(57)【要約】【課題】中央監視装置の情報処理能力に影響を与えずに通信ネットワークにおける不正アクセスを監視することができる不正アクセス監視技術を提供することを目的とする。【解決手段】  不正アクセス監視装置１は、設備機器２が通信ネットワークＮＷを介して送信したＣＯＶ通知を検知するように構成されたＣＯＶ監視部１０と、ＣＯＶ監視部１０が検知したＣＯＶ通知が、設定された時刻に検知されたか否かを判断するように構成された判断部１１とを備え、判断部１１は、ＣＯＶ通知が設定された時刻とは異なる時刻に検知された場合に設備機器２に対する不正アクセスが発生したものと決定する。【選択図】  図１
2020119273.tif 000002
【特許請求の範囲】
【請求項１】
設備機器が通信ネットワークを介して送信した通知を検知するように構成された監視部と、
前記監視部が検知した前記通知が、設定された時刻に検知されたか否かを判断し、前記通知が前記設定された時刻とは異なる時刻に検知された場合に前記設備機器に対する不正アクセスが発生したものと決定するように構成された判断部と
を備えた不正アクセス監視装置。
【請求項２】
請求項１に記載の不正アクセス監視装置において、
前記通知を検知した時刻を取得するように構成された時刻取得部をさらに備え、
前記判断部は、前記時刻取得部が取得した時刻に基づいて、前記通知が前記設定された時刻に検知されたか否かを判断する
ことを特徴とする不正アクセス監視装置。
【請求項３】
請求項１または請求項２に記載の不正アクセス監視装置において、
前記設定された時刻は、一定の時間間隔で生ずる複数の時刻であることを特徴とする不正アクセス監視装置。
【請求項４】
請求項１から３のいずれか１項に記載の不正アクセス監視装置において、
前記通知は、前記設備機器が計測した計測値の変化を示す通知であることを特徴とする不正アクセス監視装置。
【請求項５】
請求項１から４のいずれか１項に記載の不正アクセス監視装置において、
前記判断部が、不正アクセスが発生したものと決定した場合に、警報を出力するように構成された警報部をさらに備えることを特徴とする不正アクセス監視装置。
【請求項６】
設備機器が通信ネットワークを介して送信した通知を検知する監視ステップと、
前記監視ステップで検知された前記通知が、設定された時刻に検知されたか否かを判断し、前記通知が前記設定された時刻とは異なる時刻に検知された場合に前記設備機器に対する不正アクセスが発生したものと決定する判断ステップと
を備える不正アクセス監視方法。
【請求項７】
請求項６に記載の不正アクセス監視方法において、
前記通知を検知した時刻を取得するように構成された時刻取得ステップをさらに備え、
前記判断ステップは、前記時刻取得ステップで取得された時刻に基づいて、前記通知が前記設定された時刻に検知されたか否かを判断する
ことを特徴とする不正アクセス監視方法。
【請求項８】
設備機器と、前記設備機器と通信ネットワークを介して接続されて前記設備機器を制御および監視する中央監視装置と、前記通信ネットワークに接続されて前記設備機器に対する不正アクセスを監視する不正アクセス監視装置とを備え、
前記不正アクセス監視装置は、
前記設備機器が前記通信ネットワークを介して送信した通知を検知するように構成された監視部と、
前記監視部が検知した前記通知が、設定された時刻に検知されたか否かを判断し、前記通知が前記設定された時刻とは異なる時刻に検知された場合に前記設備機器に対する不正アクセスが発生したものと決定するように構成された判断部と
を備える中央監視システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、不正アクセス監視装置、不正アクセス監視方法、および中央監視システムに関し、特に中央監視システムにおける不正アクセスの監視技術に関する。
【背景技術】
【０００２】
従来、ビル建物に設置されている各種設備を管理する設備管理システムとして、ＢＡＣｎｅｔ（Ｂｕｉｌｄｉｎｇ  Ａｕｔｏｍａｔｉｏｎ  ａｎｄ  Ｃｏｎｔｒｏｌ  Ｎｅｔｗｏｒｋｉｎｇ  ｐｒｏｔｏｃｏｌ：登録商標）と呼ばれるインテリジェントビル用ネットワークのための通信プロトコル規格を利用した、いわゆるＢＡＣｎｅｔシステムが普及しつつある。
【０００３】
例えば、特許文献１は、設備に設けられているフィールド機器からデータを収集するコントローラと、コントローラがＢＡＣｎｅｔなどの通信ネットワークを介して複数接続され、フィールド機器からのデータによって設備に関する情報を表示する中央監視装置とを有する中央監視システムを開示している。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００７−１９９７９８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
このようなＢＡＣｎｅｔシステムは、元々クローズドな環境に適用されていたため、不正アクセスに関しては、これまであまり重要視されていなかった。しかしながら、近年、ＩｏＴや他のシステムとの連携が進みつつあり、外部からアクセス可能なオープンな環境に変わりつつある。このため、悪意のある者が、不正アクセスしてＢＡＣｎｅｔシステムに接続できた場合、ＢＡＣｎｅｔシステム内の各種機器が様々に不正操作される可能性があるという問題点があった。
【０００６】
例えば、ＢＡＣｎｅｔプロトコルにおけるアナログ入力点（Ａｎａｌｏｇ  Ｉｎｐｕｔ（ＡＩ）ポイント）は、室温や湿度などの環境指数を中央監視装置で監視するために使われることがある。攻撃を行う者がそのＡＩポイントが属するデバイスを偽って中央監視装置に値変化通知（Ｃｈａｎｇｅ  Ｏｆ  Ｖａｌｕｅ：ＣＯＶ）を送信することで、中央監視装置上のモニタ画面に偽りの室温や室内湿度を表示させることが可能である。
【０００７】
また、中央監視装置上で動作する制御プログラム、例えば、空調制御プログラムに、偽りの室温や室内湿度を入力として与えることが可能である。このことを利用して、特定のエリアの室温、例えば、データセンタ室などの室温を実際より低く偽装することで冷房を止め、データセンタ室内に設置されているサーバにダメージを与えるなどの攻撃が可能となる。
【０００８】
本発明は、上述した課題を解決するためになされたものであり、中央監視装置の情報処理能力に影響を与えずに通信ネットワークにおける不正アクセスを監視することができる不正アクセス監視技術を提供することを目的とする。
【課題を解決するための手段】
【０００９】
上述した課題を解決するために、本発明に係る不正アクセス監視装置は、設備機器が通信ネットワークを介して送信した通知を検知するように構成された監視部と、前記監視部が検知した前記通知が、設定された時刻に検知されたか否かを判断し、前記通知が前記設定された時刻とは異なる時刻に検知された場合に前記設備機器に対する不正アクセスが発生したものと決定するように構成された判断部とを備える。
【００１０】
また、本発明に係る不正アクセス監視装置において、前記通知を検知した時刻を取得するように構成された時刻取得部をさらに備え、前記判断部は、前記時刻取得部が取得した時刻に基づいて、前記通知が前記設定された時刻に検知されたか否かを判断してもよい。
【００１１】
また、本発明に係る不正アクセス監視装置において、前記設定された時刻は、一定の時間間隔で生ずる複数の時刻であってもよい。
【００１２】
また、本発明に係る不正アクセス監視装置において、前記通知は、前記設備機器が計測した計測値の変化を示す通知であってもよい。
【００１３】
また、本発明に係る不正アクセス監視装置において、前記判断部が不正アクセスが発生したものと決定した場合に、警報を出力するように構成された警報部をさらに備えていてもよい。
【００１４】
上述した課題を解決するために、本発明に係る不正アクセス監視方法は、設備機器が通信ネットワークを介して送信した通知を検知する監視ステップと、前記監視ステップで検知された前記通知が、設定された時刻に検知されたか否かを判断し、前記通知が前記設定された時刻とは異なる時刻に検知された場合に前記設備機器に対する不正アクセスが発生したものと決定する判断ステップとを備える。
【００１５】
また、本発明に係る不正アクセス監視方法において、前記通知を検知した時刻を取得するように構成された時刻取得ステップをさらに備え、前記判断ステップは、前記時刻取得ステップで取得された時刻に基づいて、前記通知が前記設定された時刻に検知されたか否かを判断してもよい。
【００１６】
上述した課題を解決するために、本発明に係る中央監視システムは、設備機器と、前記設備機器と通信ネットワークを介して接続されて前記設備機器を制御および監視する中央監視装置と、前記通信ネットワークに接続されて前記設備機器に対する不正アクセスを監視する不正アクセス監視装置とを備え、前記不正アクセス監視装置は、前記設備機器が前記通信ネットワークを介して送信した通知を検知するように構成された監視部と、前記監視部が検知した前記通知が、設定された時刻に検知されたか否かを判断し、前記通知が前記設定された時刻とは異なる時刻に検知された場合に前記設備機器に対する不正アクセスが発生したものと決定するように構成された判断部とを備える。
【発明の効果】
【００１７】
本発明によれば、設備機器が通信ネットワークを介して送信した通知が、設定された時刻に検知されたか否かを不正アクセス監視装置が判断するので、中央監視装置の情報処理能力に影響を与えずに、通信ネットワークにおける不正アクセスを監視することができる。
【図面の簡単な説明】
【００１８】
【図１】図１は、本発明の実施の形態に係る不正アクセス監視装置の構成を示すブロック図である。
【図２】図２は、本実施の形態に係る不正アクセス監視装置のハードウェア構成を示すブロック図である。
【図３】図３は、本実施の形態に係る不正アクセス監視装置の動作を説明するためのフローチャートである。
【発明を実施するための形態】
【００１９】
以下、本発明の好適な実施の形態について、図１から図３を参照して詳細に説明する。
本発明の実施の形態に係る不正アクセス監視装置１は、例えば、ビルディングオートメーション（ＢＡ）システムなどの中央監視システムに設けられる。ＢＡシステムは、例えばオフィスビルなどのビルに設置されている空調機器、照明機器、セキュリティ設備などの各種設備の集中管理および制御を行う。
【００２０】
本実施の形態に係る中央監視システムは、管理対象の情報を一元的に管理する中央監視装置３、中央監視装置３が管理および制御を行う設備機器２、および通信ネットワークＮＷ上の設備機器２に対する不正アクセスを監視する不正アクセス監視装置１を備える。中央監視装置３と、設備機器２と、不正アクセス監視装置１とはＢＡＣｎｅｔなどの通信プロトコルが用いられる通信ネットワークＮＷを介して互いに接続されている。
【００２１】
設備機器２には、フィールド機器などの各種機器が含まれ、例えば、室温や湿度などの環境指数を計測する。フィールド機器の具体例としては、空調機器、ファン、温度センサ等がある。
【００２２】
設備機器２は、室温や湿度などのアナログ値を計測し、予め設定された通知時刻に通信ネットワークＮＷを介して中央監視装置３に計測値に関する通知を送信する。例えば、設備機器２は、一定の時間間隔で、最新の計測値に関する情報を中央監視装置３に送信する。このとき、設備機器２は、次に到来する通知時刻での計測値と、一定間隔前の通知時刻での計測値との差分が所定のしきい値を超える場合に、値変化通知（以下、ＣＯＶ通知という。）を次に到来する通知時刻に送信する。
【００２３】
具体的には、設備機器２は、ＣＯＶ  Ｉｎｃｒｅｍｅｎｔで設定された計測値の増減分に所定の変化があった場合にＣＯＶ通知を中央監視装置３に送信する。
【００２４】
例えば、設備機器２が温度センサである場合、温度センサが継続的に計測する室内の温度や湿度の最新の値は、例えば、３０秒間隔などの時間間隔で中央監視装置３に送信される。より具体的には、設備機器２は、現在時刻から３０秒程度前の前回のＣＯＶ通知で通知した室内の温度と、現在の室内の温度との増減の変化分が設定されたしきい値を超える場合、ＢＡＣｎｅｔ通信などにより通信ネットワークＮＷを介してＣＯＶ通知を中央監視装置３に送信する。しきい値は、許容される室内温度の変化の基準として設定される値である。なお、上記変化分がしきい値以下の場合には、通知時刻であってもＣＯＶ通知は送信されない。
【００２５】
また、ＣＯＶ通知を送信する時刻として設定された通知時刻の時間間隔は、通信ネットワークＮＷにおける回線のジッタなどが不正アクセス監視装置１の監視を困難としない範囲で、設備機器２が計測する値の性質に応じて設定すればよい。例えば、上記具体例のように、設備機器２が温度センサである場合には、通常、環境指数である室内の温度や湿度は短時間に大きな変化は発生しないため、時間間隔を比較的長く設定することができる。
【００２６】
次に、不正アクセス監視装置１の構成について説明する。不正アクセス監視装置１は、通信ネットワークＮＷ上の設備機器２に対する不正アクセスを監視する。ここで、不正アクセスとは、例えば、外部などから通信ネットワークＮＷ上の設備機器２に直接的または間接的にアクセスし、設備機器２の計測値を偽装して実際とは異なる計測値に基づくＣＯＶ通知を中央監視装置３に送信すること等をいう。
【００２７】
図１に示すように、不正アクセス監視装置１は、ＣＯＶ監視部（監視部）１０、時刻取得部１１、判断部１２、警報部１３、および記憶部１４を備える。
【００２８】
ＣＯＶ監視部１０は、設備機器２が通信ネットワークＮＷを介して送信したＣＯＶ通知を検知する。例えば、ＣＯＶ監視部１０は、通信ネットワークＮＷ上を流れる全てのパケットをキャプチャして、キャプチャしたパケットを解析して設備機器２が送信したＣＯＶ通知を検知することができる。
【００２９】
あるいは、ＣＯＶ監視部１０は、所定のフロープロトコルを用いて、予め指定した送信先ＩＰアドレス、送信元ＩＰアドレスなどのフロー条件に合致するパケットのみを取得して、解析に必要なヘッダなど必要な情報のみを取得する構成としてもよい。
【００３０】
時刻取得部１１は、ＣＯＶ監視部１０がＣＯＶ通知を検知した時刻を取得する。時刻取得部１１は、例えば、不正アクセス監視装置１が備える内蔵時計１０７やタイムサーバ（図示しない）を参照して、ＣＯＶ通知が検知された時刻を取得することができる。
【００３１】
判断部１２は、ＣＯＶ監視部１０が検知したＣＯＶ通知が、設定された時刻に検知されたか否かを判断する。判断部１２が判断に用いる「設定された時刻」は、設備機器２が一定の時間間隔でＣＯＶ通知を中央監視装置３に送信する時刻として設定されている通知時刻に対応する時刻である。
【００３２】
判断部１２は、時刻取得部１１が取得したＣＯＶ通知を検知した時刻に基づいて、設備機器２が送信したＣＯＶ通知が、設定された時刻に検知されたか否かを判断する。判断部１２は、ＣＯＶ通知を検知した時刻が、設定された時刻とは異なる時刻である場合には、設備機器２に対する不正アクセスが発生したものと決定する。なお、設定された時刻に関する情報は、予め記憶部１４に記憶されているものとする。
【００３３】
判断部１２が用いる「設定された時刻」は、設備機器２がＣＯＶ通知を送信する通知時刻に対して、通信による遅延時間の影響を考慮した時刻を用いることができる。
【００３４】
警報部１３は、判断部１２による判断結果に基づいて警報を出力する。具体的には、警報部１３は、判断部１２が不正アクセスが発生したものと決定した場合には、警報を示す信号を生成し、ＢＡＣｎｅｔ通信などにより、通信ネットワークＮＷを介して中央監視装置３に送信することができる。あるいは、不正アクセス監視装置１が備える図示されない表示画面にテキストデータを表示したり、ＬＥＤの点滅、スピーカからの音声出力などによって警報を示す情報を出力してもよい。また、通信ネットワークＮＷ上の特定の通信端末（図示しない）に対して警報を送信する構成を採用してもよい。
【００３５】
記憶部１４は、ＣＯＶ監視部１０によってＣＯＶ通知が検知される時刻である、予め設定された時刻に関する情報を記憶している。記憶部１４は、設備機器２の識別情報と紐づけて、設定された時刻に関する情報を記憶することができる。また、記憶部１４は、設備機器２が送信したＣＯＶ通知を検知した時刻を記録する。
【００３６】
［不正アクセス監視装置のハードウェア構成］
次に、上述した構成を有する不正アクセス監視装置１のハードウェア構成の一例について、図２を参照して説明する。
【００３７】
図２に示すように、不正アクセス監視装置１は、例えば、バス１０１を介して接続されるＣＰＵ１０２、主記憶装置１０３、通信インターフェース１０４、補助記憶装置１０５、入出力インターフェース１０６を備えるコンピュータと、これらのハードウェア資源を制御するプログラムによって実現することができる。
【００３８】
主記憶装置１０３には、ＣＰＵ１０２が各種制御や演算を行うためのプログラムが予め格納されている。ＣＰＵ１０２と主記憶装置１０３とによって、図１に示した判断部１２など、不正アクセス監視装置１の各機能が実現される。
【００３９】
通信インターフェース１０４は、通信ネットワークＮＷを介して設備機器２が送信したＣＯＶ通知を受信したり、中央監視装置３との通信を行うためのインターフェース回路である。
【００４０】
補助記憶装置１０５は、読み書き可能な記憶媒体と、その記憶媒体に対してプログラムやデータなどの各種情報を読み書きするための駆動装置とで構成されている。補助記憶装置１０５には、記憶媒体としてハードディスクやフラッシュメモリなどの半導体メモリを使用することができる。
【００４１】
補助記憶装置１０５は、不正アクセス監視装置１が不正アクセスを監視するためのプログラムを格納するプログラム格納領域を有する。補助記憶装置１０５によって、図１で説明した記憶部１４が実現される。さらには、例えば、上述したデータやプログラムやなどをバックアップするためのバックアップ領域などを有していてもよい。
【００４２】
入出力インターフェース１０６は、外部機器からの信号を入力したり、外部機器へ信号を出力したりするＩ／Ｏ端子により構成される。
【００４３】
内蔵時計１０７は、時刻を計時して現在時刻を示す信号を供給する。内蔵時計１０７の代わりに通信インターフェース１０４を介して外部のタイムサーバから現在時刻を取得してもよい。
【００４４】
［不正アクセス監視装置の動作］
次に、上述した構成を有する不正アクセス監視装置１の動作について、図３のフローチャートを用いて説明する。以下においては、設備機器２によるＣＯＶ通知を検知する時刻として、予め設定された時刻に関する情報が、事前に記憶部１４に記憶されているものとする。
【００４５】
まず、ＣＯＶ監視部１０は、通信ネットワークＮＷ上を流れるパケットのキャプチャを開始する（ステップＳ１）。次に、ＣＯＶ監視部１０は、キャプチャされたパケットを解析して、設備機器２が送信したＣＯＶ通知を検知する（ステップＳ２）。その後、時刻取得部１１は、不正アクセス監視装置１が備える内蔵時計１０７を参照して、ＣＯＶ通知を検知した時刻を取得する（ステップＳ３）。
【００４６】
次に、判断部１２は、設備機器２からのＣＯＶ通知を検知した時刻が、設定された時刻とは異なる場合には（ステップＳ４：ＮＯ）、不正アクセスが発生したものと決定し、警報部１３は警報を出力する（ステップＳ４）。より詳細には、判断部１２は、記憶部１４に記憶されている、設備機器２からのＣＯＶ通知を検知する時刻として、予め設定された時刻を読み出して、ステップＳ３で取得されたＣＯＶ通知を検知した時刻が、設定された時刻と一致するか否かを判断する。
【００４７】
例えば、不正アクセス監視装置１がＣＯＶ通知を受信する時間間隔が、３０秒に設定されている場合を考える。この場合、ＣＯＶ監視部１０が前回受信したＣＯＶ通知の検知時刻から３０秒の整数倍の時刻に今回受信されたＣＯＶ通知が検知されていれば、判断部１２は、ＣＯＶ通知は設定された時刻に検知された通知であると判断する。
【００４８】
一方において、前回検知されたＣＯＶ通知から３０秒の整数倍以外の時刻に今回のＣＯＶ通知が検知されている場合、判断部１２は、不正アクセスが発生したものと決定する。例えば、通信におけるネットワーク速度の遅延を考慮して、時間間隔の３０秒に対して一定の許容誤差（例えば、１秒未満）を含めることができる。この場合、３０秒から１秒以上前後してＣＯＶ通知が検知された場合に、不正アクセスが発生したものと決定してもよい。
【００４９】
以上説明したように、本実施の形態によれば、設備機器２によるＣＯＶ通知が検知された時刻が、予め設定されたＣＯＶ通知の受信タイミングで検知されたか否かを通信ネットワークＮＷ上に設置された不正アクセス監視装置１が判定する。そのため、中央監視装置３の情報処理能力に影響を与えずに、通信ネットワークＮＷにおける不正アクセスを監視することができる。
【００５０】
なお、説明した実施の形態では、設備機器２からのＣＯＶ通知を検知する時刻として、設定された時刻に関する情報は、固定値として予め記憶部１４に記憶されている場合について説明した。しかし、ＣＯＶ通知の通知時刻が中央監視装置３においてアルゴリズムにより動的に設定されている場合には、これに応じてＣＯＶ通知を検知する時刻も動的に設定することができる。この場合、不正アクセス監視装置１は、通信ネットワークＮＷを介して、中央監視装置３から動的に設定された時刻や時間間隔に関する情報を取得する。
【００５１】
また、説明した実施の形態では、通信ネットワークＮＷを介して接続されている設備機器２は１台である場合を例に挙げて説明したが、設備機器２の数は、複数であってもよい。この場合、設備機器２毎に、識別情報と紐づけられたＣＯＶ通知を検知する時刻として設定された時刻に関する情報が記憶部１４に記憶されている。
【００５２】
以上、本発明の不正アクセス監視装置、不正アクセス監視方法、および中央監視システムにおける実施の形態について説明したが、本発明は説明した実施の形態に限定されるものではなく、請求項に記載した発明の範囲において当業者が想定し得る各種の変形を行うことが可能である。
【符号の説明】
【００５３】
１…不正アクセス監視装置、２…設備機器、３…中央監視装置、１０…ＣＯＶ監視部、１１…時刻取得部、１２…判断部、１３…警報部、１４…記憶部、１０１…バス、１０２…ＣＰＵ、１０３…主記憶装置、１０４…通信インターフェース、１０５…補助記憶装置、１０６…入出力インターフェース、１０７…内蔵時計、ＮＷ…通信ネットワーク。
【図１】
2020119273.tif 000003
【図２】
2020119273.tif 000004
【図３】
2020119273.tif 000005