WO2018159360A1 - 制御装置、宅内機器、およびプログラム - Google Patents

制御装置、宅内機器、およびプログラム Download PDF

Info

Publication number
WO2018159360A1
WO2018159360A1 PCT/JP2018/005771 JP2018005771W WO2018159360A1 WO 2018159360 A1 WO2018159360 A1 WO 2018159360A1 JP 2018005771 W JP2018005771 W JP 2018005771W WO 2018159360 A1 WO2018159360 A1 WO 2018159360A1
Authority
WO
WIPO (PCT)
Prior art keywords
control device
communication
home
predetermined
network
Prior art date
Application number
PCT/JP2018/005771
Other languages
English (en)
French (fr)
Inventor
健司 安
洋一 増田
Original Assignee
パナソニックＩｐマネジメント株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by パナソニックＩｐマネジメント株式会社 filed Critical パナソニックＩｐマネジメント株式会社
Priority to US16/489,225 priority Critical patent/US20200064816A1/en
Priority to CN201880014484.1A priority patent/CN110352426A/zh
Publication of WO2018159360A1 publication Critical patent/WO2018159360A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Programme-control systems
    • G05B19/02—Programme-control systems electric
    • G05B19/18—Numerical control [NC], i.e. automatically operating machines, in particular machine tools, e.g. in a manufacturing environment, so as to execute positioning, movement or co-ordinated operations by means of programme data in numerical form
    • G05B19/4155—Numerical control [NC], i.e. automatically operating machines, in particular machine tools, e.g. in a manufacturing environment, so as to execute positioning, movement or co-ordinated operations by means of programme data in numerical form characterised by programme execution, i.e. part programme or machine function execution, e.g. selection of a programme
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/67—Risk-dependent, e.g. selecting a security level depending on risk profiles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W24/00—Supervisory, monitoring or testing arrangements
    • H04W24/08—Testing, supervising or monitoring using real traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/10—Connection setup
    • H04W76/19—Connection re-establishment
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/30—Connection release
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/23—Pc programming
    • G05B2219/23238—TV microprocessor executes also home control, monitoring of appliances
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/141—Denial of service attacks against endpoints in a network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
    • H04W88/02—Terminal devices

Definitions

  • the present invention relates to a control device, a home device, and a program.
  • IoT Internet of Things
  • IFTTT IFTTT
  • the present invention has been made in view of such problems, and an object of the present invention is to provide a control device, a home device, and a program that can reduce security risks.
  • a control device includes: a control device connected via a network to a server that stores a home device and a portable terminal that controls the home device in a linked manner;
  • the control device in the control system that receives an instruction from a portable terminal and controls an operating state of the home device, determines whether a signal received from another terminal satisfies a predetermined criterion, and the predetermined criterion When it is determined that the condition is satisfied, all communication via the network is blocked.
  • a control device connected via a network to a server that associates and stores a home device and a mobile terminal that controls the home device receives an instruction from the mobile terminal.
  • the home appliance in the control system that controls the operating state of the home appliance, and it is determined whether a signal received from another terminal satisfies a predetermined standard, and it is determined that the predetermined standard is satisfied Block all communication through the network.
  • the program according to one aspect of the present invention is a program that causes a computer to function as the control device.
  • the program according to one aspect of the present invention is a program that causes a computer to function as the in-home device.
  • FIG. 1 is a network configuration diagram of a control system according to the present embodiment.
  • the server 1, the A house 10, the B house 20, and the like are connected to a network 3 such as the Internet.
  • a home 10 is provided with a control device 11 and device groups 13_1, 13_2, 13_3, and 13_4 via a BBR (broadband router) 12.
  • BBR 22 and the like are installed in B house 20.
  • the device groups 13_1, 13_2, 13_3, and 13_4 may be simply referred to as “device 13” or “home device”.
  • the server 1 is a management device that manages various data.
  • the server 1 stores and registers (registers) a home device and a user smartphone 2 that can control the home device.
  • the server 1 stores information on the device 13, the control device 11, and the user smartphone 2 in association with the user, and allows the user to check the connection status of each device 13 and the control device 11. provide.
  • Each information is registered in accordance with the registration request received from the control device 11.
  • the connection configuration change notification is received, and when the ISP (Internet service provider) is different from the registered information, the user smartphone 2 is notified. For example, when the Internet service provider is changed from ISP-A to ISP-B, the user smartphone 2 owned by the user is notified.
  • the user smartphone 2 is a mobile terminal registered in the server 1. Here, the case where it is a portable terminal which the user of A house 10 owns is assumed.
  • the user of the A home 10 can perform settings such as ON / OFF of the home device 13 while operating outside the home by operating the user smartphone 2.
  • the control device 11 is a home server such as AiSEG (registered trademark).
  • the control device 11 receives an instruction from the user smartphone 2 and controls the operating state of the device 13.
  • the device 13 can also be controlled by operating the screen of the control device 11.
  • the device 13 is a home device installed in the A home 10.
  • the device 13_1 is an air conditioner
  • the device 13_2 is a washing machine
  • the device 13_3 is lighting
  • the device 13_4 is a water heater.
  • the device 13 has an I / F open to the outside for cooperation with IFTTT or the like or for smartphone control. Therefore, there is a concern of a security risk that the device 13 is directly attacked from outside without going through the control device 11.
  • the control system realizes protection by automatic lockout from the viewpoint of reducing the security risk not only in the control device 11 but also in each device 13 itself.
  • protection from an external attack is realized by locking out the device 13 on the condition of the external network state.
  • the device 13 is a built-in device such as a home appliance, and has a processing capability and cost restrictions, so that the protection function is realized with a light operation.
  • Such a protection function may be installed in the device 13 in advance, or may be realized as a sensor that is attached to the device 13 later. Alternatively, it may be installed in the control device 11 in advance, or a method of updating the program of the control device 11 afterwards.
  • ⁇ ⁇ ⁇ Lockout is a function that temporarily stops all network services that are running and enables unlocking means. In other words, it is a function that interrupts communication in terms of software.
  • the lock is released by operating a switch.
  • the switches here include various switches that can be physically operated by the user.
  • the lock can be released by a physical button operation provided in the device 13 or the control device 11 or when there is a screen.
  • Triggers for executing lockout include when a large amount of data is transmitted from the outside, when a large amount of control signals are received in a short time, and when the device 13 is stolen. When such a trigger is detected, the device 13 temporarily stops functioning, enters a locked state in which all control via the network is rejected, and returns to the normal state only by operating a physical button. This provides a function to protect from external attacks so as to minimize damage.
  • protection function (hereinafter simply referred to as “protection function”) may be provided in both the control device 11 and the device 13, or one of the control device 11 and the device 13 may be provided.
  • the control device 11 device surrounded by a dotted line in FIG. 1
  • the device 13 does not have a protection function.
  • FIG. 2 is a functional block diagram of the control device 11 according to the first embodiment.
  • the control device 11 includes a communication unit 11A, a communication statistical information storage unit 11B, a communication monitoring unit 11C, a device information storage unit 11D, a registration information storage unit 11E, a control unit 11F, It includes a certificate storage unit 11G, an update monitoring unit 11H, a connection environment monitoring unit 11I, an authentication processing unit 11J, and an encryption processing unit 11K.
  • the communication unit 11A is a functional unit that realizes communication I / F with other terminals.
  • the communication statistical information storage unit 11B is a functional unit that stores communication statistical information from the communication unit 11A.
  • the communication monitoring unit 11C is a functional unit that monitors communication by the communication unit 11A.
  • the device information storage unit 11D is a functional unit that stores device information such as the device 13.
  • the registration information storage unit 11E is a functional unit that stores various types of registration information.
  • the control unit 11F is a functional unit that performs various controls.
  • the certificate storage unit 11G is a functional unit that stores a certificate used for encrypted communication.
  • the update monitoring unit 11H is a functional unit that monitors update results.
  • the connection environment monitoring unit 11I is a functional unit that monitors the connection environment.
  • the authentication processing unit 11J is a functional unit that performs authentication processing.
  • the cryptographic processing unit 11K is a functional unit that performs cryptographic processing.
  • the control device 11 When the control device 11 is activated for the first time or when a new device 13 is registered in the control device 11, the function of registering the unique identifier and user information of the device 13 and IP information connected to the Internet to the server 1 have.
  • the information registered in the server 1 is read, the IP connected to the Internet is acquired by the Whois service and the ISP is specified, the current IP is acquired in the same manner, the ISP is specified, and both are the same. Check if it exists. When both are different, it is transmitted to the server 1 as a connection configuration change notification.
  • Trigger to execute lockout Hereinafter, a trigger for executing lockout will be described.
  • a trigger ISP change detection, NW internal / external attack detection, long-term non-update detection, and the like can be employed.
  • ISP change means change of ISP information.
  • a method for detecting an ISP change it is possible to employ a “method for querying and obtaining ISP information from the server 1 and notifying the user smartphone 2 when the information is different”.
  • a detection reference for ISP change “when different from ISP information stored at first registration” can be adopted.
  • NW inside / outside attack means an attack from inside or outside the house.
  • a method for detecting NW internal / external attacks will be described later.
  • As the detection target of the NW internal / external attack “abnormal control (control signal interval (ON / OFF))” or “DoS attack from unregistered IP (mass packet transmission)” can be adopted.
  • No update for a long time means that the software has not been updated for a certain period of time.
  • a method for detecting no update for a long period of time a “method of periodically checking access to an update server and update results (once / day)” can be employed.
  • a detection criterion for non-update for a long period of time “update check for a certain period (eg, one year)” can be adopted.
  • NW internal and external attacks Hereinafter, the NW inside / outside attack will be described in more detail.
  • Switching ON / OFF control in a short time can be adopted as a detection target (determination criterion) of the NW internal / external attack. For example, two or more ON / OFF switching operations per second may be determined as an NW internal / external attack.
  • NW internal / external attack detection target determination criteria
  • continuous transmission of ON or OFF for a long time For example, continuous reception for 30 minutes or more may be determined as an NW inside / outside attack.
  • the warning action is to notify the sender that a response cannot be made in a short period of time when the warning criteria are satisfied.
  • the warning criterion “the number of signal receptions is 2 times or more per second and 8 times or more continuously” can be adopted.
  • the filtering operation is to filter all control communication from a specific source for a certain period when the attack continues even after the warning notification.
  • the number of signal receptions is 2 times or more per second and 20 times or more continuously” can be adopted.
  • Device lock execution operation means that all communications are performed in order to maintain the safety of the device when the attack continues for a certain period of time despite filtering, or when the attack is received from multiple sources for a certain time. It shuts off and shifts to the locked state.
  • the device lock execution standard “when the number of signal receptions is twice or more per second and continues for 30 minutes or more” can be adopted.
  • FIG. 3 is a sequence diagram of the control system according to the first embodiment. Here, it is assumed that the ISP information is changed, and the ISP change detection procedure will be described.
  • the connection environment monitoring unit 11I of the control device 11 confirms ISP information at the time of activation. Specifically, an ISP information acquisition request is transmitted to the server 1 (S5), and an ISP information acquisition response is received from the server 1 (S6). As a result, if it is different from the ISP information stored at the time of initial registration, an ISP change notification is transmitted to the server 1 (S7). In this case, after transmitting the ISP change notification to the user smartphone 2 (S8), the server 1 transmits an ISP change notification response to the control device 11 (S9). As a result, encrypted communication can be performed between the control device 11 and the device 13_1 (S10).
  • the ISP change notification is notified to the user smartphone 2.
  • the ISP change notification is notified to the user smartphone 2 of the user of the A home 10.
  • the user of A home 10 can immediately cope with the theft using the ISP change notification as a clue. For example, it is possible to transmit an erasure signal to the device 13_1 and erase data in the device 13_1.
  • FIG. 4 is a sequence diagram of the control system according to the embodiment according to the first embodiment.
  • a DoS attack has occurred in the control device 11 from the home
  • detection of the DoS attack on the control device 11 and a response procedure will be described.
  • the communication monitoring unit 11C of the control device 11 determines that there is a sign of a DoS attack when the signal received from the unauthorized device 14 exceeds a predetermined reference, and first transmits transmission suppression to the unauthorized device 14. (S12 ⁇ S13). If the sign of the DoS attack is still continued, only the message of the unauthorized device 14 is enabled (S14). If the sign of the DoS attack continues, the device lock transition notification is transmitted to all the devices 13 (S15), then all communication is discarded and the lock state is shifted (S16).
  • the defense operation of the control device 11 is strengthened step by step by the function of the control device 11 itself. The Thereby, it is possible to automatically protect the control device 11 from attacks at home while ensuring convenience.
  • the device lock transition notification is transmitted to all the devices 13 before the control device 11 is locked out, it is possible to minimize the influence on the communication on the all devices 13 side.
  • FIG. 5 is a sequence diagram of the control system according to the first embodiment. Here, assuming a case where a DoS attack has occurred from outside the home to the control device 11, detection of the DoS attack on the control device 11 and a response procedure will be described.
  • the communication monitoring unit 11C of the control device 11 determines that there is a sign of a DoS attack when the signal received from the attacker 4 exceeds a predetermined reference, and first transmits transmission suppression to the attacker 4. (S22 ⁇ S23). If the signs of the DoS attack continue, the filter is enabled only for the message of the attacker 4 (S24). If the sign of the DoS attack continues, the device lock transition notification is transmitted to all the devices 13 (S25), then all communication is discarded and the lock state is shifted (S26).
  • the defense operation of the control device 11 is gradually strengthened by the function of the control device 11 itself. Is done. Thereby, it is possible to automatically protect the control device 11 from attacks outside the home while ensuring convenience.
  • the device lock transition notification is transmitted to all the devices 13 before the control device 11 is locked out, it is possible to minimize the influence on the communication on the all devices 13 side.
  • FIG. 6 is a flowchart showing an operation at the time of DoS attack communication check.
  • the implementation subject of this flowchart is the communication monitoring unit 11 ⁇ / b> C of the control device 11.
  • the communication monitoring unit 11C acquires communication frequency information for each IP (S51), and sorts the acquired communication frequencies in descending order (S52). Then, the highest ranking IP and communication frequency are acquired (S53), and it is determined whether the communication frequency is 2 times / second or more (S54).
  • the communication monitoring unit 11C determines whether the control message has been received 4 times or more and a warning has not been transmitted (S55). On the other hand, if the communication frequency is not twice or more (S54: NO), the next highest IP and communication frequency are acquired (S53), and the same processing is repeated.
  • the communication monitoring unit 11C If the communication monitoring unit 11C receives the control message four times or more and has not yet transmitted a warning (S55: YES), the communication monitoring unit 11C transmits a transmission suppression to the transmission source (S56), and associates the transmission suppression transmission with the IP. Save (S57) and end. On the other hand, if the control message is received four times or more and the warning is not transmitted (S55: NO), it is determined whether the control message is received 20 times or more and the warning has been transmitted (S58).
  • the communication monitoring unit 11C If the communication monitoring unit 11C receives the control message 20 times or more and has already transmitted the warning (S58: NO), the communication monitoring unit 11C registers in the packet filtering of the transmission source IP (S59) and ends. On the other hand, if the control message has been received 20 times or more and the warning has not been transmitted (S58: YES), it is determined whether the control message has been received for 30 minutes or more and the warning has been transmitted (S60).
  • the communication monitoring unit 11C If the communication monitoring unit 11C receives the control message for 30 minutes or more and has transmitted the warning (S60: YES), the communication monitoring unit 11C invalidates the communication I / F function (S61), displays the device lock activation (S62), finish. When the screen is not provided, the device lock activation may be notified by voice.
  • the communication monitoring unit 11C constantly monitors communication and detects communication that matches a predetermined condition. When communication matching a predetermined condition is detected, the user is notified and device lock is executed.
  • the communication monitoring unit 11C acquires the communication with the highest transmission frequency from the communication statistical information storage unit 11B. It is determined whether the frequency thus acquired satisfies a predetermined condition. If the predetermined condition is satisfied, the communication is detected.
  • FIG. 7 is a flowchart showing the operation when checking the update execution status.
  • the implementation subject of this flowchart is the update monitoring unit 11H of the control device 11.
  • the update monitoring unit 11H acquires the last update date (S71), acquires the current date and time (S72), and determines whether or not “last update date ⁇ current date ⁇ maximum number of unimplemented days” (S73).
  • the unexecuted maximum number of days is the maximum number of days allowed to be unexecuted, such as 180 days.
  • the update monitoring unit 11H ends if it is not “last update date ⁇ current date ⁇ maximum number of days not yet implemented” (S73: NO). On the other hand, if “last update date ⁇ current date ⁇ maximum number of days not yet executed” (S73: YES), the communication I / F function is invalidated (S74), device lock activation is displayed (S75), and the process ends. When the screen is not provided, the device lock activation may be notified by voice.
  • the update monitoring unit 11H confirms, for example, once / day whether the update is being performed, and verifies whether or not the “unimplemented maximum number of days” set in advance at the time of factory shipment has been exceeded. If the “unimplemented maximum number of days” is exceeded, “device lock” is immediately executed and communication with the outside is shut off.
  • FIG. 8 is a flowchart showing the operation at the time of the ISP change check.
  • the implementation subject of this flowchart is the connection environment monitoring unit 11I of the control device 11.
  • connection environment monitoring unit 11I reads the setting information after startup (S81 ⁇ S82), and determines whether the setting information has been registered in the server 1 (S83).
  • the setting information here is registration information stored in the registration information storage unit 11E.
  • the connection environment monitoring unit 11I performs registration processing in the server 1 (S84), acquires the current ISP information (S85), and acquires the acquired ISP.
  • the information is stored in the registered information storage unit 11E (S86), and the process ends.
  • the setting information is already registered in the server 1 (S83: YES)
  • the current ISP information is acquired from the server 1 (S87), and the ISP information stored in the registration information storage unit 11E is read (S88). It is determined whether both ISP information is the same (S89).
  • the connection environment monitoring unit 11I ends. On the other hand, if the ISP information is not the same (S89: NO), a change notification is transmitted to the user (S90), and the process ends.
  • connection environment monitoring unit 11I confirms whether or not the ISP is the same as the previous connection at the time of startup. If the ISP is different from the previous connection, the user is notified.
  • the server 1 stores the device 13 and the user smartphone 2 that controls the device 13 in association with each other.
  • the control device 11 is connected to the server 1 via the network 3, receives an instruction from the user smartphone 2, and controls the operating state of the device 13.
  • the control device 11 determines whether or not a signal received from another terminal satisfies a predetermined standard, and when determining that the signal satisfies the predetermined standard, performs all communication via the network. Cut off. As a result, when a sign such as a malfunction or failure is detected, the lock state is established, so that the security risk can be reduced.
  • control device 11 may determine that a predetermined criterion is satisfied when a signal received from another terminal is a control signal that instructs ON or OFF exceeding a predetermined frequency. As a result, when an abnormal control signal from the network is detected, the locked state is entered, and thus it is possible to protect itself from a malfunction caused by such a control signal.
  • the server 1 stores the ISP information of the control device 11, and the control device 11 acquires the ISP information every time it starts, and the acquired ISP information is different from the ISP information stored in the server 1. It may be determined that a predetermined standard is satisfied. Thereby, since it will be in a locked state when placed in a network environment different from that at the time of initial installation, it is possible to prevent use or misuse due to theft.
  • control device 11 may periodically check its own update check state, and may determine that the predetermined standard is satisfied when the check device has not been checked for a predetermined period or has not been updated. As a result, since the lock state is entered when the update is not managed, it is possible to prevent the vulnerability from remaining in the state where the security is not updated and being subjected to malware or an attack from the outside.
  • control device 11 may include a switch, and the communication via the network may be restored by operating the switch. Thereby, since the control apparatus 11 can be returned when a user's physical operation is accompanied, it is possible to ensure safety.
  • control device 11 automatically returns the communication after a predetermined time if the number of times that all communication via the network is blocked is less than or equal to the predetermined number (n times), and exceeds the predetermined number In (n + 1), communication may be restored only by operating the switch. Thereby, since a temporary abnormality can be automatically returned without user operation, it is possible to reduce the effort of a user's return
  • control device 11 may block all communication via the network when it is determined that a signal received from a terminal not associated with the device 13 and stored in the server 1 satisfies a predetermined standard. That is, even when a sign such as malfunction or failure is detected, it is possible to perform communication with the terminal registered in the server 1 as usual.
  • FIG. 9 is a functional block diagram of the device 13 according to the second embodiment.
  • the device 13 includes a communication unit 13A, a communication statistical information storage unit 13B, a communication monitoring unit 13C, a registration information storage unit 13E, a control unit 13F, a certificate storage unit 13G, and an update.
  • a monitoring unit 13H, a connection environment monitoring unit 13I, an authentication processing unit 13J, and an encryption processing unit 13K are provided.
  • the communication unit 13A is a functional unit that implements communication I / F with other terminals.
  • the communication statistical information storage unit 13B is a functional unit that stores communication statistical information from the communication unit 13A.
  • the communication monitoring unit 13C is a functional unit that monitors communication by the communication unit 13A.
  • the registration information storage unit 13E is a functional unit that stores various types of registration information.
  • the control unit 13F is a functional unit that performs various controls.
  • the certificate storage unit 13G is a functional unit that stores a certificate used for encrypted communication.
  • the update monitoring unit 13H is a functional unit that monitors update results.
  • the connection environment monitoring unit 13I is a functional unit that monitors the connection environment.
  • the authentication processing unit 13J is a functional unit that performs authentication processing.
  • the cryptographic processing unit 13K is a functional unit that performs cryptographic processing.
  • the device 13 is an air conditioner, a washing machine, lighting, a water heater, or the like. Although the original functions of the device 13 are various, all of them are realized by the control unit 13F.
  • FIG. 10 is a sequence diagram of the control system according to the second embodiment. Here, it is assumed that the ISP information is changed, and the ISP change detection procedure will be described.
  • the connection environment monitoring unit 13I of the device 13_1 performs ISP information confirmation at startup. Specifically, an ISP information acquisition request is transmitted to the server 1 (S105), and an ISP information acquisition response is received from the server 1 (S106). As a result, if it is different from the ISP information stored at the time of initial registration, an ISP change notification is transmitted to the server 1 (S107). In this case, the server 1 transmits an ISP change notification to the user smartphone 2 (S108), and then transmits an ISP change notification response to the device 13_1 (S109). As a result, encrypted communication can be performed between the control device 11 and the device 13_1 (S110).
  • an ISP change notification is notified to the user smartphone 2.
  • the control device 11 of the A home 10 is stolen and installed in the B home 20 (see FIG. 1)
  • the ISP change notification is notified to the user smartphone 2 of the user of the A home 10.
  • the user of A home 10 can immediately cope with the theft using the ISP change notification as a clue. For example, it is also possible to erase the data in the control device 11 by transmitting an erase signal to the control device 11.
  • FIG. 11 is a sequence diagram of the control system according to the second embodiment. Here, it is assumed that a DoS attack has occurred from the home to the device 13_1, and the DoS attack detection and response procedure for the device 13_1 will be described.
  • the communication monitoring unit 13C of the device 13_1 determines that there is a sign of a DoS attack when the signal received from the unauthorized device 14 exceeds a predetermined reference, and first transmits transmission suppression to the unauthorized device 14 ( S112 ⁇ S113). If the sign of the DoS attack continues, only the message of the unauthorized device 14 is enabled (S114). If the sign of the DoS attack is still continued, all communications are discarded and the lock state is entered (S115).
  • the defense operation of the device 13_1 is strengthened step by step by the function of the device 13_1 itself. Accordingly, it is possible to automatically protect the device 13_1 from a home attack while ensuring convenience.
  • FIG. 12 is a sequence diagram of the control system according to the second embodiment. Here, assuming a case where a DoS attack has occurred from outside the home to the device 13_1, detection of the DoS attack on the device 13_1 and a response procedure will be described.
  • the communication monitoring unit 13C of the device 13_1 determines that there is a sign of a DoS attack when the signal received from the attacker 4 exceeds a predetermined reference, and first transmits transmission suppression to the attacker 4 ( S122 ⁇ S123). If the sign of the DoS attack continues, the filter is enabled only for the message of the attacker 4 (S124). If the sign of the DoS attack is still continued, all communications are discarded and the lock state is entered (S125).
  • the control system according to the second embodiment when a DoS attack occurs from outside the home to the device 13_1, the defense operation of the device 13_1 is gradually strengthened by the function of the device 13_1 itself. Thereby, it is possible to automatically protect the device 13_1 from attacks outside the home while ensuring convenience.
  • the communication monitoring unit 13C acquires communication frequency information for each IP (S51), and sorts the acquired communication frequencies in descending order (S52). Then, the highest ranking IP and communication frequency are acquired (S53), and it is determined whether the communication frequency is 2 times / second or more (S54).
  • the communication monitoring unit 13C determines whether the control message is received 4 times or more and the warning is not transmitted (S55). On the other hand, if the communication frequency is not twice or more (S54: NO), the next highest IP and communication frequency are acquired (S53), and the same processing is repeated.
  • the communication monitoring unit 13C If the communication monitoring unit 13C receives the control message four times or more and has not yet transmitted the warning (S55: YES), the communication monitoring unit 13C transmits the transmission suppression to the transmission source (S56), and associates the transmission suppression transmission with the IP. Save (S57) and end. On the other hand, if the control message is received four times or more and the warning is not transmitted (S55: NO), it is determined whether the control message is received 20 times or more and the warning has been transmitted (S58).
  • the communication monitoring unit 13C If the communication monitoring unit 13C has received the control message 20 times or more and has transmitted the warning (S58: NO), the communication monitoring unit 13C registers in the packet filtering of the transmission source IP (S59) and ends. On the other hand, if the control message has been received 20 times or more and the warning has not been transmitted (S58: YES), it is determined whether the control message has been received for 30 minutes or more and the warning has been transmitted (S60).
  • the communication monitoring unit 13C receives the control message for 30 minutes or more and has transmitted the warning (S60: YES), the communication monitoring function is invalidated (S61), and the device lock is activated (S62). finish.
  • the device lock activation may be notified by voice.
  • the communication monitoring unit 13C constantly monitors communication and detects communication that matches a predetermined condition.
  • the user is notified and device lock is executed.
  • the communication monitoring unit 13C acquires the communication with the highest transmission frequency from the communication statistical information storage unit 13B. It is determined whether the frequency thus acquired satisfies a predetermined condition. If the predetermined condition is satisfied, the communication is detected.
  • the update monitoring unit 13H acquires the last update date (S71), acquires the current date and time (S72), and determines whether or not “last update date ⁇ current date ⁇ maximum number of unimplemented days” (S73).
  • the unexecuted maximum number of days is the maximum number of days allowed to be unexecuted, such as 180 days.
  • the update monitoring unit 13H confirms whether or not the update is performed, for example, once / day, and verifies whether or not the “unimplemented maximum number of days” set in advance at the time of factory shipment is exceeded. If the “unimplemented maximum number of days” is exceeded, “device lock” is immediately executed and communication with the outside is shut off.
  • connection environment monitoring unit 13I reads the setting information after startup (S81 ⁇ S82), and determines whether the setting information has been registered in the server 1 (S83).
  • the setting information here is registration information stored in the registration information storage unit 13E.
  • the connection environment monitoring unit 13I performs registration processing in the server 1 (S84), acquires the current ISP information (S85), and acquires the acquired ISP.
  • the information is saved in the registered information storage unit 13E (S86), and the process ends.
  • the setting information is already registered in the server 1 (S83: YES)
  • the current ISP information is acquired from the server 1 (S87), and the ISP information stored in the registration information storage unit 13E is read (S88). It is determined whether both ISP information is the same (S89).
  • the connection environment monitoring unit 13I ends. On the other hand, if the ISP information is not the same (S89: NO), a change notification is transmitted to the user (S90), and the process ends.
  • connection environment monitoring unit 13I confirms whether the ISP is the same as the previous connection at the time of startup. If the ISP is different from the previous connection, the user is notified.
  • the server 1 stores the device 13 and the user smartphone 2 that controls the device 13 in association with each other.
  • the control device 11 is connected to the server 1 via the network 3, receives an instruction from the user smartphone 2, and controls the operating state of the device 13.
  • the device 13 determines whether or not a signal received from another terminal satisfies a predetermined standard, and blocks all communication via the network when it is determined that the signal satisfies the predetermined standard. To do. As a result, when a sign such as a malfunction or failure is detected, the lock state is established, so that the security risk can be reduced.
  • the device 13 may determine that the predetermined criterion is satisfied when the signal received from another terminal is a control signal instructing ON or OFF exceeding a predetermined frequency. As a result, when an abnormal control signal from the network is detected, the locked state is entered, and thus it is possible to protect itself from a malfunction caused by such a control signal.
  • the server 1 stores ISP information of the device 13.
  • the device 13 acquires ISP information every time it is activated, and is predetermined when the acquired ISP information is different from the ISP information stored in the server 1. It may be determined that the above criteria are satisfied. Thereby, since it will be in a locked state when placed in a network environment different from that at the time of initial installation, it is possible to prevent use or misuse due to theft.
  • the device 13 may periodically check its own update check state, and may determine that the predetermined criterion is satisfied when the device 13 has not been checked for a predetermined period or has not been updated. As a result, since the lock state is entered when the update is not managed, it is possible to prevent the vulnerability from remaining in the state where the security is not updated and being subjected to malware or an attack from the outside.
  • the device 13 may include a switch, and communication via the network may be restored by operating the switch. Thereby, since the apparatus 13 can be returned when a user's physical operation is accompanied, it is possible to ensure safety.
  • the device 13 when the number of times that all communication via the network is blocked is equal to or less than a predetermined number (n times), the device 13 automatically returns communication after a predetermined time elapses and exceeds the predetermined number ( In the (n + 1) th time, communication may be restored only by operating the switch. Thereby, since a temporary abnormality can be automatically returned without user operation, it is possible to reduce the effort of a user's return
  • the device 13 may block all communication via the network when it is determined that a signal received from a terminal that is not stored in the server 1 in association with the device 13 satisfies a predetermined standard. That is, even when a sign such as malfunction or failure is detected, it is possible to perform communication with the terminal registered in the server 1 as usual.
  • a switch provided in the control device 11 or the device 13 when a switch provided in the control device 11 or the device 13 is operated, communication via the network can be restored. If the number of times all communication via the network is blocked is less than or equal to the predetermined number (n times), the communication is automatically restored after the predetermined time has elapsed, and if the predetermined number of times is exceeded (n + 1), the switch Communication may be restored only by operation.
  • the lock state is entered when a signal received from a terminal that is not registered in the server 1 such as the attacker 4 satisfies a predetermined criterion.
  • the present invention is not limited to this. Absent. That is, even when a signal received from a terminal registered in the server 1 satisfies a predetermined standard, the lock state may be entered to avoid a failure or the like.
  • the original function of the device 13 may be used although communication is interrupted when shifting to the locked state.
  • the device 13_4 may be used as a water heater by operating an operation panel provided in the device 13_4. Thereby, it is possible to utilize the original function of the apparatus 13 to the maximum.
  • the security monitoring function (protection function) is provided not only for the control device 11 but also for each device 13 in the same manner. Thereby, even when the device 13 is directly attacked from outside without going through the control device 11, the security risk can be reduced by each device 13 itself. In addition, since it is possible to perform a light process of interrupting communication with each device 13, even an embedded device such as a home appliance can cope with it without impairing the original function.
  • such a security monitoring function can be realized not only as the control device 11 or the device 13 but also as a program for causing a computer to function as the control device 11 or the device 13.
  • part of such a security monitoring function can be realized by a cloud server.
  • the device (the control device 11 and the device 13) in the present disclosure includes a computer.
  • the function of the apparatus in the present disclosure is realized by the computer executing the program.
  • the computer includes a processor that operates according to a program as a main hardware configuration.
  • the processor may be of any type as long as the function can be realized by executing the program.
  • the processor is composed of one or a plurality of electronic circuits including a semiconductor integrated circuit (IC) or an LSI (large scale integration).
  • the plurality of electronic circuits may be integrated on one chip or provided on a plurality of chips.
  • the plurality of chips may be integrated into one device, or may be provided in a plurality of devices.
  • the program is recorded on a non-transitory recording medium such as a ROM, an optical disk, or a hard disk drive that can be read by a computer.
  • the program may be stored in advance in a recording medium, or may be supplied to the recording medium via a wide area communication network including the Internet.
  • Server 2 ... User smartphone (mobile terminal) 3 ... Network 11 ... Control device 13 ... Equipment (home equipment)

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Automation & Control Theory (AREA)
  • Manufacturing & Machinery (AREA)
  • Human Computer Interaction (AREA)
  • Medical Informatics (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Telephonic Communication Services (AREA)
  • Selective Calling Equipment (AREA)

Abstract

制御装置１１は、機器１３と機器１３を制御するユーザスマートフォン２とを紐付けて記憶するサーバ１とネットワーク３を介して接続された制御装置１１がユーザスマートフォン２から指示を受けて機器１３の稼動状態を制御する制御システムにおける制御装置１１であって、他の端末から受信した信号が所定の基準を満たすか否かを判断し、所定の基準を満たすと判断した場合にネットワークを経由した全ての通信を遮断する。

Description

制御装置、宅内機器、およびプログラム
　本発明は、制御装置、宅内機器、およびプログラムに関する。
　近年、ＩｏＴ（Internet of Things）が世界で大きく注目され、あらゆる機器は、常時インターネットに接続されることが一般化しつつある（特許文献１）。例えば、宅外のスマートフォンから宅内のエアコンのＯＮ／ＯＦＦなどの設定を行うことができるようになってきた。ＩＦＴＴＴ（If This Then that）のようなサービスを利用すると、簡単な設定操作でセンサーと機器の動作指示を紐付けて、「晴れて明るいときは照明を消す」というような連携動作を設定することも可能である。
特開２０１３－１５２５８４号公報
　しかしながら、ＩＦＴＴＴのようなサービスを利用するためには、宅内の機器の一部機能を外部インターネットから操作できるように公開する必要があり、セキュリティリスクの懸念がある。例えば、宅内の各機器やブロードバンドルータなどが正しく設定されていなかった場合、外部から第三者の攻撃対象になり、不正な制御やＤｏＳ攻撃などを受けるリスクも高まってしまう課題がある。
　本発明は、このような課題に鑑みてなされたものであり、セキュリティリスクを低減することができる制御装置、宅内機器、およびプログラムを提供することを目的とする。
　上記課題を解決するために、本発明の一態様に係る制御装置は、宅内機器と前記宅内機器を制御する携帯端末とを紐付けて記憶するサーバとネットワークを介して接続された制御装置が前記携帯端末から指示を受けて前記宅内機器の稼動状態を制御する制御システムにおける前記制御装置であって、他の端末から受信した信号が所定の基準を満たすか否かを判断し、前記所定の基準を満たすと判断した場合にネットワークを経由した全ての通信を遮断する。
　また、本発明の一態様に係る宅内機器は、宅内機器と前記宅内機器を制御する携帯端末とを紐付けて記憶するサーバとネットワークを介して接続された制御装置が前記携帯端末から指示を受けて前記宅内機器の稼動状態を制御する制御システムにおける前記宅内機器であって、他の端末から受信した信号が所定の基準を満たすか否かを判断し、前記所定の基準を満たすと判断した場合にネットワークを経由した全ての通信を遮断する。
　また、本発明の一態様に係るプログラムは、前記制御装置としてコンピュータを機能させるプログラムである。
　また、本発明の一態様に係るプログラムは、前記宅内機器としてコンピュータを機能させるプログラムである。
　本発明によれば、セキュリティリスクを低減することができる制御装置、宅内機器、およびプログラムを提供することができる。
本実施の形態に係る制御システムのネットワーク構成図である。 本実施の形態に係る制御装置の機能ブロック図である。 本実施の形態に係る制御システムのシーケンス図である。 本実施の形態に係る制御システムのシーケンス図である。 本実施の形態に係る制御システムのシーケンス図である。 本実施の形態に係る制御システムのフローチャートである。 本実施の形態に係る制御システムのフローチャートである。 本実施の形態に係る制御システムのフローチャートである。 本実施の形態に係る機器の機能ブロック図である。 本実施の形態に係る制御システムのシーケンス図である。 本実施の形態に係る制御システムのシーケンス図である。 本実施の形態に係る制御システムのシーケンス図である。
　次に、図面を参照して、本実施の形態に係る制御システムについて説明する。以下の図面の記載において、同一又は類似の部分には同一又は類似の符号を付している。
　図１は、本実施の形態に係る制御システムのネットワーク構成図である。この図に示すように、サーバ１、Ａ宅１０、Ｂ宅２０などがインターネットなどのネットワーク３に接続されている。Ａ宅１０には、ＢＢＲ（ブロードバンドルータ）１２を介して、制御装置１１と、機器群１３＿１，１３＿２，１３＿３，１３＿４とが設置されている。Ｂ宅２０にも同様にＢＢＲ２２などが設置されている。以下の説明では、機器群１３＿１，１３＿２，１３＿３，１３＿４を単に「機器１３」や「宅内機器」という場合がある。
　サーバ１は、各種のデータを管理する管理装置である。例えば、サーバ１は、宅内機器と、宅内機器を制御できるユーザスマートフォン２とを紐付けて記憶（登録）している。
　具体的には、サーバ１は、機器１３、制御装置１１、ユーザスマートフォン２の情報をユーザに紐付けて記憶し、ユーザが各機器１３や制御装置１１などの接続状態を確認する機能をユーザに提供する。また、制御装置１１から受信した登録要求に従い、各情報の登録を行う。更に、接続構成変更通知を受信し、登録済みの情報と異なったＩＳＰ（インターネットサービスプロバイダ）であった場合にユーザスマートフォン２へ通知を行う。例えば、インターネットサービスプロバイダがＩＳＰ－ＡからＩＳＰ－Ｂに変更された場合は、そのユーザが所有するユーザスマートフォン２に通知するようになっている。
　ユーザスマートフォン２は、サーバ１に登録済みの携帯端末である。ここでは、Ａ宅１０のユーザが所有する携帯端末である場合を想定している。Ａ宅１０のユーザは、ユーザスマートフォン２を操作することにより、宅外にいながら自宅の機器１３のＯＮ／ＯＦＦなどの設定を行うことができる。
　制御装置１１は、ＡｉＳＥＧ（登録商標）などのホームサーバである。例えば、制御装置１１は、ユーザスマートフォン２から指示を受けて機器１３の稼動状態を制御する。もちろん、制御装置１１の画面を操作することで機器１３を制御することも可能である。
　機器１３は、Ａ宅１０に設置されている宅内機器である。例えば、機器１３＿１はエアコン、機器１３＿２は洗濯機、機器１３＿３は照明、機器１３＿４は給湯器である。機器１３は、ＩＦＴＴＴなどとの連携やスマホ制御のために外部へＩ／Ｆが公開されているものとする。そのため、制御装置１１を介さず直接的に機器１３が外部から攻撃されるセキュリティリスクの懸念がある。
　例えば、サーバ１に登録されていない攻撃者４から機器１３に対してＯＮ／ＯＦＦの制御信号が連続送信されるリスクがある。また、Ａ宅１０に不正機器（マルウェア感染機器）１４が導入され、この不正機器１４が機器１３に制御メッセージを大量に送信するリスクもある。さらに、機器１３に搭載されるソフトウェアのアップデートが長期未実施である場合は脆弱性が残留するリスクもある。もちろん、制御装置１１や機器１３が盗難にあうリスクもある（図１では、Ａ宅１０の制御装置１１が盗まれ、Ｂ宅２０に設置された場合を例示している）。
　そこで、本実施の形態に係る制御システムは、制御装置１１だけでなく各機器１３自身でもセキュリティリスクを低減する観点から、自動ロックアウトによる保護を実現する。例えば、外部のネットワーク状態を条件に機器１３をロックアウトすることにより外部攻撃からの保護を実現する。機器１３は、家電製品のような組み込み機器であり、処理能力やコスト的な制約があるため、軽い動作で保護機能を実現するようにしている。
　このような保護機能の実現方法は様々ある。例えば、このような保護機能は予め機器１３に搭載されていてもよいし、事後的に機器１３に取り付けられるセンサーとして実現されてもよい。あるいは、予め制御装置１１に搭載されていてもよいし、事後的に制御装置１１のプログラムをアップデートする方法でもよい。
　ロックアウトとは、起動しているネットワークサービスを全て一時停止し、ロック解除の手段を有効化する機能である。言い換えると、ソフトウェア的に通信を途絶する機能である。一方、ロックの解除はスイッチ操作により行う。ここでいうスイッチには、ユーザが物理的に操作することが可能な各種のスイッチが含まれる。例えば、機器１３や制御装置１１に設けられている物理ボタン操作や、画面がある場合は画面操作により、ロックを解除することができるようになっている。
　ロックアウトを実行するトリガーとしては、外部から大量のデータ送信を受けたとき、短時間に大量の制御信号を受信したとき、機器１３が盗難にあったときなどがある。このようなトリガーを検出したとき、機器１３が一時的に機能を停止して、ネットワーク経由の制御をすべて拒絶するロック状態にし、物理ボタン操作のみで通常状態へ復帰するようにする。これにより、外部攻撃から最小限の被害になるように保護する機能を提供する。
　（実施の形態１）
　上記した保護機能（以下、単に「保護機能」という。）は、制御装置１１と機器１３の両方が備えてもよいし、制御装置１１と機器１３の一方が備えてもよい。実施の形態１では、制御装置１１（図１の点線で囲った装置）が保護機能を備え、かつ、機器１３が保護機能を備えていない場合について説明する。
　［制御装置］
　図２は、実施の形態１に係る制御装置１１の機能ブロック図である。この図に示すように、制御装置１１は、通信部１１Ａと、通信統計情報記憶部１１Ｂと、通信監視部１１Ｃと、機器情報記憶部１１Ｄと、登録情報記憶部１１Ｅと、制御部１１Ｆと、証明書記憶部１１Ｇと、アップデート監視部１１Ｈと、接続環境監視部１１Ｉと、認証処理部１１Ｊと、暗号処理部１１Ｋとを備える。通信部１１Ａは、他の端末との通信Ｉ／Ｆを実現する機能部である。通信統計情報記憶部１１Ｂは、通信部１１Ａによる通信統計情報を記憶する機能部である。通信監視部１１Ｃは、通信部１１Ａによる通信を監視する機能部である。機器情報記憶部１１Ｄは、機器１３などの機器情報を記憶する機能部である。登録情報記憶部１１Ｅは、各種の登録情報を記憶する機能部である。制御部１１Ｆは、各種の制御を行う機能部である。証明書記憶部１１Ｇは、暗号化通信で用いる証明書を記憶する機能部である。アップデート監視部１１Ｈは、アップデート実績を監視する機能部である。接続環境監視部１１Ｉは、接続環境を監視する機能部である。認証処理部１１Ｊは、認証処理を行う機能部である。暗号処理部１１Ｋは、暗号処理を行う機能部である。
　制御装置１１は、初回に起動した場合や、新しい機器１３を制御装置１１に登録した場合、サーバ１へその機器１３の固有識別子とユーザ情報、さらにインターネットに接続しているＩＰ情報を登録する機能を持つ。起動時はサーバ１へ登録した情報を読み込み、インターネットに接続しているＩＰをＷｈｏｉｓサービスなどで取得してＩＳＰを特定し、現在のＩＰを同様に取得してＩＳＰを特定し、両者が同じであるかを確認する。両者が異なる場合は、接続構成変更通知としてサーバ１へ送信する。
　［ロックアウトを実行するトリガー］
　以下、ロックアウトを実行するトリガーについて説明する。トリガーとしては、ＩＳＰ変更検出、ＮＷ内外攻撃検出、長期間無更新検出などを採用することができる。
　ＩＳＰ変更とは、ＩＳＰ情報の変更を意味する。ＩＳＰ変更の検出方法としては、「ＩＳＰ情報をサーバ１へ問合せて取得し、異なる場合はユーザスマートフォン２へ通知する方法」を採用することができる。ＩＳＰ変更の検出基準としては、「初回登録時に記憶したＩＳＰ情報と異なる場合」を採用することができる。
　ＮＷ内外攻撃とは、宅内または宅外からの攻撃を意味する。ＮＷ内外攻撃の検出方法については後述する。ＮＷ内外攻撃の検出対象としては、「異常制御（制御信号の間隔（ＯＮ／ＯＦＦ））」や、「登録外のＩＰからのＤｏＳ攻撃（大量パケット送信）」を採用することができる。
　長期間無更新とは、一定期間以上、ソフトウェアの更新（アップデート）がされていないことを意味する。長期間無更新の検出方法としては、「定期的（１回／日）にアップデートサーバへのアクセスやアップデート実績をチェックする方法」を採用することができる。長期間無更新の検出基準としては、「一定期間（例：１年など）のアップデートチェック」を採用することができる。
　［ＮＷ内外攻撃］
　以下、ＮＷ内外攻撃について更に詳しく説明する。
　ＮＷ内外攻撃の検出対象（判定基準）としては、「ＯＮ／ＯＦＦの制御を短時間で切り替えること」を採用することができる。例えば、１秒間に２回以上のＯＮ／ＯＦＦ切り替えはＮＷ内外攻撃であると判定してもよい。
　別のＮＷ内外攻撃の検出対象（判定基準）としては、「ＯＮまたはＯＦＦを長時間送信し続けること」を採用することができる。例えば、３０分以上の連続受信はＮＷ内外攻撃であると判定してもよい。
　ＮＷ内外攻撃検出時の動作は、警告動作→フィルタリング動作→機器ロック実行動作のように、防御動作に段階を設けるのが望ましい。機器ロック（制御装置１１のロック）がいきなり実行されると、状況によっては不便に感じることもあるからである。
　警告動作とは、警告基準を満たした場合、送信側へ短期間で応答できないことを警告通知することである。警告基準としては、「信号受信回数が１秒間に２回以上でかつ連続８回以上」を採用することができる。
　フィルタリング動作とは、警告通知後でも攻撃が継続する場合、特定の送信元からの制御通信を一定期間全てフィルタリングすることである。フィルタリング基準としては、「信号受信回数が１秒間に２回以上でかつ連続２０回以上」を採用することができる。
　機器ロック実行動作とは、フィルタリングをしているにもかかわらず攻撃が一定期間継続した場合、または複数の送信元から攻撃を一定時間受けた場合、機器の安全性を保つために全ての通信を遮断してロック状態へ移行することである。機器ロック実行基準としては、「信号受信回数が１秒間に２回以上でかつ３０分以上継続した場合」を採用することができる。
　［シーケンス］
　図３は、実施の形態１に係る制御システムのシーケンス図である。ここでは、ＩＳＰ情報が変更された場合を想定し、ＩＳＰ変更検出手順について説明する。
　まず、ユーザは、新しい機器１３＿１を制御装置１１に登録する場合、制御装置１１側と機器１３＿１側でそれぞれボタンを押下する。これにより、制御装置１１から機器１３＿１に登録要求が送信され（Ｓ１）、機器１３＿１から制御装置１１に登録応答が送信される（Ｓ２）。これにより、制御装置１１と機器１３＿１の間で認証・登録通信を行い（Ｓ３）、制御装置１１と機器１３＿１の間で暗号化通信を行うことが可能となる（Ｓ４）。
　制御装置１１の接続環境監視部１１Ｉは、起動時にＩＳＰ情報確認を行う。具体的には、ＩＳＰ情報取得要求をサーバ１に送信し（Ｓ５）、ＩＳＰ情報取得応答をサーバ１から受信する（Ｓ６）。その結果、初回登録時に記憶したＩＳＰ情報と異なる場合は、ＩＳＰ変更通知をサーバ１に送信する（Ｓ７）。この場合、サーバ１は、ＩＳＰ変更通知をユーザスマートフォン２に送信したうえで（Ｓ８）、ＩＳＰ変更通知応答を制御装置１１に送信する（Ｓ９）。これにより、制御装置１１と機器１３＿１の間で暗号化通信を行うことが可能となる（Ｓ１０）。
　以上のように、実施の形態１に係る制御システムによれば、ネットワークの接続環境が変わった場合は、ＩＳＰ変更通知がユーザスマートフォン２に通知される。これにより、Ａ宅１０の機器１３＿１が盗まれ、Ｂ宅２０に設置された場合、Ａ宅１０のユーザのユーザスマートフォン２にＩＳＰ変更通知が通知される。Ａ宅１０のユーザは、このＩＳＰ変更通知を手がかりにして即座に盗難に対処することができる。例えば、機器１３＿１に消去信号を送信し、機器１３＿１内のデータを消去することも可能である。
　図４は、実施の形態１に係る実施の形態に係る制御システムのシーケンス図である。ここでは、宅内から制御装置１１へＤｏＳ攻撃が発生した場合を想定し、制御装置１１へのＤｏＳ攻撃検出と対応手順について説明する。
　まず、制御装置１１と機器１３＿１の間で暗号化通信が行われているものとする（Ｓ１１）。このような状況で、宅内に導入された不正機器１４により制御装置１１へＤｏＳ攻撃が発生したものと仮定する。
　これにより、制御装置１１の通信監視部１１Ｃは、不正機器１４から受信した信号が所定の基準を超えた場合はＤｏＳ攻撃の兆候があると判定し、まず、送信抑制を不正機器１４に送信する（Ｓ１２→Ｓ１３）。それでもＤｏＳ攻撃の兆候が継続される場合、不正機器１４のメッセージのみフィルタを有効化する（Ｓ１４）。それでもＤｏＳ攻撃の兆候が継続される場合、機器ロック移行通知を全機器１３に送信した後（Ｓ１５）、全ての通信を破棄し、ロック状態へ移行する（Ｓ１６）。
　以上のように、実施の形態１に係る制御システムによれば、宅内から制御装置１１へＤｏＳ攻撃が発生した場合、制御装置１１自身の機能により、制御装置１１の防御動作が段階的に強化される。これにより、利便性を確保しつつ、制御装置１１を宅内の攻撃から自動的に保護することができる。しかも、制御装置１１がロックアウトしてしまう前に機器ロック移行通知を全機器１３に送信するようにしているため、全機器１３側の通信への影響を最小限に抑えることが可能である。
　図５は、実施の形態１に係る制御システムのシーケンス図である。ここでは、宅外から制御装置１１へＤｏＳ攻撃が発生した場合を想定し、制御装置１１へのＤｏＳ攻撃検出と対応手順について説明する。
　まず、制御装置１１と機器１３＿１の間で暗号化通信が行われているものとする（Ｓ２１）。このような状況で、宅外の攻撃者４により制御装置１１へＤｏＳ攻撃が発生したものと仮定する。
　これにより、制御装置１１の通信監視部１１Ｃは、攻撃者４から受信した信号が所定の基準を超えた場合はＤｏＳ攻撃の兆候があると判定し、まず、送信抑制を攻撃者４に送信する（Ｓ２２→Ｓ２３）。それでもＤｏＳ攻撃の兆候が継続される場合、攻撃者４のメッセージのみフィルタを有効化する（Ｓ２４）。それでもＤｏＳ攻撃の兆候が継続される場合、機器ロック移行通知を全機器１３に送信した後（Ｓ２５）、全ての通信を破棄し、ロック状態へ移行する（Ｓ２６）。
　以上のように、実施の形態１に係る制御システムによれば、宅外から制御装置１１へＤｏＳ攻撃が発生した場合、制御装置１１自身の機能により、制御装置１１の防御動作が段階的に強化される。これにより、利便性を確保しつつ、制御装置１１を宅外の攻撃から自動的に保護することができる。しかも、制御装置１１がロックアウトしてしまう前に機器ロック移行通知を全機器１３に送信するようにしているため、全機器１３側の通信への影響を最小限に抑えることが可能である。
　［ＤｏＳ攻撃通信チェック］
　図６は、ＤｏＳ攻撃通信チェック時の動作を示すフローチャートである。このフローチャートの実施主体は、制御装置１１の通信監視部１１Ｃである。
　まず、通信監視部１１Ｃは、ＩＰ別の通信頻度情報を取得し（Ｓ５１）、取得した通信頻度を高い順にソートする（Ｓ５２）。そして、最も高い順位のＩＰと通信頻度を取得し（Ｓ５３）、通信頻度が２回／秒以上であるか判定する（Ｓ５４）。
　通信監視部１１Ｃは、通信頻度が２回／秒以上であれば（Ｓ５４：ＹＥＳ）、制御メッセージを４回以上受信し、かつ警告未送信であるか判定する（Ｓ５５）。一方、通信頻度が２回／秒以上でなければ（Ｓ５４：ＮＯ）、次に高い順位のＩＰと通信頻度を取得し（Ｓ５３）、同様の処理を繰り返す。
　通信監視部１１Ｃは、制御メッセージを４回以上受信し、かつ警告未送信であれば（Ｓ５５：ＹＥＳ）、送信元へ送信抑制を送信し（Ｓ５６）、ＩＰに送信抑制送信済を紐付けて保存し（Ｓ５７）、終了する。一方、制御メッセージを４回以上受信し、かつ警告未送信でなければ（Ｓ５５：ＮＯ）、制御メッセージを２０回以上受信し、かつ警告送信済であるか判定する（Ｓ５８）。
　通信監視部１１Ｃは、制御メッセージを２０回以上受信し、かつ警告送信済であれば（Ｓ５８：ＮＯ）、送信元ＩＰのパケットフィルタリングに登録し（Ｓ５９）、終了する。一方、制御メッセージを２０回以上受信し、かつ警告送信済でなければ（Ｓ５８：ＹＥＳ）、制御メッセージを３０分以上受信し、かつ警告送信済であるか判定する（Ｓ６０）。
　通信監視部１１Ｃは、制御メッセージを３０分以上受信し、かつ警告送信済であれば（Ｓ６０：ＹＥＳ）、通信Ｉ／Ｆ機能を無効化し（Ｓ６１）、機器ロック発動を表示し（Ｓ６２）、終了する。画面を備えていない場合などは、機器ロック発動を音声で知らせてもよい。
　このように、通信監視部１１Ｃは、通信を常時監視し、所定の条件に一致する通信の検出を行う。所定の条件に一致する通信を検出した場合は、ユーザへ通知を行い、機器ロックを実行する。
　なお、通信の常時監視は、通信統計情報記憶部１１Ｂで行われる。通信監視部１１Ｃは、通信統計情報記憶部１１Ｂから送信頻度の最も高い通信を取得する。このように取得した頻度が所定の条件を満たすかを判定し、所定の条件を満たす場合は、その通信の検出を行う。
　［アップデート実施状況チェック］
　図７は、アップデート実施状況チェック時の動作を示すフローチャートである。このフローチャートの実施主体は、制御装置１１のアップデート監視部１１Ｈである。
　まず、アップデート監視部１１Ｈは、最終アップデート日を取得し（Ｓ７１）、現在日時を取得し（Ｓ７２）、“最終アップデート日－現在日時≧未実施最大日数”であるか判定する（Ｓ７３）。未実施最大日数は、１８０日など、アップデート未実施として許容される最大日数である。
　アップデート監視部１１Ｈは、“最終アップデート日－現在日時≧未実施最大日数”でなければ（Ｓ７３：ＮＯ）、終了する。一方、“最終アップデート日－現在日時≧未実施最大日数”であれば（Ｓ７３：ＹＥＳ）、通信Ｉ／Ｆ機能を無効化し（Ｓ７４）し、機器ロック発動を表示し（Ｓ７５）、終了する。画面を備えていない場合などは、機器ロック発動を音声で知らせてもよい。
　このように、アップデート監視部１１Ｈは、アップデートが行われているかを例えば１回／日確認し、あらかじめ工場出荷時に設定された「未実施最大日数」を超えていないかを検証する。「未実施最大日数」を超えていた場合は、即座に「機器ロック」を実行し、外部との通信を遮断する。
　［ＩＳＰ変更チェック］
　図８は、ＩＳＰ変更チェック時の動作を示すフローチャートである。このフローチャートの実施主体は、制御装置１１の接続環境監視部１１Ｉである。
　まず、接続環境監視部１１Ｉは、起動後、設定情報を読み込み（Ｓ８１→Ｓ８２）、設定情報がサーバ１へ登録済であるか判定する（Ｓ８３）。ここでいう設定情報とは、登録情報記憶部１１Ｅに記憶されている登録情報である。
　接続環境監視部１１Ｉは、設定情報がサーバ１へ登録済でなければ（Ｓ８３：ＮＯ）、サーバ１への登録処理を行い（Ｓ８４）、現在のＩＳＰ情報を取得し（Ｓ８５）、取得したＩＳＰ情報を登録情報記憶部１１Ｅに保存し（Ｓ８６）、終了する。一方、設定情報がサーバ１へ登録済であれば（Ｓ８３：ＹＥＳ）、サーバ１から現在のＩＳＰ情報を取得し（Ｓ８７）、登録情報記憶部１１Ｅに保存済みのＩＳＰ情報を読み込み（Ｓ８８）、両方のＩＳＰ情報が同じであるか判定する（Ｓ８９）。
　接続環境監視部１１Ｉは、ＩＳＰ情報が同じであれば（Ｓ８９：ＹＥＳ）、終了する。一方、ＩＳＰ情報が同じでなければ（Ｓ８９：ＮＯ）、ユーザへ変更通知を送信し（Ｓ９０）、終了する。
　このように、接続環境監視部１１Ｉは、起動時にＩＳＰが以前接続したときと同じであるかを確認する。ＩＳＰが以前接続したときと異なる場合は、ユーザへ通知を行う。
　以上のように、実施の形態１に係る制御システムでは、サーバ１は、機器１３と機器１３を制御するユーザスマートフォン２とを紐付けて記憶している。制御装置１１は、サーバ１とネットワーク３を介して接続され、ユーザスマートフォン２から指示を受けて機器１３の稼動状態を制御する。このような制御システムにおいて、制御装置１１は、他の端末から受信した信号が所定の基準を満たすか否かを判断し、所定の基準を満たすと判断した場合にネットワークを経由した全ての通信を遮断する。これにより、誤動作や故障などの予兆を検出した際にロック状態になるため、セキュリティリスクを低減することが可能である。
　また、制御装置１１は、他の端末から受信した信号が所定の頻度を超えてＯＮ又はＯＦＦを指示する制御信号である場合に所定の基準を満たすと判断してもよい。これにより、ネットワークからの異常な制御信号を検出した際にロック状態になるため、このような制御信号による誤動作から自身を保護することが可能である。
　また、サーバ１は、制御装置１１のＩＳＰ情報を記憶しており、制御装置１１は、起動するごとにＩＳＰ情報を取得し、取得したＩＳＰ情報がサーバ１に記憶されているＩＳＰ情報と異なる場合に所定の基準を満たすと判断してもよい。これにより、初回設置時と異なるネットワーク環境におかれた際にロック状態になるため、盗難による利用や悪用を防止することが可能である。
　また、制御装置１１は、自身のアップデートチェック状態を定期的に確認し、所定期間チェックされていない、またはアップデートされていない状態である場合に所定の基準を満たすと判断してもよい。これにより、アップデートが管理されていない際にロック状態になるため、セキュリティがアップデートされていない状態で脆弱性が残留して外部からマルウェアや攻撃を受けることを防止することが可能である。
　また、制御装置１１は、スイッチを備え、スイッチが操作されることによりネットワークを経由した通信を復帰させてもよい。これにより、ユーザの物理的な操作を伴う場合に制御装置１１を復帰させることができるため、安全性を確保することが可能である。
　また、制御装置１１は、ネットワークを経由した全ての通信を遮断した回数が所定の回数（ｎ回）以下の場合は所定の時間経過後に自動的に通信を復帰させ、所定の回数を超えた場合（ｎ＋１回目）はスイッチの操作のみで通信を復帰させてもよい。これにより、一時的な異常をユーザ操作なしで自動復帰させることができるため、安全性を維持しつつユーザの復帰の手間を低減することが可能である。
　また、制御装置１１は、サーバ１に機器１３と紐付けて記憶されていない端末から受信した信号が所定の基準を満たすと判断した場合にネットワークを経由した全ての通信を遮断してもよい。すなわち、誤動作や故障などの予兆を検出した場合でも、サーバ１に登録済みの端末との間では通常通り通信を行うことも可能である。
　（実施の形態２）
　実施の形態２では、機器１３－１から１３－４それぞれが保護機能を備え、かつ、制御装置１１が保護機能を備えていない場合について説明する。以下、実施の形態１と異なる点を中心に説明する。
　［宅内機器］
　図９は、実施の形態２に係る機器１３の機能ブロック図である。この図に示すように、機器１３は、通信部１３Ａと、通信統計情報記憶部１３Ｂと、通信監視部１３Ｃと、登録情報記憶部１３Ｅと、制御部１３Ｆと、証明書記憶部１３Ｇと、アップデート監視部１３Ｈと、接続環境監視部１３Ｉと、認証処理部１３Ｊと、暗号処理部１３Ｋとを備える。通信部１３Ａは、他の端末との通信Ｉ／Ｆを実現する機能部である。通信統計情報記憶部１３Ｂは、通信部１３Ａによる通信統計情報を記憶する機能部である。通信監視部１３Ｃは、通信部１３Ａによる通信を監視する機能部である。登録情報記憶部１３Ｅは、各種の登録情報を記憶する機能部である。制御部１３Ｆは、各種の制御を行う機能部である。証明書記憶部１３Ｇは、暗号化通信で用いる証明書を記憶する機能部である。アップデート監視部１３Ｈは、アップデート実績を監視する機能部である。接続環境監視部１３Ｉは、接続環境を監視する機能部である。認証処理部１３Ｊは、認証処理を行う機能部である。暗号処理部１３Ｋは、暗号処理を行う機能部である。
　既に説明した通り、機器１３は、エアコン、洗濯機、照明、給湯器などである。機器１３の本来の機能は様々であるが、いずれも制御部１３Ｆにより実現されるものとする。
　［シーケンス］
　図１０は、実施の形態２に係る制御システムのシーケンス図である。ここでは、ＩＳＰ情報が変更された場合を想定し、ＩＳＰ変更検出手順について説明する。
　まず、ユーザは、新しい機器１３＿１を制御装置１１に登録する場合、制御装置１１側と機器１３＿１側でそれぞれボタンを押下する。これにより、制御装置１１から機器１３＿１に登録要求が送信され（Ｓ１０１）、機器１３＿１から制御装置１１に登録応答が送信される（Ｓ１０２）。これにより、制御装置１１と機器１３＿１の間で認証・登録通信を行い（Ｓ１０３）、制御装置１１と機器１３＿１の間で暗号化通信を行うことが可能となる（Ｓ１０４）。
　機器１３＿１の接続環境監視部１３Ｉは、起動時にＩＳＰ情報確認を行う。具体的には、ＩＳＰ情報取得要求をサーバ１に送信し（Ｓ１０５）、ＩＳＰ情報取得応答をサーバ１から受信する（Ｓ１０６）。その結果、初回登録時に記憶したＩＳＰ情報と異なる場合は、ＩＳＰ変更通知をサーバ１に送信する（Ｓ１０７）。この場合、サーバ１は、ＩＳＰ変更通知をユーザスマートフォン２に送信したうえで（Ｓ１０８）、ＩＳＰ変更通知応答を機器１３＿１に送信する（Ｓ１０９）。これにより、制御装置１１と機器１３＿１の間で暗号化通信を行うことが可能となる（Ｓ１１０）。
　以上のように、実施の形態２に係る制御システムによれば、ネットワークの接続環境が変わった場合は、ＩＳＰ変更通知がユーザスマートフォン２に通知される。これにより、Ａ宅１０の制御装置１１が盗まれ、Ｂ宅２０に設置された場合（図１参照）、Ａ宅１０のユーザのユーザスマートフォン２にＩＳＰ変更通知が通知される。Ａ宅１０のユーザは、このＩＳＰ変更通知を手がかりにして即座に盗難に対処することができる。例えば、制御装置１１に消去信号を送信し、制御装置１１内のデータを消去することも可能である。
　図１１は、実施の形態２に係る制御システムのシーケンス図である。ここでは、宅内から機器１３＿１へＤｏＳ攻撃が発生した場合を想定し、機器１３＿１へのＤｏＳ攻撃検出と対応手順について説明する。
　まず、制御装置１１と機器１３＿１の間で暗号化通信が行われているものとする（Ｓ１１１）。このような状況で、宅内に導入された不正機器（マルウェア感染機器）１４により機器１３＿１へＤｏＳ攻撃が発生したものと仮定する。
　これにより、機器１３＿１の通信監視部１３Ｃは、不正機器１４から受信した信号が所定の基準を超えた場合はＤｏＳ攻撃の兆候があると判定し、まず、送信抑制を不正機器１４に送信する（Ｓ１１２→Ｓ１１３）。それでもＤｏＳ攻撃の兆候が継続される場合、不正機器１４のメッセージのみフィルタを有効化する（Ｓ１１４）。それでもＤｏＳ攻撃の兆候が継続される場合、全ての通信を破棄し、ロック状態へ移行する（Ｓ１１５）。
　以上のように、実施の形態２に係る制御システムによれば、宅内から機器１３＿１へＤｏＳ攻撃が発生した場合、機器１３＿１自身の機能により、機器１３＿１の防御動作が段階的に強化される。これにより、利便性を確保しつつ、機器１３＿１を宅内の攻撃から自動的に保護することが可能である。
　図１２は、実施の形態２に係る制御システムのシーケンス図である。ここでは、宅外から機器１３＿１へＤｏＳ攻撃が発生した場合を想定し、機器１３＿１へのＤｏＳ攻撃検出と対応手順について説明する。
　まず、制御装置１１と機器１３＿１の間で暗号化通信が行われているものとする（Ｓ１２１）。このような状況で、宅外の攻撃者４（図１参照）により機器１３＿１へＤｏＳ攻撃が発生したものと仮定する。
　これにより、機器１３＿１の通信監視部１３Ｃは、攻撃者４から受信した信号が所定の基準を超えた場合はＤｏＳ攻撃の兆候があると判定し、まず、送信抑制を攻撃者４に送信する（Ｓ１２２→Ｓ１２３）。それでもＤｏＳ攻撃の兆候が継続される場合、攻撃者４のメッセージのみフィルタを有効化する（Ｓ１２４）。それでもＤｏＳ攻撃の兆候が継続される場合、全ての通信を破棄し、ロック状態へ移行する（Ｓ１２５）。
　以上のように、実施の形態２に係る制御システムによれば、宅外から機器１３＿１へＤｏＳ攻撃が発生した場合、機器１３＿１自身の機能により、機器１３＿１の防御動作が段階的に強化される。これにより、利便性を確保しつつ、機器１３＿１を宅外の攻撃から自動的に保護することが可能である。
　［ＤｏＳ攻撃通信チェック］
　実施の形態２でも、図６のフローチャートを用いて、ＤｏＳ攻撃通信チェック時の動作を説明する。このフローチャートの実施主体は、機器１３の通信監視部１３Ｃである。
　まず、通信監視部１３Ｃは、ＩＰ別の通信頻度情報を取得し（Ｓ５１）、取得した通信頻度を高い順にソートする（Ｓ５２）。そして、最も高い順位のＩＰと通信頻度を取得し（Ｓ５３）、通信頻度が２回／秒以上であるか判定する（Ｓ５４）。
　通信監視部１３Ｃは、通信頻度が２回／秒以上であれば（Ｓ５４：ＹＥＳ）、制御メッセージを４回以上受信し、かつ警告未送信であるか判定する（Ｓ５５）。一方、通信頻度が２回／秒以上でなければ（Ｓ５４：ＮＯ）、次に高い順位のＩＰと通信頻度を取得し（Ｓ５３）、同様の処理を繰り返す。
　通信監視部１３Ｃは、制御メッセージを４回以上受信し、かつ警告未送信であれば（Ｓ５５：ＹＥＳ）、送信元へ送信抑制を送信し（Ｓ５６）、ＩＰに送信抑制送信済を紐付けて保存し（Ｓ５７）、終了する。一方、制御メッセージを４回以上受信し、かつ警告未送信でなければ（Ｓ５５：ＮＯ）、制御メッセージを２０回以上受信し、かつ警告送信済であるか判定する（Ｓ５８）。
　通信監視部１３Ｃは、制御メッセージを２０回以上受信し、かつ警告送信済であれば（Ｓ５８：ＮＯ）、送信元ＩＰのパケットフィルタリングに登録し（Ｓ５９）、終了する。一方、制御メッセージを２０回以上受信し、かつ警告送信済でなければ（Ｓ５８：ＹＥＳ）、制御メッセージを３０分以上受信し、かつ警告送信済であるか判定する（Ｓ６０）。
　通信監視部１３Ｃは、制御メッセージを３０分以上受信し、かつ警告送信済であれば（Ｓ６０：ＹＥＳ）、通信Ｉ／Ｆ機能を無効化し（Ｓ６１）、機器ロック発動を表示し（Ｓ６２）、終了する。画面を備えていない場合などは、機器ロック発動を音声で知らせてもよい。
　このように、通信監視部１３Ｃは、通信を常時監視し、所定の条件に一致する通信の検出を行う。所定の条件に一致する通信を検出した場合は、ユーザへ通知を行い、機器ロックを実行する。
　なお、通信の常時監視は、通信統計情報記憶部１３Ｂで行われる。通信監視部１３Ｃは、通信統計情報記憶部１３Ｂから送信頻度の最も高い通信を取得する。このように取得した頻度が所定の条件を満たすかを判定し、所定の条件を満たす場合は、その通信の検出を行う。
　［アップデート実施状況チェック］
　実施の形態２でも、図７のフローチャートを用いて、アップデート実施状況チェック時の動作を説明する。このフローチャートの実施主体は、機器１３のアップデート監視部１３Ｈである。
　まず、アップデート監視部１３Ｈは、最終アップデート日を取得し（Ｓ７１）、現在日時を取得し（Ｓ７２）、“最終アップデート日－現在日時≧未実施最大日数”であるか判定する（Ｓ７３）。未実施最大日数は、１８０日など、アップデート未実施として許容される最大日数である。
　アップデート監視部１３Ｈは、“最終アップデート日－現在日時≧未実施最大日数”でなければ（Ｓ７３：ＮＯ）、終了する。一方、“最終アップデート日－現在日時≧未実施最大日数”であれば（Ｓ７３：ＹＥＳ）、通信Ｉ／Ｆ機能を無効化し（Ｓ７４）し、機器ロック発動を表示し（Ｓ７５）、終了する。画面を備えていない場合などは、機器ロック発動を音声で知らせてもよい。
　このように、アップデート監視部１３Ｈは、アップデートが行われているかを例えば１回／日確認し、あらかじめ工場出荷時に設定された「未実施最大日数」を超えていないかを検証する。「未実施最大日数」を超えていた場合は、即座に「機器ロック」を実行し、外部との通信を遮断する。
　［ＩＳＰ変更チェック］
　実施の形態２でも、図８のフローチャートを用いて、ＩＳＰ変更チェック時の動作を説明する。このフローチャートの実施主体は、機器１３の接続環境監視部１３Ｉである。
　まず、接続環境監視部１３Ｉは、起動後、設定情報を読み込み（Ｓ８１→Ｓ８２）、設定情報がサーバ１へ登録済であるか判定する（Ｓ８３）。ここでいう設定情報とは、登録情報記憶部１３Ｅに記憶されている登録情報である。
　接続環境監視部１３Ｉは、設定情報がサーバ１へ登録済でなければ（Ｓ８３：ＮＯ）、サーバ１への登録処理を行い（Ｓ８４）、現在のＩＳＰ情報を取得し（Ｓ８５）、取得したＩＳＰ情報を登録情報記憶部１３Ｅに保存し（Ｓ８６）、終了する。一方、設定情報がサーバ１へ登録済であれば（Ｓ８３：ＹＥＳ）、サーバ１から現在のＩＳＰ情報を取得し（Ｓ８７）、登録情報記憶部１３Ｅに保存済みのＩＳＰ情報を読み込み（Ｓ８８）、両方のＩＳＰ情報が同じであるか判定する（Ｓ８９）。
　接続環境監視部１３Ｉは、ＩＳＰ情報が同じであれば（Ｓ８９：ＹＥＳ）、終了する。一方、ＩＳＰ情報が同じでなければ（Ｓ８９：ＮＯ）、ユーザへ変更通知を送信し（Ｓ９０）、終了する。
　このように、接続環境監視部１３Ｉは、起動時にＩＳＰが以前接続したときと同じであるかを確認する。ＩＳＰが以前接続したときと異なる場合は、ユーザへ通知を行う。
　以上のように、実施の形態２に係る制御システムでは、サーバ１は、機器１３と機器１３を制御するユーザスマートフォン２とを紐付けて記憶している。制御装置１１は、サーバ１とネットワーク３を介して接続され、ユーザスマートフォン２から指示を受けて機器１３の稼動状態を制御する。このような制御システムにおいて、機器１３は、他の端末から受信した信号が所定の基準を満たすか否かを判断し、所定の基準を満たすと判断した場合にネットワークを経由した全ての通信を遮断する。これにより、誤動作や故障などの予兆を検出した際にロック状態になるため、セキュリティリスクを低減することが可能である。
　また、機器１３は、他の端末から受信した信号が所定の頻度を超えてＯＮ又はＯＦＦを指示する制御信号である場合に所定の基準を満たすと判断してもよい。これにより、ネットワークからの異常な制御信号を検出した際にロック状態になるため、このような制御信号による誤動作から自身を保護することが可能である。
　また、サーバ１は、機器１３のＩＳＰ情報を記憶しており、機器１３は、起動するごとにＩＳＰ情報を取得し、取得したＩＳＰ情報がサーバ１に記憶されているＩＳＰ情報と異なる場合に所定の基準を満たすと判断してもよい。これにより、初回設置時と異なるネットワーク環境におかれた際にロック状態になるため、盗難による利用や悪用を防止することが可能である。
　また、機器１３は、自身のアップデートチェック状態を定期的に確認し、所定期間チェックされていない、またはアップデートされていない状態である場合に所定の基準を満たすと判断してもよい。これにより、アップデートが管理されていない際にロック状態になるため、セキュリティがアップデートされていない状態で脆弱性が残留して外部からマルウェアや攻撃を受けることを防止することが可能である。
　また、機器１３は、スイッチを備え、スイッチが操作されることによりネットワークを経由した通信を復帰させてもよい。これにより、ユーザの物理的な操作を伴う場合に機器１３を復帰させることができるため、安全性を確保することが可能である。
　また、機器１３は、ネットワークを経由した全ての通信を遮断した回数が所定の回数（ｎ回）以下の場合は所定の時間経過後に自動的に通信を復帰させ、所定の回数を超えた場合（ｎ＋１回目）はスイッチの操作のみで通信を復帰させてもよい。これにより、一時的な異常をユーザ操作なしで自動復帰させることができるため、安全性を維持しつつユーザの復帰の手間を低減することが可能である。
　また、機器１３は、サーバ１に機器１３と紐付けて記憶されていない端末から受信した信号が所定の基準を満たすと判断した場合にネットワークを経由した全ての通信を遮断してもよい。すなわち、誤動作や故障などの予兆を検出した場合でも、サーバ１に登録済みの端末との間では通常通り通信を行うことも可能である。
　なお、制御装置１１や機器１３に設けられたスイッチが操作されると、ネットワークを経由した通信を復帰させることができる。ネットワークを経由した全ての通信を遮断した回数が所定の回数（ｎ回）以下の場合は所定の時間経過後に自動的に通信を復帰させ、所定の回数を超えた場合（ｎ＋１回目）はスイッチの操作のみで通信を復帰させてもよい。
　また、上記の説明では、攻撃者４のようなサーバ１に未登録の端末から受信した信号が所定の基準を満たす場合にロック状態に移行するようにしているが、これに限定されるものではない。すなわち、サーバ１に登録済みの端末から受信した信号が所定の基準を満たす場合でも、故障などを避けるためにロック状態に移行してもよい。
　また、上記の説明では特に言及しなかったが、ロック状態に移行した場合、通信途絶されるものの、機器１３の本来の機能は使えてもよい。例えば、機器１３＿４は、機器１３＿４に設けられた操作パネルを操作することで給湯器として使えてもよい。これにより、機器１３の本来の機能を最大限に活用することが可能である。
　このように、セキュリティ監視機能（保護機能）は、制御装置１１だけでなく各機器１３も同様に備えている。これにより、制御装置１１を介さず直接的に機器１３が外部から攻撃された場合でも、各機器１３自身でセキュリティリスクを低減することが可能である。しかも、各機器１３で通信途絶するという軽い処理で済むため、家電製品のような組み込み機器であっても本来の機能を損なわずに対応することが可能である。
　また、このようなセキュリティ監視機能は、制御装置１１や機器１３として実現することができるだけでなく、制御装置１１や機器１３としてコンピュータを機能させるプログラムとして実現することもできる。もちろん、このようなセキュリティ監視機能の一部をクラウドサーバで実現することも可能である。
　本開示における装置（制御装置１１、機器１３）は、コンピュータを備えている。このコンピュータがプログラムを実行することによって、本開示における装置の機能が実現される。コンピュータは、プログラムに従って動作するプロセッサを主なハードウェア構成として備える。プロセッサは、プログラムを実行することによって機能を実現することができれば、その種類は問わない。プロセッサは、半導体集積回路（ＩＣ）、又はＬＳＩ（large scale integration）を含む一つ又は複数の電子回路で構成される。複数の電子回路は、一つのチップに集積されてもよいし、複数のチップに設けられてもよい。複数のチップは一つの装置に集約されていてもよいし、複数の装置に備えられていてもよい。プログラムは、コンピュータが読み取り可能なＲＯＭ、光ディスク、ハードディスクドライブなどの非一時的記録媒体に記録される。プログラムは、記録媒体に予め格納されていてもよいし、インターネット等を含む広域通信網を介して記録媒体に供給されてもよい。
　１…サーバ
　２…ユーザスマートフォン（携帯端末）
　３…ネットワーク
　１１…制御装置
　１３…機器（宅内機器）

Claims (16)

  1. 　宅内機器と前記宅内機器を制御する携帯端末とを紐付けて記憶するサーバとネットワークを介して接続された制御装置が前記携帯端末から指示を受けて前記宅内機器の稼動状態を制御する制御システムにおける前記制御装置であって、
    　他の端末から受信した信号が所定の基準を満たすか否かを判断し、前記所定の基準を満たすと判断した場合にネットワークを経由した全ての通信を遮断する制御装置。
  2. 　前記制御装置は、前記他の端末から受信した信号が所定の頻度を超えてＯＮ又はＯＦＦを指示する制御信号である場合に前記所定の基準を満たすと判断する請求項１に記載の制御装置。
  3. 　前記サーバは、前記制御装置のＩＳＰ情報を記憶しており、
    　前記制御装置は、起動するごとにＩＳＰ情報を取得し、取得したＩＳＰ情報が前記サーバに記憶されている前記ＩＳＰ情報と異なる場合に前記所定の基準を満たすと判断する請求項１または２に記載の制御装置。
  4. 　前記制御装置は、自身のアップデートチェック状態を定期的に確認し、所定期間チェックされていない、またはアップデートされていない状態である場合に前記所定の基準を満たすと判断する請求項１から３のいずれか１項に記載の制御装置。
  5. 　前記制御装置は、スイッチを備え、前記スイッチが操作されることにより前記ネットワークを経由した通信を復帰させる請求項１から４のいずれか１項に記載の制御装置。
  6. 　前記制御装置は、前記ネットワークを経由した全ての通信を遮断した回数が所定の回数以下の場合は所定の時間経過後に自動的に通信を復帰させ、前記所定の回数を超えた場合は前記スイッチの操作のみで通信を復帰させる請求項５に記載の制御装置。
  7. 　前記制御装置は、前記サーバに前記宅内機器と紐付けて記憶されていない端末から受信した信号が所定の基準を満たすと判断した場合にネットワークを経由した全ての通信を遮断する請求項１から６のいずれか１項に記載の制御装置。
  8. 　宅内機器と前記宅内機器を制御する携帯端末とを紐付けて記憶するサーバとネットワークを介して接続された制御装置が前記携帯端末から指示を受けて前記宅内機器の稼動状態を制御する制御システムにおける前記宅内機器であって、
    　他の端末から受信した信号が所定の基準を満たすか否かを判断し、前記所定の基準を満たすと判断した場合にネットワークを経由した全ての通信を遮断する宅内機器。
  9. 　前記宅内機器は、前記他の端末から受信した信号が所定の頻度を超えてＯＮ又はＯＦＦを指示する制御信号である場合に前記所定の基準を満たすと判断する請求項８に記載の宅内機器。
  10. 　前記サーバは、前記宅内機器のＩＳＰ情報を記憶しており、
    　前記宅内機器は、起動するごとにＩＳＰ情報を取得し、取得したＩＳＰ情報が前記サーバに記憶されている前記ＩＳＰ情報と異なる場合に前記所定の基準を満たすと判断する請求項８または９に記載の宅内機器。
  11. 　前記宅内機器は、自身のアップデートチェック状態を定期的に確認し、所定期間チェックされていない、またはアップデートされていない状態である場合に前記所定の基準を満たすと判断する請求項８から１０のいずれか１項に記載の宅内機器。
  12. 　前記宅内機器は、スイッチを備え、前記スイッチが操作されることにより前記ネットワークを経由した通信を復帰させる請求項８から１１のいずれか１項に記載の宅内機器。
  13. 　前記宅内機器は、前記ネットワークを経由した全ての通信を遮断した回数が所定の回数以下の場合は所定の時間経過後に自動的に通信を復帰させ、前記所定の回数を超えた場合は前記スイッチの操作のみで通信を復帰させる請求項１２に記載の宅内機器。
  14. 　前記宅内機器は、前記サーバに前記宅内機器と紐付けて記憶されていない端末から受信した信号が所定の基準を満たすと判断した場合にネットワークを経由した全ての通信を遮断する請求項８から１３のいずれか１項に記載の宅内機器。
  15. 　請求項１乃至７のいずれか１項に記載した制御装置としてコンピュータを機能させるプログラム。
  16. 　請求項８乃至１４のいずれか１項に記載した宅内機器としてコンピュータを機能させるプログラム。
PCT/JP2018/005771 2017-02-28 2018-02-19 制御装置、宅内機器、およびプログラム WO2018159360A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
US16/489,225 US20200064816A1 (en) 2017-02-28 2018-02-19 Control device, household appliance, and program
CN201880014484.1A CN110352426A (zh) 2017-02-28 2018-02-19 控制装置、住宅内设备以及程序

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2017-035941 2017-02-28
JP2017035941A JP6941779B2 (ja) 2017-02-28 2017-02-28 制御装置、宅内機器、およびプログラム

Publications (1)

Publication Number Publication Date
WO2018159360A1 true WO2018159360A1 (ja) 2018-09-07

Family

ID=63370877

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/005771 WO2018159360A1 (ja) 2017-02-28 2018-02-19 制御装置、宅内機器、およびプログラム

Country Status (4)

Country Link
US (1) US20200064816A1 (ja)
JP (1) JP6941779B2 (ja)
CN (1) CN110352426A (ja)
WO (1) WO2018159360A1 (ja)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20220157090A1 (en) * 2019-03-14 2022-05-19 Nec Corporation On-vehicle security measure device, on-vehicle security measure method, and security measure system
JP2021005821A (ja) * 2019-06-27 2021-01-14 矢崎総業株式会社 異常検出装置

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002123434A (ja) * 2000-10-16 2002-04-26 Denso Corp ネットワークシステム
JP2008199138A (ja) * 2007-02-09 2008-08-28 Hitachi Industrial Equipment Systems Co Ltd 情報処理装置及び情報処理システム
JP2008276457A (ja) * 2007-04-27 2008-11-13 Ionos:Kk ネットワーク保護プログラム、ネットワーク保護装置およびネットワーク保護方法
JP2009211524A (ja) * 2008-03-05 2009-09-17 Shinko Electric Ind Co Ltd ウイルスチェック用装置とこれを用いたデータ通信方法
JP2013026979A (ja) * 2011-07-25 2013-02-04 Toyota Motor Corp 住宅電力制御システム及び住宅電力制御装置

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH03231546A (ja) * 1990-02-07 1991-10-15 Mitsubishi Electric Corp 計算機電源制御装置
CN101631026A (zh) * 2008-07-18 2010-01-20 北京启明星辰信息技术股份有限公司 一种防御拒绝服务攻击的方法及装置
CN102298374B (zh) * 2011-05-27 2014-04-02 海南义利达高新技术实业有限公司 智能住宅控制系统及其控制方法
CN102801711B (zh) * 2012-07-10 2015-03-25 中国科学技术大学 基于硬件处理板的自主可控网站安全防御系统
JP6400576B2 (ja) * 2013-06-28 2018-10-03 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 携帯情報端末の制御方法及びプログラム
WO2017066994A1 (zh) * 2015-10-23 2017-04-27 深圳还是威健康科技有限公司 服务器访问验证方法以及装置
CN105516664A (zh) * 2015-12-11 2016-04-20 深圳市奔迈科技有限公司 一种基于云存储的智能监控系统及其监控方法
CN105824242B (zh) * 2016-03-14 2018-07-13 美的集团股份有限公司 智能家居安全防护系统和方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002123434A (ja) * 2000-10-16 2002-04-26 Denso Corp ネットワークシステム
JP2008199138A (ja) * 2007-02-09 2008-08-28 Hitachi Industrial Equipment Systems Co Ltd 情報処理装置及び情報処理システム
JP2008276457A (ja) * 2007-04-27 2008-11-13 Ionos:Kk ネットワーク保護プログラム、ネットワーク保護装置およびネットワーク保護方法
JP2009211524A (ja) * 2008-03-05 2009-09-17 Shinko Electric Ind Co Ltd ウイルスチェック用装置とこれを用いたデータ通信方法
JP2013026979A (ja) * 2011-07-25 2013-02-04 Toyota Motor Corp 住宅電力制御システム及び住宅電力制御装置

Also Published As

Publication number Publication date
JP2018142167A (ja) 2018-09-13
US20200064816A1 (en) 2020-02-27
JP6941779B2 (ja) 2021-09-29
CN110352426A (zh) 2019-10-18

Similar Documents

Publication Publication Date Title
RU2697935C2 (ru) Пользовательский интерфейс для обеспечения безопасности и удаленного управления сетевыми конечными точками
JP5124455B2 (ja) 装置の機能性を遠隔的に制御するためのシステムおよび方法
JP5278272B2 (ja) ネットワーク通信装置及びその自動再接続方法
TW200536327A (en) System and method for securing a computer system connected to a network from attacks
WO2007116605A1 (ja) 通信端末装置、ルール配布装置およびプログラム
WO2016018622A1 (en) Apparatus and method for security of industrial control networks
WO2019172046A1 (ja) 機器管理方法、及び、機器管理システム
WO2018159360A1 (ja) 制御装置、宅内機器、およびプログラム
KR101343693B1 (ko) 네트워크 보안시스템 및 그 처리방법
JP6981078B2 (ja) セキュアエレメント、コンピュータプログラム、デバイス、サーバ及びデバイス監視方法
JP2007102697A (ja) 検疫システム及び方法並びにプログラム
CN105357670B (zh) 一种路由器
JP2023528905A (ja) 車両と前記車両を管理するためのリモート管理サーバとの間の接続のセキュリティ保護
JP6324219B2 (ja) 悪質なコードによる感染の有無を知らせる通知方法
WO2002084942A1 (en) Systems and method for protecting network appliances against security breaches
US20160127315A1 (en) Firewall based prevention of the malicious information flows in smart home
KR101175667B1 (ko) 방화벽을 이용한 사용자 단말의 네트워크 접속 관리 방법
TWI516974B (zh) 訊息溝通系統及其操作方法
US11722492B1 (en) System and method for dynamically neutralizing malicious ones of communicating electronic devices
US20220408264A1 (en) Wireless communication method between a client object and a server object
US11303677B2 (en) Method and system for managing the operation of a group of several connected objects
JP2023003934A (ja) 電源制御回路
TWM632175U (zh) 連網裝置管理裝置
JP2005157421A (ja) ネットワークセキュリティ維持方法，接続許可サーバおよび接続許可サーバ用プログラム
JP2004206361A (ja) 無線端末を使用した遠隔監視システム及びコンピュータプログラム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18761523

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 18761523

Country of ref document: EP

Kind code of ref document: A1