(57)【要約】      （修正有）【課題】システムを停止させることなく、外部からの不正アクセスを検知する不正アクセス検知装置および方法を提供する。【解決手段】監視部１０２は、監視対象の設備機器１２１ａ，１２１ｂ，１２１ｃのいずれかより他機器へ通知された制御のために用いられる制御値の通知を検知する。演算部１０３は、監視部１０２が今回検知した通知の制御値と監視部１０２が前回検知した通知の制御値との差を求める。判断部１０４は、演算部１０３が求めた差の絶対値が設定されている許容値を超えた場合に設備機器に対する不正アクセスが発生したものと判断する。【選択図】図１
2019091200.tif 000002
【特許請求の範囲】
【請求項１】
監視対象の設備機器より他機器へ通知された制御のために用いられる制御値の通知を検知するように構成された監視部と、
前記監視部が今回検知した通知の制御値と直前までに検知した通知の制御値との差を求めるように構成された演算部と、
前記演算部が求めた差の絶対値が設定されている許容値を超えた場合に前記設備機器に対する不正アクセスが発生したものと判断するように構成された判断部と
を備えることを特徴とする不正アクセス検知装置。
【請求項２】
請求項１記載の不正アクセス検知装置において、
前記演算部は、前記監視部が今回検知した通知の制御値と前記監視部が前回検知した通知の制御値との差を求める
ことを特徴とする不正アクセス検知装置。
【請求項３】
請求項１記載の不正アクセス検知装置において、
前記演算部は、前記監視部が今回検知した通知の制御値と、前記監視部が直前までに検知した複数の通知の制御値の平均値との差を求める
ことを特徴とする不正アクセス検知装置。
【請求項４】
監視対象の設備機器より他機器へ通知された、前記設備機器の制御のために用いられる数値の通知を検知する第１ステップと、
今回検知した通知の制御値と直前までに検知した通知の制御値との差を求める第２ステップと、
前記第２ステップで求めた差の絶対値が設定されている許容値を超えた場合に前記設備機器に対する不正アクセスが発生したものと判断する第３ステップと
を備えることを特徴とする不正アクセス検知方法。
【請求項５】
請求項４記載の不正アクセス検知方法において、
前記第２ステップでは、今回検知した通知の制御値と前回検知した通知の制御値との差を求める
ことを特徴とする不正アクセス検知方法。
【請求項６】
請求項４記載の不正アクセス検知方法において、
前記第２ステップでは、今回検知した通知の制御値と、直前までに検知した複数の通知の制御値の平均値との差を求める
ことを特徴とする不正アクセス検知方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、設備機器に対する不正機器からの不正アクセスを検知するための不正アクセス検知装置および方法に関する。
【背景技術】
【０００２】
従来、ビル建物に設置されている各種設備を管理する設備管理システムとして、ＢＡＣｎｅｔ（Building Automation and Control Networking protocol：登録商標）と呼ばれるインテリジェントビル用ネットワークのための通信プロトコル規格を利用した、いわゆるＢＡＣｎｅｔシステムが普及しつつある。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００７−１９９７９８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
このようなＢＡＣｎｅｔシステムは、元々クローズドな環境に適用されていたため、不正アクセスに関しては、これまであまり重要視されていなかった。しかしながら、近年、ＩＯＴや他システムとの連携が進みつつあり、外部からアクセス可能なオープンな環境に変わりつつある。このため、悪意のある者が、不正アクセスしてＢＡＣｎｅｔシステムに接続できた場合、ＢＡＣｎｅｔシステム内の各種機器が様々に不正操作される可能性があるという問題点があった。
【０００５】
不正なアクセスにより、例えば、電力量など積算値の監視における、プレスケールの値を変更して実際の電力量とは違う値にすることも可能となる。このような不正な操作により、実際の電力量には異常があっても、異常なしとすることができ、またこの逆に、正常であっても、異常として混乱に陥らせることができてしまう。このような不正アクセスを防止するためには、不正アクセスを検出する対策ソフトウエアの導入などが考えられる。
【０００６】
しかしながら、制御システムや機器管理システムは、安定した運転を常時行う必要があるため、対策ソフトウエアの導入、基本ソフトウエアや対策ソフトウエアの更新のために、システムを停止させることは困難である。
【０００７】
本発明は、以上のような問題点を解消するためになされたものであり、システムを停止させることなく、外部からの不正アクセスが検知できるようにすることを目的とする。
【課題を解決するための手段】
【０００８】
本発明に係る不正アクセス検知装置は、監視対象の設備機器より他機器へ通知された制御のために用いられる制御値の通知を検知するように構成された監視部と、監視部が今回検知した通知の制御値と直前までに検知した通知の制御値との差を求めるように構成された演算部と、演算部が求めた差の絶対値が設定されている許容値を超えた場合に設備機器に対する不正アクセスが発生したものと判断するように構成された判断部とを備える。
【０００９】
上記不正アクセス検知装置において、演算部は、監視部が今回検知した通知の制御値と監視部が前回検知した通知の制御値との差を求めるようにすればよい。
【００１０】
上記不正アクセス検知装置において、演算部は、監視部が今回検知した通知の制御値と、監視部が直前までに検知した複数の通知の制御値の平均値との差を求めるようにしてもよい。
【００１１】
本発明に係る不正アクセス検知方法は、監視対象の設備機器より他機器へ通知された制御のために用いられる制御値の通知を検知する第１ステップと、今回検知した通知の制御値と直前までに検知した通知の制御値との差を求める第２ステップと、第２ステップで求めた差の絶対値が設定されている許容値を超えた場合に設備機器に対する不正アクセスが発生したものと判断する第３ステップとを備える。
【００１２】
上記不正アクセス検知方法において、第２ステップでは、今回検知した通知の制御値と前回検知した通知の制御値との差を求めるようにすればよい。
【００１３】
上記不正アクセス検知方法において、第２ステップでは、今回検知した通知の制御値と、直前までに検知した複数の通知の制御値の平均値との差を求めるようにしてもよい。
【発明の効果】
【００１４】
以上説明したことにより、本発明によれば、システムを停止させることなく、外部からの不正アクセスが検知できるという優れた効果が得られるようになる。
【図面の簡単な説明】
【００１５】
【図１】図１は、本発明の実施の形態１における不正アクセス検知装置の構成を示す構成図である。
【図２】図２は、通知される電力の積算値について説明する説明図である。
【図３】図３は、本発明の実施の形態１における不正アクセス検知方法を説明するためのフローチャートである。
【図４】図４は、本発明の実施の形態２における不正アクセス検知装置の構成を示す構成図である。
【図５】図５は、通知される電力の積算値について説明する説明図である。
【図６】図６は、本発明の実施の形態２における不正アクセス検知方法を説明するためのフローチャートである。
【図７】図７は、本発明に係る不正アクセス検知装置のハードウエア構成を示す構成図である。
【発明を実施するための形態】
【００１６】
以下、本発明の実施の形態ついて説明する。
【００１７】
［実施の形態１］
はじめに、本発明の実施の形態１おける不正アクセス検知装置１０１について図１を参照して説明する。不正アクセス検知装置１０１は、通信回線１１１に接続している。また、通信回線１１１には、複数の設備機器１２１ａ，１２１ｂ，１２１ｃが接続されている。
【００１８】
例えば、設備機器１２１ａ，１２１ｂは、電力量の積算値を監視し、設備機器１２１ｃからの要求に従い、積算した電力量の値を設備機器１２１ｃに定期的に通知する。設備機器１２１ｃでは、通知された電力量をもとに制御対象の電力デマンド制御を実施する。設備機器１２１ｃでは、通知された電力量の積算値が設定されている数値の範囲を超えると、消費されている電力量が節電要求を超えているものとし、対象となる設備への電力供給を制限する。例えば、ＢＡＣｎｅｔシステムでは、電力量の状態を監視するＡｃｃｕｍｕｌａｔｏｒオブジェクトのＰｒｅｓｅｎｔＶａｌｕｅとして、上述した電力デマンド制御のための制御値が用いられる。Ａｃｃｕｍｕｌａｔｏｒオブジェクトに対しては、ＰｒｅｓｅｎｔＶａｌｕｅを変更するメッセージを送ることで、この値が変更できる。
【００１９】
ここで、悪意のある者により、誤ったＰｒｅｓｅｎｔＶａｌｕｅを変更するメッセージが送信されてＡｃｃｕｍｕｌａｔｏｒオブジェクトに対して設定されると、設備機器１２１ａ，１２１ｂでは、誤った設定情報を設備機器１２１ｃに通知することになる。この結果、設備機器１２１ｃでは、誤った電力量により、電力デマンド制御を実施することになる。この結果、例えば、実際には消費電力が正常範囲内であっても、消費電力量が多いものと判断して不要な電力制限を実施することになり、混乱を招いて大きな問題となる。不正アクセス検知装置１０１は、このような不正アクセスによる不正な通知を検知する。
【００２０】
不正アクセス検知装置１０１は、監視部１０２、演算部１０３、判断部１０４を備える。
【００２１】
監視部１０２は、監視対象の設備機器１２１ａ，１２１ｂ，１２１ｃのいずれかより他機器へ通知された制御のために用いられる制御値の通知を検知する。例えば、ＢＡＣｎｅｔシステムでは、設備機器１２１ｂが、ＲｅａｄＰｒｏｐｅｒｔｙ／ＲｅａｄＰｒｏｐｅｒｔｙＭｕｌｔｉｐｌｅサービスもしくはＣＯＶＮｏｔｉｆｉｃａｔｉｏｎサービスなどにより、所定の周期で、設備機器１２１ａに対して制御値の取得を要求する。
【００２２】
この要求に対し、設備機器１２１ａ，１２１ｂは、他機器である設備機器１２１ｃに対し、制御値を通知する。例えば、図２示すように、測定されている電力量の積算値を、１時間毎に設備機器１２１ｃに対して通知する。このＲｅａｄＰｒｏｐｅｒｔｙ／ＲｅａｄＰｒｏｐｅｒｔｙＭｕｌｔｉｐｌｅサービスもしくはＣＯＶＮｏｔｉｆｉｃａｔｉｏｎサービスなどのメッセージを、監視部１０２は監視し、制御値の通知を検知する。
【００２３】
演算部１０３は、監視部１０２が今回検知した通知の制御値と直前までに検知した通知の制御値との差を求める。実施の形態１において、演算部１０３は、監視部１０２が今回検知した通知の制御値と監視部１０２が前回検知した通知の制御値との差を求める。
【００２４】
判断部１０４は、演算部１０３が求めた差の絶対値が設定されている許容値を超えた場合に設備機器に対する不正アクセスが発生したものと判断する。例えば、消費されている電力量は、一般には、大きく変化することはない。従って、今回（図２：別の日の９時台）検知した制御値と、前回（図２：別の日の８時台）検知した通知における制御値との差が大きい場合、新たな制御値は以上であり、不正アクセスによって改竄されたものと考えることができる。
【００２５】
次に、実施の形態１における不正アクセス検知装置の動作例（不正アクセス検知方法）について、図３を用いて説明する。
【００２６】
まず、第１ステップＳ１０１で、監視部１０２が、監視対象の設備機器１２１ａより設備機器１２１ｂ（他機器）へ通知された、設備機器１２１ａの制御のために設定されている制御値の通知を検知する。
【００２７】
次に、第２ステップＳ１０２で、演算部１０３が、監視部１０２が今回検知した通知の制御値と、監視部１０２が前回検知した通知の制御値との差を求める。
【００２８】
次に、第３ステップＳ１０３で、第２ステップＳ１０２で求めた差の絶対値が、設定されている許容値を超えた場合に、判断部１０４が、設備機器に対する不正アクセスが発生したものと判断する。この後、第４ステップＳ１０４で、判断部１０４は、不正アクセスが発生した旨を通知するための警報を発令する。
【００２９】
以上に説明したように、実施の形態１によれば、通知における制御値の大きな変化を検出した場合に、不正アクセスが発生したものと判断するようにしたので、システムを停止させることなく、外部からの不正アクセスが検知できるようになる。
【００３０】
［実施の形態２］
次に、本発明の実施の形態２おける不正アクセス検知装置２０１について図４を参照して説明する。不正アクセス検知装置２０１は、通信回線１１１に接続している。また、通信回線１１１には、複数の設備機器１２１ａ，１２１ｂ，１２１ｃが接続されている。また、不正アクセス検知装置２０１は、監視部１０２、演算部１０３、判断部１０４を備える。これらは、前述した実施の形態１と同様である。
【００３１】
実施の形態２では、監視部１０２が検知した設備機器１２１ａから送出された複数の通知の制御値の平均値を求める平均値算出部１０５を更に備える。実施の形態２において、演算部１０３は、監視部１０２が今回検知した通知の制御値と、平均値算出部１０５が算出している平均値との差を求める。
【００３２】
例えば、設備機器１２１ａ，１２１ｂは、図５示すように、測定されている電力量の積算値を、１時間毎に設備機器１２１ｃに対して通知する。この中で、平均値算出部１０５は、前回まで（図５：別の日の８時台まで）に通知されて監視部１０２が検知した電力積算値の平均値を算出する。演算部１０３は、今回（図５：別の日の９時台）検知した制御値と、平均値算出部１０５が算出した平均値との差を求める。このようにして平均値算出部１０５が求めた差の絶対値が、設定されている許容値を超えた場合に、判断部１０４が、設備機器に対する不正アクセスが発生したものと判断する。
【００３３】
次に、実施の形態２における不正アクセス検知装置の動作例（不正アクセス検知方法）について、図６を用いて説明する。
【００３４】
まず、第１ステップＳ２０１で、監視部１０２が、監視対象の設備機器１２１ａより設備機器１２１ｂ（他機器）へ通知された、設備機器１２１ａの制御のために設定されている制御値の通知を検知する。
【００３５】
次に、第２ステップＳ２０２で、演算部１０３が、監視部１０２が今回検知した通知の制御値と、平均値算出部１０５が算出している平均値との差を求める。
【００３６】
次に、第３ステップＳ２０３で、第２ステップＳ２０２で求めた差の絶対値が、設定されている許容値を超えた場合に、判断部１０４が、設備機器に対する不正アクセスが発生したものと判断する。この後、第４ステップＳ２０４で、判断部１０４は、不正アクセスが発生した旨を通知するための警報を発令する。
【００３７】
なお、上述した実施の形態における不正アクセス検知装置１０１は、図７に示すように、ＣＰＵ（Central Processing Unit；中央演算処理装置）３０１と主記憶装置３０２と外部記憶装置３０３とネットワーク接続装置３０４となどを備えたコンピュータ機器であり、主記憶装置に展開されたプログラムによりＣＰＵ３０１が動作することで、上述した各機能が実現される。ネットワーク接続装置３０４は、ネットワーク３０５に接続する。また、各機能は、複数のコンピュータ機器に分散させるようにしてもよい。
【００３８】
以上に説明したように、本発明によれば、通知における制御値の大きな変化を検出した場合に、不正アクセスが発生したものと判断するようにしたので、システムを停止させることなく、外部からの不正アクセスが検知できるようになる。
【００３９】
なお、本発明は以上に説明した実施の形態に限定されるものではなく、本発明の技術的思想内で、当分野において通常の知識を有する者により、多くの変形および組み合わせが実施可能であることは明白である。
【符号の説明】
【００４０】
１０１…不正アクセス検知装置、１０２…監視部、１０３…演算部、１０４…判断部、１１１…通信回線、１２１ａ，１２１ｂ，１２１ｃ…設備機器。
【図１】
2019091200.tif 000003
【図２】
2019091200.tif 000004
【図３】
2019091200.tif 000005
【図４】
2019091200.tif 000006
【図５】
2019091200.tif 000007
【図６】
2019091200.tif 000008
【図７】
2019091200.tif 000009