(57)【要約】      （修正有）【課題】ネットワークセキュリティを提供し、ネットワーク侵入検出を容易にするための改善された方法を提供する。【解決手段】デバイスは、メモリ２５２およびプロセッサ２５０を含む。メモリは、デバイス２０５によって受信された通信のトラフィック検査を容易にするコンピュータ実行可能命令を記憶するように構成される。プロセッサは、メモリにアクセスし、（１）デバイスのネットワークトラフィックプロファイルに関連する１つまたは複数のネットワークトラフィックパラメータを識別し、（２）１つまたは複数のネットワークトラフィックパラメータに少なくとも部分的に基づいて、デバイスによって受信された少なくとも１つの通信を評価し、（３）評価に少なくとも部分的に基づいて、少なくとも１つの通信がトラフィックプロファイルを満たしているかどうかを判定する。【選択図】図２
2012244628.tif 000002
【特許請求の範囲】
【請求項１】
デバイス（２０５）であって、
前記デバイス（２０５）によって受信された通信のトラフィック検査を容易にするコンピュータ実行可能命令を記憶するように構成された少なくとも１つのメモリ（２５２）と、
前記デバイス（２０５）のネットワークトラフィックプロファイルに関連する１つまたは複数のネットワークトラフィックパラメータを識別し（５２０）、
前記１つまたは複数のネットワークトラフィックパラメータに少なくとも部分的に基づいて、前記デバイス（２０５）によって受信された少なくとも１つの通信を評価し（５２５）、
前記評価に少なくとも部分的に基づいて、前記少なくとも１つの通信が前記トラフィックプロファイルを満たしているかどうかを判定する（５３０）ために
前記少なくとも１つのメモリ（２５２）にアクセスし、前記コンピュータ実行可能命令を実行するように構成された少なくとも１つのプロセッサ（２５０）と
を備えるデバイス（２０５）。
【請求項２】
前記１つまたは複数のネットワークトラフィックパラメータは、
（ｉ）予め定められた時間帯に受信された通信の数、（ｉｉ）通信に関連するデータの量、（ｉｉｉ）予め定められた時間帯に受信されたデータの量、（ｉｖ）通信セッションに関連する継続時間、（ｖ）受信された通信セッション間の継続時間、（ｖｉ）予め定められた時間帯中に識別された誤りの数、または（ｖｉｉ）通信が受信された時間のうちの少なくとも１つに関連するパラメータを備える、請求項１記載のデバイス（２０５）。
【請求項３】
前記トラフィックプロファイルは、デバイス通信のための設定された規格に関連するトラフィックプロファイルを備える、請求項１記載のデバイス（２０５）。
【請求項４】
前記少なくとも１つのプロセッサ（２５０）は、
少なくとも１つの通信のための通信インターフェースを識別し（５０５）、
前記識別された通信インターフェースに少なくとも部分的に基づいて前記１つまたは複数のネットワークトラフィックパラメータを識別する（５２０）ための
前記コンピュータ実行可能命令を実行するようにさらに構成される、請求項１記載のデバイス（２０５）。
【請求項５】
前記少なくとも１つの通信が前記トラフィックプロファイルを満たしていないことが判定され、前記少なくとも１つのプロセッサ（２５０）は、
前記少なくとも１つの通信に関連するアラートメッセージを生成し（５３５）、
前記アラートメッセージの管理制御システム（２２５）への伝達を指令するための
前記コンピュータ実行可能命令を実行するようにさらに構成される、請求項１記載のデバイス（２０５）。
【請求項６】
前記少なくとも１つのプロセッサ（２５０）は、
前記少なくとも１つの通信のための発信元デバイスを識別し、
前記生成されたアラートメッセージに前記発信元デバイスの識別子を含むための
前記コンピュータ実行可能命令を実行するようにさらに構成される、請求項５記載のデバイス（２０５）。
【請求項７】
前記少なくとも１つのプロセッサ（２５０）は、
前記管理制御システム（２５０）から、追加の通信を処理するための命令を備えるメッセージを受信し（４６５）、
前記受信された命令を処理するための
前記コンピュータ実行可能命令を実行するようにさらに構成される、請求項５記載のデバイス（２０５）。
【請求項８】
前記デバイス（２０５）は、（ｉ）ユーティリティメータ、（ｉｉ）フィールド自動化デバイス、（ｉｉｉ）センサ、（ｉｖ）高度計量インフラストラクチャデバイス、または（ｖ）医療デバイスのうちの１つを備える、請求項１記載のデバイス（２０５）。
【請求項９】
デバイス（２０５）によって受信された少なくとも１つの通信を識別するステップ（５１５）と、
デバイス（２０５）のネットワークトラフィックプロファイルに関連する１つまたは複数のネットワークトラフィックパラメータを識別するステップ（５２０）と、
前記１つまたは複数のネットワークトラフィックパラメータに少なくとも部分的に基づいて、前記受信された少なくとも１つの通信を評価するステップ（５２５）と、
前記評価に少なくとも部分的に基づいて、前記少なくとも１つの通信が前記トラフィックプロファイルを満たしているかどうかを判定するステップ（５３０）と
を備える方法（５００）であって、
前記動作は、前記デバイスに関連する１つまたは複数のプロセッサ（２５０）によって実行される通信検査アプリケーションによって実行される、
方法（５００）。
【請求項１０】
１つまたは複数のネットワークトラフィックパラメータを識別するステップ（５２０）は、（ｉ）予め定められた時間帯に受信された通信の数、（ｉｉ）通信に関連するデータの量、（ｉｉｉ）予め定められた時間帯に受信されたデータの量、（ｉｖ）通信セッションに関連する継続時間、（ｖ）受信された通信セッション間の継続時間、（ｖｉ）予め定められた時間帯中に識別された誤りの数、または（ｖｉｉ）通信が受信された時間のうちの少なくとも１つに関連する１つまたは複数のトラフィックパラメータを識別するステップを備える、請求項９記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明の諸実施形態は、一般に、ネットワークセキュリティに関し、より具体的には、ネットワークトラフィックの分析に基づいてネットワーク侵入を検出するためのシステム、方法、および装置に関する。
【背景技術】
【０００２】
ネットワークは、様々なネットワークデバイス間でデータをルーティングするために多種多様な用途において利用される。例えば、様々なタイプのネットワークが、公益事業用途、医療用途、および工業制御用途において利用される。公益事業用途の実施例を利用すると、通常、ユーティリティメータ間でデータをルーティングするためにメッシュネットワークが利用される。さらに、メータデータを中央制御デバイスおよび中央サーバにルーティングするために、通常、高度計量インフラストラクチャ（「ＡＭＩ」）に関連するネットワークが利用される。また、発電機、発電所、および動作コントローラの間でデータをルーティングするために、他のタイプのネットワークも利用される。
【発明の概要】
【０００３】
どのネットワークの中ででも、通常、セキュリティが主要な関心事である。したがって、ネットワークセキュリティを提供し、ネットワーク侵入検出を容易にするための改善されたシステム、方法、および装置が望ましい。
【０００４】
上記のニーズおよび／または問題の一部またはすべては、本発明のいくつかの実施形態によって対処され得る。本発明の諸実施形態は、ネットワークトラフィックの監視に少なくとも部分的に基づくネットワーク侵入検出のためのシステム、方法、および装置を含んでよい。本発明の一実施形態によれば、ネットワークトラフィックの監視に少なくとも部分的に基づくネットワーク内の侵入検出を容易にするように構成されたユーティリティメータなどの装置またはデバイスが開示される。デバイスは、少なくとも１つのメモリおよび少なくとも１つのプロセッサを含んでよい。少なくとも１つのメモリは、デバイスによって受信された通信のトラフィック検査を容易にするコンピュータ実行可能命令を記憶するように構成されてよい。少なくとも１つのプロセッサは、（ｉ）少なくとも１つの受信された通信に関連する通信インターフェースを識別し、（ｉｉ）通信インターフェースのネットワークトラフィックプロファイルに関連する１つまたは複数のネットワークトラフィックパラメータを判定し、（ｉｉｉ）１つまたは複数のネットワークトラフィックパラメータに少なくとも部分的に基づいて、デバイスによって受信された少なくとも１つの通信を評価し、（ｉｖ）評価に基づいて、少なくとも１つの通信がトラフィックプロファイルを満たしているかどうかを判定するために、少なくとも１つのメモリにアクセスし、コンピュータ実行可能命令を実行するように構成されてよい。
【０００５】
本発明の他の実施形態によれば、ネットワークトラフィックの監視に少なくとも部分的に基づくネットワーク侵入検出のための方法が開示される。デバイスによって受信された少なくとも１つの通信に関連する通信インターフェースが識別され得る。通信インターフェースのネットワークトラフィックプロファイルに関連する１つまたは複数のネットワークトラフィックパラメータが判定され得る。１つまたは複数のネットワークトラフィックパラメータに少なくとも部分的に基づいて、少なくとも１つの通信が評価され得る。評価に少なくとも部分的に基づいて、少なくとも１つの通信がトラフィックプロファイルを満たしているかどうかに関する判定が行われ得る。いくつかの実施形態では、上記の動作は、デバイスに関連する１つまたは複数のプロセッサによって実行される通信検査アプリケーションによって実行される。
【０００６】
追加のシステム、方法、装置、特徴、および態様が、本発明の様々な実施形態の技法によって実現される。本発明の他の実施形態および態様が、本明細書で詳細に説明され、本願発明の一部分とみなされる。他の実施形態、特徴、および態様は、以下の説明および添付の図面を参照することによって理解され得る。
【０００７】
本発明はここまで一般的に説明されてきたが、次に、必ずしも比例して描かれていない添付の図面が参照される。
【図面の簡単な説明】
【０００８】
【図１】本発明の一例示的実施形態による、ネットワークトラフィックの監視に少なくとも部分的に基づくネットワーク侵入検出を容易にする一例示的システムのブロック図である。
【図２】本発明の一例示的実施形態による、ネットワークトラフィックの監視に少なくとも部分的に基づくネットワーク侵入検出を容易にする他の例示的システムのブロック図である。
【図３】本発明の様々な実施形態が利用され得る一例示的公益事業用途のブロック図である。
【図４】本発明の一例示的実施形態による、ネットワーク侵入検出を容易にするためにネットワークトラフィックを評価するための一例示的方法の流れ図である。
【図５】本発明の一例示的実施形態による、ネットワーク侵入検出を容易にするためにネットワークトラフィックを評価するための他の例示的方法の流れ図である。
【発明を実施するための形態】
【０００９】
次に、本発明の例示的実施形態が、以下で、本発明のいくつかの、ただしすべてではない実施形態が示されている添付の図面を参照しながらより十分に説明される。実際、本発明は、多くの異なる形態で実施されてよく、本明細書に記載の諸実施形態に限定されると解釈されるべきではなく、むしろ、これらの実施形態は、本開示が適用可能な法的要件を満たすことになるように提供されるものである。同様の数字は全体にわたって同様の要素を指す。
【００１０】
ネットワーク侵入検出を容易にするためにネットワークトラフィックを評価するためのシステム、方法、および装置が開示される。本発明の一実施形態では、１つまたは複数のデバイスが任意の数の適切なネットワークを介して通信していてよい。例えば、１つまたは複数のユーティリティデバイス（例えば、ユーティリティメータ、ＡＭＩデバイス、配電自動化装置、ユーティリティフィールドフォースデバイス、変電所自動化装置など）は、任意の数の適切なネットワーク（例えば、メッシュネットワーク、ＡＭＩネットワーク、ローカルエリアネットワーク、広域ネットワーク、セルラネットワークなど）を介して通信していてよい。他の実施例として、１つまたは複数の医療デバイスが、独自の医療ネットワークなど、任意の数の適切なネットワークを介して通信していてよい。各デバイスは、１つまたは複数の受信された通信を識別し、その通信をデバイスのトラフィックプロファイルに基づいて評価するように構成されてよい。例えば、いくつかの実施形態では、デバイスのトラフィックプロファイルは、そのデバイスに関連するネットワーク通信の通信履歴データ、ならびに／または１つもしくは複数の設定された規格および／もしくはプロトコルに基づいて、識別または判定され得る。ユーティリティメータの実施例を使用すると、ユーティリティメータのトラフィックプロファイル（例えば、予想通信数、予想通信帯域幅など）は、ユーティリティメータの設定された通信規格および／または通信履歴データに少なくとも部分的に基づいて判定され得る。通信の分析または評価に少なくとも部分的に基づいて、トラフィックプロファイルおよび／またはトラフィックプロファイルパラメータが満たされているかどうかに関する判定が行われ得る。プロファイルが満たされていないと判定された場合は、潜在的ネットワーク侵入が識別され得る。この点に関して、ネットワークセキュリティが、トラフィックプロファイルを利用した通信の評価に基づいて提供され得る。
【００１１】
いくつかの実施形態では、デバイスは、ネットワークトラフィックの分析を容易にする専用アプリケーションを記憶し実行するように構成されてよい。このアプリケーションは、デバイスに関連するタイプ（例えば、デバイスモデル番号など）の識別、ならびにデバイスによって利用されるまたはデバイスタイプに関連する１つまたは複数の通信インターフェースおよび／または通信リンクの識別を容易にすることができる。情報の識別に少なくとも部分的に基づいて、アプリケーションはデバイスのトラフィックプロファイルを生成または識別することができる。トラフィックプロファイルには、予め定められた時間帯に受信されるべき予想通信数、通信に含まれるべき予想データ量、予め定められた時間帯に含まれるべき予想データ量、通信セッションの予想継続時間、通信セッション間の予想継続時間、予め定められた時間帯中に識別されるべき誤りの予想数もしくは誤りの閾値数、および／または通信が受信される時間（例えば、日時、曜日、月日など）に関連するトラフィックフローパラメータなどの多種多様な情報が含まれてよい。所望に応じて、様々な通信リンクおよび／またはネットワーク接続のそれぞれのトラフィックプロファイルが生成され得る。トラフィックプロファイルの設定に続いて、アプリケーションは、デバイスによって受信された１つまたは複数の通信を識別することができる。アプリケーションは、次いで、トラフィックプロファイルおよび／またはトラフィックフローパラメータを利用して通信を評価することができる。分析または評価に少なくとも部分的に基づいて、アプリケーションは、通信がトラフィックプロファイルおよび／または様々なトラフィックパラメータを満たしているかどうかを判定することができる。
【００１２】
一実施例として、専用アプリケーションがユーティリティメータ上にインストールされてよい。ユーティリティメータは、ベンダ独自のフォーマットまたは業界標準フォーマットなどの標準フォーマットでデータを受信および送信することができる。したがって、ユーティリティメータによって受信された通信は、比較的予め定められた構造および／または頻度を有してよい。例えば、通常、特定の時間帯中に他のメータからおよび／または制御デバイスから、ある一定の数の通信が受信されてよい。アプリケーションは、設定された規格および、所望に応じて、通信履歴データを利用して、ユーティリティメータのトラフィックプロファイルを生成することができる。アプリケーションは、次いで、トラフィックプロファイルを利用して将来の通信を分析および／または評価し、トラフィックプロファイルが満たされているかどうかを判定することができる。
【００１３】
様々な実施形態では、デバイスが、トラフィックプロファイルを満たさない１つまたは複数の通信の識別に基づいてセキュリティアラートなどのアラートを生成するように構成されてよい。いくつかの実施形態では、生成されたアラートは、管理サーバまたは管理コントローラ（例えば、中央コントローラなど）に処理および／または分析のために伝達され得る。例えば、ユーティリティメータは、生成されたアラートを管理コントローラ（例えば、ＡＭＩコントローラなど）に伝達することができ、管理コントローラは、生成されたアラートを処理して、潜在的セキュリティ脅威を識別し、かつ／またはそれに対して動作することができる。他の実施形態では、生成されたアラートは、デバイスによって処理されることが可能であり、デバイスは、生成されたアラートに基づいて１つまたは複数の制御動作を実行することができる。例えば、管理コントローラが通信の分析に基づいてアラートを生成した場合は、管理コントローラは、潜在的セキュリティ脅威を識別し、その識別に基づいて１つまたは複数の制御動作を実行することができる。本発明の様々な実施形態において多種多様な制御動作が所望に応じて実行され得る。適切な制御動作は、通信のコンテンツのディープパケットインスペクションを開始すること、通信の発信元デバイスを識別すること、１つまたは複数のデバイスの動作を制御すること、発信元デバイスから受信された通信をブロックすること、デバイスアドレスに基づいて通信をブロックすること、スイッチングおよび／またはルーティングによって通信またはネットワークトラフィックをリダイレクトすること、発信元デバイスを調査するためにオペレータを派遣することなどを含むがそれらに限定されない。
【００１４】
本発明の様々な実施形態は、ネットワークトラフィックの監視に基づいてネットワーク侵入検出を容易にする１つまたは複数の専用コンピュータ、システム、および／または特定の機械を含んでよい。専用コンピュータまたは特定の機械は、様々な実施形態において所望に応じて多種多様な異なるソフトウェアモジュールを含んでよい。以下でさらに詳細に説明されるように、いくつかの実施形態では、これらの様々なソフトウェアコンポーネントは、ネットワーク内の潜在的ネットワーク侵入および／またはセキュリティリスクを検出するために利用され得る。
【００１５】
本発明の様々な実施形態では、所望に応じて、ネットワーク侵入を検出するデバイスは、１つまたは複数のネットワークに接続されたスタンドアロンデバイスでよい。他の実施形態では、ネットワーク侵入検出機能は、１つまたは複数の既存のデバイスに組み込まれてよい。
【００１６】
本明細書に記載の本発明のいくつかの実施形態は、トラフィックフロープロファイルなどのネットワークトラフィックプロファイルを利用した通信の評価に基づいて、ユーティリティネットワークまたは医療ネットワーク内のネットワーク侵入などのネットワーク侵入を検出する技術的効果を有し得る。さらに、本発明の諸実施形態は、検出されたネットワーク侵入または他の識別されたセキュリティ脅威を補正またはそうでなければそれに応答するために、１つまたは複数の制御動作を実行する技術的効果を有し得る。
【００１７】
図１は、本発明の一例示的実施形態による、ネットワークトラフィックの監視に少なくとも部分的に基づいてネットワーク侵入を検出するための一例示的システム１００のブロック図である。図１に例示されているシステム１００は、任意の数のデバイス１０５、１１０、１１５、および少なくとも１つの管理コントローラ１２０を含んでよい。任意の数のネットワーク１２５、１３０は、システム１００の様々な構成要素間の通信を容易にするために利用され得る。例えば、図１に示されているように、デバイス１０５は、ユーティリティネットワーク、医療ネットワーク、工業制御ネットワーク、ローカルエリアネットワーク、広域ネットワーク、セルラネットワークなどの１つまたは複数の適切なネットワーク１２５を介して任意の数の他のデバイス１１０および／または管理コントローラ１２０と通信していてよい。他の実施例として、デバイス１０５は、任意の数の適切なメッシュネットワーク１３０を介して任意の数の他のメッシュデバイス１１５および／またはメッシュネットワークコントローラ１３５と通信している適切なメッシュネットワークデバイスでよい。所望に応じて、メッシュネットワークコントローラ１３５は、任意の数の適切なネットワーク１２５を介して管理コントローラ１２０と通信することができる。
【００１８】
実際、本発明の様々な実施形態では、多種多様なネットワーク構成および配列が所望に応じて使用されてよい。例えば、１つまたは複数のネットワーク構成がユーティリティプロバイダに関連していてよい。一実施例として、任意の数のローカルエリアネットワークおよび／または広域ネットワークが制御デバイス間の通信を容易にすることができる。さらに、任意の数のメッシュネットワーク１３０は、ＡＭＩシステムに関連するメッシュノードおよび／またはデバイスを含んでよい。例えば、ユーティリティメータおよび／または他のセンサは、ガス、水道、および／または電気の使用量などのユーティリティ使用量を監視するＡＭＩシステムの一部分でよい。所望に応じて、ＡＭＩシステムの構成要素は、メッシュネットワークコントローラ１３５と通信することができ、メッシュネットワークコントローラ１３５は、管理コントローラ１２０に関連する１つまたは複数のユーティリティなどの監視ユーティリティに情報を伝達することができる。メッシュネットワーク１３０は、任意の数のメッシュデバイスを含んでよい。メッシュデバイスは、ユーティリティメータ、メッシュネットワークコントローラ１３５、メッシュリピータ、および／または他のメッシュノードなど、メッシュネットワーク１３０内のノードとして参加するように構成された任意の適切なデバイスでよい。各メッシュノードは、宛先に到達するまで、ノードからノードへの「ホッピング」によって、破損したまたはブロックされた経路を迂回して、連続した接続および再構成を可能にする独立したルータとして動作することができる。
【００１９】
他の実施例として、１つまたは複数のネットワーク構成が医療システムおよび／または医療プロバイダに関連していてよい。例えば、独自の医療ネットワーク、インターネット、または他のネットワークが、患者監視デバイス、医師用デバイス、ベネフィットプロバイダデバイス、薬剤デバイス、ならびに／または様々な管理コントローラおよび／もしくはサービスプロバイダなどの様々な医療デバイス間の通信を容易にするために利用され得る。他の実施例として、１つまたは複数のネットワーク構成が工業制御システムに関連していてよい。例えば、様々なネットワークは、管理コントローラ、分散型制御システム、ならびに／または分散型センサおよび／もしくはフィールド自動化デバイスの間の通信を容易にする。
【００２０】
前述のように、任意の数のデバイス１０５、１１０、１１５は、相互におよび／または管理コントローラ１２０と通信していてよい。次に、一例示的デバイス１０５がさらに詳細に説明される。デバイス１０５は、適切なユーティリティメータ、ＡＭＩデバイス、工業制御デバイス、フィールド自動化デバイス、医療デバイス、または他のデバイスなど、ネットワークに接続され得る任意の適切なデバイスでよい。したがって、デバイス１０５は、任意選択で、様々なパラメータ（例えば、電気使用量、電圧、電流、温度など）を測定または監視するように構成されてよい。所望に応じて、測定データおよび／または他のデータは、デバイス１０５によってシステム１００の他のデバイスおよび／または構成要素に伝達され得る。さらに、本発明の一態様によれば、デバイス１０５は、デバイス１０５によって生成されたおよび／または受信された通信を評価し、通信がトラフィックプロファイルを満足しているかどうかを判定することができる。
【００２１】
デバイス１０５は、デバイス１０５の全体的な動作および／またはネットワーク侵入検出目的のための通信の評価を容易にする任意の数の適切なコンピュータ処理構成要素を含んでよい。例えば、デバイス１０５は、通信を監視および評価するように構成された１つまたは複数のコントローラまたは処理デバイスを含んでよい。デバイス１０５に組み込まれ得る適切な処理デバイスの例は、特定用途向け回路、マイクロコントローラ、ミニコンピュータ、他のコンピューティングデバイス、および同種のものを含むがそれらに限定されない。したがって、デバイス１０５は、デバイス１０５の動作を制御するためのコンピュータ可読命令の実行および潜在的ネットワーク侵入の検出を容易にする任意の数のプロセッサ１４０を含んでよい。コンピュータ可読命令を実行することにより、デバイス１０５は、ネットワークトラフィックプロファイルを利用した通信の評価に基づいてネットワーク侵入検出を容易にする専用コンピュータを含んでもよくまたは形成してもよい。
【００２２】
１つまたは複数のプロセッサ１４０に加えて、デバイス１０５は、１つまたは複数のメモリデバイス１４２、１つまたは複数の入力／出力（「Ｉ／Ｏ」）インターフェース１４４、および／または１つまたは複数のネットワークインターフェースデバイス１４６を含んでよい。１つまたは複数のメモリデバイス１４２もしくはメモリは、任意の適切なメモリデバイス、例えば、キャッシュ、読出し専用メモリデバイス、ランダムアクセスメモリデバイス、磁気記憶デバイスなどでよい。１つまたは複数のメモリデバイス１４２は、デバイス１０５によって利用されるデータ、実行可能な命令、および／または様々なプログラムモジュール、例えば、データファイル１４８、オペレーティングシステム（「ＯＳ」）１５０、および／または検査アプリケーション１５２もしくは検査モジュールを記憶することができる。データファイル１４８は、例えば、デバイス１０５の動作に関連する情報、デバイス１０５に関連する１つまたは複数の設定された通信規格に関連する情報、ネットワークトラフィックプロファイル、１つまたは複数のトラフィックパラメータ、生成されたアラートメッセージに関連する情報、および／またはデバイス１０５によって実行される測定および／または読取りに関連するデータを含んでよい。
【００２３】
本発明のいくつかの実施形態では、デバイス１０５は、デバイス１０５の動作を容易にするために実行される任意の数のソフトウェアアプリケーションまたはモジュールを含んでよい。ソフトウェアアプリケーションは、１つまたは複数のプロセッサ１４０によって実行可能なコンピュータ可読命令を含んでよい。コンピュータ可読命令の実行は、デバイス１０５の動作ならびにネットワーク侵入検出を容易にする専用コンピュータを形成することができる。ソフトウェアアプリケーションの一例として、デバイス１０５は、デバイス１０５の全体的な動作を制御し、追加のソフトウェアアプリケーションの実行を容易にするＯＳ１５０を任意選択で含んでよい。
【００２４】
さらに、デバイス１０５は、検査アプリケーション１５２または検査モジュールを含んでよい。検査アプリケーション１５２は、デバイス１０５によって受信された通信またはメッセージの識別および処理を容易にするように構成された適切なソフトウェアモジュールでよい。動作中、検査アプリケーション１５２は、デバイス１０５のトラフィックプロファイルを構築、生成、またはそうでなければ判定することができる。例えば、検査アプリケーション１５２は、デバイス１０５に関連するタイプ、ならびに／または１つまたは複数のネットワークに関連する情報、デバイス通信を容易にする通信インターフェースおよび／もしくは通信リンクを識別することができる。検査アプリケーション１５２は、この情報の少なくとも一部分を利用してデバイス１０５のトラフィックプロファイルを生成することができる。例えば、検査アプリケーション１５２は、デバイスタイプならびに／またはネットワークの１つまたは複数の設定された通信規格および／もしくはプロトコルを識別することができ、検査アプリケーション１５２は、識別された規格および／またはプロトコルを利用して、トラフィックプロファイルを生成することができる。トラフィックプロファイルは、デバイスの１つまたは複数の予想トラフィックパラメータなど、デバイスの予想ネットワークトラフィックに関連する多種多様な情報を含んでよい。予想トラフィックパラメータの例は、予め定められた時間帯（例えば、時間、日など）中に受信された通信数に関連するパラメータ、通信に含まれたデータの量に関連するパラメータ、予め定められた時間帯中に受信されたデータの量に関連するパラメータ、確立された通信セッションの継続時間に関連する１つまたは複数のパラメータ、通信セッション間の継続時間に関連する１つまたは複数のパラメータ、予め定められた時間帯中に通常識別され得る誤りの閾値数に関連するパラメータ、および／または通信が受信された時間に関連するパラメータを含むがそれらに限定されない。さらに、所望に応じて、検査アプリケーション１５２は、トラフィック履歴情報（例えば、１つまたは複数の履歴時間帯中に受信された通信に関連する情報など）を利用して、トラフィックプロファイルを判定することができる。トラフィックプロファイルを生成することの代替として、検査アプリケーション１５２は、デバイス１０５上に前に記憶されたトラフィックプロファイルを識別することができる、または検査アプリケーション１５２は、外部ソースからトラフィックプロファイルを取得することができる。例えば、検査アプリケーション１５２は、取外し可能な記憶デバイスからトラフィックプロファイルを取得することができる。他の実施例として、検査アプリケーション１５２は、任意の数の適切なネットワーク通信を介して外部ソース（例えば、管理コントローラ１２０）からトラフィックプロファイルを取得することができる。
【００２５】
トラフィックプロファイルおよび／または１つまたは複数のトラフィックパラメータが生成および／または取得された後は、検査アプリケーション１５２は、トラフィックプロファイルおよび／またはパラメータを利用して、デバイス１０５によって受信された通信を分析または評価することができる。例えば、検査アプリケーション１５２は、トラフィックプロファイルに基づいて、受信された通信を追跡および評価することができる。この点に関して、検査アプリケーション１５２は、デバイス１０５へのトラフィックフローがデバイスの１つまたは複数の予想トラフィックフローパラメータを満たしているかどうかを判定することができる。１つまたは複数のトラフィックパラメータを利用した通信の評価に少なくとも部分的に基づいて、検査アプリケーション１５２は、通信がトラフィックプロファイルを満たしているかどうかを判定することができる。１つまたは複数の通信がトラフィックプロファイルを満たしていると判定された場合は、検査アプリケーション１５２は、通信を承認することができる。しかし、１つまたは複数の通信がトラフィックプロファイルを満たしていないと判定された場合は、検査アプリケーション１５２は、１つまたは複数の通信に関連するアラートを生成することができる。いくつかの実施形態では、検査アプリケーション１５２は、さらなる処理のためにアラートメッセージの管理コントローラ１２０への伝達を指令することができる。この点に関して、管理コントローラ１２０は、ネットワーク侵入が発生したかどうかを判定することができ、管理コントローラ１２０は、判定に応答して１つまたは複数の制御動作を指令することができる。例えば、管理コントローラ１２０は、将来の通信を処理するためにデバイス１０５に命令を伝達することができる。他の実施形態では、検査アプリケーション１５２は、生成されたアラートに応答して１つまたは複数の制御動作を指令することができる。本発明の様々な実施形態において多種多様な制御動作が所望に応じて実行され得る。いくつかの制御動作例が以下で管理コントローラ１２０を参照しながら詳細に論じられる。
【００２６】
実際、検査アプリケーション１５２は、多種多様な異なる動作を実行して、通信を評価し、トラフィックプロファイルが満足されているかどうかを判定することができる。前述の動作は、例としてのみ提供されている。検査アプリケーション１５２によって実行され得る動作の他の例が図４を参照しながら以下でさらに詳細に説明される。
【００２７】
続いてデバイス１０５を参照すると、１つまたは複数のＩ／Ｏインターフェース１４４は、デバイス１０５と、１つまたは複数の入力／出力デバイス、例えば、デバイス１０５とのユーザの対話を容易にするディスプレイ、キーパッド、マウス、ポインティングデバイス、制御パネル、タッチスクリーンディスプレイ、マイクロホン、スピーカなどの１つまたは複数のユーザインターフェースデバイスとの間の通信を容易にすることができる。この点に関して、ユーザコマンドがデバイス１０５によって受信され得る。さらに、１つまたは複数のネットワークインターフェースデバイス１４６がデバイス１０５の、メッシュネットワーク１３０または他のタイプのネットワーク１２５など任意の数の適切なネットワークへの接続を容易にすることができる。この点に関して、デバイス１０５は、システム１００の他の構成要素からデータを受信し、かつ／またはシステム１００の他の構成要素にデータを伝達することができる。いくつかの実施形態では、ネットワークインターフェースデバイス１４４は、メッシュネットワーク１３０と通信するように構成されたメッシュ無線を含んでよい。この無線はメッセージをメッシュネットワーク１３０の他のノードに送信、受信、および転送することができる。さらに、いくつかの実施形態では、所望に応じて、ネットワークインターフェースデバイス１４６は、任意の数の広域ネットワークまたは他のネットワークを介して他のデバイス１１０および／または管理コントローラ１２０と通信するように構成された任意の適切な通信インターフェース、ネットワークカード、および／または他のデバイスを含んでよい。例えば、ネットワークインターフェースデバイス１４６は、イーサネット（商標）カード、ネットワークインターフェースカード、セルラトランシーバ、電力線ブロードバンドアダプタ、および／または他のデバイスを含んでよい。
【００２８】
いくつかの実施形態では、デバイス１０５は、メッシュネットワーク１３０を介して通信するように構成されてよい。所望に応じて、メッシュネットワークコントローラ１３５は、デバイス１０５と管理コントローラ１２０との間の通信を容易にするように構成されてよい。メッシュネットワークコントローラ１３５は、管理コントローラ１２０との通信を容易にするメッシュネットワーク１３０とネットワーク１２５との間のインターフェースとして機能するように構成された適切なプロセッサ駆動デバイスでよい。したがって、メッシュネットワークコントローラ１３５は、デバイス１０５および／または管理コントローラ１２０に関して説明されたものと同様の構成要素を含んでよい。例えば、メッシュネットワークコントローラ１３５は、１つまたは複数のプロセッサ、１つまたは複数のメモリ、および／または１つまたは複数のネットワークインターフェースデバイスを含んでよい。動作中、メッシュネットワークコントローラ１３５は、メッシュネットワーク１３０を介してメッシュデバイスからメッセージを受信することができ、メッシュネットワークコントローラ１３５は、受信されたメッセージを１つまたは複数の広域ネットワーク１２５を介して管理コントローラ１２０に選択的に伝達することができる。通信は、同様のやり方で管理コントローラ１２０からメッシュデバイスにルーティングされ得る。
【００２９】
所望に応じて、メッシュネットワークコントローラ１３５は、デバイス１０５に関して説明されたものと同様のやり方で通信を評価または分析することができる。例えば、メッシュネットワークコントローラ１３５は、トラフィックプロファイルを生成または取得し、このトラフィックプロファイルを使用して、受信された通信がトラフィックパラメータを満たしているかどうかを判定する適切な検査モジュールまたは検査アプリケーションを含んでよい。結果として、メッシュネットワークコントローラ１３５は、トラフィックプロファイルが満たされていない場合はアラートメッセージを選択的に生成することができる。さらに、いくつかの実施形態では、メッシュネットワークコントローラ１３５は、アラートの生成に基づいておよび／またはメッシュデバイスからのアラートメッセージの受信に基づいて１つまたは複数の制御動作を実行することができる。
【００３０】
続いて図１を参照すると、管理コントローラ１２０は、デバイス１０５に関連する適切なシステムを形成することができる、またはその一部分でよい。例えば、デバイス１０５がユーティリティメータまたはフィールド自動化デバイスである場合は、管理コントローラ１２０は、変電所または他のユーティリティシステムに関連していてよい。管理コントローラ１２０は、アラートメッセージの受信および処理、侵入検出に基づく制御動作の指令、ならびに／またはデータおよび／もしくは命令の任意の数のデバイスへの伝達を容易にする任意の数の適切なコンピュータ処理構成要素を含んでよい。管理コントローラ１２０に組み込まれ得る適切な処理デバイスの例は、特定用途向け回路、マイクロコントローラ、ミニコンピュータ、パーソナルコンピュータ、サーバ、他のコンピューティングデバイス、および同種のものを含むがそれらに限定されない。したがって、管理コントローラ１２０は、管理コントローラ１２０の動作を制御するためのコンピュータ可読命令の実行を容易にする任意の数のプロセッサ１６０を含んでよい。コンピュータ可読命令を実行することにより、管理コントローラ１２０は、潜在的ネットワーク侵入を識別するためにアラートメッセージの受信および処理を容易にする専用コンピュータを含んでもよくまたは形成してもよい。
【００３１】
１つまたは複数のプロセッサ１６０に加えて、管理コントローラ１２０は、１つまたは複数のメモリデバイス１６２、１つまたは複数のネットワークインターフェースデバイス１６４、および／または１つまたは複数の入力／出力（「Ｉ／Ｏ」）インターフェース１６６含んでよい。１つまたは複数のメモリデバイス１６２またはメモリは、任意の適切なメモリデバイス、例えば、キャッシュ、読出し専用メモリデバイス、ランダムアクセスメモリデバイス、磁気記憶デバイスなどでよい。１つまたは複数のメモリデバイス１６２は、管理コントローラ１２０によって利用されるデータ、実行可能な命令、および／または様々なプログラムモジュール、例えば、データファイル１６８、オペレーティングシステム（「ＯＳ」）１７０、および／または制御アプリケーション１７２もしくは制御モジュールを記憶する。データファイル１６８は、管理コントローラ１２０の動作に関連する記憶されているデータ、受信されたアラートメッセージに関連する情報、識別された侵入および／または侵入デバイスノードに関連する情報、管理コントローラ１２０によって実行される制御動作に関連する情報、１つまたは複数のトラフィックプロファイルを満たすことができなかった通信に関連する情報、および／または通信の分析または評価に関連する情報を含んでよい。
【００３２】
ＯＳ１７０は、管理コントローラ１２０の全体的な動作を制御し、追加のソフトウェアアプリケーションの実行を容易にするためのコンピュータ実行可能命令を実行する適切なソフトウェアモジュールまたはアプリケーションでよい。制御アプリケーション１７２は、任意の数の分散型デバイスおよび／またはネットワークデバイスの管理および／またはそれらとの通信を容易にするためのコンピュータ実行可能命令を実行する適切なソフトウェアモジュールまたはアプリケーションでよい。この点に関して、制御アプリケーション１７２は、システム１００のデバイス１０５および／または他の構成要素などのデバイスによって出力されたデータを受信し処理するように構成されてよい。例えば、公益事業用途では、制御アプリケーション１７２は、１つまたは複数のユーティリティメータおよび／またはフィールド自動化デバイスによって出力された測定データ、状態メッセージ、および／またはアラートメッセージを受信し処理するように構成されてよい。制御アプリケーション１７２は、メッセージ、命令、および／または更新をシステム１００の任意の数の他のデバイスおよび／または構成要素に伝達するようにさらに構成されてよい。
【００３３】
本発明の一態様によれば、制御アプリケーション１７２は、識別された無効なまたは容認できないコンテンツに関連する１つまたは複数のアラートメッセージを受信し処理するように構成されてよい。受信されたアラートメッセージの分析に基づいて、制御アプリケーション１７２は、潜在的セキュリティ脅威および／またはネットワーク侵入を識別することができる。所望に応じて、制御アプリケーション１７２は、潜在的セキュリティ脅威を引き起こすデバイスの位置またはおよその位置をさらに識別することができる。潜在的セキュリティ脅威が識別された後は、制御アプリケーション１７２は、潜在的セキュリティ脅威に関連する任意の数の制御動作の実行を指令またはトリガすることができる。この点に関して、制御アプリケーション１７２は、１つまたは複数のネットワーク内のセキュリティを高め、侵入検出に応答することができる。本発明の様々な実施形態において多種多様な制御動作が所望に応じて指令され得る。例えば、潜在的セキュリティ脅威を評価するために技術者または技術者のグループが派遣されてよい。他の実施例として、１つまたは複数の疑わしい通信のディープパケットインスペクションが指令または開始されてよい。他の実施例として、潜在的セキュリティ脅威を引き起こすデバイスへのおよび／またはそのデバイスからの通信が制限または拒否されてよい。所望に応じて、いくつかの通信および／またはネットワークトラフィックがデバイス識別子に基づいてブロックされてよい。代替として、ネットワークトラフィックは、スイッチングおよび／またはルーティング動作を介してリダイレクトされてよい。他の実施例として、いくつかのデバイスは、制御アプリケーション１７２の指令でオンまたはオフされてよい。制御アプリケーション１７２によって実行され得る動作の一実施例が図４を参照しながら以下でさらに詳細に説明される。
【００３４】
さらに、いくつかの実施形態では、管理コントローラ１２０は、デバイスに関して説明されたのと同様のやり方で１つまたは複数のトラフィックプロファイルを構築および／または生成するように構成されてよい。実際、管理コントローラ１２０に関連する通信リンクごとにそれぞれのトラフィックプロファイルが生成され得る。管理コントローラ１２０は、次いで、トラフィックプロファイルを利用して管理コントローラ１２０によって受信された通信を評価し、通信が任意の数のトラフィックパラメータを満たしているかどうかを判定することができる。いくつかの実施形態では、複数のネットワークおよび／またはネットワークインターフェースが管理コントローラ１２０に関連していてよい。例えば、ユーティリティプロバイダに関連する管理コントローラ１２０は、ＡＭＩプロトコルおよび／またはファウンデーションフィールドバスプロトコルなどの多種多様な通信プロトコルを利用する複数のタイプのネットワークを介して通信するように構成されてよい。所望に応じて、管理コントローラ１２０は、任意の数のそれぞれ異なるインターフェースのトラフィックプロファイルを生成し、１つまたは複数のトラフィックプロファイルを選択的に利用して通信を評価することができる。例えば、管理コントローラ１２０は、図２を参照しながら以下でさらに詳細に説明されるデバイス２０５と同様のやり方で機能することができる。
【００３５】
続いて管理コントローラ１２０を参照すると、１つまたは複数のネットワークインターフェースデバイス１６４は、管理コントローラ１２０の１つまたは複数の広域ネットワーク１２５などの任意の数のネットワークへの接続を容易にすることができる。この点に関して、管理コントローラ１２０は、ネットワーク１２５を介して通信するように構成されたメッシュネットワークコントローラ１３５および／または他の構成要素などのシステム１００の他の構成要素からデータを受信しかつ／またはそれらにデータを伝達することができる。さらに、１つまたは複数のＩ／Ｏインターフェース１６６は、管理コントローラ１２０と、管理コントローラ１２０とのユーザ対話を容易にする１つまたは複数の入力／出力デバイス、例えば、ディスプレイ、キーパッド、制御パネル、タッチスクリーンディスプレイ、リモートコントロール、マイクロホンなどの１つまたは複数のユーザインターフェースデバイスとの間の通信を容易にすることができる。
【００３６】
１つまたは複数のネットワーク１２５は、管理コントローラ１２０、いくつかのデバイス１０５、１１０、および／またはメッシュネットワークコントローラ１３５などのシステム１００の様々な構成要素間の通信を容易にする任意の数の適切なネットワークを含んでよい。例えば、１つまたは複数のネットワーク１２５は、インターネット、セルラネットワーク（例えば、２Ｇ、３Ｇ、４Ｇなど）、デジタル加入者回線（「ＤＳＬ」）ネットワーク、光ファイバネットワーク、無線ネットワーク（例えば、８０２．１１ネットワーク、８０２．１６ネットワークなど）、Ｗｉ−Ｆｉ対応ネットワーク、ブルートゥース対応ネットワーク、電力線ブロードバンドネットワーク、衛星ベースのネットワーク、独自の医療ネットワークなどの任意の数の適切な広域ネットワークおよび／またはローカルエリアネットワークを含んでよい。
【００３７】
図２は、本発明の一例示的実施形態による、ネットワークトラフィックの監視に基づいてネットワーク侵入を検出するための他の例示的システム２００のブロック図である。図２に例示されているシステム２００は、任意の数のデバイス２０５、２１０、２１５、２２０を含んでよい。いくつかの実施形態では、システム２００はまた、少なくとも１つの管理コントローラ２２５を含んでよい。任意の数のネットワーク２３０、２３５、２４０および／またはネットワーク接続がシステム２００の様々な構成要素間の通信を容易にするために利用され得る。例えば、図２に示されているように、デバイス２０５は、複数のそれぞれ異なるタイプのネットワークを介して任意の数の他のデバイス２１０、２１５、２２０と通信していてよい。
【００３８】
本発明の様々な実施形態において多種多様なネットワーク構成および配列が所望に応じて利用され得る。例えば、１つまたは複数のネットワーク構成がユーティリティプロバイダに関連していてよい。一実施例として、任意の数のローカルエリアネットワークおよび／または広域ネットワークが、デバイス２０５と任意の数の分散型デバイスとの間の通信を容易にすることができる。例えば、ユーティリティネットワークに関連する制御デバイスは、それぞれ異なるタイプのネットワークおよび／または通信インターフェースを介して、ユーティリティメータ、フィールド自動化デバイス、変電所制御デバイスなど様々なタイプの分散型デバイスと通信していてよい。他の実施例として、医療コントローラは、様々なタイプの医療ネットワークを介して、ヘルスケアクレームペイヤ、患者用デバイス、および／または監視デバイスなどの様々な分散型デバイスと通信していてよい。
【００３９】
次に、続いて図２を参照しながら、デバイス２０５がさらに詳細に説明される。デバイス２０５は、ＡＭＩ制御デバイス、変電所制御デバイス、分散型自動化デバイス、ユーティリティフィールドフォース自動化デバイス、医療制御デバイス、および／または工業制御デバイスなどの１つまたは複数のネットワークに接続され得る任意の適切なデバイスでよい。したがって、デバイス２０５は、様々なタイプのネットワーク２３０、２３５、２４０を介して通信を任意の数の分散型デバイス２１０、２１５、２２０から受信および／またはそれらに送信するように構成されてよい。さらに、いくつかの実施形態では、デバイス２０５は、管理コントローラ２２５として例示されている、より高いレベルのコントローラと通信するように構成されてよい。例えば、ＡＭＩ制御デバイスは、変電所制御デバイスまたは中央ユーティリティコントローラと通信することができる。
【００４０】
デバイス２０５は、デバイス２０５の全体的な動作および／またはネットワーク侵入検出目的のための通信の評価を容易にする任意の数の適切なコンピュータ処理構成要素を含んでよい。例えば、デバイス２０５は、任意の数のトラフィックパラメータを利用して通信を監視および評価するように構成された１つまたは複数のコントローラまたは処理デバイスを含んでよい。デバイス２０５に組み込まれ得る適切な処理デバイスの例は、特定用途向け回路、マイクロコントローラ、ミニコンピュータ、他のコンピューティングデバイス、および同種のものを含むがそれらに限定されない。したがって、デバイス２０５は、デバイス２０５の動作および潜在的ネットワーク侵入の検出を制御するためのコンピュータ可読命令の実行を容易にする任意の数のプロセッサ２５０を含んでよい。デバイス２０５は、コンピュータ可読命令を実行することにより、ネットワーク侵入検出を容易にする専用コンピュータを含むかまたは形成してよい。
【００４１】
１つまたは複数のプロセッサ２５０に加えて、デバイス２０５は、１つまたは複数のメモリデバイス２５２、１つまたは複数の入力／出力（「Ｉ／Ｏ」）インターフェース２５４、および／または１つまたは複数のネットワークインターフェースデバイス２５６を含んでよい。１つまたは複数のメモリデバイス２５２またはメモリは、任意の適切なメモリデバイス、例えば、キャッシュ、読出し専用メモリデバイス、ランダムアクセスメモリデバイス、磁気記憶デバイスなどでよい。１つまたは複数のメモリデバイス２５２は、デバイス２０５によって利用されるデータ、実行可能な命令、および／または様々なプログラムモジュール、例えば、データファイル２５８、オペレーティングシステム（「ＯＳ」）２６０、および／または検査アプリケーション２６２もしくは検査モジュールを記憶することができる。データファイル２５８は、例えば、デバイス２０５の動作に関連する情報、１つまたは複数のネットワークおよび／または分散型デバイスに関連する情報、デバイス２０５に関連する１つまたは複数の設定された通信規格に関連する情報、様々なインターフェースおよび／または通信リンクに関連する１つまたは複数のトラフィックプロファイルおよび／またはトラフィックパラメータ、生成されたアラートメッセージに関連する情報、および／またはデバイス２０５によって実行される制御動作に関連するデータを含んでよい。
【００４２】
本発明のいくつかの実施形態では、デバイス２０５は、デバイス２０５の動作を容易にするために実行される任意の数のソフトウェアアプリケーションまたはモジュールを含んでよい。ソフトウェアアプリケーションは、１つまたは複数のプロセッサ２５０によって実行可能なコンピュータ可読命令を含んでよい。コンピュータ可読命令の実行は、デバイス２０５の動作ならびにネットワーク侵入検出を容易にする専用コンピュータを形成することができる。ソフトウェアアプリケーションの一実施例として、デバイス２０５は、デバイス２０５の全体的な動作を制御し、追加のソフトウェアアプリケーションの実行を容易にするＯＳ２６０を任意選択で含んでよい。
【００４３】
さらに、デバイス２０５は、検査アプリケーション２６２または検査モジュールを含んでよい。検査アプリケーション２６２は、デバイス２０５によって受信された通信またはメッセージの識別および処理を容易にするように構成された適切なソフトウェアモジュールでよい。動作中、検査アプリケーション２６２は、デバイス２０５の１つまたは複数のトラフィックプロファイルを構築または生成することができる。例えば、検査アプリケーション２６２は、デバイス通信を容易にする１つまたは複数のネットワークおよび／または通信インターフェースを識別することができる。検査アプリケーション２６２は、次いで、識別されたネットワークおよび／または通信インターフェースごとに１つまたは複数のトラフィックプロファイルを決めることができる。例えば、検査アプリケーション２６２は、ネットワークの１つまたは複数の設定された通信規格および／またはプロトコルを識別することができ、検査アプリケーション２６２は、識別された規格および／またはプロトコルを利用してネットワークのトラフィックプロファイルを生成することができる。所望に応じて、検査アプリケーション２６２は、通信履歴情報をさらに利用して、トラフィックプロファイルを生成することができる。トラフィックプロファイルは、デバイス２０５の１つまたは複数の予想トラフィックパラメータなど、デバイス２０５の予想ネットワークトラフィックに関連する多種多様な情報を含んでよい。予想トラフィックパラメータの例は、予め定められた時間帯（例えば、時間、日など）中に受信された通信数に関連するパラメータ、通信に含まれたデータの量に関連するパラメータ、予め定められた時間帯中に受信されたデータの量に関連するパラメータ、確立された通信セッションの継続時間に関連する１つまたは複数のパラメータ、通信セッション間の継続時間に関連する１つまたは複数のパラメータ、予め定められた時間帯中に通常識別され得る誤りの閾値数に関連するパラメータ、および／または通信が受信された時間（例えば、日時、曜日、月など）に関連するパラメータを含むがそれらに限定されない。トラフィックプロファイルを生成することの代替として、検査アプリケーション２６２は、デバイス２０５上に前に記憶されたトラフィックプロファイルを識別することができる、または検査アプリケーション２６２は、外部ソースからトラフィックプロファイルを取得することができる。例えば、検査アプリケーション２６２は、取外し可能なストレージデバイスからトラフィックプロファイルを取得することができる。他の実施例として、検査アプリケーション２６２は、任意の数の適切なネットワーク通信を介して外部ソース（例えば、管理コントローラ２２５）からトラフィックプロファイルを取得することができる。
【００４４】
１つまたは複数のトラフィックプロファイルが生成および／または取得された後は、検査アプリケーション２６２は、１つまたは複数のトラフィックプロファイルを利用して、デバイス２０５によって受信された通信を分析または評価することができる。例えば、検査アプリケーション２６２は、１つまたは複数の識別された通信に関連するネットワーク、通信インターフェース、または通信リンクを識別することができる。検査アプリケーション２６２は、次いで、識別されたネットワークまたは通信インターフェースに関連するトラフィックプロファイルにアクセスまたはそれを判定することができ、検査アプリケーション２６２は、通信を評価するための１つまたは複数のトラフィックパラメータを識別することができる。検査アプリケーション２６２は、次いで、トラフィックパラメータを利用して１つまたは複数の通信を評価することができる。この評価に少なくとも部分的に基づいて、検査アプリケーション２６２は、１つまたは複数の通信がトラフィックパラメータおよび／またはトラフィックプロファイルを満たしているかどうかを判定することができる。１つまたは複数の通信がトラフィックパラメータを満たしていると判定された場合は、検査アプリケーション２６２は１つまたは複数の通信を承認することができる。しかし、１つまたは複数の通信がトラフィックパラメータを満たしていないと判定された場合は（例えば、予想帯域幅パラメータを超えている、予想通信数を超えているなど）、検査アプリケーション２６２は、１つまたは複数の通信に関連するアラートを生成することができる。いくつかの実施形態では、検査アプリケーション２６２は、さらなる処理のためにアラートメッセージの管理コントローラ２２５への伝達を指令することができる。この点に関して、管理コントローラ２２５は、ネットワーク侵入が発生したかどうかを判定することができ、管理コントローラ２２５は、判定に応答して１つまたは複数の制御動作を指令することができる。例えば、管理コントローラ２２５は、将来の通信を処理するために命令をデバイス２０５に伝達することができる。他の実施形態では、検査アプリケーション２６２は、生成されたアラートに応答して１つまたは複数の制御動作を指令することができる。図１のシステム１００に関連して上記でより詳細に説明されたように、本発明の様々な実施形態において多種多様な制御動作が所望に応じて実行され得る。
【００４５】
実際、検査アプリケーション２６２は、通信を評価し、通信が１つまたは複数のトラフィックプロファイルを満たしているかどうかを判定するために多種多様な異なる動作を実行することができる。前述の動作は、例としてのみ提供されている。検査アプリケーション２６２によって実行され得る動作の他の例が図５を参照しながら以下でさらに詳細に説明される。
【００４６】
続いてデバイス２０５に関連して、１つまたは複数のＩ／Ｏインターフェース２５４が、デバイス２０５と、デバイス２０５とのユーザ対話を容易にする１つまたは複数の入力／出力デバイス、例えば、ディスプレイ、キーパッド、マウス、ポインティングデバイス、制御パネル、タッチスクリーンディスプレイ、マイクロホン、スピーカなどの１つまたは複数のユーザインターフェースデバイスとの間の通信を容易にすることができる。この点に関して、ユーザコマンドがデバイス２０５によって受信され得る。さらに、１つまたは複数のネットワークインターフェースデバイス２５６は、デバイス２０５の、図２に例示されているネットワーク２３０、２３５、２４０などの任意の数の適切なネットワークへの接続を容易にすることができる。この点に関して、デバイス２０５は、システム２００の他の構成要素からデータを受信しかつ／またはそれらにデータを伝達することができる。いくつかの実施形態では所望に応じて、ネットワークインターフェースデバイス２５６は、任意の数の広域ネットワークまたは他のネットワークを介して他のデバイス２１０、２１５、２２０および／または管理コントローラ２２５と通信するように構成された任意の適切な通信インターフェース、ネットワークカード、および／または他のデバイスを含んでよい。例えば、ネットワークインターフェースデバイス２５６は、イーサネット（商標）カード、ネットワークインターフェースカード、セルラトランシーバ、電力線ブロードバンドアダプタ、および／または他のデバイスを含んでよい。
【００４７】
続いて図２を参照すると、管理コントローラ２２５は、図１を参照しながら上記で説明された管理コントローラ１２０と同様でよい。さらに、他のデバイス２１０、２１５、２２０のそれぞれは、デバイス２０５および／または図１を参照しながら上記で説明されたデバイス１０５と同様の構成要素を含んでよい。様々なネットワーク２３０、２３５、２４０は、ローカルエリアネットワーク、広域ネットワーク、ブルートゥース対応ネットワーク、Ｗｉ−Ｆｉ対応ネットワーク、セルラネットワーク、無線周波数ネットワーク、プライベートネットワーク、公衆交換網など、デバイス間の通信を容易にする任意の適切なネットワークを含んでよい。所望に応じて、デバイスは、任意の数のネットワークを介して通信するように構成されてよい。例えば、ユーティリティ制御デバイスは、複数のユーティリティネットワーク（例えば、ＡＭＩネットワーク、フィールドバスネットワークなど）を介して通信するように構成されてよい。デバイスが複数のネットワークを介して通信する場合は、ネットワークごとに異なるトラフィックプロファイルが決められてよい。
【００４８】
所望に応じて、本発明の諸実施形態は、図１および２に例示されている構成要素より多いまたは少ない構成要素を有するシステムを含んでよい。さらに、システム１００、２００のいくつかの構成要素は、本発明の様々な実施形態に結合されてもよい。図１および２のシステム１００、２００は、例としてのみ提供されている。
【００４９】
所望に応じて、本発明の諸実施形態は、公益事業用途、医療用途、および／または工業制御用途などの多種多様な用途で利用されてよい。いくつかの実施形態では、伝達されるメッセージのタイプ、ならびに／またはメッセージの数および／もしくはサイズは、アプリケーションの専門化された特性のために比較的限定され得る。例えば、比較的限定された数のそれぞれ異なるタイプのアプリケーションが、ユーティリティネットワークの様々な構成要素間で伝達され得る。図３は、本発明の様々な実施形態が利用され得る一例示的公益事業用途３００のブロック図である。
【００５０】
図３を参照すると、公益事業用途３００の様々な構成要素は、任意の数の適切なネットワークを介して相互に通信していてよい。例えば、ホームエリアネットワーク（「ＨＡＮ」）デバイスは、ユーティリティプロバイダの様々な顧客に関連するそれぞれのユーティリティメータ３１５と通信していてよい。ユーティリティメータ３１５は、動作サブシステム３２５などの公益事業用途３００の任意の数の他の構成要素との通信を容易にする適切なＡＭＩサブシステム３２０と順に通信していてよい。所望に応じて、ユーティリティメータ３１５は、１つまたは複数のメッシュネットワークを介して相互に通信していてよい。さらに、いくつかのユーティリティメータ３１５（またはメッシュネットワークコントローラ）は、任意の数のＡＭＩネットワークを介してＡＭＩサブシステムと通信していてよい。
【００５１】
続いて図３を参照すると、動作サブシステム３２５はまた、発電所サブシステム３３０、任意の数の分散型エネルギーサブシステム３３５（例えば、光電池サブシステム、風力タービンサブシステムなど）、任意の数のフィールドフォースサブシステム３４０、任意の数の分散型自動化サブシステム３４５、および／または任意の数の変電所自動化サブシステム３５０などの任意の数の他のユーティリティ構成要素と通信していてよい。さらに、動作サブシステム３２５は、企業サブシステム３５５と通信していてよい。動作サブシステム３２５は複数の他のデバイスと通信しているように記載されているが、用途３００の任意の構成要素は、ネットワーク３０５を介して相互に通信していてよい。
【００５２】
本発明の一態様によれば、１つまたは複数のトラフィックプロファイルが、公益事業用途３００に関して説明されたネットワークインターフェースおよび／またはネットワークのタイプごとに設定されるかまたは決められてよい。例えば、ユーティリティメータ３１５は、他のユーティリティメータから受信された通信のトラフィックプロファイル、ＨＡＮデバイスから受信された通信のトラフィックプロファイル、および／またはＡＭＩサブシステム３２０から受信された通信のトラフィックプロファイルを含んでよい。他の実施例として、動作サブシステム３２５は、動作サブシステム３２５と通信している用途３００の様々な構成要素に関連するそれぞれのトラフィックプロファイルを含んでよい。所望に応じて、各デバイスまたはサブシステムは、トラフィックプロファイルを利用して通信を評価または分析することができる。この点に関して、デバイスは、１つまたは複数のトラフィックパラメータが通信によって満たされているかどうかを判定することができ、デバイスは、判定に少なくとも部分的に基づいて潜在的セキュリティリスクおよび／またはネットワーク命令を識別することができる。
【００５３】
図３に例示されている公益事業用途３００は、例としてのみ提供されている。所望に応じて、本発明の諸実施形態は、医療用途および／または工業制御用途など、他のタイプの用途で利用され得る。
【００５４】
図４は、本発明の一例示的実施形態による、ネットワーク侵入検出を容易にするために通信およびトラフィックフローを分析するための例示的方法４００の流れ図である。方法４００は、図１に例示されているシステム１００などの１つまたは複数のネットワークベースのシステムに関連して利用され得る。いくつかの実施形態では、方法４００の動作は、図１に例示されているデバイス１０５および管理コントローラ１２０などの少なくとも１つのデバイスおよび管理コントローラによって実行され得る。
【００５５】
方法４００は、ブロック４０５から開始してよい。ブロック４０５において、図１に例示されている検査アプリケーション１５２などのトラフィックフロー検査アプリケーションがデバイス１０５上にインストールされ得る。いくつかの実施形態では、技術者または他の個人がデバイス１０５上に検査アプリケーション１５２をインストールすることができる。例えば、技術者は、ポータブルメモリデバイスから検査アプリケーション１５２をインストールすることができる。他の実施形態では、検査アプリケーション１５２は、デバイスに、管理コントローラ１２０など別のデバイスまたはシステムから伝達され得る。例えば、検査アプリケーション１５２は、デバイス１０５に伝達され、ソフトウェア更新の一部分としてインストールされ得る。インストールされた後は、検査アプリケーション１５２は、侵入検出目的のための通信の分析を容易にするためにデバイス１０５によって実行され得る。
【００５６】
ブロック４１０において、デバイス１０５に関連する通信インターフェースが識別され得る。例えば、検査アプリケーション１５２は、デバイスに関連するまたはデバイスのために設定されたネットワークインターフェースまたは通信リンクを識別することができる。他の実施例として、デバイスタイプは、デバイス１０５に関する情報（例えば、デバイス識別子、モデル番号など）を利用すること、例えば識別することにより、検査アプリケーション１５２によって識別されることが可能であり、デバイスタイプは、デバイスに関連するネットワークインターフェースまたは通信インターフェースを識別するために利用されることが可能である。この点に関して、検査アプリケーション１５２は、多種多様な異なるタイプのデバイスによって、および／または多種多様な異なるタイプの通信インターフェースと共に利用され得る比較的一般的なアプリケーションでよい。
【００５７】
ブロック４１５において、デバイスのトラフィックプロファイルおよび／または１つまたは複数のトラフィックパラメータが判定または生成され得る。例えば、デバイス１０５および／または通信インターフェースのトラフィックプロファイルが生成され得る。いくつかの実施形態では、デバイス通信および／または通信インターフェースに関連する１つまたは複数の設定された通信規格および／または通信プロトコルが識別または判定され得る。ユーティリティメータの実施例を利用して、様々なユーティリティメータデータフォーマット規格（例えば、国際電気標準化会議（「ＩＥＣ」）６１８５０、ＩＥＣ６２９６８、ジグビープロファイル規格（例えば、スマートエネルギープロファイル１．０、スマートエネルギープロファイル２．０など）、北米エネルギー規格委員会（「ＮＡＥＳＢ」）エネルギーサービスプロバイダインターフェース規格など）が判定され得る。規格および／またはプロトコルは、次いで、デバイス１０５のトラフィックプロファイルおよび／またはトラフィックパラメータを判定または生成するために利用され得る。例えば、規格は、予め定められた時間帯中に受信された通信の数、サイズ、および／またはタイプなど、デバイスの予想通信フローを判定するために利用され得る。所望に応じて、多種多様な他のパラメータおよび／または情報がトラフィックプロファイルを生成するために利用され得る。例えば、ネットワークに関連する情報（例えば、プライバシ設定、セキュリティ設定、所有権情報など）、サービスプロバイダ（例えば、ユーティリティプロバイダ、医療プロバイダなど）、および／またはデバイス１０５と通信している他のデバイスに関連する情報が、比較的正確なトラフィックプロファイルを生成するために利用され得る。他の実施例として、デバイスおよび／または関連するデバイスによって受信された通信に関連する経歴情報が、トラフィックプロファイルを生成および／または修正するために評価され利用され得る。この点に関して、トラフィックプロファイルは、様々なデバイスの設定および／または実施形態に合わせて作成され得る。
【００５８】
トラフィックプロファイルは、デバイスの１つまたは複数の予想トラフィックパラメータなど、デバイス１０５の予想ネットワークトラフィックに関連する多種多様な情報を含んでよい。予想トラフィックパラメータの例は、予め定められた時間帯（例えば、時間、日など）中に受信された通信の数に関連するパラメータ、通信に含まれたデータの量に関連するパラメータ、予め定められた時間帯中に受信されたデータの量に関連するパラメータ、確立された通信セッションの継続時間に関連する１つまたは複数のパラメータ、通信セッション間の継続時間に関連する１つまたは複数のパラメータ、通常予め定められた時間帯中に識別され得る誤りの閾値数に関連するパラメータ、および／または通信が受信された時間に関連するパラメータを含むがそれらに限定されない。
【００５９】
ブロック４２０において、デバイス１０５に関連する次の通信が識別され得る。例えば、デバイス１０５によって別のデバイスから通信ネットワークを介して受信された通信が識別され得る。ブロック４２５において、トラフィックプロファイルおよび／または１つまたは複数のトラフィックパラメータを利用して、通信が評価または分析され得る。多種多様な適切な方法および／または技法が通信を評価するために利用され得る。例えば、通信に関連する情報（例えば、帯域幅、通信タイミング、通信に関連する通信カウントなど）が、帯域幅、通信の数、および／またはタイミングパラメータなどの１つまたは複数のトラフィックパラメータと比較され得る。所望に応じて、予め定められた時間帯中に受信された前の通信の帯域幅および／または通信カウント情報などの前の通信に関連する情報も評価において使用されてよい。
【００６０】
ブロック４３０において、通信がトラフィックパラメータおよび／またはトラフィックプロファイルを満たしているかどうかに関する判定が行われ得る。例えば、通信がデバイス１０５によって受信されると予想される通信である可能性があるかどうかに関する判定が行われ得る。ブロック４３０において、通信がトラフィックプロファイルを満たしていると判定された場合は、通信は承認され、動作は前述のブロック４２０において継続してよい。しかし、ブロック４３０において通信がトラフィックプロファイルを満たしていないと判定された場合は、動作はブロック４３５において継続してよい。
【００６１】
ブロック４３５において、トラフィックプロファイルが満たされていなかったという通信および／または判定に関連するアラートメッセージが生成され得る。アラートメッセージには、デバイス１０５の識別子、通信に関連する情報、満たされていなかった１つまたは複数のトラフィックパラメータに関連する情報、通信の発信元デバイスの識別子、通信を改変した可能性がある１つまたは複数の中間デバイスの識別子、デバイス１０５の位置情報、および／または発信元デバイスおよび／または中間デバイスに関連する位置情報および／またはタイミング情報などの多種多様な情報が含まれ得る。生成された後は、アラートメッセージは、管理コントローラ１２０などの１つまたは複数の受信側への伝達のためにデバイスによって出力され得る。
【００６２】
ブロック４４０において、管理コントローラ１２０は、デバイス１０５によって出力されたアラートメッセージを受信することができる。ブロック４４５において、管理コントローラ１２０は、このアラートメッセージを（および他のデバイスから受信されたいかなるアラートメッセージをも）分析することができる。ブロック４５０において、管理コントローラ１２０は、アラートメッセージの分析に少なくとも部分的に基づいて、いかなる潜在的セキュリティ脅威および／またはネットワーク侵入をも識別することができる。例えば、管理コントローラ１２０は、通信の発信元デバイスまたは、通信をネットワーク内の潜在的セキュリティ脅威としてアラートしたデバイスを識別することができる。いくつかの実施形態では、セキュリティ脅威は、複数のアラートメッセージの受信に基づいて識別され得る。例えば、発信元デバイスと通信している複数のデバイスは、セキュリティ脅威を識別するために処理されるそれぞれのアラートメッセージを生成することができる。潜在的セキュリティ脅威またはネットワーク侵入の識別を容易にするために多種多様な方法および／または技法が利用され得る。
【００６３】
いくつかの実施形態では、潜在的セキュリティ脅威として識別されたデバイスに関連する位置情報を求める１つまたは複数の要求が、アラートメッセージを生成したデバイスなどの１つまたは複数の他のデバイスへの伝達のために管理コントローラ１２０によって出力され得る。デバイス１０５は、位置情報を求める要求を受信することができ、この要求に応答して位置情報が管理コントローラ１２０に伝達され得る。位置情報は、任意の数のデバイスから管理コントローラ１２０によって受信され得る。位置情報を要求することの代替として、位置情報が１つまたは複数のアラートメッセージに含まれ、管理コントローラ１２０によって識別されてもよい。アラートをトリガした１つまたは複数のデバイスの位置（例えば、全地球位置座標、記憶されている位置、街区住所など）、および／またはそれらのデバイスと、セキュリティ脅威を引き起こすデバイスとの間の通信に関連するタイミング情報などの多種多様な位置情報が管理コントローラ１２０によって受信され得る。
【００６４】
所望に応じて、潜在的セキュリティ脅威であるデバイスの場所または位置が、管理コントローラ１２０によって判定、計算、または概算され得る。デバイス位置を判定するために多種多様な適切な技法が利用され得る。一実施例として、位置を判定するために無線三角測量法が利用され得る。例えば、アラートをトリガしたデバイスの位置を、それらのデバイスのうちの１つまたは複数と潜在的セキュリティ脅威であるデバイスとの間のメッセージ応答時間などのタイミング情報と共に利用して、潜在的セキュリティ脅威であるデバイスの推定位置を外挿することができる。この点に関して、ネットワーク内の潜在的セキュリティ脅威の位置が判定され得る。
【００６５】
ブロック４５５において、任意の数の制御動作が管理コントローラ１２０によって判定され指令され得る。制御動作は、侵入またはセキュリティリスクを引き起こしていると識別されたデバイスに関してセキュリティリスクを最小化または低減することを意図する任意の適切な動作でよい。例えば、制御動作は、デバイスに伝達されることによって潜在的に危険にさらされる可能性があるデータを最小化することができる。本発明の様々な実施形態において多種多様な異なる制御動作が所望に応じて利用され得る。例えば、管理コントローラ１２０は、１つまたは複数の他のデバイスに、疑わしい通信に含まれる情報のディープパケットインスペクションおよび／または評価を実行するように指令することができる。他の実施例として、管理コントローラ１２０は、他のデバイスに、セキュリティ脅威を引き起こすデバイスにメッセージを伝達しないように、またはセキュリティ脅威を引き起こすデバイスから受信されたメッセージを処理しないように指令することができる。他の実施例として、管理コントローラ１２０は、ネットワーク内のネットワークトラフィックフローを再ルーティングすることができる。図４に例示されているように、ブロック４６０において、管理コントローラ１２０は、命令（例えば、さらなる通信を処理するための命令）を１つまたは複数の他のデバイスに伝達することができる。ブロック４６５において、命令はデバイス１０５によって受信され処理され得る。制御動作の他の実施例として、管理コントローラ１２０は、侵入デバイスの判定された場所への技術者の派遣を指令することができる。
【００６６】
方法４００は、次のブロック４６５を終了してよい。
【００６７】
図５は、本発明の一例示的実施形態による、ネットワーク侵入検出を容易にするためにネットワークトラフィックを分析するための他の例示的方法５００の流れ図である。方法５００は、図２に例示されているシステム２００などの１つまたは複数のネットワークベースのシステムに関連して利用され得る。いくつかの実施形態では、方法５００の動作は、図２に例示されているデバイス２０５などの少なくとも１つのデバイスによって実行され得る。
【００６８】
方法５００は、ブロック５０５から開始してよい。ブロック５０５において、デバイス２０５に関連する１つまたは複数の通信チャネル、通信リンク、および／またはネットワークインターフェースが識別され得る。例えば、デバイス通信を容易にする１つまたは複数のネットワークが識別されることが可能であり、ネットワークのための１つまたは複数の異なるタイプの通信リンクが識別されることが可能である。一実施例として、デバイスが変電所デバイスである場合は、ユーティリティメータ、ＡＭＩコントローラ、フィールド自動化デバイス、および／または他のタイプのデバイスとの通信を容易にする１つまたは複数の通信インターフェースが識別され得る。
【００６９】
ブロック５１０において、通信リンクおよび／またはインターフェースごとに１つまたは複数のそれぞれのトラフィックプロファイルが決められてよい、または生成されてよい。いくつかの実施形態では、デバイス通信および／または通信インターフェースに関連する１つまたは複数の設定された通信規格および／または通信プロトコルが識別または判定され得る。規格および／またはプロトコルは、次いで、デバイス２０５のトラフィックプロファイルおよび／またはトラフィックパラメータを判定または生成するために利用され得る。例えば、規格は、予め定められた時間帯中に受信される通信の予想数、サイズ、および／またはタイプなど、通信リンクを介してのデバイス２０５の予想通信フローを判定するために利用され得る。所望に応じて、トラフィックプロファイルを生成するために他の多種多様なパラメータおよび／または情報が利用され得る。例えば、ネットワークに関連する情報（例えば、プライバシ設定、セキュリティ設定、所有権情報など）、サービスプロバイダ（例えば、ユーティリティプロバイダ、医療プロバイダなど）、および／またはデバイス１０５と通信している他のデバイスに関連する情報が、比較的正確なトラフィックプロファイルを生成するために利用され得る。他の実施例として、デバイスおよび／または関連するデバイスによって受信された通信に関連する履歴情報が、トラフィックプロファイルを生成および／または修正するために評価され利用され得る。この点に関して、トラフィックプロファイルは、様々なデバイス設定および／または実施形態に合わせて作成され得る。
【００７０】
トラフィックプロファイルは、デバイスの１つまたは複数の予想トラフィックパラメータなど、デバイス２０５の予想ネットワークトラフィックに関連する多種多様な情報を含んでよい。予想トラフィックパラメータの例は、予め定められた時間帯（例えば、時間、日など）中に受信された通信の数に関連するパラメータ、通信に含まれたデータの量に関連するパラメータ、予め定められた時間帯中に受信されたデータの量に関連するパラメータ、確立された通信セッションの継続時間に関連する１つまたは複数のパラメータ、通信セッション間の継続時間に関連する１つまたは複数のパラメータ、予め定められた時間帯中に通常識別され得る誤りの閾値数に関連するパラメータ、および／または通信が受信された時間に関連するパラメータを含むがそれらに限定されない。
【００７１】
ブロック５１５において、デバイス２０５によって受信された１つまたは複数の通信が識別され得る。例えば、任意の数の通信ネットワークまたは通信リンクを介してデバイス２０５によって他のデバイスから受信された１つまたは複数の通信が識別され得る。ブロック５２０において、１つまたは複数の通信を評価または分析するための１つまたは複数のトラフィックパラメータが識別または判定され得る。例えば、通信ごとに通信リンクが識別されることが可能であり、通信リンクのトラフィックプロファイルがアクセスおよび／または識別されることが可能である。次いで、トラフィックプロファイルに関連する１つまたは複数のトラフィックパラメータが、識別された通信リンクを介して受信された通信を評価するためのトラフィックパラメータとして識別され得る。
【００７２】
ブロック５２５において、識別された関係トラフィックプロファイルおよび／またはトラフィックパラメータを利用して１つまたは複数の通信がそれぞれ評価または分析され得る。通信を評価するために多種多様な適切な方法および／または技法が利用され得る。例えば、通信に関連する情報（例えば、通信に関連する帯域幅、通信タイミング、通信カウントなど）が、帯域幅、通信の数、および／またはタイミングパラメータなどの１つまたは複数のトラフィックパラメータと比較され得る。所望に応じて、予め定められた時間帯中に受信された前の通信の帯域幅および／または通信カウント情報など前の通信に関連する情報も評価において利用され得る。
【００７３】
ブロック５３０において、１つまたは複数の通信がトラフィックパラメータおよび／またはトラフィックプロファイルを満たしているかどうかに関する判定が行われ得る。例えば、通信がデバイス２０５によって受信されると予想される通信である可能性があるかどうかに関する判定が行われ得る。ブロック５３０において、通信が関係トラフィックプロファイルを満たしていると判定された場合は、通信は承認されてよく、動作は前述のブロック５１５において継続することができる。しかし、ブロック５３０において、１つまたは複数の通信が関係トラフィックプロファイルを満たすことができなかったと判定された場合は、動作はブロック５３５において継続することができる。
【００７４】
ブロック５３５において、無効コンテンツの識別に基づいて制御動作がデバイス２０５によって指令され得る。いくつかの実施形態では、制御動作は、１つまたは複数の通信がトラフィックプロファイルを満たすことができなかったという識別に関連するアラートメッセージの生成を含んでよい。生成された後は、アラートメッセージは、デバイス２０５によって出力され、管理コントローラなどの１つまたは複数の受信側に伝達され得る。所望に応じて、アラートメッセージは、図４の方法４００に関連して上記で説明されたのと同様のやり方で受信側によって処理され得る。
【００７５】
他の実施形態では、制御動作は、潜在的セキュリティ脅威もしくはネットワーク侵入、および／またはセキュリティ脅威に関連するデバイス（例えば、通信の発信元デバイスなど）の識別を含んでよい。次いで、デバイス２０５は、侵入またはセキュリティリスクを引き起こしていると識別されたデバイスに関してセキュリティリスクを最小化または低減することを意図する任意の適切な動作を行うことができる。例えば、デバイス２０５は、侵入デバイスに伝達されることによって潜在的に危険にさらされる可能性があるデータを最小化するために制御動作を実行することができる。本発明の様々な実施形態において多種多様な異なる制御動作が所望に応じて利用され得る。例えば、デバイス２０５は、１つまたは複数の疑わしい通信に含まれているデータのディープパケットインスペクションを開始することができる。他の実施例として、デバイス２０５は、侵入デバイスから受信された通信の処理を制限または中断することができる。他の実施例として、デバイス２０５は、他のデバイスに、メッセージを侵入デバイスに伝達しないようにまたは侵入デバイスから受信されたメッセージを処理しないように指令することができる。所望に応じて、デバイス２０５は、命令（例えば、さらなる通信を処理するための命令）を１つまたは複数の他のデバイスに伝達することができる。制御動作の他の実施例として、デバイス２０５は、侵入デバイスの判定された場所への技術者の派遣を指令することができる。
【００７６】
方法５００は、次のブロック５３５を終了してよい。
【００７７】
図４〜５の方法４００、５００において説明または示された動作は、本発明の様々な実施形態において所望に応じて任意の適切な順序で実行または実施され得る。さらに、いくつかの実施形態では、動作の少なくとも一部分は、並行して実行されてよい。さらに、いくつかの実施形態では、図４〜５に記載された動作より少ないまたは多い動作が実行されてよい。
【００７８】
本発明は、本発明の例示的実施形態によるシステム、方法、装置、および／またはコンピュータプログラム製品のブロック図および流れ図を参照しながら上記で説明されている。ブロック図および流れ図の１つまたは複数のブロック、ならびにブロック図および流れ図におけるブロックの組合せは、それぞれ、コンピュータ実行可能プログラム命令によって実行され得ることが理解されるであろう。同様に、ブロック図および流れ図のいくつかのブロックは、必ずしも提示された順序で実行される必要があり得るわけでもなく、必ずしも本発明のいくつかの実施形態によって実行される必要があり得るわけでもない。
【００７９】
これらのコンピュータ実行可能プログラム命令は、コンピュータ、プロセッサ、または他のプログラマブルデータ処理装置上で実行する命令が１つまたは複数の流れ図ブロックにおいて指定されている１つまたは複数の機能を実行するための手段を生成するような特定の機械を生産するために、汎用コンピュータ、専用コンピュータ、プロセッサ、または他のプログラマブルデータ処理装置上にロードされ得る。これらのコンピュータプログラム命令はまた、コンピュータまたは他のプログラマブルデータ処理装置に、コンピュータ読取り可能メモリに記憶されている命令が１つまたは複数の流れ図ブロックに指定されている１つまたは複数の機能を実行する命令手段を含む製造物を生産するような特定のやり方で機能するように指令することができるコンピュータ可読メモリに記憶され得る。一実施例として、本発明の諸実施形態は、コンピュータ読取り可能プログラムコードまたはそこに組み込まれたプログラム命令を有するコンピュータ使用可能媒体を備えるコンピュータプログラム製品であって、前記コンピュータ読取り可能プログラムコードは１つまたは複数の流れ図ブロックに指定されている１つまたは複数の機能を実行するように実行されるように適応される、コンピュータプログラム製品を提供することができる。コンピュータプログラム命令はまた、一連の動作可能な要素またはステップが、コンピュータまたは他のプログラマブル装置上で実行する命令が１つまたは複数の流れ図ブロックに指定されている機能を実行するための要素またはステップを提供するようなコンピュータ実施プロセスを生成するためにコンピュータまたは他のプログラマブル装置上で実行されるようにするためにコンピュータまたは他のプログラマブルデータ処理装置上にロードされ得る。
【００８０】
したがって、ブロック図および流れ図のブロックは、指定された機能を実行するための手段の組合せ、指定された機能を実行するための要素またはステップの組合せ、および指定された機能を実行するためのプログラム命令手段をサポートする。さらに、ブロック図および流れ図の各ブロック、ならびにブロック図および流れ図におけるブロックの組合せは、指定された機能、要素もしくはステップ、または専用ハードウェアおよびコンピュータ命令の組合せを実行する専用のハードウェアベースのコンピュータシステムによって実行され得ることも理解されるであろう。
【００８１】
本発明は、現在最も実用的であると考えられるものおよび様々な実施形態に関連して説明されてきたが、本発明は、開示された実施形態に限定されるのではなく、逆に、添付の特許請求の範囲の趣旨および範囲内に含まれる様々な変更形態および同等の構成形態を含むことを意図するものであることが理解されるべきである。
【００８２】
本明細書は、ベストモードを含めて本発明を開示するために、また、当業者であれば誰でも任意のデバイスまたはシステムを作製および使用することならびに任意の組み込まれた方法を実施することを含めて本発明を実行することができるようにするために、実施例を使用する。本発明の特許可能な範囲は特許請求の範囲に定義されており、当業者に思いつかれる他の実施例を含んでよい。そのような他の実施例は、特許請求の範囲の文字言語と異ならない構造要素を有する場合、または特許請求の範囲の文字言語と事実上異ならない同等の構造要素を含む場合は、特許請求の範囲の範囲内にあるものとする。
【符号の説明】
【００８３】
１００  システム
１０５  デバイス
１１０  デバイス（１つまたは複数）
１１５  メッシュデバイス（１つまたは複数）
１２０  管理コントローラ
１２５  ネットワーク（１つまたは複数）
１３０  メッシュネットワーク（１つまたは複数）
１３５  メッシュネットワークコントローラ
１４０  プロセッサ（１つまたは複数）
１４２  メモリデバイス（１つまたは複数）
１４４  Ｉ／Ｏインターフェース（１つまたは複数）
１４６  ネットワークインターフェース（１つまたは複数）
１４８  データファイル
１５０  オペレーティングシステム
１５２  検査アプリケーション
１６０  プロセッサ（１つまたは複数）
１６２  メモリデバイス（１つまたは複数）
１６４  ネットワークインターフェース（１つまたは複数）
１６６  Ｉ／Ｏインターフェース（１つまたは複数）
１６８  データファイル
１７０  オペレーティングシステム
１７２  制御アプリケーション
２００  システム
２０５  デバイス
２１０  デバイス（１つまたは複数）
２１５  デバイス（１つまたは複数）
２２０  デバイス（１つまたは複数）
２２５  管理コントローラ
２３０  ネットワーク（１つまたは複数）
２３５  ネットワーク（１つまたは複数）
２４０  ネットワーク（１つまたは複数）
２５０  プロセッサ（１つまたは複数）
２５２  メモリデバイス（１つまたは複数）
２５４  Ｉ／Ｏインターフェース（１つまたは複数）
２５６  ネットワークインターフェース（１つまたは複数）
２５８  データファイル
２６０  オペレーティングシステム
２６２  検査アプリケーション
３００  公益事業用途
３０５  ネットワーク（１つまたは複数）
３１０  ホームエリアネットワークデバイス（１つまたは複数）
３１５  ユーティリティメータ（１つまたは複数）
３２０  ＡＭＩサブシステム
３２５  動作サブシステム
３３０  発電所サブシステム
３３５  分散型エネルギーサブシステム
３４０  フィールドフォースサブシステム
３４５  分散型自動化サブシステム
３５０  変電所自動化サブシステム
３５５  企業サブシステム
【図１】
2012244628.tif 000003
【図２】
2012244628.tif 000004
【図３】
2012244628.tif 000005
【図４】
2012244628.tif 000006
【図５】
2012244628.tif 000007
【外国語明細書】
2012244628000001.pdf