JP2022155174A - 診断装置、診断方法および診断プログラム - Google Patents

診断装置、診断方法および診断プログラム Download PDF

Info

Publication number
JP2022155174A
JP2022155174A JP2021058542A JP2021058542A JP2022155174A JP 2022155174 A JP2022155174 A JP 2022155174A JP 2021058542 A JP2021058542 A JP 2021058542A JP 2021058542 A JP2021058542 A JP 2021058542A JP 2022155174 A JP2022155174 A JP 2022155174A
Authority
JP
Japan
Prior art keywords
diagnostic
information
control device
diagnosis
difference
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2021058542A
Other languages
English (en)
Inventor
毅 加藤
Takeshi Kato
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Yokogawa Electric Corp
Original Assignee
Yokogawa Electric Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Yokogawa Electric Corp filed Critical Yokogawa Electric Corp
Priority to JP2021058542A priority Critical patent/JP2022155174A/ja
Priority to US17/687,216 priority patent/US20220318374A1/en
Priority to CN202210223720.9A priority patent/CN115145238A/zh
Publication of JP2022155174A publication Critical patent/JP2022155174A/ja
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G06F21/54—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow by adding security routines or objects to programs
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B23/00—Testing or monitoring of control systems or parts thereof
    • G05B23/02—Electric testing or monitoring
    • G05B23/0205—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults
    • G05B23/0218—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults characterised by the fault detection method dealing with either existing or incipient faults
    • G05B23/0221—Preprocessing measurements, e.g. data collection rate adjustment; Standardization of measurements; Time series or signal analysis, e.g. frequency analysis or wavelets; Trustworthiness of measurements; Indexes therefor; Measurements using easily measured parameters to estimate parameters difficult to measure; Virtual sensor creation; De-noising; Sensor fusion; Unconventional preprocessing inherently present in specific fault detection methods like PCA-based methods
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/14—Error detection or correction of the data by redundancy in operation
    • G06F11/1402—Saving, restoring, recovering or retrying
    • G06F11/1446—Point-in-time backing up or restoration of persistent data
    • G06F11/1456—Hardware arrangements for backup
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/3003—Monitoring arrangements specially adapted to the computing system or computing system component being monitored
    • G06F11/3006—Monitoring arrangements specially adapted to the computing system or computing system component being monitored where the computing system is distributed, e.g. networked systems, clusters, multiprocessor systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/3051—Monitoring arrangements for monitoring the configuration of the computing system or of the computing system component, e.g. monitoring the presence of processing resources, peripherals, I/O links, software programs
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/577—Assessing vulnerabilities and evaluating computer system security
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/3065—Monitoring arrangements determined by the means or processing involved in reporting the monitored data
    • G06F11/3086—Monitoring arrangements determined by the means or processing involved in reporting the monitored data where the reporting involves the use of self describing data formats, i.e. metadata, markup languages, human readable formats
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/034—Test or assess a computer or a system

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • Quality & Reliability (AREA)
  • Automation & Control Theory (AREA)
  • Mathematical Physics (AREA)
  • Testing And Monitoring For Control Systems (AREA)
  • Debugging And Monitoring (AREA)
  • Test And Diagnosis Of Digital Computers (AREA)

Abstract

【課題】セキュリティ診断において、診断システムの導入により生じる制御システムの操業に与える影響を削減することができる。【解決手段】セキュリティ診断装置１０は、プラント内に設置されたプラントを稼働させる各機器の制御および監視を実行する制御装置２０ごとに、セキュリティ診断の対象となる制御装置２０の各構成に関する構成情報を記憶する記憶部１４と、制御装置２０によって収集された各構成の診断用情報を、制御装置２０から受信する受信部１５１ａと、受信された診断用情報と、構成情報とに基づき、制御装置２０のセキュリティ診断を実行する診断部１５２ａと、を備える。【選択図】図３

Description

本発明は、診断装置、診断方法および診断プログラムに関する。
プラントにおける制御システムでは、稼働中の制御装置に対してセキュリティ診断を実行する必要がある。ここで、制御装置は、例えば汎用ＯＳ（Operating System）で構築された仮想化コンピュータおよび物理コンピュータの機器を指し、セキュリティ診断とは、例えば制御装置の状態を機器固有情報やシステム構成、プロセス、ネットワーク、アカウント、ファイル情報を検出して予期せぬ変化が発生していない事を観察する行為を指す。また、セキュリティ診断システムは、上記セキュリティ診断情報の可視化を行い、変化が発生した際の通知とその判断結果を登録する仕組みを持つ。
特開２０１６－１８４１９４号公開
しかしながら、セキュリティ診断において、診断システムの導入により生じる制御システムの操業に与える影響を削減することは難しい。なぜならば、上記技術では、セキュリティ検査のために使用される検出用ドライバと検査用アプリが介在することによる制御ソフトウェア動作の遅延、検査用アプリの誤検知によって発生する正常動作の阻害が起こるためである。
上述した課題を解決し、目的を達成するために、本発明に係る診断装置は、プラント内に設置された前記プラントを稼働させる各機器の制御および監視を実行する制御装置ごとに、セキュリティ診断の対象となる前記制御装置の各構成に関する構成情報を記憶する記憶部と、前記制御装置によって収集された前記各構成の診断用情報を、前記制御装置から受信する受信部と、受信された前記診断用情報と、前記構成情報とに基づき、前記制御装置のセキュリティ診断を実行する診断部と、を備えることを特徴とする。
また、本発明に係る診断方法は、コンピュータが、プラント内に設置された前記プラントを稼働させる各機器の制御および監視を実行する制御装置ごとに、セキュリティ診断の対象となる前記制御装置の各構成に関する構成情報を記憶部に保持し、前記制御装置によって収集された前記各構成の診断用情報を、前記制御装置から受信し、受信した前記診断用情報と、前記構成情報とに基づき、前記制御装置のセキュリティ診断を実行する、処理を実行することを特徴とする。
また、本発明に係る診断プログラムは、コンピュータに、プラント内に設置された前記プラントを稼働させる各機器の制御および監視を実行する制御装置によって収集された、前記制御装置の各構成の診断用情報を、前記制御装置から受信し、受信した前記診断用情報と、前記制御装置ごとの、セキュリティ診断の対象となる前記制御装置の前記各構成に関する構成情報とに基づき、前記制御装置のセキュリティ診断を実行する、処理を実行させることを特徴とする。
本発明では、セキュリティ診断において、診断システムの導入により生じる制御システムの操業に与える影響を削減することができる。
実施形態に係るセキュリティ診断システムの構成例を示す図である。 従来のセキュリティ検査の概要を示す図である。 実施形態に係る各種装置の構成例を示すブロック図である。 実施形態に係るセキュリティ診断処理全体の流れの一例を示すフローチャートである。 実施形態に係るＤＢ作成処理の流れの一例を示すシーケンス図である。 実施形態に係る定期診断処理の流れの一例を示すシーケンス図である。 実施形態に係る定常診断処理の流れの一例を示すシーケンス図である。 実施形態に係る臨時診断処理の流れの一例を示すシーケンス図である。 実施形態に係るフィードバック処理の流れの一例を示すシーケンス図である。 ハードウェア構成例を説明する図である。
以下に、本発明に係るセキュリティ診断装置（適宜、診断装置）、セキュリティ診断方法（適宜、診断方法）およびセキュリティ診断プログラム（適宜、診断プログラム）の発明を実施するための形態（適宜、実施形態）を図面に基づいて詳細に説明する。なお、本発明は、以下に説明する実施形態により限定されるものではない。
〔実施形態〕
以下に、本実施形態に係るセキュリティ診断システムの構成、従来のセキュリティ検査の概要、セキュリティ診断装置等の構成、各処理の流れを順に説明し、最後に本実施形態の効果を説明する。
［セキュリティ診断システムの構成］
図１を用いて、本実施形態に係るセキュリティ診断システム（適宜、本システム）１００の構成を詳細に説明する。図１は、実施形態に係るセキュリティ診断システムの構成例を示す図である。以下に、本システム１００全体の構成例を示した上で、各装置の処理を説明する。
（システム全体の構成例）
本システム１００は、プラントの稼働、制御に関わる機器や装置のセキュリティの診断に利用されるシステムである。例えば、本システム１００は、診断機能を備えたサーバ等の診断装置１０、制御システム用コンピュータ群である制御装置２０（２０Ａ、２０Ｂ、・・・、２０Ｚ）、デスクイメージバックアップサーバ等のバックアップ装置３０、診断対象コンピュータ群設置用領域に複製された制御装置４０、およびコントローラ、センサ、アクチュエータ等の物理領域５０を有する。ここで、診断装置１０と、制御装置２０と、バックアップ装置３０と、クローン制御装置４０と、物理領域（Physical area）５０とは、図示しない所定の通信網を介して、有線または無線により通信可能に接続される。また、図１に示した診断システム１００には、複数台の診断装置１０、複数台のバックアップ装置３０、複数の物理領域５０が含まれてもよい。
本システム１００では、構成情報マスタデータベース作成処理（適宜、「ＤＢ作成処理」）、診断処理、フィードバック処理を行う。まず、診断装置１０は、クローン制御装置４０が収集した、診断対象となる制御装置２０ごとのセキュリティ診断用情報（適宜、「診断用情報」または「診断情報」）を受信し、受信した情報を構成情報として登録し、構成情報マスタデータベース（適宜、「マスタデータベース」）１４を作成する（ＤＢ作成処理）。次に、診断装置１０は、制御装置２０またはクローン制御装置４０が収集した診断情報を受信し、受信した診断情報と、マスタデータベース１４に登録されている構成情報とを比較して、差分情報を出力することで、セキュリティ診断を行う（診断処理）。そして、診断装置１０は、セキュリティ診断結果監視者（適宜、「診断結果監視者」）９０等からセキュリティ診断結果に対する判断結果を受け付け、セキュリティ診断のフィードバックを行う（フィードバック処理）。
（診断装置１０）
診断装置１０は、セキュリティ診断機能を提供するコンピュータであり、制御システム用コンピュータ群と独立したネットワーク上に設置され、制御システムに対して情報送信ができないように制御システム用コンピュータ群のネットワークとはデータダイオードにより制御されている。また、診断装置１０は、診断ソフトウェア１５、受信サーバ１３、情報を蓄積するためのデータベース（ＤＢ）１４を有する。なお、図１では、診断装置１０は、クローン制御装置４０の仮想コンピュータを提供するサーバ機器（検査ハイパーバイザ：Validation Hypervisor）外に設置されているが、検査ハイパーバイザ内の仮想コンピュータとして構築も可能である。
診断ソフトウェア１５は、セキュリティ診断と診断結果表示、診断結果へのフィードバック等を実行する。また、診断結果を表示するユーザインターフェースを持ち、異常を検知したときに通知する機能を持つ。
受信サーバ１３は、診断情報収集アプリ２１、診断情報収集アプリ４１からの情報を受信する。受信サーバ１３は、受信した情報を診断ソフトウェア１５に送信する。また、受信サーバ１３が受信した情報は、データベース１４に格納される。
データベース１４は、診断情報収集アプリ２１、診断情報収集アプリ４１や受信サーバ１３によって収集された制御装置２０の情報を記憶する。
（制御装置２０）
制御装置２０は、セキュリティ検査対象のコンピュータ機器である。設置される制御装置２０の台数は、制御システムの規模により変動する。図１では、制御装置Ａ２０Ａ、制御装置Ｂ２０Ｂは、仮想化技術による仮想コンピュータ（制御ハイパーバイザ：Operation Hypervisor）として構築されており、制御装置Ｚ２０Ｚは、物理コンピュータとして構築されている。
以下では、制御装置２０として用いられるコンピュータの特徴を説明するが、本実施形態において用いられる制御装置２０を限定するものではない。第１に、制御装置２０は、一般的なＯＡ（Office Automation）で使われるコンピュータとは異なり、専用のソフトウェアのみが動作し、自由な操作や変更を行うような使い方はしない専用機器である。第２に、制御装置２０は、物理領域５０に存在するコントローラとの通信を行い、コントローラの先に接続されているセンサやアクチュエータ等の物理現象の変化を監視および操作するため、決められた周期（例えば、１秒以内）で情報を収集して表示および操作が求められる機器である。第３に、制御装置２０は、連続稼働が求められ、かつ演算装置や主記憶装置、ハードディスク等のコンピュータリソースへのパフォーマンス要求がＯＡ環境で使われるコンピュータに比べて高い機器である。
（バックアップ装置３０）
バックアップ装置３０は、制御ハイパーバイザ内の各制御装置と、制御システム用コンピュータ群内の物理コンピュータで構築された制御装置２０のディスクイメージバックアップを保管する機器である。バックアップ装置３０は、制御装置２０で異常が発生した時に復旧時間を短縮する用途で、一定の期間、ルールに従ってバックアップされる。なお、バックアップ装置３０は、制御装置２０への機能追加や設定値の変更のタイミングや、定期修理や月次等の一定周期でバックアップを行うが、バックアップ処理の実行時期は特に限定されない。
（クローン制御装置４０）
クローン制御装置４０は、制御ハイパーバイザ内にある仮想コンピュータや物理コンピュータのバックアップイメージから複製されたコンピュータである。ここで、クローン制御装置４０は、バックアップ元が仮想コンピュータか物理コンピュータかにより、クローン作成先が異なる。例えば、図１では、仮想コンピュータである制御装置２０Ａ、２０Ｂは、検査ハイパーバイザ上にクローン制御装置４０－１として複製され、物理コンピュータである制御装置２０Ｚは、物理コンピュータにクローン制御装置４０－２として複製されるが、特に限定されない。なお、クローン制御装置４０は、制御システム用コンピュータ群内で操業に使用している制御装置２０とは異なり、物理領域５０への接続の必要はない。また、クローン制御装置４０は、制御システム内で稼働中のコンピュータと同じ台数、構成で常時稼働させておく必要はなく、任意のタイミング、期間で起動して利用することができる。
（物理領域５０）
物理領域５０は、制御システムにおいて、制御装置２０と接続されるコントローラと、そのコントローラに接続される物理情報の収集を行うセンサや物理操作を行うアクチュエータ等が設置されている領域であるが、物理領域５０に設置されている機器は特に限定されない。
［従来のセキュリティ検査の概要］
ここで、図２を用いて、参考技術として、一般的に行われる従来のセキュリティ検査の概要について説明する。図２は、従来のセキュリティ検査の概要を示す図である。なお、上述した実施形態に係るセキュリティ診断システム１００と共通の構成、機能については、説明を省略する。
例えば、従来のセキュリティ検査では、検査統括用コンピュータである管理装置６０、制御システム用コンピュータ群である制御装置２０（２０Ａ、２０Ｂ、・・・、２０Ｚ）、およびコントローラ、センサ、アクチュエータ等の物理領域５０を有する。
管理装置６０は、セキュリティ検査のために導入する管理用コンピュータであり、システム内の複数の検査対象コンピュータのセキュリティ検査に関連する管理を行う。管理装置６０は、検査結果の収集や、検査実行の指示、検査に必要な情報の更新などの機能を有する。なお、管理装置６０は、制御装置２０と送受信をできる必要があり、同一ネットワーク内に設置されるため、制御装置と同等の運用ポリシーやセキュリティ対策が求められる。
ポリシーα、ポリシーβは、管理装置６０内の統括サービスで取り扱うセキュリティ検査に必要な電子ファイルであり、管理装置から管理下の検査対象コンピュータに配布される。なお、ポリシーα、ポリシーβは、制御装置２０内の検査用アプリが使用する専用の電子ファイルであり、セキュリティ脅威の変化に追従するために、日々更新される必要がある。
統括サーバは、管理装置６０上で、管理装置６０の記憶媒体に保存されるセキュリティ検査に関する情報を一覧したり、管理下の検査対象コンピュータにインストールされる通信エージェントと通信したりする機能を有する。
通信エージェントは、制御装置２０上で、統括サーバと情報通信を行い、検査用アプリを操作する機能を有する。管理装置６０の作業者による統括サーバからの指示を受けて、ポリシーの更新を行ったり、セキュリティ検査を実行したり、検査用アプリの結果を管理装置の統括サーバに送信したりする機能を有する。
検査用アプリは、制御装置２０上で、セキュリティ検査を実施する。検査用アプリは、統括サーバから配布されるポリシーを使いＯＳや汎用アプリケーション、制御用ソフトウェアの動作や振る舞い、人間による操作を監視して、不正な動作やマルウェアの実行、読み込みを検知して、脅威の発生を防止する。また、ハードディスク上に保存されている電子ファイルやメモリ上の検査を行う機能も有し、不審なデータを自発的に発見する機能も有する。
検出用ドライバは、制御装置２０上で、セキュリティ検査のために検査用アプリと一緒に導入される。検出用ドライバは、ＯＳのシステムコールを監視して、システムコールを呼び出した汎用アプリケーションや制御用ソフトウェアの動作を一時的に中断させて、検査用アプリで検閲するといった仕組みのために導入する。また、検出用ドライバは、検査用アプリにより問題ないと判断された場合は、中断させたアプリケーションへ処理を戻し、本来の動作を続行させる。
図２で示した従来のコンピュータ機器のセキュリティ検査では、管理装置６０上の統括サーバと、制御装置２０上の通信エージェント、検査用アプリ、検出用ドライバを組み合わせて実現する。すなわち、上記のセキュリティ検査では、人間によるソフトウェアの操作やサービスプログラムの自動処理等のソフトウェアによる操作（ＯＳのシステムコール）を検出用ドライバが捉えて、検査用アプリを使用して正常か異常かの検査を行い、正常と診断されれば、捉えた動作が許可され、ソフトウェアが本来行いたい操作が実行される。
しかしながら、上記のセキュリティ検査では、検出用ドライバと検査用アプリが介在することによる制御ソフトウェア動作の遅延が起こり、また、検査用アプリの誤検知によって発生する正常動作の阻害が起こる。したがって、セキュリティ診断において、診断システムの導入により生じる制御システムの操業に与える影響を削減することは難しい。
これに対して、上述したように、図１に示した診断装置１０は、プラント内に設置されたプラントを稼働させる各機器の制御および監視を実行する制御装置２０ごとに、セキュリティ診断の対象となる制御装置２０の各構成に関する構成情報を記憶するマスタデータベース１４と、制御装置２０によって収集された各構成の診断用情報を、制御装置２０から受信する受信サーバ１３と、受信された診断用情報と、構成情報とに基づき、制御装置２０のセキュリティ診断を実行する診断ソフトウェア１５と、を備える。
すなわち、診断装置１０は、セキュリティ検査システムの導入により生じる制御装置の動作遅延や動作の阻害、停止といった制御システムの操業に与える影響を無くして、セキュリティ脅威に対処できる仕組みと手法を実現することができる。また、既設の制御システムへの導入容易性を高めるために、制御システムとセキュリティ診断システムの独立性を実現することもできる。
［診断装置等の構成］
図３を用いて、本実施形態に係るセキュリティ診断装置１０等の構成を詳細に説明する。図３は、実施形態に係る各種装置の構成例を示すブロック図である。以下に、セキュリティ診断装置１０の構成、制御装置２０（クローン制御装置４０）の構成の順に説明する。
（セキュリティ診断装置１０の構成）
セキュリティ診断装置１０は、入力部１１、出力部１２、通信部１３、記憶部１４および制御部１５を有する。入力部１１は、当該診断装置１０への各種情報の入力を司る。入力部１１は、例えば、マウスやキーボード等で実現され、当該診断装置１０への設定情報等の入力を受け付ける。また、出力部１２は、当該診断装置１０からの各種情報の出力を司る。出力部１２は、例えば、ディスプレイ等で実現され、当該診断装置１０に記憶された設定情報等を出力する。
通信部１３は、他の装置との間でのデータ通信を司る。例えば、通信部１３は、各通信装置との間でデータ通信を行う。また、通信部１３は、図示しないオペレータの端末との間でデータ通信を行うことができる。
記憶部１４は、制御部１５が動作する際に参照する各種情報や、制御部１５が動作した際に取得した各種情報を記憶する。記憶部１４は、診断用情報記憶部１４ａを有する。ここで、記憶部１４は、例えば、ＲＡＭ（Random Access Memory）、フラッシュメモリ等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置等で実現され得る。なお、図３の例では、記憶部１４は、診断装置１０の内部に設置されているが、診断装置１０の外部に設置されてもよいし、複数の記憶部が設置されていてもよい。
診断用情報記憶部１４ａは、プラント内に設置されたプラントを稼働させる各機器の制御および監視を実行する制御装置２０ごとに、セキュリティ診断の対象となる制御装置２０の各構成に関する構成情報を記憶する。ここで、診断用情報とは、制御装置２０の収集部（診断用情報収集アプリ）２１またはクローン制御装置４０の収集部（診断用情報収集アプリ）４１によって、セキュリティ診断開始後に収集される情報である。一方、構成情報とは、セキュリティ診断のために事前に収集された診断用情報であって、セキュリティ診断の対象となる制御装置２０ごとに格納された情報である。
診断用情報は、例えば、機器固有情報、システム構成情報、プロセス情報、ネットワーク情報、アカウント情報、ファイル情報、カスタマイズ情報等であるが、特に限定されない。
機器固有情報は、制御装置を識別するための情報であって、例えば、コンピュータＩＤ、ホスト名、ライセンス番号等である。
システム構成情報は、コンピュータ内のハードウェア、ソフトウェアの構成に関する情報であって、例えば、ＣＰＵ（Central Processing Unit）、メモリ、仮想メモリ、ハードディスク、接続されているネットワーク機器、接続されたことのあるポータブル記憶域デバイス、ドライバ、インストールされたソフトウェア、更新プログラム、セキュリティパッチ等である。
プロセス情報は、コンピュータ内の稼働や停止中のプロセスの情報であって、例えば、稼働中のプロセスの場合は、メモリ消費量やスレッド数、起動アカウント等である。
ネットワーク情報は、例えば、コンピュータ内のネットワークに関する設定情報、外部との通信状況に関する情報等である。
アカウント情報は、例えば、コンピュータ内に存在するユーザーアカウントに関する情報、コンピュータにアクセスしたことのあるアカウント情報等である。
ファイル情報は、例えば、コンピュータの記憶装置に保持されている電子ファイルの情報であって、ファイルおよびフォルダのサイズ、和、ハッシュ値等である。
カスタマイズ情報は、上記で定義されていない情報であって、診断対象に加えたい情報である。
なお、構成情報は、診断用情報と同様のカテゴリおよび内容であるので、説明を省略する。
制御部１５は、当該診断装置１０全体の制御を司る。制御部１５は、ＤＢ作成部１５１として、受信部１５１ａおよび格納部１５１ｂを有し、診断制御部１５２として、診断部１５２ａおよび通知部１５２ｂを有し、フィードバック部１５３として、受付部１５３ａおよび付与部１５３ｂを有する。ここで、制御部１５は、例えば、ＣＰＵやＭＰＵ（Micro Processing Unit）等の電子回路やＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等の集積回路により実現され得る。
受信部１５１ａは、制御装置２０によって収集された各構成の診断用情報を、制御装置２０から受信する。例えば、受信部１５１ａは、バックアップ装置３０によって定期的に取得される制御装置２０のディスクイメージを用いて仮想マシンによって生成された仮想制御装置４０－１、または制御装置２０のディスクイメージを保持する物理装置４０－２から、各構成の診断用情報を受信する。また、受信部１５１ａは、定期的に、制御装置２０が有する全構成の診断用情報を受信する。また、受信部１５１ａは、制御装置２０上で常駐稼働している収集アプリケーションによって、制御装置２０が有する全構成の診断用情報のうち、指定された周期で収集された診断用情報を、指定された周期で受信する。また、受信部１５１ａは、制御装置２０によって異常が検出された場合には、異常が検出された制御装置２０が有する全構成の診断用情報を受信する。
格納部１５１ｂは、制御装置２０から受信された各構成の診断用情報を、記憶部１４に格納する。例えば、格納部１５１ｂは、制御装置２０から受信された各構成の診断用情報として、機器固有情報、システム構成情報、プロセス情報、ネットワーク情報、アカウント情報、ファイル情報、カスタマイズ情報を、診断用情報記憶部１４ａに格納する。
診断部１５２ａは、受信された診断用情報と、構成情報とに基づき、制御装置２０のセキュリティ診断を実行する。例えば、診断部１５２ａは、受信された診断用情報と、構成情報との差分を抽出し、差分を出力する。また、診断部１５２ａは、受信された診断用情報と、構成情報のうち該当する構成情報との差分を抽出し、差分を出力する。
通知部１５２ｂは、セキュリティ診断の診断結果を通知する。例えば、通知部１５２ｂは、セキュリティ診断の差分情報を、セキュリティ診断結果監視者９０に通知する。なお、通知部１５２ｂは、セキュリティ診断の診断結果を記憶部１４に格納してもよい。
受付部１５３ａは、セキュリティ診断の診断結果に対する判断結果を受け付ける。例えば、受付部１５３ａは、セキュリティ診断の診断結果に対する判断結果として、差分の許可、差分の不許可、または差分の一時的な許可を受け付ける。なお、受付部１５３ａは、セキュリティ診断の診断結果を記憶部１４に格納してもよい。
付与部１５１ｂは、受け付けられた判断結果に基づいて、診断結果に所定の情報を付与する。例えば、付与部１５１ｂは、差分の許可を受け付けられた場合には、診断結果に差分を許可する情報を付与し、差分の不許可または差分の一時的な許可を受け付けられた場合には、診断結果に固有の情報または重要度を付与する。また、付与部１５１ｂは、所定の情報を付与した診断結果を、セキュリティ診断結果監視者９０に送信してもよい。なお、付与部１５１ｂは、所定の情報を付与した診断結果を記憶部１４に格納してもよい。
（制御装置２０の構成）
制御装置２０は、制御部２１として、収集部２１ａおよび送信部２１ｂを有する。なお、クローン制御装置４０の構成は、制御装置２０の構成と共通であるので、説明を省略する。
収集部２１ａは、制御装置２０の各構成の診断用情報を収集する。例えば、収集部２１ａは、定期的に、制御装置２０の各構成の診断用情報を収集する。また、収集部２１ａは、制御装置２０の全構成の診断用情報のうち、指定された周期で診断用情報を収集する。また、収集部２１ａは、異常が検出された制御装置２０の全構成の診断用情報を収集する。
送信部２１ｂは、制御装置２０の各構成の診断用情報を、診断装置１０に送信する。例えば、送信部２１ｂは、定期的に収集された制御装置２０の各構成の診断用情報を、診断装置１０に送信する。また、送信部２１ｂは、指定された周期で収集された診断用情報を、診断装置１０に送信する。また、送信部２１ｂは、異常が検出された制御装置２０において収集された診断用情報を、診断装置１０に送信する。
［セキュリティ診断処理全体の流れ］
図４を用いて、本実施形態に係るセキュリティ診断処理全体の流れを説明する。図４は、実施形態に係るセキュリティ診断処理全体の流れの一例を示すフローチャートである。本実施形態に係るセキュリティ診断処理では、ＤＢ作成処理（ステップＳ１０１）、診断処理（ステップＳ１０２）、フィードバック処理（ステップＳ１０３）の順に実行される。なお、ステップＳ１０１～Ｓ１０３の処理は、それぞれ個別の処理として実行してもよいし、異なる順序で実行してもよいし、省略される処理があってもよい。
（ＤＢ作成処理）
セキュリティ診断装置１０は、ＤＢ作成処理を実行する（ステップＳ１０１）。ＤＢ作成処理では、診断装置１０は、プラント内に設置されたプラントを稼働させる各機器の制御および監視を実行する制御装置２０ごとに、セキュリティ診断の対象となる制御装置２０の各構成に関する構成情報を受信し、記憶部１４に格納する。このとき、診断装置１０は、制御装置２０によって収集された各構成の診断用情報を、制御装置２０から受信してもよいし、バックアップ装置３０によって定期的に取得される制御装置２０のディスクイメージを用いて仮想マシンによって生成された仮想制御装置４０－１、または制御装置２０のディスクイメージを保持する物理装置４０－２から、各構成の診断用情報を受信してもよい。
（ＤＢ作成処理に関わる構成）
制御装置２０またはクローン制御装置４０は、ＤＢ作成処理に関わる以下の構成を有する。操作画面は、依頼待受サービスに対して出せるリクエスト一覧を表示するユーザインターフェースを持つアプリケーションであり、リクエストを出した後、依頼待受サービスから終了通知・エラー通知を受け取る。
依頼待受サービスは、クローン制御装置４０内で常駐しているサービスプログラムであり、操作画面からのリクエストを受け取って、決められた処理を行う。依頼待受サービスが提供するリクエストは、診断情報収集リクエスト（１．リクエスト元から指定されたカテゴリの情報を収集する ２．操作画面からのリクエストを診断情報収集統括サービスに転送して処理を待ち、結果を操作画面に送る）、診断情報送信リクエスト（１．クローン制御装置４０内で収集済みの診断情報を診断装置に送る ２．操作画面からのリクエストを送信管理サービスに転送して処理を待ち、結果を操作画面に送る）、自動診断開始／終了リクエスト（１．診断情報収集と送信を自動で実行するモードに遷移させ、自動で実行するモードを停止させる ２．診断情報収集統括サービスと送信管理サービスの動作モードを変更させる）、サービス構成情報の表示／変更リクエスト（診断情報収集統括サービス、送信管理サービスの設定情報を操作画面に送る、操作画面からはその設定値の変更情報を受け取り、サービスの設定を変更する）等である。
診断情報収集統括サービスは、依頼待受サービスからの指示を受けて、実行中のコンピュータ内の情報収集をコントロールするサービスである。診断情報収集統括サービスは、リクエストごとにスレッドを生成して、診断情報収集機能を実行する。また、診断情報収集統括サービスは、診断情報収集機能開始時、完了時に呼び出し元に応答を返す。なお、現在のコンピュータ内のＣＰＵ、メモリ、ディスクアクセスの状態を監視して、設定されている閾値に達している場合は、診断情報収集機能の実行を行わない。
診断情報収集機能は、収集対象の情報を取得する機能である。収集対象ごとに機能が分割されており、診断情報収集統括サービスにより、リクエストに応じた機能が実行される。実行後の診断情報は、コンピュータ内の記憶媒体に電子ファイルとして保存される。
診断情報は、診断情報収集機能によって作成される電子ファイルである。送信用データ作成機能に読み込まれ、送信後に削除される。
送信管理サービスは、依頼待受サービスからの指示を受けて、実行中のコンピュータ内で収集済みの診断情報を送信する処理をコントロールするサービスである。送信管理サービスは、リクエストを受け取った後にリクエストキューイング状態に遷移して、送信用データ作成機能を実行する。送信管理サービスは、１つの送信リクエストが完了してから次のリクエストキューの処理を行う。リクエストを受領時、送信用データ作成完了時、送信完了時に呼び出し元に応答を返す。送信管理サービスは、現在のコンピュータ内のメモリ、ディスクアクセスの状態を監視して、設定されている閾値に達している場合は、診断情報を送信する処理を行わない。なお、送信先の情報は、依頼待受サービスに渡される「サービス構成情報の更新リクエスト」に含まれる情報を元に設定される。
送信用データ作成機能は、送信管理サービスによって実行される機能である。診断情報収集機能が生成した診断情報ファイルを読み込んで、送信機能で送信する送信用データに加工し、加工後に送信機能を実行する。なお、送信用データ作成機能は、送信機能が送信に成功した後に、診断情報ファイルを削除する。
送信機能は、送信用データを指定された送信先に送る機能である。
診断装置１０は、ＤＢ作成処理に関わる以下の構成を有する。受信サービスは、診断装置１０で常駐しているサービスプログラムである。受信サービスは、クローン制御装置４０の送信機能から送られてくるデータを受信する。また、受信サービスは、受信したデータは、診断情報管理サービスに転送する。
診断情報管理サービスは、診断装置１０で常駐しているサービスプログラムである。診断情報管理サービスは、診断情報に関する読み出し、書き込みのリクエストを受け取り、呼び元に応答を返す。診断情報管理サービスは、書き込みリクエスト時は、受信情報整合性確認機能を使用して、書き込み可否を判断し、データベース管理サービスに書き込みリクエストを出す。診断情報管理サービスは、読み出しリクエスト時は、データベース管理サービスに指定された対象のデータ読み出しのリクエストを出し、読み出しリクエスト元に結果を返す。
受信情報整合性確認機能は、診断情報管理サービスが使用する機能の１つである。受信情報整合性確認機能は、指定されたデータが、診断情報管理サービスで扱えるデータかどうかを判定する。受信情報整合性確認機能は、判定した結果、データ欠損やフォーマットエラー等の状態が見つかった場合は、通知機能を実行してエラーで応答を返し、通知機能を実行する。また、受信情報整合性確認機能は、判定した結果が問題なければ、利用可能の応答を返す。
データベース管理サービスは、診断装置１０で常駐しているサービスプログラムである。データベース管理サービスは、診断情報管理サービスから読み出しまたは書き込みのリクエストを受け取る。また、データベース管理サービスは、書き込みリクエスト時は、成功・失敗の結果を通知機能で発報する。
データベースアクセス機能は、データベース管理サービスが使用する機能である。データベースアクセス機能は、データベースにアクセスし、情報の読み書きを担当する。
データベース１４は、データベースアクセス機能が使用するデータベースである。
通知機能は、診断装置内の関連するサービス、機能が利用可能な通知機能である。通知機能は、診断装置内のセキュリティ診断に関する通知が必要な操作に対して、その結果を知らせる。
管理画面は、診断装置１０のセキュリティ診断に関する全ての情報を扱えるユーザインターフェースであり、診断情報の確認や、診断結果の表示を行う機能を持つ。
（診断処理）
セキュリティ診断装置１０は、診断処理を実行する（ステップＳ１０２）。診断処理では、診断装置１０は、制御装置２０によって収集された各構成の診断用情報を、制御装置２０から受信し、受信した診断用情報と、構成情報とに基づき、制御装置２０のセキュリティ診断を実行する。このとき、診断装置１０は、バックアップ装置によって定期的に取得される制御装置２０のディスクイメージを用いて仮想マシンによって生成された仮想制御装置４０－１、または制御装置２０のディスクイメージを保持する物理装置４０－２から、各構成の診断用情報を受信してもよい。また、診断装置１０は、受信した診断用情報と、構成情報との差分を抽出し、差分を出力してもよい。
診断装置１０は、定期診断、定常診断および臨時診断の３種類のセキュリティ診断を実現する。３つの違いは、セキュリティ診断情報の収集対象と収集周期である。定期診断の場合は、診断情報の全てを扱うが、定常診断は制御システム用コンピュータとして稼働している制御装置２０を対象とするため、低負荷で実行される。臨時診断は、本来は定期診断で行う診断操作を制御装置２０で行うことを指す。
定期診断では、バックアップ装置３０が保持する制御装置２０のイメージバックアップが更新されたタイミングで、クローン制御装置４０を用いて実施する。定期診断では、全てのセキュリティ診断情報を収集して診断装置１０に送信する。診断装置１０は、受信したセキュリティ診断情報と、構成情報マスタＤＢ１４に現在登録されている情報を比較して、差分情報を記憶する。また、管理画面で対象となる制御装置の定期診断情報を確認したときに、上記処理で生成された差分情報を表示する。
定常診断では、各制御装置２０上で常駐稼働している診断情報収集アプリ２１を用いて実施する。指定された収集周期で診断情報を収集して、逐次診断装置１０の受信サーバ１３に診断情報を送信する。診断装置１０は、受信した診断情報と、構成情報マスタＤＢ１４に現在登録されている情報を比較して、差分情報を記録する。また、差分が確認された場合は、通知機能により差分発生が知らされ、診断装置１０の管理画面を使った差分の確認を促す。
臨時診断では、制御装置２０を使用している作業者が、制御装置２０で異常を確認した場合に実施する。定常診断の診断結果からは異常な変化が確認出来ないが作業者から異常の報告があった場合に、制御装置２０を診断のために利用できる状態にしたうえで実施する。また、定期診断同様に、全てのセキュリティ診断情報を収集して、診断装置１０に送信する。その後の処理フローは定期診断と同様となる。
（診断処理に関わる構成）
制御装置２０またはクローン制御装置４０は、診断処理に関わる以下の構成を有する。操作画面は、定期・臨時診断では、制御装置またはクローン制御装置４０で実行中の依頼待受サービスに診断開始のリクエストを送信した後、セキュリティ診断情報の収集と診断装置１０への送信が完了した時点で完了通知またはエラー通知を受け取る。また、操作画面は、定常診断では、依頼待受サービスに診断開始のリクエスト送信後、すぐに受付完了またはエラー通知を受け取る。
診断装置１０は、診断処理に関わる以下の構成を有する。診断情報管理サービスは、受信サービスで受け取った情報を構成情報マスタＤＢ作成と同様に、受信情報整合性確認機能で確認する。診断情報管理サービスは、整合性が確認出来た場合は、差分チェック機能を用いて、構成情報マスタＤＢと受信データの差分比較を開始する。
差分チェック機能は、診断情報管理サービスから呼び出される機能であり、以下の手続きで差分比較を行う。差分チェック機能は、第１に、受信した機器固有情報で、差分比較する対象機器を特定し、第２に、受信した診断情報のカテゴリから、差分比較する対象値を特定し、第３に、上記の処理で特定した情報を使い、データベース管理サービスに過去の診断結果取得のリクエストを送り、第４に、受け取った過去の診断結果と現在の診断情報を比較し、第５に、見つかった差分を抽出して、差分情報としてデータベース管理サービスに登録し、第６に、差分発生を通知機能で通知する。
管理画面は、定常・定期・臨時の各診断で差分が検知された場合は、管理画面に差分検知の発生を表示し、制御装置ごとの状態確認画面で詳細な差分情報を確認できる。なお、セキュリティ診断結果管理者は、管理画面上で差分検知を見つけた後に制御装置ごとの状態確認を行い判断できる。
（フィードバック処理）
セキュリティ診断装置１０は、フィードバック処理を実行する（ステップＳ１０３）。フィードバック処理では、診断装置１０は、セキュリティ診断の診断結果に対する判断結果を受け付け、受け付けた判断結果に基づいて、診断結果に所定の情報を付与する。ここで、診断装置１０は、判断結果として、差分の許可、差分の不許可、または差分の一時的な許可を受け付けてもよい。また、診断装置１０は、差分の許可を受け付けた場合には、診断結果に差分を許可する情報を付与し、差分の不許可または差分の一時的な許可を受け付けた場合には、診断結果に固有の情報または重要度を付与する。
セキュリティ診断結果管理者９０は、差分に対する判断結果をフィードバックできる。フィードバック可能な判断結果は、「差分を認知・許容する」「差分を認知・許容しない」「差分を一時的に許容する」の３種類となる。許容・認知しない場合と一時的に許容する場合は、検知された差分に対して固有の情報と重み付けを付与する事ができる。
差分を認知・許容する場合には、構成情報マスタＤＢ１４に登録されている情報（過去の結果）に対して、受信した診断情報に差分があったとしても、その差分が想定されている差分である場合に選択する。稼働中の制御システム用コンピュータ群の制御装置２０は、バックアップ装置３０に稼働直前のイメージバックアップが生成されており、そのセキュリティ診断情報は構成情報マスタＤＢに登録されている。次に、制御装置２０に対して変更を加えた場合は、変更後の結果がバックアップ装置３０のイメージバックアップに生成される。変更後のクローン制御装置４０で定期診断を実施したときに生じる差分は、意図した変更であるため差分は認知される。また、稼働中の制御装置２０で行われる定常診断にて、構成情報マスタＤＢ１４に登録されている情報よりも増加減された診断情報が届く事がある。診断情報によっては、一定の範囲を持つものもあり、特定の状態では、構成情報マスタＤＢ１４に登録されている範囲を超えた情報が取得される場合もある。その範囲が許容できる場合は、差分を許容する事で次回以降は差分とは扱われなくなる。
差分を認知・許容しない場合には、構成情報マスタＤＢ１４に登録されている情報（過去の結果）に対して、受信した診断情報に差分があり、その差分情報が認知されないまたは許容できない場合に選択する。制御用システムコンピュータ群で稼働中の制御装置２０は、稼働中に自由に構成変更をするものでは無く、必要に応じてシステム管理者の許可のもと変更が行われる。制御装置２０の定常診断情報との比較で許可されていない変更が検出された場合は、システム管理者と確認し変更の経緯を調査する。調査の結果、原因が判明した場合は認知されない変更として扱い、検出された差分に対してその原因を自由記入形式で書き込み、重要度を設定する事で、今後の再発時や同様の問題が別の制御装置２０上で発生した場合の解析に役立てる。また、診断情報には一定の範囲を持つ情報も含まれている。その場合は、上限または下限を超えた場合に差分として検出される。その結果が許容できない場合には、許容できないとマークし、判断理由を自由記入形式で書き込み、重要度を設定する事で、今後の再発時や同様の問題が発生した場合に役立てる。
差分を一時的に許容する場合には、許容の判断が出来ない場合に、指定の期日まではその差分を許容する場合に選択する。原因が特定できないがセキュリティ上の問題が無いと判断した場合に、この状態を設定する。その後の調査により原因が特定できた場合は、許容または許容しない、のいずれかに状態を再設定する。一時的に許容する場合は、その差分に対して自由記入形式で書き込み、重要度を設定する事で、同様の差分が再発した場合の解析に役立てる。
（フィードバック処理に関わる構成）
診断装置１０は、フィードバック処理に関わる以下の構成を有する。管理画面は、セキュリティ診断結果監視者が操作するためのユーザインターフェースを持つプログラムである。第１に、「管理画面」を選択すると、診断情報管理サービスにリクエストが送られ、データベースから機器固有識別情報と、差分の有無に関する情報が取得され、ユーザインターフェースに描画される。第２に、「管理画面」から特定の制御装置の「差分詳細情報」を選択すると、同サービスにリクエストが送られ、対象の制御装置のセキュリティ診断結果の差分情報が取得され、ユーザインターフェースに描画される。第３に、上記の差分詳細情報が表示された画面にて、判断結果を入力して登録操作を行うことで、同サービスにリクエストが送られ、データベースに判断結果が登録される。
診断情報管理サービスは、管理画面からのリクエストに応じて動作する。また、診断情報管理サービスは、取得する情報に合わせて、データベース管理サービスや差分チェック機能を介してデータベースの情報を取得・操作する。さらに、診断情報管理サービスは、実行結果を管理画面のユーザインターフェースに描画する。
［ＤＢ作成処理の流れ］
図５を用いて、本実施形態に係るＤＢ作成処理の流れを詳細に説明する。図５は、実施形態に係るＤＢ作成処理の流れの一例を示すシーケンス図である。以下では、収集処理（ステップＳ２０１～Ｓ２０６）、登録処理（ステップＳ２０７～Ｓ２１３）の順に説明する。
（収集処理）
まず、システム管理者等の操作者７０は、クローン制御装置４０に診断情報収集アプリ４１を導入する（ステップＳ２０１）。また、操作者７０は、クローン制御装置４０に対して全ての情報収集を指示する（ステップＳ２０２）。次に、クローン制御装置４０の診断情報収集アプリ４１は、診断情報を収集する（ステップＳ２０３）。また、診断情報収集アプリ４１は、診断情報の送信用データを作成し（ステップＳ２０４）、クローン制御装置４０に保持する（ステップＳ２０５）。このとき、診断情報収集アプリ４１は、操作者７０に対して、情報収集終了を通知する（ステップＳ２０６）。
（登録処理）
まず、システム管理者等の操作者７０は、クローン制御装置４０の診断情報収集アプリ４１に対して、受信サーバ１３への送信を指示する（ステップＳ２０７）。次に、診断情報収集アプリ４１は、受信サーバ１３に診断用データを送信する（ステップＳ２０８）。続いて、受信サーバ１３は、送信用スレッドを作成し（ステップＳ２０９）、診断ソフトウェア１５に対して、受信データのＤＢ登録を指示する（ステップＳ２１０）。そして、診断ソフトウェア１５は、マスタＤＢ１５に受信データを登録する（ステップＳ２１１）。一方、受信サーバ１３は、診断情報収集アプリ４１に対して、診断用データの受信完了を通知する。また、診断情報収集アプリ４１は、操作者７０に対して、診断用データの送信完了を通知して（ステップＳ２１３）、処理を終了する。
［診断処理の流れ］
図６～図８を用いて、本実施形態に係る診断処理の流れを詳細に説明する。図６は、実施形態に係る定期診断処理の流れの一例を示すシーケンス図である。図７は、実施形態に係る定常診断処理の流れの一例を示すシーケンス図である。図８は、実施形態に係る臨時診断処理の流れの一例を示すシーケンス図である。以下では、定期診断処理、定常診断処理、臨時診断処理の順に説明する。
（定期診断処理）
図６を用いて、本実施形態に係る定期診断処理の流れを詳細に説明する。以下では、収集処理（ステップＳ３０１～Ｓ３０５）、差分情報生成処理（ステップＳ３０６～Ｓ３１６）の順に説明する。
（定期診断処理の収集処理）
まず、システム管理者等の定期診断実施者８０Ａは、クローン制御装置４０の診断情報収集アプリ４１に対して、診断開始を指示する（ステップＳ３０１）。次に、診断情報収集アプリ４１は、診断情報の収集を開始する（ステップＳ３０２）。このとき、診断情報収集アプリ４１は、情報を収集し（ステップＳ３０３）、送信用データを作成し（ステップＳ３０４）、送信用データを保存する（ステップＳ３０５）。定期診断処理では、ステップＳ３０３～Ｓ３０５の処理は、全ての構成データの収集が完了するまで繰り返される。
（定期診断処理の差分情報生成処理）
まず、クローン制御装置４０の診断情報収集アプリ４１は、受信サーバ１３に対して、診断情報を送信する（ステップＳ３０６）。次に、受信サーバ１３は、受信用スレッドを作成し（ステップＳ３０７）、診断ソフトウェア１５に対して受信データのＤＢ登録を依頼する（ステップＳ３０８）。そして、診断ソフトウェア１５は、受信データの処理を開始し（ステップＳ３０９）、マスタＤＢから過去の登録情報を取得し（ステップＳ３１０）、差分チェックを行い（ステップＳ３１１）、差分情報をマスタＤＢに登録し（ステップＳ３１２）、システム管理者等の診断結果監視者９０Ａに対して差分情報を通知する（ステップＳ３１３）。一方、診断ソフトウェア１５は、受信サーバ１３に対して、依頼受信完了を通知する（ステップＳ３１４）。また、受信サーバ１３は、診断情報収集アプリ４１に対して、受信データの送信完了を通知する（ステップＳ３１５）。最後に、診断情報収集アプリ４１は、定常診断実施者８０Ａに対して、診断終了を通知して（ステップＳ３１６）、処理を終了する。
（定常診断処理）
図７を用いて、本実施形態に係る定常診断処理の流れを詳細に説明する。以下では、収集処理（ステップＳ４０１～Ｓ４０９）、差分情報生成処理（ステップＳ４１０～Ｓ４１７）の順に説明する。
（定常診断処理の収集処理）
まず、システム管理者等の定常診断構築者８０Ｂは、クローン制御装置４０の診断情報収集アプリ４１に対して、診断定義を設定し（ステップＳ４０１）、定常診断を開始する（ステップＳ４０２）。次に、診断情報収集アプリ４１は、診断情報の収集を開始する（ステップＳ４０３）。このとき、診断情報収集アプリ４１は、情報を収集し（ステップＳ４０４）、送信用データを作成し（ステップＳ４０５）、送信用データを保存し（ステップＳ４０６）、受信サーバ１３に対して診断情報を送信する（ステップＳ４０７）。受信サーバ１３は、受信データのキューイングを行い（ステップＳ４０８）、診断情報収集アプリ４１に対して診断情報の受信完了を通知する（ステップＳ４０９）。定常診断処理では、ステップＳ４０４～Ｓ４０９の処理は、診断データの収集が完了するまで繰り返される。
（定常診断処理の差分情報生成処理）
まず、受信サーバ１３は、受信データ登録のスレッドを作成し（ステップＳ４１０）、診断ソフトウェア１５に対して受信データのＤＢ登録を依頼する（ステップＳ４１１）。次に、診断ソフトウェア１５は、受信データの処理を開始し（ステップＳ４１２）、マスタＤＢから過去の登録情報を取得し（ステップＳ４１３）、差分チェックを行い（ステップＳ４１４）、差分情報をマスタＤＢに登録し（ステップＳ４１５）、システム管理者等の診断結果監視者９０Ｂに対して差分情報を通知する（ステップＳ４１６）。そして、診断ソフトウェア１５は、受信サーバ１３に対して終了を通知する（ステップＳ４１７）。定常診断処理では、ステップＳ４１０～Ｓ４１７の処理は、診断情報の登録が完了するまで繰り返される。
（臨時診断処理）
図８を用いて、本実施形態に係る臨時診断処理の流れを詳細に説明する。以下では、収集処理（ステップＳ５０１～Ｓ５０５）、差分情報生成処理（ステップＳ５０６～Ｓ５１６）の順に説明する。
（臨時診断処理の収集処理）
まず、システム管理者等の臨時診断実施者８０Ｃは、制御装置２０の診断情報収集アプリ２１に対して、診断開始を指示する（ステップＳ５０１）。次に、診断情報収集アプリ２１は、診断情報の収集を開始する（ステップＳ５０２）。このとき、診断情報収集アプリ２１は、情報を収集し（ステップＳ５０３）、送信用データを作成し（ステップＳ５０４）、送信用データを保存する（ステップＳ５０５）。臨時診断処理では、ステップＳ５０３～Ｓ５０５の処理は、全ての構成データの収集が完了するまで繰り返される。
（臨時診断処理の差分情報生成処理）
まず、制御装置２０の診断情報収集アプリ２１は、受信サーバ１３に対して、診断情報を送信する（ステップＳ５０６）。次に、受信サーバ１３は、受信用スレッドを作成し（ステップＳ５０７）、診断ソフトウェア１５に対して受信データのＤＢ登録を依頼する（ステップＳ５０８）。そして、診断ソフトウェア１５は、受信データの処理を開始し（ステップＳ５０９）、マスタＤＢから過去の登録情報を取得し（ステップＳ５１０）、差分チェックを行い（ステップＳ５１１）、差分情報をマスタＤＢに登録し（ステップＳ５１２）、システム管理者等の診断結果監視者９０Ｃに対して差分情報を通知する（ステップＳ５１３）。一方、診断ソフトウェア１５は、受信サーバ１３に対して、依頼受信完了を通知する（ステップＳ５１４）。また、受信サーバ１３は、診断情報収集アプリ２１に対して、受信データの送信完了を通知する（ステップＳ５１５）。最後に、診断情報収集アプリ２１は、臨時診断実施者８０Ｃに対して、診断終了を通知して（ステップＳ５１６）、処理を終了する。
［フィードバック処理の流れ］
図９を用いて、本実施形態に係るフィードバック処理の流れを詳細に説明する。図９は、実施形態に係るフィードバック処理の流れの一例を示すシーケンス図である。以下では、管理画面提示処理（ステップＳ６０１～Ｓ６０４）、差分詳細画面提示処理（ステップＳ６０５～Ｓ６０８）、判断結果更新処理（ステップＳ６０９～Ｓ６１０）の順に説明する。
（管理画面提示処理）
まず、システム管理者等の診断結果監視者９０は、診断装置１０の診断ソフトウェア１５に対して、管理画面確認を指示する（ステップＳ６０１）。次に、診断ソフトウェア１５は、マスタＤＢから差分情報を取得し（ステップＳ６０２）、差分情報の描画を行う（ステップＳ６０３）。そして、診断ソフトウェア１５は、診断結果監視者９０に対して、管理画面を提示する（ステップＳ６０４）。
（差分詳細画面提示処理）
まず、システム管理者等の診断結果監視者９０は、診断装置１０の診断ソフトウェア１５に対して、差分詳細情報を要求する（ステップＳ６０５）。次に、診断ソフトウェア１５は、マスタＤＢから差分詳細情報を取得し（ステップＳ６０６）、差分詳細情報の描画を行う（ステップＳ６０７）。そして、診断ソフトウェア１５は、診断結果監視者９０に対して、差分詳細画面を提示する（ステップＳ６０８）。
（判断結果更新処理）
まず、システム管理者等の診断結果監視者９０は、診断ソフトウェア１５に対して、判断結果を入力する（ステップＳ６０９）。そして、診断ソフトウェア１５は、マスタＤＢの判断結果を更新し（ステップＳ６１０）、処理を終了する。
［実施形態の効果］
第１に、上述した本実施形態に係るセキュリティ診断処理では、プラント内に設置されたプラントを稼働させる各機器の制御および監視を実行する制御装置２０ごとに、セキュリティ診断の対象となる制御装置２０の各構成に関する構成情報を保持し、制御装置２０によって収集された各構成の診断用情報を、制御装置２０から受信し、受信した診断用情報と、構成情報とに基づき、制御装置２０のセキュリティ診断を実行する。このため、本処理では、セキュリティ診断において、診断システムの導入により生じる制御システムの操業に与える影響を削減することができる。
第２に、上述した本実施形態に係るセキュリティ診断処理では、バックアップ装置３０によって定期的に取得される制御装置２０のディスクイメージを用いて仮想マシンによって生成された仮想制御装置４０－１、または制御装置２０のディスクイメージを保持する物理装置４０－２から、各構成の診断用情報を受信する。このため、本処理では、セキュリティ診断において、制御装置２０のアプリケーション実行を阻害することなく、診断システムの導入により生じる制御システムの操業に与える影響を削減することができる。
第３に、上述した本実施形態に係るセキュリティ診断処理では、定期的に、制御装置２０が有する全構成の診断用情報を受信し、受信した診断用情報と、構成情報との差分を抽出し、差分を出力する。このため、本処理では、定期的なセキュリティ診断において、診断システムの導入により生じる制御システムの操業に与える影響を削減することができる。
第４に、上述した本実施形態に係るセキュリティ診断処理では、制御装置２０上で常駐稼働している収集アプリケーション２１によって、制御装置２０が有する全構成の診断用情報のうち、指定された周期で収集された診断用情報を、指定された周期で受信し、受信した診断用情報と、構成情報のうち該当する構成情報との差分を抽出し、差分を出力する。このため、本処理では、定常的なセキュリティ診断において、診断システムの導入により生じる制御システムの操業に与える影響を削減することができる。
第５に、上述した本実施形態に係るセキュリティ診断処理では、制御装置２０によって異常が検出された場合には、異常が検出された制御装置２０が有する全構成の診断用情報を受信し、診断部は、受信した診断用情報と、構成情報との差分を抽出し、差分を出力する。このため、本処理では、臨時的なセキュリティ診断において、診断システムの導入により生じる制御システムの操業に与える影響を削減することができる。
第６に、上述した本実施形態に係るセキュリティ診断処理では、セキュリティ診断の診断結果に対する判断結果を受け付け、受け付けた判断結果に基づいて、診断結果に所定の情報を付与する。このため、本処理では、セキュリティ診断において、フィードバックを行うことにより、診断システムの導入により生じる制御システムの操業に与える影響を効果的に削減することができる。
第７に、上述した本実施形態に係るセキュリティ診断処理では、セキュリティ診断の診断結果に対する判断結果として、差分の許可、差分の不許可、または差分の一時的な許可を受け付け、差分の許可を受け付けた場合には、診断結果に差分を許可する情報を付与し、差分の不許可または前記差分の一時的な許可を受け付けた場合には、診断結果に固有の情報または重要度を付与する。このため、本処理では、セキュリティ診断において、フィードバックを行うことにより、診断システムの導入により生じる制御システムの操業に与える影響をより効果的に削減することができる。
〔システム〕
上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散や統合の具体的形態は図示のものに限られない。つまり、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。
さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
〔ハードウェア〕
次に、診断装置１０のハードウェア構成例を説明する。なお、他の装置も同様のハードウェア構成とすることができる。図１０は、ハードウェア構成例を説明する図である。図１０に示すように、診断装置１０は、通信装置１０ａ、ＨＤＤ（Hard Disk Drive）１０ｂ、メモリ１０ｃ、プロセッサ１０ｄを有する。また、図１０に示した各部は、バス等で相互に接続される。
通信装置１０ａは、ネットワークインタフェースカードなどであり、他のサーバとの通信を行う。ＨＤＤ１０ｂは、図３に示した機能を動作させるプログラムやＤＢを記憶する。
プロセッサ１０ｄは、図３に示した各処理部と同様の処理を実行するプログラムをＨＤＤ１０ｂ等から読み出してメモリ１０ｃに展開することで、図３等で説明した各機能を実行するプロセスを動作させる。例えば、このプロセスは、診断装置１０が有する各処理部と同様の機能を実行する。具体的には、プロセッサ１０ｄは、受信部１５１ａ、格納部１５１ｂ、診断部１５２ａ、通知部１５２ｂ、受付部１５３ａ、付与部１５３ｂ等と同様の機能を有するプログラムをＨＤＤ１０ｂ等から読み出す。そして、プロセッサ１０ｄは、受信部１５１ａ、格納部１５１ｂ、診断部１５２ａ、通知部１５２ｂ、受付部１５３ａ、付与部１５３ｂ等と同様の処理を実行するプロセスを実行する。
このように、診断装置１０は、プログラムを読み出して実行することで各種処理方法を実行する情報処理装置として動作する。また、診断装置１０は、媒体読取装置によって記録媒体から上記プログラムを読み出し、読み出された上記プログラムを実行することで上記した実施例と同様の機能を実現することもできる。なお、この他の実施例でいうプログラムは、診断装置１０によって実行されることに限定されるものではない。例えば、他のコンピュータまたはサーバがプログラムを実行する場合や、これらが協働してプログラムを実行するような場合にも、本発明を同様に適用することができる。
このプログラムは、インターネットなどのネットワークを介して配布することができる。また、このプログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ－ＲＯＭ、ＭＯ（Magneto－Optical disk）、ＤＶＤ（Digital Versatile Disc）などのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することができる。
１０ セキュリティ診断装置
１１ 入力部
１２ 出力部
１３ 通信部
１４ 記憶部
１４ａ 診断用情報記憶部
１５、２１、４１ 制御部
１５１ ＤＢ作成部
１５１ａ 受信部
１５１ｂ 格納部
１５２ 診断制御部
１５２ａ 診断部
１５２ｂ 通知部
１５３ フィードバック部
１５３ａ 受付部
１５３ｂ 付与部
２０ 制御装置
３０ バックアップ装置
４０ クローン制御装置
５０ 物理領域
６０ 管理装置
７０ 操作者
８０ 診断実施者（診断構築者）
９０ 診断結果監視者
１００ 診断システム

Claims (9)

  1. プラント内に設置された前記プラントを稼働させる各機器の制御および監視を実行する制御装置ごとに、セキュリティ診断の対象となる前記制御装置の各構成に関する構成情報を記憶する記憶部と、
    前記制御装置によって収集された前記各構成の診断用情報を、前記制御装置から受信する受信部と、
    受信された前記診断用情報と、前記構成情報とに基づき、前記制御装置のセキュリティ診断を実行する診断部と、
    を備えることを特徴とする診断装置。
  2. 前記受信部は、
    バックアップ装置によって定期的に取得される前記制御装置のディスクイメージを用いて仮想マシンによって生成された仮想制御装置、または前記制御装置のディスクイメージを保持する物理装置から、前記各構成の診断用情報を受信する、
    ことを特徴とする請求項１に記載の診断装置。
  3. 前記受信部は、
    定期的に、前記制御装置が有する全構成の診断用情報を受信し、
    前記診断部は、
    受信された前記診断用情報と、前記構成情報との差分を抽出し、前記差分を出力する、
    ことを特徴とする請求項１または２に記載の診断装置。
  4. 前記受信部は、
    前記制御装置上で常駐稼働している収集アプリケーションによって、前記制御装置が有する全構成の診断用情報のうち、指定された周期で収集された診断用情報を、前記周期で受信し、
    前記診断部は、
    受信された前記診断用情報と、前記構成情報のうち該当する構成情報との差分を抽出し、前記差分を出力する、
    ことを特徴とする請求項１または２に記載の診断装置。
  5. 前記受信部は、
    前記制御装置によって異常が検出された場合には、異常が検出された前記制御装置が有する全構成の前記診断用情報を受信し、
    前記診断部は、
    受信された前記診断用情報と、前記構成情報との差分を抽出し、前記差分を出力する、
    ことを特徴とする請求項１または２に記載の診断装置。
  6. 前記セキュリティ診断の診断結果に対する判断結果を受け付ける受付部と、
    前記受け付けられた前記判断結果に基づいて、前記診断結果に所定の情報を付与する付与部と、
    をさらに備えることを特徴とする請求項１に記載の診断装置。
  7. 前記受付部は、
    前記判断結果として、差分の許可、差分の不許可、または差分の一時的な許可を受け付け、
    前記付与部は、
    前記差分の許可を受け付けられた場合には、前記診断結果に前記差分を許可する情報を付与し、前記差分の不許可または前記差分の一時的な許可を受け付けられた場合には、前記診断結果に固有の情報または重要度を付与する、
    ことを特徴とする請求項６に記載の診断装置。
  8. コンピュータが、
    プラント内に設置された前記プラントを稼働させる各機器の制御および監視を実行する制御装置ごとに、セキュリティ診断の対象となる前記制御装置の各構成に関する構成情報を記憶部に保持し、
    前記制御装置によって収集された前記各構成の診断用情報を、前記制御装置から受信し、
    受信した前記診断用情報と、前記構成情報とに基づき、前記制御装置のセキュリティ診断を実行する、
    処理を実行することを特徴とする診断方法。
  9. コンピュータに、
    プラント内に設置された前記プラントを稼働させる各機器の制御および監視を実行する制御装置によって収集された、前記制御装置の各構成の診断用情報を、前記制御装置から受信し、
    受信した前記診断用情報と、前記制御装置ごとの、セキュリティ診断の対象となる前記制御装置の前記各構成に関する構成情報とに基づき、前記制御装置のセキュリティ診断を実行する、
    処理を実行させることを特徴とする診断プログラム。
JP2021058542A 2021-03-30 2021-03-30 診断装置、診断方法および診断プログラム Pending JP2022155174A (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2021058542A JP2022155174A (ja) 2021-03-30 2021-03-30 診断装置、診断方法および診断プログラム
US17/687,216 US20220318374A1 (en) 2021-03-30 2022-03-04 Diagnosis apparatus, diagnosis method, and computer-readable recording medium
CN202210223720.9A CN115145238A (zh) 2021-03-30 2022-03-09 诊断装置、诊断方法以及计算机可读取的记录介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2021058542A JP2022155174A (ja) 2021-03-30 2021-03-30 診断装置、診断方法および診断プログラム

Publications (1)

Publication Number Publication Date
JP2022155174A true JP2022155174A (ja) 2022-10-13

Family

ID=83404816

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2021058542A Pending JP2022155174A (ja) 2021-03-30 2021-03-30 診断装置、診断方法および診断プログラム

Country Status (3)

Country Link
US (1) US20220318374A1 (ja)
JP (1) JP2022155174A (ja)
CN (1) CN115145238A (ja)

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6975966B2 (en) * 2003-01-28 2005-12-13 Fisher-Rosemount Systems, Inc. Integrated diagnostics in a process plant having a process control system and a safety system
JP5597514B2 (ja) * 2010-10-19 2014-10-01 株式会社日立システムズ セキュリティ診断システムおよび方法ならびにプログラム
JP6036464B2 (ja) * 2013-03-26 2016-11-30 富士通株式会社 プログラム、診断方法及び診断システム
US10015329B2 (en) * 2014-05-16 2018-07-03 Ricoh Company, Ltd. Information management apparatus, information management method, and information device
KR101620601B1 (ko) * 2015-03-04 2016-05-13 (주) 에스에스알 보안성 진단 방법 및 이를 위한 컴퓨터 프로그램, 그 기록매체
US9904785B2 (en) * 2015-06-02 2018-02-27 Rockwell Automation Technologies, Inc. Active response security system for industrial control infrastructure
EP3258661B1 (en) * 2016-06-16 2020-11-18 ABB Schweiz AG Detection of abnormal configuration changes
JP6676508B2 (ja) * 2016-09-29 2020-04-08 株式会社日立製作所 セキュリティ診断装置およびセキュリティ診断方法
DE102020108070A1 (de) * 2020-03-24 2021-09-30 Basler Aktiengesellschaft Robuste Überwachung von Computersystemen und/oder Steuerungssystemen

Also Published As

Publication number Publication date
CN115145238A (zh) 2022-10-04
US20220318374A1 (en) 2022-10-06

Similar Documents

Publication Publication Date Title
TWI225985B (en) Method and apparatus for the automatic determination of potentially worm-like behavior of a program
JP6788178B2 (ja) 設定支援プログラム、設定支援方法及び設定支援装置
JP4880376B2 (ja) 支援装置、プログラム、情報処理システム及び支援方法
US8024713B2 (en) Using ghost agents in an environment supported by customer service providers
US10802847B1 (en) System and method for reproducing and resolving application errors
CN113014445B (zh) 用于服务器的运维方法、装置、平台及电子设备
JP4383484B2 (ja) メッセージ解析装置、制御方法および制御プログラム
JP6201079B2 (ja) 監視システムおよび監視方法
JP2022155174A (ja) 診断装置、診断方法および診断プログラム
JP6531601B2 (ja) 診断プログラム、診断方法および診断装置
CN112416700A (zh) 分析启动的预测性故障和smart日志
JP2007241873A (ja) ネットワーク上のコンピュータ資源の変更監視プログラム
CA3144122A1 (en) Data verifying method, device and system
JP2008191849A (ja) 稼働管理装置、情報処理装置、稼働管理装置の制御方法、情報処理装置の制御方法及びプログラム
JP6730235B2 (ja) アプリケーション稼働監視装置および監視方法
JP2008181432A (ja) ヘルスチェック装置及びヘルスチェック方法及びプログラム
JP2020135701A (ja) 情報処理システム、情報処理装置および情報処理プログラム
JP6547341B2 (ja) 情報処理装置、方法及びプログラム
KR950010835B1 (ko) 컴퓨터 시스템의 서비스 네트워크에서 한 컴퓨터 시스템상의 문제 예방 실행 방법
US20240020039A1 (en) Evidence collection guidance method and apparatus for file selection and computer-readable storage medium
WO2024105747A1 (ja) 検査装置、検査方法、および検査プログラム
CN115174343B (zh) B/s架构页面巡检方法、装置和页面巡检系统
JP3985530B2 (ja) 不正行為監視システム
JP6586844B2 (ja) 情報処理装置、情報処理システム、情報処理方法及びプログラム
US10511474B2 (en) Information processing apparatus, computer-readable recording medium having stored therein program, and method for processing information

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20221006

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20230920

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20231003

A02 Decision of refusal

Free format text: JAPANESE INTERMEDIATE CODE: A02

Effective date: 20240402