JP6687782B2 - サイバー防御 - Google Patents

Description

本願は、米国特許法第１１９条（ｅ）の下、開示が参照により本明細書に組み込まれている、２０１３年１１月１日に出願した米国仮出願第６１／８９８，４８７号の利益を主張するものである。

本発明の実施例は、サイバー攻撃に対してインフラ設備を保護する方法に関する。

以下インフラ施設と総称して呼ばれる、発電所、水処理施設、並びに、石油及びガス・パイプライン配管システムなどの現代のインフラ設備は、現代社会を適正に機能させるために不可欠な大量の資源を製造する、制御する、及び／又は、分配する複合施設である。それぞれのインフラ施設は、典型的には、人間オペレータと、自動化機器、モニタリング・システム、及び、モニタリング・システムと人間オペレータによってもたらされるデータに応答して機器を制御するように協働するコンピュータのネットワークの統合システムとの入り組んだ関係を含む複雑な環境を具現する。コンピュータ、モニタリング・システム、機器、及びオペレータは、有線通信装置及び無線通信装置両方を備えることができる通信ネットワークを介して通信する。コンピュータ並びに該コンピュータが実行する命令セット及び該コンピュータがアクセスする情報システム、モニタリング・システム、及び、通信ネットワークは、従来、監視制御及びデータ取得（ＳＣＡＤＡ：ｓｕｐｅｒｖｉｓｏｒｙ ｃｏｎｔｒｏｌ ａｎｄ ｄａｔａ ａｃｑｕｉｓｉｔｉｏｎ）システムと呼ばれる。ＳＣＡＤＡには、コンソール、キーボード、及び、音声認識制御機器といったヒューマン・マシン・インターフェース（ＨＭＩ：ｈｕｍａｎ ｍａｃｈｉｎｅ ｉｎｔｅｒｆａｃｅ）機器を介して人間オペレータがアクセスする。

１つのあるインフラ施設は、小さな町又は町の一部といった比較的限られた地理的範囲を有する場合がある施設サービス地区の人々に、又は、大都市、市郡又は州といった比較的拡大された地理的地域の人々に、サービス及び資源を提供することができる。一般的に、インフラ施設は、協働し、且つ、協働するインフラ施設のうちの１つのサービス地区を越えて拡大する非常に広い地理的地域における人々にサービス及び資源を提供するように統合される。

例えば、１つの発電所は近隣全体又は市全体の人々に電力を提供できるが、複数の発電所は、州を含む一国の一地域、又は、国の２つ以上の州における人々に電力を提供する送電網を形成するように統合される場合がある。そして、複数の発電所は、一国に、又は、１つの国の境界を越えて拡大する地理的地域に電力を提供する相互依存の発電所の送電網を提供するように統合される場合がある。例えば、ケベック系統連系（Ｉｎｔｅｒｃｏｎｎｅｃｔｉｏｎ）と呼ばれる送電網は、ケベックのカナダ行政区及び米国北東部に電力を提供する。西部系統連系及び東部系統連系の送電網はそれぞれ、米国西部の州及び米国南東部の州に電力を提供する。インド電力系統は、５つの広範な領域の送電網に分割される。１つの広範な送電網は、欧州大陸の大部分に電力を提供する。

さまざまな発電所及び送電網は、莫大な価値のある物理的且つ経済的資産を集中させ、それらを使用及び制御し、それらの機能又は資産に対する崩壊及び／又は損害は、国家経済及び世界経済への実質的な経済的損害及び物理的損害を引き起こし、さらには人命の損失につながる。例えば、２００３年大停電と呼ばれる電源喪失は、カナダ及び米国の北東部の約５５００万人を約４時間電力がない状態にした。「短い」４時間の大停電では、約６０億ドルの損害が出たと推定される。

該大停電は、オハイオのＦｉｒｓｔＥｎｅｒｇｙ社の警報システムにおけるソフトウェアのバグによって引き起こされた。該バグは、農村地区の過負荷の送電線がたわみ、木に当たってフラッシュオーバーを生じさせて、たわんでいる送電線による電力供給が停止となった後に送電線電力を再分配するようにオペレータに警告するための警報器を発せられないようにした。電力供給停止の電線によって連鎖的な障害がもたらされ、他の送電線は連続して過負荷になり、急激に電力供給を停止し、大停電が生じた。

２００３年大停電は不測のものであったが、発電所及び送電網などの電力施設は、巧妙化及び深刻さの程度の差はあっても、サイバー攻撃による故意の損害を被っている。サイバー攻撃は、電力施設の動作に損害を与える場合があるさまざまなタイプの攻撃に対して該施設を制御するＳＣＡＤＡシステムの脆弱性を利用することによって、該施設に対して損害を与えようと試みる。サイバー攻撃は、コンピュータ命令セット、当該命令セットの実行、該命令セットの実行によって処理されるデータ、並びに／又は、コンピュータが、コンピュータ間で、コンピュータが制御する機器と及び／若しくは外部の世界と通信する方法を危険にさらすことを対象にしている場合がある。サイバー攻撃の例は、サービスの否定、作業員からの誤った要求又は作業員への誤った情報の送信、データベース及び／又は機器への偽のデータの入力、施設の機器の不正な動作、通信の崩壊、並びに、スタックスネット・コンピュータ・ワームといったマルウェアによる命令セット破損を含む。

施設を保護するために、オペレータは、さまざまなセキュリティ手順を実行し、サイバー攻撃を防止し及び／又はその結果を軽減するように設計されるさまざまな技術をインストールする。しかしながら、サイバー攻撃を巧妙に作り上げる、個人、組織及び国家が容易に利用可能な場合が多い、施設の複雑さ、並びに技術的資源及び財源は、種々の形及び有害さのサイバー攻撃について無数の可能なシナリオを可能にする。その結果、電力施設にとって適切な保護を構成することは、典型的にはさまざまな側面を持つセキュリティ問題に対処する必要があり、且つ、一般的に繰り返し再考する必要がある困難なタスクである。展開されるセキュリティ手順及び技術は、絶え間なく目立たないところで繰り返される、比較的低いレベルで小規模のサイバー攻撃に施設が規則的にさらされることに対処するのに比較的効果的であるように思われるが、不可能ではないにしても、例えば、高影響低頻度（ＨＩＬＦ：ｈｉｇｈ ｉｍｐａｃｔ ｌｏｗ ｆｒｅｑｕｅｎｃｙ）の「非常にまれな（ｂｌａｃｋ ｓｗａｎ）」サイバー・イベントに対する有効性を予測することは難しい。

本発明の一実施例の一態様は、インフラ施設に対するサイバー攻撃を防止し及び／又はその結果を軽減するための、以下「サイバー防護」技術と総称して呼ばれる、ソフトウェア及びハードウェア技術、プロトコル並びにシステムを開発する方法を提供することに関する。本発明の一実施例では、インフラ施設は電力施設を含む。オプションとして、該方法は、サイバー攻撃の予想の改良を促進する。

本発明の一実施例の一態様は、「実際の」電力施設の動作を模倣する電力施設の動作モデルを含むシミュレーション施設を提供することに関する。当該シミュレーション施設において及び当該施設と、人はサイバー防護技術を生成するために相互に作用する。施設モデルと呼ばれる場合がある動作モデルは、実際の電力施設における機器に対応し且つ該機器と同様に動作する実際の及び／又は仮想機器を含む。

本発明の一実施例の一態様は、人がシミュレーション施設において且つ該施設と相互に作用することによる「相互作用フォーマット」を構成することに関する。

本発明の一実施例の相互作用フォーマットにおいて、第１のチーム及び第２のチームの人には、サイバー防護技術を生成するためにシミュレーション施設へのアクセスが与えられる。以下「シミュレーション攻撃エージェント」とも呼ばれる第１のチームの人は、施設モデルの動作を崩壊するために施設モデルに対するサイバー攻撃を開始しようと試みるように命令される。以下「シミュレーション防御エージェント」とも呼ばれる第２のグループの人は、サイバー攻撃に対して施設モデルを防御し、且つ、施設モデルの通常の動作を維持するように命令される。

本発明の一実施例の一態様は、互いに競合するシミュレーション攻撃エージェント及びシミュレーション防御エージェントのアクティビティをモニタリングすること、並びに、サイバー戦略を実装し及び／又は作成して、それぞれ、該アクティビティの犯罪科学的記録を取得するために施設モデルの機能を崩壊し且つ該機能の崩壊を妨害することに関する。犯罪科学的記録は、施設モデル及び実際の施設にサイバー防護技術を提供するために後述されるように処理されてよい。

犯罪科学的記録は、施設モデルに対する攻撃を開始する際にシミュレーション攻撃エージェントによって取られる行動、及び、攻撃並びに攻撃及び防御対策の結果に対して施設モデルを防御する際に防御エージェントによって取られる防御対策の時間的履歴を含むことができる。シミュレーション攻撃エージェント及びシミュレーション防御エージェントのアクティビティをモニタリングすることは、該エージェントのＨＭＩアクティビティをモニタリングすることを含むことができる。ＨＭＩアクティビティをモニタリングすることは、オプションとして、サイバー攻撃を開始する、及び／又は、サイバー攻撃に対して保護するための防御コンピュータ命令セットを連動させる及び使用するために、シミュレーション・エージェントのキーボードの使用を追跡するためにキーストローク・ロギングすることを含む。ＨＭＩアクティビティのモニタリングは、オプションとして、エージェントの視線方向を追跡し且つシミュレーション・エージェントの注視点（ＰＯＲ：ｐｏｉｎｔｓ ｏｆ ｒｅｇａｒｄ）及びディスプレイの特徴間のＰＯＲの移動を判断するための視標追跡技術を用いることによって、コンピュータ映像ディスプレイとのシミュレーション・エージェントの相互作用をモニタリングすることを含むことができる。オプションとして、シミュレーション・エージェントのアクティビティをモニタリングすることは、例えば、関心事、ストレス及び／又は警戒のレベルの指示をもたらすために、エージェントの生理的特徴をモニタリングすることを含む。

本発明の一実施例の一態様は、シミュレーション攻撃エージェントによって開始されるサイバー攻撃に対して施設モデルを保護する際に使用するためにサイバー攻撃認識、警告、並びに応答システム及び／又はプロトコルを提供するように、及びオプションとして、実際の攻撃エージェントによって開始されるサイバー攻撃に対して実際の電力施設を保護するように、犯罪科学的記録におけるデータを処理することに関する。システム及び／又はプロトコルを提供することは、オプションとして、サイバー攻撃及びサイバー防御を識別し且つ特徴付けるデータを含む、以下サイバー攻撃及び防御データベース（ＣＹＢＡＤ：ｃｙｂｅｒ ａｔｔａｃｋ ａｎｄ ｄｅｆｅｎｓｅデータベース）とも呼ばれるデータベースを生成するために犯罪科学的データを処理することを含む。

本発明の一実施例では、サイバー攻撃は、特徴ベクトルによってＣＹＢＡＤにおいて識別され且つ特徴付けられる。サイバー攻撃特徴ベクトルの構成要素は、オプションとして、実際の電力施設における機器に対応する電力施設モデルにおける実際の機器及び仮想機器の性能を測定するパラメータの値を符号化する。オプションとして、特徴ベクトル構成要素は、例として、発電所のＳＣＡＤＡシステムにおけるノード、一組のタービンの温度、及び／又は遮断器過電流定格の最終設定時間の特定の一覧の間で伝送されるデータについての伝送遅延及び／又はパケット損失の測定値の値を含む。オプションとして、サイバー攻撃特徴ベクトルは、サイバー攻撃を特徴付ける攻撃ツリーを符号化する。

本発明の一実施例では、少なくとも１つのステータス特徴ベクトルは、施設モデル、オプションとして、実際の電力施設に関して定義される。少なくとも１つのステータス特徴ベクトルは、施設モデル又は実際の施設がサイバー攻撃を受ける確率を認識し且つ示すために使用可能である構成要素を含み、繰り返し再評価される。オプションとして、所定の時間での攻撃の確率の認識は、所定の時間のステータス・ベクトルとＣＹＢＡＤデータベースに含まれる特徴ベクトルとのスカラー積に応答して判断される。

本発明の一実施例では、サイバー攻撃を防止する及び／又はその影響を最小限に抑えるための防御戦略は、ＣＹＢＡＤデータベースにおいて「防御特徴ベクトル」で識別され且つ特徴付けられる。あるサイバー攻撃への対抗手段は、サイバー攻撃特徴ベクトルと防御特徴ベクトルとのスカラー積の値に応答して判断されてよい。

本発明の一実施例では、システム及び／又はプロトコルは、ＣＹＢＡＤデータベースに含まれるデータ上でトレーニングされるニューラル・ネットワークによって構成され且つ実行される。

従って、本発明の一実施例に従って、実際のインフラ施設の動作の少なくとも一部を模倣し、実際のインフラ施設における機器の動作に対応し且つそれを模倣する機器を含む、実際のインフラ施設の動作物理施設モデルと、施設モデルに対するサイバー攻撃を開始する際に人が使用するための攻撃ツールウェアと、攻撃ツールウェアを使用して開始されるサイバー攻撃に対して施設モデルを動作させ且つ防御する際に人が使用するための動作及び管理ツールウェアと、メモリを有し、且つ、施設モデル上で開始されるサイバー攻撃、及び、サイバー攻撃に対して施設モデルを防御するために取られる防御戦略の犯罪科学的記録を取得し且つメモリに記憶するように動作可能なコントローラと、を含むサイバー・シミュレーション施設が提供される。

オプションとして、施設モデルにおける機器は物理的機器を含む。或いは又はさらには、施設モデルにおける機器は仮想機器を含むことができる。

本発明の一実施例では、サイバー・シミュレーション施設は、施設モデルにおける機器の機能に関連している又はこれを示す動作ステータス・データを取得するコレクタ・エージェントを含む。オプションとして、コントローラは、動作ステータス・データを受け取り、犯罪科学的記録の一部として動作ステータス・データをメモリに記憶する。サイバー・シミュレーション施設は、オプションとして、犯罪科学的記録におけるデータを処理して、複数のコレクタ・エージェントのそれぞれによって提供される動作ステータス・データに応答した値を有する構成要素を含む動作ステータス・ベクトルを生成するモデル製作モジュールを含む。

本発明の一実施例では、サイバー・シミュレーション施設は、施設モデルに対するサイバー攻撃を開始するために攻撃ツールウェアを使用する、又は、サイバー攻撃に対して施設モデルを動作させ且つ防御するために動作及び管理ツールウェアを使用する人のアクティビティを示すデータを取得する人間アクティビティ・センサを含む。オプションとして、コントローラは、人間アクティビティ・センサによって取得されるデータを受け取り、且つ、受け取ったデータを犯罪科学的記録の一部としてメモリに記憶する。本発明の一実施例では、サイバー・シミュレーション施設は、複数の人間アクティビティ・センサのそれぞれによって提供されるデータに応答した値を有する構成要素を有する動作ステータス・ベクトルを生成するために、犯罪科学的記録におけるデータを処理するモデル製作モジュールを含む。

本発明の一実施例では、モデル製作モジュールは、動作ステータス・ベクトルが、所定の時間で、施設モデルがサイバー攻撃下にあることを示しているかどうかを判断するために動作ステータス・ベクトルに応答する少なくとも１つの分類子を定義する。オプションとして、少なくとも１つの分類子はサポート・ベクトル分類子を含む。或いは又はさらには、少なくとも１つの分類子はニューラル・ネットワークを含む。

本発明の一実施例に従って、実際のインフラ施設がさらに提供され、該実際のインフラ施設は、サイバー攻撃に対して該実際のインフラを防御するために本発明の一実施例によるサイバー・シミュレーション施設によって提供される犯罪科学的記録を使用するように構成される。

本発明の一実施例に従って、実際のインフラ施設がさらに提供され、該実際のインフラ施設は、該実際の施設がサイバー攻撃下にあるかどうかを判断するために本発明の一実施例による分類子を使用するように構成される。

本発明の一実施例では、実際のインフラ施設は発電所を含む。

本発明の一実施例に従って、サイバー攻撃に対してインフラ施設を防御するための戦略を開発する方法であって、サイバー・シミュレーション施設のインフラ施設モデルに対するサイバー攻撃を開始し且つこれに対して防御するためにサイバー・シミュレーション施設におけるツールウェアを使用する人に応答して、本発明の一実施例によるサイバー・シミュレーション施設によって提供される犯罪科学的記録を取得することと、サイバー攻撃に対してインフラ施設を防御するための防御戦略を生成するために犯罪科学的記録におけるデータを処理することと、を含む方法がさらに提供される。

論述の中で、別段述べられない限り、本発明の一実施例の特徴（複数可）に特有の条件又は関係を修正する「実質的に」及び「約」などの形容詞は、該条件又は特性が対象とする応用についての実施例の動作にふさわしい許容範囲内に定められることを意味すると理解される。別段示されない限り、明細書及び特許請求の範囲における用語「又は」は、排他的な「又は」ではなく包括的な「又は」であると考えられ、等位結合させる項目の少なくとも１つ又は任意の組み合わせを示す。

この「発明の概要」は、「発明を実施するための形態」においてさらに後述される簡略した形で概念の選択を導入するために提供される。この「発明の概要」は、特許請求される主題の重要な特徴又は基本的な特徴を識別することを意図するものではなく、特許請求される主題の範囲を限定するための使用を意図するものでもない。

本発明の実施例の非限定的な実例は、この段落の後に列挙される添付の図を参照して後述される。２つ以上の図に現れる同一の特徴は、一般的に、それらが現れる図全てにおいて同じ標示で標示される。図における本発明の実施例のある特徴を表すアイコンを標示する標示は、そのある特徴に言及するために使用される場合がある。図に示される特徴の寸法は、便宜的に且つ明瞭に提示するために選ばれ、必ずしも一定の尺度で示されるわけではない。

発電所及び送電網を備えるインフラ施設、及び、本発明の一実施例による、発電所及び送電網に対応するシミュレーション施設を概略的に示す図である。 図１Ａに示される発電所及び送電網の拡大像を概略的に示す図である。

図１Ａは、実際の電力施設２００、及び、本発明の一実施例による、実際の施設をモデル化する施設モデル２２を備えるシミュレーション施設２０を概略的に示す。例として、電力施設２００は、法人及び国内顧客３０４に電力を送出するための送電ケーブル３０２を含む送電網３００の一部に接続される発電所２００を備える。例としての発電所２００は、図１Ａにおいてアイコンによって概略的に示され又は表される、発電の複合構成及び制御機器を含む石炭燃料発電所と想定する。蒸気発電所の構成要素は周知であり、石炭燃料発電所が含むことができる機器の一部のみが図に示され、示される機器の一部のみが明示的に論じられる。図１Ｂは、発電所２００の拡大像を概略的に示し、ここで発電所の構造的な細部がより明確に見られる。

発電所２００は、炉２０４における石炭供給システム２４０によって送出される石炭を燃焼させてタービン・システム２６０を駆動させるための蒸気を生成する蒸気生成複合体２０２を備える。タービン・システム２６０は、電気機械発電機２７０を回転させて電力を作り出す。電気機械発電機２７０の出力電圧の電力は、該電力の電圧を、送電網３００を介して顧客３０４に送るために適した高電圧に上げる昇圧変圧器２７２に送られる。降圧変圧器（図示せず）は、送電ケーブル３０２を介して送られる高圧電力を国内及び法人顧客３０４が使用するのに適した電圧の電力に変換する。

石炭供給システム２４０は、粉砕された石炭及び空気の混合物を作り出して、当該混合物を燃焼させてボイラー・ドラム２０６に保持される水を蒸気に変えるための熱を作り出す炉２０４へ送出する粉砕機２４６へ石炭２４４を搬送する石炭コンベア２４２を備えることができる。炉２０４における石炭及び空気の混合物の燃焼は、「炎」２０８によって概略的に表される。ボイラー・ドラム２０６において生成される蒸気を、蒸気生成複合体２０２から、図１Ａにおける数字２１０及び２１１によって標示される従来「過熱器」及び「再熱器」と呼ばれる熱交換コイルを介してタービン・システム２６０へ循環させる。

タービン・システム２６０は、一般的に、高圧タービン２６１、中圧タービン２６２、及び、低圧タービン２６３を備える。高圧タービン２６１を駆動させるための蒸気を、蒸気生成複合体２０２から過熱器２１０を介して循環させる。高圧タービン２６１を出る蒸気は、蒸気生成複合体２０２に戻されてそこで過熱器２１１の炉２０４において再加熱されて、再加熱器を通過後中圧タービン２６２へもたらされる。中圧タービン２６２を出る蒸気は中圧タービンから供給されて、低圧タービン２６３を駆動する。低圧タービン２６３を出る蒸気は、コンデンサ２１２、及び「エコノマイザ」と呼ばれる熱交換コイル２１４を介してボイラー・ドラム２０６へ戻される。コンデンサ２１２のための冷却は、冷却塔２１６によってもたらされ、炉２０４における石炭の燃焼による排出物は排出物から粒子状物質を除去するプリシピテータ２２１を通過後煙突２２０を通って煙２１８として空気に放出される。

発電所２００の動作及び該発電所における機器の制御は、コンピュータ・アイコン２５０によって概略的に表されるＳＣＡＤＡシステムによって仲介される。以下動作ステータス・データとも呼ばれるデータは、発電所２００における機器同士を、及び／又は、該機器間の通信をサポートする通信ネットワークを機能させることに関連しており及び／又はそのことを示し、該機器へ直接的に又は間接的に連結される「コレクタ・エージェント」と呼ばれる場合があるセンサによって取得される。コレクタ・エージェントは、取得する動作ステータス・データをＳＣＡＤＡ２５０へ伝送して処理し、発電所２００の機器及び動作をモニタリングし且つ制御する。図１Ａにおいて、コレクタ・エージェントは、それぞれが連結される機器を示すポインタを有する引き出し線によって表記されるボックス２５２によって概略的に表される。

送電網３００用のコレクタ・エージェント２５２などのコレクタ・エージェントは図示されないが、送電網の機能をモニタリングするためのコレクタ・エージェントは、一般的に、送電網全体を通して分布して、該送電網の構成要素の機能のステータスを示す動作ステータス・データを取得することに留意されたい。例えば、コレクタ・エージェントを使用して、送電ケーブル３０２の電流負荷及び温度をモニタリングし、且つ、降圧変圧器の電圧を入出力することができる。送電網はまた、送電網の構成要素の動作に関連しているパラメータのためのコレクタ・エージェントによって取得される動作ステータス・データを受け取り、且つ、受け取ったデータに応答して構成要素を制御するＳＣＡＤＡシステムへのアクセスを一般的に含む又は有する。以下の論述の中で、送電網３００はＳＣＡＤＡ２５０によってアクセスでき且つ制御されると想定される。

シミュレーション施設２０は、オプションとして、本発明の一実施例による、発電所２００の物理的モデル３０、及び、送電網３００の物理的モデル４０を含む。発電所モデル３０は発電所２００の動作を模倣し、発電所２００を小さくした画像で概略的に表される。同様に、送電網モデル４０は、以下総称して送電網３００とも呼ばれる、送電網３００の動作及びオプションとして顧客３０４を模倣し、送電網３００及び顧客３０４を小さくした画像で概略的に表される。

発電所モデル３０は、発電所２００に含まれる物理的機器に対応する、数字３１によって図１Ａに総称して示される、物理的な機器、オプションとしては仮想機器を含む。発電所モデル３０はまた、ＳＣＡＤＡ２５０が発電所２００における機器を制御し且つモニタリングするやり方と同様に、機器３１をモニタリングし且つ制御するＳＣＡＤＡシステム３２を備える。オプションとして、機器３１は、発電所２００におけるコレクタ・エージェント２５２に対応し、機器３１における装置の機能をモニタリングし且つ制御することに関連している動作ステータス・データを取得し且つＳＣＡＤＡ３２に提供するコレクタ・エージェント３３を含む。発電所モデル３０が発電所２００の小型版によって表されるが、発電所２００に含まれる全ての機器に対する物理的機器及び／又は仮想機器エンティティを必ずしも備えるわけではなく、発電所２００の一部、又は、発電所２００によって果たされる機能の一部のみをモデル化することができることに留意されたい。

物理的機器３１は、発電所２００に含まれる対応する機器と同一の機器のみならず、該対応する機器と同一ではない、発電所２００に含まれる模倣の対応する機器に構成される物理的機器を含むことができる。仮想機器はソフトウェア構成されたエンティティを含む。該エンティティは、ソフトウェアによって構成される物理的機器を含むことができ、発電所２００に含まれる対応する機器を模倣する。発電所２００における所定の物理的機器に対応する所定の仮想機器エンティティは、実質的に、あたかも対応する物理的エンティティであるかのように動作する。所定の仮想機器エンティティは、発電所２００における対応する機器が発電所２００における他の機器と通信し且つ協働するやり方と同様に、モデル３０における他の実際の機器及び／又は仮想機器と通信し且つ協働する。所定の仮想機器エンティティには、発電所２００における機器にＳＣＡＤＡ２５０がアクセスできるやり方と同様に、ＳＣＡＤＡ３２を介してアクセス可能である。

発電所２００に含まれる機器に対応する物理的機器、及び、オプションとして仮想機器を含む発電所モデル３０と同様に、送電網モデル４０は、送電網３００に含まれる物理的機器に対応する物理的機器、及び、オプションとして仮想機器を含む。そして、送電網モデル４０は送電網３００の小型版によって表されているが、送電網３００に含まれる全ての機器に対する物理的機器エンティティ及び／又は仮想機器エンティティを必ずしも備えるわけではない。送電網モデルは、送電網３００の一部、又は、送電網３００によって果たされる機能の一部のみをモデル化することができる。オプションとして、送電網モデル４０は、送電網３００におけるコレクション・エージェント（図示せず）に対応するコレクション・エージェント（図示せず）を含み、ＳＣＡＤＡ３２へ、送電網モデル４０の構成要素の動作に関連している動作ステータス・データを提供する。

シミュレーション施設２０は、オプションとして、ＳＣＡＤＡ３２を構成し、且つ、発電所２００及び送電網３００の実際の動作から受け取られるデータに応答して、モデル３０及び４０の動作を更新するために、以下、コンピュータのアイコン５０によって表されるコントローラである、中央若しくは分散コンピュータ又はコンピュータ・システムを備える。本発明の一実施例によると、発電所２００からのデータは、データを発電所２００及び送電網３００から伝送する安全な片方向通信チャネル５３を介して受け取られるが、発電所及び／又は送電網へデータを伝送しない。データは、両方向ブロック矢印５５によって表される通信チャネル又はネットワークを介してコントローラ５０とモデル３０及び／又は４０との間で伝送される。本発明の一実施例において、コントローラ５０によって生成される又は取得されるデータは、発電所２００及び／又は送電網３００による使用のために、文書、又はサイバー攻撃に対して十分安全と考えられる他の通信チャネルによって提供されてよい。文書又は「十分安全な」チャネルによってデータを提供することは、破線ブロック矢印５４によって概略的に表される。

シミュレーション施設２０は、シミュレーション攻撃エージェント６１及びシミュレーション防御エージェント６２が、「サイバー交戦セッション」に参加するために発電所モデル３０及び／又は送電網モデル４０へアクセスできるように構成される。サイバー交戦セッションでは、シミュレーション攻撃エージェント６１は、発電所モデル３０及び／又は送電網モデル４０の機能に損害を与える又は該機能を損なわせるサイバー攻撃を実行し、攻撃されたモデル３０及び／又は４０を防御し且つその攻撃を妨害するように動作するシミュレーション攻撃エージェントと交戦することを試みる。

コントローラ５０は、オプションとして、ＣＹＢＡＤデータベースにおけるデータを記憶し且つ管理するメモリを含む。コントローラ５０は、サイバー交戦セッションの犯罪科学的記録を取得しＣＹＢＡＤに記憶するように動作する。該犯罪科学的記録は、後述されるように処理されて、サイバー交戦セッションに応答して発電所２００及び／又は送電網３００を保護するためにサイバー防護技術を広めることができる。オプションとして、コントローラ５０は、サイバー防護技術を提供するために犯罪科学的記録におけるデータを処理するモデル製作モジュールを含む。一実施例では、サイバー防護技術は、モデル３０及び／又はモデル４０に対するサイバー攻撃を認識し且つ識別するための分類子を含む。

シミュレーション攻撃エージェント６１がモデル３０及び／又はモデル４０へアクセスできるようにすることは、シミュレーション攻撃エージェントが、以下、施設モデルに対するサイバー攻撃を開始するように、さまざまなレベルの巧妙化の「攻撃ツールウェア」と一般的に呼ばれる、コンピュータ、ソフトウェア、及び仮想財源を備えることを含むことができる。攻撃ツールウェアは、オプションとして、発電所２００に対するサイバー攻撃を受けるために実際の攻撃エージェントに対して利用可能とすることができるツールウェアと同様である。

オプションとして、攻撃ツールウェアの巧妙化は、低、中、又は高として分類される。低レベルの巧妙化は、典型的には個人的な興味に動機づけられる経験の浅い「実際の」犯罪者、ハッカー、及びハクティビストに対して一般的に利用可能な攻撃ツールウェアに言及する。中レベルの巧妙化の攻撃ツールウェアは、例えば、一般的に一個人にとって利用可能な財源を超える財源にアクセスしている犯罪グループ又は小テロリスト・グループに属する場合がある比較的経験があり且つ熟練したハッカーに対して一般的に利用可能なツールウェアに言及する。高レベルの巧妙化は、国家、及び、国内の又は国際的なテロリスト・グループに対して利用可能なツールウェアに言及する。

シミュレーション防御エージェント６２がモデル３０及び４０へアクセスできるようにすることは、シミュレーション防御エージェントが、ＳＣＡＤＡ３２にアクセスし、施設モデルを動作させ且つ維持し、シミュレーション攻撃エージェント６１によって開始されるサイバー攻撃に対して施設モデルを防御するために、以下動作及び管理（Ｏ＆Ｍ：ｏｐｅｒａｔｉｏｎｓ ａｎｄ ｍａｎａｇｅｍｅｎｔ）ツールウェアという、コンピュータ及びソフトウェアを備えることを含むことができる。Ｏ＆Ｍツールウェアは、有利には、サイバー攻撃に対して発電所２００及び送電網３００を動作させる、モニタリングする、及び防御するために用いられるＯ＆Ｍツールウェアを少なくとも一部ミラーリングする。

本発明の一実施例では、シミュレーション施設２０は、アイコン５１によって表される人間アクティビティ・センサを備える。人間アクティビティ・センサ５１を使用して、攻撃エージェント６１及び防御エージェント６２が互いに交戦し、サイバー交戦セッション中にシミュレーション施設２０と相互に作用するアクティビティをモニタリングし、且つ、サイバー交戦セッションの犯罪科学的記録のデータを取得することができる。コントローラ５０は、サイバー交戦セッションの犯罪科学的記録の一部としてＣＹＢＡＤにおけるセンサ５１によって提供される人間アクティビティ・データを記憶することができる。

センサ５１は、例として、サイバー交戦セッション中のシミュレーション攻撃エージェント及びシミュレーション防御エージェントのアクティビティの映像を記録する映像カメラをオプションで含むことができる。センサ５１は、攻撃シミュレーション・エージェント６１及び防御シミュレーション・エージェント６２が後にキーボードを使用して、サイバー攻撃を開始する又はサイバー攻撃を防御する際のソフトウェア命令セットを連動させ且つ実装するために、キーストローク・ロギング・センサ及び装置といったさまざまなＨＭＩセンサの任意のものを含むことができる。本発明の一実施例によるシミュレーション・エージェントのキーボードの使用のキーストローク・ロギングに関する技術分野で既知のキーストローク・ロギング装置は、エージェント６１及び６２によって使用されるコンピュータ上に設置される音響及び／若しくは電磁キーストローク・センサ又はキーストローク追跡プログラムを含んでよい。オプションとして、センサ５１は、シミュレーション・エージェント６１及び６２の視線方向を追跡し、且つ、該シミュレーション・エージェントの注視点（ＰＯＲ）、及び該シミュレーション・エージェントが相互に作用するコンピュータ・ディスプレイの特徴間のＰＯＲの移動を判断するための視標追跡技術を含む。

本発明の一実施例では、センサ５１は、例えば、サイバー交戦中に関心事、ストレス及び／又は警戒のレベルの指示をもたらすために、シミュレーション・エージェントの生理的特徴をモニタリングするための、さまざまなウェアラブル及び／又は非接触身体機能センサの任意のものを含む。例として、ウェアラブル身体機能センサは、心拍数及び／又は血圧を感知するためのセンサ・ブレスレットであってよい。非接触センサは、ストレス又は心拍数を推断するために肌の色を感知するための光センサ、又は、体温を感知するためのＩＲセンサを含むことができる。

本発明の一実施例では、コントローラ５０は、直接的に又はＳＣＡＤＡ３２を介して、機器３１に含まれる収集エージェント３３をモニタリングして、サイバー交戦中発電所モデル３０における個々の実際の機器又は仮想機器の機能をモニタリングし、且つ、サイバー交戦中機器に関する動作ステータス・データを取得する。動作ステータス・データは、ＣＹＢＡＤにおいて、サイバー交戦の犯罪科学的記録の一部として記録されてよい。

本発明の一実施例では、コントローラ５０に含まれるモデル製作モジュールは、ＣＹＢＡＤにおける動作ステータス・データを処理して、サイバー交戦セッション中の所定の時間に発電所モジュール３０の動作ステータスを表すモデル３０についての時間依存動作ステータス・ベクトルを定義し且つ判断する。モデル３０についての動作ステータス・ベクトルは、所定の時間にモデル３０に含まれる複数のコレクタ・エージェント３３のそれぞれによって提供される任意の所定の時間値で想定する構成要素を有することができる。オプションとして、動作ステータス・ベクトルは、例えば、コンピュータ・キーボードなどのＨＭＩ機器の使用及び／又はステータスを示すデータを提供することができる人間アクティビティ・センサ５１によって提供されるデータを含む。

オプションとして、モデル製作モジュールは、サイバー交戦セッションについてのステータス・ベクトルに応答する少なくとも１つの分類子を定義して、サイバー交戦中の所定の時間におけるステータス・ベクトルが、モデル３０がシミュレータ攻撃エージェント６１によって開始されるサイバー攻撃下にあることを示すかどうかを判断する。オプションとして、少なくとも１つの分類子は、サポート・ベクトル分類子を含む。本発明の一実施例では、少なくとも１つの分類子は、ＣＹＢＡＤに記憶される動作ステータス・ベクトル上でトレーニングされるニューラル・ネットワークを含む。オプションとして、コントローラ５０は、少なくとも１つの分類子がサイバー攻撃を示すと判断し、且つ、特定の形のサイバー攻撃を識別するために使用可能である、以下攻撃ＩＤ特徴ベクトルと呼ばれる代表的な動作ステータス・ベクトルのライブラリを維持する。本発明の一実施例では、少なくとも１つの分類子及び／又は攻撃ＩＤ特徴ベクトルを使用して、発電所２００及び／又は送電網３００に対してＳＣＡＤＡ２５０によって定義される動作ステータス・ベクトルが、発電所２００及び／又は送電網がサイバー攻撃下にあることを示すかどうかを判断する、及び、オプションとして、該攻撃の形を判断する。

本発明の一実施例では、モデル製作モジュールは、ＣＹＢＡＤにおけるデータを処理して、シミュレーション攻撃エージェント６１によって開始されるサイバー攻撃に対してシミュレーション防御エージェント６２が取るどの防御戦略が、サイバー攻撃を防止する又はそれらが招く損害を軽減することに成功するかを判断する。オプションとして、モデル製作モジュールは、成功した防御戦略で行われるマップ及び一連の手順を提供する。本発明の一実施例では、モデル製作モジュールは、防御戦略を標示し且つ特徴付ける成功した防御戦略について、以下防御ＩＤ特徴ベクトルという特徴ベクトルを定義する。オプションとして、モデル製作モジュールは、防御ＩＤ特徴ベクトルと攻撃ＩＤ特徴ベクトルとのスカラー（ドット）積を使用して、どの防御戦略が有利にはあるサイバー攻撃を妨害するように行われるかを示すことができるように、防御戦略特徴ベクトルを構成する。

本発明の一実施例では、防御ＩＤ特徴ベクトルを使用して、サイバー攻撃に対して発電所２００及び／又は送電網３００を防御するために取られるべき有利な防御戦略を判断する。発電所２００及び／又は送電網３００に対する動作ステータス・ベクトルが、発電所及び／又は送電網がサイバー攻撃下にある場合があることを示す時、動作ステータス・ベクトルと防御ＩＤ特徴ベクトルとのスカラー積が計算される。動作ステータス・ベクトルとの最大のスカラー積を有する防御ＩＤ特徴ベクトルは、オプションとして、起こり得るサイバー攻撃からの損害を防ぐ又は最小限に抑えるために使用される。

センサ５１によって取得され、且つ、サイバー交戦セッションの犯罪科学的記録の一部としてＣＢＡＤに記憶される人間アクティビティ・データを使用して、防御エージェント６２がサイバー攻撃に対して防御するための能力を改良するように動作する環境を構成することができる。例えば、データを使用して、コンピュータ映像スクリーン上のスクリーン・ディスプレイを構成し、映像スクリーン上に提示される視覚警告の有効性を改良して、サイバー攻撃の確率を防御エージェントに警告することができる。人間アクティビティ・データを使用して、サイバー攻撃を妨害するために適切なアクティビティを行うように、防御エージェントへのプロンプトを改良することができる。人間アクティビティ・データを使用して、有利には、共通の防御タスクに参加するために必要とされる場合がある防御エージェントの間の協働を改良するように防御エージェントの空間形状を構成してもよい。

本発明の実施例の上記論述の中で、サイバー・シミュレーション施設は発電所及び送電網のために構成されるとして論じられているが、本発明の実践は、発電所及び送電網に限定されないことに留意されたい。サイバー・シミュレーション施設は、例として、水処理施設、石油配管システム、及び、ガス・パイプライン配管システムなどのさまざまなインフラ施設の任意のものに対してのサイバー攻撃及び／又は防御戦略を開発し且つ分析する際の使用のために構成されてよい。

本願の明細書及び特許請求の範囲において、動詞「備える」、「含む」及び「有する」、並びにそれらの同根語のそれぞれは、動詞の目的（複数可）が必ずしも動詞の主語（複数可）の構成要素、要素又は一部を完全に列挙しているわけではないことを示すために使用される。

本願における本発明の実施例の説明は例として提供され、本発明の範囲を限定することを意図していない。説明した実施例は種々の特徴を含み、それらの全ては本発明の全ての実施例に必要とされるのではない。実施例の中には、特徴の一部のみか特徴の可能な組み合わせを活用するものがある。説明される本発明の実施例の変形、及び、説明される実施例に記される特徴の種々の組み合わせを含む本発明の実施例に、当業者は想到するであろう。本発明の範囲は特許請求の範囲によってのみ限定される。

Claims (19)

1. サイバー攻撃に対して実際のインフラ施設の施設モデル及び実際のインフラ施設のうちの一つを防御するための防御戦略を生成するためのデータを処理する方法であって、
   （ａ）シミュレーション施設を提供するステップであって、前記シミュレーション施設は、
   実際のインフラ施設の動作の少なくとも一部を模倣し、前記実際のインフラ施設における機器の動作に対応し且つ前記動作を模倣する機器を含む、前記施設モデルと、
   前記施設モデルに対するサイバー攻撃を開始する際に人が使用するための攻撃ツールウェアと、
   前記攻撃ツールウェアを使用して開始されるサイバー攻撃に対して前記施設モデルを動作させ且つ前記施設モデルを防御する際に人が使用するための動作及び管理ツールウェアと、
   メモリを有し、且つ、前記施設モデル上で開始されるサイバー攻撃、及び、前記サイバー攻撃に対して前記施設モデルを防御するために取られる防御戦略の犯罪科学的記録を取得し且つ前記メモリに記憶するように動作可能な、コンピュータ又はコンピュータ・システムのコントローラと、
   前記施設モデルにおける前記機器の機能に関連している又は前記機能を示す動作ステータス・データを取得するコレクタ・エージェントであって、実際のインフラ施設に連結されておらず、前記コントローラが前記動作ステータス・データを受け取り、前記犯罪科学的記録の一部として前記動作ステータス・データを前記メモリに記憶する、前記コレクタ・エージェントと、
   前記犯罪科学的記録におけるデータを処理して、複数の前記コレクタ・エージェントのそれぞれによって提供される動作ステータス・データに応答した値を有する構成要素を含む動作ステータス・ベクトルを生成するモデル製作モジュールとを含む、前記提供するステップと、
   （ｂ）前記コンピュータ又はコンピュータ・システムのコントローラが、前記施設モデルに対するサイバー攻撃を開始するために前記攻撃ツールウェアを使用する人並びに前記サイバー攻撃に対して防御するために前記動作及び管理ツールウェアを使用する人に応答して、前記サイバー・シミュレーション施設によって提供される前記犯罪科学的記録を取得し、前記メモリに記憶するステップと、
   （ｃ）前記コンピュータ又はコンピュータ・システムのコントローラが、サイバー攻撃に対して施設モデル及び前記実際のインフラ施設のうちの一つを防御するための防御戦略を生成するために前記犯罪科学的記録におけるデータを処理するステップと、を含む前記方法。
2. 複数の前記コレクタ・エージェントのそれぞれによって提供される動作ステータス・データに応答した値を有する構成要素を含む動作ステータス・ベクトルを生成するために、前記モデル製作モジュールが、前記データを処理する、請求項１に記載の方法。
3. 前記モデル製作モジュールは、動作ステータス・ベクトルが、所定の時間で、前記施設モデルがサイバー攻撃下にあることを示しているかどうかを判断するために前記動作ステータス・ベクトルに応答する少なくとも１つの分類子を定義する、請求項１又は２に記載の方法。
4. 前記少なくとも１つの分類子はサポート・ベクトル分類子を含む、請求項３に記載の方法。
5. 前記少なくとも１つの分類子はニューラル・ネットワークを含む、請求項３に記載の方法。
6. 前記実際のインフラ施設は、前記実際の施設がサイバー攻撃下にあるかどうかを判断するために前記少なくとも１つの分類子を使用するように構成される、請求項３に記載の方法。
7. サイバー攻撃に対して実際のインフラ施設の施設モデル及び実際のインフラ施設のうちの一つを防御するための防御戦略を生成するためのデータを処理する方法であって、
   （ａ）シミュレーション施設を提供するステップであって、前記シミュレーション施設は、
   実際のインフラ施設の動作の少なくとも一部を模倣し、前記実際のインフラ施設における機器の動作に対応し且つ前記動作を模倣する機器を含む、前記施設モデルと、
   前記施設モデルに対するサイバー攻撃を開始する際に人が使用するための攻撃ツールウェアと、
   前記攻撃ツールウェアを使用して開始されるサイバー攻撃に対して前記施設モデルを動作させ且つ前記施設モデルを防御する際に人が使用するための動作及び管理ツールウェアと、
   メモリを有し、且つ、前記施設モデル上で開始されるサイバー攻撃、及び、前記サイバー攻撃に対して前記施設モデルを防御するために取られる防御戦略の犯罪科学的記録を取得し且つ前記メモリに記憶するように動作可能な、コンピュータ又はコンピュータ・システムのコントローラと、
   前記施設モデルに対するサイバー攻撃を開始するために前記攻撃ツールウェアを使用する人、又は、サイバー攻撃に対して前記施設モデルを動作させ且つ防御するために前記動作及び管理ツールウェアを使用する人のアクティビティを示すデータを取得する人間アクティビティ・センサであって、施設内の人間のアクティビティの映像を記録するように構成された映像カメラ、ヒューマン・マシン・インターフェース（ＨＭＩ：ｈｕｍａｎ ｍａｃｈｉｎｅ ｉｎｔｅｒｆａｃｅ）センサ、視線追跡器、生理的特徴をモニタリングするためのウェアラブルセンサ、又は生理的特徴をモニタリングするための非接触センサのうちから選択された少なくとも１つ又は２つ以上の任意の組み合わせの前記人間アクティビティ・センサとを含む、前記提供するステップと、
   （ｂ）前記コンピュータ又はコンピュータ・システムのコントローラが、前記施設モデルに対するサイバー攻撃を開始するために前記攻撃ツールウェアを使用する人並びに前記サイバー攻撃に対して防御するために前記動作及び管理ツールウェアを使用する人に応答して、前記サイバー・シミュレーション施設によって提供される前記犯罪科学的記録を取得し、前記メモリに記憶するステップと、
   （ｃ）前記コンピュータ又はコンピュータ・システムのコントローラが、サイバー攻撃に対して施設モデル及び前記実際のインフラ施設のうちの一つを防御するための防御戦略を生成するために前記犯罪科学的記録におけるデータを処理するステップと、を含む前記方法。
8. 前記コントローラは、前記人間アクティビティ・センサによって取得される前記データを受け取り、且つ、受け取った前記データを前記犯罪科学的記録の一部として前記メモリに記憶する、請求項７に記載の方法。
9. 複数の前記人間アクティビティ・センサのそれぞれによって提供されるデータに応答した値を有する構成要素を含む動作ステータス・ベクトルを生成するために、前記犯罪科学的記録におけるデータを処理するモデル製作モジュールを含む、請求項７に記載の方法。
10. 前記モデル製作モジュールは、動作ステータス・ベクトルが、所定の時間で、前記施設モデルがサイバー攻撃下にあることを示しているかどうかを判断するために前記動作ステータス・ベクトルに応答する少なくとも１つの分類子を定義する、請求項９に記載の方法。
11. 前記実際のインフラ施設は、前記実際の施設がサイバー攻撃下にあるかどうかを判断するために前記少なくとも１つの分類子を使用するように構成される、請求項１０に記載の方法。
12. 前記実際のインフラ施設は、サイバー攻撃に対して前記実際のインフラを防御するために前記犯罪科学的記録を使用するように構成される、請求項１から１１までのいずれか一項に記載の方法。
13. 前記実際のインフラ施設は発電所を含む、請求項１から１２までのいずれか一項に記載の方法。
14. サイバー攻撃に対して実際のインフラ施設の施設モデル及び実際のインフラ施設のうちの一つを防御するための防御戦略を生成するためのサイバー防御の戦略を実行又は作成する人のアクティビティを示すデータを処理する方法であって、
    （ａ）シミュレーション施設を提供するステップであって、前記シミュレーション施設は、
    実際のインフラ施設の動作の少なくとも一部を模倣し、前記実際のインフラ施設における機器の動作に対応し且つ前記動作を模倣する機器を含む、前記施設モデルと、
    前記施設モデルに対するサイバー攻撃を開始する際に人が使用するための攻撃ツールウェアと、
    前記攻撃ツールウェアを使用して開始されるサイバー攻撃に対して前記施設モデルを動作させ且つ前記施設モデルを防御する際に人が使用するための動作及び管理ツールウェアと、
    メモリを有し、且つ、前記施設モデルに対するサイバー攻撃を開始するために前記攻撃ツールウェアを使用する人並びに前記サイバー攻撃に対して防御するために前記動作及び管理ツールウェアを使用する人のアクティビティに応答して、犯罪科学的記録を取得し且つ前記メモリに記憶するように動作可能な、コンピュータ又はコンピュータ・システムのコントローラとを含み、前記データは、サイバー防御の戦略を実行又は作成する人のアクティビティを示す、前記提供するステップと、
    （ｂ）前記コンピュータ又はコンピュータ・システムのコントローラが、システム及びプロトコルをトレーニングすることにより、前記サイバー攻撃に対して施設モデル及び前記実際のインフラ施設のうちの一つを防御するための防御戦略を生成するために前記犯罪科学的記録におけるデータを処理するステップと、を含む前記方法。
15. 前記実際のインフラ施設は、サイバー攻撃に対して前記実際のインフラを防御するために前記犯罪科学的記録を使用するように構成される、請求項１４に記載の方法。
16. 前記実際のインフラ施設は発電所を含む、請求項１４又は１５に記載の方法。
17. 前記防御戦略は、施設モデル及び前記実際のインフラ施設のうちの一つを防御する人に対して、視覚警告の有効性を改良してサイバー攻撃の確率を警告する環境の構成、並びに人の間の協働を改良するように、施設モデル及び前記実際のインフラ施設のうちの一つを防御する人の空間的な構成のうちの少なくとも一つを含む、請求項１４から１６までのいずれか一項に記載の方法。
18. 前記防御戦略は、損害を最小限に抑えるための戦略又はサイバー攻撃の結果を軽減するための戦略を含む、請求項１４から１７までのいずれか一項に記載の方法。
19. 前記コントローラは、人間のアクティビティを示すデータでトレーニングされたニューラル・ネットワークを用いて、前記実際のインフラ施設の前記施設モデル及び前記実際のインフラ施設のうちの一つを防御するための戦略を生成する、請求項１４から１８までのいずれか一項に記載の方法。