[go: up one dir, main page]
More Web Proxy on the site http://driver.im/

WO2021059632A1 - 通信制御装置およびシステム - Google Patents

通信制御装置およびシステム Download PDF

Info

Publication number
WO2021059632A1
WO2021059632A1 PCT/JP2020/024603 JP2020024603W WO2021059632A1 WO 2021059632 A1 WO2021059632 A1 WO 2021059632A1 JP 2020024603 W JP2020024603 W JP 2020024603W WO 2021059632 A1 WO2021059632 A1 WO 2021059632A1
Authority
WO
WIPO (PCT)
Prior art keywords
communication
time slot
time
inspection pattern
control device
Prior art date
Application number
PCT/JP2020/024603
Other languages
English (en)
French (fr)
Inventor
丸山　龍也
松本　典剛
寛 岩澤
遠藤　浩通
淳也 藤田
Original Assignee
株式会社日立製作所
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社日立製作所 filed Critical 株式会社日立製作所
Priority to CN202080062397.0A priority Critical patent/CN114342321B/zh
Priority to US17/639,860 priority patent/US12143357B2/en
Publication of WO2021059632A1 publication Critical patent/WO2021059632A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0209—Architectural arrangements, e.g. perimeter networks or demilitarized zones
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/66—Arrangements for connecting between networks having differing types of switching systems, e.g. gateways

Definitions

  • the present invention relates to communication control technology, and relates to an information processing device and information processing hardware for that purpose, information processing software, a communication control method, and a communication system.
  • control system there is a configuration in which a control computer controls a single or a plurality of control targets via a network.
  • an appropriate control network is selected and applied according to the use, requirements, and requirements of the control system. From a technical point of view, it can be said that the technological progress of control networks has been brought about by the sophistication of the requirements of these control systems.
  • There are various demands for such control networks such as reduction of communication delay, cost reduction, increase of the number of connected devices, high accuracy of time synchronization, lengthening of connection distance, standardization of communication medium and communication data model, Redundant communication, etc.
  • TSN Time Sensitive Network
  • a communication method composed of a series of IEEE standards called TSN is a control network that makes the IEEE 802.3 standard applicable to a control system.
  • TSN can properly use control communication and information communication (including communication such as AI, monitoring use, and CBM) for each time slot.
  • Patent Document 1 is an invention for storing a packet of communication data in a relay device.
  • at the time of relaying a packet at least two memory operations of writing to and reading from a memory or the like are required, which causes an increase in delay due to relaying.
  • the delay can be shortened by increasing the speed of the memory element and the bus, but it causes an increase in the size of the relay device and an increase in power consumption.
  • Such speeding up is not preferable in consideration of the fact that the installation location of the control device is limited in many controlled equipment and that the calorific value is controlled to ensure the reliability of the control device.
  • Patent Document 2 sequentially receives a plurality of elements in a communication frame transmitted by the first communication device, determines a feature value indicating a feature of the communication frame, and determines whether or not the feature value satisfies the condition. To do. Then, an invention in which a plurality of received elements are transmitted in order, and when it is determined that the feature value does not satisfy the condition, a part of the transmitted elements is changed and transmitted to the second communication device in order. Is. However, since time-division type time slot communication methods such as TSN are not considered, in such time slot communication, efficient use of computer resources (memory, collation circuit, etc.) and availability reduction due to uniform feature value comparison There is a problem.
  • the present invention specifies security measures according to time slots in order to solve the above problems.
  • Identification of security measures includes identification of inspection patterns (changes inspection patterns for each time slot) and identification of security software.
  • One aspect of the present invention includes the following configurations.
  • the means for receiving the communication frame the means for specifying the time for processing the communication frame, and the communication frame according to the time slot corresponding to the specified time.
  • a communication control device having a means for identifying security measures.
  • FIG. 1 shows a system configuration to which one embodiment of the present invention is applied.
  • the central control device 120 connects to and communicates with the distributed control device 123 via the control network 122 and the network relay device 121.
  • the central control device 120 transmits and receives communication packets to and from the distributed control device 123 to transmit control command values for controlling the controlled device 124, acquire measured values of the controlled device 124, and perform various settings. Run.
  • the central control device 120 exchanges sampling data, control commands, and status signals in each control system, such as a DCS (Distributed Control System) central control device and a power system protection control device. Data in the same control system may be stored in packets.
  • DCS Distributed Control System
  • central control device 120 a dedicated controller, an industrial personal computer, a control computer, a DCS controller, a SCADA (Supervision Control and Data Acquisition) server, a PLC (Programmable Logical Controller), an IED (Intelligent Electronic), an IED (Intelligent Electronic) A server is illustrated.
  • a dedicated controller an industrial personal computer, a control computer, a DCS controller, a SCADA (Supervision Control and Data Acquisition) server, a PLC (Programmable Logical Controller), an IED (Intelligent Electronic), an IED (Intelligent Electronic) A server is illustrated.
  • the network relay device 121 is a relay device in the control network 122, and routes and transfers packets communicated by the central control device 120, the distributed control device 123, and the network relay device 121.
  • a network switch including an L2 switch and an L3 switch, a bridge, a router, TC (Transient Clock) of IEEE 1588, BC (Boundary Clock), OpenFlow switch, RedBox, QuadBox defined by IEC 62439-3,
  • TC Transient Clock
  • BC Binary Clock
  • OpenFlow switch RedBox
  • QuadBox defined by IEC 62439-3
  • Various network relay devices such as optical switches, optical duplexers, and optical demultiplexers are exemplified.
  • the control network 122 is a network that connects the central control device 120, the distributed control device 123, and the network relay device 121, and is a group of IEEE communication standards related to TSN, some standards that employ time slot communication in IEC61784, and others.
  • An example is a network using time slot communication.
  • IEC61850 As an upper layer protocol in the protocol stack, IEC61850, OPC UA (Unified Archive), IEC 61850-7-420, IEC 60870-5-104, OpenADR, ECHONET Lite (registered trademark) and the like are exemplified.
  • the above protocols may be layered. For example, it is exemplified that the contents of the data area on the TSN apply the OPC UA standard.
  • the distributed control device 123 is connected to the controlled device 124, and controls and sets the controlled device 124 in response to a control command received from the central control device 120 via the control network 122. Further, the state and information of the controlled device 124 are acquired and transmitted to the central control device 120 via the control network 122.
  • Examples of the distributed control device 123 include a dedicated controller, an industrial personal computer, a control computer, a DCS controller, a SCADA device, a PLC, an IED, a MU (Mering Unit), and a protection control device.
  • the controlled device 124 is a device or device controlled by the distributed control device 123.
  • the controlled device 124 includes an industrial robot such as a mobile robot or a robot arm, a chip mounter, a machine tool table, a processing device, a machine tool, a semiconductor manufacturing device, or a motor, an inverter, a circuit breaker, or a circuit breaker in the manufacturing device. Electric power equipment is exemplified.
  • the inspection pattern management device 125 manages the inspection pattern in the firewall 126.
  • the contents of management include processing such as update, replacement, removal, activation, invalidation, and acquisition of inspection patterns.
  • the inspection pattern indicates the communication content that characterizes unauthorized communication.
  • the contents include invalid values and abnormal values in areas with meaning in the communication protocol (for example, destination address and communication port number), specific data strings at arbitrary positions such as communication including malware, or malware. Defined as a feature value. Further, the inspection pattern is one aspect of security measures, and includes anti-virus software and the like, which will be described later.
  • Examples of the inspection pattern management device 125 include a communication control device such as an OpenFlow controller in SDN (Software Defined Network) and a dedicated communication device.
  • a communication control device such as an OpenFlow controller in SDN (Software Defined Network) and a dedicated communication device.
  • the firewall 126 is a communication device that executes the processing of the present embodiment.
  • communication is relayed by being installed between each of the central control device 120, the network relay device 121, the distributed control device 123, and the inspection pattern management device 125, and security measures are taken against unauthorized communication contents.
  • FIG. 1 shows a configuration installed between the network relay device 121 and the distributed control device 123.
  • the firewall 126 compares the input packet with the inspection pattern, and if they match, determines that the packet is an unauthorized packet or an attack packet. If it is determined to be an invalid packet or an attack packet, the packet may be discarded, or the CRC (Cyclic Redundancy Check) at the end of the packet, that is, the error check code at the end of the packet is changed to the transfer destination. The packet may be discarded.
  • CRC Cyclic Redundancy Check
  • two network relay devices 121 are connected between the central control device 120 and the distributed control device 123 in FIG. 1, they may have different numbers or may have a plurality of communication paths.
  • the system configuration shown in FIG. 1 includes control systems such as DCS for FA (Factory Automation) and PA (Processation Automation), monitoring control / protection control systems in the electric power field, industrial equipment, semiconductor manufacturing equipment, in-vehicle systems, and construction. Examples include control systems in machines and railroad vehicles, railroad ground signal systems, and control systems in aircraft. Alternatively, an IoT system or the like that aims to improve the performance of the control system by analyzing with artificial intelligence on a central control device 120 or a cloud or a computer (not shown) based on the information collected via the control network 122 is exemplified. Will be done. (Hardware configuration) FIG. 2 shows the hardware configuration of the firewall 126 to which the present embodiment is applied.
  • the CPU 101 transfers the program from the non-volatile storage medium 105 to the memory 104 and executes it.
  • Examples of the execution processing program include an operating system (hereinafter referred to as an OS) and an application program running on the OS.
  • the program running on the CPU 101 acquires the operation settings and status information of the communication control IC 102.
  • the communication control IC 102 compares the packet received from the PHY 103 with the inspection pattern to determine whether it is an invalid packet, and if it is an illegal packet, discards the packet. Alternatively, the packet is transferred to the CPU 101, the memory 104, and the non-volatile storage medium 105 via the bus 106, and the software running on the CPU 101 takes measures such as determining and discarding the illegal packet.
  • Examples of the implementation of the communication control IC 102 include FPGA (Field Programmable Gate Array), CPLD (Complex Programmable Logical Device), ASIC (Application Special Integrated IC Array), and the like. Alternatively, it may be configured integrally with the CPU 101.
  • the communication control IC 102 may be an IEEE 802.3 communication device including a MAC layer and a PHY layer, or may be included in the communication control IC 102 including a PHY function.
  • an implementation example of the communication control IC 102 includes an IEEE802.3 standard MAC (Media Access Control) chip, a PHY (physical layer) chip, and a composite chip of MAC and PHY.
  • the communication control IC 102 may be included in the CPU 101 or a chipset that controls an information path inside the computer. Further, in the configuration of FIG. 2, one communication control IC 102 is shown, but the number of communication control ICs 102 may be plural.
  • the PHY 103 is a transmitter / receiver IC equipped with a communication function with the control network 122.
  • a PHY (physical layer) chip of IEEE802.3 is exemplified.
  • the processing of the MAC (Media Access Control) layer of IEEE 802.3 is included in the communication control IC 102.
  • the effect of the present invention is also effective in a configuration in which an IC providing a MAC function is arranged between a communication control IC 102 and a PHY 103, or a configuration in which a communication IC combining an IC providing a MAC function and a PHY 103 and a communication control IC 102 are connected. Is not lost.
  • the PHY 103 may be included in the communication control IC 102. Further, in the configuration of FIG. 2, PHY103 is shown one by one, but the number of PHY103 may be plural.
  • the memory 104 is a temporary storage area for operating the CPU 101, and stores an inspection pattern, an OS transferred from the non-volatile storage medium 105, an application program, and the like.
  • the non-volatile storage medium 105 is an information storage medium and is used for storing an OS, an application, a device driver, etc., a program for operating the CPU 101, an inspection pattern, and a program execution result.
  • Examples of the non-volatile storage medium 105 include a hard disk drive (HDD), a solid state drive (SSD), and a flash memory.
  • HDD hard disk drive
  • SSD solid state drive
  • flash memory a flash memory type memory card such as a floppy disk (FD), a CD, a DVD, a Blu-ray (registered trademark), a USB memory, or a CF card is exemplified.
  • the bus 106 connects the CPU 101, the communication control IC 102, the memory 104, and the non-volatile storage medium 105, respectively.
  • Examples of the bus 106 include a PCI bus, an ISA bus, a PCI Express bus, a system bus, and a memory bus.
  • FIG. 3 shows a functional configuration of the firewall 126 to which one embodiment of the present invention is applied.
  • the time slot characteristic storage unit 130 in FIG. 3 stores the characteristics of each time slot set in the firewall 126.
  • Such characteristics exemplify applications such as higher-level communication protocols set and designed to communicate in the time slot, or applications built on the control system of FIG. Examples of the latter use include control, information processing, management, monitoring, time synchronization, AI (including inference processing), machine learning, and the like.
  • the time slot characteristic storage unit 130 has a function of storing information by exemplifying a configuration including a memory 104, a non-volatile storage medium 105, or both.
  • the inspection pattern selection unit 131 determines the characteristics of the time slot based on the information of the time slot characteristic storage unit 130 according to the time slot synchronized by the time slot cooperation time synchronization unit 135. In addition, an inspection pattern is selected from the inspection pattern storage unit 136. This selection result is used in the real-time pattern inspection unit 134.
  • the inspection pattern selection unit 131 is realized by either or both of the communication control IC 102 and the software running on the CPU 101.
  • the transmission unit 132 has a function of processing and transmitting the data or packet notified from the real-time pattern inspection unit 134.
  • Examples of the processing of the transmission unit 132 include a process of generating a frame from data, duplication of data or packets, addition of a predetermined tag, and calculation and addition of abnormality diagnosis data such as CRC.
  • Examples of the tag added by the transmission unit 132 include a VLAN tag defined by IEEE802.1Q, an HSR tag defined by IEC62439-3, and a PRP tag.
  • the setting of the VLAN tag includes the setting of PCP (Priority Code Point) and VID (VLAN Identifier) according to the contents defined in the TSN-related standard.
  • the transmission unit 132 is composed of one or more of the PHY 103, the software running on the CPU 101, and the communication control IC 102.
  • the transmission unit 132 may have a MAC function.
  • the receiving unit 133 transfers the received packet to the real-time pattern inspection unit 134.
  • the receiving unit 133 may process the received packet, and examples of the processing process include removal of tags attached to the packet and extraction of data. Further, the receiving unit 133 has an information storage means for storing the information of the processed packet for a certain period of time, and may store, for example, the source address or the information on the tag. It is exemplified that the receiving unit 133 is implemented by any one or a plurality of software on the communication control IC 102, the PHY 103, or the CPU 101.
  • the real-time pattern inspection unit 134 receives the packet or data input from the reception unit 133. Then, the inspection patterns notified from the inspection pattern selection unit 131 are sequentially collated. Since the input data are sequentially collated, cut-through transfer with a constant transfer delay is possible. A plurality of inspection patterns may be collated in parallel. Further, the determination method may be a blacklist method for determining packets or data matching the inspection pattern as invalid, or a whitelist method for determining data matching the inspection pattern as normal (not invalid).
  • Packets determined to be fraudulent may be discarded, or the CRC of the FCS (Frame Check Sequence) unit may be intentionally set to an erroneous calculated value (a value indicating some fraud) in order to perform cut-through transfer.
  • the distributed control device 123 on the receiving side can discard the packet.
  • the packet may be buffered, an invalid judgment may be made by the store & forward method, and processing (packet discard, CRC change, etc.) according to the judgment result may be executed.
  • the configuration of the real-time pattern inspection unit 134 by either or both of the software running on the communication control IC 102 and the CPU 101 is exemplified.
  • the time slot linkage time synchronization unit 135 communicates with the network relay device 121 or the central control device 120, the distributed control device 123, and other firewalls 126 according to the time synchronization communication protocol and the time slot communication protocol, so that the time on the firewall 126 can be reached. Manage slots. As a result, the time slot cooperation time synchronization unit 135 synchronizes the time with the central control device 120, the network relay device 121, the distributed control device 123, and other firewalls 126. Then, at a certain moment, which time slot is set and the timing of switching to the next time slot are determined.
  • the time slot cooperation time synchronization unit 135 supports the time synchronization protocol by using the reception unit 133, the transmission unit 132, and the real-time pattern inspection unit 134.
  • Examples of such a time synchronization protocol include IEEE1588 (PTP: Precision Time Protocol), NTP (Network Time Protocol), and Simple Network Time Protocol (SNTP).
  • This is exemplified by communicating a synchronization packet between neighboring devices and measuring the delay on the route. Further, the transfer time of the synchronous packet in the firewall 126 can be measured, and the measured transfer time can be added to the Direction Field or the time stamp on the synchronous packet (Sync or Follow_Up message) by the one-step method or the two-step method. Illustrated.
  • the configuration of the time slot linkage time synchronization unit 135 by either or both of the software running on the communication control IC 102 and the CPU 101 is exemplified.
  • the inspection pattern storage unit 136 stores a set of inspection patterns to be collated by the real-time pattern inspection unit 134.
  • Such an inspection pattern may be a value of a predetermined field in a predetermined communication protocol packet format, or may be a signature (feature value) independent of the predetermined communication protocol.
  • the inspection pattern may have information indicating whether it is a blacklist or a whitelist. This is divided into a white list and a blacklist for each inspection pattern, and both inspection patterns may be mixed.
  • the blacklist is determined to be invalid when there is a match in the list, and is determined to be normal when there is no match.
  • the white list is judged to be normal when there is a match in the list, and is judged to be invalid when there is no match in the list.
  • the priority and rules for determining whether to determine whether it is invalid or normal may be stored. Note that normal can be defined as a case where fraud cannot be detected.
  • the blacklist inspection pattern and the whitelist inspection pattern match at the same time, it is shown that the judgment result of the inspection pattern having a high priority is adopted. Specifically, when the blacklist inspection pattern A and the whitelist inspection pattern B are matched at the same time and the priority of the inspection pattern A is set high, it is determined to be invalid.
  • the inspection pattern storage unit 136 is configured by any one or a plurality of software operating on the communication control IC 102, the memory 104, the non-volatile storage medium 105, and the CPU 101.
  • FIG. 4 shows an operation procedure for setting an inspection pattern in the firewall 126. This operation procedure is an operation centered on the inspection pattern selection unit 131.
  • the inspection pattern selection unit 131 extracts the characteristic of the time slot from the time slot characteristic storage unit 130 (S002). Examples of this characteristic include communication protocols communicated in the time slot, or applications such as control applications, information collection applications, monitoring applications, AI learning applications, and application programs.
  • the time slot is specified by using the characteristic, but it may be specified by using the ID that identifies the time slot in the packet. Further, the firewall 126 may hold a table for specifying the time slot, which may be used to specify the time slot.
  • the inspection pattern selection unit 131 selects the inspection pattern corresponding to the time slot extracted in S002 from the inspection pattern storage unit 136 (S003). This may be one or more, or 0 (not selected).
  • the selected inspection pattern is set in the real-time pattern inspection unit 134 (S004).
  • the termination condition may be explicitly set to termination by the system operator or control system management device (including SCADA, workstation, server device), or based on the occurrence of an abnormality such as a hardware failure or software failure. You may judge. Alternatively, it may be determined based on the fact that a predetermined number of packets having a predetermined data size have been transferred, that the packet has been operated for a predetermined time, or that a predetermined period (for example, from 10:00 to 17:00 of the day) has passed. Good.
  • FIG. 5 shows a procedure for comparing the values of a predetermined field, assuming a predetermined communication protocol.
  • the receiving unit 133 receives the packet and waits until it is input to the real-time pattern inspection unit 134 (S010).
  • the receiving unit 133 sequentially transfers the head of the packet to the real-time pattern inspection unit 134 as soon as it is received, without buffering the entire packet.
  • the received packet is input (Y in S010), it is determined whether or not the condition for comparing the inspection patterns is satisfied according to the input of the packet (S011). This exemplifies the determination of the communication protocol and the identification of the position of the field for each communication protocol by analyzing the contents of the packets that are sequentially input.
  • the source MAC address of IPv4 is targeted as the inspection pattern, it is identified that the type (13th byte and 14th byte from the beginning) is 0x0800 for the data input as the IEEE802.3 frame. Then, it means that the information from the 13th byte to the 16th byte of the subsequent IPv4 header is extracted.
  • An example of normal processing includes forwarding the received packet as it is without doing anything. Further, in the case of the time-synchronized packet of IECEE 1588, it is exemplified that the transfer time in the firewall 126 is added to the correctionfield (field on the IECEE1588 header used for residence time and delay correction).
  • S013 and S014 are expressed as "white list comparison", but can also be expressed as "blacklist comparison”. That is, in S013 and S014, it is determined whether it is a white list comparison or a blacklist comparison. When expressed as "blacklist comparison", the Y (Yes) and N (No) flows are opposite to those of "whitelist comparison".
  • abnormal processing examples include discarding the packet and intentionally changing the CRC to an abnormal value (such as inverting the original CRC value).
  • FIG. 6 shows a procedure for comparing with a predetermined signature.
  • the signature can appear anywhere on the packet. Therefore, the procedure is almost the same as that of FIG. 5, but the procedure of S011 is omitted.
  • FIGS. 5 and 6 operate in parallel due to differences in inspection patterns, differences in white list determination, blacklist determination, and the like. The operation in which these are integrated is shown in FIG.
  • the received packet waits for the input of the received packet (S010).
  • the received packet waits for the end of the inspection of all the inspection patterns (S020). Normally, this is determined when the determination process of the real-time pattern inspection unit 134 reaches the end of the received packet. Alternatively, it may be determined that the verification of each inspection pattern is completed (for example, it matches the inspection pattern and some determination result is output), and it may be determined that the verification is completed when the determination results are complete.
  • the final judgment result is determined based on the individual judgment results (S021). This may be determined by setting priorities for individual inspection patterns, or determined based on a determination method for the entire inspection pattern (for example, if even one is determined to be abnormal, it is determined to be abnormal). May be good.
  • the field on the protocol may be determined. For example, it is exemplified that the header of a predetermined protocol is identified, the header is excluded from the matching target of the inspection pattern, and the matching is limited to the data area only.
  • Examples of the use of each time slot include collecting learning data for applying AI and transmitting input information for executing inference by a neural network.
  • preventive maintenance for the controlled device 124, monitoring data for applying the predictive diagnosis, and communication for status data are exemplified.
  • the use for transferring the data when the following is updated and distributed from the central control device 120 to the distributed control device 123 is exemplified.
  • programs, firmware, OS, container (including virtual machine) images that are OS-level virtualized environments, container configuration information, security patches, and the like.
  • container including virtual machine images that are OS-level virtualized environments, container configuration information, security patches, and the like.
  • protocol or application settings for inspection patterns In the selection of the inspection pattern in the inspection pattern storage unit 136 based on the characteristics identified in the time slot characteristic storage unit 130, it is exemplified to set the application or protocol related to each inspection pattern.
  • a communication protocol, an application, an application program, or the like targeted by the inspection pattern may be set.
  • This setting may be set to one or more of communication protocols and uses, application programs.
  • the signature inspection pattern does not assume a communication protocol and may target a specific application program, so that application program is set.
  • the usage and the application program do not correspond one-to-one, it is exemplified that they are independent items. For example, there may be cases where a plurality of different application programs are linked or used properly for maintenance purposes.
  • associating different communication protocols for the same application is also exemplified.
  • EtherCAT IEC61158, IEC61784-2
  • its higher profile COE CANopen over EtherCAT
  • IEC61850 GOOSE communication may be used for the purpose of control.
  • the control application is extracted as a characteristic of the time slot.
  • a communication protocol associated with the control application for example, an inspection pattern for COE and an inspection pattern for GOOSE communication of IEC61850 are selected and set in the real-time pattern inspection unit 134.
  • the characteristics that can be extracted as the time slot characteristic storage unit 130 are communication protocol 140, application 141, application program 142, and they are interrelated. However, in order to avoid circular references, it is exemplified that the references do not go around.
  • the first extracted property is application 141, and the communication protocol 140 and / or application program 142 associated with that application are extracted. Further, after extracting the related communication protocol 140 and the application program 142 in each, the related extraction is stopped. Then select the inspection pattern associated with each.
  • FIG. 9A shows the relationship between the characteristics.
  • a characteristic first extracted by the time slot characteristic storage unit 130 there is an application of control, from which the communication protocols EtherCAT COE, GOOSE of IEC61850, and application programs D and E are extracted.
  • A, B, and C are extracted as application programs related to the communication protocols EtherCAT COE and GOOSE of IEC61850.
  • IECEE1588 is selected as the communication protocol associated with the application program D.
  • FIG. 9B shows the relationship between each inspection pattern and its characteristics.
  • inspection pattern 1 indicates that EtherCAT COE is targeted as a communication protocol
  • program B is targeted as an application program
  • inspection pattern 2 targets control as an application.
  • the characteristics are ordered and the uses are extracted first, but either the communication protocol or the application program may be used.
  • the characteristics extracted by the time slot characteristic storage unit 130 are the communication protocol, the communication protocol and the application program are extracted in order of the usage, the communication protocol, and the application program.
  • the characteristic extracted by the time slot characteristic storage unit 130 is an application program, it is exemplified that only the application program is extracted. (Unselected)
  • the characteristic which is not related may be specified instead of showing the characteristic which is related. For example, it is a condition such as "applicable to a protocol other than IECEE1588". By doing so, the flexibility of setting can be improved.
  • packets of unrelated communication protocols may be discarded (non-selected) in the time slot. (Priority of inspection pattern)
  • the logic capacity limit of LSI including FPGA and CPLD
  • the storage capacity limit of RAM etc.
  • the time limit such that the time slot time is short with respect to the collation processing time of the selected inspection pattern is exemplified. Will be done.
  • the inspection patterns are prioritized and selected in order.
  • This prioritization may be based on a fixed priority statically set before the system is up and running, based on security attack epidemics and statistics, or may be changed or set during operation. You may.
  • the elapsed time since it was registered for example, the newly registered inspection pattern is preferentially inspected as a recent security threat
  • the elapsed time since it was last used and the like. It may be determined dynamically.
  • the priority may be determined based on the characteristics extracted by the time slot characteristic storage unit 130 and the extraction order thereof. For example, the priority may be changed in the following cases.
  • the inspection pattern is related to the application. -When the characteristic first extracted by the time slot characteristic storage unit 130 is used. -When the order in which the time slot characteristic storage unit 130 extracts the usage is the second (for example, the usage is extracted next to the communication protocol) and the third (for example, the usage is extracted next to the communication protocol and the application program).
  • the result of weighting and adding these index values may be used as the final index value to determine the priority.
  • the firewall 126 may notify the preset destination by electronic means such as e-mail, or a web server may be constructed on the firewall 126 so that it can be accessed and confirmed from the outside with a web browser or the like. You may. Alternatively, it may be presented on the firewall 126 by physical means such as an LED or an alarm. By notifying the outside in this way, the operator can adjust the number of inspection patterns and arrange an additional firewall 126, and as a result, it becomes easier to operate the control system properly from the viewpoint of security. .. (Inspection pattern switching method)
  • An example of a method of setting an inspection pattern is to configure a collation function for holding the inspection pattern as hardware logic in software or LSI (including FPGA and CPLD) in advance, and enable or disable the collation function.
  • the inspection pattern to be collated may be selected by changing the transfer route of the received packet to be collated in the real-time pattern inspection unit 134.
  • the inspection pattern is stored in a storage device such as RAM and loaded into the collation function according to the switching of the time slot, and the storage address (load source address) for each storage device is set according to the selected inspection pattern.
  • the configuration may be changed.
  • the communication control IC 102 is configured by using FPGA, the inspection pattern matching function is implemented by a hardware circuit, and the on-chip RAM in the communication control IC 102 and the memory 104 2 are used as storage devices.
  • the configuration is composed of stages.
  • FIG. 12A shows an example of scheduling inspection pattern transfer and loading. Assuming that time slots A to F are planned, the matching circuit has the capacity of the inspection pattern for one time slot, the on-chip RAM has the capacity for three time slots, and the memory can store six time slots. Suppose there is capacity.
  • the inspection pattern A is transferred to the collation circuit, and t2, t4, t7, t10, t12, and t15 also transfer each inspection pattern.
  • the collation circuit sets a time slot inspection pattern at t1, t3, t5, t9, t11, t13, and t17, and collates the received packet.
  • the inspection patterns for time slots D, E, and F are transferred from the memory to the on-chip RAM, and at t14, the inspection patterns for time slots A, B, and C are transferred.
  • t1-t0 indicates the access time (load time) to the on-chip RAM
  • t8-t6 indicates the access time (load time) between the memory and the on-chip RAM.
  • Transfer start time (t0, t2, t4, t7, based on access speed, transfer capacity, access time, time slot start time (t1, t3, t5, t9, t11, t13, t17) between each device.
  • t10, t12, t15, t6, t14 are determined. These can be designed according to the number of inspection patterns, the size of individual inspection patterns, the on-chip RAM, and the storage capacity of the matching circuit.
  • the storage is set to two stages, but three or more stages may be used, and for example, a non-volatile storage medium 105 (HDD or the like) may be added.
  • a non-volatile storage medium 105 HDD or the like
  • the inspection pattern may be loaded from the storage device (for example, NAS: Network Attached Storage) on the control network 122 across the control network 122.
  • the storage device for example, NAS: Network Attached Storage
  • the inspection pattern may be updated in parallel with the collation process by using a part of the on-chip RAM as an update area.
  • FIG. 12 (b) An example of the functional configuration for this is shown in FIG. 12 (b).
  • the on-chip RAM of the communication control IC 102 uses a Dual Port memory in order to enable simultaneous access.
  • t0 is a time before t2 by the frame interval Interframe gap.
  • the inspection pattern may be collated by a store-and-forward method of buffering received packets instead of cut-through transfer.
  • the packet is transferred to the memory 104 and collated by software operating on the CPU 101.
  • transfer may be performed in the time slot after the next cycle (FIG. 11).
  • the security level can be improved by collating with a large number of inspection patterns stored in the memory 104 having a relatively large storage capacity.
  • a case where such processing is applied a case where a predetermined time slot is targeted is exemplified.
  • a packet related to a predetermined use, communication protocol, or application program is targeted independently of the time slot.
  • the inspection pattern includes the use of anti-virus software for a specific communication protocol.
  • the relationship between the use and the inspection pattern may be as follows.
  • the former shows the characteristics of the inspection pattern, and the latter shows the characteristics of the inspection pattern.
  • ⁇ Control application High-speed inspection is possible.
  • ⁇ AI application learning: Slow but detailed inspection is possible.
  • -Monitoring use and information gathering use Intermediate above (medium speed and moderate inspection content) (packet received immediately before switching time slots).
  • FIG. 10 shows an example in which each of the above-mentioned applications is applied to the time slot of the relay communication device 121.
  • the time slot 1 is for control (control use)
  • the time slot 2 is for AI (AI use (learning))
  • the time slot 3 is for monitoring (monitoring use and information gathering use).
  • the inspection pattern of the time slot A may be collated as it is, or the packet may be discarded by detecting that the timings overlap.
  • This may have a register on the communication control IC 102 so that the register can be accessed by software on the CPU 101.
  • the firewall 126 may notify the preset destination by electronic means such as e-mail, or a web server may be constructed on the firewall 126 so that it can be accessed and confirmed from the outside with a web browser or the like. You may. Alternatively, it may be presented on the firewall 126 by physical means such as an LED or an alarm.
  • the inspection pattern for each time slot may be changed for each cycle composed of a set of a plurality of time slots.
  • Multiple port Further, although the firewall 126 is described as having one communication port for each of the transmitting unit 132 and the receiving unit 133, a plurality of communication ports may be provided as in the network relay device 121. In this case, the inspection pattern may be changed for each port according to the time slot.
  • Time slot for inspection pattern distribution Further, a part of the time slot may be a time slot for distribution of the inspection pattern by the inspection pattern management device 125. For example, it is exemplified that the inspection pattern is not matched in this time slot.
  • This time slot may be set explicitly by the firewall 126 by either electronic or physical means, or by a plurality of means, and a predetermined field on the packet indicates that the packet is for inspection pattern delivery. It may be specified. Thereby, the firewall 126 recognizes that the inspection pattern is delivered and captures the inspection pattern.
  • the device in the latter stage is not the firewall 126, it is exemplified that it is always destroyed. For that purpose, it is exemplified to confirm in advance whether the device in the subsequent stage is the firewall 126 by setting or communicating.
  • the distribution of inspection patterns is exemplified by taking appropriate security measures such as encryption and certificates. It may be divided and transmitted in a plurality of cycles. After the update, an unauthorized packet that matches the inspection pattern may be intentionally transmitted to verify the operation, or a time slot for such operation verification may be provided.
  • a part of the inspection pattern may be a plurality of values or undefined (don't care that does not require an exact match). By doing this, fuzzy search, variants of viruses, and signatures can be detected.
  • the storage capacity of the inspection pattern can be made efficient.
  • the time slot characteristics may be automatically extracted from the characteristics of the previous and next time slots. For example, in the last time slot in the cycle, if the time synchronization protocol is not executed in the previous time slot, the time slot is estimated to be for the time synchronization protocol.
  • the decision may be made by looking at the communication content of the resource reservation protocol. (Timeslot firewall) It is not necessary for the firewall 126 to inspect all of the time slots planned on the control network 122, and the inspection patterns may be collated for one or a plurality of predetermined time slots.
  • FIG. 16 shows an example in which inspection patterns are collated hierarchically using a plurality of firewalls 126.
  • FIG. 16 shows a part of the network configuration.
  • Firewall 126a collates inspection patterns in each of time slots A, B, and C.
  • the firewalls 126b, c, and d collate the packets transferred from the firewall 126a with the inspection pattern in the planned time slots and further subdivided time slots. For example, it is set to transfer as follows.
  • the packet received by the firewall 126a in the time slot A is forwarded to the firewall 126b.
  • the packet received in the time slot B is forwarded to the firewall 126c.
  • the packet received in the time slot C is forwarded to the firewall 126d.
  • a subprotocol within a certain communication protocol may be shared.
  • IEC61850 is inspected as a communication protocol.
  • the GOOSE of IEC61850 is inspected in the time slot D of the firewall 126b, the SampleValue is inspected in the time slot E, and the others are inspected in the time slot F.
  • the firewall 126a collates the inspection pattern with the communication protocol
  • the firewall 126b is used for control in the time slot D for each application
  • the time slot E is used for monitoring
  • the time slot F is used for learning AI, and so on. Good.
  • firewall 126e After that, it may be aggregated again on the communication path by the firewall 126e, or it may be transferred to each destination (for example, the firewall 126d).
  • the method of changing the routing for each time slot may be statically configured or may be configured by VLAN.
  • the configuration of inspection pattern matching can be made flexible, and the security level can be guaranteed by distributing the functions among a plurality of firewalls 126.
  • the inspection pattern is determined from the contents communicated in each time slot.
  • the inspection pattern to be applied is determined from the information in FIG. 9 and the protocol type of the packet communicated in the target time slot.
  • the inspection pattern for the GOOSE of the IEC 61850 is communicated in a certain time slot
  • the inspection pattern for control use is applied.
  • the difference between the setup stage and the main operation stage is, for example, explicitly instructing a notification indicating the time (predetermined time, elapsed period from operation) and the switching of stages.
  • the inspection pattern may be changed by dynamically accessing the firewall 126 from the inspection pattern management device 125. This is exemplified by changing the inspection pattern held on the memory 104 of the firewall 126, the communication control IC 102, and the non-volatile storage medium 105.
  • the content of the inspection pattern notified from the inspection pattern management device 125 to the firewall 126 may include the following in addition to the content of the inspection pattern itself. It is exemplified that the inspection pattern includes information and an identifier of a predetermined time slot to which the inspection pattern is associated, or includes characteristics (communication protocol, application, application program, etc.) to which the time slot corresponds.
  • the inspection pattern itself may not be included, and the characteristics associated with each time slot may be changed to notify the contents.
  • the inspection pattern applied by the firewall 126 can be automatically changed. Therefore, as compared with the method of notifying the inspection pattern itself, the communication data amount can be reduced by a simple method, so that the consumption of the network resources (communication band and the like) of the control network 122 can be suppressed and the setting can be changed.
  • the firewall 126 may provide a means for presenting information such as the elapsed time threshold value and the current elapsed time to the outside. .. This may have a register on the communication control IC 102 so that the register can be accessed via communication from software on the CPU 101 or an external device.
  • the firewall 126 may notify the preset destination by electronic means such as e-mail, or a web server may be constructed on the firewall 126 so that it can be accessed and confirmed from the outside with a web browser or the like. You may. Alternatively, it may be presented on the firewall 126 by physical means such as an LED or an alarm. By notifying the outside in this way, the operator can know the time synchronization abnormality, and by taking necessary investigations and taking appropriate measures, it becomes easier to operate the control system appropriately as a result.
  • the inspection pattern can change for each time slot, the behavior of the passing packet can change for each time slot even if the packet is the same. For example, in one time slot, even if the abnormality handling process is performed by CRC modification, CRC modification is not performed in another time slot.
  • wired communication method such as TSN
  • radios such as 5G, 4G, Wifi, LPWA (Low Power, Wide Area), LoRa, and SIGFOX may be targeted.
  • System configuration Examples of the system configuration include a hierarchical structure shown in FIG. 17, a flat system as shown in FIG. 1, and a configuration having no physical connection relationship such as 5G and wireless communication.
  • Multiplexing element In the present invention, it has been shown that the inspection pattern is changed according to the time slot, but it is exemplified that the inspection pattern is changed according to the multiplexing element, not limited to the time division.
  • Such multiplexing elements include an inspection pattern for each amplitude when a signal is placed for each basic signal having a different amplitude (for example, a carrier wave), an inspection pattern for each frequency in a basic signal having a different frequency, and a basic signal having a different phase. The inspection pattern for each phase is illustrated.
  • the separation unit 150 in FIG. 15 separates signals according to the multiplexing element.
  • the real-time pattern inspection unit 151 collates the inspection pattern with each separated signal.
  • the synthesis unit 152 synthesizes the separated signals. At this time, it is exemplified that attack data and an invalid abnormal signal are discarded without being synthesized (for example, only the basic carrier wave is transmitted).
  • the present embodiment it is possible to avoid processing such as accidentally discarding a packet that coincides with an inspection pattern targeting an irrelevant communication protocol or communication characteristic in a certain time slot, and improve availability. Further, by limiting the limited computer resources (storage capacity, processing allocation time of the CPU, etc.) to the matching of the inspection pattern according to the time slot, security can be ensured while efficiently utilizing the computer resources.
  • control system when this embodiment is applied to a control system, it is highly efficient in utilizing computer resources while maintaining security, and enables the introduction of information technology in the control system while guaranteeing the real-time requirements of the control system. Control system can be provided.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)

Abstract

従来のセキュリティ対策は一般にＩＴシステムを対象としていることから、制御システムに要求されるリアルタイム性、可用性を満足することが困難であった。さらに時分割型のタイムスロット通信方式を考慮していないため、そのようなタイムスロット通信では計算機資源の効率的な利用や、可用性低下の課題がある。本発明は、上記課題を解決するために、受信部１３３で受信した通信パケットの特性からタイムスロット特性記憶部１３０を用いてタイムスロットを特定し、特定されたタイムスロットに応じて、検査パターン記憶部１３６に記憶された検査パターンを検査パターン選択部１３１で選択する。

Description

通信制御装置およびシステム
　本発明は、通信制御技術に関わり、そのための情報処理装置及び情報処理ハードウェア、情報処理ソフトウェア、通信制御方法および通信システムに関する。
　制御システムとして、制御用計算機が、ネットワークを介して単一または複数の制御対象を制御する構成がある。このような制御システムにおいては、制御システムの用途、要件、要求によって、適切な制御ネットワークが選択され、適用される。技術的な観点からは、それら制御システムの要求の高度化によって制御ネットワークの技術進展がもたらされたとも言える。そのような制御ネットワークへの要求は多岐に渡り、通信遅延の低減、低コスト化、接続台数の増加、時刻同期の高精度化、接続距離の長大化、通信媒体及び通信データモデルの共通化、冗長化通信等である。
　標準化技術の導入による技術的進展とあいまって、制御ネットワークにおける制御システムへの要求は高度化している。従来は、制御対象との制御通信性能の高度化を指向していた。しかし、近年では通信性能に留まらず、制御システムへのＡＩ適用や、あるいは保守データの活用によるＣＢＭ（Ｃｏｎｄｉｔｉｏｎ　Ｂａｓｅｄ　Ｍａｉｎｔｅｎａｎｃｅ）の適用による資産管理といった用途が挙げられる。
　このような情報技術の制御システムへの導入を促進する制御ネットワークとして、ＴＳＮ（Ｔｉｍｅ　Ｓｅｎｓｉｔｉｖｅ　Ｎｅｔｗｏｒｋ）が挙げられる。
　ＴＳＮと呼ばれる一連のＩＥＥＥ規格群で構成される通信方式は、ＩＥＥＥ８０２．３規格を制御システムに適用可能とした制御ネットワークである。ＴＳＮは、時分割に基づくタイムスロット通信を導入することにより、タイムスロットごとに制御通信や情報通信（ＡＩ、監視用途、ＣＢＭ等の通信を含む）の使い分けが可能である。
　つまり、制御通信のリアルタイム要件を満足しながら、同一ネットワーク上での情報通信との両立が可能である。
　一方で、これら標準化技術やＩＴ分野の技術の導入にともない、制御システムにおいてもサイバーセキュリティの脅威が高まっている。特にフィールド分野でのセキュリティ確保はリアルタイム性、可用性といった制御システム特有の要件を満足する必要があり、対応を困難としている。
特開２００６－１４８５０５号公報 特開２０１５－１１９３８６号公報
　しかしながら、従来のセキュリティ対策は一般にＩＴシステムを対象としていることから、前述のように制御システムに要求されるリアルタイム性、可用性を満足することが困難であった。
　特許文献１は、通信データのパケットを中継装置内に格納する発明である。しかしながら、パケットの中継時にメモリ等への書き込みと読み出しという少なくとも２回のメモリ操作が必要であり、中継による遅延を増大させる要因となる。メモリ素子やバスの高速化により遅延を短縮できる可能性はあるが、中継装置の大型化や消費電力の増加を招く。このような高速化は、多くの制御対象設備において制御装置の設置場所が限られていることや、制御装置の信頼性確保のために発熱量が管理されている点を考慮すると好ましくない。
　さらに特許文献２は、第一通信装置により送信される通信フレーム内の複数の要素を順に受信し、通信フレームの特徴を示す特徴値を決定して、特徴値が条件を満たすか否かを判定する。そして、受信される複数の要素を順に伝達し、特徴値が条件を満たさないと判定された場合に、伝達される複数の要素の一部を変更して、順に第二通信装置へ送信する発明である。しかしながら、ＴＳＮといった時分割型のタイムスロット通信方式を考慮していないため、そのようなタイムスロット通信では計算機資源（メモリや照合回路等）の効率的な利用や、一律の特徴値比較による可用性低下の課題がある。
　本発明は、上記課題を解決するために、タイムスロットに応じたセキュリティ対策を特定する。セキュリティ対策の特定には、検査パターンの特定（タイムスロットごとに検査パターンを変更）やセキュリティソフトの特定が含まれる。
　本発明の一態様には、以下の構成が含まれる。通信フレームを転送する通信制御装置において、前記通信フレームを受信する手段と、前記通信フレームを処理する時間を特定する手段と、特定された前記時間に対応するタイムスロットに応じた、前記通信フレームに対するセキュリティ対策を特定する手段とを有する通信制御装置。
　タイムスロット通信を採用するネットワークにおいて、状況に応じたセキュリティ対策を施すことが可能になる。
本発明の一実施形態を用いたシステム構成図である。 本発明の一実施形態でのハードウェア構成図である。 本発明の一実施形態を示す機能構成図である。 本発明の一実施形態の動作手順を示した図である。 本発明の一実施形態の動作手順を示した図である。 本発明の一実施形態の動作手順を示した図である。 本発明の一実施形態の動作手順を示した図である。 本発明の一実施形態における特性と検査パターンの関係を示す図である。 本発明の一実施形態における特性と検査パターンの関係を示す図である。 本発明の一実施形態における各特性間の関係を示す図である。 中継通信装置１２１におけるタイムスロットを示した図である。 本発明の一実施形態におけるタイムスロットと動作を示した図である。 本発明の一実施形態におけるタイムスロットと動作を示した図である。 本発明の一実施形態における照合処理と検査パターンの更新を並行して行う機能構成を示した図である。 本発明の一実施形態におけるタイムスロットと動作を示した図である。 本発明の一実施形態におけるタイムスロットと動作を示した図である。 本発明の一実施形態を示す機能構成図である。 本発明の一実施形態を用いたシステム構成図とタイムスロット及び動作を示した図である。 本発明の一実施形態を用いたシステム構成図である。
（システム構成例）
　本発明の一実施形態を適用したシステム構成を図１に示す。中央制御装置１２０は、制御ネットワーク１２２、ネットワーク中継装置１２１を介して、分散制御装置１２３と接続し、通信する。
　中央制御装置１２０は、分散制御装置１２３に対して、通信パケットを送受信することにより、被制御装置１２４を制御するための制御指令値の伝送、被制御装置１２４の計測値の取得や各種設定を実行する。
　中央制御装置１２０は、ＤＣＳ（Ｄｉｓｔｒｉｂｕｔｅｄ　Ｃｏｎｔｒｏｌ　Ｓｙｓｔｅｍ）の中央制御装置や電力系統の保護制御装置のように、各制御システム内のサンプリングデータや、制御指令、状態信号をやりとりすることが例示される。同一制御システム内のデータをパケット内に格納してもよい。
　中央制御装置１２０として、専用コントローラ、産業用パソコン、制御用計算機、ＤＣＳコントローラ、ＳＣＡＤＡ（Ｓｕｐｅｒｖｉｓｏｒｙ　Ｃｏｎｔｒｏｌ　ａｎｄ　Ｄａｔａ　Ａｃｑｕｉｓｉｔｉｏｎ）サーバ、ＰＬＣ（Ｐｒｏｇｒａｍｍａｂｌｅ　Ｌｏｇｉｃ　Ｃｏｎｔｒｏｌｌｅｒ）、ＩＥＤ（Ｉｎｔｅｌｌｉｇｅｎｔ　Ｅｌｅｃｔｒｏｎｉｃ　Ｄｅｖｉｃｅ）、保護制御装置、クラウド、サーバが例示される。
　ネットワーク中継装置１２１は、制御ネットワーク１２２における中継装置であり、中央制御装置１２０、分散制御装置１２３やネットワーク中継装置１２１の通信するパケットを経路制御し、転送する。ネットワーク中継装置１２１として、Ｌ２スイッチ、Ｌ３スイッチを含むネットワークスイッチ、ブリッジ、ルータ、ＩＥＥＥ １５８８のＴＣ（Ｔｒａｎｓｐａｒｅｎｔ　Ｃｌｏｃｋ）、ＢＣ（Ｂｏｕｎｄａｒｙ　Ｃｌｏｃｋ）、ＯｐｅｎＦｌｏｗスイッチ、ＩＥＣ　６２４３９－３で定義されるＲｅｄＢｏｘ、ＱｕａｄＢｏｘ、光スイッチ、光合波器、光分波器等の各種ネットワーク中継装置が例示される。
　制御ネットワーク１２２は、中央制御装置１２０、分散制御装置１２３、ネットワーク中継装置１２１を接続するネットワークであり、ＴＳＮと関連するＩＥＥＥ通信規格群、ＩＥＣ６１７８４でのタイムスロット通信を採用する一部の規格、その他タイムスロット通信を用いるネットワークが例示される。
　また、プロトコルスタックにおける上位プロトコルとして、ＩＥＣ６１８５０、ＯＰＣ　ＵＡ（Ｕｎｉｆｉｅｄ　Ａｒｃｈｉｔｅｃｔｕｒｅ）、ＩＥＣ　６１８５０－７－４２０、ＩＥＣ　６０８７０－５－１０４、ＯｐｅｎＡＤＲ、ＥＣＨＯＮＥＴ　Ｌｉｔｅ（登録商標）等が例示される。あるいは、以上のプロトコルは階層化されていてもよい。例えば、ＴＳＮ上でデータ領域の内容はＯＰＣ　ＵＡ規格を適用することが例示される。
　分散制御装置１２３は、被制御装置１２４に接続され、制御ネットワーク１２２を介して、中央制御装置１２０から受信した制御指令に応じて被制御装置１２４を制御、設定する。また、被制御装置１２４の状態や情報を取得して制御ネットワーク１２２を介して中央制御装置１２０へ送信する。
　分散制御装置１２３として、専用コントローラ、産業用パソコン、制御用計算機、ＤＣＳコントローラ、ＳＣＡＤＡ装置、ＰＬＣ、ＩＥＤ、ＭＵ（Ｍｅｒｇｉｎｇ　Ｕｎｉｔ）、保護制御装置が例示される。
　被制御装置１２４は、分散制御装置１２３によって制御される機器、装置である。被制御装置１２４として、移動ロボットやロボットアーム等の産業用ロボット、チップマウンタ、工作機械テーブル、加工装置、工作機械、半導体製造装置、あるいは製造装置内のモータ、インバータや、遮断器、断路器といった電力機器が例示される。
　検査パターン管理装置１２５は、ファイアウォール１２６における検査パターンを管理する。管理の内容としては、検査パターンの更新、置換、除去、有効化、無効化、取得等の処理を含む。
　なお、検査パターンとは不正な通信を特徴づける通信内容を示す。その内容は、通信プロトコル上の意味を持った領域（例えば、宛先アドレスや通信ポート番号等）における不正値、異常値や、マルウェアを含む通信等の任意の位置における特定のデータ列、あるいはマルウェアの特徴値と定義する。さらに、検査パターンは、セキュリティ対策の一態様であって、後述するアンチウィルスソフトなども含まれる。
　検査パターン管理装置１２５として、ＳＤＮ（Ｓｏｆｔｗａｒｅ　Ｄｅｆｉｎｅｄ　Ｎｅｔｗｏｒｋ）におけるＯｐｅｎＦｌｏｗコントローラ等の通信制御装置、専用の通信装置が例示される。
　ファイアウォール１２６は、本実施形態の処理を実行する通信装置である。また、基本機能として、中央制御装置１２０、ネットワーク中継装置１２１、分散制御装置１２３、検査パターン管理装置１２５のそれぞれの装置間に設置されて通信を中継し、不正な通信内容に対してはセキュリティ対策を実施する。図１ではネットワーク中継装置１２１と分散制御装置１２３間に設置される構成を示している。
　ファイアウォール１２６は、入力されたパケットと検査パターンを比較し、一致した場合に該パケットを不正パケットあるいは攻撃パケットと判断する。不正パケット、攻撃パケットと判断した場合は該パケットを破棄してもよいし、パケット末尾のＣＲＣ（Ｃｙｃｌｉｃ　Ｒｅｄｕｎｄａｎｃｙ　Ｃｈｅｃｋ：巡回冗長検査）、つまり、パケット末尾の誤り検査符号を変更して、転送先にて該パケットを破棄できるようにしてもよい。
　なお、図１では中央制御装置１２０と分散制御装置１２３間に２つのネットワーク中継装置１２１を接続しているが、異なる数でもよいし、通信経路が複数であってもよい。
　図１に示すシステム構成として、ＦＡ（Ｆａｃｔｏｒｙ　Ａｕｔｏｍａｔｉｏｎ）、ＰＡ（Ｐｒｏｃｅｓｓ　Ａｕｔｏｍａｔｉｏｎ）向けのＤＣＳ等の制御システム、電力分野の監視制御・保護制御システムや、産業用機器、半導体製造装置、車載システム、建設機械や鉄道車両内の制御システム、鉄道地上信号システム、航空機内の制御システム等が例示される。あるいは、制御ネットワーク１２２を介して収集した情報をもとに、中央制御装置１２０あるいは、図示していないクラウドやコンピュータ上で人工知能にて解析し、制御システムの性能向上を図るＩｏＴシステム等が例示される。
（ハードウェア構成）
　図２に、本実施形態を適用したファイアウォール１２６のハードウェア構成を示す。
　ＣＰＵ１０１は、不揮発性記憶媒体１０５からプログラムをメモリ１０４に転送して実行する。実行処理プログラムとしては、オペレーティングシステム（以下、ＯＳと称す）やＯＳ上で動作するアプリケーションプログラムが例示される。ＣＰＵ１０１上で動作するプログラムは通信制御ＩＣ１０２の動作設定や状態情報を取得する。
　通信制御ＩＣ１０２は、ＰＨＹ１０３から受信したパケットを検査パターンと比較して不正パケットかどうかを判断し、不正パケットの場合に該パケットを破棄する。あるいはバス１０６を介してＣＰＵ１０１、メモリ１０４、不揮発性記憶媒体１０５へパケットを転送し、ＣＰＵ１０１上で動作するソフトウェアにおいて、不正パケットの判断処理と破棄等の対応をする。
　通信制御ＩＣ１０２の実装例としては、ＦＰＧＡ（Ｆｉｅｌｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）、ＣＰＬＤ（Ｃｏｍｐｌｅｘ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｌｏｇｉｃ　Ｄｅｖｉｃｅ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ　Ｓｐｅｃｉｆｉｃ　Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）、ゲートアレイ等のＩＣが例示される。あるいは、ＣＰＵ１０１と一体化して構成されてもよい。通信制御ＩＣ１０２をＭＡＣ層、ＰＨＹ層を含めたＩＥＥＥ　８０２．３通信デバイスとしてもよいし、また、ＰＨＹ機能まで含めて通信制御ＩＣ１０２に包含してもよい。この場合、通信制御ＩＣ１０２の実装例としてはＩＥＥＥ８０２．３規格のＭＡＣ（Ｍｅｄｉａ　Ａｃｃｅｓｓ　Ｃｏｎｔｒｏｌ）チップ、ＰＨＹ（物理層）チップ、ＭＡＣとＰＨＹの複合チップを含む。なお、通信制御ＩＣ１０２は、ＣＰＵ１０１や、コンピュータ内部の情報経路を制御するチップセットに含まれていてもよい。また、図２の構成では、通信制御ＩＣ１０２を１つ示しているが、通信制御ＩＣ１０２の数は複数であってもよい。
　ＰＨＹ１０３は、制御ネットワーク１２２との通信機能を実装した送受信機ＩＣである。ＰＨＹ１０３の提供する通信規格としてＩＥＥＥ８０２．３のＰＨＹ（物理層）チップが例示される。なお、図２の構成では、ＰＨＹ１０３と通信制御ＩＣ１０２が接続しているので、ＩＥＥＥ ８０２．３のＭＡＣ（Ｍｅｄｉａ　Ａｃｃｅｓｓ　Ｃｏｎｔｒｏｌ）層の処理は通信制御ＩＣ１０２に含まれる。ただし、ＭＡＣ機能を提供するＩＣを通信制御ＩＣ１０２とＰＨＹ１０３間に配置する構成や、ＭＡＣ機能を提供するＩＣとＰＨＹ１０３を組み合わせた通信用ＩＣと通信制御ＩＣ１０２を接続する構成においても、本発明の効果は失われるものではない。なお、ＰＨＹ１０３は、通信制御ＩＣ１０２に含まれていてもよい。また、図２の構成では、ＰＨＹ１０３を１つずつ示しているが、ＰＨＹ１０３の数は複数であってもよい。
　メモリ１０４は、ＣＰＵ１０１が動作するための一時的な記憶領域であり、検査パターン、不揮発性記憶媒体１０５から転送したＯＳ、アプリケーションプログラム等が格納される。
　不揮発性記憶媒体１０５は、情報の記憶媒体で、ＯＳ、アプリケーション、デバイスドライバ等や、ＣＰＵ１０１を動作させるためのプログラムの保存、検査パターン、プログラムの実行結果の保存に利用される。不揮発性記憶媒体１０５として、ハードディスクドライブ（ＨＤＤ）やソリッドステートドライブ（ＳＳＤ）、フラッシュメモリが例示される。また、取り外しが容易な外部記憶媒体として、フロッピーディスク（ＦＤ）、ＣＤ、ＤＶＤ、ブルーレイ（登録商標）、ＵＳＢメモリ、ＣＦカード等のフラッシュメモリ型メモリーカード等の利用が例示される。
　バス１０６は、ＣＰＵ１０１、通信制御ＩＣ１０２、メモリ１０４、不揮発性記憶媒体１０５をそれぞれ接続する。バス１０６としては、ＰＣＩバス、ＩＳＡバス、ＰＣＩ　Ｅｘｐｒｅｓｓバス、システムバス、メモリバス等が例示される。
　また、図２に示す構成において、複数のデバイス（例えば、ＣＰＵ１０１、メモリ１０４、不揮発性記憶媒体１０５、通信制御ＩＣ１０２）をプロセッサ内蔵型のＦＰＧＡとして構成してもよい。
（ファイアウォール１２６の機能構成）
　本発明の一実施形態を適用したファイアウォール１２６の機能構成を、図３に示す。図３におけるタイムスロット特性記憶部１３０は、ファイアウォール１２６に設定されている各タイムスロットの特性を記憶する。このような特性は、該タイムスロットで通信されるように設定、設計されている上位通信プロトコルや、あるいは図１の制御システム上で構築されるアプリケーション上での用途等が例示される。後者の用途の例としては、制御、情報処理、管理、監視、時刻同期、ＡＩ（推論処理含む）、機械学習等が例示される。
　タイムスロット特性記憶部１３０は、メモリ１０４、不揮発性記憶媒体１０５のいずれか、または両方による構成が例示され、情報を記憶する機能を有する。
　検査パターン選択部１３１は、タイムスロット連携時刻同期部１３５で同期したタイムスロットにあわせて、タイムスロット特性記憶部１３０の情報をもとに該タイムスロットの特性を判別する。また、検査パターン記憶部１３６から検査パターンを選択する。この選択結果が、リアルタイムパターン検査部１３４で用いられる。この検査パターン選択部１３１は、通信制御ＩＣ１０２、ＣＰＵ１０１上で動作するソフトウェアのいずれか、または両方により実現される。
　送信部１３２は、リアルタイムパターン検査部１３４から通知されたデータ、あるいはパケットを加工して送信する機能を有する。送信部１３２の加工処理は、データからフレームを生成する処理や、データまたはパケットの複製、所定のタグを追加することや、ＣＲＣ等の異常診断データの計算と付加が例示される。送信部１３２が付加するタグとして、ＩＥＥＥ８０２．１Ｑで定義されるＶＬＡＮタグ、ＩＥＣ６２４３９－３で定義されるＨＳＲタグ、ＰＲＰタグが例示される。ＶＬＡＮタグの設定では、ＴＳＮ関連規格で定義される内容にしたがったＰＣＰ（Ｐｒｉｏｒｉｔｙ　Ｃｏｄｅ　Ｐｏｉｎｔ）、ＶＩＤ（ＶＬＡＮ　Ｉｄｅｎｔｉｆｉｅｒ）の設定を含む。
　送信部１３２はＰＨＹ１０３、ＣＰＵ１０１上で動作するソフトウェア、通信制御ＩＣ１０２のいずれか、または複数で構成する。送信部１３２がＭＡＣ機能を有してもよい。
　受信部１３３は、受信したパケットをリアルタイムパターン検査部１３４へ転送する。受信部１３３は、受信パケットを加工してもよく、加工処理としては、パケットに付加されたタグの除去やデータの抽出が例示される。また、受信部１３３は、処理したパケットの情報を一定期間記憶するために情報記憶手段を有し、例えば、送信元アドレスやタグ上の情報を記憶してもよい。受信部１３３は、通信制御ＩＣ１０２、ＰＨＹ１０３、またはＣＰＵ１０１上のソフトウェアのいずれか、または複数で実装することが例示される。
　リアルタイムパターン検査部１３４は、受信部１３３から入力されたパケットまたはデータを受信する。そして、検査パターン選択部１３１から通知された検査パターンに対して順次照合する。入力データを順次照合するため、転送遅延を一定とするカットスルー転送が可能である。なお、複数の検査パターンを並列的に照合してもよい。また、判定方式は検査パターンに一致したパケットまたはデータを不正と判定するブラックリスト方式でもよいし、あるいは検査パターンに一致したデータを正常（不正ではない）と判定するホワイトリスト方式でもよい。
　不正と判定したパケットは破棄してもよいし、カットスルー転送をするため、ＦＣＳ（Ｆｒａｍｅ　Ｃｈｅｃｋ　Ｓｅｑｕｅｎｃｅ）部のＣＲＣを意図的に、誤った計算値(何らかの不正を示す値)としてもよい。これにより、受信側の分散制御装置１２３で該パケットを破棄できる。
　あるいは、条件に応じて、パケットをバッファリングしてストア＆フォワード方式で不正判定し、判定結果に応じた処理（パケット破棄やＣＲＣの変更等）を実行してもよい。
　リアルタイムパターン検査部１３４は、通信制御ＩＣ１０２またはＣＰＵ１０１上で動作するソフトウェアのいずれか、または両方による構成が例示される。
　タイムスロット連携時刻同期部１３５は、ネットワーク中継装置１２１または中央制御装置１２０、分散制御装置１２３、他のファイアウォール１２６と時刻同期通信プロトコル及びタイムスロット通信プロトコルにしたがって通信することで、ファイアウォール１２６上のタイムスロットを管理する。これにより、タイムスロット連携時刻同期部１３５は、中央制御装置１２０、ネットワーク中継装置１２１、分散制御装置１２３、他のファイアウォール１２６と時刻同期する。そして、ある瞬間において、どのタイムスロットとなっているか、次のタイムスロットに切り替わるタイミングを判別する。
　時刻同期プロトコルを実現するため、タイムスロット連携時刻同期部１３５は、受信部１３３、送信部１３２、リアルタイムパターン検査部１３４を用いて時刻同期プロトコルに対応する。そのような時刻同期プロトコルとして、ＩＥＥＥ１５８８（ＰＴＰ：Ｐｒｅｃｉｓｉｏｎ　Ｔｉｍｅ　Ｐｒｏｔｏｃｏｌ）、ＮＴＰ（Ｎｅｔｗｏｒｋ　Ｔｉｍｅ　Ｐｒｏｔｏｃｏｌ）、ＳＮＴＰ（Ｓｉｍｐｌｅ　Ｎｅｔｗｏｒｋ　Ｔｉｍｅ　Ｐｒｏｔｏｃｏｌ）等が例示される。
　ＩＥＥＥ１５８８のＰｅｅｒ　ｄｅｌａｙメカニズムに対応するため、ＴＣ（Ｔｒａｎｓｐａｒｅｎｔ　Ｃｌｏｃｋ）の機能を具えることが例示される。
　これは、隣接装置間と同期パケットを通信して、経路上の遅延を計測することが例示される。また、ファイアウォール１２６内の同期パケットの転送時間を計測して、１ステップ方式または２ステップ方式で、計測した転送時間を同期パケット（ＳｙｎｃまたはＦｏｌｌｏｗ＿Ｕｐメッセージ）上のＣｏｒｒｅｃｔｉｏｎＦｉｅｌｄまたはタイムスタンプ上に加算することが例示される。
　タイムスロット連携時刻同期部１３５は、通信制御ＩＣ１０２またはＣＰＵ１０１上で動作するソフトウェアのいずれか、または両方による構成が例示される。
　検査パターン記憶部１３６は、リアルタイムパターン検査部１３４で照合する検査パターンの集合を記憶する。そのような検査パターンは、所定通信プロトコルパケットフォーマットにおける所定フィールドの値でもよいし、所定通信プロトコルに依存しないシグネチャ（特徴値）でもよい。
　また、検査パターンはブラックリスト、ホワイトリストかを示す情報を有してもよい。
これは検査パターンごとにホワイトリストか、ブラックリストかをわけ、両者それぞれの検査パターンが混在していてもよい。なお、ブラックリストとは、リストに一致するものがある場合に不正と判断し、一致するものがない場合に正常と判断するものである。ホワイトリストとは、リストに一致するものがある場合に正常と判断し、一致するものがない場合に不正と判断するものである。
　あるいは、複数のホワイトリストの検査パターンとブラックリストの検査パターンが同時に一致した場合に、不正と判定するか、正常と判定するかを決定するための優先度やルールを記憶してもよい。なお、正常とは不正を検知できない場合とも定義可能である。
　例えば、ブラックリストの検査パターンとホワイトリストの検査パターンに同時に一致した場合に、優先度の高い検査パターンの判定結果を採用することが示される。具体的には、ブラックリストの検査パターンＡとホワイトリストの検査パターンＢに同時に一致し、検査パターンＡの優先度を高く設定している場合に不正と判定する。
　あるいは、ホワイトリストの検査パターンＡ、Ｂ、ブラックリストの検査パターンＣがあるとして、「ＡかつＢに一致すれば、Ｃと一致した場合でも正常と判定する」（Ａ＆Ｂ→正常判定）で表現してもよい。
　同様に、「一つでもブラックリストの検査パターンに一致すれば、異常と判定する」という定義が例示される。
　検査パターン記憶部１３６は、通信制御ＩＣ１０２、メモリ１０４、不揮発性記憶媒体１０５、ＣＰＵ１０１上で動作するソフトウェアのいずれか、または複数で構成することが例示される。
（ファイアウォール１２６の動作手順）
　次に、図４にファイアウォール１２６における検査パターンの設定における動作手順を示す。この動作手順は検査パターン選択部１３１を中心とした動作である。
　はじめにタイムスロット連携時刻同期部１３５が同期している時刻に基づいて、タイムスロットの切り換わりを待機する（Ｓ００１）。タイムスロットが切り換われば（Ｓ００１のＹ）、検査パターン選択部１３１はタイムスロット特性記憶部１３０から、該タイムスロットの特性を抽出する（Ｓ００２）。この特性とは、該タイムスロットで通信される通信プロトコルや、あるいは制御用途、情報収集用途、監視用途、ＡＩの学習用途、アプリケーションプログラムといった用途が例示される。
　なお、本実施形態では、特性を用いてタイムスロットを特定しているが、パケット内のタイムスロットを識別するＩＤを使って特定してもよい。また、ファイアウォール１２６がタイムスロットを特定するテーブルを保持し、これを用いてタイムスロットを特定してもよい。
　次に、検査パターン選択部１３１はＳ００２で抽出したタイムスロットに対応する検査パターンを検査パターン記憶部１３６から選択する（Ｓ００３）。これは１つでも複数でもよいし、あるいは０（選択しない）でも構わない。
　次に、選択した検査パターンをリアルタイムパターン検査部１３４に設定する（Ｓ００４）。
　次に、終了条件を満たすかを判定する（Ｓ００５）。終了条件を満たしていれば（Ｓ００５のＹ）、処理を終了する。終了条件を満たしていなければ（Ｓ００５のＮ）、次のタイムスロットに向け、Ｓ００１の手順へ戻る。
　終了条件はシステム運用者あるいは制御システム管理装置（ＳＣＡＤＡ、ワークステーション、サーバ装置含む）等から明示的に終了と設定してもよいし、あるいはハードウェア故障、ソフトウェア故障といった異常の発生をもとに判断してもよい。あるいは、所定数、所定データサイズのパケットを転送したことや、所定時間稼働したこと、あるいは所定期間（例えば、１日のうちの１０時から１７時）経過したことをもとに判断してもよい。
　なお、Ｓ００１はタイムスロットの切り換わりを契機としたが、Ｓ００２からＳ００４のいずれか、または複数の手順の処理時間だけ、タイムスロットの切り換わりから早い時間にＳ００１を開始してもよい。このようにすれば、タイムスロットが切り換わったタイミングで、リアルタイムパターン検査部１３４に該検査パターンを設定できる。また、これを実現するため、Ｓ００２からＳ００４の手順を一定の固定時間で実行する構成が例示される。
（動作手順）
　次に、リアルタイムパターン検査部１３４におけるパケットの検査手順を図５、図６を用いて説明する。
（動作手順：フィールド）
　図５は、所定の通信プロトコルを想定し、所定フィールドの値を比較する場合等の手順である。
　はじめに、受信部１３３がパケットを受信し、リアルタイムパターン検査部１３４に入力されるまで待機する（Ｓ０１０）。なお、カットスルー転送を可能とするため、受信部１３３はパケット全体をバッファリングすることなく、パケットの先頭を受信次第、順次、リアルタイムパターン検査部１３４へ転送することが例示される。受信パケットが入力されると（Ｓ０１０のＹ）、パケットの入力にしたがって、検査パターンを比較する条件を満足したかどうかを判定する（Ｓ０１１）。これは、順次入力されるパケットの内容を解析して、通信プロトコルの判別や通信プロトコルごとのフィールドの位置の特定が例示される。例えば、検査パターンとしてＩＰｖ４の送信元ＭＡＣアドレスを対象とする場合は、ＩＥＥＥ８０２．３フレームとして入力されたデータに対してタイプ（先頭から１３ｂｙｔｅ目と１４ｂｙｔｅ目）が０ｘ０８００であることを識別する。そして、後続するＩＰｖ４ヘッダの１３ｂｙｔｅ目から１６ｂｙｔｅ目までの情報を抽出することを意味する。
　Ｓ０１１で条件を満足すれば（Ｓ０１１のＹ）、検査パターンと一致するかを判定する（Ｓ０１２）。一致した場合（Ｓ０１２のＹ）、一致しなかった場合（Ｓ０１２のＮ）のそれぞれで、検査パターンがホワイトリスト比較かどうかを判定する（Ｓ０１３、Ｓ０１４）。
　検査パターンと一致して（Ｓ０１２のＹ）、ホワイトリスト比較の場合（Ｓ０１３のＹ）、及び検査パターンと一致せず（Ｓ０１２のＮ）、ホワイトリスト比較でない場合（Ｓ０１４のＮ）、正常パケットとして処理する（Ｓ０１５）。
　一方、検査パターンと一致して（Ｓ０１２のＹ）、ホワイトリスト比較でない場合（Ｓ０１３のＮ）、及び検査パターンと一致せず（Ｓ０１２のＮ）、ホワイトリスト比較の場合（Ｓ０１４のＹ）、不正パケットとして異常処理する（Ｓ０１６）。
　正常処理の例としては、受信パケットに何もせずに、そのまま転送することが含まれる。さらに、ＩＥＥＥ　１５８８の時刻同期パケットの場合は、ファイアウォール１２６における転送時間をｃｏｒｒｅｃｔｉｏｎＦｉｅｌｄ（滞留時間や遅延補正に用いられるＩＥＥＥ１５８８ヘッダ上のフィールド）に加算することが例示される。なお、本実施形態では、Ｓ０１３およびＳ０１４で「ホワイトリスト比較か」と表現しているが、「ブラックリスト比較か」とも表現可能である。つまり、Ｓ０１３およびＳ０１４では、ホワイトリスト比較とブラックリスト比較かを判断している。なお、「ブラックリスト比較か」と表現する場合、「ホワイトリスト比較か」とはＹ（Ｙｅｓ）とＮ（Ｎｏ）フローが逆になる。
　異常処理の例としては、該パケットを破棄することやＣＲＣを意図的に異常な値（もとのＣＲＣ値を反転する等）に変更することが例示される。
　次に、パケットの終端かを判定する（Ｓ０１７）。パケットの終端であれば（Ｓ０１７のＹ）、終了判定をする（Ｓ０１８）。Ｓ０１８は図４のＳ００５と同様である。Ｓ０１７でパケットの終端でなければ（Ｓ０１７のＮ）、Ｓ０１１に戻る。
　なお、Ｓ０１１での条件を満足していなければ（Ｓ０１１のＮ）、Ｓ０１７へ進む。
（動作手順：シグネチャ）
　図６は、所定シグネチャと比較する場合等の手順である。シグネチャは、パケット上の任意の場所に現れ得る。したがって、図５の手順とほぼ同様であるが、Ｓ０１１の手順が省略される。
　図５や図６に示す検査パターンの比較手順は、検査パターンの違い、ホワイトリスト判定か、ブラックリスト判定かの違い等により、複数並列して動作することが例示される。
これらを統合した動作を図７に示す。
　はじめに、受信パケットの入力を待機する（Ｓ０１０）。受信パケットが入力されれば、すべての検査パターンの検査の終了を待機する（Ｓ０２０）。通常、これはリアルタイムパターン検査部１３４の判定処理が受信パケットの末尾に到達することで判断される。
あるいは各検査パターンの検証が終了したと判定し（例えば検査パターンに一致し、何らかの判定結果を出力した）、判定結果が揃ったところで終了と判定してもよい。
　各検査パターンの検証が終了すれば（Ｓ０２０のＹ）、個別の判定結果をもとに、最終的な判定結果を決定する（Ｓ０２１）。これは個別の検査パターンに優先度を設定して決定してもよいし、全体の検査パターンに対する決定方法（例えば、一つでも異常と判定した場合に異常と判定する）に基づいて決定してもよい。
　なお、図５、６のＳ０１５、Ｓ０１６で正常処理、異常処理としたが、Ｓ０１５、Ｓ０１６では判定結果を決定するにとどめ、最終的な処理はＳ０２１で実行してもよい。
　また、シグネチャを判定する場合であっても、プロトコル上のフィールドを判別してもよい。例えば、所定プロトコルのヘッダを識別し、ヘッダについては検査パターンの照合対象から除外し、データ領域のみに照合を限定することが例示される。
（用途）
　なお、各タイムスロットの用途としては、ＡＩ適用に向けた学習データの収集や、ニューラルネットによる推論を実行するための入力情報の伝送が例示される。あるいは、被制御装置１２４に対する予防保全、予兆診断を適用するための監視データ、状態データ用の通信が例示される。
　あるいは中央制御装置１２０から分散制御装置１２３に対して、以下を更新、配信する場合の該データの転送用としての用途が例示される。例えば、プログラムやファームウェア、ＯＳ、ＯＳレベルの仮想化環境であるコンテナ（仮想マシン含む）イメージまたはコンテナの構成情報、セキュリティパッチ等である。
（検査パターンに対する用途、プロトコルまたはアプリケーションの設定）
　タイムスロット特性記憶部１３０で識別した特性に基づく検査パターン記憶部１３６での検査パターンの選択において、各検査パターンに関連する用途またはプロトコルを設定することが例示される。
　例えば、ある検査パターンに対して、その検査パターンが対象とする通信プロトコル、用途、あるいはアプリケーションプログラム等を設定してもよい。この設定は、通信プロトコルと用途、アプリケーションプログラムのいずれか、または複数を設定してもよい。
例えば、シグネチャ検査パターンは、通信プロトコルを想定せず、特定アプリケーションプログラムを対象とする場合があり得るため、そのアプリケーションプログラムを設定する。なお、用途とアプリケーションプログラムは１対１で対応しない場合があり得るため、独立した項目とすることが例示される。例えば、保全用途に対して、複数の異なるアプリケーションプログラムが連携する場合や、使い分ける場合があり得る。
　同様に、同じ用途に対して、異なる通信プロトコルを関連付けることも例示される。例えば、制御という用途に対して、ＥｔｈｅｒＣＡＴ（ＩＥＣ６１１５８、ＩＥＣ６１７８４－２）や、その上位プロファイルであるＣＯＥ（ＣＡＮｏｐｅｎ　ｏｖｅｒ　ＥｔｈｅｒＣＡＴ）、またはＩＥＣ６１８５０のＧＯＯＳＥ通信を用いることがあり得る。このような場合、タイムスロットの特性として、制御用途を抽出する。次に、制御用途に関連付けられた通信プロトコルとして、例えば、ＣＯＥ向けの検査パターンと、ＩＥＣ６１８５０のＧＯＯＳＥ通信の検査パターンを選択して、リアルタイムパターン検査部１３４に設定することが例示される。
　これらの関係を図８に示す。タイムスロット特性記憶部１３０として抽出され得る特性は、通信プロトコル１４０、用途１４１、アプリケーションプログラム１４２であり、また、それらは相互に関連づいている。ただし、循環参照を避けるため、参照は一巡しないことが例示される。例えば、最初に抽出された特性が用途１４１として、その用途に関連づいた通信プロトコル１４０及び、またはアプリケーションプログラム１４２が抽出される。さらに、それぞれで、関連する通信プロトコル１４０，アプリケーションプログラム１４２を抽出した後は、関連の抽出を停止する。その後、それぞれに関連づいた検査パターンを選択する。
　具体例を、図９に示す。図９（ａ）は特性間の関係を示す。ここでは、最初にタイムスロット特性記憶部１３０で抽出された特性として、制御という用途があり、そこから通信プロトコルＥｔｈｅｒＣＡＴ　ＣＯＥとＩＥＣ６１８５０のＧＯＯＳＥと、アプリケーションプログラムＤ、Ｅを抽出している。次に通信プロトコルのＥｔｈｅｒＣＡＴ　ＣＯＥとＩＥＣ６１８５０のＧＯＯＳＥに関連づいているアプリケーションプログラムとして、Ａ、Ｂ、Ｃを抽出する。また、アプリケーションプログラムＤと関連づいている通信プロトコルとして、ＩＥＥＥ１５８８を選択している。
　図９（ｂ）は各検査パターンと特性との関係を示す。例えば、検査パターン１は、通信プロトコルとしてＥｔｈｅｒＣＡＴ　ＣＯＥ、アプリケーションプログラムとしてプログラムＢを対象とし、検査パターン２は、用途として制御を対象とすることを示す。
　抽出された各特性を対象とした検査パターンを選択する。図９（ａ）に示す特性を例に取ると、用途として制御、通信プロトコルとしてＥｔｈｅｒＣＡＴ　ＣＯＥ、ＩＥＣ６１８５０のＧＯＯＳＥ、ＩＥＥＥ１５８８、アプリケーションプログラムとしてプログラムＡ、Ｂ、Ｃ、Ｄ、Ｅが抽出されている。このため、検査パターンとして、１から７が選択される。
　なお、図９では特性間で順序関係をつけ、用途を最初に抽出したが、通信プロトコル、アプリケーションプログラムのいずれでも構わない。例えば、用途、通信プロトコル、アプリケーションプログラムと順序づけ、タイムスロット特性記憶部１３０で抽出された特性が通信プロトコルであれば、通信プロトコルとアプリケーションプログラムのみを抽出する。あるいはタイムスロット特性記憶部１３０で抽出された特性がアプリケーションプログラムであればアプリケーションプログラムのみを抽出することが例示される。
（非選択）
　なお、図９の検査パターンの指定において、関連づく特性を示すのではなく、関連づかない特性を指定してもよい。例えば、「ＩＥＥＥ１５８８以外のプロトコルに適用」といった条件である。このようにすることで設定の柔軟性を向上できる。
　同様に、該タイムスロットにおいて、無関係の通信プロトコルのパケットは破棄（非選択）してもよい。
（検査パターンの優先順位）
　なお、リアルタイムパターン検査部１３４の計算機資源に対して、検査パターン選択部１３１で選択した検査パターンのすべてを適用できない場合があり得る。
　例えば、ＬＳＩ（ＦＰＧＡ、ＣＰＬＤ含む）のロジック容量の制限や、ＲＡＭ等の記憶容量の制限、あるいは、選択された検査パターンの照合処理時間に対して、タイムスロットの時間が短いといった時間制限が例示される。
　このような場合には、検査パターンに優先度をつけて、順に選択することが例示される。この優先度付けには、運用者がセキュリティ攻撃の流行情報や統計情報に基づいて、システム稼働前に静的に定めた固定的な優先度に基づいてもよいし、あるいは動作中に変更、設定してもよい。あるいは過去の該検査パターンの利用回数、登録されてからの経過時間（例えば、新しく登録された検査パターンを最近のセキュリティ脅威として優先的に検査する）、最後に利用されてからの経過時間等によって動的に定めてもよい。あるいは、タイムスロット特性記憶部１３０で抽出された特性と、その抽出順序に基づいて優先度を定めてもよい。例えば、以下に例示する場合で優先度を変更してもよい。
・該検査パターンが用途に関連する場合。
・タイムスロット特性記憶部１３０で最初に抽出された特性が用途の場合。
・タイムスロット特性記憶部１３０が用途を抽出した順番が２番目（例えば、通信プロトコルの次に用途を抽出）、３番目（例えば、通信プロトコル、アプリケーションプログラムの次に用途を抽出）の場合。
　あるいは、これらの指標値を重み付けして加算した結果を最終的な指標値として優先度を定めてもよい。
　加えて、検査パターンの数が多ければ外部に提示してもよい。これは通信制御ＩＣ１０２上にレジスタをもうけ、ＣＰＵ１０１上のソフトウェアから該レジスタにアクセス可能としてもよい。あるいはファイアウォール１２６から、事前に設定した送信先に電子メール等の電子手段で通知してもよいし、ファイアウォール１２６上でｗｅｂサーバを構築して、外部からｗｅｂブラウザ等でアクセスして確認できるようにしてもよい。あるいはファイアウォール１２６上にＬＥＤ、アラームといった物理的手段で提示してもよい。このように外部に通知することで、運用者は検査パターンの数を調整することや、追加のファイアウォール１２６を配置することで、セキュリティの観点において、結果的に制御システムを適切に運用しやすくなる。
（検査パターンの切り換え方法）
　検査パターンの設定方法は、予め、該検査パターンを保持する照合機能をソフトウェアまたはＬＳＩ（ＦＰＧＡ、ＣＰＬＤ含む）におけるハードウェア論理として構成し、該照合機能を有効または無効にすることが例示される。
　あるいはリアルタイムパターン検査部１３４内で、照合対象とする受信パケットの転送経路を変えることで、照合する検査パターンを選択してもよい。
　あるいは検査パターンをＲＡＭ等のストレージデバイスに記憶し、タイムスロットの切り換わりに応じて照合機能にロードする構成で、選択された検査パターンに応じて、ストレージデバイスごとの保存アドレス（ロード元アドレス）を変更する構成としてもよい。
　なお、サイクル内のタイムスロットの数が多く（つまり、検査パターンの切り換えが多い）、アクセス速度の異なるストレージデバイスが多段に構成される場合に、ストレージデバイス間の検査パターンのロードをスケジュールすることが例示される。例えば、図２の構成において、ＦＰＧＡを用いて通信制御ＩＣ１０２を構成し、検査パターンの照合機能をハードウェア回路にて実装し、ストレージデバイスとして通信制御ＩＣ１０２内のオンチップＲＡＭと、メモリ１０４の２段で構成する場合が例示される。
　一般的に、記憶容量とアクセス速度間にトレードオフが存在し、上記で言えば、ＦＰＧＡ内のハードウェア照合回路から見てオンチップＲＡＭは高速にアクセス可能であるが、容量は限られている。一方、メモリ１０４は容量を相対的に大きくすることが可能だが、バス１０６を介するため、アクセス速度が遅くなる。
　検査パターンの転送、ロードのスケジューリング例を図１２（ａ）に示す。タイムスロットＡからＦが計画されているとして、照合回路は１つのタイムスロット分の検査パターンの容量、オンチップＲＡＭは３つのタイムスロット分の容量があり、メモリ上は６つのタイムスロットを格納できる容量があるとする。
　ｔ０では検査パターンＡを照合回路へ転送し、ｔ２、ｔ４、ｔ７、ｔ１０、ｔ１２、ｔ１５も同様に各検査パターンを転送する。照合回路はｔ１、ｔ３、ｔ５、ｔ９、ｔ１１、ｔ１３、ｔ１７でタイムスロットの検査パターンを設定され、受信パケットに対して照合する。
　ｔ６ではメモリからオンチップＲＡＭに対し、タイムスロットＤ、Ｅ、Ｆ用の検査パターンが転送され、ｔ１４ではタイムスロットＡ、Ｂ、Ｃ用の検査パターンが転送される。
例えば、ｔ１－ｔ０はオンチップＲＡＭに対するアクセス時間（ロード時間）を示し、ｔ８－ｔ６がメモリとオンチップＲＡＭ間のアクセス時間（ロード時間）を示す。
　各デバイス間のアクセス速度、転送容量、アクセス時間、タイムスロットの開始時間（ｔ１、ｔ３、ｔ５、ｔ９、ｔ１１、ｔ１３、ｔ１７）をもとに、転送開始時間（ｔ０、ｔ２、ｔ４、ｔ７、ｔ１０、ｔ１２、ｔ１５、ｔ６、ｔ１４）を決定する。これらは検査パターンの数や個々の検査パターンのサイズ、オンチップＲＡＭ、照合回路の記憶容量にあわせて設計され得る。
　なお、図１２（ａ）ではストレージを２段としたが、３段以上でもよく、例えば、不揮発性記憶媒体１０５（ＨＤＤ等）を加えることが例示される。
　以上は、装置内で検査パターンをロードする構成を説明したが、制御ネットワーク１２２をまたいで検査パターンを、制御ネットワーク１２２上のストレージデバイス（例えば、ＮＡＳ：Ｎｅｔｗｏｒｋ　Ａｔｔａｃｈｅｄ　Ｓｔｏｒａｇｅ）からロードしてもよい。
　また、オンチップＲＡＭの一部を更新用のエリアとして、照合処理と並行して検査パターンを更新してもよい。このための機能構成例を、図１２（ｂ）に示す。この場合、同時アクセスを可能とするために通信制御ＩＣ１０２のオンチップＲＡＭはＤｕａｌ　Ｐｏｒｔメモリを用いることが例示される。なお、図１３に示すように、タイムスロット直前に受信したパケットの終端の処理時刻ｔ１がｔ０よりも遅ければ、ｔ２まではパケットを受信しないことが想定されるため、検査パターンを切り換えてもよい。ここで、ｔ０とは、ｔ２よりもフレーム間隔Ｉｎｔｅｒｆｒａｍｅ　ｇａｐだけ前の時間である。
（ソフトウェアによる照合）
　なお、伝送遅延の要求が厳しくない場合であれば、カットスルー転送ではなく、受信パケットをバッファリングするストアアンドフォワード方式によって検査パターンと照合してもよい。このような場合、図２の構成において通信制御ＩＣ１０２でパケットを取り込んだ後、パケットをメモリ１０４へ転送して、ＣＰＵ１０１上で動作するソフトウェアで照合することが例示される。
　あるいは、図２の構成と同様のプロセッサ内蔵型のＦＰＧＡで構成してもよい。このとき、当該タイムスロットで転送せずに、次のサイクル以降のタイムスロットで転送してもよい（図１１）。
　このようにすることで、記憶容量が相対的に大きいメモリ１０４で記憶される多数の検査パターンと照合することでセキュリティレベルを向上することができる。なお、このような処理を適用する場合として、所定のタイムスロットを対象とする場合が例示される。
あるいはタイムスロットとは独立して、所定の用途、通信プロトコル、アプリケーションプログラムに関連するパケットを対象とすることが例示される。
　なお、検査パターンとして、特定に応じた通信プロトコル用のアンチウィルスソフトを用いることが含まれる。
　また、通信プロトコルの特性として、上述した用途を用いる場合、その用途と検査パターンの関係を以下のとおりとしてもよい。それぞれ前者が用途で、後者が検査パターンの特徴を示す。
・制御用途：高速検査可能。
・ＡＩ用途(学習)：低速だが詳細検査可能。
・監視用途および情報収集用途：上記の中間（中速で検査内容も中庸）（タイムスロット切り換わり直前に受信したパケット）。
　図１０に、上述した各用途を、中継通信装置１２１のタイムスロットに適用した例を示す。図１０では、タイムスロット１を制御用（制御用途）、タイムスロット２をＡＩ用（ＡＩ用途（学習））、タイムスロット３を監視用（監視用途および情報収集用途）としている。
　なお、タイムスロット切り換わりと、受信パケットの処理が重なる場合（図１４）の処理を述べる。
　この場合はタイムスロットＡの検査パターンのまま照合してもよいし、あるいはタイミングが重なったことを検知して、パケットを破棄してもよい。なお、タイミングが重なったことを検知し、外部に提示してもよい。これは通信制御ＩＣ１０２上にレジスタをもうけ、ＣＰＵ１０１上のソフトウェアから該レジスタにアクセス可能としてもよい。あるいはファイアウォール１２６から、事前に設定した送信先に電子メール等の電子手段で通知してもよいし、ファイアウォール１２６上でｗｅｂサーバを構築して、外部からｗｅｂブラウザ等でアクセスして確認できるようにしてもよい。あるいはファイアウォール１２６上にＬＥＤ、アラームといった物理的手段で提示してもよい。このように外部に通知することで、運用者は送信側の送信タイミングを調整することで通信の時間的制約等を保証しやすく改善でき、結果的に制御システムを適切に運用しやすくなる。
（サイクル）
　なお、複数のタイムスロットの集合で構成されるサイクルごとに、各タイムスロットへの検査パターンを変更してもよい。
（マルチポート）
　また、ファイアウォール１２６は通信ポートが送信部１３２と受信部１３３のそれぞれで１つずつとして説明しているが、ネットワーク中継装置１２１と同様に複数の通信ポートを具えてもよい。この場合、それぞれのポートごとに、タイムスロットに応じて検査パターンを変更してもよい。
（検査パターン配信用タイムスロット）
　また、タイムスロットの一部は検査パターン管理装置１２５による検査パターンの配信用のタイムスロットとしてもよい。例えば、このタイムスロットでは検査パターンの照合をしないことが例示される。
　このタイムスロットの設定は、ファイアウォール１２６で明示的に電子的、あるいは物理的手段のいずれか、または複数で設定してもよいし、パケット上の所定フィールドに、検査パターン配信用パケットであることを明示してもよい。これにより、ファイアウォール１２６は、検査パターンの配信であることを認識して、取り込むことが例示される。
　そのまま破棄してもよいし、転送してもよい。なお、後段の装置がファイアウォール１２６でない場合は、必ず破棄することが例示される。そのために後段の装置がファイアウォール１２６であるかを事前に設定または通信で確認することが例示される。
　検査パターンの配布は、暗号化、証明書等の、しかるべきセキュリティ手段を講じて配布することが例示される。複数のサイクルで分割して送信してもよい。更新後、意図的に検査パターンに一致する不正パケットを送信して動作検証してもよいし、そのような動作検証用のタイムスロットを設けてもよい。
（あいまい検索）
　検査パターンの一部を複数の値または未定義（完全一致を求めないｄｏｎ‘ｔ　ｃａｒｅ）でもよい。このようにすることで、あいまい検索や亜種のウィルス、シグネチャを検知できる。または、一つの検査パターン情報で複数のパターンを表現できるため、検査パターンの記憶容量を効率化できる。
（前後のタイムスロットから特性を推定）
　なお、タイムスロットの特性抽出は、前後のタイムスロットの特性から自動抽出してもよい。例えば、サイクル内の最後のタイムスロットで、それまでのタイムスロットで時刻同期プロトコルが実行されていなければ、そのタイムスロットを時刻同期プロトコル用と推定する。
　このように、全体の特性の集合を既知として、実行済みのタイムスロットで抽出されていない未抽出の特性と推定することが例示される。
　あるいは、資源予約プロトコルの通信内容を見て決定してもよい。
（タイムスロットファイアウォール）
　なお、ファイアウォール１２６は、制御ネットワーク１２２上に計画されたタイムスロットの全てを検査する必要はなく、一つまたは複数の所定のタイムスロットを対象に検査パターンの照合をしてもよい。
　このような対象タイムスロットを限定したファイアウォール１２６を連続に複数設置してもよい。ファイアウォール１２６の機器ごとに対象タイムスロットを限定し、制御ネットワーク１２２上の配置を調整することで柔軟にセキュリティ対象を設定できる。
（階層化）
　なお、複数のファイアウォール１２６を用いて、階層的に検査パターンを照合する例を図１６に示す。図１６は、ネットワーク構成の一部を示す。
　ファイアウォール１２６ａは、タイムスロットＡ、Ｂ、Ｃのそれぞれで検査パターンの照合をする。ファイアウォール１２６ｂ、ｃ、ｄは、ファイアウォール１２６ａから転送されたパケットをそれぞれ計画されたタイムスロットで、さらに細分化したタイムスロットで検査パターンと照合する。例えば、以下のとおり転送するよう設定されている。ファイアウォール１２６ａがタイムスロットＡで受信したパケットはファイアウォール１２６ｂに転送する。タイムスロットＢで受信したパケットはファイアウォール１２６ｃに転送する。タイムスロットＣで受信したパケットはファイアウォール１２６ｄに転送する。
　このような構成として、例えば、以下に示すとおり、ある通信プロトコル内のサブプロトコルを分担するように構成してもよい。タイムスロットＡで、通信プロトコルとしてＩＥＣ６１８５０について検査する。また、ファイアウォール１２６ｂのタイムスロットＤでＩＥＣ６１８５０のＧＯＯＳＥ、タイムスロットＥでＳａｍｐｌｅｄＶａｌｕｅ、タイムスロットＦで、それ以外を検査する。
　あるいはファイアウォール１２６ａは通信プロトコルで検査パターンを照合し、ファイアウォール１２６ｂは用途別にタイムスロットＤで制御用途、タイムスロットＥは監視用途、タイムスロットＦはＡＩの学習用途というように、特性別に階層化してもよい。
　その後、ファイアウォール１２６ｅで通信経路上、再び集約してもよいし、それぞれの宛先に転送してもよい（例えば、ファイアウォール１２６ｄ）。
　なお、タイムスロットごとにルーティングを変更する方法は、静的に構成してもよいし、ＶＬＡＮで構成してもよい。
　このようにすることで、検査パターン照合の構成を柔軟にすることができ、複数のファイアウォール１２６で機能分散することで、セキュリティレベルを保証することができる。
（動的に判定）
　また、タイムスロットだけが計画されており、各タイムスロット内の検査パターンを定めていない状況で、各タイムスロット内で通信されている内容から、検査パターンを決定することが例示される。例えば、図９の情報と、対象タイムスロットで通信されているパケットのプロトコル種別から、適用する検査パターンを決定する。
　具体的には、あるタイムスロットでＩＥＣ６１８５０　ＧＯＯＳＥが通信された場合に、ＩＥＣ　６１８５０のＧＯＯＳＥ用の検査パターン、制御用途の検査パターン、関連するアプリケーションプログラム用の検査パターンを適用することが例示される。
　これは、通信をセットアップ段階と、本運用段階にわけ、セットアップ段階で判定した検査パターンとタイムスロットの対応付けを本運用段階以降に適用することが例示される。セットアップ段階、本運用段階の違いは、時間（所定時刻、稼動してからの経過期間）や、段階の切り換わりを示す通知を明示的に指示することが例示される。これは、ファイアウォール１２６上でのソフトウェア上の操作またはハードウェア上の操作（ボタン、物理スイッチによる設定）が示される。
（ＳＤＮ活用）
　なお、検査パターンは、検査パターン管理装置１２５から動的にファイアウォール１２６にアクセスして変更してもよい。これはファイアウォール１２６のメモリ１０４、通信制御ＩＣ１０２、不揮発性記憶媒体１０５上で保持する検査パターンを変更することが例示される。
　このとき、検査パターン管理装置１２５からファイアウォール１２６へ通知する検査パターンの内容は、検査パターンの内容そのものに加え、以下のものを含んでもよい。該検査パターンが対応付けられる所定タイムスロットの情報、識別子を含むことや、あるいは該タイムスロットが対応づく特性（通信プロトコル、用途、アプリケーションプログラム等）を含むことが例示される。
　あるいは、検査パターンそのものは含まず、タイムスロットごとに関連付けられた特性を変更して、その内容を通知してもよい。特性の変更を通知することで、ファイアウォール１２６で適用される検査パターンを自動で変更できる。このため、検査パターンそのものを通知する方法に比べ、簡易な方法で、かつ通信データ量を減らせるため、制御ネットワーク１２２のネットワーク資源（通信帯域等）の消費を抑制して設定変更できる。
　このとき、検査パターン、特性の変更の履歴を記録し、現在の状態を確認できるようにすることや、過去の任意の時点で、どのような検査パターンが適用されていたかを判定できる。
（同期異常）
　なお、ファイアウォール１２６が同期をとれず、タイムスロットを適切に管理できない場合の動作を示す。そのような場合として、以下の場合がある。
・他装置からの時刻同期プロコトルに基づいた応答や時刻情報の配信がないこと。
・最後に時刻同期してからの経過時間が所定時間以上の場合となること。
・ファイアウォール１２６における時刻管理デバイス（ＣＰＵ１０１上のソフトウェアクロック、水晶振動子、オシレータ、通信制御ＩＣ１０２内の計時デバイス）等での異常発生。
　タイムスロットを適切に管理できない場合には、以下の対応方法がある。
・各受信パケットを転送させること。
・各受信パケットを破棄させること。
・時刻同期の異常用に定義する検査パターン群と照合させること。
・検査パターンの優先度に基づいて選択した検査パターンと照合すること。
・時刻同期プロトコルの通信に関するパケットのみを転送すること。
　最後に時刻同期してからの経過時間に基づいて時刻同期異常を判定するために、ファイアウォール１２６は経過時間のしきい値、現在の経過時間等の情報を外部に提示する手段を設けてもよい。これは通信制御ＩＣ１０２上にレジスタをもうけ、ＣＰＵ１０１上のソフトウェアあるいは外部の装置から通信経由で該レジスタにアクセス可能としてもよい。
　また、時刻同期の異常であることを外部に提示してもよい。これは通信制御ＩＣ１０２上にレジスタをもうけ、ＣＰＵ１０１上のソフトウェアから該レジスタにアクセス可能としてもよい。あるいはファイアウォール１２６から、事前に設定した送信先に電子メール等の電子手段で通知してもよいし、ファイアウォール１２６上でｗｅｂサーバを構築して、外部からｗｅｂブラウザ等でアクセスして確認できるようにしてもよい。あるいはファイアウォール１２６上にＬＥＤ、アラームといった物理的手段で提示してもよい。このように外部に通知することで、運用者は時刻同期異常を知ることができ、必要な調査や適切な対処をすることで、結果的に制御システムを適切に運用しやすくなる。
　本実施形態によれば、タイムスロットごとに検査パターンが変わり得るため、同じパケットであってもタイムスロットごとに通過パケットの挙動が変わり得る。例えば、あるタイムスロットでは、ＣＲＣ改変による異常対応処理がなされたとしても、別のタイムスロットではＣＲＣ改変がされない等である。
（無線適用）
　なお、本実施形態は、ＴＳＮといったタイムスロット型の有線通信方式を対象に説明したが、５Ｇ、４ＧやＷｉｆｉ、ＬＰＷＡ（Ｌｏｗ　Ｐｏｗｅｒ，Ｗｉｄｅ　Ａｒｅａ）、ＬｏＲａ、ＳＩＧＦＯＸといった無線を対象としても構わない。
（システム構成）
　システム構成としては、図１７に示す階層構造や、図１のようなフラットなシステム、５Ｇや無線通信のように物理的な接続関係がない構成が例示される。
（多重化要素）
　なお、本発明ではタイムスロットにあわせて検査パターンを変えることを示したが、時分割に限らず、多重化要素にあわせて検査パターンを変更することが例示される。そのような多重化要素としては、振幅の異なる基本信号(例えば搬送波)ごとに信号を載せる場合の振幅ごとの検査パターン、異なる周波数の基本信号における該周波数ごとの検査パターン、位相の異なる基本信号における位相ごとの検査パターンが例示される。
　リアルタイムパターン検査部１３４の機能構成として、図１５の分離部１５０は、多重化要素にあわせて信号を分離する。リアルタイムパターン検査部１５１は、分離された各信号に対して検査パターンを照合する。合成部１５２は、分離された信号を合成する。このとき、攻撃データや不正な異常信号に関しては、合成せずに破棄することが例示される（例えば、基本の搬送波のみを送信する）。
　以上の構成により、本実施形態では、あるタイムスロットで、無関係な通信プロトコルや通信特性を対象とした検査パターンに偶然一致してパケットを破棄する等の処理を避け、可用性を向上できる。また、限られた計算機資源（ストレージ容量、ＣＰＵ等の処理割り当て時間）に対して、タイムスロットにあわせた検査パターンの照合に限定することで、効率よく活用しながら、セキュリティを確保できる。
　特に、制御システムに本実施形態を適用した場合、セキュリティを維持しながら、計算機資源の利用効率に優れ、制御システムのリアルタイム要件を保証しながら、制御システムでの情報技術の導入を可能とする高度な制御システムを提供できる。
１０１…ＣＰＵ、１０２…通信制御ＩＣ、１０３…ＰＨＹ、１０４…メモリ、１０５…不揮発性記憶媒体、１０６…バス、１２０…中央制御装置、１２１…ネットワーク中継装置、１２２…制御ネットワーク、１２３…分散制御装置、１２４…被制御装置、１２５…検査パターン管理装置、１２６…ファイアウォール、１３０…タイムスロット特性記憶部、１３１…検査パターン選択部、１３２…送信部、１３３…受信部、１３４、１５１…リアルタイムパターン検査部、１３５…タイムスロット連携時刻同期部、１３６…検査パターン記憶部、１４０…通信プロトコル、１４１…用途、１４２…アプリケーションプログラム、１４３…検査パターン、１５０…分離部、１５２…合成部

Claims (9)

  1. 　通信フレームを転送する通信制御装置において、
    　前記通信フレームを受信する手段と、
    　前記通信フレームを処理する時間を特定する手段と、
    　特定された前記時間に対応するタイムスロットに応じた、前記通信フレームに対するセキュリティ対策を特定する手段とを有することを特徴とする通信制御装置。
  2. 　請求項１に記載の通信制御装置において、
    　さらに、前記タイムスロットを特定する手段を有し、
    　前記セキュリティ対策を特定する手段は、特定された前記タイムスロットに応じたセキュリティ対策を特定することを特徴とする通信制御装置。
  3. 　請求項２に記載の通信制御装置において、
    　前記タイムスロットを特定する手段は、前記通信フレームに含まれる前記タイムスロットを特定する情報を用いることを特徴とする通信制御装置。
  4. 　請求項２に記載の通信制御装置において、
    　さらに、時間帯毎のタイムスロットを特定する情報を格納する手段を有し、
    　前記タイムスロットを特定する手段は、前記格納する手段を用いて、前記タイムスロットを特定することを特徴とする通信制御装置。
  5. 　請求項１に記載の通信制御装置において、
    　さらに、前記通信フレームから当該通信フレームの特性を抽出する手段を有し、
    　前記セキュリティ対策を特定する手段は、抽出された前記通信フレームの特性に応じたセキュリティ対策を特定する通信制御装置。
  6. 　請求項５に記載の通信制御装置において、
    　前記通信フレームの特性には、前記通信フレームの通信プロトコル、用途および当該通信フレームを利用するアプリケーションプログラムのうち少なくとも１つが含まれることを特徴とする通信制御装置。
  7. 　請求項１に記載の通信制御装置において、
    　さらに、前記セキュリティ対策を施す手段を有し、
    　前記前記セキュリティ対策を特定する手段は、受信した前記通信フレームと予め記憶された検査パターンを照合し、
    　前記セキュリティ対策を実行する手段は、前記セキュリティ対策として、前記照合の結果に基づいて、前記通信フレームの末尾の誤り検査符号を変更することを特徴とする通信制御装置。
  8. 　通信フレームを送信する送信装置、前記通信フレームを転送する通信中継装置および転送された前記通信フレームを受信する受信装置からなる通信システムにおいて、
    　前記送信装置が、前記通信フレームを送信し、
    　前記通信中継装置が、前記通信フレームを受信し、
    　前記通信中継装置が、前記通信フレームを処理する時間を特定し、
    　前記通信中継装置が、特定された前記時間に対応するタイムスロットに応じた、前記通信フレームに対するセキュリティ対策を特定し、
    　特定された前記セキュリティ対策が前記通信フレームに施されることを特徴とする通信システム。
  9. 　請求項８に記載の通信システムにおいて、
    　前記通信中継装置が、前記セキュリティ対策を特定するために、受信した前記通信フレームと予め記憶された検査パターンを照合し、
    　前記セキュリティ対策として、前記照合の結果に基づいて、前記通信フレームの末尾の誤り検査符号が変更されることを特徴とする通信システム。
PCT/JP2020/024603 2019-09-24 2020-06-23 通信制御装置およびシステム WO2021059632A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CN202080062397.0A CN114342321B (zh) 2019-09-24 2020-06-23 通信控制装置以及系统
US17/639,860 US12143357B2 (en) 2019-09-24 2020-06-23 Communication control apparatus and system

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2019172583A JP7337627B2 (ja) 2019-09-24 2019-09-24 通信制御装置およびシステム
JP2019-172583 2019-09-24

Publications (1)

Publication Number Publication Date
WO2021059632A1 true WO2021059632A1 (ja) 2021-04-01

Family

ID=75156514

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/024603 WO2021059632A1 (ja) 2019-09-24 2020-06-23 通信制御装置およびシステム

Country Status (3)

Country Link
JP (1) JP7337627B2 (ja)
CN (1) CN114342321B (ja)
WO (1) WO2021059632A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113434519A (zh) * 2021-08-26 2021-09-24 西安热工研究院有限公司 一种测点标签名更新方法、系统及储存介质

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007243459A (ja) * 2006-03-07 2007-09-20 Nippon Telegraph & Telephone East Corp トラヒック状態抽出装置及び方法ならびにコンピュータプログラム
JP2016163352A (ja) * 2015-03-04 2016-09-05 フィッシャー−ローズマウント システムズ，インコーポレイテッド 産業用通信ネットワークにおける異常検出、異常検出システム、及び異常検出を行う方法
JP2019004249A (ja) * 2017-06-13 2019-01-10 日本電信電話株式会社 ブラックリスト設定装置、ブラックリスト設定方法およびブラックリスト設定プログラム

Family Cites Families (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20000060537A (ko) * 1999-03-17 2000-10-16 윤종용 무선가입자망 시스템 단말기의 액세스 채널 슬롯 제어 방법
JP4279708B2 (ja) * 2004-03-01 2009-06-17 Ｏｋｉセミコンダクタ株式会社 Ｐｈｓ端末装置及びｐｈｓデータ受信方法
JP4328285B2 (ja) * 2004-11-19 2009-09-09 三菱電機株式会社 中継装置及び中継方法及び中継プログラム
US7489702B2 (en) * 2005-03-31 2009-02-10 Alcatel-Lucent Usa Inc. Method and apparatus for increasing radio frequency efficiency for mixed voice over internet protocol and data traffic
CN101272176B (zh) * 2007-03-21 2011-09-14 电信科学技术研究院 上行信道的初始同步方法及装置
JP5195901B2 (ja) * 2008-03-24 2013-05-15 富士通株式会社 送信形式制御方法、及び、通信端末装置
US20110211455A1 (en) * 2008-08-29 2011-09-01 Ken Nakaoka Report method and access control device and radio device using the method
JP5637681B2 (ja) * 2009-12-16 2014-12-10 キヤノン株式会社 制御装置、中継装置、それらの制御方法およびプログラム
JP2014127887A (ja) * 2012-12-27 2014-07-07 Hitachi Ltd 通信制御装置
CN104656574B (zh) * 2013-11-20 2017-12-29 中国石油天然气集团公司 一种基于时域分隙控制自动化检查与监控方法
JP6234804B2 (ja) * 2013-12-19 2017-11-22 株式会社日立製作所 通信中継装置
CN104811243B (zh) * 2014-01-26 2018-05-04 中兴通讯股份有限公司 长发光检测方法及装置
RU2581559C2 (ru) * 2014-08-01 2016-04-20 Закрытое акционерное общество "Лаборатория Касперского" Система и способ применения политик безопасности к накопителю в сети
CN104579835B (zh) * 2015-01-05 2018-02-16 北京中科网维科技有限公司 一种检测e1链路数据帧中传输通道的方法和装置
US10524025B2 (en) * 2016-06-30 2019-12-31 General Electric Company Communication system and method for scheduling communications within a time sensitive network

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007243459A (ja) * 2006-03-07 2007-09-20 Nippon Telegraph & Telephone East Corp トラヒック状態抽出装置及び方法ならびにコンピュータプログラム
JP2016163352A (ja) * 2015-03-04 2016-09-05 フィッシャー−ローズマウント システムズ，インコーポレイテッド 産業用通信ネットワークにおける異常検出、異常検出システム、及び異常検出を行う方法
JP2019004249A (ja) * 2017-06-13 2019-01-10 日本電信電話株式会社 ブラックリスト設定装置、ブラックリスト設定方法およびブラックリスト設定プログラム

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113434519A (zh) * 2021-08-26 2021-09-24 西安热工研究院有限公司 一种测点标签名更新方法、系统及储存介质
CN113434519B (zh) * 2021-08-26 2021-12-10 西安热工研究院有限公司 一种测点标签名更新方法、系统及储存介质

Also Published As

Publication number Publication date
JP7337627B2 (ja) 2023-09-04
US20220329564A1 (en) 2022-10-13
CN114342321B (zh) 2024-03-22
JP2021052256A (ja) 2021-04-01
CN114342321A (zh) 2022-04-12

Similar Documents

Publication Publication Date Title
US10136403B2 (en) Communication control device with dynamic fragmenting of non-real-time data
KR101501397B1 (ko) 네트워크 시스템, 스위치 및 접속 단말기 검지 방법
EP3697063B1 (en) Communication control device, communication control method, and communication system
US11977362B2 (en) Control device and distributed control system
CN104081731A (zh) 网络系统以及管理拓扑的方法
US9497025B2 (en) Ethernet interface module
CN106301845A (zh) 交换机日志记录模块
US20180183729A1 (en) Ethernet interface module
EP3955520A1 (en) Iot control network planning
JP6045950B2 (ja) 通信制御装置及び通信システム
US9391924B2 (en) Ethernet interface module
US20140156867A1 (en) Offload processing interface
WO2021059632A1 (ja) 通信制御装置およびシステム
US20160191311A1 (en) Work mode negotiation
CN118509382A (zh) 实时、时间感知、动态、情境感知和可重新配置的以太网分组分类
CN109818804A (zh) 一种网络监测方法及装置
US12143357B2 (en) Communication control apparatus and system
WO2019167415A1 (ja) 通信制御装置及び通信制御システム
US20230353422A1 (en) Network Switch, Communication System and Method for Operating a Communication System for Transmitting Time-Critical Data
CN113994634B (zh) 用于在两个或更多个网络之间的数据传输的方法和传输装置
JP2022103347A (ja) 通信制御装置及び通信制御システム
CN103532695A (zh) 用于控制时钟信号发生器的方法和装置
CN118449709A (zh) 用于检测针对时间同步联网的攻击的技术

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20869772

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 20869772

Country of ref document: EP

Kind code of ref document: A1