特許 6793524 ログ解析システムおよびその方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6793524

(24)【登録日】2020年11月12日

(45)【発行日】2020年12月2日

(54)【発明の名称】ログ解析システムおよびその方法

(51)【国際特許分類】

   H04L 12/70 20130101AFI20201119BHJP

【ＦＩ】

   H04L12/70 100Z

【請求項の数】9

【全頁数】20

(21)【出願番号】特願2016-214265(P2016-214265)

(22)【出願日】2016年11月1日

(65)【公開番号】特開2018-74465(P2018-74465A)

(43)【公開日】2018年5月10日

【審査請求日】2019年9月4日

(73)【特許権者】

【識別番号】000005108

【氏名又は名称】株式会社日立製作所

(74)【代理人】

【識別番号】110002365

【氏名又は名称】特許業務法人サンネクスト国際特許事務所

(72)【発明者】

【氏名】内山 宏樹

(72)【発明者】

【氏名】矢戸 晃史

(72)【発明者】

【氏名】大久保 訓

(72)【発明者】

【氏名】山口 耕平

【審査官】 宮島 郁美

(56)【参考文献】

【文献】 特開２００５−２２３８７０（ＪＰ，Ａ）

【文献】 特開２０１６−１６３３５２（ＪＰ，Ａ）

【文献】 特開２００７−２４３３３８（ＪＰ，Ａ）

【文献】 特開２０１３−１６８７６３（ＪＰ，Ａ）

【文献】 米国特許出願公開第２００４／００３７２２９（ＵＳ，Ａ１）

【文献】 特開２０１０−２８３６６８（ＪＰ，Ａ）

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｈ０４Ｌ１２／００−１２／２６，１２／５０−１２／９５５

Ｇ０６Ｆ２１／００，２１／３０−２１／４６

(57)【特許請求の範囲】

【請求項1】

制御装置の複数の通信ログを解析するログ解析システムであって、
前記複数の通信ログに対応する一定時間における複数の通信パケットをネットワークから受信するネットワーク装置と、
前記ネットワーク装置への通信を監視する監視装置と、
を備え、
前記監視装置は、前記一定時間における複数の通信パケットの送受信時刻を含むデータの時系列データを周波数変換することにより得られた通信パターンと不正アクセスのない状態の通信におけるパターンである定常パターンとの差分としてのパターンである異常パターンを求め、前記異常パターンに対して逆周波数変換を施すことで取得された情報であり時刻を含む情報に基づいて、前記異常パターンに該当する通信パケットである異常パケットを復元し、復元された前記異常パケットを報知する
ログ解析システム。

【請求項2】

前記ネットワーク装置は、前記一定時間における複数の通信パケットを複製して前記監視装置に送信する
請求項１記載のログ解析システム。

【請求項3】

前記監視装置は、複数の前記一定時間における複数の通信パケットそれぞれの送受信周期と送受信サイズの変動に基づいて、前記通信パターンを複数の前記通信パケットから抽出する
請求項１に記載のログ解析システム。

【請求項4】

収集装置は前記ネットワーク装置から前記一定時間における複数の通信パケットを収集し、
前記監視装置は、前記収集装置によって収集された前記一定時間における複数の通信パケットに基づいて前記一定時間における複数の通信パケットを復元する
請求項１に記載のログ解析システム。

【請求項5】

前記監視装置は、
複数の前記収集装置のそれぞれで収集された前記一定時間における複数の通信パケットに基づいて前記一定時間における複数の通信パケットを復元する
請求項４に記載のログ解析システム。

【請求項6】

前記監視装置は、前記一定時間における複数の通信パケットを収集し、前記一定時間における複数の通信パケットの前記通信パターンと前記通信の前記定常パターンとの前記差分を求め、前記差分に基づいて前記一定時間における複数の通信パケットの中で差分となる前記複数の通信パケット情報を復元する収集装置を備え、復元された前記複数の通信パケットを報知する
請求項１に記載のログ解析システム。

【請求項7】

前記監視装置は、
前記一定時間における複数の通信パケットを時系列で表示し、前記定常パターンの前記一定時間における複数の通信パケットと前記差分に基づいた前記一定時間における複数の通信パケットとを識別可能な形で表示する
請求項１に記載のログ解析システム。

【請求項8】

前記監視装置は、前記制御装置の運転状態に応じた設定がなされ、
前記運転状態は、前記監視装置が前記通信の前記定常パターンを取得するための試運転状態と、試運転状態以外の運用状態であり、
前記監視装置は、前記設定により実行可能な処理が制限される
請求項１に記載のログ解析システム。

【請求項9】

制御装置の複数の通信ログを解析するログ解析システムにおけるログ解析方法であって、
前記ログ解析システムは、
前記複数の通信ログに対応する一定時間における複数の通信パケットをネットワークから受信するネットワーク装置と、
前記ネットワーク装置への通信を監視する監視装置と、
を備え、
前記監視装置が、前記一定時間における複数の通信パケットの送受信時刻を含むデータの時系列データを周波数変換することにより得られた通信パターンと不正アクセスのない状態の通信におけるパターンである定常パターンとの差分としてのパターンである異常パターンを求める第１のステップと、
前記監視装置が、前記異常パターンに対して逆周波数変換を施すことで取得された情報であり時刻を含む情報に基づいて、前記異常パターンに該当する通信パケットである異常パケットを復元する第２のステップと、
前記監視装置が、復元された前記異常パケットを報知する第３のステップと、
を備えるログ解析方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、ログ解析システムおよびその方法に関し、例えば、プラント設備の制御システムの通信ログを解析して不正アクセスによる通信ログを抽出するログ解析システムに関する。

【背景技術】

【0002】

プラント設備に限らず、自動車や家電など多くの分野で、コンピュータを利用した制御システムが汎用されている。そして、ＩＴ技術の進歩により、制御システムもネットワークを介して、情報の入出力が可能になっている。一方、これに合わせて、制御システムに対するコンピュータウィルスやＤｏＳ攻撃といった不正アクセスも目立つようになっている。そこで、制御システムを不正アクセスから守る技術が種々提案されている。

【0003】

制御システムに対する大量の通信ログの１つ１つをチェックして、不正アクセスを検知することは容易ではない。そこで、特許文献１には、通信ログを処理すべきテンプレートを複数用意し、通信ログがどのテンプレートにマッチしたかによって、不正アクセス防止のために確認すべき通信ログ量を削減できる技術が開示されている。

【先行技術文献】

【特許文献】

【0004】

【特許文献1】特開２０１４−１５３７２１号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

しかしながら、特許文献１に記載された発明では、制御システムの運用形態によって、制御システムの通信ログのパターンが大きく変化するため、そもそもテンプレートによって、不正アクセスから制御システムを防衛するには限界があった。ここでパターンとは、例えば周波数に着目した通信ログの特徴とする。また通信におけるパターンを通信パターンとする。

【0006】

本発明は、不正アクセスから制御システムをより効果的に防衛することできるログ解析システムおよびその方法を提案しようとするものである。

【課題を解決するための手段】

【0007】

かかる課題を解決するために本発明においては、制御装置の通信ログを解析するログ解析システムにおいて、通信ログに対応する通信パケットをネットワークから受信するネットワーク装置と、ネットワーク装置への通信を監視する監視装置と、を備え、監視装置は、通信パケットの通信パターンと不正アクセスのない状態の通信におけるパターンである定常パターンとの差分を求め、差分に基づいて通信パケットを復元し、復元された通信パケットを報知するようにした。

【0008】

また本発明においては、制御装置の通信ログを解析するログ解析システムにおけるログ解析方法において、ログ解析システムは、通信ログに対応する通信パケットをネットワークから受信するネットワーク装置と、ネットワーク装置への通信を監視する監視装置と、備え、監視装置が、通信パケットの通信パターンと不正アクセスのない状態の通信におけるパターンである定常パターンとの差分を求める第１のステップと、監視装置が、差分に基づいて通信パケットを復元する第２のステップと、監視装置が、復元された通信パケットを報知する第３のステップと、を備えるようにした。

【発明の効果】

【0009】

本発明によれば、不正アクセスから制御システムをより効果的に防衛することできるログ解析システムおよびその方法を実現できる。

【図面の簡単な説明】

【0010】

【図1】第１の実施の形態によるログ解析システムの機能構成を示すブロック図である。

【図2】本実施の形態による制御装置のハードウェア構成を示すブロック図である。

【図3】本実施の形態によるネットワーク装置のハードウェア構成を示すブロック図である。

【図4】本実施の形態による監視装置のハードウェア構成を示すブロック図である。

【図5】第１の実施の形態によるログ解析システムの試運転時実施処理の流れを示すシーケンス図である。

【図6】パターン格納処理の処理手順を示すフローチャートである。

【図7】パターン抽出処理の処理手順を示すフローチャートである。

【図8】異常パケット格納処理の処理手順を示すフローチャートである。

【図9】異常パケット抽出処理の処理手順を示すフローチャートである。

【図10】監視画面の構成を略線的に示す略線図である。

【図11】異常監視画面の構成を略線的に示す略線図である。

【図12】通信パケットの構成を示す概念図である。

【図13】通信パターンの構成を示す概念図である。

【図14】通信パターンの周波数と強度の分布を示す概念図である。

【図15】第２の実施の形態によるログ解析システムの機能構成を示すブロック図である。

【図16】第２の実施の形態によるログ解析システムの運用時実施処理の流れを示すシーケンス図である。

【図17】第３の実施の形態によるログ解析システムの機能構成を示すブロック図である。

【図18】第３の実施の形態によるログ解析システムの試運転時実施処理の流れを示すシーケンス図である。

【発明を実施するための形態】

【0011】

以下図面について、本発明の一実施の形態を詳述する。なお、これにより本発明が限定されるものではない。

【0012】

（１）第１の実施の形態
（１−１）本実施の形態によるログ解析システムの構成
図１は、本実施の形態によるログ解析システムの機能構成を示す。このシステムは、ネットワーク装置２０と、制御装置１０の通信ログを監視する監視装置３０と、イントラネットなどのネットワーク４０とを備える。

【0013】

制御装置１０は、プラント設備などの制御対象を制御する要素であって、１つに限られず、図１に示すように１０_１〜１０_ｎのように複数存在する。制御装置１０は、具体的には、コンピュータ、コントローラ（ＭＰＵ）などである。コンピュータには、サーバ計算機、クライアント計算機を含む。制御装置１０は、所定の制御処理を行う制御処理モジュール１０１（１０１_１〜１０１_ｎ）およびネットワーク４０やネットワーク装置２０と通信する通信モジュール１０２（１０２_１〜１０２_ｎ）を備える。

【0014】

ネットワーク装置２０は、ログ解析システムのネットワーク制御を行うルータやレイヤ２スイッチなどの装置であり、パケット複製モジュール２０１、第１通信モジュール２０２、監視装置３０と通信を行う第２通信モジュール２０３および第３通信モジュール２０４を備える。モジュールは、制御機能を実現する単位であって、プログラム、および/または、ハードウェアによって実現される。

【0015】

パケット複製モジュール２０１は、ネットワーク装置２０に入力される通信パケット１２００（図１２参照）を複製し、第１通信モジュール２０２は、ネットワーク４０と通信し、第２通信モジュールは監視装置３０と通信し、第３通信モジュール２０４は制御装置１０_ｎと通信する。なお、ネットワーク装置２０は、４つ以上の通信モジュールを備えていてもよく、例えば第４通信モジュールは図示せぬ制御装置１０_２と通信する。

【0016】

監視装置３０は、プラント設備などの制御システムの通信ログを監視する装置であり、通信モジュール３０１、通信パケット取得モジュール３０２、パターン抽出モジュール３０３、異常パターン抽出モジュール３０４、異常パケット復元モジュール３０５、出力モジュール３０６、通信パケット格納モジュール３０７、定常パターン格納モジュール３０８、異常パケット格納モジュール３０９およびモード管理モジュール３１０を備える。

【0017】

通信モジュール３０１はネットワーク装置２０と通信を行い、通信パケット取得モジュール３０２は監視装置３０に入力される通信パケット１２００を取得し、パターン抽出モジュール３０３は通信パケット取得モジュール３０２が取得した通信パケット１２００のパターンを抽出する。

【0018】

異常パターン抽出モジュール３０４は通信パケット取得モジュール３０２が取得した通信パケット１２００に含まれる異常パターンを抽出し、異常パケット復元モジュール３０５は異常パターン抽出モジュール３０４が抽出した異常パターンに該当する通信パケット１２００を復元する。

【0019】

パターンとは、複数の通信ログの組み合わせからなる、通信の態様であり、例えば、複数の通信ログをフーリエ変換することによって判別される。異常パターンとは、コンピュータウィルスやＤｏＳ攻撃など不正アクセスに伴う複数の通信ログに基づくパターンである。異常パターンは、制御システムに不正アクセスがないと想定できる環境におけるパターンと比較することによって抽出され得る。

【0020】

このような環境とは、例えば、制御システムの試運転状態など制御システムの動作が通常運転状態よりも落ち着いている運転状態である。この運転状態を定常運転状態と称する。制御装置が通常運転状態（以下、運用状態としてもよい）では、制御装置の活動が活発であるから、種々の不正アクセスのおそれがあるが、制御装置が定常運転状態（以下、試運転状態としてもよい）では、通常運転状態に比較して、ほぼ不正アクセスのおそれはないか、不正アクセスのおそれは小さいと想定できる。

【0021】

この状態の通信パターンを定常運転状態に関連させて定常パターンと称する。監視モジュールは、通信パターンを定常パターンと比較することによって、通信パターンの中から異常パターンを抽出することができる。

【0022】

制御システムに不正アクセスがないと想定される状態は、例えば制御装置１０に必要最低限の制御コマンドが入力された状態とする（以下、制御システムの試運転時とする）。

【0023】

通信パケット格納モジュール３０７は通信パケット取得モジュール３０２が取得した通信パケット１２００を格納し、定常パターン格納モジュール３０８はパターン抽出モジュール３０３が抽出した定常時の通信パターン１３００（図１３参照）を格納する。

【0024】

異常パケット格納モジュール３０９は異常パケット復元モジュール３０５が復元した異常パケットを格納し、モード管理モジュール３１０は監視装置３０の動作モードを管理する。動作モードには、初期モードおよび運用モードの２種類のモードがある。初期モードは定常パターンを取得するための監視装置３０の動作モードであり、運用モードは異常パターンを取得するための監視装置３０の動作モードである。

【0025】

監視装置３０の動作モードが、モード管理モジュール３１０によって初期モードに設定されると、監視装置３０およびログ解析システムは試運転状態となり、監視装置３０の動作モードがモード管理モジュール３１０によって運用モードに設定されると、監視装置３０およびログ解析システムは運用状態となる。

【0026】

例えば、監視装置３０の動作モードは、必要最低限の特定の制御コマンドが制御装置１０に入力された際に、モード管理モジュール３１０によって初期モードに設定される。また、例えば、監視装置３０の動作モードは、初期モード以外の場合はモード管理モジュール３１０によって運用モードとされる。

【0027】

なお、監視装置３０の動作モードの設定方法は、上記に限らず、例えば、監視装置３０の起動時に初期モードとする、または、監視装置３０がスイッチなどから受けることで初期モードとする。

【0028】

また、異常パケット抽出処理ＳＰ３５（図９参照）中などは、監視装置３０の動作モードを初期モードに設定できないようにしてもよく、パターン抽出処理ＳＰ２５（図７参照）中などは、監視装置３０の動作モードを運用モードに設定できないようにしてもよい。

【0029】

図２に制御装置１０のハードウェア構成を示す。制御装置１０は、通信装置１１、入出力装置１２、記憶装置１３、ＣＰＵ１４およびメモリ１５を備え、各装置間がバスなどの内部通信線１６で連結される。

【0030】

通信装置１１はネットワークカードなどであり、通信モジュール１０２を備える。入出力装置１２はキーボード、マウスおよびディスプレイなどであり、入出力装置１２を使用してユーザは制御コマンドを作成する。また、入出力装置１２は、ＬＥＤおよびプッシュボタンなどでもよいものとする。

【0031】

メモリ１５は制御処理モジュール１０１を備え、制御処理モジュール１０１をＣＰＵ１４が呼び出して制御処理を行う。制御処理を行う際および制御コマンドが作成される際には記憶装置１３に格納されている制御コマンドに関連する各種テーブルが使用される。

【0032】

図３にネットワーク装置２０のハードウェア構成を示す。ネットワーク装置２０は、ネットワークカードなどの通信装置２１、記憶装置２２、入出力装置２３、ＣＰＵ２４およびメモリ２５を備え、各装置間がバスなどの内部通信線２６で連結される。

【0033】

通信装置２１は、第１通信装置２１_１、第２通信装置２１_２、第３通信装置２１_３などであり、第１通信装置２１_１は第１通信モジュール２０２を備え、第２通信装置２１_２は第２通信モジュール２０３を備え、第３通信装置２１_３は第３通信モジュール２０４を備える。なお通信装置２１は３つに限定されず、ネットワーク装置２０は４つ以上の通信装置２１を備えてもよい。

【0034】

例えば、第１通信装置２１_１にはネットワーク４０を介して制御装置１０_１が接続され、第２通信装置２１_２には監視装置３０が接続され、第３通信装置２１_３には制御装置１０_ｎが接続されていてもよい。

【0035】

メモリ２５はパケット複製モジュール２０１を備え、パケット複製モジュール２０１をＣＰＵ２４が呼び出して通信パケット１２００を複製するパケット複製処理を行う。記憶装置２２にはパケット複製処理に使用されるテーブルなどが格納される。

【0036】

入出力装置２３は、キーボード、マウスおよびディスプレイなどであり、入出力装置２３を使用してユーザは複製する通信パケット１２００に付加情報を追加したり送信先の情報を変更したりしてもよい。また、入出力装置２３は、ＬＥＤおよびプッシュボタンなどでもよいものとする。

【0037】

図４に監視装置３０のハードウェア構成を示す。監視装置３０は、通信装置３１、入出力装置３２、記憶装置３３、ＣＰＵ３４、メモリ３５および記憶媒体３７を読み込む読取装置３６を備え、各装置間がバスなどの内部通信線３８で連結される。

【0038】

通信装置３１はネットワークカードなどであり、通信モジュール３０１を備える。入出力装置３２はキーボード、マウスおよびディスプレイなどであり、入出力装置３２を使用してユーザはマウスおよびキーボードで条件を指定しディスプレイに出力モジュール３０６が出力する監視結果を表示することでログ解析システムの監視を行う。また、入出力装置３２は、ＬＥＤやプッシュボタンなどでもよいものとする。

【0039】

メモリ３５は通信パケット取得モジュール３０２、パターン抽出モジュール３０３、異常パターン抽出モジュール３０４、異常パケット復元モジュール３０５、出力モジュール３０６およびモード管理モジュール３１０を備える。記憶装置３３は、通信パケット格納モジュール３０７、定常パターン格納モジュール３０８および異常パケット格納モジュール３０９を備える。ＣＰＵ３４は、メモリ３５が備える各モジュールを呼び出して監視処理を行う。監視処理を行う際、記憶装置３３が備える各モジュールが使用される。

【0040】

（１−２）ログ解析機能
本実施形態のログ解析システムにおけるログ解析機能について説明する。ログ解析機能は、例えば、監視装置３０の記憶装置３３に格納されたプログラムがメモリ３５にロードされ、ＣＰＵ３４により実行される。

【0041】

また、各プログラムは予め記憶装置３３に格納されても良いし、他の記憶媒体または通信媒体（ネットワークまたはネットワークを伝搬する搬送波）を介して、必要なときに導入されても良い。

【0042】

図５に、第１の実施の形態によるログ解析システムの試運転時の実施処理の流れを示すシーケンス図を示す。

【0043】

監視装置３０のモード管理モジュール３１０は、監視装置３０の動作モードを初期モードに設定する。ここで、動作モードが初期モードに設定できない、または、以降の処理が初期モードに設定されないまま実行されようとする場合には、以降の処理を中止しても良い。

【0044】

制御装置１０_１は制御処理モジュール１０１_１で制御コマンドを生成し、通信モジュール１０２_１を介してネットワーク装置２０へ制御コマンドを送信する（ＳＰ１１）。ネットワーク装置２０のパケット複製モジュール２０１は、制御装置１０_１からの制御コマンドを、第１通信モジュール２０２を介して取得し、通信パケット１２００として制御コマンドを複製する。

【0045】

第２通信モジュール２０３は、パケット複製モジュール２０１が複製した制御コマンドを、監視装置３０へ送信する（ＳＰ１２）。また第３通信モジュール２０４は、パケット複製モジュール２０１が複製した制御コマンドを、制御装置１０_ｎへ送信する（ＳＰ１３）。

【0046】

監視装置３０の通信パケット取得モジュール３０２は、通信モジュール３０１を介して制御コマンドを取得すると、受信時刻および受信サイズを取得し、通信パケット格納モジュール３０７へ通信パケット１２００を格納する。

【0047】

制御装置１０_ｎの制御処理モジュール１０１_ｎは、通信モジュール１０２_ｎを介して制御コマンドを取得すると、制御コマンドに基づき処理を行い、制御コマンドに対する応答を、通信モジュール１０２_ｎを介してネットワーク装置２０へ返送する（ＳＰ１４）。

【0048】

ネットワーク装置２０のパケット複製モジュール２０１は、制御装置１０_ｎからの制御コマンドに対する応答を、第３通信モジュール２０４を介して取得すると、制御コマンドに対する応答を複製する。

【0049】

複製した制御コマンドに対する応答を、第２通信モジュール２０３を介して監視装置３０へ送信する（ＳＰ１５）。また複製した制御コマンドに対する応答を、第１通信モジュール２０２を介して制御装置１０_１へ送信する（ＳＰ１６）。

【0050】

監視装置３０の通信パケット取得モジュール３０２は、通信モジュール３０１を介して制御コマンドに対する応答を取得すると、受信時刻および受信サイズを取得し、通信パケット格納モジュール３０７へ通信パケット１２００を格納する。

【0051】

監視装置３０の通信パケット取得モジュール３０２は、例えば、監視装置３０が外部から電気的な信号をスイッチなどから受けること、通信によって制御コマンドなどで指示を与えられること、または、予め送受信される通信パケット数が定まっていて、その通信パケット数が流れたことによって、試運転が終了したか否かを判断する。

【0052】

図６に監視装置３０におけるパターン格納処理の処理手順を示すフローチャートを示す。通信パケット取得モジュール３０２は、通信モジュール３０１を介して制御コマンドや制御コマンドに対する応答を取得すると、受信時刻および受信サイズを取得し（ＳＰ２１およびＳＰ２２）、通信パケット格納モジュール３０７へ通信パケット１２００を格納する（ＳＰ２３）。

【0053】

通信パケット格納モジュール３０７へ通信パケット１２００を格納すると、通信パケット取得モジュール３０２は、試運転が終了したか否かを判断する（ＳＰ２４）。通信パケット取得モジュール３０２は、この判断で否定結果を得るとステップＳＰ２１へ戻り、ステップＳＰ２４で肯定結果を得るまでステップＳＰ２１〜ステップＳＰ２３の処理を繰り返す。この繰り返し処理により、監視装置３０はログ解析システムの試運転時における通信パケット１２００を取得する。

【0054】

通信パケット取得モジュール３０２が、試運転が終了したことによってステップＳＰ２４で肯定結果を得ると、パターン抽出モジュール３０３は図７に示す定常パターンを抽出するパターン抽出処理を行う（ＳＰ２５）。

【0055】

パターン抽出モジュール３０３は、通信パケット格納モジュール３０７から通信パケット１２００を取得する（ＳＰ２５１）。この際にパターン抽出モジュール３０３が取得する通信パケット１２００は、通信パケット格納モジュール３０７に格納されている全ての通信パケット１２００でも良いし、あらかじめ定められたデータ量に該当する通信パケット１２００でも良い。

【0056】

パターン抽出モジュール３０３は、取得した通信パケット１２００の送受信時刻とサイズが記載した、時系列に沿ったデータを生成する（ＳＰ２５２）。なお送受信時刻とともに記載する情報はサイズに限ったものではなく、当該時刻における通信パケット１２００の送受信回数や特定のデータサイズに該当する通信パケット１２００の量などでも良い。

【0057】

パターン抽出モジュール３０３は、生成した時系列データを周波数変換し、周波数とその強度（影響度）分布の情報を生成する（ＳＰ２５３）。なお周波数変換には例えばＦＦＴ（高速フーリエ変換）などの手法が利用可能である。

【0058】

パターン抽出モジュール３０３は、周波数変換したデータに含まれる周波数とその強度（影響度）を定常パターンとして定常パターン格納モジュール３０８に格納する（ＳＰ２６）。モード管理モジュール３１０は、監視装置３０の動作モードを運用モードに設定し（ＳＰ２７）、監視装置３０は通信パターン格納処理を終了する。なお、動作モードを設定する際に通信パケット格納モジュール３０７に格納した通信パケット１２００を削除してもよい。

【0059】

第１の実施の形態によるログ解析システムの運用時の実施処理の流れは、図５に示すシーケンス図と概要は同じであるため、差異がある箇所についてのみ説明する。

【0060】

運用時には、モード管理モジュール３１０は設定を変更しない。また監視装置３０はパターン格納処理の代わりに、図８に示す異常パケット格納処理を行う。通信パケット取得モジュール３０２は、通信モジュール３０１を介して制御コマンドや制御コマンドに対する応答を取得すると、受信時刻および受信サイズを取得し（ＳＰ３１およびＳＰ３２）、通信パケット格納モジュール３０７へ通信パケット１２００を格納する（ＳＰ３３）。

【0061】

通信パケット格納モジュール３０７へ通信パケット１２００を格納すると、通信パケット取得モジュール３０２は、運用状態に設定されてから一定時間が経過したか否かを判断する（ＳＰ３４）。なおステップＳＰ３４の判断の条件は一定時間の経過ではなくてもよく、例えば監視装置３０が外部から電気的な信号をスイッチなどから受けたか否か、通信によって制御コマンドなどで指示を与えられたか否か、または、予め送受信される通信パケット数が定まっていて、その通信パケット数が流れたか否か、によって判断してもよい。

【0062】

通信パケット取得モジュール３０２は、この判断で否定結果を得るとステップＳＰ３１へ戻り、ステップＳＰ３４で肯定結果を得るまでステップＳＰ３１〜ステップＳＰ３３の処理を繰り返す。この繰り返し処理により、監視装置３０は運用時のログ解析システムにおける通信パケット１２００を取得する。

【0063】

通信パケット取得モジュール３０２が、一定時間が経過したことによってステップＳＰ３４で肯定結果を得ると、異常パターン抽出モジュール３０４は図９に示す異常パケットを抽出する異常パケット抽出処理を行う（ＳＰ３５）。

【0064】

異常パターン抽出モジュール３０４は、通信パケット格納モジュール３０７から通信パケット１２００を取得する（ＳＰ３５１）。この際にパターン抽出モジュール３０３が取得する通信パケット１２００は、通信パケット格納モジュール３０７に格納されている全ての通信パケット１２００でも良いし、あらかじめ定められた期間に該当する通信パケット１２００でも良いし、あらかじめ定められたデータ量に該当する通信パケット１２００でも良い。

【0065】

異常パターン抽出モジュール３０４は、取得した通信パケット１２００の送受信時刻とサイズが記載した、時系列に沿ったデータを生成する（ＳＰ３５２）。なお送受信時刻とともに記載する情報はサイズに限ったものではなく、当該時刻における通信パケット１２００の送受信回数や特定のデータサイズに該当する通信パケット１２００の量などでも良い。

【0066】

異常パターン抽出モジュール３０４は、生成した時系列データを周波数変換し、周波数とその強度（影響度）分布の情報を生成する（ＳＰ３５３）。なお周波数変換には例えばＦＦＴ（高速フーリエ変換）などの手法が利用可能である。

【0067】

異常パターン抽出モジュール３０４は、定常パターン格納モジュール３０８に格納されている定常パターンを取得する（ＳＰ３５４）。異常パターン抽出モジュール３０４は、周波数変換した時系列データと取得した定常パターンとを比較し差分を抽出することで異常パターンを抽出する（ＳＰ３５５）。

【0068】

異常パケット復元モジュール３０５は、異常パターン抽出モジュール３０４が抽出した異常パターンを基に異常パケットを復元する（ＳＰ３５６）。実際上、異常パケット復元モジュール３０５は、異常パターンを逆ＦＦＴ（逆高速フーリエ変換）などの逆周波数変換することで、時刻およびサイズの情報を取得する。

【0069】

異常パケット復元モジュール３０５は、取得した時刻およびサイズの情報と、異常パターン抽出モジュール３０４が通信パケット格納モジュール３０７から取得した通信パケット１２００とを用いて異常パケットを復元する。

【0070】

異常パケット復元モジュール３０５は、復元した異常パケットを異常パケット格納モジュールへ格納する（ＳＰ３６）。出力モジュール３０６は、異常パケット復元モジュール３０５が復元した異常パケットなどをディスプレイなどの画面に出力し（ＳＰ３７）、監視装置３０は異常パケット格納処理を終了する。

【0071】

図１０に監視画面１０００の構成を略線的に示す略線図を示す。監視画面１０００は、出力モジュール３０６が出力する画面であり、通信状況１００１、通信データ詳細１００２、異常通信抽出結果１００３および遷移ボタン１００４を備える。

【0072】

通信状況１００１は、通信パケット１２００の日時を横軸に、サイズ情報を縦軸にしたグラフとなっているが、これに限定されない。通信データ詳細１００２は、通信パケット１２００の日時情報、送受信先、サイズ情報を備えるが、これに限定されない。

【0073】

異常通信抽出結果１００３は、通信パケット１２００のうち異常パケットと想定されるパケットの日時情報とサイズ情報が含まれるが、これに限定されるものではない。遷移ボタン１００４が押下されることにより、図１１に示す異常監視画面１１００へと画面表示が遷移する。

【0074】

なお、監視画面１０００の構成要素は上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。また、監視画面１０００の構成要素の順序は上記に限定されるものではない。

【0075】

異常監視画面１１００は、出力モジュール３０６が出力する画面であり、異常パケット概要１１０１、異常パケット詳細１１０２および遷移ボタン１１０３を備える。異常パケット概要１１０１は、日時情報を横軸に、単位時間あたりの異常パケット数を縦軸にしたグラフとなっているが、これに限定されるものではなく、例えば縦軸をサイズ情報としてもよい。

【0076】

異常パケット詳細１１０２は、異常パケットの日時情報、送受信先、実際に送受信されたデータ情報が含まれるが、これに限定されるものではない。なお、異常監視画面１１００の構成要素は上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。また、異常監視画面１１００の構成要素の順序は上記に限定されるものではない。

【0077】

なお上記では監視画面１０００と異常監視画面１１００は別の画面表示としたが、監視画面１０００の遷移ボタン１００４の代わりに、異常パケット概要１１０１、異常パケット詳細１１０２を表示してもよいものとする。

【0078】

図１２に通信パケット１２００の構成を示す概念図を示す。通信パケット１２００は通信パケット格納モジュール３０７に格納され、複数であり、パケットを受信した受信日時１２０１、パケットのサイズ１２０２およびパケットのバイナリデータであるパケットデータ１２０３を備える。

【0079】

通信パケット１２００の構成要素は上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。また、通信パケット１２００の構成要素の順序は上記に限定されるものではない。

【0080】

図１３に通信パターン１３００の構成を示す概念図を示す。通信パターン１３００は、監視装置３０の定常パターン格納モジュール３０８に格納されている定常パターンや異常パターン抽出モジュール３０４によって抽出される異常パターンなどである。

【0081】

通信パターン１３００は、通信の発生する周期１３０１とその周期１３０１を構成するデータの占める割合を示す強度である影響度１３０２から構成される。ここで、通信パターン１３００の構成要素は上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。また、通信パターン１３００の構成要素の順序は上記に限定されるものではない。

【0082】

図１４に通信パターン１３００の周波数と強度の分布を示す概念図を示す。分布グラフ１４０１は通信パターン１３００を、縦軸を強度とし、横軸を周波数（Ｈｚ）としたグラフである。分布グラフ１４０２は定常パターンをグラフ化しており、分布グラフ１４０３は異常パターンをグラフ化している。

【0083】

ここでは、通信パターン１３００として、１Ｈｚ（影響度が１５）、５Ｈｚ（影響度が１０）、１０Ｈｚ（影響度が５）および１５Ｈｚ（影響度が１０）を取得したとし、定常パターンが１Ｈｚ（影響度が１５）、５Ｈｚ（影響度が１０）および１５Ｈｚ（影響度が１０）の場合、１０Ｈｚ（影響度が５）を異常パターンとして抽出している。

【0084】

（１−３）本実施の形態の効果
以上のように本実施の形態のログ解析システムでは、監視装置において、制御システムの試運転時などに収集した定常的な動作パターンに関連するログを除外したログデータを出力することにより、異常検知や対処に必要となる情報を効果的に抽出するようにした。

【0085】

従って、本ログ解析システムでは、不正アクセスから制御システムをより効果的に防衛することできるログ解析システムおよびその方法を実現できる。

【0086】

（２）第２の実施の形態
第１の実施の形態では、企業内ネットワークなどの安全性の高いネットワーク４０のみで接続されたログ解析システムについて説明したが、図１５に示すインターネットなどの外部ネットワーク７０を通して、制御システムの外のネットワークでログ解析を行ってもよい。第１の実施の形態との差分について説明する。

【0087】

制御装置１０、ネットワーク装置２０およびネットワーク４０に関しては第１の実施の形態と同様であるため、説明を省略する。本実施の形態では、監視装置３０に相当する装置は、収集装置５０および監視センタ６０である。収集装置５０および監視センタ６０のハードウェア構成は監視装置３０と同様であるため、説明を省略する。

【0088】

収集装置５０は、収集装置５０_１〜５０_ｎの複数個あり、レイヤ２スイッチやサーバなどの通信パケット１２００を収集する装置であり、通信モジュール５０１、通信パケット取得モジュール５０２、パターン抽出モジュール５０３、異常パターン抽出モジュール５０４、異常パケット復元モジュール５０５、外部通信モジュール５０６、通信パケット格納モジュール５０７、定常パターン格納モジュール５０８およびモード管理モジュール５０９を備える。

【0089】

通信モジュール５０１、通信パケット取得モジュール５０２、パターン抽出モジュール５０３、異常パターン抽出モジュール５０４および異常パケット復元モジュール５０５は通信モジュール３０１、通信パケット取得モジュール３０２、パターン抽出モジュール３０３、異常パターン抽出モジュール３０４および異常パケット復元モジュール３０５と同等であるため、説明を省略する。

【0090】

通信パケット格納モジュール５０７、定常パターン格納モジュール５０８およびモード管理モジュール５０９は通信パケット格納モジュール３０７、定常パターン格納モジュール３０８およびモード管理モジュール３１０と同等であるため、説明を省略する。外部通信モジュール５０６は外部ネットワーク７０を介して他の収集装置５０の外部通信モジュール５０６および監視センタと通信を行う。

【0091】

なおそれぞれの収集装置５０が通信モジュール５０１_ｎ、通信パケット取得モジュール５０２_ｎ、パターン抽出モジュール５０３_ｎ、異常パターン抽出モジュール５０４_ｎ、異常パケット復元モジュール５０５_ｎ、外部通信モジュール５０６_ｎ、通信パケット格納モジュール５０７_ｎ、定常パターン格納モジュール５０８_ｎおよびモード管理モジュール５０９_ｎといった各モジュールを備える。通信モジュール５０１_ｎは例えばネットワーク装置２０の第４通信モジュールと通信する。

【0092】

監視センタ６０は、出力モジュール６０１、集約異常パケット格納モジュール６０２および通信モジュール６０３を備える。通信モジュール６０３は外部ネットワーク７０を介して、収集装置５０から異常パケットを取得する。集約異常パケット格納モジュール６０２は、それぞれの収集装置５０から取得した異常パケットを格納する。出力モジュール６０１は、それぞれの収集装置５０から取得した異常パケットを出力する。

【0093】

出力モジュール６０１がディスプレイなどに出力する出力画面については第１の実施の形態で説明した通りであるが、複数の収集装置の結果を示すため、収集装置毎に監視画面があってもよいし、収集装置の識別情報を付加して表示してもよい。

【0094】

本実施の形態によるログ解析システムの試運転時の実施処理の流れは、図５に示すシーケンス図の流れと同じであるため、説明を省略する。なお、監視装置３０のモード管理モジュール３１０の代わりに、収集装置５０のモード管理モジュール５０９が動作モードを初期モードに設定する。

【0095】

第２の実施の形態によるログ解析システムの運用時の実施処理の流れは、第２の実施の形態によるログ解析システムの運用時の実施処理の流れと概要は同じであるため、差異がある箇所についてのみ図１６を用いて説明する。

【0096】

ステップＳＰ４１〜ステップＳＰ４６は、監視装置３０を収集装置５０に置き換えるとステップＳＰ１１〜ステップＳＰ１６と同様である。収集装置５０の外部通信モジュール５０６は異常パケット復元モジュール５０５が復元した異常パケットを監視センタ６０へ送信する（ＳＰ４７）。

【0097】

本実施の形態においては、処理を収集装置５０および監視センタ６０で分けるため処理負荷が分散し高速な処理が実現できる。

【0098】

（３）第３の実施の形態
第２の実施の形態では、収集装置５０から異常パケットを監視センタ６０へ送信したが、本実施の形態においては、図１７に示すように、収集装置５０は通信パケット１２００を監視センタ６０へ送信し、監視センタ６０で異常パターンの抽出および異常パケットの復元を行う。

【0099】

制御装置１０、ネットワーク装置２０およびネットワーク４０に関しては第１の実施の形態と同様であるため、説明を省略する。収集装置５０および監視センタ６０のハードウェア構成は第２の実施の形態と同様であるため、説明を省略する。

【0100】

収集装置５０は、収集装置５０_１〜５０_ｎであり、レイヤ２スイッチやサーバなどの通信パケット１２００を収集する装置であり、通信モジュール５０１、通信パケット取得モジュール５０２、外部通信モジュール５０６、通信パケット格納モジュール５０７、およびモード管理モジュール５０９を備える。

【0101】

通信モジュール５０１、通信パケット取得モジュール５０２、外部通信モジュール５０６、通信パケット格納モジュール５０７およびモード管理モジュール５０９は第２の実施の形態と同等であるため、説明を省略する。

【0102】

監視センタ６０は、レイヤ２スイッチやサーバなどのログ解析システムを監視する装置であり、出力モジュール６０１、集約異常パケット格納モジュール６０２、通信モジュール６０３、パターン抽出モジュール６０４、異常パターン抽出モジュール６０５、異常パケット復元モジュール６０６、および定常パターン格納モジュール６０７を備える。

【0103】

ログ解析システムの試運転時には、パターン抽出モジュール６０４は、通信モジュール６０３および外部ネットワーク７０を介して、収集装置５０から通信パケット１２００を取得する。運用時には、異常パターン抽出モジュール６０５は、通信モジュール６０３および外部ネットワーク７０を介して、収集装置５０から通信パケット１２００を取得する。

【0104】

出力モジュール６０１がディスプレイなどに出力する出力画面については第２の実施の形態で説明した通りである。

【0105】

本実施の形態によるログ解析システムの試運転時の実施処理の流れは、図１６に示すシーケンス図の流れと概要は同じであるため、差異がある箇所についてのみ図１８を用いて説明する。

【0106】

最初に収集装置５０のモード管理モジュール５０９は、収集装置５０の動作モードを初期モードに設定する。ここで、動作モードが初期モードに設定できない、または、以降の処理が初期モードに設定されないまま実行されようとする場合には、以降の処理を中止しても良い。

【0107】

次に監視センタ６０のモード管理モジュール６０８は、監視センタ６０の動作モードを初期モードに設定する。ここで、動作モードが初期モードに設定できない、または、以降の処理が初期モードに設定されないまま実行されようとする場合には、以降の処理を中止しても良い。

【0108】

ステップＳＰ５１〜ステップＳＰ５７はステップＳＰ４１〜ステップＳＰ４７と同様である。収集装置５０の外部通信モジュール５０６から通信パケット１２００が監視センタ６０の通信モジュール６０３に送信される（ＳＰ５７）。

【0109】

監視センタ６０の通信モジュール６０３が通信パケット１２００を受信すると、監視センタは各処理を行ったのち、モード管理モジュール６０８は、監視センタ６０の動作モードを運用モードに設定し、監視センタ６０の通信モジュール６０３は収集装置５０の外部通信モジュール５０６へ応答を返送する（ＳＰ５８）。

【0110】

収集装置５０の外部通信モジュール５０６が応答を受信すると、モード管理モジュール５０９は収集装置５０の動作モードを運用モードに設定する。

【0111】

本実施の形態によるログ解析システムの運用時の実施処理の流れは、第２の実施の形態によるログ解析システムの運用時の実施処理の流れと同じであるため、説明を省略する。

【0112】

本実施の形態においては、処理を収集装置５０および監視センタ６０で分けるため処理が分散し高速な処理が実現できる。

【0113】

（４）その他の実施の形態
なお上述の第１、第２および第３の実施の形態においては、監視装置３０、収集装置５０およびネットワーク装置２０が別装置である場合について述べたが、本発明はこれに限らず、例えば監視装置３０や収集装置５０内にネットワーク装置２０の機能が含まれている場合や、制御装置１０や監視装置３０や収集装置５０にネットワーク４０との通信機能が含まれておらず、別の装置を経由してネットワーク４０と通信を行うようにしてもよい。

【0114】

また上述の第１、第２および第３の実施の形態においては、ネットワーク４０や外部ネットワーク７０にフィルタをかけていない場合について述べたが、本発明はこれに限らず、ネットワーク４０や外部ネットワーク７０にフィルタをかけてもよい。

【符号の説明】

【0115】

１０：制御装置、１１：通信装置、１２：入出力装置、１３：記憶装置、１４：ＣＰＵ、１５：メモリ、１６：内部通信線、１０１：制御処理モジュール、１０２：通信モジュール、２０：ネットワーク装置、２１：通信装置、２１_１：第１通信装置、２１_２：第２通信装置、２１_３：第３通信装置、２２：記憶装置、２３：入出力装置、２４：ＣＰＵ、２５：メモリ、２６：内部通信線、２０１：パケット複製モジュール、２０２：第１通信モジュール、２０３：第２通信モジュール、２０４：第３通信モジュール、３０：監視装置、３１：通信装置、３２：入出力装置、３３：記憶装置、３４：ＣＰＵ、３５：メモリ、３６：読取装置、３７：記憶媒体、３８：内部通信線、３０１：通信モジュール、３０２：通信パケット取得モジュール、３０３：パターン抽出モジュール、３０４：異常パターン抽出モジュール、３０５：異常パケット復元モジュール、３０６：出力モジュール、３０７：通信パケット格納モジュール、３０８：定常パターン格納モジュール、３０９：異常パケット格納モジュール、３１０：モード管理モジュール、５０：収集装置、５０１：通信モジュール、５０２：通信パケット取得モジュール、５０３：パターン抽出モジュール、５０４：異常パターン抽出モジュール、５０５：異常パケット復元モジュール、５０６：外部通信モジュール、５０７：通信パケット格納モジュール、５０８：定常パターン格納モジュール、５０９：モード管理モジュール、６０：監視センタ、６０１：出力モジュール、６０２、集約異常パケット格納モジュール、６０３：通信モジュール、６０４：パターン抽出モジュール、６０５：異常パターン抽出モジュール、６０６：異常パケット復元モジュール、６０７：定常パターン格納モジュール、６０８：モード管理モジュール、７０：外部ネットワーク。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】