JP6282955B2

JP6282955B2 - 不正接続検知システム、方法およびプログラム

Info

Publication number: JP6282955B2
Application number: JP2014155496A
Authority: JP
Inventors: 雅晴服部
Original assignee: KDDI Corp
Current assignee: KDDI Corp
Priority date: 2014-07-30
Filing date: 2014-07-30
Publication date: 2018-02-21
Anticipated expiration: 2034-07-30
Also published as: JP2016033692A

Description

本発明は、不正接続検知システム、方法およびプログラムに関する。
特に、本発明は、各種デバイス同士が相互に情報交換を行うＭａｃｈｉｎｅｔｏＭａｃｈｉｎｅ（以下、Ｍ２Ｍと言う。）システムにおける異常センサデバイスによる不正接続検知技術に関し、不正接続の検知を判定する検知方法およびシステムに関するものである。

近年、ネットワークに接続された健康センサなどの各種センサデバイス同士が相互に情報交換を行うＭ２Ｍと呼ばれる通信形態の利用が進んでいる。ネットワーク形態として、センサデバイス自身が通信モジュールを具備してモバイルネットワークに接続する形態や、近傍に複数あるセンサデバイスをセンサゲートウェイで一旦収容しモバイルネットワークに接続する形態が存在する。後者の形態では、モバイルネットワークに接続する通信モジュールをセンサデバイスに具備する必要がなく、センサデバイスをより安価にすることができる。そのため、Ｍ２Ｍサービスの普及の一助になることが期待される。一方でセンサデバイスの処理能力やメモリ容量が十分でなく、セキュリティ機能を含め機能が制限されているケースが多い。
このようなセンサデバイスに関する技術を開示する特許文献１および特許文献２が知られている。

特許文献１は、不正接続検知システムを開示する。この発明は、監視システム（センサゲートウェイに相当）から監視対象（センサデバイスに相当）に向け定期的にリクエストを送信し、監視対象に格納されている監視プログラムから所定の接続通知に関わるレスポンスを監視システムで受領する。定期的な接続通知の未受領により監視対象の異常を推定する。

また、特許文献２は、認証サーバ、認証方法および認証プログラムを開示する。この発明は、各種センサデバイス同士が相互に情報交換を行うＭ２Ｍシステムにおいてリスクベース認証を行う認証システムおよび認証方法に適用する。この認証サーバでは、データ送受信のトラヒックなどのパフォーマンス情報を元にリスクレベルを決定する。パフォーマンス情報により、主にリスクレベルの評価を行う。その理由は、多くのセンサデバイスが規則性を有するため、その規則性から外れた挙動に対してはリスク度が高いと判断できるためである。

特開２００６―１９００５７号公報特願２０１３―２００３３２号公報

Ｍ２Ｍシステムで利用されるセンサデバイスには、非常にリソースの限られたセンサデバイスが存在する。このようなセンサデバイスにはセキュリティに関する機能（認証プロトコルなど）の実装が不可能であり、センサデバイスの個体識別番号で区別してインターネットへの接続可否の判断をしていた。このとき、なりすましによる異常センサデバイスのインターネット接続を防ぐことは技術的に全くできなかった。
例えば、特許文献１では、異常なトラヒックが発生する前に、監視システムであるセンサゲートウェイからリクエストを送信することで能動的に監視対象であるセンサデバイスをモニタする。しかしながら、センサデバイスに所定の監視プログラムを実装することが前提となり、リソースの限られたセンサデバイスには実装できない問題があった。
また、特許文献２では、センサデバイスのパフォーマンス情報を元にして統計処理を実施して異常度を算出するようにして、センサデバイスにプログラムを追加実装すること無く、異常センサデバイスのインターネット接続を防ぐ。これによりセンサデバイスにセキュリティ機能を実装する必要性がなくなり、特許文献１の課題を解決している。
しかしながら、センサデバイスの異常を統計処理にて判定する際のしきい値の設定により、しきい値を厳しく設定すると正常なセンサデバイスを頻繁に異常と判定してしまいＭ２Ｍシステムの運用に支障をきたす可能性がある。一方で、しきい値を甘く設定すると、異常なセンサデバイスを検出しにくくなるトレードオフが存在する。ここで従来通りに統計処理として通常使われる手法（例えば、標準偏差を用いた手法）では上記のトレードオフに対して最適なしきい値を設定できない課題が引き続き存在する。

そこで、不正な接続をするセンサデバイスの検知を適切に判定するシステムが求められている。

本発明は、不正な接続をするセンサデバイスの検知を適切に判定する不正接続検知システム、方法およびプログラムを提供することを目的とする。

本発明は、トレードオフの存在するしきい値設定においてＭ２Ｍシステムに最適な値を設定する方法として、センサデバイスの特徴を利用する。
具体的には、センサネットワークの特徴として、消費電力を抑制するためのセンサデバイスのスリープ機能を利用する。スリープ機能とは、センサデバイスが定期的に送受信可能な状態から送受信機の電源をＯＦＦにすることである。再度、送受信機の電源をＯＮにする時にセンサデバイスはセンサゲートウェイに向けてパケットを送信するため、センサゲートウェイはこれを受信した場合に、逆にセンサデバイスに対してリクエストを送信し、応答時間を測定する。応答時間を測定するのは異常センサデバイスが正常なセンサデバイスと異なるプロセスを実施する場合に少ないリソースである計算能力がこれに消費され、応答時間が変化することを利用するためである。そして、センサデバイスにより送受信機ＯＮ／ＯＦＦ時の消費電力、時間および搭載しているバッテリの容量が決まっているので、バッテリ寿命中に応答時間を計測する回数が把握できる。しきい値には、バッテリの寿命内におけるスリープサイクル回数（＝応答時間計測回数）の逆数である確率以下となる値を設定する。このようにすることで正常センサデバイスを異常と誤判定されることを防ぎつつ、異常センサデバイスの検出精度を高くする最適なしきい値の設定ができる。
具体的には、以下のような解決手段を提供する。

（１）センサデバイスと、センサゲートウェイと、リスクベース認証サーバとを備える不正接続検知システムであって、前記センサデバイスは、消費電力を抑制するためにスリープ突入とスリープ復帰とを制御するスリープ手段と、前記スリープ手段によりスリープ復帰すると、前記センサゲートウェイにパケットを送信する復帰送信手段と、前記復帰送信手段によるパケットの送信に対し、前記センサゲートウェイからリクエストとして、応答時間測定用データを受信する応答時間リクエスト受信手段と、前記応答時間リクエスト受信手段により受信した前記応答時間測定用データに対し、レスポンスを前記センサゲートウェイに送信する応答時間レスポンス送信手段と、を備え、前記センサゲートウェイは、スリープ復帰した前記センサデバイスから、前記パケットを受信する復帰受信手段と、前記復帰受信手段による前記パケットの受信に対し、前記センサデバイスにリクエストとして、応答時間測定用データを送信する応答時間リクエスト送信手段と、前記応答時間リクエスト送信手段により送信した応答時間測定用データに対し、レスポンスを前記センサデバイスから受信する応答時間レスポンス受信手段と、前記応答時間リクエスト送信手段による送信時刻と、前記応答時間レスポンス受信手段による受信時刻とから応答時間を算出する応答時間算出手段と、前記応答時間算出手段によって算出された応答時間を含むパフォーマンス情報を前記リスクベース認証サーバに送信するパフォーマンス情報送信手段と、前記パフォーマンス情報送信手段によって送信した前記パフォーマンス情報に対する通知を、前記リスクベース認証サーバから受信する通知受信手段と、前記通知受信手段によって受信した前記通知に基づいて、前記センサデバイスとの接続を制御する接続制御手段と、を備え、前記リスクベース認証サーバは、前記センサゲートウェイから前記応答時間を含む前記パフォーマンス情報を受信するパフォーマンス情報受信手段と、前記センサデバイスが正常であるか否かを判定するためのしきい値を算出するしきい値算出手段と、前記パフォーマンス情報受信手段によって受信した前記パフォーマンス情報と、前記しきい値算出手段によって算出された前記しきい値とに基づいて、前記センサデバイスが正常であるか否かのリスクを判定するリスク判定手段と、前記リスク判定手段によって判定された内容の通知を前記センサゲートウェイに送信する制御管理手段と、を備える、不正接続検知システム。

（１）の構成によれば、（１）に係る不正接続検知システムにおいて、センサデバイスは、スリープ復帰すると、センサゲートウェイにパケットを送信し、センサゲートウェイからリクエストとして、応答時間測定用データを受信し、受信した応答時間測定用データに対し、レスポンスをセンサゲートウェイに送信する。センサゲートウェイは、スリープ復帰したセンサデバイスから、パケットを受信し、パケットの受信に対し、センサデバイスにリクエストとして、応答時間測定用データを送信し、送信した応答時間測定用データに対し、レスポンスをセンサデバイスから受信し、応答時間リクエストの送信時刻と、応答時間レスポンスの受信時刻とから応答時間を算出し、算出した応答時間を含むパフォーマンス情報をリスクベース認証サーバに送信し、送信したパフォーマンス情報に対する通知を、リスクベース認証サーバから受信し、受信した通知に基づいて、センサデバイスとの接続を制御する。リスクベース認証サーバは、センサゲートウェイから応答時間を含むパフォーマンス情報を受信し、センサデバイスが正常であるか否かを判定するためのしきい値を算出し、受信したパフォーマンス情報と、算出したしきい値とに基づいて、センサデバイスが正常であるか否かのリスクを判定し、判定した内容の通知をセンサゲートウェイに送信する。

したがって、（１）に係る不正接続検知システムは、不正な接続をするセンサデバイスの検知を適切に判定することができる。

（２）前記しきい値算出手段は、消費電力と、前記応答時間と、電池容量を含むセンサデバイス情報とから、しきい値を算出する、（１）に記載の不正接続検知システム。

したがって、（２）に係る不正接続検知システムは、不正な接続をするセンサデバイスの検知をさらに適切に判定することができる。

（３）（１）に記載の不正接続検知システムが実行する方法であって、前記センサデバイスにおいて、前記スリープ手段が、消費電力を抑制するためにスリープ突入とスリープ復帰とを制御するスリープステップと、前記復帰送信手段が、前記スリープステップによりスリープ復帰すると、前記センサゲートウェイにパケットを送信する復帰送信ステップと、前記応答時間リクエスト受信手段が、前記復帰送信ステップによるパケットの送信に対し、前記センサゲートウェイからリクエストとして、応答時間測定用データを受信する応答時間リクエスト受信ステップと、前記応答時間レスポンス送信手段が、前記応答時間リクエスト受信ステップにより受信した前記応答時間測定用データに対し、レスポンスを前記センサゲートウェイに送信する応答時間レスポンス送信ステップと、を備え、前記センサゲートウェイにおいて、前記復帰受信手段が、スリープ復帰した前記センサデバイスから、前記パケットを受信する復帰受信ステップと、前記応答時間リクエスト送信手段が、前記復帰受信ステップによる前記パケットの受信に対し、前記センサデバイスにリクエストとして、応答時間測定用データを送信する応答時間リクエスト送信ステップと、前記応答時間レスポンス受信手段が、前記応答時間リクエスト送信ステップにより送信した応答時間測定用データに対し、レスポンスを前記センサデバイスから受信する応答時間レスポンス受信ステップと、前記応答時間算出手段が、前記応答時間リクエスト送信ステップによる送信時刻と、前記応答時間レスポンス受信ステップによる受信時刻とから応答時間を算出する応答時間算出ステップと、前記パフォーマンス情報送信手段が、前記応答時間算出ステップによって算出された応答時間を含むパフォーマンス情報を前記リスクベース認証サーバに送信するパフォーマンス情報送信ステップと、前記通知受信手段が、前記パフォーマンス情報送信ステップによって送信した前記パフォーマンス情報に対する通知を、前記リスクベース認証サーバから受信する通知受信ステップと、前記接続制御手段が、前記通知受信ステップによって受信した前記通知に基づいて、前記センサデバイスとの接続を制御する接続制御ステップと、を備え、前記リスクベース認証サーバにおいて、前記パフォーマンス情報受信手段が、前記センサゲートウェイから前記応答時間を含む前記パフォーマンス情報を受信するパフォーマンス情報受信ステップと、前記しきい値算出手段が、前記センサデバイスが正常であるか否かを判定するためのしきい値を算出するしきい値算出ステップと、前記リスク判定手段が、前記パフォーマンス情報受信ステップによって受信した前記パフォーマンス情報と、前記しきい値算出ステップによって算出された前記しきい値とに基づいて、前記センサデバイスが正常であるか否かのリスクを判定するリスク判定ステップと、前記制御管理手段が、前記リスク判定ステップによって判定された内容の通知を前記センサゲートウェイに送信する制御管理ステップと、を備える、方法。

したがって、（３）に係る方法は、不正な接続をするセンサデバイスの検知を適切に判定することができる。

（４）コンピュータに、（３）に記載の方法の各ステップを実行させるためのプログラム。

したがって、（４）に係るプログラムは、コンピュータに、不正な接続をするセンサデバイスの検知を適切に判定させることができる。

本発明によれば、不正な接続をするセンサデバイスの検知を適切に判定することができる。
本発明によれば、認証プロトコルを実装できない低機能なセンサデバイスのなりすましによる不正接続を防ぐことができる。その結果、本発明は、（１）ネットワークのタダ乗りのリスクを減らせる、（２）ネットワーク攻撃の踏み台にされるリスクを減らせる、（３）ネットワークへの侵入による情報漏えいのリスクを減らせる、ことができる。
また、本発明によれば、センサデバイスの異常を統計処理にて判定する場合、しきい値の設定により、しきい値を厳しく設定すると正常なセンサデバイスを頻繁に異常と判定してしまいＭ２Ｍシステムの運用に支障をきたす可能性があり、しきい値を甘く設定すると、異常なセンサデバイスを検出しにくくなるトレードオフが存在する課題や、従来通りに統計処理として通常使われる手法（例えば、標準偏差を用いた手法）では上記のトレードオフに対して最適なしきい値を設定できない課題を、解決することができる。
本発明は、センサの特徴に関わる数値を利用することにより、正常センサデバイスを異常と誤判定されることを防ぎつつ、異常センサデバイスの検出精度を高くする最適なしきい値の設定ができる効果がある。

本発明の一実施形態に係る不正接続検知システムの構成を示すブロック図である。本発明の一実施形態に係る不正接続検知システムにおけるセンサゲートウェイの処理内容を示すフローチャートである。本発明の一実施形態に係る不正接続検知システムにおけるセンサゲートウェイとセンサデバイスとのデータシーケンスの例を示す図である。本発明の一実施形態に係る不正接続検知システムにおけるリスクベース認証サーバの処理内容を示すフローチャートである。本発明の一実施形態に係る不正接続検知システムにおける判定を説明するための説明図である。

以下、本発明の実施形態について、図を参照しながら説明する。
＜不正接続検知方法およびそのシステム＞
図１は、本発明の一実施形態に係る不正接続検知システム１の構成を示すブロック図である。不正接続検知システム１は、センサデバイス１０と、センサゲートウェイ２０と、リスクベース認証サーバ３０とから構成される。

センサデバイス１０は、近距離無線通信（例えば、ＺｉｇＢｅｅ（ＩＥＥＥ８０２．１５．４）など）機能を具備しており、センシングしたデータを近距離無線通信を利用してセンサゲートウェイ２０に転送する。センサデバイス１０は、消費電力を抑制するためスリープ機能が具備されている（スリープ手段１１）。再度、送受信機の電源をＯＮにする時にセンサデバイス１０はセンサゲートウェイ２０に向けてパケットを送信する（復帰送信手段１２）。また、センサデバイス１０は、センサゲートウェイ２０からリクエストを受信する（応答時間リクエスト受信手段１３）と、センサゲートウェイ２０にレスポンスを送信する（応答時間レスポンス送信手段１４）。センサデバイス１０により送受信機ＯＮ／ＯＦＦ時の消費電力、時間および搭載しているバッテリの容量が決まっている。

センサゲートウェイ２０は、センサデバイス１０からセンシングしたデータを受信する。また、センサゲートウェイ２０は、センサデバイス１０に向けて応答時間測定用データを送信（応答時間リクエスト送信手段２２）し、センサデバイス１０からの応答時間測定用データのレスポンスを受信（応答時間レスポンス受信手段２３）し、応答時間を計測する。センサデバイス１０にはスリープ機能が存在するため、確実に応答時間を計測するため、センサデバイス１０のスリープから復帰時に送信されるデータリクエストに対して、センサゲートウェイ２０がこれを受信（復帰受信手段２１）した場合に、逆にセンサデバイス１０に対して応答時間測定用データを送信して、応答時間を測定する（応答時間算出手段２４）。センサゲートウェイ２０は、リスクベース認証サーバ３０に対して、応答時間・データ量・データ転送間隔などのパフォーマンス情報をリスク判定のために送信する（パフォーマンス情報送信手段２５）。また、センサゲートウェイ２０は、リスク判定結果をリスクベース認証サーバ３０から受信（通知受信手段２６）して、その結果に応じてセンサデバイス１０との接続を開始／継続／切断を行う（接続制御手段２７）。

リスクベース認証サーバ３０は、リスク分析部３０１としきい値設定部３０２とを備える。
リスク分析部３０１は、後述のしきい値設定部３０２からしきい値情報を受信し、センサゲートウェイ２０から受信（パフォーマンス情報受信手段３１）したパフォーマンス情報を統計処理（正規性検定など）し、正常／異常をリスク判定するリスク判定機能（リスク判定手段３３）と、リスク判定結果を利用者およびセンサゲートウェイ２０に通知を行う制御管理機能（制御管理手段３４）とを具備する。
しきい値設定部３０２は、消費電力Ｐ（送受信機ＯＮ時およびスリープ時）、時間Ｔ（送受信機ＯＮ時およびスリープ時）、電池容量Ｃなどのセンサデバイス情報からしきい値を算出する機能（しきい値算出手段３２）を具備する。
例えば、スリープサイクル一回あたりの消費電力は、次の様に計算される。
Ｐ_{送受信機ＯＮ時}×Ｔ_{送受信機ＯＮ時}＋Ｐ_{スリープ時}×Ｔ_{スリープ時}
したがって、センサデバイス１０のバッテリ寿命中のスリープサイクル回数は、次の様に計算される。
Ｃ／（Ｐ_{送受信機ＯＮ時}×Ｔ_{送受信機ＯＮ時}＋Ｐ_{スリープ時}×Ｔ_{スリープ時}）
リスク判定機能における統計処理を実施する時に、応答時間などのパフォーマンスの累積確率がスリープサイクルの逆数になる値をしきい値に設定することで、正常センサデバイスを異常と誤判定されることを防ぐことができる。

＜センサゲートウェイ２０における処理フロー＞
図２は、本発明の一実施形態に係る不正接続検知システム１におけるセンサゲートウェイ２０の処理内容を示すフローチャートである。
最初のステップとして、センサゲートウェイ２０（復帰受信手段２１）は、センサデバイス１０からセンサネットワークへ参加するための要求を受信する（ステップＳ１）。
センサゲートウェイ２０（応答時間リクエスト送信手段２２）は、参加要求を受信後に必要に応じて認証処理を行いセンサデバイス１０に対してネットワーク参加承認の応答を送信する。センサデバイス１０は、センサネットワークに参加する（ステップＳ２）。

図３は、本発明の一実施形態に係る不正接続検知システム１におけるセンサゲートウェイ２０とセンサデバイス１０とのデータシーケンスの例を示す図である。図３の例は、センサネットワークに参加後のセンサゲートウェイ２０とセンサデバイス１０との間のデータシーケンスを表わす。センサネットワークに参加した後のセンサデバイス１０は、省電力化のために一定間隔でスリープに突入し、復帰する（スリープ手段１１）。センサデバイス１０（復帰送信手段１２）は、スリープから復帰すると、センサゲートウェイ２０に対してデータリクエストを送信する。

図２に戻り、フローチャートの説明を続ける。
センサゲートウェイ２０（復帰受信手段２１）は、センサデバイス１０から復帰のデータリクエストを受信したか否かを判断し、受信した場合（ステップＳ３でＹＥＳの場合）、レスポンスを送信し、ステップＳ４へ移る。受信しなかった場合（ステップＳ３でＮＯの場合）、ステップＳ８へ移る。
また、センサゲートウェイ２０（応答時間リクエスト送信手段２２）は、レスポンスとは別に、センサデバイス１０から復帰のデータリクエスト受信後に、応答時間測定用データをセンサデバイス１０に向けて送信する（ステップＳ４）。
この時の送信時刻をｔ_ｎ１とする。センサデバイス１０は、応答時間測定用データを受信し（応答時間リクエスト受信手段１３）、応答時間測定用データのレスポンスを送信する（応答時間レスポンス送信手段１４）。センサゲートウェイ２０（応答時間レスポンス受信手段２３）は、この応答時間測定用データのレスポンスを受信する（ステップＳ５）。この時の受信時刻をｔ_ｎ２とする。
センサゲートウェイ２０（応答時間算出手段２４）は、応答時間を次の式で算出する（ステップＳ６）。
Ｔ_ｎ＝ｔ_ｎ２−ｔ_ｎ１
センサゲートウェイ２０（通知受信手段２６）は、算出した応答時間Ｔ_ｎを、リスクベース認証サーバ３０へ通知する（ステップＳ７）。その後、センサゲートウェイ２０（接続制御手段２７）は、センサデバイス１０との切断処理が発生しない場合（ステップＳ８でＮＯの場合）、再度センサデバイス１０からのデータ受信待ち状態に戻る。センサゲートウェイ２０（接続制御手段２７）は、切断処理が発生した場合（ステップＳ８でＹＥＳの場合）、処理を終了する。

＜リスクベース認証サーバ３０における処理フロー＞
図４は、本発明の一実施形態に係る不正接続検知システム１におけるリスクベース認証サーバ３０の処理内容を示すフローチャートである。
リスクベース認証サーバ３０は、センサゲートウェイ２０、センサデバイス１０を接続する前に、接続が予定されているセンサデバイス１０のデバイス情報（前述の消費電力Ｐ、時間Ｔ、電池容量Ｃなど）を登録する（ステップＳ１１）。
デバイス情報の登録が終了すると、リスクベース認証サーバ３０は、しきい値算出部（しきい値算出手段３２）において下記の通りにしきい値とする確率を計算する（ステップＳ１２）。

しきい値とする確率Ｔｈｒｅｓ＝１／スリープサイクル回数
スリープサイクル回数＝Ｃ／（Ｐ_{送受信機ＯＮ時}×Ｔ_{送受信機ＯＮ時}＋Ｐ_{スリープ時}×Ｔ_{スリープ時}）
ここで、Ｐ：消費電力、Ｔ：時間、Ｃ：電池容量である。

例えば、近距離無線通信（ＩＥＥＥ８０２．１５．４）の消費電力は、送受信機ＯＮ時で１５ｍＡ、スリープ時で１μＡである。送受信機ＯＮの時間が１ｓｅｃでスリープ時の時間が５９ｓｅｃとして、単三電池２本に相当する電池容量４０００ｍＡｈと仮定すると、スリープサイクル回数は９．６×１０^５（＝４０００［ｍＡｈ］／（１５［ｍＡ］×１［ｓｅｃ］＋１［μＡ］×５９［ｓｅｃ］））となる。つまり、しきい値とする確率を１．０×１０^−６（＝１／９．６×１０^５）とする。

センサゲートウェイ２０およびセンサデバイス１０を接続後に、リスクベース認証サーバ３０（パフォーマンス情報受信手段３１）は、センサゲートウェイ２０から応答時間Ｔ_ｎの通知を受信する（ステップＳ１３）。
リスクベース認証サーバ３０（リスク判定手段３３）は、受信した応答時間Ｔ_ｎを、リスク分析部３０１に蓄積する（ステップＳ１４）。
ここでリスク分析部３０１（リスク判定手段３３）は、応答時間の値について一定数の蓄積があるかないかを判断する（ステップＳ１５）。
これは統計的に正しい処理を実施するのに十分なサンプル数が得られているかを判定するもので、リスクベース認証サーバ３０（リスク判定手段３３）は、例えば統計処理上よく知られている次の式を使い算出する。

必要サンプル数ｎ＝Ｎ／［（ε／μ（α））^２×｛（Ｎ−１）／ρ（１−ρ）｝＋１］
ここで、それぞれの記号は、次の内容を表わす。
Ｎ：対象とする母集団の大きさ
μ（α）：信頼度１００−αの時の正規分布の値（例えば、信頼度９５％）
ε：精度（例えば、５％）
ρ：母比率（例えば、０．５）

例えば、対象とする母集団の大きさを、想定されるスリープサイクル回数の９．６×１０^５（つまり、応答時間の測定回数）とし、信頼度９５％の時のμ（α）が１．９６、精度が５％、母比率を０．５とすると、必要サンプル数は、３８４（＝９．６×１０^５／［（０．０５／１．９６）^２×｛（９．６×１０^５−１）／０．２５｝＋１］）となる。

もしも、応答時間の値について一定数（３８４サンプル）の蓄積がない場合（ステップＳ１５でＮＯの場合）には、次の処理をスキップする。もしも、応答時間の値について一定数の蓄積があった場合（ステップＳ１５でＹＥＳの場合）には、リスクベース認証サーバ３０は、接続開始後からの応答時間の確率分布を作成する統計処理を実施する（Ｓステップ１６）。

図５は、本発明の一実施形態に係る不正接続検知システム１における判定を説明するための説明図である。図５にその応答時間の確率分布の例およびしきい値設定に関わる概念図を図示する。図５は、縦の点線以内の応答時間であれば正常なセンサデバイス１０と判定し、それ以外であれば異常なセンサデバイス１０と判定することを示している。
図４に戻り、フローチャートの説明を続ける。

リスクベース認証サーバ３０（リスク判定手段３３）は、累積確率分布（図５では確率分布の黒塗りの面積５０１，５０２に相当）の値がステップＳ１２で算出したしきい値とする確率以下となる応答時間Ｔ_Ｌ（Ｐ＝Ｔｈｒｅｓ）、Ｔ_Ｈ（Ｐ＝Ｔｈｒｅｓ）を取得する（ステップＳ１７）。
リスクベース認証サーバ３０（リスク判定手段３３）は、センサゲートウェイ２０から受信した直近の応答時間Ｔ_ｎがＴ_ｎ＜Ｔ_Ｌ（Ｐ＝Ｔｈｒｅｓ）またはＴ_ｎ＞Ｔ_Ｈ（Ｐ＝Ｔｈｒｅｓ）であるか否かを判断する（ステップＳ１８）。
もしも当てはまる場合（ステップＳ１８でＹＥＳの場合）には、不正接続が行われている可能性が高いので、リスクベース認証サーバ３０（制御管理手段３４）は、利用者に通知する（ステップＳ１９）。もしも当てはまらない場合（ステップＳ１８でＮＯの場合）には、リスクベース認証サーバ３０（制御管理手段３４）は、特に何も処理を行わない。

リスクベース認証サーバ３０は、センサゲートウェイ２０からセンサデバイス切断の通知を受信しなければ（ステップＳ２０でＮＯの場合）、再度センサゲートウェイ２０からの応答時間の通知を受信するのを待ち、通知を受信した場合（ステップＳ２０でＹＥＳの場合）、処理を終了する。

＜その他の実施例＞
前述ではスリープサイクル回数を把握するのに、事前登録した値（消費電力、時間、電池容量）を利用したがこれに限るものではない。例えば、電池を用いたセンサデバイス１０の電源電圧は使用とともに降下し、ある電圧値でセンサデバイス１０が電源ＯＦＦとなる。そこでセンサデバイス１０から電源電圧値をセンサゲートウェイ２０で取得できた場合、電源電圧の履歴から残りのスリープサイクル回数を推測することも可能である。この手法では電池のスペックには現れない個体差によるスリープサイクル回数のバラツキの影響を抑制することができる。

図４のステップＳ１８では、一度の条件判定で、正常なセンサデバイス１０を異常と判定することなく、限りなく異常であると思われるセンサデバイス１０を検出することになる。異常であるセンサデバイス１０をより高い精度で検出するために、Ｔ_Ｌ（Ｐ＝Ｔｈｒｅｓ）とＴ_Ｈ（Ｐ＝Ｔｈｒｅｓ）の範囲内に、新たにもう一つしきい値Ｔ_Ｌ（Ｐ＝Ｔｈｒｅｓ）’とＴ_Ｈ（Ｐ＝Ｔｈｒｅｓ）’を設け、これらのしきい値Ｔ_Ｌ（Ｐ＝Ｔｈｒｅｓ）’とＴ_Ｈ（Ｐ＝Ｔｈｒｅｓ）’を超えた場合に、異常なセンサデバイス１０である可能性があると判断して、新たな評価項目（例えば、センサデバイス１０のデータ送受信のトラヒックのデータ量・データ転送間隔など）で解析を実施しても良い。

本実施形態によれば、不正接続検知システム１は、センサデバイス１０と、センサゲートウェイ２０と、リスクベース認証サーバ３０とを備え、センサデバイス１０は、スリープ手段１１が、消費電力を抑制するためにスリープ突入とスリープ復帰とを制御し、復帰送信手段１２が、スリープ手段１１によりスリープ復帰すると、センサゲートウェイ２０にパケットを送信し、応答時間リクエスト受信手段１３が、復帰送信手段１２によるパケットの送信に対し、センサゲートウェイ２０からリクエストとして、応答時間測定用データを受信し、応答時間レスポンス送信手段１４が、応答時間リクエスト受信手段１３により受信した応答時間測定用データに対し、レスポンスをセンサゲートウェイ２０に送信する。センサゲートウェイ２０は、復帰受信手段２１が、スリープ復帰したセンサデバイス１０から、パケットを受信し、応答時間リクエスト送信手段２２が、復帰受信手段２１によるパケットの受信に対し、センサデバイス１０にリクエストとして、応答時間測定用データを送信し、応答時間レスポンス受信手段２３が、応答時間リクエスト送信手段２２により送信した応答時間測定用データに対し、レスポンスをセンサデバイス１０から受信し、応答時間算出手段２４が、応答時間リクエスト送信手段２２による送信時刻と、応答時間レスポンス受信手段２３による受信時刻とから応答時間を算出し、パフォーマンス情報送信手段２５が、応答時間算出手段２４によって算出された応答時間を含むパフォーマンス情報をリスクベース認証サーバ３０に送信し、通知受信手段２６が、パフォーマンス情報送信手段２５によって送信したパフォーマンス情報に対する通知を、リスクベース認証サーバ３０から受信し、接続制御手段２７が、通知受信手段２６によって受信した前記通知に基づいて、センサデバイス１０との接続を制御する。リスクベース認証サーバ３０は、パフォーマンス情報受信手段が、センサゲートウェイ２０から応答時間を含むパフォーマンス情報を受信し、しきい値算出手段３２が、センサデバイス１０が正常であるか否かを判定するためのしきい値を算出し、リスク判定手段３３が、応答時間受信手段によって受信したパフォーマンス情報と、しきい値算出手段３２によって算出されたしきい値とに基づいて、センサデバイス１０が正常であるか否かのリスクを判定し、制御管理手段３４が、リスク判定手段３３によって判定された内容の通知をセンサゲートウェイ２０に送信する。しきい値算出手段３２は、消費電力と、応答時間と、電池容量を含むセンサデバイス情報とから、しきい値を算出する。
したがって、不正接続検知システム１は、不正な接続をするセンサデバイス１０の検知を適切に判定することができる。

以上、本発明の実施形態について説明したが、本発明は上述した実施形態に限るものではない。また、本発明の実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、本発明の実施形態に記載されたものに限定されるものではない。

１不正接続検知システム
１０センサデバイス
１１スリープ手段
１２復帰送信手段
１３応答時間リクエスト受信手段
１４応答時間レスポンス送信手段
２０センサゲートウェイ
２１復帰受信手段
２２応答時間リクエスト送信手段
２３応答時間レスポンス受信手段
２４応答時間算出手段
２５パフォーマンス情報送信手段
２６通知受信手段
２７接続制御手段
３０リスクベース認証サーバ
３１パフォーマンス情報受信手段
３２しきい値算出手段
３３リスク判定手段
３４制御管理手段
３０１リスク分析部
３０２しきい値設定部

Claims

センサデバイスと、センサゲートウェイと、リスクベース認証サーバとを備える不正接続検知システムであって、
前記センサデバイスは、
消費電力を抑制するためにスリープ突入とスリープ復帰とを制御するスリープ手段と、
前記スリープ手段によりスリープ復帰すると、前記センサゲートウェイにパケットを送信する復帰送信手段と、
前記復帰送信手段によるパケットの送信に対し、前記センサゲートウェイからリクエストとして、応答時間測定用データを受信する応答時間リクエスト受信手段と、
前記応答時間リクエスト受信手段により受信した前記応答時間測定用データに対し、レスポンスを前記センサゲートウェイに送信する応答時間レスポンス送信手段と、を備え、
前記センサゲートウェイは、
スリープ復帰した前記センサデバイスから、前記パケットを受信する復帰受信手段と、
前記復帰受信手段による前記パケットの受信に対し、前記センサデバイスにリクエストとして、応答時間測定用データを送信する応答時間リクエスト送信手段と、
前記応答時間リクエスト送信手段により送信した応答時間測定用データに対し、レスポンスを前記センサデバイスから受信する応答時間レスポンス受信手段と、
前記応答時間リクエスト送信手段による送信時刻と、前記応答時間レスポンス受信手段による受信時刻とから応答時間を算出する応答時間算出手段と、
前記応答時間算出手段によって算出された応答時間を含むパフォーマンス情報を前記リスクベース認証サーバに送信するパフォーマンス情報送信手段と、
前記パフォーマンス情報送信手段によって送信した前記パフォーマンス情報に対する通知を、前記リスクベース認証サーバから受信する通知受信手段と、
前記通知受信手段によって受信した前記通知に基づいて、前記センサデバイスとの接続を制御する接続制御手段と、を備え、
前記リスクベース認証サーバは、
前記センサゲートウェイから前記応答時間を含む前記パフォーマンス情報を受信するパフォーマンス情報受信手段と、
前記センサデバイスが正常であるか否かを判定するためのしきい値を算出するしきい値算出手段と、
前記パフォーマンス情報受信手段によって受信した前記パフォーマンス情報と、前記しきい値算出手段によって算出された前記しきい値とに基づいて、前記センサデバイスが正常であるか否かのリスクを判定するリスク判定手段と、
前記リスク判定手段によって判定された内容の通知を前記センサゲートウェイに送信する制御管理手段と、を備える、
不正接続検知システム。
前記しきい値算出手段は、前記センサデバイスに係る消費電力と、電池容量と、を含むセンサデバイス情報から、しきい値を算出する、請求項１に記載の不正接続検知システム。
請求項１に記載の不正接続検知システムが実行する方法であって、
前記センサデバイスにおいて、
前記スリープ手段が、消費電力を抑制するためにスリープ突入とスリープ復帰とを制御するスリープステップと、
前記復帰送信手段が、前記スリープステップによりスリープ復帰すると、前記センサゲートウェイにパケットを送信する復帰送信ステップと、
前記応答時間リクエスト受信手段が、前記復帰送信ステップによるパケットの送信に対し、前記センサゲートウェイからリクエストとして、応答時間測定用データを受信する応答時間リクエスト受信ステップと、
前記応答時間レスポンス送信手段が、前記応答時間リクエスト受信ステップにより受信した前記応答時間測定用データに対し、レスポンスを前記センサゲートウェイに送信する応答時間レスポンス送信ステップと、を備え、
前記センサゲートウェイにおいて、
前記復帰受信手段が、スリープ復帰した前記センサデバイスから、前記パケットを受信する復帰受信ステップと、
前記応答時間リクエスト送信手段が、前記復帰受信ステップによる前記パケットの受信に対し、前記センサデバイスにリクエストとして、応答時間測定用データを送信する応答時間リクエスト送信ステップと、
前記応答時間レスポンス受信手段が、前記応答時間リクエスト送信ステップにより送信した応答時間測定用データに対し、レスポンスを前記センサデバイスから受信する応答時間レスポンス受信ステップと、
前記応答時間算出手段が、前記応答時間リクエスト送信ステップによる送信時刻と、前記応答時間レスポンス受信ステップによる受信時刻とから応答時間を算出する応答時間算出ステップと、
前記パフォーマンス情報送信手段が、前記応答時間算出ステップによって算出された応答時間を含むパフォーマンス情報を前記リスクベース認証サーバに送信するパフォーマンス情報送信ステップと、
前記通知受信手段が、前記パフォーマンス情報送信ステップによって送信した前記パフォーマンス情報に対する通知を、前記リスクベース認証サーバから受信する通知受信ステップと、
前記接続制御手段が、前記通知受信ステップによって受信した前記通知に基づいて、前記センサデバイスとの接続を制御する接続制御ステップと、を備え、
前記リスクベース認証サーバにおいて、
前記パフォーマンス情報受信手段が、前記センサゲートウェイから前記応答時間を含む前記パフォーマンス情報を受信するパフォーマンス情報受信ステップと、
前記しきい値算出手段が、前記センサデバイスが正常であるか否かを判定するためのしきい値を算出するしきい値算出ステップと、
前記リスク判定手段が、前記パフォーマンス情報受信ステップによって受信した前記パフォーマンス情報と、前記しきい値算出ステップによって算出された前記しきい値とに基づいて、前記センサデバイスが正常であるか否かのリスクを判定するリスク判定ステップと、
前記制御管理手段が、前記リスク判定ステップによって判定された内容の通知を前記センサゲートウェイに送信する制御管理ステップと、を備える、
方法。
請求項３に記載の不正接続検知システムが実行する方法において、
前記センサゲートウェイとしてのコンピュータに、前記センサゲートウェイにおいて実行される各ステップを実行させるためのプログラム。
請求項３に記載の不正接続検知システムが実行する方法において、
前記リスクベース認証サーバとしてのコンピュータに、前記リスクベース認証サーバにおいて実行される各ステップを実行させるためのプログラム。