(57)【要約】      （修正有）【課題】既存の制御装置に、通信のリアルタイム性に影響を与えずにＤｏＳ攻撃を検知または回避するセキュリティ機能を追加する。【解決手段】ネットワークから制御装置に送信する通信フレームを中継する通信制御装置Ｔは、通信フレームのＩＦＧを測定するＩＦＧ測定部２０１と、通信フレームのデータをストアすることなくスキャンし、スキャンデータと通信フレームの配列のデータを取得する通信フレームスキャン部２０２と、現在の通信フレームのスキャンデータを元に、次に受信する通信フレームの許容ＩＦＧを決定する許容ＩＦＧ決定部２０５と、許容ＩＦＧを記憶する許容ＩＦＧリスト２００と、異常通信フレーム判定部２０３を備える。異常通信フレーム判定部が、許容ＩＦＧリストとＩＦＧ測定値を比較して通信フレームがＤｏＳ攻撃であると判定すると、ネットワーク制御部２０４は通信フレームにセキュリティ情報を付与して制御装置に送信する。【選択図】図１
2019083355.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークから制御装置に送信する通信フレームを中継するとともに、前記通信フレームは所定の順番に従う小フレームで構成されている通信制御装置であって、
通信制御装置は、
通信フレームのＩＦＧを測定するＩＦＧ測定部と、
通信フレームのデータをストアすることなくスキャンし、スキャンデータと通信フレームの配列のデータを取得する通信フレームスキャン部と、
該通信フレームスキャン部が取得した現在の通信フレームのスキャンデータを元に、次に受信する通信フレームの許容ＩＦＧを決定する許容ＩＦＧ決定部と、
該許容ＩＦＧ決定部で求めた前記許容ＩＦＧを記憶する許容ＩＦＧリストと、
前記ＩＦＧ測定部が取得したＩＦＧ測定値と、前記通信フレームスキャン部が取得した通信フレームの前記小フレームの配列のデータと、前記許容ＩＦＧリストが記憶する許容ＩＦＧリストの内容から、通信フレームがＤｏＳ攻撃であることを判定する異常通信フレーム判定部と、
該異常通信フレーム判定部の判定結果に応じて、通信フレームの破棄、または警告を意味するセキュリティ情報を通信フレームに付与して前記制御装置に送信するネットワーク制御部を備え、
前記異常通信フレーム判定部は、前記許容ＩＦＧリストに記憶した許容ＩＦＧとＩＦＧ測定値を比較して通信フレームがＤｏＳ攻撃であることを判定することを特徴とする通信制御装置。
【請求項２】
請求項１に記載の通信制御装置であって、
前記異常通信フレーム判定部は、前記許容ＩＦＧリストに記憶した前記小フレームごとの許容ＩＦＧとＩＦＧ測定値を比較して通信フレームがＤｏＳ攻撃であることを判定することを特徴とする通信制御装置。
【請求項３】
請求項１または請求項２に記載の通信制御装置であって、
前記許容ＩＦＧ決定部は、前記通信フレームスキャン部が取得した現在の通信フレームのスキャンデータを元に、次に受信する通信フレームの前記小フレームごとの許容ＩＦＧを決定することを特徴とする通信制御装置。
【請求項４】
請求項１から請求項３のいずれか１項に記載の通信制御装置であって、
所定の順番に従う小フレームで構成された前記通信フレームは、その後段にフレームチェックのための小フレームを備えており、前記異常通信フレーム判定部は、該小フレームのデータを操作することにより、ＤｏＳ攻撃であることを後段の制御装置に通知することを特徴とする通信制御装置。
【請求項５】
前記制御装置に対して、複数種類の通信フレームが前記ネットワークから通信制御装置を介して伝送されるとともに、前記複数種類の通信フレームは、所定の制御周期を保持して送信されている請求項１から請求項４のいずれか１項に記載の通信制御装置であって、
前記許容ＩＦＧリストには、前記複数種類の通信フレームごとに前記許容ＩＦＧリストが準備されており、前記所定の制御周期内におけるＮ番目の通信フレームを受信したときに、Ｎ＋１番目に到来する予定の通信フレームの前記許容ＩＦＧリストにのみ許容ＩＦＧを設定することにより、Ｎ＋１番目に到来する予定の通信フレームのみを処理可能とすることを特徴とする通信制御装置。
【請求項６】
請求項５に記載の通信制御装置であって、
Ｎ＋１番目に到来する予定の通信フレームとして、複数種類の異なる通信フレームが想定される場合に、これらの複数種類の異なる通信フレームの前記許容ＩＦＧリストに許容ＩＦＧを設定することを特徴とする通信制御装置。
【請求項７】
請求項１から請求項６のいずれか１項に記載の通信制御装置であって、
ＤｏＳ攻撃であると判断される通信フレームの受信回数が、所定回数に占める割合を求め、当該割合と予め設定した許容受信頻度を比較し、前記セキュリティ情報を通信フレームに付与して前記制御装置に送信することを特徴とする通信制御装置。
【請求項８】
ネットワークから制御装置に送信する通信フレームを中継するとともに、前記通信フレームは所定の順番に従う小フレームで構成されている通信制御装置における通信制御方法であって、
前回受信した通信フレームとの間のＩＦＧ測定値が、閾値以下である場合に、通信フレームから任意のデータを抽出し、抽出したデータを元に１項目以上の規則と照合し、その結果を元に当該通信フレームの異常有無を判定すると共に、次の通信フレームに関する１項目以上の規則リストの内、任意の項目を更新すること、を特徴とする通信制御方法。
【請求項９】
請求項８に記載の通信制御方法であって、
通信フレームから任意のデータを抽出する際に、通信フレームをカットスルー方式でデータを抽出すること、を特徴とする通信制御方法。
【請求項１０】
請求項８または請求項９に記載の通信制御方法であって、
前記１項目以上の規則リストとして、通信フレームの任意のデータと、前記通信フレームの任意のデータに対応する、通信フレームを異常と判定するＩＦＧ値である許容ＩＦＧと、の組を含むこと、を特徴とする通信制御方法。
【請求項１１】
請求項１０記載の通信制御方法であって、
通信フレームをカットスルー方式でデータを順次抽出し、前記通信フレームから得られたデータに対応する許容ＩＦＧを、１項目以上の規則リストを元に順次検証し、通信フレームの異常の有無を判定すること、を特徴とする通信制御方法。
【請求項１２】
請求項１０または請求項１１に記載の通信制御方法であって、
通信フレームの異常の有無を判定する方法として、測定したＩＦＧと許容ＩＦＧとを比較し、前記測定したＩＦＧが許容ＩＦＧ以下である場合に異常と判定すること、を特徴とする通信制御方法。
【請求項１３】
請求項１０から請求項１２のいずれか１項に記載の通信制御方法であって、
測定したＩＦＧ、または通信フレームから抽出したデータからネットワークの状態を判定し、前記ネットワークの状態に応じて１項目以上の規則リストの内容を更新すること、を特徴とする通信制御方法。
【請求項１４】
請求項１３記載の通信制御方法であって、
測定したＩＦＧの平均値が高い場合において、１項目以上の規則リストの内容を更新するに際し、前記規則リストに登録された一つ以上の許容ＩＦＧ値として高い値を設定し、前記測定したＩＦＧの平均値が低い場合において、１項目以上の規則リストの内容を更新するに際し、前記規則リストに登録された一つ以上の許容ＩＦＧ値として低い値を設定すること、を特徴とする通信制御方法。
【請求項１５】
請求項１０から請求項１４のいずれか１項に記載の通信制御方法であって、
ある通信フレームを受信する装置が、前記通信フレームの処理に必要とする処理時間を事前に把握できる場合、１項目以上の規則リストの内容を更新するに際し、前記規則リストに登録された前記通信フレームに対応する許容ＩＦＧ値として前記通信フレームの処理に必要とする処理時間以上の数値を設定すること、を特徴とする通信制御方法。
【請求項１６】
請求項１０から請求項１５のいずれか１項に記載の通信制御方法であって、
周期的に受信する通信フレームを受信した後、次に受信する可能性がある通信フレームが有するデータパターンを除き、１項目以上の規則リストの内容を更新するに際し、前記規則リストに登録された一つ以上の許容ＩＦＧ値として、許容ＩＦＧとして周期通信の一周期以上の数値を設定すること、を特徴とする通信制御方法。
【請求項１７】
請求項１０から請求項１６のいずれか１項に記載の通信制御方法であって、
１項目以上の規則リストとして、通信フレームの任意のデータと、前記通信フレームの任意のデータに対応する、通信フレームを異常と判定するＩＦＧ値（許容ＩＦＧ）と、前記通信フレームに対応するデータパターンにおける通信フレームを異常と判定する受信頻度値（許容受信頻度）と、の組を含むこと、を特徴とする通信制御方法。
【請求項１８】
請求項１７記載の通信制御方法であって、
通信フレームのデータパターン毎に通信フレームの受信頻度を計数する手段を具備し、任意の通信フレームの受信頻度が、１項目以上の規則リストに記載された許可受信頻度を超える場合、当該通信フレームを異常とみなし、外部に警告する、もしくは前記通信フレームを破棄すること、を特徴とする通信制御装置。
【請求項１９】
請求項１０から請求項１８のいずれか１項に記載の通信制御方法であって、
通信フレームのフォーマットがＩＥＥＥ８０２．３準拠の通信フレームフォーマット、または、ＩＥＥＥ８０２．３準拠の通信フレームフォーマットと同種、または派生の通信フレームフォーマット、であること、を特徴とする通信制御方法。
【請求項２０】
請求項１０から請求項１９のいずれか１項に記載の通信制御方法であって、
ネットワークと端末間に中継して接続される、または前記通信制御装置が実行する機能と同等の処理を前記端末のネットワークインターフェイス内で実行することを特徴とする通信制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、リアルタイム性が求められる通信ネットワークにおいてサイバーセキュリティ耐性を向上するための通信制御装置および通信制御方法に関する。
【背景技術】
【０００２】
近年、重要インフラの制御システム（以下、制御システムという）に対するサイバーセキュリティ（以下、単にセキュリティという）に関する脅威が深刻となっている。
【０００３】
制御システムの構成要素の内、制御用コントローラや制御通信用ネットワークなどの制御機構の中核を担う制御装置は高いリアルタイム性を追求した設計となっており、多くは組込みシステムによって構成されている。
【０００４】
組込みシステムはＲＴＯＳ（Ｒｅａｌ−Ｔｉｍｅ  Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）、マイコン（マイクロコントローラ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ  Ｓｐｅｃｉｆｉｃ  Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ  Ｐｒｏｇｒａｍｍａｂｌｅ  Ｇａｔｅ  Ａｒｒａｙ）などの専用ソフトウェアやハードウェアから構成される。これら部品によって実装される組込みシステムは、高いリアルタイム性を追求した結果、冗長性を排除した設計となっており、拡張性が乏しいものとなっている。
【０００５】
このため、特に既存の組み込みシステムに対してセキュリティ機能を追加実装することは困難である。
【０００６】
一方、制御システムに対する攻撃は近年巧妙化しており、特に制御装置は多くの場合セキュリティ機能が実装されていないため、攻撃者によって狙われやすい。加えて、制御装置は他の装置間と密に連携した処理を実行しており、一か所の不具合が制御システム全体に波及するリスクが高い。制御装置が攻撃を受けた結果、システム全体がダウンし、安全性とビジネスの側面で大きな打撃を受ける可能性がある。
【０００７】
以上を踏まえ、組み込みシステムとされた既存の制御システムに対してもセキュリティ機能を追加する技術が求められている。
【０００８】
制御システムにセキュリティ機能を追加するとき、多くの場合には外部ネットワークからの侵入口となり得る境界にＦＷ（Ｆｉｒｅ  Ｗａｌｌ）やＡＡＡ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ、  Ａｕｔｈｏｒｉｚａｔｉｏｎ  ａｎｄ  Ａｃｃｏｕｎｔｉｎｇ）サーバなどのセキュリティ装置を配備することで、セキュリティ機能を実装している。
【０００９】
しかるにこのアプローチの場合、システム外部からの侵入を防御することができるが、これらセキュリティ装置の脆弱性によってシステムへ侵入された場合や内部犯行者など、これらセキュリティ機能を迂回できる攻撃者に対して攻撃を許してしまう可能性がある。
【００１０】
したがって、既存の制御装置に対して直接セキュリティ機能を実装する技術の採用により、制御システムのセキュリティリスクを更に低減することができる。
【００１１】
既存の制御装置に対して直接セキュリティ機能を実装する方法として、制御装置の通信ポートやネットワークの間に通信を中継する装置を設置し、通信を受信する装置をセキュア化する方法がある。
【００１２】
この方法の公知の例として、特許文献１は、複数のクライアント間で通信を行う通信ネットワークにおいて、通信を中継するネットワーク中継装置であって、このネットワーク中継装置は、ネットワークＬＳＩ（Ｌａｒｇｅ−Ｓｃａｌｅ  Ｉｎｔｅｇｒａｔｉｏｎ）で構成される転送エンジン部と、ネットワーク中継装置の動作状態を制御する中央制御部と、を具備するネットワーク中継装置を提案している。
【００１３】
更に特許文献１のネットワーク中継装置は、内部で個別にデータ転送を行うための機能を実現する複数の機能ブロックと、前記各機能ブロックにかかる負荷や、前記回線の負荷を判定する負荷判定部と、前記負荷判定部が判定した各機能ブロックや回線の負荷から、各機能ブロックに対して供給するクロックと、動作電圧の少なくとも一方を個別に切替える周波数電圧制御部と、を有する。このネットワーク中継装置における負荷判定部では、パケットの通信間隔（ＩＦＧ：Ｉｎｔｅｒ−Ｆｒａｍｅ  Ｇａｐ）から瞬時的な負荷を計測し、その結果から、各機能ブロックへ供給するクロックと、動作電圧の供給可否を周波数電圧制御部で判定する。
【００１４】
また、通信を受信する装置をセキュア化する手段として、ＤｏＳ（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）攻撃への対抗手段を実現することが挙げられる。
【００１５】
ＤｏＳ攻撃は通信データ単体から見ると正常な通信であるため、ＦＷなどでの検知が難しく、攻撃の実行が比較的容易であることからセキュリティ上大きな脅威である。
【００１６】
ＤｏＳ攻撃への対抗手段の公知の例として、特許文献２は、ある端末に送られるメッセージ（同期メッセージ）が大量に送られるＤｏＳ攻撃下において、攻撃の影響を回避する同期メッセージ処理方法を提案している。
【００１７】
この同期メッセージ処理方法を具備する端末は、同期メッセージのデータを保持し、ユーザ側の処理を受け付けるアプリケーション部と、同期メッセージのデータの意味を解釈する同期処理部と、同期メッセージをネットワークと送受信するために通信プロトコルの処理を実行するプロトコル処理部と、を有する。
【００１８】
前述のプロトコル処理部は、前回受信した同期メッセージとのＩＦＧ（Ｉｎｔｅｒ  ｆｒａｍｅ  Ｇａｐ）を測定し、ＩＦＧが一定時間以内であれば、その同期メッセージを破棄している。
【先行技術文献】
【特許文献】
【００１９】
【特許文献１】特許第５０６６００７号
【特許文献２】特開２００９―５７１９０号公報
【発明の概要】
【発明が解決しようとする課題】
【００２０】
特許文献１のネットワーク中継装置は、負荷判定処理として、通信データのＩＦＧを測定することでネットワークの負荷を判定するが、負荷の判定として統計処理をしており、瞬時に当該通信データが異常であるかどうか判定することは困難である。
【００２１】
特許文献２の同期メッセージ処理方法は、ＤｏＳ攻撃をＩＦＧが閾値以下であるか否かという条件から判定する機構である。
【００２２】
ＩＦＧの閾値判定手段は、事前に固定値を登録するか、事前に登録された通信送信元のホワイトリスト、またはブラックリストの記載有無で閾値を変動させることでＤｏＳ攻撃を判定する。
【００２３】
この方法の場合、ホワイトリストに記載された送信元か、ブラックリストに記載されていない送信元がＤｏＳ攻撃の攻撃元である場合は、ＤｏＳ攻撃を検知、または回避できない。
【００２４】
特に制御システムの場合、ネットワークへ接続可能な端末は限定されていることが多く、許可された通信の送信元であるＲＴＵ（Ｒｅｍｏｔｅ  Ｔｅｒｍｉｎａｌ  Ｕｎｉｔ）やＨＭＩ（Ｈｕｍａｎ−Ｍａｃｈｉｎｅ  Ｉｎｔｅｒｆａｃｅ）がＤｏＳ攻撃の踏み台となる可能性が高い。
【００２５】
加えて、一定の閾値を設定するのみではシステムが必要に応じて実行する短いＩＦＧの通信のＤｏＳ攻撃判定ができない。
【００２６】
併せて、特許文献２の同期メッセージ処理方法は、同期メッセージを破棄手段として、同期メッセージを特許文献２の同期メッセージ処理方法を具備する装置内のメモリ域にバッファリングしており、その上で同期メッセージであるか否であるかを判定した上で、送信元情報など、同期メッセージの可否判定で必要となるデータを取得する。
【００２７】
この方式を既存の制御装置に適用した場合、受信データを装置内のメモリ域にバッファリングする処理により遅延が発生してしまい、既存の制御装置のリアルタイム処理を阻害する可能性がある。
【００２８】
以上のことから本発明が解決しようとする課題は、既存の制御装置に容易にセキュリティ機能を追加することであり、特に、制御装置間の通信のリアルタイム性に影響を与えずにＤｏＳ攻撃を検知、または回避することである。
【課題を解決するための手段】
【００２９】
本発明は、上記課題を解決するためのものであり、ネットワークから制御装置に送信する通信フレームを中継するとともに、通信フレームは所定の順番に従う小フレームで構成されている通信制御装置であって、通信制御装置は、通信フレームのＩＦＧを測定するＩＦＧ測定部と、通信フレームのデータをストアすることなくスキャンし、スキャンデータと通信フレームの配列のデータを取得する通信フレームスキャン部と、通信フレームスキャン部が取得した現在の通信フレームのスキャンデータを元に、次に受信する通信フレームの許容ＩＦＧを決定する許容ＩＦＧ決定部と、許容ＩＦＧ決定部で求めた許容ＩＦＧを記憶する許容ＩＦＧリストと、ＩＦＧ測定部が取得したＩＦＧ測定値と、通信フレームスキャン部が取得した通信フレームの小フレームの配列のデータと、許容ＩＦＧリストが記憶する許容ＩＦＧリストの内容から、通信フレームがＤｏＳ攻撃であることを判定する異常通信フレーム判定部と、異常通信フレーム判定部の判定結果に応じて、通信フレームの破棄、または警告を意味するセキュリティ情報を通信フレームに付与して制御装置に送信するネットワーク制御部を備え、異常通信フレーム判定部は、許容ＩＦＧリストに記憶した許容ＩＦＧとＩＦＧ測定値を比較して通信フレームがＤｏＳ攻撃であることを判定することを特徴とする。
【００３０】
また本発明は、ネットワークから制御装置に送信する通信フレームを中継するとともに、通信フレームは所定の順番に従う小フレームで構成されている通信制御装置における通信制御方法であって、前回受信した通信フレームとの間のＩＦＧ測定値が、閾値以下である場合に、通信フレームから任意のデータを抽出し、抽出データを元に１項目以上の規則と照合し、その結果を元に当該通信データの異常有無を判定すると共に、次の通信フレームに関する１項目以上の規則リストの内、任意の項目を更新すること、を特徴とする。
【発明の効果】
【００３１】
本発明によれば、制御システムの構成要素である装置のうち、特に既存の装置に対して、ＤｏＳ攻撃を検知、または回避する機能を実現できる。
【００３２】
また本発明の実施例によれば、ＤｏＳ攻撃を高精度に検知し、かつリアルタイム性に影響を与えないパケット破棄処理を実現できるため、制御システムの運用に影響を与えないままシステムのセキュリティを確保できる。
【図面の簡単な説明】
【００３３】
【図１】本発明に係る通信制御装置Ｔの構成例を示す図。
【図２】本発明の通信制御装置の制御システムへの適用例を示す図。
【図３】本発明に係る通信制御装置Ｔの基本的なフローチャートを示す図。
【図４】通信フレームの一例としてＩＥＥＥ８０２．３準拠の通信フレームの構造を示す図。
【図５】通信制御装置Ｔで取り扱う許容ＩＦＧリスト２００の例を示す図。
【図６ａ】通信フレームＦ１の受信間隔が短く、測定される平均のＩＦＧが短い場合を示す図。
【図６ｂ】通信フレームＦ１の受信間隔が長く、測定される平均のＩＦＧが長い場合を示す図。
【図７】通信制御装置Ｔの周期性を乱す通信を異常として判定する際の許容ＩＦＧリストの例を示す図。
【図８】複数の通信フレームに対応する許容ＩＦＧに周期時間未満の時間を設定する例を示す図。
【図９】通信フレームＦ１の受信頻度の情報を含む許容ＩＦＧリスト２００の例を示す図。
【図１０】受信頻度の情報を考慮した通信制御装置構成例を示す図。
【図１１】図１０の通信制御装置Ｔの基本的なフローチャートを示す図。
【発明を実施するための形態】
【００３４】
以下、図面を用いて本発明における通信制御装置および通信制御方法について説明する。尚、通信制御方法とは、本発明における通信制御が処理する以下に示す処理を実現する方法を意味する。また、ここでは制御システムを例に本発明の構成および効果について説明するが、制御システムと同程度のリアルタイム性が求められるシステムに対しても適用される。
【実施例１】
【００３５】
図２は、本発明の通信制御装置の制御システムへの適用例を示している。
【００３６】
図２に示した本発明に係る通信制御装置Ｔは、制御システムにおいてリアルタイム通信を実行するネットワークＮＷ、およびＤｏＳ攻撃からの保護対象である制御装置Ｅの間に設置される。尚、設置の形態には、ネットワーク間に中継する形態もあれば、制御装置ＥのＮＩＣ（Ｎｅｔｗｏｒｋ  Ｉｎｔｅｒｆａｃｅ  Ｃａｒｄ）と直接接続する形態、または制御装置Ｅ内部に直接実装する形態があるが本発明はそのいずれの携帯であっても適用可能である。要するにネットワークを含む通信経路上の制御装置入口側に設置されていればよい。
【００３７】
図１は、本発明に係る通信制御装置Ｔの構成例を示している。
【００３８】
通信制御装置Ｔは、ネットワークＮＷからの通信フレームＦ１を入力用インターフェイスＩ／Ｆ１から取り込み、セキュリティ処理後の通信フレームＦ２を出力用インターフェイスＩ／Ｆ２から出力する。
【００３９】
通信フレームＦ１の通信データＤは、最初にＩＦＧ測定部２０１に取り込まれ、ＩＦＧ測定部２０１において通信フレームのＩＦＧをデータリンクレベルで測定して、ＩＦＧ測定値Ｄ１が異常通信フレーム判定部２０３に送られる。
【００４０】
通信フレームＦ１を構成する通信データＤは、次に通信フレームスキャン部２０２に取り込まれ、通信フレームスキャン部２０２において通信フレームＦ１のデータをストアすることなくスキャンし、スキャンデータＤ３と通信フレームＦ１の配列のデータＤ２を取得する。通信フレームＦ１の配列のデータＤ２は、異常通信フレーム判定部２０３に送られ、スキャンデータＤ３は許容ＩＦＧ決定部２０５に送られる。
【００４１】
許容ＩＦＧ決定部２０５では、通信フレームスキャン部２０２が取得した現在の通信フレームＦ１（ｔ）のスキャンデータＤ３を元に、次に受信する通信フレームＦ１（ｔ＋１）の許容ＩＦＧを決定する。許容ＩＦＧ決定部２０５で決定された通信フレームＦ１の許容ＩＦＧは、更新情報Ｄ４として許容ＩＦＧリスト２００に送られ、許容ＩＦＧリスト２００において通信フレームＦ１のヘッダ情報や受信頻度毎で設定された許容ＩＦＧリストを形成する。許容ＩＦＧリスト２００のリスト内容Ｄ５は、異常通信フレーム判定部２０３に送られる。
【００４２】
異常通信フレーム判定部２０３では、ＩＦＧ測定部２０１が取得したＩＦＧ測定値Ｄ１、通信フレームスキャン部２０２が取得した通信フレームの配列のデータＤ２、および許容ＩＦＧリスト２００から取得した許容ＩＦＧリストの内容Ｄ５から、通信フレームＦ１がＤｏＳ攻撃であるかどうか判定する。
【００４３】
ネットワーク制御部２０４では、異常通信フレーム判定部２０３が生成した判定結果を元に、通信フレームＦ１の許可、破棄、または警告を意味するセキュリティ情報を生成し、出力用インターフェイスＩ／Ｆ２から出力する通信フレームＦ２に反映する。これにより、後流の制御装置Ｅ側では、受領した通信フレームＦ２のセキュリティ情報を用いて、データの採用可否を判断することが可能となる。
【００４４】
図１の通信制御装置Ｔで取り扱う通信フレームＦ１は種々のものであってよいが、ここでは例えば、図４に示すＩＥＥＥ８０２．３準拠の通信フレームＦ１の構造を参照して説明する。
【００４５】
通信フレームの一例として取り上げたＩＥＥＥ８０２．３準拠の通信フレームＦ１は、先頭からプリアンブルＦ１１、ＳＦＤ（Ｆ１２）、宛先アドレスＦ１３、送信元アドレスＦ１４、Ｔｙｐｅ（Ｆ１５）、ペイロード・上位プロトコルＦ１６、ＦＣＳ（Ｆ１７）で構成されている。なお本発明においては、通信フレームＦ１を構成するＦ１１からＦ１７の各部を総称する用語として小フレームと表示することとし、全体としての通信フレームＦ１とは区別して説明する。
【００４６】
また図１の通信制御装置Ｔで取り扱う許容ＩＦＧリスト２００について、一例を示すと図５のようである。図５は、図４の宛先アドレスＦ１３以降の主要な小フレームについて、許容ＩＦＧ（ｂｉｔ時間）を設定したものである。図５の例では、許容ＩＦＧリスト２００に格納された宛先アドレスＦ１３以降の主要な小フレームとして、宛先アドレスＦ１３、送信元アドレスＦ１４、Ｔｙｐｅ（Ｆ１５）、データ部（ＩＰ送信元アドレス）を取り上げており、その許容ＩＦＧ（ｂｉｔ時間）は、それぞれ５００、４００、３００、２００（ｂｉｔ時間）とされている。この許容ＩＦＧリスト２００に記述された小フレームごとの許容ＩＦＧは、要するに通信フレームＦ１の先頭に近い小フレームから後段になるほど順次短い許容ＩＦＧを設定したものである。
【００４７】
図３は、本発明に係る通信制御装置Ｔの基本的な処理のフローチャートを示している。なお、図１の通信制御装置Ｔは内部での処理に必要な情報として、通信フレームＦ１の通信データＤが適宜のタイミングで入力されており、さらには図３のフローチャートの実行に伴い、通信データＤに派生して、ＩＦＧ測定値データＤ１、通信フレームデータＤ２、スキャンデータＤ３、などが生成されるものとする。
【００４８】
図３のフローチャートの最初の処理ステップＳ３００では、通信制御装置Ｔの入力側通信インターフェイスＩ／Ｆ１に受信した、ネットワークＮＷからの通信フレームＦ１を検知する。なお通信フレームＦ１の検知は、例えば通信フレームＦ１の先頭部分であるプリアンブル、およびＳＦＤ（Ｓｔａｒｔ  Ｆｒａｍｅ  Ｄｅｌｉｍｉｔｅｒ）を検出することで受信検知とすることができる。例えば、ＩＥＥＥ８０２．３準拠の通信フレームの場合、プリアンブルは５６ｂｉｔ、ＳＦＤは８ｂｉｔであり、プリアンブルとＳＦＤの組を検出することで通信フレームＦ１の受信を検知できる。
【００４９】
次に処理ステップＳ３０１では、前回の通信フレーム受信時刻と、今回受信した通信フレーム受信時刻との時間差であるＩＦＧを測定する。具体的なＩＦＧを測定する手段としては、例えば通信制御装置Ｔの内部クロック等により測定することができる。なお以下においては、測定されたＩＦＧが６００（ｂｉｔ時間）である場合と、２５０（ｂｉｔ時間）である場合を例にして説明する。
【００５０】
次に処理ステップＳ３０２では、処理ステップＳ３０１で測定した測定ＩＦＧと、図１の許容ＩＦＧリスト２００に保管された許容ＩＦＧの中で最大の値の許容ＩＦＧ（以下、最大許容ＩＦＧという）とを比較し、測定ＩＦＧが最大許容ＩＦＧより大きい場合（処理ステップＳ３０２のＮ）は、処理ステップＳ３０９側の処理を行い、測定ＩＦＧが最大許容ＩＦＧより小さい場合（処理ステップＳ３０２のＹ）は、処理ステップＳ３０３側の処理を行う。
【００５１】
先の測定ＩＦＧの例で説明すると、例えば測定ＩＦＧが６００（ｂｉｔ時間）であり、図５の最大許容ＩＦＧである５００（ｂｉｔ時間）より大きい場合（処理ステップＳ３０２のＮ）は、処理ステップＳ３０６において現在の通信フレームＦ１（ｔ）を許可することになるが、通信フレームＦ１（ｔ）の通過を許可する前に、処理ステップＳ３０９において、次に取得する通信フレームＦ１（ｔ＋１）の許容ＩＦＧリスト２００を更新する上で必要な情報であるスキャンデータＤ３を通信フレームＦ１（ｔ）から取得する。
【００５２】
測定ＩＦＧが２５０（ｂｉｔ時間）であり、処理ステップＳ３０２において最大許容ＩＦＧである５００（ｂｉｔ時間）よりも測定ＩＦＧが小さい（処理ステップＳ３０２のＹ）と判断された場合は、処理ステップＳ３０３での処理により、プリアンブル以後の現在の通信フレームＦ１（ｔ）のデータを先頭から取得し、通信フレームＦ１（ｔ）のデータ（通信フレームデータＤ２）を随時取得する。処理ステップＳ３０３における処理は、図４を用いて後述するが、要するに通信フレームＦ１（ｔ）を構成するプリアンブル以下の各小フレームについて、当該小フレームであることを判定するに必要なデータを取得したものである。
【００５３】
処理ステップＳ３０４の処理は、許容ＩＦＧリスト２００内の該当するリストを選択できるようになるまでのデータが通信フレームＦ１（ｔ）から得られた場合に実行され、そのリストの許容ＩＦＧと測定ＩＦＧとを比較する。より具体的に述べると、通信フレームＦ１（ｔ）を構成するプリアンブル以下の小フレームについて、その小フレームを検知できた時点において、許容ＩＦＧリスト２００内の当該小フレームに該当するリストを選択し、選択したリストに記載された許容ＩＦＧと、測定ＩＦＧとを比較するものである。
【００５４】
測定ＩＦＧが該当リストの許容ＩＦＧより大きい場合（処理ステップＳ３０４のＮ）は、処理ステップＳ３１１側の処理を行う。測定ＩＦＧが該当リストの許容ＩＦＧより小さい場合（処理ステップＳ３０４のＹ）は、処理ステップＳ３０５の処理を行う。
【００５５】
測定ＩＦＧが該当リストの許容ＩＦＧより大きい場合（処理ステップＳ３０４のＮ）の処理ステップＳ３１１の処理では、順次の小フレームについて、逐次繰り返し判断を実行させる。
【００５６】
先の説明事例によれば、測定ＩＦＧは２５０（ｂｉｔ時間）であり、宛先アドレスＦ１３後の最初の小フレームである送信元アドレスＦ１４で定まる許容ＩＦＧは４００（ｂｉｔ時間）である。この場合には測定ＩＦＧが許容ＩＦＧ以下となり、処理ステップＳ３０５において通信データＦ１の破棄、アラート生成を実行する。これらの判断は、小フレームが確認できたその都度に逐次許容ＩＦＧリスト２００を参照して実行されるが、一度通信データＦ１の破棄、アラート生成が確認できた場合には、以後のフレームの判断を必ずしも必要としない。
【００５７】
通信フレームを破棄する具体的な方法としては、例えば、通信フレームの末端に付与されたＦＣＳ（ｆｒａｍｅ  Ｃｈｅｃｋ  ｓｅｑｕｅｎｃｅ）をビット反転などによって別の値に置き換える方法がある。こうすることで、通信フレームの受信側装置である制御装置ＥのＮＩＣにてフレームチェック処理を実行する際に破棄される。ＦＣＳを別の値に置き換える方法により、ＦＣＳを除くフレーム全体のデータを取得できるだけでなく、カットスルーでの通信フィルタリング処理が実現できる。
【００５８】
処理ステップＳ３０７では、一連の通信フレームＦ１（ｔ）の異常判定処理が終了した後、取得した通信フレームのデータ（スキャンデータＤ３）を元に、許容ＩＦＧリストを更新する。この更新処理は次の通信フレームＦ１（ｔ＋１）を受信するまでに完了する必要がある。例えば、ＩＥＥＥ８０２．３準拠のプロトコルの場合、仕様上、９６ｂｉｔ時間であることが定められており、この時間以内に許容ＩＦＧリストの更新を完了すればよい。
【００５９】
処理ステップＳ３０８の処理では、許容ＩＦＧリストの更新完了後に、次の通信フレームの受信を待ち受け、通信フレームＦ１（ｔ＋１）を受信した場合は、処理ステップＳ３００に戻り、上記した一連の処理を次の通信フレームＦ１（ｔ＋１）に対して繰り返す。
【００６０】
尚、図３の処理ステップＳ３０４のステップを実行する図１の異常通信フレーム判定部２０３は、通信フレームの先頭から順番に得られた小フレームのデータを元に、対象となる許容ＩＦＧリストに記載された複数の許容ＩＦＧの項目を順次比較することができる。
【００６１】
係る通信フレームＦ１の場合、通信制御装置Ｔにおける処理ステップＳ３００では、通信フレームＦ１の先頭部であるプリアンブルＦ１１およびＳＦＤ（Ｆ１２）を検出することで通信フレームＦ１の受信を検知した後に、宛先アドレスＦ１３のデータを取得する。
【００６２】
以上要するに通信制御装置Ｔにおいては、処理ステップＳ３０２において、宛先アドレスＦ１３に該当する許容ＩＦＧを許容ＩＦＧリスト２００から参照して入手し、測定ＩＦＧと宛先アドレスＦ１３に記載された最大許容ＩＦＧと比較する。処理ステップＳ３０２の処理では宛先アドレスＦ１３の許容ＩＦＧ（ｂｉｔ時間）が５００（ｂｉｔ時間）であるので、測定ＩＦＧが５００（ｂｉｔ時間）より大きいか、小さいかを判断することになる。
【００６３】
処理ステップＳ３０３で通信フレーム取得した後に、処理ステップＳ３０４で実行される比較処理は具体的には以下のように進行する。ここでの処理の前提としては、処理ステップＳ３０２の処理により、測定ＩＦＧが、宛先アドレスＦ１３に該当する許容ＩＦＧ（５００）より小さいことが確認されているので、処理ステップＳ３０４で実行される比較処理では、更に送信元アドレスＦ１４に該当する許容ＩＦＧ（４００）を許容ＩＦＧリスト２００から取得する。その結果、送信元アドレスＦ１４の測定ＩＦＧが、送信元アドレスＦ１４に該当する許容ＩＦＧ（４００）より小さい場合は、タイプＦ１５（ｔｙｐｅ）情報やペイロード部Ｆ１６（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌなど上位プロトコルを含む）に該当する許容ＩＦＧ（２００）を許容ＩＦＧリスト２００から取得し、タイプＦ１５（ｔｙｐｅ）情報やペイロード部Ｆ１６の測定ＩＦＧとの比較処理を順次実行する。
【００６４】
この許容ＩＦＧリスト２００内の許容ＩＦＧと測定ＩＦＧとを比較する過程で、当該通信フレームＦ１が異常であると判定された場合、処理ステップＳ３０５では通信フレームＦ１末尾のＦＣＳ（Ｆ１７）のデータを別のデータに置き換える。これにより、制御装置ＥのＮＩＣにおいて当該通信フレームＦ１を破棄することを可能とする。
【００６５】
このように、通信フレームＦ１を構成する小フレームの単位ごとに、許容ＩＦＧリスト２００と、通信フレームＦ１から取得されるデータを順次比較することで、通信フレームＦ１をストアすることなくＤｏＳ攻撃を高精度に判定できるため、制御装置Ｅは、自身のリアルタイム処理に影響を与えないままＤｏＳ攻撃への耐性を具備できる。
【実施例２】
【００６６】
実施例２では、通信フレームＦ１を構成する小フレーム単位での許容ＩＦＧを定めるための幾つかの考え方について説明する。
【００６７】
まず図５に例示した許容ＩＦＧリスト２００の詳細仕様について説明する。許容ＩＦＧリスト２００の最小の構成は、「データの条件」と「許容ＩＦＧ」の二つの属性から成る。
【００６８】
このうち、データの条件とは、例えば、通信フレームのデータ情報が該当する。図５に示した許容ＩＦＧリスト２００の例の場合、通信フレームの宛先アドレスＦ１３や送信元アドレスＦ１４の条件などがこれに該当する。別の表現をするならば、通信フレームＦ１の受信を検知するために利用した、通信フレームＦ１の先頭部であるプリアンブルＦ１１およびＳＦＤ（Ｆ１２）以降の小フレームである宛先アドレスＦ１３や送信元アドレスＦ１４が、この「データの条件」に相当する。
【００６９】
これに対し、「許容ＩＦＧ」に設定する値（ｂｉｔ時間）は、システムの要件や装置の処理性能を十分に考慮して定められるのがよい。通信制御装置Ｔは、通信フレームＦ１を先頭からカットスルーでスキャンし、必要な情報として宛先アドレスＦ１３以降の小フレームを取得次第、順次許容ＩＦＧリスト２００のデータ条件属性に対応する許容ＩＦＧを参照して、測定ＩＦＧとの比較を行う。このため、許容ＩＦＧはシステムの要件や装置の処理性能によって決定する。これは、ＤｏＳ攻撃であると判定する基準が、システムの仕様や装置の処理性能に依存するためである。
【００７０】
例えば、ある制御装置Ｅが特定パターンの通信フレームＦ１を受信した場合に１００ミリ秒の処理を実行するようなシステム仕様の場合、そのパターンに該当する通信フレームＦ１を受信する毎に１００ミリ秒の処理が発生してしまう。このような通信フレームが１００ミリ秒以下の頻度で受信された場合、制御装置Ｅの処理リソースが占有されてしまい、他の処理が阻害されるというリスクがある。
【００７１】
加えて、装置の通信フレーム等の処理性能も影響する。例えば、エンタープライズ向けのサーバで利用されるような通信フレームの処理基盤は数百Ｇｂｐｓオーダの通信フレームＦ１に対して、十分処理可能な性能を有している。他方、制御システムを構成する制御装置Ｅは、多くの場合にリソースが限られており、１００Ｍｂｐｓ以上の通信フレームＦ１を処理できないケースが多い。つまり、通信フレーム受信端末の処理性能によって、ある種の通信がＤｏＳ攻撃となる場合と、そうならない場合がある。
【００７２】
以上の内容を踏まえ、本発明の通信制御装置Ｔにおいては、通信の状況や装置の処理性能に応じて許容ＩＦＧリストを動的に更新する処理を実行する。例えば、制御装置Ｅにおいて、ある通信フレームＦ１の処理に係る時間を事前に評価できる場合、その処理時間以上の値を当該通信フレームのデータパターンにおける許容ＩＦＧとすることで、ＤｏＳ攻撃を検知、または回避できる可能性がある。
【００７３】
例えば制御装置Ｅが、対象の通信フレームＦ１処理中の間に連続で受信した同じデータパターンの通信フレームＦ１が到着し、その通信フレームＦ１がキューイングされてしまう場合、制御装置Ｅは、キューイングされた通信フレームＦ１を処理してしまい、処理リソースが占有されてしまう。
【００７４】
特に制御システムの場合、システム内の制御装置Ｅにとって自身のリアルタイム性を阻害するような通信フレームＦ１が短時間の間に大量に受信されることは、通常のシステム設計では考えられず、そのような通信フレームＦ１はＤｏＳ攻撃としてみなすことができる。本発明における上述の対策は、このようなＤｏＳ攻撃に対処可能となる。
【００７５】
図６ａは、通信フレームＦ１の受信間隔が短く、測定される平均のＩＦＧが短い場合を示している。また図６ｂは、逆に平均のＩＦＧが長い場合を示している。図６ａのようなケースでは、許容ＩＦＧリスト２００に登録する各許容ＩＦＧとしては、図５と比較して短めの値（２００、１５０等）を設定するのがよく、図６ｂのようなケースでは、許容ＩＦＧリスト２００に登録する各許容ＩＦＧとして図５と比較して長めの値（４０００、２５００等）を設定するのがよい。
【００７６】
この対策の利点として、例えば攻撃を受けていない正常なネットワークの状態によっては、ネットワークが一時的に高負荷となるケースがある。このケースにおいて、攻撃を受けていないネットワークの場合、その負荷増加量は通常緩やかである。
【００７７】
他方、ＤｏＳ攻撃は人為的であるため、瞬時に大量の通信フレームが発生するケースが多い。すなわち、本発明の上述の対策により、システムが一時的に高負荷となった場合の許容ＩＦＧのベースラインを自動で調整することができ、ネットワークの一時的な高負荷状態時におけるＤｏＳ攻撃誤判定のリスクを軽減できる。加えて、ネットワークに応じて自動的に許容ＩＦＧの最適値が適用されるようになるため、設定時の作業負荷も軽減できる。
【００７８】
具体的には例えば正常なネットワークの状態では、図５のような値の許容ＩＦＧである場合に、予めネットワークの一時的な高負荷状態時を想定しておき、これらの間で２割程度の緩やかな負荷上昇が認められるのが正常であると判断されるときには、この範囲内で図５の許容ＩＦＧの値を可変に調整可能とするのがよい。これらの調整は図１の許容ＩＦＧ決定部２０５、あるいは図３の処理ステップＳ３０７にて実行される。
【実施例３】
【００７９】
実施例３では、制御システム内の制御装置Ｅが周期的な処理を実行する場合の対応について説明する。
【００８０】
制御システム内の制御装置Ｅは周期的なデータの送受信をしている場合が多く、特にリアルタイム制御のための通信は多くの場合、周期的である。
【００８１】
これらの通信は、システムの仕様に依存することが多く、特定の通信フレームＦ１を受信することで、制御装置Ｅの処理リソースを一定期間占有する場合もある。このようなパケットは必ず周期性を遵守しなければならず、周期性を乱す通信が発生した場合はシステム全体の制御の周期性が乱れ、結果としてシステム全体がダウンする恐れがある。
【００８２】
周期性を乱す通信をＤｏＳ攻撃と検知するため、実施例３に係る通信制御装置Ｔにおいては、ある通信フレームＦ１を受信した後、次に受信する可能性がある通信フレームＦ１に関してのみ許容ＩＦＧを設定し、他のものは無効と設定する。
【００８３】
尚、該当する通信フレームＦ１を無効化する設定は、許容ＩＦＧに周期時間（Ｔｆｒｅｑ）以上の値を設定することで対応可能である。この例を図７に示す。
【００８４】
図７の場合に、図２のネットワークＮＷと制御装置Ｅの間に設置された本発明の実施例３に係る通信制御装置Ｔが処理する信号は、周期時間Ｔｆｒｅｑごとに周期的に繰り返される信号である。かつ周期時間Ｔｆｒｅｑ内で、例えば通信フレームＦ１ａ、通信フレームＦ１ｂ、通信フレームＦ１ｃ、通信フレームＦ１ｄの順序で受信されることがあらかじめ判明している通信の場合を示している。個々の通信フレームとして例えば通信フレームＦ１ａについてみると、この通信フレームＦ１ａが次回処理されるのは、周期時間Ｔｆｒｅｑ後であり、この周期の関係は他の通信フレームでも同様に保持されている。但し連続する各通信フレーム間の時間は任意に設定されている。従って、通信フレームＦ１ａが管理すべきＩＦＧは１周期後の通信フレームＦ１ａとの関係であって、連続する各通信フレーム間の時間ではない。
【００８５】
このことから実施例３の処理では、許容ＩＦＧリスト２００として、周期時間Ｔｆｒｅｑ内で取り扱う全ての通信フレーム（通信フレームＦ１ａ、通信フレームＦ１ｂ、通信フレームＦ１ｃ、通信フレームＦ１ｄ）についての許容ＩＦＧを保有する。この許容ＩＦＧリスト２００内の各許容ＩＦＧの値は、通信フレーム受信の都度適宜更新される。
【００８６】
図７において、パターンＰ１は通信フレームＦ１ａ受信後の許容ＩＦＧリスト２００の内容、パターンＰ２は通信フレームＦ２ｂ受信後の許容ＩＦＧリスト２００の内容、パターンＰ３は通信フレームＦ１ｃ受信後の許容ＩＦＧリスト２００の内容を示している。これによれば、通信フレームＦ１ａを受信した後、パターンＰ１に示すように許容ＩＦＧリスト２００の通信フレームＦ１ｂのみＴｆｒｅｑ以下の数値として例えば２００を設定し、他の通信フレームはＴｆｒｅｑを設定するものとする。こうすることで、通信フレームＦ１ａの通過後は通信フレームＦ１ｂのみを許可する設定にできる。
【００８７】
通信フレームＦ１ｂを受信した後は、パターンＰ２に示すように許容ＩＦＧリスト２００の通信フレームＦ１ｃのみＴｆｒｅｑ以下の数値として例えば３００を設定し、他の通信フレームはＴｆｒｅｑを設定するものとする。こうすることで、通信フレームＦ１ｂの通過後は通信フレームＦ１ｃのみを許可する設定にできる。
【００８８】
同様に、通信フレームＦ１ｃを受信した後は、パターンＰ３に示すように許容ＩＦＧリスト２００の通信フレームＦ１ｄのみＴｆｒｅｑ以下の数値として例えば５００を設定し、他の通信フレームはＴｆｒｅｑを設定するものとする。こうすることで、通信フレームＦ１ｃの通過後は通信フレームＦ１ｄのみを許可する設定にできる。
【００８９】
ただし、周期通信において、たとえば通信フレームＦ１ａ受信後に通信フレームＦ１ｂまたは通信フレームＦ１ｃを受信する可能性があるケースである場合、通信フレームＦ１ａ受信後の許容ＩＦＧリストの通信フレームＦ１ｂと通信フレームＦ１ｃの両方の許容ＩＦＧにＴｆｒｅｑ以下の数値を設定することで、複数のいずれかが受信されるケースにおいても対応できる。
【００９０】
図８は、このケースにおいて、通信フレームＦ１ｂと通信フレームＦ１ｃの両方に許容ＩＦＧに有効な数値を設定した例を示しており、通信フレームＦ１ａを受信後に一定時間の受信禁止期間を設定する必要がある場合は、通信フレームＦ１ｃの許容ＩＦＧとして、その受信禁止期間分（図８の例の場合、４００ｂｉｔ時間）を設定する。この対策により、通信制御装置Ｔは、次に受信する通信フレームＦ１を、その受信時間を含めて細密に制御できるため、ＤｏＳ攻撃の検知、防御精度を高めることができる。
【実施例４】
【００９１】
実施例４では、許容ＩＦＧリスト２００に通信フレームの受信頻度の情報を含めて保存し、通信フレームの異常判定として利用する手法について説明する。
【００９２】
通信フレームＦ１の受信頻度の情報を含む許容ＩＦＧリスト２００の例を図９に示す。図９中に示した許容ＩＦＧリスト２００は、属性としてさらに許容受信頻度の情報を有する。
【００９３】
許容受信頻度とは、一定数の受信通信フレーム数に対し、当該通信フレームが異常でないと判定できる通信フレームの受信数である。言い換えると、現在の通信フレーム受信頻度（以後、現受信頻度とする）が、許容受信頻度より大きい場合に、当該通信フレームを異常と見なす。許容受信頻度は、１００フレーム中の通信フレーム受信数などの形式で表すことができる。
【００９４】
図９の例では、通信フレームＦ１Ａ、Ｆ１Ｂ、Ｆ１Ｃ、Ｆ１Ｄの許容受信頻度（／１００フレーム）は、５、１０、１０、２０に設定されている。これは通信フレームＦ１Ａのケースでは受信頻度が１００フレーム当たり５回までを正常とし、６回を超えたら当該通信フレームＦ１Ａを異常と見なすものである。
【００９５】
許容受信頻度の情報を有する許容ＩＦＧリスト２００を有する通信制御装置Ｔの構成の一部を図１０に示す。
【００９６】
図１０の通信制御装置Ｔは、図１にて説明した構成に加え、通信フレームスキャン部２０２から受け取った通信フレームデータＤ２毎に、受信頻度を計数し、受信頻度の統計情報を異常通信フレーム判定部２０３へ通知する通信フレーム統計処理部２０６を具備する構成となっている。
【００９７】
異常通信フレーム判定部２０３では、図１の異常通信フレーム判定部２０３が具備する機能の他、通信フレームの受信頻度情報を含めて通信フレームの異常有無を判定する機能を具備する。
【００９８】
実施例４の通信制御装置Ｔが、受信頻度情報を含めて通信フレームの異常有無を判定するフローチャートを図１１に示す。
【００９９】
図１１のフローチャートの処理は、基本的に図３の処理と同じであり、受信頻度判断処理ステップＳ３１０を追加した点のみが相違する。
【０１００】
図１１のフローでは、測定ＩＦＧの比較処理（処理ステップＳ３０４）と受信頻度の処理（処理ステップＳ３１０）の双方を並列に実行し、いずれかで異常が判断された場合（処理ステップＳ３０４のＹまたは処理ステップＳ３１０のＮ）に通信データの破棄、アラート生成の処理（処理ステップＳ３０５）を実行する。なお受信頻度の処理で異常検知しない場合（処理ステップＳ３１０のＹ）は、処理ステップＳ３０７の処理に移り、測定ＩＦＧ比較の処理で異常検知しない場合（処理ステップＳ３０４のＮ）は、処理ステップＳ３１１の処理に移り、小フレームについての一巡処理を繰り返す。
【０１０１】
以上に示した処理により、図１０に示した実施例４の通信制御装置Ｔは、図２に示した通信制御装置Ｔと比べて、更に高い精度でＤｏＳ攻撃を検知できる。
【０１０２】
尚、本発明の適用例はＩＥＥＥ８０２．３準拠の通信フレームを例に説明したが、本発明はＩＥＥＥ８０２．３準拠の通信フレームに限定されず、他の通信プロトコルに対しても適用可能である。
【符号の説明】
【０１０３】
２００：許容ＩＦＧリスト
２０１：ＩＦＧ測定部
２０２：通信フレームスキャン部
２０３：異常通信フレーム判定部
２０４：ネットワーク制御部
２０５：許容ＩＦＧ決定部
２０６：通信フレーム統計処理部
Ｄ：通信データ
Ｄ１：ＩＦＧ測定値
Ｄ２：配列のデータ
Ｄ３：スキャンデータ
Ｄ４：更新情報
Ｆ１１：プリアンブル
Ｆ１２：ＳＦＤ
Ｆ１３：宛先アドレス
Ｆ１４：送信元アドレス
Ｆ１５：Ｔｙｐｅ
Ｆ１６：ペイロード・上位プロトコル
Ｆ１７：ＦＣＳ
Ｆ１、Ｆ２：通信フレーム
ＩＦ／１：入力用インターフェイス
ＩＦ／２：出力用インターフェイス
ＮＷ：ネットワーク
Ｔ：通信制御装置
【図１】
2019083355.tif 000003
【図２】
2019083355.tif 000004
【図３】
2019083355.tif 000005
【図４】
2019083355.tif 000006
【図５】
2019083355.tif 000007
【図６ａ】
2019083355.tif 000008
【図６ｂ】
2019083355.tif 000009
【図７】
2019083355.tif 000010
【図８】
2019083355.tif 000011
【図９】
2019083355.tif 000012
【図１０】
2019083355.tif 000013
【図１１】
2019083355.tif 000014