(57)【要約】  本発明は、不正パケットの急激な増加に対しても正規パケットの消失を低減して、不正パケットをフィルタリングできるパケットフィルタ装置および通信制御システムを提供することを目的とする。そのために、本発明は、複数の端末装置と伝送路を介して接続され、前記伝送路を伝送されるパケットを受信し、特定の規則に従ってパケットの通過を制限するフィルタリング処理を行うパケットフィルタ装置において、前記特定の規則を記憶する記憶部と、パケットの処理にかかる処理負荷が規定値に達すると、前記記憶部に記憶する前記特定の規則を変更して前記フィルタリング処理を行う制御部と、を有することを特徴とする。
2014181452.tif 000002
【特許請求の範囲】
【請求項１】
複数の端末装置と伝送路を介して接続され、前記伝送路を伝送されるパケットを受信し、特定の規則に従ってパケットの通過を制限するフィルタリング処理を行うパケットフィルタ装置において、
前記特定の規則を記憶する記憶部と、
パケットの処理にかかる処理負荷が規定値に達すると、前記記憶部に記憶する前記特定の規則を変更して前記フィルタリング処理を行う制御部と、を有することを特徴とするパケットフィルタ装置。
【請求項２】
請求項１において、
前記制御部は、前記伝送路を介して接続される他のパケットフィルタ装置から、当該他のパケットフィルタ装置におけるパケットの処理負荷に関する情報を収集し、自装置のパケットの処理にかかる処理負荷、および、前記他のパケットフィルタ装置から収集した前記処理負荷に関する情報、に基づいて前記特定の規則を変更することを特徴とするパケットフィルタ装置。
【請求項３】
複数の端末装置と伝送路を介して接続され、前記伝送路を伝送されるパケットを受信し、特定の規則に従ってパケットの通過を制限するフィルタリング処理を行うパケットフィルタ装置において、
前記特定の規則を記憶する記憶部と、
前記伝送路を介して接続される他のパケットフィルタ装置との間で相互にパケットの処理負荷に関する情報を交換し、他のパケットフィルタ装置から受け取った前記処理負荷に関する情報に従って前記特定の規則を変更して前記フィルタリング処理を行う制御部と、を有することを特徴とするパケットフィルタ装置。
【請求項４】
請求項２または３において、
前記特定の規則を変更とは、前記伝送路から受信した複数のパケットのうち一部または全部のパケットの前記フィルタリング処理を省略するよう変更することであることを特徴とするパケットフィルタ装置。
【請求項５】
請求項４において、
前記制御部は、前記他のパケットフィルタ装置から収集した前記処理負荷に関する情報に基づいて、前記他のパケットフィルタ装置にかかる処理負荷が予め定められた閾値内に収まるよう前記フィルタリング処理を省略するパケットの量を定めることを特徴とするパケットフィルタ装置。
【請求項６】
請求項４において、
前記制御部は、受信した複数のパケットのうち一部について前記フィルタリング処理を省略すると、前記他のパケットフィルタ装置にかかる処理負荷が予め定められた閾値を超えると判断した場合には、受信したパケットのうち前記フィルタリング処理を省略したパケットを破棄することを特徴とするパケットフィルタ装置。
【請求項７】
請求項４において、
前記伝送路には、前記他のパケットフィルタ装置が複数多段に接続されており、
前記制御部は、複数の前記他のパケットフィルタ装置から収集した前記処理負荷に関する情報に基づいて複数の前記他のパケットフィルタ装置で処理可能なパケットの量を求め、前記フィルタリング処理を省略するパケットの量を定めることを特徴とするパケットフィルタ装置。
【請求項８】
請求項４において、
前記制御部は、パケットに含まれる特定のビット列、パケットの送信元端末装置に関する情報、パケットの宛先端末装置に関する情報、パケットのデータが使用するプロトコルに関する情報、のいずれかに基づいてフィルタリング処理を省略するパケットを選択することを特徴とするパケットフィルタ装置。
【請求項９】
請求項２または３において、
前記処理負荷は、パケットフィルタ装置が単位時間当たりに受信するパケット量から求めることを特徴とするパケットフィルタ装置。
【請求項１０】
伝送路を介して互いに接続され、パケットを送受信する複数の端末装置と、
前記伝送路を伝送されるパケットを受信し、特定の規則に従ってパケットの通過を制限するフィルタリング処理を行う複数のパケットフィルタ装置と、を有する通信制御システムであって、
前記パケットフィルタ装置は、
前記特定の規則を記憶する記憶部と、
パケットの処理にかかる処理負荷が規定値に達すると、前記記憶部に記憶する前記特定の規則を変更して前記フィルタリング処理を行う制御部と、を有することを特徴とする通信制御システム。
【請求項１１】
請求項１０において、
少なくとも１つのパケットフィルタ装置は、他のパケットフィルタ装置から、当該他のパケットフィルタ装置のパケットの処理負荷に関する情報を収集し、
前記少なくとも１つのパケットフィルタ装置は、自装置のパケットの処理にかかる処理負荷、および、前記他のパケットフィルタ装置から収集した前記処理負荷に関する情報、に基づいて前記他のパケットフィルタ装置にかかる処理負荷が予め定められた閾値内に収まるように、複数のパケットのうち一部または全部のパケットの前記フィルタリング処理を省略するよう前記特定の規則を変更することを特徴とする通信制御システム。
【請求項１２】
請求項１０において、
少なくとも１つの前記パケットフィルタ装置は、当該パケットフィルタ装置と前記伝送路との間に接続される中継装置を有し、
前記中継装置は、前記伝送路に流れるパケットのうち前記フィルタリング処理の対象となるパケットを選択して前記少なくとも１つのパケットフィルタ装置へ送信することを特徴とする通信制御システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、産業プラントなどで使用されるデータを伝送するパケットフィルタ装置および通信制御システムに関する。
【背景技術】
【０００２】
近年、プラントやファクトリオートメーションシステムなどの産業システムにおいて、システムの停止や破壊を行う目的でシステム内に侵入した攻撃者により、プログラマブルロジックコントローラ（ＰＬＣ）などの制御機器が接続され制御データが伝送される通信ネットワークに対して、偽の制御データを注入するなどの方法でサイバー攻撃を実施する脅威が増大していることが指摘されており、サイバー攻撃から通信ネットワークを防御する手法や装置が種々開発されている。【０００３】
なお、以下では「不正パケット」および「正規パケット」という呼称を用いて説明する。【０００４】
すなわち、「不正パケット」とは、攻撃者が通信ネットワークに注入した偽の制御データを伝送するパケットや、接続機器の故障などにより通信ネットワークへ送信される設計想定外のパケットなど、本来通信ネットワークで伝送することが許されないデータを含んだパケットを示し、「正規パケット」とは通信ネットワークを流れるパケットのうち前記不正パケットを除くパケットを示す。【０００５】
サイバー攻撃から通信ネットワークを防御する手法としては、例えば、特許文献１に記載のパケットフィルタ分散方法および分散化パケットフィルタシステムが知られている。【０００６】
特許文献１に記載の分散化パケットフィルタシステムでは、フィルタ管理サーバが各パケットフィルタのフィルタ負荷を管理することにより、フィルタにおける処理負荷を分散させ、処理負荷の重いフィルタ規則はトラフィック量が少ないフィルタに担当させる、という特徴を持つものであった。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００３−２４４２４７
【発明の概要】
【発明が解決しようとする課題】
【０００８】
特許文献１記載の技術では、フィルタ管理サーバが各パケットフィルタのフィルタ規則を管理し変更を指示するため、不正パケットの急激な増加にフィルタ規則変更が即時に対応できず、正規パケットを消失させる可能性がある、という問題がある。【０００９】
また、パケットフィルタが受信したパケットは必ずフィルタ処理を経て中継されるため、不正パケットが増加してパケット受信量がフィルタ処理の処理速度を超過すると、パケットフィルタの受信バッファが溢れてしまい、不正パケットだけでなく、正規パケットも消失させてしまう、という問題もある。【００１０】
そこで、本発明では、不正パケットの急激な増加に対しても正規パケットの消失を低減して、不正パケットをフィルタリングできるパケットフィルタ装置および通信制御システムを提供することを目的とする。
【課題を解決するための手段】
【００１１】
上記課題を解決するために、本発明は、複数の端末装置と伝送路を介して接続され、前記伝送路を伝送されるパケットを受信し、特定の規則に従ってパケットの通過を制限するフィルタリング処理を行うパケットフィルタ装置において、前記特定の規則を記憶する記憶部と、パケットの処理にかかる処理負荷が規定値に達すると、前記記憶部に記憶する前記特定の規則を変更して前記フィルタリング処理を行う制御部と、を有することを特徴とする。
【発明の効果】
【００１２】
本発明では、不正パケットの急激な増加に対しても正規パケットの消失を低減して、不正パケットをフィルタリングするパケットフィルタ装置および通信制御システムを提供できる。
【図面の簡単な説明】
【００１３】
【図１】本発明の１実施形態に係る通信制御システムの構成を示す図である。
【図２】本発明の１実施形態に係るパケットフィルタ装置の構成を示す図である。
【図３】本発明の１実施形態に係るパケットフィルタ装置の動作を示す図である。
【図４】本発明の１実施形態に係るパケットフィルタ装置の動作を示す図である。
【図５】本発明の１実施形態に係るパケットフィルタ装置の処理フローを示す図である。
【図６】本発明の１実施形態に係るパケットフィルタ装置の構成を示す図である。
【図７】本発明の１実施形態に係るパケットフィルタ装置の動作を示す図である。
【図８】本発明の１実施形態に係るパケットフィルタ装置の動作を示す図である。
【図９】本発明の１実施形態に係るパケットフィルタ装置の処理フローを示す図である。
【図１０】本発明の１実施形態に係る通信制御システムの構成を示す図である。
【図１１】本発明の１実施形態に係る通信制御システムの構成を示す図である。
【図１２】本発明の１実施形態に係る通信制御システムの構成を示す図である。
【発明を実施するための形態】
【００１４】
以下、本発明の実施形態について図面を用いて説明する。
【第１の実施形態】
【００１５】
第１の実施形態について説明する。
【００１６】
まず、図１に、第１の実施形態に係る通信ネットワークシステムの一構成例を示す。
【００１７】
図１における通信ネットワークシステムでは、パケットを伝送する伝送路９と、パケットを送受信する複数の端末装置３と、伝送路９と端末装置３との間でパケットを中継する複数のネットワークノード２と、から構成される通信ネットワークシステムであって、伝送路９において、図１に示すように、一方の伝送路９から受信したパケットを他方の伝送路９へ送信するパケットフィルタ装置１を接続する。
【００１８】
また、前記通信ネットワークシステムとしては、例えば、ＩＥＥＥ８０２．３規格やＩＥＣ６１１５８規格やＩＥＣ６１３７５規格で規定された産業用ネットワークを使用してもよい。
【００１９】
また、前記端末装置３としては、例えば、産業プラントで使用するプログラマブルロジックコントローラや監視用コンピュータ、コントローラに制御指令を送る制御用コンピュータ、さらには通信ネットワークと外部ネットワークを接続するために使用するゲートウェイ装置などを使用してもよい。
【００２０】
前記パケットフィルタ装置１は、特定のフィルタ規則に従ってパケットの通過を制限するフィルタリング処理を行う装置であり、接続された伝送路９を伝送されるパケットのうち、フィルタリング処理の対象となるパケットを全て受信し、パケットフィルタ装置１内部で何らかの処理を施した前記パケットを、接続された伝送路９へ送信する。
【００２１】
前記パケットフィルタ装置１は、装置内の処理負荷が閾値を超えた時に、伝送路９から受信したパケットの一部について、フィルタリング処理を行うことなく伝送路９へ送信することにより、前記パケットフィルタ装置１の処理負荷が閾値を超えないようにする。
【００２２】
前記フィルタリング処理を行うことなく伝送路９へ送信するパケットには、正規パケットだけではなく不正パケットも含まれる。
【００２３】
また、本実施例では、パケットが流れる上流（図１で左側）から下流（図１で右側）にいくに従って重要度の高い端末装置３が設置されるものとする。そして、重要度の高い端末装置３へパケットが流れる際には、パケットフィルタ装置を多段に設けて各フィルタ装置の処理負荷が閾値を超えないように負荷分散してフィルタリング処理を行うため、不正パケットを重要度の高い端末装置３へ到達させることなく、また、不正パケットの急激な増加に対して正規パケットを消失させることなくフィルタリング処理を行うことができ、リアルタイム性を保持したシステムを提供できる。
【００２４】
図２は、上述の動作を行うパケットフィルタ装置１内部の一構成例を示す図である。
【００２５】
すなわち、パケットフィルタ装置１は、伝送路９からパケットを受信して装置内部で処理可能なビット列に変換する受信インタフェース部１９１と、受信したパケットに対して各種フィルタリング処理を行う制御部１００と、フィルタリング処理を行うフィルタ規則１１が記憶される記憶部２００と、受信するパケットのビット列を伝送路を伝送させるのに適した符号に変換する送信インタフェース部１９２と、から構成される。ここで、フィルタ規則１１は、不正パケットと正規パケットを選別するために予め設定された規則であり、パケットの送信元アドレス、送信先アドレス、プロトコル、送信元ポート番号、送信先ポート番号、パケットのペイロードなどの判断基準が定められる。また、制御部１０が実行するプログラムとして、前記変換された受信パケットに対して通信プロトコルに従って受信処理を行う受信プロトコル処理部１３と、不正パケットを判定する基準となるフィルタ規則１１を取得して受信パケットが不正パケットか正規パケットかを判定する不正パケット判定部１２と、フィルタ規則１１前記不正パケット判定部１２が正規パケットと判定したパケットを通信プロトコルに従って送信処理を行う送信プロトコル処理部１４と、前記受信プロトコル処理部から通知された受信パケット情報を基に単位時間当りのフィルタリング処理するパケット量や単位時間当りの受信処理するパケット量などの処理負荷を計測した結果を自装置処理負荷情報として通知する処理負荷計測部１７と、前記自装置処理負荷情報により通知された処理負荷を閾値と比較して、前記計測した処理負荷が閾値より大きくなった場合に、フィルタリング処理を行うことなく（不正パケット判定部１２にて処理を行うことなく）伝送路へ送信するよう指示（短絡中継指示）を通知する装置処理負荷判定部１０と、前記装置処理負荷判定部１０から前記短絡中継指示が通知された場合に、予め決められた規則に従い前記受信インタフェース部１９１から出力された受信パケットの一部を選択して（短絡中継パケット）前記送信インタフェース部１９２に出力する短絡中継切替部１５と、から構成される。
【００２６】
ここで、本実施例では、制御部１００は例えばＣＰＵで構成され、制御部１００が行う処理として各種プログラムを有するよう説明したが、機能や処理ごとに例えば集積回路で設計する等によりハードウェアで実現することもできる。また、処理負荷測定部１０は受信インタフェース部１９１や不正パケット判定部１２から情報を貰うこともできる。また、装置処理負荷判定部１０が処理負荷測定部１７の機能を兼ねることもできる。
【００２７】
なお、前記閾値とは、例えば、パケットフィルタ装置が受信したパケットを、パケット消失を発生させることなくフィルタリング処理できるための、単位時間当りのフィルタリング処理するパケット量や、単位時間当りの受信処理するパケット量の上限の目安の値としてもよい。
【００２８】
次に、パケットフィルタ装置１の動作について説明する。
【００２９】
図３は、伝送路９を伝送されるパケットの量が少ない場合の動作を示す図である。伝送路９を伝送されるパケットの量が少ない場合は、図３に示すように、パケットが伝送される経路の上流にあたるパケットフィルタ装置１ａにおいて、受信する全パケットについてフィルタリング処理を行うことができ、正規パケットＡおよびＢを下流の伝送路９へ中継し、不正パケットＸおよびＹを排除できる。
【００３０】
図４は、伝送路９を伝送されるパケットの量が増加した場合の動作を示す図である。図４のように、伝送路９を伝送されるパケットの量が増加し、処理負荷計測部１７が計測する処理負荷が閾値を超え、パケットフィルタ装置１ａの不正パケット判定部１２の処理能力を超えると、装置処理負荷判定部１０が短絡中継指示を発し、短絡中継切替部１５が予め決められた規則に従い前記受信インタフェース部１９１から出力された受信パケットの一部を選択して前記送信インタフェース部１９２に出力し、伝送路９へ送信する。
【００３１】
ここで、前記短絡中継切替部１５が従う予め決められた規則は、記憶部２００に記憶されており、受信パケット量の一定の割合の量（例えば、全受信パケット量の５０％など）であってもよいし、宛先端末装置や送信元端末装置、あるいはパケットに含まれるデータの種類など、受信パケットに記載された情報や識別子から得られる情報から選択した特定の情報を持つパケット（例えば、宛先端末装置がＡである全パケット、音声データを伝送するパケット、など）であってもよい。
【００３２】
パケットフィルタ１ａの上述の動作により、図４に示すように、正規パケットＡと不正パケットＸ１、Ｘ２、Ｘ３はフィルタリング処理が行われ、正規パケットＡは下流の伝送路９へ中継し、不正パケットＸ１、Ｘ２、Ｘ３は排除されるが、フィルタリング処理が行われることなく前記短絡中継指示により伝送路９へ送信された正規パケットＢと不正パケットＹ１、Ｙ２は、フィルタリング処理をされずそのまま下流の伝送路９へ中継される。
【００３３】
一方、伝送路９の下流にはパケットフィルタ装置１ｂが接続されており、上流のパケットフィルタ装置１ａから伝送路９へ送信された前記正規パケットＡ、Ｂと不正パケットＹ１、Ｙ２は、パケットフィルタ装置１ｂにより受信されフィルタリング処理されることにより、正規パケットＡおよびＢを下流の伝送路９へ中継し、不正パケットＹ１、Ｙ２を排除できる。
【００３４】
このように、上流のパケットフィルタ装置において処理負荷が閾値を超えて、フィルタリング処理を行うことなく伝送路へ不正パケットを送信した場合でも、下流のパケットフィルタ装置が前記不正パケットをフィルタリング処理して除去することができる。
【００３５】
また、たとえ前記下流のパケットフィルタ装置も処理負荷が閾値を超えてフィルタリング処理を行うことなく伝送路へ不正パケットを送信した場合でも、さらに下流のパケットフィルタ装置（図４では記述を省略）が前記不正パケットをフィルタリング処理して除去することができる。
【００３６】
図５は、本実施例におけるパケットフィルタ装置１の動作を示す処理フロー図である。パケットフィルタ装置は、伝送路９からパケットを受信し（Ｓ１０１）、フィルタリング処理の負荷、すなわちパケットフィルタ装置にかかる処理負荷を処理負荷測定部１７によって測定し、装置処理負荷判定部１０によって処理負荷が閾値を超えるか判断する（Ｓ１０２）。閾値を超えない場合（Ｓ１０２でＮＯ）、不正パケット判定部１２は全てのパケットに対してフィルタリング処理を行い（Ｓ１０３）、フィルタリング処理されたパケットを伝送路９から送信する（Ｓ１０４）。一方、処理負荷が閾値を超え場合（Ｓ１０２でＹＥＳ）、装置処理負荷判定部１０は短路中継切替部１５へ短絡指示を出力し、短路中継切替部１５は、予め定められた規則に従って受信パケットの一部はフィルタリング処理へ出力し、その他の受信パケットはフィルタリング処理を行うことなく送信インターフェースへ出力する（Ｓ１０５）。そして、規則に従ってフィルタリング処理されたパケットを伝送路へ出力する（Ｓ１０４）。
【００３７】
以上、第１の実施形態について説明した。
【００３８】
以上に述べたことにより、本実施例では、パケットの経路上の伝送路に本発明のパケットフィルタ装置を多段に接続しておけば、上流のパケットフィルタ装置において処理負荷が閾値を超えてフィルタリング処理を行うことなく下流に中継されても、下流に接続された複数のパケットフィルタ装置においてフィルタリング処理されるため、不正パケットが宛先端末装置へ到達することを防止することができる。
【００３９】
また、上記により大量の不正パケットをパケットフィルタ装置が受信した場合でも、パケットフィルタ装置内で短絡中継指示によりパケット消失を防ぐため、正規パケットが消失することを防止できる。
【第２の実施形態】
【００４０】
上述の第１の実施形態では、各パケットフィルタ装置１の装置処理負荷判定部１０は、自装置の処理負荷計測部１７が測定した処理負荷のみから判断して短絡中継指示を発していた。しかし、通信ネットワークに接続された端末装置間で様々なパケットが送受信されているため、伝送路９にはあらゆる方向にパケットが伝送されており、下流のパケットフィルタ装置１の処理負荷が必ずしも小さいとは限らない。
【００４１】
そこで、第２の実施形態では、複数のパケットフィルタ装置１の間で相互に、自装置の処理負荷に関する情報（以下「自装置処理負荷情報」と称す）を定期的に交換し、各パケットフィルタ装置１が他のパケットフィルタ装置１の処理負荷に関する情報（以下「他装置処理負荷情報」と称す）を把握し、自装置の処理負荷が閾値を超えたときに、下流のパケットフィルタ装置１の処理負荷の大きさにより、フィルタリング処理を行うことなく短絡中継して下流に送信するパケットの量を調整する方法について述べる。
【００４２】
第２の実施形態に係る情報ネットワークシステムの一構成例は図１と同様である。
【００４３】
図６はパケットフィルタ装置１内部の一構成例を示す図である。
【００４４】
すなわち、パケットフィルタ装置１は、伝送路９からパケットを受信して装置内部で処理可能なビット列に変換する受信インタフェース部１９１と、受信したパケットに対して各種フィルタリング処理を行う制御部１００と、フィルタリング処理を行うフィルタ規則１１が記憶される記憶部２００と、受信するパケットのビット列を伝送路を伝送させるのに適した符号に変換する送信インタフェース部１９２と、から構成される。ここで、フィルタ規則１１は、不正パケットと正規パケットを選別するために予め設定された規則であり、パケットの送信元アドレス、送信先アドレス、プロトコル、送信元ポート番号、送信先ポート番号、パケットのペイロードなどの判断基準が定められる。
【００４５】
また、制御部１０が実行するプログラムとして、前記変換された受信パケットに対して通信プロトコルに従って受信処理を行い、かつ、他のパケットフィルタ装置１から受信した前記他装置処理負荷情報を通知する他装置処理負荷情報パケットを装置処理負荷判定部１０１へ出力する受信プロトコル処理部１３１と、不正パケットを判定する基準となるフィルタ規則１１を取得して、受信パケットが不正パケットか正規パケットかを判定する不正パケット判定部１２と、前記不正パケット判定部１２が正規パケットと判定したパケットと装置処理負荷判定部１０１が出力した前記自装置処理負荷情報を通知する自装置処理負荷情報パケットを通信プロトコルに従って送信処理を行う送信プロトコル処理部１４１と、送信するパケットのビット列を伝送路を伝送させるのに適した符号に変換する送信インタフェース部１９２と、前記受信プロトコル処理部から通知された受信パケット情報を基に単位時間当りのフィルタリング処理するパケット量や単位時間当りの受信処理するパケット量などの処理負荷を計測した結果を自装置処理負荷情報として通知する処理負荷計測部１７と、他のパケットフィルタ装置１へ通知する自装置処理負荷情報を含む前記自装置処理負荷情報パケットを定期的に出力し、かつ、前記自装置処理負荷情報により通知された処理負荷を閾値と比較して、前記計測した処理負荷が閾値より大きくなった場合に、他のパケットフィルタ装置１から受信した前記他装置処理負荷情報を基に、フィルタリング処理を行うことなく（不正パケット判定部１２にて処理を行うことなく）伝送路９へ送信するパケット量などの規則を決定し、その決定内容の指示（短絡中継指示）を通知する装置処理負荷判定部１０１と、前記装置処理負荷判定部１０１から前記短絡中継指示が通知された場合に、指示された前記規則に従い前記受信インタフェース部１９１から出力された受信パケットの一部を選択して（短絡中継パケット）前記送信インタフェース部１９２に出力する短絡中継切替部１５１と、から構成される。
【００４６】
ここで、本実施例では、制御部１００は例えばＣＰＵで構成され、制御部１００が行う処理として各種プログラムを有するよう説明したが、機能や処理ごとに例えば集積回路で設計する等によりハードウェアで実現することもできる。また、処理負荷測定部１０は受信インタフェース部１９１や不正パケット判定部１２から情報を貰うこともできる。また、装置処理負荷判定部１０が処理負荷測定部１７の機能を兼ねることもできる。
【００４７】
なお、前記自装置処理負荷情報パケットは、ＵＤＰ／ＩＰパケットあるいはＴＣＰ／ＩＰパケットで通知してもよいし、全てのパケットフィルタ装置１との間で予め取り決めしたプロトコルを使用して通知してもよい。また、前記自装置処理負荷情報パケットは、隣接したパケットフィルタ装置１へのみ通知してもよいし、あるいは、他の全てのパケットフィルタ装置１へ通知してもよい。
【００４８】
図７は、他の全てのパケットフィルタ装置１へ通知する場合のデータの流れを示す図である。図７に示すように、一方の伝送路９から受信した他のパケットフィルタ装置１からの前記自装置処理負荷情報パケットは、そのまま他方の伝送路９へ送信することにより、全てのパケットフィルタ装置１が他の全てのパケットフィルタ装置１処理負荷情報を得ることが可能となる。例えばパケットフィルタ装置１ａが送信する１ａの処理負荷情報は、伝送路９を介してパケットフィルタ装置１ｂ、１ｃと中継されることで全てのパケットフィルタ装置１に他の装置の処理負荷情報を取得させることができる。
【００４９】
図８は、装置処理負荷判定部１０１が短絡中継切替部１５１に指示する規則の例を示す図である。フィルタリング処理を行うことなく伝送路９へ送信するパケット量などの規則としては、例えば、図８に示すように、３個のパケットフィルタ装置１ａ、１ｂ、１ｃが並んで伝送路９へ接続されている通信ネットワークにおいて（説明の都合上、ネットワークノード２や端末装置３などの図示は省略）、伝送路９の左の方からパケットが伝送されてくる場合を想定すると、ある時点でパケットフィルタ装置１ａ、１ｂ、１ｃの処理負荷がそれぞれ閾値の３０％、９０％、３０％であったとする。ここで、説明の簡単化のため全てのパケットフィルタ装置の処理能力は等しいとする。
【００５０】
次に、伝送路９の左の方から伝送されてくるパケットの量が増加し、パケットフィルタ装置１ａの処理負荷が閾値（１００％）を超えて閾値の１５０％に達したとする。この時点で、下流のパケットフィルタ装置１ｂ、１ｃの処理負荷がそれぞれ閾値の９０％、３０％であり、パケットフィルタ装置１ｂ、１ｃの残りの処理能力を合わせると８０％あるため、パケットフィルタ装置１ａは自装置の処理負荷を９０％（残りの１０％は処理負荷変動の吸収分と考える）に抑えて、残りのパケット量（６０％＜８０％）を下流のパケットフィルタ装置１ｂあるいは１ｃで処理可能と判断し、受信したパケット量の６０％をフィルタリング処理を行わず下流の伝送路９にそのまま送信するように、パケットフィルタ装置１ａの装置処理負荷判定部１０１が短絡中継指示を出す。
【００５１】
一方、パケットフィルタ装置１ｂは、もともと処理負荷が９０％であったところにさらにパケットフィルタ装置１ａから６０％多く受信したため、パケットフィルタ装置１ｂの処理負荷が閾値（１００％）を超えて１５０％に達する。この時点で、下流のパケットフィルタ装置１ｃの処理負荷が閾値の３０％であり、残りの処理能力が７０％あるため、パケットフィルタ装置１ｂは自装置の処理負荷を９０％（残りの１０％は処理負荷変動の吸収分と考える）に抑えて、残りのパケット量（６０％＜７０％）を下流のパケットフィルタ装置１ｃで処理可能と判断し、受信したパケット量の６０％をフィルタリング処理を行わず下流の伝送路９にそのまま送信するように、パケットフィルタ装置１ｂの装置処理負荷判定部１０１が短絡中継指示を出す。
【００５２】
さらに、パケットフィルタ装置１ｃは、もともと処理負荷が３０％であったところにさらにパケットフィルタ装置１ｂから６０％多く受信したため、パケットフィルタ装置１ｃの処理負荷が閾値の９０％に達するが、閾値（１００％）は超えていないため処理可能であるため、パケットフィルタ装置１ｃの装置処理負荷判定部１０１は短絡中継指示を出さない。ここで、上記のとおり下流のパケットフィルタ装置がどの程度の処理負荷の時に自装置でどの程度のパケット量をフィルタリングするは、予め記憶部２００内に規則が記憶されており、装置処理負荷判定部１０１、短絡中継切替部１５１は、当該規則に従って、フィルタリング処理を行うパケット量を決定する。
【００５３】
このように、図８では３個のパケットフィルタ装置１ａ、１ｂ、１ｃが連携して、大量の受信パケットのフィルタリング処理を行った例を示したが、もし、パケットフィルタ装置１ａが過度に大量なパケットを受信した場合（例えば閾値の５００％）、パケットフィルタ装置１ａは下流のパケットフィルタ装置１ｂ、１ｃの処理能力を合わせても全ての受信パケットを処理不可能と判断したとする。この場合は、例えば、最下流のパケットフィルタ装置１ｃにおいて処理しきれない受信パケットを廃棄してもよいし、また、処理不可能と判断した上流のパケットフィルタ装置１ａにおいて、処理しきれない受信パケットを廃棄してもよい。
【００５４】
前記廃棄してもよい理由は、処理しきれない受信パケットには不正パケットも含まれている可能性があり、宛先端末に不正パケットを受信させないようにするために、パケットフィルタ装置１ａが下流のパケットフィルタ装置１ｂ、１ｃの処理能力を合わせても全ての受信パケットを処理不可能と判断した場合に、敢えて、処理しきれない受信パケットを廃棄するという手段も考えられるからである。
【００５５】
図９は、本実施例におけるパケットフィルタ装置１の動作を示す処理フロー図である。パケットフィルタ装置１は、伝送路９からパケットを受信し（Ｓ２０１）、フィルタリング処理の負荷、すなわちパケットフィルタ装置にかかる処理負荷を処理負荷測定部１７によって測定し、装置処理負荷判定部１０によって処理負荷が閾値を超えるか判断する（Ｓ２０２）。閾値を超えない場合（Ｓ２０２でＮＯ）、不正パケット判定部１２は全てのパケットに対してフィルタリング処理を行い（Ｓ２０３）、フィルタリング処理されたパケットを伝送路９から送信する（Ｓ２０４）。一方、処理負荷が閾値を超える場合（Ｓ２０２でＹＥＳ）、フィルタリング処理をせずに自装置よりも下流へパケットを伝送すると、下流のパケットフィルタ装置が処理できるデータ量を超えるかどうかを、下流にあるパケットフィルタ装置の処理負荷情報から判断する（Ｓ２０５）。下流のパケットフィルタ装置が処理できるデータ量を超えない場合（Ｓ２０５でＮＯ）、予め定められた規則に従って受信パケットの一部はフィルタリング処理へ出力し、その他の受信パケットはフィルタリング処理を行うことなく送信インタフェースへ出力後（Ｓ２０６）、伝送路からパケットを送信する（Ｓ２０４）。下流のパケットフィルタ装置が処理できるデータ量を超えると判断した場合（Ｓ２０５でＹＥＳ）、パケットフィルタ装置１はフィルタリング処理をしない受信パケットを破棄し（Ｓ２０７）、正規パケットと判断されたパケットのみ伝送路からパケットを送信する（Ｓ２０４）。
【００５６】
ここで、Ｓ２０７でフィルタリング処理をしない受信パケットを破棄する処理を行っているが、この処理しきれないパケットの破棄は下流のパケットフィルタ装置で実施してもよい。
【００５７】
以上、第２の実施形態について説明した。
【００５８】
以上に述べたことにより、本実施例では、複数のパケットフィルタ装置１の間で相互に、自装置処理負荷情報を定期的に交換し、各パケットフィルタ装置１が他のパケットフィルタ装置１の処理負荷に関する情報を把握し、自装置の処理負荷が閾値を超えたときに、下流のパケットフィルタ装置１の処理負荷の大きさにより、フィルタリング処理を行うことなく短絡中継して下流に送信するパケットの量を調整することにより、上流のパケットフィルタ装置１が大量のパケットを受信した場合でも、下流の複数のパケットフィルタ装置１と連携して処理負荷を最適に分担することができる。したがって、不正パケットが宛先端末装置へ到達することを防止することができ、大量の不正パケットをパケットフィルタ装置が受信した場合でも、パケットフィルタ装置内で短絡中継指示によりパケット消失を防ぐため、正規パケットが消失することを防止できる。
【第３の実施形態】
【００５９】
図１に示すように、上述の第１の実施形態および第２の実施形態では、パケットフィルタ装置１を伝送路９へインライン接続していた。本接続方法では、パケットフィルタ装置１が伝送路９を伝送される全てのパケットをフィルタリング処理の対象にすることができるという特徴がある。
【００６０】
一方、伝送路９を伝送されるパケットに、フィルタリング処理の対象外と規定されたパケットが混在する場合、図１に示す接続方法では、パケットフィルタ装置１はフィルタリング処理の対象外と規定されたパケットまで受信処理および送信処理することになり、無駄な処理負荷が発生してしまう。
【００６１】
そこで、第３の実施形態では、フィルタリング処理の対象に規定されたパケットのみパケットフィルタ装置１にて送受信し、フィルタリング処理の対象外と規定されたパケットはパケットフィルタ装置１を経由せず伝送路９を伝送できる構成を図１０を用いて述べる。
【００６２】
なお、図１０はパケットフィルタ装置１を伝送路９に接続する部分だけに注目した図であり、ネットワークノード２や端末装置３などの記述は省略している。
【００６３】
図１０において、伝送路９にパケット中継装置２００をインライン接続し、パケット中継装置２００とパケットフィルタ装置１を伝送路９００を介して接続する。
パケット中継装置２００は、伝送路９を伝送されるパケットのうち、フィルタリング処理の対象に規定されたパケットを伝送路９００へ中継し、フィルタリング処理の対象外と規定されたパケットは伝送路９００へ中継せずに伝送路９（受信した方向とは反対の方向の伝送路９）へ中継する。
【００６４】
パケットフィルタ装置１は、伝送路９００から受信したパケットを内部で処理した後、送信パケットを伝送路９００へ送信する。伝送路９００からパケットを受信したパケット中継装置２００は、前記パケットを伝送路９へ中継する。
【００６５】
パケット中継装置２００がフィルタリング処理の対象あるいは対象外に規定されたパケットを判断する根拠は、パケットに含まれる宛先端末装置や送信元端末装置の情報であってもよいし、使用される上位プロトコルやパケットに搭載されたデータに含まれる特定のビット列であってもよい。
【００６６】
ここで、パケット中継装置２００は、フィルタリング処理の対象に規定されたパケットのうち、伝送路９の左方向から受信したパケットは伝送路９００へ中継し、パケットフィルタ装置１にてフィルタリング処理を施されたパケットを再び伝送路９へ中継する時は、伝送路９の右方向へ中継する必要があり、伝送路９の右方向から受信したパケットは伝送路９００へ中継し、パケットフィルタ装置１にてフィルタリング処理を施されたパケットを再び伝送路９へ中継する時は、伝送路９の左方向へ中継する必要がある。
【００６７】
パケット中継装置２００において上述の中継方法を実現する一方法として、図１１に示すように、パケット中継装置２００とパケットフィルタ装置１との間で複数のＶＬＡＮ（Ｖｉｒｔｕａｌ ＬＡＮ）を構成する方法がある。
【００６８】
すなわち、図１１において、パケット中継装置２００とパケットフィルタ装置１との間でＶＬＡＮ１とＶＬＡＮ２を構成し、パケット中継装置２００は、フィルタリング処理の対象に規定されたパケットのうち、伝送路９の左方向から受信したパケットにはＶＬＡＮ１のＶＬＡＮタグを付けて伝送路９００へ中継し、伝送路９の右方向から受信したパケットにはＶＬＡＮ２のＶＬＡＮタグを付けて伝送路９００へ中継する。
【００６９】
一方、パケットフィルタ装置１は、伝送路９００から受信したパケットを内部で処理した後、再度伝送路９００へ送信する場合、ＶＬＡＮ１のＶＬＡＮタグが付いたパケットはＶＬＡＮ２のＶＬＡＮタグに付け替えて送信し、ＶＬＡＮ２のＶＬＡＮタグが付いたパケットはＶＬＡＮ１のＶＬＡＮタグに付け替えて送信する。
【００７０】
さらに、パケット中継装置２００は、伝送路９００から受信したパケットのうち、ＶＬＡＮ１のＶＬＡＮタグが付いたパケットはＶＬＡＮタグを除去して伝送路９の左方向へ送信し、ＶＬＡＮ２のＶＬＡＮタグが付いたパケットはＶＬＡＮタグを除去して伝送路９の右方向へ送信する。
【００７１】
ところで、上述のように、パケットフィルタ装置１がＶＬＡＮタグを持つパケットに対応できない場合は、図１２に示すように、パケット中継装置２００とパケットフィルタ装置１との間で伝送路９０１と伝送路９０２を構成し、パケット中継装置２００は、フィルタリング処理の対象に規定されたパケットのうち、伝送路９の左方向から受信したパケットは伝送路９０１へ中継し、伝送路９の右方向から受信したパケットは伝送路９０２へ中継する。
【００７２】
一方、パケットフィルタ装置１は、伝送路９０１から受信したパケットを内部で処理した後、再度伝送路へ送信する場合は伝送路９０２へ送信し、伝送路９０２から受信したパケットを内部で処理した後、再度伝送路へ送信する場合は伝送路９０１へ送信する。
【００７３】
さらに、パケット中継装置２００は、伝送路９０１から受信したパケットは伝送路９の左方向へ送信し、伝送路９０２から受信したパケットは伝送路９の右方向へ送信する。
【００７４】
なお、前記パケット中継装置２００としては、例えば、ＩＥＥＥ８０２.３規格準拠のＬＡＮで使用されるスイッチングハブあるいはレイヤ３スイッチを使用してもよいし、特定の宛先情報あるいは送信元情報を有するパケットを特定の中継先ポートに中継する設定が可能な機能を有するものでもよい。このような機能は、例えば、Ｃｉｓｃｏ社のＣａｔａｌｙｓｔ２９５０やアライドテレシス社のＣｅｎｔｒｅＣＯＭ  ＩＡ８１０Ｍ、ＣｅｎｔｒｅＣＯＭ  ｘ６１０Ｓｅｒｉｅｓなどに実装されているＳｔａｔｉｃ  ＭＡＣ  Ａｄｄｒｅｓｓ設定機能を使用すれば実現できる。
【００７５】
以上、第３の実施形態について説明した。
【００７６】
以上に述べたことにより、本実施例により、パケットフィルタ装置１は、フィルタリング処理の対象に規定されたパケットのみフィルタリング処理すればよいため、パケットフィルタ装置１の処理負荷が軽減され、大量の不正パケットによるサイバー攻撃に対して、より強固な通信制御システムが構築できる。
【００７７】
以上実施例で説明したとおり本発明は、複数の端末装置が伝送路に接続されパケットを送受信する通信ネットワークにおいて、特定のフィルタ規則に従ってパケットの通過を制限するフィルタリング処理を行うパケットフィルタ装置が前記伝送路に接続され、パケットが送信元端末装置から宛先端末装置まで伝送される伝送路の経路上に、複数のパケットフィルタ装置が配置されるようにする。
【００７８】
また、前記パケットフィルタ装置は、接続された伝送路上を伝送されるパケットのうち、フィルタリング処理の対象となるパケットを全て受信し、パケットフィルタ装置内部で何らかの処理を施した前記パケットを、接続された伝送路へ送信する。
【００７９】
また、前記各パケットフィルタ装置は、フィルタリング処理負荷やパケット受信処理負荷など（以下「処理負荷」と称す）が閾値を超えた時に、伝送路から受信したパケットの一部について、フィルタリング処理を行うことなく伝送路へ送信することにより、前記パケットフィルタ装置の処理負荷が閾値を超えないようにする。
【００８０】
ここで、前記フィルタリング処理を行うことなく伝送路へ送信するパケットには、正規パケットだけではなく不正パケットも含まれる。
【００８１】
また、パケットフィルタ装置が、処理負荷が閾値を超えた時に、伝送路から受信したパケットの一部について、フィルタリング処理を行うことなく伝送路へ送信するためには、パケットフィルタ装置には、以下の処理機能を具備する。
【００８２】
すなわち、伝送路からパケットを受信して装置内部で処理可能なビット列に変換する受信インタフェース部と、前記変換された受信パケットに対して通信プロトコルに従って受信処理を行う受信プロトコル処理部と、受信パケットが不正パケットか正規パケットかを判定する不正パケット判定部と、前記不正パケット判定部が不正パケットと判定するためのフィルタ規則を記憶しているフィルタ規則記憶部と、前記不正パケット判定部が正規パケットと判定したパケットを通信プロトコルに従って送信処理を行う送信プロトコル処理部と、送信するパケットのビット列を伝送路を伝送させるのに適した符号に変換する送信インタフェース部と、例えば、単位時間当りのフィルタリング処理するパケット量や単位時間当りの受信処理するパケット量などの処理負荷を計測する処理負荷計測部と、前記処理負荷計測部が計測した処理負荷を閾値と比較して、前記計測した処理負荷が閾値より大きくなった場合に、フィルタリング処理を行うことなく伝送路へ送信するよう指示（以下「短絡中継指示」と称す）を発する装置処理負荷判定部と、前記装置処理負荷判定部から前記短絡中継指示が発せられた場合に、予め決められた規則に従い前記受信インタフェース部から出力された受信パケットの一部を選択して（前記選択されたパケットは「短絡中継パケット」と称す）前記送信インタフェース部に出力する短絡中継切替部と、を具備する。
【００８３】
なお、前記閾値とは、例えば、パケットフィルタ装置が受信した全パケットを、パケット消失を発生させることなくフィルタリング処理できるための、単位時間当りのフィルタリング処理するパケット量や、単位時間当りの受信処理するパケット量の上限の目安の値としてもよい。
【００８４】
ここで、前記フィルタリング処理を行うことなく伝送路へ送信されたパケットは、伝送路の下流に接続されたパケットフィルタ装置においてフィルタリング処理される。
【００８５】
したがって、上流のパケットフィルタ装置において処理負荷が閾値を超えて、フィルタリング処理を行うことなく伝送路へ不正パケットを送信した場合でも、下流のパケットフィルタ装置が前記不正パケットをフィルタリング処理して除去することができるし、前記下流のパケットフィルタ装置も処理負荷が閾値を超えてフィルタリング処理を行うことなく伝送路へ不正パケットを送信した場合でも、さらに下流のパケットフィルタ装置が前記不正パケットをフィルタリング処理して除去することができる。
【００８６】
上述より、パケットの経路上の伝送路に本発明のパケットフィルタ装置を多段に接続しておけば、上流のパケットフィルタ装置において処理負荷が閾値を超えてフィルタリング処理を行うことなく下流に中継されても、下流に接続された複数のパケットフィルタ装置においてフィルタリング処理されるため、不正パケットが宛先端末装置へ到達することを防止することができる。
【００８７】
また、上記により大量の不正パケットをパケットフィルタ装置が受信した場合でも、パケットフィルタ装置内で短絡中継指示によりパケット消失を防ぐため、正規パケットが消失することを防止できる。
【００８８】
また、産業システムのシステム内部に侵入した者からの攻撃に対して、個々のパケットフィルタ装置のフィルタリング処理能力が高くなくても、多段接続された複数のパケットフィルタ装置が連携してフィルタリング処理負荷を分担することにより、大量の攻撃パケットをフィルタリングすることができ、セキュアな産業システムを構築できる。
【００８９】
また、大量の攻撃パケットが発生しても、各パケットフィルタ装置における受信バッファ溢れを防止することができるため、正規パケットを消失させることがなく、システムの停止を防止できる。
【００９０】
なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。
【００９１】
また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Solid State Drive）等の記録装置、または、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。
【００９２】
また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。
【符号の説明】
【００９３】
１、１ａ、１ｂ、１ｃ  パケットフィルタ装置
１００  制御部
２００  記憶部
１０、１０１  装置処理負荷判定部
１１  フィルタ規則記憶部
１２  不正パケット判定部
１３、１３１  受信プロトコル処理部
１４、１４１  送信プロトコル処理部
１５、１５１  短絡中継切替部
１７  処理負荷計測部
１９１  受信インタフェース部
１９２  送信インタフェース部
２  ネットワークノード
２００  パケット中継装置
３  端末装置
９、９００、９０１、９０２  伝送路
【図１】
2014181452.tif 000003
【図２】
2014181452.tif 000004
【図３】
2014181452.tif 000005
【図４】
2014181452.tif 000006
【図５】
2014181452.tif 000007
【図６】
2014181452.tif 000008
【図７】
2014181452.tif 000009
【図８】
2014181452.tif 000010
【図９】
2014181452.tif 000011
【図１０】
2014181452.tif 000012
【図１１】
2014181452.tif 000013
【図１２】
2014181452.tif 000014
【国際調査報告】
2014181452.tif 000015
2014181452.tif 000016
2014181452.tif 000017
2014181452.tif 000018