(57)【要約】      （修正有）【課題】サーバ装置における検査処理の負担を低減する。【解決手段】計算機システム１は、データセンタ２と、ゲートウェイ装置と、当該ゲートウェイ装置に接続されている複数の機器と含む。ゲートウェイ装置は、機器情報に基づいて算出される機器の正常値の範囲を、複数の機器について保持し、或る機器に関する機器情報が当該機器の正常値の範囲に含まれていない場合、当該機器について異常を検知した旨をサーバ装置へ通知する。データセンタは、ゲートウェイ装置から異常を検知した旨の通知を受領した場合、当該異常が検知された機器に関する機器情報を検査する。【選択図】図１
2017163179.tif 000002
【特許請求の範囲】
【請求項１】
サーバ装置と、ゲートウェイ装置と、当該ゲートウェイ装置に接続されている複数の機器と含み、
前記ゲートウェイ装置は、
機器に関する情報である機器情報に基づいて算出される機器の正常値の範囲を、複数の機器について保持し、
或る機器に関する機器情報が当該機器の正常値の範囲に含まれていない場合、当該機器について異常を検知した旨を前記サーバ装置へ通知し、
前記サーバ装置は、
前記ゲートウェイ装置から異常を検知した旨の通知を受領した場合、当該異常が検知された機器に関する機器情報を検査する
計算機システム。
【請求項２】
機器情報は、機器から外部の装置に送信される第１の機器情報、外部の装置から機器に送信される第２の機器情報、又は、機器から前記ゲートウェイ装置に送信される第３の機器情報の何れかである
請求項１に記載の計算機システム。
【請求項３】
前記サーバ装置は、前記ゲートウェイ装置から異常を検知した旨の通知を受領した場合、正常時の運用状態から異常時の運用状態に移行し、
前記サーバ装置は、
前記異常時の運用状態の場合、前記第１及び第２の機器情報を検査し、
前記正常時の運用状態の場合、前記第１及び第２の機器情報を検査しない
請求項２に記載の計算機システム。
【請求項４】
前記ゲートウェイ装置は、機器の正常値の範囲を学習する学習状態の場合、前記第３の機器情報を前記サーバ装置へ送信し、
前記サーバ装置は、学習状態の場合、
前記第１、第２及び第３の機器情報の内の少なくとも１つに基づいて、各機器の正常値の範囲を算出し、
その算出した各機器の正常値の範囲を、前記ゲートウェイ装置へ送信する
請求項２に記載の計算機システム。
【請求項５】
前記サーバ装置及び前記ゲートウェイ装置は、
前記ゲートウェイ装置に新規機器が接続された場合に、学習状態に移行する
請求項４に記載の計算機システム。
【請求項６】
前記サーバ装置及び前記ゲートウェイ装置は、
前記ゲートウェイ装置に時間が経過すると正常値の範囲が変化する機器が接続されている場合、所定のタイミングで学習状態に移行する
請求項４に記載の計算機システム。
【請求項７】
前記時間が経過すると正常値の範囲が変化する機器とは、季節の変化に応じて正常値の範囲が変化する機器である
請求項６に記載の計算機システム。
【請求項８】
前記時間が経過すると正常値の範囲が変化する機器とは、経年劣化によって正常値の範囲が変化する機器である
請求項６に記載の計算機システム。
【請求項９】
前記サーバ装置は、前記異常を検知された機器に対する機器情報の検査において、前記ゲートウェイ装置における異常の検知が誤検知であるか否かを判定する
請求項１に記載の計算機システム。
【請求項１０】
複数の機器が接続されているゲートウェイ装置であって、プロセッサと記憶デバイスとを有し、
前記記憶デバイスは、機器に関連する情報である機器情報に基づいて算出される機器の正常値の範囲を、複数の機器について保持し、
前記プロセッサは、或る機器に関する機器情報が当該機器の正常値の範囲に含まれていない場合、当該機器について異常を検知した旨を所定のサーバ装置へ通知し、当該サーバ装置に当該異常が検知された機器に関する機器情報を検査させる
ゲートウェイ装置。
【請求項１１】
複数の機器が接続されているゲートウェイ装置と通信可能なサーバ装置であって、プロセッサと記憶デバイスとを有し、
前記プロセッサは、
前記ゲートウェイ装置から異常を検知した旨の通知を受領した場合、当該異常が検知された機器に関する機器情報を前記記憶デバイスに格納し、
前記記憶デバイスに格納した機器情報を検査し、前記ゲートウェイ装置における異常の検知が誤検知であるか否かを判定する
サーバ装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、データ転送を伴う計算機に関する。
【背景技術】
【０００２】
ＩｏＴ（Ｉｎｔｅｒｎｅｔ  ｏｆ  Ｔｈｉｎｇｓ）では、センサなどで測定された多種多量のデータを、ネットワークを通じて収集し、その収集したデータを様々な企業で利用することが検討されている。このとき、安全且つ効率的にデータを収集及び利用できることが重要である。
【０００３】
特許文献１には、各接続点における不正アクセスを検知し警報情報を通知するシステムと、通知された警報情報を記憶する手段と、各接続点における通信内容から当該ネットワークのアクセス状況を抽出するモニタと、抽出したアクセス状況を記憶する手段とを有する、外部ネットワークとの複数の接続点を持つ広域ネットワークを不正アクセスから防護するシステムが開示されている。
【０００４】
特許文献２には、パケットが侵入を示すルールの組に適合するか否かを確かめるためにパケットを解析するプロセッサと、パケットが組の中の少なくとも１つのルールに適合する場合、侵入を示す警告を格納するデータベース部とを含む、データがパケットによって送信されるＦＡＮ（Ｆｉｅｌｄ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）における侵入検出のシステムが開示されている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００４−８６８８０号公報
【特許文献２】特表２０１５−５１３８２８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
特許文献１は、セキュリティ対策装置をエンドポイント側に導入することを前提としているため、エンドポイント側のコスト増が大きい。
【０００７】
特許文献２は、サーバ側でセキュリティ対策を行うために、エンドポイント側で収集したプローブ情報をそのままサーバへ送信する。これは、サーバに対するデータの転送量が多く、サーバ側における検査処理の負担も大きい。
【０００８】
本発明の目的は、サーバ側における検査処理の負担を低減し、システム全体のスケーラビリティを確保することにある。
【課題を解決するための手段】
【０００９】
一実施形態に係る計算機システムは、サーバ装置と、ゲートウェイ装置と、当該ゲートウェイ装置に接続されている複数の機器と含む。ゲートウェイ装置は、機器に関する情報である機器情報に基づいて算出される機器の正常値の範囲を、複数の機器について保持し、或る機器に関する機器情報が当該機器の正常値の範囲に含まれていない場合、当該機器について異常を検知した旨をサーバ装置へ通知する。サーバ装置は、ゲートウェイ装置から異常を検知した旨の通知を受領した場合、当該異常が検知された機器に関する機器情報を検査する。
【発明の効果】
【００１０】
サーバ側における検査処理の負担を低減し、システム全体のスケーラビリティを確保することができる。
【図面の簡単な説明】
【００１１】
【図１】本実施形態に係る計算機システムの構成例。
【図２】データセンタに含まれる各サーバのハードウェア構成例。
【図３】ゲートウェイ装置のハードウェアの構成例。
【図４】ゲートウェイ装置の有する機能の例。
【図５】機器情報管理テーブルの例。
【図６】正常値設定情報の例。
【図７】正常値管理テーブルの例。
【図８】ゲートウェイ装置の状態遷移の例。
【図９】運用管理サーバの状態遷移の例。
【図１０】ゲートウェイ装置に新規機器が接続される場合の動作例を示すシーケンスチャート。
【図１１】再学習が必要な場合の動作例を示すシーケンスチャート。
【図１２】学習状態における計算機システム全体の動作例を示すシーケンスチャート。
【図１３】正常時の運用状態における計算機システムの動作例を示すシーケンスチャート。
【図１４】異常時の運用状態における計算機システムの動作例を示すシーケンスチャート。
【図１５】学習状態における運用管理サーバの動作例を示すフローチャート。
【図１６】学習状態における挙動学習サーバの動作例を示すフローチャート。
【図１７】学習状態におけるゲートウェイ装置の動作例を示すフローチャート。
【図１８】正常時の運用状態におけるゲートウェイ装置の動作例を示すフローチャート。
【図１９】異常時の運用状態におけるゲートウェイ装置の動作例を示すフローチャート。
【図２０】回線収容サーバの動作例を示すフローチャート。
【図２１】異常時の運用状態における運用管理サーバの動作例を示すフローチャート。
【発明を実施するための形態】
【００１２】
以下、一実施例を説明する。
【００１３】
以下の説明では、「ｘｘｘテーブル」の表現にて情報を説明することがあるが、情報は、どのようなデータ構造で表現されていてもよい。すなわち、情報がデータ構造に依存しないことを示すために、「ｘｘｘテーブル」、「ｘｘｘキュー」又は「ｘｘｘリスト」を「ｘｘｘ情報」と呼ぶことができる。
【００１４】
さらに、各情報の内容を説明する際に、「識別情報」、「識別子」、「名」、「名前」、「ＩＤ」という表現を用いるが、これらについてはお互いに置換が可能である。
【００１５】
また、以下の説明では、「プログラム」を主語として処理を説明する場合があるが、プログラムは、プロセッサ（例えばＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ））によって実行されることで、定められた処理を、適宜に記憶資源（例えばメモリ）及び通信インターフェイスデバイスのうちの少なくとも１つを用いながら行うため、処理の主語が、プロセッサ、そのプロセッサを有する装置とされてもよい。プロセッサが行う処理の一部又は全部が、ハードウェア回路で行われてもよい。コンピュータプログラムは、プログラムソースからインストールされてよい。プログラムソースは、プログラム配布サーバ又は記憶メディア（例えば可搬型の記憶メディア）であってもよい。
【００１６】
また、以下の説明では、計算機システムに含まれる少なくとも１つの装置を管理する１以上の計算機の集合を「管理システム」と呼ぶことがある。管理計算機が表示用情報を表示する場合は管理計算機が管理システムでよい。また、管理計算機と表示用計算機の組み合わせも管理システムでよい。また、管理処理の高速化や高信頼化のために複数の計算機で管理計算機と同等の処理を実現してもよく、この場合はそれら複数の計算機（表示を表示用計算機が行う場合は表示用計算機も含んでよい）が管理システムでよい。本実施例では、管理計算機が管理システムである。また、管理計算機が情報を表示するとは、管理計算機が有する表示デバイスに情報を表示することであってもよいし、管理計算機（例えばサーバ）に接続された表示用計算機（例えばクライアント）に表示用情報を送信することであってもよい。後者の場合、表示用計算機が有する表示デバイスに表示用情報が表す情報が表示用計算機によって表示される。
【００１７】
図１は、本実施形態に係る計算機システム１の構成例を示す。計算機システム１は、データセンタ２、外部サービスサーバ６、ゲートウェイ装置４、機器８を含む。
【００１８】
データセンタ２と各外部サービスサーバ６とは、所定のネットワークＮ３を介して双方向通信可能に接続されている。当該ネットワークＮ３は、ＬＡＮ、ＷＡＮ又はそれらの組み合わせなどであってよい。当該ネットワークＮ３は、外部網と呼ばれてよい。
【００１９】
データセンタ２と各ゲートウェイ装置４とは、所定のネットワークＮ２を介して双方向通信可能に接続されている。当該ネットワークＮ２は、ＩＰパケットを伝送するＬＡＮ、ＷＡＮ又はそれらの組み合わせなどであってよい。当該ネットワークＮ２は、ＩＰ網と呼ばれてよい。データセンタ２とゲートウェイ装置４とは、それらの間に構築したセキュアトンネルＮ４を通じてデータを送受信してよい。
【００２０】
ゲートウェイ装置４と各機器８とは、所定のネットワークＮ１を介して双方向通信可能に接続されている。当該ネットワークＮ１は、ＦＡＮ（Ｆｉｅｌｄ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）と呼ばれてよい。
【００２１】
機器８の例は、センサノード、制御機器、スイッチなどである。センサノードの例は、温度センサ、湿度センサ、気圧センサなどである。制御機器の例は、温度制御機器、圧力制御機器、ロボット制御機器などである。スイッチの例は、レイヤ２スイッチ、制御ネットワークスイッチ、近距離無線中継スイッチなどである。
【００２２】
データセンタ２は、運用管理サーバ１２、認証サーバ１４、挙動学習サーバ１６、検査サーバ１８、回線収容サーバ２０、外部接続サーバ２２を含んで良い。各サーバ１２、１４、１６、１８、２０、２２は、データセンタ２内で、ネットワークによって接続されてよい。
【００２３】
運用管理サーバ１２は、ゲートウェイ装置４及び機器８を運用及び管理するためのサーバである。
【００２４】
認証サーバ１４は、ゲートウェイ装置４及び機器８を認証するためのサーバである。
【００２５】
挙動学習サーバ１６は、各機器８の正常時の挙動（正常値の平均や範囲など）を学習及び算出するためのサーバである。
【００２６】
検査サーバ１８は、ゲートウェイ装置４や機器８、外部サービスサーバ６などから受信するデータに問題の有るデータが含まれていないことを検査するためのサーバである。問題の有るデータとは、例えば、不正値を含むデータ、セキュリティ的に安全でないデータ、不明なデータなどである。
【００２７】
回線収容サーバ２０は、各ゲートウェイ装置４からのセキュアトンネルＮ４をデータセンタ２が回収するためのサーバである。外部接続サーバ２２は、データセンタ２を外部網Ｎ３に接続するためのサーバである。外部接続サーバ２２は、ファイアウォールの機能を有してもよい。
【００２８】
図２は、データセンタ２に含まれる各サーバ１２、１４、１６、１８、２０、２２のハードウェア構成例を示す。
【００２９】
サーバは、ＣＰＵ、メモリ、ストレージ、及び、ネットワークＩ／Ｆを備える。これらは、双方向通信可能な内部バスで接続されている。
【００３０】
メモリは、サーバの有する各種機能を実現するためのプログラム及びデータを格納する。メモリの例は、ＤＲＡＭ（Ｄｙｎａｍｉｃ  Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）、ＭＲＡＭ（Ｍａｇｎｅｔｏｒｅｓｉｓｔｉｖｅ  Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）、ＦｅＲＡＭ（Ｆｅｒｒｏｅｌｅｃｔｒｉｃ  Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）等である。
【００３１】
ＣＰＵは、メモリからプログラム及びデータを読み出して処理することにより、サーバの有する各種機能を実現する。ストレージは、サーバの有する各種機能を実現するためのプログラム及びデータを格納する。ストレージの例は、ＨＤＤ（Ｈａｒｄ  Ｄｉｓｋ  Ｄｒｉｖｅ）、ＳＳＤ（Ｓｏｌｉｄ  Ｓｔａｔｅ  Ｄｒｉｖｅ）等である。
【００３２】
ネットワークＩ／Ｆは、サーバをネットワークに接続し、他の装置との間でデータを送受信するためのＩ／Ｆである。ネットワークＩ／Ｆの例は、Ｅｔｈｅｒｎｅｔ（登録商標）アダプタ、ファイバーチャネルアダプタなどである。
【００３３】
図３は、ゲートウェイ装置４のハードウェアの構成例を示す。
【００３４】
ゲートウェイ装置４は、ＣＰＵ、メモリ、ストレージ、及び、ネットワークＩ／Ｆを備える。これらは、双方向通信可能な内部バスで接続されている。
【００３５】
メモリは、ゲートウェイ装置４の有する各種機能を実現するためのプログラム及びデータを格納する。メモリの例は、ＤＲＡＭ、ＭＲＡＭ、ＦｅＲＡＭ等である。
【００３６】
ＣＰＵは、メモリからプログラム及びデータを読み出して処理することにより、ゲートウェイ装置４の有する各種機能（図４参照）を実現する。
【００３７】
ストレージは、ゲートウェイ装置４の有する各種機能を実現するためのプログラム及びデータを格納する。ストレージの例は、ＨＤＤ、ＳＳＤ等である。
【００３８】
ネットワークＩ／Ｆは、サーバをネットワークに接続し、他の装置との間でデータを送受信するためのＩ／Ｆである。ネットワークＩ／Ｆの例は、Ｅｔｈｅｒｎｅｔ（登録商標）アダプタ、無線ＬＡＮアダプタアダプタなどである。
【００３９】
ゲートウェイ装置４は、ＦＡＮ側に接続するためのネットワークＩ／Ｆと、ＩＰ網側に接続するためのネットワークＩ／Ｆとを備えてよい。
【００４０】
図４は、ゲートウェイ装置４の有する機能の例を示す。
【００４１】
ゲートウェイ装置４は、機能として、機器情報収集部１００、異常検知部１０２、セキュア接続部１０４、機器情報管理テーブル２００、正常値管理テーブル３００を有してよい。
【００４２】
機器情報管理テーブル２００は、ゲートウェイ装置４が収集した機器８に関する情報（「機器情報」という）を管理するためのテーブルである。機器情報管理テーブル２００の詳細については後述する（図５参照）。
【００４３】
正常値管理テーブル３００は、ゲートウェイ装置４が管理する各機器８の正常値を管理するためのテーブルである。正常値管理テーブル３００の詳細については後述する（図７参照）。
【００４４】
機器情報収集部１００は、ＦＡＮ  Ｎ１に接続されている各機器８に関する機器情報を収集し、機器情報管理テーブル２００に格納する。
【００４５】
セキュア接続部１０４は、ゲートウェイ装置４とデータセンタ２との間をセキュアに接続する。また、セキュア接続部１０４は、ゲートウェイ装置４と各機器８との間をセキュアに接続する。セキュアに接続する方法としては、セキュアトンネルを構築する方法、又は、通信データを暗号化する方法などがある。
【００４６】
異常検知部１０２は、正常値管理テーブル３００に格納される各機器８の正常値の範囲と、機器情報管理テーブル２００に格納される各機器８の機器情報とを対比して、異常が発生している可能性のある機器８を検知する。
【００４７】
図５は、機器情報管理テーブル２００の例を示す。
【００４８】
機器情報管理テーブル２００は、ゲートウェイ装置４が機器情報を管理するためのテーブルである。機器情報管理テーブル２００は、データ項目（カラム名）として、機器ＩＤ２０２、ＩＤ種別２０４、機器種別２０６、データＩＤ２０８、データ種別２１０、収集時刻２１２、データ２１４を有して良い。
【００４９】
機器ＩＤ２０２には、機器情報の提供元の機器８のＩＤが格納される。
【００５０】
ＩＤ種別２０４には、機器ＩＤ２０２の示す値の種別が格納される。例えば、ＩＤ種別２０４「ＩＰアドレス」は、同レコードの機器ＩＤ２０２に格納されている値がＩＰアドレスであることを示し、ＩＤ種別２０４「ＭＡＣアドレス」は、同レコードの機器ＩＤ２０２に格納されている値がＭＡＣアドレスであることを示す。
【００５１】
機器種別２０６には、機器ＩＤ２０２の示す値に対応する機器８の種別が格納される。機器種別２０６には、例えば、ゲートウェイ、センサノード、制御機器、ネットワークスイッチなどが格納されてよい。
【００５２】
データＩＤ２０８には、同レコードのデータのＩＤが格納される。
【００５３】
データ種別２１０には、同レコードの機器情報の種別が格納される。データ種別２１０には、例えば、制御メッセージ、センサデータ、ログデータ、統計データ、ネットワーク統計データ、キャプチャデータ、トラフィック統計データなどが格納されてよい。センサデータは、機器８から外部サービスサーバ６に対して送信される機器情報（第１の機器情報）である。制御メッセージは、外部サービスサーバ６から機器８に対して送信される機器情報（第２の機器情報）である。ログデータ、統計データ、ネットワーク統計データ、キャプチャデータ及びトラフィック統計データは、機器８からゲートウェイ装置４に対して送信される機器情報（第３の機器情報）である。第３の機器情報は、機器８の状況情報と呼んでもよい。
【００５４】
収集時刻２１２には、同レコードのデータが収集された時刻が格納される。
【００５５】
収集データ２１４には、機器ＩＤ２０２の示す機器８から収集時刻２１２の示す時刻に収集されたデータが格納される。
【００５６】
図６は、正常値設定情報４００の例を示す。
【００５７】
正常値設定情報４００は、運用管理サーバ１２がゲートウェイ装置４に正常値を設定するための情報である。正常値設定情報４００は、データ項目（カラム名）として、データＩＤ４０２、データ種別４０４、サブカテゴリ４０６、正常値の平均４０８、正常値の範囲４１０を有して良い。
【００５８】
データＩＤ４０２及びデータ種別４０４には、機器情報管理テーブル２００のデータＩＤ２０８及びデータ種別２１０と同様の値が格納される。
【００５９】
サブカテゴリ４０６には、データ種別４０４の示す種別に属する１つ以上のサブカテゴリが格納される。
【００６０】
正常値の平均４０８には、データＩＤ４０２の示す値のサブカテゴリ４０６の値に対応する正常値の平均が格納される。正常値の平均４０８は、平均値、中央値、最頻値などで良い。
【００６１】
正常値の範囲４１０には、データＩＤ４０２の示す値のサブカテゴリ４０６の値に対応する正常値の範囲が格納される。
【００６２】
図７は、正常値管理テーブル３００の例を示す。
【００６３】
正常値管理テーブル３００は、ゲートウェイ装置４が正常値を管理するためのテーブルである。正常値管理テーブル３００は、データ項目（カラム名）として、機器ＩＤ３０２、ＩＤ種別３０４、機器種別３０６、データＩＤ３０８、データ種別３１０、サブカテゴリ３１２、正常値の平均３１４、正常値の範囲３１６を有して良い。
【００６４】
機器ＩＤ３０２、ＩＤ種別３０４、機器種別３０６、データＩＤ３０８、及びデータ種別３１０は、機器情報管理テーブル２００の機器ＩＤ２０２、ＩＤ種別２０４、機器種別２０６、データＩＤ２０８、及びデータ種別２１０と同様の値が格納される。
【００６５】
サブカテゴリ３１２、正常値の平均３１４、及び正常値の範囲３１６には、正常値設定情報４００のサブカテゴリ４０６、正常値の平均４０８、及び正常値の範囲４１０と同様の値が格納される。すなわち、ゲートウェイ装置４は、運用管理サーバ１２から正常値設定情報４００を受領すると、その正常値設定情報４００に含まれるデータＩＤ４０２、データ種別４０４、サブカテゴリ４０６、正常値の平均４０８及び正常値の範囲４１０を、正常値管理テーブル３００のデータＩＤ３０８、データ種別３１０、サブカテゴリ３１２、正常値の平均３１４及び正常値範囲３１６に対応付けて登録する。
【００６６】
図８は、ゲートウェイ装置４の状態遷移図の例を示す。
【００６７】
ゲートウェイ装置４は、状態遷移として、学習状態２１０３、及び、運用状態を有してよい。運用状態には、正常時の運用状態２１０１と異常時の運用状態２１０６とが含まれてよい。
【００６８】
学習状態２１０３は、ゲートウェイ装置４が各機器８の正常値を学習する状態である。運用状態は、ゲートウェイ装置４が各機器８を監視する状態である。
【００６９】
ゲートウェイ装置４は、正常時の運用状態２１０１から開始する（２１００、２１０１）。
【００７０】
ゲートウェイ装置４は、正常時の運用状態２１０１のときに、運用管理サーバ１２から学習の開始指示を受けると、学習状態２１０３に移行する（２１０２）。
【００７１】
ゲートウェイ装置４は、学習状態２１０３のときに、運用管理サーバ１２から学習の終了指示を受けると、正常時の運用状態２１０１に移行する（２１０４）。
【００７２】
ゲートウェイ装置４は、正常時の運用状態２１０１のときに、機器８の異常を検知すると、異常時の運用状態２１０６に移行する（２１０５）。
【００７３】
ゲートウェイ装置４は、異常時の運用状態２１０６のときに、運用管理サーバ１２から正常時の運用状態２１０１への移行指示を受けると、正常時の運用状態２１０１に移行する（２１０７）。
【００７４】
図９は、運用管理サーバ１２の状態遷移図の例を示す。
【００７５】
運用管理サーバ１２は、状態遷移として、学習状態２２０３、及び、運用状態を有して良い。運用状態には、正常時の運用状態２２０１と異常時の運用状態２２０６とが含まれて良い。
【００７６】
学習状態２２０３は、運用管理サーバ１２がゲートウェイ装置４に各機器８の正常値を学習させている状態である。運用状態は、運用管理サーバ１２がゲートウェイ装置４に各機器８を監視させている状態である。
【００７７】
運用管理サーバ１２は、正常時の運用状態から開始する（２２００、２２０１）。
【００７８】
運用管理サーバ１２は、正常時の運用状態２２０１のときに、学習を開始すべきイベントが発生すると、学習状態２２０３に遷移し、ゲートウェイ装置４に対して学習の開始指示を発行する（２２０３）。
【００７９】
運用管理サーバ１２は、学習状態２２０３のときに、学習を終了すべきと判断すると、ゲートウェイ装置４に対して学習の終了指示を発行し、正常時の運用状態２２０１に移行する（２２０４）。
【００８０】
運用管理サーバ１２は、正常時の運用状態２２０１のときに、ゲートウェイ装置４から異常検知の通知を受けると、異常時の運用状態２２０６に移行する（２２０５）。
【００８１】
運用管理サーバ１２は、異常時の運用状態２２０６のときに、異常時の運用を終了すべきと判断すると、ゲートウェイ装置４に対して正常時の運用状態２２０１への移行指示を発行し、正常時の運用状態２２０１に移行する。
【００８２】
図１０は、ゲートウェイ装置４に新規機器８が接続された場合の動作例を示すシーケンスチャートである。
【００８３】
ゲートウェイ装置４に新規機器８が接続された場合（Ｓ１００）、その新規機器８の正常値を学習する必要がある。この場合、計算機システム１は下記のように動作してよい。
【００８４】
新規機器８は、ゲートウェイ装置４に対して、認証要求を発行する（Ｓ１０１）。ゲートウェイ装置４は、その認証要求を、回線収容サーバ２０を介して認証サーバ１４へ転送する（Ｓ１０２、Ｓ１０４）。
【００８５】
認証サーバ１４は、認証要求を受領及び認証する。そして、認証サーバ１４は、認証結果を、回線収容サーバ２０を介してゲートウェイ装置４へ送信する（Ｓ１０６、Ｓ１０８）。ゲートウェイ装置４は、その認証結果を新規機器８へ転送する（Ｓ１１０）。
【００８６】
また、認証サーバ１４は、認証に成功した場合、運用管理サーバ１２に対して、ゲートウェイ装置４に新規機器８が接続されたことを通知する（Ｓ１１２）。
【００８７】
運用管理サーバ１２は、この通知を受領すると、学習状態に遷移する（Ｓ１１４）。そして、運用管理サーバ１２は、ゲートウェイ装置４に対して、学習開始指示を発行する（Ｓ１２０、Ｓ１２２）。このとき、運用管理サーバ１２は、回線収容サーバ２０、挙動学習サーバ１６、及び、検査サーバ１８に対しても、学習開始指示を発行してよい（Ｓ１２４、Ｓ１２６、Ｓ１２８）。以上の処理により、新規機器８についての学習が開始される。
【００８８】
図１１は、運用管理サーバ１２が再度の学習が必要と判断した場合の動作例を示すシーケンスチャートである。
【００８９】
機器８の正常値が何らかの要因によって変化する場合、適切なタイミングで機器８の正常値を再度学習する必要がある。例えば、機器８の正常値が季節によって異なる場合や、機器８の正常値が経年劣化により変化する場合などである。この場合、計算機システム１は下記のように動作してよい。
【００９０】
運用管理サーバ１２は、認証サーバ１４に対して機器リスト要求を発行し、認証サーバ１４から機器リストを取得する（Ｓ２００、Ｓ２０２）。
【００９１】
運用管理サーバ１２は、機器リストの中から、正常値が変化する可能性のある機器８を抽出する（Ｓ２０４）。
【００９２】
運用管理サーバ１２は、その抽出した機器８の正常値を変化させ得る要因となる情報（「変化要因情報」という）を、例えば、外部サービスサーバ６から取得する（Ｓ２０６）。正常値が季節によって異なる機器８（温度センサなど）の場合、変化要因情報は、気温であってよい。正常値が経年劣化により変化する機器８（ロボット制御機器など）の場合、変化要因情報は、機器８の設置期間や標準的な経年劣化の割合などであってよい。
【００９３】
運用管理サーバ１２は、その取得した変化要因情報に基づいて、その抽出した機器８の正常値を再度学習する必要があるか否かを判定する。そして、運用管理サーバ１２は、再度学習する必要があると判定した場合、学習状態に遷移する（Ｓ２０８）。
【００９４】
そして、運用管理サーバ１２は、その再度学習が必要な機器８の接続されているゲートウェイ装置４に対して学習開始指示を発行する（Ｓ２１０、Ｓ２１２）。このとき、運用管理サーバ１２は、回線収容サーバ２０、挙動学習サーバ１６、及び、検査サーバ１８に対しても学習開始指示を発行してよい（Ｓ２１３、Ｓ２１６、Ｓ２１８）。以上の処理により、必要に応じて機器の再学習が開始される。
【００９５】
図１２は、学習状態における計算機システム全体の動作例を示すシーケンスチャートである。
【００９６】
（Ａ１）学習状態の計算機システム１において、機器８から送信されるセンサデータは下記のように処理される。
【００９７】
機器８から送信されたセンサデータは、いったんゲートウェイ装置４で受領される（Ｓ３００）。センサデータとは、機器８が測定したデータ（例えば温度、湿度、通信速度、ＣＰＵクロック数など）であってよい。
【００９８】
ゲートウェイ装置４は、受領したセンサデータの一部又は全部を、外部サービスサーバ６へ提供するセンサデータとして選択する（Ｓ３０２）。
【００９９】
ゲートウェイ装置４は、その選択したセンサデータを、回線収容サーバ２０へ転送する（Ｓ３０４）。
【０１００】
回線収容サーバ２０は、このゲートウェイ装置４から転送されたセンサデータを、検査サーバ１８へ転送する（Ｓ３０６）。
【０１０１】
検査サーバ１８は、転送されたセンサデータを検査し（Ｓ３０８）、問題が無い場合、そのセンサデータを外部サービスサーバ６へ転送する（Ｓ３１０、Ｓ３１２、Ｓ３１４）。また、検査サーバ１８は、そのセンサデータを、挙動学習サーバ１６にも転送する（Ｓ３１６）。さらに、検査サーバ１８は、Ｓ３０８の検査結果を、運用管理サーバ１２へ送信する（Ｓ３０９）。
【０１０２】
以上の処理により、機器８から送信されたセンサデータの内、検査サーバ１８で問題無いと判断されたセンサデータが外部サービスサーバ６へ転送される。よって、外部サービスサーバ６は、安全にセンサデータを利用することができる。さらに、機器８から送信されたセンサデータが挙動学習サーバ１６にも転送される。よって、挙動学習サーバ１６は、センサデータも正常値の学習に利用することができる。
【０１０３】
（Ａ２）学習状態の計算機システム１において、外部サービスサーバ６から送信される制御メッセージは下記のように処理される。
【０１０４】
外部サービスサーバ６から送信された制御メッセージは、いったん外部接続サーバ２２で受領される（Ｓ３５０）。
【０１０５】
外部接続サーバ２２は、受領した制御メッセージを、検査サーバ１８へ転送する（Ｓ３５２、Ｓ３５４）。
【０１０６】
検査サーバ１８は、転送された制御メッセージを検査し（Ｓ３５６）、問題が無い場合、その制御メッセージをゲートウェイ装置４へ転送する（Ｓ３５８）。また、検査サーバ１８は、その制御メッセージを、挙動学習サーバ１６にも転送する（Ｓ３５８、Ｓ３６２）。さらに、検査サーバ１８は、Ｓ３５６の検査結果を、運用管理サーバ１２へ送信する（Ｓ３５７）。
【０１０７】
ゲートウェイ装置４は、転送された制御メッセージを機器８へ転送する（Ｓ３６４）。
【０１０８】
以上の処理により、外部サービスサーバ６から送信された制御メッセージの内、検査サーバで問題無いと判断された制御メッセージがゲートウェイ装置４を介して機器８へ転送される。よって、機器８は、安全に制御メッセージを実行することができる。さらに、外部サービスサーバ６から送信された制御メッセージが挙動学習サーバ１６にも転送される。よって、挙動学習サーバ１６は、制御メッセージも正常値の学習に利用することができる。
【０１０９】
（Ａ３）学習状態の計算機システム１において、機器８から送信される状況情報は下記のように処理される。
【０１１０】
ゲートウェイ装置４は、機器８から送信された状況情報を、機器情報管理テーブル２００に格納する（Ｓ３８０）。
【０１１１】
ゲートウェイ装置４は、機器情報管理テーブル２００に格納されている状況情報を、回線収容サーバ２０を介して、挙動学習サーバ１６及び検査サーバ１８へ送信する（Ｓ３８２、Ｓ３８４、Ｓ３８８）。
【０１１２】
検査サーバ１８は、ゲートウェイ装置４から送信された状況情報を検査し（Ｓ３８５）、その検査結果を運用管理サーバ１２へ送信する（Ｓ３８６）。
【０１１３】
挙動学習サーバ１６は、ゲートウェイ装置４から送信された状況情報に基づいて、その機器情報の発行元の機器８の正常値を学習する（Ｓ３８９）。このとき、挙動学習サーバ１６は、Ｓ３８６の検査結果において問題有りと判断されている状況情報については、正常値の学習に用いなくてもよい。これにより、より正しい正常値を学習することができる。
【０１１４】
そして、挙動学習サーバ１６は、学習結果（機器８の正常値の範囲及び正常値の平均など）を運用管理サーバ１２へ送信する（Ｓ３９０）。
【０１１５】
運用管理サーバ１２は、挙動学習サーバ１６から送信された学習結果に基づいて、正常値設定情報４００を生成する。そして、運用管理サーバ１２は、その生成した正常値設定情報４００を、回線収容サーバ２０を介して、ゲートウェイ装置４に送信する（Ｓ３９２、Ｓ３９４）。
【０１１６】
ゲートウェイ装置４は、運用管理サーバ１２から送信された正常値設定情報４００を、正常値管理テーブル３００に登録する。以上の処理により、学習状態のゲートウェイ装置４は、各機器８の正常値を知る（学習する）ことができる。
【０１１７】
図１３は、正常時の運用状態における計算機システム１全体の動作例を示すシーケンスチャートである。
【０１１８】
（Ｂ１）正常時の運用状態の計算機システム１において、機器８から送信されるセンサデータは下記のように処理される。
【０１１９】
機器８から送信されたセンサデータは、いったんゲートウェイ装置４で受領される（Ｓ４００）。ゲートウェイ装置４は、正常値管理テーブル３００を参照し、その受領したセンサデータの正常値の範囲３１６及び／又は正常値の平均３１４からの外れ度合を算出する（Ｓ４０２）。ゲートウェイ装置４は、その算出した外れ度合が統計的に正常の範囲内に収まっているセンサデータを選択する（Ｓ４０４）。そして、ゲートウェイ装置４は、その選択したセンサデータを、回線収容サーバ２０及び外部接続サーバ２２を介して、外部サービスサーバ６へ転送する（Ｓ４０８、Ｓ４１０）。
【０１２０】
ゲートウェイ装置４は、Ｓ４０２で算出した外れ度合が統計的に正常の範囲内に納まっていないセンサデータを検知した場合、異常時の運用状態に移行し、図１４の処理を開始してもよい。
【０１２１】
（Ｂ２）正常時の運用状態の計算機システム１において、外部サービスサーバ６から送信される制御メッセージは下記のように処理される。
【０１２２】
外部サービスサーバ６から送信された制御メッセージは、外部接続サーバ２２及び回線収容サーバ２０を介して、ゲートウェイ装置４へ転送される（Ｓ４２０、Ｓ４２２）。
【０１２３】
ゲートウェイ装置４は、正常値管理テーブル３００を参照し、外部サービスサーバ６から送信された制御メッセージの正常値の範囲３１６及び／又は正常値の平均３１４からの外れ度合を算出する（Ｓ４２６）。ゲートウェイ装置４は、その算出した外れ度合が統計的に正常の範囲内に納まっている制御メッセージを機器８へ転送する（Ｓ４２８）。
【０１２４】
ゲートウェイ装置４は、Ｓ４２６で算出した外れ度合が統計的に正常の範囲内に納まっていない制御メッセージを検知した場合、異常時の運用状態に移行し、図１４の処理を開始してもよい。
【０１２５】
（Ｂ３）正常時の運用状態の計算機システム１において、機器８から送信される状況情報は下記のように処理される。
【０１２６】
ゲートウェイ装置４は、機器８から状況情報を受領し、機器情報管理テーブル２００に格納する（Ｓ４３０）。ゲートウェイ装置４は、正常値管理テーブル３００を参照し、その受領した状況情報の正常値の範囲３１６及び／又は正常値の平均３１４からの外れ度合を算出する（Ｓ４３２）。
【０１２７】
ゲートウェイ装置４は、Ｓ４３２で算出した外れ度合が統計的に正常の範囲内に納まっていない状況情報を検知した場合、異常時の運用状態に移行し、図１４の処理を開始してもよい。
【０１２８】
図１３の処理によれば、データの検査処理を各ゲートウェイ装置４に分散させることができるので、検査サーバ１８の処理負荷を軽減させることができる。すなわち、計算機システム１のスケーラビリティを確保することができる。
【０１２９】
図１４は、異常時の運用状態における計算機システム１全体の動作例を示すシーケンスチャートである。
【０１３０】
ゲートウェイ装置４は、異常を検知すると（外れ度合が正常の範囲内に納まっていない場合）、異常時の運用状態に移行する（Ｓ５００）。そして、ゲートウェイ装置４は、異常を検知した旨を、運用管理サーバ１２へ通知する（Ｓ５０２、Ｓ５０４）。
【０１３１】
運用管理サーバ１２は、その異常検知の通知を受領すると、異常時の運用状態に移行する。そして、運用管理サーバ１２は、検査サーバ１８及び回線収容サーバ２０に対して検査の開始を指示する（Ｓ５０６、Ｓ５０８）。
【０１３２】
ゲートウェイ装置４は、機器情報管理テーブル２００に格納されている少なくとも異常を検知した収集時刻２１２を含む収集データ２１４を、検査サーバ１８へ送信する（Ｓ５１０、Ｓ５１２）。収集データ２１４には、センサデータ、制御メッセージ、及び、機器情報の少なくとも１つが含まれてよい。
【０１３３】
検査サーバ１８は、ゲートウェイ装置４から送信された収集データを検査し（Ｓ５１４）、その検査結果を運用管理サーバ１２へ送信する（Ｓ５１６）。
【０１３４】
なお、異常時の運用状態の計算機システム１において、機器８から送信されるセンサデータ、外部サービスサーバ６から送信させる制御メッセージ、及び、機器８から送信される状況情報は、図１２の（Ａ１）乃至（Ａ３）で述べたように、検査サーバ１８によって検査されてよい。そして、検査サーバ１８は、図１２の（Ａ１）乃至（Ａ３）で述べたように、これらの検査結果を、運用管理サーバ１２へ送信してよい。
【０１３５】
図１４の処理によれば、ゲートウェイ装置４が異常を検知した場合に、検査サーバ１８でその検知された異常をより詳細に検査することができる。例えば、ゲートウェイ装置４が検知したデータの異常が、たまたま外れ度合が正常の範囲内に納まっていないのか（誤検知であるか）、それとも、真の異常が発生しているのかを検査することができる。
【０１３６】
図１５は、学習状態における運用管理サーバ１２の動作例を示すフローチャートである。
【０１３７】
運用管理サーバ１２は、処理対象のゲートウェイ装置４、回線収容サーバ２０、挙動学習サーバ１６及び検査サーバ１８に対して、学習開始（学習状態への移行）を指示する（Ｓ１０００）。
【０１３８】
運用管理サーバ１２は、検査サーバ１８から受領した検査結果に基づき、問題の有るデータが存在するか否かを判定する（Ｓ１００２）。
【０１３９】
運用管理サーバ１２は、問題の有るデータが存在すると判定した場合（Ｓ１００２：問題有り）、挙動学習サーバ１６から受信した学習結果の内、問題の有るデータによる学習結果を破棄する（Ｓ１００４）。そして、運用管理サーバ１２は、検査結果に問題が有る旨を管理者へ通知し（Ｓ１００６）、本処理を終了する。
【０１４０】
運用管理サーバ１２は、問題の有るデータが存在しないと判定した場合（Ｓ１００２：問題無し）、挙動学習サーバ１６から受信した学習結果を採用する（Ｓ１０１０）。そして、運用管理サーバ１２は、その採用した学習結果に基づいて正常値設定情報４００を生成し、その生成した正常値設定情報４００を処理対象のゲートウェイ装置４へ送信する（Ｓ１０１２）。そして、運用管理サーバ１２は、処理対象のゲートウェイ装置４、回線収容サーバ２０、挙動学習サーバ１６及び検査サーバ１８に対して、学習終了を指示（つまり正常時の運用状態への遷移指示）し（Ｓ１０１４）、本処理を終了する。
【０１４１】
図１６は、学習状態における挙動学習サーバ１６の動作例を示すフローチャートである。
【０１４２】
挙動学習サーバ１６は、所定の学習期間中、ゲートウェイ装置４から検査サーバ１８を介して送信される、センサデータ、制御メッセージ、状況情報（機器のログ、統計情報、ＦＡＮのトラフィック情報など）などを受領して記憶デバイスに格納する（Ｓ１１００、Ｓ１１０２、Ｓ１１０４）。
【０１４３】
学習期間の終了後、挙動学習サーバ１６は、記憶デバイスに格納したこれらの情報から、正常値の平均及び範囲を算出する（Ｓ１１０６）。挙動学習サーバ１６は、記憶デバイスに格納された情報に対して、クラスタ分析などの統計的解析手法を用いて、正常値の平均及び範囲を算出してよい。
【０１４４】
挙動学習サーバ１６は、その算出した正常値の平均及び範囲を含む学習結果を、運用管理サーバ１２へ送信する（Ｓ１１０８）。
【０１４５】
図１７は、学習状態におけるゲートウェイ装置４の動作例を示すフローチャートである。学習状態におけるゲートウェイ装置４は、下記の処理を繰り返す（Ｓ１２２０〜Ｓ１２３０）。
【０１４６】
ゲートウェイ装置４は、受領した情報が、センサデータ、制御メッセージ、及び、状況情報の何れであるかを判定する（Ｓ１２０２）
【０１４７】
ゲートウェイ装置４は、機器８からセンサデータを受領した場合（Ｓ１２０２：センサデータ）、そのセンサデータを、機器情報管理テーブル２００に格納する（Ｓ１２０４）。そして、ゲートウェイ装置４は、その受領したセンサデータの中から外部サービスサーバ６へ送信するセンサデータを選択し、その選択したセンサデータをデータセンタ２へ転送する（Ｓ１２０６）。
【０１４８】
ゲートウェイ装置４は、外部サービスサーバ６から制御メッセージを受領した場合（Ｓ１２０２：制御メッセージ）、その制御メッセージを、機器情報管理テーブル２００に格納する（Ｓ１２１０）。ゲートウェイ装置４は、その受領した制御メッセージを、宛先の機器８へ転送する（Ｓ１２１２）。
【０１４９】
ゲートウェイ装置４は、機器８から状況情報を受領した場合（Ｓ１２０２：状況情報）、その状況情報を、機器情報管理テーブル２００に格納する（Ｓ１２２０）。そして、ゲートウェイ装置４は、その受領した状況情報を、検査サーバ１８へ転送する（Ｓ１２２２）。
【０１５０】
図１８は、正常時の運用状態におけるゲートウェイ装置４の動作例を示すフローチャートである。正常時の運用状態におけるゲートウェイ装置４は、下記の処理を繰り返す（Ｓ１３００〜Ｓ１３９０）
【０１５１】
ゲートウェイ装置４は、受領した情報が、センサデータ、制御メッセージ、及び、状況情報の何れであるかを判定する（Ｓ１３０２）。
【０１５２】
ゲートウェイ装置４は、機器８からセンサデータを受領した場合（Ｓ１３０２：センサデータ）、そのセンサデータを、機器情報管理テーブル２００に格納する（Ｓ１３０４）。ゲートウェイ装置４は、正常値管理テーブル３００を参照して、そのセンサデータの正常値に対する外れ度合を算出する（Ｓ１３０６）。ゲートウェイ装置４は、その受領したセンサデータの中から外部サービスサーバ６へ送信するセンサデータを選択し、その選択したセンサデータをデータセンタ２へ転送する（Ｓ１３０８）。ゲートウェイ装置４は、Ｓ１３０６で算出したセンサデータの外れ度合が、正常値の範囲に収まっていない場合（Ｓ１３５０：ＮＯ）、異常時の運用状態（図１９）に遷移する（Ｓ１３５２）。
【０１５３】
ゲートウェイ装置４は、外部サービスサーバ６から制御メッセージを受領した場合（Ｓ１３０２：制御メッセージ）、その制御メッセージを、機器情報管理テーブル２００に格納する（Ｓ１３１０）。ゲートウェイ装置４は、正常値管理テーブル３００を参照して、その制御メッセージの正常値に対する外れ度合を算出する（Ｓ１３１２）。ゲートウェイ装置４は、その受領した制御メッセージを宛先の機器８へ転送する（Ｓ１３４０）。ゲートウェイ装置４は、Ｓ１３１２で算出した制御メッセージの外れ度合が、正常値の範囲に収まっていない場合（Ｓ１３５０：ＮＯ）、異常時の運用状態（図１９）に移行する（Ｓ１３５２）。
【０１５４】
ゲートウェイ装置４は、機器８から状況情報を受領した場合（Ｓ１３０２：状況情報）、その状況情報を、機器情報管理テーブル２００に格納する（Ｓ１３２０）。ゲートウェイ装置４は、正常値管理テーブル３００を参照して、その状況情報の正常値に対する外れ度合を算出する（Ｓ１３２０）。ゲートウェイ装置４は、Ｓ１３２０で算出した状況情報の外れ度合が、正常値の範囲に収まっていない場合（Ｓ１３５０：ＮＯ）、異常時の運用状態（図１９）に移行する（Ｓ１３５２）。
【０１５５】
図１９は、異常時の運用状態におけるゲートウェイ装置４の動作例を示すフローチャートである。本処理は、図１８のＳ１３５２において異常時の運用状態に移行した後の処理に相当する。
【０１５６】
ゲートウェイ装置４は、異常を検知した旨を、運用管理サーバ１２へ通知する（Ｓ１４００）。ゲートウェイ装置４は、機器情報管理テーブル２００の中から、少なくとも異常を検知したデータＩＤ２０８の収集データ２１４を検査サーバ１８へ送信する（Ｓ１４０２）。ゲートウェイ装置４は、学習状態におけるＳ１２００〜Ｓ１２３０と同様の処理を実行する（Ｓ１４１０〜Ｓ１４４０）。
【０１５７】
図２０は、回線収容サーバ２０がパケットデータを受信したときの動作例を示すフローチャートである。なお、回線収容サーバ２０の状態遷移は、運用管理サーバ１２から指示されてよい。
【０１５８】
回線収容サーバ２０は、学習状態の場合（Ｓ１９０１：学習状態）、受信したパケットデータが、検査サーバ１８から折り返されたものであるか否かを判定する（Ｓ１９０２）。回線収容サーバ２０は、Ｓ１９０２の判定結果が「ＹＥＳ」の場合、当該パケットデータをヘッダの宛先へ転送し（Ｓ１９０５）、本処理を終了する。
【０１５９】
回線収容サーバ２０は、Ｓ１９０２の判定結果が「ＮＯ」の場合、当該パケットデータをコピーして、挙動学習サーバ１６へ送信する（Ｓ１９０３）。そして、回線収容サーバ２０は、当該パケットデータを検査サーバ１８へ転送し（Ｓ１９０４）、本処理を終了する。
【０１６０】
回線収容サーバ２０は、正常時の運用状態の場合（Ｓ１９０１：正常時の運用状態）、受信したパケットデータをヘッダの宛先へ転送し（Ｓ１９０５）、本処理を終了する。
【０１６１】
回線収容サーバ２０は、異常時の運用状態の場合（Ｓ１９０１：異常時の運用状態）、受信したパケットデータが、検査サーバ１８から折り返されたものであるか否かを判定する（Ｓ１９０６）。回線収容サーバ２０は、Ｓ１９０６の判定結果が「ＹＥＳ」の場合、当該パケットデータをヘッダの宛先へ転送し（Ｓ１９０５）、本処理を終了する。回線収容サーバ２０は、Ｓ１９０６の判定結果が「ＮＯ」の場合、当該パケットデータを検査サーバ１８へ転送し（Ｓ１９０７）、本処理を終了する。
【０１６２】
図２１は、異常時の運用状態における運用管理サーバ１２の動作例を示すフローチャートである。本処理は、図１９において、ゲートウェイ装置４から異常を検知した旨の通知を受領した後の処理である。
【０１６３】
運用管理サーバ１２は、異常を検知した旨を管理者へ通知する（Ｓ２００１）。
【０１６４】
運用管理サーバ１２は、異常を検知したゲートウェイ装置４、回線収容サーバ２０及び検査サーバ１８に対して、検査開始（異常時の運用状態への移行）を指示する（Ｓ２００２）。
【０１６５】
運用管理サーバ１２は、検査サーバ１８から受領した検査結果に基づき、問題の有るデータが存在するか否かを判定する（Ｓ２００３）。
【０１６６】
運用管理サーバ１２は、問題の有るデータが存在すると判定した場合（Ｓ２００３：問題有り）、Ｓ２００１の異常検知が真の異常である旨を管理者へ通知し（Ｓ２００６）、本処理を終了する。このとき、異常の内容も合わせて管理者に通知されてよい。
【０１６７】
運用管理サーバ１２は、問題の有るデータが存在しないと判定した場合（Ｓ２００３：問題無し）、Ｓ２００１の異常検知は誤検知である旨を管理者へ通知する（Ｓ２００４）。そして、運用管理サーバ１２は、Ｓ２００２で指示したゲートウェイ装置４、回線収容サーバ２０及び検査サーバ１８に対して、検査終了（正常時の運用状態への遷移）を指示し（Ｓ２００５）、本処理を終了する。
【０１６８】
上述した実施形態は、本発明の説明のための例示であり、本発明の範囲を実施形態にのみ限定する趣旨ではない。当業者は、本発明の要旨を逸脱することなしに、他の様々な態様で本発明を実施することができる。
【符号の説明】
【０１６９】
１：計算機システム  ２：データセンタ  ４：ゲートウェイ装置  ６：外部サービスサーバ  ８：機器  １２：運用管理サーバ  １４：認証サーバ  １６：挙動学習サーバ  １８：検査サーバ
【図１】
2017163179.tif 000003
【図２】
2017163179.tif 000004
【図３】
2017163179.tif 000005
【図４】
2017163179.tif 000006
【図５】
2017163179.tif 000007
【図６】
2017163179.tif 000008
【図７】
2017163179.tif 000009
【図８】
2017163179.tif 000010
【図９】
2017163179.tif 000011
【図１０】
2017163179.tif 000012
【図１１】
2017163179.tif 000013
【図１２】
2017163179.tif 000014
【図１３】
2017163179.tif 000015
【図１４】
2017163179.tif 000016
【図１５】
2017163179.tif 000017
【図１６】
2017163179.tif 000018
【図１７】
2017163179.tif 000019
【図１８】
2017163179.tif 000020
【図１９】
2017163179.tif 000021
【図２０】
2017163179.tif 000022
【図２１】
2017163179.tif 000023