WO2014155650A1 - 情報制御装置、情報制御システム、及び情報制御方法 - Google Patents

情報制御装置、情報制御システム、及び情報制御方法 Download PDF

Info

Publication number
WO2014155650A1
WO2014155650A1 PCT/JP2013/059448 JP2013059448W WO2014155650A1 WO 2014155650 A1 WO2014155650 A1 WO 2014155650A1 JP 2013059448 W JP2013059448 W JP 2013059448W WO 2014155650 A1 WO2014155650 A1 WO 2014155650A1
Authority
WO
WIPO (PCT)
Prior art keywords
communication pattern
communication
information control
abnormality
database
Prior art date
Application number
PCT/JP2013/059448
Other languages
English (en)
French (fr)
Inventor
祥慈 柚木
山田　勉
Original Assignee
株式会社日立製作所
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社日立製作所 filed Critical 株式会社日立製作所
Priority to US14/777,609 priority Critical patent/US9874869B2/en
Priority to JP2015507857A priority patent/JP5844944B2/ja
Priority to PCT/JP2013/059448 priority patent/WO2014155650A1/ja
Publication of WO2014155650A1 publication Critical patent/WO2014155650A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B23/00—Testing or monitoring of control systems or parts thereof
    • G05B23/02—Electric testing or monitoring
    • G05B23/0205—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults
    • G05B23/0218—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults characterised by the fault detection method dealing with either existing or incipient faults
    • G05B23/0224—Process history based detection method, e.g. whereby history implies the availability of large amounts of data
    • G05B23/0227—Qualitative history assessment, whereby the type of data acted upon, e.g. waveforms, images or patterns, is not relevant, e.g. rule based assessment; if-then decisions
    • G05B23/0235—Qualitative history assessment, whereby the type of data acted upon, e.g. waveforms, images or patterns, is not relevant, e.g. rule based assessment; if-then decisions based on a comparison with predetermined threshold or range, e.g. "classical methods", carried out during normal operation; threshold adaptation or choice; when or how to compare with the threshold
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/14—Network analysis or design
    • H04L41/142—Network analysis or design using statistical or mathematical methods
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/40—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass for recovering from a failure of a protocol instance or entity, e.g. service redundancy protocols, protocol state redundancy or protocol service redirection
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y04—INFORMATION OR COMMUNICATION TECHNOLOGIES HAVING AN IMPACT ON OTHER TECHNOLOGY AREAS
    • Y04S—SYSTEMS INTEGRATING TECHNOLOGIES RELATED TO POWER NETWORK OPERATION, COMMUNICATION OR INFORMATION TECHNOLOGIES FOR IMPROVING THE ELECTRICAL POWER GENERATION, TRANSMISSION, DISTRIBUTION, MANAGEMENT OR USAGE, i.e. SMART GRIDS
    • Y04S40/00—Systems for electrical power generation, transmission, distribution or end-user application management characterised by the use of communication or information technologies, or communication or information technology specific aspects supporting them
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y04—INFORMATION OR COMMUNICATION TECHNOLOGIES HAVING AN IMPACT ON OTHER TECHNOLOGY AREAS
    • Y04S—SYSTEMS INTEGRATING TECHNOLOGIES RELATED TO POWER NETWORK OPERATION, COMMUNICATION OR INFORMATION TECHNOLOGIES FOR IMPROVING THE ELECTRICAL POWER GENERATION, TRANSMISSION, DISTRIBUTION, MANAGEMENT OR USAGE, i.e. SMART GRIDS
    • Y04S40/00—Systems for electrical power generation, transmission, distribution or end-user application management characterised by the use of communication or information technologies, or communication or information technology specific aspects supporting them
    • Y04S40/20—Information technology specific aspects, e.g. CAD, simulation, modelling, system security

Definitions

  • the present invention relates to an information control device, an information control system, and an information control method.
  • the present invention relates to an abnormality detection device, an abnormality detection system, and an abnormality detection method for a control network.
  • control network used in an automobile production plant or chemical plant
  • the control network if the network is abnormal or stopped, the production stops and directly leads to damage.
  • the control network is required to have higher availability than an information network used for communication such as a PC, a mail server, a Web server, and a file server in a general office.
  • an information network used for communication such as a PC, a mail server, a Web server, and a file server in a general office.
  • control networks used for power generation systems, water and sewage systems, and the like if abnormal communications such as unauthorized programs are written to equipment are overlooked, a serious accident may occur. Therefore, the control network is required to have high reliability.
  • each vendor's unique communication protocol was used for the control network, so it was considered difficult to enter the control network and perform unauthorized operations.
  • the control network that is conventionally operated separately from the Internet also makes it difficult for outsiders to enter the network.
  • open communication protocols such as TCP / IP (Transmission Control Protocol / Internet Protocol) have been applied to control networks.
  • TCP / IP Transmission Control Protocol / Internet Protocol
  • a form in which the control network and the Internet are connected and operated is also widespread. With the opening of the communication protocol of the control network and the Internet connection of the control network, unauthorized intrusion into the control network becomes possible, and attacks on control systems are increasing.
  • IDS Intrusion Detection System
  • a list of normal communications performed in a network is defined, and it is determined that an abnormality has occurred when communication not corresponding to the list is performed.
  • a control system composed of devices connected to the control network transitions between a plurality of system states depending on the stage of operation.
  • Examples of the system state of the control system include an operation mode and a maintenance mode.
  • the communication pattern in the control network changes according to the system state of the control system.
  • the present invention is an invention for solving the above-described problems, and an object of the present invention is to detect unauthorized communication that is incompatible with the system state of the control system as an abnormality, and to increase the availability and reliability of the control network.
  • a communication pattern between normal devices is stored for each system state, information indicating the system state is acquired, and the system state is obtained. Determining, acquiring information indicating a communication pattern between the devices, determining a communication pattern, and based on the determined communication pattern and the stored communication pattern as a normal communication pattern in the determined system state Determine whether a system error has occurred.
  • control network availability and reliability can be improved.
  • FIG. 1 shows an overall configuration diagram of a control system according to an embodiment of the present invention.
  • the control network 102 is applied to the thermal power plant 101 .
  • the application destination is a nuclear power plant, a wind power plant, a hydroelectric power plant, a water and sewage system, a petroleum plant, a chemical plant, and an automobile manufacturing plant. It may be a food production plant, a steel production plant, or others.
  • a control network 102 is provided in the thermal power plant 101.
  • Various devices operating in the thermal power plant 101 are connected to the control network 102.
  • the control network 102 is connected to an information network 105 provided in the office 104 via a network connection device 103.
  • the information network 105 is a network to which information devices used in OA work are connected.
  • a personal computer (PC) a file server, a Web server, a mail server, a printer, and the like are connected to the information network 105.
  • the information network 105 is connected to the Internet 107 via a network connection device 106.
  • a remote monitoring control center 108 that performs control, maintenance, monitoring, etc. of the thermal power plant from a remote location is connected via the Internet 107.
  • the network connection devices 103 and 106 are devices that relay communication between devices connected to the network, and are routers, layer 3 switches, switching hubs, repeater hubs, and the like.
  • FIG. 2 shows an example of an overall configuration diagram of the control network 102 according to the embodiment of the present invention.
  • the control network 102 in FIG. 2 includes a behavioral abnormality detection device 201, a control terminal 202, a programming terminal 203, a log server 204, a MES (Manufacturing Execution System) terminal 205, a monitoring terminal 206, a PLC (PLC) via a network connection device 103.
  • Controller (207,208) is connected.
  • the behavior abnormality detection device 201 is indispensable, but one or a plurality of other devices may not exist.
  • the control network 102 is a network configured by wire, wireless, or both wired and wireless.
  • the network connection device 103 is a device that connects devices connected to the control network 102, and corresponds to a device such as a router, a layer 3 switch, a switching hub, or a repeater hub.
  • the topology of the control network 102 in FIG. 2 may be any of or a combination of a star topology, a bus topology, a ring topology, and other topologies.
  • the control terminal 202 is a terminal that performs operations such as firmware update of the PLC (207, 208) via the control network 102.
  • the programming terminal 203 is a terminal that writes a control program operating on the PLC (207, 208) to the PLC (207, 208) via the control network 102.
  • the log server 204 is a device that collects and records PLC (207, 208) operation logs via the control network 102.
  • the log server 204 transmits the recorded operation log to the monitoring terminal 206 via the control network 102 in response to a request from the monitoring terminal 206.
  • the MES terminal 205 is a device that transmits information such as a power generation target to the PLC (207, 208) via the control network 102.
  • the monitoring terminal 206 is a device that accesses the log server 204 via the control network 102 to acquire log data, and monitors the operating state of the PLC (207, 208).
  • PLCs are connected to field devices such as actuators, motors and sensors.
  • the field network (209, 210) is a network for a controller such as a PLC (207, 208) to control field devices.
  • the field networks (209, 210) are wired, wireless, or a network configured by both wired and wireless.
  • Standards for the field network (209, 210) include Profibus, Modbus, HART, WirelessHART, and ISA100.11a.
  • the PLC 1 (207) and the PLC 2 (208) are connected to the field device via the field network (209, 210), but may be configured to connect directly without using the network.
  • the PLC 1 (207) is connected to the turbine 211 and the rotation speed sensor 212 via the field network 209.
  • the PLC 1 (207) acquires the rotation speed information from the rotation speed sensor 212 that measures the rotation speed of the turbine 211 via the field network 209.
  • the PLC 1 (207) transmits a control command to the turbine 211 via the field network 209.
  • the PLC 2 (208) is connected to the boiler 213, the temperature sensor 214, and the pressure sensor 215 via the field network 210.
  • the PLC 2 (208) acquires temperature information from the temperature sensor 214 that measures the temperature of the boiler 213 via the field network 210.
  • the PLC 2 (208) acquires pressure information from the pressure sensor 215 that measures the pressure of the boiler 213 via the field network 210.
  • the PLC 2 (208) transmits a control command to the boiler 213 via the field network 210.
  • FIG. 3 is a table showing the correspondence between the device name 301 and the address 302 of the device connected to the control network 102 of this embodiment.
  • the address of the control terminal 202 is A.
  • the address of the programming terminal 203 is B.
  • the address of the log server 204 is C.
  • the address of the MES terminal 205 is D.
  • the address of the monitoring terminal 206 is E.
  • the address of PLC1 (207) is F.
  • the address of PLC2 (208) is G. Examples of the address include an IP address and a MAC address. Any other address may be used as long as it can uniquely identify a device connected to the control network.
  • FIG. 4 shows a functional block diagram of the behavioral abnormality detection apparatus 201 in the first embodiment of the present invention.
  • the behavior abnormality detection apparatus 201 includes a communication interface 401, a packet classification unit 402, a system state acquisition unit 403, a communication acquisition unit 404, an abnormality determination unit 405, a state communication storage unit 406, a database 407, and a received communication pattern list 408.
  • the database 407 shows the correspondence between the system state and the normal communication pattern in the system state.
  • FIG. 5 shows an example of the database 407.
  • the system state defines the state of the entire device group that constitutes the control system.
  • the system state 501 includes a programming mode 503, a power generation target setting mode 504, an operation mode 505, an operation monitoring mode 506, and a maintenance mode 507.
  • a programming mode 503 represents a state in which a control program is written from the programming terminal 203 to the PLC 1 (207) and the PLC 2 (208).
  • the power generation target setting mode 504 represents a state where power generation targets are set from the MES terminal 205 to the PLC 1 (207) and the PLC 2 (208).
  • the operation mode 505 represents a state in which the PLC 1 (207) and the PLC 2 (208) control devices such as the turbine 211 and the boiler 213 based on the set program and the power generation target.
  • the operation monitoring mode 506 is based on a program in which PLC1 (207) and PLC2 (208) are set and a power generation target, such as a turbine 211 and a boiler 213.
  • the monitoring terminal 206 is monitoring the operating state of each device.
  • the maintenance mode 507 represents a state in which maintenance work such as firmware writing from the control terminal 202 to the PLC 1 (207) and the PLC 2 (208) is being performed.
  • a specific pattern of communication is performed according to the system state 501 of the control system.
  • the control system when the control system is in the programming mode 503, the following two normal communication patterns are defined. One is communication for writing operation programming from the programming terminal 203 having the address B to the PLC 1 (207) having the address F. The second is communication for writing operation programming from the programming terminal 203 having the address B to the PLC 2 (208) having the address G.
  • the control system is in the power generation target setting mode 504
  • the following two normal communication patterns are defined.
  • the first is communication for writing a power generation target from the MES terminal 205 having the address D to the PLC 1 (207) having the address F.
  • the second is communication for writing a power generation target from the MES terminal 205 having the address D to the PLC 2 (208) having the address G.
  • the first is communication for writing an operation log from the PLC 1 (207) having the address F to the log server 204 having the address C.
  • the second communication is for writing an operation log from the PLC 2 (208) having the address G to the log server 204 having the address C.
  • the third is communication from PLC1 (207) having address F to PLC2 (208) having address G.
  • the third communication is a communication for notifying the PLC 2 (208) of the operation states of the turbine 211 and the rotation speed sensor 212 connected to the PLC 1 (207) via the field network 209.
  • the fourth communication is from the PLC 2 (208) having the address G to the PLC 1 (207) having the address F.
  • the fourth communication is a communication for notifying the operation state of the boiler 213, the temperature sensor 214, and the pressure sensor 215 connected to the PLC 2 (208) via the field network 210 to the PLC 1 (207).
  • the third and fourth communications are generally called “success communication” or “memory transfer”, and a plurality of PLCs connected to the control network share the operation state of the devices connected to each PLC. To be done.
  • the control system is in the operation monitoring mode 506, the following five normal communication patterns are defined. Of the five normal communication patterns, four are the same as the normal communication patterns when the system state is the operation mode 505.
  • the fifth is communication for transmitting the operation log recorded by the log server 204 to the monitoring terminal 206 from the log server 204 having the address C to the monitoring terminal 206 having the address E.
  • a pair of a transmission source address and a transmission destination address is defined as a normal communication pattern, but may be defined using another index. Examples of other indexes that define a normal communication pattern include a port number, a packet size, a communication interval, and a communication frequency.
  • the communication interface 401 receives a packet communicated in the control network 102 and inputs it to the packet classification unit 402.
  • the packet classification unit 402 refers to the header or content of the packet input from the communication interface 401 and determines whether the packet is a system status notification packet or a communication packet.
  • the system status notification packet is a packet for notifying the system status.
  • the system status notification packet is transmitted from an administrator of the control system via a device connected to the control network 102, for example.
  • the system notification packet is transmitted from the administrator of the control system via a device connected to the information network 105 that is higher than the control network 102.
  • it is transmitted from the administrator of the control system in the remote management center via the Internet 107.
  • the system status notification packet may be transmitted by other methods.
  • the system status notification packet may be directly input to the behavior abnormality detection device 201 without going through the network.
  • the communication packet is a normal packet communicated between devices connected to the control network 102. If the packet input from the communication interface 401 is a system status notification packet, the packet classification unit 402 inputs the packet to the system status acquisition unit 403. When there is a communication interface 401 and the input packet is a communication packet, the packet classification unit inputs the packet to the communication acquisition unit 404.
  • the system state acquisition unit 403 extracts the system state and inputs it to the state communication storage unit 406.
  • the communication acquisition unit 404 refers to the content of the communication packet input from the packet classification unit 402 and extracts the transmission source address and the transmission destination address of the communication packet.
  • the communication acquisition unit 404 inputs the extracted transmission source address and transmission destination address to the abnormality determination unit 405.
  • the state communication storage unit 406 displays the combination of the transmission source address and the transmission destination address. Record in the received communication pattern list 408.
  • the abnormality determination unit 405 When the abnormality determination unit 405 receives the combination of the transmission source address and the transmission destination address from the communication acquisition unit 404, the abnormality determination unit 405 acquires the current system state recorded by the state communication device unit 406. Next, the abnormality determination unit 405 refers to the database 407 to confirm a list of normal communication patterns 502 corresponding to the current system state 501, and includes the transmission source address acquired from the communication acquisition unit 404 in the list. If there is a pair of transmission destination addresses, it is determined that the control system is operating normally, and the combination of the transmission source address and the transmission destination address is input to the state communication storage unit 406. If there is no combination of the transmission source address and the transmission destination address in the normal communication pattern 502, it is determined that an abnormality has occurred in the control system.
  • the abnormality determination unit 405 has a clock function, and manages the current time, all communication pattern reception confirmation time, and all communication pattern reception confirmation intervals. All communication pattern reception confirmation intervals are set in advance.
  • the abnormality determination unit 405 performs the following operation when the value obtained by subtracting the total communication pattern reception confirmation time from the current time is equal to or greater than the total communication pattern reception interval.
  • the abnormality determination unit 405 updates the all communication pattern reception confirmation time to the current time.
  • the abnormality determination unit 405 acquires the current system state and the received communication pattern list 408 from the state communication storage unit 406. Next, the abnormality determination unit 405 refers to the database 407 and the received communication pattern list 408 and confirms whether or not all the normal communication patterns 502 of the current system state 501 have been received.
  • the abnormality determination unit 405 determines that the control system is operating normally when all the normal communication patterns have been received, and when there is one or more normal communication patterns that have not been received, FIG. It is used to determine whether or not an abnormality has occurred in the control system based on processing based on an elapsed time threshold, which will be described later.
  • the abnormality determination method will be described using a specific example. 6, 7, and 8 show a system state, a communication pattern acquired by the behavior abnormality detection device within a certain time (all communication pattern reception confirmation interval) in the system state, and a received communication pattern list 408 created.
  • FIG. 6A shows a case where two patterns of communication from address B to address F and communication from address B to G are acquired when the system state is the programming mode.
  • Each of these two patterns of communication matches the normal communication pattern when the system state 501 is the programming mode 503 in the database 407 of FIG.
  • the two patterns of communication from address B to address F and communication from address B to G match the normal communication pattern when the system state 501 is the programming mode 503 in the database 407 of FIG. 6 is registered in the received communication pattern list 408 of FIG. From the received communication pattern list 408 in FIG. 6B, all the normal communication patterns in the database 407 in FIG. 5 when the system state 501 is the programming mode 503 are received within the all communication pattern reception confirmation interval. Therefore, it is determined that the control system is normal.
  • FIG. 7 shows an example in which communication from address A to address F is acquired when the system state is the power generation target setting mode.
  • the communication from the address A to the address F does not correspond to the normal communication pattern when the system state 501 is the power generation target setting mode 504, it is determined that the control system is abnormal.
  • the communication from the address F to the address C, the communication from the address G to the address C, and the communication from the address G to the address F are acquired. Shimese.
  • Each of these three patterns of communication matches the normal communication pattern when the system state 501 is the operation mode 505 in the database 407 of FIG. 5, and therefore the control system is determined to be normal.
  • the communication from the address F to the address C, the communication from the address G to the address C, and the communication from the address G to the address F are normal communication patterns when the system state 501 is the operation mode 505 in the database 407 of FIG. Therefore, it is registered in the received communication pattern list 408 of FIG.
  • Communication from the address F to G is received from the received communication pattern list 408 in FIG. 8B in the normal communication pattern when the system state 501 is the operation mode 505 in the database 407 in FIG.
  • the control system determines that it is abnormal.
  • a database is set (901).
  • the system state reception process (902), the communication packet reception process (903), and the all communication pattern communication confirmation process (904) are repeated in order.
  • the database setting (901) the database may be created by the system administrator.
  • the database may be automatically generated by the behavioral abnormality detection apparatus 201.
  • the database may be updated while the behavior abnormality detection apparatus 201 is operating.
  • FIG. 10 shows details of the system status reception process (902) of FIG.
  • the system status reception process 902
  • it is first checked whether the system status is received (1001). If not received, the process is terminated. If the system status has been received, it is next checked whether the received system status is the same as the current system status (1002). If the received system state is the same as the current system state, the process ends. If the acquired system state is different from the current system state, the system state is updated (1003). Next, the communication pattern reception confirmation time is changed to the current time (1004). Next, the received communication pattern list is cleared (1005), and the process ends.
  • FIG. 11 shows details of the communication packet reception process (903) of FIG. First, it is confirmed whether a communication packet has been received (1101). If no communication packet has been received, the process ends. If a communication packet has been received, it is checked whether there is a communication pattern in the normal communication pattern in the current system state in the database (1102). If the communication pattern does not exist in the normal communication pattern in the current system state in the database, it is determined that the control system is abnormal (1103), and the process ends. If the communication pattern exists in the normal communication pattern in the current system state in the database, it is confirmed whether the communication pattern is recorded in the received communication pattern list (1104). If the communication pattern is recorded in the received communication pattern list, the process ends. If the communication pattern is not recorded in the received communication pattern list, the communication pattern is added to the received communication pattern list (1105), and the process ends.
  • FIG. 12 shows the details of the all communication pattern reception confirmation process (904) of FIG. First, it is checked whether or not a value obtained by subtracting all communication pattern reception confirmation times from the current time is larger than the all communication pattern reception confirmation interval (1201). If the value obtained by subtracting all communication pattern reception confirmation times from the current time is not greater than the threshold value, the process is terminated. If the value obtained by subtracting the reception confirmation time of all communication patterns from the current time is greater than the threshold, refer to the received communication pattern list and database to check whether all communication patterns of the current system status in the database have been received. (1202). If all have been received, the reception confirmation time of all communication patterns is updated to the current time (1204), the received communication pattern list is cleared (1205), and the process ends. If not all have been received, it is determined that the control system is abnormal (1203). Next, the reception confirmation time of all communication patterns is updated to the current time (1204), the received communication pattern list is cleared (1205), and the process ends.
  • the behavior abnormality detection device of this embodiment is characterized by automatically creating a database.
  • FIG. 13 shows a behavior abnormality detection device 1301 of this embodiment.
  • the system state acquisition unit 1302 of the behavior abnormality detection device 1301 illustrated in FIG. 13 extracts the system state and stores the system state in the state communication storage unit 406 and the database creation unit. Input to both 1303.
  • the communication acquisition unit 1304 refers to the content of the communication packet input from the packet classification unit 402 and extracts the transmission source address and the transmission destination address of the communication packet.
  • the communication acquisition unit 1304 inputs the extracted transmission address and transmission destination address to the abnormality determination unit 405, the state communication storage unit 406, and the database creation unit 1303.
  • the database creation unit 1303 creates the database 406 using the system state input from the system acquisition unit 1302 and the source address and destination address input from the communication acquisition unit.
  • the database creation process will be described with reference to the database creation flowchart shown in FIG. First, it is confirmed whether the system state has been acquired (1401). If the system state has not been acquired, it is confirmed whether a communication pattern has been acquired (1405). When the system state is acquired, it is confirmed whether the acquired system state exists in the database (1402). If the acquired system state does not exist in the database, the system state is registered in the database (1403). Next, the current system state is updated to the acquired system state (1404). Next, it is confirmed whether or not a communication pattern has been acquired (1405). If the communication pattern has not been acquired, it is confirmed whether or not the learning period has ended (1408). When the communication pattern is acquired, it is confirmed whether or not the acquired communication pattern is registered as a normal communication pattern of the current system state in the database (1406).
  • the acquired communication pattern is registered as a normal communication pattern of the current system state in the database, it is confirmed whether or not the learning period has ended (1408). If the acquired communication pattern is not registered as a normal communication pattern of the current system state in the database, the acquired communication pattern is registered as a normal communication pattern of the current system state in the database (1407). Next, it is confirmed whether or not the learning period has ended (1408). If the learning period has not ended, it is checked again whether the system state has been acquired (1401). If the learning period has ended, the database creation process ends.
  • the present embodiment by automatically creating a database, it becomes unnecessary for an administrator or the like to manually create the database, and it becomes possible to easily introduce the behavior abnormality detection device.
  • the behavior abnormality detection device of this embodiment is characterized by updating the database.
  • FIG. 15 shows the behavioral abnormality detection device of this embodiment.
  • parts that perform the same operations as those shown in FIG. 15 are identical to FIG. 15
  • the packet classification unit 1502 of the behavior abnormality detection device illustrated in FIG. 15 refers to the header or content of a packet input from the communication interface 401, and determines whether the packet is a system status notification packet, a communication packet, or a database update. It is determined whether it is a notification packet. If the packet input from the communication interface 401 is a system status notification packet, the packet classification unit 1502 inputs the packet to the system status acquisition unit. When the packet input from the communication interface 401 is a communication packet, the packet classification unit 1502 inputs the packet to the communication acquisition unit 404. When the packet input from the communication interface 401 is a database update notification packet, the packet classification unit 1502 inputs the packet to the database update unit 1503.
  • the system status notification packet is a packet for notifying the system status.
  • the communication packet is a normal packet communicated between devices connected to the control network.
  • the database update notification packet is a packet for instructing the database update unit 1503 to update the database.
  • the database update unit 1503 extracts the database update content from the packet and updates the database 407.
  • the behavioral abnormality detection device includes an abnormality notification unit.
  • FIG. 16 shows the behavioral abnormality detection device of this embodiment.
  • parts that perform the same operations as those in FIG. 16 are identical to FIG. 16
  • the abnormality determination unit 1602 of the behavior abnormality detection device 1601 illustrated in FIG. 16 receives a combination of a transmission source address and a transmission destination address from the communication acquisition unit 404, the abnormality communication unit 406 records the current system state recorded by the state communication device unit 406. get.
  • the abnormality determination unit 1602 confirms a list of normal communication patterns corresponding to the current system state with reference to the database 407, and the source address and destination address acquired from the communication acquisition unit are included in the list.
  • the abnormality determination unit 1603 periodically performs the following operation.
  • the abnormality determination unit 1603 acquires the current system state and the received communication pattern list from the state communication storage unit 406.
  • the abnormality determination unit 1602 refers to the database 407 and confirms whether all the normal communication patterns of the current system state have been received.
  • the abnormality determination unit 1602 determines that the control system is operating normally when all the normal communication patterns have been received, and if there is one or more normal communication patterns that have not been received, It is determined that an abnormality has occurred, and the determination result is input to the abnormality notification unit 1603.
  • the abnormality notification unit 1603 notifies the administrator of the determination result indicating the presence / absence of abnormality notified from the abnormality determination unit 1602 via the communication interface 401.
  • the administrator may be present in the control network 102, the information network 105, or a remote place via the Internet 107.
  • the administrator can recognize the abnormality that has occurred in the control network.
  • the behavior abnormality detection apparatus of the present embodiment has a database that records three types of system status, normal communication pattern corresponding to the system status, and abnormality response method corresponding to the system status. It is characterized by carrying out.
  • FIG. 17 shows a behavior abnormality detection device 1701 of the present embodiment.
  • the database 1702 of the behavior abnormality detection device shown in FIG. 17 shows the correspondence between the system state, the normal communication pattern in the system state, and the correspondence method of the abnormality when an abnormality is detected in the system state. .
  • the abnormality determination unit 1703 notifies the abnormality handling unit 1704 of the abnormality handling method described in the database when an abnormality is detected.
  • the abnormality handling unit 1704 implements the abnormality handling method notified from the abnormality determination unit 1703.
  • FIG. 18 shows an example of the database 1702 in the present embodiment.
  • abnormal communication blocking and administrator notification (1803) are performed as an abnormality handling method 1801.
  • an administrator notification (1804) is performed as the abnormality handling method 1801.
  • an administrator notification (1805) is performed as the abnormality handling method 1801. If an abnormality is detected when the system state 501 is the maintenance mode 507, abnormal communication blocking and administrator notification (1806) are implemented as an abnormality handling method 1801.
  • the system state 501 When the system state 501 is in the operation mode 505 or the operation monitoring mode 506, equipment such as the turbine 211 in the thermal power plant 101 is in operation. If the communication that the behavior abnormality detection device 1701 determines to be abnormal when the device is in operation is actually communication necessary for control, the control of the device may be lost, leading to an accident or the like. Therefore, the abnormal communication is not blocked and only the administrator notification is performed.
  • the system state 501 is in the programming mode 503, the power generation target setting mode 504, or the maintenance mode 507, equipment such as the turbine 211 in the thermal power plant is not operating. Since the communication that the behavior abnormality detection device 1701 determines to be abnormal when the device is not in operation is actually normal communication, it is considered that it does not affect the operation of the device. Not only abnormal communication is cut off.
  • the invention made by the present inventor has been specifically exemplified and explained based on the embodiments.
  • the contents of the present invention are not limited to the embodiments, and various modifications can be made without departing from the scope of the invention.
  • some or all of the functional units constituting the behavior abnormality detection device may be incorporated in a network connection device such as a router, a layer 3 switch, a switching hub, or a repeater hub.
  • each function part which comprises a behavior abnormality detection apparatus may be integrated and comprised in two or more several apparatuses.
  • a behavior abnormality detection device using one or a combination of a plurality of functional units among the functional units of the behavior abnormality detection device described in the first to fifth embodiments may be configured.

Abstract

　制御システムの状態に応じて、正常な通信パターンが変化する制御ネットワークにおいて、制御ネットワークの異常を検知する。システムの状態毎に正常な機器間の通信パターンを記憶し、システムの状態を示す情報を取得してシステムの状態を判定し、前記機器間の通信パターンを示す情報を取得して通信パターンを判定し、前記判定した通信パターンと、前記判定したシステムの状態における正常な通信パターンとして前記記憶した通信パターンと、に基づいて、システム異常発生の有無を判定することで、制御ネットワークの可用性と信頼性を高めることができる。

Description

情報制御装置、情報制御システム、及び情報制御方法
　本発明は情報制御装置、情報制御システム、情報制御方法に関する。特に、制御ネットワークを対象とした異常検知装置、異常検知システム及び異常検知方法に関する。
　発電システム・上下水システム・自動車生産プラント、化学プラントなどで稼動する機器の制御や保守、監視を、ネットワークを介して自動的に行う動きが高まっている。例えば、自動車生産プラント、化学プラント内で使用される制御ネットワークにおいて、ネットワークの異常・停止が起こると生産が停止し、損害に直結する。そのため、制御ネットワークには、一般のオフィスなどにおけるＰＣ、メールサーバ、Webサーバ、ファイルサーバなどの通信に用いられる情報ネットワークに比べて、高い可用性が要求される。また、発電システム、上下水システムなどに使用される制御ネットワークでは、機器へ不正なプログラムが書き込まれるなどの異常な通信が見落とされると重大な事故につながる可能性がある。そのため、制御ネットワークには高い信頼性が要求される。
　制御用ネットワークには、従来は各ベンダ独自の通信プロトコルが用いられていたため、制御ネットワークに侵入して不正な操作などを行うことは困難であると考えられていた。また、従来は制御ネットワークがインターネットと隔離されて運用されていたことも、部外者によるネットワークへの侵入を困難にしていた。しかし、近年では制御ネットワークにおいても例えば、ＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）などのオープンな通信プロトコルが適用されるようになってきた。また、制御ネットワーク内の機器のインターネットを介した遠隔保守などを実現するために、制御ネットワークとインターネットを接続して運用する形態も広まっている。制御ネットワークの通信プロトコルのオープン化、制御ネットワークのインターネットネット接続により、制御ネットワークへの不正侵入が可能となり、制御システムへの攻撃事例が増加している。
　このような、ネットワークへの侵入、攻撃などの異常を検知するための技術の一例としてＩＤＳ （Ｉｎｔｒｕｓｉｏｎ　Ｄｅｔｅｃｔｉｏｎ　Ｓｙｓｔｅｍ）がある。例えばＩＤＳに関する特許文献１では、ネットワーク内で行われる正常な通信のリストを定義しておき、そのリストに該当しない通信が行われた場合に異常が発生していると判定する。
特開２０１２－８４９９４号公報
　制御ネットワークに接続する機器により構成される制御システムは、運用の段階に応じて、複数のシステム状態の間を遷移する。制御システムのシステム状態として、例えば、稼動モード、保守モードなどがある。制御ネットワーク内の通信パターンは、制御システムのシステム状態に応じて変化する。
　特許文献１記載の技術では、送信元ＩＰアドレス、送信先ＩＰアドレス、宛先ポート番号、通信プロトコル等の通信指標に基づいた正常な通信のリストを作成しておき、当該リストにない通信を異常として検出する。そのため、正常な通信のリストには登録されているが、現在の制御システムの状態に対して不適合な通信が行われた場合には、異常として検出しないため、現在の制御システムの状態に対して異常な通信を検出できない場合がある。
　本発明は上記課題を解決するための発明であり、制御システムのシステム状態に対して不適合である不正な通信を異常として検出し、制御ネットワークの可用性と信頼性を高めることを目的とする。
　上述した課題の少なくとも一の課題を解決するための本発明の一態様として、システムの状態毎に正常な機器間の通信パターンを記憶し、システムの状態を示す情報を取得してシステムの状態を判定し、前記機器間の通信パターンを示す情報を取得して通信パターンを判定し、前記判定した通信パターンと、前記判定したシステムの状態における正常な通信パターンとして前記記憶した通信パターンと、に基づいて、システム異常発生の有無を判定する。
　制御ネットワークの可用性と信頼性を高めることができる。
本実施形態の制御システムの全体構成を示す図である。 本実施形態の制御ネットワークの全体構成を示す図である。 本実施形態の制御ネットワークに接続する機器の機器名とアドレスの対応付けを示す図である。 第１の実施例の振舞異常検知装置を示すブロック図である。 第１の実施例の振舞異常検知装置が有するデータベースの詳細を示す図である。 第１の実施例の振舞異常検知装置が取得したシステム状態と通信パターン、受信済通信パターンリストの一例を示す図である。 第１の実施例の振舞異常検知装置が取得したシステム状態と通信パターンの一例を示す図である。 第１の実施例の振舞異常検知装置が取得したシステム状態と通信パターン、受信済通信パターンリストの一例を示す図である。 第１の実施例の振舞異常検知装置の全体動作を示すフロー図である。 第１の実施例の振舞異常検知装置のシステム状態受信処理を示すフロー図である。 第１の実施例の振舞異常検知装置の通信パケット受信処理を示すフロー図である 第１の実施例の振舞異常検知装置の全通信パターン受信確認処理を示すフロー図である。 第２の実施例の振舞異常検知装置を示すブロック図である。 第２の実施例の振舞異常検知装置のデータベース作成フローを示すフロー図である。 第３の実施例の振舞異常検知装置を示すブロック図である。 第４の実施例の振舞異常検知装置を示すブロック図である。 第５の実施例の振舞異常検知装置を示すブロック図である。 第５の実施例の振舞異常検知装置の有するデータベースの詳細を示す図である。
　以下、本発明の実施例を図面を用いて説明する。
　図１に本発明の実施例に関わる制御システムの全体構成図を示す。本実施例では火力発電プラント１０１に制御ネットワーク１０２を適用した例を示しているが、適用先が原子力発電プラント、風力発電プラント、水力発電プラント、上下水システム、石油プラント、化学プラント、自動車製造プラント、食品製造プラント、鉄鋼製造プラント、または、その他のものであってもよい。図１の例では、火力発電プラント１０１内部に制御ネットワーク１０２が施設されている。制御ネットワーク１０２には、火力発電プラント１０１内で稼動する各種機器が接続される。制御ネットワーク１０２はネットワーク接続装置１０３を介して、オフィス１０４内部に施設される情報ネットワーク１０５と接続される。情報ネットワーク１０５はＯＡ業務で使用される情報機器が接続されるネットワークである。情報ネットワーク１０５には例えば、ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）、ファイルサーバ、Ｗｅｂサーバ、メールサーバ、プリンタなどが接続される。情報ネットワーク１０５はネットワーク接続装置１０６を介してインターネット１０７に接続される。遠隔地から火力発電プラントの制御、保守、監視などを行う遠隔監視制御センタ１０８がインターネット１０７を介して接続する。
　ネットワーク接続装置１０３、１０６は、ネットワークに接続する機器同士の通信を中継する装置であり、ルータ、レイヤ３スイッチ、スイッチングハブ、リピータハブなどである。
　図２に本発明の実施例に関わる制御ネットワーク１０２の全体構成図の１例を示す。図２の制御ネットワーク１０２には、ネットワーク接続装置１０３を介して、振舞異常検知装置２０１、制御端末２０２、プログラミング端末２０３、ログサーバ２０４、ＭＥＳ（Ｍａｎｕｆａｃｕｔｕｒｉｎｇ　Ｅｘｅｃｕｔｉｏｎ　Ｓｙｓｔｅｍ）端末２０５、監視端末２０６、ＰＬＣ（Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｃｏｎｔｒｏｌｌｅｒ）(２０７，２０８)が接続される。制御ネットワーク１０２を構成する機器の内、振舞異常検知装置２０１は必須であるが、その他の機器については１つ、または、複数が存在しなくてもよい。制御ネットワーク１０２は、有線、無線、または有線と無線の両方により構成されるネットワークである。
　ネットワーク接続装置１０３は、制御ネットワーク１０２に接続する機器同士を接続する装置であり、ルータ、レイヤ３スイッチ、スイッチングハブ、リピータハブなどの装置に相当する。図２の制御ネットワーク１０２のトポロジは、スタートポロジ、バストポロジ、リングトポロジ、その他のトポロジのいずれか、または組み合わせであってもよい。
　制御端末２０２は、ＰＬＣ (２０７、２０８)のファームウェア更新などの作業を、制御ネットワーク１０２を介して行う端末である。プログラミング端末２０３は、制御ネットワーク１０２を介してＰＬＣ（２０７、２０８）に対して、ＰＬＣ（２０７、２０８）上で動作する制御プログラムの書き込みを行う端末である。
　ログサーバ２０４は、ＰＬＣ（２０７、２０８）の動作ログを制御ネットワーク１０２を介して収集し、記録する装置である。ログサーバ２０４は、監視端末２０６からの要求に応じて、記録している動作ログを制御ネットワーク１０２を介して監視端末２０６へ送信する。
　ＭＥＳ端末２０５は、制御ネットワーク１０２を介してＰＬＣ（２０７、２０８）に対して、発電目標などの情報を送信する装置である。監視端末２０６は、制御ネットワーク１０２を介してログサーバ２０４へアクセスしてログデータを取得し、ＰＬＣ（２０７、２０８）の稼動状態などを監視する装置である。
　ＰＬＣ（２０７、２０８）は、アクチュエータ、モータ、センサなどのフィールド機器と接続する。フィールドネットワーク（２０９、２１０）は、ＰＬＣ（２０７、２０８）などのコントローラがフィールド機器の制御を行うためのネットワークである。フィールドネットワーク（２０９、２１０）は、有線、無線、または、有線と無線の両方により構成されるネットワークである。フィールドネットワーク（２０９、２１０）の規格として、Ｐｒｏｆｉｂｕｓ、Ｍｏｄｂｕｓ、ＨＡＲＴ、ＷｉｒｅｌｅｓｓＨＡＲＴ、ＩＳＡ１００．１１ａ等がある。
　図２の構成では、ＰＬＣ１（２０７）とＰＬＣ２（２０８）はフィールドネットワーク（２０９、２１０）を介してフィールド機器と接続しているが、ネットワークを介さず直接接続する構成であってもよい。ＰＬＣ１（２０７）はフィールドネットワーク２０９を介してタービン２１１、回転数センサ２１２と接続している。ＰＬＣ１（２０７）はフィールドネットワーク２０９を介して、タービン２１１の回転数を測定する回転数センサ２１２から回転数情報を取得する。また、ＰＬＣ１（２０７）はフィールドネットワーク２０９を介してタービン２１１へ制御命令を送信する。ＰＬＣ２（２０８）は、フィールドネットワーク２１０を介して、ボイラ２１３、温度センサ２１４、圧力センサ２１５と接続している。ＰＬＣ２（２０８）はフィールドネットワーク２１０を介して、ボイラ２１３の温度を測定する温度センサ２１４から温度情報を取得する。ＰＬＣ２（２０８）はフィールドネットワーク２１０を介して、ボイラ２１３の圧力を測定する圧力センサ２１５から圧力情報を取得する。ＰＬＣ２（２０８）はフィールドネットワーク２１０を介して、ボイラ２１３へ制御命令を送信する。
　図３は本実施例の制御ネットワーク１０２に接続する機器の機器名３０１とアドレス３０２の対応づけを示すテーブルである。制御端末２０２のアドレスはＡである。プログラミング端末２０３のアドレスはＢである。ログサーバ２０４のアドレスはＣである。ＭＥＳ端末２０５のアドレスはＤである。監視端末２０６のアドレスはＥである。ＰＬＣ１（２０７）のアドレスはＦである。ＰＬＣ２（２０８）のアドレスはＧである。アドレスの一例として、ＩＰアドレス、ＭＡＣアドレスなどが挙げられる。アドレスは制御ネットワークに接続する機器を一意に特定できるものであれば、その他のものであってもよい。
　図４に本発明の第１の実施例における、振舞異常検知装置２０１の機能ブロック図を示す。振舞異常検知装置２０１は、通信インターフェース４０１、パケット分類部４０２、システム状態取得部４０３、通信取得部４０４、異常判定部４０５、状態通信記憶部４０６、データベース４０７、受信済通信パターンリスト４０８から構成される。データベース４０７はシステム状態と、当該システム状態における正常通信パターンの対応付けを示すものである。
　図５はデータベース４０７の一例を示す。システム状態は、制御システムを構成する機器群の全体としての状態を定義するものである。システム状態５０１として例えば図５に示すように、プログラミングモード５０３、発電目標設定モード５０４、稼動モード５０５、稼動監視モード５０６、保守モード５０７がある。プログラミングモード５０３は、プログラミング端末２０３からＰＬＣ１（２０７）、ＰＬＣ２（２０８）へ制御プログラムの書きこみが行われている状態を表す。発電目標設定モード５０４は、ＭＥＳ端末２０５から、ＰＬＣ１（２０７）、ＰＬＣ２（２０８）へ発電目標を設定している状態を表す。稼動モード５０５は、ＰＬＣ１（２０７）、ＰＬＣ２（２０８）が、設定されたプログラム及び、発電目標に基づいて、タービン２１１、ボイラ２１３などの機器を制御している状態を表す。稼動監視モード５０６は、システム状態５０１が稼動モード５０５である場合と同様に、ＰＬＣ１（２０７）、ＰＬＣ２（２０８）が設定されたプログラム及び、発電目標に基づいて、タービン２１１、ボイラ２１３などの機器を制御し、尚且つ、監視端末２０６が各機器の稼動状態を監視している状態である。
　保守モード５０７は、制御端末２０２からＰＬＣ１（２０７）、ＰＬＣ２（２０８）へのファームウェア書き込みなどの保守作業が行われている状態を表す。制御ネットワーク１０２では、制御システムのシステム状態５０１に応じて、特定のパターンの通信が行われる。図５に示すデータベース４０７では、制御システムがプログラミングモード５０３である場合には、次の２つの正常通信パターンが定義される。１つは、アドレスＢをもつプログラミング端末２０３から、アドレスＦを持つＰＬＣ１（２０７）への動作プログラミングの書き込みを行うための通信である。２つめは、アドレスＢをもつプログラミング端末２０３から、アドレスＧをもつＰＬＣ２（２０８）への動作プログラミングの書き込みを行うための通信である。図５に示すデータベース４０７では、制御システムが発電目標設定モード５０４にある場合、次の２つの正常通信パターンが定義される。１つめは、アドレスＤをもつＭＥＳ端末２０５からアドレスＦをもつＰＬＣ１（２０７）への発電目標を書き込むための通信である。２つめは、アドレスＤをもつＭＥＳ端末２０５からアドレスＧをもつＰＬＣ２（２０８）への発電目標を書き込むための通信である。
　図５に示すデータベース４０７では、制御システムが稼動モード５０５にある場合、次の４つの正常通信パターンが定義される。１つめは、アドレスＦをもつＰＬＣ１（２０７）からアドレスＣをもつログサーバ２０４への、動作ログの書き込みのための通信である。２つめは、アドレスＧをもつＰＬＣ２（２０８）からアドレスＣをもつログサーバ２０４へ、動作ログを書き込むための通信である。３つめは、アドレスＦをもつＰＬＣ１（２０７）からアドレスＧをもつＰＬＣ２（２０８）への通信である。この３つめの通信は、ＰＬＣ１（２０７）にフィールドネットワーク２０９を介して接続するタービン２１１、回転数センサ２１２の動作状態をＰＬＣ２（２０８）に通知するための通信である。４つめは、アドレスＧをもつＰＬＣ２（２０８）からアドレスＦをもつＰＬＣ１（２０７）への通信である。この４つめの通信は、ＰＬＣ２（２０８）にフィールドネットワーク２１０を介して接続するボイラ２１３、温度センサ２１４、圧力センサ２１５の動作状態をＰＬＣ１（２０７）に通知するための通信である。上記、３つめ、および、４つめの通信は一般にサクリック通信、または、メモリ転写と呼ばれるものであり、制御ネットワークに接続する複数のＰＬＣが、各ＰＬＣの配下に接続する機器の動作状態を共有するために行われる。制御システムが稼動監視モード５０６にある場合には、次の５つの正常通信パターンが定義される。５つの正常通信パターンの内、４つは、システム状態が稼動モード５０５である場合の正常通信パターンと同一のものである。
　５つめは、アドレスＣをもつログサーバ２０４からアドレスＥをもつ監視端末２０６への、ログサーバ２０４が記録している動作ログを監視端末２０６へ送信するための通信である。図５に示すデータベース４０７では、正常通信パターンとして、送信元アドレスと送信先アドレスの組を定義しているが、その他の指標を用いて定義してもよい。正常通信パターンを定義するその他の指標として、例えば、ポート番号、パケットサイズ、通信間隔、通信頻度などが挙げられる。
　通信インターフェース４０１は、制御ネットワーク１０２内で通信されるパケットを受信し、パケット分類部４０２へ入力する。
　パケット分類部４０２は、通信インターフェース４０１から入力されたパケットのヘッダまたは内容を参照し、当該パケットがシステム状態通知パケットであるか、通信パケットであるかを判定する。システム状態通知パケットは、システム状態を通知するためのパケットである。システム状態通知パケットは、例えば、制御ネットワーク１０２に接続する機器を介して、制御システムの管理者から送信される。あるいは、システム通知パケットは制御ネットワーク１０２に対して上位にある情報ネットワーク１０５に接続する機器を介して、制御システムの管理者から送信される。あるいは、インターネット１０７を介して、遠隔管理センタ内の制御システムの管理者から送信される。システム状態通知パケットは、その他の方法で送信されてもよい。あるいは、システム状態通知パケットはネットワークを介さず振舞異常検知装置２０１に直接入力されてもよい。
　通信パケットは、制御ネットワーク１０２に接続する機器間で通信される通常のパケットである。パケット分類部４０２は、通信インターフェース４０１から入力されたパケットがシステム状態通知パケットである場合には、システム状態取得部４０３へ入力する。パケット分類部は、通信インターフェース４０１があるから入力されたパケットが通信パケットである場合には、通信取得部４０４へ入力する。
　システム状態取得部４０３は、パケット分類部４０２からシステム状態通知パケットを入力されると、システム状態を抽出し、状態通信記憶部４０６へ入力する。
　通信取得部４０４は、パケット分類部４０２から入力された通信パケットの内容を参照し、当該通信パケットの送信元アドレスと送信先アドレスを抽出する。通信取得部４０４は、抽出した送信元アドレスと送信先アドレスを異常判定部４０５へ入力する。状態通信記憶部４０６は、異常判定部４０５から入力された送信元アドレスと送信先アドレスの組が、受信済通信パターンリスト４０８に登録されていない場合、当該送信元アドレスと送信先アドレスの組を受信済通信パターンリスト４０８に記録する。
　異常判定部４０５は、通信取得部４０４から送信元アドレスと送信先アドレスの組を受信すると、状態通信機億部４０６が記録している現在のシステム状態を取得する。次に、異常判定部４０５は、データベース４０７を参照して現在のシステム状態５０１に相当する正常通信パターン５０２のリストを確認し、当該リストの中に、通信取得部４０４から取得した送信元アドレスと送信先アドレスの組がある場合には、制御システムは正常に稼動していると判定し、当該の送信元アドレスと送信先アドレスの組を状態通信記憶部４０６に入力する。正常通信パターン５０２の中に当該の送信元アドレスと送信先アドレスの組みが無い場合には制御システムに異常が発生していると判定する。
　また、異常判定部４０５は、時計機能を有し、現在時刻、全通信パターン受信確認時刻、全通信パターン受信確認間隔を管理する。全通信パターン受信確認間隔は予め設定される。異常判定部４０５は、現在時刻から全通信パターン受信確認時刻を引いた値が全通信パターン受信間隔以上である場合に、以下の動作を行う。異常判定部４０５は、全通信パターン受信確認時刻を現在時刻に更新する。異常判定部４０５は、状態通信記憶部４０６から、現在のシステム状態と受信済通信パターンリスト４０８を取得する。次に、異常判定部４０５はデータベース４０７と受信済通信パターンリスト４０８を参照し、現在のシステム状態５０１の正常通信パターン５０２を全て受信済みであるかどうかを確認する。異常判定部４０５は、正常通信パターンを全て受信済みである場合には、制御システムは正常に稼動していると判定し、未受信の正常通信パターンが１つ以上ある場合には、図１２を用いて後述する経過時間の閾値に基づく処理に基づいて制御システムに異常が発生しているか否かを判定する。
　異常判定方法に関して、具体例を用いて説明する。図６、図７、図８にシステム状態と当該システム状態において振舞異常検知装置が一定時間（全通信パターン受信確認間隔）内に取得した通信パターンと作成された受信済通信パターンリスト４０８を示す。
　図６(a)の例では、システム状態がプログラミングモードである時に、アドレスＢからアドレスＦへの通信と、アドレスＢからＧへの通信の２パターンを取得した場合を示す。これら２パターンの通信はそれぞれ、図５のデータベース４０７の内、システム状態５０１がプログラミングモード５０３である場合の正常通信パターンに一致しているため、制御システムは正常であると判定する。アドレスＢからアドレスＦへの通信と、アドレスＢからＧへの通信の２パターンは、図５のデータベース４０７の内、システム状態５０１がプログラミングモード５０３である場合の正常通信パターンに一致しているため、図６(b)の受信済通信パターンリスト４０８に登録される。図６(b)の受信済通信パターンリスト４０８から、図５のデータベース４０７の内、システム状態５０１がプログラミングモード５０３である場合の正常通信パターンが全通信パターン受信確認間隔内に全て受信されていることが分かるため、制御システムは正常であると判定する。
　図７の例では、システム状態が発電目標設定モードであるときに、アドレスＡからアドレスＦへの通信を取得した場合を示す。図５のデータベース４０７の内、システム状態５０１が発電目標設定モード５０４である場合の正常通信パターンにアドレスＡからアドレスＦへの通信は該当しないため、制御システムは異常であると判定する。
　図８(a)の例では、システム状態が稼動モードであるときに、アドレスＦからアドレスＣへの通信、アドレスＧからアドレスＣへの通信、アドレスＧからアドレスＦへの通信を取得した場合をしめす。これら３パターンの通信はそれぞれ、図５のデータベース４０７の内、システム状態５０１が稼動モード５０５である場合の正常通信パターンに一致しているため、制御システムは正常であると判定する。アドレスＦからアドレスＣへの通信、アドレスＧからアドレスＣへの通信、アドレスＧからアドレスＦへの通信は、図５のデータベース４０７の内、システム状態５０１が稼動モード５０５である場合の正常通信パターンに一致しているため、図８(b)の受信済通信パターンリスト４０８に登録される。図８(b)の受信済通信パターンリスト４０８から、図５のデータベース４０７の内、システム状態５０１が稼動モード５０５である場合の正常通信パターンの中でアドレスＦからＧへの通信が受信されておらず、システム状態５０１が稼動モード５０５である場合の正常通信パターンの全てが全通信パターン受信確認間隔内に受信されていないため、制御システムは異常であると判定する。
　振舞異常検知装置２０１の動作詳細についてフロー図を用いて説明する。
　振舞異常検知装置の全体動作フローを図９を用いて説明する。はじめに、データベースが設定される（９０１）。次に、システム状態受信処理（９０２）、通信パケット受信処理（９０３）、全通信パターン通信確認処理（９０４）が順に繰り返される。データベース設定（９０１）について、データベースはシステム管理者により作成されてもよい。データベースは振舞異常検知装置２０１が自動的に生成してもよい。データベースは振舞異常検知装置２０１が動作している中で、更新されてもよい。
　図１０は図９のシステム状態受信処理（９０２）の詳細を示す。システム状態受信処理（９０２）では、はじめにシステム状態を受信したかどうかを確認する（１００１）。受信していない場合、処理を終了する。システム状態を受信している場合、次に、受信したシステム状態が現在のシステム状態と同じかどうかを確認する（１００２）。受信したシステム状態が現在のシステム状態と同じ場合、処理を終了する。取得したシステム状態が現在のシステム状態と異なる場合、システム状態を更新する（１００３）。次に、全通信パターン受信確認時刻を現在時刻に変更する（１００４）。次に、受信済通信パターンリストをクリアし（１００５）、処理を終了する。
　図１１は図９の通信パケット受信処理（９０３）の詳細を示す。はじめに、通信パケットを受信したかどうかを確認する（１１０１）。通信パケットを受信していない場合、処理を終了する。通信パケットを受信している場合、データベース内の現在のシステム状態における正常通信パターンに当該通信パターンがあるかどうかを確認する（１１０２）。データベース内の現在のシステム状態における正常通信パターンに当該通信パターンが存在しない場合には、制御システムは異常であると判定し（１１０３）、処理を終了する。データベース内の現在のシステム状態における正常通信パターンに当該通信パターンがある場合には、受信済通信パターンリストに当該通信パターンが記録されているかを確認する（１１０４）。受信済通信パターンリストに当該通信パターンが記録されている場合には、処理を終了する。受信済み通信パターンリストに当該通信パターンが記録されていない場合には、当該通信パターンを受信済通信パターンリストに追加し（１１０５）、処理を終了する。
　図１２は図９の全通信パターン受信確認処理（９０４）の詳細を示す。はじめに、現在時刻から全通信パターン受信確認時刻を引いた値が全通信パターン受信確認間隔より大きいかどうかを確認する（１２０１）。現在時刻から全通信パターン受信確認時刻を引いた値が閾値より大きくない場合には処理を終了する。現在時刻から全通信パターン受信確認時刻を引いた値が閾値より大きい場合には、受信済通信パターンリストとデータベースを参照し、データベース内の現在システム状態の通信パターンをすべて受信済かどうかを確認する（１２０２）。全て受信済みである場合には、全通信パターン受信確認時刻を現在時刻に更新し（１２０４）、受信済通信パターンリストをクリアし（１２０５）、処理を終了する。全て受信済みでない場合には、制御システムが異常であると判定する（１２０３）。次に、全通信パターン受信確認時刻を現在時刻に更新し（１２０４）、受信済通信パターンリストをクリアし（１２０５）、処理を終了する。
　本施例によれば、現在のシステム状態に対して適切な通信が行われていないときにシステムの異常を検出することにより、可用性・信頼性の高い制御ネットワークを提供することができる。
　本実施例の振舞異常検知装置はデータベースを自動で作成することを特徴とする。
　図１３に本実施例の振舞異常検知装置１３０１を示す。図１３において、図４の各部分と同じ動作を行う部分には同一の符号をつける。図１３に示す振舞異常検知装置１３０１のシステム状態取得部１３０２は、パケット分類部４０２からシステム状態通知パケットを入力されると、システム状態を抽出し、システム状態を状態通信記憶部４０６とデータベース作成部１３０３の両方に入力する。
　通信取得部１３０４は、パケット分類部４０２から入力された通信パケットの内容を参照し、当該通信パケットの送信元アドレスと送信先アドレスを抽出する。通信取得部１３０４は、抽出した送信アドレスと送信先アドレスを異常判定部４０５と状態通信記憶部４０６とデータベース作成部１３０３へ入力する。
　データベース作成部１３０３はシステム取得部１３０２から入力されたシステム状態と通信取得部から入力された、送信元アドレスと送信先アドレスを用いて、データベース４０６を作成する。
　データベース作成処理を図１４にデータベース作成のフロー図を用いて説明する。まず、システム状態を取得したかどうかを確認する（１４０１）。システム状態を取得していない場合、通信パターンを取得したかどうかを確認する（１４０５）。システム状態を取得している場合、取得したシステム状態がデータベースに存在するかどうかを確認する（１４０２）。取得したシステム状態がデータベースに存在しない場合、当該システム状態をデータベースに登録する（１４０３）。次に、現在のシステム状態を取得したシステム状態に更新する（１４０４）。次に、通信パターンを取得したかどうかを確認する（１４０５）。通信パターンを取得していない場合、学習期間が終了しているかどうかを確認する（１４０８）。通信パターンを取得している場合、データベース内の現在のシステム状態の正常通信パターンとして取得した通信パターンが登録されているかどうかを確認する（１４０６）。
　データベース内の現在のシステム状態の正常通信パターンとして、取得した通信パターンが登録されている場合、学習期間が終了しているかどうかを確認する（１４０８）。データベース内の現在のシステム状態の正常通信パターンとして、取得した通信パターンが登録されていない場合、データベース内の現在のシステム状態の正常通信パターンとして取得した通信パターンを登録する（１４０７）。次に、学習期間が終了しているかどうかを確認する（１４０８）。学習期間が終了していない場合には、再度システム状態を取得しているかどうかを確認する（１４０１）。学習期間が終了している場合には、データベース作成処理を終了する。
　本実施例によれば、データベースを自動で作成することにより、管理者などが手動でデータベースを作成することが不要になり、振舞異常検知装置の導入を容易にすることが可能となる。
　本実施例の振舞異常検知装置はデータベースを更新することを特徴とする。
　図１５に本実施例の振舞異常検知装置を示す。図１５において、図４の各部分と同じ動作を行う部分には同一の符号をつける。
　図１５に示す振舞異常検知装置のパケット分類部１５０２は、通信インターフェース４０１から入力されたパケットのヘッダまたは内容を参照し、当該パケットがシステム状態通知パケットであるか、通信パケットであるか、データベース更新通知パケットであるかを判定する。パケット分類部１５０２は、通信インターフェース４０１から入力されたパケットがシステム状態通知パケットである場合には、システム状態取得部へ入力する。パケット分類部１５０２は、通信インターフェース４０１から入力されたパケットが通信パケットである場合には、通信取得部４０４へ入力する。パケット分類部１５０２は、通信インターフェース４０１から入力されたパケットがデータベース更新通知パケットである場合には、データベース更新部１５０３へ入力する。
　システム状態通知パケットは、システム状態を通知するためのパケットである。通信パケットは、制御ネットワークに接続する機器間で通信される通常のパケットである。データベース更新通知パケットは、データベース更新部１５０３に、データベースの更新を指示するためのパケットである。データベース更新部１５０３は、パケット分類部１５０２から入力されたデータベース更新通知パケットを入力されると、パケットからデータベース更新内容を抽出し、データベース４０７の更新を行う。
　本実施例によれば、データベースを更新することにより、制御ネットワークに新たな機器が追加されるなど制御ネットワーク、制御システムの構成が変更された場合においても、制御ネットワークの異常を見落とすことなく検出することができる。
　本実施例の振舞異常検知装置は、異常通知部を有することを特徴とする。
　図１６に本実施例の振舞異常検知装置を示す。図１６において、図４の各部分と同じ動作を行う部分には同一の符号をつける。
　図１６に示す振舞異常検知装置１６０１の異常判定部１６０２は、通信取得部４０４から送信元アドレスと送信先アドレスの組を受信すると、状態通信機億部４０６が記録している現在のシステム状態を取得する。次に、異常判定部１６０２は、データベース４０７を参照して現在のシステム状態に相当する正常通信パターンのリストを確認し、当該リストの中に、通信取得部から取得した送信元アドレスと送信先アドレスの組がある場合には、制御システムは正常に稼動していると判定し、無い場合には制御システムに異常が発生していると判定し、判定結果を異常通知部１６０３へ入力する。異常判定部１６０３は、定期的に次の動作を行う。異常判定部１６０３は、状態通信記憶部４０６から、現在のシステム状態と受信済通信パターンリストを取得する。
　次に、異常判定部１６０２はデータベース４０７を参照し、現在のシステム状態の正常通信パターンを全て受信済みであるかどうかを確認する。異常判定部１６０２は、正常通信パターンを全て受信済みである場合には、制御システムは正常に稼動していると判定し、未受信の正常通信パターンが１つ以上ある場合には、制御システムに異常が発生していると判定し、判定結果を異常通知部１６０３へ入力する。異常通知部１６０３は、異常判定部１６０２から通知された異常有無を示す判定結果を通信インターフェース４０１を介して管理者へ通知する。管理者は、制御ネットワーク１０２内、または、情報ネットワーク１０５内、または、インターネット１０７を介した遠隔地に存在する場合が考えられる。
　本実施例によれば、制御ネットワークの管理者が、制御ネットワークから離れた場所いる場合においても、管理者が制御ネットワークで発生した異常を認識することが可能となる。
　本実施例の振舞異常検知装置は、システム状態、システム状態に対応する正常通信パターン、システム状態に対応する異常対応方法の３つを記録するデータベースを有し、システム状態に応じた異常対応方法を実施することを特徴とする。
　図１７に本実施例の振舞異常検知装置１７０１を示す。図１７において、図４の各部分と同じ動作を行う部分には同一の符号をつける。
　図１７に示す振舞異常検知装置のデータベース１７０２はシステム状態と、当該システム状態における正常な通信パターンの対応付けと、当該システム状態において異常を検知した場合の異常対応方法の対応付けを示すものである。異常判定部１７０３は異常検出時に、データベースに記載されている異常対応方法を異常対応部１７０４に通知する。異常対応部１７０４は、異常判定部１７０３から通知された異常対応方法を実施する。図１８は本実施例におけるデータベース１７０２の一例を示す。システム状態５０１がプログラミングモード５０３にあるときに異常を検出した場合、異常対応方法１８０１として、異常通信の遮断と管理者通知（１８０２）を実施する。システム状態５０１が発電目標設定モード５０３であるときに異常を検出した場合、異常対応方法１８０１として異常通信遮断と管理者通知（１８０３）を実施する。システム状態５０１が稼動モード５０５であるときに異常を検出した場合、異常対応方法１８０１として管理者通知（１８０４）を実施する。システム状態５０１が稼動監視モード５０６であるときに異常を検出した場合、異常対応方法１８０１として管理者通知（１８０５）を実施する。システム状態５０１が保守モード５０７でるときに異常を検出した場合、異常対応方法１８０１として異常通信遮断と管理者通知（１８０６）を実施する。
　システム状態５０１が稼動モード５０５、または、稼動監視モード５０６にある場合には、火力発電プラント１０１内のタービン２１１などの機器は運転中である。機器が運転中であるときに、振舞異常検知装置１７０１が異常と判定した通信が、実際には制御に必要な通信であった場合、機器の制御が失われて事故などにつながる可能性もあるため、異常通信遮断は行わず、管理者通知のみを行う。システム状態５０１がプログラミングモード５０３、発電目標設定モード５０４、または、保守モード５０７にある場合には、火力発電プラント内のタービン２１１などの機器は非運転中である。機器が非運転中であるときに、振舞異常検知装置１７０１が異常と判定した通信が、実際は正常な通信であったとしても、機器の動作に影響を及ぼさないと考えられるため、管理者通知だけでなく異常通信遮断も行う。
　本実施例によれば、制御システムのシステム状態に応じて異常対応方法を変更することにより、システムの異常を検出しつつ、異常に対して安全な対応を実施可能となる。　以上、本発明者によってなされた発明を実施例に基づき具体的に例示して説明したが、本発明の内容は実施例に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能であることはいうまでもない。例えば、振舞異常検知装置を構成する各機能部の一部、または、全てがルータ、レイヤ３スイッチ、スイッチングハブ、リピータハブなどのネットワーク接続機器に組み込まれてもよい。また、振舞異常検知装置を構成する各機能部が、２以上の複数の装置に組み込まれて構成されてもよい。また、実施例１～５に記載した振舞異常検知装置の機能部の内、１つ、または、複数の機能部を組み合わせて使用した振舞異常検知装置を構成してもよい。
１０１　火力発電プラント
１０２　制御ネットワーク
１０３、１０６　ネットワーク接続装置
１０４　オフィス
１０５　制御ネットワーク
１０７　インターネット
１０８　遠隔監視制御センタ
２０１、１３０１、１５０１、１６０１、１７０１　振舞異常検知装置
２０２　制御端末
２０３　プログラミング端末
２０４　ログサーバ
２０５　ＭＥＳ端末
２０６　監視端末
２０７　ＰＬＣ１
２０８　ＰＬＣ２
２０９、２１０　フィールドネットワーク
２１１　タービン
２１２　回転数センサ
２１３　ボイラ
２１４　温度センサ
２１５　圧力センサ
３０１　機器名
３０２　アドレス
４０１　通信インターフェース
４０２、１５０２　パケット分類部
４０３、１３０２　システム状態取得部
４０４、１３０４　通信取得部
４０５、１６０２、１７０３　異常判定部
４０６　状態通信機億部
４０７、１７０２　データベース
４０８　受信済通信パターンリスト
５０１　システム状態
５０２　正常通信パターン
５０３　プログラミングモード
５０４　発電目標設定モード
５０５　稼動モード
５０６　稼動監視モード
５０７　保守モード
１３０３　データベース作成部
１５０３　データベース更新部
１６０３　異常通知部
１７０４　異常対応部
１８０１　異常対応方法
１８０２、１８０３、１８０６　異常通信遮断と管理者通知
１８０４、１８０５　管理者通知

Claims (12)

  1. 　システムの状態毎に正常な機器間の通信パターンを記憶したデータベースと、
    　前記システムの状態を示す情報を取得してシステムの状態を判定するシステム状態判定部と、
    　前記機器間の通信パターンを示す情報を取得して通信パターンを判定する通信パターン判定部と、
    　前記通信パターン判定部が判定した通信パターンと、前記システム状態取得部が判定したシステムの状態における正常な通信パターンとして前記データベースに記憶された通信パターンと、に基づいて、前記システムにおける異常発生の有無を判定する異常判定部と、
    　を備えることを特徴とする情報制御装置。
  2. 　請求項１に記載の情報制御装置であって、
    　前記異常判定部は、
    　前記通信パターン判定部が判定した通信パターンの少なくとも一部が前記データベースに記憶された正常な通信パターンに該当しない場合に、前記システムに異常が発生していると判定する、
    　ことを特徴とする情報制御装置。
  3. 　請求項１に記載の情報制御装置であって、
    　前記データベースは、前記機器の送信元アドレスと前記機器の送信先アドレスの組みにより前記通信パターンを定義する、
    　ことを特徴とする情報制御装置。
  4. 　請求項１に記載の情報制御装置であって、
    　前記異常判定部は、
    前記システムの状態に対応する前記データベースの正常な通信が一定時間内に全て行われていない場合に、前記システムに異常が発生していると判定する、
    　ことを特徴とする情報制御装置。
  5. 　請求項１に記載の情報制御装置であって、
    　前記データベースを自動的に生成するデータベース作成部をさらに備えることを特徴とする情報制御装置。
  6. 　請求項１に記載の情報制御装置であって、
    　前記データベースは、
    　前記システムの状態と、前記機器間の正常な通信パターンと、前記システムの状態における異常対応方法と、を対応付けて記憶している、ことを特徴とする情報制御装置。
  7. 　通信を行う機器と、
    　前記機器間の接続を行う接続装置と、
    　システムの状態毎に正常な前記機器間の通信パターンを記憶し、前記システムの状態を示す情報を取得してシステムの状態を判定し、前記機器間の通信パターンを示す情報を取得して通信パターンを判定し、前記判定した通信パターンと、前記判定したシステムの状態における正常な通信パターンとして前記記憶した通信パターンと、に基づいて、システム異常発生の有無を判定する異常判定装置と、
    　を備えることを特徴とする情報制御システム。
  8. 　請求項７に記載の情報制御システムであって、
    　前記異常判定装置は、
    　前記判定した通信パターンの少なくとも一部が前記記憶された正常な通信パターンに該当しない場合に、システム異常が発生していると判定する、
    　ことを特徴とする情報制御システム。
  9. 　請求項７に記載の情報制御システムであって、
    　前記異常判定装置は、
    　前記機器の送信元アドレスと前記機器の送信先アドレスの組みにより前記通信パターンを定義する、
    　ことを特徴とする情報制御システム。
  10. 　請求項７に記載の情報制御システムであって、
    　前記異常判定装置は、
    　前記システムの状態に対応する前記データベースの正常な通信が一定時間内に全て行われていない場合に、前記システムに異常が発生していると判定する、
    　ことを特徴とする情報制御システム。
  11. 　請求項７に記載の情報制御システムであって、
    　前記データベースは、
    　前記システムの状態と、前記機器間の正常な通信パターンと、前記システムの状態における異常対応方法と、を対応付けて記憶している、
    　ことを特徴とする情報制御システム。
  12. 　システムの状態毎に正常な機器間の通信パターンを記憶し、
    　システムの状態を示す情報を取得してシステムの状態を判定し、
    　前記機器間の通信パターンを示す情報を取得して通信パターンを判定し、
    　前記判定した通信パターンと、前記判定したシステムの状態における正常な通信パターンとして前記記憶した通信パターンと、に基づいて、システム異常発生の有無を判定する、
    　ことを特徴とする情報制御方法。
PCT/JP2013/059448 2013-03-29 2013-03-29 情報制御装置、情報制御システム、及び情報制御方法 WO2014155650A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
US14/777,609 US9874869B2 (en) 2013-03-29 2013-03-29 Information controller, information control system, and information control method
JP2015507857A JP5844944B2 (ja) 2013-03-29 2013-03-29 情報制御装置、情報制御システム、及び情報制御方法
PCT/JP2013/059448 WO2014155650A1 (ja) 2013-03-29 2013-03-29 情報制御装置、情報制御システム、及び情報制御方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2013/059448 WO2014155650A1 (ja) 2013-03-29 2013-03-29 情報制御装置、情報制御システム、及び情報制御方法

Publications (1)

Publication Number Publication Date
WO2014155650A1 true WO2014155650A1 (ja) 2014-10-02

Family

ID=51622715

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2013/059448 WO2014155650A1 (ja) 2013-03-29 2013-03-29 情報制御装置、情報制御システム、及び情報制御方法

Country Status (3)

Country Link
US (1) US9874869B2 (ja)
JP (1) JP5844944B2 (ja)
WO (1) WO2014155650A1 (ja)

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB2537457A (en) * 2015-03-04 2016-10-19 Fisher Rosemount Systems Inc Anomaly detection in industrial communications networks
CN107580772A (zh) * 2015-05-06 2018-01-12 通用电器技术有限公司 用于工业控制系统的监控组件
WO2018134939A1 (ja) 2017-01-19 2018-07-26 三菱電機株式会社 攻撃検知装置、攻撃検知方法および攻撃検知プログラム
JP2018129579A (ja) * 2017-02-06 2018-08-16 オムロン株式会社 ネットワークシステム管理装置、ネットワークシステム管理方法、制御プログラム、および記録媒体
WO2019004101A1 (ja) * 2017-06-27 2019-01-03 三菱電機ビルテクノサービス株式会社 侵入検知装置および侵入検知方法ならびに侵入検知システム
WO2019142264A1 (ja) 2018-01-17 2019-07-25 三菱電機株式会社 攻撃検知装置、攻撃検知方法および攻撃検知プログラム
JP2019140578A (ja) * 2018-02-13 2019-08-22 Kddi株式会社 優先度算出装置、優先度算出方法及び優先度算出プログラム
US10429829B2 (en) 2015-07-13 2019-10-01 Hitachi, Ltd. Monitoring system, particle beam therapy system, and method of repairing plant
WO2019240020A1 (ja) * 2018-06-13 2019-12-19 パナソニックＩｐマネジメント株式会社 不正通信検知装置、不正通信検知方法及び製造システム

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015060675A (ja) * 2013-09-18 2015-03-30 ソニー株式会社 蓄電システム
WO2016113911A1 (ja) * 2015-01-16 2016-07-21 三菱電機株式会社 データ判定装置、データ判定方法及びプログラム
EP3432184B1 (en) 2016-04-26 2020-04-15 Mitsubishi Electric Corporation Intrusion detection device, intrusion detection method, and intrusion detection program
US10277534B2 (en) * 2016-06-01 2019-04-30 Juniper Networks, Inc. Supplemental connection fabric for chassis-based network device
TWI672605B (zh) * 2017-11-29 2019-09-21 財團法人資訊工業策進會 應用層行為辨識系統與方法
US20210026343A1 (en) * 2018-03-30 2021-01-28 Nec Corporation Information processing device, information processing method, and program
WO2019242868A1 (en) * 2018-12-12 2019-12-26 Mitsubishi Electric Corporation Software testing device, software testing method, and software testing program
CN113882908B (zh) * 2020-07-03 2023-07-25 东方电气股份有限公司 基于被动监测算法的汽轮机网络安全离线监测系统及方法

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008181299A (ja) * 2007-01-24 2008-08-07 Fujitsu Ltd 通信エラー情報出力プログラム、通信エラー情報出力方法および通信エラー情報出力装置
JP2008278272A (ja) * 2007-04-27 2008-11-13 Kddi Corp 電子システム、電子機器、中央装置、プログラム、および記録媒体
JP2009278293A (ja) * 2008-05-13 2009-11-26 Nec Corp パケット送信元特定システム、パケット送信元特定方法、およびパケット送信元特定プログラム

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004312176A (ja) 2003-04-03 2004-11-04 Mitsubishi Electric Corp メッセージ判定処理装置
US8111787B2 (en) * 2008-11-05 2012-02-07 Telefonaktiebolaget L M Ericsson (Publ) OFDM channel estimation method and apparatus
JP5454363B2 (ja) * 2010-06-02 2014-03-26 富士通株式会社 解析プログラム、解析装置および解析方法
JP2012084994A (ja) 2010-10-07 2012-04-26 Hitachi Ltd マルウェア検出方法、およびマルウェア検出装置

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008181299A (ja) * 2007-01-24 2008-08-07 Fujitsu Ltd 通信エラー情報出力プログラム、通信エラー情報出力方法および通信エラー情報出力装置
JP2008278272A (ja) * 2007-04-27 2008-11-13 Kddi Corp 電子システム、電子機器、中央装置、プログラム、および記録媒体
JP2009278293A (ja) * 2008-05-13 2009-11-26 Nec Corp パケット送信元特定システム、パケット送信元特定方法、およびパケット送信元特定プログラム

Cited By (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10291506B2 (en) 2015-03-04 2019-05-14 Fisher-Rosemount Systems, Inc. Anomaly detection in industrial communications networks
GB2537457B (en) * 2015-03-04 2021-12-22 Fisher Rosemount Systems Inc Anomaly detection in industrial communications networks
GB2537457A (en) * 2015-03-04 2016-10-19 Fisher Rosemount Systems Inc Anomaly detection in industrial communications networks
CN107580772A (zh) * 2015-05-06 2018-01-12 通用电器技术有限公司 用于工业控制系统的监控组件
EP3091692B1 (en) * 2015-05-06 2020-07-15 General Electric Technology GmbH A network connection monitoring assembly for an industrial control system
US10429829B2 (en) 2015-07-13 2019-10-01 Hitachi, Ltd. Monitoring system, particle beam therapy system, and method of repairing plant
WO2018134939A1 (ja) 2017-01-19 2018-07-26 三菱電機株式会社 攻撃検知装置、攻撃検知方法および攻撃検知プログラム
JP2018129579A (ja) * 2017-02-06 2018-08-16 オムロン株式会社 ネットワークシステム管理装置、ネットワークシステム管理方法、制御プログラム、および記録媒体
JPWO2019004101A1 (ja) * 2017-06-27 2019-12-19 三菱電機ビルテクノサービス株式会社 侵入検知装置および侵入検知方法ならびに侵入検知システム
WO2019004101A1 (ja) * 2017-06-27 2019-01-03 三菱電機ビルテクノサービス株式会社 侵入検知装置および侵入検知方法ならびに侵入検知システム
WO2019003300A1 (ja) * 2017-06-27 2019-01-03 三菱電機ビルテクノサービス株式会社 侵入検知装置および侵入検知方法
JPWO2019142264A1 (ja) * 2018-01-17 2020-05-28 三菱電機株式会社 攻撃検知装置
CN111566643A (zh) * 2018-01-17 2020-08-21 三菱电机株式会社 攻击检测装置、攻击检测方法和攻击检测程序
WO2019142264A1 (ja) 2018-01-17 2019-07-25 三菱電機株式会社 攻撃検知装置、攻撃検知方法および攻撃検知プログラム
CN111566643B (zh) * 2018-01-17 2023-08-08 三菱电机株式会社 攻击检测装置、攻击检测方法和计算机能读取的记录介质
JP2019140578A (ja) * 2018-02-13 2019-08-22 Kddi株式会社 優先度算出装置、優先度算出方法及び優先度算出プログラム
WO2019240020A1 (ja) * 2018-06-13 2019-12-19 パナソニックＩｐマネジメント株式会社 不正通信検知装置、不正通信検知方法及び製造システム
JP7378089B2 (ja) 2018-06-13 2023-11-13 パナソニックＩｐマネジメント株式会社 不正通信検知装置、不正通信検知方法及び製造システム

Also Published As

Publication number Publication date
JP5844944B2 (ja) 2016-01-20
JPWO2014155650A1 (ja) 2017-02-16
US20160085237A1 (en) 2016-03-24
US9874869B2 (en) 2018-01-23

Similar Documents

Publication Publication Date Title
JP5844944B2 (ja) 情報制御装置、情報制御システム、及び情報制御方法
Galloway et al. Introduction to industrial control networks
US11212315B2 (en) Tunneling for network deceptions
US10819721B1 (en) Systems and methods for monitoring traffic on industrial control and building automation system networks
JP5274667B2 (ja) 安全ステップの判定方法および安全マネージャ
US11190486B2 (en) Automatic security response using one-way links
KR101083925B1 (ko) 보안 위협 방어 장치 및 방법, 그 기록 매체
CN110326268A (zh) 用于保护现场设备的透明防火墙
CN106063221A (zh) 用于在切换后用冗余设备建立安全通信的装置和方法
Iturbe et al. Visualizing network flows and related anomalies in industrial networks using chord diagrams and whitelisting
US10320747B2 (en) Automation network and method for monitoring the security of the transfer of data packets
ES2450469T3 (es) Dispositivo de protección de acceso para una red de automatización
JP2018510544A (ja) インフラストラクチャ監視ソフトウェアを使用してサイバーセキュリティリスクデータを収集するための技法
JP6194835B2 (ja) 鉄鋼プラント制御システム
US11595409B2 (en) Method for monitoring an industrial network
WO2020195640A1 (ja) 監視システム、設定装置および監視方法
Yu et al. Security and Forensic Analysis for Industrial Ethernet Protocols
Canovas et al. Remote Monitoring and Actuation Based on LonWorks Technology
JP6384107B2 (ja) 通信検査モジュール、通信モジュール、および制御装置
JP5817658B2 (ja) 接続監視方法
Nyce Comments on Cyber Security in Industrial Control Systems and Automation
WO2014184942A1 (ja) セキュリティ管理システム、装置、および方法
Prisco et al. OCSVM-Based Novelty Detector on PLC as a Cyber Attack and Fault Application in SCADA System
Kemmerer et al. Control system retrofits—The network is key
Capano Make the Most of Your SCADA System

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13879954

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2015507857

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 14777609

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 13879954

Country of ref document: EP

Kind code of ref document: A1