(57)【要約】  異常検知システム、異常検知方法、およびそのプログラムを提供するために第１の態様として、ネットワーク内の異常を検知する異常検知システムであって、前記ネットワークに接続された、複数の産業制御システム（以下ＩＣＳ）と、各ＩＣＳの稼動状況を監視データとして受信し、異常が疑われるＩＣＳを特定し、異常判定を行う統合アナライザと、ＩＣＳ毎に設けられ、他のＩＣＳからのデータを受信する受信部と、他のＩＣＳへデータを送信し、かつ監視データを前記統合アナライザへ送信する送信部と、データの記録、生成規則を含むセキュリティ・ポリシーと、前記セキュリティ・ポリシーを参照して前記データを制御して他のＩＣＳへ送信するラッパーを有する、異常検知システムを提供する。
2012132527.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク内の異常を検知する異常検知システムであって、
前記ネットワークに接続された、複数の産業制御システム（以下ＩＣＳ）と、
各ＩＣＳの稼動状況を監視データとして受信し、異常が疑われるＩＣＳを特定し、異常判定を行う統合アナライザと、
ＩＣＳ毎に設けられ、
他のＩＣＳからのデータを受信する受信部と、
他のＩＣＳへデータを送信し、かつ監視データを前記統合アナライザへ送信する送信部と、
データの記録、生成規則を含むセキュリティ・ポリシーと、
前記セキュリティ・ポリシーを参照して前記データを制御して他のＩＣＳへ送信するラッパーと、
を有する、異常検知システム。
【請求項２】
前記統合アナライザが前記特定されたＩＣＳのラッパーに対して擬似正常モードへの移行通知を送信する手段と、
前記ラッパーが、
前記他のＩＣＳへ送信するデータを制御するためのデータ・コントローラと、
前記セキュリティ・ポリシーを参照して前記送信部からのデータをパターン・データとして記録するデータ・レコーダと、
前記セキュリティ・ポリシーを参照して記録されたデータから送信データを生成する、データ・ジェネレータと、
を有し、
前記擬似正常モードへの移行通知の受信に応じて、
前記データ・レコーダが前記送信部からのデータをリアル・データとして記録する手段と、
前記データ・ジェネレータが前記パターン・データから送信データを生成する手段と、
前記データ・コントローラが前記生成された送信データを他のＩＣＳに送信する手段とを有する、請求項１記載のシステム。
【請求項３】
前記特定されたＩＣＳが、異常であると判定された場合、前記統合アナライザが前記特定されたＩＣＳに稼動停止通知を送信する手段、を有する請求項２記載のシステム。
【請求項４】
前記特定されたＩＣＳが、異常なし判定された場合、前記統合アナライザが前記特定されたＩＣＳに正常モードへの移行通知を送信する手段、を有する請求項２記載のシステム。
【請求項５】
前記正常モードへの移行通知を受信したＩＣＳが、
擬似正常モード時に記録したリアル・データを他のＩＣＳへ一括送信する手段と、
前記一括送信の終了後に前記リアル・データを削除する手段
を有する請求項４記載のシステム。
【請求項６】
前記他のＩＣＳが、前記擬似正常モード時に前記特定されたＩＣＳから送信されたデータを前記一括送信されたリアル・データで置換する手段を有する、請求項５記載のシステム。
【請求項７】
ネットワークに接続されたコンピュータ・システムにおいて異常を検知する方法であって、
前記ネットワークに接続された、複数の産業制御システム（以下ＩＣＳ）と、
各ＩＣＳの稼動状況を監視データとして受信し、異常が疑われるＩＣＳを特定し、異常判定を行う統合アナライザと、
ＩＣＳ毎に設けられ、
他のＩＣＳからのデータを受信するステップと、
他のＩＣＳへデータを送信し、かつ監視データを前記統合アナライザへ送信するステップと、
データの記録、生成規則を含むセキュリティ・ポリシーと、
前記セキュリティ・ポリシーを参照して前記データを制御して他のＩＣＳへ送信するステップと、
を有する、異常検知方法。
【請求項８】
ネットワークに接続された、複数の産業制御システム（以下ＩＣＳ）において異常を検知するためのコンピュータ・プログラムであって、各ＩＣＳの稼動状況を監視データとして受信し、異常が疑われるＩＣＳを特定し、異常判定を行う統合アナライザと、前記ＩＣＳ毎に設けられた  データの記録、生成規則を含むセキュリティ・ポリシーを有し、前記プログラムが、各ＩＣＳのコンピュータに、
他のＩＣＳからのデータを受信する機能と、
他のＩＣＳへデータを送信し、かつ監視データを前記統合アナライザへ送信する機能と、
前記セキュリティ・ポリシーを参照して前記データを制御して他のＩＣＳへ送信する機能と、
を実行させる、コンピュータ・プログラム。
【請求項９】
請求項８に記載のコンピュータ・プログラムをコンピュータ読取可能に格納する記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、異常検知技術に関し、特に異常が認められたシステムの影響が他のシステムに及ばないようにする、異常検知方法、システム、およびプログラムに関する。
【背景技術】
【０００２】
現代社会は、コンピュータ社会であるが、コンピュータを用いたシステムの種類として、主にオフィス等で用いられる情報システムと、発電、パイプライン、化学プラントなどで用いられる産業制御システム（Industrial Control System、以下ＩＣＳと記載する）とがある。個々のＩＣＳは産業に特化した独自のシステムで構成される。【０００３】
ＩＣＳは主にインフラストラクチャを担うシステムであることが多く、故障したり異常が出ると人的、経済的に甚大な被害を及ぼす恐れがある。また複数のＩＣＳが互いの情報をやり取りし、ネットワークで接続されるシステムも出てきている。このような複数ＩＣＳ稼動環境下において異常を起こしたＩＣＳのデータが他のＩＣＳに送信された場合、受信したＩＣＳに大きな影響を与えることがないようにする技術が望まれている。【０００４】
さらに複数のＩＣＳを運用する際、特定のＩＣＳが異常かどうかを確定判断するにはＩＴリソースに負荷が生じ、また処理時間が必要となるのでＩＣＳ群のみで異常確定判断をさせることができない。通常の情報システムであれば、異常判定を常に行うか、疑わしい間はそのシステムを切り離して運用することが可能であるが連続稼動を前提とするＩＣＳにおいては困難を伴う。【０００５】
例えば特許文献１は、監視対象の装置が異常の場合、異常情報に応じて自装置の機能喪失を最小限に抑える処置を実行する構成制御手段を備える。しかしながら、特許文献１は異常時にマスターとスレーブという同等の２つのシステムを前提とする手法であり、ネットワークで接続された相異なる独自のシステムからなる複数ＩＣＳでは適用できない。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２０００−２１４９１９
【発明の概要】
【発明が解決しようとする課題】
【０００７】
本発明は、上記問題点を鑑みてなされたものであり、ＩＣＳ間のデータ送信を制御し、異常が疑われるＩＣＳを検知し、他のＩＣＳに影響を与えないようにする異常検知システム、方法、プログラムを提供することを目的とする。【０００８】
また異常が疑われるＩＣＳを検知する最小限の処理をＩＣＳの通常の運用で行いながら、真に異常であるかどうかの確定判断を各ＩＣＳに影響のないように行う、異常検知システム、方法、プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
本発明は、上記従来技術の課題を解決するために、以下の特徴を有する異常検知システムを提供する。本発明の異常検知システムは、ネットワークに接続された、複数の産業制御システム（以下ＩＣＳ）を備える。各ＩＣＳの稼動状況を監視データとして受信し、異常が疑われるＩＣＳを特定し、異常判定を行う統合アナライザと、ＩＣＳ毎に設けられ、他のＩＣＳからのデータを受信する受信部と、他のＩＣＳへデータを送信し、かつ監視データを前記統合アナライザへ送信する送信部と、データの記録、生成規則を含むセキュリティ・ポリシーと、前記セキュリティ・ポリシーを参照して前記データを制御して他のＩＣＳへ送信するラッパーとを有する。【００１０】
そして、前記統合アナライザが前記特定されたＩＣＳのラッパーに対して擬似正常モードへの移行通知を送信する手段と、前記ラッパーが、前記他のＩＣＳへ送信するデータを制御するためのデータ・コントローラと、前記セキュリティ・ポリシーを参照して前記送信部からのデータをパターン・データとして記録するデータ・レコーダと、前記セキュリティ・ポリシーを参照して記録されたデータから送信データを生成する、データ・ジェネレータを有し、前記擬似正常モードへの移行通知の受信に応じて、前記データ・レコーダが前記送信部からのデータをリアル・データとして記録する手段と、前記データ・ジェネレータが前記パターン・データから送信データを生成する手段と、前記データ・コントローラが前記生成された送信データを他のＩＣＳに送信する手段を有する。【００１１】
ここで、前記特定されたＩＣＳが、異常であると判定された場合、前記統合アナライザが前記特定されたＩＣＳに稼動停止通知を送信する手段を有する。【００１２】
また、前記特定されたＩＣＳが、異常なし判定された場合、前記統合アナライザが前記特定されたＩＣＳに正常モードへの移行通知を送信する手段を有する。【００１３】
さらに、前記正常モード移行通知を受信したＩＣＳが、擬似正常モード時に記録したリアル・データを他のＩＣＳへ一括送信する手段と、前記一括送信終了後に前記リアル・データを削除する手段を有する。
【図面の簡単な説明】
【００１４】
【図１】本発明の実施形態によるシステムの概略構成を示す図である。
【図２】従来の典型的なＩＣＳの機能ブロック図を示す。
【図３】本発明におけるＩＣＳの機能ブロックを示す。
【図４】正常時のＩＣＳ動作について説明する図である。
【図５】ＩＣＳが他のＩＣＳに送信するデータの例を示す図である。
【図６】ＩＣＳが他のＩＣＳに送信する、また別のデータの例である。
【図７】ＩＣＳが参照する、異常が疑われた場合のセキュリティ・ポリシー３８０の例である。
【図８】パターン・データ３６０の記録内容を示す図である。
【図９】ＩＣＳ１４０が異常と思われる動作をしている場合を示す図である。
【図１０】各ＩＣＳの動作フローチャートである。
【図１１】統合アナライザ１７０の動作フローチャートである。
【図１２】従来の典型的なＩＣＳの物理マシンの構成図である。
【図１３】統合アナライザ１７０がＩＣＳの異常を検知する方法を示す図である。
【図１４】異常が疑われたＩＣＳの動作を示す図である
【図１５】ＩＣＳが異常なしと判定された場合の動作を示す図である。
【図１６】統合アナライザ１７０から擬似正常モードを受信したＩＣＳの動作フローチャートである。
【図１７】統合アナライザ１７０から異常なしの通知を受信したＩＣＳの動作フローチャートである。
【図１８】統合アナライザ１７０から異常確定通知を受信した他のＩＣＳの動作フローチャートである。
【発明を実施するための形態】
【００１５】
以下、本発明について実施形態をもって説明するが、この実施形態に限定されるものではない。
【００１６】
図１は、本発明の実施形態によるシステムの概略構成を示す図である。ＩＣＳ１００〜ＩＣＳ１６０は独自のハード、独自ＯＳで稼動する産業制御システムである。これらＩＣＳは独自プロトコルによるネットワークに加えて汎用製品による汎用ネットワークを有しており、これがファイヤウォールで他のＩＣＳや統合アナライザ１７０と接続されている。各ＩＣＳは定期的にＩＣＳの稼動状況を含む解析用データを監視データとして統合アナライザ１７０に送信する。統合アナライザ１７０は監視データを解析して異常の疑いがあるＩＣＳを特定し、異常が確定した場合のアクションを規定したセキュリティ・ポリシー１８０と接続される。このセキュリティ・ポリシー１８０は統合アナライザ１７０により参照される。
【００１７】
図１２に従来の典型的なＩＣＳの物理マシンの構成図を示す。外界との通信はファイヤウォール１２１０を通じて管理サーバ１２２０と接続される。また管理サーバ１２２０が故障した場合に備えて冗長管理サーバ１２３０を有する。ＩＣＳの内部は大きく分けてＴＣＰ／ＩＰおよびイーサネット（商標）によるＬＡＮを含む汎用ネットワーク域１２７０と独自ハード、独自ＯＳによる専用製品を専用プロトコルで結ぶ専用ネットワーク域１２８０に分けられる。
【００１８】
管理サーバ１２２０に接続されるＨＭＩ(Human Machine Interface)１２５０は種々のデータのモニタリング＆アナライザーの結果を表示する。ＥＷＳ(Engineering WorkStation)１２４０は業務管理およびＰＬＣ１２５０と通信し各種機器制御に使用する。専用ネットワーク１２８０はシーケンサと呼ばれるprogrammable logic controller（ＰＬＣ１２５０）によって互いに接続される。
【００１９】
ＰＬＣはノイマン型コンピュータと異なりステートマシンである。その動作プログラムはリレー回路のプログラミング言語で記載される。このプログラムは電気回路を記号化したものなので、一般的なコンピュータプログラマが作成することはできない。
【００２０】
ＰＬＣ１２５０には専用製品(Dedicatedequipment)１２６０が接続され、これにアクチュエータ、制御器、各種センサーが接続される。例えば温度センサ、湿度センサ、圧力センサ、空調センサ、流量計、水位計、照度計、電力計、電力使用量カウンタ、印刷カウンタ、人感知センサなどの計測器や、バルブ開閉器、火力制御器、コンプレッサ、ポンプ、モータ、印刷ドラムがこれに該当する。
【００２１】
ＩＣＳは化学プラント、火力発電所、水力発電所、原子力発電所、原子炉制御、などのインフラシステムのほか、身近なところでは、エレベーター、自動ドア、ボイラー、テーマパーク、各種アトラクション、印刷システムなどの制御にも使用される。本発明の実施例では例示として印刷システムについて説明する。
【００２２】
図２に、従来の典型的なＩＣＳの機能ブロック図を示す。ＩＣＳ１１０は他のＩＣＳからのデータを受け取るレシーバ２１０（受信部）と、レシーバ２１０からのデータをモニタし、解析するコントローラまたはセンサー２９５からのデータを取得するデバイス・アクセス２９０と、種々のデバイス・アクセス２９０からのデータを集約して抽象化するプロトコル・アブストラクション２８０と、データ・モデルとしてプロトコル・アブストラクション２８０からのデータを抽象化するデータ・モデル・アブストラクション２７０と、データ・モデル・アブストラクション２７０からのデータと他のＩＣＳからのデータを受け取るレシーバ２１０からのデータとをモニタし解析する、モニタリング＆アナライザー２３０と、モニタリング＆アナライザー２３０の結果により決定されたアクションを保存するアクション・キュー２５０と、モニタリング＆アナライザー２３０の種々のデータを記録するデータ・レポジトリ２６０と、モニタリング＆アナライザー２３０のレポートを記録するレポート・データ２４０と、レポート・データ２４０のデータを送信するセンダー２２０（送信部）からなる。以上の構成は典型的なものであって、これに限らず各ＩＣＳは独自のデータ構造、固有のインターフェースを有していることに留意されたい。
【００２３】
図３に、本発明におけるＩＣＳの機能ブロックを示す。図２と異なる本発明固有の構成はラッパー(Wrapper)３１０、統合アナライザー１７０、セキュリティ・ポリシー１８０、３８０である。ラッパー３１０は、ＩＣＳが異常動作時に他のＩＣＳへの影響を最小限に抑えるための構成である。
【００２４】
ラッパー３１０にはＩＣＳの正常稼動時（正常モード）のデータを生データ、集計データ、統計データとしてパターン・データ３６０に記録するデータ・レコーダ３４０と、異常が疑われる状態での稼動時（擬似正常モード）にパターン・データ３６０から正常データを生成するデータ・ジェネレータ３３０が含まれる。これらの動作はデータ・コントローラ３２０により決定される。データ・コントローラ３２０他のＩＣＳへ送信するデータを制御する。センダー２２０からのデータを受け取り、他のＩＣＳへの影響がないように送信データを制御する。この制御は統合アナライザ１７０からの通知により行われる。
【００２５】
センダー２２０は、ＩＣＳ稼動状況および他のＩＣＳから受信したデータについてモニタリング＆アナライザー２３０が解析した結果であるレポート・データ２４０を参照して他のＩＣＳの異常疑いがあればこの情報を監視データに含めて統合アナライザー１７０へ送信する。
【００２６】
統合アナライザ１７０は、複数のＩＣＳのラッパーからの監視データを解析して、異常が発生したと思われるＩＣＳを特定し、当該ＩＣＳのデータ・コントローラ３２０に対して、擬似正常モードへ移行するよう指令を出す。擬似正常モードとは、当該ＩＣＳが異常動作している可能性がある場合に、他のＩＣＳへあたかも正常であるかのようにデータを送信するモードである。
【００２７】
統合アナライザは、複数ＩＣＳのラッパーからの監視データを解析する際、セキュリティ・ポリシー１８０を参照して、所与のアクションを行う。同様のセキュリティ・ポリシーは個別のＩＣＳにも含まれている。図３の場合のＩＣＳ３００はセキュリティ・ポリシー３８０を有しており、ラッパー３１０が行う所与のアクション、データの記録、生成規則が記載されている。セキュリティ・ポリシー３８０は必要に応じて統合アナライザー１７０によりアップデートされる。
【００２８】
図４に正常時のＩＣＳ動作について説明する。まずセンダー２２０から送出されたイベント・データをデータ・コントローラ３２０が受け取りそのまま他のＩＣＳへ送信する。これと同時にデータ・レコーダ３４０においてイベント・データをパターン・データ３６０として蓄積する。ここでの蓄積は生データ、集積データ、サンプリング・データなどの記録方法がある。これらの記録方法についてはＩＣＳ固有でありセキュリティ・ポリシー３８０に記載されている。
【００２９】
データ・コントローラ３２０はセキュリティ・ポリシー３８０を参照してイベント・データの種別に基づき蓄積方法を選択しデータ・レコーダ３４０に伝える。セキュリティ・ポリシー３８０は必要に応じて統合アナライザ１７０から通知されアップデートされる。
【００３０】
異常が疑われたＩＣＳの動作について図１４を用いて説明する。まず統合アナライザ１７０は各ＩＣＳの送信部から監視データを受信する。統合アナライザ１７０は監視データに基づき異常が疑われるＩＣＳのラッパー３１０に対して擬似正常モードへ移行するよう通知する。
【００３１】
またこの時、好ましくは他のＩＣＳのラッパーに対して異常が疑われるＩＣＳについての情報（ＩＣＳ番号等）を送信する。この送信により、異常が疑われるＩＣＳからデータを受信しているＩＣＳはこれ以降の受信データについて、擬似正常データを受信していることを認識する。そして統合アナライザ１７０は当該ＩＣＳが真に異常であるかの解析を行う。監視データには好ましくは他のＩＣＳの異常疑い情報を含むようにする。
【００３２】
図９にＩＣＳ１４０が異常と思われる動作をしている場合を示す。ＩＣＳ１４０から通常とは異なるデータがＩＣＳ１１０〜１３０に送信される。ＩＣＳ１１０〜１３０は各々統合アナライザに送信する監視データにＩＣＳ１４０の異常感知情報を含めて送信する。統合アナライザ１７０は各ＩＣＳからの監視データを解析し、異常が疑われるＩＣＳ１４０に擬似正常モードへの移行を通知する。そしてセキュリティ・ポリシー１８０を参照しながら、ＩＣＳ１４０が真に異常かどうかの解析を行い必要なアクションを行う。
【００３３】
擬似正常モードへの移行通知を受けたＩＣＳは、各ＩＣＳの特徴により異なるがセキュリティ・ポリシーに従い次の何れかの動作をする。
（Ａ）正常時と変わらないシミュレーティド・データを送信する。
（Ｂ）生のデータを送信する。
（Ｃ）全くデータを送信しない。
【００３４】
Ａの場合について図１４を用いてより詳細に説明する。異常が疑われているＩＣＳのデータ・レコーダ３４０は送信部からのデータをリアル・データ３５０として記録する。データ・ジェネレータ３３０はセキュリティ・ポリシー３８０に従い、パターン・データ３６０に記録された生データ、集計データ、統計データからシミュレーティド・データを生成し、各ＩＣＳに送信する。各ＩＣＳはこれにより通常の動作に支障を受けることがない。
【００３５】
統合アナライザ１７０が解析の結果異常なしという通知が当該ＩＣＳおよび各ＩＣＳに送信されると、当該ＩＣＳは通常時の状態に戻る。
【００３６】
図１５に異常なしと判定された場合（正常モード移行通知を受信した場合）の動作を図示する。データ・レコーダ３４０は生データ、集計データ、統計データをパターン・データ３６０に記録する。ラッパーはデータ送信相手に対してデータ入れ替えを通知し、データ・ジェネレータ３３０は擬似正常モード時に記録した生データであるリアル・データ３５０からデータを読み取り一括送信する。そして送信完了後リアル・データ３５０を破棄する。各ＩＣＳはデータ入れ替え通知を受信すると、擬似正常モード時に受信したデータと一括送信されたデータとの入れ替えをロールバックして行う。
【００３７】
統合アナライザ１７０が解析の結果、異常と判断した場合、セキュリティ・ポリシー１８０に従い、異常確定を当該ＩＣＳのラッパーおよび各ＩＣＳのラッパーに通知する共に所与のアクションを行う。異常動作したＩＣＳは緊急停止がされた後、人的、機械的修復処理を待つ。擬似正常モード時にデータを受信したＩＣＳは擬似正常モード時からの当該データをロールバックして削除する。
【００３８】
ＩＣＳが異常を起こす原因としては、センサーやカウンターの故障、悪意のあるユーザー、マルウェア（Malware）による操作、データ改変、物理的なアタック、盗難などがある。これらを検出する方法として複数の方法（スレッシュホールド、ルール、シチュエーション）が考えられる。
【００３９】
図１３に統合アナライザ１７０がＩＣＳの異常を検知する方法を示す。図１３の場合は主にスレッシュホールドを用いた例である。統計データに比較して突出している値が検出される場合は異常と判断する。
【００４０】
例えば１日の印刷枚数が１００００枚以上、ジャム回数１０回以上、リカバリーまでの時間が２時間以上、使用電力量が５ｋｗ以上の場合は異常と判断する。また相関するデータの突合せによる異常検出方法がある。例えば異常なトナー使用量や、１人のユーザーが複数のロケーションで操作している場合などがそれに当たる。
【００４１】
その他、攻撃の兆候による異常検出がある。セキュリティ・インシデントが一定回数以上発生、電源ＯＮ／ＯＦＦ、ネットワーク切断を含む設定変更の回数、ソフトウェアのインストール、アンインストールの回数などがこれに当たる。統合アナライザ１７０は個々のＩＣＳの送信部からの監視データを受信し、図１３の閾値を超えるかを統計的、集約的に計算し異常の確定判断を行う。これらの閾値はセキュリティ・ポリシー１８０に記載されている。
【００４２】
なおセキュリティ・ポリシー１８０と個別のＩＣＳのセキュリティ・ポリシー３８０の違いは上記統計的な異常の確定判断情報を有していることと、セキュリティ・ポリシー３８０には各ＩＣＳのシステム固有のポリシーが含まれている点が異なる。
【００４３】
ＩＣＳが他のＩＣＳに送信するデータの例を図５に示す。例えばイベントＩＤ１００１ではデバイスＩＤ：ＭＦＰ０００１が時刻2010/10/01 09:05:40において生データのイベントとしてペーパジャムが回復したこと示している。集計データおよび統計データのためのログについては、ログＩＤ2001としてデバイスＩＤ：ＭＦＰ０００１の印刷ジョブとしてＵＳＥＲＢが５ページのモノクロ片面印刷をしたことを示している。
【００４４】
ＩＣＳが他のＩＣＳに送信する、また別のデータを図６に示す。図６に示される制御コマンドはモニタリング＆アナライザー２３０によりアクション・キュー２５０にも記録される。また解析データはデータ・レポジトリ２６０に記録されると共にレポート・データ２４０に使用される。
【００４５】
図７に各ＩＣＳが参照する、異常が疑われた場合のセキュリティ・ポリシー３８０の例を示す。対象ＩＣＳの欄にはＩＣＳの個別名が、対象データの欄にはどのデータが対象か、必要データの欄はどのデータを送信対象とするか、データ保存の欄はデータ保存の要、不要、どこを保存するか、データ生成の欄はデータ・ジェネレータ３３０のデータ生成方法が、シミュレーティド・データの欄は実際に送られるデータの送信頻度が記載されている。
【００４６】
つまりセキュリティ・ポリシー３８０にはＩＣＳ毎の固有のセキュリティ・ポリシーに加えて、擬似正常モード時、どのようなシミュレーティド・データを送信するか、またそのために何を記録するかの定義が含まれる。このデータの記録、生成規則を含むセキュリティ・ポリシー３８０は適宜、統合アナライザ１７０によりアップデートされる。
【００４７】
例えば、シミュレーティド・データ作成のバリエーションとして以下がある。
（Ａ）処理が即時に発生するイベントや制御などは意味がないので、データ送信はしない。
（Ｂ）通常時のデータそのものが必要な場合には生データを送信する。
（Ｃ）フィルタリング（最小、最大、平均、最新、ランダム生成）されたデータを送信する。
（Ｄ）時間単位、日次、週次、平均した集計、統計データを送信する。
【００４８】
これにより、各ＩＣＳの特徴に応じて通常時に記録蓄積するデータが決定され、データ・ジェネレータ３３０がこの蓄積されたデータからどのようにシミュレーティド・データを作成するかを決定する。
【００４９】
図８にパターン・データ３６０の記録内容を示す。パターン・データ３６０は各ＩＣＳごとに、セキュリティ・ポリシー３８０に基づいて記録する。図８に示されるように各ＩＣＳによって記録蓄積される対象データが異なることが分かる。ＩＣＳ  Ａは合計印刷枚数、統計値が記録されているのに対して、ＩＣＳ  Ｂは印刷の生データが記録されている。これは図７のＩＣＳ  Ａのセキュリティ・ポリシーにおいて Print Job がデータ保存対象に指定され、データ生成が日次であるからである。なお制御データはデータ生成時にランダムに生成されるので記録されない。
【００５０】
逆にＩＣＳ  Ｂは図７のＩＣＳ  Ｂのセキュリティ・ポリシーにおいてデータ保存対象が生データでありデータ生成が Real-Time であるからである。このように各ＩＣＳの持つ特徴に応じて、またセキュリティ・ポリシー３８０に基づいてパターン・データが記録される。
【００５１】
図１０に各ＩＣＳの動作フローチャートを示す。ステップ１０１０でレシーバが他のＩＣＳからのデータを受信する。次にステップ１０２０でモニタリング＆アナライザが他のＩＣＳのデータが異常を示しているかを解析する。そしてステップ１０３０で異常である場合には統合アナライザ１７０に自身の稼動状況情報に加えて異常を示すＩＣＳの情報を含めて監視データを送信する。
【００５２】
図１１に統合アナライザ１７０の動作フローチャートを示す。まずステップ１１１０で各ＩＣＳから監視データを受信する。次にステップ１１２０で監視データから異常が疑われるかを判断する。監視データには異常の疑いのあるＩＣＳの番号と各種データ値が含まれる。異常の疑いの判断はＩＣＳの監視データ内に異常を示すＩＣＳの情報がある場合、異常の疑いありと判断する。また単一のＩＣＳの監視データに異常を示すＩＣＳの情報がない場合で監視データの内容がスレショルドを大きく超える場合にも異常の疑いありと判断する。
【００５３】
ステップ１１２０で異常が疑われない場合には処理を終了する。ステップ１１２０で異常の疑いがある場合にはステップ１１３０で異常が疑われるＩＣＳ番号を特定する。次にステップ１１４０で異常が疑われるＩＣＳのデータ・コントローラに擬似正常モードに移行するよう通知を出す。好ましくは他のＩＣＳにもその情報を送信する。他のＩＣＳは疑いのあるＩＣＳからのデータが擬似正常モードでの送信データであることを認識する。
【００５４】
そしてステップ１１５０で異常が疑われるＩＣＳが本当に異常であるかを解析する。ステップ１１６０で異常が確定されたかを判断し、異常確定の場合にはステップ１１８０でセキュリティ・ポリシー１８０を参照して所与のアクションを実施する。異常が確定しなかった場合にはステップ１１７０で異常が疑われたＩＣＳに正常モードに移行するよう通知して、処理を終了する。好ましくは他のＩＣＳにも異常無しの通知を送信する。
【００５５】
図１６に擬似正常モードを受信したＩＣＳの動作フローチャートを示す。まずステップ１６１０で擬似正常モードへの移行通知を受信する。次にステップ１６２０でデータ・レコーダ３４０がリアル・データ３５０を記録する。またステップ１６３０でデータ・ジェネレータ３３０がパターン・データ３６０からシミュレーティド・データを生成する。そしてステップ１６３０でデータ・コントローラ３２０が生成したシミュレーティド・データを送信する。
【００５６】
図１７に統合アナライザ１７０から正常モード移行通知を受信したＩＣＳの動作フローチャートを示す。まずステップ１７１０で統合アナライザ１７０から正常モード移行通知を受信する。次にステップ１７２０で、ラッパーがデータ送信相手に対してデータ入替通知を送信する。ステップ１７３０で、データ・ジェネレータ３３０は擬似正常モード時に記録した生データであるリアル・データ３５０からデータを読み取る。そしてステップ１７４０で、データ・コントローラ３２０がデータを一括送信する。最後にステップ１７５０でリアル・データ３５０を削除する。
【００５７】
好ましくはデータ・コントローラ３２０が送信先ＩＣＳに対してこれからリアル・データの一括送信を行う通知を出す。次にステップ１７４０でデータ・コントローラ３２０が送信先ＩＣＳへシミュレーティド・データを一括送信する。送信先ＩＣＳは擬似正常モードで受信したデータを一括送信されたリアル・データで置換（ロールバックして置換）する。そしてステップ１７５０でリアル・データ３５０を破棄する。
【００５８】
統合アナライザ１７０から異常確定通知を受信した異常ＩＣＳ稼動停止状態となる。図１８に統合アナライザ１７０から異常確定通知を受信した他のＩＣＳの動作フローチャートを示す。まずステップ１８１０で異常確定通知を受信する。次にステップ１８２０で異常ＩＣＳの擬似正常モード時に受信したデータをロールバックして削除する。
【００５９】
以上説明したように、本発明の実施形態によれば、システム内で異常が疑われるＩＣＳを効率的に検知し、他のＩＣＳへ影響が無いように所与のアクションを実行させる異常検知システム、異常検知装置、異常検知方法、プログラムおよび記録媒体を提供することができる。
【００６０】
本発明の実施形態によるＩＣＳが備える汎用ネットワーク域のコンピュータＥＷＳ、ＨＭＩおよび統合アナライザは、ハードウェア構成として情報システムに用いられるコンピュータと同等の構成でも構わない。すなわちＣＰＵ、メモリ、外部記憶装置、バス、通信インターフェースを有する一般的なコンピュータで実施可能である。
【００６１】
さらにコンピュータ実行可能なプログラムを、コンピュータ装置にロードして各機能部を実現することにより、異常検知装置として提供される。このようなプログラムとしては、例えば、ＦＯＲＴＲＡＮ、ＣＯＢＯＬ、ＰＬ／Ｉ、Ｃ、Ｃ＋＋、Ｊａｖａ（登録商標）、Ｐｅｒｌ、Ｒｕｂｙなどのプログラミング言語で記述された、コンピュータ実行可能なプログラムにより実現でき、装置可読な記録媒体に格納して頒布することができる。
【００６２】
これまで本発明を図面に示した実施形態および実施例をもって説明してきたが、本発明は図面に示した実施形態に限定されない。当業者が想到する変更、態様においても本発明の作用・効果を奏する限り、本発明の範囲に含まれる。
【符号の説明】
【００６３】
１００〜１６０、３００  ＩＣＳ
１００  異常検知システム
１０２  ネットワーク
１１０  管理サーバ
１７０  統合アナライザー
１８０  セキュリティ・ポリシー
２１０  レシーバ（受信部）
２２０  センダー（送信部）
２３０  アナライザー
２４０  レポート・データ
２５０  アクション・キュー
２６０  データ・レポジトリ
２７０  データ・モデル・アブストラクション
２８０  プロトコル・アブストラクション
２９０  デバイス・アクセス
２９５  センサー
３１０  ラッパー
３２０  データ・コントローラ
３３０  データ・ジェネレータ
３４０  データ・レコーダ
３５０  リアル・データ
３５０  送信後リアル・データ
３６０  パターン・データ
３８０  セキュリティ・ポリシー
１２１０  ファイヤウォール
１２２０  管理サーバ
１２３０  冗長管理サーバ
１２５０  ＰＬＣ
１２７０  汎用ネットワーク域
１２８０  専用ネットワーク域
【図１】
2012132527.tif 000003
【図２】
2012132527.tif 000004
【図３】
2012132527.tif 000005
【図４】
2012132527.tif 000006
【図５】
2012132527.tif 000007
【図６】
2012132527.tif 000008
【図７】
2012132527.tif 000009
【図８】
2012132527.tif 000010
【図９】
2012132527.tif 000011
【図１０】
2012132527.tif 000012
【図１１】
2012132527.tif 000013
【図１２】
2012132527.tif 000014
【図１３】
2012132527.tif 000015
【図１４】
2012132527.tif 000016
【図１５】
2012132527.tif 000017
【図１６】
2012132527.tif 000018
【図１７】
2012132527.tif 000019
【図１８】
2012132527.tif 000020
【国際調査報告】
2012132527.tif 000021
2012132527.tif 000022