WO2024033972A1 - プログラマブルコントローラ、例外アクセス学習方法及びプログラム - Google Patents

プログラマブルコントローラ、例外アクセス学習方法及びプログラム Download PDF

Info

Publication number
WO2024033972A1
WO2024033972A1 PCT/JP2022/030279 JP2022030279W WO2024033972A1 WO 2024033972 A1 WO2024033972 A1 WO 2024033972A1 JP 2022030279 W JP2022030279 W JP 2022030279W WO 2024033972 A1 WO2024033972 A1 WO 2024033972A1
Authority
WO
WIPO (PCT)
Prior art keywords
access
exceptional
learning
accesses
plc
Prior art date
Application number
PCT/JP2022/030279
Other languages
English (en)
French (fr)
Inventor
正隆 橋下
Original Assignee
三菱電機株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱電機株式会社 filed Critical 三菱電機株式会社
Priority to JP2022577399A priority Critical patent/JP7258257B1/ja
Priority to PCT/JP2022/030279 priority patent/WO2024033972A1/ja
Publication of WO2024033972A1 publication Critical patent/WO2024033972A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Programme-control systems
    • G05B19/02—Programme-control systems electric
    • G05B19/04—Programme control other than numerical control, i.e. in sequence controllers or logic controllers
    • G05B19/05—Programmable logic controllers, e.g. simulating logic interconnections of signals according to ladder diagrams or function charts
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02P—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN THE PRODUCTION OR PROCESSING OF GOODS
    • Y02P90/00—Enabling technologies with a potential contribution to greenhouse gas [GHG] emissions mitigation
    • Y02P90/02—Total factory control, e.g. smart factories, flexible manufacturing systems [FMS] or integrated manufacturing systems [IMS]

Definitions

  • the present disclosure relates to a programmable controller, an exception access learning method, and a program.
  • Patent Document 1 describes a security patch for dealing with attacks that exploit vulnerabilities in PLCs (Programmable Logic Controllers).
  • the present disclosure was made under the above circumstances, and aims to improve the resistance of PLCs against unauthorized access.
  • the programmable controller of the present disclosure provides a communication means that receives and communicates external access via a network, and an exception that has a lower frequency than other accesses from a history of accesses accepted by the communication means.
  • a learning means for learning a model for determining access;
  • a detecting means for detecting an exceptional access from new accesses accepted by the communication means using the model learned by the learning means; and an exceptional access detected by the detecting means.
  • processing means for processing exception access.
  • the detection means detects the exceptional access, and the processing means processes the exceptional access. Since unauthorized access occurs less frequently than access that occurs during normal operations, unauthorized access can be dealt with by processing exceptional access. Therefore, the resistance of the PLC to unauthorized access can be improved.
  • a diagram showing the configuration of a PLC system according to Embodiment 1 A diagram showing the hardware configuration of the FA device according to Embodiment 1
  • a PLC (Programmable Logic Controller) system 1000 is constructed as a control system that controls equipment via a network in a factory.
  • the PLC system 1000 is, for example, an FA system for implementing a manufacturing line, a processing line, an inspection line, or other processing steps.
  • each device records external accesses and shares them in the form of a distributed ledger, and learns a model for determining exceptional accesses based on the shared records. Then, when an exceptional access is detected using the learned model, processing for the access is executed.
  • the PLC system 1000 includes PLCs 101, 102, and 103 that are connected to each other via a network NW, and a support device 20 that functions as a user interface terminal for the PLC 101.
  • the network NW may be an industrial network or an information network.
  • packets are transmitted according to, for example, TCP (Transmission Control Protocol)/IP (Internet Protocol).
  • the support device 20 and the PLC 101 are connected via a communication line such as a USB (Universal Serial Bus) cable or a network such as a LAN (Local Area Network).
  • a communication line such as a USB (Universal Serial Bus) cable or a network such as a LAN (Local Area Network).
  • the PLCs 101, 102, and 103 each have equivalent components and exhibit equivalent functions.
  • FIG. 1 the configuration of the PLC 101 is shown in detail, and the configurations of the PLCs 102 and 103 are simplified.
  • PLC101,102,103 may be described as PLC100 without distinguishing.
  • the PLC 100 is a control device that controls equipment (not shown) by executing a control program such as a ladder program.
  • the PLC 100 may cooperate with other PLCs 100 to control devices.
  • the PLC 101 acquires sensing results from a sensor, and the PLC 101 or PLC 102 outputs an operation command based on the sensing results to an actuator, thereby transporting a workpiece on a belt conveyor.
  • PLC100 corresponds to an example of a programmable controller.
  • the support device 20 is an industrial PC (Personal Computer), and has application software called an engineering tool for creating and editing a control program to be executed by the PLC 100 and writing it to the PLC 100.
  • PC Personal Computer
  • the PLC 100 and the support device 20 are each configured with hardware elements for functioning as a computer.
  • the FA device 30 corresponding to each of the PLC 100 and the support device 20 includes a processor 31, a main storage section 32, an auxiliary storage section 33, an input section 34, and an output section. 35 and a communication section 36.
  • the main storage section 32 , the auxiliary storage section 33 , the input section 34 , the output section 35 , and the communication section 36 are all connected to the processor 31 via an internal bus 37 .
  • the processor 31 includes a CPU (Central Processing Unit) as a processing circuit.
  • the processor 31 implements various functions by executing the program P1 stored in the auxiliary storage unit 33, and executes the processing described below.
  • the program P1 of the support device 20 corresponds to the above-mentioned engineering tool.
  • the processor 31 of the PLC 100 executes the above-mentioned control program in addition to the program P1.
  • the main storage unit 32 includes a RAM.
  • the program P1 is loaded into the main storage section 32 from the auxiliary storage section 33.
  • the main storage unit 32 is used as a work area for the processor 31.
  • the auxiliary storage unit 33 includes nonvolatile memory represented by EEPROM (Electrically Erasable Programmable Read-Only Memory) and HDD (Hard Disk Drive).
  • the auxiliary storage unit 33 stores various data used in processing by the processor 31 in addition to the program P1.
  • the auxiliary storage unit 33 supplies data used by the processor 31 to the processor 31 according to instructions from the processor 31. Further, the auxiliary storage unit 33 stores data supplied from the processor 31.
  • the input unit 34 includes input devices such as hardware switches, input keys, a keyboard, and a pointing device.
  • the input unit 34 acquires information input by the user of the FA device 30 and notifies the processor 31 of the acquired information.
  • the output unit 35 includes output devices such as an LED (Light Emitting Diode), an LCD (Liquid Crystal Display), and a speaker.
  • the output unit 35 presents various information to the user according to instructions from the processor 31.
  • the communication unit 36 includes a communication interface circuit for communicating with an external device.
  • the communication unit 36 receives a signal from the outside and outputs data indicated by this signal to the processor 31. Further, the communication unit 36 transmits a signal indicating data output from the processor 31 to an external device.
  • the FA device 30 may have a plurality of communication sections 36.
  • the FA device 30, which is the PLC 101 may separately include a communication unit 36 for communicating with the support device 20 and a communication unit 36 for communicating via the network NW.
  • the PLC 100 and the support device 20 exhibit various functions by cooperation of the above-mentioned hardware configurations.
  • the PLC 101 has a communication unit 11 that receives access from the outside via the network NW and communicates, and processes packets received by the communication unit 11.
  • a processing unit 12 that generates access information regarding access
  • a storage unit 13 that accumulates and stores access information
  • a sharing unit 14 that shares access information with PLCs 102 and 103, and determines exceptional access based on the access information.
  • a learning unit 15 that learns a model for access
  • a detection unit 16 that detects exceptional access based on the learned model
  • a notification unit 17 that notifies users of exceptional access
  • It has a processing unit 18 for processing.
  • the communication unit 11 is mainly realized by the cooperation of the processor 31 of the PLC 101 and the communication unit 36. Acceptance of access by the communication unit 11 means that the PLC 101 itself receives a packet designated as the destination via the network NW.
  • PLCs 102 and 103 are shown as devices that access the communication unit 11, but an unillustrated device may access the communication unit 11 via the network NW.
  • the communication unit 11 transmits packets to the network NW as necessary.
  • the communication unit 11 corresponds to an example of communication means that receives access from the outside via a network in the PLC 100.
  • the processing unit 12 is mainly realized by the processor 31 of the PLC 101.
  • the processing unit 12 receives a packet from the communication unit 11, processes the packet, and generates access information regarding access to the communication unit 11.
  • the access information includes identification information for identifying the accessed communication device on the network NW, and at least one of the time when the access was made and a predetermined time segment that includes the time.
  • the access information is a record corresponding to one line constituting the transmission access information 131 shown in FIG.
  • the port number specified by , the time division in seconds including the reception date and time, and the speed corresponding to the access frequency are shown in association with each other.
  • the length of the time segment is 1 second in the example of FIG. 3, it is not limited to this and may be changed arbitrarily.
  • "20220118-131310" in FIG. 3 represents a 1 second interval from 13:13:10 to 11 seconds on January 18, 2020.
  • the speed indicates the size of the packets received in the accesses that occurred in the time segment, in bits per second (bps). Since the length of the time segment is 1 second, the rate is equal to the packet size in FIG. 3.
  • the size of a packet received in one time segment is equal to the sum of the bit values included in the packet received by the communication unit 11. In other words, it can be said that the speed corresponds to the frequency with which each bit value is accessed in one time segment. Note that although there may be cases where the reception of one packet is not completed within one time period, all bit values making up the packet may be treated as having been received at the date and time of reception of the packet.
  • the storage unit 13 is mainly realized by at least one of the main storage unit 32 and the auxiliary storage unit 33 of the PLC 101. As shown in FIG. 3, the storage unit 13 stores transmission access information 131, which is a collection of access information generated by the processing unit 12, and reception access information 132, which is generated by the PLCs 102 and 103 and received from the PLCs 102 and 103. and are stored as access history.
  • transmission access information 131 which is a collection of access information generated by the processing unit 12
  • reception access information 132 which is generated by the PLCs 102 and 103 and received from the PLCs 102 and 103. and are stored as access history.
  • the transmission access information 131 is transmitted from the PLC 101 to the PLCs 102 and 103 in order to be shared between the PLCs 100.
  • the reception access information 132 is information indicating access to PLCs 102 and 103 other than the PLC 101, and is received by the PLC 101 from the PLCs 102 and 103 in order to be shared between the PLCs 100.
  • numbers may be assigned to the access information as shown in FIG.
  • the transmission access information 131 corresponds to an example of first access information
  • the reception access information 132 corresponds to an example of second access information.
  • the sharing unit 14 is mainly realized by the cooperation of the processor 31 and the communication unit 36 of the PLC 101.
  • the sharing unit 14 shares the transmission access information 131 and reception access information 132 stored in the storage unit 13 with the PLCs 102 and 103 in the form of a distributed ledger.
  • the sharing section 14 shares information in a format in which a block 40 including a block header 41 and a transaction section 42 is sequentially generated by concatenating with the previous block 40. do.
  • the block header 41 includes a previous header hash value 411 that is equal to the header hash value 412 of the block header 41 of the previously generated block 40, and a header that is a hash value of data included in the block header 41 itself. It has a hash value 412 and generation date and time information 413 indicating the date and time when the block 40 was generated.
  • the transaction unit 42 also stores input access information 421 including output access information 422 of the transaction unit 42 of the previous block 40, output access information 422 in which access information added in the block 40 is stored, and input access information 421. and the signature 423 of the output access information 422.
  • the access information is shared by adding a new block 40 to be connected that includes the access information to be shared as the output access information 422 and sharing it between the PLCs 100. Specifically, by adding the block 40 that includes the transmission access information 131 provided from the PLC 101, the PLCs 102 and 103 acquire the transmission access information 131 of the PLC 101, and the transmission access information 131 is transmitted to the PLC 102 and 103. shared. Additionally, by adding a block containing access information provided from PLC 102 or PLC 103, PLC 101 acquires the access information recorded in PLC 102 or PLC 103, and the access information is shared by PLC 101 as received access information 132. .
  • the input access information 421 may include information obtained by processing the output access information 422 of the previous block 40. Further, the input access information 421 may be information obtained by processing the ID (Identifier) of the transaction section 42 of the previous block 40 and the output access information 422 included in the transaction section 42.
  • the sharing unit 14 may function as a storage device different from the storage unit 13 using at least one of the main storage unit 32 and the auxiliary storage unit 33 of the PLC 101. That is, the sharing unit 14 may store sequentially connected blocks 40 and synchronize the output access information 422 of the blocks 40 with the storage unit 13.
  • the sharing unit 14 corresponds to an example of a sharing unit that shares the transmission access information 131 and the reception access information 132 with other programmable controllers in the form of a distributed ledger in the PLC 100.
  • the learning section 15 is mainly realized by the processor 31 of the PLC 101.
  • the learning unit 15 learns a model for determining exceptional accesses that are less frequent than other accesses from the access information stored in the storage unit 13. For example, the learning unit 15 extracts feature amounts from each piece of access information, and fits the distribution of the feature amounts using a normal distribution.
  • FIG. 6 schematically shows model learning by fitting a normal distribution.
  • sampling points defined by the first feature amount and the second feature amount extracted from each piece of access information are indicated by filled circles and white circles.
  • the first feature amount and the second feature amount may be, for example, a source IP address or a group of the IP address indicated by the access information, and a port number or a group of the port number, or may be calculated from the access information. It may be any other feature amount.
  • 3 ⁇ of the normal distribution obtained by fitting these sampling points is shown as a region 50. Normally, frequently observed accesses correspond to sampling points 51 indicated by filled circles within the region 50, and exceptional accesses correspond to sampling points 52 indicated by open circles outside the region 50. handle.
  • area 50 corresponds to a model for determining exceptional access.
  • the exceptional access is an access that has a feature that is extracted less frequently than other accesses, and has a feature that is outside the range of features that are extracted more frequently from other accesses. It can be called access.
  • the learning method by the learning unit 15 may be changed arbitrarily. However, in situations where it is not possible to know whether individual access corresponds to exceptional access among the three known classifications of learning methods: unsupervised learning, supervised learning, and reinforcement learning. It is also desirable to employ unsupervised learning that can identify exceptional accesses by tuning parameters. In addition, unsupervised learning is preferable because accesses via the network NW are usually normal and the number of unauthorized accesses is extremely small compared to normal accesses. If there is a teacher who gives each access information a correct label indicating whether it is an exceptional access or not, supervised learning may be adopted. Reinforcement learning may also be employed if a model can be applied to design rewards as a result of detecting exceptional access.
  • the learning unit 15 may learn different models for each time segment. For example, the learning unit 15 may learn using a different area 50 as a model for each time segment, with the first feature amount illustrated in FIG. 6 as the source IP address, and the second feature amount as the port number. Further, the learning unit 15 may learn using a different area 50 as a model for each time segment, with the first feature amount illustrated in FIG. 6 as the source IP address and the second feature amount as the port number. In addition, based on multiple accesses that occur in a relatively long time period such as one day or one month, the learning unit 15 learns the model used in that time period, and An exceptional access may be detected using the model in the month of .
  • the learning unit 15 learns the model, and then the learning unit 15 collects accesses that occur in relatively short time segments such as one minute or one hour, and then learns the model.
  • the trained model may be used to determine whether the new access is an exceptional access.
  • the learning unit 15 corresponds to an example of a learning means for learning a model for determining exceptional access in the PLC 100.
  • the detection unit 16 is mainly realized by the processor 31 of the PLC 101.
  • the detection unit 16 uses the model learned by the learning unit 15 to detect an exceptional access from the access indicated by the access information stored in the storage unit 13.
  • the detection unit 16 when determining an exceptional access using the area 50 shown in FIG. Detect. Further, when an access similar to the sampling point 52 or an access similar to the sampling point 52 occurs in the future, the detection unit 16 detects the access as an exceptional access.
  • the past means before learning the model
  • the future means after learning the model.
  • the access similar to the sampling point 52 corresponds in FIG. 6 to a new point (not shown) located in the vicinity of the sampling point 52.
  • the detection unit 16 uses the area 50 to detect sampling points 53 that are not similar to any accesses that have occurred in the past as exceptional accesses. In this way, it is preferable that the model be able to determine whether or not even unknown accesses are exceptional accesses.
  • the present invention is not limited to this.
  • the sampling points may be multiplied by weights corresponding to the speeds shown in FIG.
  • the frequency as a speed may be used as a feature quantity, and an access for which the feature quantity is smaller than a threshold value may be determined as an exceptional access.
  • the number of types of feature amounts may be one or more than three.
  • the detection unit 16 corresponds to an example of a detection unit that detects an exceptional access from a new access accepted by the communication unit in the PLC 100.
  • the notification section 17 is mainly realized by the cooperation of the processor 31 and the output section 35 of the PLC 101.
  • the notification unit 17 may notify the user via the user interface by notifying the result of the detection by the detection unit 16 to the user interface.
  • the user interface may be an output device that constitutes the output unit 35, or may be the support device 20 as a user interface terminal.
  • the processing unit 18 is mainly realized by the processor 31 of the PLC 101.
  • the processing unit 18 processes the packet received by the communication unit 36 according to the result of detection by the detection unit 16. Specifically, the processing unit 18 passes through accesses that are not exceptional accesses and starts processing based on the accesses. For example, based on an access requesting reading of data stored in the PLC 101, the processing unit 18 reads the data and causes the communication unit 11 to respond. Further, the processing unit 18 writes the data based on an access requesting writing of data to the PLC 101, and causes the communication unit 11 to respond to the completion of the writing.
  • the processing unit 18 blocks exceptional access. Specifically, in response to an exception access requesting data reading, the processing unit 18 discards the packet without reading the data or responding. Furthermore, in response to an exceptional access requesting data writing, the packet is discarded without writing the data. Further, the processing unit 18 may record that there has been an exceptional access, or may cause the notification unit 17 to notify the fact that there has been an exceptional access.
  • the processing unit 18 corresponds to an example of a processing means in the PLC 100 that processes an exceptional access detected by the detection means.
  • the support device 20 includes a setting section 21 for setting parameters for learning by the learning section 15 of the PLC 101, and a display section 22 for displaying information shared by the sharing section 14 to the user.
  • the setting unit 21 is mainly realized by the processor 31 and communication unit 36 of the support device 20.
  • the setting unit 21 receives parameters regarding learning speed and exceptional access determination accuracy from the user and sets them in the learning unit 15.
  • the display unit 22 is mainly realized by the output unit 35 of the support device 20.
  • the PLC process shown in FIG. 7 starts when the PLC 100 is powered on. Note that in order to clarify the relationship between the steps included in the PLC processing, the steps are illustrated as being executed in sequence, but the present invention is not limited to this, and the steps may be executed in parallel.
  • the PLC 100 receives parameters for the learning section 15 from the support device 20 (step S1), and sets them in the learning section 15.
  • the parameters may be quantitative values, or qualitative values such as the classification of learning speed as “fast” or “slow” or the classification of discrimination accuracy as “slow” or “severe”. There may be.
  • an access information recording process that records access information based on access from outside the PLC 100 (step S2), a sharing process that shares the access information (step S3), and a learning process that learns a model based on the access information. (Step S4), and detection processing for detecting exceptional access using the model (Step S5) are repeatedly executed. Below, details of the processing in steps S2 to S5 will be explained in order.
  • the processor 31 determines whether the recording trigger held by the PLC 100 is in the ON state (step S21).
  • the recording trigger is a flag having a value of ON state or OFF state, and the value is set by the user or by external application software. If it is determined that the recording trigger is not in the ON state (step S21; No), the processing by the PLC 100 returns from the access information recording processing of FIG. 8 to the PLC processing of FIG. 7.
  • the processing unit 12 calculates a time segment including the reception date and time from the reception date and time of the packet received as communication data by the communication unit 11. (Step S22). If the length of the time segment is one second as shown in FIG. 3, the processing unit 12 may truncate the number of seconds below the decimal point of the reception date and time. Furthermore, if the units of reception date and time are different from the units of time division, the processing unit 12 also converts the units.
  • the processing unit 12 calculates the access speed (step S23).
  • the processing unit 12 determines the packet size as the speed.
  • the processing unit 12 generates access information by adding the identification information and port number of the communication partner to the time segment calculated in step S22 and the access speed calculated in step S23 (step S24). Specifically, the processing unit 12 creates access information in which the time segment and access speed are associated with the IP address indicating the source of the packet and the port number specified in the packet.
  • the processing unit 12 records the access information generated in step S24 (step S25). Specifically, the processing unit 12 adds the generated access information to the transmission access information 131 in the storage unit 13 as new line data. Thereafter, the process by the PLC 100 returns from the access information recording process in FIG. 8 to the PLC process shown in FIG.
  • step S31 the sharing unit 14 determines whether the sharing trigger held by the PLC 100 is in the ON state.
  • a shared trigger is a flag that has a value of ON or OFF, and the value is set by the user or by external application software. If it is determined that the sharing trigger is not in the ON state (step S31; No), the processing by the PLC 100 returns from the sharing processing in FIG. 9 to the PLC processing in FIG. 7.
  • the sharing unit 14 performs a temporary transaction generation process that generates a temporary temporary transaction that includes access information to be provided to other PLCs 100.
  • Step S32 requesting node processing as a node requesting consensus building to commit a block including a tentative transaction
  • step S34 receiving node processing as a node receiving the consensus building request
  • step S35 a management node process as a node that manages consensus building
  • the temporary transaction generation process, the requesting node process, the receiving node process, and the management node process may be executed in parallel.
  • the relationship among the requesting node, receiving node, and management node will be explained with reference to the sequence diagram of FIG. 10.
  • a requesting node 61, a management node 62, and a receiving node 63 each correspond to a PLC 100 connected to the network NW.
  • One PLC 100 among the plurality of PLCs 100 executes temporary transaction generation processing and request node processing as the requesting node 61 at the timing when it determines that data to be newly committed to the distributed ledger is generated.
  • One specific PLC 100 among the PLCs 100 other than the requesting node 61 executes management node processing as the management node 62 .
  • the PLC 100 other than the requesting node 61 and the management node 62 executes receiving node processing as the receiving node 63. Therefore, each PLC 100 can correspond to either a requesting node or a receiving node depending on the timing.
  • the management node 62 may be determined in advance as being handled by a specific PLC 100.
  • the PLC 101 may be determined in advance as the management node 62, and when the PLC 101 becomes the requesting node 61, it may be determined in advance that the PLC 102 will play the role of the management node 62.
  • any one PLC 100 other than the requesting node 61 may be selected as the management node 62 each time according to a predetermined rule.
  • the requesting node 61 may request the management node 62 to form a consensus using the PLC 100 having the lowest IP address among the PLCs 100 that can communicate via the network NW.
  • the requesting node 61 executes a temporary transaction generation process (step S32), and transmits the generated temporary transaction to the management node 62 (step S301).
  • the management node 62 distributes the temporary transaction received from the requesting node 61 to the receiving node 63 (step S302).
  • the management node 62 and the receiving node 63 each verify the signature included in the temporary transaction (step S303).
  • the management node 62 and the receiving node 63 each distribute the signature verification results to nodes other than the requesting node 61 (step S304), and receive the signature verification results distributed from the other nodes ( Step S305).
  • the management node 62 and the receiving node 63 confirm that the temporary transaction has been changed by the management node 62. Verify that it is not.
  • the management node 62 and the receiving node 63 each distribute the provisional transaction to nodes other than the requesting node 61 (step S306), and receive the provisional transaction distributed from the other node as a distributed transaction (step S307). . Then, the management node 62 and the receiving node 63 each confirm that the number of distribution transactions that match the tentative transaction received in step S302 is equal to or greater than the threshold (step S308). Thereby, the management node 62 and the receiving node 63 mutually confirm that the received temporary transactions match.
  • the management node 62 generates a block including a temporary transaction, commits it to the distributed ledger owned by the sharing unit 14 of the management node 62 (step S309), and notifies the requesting node 61 of the commit result (step S310). ).
  • each receiving node 63 generates a block including a temporary transaction, commits it to the distributed ledger owned by the sharing unit 14 of the receiving node 63 (step S309), and notifies the requesting node 61 of the commit result ( Step S310).
  • the requesting node 61 determines that the management node 62 and the receiving node 63 have agreed to commit the block, and generates a block containing the temporary transaction. , commits to the distributed ledger held by the sharing unit 14 of the requesting node 61 (step S311). As a result, the requesting node 61, the management node 62, and the receiving node 63 mutually verify whether or not it is okay to commit the block, and then commit the block to the distributed ledger.
  • step S32 details of each of the temporary transaction generation process (step S32), the requesting node process (step S33), the receiving node process (step S34), and the management node process (step S35) shown in FIG. 9 will be explained in order.
  • the provisional transaction generation process (step S32) shown in FIG. 11 is mainly executed by the sharing unit 14 of the requesting node 61.
  • the sharing unit 14 determines access information to be shared by transmitting it to other nodes (step S321). Specifically, when the number of access information added to the transmission access information 131 that has not yet been committed to the distributed ledger exceeds a certain number, the sharing unit 14 shares the access information. Determine the access information that should be accessed. Note that the method for determining access information to be shared may be arbitrarily changed.
  • the sharing unit 14 may process the access information from the latest date and time stored at the beginning in descending order of the packet reception date and time, or in ascending or descending order by the number assigned to the access information in the transmission access information 131.
  • the access information may be sorted and processed starting from the access information stored at the top.
  • the sharing unit 14 may exclude access information that satisfies predetermined conditions from the transmission access information 131 from the access information to be shared. Further, each time access information is generated based on one access to the communication unit 11, the sharing unit 14 may determine the access information as the access information to be shared.
  • the sharing unit 14 inserts the output access information 422 of the latest block 40 recorded in the distributed ledger as the input access information 421 of the temporary transaction to be generated (step S322). Then, the sharing unit 14 inserts the access information determined to be shared in step S321 as the output access information 422 of the temporary transaction (step S323). After that, the sharing unit 14 creates and inserts signatures for the input access information 421 inserted in step S322 and the output access information 422 inserted in step S323 (step S324).
  • the signature is a hash value obtained by applying a hash function to a string of input access information 421 and output access information 422, but information obtained by other methods may be used as the signature. Thereby, the sharing unit 14 generates a temporary transaction including the input access information 421 of step S322, the output access information 422 of step S323, and the signature of step S324 (step S325).
  • the requesting node process (step S33) shown in FIG. 12 is mainly executed by the sharing unit 14 of the requesting node 61.
  • the sharing unit 14 determines whether there is a provisional transaction for which consensus building should be requested (step S331). If it is determined that there is no provisional transaction (step S331; No), the request node process ends, and the process by the PLC 100 returns to the sharing process in FIG. 9.
  • step S331 if it is determined that there is a temporary transaction (step S331; Yes), the sharing unit 14 transmits the temporary transaction to the management node 62 (step S332).
  • step S332 corresponds to step S301 in FIG. 10.
  • step S333 determines whether the provisional transaction sent in step S332 has been approved. Specifically, the sharing unit 14 determines whether the number of nodes that have approved committing the temporary transaction is equal to or greater than a threshold value.
  • This step S333 corresponds to step S310 in FIG.
  • the sharing unit 14 generates a block header 41 to be added to the temporary transaction (step S334), and generates a block 40 including the generated block header 41 and the temporary transaction as the transaction section 42 ( Step S335).
  • the sharing unit 14 then commits the generated block 40 to the distributed ledger (step S336).
  • Steps S334 to S336 correspond to step S311 in FIG.
  • step S34 The receiving node process (step S34) shown in FIG. 13 is mainly executed by the sharing unit 14 of the receiving node 63.
  • the sharing unit 14 determines whether or not a temporary transaction has been received (step S341). If step S302 in FIG. 10 is executed and the temporary transaction is distributed from the management node 62, the determination in step S341 is affirmative.
  • step S342 determines whether the signature of the received temporary transaction is correct (step S342). Specifically, the sharing unit 14 determines whether the signature included in the tentative transaction matches the signature generated from the input access information 421 and output access information 422 included in the tentative transaction. If the signatures match, the node other than the requesting node 61 is notified that the signatures are confirmed to be correct. Then, the sharing unit 14 determines whether the number of other nodes that have notified that the signature is correct is equal to or greater than a threshold value.
  • Step S342 corresponds to steps S303 to S305 in FIG.
  • step S342 If it is determined that the signature of the temporary transaction is correct (step S342; Yes), the sharing unit 14 distributes the temporary transaction to nodes other than the requesting node 61 (step S343).
  • This step S343 corresponds to step S306 in FIG. 10.
  • the sharing unit 14 receives the provisional transaction distributed from the distribution destination as a distribution transaction as a result of a step similar to step S343 being executed by the distribution destination of the temporary transaction (step S344).
  • This step S344 corresponds to step S307 in FIG.
  • the sharing unit 14 determines whether the temporary transaction received in step S341 and the distribution transaction received in step S344 match (step S345). Specifically, the sharing unit 14 compares each distribution transaction received from the plurality of distribution destinations in step S344 with the tentative transaction, and determines whether the number of distribution transactions that match the tentative transaction exceeds a threshold value. judge. This step S345 corresponds to step S308 in FIG.
  • step S345 If it is determined that the temporary transaction and the distribution transaction match (step S345; Yes), the sharing unit 14 generates the block header 41 and generates the block 40 together with the temporary transaction (step S346). Then, the sharing unit 14 commits the generated block 40 to the distributed ledger of the sharing unit 14 (step S347).
  • steps S346 and S347 correspond to step S309 in FIG. 10.
  • the sharing unit 14 transmits the commit details to the requesting node 61 (step S348).
  • the transmission of the commit contents may be the transmission of the block 40 committed in step S347, or may be a notification that the provisional transaction has been approved.
  • This step S348 corresponds to step S310 in FIG. 10.
  • the process by the PLC 100 returns to the sharing process shown in FIG. If the determinations in steps S341, S342, and S345 are negative (step S341; No, step S342; No, step S345; No), the sharing unit 14 does not approve the temporary transaction, and the processing by the PLC 100 is performed as shown in FIG. Return to the indicated sharing process.
  • the management node process (step S35) shown in FIG. 14 is mainly executed by the sharing unit 14 of the management node 62.
  • the sharing unit 14 determines whether the PLC 100 including the sharing unit 14 is a management node (step S351). If it is determined that the node is a management node (step S351; Yes), the sharing unit 14 determines whether or not a temporary transaction has been received (step S352). If step S301 in FIG. 10 is executed, the determination in step S352 is affirmative.
  • step S353 corresponds to step S302 in FIG.
  • step S353 the sharing unit 14 executes steps S354 to S3510, which are similar to steps S342 to S348 in the receiving node process. Note that if the determinations in steps S351 and S352 are negative (step S351; No, S352; No), the process by the PLC 100 returns to the sharing process shown in FIG. 9 without the sharing unit 14 approving the temporary transaction. .
  • step S4 the learning process
  • the learning unit 15 determines whether the learning trigger held by the PLC 100 is in the ON state (step S41).
  • the learning trigger is a flag having a value of ON state or OFF state, and the value is set by the user or by external application software. If it is determined that the learning trigger is not in the ON state (step S41; No), the processing by the PLC 100 returns from the learning processing in FIG. 15 to the PLC processing in FIG. 7.
  • the learning unit 15 reads unlearned access information from the storage unit 13 (step S42). Specifically, the learning unit 15 extracts access information that has not been studied in the past from the sending access information 131 and the receiving access information 132.
  • the learning unit 15 executes a conversion process to convert the access information into a format suitable for learning (step S43).
  • the conversion process may be extraction of the feature amount shown in FIG.
  • normalization or standardization of each element may be performed as a conversion process. For example, both the range of IP address values and the range of possible speed values may be normalized and converted into a range from zero to one.
  • the amount of learning data increases, the amount of calculation when updating the learning model may increase exponentially, so a conversion may be performed to suppress the amount of calculation when updating the learning model.
  • the learning unit 15 updates the model based on the access information whose format was converted in step S43 (step S44). Thereafter, the process by the PLC 100 returns from the learning process in FIG. 15 to the PLC process in FIG. 7 .
  • the detection unit 16 determines whether the detection trigger held by the PLC 100 is in the ON state (step S51).
  • the detection trigger is a flag having a value of ON state or OFF state, and the value is set by the user or by external application software. If it is determined that the detection trigger is not in the ON state (step S51; No), the processing by the PLC 100 returns from the detection processing in FIG. 16 to the PLC processing in FIG. 7.
  • step S51 if it is determined that the detection trigger is in the ON state (step S51; Yes), the processing unit 12 processes the packet as communication data newly received by the communication unit 11 into access information (step S52 ), stored in the storage unit 13.
  • the detection unit 16 applies the model learned by the learning unit 15 after performing the same conversion process as step S43 in FIG. 15 on the access information generated in step S52 (step S53). (Step S54), it is determined whether the access indicated by the access information is an exceptional access (Step S55).
  • step S55 If it is determined that the access is not an exceptional access (step S55; No), the processing unit 18 executes normal access processing for the access (step S56). For example, the processing unit 18 executes reading or writing of data requested by the access. Thereafter, the processing by the PLC 100 returns from the detection processing in FIG. 16 to the PLC processing in FIG. 7.
  • step S55 if it is determined that it is an exceptional access (step S55; Yes), the processing unit 18 blocks this exceptional access (step S57) and notifies the notification unit 17 on the user interface that there is an exceptional access. A notification is made (step S58). Thereafter, the processing by the PLC 100 returns from the detection processing in FIG. 16 to the PLC processing in FIG. 7.
  • the processing unit 18 executes processing for the exceptional access that is different from normal access, such as blocking the exceptional access and notifying the user interface. Therefore, unusually occurring unauthorized access can be dealt with with a small processing load by performing processing different from normal processing. Therefore, availability in the case where unauthorized access occurs in the PLC system 1000 can be improved.
  • IP filtering existing methods such as IP filtering are known in which trusted devices on the network NW are registered in advance in a whitelist and accesses from the devices are treated as legitimate. However, if such a device is hijacked or used as a stepping stone, or if access is made by IP spoofing, it is difficult to sufficiently protect the PLC 100 using the existing methods described above. On the other hand, if exceptional access is dealt with by focusing on the frequency of access, the PLC 100 can be protected from unauthorized access.
  • access is filtered according to the initially set contents.
  • the model learning by the learning unit 15 is repeated, it is possible to detect an exceptional access while adapting to the access occurring in the network NW.
  • PBFT consensus building between PLCs is performed according to an algorithm called PBFT.
  • distributed ledgers are subject to failures such as failures in nodes participating in the distributed ledger and the inability of those nodes to update the distributed ledger, and transactions being rewritten by external attackers. Tolerant to failure.
  • the number of nodes participating in the distributed ledger may be set by setting the number of failure-tolerant nodes in advance and calculating backwards from this number of nodes. If the number of failure-tolerant nodes is f, then the number of nodes participating in the distributed ledger needs to be 3f+1. For example, if f is 1, four nodes need to participate as shown in FIG.
  • the access information is stored in a storage device external to the PLC 100, such as a NAS (Network Attached Storage) and a memory card that can be inserted into and removed from the PLC 100. may be stored in a storage device external to the PLC 100, such as a NAS (Network Attached Storage) and a memory card that can be inserted into and removed from the PLC 100. may be stored in a NAS (Network Attached Storage) and a memory card that can be inserted into and removed from the PLC 100. may be stored in a storage device external to the PLC 100, such as a NAS (Network Attached Storage) and a memory card that can be inserted into and removed from the PLC 100. may be stored in a NAS (Network Attached Storage) and a memory card that can be inserted into and removed from the PLC 100. may be stored in a NAS (Network Attached Storage) and a memory card that can be inserted into and removed from the PLC 100. may be stored
  • a method different from the method described above may be adopted.
  • a One Class SVM Small Vector Machine
  • a method such as the k-nearest neighbor method or the k-means method may be adopted.
  • a deep neural network, a convolutional neural network, or a recurrent neural network may be employed as the learning method.
  • Embodiment 2 will be described, focusing on the differences from Embodiment 1 described above. Note that for the same or equivalent configurations as those of the first embodiment, the same reference numerals are used.
  • This embodiment differs from Embodiment 1 in that the result of detection by the detection unit 16 is shared by the sharing unit 14.
  • the access information includes the header hash value 412 of the block 40 for sharing the access information, and the access indicated by the access information as an exceptional access by the detection unit 16. and a flag indicating whether or not it has been detected.
  • a flag of "0" indicates normal access
  • a flag of "1” indicates exceptional access.
  • the PLC 100 notifies, via the user interface, that there has been an access that has been determined to be an exceptional access in another PLC 100. Specifically, when there is access information having a flag of "1" in the received access information 132, the notification unit 17 reports the exceptional access indicated by the access information.
  • Embodiment 3 Next, Embodiment 3 will be described, focusing on the differences from Embodiment 1 described above. Note that for the same or equivalent configurations as those of the first embodiment, the same reference numerals are used. This embodiment differs from the first embodiment in that the access information includes information regarding device data, as shown in FIG.
  • the PLC 100 usually shares data called device data with other devices, and achieves device control by manipulating the device data. For example, when a sensor device shares device data indicating a sensing result with the PLC 100, the sensing result is notified to the PLC 100, and when the PLC 100 shares device data indicating an operation command with an actuator, an operation command is issued to the actuator. Given.
  • the processing unit 12 of the PLC 100 determines whether the request is for reading or writing, and the device data.
  • the address of the device, the data type of the device data, and the starting point and number of points are shown in association with each other.
  • a request of "R” indicates a read request
  • a request of "W” indicates a write request.
  • the sharing unit 14 also shares access information including information regarding such device data when accessing other PLCs 100.
  • the learning unit 15 then updates the model based on this access information.
  • Information regarding device data corresponds to an example of data access information.
  • the number of PLCs 100 that make up the PLC system 1000 may be changed arbitrarily.
  • the Merkle root which is a hashed value of the list of nodes that have participated in the distributed ledger, the difficulty of mining, and the nonce when mining is successful, are It may be included in the header 41.
  • the second and third embodiments described above may be combined. Further, in the second and third embodiments described above, elements are added to the access information according to the first embodiment, but the added elements are not limited to those described in the second and third embodiments. .
  • files sent from the communication partner via the network NW remote operation information such as remote RUN to remotely start the PLC 100 and remote STOP to remotely stop the PLC 100, and changes in network settings such as the IP address.
  • the access information may include one or more of the information indicating the clock data and the information indicating the change of the clock data.
  • the access information indicates both the time at which the access was made and the time segment that includes the time
  • the access information may indicate either the time or the time segment.
  • the functions of the PLC 100 according to the embodiments described above can be realized by dedicated hardware or by a normal computer system.
  • program P1 is stored and distributed in a computer-readable recording medium such as a flexible disk, CD-ROM (Compact Disk Read-Only Memory), DVD (Digital Versatile Disk), or MO (Magneto-Optical disk).
  • a computer-readable recording medium such as a flexible disk, CD-ROM (Compact Disk Read-Only Memory), DVD (Digital Versatile Disk), or MO (Magneto-Optical disk).
  • the program P1 may be stored in a disk device included in a server device on a communication network such as the Internet, and may be downloaded to a computer by being superimposed on a carrier wave, for example.
  • the above-described processing can also be achieved by starting and executing the program P1 while transferring it via a network such as the Internet.
  • the above processing can also be achieved by executing all or part of the program P1 on a server device, and executing the program P1 while the computer transmits and receives information regarding the processing via a communication network. .
  • the means for realizing the functions of the PLC 100 is not limited to software, and part or all of it may be realized by dedicated hardware or circuits.
  • the present disclosure is suitable for improving the security performance of systems operated at FA sites.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Abstract

ＰＬＣ（１００）は、ネットワーク（ＮＷ）を介して外部からのアクセスを受け付けて通信する通信部（１１）と、通信部（１１）によって受け付けられたアクセスの履歴から、他のアクセスより頻度が低い例外アクセスを判別するためのモデルを学習する学習部（１５）と、学習部（１５）によって学習されたモデルを用いて、通信部（１１）によって受け付けられた新たなアクセスから例外アクセスを検知する検知部（１６）と、検知部（１６）によって検知された例外アクセスを処理する処理部（１８）と、を備える。

Description

プログラマブルコントローラ、例外アクセス学習方法及びプログラム
　本開示は、プログラマブルコントローラ、例外アクセス学習方法及びプログラムに関する。
　近年、ＦＡの現場において活用されるネットワークを含むシステムのセキュリティについて注目されており、関連する技術も提案されている（例えば、特許文献１を参照）。特許文献１には、ＰＬＣ（Programmable Logic Controller）の脆弱性を利用された攻撃に対処するためのセキュリティパッチについて記載されている。
特表２０１９－５２７８７７号公報
　特許文献１の技術では、例えばデータの単なる読み出し又は書き込みのように、ＰＬＣの脆弱性とは関係のないアクセスを悪用したＤｏＳ（Denial of Service）のような攻撃手法への対処については何ら考慮されていない。このようなアクセスが許可される状況では、結果的に攻撃者にＰＬＣ内のデータを読み取られ、あるいは不正なデータが書き込まれてしまい、ＰＬＣが誤作動を起こすおそれもある。したがって、不正なアクセスに対するＰＬＣの耐性を向上させる余地がある。
　本開示は、上述の事情の下になされたもので、不正なアクセスに対するＰＬＣの耐性を向上させることを目的とする。
　上記目的を達成するため、本開示のプログラマブルコントローラは、ネットワークを介して外部からのアクセスを受け付けて通信する通信手段と、通信手段によって受け付けられたアクセスの履歴から、他のアクセスより頻度が低い例外アクセスを判別するためのモデルを学習する学習手段と、学習手段によって学習されたモデルを用いて、通信手段によって受け付けられた新たなアクセスから例外アクセスを検知する検知手段と、検知手段によって検知された例外アクセスを処理する処理手段と、を備える。
　本開示によれば、検知手段が例外アクセスを検知して、処理手段が例外アクセスを処理する。不正なアクセスは、通常の運用において発生するアクセスに比して発生頻度が低いため、例外アクセスを処理することで不正なアクセスに対処することができる。したがって、不正なアクセスに対するＰＬＣの耐性を向上させることができる。
実施の形態１に係るＰＬＣシステムの構成を示す図 実施の形態１に係るＦＡ装置のハードウェア構成を示す図 実施の形態１に係る記憶部に記憶される情報の一例を示す図 実施の形態１に係る共有部によって共有されるブロックを示す図 実施の形態１に係るブロックの構成を示す第２の図 実施の形態１に係る学習部による学習について説明するための図 実施の形態１に係るＰＬＣ処理を示すフローチャート 実施の形態１に係るアクセス情報記録処理を示すフローチャート 実施の形態１に係る共有処理を示すフローチャート 実施の形態１に係るノード間の通信を示す図 実施の形態１に係る仮トランザクション生成処理を示すフローチャート 実施の形態１に係る依頼ノード処理を示すフローチャート 実施の形態１に係る受信ノード処理を示すフローチャート 実施の形態１に係る管理ノード処理を示すフローチャート 実施の形態１に係る学習処理を示すフローチャート 実施の形態１に係る検知処理を示すフローチャート 実施の形態２に係るアクセス情報を示す図 実施の形態３に係るアクセス情報を示す図
　以下、本開示の実施の形態に係るデータ収集システムについて、図面を参照しつつ詳細に説明する。
　実施の形態１．
　本実施の形態に係るＰＬＣ（Programmable Logic Controller）システム１０００は、工場においてネットワークを介して機器を制御する制御システムとして構築される。ＰＬＣシステム１０００は、例えば、製造ライン、加工ライン、検査ライン、その他の処理工程を実施するためのＦＡシステムである。ＰＬＣシステム１０００では、各装置が、外部からのアクセスを記録して分散型台帳の形式で共有し、例外的なアクセスを判別するためのモデルを、共有した記録に基づいて学習する。そして、学習されたモデルを用いて例外的なアクセスが検知されると、当該アクセスに対する処理が実行される。
　ＰＬＣシステム１０００は、図１に示されるように、ネットワークＮＷを介して互いに接続されるＰＬＣ１０１，１０２，１０３と、ＰＬＣ１０１のユーザインタフェース端末として機能する支援装置２０と、を有する。ネットワークＮＷは、産業用ネットワークであってもよいし、情報ネットワークであってもよい。ネットワークＮＷでは、例えば、ＴＣＰ（Transmission Control Protocol）／ＩＰ（Internet Protocol）に従ってパケットが伝送される。支援装置２０及びＰＬＣ１０１は、ＵＳＢ（Universal Serial Bus）ケーブルのような通信線、又はＬＡＮ（Local Area Network）のようなネットワークを介して接続される。
　ＰＬＣ１０１，１０２，１０３はそれぞれ、同等の構成要素を有し、同等の機能を発揮する。図１では、ＰＬＣ１０１の構成が詳細に示されており、ＰＬＣ１０２，１０３の構成は簡略化されている。以下では、ＰＬＣ１０１，１０２，１０３を区別することなくＰＬＣ１００と表記することがある。
　ＰＬＣ１００は、ラダープログラムに代表される制御プログラムを実行することにより不図示の機器を制御する制御装置である。ＰＬＣ１００は、他のＰＬＣ１００と協調して機器を制御してもよい。例えば、ＰＬＣ１０１が、センサによるセンシング結果を取得して、このＰＬＣ１０１又はＰＬＣ１０２が、センシング結果に基づく動作指令をアクチュエータに出力することで、ベルトコンベア上のワークが搬送される。ＰＬＣ１００は、プログラマブルコントローラの一例に相当する。
　支援装置２０は、産業用ＰＣ（Personal Computer）であって、ＰＬＣ１００に実行させる制御プログラムを作成及び編集してＰＬＣ１００に書き込むためのエンジニアリングツールと呼ばれるアプリケーションソフトウェアを有する。
　ＰＬＣ１００及び支援装置２０はそれぞれ、コンピュータとして機能するためのハードウェア要素によって構成される。詳細には、図２に示されるように、ＰＬＣ１００及び支援装置２０のそれぞれに相当するＦＡ装置３０は、プロセッサ３１と、主記憶部３２と、補助記憶部３３と、入力部３４と、出力部３５と、通信部３６と、を有する。主記憶部３２、補助記憶部３３、入力部３４、出力部３５及び通信部３６はいずれも、内部バス３７を介してプロセッサ３１に接続される。
　プロセッサ３１は、処理回路としてのＣＰＵ（Central Processing Unit）を含む。プロセッサ３１は、補助記憶部３３に記憶されるプログラムＰ１を実行することにより、種々の機能を実現して、後述の処理を実行する。なお、支援装置２０のプログラムＰ１は、上述のエンジニアリングツールに相当する。また、ＰＬＣ１００のプロセッサ３１は、プログラムＰ１に加えて、上述の制御プログラムを実行する。
　主記憶部３２は、ＲＡＭを含む。主記憶部３２には、補助記憶部３３からプログラムＰ１がロードされる。そして、主記憶部３２は、プロセッサ３１の作業領域として用いられる。
　補助記憶部３３は、ＥＥＰＲＯＭ（Electrically Erasable Programmable Read-Only Memory）及びＨＤＤ（Hard Disk Drive）に代表される不揮発性メモリを含む。補助記憶部３３は、プログラムＰ１の他に、プロセッサ３１の処理に用いられる種々のデータを記憶する。補助記憶部３３は、プロセッサ３１の指示に従って、プロセッサ３１によって利用されるデータをプロセッサ３１に供給する。また、補助記憶部３３は、プロセッサ３１から供給されたデータを記憶する。
　入力部３４は、ハードウェアスイッチ、入力キー、キーボード及びポインティングデバイスに代表される入力デバイスを含む。入力部３４は、ＦＡ装置３０のユーザによって入力された情報を取得して、取得した情報をプロセッサ３１に通知する。
　出力部３５は、ＬＥＤ（Light Emitting Diode）、ＬＣＤ（Liquid Crystal Display）及びスピーカに代表される出力デバイスを含む。出力部３５は、プロセッサ３１の指示に従って種々の情報をユーザに提示する。
　通信部３６は、外部の装置と通信するための通信インタフェース回路を含む。通信部３６は、外部から信号を受信して、この信号により示されるデータをプロセッサ３１へ出力する。また、通信部３６は、プロセッサ３１から出力されたデータを示す信号を外部の装置へ送信する。なお、図２では１つの通信部３６が代表的に示されているが、ＦＡ装置３０は、複数の通信部３６を有してもよい。例えば、ＰＬＣ１０１であるＦＡ装置３０は、支援装置２０と通信するための通信部３６と、ネットワークＮＷを介して通信するための通信部３６と、を別個に有してもよい。
　上述のハードウェア構成が協働することにより、ＰＬＣ１００及び支援装置２０は、種々の機能を発揮する。詳細には、ＰＬＣ１０１は、図１に示されるように、その機能として、ネットワークＮＷを介して外部からのアクセスを受け付けて通信する通信部１１と、通信部１１によって受信されたパケットを加工してアクセスに関するアクセス情報を生成する加工部１２と、アクセス情報を蓄積して記憶する記憶部１３と、アクセス情報をＰＬＣ１０２，１０３と共有する共有部１４と、アクセス情報に基づいて例外的なアクセスを判別するためのモデルを学習する学習部１５と、学習されたモデルに基づいて例外的なアクセスを検知する検知部１６と、例外的なアクセスをユーザに報知する報知部１７と、例外的なアクセスを処理する処理部１８と、を有する。
　通信部１１は、主としてＰＬＣ１０１のプロセッサ３１及び通信部３６の協働により実現される。通信部１１によるアクセスの受け付けは、ネットワークＮＷを介してＰＬＣ１０１自体が宛先として指定されたパケットを受信することを意味する。図１において、通信部１１にアクセスする装置としてＰＬＣ１０２，１０３が示されているが、不図示の装置がネットワークＮＷを介して通信部１１にアクセスし得る。また、通信部１１は、必要に応じてパケットをネットワークＮＷへ送信する。通信部１１は、ＰＬＣ１００において、ネットワークを介して外部からアクセスを受け付ける通信手段の一例に相当する。
　加工部１２は、主としてＰＬＣ１０１のプロセッサ３１によって実現される。加工部１２は、通信部１１からパケットの提供を受けて、当該パケットを加工して、通信部１１へのアクセスに関するアクセス情報を生成する。
　アクセス情報は、アクセスをした通信装置をネットワークＮＷ上で識別するための識別情報と、アクセスがなされた時刻及び当該時刻を含む予め定められた時間区分の少なくとも一方と、を含む。例えば、アクセス情報は、図３に示される送信アクセス情報１３１を構成する１つの行に相当するレコードであって、アクセスの時刻としてのパケット受理日時と、識別情報としての送信元ＩＰアドレスと、パケットで指定されるポート番号と、受理日時を含む秒単位の時間区分と、アクセスの頻度に相当する速度と、を関連付けて示す。
　時間区分の長さは、図３の例では１秒間であるが、これには限定されず、任意に変更してもよい。なお、図３中の「２０２２０１１８－１３１３１０」は、２０２０年１月１８日の１３時１３分１０秒から１１秒までの１秒間の区間を表す。速度は、時間区分において発生したアクセスで受信されたパケットのサイズをｂｐｓ（bit per second）単位で示す。時間区分の長さが１秒間であるため、速度は、図３ではパケットのサイズに等しい。ここで、１つの時間区分において受信されたパケットのサイズは、パケットを構成する各ビット値の通信部１１によって受信された合計に等しい。すなわち、速度は、１つの時間区分において各ビット値のアクセスが発生した頻度に相当するといえる。なお、１つのパケットの受信が１つの時間区分内で完了しない場合も有り得るが、当該パケットを構成するすべてのビット値が、当該パケットの受理日時において受信されたものとして扱ってもよい。
　記憶部１３は、主としてＰＬＣ１０１の主記憶部３２及び補助記憶部３３の少なくとも一方によって実現される。記憶部１３は、図３に示されるように、加工部１２によって生成されたアクセス情報の集合である送信アクセス情報１３１と、ＰＬＣ１０２，１０３によって生成されてＰＬＣ１０２，１０３から受信される受信アクセス情報１３２と、をアクセスの履歴として記憶する。
　送信アクセス情報１３１は、ＰＬＣ１００間で共有するために、ＰＬＣ１０１からＰＬＣ１０２，１０３に対して送信される。受信アクセス情報１３２は、ＰＬＣ１０１以外のＰＬＣ１０２，１０３へのアクセスを示す情報であって、ＰＬＣ１００間で共有するために、ＰＬＣ１０１によってＰＬＣ１０２，１０３から受信される。送信アクセス情報１３１及び受信アクセス情報１３２においては、図３に示されるようにアクセス情報に番号が付与されてもよい。
　送信アクセス情報１３１は、第１アクセス情報の一例に相当し、受信アクセス情報１３２は、第２アクセス情報の一例に相当する。
　図１に戻り、共有部１４は、主としてＰＬＣ１０１のプロセッサ３１及び通信部３６の協働により実現される。共有部１４は、記憶部１３に記憶される送信アクセス情報１３１及び受信アクセス情報１３２を、ＰＬＣ１０２，１０３と分散型台帳の形式で共有する。詳細には、共有部１４は、図４に示されるように、ブロックヘッダ４１及びトランザクション部４２を含むブロック４０が、１つ前のブロック４０と連結して順次生成される形式で、情報を共有する。
　ブロックヘッダ４１は、図５に示されるように、前回生成されたブロック４０のブロックヘッダ４１のヘッダハッシュ値４１２に等しい前回ヘッダハッシュ値４１１と、ブロックヘッダ４１自体に含めるデータのハッシュ値であるヘッダハッシュ値４１２と、ブロック４０が生成された日時を示す生成日時情報４１３と、を有する。また、トランザクション部４２は、前回のブロック４０のトランザクション部４２の出力アクセス情報４２２を含む入力アクセス情報４２１と、ブロック４０において追加されるアクセス情報が格納される出力アクセス情報４２２と、入力アクセス情報４２１及び出力アクセス情報４２２の署名４２３と、を含む。
　共有すべきアクセス情報を出力アクセス情報４２２として含む新たに連結すべきブロック４０の追加がＰＬＣ１００間で共有されることで、アクセス情報が共有される。詳細には、ＰＬＣ１０１から提供される送信アクセス情報１３１を含むブロック４０が追加されることで、ＰＬＣ１０１の送信アクセス情報１３１をＰＬＣ１０２，１０３が取得し、当該送信アクセス情報１３１がＰＬＣ１０２，１０３に対して共有される。また、ＰＬＣ１０２又はＰＬＣ１０３から提供されるアクセス情報を含むブロックが追加されることで、ＰＬＣ１０２又はＰＬＣ１０３において記録されたアクセス情報をＰＬＣ１０１が取得し、当該アクセス情報が受信アクセス情報１３２としてＰＬＣ１０１によって共有される。
　なお、入力アクセス情報４２１は、前回のブロック４０の出力アクセス情報４２２を加工した情報を含んでもよい。また、入力アクセス情報４２１は、前回のブロック４０のトランザクション部４２のＩＤ（Identifier）及びそのトランザクション部４２に含まれる出力アクセス情報４２２を加工した情報であってもよい。
　共有部１４は、ＰＬＣ１０１の主記憶部３２及び補助記憶部３３の少なくとも一方により、記憶部１３とは異なる記憶装置として機能してもよい。すなわち、共有部１４は、順次連結されるブロック４０を記憶し、このブロック４０のうちの出力アクセス情報４２２を記憶部１３と同期してもよい。
　分散型台帳のブロックを連結する方式としては、プライベートチェーン、コンソーシアムチェーン、及びパブリックチェーンの３種類が知られている。ここで、アクセス情報を外部の第三者に公開したくないユーザがＰＬＣ１００を使用する場面においては多数であり、分散型台帳に参加するＰＬＣ１００を個別に設定可能であるため、プライベートチェーン又はコンソーシアムチェーンを採用することが好ましい。共有部１４は、ＰＬＣ１００において、送信アクセス情報１３１及び受信アクセス情報１３２を分散型台帳の形式で他のプログラマブルコントローラと共有する共有手段の一例に相当する。
　図１に戻り、学習部１５は、主としてＰＬＣ１０１のプロセッサ３１によって実現される。学習部１５は、記憶部１３に記憶されるアクセス情報から、他のアクセスより頻度が低い例外アクセスを判別するためのモデルを学習する。例えば、学習部１５は、個々のアクセス情報から特徴量を抽出して、特徴量の分布を正規分布でフィッティングする。図６には、正規分布のフィッティングによるモデルの学習が模式的に示されている。
　図６の例では、個々のアクセス情報から抽出される第１特徴量及び第２特徴量によって規定されるサンプリング点が塗りつぶされた丸印及び白抜きの丸印で示されている。第１特徴量及び第２特徴量は、例えば、アクセス情報によって示される送信元ＩＰアドレス又は当該ＩＰアドレスのグループ、並びに、ポート番号又は当該ポート番号のグループであってもよいし、アクセス情報から算出される他の任意の特徴量であってもよい。また、これらのサンプリング点をフィッティングした正規分布の３σが領域５０として示されている。通常、多く観測されるアクセスは、領域５０内の塗りつぶされた丸印で示されるサンプリング点５１に対応し、例外的なアクセスは、領域５０外の白抜きの丸印で示されるサンプリング点５２に対応する。ここで、領域５０に含まれるか否かにより例外アクセスを判別することとすれば、領域５０が、例外アクセスを判別するためのモデルに相当する。図６の例では、例外アクセスは、他のアクセスよりも低い頻度で抽出される特徴量を有するアクセスであって、他のアクセスから高い頻度で抽出される特徴量の範囲外の特徴量を有するアクセスといえる。
　なお、学習部１５による学習の手法を任意に変更してもよい。ただし、学習の手法の分類として知られている、教師なし学習、教師あり学習、及び強化学習の３種類のうちの、個々のアクセスが例外アクセスに相当するか否かを知ることができない状況下においても、パラメータのチューニングにより例外アクセスを判別することが可能な教師なし学習を採用することが望ましい。また、通常、ネットワークＮＷを介するアクセスは正常であるものが多く不正アクセスの件数は正常なアクセスと比べて極端に少ないという点でも、教師なし学習が好ましい。例外アクセスか否かの正しいラベルを予め個々のアクセス情報に付与する教師が存在する場合には、教師あり学習が採用されてもよい。また、モデルを適用して例外アクセスを検知した結果としての報酬を設計することができる場合には、強化学習が採用されてもよい。
　また、学習部１５は、時間区分ごとに異なるモデルを学習してもよい。例えば、学習部１５は、図６に例示される第１特徴量を送信元ＩＰアドレスとし、第２特徴量をポート番号として、時間区分ごとに、異なる領域５０をモデルとして学習してもよい。また、学習部１５は、図６に例示される第１特徴量を送信元ＩＰアドレスとし、第２特徴量をポート番号として、時間区分ごとに、異なる領域５０をモデルとして学習してもよい。また、１日間又は１月間のような比較的長い時間区分において生じた複数のアクセスに基づいて、学習部１５が当該時間区分において用いられるモデルを学習し、将来における同一の日付又は暦上の同一の月において当該モデルを用いて例外アクセスが検知されてもよい。また、１分間又は１時間のような比較的短い時間区分において生じるアクセスを１日又は複数日で収集してから学習部１５がモデルを学習した後に、新たなアクセスが生じた時間区分に対応する学習済みモデルを用いて、当該新たなアクセスが例外アクセスであるか否かが判定されてもよい。学習部１５は、ＰＬＣ１００において、例外アクセスを判別するためのモデルを学習する学習手段の一例に相当する。
　図１に戻り、検知部１６は、主としてＰＬＣ１０１のプロセッサ３１によって実現される。検知部１６は、学習部１５によって学習されたモデルを用いて、記憶部１３に記憶されるアクセス情報により示されるアクセスから、例外アクセスを検知する。
　例えば、図６に示される領域５０によって例外アクセスを判別する場合には、過去において生じたアクセスに対応するサンプリング点５２が領域５０外に位置するため、検知部１６は、当該アクセスを例外アクセスとして検知する。また、サンプリング点５２と同様のアクセス又はサンプリング点５２に類似するアクセスが将来において生じたときに、検知部１６は、当該アクセスを例外アクセスとして検知する。ここで、過去は、モデルの学習前を意味し、将来は、モデルの学習後を意味する。サンプリング点５２に類似するアクセスは、図６においては、サンプリング点５２の近傍に位置する不図示の新たな点に対応する。さらに、検知部１６は、過去において生じたいずれのアクセスとも類似しないサンプリング点５３についても、領域５０を用いて例外アクセスとして検知する。このように、モデルは、未知のアクセスについても例外アクセスであるか否かを判別可能であることが好ましい。
　なお、アクセスに対応するサンプリング点の分布に基づいて、他のアクセスより頻度が少ない例外アクセスを判別するためのモデルを例示したが、これには限定されない。例えば、図３に示される速度に対応する重みをサンプリング点に乗じてもよい。また、速度としての頻度を特徴量として、当該特徴量が閾値より小さいアクセスを例外アクセスとして判別してもよい。特徴量の種類は、１つであってもよいし、３つより多くてもよい。検知部１６は、ＰＬＣ１００において、通信手段によって受け付けられた新たなアクセスから例外アクセスを検知する検知手段の一例に相当する。
　図１に戻り、報知部１７は、主としてＰＬＣ１０１のプロセッサ３１及び出力部３５の協働により実現される。報知部１７は、検知部１６による検知の結果をユーザインタフェースに対して報知することにより、当該ユーザインタフェースを介してユーザに報知してもよい。ここで、ユーザインタフェースは、出力部３５を構成する出力デバイスであってもよいし、ユーザインタフェース端末としての支援装置２０であってもよい。
　処理部１８は、主としてＰＬＣ１０１のプロセッサ３１によって実現される。処理部１８は、検知部１６による検知の結果に応じて、通信部３６によって受信されたパケットを処理する。詳細には、処理部１８は、例外アクセスでないアクセスを透過して、当該アクセスに基づく処理を開始する。例えば、処理部１８は、ＰＬＣ１０１に保存されているデータの読み出しを要求するアクセスに基づいて、当該データを読み出して通信部１１に応答させる。また、処理部１８は、ＰＬＣ１０１へのデータの書き込みを要求するアクセスに基づいて、当該データを書き込んで、書き込み完了の旨を通信部１１に応答させる。
　一方、処理部１８は、例外アクセスを遮断する。詳細には、処理部１８は、データの読み出しを要求する例外アクセスに対して、データを読み出し及び応答の双方をすることなく、パケットを破棄する。また、データの書き込みを要求する例外アクセスに対して、データを書き込むことなく、パケットを破棄する。さらに、処理部１８は、例外アクセスがあったことを記録してもよいし、報知部１７に報知させてもよい。処理部１８は、ＰＬＣ１００において、検知手段によって検知された例外アクセスを処理する処理手段の一例に相当する。
　支援装置２０は、ＰＬＣ１０１の学習部１５による学習のパラメータを設定するための設定部２１と、共有部１４によって共有されている情報をユーザに対して表示する表示部２２と、を有する。
　設定部２１は、主として支援装置２０のプロセッサ３１及び通信部３６によって実現される。設定部２１は、学習速度及び例外アクセスの判別精度に関するパラメータをユーザから受け付けて学習部１５に設定する。表示部２２は、主として支援装置２０の出力部３５によって実現される。
　続いて、上述の機能を有するＰＬＣ１００によって実行されるＰＬＣ処理について、図７～１６を用いて説明する。
　図７に示されるＰＬＣ処理は、ＰＬＣ１００の電源が投入されることで開始する。なお、ＰＬＣ処理に含まれる各ステップの関係を明確にするために、ステップが順に実行されるものとして図示しているが、これには限定されず、各ステップが並列に実行されてもよい。
　ＰＬＣ処理では、ＰＬＣ１００が、学習部１５に対するパラメータを支援装置２０から受け付けて（ステップＳ１）、学習部１５に設定する。パラメータは、定量的な値であってもよいし、学習速度についての「速く」又は「緩やか」という分類、若しくは判別精度についての「緩く」又は「厳しく」という分類のような定性的な値であってもよい。そして、ＰＬＣ１００の外部からのアクセスに基づいてアクセス情報を記録するアクセス情報記録処理と（ステップＳ２）、アクセス情報を共有する共有処理と（ステップＳ３）、アクセス情報に基づいてモデルを学習する学習処理と（ステップＳ４）、モデルを用いて例外アクセスを検知する検知処理と（ステップＳ５）、を繰り返し実行する。以下、これらステップＳ２～Ｓ５の処理の詳細について順に説明する。
　ステップＳ２のアクセス情報記録処理では、図８に示されるように、ＰＬＣ１００が保持している記録トリガがＯＮ状態であるか否かをプロセッサ３１が判定する（ステップＳ２１）。記録トリガは、ＯＮ状態又はＯＦＦ状態の値を有するフラグであって、ユーザにより又は外部のアプリケーションソフトウェアにより値が設定される。記録トリガがＯＮ状態でないと判定された場合（ステップＳ２１；Ｎｏ）、ＰＬＣ１００による処理は、図８のアクセス情報記録処理から図７のＰＬＣ処理に戻る。
　一方、記録トリガがＯＮ状態であると判定された場合（ステップＳ２１；Ｙｅｓ）、加工部１２は、通信部１１によって通信データとして受信されたパケットの受理日時から当該受理日時を含む時間区分を演算する（ステップＳ２２）。図３に示されたように時間区分の長さが１秒間である場合には、加工部１２は、受理日時の秒数の小数点以下を切り捨てればよい。また、受理日時の単位と時間区分の単位が異なる場合には、加工部１２は、単位の換算も実行する。
　次に、加工部１２は、アクセス速度を演算する（ステップＳ２３）。図３の例では、加工部１２は、パケットのサイズを速度として求める。そして、加工部１２は、ステップＳ２２で算出された時間区分とステップＳ２３で算出されたアクセス速度に、通信相手の識別情報及びポート番号を追加することでアクセス情報を生成する（ステップＳ２４）。具体的には、加工部１２は、時間区分及びアクセス速度に、パケットの送信元を示すＩＰアドレスとパケットで指定されるポート番号を関連付けたアクセス情報を作成する。
　次に、加工部１２は、ステップＳ２４で生成したアクセス情報を記録する（ステップＳ２５）。具体的には、加工部１２は、生成したアクセス情報を記憶部１３の送信アクセス情報１３１の新たな行データとして追加する。その後、ＰＬＣ１００による処理は、図８のアクセス情報記録処理から図７に示されるＰＬＣ処理に戻る。
　ステップＳ３の共有処理では、図９に示されるように、ＰＬＣ１００が保持している共有トリガがＯＮ状態であるか否かを、共有部１４が判定する（ステップＳ３１）。共有トリガは、ＯＮ状態又はＯＦＦ状態の値を有するフラグであって、ユーザにより又は外部のアプリケーションソフトウェアにより値が設定される。共有トリガがＯＮ状態でないと判定された場合（ステップＳ３１；Ｎｏ）、ＰＬＣ１００による処理は、図９の共有処理から図７のＰＬＣ処理に戻る。
　一方、共有トリガがＯＮ状態であると判定された場合（ステップＳ３１；Ｙｅｓ）、共有部１４は、他のＰＬＣ１００に提供すべきアクセス情報を含む一時的な仮トランザクションを生成する仮トランザクション生成処理と（ステップＳ３２）、仮トランザクションを含むブロックをコミットすることの合意形成を依頼するノードとしての依頼ノード処理と（ステップＳ３３）、合意形成の依頼を受信するノードとしての受信ノード処理と（ステップＳ３４）、合意形成を管理するノードとしての管理ノード処理と（ステップＳ３５）、を実行する。これらの処理は、例えばＰＢＦＴ（Practical Byzantine Fault Tolerance）と呼ばれるアルゴリズムに従う。なお、仮トランザクション生成処理及び依頼ノード処理と、受信ノード処理と、管理ノード処理と、を並列に実行してもよい。ここで、依頼ノード、受信ノード及び管理ノードの関係について、図１０のシーケンス図を参照して説明する。
　図１０において、依頼ノード６１、管理ノード６２及び受信ノード６３はそれぞれ、ネットワークＮＷに接続されるＰＬＣ１００に相当する。複数のＰＬＣ１００のうちの１台のＰＬＣ１００が、新たに分散型台帳にコミットすべきデータが発生したと判断したタイミングで、依頼ノード６１として仮トランザクション生成処理及び依頼ノード処理を実行する。依頼ノード６１以外のＰＬＣ１００のうちの、特定の１台のＰＬＣ１００が、管理ノード６２として管理ノード処理を実行する。依頼ノード６１及び管理ノード６２以外のＰＬＣ１００は、受信ノード６３として受信ノード処理を実行する。このため、ＰＬＣ１００はそれぞれ、タイミングによって依頼ノード及び受信ノードのいずれにも該当し得る。
　管理ノード６２は、特定のＰＬＣ１００が担うものとして予め定められてもよい。例えば、ＰＬＣ１０１を管理ノード６２として予め決定しておき、ＰＬＣ１０１が依頼ノード６１となる場合にはＰＬＣ１０２が管理ノード６２を担うことが予め定められてもよい。また、予め定められたルールに従って依頼ノード６１以外のいずれか１台のＰＬＣ１００が管理ノード６２として都度選択されてもよい。例えば、依頼ノード６１は、ネットワークＮＷを介して通信可能なＰＬＣ１００のうちの、最小の値のＩＰアドレスを有するＰＬＣ１００を管理ノード６２として、当該管理ノード６２に合意形成を依頼してもよい。
　図１０に示されるように、依頼ノード６１は、仮トランザクション生成処理を実行して（ステップＳ３２）、生成した仮トランザクションを管理ノード６２に送信する（ステップＳ３０１）。管理ノード６２は、依頼ノード６１から受信した仮トランザクションを受信ノード６３に配布する（ステップＳ３０２）。
　次に、管理ノード６２及び受信ノード６３はそれぞれ、仮トランザクションに含まれる署名を検証する（ステップＳ３０３）。署名が正しいと判断すると、管理ノード６２及び受信ノード６３はそれぞれ、署名検証結果を依頼ノード６１以外のノードに配布して（ステップＳ３０４）、他のノードから配布された署名検証結果を受信する（ステップＳ３０５）。管理ノード６２及び受信ノード６３がそれぞれ、正しい署名検証結果を送信したノード数が閾値以上であることを確認することにより、管理ノード６２及び受信ノード６３は互いに、管理ノード６２によって仮トランザクションが変更されていないことを検証する。
　次に、管理ノード６２及び受信ノード６３はそれぞれ、仮トランザクションを依頼ノード６１以外のノードに配布して（ステップＳ３０６）、他のノードから配布された仮トランザクションを配布トランザクションとして受信する（ステップＳ３０７）。そして、管理ノード６２及び受信ノード６３はそれぞれ、ステップＳ３０２で受信した仮トランザクションと一致する配布トランザクションの数が閾値以上であることを確認する（ステップＳ３０８）。これにより、管理ノード６２及び受信ノード６３は互いに、受信した仮トランザクションが一致することを確認する。
　次に、管理ノード６２は、仮トランザクションを含むブロックを生成し、管理ノード６２の共有部１４が有する分散型台帳にコミットして（ステップＳ３０９）、コミット結果を依頼ノード６１に通知する（ステップＳ３１０）。同様に、受信ノード６３はそれぞれ、仮トランザクションを含むブロックを生成し、当該受信ノード６３の共有部１４が有する分散型台帳にコミットして（ステップＳ３０９）、コミット結果を依頼ノード６１に通知する（ステップＳ３１０）。
　依頼ノード６１は、コミット結果を通知したノード数が閾値以上であれば、管理ノード６２及び受信ノード６３によってブロックをコミットすることの合意が形成されたと判断し、仮トランザクションを含むブロックを生成して、依頼ノード６１の共有部１４が有する分散型台帳にコミットする（ステップＳ３１１）。これにより、依頼ノード６１、管理ノード６２及び受信ノード６３が互いに、ブロックをコミットしてよいか否かを検証した上で、分散型台帳にブロックがコミットされる。
　続いて、図９に示される仮トランザクション生成処理（ステップＳ３２）、依頼ノード処理（ステップＳ３３）、受信ノード処理（ステップＳ３４）、及び管理ノード処理（ステップＳ３５）それぞれの詳細について順に説明する。
　図１１に示される仮トランザクション生成処理（ステップＳ３２）は、主として依頼ノード６１の共有部１４によって実行される。仮トランザクション生成処理では、共有部１４が、他のノードに送信することにより共有すべきアクセス情報を決定する（ステップＳ３２１）。具体的には、共有部１４は、送信アクセス情報１３１に追加されたアクセス情報のうち、未だ分散型台帳にコミットされていないアクセス情報が一定数以上となったときに、当該アクセス情報を共有すべきアクセス情報として決定する。なお、共有すべきアクセス情報を決定する手法を任意に変更してもよい。例えば、共有部１４は、パケット受理日時を降順にして先頭に格納されている最新の日時のアクセス情報から処理してもよいし、送信アクセス情報１３１においてアクセス情報に付与された番号で昇順または降順にソートし先頭に格納されているアクセス情報から処理してもよい。共有部１４は、送信アクセス情報１３１のうちの予め定められた条件を満たすアクセス情報については、共有すべきアクセス情報から除外してもよい。また、通信部１１への１回のアクセスに基づいてアクセス情報が生成されるたびに、共有部１４は、当該アクセス情報を共有すべきアクセス情報として決定してもよい。
　次に、共有部１４は、生成すべき仮トランザクションの入力アクセス情報４２１として、分散型台帳に記録されている最新のブロック４０の出力アクセス情報４２２を挿入する（ステップＳ３２２）。そして、共有部１４は、ステップＳ３２１で共有すべきことが決定されたアクセス情報を、仮トランザクションの出力アクセス情報４２２として挿入する（ステップＳ３２３）。その後、共有部１４は、ステップＳ３２２で挿入した入力アクセス情報４２１及びステップＳ３２３で挿入した出力アクセス情報４２２についての署名を作成して挿入する（ステップＳ３２４）。署名は、入力アクセス情報４２１及び出力アクセス情報４２２を文字列として連結したものにハッシュ関数を適用して得るハッシュ値であるが、他の手法により得る情報を署名として採用してもよい。これにより、共有部１４は、ステップＳ３２２の入力アクセス情報４２１、ステップＳ３２３の出力アクセス情報４２２、及びステップＳ３２４の署名を含む仮トランザクションを生成する（ステップＳ３２５）。
　図１２に示される依頼ノード処理（ステップＳ３３）は、主として依頼ノード６１の共有部１４によって実行される。依頼ノード処理では、共有部１４が、合意形成を依頼すべき仮トランザクションがあるか否かを判定する（ステップＳ３３１）。仮トランザクションがないと判定された場合（ステップＳ３３１；Ｎｏ）、依頼ノード処理は終了し、ＰＬＣ１００による処理は、図９の共有処理に戻る。
　一方、仮トランザクションがあると判定した場合（ステップＳ３３１；Ｙｅｓ）、共有部１４は、管理ノード６２へ仮トランザクションを送信する（ステップＳ３３２）。このステップＳ３３２は、図１０のステップＳ３０１に対応する。
　次に、共有部１４は、ステップＳ３３２で送信した仮トランザクションが承認されたか否かを判定する（ステップＳ３３３）。具体的には、共有部１４は、仮トランザクションをコミットすることを承認したノード数が閾値以上であるか否かを判定する。このステップＳ３３３は、図１０のステップＳ３１０に対応する。
　次に、共有部１４は、仮トランザクションに付与すべきブロックヘッダ４１を生成して（ステップＳ３３４）、生成したブロックヘッダ４１と、トランザクション部４２としての仮トランザクションと、を含むブロック４０を生成する（ステップＳ３３５）。そして、共有部１４は、生成したブロック４０を分散型台帳にコミットする（ステップＳ３３６）。ステップＳ３３４～Ｓ３３６は、図１０のステップＳ３１１に対応する。
　図１３に示される受信ノード処理（ステップＳ３４）は、主として受信ノード６３の共有部１４によって実行される。受信ノード処理では、共有部１４が、仮トランザクションを受信したか否かを判定する（ステップＳ３４１）。図１０のステップＳ３０２が実行されて管理ノード６２から仮トランザクションが配布された場合に、このステップＳ３４１の判定が肯定される。
　仮トランザクションを受信したと判定した場合（ステップＳ３４１；Ｙｅｓ）、共有部１４は、受信した仮トランザクションの署名が正しいか否かを判定する（ステップＳ３４２）。具体的には、共有部１４は、仮トランザクションに含まれている署名と、仮トランザクションに含まれている入力アクセス情報４２１及び出力アクセス情報４２２から生成した署名と、が一致するか否かを判定し、一致する場合には当該署名が正しいことを確認した旨を依頼ノード６１以外に通知する。そして、共有部１４は、署名が正しいことを通知した他のノード数が閾値以上であるか否かを判定する。ステップＳ３４２は、図１０のステップＳ３０３～Ｓ３０５に対応する。
　仮トランザクションの署名が正しいと判定した場合（ステップＳ３４２；Ｙｅｓ）、共有部１４は、仮トランザクションを依頼ノード６１以外のノードに配布する（ステップＳ３４３）。このステップＳ３４３は、図１０のステップＳ３０６に対応する。
　次に、共有部１４は、仮トランザクションの配布先によってステップＳ３４３と同様のステップが実行された結果として、当該配布先から配布された仮トランザクションを配布トランザクションとして受信する（ステップＳ３４４）。このステップＳ３４４は、図１０のステップＳ３０７に対応する。
　次に、共有部１４は、ステップＳ３４１で受信した仮トランザクションと、ステップＳ３４４で受信した配布トランザクションと、が一致するか否かを判定する（ステップＳ３４５）。具体的には、共有部１４は、ステップＳ３４４で複数の配布先から受信した配布トランザクションそれぞれと、仮トランザクションとを比較して、仮トランザクションと一致する配布トランザクションの数が閾値を超えるか否かを判定する。このステップＳ３４５は、図１０のステップＳ３０８に対応する。
　仮トランザクションと配布トランザクションとが一致すると判定した場合（ステップＳ３４５；Ｙｅｓ）、共有部１４は、ブロックヘッダ４１を生成して仮トランザクションと合わせてブロック４０を生成する（ステップＳ３４６）。そして、共有部１４は、生成したブロック４０を、当該共有部１４の分散型台帳にコミットする（ステップＳ３４７）。これらのステップＳ３４６，Ｓ３４７は、図１０のステップＳ３０９に対応する。
　次に、共有部１４は、依頼ノード６１にコミット内容を送信する（ステップＳ３４８）。コミット内容の送信は、ステップＳ３４７でコミットしたブロック４０の送信であってもよいし、仮トランザクションを承認した旨の通知であってもよい。このステップＳ３４８は、図１０のステップＳ３１０に対応する。その後、ＰＬＣ１００による処理は、図９に示される共有処理に戻る。ステップＳ３４１，Ｓ３４２，Ｓ３４５の判定が否定された場合（ステップＳ３４１；Ｎｏ，ステップＳ３４２；Ｎｏ，ステップＳ３４５；Ｎｏ）、共有部１４が仮トランザクションを承認することなく、ＰＬＣ１００による処理は、図９に示される共有処理に戻る。
　図１４に示される管理ノード処理（ステップＳ３５）は、主として管理ノード６２の共有部１４によって実行される。管理ノード処理では、共有部１４が、当該共有部１４を有するＰＬＣ１００が管理ノードであるか否かを判定する（ステップＳ３５１）。管理ノードであると判定した場合（ステップＳ３５１；Ｙｅｓ）、共有部１４は、仮トランザクションを受信したか否かを判定する（ステップＳ３５２）。図１０のステップＳ３０１が実行された場合には、ステップＳ３５２の判定が肯定される。
　仮トランザクションを受信したと判定した場合（ステップＳ３５２；Ｙｅｓ）、共有部１４は、仮トランザクションを受信ノード６３に配布する（ステップＳ３５３）。このステップＳ３５３は、図１０のステップＳ３０２に対応する。
　ステップＳ３５３以降、共有部１４は、受信ノード処理におけるステップＳ３４２～Ｓ３４８と同様のステップＳ３５４～Ｓ３５１０を実行する。なお、ステップＳ３５１，Ｓ３５２の判定が否定された場合（ステップＳ３５１；Ｎｏ，Ｓ３５２；Ｎｏ）、共有部１４が仮トランザクションを承認することなく、ＰＬＣ１００による処理は、図９に示される共有処理に戻る。
　図９に示されるように、管理ノード処理が終了すると、ＰＬＣ１００による処理は、図７のＰＬＣ処理に戻り、続いて学習処理（ステップＳ４）が実行される。
　ステップＳ４の学習処理では、図１５に示されるように、ＰＬＣ１００が保持している学習トリガがＯＮ状態であるか否かを、学習部１５が判定する（ステップＳ４１）。学習トリガは、ＯＮ状態又はＯＦＦ状態の値を有するフラグであって、ユーザにより又は外部のアプリケーションソフトウェアにより値が設定される。学習トリガがＯＮ状態でないと判定された場合（ステップＳ４１；Ｎｏ）、ＰＬＣ１００による処理は、図１５の学習処理から図７のＰＬＣ処理に戻る。
　一方、学習トリガがＯＮ状態であると判定した場合（ステップＳ４１；Ｙｅｓ）、学習部１５は、未学習のアクセス情報を記憶部１３から読み出す（ステップＳ４２）。具体的には、学習部１５は、過去に学習の対象とされていないアクセス情報を送信アクセス情報１３１及び受信アクセス情報１３２から抽出する。
　次に、学習部１５は、アクセス情報を学習に適した形式に変換する変換処理を実行する（ステップＳ４３）。変換処理は、図６に示される特徴量の抽出であってもよい。また、アクセス情報に含まれる各要素について、その要素の値の範囲が異なるため、各要素の正規化又は標準化を変換処理として実行してもよい。例えば、ＩＰアドレスの値の範囲と、速度として有り得る値の範囲と、の双方を正規化してゼロから１までの範囲に変換してもよい。また，学習データが増加すると学習モデル更新の際の演算量が指数的に増えることがあるため、学習モデル更新時の演算量を抑えるための変換を施してもよい。
　次に、学習部１５は、ステップＳ４３で形式が変換されたアクセス情報に基づいてモデルを更新する（ステップＳ４４）。その後、ＰＬＣ１００による処理は、図１５の学習処理から図７のＰＬＣ処理に戻る。
　ステップＳ５の検知処理では、図１６に示されるように、ＰＬＣ１００が保持している検知トリガがＯＮ状態であるか否かを、検知部１６が判定する（ステップＳ５１）。検知トリガは、ＯＮ状態又はＯＦＦ状態の値を有するフラグであって、ユーザにより又は外部のアプリケーションソフトウェアにより値が設定される。検知トリガがＯＮ状態でないと判定された場合（ステップＳ５１；Ｎｏ）、ＰＬＣ１００による処理は、図１６の検知処理から図７のＰＬＣ処理に戻る。
　一方、検知トリガがＯＮ状態であると判定された場合（ステップＳ５１；Ｙｅｓ）、加工部１２は、通信部１１によって新たに受信された通信データとしてのパケットをアクセス情報に加工して（ステップＳ５２）、記憶部１３に格納する。
　そして、検知部１６は、ステップＳ５２で生成されたアクセス情報に対して、図１５のステップＳ４３と同様の変換処理を施した上で（ステップＳ５３）、学習部１５によって学習されたモデルを適用することにより（ステップＳ５４）、当該アクセス情報により示されるアクセスが例外アクセスであるか否かを判定する（ステップＳ５５）。
　例外アクセスでないと判定された場合（ステップＳ５５；Ｎｏ）、処理部１８は、当該アクセスについて正常アクセス処理を実行する（ステップＳ５６）。例えば、処理部１８は、当該アクセスにより要求されているデータの読み出し又は書き込みを実行する。その後、ＰＬＣ１００による処理は、図１６の検知処理から、図７のＰＬＣ処理に戻る。
　一方、例外アクセスであると判定された場合（ステップＳ５５；Ｙｅｓ）、処理部１８が、この例外アクセスを遮断して（ステップＳ５７）、報知部１７に、例外アクセスがあった旨をユーザインタフェースに報知させる（ステップＳ５８）。その後、ＰＬＣ１００による処理は、図１６の検知処理から、図７のＰＬＣ処理に戻る。
　以上、説明したように、例外アクセスが新たに受け付けられた場合には、処理部１８が、例外アクセスについて通常のアクセスとは異なる処理として、例外アクセスの遮断及びユーザインタフェースへの報知を実行する。このため、例外的に発生する不正なアクセスについては、通常とは異なる処理をすることにより小さな処理負荷で対処することができる。したがって、ＰＬＣシステム１０００において不正なアクセスが発生した場合の可用性を向上させることができる。
　例えば、ネットワークＮＷ上の信頼される装置を予めホワイトリストに登録し、当該装置からのアクセスは正当なものとして扱うＩＰフィルタリングのような既存の手法が知られている。しかしながら、そのような装置が乗っ取られた又は踏み台とされた場合、若しくはＩＰのなりすましによるアクセスには、上述のような既存の手法ではＰＬＣ１００を十分に保護することが難しい。これに対して、アクセスの頻度に着目して例外アクセスに対処すれば、不正なアクセスからＰＬＣ１００を保護することができる。
　また、上述のような既存の手法では、当初設定した内容に従ってアクセスをフィルタリングすることとなる。これに対して、本実施の形態に係るＰＬＣ１００によれば、学習部１５によるモデルの学習が繰り返されるため、ネットワークＮＷで発生するアクセスに適応して例外アクセスを検知することができる。
　また、ＰＬＣ間の合意形成がＰＢＦＴと呼ばれるアルゴリズムに従ってなされる例を説明した。ＰＢＦＴに従えば、分散型台帳は、分散型台帳に参加するノードに障害が発生して当該ノードが分散型台帳を更新することができないという障害、及び、外部の攻撃者によってトランザクションが書き換えられるという障害に対する耐性を有する。また、障害許容ノード数を予め設定し、このノード数から逆算して分散型台帳に参加するノード数を設定してもよい。障害許容ノード数をｆとすると、分散形台帳に参加するノードの数は３ｆ＋１となる必要がある。例えば、ｆが１であれば、図１０に示されるように４つのノードが参加する必要がある。
　なお、アクセス情報が格納される記憶部１３がＰＬＣ１００を構成する例について説明したが、アクセス情報は、ＮＡＳ（Network Attached Storage）及びＰＬＣ１００に挿抜可能なメモリカードのような、ＰＬＣ１００の外部の記憶装置に格納されてもよい。
　また、学習部１５による学習の手法として、上述した手法とは異なる手法を採用してもよい。例えば、比較的演算量が少なく異常の検知が可能なＯｎｅ　Ｃｌａｓｓ　ＳＶＭ（Support Vector Machine）を採用してもよい。将来的に演算リソースの制約がなくなったときにはｋ近傍法又はｋ平均法のような手法を採用してもよい。また、ディープニューラルネットワーク、畳み込みニューラルネットワーク、又はリカレントニューラルネットワークを学習手法として採用してもよい。
　実施の形態２．
　続いて、実施の形態２について、上述の実施の形態１との相違点を中心に説明する。なお、上記実施の形態１と同一又は同等の構成については、同等の符号を用いる。本実施の形態は、検知部１６による検知の結果が共有部１４によって共有される点で、実施の形態１と異なる。
　本実施の形態に係るアクセス情報は、図１７に示されるように、当該アクセス情報を共有するためのブロック４０のヘッダハッシュ値４１２と、当該アクセス情報により示されるアクセスが検知部１６によって例外アクセスとして検知されたか否かを示すフラグと、を含む。図１７において、「０」のフラグは通常のアクセスであることを示し、「１」のフラグは例外アクセスであることを示す。そして、ＰＬＣ１００は、他のＰＬＣ１００において例外アクセスと判定されたアクセスがあったことを、ユーザインタフェースを介して報知する。詳細には、報知部１７が、受信アクセス情報１３２において「１」のフラグを有するアクセス情報がある場合に、当該アクセス情報により示される例外アクセスを報知する。
　以上、説明したように、他のＰＬＣ１００における例外アクセスの検知結果を報知すれば、当該他のＰＬＣ１００に障害が発生した場合であっても、ユーザは、例外アクセスの検知結果を参照することができる。
　実施の形態３．
　続いて、実施の形態３について、上述の実施の形態１との相違点を中心に説明する。なお、上記実施の形態１と同一又は同等の構成については、同等の符号を用いる。本実施の形態は、図１８に示されるように、アクセス情報が、デバイスデータに関する情報を含む点で、上記実施の形態１と異なる。
　ＰＬＣ１００は、通常、デバイスデータと呼ばれるデータを他の装置と共有し、デバイスデータを操作することで機器の制御を実現している。例えば、センサ機器がセンシング結果を示すデバイスデータをＰＬＣ１００と共有することで、センシング結果がＰＬＣ１００に通知され、ＰＬＣ１００が、動作指令を示すデバイスデータをアクチュエータと共有することで、当該アクチュエータに動作指令が与えられる。
　ＰＬＣ１００の加工部１２は、図１８に示されるように、通信部１１へのアクセスが、デバイスデータの読み出し又は書き込みを要求する場合に、当該要求が読み出しであるか書き込みであるか、当該デバイスデータのアドレス、当該デバイスデータのデータ型、及び、始点と点数を関連付けて示す。図１８において「Ｒ」の要求は読み出し要求であることを示し、「Ｗ」の要求は書き込み要求であることを示す。
　共有部１４は、他のＰＬＣ１００に対するアクセスについても、このようなデバイスデータに関する情報を含むアクセス情報を共有する。そして、学習部１５は、このアクセス情報に基づいてモデルを更新する。デバイスデータに関する情報は、データアクセス情報の一例に相当する。
　以上、説明したように、デバイスデータに関する情報に基づいてモデルを学習すれば、さらに正確に例外アクセスを判別することが期待される。
　以上、本開示の実施の形態について説明したが、本開示は上記実施の形態によって限定されるものではない。
　例えば、ＰＬＣシステム１０００を構成するＰＬＣ１００の数を任意に変更してもよい。
　また、合意形成アルゴリズムとして、パブリックチェーンを採用する場合には、分散型台帳に参加したノードの一覧をハッシュ化した値であるマークルルート、マイニングの難易度、及びマイニング成功時のナンスを、ブロックヘッダ４１に含めてもよい。
　また、上記実施の形態２，３を組み合わせてもよい。さらに、上記実施の形態２，３では、上記実施の形態１に係るアクセス情報に対して要素を追加したが、追加される要素は、上記実施の形態２，３に説明されたものに限定されない。例えば、ネットワークＮＷを介して通信相手から送信されたファイル、遠隔からＰＬＣ１００を起動するリモートＲＵＮ及び遠隔からＰＬＣ１００を停止するリモートＳＴＯＰのような遠隔操作情報、ＩＰアドレスのようなネットワークに関する設定の変更を示す情報、及び、時計データの変更を示す情報のうちの１つ又は複数をアクセス情報に含めてもよい。
　また、アクセス情報が、アクセスがなされた時刻及び当該時刻を含む時間区分の双方を示す例について説明したが、アクセス情報は、当該時刻と時間区分とのいずれか一方を示してもよい。
　上述の実施の形態に係るＰＬＣ１００の機能は、専用のハードウェアによっても、また、通常のコンピュータシステムによっても実現することができる。
　例えば、プログラムＰ１を、フレキシブルディスク、ＣＤ－ＲＯＭ（Compact Disk Read-Only Memory）、ＤＶＤ（Digital Versatile Disk）、ＭＯ（Magneto-Optical disk）に代表されるコンピュータ読み取り可能な記録媒体に格納して配布し、そのプログラムＰ１をコンピュータにインストールすることにより、上述の処理を実行する装置を構成することができる。
　また、プログラムＰ１をインターネットに代表される通信ネットワーク上のサーバ装置が有するディスク装置に格納しておき、例えば、搬送波に重畳させて、コンピュータにダウンロードするようにしてもよい。
　また、インターネットに代表されるネットワークを介してプログラムＰ１を転送しながら起動実行することによっても、上述の処理を達成することができる。
　さらに、プログラムＰ１の全部又は一部をサーバ装置上で実行させ、その処理に関する情報をコンピュータが通信ネットワークを介して送受信しながらプログラムＰ１を実行することによっても、上述の処理を達成することができる。
　なお、上述の機能を、ＯＳ（Operating System）が分担して実現する場合又はＯＳとアプリケーションとの協働により実現する場合には、ＯＳ以外の部分のみを媒体に格納して配布してもよく、また、コンピュータにダウンロードしてもよい。
　また、ＰＬＣ１００の機能を実現する手段は、ソフトウェアに限られず、その一部又は全部を専用のハードウェア又は回路によって実現してもよい。
　本開示は、本開示の広義の精神と範囲を逸脱することなく、様々な実施の形態及び変形が可能とされるものである。また、上述した実施の形態は、本開示を説明するためのものであり、本開示の範囲を限定するものではない。つまり、本開示の範囲は、実施の形態ではなく、請求の範囲によって示される。そして、請求の範囲内及びそれと同等の開示の意義の範囲内で施される様々な変形が、本開示の範囲内とみなされる。
　本開示は、ＦＡの現場で運用されるシステムのセキュリティ性能の向上に適している。
　１１　通信部、　１２　加工部、　１３　記憶部、　１４　共有部、　１５　学習部、　１６　検知部、　１７　報知部、　１８　処理部、　２０　支援装置、　２１　設定部、　２２　表示部、　３０　ＦＡ装置、　３１　プロセッサ、　３２　主記憶部、　３３　補助記憶部、　３４　入力部、　３５　出力部、　３６　通信部、　３７　内部バス、　４０　ブロック、　４１　ブロックヘッダ、　４２　トランザクション部、　５０　領域、　５１～５３　サンプリング点、　６１　依頼ノード、　６２　管理ノード、　６３　受信ノード、　１００～１０３　ＰＬＣ、　１３１　送信アクセス情報、　１３２　受信アクセス情報、　４１１　前回ヘッダハッシュ値、　４１２　ヘッダハッシュ値、　４１３　生成日時情報、　４２１　入力アクセス情報、　４２２　出力アクセス情報、　４２３　署名　１０００　ＰＬＣシステム、　ＮＷ　ネットワーク、　Ｐ１　プログラム。

Claims (9)

  1. 　ネットワークを介して外部からのアクセスを受け付けて通信する通信手段と、
    　前記通信手段によって受け付けられたアクセスの履歴から、他のアクセスより頻度が低い例外アクセスを判別するためのモデルを学習する学習手段と、
    　前記学習手段によって学習された前記モデルを用いて、前記通信手段によって受け付けられた新たなアクセスから前記例外アクセスを検知する検知手段と、
    　前記検知手段によって検知された前記例外アクセスを処理する処理手段と、
    　を備えるプログラマブルコントローラ。
  2. 　前記処理手段は、前記例外アクセスを遮断する、
    　請求項１に記載のプログラマブルコントローラ。
  3. 　前記処理手段は、前記例外アクセスに関する情報を、ユーザインタフェースを介して報知する、
    　請求項１又は２に記載のプログラマブルコントローラ。
  4. 　前記履歴は、前記通信手段によって受け付けられたアクセスをした通信装置を前記ネットワークにおいて識別するための識別情報と、該アクセスの時刻及び該時刻を含む予め定められた時間区分の少なくとも一方と、を関連付けて示し、
    　前記学習手段は、前記時間区分ごとに、該時間区分においてなされる前記他のアクセスより頻度が低い前記例外アクセスを判別するための前記モデルを学習する、
    　請求項１から３のいずれか一項に記載のプログラマブルコントローラ。
  5. 　前記識別情報は、前記ネットワークにおける前記通信装置のアドレスであって、
    　前記履歴は、前記通信装置の前記アドレスと、アクセスで指定されたポート番号と、アクセスの時刻及び該時刻を含む前記時間区分の少なくとも一方と、を関連付けて示し、
    　前記学習手段は、前記時間区分ごとに、前記アドレス及び前記ポート番号に基づいて前記例外アクセスを判別するための前記モデルを学習する、
    　請求項４に記載のプログラマブルコントローラ。
  6. 　他の装置とデバイスデータを共有するプログラマブルコントローラであって、
    　前記履歴は、前記デバイスデータの読み出し又は書き込みを要求するアクセスについては、該読み出し又は書き込みに関するデータアクセス情報を示し、
    　前記学習手段は、前記データアクセス情報に基づいて前記例外アクセスを判別するための前記モデルを学習する、
    　請求項１から５のいずれか一項に記載のプログラマブルコントローラ。
  7. 　他のプログラマブルコントローラに接続されるプログラマブルコントローラであって、
    　前記履歴を示す第１アクセス情報を前記他のプログラマブルコントローラに提供し、前記他のプログラマブルコントローラに対するアクセスを示す第２アクセス情報を前記他のプログラマブルコントローラから取得することで、前記第１アクセス情報及び前記第２アクセス情報を前記他のプログラマブルコントローラと共有する共有手段、をさらに備え、
    　前記学習手段は、前記第１アクセス情報及び前記第２アクセス情報に基づいて前記モデルを学習する、
    　請求項１から６のいずれか一項に記載のプログラマブルコントローラ。
  8. 　プログラマブルコントローラによって実行される例外アクセス学習方法であって、
    　通信手段が、ネットワークを介して外部からのアクセスを受け付けて通信し、
    　学習手段が、前記通信手段によって受け付けられたアクセスの履歴から、他のアクセスより頻度が低い例外アクセスを判別するためのモデルを学習し、
    　検知手段が、前記学習手段によって学習された前記モデルを用いて、前記通信手段によって受け付けられた新たなアクセスから前記例外アクセスを検知し、
    　処理手段が、前記検知手段によって検知された前記例外アクセスを処理する、
    　ことを含む例外アクセス学習方法。
  9. 　プログラマブルコントローラを、
    　ネットワークを介して外部からのアクセスを受け付けて通信する通信手段、
    　前記通信手段によって受け付けられたアクセスの履歴から、他のアクセスより頻度が低い例外アクセスを判別するためのモデルを学習する学習手段、
    　前記学習手段によって学習された前記モデルを用いて、前記通信手段によって受け付けられた新たなアクセスから前記例外アクセスを検知する検知手段、
    　前記検知手段によって検知された前記例外アクセスを処理する処理手段、
    　として機能させるためのプログラム。
PCT/JP2022/030279 2022-08-08 2022-08-08 プログラマブルコントローラ、例外アクセス学習方法及びプログラム WO2024033972A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2022577399A JP7258257B1 (ja) 2022-08-08 2022-08-08 プログラマブルコントローラ、例外アクセス学習方法及びプログラム
PCT/JP2022/030279 WO2024033972A1 (ja) 2022-08-08 2022-08-08 プログラマブルコントローラ、例外アクセス学習方法及びプログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2022/030279 WO2024033972A1 (ja) 2022-08-08 2022-08-08 プログラマブルコントローラ、例外アクセス学習方法及びプログラム

Publications (1)

Publication Number Publication Date
WO2024033972A1 true WO2024033972A1 (ja) 2024-02-15

Family

ID=85980420

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2022/030279 WO2024033972A1 (ja) 2022-08-08 2022-08-08 プログラマブルコントローラ、例外アクセス学習方法及びプログラム

Country Status (2)

Country Link
JP (1) JP7258257B1 (ja)
WO (1) WO2024033972A1 (ja)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2016170651A (ja) * 2015-03-13 2016-09-23 富士通株式会社 不正アクセス検出方法、装置、及びプログラム
JP2019096150A (ja) * 2017-11-24 2019-06-20 オムロン株式会社 セキュリティ監視装置
JP2019110513A (ja) * 2017-12-15 2019-07-04 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 異常検知方法、学習方法、異常検知装置、および、学習装置
JP2020101904A (ja) * 2018-12-20 2020-07-02 オムロン株式会社 制御装置およびプログラム

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7125317B2 (ja) * 2018-09-28 2022-08-24 アズビル株式会社 不正アクセス監視装置および方法

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2016170651A (ja) * 2015-03-13 2016-09-23 富士通株式会社 不正アクセス検出方法、装置、及びプログラム
JP2019096150A (ja) * 2017-11-24 2019-06-20 オムロン株式会社 セキュリティ監視装置
JP2019110513A (ja) * 2017-12-15 2019-07-04 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 異常検知方法、学習方法、異常検知装置、および、学習装置
JP2020101904A (ja) * 2018-12-20 2020-07-02 オムロン株式会社 制御装置およびプログラム

Also Published As

Publication number Publication date
JP7258257B1 (ja) 2023-04-14

Similar Documents

Publication Publication Date Title
JP7199775B2 (ja) スマートコントラクトに基づくデータ処理方法、データ処理装置、ノード機器、及びコンピュータプログラム
EP4035050B1 (en) Consensus protocol for blockchain dag structure
EP3565218B1 (en) System and method of decentralized management of multi-owner nodes using blockchain
CN110597925B (zh) 一种基于区块链的跨链数据处理方法及装置
US10630463B2 (en) Meta block chain
CN115210741B (zh) 部分有序的区块链
CN110199500B (zh) 用于更新网络拓扑的网络知识的计算机实现的系统和方法
CN111801927B (zh) 与工业数据验证相关联的方法和促进工业数据验证的系统
CN114128214B (zh) 用于配置区块链的安全层
EP3742321A1 (en) Storage of measurement datasets and distributed databases
CN114372296B (zh) 一种基于区块链的用户行为数据审计方法及系统
JP5801482B2 (ja) キーバリューストレージに対するデータの保存および読み出しを行う方法およびシステム
CN110944046A (zh) 一种共识机制的控制方法及相关设备
US20220141240A1 (en) Computer-implemented method and blockchain system for detecting an attack on a computer system or computer network
US11372847B2 (en) Block verification device, block verification method, and program
CN111869165B (zh) 用于控制和/或监控装置的方法和控制系统
KR102055748B1 (ko) 블록체인 기반의 네트워크 자가진단 제어 장치
WO2024033972A1 (ja) プログラマブルコントローラ、例外アクセス学習方法及びプログラム
US11991189B2 (en) Intrusion detection for computer systems
WO2024033971A1 (ja) プログラマブルコントローラ、プログラマブルコントローラシステム、アクセス情報共有方法及びプログラム
KR102196574B1 (ko) 블록체인을 활용한 매출 정보관리시스템 및 블록체인을 활용한 매출 정보관리방법
CN112163917B (zh) 基于区块链的票据处理方法、装置、介质及电子设备
JP6989457B2 (ja) 外部情報受配信装置、データ送信方法、及びプログラム
CN117473557B (zh) 一种可信设置方法及装置
Rajendar et al. A Comprehensive and Secure Trustless Blockchain Framework for Autonomous Vehicles

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22954894

Country of ref document: EP

Kind code of ref document: A1