JP7232205B2 - セキュリティ監視システムおよびセキュリティ監視方法 - Google Patents

Description

本発明は、セキュリティ監視システムおよびセキュリティ監視方法に関する。

発電所などのプラントを制御する制御システムにおいては、外部からの不正なアクセスによるサイバー攻撃などのインシデントの発生の有無を監視する必要がある。従来のこの種の制御システムでは、制御システムへの入出力データのみにより、発生したインシデントの原因が、サイバー攻撃か否かを判定していた。

特許文献１には、制御システムの異常検出時に、その異常が装置または伝送路の故障か、サイバー攻撃かを判別する技術が記載されている。具体的には、制御システム内での伝送データに誤り検出符号を付加して、受信側で誤り検出符号を用いてデータ本体が正常か異常かを判定する技術についての記載がある。

特開２０１７－１９２１０５号公報

制御システムでインシデントが発生した際のインシデントの原因には様々な可能性がある。インシデントがサイバー攻撃によるものか否かを判別するためには、人手によって設備の通信ログや操作ログ、脆弱性情報を照合し、インシデントの発生箇所や原因を特定することが行われている。したがって、インシデント発生時には、インシデントの発生箇所や原因を特定した上で、対処すべき設備の優先順位やプラント運転の継続可否を判断する必要がある。このようなインシデントの発生箇所や原因を特定するためには、該当する制御システムのプラント設備を熟知している必要がある。また、サイバーセキュリティについても熟知する必要があるため、インシデントの発生箇所や原因の特定は、限られた者しか判断することができない。

従来技術として、例えば特許文献１に記載されたように、誤り検出符号のような特定の手法を使って伝送路などの特定箇所の異常検知を行うことは従来から知られている。しかしながら、実際にはインシデントの発生箇所や原因には様々なものがあり、従来手法では、インシデント発生時の原因の判別手法として不十分であった。

通常、インシデント発生時には原因が即座に判別できないことが多く、発生したインシデントに対する最終対処までに、多くの時間がかかっていた。また、発電所や生産設備などの制御システムはその性質上、連続運転することが重要となっており、やむをえない場合以外では制御システムの停止を避けたいという事情もある。

本発明は、インシデントの原因がサイバー攻撃によるものであるか否かを判定することが適切に行えるセキュリティ監視システムおよびセキュリティ監視方法を提供することを目的とする。

上記課題を解決するために、例えば特許請求の範囲に記載の構成を採用する。
本願は、上記課題を解決する手段を複数含んでいるが、その一例を挙げるならば、制御システムで得られたプロセス値のデータを収集すると共に、制御システムが管理するエリアのカメラ画像、または制御システムが管理するエリアの入退管理情報に基づいて、制御システムが管理するエリアのフィジカル状況についてのリスクを数値化したフィジカルデータを収集する入力部と、入力部で収集されたプロセス値のデータに基づいてリスクを数値化すると共に、フィジカルデータに基づいてリスクを数値化するリスク数値化部と、過去のインシデントをリスク数値として蓄積する事故情報データベース部と、リスク数値化部により得られたリスクの数値と、事故情報データベース部に蓄積された情報との比較で、インシデントの原因がサイバー攻撃によるものであるか否かを判別するインシデント判別部と、を備え、事故情報データベース部に蓄積される過去のインシデントについてのリスク数値は、制御システムにおいて発生した過去のインシデントの発生前後のプロセス値の変動と、セキュリティ状況と、フィジカル状況とのそれぞれについてのリスク数値を持つセキュリティ監視システムとした。

本発明によれば、発生したインシデントの原因を迅速に判別して、制御システムの監視員などにインシデントの原因を通知することができる。
上記した以外の課題、構成および効果は、以下の実施形態の説明により明らかにされる。

本発明の一実施の形態例によるセキュリティ監視システムを含む制御システム全体の構成例を示すブロック図である。 本発明の一実施の形態例による制御システムの構成例を示す図である。 本発明の一実施の形態例によるセキュリティ監視システムの構成例を示すブロック図である。 本発明の一実施の形態例によるセキュリティ監視システムのハードウェア構成例を示すブロック図である。 本発明の一実施の形態例によるセキュリティ監視システムの動作例を示すフローチャートである。 本発明の一実施の形態例によるフィジカル情報リスクの算出例を示す図である。 本発明の一実施の形態例によるインシデント判別部の判別テーブルの例を示す図である。 本発明の一実施の形態例による表示画面の例を示す図である。

以下、本発明の一実施の形態例（以下「本例」と称する）を、添付図面を参照して説明する。
［制御システムの全体構成］
図１は、本例の制御システムの全体構成を示す。
本例の制御システムは、プラント２００を制御機器室４００に設置された制御サーバ４１０が制御するものであり、プラント２００の運転状況や制御サーバ４１０での制御状況を、中央監視室３００に設置されたプラント監視装置３１０で監視する。制御サーバ４１０とプラント２００やプラント監視装置３１０との間には、制御システムネットワーク５００が構築され、制御システムネットワーク５００を介してデータ伝送が行われる。
この制御システムネットワーク５００には、セキュリティ監視システム１００が接続されている。

プラント２００は、現場プラント制御装置２１０およびプラント主機２２０を備える。プラント主機２２０には色々な計測機器が設置されており、これらの計測機器で計測した計測信号が、現場プラント制御装置２１０に送信される。
制御サーバ４１０およびプラント制御装置４２０は、遠隔地からプラント２００を制御するためのものである。

制御サーバ４１０は、プラント制御装置４２０を介して、プラント２００にある現場プラント制御装置２１０に操作信号を送信する。現場プラント制御装置２１０は、プラント制御装置４２０から送信された操作信号に基づいてプラント主機２２０を所望の運転状態に制御する。

また、制御サーバ４１０は、プラント制御装置４２０を介して、現場プラント制御装置２１０やプラント主機２２０の状態を示すデータや、プラント主機２２０に設置されたセンサの計測値を収集し、これらのデータをプロセス値として保有する。なお、制御サーバ４１０が収集したプロセス値はセキュリティ監視システム１００に保存される。

セキュリティ機器４３０は、制御システムネットワーク５００および制御サーバ４１０、プラント監視装置３１０のネットワーク負荷や通信種別、操作履歴、アプリ起動履歴などを収集し、これらの情報をセキュリティ状況として保有する。セキュリティ機器４３０が収集したセキュリティ状況はセキュリティ監視システム１００に保存される。

フィジカルサーバ４４０は、カメラ５１０や入退管理システム５２０から在室人数や在室者情報、入退室履歴などを収集し、これらの情報をフィジカル状況として保有する。
カメラ５１０は、本例の制御システムを構成する各エリアに設置される。入退管理システム５２０は、本例の制御システムを構成する各エリアへの入室および退室を管理する。

例えば、カメラ５１０は、中央監視室３００や制御機器室４００に設置され、画像処理で撮影領域の人数を検出する。また、カメラ５１０は、認識した各人物が室内のどの箇所にいるかを判別して、認識した人物の行動を検出する。
入退管理システム５２０は、中央監視室３００や制御機器室４００への入室者の数や退室者の数を計測する。また、入退管理システム５２０は、入室者や退室者が事前に登録された者（プラントの運転業務に携わる運転員など）か否かを管理する。
なお、カメラ５１０や入退管理システム５２０は、プラント２００が設置された箇所に備えてもよい。

フィジカルサーバ４４０は、カメラ５１０や入退管理システム５２０から収集したフィジカル状況を示すフィジカルデータを、セキュリティ監視システム１００に送り、セキュリティ監視システム１００にフィジカルデータを保存させる。

セキュリティ監視システム１００は、演算装置としてリスク数値化部１３０と、インシデント判別部１４０を備えている。また、セキュリティ監視システム１００は、情報を蓄積するデータベースとして、事故情報データベース部１５０、結果データベース部１６０、および集約情報データベース部１７０を備える。なお、図面では、データベースを「ＤＢ」と略記している。

また、セキュリティ監視システム１００は、外部とのインターフェイスとして、データを入力する外部入力部１１０と、データを出力する外部出力部１２０とを備えている。
外部入力部１１０は、制御サーバ４１０で収集されるプロセス値、セキュリティ機器４３０で収集されるセキュリティ状況、フィジカルサーバ４４０で収集されるフィジカル状況のデータをセキュリティ監視システム１００に取込む。さらに、プラントにおいて事故が発生したことも、外部入力部１１０を介してセキュリティ監視システム１００に取り込まれる。

また、制御機器室４００に備えられているキーボード、マウスなどの入力装置４６０の操作による外部入力信号も、外部入力部１１０を介してセキュリティ監視システム１００に取込まれる。外部入力部１１０を介して取り込まれたプロセス値と、セキュリティ状況と、フィジカル状況のデータは、集約情報データベース部１７０に保存される。

リスク数値化部１３０は、プロセス値の偏差と、セキュリティ状況と、フィィジカル状況を集約情報データベース部１７０から取得し、セキュリティのリスクを数値化する。リスクを数値化する具体的な例については後述する。

インシデント判別部１４０は、リスク数値化部１３０が出力するリスク数値と事故情報データベース部１５０が持つ過去の事故でのリスク数値を比較し、発生した事故がセキュリティインシデントか否かを判別する。インシデント判別部１４０での判別結果と事故発生前後の各種データ(プロセス値の偏差、セキュリティ状況、フィジカル状況)は、事故情報データベース部１５０と、結果データベース部１６０に保存される。

プロセス値の偏差、セキュリティ状況、フィジカル状況などのデータには、後述するリスク値のデータも含まれる。また、事故情報データベース部１５０と結果データベース部１６０には、過去の事故発生時の原因のデータが含まれる。
インシデント判別部１４０での判別結果は、外部出力部１２０を介してプラント監視装置３１０および制御機器室４００に備えられている表示装置４５０に出力される。

なお、図１に示す構成では、リスク数値化部１３０、インシデント判別部１４０、事故情報データベース部１５０、結果データベース部１６０、集約情報データベース部１７０は、セキュリティ監視システム１００の内部に備えるようにした。これに対して、リスク数値化部１３０、インシデント判別部１４０、事故情報データベース部１５０、結果データベース部１６０、および集約情報データベース部１７０の少なくとも一部は、セキュリティ監視システム１００の外部に配置するようにしてもよい。

［プラントの一例］
図２は、プラント２００の一例を示す。
図２に示す例は、プラント２００がガスタービンによる発電プラントである場合を示す。
プラント２００は、プラント主機２２０、現場プラント制御装置２１０を含む。ここでのプラント主機２２０は、ガスタービン発電機である。ガスタービン発電機であるプラント主機２２０は、発電機２２１、圧縮機２２２、燃焼器２２３およびタービン２２４を含む。

発電時には、圧縮機２２２にて吸い込んだ空気を圧縮して圧縮空気とし、この圧縮空気を燃焼器２２３に送り、燃料と混合して燃焼する。タービン２２４は、燃焼により発生した高圧ガスで回転し、発電機２２１により発電を行う。

現場プラント制御装置２１０は、電力需要に応じてプラント主機（ガスタービン発電機）２２０の出力を制御する。現場プラント制御装置２１０には、プラント主機（ガスタービン発電機）２２０に設置された不図示のセンサで計測した運転データ２０２が入力される。運転データ２０２は、吸気温度、燃料投入量、タービンガス温度、タービン回転数、発電機発電量、タービン振動などの状態量のデータであり、サンプリング周期毎に計測されるデータである。また、運転データ２０２には、大気温度などの気象情報も含まれる。

現場プラント制御装置２１０は、これらの運転データ２０２を用いて、プラント主機（ガスタービン発電機）２２０を制御するための制御信号２０１を算出する。また、現場プラント制御装置２１０では、運転データ２０２の値が予め設定した範囲を逸脱した時に、警報を発生させる処理を実施している。警報信号は、運転データ２０２が予め設定した範囲を逸脱した時に「１」、範囲内の時は「０」のデジタル信号として処理される。警報信号が「１」の時は、音や画面表示などで、警報の内容が運転員に通知される。

現場プラント制御装置２１０は、計測した運転データ２０２と、現場プラント制御装置２１０で算出した制御信号２０１と、警報信号を含む計測信号とを、プラント制御装置４２０を介して、制御サーバ４１０に送信する。

このようなガスタービン発電機をプラント主機２２０としたとき、セキュリティ監視システム１００の集約情報データベース部１７０には、操作信号として少なくともプラント主機（ガスタービン発電機）２２０の出力を制御するための燃料投入量、タービン回転数の指令値、計測信号が保存される。保存される計測信号には、少なくとも吸気温度、燃料投入量、タービン排ガス温度、タービン回転数、発電機発電量、タービン軸振動などの状態量が含まれる。

［セキュリティ監視システムの構成］
図３は、セキュリティ監視システム１００のブロック図である。
図３では、セキュリティ監視システム１００の外部は、外部入力部１１０に入力されるデータの流れと、外部出力部１２０から出力されるデータの流れを示している。

セキュリティ監視システム１００の外部入力部１１０には、制御サーバ４１０で収集されるプロセス値と、セキュリティ機器４３０で収集されるセキュリティ状況と、フィジカルサーバ４４０で収集されるフィジカル状況のデータが供給される。また、制御機器室４００（図１）に設置された入力装置４６０の操作情報も外部入力部１１０に供給される。

集約情報データベース部１７０には、外部入力部１１０を介して取り込まれたプロセス値と、セキュリティ状況と、フィジカル状況のデータが保存される。
リスク数値化部１３０は、プロセス値の偏差と、セキュリティ状況と、フィィジカル状況を集約情報データベース部１７０から取得し、セキュリティのリスクを数値化する処理を行う（リスク数値化処理）。リスクを数値化する具体的な例については後述する。

インシデント判別部１４０は、リスク数値化部１３０が出力するリスク数値と事故情報データベース部１５０が持つ過去の事故でのリスク数値を比較し、発生した事故がセキュリティインシデントか否かを判別する。インシデント判別部１４０での判別結果と事故発生前後の各種データは、事故情報データベース部１５０と、結果データベース部１６０に保存される。

インシデント判別部１４０での判別結果は、外部出力部１２０を介してプラント監視装置３１０と表示装置４５０に出力される。制御機器室４００の運転員は、プラント監視装置３１０または表示装置４５０での表示などによる通知で、インシデント判別部１４０の判別結果を確認する。

［セキュリティ監視システムのハードウェア構成の例］
セキュリティ監視システム１００は、例えばコンピュータで構成することができる。
図４は、セキュリティ監視システム１００をコンピュータで構成した場合のハードウェア構成を示す。
セキュリティ監視システム１００として機能するコンピュータは、バスにそれぞれ接続されたＣＰＵ（Central Processing Unit：中央処理ユニット）１１と、ＲＯＭ（Read Only Memory）１２と、ＲＡＭ（Random Access Memory）１３を備える。さらに、セキュリティ監視システム１００は、不揮発性ストレージ１４と、ネットワークインタフェース１５と、入力装置１６と、表示装置１７を備える。

ＣＰＵ１１は、リスク数値化部１３０やインシデント判別部１４０での演算処理を実行するソフトウェアのプログラムコードをＲＯＭ１２から読み出して実行する演算処理部である。ＲＡＭ１３には、演算処理の途中に発生した変数やパラメータ等が一時的に書き込まれる。

不揮発性ストレージ１４には、例えば、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）などの大容量の情報記憶部が用いられる。不揮発性ストレージ１４には、事故情報データベース部１５０、結果データベース部１６０、および集約情報データベース部１７０を構成する各データが格納される。

ネットワークインタフェース１５には、例えば、ＮＩＣ（Network Interface Card）などが用いられる。
入力装置１６は、セキュリティ監視システム１００の設定などで必要な各種情報の入力処理を行う。
表示装置１７には、セキュリティ監視システム１００の作動状況などが表示される。

なお、制御機器室４００（図１）が備える表示装置４５０や入力装置４６０についても、図４に示すコンピュータに接続して、ＣＰＵ１１の制御で表示処理や入力処理を行うようにしてもよい。
また、セキュリティ監視システム１００を図４に示すコンピュータで構成するのは一例であり、コンピュータ以外のその他の演算処理を行う装置で構成してもよい。例えば、セキュリティ監視システム１００が行う機能の一部または全部を、ＦＰＧＡ（Field Programmable Gate Array）やＡＳＩＣ（Application Specific Integrated Circuit）などのハードウェアによって実現してもよい。

［セキュリティ監視システムの処理］
図５は、セキュリティ監視システム１００が行う処理動作の流れを示すフローチャートである。
まず、外部入力部１１０は、プロセス値と、セキュリティ状況と、フィジカル状況を取り込み、取り込んだこれらのデータを集約情報データベース部１７０に保存する（ステップＲ１０）。
そして、セキュリティ監視システム１００は、事故が発生したことを示す情報を外部入力部１１０が取得したか否かを判断する（ステップＲ２０）。このステップＲ２０で、事故が発生していないと判断したとき（ステップＲ２０のＮｏ）、ステップＲ１０でのプロセス値と、セキュリティ状況と、フィジカル状況の取り込み処理に戻る。

そして、ステップＲ２０で、事故が発生していると判断したとき（ステップＲ２０のＹｅｓ）、リスク数値化部１３０は、事故発生前後のプロセス値を集約情報データベース部１７０から取得し、事故発生前後のプロセス値からリスクを数値化する（ステップＲ３０）。ここでは、プロセス値のリスクを数値化した値を、ＰＲと称する。
続いて、リスク数値化部１３０は、事故発生前後のセキュリティ状況を集約情報データベース部１７０から取得し、セキュリティ状況のリスクを数値化する（スッテプＲ４０）。ここでは、セキュリティ状況のリスクを数値化した値を、ＳＲと称する。

さらに、リスク数値化部１３０は、事故発生前後（または事故発生時）のフィジカル状況を集約情報データベース部１７０から取得し、フィジカル状況のリスクを数値化する（スッテプＲ５０）。ここでは、フィジカル状況のリスクを数値化した値を、ＦＲと称する。

次に、インシデント判別部１４０が、ステップＲ３０、ステップＲ４０、ステップＲ５０で数値化したリスクの数値（ＰＲ、ＳＲ、ＦＲ）と、事故情報データベース部１５０が持つ過去の事故でのリスク数値を比較する。この比較で、インシデント判別部１４０は、発生した事故が、サイバー攻撃によるセキュリティインシデントか否かを判別する（スッテプＲ６０）。ここでのセキュリティインシデント発生の有無を判別する具体例については後述する。

ステップＲ６０で、発生した事故がセキュリティインシデントの場合は（ステップＲ６０のＹｅｓ）、外部出力部１２０からプラント監視装置３１０および表示装置４５０に、セキュリティインシデント発生のデータを出力する（スッテプＲ７１）。このセキュリティインシデント発生のデータを受信したプラント監視装置３１０および表示装置４５０は、セキュリティインシデント発生を表示する。

一方、ステップＲ６０で、発生した事故がセキュリティインシデントでない場合は（ステップＲ６０のＮｏ）、外部出力部１２０からプラント監視装置３１０および表示装置４５０に、発生した事故がセキュリティインシデントでないことを示すデータを出力する（スッテプＲ７２）。このセキュリティインシデントでない事故発生のデータを受信したプラント監視装置３１０および表示装置４５０は、セキュリティインシデントでない事故発生を表示する。

スッテプＲ７１またはＲ７２でデータを出力した後、インシデント判別部１４０は、セキュリティインシデントの判別結果と、事故発生前後のプロセス値、セキュリティ状況、フィジカル状況のリスク数値を結果データベース部１６０に送り、これらのデータを保存する（ステップＲ８０）。

さらに続いて、インシデント判別部１４０は、セキュリティインシデントの判別結果と、事故発生前後のプロセス値、セキュリティ状況、フィジカル状況のリスク数値を、事故情報データベース部１５０に送り、これらのデータを保存する事故情報蓄積処理を行う（ステップＲ９０）。
その後、ステップＲ１０のデータ収集および格納処理に戻る。

［フィジカル状況のリスクの算出処理］
図６は、リスク数値化部１３０が、フィジカル状況を示すフィジカルデータからリスクを算出する例を示す。
図６の（ａ）は、入退管理システム５２０が認識している中央監視室３００および制御機器室４００の入室者の人数と、入室者の属性に応じたリスク値の算出例を示す。
入室者の属性に応じたリスク値としては、中央監視室３００および制御機器室４００に入室することが事前に登録された登録者は、一人あたりのリスク値を「２」とする。また、中央監視室３００および制御機器室４００に入室することについて事前に登録されていない非登録者は、一人あたりのリスク値を「５」とする。

例えば、登録者が７人在室したとき、リスク値を２×７人で「１４」とする。また、非登録者が４人在室したとき、リスク値を４×５人で「２０」とする。登録者と非登録者が混在したときには、それぞれの人数で得たリスク値を合計する。

図６の（ｂ）は、カメラ５１０が認識している中央監視室３００および制御機器室４００の人数と、入退管理システム５２０が認識している中央監視室３００および制御機器室４００の入室者の人数との差が生じたときのリスク値の算出例を示す。
この場合には、人数の差が０のとき、リスク値を「０」とし、人数の差が１人から３人のとき、リスク値を「５」とし、人数の差が４人から６人のとき、リスク値を「１０」とし、人数の差が７人以上のとき、リスク値を「２０」とする。

図６の（ｃ）は、カメラ５１０が認識した在室者の行動に応じたリスク値の算出例を示す。
この場合には、在室者がプラント監視装置３１０の操作中であるとき、一人あたりのリスク値を「５」とする。また、在室者がプラント監視装置３１０の周辺で作業中であるとき、一人あたりのリスク値を「１」とする。さらに、在室者がプラント監視装置３１０の箇所以外で作業中のとき、一人あたりのリスク値を「０」とする。

図６の（ｄ）は、その他の行動に応じたリスク値の算出例を示す。
例えば、入退管理システム５２０またはカメラ５１０が認識した人物が、夜間作業者として登録され、昼間に入室したとき、一人あたりのリスク値を「５」とする。同様に、入退管理システム５２０またはカメラ５１０が認識した人物が、昼間の作業者として登録され、夜間に入室したときにも、一人あたりのリスク値を「５」とする。
さらに、作業者（運転員）として登録されていない非登録者がプラント監視装置３１０を操作したとき、一人あたりのリスク値を「１０」とする。

リスク数値化部１３０は、これらの図６の（ａ）から（ｄ）に示す状況のリスク値をそれぞれ算出して、合計のリスク値を得る。合計のリスク値は、インシデント判別部１４０に送られる。
また、リスク数値化部１３０は、プロセス値やセキュリティ状況についても、それぞれの状況に応じてリスク値を算出する。例えば、プロセス値として、標準値からの偏差が大きいとき、リスク値を高くする。また、セキュリティ状況として、制御システムネットワーク５００の状況を監視して、ネットワーク負荷が大きい状況が発生したとき、リスク値を高くする。プロセス値の偏差やネットワーク負荷などに基づいてリスクを判断するのは一例であり、プロセス値やセキュリティ状況については、従来から知られた様々な判断処理で適切なリスク値を設定する。

［インシデント判別部での判別例］
図７は、インシデント判別部１４０が、発生した事故がセキュリティインシデントか否かを判別する判別テーブルの例である。
インシデント判別部１４０は、リスク数値化部１３０から得られたプロセス値、セキュリティ状況、フィジカル状況の３つのリスク値と、事故情報データベース部１５０に保存されている過去の事故でのリスク数値と一致、または類似するものがあるかを判別する。そして、インシデント判別部１４０は、３つのリスク値について過去の事故時のリスク値と一致したか否かの組み合わせで、サイバー攻撃によるセキュリティ事故の可能性を判別する。図７に示す判別テーブルの例では、セキュリティ事故の可能性の判別処理として、可能性無し、可能性低い、可能性中、可能性高い、可能性最大の５段階に判別する。

図７の判別テーブルの「×」は、リスク数値化部１３０から得られたリスク値と、過去の事故でのリスク値が一致しない場合を示し、「○」は、リスク数値化部１３０から得られたリスク値と、過去の事故でのリスク値とが一致した場合を示す。ここでの一致には、リスク値が完全に一致した場合の他に、リスク値がほぼ一致した場合を含む。

以下、図７に示す各状態での判別例を説明する。
図７の判別テーブルの状態１は、プロセス値の偏差のリスク値が不一致（×）、セキュリティ状況のリスク値が不一致（×）、フィジカル状況のリスク値が不一致（×）のときを示す。この状態１の場合、インシデント判別部１４０は、サイバー攻撃によるセキュリティ事故の可能性が無いと判別する。

図７の判別テーブルの状態２は、プロセス値の偏差のリスク値が一致（○）、セキュリティ状況のリスク値が不一致（×）、フィジカル状況のリスク値が不一致（×）のときを示す。この状態２の場合、インシデント判別部１４０は、サイバー攻撃によるセキュリティ事故の可能性が低いと判別する。

図７の判別テーブルの状態３は、プロセス値の偏差のリスク値が不一致（×）、セキュリティ状況のリスク値が一致（○）、フィジカル状況のリスク値が不一致（×）のときを示す。この状態３の場合、インシデント判別部１４０は、サイバー攻撃によるセキュリティ事故の可能性が中と判別する。なお、この状態３は、セキュリティ状況を誤検出している可能性があるため、可能性を中としている。

図７の判別テーブルの状態４は、プロセス値の偏差のリスク値が不一致（×）、セキュリティ状況のリスク値が不一致（×）、フィジカル状況のリスク値が一致（○）のときを示す。この状態４の場合、インシデント判別部１４０は、サイバー攻撃によるセキュリティ事故の可能性が低いと判別する。

図７の判別テーブルの状態５は、プロセス値の偏差のリスク値が一致（○）、セキュリティ状況のリスク値が一致（○）、フィジカル状況のリスク値が不一致（×）のときを示す。この状態５の場合、インシデント判別部１４０は、サイバー攻撃によるセキュリティ事故の可能性が高いと判別する。

図７の判別テーブルの状態６は、プロセス値の偏差のリスク値が一致（○）、セキュリティ状況のリスク値が不一致（×）、フィジカル状況のリスク値が一致（○）のときを示す。この状態６の場合、インシデント判別部１４０は、サイバー攻撃によるセキュリティ事故の可能性が高いと判別する。

図７の判別テーブルの状態７は、プロセス値の偏差のリスク値が不一致（×）、セキュリティ状況のリスク値が一致（○）、フィジカル状況のリスク値が一致（○）のときを示す。この状態６の場合、インシデント判別部１４０は、サイバー攻撃によるセキュリティ事故の可能性が高いと判別する。

図７の判別テーブルの状態８は、プロセス値の偏差のリスク値が一致（○）、セキュリティ状況のリスク値が一致（○）、フィジカル状況のリスク値が一致（○）のときを示す。この状態６の場合、インシデント判別部１４０は、サイバー攻撃によるセキュリティ事故の可能性最大と判別する。

このようにしてインシデント判別部１４０が判別したセキュリティ事故の可能性についての結果は、プラント監視装置３１０および表示装置４５０に表示される。このセキュリティ事故の可能性の結果をプラント監視装置３１０および表示装置４５０に送る際には、判別に使用したプロセス値の偏差、セキュリティ状況、フィジカル状況などのデータについても送って、プラント監視装置３１０および表示装置４５０に表示する。さらに、インシデント判別部１４０で、インシデント原因が判別できた場合には、そのインシデント原因についてもプラント監視装置３１０および表示装置４５０に送って表示する。

［表示画面の例］
図８は、表示装置４５０の表示画面４５０ａの一例を示す。表示画面４５０ａは、異常が発生した場合の例を示す。
表示画面４５０ａの結果表示欄４５１には、異常発生日時、異常が発生している機器の名称およびＩＰアドレス、異常を検出したネットワーク、異常のレベル、異常要因を表示される。
この結果表示欄４５１の異常のレベルの箇所には、図７の判別テーブルで判別した５段階（可能性無し、可能性低い、可能性中、可能性高い、可能性最大）のいずれかが表示される。

表示画面４５０ａの異常発生時の関連プロセス値の偏差表示欄４５２には、異常発生に関連したプロセス値の偏差が、その異常発生時の前後の区間で表示される。また、関連プロセス値の偏差表示欄４５２には、異常が発生した箇所に、その異常の原因（マルウェアに感染）が文字で表示される。なお、異常の原因は、事故情報データベース部１５０に保存された過去の事故時の原因から、インシデント判別部１４０が推定することができる。

表示画面４５０ａの異常発生時の対象セキュリティ状況の変化表示欄４５３には、対象のセキュリティ状況(ネットワーク流量など)の変化が、その異常発生時の前後の区間で表示される。
表示画面４５０ａの異常発生時のフィジカル状況の表示欄４５４には、異常発生時のフィジカル状況の詳細が表示される。
例えば、フィジカル状況の表示欄４５４には、カメラが認識した人数、入退管理システム認識人数、在室中の関係者数（登録者の数）、在室中のゲスト数（非登録者の数）が表示される。さらに、フィジカル状況の表示欄４５４には、これらの人数などに基づいて得たフィジカル状況のリスクの合計値が表示される。なお、図６で説明したように、フィジカル状況のリスクを判別する際には、それぞれの人数だけでなく、在室者の行動や時間帯などによるリスク値についても判別して加えるようにしている。

また、図８に示す表示画面４５０ａでは、異常発生についての表示を行う例としたが、例えばセキュリティ事故の可能性が無いと判別した場合には、「セキュリティ事故の可能性なし」とだけ文字などで表示して、その他の一部または全ての表示を省略してもよい。

また、異常発生を示す表示画面４５０ａでは、操作信号や計測信号のトレンドグラフや各種データベースの情報を表示し、運転員がプラント２００やプラント制御装置４２０の状態を把握できるようにしてもよい。さらに、プラント監視装置３１０が表示する情報については、プラント監視装置３１０が持つ警報表示機能や装置状態表示機能に準拠した表示を行う。

以上説明したように、本例のセキュリティ監視システムによると、プロセス値やセキュリティ状況だけでなく、フィジカル状況に基づいてリスク値を算出することで、サイバー攻撃によるセキュリティ事故の可能性を適切に判別できるようになる。
例えば、図２に示した発電プラントの場合、発電プラントに送信する操作信号の値が正常な動作範囲であっても、操作信号の値が急激に変化するような、サイバー攻撃の可能性がある異常を検知した際に、その異常がサイバー攻撃による可能性がわかるようになる。
したがって、サイバー攻撃による可能性を確認した運転員は、異常な状態について迅速に対処を行うことができ、タービンの故障を回避する適切な操作ができるようになる。

また、本例のセキュリティ監視システムは、事故情報データベース部１５０が蓄積した過去のインシデントについての情報として、プロセス値の変動と、セキュリティ状況と、フィジカル状況とのそれぞれについてのリスク数値を持つことで、リスク数値を使った演算で簡単且つ正確なインシデントについての判定が可能になる。さらに、事故情報データベース部１５０が過去の事故の原因のデータも持つことで、原因の特定も可能になり、運転員などへの原因の通知が可能になる。

さらに、プロセス値とセキュリティ状況とフィジカル状況のそれぞれについてリスク数値を得る際には、インシデント発生時だけではなく、そのインシデント発生時の前後の期間から得るようにしたことで、より正確なリスク値が得られるようになる。

［変形例］
なお、本発明は、上述した実施の形態例に限定されるものではなく、様々な変形例が含まれる。例えば、上述した実施の形態例では、発電プラントの制御システムに適用した例としたが、本発明のセキュリティ監視システムは、発電プラント以外の様々な制御システムに適用が可能である。

また、図６に示すリスク値の設定処理や、図７に示すサイバー攻撃による可能性を判別する段階の数などは、それぞれ好適な一例を示すものであり、その他の処理を行うようにしてもよい。例えば、図６の例では、リスク値の設定を行う場合に、在室者を登録者と非登録者の２つに分けるようしたが、経験年数などの条件で登録者を複数のグループに分け、それぞれのグループごとに異なるリスク値を設定してもよい。

さらに、上述した実施の形態例では、フィジカル状況として、セキュリティ機器である、カメラが撮影した画像から検出した人数や行動と、入退管理システムが検出した登録者や非登録者の人数を利用した。これに対して、カメラが撮影した画像から検出したフィジカル状況と、入退管理システムが検出したフィジカル状況のいずれか一方からのみ、フィジカル状況を検出してもよい。

あるいはまた、カメラや入退管理システム以外の機器からフィジカル状況の検知を行ってもよい。例えば、図１に示す制御機器室４００に設置されたキーボードやマウスなどの入力装置４６０の操作状況を検知して、キーボードやマウスを操作する操作量の大小から、フィジカル状況のリスク値を算出してもよい。

また、上述した実施の形態例は、本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。
さらに、上述した実施の形態例において、本発明の主旨を変えない範囲内で、装置またはシステム構成の変更や、一部の処理手順の省略や入れ替えを行ってもよい。
また、顔認証処理を行うプログラム等の情報は、メモリや、ハードディスク、ＳＳＤ（Solid State Drive）等の記録装置、または、ＩＣカード、ＳＤカード、光ディスク等の記録媒体に置くことができる。

さらにまた、図１，図３などのブロック図では、制御線や情報線は説明上必要と考えられるものだけを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。また、図５に示すフローチャートにおいて、処理結果に影響を及ぼさない範囲で、複数の処理を同時に実行するか、あるいは処理順序を変更してもよい。

１１…中央処理ユニット（ＣＰＵ）、１２…ＲＯＭ、１３…ＲＡＭ、１４…不揮発性ストレージ、１５…入力装置、１６…表示装置、１００…セキュリティ監視システム、１１０…外部入力部、１２０…外部出力部、１３０…リスク数値化部、１４０…インシデント判別部、１５０…事故情報データベース部、１６０…結果データベース部、１７０…集約情報データベース部、２００…プラント、２１０…現場プラント制御装置、２２０…プラント主機、３００…中央監視室、３１０…プラント監視装置、４００…制御機器室、４１０…制御サーバ、４２０…プラント制御装置、４３０…セキュリティ機器、４４０…フィジカルサーバ、４５０…表示装置、４６０…入力装置、５１０…カメラ、５２０…入退管理システム

Claims (7)

1. 制御システムで得られたプロセス値のデータを収集すると共に、前記制御システムが管理するエリアのカメラ画像、または前記制御システムが管理するエリアの入退管理情報に基づいて、前記制御システムが管理するエリアのフィジカル状況についてのリスクを数値化したフィジカルデータを収集する入力部と、
   前記入力部で収集されたプロセス値のデータに基づいてリスクを数値化すると共に、前記フィジカルデータに基づいてリスクを数値化するリスク数値化部と、
   過去のインシデントをリスク数値として蓄積する事故情報データベース部と、
   前記リスク数値化部により得られたリスクの数値と、前記事故情報データベース部に蓄積されたリスク数値との比較で、インシデントの原因がサイバー攻撃によるものであるか否かを判別するインシデント判別部と、を備え、
   前記事故情報データベース部に蓄積される過去のインシデントについてのリスク数値は、前記制御システムにおいて発生した過去のインシデントの発生前後のプロセス値の変動と、セキュリティ状況と、フィジカル状況とのそれぞれについてのリスク数値を持つ
   セキュリティ監視システム。
2. さらに、前記事故情報データベース部は、過去のインシデントの原因の情報を持つ
   請求項１に記載のセキュリティ監視システム。
3. 前記インシデント判別部で判別された結果が蓄積される結果データベース部を備える
   請求項１に記載のセキュリティ監視システム。
4. 前記結果データベース部は、前記インシデント判別部により判別されたインシデント原因とインシデント発生前後のリスク数値を、前記事故情報データベース部に送る
   請求項３に記載のセキュリティ監視システム。
5. 前記リスク数値化部は、インシデント発生前後のプロセス値の変動から、プロセス値のデータに基づいたリスクを数値化する
   請求項１に記載のセキュリティ監視システム。
6. 前記インシデント判別部での判別結果を表示する表示部を備える
   請求項１～５のいずれか１項に記載のセキュリティ監視システム。
7. 制御システムを構成するコンピュータで、前記制御システムで得られたプロセス値のデータを収集すると共に、前記制御システムが管理するエリアのカメラ画像、または前記制御システムが管理するエリアの入退管理情報に基づいて、前記制御システムが管理するエリアのフィジカル状況についてのリスクを数値化したフィジカルデータを収集する入力処理と、
   前記コンピュータが、前記入力処理により収集されたプロセス値のデータに基づいてリスクを数値化すると共に、前記フィジカルデータに基づいてリスクを数値化するリスク数値化処理と、
   前記コンピュータが、過去のインシデントをリスク数値として蓄積する事故情報蓄積処理と、
   前記コンピュータが、前記リスク数値化処理により得られたリスクの数値と、前記事故情報蓄積処理により蓄積したリスク数値との比較で、インシデントの原因がサイバー攻撃によるものであるか否かを判別するインシデント判別処理と、を含み、
   前記コンピュータが行う前記事故情報蓄積処理で蓄積される過去のインシデントについてのリスク数値は、前記制御システムにおいて発生した過去のインシデントの発生前後のプロセス値の変動と、セキュリティ状況と、フィジカル状況とのそれぞれについてのリスク数値を持つ
   セキュリティ監視方法。

Images