JPWO2012132527A1 - 異常検知システム、異常検知方法、およびそのプログラム - Google Patents

異常検知システム、異常検知方法、およびそのプログラム Download PDF

Info

Publication number
JPWO2012132527A1
JPWO2012132527A1 JP2013507220A JP2013507220A JPWO2012132527A1 JP WO2012132527 A1 JPWO2012132527 A1 JP WO2012132527A1 JP 2013507220 A JP2013507220 A JP 2013507220A JP 2013507220 A JP2013507220 A JP 2013507220A JP WO2012132527 A1 JPWO2012132527 A1 JP WO2012132527A1
Authority
JP
Japan
Prior art keywords
data
ics
security policy
abnormality
transmitting
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2013507220A
Other languages
English (en)
Other versions
JP5480447B2 (ja
Inventor
一人 秋山
一人 秋山
拓也 三品
拓也 三品
道治 工藤
道治 工藤
ウイルソン、ジョン、デイビット
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
International Business Machines Corp
Original Assignee
International Business Machines Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by International Business Machines Corp filed Critical International Business Machines Corp
Priority to JP2013507220A priority Critical patent/JP5480447B2/ja
Application granted granted Critical
Publication of JP5480447B2 publication Critical patent/JP5480447B2/ja
Publication of JPWO2012132527A1 publication Critical patent/JPWO2012132527A1/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B23/00—Testing or monitoring of control systems or parts thereof
    • G05B23/02—Electric testing or monitoring
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/34—Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment
    • G06F11/3466—Performance evaluation by tracing or monitoring
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B23/00—Testing or monitoring of control systems or parts thereof
    • G05B23/02—Electric testing or monitoring
    • G05B23/0205—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults
    • G05B23/0259—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults characterized by the response to fault detection
    • G05B23/0262—Confirmation of fault detection, e.g. extra checks to confirm that a failure has indeed occurred
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B11/00—Automatic controllers
    • G05B11/01—Automatic controllers electric
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Programme-control systems
    • G05B19/02—Programme-control systems electric
    • G05B19/418—Total factory control, i.e. centrally controlling a plurality of machines, e.g. direct or distributed numerical control [DNC], flexible manufacturing systems [FMS], integrated manufacturing systems [IMS] or computer integrated manufacturing [CIM]
    • G05B19/4185—Total factory control, i.e. centrally controlling a plurality of machines, e.g. direct or distributed numerical control [DNC], flexible manufacturing systems [FMS], integrated manufacturing systems [IMS] or computer integrated manufacturing [CIM] characterised by the network communication
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B23/00—Testing or monitoring of control systems or parts thereof
    • G05B23/02—Electric testing or monitoring
    • G05B23/0205—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults
    • G05B23/0259—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults characterized by the response to fault detection
    • G05B23/0267—Fault communication, e.g. human machine interface [HMI]
    • G05B23/027—Alarm generation, e.g. communication protocol; Forms of alarm
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B9/00—Safety arrangements
    • G05B9/02—Safety arrangements electric
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/12—Digital output to print unit, e.g. line printer, chain printer
    • G06F3/1201—Dedicated interfaces to print systems
    • G06F3/1202—Dedicated interfaces to print systems specifically adapted to achieve a particular effect
    • G06F3/121—Facilitating exception or error detection and recovery, e.g. fault, media or consumables depleted
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/12—Digital output to print unit, e.g. line printer, chain printer
    • G06F3/1201—Dedicated interfaces to print systems
    • G06F3/1223—Dedicated interfaces to print systems specifically adapted to use a particular technique
    • G06F3/1229—Printer resources management or printer maintenance, e.g. device status, power levels
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/12—Digital output to print unit, e.g. line printer, chain printer
    • G06F3/1201—Dedicated interfaces to print systems
    • G06F3/1223—Dedicated interfaces to print systems specifically adapted to use a particular technique
    • G06F3/1237—Print job management
    • G06F3/1273—Print job history, e.g. logging, accounting, tracking
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/12—Digital output to print unit, e.g. line printer, chain printer
    • G06F3/1201—Dedicated interfaces to print systems
    • G06F3/1278—Dedicated interfaces to print systems specifically adapted to adopt a particular infrastructure
    • G06F3/1285—Remote printer device, e.g. being remote from client or server
    • G06F3/1288—Remote printer device, e.g. being remote from client or server in client-server-printer device configuration
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04N—PICTORIAL COMMUNICATION, e.g. TELEVISION
    • H04N1/00—Scanning, transmission or reproduction of documents or the like, e.g. facsimile transmission; Details thereof
    • H04N1/00127—Connection or combination of a still picture apparatus with another apparatus, e.g. for storage, processing or transmission of still picture signals or of information associated with a still picture

Landscapes

  • Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • Quality & Reliability (AREA)
  • Human Computer Interaction (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Manufacturing & Machinery (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Testing And Monitoring For Control Systems (AREA)
  • Maintenance And Management Of Digital Transmission (AREA)
  • Test And Diagnosis Of Digital Computers (AREA)
  • Automatic Analysis And Handling Materials Therefor (AREA)
  • Alarm Systems (AREA)

Abstract

異常検知システム、異常検知方法、およびそのプログラムを提供するために第１の態様として、ネットワーク内の異常を検知する異常検知システムであって、前記ネットワークに接続された、複数の産業制御システム（以下ＩＣＳ）と、各ＩＣＳの稼動状況を監視データとして受信し、異常が疑われるＩＣＳを特定し、異常判定を行う統合アナライザと、ＩＣＳ毎に設けられ、他のＩＣＳからのデータを受信する受信部と、他のＩＣＳへデータを送信し、かつ監視データを前記統合アナライザへ送信する送信部と、データの記録、生成規則を含むセキュリティ・ポリシーと、前記セキュリティ・ポリシーを参照して前記データを制御して他のＩＣＳへ送信するラッパーを有する、異常検知システムを提供する。

Description

本発明は、異常検知技術に関し、特に異常が認められたシステムの影響が他のシステムに及ばないようにする、異常検知方法、システム、およびプログラムに関する。
現代社会は、コンピュータ社会であるが、コンピュータを用いたシステムの種類として、主にオフィス等で用いられる情報システムと、発電、パイプライン、化学プラントなどで用いられる産業制御システム（Industrial Control System、以下ＩＣＳと記載する）とがある。個々のＩＣＳは産業に特化した独自のシステムで構成される。
ＩＣＳは主にインフラストラクチャを担うシステムであることが多く、故障したり異常が出ると人的、経済的に甚大な被害を及ぼす恐れがある。また複数のＩＣＳが互いの情報をやり取りし、ネットワークで接続されるシステムも出てきている。このような複数ＩＣＳ稼動環境下において異常を起こしたＩＣＳのデータが他のＩＣＳに送信された場合、受信したＩＣＳに大きな影響を与えることがないようにする技術が望まれている。
さらに複数のＩＣＳを運用する際、特定のＩＣＳが異常かどうかを確定判断するにはＩＴリソースに負荷が生じ、また処理時間が必要となるのでＩＣＳ群のみで異常確定判断をさせることができない。通常の情報システムであれば、異常判定を常に行うか、疑わしい間はそのシステムを切り離して運用することが可能であるが連続稼動を前提とするＩＣＳにおいては困難を伴う。
例えば特許文献１は、監視対象の装置が異常の場合、異常情報に応じて自装置の機能喪失を最小限に抑える処置を実行する構成制御手段を備える。しかしながら、特許文献１は異常時にマスターとスレーブという同等の２つのシステムを前提とする手法であり、ネットワークで接続された相異なる独自のシステムからなる複数ＩＣＳでは適用できない。
特開２０００−２１４９１９
本発明は、上記問題点を鑑みてなされたものであり、ＩＣＳ間のデータ送信を制御し、異常が疑われるＩＣＳを検知し、他のＩＣＳに影響を与えないようにする異常検知システム、方法、プログラムを提供することを目的とする。
また異常が疑われるＩＣＳを検知する最小限の処理をＩＣＳの通常の運用で行いながら、真に異常であるかどうかの確定判断を各ＩＣＳに影響のないように行う、異常検知システム、方法、プログラムを提供することを目的とする。
本発明は、上記従来技術の課題を解決するために、以下の特徴を有する異常検知システムを提供する。本発明の異常検知システムは、ネットワークに接続された、複数の産業制御システム（以下ＩＣＳ）を備える。各ＩＣＳの稼動状況を監視データとして受信し、異常が疑われるＩＣＳを特定し、異常判定を行う統合アナライザと、ＩＣＳ毎に設けられ、他のＩＣＳからのデータを受信する受信部と、他のＩＣＳへデータを送信し、かつ監視データを前記統合アナライザへ送信する送信部と、データの記録、生成規則を含むセキュリティ・ポリシーと、前記セキュリティ・ポリシーを参照して前記データを制御して他のＩＣＳへ送信するラッパーとを有する。
そして、前記統合アナライザが前記特定されたＩＣＳのラッパーに対して擬似正常モードへの移行通知を送信する手段と、前記ラッパーが、前記他のＩＣＳへ送信するデータを制御するためのデータ・コントローラと、前記セキュリティ・ポリシーを参照して前記送信部からのデータをパターン・データとして記録するデータ・レコーダと、前記セキュリティ・ポリシーを参照して記録されたデータから送信データを生成する、データ・ジェネレータを有し、前記擬似正常モードへの移行通知の受信に応じて、前記データ・レコーダが前記送信部からのデータをリアル・データとして記録する手段と、前記データ・ジェネレータが前記パターン・データから送信データを生成する手段と、前記データ・コントローラが前記生成された送信データを他のＩＣＳに送信する手段を有する。
ここで、前記特定されたＩＣＳが、異常であると判定された場合、前記統合アナライザが前記特定されたＩＣＳに稼動停止通知を送信する手段を有する。
また、前記特定されたＩＣＳが、異常なし判定された場合、前記統合アナライザが前記特定されたＩＣＳに正常モードへの移行通知を送信する手段を有する。
さらに、前記正常モード移行通知を受信したＩＣＳが、擬似正常モード時に記録したリアル・データを他のＩＣＳへ一括送信する手段と、前記一括送信終了後に前記リアル・データを削除する手段を有する。
本発明の実施形態によるシステムの概略構成を示す図である。 従来の典型的なＩＣＳの機能ブロック図を示す。 本発明におけるＩＣＳの機能ブロックを示す。 正常時のＩＣＳ動作について説明する図である。 ＩＣＳが他のＩＣＳに送信するデータの例を示す図である。 ＩＣＳが他のＩＣＳに送信する、また別のデータの例である。 ＩＣＳが参照する、異常が疑われた場合のセキュリティ・ポリシー３８０の例である。 パターン・データ３６０の記録内容を示す図である。 ＩＣＳ１４０が異常と思われる動作をしている場合を示す図である。 各ＩＣＳの動作フローチャートである。 統合アナライザ１７０の動作フローチャートである。 従来の典型的なＩＣＳの物理マシンの構成図である。 統合アナライザ１７０がＩＣＳの異常を検知する方法を示す図である。 異常が疑われたＩＣＳの動作を示す図である ＩＣＳが異常なしと判定された場合の動作を示す図である。 統合アナライザ１７０から擬似正常モードを受信したＩＣＳの動作フローチャートである。 統合アナライザ１７０から異常なしの通知を受信したＩＣＳの動作フローチャートである。 統合アナライザ１７０から異常確定通知を受信した他のＩＣＳの動作フローチャートである。
以下、本発明について実施形態をもって説明するが、この実施形態に限定されるものではない。
図１は、本発明の実施形態によるシステムの概略構成を示す図である。ＩＣＳ１００〜ＩＣＳ１６０は独自のハード、独自ＯＳで稼動する産業制御システムである。これらＩＣＳは独自プロトコルによるネットワークに加えて汎用製品による汎用ネットワークを有しており、これがファイヤウォールで他のＩＣＳや統合アナライザ１７０と接続されている。各ＩＣＳは定期的にＩＣＳの稼動状況を含む解析用データを監視データとして統合アナライザ１７０に送信する。統合アナライザ１７０は監視データを解析して異常の疑いがあるＩＣＳを特定し、異常が確定した場合のアクションを規定したセキュリティ・ポリシー１８０と接続される。このセキュリティ・ポリシー１８０は統合アナライザ１７０により参照される。
図１２に従来の典型的なＩＣＳの物理マシンの構成図を示す。外界との通信はファイヤウォール１２１０を通じて管理サーバ１２２０と接続される。また管理サーバ１２２０が故障した場合に備えて冗長管理サーバ１２３０を有する。ＩＣＳの内部は大きく分けてＴＣＰ／ＩＰおよびイーサネット（商標）によるＬＡＮを含む汎用ネットワーク域１２７０と独自ハード、独自ＯＳによる専用製品を専用プロトコルで結ぶ専用ネットワーク域１２８０に分けられる。
管理サーバ１２２０に接続されるＨＭＩ(Human Machine Interface)１２５０は種々のデータのモニタリング＆アナライザーの結果を表示する。ＥＷＳ(Engineering WorkStation)１２４０は業務管理およびＰＬＣ１２５０と通信し各種機器制御に使用する。専用ネットワーク１２８０はシーケンサと呼ばれるprogrammable logic controller（ＰＬＣ１２５０）によって互いに接続される。
ＰＬＣはノイマン型コンピュータと異なりステートマシンである。その動作プログラムはリレー回路のプログラミング言語で記載される。このプログラムは電気回路を記号化したものなので、一般的なコンピュータプログラマが作成することはできない。
ＰＬＣ１２５０には専用製品(Dedicatedequipment)１２６０が接続され、これにアクチュエータ、制御器、各種センサーが接続される。例えば温度センサ、湿度センサ、圧力センサ、空調センサ、流量計、水位計、照度計、電力計、電力使用量カウンタ、印刷カウンタ、人感知センサなどの計測器や、バルブ開閉器、火力制御器、コンプレッサ、ポンプ、モータ、印刷ドラムがこれに該当する。
ＩＣＳは化学プラント、火力発電所、水力発電所、原子力発電所、原子炉制御、などのインフラシステムのほか、身近なところでは、エレベーター、自動ドア、ボイラー、テーマパーク、各種アトラクション、印刷システムなどの制御にも使用される。本発明の実施例では例示として印刷システムについて説明する。
図２に、従来の典型的なＩＣＳの機能ブロック図を示す。ＩＣＳ１１０は他のＩＣＳからのデータを受け取るレシーバ２１０（受信部）と、レシーバ２１０からのデータをモニタし、解析するコントローラまたはセンサー２９５からのデータを取得するデバイス・アクセス２９０と、種々のデバイス・アクセス２９０からのデータを集約して抽象化するプロトコル・アブストラクション２８０と、データ・モデルとしてプロトコル・アブストラクション２８０からのデータを抽象化するデータ・モデル・アブストラクション２７０と、データ・モデル・アブストラクション２７０からのデータと他のＩＣＳからのデータを受け取るレシーバ２１０からのデータとをモニタし解析する、モニタリング＆アナライザー２３０と、モニタリング＆アナライザー２３０の結果により決定されたアクションを保存するアクション・キュー２５０と、モニタリング＆アナライザー２３０の種々のデータを記録するデータ・レポジトリ２６０と、モニタリング＆アナライザー２３０のレポートを記録するレポート・データ２４０と、レポート・データ２４０のデータを送信するセンダー２２０（送信部）からなる。以上の構成は典型的なものであって、これに限らず各ＩＣＳは独自のデータ構造、固有のインターフェースを有していることに留意されたい。
図３に、本発明におけるＩＣＳの機能ブロックを示す。図２と異なる本発明固有の構成はラッパー(Wrapper)３１０、統合アナライザー１７０、セキュリティ・ポリシー１８０、３８０である。ラッパー３１０は、ＩＣＳが異常動作時に他のＩＣＳへの影響を最小限に抑えるための構成である。
ラッパー３１０にはＩＣＳの正常稼動時（正常モード）のデータを生データ、集計データ、統計データとしてパターン・データ３６０に記録するデータ・レコーダ３４０と、異常が疑われる状態での稼動時（擬似正常モード）にパターン・データ３６０から正常データを生成するデータ・ジェネレータ３３０が含まれる。これらの動作はデータ・コントローラ３２０により決定される。データ・コントローラ３２０他のＩＣＳへ送信するデータを制御する。センダー２２０からのデータを受け取り、他のＩＣＳへの影響がないように送信データを制御する。この制御は統合アナライザ１７０からの通知により行われる。
センダー２２０は、ＩＣＳ稼動状況および他のＩＣＳから受信したデータについてモニタリング＆アナライザー２３０が解析した結果であるレポート・データ２４０を参照して他のＩＣＳの異常疑いがあればこの情報を監視データに含めて統合アナライザー１７０へ送信する。
統合アナライザ１７０は、複数のＩＣＳのラッパーからの監視データを解析して、異常が発生したと思われるＩＣＳを特定し、当該ＩＣＳのデータ・コントローラ３２０に対して、擬似正常モードへ移行するよう指令を出す。擬似正常モードとは、当該ＩＣＳが異常動作している可能性がある場合に、他のＩＣＳへあたかも正常であるかのようにデータを送信するモードである。
統合アナライザは、複数ＩＣＳのラッパーからの監視データを解析する際、セキュリティ・ポリシー１８０を参照して、所与のアクションを行う。同様のセキュリティ・ポリシーは個別のＩＣＳにも含まれている。図３の場合のＩＣＳ３００はセキュリティ・ポリシー３８０を有しており、ラッパー３１０が行う所与のアクション、データの記録、生成規則が記載されている。セキュリティ・ポリシー３８０は必要に応じて統合アナライザー１７０によりアップデートされる。
図４に正常時のＩＣＳ動作について説明する。まずセンダー２２０から送出されたイベント・データをデータ・コントローラ３２０が受け取りそのまま他のＩＣＳへ送信する。これと同時にデータ・レコーダ３４０においてイベント・データをパターン・データ３６０として蓄積する。ここでの蓄積は生データ、集積データ、サンプリング・データなどの記録方法がある。これらの記録方法についてはＩＣＳ固有でありセキュリティ・ポリシー３８０に記載されている。
データ・コントローラ３２０はセキュリティ・ポリシー３８０を参照してイベント・データの種別に基づき蓄積方法を選択しデータ・レコーダ３４０に伝える。セキュリティ・ポリシー３８０は必要に応じて統合アナライザ１７０から通知されアップデートされる。
異常が疑われたＩＣＳの動作について図１４を用いて説明する。まず統合アナライザ１７０は各ＩＣＳの送信部から監視データを受信する。統合アナライザ１７０は監視データに基づき異常が疑われるＩＣＳのラッパー３１０に対して擬似正常モードへ移行するよう通知する。
またこの時、好ましくは他のＩＣＳのラッパーに対して異常が疑われるＩＣＳについての情報（ＩＣＳ番号等）を送信する。この送信により、異常が疑われるＩＣＳからデータを受信しているＩＣＳはこれ以降の受信データについて、擬似正常データを受信していることを認識する。そして統合アナライザ１７０は当該ＩＣＳが真に異常であるかの解析を行う。監視データには好ましくは他のＩＣＳの異常疑い情報を含むようにする。
図９にＩＣＳ１４０が異常と思われる動作をしている場合を示す。ＩＣＳ１４０から通常とは異なるデータがＩＣＳ１１０〜１３０に送信される。ＩＣＳ１１０〜１３０は各々統合アナライザに送信する監視データにＩＣＳ１４０の異常感知情報を含めて送信する。統合アナライザ１７０は各ＩＣＳからの監視データを解析し、異常が疑われるＩＣＳ１４０に擬似正常モードへの移行を通知する。そしてセキュリティ・ポリシー１８０を参照しながら、ＩＣＳ１４０が真に異常かどうかの解析を行い必要なアクションを行う。
擬似正常モードへの移行通知を受けたＩＣＳは、各ＩＣＳの特徴により異なるがセキュリティ・ポリシーに従い次の何れかの動作をする。
（Ａ）正常時と変わらないシミュレーティド・データを送信する。
（Ｂ）生のデータを送信する。
（Ｃ）全くデータを送信しない。
Ａの場合について図１４を用いてより詳細に説明する。異常が疑われているＩＣＳのデータ・レコーダ３４０は送信部からのデータをリアル・データ３５０として記録する。データ・ジェネレータ３３０はセキュリティ・ポリシー３８０に従い、パターン・データ３６０に記録された生データ、集計データ、統計データからシミュレーティド・データを生成し、各ＩＣＳに送信する。各ＩＣＳはこれにより通常の動作に支障を受けることがない。
統合アナライザ１７０が解析の結果異常なしという通知が当該ＩＣＳおよび各ＩＣＳに送信されると、当該ＩＣＳは通常時の状態に戻る。
図１５に異常なしと判定された場合（正常モード移行通知を受信した場合）の動作を図示する。データ・レコーダ３４０は生データ、集計データ、統計データをパターン・データ３６０に記録する。ラッパーはデータ送信相手に対してデータ入れ替えを通知し、データ・ジェネレータ３３０は擬似正常モード時に記録した生データであるリアル・データ３５０からデータを読み取り一括送信する。そして送信完了後リアル・データ３５０を破棄する。各ＩＣＳはデータ入れ替え通知を受信すると、擬似正常モード時に受信したデータと一括送信されたデータとの入れ替えをロールバックして行う。
統合アナライザ１７０が解析の結果、異常と判断した場合、セキュリティ・ポリシー１８０に従い、異常確定を当該ＩＣＳのラッパーおよび各ＩＣＳのラッパーに通知する共に所与のアクションを行う。異常動作したＩＣＳは緊急停止がされた後、人的、機械的修復処理を待つ。擬似正常モード時にデータを受信したＩＣＳは擬似正常モード時からの当該データをロールバックして削除する。
ＩＣＳが異常を起こす原因としては、センサーやカウンターの故障、悪意のあるユーザー、マルウェア（Malware）による操作、データ改変、物理的なアタック、盗難などがある。これらを検出する方法として複数の方法（スレッシュホールド、ルール、シチュエーション）が考えられる。
図１３に統合アナライザ１７０がＩＣＳの異常を検知する方法を示す。図１３の場合は主にスレッシュホールドを用いた例である。統計データに比較して突出している値が検出される場合は異常と判断する。
例えば１日の印刷枚数が１００００枚以上、ジャム回数１０回以上、リカバリーまでの時間が２時間以上、使用電力量が５ｋｗ以上の場合は異常と判断する。また相関するデータの突合せによる異常検出方法がある。例えば異常なトナー使用量や、１人のユーザーが複数のロケーションで操作している場合などがそれに当たる。
その他、攻撃の兆候による異常検出がある。セキュリティ・インシデントが一定回数以上発生、電源ＯＮ／ＯＦＦ、ネットワーク切断を含む設定変更の回数、ソフトウェアのインストール、アンインストールの回数などがこれに当たる。統合アナライザ１７０は個々のＩＣＳの送信部からの監視データを受信し、図１３の閾値を超えるかを統計的、集約的に計算し異常の確定判断を行う。これらの閾値はセキュリティ・ポリシー１８０に記載されている。
なおセキュリティ・ポリシー１８０と個別のＩＣＳのセキュリティ・ポリシー３８０の違いは上記統計的な異常の確定判断情報を有していることと、セキュリティ・ポリシー３８０には各ＩＣＳのシステム固有のポリシーが含まれている点が異なる。
ＩＣＳが他のＩＣＳに送信するデータの例を図５に示す。例えばイベントＩＤ１００１ではデバイスＩＤ：ＭＦＰ０００１が時刻2010/10/01 09:05:40において生データのイベントとしてペーパジャムが回復したこと示している。集計データおよび統計データのためのログについては、ログＩＤ2001としてデバイスＩＤ：ＭＦＰ０００１の印刷ジョブとしてＵＳＥＲＢが５ページのモノクロ片面印刷をしたことを示している。
ＩＣＳが他のＩＣＳに送信する、また別のデータを図６に示す。図６に示される制御コマンドはモニタリング＆アナライザー２３０によりアクション・キュー２５０にも記録される。また解析データはデータ・レポジトリ２６０に記録されると共にレポート・データ２４０に使用される。
図７に各ＩＣＳが参照する、異常が疑われた場合のセキュリティ・ポリシー３８０の例を示す。対象ＩＣＳの欄にはＩＣＳの個別名が、対象データの欄にはどのデータが対象か、必要データの欄はどのデータを送信対象とするか、データ保存の欄はデータ保存の要、不要、どこを保存するか、データ生成の欄はデータ・ジェネレータ３３０のデータ生成方法が、シミュレーティド・データの欄は実際に送られるデータの送信頻度が記載されている。
つまりセキュリティ・ポリシー３８０にはＩＣＳ毎の固有のセキュリティ・ポリシーに加えて、擬似正常モード時、どのようなシミュレーティド・データを送信するか、またそのために何を記録するかの定義が含まれる。このデータの記録、生成規則を含むセキュリティ・ポリシー３８０は適宜、統合アナライザ１７０によりアップデートされる。
例えば、シミュレーティド・データ作成のバリエーションとして以下がある。
（Ａ）処理が即時に発生するイベントや制御などは意味がないので、データ送信はしない。
（Ｂ）通常時のデータそのものが必要な場合には生データを送信する。
（Ｃ）フィルタリング（最小、最大、平均、最新、ランダム生成）されたデータを送信する。
（Ｄ）時間単位、日次、週次、平均した集計、統計データを送信する。
これにより、各ＩＣＳの特徴に応じて通常時に記録蓄積するデータが決定され、データ・ジェネレータ３３０がこの蓄積されたデータからどのようにシミュレーティド・データを作成するかを決定する。
図８にパターン・データ３６０の記録内容を示す。パターン・データ３６０は各ＩＣＳごとに、セキュリティ・ポリシー３８０に基づいて記録する。図８に示されるように各ＩＣＳによって記録蓄積される対象データが異なることが分かる。ＩＣＳ Ａは合計印刷枚数、統計値が記録されているのに対して、ＩＣＳ Ｂは印刷の生データが記録されている。これは図７のＩＣＳ Ａのセキュリティ・ポリシーにおいて Print Job がデータ保存対象に指定され、データ生成が日次であるからである。なお制御データはデータ生成時にランダムに生成されるので記録されない。
逆にＩＣＳ Ｂは図７のＩＣＳ Ｂのセキュリティ・ポリシーにおいてデータ保存対象が生データでありデータ生成が Real-Time であるからである。このように各ＩＣＳの持つ特徴に応じて、またセキュリティ・ポリシー３８０に基づいてパターン・データが記録される。
図１０に各ＩＣＳの動作フローチャートを示す。ステップ１０１０でレシーバが他のＩＣＳからのデータを受信する。次にステップ１０２０でモニタリング＆アナライザが他のＩＣＳのデータが異常を示しているかを解析する。そしてステップ１０３０で異常である場合には統合アナライザ１７０に自身の稼動状況情報に加えて異常を示すＩＣＳの情報を含めて監視データを送信する。
図１１に統合アナライザ１７０の動作フローチャートを示す。まずステップ１１１０で各ＩＣＳから監視データを受信する。次にステップ１１２０で監視データから異常が疑われるかを判断する。監視データには異常の疑いのあるＩＣＳの番号と各種データ値が含まれる。異常の疑いの判断はＩＣＳの監視データ内に異常を示すＩＣＳの情報がある場合、異常の疑いありと判断する。また単一のＩＣＳの監視データに異常を示すＩＣＳの情報がない場合で監視データの内容がスレショルドを大きく超える場合にも異常の疑いありと判断する。
ステップ１１２０で異常が疑われない場合には処理を終了する。ステップ１１２０で異常の疑いがある場合にはステップ１１３０で異常が疑われるＩＣＳ番号を特定する。次にステップ１１４０で異常が疑われるＩＣＳのデータ・コントローラに擬似正常モードに移行するよう通知を出す。好ましくは他のＩＣＳにもその情報を送信する。他のＩＣＳは疑いのあるＩＣＳからのデータが擬似正常モードでの送信データであることを認識する。
そしてステップ１１５０で異常が疑われるＩＣＳが本当に異常であるかを解析する。ステップ１１６０で異常が確定されたかを判断し、異常確定の場合にはステップ１１８０でセキュリティ・ポリシー１８０を参照して所与のアクションを実施する。異常が確定しなかった場合にはステップ１１７０で異常が疑われたＩＣＳに正常モードに移行するよう通知して、処理を終了する。好ましくは他のＩＣＳにも異常無しの通知を送信する。
図１６に擬似正常モードを受信したＩＣＳの動作フローチャートを示す。まずステップ１６１０で擬似正常モードへの移行通知を受信する。次にステップ１６２０でデータ・レコーダ３４０がリアル・データ３５０を記録する。またステップ１６３０でデータ・ジェネレータ３３０がパターン・データ３６０からシミュレーティド・データを生成する。そしてステップ１６３０でデータ・コントローラ３２０が生成したシミュレーティド・データを送信する。
図１７に統合アナライザ１７０から正常モード移行通知を受信したＩＣＳの動作フローチャートを示す。まずステップ１７１０で統合アナライザ１７０から正常モード移行通知を受信する。次にステップ１７２０で、ラッパーがデータ送信相手に対してデータ入替通知を送信する。ステップ１７３０で、データ・ジェネレータ３３０は擬似正常モード時に記録した生データであるリアル・データ３５０からデータを読み取る。そしてステップ１７４０で、データ・コントローラ３２０がデータを一括送信する。最後にステップ１７５０でリアル・データ３５０を削除する。
好ましくはデータ・コントローラ３２０が送信先ＩＣＳに対してこれからリアル・データの一括送信を行う通知を出す。次にステップ１７４０でデータ・コントローラ３２０が送信先ＩＣＳへシミュレーティド・データを一括送信する。送信先ＩＣＳは擬似正常モードで受信したデータを一括送信されたリアル・データで置換（ロールバックして置換）する。そしてステップ１７５０でリアル・データ３５０を破棄する。
統合アナライザ１７０から異常確定通知を受信した異常ＩＣＳ稼動停止状態となる。図１８に統合アナライザ１７０から異常確定通知を受信した他のＩＣＳの動作フローチャートを示す。まずステップ１８１０で異常確定通知を受信する。次にステップ１８２０で異常ＩＣＳの擬似正常モード時に受信したデータをロールバックして削除する。
以上説明したように、本発明の実施形態によれば、システム内で異常が疑われるＩＣＳを効率的に検知し、他のＩＣＳへ影響が無いように所与のアクションを実行させる異常検知システム、異常検知装置、異常検知方法、プログラムおよび記録媒体を提供することができる。
本発明の実施形態によるＩＣＳが備える汎用ネットワーク域のコンピュータＥＷＳ、ＨＭＩおよび統合アナライザは、ハードウェア構成として情報システムに用いられるコンピュータと同等の構成でも構わない。すなわちＣＰＵ、メモリ、外部記憶装置、バス、通信インターフェースを有する一般的なコンピュータで実施可能である。
さらにコンピュータ実行可能なプログラムを、コンピュータ装置にロードして各機能部を実現することにより、異常検知装置として提供される。このようなプログラムとしては、例えば、ＦＯＲＴＲＡＮ、ＣＯＢＯＬ、ＰＬ／Ｉ、Ｃ、Ｃ＋＋、Ｊａｖａ（登録商標）、Ｐｅｒｌ、Ｒｕｂｙなどのプログラミング言語で記述された、コンピュータ実行可能なプログラムにより実現でき、装置可読な記録媒体に格納して頒布することができる。
これまで本発明を図面に示した実施形態および実施例をもって説明してきたが、本発明は図面に示した実施形態に限定されない。当業者が想到する変更、態様においても本発明の作用・効果を奏する限り、本発明の範囲に含まれる。
１００〜１６０、３００ ＩＣＳ
１００ 異常検知システム
１０２ ネットワーク
１１０ 管理サーバ
１７０ 統合アナライザー
１８０ セキュリティ・ポリシー
２１０ レシーバ（受信部）
２２０ センダー（送信部）
２３０ アナライザー
２４０ レポート・データ
２５０ アクション・キュー
２６０ データ・レポジトリ
２７０ データ・モデル・アブストラクション
２８０ プロトコル・アブストラクション
２９０ デバイス・アクセス
２９５ センサー
３１０ ラッパー
３２０ データ・コントローラ
３３０ データ・ジェネレータ
３４０ データ・レコーダ
３５０ リアル・データ
３５０ 送信後リアル・データ
３６０ パターン・データ
３８０ セキュリティ・ポリシー
１２１０ ファイヤウォール
１２２０ 管理サーバ
１２３０ 冗長管理サーバ
１２５０ ＰＬＣ
１２７０ 汎用ネットワーク域
１２８０ 専用ネットワーク域

Claims (9)

  1. ネットワーク内の異常を検知する異常検知システムであって、
    前記ネットワークに接続された、複数の産業制御システム（以下ＩＣＳ）と、
    各ＩＣＳの稼動状況を監視データとして受信し、異常が疑われるＩＣＳを特定し、異常判定を行う統合アナライザと、
    ＩＣＳ毎に設けられ、
    他のＩＣＳからのデータを受信する受信部と、
    他のＩＣＳへデータを送信し、かつ監視データを前記統合アナライザへ送信する送信部と、
    データの記録、生成規則を含むセキュリティ・ポリシーと、
    前記セキュリティ・ポリシーを参照して前記データを制御して他のＩＣＳへ送信するラッパーと、
    を有する、異常検知システム。
  2. 前記統合アナライザが前記特定されたＩＣＳのラッパーに対して擬似正常モードへの移行通知を送信する手段と、
    前記ラッパーが、
    前記他のＩＣＳへ送信するデータを制御するためのデータ・コントローラと、
    前記セキュリティ・ポリシーを参照して前記送信部からのデータをパターン・データとして記録するデータ・レコーダと、
    前記セキュリティ・ポリシーを参照して記録されたデータから送信データを生成する、データ・ジェネレータと、
    を有し、
    前記擬似正常モードへの移行通知の受信に応じて、
    前記データ・レコーダが前記送信部からのデータをリアル・データとして記録する手段と、
    前記データ・ジェネレータが前記パターン・データから送信データを生成する手段と、
    前記データ・コントローラが前記生成された送信データを他のＩＣＳに送信する手段とを有する、請求項１記載のシステム。
  3. 前記特定されたＩＣＳが、異常であると判定された場合、前記統合アナライザが前記特定されたＩＣＳに稼動停止通知を送信する手段、を有する請求項２記載のシステム。
  4. 前記特定されたＩＣＳが、異常なし判定された場合、前記統合アナライザが前記特定されたＩＣＳに正常モードへの移行通知を送信する手段、を有する請求項２記載のシステム。
  5. 前記正常モードへの移行通知を受信したＩＣＳが、
    擬似正常モード時に記録したリアル・データを他のＩＣＳへ一括送信する手段と、
    前記一括送信の終了後に前記リアル・データを削除する手段
    を有する請求項４記載のシステム。
  6. 前記他のＩＣＳが、前記擬似正常モード時に前記特定されたＩＣＳから送信されたデータを前記一括送信されたリアル・データで置換する手段を有する、請求項５記載のシステム。
  7. ネットワークに接続されたコンピュータ・システムにおいて異常を検知する方法であって、
    前記ネットワークに接続された、複数の産業制御システム（以下ＩＣＳ）と、
    各ＩＣＳの稼動状況を監視データとして受信し、異常が疑われるＩＣＳを特定し、異常判定を行う統合アナライザと、
    ＩＣＳ毎に設けられ、
    他のＩＣＳからのデータを受信するステップと、
    他のＩＣＳへデータを送信し、かつ監視データを前記統合アナライザへ送信するステップと、
    データの記録、生成規則を含むセキュリティ・ポリシーと、
    前記セキュリティ・ポリシーを参照して前記データを制御して他のＩＣＳへ送信するステップと、
    を有する、異常検知方法。
  8. ネットワークに接続された、複数の産業制御システム（以下ＩＣＳ）において異常を検知するためのコンピュータ・プログラムであって、各ＩＣＳの稼動状況を監視データとして受信し、異常が疑われるＩＣＳを特定し、異常判定を行う統合アナライザと、前記ＩＣＳ毎に設けられた データの記録、生成規則を含むセキュリティ・ポリシーを有し、前記プログラムが、各ＩＣＳのコンピュータに、
    他のＩＣＳからのデータを受信する機能と、
    他のＩＣＳへデータを送信し、かつ監視データを前記統合アナライザへ送信する機能と、
    前記セキュリティ・ポリシーを参照して前記データを制御して他のＩＣＳへ送信する機能と、
    を実行させる、コンピュータ・プログラム。
  9. 請求項８に記載のコンピュータ・プログラムをコンピュータ読取可能に格納する記録媒体。
JP2013507220A 2011-03-28 2012-01-26 異常検知システム、異常検知方法、およびそのプログラム Active JP5480447B2 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2013507220A JP5480447B2 (ja) 2011-03-28 2012-01-26 異常検知システム、異常検知方法、およびそのプログラム

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
JP2011070278 2011-03-28
JP2011070278 2011-03-28
PCT/JP2012/051668 WO2012132527A1 (ja) 2011-03-28 2012-01-26 異常検知システム、異常検知方法、およびそのプログラム
JP2013507220A JP5480447B2 (ja) 2011-03-28 2012-01-26 異常検知システム、異常検知方法、およびそのプログラム

Publications (2)

Publication Number Publication Date
JP5480447B2 JP5480447B2 (ja) 2014-04-23
JPWO2012132527A1 true JPWO2012132527A1 (ja) 2014-07-24

Family

ID=46930294

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2013507220A Active JP5480447B2 (ja) 2011-03-28 2012-01-26 異常検知システム、異常検知方法、およびそのプログラム

Country Status (8)

Country Link
US (2) US9529690B2 (ja)
JP (1) JP5480447B2 (ja)
KR (1) KR20130124357A (ja)
CN (1) CN103443727B (ja)
DE (1) DE112012000772B4 (ja)
GB (1) GB2505340A (ja)
MX (1) MX2013011129A (ja)
WO (1) WO2012132527A1 (ja)

Families Citing this family (25)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7933890B2 (en) * 2006-03-31 2011-04-26 Google Inc. Propagating useful information among related web pages, such as web pages of a website
US8458172B2 (en) * 2009-12-24 2013-06-04 At&T Intellectual Property I, L.P. Method and apparatus for automated end to end content tracking in peer to peer environments
GB2505340A (en) 2011-03-28 2014-02-26 Ibm Anomaly detection system, anomaly detection method, and program of same
DE112012001160T5 (de) * 2011-05-13 2013-12-19 International Business Machines Corp. Unregelmäßigkeitserkennungssystem zum Erkennen einer Unregelmäßigkeit in mehreren Steuersystemen
US9171158B2 (en) 2011-12-12 2015-10-27 International Business Machines Corporation Dynamic anomaly, association and clustering detection
US9141623B2 (en) * 2012-08-03 2015-09-22 International Business Machines Corporation System for on-line archiving of content in an object store
US8943110B2 (en) * 2012-10-25 2015-01-27 Blackberry Limited Method and system for managing data storage and access on a client device
US9165006B2 (en) 2012-10-25 2015-10-20 Blackberry Limited Method and system for managing data storage and access on a client device
WO2014076731A1 (en) * 2012-11-13 2014-05-22 Hitachi, Ltd. Storage system, storage system control method, and storage control device
US20150295944A1 (en) * 2013-07-01 2015-10-15 Hitachi, Ltd. Control system, control method, and controller
KR101591193B1 (ko) 2014-09-17 2016-02-02 엘에스산전 주식회사 Plc 로그 데이터를 이용한 이상 발생 예측 시스템
US20170293757A1 (en) * 2014-10-06 2017-10-12 Brightsource Ics2 Ltd. Systems and Methods for Enhancing Control System Security by Detecting Anomalies in Descriptive Characteristics of Data
JP6693114B2 (ja) * 2015-12-15 2020-05-13 横河電機株式会社 制御装置及び統合生産システム
JP6759572B2 (ja) 2015-12-15 2020-09-23 横河電機株式会社 統合生産システム
US10152596B2 (en) * 2016-01-19 2018-12-11 International Business Machines Corporation Detecting anomalous events through runtime verification of software execution using a behavioral model
US10326790B2 (en) * 2016-02-12 2019-06-18 Shape Security, Inc. Reverse proxy computer: deploying countermeasures in response to detecting an autonomous browser executing on a client computer
US10432650B2 (en) * 2016-03-31 2019-10-01 Stuart Staniford System and method to protect a webserver against application exploits and attacks
DE102016106531A1 (de) * 2016-04-08 2017-10-12 Eaton Electrical Ip Gmbh & Co. Kg Busteilnehmer und Verfahren zum Betreiben eines Busteilnehmers
US11005863B2 (en) * 2016-06-10 2021-05-11 General Electric Company Threat detection and localization for monitoring nodes of an industrial asset control system
WO2018136088A1 (en) * 2017-01-20 2018-07-26 Hitachi, Ltd. OTxIT NETWORK INSPECTION SYSTEM USING ANOMALY DETECTION BASED ON CLUSTER ANALYSIS
JP6862615B2 (ja) * 2018-11-16 2021-04-21 三菱電機株式会社 攻撃検知装置、攻撃検知方法、および攻撃検知プログラム
US11934183B2 (en) 2019-06-13 2024-03-19 Tata Consultancy Services Limited Method and system for industrial anomaly detection
KR102191169B1 (ko) * 2019-11-26 2020-12-16 주식회사 오비고 이종 dcu의 출력 값을 사용하는 ads를 통해 자율 주행에서 발생할 수 있는 dcu들의 오판 상황을 방지하는 방법 및 이를 이용한 장치
CN111935189B (zh) * 2020-10-12 2021-02-05 中国航空油料集团有限公司 工控终端策略控制系统及工控终端策略控制方法
US20240078440A1 (en) 2022-08-24 2024-03-07 AO Kaspersky Lab Method for identifying patterns and anomalies in the flow of events from a cyber-physical system

Family Cites Families (20)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7127328B2 (en) * 1994-12-30 2006-10-24 Power Measurement Ltd. System and method for federated security in an energy management system
JPH10313537A (ja) 1997-05-07 1998-11-24 Toshiba Corp 水力発電所の監視制御装置
JPH1196031A (ja) 1997-09-24 1999-04-09 Toshiba Tec Corp 情報処理システム
JPH11175103A (ja) 1997-12-11 1999-07-02 Shimadzu Corp 制御演算装置
JP2000214919A (ja) 1999-01-22 2000-08-04 Toshiba Corp 分散型プラント監視システム及びそのシステムの処理プログラムを記録する記録媒体
US6654648B2 (en) * 2000-04-03 2003-11-25 Toyota Jidosha Kabushiki Kaisha Technique of monitoring abnormality in plurality of CPUs or controllers
JP4052983B2 (ja) 2002-06-28 2008-02-27 沖電気工業株式会社 警戒システム及び広域ネットワーク防護システム
JP2004054706A (ja) 2002-07-22 2004-02-19 Sofutekku:Kk セキュリティリスク管理システム、そのプログラムおよび記録媒体
JP2004246438A (ja) 2003-02-12 2004-09-02 Mitsubishi Electric Corp 時系列データの収集システム
US7624174B2 (en) 2003-05-22 2009-11-24 Microsoft Corporation Self-learning method and system for detecting abnormalities
JP2005227982A (ja) 2004-02-12 2005-08-25 Nippon Telegr & Teleph Corp <Ntt> セキュリティ監視機能を備えたネットワークシステム、ログデータ解析端末及び情報端末
CN101006433B (zh) 2004-08-25 2012-01-11 日本电气株式会社 信息通信装置和程序执行环境控制方法
JP4482816B2 (ja) * 2005-09-27 2010-06-16 日本電気株式会社 ポリシ処理装置、方法、及び、プログラム
JP3974150B2 (ja) 2006-01-19 2007-09-12 富士通株式会社 資産情報の一元管理を行うコンピュータシステム
EP1883033B1 (en) * 2006-07-21 2017-11-01 BlackBerry Limited Method and system for providing a honeypot mode for an electronic device
CN101170455B (zh) 2007-11-20 2010-12-29 中兴通讯股份有限公司 异常信息自动上报方法和装置
US7953016B2 (en) * 2008-03-03 2011-05-31 Nortel Networks Limited Method and system for telecommunication apparatus fast fault notification
JP5348489B2 (ja) * 2009-07-31 2013-11-20 オムロン株式会社 コントローラ
US8886746B2 (en) * 2009-09-09 2014-11-11 Rockwell Automation Technologies, Inc. Diagnostic module for distributed industrial network including industrial control devices
GB2505340A (en) 2011-03-28 2014-02-26 Ibm Anomaly detection system, anomaly detection method, and program of same

Also Published As

Publication number Publication date
MX2013011129A (es) 2013-10-30
CN103443727A (zh) 2013-12-11
DE112012000772T5 (de) 2013-11-07
WO2012132527A1 (ja) 2012-10-04
CN103443727B (zh) 2016-04-13
US9529690B2 (en) 2016-12-27
KR20130124357A (ko) 2013-11-13
GB2505340A (en) 2014-02-26
JP5480447B2 (ja) 2014-04-23
US9921938B2 (en) 2018-03-20
US20150033076A1 (en) 2015-01-29
US20130245793A1 (en) 2013-09-19
DE112012000772B4 (de) 2014-11-20
GB201318332D0 (en) 2013-11-27

Similar Documents

Publication Publication Date Title
JP5480447B2 (ja) 異常検知システム、異常検知方法、およびそのプログラム
EP3101581B1 (en) Security system for industrial control infrastructure using dynamic signatures
CN103150237B (zh) 基于故障的部件更换
US20150295944A1 (en) Control system, control method, and controller
US9874869B2 (en) Information controller, information control system, and information control method
CN104639380A (zh) 服务器监控方法
JP2008269194A (ja) 仮想計算機システム
JP5299684B2 (ja) 監視装置および情報処理システムおよび監視プログラム
US7831710B2 (en) Communication of offline status between computer systems
CN103246242A (zh) 工厂监视控制装置以及工厂监视控制方法
CN102143011B (zh) 一种实现网络保护的装置及方法
US20170026341A1 (en) Automation network and method for monitoring the security of the transfer of data packets
WO2024173216A1 (en) System and method for enhancing computer network reliability by countering disruptions in network communications
CN101764698B (zh) 电力设备自动回复的方法
WO2018193571A1 (ja) 機器管理システム、モデル学習方法およびモデル学習プログラム
JP2012038257A (ja) Ｏｓ動作状態確認システム、確認対象装置、ｏｓ動作状態確認装置、ｏｓ動作状態確認方法およびプログラム
KR20080051045A (ko) 홈네트워크에서의 오류 모델과 규칙 기반의 오류 관리 장치및 그 방법
US20200280570A1 (en) Method for Monitoring an Industrial Network
JP2014164628A (ja) 情報処理装置、情報処理方法および情報処理プログラム並びに統合監視サーバ及び監視システム
JP7278561B2 (ja) マシンラーニングセルフチェック機能を利用する非対面認証基盤ウェブファイアウォールメンテナンス方法および装置
CN118012362B (zh) 一种采用人工智能算法的打印设备控制系统
CN115248576A (zh) 冗余方法、计算机可读的记录介质及信息处理装置
JP2023045180A (ja) 制御クラウドサーバ
JP2015207970A (ja) 通信検査モジュール、通信モジュール、および制御装置
CN118826283A (zh) 一种用于新能源管理平台的异常监测预警系统

Legal Events

Date Code Title Description
TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20140128

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20140213

R150 Certificate of patent or registration of utility model

Ref document number: 5480447

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150