(57)【要約】【課題】不正な制御プログラムの注入や不正な遠隔操作による異常動作を検知するため、Ｉ／Ｏなどの内部要素について挙動を監視することが可能な制御装置を提供する。【解決手段】制御装置１の異常検知部６は、学習モードにおいて、正常動作状態における複数桁のビットで構成される制御信号データを含む学習用アクセスイベント１１１を入力し、学習用アクセスイベント１１１における各ビット位置の変化頻度を導出して、変化頻度の低い順に上位ビットから並び替えるといる変換ルール６２を作成する。異常検知部６は、診断モードにおいて、新規アクセスイベント１１を入力した場合に、作成された変換ルール６２に用いて制御信号データを変換し、上位ビットである変化頻度の小さいビット位置における変化を検知することにより、新規アクセスイベント１１が所定の正常動作から逸脱したことを検出する。【選択図】図１
2013246531.tif 000002
【特許請求の範囲】
【請求項１】
複数桁のビットで構成される制御信号データを含むアクセスイベントを収集するイベント収集部と、
前記アクセスイベントから前記制御信号データである特徴値を抽出する特徴値抽出部と、
前記抽出した特徴値について各ビット位置の変化頻度を集計する変化頻度集計部と、
前記変化頻度集計部で記録された前記各ビット位置の変化頻度に基づいて、該変化頻度の小さい順に前記各ビットを再配置するための変換ルールを生成する変換ルール生成部と、
前記特徴値抽出部から前記特徴値を受信した場合、前記変換ルールに基づいて該受信した特徴値における各ビットの位置の値を変換する特徴値変換部と、
前記変換後の特徴値と予め設定された値の範囲とを比較し、前記変換後の特徴値が前記範囲から逸脱していた場合に異常である旨を管理端末に告知する判定部とを有して、制御信号の異常を検知する異常検知部を備えて設備を制御する
ことを特徴とする制御装置。
【請求項２】
前記異常検知部は、前記制御装置のＣＰＵとは独立したＣＰＵで処理する
ことを特徴とする請求項１に記載の制御装置。
【請求項３】
前記異常検知部は、前記変換後の特徴値の上位ビットである前記変化頻度の小さいビットの位置における変化を検知することにより、前記アクセスイベントが異常である旨を検出する
ことを特徴とする請求項１に記載の制御装置。
【請求項４】
前記異常検知部は、前記変換後の特徴値の下位ビットである前記変化頻度が、所定の頻度以上であるビットの位置において所定の期間変化しなかった場合、前記アクセスイベントが異常である旨を検出する
ことを特徴とする請求項１に記載の制御装置。
【請求項５】
前記異常検知部は、前記変換ルールを生成するための学習モードと、前記設備の制御プログラムを実行しながら該制御プログラム自身の動作が正常動作範囲に収まっているか否かを診断する診断モードを有する
ことを特徴とする請求項１に記載の制御装置。
【請求項６】
設備を制御する制御装置の異常検知部が、
複数桁のビットで構成される制御信号データを含むアクセスイベントを収集し、前記アクセスイベントから前記制御信号データである特徴値を抽出し、前記抽出した特徴値について各ビット位置の変化頻度を集計し、前記各ビット位置の変化頻度に基づいて、該変化頻度の小さい順に前記各ビットを再配置するための変換ルールを生成したのちに、前記特徴値を受信した場合、前記変換ルールに基づいて該受信した特徴値における各ビットの位置の値を変換し、前記変換後の特徴値と予め設定された値の範囲とを比較し、前記変換後の特徴値が前記範囲から逸脱していた場合に異常である旨を管理端末に告知する
ことを特徴とする制御方法。
【請求項７】
前記異常検知部は、前記制御装置のＣＰＵとは独立したＣＰＵで処理する
ことを特徴とする請求項６に記載の制御方法。
【請求項８】
前記異常検知部は、前記変換後の特徴値の上位ビットである前記変化頻度の小さいビットの位置における変化を検知することにより、前記アクセスイベントが異常である旨を検出する
ことを特徴とする請求項６に記載の制御方法。
【請求項９】
前記異常検知部は、前記変換後の特徴値の下位ビットである前記変化頻度が、所定の頻度以上であるビットの位置において所定の期間変化しなかった場合、前記アクセスイベントが異常である旨を検出する
ことを特徴とする請求項６に記載の制御装置。
【請求項１０】
前記異常検知部は、前記変換ルールを生成するための学習モードと、前記設備の制御プログラムを実行しながら該制御プログラム自身の動作が正常動作範囲に収まっているか否かを診断する診断モードを有する
ことを特徴とする請求項６に記載の制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、プラント設備などの制御の内部的な挙動を監視し異常動作を検知することができる制御装置および制御方法に関する。
【背景技術】
【０００２】
プラント設備などの制御に用いられる制御システムにおいて、不正な制御プログラムの注入や不正な遠隔操作によって、制御装置がプラントに危険な動作を起こさせるような指令値を出力したり、重要な制御情報を漏洩させたりすることを防止できるよう、制御装置の挙動を監視し、異常を検知した際に適切なアクションをとることが求められている。
【０００３】
しかしながら、これらの制御装置では、制御動作の実行に関する時間的制約や、処理能力上の制約などから、情報処理用の計算機などで用いられているアンチウィルスソフトなどのセキュリティ技術は適用が困難である場合が多い。
【０００４】
特許文献１において、プラントまたは設備の異常を早期に検知する異常検知方法のうち、複数のセンサからデータを取得し、データの時間的な変化に基づいて、データ空間の軌跡を複数のクラスタに分割し、分割したクラスタ群に対して、部分空間法でモデル化し、はずれ値を異常候補として算出する異常検知方法が開示されている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１０−９２３５５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
統計的な解析を利用する異常検知手法を制御装置の挙動監視に適用する場合、制御装置を構成するＣＰＵ（Central Processing Unit）やＩ／Ｏ（Input／Output）などの内部要素を監視対象として、それらの動作に伴って発生する動作イベントの特徴値が、予め設定された正常動作範囲の集合に含まれているかどうかを判定することが必要になる。このとき、監視対象とする内部要素によっては、前記の正常動作範囲の集合を定義することが困難なものもある。
【０００７】
まず、正常動作範囲の定義が容易な場合の例として、化学プラントにおいて、原料の供給速度を決めるバルブの開度をアナログＩ／Ｏと呼ばれるＩ／Ｏを用いて制御するケースを考える。
【０００８】
図２（ａ）に示すように、ＣＰＵから前記アナログＩ／Ｏの設定値レジスタに対して１６ｂｉｔの設定値を書き込むことで、設定値に対応する指令信号（例えば、４ｍＡ〜２０ｍＡの電流信号）がバルブに送られ、バルブの開度が設定される。アナログＩ／Ｏに書き込む設定値とバルブの開度とは一対一で対応し、かつ、前記設定値を増加させると前記バルブの開度がそれに応じて増加（あるいは減少）するという関係が成立している。従って、図２（ｂ）に示すように、プラントが定常状態である場合の該バルブの適正な開度の範囲が例えばプラントの運転条件などから求められるならば、該バルブを制御するアナログＩ／Ｏへの設定値も、１６ｂｉｔで表現されうる０ｘ００００（０）〜０ｘｆｆｆｆ（６５５３５）の全範囲のうちのある連続した範囲内で定義することができる。
【０００９】
これに対し、正常動作範囲の定義が困難な場合の例として、加工機械をディジタルＩ／Ｏと呼ばれるＩ／Ｏで制御するケースを考える。
【００１０】
図３（ａ）に示すように、ディジタルＩ／Ｏは１６個の接点を持ち、加工機械の駆動部が各々の接点に接続されているとする。ＣＰＵから前記設定値レジスタへ１６ｂｉｔの設定値を書き込むことで、そのビットパターンに対応したＯＮ／ＯＦＦ状態が各接点に設定され、各接点に接続された駆動部が作動する。
【００１１】
逆に言うと、このとき、レジスタに書き込む設定値は、接点のＯＮ／ＯＦＦパターンを２進数として読み替えたものであるから、各接点のＯＮ／ＯＦＦを切り替えた場合の設定値の変化量は、図３（ｂ）に示すように前記ビット位置に対応する重みとなる。
【００１２】
すなわち、各接点を時間に沿って順次ＯＮ／ＯＦＦさせていく場合、図３（ｃ）に示すように、設定値の変化は不連続的となり、かつ、設定値の分布も、１６ｂｉｔで表現される０ｘ００００〜０ｘｆｆｆｆの範囲内に散在するような形態となる。また、前述のとおり、設定値は接点の状態を数値に読み替えたものであって、設定値間に大小関係を定義することは無意味であるから、設定値に対してある範囲を設定することで正常動作を定義することは困難である。
【００１３】
前記の例以外にも、レジスタやメモリなどに対するアクセスにおいて、特徴値がある範囲に収まることをもって正常動作を定義することが困難である場合が想定されうる。これらの場合について、先に挙げた先行技術を単に適用して異常検知することは困難である。
【００１４】
本発明は、前記の課題を解決するための発明であって、不正な制御プログラムの侵入や不正な遠隔操作による異常動作を検知するため、制御装置の内部要素について挙動を監視することが可能な制御装置および制御方法を提供することを目的とする。
【課題を解決するための手段】
【００１５】
前記の目的を達成するため、本発明の制御装置は、複数桁のビットで構成される制御信号データを含むアクセスイベントを収集するイベント収集部（例えば、イベント収集・選別部１０）と、アクセスイベントから制御信号データである特徴値を抽出する特徴値抽出部と、抽出した特徴値について各ビット位置の変化頻度を集計する変化頻度集計部と、変化頻度集計部で記録された各ビット位置の変化頻度に基づいて、該変化頻度の小さい順に各ビットを再配置するための変換ルールを生成する変換ルール生成部と、特徴値抽出部から特徴値を受信した場合、変換ルールに基づいて該受信した特徴値における各ビットの位置の値を変換する特徴値変換部と、変換後の特徴値と予め設定された値の範囲とを比較し、変換後の特徴値が範囲から逸脱していた場合に異常である旨を管理端末に告知する判定部（例えば、正常範囲判定部７０）とを有して、制御信号の異常を検知する異常検知部を備えて設備を制御することを特徴とする。
【発明の効果】
【００１６】
本発明によれば、不正な制御プログラムの侵入や不正な遠隔操作による異常動作を検知するため、制御装置の内部要素について挙動を監視することが可能である。
【図面の簡単な説明】
【００１７】
【図１】本発明の実施形態に係る制御装置を示す図である。
【図２】アナログＩ／Ｏにおける設定値と正常動作範囲の関係を示す図である。
【図３】ディジタルＩ／Ｏにおける設定値と正常動作範囲の関係を示す図である。
【図４】変化頻度集計部の構成を示す図である。
【図５】変換ルールの概念を示す図である。
【図６】変換ルールの構成を示す図である。
【図７】特徴値変換部の構成を示す図である。
【図８】変換ルールの効果を示す図である。
【発明を実施するための形態】
【００１８】
以下、本発明の実施形態について図面を参照して詳細に説明する。
＜各部の構成と機能＞
図１は、本発明の実施形態に係る制御装置を示す図であり、図１（ａ）は制御装置の全体構成を示す図であり、図１（ｂ）は異常検知部の機能構成を示す図である。制御装置１は、制御プログラムおよび制御プログラムの実行に必要な各種情報（いずれも不図示）を格納するメモリ２と、制御プログラムを実行するＣＰＵ３と、プラント設備７に対する制御信号の入出力を実行するＩ／Ｏ４と、メモリ２、ＣＰＵ３およびＩ／Ｏ４を相互に接続するシステムバス５と、メモリ２、ＣＰＵ３およびＩ／Ｏ４に対するアクセス動作の異常を検知する異常検知部６とを具備する。
【００１９】
異常検知部６は、異常検知部６のプログラムを格納するメモリ６Ｍと、メモリ６Ｍ内のプログラムを実行するＣＰＵ６Ｃと、異常検知部６のインタフェース６Ｉとを具備する。メモリ６Ｍ、ＣＰＵ６Ｃおよびインタフェース６Ｉは、バス６Ｂで接続されている。メモリ６Ｍには、図１（ｂ）に示すイベント収集・選別部１０と、属性識別部２０と、特徴値抽出部３０と、変化頻度集計部４０と、変換ルール生成部５０と、特徴値変換部６０と、正常範囲判定部７０のプログラム、および変換ルールセット６１である情報とが記憶されている。
【００２０】
本実施形態で対象とする制御システムの例としては、プラント設備の制御システム以外にも、鉄道制御システムや電力制御システムなどがある。鉄道や電力などの社会インフラを支えるシステムは、停止することができない、高信頼性を要求されるシステムである。また、永年に渡る機能拡張により新旧の装置群が混在しており、老朽化した装置ではハードウェア、ソフトウェアとも古いアーキテクチャであり、性能上の余力がない状態で動作しているものもある。このため、制御装置１の本来のＣＰＵ３とは別にＣＰＵ６Ｃを用い、既存の制御装置１に負担をかけずに、異常検知部６を動作させることが好ましい。
【００２１】
以下、図１（ｂ）に示す各部の機能と構成、各部間のデータの流れについて説明する。
イベント収集・選別部１０は、ＣＰＵ３からＩ／Ｏ４に対するアクセスイベント１１を収集する。アクセスイベント１１は、アクセス先アドレスへのアクセスを指示するイベントである。アクセスイベント１１は、ＣＰＵ３からＩ／Ｏ４に対するアクセス動作において授受する一連の信号群であり、少なくとも、Ｉ／Ｏ４のアクセス先アドレス、読み出し／書き込みの種別、書き込まれるデータあるいは読みだされたデータを含む。アクセスイベント１１の収集方法として、図３に記載のようにＩ／Ｏ４から直接取得しても、ＣＰＵ３からシステムバス５上へ送出されるものをモニタリングして取得してもよい。
【００２２】
取得したアクセスイベント１１からは、属性識別部２０によってアクセス属性情報２１が抽出される。アクセス属性情報２１には、例えば、アクセスイベント１１におけるアクセス先アドレスと、読み出し／書き込みの種別を含むものとする。イベント収集・選別部１０は、アクセス属性情報２１に基づいて取得したアクセスイベント１１の採否を判定し、採用する場合のみ後段の特徴値抽出部３０に送出する。具体的には、例えば、ＣＰＵ３からＩ／Ｏ４への読み出しアクセス（すなわち、プラント設備からの入力）イベントについては、制御装置１の正常動作という観点からは影響が小さいとして採用しないという判定を下す。また、この判定基準は、アクセスイベント１１の発生頻度と異常検知部６の処理能力との見合いで決定してもよい。
【００２３】
特徴値抽出部３０は、アクセスイベント１１から特徴値３１を抽出する。特徴値３１は、例えばＣＰＵ３からＩ／Ｏ４への書き込みアクセス（すなわち、プラント設備への出力）イベントにおける書き込みデータを指すというようにして予め定義される。
【００２４】
変化頻度集計部４０は、取得された特徴値３１について、前回取得された特徴値との排他的論理和によってビット位置ごとの差分をとり、特徴値３１と前回特徴値で変化があったビット位置を特定する。図４を参照して、具体的に説明する。
【００２５】
図４は、変化頻度集計部の構成を示す図である。変化頻度集計部４０は、取得された特徴値３１について、前回取得された特徴値４０１との排他的論理和（図中の丸囲みされた＋記号）によってビット位置ごとの差分をとり、特徴値３１と前回取得された特徴値４０１で変化があったビット位置を特定する。なお、図中の“Ｄ”は、次回の特徴値が取得されるまで出力を遅らせる（Ｄｅｌａｙ）ことを意味する。変化度数計数部４０２は入力される特徴値のビット数と同数のカウンタで構成されており、前記手順において、特徴値間で変化のあったビット位置に対応するカウンタの値を１つ加算する。以上の構成により、特徴値３１における各ビット位置の変化度数４１が記録される。
【００２６】
図１に戻り、変換ルール生成部５０は、変化度数計数部４０２（図４参照）に記録された各ビット位置の変化度数４１を参照し、変化度数の少ない順にビットが再配置されるよう変換ルール６２を生成する。具体的には、図５を参照して説明する。
【００２７】
図５は、変換ルールの概念を示す図である。図５に例示するように、１６ビットの大きさを持つ特徴値３１において、ｂｉｔ１５の変化度数が１００回、ｂｉｔ１１の変化度数が５回、他のビットの変化度数がすべて２０回であった場合、ｂｉｔ１５が変換後の特徴値におけるｂｉｔ０、ｂｉｔ１１が同じくｂｉｔ１５、他のビットがそれぞれｂｉｔ１４からｂｉｔ１までに再配置されるような変換ルール６２（図６参照）が生成される。
【００２８】
なお、特徴値の変化度数の等しいビット位置が複数ある場合、それらのビットを再配置後のビット位置においてどのような上下関係とするかは別途設定したルールに従って決めてよい。生成された変換ルールには、入力された特徴値３１に対応するアクセス属性情報２１（図１（ｂ）参照）、特にアクセス先アドレスの情報を付加して変換ルールセット６１に蓄積する。以上例示した変換ルール６２の内容を図６に示す。
【００２９】
図６は、変換ルールの構成を示す図である。変換ルール６２には、アクセス先アドレス、変換前ビット位置、変換後ビット位置を含んで構成される。アクセス先アドレスには、アクセス属性情報２１が格納される。変換前ビット位置および変換後ビット位置は、例えば、変換前ビット位置が１５の場合、変換後ビット位置が０となり、変換前ビット位置が１４の場合、変換後ビット位置が１４となる。同様に、変換前ビット位置が０の場合、変換後ビット位置が１となる。なお、図６に示す例は一例であるが、変換ルール６２は、アクセス先アドレスによって、各ビットの使われ方は頻度が異なるため、アクセス先アドレス毎に定義される。
【００３０】
図１に戻り、抽出された特徴値３１は、特徴値変換部６０において、変換ルール６２に従って特徴値が変換される。特徴値変換部６０の構成を図７に示す。
【００３１】
図７は、特徴値変換部の構成を示す図である。特徴値変換部６０の入力バッファ６０１が特徴値３１を受け、ビット単位に分解してビット配列変換部６０２に入力する。ビット配列変換部６０２は、変換ルール６２に従い、入力された特徴値における各ビット位置の値を別のビット位置に並べ替える。前記動作は、例えばクロスバースイッチのような回路で構成することも、ソフトウェアによって構成することもできる。並べ替えられた各ビットは、出力バッファ６０３に入力されて再びまとめられ、変換後の特徴値６３として出力される。特徴値変換部６０に動作により、元の特徴値３１に、変化頻度の大きいビットを下位ビットに、変化頻度の小さいビットを上位ビットに配置する変換ルール６２が適用される。
【００３２】
図８は、変換ルールの効果を示す図である。図８（ａ）は、変換ルールの特徴を示す図であり、図８（ｂ）は、変換前の特徴値３１の時系列データ例、図８（ｃ）は、変換後の特徴値６３の時系列データ例である。
【００３３】
図８（ａ）は、既に説明したように、変換ルール６２（図６参照）によって、特徴値３１を特徴値６３に変換することを示す。変換ルール６２（図１参照）は、アクセス先アドレスによって、各ビットの使われ方の頻度が異なるため、アクセス先アドレス毎に定義されている。すなわち、図８（ａ）に示す下位ビットは、変化に対する重みが小さくなり、上位ビットは、変化に対する重みが大きくなる。
【００３４】
本実施形態では、変換ルール６２を用いることにより、図８（ｃ）に示すように、変化頻度の大きな成分による変動幅を圧縮し、特徴値３１の分布を狭い範囲に限定して正常動作範囲の定義を容易にする効果がある。
【００３５】
ここで、特徴値３１の各ビット位置における変化頻度はそれ自体が正常動作範囲を構成するものではなく、あくまでも各ビット位置における値の変化と正常動作範囲からの逸脱との関連をどの程度大きく評価するかを規定するためのものである。
【００３６】
本実施形態では、ディジタルＩ／Ｏの特徴値である各ビットを、変化頻度の小さい順に上位ビットから並べ替えるという変換ルールで、特徴値のデータを変換している。すなわち、変換頻度の大きいビットは、値が不正に書き換えられてもプラントに対する影響が少ないことを考慮したためである。
【００３７】
図１に戻り、正常範囲判定部７０は、変換後の特徴値６３と、予め設定された正常範囲の上限および／または下限の閾値とを比較し、変換後の特徴値６３が前記閾値から逸脱していた場合にアラーム７１を発生させる。
【００３８】
＜全体の動作＞
次に、異常検知部６の動作について図１を参照して説明する。
本実施形態の異常検知部６は、正常動作の範囲を予め設定するための学習モード（変換ルールを生成）と、実際に制御プログラムを実行しながら、自身の動作が正常動作範囲に収まっているかどうかを診断する診断モードという２つの動作モードを具備する。制御装置１をこれらのモードのどちらで動作させるかは、制御装置１の本体に備えたスイッチなどで設定してもよいし、外部の管理端末などから電気信号あるいは通信を用いて設定してもよい。
【００３９】
学習モードでは、イベント収集・選別部１０に、正常動作状態におけるアクセスイベント１１を順次読み込ませる。イベント収集・選別部１０は、前記アクセスイベント１１として、予め制御装置１が正常動作することが確認されている環境下で制御プログラムを実際に動作させ、ＣＰＵ３からＩ／Ｏ４へ送出されるアクセスイベント１１を収集してもよく、また、破線の矢印で示す、外部で生成した学習用アクセスイベント１１１を読み込んでもよい。
【００４０】
読み込まれたアクセスイベント１１は特徴値抽出部３０に入力され、抽出された特徴値３１は変化頻度集計部４０に入力されるように制御される。図４で説明したように、変化頻度集計部４０においてアクセスイベント１１の各ビット位置の変化度数４１（各ビット位置の変化頻度）が計数され、それらに基づいて特徴値変換部６０で用いられる変換ルール６２が変換ルール生成部５０によって生成される。
【００４１】
変換ルールセット６１に所定のパターン数の変換ルール６２が蓄積されたら、アクセスイベント１１の読み込みを終了させ、診断モードに移行する。診断モードでは、制御装置１を実際の運用環境におき、実際の制御プログラムを実行させる。イベント収集・選別部１０は、ＣＰＵ３からＩ／Ｏ４へ送出されるアクセスイベント１１を用いるように制御される。
【００４２】
特徴値抽出部３０から出力された特徴値３１は、特徴値変換部６０へ入力されるように制御される。特徴値変換部６０では、学習モードにおいて蓄積された変換ルール６２に従って特徴値３１を変換し、変換後の特徴値６３を得て、正常範囲判定部７０において正常動作範囲からの逸脱を検出する。
【００４３】
以上説明した構成および動作により、学習用アクセスイベント１１１の特徴値において変化頻度が小さいビットは変換ルール６２によって上位ビットに配置されるため、該ビット位置におけるアクセスイベント１１の変化が変換済み特徴値における大きな値の変化として現われる。その結果、正常範囲判定部７０において所定の閾値を逸脱した場合に制御装置１の異常動作として検出され、アラーム７１が生成され、例えば管理端末に告知する。
【００４４】
本実施形態の制御装置１の異常検知部６は、学習モードにおいて、正常動作状態における複数桁のビットで構成される制御信号データを含む学習用アクセスイベント１１１を入力し、学習用アクセスイベント１１１における各ビット位置の変化頻度を導出して、変化頻度の低い順に上位ビットから並び替えるという変換ルール６２を作成する。異常検知部６は、診断モードにおいて、新規アクセスイベント１１を入力した場合に、作成された変換ルール６２に用いて制御信号データを変換し、上位ビットである変化頻度の小さいビット位置における変化を検知することにより、新規アクセスイベント１１が所定の正常動作から逸脱したことを検出することができる。
【００４５】
すなわち、学習用データとして入力した正常動作状態のアクセスイベント１１において変化頻度の小さいビット位置は、アクセスイベント１１が該ビット位置で変化した際にプラント設備に対する影響度が大きいものとみなされ、本番稼動状態で入力された新規アクセスイベント１１が正常動作から逸脱したかどうかを判定する際に該ビット位置における変化が大きく評価される。これにより、アクセスイベント１１の正常動作が単純な特徴値の範囲で定義できない場合でも制御装置１の異常動作を容易に検知可能となる。
【００４６】
また、制御装置１の異常検知部６は、変換後の特徴値６３の上位ビットである変化頻度の小さいビットの位置における変化を検知することにより、新規アクセスイベント１１が異常である旨を検出することができる。
【００４７】
また、制御装置１の異常検知部６は、変換後の特徴値６３の下位ビットである前記変化頻度が、所定の頻度以上であるビットの位置において所定の期間変化しなかった場合、前記アクセスイベント１１が異常である旨を検出することができる。
【００４８】
すなわち、正常動作状態のアクセスイベント１１において常時変化すべきビット位置を特定し、本番稼動状態で入力された新規アクセスイベント１１において該ビット位置における変化が停止したかどうかも考慮して正常動作からの逸脱判定が行われる。これにより、制御装置１において常時変化すべき内部要素が停止する異常モードを容易に検知可能となる。
【００４９】
なお、本発明は前記した実施形態に限定されるものではなく、様々な変形例が含まれる。例えば、前記した実施形態は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。
【符号の説明】
【００５０】
１    制御装置
２    メモリ
３    ＣＰＵ
４    Ｉ／Ｏ
５    システムバス
６    異常検知部
６Ｃ    ＣＰＵ
６Ｍ    メモリ
６Ｉ    インタフェース
１０    イベント収集・選別部（イベント収集部）
１１    アクセスイベント
２０    属性識別部
２１    アクセス属性情報
３０    特徴値抽出部
３１    特徴値
４０    変化頻度集計部
４１    各ビット位置の変化度数（各ビット位置の変化頻度）
５０    変換ルール生成部
６０    特徴値変換部
６１    変換ルールセット
６２    変換ルール
７０    正常範囲判定部（判定部）
７１    アラーム
１１１    学習用アクセスイベント
【図１】
2013246531.tif 000003
【図２】
2013246531.tif 000004
【図３】
2013246531.tif 000005
【図４】
2013246531.tif 000006
【図５】
2013246531.tif 000007
【図６】
2013246531.tif 000008
【図７】
2013246531.tif 000009
【図８】
2013246531.tif 000010