特許 7403414 通信中継装置および通信中継方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2023-12-14

(45)【発行日】2023-12-22

(54)【発明の名称】通信中継装置および通信中継方法

(51)【国際特許分類】

   H04L 12/66 20060101AFI20231215BHJP

   H04L 12/22 20060101ALI20231215BHJP

   H04L 43/0894 20220101ALI20231215BHJP

【ＦＩ】

H04L12/66

H04L12/22

H04L43/0894

【請求項の数】 10

(21)【出願番号】P 2020137974

(22)【出願日】2020-08-18

(65)【公開番号】P2022034264

(43)【公開日】2022-03-03

【審査請求日】2023-02-10

(73)【特許権者】

【識別番号】000005108

【氏名又は名称】株式会社日立製作所

(74)【代理人】

【識別番号】110002365

【氏名又は名称】弁理士法人サンネクスト国際特許事務所

(72)【発明者】

【氏名】岩澤 寛

(72)【発明者】

【氏名】遠藤 浩通

【審査官】前田 健人

(56)【参考文献】

【文献】特開２０１４－１４６８６８（ＪＰ，Ａ）

【文献】特開２００９－０８８７３２（ＪＰ，Ａ）

【文献】特開２００４－３１８７４２（ＪＰ，Ａ）

【文献】特開２０１７－００５４０２（ＪＰ，Ａ）

【文献】欧州特許出願公開第２００９８６４（ＥＰ，Ａ１）

【文献】米国特許出願公開第２００４／００３７３２６（ＵＳ，Ａ１）

【文献】特開２０１３－１３７７４５（ＪＰ，Ａ）

【文献】特開２０１９－０８３３５５（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ １２／６６

Ｈ０４Ｌ １２／２２

Ｈ０４Ｌ ４３／０８

(57)【特許請求の範囲】

【請求項1】

通信網を介して受信した通信データを保護対象装置へ中継する通信中継装置であって、
前記通信データから特徴値を抽出する特徴値抽出部と、
前記特徴値抽出部によって抽出された特徴値ごとの頻度の平均を算出し、該特徴値ごとの頻度の平均が特徴値ごとのしきい値以上である場合に遮断信号を出力する頻度判定部と、
前記特徴値抽出部によって抽出された特徴値ごとに、前記通信データの受信タイミングが所定の周期に対応する位相の範囲に合致するかを判定し、合致する場合に位相合致信号を出力する位相判定部と、
前記頻度判定部によって出力された前記遮断信号、および、前記位相判定部によって出力された前記位相合致信号に基づいて、前記通信データを破棄する破棄部と
を有することを特徴とする通信中継装置。

【請求項2】

前記破棄部は、
前記遮断信号が出力されている際、前記位相合致信号が出力されていない場合は前記通信データを破棄し、前記位相合致信号が出力されている場合は前記通信データを破棄せず前記保護対象装置へ中継する
ことを特徴とする請求項１に記載の通信中継装置。

【請求項3】

通信データの受信タイミングに基づいて前記所定の周期を学習する
ことを特徴とする請求項１に記載の通信中継装置。

【請求項4】

前記所定の周期に対応する位相の範囲を、同期検波信号の正負の符号に応じて検波対象信号の値の正負を反転させる同期検波を用いて検出する
ことを特徴とする請求項１に記載の通信中継装置。

【請求項5】

前記同期検波において、１８０／２^ｎ（ｎは自然数）度ずつ位相がずれた２^ｎ個の前記同期検波信号を用いる
ことを特徴とする請求項４に記載の通信中継装置。

【請求項6】

ｎ＝１であることを特徴とする請求項５に記載の通信中継装置。

【請求項7】

ｎ＝２であることを特徴とする請求項５に記載の通信中継装置。

【請求項8】

前記頻度判定部は、
前記特徴値ごとの頻度の平均を、前記特徴値ごとの前記通信データの受信タイミングをパルス入力とした一次遅れ系のローパスフィルタの出力の大きさとして算出する
ことを特徴とする請求項１に記載の通信中継装置。

【請求項9】

前記特徴値ごとのしきい値を、一定時間内に受信した前記特徴値ごとの前記通信データの受信タイミングを一次遅れ系のローパスフィルタのパルス入力とした場合の出力の大きさとして算出する
ことを特徴とする請求項１に記載の通信中継装置。

【請求項10】

通信網を介して受信した通信データを保護対象装置へ中継する通信中継装置が行う通信中継方法であって、
前記通信データから特徴値を抽出し、
前記抽出された特徴値ごとの頻度の平均を算出し、該特徴値ごとの頻度の平均が特徴値ごとのしきい値以上である場合に遮断信号を出力し、
前記抽出された特徴値ごとに、前記通信データの受信タイミングが既定の周期に対応する位相の範囲に合致するかを判定し、合致する場合に位相合致信号を出力し、
前記遮断信号および前記位相合致信号に基づいて、前記通信データを破棄する
各処理を含んだことを特徴とする通信中継方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、通信中継装置および通信中継方法に関する。

【背景技術】

【0002】

製造業における化学プラントや製品組み立て装置等の設備を制御する制御システムは、安全かつ安定な動作を維持する必要がある。かかる制御システムは、制御システム用のネットワークを介して、外部から定期的かつ周期的に受信した通信内容に基づいてリアルタイムで制御される。

【0003】

しかし、制御システムに対してその動作を阻害したり、誤った動作を行わせたりする意図で、制御システム用のネットワークを介して不正な内容のデータが送られる場合がある。対策として、このような不正な通信を遮断する能力を具備したファイアウォールやＩＰＳ（Ｉｎｔｒｕｓｉｏｎ Ｐｒｅｖｅｎｔｉｏｎ Ｓｙｓｔｅｍ）等を介して防御対象の装置を制御システム用のネットワークに接続する方法が知られている。

【0004】

例えば、制御システムに対する攻撃としては、攻撃目標であるサーバに対して、大量のデータを送り付けるＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅｓ）攻撃が知られている。ＤｏＳ攻撃が行われると、データを送り付けられたサーバは、負荷に耐え切れなくなってダウンしてしまうおそれがある。

【0005】

このようなＤｏＳ攻撃への対策として、特許文献１には通信内容からその特徴値を抽出し、その特徴値ごとに到来頻度を算出し、到来頻度が高い場合に当該特徴値をもつ通信を遮断することによりＤｏＳ攻撃を回避することができるネットワークシステムが開示されている。

【先行技術文献】

【特許文献】

【0006】

【文献】特開２００４－３１８７４２号公報

【発明の概要】

【発明が解決しようとする課題】

【0007】

しかし、特許文献１に開示された技術においては、正規の通信を傍受してその通信内容を大量に複製し送り付ける形式のＤｏＳ攻撃に対してそれを回避することが困難であるという課題がある。これは、従来技術では、正規の通信内容を複製されるとその攻撃通信の特徴値も正規の通信内容と同じになってしまい、区別をつけることができないためである。よって通信内容の特徴値ごとの到来頻度に基づくと、ＤｏＳ攻撃の不正通信を遮断すると同時に、本来通過させるべき正規の通信も不正通信と同様に遮断してしまい、対象設備の制御が継続できなくなるという不都合が生じる。

【0008】

本発明は、上記課題に鑑みてなされたものであり、その目的は、正規の通信の内容を大量に複製し送り付ける形式のＤｏＳ攻撃から保護対象装置を効果的に防御することができる技術を提供することにある。

【課題を解決するための手段】

【0009】

上記目的を達成するために、本発明の通信中継装置は、通信網を介して受信した通信データを保護対象装置へ中継する通信中継装置であって、前記通信データから特徴値を抽出する特徴値抽出部と、前記特徴値抽出部によって抽出された特徴値ごとの頻度の平均を算出し、該特徴値ごとの頻度の平均が特徴値ごとのしきい値以上である場合に遮断信号を出力する頻度判定部と、前記特徴値抽出部によって抽出された特徴値ごとに、前記通信データの受信タイミングが所定の周期に対応する位相の範囲に合致するかを判定し、合致する場合に位相合致信号を出力する位相判定部と、前記頻度判定部によって出力された前記遮断信号、および、前記位相判定部によって出力された前記位相合致信号に基づいて、前記通信データを破棄する破棄部とを有することを特徴とする。

【発明の効果】

【0010】

本発明によれば、正規の通信の内容を大量に複製し送り付ける形式のＤｏＳ攻撃から保護対象装置を効果的に防御することができる。

【図面の簡単な説明】

【0011】

【図1】第１の実施形態に係る通信中継装置の構成を表したブロック図である。

【図2】平均頻度判定回路における信号の時間変化を表すタイミングチャートである。

【図3】第１の実施形態に係る通信位相判定回路の構成を表したブロック図である。

【図4】第１の実施形態に係る通信位相判定回路の内部の各信号についてその時系列での変化の例を表したタイミングチャートである。

【図5】第１の実施形態に係る通信位相判定回路における、各ＬＰＦの出力と位相象限判定結果との関係を表した図である。

【図6】第１の実施形態に係る各検波信号と、各象限に対応する位相合致信号の関係を表した図である。

【図7】第２の実施形態に係る通信位相判定回路の構成を表したブロック図である。

【図8】第２の実施形態に係る通信位相判定回路における、各ＬＰＦの出力と位相象限判定結果との関係を表した図である。

【図9】第２の実施形態に係る各検波信号と、各象限に対応する位相合致信号の関係を表した図である。

【発明を実施するための形態】

【0012】

以下、本発明の実施形態について、図面を参照して説明する。なお、以下に説明する実施形態は特許請求の範囲に係る発明を限定するものではなく、また実施形態の中で説明されている諸要素およびその組合せの全てが発明の解決手段に必須であるとは限らない。また発明の構成に必須だが周知である構成については、図示および説明を省略する場合がある。また各図に示す各要素の数は一例であって、図示に限られるものではない。

【0013】

（第１の実施形態）
先ず第１の実施形態に係る通信中継装置１について説明する。図１は、第１の実施形態に係る通信中継装置１の構成を表したブロック図である。

【0014】

通信中継装置１は、その入力端子Ｔｉｎをネットワーク３に、出力端子Ｔｏｕｔを保護対象装置２に接続されている。保護対象装置２は、例えばＰＬＣ（Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｃｏｎｔｒｏｌｌｅｒ）等の、制御対象（図示しない）に直接接続された制御装置であり、制御対象に対して既定の制御周期で制御動作（センシング・アクチュエーション）を行う。制御対象は、化学プラントや、組立設備、製造設備等である。

【0015】

制御装置４は、例えば産業用ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）であり、保護対象装置２に対してその処理内容を指示するため、ネットワーク３を介して、保護対象装置２と、その制御周期に応じて周期的な通信を行う。

【0016】

ネットワーク３にはさらに攻撃者により攻撃装置９が接続されるおそれがある。攻撃装置９は、ネットワーク３を流れる通信データを傍受し、その複製を大量に保護対象装置２に送り付けるＤｏＳ攻撃を行う。このＤｏＳ攻撃に対して対策を行わない場合、保護対象装置２は受信される大量の通信データに対して処理が追い付かず、システムダウンしてしまうおそれがある。

【0017】

次に、通信中継装置１の内部構成について説明する。通信中継装置１は、特徴値抽出回路１３と、複数の平均頻度判定回路１５と、複数の通信位相判定回路１７と、破棄回路１９とを含んで構成されている。

【0018】

入力端子Ｔｉｎから入力された通信データ１１は、特徴値抽出回路１３および破棄回路１９へ入力される。本実施形態では、通信データ１１は、保護対象装置２の制御対象に対する処理内容を、保護対象装置２へ指示する制御フレーム等であるとするが、これに限られない。特徴値抽出回路１３は、入力された通信データ１１を分析してその特徴値１４を抽出し出力する。特徴値１４は、単に通信データ１１内の決まった位置の情報（例えば、送信元アドレス）を切り出したものでもよいし、ハッシュ関数等を用いて通信データ１１の内容全体から算出されるものでもよい。同じ通信データ１１からは同じ特徴値１４が、異なる通信データ１１からは異なる特徴値１４が抽出されるように構成される。特徴値抽出回路１３にて抽出された特徴値１４は、複数の平均頻度判定回路１５および複数の通信位相判定回路１７へ入力される。

【0019】

複数の平均頻度判定回路１５は、それぞれ異なる特徴値に対応し、割り当てられた特徴値１４ごとにその到来頻度の平均頻度を算出し、平均頻度が所定しきい値より大きいかどうかの判定を行う。平均頻度判定回路１５に設定されている特徴値は、事前設定された正規の通信データの特徴値であってもよいし、特徴値抽出回路１３によってＤｏＳ攻撃を受けていない通常状態における正規の通信データから取得されてもよい。通常状態とは、例えば通信データの受信頻度が所定値未満である場合をいう。

【0020】

各平均頻度判定回路１５は、対応する各特徴値の到来頻度の平均頻度が、特徴値ごとの所定しきい値より大きい場合に「頻度大」を表す遮断信号１６を出力する。平均頻度を算出する手法については、一定時間内に受信した回数を計数した結果を平均頻度とする手法でもよいし、一次遅れ系等によるローパスフィルタを形成してその出力の大きさを平均頻度とする手法でもよい。

【0021】

なお各平均頻度判定回路１５は、特徴値ごとの所定しきい値を、ＤｏＳ攻撃を受けていない通常状態における通信データの各特徴値の到来頻度をもとに、平均頻度と同様の手法で予め算出しておいてもよい。例えば、特徴値ごとの所定しきい値を、通常状態において一定時間内に受信した特徴値ごとの通信データの受信回数を計数した結果として算出してもよい。あるいは、特徴値ごとの所定しきい値を、通常状態において一定時間内に受信した特徴値ごとの通信データの受信タイミングを一次遅れ系のローパスフィルタのパルス入力とした場合の出力の大きさとして算出してもよい。

【0022】

それぞれの平均頻度判定回路１５の動作について、図２を用いて詳細を説明する。図２は、平均頻度判定回路１５における信号の時間変化を表すタイミングチャートである。図２の例では、特徴値１４がＡ、Ｂ、Ｃの３種類に分類され、通常状態ではそれぞれが一定の周期で到来している。また図２中にＤｏＳ状態として示した期間には、攻撃者によって特徴値Ａの通信データが複製され、ＤｏＳ状態の期間にわたって絶えず大量に送り付けられている。

【0023】

以上を前提とし、平均頻度判定回路１５は、その内部において、それぞれの特徴値ごとに通信データの受信タイミングをパルス入力とした一次遅れ系のローパスフィルタにより平均的な到来頻度を算出する。図２中では、通常状態では、特徴値Ａ、Ｂ、Ｃともその到来頻度の算出値は所定しきい値未満の低い値に抑えられている。しかし、ＤｏＳ状態では、特徴値Ａの到来頻度の算出結果が所定しきい値以上の高い値となる様子を示している。

【0024】

平均頻度判定回路１５は、こうして算出された各特徴値の到来頻度について、所定しきい値を超えるかを判定し、超える場合（頻度大）に当該特徴値について遮断を指示する遮断信号１６を破棄回路１９に対して出力し、超えない場合（頻度小）には遮断信号１６を出力しない。その結果、破棄回路１９は、特徴値Ａをもつ頻度大の通信データについてその破棄を行う。この場合において、特徴値ＢおよびＣをもつ通信データについては遮断信号１６が出力されないため、破棄回路１９は、当該通信データは遮断しない。

【0025】

図２中では、時刻ｔ１からｔ２までの期間において、特徴値Ａの通信データの遮断信号１６が出力されているため、当該期間において入力された特徴値Ａの全ての通信データが破棄されている。このように遮断信号１６のみでは、ＤｏＳ状態の最中に到来した特徴値Ａを持つ正規の通信データについても併せて遮断してしまう。これを改善するのが次に述べる通信位相判定回路１７の役割である。

【0026】

通信位相判定回路１７は、特徴値１４ごとに既定の周期に対応する位相かどうかの判定を行い、既定の周期に対応する位相の範囲内である場合（位相合致）に位相合致信号１８を出力し、範囲外である場合（非位相合致）には位相合致信号１８を出力しない。既定の周期における位相の判定方法については図３および図４をもとに後述する。

【0027】

破棄回路１９は、平均頻度判定回路１５からの遮断信号１６の出力の有無、および、通信位相判定回路１７からの位相合致信号１８の出力の有無をもとに、入力端子Ｔｉｎから入力された通信データ１１を出力端子Ｔｏｕｔからそのまま出力するか、出力せずに破棄するかの弁別動作を行う。具体的には、破棄回路１９は、平均頻度判定回路１５の判定結果が「頻度大」（遮断信号１６出力）の場合、入力された通信データ１１を破棄する。

【0028】

ただし破棄回路１９は、平均頻度判定回路１５の判定結果が「頻度大」の場合でも通信位相判定回路１７の判定結果が「位相合致」（位相合致信号１８出力）の場合には、入力された通信データ１１は破棄せずそのまま出力する。

【0029】

なお本実施形態では、通信中継装置１は、複数の特徴値に対応して複数の平均頻度判定回路１５および複数の通信位相判定回路１７を備えるとした。しかしこれに限らず、１つの平均頻度判定回路１５および１つの通信位相判定回路１７がそれぞれ複数の特徴値を取り扱う構成であってもよい。

【0030】

以上の構成により、通信中継装置１は、入力端子Ｔｉｎから入力された通信データ１１が高頻度である、すなわちＤｏＳ攻撃を受けている場合にはその通信データ１１を破棄し、通信データ１１の受信タイミングが既定の周期に対応する位相に合致している、すなわち正規の通信であると推定できる通信データ１１については破棄せずそのまま出力する。よって正当な通信の内容を大量に複製し送り付ける形式のＤｏＳ攻撃から保護対象装置２を効果的に防御することができる。

【0031】

ただし、位相合致信号１８が出力されるタイミングで到来するＤｏＳ攻撃の通信データも正規の通信データと区別せずに通過させてしまうが、保護対象装置２へ到達するＤｏＳ攻撃の通信データ量自体は削減できるため、システムダウンを防ぐことができる。

【0032】

次に、通信位相判定回路１７の内部構成とその動作について図３および図４をもとに説明する。図３は、第１の実施形態に係る通信位相判定回路１７の構成を表したブロック図である。また図４は、第１の実施形態に係る通信位相判定回路１７の内部の各信号についてその時系列での変化の例を表したタイミングチャートである。

【0033】

通信位相判定回路１７は、パルス信号生成回路１７０と、検波信号生成回路１７１，１７２と、検波回路１７３，１７４と、ローパスフィルタ１７５，１７６と、位相判定回路１７７と含んで構成されている。

【0034】

パルス信号生成回路１７０は、入力された特徴値１４が自回路に設定されている値に合致した場合に短いパルス信号１７００を出力する。図４に示した例では、通常状態では正規の通信データが所定の周期で入力され、ＤｏＳ状態では通信データが高頻度で入力されたような場合でのパルス信号１７００の波形を示している。

【0035】

検波信号生成回路１７１，１７２は、次に述べる同期検波処理のために必要な検波信号１７１０，１７２０を生成する。ここで生成される検波信号１７１０，１７２０は、制御装置４での制御処理と同じ周波数で、既定の周期であり、その大きさが＋１もしくは－１となる矩形波の信号である。そして、検波信号生成回路１７１が生成する検波信号１７１０と検波信号生成回路１７２が生成する検波信号１７２０は、図５および図６に示すように、互いに位相が９０度ずれている。

【0036】

検波回路１７３，１７４は、入力されたパルス信号１７００と検波信号１７１０，１７２０とをそれぞれ乗算して検波出力１７３０，１７４０として出力する。ただし、乗算といっても検波信号１７１０，１７２０は＋１または－１の値しかとらないため、図４に示したように、検波出力１７３０，１７４０はパルス信号１７００の符号がそのまま、もしくは反転したものとなる。このことから、検波回路１７３，１７４は汎用的な乗算回路を用いる必要はなく、符号反転の機能を備えていればよい。

【0037】

この検波回路の動作により、制御装置４での制御処理と同じ周波数で到来する通信データによる検波出力１７３０，１７４０は毎回同じ正負の符号となる。一方で異なる周波数で到来する通信データ、例えばＤｏＳ攻撃による通信データの符号は正負にばらついたものとなり、次に述べる平均化を行うとほぼゼロとなり、取り除くことができる。

【0038】

ローパスフィルタ（ＬＰＦ）１７５，１７６は、例えば一次遅れ系の入出力特性を持ち、正負のパルス状の信号である検波出力１７３０，１７４０を平均化し、ＤｏＳ攻撃等による通信データの成分を取り除いたＬＰＦ出力１７５０，１７６０をそれぞれ出力する機能を持つ。ＬＰＦ出力１７５０，１７６０は、図４に示したようにパルスの凹凸が平均化されたなめらかな波形となり、次に述べる位相判定に適した波形となる。

【0039】

位相判定回路１７７は、正規の通信データの到来タイミングの位相を判定する機能を持ち、判定した位相に応じた位相合致信号１８を出力する。判定の方法としては、ＬＰＦ出力１７５０，１７６０それぞれの正負の符号により判定する。図５は、第１の実施形態に係る通信位相判定回路１７における、各ＬＰＦ１７５，１７６の出力と位相象限判定結果との関係を表した図である。図６は、第１の実施形態に係る各検波信号１７１０，１７２０と、各象限１，２，３，４に対応する位相合致信号１８の関係を表した図である。

【0040】

具体的には、図５に示したようにＬＰＦ出力１７５０，１７６０それぞれの正負の別により象限（位相の範囲）を判定する。そして、当該象限に対応した位相合致信号を図６に示したような対応関係から選択して位相合致信号１８として出力する。

【0041】

詳細には、図５に基づくと、ＬＰＦ出力１７５０，１７６０が共に正の場合は象限１、ＬＰＦ出力１７５０が負かつＬＰＦ出力１７６０が正の場合は象限２、ＬＰＦ出力１７５０，１７６０が共に負の場合は象限３、ＬＰＦ出力１７５０が正かつＬＰＦ出力１７６０が負の場合は象限４である。図４では、全ての期間にわたってＬＰＦ出力１７５０が正かつＬＰＦ出力１７６０が負の場合に該当するので、象限４と判定される。

【0042】

そして、図６を参照すると、象限４に対応する位相合致信号は、検波信号１７１０の立ち上りのタイミングでＨｉとなり検波信号１７２０の立ち上がりのタイミングでＬｏとなるパルスである。よって図４に示すタイミングで位相合致信号１８が出力される。

【0043】

以上の構成により、通信位相判定回路１７は特徴値１４の入力を受け、それに含まれる正規の通信データの受信タイミングの所定近傍の通信データを通過させるように位相合致信号１８を出力することができる。たとえＤｏＳ攻撃が周期性を持っていたとしても、正規の通信データの周波数および位相に合致しない限りは不正な通信データと判定され破棄される。

【0044】

なおネットワーク３を介して入力端子Ｔｉｎへ入力される通信データの単位時間の通信量と、出力端子Ｔｏｕｔから保護対象装置２へ出力される通信データの単位時間の通信量を比較し、後者の通信量が少ない場合には、通信中継装置１によってＤｏＳ攻撃の通信データが削減されているとみることができる。またネットワーク３を介して入力端子Ｔｉｎへ入力される通信データの周期性と、出力端子Ｔｏｕｔから保護対象装置２へ出力される通信データの周期性を比較し、後者の周期性が制御装置４および保護対象装置２の制御処理周期により近い場合には、通信中継装置１によってＤｏＳ攻撃の通信データが削減されているとみることができる。かかる情報を表示装置に表示することで、正規の通信データのコピーを使ったＤｏＳ攻撃と、このＤｏＳ攻撃に対する防御の実行を認識できる。

【0045】

（第１の実施形態の効果）
従来技術では、通信データを特徴量で識別し特徴量ごとのデータ頻度に基づいて削除するため、ＤｏＳ攻撃等の不正な通信データのみならず本来通過させるべき正規の通信データも破棄してしまうという不都合があった。これに対し、本実施形態によれば、通信データを特徴量で識別し特徴量ごとのデータ頻度に基づいて削除することに加え、正規の通信データの周期性に着目し、この周期性に合致する通信データを破棄しないようにする。よって、ＤｏＳ攻撃によるトラヒックを削減して保護対象装置のシステムダウンを防ぎつつ、本来中継するべき通信データが破棄されてしまうという不都合を回避し、多様なＤｏＳ攻撃に対する耐性を高め得る。

【0046】

（第２の実施形態）
次に、第２の実施形態に係る通信中継装置１Ｂについて説明する。第２の実施形態に係る通信中継装置１Ｂは、第１の実施形態に係る通信中継装置１と比べ、判定する位相の分解能を高めることができる。

【0047】

第２の実施形態に係る通信中継装置１Ｂは、第１の実施形態に係る通信中継装置１と比べて、通信位相判定回路１７に代えて通信位相判定回路１７Ｂを備える。通信中継装置１Ｂは、通信位相判定回路１７Ｂが通信位相判定回路１７と比較して構成が拡張されているほかは、通信中継装置１と同一である。よって、ここでは通信位相判定回路１７Ｂにおける構成の差分について説明する。

【0048】

図７は、第２の実施形態に係る通信位相判定回路１７Ｂの構成を表したブロック図である。第１の実施形態における通信位相判定回路１７との差分は、検波信号生成回路１７１１，１７２１、検波回路１７３１，１７４１、およびローパスフィルタ１７５１，１７６１が追加され、それぞれの出力が位相判定回路１７７へ入力されている点である。

【0049】

追加された構成を含めた４つの検波信号１７１０，１７２０，１７１２，１７２２は、図８および図９に示したようにそれぞれ互いに４５度ずつずれている。検波回路１７３１，１７４１、およびローパスフィルタ１７５１，１７６１における信号処理の内容は、検波回路１７３，１７４およびローパスフィルタ１７５，１７６におけるそれと同じである。

【0050】

図８は、第２の実施形態に係る通信位相判定回路１７Ｂにおける、各ＬＰＦ１７５，１７６，１７５１，１７６１の出力と位相象限判定結果との関係を表した図である。図９は、第２の実施形態に係る各検波信号１７１０，１７２０，１７１２，１７２２と、各象限１，２，３，４，５，６，７，８に対応する位相合致信号１８の関係を表した図である。

【0051】

以上の構成により、計４つのＬＰＦ出力１７５０，１７６０，１７５２，１７６２が得られる。位相判定回路１７７はこれらＬＰＦ出力の正負の符号の組み合わせにより、位相を判定して位相合致信号１８を出力する。具体的な方法としては、４つのＬＰＦ出力の正負の関係から、図８に示したように８つの象限のうち該当する象限（位相の範囲）を判定する。そして、当該象限に対応した位相合致信号を図９に示したような対応関係から選択して位相合致信号１８として出力する。

【0052】

図８に基づくと、例えばＬＰＦ出力１７５０，１７６０，１７５２が正かつＬＰＦ出力１７６２が負の場合は象限１である。このようにＬＰＦ出力１７５０，１７６０，１７５２，１７６２の各正負の符号の組合せに応じて象限が決まる。よってＬＰＦ出力１７５０，１７６０，１７５２が正かつＬＰＦ出力１７６２が負の期間では、象限１と判定される。

【0053】

そして、図９を参照すると、象限１に対応する位相合致信号は、検波信号１７１２の立ち上りのタイミングでＨｉとなり検波信号１７２２の立ち上がりのタイミングでＬｏとなるパルスである。このパルスのタイミングで位相合致信号１８が出力される。

【0054】

（第２の実施形態の効果）
この構成により、第１の実施形態に係る通信中継装置１と比べ、判定する位相の分解能を２倍に高めることができ、正規の通信に紛れて通過してしまうＤｏＳ攻撃通信の量を削減することができる。

【0055】

（実施形態の変形例）
なお第１の実施形態では使用する検波信号の数は２つ、第２の実施形態では４つであったが、本発明はこれらの数に制約されず、任意数の検波信号を用いることができる。より多くの検波信号を用いることで判定する位相の分解能をさらに高めることができる。検波信号の数は、直交性を考慮して２^ｎ（ｎは自然数）とし、各検波信号を１８０／２^ｎ度だけ位相をずらすことがより好適である。検波信号の数は、検波信号数に応じた回路規模と分解能のトレードオフを考慮して最適数を選択することになる。

【0056】

また上述した第１および第２の実施形態では検波信号生成回路が生成する検波信号は規定の周期である例を説明したが、これに限らず、通信データの受信タイミングから正規の通信データの周期を学習し、学習した周期を検波信号の周期とする、すなわち通信データの受信タイミングに基づいて正規通信の周期性を示す所定の周期を学習してもよい。これにより制御周期が変動する場合にも自動的に追従して、通信データの破棄の判断に用いる正規通信の周期を自動変更できる。

【0057】

本発明は上述の実施形態に限定されるものではなく、様々な変形例を含む。例えば、上記した実施形態は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また矛盾しない限りにおいて、ある実施形態の構成の一部を他の実施形態の構成で置き換え、ある実施形態の構成に他の実施形態の構成を加えることも可能である。また各実施形態の構成の一部について、構成の追加、削除、置換、統合、または分散をすることが可能である。また実施形態で示した構成および処理は、処理効率または実装効率に基づいて適宜分散、統合、または入れ替えることが可能である。

【符号の説明】

【0058】

１，１Ｂ：通信中継装置、２：保護対象装置、３：ネットワーク、４：制御装置、９：攻撃装置、１３：特徴値抽出回路、１５：平均頻度判定回路、１７，１７Ｂ：通信位相判定回路、１９：破棄回路

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】