(57)【要約】【課題】正規の制御コマンドを機器の状態に応じて適切に遮断すること。【解決手段】不正侵入防止装置１０は、制御対象機器３０から該制御対象機器３０の状態を示す通知を受信する。また、不正侵入防止装置１０は、制御装置２０から制御対象機器３０へ送信された制御コマンドを受信する。そして、不正侵入防止装置１０は、制御コマンドを受信すると、受信した制御対象機器３０の状態に応じて、制御コマンドの通過を許可するか遮断するかを判定する。【選択図】図１
2018073247.tif 000002
【特許請求の範囲】
【請求項１】
制御対象機器から該制御対象機器の状態を示す通知を受信する受信部と、
制御装置から前記制御対象機器へ送信された制御コマンドを受信する監視部と、
前記受信部によって受信された前記制御対象機器の状態に応じて、前記監視部によって受信された制御コマンドの通過を許可するか遮断するかを判定する判定部と
を備えることを特徴とする不正侵入防止装置。
【請求項２】
前記制御対象機器の現在の状態と前記制御コマンドを受信することにより移行する移行後の状態との組ごとに、前記制御コマンドの通過を許可するか遮断するかを示す処理内容が規定されたテーブルを記憶する記憶部と、
前記受信部によって受信された通知から前記制御対象機器の現在の状態を特定するとともに、前記監視部によって受信された制御コマンドを前記制御対象機器が受信した場合に移行する移行後の状態を特定する特定部と、をさらに備え、
前記判定部は、前記特定部によって特定された現在の状態および移行後の状態の組に対応する処理内容を前記記憶部に記憶されたテーブルから取得し、該処理内容に従って、前記監視部によって受信された制御コマンドの通過を許可するか遮断するかを判定することを特徴とする請求項１に記載の不正侵入防止装置。
【請求項３】
前記テーブルは、前記処理内容として、外部の装置に異常を通知するか否かが規定され、
前記判定部は、前記特定部によって特定された現在の状態および移行後の状態の組に対応する処理内容を前記記憶部に記憶されたテーブルから取得し、該処理内容に従って、前記監視部によって受信された制御コマンドの通過を許可するか遮断するかを判定するとともに、外部の装置に異常を通知することを特徴とする請求項２に記載の不正侵入防止装置。
【請求項４】
前記判定部は、前記制御対象機器の状態に応じて、前記監視部によって受信された制御コマンドの通過を許可するか遮断するかを判定し、通過を許可すると判定した場合には、前記制御コマンドを前記制御対象機器に送信し、遮断すると判定した場合には、前記制御コマンドを破棄することを特徴とする請求項１に記載の不正侵入防止装置。
【請求項５】
前記監視部は、前記制御装置から前記制御対象機器へ送信された制御コマンドをネットワーク機器から受信し、
前記判定部は、前記制御対象機器の状態に応じて、前記監視部によって受信された制御コマンドの通過を許可するか遮断するかを判定し、通過を許可すると判定した場合には、前記制御コマンドを前記制御対象機器へ送信することをネットワーク機器に指示し、遮断すると判定した場合には、前記制御コマンドを破棄することを前記ネットワーク機器に指示することを特徴とする請求項１に記載の不正侵入防止装置。
【請求項６】
不正侵入防止装置によって実行される不正侵入防止方法であって、
制御対象機器から該制御対象機器の状態を示す通知を受信する受信工程と、
制御装置から前記制御対象機器へ送信された制御コマンドを受信する監視工程と、
前記受信工程によって受信された前記制御対象機器の状態に応じて、前記監視工程によって受信された制御コマンドの通過を許可するか遮断するかを判定する判定工程と
を含んだことを特徴とする不正侵入防止方法。
【請求項７】
制御対象機器から該制御対象機器の状態を示す通知を受信する受信ステップと、
制御装置から前記制御対象機器へ送信された制御コマンドを受信する監視ステップと、
前記受信ステップによって受信された前記制御対象機器の状態に応じて、前記監視ステップによって受信された制御コマンドの通過を許可するか遮断するかを判定する判定ステップと
をコンピュータに実行させる不正侵入防止プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、不正侵入防止装置、不正侵入防止方法および不正侵入防止プログラムに関する。
【背景技術】
【０００２】
インターネットテクノロジ（以下ＩＴ（Information  Technology）と記載）の世界では、マルウェアやＤＤｏＳ（Distributed  Denial  of  Service  Attack）と言ったサイバー攻撃が行われるようになり、ＩＤＳ（Intrusion  Detection  System）、ＩＰＳ（Intrusion  Prevention  System）やＦＷ（Firewall）といったセキュリティ技術が発達してきた。これらの技術をオペレーションテクノロジ（以下ＯＴ（Operational  Technology）と記載）に導入することが始まっている。
【０００３】
ＩＴではネットワーク内のすべての情報を情報資産と考え、当該資産価値が、漏えい、削除、改変等の理由から滅却することを防ぐことをセキュリティ確保の目的としている。一方で、ＯＴの世界では制御対象機器が重要インフラ自体やそれを利用する人命に危険を及ぼす事態を防ぐことをセキュリティ確保の目的とする必要がある。
【０００４】
産業用システムでは、制御装置が産業用機器に接続した制御対象機器に対して制御コマンドをパケットとして送信することで制御を行っている。例えば、このような産業用システムでは、図１３に例示するように、ＩＴ側の制御装置２００が、ＯＴ側の各産業用機器３００とそれぞれ接続する各制御対象機器４００に対して制御コマンドのパケットを送信する。図１３は、従来の産業システムの全体構成を示す概略図である。
【０００５】
また、このような産業システムでは、制御装置２００が送信するパケットが、制御コマンドとして定義された仕様に反した不正なパケットであるかを、ＩＴ用のＩＤＳまたはＩＰＳで判定し、不正なパケットを遮断したり異常を通知したりすることができる。
【０００６】
また、このような産業システムにおいて、インターロック機構として、誤操作や確認不足により適正な手順以外の手順による操作が行われるのを防止するものや、正常な製造・運転の行われる条件を逸脱した時に設備に対する原材料の供給を遮断するものなど製造や機器の運転を制御するものが知られている。
【先行技術文献】
【非特許文献】
【０００７】
【非特許文献１】“McAfee  Network  Security  Platform”、［online］、Intel  Corporation、［平成28年8月18日検索］、インターネット＜http://www.mcafee.com/jp/promos/nsp/index.aspx＞
【発明の概要】
【発明が解決しようとする課題】
【０００８】
しかしながら、上記した従来の技術では、不正なパケットを遮断することができるが、正規の制御コマンドのパケットを機器の状態に応じて適切に遮断することができないという課題があった。つまり、産業用システムでは、制御装置が制御対象機器に対して制御コマンドをパケットとして送信することで制御を行っているが、このようなコマンドとして定義された仕様に則った正規のパケットであっても、制御対象機器の状態によっては異常な状態を引き起こしてしまう場合がある。従来の技術では、このような正規の制御コマンドのパケットを機器の状態に応じて適切に遮断することができない。
【課題を解決するための手段】
【０００９】
上述した課題を解決し、目的を達成するために、本発明の不正侵入防止装置は、制御対象機器から該制御対象機器の状態を示す通知を受信する受信部と、制御装置から前記制御対象機器へ送信された制御コマンドを受信する監視部と、前記受信部によって受信された前記制御対象機器の状態に応じて、前記監視部によって受信された制御コマンドの通過を許可するか遮断するかを判定する判定部とを備えることを特徴とする。
【００１０】
また、本発明の不正侵入防止方法は、不正侵入防止装置によって実行される不正侵入防止方法であって、制御対象機器から該制御対象機器の状態を示す通知を受信する受信工程と、制御装置から前記制御対象機器へ送信された制御コマンドを受信する監視工程と、前記受信工程によって受信された前記制御対象機器の状態に応じて、前記監視工程によって受信された制御コマンドの通過を許可するか遮断するかを判定する判定工程とを含んだことを特徴とする。
【００１１】
また、本発明の不正侵入防止プログラムは、制御対象機器から該制御対象機器の状態を示す通知を受信する受信ステップと、制御装置から前記制御対象機器へ送信された制御コマンドを受信する監視ステップと、前記受信ステップによって受信された前記制御対象機器の状態に応じて、前記監視ステップによって受信された制御コマンドの通過を許可するか遮断するかを判定する判定ステップとをコンピュータに実行させることを特徴とする。
【発明の効果】
【００１２】
本発明によれば、正規の制御コマンドを機器の状態に応じて適切に遮断することができるという効果を奏する。
【図面の簡単な説明】
【００１３】
【図１】図１は、第１の実施形態に係る監視制御ネットワークシステムの全体構成を示す概略図である。
【図２】図２は、サーバの状態遷移を説明する図である。
【図３】図３は、サーバが全稼働中に筐体電源断コマンドを受信した場合の状態について説明する図である。
【図４】図４は、第１の実施形態に係る不正侵入防止装置の構成を示すブロック図である。
【図５】図５は、許可ルール記憶部が記憶するテーブルの一例を示す図である。
【図６】図６は、許可ルール記憶部が記憶するテーブルの一例を示す図である。
【図７】図７は、状態情報記憶部が記憶する情報の一例を示す図である。
【図８】図８は、制御対象機器の状態、時間帯および産業用機器の場所に基づく許可ルールが規定されたテーブルのイメージを示す図である。
【図９】図９は、不正侵入防止装置による処理の概要を説明する図である。
【図１０】図１０は、第１の実施形態に係る不正侵入防止装置における処理の流れの一例を示すフローチャートである。
【図１１】図１１は、第２の実施形態に係る監視制御ネットワークシステムの全体構成を示す概略図である。
【図１２】図１２は、不正侵入防止プログラムを実行するコンピュータを示す図である。
【図１３】図１３は、従来の産業システムの全体構成を示す概略図である。
【発明を実施するための形態】
【００１４】
以下に、本願に係る不正侵入防止装置、不正侵入防止方法および不正侵入防止プログラムの実施形態を図面に基づいて詳細に説明する。なお、この実施形態により本願に係る不正侵入防止装置、不正侵入防止方法および不正侵入防止プログラムが限定されるものではない。
【００１５】
（第１の実施形態）
まず、図１を用いて、監視制御ネットワークシステムの構成例を説明する。図１は、第１の実施形態に係る監視制御ネットワークシステムの全体構成を示す概略図である。第１の実施形態に係る監視制御ネットワークシステムは、不正侵入防止装置１０、制御装置２０、制御対象機器３０、産業用機器４０、スケジューラ５０および管理監視装置６０を有する。なお、図１に示す構成は一例にすぎず、具体的な構成や各装置の数は特に限定されない。
【００１６】
第１の実施形態に係る監視制御ネットワークシステムは、例えば、電力、ガス、水道、化学、石油などの各種インフラを監視制御するシステムである。このような第１の実施形態に係る監視制御ネットワークシステムでは、制御装置２０が産業用機器４０に接続した制御対象機器３０に対して不正侵入防止装置１０を介して制御コマンドを送信する。
【００１７】
不正侵入防止装置１０は、定期的に制御対象機器３０から制御対象機器３０の状態の通知を受信する。また、不正侵入防止装置１０は、制御装置２０から制御対象機器３０宛てに送信される制御コマンドのパケットを受信すると、制御対象機器３０の状態に応じて、制御コマンドのパケットの通過を許可するか遮断するかを判定する。そして、不正侵入防止装置１０は、通過を許可すると判定した場合には、制御対象機器３０に対して制御コマンドのパケットを送信し、遮断すると判定した場合には、制御コマンドのパケットを破棄する。
【００１８】
例えば、不正侵入防止装置１０は、正規の制御コマンドのパケットであっても、制御対象機器３０の状態によって通過を許可すべきでない制御コマンドのパケットについては遮断する。具体例を挙げて説明すると、不正侵入防止装置１０は、例えば、制御対象機器３０がサーバであって稼働中である場合に、電源断の制御コマンドを受信すると、サーバに故障の危険があるケースがあるため、通過を許可すべきでない制御コマンドのパケットと判定し、制御コマンドのパケットを遮断する。不正侵入防止装置１０の詳しい説明については後述する。なお、以下では、制御対象機器３０がサーバである場合を例として適宜説明するものとする。
【００１９】
制御装置２０は、制御対象機器３０に対して制御コマンドを送信することで、制御対象機器３０の動作等を制御する。例えば、制御装置２０は、制御対象機器３０に対して電源投入を指示する制御コマンドや、電源断を指示する制御コマンドを送信する。
【００２０】
制御対象機器３０は、制御装置２０が送信する制御コマンドに従って動作する機器である。また、制御対象機器３０は、制御装置２０から制御コマンドを受信すると、受信した制御コマンドに応じて状態が遷移するものとする。以下では、制御対象機器３０が、筐体にブレードが搭載されたサーバである場合を例にして、図２を用いて、サーバの状態遷移を説明する。
【００２１】
図２に例示するように、制御対象機器３０であるサーバの電源投入に関する状態として、サーバの稼働が停止している「全停止」と、筐体が稼働しているがブレードが停止している「筐体稼働・ブレード停止」と、筐体およびブレードが稼働している「全稼働」とがあるものとする。
【００２２】
そして、制御対象機器３０であるサーバの状態が「全停止」である場合に、制御装置２０から筐体電源投入を指示する制御コマンドを受信すると、状態が「筐体稼働・ブレード停止」に遷移する（図２の（１）参照）。また、サーバの状態が「筐体稼働・ブレード停止」である場合に、制御装置２０からブレード電源投入を指示する制御コマンドを受信すると、状態が「全稼働」に遷移する（図２の（２）参照）。
【００２３】
また、サーバの状態が「全稼働」である場合に、制御装置２０からブレード電源断を指示する制御コマンドを受信すると、状態が「筐体稼働・ブレード停止」に遷移する（図２の（３）参照）。また、サーバの状態が「筐体稼働・ブレード停止」である場合に、制御装置２０から筐体電源断を指示する制御コマンドを受信すると、状態が「全停止」に遷移する（図２の（４）参照）。
【００２４】
図２に例示した状態遷移はサーバにおいて何も問題が発生しない状態遷移の例である。一方、サーバに問題が発生する可能性がある状態遷移について図３を用いて説明する。図３に例示するように、サーバの状態が「全稼働」である場合に、制御装置２０から筐体電源断を指示する制御コマンドを受信すると、状態が「全停止」に遷移することになる。この場合に、筐体およびブレードが稼働している「全稼働」の状態から筐体およびブレードの電源を停止して、「全停止」の状態に遷移させると、ブレードに故障が発生する危険性がある。このため、このような状態遷移を起こす原因となる制御コマンドは、正規なものであっても通過を許可すべきでない制御コマンドであるといえる。
【００２５】
産業用機器４０は、制御対象機器３０に接続されたインフラ設備に関する機器である。例えば、産業用機器４０は、工場やビルにおいて設けられた工場の機械（例えば、モーターや発電機等）やビルの設備等である。また、産業用機器４０は、工場やビルに備え付けられたものに限られるものではなく、例えば、工場に物を運ぶための移動可能なタンクローリーやコンクリートミキサー車等であってもよい。
【００２６】
スケジューラ５０は、現在の日付や時刻、工場やビルのスケジュールを管理する装置である。スケジューラ５０は、現在の日付や時刻から平日の勤務時間帯である日勤帯であるか、勤務時間外の夜間帯であるか、勤務日でない休日帯であるか等を判定し、現在の日付や時刻に依存する状態を不正侵入防止装置１０に送信する。
【００２７】
管理監視装置６０は、不正侵入防止装置１０からメッセージを受信し、制御装置２０から送信される制御コマンドに関して異常がないかを監視する。例えば、管理監視装置６０は、不正侵入防止装置１０から制御コマンドの通過について問題ないかを注意させるメッセージや、制御コマンドについての異常を警告するメッセージを受信し、手動又は自動で制御コマンドに関して異常がないかを監視する。
【００２８】
［不正侵入防止装置の構成］
次に、図４を用いて、図１に示した不正侵入防止装置１０の構成を説明する。図４は、第１の実施形態に係る不正侵入防止装置の構成を示すブロック図である。図４に示すように、この不正侵入防止装置１０は、通信処理部１１、制御部１２および記憶部１３を有する。
【００２９】
通信処理部１１は、接続される制御装置２０、制御対象機器３０、産業用機器４０、スケジューラ５０および管理監視装置６０との間でやり取りする各種情報に関する通信を制御する。例えば、通信処理部１１は、制御対象機器３０から制御対象機器３０の状態の通知を受信する。また、通信処理部１１は、制御装置２０から制御対象機器３０宛てに送信される制御コマンドのパケットを受信する。
【００３０】
また、記憶部１３は、制御部１２による各種処理に必要なデータおよびプログラムを格納するが、特に本発明に密接に関連するものとしては、許可ルール記憶部１３ａと、状態情報記憶部１３ｂとを有する。例えば、記憶部１３は、ＲＡＭ（Random  Access  Memory）、フラッシュメモリ（Flash  Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置などである。
【００３１】
許可ルール記憶部１３ａは、制御対象機器３０の現在の状態と制御コマンドを受信することにより移行する移行後の状態との組ごとに、制御コマンドの通過を許可するか遮断するかを示す処理内容が規定されたテーブルを記憶する。また、許可ルール記憶部１３ａが記憶するテーブルには、処理内容として、管理監視装置６０に異常を通知するか否かが規定されている。ここで、図５および図６を用いて、許可ルール記憶部１３ａが記憶するテーブルの一例について説明する。図５および図６は、許可ルール記憶部が記憶するテーブルの一例を示す図である。なお、許可ルール記憶部１３ａに記憶されるテーブルは事前に設定されたものであり、テーブルに規定する内容は適宜変更可能であるものとする。
【００３２】
図５に例示するテーブルは、平日の勤務時間帯である日勤帯に参照される許可ルールである。また、図６に例示するテーブルは、勤務時間外の夜間帯であるか、勤務日でない休日帯に参照される許可ルールである。図５および図６に示すように、許可ルール記憶部１３ａに記憶されるテーブルでは、制御対象機器３０の「現在の状態」と制御コマンドを受信することにより移行する「移行後の状態」とに対応付けて、制御コマンドの通過を「許可」するか、制御コマンドの通過を「禁止」するかが規定されている。
【００３３】
また、許可ルール記憶部１３ａに記憶されるテーブルでは、異常を通知する必要がある場合には、制御コマンドの通過について問題ないかを注意させるメッセージを管理監視装置６０に通知する「注意」、または、制御コマンドについて警告するメッセージを通知する「警告」が規定されている。
【００３４】
具体例を挙げて説明すると、例えば、図５に例示する許可ルールには、現在の状態が「全停止」であり、移行後の状態が「全稼働」である場合には、処理内容として「許可：注意」が規定されている。この処理内容は、制御コマンドの通過を許可し、制御コマンドの通過について問題ないかを注意させるメッセージを管理監視装置６０に通知することを意味する。また、図５に例示する許可ルールには、現在の状態が「筐体稼働・ブレード停止」であり、移行後の状態が「全稼働」である場合には、処理内容として「許可」が規定されている。この処理内容は、制御コマンドの通過を許可し、管理監視装置６０にメッセージを通知する必要がないことを意味する。
【００３５】
また、図６に例示する許可ルールには、現在の状態が「全稼働」であり、移行後の状態が「全停止」である場合には、処理内容として「禁止：警告」が規定されている。この処理内容は、制御コマンドの通過を禁止し、管理監視装置６０に警告メッセージを通知することを意味する。つまり、「全稼働」の状態から「全停止」の状態に移行する場合には、サーバのブレードが故障する危険性があるため、制御コマンドの通過を禁止し、且つ、適切でない制御コマンドが送信されたことについて警告メッセージを管理監視装置６０に通知する。この処理内容は、図５の日勤帯の許可ルールでも同様である。
【００３６】
また、図６に例示する許可ルールには、現在の状態が「全停止」であり、移行後の状態が「全稼働」である場合には、処理内容として「許可：警告」が規定されている。この処理内容は、図５の日勤帯の許可ルールで規定される「許可：注意」と異なる。これは、夜間休日帯において、サーバを全停止から全稼働にするケースが日勤帯に比べて少ないため、誤って送られた制御コマンド等である可能性が高いことから、図６に例示する夜間休日帯の許可ルールでは、制御コマンドの通過を許可するが、注意メッセージではなく警告メッセージを管理監視装置６０に通知する処理内容が規定されている。
【００３７】
図４の説明に戻って、状態情報記憶部１３ｂは、後述する受信部１２ａが受信した制御対象機器３０の状態に関する情報を記憶する。例えば、状態情報記憶部１３ｂは、図７に例示するように、制御対象機器３０の「現在の状態」とともに、現在の「時間帯」、産業用機器４０が位置する「場所」を記憶する。図７の例を挙げて説明すると、状態情報記憶部１３ｂは、図７の例では、制御対象機器３０の現在の状態が「全稼働」であり、時間帯が「夜間帯」であり、産業用機器４０の場所が「東京都」であることを記憶している。なお、状態情報記憶部１３ｂの「現在の状態」、「時間帯」および「場所」については、受信部１２ａが受信した情報が変わるたびに情報が更新されるものとする。
【００３８】
なお、図５〜図７に示す情報は、あくまで一例であり、これに限定されるものではない。図５および図６に例示した許可ルールでは、日勤帯と夜間休日帯とで参照するテーブルを変更する場合を例としているが、これに限定されるものではなく、例えば、図８に例示するように、時間帯や産業用機器４０の場所、制御対象機器３０の状態に応じて処理内容を規定したテーブルを設けるようにしてもよい。また、図７に例示した状態情報記憶部１３ｂにおいて、例えば、時間帯を示す情報だけでなく、日付を示す情報（平日、休日等）を記憶してもよいし、場所を示す情報として、都道府県ではなく国内か国外かを示す情報であってもよいし、位置を示す座標情報等を記憶してもよい。
【００３９】
制御部１２は、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有し、これらによって種々の処理を実行するが、特に本発明に密接に関連するものとしては、受信部１２ａ、監視部１２ｂ、特定部１２ｃおよび判定部１２ｄを有する。ここで、制御部１２は、ＣＰＵ（Central  Processing  Unit）やＭＰＵ（Micro  Processing  Unit）などの電子回路やＡＳＩＣ（Application  Specific  Integrated  Circuit）やＦＰＧＡ（Field  Programmable  Gate  Array）などの集積回路である。
【００４０】
受信部１２ａは、制御対象機器３０から該制御対象機器３０の状態を示す通知を受信する。例えば、受信部１２ａは、制御対象機器３０の状態を示す通知として、稼働中（全稼働）であることを示す情報を制御対象機器３０から受信する。なお、受信部１２ａは、通知を受信するタイミングとして、所定の時間ごとに定期的に受信するようにしてもよいし、状態が変化することを契機に受信するようにしてもよい。また、受信部１２ａは、制御対象機器３０からの通知だけでなく、手動入力または外部システムによる状態通知の受信も可能であるものとする。
【００４１】
また、受信部１２ａは、制御対象機器３０の状態を示す通知とともに、産業用機器４０から産業用機器４０の場所に関する通知（例えば、東京都等）を受信し、スケジューラ５０から時間に関する通知（例えば、夜間帯）を受信してもよい。そして、受信部１２ａは、状態を示す通知を受信すると、状態情報記憶部１３ｂに格納する。
【００４２】
監視部１２ｂは、制御装置２０から制御対象機器３０へ送信された制御コマンドを受信する。具体的には、監視部１２ｂは、制御装置２０から制御対象機器３０へ送信された制御コマンドを受信すると、該制御コマンドを特定部１２ｃに通知する。
【００４３】
特定部１２ｃは、受信部１２ａによって受信された通知から制御対象機器３０の現在の状態を特定するとともに、監視部１２ｂによって受信された制御コマンドを制御対象機器３０が受信した場合に移行する移行後の状態を特定する。例えば、上述の制御対象機器３０がサーバである場合を例にして説明すると、特定部１２ｃは、状態情報記憶部１３ｂから現在の状態として「全稼働」を取得し、現在の状態を「全稼働」と特定する。また、特定部１２ｃは、監視部１２ｂによって受信された制御コマンドが筐体電源断を指示するものである場合には、移行後の状態を「全停止」と特定する。そして、特定部１２ｃは、特定した現在の状態および移行後の状態を判定部１２ｄに通知する。
【００４４】
判定部１２ｄは、受信部１２ａによって受信された制御対象機器３０の状態に応じて、監視部１２ｂによって受信された制御コマンドの通過を許可するか遮断するかを判定する。具体的には、判定部１２ｄは、特定部１２ｃによって特定された現在の状態および移行後の状態の組に対応する処理内容を許可ルール記憶部１３ａに記憶されたテーブルから取得し、該処理内容に従って、監視部１２ｂによって受信された制御コマンドの通過を許可するか遮断するかを判定するとともに、外部の管理監視装置６０に異常を通知する。
【００４５】
例えば、上述の例を用いて説明すると、判定部１２ｄは、現在の状態が「全稼働」、移行後の状態が「全停止」であり、現在の時間帯が「夜間帯」である場合には、図６に例示する夜間休日帯許可ルールを参照し、処理内容「禁止：警告」を取得する。この場合には、判定部１２ｄは、制御コマンドの通過を禁止（遮断）と判定するとともに、管理監視装置６０に警告メッセージを通知する。
【００４６】
そして、判定部１２ｄは、判定の結果、通過を許可すると判定した場合には、制御コマンドを制御対象機器３０に送信し、遮断すると判定した場合には、制御コマンドを破棄する。
【００４７】
ここで、図９を用いて、不正侵入防止装置１０による処理の概要を説明する。図９は、不正侵入防止装置による処理の概要を説明する図である。図９に示すように、不正侵入防止装置１０は、制御対象機器３０の状態を示す通知（例えば、稼働中（全稼働））を制御対象機器３０から受信する。また、不正侵入防止装置１０は、産業用機器４０から産業用機器４０の場所に関する通知（例えば、東京都）を受信し、スケジューラ５０から時間に関する通知（例えば、夜間帯）を受信する。
【００４８】
そして、不正侵入防止装置１０は、制御装置２０から制御コマンドを受信すると、受信部１２ａによって受信された制御対象機器３０の状態に応じて、監視部１２ｂによって受信された制御コマンドの通過を許可するか遮断するかを判定する。そして、不正侵入防止装置１０は、判定の結果、通過を許可すると判定した場合には、制御コマンドを制御対象機器３０に送信し、遮断すると判定した場合には、制御コマンドを破棄する。
【００４９】
また、不正侵入防止装置１０は、制御対象機器３０の状態に応じて、外部の管理監視装置６０に異常を通知する。例えば、不正侵入防止装置１０は、制御コマンドの通過について問題ないかを注意させるメッセージや、制御コマンドについての異常を警告するメッセージを通知する。
【００５０】
［不正侵入防止装置の処理手順］
次に、図１０を用いて、第１の実施形態に係る不正侵入防止装置１０による処理手順の例を説明する。図１０は、第１の実施形態に係る不正侵入防止装置における処理の流れの一例を示すフローチャートである。
【００５１】
図１０に示すように、不正侵入防止装置１０の監視部１２ｂが制御コマンドを受信すると（ステップＳ１０１肯定）、特定部１２ｃは、現在の状態と移行後の状態を特定する（ステップＳ１０２）。例えば、特定部１２ｃは、状態情報記憶部１３ｂから現在の状態として「全稼働」を取得し、現在の状態を「全稼働」と特定する。また、特定部１２ｃは、監視部１２ｂによって受信された制御コマンドが筐体電源断を指示するものである場合には、移行後の状態を「全停止」と特定する。
【００５２】
そして、判定部１２ｄは、特定部１２ｃによって特定された現在の状態および移行後の状態の組に対応する処理内容を許可ルールから取得し（ステップＳ１０３）、処理内容に従って、監視部１２ｂによって受信された制御コマンドの通過を許可するか否かを判定する（ステップＳ１０４）。
【００５３】
判定部１２ｄは、判定の結果、制御コマンドの通過を許可すると判定した場合には（ステップＳ１０４肯定）、制御コマンドを制御対象機器３０に送信する（ステップＳ１０５）。また、判定部１２ｄは、制御コマンドを遮断すると判定した場合には（ステップＳ１０４否定）、制御コマンドを遮断する（ステップＳ１０６）。
【００５４】
その後、判定部１２ｄは、処理内容から異常通知の必要があるか判定し（ステップＳ１０７）、異常通知の必要がないと判定した場合には（ステップＳ１０７否定）、そのまま処理を終了する。また、判定部１２ｄは、異常通知の必要があると判定した場合には（ステップＳ１０７肯定）、管理監視装置６０に異常通知を行って（ステップＳ１０８）、処理を終了する。
【００５５】
（第１の実施形態の効果）
第１の実施形態に係る不正侵入防止装置１０は、制御対象機器３０から該制御対象機器３０の状態を示す通知を受信する。また、不正侵入防止装置１０は、制御装置２０から制御対象機器３０へ送信された制御コマンドを受信する。そして、不正侵入防止装置１０は、制御コマンドを受信すると、受信した制御対象機器３０の状態に応じて、制御コマンドの通過を許可するか遮断するかを判定する。このため、正規の制御コマンドを機器の状態に応じて適切に遮断することが可能である。
【００５６】
つまり、制御装置２０が制御対象機器３０に対して制御のために送信するコマンドとして定義された仕様に則ったパケットであっても、制御対象機器３０の状態によっては異常な状態を引き起こしてしまうことがあるが、第１の実施形態に係る不正侵入防止装置１０では、許可ルールを定義することで特定の状態によってはシステムにとって危険を引き起こすコマンドを実装したパケットを遮断することができる。
【００５７】
また、第１の実施形態に係る不正侵入防止装置１０では、例えば、制御対象機器３０の異常動作が重要インフラ自体やそれを利用する人命に危険を及ぼす事態を防ぐことができる。また、ネットワークに接続された制御対象機器３０が持ちうる状態と、制御システムが系全体として持ちうる状態を掛け合わせた状態群のそれぞれに対して不正侵入対処ルールを適用できるようにすることで、特定な状況において受信すると危険なコマンドを実装したパケットを遮断することができる。
【００５８】
（第２の実施形態）
上述の第１の実施形態においては、一台の不正侵入防止装置１０が、許可ルールを参照して、制御コマンドの通過を許可するか遮断するかを判定する場合を説明したが、これに限定されるものではなく、複数の不正侵入防止装置が、それぞれ異なる許可ルールを有し、各不正侵入防止装置が制御コマンドの通過を許可するか遮断するかを判定するようにしてもよい。以下では、第２の実施形態の通信制御システムについて説明するが、第１の実施形態と同様の構成および処理については説明を省略する。
【００５９】
図１１に例示するように、第２の実施形態に係る監視制御ネットワークシステムでは、複数の不正侵入防止装置１０Ａ〜１０Ｃと、フロー制御ＮＷ（Network）機器７０とを有する点が、第１の実施形態に係る監視制御ネットワークシステムと異なる。複数の不正侵入防止装置１０Ａ〜１０Ｃは、それぞれ異なる許可ルールを記憶する。例えば、一例として、不正侵入防止装置１０Ａが日勤帯許可ルールを記憶し、不正侵入防止装置１０Ｂが夜間帯の許可ルールを記憶し、不正侵入防止装置１０Ｃが休日の許可ルールを記憶する。
【００６０】
また、フロー制御ＮＷ機器７０は、各不正侵入防止装置１０Ａ〜１０Ｃがどの許可ルールを記憶しているか事前に把握しているものとする。そして、フロー制御ＮＷ機器７０は、制御装置２０から制御対象機器３０宛ての制御コマンドを受信すると、不正侵入防止装置１０Ａ〜１０Ｃのうちのどの装置に制御コマンドを転送するかを決定する。例えば、上記の例を用いて説明すると、現在の時間が「夜間帯」である場合には、夜間帯の許可ルールを有する不正侵入防止装置１０Ｂに対して、制御コマンドを転送する。
【００６１】
各不正侵入防止装置１０Ａ〜１０Ｃは、制御装置２０から制御対象機器３０へ送信された制御コマンドをフロー制御ＮＷ機器７０から受信すると、第１の実施形態と同様の処理で、制御コマンドの通過を許可するか遮断するかを判定する。そして、不正侵入防止装置１０Ａ〜１０Ｃは、通過を許可すると判定した場合には、制御コマンドを制御対象機器３０へ送信することをフロー制御ＮＷ機器７０に指示し、遮断すると判定した場合には、制御コマンドを破棄することをフロー制御ＮＷ機器７０に指示する。
【００６２】
そして、フロー制御ＮＷ機器７０は、不正侵入防止装置１０Ａ〜１０Ｃから制御コマンドを制御対象機器３０へ送信することを指示された場合には、制御コマンドを制御対象機器３０に送信し、制御コマンドを破棄することを指示された場合には、制御コマンドを破棄する。
【００６３】
このように、第２の実施形態に係る不正侵入防止装置１０Ａ〜１０Ｃは、制御装置２０から制御対象機器３０へ送信された制御コマンドをフロー制御ＮＷ機器７０から受信し、制御対象機器３０の状態に応じて、制御コマンドの通過を許可するか遮断するかを判定し、通過を許可すると判定した場合には、制御コマンドを制御対象機器３０へ送信することをフロー制御ＮＷ機器７０に指示し、遮断すると判定した場合には、制御コマンドを破棄することをフロー制御ＮＷ機器７０に指示する。このため、各不正侵入防止装置１０Ａ〜１０Ｃが、自装置で記憶する許可ルールに従って、制御コマンドを適切に遮断することができる。
【００６４】
（第３の実施形態）
さて、これまで本発明の実施形態について説明したが、本発明は上述した実施形態以外にも、種々の異なる形態にて実施されてよいものである。そこで、以下では本発明に含まれる他の実施形態を説明する。
【００６５】
（セキュリティエンジン）
上述した監視制御ネットワークシステムにおいて、サイバー攻撃を検知して自動的にパケットを遮断するセキュリティエンジン（例えば、リジリエントセキュリティエンジン）が適用されたセキュリティ装置を設けるようにしてもよい。これにより、サイバー攻撃を目的とする制御コマンドのパケットを遮断することができるので、より高度なセキュリティ対処を実現することができる。
【００６６】
（ログサーバ）
また、セキュアな監視制御ネットワークシステムで定義したログサーバと組み合わせることで、監視制御ネットワークシステムを流れるパケットを基に学習したシステムの状態に応じた制御用パケットの通過、遮断を実現することができ、ルール設計に要する人的稼働を減らすことができる。
【００６７】
（インターロック機構）
また、上述した監視制御ネットワークシステムにおいて、インターロック機構と組み合わせることで、保安上重要な部分の運転を制御する計装装置においても安全性を確保することができる。例えば、インターロック機構と組み合わせることで、誤操作や確認不足により適正な手順以外の手順による操作が行われるのを防止することができる。
【００６８】
（システム構成等）
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【００６９】
また、本実施形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
【００７０】
（プログラム）
また、上記実施形態において説明した不正侵入防止装置が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。例えば、実施形態に係る不正侵入防止装置１０が実行する処理をコンピュータが実行可能な言語で記述した不正侵入防止プログラムを作成することもできる。この場合、コンピュータが不正侵入防止プログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかる不正侵入防止プログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録された不正侵入防止プログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。
【００７１】
図１２は、不正侵入防止プログラムを実行するコンピュータ１０００を示す図である。図１２に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。
【００７２】
メモリ１０１０は、図１２に例示するように、ＲＯＭ（Read  Only  Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図１２に例示するように、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、図１２に例示するように、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、図１２に例示するように、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、図１２に例示するように、例えばディスプレイ１１３０に接続される。
【００７３】
ここで、図１２に例示するように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記の不正侵入防止プログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０９０に記憶される。
【００７４】
また、上記実施形態で説明した各種データは、プログラムデータとして、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、各種処理手順を実行する。
【００７５】
なお、不正侵入防止プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、不正侵入防止プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local  Area  Network）、ＷＡＮ（Wide  Area  Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【００７６】
なお、本実施形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
【００７７】
上記の実施形態やその変形は、本願が開示する技術に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。
【符号の説明】
【００７８】
１０、１０Ａ〜１０Ｃ  不正侵入防止装置
１１  通信処理部
１２  制御部
１２ａ  受信部
１２ｂ  監視部
１２ｃ  特定部
１２ｄ  判定部
１３  記憶部
１３ａ  許可ルール記憶部
１３ｂ  状態情報記憶部
２０  制御装置
３０  制御対象機器
４０  産業用機器
５０  スケジューラ
６０  管理監視装置
７０  フロー制御ＮＷ機器
【図１】
2018073247.tif 000003
【図２】
2018073247.tif 000004
【図３】
2018073247.tif 000005
【図４】
2018073247.tif 000006
【図５】
2018073247.tif 000007
【図６】
2018073247.tif 000008
【図７】
2018073247.tif 000009
【図８】
2018073247.tif 000010
【図９】
2018073247.tif 000011
【図１０】
2018073247.tif 000012
【図１１】
2018073247.tif 000013
【図１２】
2018073247.tif 000014
【図１３】
2018073247.tif 000015