、例えば、特許文献１には、制御指示間隔（例えば、コマンド間隔）の許容時間を用いて、制御システムへの攻撃によるシーケンス異常を迅速に検知する監視制御装置が開示されている。その監視制御装置は、まず、監視制御装置が有する学習部に、制御対象を制御する論理制御装置から制御対象へ順次発行される制御指示からなる制御指示パターンを、事前学習させる。続いて、監視制御装置は、論理制御装置から制御対象への制御指示と、事前学習したデータベースに記憶されている制御指示とを比較し、論理制御装置の異常を検知する。

特開２０１８－０２２２９６号公報

しかしながら、特許文献１に開示の監視制御装置は、上述したように制御指示パターンを事前学習しているが、それぞれの制御指示の順序とそれぞれの間隔の許容時間を事前にデータベースに記憶しているだけである。また、制御指示間隔の許容時間は、許容可能な閾値（最大値）を用いているだけである。そのため、制御システムへの高度な攻撃に対処することは困難である。すなわち、特許文献１に開示の監視制御装置は、単一のシーケンスで構成される制御システムにおける異常は検知できるが、複数のシーケンスで構成される制御システムでは異常を検知することが困難である。

また、特許文献１に開示の監視制御装置は、トラフィックの集中などによりパケットが遅延した場合に異常を誤検知したり、管理制御サーバのマルウェア感染又は悪意のあるオペレータによる不正操作によりパケット間隔が変更されたりした場合、異常を検知することが困難である。

本発明の目的の一例は、制御システムにおける異常検知の精度を向上させる異常検知装置、異常検知方法、及びプログラムを提供することにある。

上記目的を達成するため、本発明の一側面における異常検知装置は、
学習において、学習用パケットを種別し、パケット種別ごとに算出したパケット間隔と、前記パケット間隔の発生頻度を表す度数とを用いて、前記パケット種別の周期を特定する、周期特定部と、
前記周期に基づいて、前記パケット種別の順序を表すシーケンス情報と、当該シーケンス情報が有する前記パケット間の時間分布情報とを有するシーケンス特徴量を抽出する、特徴抽出部と、
を有することを特徴とする。

また、上記目的を達成するため、本発明の一側面における異常検知方法は、
（ａ）学習において、学習用パケットを種別し、パケット種別ごとに算出したパケット間隔と、前記パケット間隔の発生頻度を表す度数とを用いて、前記パケット種別の周期を特定する、ステップと、
（ｂ）前記周期に基づいて、前記パケット種別の順序を表すシーケンス情報と、当該シーケンス情報が有する前記パケット間の時間分布情報とを有するシーケンス特徴量を抽出する、ステップと、
を有することを特徴とする。

更に、上記目的を達成するため、本発明の一側面におけるプログラムは、
コンピュータに、
（ａ）学習において、受信した学習用パケットを種別し、パケット種別ごとに算出したパケット間隔と、前記パケット間隔の発生頻度を表す度数とを用いて、前記パケット種別の周期を特定する、ステップと、
（ｂ）前記周期に基づいて、前記パケット種別の順序を表すシーケンス情報と、当該シーケンス情報が有する前記パケット間の時間分布情報とを有するシーケンス特徴量を抽出する、ステップと、
を実行させることを特徴とする。

以上のように本発明によれば、制御システムにおける異常検知の精度を向上させることができる。

図１は、異常検知装置の一例を説明するための図である。 図２は、異常検知装置を有するシステムの一例を説明するための図である。 図３は、パケットの種別を説明するための図である。 図４は、パケットＡにおける、パケット間隔と度数との関係を説明するための図である。 図５は、種別したパケット、パケット間隔、度数を関連付けた情報のデータ構造の一例を説明するための図である。 図６は、パケットの分類を説明するための図である。 図７は、シーケンス情報を説明するための図である。 図８は、シーケンス特徴量のデータ構造の一例を説明するための図である。 図９は、学習フェーズにおける異常検知装置の動作の一例を説明するための図である。 図１０は、運用フェーズにおける異常検知装置の動作の一例を説明するための図である。 図１１は、異常検知装置を実現するコンピュータの一例を示す図である。

（実施の形態）
以下、本発明の実施の形態について、図１から図１１を参照しながら説明する。

［装置構成］
最初に、図１を用いて、本実施の形態における異常検知装置１の構成について説明する。図１は、異常検知装置の一例を説明するための図である。

図１に示す異常検知装置１は、制御システムにおける異常検知の精度を向上させる装置である。また、図１に示すように、異常検知装置１は、周期特定部２と、特徴抽出部３とを有する。

このうち、周期特定部２は、学習において、学習用パケットを種別し、パケット種別ごとに算出したパケット間隔と、パケット間隔の発生頻度を表す度数とを用いて、パケット種別の周期を特定する。特徴抽出部３は、周期に基づいて、パケット種別の順序を表すシーケンス情報と、当該シーケンスが有するパケット間の時間分布情報とを有するシーケンス特徴量を抽出する。

このように、本実施の形態においては、学習フェーズにおいて、抽出したシーケンス特徴量を用いることで、運用フェーズにおいて、制御システムに発生した異常を検知する精度を向上させることができる。具体的には、運用フェーズにおいて、制御システムから受信したパケットを用いて、学習において抽出したシーケンス特徴量を参照して、異常を検知することで、制御システムに発生した異常を検知する精度を向上させることができる。

また、複数の異なるシーケンスで構成される制御システムでも、それぞれのシーケンス特徴量を抽出できるため、異常を精度よく検知することができる。

［システム構成］
続いて、図２を用いて、本実施の形態における異常検知装置１の構成をより具体的に説明する。図２は、異常検知装置を有する制御システムの一例を説明するための図である。図２に示す異常検知装置１は、制御システム２０とネットワークを介して接続されている。ただし、異常検知装置１は、ネットワークを介さずに制御システム２０に接続してもよい。

制御システム２０は、例えば、プラント、工場、車両、家電などに構築される、情報処理装置、コントローラ、機器、ネットワークなどを有するシステムである。そのうち、情報処理装置は、例えば、サーバ、電子制御基板、プロセッサなどである。機器は、例えば、センサ、アクチュエータなどである。

また、制御システム２０における異常とは、制御システム２０への攻撃などにより発生する異常である。攻撃とは、例えば、マルウェア又は悪意のあるオペレータが、制御システム２０に、不正コマンドなどを挿入したり、シーケンスを改ざんしたりすることで、制御システム２０を不適切な状態にする攻撃などである。例えば、ホワイトリスト方式などの手法を用いても、検知が難しい攻撃も存在する。

次に、図２に示すように、本実施の形態における異常検知装置１は、周期特定部２、特徴抽出部３に加えて、検知部２１、出力情報生成部２２を有する。また、異常検知装置１には、出力装置２３が接続されている。

異常検知装置の学習フェーズについて説明をする。
異常検知装置１は、学習フェーズにおいて、周期特定部２と、特徴抽出部３とを用いて、シーケンス特徴量を抽出し、不図示の記憶部に記憶する。なお、記憶部は、異常検知装置１内に設けてもよいし、異常検知装置１の外部に設けてもよい。

周期特定部２は、学習フェーズにおいて、学習用パケットを種別したパケット種別ごとに算出したパケット間隔と、算出したパケット間隔の発生頻度を表す度数とを用いて、パケット種別の周期を決定する。その後、周期特定部２は、決定したパケット種別の周期を記憶部に記憶する。

具体的には、周期特定部２は、学習フェーズにおいて、制御システム２０が正常に運用されている場合に、制御システム２０から時系列にパケット（学習用パケット）を受信する。ただし、学習用パケットは、あらかじめ記憶部に記憶しておいてもよい。

続いて、周期特定部２は、例えば、学習用パケットの種類（例えば、リード、ライトなどの種類）に基づいて、学習用パケットを種別する。図３は、パケットの種別を説明するための図である。例えば、図３に示すように、周期特定部２は、所定時間において、正常に運用されている制御システム２０から、時系列に取得した学習用パケットを種別する。図３の例では、学習用パケットをパケット種別Ａ、Ｂ、Ｃ、Ｄ、Ｅに種別している。

続いて、周期特定部２は、パケット種別ごとにパケット間隔を算出する。例えば、図３に示すように、周期特定部２は、パケットＡからＤについて、パケット間隔を算出する。その後、周期特定部２は、所定時間において、パケット間隔が発生する頻度、すなわち度数を算出する。図４は、パケットＡにおける、パケット間隔と度数との関係を説明するための図である。

続いて、周期特定部２は、パケット種別と、パケット種別ごとのパケット間隔と、そのパケット間隔に対応する度数とを関連付けて、記憶部に記憶する。図５は、種別したパケット、パケット間隔、度数を関連付けた情報のデータ構造の一例を説明するための図である。

続いて、周期特定部２は、パケット間隔と、そのパケット間隔に対応する度数とを用いて、パケット種別の周期を決定する。例えば、周期特定部２は、度数が最大となるパケット間隔のうち最小となるパケット間隔を選択し、選択したパケット間隔に基づいて周期を決定する。図５の例では、周期特定部２は、最大の度数が２００に対応するパケット間隔のうちから、最小のパケット間隔である４０［ｍｓ］を選択して、周期を４０［ｍｓ］に決定する。

続いて、周期特定部２は、パケットＡ以外に、パケット間隔４０［ｍｓ］を有するパケットを検出して除外する。すなわち、図５の例では、パケットＢ、Ｃを除外する。そうすると、パケットＤ、Ｅが残るので、同様に、度数が最大となるパケット間隔のうち最小となるパケット間隔を選択する。その結果、図５の例では、周期特定部２は、最大の度数が５０に対応するパケット間隔のうちから、最小のパケット間隔である１００［ｍｓ］を選択して、周期を１００［ｍｓ］に決定する。

なお、図５の例では、パケットＡ、Ｂ、Ｃはパケット間隔４０［ｍｓ］のみで構成され、パケットＤ、Ｅは４０［ｍｓ］を含まない状態となっているが、一つのパケット種別に複数の周期が含まれてもよい。例えば、パケットＦにパケット間隔が４０［ｍｓ］と９０［ｍｓ］とが混在した場合、パケット間隔４０［ｍｓ］についての処理では、パケットＦの中でも４０［ｍｓ］のものだけを除外（＝使用済み）する。また、９０［ｍｓ］のものは残されたままとする。

続いて、周期特定部２は、決定した周期に基づいて、種別したパケットを分類する。図６は、パケットの分類を説明するための図である。図６の例では、周期特定部２は、図５の例において、４０［ｍｓ］、１００［ｍｓ］を周期として決定したので、周期４０［ｍｓ］を有するパケットＡ、Ｂ、Ｃと、周期１００［ｍｓ］を有するパケットＤ、Ｅとに分類される。

なお、周期特定部２は、正常時において度数が所定値未満の場合、当該度数と、それに対応するパケット間隔とを用いて、周期を決定しなくてもよい。所定値は、実験、シミュレーションなどにより決定する。

特徴抽出部３は、学習フェーズにおいて、周期ごとに、種別したパケットの順序を表すシーケンス情報と、当該シーケンスが有するパケット間の時間分布情報とを有するシーケンス特徴量を抽出する。具体的には、特徴抽出部３は、周期ごとに分類したパケットを取得し、当該周期と同じ周期又は倍数の周期を用いて、シーケンス情報を生成する。

図７は、シーケンス情報を説明するための図である。図７の例では、特徴抽出部３は、図６の例に示した、周期４０［ｍｓ］のパケットＡ、Ｂ、Ｃを用いて、時系列に記憶された学習用パケットを参照して、図７のＡに示すような、周期４０［ｍｓ］のパケットＡ、Ｂ、Ｃに対応するシーケンスを生成する。

図７のＡに示すシーケンスは、パケットＡを受信してから１［ｍｓ］後に新たにパケットＡを受信し、新たにパケットＡを受信してから１［ｍｓ］後にパケットＢを受信し、パケットＢを受信してから１［ｍｓ］後にパケットＣを受信し、パケットＣを受信してから３７［ｍｓ］後に当初のパケットＡに相当するパケットＡを受信することを示すシーケンスである。

また、図７の例では、特徴抽出部３は、図６の例において分類した、周期１００［ｍｓ］のパケットＤ、Ｅを用いて、時系列に記憶された学習用パケットを参照して、図７のＢに示すような、周期１００［ｍｓ］のパケットＤ、Ｅに対応するシーケンスを生成する。

図７のＢに示すシーケンスは、パケットＤを受信してから１０［ｍｓ］後にパケットＥを受信し、パケットＥを受信してから９０［ｍｓ］後に当初のパケットＤに相当するパケットＤを受信することを示すシーケンスである。

続いて、特徴抽出部３は、上述したシーケンスが有するパケット間の時間分布を算出する。パケット間の時間分布は、例えば、平均、分散、標準偏差などである。

続いて、特徴抽出部３は、シーケンスを識別する識別情報（シーケンスＩＤ）と、パケットの順序を表すシーケンス情報と、パケット間の時間分布を表す時間分布情報とを関連付けたシーケンス特徴量を、記憶部に記憶する。

図８は、シーケンス特徴量のデータ構造の一例を示す図である。図８の例では、シーケンス特徴量は、周期４０［ｍｓ］に対応するシーケンスに対して「シーケンスＩＤ」として「１」を付し、周期１００［ｍｓ］に対応するシーケンスに対して「シーケンスＩＤ」として「２」を付している。

また、「シーケンスＩＤ」の「１」には、周期４０［ｍｓ］に対応する順序「Ａ、Ａ、Ｂ、Ｃ」が関連付けられている。「シーケンスＩＤ」の「２」には、周期１００［ｍｓ］に対応する順序「Ｄ、Ｅ」が関連付けられている。

また、「シーケンスＩＤ」「１」に示されたパケット「Ａ」「Ａ」「Ｂ」「Ｃ」それぞれには、パケット「Ａ」「Ａ」「Ｂ」「Ｃ」それぞれに対応する「パケット間時間分布」（「平均［ｍｓ］」「分散［ｍｓ^２］」……）が関連付けられている。「シーケンスＩＤ」「２」に示されたパケット「Ｄ」「Ｅ」それぞれには、パケット「Ｄ」「Ｅ」それぞれに対応する「パケット間時間分布」（「平均［ｍｓ］」「分散［ｍｓ^２］」……）が関連付けられている。

異常検知装置の運用フェーズについて説明をする。
異常検知装置１は、運用フェーズにおいて、検知部２１を用いて、制御システム２０の異常を検知する。その後、異常検知装置１の出力情報生成部２２は、制御システム２０の異常を検知したことを出力装置２３に出力するための出力情報を生成し、生成した出力情報を出力装置２３へ送信する。

検知部２１は、運用フェーズにおいて、制御システム２０からパケットを受信する。続いて、検知部２１は、受信したパケットを用いて、学習において抽出したシーケンス特徴量を参照して、異常を検知する。具体的には、検知部２１は、所定時間パケットを受信すると、シーケンス特徴量のシーケンス情報とパケット間時間分布とを参照して、異常があるか否かを判定する。

検知部２１は、時系列に受信したパケットのパケット種別の順序と、シーケンス特徴量のパケット種別の順序とを比較し、パケット種別の順序が同じ場合には、シーケンスに異常がないと判定し、パケット種別の順序が異ある場合には、シーケンスに異常があると判定する。

さらに、検知部２１は、時系列に受信したパケットを用いて、パケット間時間分布を算出し、学習フェーズにおいて抽出したパケット間時間分布を参照し、パケット間時間分布が類似している場合には異常がないと判定し、パケット間時間分布が類似していない場合には異常があると判定する。

なお、検知部２１は、同一種別のパケットが複数のシーケンスに存在する可能性があるので、パケット種別の順序の判定とパケット間時間分布の判定とを並行して実行する。その理由は、パケットＡが一つのシーケンスにのみ含まれるとは限らず、異なるシーケンスに含まれる場合があるからである。

例えば、上述したシーケンスＩＤ「１」に対応する「ＡＡＢＣ」以外に、シーケンスＩＤ「３」に対応する周期６５［ｍｓ］の「ＡＸＸＹ」が同時に出現することも考えられる。このような場合、「ＡＡＢＣ」に重なる形で「ＡＸＸＹ」が出現することがある。

「ＡＡＢＣ」に着目して考えると、パケットＡ、Ｂ、Ｃの三種類の順番に着目して「ＡＡＡＢＣ」となるが、シーケンス異常と判断してはならないため、実際には「ＡＡＡＢＣ」の三つのＡのうち一つはシーケンス「ＡＸＸＹのＡ」であることを判定しなければならない。

そこで、すべてのシーケンスで期待しないタイミングでいずれかのシーケンスに所属するパケットがくるシーケンス異常の判定に加え、実際にはシーケンスで期待する時間分布の範囲に次のパケットがくることを判定（パケット間時間分布異常の判定）する。

このように、シーケンス側の観点では、期待しているタイミングでパケットがきているかを判定（きていないケースを検出する判定）し、受信したパケット側からの観点では、そのパケットが期待されたものかを判定（余計なものを検出する判定）する。

次に、検知部２１が異常を検出した場合、検知部２１は異常を検知したこと表す指示を、出力情報生成部２２へ送信する。

出力情報生成部２２は、異常指示を取得した場合、制御システム２０の管理者などを含む利用者に通知するため、出力装置２３に制御システム２０に異常が発生したことを出力するための出力情報を生成する。

出力装置２３は、出力情報生成部２２から、出力可能な形式に変換された出力情報を取得し、その出力情報に基づいて生成した画像及び音声などを出力する。出力装置２３は、例えば、液晶、有機ＥＬ（Electro Luminescence）、ＣＲＴ（Cathode Ray Tube）を用いた画像表示装置である。更に、出力装置２３は、スピーカなどの音声出力装置などを有していてもよい。なお、出力装置２３は、プリンタなどの印刷装置でもよい。

［装置動作］
次に、本発明の実施の形態における異常検知装置１の動作について説明する。学習フェーズの動作については、図９を用いて説明する。また、運用フェーズの動作については、図１０を用いて説明する。図９は、学習フェーズにおける異常検知装置の動作の一例を説明するため図である。図１０は、運用フェーズにおける異常検知装置の動作の一例を説明するためのフロー図である。以下の説明においては、適宜図２から図８を参照する。また、本実施の形態では、異常検知装置１を動作させることによって、異常検知方法が実施される。よって、本実施の形態における異常検知方法の説明は、以下の異常検知装置１の動作説明に代える。

異常検知装置の学習フェーズにおける動作について説明をする。
図９に示すように、最初に、周期特定部２は、学習用パケットを取得する（ステップＡ１）。具体的には、ステップＡ１において、周期特定部２は、学習フェーズにおいて、制御システム２０が正常に運用されている場合、制御システム２０から時系列に学習用パケットを受信する。又は、周期特定部２は、あらかじめ記憶部に記憶した学習用パケットを取得してもよい。

続いて、周期特定部２は、学習用パケットを種別する（ステップＡ２）。具体的には、ステップＡ２において、周期特定部２は、学習用パケットを種類（例えば、リード、ライトなどの種類）に応じて種別する。例えば、図３に示すように、周期特定部２は、所定時間において、正常に運用されている制御システム２０から、時系列に取得した学習用パケットを種別する。

続いて、周期特定部２は、種別した学習用パケットのパケット種別ごとにパケット間隔を算出する（ステップＡ３）。具体的には、ステップＡ３において、図３に示すように、周期特定部２は、パケットＡからＤについて、パケット間隔を算出する。続いて、周期特定部２は、所定時間において、パケット間隔が発生する頻度、すなわち度数を算出する（ステップＡ４）。

なお、ステップＡ４において、周期特定部２は、パケット種別と、パケット種別ごとのパケット間隔と、そのパケット間隔に対応する度数とを関連付けて、記憶部に記憶する。

続いて、周期特定部２は、パケット種別ごとのパケット間隔と、そのパケット間隔に対応する度数とを用いて、周期を決定する（ステップＡ５）。具体的には、ステップＡ５において、周期特定部２は、度数が最大となるパケット間隔のうち最小となるパケット間隔を選択し、選択したパケット間隔に基づいて周期を決定する。図５の例では、周期特定部２は、最大の度数が２００に対応するパケット間隔から、最小のパケット間隔である４０［ｍｓ］を選択して、周期を４０［ｍｓ］に決定する。

また、周期特定部２は、パケットＡ以外に、パケット間隔４０［ｍｓ］を有するパケットを検出して除外する。すなわち、図５の例では、パケットＢ、Ｃを除外する。そうすると、パケットＤ、Ｅが残るので、同様に、度数が最大となるパケット間隔のうち最小となるパケット間隔を選択する。その結果、図５の例では、周期特定部２は、最大の度数が５０に対応するパケット間隔から、最小のパケット間隔である１００［ｍｓ］を選択して、周期を１００［ｍｓ］に決定する。

なお、図５の例では、パケットＡ、Ｂ、Ｃはパケット間隔４０［ｍｓ］のみで構成され、パケットＤ、Ｅは４０［ｍｓ］を含まない状態となっているが、一つのパケット種別に複数の周期が含まれてもよい。例えば、パケットＦにパケット間隔が４０［ｍｓ］と９０［ｍｓ］とが混在した場合、パケット間隔４０［ｍｓ］についての処理では、パケットＦの中でも４０［ｍｓ］のものだけを除外（＝使用済み）する。また、９０［ｍｓ］のものは残されたままとする。

続いて、周期特定部２は、決定した周期に基づいて、パケット種別を分類する（ステップＡ６）。具体的には、ステップＡ６において、周期特定部２は、図５の例において、４０［ｍｓ］、１００［ｍｓ］を周期として決定したので、図６に示すように、周期４０［ｍｓ］を有するパケットＡ、Ｂ、Ｃと、周期１００［ｍｓ］を有するＤ、Ｅとに分類される。

なお、周期特定部２は、正常時において度数が所定値未満の場合、当該度数と、それに対応するパケット間隔とを用いて、周期を決定しなくてもよい。所定値は、実験、シミュレーションなどにより決定する。

続いて、特徴抽出部３は、周期ごとにパケット種別の順序を表すシーケンス情報と、当該シーケンスが有するパケット間の時間分布情報とを有するシーケンス特徴量を抽出する（ステップＡ７）。具体的には、ステップＡ７において、特徴抽出部３は、周期ごとに分類したパケット種別を取得し、当該周期と同じ周期又は倍数の周期を用いて、シーケンス情報を生成する。

図７の例では、特徴抽出部３は、図６の例に示した、周期４０［ｍｓ］のパケットＡ、Ｂ、Ｃを用いて、時系列に記憶された学習用パケットを参照して、図７のＡに示すような、周期４０［ｍｓ］のパケットＡ、Ｂ、Ｃに対応するシーケンスを生成する。

また、図７の例では、特徴抽出部３は、図６の例において分類した、周期１００［ｍｓ］のパケットＤ、Ｅを用いて、時系列に記憶された学習用パケットを参照して、図７のＢに示すような、周期１００［ｍｓ］のパケットＤ、Ｅに対応するシーケンスを生成する。

また、ステップＡ７において、特徴抽出部３は、上述したシーケンスが有するパケット間の時間分布を算出する。パケット間の時間分布は、例えば、平均、分散、標準偏差などである。

なお、ステップＡ７において、特徴抽出部３は、シーケンスを識別する識別情報（シーケンスＩＤ）と、パケットの順序を表すシーケンス情報と、パケット間の時間分布を表す時間分布情報とを関連付けたシーケンス特徴量を、記憶部に記憶する。

異常検知装置の運用フェーズにおける動作について説明をする。
検知部２１は、まず、制御システム２０からパケットを取得する（ステップＢ１）。続いて、検知部２１は、シーケンス異常（パケット種別の順序）の判定及びパケット間時間分布の判定をし（ステップＢ２）、異常がない場合（ステップＢ３：Ｎｏ）、この処理を終了する。異常がある場合（ステップＢ３：Ｙｅｓ）、ステップＢ４に移行する。

具体的には、ステップＢ２において、検知部２１は、時系列に受信したパケット種別の順序と、シーケンス特徴量のパケット種別の順序とを比較し、パケット種別の順序が同じ場合には、シーケンスに異常がないと判定する。順序が異ある場合には、異常があると判定する。

さらに、ステップＢ２において、検知部２１は、時系列に受信したパケットを用いて、パケット間時間分布を算出し、学習フェーズにおいて抽出したパケット間時間分布を参照し、パケット間時間分布が類似している場合には異常がないと判定し、パケット間時間分布が類似していない場合には異常があると判定する。

続いて、出力情報生成部２２は、出力情報を生成する（ステップＢ４）。具体的には、ステップＢ４において、出力情報生成部２２は、シーケンス異常、又はパケット間時間分布異常を取得した場合、制御システム２０の管理者などを含む利用者に通知するため、出力装置２３に制御システム２０に異常が発生したことを表す出力情報を生成する（ステップＢ４）。続いて、出力装置２３は、出力情報生成部２２から、出力可能な形式に変換された出力情報を取得し、その出力情報に基づいて生成した画像及び音声などを出力（ステップＢ５）して本処理を終了する。

［本実施の形態の効果］
以上のように本実施の形態によれば、学習フェーズにおいて、抽出したシーケンス特徴量を用いることで、運用フェーズにおいて、制御システムに発生した異常を検知する精度を向上させることができる。

具体的には、運用フェーズにおいて、制御システムから受信したパケットを用いて、学習において抽出したシーケンス特徴量を参照して、異常を検知する。そうすることで、制御システムに発生した異常を検知する精度を向上させることができる。

また、複数の異なるシーケンスで構成されるシステムでも異常を精度よく検知することができる。

［プログラム］
本発明の実施の形態におけるプログラムは、コンピュータに、図９に示すステップＡ１からＡ７、図１０に示すステップＢ１からＢ５を実行させるプログラムであればよい。このプログラムをコンピュータにインストールし、実行することによって、本実施の形態における異常検知装置と異常検知方法とを実現することができる。この場合、コンピュータのプロセッサは、周期特定部２、特徴抽出部３、検知部２１、出力情報生成部２２として機能し、処理を行なう。

また、本実施の形態におけるプログラムは、複数のコンピュータによって構築されたコンピュータシステムによって実行されてもよい。この場合は、例えば、各コンピュータが、それぞれ、周期特定部２、特徴抽出部３、検知部２１、出力情報生成部２２のいずれかとして機能してもよい。

［物理構成］
ここで、実施の形態におけるプログラムを実行することによって、異常検知装置を実現するコンピュータについて図１１を用いて説明する。図１１は、異常検知装置を実現するコンピュータの一例を示すブロック図である。

図１１に示すように、コンピュータ１１０は、ＣＰＵ１１１と、メインメモリ１１２と、記憶装置１１３と、入力インターフェイス１１４と、表示コントローラ１１５と、データリーダ／ライタ１１６と、通信インターフェイス１１７とを備える。これらの各部は、バス１２１を介して、互いにデータ通信可能に接続される。なお、コンピュータ１１０は、ＣＰＵ１１１に加えて、又はＣＰＵ１１１に代えて、ＧＰＵ（Graphics Processing Unit）、又はＦＰＧＡ（Field-Programmable Gate Array）を備えていてもよい。

ＣＰＵ１１１は、記憶装置１１３に格納された、本実施の形態におけるプログラム（コード）をメインメモリ１１２に展開し、これらを所定順序で実行することにより、各種の演算を実施する。メインメモリ１１２は、典型的には、ＤＲＡＭ（Dynamic Random Access Memory）などの揮発性の記憶装置である。また、本実施の形態におけるプログラムは、コンピュータ読み取り可能な記録媒体１２０に格納された状態で提供される。なお、本実施の形態におけるプログラムは、通信インターフェイス１１７を介して接続されたインターネット上で流通するものであってもよい。

また、記憶装置１１３の具体例としては、ハードディスクドライブの他、フラッシュメモリなどの半導体記憶装置があげられる。入力インターフェイス１１４は、ＣＰＵ１１１と、キーボード及びマウスといった入力機器１１８との間のデータ伝送を仲介する。表示コントローラ１１５は、ディスプレイ装置１１９と接続され、ディスプレイ装置１１９での表示を制御する。

データリーダ／ライタ１１６は、ＣＰＵ１１１と記録媒体１２０との間のデータ伝送を仲介し、記録媒体１２０からのプログラムの読み出し、及びコンピュータ１１０における処理結果の記録媒体１２０への書き込みを実行する。通信インターフェイス１１７は、ＣＰＵ１１１と、他のコンピュータとの間のデータ伝送を仲介する。

また、記録媒体１２０の具体例としては、ＣＦ（Compact Flash（登録商標））及びＳＤ（Secure Digital）などの汎用的な半導体記憶デバイス、フレキシブルディスク（Flexible Disk）などの磁気記録媒体、又はＣＤ－ＲＯＭ（Compact Disk Read Only Memory）などの光学記録媒体があげられる。

なお、本実施の形態における異常検知装置１は、プログラムがインストールされたコンピュータではなく、各部に対応したハードウェアを用いることによっても実現可能である。更に、異常検知装置１は、一部がプログラムで実現され、残りの部分がハードウェアで実現されていてもよい。

［付記］
以上の実施の形態に関し、更に以下の付記を開示する。上述した実施の形態の一部又は全部は、以下に記載する（付記１）から（付記１２）により表現することができるが、以下の記載に限定されるものではない。

（付記１）
学習において、学習用パケットを種別し、パケット種別ごとに算出したパケット間隔と、前記パケット間隔の発生頻度を表す度数とを用いて、前記パケット種別の周期を特定する、周期特定部と、
前記周期をもとに、前記パケット種別の順序を表すシーケンス情報と、当該シーケンス情報が有するパケット間の時間分布情報とを有するシーケンス特徴量を抽出する、特徴抽出部と、
を有することを特徴とする異常検知装置。

（付記２）
付記１に記載の異常検知装置であって、
運用において、制御システムから受信したパケットを用いて、学習において抽出した前記シーケンス特徴量を参照して、異常を検知する、検知部
を有することを特徴とする異常検知装置。

（付記３）
付記１又は２に記載の異常検知装置であって、
前記周期特定部は、前記度数が最大となる前記パケット間隔のうち最小となるパケット間隔を選択し、選択したパケット間隔に基づいて周期を決定する
ことを特徴とする異常検知装置。

（付記４）
付記１から３のいずれか一つに記載の異常検知装置であって、
前記特徴抽出部は、前記周期と同じ周期又は倍数の周期を用いて、シーケンス特徴量を抽出する
ことを特徴とする異常検知装置。

（付記５）
（ａ）学習において、学習用パケットを種別し、パケット種別ごとに算出したパケット間隔と、前記パケット間隔の発生頻度を表す度数とを用いて、前記パケット種別の周期を特定する、ステップと、
（ｂ）前記周期に基づいて、前記パケット種別の順序を表すシーケンス情報と、当該シーケンス情報が有するパケット間の時間分布情報とを有するシーケンス特徴量を抽出する、ステップと、
を有することを特徴とする異常検知方法。

（付記６）
付記５に記載の異常検知方法であって、
（ｃ）運用において、制御システムから受信したパケットを用いて、学習において抽出した前記シーケンス特徴量を参照して、異常を検知する、ステップと
を有することを特徴とする異常検知方法。

（付記７）
付記５又は６に記載の異常検知方法であって、
前記（ａ）のステップにおいて、前記度数が最大となる前記パケット間隔のうち最小となるパケット間隔を選択し、選択したパケット間隔に基づいて周期を決定する
ことを特徴とする異常検知方法。

（付記８）
付記５から７のいずれか一つに記載の異常検知方法であって、
前記（ｂ）のステップにおいて、前記周期と同じ周期又は倍数の周期を用いて、シーケンス特徴量を抽出する
ことを特徴とする異常検知方法。

（付記９）
コンピュータに、
（ａ）学習において、受信した学習用パケットを種別し、パケット種別ごとに算出したパケット間隔と、前記パケット間隔の発生頻度を表す度数とを用いて、前記パケット種別の周期を特定する、ステップと、
（ｂ）前記周期に基づいて、前記パケット種別の順序を表すシーケンス情報と、当該シーケンス情報が有するパケット間の時間分布情報とを有するシーケンス特徴量を抽出する、ステップと、
を実行させる命令を含むプログラム。

（付記１０）
付記９に記載のプログラムであって、
前記プログラムが、前記コンピュータに、
（ｃ）運用において、制御システムから受信したパケットを用いて、学習において抽出した前記シーケンス特徴量を参照して、異常を検知する、ステップ
を実行させる命令を更に含むプログラム。

（付記１１）
付記９又は１０に記載のプログラムであって、
前記（ａ）のステップにおいて、前記度数が最大となる前記パケット間隔のうち最小となるパケット間隔を選択し、選択したパケット間隔に基づいて周期を決定する
ことを特徴とするプログラム。

（付記１２）
付記９から１１のいずれか一つに記載のプログラムであって、
前記（ｂ）のステップにおいて、前記周期と同じ周期又は倍数の周期を用いて、シーケンス特徴量を抽出する
ことを特徴とするプログラム。

以上、実施の形態を参照して本願発明を説明したが、本願発明は上記実施の形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

以上のように本発明によれば、運用フェーズにおいて、制御システムから受信したパケットを用いて、学習において抽出したシーケンス特徴量を参照して、異常を検知することで、制御システムに発生した異常を検知する精度を向上させることができる。本発明は、制御システムに発生した異常を検知する分野において有用である。

１ 異常検知装置
２ 周期特定部
３ 特徴抽出部
２０ 制御システム
２１ 検知部
２２ 出力情報生成部
２３ 出力装置
１１０ コンピュータ
１１１ ＣＰＵ
１１２ メインメモリ
１１３ 記憶装置
１１４ 入力インターフェイス
１１５ 表示コントローラ
１１６ データリーダ／ライタ
１１７ 通信インターフェイス
１１８ 入力機器
１１９ ディスプレイ装置
１２０ 記録媒体
１２１ バス

Claims (9)

1. 学習において、学習用パケットを種別し、パケット種別ごとに算出したパケット間隔と、前記パケット間隔の発生頻度を表す度数とを用いて、前記パケット種別の周期を特定する、周期特定手段と、
   前記周期に基づいて、前記パケット種別の順序を表すシーケンス情報と、当該シーケンス情報が有するパケット間の時間分布情報とを有するシーケンス特徴量を抽出する、特徴抽出手段と、を有し、
   前記周期特定手段は、前記度数が最大となる前記パケット間隔のうち最小となるパケット間隔を選択し、選択したパケット間隔に基づいて周期を決定する、
   ことを特徴とする異常検知装置。
2. 請求項１に記載の異常検知装置であって、
   運用において、制御システムから受信したパケットを用いて、学習において抽出した前記シーケンス特徴量を参照して、異常を検知する、検知手段
   を有することを特徴とする異常検知装置。
3. 請求項１又は２に記載の異常検知装置であって、
   前記特徴抽出手段は、前記周期と同じ周期又は倍数の周期を用いて、前記シーケンス情報を抽出する
   ことを特徴とする異常検知装置。
4. （ａ）学習において、学習用パケットを種別し、パケット種別ごとに算出したパケット間隔と、前記パケット間隔の発生頻度を表す度数とを用いて、前記パケット種別の周期を特定する、ステップと、
   （ｂ）前記周期に基づいて、前記パケット種別の順序を表すシーケンス情報と、当該シーケンス情報が有するパケット間の時間分布情報とを有するシーケンス特徴量を抽出する、ステップと、を有し、
   前記（ａ）のステップにおいて、前記度数が最大となる前記パケット間隔のうち最小となるパケット間隔を選択し、選択したパケット間隔に基づいて周期を決定する、
   ことを特徴とする異常検知方法。
5. 請求項４に記載の異常検知方法であって、
   （ｃ）運用において、制御システムから受信したパケットを用いて、学習において抽出した前記シーケンス特徴量を参照して、異常を検知する、ステップと
   を有することを特徴とする異常検知方法。
6. 請求項４又は５に記載の異常検知方法であって、
   前記（ｂ）のステップにおいて、前記周期と同じ周期又は倍数の周期を用いて、前記シーケンス情報を抽出する
   ことを特徴とする異常検知方法。
7. コンピュータに、
   （ａ）学習において、受信した学習用パケットを種別し、パケット種別ごとに算出したパケット間隔と、前記パケット間隔の発生頻度を表す度数とを用いて、前記パケット種別の周期を特定する、ステップと、
   （ｂ）前記周期に基づいて、前記パケット種別の順序を表すシーケンス情報と、当該シーケンス情報が有するパケット間の時間分布情報とを有するシーケンス特徴量を抽出する、ステップと、を実行させる命令を含み、
   前記（ａ）のステップにおいて、前記度数が最大となる前記パケット間隔のうち最小となるパケット間隔を選択し、選択したパケット間隔に基づいて周期を決定させる、
   プログラム。
8. 請求項７に記載のプログラムであって、
   前記プログラムが、前記コンピュータに、
   （ｃ）運用において、制御システムから受信したパケットを用いて、学習において抽出した前記シーケンス特徴量を参照して、異常を検知する、ステップ
   を実行させる命令を更に含むプログラム。
9. 請求項７又は８に記載のプログラムであって、
   前記（ｂ）のステップにおいて、前記周期と同じ周期又は倍数の周期を用いて、前記シーケンス情報を抽出する
   ことを特徴とするプログラム。

Images