JP7450277B2 - 暗号化制御システム、暗号化制御方法および暗号化制御プログラム - Google Patents

Description

本発明は、暗号化制御システム、暗号化制御方法および暗号化制御プログラムに関する。

近年、インターネット等の情報技術の発達に伴い、電力、水道などの重要インフラ、および化学プラントなどの大規模制御系において、情報技術を応用した制御系のネットワーク化が進んでいる。このようなネットワーク化した制御系（制御システム）では、システム内の各種デバイスはネットワークを介して相互接続される。

このような制御系では、各種デバイスが相互接続されることで、システム全体の処理速度の向上や処理内容の高度化等を図ることができる。また、システムの管理者は、ネットワークを介して遠隔地からプラントの監視や制御を行うことができるので、システム管理上でも多くの利益が得られる。

しかし、制御系内のネットワーク化は、利便性が向上する一方で、システムやその周囲に害をなす恐れもある。実際に、発電所や工場などのプラント動作を監視または制御する制御系に対するサイバー攻撃が出現し、社会的に重要な問題として懸念されている。例えば、2000年のオーストラリアでは、ネットワーク化した下水処理施設が攻撃され、100万リットルの下水が市街にあふれるという事故が起きた。また、2010年にイランの核関連施設がStuxnetというウィルスに感染し、設備が破壊されている。

このように、サイバー攻撃による損害は重大化する傾向にあり、ネットワーク化した制御系をサイバー攻撃から守るための技術開発が急務となっている。このため、制御工学分野でも、情報系セキュリティ技術を転用する研究や、サイバー攻撃の検知などに関する研究が進められている。
例えば、制御器（コントローラ）と制御対象（プラント）間のネットワーク通信において、信号を暗号化することにより、信号に対する盗聴や改ざんを防ぐ研究も進められている。

既に、発明者らは、制御系の中核部分に当たるコントローラにより、暗号化された入力データおよび出力データに対して一旦復号することなく暗号化されたまま直接演算処理を施すことで、コントローラ側の秘密鍵を不要とする暗号化制御システム技術を開発して特許を得ている（特許文献１参照）。この特許文献１に記載の技術では、秘密鍵はプラント側にのみに装備すればよく、秘密鍵をコントローラやプラントへ移動する必要がないので、秘密鍵が紛失または漏洩するリスクを低減させることができる。

また発明者らは、制御器（コントローラ）内部の信号やパラメータを暗号により秘匿したまま、制御入力を決定する方法を提案している（非特許文献１）。
さらに発明者らは、ElGamal暗号による128(bit)以下の鍵を用いた暗号化制御の実験を行い、リアルタイム性の検証を行った（非特許文献２）。
この非特許文献２で、発明者らは、暗号化制御系で用いる暗号鍵が長くなるにつれて処理時間が伸びることから、セキュリティと処理時間の間にトレードオフの関係があると報告している。処理時間とは、「暗号化と復号」の処理にかかる時間であり、暗号鍵を長くすると、復号のみならず、暗号化のための処理時間も増えることが分かっている。

ここで、リアルタイム性について説明しておく。リアルタイム性とは、システムが１つの処理を始めてから終わるまでの処理時間に対する時間的制約をいう。例えば、ある制御系に対し、10(ms)につき１回の暗号化制御を行うように設計するならば、処理時間は必ず10(ms)以内に収まらなければならない。この検証方法は、実験装置を使って実際に１万回、10万回と暗号化制御を繰り返し実行して処理時間を計測する。そして、制御中に一度も処理時間が10(ms)という時間的制約を超えなかった場合に、この制御系は、10(ms)のサンプリング周期でリアルタイム性が保証されたという。

一般に、個人の口座番号などのプライバシーを管理する場合には、少なくともその個人の生涯に亘って個人の口座番号などのプライバシーを秘匿し続けなければならない。したがって、個人の存命中のような極めて長い期間、暗号の解読ができないようにする必要があり、そのためには、現実的には解くことが困難な強い暗号化方式を用意することが必要になる。

これに対して、多くの制御系では、10年～20年程度の耐用年数が設定されている。つまり、耐用年数内でサイバー攻撃を防ぐことさえできれば、制御対象が耐用年数を超えた後に秘密鍵および入出力信号が露出しても問題ないケースも多く存在する。
このため、既存の暗号化制御系に使われる鍵長設計問題では、特に解読が困難な機密性が重視されるのに対し、耐用年数内のサイバー攻撃を防ぐことを目的とする暗号化制御系では、制御系の機密性と可用性を両立させた新しい鍵長設計指標が求められている。

特許第６３６０７８１号公報

K.Kogiso R.Baba and M. Kusaka "Development and Examination of encrypted control system" In Proceedings of International Conference on Advanced Intelligent Mechatronics, No. ThBT4.4,(2018) 日下、小木曽 多倍長整数ライブラリを用いた暗号化制御系におけるリアルタイム性における実験的考察 第61回自動制御連合講演会、p149/151(2018)

特許文献１に記載される暗号化制御システムでは、使用される公開鍵と秘密鍵のペアは１組だけであり、公開鍵と秘密鍵は更新されないため、クラウドコンピューティング等の膨大な計算機資源を用いると暗号文を解読されてしまう恐れも否定できない。

発明者らは、この問題を解決するためにElGamal暗号に注目した。ElGamal暗号は、離散対数問題の解を求める困難性を安全性の根拠にする暗号化方式である。
しかし、ElGamal暗号でも既に768（bit）位数を持つ有限体上の離散対数問題が解けた事例もあり、さらにセキュリティの高い暗号化システムが求められている。発明者らは、制御対象の耐用年数内において全ての鍵解読を回避することが可能な鍵長設計問題を検討し、暗号化制御の実システムへの適用を目指している。

すなわち、発明者らは、従来の暗号化制御システムで用いられる暗号鍵（公開鍵および秘密鍵）よりも、短い鍵長で耐用年数（10～20年）内の鍵解読を防ぐために、ElGamal暗号の動的拡張を行う方法を見出した。そして、制御信号および計算を秘匿したままで制御シミュレーションを行い、耐用年数内での制御対象に対するセンサのセンシング時間単位で暗号鍵（公開鍵、秘密鍵）を更新する仕組みを考察した。

したがって、本発明の目的は、暗号鍵および暗号文が所定の時間単位（ステップ）で動的にかつ際限なく更新される暗号化制御システム、暗号化制御方法および暗号化制御プログラムを提供することにある。

上記課題を解決するために、本発明の暗号化制御システムは、制御系内の情報を暗号理論により秘匿可能とする暗号化コントローラにより制御対象を制御する暗号化制御システムであって、暗号化するステップ毎に、秘密鍵および公開鍵を動的に更新する暗号鍵更新部と、暗号文を動的に更新する暗号文更新部と、を備える。

また、本発明の暗号化制御システムにおける暗号鍵更新部および暗号文更新部はそれぞれ乱数生成器を備え、全ての乱数生成器は同時刻のステップで同じ乱数を生成し、乱数生成器で生成された乱数と暗号化制御パラメータとの乗算剰余処理を行うことにより、秘密鍵、公開鍵の更新および暗号文の更新を行うようにしている。

更に、本発明の暗号化制御システムでは、暗号鍵更新部は、現在時刻のステップで使用した暗号鍵から制御系の制御則に基づいて、次回の時刻のステップで用いる暗号鍵を演算により作成して暗号鍵を更新し、暗号文更新部は、現在時刻のステップで使用した暗号文から制御系の制御則に基づいて、次回の時刻のステップで用いる暗号文を演算により作成して暗号文を更新するようにする。

本発明によれば、従来の暗号化制御システムの鍵長に比べて、比較的鍵長を短くしても、制御系の耐用年数内における全鍵解読を回避することが可能になる。
上記した以外の課題、構成および効果は、以下の実施形態の説明により明らかにされる。

本発明の実施形態に係る暗号化制御システムの暗号化制御の原理を説明するための図である。 本発明の暗号化制御に係る暗号鍵（秘密鍵、公開鍵）と暗号文が更新される原理を示すブロック図と毎ステップで更新される様子を示す図である。 本発明の暗号化制御に係る制御シミュレーションにおける出力応答と誤差応答を示す図である。 本発明の鍵更新を行う動的な暗号化制御と従来の静的な暗号化制御の比較を示す波形図である。 本発明の鍵更新を行う動的な暗号化制御の鍵サイズと処理時間を、従来の離散対数問題の解との比較で説明する図である。 本発明の実施形態に係る暗号化制御システムの全体構成を示す概略図である。 本発明の実施形態に係る暗号化制御システムの入力装置のハードウェア構成を示すブロック図である。 本発明の実施形態に係る暗号化制御システムのコントローラのハードウェア構成を示すブロック図である。 本発明の実施形態に係る暗号化制御システムのプラント側制御装置のハードウェア構成を示すブロック図である。 本発明の実施形態に係る暗号化制御システムのソフトウェア機能を示すブロック図である。 本発明の実施形態に係る暗号化制御システムの暗号化制御システムの同期運転を説明するフローチャートである。 本発明の実施形態に係る暗号化制御システムの暗号化制御システムにおける動作を説明するシーケンス図である。 本発明の実施形態の変形例に係るコントローラの制御ネットワークにおけるソフトウェア機能を示すブロック図である。

まず、本発明の暗号化制御システムの実施形態例を説明する前に、本発明の暗号化制御システムで使用されるElGamal暗号について、その概略を説明しておく。
以後の説明では、Ｚ_ｎを０以上ｎ未満の整数集合、Ｚ_ｎ ^ｘをＺ_ｎの中で互いに素となる要素の集合とする。また、Ｍを暗号化に用いることが可能な整数値（平文）の集合とする。
ElGamal暗号のアルゴリズムは、鍵生成（Gen）、暗号化（Enc）、復号（Dec）の３つのアルゴリズムから構成される。

鍵生成アルゴリズム（Gen）は、設計者が与えるパラメータkを元に公開鍵k_p：=（G,q,g,h）および秘密鍵k_s:=sを出力する。
但し、qはk (bit)の素数、ＧはＺ_p ^ｘに含まれ、（p-1）mod q=0 である素数pを法とした位数qの巡回群、gは巡回群Ｇの生成元である。秘密鍵k_sは、公開鍵k_pのパラメータg、hと秘密鍵k_sのパラメータsとの間で、h=g^s mod pが成立するように設計される鍵である。巡回群を表す記号Ｇは、一般の暗号化方式で用いられる集合を表す記号であり、ここではＧ＝Ｍ、すなわち、平文空間Ｍと一致する。

ここで、暗号鍵、公開鍵および秘密鍵について、その言葉の意味と符号について説明しておく。暗号鍵という場合、通常、公開鍵と秘密鍵の両方を含む用語として用いている。暗号鍵は、「cryptographic key」を和訳した専門用語であり、経済産業省の外郭団体である独立行政法人情報処理推進機構（ＩＰＡ）が公開する定義によれば、暗号鍵は「暗号化および復号化の処理を制御するシンボルの連続」とされている。

公開鍵はk_p(t)で表し、秘密鍵はk_ｓ(t)で表す。(t)は、公開鍵、秘密鍵とも時間とともに変化する変数であることを示している。なお、公開鍵k_p：=（G,q,g,h）と表記したのは、ElGamal暗号の公開鍵k_pは、巡回群Ｇ、素数q、巡回群Ｇの生成元g、時間(t)とともに変化するh(t)の４つのパラメータを含むからである。すなわちh(t)は、公開鍵k_p(t)を構成する１つのパラメータであるが、このh(t)以外のパラメータは時間とともに変わらないため、以降の計算式等では公開鍵k_p(t)を公開鍵h(t)と読み替えて説明する場合がある。 また、ElGamal暗号の秘密鍵k_s(t)は、変化するパラ-メータs(t)だけで構成されるので、秘密鍵k_s(t)は、秘密鍵s(t)と同義である。したがって、以降の計算式等では秘密鍵k_s(t)を秘密鍵s(t)として説明することもある。

暗号化アルゴリズム（Enc）は、公開鍵k_p：=（G,q,g,h）を用い、平文の集合Ｍに属する平文mを暗号化する。暗号文ベクトルＣは、後述するスカラー値c₁、c₂の２つの成分から構成される。暗号文ベクトルＣは数１式で表される。

この数１式は、平文ｍを公開鍵k_pで暗号化したものが、暗号文ベクトルＣになることを示している。暗号文ベクトルＣの構成要素であるスカラー値c₁、c₂は、数１式で示されるように、それぞれgⁿ mod p、mhⁿmod pで示される。但し、nは暗号化する際に整数集合Ｚ_qから一様に選ばれる乱数である。ここで、「一様に選ばれる乱数」とは、一様分布に従うランダムな値から選ばれる乱数を意味する。すなわち、整数集合Ｚ_qの中の、全要素である０以上ｑ未満の整数値から、同じ確率で選ばれる整数値を乱数ｎとする。

復号アルゴリズム（Dec）は、秘密鍵k_s：＝sと公開鍵k_p：=（G,q,g,h）を用いて暗号文ベクトルＣを数２式に従って復号し、平文m’を出力する。復号が正しく行われたときには、m’=mとなる。

但し、(c₁)^-sは、(c₁)^sのｐを法（除数）とするモジュラー逆数である。暗号文Ｃが数１式により暗号化されていれば、数３式が成立する。この数３式は、平文ｍを公開鍵k_pで暗号化したものを、秘密鍵k_sで復号すると元の平文ｍに戻ることを数式で示したものである。

次に、本発明の暗号化制御システムの原理について説明する。ここでは、Ｒは実数集合、Ｎは自然数集合、Ｚは整数集合とする。本発明の暗号化制御システムで用いられる離散時間制御器は、事前に設計されており、その入出力関係は、数４式で示す制御則ｆで記述されるとする。

ここで、ｔは自然数集合Ｎの要素であり、現在の日時を自然数で丸めて示したステップ（t=1,2,3,4・・・）である。また、Φは制御器の制御パラメータであり、制御パラメータK_p、K_i、K_dを総括的に示す記号である。なお、K_pは比例要素、K_iは積分要素、K_dは微分要素を指す。ζは制御器の状態ベクトルxと制御器への入力u_cをまとめた入力ベクトルである。状態ベクトルｘとは、状態変数のベクトルであり、状態変数とは、制御対象や制御器など、制御系が持つ状態を数値として表した変数である。
行列Ａ、Ｂ、Ｃ、Ｄは、制御パラメータΦを表す係数行列であり、制御対象に対して知識のある管理者（責任者）によって、制御工学に基づいて適切な係数が設定される。

Ψは、制御入力uと更新した状態ベクトルxの計算過程をまとめた行列である。写像fは、行列とベクトルの積を表す。f^×は、Φの行ベクトルとζの列ベクトルの乗算を表す。また，f⁺は、行列の列ベクトル同士で足し合わせる写像を表す。このとき、写像fは、f⁺とf^×の合成関数として表すことができる。Ψは、写像f^×の出力であると同時に写像f⁺の入力であり、写像fの計算過程をまとめた行列である。

また、ｘ(t)は、時刻ｔにおける制御器の状態を示すベクトルであり、ｕ(t)は制御入力を示す。u_c(t)は制御器への入力である。数４式からも、ζが制御器の状態ベクトルxと制御器への入力u_cをまとめた入力ベクトルであることが分かる。数４式は、入力ベクトルζと制御パラメータΦとの乗算を意味しているが、この数４式から制御器への入力ベクトルζ(t)と制御パラメータΦの乗算により、制御入力u(t)が得られること、および制御器の状態ベクトルｘ(t)と制御パラメータΦの乗算により、制御器の状態ベクトルｘ(t)がx(t+1)に更新されることが分かる。そして、対象となる制御系の制御則ｆが数４式で与えられ、暗号化方式（Gen,Enc,Dec）として、関数fεが数５式を満たすとき、関数fεを関数fに対する暗号化制御と呼ぶ。

この数５式は、制御器の制御パラメータΦを公開鍵k_pで暗号化したものと、制御器の入力ベクトルζを公開鍵k_pで暗号化したものを、暗号化制御則fεに従って秘密鍵k_sで復号するとf(Φ,ζ(t))が得られることを示している。
ここで、暗号化方式（Gen,Enc,Dec）にElGamal暗号を用いると、平文空間Ｍは、公開鍵k_p：=（G,q,g,h）を用いて、数６式で定義される。数６式でｇは巡回群Ｇの生成元であり、公開鍵k_pの１つのパラメータである。ｐは公開鍵のパラメータｑから導かれる素数である。なお、ElGamal暗号の安全性を保つためには、平文空間Ｍは、実数集合Ｚpの部分群として定義する必要がある。

観測値および制御器のパラメータは実数であるため、暗号化する際には、数７式で示すような、丸めの誤差を低減するための係数γを使って、平文空間Ｍの元への丸めが必要である。

ここで、yは実数ベクトル、γyは集合Ｍの要素の整数ベクトル、y_i、d_iはベクトルy、dのi番目の要素である。γは、集合Ｍへの丸めの誤差を低減するために乗ずる整数値であり、平文変換ゲインと呼ぶ。Ｑは実数ベクトルｙを集合Ｍの要素の整数ベクトルに変換する写像である。

ここで、平文変換ゲインγと集合Ｍへの丸めについて、さらに詳しく説明する。ｙは実数であるから、小数点以下の数字が繰り返し現れる。一例として、観測値yが「y=2.3568937…」と小数点以下が続く実数であったとする。この数字を整数に丸めると、小数点以下を切り捨てて「2」になる。このときの観測値ｙとの誤差は約35.7％になる。平文変換ゲインγ=10として、10yにすると「γy=23.568937…」、この数値γyを整数に丸めると「23」になり、誤差は約5.7%になって、平文変換ゲインγを掛ける前と比較すると、誤差が大幅に小さくなることがわかる。以上が集合Ｍへの丸めの意味である。

＜暗号化制御系の鍵長設計問題＞
まず、攻撃者が鍵を解読する方法（手順）を説明する。攻撃者がネットワーク上で公開鍵k_pのパラメータｈと素数ｐを入手した場合、攻撃者は数８式を満足する秘密鍵パラメータｓを特定する必要がある。なお、ｐは公開鍵k_pのパラメータｑから求められる素数である。

この数８式で、公開鍵k_pのパラメータｈと素数ｐから秘密鍵パラメータｓを求める問題が離散対数問題である。この問題の解法については、準指数時間アルゴリズムという手法が知られている。そして、この準指数時間アルゴリズムを用いて、数８式の離散対数問題を解くのに要する予想時間Ｌ_pは数９式になることも知られている。

ここで、ｐは、ｐ＝２ｑ＋１（ｑは素数）で表され、鍵長k(bit)に対して2^k<p<2^k+1となる素数である。素数ｑを与えるｐを安全素数と呼ぶ。ｖおよびｃはアルゴリズムにより決まる定数で、指数計算法では、v=1/2、c=1であり、数体ふるい法では、v=1/3、c=(64/9)^1/3である。また、ｐ→∞のとき、o(1)は０に収束する。
鍵長k(bit)が大きくなるにつれて、計算時間L_pが指数的に増加するので、十分大きなｋの下では、離散対数問題を解くことは困難であるとされている。

そこで、発明者らは、暗号化制御系の稼働中に全入出力信号の漏洩を防ぐために、制御系の耐用年数内（例えば10～20年）での鍵解読が困難な鍵長の設計問題を検討した。
制御系の耐用年数をL_u(sec)、攻撃者が全ての鍵解読に要する時間をL_a(sec)とする。すると、L_u(sec)≧L_a(sec)であれば、攻撃者は暗号化制御系の稼働中に全ての秘密鍵を入手できるから、攻撃者にとっては、全時刻の入出力信号の解読が可能になる。

しかし、一方で、L_u(sec)＜L_a(sec)であれば、攻撃者は暗号化制御系の稼働時間内に全ての秘密鍵を特定することができない。つまり、この場合、暗号化制御系は、全時刻の入出力信号が漏洩する前に制御系の寿命（耐用年数）が来るため、万が一に攻撃者が全ての秘密鍵を特定しても、制御系に対して攻撃する機会がなくなってしまう。
以上の議論から、鍵長設計問題は、L_u(sec)＜L_a(sec)を満たす最小の鍵長k(bit)を求める問題に帰着させることができる。

鍵を更新しない静的な暗号化制御系では、攻撃者が全ての鍵解読に要する時間L_a(sec)は、数９式で示した離散対数問題を解くのに要する予想時間L_p(v,c)と等しくなる。例えば、制御系の耐用年数L_u(sec)を30年(≒9.46×10⁸sec)として、攻撃者が480(GFLOPS：Giga Floating-point Operations Per Second)の性能の計算機を用いて数体ふるい法を実行した場合には、L_u(sec)＜L_a(sec)を満たす最小のｋは601(bit)となる。
このk=601(bit)を有する暗号をリアルタイムで解くことが可能な高性能な計算機は限られるので、従来のように鍵を更新しない静的な暗号化制御系は現実的ではない。
一方、通称ラズパイとも呼ばれるＡＲＭ(アーム)プロセッサを搭載したシングルボードコンピュータであるRaspberry Piを用いた実験では、鍵長128(bit)までが限度である。

＜動的拡張による解法＞
そこで、発明者らは、公開鍵k_p(t)および秘密鍵k_s(t)を時刻（ステップ）tに従って動的に更新することにより、短い鍵長でリアルタイム性の実現を可能とする暗号制御システムを考察した。
すなわち、発明者らは、鍵長設計問題に対する解法として、鍵を複数個実装することによりElGamal暗号の動的拡張を行い、暗号化制御系の鍵長設計問題の解をより短い鍵長の鍵で得ることに成功した。

先に説明した、制御系の耐用年数L_uと攻撃者が全ての鍵解読に要する時間L_aとの比較では、単一の鍵でL_u(sec)＜L_a(sec)を満たす最小の鍵長ｋは601(bit)であった。しかし、これが２個の鍵であれば、最小の鍵長ｋはもっと短いビット長で済む。暗号鍵が３個であれば更に鍵長ｋを短くできる。この考えを拡張し、制御系のステップ応答毎に暗号鍵を更新することを考えると、L_u(sec)＜L_a(sec)を満たす最小の鍵長ｋは128(bit)よりも短くしても問題がなくなる。つまり、暗号鍵の数が膨大になれば、攻撃者による全ての暗号鍵の解読が事実上不可能になる。すなわち、制御系のステップ応答毎に暗号鍵を更新する技術思想を導入することにより、前述のシングルボードコンピュータのような非力な計算機資源でも、十分に実用的な暗号化制御システムを実現することが可能になる。

発明者らは、ElGamal暗号の公開鍵k_p(t)、秘密鍵k_s(t)、暗号文Ｃ(c₁(t),c₂(t))に対して、数１０式に示す更新式に基づいて毎ステップで更新させることにした。数１０式では、公開鍵k_p(t)をElGamal暗号のパラメータの一つであるh(t)で表し、秘密鍵k_s(t)を同じくパラメータs(t)で表している。したがって、以降の数式の説明では、単に、公開鍵h(t)、秘密鍵s(t)として説明する。

ここで、v(t)、w(t)は、整数集合Ｚ_ｑの元をなす乱数である。この更新則がすべてのステップで離散対数問題の解を与えることを証明するために、次のステップの秘密鍵s(t+1)、公開鍵h(t+1)および暗号文Ｃ(c₁(t+1)、c₂(t+1))について以下に示す２つの定理が考えられている。
［定理１］（鍵の更新）
暗号鍵（公開鍵と秘密鍵）において、公開鍵の初期値h(0)および秘密鍵の初期値s(0)が暗号化制御アルゴリズム（Gen）で求まるものとして、暗号鍵の更新が数１０式で与えられるならば、公開鍵h(t)および秘密鍵s(t)はすべての時刻tで数３式を満足する。

この定理１は、以下の数１１式のように、数３式で示される時刻(t+1)の復号アルゴリズムDecの式を変形して時刻(t)の復号アルゴリズム（Dec）の式を導くことにより証明することができる。
ここで、n(t)は、n(t+1)=(n(t)+v(t))mod q という式でステップ毎に更新される乱数である。同じ乱数であるが、n(t)は、数１０式で用いたv(t)、w(t)とは異なり、数１式にて使用する乱数ｎである。

［定理２］（暗号文更新）
暗号文の更新が数１０式で与えられるならば、暗号文ｃ₁(t)、c₂(t)は、全ての時刻tで数３式を満たす。
この定理２も、数１２式に示すように、数３式が成り立つことを確認することで、証明することが可能である。

以上説明したように、公開鍵h(t)、秘密鍵s(t)、および暗号文c₁(t)、c₂(t)が乱数を用いて更新できることが分かった。さらに、数１０式によって更新される暗号文c₁(t+1)、c₂(t+1)は乗法に対して準同型性を満たすことも分かった。

数１０式に示す更新式により、制御系で用いる公開鍵h(t)と秘密鍵s(t)を、乱数を用いてサンプリング周期T_sごとに更新することを考える。サンプリング周期T_sごとに更新するため、制御系と同じ乱数発生器を持たない攻撃者は、仮に秘密鍵s(t)を取得しても、s(t+1)に更新することは困難である。

なお、サンプリング周期T_sは、制御系の種類によって異なる。例えば、制御対象が機械ロボットのようなものであれば、この機械ロボットのサンプリング周期T_sは0.1msec程度の周期で切り替えることが考えられる。これに対して化学プラントなどの大型のプラントであれば、数か月または数年に一度ということもあり得る。すなわち、サンプリング周期T_sは、どの程度の速さで制御対象をセンシングするかで決まる値であり、制御対象によって短い周期になったり、長い周期になったりする。一般的には、ゆっくり動くものは長い周期になり、速く動くものは短い周期になる。

なお、耐用年数L_u内のサンプリング数（ステップ数）は、制御系の耐用年数L_uをサンプリング周期T_sで割った値L_u/T_sステップである。一方、秘密鍵s(t)の取り得る値はｑ通り（ｑはk(bit)の素数）である。
ここで、q≧L_u/T_sであれば、全ての鍵解読に要する時間L_aは、L_ａ=(L_u/T_s)L_p{v,c}になる。なお、L_pは、準指数時間アルゴリズムを用いて、離散対数問題を解くのに要する予想時間である（数９式参照）。

数１０式に示す更新式を用いた暗号化制御系における鍵長設計問題は、耐用年数L_uおよびサンプリング周期T_sのいずれも０より大きい正の値であり、T_s<L_p{v,c}となる。
例えば、サンプリング周期T_s=1.0×10^-2(sec)とした場合、T_s<L_p{v,c}を満たす最小のk(bit)の値は105(bit)になる。また、サンプリング周期T_sを更に短くして、T_s=1.0×10^-３(sec)とすると、最小のk(bit)の値は83(bit)になる。このことから、数１０式に示した更新式により、ElGamal暗号を動的に拡張すると、従来より短い鍵長であっても、１サンプリング周期T_s内で全入力信号を特定することは困難であるということができる。

＜制御シミュレーション＞
次に、数１０式の更新式を用いて、公開鍵、秘密鍵および暗号文が更新されていること、および制御性能が大きく変化しないことをシミュレーションにより確認する。そのため、一次遅れ系に対し、サンプリング周期T_s=1.0×10^-2(sec)として離散化したＰＩＤ制御器を設計し、初期位置を「１」、初期速度を「０」として、目標位置「０」へ収束させる制御シミュレーションを行った。
まず、k=128(bit)の公開鍵を用いて、制御器および信号を暗号化し、従来の制御器と同じ条件でシミュレーションを行った。公開鍵h(t)および秘密鍵s(t)の更新周期はサンプリング周期と同じにした。

図１は、この制御シミュレーションを行う制御器（暗号化コントローラ）１０と制御対象２１を含むプラント２０との間に復号部３０と暗号化部４０を設けた暗号化制御方式の原理を説明するための概略図である。図１では、プラント２０と制御対象２１を分けて記載しているが、この２つは実質的に同義と考えても差し支えない。

図１を参照して、制御工学における一般的なフィーバック制御の一種である、入力値の制御を出力値と目標値との偏差によって行う方法であるＰＩＤ（Proportional Integral Differential Controller）制御器を例として説明する。
図１に示すように、制御対象２１を含むプラント２０に対して、目標値ｒが設定される。
この目標値ｒは復号部３０からプラント２０に向けて供給されるものであるが、これを実現する上で、暗号化コントローラ１０に暗号化目標値Enc(r)が供給される。
また、復号部３０からの制御入力ｕによって制御される制御対象２１を不図示のセンサでセンシングすることにより、制御対象２１から観測値ｙが出力される。

この観測値ｙは減算器２２において、復号部３０で復号された目標値ｒとの減算がなされ、減算器２２から目標誤差ε(=r-y)が出力される。なお、ここで復号部３０から出力される目標値ｒは、プラント２０の制御対象２１によって異なるが、図４で後述するＰＩＤ制御シミュレーションでは、初期位置を「１」、初期速度を「０」、目標位置「０」に設定している。減算器２２から出力される目標誤差εは、暗号化部４０に送られる。

復号部３０から暗号化コントローラ１０の状態ベクトルxも出力され、暗号化部４０に送られる。暗号化部４０では、暗号化コントローラ１０の状態ベクトルxと目標誤差εをまとめた入力ベクトルζが生成され、公開鍵k_p(t)によって暗号化される。そして、暗号化部４０より暗号化入力ベクトルEnc(ζ)が出力され、暗号化コントローラ（制御器）１０に送られる。なお、この暗号化入力ベクトルEnc(ζ)は、暗号化された状態ベクトルEnc(x)と、暗号化された目標誤差Enc(ε)を含む。

暗号化コントローラ１０には、暗号化入力ベクトルEnc(ζ)の他に、暗号化された目標値Enc(r)、第１暗号化制御パラメータEnc(K_p)、第２暗号化制御パラメータEnc(K_i)、および第３暗号化制御パラメータEnc(K_d)が供給されている。
例えば、最も単純な比例制御で説明すると、比例制御では誤差に比例ゲインをかけるため、Enc(K_p)×Enc(ε)mod p=Enc(u)になる。この計算は平文同士でK_p×εを計算したものと一致する。

暗号化コントローラ１０に供給される第１～第３暗号化制御パラメータEnc(K_p)、Enc(K_i)、Enc(K_d)は、代表的な暗号化制御パラメータである。この暗号化制御パラメータに暗号化された入力ベクトルEnc(ζ)を乗算剰余の処理演算を行うと、暗号化された暗号化コントローラ（制御器）１０の出力行列Enc(Ψ)が出力される。出力行列Enc(Ψ)は、暗号化制御信号Enc(u)および更新された暗号化状態ベクトルEnc(x)を含む。

暗号化コントローラ１０から出力される暗号化された出力行列Enc(Ψ)および暗号化された目標値Enc(r)は、復号部３０に加えられ、復号部３０で復号されて、制御信号u、状態ベクトルxおよび目標値ｒが生成される。そして、制御信号uは制御対象２１を制御するために利用される。また、目標値ｒはプラント２０の減算器２２に送られ、制御器の状態ベクトルxはプラント２０を経由して暗号化部４０に送られる。

この図１に示す処理は、毎ステップ（サンプリング周期T_s）で繰り返され、毎ステップで暗号化部４０の暗号化に用いられる公開鍵h(t)、復号部３０の復号に用いられる秘密鍵s(t)および暗号文Ｃ(c₁(t),c₂(t))が更新される。この公開鍵h(t)、秘密鍵s(t)および暗号文Ｃ(c₁(t),c₂(t))の更新処理は、数１０式で述べた更新則に従って行われる。 暗号文Ｃは、図１における暗号化制御パラメータEnc(K_p)、Enc(K_i)、Enc(K_d)、暗号化目標値Enc(r)、暗号化制御信号Enc(u)、暗号化状態ベクトルEnc(x)及び暗号化目標誤差Enc(ε)の全てを含む。

なお、ここで復号部３０および暗号化部４０と暗号化コントローラ（制御器）１０は伝送路を介して接続されている。図１では、暗号化コントローラ（制御器）１０以外の構成要素は、点線で囲っている。点線で囲ったことの意味は、復号部３０、暗号化部４０は、プラント２０と密接に関係していること、そして復号され制御信号ｕ、目標値ｒ、目標誤差ε、状態ベクトルxは、平文の状態で伝送路に出力されないことを意味している。

図２Ａは、公開鍵h(t)、秘密鍵s(t)、暗号文c₁(t)、c₂(t)を数１０式に示す更新則で更新する際の機能を示すブロック図である。図２Ａに示すように、鍵更新を実行する機能ブロックとしては、記憶部５０、乱数生成器５１、秘密鍵更新部５２、公開鍵更新部５３、暗号文更新部５４、５５、乱数更新部５６を備える。

図２Ａに示すように、最初のステップ（t=0）で、各パラメータの初期値が記憶部５０に記憶される。p、qは素数、gは巡回群Ｇの生成元であり、これらのスカラー値ｐ、ｑ、ｇは時間変化のない固定された数である。また、記憶部５０には、ステップ（t=0）の秘密鍵パラメータs(0)、ステップ（t=0）の公・BR>J鍵パラメータH(0)、ステップ（T=0）の乱数N(0)が記憶される。さらに、記憶部５０には、ステップ(T=0)の暗号化制御パラメータENCΦ(0)も記憶される。秘密鍵パラメータS(0)、公開鍵パラメータH(0)、乱数N(0)および暗号化制御パラメータENCΦ(0)は、数１０式で計算する際に、秘密鍵S(T)、公開鍵H(T)、暗号文C₁(t)、c₂(t)を毎ステップで更新する初期値となる。

記憶部５０に記憶されている固定パラメータ（ｐ、ｑ、ｇ）と時間とともに更新されるパラメータの初期値（s(0)、h(0)、n(0)、EncΦ(0)）は、その用途に応じて選択され、秘密鍵更新部５２、公開鍵更新部５３、暗号文更新部５４、５５および乱数更新部５６に送られる。また、乱数生成器５１で生成される乱数v(t)、w(t)も記憶部５０からの各パラメータとともに、秘密鍵更新部５２、公開鍵更新部５３、暗号文更新部５４、５５および乱数更新部５６に送られる。なお、更新されるパラメータの初期値（s(0)、h(0)、n(0)、EncΦ(0)）は、時刻ｔ（ステップt=1、2、3、4・・・）で更新されると、その時刻（ステップｔ）での値（s(t)、h(t)、n(t)、EncΦ(t)）となって、記憶部５０に保存される。 そして、保存されたステップｔにおける秘密鍵s(t)、公開鍵h(t)、乱数n(t)、暗号化制御パラメータEncΦ(t)は、次のステップ(t+1)の更新の際に利用される。

秘密鍵更新部５２は、秘密鍵の初期値s(0)を数１０式の第１式に従って乱数w(0)を使って更新し、次のステップ（t=1）の秘密鍵s(1)を得る。公開鍵更新部５３は、公開鍵の初期値h(0)を数１０式の第２式に従って乱数w(0)を使って更新し、次のステップ（t=1）の公開鍵h(1)を得る。暗号文更新部５４は、暗号化制御パラメータの初期値EncΦ(0)を数１０式の第３式に従って乱数v(0)を使って更新し、次のステップ（t=1）の暗号文c₁(1)を得る。

また、暗号文更新部５５は、暗号化制御パラメータのEnc初期値Φ(0)から得られる暗号文の初期値c₁(0)、c₂(0)と乱数v(0)、w(0)を用いて数１０式により更新し、暗号文c₂(1)を得る。乱数更新部５６は、記憶部５０から取り出した乱数の初期値n(0)と乱数生成器５１からの乱数v(0)を用いて、次のステップで利用する乱数n(1)を生成する。この乱数n(t)の更新式は数１０式では示されていないが、以下の式が用いられる。
n(t+1)=（n(t)+v(t)）mod q
このようにして、ステップ（t=1）で更新された秘密鍵s(1)、公開鍵h(1)、暗号文c₁(1)、c₂(1)および乱数n(1)は、記憶部５０に記憶または上書きされ、次の更新ステップの新たな初期値として利用される。

図２Ｂは、公開鍵h(t)と秘密鍵s(t)、そして暗号文制御パラメータEnc（Φ）がサンプリング周期T_sに相当する毎ステップで更新される様子を示したものである。図２Ｂで示すEnc（Φ）は、図１の第１暗号化制御パラメータEnc(K_p)、第２暗号化制御パラメータEnc(K_i)、および第３暗号化制御パラメータEnc(K_d)を代表して示した暗号化制御パラメータである。すでに述べたように、暗号化制御パラメータEncΦ(t)の更新は暗号文C(c₁,c₂)の更新と同義である。

図２Ｂに示すように、公開鍵h(t)、秘密鍵s(t)および暗号文C(c₁(t),c₂(t))が毎ステップで更新され、その更新は繰り返される。数１０式で説明したように、f₁は秘密鍵s(t)を更新する写像であり、秘密鍵s(t)と乱数ｗ(t)を入力して新しい秘密鍵s(t+1)を作る。また、f₂は公開鍵h(t)を更新する写像であり、公開鍵h(t)と乱数ｗ(t)を入力して新しい公開鍵h(t+1)を作る。f₃は暗号文c₁を更新する写像であり、暗号文c₁(t)、乱数ｖ(t)を入力して新たな暗号文c₁(t+1)を作る。同様に、f₄は暗号文c₂(t)を更新する写像であり、暗号文c₁(t)、c₂(t)、乱数v(t)、w(t)を入力して新たな暗号文c₂(t+1)を生成する。

このように、ElGamal暗号を用いて鍵更新を行う暗号化制御方法によれば、無数の暗号鍵と暗号文を作成することが可能になる。例えばk=32(bit)であれば、2,147,483,693通りの鍵生成が可能となり、一度流出した鍵を用いる頻度が低下するため、鍵の有効性および機能性は著しく向上する。

図３Ａは、ＰＩＤ制御器のシミュレーションにより、k=128(bit)の公開鍵を用いて制御器および信号を暗号化した場合(ECS(128bit))と暗号化しなかった場合(normal PID)の出力応答を示す。横軸は時間(sec)、縦軸はアウトプット（観測値）ｙである。図３Ａに示すように、暗号化した場合でも暗号化しない場合でも、両者はほぼ一致している。図３Ｂは、暗号化した場合の応答と暗号化しない場合の応答の差分(y-ECSy)を示したものである。図３Ｂから、両者の応答の誤差は、倍精度浮動小数点型の保証範囲(15桁)内に収まっていることが分かる。

図４Ａ～図４Ｃは、従来の静的な鍵と本発明における動的に拡張した鍵を用いた場合の秘密鍵(s)、公開鍵(h)および暗号化制御パラメータEnc(K_p)を比較して示した図である。なお、暗号化制御パラメータEnc(K_p)は比例制御に特化してシミュレーションした結果である。
静的な鍵を用いた場合は秘密鍵(s)が一定値なのに対して、図４Ａから分かるように、数１０式の更新則によって更新された場合は、秘密鍵(s)が激しく変化している。また、同様に、公開鍵(h)も静的な鍵を用いた場合は一定値であるが、図４Ｂから分かるように、数１０式の更新則によって更新された場合は、激しく変化している。つまり、全ての時刻において秘密鍵(s)、公開鍵(h)が更新されていることが分かる。

図４Ｃは、暗号文の一例である比例制御の暗号化制御パラメータEnc(K_p)のゲインであるが、この値も大きく変化しており、毎ステップで更新されていることが分かる。図４Ｃの暗号化制御パラメータEnc(K_p)の激しい変動は、暗号文Ｃも同様に激しく変動していることを意味する。なお、図４Ｃでは暗号文Ｃ(c₁,c₂)のうちのスカラー値c₁(t)の変動のみを示しているが、スカラー値c₂(t)も同様に変動することは言うまでもない。

このように、図４Ｃに示すように暗号文Ｃは激しく変化しているが、図３Ａから制御シミュレーションが正しく行われているといえるから、対応する平文は一定であることが分かる。すなわち、平文が一定の値であっても、公開鍵(h)が時々刻々と更新されるために、暗号文Ｃの値が時々刻々と変化するので、悪意ある第三者に対して平文を確実に隠蔽することに成功している。図４に示すように、暗号文Ｃ、秘密鍵(s)、および公開鍵(h)はすべて同じように激しく変化していることから、数１０式の秘密鍵(s)、公開鍵(h)、暗号文Ｃ(c₁(t),c₂(t))の更新式は有効に機能していることが分かる。

図５Ａ、図５Ｂは、離散対数問題に係る処理時間を示している。図５Ａは、既に発明者らの論文（非特許文献２）で発表した計算結果を元に、鍵長設計問題の数値例を示したものである。
仮に、ある制御系の耐用年数L_u=100(sec)、サンプリング周期T_s=1.0×10^-2(sec)とする。
そして、鍵長32～96(bit)で数１０式の更新式を用いて暗号化シミュレーションを1000ステップ計算し、各ステップで用いた公開鍵と秘密鍵を記録した。図５Ａは、Mac book air(登録商標（登録番号第5204574号）：CPU:1.6GHz,メモリ８GB)で指数計算法アルゴリズムを用いて、記録した公開鍵(h)から秘密鍵(s)を求める離散対数問題を1000回計算した処理時間(μsec)を示している。図５Ｂは、攻撃に必要な処理時間の最大値、平均値、最小値を示したものである。

図５Ｂからわかるように、静的な暗号制御系の場合は、制御系の耐用年数L_uが離散対数問題を解くのに要する予想時間L_pより小さくなる（L_u<L_p{v,c}となる）鍵長は96(bit)である。一方、数１０式の更新式を用いる動的な暗号制御系の場合、サンプリング周期T_sが離散対数問題を解くのに要する予想時間L_pより小さくなる（T_s<L_p{v,c}）鍵長は48(bit)である。この図５Ｂから、動的な暗号系にすると、静的な暗号系に比べてより短い鍵長で全入力信号の特定を妨げられることが分かる。しかし、仮に、48(bit)の暗号鍵を用いた場合は、攻撃者はサンプリング周期T_s以内にリアルタイム解読を成功させる場合がありうる。そのような懸念がある場合には、図５Ｂから、80(bit)以上の鍵長を設定すればよいことも理解できる。

＜暗号化制御システムの実施形態例＞
以下、本発明の暗号化制御システムの秘密鍵、公開鍵および暗号文の更新則を用いたプラント制御システムの具体的な実施形態例について説明する。

図６は、本発明の暗号化制御を実施する実施形態に係る暗号化制御システム１０１の全体構成を示す概略図である。暗号化制御システム１０１は、入力装置１０２と、プラント側制御装置１０３と、コントローラ１０４と、日時情報源装置１０５を備える。
コントローラ１０４は、入力装置１０２と第１制御ネットワークＬ１０８で接続され、プラント側制御装置１０３と第２制御ネットワークＬ１０９で接続されている。
プラント側制御装置１０３には、制御対象１０６とセンサ１０７が接続されている。プラント側制御装置１０３は、後述するように、制御対象１０６に制御信号を与え、センサ１０７から制御対象１０６の状態情報である観測値を取得する。

また、入力装置１０２、コントローラ１０４、プラント側制御装置１０３はそれぞれ情報ネットワークＬ１１０を通じて、日時情報源装置１０５に接続される。日時情報源装置１０５は、ネットワークＯＳとＮＴＰサーバ（Network Time Protocol）およびＮＴＰクライアントが稼働するパソコンやサーバである。第１制御ネットワークＬ１０８および第２制御ネットワークＬ１０９はデータ転送の確実性を重視したネットワークであり、様々な種類のネットワークインターフェースが利用可能である。一方、情報ネットワークＬ１１０は制御ネットワーク程の確実性は要求されない。

入力装置１０２、コントローラ１０４およびプラント側制御装置１０３は、プログラマブルコントローラと呼ばれる装置である。プログラマブルコントローラは、スロットを多数有するケース状のマウントベース１１１を備え、このマウントベース１１１のスロットに収納される大きさのモジュールが必要な機能に応じて収納される。
マウントベース１１１にはモジュール同士を接続するインターフェースが内蔵されており、モジュールがスロットに挿入されると、モジュール間のデータの送受信や適切な電源の供給が確立される。

入力装置１０２のマウントベース１１１ａには、ＣＰＵモジュール１１２と、情報ネットワークモジュール１１３と、第１制御ネットワークモジュール１１４ａが装着されている。コントローラ１０４のマウントベース１１１ｂには、ＣＰＵモジュール１１２と、情報ネットワークモジュール１１３と、第１制御ネットワークモジュール１１４ｂと、第２制御ネットワークモジュール１１５が装着されている。
プラント側制御装置１０３のマウントベース１１１ｃには、ＣＰＵモジュール１１２と、情報ネットワークモジュール１１３と、第２制御ネットワークモジュール１１５と、入出力モジュール１１６が装着されている。

入力装置１０２の第１制御ネットワークモジュール１１４ａは送信側であり、コントローラ１０４の第１制御ネットワークモジュール１１４ｂは受信側である。コントローラ１０４とプラント側制御装置１０３の第２制御ネットワークモジュール１１５は、送信側端子と受信側端子が相互に接続されている。

［入力装置１０２のハードウェア構成］
図７は、入力装置１０２のハードウェア構成を示すブロック図である。
入力装置１０２は、マウントベース１１１に設けられているモジュールバス２０１に接続されているＣＰＵモジュール１１２、情報ネットワークモジュール１１３、第１制御ネットワークモジュール１１４ａを備える。ＣＰＵモジュール１１２は、内部バス２０６に接続されているＣＰＵ２０２、ＲＯＭ２０３、ＲＡＭ２０４、および日時情報を生成するＲＴＣ（Real Time Clock）２０５を備える。内部バス２０６はモジュールバス２０１に接続されている。ＣＰＵモジュール１１２のＲＯＭ２０３には、暗号化制御システム１０１における制御演算処理および暗号化処理等を遂行するためのプログラムが格納されている。

情報ネットワークモジュール１１３は、内部バス２０６に接続されているＣＰＵ２０２、ＲＯＭ２０３、ＲＡＭ２０４、およびＮＩＣ（Network Interface Card）２０７を備える。内部バス２０６はモジュールバス２０１に接続されている。情報ネットワークモジュール１１３のＲＯＭ２０３には、ネットワークＯＳと、ＮＴＰサーバプログラムおよびＮＴＰクライアントプログラム等が格納されている。第１制御ネットワークモジュール１１４ａは、送信部２０８がモジュールバス２０１に接続されている。

［コントローラ１０４のハードウェア構成］
図８は、コントローラ１０４のハードウェア構成を示すブロック図である。コントローラ１０４は、ＣＰＵモジュール１１２、情報ネットワークモジュール１１３、第１制御ネットワークモジュール１１４ｂ、および第２制御ネットワークモジュール１１５を備える。これらのモジュールは、マウントベース１１１に設けられているモジュールバス２０１に接続されている。ＣＰＵモジュール１１２と情報ネットワークモジュール１１３は、入力装置１０２のものと同じなので説明は省略する。

第１制御ネットワークモジュール１１４ｂは、モジュールバス２０１に接続されている受信部３０９を備える。第２制御ネットワークモジュール１１５は、内部バス２０６に接続されている送信部２０８と受信部３０９を備える。内部バス２０６はモジュールバス２０１に接続されている。

［プラント側制御装置１０３のハードウェア構成］
図９は、プラント側制御装置１０３のハードウェア構成を示すブロック図である。プラント側制御装置１０３は、ＣＰＵモジュール１１２、情報ネットワークモジュール１１３、第２制御ネットワークモジュール１１５、および入出力モジュール１１６を備える。これらのモジュールは、マウントベース１１１（図１参照）に設けられているモジュールバス２０１に接続されている。ＣＰＵモジュール１１２、情報ネットワークモジュール１１３、第２制御ネットワークモジュール１１５は、コントローラ１０４のものと同じなので説明は割愛する。

入出力モジュール１１６は、センサ１０７が接続されるＡ／Ｄ変換器４１０と、制御対象１０６が接続されるＤ／Ａ変換器４１１を備える。内部バス２０６はモジュールバス２０１に接続されている。なお、この入出力モジュール１１６はあくまで一例であり、接続される制御対象１０６やセンサ１０７等に応じて、Ａ／Ｄ変換器４１０およびＤ／Ａ変換器４１１に接続される信号処理回路等が必要になる場合がある。

なお、ここではハードウェアの構成図を省略しているが、図６に示す日時情報源装置１０５も、サーバ装置やパソコン等で構成されるもので、バスに接続されるＣＰＵ、ＲＯＭ、ＲＡＭ、不揮発性ストレージ、ＲＴＣおよびＮＩＣを備えていることは言うまでもない。

＜本発明の実施形態例の暗号化制御システムのソフトウェア機能＞
図１０は、暗号化制御システム１０１の、制御ネットワークにおけるソフトウェア機能を示すブロック図である。

［入力装置１０２のソフトウェア機能］
入力装置１０２は、目標値入力部５０１、入出力制御部５０２、暗号化処理部５０３、記憶部５０４、公開鍵更新部５０５および日時情報生成部５０６を備える。

目標値入力部５０１は、暗号化される前の目標値rを入出力制御部５０２に与える。入出力制御部５０２は、目標値入力部５０１から入力された目標値rを暗号化処理部５０３に送る。暗号化処理部５０３は、公開鍵更新部５０５で更新された公開鍵k_pを用いて目標値ｒを暗号化する。そして、暗号化処理部５０３は、暗号化された目標値Enc(r)を入出力制御部５０２に送り、入出力制御部５０２は、この暗号化目標値Enc(r)をコントローラ１０４へ送信する。

ここで、記憶部５０４には、公開鍵k_p(t)を更新するための初期値となる公開鍵k_p(0)が保存されている。公開鍵k_pのパラメータはk_p:=（G,q,g,h）であるが、この中で時刻（ステップ）で更新されるのはh(t)だけであるから、時刻ｔの初期値となるのは公開鍵パラメータh(0)だけである。また、公開鍵更新部５０５は、乱数生成器５０５ａを内蔵しており、この乱数生成器５０５ａは、公開鍵h(t)の更新に必要な乱数ｗ(t)を発生する。そして公開鍵更新部５０５は、記憶部５０４からの初期値の公開鍵h(0)と乱数生成器５０５ａからの乱数ｗ(0)との乗算剰余処理を行うことで、数１０式の第２式で示される更新則に従って更新された公開鍵h(1)を出力する。

更新された新しい公開鍵h(1)は、次のステップのための初期値として、記憶部５０４に記憶される。公開鍵更新部５０５は、この処理を順次繰り返すことにより、時刻ｔ（ステップｔ）における公開鍵h(t)を、次のステップ（時刻(t+1)）の公開鍵h(t+1)に更新する。
なお、公開鍵更新部５０５は、図２Ａの公開鍵更新部５３、乱数生成器５０５ａは、図２Ａの乱数生成器５１に相当する。記憶部５０４には、図２Ａの記憶部５０に記憶される要素のうち、p,q,g,h(0)が格納されており、時刻tが進むに連れてh(t)が更新される。

乱数発生器５０５ａで発生される乱数v(t)、w(t)は公開鍵更新部５０５の演算に使われる乱数であるが、後述するコントローラ１０４の暗号文更新部５１０の乱数生成器５１０ａおよびプラント側制御装置１０３の暗号鍵更新部５１３の乱数生成器５１３ａと同期がとれていなければならない。この３つの乱数生成器５０５ａ、５１０ａ、５１３ａは、日時情報生成部５０６、５１１、５１９からの時刻情報に基づいて同期され、同時刻ｔ（ステップｔ）では同じ乱数を生成するように制御される。例えば、乱数生成器５０５ａ、５１０ａ、５１３ａは、複数の乱数からなる同じ乱数リストを有し、同時刻ｔでは、乱数生成器５０５ａ、５１０ａ、５１３ａが乱数リストの同じレコード番号のレコードを読み込むことで、それぞれ同じ乱数v(t)、w(t)が生成されるように構成される。

そして、公開鍵更新部５０５は、ステップ（t+1）で更新した公開鍵ｈ(t+1)を暗号化処理部５０３に送る。暗号化処理部５０３は、公開鍵更新部５０５で更新された新たな公開鍵h(t+1)により、目標値ｒを暗号化し、暗号化された目標値Enc(r)を入出力制御部５０２に送る。

＜コントローラ１０４のソフトウェア機能＞
コントローラ１０４は、入出力制御部５０７、乗算部５０８、記憶部５０９、暗号文更新部５１０、日時情報生成部５１１、およびログテーブル５２０を備える。さらに、図８のハードウェア構成で説明した送信部２０８と受信部３０９を備える。

入力装置１０２からコントローラ１０４に送信される暗号化目標値Enc(r)は、コントローラ１０４の入出力制御部５０７に入力される。入出力制御部５０７は、この暗号化目標値Enc(r)を、送信部２０８を介してそのままプラント側制御装置１０３へ送信する。また、入出力制御部５０７は、受信部３０９を介してプラント側制御装置１０３から暗号化入力ベクトルEnc(ζ)を受け取り、この暗号化入力ベクトルEnc(ζ)を乗算部５０８に送る。なお、入出力制御部５０７から出力される情報と入出力制御部５０７に入力される情報は、全てログテーブル５２０に保存される。

コントローラ１０４の暗号文更新部５１０は、記憶部５０９に記憶されている第１～第３の暗号化制御パラメータEnc(K_p)、Enc(K_i)、Enc(K_d)（以下、まとめて「暗号化制御パラメータEnc(Φ)またはEncΦ」とする）の更新を行う。すなわち、暗号文更新部５１０は、プラント側制御装置１０３から受信部３０９を介して受信したデータに含まれている現在日時情報に基づき、記憶部５０９に記録されている暗号化制御パラメータEnc(Φ)の初期値EncΦ(0)を読み取り、暗号化制御パラメータEncΦ(1)に更新して乗算部５０８に送る。なお、更新した暗号化制御パラメータEncΦ(1)は、記憶部５０９に保存される。このように、暗号文更新部５１０は暗号化制御パラメータEncΦ(t)の更新を繰り返し、数１０式の第３式、第４式に従って次の時刻（t+1）（ステップ（t+1））の暗号化制御パラメータEncΦ(t+1)を生成し、乗算器５０８に送られる。

なお、上述したように、暗号文更新部５１０は、乱数生成器５１０ａを内蔵しており、この乱数生成器５１０ａからも入力装置１０２の乱数生成器５０５ａと同じ時刻（ステップ）で同じ乱数が発生される。
暗号化更新部５１０において、暗号化制御パラメータEncΦ(t)の更新が終了した後は、更新された暗号化制御パラメータEncΦ(t+1)も、次の更新のために記憶部５０９に保存される。このとき、日時情報生成部５１１からの更新時の日時情報も暗号化制御パラメータEncΦ(t+1)とともに、記憶部５０９に保存される。

暗号文更新部５１０は、図２Ａの暗号文更新部５４および暗号文更新部５５に加え、公開鍵更新部５３の機能を包含している。数１０式にて示されるように、暗号文c₂(t)の更新には公開鍵h(t)が必要だからである。乱数生成器５１０ａは、図２Ａの乱数生成器５１に相当する。記憶部５０９には、図２Ａの記憶部５０に記憶される要素のうち、p,q,g,h(0), EncΦ(0)が格納されており、時刻tが進むに連れてh(t)及びEncΦ(t)が更新される。

乗算部５０８は、入出力制御部５０７から送られた暗号化入力ベクトルEnc(ζ)と暗号文更新部５１０からの暗号化制御パラメータEncΦ(t)との乗算処理を行い、暗号化出力行列Enc(Ψ)を算出する。この暗号化出力行列Enc(Ψ)は、図１で説明したように、暗号化制御信号Enc(u)および更新された暗号化状態ベクトルEnc(x)を含むものであるから、暗号化出力行列Enc(Ψ)を暗号化制御入力Enc(u)と読み替えて説明することもある。

乗算部５０８の乗算処理によって算出された暗号化出力行列Enc(Ψ)は、入出力制御部５０７と送信部２０８を経由して、プラント側制御装置１０３に送られる。また、暗号化出力行列Enc(Ψ)はモニタ用として入力装置１０２にもフィードバックされる。
なお、コントローラ１０４では、コントローラ（制御器）１０４の状態ベクトルxも暗号化されて、暗号化出力行列Enc(Ψ)に含まれる暗号化状態ベクトルEnc(x)として、送信部２０８経由でプラント側制御装置１０３に送られる。

上述したように、暗号化された制御器への入力ベクトルEnc(ζ)は、時刻ｔにおける制御器の状態を示す制御信号x(t)と制御器に対する入力ベクトルu_c(t)をまとめたものである（数４式参照）。暗号文更新部５１０で記憶部５０９から読み出される暗号化制御器のパラメータEnc(Φ)と暗号化制御器の入力ベクトルEnc(ζ)を演算することで、暗号化制御器の出力行列Enc(Ψ)が出力される。出力行列Enc(Ψ)に含まれる暗号化状態ベクトルEnc(x)は、プラント側制御装置１０３の復号処理部５１２で復号されて状態ベクトルxとして、制御用演算処理部５１４を通じて暗号化処理部５１８に送られる。

現在日時情報を出力する日時情報生成部５１１は、プラント側制御装置１０３とコントローラ１０４との同期運転開始時点の日時情報（以下「始動日時情報」）を出力するとともに、暗号文更新部５１０に対する起動および停止制御を行う。
また、日時情報生成部５１１が生成する現在日時情報は、乗算部５０８から入出力制御部５０７および送信部２０８を通じてプラント側制御装置１０３に送信される暗号化制御入力Enc(u)のデータフレームにエンコード日時情報として格納される。

［プラント側制御装置１０３のソフトウェア機能］
プラント側制御装置１０３は、復号処理部５１２、暗号鍵更新部５１３、制御用演算処理部５１４、制御処理部５１５、信号変換処理部５１６、目標誤差演算処理部５１７、暗号化処理部５１８、日時情報生成部５１９および記憶部５２１を備える。

コントローラ１０４から送信部２０８を介してプラント側制御装置１０３に送信される暗号化目標値Enc(r)および暗号化出力行列Enc(Ψ)に含まれる暗号化制御入力Enc(u)は、プラント側制御装置１０３の受信部３０９を通じて復号処理部５１２に入力される。
復号処理部５１２は、暗号化目標値Enc(r)および暗号化制御入力Enc(u)を、暗号鍵更新部５１３で更新処理された秘密鍵s(t+1)を用いて復号する。復号処理部５１２で復号処理された暗号化目標値Enc(r)および暗号化制御入力Enc(u)は、目標値rおよび制御入力uとなって制御用演算処理部５１４に送られ、制御用演算処理部５１４から目標値rおよび制御入力uが出力される。そして、制御入力uは制御処理部５１５に送られ、目標値ｒは目標誤差演算部５１７に送られる。また、制御用演算処理部５１４は、復号処理部５１２で復号されたコントローラ１０４の状態ベクトルxを出力し、この状態ベクトルxを暗号化処理部５１８に送る。

ここで、暗号鍵更新部５１３の鍵更新処理について説明する。暗号鍵更新部５１３には、乱数生成器５１３ａが内蔵されている。この乱数生成器５１３ａも、入力装置１０２の乱数生成器５０５ａおよびコントローラ１０４の乱数生成器５１０ａと同期して、同時刻に同じ乱数v(t)、w(t)を生成する。また、記憶部５２１には、更新前の公開鍵h(t)、秘密鍵s(t)の初期値が記憶されている。

暗号鍵更新部５１３は、記憶部５２１に記憶されている更新前の秘密鍵s(t)を読み出し、この秘密鍵s(t)と乱数生成器５１３ａから読み出した乱数w(t)とを、数１０式の第１式に示す更新式により、乗算剰余処理を行って、更新後の秘密鍵s(t+1)を生成する。 そして、この更新された秘密鍵s(t+1)を復号処理部５１２に送る。復号処理部５１２は、上述したように、この秘密鍵s(t+1)を使って、暗号化目標値Enc(r)および暗号化制御入力Enc(u)の復号処理を行う。

また、暗号鍵更新部５１３は、記憶部５２１に記憶されている更新前の公開鍵h(t)を読み出し、この公開鍵h(t)と乱数生成器５１３ａから読み出した乱数w(t)とを、数１０式の第２式に示す更新式により、乗算剰余処理を行って、更新後の公開鍵h(t+1)を生成する。そして、この更新された公開鍵s(t+1)を暗号化処理部５１８に送る。

制御処理部５１５は、制御用演算処理部５１４から入力された制御入力uに基づいて制御信号を生成し、この制御信号により制御対象１０６を制御する。例えば、制御対象１０６がモータであるならば、制御処理部５１５は、モータに与える電圧や位相等を制御する。制御対象１０６が制御信号によって制御されると、制御対象１０６の動作状態がセンサ１０７により検出される。
センサ１０７から出力される信号は、信号変換処理部５１６に送られ、観測値yに変換される。そして、観測値yが目標誤差演算処理部５１７に送られる。目標誤差演算処理部５１７では、制御用演算処理部５１４からの目標値rと信号変換処理部５１６からの観測値ｙとの差分がとられ、目標誤差εが出力される。ＰＩＤ制御器の場合、制御器への入力全般を示すu_c(t)と目標誤差ε(t)が等しいので、u_c=εとして、制御器への目標誤差ε(t)をフィードバックすることにより、暗号化を行っている。

目標誤差εは、暗号化処理部５１８で暗号化され、暗号化目標誤差Enc(ε)に変換される。このとき、暗号鍵更新部５１３で更新された時刻（t+1）の公開鍵h(t+1)が暗号化処理部５１８に供給され、暗号化処理部５１８ではこの公開鍵h(t+1)を用いて目標誤差εが暗号化される。
暗号化処理部５１８で暗号化された暗号化目標誤差Enc(ε)は、送信部２０８を介して、コントローラ１０４へ送信される。また、制御用演算処理部５１４から出力される復号されたコントローラ１０４の状態ベクトルxも暗号化処理部５１８で暗号化され、暗号化入力ベクトルEnc（ζ）に含まれる、更新された暗号化状態ベクトルEnc(x)として、送信部２０８経由でコントローラ１０４に送られる。

なお、暗号鍵更新部５１３における公開鍵と秘密鍵の毎ステップの更新においては、受信部３０９を通じてコントローラ１０４から受信したデータフレームに含まれている現在日時情報および始動日時情報が利用される。記憶部５２１には、更新前の現在のステップにおける公開鍵h(t)および秘密鍵s(t)が記憶されている。なお、更新された秘密鍵s(t+1)と公開鍵h(t+1)は、次の更新のためのベースになる値として記憶部５２１に保存される。
暗号鍵更新部５１３は、図２Ａの秘密鍵更新部５２、公開鍵更新部５３、および暗号文更新部５４、５５の機能を包含している。乱数生成器５１３ａは、図２Ａの乱数生成器５１に相当する。記憶部５２１には、図２Ａの記憶部５０に記憶される要素のうち、p,q,g,s(0),h(0),EncΦ(0)が格納されており、時刻tが進むに連れてs(t)、h(t)及びEncΦ(t)が更新される。

日時情報生成部５１９は、現在日時情報を出力すると共に、コントローラ１０４の日時情報生成部５１１により指示されたものと同じ同期運転開始時点の日時情報（以下「始動日時情報」）を出力する。また、日時情報生成部５１９は、暗号鍵更新部５１３に対する起動および停止制御も行う。さらに、日時情報生成部５１９から生成される現在日時情報は、暗号化処理部５１８から送信される暗号化入力ベクトルEnc（ζ）に含まれる暗号化目標誤差Enc(ε)のデータフレームにエンコード日時情報として格納される。

＜本実施形態例の暗号化制御システムにおける同期運転開始処理＞
図１０で説明したように、本実施形態例における暗号化制御システムは、秘密鍵s(t)、公開鍵h(t)および暗号文c₁(t)、c₂(t)が毎ステップで更新される動的に拡張された暗号化制御システムである。したがって、入力装置１０２、コントローラ１０４およびプラント側制御装置１０３を同期して運転させることが極めて重要になる。このため、入力装置１０２、コントローラ１０４およびプラント側制御装置１０３には個別に日時情報生成部５０６、５１１、５１９が設けられている。

図１１は、入力装置１０２の日時情報生成部５０６、プラント側制御装置１０３の日時情報生成部５１９およびコントローラ１０４の日時情報生成部５１１の同期運転開始処理の流れを示すフローチャートである。
図１１では、コントローラ１０４の日時情報生成部５１１をマスターとし、プラント側制御装置１０３の日時情報生成部５１９および入力装置１０２の日時情報生成部５０６はスレーブとして以下説明する。もちろん、コントローラ１０４の日時情報生成部５１１のかわりに、入力装置１０２やプラント側制御装置１０３の日時情報生成部をマスターにしてもよいことは当然である。

処理を開始すると（Ｓ１１）、コントローラ１０４の日時情報生成部５１１は、自身の日時情報が、図６に示す日時情報源装置１０５が出力する日時情報と十分小さい誤差にて較正されているか否かを確認する（Ｓ１２）。ここで、十分小さい誤差とは、プラントからの情報をセンシングして観測値ｙを得る周期に比べて十分に小さい状態に較正されていることをいう。後述するステップＳ１３、Ｓ１４も同様である。

コントローラ１０４の日時情報生成部５１１自身の日時情報が、日時情報源装置１０５が出力する日時情報と十分小さい誤差にて較正されていることが確認された場合には（Ｓ１２のＹＥＳ）、次にコントローラ１０４の日時情報生成部５１１は、入力装置１０２に対し、入力装置１０２の日時情報生成部５０６が、日時情報源装置１０５が出力する日時情報と十分小さい誤差にて較正されているか否かを問い合わせて確認する（Ｓ１３）。

入力装置１０２の日時情報生成部５０６の日時情報が、日時情報源装置１０５が出力する日時情報と十分小さい誤差にて較正されていることが確認された場合には（Ｓ１３のＹＥＳ）、次にコントローラ１０４の日時情報生成部５１１は、プラント側制御装置１０３に対し、プラント側制御装置１０３の日時情報生成部５１９が、日時情報源装置１０５が出力する日時情報と十分小さい誤差にて較正されているか否かを問い合わせて確認する（Ｓ１４）。

ステップＳ１４で、プラント側制御装置１０３の日時情報生成部５１９の日時情報が、日時情報源装置１０５が出力する日時情報と十分小さい誤差にて較正されていることが確認された場合には（Ｓ１４のＹＥＳ）、この時点で入力装置１０２、コントローラ１０４およびプラント側制御装置１０３の全ての日時情報生成部５０６、５１１、５１９が較正されている。そこで、コントローラ１０４の日時情報生成部５１１は、同期運転の準備段階として、同期運転を開始する時間、暗号鍵を更新するステップ時間、鍵更新の初期値等を決定し、入力装置１０２の日時情報生成部５０６およびプラント側制御装置１０３の日時情報生成部５１９へ送信する（Ｓ１５）。

ステップＳ１５にて同期運転の準備が完了した場合には、コントローラ１０４の日時情報生成部５１１は設定した同期運転開始時間になるまで待ち（Ｓ１６のＮＯ）、同期運転開始時間になったら（Ｓ１６のＹＥＳ）、同期運転を開始して（Ｓ１７）、一連の処理を終了する（Ｓ１８）。
ステップＳ１２、Ｓ１３およびＳ１４の何れかの条件分岐においても、日時情報の較正が正常に完了していない場合は（Ｓ１２のＮＯ、Ｓ１３のＮＯ、Ｓ１４のＮＯ）、ステップＳ１２まで戻って確認作業を繰り返す。

＜本実施形態例の暗号化制御システムにおける同期運転処理＞
図１２は、暗号化制御システム１０１の入力装置１０２、コントローラ１０４およびプラント側制御装置１０３の同期運転を説明するためのシーケンス図である。図１２では、暗号化の更新周期であるサンプリング周期T_s（ステップ時間）を10msec、サンプリングするステップをｔとする。すなわち、同期運転始動時をｔ＝０とし、ｔ＝０以降、ｔが１ステップ進むごとに、ｔ＝１、２、・・・と「１」ずつインクリメントするものとして以下説明する。

同期運転始動時（ｔ＝０）、入力装置１０２は目標値rをｔ＝０のときの公開鍵k_p(t)で暗号化して、暗号化目標値Enc(r)を得る。そして、暗号化目標値Enc(r)を、コントローラ１０４経由でプラント側制御装置１０３へ送信する（Ｓ２１）。ここで、暗号化目標値Enc(r)のデータフレームＤ２１には、日時情報生成部５０６が生成したｔ＝０における現在日時情報が含まれている。

同期運転始動時（ｔ＝０）には、コントローラ１０４は、暗号文更新部５１０において、記憶部５０９に記憶されているｔ＝０時点の初期値となる暗号化制御パラメータEnc(Φ(0))を読み出し、この初期値Enc(Φ(0))と暗号化入力ベクトルEnc（ζ）に含まれる暗号化制御器への入力Enc(u_c)、すなわち暗号化制御誤差Enc(ε)を乗算部５０８にて乗算する処理を行う。そして、乗算部５０８から暗号化出力行列Enc（Ψ）を得て、暗号化出力行列Enc（Ψ）に含まれる暗号化制御信号Enc(u)を、送信部２０８を経由してプラント側制御装置１０３へ送信する（Ｓ２２）。暗号化制御信号Enc(u)のデータフレームＤ２２には、同期運転開始時における始動日時情報と、ｔ＝０における現在日時情報が含まれている。なお、ｔ＝０の時点では、始動日時情報と現在日時情報は同一である。

また、プラント側制御装置１０３は、同期運転始動時（ｔ＝０）に、入力装置１０２からコントローラ１０４を経由して暗号化目標値Enc(r)を受信するとともに、コントローラ１０４から暗号化制御入力Enc(u)を受信する（Ｓ２３）。
プラント側制御装置１０３の復号処理部５１２は、暗号鍵更新部５１３から現在日時情報、始動日時情報に関連してｔ＝０時点の秘密鍵k_s(0)(s(0)と同じ)を受け取り、暗号化されている目標値Enc(r)と制御入力Enc(u)を復号（デコード）する。そして、制御用演算処理部５１４は、復号処理部５１２からの復号された信号を演算処理することで、目標値rと制御入力uを生成す・BR>驕IＳ２４）。

本発明の実施形態において使用される準同型性を持つ暗号は、暗号化したままのデータ同士を乗算（または除算）することはできるが、加減算することができない。そこで、コントローラ１０４の乗算部５０８は与えられるデータに対して乗算処理のみを行い、復号後、制御用演算処理部５１４で加減算の処理を行っている。また、制御処理部５１５は、制御入力uから制御信号を生成し、制御対象１０６を制御する。制御対象１０６が制御処理部５１５によって制御されると、制御対象１０６の動作がセンサ１０７によって検出される（Ｓ２４）。

センサ１０７で検出される観測信号は、信号変換処理部５１６によって観測値yに変換される。信号変換処理部５１６が出力する観測値yは、制御用演算処理部５１４からの目標値rと共に目標誤差演算処理部５１７に入力される。目標誤差演算処理部５１７は、目標値rから観測値yを減算して、目標誤差εを出力する（Ｓ２４）。
暗号化処理部５１８は、時刻ｔの目標誤差εを時刻（t+1）のステップに対応するように、暗号鍵更新部５１３で更新された公開鍵k_p(t+1)で暗号化する（Ｓ２５）。この時点では時刻ｔは「０」であるが時刻（ｔ＋１）は「１」となり、すなわちステップ１に対応する公開鍵k_p(t+1)が、目標誤差εの暗号化に使われる。

このように、同期運転始動（ｔ＝０）からステップ数が１インクリメントされて、ｔ＝１になった時点で、プラント側制御装置１０３は、送信部２０８を介して暗号化目標誤差Enc(ε)をコントローラ１０４へ送信する（Ｓ２６）。暗号化目標誤差Enc(ε)のデータフレームＤ２３には、同期運転開始時における始動日時情報と、ｔ＝１における現在日時情報が含まれている。

ｔ＝１の時点で、コントローラ１０４は、受信部３０９を介してプラント側制御装置１０３から暗号化目標誤差Enc(ε)を受信する（Ｓ２７）。受信した暗号化目標誤差Enc(ε)は、入出力制御部５０７を通じて乗算部５０８に送られる。乗算部５０８は、暗号化目標誤差Enc(ε)のデータフレームに付されている、始動日時情報と、ｔ＝１における現在日時情報を暗号文更新部５１０に送る。

暗号文更新部５１０は、ｔ＝１の時点で更新された暗号化制御パラメータEncΦ(1)を記憶部５０９から読み出し、乗算部５０８に送る。乗算部５０８は暗号化制御パラメータEncΦ(1)と暗号化入力ベクトルEnc（ζ）に含まれる暗号化目標誤差Enc(ε)を乗算処理して、暗号化制御ゲインを計算し、これに基づいて暗号化制御入力Enc(u)を得る（Ｓ２８）。そして、暗号化制御入力Enc(u)をプラント側制御装置１０３へ送信する（Ｓ２９）。暗号化制御入力Enc(u)のデータフレームＤ２４には、同期運転開始時における始動日時情報と、ｔ＝１における現在日時情報が含まれている。

ｔ＝１の時点で、入力装置１０２は目標値rをｔ＝１のステップに対応する新しい公開鍵k_p(t+1)で暗号化して、暗号化目標値Enc(r)を得る。そして、この暗号化目標値Enc(r)をコントローラ１０４経由でプラント側制御装置１０３へ送信する（Ｓ３０）。なお、暗号化目標値Enc(r)のデータフレームＤ２５には、ｔ＝１における現在日時情報が含まれている。

プラント側制御装置１０３は、ｔ＝１の時点で、入力装置１０２から暗号化目標値Enc(r)を受信し、コントローラ１０４から暗号化制御入力Enc(u)を受信する（Ｓ３１）。 次に、プラント側制御装置１０３の復号処理部５１２は、暗号化目標値Enc(r)および暗号化制御入力Enc(u)のデータフレームに付されている現在日時情報、始動日時情報を基にして暗号鍵を用いて目標値rと制御入力uを復号する。
そして、制御用演算処理部５１４は、復号処理部５１２によって復号された目標値rと制御入力uおよびコントローラ１０４の状態ベクトルxを出力する。そして、制御処理部５１５は、制御入力uから制御信号を生成し、制御対象１０６を制御する。制御対象１０６が制御処理部５１５によって制御されると、制御対象１０６の動作はセンサ１０７によって検出される。

センサ１０７から出力される観測信号は、信号変換処理部５１６によって観測値yに変換される。図１０で説明したように、この観測値yは、制御用演算処理部５１４から出力される目標値rと共に目標誤差演算処理部５１７に入力される。そして、目標誤差演算処理部５１７は、目標値rから観測値yを減算して、目標誤差εを出力する（Ｓ３２）。
暗号化処理部５１８は、この目標誤差εを、ステップ(t+1)で更新された公開鍵k_p(t+1)で暗号化する（Ｓ３３）。この時点では既に現在時間ｔが「１」なので、ステップ(t+1)は「２」となっている。したがって、暗号化処理部５１８で目標誤差εの暗号化に使われる公開鍵は、ステップ２に相当する公開鍵k_p(t+2)となる。

以下同様に、プラント側制御装置１０３は、入力装置１０２からステップ２における暗号化目標値Enc(r)を受信し、コントローラ１０４からステップ２における暗号化制御入力Enc(u)を受信すると、これに対応する目標値rと制御入力uに基づいて制御対象１０６を制御する。そして、同様にセンサ１０７から得られた観測値yを目標値rから減算して目標誤差εを得る。暗号化処理部５１８は、目標誤差εをステップ２における公開鍵k_p(t+2)で暗号化して、暗号化目標誤差Enc(ε)をコントローラ１０４へ出力する（Ｓ３４）。このときの暗号化目標誤差Enc(ε)のデータフレームＤ２６には、ｔ＝２における現在日時情報が含まれている。
つまり、プラント側制御装置１０３のデータ受信、演算、データ送信のサイクルにおいて、ステップは１インクリメントされる。

＜変形例＞
図１３は、図１０で示した本発明の暗号化制御システムの実施形態の変形例を示している。図１３に示す変形例では、コントローラ５００は、図１０に示した入力装置１０２とコントローラ１０４を一体化した構成になっている。
ここで、暗号鍵・暗号文更新部５２１は、図１０で示した公開鍵更新部５０５と暗号文更新部５１０の両方の機能を有している。また、記憶部５２２は、図１０の記憶部５０４と記憶部５０９の両方の機能を有する。

すなわち、暗号鍵・暗号文更新部５２１は、記憶部５２２から得られる更新前の公開鍵を次のステップの公開鍵に更新し、この更新した公開鍵を暗号化処理部５０３に提供する。また、暗号鍵・暗号文更新部５２１は、乱数発生器５２１ａで発生された乱数と、記憶部５２２に記憶されている暗号化制御パラメータEncΦ(t)を用いて、更新前の暗号文C(c₁(t),c₂(t))を次のステップの暗号文C(c₁(t+1)、c₂(t+1))に更新し、この更新した暗号文を乗算部５０８に送る。

また、入出力制御部５２３は、入力装置１０２の入出力制御部５０２とコントローラ１０４の入出力制御部５０７の機能を併せて持つ入出力制御器である。
但し、日時情報生成部は２つ持つ必要はなく。コントローラ１０４が備える日時情報生成部５１１があればよい。日時情報生成部５１１は、乗算部５０８から出力される暗号化制御入力Enc(u)に付加する日時情報を提供すると共に、暗号鍵・暗号文更新部５２１を起動する起動タイミングを与える。

以上説明したように、図１３に示すように、入力装置１０２とコントローラ１０４を一体化したコントローラ５００を用いても、機能的には図１０で示した暗号化制御システム１０１における入力装置１０２とコントローラ１０４の機能と同等の機能を有する暗号化制御システムを実現することができる。

本実施形態では、暗号化制御システム１０１を開示した。入力装置１０２、プラント側制御装置１０３およびコントローラ１０４は、同一時刻で同期運転を行う。このように暗号化制御システム１０１を構成することで、制御システム全体の制御周期に同期して、公開鍵と秘密鍵および暗号文を毎ステップで更新することが可能になる。
したがって、制御対象の耐用年数に比べて比較的短い時間で暗号鍵（公開鍵、秘密鍵）と暗号文の更新が行われるので、悪意ある第三者でも暗号鍵および暗号文の解読は極めて困難になると考えられる。

また、本発明の暗号化制御システムでは、ElGamal暗号の動的な拡張を基礎として、秘密鍵、公開鍵および暗号文の更新を行っているが、ElGamal暗号はあくまでも一例であり、本発明の暗号化制御システムの基本的な技術思想は他の暗号にも適用することができるものである。以上、本発明の暗号化制御システムの基礎となる技術思想およびその実施形態例について説明したが、本発明は上記実施形態例に限定されるものではなく、請求の範囲に記載した本発明の要旨を逸脱しない限りにおいて、他の変形例、応用例を含むものである。

１０、１０４、５００…コントローラ、２０…プラント、２１、１０６…制御対象、２２…減算器、３０…復号部、４０…暗号化部、５０、５０４、５０９、５２１、５２２…記憶部、５２…秘密鍵更新部、５１３…暗号鍵（秘密鍵、公開鍵）更新部、５３、５０５…公開鍵更新部、５４、５５、５１０…暗号文更新部、５６…乱数更新部、
１０１…暗号化制御システム、１０２…入力装置、１０３…プラント側制御装置、１０５…日時情報源装置、１０７…センサ、１１１…マウントベース、１１２…ＣＰＵモジュール、１１３…情報ネットワークモジュール、１１４ａ、１１４ｂ…第一制御ネットワークモジュール、１１５…第二制御ネットワークモジュール、１１６…入出力モジュール、２０２…ＣＰＵ、２０３…ＲＯＭ、２０４…ＲＡＭ、２０５…ＲＴＣ、２０６…バス、２０７…ＮＩＣ、２０８…送信部、３０９…受信部、４１０…Ａ／Ｄ変換器、４１１…Ｄ／Ａ変換器、５０１…目標値入力部、５０２、５０７…入出力制御部、５０３…暗号化処理部、５０６、５１１、５１９…日時情報生成部、５０８…乗算部、５１２…復号処理部、５１４…制御用演算処理部、５１５…制御処理部、５１６…信号変換処理部、５１７…目標誤差演算処理部、５１８…暗号化処理部、６２０…ログテーブル、５２３…暗号鍵・暗号文更新部

Claims (9)

1. 制御系内の情報を暗号理論により秘匿可能とする暗号化コントローラにより制御対象を制御する暗号化制御システムであって、
   暗号化するステップ毎に、離散対数問題の解となる条件を満たす更新則により秘密鍵および公開鍵を動的に更新する暗号鍵更新部と、
   暗号化するステップ毎に、暗号文を動的に更新する暗号文更新部と、を備え、
   前記暗号鍵更新部および前記暗号文更新部はそれぞれ乱数生成器を有しており、前記それぞれの乱数生成器は前記暗号化する同時刻のステップで同じ乱数を生成し、前記それぞれの乱数生成器で生成された乱数と暗号化制御パラメータとの乗算剰余処理を行うことにより、前記秘密鍵、前記公開鍵および前記暗号文を更新する
   暗号化制御システム。
2. 前記暗号鍵更新部は、現在のステップで使用した暗号鍵から前記制御系の制御則に基づいて、次回のステップで用いる暗号鍵を演算により作成して暗号鍵を更新し、
   前記暗号文更新部は、現在時刻で使用した暗号文から制御系の制御則に基づいて、次回のステップで用いる暗号文を演算により作成して暗号文を更新する、
   請求項１に記載の暗号化制御システム。
3. 前記制御系の秘密鍵をｓ(t)、公開鍵をh(t)および暗号文をc₁(t)_、c₂(t)としたとき、前記秘密鍵、前記公開鍵および前記暗号文の更新に関する前記制御則は、次式に従うものである、
   請求項２に記載の暗号化制御システム。
   

   

   但し、f₁は秘密鍵ｓ(t)を更新する写像、f₂は公開鍵h(t)を更新する写像、f₃、f₄は暗号文c₁(t)_、c₂(t)を更新する写像、w(t)、v(t)は秘密鍵ｓ(t)、公開鍵h(t)および暗号文c₁(t)_、c₂(t)の更新に用いる乱数、p、qは素数（p=2q+1）、gは巡回群の生成元である。
4. 前記暗号鍵更新部および前記暗号文更新部で用いられる暗号は、ElGamal暗号である、請求項１～３のいずれか１項に記載の暗号化制御システム。
5. 前記暗号鍵および前記暗号文を更新するステップ数は、前記制御系の耐用年数L_u(sec)を、前記制御対象をセンシングするサンプリング周期T_s(sec)で割った値L_u(sec)／T_s(sec)である、
   請求項２または３に記載の暗号化制御システム。
6. 制御系内の情報を暗号理論により秘匿可能とする暗号化コントローラにより制御対象を制御する暗号化制御方法であって、
   暗号化するステップ毎に、暗号鍵更新部において、前記暗号鍵更新部が備える乱数発生器で生成される乱数と１ステップ前の秘密鍵および公開鍵を乗算剰余することにより、秘密鍵および公開鍵を動的に更新する手順と、
   暗号化するステップ毎に、暗号文更新部において、前記暗号文更新部が備える乱数発生器で生成される乱数で、かつ前記暗号鍵更新部が備える乱数発生器で生成される乱数同じ乱数と１ステップ前の暗号化制御パラメータとを乗算剰余することにより、暗号文を動的に更新する手順を含む、
   暗号化制御方法。
7. 前記秘密鍵および前記公開鍵を動的に更新する手順においては、現在のステップｔで私用した秘密鍵および公開鍵と、乱数を用いて次式に示す制御系の制御則に基づいて、次回の時刻(t+1)で使用する秘密鍵および公開鍵を生成し、
   前記暗号文を動的に更新する手順では、現在の時刻ｔで使用した暗号文と乱数を用いて次式に示す制御系の制御則に基づいて、次回の時刻(t+1)で用いる暗号文を生成する、
   請求項６に記載の暗号化制御方法。
   

   

   但し、f₁は秘密鍵ｓ(t)を更新する写像、f₂は公開鍵h(t)を更新する写像、f₃、f₄は暗号文c₁(t)_、c₂(t)を更新する写像、w(t)、v(t)は秘密鍵ｓ(t)、公開鍵h(t)および暗号文c₁(t)_、c₂(t)の更新に用いる乱数、p、qは素数（p=2q+1）、gは巡回群の生成元である。
8. 制御系内の情報を暗号理論により秘匿可能とする暗号化コントローラにより制御対象を制御する暗号化制御をコンピュータに実行させる暗号化制御プログラムであって、
   暗号化するステップ毎に、暗号鍵更新部において、前記暗号鍵更新部が備える乱数発生器で生成される乱数と１ステップ前の秘密鍵および公開鍵を乗算剰余することにより、秘密鍵および公開鍵を動的に更新する手順と、
   暗号化するステップ毎に、暗号文更新部において、前記暗号文更新部が備える乱数発生器で生成される乱数で、かつ前記暗号鍵更新部が備える乱数発生器で生成される乱数同じ乱数を１ステップ前の暗号化制御パラメータを乗算剰余することにより、暗号文を動的に更新する手順と、
   をコンピュータに実行させる暗号化制御プログラム。
9. 前記秘密鍵および前記公開鍵を動的に更新する手順においては、現在のステップｔで使用した暗号鍵と乱数を用いて次式に示す制御系の制御則に基づいて、次回のステップ(t+1)で用いる秘密鍵および公開鍵を生成し、
   前記暗号文を動的に更新する手順では、現在のステップｔで使用した暗号文と乱数とから次式に示す制御系の制御則に基づいて、次回のステップ(t+1)で用いる暗号文を生成する、
   請求項８に記載の暗号化制御プログラム。
   

   

   但し、f₁は秘密鍵ｓ(t)を更新する写像、f₂は公開鍵h(t)を更新する写像、f₃、f₄は暗号文c₁(t)_、c₂(t)を更新する写像、w(t)、v(t)は秘密鍵ｓ(t)、公開鍵h(t)および暗号文c₁(t)_、c₂(t)の更新に用いる乱数、p、qは素数（p=2q+1）、gは巡回群の生成元である。

Images