WO2014128840A1 - データ中継装置、ネットワークシステム、および、データ中継方法 - Google Patents

データ中継装置、ネットワークシステム、および、データ中継方法 Download PDF

Info

Publication number
WO2014128840A1
WO2014128840A1 PCT/JP2013/054070 JP2013054070W WO2014128840A1 WO 2014128840 A1 WO2014128840 A1 WO 2014128840A1 JP 2013054070 W JP2013054070 W JP 2013054070W WO 2014128840 A1 WO2014128840 A1 WO 2014128840A1
Authority
WO
WIPO (PCT)
Prior art keywords
data
communication data
specific information
received
difference
Prior art date
Application number
PCT/JP2013/054070
Other languages
English (en)
French (fr)
Inventor
大倉　敬規
山田　勉
祥慈 柚木
Original Assignee
株式会社 日立製作所
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社 日立製作所 filed Critical 株式会社 日立製作所
Priority to PCT/JP2013/054070 priority Critical patent/WO2014128840A1/ja
Priority to JP2015501119A priority patent/JP5957593B2/ja
Publication of WO2014128840A1 publication Critical patent/WO2014128840A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/10—Flow control; Congestion control
    • H04L47/22—Traffic shaping

Definitions

  • the present invention relates to a data relay device, a network system, and a data relay method.
  • Patent Document 1 As a method of protecting a network from cyber attacks, for example, a security system described in Patent Document 1 is known.
  • Patent document 1 JP-A-2002-176455
  • the legitimacy is determined by comparing packet header information (destination address, source address, TOS field, etc.) with authentication information registered in advance.
  • packet header information destination address, source address, TOS field, etc.
  • control LAN in which data (hereinafter referred to as “real-time data”) required to be subjected to real-time characteristics due to restrictions on periodicity or responsiveness is transmitted. It is an object of the present invention to provide a data relay device or the like with a high security function that can prevent the passage of fraudulent data due to impersonation or the like with respect to real-time data.
  • the present invention is directed to a specific data relay apparatus that is connected to a plurality of devices via a network and relays communication data transmitted and received among the plurality of devices.
  • a processing unit which obtains a difference between the information and the specific information stored before that, and extracts the received communication data as fraudulent data if the difference deviates from the range defined by the prescribed value It is characterized by
  • the present invention can construct a secure industrial system capable of eliminating fraudulent data such as impersonation in a control network in which data having a periodicity, responsiveness, etc. is restricted and real-time characteristics are required to be transmitted. .
  • FIG. 7 is a diagram showing an operation according to an embodiment of the present invention.
  • FIG. 7 is a diagram showing an operation according to an embodiment of the present invention.
  • FIG. 7 is a diagram showing an operation according to an embodiment of the present invention.
  • FIG. 7 is a diagram showing an operation according to an embodiment of the present invention.
  • FIG. 1 shows an example of the configuration of an information network system according to the first embodiment.
  • a security function which is a control LAN including a branch transmission line 90 connecting the LAN node 2 and the device 3 and between the control LAN node 2 or between the control LAN node 2 and the device 3
  • the data relay device 1 is connected to the transmission line 9 between the adjacent control LAN nodes 2 (data relay device 1a) or to the branch transmission line 90 between the control LAN node 2 and the device 3 There is a case (data relay device 1b).
  • control LAN and the control LAN node for example, an industrial network defined by the IEC 61158 standard may be used.
  • the device 3 for example, a controller and a monitoring computer used in an industrial plant, a control computer for sending control commands to the controller, and a gateway device used to connect a control LAN and an external network are used.
  • the configuration of the data relay apparatus 1 (1a, 1b) is shown in FIG.
  • the data relay device 1 includes data sorting means 10a and 10b, non-real-time data target fraud data removal means 19, and real-time data target fraud data removal means 11.
  • the transmission path connected on the left side is 9a
  • the transmission path connected on the right side is 9b
  • data sorting means for transmitting and receiving to the transmission path 9a is 10a
  • data sorting means for transmitting to and from the transmission path 9b is 10b.
  • the data relay device 1 performs the same processing on both data transmitted from the transmission line 9a to the transmission line 9b and data transmitted from the transmission line 9b to the transmission line 9a. Do.
  • illegal data refers to data (real-time data or non-real-time data) injected into the control LAN by the malicious intent of an attacker who cyber-attacks an industrial system
  • regular data refers to the control LAN. Represents data (real-time data or non-real-time data) which is not the illegal data among the data to be transmitted.
  • the data sorting means 10a and 10b receive data from the transmission paths 9a and 9b, respectively, read out the source address and the destination address from the header information of the received data, and sort the received data into real time data and non real time data. .
  • the data sorting means 10a, 10b can also sort real-time data and non-real-time data using the protocol, data type, destination port number, transmission source port number, etc. of the received data.
  • the data sorting means 10a and 10b respectively transmit the regular data output from the non-real-time data target fraudulent data removal means 19 or the real-time data target fraudulent data removal means 11 to the connected transmission paths 9a and 9b. .
  • the non-real-time data object fraudulent data removal means 19 pre-registers header information (destination address, source address, TOS field, etc.) of packets from the non-real-time data output by the data selection means 10a, 10b. Also, the legitimacy is determined by comparing with the authentication information. By this determination, the fraudulent data is removed, and the legitimate data is output to the data sorting means 10b and 10a, respectively.
  • the removing means 19 may only have the function of relaying data without processing it.
  • the real-time data object fraudulent data removal means 11 comprises a data determination means 30 and a data filter processing means 20.
  • the received real-time data is regular data or illegal data by measuring the arrival interval of real-time data and comparing the arrival interval with the expected transmission cycle of the real-time data And output the determination result.
  • the configuration of the data determination means 30 is shown in FIG.
  • the data determination means 30 includes an arithmetic processing means 310, a storage means 330, and a time measurement means 300.
  • the arithmetic processing means 310 has data arrival detection means 301 and arrival interval judgment means 304 as processing performed by the arithmetic processing means 310.
  • the storage unit 330 stores a data arrival interval recording table 320 in which the arrival time of data is recorded by the data arrival time storage unit 302, and a determination condition 303 for storing a determination condition of fraudulent data.
  • the time measuring unit 300 can also operate as processing performed by the arithmetic processing unit 310.
  • the data arrival detection means 301 detects the real time data output from the data selection means 10 a and 10 b and outputs the data to the data arrival time storage means 302.
  • the data arrival time storage means 302 stores the real time data into the data arrival interval record table 320 together with the arrival time.
  • the time output by the time measurement means 300 at the time of arrival of the real time data is taken as the arrival time of the real time data.
  • FIG. 3 An example of the recorded contents of the data arrival interval record table 320 is shown in FIG.
  • the data arrival interval recording table 320 records, for each type of real time data (data A, data B and data C in FIG. 7), the latest arrival time and the arrival time of the real time data received one before that, The time difference between the two (hereinafter referred to as "arrival interval") is recorded.
  • the type of data may indicate, for example, a combination of a destination device of data and a source device of data, or may be classified according to the transmission cycle or the content of data.
  • the data arrival time storage means 302 outputs the arrival interval to the arrival determination means 304.
  • the arrival determination means 304 compares the output of the data arrival time storage means 302 (arrival interval) with the output of the determination condition 303 for storing the transmission cycle and arrival interval predetermined for each type of real time data, and If the difference between the outputs of the judgment condition 303 is within a predetermined time, the latest real-time data is judged as regular data, the judgment result is outputted to the data filter processing means 20, and the difference between the time difference and the output of the judgment condition 303 is If the time is larger than the predetermined time, the latest real-time data is determined to be invalid data, and the determination result is output to the data filter processing means 20.
  • the data filter processing means 20 is composed of determination waiting data storage means 201 and discard data processing means 210.
  • the determination waiting data storage unit 201 stores the real-time data output by the data selection unit 10a and 10b until the real-time data target fraudulent data removal unit 11 outputs a decision of the regular data or the fraudulent data, and the result of the decision And process the stored real-time data. That is, in the case of determination of normal data, data is output to the data selection means 10b or 10a (data output by 10a is to 10b, data output by 10b is 10a). If it is the determination of the illegal data, it is output to the discard data processing means 210, and the data is discarded in the discard data processing means 210.
  • FIG. 13 shows an example of determination of regular data and unauthorized data in the arrival determination means 304.
  • the data relay apparatus 1 exists on the transmission path 9 between the device A and the device B. To. Also, suppose that there is a cyber-attacker to the device ⁇ , and the transmission source is assumed to be the device A to inject real-time data onto the transmission line 9.
  • the device A of the transmission source transmits regular periodic data S1, S2 and S3 approximately every time T, and the attacker has intercepted the S1, S2 and S3 and tampered with it, etc. Incorrect data S1 ', S2', S3 'are transmitted at appropriate time intervals.
  • the data relay device 1 measures from the time when the regular cycle data (S1) arrives, and refers to a period after "T- ⁇ Ta” elapses to "T + ⁇ Tb" elapse (hereinafter referred to as "normal determination period"
  • the periodic data (S2) arriving at) is judged as regular data, and similarly, the periodic data (S3) arriving in the next regular judgment period is judged as regular data, and both are relayed to the device ⁇ .
  • the data relay device 1 determines that the data is illegal data and discards it.
  • the determination accuracy of real-time data can be controlled.
  • These values T, ⁇ Ta, ⁇ Tb, etc. used for the determination are set in the determination condition 303. Further, by setting ⁇ Ta and ⁇ Tb before and after the cycle T as in this embodiment, fine determination and setting can be performed in consideration of a cycle shift due to a clock difference with another device connected to the network.
  • a method of using an arrival interval between different types for determination may be considered.
  • real-time data A1, A2, B1, B2, C1, C2 of three types A, B, C of the same transmission cycle T are transmitted on the transmission path 9 ( It is not necessary for the transmission source and the destination to be the same device), and the property that the mutual relationship of transmission timing is almost the same every cycle is used between the respective data types. That is, six types of “normal determination periods” are set from the mutual arrival intervals of real-time data among types A, B, and C. In FIG.
  • the method of processing as regular data has been described if any one of the plurality of determination periods is satisfied, but if any one of the conditions deviates from the determination period, it may be processed as illegal data. it can.
  • FIG. 15 An example of the recording content of the data arrival interval recording table 321 for implementing the determination method of FIG. 15 is shown in FIG.
  • the data arrival interval recording table 321 records the latest arrival time and the arrival interval between the different types between the types of real time data (all combinations of data A, data B and data C in FIG. 8). By thus determining a plurality of determination periods between different data types, it is possible to detect fraudulent data using another determination period even if the determination by any one determination period can not be used due to data omission or the like. it can.
  • setting information may be installed from a computer or dedicated setting device capable of supporting a communication interface such as RS232C or IEEE 802.3 standard, or an external storage medium such as a USB memory or SD memory storing setting information is connected. And may be read from the determination condition 303.
  • arrival interval learning means 305 is provided in arithmetic processing means 310 of data determination means 30, and arrival of real time data output from data arrival detection means 301
  • the interval (the transmission cycle for each data type in the case of FIG. 13 and FIG. 14 and the arrival interval between the data types in addition to the transmission cycle in FIG. 15) is learned for a fixed period, and the learning result (between the transmission cycle and the data types) Arrival interval etc.) can also be determined as the judgment condition 303.
  • the determination result 306 is stored in the storage unit 320, and the determination result output by the arrival interval determination unit 304 is stored in association with the determination time.
  • the determination result to be stored may be only a record related to detection of incorrect data.
  • the determination result 306 may have a function of outputting a record of the stored determination result to the outside.
  • it may be read using a computer compatible with a communication interface such as RS232C or IEEE 802.3 standard or a dedicated setting device, or an external storage medium such as USB memory or SD memory is connected and written. It is also good.
  • the determination result 306 may be displayed outside the data relay device 1 when a new determination result of incorrect data is recorded.
  • a method of displaying for example, when illegal data is detected, the LED is turned on, displayed on the LCD, or an alarm sound or a voice is emitted.
  • the first embodiment has been described above.
  • a control LAN for transmitting real-time data having periodicity
  • data having a high security function capable of maintaining periodicity and preventing passage of unauthorized data due to impersonation etc.
  • a relay device and an information network system using the same can be provided. Furthermore, not only from outside the control LAN, but also against attacks from persons who have invaded the control LAN, it is possible to eliminate illegal data by detecting data that deviates from periodicity as illegal data. Can build a secure control system.
  • the data relaying apparatus has been divided into blocks for each function, and these can be executed as a program executed by the CPU, or they can be designed by integrated circuits for each function. It can also be realized by hardware.
  • real-time data flowing through the control LAN also includes data for which responsiveness is required. That is, there are many cases where data is transmitted and received without a connection between the transmission source device and the destination device in order to reduce the communication processing load. As such data, in order to perform retransmission processing and failure detection when data is lost due to connectionlessness, a sequence number indicating the transmission order is set inside the data. The source device increments the sequence number each time data is sent, and the destination device detects data loss by monitoring the continuity of the sequence numbers.
  • An exemplary configuration of an information network system according to the second embodiment is the same as that shown in FIG.
  • the data relay device 1 is the same as that shown in FIG.
  • the real-time data object fraudulent data removal means 11 is composed of data determination means 30 and data filter processing means 20, but the data determination means in the second embodiment is distinguished from the data determination means 30 in the first embodiment. In order to make it 30b.
  • the data determination means 30b monitors the sequence number of real time data, and compares the sequence number of the data received this time with the sequence number of the data received previously, so that the received real time data is regular data or invalid data. The judgment result is output.
  • the configuration of the data determination means 30b is shown in FIG.
  • the data determination unit 30 includes an arithmetic processing unit 310 and a storage unit 330.
  • the processing unit 310 includes data arrival detection unit 301 and sequence number determination unit 354 as the processing performed by the processing unit 310.
  • the storage unit 330 stores a sequence number recording table 370 in which the sequence number is recorded by the sequence number storage unit 352, and a difference value determination condition 353 for storing the determination condition of incorrect data.
  • the data arrival detection unit 301 detects the real time data output from the data selection unit 10 a and 10 b and outputs the data to the sequence number storage unit 352.
  • the sequence number storage unit 352 stores the sequence number of the real time data in the sequence number recording table 370.
  • the sequence number recording table 370 records, for each type of real time data (data A, data B and data C in FIG. 11), the latest sequence number and the sequence number of the real time data received immediately before that both The difference value of (hereinafter referred to as "difference value") is recorded.
  • the type of data may indicate, for example, a combination of a destination device of data and a source device of data, or may be classified according to the transmission cycle or the content of data.
  • sequence number storage unit 352 outputs the difference value to the sequence number determination unit 354.
  • the sequence number determination unit 354 compares the output (difference value) of the sequence number storage unit 352 with the output of the difference value determination condition 353 for storing the allowable range of the difference value predetermined for each type of real time data, If the difference value is equal to or less than the value allowed by the difference value determination condition 353, the latest real-time data is determined as regular data, and the determination result is output to the data filter processing means 20, and the difference value is determined as the difference value determination. If the value is larger than the value permitted by the condition 353, the latest real-time data is determined to be incorrect data, and the determination result is output to the data filter processing means 20.
  • a value having a certain width is set as the difference value determination condition 353. Ru.
  • the data filter processing means 20 is the same as that shown in FIG.
  • setting information may be installed from a computer or dedicated setting device capable of supporting a communication interface such as RS232C or IEEE 802.3 standard, or an external storage medium such as a USB memory or SD memory storing setting information is connected. Then, the difference value determination condition 353 may be read.
  • the sequence number determination unit 354 detects invalid data, a unit for notifying the outside may be required. Therefore, as shown in FIG. 10, if the determination result 306 is stored in the storage unit 320, the determination result output from the sequence number determination unit 354 is stored in correspondence with the determination time which is the output of the time measurement unit 300. Keep it. The determination result to be stored may be only a record related to detection of incorrect data.
  • the determination result 306 may have a function of outputting a record of the stored determination result to the outside.
  • it may be read using a computer compatible with a communication interface such as RS232C or IEEE 802.3 standard or a dedicated setting device, or an external storage medium such as USB memory or SD memory is connected and written. It is also good.
  • the determination result 306 may be displayed outside the data relay device 1 when a new determination result of incorrect data is recorded.
  • a method of displaying for example, when illegal data is detected, the LED is turned on, displayed on the LCD, or an alarm sound or a voice is emitted.
  • the continuity of real-time data is maintained, and the passage of illegal data due to impersonation etc. in the control LAN where real-time data having a sequence number representing the transmission order is transmitted. It is possible to provide a data relay device with high security function that can be blocked and an information network system using the same. Furthermore, it is possible to eliminate unauthorized data not only from outside the control LAN but also against attacks from persons who have invaded the control LAN, and a secure control system can be constructed.
  • the first embodiment described above is a method for removing fraudulent data from disturbance of real time data periodicity
  • the second embodiment is a method for eliminating fraudulent data from disturbance of real time data continuity, If these two methods are compatible, it is possible to detect fraudulent data of more types of real-time data.
  • FIG. 12 shows the configuration of the real-time data target fraudulent data removal means 11 after the change.
  • the real-time data object fraudulent data removal means 11 of the present embodiment includes a data filter processing means 20, a data determination means 30 for determining from periodicity of real-time data, and a continuity data determination means 30b for determining from continuity of real-time data. , And a judgment result combining means 340.
  • a continuity data determination means is called.
  • the received real-time data is subjected to determination of unauthorized data by the data determination means 30 and the continuity data determination means 30b, and the determination result combining means 340 combines the determination results of both determination means to make a final determination.
  • the final determination is, for example, prioritizing any of the determination results, and determining either the invalid data only when both determination means perform the incorrect data determination, either one of the determination means is the incorrect data If the determination is made, it may be possible to determine incorrect data.
  • the third embodiment has been described above.
  • the method of removing illegal data from the disturbance of periodicity of real-time data and the method of removing illegal data from the disturbance of continuity of real-time data can be compatible, and more It is possible to detect unauthorized data of real-time data of the following types.
  • the present invention is not limited to the embodiments described above, but includes various modifications.
  • the embodiments described above are described in detail in order to explain the present invention in an easy-to-understand manner, and are not necessarily limited to those having all the configurations described.
  • part of the configuration of one embodiment can be replaced with the configuration of another embodiment, and the configuration of another embodiment can be added to the configuration of one embodiment.
  • each of the configurations, functions, processing units, processing means, etc. described above may be realized by hardware, for example, by designing part or all of them with an integrated circuit. Further, each configuration, function, etc. described above may be realized by software by the processor interpreting and executing a program that realizes each function. Information such as a program, a table, and a file for realizing each function can be placed in a memory, a hard disk, a recording device such as an SSD (Solid State Drive), or a recording medium such as an IC card, an SD card, or a DVD.
  • SSD Solid State Drive
  • control lines and information lines indicate what is considered to be necessary for the description, and not all control lines and information lines in the product are necessarily shown. In practice, almost all configurations may be considered to be mutually connected.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)

Abstract

　本発明では、周期性や応答性などに制約がありリアルタイム性を要求されるデータが伝送される制御用ネットワークにおいて、成り済まし等に起因する不正データの通過を阻止できるセキュリティ機能の高いデータ中継装置等を提供することを目的とする。　上記課題を解決するために、本発明は、複数の機器とネットワークを介して接続され、前記複数の機器間で送受信される通信データを中継するデータ中継装置において、中継する前記通信データに関する特定の情報と、不正データを抽出するために予め定められた規定値と、を記憶する記憶部と、受信した通信データに関する前記特定の情報を前記記憶部に格納するとともに、新たに格納した前記特定の情報と、それ以前に格納した前記特定の情報との差分を求め、差分が前記規定値に定める範囲を逸脱する場合には、当該受信した通信データを不正データとして抽出する処理部と、を有することを特徴とする。

Description

データ中継装置、ネットワークシステム、および、データ中継方法
　本発明は、データ中継装置、ネットワークシステム、および、データ中継方法に関する。
　近年、プラントやファクトリオートメーションシステムなどの産業システムにおいて、システム外に存在する拠点から遠隔監視や遠隔制御などを行う目的で、制御用の機器を接続しリアルタイムデータを伝送する制御用ネットワークを、インターネットなどの外部ネットワークに接続することが増加している。このため、インターネット経由で外部から偽のリアルタイムデータを注入するなどの方法で、産業システムがサイバー攻撃の脅威にさらされるようになっており、サイバー攻撃からリアルタイムデータを扱う産業システムを防御する手法や装置が開発されている。
　サイバー攻撃からネットワークを防御する手法としては、例えば、特許文献１に記載のセキュリティシステムが知られている。
　特許文献１に記載のセキュリティシステムでは、リアルタイムデータの一種である音声パケットをインターネット経由で伝送するシステムにおいて、パケットのヘッダ部分におけるＴＯＳ（Ｔｙｐｅ　Ｏｆ　Ｓｅｒｖｉｃｅ）フィールド及び認証フィールドを抽出し、真のユーザから転送されてきた音声データであるかどうかの照合を行い、一致しない音声パケットを破棄する、という特徴を持つものであった。
特開２００２－１７６４５５
　特許文献１記載の技術では、パケットのヘッダ情報（宛先アドレスや送信元アドレス、ＴＯＳフィールドなど）を、予め登録されたに認証情報と比較することにより、正当性の判定を行う。しかし、ネットワークの伝送路において盗聴され複製された成り済ましパケットは、正当性の判定をすり抜け不正パケットを除去できない可能性がある、という問題がある。
　本発明では、周期性や応答性などに制約がありリアルタイム性を要求されるデータ（以降、「リアルタイムデータ」と称す）が伝送される制御用ネットワーク（以降、「制御ＬＡＮ」と称す）において、リアルタイムデータに対して、成り済まし等に起因する不正データの通過を阻止できるセキュリティ機能の高いデータ中継装置等を提供することを目的とする。
　　本発明は、上記課題を解決するために、複数の機器とネットワークを介して接続され、前記複数の機器間で送受信される通信データを中継するデータ中継装置において、中継する前記通信データに関する特定の情報と、不正データを抽出するために予め定められた規定値と、を記憶する記憶部と、受信した通信データに関する前記特定の情報を前記記憶部に格納するとともに、新たに格納した前記特定の情報と、それ以前に格納した前記特定の情報との差分を求め、差分が前記規定値に定める範囲を逸脱する場合には、当該受信した通信データを不正データとして抽出する処理部と、を有することを特徴とする。
　本発明では、周期性や応答性などに制約がありリアルタイム性を要求されるデータが伝送される制御用ネットワークにおいて、成り済まし等の不正データを排除することが可能な、セキュアな産業システムを構築できる。
本発明の１実施形態に係る情報ネットワークシステムの構成を示す図である。 本発明の１実施形態に係るデータ中継装置の構成を示す図である。 本発明の１実施形態に係るデータ中継装置の構成を示す図である。 本発明の１実施形態に係るデータ中継装置の構成を示す図である。 本発明の１実施形態に係るデータ中継装置の構成を示す図である。 本発明の１実施形態に係るデータ中継装置の構成を示す図である。 本発明の１実施形態に係る記憶手段を示す図である。 本発明の１実施形態に係る記憶手段を示す図である。 本発明の１実施形態に係るデータ中継装置の構成を示す図である。 本発明の１実施形態に係るデータ中継装置の構成を示す図である。 本発明の１実施形態に係る記憶手段を示す図である。 本発明の１実施形態に係るデータ中継装置の構成を示す図である。 本発明の１実施形態に係る動作を示す図である。 本発明の１実施形態に係る動作を示す図である。 本発明の１実施形態に係る動作を示す図である。
　以下、本発明の実施形態について図面を用いて説明する。
第１の実施形態
　第１の実施形態について説明する。まず、図１に、第１の実施形態に係る情報ネットワークシステムの一構成例を示す。
　図１における情報ネットワークシステムでは、データを伝送する伝送路９と、データを送受信する複数の機器３と、伝送路９と機器３との間でデータを中継する複数の制御ＬＡＮノード２と、制御ＬＡＮノード２と機器３を結ぶ支線伝送路９０と、から構成される制御ＬＡＮであって、制御ＬＡＮノード２間もしくは制御ＬＡＮノード２と機器３との間に、セキュリティ機能を有するデータ中継装置１を設ける。
　なお、データ中継装置１は、隣接する制御ＬＡＮノード２間の伝送路９に接続される場合（データ中継装置１ａ）や、制御ＬＡＮノード２と機器３の間の支線伝送路９０に接続される場合（データ中継装置１ｂ）がある。
　また、前記制御ＬＡＮおよび制御ＬＡＮノードとしては、例えば、ＩＥＣ６１１５８規格で規定された産業用ネットワークを使用してもよい。
　また、前記機器３としては、例えば、産業プラントで使用するコントローラや監視用コンピュータ、コントローラに制御指令を送る制御用コンピュータ、さらには制御ＬＡＮと外部ネットワークを接続するために使用するゲートウェイ装置などを使用してもよい。次にデータ中継装置１（１ａ、１ｂ）の構成を図２に示す。データ中継装置１は、図２に示すように、データ選別手段１０ａ、１０ｂと、非リアルタイムデータ対象不正データ除去手段１９と、リアルタイムデータ対象不正データ除去手段１１と、から構成される。
　なお、図２において、左側に接続された伝送路を９ａ、右側に接続された伝送路を９ｂとし、伝送路９ａに送受信するデータ選別手段を１０ａ、伝送路９ｂに送受信するデータ選別手段を１０ｂとし、データ中継装置１は、伝送路９ａから伝送路９ｂの方向へ伝送されるデータと伝送路９ｂから伝送路９ａの方向へ伝送されるデータの双方に対して、同じ処理を実施することとする。
　また、以下、「不正データ」とは、産業システムをサイバー攻撃する攻撃者の悪意により、制御ＬＡＮへ注入されたデータ（リアルタイムデータあるいは非リアルタイムデータ）を表し、「正規データ」とは、制御ＬＡＮを伝送されるデータのうち前記不正データではないデータ（リアルタイムデータあるいは非リアルタイムデータ）を表す。
　前記データ選別手段１０ａ、１０ｂは、それぞれ伝送路９ａ、９ｂからデータを受信し、受信したデータのヘッダ情報から送信元アドレスや宛先アドレスを読み出し、前記受信データをリアルタイムデータと非リアルタイムデータに選別する。その結果、非リアルタイムデータであれば、前記非リアルタイムデータ対象不正データ除去手段１９へ出力し、リアルタイムデータであれば、前記リアルタイムデータ対象不正データ除去手段１１へ出力する。ここで、データ選別手段１０ａ、１０ｂは、受信したデータのプロトコルやデータ種別、宛先ポート番号、送信元ポート番号等を用いてリアルタイムデータと非リアルタイムデータを選別することもできる。
　また、前記データ選別手段１０ａ、１０ｂは、前記非リアルタイムデータ対象不正データ除去手段１９あるいは前記リアルタイムデータ対象不正データ除去手段１１が出力した正規データを、接続された伝送路９ａ、９ｂへそれぞれ送信する。
　前記非リアルタイムデータ対象不正データ除去手段１９は、前記データ選別手段１０ａ、１０ｂが出力した非リアルタイムデータの中から、パケットのヘッダ情報（宛先アドレスや送信元アドレス、ＴＯＳフィールドなど）を、予め登録されたに認証情報と比較することにより、正当性の判定を行う。本判定によって、不正データを除去し、正規データをそれぞれ前記データ選別手段１０ｂ、１０ａへ出力する。
　あるいは、非リアルタイムデータの不正データを除去する機能を、データ中継装置１以外の他のセキュリティ装置（例えば、侵入防止システム（Ｉｎｔｒｕｓｉｏｎ　Ｐｒｅｖｅｎｔｉｏｎ　Ｓｙｓｔｅｍ）など）で実施させる場合は、前記非リアルタイムデータ対象不正データ除去手段１９はデータを加工せず中継する機能のみでもよい。
　前記リアルタイムデータ対象不正データ除去手段１１は、データ判定手段３０とデータフィルタ処理手段２０から構成される。
　前記データ判定手段３０は、リアルタイムデータの到着間隔を計測し、前記到着間隔と前記リアルタイムデータの期待される伝送周期を比較することにより、受信したリアルタイムデータが正規データであるか不正データであるかを判定し、判定結果を出力する。データ判定手段３０の構成を図４に示す。
　データ判定手段３０は、演算処理手段３１０と、記憶手段３３０と、時刻計測手段３００と、から構成される。また、演算処理手段３１０は、演算処理手段３１０が行う処理として、データ到着検出手段３０１、到着間隔判定手段３０４を有する。記憶手段３３０には、データ到着時刻記憶手段３０２によってデータの到着時刻が記録されたデータ到着間隔記録テーブル３２０と、不正データの判定条件を記憶する判定条件３０３が記憶される。また、時刻計測手段３００は、演算処理手段３１０が行う処理として動作することもできる。
　次にデータ判定手段の動作について説明する。データ選別手段１０ａ、１０ｂが出力したリアルタイムデータをデータ到着検出手段３０１が検出し、データ到着時刻記憶手段３０２へ出力する。データ到着時刻記憶手段３０２は、前記リアルタイムデータを、到着時刻と共にデータ到着間隔記録テーブル３２０へ記憶する。前記リアルタイムデータの到着時に時刻計測手段３００が出力した時刻を、リアルタイムデータの到着時刻とする。
　データ到着間隔記録テーブル３２０の記録内容の例を図７に示す。
　データ到着間隔記録テーブル３２０は、リアルタイムデータの種別毎（図７ではデータＡ、データＢ、データＣそれぞれ）に、最新の到着時刻、その一つ前に受信したリアルタイムデータの到着時刻を記録し、両者の時間差（以下、「到着間隔」と称す）を記録する。なお、データの種別とは、例えば、データの宛先機器と送信元機器の組を指すものでも良いし、さらに伝送周期やデータの内容により分類されたものでもよい。
　また、図４において、データ到着時刻記憶手段３０２は前記到着間隔を到着判定手段３０４に出力する。
　到着判定手段３０４は、リアルタイムデータの種別毎に予め定められた伝送周期や到着間隔を記憶する判定条件３０３の出力と、データ到着時刻記憶手段３０２の出力（到着間隔）を比較し、前記時間差と、判定条件３０３の出力の差が一定時間以内であれば、最新のリアルタイムデータを正規データと判定し、判定結果をデータフィルタ処理手段２０へ出力し、前記時間差と判定条件３０３の出力の差が一定時間より大きければ、最新のリアルタイムデータを不正データと判定し、判定結果をデータフィルタ処理手段２０へ出力する。
　データフィルタ処理手段２０は、図３に示すように、判定待ちデータ蓄積手段２０１と廃棄データ処理手段２１０から構成される。
　判定待ちデータ蓄積手段２０１は、データ選別手段１０ａ、１０ｂが出力したリアルタイムデータを、リアルタイムデータ対象不正データ除去手段１１が正規データあるいは不正データの判定を出力するまで蓄積しておき、前記判定の結果に従い、蓄積していたリアルタイムデータを処理する。すなわち、正規データの判定であれば、データをデータ選別手段１０ｂあるいは１０ａへ（１０ａが出力したデータは１０ｂへ、１０ｂが出力したデータは１０ａ）出力する。不正データの判定であれば、廃棄データ処理手段２１０へ出力され、廃棄データ処理手段２１０においてデータは廃棄処理される。
　なお、到着判定手段３０４における、正規データと不正データを判定する例を図１３に示す。
　図１３では、送信元機器甲から宛先機器乙へ伝送周期ＴのリアルタイムデータＳ１、Ｓ２、Ｓ３の伝送を想定し、機器甲と機器乙との間の伝送路９上にデータ中継装置１が存在するとする。また、機器乙へのサイバー攻撃者が存在し、送信元を機器甲として成り済ましたリアルタイムデータを伝送路９上へ注入するとする。
　送信元の機器甲からは、ほぼ時間Ｔ毎に正規の周期データＳ１、Ｓ２、Ｓ３が送信され、攻撃者から前記Ｓ１、Ｓ２、Ｓ３を盗聴して改竄するなどの方法で成り済ました不正データＳ１’、Ｓ２’、Ｓ３’が適当な時間間隔で送信されている。
　そこで、データ中継装置１は、正規の周期データ（Ｓ１）が到着した時点から計測して、「Ｔ－ΔＴａ」経過後から「Ｔ＋ΔＴｂ」経過後までの期間（以下、「正規判定期間」と称す）に到着した周期データ（Ｓ２）を正規データを判定し、同様に次の正規判定期間に到着した周期データ（Ｓ３）を正規データと判定し、いずれも機器乙へ中継される。
　一方、攻撃者から送信された成り済ましデータＳ１’、Ｓ２’、Ｓ３’は、前記正規到着期間に到着しないために、データ中継装置１は、不正データと判定し廃棄する。
　前記ΔＴａやΔＴｂに適当な値を選ぶことにより、リアルタイムデータの判定精度を制御することができる。判定に用いるこれらの値Ｔ、ΔＴａ、ΔＴｂなどは、判定条件３０３に設定しておく。また、本実施例のように周期Ｔの前後それぞれにΔＴａ、ΔＴｂを定めることで、ネットワークに接続される他の装置とのクロック差による周期ずれを考慮して細かい判定設定を行うことができる。
　なお、図１３の例では、正規判定期間に偶然、不正な周期データが到着した場合、それを正規データと誤って判定する可能性がある。そこで、正規判定期間に複数の同じ種別のリアルタイムデータが到着した場合は、全て不正データ扱いして廃棄するという方法が考えられる。例えば、図１４に示すように、同じ正規判定期間内に正規の周期データＳ２と不正データＳ２’が到着した場合、両者を廃棄する。この方法では、正規のデータ（Ｓ２）も失われることになるが、次の周期の正規データ（Ｓ３）でリカバリすれば良い。
　また、同じ伝送周期のリアルタイムデータが複数種別存在する場合、異なる種別間での到着間隔を判定に用いる方法も考えられる。例えば、図１５に示すように、同じ伝送周期Ｔの３つの種別Ａ，Ｂ，Ｃのリアルタイムデータ（Ａ１，Ａ２と、Ｂ１、Ｂ２と、Ｃ１、Ｃ２）が伝送路９を伝送される場合（必ずしも送信元や宛先が同じ機器である必要は無い）、それぞれのデータ種別間で毎周期、伝送タイミングの相互関係がほぼ同じとなる性質を利用する。すなわち、種別Ａ，Ｂ，Ｃ間のリアルタイムデータの相互の到着間隔からそれぞれ６種類の「正規判定期間」を設定する。図１５では、周期データＡ２に対して、種別Ｂの最新データであるＢ１との到着間隔Δｔａｂ、および種別Ｃの最新データであるＣ１との到着間隔Δｔａｃのうちどちらか一方が対応する正規判定期間内にあれば、正規データと判定する。図１５では、他のデータＢ２、Ｃ２に対しても同様の判定を行っており、正規判定期間外に到着したＣ１’やＡ１’は不正データと判定して廃棄処理する。本例では、複数の判定期間のうち、いずれか１つの条件を満たせば正規データとして処理する方式を説明したが、いずれか１つの条件が判定期間を逸脱する場合に不正データとして処理することもできる。
　図１５の判定方法を実施するためのデータ到着間隔記録テーブル３２１の記録内容の例を図８に示す。
　データ到着間隔記録テーブル３２１は、リアルタイムデータの種別間相互（図８ではデータＡ、データＢ、データＣの間の全ての組合せ）に、最新の到着時刻、各種別間の到着間隔を記録する。このように異なるデータ種別間で複数の判定期間を定めることによって、データ抜け等によって、いずれか１つの判定期間による判定が使用できない場合においても他の判定期間を用いて不正データを検出することができる。
　ところで、図４において、判定に用いる伝送周期や到着間隔などは判定条件３０３に設定されていたが、データ中継装置１の外部から設定する手段があってもよい。
　例えば、ＲＳ２３２ＣやＩＥＥＥ８０２．３規格などの通信インタフェースに対応可能なコンピュータや専用設定機器などから設定情報をインストールしても良いし、設定情報を記憶したＵＳＢメモリやＳＤメモリなどの外部記憶媒体を接続して、判定条件３０３から読み込みさせてもよい。
　また、外部設定を不要とする方法として、図５に示すように、データ判定手段３０の演算処理手段３１０内に到着間隔学習手段３０５を設け、データ到着検出手段３０１から出力されるリアルタイムデータの到着間隔（図１３、図１４の場合はデータ種別毎の伝送周期、図１５の場合は前記伝送周期に加えてデータ種別間の到着間隔）を一定期間学習し、学習結果（伝送周期やデータ種別間の到着間隔など）を判定条件３０３へとして定めることもできる。
　また、到着間隔判定手段３０４が不正データを検出した時に、外部へ通知する手段が必要となる場合がある。そこで、図６に示すように、記憶手段３２０内に判定結果３０６を持たせ、到着間隔判定手段３０４が出力する判定結果を、判定時刻を対応させて記憶しておく。記憶する判定結果は不正データの検出に関する記録だけでもよい。
　さらに、判定結果３０６は記憶した判定結果の記録を外部へ出力する機能があってもよい。例えば、ＲＳ２３２ＣやＩＥＥＥ８０２．３規格などの通信インタフェースに対応可能なコンピュータや専用設定機器などを利用して読みだしてもよいし、ＵＳＢメモリやＳＤメモリなどの外部記憶媒体を接続して書き込みさせてもよい。
　さらに、判定結果３０６は、新たな不正データの判定結果が記録されるとデータ中継装置１の外部へ表示してもよい。表示する方法としては、例えば、不正データが検出された時に、ＬＥＤを点灯させる、ＬＣＤに表示する、警報音や音声を発する、などである。
　以上、第１の実施形態について説明した。
　以上に述べたことにより、本発明では、周期性を持つリアルタイムデータが伝送される制御ＬＡＮにおいて、周期性を維持し、かつ、成り済まし等に起因する不正データの通過を阻止できるセキュリティ機能の高いデータ中継装置およびそれを使った情報ネットワークシステムを提供することができる。さらに、制御ＬＡＮの外部からだけではなく、制御ＬＡＮ内部に侵入した者からの攻撃に対しても、周期性を逸脱したデータを不正データとして検出することで不正データを排除することが可能であり、セキュアな制御システムを構築できる。
　また、本実施例では、データ中継装置が有する機能ごとにブロック分けして図に表しているが、これらはＣＰＵが行うプログラムとして実行させることもできるし、機能ごとに集積回路で設計する等によりハードウェアで実現することもできる。
第２の実施形態
　上述の第１の実施形態では、リアルタイムデータの周期性に着目したが、制御ＬＡＮを流れるリアルタイムデータには周期性を要求されるデータの他に、応答性を要求されるデータもある。すなわち、通信処理負荷を低減するために送信元機器と宛先機器との間でコネクションレスでデータを送受信する場合も多い。このようなデータは、コネクションレスのためデータが欠損した場合の再送処理や障害検出を行うために、データの内部に送信順序を表すシーケンス番号をセットする。送信元機器がデータ送信毎にシーケンス番号をインクリメントし、宛先機器はシーケンス番号の連続性を監視することにより、データの欠損を検出する。
　そこで、第２の実施形態では、リアルタイムデータのシーケンス番号を監視することにより不正データを検出する方法について述べる。
　第２の実施形態に係る情報ネットワークシステムの一構成例は図１と同様である。
　データ中継装置１は図２と同様である。
　リアルタイムデータ対象不正データ除去手段１１は、データ判定手段３０とデータフィルタ処理手段２０から構成されるが、第２の実施形態におけるデータ判定手段は、第１の実施形態のデータ判定手段３０と区別するために３０ｂとする。
　データ判定手段３０ｂは、リアルタイムデータのシーケンス番号を監視し、今回受信したデータのシーケンス番号と前回受信したデータのシーケンス番号を比較することにより、受信したリアルタイムデータが正規データであるか不正データであるかを判定し、判定結果を出力する。
　データ判定手段３０ｂの構成を図９に示す。
　データ判定手段３０は、演算処理手段３１０と、記憶手段３３０と、から構成される。また、演算処理手段３１０は、演算処理手段３１０が行う処理として、データ到着検出手段３０１、シーケンス番号判定手段３５４を有する。記憶手段３３０には、シーケンス番号記憶手段３５２によってシーケンス番号が記録されたシーケンス番号記録テーブル３７０と、不正データの判定条件を記憶する差分値判定条件３５３が記憶される。
　次にデータ判定手段３０ｂの動作について説明する。データ選別手段１０ａ、１０ｂが出力したリアルタイムデータをデータ到着検出手段３０１が検出し、シーケンス番号記憶手段３５２へ出力する。シーケンス番号記憶手段３５２は、前記リアルタイムデータのシーケンス番号を、シーケンス番号記録テーブル３７０へ記憶する。
　シーケンス番号記録テーブル３７０の記録内容の例を図１１に示す。
　シーケンス番号記録テーブル３７０は、リアルタイムデータの種別毎（図１１ではデータＡ、データＢ、データＣそれぞれ）に、最新のシーケンス番号、その一つ前に受信したリアルタイムデータのシーケンス番号を記録し、両者の差分値（以下、「差分値」と称す）を記録する。なお、データの種別とは、例えば、データの宛先機器と送信元機器の組を指すものでも良いし、さらに伝送周期やデータの内容により分類されたものでもよい。
　また、図９において、シーケンス番号記憶手段３５２は前記差分値をシーケンス番号判定手段３５４に出力する。
　シーケンス番号判定手段３５４は、リアルタイムデータの種別毎に予め定められた前記差分値の許容範囲を記憶する差分値判定条件３５３の出力と、シーケンス番号記憶手段３５２の出力（差分値）を比較し、前記差分値が、差分値判定条件３５３の許容する値以下であれば、最新のリアルタイムデータを正規データと判定し、判定結果をデータフィルタ処理手段２０へ出力し、前記差分値が、差分値判定条件３５３の許容する値より大きければ、最新のリアルタイムデータを不正データと判定し、判定結果をデータフィルタ処理手段２０へ出力する。ここで、シーケンス番号は、正規データであってもノイズ等によるデータ抜けによって必ずしも連続に送受信されるとは限らないため、差分値判定条件３５３には、ある程度の幅を持たせた値が設定される。
　データフィルタ処理手段２０は、図３と同様である。
　ところで、図９において、判定に用いる差分値の許容範囲などは差分値判定条件３５３に設定されていたが、データ中継装置１の外部から設定する手段があってもよい。例えば、ＲＳ２３２ＣやＩＥＥＥ８０２．３規格などの通信インタフェースに対応可能なコンピュータや専用設定機器などから設定情報をインストールしても良いし、設定情報を記憶したＵＳＢメモリやＳＤメモリなどの外部記憶媒体を接続して、差分値判定条件３５３から読み込みさせてもよい。
　また、シーケンス番号判定手段３５４が不正データを検出した時に、外部へ通知する手段が必要となる場合がある。そこで、図１０に示すように、記憶手段３２０内に判定結果３０６を持たせれば、シーケンス番号判定手段３５４が出力する判定結果を、時刻計測手段３００の出力である判定時刻を対応させて記憶しておく。記憶する判定結果は不正データの検出に関する記録だけでもよい。
　さらに、判定結果３０６は記憶した判定結果の記録を外部へ出力する機能があってもよい。例えば、ＲＳ２３２ＣやＩＥＥＥ８０２．３規格などの通信インタフェースに対応可能なコンピュータや専用設定機器などを利用して読みだしてもよいし、ＵＳＢメモリやＳＤメモリなどの外部記憶媒体を接続して書き込みさせてもよい。
　さらに、判定結果３０６は、新たな不正データの判定結果が記録されるとデータ中継装置１の外部へ表示してもよい。表示する方法としては、例えば、不正データが検出された時に、ＬＥＤを点灯させる、ＬＣＤに表示する、警報音や音声を発する、などである。
　以上、第２の実施形態について説明した。
　以上に述べたことにより、本発明では、送信順序を表すシーケンス番号を持つリアルタイムデータが伝送される制御ＬＡＮにおいて、リアルタイムデータの連続性を維持し、かつ、成り済まし等に起因する不正データの通過を阻止できるセキュリティ機能の高いデータ中継装置およびそれを使った情報ネットワークシステムを提供することができる。さらに、制御ＬＡＮの外部からだけではなく、制御ＬＡＮ内部に侵入した者からの攻撃に対しても、不正データを排除することが可能であり、セキュアな制御システムを構築できる。
　また、本実施例によれば、応答性を要求されるリアルタイムデータのように、必ずしも周期的に通信されないデータに対しても、シーケンス番号を監視することによって、成りすまし等による不正データを排除することができる。
第３の実施形態
　上述の第１の実施形態はリアルタイムデータの周期性の乱れから不正データを除去する方法であり、第２の実施形態はリアルタイムデータの連続性の乱れから不正データを除去する方法であったが、これら２種類の方法を両立させれば、より多くの種類のリアルタイムデータの不正データを検出可能となる。
　そこで、第３の実施形態では、リアルタイムデータ対象不正データ除去手段１１の構造を変更することにより、リアルタイムデータの周期性と連続性の両方に注目した不正データ除去の方法を述べる。
　図１２に変更後のリアルタイムデータ対象不正データ除去手段１１の構成を示す。本実施形態のリアルタイムデータ対象不正データ除去手段１１は、データフィルタ処理手段２０と、リアルタイムデータの周期性から判定するデータ判定手段３０と、リアルタイムデータの連続性から判定する連続性データ判定手段３０ｂと、判定結果組合せ手段３４０から構成される。
　なお、３０ｂはデータ判定手段３０と区別するため、本実施形態では連続性データ判定手段を称する。
　受信したリアルタイムデータをデータ判定手段３０と連続性データ判定手段３０ｂとで不正データの判定を行い、判定結果組合せ手段３４０が双方の判定手段の判定結果を組合せて最終的な判定を行う。前記最終的な判定とは、例えば、いずれかの判定結果を優先する、双方の判定手段がどちらも不正データ判定を行った場合にのみ不正データを判定する、どちらか一方の判定手段が不正データ判定を行えば不正データを判定する、などが考えられる。
　以上、第３の実施形態について説明した。
　以上に述べたことにより、本発明では、リアルタイムデータの周期性の乱れから不正データを除去する方法と、リアルタイムデータの連続性の乱れから不正データを除去する方法を両立することができ、より多くの種類のリアルタイムデータの不正データを検出可能となる。
　なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。
　また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Solid State Drive）等の記録装置、または、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。
　また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。
１、１ａ、１ｂ、１ｃ　データ中継装置
１０、１０ａ、１０ｂ　データ選別手段
１１　リアルタイムデータ対象不正データ除去手段
１９　非リアルタイムデータ対象不正データ除去手段
２　制御ＬＡＮノード
２０　データフィルタ処理手段
２０１　判定待ちデータ蓄積手段
２１０　廃棄データ処理手段
３　機器
３０、３０ｂ　データ判定手段
３００　時刻計測手段
３０１　データ到着検出手段
３０２　データ到着時刻記憶手段
３０３　判定条件３０４　到着間隔判定手段
３０５　到着間隔学習手段
３０６　判定結果記憶手段
３１０　演算処理手段
３２０、３２１　データ到着間隔記録テーブル
３３０　記憶手段
３４０　判定結果組合せ手段
３５２　シーケンス番号記憶手段
３５３　差分値判定条件
３５４　シーケンス番号判定手段
３７０、３７１　シーケンス番号記録テーブル
８　ゲートウェイ装置
９、９ａ、９ｂ　伝送路
９０　支線伝送路
９００　外部ネットワーク

Claims (10)

  1. 　複数の機器とネットワークを介して接続され、前記複数の機器間で送受信される通信データを中継するデータ中継装置において、
    　中継する前記通信データに関する特定の情報と、不正データを抽出するために予め定められた規定値と、を記憶する記憶部と、
    　受信した通信データに関する前記特定の情報を前記記憶部に格納するとともに、新たに格納した前記特定の情報と、それ以前に格納した前記特定の情報との差分を求め、差分が前記規定値に定める範囲を逸脱する場合には、当該受信した通信データを不正データとして抽出する処理部と、を有することを特徴とするデータ中継装置。
  2. 　請求項１において、
    　前記記憶部は、前記特定の情報として前記通信データの受信時刻を記憶し、
    　前記処理部は、新たに受信した前記通信データの受信時刻と、それ以前に受信した前記通信データの受信時刻との差分が前記規定値に定める範囲を逸脱する場合に当該新たに受信した通信データを不正データとして抽出することを特徴とするデータ中継装置。
  3. 　請求項１において、
    　前記記憶部は、前記特定の情報として前記通信データに付与されるシーケンス番号を記憶し、
    　前記処理部は、新たに受信した前記通信データのシーケンス番号と、それ以前に受信した前記通信データのシーケンス番号との差分が前記規定値に定める範囲を逸脱する場合に当該新たに受信した通信データを不正データとして抽出することを特徴とするデータ中継装置。
  4. 　請求項１乃至３いずれかにおいて、
    　前記記憶部は、前記通信データの種別ごとに前記特定の情報を記憶し、
    　前記処理部は、新たに格納した前記特定の情報と、それ以前に格納した同一種別の通信データに関する前記特定の情報との差分を求め、差分が予め定められた前記規定値に定める範囲を逸脱する場合には、当該受信した通信データを不正データとして抽出することを特徴とするデータ中継装置。
  5. 　請求項２において、
    　前記記憶部は、前記通信データの種別ごとに受信時刻を記憶し、異なる種別の前記通信データ相互の受信間隔に対応させて前記規定値を記憶し、
    　前記処理部は、新たに受信した前記通信データの受信時刻と、それ以前に受信した他の種別の前記通信データの受信時刻と、の差分と前記規定値とを比較して不正データを抽出することを特徴とするデータ中継装置。
  6. 　請求項１において、
    　前記処理部は、過去に受信した前記通信データどうしの前記特定の情報の差分から前記規定値を求めて前記記憶部に記憶することを特徴とするデータ中継装置。
  7. 　請求項１において、
    　前記処理部は、受信した前記通信データが前記特定の情報を格納すべき通信データであるか否かを当該受信した通信データに定められた情報から判断し、前記特定の情報を格納すべき通信データであった場合には、当該受信した通信データに関する前記特定の情報を前記記憶部に格納することを特徴とするデータ中継装置。
  8. 　請求項７において、
    　前記定められた情報とは、宛先アドレス、送信元アドレス、プロトコル種別、宛先ポート番号、送信元ポート番号、のいずれかを含むことを特徴とするデータ中継装置。
  9. 　ネットワークと、前記ネットワークに接続される複数の機器と、前記ネットワークに接続され、前記複数の機器間で送受信される通信データを中継するデータ中継装置と、を備えるネットワークシステムにおいて、
    　前記データ中継装置は
    　中継する前記通信データに関する特定の情報と、不正データを抽出するために予め定められた規定値と、を記憶する記憶部と、
    　受信した通信データに関する前記特定の情報を前記記憶部に格納するとともに、新たに格納した前記特定の情報と、それ以前に格納した前記特定の情報との差分を求め、差分が前記規定値に定める範囲を逸脱する場合には、当該受信した通信データを不正データとして抽出する処理部と、を有することを特徴とするネットワークシステム。
  10. 　ネットワークを介して接続される機器から通信データを受信し、
    　受信した前記通信データに関する特定の情報を記憶し、
    　新たに格納した前記特定の情報と、それ以前に格納した前記特定の情報との差分を求め、
    　当該差分が予め定められた規定値の範囲を逸脱する場合には、当該受信した通信データを不正データとして抽出し、
    　当該差分が予め定められた規定値の範囲内である場合には、当該受信した通信データを正常データとして、他の機器へ中継するデータ中継方法。
PCT/JP2013/054070 2013-02-20 2013-02-20 データ中継装置、ネットワークシステム、および、データ中継方法 WO2014128840A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
PCT/JP2013/054070 WO2014128840A1 (ja) 2013-02-20 2013-02-20 データ中継装置、ネットワークシステム、および、データ中継方法
JP2015501119A JP5957593B2 (ja) 2013-02-20 2013-02-20 データ中継装置、ネットワークシステム、および、データ中継方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2013/054070 WO2014128840A1 (ja) 2013-02-20 2013-02-20 データ中継装置、ネットワークシステム、および、データ中継方法

Publications (1)

Publication Number Publication Date
WO2014128840A1 true WO2014128840A1 (ja) 2014-08-28

Family

ID=51390674

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2013/054070 WO2014128840A1 (ja) 2013-02-20 2013-02-20 データ中継装置、ネットワークシステム、および、データ中継方法

Country Status (2)

Country Link
JP (1) JP5957593B2 (ja)
WO (1) WO2014128840A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2020105379A1 (ja) * 2018-11-22 2020-05-28 日立オートモティブシステムズ株式会社 データ転送装置、データ転送方法
JP7468586B2 (ja) 2017-06-19 2024-04-16 日本電気株式会社 情報処理装置、情報処理方法、及び、プログラム

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH11177586A (ja) * 1997-12-16 1999-07-02 Mitsubishi Electric Corp プロセス入出力制御装置
JP2002335246A (ja) * 2001-05-10 2002-11-22 Nippon Telegr & Teleph Corp <Ntt> ネットワークベース侵入検査方法及び装置並びにネットワークベース侵入検査用プログラム及びその記録媒体
JP2008199421A (ja) * 2007-02-14 2008-08-28 Furukawa Electric Co Ltd:The 冗長化データ中継装置を用いた暗号化通信方法および暗号化通信システム

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006279930A (ja) * 2005-03-01 2006-10-12 Nec Corp 不正アクセス検出方法及び装置、並びに不正アクセス遮断方法及び装置
JP4628198B2 (ja) * 2005-06-28 2011-02-09 株式会社バッファロー セキュリティ設定処理システム
JP4570652B2 (ja) * 2007-11-02 2010-10-27 日本電信電話株式会社 不正アクセス監視装置およびその方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH11177586A (ja) * 1997-12-16 1999-07-02 Mitsubishi Electric Corp プロセス入出力制御装置
JP2002335246A (ja) * 2001-05-10 2002-11-22 Nippon Telegr & Teleph Corp <Ntt> ネットワークベース侵入検査方法及び装置並びにネットワークベース侵入検査用プログラム及びその記録媒体
JP2008199421A (ja) * 2007-02-14 2008-08-28 Furukawa Electric Co Ltd:The 冗長化データ中継装置を用いた暗号化通信方法および暗号化通信システム

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7468586B2 (ja) 2017-06-19 2024-04-16 日本電気株式会社 情報処理装置、情報処理方法、及び、プログラム
WO2020105379A1 (ja) * 2018-11-22 2020-05-28 日立オートモティブシステムズ株式会社 データ転送装置、データ転送方法
JP2020088579A (ja) * 2018-11-22 2020-06-04 日立オートモティブシステムズ株式会社 データ転送装置、データ転送方法
US11397696B2 (en) 2018-11-22 2022-07-26 Hitachi Astemo, Ltd. Data transfer apparatus and data transfer method
JP7110070B2 (ja) 2018-11-22 2022-08-01 日立Astemo株式会社 データ転送装置、データ転送方法

Also Published As

Publication number Publication date
JPWO2014128840A1 (ja) 2017-02-02
JP5957593B2 (ja) 2016-07-27

Similar Documents

Publication Publication Date Title
KR101761737B1 (ko) 제어 시스템의 이상행위 탐지 시스템 및 방법
US9130983B2 (en) Apparatus and method for detecting abnormality sign in control system
US8584237B2 (en) Improper communication detection system
US9813448B2 (en) Secured network arrangement and methods thereof
CN108183886B (zh) 一种轨道交通信号系统安全网关的安全增强设备
KR100947211B1 (ko) 능동형 보안 감사 시스템
JP2007006054A (ja) パケット中継装置及びパケット中継システム
US20110211492A1 (en) Ibypass high density device and methods thereof
US11405411B2 (en) Extraction apparatus, extraction method, computer readable medium
KR101308085B1 (ko) 관계형 공격 패턴을 이용하는 침입 차단 시스템 및 방법
WO2014128840A1 (ja) データ中継装置、ネットワークシステム、および、データ中継方法
US9298175B2 (en) Method for detecting abnormal traffic on control system protocol
KR101527353B1 (ko) 스마트그리드 ａｍｉ 네트워크에서 이상행위 탐지 시스템 및 이를 이용한 방법
KR101871406B1 (ko) 화이트리스트를 이용한 제어시스템의 보안관제 방법 및 이를 위한 시스템
CN110881016B (zh) 一种网络安全威胁评估方法及装置
CN105897711A (zh) 一种将工业控制系统与管理网络进行隔离的系统
Hoeve Detecting intrusions in encrypted control traffic
JP6748785B2 (ja) 不正侵入防止装置、不正侵入防止方法、およびプログラム
Jeong et al. Hybrid system to minimize damage by zero-day attack based on NIDPS and HoneyPot
JP6890073B2 (ja) 情報収集装置、情報収集システム
JP2009088732A (ja) 制御ネットワークシステム
WO2019118425A1 (en) Secure transmission module
US11356471B2 (en) System and method for defending a network against cyber-threats
JP5879223B2 (ja) ゲートウェイ装置、ゲートウェイシステムおよび計算機システム
RU2696549C1 (ru) Способ защиты вычислительных сетей

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13875987

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2015501119

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 13875987

Country of ref document: EP

Kind code of ref document: A1