JP2013218531A - 安全性評価システム及び安全性評価方法 - Google Patents

Abstract

【課題】システム構成又は設定が運用中に変更された場合であっても、多大な時間及びコストをかけずに安全性を評価し得る安全性評価システム及び安全性評価方法を提供する。
【解決手段】情報取得装置は、予め定められたタイミングに基づいて、構成情報及び取得情報を前記評価指示装置に出力し、評価指示装置は、情報取得装置から出力された構成情報及び取得情報を入力すると、入力した構成情報及び取得情報と、予め定められた再調査実施条件とに基づいて、安全性を再調査すべきか否かを判断し、再調査する必要がある場合には、再調査する必要がある旨を通知するとともに、安全性評価の内容を示す情報及び再調査に必要な関連情報を通知することを特徴とする安全性評価システム。
【選択図】図１

Description

本発明は、安全性評価システム及び安全性評価方法に関し、特にコンポーネントの多い制御システムの安全性を評価する安全性評価システム及び安全性評価方法に適用して好適なものである。

従来、情報システムの設計時には安全性評価が行われる。情報システムの安全性評価は、情報システムを構築したベンダや情報システムの納入先の管理者が安全性を自己監査することにより行われる。情報システムの安全性を評価する制度としては、例えば第三者の評価機関が標準的な情報セキュリティの評価基準に照らし合わせて評価する安全性適合認証の制度がある。

近年では、この情報システムの技術をインフラ網や製造プラントのような制御システムに適用する動きが活発化しており、これにともない、制御システムの安全性を評価する技術の開発が進められている。一般に制御システムは、事務作業用の計算機、各種制御装置及び各種センサ装置等のように多くの機器を備えて構成され、情報システムと比較すると、システムを構成する機器の種類及び台数が多くなる傾向にある。

制御システムは上述の通り多くの機器を備えて構成されるため、機器及び機器にインストールされているソフトウェア（以下、コンポーネントと呼ぶ）の総数は膨大になる。コンポーネントとは、例えばＯＳ（Operating System）、ミドルウェア又はアプリケーションソフトウェア等である。よって制御システムの安全性を評価しようとした場合、評価対象のコンポーネントの総数が膨大であるため、多大な時間及びコストが必要になるという問題がある。

なお制御システムにおける安全性の評価項目としては、例えばコンポーネントのバージョンがアップデートされた場合であれば、コンポーネントを利用している全ての機器にアップデートが実行されたか否か、アップデート後にコンポーネントが停止状態になっていないか、コンポーネントにかかる設定情報に変更がないか、コンポーネントの動作に変更がないか、他のコンポーネントとの相互接続に問題が発生していないか等がある。

特許文献１には、ネットワーク構成や機器の利用プログラム等を含むシステムの設計情報と、設計情報及び利用プログラムに判明している脆弱性情報とを比較することにより、システムの安全性評価を効率化する技術が開示されている。

特開２００３−１０８５２１号公報

しかし、特許文献１の技術では、システムの設計時における情報のみを利用して安全性を評価する技術であるため、システムの構成又は設定がシステムの運用中に変更された場合には、安全性評価を効率化することはできない。

制御システムの構成又は設定が運用中に変更される場合とは、例えばコンポーネントのバージョンがアップデートされた場合やコンポーネントに何らかの不具合が生じた場合である。よって例え制御システムの設計時に安全性が評価されていたとしても、運用中にその安全性が保証されているとは限らない。そして運用中に適宜、安全性を評価するとした場合には、多大な時間及びコストが必要になるという問題がある。

またそもそも制御システムの構成又は設定が運用中に変更されたことが管理者に認識されない場合がある。運用中の変更が管理者に認識されない場合とは、例えば外部ネットワークに接続されたコンポーネントがリポジトリに定期的にポーリングすることによりアップデートパッチが取得される場合や外部ネットワークを介して開発メーカから送信されたアップデートパッチが取得される場合である。この場合、管理者は速やかに安全性の再調査を行うことができない。よって制御システムの安全性が損なわれるという問題がある。

本発明は以上の点を考慮してなされたもので、システム構成又は設定が運用中に変更された場合であっても、多大な時間及びコストをかけずに安全性を評価し得る安全性評価システム及び安全性評価方法を提供しようとするものである。

かかる課題を解決するために本願発明においては、複数の構成機器を有する制御システムの安全性を評価する安全性評価システムにおいて、前記安全性評価システムは、前記複数の構成機器から前記構成機器の構成に関する情報である構成情報を取得し、取得した構成情報に基づいて、前記構成機器の状態に関する情報である取得情報を取得する情報取得装置と、前記情報取得装置から前記構成情報及び前記取得情報を取得する評価指示装置とを備え、前記情報取得装置は、予め定められたタイミングに基づいて、前記構成情報及び前記取得情報を前記評価指示装置に出力し、前記評価指示装置は、前記情報取得装置から出力された前記構成情報及び前記取得情報と、予め定められた再調査実施条件とに基づいて、安全性を再調査すべきか否かを判断し、再調査する必要がある場合には、再調査する必要がある旨を通知するとともに、安全性評価の内容を示す情報及び再調査に必要な関連情報を通知することを特徴とする。

またかかる課題を解決するために本願発明においては、複数の構成機器を有する制御システムの安全性を評価する安全性評価システムの安全性評価方法において、前記安全性評価システムは、前記複数の構成機器から前記構成機器の構成に関する情報である構成情報を取得し、取得した構成情報に基づいて、前記構成機器の状態に関する情報である取得情報を取得する情報取得装置と、前記情報取得装置から前記構成情報及び前記取得情報を取得する評価指示装置とを備え、前記情報取得装置が、予め定められたタイミングに基づいて、前記構成情報及び前記取得情報を前記評価指示装置に出力する第１のステップと、前記評価指示装置が、前記情報取得装置から出力された前記構成情報及び前記取得情報と、予め定められた再調査実施条件とに基づいて、安全性を再調査すべきか否かを判断し、再調査する必要がある場合には、再調査する必要がある旨を通知するとともに、安全性評価の内容を示す情報及び再調査に必要な関連情報を通知する第２のステップとを備えたことを特徴とする。

本発明によれば、システム構成又は設定が運用中に変更された場合であっても、多大な時間及びコストをかけずに安全性を評価することができる。

安全性評価システムの論理構成を示す概念図である。 情報取得装置の物理構成を示す概念図である。 構成機器の物理構成を示す概念図である。 評価指示装置の物理構成を示す概念図である。 構成情報に含まれるコンポーネント一覧情報を示す概念図である。 構成情報に含まれるトポロジー情報を示す概念図である。 取得対象情報を示す概念図である。 評価項目を示す概念図である。 評価結果通知部により表示される通知画面の概念図である。 第１のタイミング決定処理を示すフロー図である。 第２のタイミング決定処理を示すフロー図である。 安全性再調査の必要性判定処理を示すフロー図である。 第２の実施形態の安全性評価システムの論理構成を示す概念図である。 第２の実施形態の取得対象情報を示す概念図である。 第３の実施形態の安全性評価システムの論理構成を示す概念図である。 第３の実施の形態のコンポーネント一覧情報を示す概念図である。

以下図面について、本発明の一実施の形態を詳述する。

（１）第１の実施の形態
（１−１）安全性評価システムの構成
図１において、１は全体として第１の実施の形態による安全性評価システム１の論理構成を示す。安全性評価システム１は、評価対象システム１０及び評価指示装置３００から構成される。

評価対象システム１０は、安全性評価の対象となるシステムであり、情報取得装置１００及び構成機器２００から構成される。

情報取得装置１００は、評価対象システム１０の運用中に構成機器２００に関する情報を取得し、取得した情報を評価指示装置２０に送信する装置である。情報取得装置１００は、構成情報１０１、取得対象情報１０２、情報取得部１０３、情報出力部１０４及び取得命令受信部１０５を備えて構成される。

構成情報１０１は、図示しないＲＡＭ（Random Access Memory）又はＲＯＭ（Read Only Memory）等の記憶媒体に格納される情報であり、コンポーネント一覧情報１０１Ａ及びトポロジー情報１０１Ｂを含む情報である。コンポーネント一覧情報１０１Ａは、構成機器２００の詳細情報である。またトポロジー情報１０１Ｂは、評価対象システム１０の設計情報である。これらコンポーネント一覧情報１０１Ａ及びトポロジー情報１０１Ｂの詳細については、図３及び図４において後述する。

取得対象情報１０２は、図示しないＲＡＭ又はＲＯＭ等の記憶媒体に格納される情報であり、評価対象システム１０の構成情報として取得すべき情報及びその取得方法の情報等を含む情報である。また取得対象情報１０２は、評価指示装置３００に送信される情報である。取得対象情報１０２の詳細については、図５において後述する。

情報取得部１０３は、ネットワークＮ１を介して、構成機器２００に接続されるモジュールである。情報取得部１０３は、取得命令受信部１０５を介して、評価指示装置３００から構成機器２００に関する情報の取得要求を入力する。そして情報取得部１０３は、取得要求を入力したことを契機として、構成情報１０１及び取得対象情報１０２を取得し、取得した構成情報１０１及び取得対象情報１０２を情報出力部１０４に出力する。

なお構成機器２００に関する情報の取得要求は、例えば標準技術であるＨＴＴＰ（Hypertext Transfer Protocol）上にＸＭＬ（eXtensible Markup Language）を応用したＳＯＡＰ（Simple Object Access Protocol）を利用して、ＲＰＣ（Remote Procedure Call）を行うことにより実現することができる。

情報出力部１０４は、情報取得部１０３から出力された構成情報１０１及び取得対象情報１０２を入力すると、入力した構成情報１０１及び取得対象情報１０２を情報入力部３０３に送信するモジュールである。なおここでは、情報出力部１０４はネットワークＮ２を介して構成情報１０１等を送信するとしたが、必ずしもこれに限らず、例えば可搬型記憶媒体を介して出力するとしてもよい。

取得命令受信部１０５は、ネットワークＮ２を介して、取得命令送信部３０６に接続されるモジュールである。取得命令受信部１０５は、取得命令送信部３０６から送信された取得要求を受信すると、受信した取得要求を情報取得部１０３に出力する。

構成機器２００は、評価対象システム１０を構成する計算機、制御用機器及び通信機器等であり、コンポーネント２０１を備えて構成される。なお複数の構成機器２００は制御システムとして動作する。

コンポーネント２０１は、構成機器２００により利用されるハードウェア及びソフトウェアであり、具体的にはハードウェアモジュール、ＯＳ（Operating System）、ミドルウェア及びアプリケーションソフトウェア等である。

評価指示装置３００は、情報取得装置１００から構成機器２００に関する情報を受信して安全性の再調査が必要であるか否かを判断し、判断結果を管理者に通知するという一連の安全性評価を行う装置である。評価指示装置３００は、構成情報３０１、評価項目３０２、情報入力部３０３、評価計算部３０４、評価結果通知部３０５及び取得命令送信部３０６を備えて構成される。

構成情報３０１は、図示しないＲＡＭ又はＲＯＭ等の記憶媒体に格納される情報であり、コンポーネント一覧情報３０１Ａ及びトポロジー情報３０１Ｂを含む情報である。これらコンポーネント一覧情報３０１Ａ及びトポロジー情報３０１Ｂは、情報取得装置１００が備えるコンポーネント一覧情報１０１Ａ及びトポロジー情報１０１Ｂと同一の情報である。詳細については図３及び図４において後述する。

評価項目３０２は、図示しないＲＡＭ又はＲＯＭ等の記憶媒体に格納される情報であり、安全性の評価内容を示す情報及びその評価内容を判断するために必要な情報を含む情報である。評価項目３０２は、安全性を再調査すべきか否かを判断するために用いられる。評価項目３０２の詳細については、図６において後述する。

情報入力部３０３は、ネットワークＮ２を介して、情報出力部１０４に接続されるモジュールである。情報入力部３０３は、情報出力部１０４から送信された構成情報１０１及び取得対象情報１０２を受信すると、入力した構成情報１０１及び取得対象情報１０２を評価計算部３０４に出力する。なおここでは、情報入力部３０３はネットワークＮ２を介して構成情報１０１等を受信するとしたが、必ずしもこれに限らず、例えば可搬型記憶媒体を介して入力するとしてもよい。

評価計算部３０４は、情報入力部３０３から出力された構成情報１０１及び取得対象情報１０２を入力すると、入力した構成情報１０１及び取得対象情報１０２と、評価項目３０２とに基づいて、評価対象システム１０の安全性を再調査する必要があるか否かを判断するモジュールである。

評価結果通知部３０５は、評価計算部３０４による判定結果を管理者に通知するモジュールであり、例えばＬＣＤ（Liquid Crystal Display）等のモニタや電子メール等である。

取得命令送信部３０６は、ネットワークＮ２を介して、取得命令受信部１０５に接続されるモジュールである。取得命令送信部３０６は、取得要求を取得命令受信部１０５に送信する。

（１−２）情報取得装置、構成機器及び評価指示装置の物理構成
図２Ａは、情報取得装置１００の物理構成を示す。情報取得装置１００は、制御部１１１、メモリ１１２、外部記憶装置１１３、通信装置１１４、入力装置１１５、出力装置１１６及び読取装置１１７を備えて構成される。またこれらはインタフェースＩ１を介して相互に接続される。

制御部１１１は、ＣＰＵ（Central Processing Unit）、ＲＡＭ（Random Access Memory）及びＲＯＭ（Read Only Memory）等を備えて構成され、メモリ１１２に格納されている各種プログラムとの協働により、情報取得装置１００における各種動作を統括的に制御する。

メモリ１１２は、ＲＡＭ又はＲＯＭ等により構成され、各種プログラム又は各種データを一時的又は長期的に格納する。

外部記憶装置１１３は、ハードディスク等により構成され、メモリ１１２と同様、各種プログラム又は各種データを一時的又は長期的に格納する。

なおメモリ１１２又は外部記憶装置１１３により格納される各種プログラム等は、これらメモリ１１２又は外部記憶装置１１３に予め格納されているとしてもよいし、可搬型記憶媒体Ｍ１に記憶されている各種プログラムが読取装置１１７により読み取られ、その後メモリ１１２又は外部記憶装置１１３に格納されるとしてもよい。また各種プログラムは、搬送波又はデジタル信号として、ネットワークＮ１及びＮ２を介して通信装置１１４により受信され、その後メモリ１１２又は外部記憶装置１１３に格納されるとしてもよい。

通信装置１１４は、インターネットやＬＡＮ等のネットワークＮ１及びＮ２を介して、構成機器２００又は評価指示装置３００等の外部装置と通信可能に接続される。

入力装置１１５は、ポインタ等を移動させるためのマウス又は文字や記号を入力するためのキーボードである。

出力装置１１６は、ＬＣＤ等のモニタ又はモニタに表示された文字や図形を用紙に印刷するためのプリンタである。

読取装置１１７は、ＩＣカードやＵＳＢメモリ等の可搬型記憶媒体Ｍ１が挿入された場合、挿入された可搬型記憶媒体Ｍ１に記憶された情報を読み取る。

図２Ｂは、構成機器２００の物理構成を示す。構成機器２００は、制御部２１１、メモリ２１２、外部記憶装置２１３、通信装置２１４、入力装置２１５、出力装置２１６及び読取装置２１７を備えて構成される。またこれらは、インタフェースＩ２を介して相互に接続される。図２Ｂに示す構成機器２００の制御部２１１、メモリ２１２、外部記憶装置２１３、通信装置２１４、入力装置２１５、出力装置２１６及び読取装置２１７の各部の機能及び構成は、上述した図２Ａに示す情報取得装置１００の制御部１１１、メモリ１１２、外部記憶装置１１３、通信装置１１４、入力装置１１５、出力装置１１６及び読取装置１１７の各部の機能及び構成と同様であるため、ここでの説明は省略する。

図２Ｃは、評価指示装置３００の物理構成を示す。評価指示装置３００は、制御部３１１、メモリ３１２、外部記憶装置３１３、通信装置３１４、入力装置３１５、出力装置３１６及び読取装置３１７を備えて構成される。またこれらは、インタフェースＩ３を介して相互に接続される。図２Ｃに示す構成機器２００の制御部３１１、メモリ３１２、外部記憶装置３１３、通信装置３１４、入力装置３１５、出力装置３１６及び読取装置３１７の各部の構成及び機能は、上述した図２Ａに示す情報取得装置１００の制御部１１１、メモリ１１２、外部記憶装置１１３、通信装置１１４、入力装置１１５、出力装置１１６及び読取装置１１７の各部の機能及び構成と同様であるため、ここでの説明は省略する。

（１−３）データ構造
図３は、情報取得装置１００の構成情報１０１に含まれるコンポーネント一覧情報１０１Ａのデータ構造を示す。コンポーネント一覧情報１０１Ａは、構成機器２００の詳細情報であり、評価対象システム１０の設計時又は構築時に開発者又は管理者に入力されることで初期化される情報である。

なおシステムの安全性評価の調査には、「どのような用途の機器」が「どのようなコンポーネントを利用」しており「どのような状態」で「どこに存在」しているのかという情報が必要である。コンポーネント一覧情報１０１Ａは、このうち「どのような用途の機器」が「どのようなコンポーネントを利用」しており「どのような状態」であるのかという情報を含むものである。

コンポーネント一覧情報１０１Ａは、機器番号欄１０１１Ａ、機器カテゴリ欄１０１２Ａ、コンポーネントカテゴリ欄１０１３Ａ及びコンポーネント情報欄１０１４Ａから構成される。

機器番号欄１０１１Ａには、構成機器２００を識別するための識別子が格納される。機器番号欄１０１１Ａに格納される識別子は、構成機器２００が評価対象システム１０に導入される際に予め割り振られている専用の番号であってもよいし、全ての構成機器２００を識別可能である限りにおいては、例えばシステムの設計にかかる値であるＭＡＣアドレスであってもよい。

機器カテゴリ欄１０１２Ａには、構成機器２００が属するカテゴリを示す情報が格納され、より詳細には１つ以上の用途を示す文字列が格納される。なお機器カテゴリ欄１０１２Ａに格納される情報は、構成機器２００が「どのような用途の機器」であるのかを示す情報である。

コンポーネントカテゴリ欄１０１３Ａには、コンポーネント２０１が属するカテゴリを示す情報が格納される。なおコンポーネントカテゴリ欄１０１３Ａに格納される情報は、構成機器２００が「どのようなコンポーネントを利用」しているのかを示す情報である。

コンポーネント情報欄１０１４Ａには、コンポーネント２０１についての詳細情報を示す情報が格納される。なおコンポーネント情報欄１０１４Ａに格納される情報は、コンポーネント２０１が「どのような状態」であるのかを示す情報である。

従って図３の場合、例えば機器番号が「ｍ０００００１」の機器は、用途が「ＯＡ用ＰＣ」であり、この機器が利用するコンポーネントは「ＯＳ」であり、このコンポーネントの状態はＯＳの名称が「ｈｏｇｅ」、ＯＳのバージョンが「１．１」、ＯＳに適用されているパッチが「ｈｏｇｅ０１」及び「ｈｏｇｅ０２」であることが示されている。また例えば機器番号が「ｍ０００１０１」の機器は、用途が「ログサーバ」であり、この機器が利用するコンポーネントは「ＯＳ」、「データベースミドルウェア」及び「ログ管理ソフト」であることが示されている。なおコンポーネントが「ログ管理ソフト」であるアプリケーションの「プロセス名」は、アプリケーションの生存監視を行うために利用される。

評価指示装置３００の構成情報３０１に含まれるコンポーネント一覧情報３０１Ａのデータ構造については、上述のコンポーネント一覧情報１０１Ａのデータ構造と同様であるため、ここでの説明は省略する。

図４は、情報取得装置１００の構成情報１０１に含まれるトポロジー情報１０１Ｂの論理構造を示す。トポロジー情報１０１Ｂは、評価対象システム１０の設計情報であり、評価対象システム１０の設計時又は構築時に開発者又は管理者に入力されることで初期化される情報である。

トポロジー情報１０１Ｂは、構成機器２００が評価対象システム１０内の「どこに存在」するのかを示す情報である。具体的には、トポロジー情報１０１Ｂは、構成機器２００の機器番号、通信アドレス、通信セグメント及び通信セグメントの用途を示す情報を含む情報である。

従って図４の場合、例えば機器番号が「ｍ０００００１」であり用途が「ＯＡ用ＰＣ」である構成機器２００は、通信アドレスが「ＸＹＺ」であり、通信セグメントが「セグメント１」であり、通信セグメントの用途は「情報ネットワーク」であることが示されている。なおトポロジー情報１０１Ｂは、例えば標準技術であるＵＭＬ（Unified Modeling Language）及びＳｙｓＭＬ（Systems Modeling Language）により制御部１１１が読み取り可能な形式で記述されるとしてもよい。

評価指示装置３００の構成情報３０１に含まれるトポロジー情報３０１Ｂのデータ構造については、上述のトポロジー情報１０１Ｂのデータ構造と同様であるため、ここでの説明は省略する。

図５は、情報取得装置１００の取得対象情報１０２のデータ構造を示す。取得対象情報１０２は、評価対象システム１０の構成情報として取得すべき情報及びその取得方法の情報であり、評価対象システム１０の設計時又は構築時に開発者又は管理者に入力されることで初期化される情報である。

取得対象情報１０２は、取得情報番号欄１０２１、取得対象欄１０２２、取得情報欄１０２３、取得方法欄１０２４及び保存情報欄１０２５から構成される。

取得情報番号欄１０２１には、取得された情報の識別子が格納される。

取得対象欄１０２２には、情報の取得先を示す情報が格納される。例えば取得対象欄１０２２には、構成機器２００の機器番号「ｍ０００００１」、情報の取得先が全ての構成機器２００であることを示す「全機器」、情報の取得先が特定の機器カテゴリであることを示す「ＯＡ用ＰＣ」、情報の取得先が特定のコンポーネントカテゴリであることを示す「ＯＳ」、情報の取得先が特定の通信セグメントであることを示す「セグメント１」、情報の取得先が特定の通信セグメントのカテゴリであることを示す「情報ネットワーク」等が格納される。また取得対象欄１０２２には、これら複数の取得先が組み合わされた情報が格納されるとしてもよい。

取得情報欄１０２３には、取得先から取得すべき情報であって、構成機器２００の状態に関する情報である取得情報が格納される。

取得方法欄１０２４には、情報の取得方法を示す情報が格納される。

保存情報欄１０２５には、情報の取得先から取得した情報の取り扱い内容を示す情報が格納される。

従って図５の場合、取得情報番号が「ｉ００１」の情報は、「全機器」から取得される情報であり、取得される情報の内容は「ＯＳ名称とバージョン値に変更」があるか否かを示す情報であり、取得方法は「各対象機器内のファイルパス：……にアクセスして現在の値を取得し、構成情報の値と比較」であり、取得した情報の取り扱いは「取得したバージョン値に変更があればその値で更新」であることが示されている。

図６は、評価指示装置３００の評価項目３０２のデータ構造を示す。評価項目３０２は、評価対象システム１０の設計時又は構築時に開発者又は管理者に入力されることで初期化される情報である。

評価項目３０２は、評価項目番号欄３０２１、評価内容欄３０２２及び再調査実施条件欄３０２３から構成される。

評価項目番号欄３０２１には、評価項目の識別子が格納される。

評価内容欄３０２２には、安全性の評価内容を示す情報が格納される。なお評価内容欄３０２２に格納される安全性の評価内容を示す情報が機械可読な評価式として記述可能であれば、取得した情報を用いて評価式を評価することにより、機械的に安全性を評価することができる。これにより管理者に安全性の再調査が必要であることを通知するだけでなく、機械的に安全性の評価結果そのものを通知することができるため、管理者の再調査にかかる手間を削減することができる。

再調査実施条件欄３０２３には、評価対象システム１０の安全性の再調査を実施すべきか否かを評価するための評価式が格納される。

従って図６の場合、評価項目番号が「ｖ００１」の評価項目の評価内容は「ログサーバの実行プロセスが存在するか」という評価内容であり、この評価内容について再調査をすべきか否かを評価する際の評価式は、「ｎｏｔ｛（機器カテゴリ＝ログサーバの機器が存在）ａｎｄ（その機器に、その機器のコンポーネントカテゴリ＝ログ管理ソフトのプロセス名の値のプロセスが存在する）｝」であることが示されている。なおこの評価式は、機器カテゴリがログサーバの構成機器２００が存在すること、かつ、コンポーネントカテゴリにログ管理ソフトが含まれる、という条件を満たさない場合には、再調査を実施すべきであると評価される。この場合、管理者にシステムの安全性を再調査すべき旨が通知されることになる。

（１−４）画面構成
図７は、評価結果通知部３０５により安全性評価の評価結果が通知される際の画面構成３０５Ａを示す。

画面構成３０５Ａは、メッセージ欄３０５１Ａ、評価項目番号欄３０５２Ａ、評価内容欄３０５３Ａ及び関連情報欄３０５４Ａから構成される。

メッセージ欄３０５１Ａには、安全性の再調査が必要である旨の文章又は再調査が必要でない旨の文章が表示される。評価項目番号欄３０５２Ａには、評価項目ごとに予め定められた識別子が格納される。評価内容欄３０５３Ａには、安全性の評価内容を示す情報が格納される。関連情報欄３０５４Ａには、安全性評価を行うために用いた情報の取得先である機器番号の情報が格納される。

従って図１０の場合、「システムの構成・設定に変更が検知されました。下記の項目について点検してください。」というメッセージが通知されることにより、管理者は評価対象システム１０の安全性を再調査する必要があることを知ることができる。また安全性を再調査するために必要な情報として、評価項目番号、評価内容及び関連情報が通知される。管理者は安全性を再調査するに際し、どの構成機器２００に関してどのような内容を再調査すればよいかを知ることができる。よって、評価対象システム１０の安全性を保持することができるとともに、再調査にかかる時間及びコストを大幅に削減することができる。

（１−５）安全性評価に関する処理手順
図８は、第１のタイミング決定処理の処理手順を示す。この第１のタイミング決定処理は、評価対象システム１０の安全性を再調査する必要があるか否かの判断を定期的に判断するために実行される処理であり、情報取得装置１００の制御部１１１により実行される処理である。

まず制御部１１１は、予め定められた所定時刻に到達したか否か、または、予め定められた一定時間が経過したか否かを判断する（ＳＰ１）。

制御部１１１は、この判断で否定結果を得ると、ステップＳＰ１に移行する。これに対し、制御部１１１は、ステップＳＰ１の判断で肯定結果を得ると、再調査必要性判定処理を実行して（ＳＰ２）、この第１のタイミング決定処理を終了する。なおこの再調査必要性判定処理は、図１０において後述するように、安全性を再調査する必要があるか否かを判定し、その判定結果を管理者に通知する処理である。

図９は、第２のタイミング決定処理の処理手順を示す。この第２のタイミング決定処理は、評価対象システム１０の安全性を再調査する必要があるか否かを非定期的に判断するために実行される処理であり、情報取得装置１００の制御部１１１により実行される処理である。

まず制御部１１１は、評価指示装置３００から送信された取得要求を受信したか否かを判断する（ＳＰ１１）。

なお評価指示装置３００から送信される取得要求とは、構成機器２００に関する情報の取得要求である。

制御部１１１は、この判断で否定結果を得ると、評価指示装置３００から送信された取得要求を受信するまで待機する。

これに対し、制御部１１１は、ステップＳＰ１１の判断で肯定結果を得ると、再調査必要性判定処理を実行して（ＳＰ１２）、この第２の安全性評価タイミング決定処理を終了する。なおこの再調査必要性判定処理は、図１０において後述するように、安全性の再調査が必要か否かを判定し、その判定結果を管理者に通知する処理である。

図１０は、再調査必要性判定処理の処理手順を示す。この安全性再調査必要判定処理は、情報取得装置１００の制御部１１１及び評価指示装置３００の制御部３１１により実行される。

まず情報取得装置１００の制御部１１１は、コンポーネント一覧情報１０１Ａ及び取得対象情報１０２に基づいて、情報を取得すべき取得先の構成機器の一覧情報を取得する（ＳＰ２１）。

具体的には、制御部１１１は、コンポーネント一覧情報１０１Ａに含まれる機器番号、機器カテゴリ又はコンポーネントカテゴリの情報と、取得対象情報１０２に含まれる取得対象の情報とに基づいて、情報を取得するためにアクセスすべき取得先の機器番号の一覧情報を取得する。

次いで制御部１１１は、ステップＳＰ２１で取得した機器番号の一覧情報及びトポロジー情報１０１Ｂに基づいて、ステップＳＰ２１で取得した機器番号の通信アドレスを取得し、取得した通信アドレス及び取得対象情報１０２に含まれる取得方法に基づいて、ステップＳＰ２１で取得した機器番号の構成機器２００にアクセスして取得対象情報１０２の取得情報欄１０２３に格納する取得情報を取得する（ＳＰ２２）。

次いで制御部１１１は、ステップＳＰ２２で取得した取得情報及び保存情報欄１０２５に格納されている情報に基づいて、コンポーネント一覧情報１０１Ａのコンポーネント情報欄１０１４Ａの情報を更新する（ＳＰ２３）。

次いで制御部１１１は、ステップＳＰ２２で取得した取得情報を評価指示装置３００に送信する（ＳＰ２４）。

評価指示装置３００の制御部３１１は、情報取得装置１００から送信された取得情報を受信する（ＳＰ２５）。

制御部３１１は、ステップＳＰ２５で受信した取得情報及び構成情報３０１を評価項目３０２の再調査実施条件欄３０２３に格納された条件に適用し、ひとつも真になる条件式が存在しないか否かを判断する（ＳＰ２６）。

制御部３１１は、この判断で肯定結果を得ると、評価対象システム１０の安全性を再調査する必要がないと判断して（ＳＰ２７）、この再調査必要性判定処理を終了する。なお制御部３１１は、このステップＳＰ２７の処理において、安全性を再調査する必要がない旨を管理者に通知してもよい。

これに対し、制御部３１１は、ステップＳＰ２６の判断で否定結果を得ると、評価項目３０２の評価内容欄３０２２に格納されている評価内容を計算して安全性を評価する（ＳＰ２８）。

なおこのステップＳＰ２８の処理により、機械的に評価可能な安全性評価項目については人間系を介することなく安全性を再調査することができる。

次いで制御部３１１は、ステップＳＰ２８で評価した評価結果及び評価対象システム１０の安全性を再調査する必要がある旨を管理者に通知して（ＳＰ２９）、この再調査必要性判定処理を終了する。

（１−６）第１の実施の形態の効果
以上のように、第１の実施の形態による安全性評価システム１によれば、評価対象システム１０の安全性に影響を与える可能性のある構成情報が変更された場合、管理者に速やかに通知することができる。よって管理者は速やかに安全性を再調査することができる。そして評価対象システム１０の安全性を保持することができる。

また第１の実施の形態による安全性評価システム１によれば、安全性を再調査すべきコンポーネントの情報を管理者に通知することができる。よって管理者は再調査に費やす時間や手間を大幅に削減することができる。

（２）第２の実施の形態
第２の実施の形態では、複数の情報取得装置が接続された場合の安全性評価システムについて説明する。以下、第２の実施の形態における説明では、第１の実施の形態と同様の構成についてはその説明を省略し、異なる構成についてのみ説明する。

（２−１）安全性評価システムの構成
図１１において、１Ａは全体として第２の実施の形態による安全性評価システム１Ａを示す。この安全性評価システム１Ａは、評価対象システム１０Ａ及び評価指示装置３００Ａを備えて構成される。

評価対象システム１０Ａは、第１の情報取得装置１００Ａ及び第２の情報取得装置２００Ａから構成され、これらは互いにネットワークＮ１Ａにより接続される。

第１の情報取得装置１００Ａは、評価対象システム１０Ａ内の部分システムである第１の部分システム１０００Ａのみを対象に情報を取得する。

第２の情報取得装置２００Ａは、評価対象システム１０Ａ内の部分システムである第２の部分システム２０００Ａを対象に情報を取得するとともに、第１の部分システム１０００Ａ及び第２の部分システム２０００Ａの両者にまたがる情報をも対象に情報を取得する。

第１の部分システム１０００Ａ及び第２の部分システム２０００Ａの両者にまたがる情報とは、例えば「第１の部分システム１０００Ａ内の構成機器から第２の部分システム２０００Ａ内の構成機器に対する通信が遮断されること」のような情報である。

第２の情報取得装置２００Ａは、第１の情報取得装置１００Ａに対しては評価指示装置として振る舞うことにより、第２の情報取得装置２００Ａが取得する情報を取得することができる。これは、例えば後述する図１２に示す取得対象情報１０２Ａを記述することで容易に実現できる。

（２−２）データ構造
図１２は、第１の情報取得装置１００Ａの取得対象情報１０２Ａのデータ構造を示す。取得対象情報１０２Ａは、情報の取得先として構成機器２００の機器番号だけでなく、他の情報取得装置の機器番号を含む点で、第１の実施の形態における取得対象情報１０２（図５）とは異なる。例えば図１２の場合、取得対象欄１０２２Ａには、第１の情報取得装置１００Ａの機器番号が格納されていることが示されている。

（２−３）第２の実施の形態の効果
以上のように、第２の実施の形態による安全性評価システム１Ａによれば、評価対象システム１０Ａの構成情報を第１の情報取得装置１００Ａ及び第２の情報取得装置２００Ａのそれぞれで分担して保持することができる。よって、第１の情報取得装置１００Ａ及び第２の情報取得装置２００Ａにかかる処理負担を軽減することができる。

また、第２の実施の形態による安全性評価システム１Ａによれば、第１の部分システム１０００Ａが単一の構成機器とする構成も可能である。この場合、情報取得のための通信発生回数を抑制することができる。

（３）第３の実施の形態
第３の実施の形態では、複数の情報取得装置と複数の評価指示装置とが接続されて構成される安全性評価システムについて説明する。以下、第３の実施の形態における説明では、第１の実施の形態と同様の構成についてはその説明を省略し、異なる構成についてのみ説明する。

（３−１）安全性評価システムの構成
図１３において、１Ｂは全体として第３の実施の形態による安全性評価システム１Ｂを示す。この安全性評価システム１Ｂは、評価対象システム１０Ｂ、評価指示装置３００Ｂ及び４００Ｂを備えて構成される。

評価対象システム１０Ｂは、地理的に広域にわたるシステムであり、情報取得装置１００Ｂから構成される。

情報取得装置１００Ｂは、ネットワークＮ１Ｂ及びＮ２Ｂを介して、拠点Ａに設置される評価指示装置３００Ｂ及び拠点Ｂに設置される評価指示装置４００Ｂのそれぞれに接続される。

この安全性評価システム１Ｂにおける管理者は、拠点Ａ及び拠点Ｂごとにそれぞれ存在し、それぞれが対応する評価指示装置３００Ｂ又は評価指示装置４００を利用して、評価対象システム１０Ｂの安全性管理を行う。

（３−２）データ構造
図１４は、コンポーネント一覧情報１０１ＡＡのデータ構造を示す。コンポーネント一覧情報１０１ＡＡは、調査結果通知対象欄１０１３ＡＡを備えて構成される点で、第１の実施の形態におけるコンポーネント一覧情報１０１Ａとは異なる。

調査結果通知対象欄１０１３ＡＡには、調査結果を通知すべき対象の評価指示装置の識別子が格納される。

従って図１４の場合、例えば機器番号が「ｍ０００００１」の機器は、用途が「ＯＡ用ＰＣ」であり、この機器が利用するコンポーネントは「ＯＳ」であり、このコンポーネントの状態はＯＳの名称が「ｈｏｇｅ」、ＯＳのバージョンが「１．１」、ＯＳに適用されているパッチが「ｈｏｇｅ０１」及び「ｈｏｇｅ０２」であり、この危機に関する安全性評価の調査結果は「評価指示装置Ａ」に通知すべきことが示されている。

（３−３）第３の実施の形態の効果
以上のように、第３の実施の形態による安全性評価システム１Ｂによれば、評価対象システム１０Ｂが地理的に広範にわたるものである場合に、それぞれの拠点ごとに調査すべき内容をそれぞれの拠点ごとの管理者に通知することができる。

また第３の実施の形態による安全性評価システム１Ｂによれば、それぞれの拠点ごとに専門分野の異なる複数の管理者が存在する場合、管理者ごとに必要な情報を振り分けて通知することができる。

（４）他の実施の形態
上述してきた実施の形態において、情報取得装置１００は、構成情報１０１及び取得対象情報１０２を備えて構成されるとしたが、必ずしもこれに限らず、例えば情報取得装置１００は、ネットワークを介して、外部データベースが保持する構成情報１０１及び取得対象情報１０２を取得するとしてもよい。この場合、特に構成情報１０１については、評価指示装置３００と共有することができ、管理コストや運用コストを低減させることができる。

１０ 評価対象システム
１００ 情報取得装置
１０１ 構成情報
１０２ 取得対象情報
１０３ 情報取得部
１１１ 制御部
２００ 構成機器
２１１ 制御部
３００ 評価指示装置
３０１ 構成情報
３０２ 評価項目
３１１ 制御部
１０１Ａ コンポーネント一覧情報
１０１Ｂ トポロジー情報
１０２ 取得対象情報
３０２ 評価項目

Claims (12)

1. 複数の構成機器を有する制御システムの安全性を評価する安全性評価システムにおいて、
   前記安全性評価システムは、
   前記複数の構成機器から前記構成機器の構成に関する情報である構成情報を取得し、取得した構成情報に基づいて、前記構成機器の状態に関する情報である取得情報を取得する情報取得装置と、
   前記情報取得装置から前記構成情報及び前記取得情報を取得する評価指示装置と
   を備え、
   前記情報取得装置は、
   予め定められたタイミングに基づいて、前記構成情報及び前記取得情報を前記評価指示装置に出力し、
   前記評価指示装置は、
   前記情報取得装置から出力された前記構成情報及び前記取得情報と、予め定められた再調査実施条件とに基づいて、安全性を再調査すべきか否かを判断し、再調査する必要がある場合には、再調査する必要がある旨を通知するとともに、安全性評価の内容を示す情報及び再調査に必要な関連情報を通知する
   ことを特徴とする安全性評価システム。
2. 前記情報取得装置は、
   前記取得情報を取得するための取得方法の情報を予め保持し、予め保持する取得方法の情報に基づいて、前記取得情報を取得する
   ことを特徴とする請求項１に記載の安全性評価システム。
3. 前記情報取得装置は、
   予め定められた時刻に到達した時点、予め定められた一定時間が経過した時点、または、前記評価指示装置からの取得要求を受信した時点のうちの何れかのタイミングに基づいて、前記構成情報及び前記取得情報を前記評価指示装置に出力する
   ことを特徴とする請求項１に記載の安全性評価システム。
4. 前記評価指示装置は、
   安全性を再調査すべきか否かを判断し、再調査する必要がない場合には、再調査をする必要がない旨のみを通知する
   ことを特徴とする請求項１に記載の安全性評価システム。
5. 前記評価指示装置は、
   表示画面又は電子メールにより通知する
   ことを特徴とする請求項１に記載の安全性評価システム。
6. 前記評価指示装置は、
   安全性を再調査すべきか否かを判断し、再調査する必要がある場合には、前記安全性評価の内容に基づいて、安全性を再調査する
   ことを特徴とする請求項１に記載の安全性評価システム。
7. 複数の構成機器を有する制御システムの安全性を評価する安全性評価システムの安全性評価方法において、
   前記安全性評価システムは、
   前記複数の構成機器から前記構成機器の構成に関する情報である構成情報を取得し、取得した構成情報に基づいて、前記構成機器の状態に関する情報である取得情報を取得する情報取得装置と、
   前記情報取得装置から前記構成情報及び前記取得情報を取得する評価指示装置と
   を備え、
   前記情報取得装置が、
   予め定められたタイミングに基づいて、前記構成情報及び前記取得情報を前記評価指示装置に出力する第１のステップと、
   前記評価指示装置が、
   前記情報取得装置から出力された前記構成情報及び前記取得情報と、予め定められた再調査実施条件とに基づいて、安全性を再調査すべきか否かを判断し、再調査する必要がある場合には、再調査する必要がある旨を通知するとともに、安全性評価の内容を示す情報及び再調査に必要な関連情報を通知する第２のステップと
   を備えたことを特徴とする安全性評価方法。
8. 前記第１のステップにおいて、
   前記情報取得装置は、
   前記取得情報を取得するための取得方法の情報を予め保持し、予め保持する取得方法の情報に基づいて、前記取得情報を取得する
   ことを特徴とする請求項７に記載の安全性評価方法。
9. 前記第１のステップにおいて、
   前記情報取得装置は、
   予め定められた時刻に到達した時点、予め定められた一定時間が経過した時点、または、前記評価指示装置からの取得要求を受信した時点のうちの何れかのタイミングに基づいて、前記構成情報及び前記取得情報を前記評価指示装置に出力する
   ことを特徴とする請求項７に記載の安全性評価方法。
10. 前記第２のステップにおいて、
    前記評価指示装置は、
    安全性を再調査すべきか否かを判断し、再調査する必要がない場合には、再調査をする必要がない旨のみを通知する
    ことを特徴とする請求項７に記載の安全性評価方法。
11. 前記第２のステップにおいて、
    前記評価指示装置は、
    表示画面又は電子メールにより通知する
    ことを特徴とする請求項７に記載の安全性評価方法。
12. 前記第２のステップにおいて、
    前記評価指示装置は、
    安全性を再調査すべきか否かを判断し、再調査する必要がある場合には、前記安全性評価の内容に基づいて、安全性を再調査する
    ことを特徴とする請求項７に記載の安全性評価方法。
    
    
    
    

Images