(57)【要約】【課題】Ｐ２Ｐ型で相互に通信を行う複数の装置間で共有する異常検知結果の真正性を担保した異常検知を可能とする。【解決手段】異常検知システムは、各装置が、ブラックリストと真正性情報とを有するブロックが繋がるブロックチェーンを記憶し、監視役装置１０は、被監視装置のログデータを分析して被監視装置の異常を検知する異常検知部１３２と、異常検知結果をブラックリストに登録するブラックリスト登録部１３３と、ブラックリストと、ブロックチェーンの末尾のブロックの真正性情報とに基づいて、次のブロックに対応する真正性情報を探索する探索部１３４と、探索した真正性情報と自装置が登録したブラックリストとを含むブロックを他の装置に送信してブラックリストへ結合させるともに、このブロックをブロックチェーンに結合してブロックチェーンを更新するブロックチェーン更新部１３５と、を有する。【選択図】図２
2018005818.tif 000002
【特許請求の範囲】
【請求項１】
互いにピアツーピア型で通信を行う複数の装置を有する異常検知システムであって、
各装置は、前記装置に関する異常検知結果を示す一覧表が、真正性を示す真正性情報とともに、一定の検知単位で時系列に繋がれた異常検知履歴と、自装置の動作状況を時系列に示すログ情報とを記憶する記憶部を有し、
前記装置のうちの監視を行う監視役装置は、
前記装置のうちの監視対象となる被監視装置から、前記被監視装置の前記ログ情報を取得するログ取得部と、
前記ログ取得部が取得した前記ログ情報を分析して前記被監視装置の異常の有無を検知する異常検知部と、
前記異常検知部による前記被監視装置の異常検知結果を基に、前記被監視装置の識別情報及び異常状態を示す情報を前記一覧表に登録する登録部と、
前記一覧表と、前記異常検知履歴の末尾の検知単位の前記真正性情報とに基づいて、次の検知単位に対応する前記真正性情報を探索する探索部と、
前記探索部が前記真正性情報を探索した場合には、該探索した前記真正性情報と自装置が登録した前記一覧表とを含む前記検知単位を他の装置に送信して前記検知単位を前記他の装置が記憶する前記異常検知履歴へ結合させるともに、前記探索した前記真正性情報と自装置が登録した一覧表とを含む前記検知単位を前記異常検知履歴に結合して前記異常検知履歴を更新する更新部と、
を有することを特徴とする異常検知システム。
【請求項２】
前記装置は、前記一覧表に所定の数以上の前記監視役装置から異常が検知されている前記被監視装置がある場合には、該被監視装置が異常である可能性が高いと判定する判定部をさらに有することを特徴とする請求項１に記載の異常検知システム。
【請求項３】
前記登録部は、前記被監視装置が異常から正常に戻ったことを検知した場合、前記一覧表から前記被監視装置の異常を削除する登録を行い、
前記判定部は、前記一覧表に所定の数以上の前記監視役装置から削除が登録された前記被監視装置がある場合には、該被監視装置が正常に戻った可能性が高いと判定することを特徴とする請求項２に記載の異常検知システム。
【請求項４】
前記検知単位は、前記真正性情報として、一つ前の検知単位のハッシュ、及び予め条件が定められた値を有し、
前記探索部は、前記異常検知履歴の末尾の前記検知単位が有するハッシュ値と、真正性を保証すべき前記一覧表とから、次のブロックに使うハッシュを生成するような前記予め条件が定められた値を探索することを特徴とする請求項１〜３のいずれか一つに記載の異常検知システム。
【請求項５】
互いにピアツーピア型で通信を行う複数の装置を有する異常検知システムであって、
各装置は、前記装置に関する異常検知結果を示す一覧表が、真正性を示す真正性情報とともに、一定の検知単位で時系列に繋がれた異常検知履歴と、自装置の動作状況を時系列に示すログ情報とを記憶する記憶部を有し、
前記装置のうちの監視を行う監視役装置は、
前記装置のうちの監視対象となる被監視装置から、前記被監視装置の前記ログ情報を取得するログ取得部と、
前記ログ取得部が取得した前記ログ情報を分析して前記被監視装置の異常の有無を検知する異常検知部と、
前記異常検知部による前記被監視装置の異常検知結果を基に、前記被監視装置の識別情報及び異常状態を示す情報を前記一覧表に登録する登録部と、
前記一覧表と、前記異常検知履歴の末尾の検知単位の前記真正性情報とに基づいて、次の検知単位における前記真正性情報を探索する探索部と、
前記探索部が前記真正性情報を探索した場合には、該探索した前記真正性情報と自装置が登録した前記一覧表とを含む前記検知単位を他の装置に送信して前記検知単位を前記他の装置が記憶する前記異常検知履歴へ結合させるともに、前記探索した前記真正性情報と自装置が登録した一覧表とを含む前記検知単位を前記異常検知履歴に結合して前記異常検知履歴を更新する第１の更新部と、
を有し、
前記被監視装置は、
前記監視役装置による前記ログ情報の送信要求を受信し、前記監視役装置に前記ログ情報を送信する通信部と、
前記監視役装置によって送信された前記検知単位を受信した場合、受信した前記検知単位を前記異常検知履歴に結合して前記異常検知履歴を更新する第２の更新部と、
を有することを特徴とする異常検知システム。
【請求項６】
互いにピアツーピア型で通信を行う複数の装置が行う異常検知方法であって、
各装置は、前記装置に関する異常検知結果を示す一覧表が、真正性を示す真正性情報とともに、一定の検知単位で時系列に繋がれた異常検知履歴と、自装置の動作状況を時系列に示すログ情報とを記憶する記憶部を有し、
前記装置のうちの監視を行う監視役装置が、前記装置のうちの監視対象となる被監視装置から、前記被監視装置の前記ログ情報を取得するログ取得工程と、
前記監視役装置が、取得した前記ログ情報を分析して前記被監視装置の異常の有無を検知する異常検知工程と、
前記監視役装置が、前記異常検知工程における前記被監視装置の異常検知結果を基に、前記被監視装置の識別情報及び異常状態を示す情報を前記一覧表に登録する登録工程と、
前記監視役装置が、前記一覧表と、前記異常検知履歴の末尾の検知単位の前記真正性情報とに基づいて、次の検知単位に対応する前記真正性情報を探索する探索工程と、
前記監視役装置が、前記探索工程において前記真正性情報が探索された場合には、該探索した前記真正性情報と自装置が登録した前記一覧表とを含む前記検知単位を他の装置に送信して前記検知単位を前記他の装置が記憶する前記異常検知履歴へ結合させるともに、前記探索した前記真正性情報と自装置が登録した一覧表とを含む前記検知単位を前記異常検知履歴に結合して前記異常検知履歴を更新する前記異常検知履歴を更新する更新工程と、
を含んだことを特徴とする異常検知方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、異常検知システム及び異常検知方法に関する。
【背景技術】
【０００２】
機器の異常検知を行う方法として、検知対象の機器からログを取得し、一括してクラウド上で異常検知を行うサーバクライアント型の方法が考えられる。ただし、この方法では、クラウドに重大な脆弱性が発見された場合、サーバを停止する等の処置が必要となり、検知ができなくなる可能性がある。そこで、複数の装置同士が互いに通信を行うピアツーピア（Ｐ２Ｐ：Peer  to  Peer）型の構成を適用して、装置間で異常検知結果の一覧表（ブラックリスト）を共有し、相互に監視を行なう方法が有用であると考えられる。
【先行技術文献】
【非特許文献】
【０００３】
【非特許文献１】「未知の脅威の検知率を向上！NTT  ComがSIEMエンジン強化」、［online］、［平成２８年６月２７日検索］、インターネット＜ＵＲＬ：http://ascii.jp/elem/000/000/905/905805/＞
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、装置間でブラックリストを共有して相互に監視を行う方法では、ブラックリストを共有する際に改竄されるおそれがある。このため、装置間でブラックリストを共有して相互に監視を行う方法では、真正性を担保したままブラックリストを共有することが困難である。
【０００５】
本発明は、上記に鑑みてなされたものであって、Ｐ２Ｐ型で相互に通信を行う複数の装置間で共有する異常検知結果の真正性を担保した異常検知を可能とする異常検知システム及び異常検知方法を提供することを目的とする。
【課題を解決するための手段】
【０００６】
上述した課題を解決し、目的を達成するために、本発明に係る異常検知システムは、互いにピアツーピア型で通信を行う複数の装置を有する異常検知システムであって、各装置は、装置に関する異常検知結果を示す一覧表が、真正性を示す真正性情報とともに、一定の検知単位で時系列に繋がれた異常検知履歴と、自装置の動作状況を時系列に示すログ情報とを記憶する記憶部を有し、装置のうちの監視を行う監視役装置は、装置のうちの監視対象となる被監視装置から、被監視装置のログ情報を取得するログ取得部と、ログ取得部が取得したログ情報を分析して被監視装置の異常の有無を検知する異常検知部と、異常検知部による被監視装置の異常検知結果を基に、被監視装置の識別情報及び異常状態を示す情報を一覧表に登録する登録部と、一覧表と、異常検知履歴の末尾の検知単位の真正性情報とに基づいて、次の検知単位に対応する真正性情報を探索する探索部と、探索部が真正性情報を探索した場合には、該探索した真正性情報と自装置が登録した一覧表とを含む検知単位を他の装置に送信して検知単位を他の装置が記憶する異常検知履歴へ結合させるともに、探索した真正性情報と自装置が登録した一覧表とを含む検知単位を異常検知履歴に結合して異常検知履歴を更新する更新部と、を有することを特徴とする。
【発明の効果】
【０００７】
本発明によれば、Ｐ２Ｐ型で相互に異常検知を行う複数の装置間で共有する異常検知結果の真正性を担保した異常検知を可能とする。
【図面の簡単な説明】
【０００８】
【図１】図１は、本発明の実施の形態に係る異常検知システムの構成の一例を模式的に示す図である。
【図２】図２は、図１に示す監視役装置の構成を示すブロック図である。
【図３】図３は、図２に示す記憶部が記憶するブロックチェーンの構成の一例を説明する図である。
【図４】図４は、ブラックリストのデータ構成の一例を示す図である。
【図５】図５は、図２に示す判定部の判定処理を説明する図である。
【図６】図６は、図１に示す被監視装置の構成を示すブロック図である。
【図７】図７は、図１に示す異常検知システムの処理の流れを説明する図である。
【図８】図８は、図１に示す異常検知システムの処理の流れを説明する図である。
【図９】図９は、図１に示す異常検知システムの処理の流れを説明する図である。
【図１０】図１０は、図１に示す監視役装置が行う監視処理の処理手順を示すフローチャートである。
【図１１】図１１は、図１に示す被監視装置が行うブロックチェーン更新処理の処理手順を示すフローチャートである。
【図１２】図１２は、プログラムが実行されることにより、監視役装置及び被監視装置が実現されるコンピュータの一例を示す図である。
【発明を実施するための形態】
【０００９】
以下、図面を参照して、本発明の一実施形態を詳細に説明する。なお、この実施形態により本発明が限定されるものではない。また、図面の記載において、同一部分には同一の符号を付して示している。
【００１０】
［実施の形態］
本発明の実施の形態について説明する。本発明の実施の形態では、Ｐ２Ｐ型で相互に異常検知を行う異常検知システム及び異常検知方法について説明する。まず、実施の形態に係る異常検知システムの概略について説明する。
【００１１】
［異常検知システムの構成］
次に、実施の形態に係る異常検知システムの構成について説明する。図１は、本発明の実施の形態に係る異常検知システムの構成の一例を模式的に示す図である。
【００１２】
図１に示すように、異常検知システム１は、複数の装置同士が互いに通信を行う、Ｐ２Ｐ型の構成を有する。この異常検知システム１は、例えば、異常検知を行い監視を行う監視役装置１０及び被監視装置２０が、インターネットや専用線等のネットワーク２に複数接続された構成を有する。
【００１３】
各監視役装置１０及び被監視装置２０は、多様なＩｏＴ（Internet  of  Things）機器であり、監視役装置１０及び被監視装置２０間で異常を検知する際のデータ共有のためのプロトコルを共通して有する。監視役装置１０及び被監視装置２０は、スマートフォン、ＰＣ（Personal  Computer）、ＰＤＡ（Personal  Digital  Assistants）、サーバ装置等である。
【００１４】
また、監視役装置１０及び被監視装置２０は、いずれも、被監視装置２０に関する異常検知結果を示すブラックリスト（一覧表）を、真正性を示す真正性情報とともに、一定のブロック（検知単位）で時系列に繋がれたブロックチェーン（異常検知履歴）を記憶する。
【００１５】
そして、監視役装置１０は、異常検知のための監視機能を有する。監視役装置１０は、監視対象となる被監視装置２０から取得したログデータ（ログ情報）を用いて異常検知を行い、異常検知結果をブラックリストに登録する。そして、監視役装置１０は、次のブロック生成に使用する真正性情報を探索し、探索に成功した場合には、探索した真正性情報と自装置が登録したブラックリストとを含むブロックを他の監視役装置１０及び被監視装置２０に送信する。監視役装置１０は、このブロックを、自装置のブロックチェーンに結合して、記憶するブロックチェーンを更新する。
【００１６】
被監視装置２０は、監視役装置１０によるログ送信要求に応じて自装置のログデータを送信する。そして、被監視装置２０は、監視役装置１０による異常検知結果をブラックリストに登録し、次のブロック生成に使用する真正性情報の探索に成功した監視役装置１０からブロックを受信すると、このブロックを、ブロックチェーンに結合して、記憶するブロックチェーンを更新する。
【００１７】
したがって、異常検知システム１の各監視役装置１０及び被監視装置２０は、探索された真正性情報とともにブラックリストを含むブロックチェーンを共有する。言い換えると、異常検知に関する情報や履歴は、真正性情報とともに、ブロックチェーンとして、異常検知システム１全体で分散して管理されている。そこで、監視機能を持つ監視役装置１０の構成について説明する。
【００１８】
［監視役装置の構成］
図２は、図１に示す監視役装置１０の構成を示すブロック図である。図２に示すように、監視役装置１０は、通信部１１、記憶部１２、制御部１３、入力部１４及び出力部１５を有する。ここで、監視機能を有する監視役装置１０は、Ｐ２Ｐ方式でランダムに被監視装置２０を選択して監視する。この際、監視役装置１０は、自らが監視可能な被監視装置２０を、予め決定しておき、その中から今回監視を行う被監視装置２０を選択してもよい。また、監視役装置１０は、他の監視役装置１０の被監視装置２０となる場合もある。
【００１９】
通信部１１は、ネットワーク２を介して接続された他の装置との間で、各種情報を送受信する通信インタフェースである。通信部１１は、異常検知システム１の他の監視役装置１０から、ログ送信要求があった場合には、制御部１３（後述）の制御の基、記憶部１２（後述）のログデータ１２２（後述）を、要求元の監視役装置１０に送信する。また、通信部１１は、制御部１３（後述）において異常検知処理が行なわれた場合には、制御部１３の制御の基、異常検知システム１の他の監視役装置１０及び被監視装置２０に、異常検知結果をブロードキャストで送信する。また、通信部１１は、他の監視役装置１０からブロードキャスト送信された異常検知結果を受信する。
【００２０】
記憶部１２は、ＲＡＭ（Random  Access  Memory）、フラッシュメモリ（Flash  Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置によって実現され、監視役装置１０を動作させる処理プログラムや、処理プログラムの実行中に使用されるデータなどが記憶される。記憶部１２は、ブロック情報記憶部１２１、この監視役装置１０の動作履歴を時系列に示すログデータ（ログ情報）１２２を記憶する。
【００２１】
ブロック情報記憶部１２１は、異常検知システム１の他の監視役装置１０及び被監視装置２０との間で共有するブロックチェーンを記憶する。このブロックチェーンについて、図３を参照して説明する。図３は、図２に示す記憶部１２が記憶するブロックチェーンの構成の一例を説明する図である。
【００２２】
図３に示すように、ブロックチェーンＢＣは、例えばブロックＢ０〜Ｂ３が時系列に繋がった構成である。ブロックＢ０は先頭のブロックであり、ブロックＢ１〜Ｂ３は、それぞれが、各被監視装置２０に関する異常検知結果を示すブラックリスト（１）〜（３）と、真正性を示す情報であるハッシュ（Ｈ（Ｂ０）〜Ｈ（Ｂ２））及びナンス（Nonce）とを有する。
【００２３】
ブラックリスト（１）〜（３）は、各監視役装置１０が、自身が検知した異常検知結果、或いは、ブロードキャスト送信された他の監視役装置１０による被監視装置２０に関する異常検知結果を、順次登録したものである。そして、ブラックリスト（１）〜（３）は、監視役装置１０のうち、探索（後述）が成功した監視役装置１０によって確定されたものである。例えば、ブロックＢ１がブロックチェーンＢＣに結合されるまでは、ブラックリスト（１）に異常検知結果の登録が行われる。そして、ブロックＢ１がブロックチェーンＢＣに結合した後は、ブロックＢ２に対応するブラックリスト（２）に異常検知結果の登録が行われ、ブロックＢ２がブロックチェーンＢＣに結合されるまで登録が継続される。
【００２４】
ハッシュは、ハッシュ関数を実行することによって任意のデータを一定の短い長さの値に変換したものである。各ブロックＢ１〜Ｂ３には、一つ前のブロックのハッシュ（Ｈ（Ｂ０）〜Ｈ（Ｂ２））が含まれる。
【００２５】
また、Nonceは、次のブロックのハッシュが、予め設定されたある条件を満たす値にするようなキーであり、一定の長さである任意の値である。例えば、ブロックＢ２のNonceは、次のブロックＢ３のハッシュ（Ｈ（Ｂ２））が、予め設定されたある条件を満たす値にするような一定の長さである任意の値である。例えば、ブロックＢ２のNonceは、ブロックＢ３に使うハッシュを「０が一定数連続する値」とするようなキーである。
【００２６】
このように、各ブロックには、複数の異常検知結果を示すブラックリストと、一つ前のブロックのハッシュと、Nonceとが含まれる。例えば、ブロックＢ２には、複数の異常検知結果を示すブラックリスト（２）と、一つ前のブロックＢ１のハッシュ（Ｈ（Ｂ１））と、Nonceとが含まれる。
【００２７】
ここで、監視役装置１０は、探索部１３４（後述）において、例えば、このブロックＢ２のハッシュ値と、真正性を保証すべきブラックリスト（２）とから、次のブロックＢ３に使うハッシュ（Ｈ（Ｂ２））を生成するようなNonceを、総当たりで探索する計算処理（マイニング）を行う。実際には、ブロックチェーンＢＣの末尾のブロックに、ブラックリストと、ブロックチェーンＢＣの末尾のブロックの一つ前のブロックのハッシュ値と、Nonceと、が格納されている。このため、探索部１３４（後述）は、マイニングとして、このブロックチェーンＢＣの末尾のブロックのハッシュ値と、真正性を保証すべきブラックリストとから、次のブロックに使うハッシュを生成するようなNonceを、総当たりで探索する。監視役装置１０が、他の監視役装置１０に先駆けてNonceを発見するためには膨大な計算量が必要であり、この計算量が非常に大きいことがブロックチェーンの内容の真正性の根拠となっている。
【００２８】
また、記憶部１２は、ブロックチェーンＢＣの全体を記憶する必要はなく、ルールに従って、ブロックチェーンＢＣのデータ長が長くなり過ぎた場合には、任意の長さでブロックチェーンＢＣを切ってもよい。
【００２９】
制御部１３は、各種の処理手順などを規定したプログラム及び所要データを格納するための内部メモリを有し、これらによって種々の処理を実行する。例えば、制御部１３は、ＣＰＵ（Central  Processing  Unit）やＭＰＵ（Micro  Processing  Unit）などの電子回路である。制御部１３は、ログ取得部１３１、異常検知部１３２、ブラックリスト登録部１３３（登録部）、探索部１３４、ブロックチェーン更新部１３５（更新部）及び判定部１３６を有する。
【００３０】
ログ取得部１３１は、被監視装置２０から、この被監視装置２０のログデータを取得する。まず、ログ取得部１３１は、被監視装置２０に対し、監視のためのログ送信要求を行う。これによって、被監視装置２０は、自装置が記憶するログデータを、ログデータの送信要求を行った監視役装置１０に送信する。また、ログ取得部１３１は、被監視装置２０から、必要な情報を取得する。例えば、ログ取得部１３１は、被監視装置２０のＣＰＵの使用率やメモリの使用率に関する情報を取得する。この際、ログ取得部１３１が、より完全性の高いログデータを取得するために、被監視装置２０は、ＴＰＭ（Trusted  Platform  Module）やセキュアハイパーバイザを搭載していることが望ましい。また、監視役装置１０は、他の監視役装置１０の被監視装置２０になる場合もあるため、被監視装置２０と同様に、ＴＰＭやセキュアハイパーバイザを搭載していることが望ましい。
【００３１】
異常検知部１３２は、ログ取得部１３１が取得したログデータを分析して被監視装置２０の異常の有無を検知する。この場合、異常検知部１３２は、例えば、密度ベースの外れ値検出法であるＬＯＦ（Local  Outlier  Factor）等の異常検知アルゴリズムを利用して、異常の有無を検知する。続いて、異常検知部１３２は、被監視装置２０の異常を検知すると、異常検知システム１の他の監視役装置１０及び被監視装置２０に、異常検知結果をブロードキャスト送信する。この際、異常検知部１３２が完全性の高い異常検知結果を送信できるようにするために、また、ブラックリスト登録部１３３（後述）が完全性の高い異常検知結果をブラックリストに登録できるようにするために、監視役装置１０及び被監視装置２０は、ＴＰＭやセキュアハイパーバイザを搭載していることが望ましい。
【００３２】
ブラックリスト登録部１３３は、異常検知部１３２による被監視装置２０の異常検知結果を基に、被監視装置２０の識別情報及び異常状態を示す情報をブラックリストに登録する。また、ブラックリスト登録部１３３は、他の監視役装置１０から異常検知結果を受信すると、この受信した異常検知結果に示された被監視装置２０の識別情報及び異常状態を示す情報をブラックリストに登録する。なお、ブラックリスト登録部１３３は、被監視装置２０が異常から正常に戻ったことを検知すると、ブラックリストに、この被監視装置２０の異常を削除する登録を行う。この結果、例えば、監視役装置１０は、図４に示すブラックリストＢＬ（１）を作成する。
【００３３】
図４は、ブラックリストのデータ構成の一例を示す図である。図４に示すように、ブラックリストＢＬ（１）は、異常検知時間を示すタイムスタンプ、被監視装置２０のＩＰアドレス、監視役装置１０のＩＰアドレス、監視役装置１０の環境（監視役装置環境）、及び、異常検知の書き込み或いは削除の欄が対応付けられている。なお、異常検知欄において、異常検知された被監視装置２０に対しては「Write」が表記される。また、異常から正常に戻ったことが検知された被監視装置２０に対しては「Delete」が表記される。そして、正常に戻った際には「Delete」が書き込まれることによって、ブラックリストからの削除と同様に扱われる。また、ブラックリストに対し、同じＩＰアドレスの監視役装置１０からの複数回の連続書き込みを無効とする等のルールを定めてもよい。
【００３４】
例えば、ブラックリスト登録部１３３が、ＩＰアドレス「192.168.100.1」の監視役装置１０から、時間「12：01」にＩＰアドレス「192.168.100.2」の被監視装置２０に異常を検知した旨の異常検知結果を受信した場合について説明する。この場合、ブラックリスト登録部１３３は、ブラックリストＢＬ（１）の１行目において、タイムスタンプ欄に「12：01」を登録し、被監視装置２０のＩＰアドレス欄に「192.168.100.2」を登録する。そして、ブラックリスト登録部１３３は、同じ１行目の監視役装置１０のＩＰアドレス欄に「192.168.100.1」を登録し、監視役装置環境欄に「192.168.100.1」の環境「Win8」を登録し、書き込み／削除欄に、異常検知されたことを示す「Write」を登録する。
【００３５】
また、異常検知部１３２が、ＩＰアドレス「192.168.100.25」である自装置が、時間「12：03」にＩＰアドレス「192.168.100.23」の被監視装置２０が、異常から正常に戻ったことを検知した場合について説明する。この場合、ブラックリスト登録部１３３は、ブラックリストＢＬ（１）の５行目において、タイムスタンプ欄に「12：03」を登録し、被監視装置２０のＩＰアドレス欄に「192.168.100.23」を登録する。そして、ブラックリスト登録部１３３は、同じ５行目の監視役装置１０のＩＰアドレス欄に自装置のＩＰアドレス「192.168.100.25」を登録し、監視役装置環境欄に自装置の環境「Cent  OS4」を登録し、書き込み／削除欄に、異常から正常に戻ったことを示す「Delete」を登録する。なお、監視役装置環境欄に示すように、ブラックリストＢＬ（１）には、多様な環境で動作するネットワーク２上の複数の監視役装置１０によって検知された異常が記載される。
【００３６】
上記で説明したネットワーク２内の装置間で異常検知結果のブロードキャスト送信及び受信を相互に行い、各装置において異常検知結果のブラックリスト登録が繰り返されると、全ての監視役装置１０及び被監視装置２０は、ほぼ同様の内容のブラックリストを共有することになる。
【００３７】
探索部１３４は、ブラックリストに登録される異常検知結果が所定の量に達した場合、このブラックリストをブロックにまとめるために、ブラックリストと、ブロックチェーンの末尾のブロックの真正性情報とに基づいて、次のブロックにおける真正性情報を探索する。探索部１３４は、ブロックチェーンの末尾のブロックのハッシュ値及びNonceと、真正性を保証すべきブラックリストとから、暗号学的ハッシュ関数を用いて、次のブロックに使うハッシュを生成するようなNonceを、総当たりで探索するマイニング（探索）と呼ばれる計算処理を行う。探索部１３４は、他の監視役装置１０に先駆けてNonceを発見するための計算を行い、Nonceの探索に成功した探索部１３４は、次のブロックとして、この探索したNonceと、一つ前のブロックのハッシュと、自装置が登録したブラックリストとを含むブロックを生成する。
【００３８】
ブロックチェーン更新部１３５は、探索部１３４が真正性情報を探索した場合には、この探索したNonceと、一つ前のブロックのハッシュと、自装置が登録したブラックリストとを含むブロックを他の装置に送信して、該ブロックを、他の装置が記憶するブロックチェーンへ結合させる。そして、ブロックチェーン更新部は、自装置が探索したNonceと、一つ前のブロックのハッシュと、自装置が登録したブラックリストとを含むブロック、或いは、他の監視役装置１０から送信されたブロックを、自装置が記憶するブロックチェーンに結合してブロックチェーンを更新する。
【００３９】
すなわち、ブロックチェーン更新部１３５は、探索部１３４が生成した、次のブロックを、ネットワーク２内の他の監視役装置１０及び被監視装置２０に送信する。そして、ブロックチェーン更新部１３５は、自装置が生成したブロック、或いは、他の監視役装置１０によって送信されたブロックをブロックチェーンに結合することによって、真正性を保証すべきブラックリストを確定する。このブロックは、探索されたNonceと、前のブロックのハッシュと、ネットワーク２内の各監視役装置１０による複数の異常検知結果が登録されたブラックリストとを含む。
【００４０】
ここで、このブロックに含まれるブラックリストは、上記で説明したように、装置間での異常検知結果の送受信によって、各装置において登録されたものであり、探索に成功した監視役装置１０が確定した物である。また、各ブロックに含まれるハッシュ及びNonceは、膨大な計算量を伴うものであるため、真正性情報の改竄が非常に困難である。このため、ネットワーク２上の全装置は、このブラックリストを、真正性情報であるハッシュ及びNonceとともに、ブロックに含め、このブロックをブロックチェーンに結合することによって、同じブロックチェーンを、異常検知履歴として共有する。すなわち、ブロックに含まれるブラックリストを、真正性を担保した状態で、ネットワーク２上の装置間で共有することができる。
【００４１】
そして、判定部１３６は、ブラックリストを参照し、ブラックリストに所定の数以上の監視役装置１０から異常が検知されている被監視装置２０がある場合には、該被監視装置２０が異常である可能性が高いと判定する。また、判定部１３６は、一覧表に所定の数以上の監視役装置１０から削除が登録された被監視装置２０がある場合には、該被監視装置２０が正常に戻った可能性が高いと判定する。判定部１３６の判定処理について、図５を参照して説明する。
【００４２】
図５は、判定部１３６の判定処理を説明する図である。図５の（ａ）には、判定部１３６が判定のために参照するブラックリストの一例としてブラックリストＢＬ（２）を示し、図５の（ｂ）には、判定部１３６が次の判定のために参照したブラックリストＢＬ（３）を示す。また、この例では、所定の数は４回として説明する。
【００４３】
判定部１３６は、まず、判定処理を行うために、ブラックリストＢＬ（２）（図５の（ａ）参照）を確認する。このブラックリストＢＬ（２）においては、ＩＰアドレス「192.168.100.2」の被監視装置２０が、時間「12:01」，「12:03」，「12:04」，「12:04」の４回にわたって、４台の監視役装置１０から「Write」を登録されている。このため、判定部１３６は、ＩＰアドレス「192.168.100.2」の被監視装置２０が、４回以上異常が登録されているので、異常の可能性が高いと判定する（図５の（ａ）の（１）参照）。
【００４４】
これに対し、ブラックリストＢＬ（２）においては、ＩＰアドレス「192.168.100.10」の被監視装置２０は、時間「12:02」の１回のみ、１台の監視役装置１０から「Write」を登録されている。このＩＰアドレス「192.168.100.10」の被監視装置２０については、判定部１３６は、１回しか異常が登録されていないので、異常の可能性が低いと判定する（図５の（ａ）の（２）参照）。
【００４５】
続いて、判定部１３６は、次の判定処理を行うために、ブラックリストＢＬ（３）（図５の（ｂ）参照）を確認する。ここで、このブラックリストＢＬ（３）においては、前回の判定で異常である可能性が高いと判定したＩＰアドレス「192.168.100.2」の被監視装置２０については、時間「12:11」，「12:13」，「12:14」，「12:15」の４回にわたって、４台の監視役装置１０から「Delete」を登録されている（図５の（ｂ）の（１）参照）。このため、判定部１３６は、ＩＰアドレス「192.168.100.2」の被監視装置２０が、４回にわたって正常に戻った旨が登録されているので、正常に戻った可能性が高いと判定する（図５の（ｂ）の（２）参照）。
【００４６】
なお、判定部１３６は、登録中のブラックリストを参照して判定処理を行ってもよい。この場合には、判定部１３６は、動作中の各装置の異常判定を迅速に実行することができる。また、判定部１３６は、ブロックチェーンへの結合が確定したブロック内のブラックリストを参照して判定処理を行ってもよい。この場合には、判定部１３６は、既に登録内容が確定したブラックリストを用いることができるため、判定内容の変動がなく、安定した判定結果を出力することができる。
【００４７】
入力部１４は、監視役装置１０の操作者からの各種操作を受け付ける入力インタフェースである。例えば、入力部１４は、ボタン、タッチパネル、音声入力デバイス、キーボードやマウス等の入力デバイスによって構成される。出力部１５は、例えば、液晶ディスプレイやプリンタ等であって、異常検知処理に関する各種情報を出力する。
【００４８】
［被監視装置の構成］
次に、被監視装置２０の構成について説明する。図６は、図１に示す被監視装置２０の構成を示すブロック図である。図６に示すように、被監視装置２０は、通信部２１、記憶部２２、制御部２３、入力部２４及び出力部２５を有する。
【００４９】
通信部２１は、監視役装置１０における通信部１１と同様に、ネットワーク２を介して接続された他の装置との間で、各種情報を送受信する通信インタフェースである。通信部２１は、異常検知システム１の監視役装置１０から、ログ送信の要求があった場合、記憶部２２（後述）のログデータ２２２（後述）を、要求元の監視役装置１０に送信する。また、通信部２１は、監視役装置１０からブロードキャスト送信された異常検知結果を受信する。
【００５０】
記憶部２２は、ＲＡＭ、フラッシュメモリ等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置によって実現され、被監視装置２０を動作させる処理プログラムや、処理プログラムの実行中に使用されるデータなどが記憶される。記憶部２２は、監視役装置１０における記憶部１２と同様に、ブロック情報記憶部１２１、この被監視装置２０の動作履歴を時系列に示すログデータ２２２を記憶する。
【００５１】
制御部２３は、ＣＰＵやＭＰＵなどの電子回路であり、各種の処理手順などを規定したプログラム及び所要データを格納するための内部メモリを有し、これらによって種々の処理を実行する。制御部２３は、ブロックチェーン更新部１３５及び判定部１３６を有する。このため、被監視装置２０は、監視役装置１０から次のブロックを受信すると、このブロックをブロックチェーンに結合して、記憶するブロックチェーンを更新する。これによって、ネットワーク２内の監視役装置１０と、ブロックチェーンを共有する。また、被監視装置２０は、監視役装置１０と同様に判定部１３６も有するため、ブラックリストを用いた判定処理も実行可能である。
【００５２】
入力部２４は、被監視装置２０の操作者からの各種操作を受け付ける入力インタフェースである。出力部２５は、例えば、液晶ディスプレイやプリンタ等であって、異常検知処理に関する各種情報を出力する。
【００５３】
なお、本異常検知システム１では、ネットワーク２内に、監視役装置１０と被監視装置２０とが混在する構成を例に説明したが、もちろん、これに限らない。例えば、ネットワーク２内には、監視役装置１０のみが存在してもよい。また、ネットワーク２内には、監視役装置１０と被監視装置２０との他、監視役装置１０の判定部１３６を削除した装置であって、ブロックチェーンを有し、異常検知、ブラックリスト登録、探索を行う装置があってもよい。また、ネットワーク２内には、被監視装置２０からログデータの送信機能を削除した装置であって、ブロックチェーンのブラックリストを用いて異常判定を行う装置があってもよい。このような装置の場合、他の装置への影響が少ないため、ＴＰＭやセキュアハイパーバイザの搭載は必須ではない。
【００５４】
［異常検知システムの処理の流れ］
次に、異常検知システム１の処理の流れについて説明する。図７〜図９は、図１に示す異常検知システム１の処理の流れを説明する図である。図７〜図９においては、ネットワーク２上の装置のうち、監視役装置１０Ａ〜１０Ｃが監視役装置１０として機能し、被監視装置２０のうちの被監視装置２０Ａを監視する場合について説明する。また、各装置はのブロックチェーンの末尾のブロックがブロックＢ１である場合について説明する。
【００５５】
まず、監視役装置１０Ａ〜１０Ｃは、被監視装置として、被監視装置２０Ａを監視対象に設定する（図７の（１）参照）。続いて、監視役装置１０Ａ〜１０Ｃは、監視のためのログの送信を被監視装置２０Ａに要求し、これに応じて、被監視装置２０Ａは、自装置が記憶するログデータ２２２を、要求元の監視役装置１０Ａ〜１０Ｃに送信する。これによって、監視役装置１０Ａ〜１０Ｃは、被監視装置２０Ａのログデータを取得する（図７の（２）参照）。
【００５６】
そして、監視役装置１０Ａ〜１０Ｃは、それぞれ、被監視装置２０Ａのログデータを分析し、被監視装置２０Ａの異常の有無を検知する。監視役装置１０Ａ〜１０Ｃは、被監視装置２０Ａの異常検知結果を他の監視役装置１０Ａ〜１０Ｃ及び被監視装置２０，２０Ａにブロードキャスト送信する。これによって、監視役装置１０Ａ〜１０Ｃは、自装置による異常検知結果及び他の監視役装置１０Ａ〜１０Ｃによる異常検知結果を、ブロックチェーンＢＣ’の次のブロックＢ２に対応するブラックリスト（２）に登録する（図８の矢印Ｙ２１〜Ｙ２４及び図８の（３）参照）。
【００５７】
その後、監視役装置１０Ａ〜１０Ｃは、ブラックリスト（２）に登録される異常検知結果が所定の量に達すると、ブラックリスト（２）への登録を終了する。続いて、監視役装置１０Ａ〜１０Ｃは、探索（マイニング）を実行する。例えば、監視役装置１０ＢがNonceの探索に成功した場合には（図８の（４）参照）、監視役装置１０Ｂが、次のブロックＢ２を生成し、他の監視役装置１０Ａ，１０Ｃ及び被監視装置２０，２０Ａに送信する（図８の（５）参照）。そして、監視役装置１０Ａ，１０Ｃ及び被監視装置２０，２０Ａは、探索が成功した監視役装置１０Ｂから、次のブロックＢ２（図９参照）を受信すると、このブラックリストＢＣ（２）を含むブロックＢ２を、それぞれのブロックチェーンＢＣ’に結合してブロックチェーンＢＣ”に更新する。この結果、ネットワーク２内の装置間において、新たに結合されたブロックＢ２を共有することによって（図９の矢印Ｙ３及び図９の（６）参照）、ブラックリスト（２）を共有することが可能になる。
【００５８】
その後も、監視役装置１０Ａ〜１０Ｃが、被監視装置２０Ａを監視対象に設定した場合には（図９の（７）参照）、被監視装置２０Ａのログデータを取得して（図９の（８）参照）、被監視装置２０Ａの監視を継続し、次のブロックＢ３に対応するブラックリスト（３）に異常検知結果の登録を行う。
【００５９】
［監視役装置の処理の流れ］
次に、監視役装置１０の監視処理の処理手順について説明する。図１０は、図１に示す監視役装置１０が行う監視処理の処理手順を示すフローチャートである。
【００６０】
まず、監視役装置１０は、監視対象となる被監視装置２０を選択して（ステップＳ１）、監視を開始する。監視役装置１０では、ログ取得部１３１が、被監視装置２０から、この被監視装置２０のログデータを取得する（ステップＳ２）。続いて、異常検知部１３２は、ログ取得部１３１が取得した被監視装置２０のログデータを分析し、被監視装置２０の異常の有無を検知する（ステップＳ３）。そして、異常検知部１３２は、異常検知システム１の他の監視役装置１０及び被監視装置２０に、異常検知結果をブロードキャスト送信するとともに、他の監視役装置１０から異常検知結果を受信する（ステップＳ４）。
【００６１】
続いて、ブラックリスト登録部１３３は、異常検知部１３２による異常検知結果、及び、受信した異常検知結果を基に、異常検知結果に示された被監視装置２０の識別情報及び異常状態を示す情報をブラックリストに登録する（ステップＳ５）。そして、ブラックリスト登録部１３３は、ブラックリストの登録を終了するか否かを判断する（ステップＳ６）。ブラックリスト登録部１３３は、ブラックリストに登録される異常検知結果が所定の量に達した場合、ブラックリストの登録を終了すると判断する。ブラックリスト登録部１３３は、ブラックリストの登録を終了しないと判断した場合（ステップＳ６：Ｎｏ）、ステップＳ２に戻り、被監視装置２０に対する監視処理を継続する。
【００６２】
一方、ブラックリストの登録を終了するとブラックリスト登録部１３３が判断した場合（ステップＳ６：Ｙｅｓ）、探索部１３４は、このブラックリストをブロックにまとめるための探索処理を行う（ステップＳ７）。探索部１３４は、探索処理として、このブラックリストと、ブロックチェーンの末尾のブロックの真正性情報とに基づいて、次のブロックにおける真正性情報を探索する。すなわち、探索部１３４は、ブロックチェーンの末尾のブロックのハッシュ値と、真正性を保証すべきブラックリストとから、次のブロックに使うハッシュを生成するようなNonceを、総当たりで探索する。
【００６３】
そして、探索部１３４は、探索に成功したか否かを判断する（ステップＳ８）。探索部１３４は、探索に成功したと判断した場合には（ステップＳ８：Ｙｅｓ）、次のブロックを生成して、該生成したブロックを、ブロックチェーン更新部１３５が、ネットワーク２内の他の監視役装置１０及び被監視装置２０に送信する（ステップＳ９）。これに対し、探索部１３４は、探索に成功しなかったと判断した場合には（ステップＳ８：Ｎｏ）、探索に成功した他の監視役装置１０から、次のブロックを受信する（ステップＳ１０）。実際には、探索部１３４は、自装置が探索に成功する前に、探索に成功した他の監視役装置１０から、次のブロックを受信した場合に（ステップＳ１０）、探索に成功しなかったと判断する（ステップＳ８：Ｎｏ）。
【００６４】
そして、ブロックチェーン更新部１３５は、自装置が生成した次のブロック、或いは、他の監視役装置１０から送信された次のブロックを、ブロックチェーンに結合してブロックチェーンを更新する（ステップＳ１１）。すなわち、ブロックチェーン更新部１３５は、次のブロックを取得し、真正性を保証すべきブラックリストを含むブロックを、ブロックチェーンに結合する。このブロックは、探索されたNonceと、前のブロックのハッシュと、探索に成功した監視役装置１０が登録した複数の異常検知結果を示すブラックリストとを含む。
【００６５】
そして、判定部１３６は、更新されたブロックチェーンのブロック内のブラックリストを参照し、被監視装置２０に対する異常の有無を判定する判定処理を行う（ステップＳ１２）。なお、この判定処理は、ステップＳ１１の後に限らず、ブラックリストの登録中においても実行することが可能である。
【００６６】
続いて、制御部１３は、監視を継続するか否かを判断し（ステップＳ１３）、監視を継続すると判断した場合には（ステップＳ１３：Ｙｅｓ）、ステップＳ１に戻り監視を継続し、監視を継続しないと判断した場合には（ステップＳ１３：Ｎｏ）、本監視役装置１０による監視処理を終了する。
【００６７】
［被監視装置の処理の流れ］
次に、被監視装置２０のブロックチェーン更新処理の処理手順について説明する。図１１は、図１に示す被監視装置２０が行うブロックチェーン更新処理の処理手順を示すフローチャートである。
【００６８】
まず、被監視装置２０では、通信部２１が、監視役装置１０によるログデータの送信要求を受信すると（ステップＳ２１）、監視役装置１０にログデータ２２２を送信する（ステップＳ２２）。
【００６９】
そして、被監視装置２０では、探索に成功した他の監視役装置１０から、次のブロックを受信する（ステップＳ２３）。続いて、ブロックチェーン更新部１３５が、受信した次のブロックを、ブロックチェーンに結合してブロックチェーンを更新する（ステップＳ２４）。ステップＳ２５は、図１０に示すステップＳ１２である。
【００７０】
［実施の形態の効果］
このように、本実施の形態に係る異常検知システム１の各装置は、装置間での異常検知結果の送受信によって、いずれの装置においても、同じ内容が登録されたブラックリストを、真正性を示す真正性情報とともに、一定のブロックで時系列に繋いだブロックチェーンを記憶する。このブロックに含まれる真正性情報（ハッシュ及びNonce）は、膨大な計算量を伴うものであるため、真正性情報の改竄が非常に困難である。そして、異常検知システム１の各装置は、このブラックリストを、真正性情報とともに、ブロックに含め、このブロックのブロックチェーンへの結合を確定することによって、同じブロックチェーンを、異常検知履歴として共有する。
【００７１】
すなわち、本実施の形態によれば、ブロックに含まれるブラックリストを、真正性を担保した状態で、ネットワーク２上の装置間で共有することができる。言い換えると、本実施の形態によれば、Ｐ２Ｐ型で相互に異常検知を行う複数の装置間で共有する、ブロックチェーンに登録後のブラックリストを改竄から守ることができる。したがって、本実施の形態によれば、複数の装置間で共有するブラックリストの真正性を担保した異常検知システムの実現を可能とする。
【００７２】
また、本実施の形態では、ネットワーク２内の多種多様なＩｏＴ機器間で、異常検知に関するデータ共有のプロトコルを揃えることによって、ブロックチェーンを共有可能としている。このネットワーク２内の装置は、ヘテロジニアスであるため、多様性をもっており、単一の重大な脆弱性や攻撃等によって、異常検知の信頼性が極端に低下する可能性を低くすることができる。言い換えると、本実施の形態によれば、特定の検知装置に、重大な脆弱性や攻撃等があった場合でも、複数の多様なＩｏＴ機器が相互監視を行っているため、検知の完全性の著しい低下を防ぐことが可能である。
【００７３】
なお、本実施の形態では、ブラックリストの改竄防止のためのセキュリティアノマリ（異常）の検知について記載したが、もちろん、故障等の他のアノマリ（異常）イベントにも適応可能である。
【００７４】
［システム構成等］
図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部又は任意の一部が、ＣＰＵ及び当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【００７５】
また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部又は一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
【００７６】
［プログラム］
図１２は、プログラムが実行されることにより、監視役装置１０及び被監視装置２０が実現されるコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。
【００７７】
メモリ１０１０は、ＲＯＭ（Read  Only  Memory）１０１１及びＲＡＭ（Random  Access  Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。
【００７８】
ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、監視役装置１０及び被監視装置２０の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、監視役装置１０及び被監視装置２０における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤ（Solid  State  Drive）により代替されてもよい。
【００７９】
また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。
【００８０】
なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（ＬＡＮ、ＷＡＮ等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【００８１】
以上、本発明者によってなされた発明を適用した実施形態について説明したが、本実施形態による本発明の開示の一部をなす記述及び図面により本発明は限定されることはない。すなわち、本実施形態に基づいて当業者等によりなされる他の実施形態、実施例及び運用技術等は全て本発明の範疇に含まれる。
【符号の説明】
【００８２】
１  異常検知システム
２  ネットワーク
１０，１０Ａ〜１０Ｃ  監視役装置
２０，２０Ａ  被監視装置
１１，２１  通信部
１２，２２  記憶部
１３，２３  制御部
１４，２４  入力部
１５，２５  出力部
１２１  ブロック情報記憶部
１２２，２２２  ログデータ
１３１  ログ取得部
１３２  異常検知部
１３３  ブラックリスト登録部
１３４  探索部
１３５  ブロックチェーン更新部
１３６  判定部
【図１】
2018005818.tif 000003
【図２】
2018005818.tif 000004
【図３】
2018005818.tif 000005
【図４】
2018005818.tif 000006
【図５】
2018005818.tif 000007
【図６】
2018005818.tif 000008
【図７】
2018005818.tif 000009
【図８】
2018005818.tif 000010
【図９】
2018005818.tif 000011
【図１０】
2018005818.tif 000012
【図１１】
2018005818.tif 000013
【図１２】
2018005818.tif 000014