WO2020202882A1 - 制御システム、および設定方法 - Google Patents

制御システム、および設定方法 Download PDF

Info

Publication number
WO2020202882A1
WO2020202882A1 PCT/JP2020/006824 JP2020006824W WO2020202882A1 WO 2020202882 A1 WO2020202882 A1 WO 2020202882A1 JP 2020006824 W JP2020006824 W JP 2020006824W WO 2020202882 A1 WO2020202882 A1 WO 2020202882A1
Authority
WO
WIPO (PCT)
Prior art keywords
threat
countermeasure
security
unit
scenario
Prior art date
Application number
PCT/JP2020/006824
Other languages
English (en)
French (fr)
Inventor
直樹 廣部
雄大 永田
豊 田原
Original Assignee
オムロン株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by オムロン株式会社 filed Critical オムロン株式会社
Priority to US17/437,827 priority Critical patent/US12025967B2/en
Priority to EP20784286.5A priority patent/EP3951520A4/en
Priority to CN202080020119.9A priority patent/CN113557483A/zh
Publication of WO2020202882A1 publication Critical patent/WO2020202882A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Programme-control systems
    • G05B19/02—Programme-control systems electric
    • G05B19/04—Programme control other than numerical control, i.e. in sequence controllers or logic controllers
    • G05B19/05—Programmable logic controllers, e.g. simulating logic interconnections of signals according to ladder diagrams or function charts
    • G05B19/058—Safety, monitoring
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Programme-control systems
    • G05B19/02—Programme-control systems electric
    • G05B19/04—Programme control other than numerical control, i.e. in sequence controllers or logic controllers
    • G05B19/042—Programme control other than numerical control, i.e. in sequence controllers or logic controllers using digital processors
    • G05B19/0423—Input/output
    • G05B19/0425—Safety, monitoring
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/577—Assessing vulnerabilities and evaluating computer system security
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/71—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/10—Plc systems
    • G05B2219/14—Plc safety
    • G05B2219/14006—Safety, monitoring in general
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/034—Test or assess a computer or a system

Definitions

  • the present invention relates to a security function for a control system including a controller system for controlling a control target, and a setting method.
  • Patent Document 1 Japanese Patent Application Laid-Open No. 2000-137506
  • Patent Document 1 it is designated in advance when an abnormality history is registered or when a predetermined time has arrived. No security measures are taken into consideration, only sending an e-mail to the recipient.
  • control device Information and Communication Technology
  • ICT Information and Communication Technology
  • threat analysis to analyze possible security threats requires specialized knowledge, and it took a long education time for production engineers and equipment manufacturer developers to acquire the knowledge to perform threat analysis. ..
  • the labor cost of the specialist becomes a cost burden for the factory and the equipment manufacturer.
  • One object of the present invention is to analyze security threats that may occur due to networking or intelligentization of control devices and control systems, and to solve a new problem of taking countermeasures against the threats.
  • a control system comprising a controller system for controlling a controlled object and a support device for supporting the setting of the controller system, the controller system executes a control operation for controlling the controlled object.
  • the support device includes a control unit and a security unit connected to the control unit and responsible for security functions for the controller system.
  • Threat analysis database that stores the critical level and threat level for security threats in advance, and threat scenarios from the critical level and threat level of the threat analysis database according to the device configuration and protected assets acquired in the system configuration input section.
  • It includes a countermeasure creation unit that creates a countermeasure scenario that stores countermeasures for each of the above, and a security setting unit that outputs security function setting data to the security unit according to the countermeasure scenario created by the countermeasure creation unit.
  • control system can analyze security threats with the support device and easily take countermeasures against the threats.
  • the support device may further include a countermeasure result output unit that outputs a countermeasure report including at least one information of the threat scenario and the countermeasure scenario. According to this aspect, it is possible to output countermeasures against security threats.
  • the threat analysis database may have different threat levels for security threats depending on the device type of the controller system. According to this aspect, countermeasures against threats can be appropriately taken according to the purpose and important matters of the device type of the controller system.
  • the threat scenario may store the risk value estimated by a predetermined method for each of the protected assets of the controller system and the security threat.
  • a security threat can be appropriately analyzed by storing a value calculated by a predetermined method as a risk value.
  • the countermeasure creation unit may create a countermeasure scenario for each of the protected assets and security threats of the controller system in which the risk value stored in the scenario is equal to or higher than a predetermined value. According to this aspect, it is possible to take security measures at the required risk level of measures required by the user.
  • the countermeasure database may store countermeasures by the security function of the security unit and countermeasures by operation that does not use the security function as countermeasures according to the security threat.
  • various security measures can be taken according to the controller system.
  • the countermeasure creation unit may create a countermeasure scenario by selecting countermeasures based on the security function of the security unit according to the resources of the security unit.
  • security measures can be taken according to the resource capacity of the security unit.
  • the countermeasure creation unit may select different countermeasures depending on the software and hardware versions of the devices constituting the controller system. According to this aspect, countermeasures against threats can be appropriately taken according to the devices constituting the controller system.
  • the countermeasure creation unit may select countermeasures by operation and create a countermeasure scenario.
  • security measures can be taken according to the resource capacity of the security unit.
  • a security function for a controller system including a control unit that executes a control operation for controlling a controlled object and a security unit that is connected to the control unit and is in charge of the security function for the controller system according to another aspect of the present invention. It is a setting method of the controller system that sets the setting data of, and is stored in advance in the threat analysis database according to the step of acquiring the device configuration and protected assets from the controller system and the acquired device configuration and protected assets. Depending on the steps to create a threat scenario from the critical level and threat level, the threat scenario to be created, and the countermeasures according to the security threats stored in advance in the countermeasure database, countermeasures for each of the protected assets of the controller system are taken. It includes a step of creating a stored countermeasure scenario and a step of outputting security function setting data to a security unit according to the countermeasure scenario to be created.
  • the support device can analyze the security threat and easily set the countermeasure against the threat.
  • FIG. 1 is an external view showing a configuration example of the controller system 1 according to the present embodiment.
  • the controller system 1 includes a control unit 100, a security unit 200, a safety unit 300, one or more functional units 400, and a power supply unit 450.
  • control unit 100 and the security unit 200 are connected via an arbitrary data transmission line (for example, PCI Express or Ethernet (registered trademark)).
  • control unit 100 and the safety unit 300 and one or more functional units 400 are connected via an internal bus (not shown).
  • the control unit 100 executes a central process in the controller system 1.
  • the control unit 100 executes a control operation for controlling a controlled object according to an arbitrarily designed requirement specification.
  • the control calculation executed by the control unit 100 is also referred to as "standard control" in comparison with the control calculation executed by the safety unit 300 described later.
  • the control unit 100 has one or a plurality of communication ports.
  • the security unit 200 is connected to the control unit 100 and is in charge of the security function for the controller system 1.
  • the security unit 200 has one or more communication ports. Details of the security function provided by the security unit 200 will be described later.
  • the safety unit 300 executes a control calculation for realizing a safety function related to a controlled object independently of the control unit 100.
  • the control calculation executed by the safety unit 300 is also referred to as "safety control".
  • safety control is designed to meet the requirements for realizing the safety function specified in IEC 61508 or the like.
  • Safety control is a general term for processes for preventing human safety from being threatened by equipment or machines.
  • the functional unit 400 provides various functions for realizing control for various control targets by the controller system 1.
  • the functional unit 400 may typically include an I / O unit, a safety I / O unit, a communication unit, a motion controller unit, a temperature control unit, a pulse counter unit, and the like.
  • the I / O unit for example, a digital input (DI) unit, a digital output (DO) unit, an analog output (AI) unit, an analog output (AO) unit, a pulse catch input unit, and a plurality of types are mixed. Examples include a composite unit.
  • the safety I / O unit is in charge of I / O processing related to safety control.
  • the power supply unit 450 supplies power of a predetermined voltage to each unit constituting the controller system 1.
  • FIG. 2 is a schematic diagram showing a hardware configuration example of the control unit 100 constituting the controller system 1 according to the present embodiment.
  • the control unit 100 has a processor 102 such as a CPU (Central Processing Unit) and a GPU (Graphical Processing Unit), a chipset 104, a main storage device 106, and a secondary storage device as main components. It includes 108, a communication controller 110, a USB (Universal Serial Bus) controller 112, a memory card interface 114, network controllers 116, 118, 120, an internal bus controller 122, and an indicator 124.
  • a processor 102 such as a CPU (Central Processing Unit) and a GPU (Graphical Processing Unit)
  • chipset 104 such as a main storage device 106
  • main storage device 106 main storage device
  • secondary storage device main components. It includes 108, a communication controller 110, a USB (Universal Serial Bus) controller 112, a memory card interface 114, network controllers 116, 118, 120, an internal bus controller 122,
  • the processor 102 reads various programs stored in the secondary storage device 108, expands them in the main storage device 106, and executes them to realize control operations related to standard control and various processes as described later. ..
  • the chipset 104 realizes the processing of the control unit 100 as a whole by mediating the exchange of data between the processor 102 and each component.
  • the secondary storage device 108 stores a control program that operates in the execution environment provided by the system program.
  • the communication controller 110 is in charge of exchanging data with the security unit 200.
  • the communication controller 110 for example, a communication chip corresponding to PCI Express or Ethernet (registered trademark) can be adopted.
  • the USB controller 112 is in charge of exchanging data with an arbitrary information processing device via a USB connection.
  • the memory card interface 114 is configured so that the memory card 115 can be attached and detached, and data such as a control program and various settings can be written to the memory card 115, or data such as a control program and various settings can be written from the memory card 115. It is possible to read it.
  • Each of the network controllers 116, 118, 120 is in charge of exchanging data with any device via the network.
  • the network controllers 116, 118, 120 may employ industrial network protocols such as EtherCAT®, EtherNet / IP®, DeviceNet®, CompoNet®.
  • the internal bus controller 122 is in charge of exchanging data with the safety unit 300 and one or a plurality of functional units 400 constituting the controller system 1.
  • a manufacturer-specific communication protocol may be used, or a communication protocol that is the same as or compliant with any industrial network protocol may be used.
  • the indicator 124 notifies the operating state of the control unit 100 and the like, and is composed of one or a plurality of LEDs arranged on the surface of the unit.
  • FIG. 2 shows a configuration example in which the necessary functions are provided by the processor 102 executing the program, and some or all of these provided functions are provided by a dedicated hardware circuit (for example, ASIC). It may be implemented using (Application Specific Integrated Circuit) or FPGA (Field-Programmable Gate Array). Alternatively, the main part of the control unit 100 may be realized by using hardware that follows a general-purpose architecture (for example, an industrial personal computer based on a general-purpose personal computer). In this case, virtualization technology may be used to execute a plurality of OSs (Operating Systems) having different uses in parallel, and to execute necessary applications on each OS.
  • OSs Operating Systems
  • FIG. 3 is a schematic diagram showing a hardware configuration example of the security unit 200 constituting the controller system 1 according to the present embodiment.
  • the security unit 200 has, as main components, a processor 202 such as a CPU and a GPU, a chipset 204, a main storage device 206, a secondary storage device 208, a communication controller 210, and a USB controller. Includes 212, memory card interface 214, network controllers 216, 218, and indicator 224.
  • the processor 202 realizes various security functions as described later by reading various programs stored in the secondary storage device 208, deploying them in the main storage device 206, and executing the programs.
  • the chipset 204 realizes the processing of the security unit 200 as a whole by mediating the exchange of data between the processor 202 and each component.
  • the secondary storage device 208 stores the security system program that operates in the execution environment provided by the system program.
  • the communication controller 210 is in charge of exchanging data with and from the control unit 100.
  • a communication chip corresponding to, for example, PCI Express or Ethernet (registered trademark) can be adopted for the control unit 100 in the same manner as the communication controller 210.
  • the USB controller 212 is in charge of exchanging data with an arbitrary information processing device via a USB connection.
  • the memory card interface 214 is configured so that the memory card 215 can be attached and detached, and data such as a control program and various settings can be written to the memory card 215, or data such as a control program and various settings can be written from the memory card 215. It is possible to read it.
  • Each of the network controllers 216 and 218 is in charge of exchanging data with and from any device via the network.
  • the network controllers 216 and 218 may employ a general-purpose network protocol such as Ethernet®.
  • the indicator 224 notifies the operating state of the security unit 200, etc., and is composed of one or a plurality of LEDs arranged on the surface of the unit.
  • FIG. 3 shows a configuration example in which the necessary functions are provided by the processor 202 executing the program, and some or all of these provided functions are provided by a dedicated hardware circuit (for example, ASIC). Alternatively, it may be implemented using an FPGA or the like). Alternatively, the main part of the security unit 200 may be realized by using hardware that follows a general-purpose architecture (for example, an industrial personal computer based on a general-purpose personal computer). In this case, virtualization technology may be used to execute a plurality of OSs having different uses in parallel, and to execute necessary applications on each OS.
  • a general-purpose architecture for example, an industrial personal computer based on a general-purpose personal computer.
  • virtualization technology may be used to execute a plurality of OSs having different uses in parallel, and to execute necessary applications on each OS.
  • FIG. 4 is a schematic view showing a hardware configuration example of the safety unit 300 constituting the controller system 1 according to the present embodiment.
  • the safety unit 300 includes a processor 302 such as a CPU and a GPU, a chipset 304, a main storage device 306, a secondary storage device 308, a memory card interface 314, and an internal structure as main components. Includes a bus controller 322 and an indicator 324.
  • the processor 302 reads various programs stored in the secondary storage device 308, expands them in the main storage device 306, and executes them to realize control calculations related to safety control and various processes as described later. ..
  • the chipset 304 realizes the processing of the safety unit 300 as a whole by mediating the exchange of data between the processor 302 and each component.
  • the secondary storage device 308 stores a safety program that operates in the execution environment provided by the system program.
  • the memory card interface 314 is configured so that the memory card 315 can be attached and detached, and data such as a safety program and various settings can be written to the memory card 315, or data such as a safety program and various settings can be written from the memory card 315. It is possible to read it.
  • the internal bus controller 322 is in charge of exchanging data with and from the control unit 100 via the internal bus.
  • the indicator 324 notifies the operating state of the safety unit 300 and the like, and is composed of one or a plurality of LEDs arranged on the surface of the unit.
  • FIG. 4 shows a configuration example in which the necessary functions are provided by the processor 302 executing the program, and some or all of these provided functions are provided by a dedicated hardware circuit (for example, ASIC). Alternatively, it may be implemented using an FPGA or the like). Alternatively, the main part of the safety unit 300 may be realized by using hardware that follows a general-purpose architecture (for example, an industrial personal computer based on a general-purpose personal computer). In this case, virtualization technology may be used to execute a plurality of OSs having different uses in parallel, and to execute necessary applications on each OS.
  • a general-purpose architecture for example, an industrial personal computer based on a general-purpose personal computer.
  • virtualization technology may be used to execute a plurality of OSs having different uses in parallel, and to execute necessary applications on each OS.
  • FIG. 5 is a block diagram for explaining a system configuration for setting security in a support device connected to a controller system according to the present embodiment.
  • the support device 600 includes a system configuration input unit 630, a threat scenario creation unit 632, a countermeasure creation unit 634, and a security setting unit 636.
  • the support device 600 further includes a threat analysis database 6106 and a countermeasure database 6108.
  • the threat analysis database 6106 and the countermeasure database 6108 may not be provided in the support device 600 but may be provided in an external server.
  • the support device 600 acquires the device configuration (device system configuration) information and the owned asset information (including the resource information of the security unit 200) from the controller system 1 by the system configuration input unit 630.
  • the threat scenario creation unit 632 creates a threat scenario from the critical level and the threat level of the threat analysis database 6106 according to the device configuration and the protected assets acquired by the system configuration input unit 630.
  • the "importance level” is an index indicating the importance of the protected assets constituting the controller system 1, and can be set by the user.
  • the "threat level” is an index indicating a security threat to the controller system 1, and can be set by the user.
  • the “owned asset” is a device or the like constituting the controller system 1, and includes a control unit 100, a security unit 200, a field device 500, and the like.
  • the threat analysis database 6106 stores in advance the important level for the protected assets of the controller system 1 and the threat level for security threats.
  • the user determines OK or NG for the threat scenario created by the threat scenario creation unit 632, and inputs the determination result to the threat scenario creation unit 632.
  • the user can input the risk level required for countermeasures to the threat scenario creation unit 632.
  • the countermeasure creation unit 634 creates a countermeasure scenario that stores countermeasures for each of the protected assets of the controller system 1 according to the threat scenario created by the threat scenario creation unit 632 and the countermeasures of the countermeasure database 6108.
  • the countermeasure database 6108 stores countermeasures according to security threats in advance. The user determines OK or NG for the countermeasure scenario created by the countermeasure creation unit 634, and inputs the determination result to the countermeasure creation unit 634.
  • the security setting unit 636 outputs security function setting data (security function setting data) to the security unit 200 according to the countermeasure scenario created by the countermeasure creation unit 634.
  • security unit 200 various security functions are realized according to the setting data (security function setting data).
  • the countermeasure result output unit 638 outputs the threat analysis result including the countermeasure scenario created by the countermeasure creation unit 634 to the user as a threat analysis result report.
  • FIG. 5 is realized by the hardware configuration of the support device 600 described below.
  • FIG. 6 is a schematic diagram showing a hardware configuration example of the support device 600 connected to the controller system 1 according to the present embodiment.
  • the support device 600 is realized by using hardware (for example, a general-purpose personal computer) that follows a general-purpose architecture.
  • the support device 600 includes a processor 602, a main memory 604, an input unit 606, an output unit 608, a storage 610, an optical drive 612, and a USB controller 620. These components are connected via the processor bus 618.
  • the processor 602 is configured for the controller system 1 by reading a program (OS 6102 and support program 6104 as an example) stored in the storage 610, expanding the program in the main memory 604, and executing the program, which is composed of a CPU, a GPU, and the like. Realize processing etc.
  • a program OS 6102 and support program 6104 as an example
  • the main memory 604 is composed of a volatile storage device such as DRAM or SRAM.
  • the storage 610 is composed of, for example, a non-volatile storage device such as an HDD or SSD.
  • the support program 6104 for providing the function as the support device 600 is stored. That is, the support program 6104 is executed by the computer connected to the controller system 1 to realize the support device 600 according to the present embodiment. Further, the storage 610 stores a threat analysis database 6106 and a countermeasure database 6108.
  • the input unit 606 is composed of a keyboard, a mouse, and the like, and accepts user operations.
  • the output unit 608 is composed of a display, various indicators, a printer, and the like, and outputs a processing result from the processor 602 and the like.
  • the USB controller 620 exchanges data with the controller system 1 and the like via the USB connection.
  • the support device 600 has an optical drive 612, and a recording medium 614 (for example, an optical recording medium such as a DVD (Digital Versatile Disc)) that non-transiently stores a computer-readable program is contained therein.
  • the stored program is read and installed in the storage 610 or the like.
  • the support program 6104 or the like executed by the support device 600 may be installed via a computer-readable recording medium 614, or may be installed by downloading from a server device or the like on the network. Further, the function provided by the support device 600 according to the present embodiment may be realized by using a part of the module provided by the OS.
  • FIG. 6 shows a configuration example in which the functions required as the support device 600 are provided by the processor 602 executing the program, and some or all of these provided functions are provided by dedicated hardware. It may be implemented using a circuit (eg, ASIC or FPGA).
  • FIG. 7 is a sequence for explaining threat analysis and security settings in the controller system and support device according to the present embodiment.
  • a typical example of a control system including the controller system 1 and the support device 600 will be described.
  • the user launches the setting tool of the security unit 200 on the support device 600.
  • the system configuration input unit 630 makes an inquiry to the controller system 1.
  • the controller system 1 returns the device configuration information of the controller system 1 and the owned asset information to the system configuration input unit 630 in response to an inquiry from the system configuration input unit 630.
  • the system configuration input unit 630 acquires device configuration information and owned asset information from the controller system 1. Further, the system configuration input unit 630 acquires resource information of the security unit 200 such as software and hardware version information and resource capacity from the security unit 200.
  • the threat scenario creation unit 632 selects the threat scenario from the critical level and the threat level of the threat analysis database 6106 according to the device type. Create a list. Specifically, the threat scenario creation unit 632 creates an owned asset evaluation list and a threat list with reference to the information in the threat analysis database 6106, and presents the owned asset evaluation list and the threat scenario list based on the threat list to the user. The threat scenario creation unit 632 may create a threat scenario list from the important level and the threat level of the threat analysis database 6106 regardless of the device type.
  • the user determines whether the presented threat scenario list is OK or NG, and inputs the determination result to the threat scenario creation unit 632. If the threat scenario list is NG, the user can manually correct it. In addition, the user can input the risk level required for countermeasures to the threat scenario creation unit 632.
  • the support device 600 can create countermeasures according to security threats according to the risk level required for countermeasures.
  • the countermeasure creation unit 634 creates a countermeasure scenario that stores countermeasures for each of the protected assets of the controller system 1 according to the threat scenario list created by the threat scenario creation unit 632 and the countermeasures of the countermeasure database 6108.
  • the countermeasure creation unit 634 refers to the threat countermeasure list stored in the threat analysis database 6106, determines the countermeasures for each threat in the threat scenario list, and creates a countermeasure scenario.
  • the countermeasure creation unit 634 presents the created countermeasure scenario to the user.
  • the user determines OK or NG for the countermeasure scenario created by the countermeasure creation unit 634, and inputs the determination result to the countermeasure creation unit 634. If the countermeasure scenario is NG, the process is returned to the threat scenario creation unit 632, and the user can manually modify the threat scenario list.
  • the security setting unit 636 outputs security function setting data (security function setting data) to the security unit 200 according to the countermeasure scenario created by the countermeasure creation unit 634.
  • security unit 200 various security functions are realized according to the setting data (security function setting data).
  • the security unit 200 returns OK information to the security setting unit 636 when the setting is completed according to the setting data (security function setting data), and returns NG information to the security setting unit 636 when the setting is incomplete.
  • the countermeasure result output unit 638 outputs the threat analysis result including the countermeasure scenario created by the countermeasure creation unit 634 to the user as a threat analysis result report. In this way, the control system can analyze the security threat with the support device 600 and easily take countermeasures against the threat.
  • FIG. 8 is a flowchart showing a processing procedure for creating a threat scenario list in the support device 600 according to the present embodiment.
  • FIG. 9 is a flowchart showing a processing procedure for creating a countermeasure scenario in the support device 600 according to the present embodiment.
  • the system configuration input unit 630 acquires the device configuration information (step S101). Since the purpose of control and important matters differ depending on the type of device controlled by the controller system 1, the security functions to be set also differ.
  • the device controlled by the controller system 1 is a semiconductor manufacturing device, it is important to continue to maintain control of the device because basically no person enters the vicinity of the device in the manufacturing process.
  • the device controlled by the controller system 1 is a press device, since it is basic for a person to work near the device in the manufacturing process, the device must be stopped reliably in an emergency to protect human safety. is important. Therefore, in the case of semiconductor manufacturing equipment, the security function of the configuration required to maintain control of the equipment is set with priority, and in the case of press equipment, the security of the configuration required to reliably stop the equipment. Priority is given to the function.
  • FIG. 10 is a schematic diagram showing an example of a device configuration for performing threat analysis and security setting with a support device according to the present embodiment.
  • the device configuration shown in FIG. 10 (a) is a semiconductor manufacturing device
  • the device configuration shown in FIG. 10 (b) is a press device.
  • the control unit (PLC) 100 and the security unit 200 constitute the controller system 1.
  • the security unit 200 of the controller system 1 is connected to the network via the communication port (network controller 216 in FIG. 3), and is connected to the support device (maintenance PC) 600.
  • the support device 600 has at least access to the control unit 100, and allows the user to perform functions such as program creation, debugging, various parameter settings, and various security function settings to be executed by each unit included in the controller system 1. To provide to.
  • the controller system 1 is connected to the network via the communication port (network controller 116 in FIG. 2), and is connected to the HMI (Human Machine Interface) 800 and the external network (NW) 900.
  • HMI Human Machine Interface
  • NW external network
  • the HMI 800 presents various information obtained by the control calculation in the controller system 1 to the operator, and generates an internal command or the like for the controller system 1 according to the operation from the operator.
  • the control unit 100 of the controller system 1 is connected to one or more field devices 500 via a communication port (network controller 118 in FIG. 2).
  • the field device 500 includes a sensor and a detector that collect various information necessary for control calculation from a controlled object, an actuator that exerts some action on the controlled object, and the like.
  • the system configuration input unit 630 inquires the controller system 1 of the device configuration information and the owned asset information, and acquires the device configuration information and the owned asset information from the controller system 1. To do. Further, the system configuration input unit 630 has a device configuration as shown in FIG. 10 based on device type information (for example, semiconductor manufacturing device, press device, etc.) selected by the user, and device configuration information and owned asset information. To create.
  • device type information for example, semiconductor manufacturing device, press device, etc.
  • FIG. 11 is a flowchart showing a procedure for creating a protected asset evaluation list in the support device according to the present embodiment.
  • the threat scenario creation unit 632 extracts the constituent devices from the device configuration information (step S201).
  • the threat scenario creation unit 632 concatenates the protected asset list for each function and each information in the threat analysis database 6106 with respect to the constituent devices extracted in step S201 (step S202).
  • FIG. 12 is a diagram showing an example of a protected asset evaluation list created by the support device according to the present embodiment.
  • FIG. 12 shows a protected asset evaluation list (a) in the case of the semiconductor manufacturing apparatus shown in FIG. 10 (a).
  • the protected asset evaluation list (a) contains the attributes and important levels of HMI protected assets, PLC protected assets, camera protected assets, and servo protected assets.
  • FIG. 13 is a diagram showing another example of the protected asset evaluation list created by the support device according to the present embodiment.
  • FIG. 13 shows a protected asset evaluation list (b) in the case of the press device shown in FIG. 10 (b).
  • the protected asset evaluation list (b) contains the attributes and important levels of HMI protected assets, PLC protected assets, and servo protected assets.
  • the device configuration is different between the protected asset evaluation list (a) and the protected asset evaluation list (b), the stored protected assets are different. Further, since the important items of the protected asset evaluation list (a) and the protected asset evaluation list (b) are different between the semiconductor manufacturing apparatus and the press apparatus, the importance level is also different. For example, in the protected asset evaluation list (a), the importance level of the PLC protected asset user program is as high as “5” in order to maintain control of the device (FIG. 12). On the other hand, in the protected asset evaluation list (b), the importance level of the servo function and control instruction data of the servo protected asset is as high as "5" in order to reliably stop the device (FIG. 13).
  • the threat scenario creation unit 632 presents the protected asset list created in step S202 to the user (step S203).
  • the threat scenario creation unit 632 determines whether or not confirmation has been obtained from the user in the protected asset list presented in step S203 (step S204).
  • the threat scenario creation unit 632 completes the creation of the created protected asset list as the protected asset evaluation list (step S205). If confirmation cannot be obtained from the user (NO in step S204), the threat scenario creation unit 632 accepts the user to modify the protected asset list (step S206).
  • the threat scenario creation unit 632 completes the creation of the protected asset list modified in step S206 as the protected asset evaluation list (step S205).
  • the threat scenario creation unit 632 creates a threat scenario as shown in FIG. 8 after creating a protected asset evaluation list (step S103).
  • the threat scenario creation unit 632 must first create a threat list.
  • FIG. 14 is a flowchart showing a procedure for creating a threat list in the support device according to the present embodiment.
  • the threat scenario creation unit 632 extracts the constituent devices from the device configuration information (step S301).
  • the threat scenario creation unit 632 concatenates the threat list of the assumed attack location in the threat analysis database 6106 with the constituent devices extracted in step S301 (step S302).
  • FIG. 15 is a diagram showing an example of a threat list created by the support device according to the present embodiment.
  • FIG. 15 shows a threat list (a) in the case of the semiconductor manufacturing apparatus shown in FIG. 10 (a).
  • the threat list (a) as possible attack locations for the protected assets of HMI, PLC, camera, and servo, external network, unauthorized device connection, memory card, maintenance PC, camera, servo threat, target attribute, etc. The threat level is stored.
  • threat means any event that prevents the equipment or machine from operating normally.
  • typical threats are (1) attacks from higher-level devices such as databases, (2) attacks from field devices, (3) attacks via support devices, and (4).
  • all physical ports on the controller pose a security risk of being attacked.
  • the external network of the assumed attack location shown in FIG. 15 is classified into "(1) Attack from a higher-level device such as a database”, and specific threats include “Communication DoS (Distributed Denial of Service) attack”. There are “communication data eavesdropping” and “communication data falsification”.
  • a “communication DoS attack” is an attack that sends a large number of packets to the communication address of the attack target, which only affects the communication function with the outside, and it is often possible to operate the device itself. .. Therefore, in the “communication DoS attack", the target attribute is "function" and the threat level is set to "3".
  • Communication data eavesdropping is an attack that intercepts communication via a network device and snoops on the data being communicated, and only leaks information and does not affect the function of the device. Therefore, in “communication data eavesdropping", the target attribute is "information” and the threat level is set to "4".
  • Communication data falsification is an attack that falsifies data being communicated via a network device and is a threat to information. In “communication data falsification”, the target attribute is "information” and the threat level is set to "2".
  • the memory card at the assumed attack location shown in FIG. 15 is classified into “(4) Attack via a storage medium attached to a control device such as a memory card”, and "firmware tampering” is a specific threat.
  • "user program theft” is, for example, an attack in which the updated firmware of the control unit 100 is tampered with and a program of unauthorized operation is written, which is a threat to information. Therefore, in “firmware tampering", the target attribute is "information” and the threat level is set to "4".
  • “Plagiarism of a user program” is an attack in which a user's program is stolen and reused on another machine, and information is leaked. Therefore, in “plagiarism of user program", the target attribute is "information” and the threat level is set to "4".
  • the maintenance PC of the assumed attack location shown in FIG. 15 is classified into "(3) Attack via support device", and specific threats include “malware malfunction”, “data theft”, and “communication”. There is “data tampering”.
  • “Dysfunction due to malware” is, for example, an attack that infects the control unit 100 with malware and causes the control unit 100 to malfunction, and is a threat to information. Therefore, in “malware malfunction”, the target attribute is “function” and the threat level is set to "4".
  • Data theft is an attack that steals data from a device and reuses it on another machine, and is an information leak. Therefore, in “data theft”, the target attribute is "information” and the threat level is set to "4".
  • “Communication data falsification” is an attack that falsifies data being communicated via a network device and is a threat to information. In “communication data falsification”, the target attribute is "information” and the threat level is set to "3".
  • the cameras and servos at the assumed attack locations shown in FIG. 15 are classified into “(2) Attacks from field devices", and specific threats include “camera hijacking”, “image tampering”, and “servo function”. There are “stop” and “servo control data falsification”.
  • “Camera hijacking” is an attack on the control unit 100 by a user who does not have the operation authority maliciously operating the camera, and is a threat to the function of the control unit 100. Therefore, in “camera hijacking”, the target attribute is "function” and the threat level is set to "3".
  • Unauthorized image tampering is an attack that tampers with the image captured by the camera and is a threat to information.
  • image tampering the target attribute is "information” and the threat level is set to "1".
  • Servo function stop is an attack in which a user without operating authority maliciously stops the servo function and does not perform servo control by the control unit 100, and is a threat to the function of the control unit 100. Therefore, in “servo function stop”, the target attribute is "function” and the threat level is set to "3”.
  • “Servo control data falsification” is an attack that falsifies the data required for servo control and is a threat to information. In “servo control data falsification”, the target attribute is "information” and the threat level is set to "2".
  • FIG. 16 is a diagram showing another example of a threat list created by the support device according to the present embodiment.
  • FIG. 16 shows a threat list (b) in the case of the press apparatus shown in FIG. 10 (b).
  • the threat list (b) stores external networks, unauthorized device connections, memory cards, maintenance PCs, servo threats, target attributes, and threat levels as possible attack locations for HMI, PLC, and servo protection assets. Has been done.
  • the threat level stored in the same threat is different.
  • the threat level against the threat of the memory card and the maintenance PC is as high as “5” in order to reliably stop the device (FIG. 16).
  • the threat scenario creation unit 632 presents the threat list created in step S302 to the user (step S303).
  • the threat scenario creation unit 632 determines whether or not confirmation has been obtained from the user in the threat list presented in step S303 (step S304). When confirmation is obtained from the user (YES in step S304), the threat scenario creation unit 632 completes the creation with the presented threat list (step S305). If confirmation cannot be obtained from the user (NO in step S304), the threat scenario creation unit 632 accepts the user to modify the threat list (step S306). The threat scenario creation unit 632 completes creation with the threat list modified in step S306 (step S205).
  • FIG. 17 is a diagram showing a modified example of the threat list created by the support device according to the present embodiment.
  • the threat list (c) shown in FIG. 17 in addition to the threat, target attribute, and threat level information, software and hardware version information of the control unit 100 or the security unit 200 is added. Since the security vulnerabilities of the control unit 100 and the security unit 200 differ depending on the software and hardware version information, it is necessary to make the threat level different depending on the version information.
  • the threat scenario creation unit 632 creates a threat scenario from the threat list and the protected asset evaluation list in step S103.
  • the threat scenario creation unit 632 creates a threat scenario by linking with the threat list and the protected asset evaluation list by attributes. Threat scenarios should be listed for each item that combines protected assets and threats.
  • the listed threat scenarios are also hereinafter referred to as threat scenario lists.
  • the threat scenario creation unit 632 calculates the risk value for each item of the threat scenario list to be created (step S104).
  • the risk value is an index showing the risk to a security threat. For example, it is obtained by integrating the threat level of the threat list and the important level of the protected asset evaluation list by a predetermined trial calculation method.
  • the threat scenario creation unit 632 determines whether or not the risk value of the created threat scenario list is equal to or higher than the risk level required for countermeasures set by the user (step S105). When the risk value is equal to or higher than the risk level required for countermeasures (YES in step S105), the threat scenario creation unit 632 sets the items in the threat scenario list that countermeasures are required (step S106). On the other hand, when the risk value is lower than the risk level requiring countermeasures (NO in step S105), the threat scenario creation unit 632 sets the items in the threat scenario list that countermeasures are not required (step S107).
  • the threat scenario creation unit 632 determines whether or not the trial calculation of the necessity of countermeasures has been completed for all the risk values in the created threat scenario list (step S108). If the trial calculation of the necessity of countermeasures for all risk values has not been completed (NO in step S108), the threat scenario creation unit 632 returns the process to step S104. When the trial calculation of the necessity of countermeasures for all risk values has been completed (YES in step S108), the threat scenario creation unit 632 displays the threat scenario list in descending order of risk value and in order of necessity of countermeasures. Sorting is performed (step S109).
  • FIG. 18 is a diagram showing an example of a threat scenario list created by the support device according to the present embodiment.
  • the result of integrating the items of the protected asset evaluation list of the device function having the importance level of “5” and the items of the DoS attack having the threat level of “5” is “25” as the risk value.
  • the value of is stored.
  • the risk level required for countermeasures is set to "15" or higher, and the risk values are sorted in descending order.
  • the sorted threat scenario list is shown at the bottom of FIG.
  • the countermeasure creation unit 634 stores countermeasures for each of the protected assets of the controller system 1 according to the threat scenario list created by the threat scenario creation unit 632 and the countermeasures (threat countermeasure list) of the countermeasure database 6108.
  • the process of creating a countermeasure scenario will be explained.
  • the countermeasure creation unit 634 extracts the countermeasures corresponding to each item of the threat scenario list from the countermeasure database 6108 (step S110).
  • the countermeasures extracted from the countermeasure database 6108 include countermeasures by the security function of the security unit 200 and countermeasures by operation that does not use the security function.
  • the countermeasures to be extracted may be only the countermeasures by the security function of the security unit 200.
  • the countermeasure creation unit 634 determines whether or not a security unit 200 having a version higher than the version required by the security unit is provided in order to take countermeasures by the security function selected from the threat countermeasure list of the countermeasure database 6108 (). Step S111). In the case of a required version or higher (YES in step S111), the countermeasure creation unit 634 determines whether or not the resource capacity required by the security unit for taking countermeasures by the security function is equal to or less than the resource capacity of the security unit 200. Is determined (step S112).
  • the countermeasure creation unit 634 sets the countermeasure by the security function in the item of the threat scenario list (step S113).
  • the countermeasure creation unit 634 subtracts the resource capacity of the countermeasure by the set security function from the resource capacity of the security unit 200 (step S114).
  • the countermeasure creation unit 634 does not use the security function.
  • the countermeasure by is set in the item of the threat scenario list (step S115).
  • the countermeasure creation unit 634 determines whether or not the countermeasure settings have been completed for all the items in the threat scenario list (step S116). If the countermeasure setting is not completed for all the items (NO in step S116), the countermeasure creation unit 634 returns the process to step S111. When the countermeasure setting is completed for all the items (YES in step S116), the countermeasure creation unit 634 creates a countermeasure scenario for which the countermeasure setting is completed for all the items in the threat scenario list.
  • the security setting unit 636 outputs security function setting data (security function setting data) to the security unit 200 according to the countermeasure scenario created by the countermeasure creation unit 634 (step S117). In step S117, the countermeasure result output unit 638 outputs the threat analysis result including the countermeasure scenario created by the countermeasure creation unit 634 to the user as a threat analysis result report.
  • FIG. 19 is a diagram showing an example of a countermeasure scenario created by the support device according to the present embodiment.
  • countermeasures selected from the threat countermeasure list (a) of the countermeasure database 6108 are set in each item of the threat scenario list shown in FIG.
  • each information of countermeasure, resource, effective threat level, and risk value after countermeasure is stored.
  • IDS-isolation is a measure for blocking communication by an intrusion detection system, which is one of the security functions of the security unit 200, and isolating it from other equipment.
  • FIG. 20 is a diagram showing an example of a countermeasure scenario when the resource capacity created by the support device according to the present embodiment is 50. Since the countermeasure scenario (c) shown in FIG.
  • the item “device function” ⁇ “DoS attack” is used as a countermeasure.
  • "Filtering”, "10” as a resource, "2" as an effect threat level, and "10” as a risk value after countermeasures are stored.
  • "encryption” is set as a countermeasure
  • "20” is set as a resource
  • "2” is set as an effect threat level
  • "8” is set as a risk value after countermeasures. It is stored.
  • FIG. 21 is a diagram showing an example of a countermeasure scenario when the resource capacity created by the support device according to the present embodiment is 100. Since the countermeasure scenario (d) shown in FIG. 21 has a device version of 1.2 and a resource capacity of 100, unlike the countermeasure scenario (c), the item “device function” ⁇ “DoS attack” is used as a countermeasure. "IDS-Quarantine”, "50” as a resource, "1” as an effect threat level, and "5" as a risk value after countermeasures are stored.
  • FIG. 22 is a diagram showing an example of a countermeasure scenario when the resource capacity created by the support device according to the present embodiment is 20. Since the countermeasure scenario (e) shown in FIG. 22 has a device version of 1.2 and a resource capacity of 20, unlike the countermeasure scenario (b), the item “device function” ⁇ “DoS attack” is used as a countermeasure. "Filtering”, "10" as a resource, "2" as an effect threat level, and "10” as a risk value after countermeasures are stored. Further, in the countermeasure scenario (e), since the remaining resource capacity is small, the countermeasure by operation is selected instead of the countermeasure by the security function in the item of "user program” x "eavesdropping".
  • the countermeasures by the security function of the security unit 200 use the resources of the security unit 200, it is necessary to take countermeasures within the resource capacity.
  • operational measures for example, wired communication / blocking ports
  • measures can be taken without worrying about the resource capacity.
  • the necessity of countermeasures is determined based on whether or not the risk value of each item is equal to or higher than the risk level required for countermeasures, but all items are determined regardless of the risk value. Countermeasures may be set for.
  • FIG. 23 is a diagram showing an example of a threat analysis result report created by the support device according to the present embodiment.
  • the threat analysis result report shown in FIG. 23 contains a device configuration diagram and a list of threats assumed to be attack ports, and is, for example, a report for submission to the IT department of a factory.
  • FIG. 23 (a) shows a device configuration
  • FIG. 23 (b) shows a threat scenario list
  • FIG. 23 (c) shows a countermeasure scenario.
  • the attack port numbers are attached to the diagram showing the device configuration in FIG. 23 (a), so that even a person having security knowledge can easily threaten the security. Can be recognized.
  • FIG. 24 is a diagram showing another example of the threat analysis result report created by the support device according to the present embodiment.
  • the threat analysis result report shown in FIG. 24 describes countermeasures by operation in an easy-to-understand manner, and is, for example, a report for factory workers.
  • FIG. 24 (a) shows a diagram in which information on the function (security function) used in the security unit 200 is added to the countermeasure scenario
  • FIG. 24 (b) shows a list of operational countermeasures.
  • FIG. 24B shows a list of operational measures, and details the implementation details. For example, the content of the "wired communication / blocking the port" item is described as "locking the communication port so that it cannot be connected".
  • the location where the countermeasure is taken for example, PLC is also specified.
  • FIG. 25 is a diagram showing an example of device configuration information displayed by the support device according to the present embodiment.
  • FIG. 25A shows an example of a screen in which the user selects a device type (for example, semiconductor manufacturing device, press device, etc.).
  • FIG. 25B shows an example of a device configuration diagram when the device type is a semiconductor manufacturing device.
  • the device configuration information acquired from the controller system 1 in the process of step S101 and the device configuration created from the owned asset information can be presented to the user on the screen shown in FIG. 25 (b). Therefore, the user can visually grasp the device configuration.
  • FIG. 26 is a diagram showing an example of a protected asset evaluation list displayed by the support device according to the present embodiment.
  • the protected asset evaluation list created in the process of step S102 can be presented to the user on the screen shown in FIG. Further, the support device 600 can accept the addition of the list and the editing of the important level to the displayed protected asset evaluation list as necessary.
  • FIG. 27 is a diagram showing an example of a threat list displayed by the support device according to the present embodiment.
  • the threat list created in the process of step S103 can be presented to the user on the screen shown in FIG. 27. Further, the support device 600 can accept the addition of the list and the editing of the threat level to the displayed threat list as necessary.
  • FIG. 28 is a diagram showing an example of setting of the risk value estimation method displayed by the support device according to the present embodiment.
  • the setting of the risk value estimation method of the threat scenario list created in the process of step S104 can be presented to the user on the screen shown in FIG. 28.
  • FIG. 28A shows an example of a screen in which the user selects a method for estimating the risk value (for example, importance (importance level) ⁇ threat level, etc.).
  • FIG. 28 (b) shows an example of a screen for setting the weight when the risk value is estimated by the importance (importance level) ⁇ threat level.
  • the risk value is not only obtained by simply integrating the importance (importance level) and the threat level, but may also be calculated by setting weights on each value.
  • the risk value may be calculated by doubling the threat level.
  • the risk value is estimated using the common vulnerability assessment system CVSS (Common Vulnerability Scoring System) and RSMA (Risk Scoring Methodology for Automotive system), which are general threat analysis risk assessment methods. You may.
  • CVSS Common Vulnerability Scoring System
  • RSMA Rubber Scoring Methodology for Automotive system
  • FIG. 29 is a diagram showing an example of a threat scenario list displayed by the support device according to the present embodiment.
  • the support device 600 can present the threat scenario list created in the process of step S109 to the user on the screen shown in FIG. 29. Further, the support device 600 can accept the risk level required for countermeasures for the displayed threat scenario list.
  • FIG. 30 is a diagram showing an example of selection of a countermeasure policy displayed by the support device according to the present embodiment.
  • the policy setting for example, the Defeat (MAX) setting
  • the Default (MAX) setting is a setting for selecting a countermeasure so as to maximize the resource capacity of the security unit 200 within the allowable range.
  • FIG. 31 is a diagram showing an example of a threat countermeasure list displayed by the support device according to the present embodiment.
  • the threat countermeasure list read from the countermeasure database 6108 in the processes of steps S111 to S114 can be presented to the user on the screen shown in FIG. Further, the support device 600 can accept editing of countermeasure technology, resources, etc. as necessary for the displayed threat countermeasure list.
  • FIG. 32 is a diagram showing an example of a countermeasure scenario displayed by the support device according to the present embodiment.
  • the countermeasure scenario created in the process of step S117 can be presented to the user on the screen shown in FIG. Therefore, in the support device 600, the user can confirm the created countermeasure scenario.
  • FIG. 33 is a diagram showing an example of selection of output contents displayed by the support device according to the present embodiment.
  • the screen for setting the content to be output in step S117 can be presented to the user on the screen shown in FIG. 33.
  • the support device 600 can be set to output, for example, a threat analysis result report, an operation countermeasure report, and unit setting data.
  • the support device (600) A system configuration input unit (630) that acquires the device configuration and protected assets from the controller system (1), and A threat analysis database (6106) that stores in advance the critical level for protected assets and the threat level for security threats of the controller system (1), and A threat scenario creation unit (632) that creates a threat scenario from the critical level and threat level of the threat analysis database (6106) according to the device configuration and protected assets acquired by the system configuration input unit (630).
  • a countermeasure database (6108) that stores countermeasures according to security threats in advance, and According to the threat scenario created by the threat scenario creation unit (632) and the countermeasures of the countermeasure database (6108), a countermeasure scenario storing countermeasures for each of the protected assets of the controller system (1) is created.
  • a security setting unit (636) that outputs security function setting data to the security unit (200) according to the countermeasure scenario created by the countermeasure creation unit (634).
  • the support device (600) further includes a countermeasure result output unit (638) that outputs a countermeasure report including the threat scenario and at least one information of the countermeasure scenario.
  • the threat analysis database (6106) has a threat level against a security threat that differs depending on the device type of the controller system (1).
  • the threat scenario is any one of configurations 1 to 3 in which risk values estimated by a predetermined method are stored for each of the protected assets and security threats of the controller system (1).
  • the countermeasure creation unit (634) creates the countermeasure scenario for each of the protected assets and security threats of the controller system (1) whose risk value stored in the threat scenario is equal to or higher than a predetermined value. , The control system according to configuration 4.
  • the countermeasure database (6108) stores, as countermeasures in response to security threats, countermeasures by the security function of the security unit (200) and countermeasures by operation that does not use the security function, respectively.
  • the control system according to any one of the configurations 5.
  • the countermeasure creation unit (634) selects countermeasures by the security function of the security unit (200) according to the resources of the controller system (1) and creates the countermeasure scenario, any of configurations 1 to 6.
  • [Structure 8] The control system according to configuration 7, wherein the countermeasure creation unit (634) selects countermeasures depending on the software and hardware versions of the devices constituting the controller system (1).
  • [Structure 9] The control according to any one of configurations 6 to 8, wherein the countermeasure creation unit (634) selects countermeasures by operation and creates the countermeasure scenario when the resources of the controller system (1) are insufficient. system.
  • the controller including a control unit (100) that executes a control calculation for controlling a control target and a security unit (200) that is connected to the control unit (100) and is in charge of a security function for the controller system (1).
  • This is a setting method of the controller system (1) for setting security function setting data for the system (1).
  • the support device can analyze security threats and easily take countermeasures against the threats.
  • controller system 10 control system, 100 control unit, 102, 202, 302, 602 processor, 104, 204, 304 chip set, 106, 206, 306 main memory, 108, 208, 308 secondary storage, 110, 210 communication controller, 112,212,620 USB controller, 114,214,314 memory card interface, 115,215,315 memory card, 116,118,120,216,218 network controller, 122,322 internal bus controller, 124, 224,324 indicator, 142,144,242 communication port, 200 security unit, 300 safety unit, 400 functional unit, 450 power supply unit, 500 field device, 600 support device, 604 main memory, 606 input unit, 608 output unit, 610 Storage, 612 optical drive, 614 recording medium, 618 processor bus, 800 HMI, 900 external network, 6102 OS, 6104 support program, 6106 threat analysis database, 6108 countermeasure database.

Landscapes

  • Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Mathematical Physics (AREA)
  • Computing Systems (AREA)
  • Programmable Controllers (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

制御対象を制御するコントローラシステム（１）と、コントローラシステム（１）の設定をサポートするサポート装置（６００）とを備える制御システムである。サポート装置（６００）は、システム構成入力部（６３０）と、脅威分析データベース（６１０６）と、脅威シナリオ作成部（６３２）と、対策データベース（６１０８）と、対策作成部（６３４）と、セキュリティ設定部（６３６）とを含む。対策作成部（６３４）は、脅威シナリオと、対策データベースの対策とに応じて、コントローラシステムの保護資産の各々に対する対策を格納した対策シナリオを作成する。

Description

制御システム、および設定方法
　本発明は、制御対象を制御するコントローラシステムを備える制御システムに対するセキュリティ機能、および設定方法に関する。
　近年、工場などの製造現場では、マルウェアなどの被害が発生しており、ＰＬＣ（プログラマブルロジックコントローラ）などの制御装置に対してもセキュリティ対策が必須となってきた。そのため、工場などの装置、生産ラインを開発する場合には、セキュリティ対策を生産技術者、装置メーカ開発者などが行う必要がある。
　ＰＬＣでは、例えば、特開２０００－１３７５０６号公報（特許文献１）に開示されているように、異常履歴が登録されたとき、または、予め定められた時間が到来したときに、予め指定された宛先に電子メールを送信する程度で、セキュリティ対策については何ら考慮されていない。
特開２０００－１３７５０６号公報
　特に、近年のＩＣＴ（Information　and　Communication　Technology）の進歩に伴って、制御装置も様々な外部装置とネットワーク接続されるとともに、制御装置において実行される処理も高度化している。このようなネットワーク化あるいはインテリジェント化に伴って、想定されるセキュリティの脅威の種類も増加している。
　しかし、想定されるセキュリティの脅威を分析する脅威分析は、専門知識が必要で、生産技術者、装置メーカ開発者が脅威分析を行うには知識を取得するために長い教育時間が必要であった。また、セキュリティの脅威分析のために専門家の雇用した場合、専門家の人件費が、工場、装置メーカのコスト負担となる。
　本発明は、制御装置および制御システムのネットワーク化あるいはインテリジェント化に伴って生じ得るセキュリティの脅威を分析し、当該脅威に対する対策を行うという新たな課題を解決することを一つの目的としている。
　本発明のある局面に従う制御システムであって、制御対象を制御するコントローラシステムと、コントローラシステムの設定をサポートするサポート装置とを備え、コントローラシステムは、制御対象を制御するための制御演算を実行する制御ユニットと、制御ユニットに接続され、コントローラシステムに対するセキュリティ機能を担当するセキュリティユニットとを含み、サポート装置は、コントローラシステムから装置構成および保護資産を取得するシステム構成入力部と、コントローラシステムの保護資産に対する重要レベル、セキュリティの脅威に対する脅威レベルを予め格納している脅威分析データベースと、システム構成入力部で取得した装置構成および保護資産に応じて、脅威分析データベースの重要レベルおよび脅威レベルから脅威シナリオを作成する脅威シナリオ作成部と、セキュリティの脅威に応じた対策を予め格納している対策データベースと、脅威シナリオ作成部で作成する脅威シナリオと、対策データベースの対策とに応じて、コントローラシステムの保護資産の各々に対する対策を格納した対策シナリオを作成する対策作成部と、対策作成部で作成する対策シナリオに応じて、セキュリティユニットに対してセキュリティ機能の設定データを出力するセキュリティ設定部とを含む。
　この局面によれば、制御システムは、サポート装置でセキュリティの脅威を分析し、当該脅威に対する対策を容易に行うことができる。
　好ましくは、サポート装置は、脅威シナリオ、および対策シナリオの少なくともの１つの情報を含む対策レポートを出力する対策結果出力部をさらに備えるようにしてもよい。この局面によれば、セキュリティの脅威に対する対策を出力することができる。
　好ましくは、脅威分析データベースは、セキュリティの脅威に対する脅威レベルが、コントローラシステムの装置種別により異なるようにしてもよい。この局面によれば、コントローラシステムの装置種別の目的、重要とする事項に応じて、脅威に対する対策を適切に行うことができる。
　好ましくは、脅威シナリオは、コントローラシステムの保護資産およびセキュリティの脅威の各々に対して、予め定められた方法で試算したリスク値を格納してもよい。この局面によれば、予め定められた方法で試算した値をリスク値として格納することで、セキュリティの脅威を適切に分析することができる。
　好ましくは、対策作成部は、シナリオに格納されたリスク値が予め定められた値以上のコントローラシステムの保護資産およびセキュリティの脅威の各々に対して対策シナリオを作成するようにしてもよい。この局面によれば、ユーザの必要とする対策必要リスクレベルのセキュリティの対策を行うことができる。
　好ましくは、対策データベースは、セキュリティの脅威に応じた対策として、セキュリティユニットのセキュリティ機能による対策と、当該セキュリティ機能を使用しない運用による対策とをそれぞれ格納してよい。この局面によれば、コントローラシステムに応じて多彩なセキュリティの対策を行うことができる。
　好ましくは、対策作成部は、セキュリティユニットのリソースに応じて、セキュリティユニットのセキュリティ機能による対策を選択して対策シナリオを作成するようにしてもよい。この局面によれば、セキュリティユニットのリソース容量に応じてセキュリティの対策を行うことができる。
　好ましくは、対策作成部は、コントローラシステムを構成する装置の各々のソフトウェアおよびハードウェアのバージョンにより選択する対策が異なるようにしてもよい。この局面によれば、コントローラシステムを構成する装置に応じて、脅威に対する対策を適切に行うことができる。
　好ましくは、対策作成部は、セキュリティユニットのリソースが不足する場合、運用による対策を選択して対策シナリオを作成するようにしてもよい。この局面によれば、セキュリティユニットのリソース容量に応じてセキュリティの対策を行うことができる。
　本発明の別の局面に従う、制御対象を制御するための制御演算を実行する制御ユニットと、制御ユニットに接続され、コントローラシステムに対するセキュリティ機能を担当するセキュリティユニットとを含むコントローラシステムに対してセキュリティ機能の設定データを設定する、コントローラシステムの設定方法であって、コントローラシステムから装置構成および保護資産を取得するステップと、取得した装置構成および保護資産に応じて、脅威分析データベースで予め格納している重要レベルおよび脅威レベルから脅威シナリオを作成するステップと、作成する脅威シナリオと、対策データベースで予め格納しているセキュリティの脅威に応じた対策とに応じて、コントローラシステムの保護資産の各々に対する対策を格納した対策シナリオを作成するステップと、作成する対策シナリオに応じて、セキュリティユニットに対してセキュリティ機能の設定データを出力するステップとを含む。
　この局面によれば、制御システムにおいて、サポート装置でセキュリティの脅威を分析し、当該脅威に対する対策を容易に設定することができる。
　本発明によれば、制御装置および制御システムのネットワーク化あるいはインテリジェント化に伴って生じ得るセキュリティの脅威を分析し、当該脅威に対する対策を行うという新たな課題を解決できる。
本実施の形態に係るコントローラシステムの構成例を示す外観図である。 本実施の形態に従うコントローラシステムを構成する制御ユニットのハードウェア構成例を示す模式図である。 本実施の形態に従うコントローラシステムを構成するセキュリティユニットのハードウェア構成例を示す模式図である。 本実施の形態に従うコントローラシステムを構成するセーフティユニットのハードウェア構成例を示す模式図である。 本実施の形態に従うコントローラシステムに接続されるサポート装置でセキュリティの設定を行うシステム構成を説明するためのブロック図である。 本実施の形態に従うコントローラシステムに接続されるサポート装置のハードウェア構成例を示す模式図である。 本実施の形態に従うコントローラシステムおよびサポート装置での脅威分析およびセキュリティの設定を説明するためのシーケンスである。 本実施の形態に従うサポート装置での脅威シナリオリスト作成の処理手順を示すフローチャートである。 本実施の形態に従うサポート装置での対策シナリオ作成の処理手順を示すフローチャートである。 本実施の形態に従うサポート装置で脅威分析およびセキュリティの設定を行う装置構成の一例を示す模式図である。 本実施の形態に従うサポート装置で保護資産評価リストの作成処理手順を示すフローチャートである。 本実施の形態に従うサポート装置で作成した保護資産評価リストの一例を示す図である。 本実施の形態に従うサポート装置で作成した保護資産評価リストの別の一例を示す図である。 本実施の形態に従うサポート装置で脅威リストの作成処理手順を示すフローチャートである。 本実施の形態に従うサポート装置で作成した脅威リストの一例を示す図である。 本実施の形態に従うサポート装置で作成した脅威リストの別の一例を示す図である。 本実施の形態に従うサポート装置で作成した脅威リストの変形例を示す図である。 本実施の形態に従うサポート装置で作成した脅威シナリオリストの一例を示す図である。 本実施の形態に従うサポート装置で作成した対策シナリオの一例を示す図である。 本実施の形態に従うサポート装置で作成したリソース容量が５０の場合の対策シナリオの一例を示す図である。 本実施の形態に従うサポート装置で作成したリソース容量が１００の場合の対策シナリオの一例を示す図である。 本実施の形態に従うサポート装置で作成したリソース容量が２０の場合の対策シナリオの一例を示す図である。 本実施の形態に従うサポート装置で作成した脅威分析結果レポートの一例を示す図である。 本実施の形態に従うサポート装置で作成した脅威分析結果レポートの別の一例を示す図である。 本実施の形態に従うサポート装置で表示される装置構成の情報の一例を示す図である。 本実施の形態に従うサポート装置で表示される保護資産評価リストの一例を示す図である。 本実施の形態に従うサポート装置で表示される脅威リストの一例を示す図である。 本実施の形態に従うサポート装置で表示されるリスク値試算方法の設定の一例を示す図である。 本実施の形態に従うサポート装置で表示される脅威シナリオリストの一例を示す図である。 本実施の形態に従うサポート装置で表示される対策方針の選択の一例を示す図である。 本実施の形態に従うサポート装置で表示される脅威対策リストの一例を示す図である。 本実施の形態に従うサポート装置で表示される対策シナリオの一例を示す図である。 本実施の形態に従うサポート装置で表示される出力内容の選択の一例を示す図である。
　本発明の実施の形態について、図面を参照しながら詳細に説明する。なお、図中の同一または相当部分については、同一符号を付してその説明は繰り返さない。
　＜Ａ．適用例＞
　本発明が適用される場面の一例について説明する。まず、本実施の形態に従うコントローラシステム１の構成について説明する。
　図１は、本実施の形態に係るコントローラシステム１の構成例を示す外観図である。図１を参照して、コントローラシステム１は、制御ユニット１００と、セキュリティユニット２００と、セーフティユニット３００と、１または複数の機能ユニット４００と、電源ユニット４５０とを含む。
　制御ユニット１００とセキュリティユニット２００との間は、任意のデータ伝送路（例えば、ＰＣＩ　Ｅｘｐｒｅｓｓあるいはイーサネット（登録商標）など）を介して接続されている。制御ユニット１００とセーフティユニット３００および１または複数の機能ユニット４００との間は、図示しない内部バスを介して接続されている。
　制御ユニット１００は、コントローラシステム１において中心的な処理を実行する。制御ユニット１００は、任意に設計された要求仕様に従って、制御対象を制御するための制御演算を実行する。後述のセーフティユニット３００で実行される制御演算との対比で、制御ユニット１００で実行される制御演算を「標準制御」とも称す。図１に示す構成例において、制御ユニット１００は、１または複数の通信ポートを有している。
　セキュリティユニット２００は、制御ユニット１００に接続され、コントローラシステム１に対するセキュリティ機能を担当する。図１に示す構成例において、セキュリティユニット２００は、１または複数の通信ポートを有している。セキュリティユニット２００が提供するセキュリティ機能の詳細については、後述する。
　セーフティユニット３００は、制御ユニット１００とは独立して、制御対象に関するセーフティ機能を実現するための制御演算を実行する。セーフティユニット３００で実行される制御演算を「セーフティ制御」とも称す。通常、「セーフティ制御」は、ＩＥＣ　６１５０８などに規定されたセーフティ機能を実現するための要件を満たすように設計される。「セーフティ制御」は、設備や機械などによって人の安全が脅かされることを防止するための処理を総称する。
　機能ユニット４００は、コントローラシステム１による様々な制御対象に対する制御を実現するための各種機能を提供する。機能ユニット４００は、典型的には、Ｉ／Ｏユニット、セーフティＩ／Ｏユニット、通信ユニット、モーションコントローラユニット、温度調整ユニット、パルスカウンタユニットなどを包含し得る。Ｉ／Ｏユニットとしては、例えば、デジタル入力（ＤＩ）ユニット、デジタル出力（ＤＯ）ユニット、アナログ出力（ＡＩ）ユニット、アナログ出力（ＡＯ）ユニット、パルスキャッチ入力ユニット、および、複数の種類を混合させた複合ユニットなどが挙げられる。セーフティＩ／Ｏユニットは、セーフティ制御に係るＩ／Ｏ処理を担当する。
　電源ユニット４５０は、コントローラシステム１を構成する各ユニットに対して、所定電圧の電源を供給する。
　＜Ｂ．各ユニットのハードウェア構成例＞
　次に、本実施の形態に従うコントローラシステム１を構成する各ユニットのハードウェア構成例について説明する。
　（ｂ１：制御ユニット１００）
　図２は、本実施の形態に従うコントローラシステム１を構成する制御ユニット１００のハードウェア構成例を示す模式図である。図２を参照して、制御ユニット１００は、主たるコンポーネントとして、ＣＰＵ（Central　Processing　Unit）やＧＰＵ（Graphical　Processing　Unit）などのプロセッサ１０２と、チップセット１０４と、主記憶装置１０６と、二次記憶装置１０８と、通信コントローラ１１０と、ＵＳＢ（Universal　Serial　Bus）コントローラ１１２と、メモリカードインターフェイス１１４と、ネットワークコントローラ１１６，１１８，１２０と、内部バスコントローラ１２２と、インジケータ１２４とを含む。
　プロセッサ１０２は、二次記憶装置１０８に格納された各種プログラムを読み出して、主記憶装置１０６に展開して実行することで、標準制御に係る制御演算、および、後述するような各種処理を実現する。チップセット１０４は、プロセッサ１０２と各コンポーネントとの間のデータの遣り取りを仲介することで、制御ユニット１００全体としての処理を実現する。
　二次記憶装置１０８には、システムプログラムに加えて、システムプログラムが提供する実行環境上で動作する制御プログラムが格納される。
　通信コントローラ１１０は、セキュリティユニット２００との間のデータの遣り取りを担当する。通信コントローラ１１０としては、例えば、ＰＣＩ　Ｅｘｐｒｅｓｓあるいはイーサネット（登録商標）などに対応する通信チップを採用できる。
　ＵＳＢコントローラ１１２は、ＵＳＢ接続を介して任意の情報処理装置との間のデータの遣り取りを担当する。
　メモリカードインターフェイス１１４は、メモリカード１１５を着脱可能に構成されており、メモリカード１１５に対して制御プログラムや各種設定などのデータを書込み、あるいは、メモリカード１１５から制御プログラムや各種設定などのデータを読出すことが可能になっている。
　ネットワークコントローラ１１６，１１８，１２０の各々は、ネットワークを介した任意のデバイスとの間のデータの遣り取りを担当する。ネットワークコントローラ１１６，１１８，１２０は、ＥｔｈｅｒＣＡＴ（登録商標）、ＥｔｈｅｒＮｅｔ／ＩＰ（登録商標）、ＤｅｖｉｃｅＮｅｔ（登録商標）、ＣｏｍｐｏＮｅｔ（登録商標）などの産業用ネットワークプロトコルを採用してもよい。
　内部バスコントローラ１２２は、コントローラシステム１を構成するセーフティユニット３００や１または複数の機能ユニット４００との間のデータの遣り取りを担当する。内部バスには、メーカ固有の通信プロトコルを用いてもよいし、いずれかの産業用ネットワークプロトコルと同一あるいは準拠した通信プロトコルを用いてもよい。
　インジケータ１２４は、制御ユニット１００の動作状態などを通知するものであり、ユニット表面に配置された１または複数のＬＥＤなどで構成される。
　図２には、プロセッサ１０２がプログラムを実行することで必要な機能が提供される構成例を示したが、これらの提供される機能の一部または全部を、専用のハードウェア回路（例えば、ＡＳＩＣ（Application　Specific　Integrated　Circuit）またはＦＰＧＡ（Field-Programmable　Gate　Array）など）を用いて実装してもよい。あるいは、制御ユニット１００の主要部を、汎用的なアーキテクチャに従うハードウェア（例えば、汎用パソコンをベースとした産業用パソコン）を用いて実現してもよい。この場合には、仮想化技術を用いて、用途の異なる複数のＯＳ（Operating　System）を並列的に実行させるとともに、各ＯＳ上で必要なアプリケーションを実行させるようにしてもよい。
　（ｂ２：セキュリティユニット２００）
　図３は、本実施の形態に従うコントローラシステム１を構成するセキュリティユニット２００のハードウェア構成例を示す模式図である。図３を参照して、セキュリティユニット２００は、主たるコンポーネントとして、ＣＰＵやＧＰＵなどのプロセッサ２０２と、チップセット２０４と、主記憶装置２０６と、二次記憶装置２０８と、通信コントローラ２１０と、ＵＳＢコントローラ２１２と、メモリカードインターフェイス２１４と、ネットワークコントローラ２１６，２１８と、インジケータ２２４とを含む。
　プロセッサ２０２は、二次記憶装置２０８に格納された各種プログラムを読み出して、主記憶装置２０６に展開して実行することで、後述するような各種セキュリティ機能を実現する。チップセット２０４は、プロセッサ２０２と各コンポーネントとの間のデータの遣り取りを仲介することで、セキュリティユニット２００全体としての処理を実現する。
　二次記憶装置２０８には、システムプログラムに加えて、システムプログラムが提供する実行環境上で動作するセキュリティシステムプログラムが格納される。
　通信コントローラ２１０は、制御ユニット１００との間のデータの遣り取りを担当する。通信コントローラ２１０としては、制御ユニット１００に通信コントローラ２１０と同様に、例えば、ＰＣＩ　Ｅｘｐｒｅｓｓあるいはイーサネット（登録商標）などに対応する通信チップを採用できる。
　ＵＳＢコントローラ２１２は、ＵＳＢ接続を介して任意の情報処理装置との間のデータの遣り取りを担当する。
　メモリカードインターフェイス２１４は、メモリカード２１５を着脱可能に構成されており、メモリカード２１５に対して制御プログラムや各種設定などのデータを書込み、あるいは、メモリカード２１５から制御プログラムや各種設定などのデータを読出すことが可能になっている。
　ネットワークコントローラ２１６，２１８の各々は、ネットワークを介した任意のデバイスとの間のデータの遣り取りを担当する。ネットワークコントローラ２１６，２１８は、イーサネット（登録商標）などの汎用的なネットワークプロトコルを採用してもよい。
　インジケータ２２４は、セキュリティユニット２００の動作状態などを通知するものであり、ユニット表面に配置された１または複数のＬＥＤなどで構成される。
　図３には、プロセッサ２０２がプログラムを実行することで必要な機能が提供される構成例を示したが、これらの提供される機能の一部または全部を、専用のハードウェア回路（例えば、ＡＳＩＣまたはＦＰＧＡなど）を用いて実装してもよい。あるいは、セキュリティユニット２００の主要部を、汎用的なアーキテクチャに従うハードウェア（例えば、汎用パソコンをベースとした産業用パソコン）を用いて実現してもよい。この場合には、仮想化技術を用いて、用途の異なる複数のＯＳを並列的に実行させるとともに、各ＯＳ上で必要なアプリケーションを実行させるようにしてもよい。
　（ｂ３：セーフティユニット３００）
　図４は、本実施の形態に従うコントローラシステム１を構成するセーフティユニット３００のハードウェア構成例を示す模式図である。図４を参照して、セーフティユニット３００は、主たるコンポーネントとして、ＣＰＵやＧＰＵなどのプロセッサ３０２と、チップセット３０４と、主記憶装置３０６と、二次記憶装置３０８と、メモリカードインターフェイス３１４と、内部バスコントローラ３２２と、インジケータ３２４とを含む。
　プロセッサ３０２は、二次記憶装置３０８に格納された各種プログラムを読み出して、主記憶装置３０６に展開して実行することで、セーフティ制御に係る制御演算、および、後述するような各種処理を実現する。チップセット３０４は、プロセッサ３０２と各コンポーネントとの間のデータの遣り取りを仲介することで、セーフティユニット３００全体としての処理を実現する。
　二次記憶装置３０８には、システムプログラムに加えて、システムプログラムが提供する実行環境上で動作するセーフティプログラムが格納される。
　メモリカードインターフェイス３１４は、メモリカード３１５を着脱可能に構成されており、メモリカード３１５に対してセーフティプログラムや各種設定などのデータを書込み、あるいは、メモリカード３１５からセーフティプログラムや各種設定などのデータを読出すことが可能になっている。
　内部バスコントローラ３２２は、内部バスを介した制御ユニット１００との間のデータの遣り取りを担当する。
　インジケータ３２４は、セーフティユニット３００の動作状態などを通知するものであり、ユニット表面に配置された１または複数のＬＥＤなどで構成される。
　図４には、プロセッサ３０２がプログラムを実行することで必要な機能が提供される構成例を示したが、これらの提供される機能の一部または全部を、専用のハードウェア回路（例えば、ＡＳＩＣまたはＦＰＧＡなど）を用いて実装してもよい。あるいは、セーフティユニット３００の主要部を、汎用的なアーキテクチャに従うハードウェア（例えば、汎用パソコンをベースとした産業用パソコン）を用いて実現してもよい。この場合には、仮想化技術を用いて、用途の異なる複数のＯＳを並列的に実行させるとともに、各ＯＳ上で必要なアプリケーションを実行させるようにしてもよい。
　＜Ｃ：セキュリティ機能の設定＞
　次に、上述したセキュリティユニット２００において各種セキュリティ機能を実現させるための設定を行う場合の処理の一例について説明する。図５は、本実施の形態に従うコントローラシステムに接続されるサポート装置でセキュリティの設定を行うシステム構成を説明するためのブロック図である。図５に示すように、サポート装置６００には、システム構成入力部６３０、脅威シナリオ作成部６３２、対策作成部６３４、セキュリティ設定部６３６を備えている。なお、サポート装置６００は、脅威分析データベース６１０６、対策データベース６１０８をさらに備えている。しかし、脅威分析データベース６１０６、対策データベース６１０８は、サポート装置６００内に設けず、外部サーバに設けてもよい。
　まず、サポート装置６００は、コントローラシステム１から装置構成（装置システム構成）の情報、および保有資産の情報（セキュリティユニット２００のリソース情報を含む）をシステム構成入力部６３０で取得する。脅威シナリオ作成部６３２は、システム構成入力部６３０で取得した装置構成および保護資産に応じて、脅威分析データベース６１０６の重要レベルおよび脅威レベルから脅威シナリオを作成する。本明細書において、「重要レベル」は、コントローラシステム１を構成する保護資産の重要度を示す指標であり、ユーザにおいて設定することも可能である。本明細書において、「脅威レベル」は、コントローラシステム１に対するセキュリティの脅威を示す指標であり、ユーザにおいて設定することも可能である。本明細書において、「保有資産」は、コントローラシステム１を構成する装置などで、制御ユニット１００、セキュリティユニット２００、フィールドデバイス５００などを含む。
　脅威分析データベース６１０６には、コントローラシステム１の保護資産に対する重要レベル、セキュリティの脅威に対する脅威レベルを予め格納されている。ユーザは、脅威シナリオ作成部６３２が作成した脅威シナリオに対してＯＫまたはＮＧの判定を行い、その判定結果を脅威シナリオ作成部６３２に入力する。また、ユーザは、脅威シナリオ作成部６３２に対して対策必要リスクレベルを入力可能である。
　対策作成部６３４は、脅威シナリオ作成部６３２で作成する脅威シナリオと、対策データベース６１０８の対策とに応じて、コントローラシステム１の保護資産の各々に対する対策を格納した対策シナリオを作成する。対策データベース６１０８には、セキュリティの脅威に応じた対策を予め格納している。ユーザは、対策作成部６３４が作成した対策シナリオに対してＯＫまたはＮＧの判定を行い、その判定結果を対策作成部６３４に入力する。
　セキュリティ設定部６３６は、対策作成部６３４で作成する対策シナリオに応じて、セキュリティユニット２００に対してセキュリティ機能の設定データ（セキュリティ機能設定データ）を出力する。セキュリティユニット２００では、設定データ（セキュリティ機能設定データ）に応じて各種セキュリティ機能を実現させている。対策結果出力部６３８は、対策作成部６３４で作成する対策シナリオを含む脅威分析結果を脅威分析結果レポートとしてユーザに出力する。
　図５で説明した構成は、以下に説明するサポート装置６００のハードウェア構成により実現される。図６は、本実施の形態に従うコントローラシステム１に接続されるサポート装置６００のハードウェア構成例を示す模式図である。サポート装置６００は、一例として、汎用的なアーキテクチャに従うハードウェア（例えば、汎用パソコン）を用いて実現される。
　図６を参照して、サポート装置６００は、プロセッサ６０２と、メインメモリ６０４と、入力部６０６と、出力部６０８と、ストレージ６１０と、光学ドライブ６１２と、ＵＳＢコントローラ６２０とを含む。これらのコンポーネントは、プロセッサバス６１８を介して接続されている。
　プロセッサ６０２は、ＣＰＵやＧＰＵなどで構成され、ストレージ６１０に格納されたプログラム（一例として、ＯＳ６１０２およびサポートプログラム６１０４）を読出して、メインメモリ６０４に展開して実行することで、コントローラシステム１に対する設定処理などを実現する。
　メインメモリ６０４は、ＤＲＡＭやＳＲＡＭなどの揮発性記憶装置などで構成される。ストレージ６１０は、例えば、ＨＤＤやＳＳＤなどの不揮発性記憶装置などで構成される。
　ストレージ６１０には、基本的な機能を実現するためのＯＳ６１０２に加えて、サポート装置６００としての機能を提供するためのサポートプログラム６１０４が格納される。すなわち、サポートプログラム６１０４は、コントローラシステム１に接続されるコンピュータにより実行されることで、本実施の形態に係るサポート装置６００を実現する。さらに、ストレージ６１０には、脅威分析データベース６１０６および対策データベース６１０８が格納されている。
　入力部６０６は、キーボードやマウスなどで構成され、ユーザ操作を受け付ける。出力部６０８は、ディスプレイ、各種インジケータ、プリンタなどで構成され、プロセッサ６０２からの処理結果などを出力する。
　ＵＳＢコントローラ６２０は、ＵＳＢ接続を介して、コントローラシステム１などとの間のデータを遣り取りする。
　サポート装置６００は、光学ドライブ６１２を有しており、コンピュータ読取可能なプログラムを非一過的に格納する記録媒体６１４（例えば、ＤＶＤ（Digital　Versatile　Disc）などの光学記録媒体）から、その中に格納されたプログラムが読取られてストレージ６１０などにインストールされる。
　サポート装置６００で実行されるサポートプログラム６１０４などは、コンピュータ読取可能な記録媒体６１４を介してインストールされてもよいが、ネットワーク上のサーバ装置などからダウンロードする形でインストールするようにしてもよい。また、本実施の形態に係るサポート装置６００が提供する機能は、ＯＳが提供するモジュールの一部を利用する形で実現される場合もある。
　図６には、プロセッサ６０２がプログラムを実行することで、サポート装置６００として必要な機能が提供される構成例を示したが、これらの提供される機能の一部または全部を、専用のハードウェア回路（例えば、ＡＳＩＣまたはＦＰＧＡなど）を用いて実装してもよい。
　次に、上述したサポート装置６００でセキュリティの設定を行うシステム構成において、装置の開発時、装置の立ち上げ時に行う脅威分析およびセキュリティの設定について詳しく説明する。図７は、本実施の形態に従うコントローラシステムおよびサポート装置での脅威分析およびセキュリティの設定を説明するためのシーケンスである。図７に示すシーケンスでは、コントローラシステム１およびサポート装置６００を含む制御システムの典型例について説明する。
　まず、ユーザが、サポート装置６００でセキュリティユニット２００の設定ツールを立ち上げる。当該設定ツールが立ち上がるとシステム構成入力部６３０がコントローラシステム１に対して問合せを行う。コントローラシステム１は、システム構成入力部６３０からの問合せに対してコントローラシステム１の装置構成の情報、保有資産の情報をシステム構成入力部６３０に返信する。システム構成入力部６３０は、コントローラシステム１から装置構成の情報、および保有資産の情報を取得する。さらに、システム構成入力部６３０は、セキュリティユニット２００からソフトウェアおよびハードウェアのバージョン情報、リソース容量などのセキュリティユニット２００のリソース情報を取得する。
　ユーザが、サポート装置６００でセキュリティユニット２００の設定の開始を選択し、装置種別を選択した場合、脅威シナリオ作成部６３２は、装置種別に応じて脅威分析データベース６１０６の重要レベルおよび脅威レベルから脅威シナリオリストを作成する。具体的に、脅威シナリオ作成部６３２は、脅威分析データベース６１０６の情報を参照して保有資産評価リストおよび脅威リストを作成し、保有資産評価リストおよび脅威リストに基づく脅威シナリオリストをユーザに提示する。なお、脅威シナリオ作成部６３２は、装置種別に関わらず脅威分析データベース６１０６の重要レベルおよび脅威レベルから脅威シナリオリストを作成してもよい。
　ユーザは、提示された脅威シナリオリストがＯＫまたはＮＧの判定を行い、その判定結果を脅威シナリオ作成部６３２に入力する。脅威シナリオリストがＮＧの場合、ユーザが手作業で修正可能である。また、ユーザは、脅威シナリオ作成部６３２に対策必要リスクレベルを入力することが可能である。なお、サポート装置６００では、対策必要リスクレベルにあわせてセキュリティの脅威に応じた対策を作成することができる。
　対策作成部６３４は、脅威シナリオ作成部６３２で作成する脅威シナリオリストと、対策データベース６１０８の対策とに応じて、コントローラシステム１の保護資産の各々に対する対策を格納した対策シナリオを作成する。対策作成部６３４は、脅威分析データベース６１０６に格納してある脅威対策リストを参照して、脅威シナリオリストの各々の脅威に対する対策を決定して対策シナリオを作成する。
　対策作成部６３４は、作成した対策シナリオをユーザに提示する。ユーザは、対策作成部６３４が作成した対策シナリオに対してＯＫまたはＮＧの判定を行い、その判定結果を対策作成部６３４に入力する。対策シナリオがＮＧの場合、脅威シナリオ作成部６３２に処理を戻し、ユーザが手作業で脅威シナリオリストを修正可能である。
　セキュリティ設定部６３６は、対策作成部６３４で作成する対策シナリオに応じて、セキュリティユニット２００に対してセキュリティ機能の設定データ（セキュリティ機能設定データ）を出力する。セキュリティユニット２００では、設定データ（セキュリティ機能設定データ）に応じて各種セキュリティ機能を実現させている。セキュリティユニット２００は、設定データ（セキュリティ機能設定データ）に応じて設定が完了した場合、ＯＫの情報をセキュリティ設定部６３６に返し、設定が未完の場合、ＮＧの情報をセキュリティ設定部６３６に返す。
　対策結果出力部６３８は、対策作成部６３４で作成する対策シナリオを含む脅威分析結果を脅威分析結果レポートとしてユーザに出力する。このように、制御システムは、サポート装置６００でセキュリティの脅威を分析し、当該脅威に対する対策を容易に行うことができる。
　＜Ｄ：脅威シナリオリスト、対策シナリオの作成＞
　次に、図８は、本実施の形態に従うサポート装置６００での脅威シナリオリスト作成の処理手順を示すフローチャートである。さらに、図９は、本実施の形態に従うサポート装置６００での対策シナリオ作成の処理手順を示すフローチャートである。まず、サポート装置６００は、図８に示す処理を開始するとシステム構成入力部６３０で装置構成の情報を取得する（ステップＳ１０１）。コントローラシステム１で制御する装置種別により制御の目的、重要とする事項などが異なるため設定するセキュリティ機能も異なる。
　例えば、コントローラシステム１で制御する装置が半導体製造装置であれば、製造工程において基本的に装置の近くに人が立ち入ることがないため、装置の制御を維持し続けることが重要である。一方、コントローラシステム１で制御する装置がプレス装置であれば、製造工程において装置の近くで人が作業を行うことが基本であるため、非常時に装置を確実に停止させて人の安全を守ることが重要である。そのため、半導体製造装置であれば、装置の制御を維持し続けることに必要な構成のセキュリティ機能を優先して設定し、プレス装置であれば、装置を確実に停止させるために必要な構成のセキュリティ機能を優先して設定する。
　図１０は、本実施の形態に従うサポート装置で脅威分析およびセキュリティの設定を行う装置構成の一例を示す模式図である。図１０（ａ）に示す装置構成は、半導体製造装置で、図１０（ｂ）に示す装置構成は、プレス装置である。図１０（ａ）および図１０（ｂ）に示す装置構成では、制御ユニット（ＰＬＣ）１００およびセキュリティユニット２００がコントローラシステム１を構成している。
　コントローラシステム１のセキュリティユニット２００は、通信ポート（図３のネットワークコントローラ２１６）を介してネットワークに接続され、サポート装置（保守ＰＣ）６００と接続している。
　サポート装置６００は、少なくとも制御ユニット１００にアクセス可能になっており、コントローラシステム１に含まれる各ユニットで実行されるプログラムの作成、デバッグ、各種パラメータの設定、各種セキュリティ機能の設定などの機能をユーザへ提供する。
　コントローラシステム１は、通信ポート（図２のネットワークコントローラ１１６）を介してネットワークに接続され、ＨＭＩ（Human　Machine　Interface）８００および外部ネットワーク（ＮＷ）９００と接続している。
　ＨＭＩ８００は、コントローラシステム１での制御演算によって得られる各種情報をオペレータへ提示するとともに、オペレータからの操作に従って、コントローラシステム１に対して内部コマンドなどを生成する。
　コントローラシステム１の制御ユニット１００は、通信ポート（図２のネットワークコントローラ１１８）を介して、１または複数のフィールドデバイス５００と接続されている。フィールドデバイス５００は、制御対象から制御演算に必要な各種情報を収集するセンサや検出器、および、制御対象に対して何らかの作用を与えるアクチュエータなどを含む。
　図８に戻って、ステップＳ１０１では、システム構成入力部６３０がコントローラシステム１に対して装置構成の情報、保有資産の情報を問合せ、コントローラシステム１から装置構成の情報、および保有資産の情報を取得する。さらに、システム構成入力部６３０は、ユーザが選択した装置種別（例えば、半導体製造装置、プレス装置など）の情報に基づき、装置構成の情報、保有資産の情報から図１０に示したような装置構成を作成する。
　次に、サポート装置６００は、脅威シナリオ作成部６３２で、システム構成入力部６３０で取得した装置構成および保護資産に応じて、保護資産評価リストを作成する（ステップＳ１０２）。保護資産評価リストの作成処理について、さらに詳しく説明する。図１１は、本実施の形態に従うサポート装置で保護資産評価リストの作成処理手順を示すフローチャートである。まず、脅威シナリオ作成部６３２は、装置構成情報から構成機器を抽出する（ステップＳ２０１）。脅威シナリオ作成部６３２は、ステップＳ２０１で抽出した構成機器に対して、脅威分析データベース６１０６にある機能ごと、情報ごとの保護資産リストを連結する（ステップＳ２０２）。
　例えば、図１０（ａ）に示す半導体製造装置の場合、装置構成には、ＨＭＩ、ＰＬＣ、カメラ、サーボが含まれている。そのため、脅威シナリオ作成部６３２では、脅威分析データベース６１０６にある保護資産リストの中から、ＨＭＩ保護資産、ＰＬＣ保護資産、カメラ保護資産、サーボ保護資産のリストを取り出して連結する。図１２は、本実施の形態に従うサポート装置で作成した保護資産評価リストの一例を示す図である。図１２には、図１０（ａ）に示す半導体製造装置の場合の保護資産評価リスト（ａ）が示されている。保護資産評価リスト（ａ）には、ＨＭＩ保護資産、ＰＬＣ保護資産、カメラ保護資産、サーボ保護資産の属性および重要レベルが格納されている。
　また、図１０（ｂ）に示すプレス装置の場合、装置構成には、ＨＭＩ、ＰＬＣ、サーボが含まれている。そのため、脅威シナリオ作成部６３２では、脅威分析データベース６１０６にある保護資産リストの中から、ＨＭＩ保護資産、ＰＬＣ保護資産、サーボ保護資産のリストを取り出して連結する。図１３は、本実施の形態に従うサポート装置で作成した保護資産評価リストの別の一例を示す図である。図１３には、図１０（ｂ）に示すプレス装置の場合の保護資産評価リスト（ｂ）が示されている。保護資産評価リスト（ｂ）には、ＨＭＩ保護資産、ＰＬＣ保護資産、サーボ保護資産の属性および重要レベルが格納されている。
　保護資産評価リスト（ａ）と保護資産評価リスト（ｂ）とでは装置構成が異なるため、格納されている保護資産が異なっている。さらに、保護資産評価リスト（ａ）と保護資産評価リスト（ｂ）とでは、半導体製造装置とプレス装置とで重要とする事項が異なるため、重要レベルも異なる。例えば、保護資産評価リスト（ａ）では、装置の制御を維持し続けるためＰＬＣ保護資産のユーザプログラムの重要レベルが「５」と高い（図１２）。一方、保護資産評価リスト（ｂ）では、装置を確実に停止させるためサーボ保護資産のサーボ機能、制御指示データの重要レベルが「５」と高い（図１３）。
　図１１に戻って、脅威シナリオ作成部６３２は、ステップＳ２０２で作成した保護資産リストをユーザに提示する（ステップＳ２０３）。脅威シナリオ作成部６３２は、ステップＳ２０３で提示した保護資産リストでユーザから確認が得られたか否かを判定する（ステップＳ２０４）。ユーザから確認が得られた場合（ステップＳ２０４でＹＥＳ）、脅威シナリオ作成部６３２は、作成した保護資産リストを保護資産評価リストとして作成を完了する（ステップＳ２０５）。ユーザから確認が得られない場合（ステップＳ２０４でＮＯ）、脅威シナリオ作成部６３２は、ユーザによる保護資産リストの修正を受け付ける（ステップＳ２０６）。脅威シナリオ作成部６３２は、ステップＳ２０６で修正された保護資産リストを保護資産評価リストとして作成を完了する（ステップＳ２０５）。
　脅威シナリオ作成部６３２は、保護資産評価リストを作成した後、図８に示すように脅威シナリオを作成する（ステップＳ１０３）。ステップＳ１０３で脅威シナリオを作成する場合、脅威シナリオ作成部６３２は、まず脅威リストを作成する必要がある。
　脅威リストの作成処理について、さらに詳しく説明する。図１４は、本実施の形態に従うサポート装置で脅威リストの作成処理手順を示すフローチャートである。まず、脅威シナリオ作成部６３２は、装置構成情報から構成機器を抽出する（ステップＳ３０１）。脅威シナリオ作成部６３２は、ステップＳ３０１で抽出した構成機器に対して、脅威分析データベース６１０６にある想定攻撃箇所の脅威リストを連結する（ステップＳ３０２）。
　例えば、図１０（ａ）に示す半導体製造装置の場合、装置構成には、ＨＭＩ、ＰＬＣ、カメラ、サーボが含まれている。そのため、脅威シナリオ作成部６３２では、脅威分析データベース６１０６にある攻撃箇所ごとの脅威リストから、ＨＭＩ、ＰＬＣ、カメラ、サーボの保護資産に対して予め定められている想定攻撃箇所の脅威リストを取り出して連結する。図１５は、本実施の形態に従うサポート装置で作成した脅威リストの一例を示す図である。図１５には、図１０（ａ）に示す半導体製造装置の場合の脅威リスト（ａ）が示されている。脅威リスト（ａ）には、ＨＭＩ、ＰＬＣ、カメラ、サーボの保護資産に対して想定される攻撃箇所として、外部ネットワーク、不正機器接続、メモリカード、保守ＰＣ、カメラ、サーボの脅威、対象属性、脅威レベルが格納されている。
　ここで、本明細書において、「脅威」は、設備や機械を正常運転することを妨げる任意の事象を意味する。ＰＬＣを中心とする制御装置においては、典型的な脅威には、（１）データベースなどの上位装置からの攻撃、（２）フィールドデバイスからの攻撃、（３）サポート装置を介した攻撃、（４）メモリカードなどの制御装置に装着される記憶媒体を介した攻撃、といった４つの局面からの脅威が考えられる。さらに、制御装置に搭載されているすべての物理ポートは攻撃を受けるセキュリティリスクが存在している。
　例えば、図１５に示す想定される攻撃箇所の外部ネットワークは、「（１）データベースなどの上位装置からの攻撃」に分類され、具体的な脅威として「通信ＤｏＳ（Distributed　Denial　of　Service）攻撃」、「通信データ盗聴」、「通信データ改ざん」がある。「通信ＤｏＳ攻撃」は、攻撃対象の通信アドレス宛てに、大量のパケットを送信する攻撃で、外部との通信機能が影響を受けるだけであり、装置自体を動作させることは可能である場合が多い。そのため、「通信ＤｏＳ攻撃」では、対象属性が「機能」で、脅威レベルが「３」に設定されている。
　「通信データ盗聴」は、ネットワーク機器経由で通信を傍受し、通信中のデータを盗み見る攻撃で、情報が漏えいするだけで装置の機能に影響を与えない。そのため、「通信データ盗聴」では、対象属性が「情報」で、脅威レベルが「４」に設定されている。「通信データ改ざん」は、ネットワーク機器経由で通信中のデータを改ざんする攻撃で、情報に対する脅威である。「通信データ改ざん」では、対象属性が「情報」で、脅威レベルが「２」に設定されている。
　また、図１５に示す想定される攻撃箇所のメモリカードは、「（４）メモリカードなどの制御装置に装着される記憶媒体を介した攻撃」に分類され、具体的な脅威として「ファームウェア改ざん」、「ユーザプログラムの盗用」がある。「ファームウェア改ざん」は、例えば、制御ユニット１００の更新ファームウェアを改ざんし、不正動作のプログラムを書込む攻撃で、情報に対する脅威である。そのため、「ファームウェア改ざん」では、対象属性が「情報」で、脅威レベルが「４」に設定されている。「ユーザプログラムの盗用」は、ユーザのプログラムを盗用し、別マシンで再利用する攻撃で、情報の漏えいである。そのため、「ユーザプログラムの盗用」では、対象属性が「情報」で、脅威レベルが「４」に設定されている。
　さらに、図１５に示す想定される攻撃箇所の保守ＰＣは、「（３）サポート装置を介した攻撃」に分類され、具体的な脅威として「マルウェアによる機能不全」、「データ盗用」、「通信データ改ざん」がある。「マルウェアによる機能不全」は、例えば、制御ユニット１００にマルウェアを感染させ、その機能を不全にする攻撃で、情報に対する脅威である。そのため、「マルウェアによる機能不全」では、対象属性が「機能」で、脅威レベルが「４」に設定されている。「データ盗用」は、装置のデータを盗用し、別マシンで再利用する攻撃で、情報の漏えいである。そのため、「データ盗用」では、対象属性が「情報」で、脅威レベルが「４」に設定されている。「通信データ改ざん」は、ネットワーク機器経由で通信中のデータを改ざんする攻撃で、情報に対する脅威である。「通信データ改ざん」では、対象属性が「情報」で、脅威レベルが「３」に設定されている。
　また、図１５に示す想定される攻撃箇所のカメラ、サーボは、「（２）フィールドデバイスからの攻撃」に分類され、具体的な脅威として「カメラ乗っ取り」、「画像不正改ざん」、「サーボ機能停止」、「サーボ制御データ改ざん」がある。「カメラ乗っ取り」は、操作権限のない利用者が悪意を持ってカメラを操作し、制御ユニット１００に対する攻撃で、制御ユニット１００の機能に対する脅威である。そのため、「カメラ乗っ取り」では、対象属性が「機能」で、脅威レベルが「３」に設定されている。
　「画像不正改ざん」は、カメラで撮像した画像を改ざんする攻撃で、情報に対する脅威である。「画像不正改ざん」では、対象属性が「情報」で、脅威レベルが「１」に設定されている。「サーボ機能停止」は、操作権限のない利用者が悪意を持ってサーボ機能を停止させ、制御ユニット１００によるサーボ制御を行わせない攻撃で、制御ユニット１００の機能に対する脅威である。そのため、「サーボ機能停止」では、対象属性が「機能」で、脅威レベルが「３」に設定されている。「サーボ制御データ改ざん」は、サーボ制御に必要なデータを改ざんする攻撃で、情報に対する脅威である。「サーボ制御データ改ざん」では、対象属性が「情報」で、脅威レベルが「２」に設定されている。
　また、図１０（ｂ）に示すプレス装置の場合、装置構成には、ＨＭＩ、ＰＬＣ、サーボが含まれている。そのため、脅威シナリオ作成部６３２は、脅威分析データベース６１０６にある攻撃箇所ごとの脅威リストから、ＨＭＩ、ＰＬＣ、サーボの保護資産に対して予め定められている想定攻撃箇所の脅威リストを取り出して連結する。図１６は、本実施の形態に従うサポート装置で作成した脅威リストの別の一例を示す図である。図１６には、図１０（ｂ）に示すプレス装置の場合の脅威リスト（ｂ）が示されている。脅威リスト（ｂ）には、ＨＭＩ、ＰＬＣ、サーボの保護資産に対して想定される攻撃箇所として、外部ネットワーク、不正機器接続、メモリカード、保守ＰＣ、サーボの脅威、対象属性、脅威レベルが格納されている。
　脅威リスト（ａ）と脅威リスト（ｂ）とでは、半導体製造装置とプレス装置とで重要とする事項が異なるため、同じ脅威でも格納されている脅威レベルが異なっている。例えば、脅威リスト（ｂ）では、装置を確実に停止させるためメモリカード、保守ＰＣの脅威に対する脅威レベルが「５」と高い（図１６）。
　図１４に戻って、脅威シナリオ作成部６３２は、ステップＳ３０２で作成した脅威リストをユーザに提示する（ステップＳ３０３）。脅威シナリオ作成部６３２は、ステップＳ３０３で提示した脅威リストでユーザから確認が得られたか否かを判定する（ステップＳ３０４）。ユーザから確認が得られた場合（ステップＳ３０４でＹＥＳ）、脅威シナリオ作成部６３２は、提示した脅威リストで作成を完了する（ステップＳ３０５）。ユーザから確認が得られない場合（ステップＳ３０４でＮＯ）、脅威シナリオ作成部６３２は、ユーザによる脅威リストの修正を受け付ける（ステップＳ３０６）。脅威シナリオ作成部６３２は、ステップＳ３０６で修正された脅威リストで作成を完了する（ステップＳ２０５）。
　なお、脅威リストは、図１５および図１６で示すように想定される攻撃箇所ごとに、脅威、対象属性、脅威レベルが格納されていると説明した。しかし、脅威リストに格納される情報は、これに限られず、例えば制御ユニット１００またはセキュリティユニット２００のソフトウェアおよびハードウェアのバージョン情報であってもよい。図１７は、本実施の形態に従うサポート装置で作成した脅威リストの変形例を示す図である。図１７に示す脅威リスト（ｃ）では、脅威、対象属性、脅威レベルの情報に加えて制御ユニット１００またはセキュリティユニット２００のソフトウェアおよびハードウェアのバージョン情報が追加されている。制御ユニット１００およびセキュリティユニット２００は、ソフトウェアおよびハードウェアのバージョン情報によってセキュリティの脆弱性が異なるため、バージョン情報により脅威レベルを異ならせる必要がある。
　図８に戻って、脅威シナリオ作成部６３２は、ステップＳ１０３で脅威リストと保護資産評価リストとから脅威シナリオを作成する。脅威シナリオ作成部６３２は、脅威リストと保護資産評価リストと属性でリンクして組み合わせ脅威シナリオを作成している。脅威シナリオは、保護資産と脅威とを組み合わせた項目ごとにリストとしてさせる。リスト化された脅威シナリオは、以下、脅威シナリオリストともいう。脅威シナリオ作成部６３２は、作成する脅威シナリオリストの各項目に対するリスク値を算出する（ステップＳ１０４）。リスク値は、セキュリティの脅威に対するリスクを示す指標で、例えば、予め定められた試算方法で、脅威リストの脅威レベルと保護資産評価リストの重要レベルとの積算で求められる。
　脅威シナリオ作成部６３２は、作成した脅威シナリオリストのリスク値がユーザの設定した対策必要リスクレベル以上か否かを判定する（ステップＳ１０５）。リスク値が対策必要リスクレベル以上の場合（ステップＳ１０５でＹＥＳ）、脅威シナリオ作成部６３２は、脅威シナリオリストの項目に対策が必要であるとの設定を行う（ステップＳ１０６）。一方、リスク値が対策必要リスクレベルより低い場合（ステップＳ１０５でＮＯ）、脅威シナリオ作成部６３２は、脅威シナリオリストの項目に対策が必要でないとの設定を行う（ステップＳ１０７）。
　脅威シナリオ作成部６３２は、作成した脅威シナリオリストのすべてのリスク値について対策の要否の試算が終了したか否かを判定する（ステップＳ１０８）。すべてのリスク値について対策の要否の試算が終了していない場合（ステップＳ１０８でＮＯ）、脅威シナリオ作成部６３２は、処理をステップＳ１０４に戻す。すべてのリスク値について対策の要否の試算が終了している場合（ステップＳ１０８でＹＥＳ）、脅威シナリオ作成部６３２は、脅威シナリオリストをリスク値の高い順で、対策の要否順で項目の並べ替えを行う（ステップＳ１０９）。
　ステップＳ１０３～ステップＳ１０９で作成される脅威シナリオリストについて、具体例を示して説明する。図１８は、本実施の形態に従うサポート装置で作成した脅威シナリオリストの一例を示す図である。図１８に示す脅威シナリオリストでは、重要レベルが「５」の装置機能の保護資産評価リストの項目と、脅威レベルが「５」のＤｏＳ攻撃の項目とを積算した結果がリスク値として「２５」の値が格納されている。この脅威シナリオリストに対して対策必要リスクレベルを「１５」以上として、リスク値の高い順で並べ替えを行う。並べ替えを行った脅威シナリオリストを図１８の下側に示している。
　次に、対策作成部６３４が、脅威シナリオ作成部６３２で作成する脅威シナリオリストと、対策データベース６１０８の対策（脅威対策リスト）とに応じて、コントローラシステム１の保護資産の各々に対する対策を格納した対策シナリオを作成する処理を説明する。図９に戻って、まず、対策作成部６３４は、脅威シナリオリストの各項目に対応する対策を対策データベース６１０８から抽出する（ステップＳ１１０）。対策データベース６１０８から抽出する対策には、セキュリティユニット２００のセキュリティ機能による対策と、当該セキュリティ機能を使用しない運用による対策とが含まれる。もちろん、対策データベース６１０８に格納されている対策がセキュリティユニット２００のセキュリティ機能による対策のみである場合、抽出する対策は、セキュリティユニット２００のセキュリティ機能による対策のみでもよい。
　対策作成部６３４は、対策データベース６１０８の脅威対策リストから選択したセキュリティ機能による対策を行うために、セキュリティユニットで必要となるバージョン以上のバージョンのセキュリティユニット２００が設けられているか否かを判定する（ステップＳ１１１）。必要となるバージョン以上の場合（ステップＳ１１１でＹＥＳ）、対策作成部６３４は、セキュリティ機能による対策を行うためにセキュリティユニットで必要となるリソース容量が、セキュリティユニット２００のリソース容量以下であるか否かを判定する（ステップＳ１１２）。
　必要となるリソース容量が、セキュリティユニット２００のリソース容量以下である場合（ステップＳ１１２でＹＥＳ）、対策作成部６３４は、当該セキュリティ機能による対策を脅威シナリオリストの項目に設定する（ステップＳ１１３）。対策作成部６３４は、セキュリティ機能による対策を脅威シナリオリストの項目に設定した場合、セキュリティユニット２００のリソース容量から設定したセキュリティ機能による対策のリソース容量を減算する（ステップＳ１１４）。
　必要となるバージョンより低い場合（ステップＳ１１１でＮＯ）、または必要となるリソース容量が、セキュリティユニット２００のリソース容量より大きい場合（ステップＳ１１２でＮＯ）、対策作成部６３４は、セキュリティ機能を使用しない運用による対策を脅威シナリオリストの項目に設定する（ステップＳ１１５）。
　対策作成部６３４は、脅威シナリオリストのすべての項目に対して対策の設定を完了したか否かを判定する（ステップＳ１１６）。すべての項目に対して対策の設定を完了していない場合（ステップＳ１１６でＮＯ）、対策作成部６３４は、処理をステップＳ１１１に戻す。すべての項目に対して対策の設定を完了した場合（ステップＳ１１６でＹＥＳ）、対策作成部６３４は、脅威シナリオリストのすべての項目に対して対策の設定を完了した対策シナリオを作成する。セキュリティ設定部６３６は、対策作成部６３４で作成する対策シナリオに応じて、セキュリティユニット２００に対してセキュリティ機能の設定データ（セキュリティ機能設定データ）を出力する（ステップＳ１１７）。ステップＳ１１７では、対策結果出力部６３８が、対策作成部６３４で作成する対策シナリオを含む脅威分析結果を脅威分析結果レポートとしてユーザに出力する。
　ステップＳ１１０～ステップＳ１１６で作成される対策シナリオについて、具体例を示して説明する。図１９は、本実施の形態に従うサポート装置で作成した対策シナリオの一例を示す図である。図１９に示す対策シナリオ（ｂ）は、図１８に示した脅威シナリオリストの各項目に、対策データベース６１０８の脅威対策リスト（ａ）から選択した対策が設定してある。対策シナリオ（ｂ）では、脅威シナリオリストの情報に加えて対策、リソース、効果脅威レベル、対策後リスク値の各情報が格納されている。例えば、「装置機能」×「ＤｏＳ攻撃」の項目では、対策として「ＩＤＳ（Intrusion　Detection　System）－隔離」、リソースとして「５０」、効果脅威レベルとして「１」、対策後リスク値として「５」がそれぞれ格納されている。ここで、「ＩＤＳ－隔離」は、セキュリティユニット２００のセキュリティ機能の一つである侵入検知システムにより通信を遮断して他の設備から隔離する対策である。
　対策シナリオ（ｂ）では、リスク値が対策必要リスクレベルの「１０」以上であるか否かにより対策の要否を判定し、装置バージョンが１．３でセキュリティユニット２００のリソース容量が全機能搭載可能であると仮定して対策必要リスクレベルの「１０」以上の全ての項目に対して対策が設定されている。しかし、現実的にはセキュリティユニット２００のリソース容量は有限であり、当該リソース容量に応じて選択される対策が異なる。図２０は、本実施の形態に従うサポート装置で作成したリソース容量が５０の場合の対策シナリオの一例を示す図である。図２０に示す対策シナリオ（ｃ）は、装置バージョンが１．０でリソース容量が５０であるため、対策シナリオ（ｂ）と異なり、「装置機能」×「ＤｏＳ攻撃」の項目で、対策として「フィルタリング」、リソースとして「１０」、効果脅威レベルとして「２」、対策後リスク値として「１０」がそれぞれ格納されている。対策シナリオ（ｃ）では、「ユーザプログラム」×「盗聴」の項目で、対策として「暗号化」、リソースとして「２０」、効果脅威レベルとして「２」、対策後リスク値として「８」がそれぞれ格納されている。
　図２１は、本実施の形態に従うサポート装置で作成したリソース容量が１００の場合の対策シナリオの一例を示す図である。図２１に示す対策シナリオ（ｄ）は、装置バージョンが１．２でリソース容量が１００であるため、対策シナリオ（ｃ）と異なり、「装置機能」×「ＤｏＳ攻撃」の項目で、対策として「ＩＤＳ－隔離」、リソースとして「５０」、効果脅威レベルとして「１」、対策後リスク値として「５」がそれぞれ格納されている。対策シナリオ（ｄ）では、「ユーザプログラム」×「盗聴」の項目で、対策として「暗号化」、リソースとして「２０」、効果脅威レベルとして「２」、対策後リスク値として「８」がそれぞれ格納されている。
　図２２は、本実施の形態に従うサポート装置で作成したリソース容量が２０の場合の対策シナリオの一例を示す図である。図２２に示す対策シナリオ（ｅ）は、装置バージョンが１．２でリソース容量が２０であるため、対策シナリオ（ｂ）と異なり、「装置機能」×「ＤｏＳ攻撃」の項目で、対策として「フィルタリング」、リソースとして「１０」、効果脅威レベルとして「２」、対策後リスク値として「１０」がそれぞれ格納されている。さらに、対策シナリオ（ｅ）では、残りのリソース容量が少ないので、「ユーザプログラム」×「盗聴」の項目でセキュリティ機能による対策ではなく、運用による対策が選択されている。対策シナリオ（ｅ）では、「ユーザプログラム」×「盗聴」の項目で、対策として「有線通信／ポートをふさぐ」、リソースとして「０」、効果脅威レベルとして「２」、対策後リスク値として「８」がそれぞれ格納されている。
　セキュリティユニット２００のセキュリティ機能による対策（例えば、ＩＤＳ－隔離、フィルタリングなど）は、セキュリティユニット２００のリソースを使用するため、リソース容量内で対策を行う必要がある。一方、運用による対策（例えば、有線通信／ポートをふさぐなど）は、セキュリティユニット２００のリソースを使用しないため、リソース容量を気にせずに対策を行うことができる。なお、図１９～図２２に示した対策シナリオでは、各項目のリスク値が対策必要リスクレベル以上であるか否かにより対策の要否を判定しているが、リスク値に関係なくすべての項目に対して対策を設定してもよい。
　次に、ステップＳ１１７で作成される脅威分析結果レポートについて、具体例を示して説明する。図２３は、本実施の形態に従うサポート装置で作成した脅威分析結果レポートの一例を示す図である。図２３に示す脅威分析結果レポートは、装置構成図と攻撃口と想定する脅威一覧が記載され、例えば工場のＩＴ部門への提出用のレポートである。図２３（ａ）に装置構成を示す図が、図２３（ｂ）に脅威シナリオリスト、図２３（ｃ）に対策シナリオがそれぞれ示されている。特に、図２３（ｂ）に脅威シナリオリストでは、攻撃口の番号が図２３（ａ）に装置構成を示す図に付されているので、セキュリティの知識を有して者でも容易にセキュリティの脅威を認識することができる。
　図２４は、本実施の形態に従うサポート装置で作成した脅威分析結果レポートの別の一例を示す図である。図２４に示す脅威分析結果レポートは、運用による対策を分かり易く記載され、例えば工場の作業者向けのレポートである。図２４（ａ）に、対策シナリオにセキュリティユニット２００で使用する機能（セキュリティ機能）の情報が付加された図、図２４（ｂ）に運用による対策リストがそれぞれ示されている。特に、図２４（ｂ）では、運用による対策が一覧でき、その実施内容についても詳しく記載されている。例えば、「有線通信／ポートをふさぐ」項目の実施内容は、「通信ポートの接続不可にする施錠を行う」と記載されている。また、運用による対策リストでは、対策を行う箇所（例えば、ＰＬＣ）も明記されている。
　次に、図８および図９で説明した処理において、サポート装置６００の表示部（例えば、ＬＣＤディスプレイ）に表示される画面について説明する。図２５は、本実施の形態に従うサポート装置で表示される装置構成の情報の一例を示す図である。図２５（ａ）に、ユーザが装置種別（例えば、半導体製造装置、プレス装置など）を選択する画面の一例が示してある。図２５（ｂ）に、装置種別が半導体製造装置の場合の装置構成図の一例が示してある。サポート装置６００では、ステップＳ１０１の処理でコントローラシステム１から取得した装置構成の情報、および保有資産の情報から作成した装置構成を図２５（ｂ）に示す画面でユーザに提示できる。そのため、ユーザは、装置構成を視覚的に把握することができる。
　図２６は、本実施の形態に従うサポート装置で表示される保護資産評価リストの一例を示す図である。サポート装置６００では、ステップＳ１０２の処理で作成した保護資産評価リストを図２６に示す画面でユーザに提示できる。さらに、サポート装置６００は、表示した保護資産評価リストに対して、必要に応じてリストの追加、重要レベルの編集を受け付けることができる。
　図２７は、本実施の形態に従うサポート装置で表示される脅威リストの一例を示す図である。サポート装置６００では、ステップＳ１０３の処理で作成した脅威リストを図２７に示す画面でユーザに提示できる。さらに、サポート装置６００は、表示した脅威リストに対して、必要に応じてリストの追加、脅威レベルの編集を受け付けることができる。
　図２８は、本実施の形態に従うサポート装置で表示されるリスク値試算方法の設定の一例を示す図である。サポート装置６００では、ステップＳ１０４の処理で作成した脅威シナリオリストのリスク値の試算方法の設定を図２８に示す画面でユーザに提示できる。図２８（ａ）に、ユーザがリスク値を試算する方法（例えば、重要度（重要レベル）×脅威レベルなど）を選択する画面の一例が示してある。図２８（ｂ）に、重要度（重要レベル）×脅威レベルでリスク値を試算する場合の重みを設定する画面の一例が示してある。ここで、リスク値は、重要度（重要レベル）と脅威レベルとを単純に積算して求めるだけでなく、それぞれの値に重みを設定して積算して求めてもよい。例えば、脅威レベルを２倍にしてリスク値を試算してもよい。また、別の試算方法として、一般的な脅威分析のリスク評価方法である共通脆弱性評価システムＣＶＳＳ（Common　Vulnerability　Scoring　System）や、ＲＳＭＡ（Risk　Scoring　Methodology　for　Automotive　system）を用いてリスク値を試算してもよい。
　図２９は、本実施の形態に従うサポート装置で表示される脅威シナリオリストの一例を示す図である。サポート装置６００では、ステップＳ１０９の処理で作成した脅威シナリオリストを図２９に示す画面でユーザに提示できる。さらに、サポート装置６００は、表示した脅威シナリオリストに対して、対策必要リスクレベルを受け付けることができる。
　図３０は、本実施の形態に従うサポート装置で表示される対策方針の選択の一例を示す図である。サポート装置６００では、ステップＳ１１１～ステップＳ１１４の処理での方針の設定（例えば、Ｄｅｆａｕｌｔ（ＭＡＸ）設定など）を図３０に示す画面でユーザに提示できる。Ｄｅｆａｕｌｔ（ＭＡＸ）設定では、セキュリティユニット２００のリソース容量の許す範囲で最大となるように対策を選択する設定である。
　図３１は、本実施の形態に従うサポート装置で表示される脅威対策リストの一例を示す図である。サポート装置６００では、ステップＳ１１１～ステップＳ１１４の処理で対策データベース６１０８から読み出した脅威対策リストを図３１に示す画面でユーザに提示できる。さらに、サポート装置６００は、表示した脅威対策リストに対して、必要に応じて対策技術、リソースなどの編集を受け付けることができる。
　図３２は、本実施の形態に従うサポート装置で表示される対策シナリオの一例を示す図である。サポート装置６００では、ステップＳ１１７の処理で作成した対策シナリオを図３２に示す画面でユーザに提示できる。そのため、サポート装置６００では、作成した対策シナリオをユーザに確認させることができる。
　図３３は、本実施の形態に従うサポート装置で表示される出力内容の選択の一例を示す図である。サポート装置６００では、ステップＳ１１７で出力する内容を設定する画面を図３３に示す画面でユーザに提示できる。サポート装置６００では、例えば、脅威分析結果レポート、運用対策レポート、ユニット設定データを出力するように設定できる。
　＜Ｅ．付記＞
　上述したような本実施の形態は、以下のような技術思想を含む。
［構成１］
　制御システムであって、
　制御対象を制御するコントローラシステム（１）と、
　前記コントローラシステム（１）の設定をサポートするサポート装置（６００）とを備え、
　前記コントローラシステム（１）は、
　制御対象を制御するための制御演算を実行する制御ユニット（１００）と、
　前記制御ユニット（１００）に接続され、前記コントローラシステム（１）に対するセキュリティ機能を担当するセキュリティユニット（２００）とを含み、
　前記サポート装置（６００）は、
　前記コントローラシステム（１）から装置構成および保護資産を取得するシステム構成入力部（６３０）と、
　前記コントローラシステム（１）の保護資産に対する重要レベル、セキュリティの脅威に対する脅威レベルを予め格納している脅威分析データベース（６１０６）と、
　前記システム構成入力部（６３０）で取得した装置構成および保護資産に応じて、前記脅威分析データベース（６１０６）の重要レベルおよび脅威レベルから脅威シナリオを作成する脅威シナリオ作成部（６３２）と、
　セキュリティの脅威に応じた対策を予め格納している対策データベース（６１０８）と、
　前記脅威シナリオ作成部（６３２）で作成する前記脅威シナリオと、前記対策データベース（６１０８）の対策とに応じて、前記コントローラシステム（１）の保護資産の各々に対する対策を格納した対策シナリオを作成する対策作成部（６３４）と、
　前記対策作成部（６３４）で作成する前記対策シナリオに応じて、前記セキュリティユニット（２００）に対してセキュリティ機能の設定データを出力するセキュリティ設定部（６３６）とを含む、制御システム。
［構成２］
　前記サポート装置（６００）は、前記脅威シナリオ、および前記対策シナリオの少なくともの１つの情報を含む対策レポートを出力する対策結果出力部（６３８）をさらに備える、構成１に記載の制御システム。
［構成３］
　前記脅威分析データベース（６１０６）は、セキュリティの脅威に対する脅威レベルが、前記コントローラシステム（１）の装置種別により異なる、構成１または構成２に記載の制御システム。
［構成４］
　前記脅威シナリオは、前記コントローラシステム（１）の保護資産およびセキュリティの脅威の各々に対して、予め定められた方法で試算したリスク値を格納してある、構成１～構成３のいずれか１項に記載の制御システム。
［構成５］
　前記対策作成部（６３４）は、前記脅威シナリオに格納されたリスク値が予め定められた値以上の前記コントローラシステム（１）の保護資産およびセキュリティの脅威の各々に対して前記対策シナリオを作成する、構成４に記載の制御システム。
［構成６］
　前記対策データベース（６１０８）は、セキュリティの脅威に応じた対策として、前記セキュリティユニット（２００）のセキュリティ機能による対策と、当該セキュリティ機能を使用しない運用による対策とをそれぞれ格納してある、構成１～構成５のいずれか１項に記載の制御システム。
［構成７］
　前記対策作成部（６３４）は、前記コントローラシステム（１）のリソースに応じて、前記セキュリティユニット（２００）のセキュリティ機能による対策を選択して前記対策シナリオを作成する、構成１～構成６のいずれか１項に記載の制御システム。
［構成８］
　前記対策作成部（６３４）は、前記コントローラシステム（１）を構成する装置の各々のソフトウェアおよびハードウェアのバージョンにより選択する対策が異なる、構成７に記載の制御システム。
［構成９］
　前記対策作成部（６３４）は、前記コントローラシステム（１）のリソースが不足する場合、運用による対策を選択して前記対策シナリオを作成する、構成６～構成８のいずれか１項に記載の制御システム。
［構成１０］
　制御対象を制御するための制御演算を実行する制御ユニット（１００）と、前記制御ユニット（１００）に接続され、コントローラシステム（１）に対するセキュリティ機能を担当するセキュリティユニット（２００）とを含む前記コントローラシステム（１）に対してセキュリティ機能の設定データを設定する、前記コントローラシステム（１）の設定方法であって、
　前記コントローラシステム（１）から装置構成および保護資産を取得するステップと、
　取得した装置構成および保護資産に応じて、脅威分析データベース（６１０６）で予め格納している重要レベルおよび脅威レベルから脅威シナリオを作成するステップと、
　作成する前記脅威シナリオと、対策データベース（６１０８）で予め格納しているセキュリティの脅威に応じた対策とに応じて、前記コントローラシステム（１）の保護資産の各々に対する対策を格納した対策シナリオを作成するステップと、
　作成する前記対策シナリオに応じて、前記セキュリティユニット（２００）に対してセキュリティ機能の設定データを出力するステップとを含む、設定方法。
　＜Ｆ．利点＞
　本実施の形態に係る制御システムによれば、サポート装置でセキュリティの脅威を分析し、当該脅威に対する対策を容易に行うことができる。
　今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記した説明ではなく、請求の範囲によって示され、請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
　１　コントローラシステム、１０　制御システム、１００　制御ユニット、１０２，２０２，３０２，６０２　プロセッサ、１０４，２０４，３０４　チップセット、１０６，２０６，３０６　主記憶装置、１０８，２０８，３０８　二次記憶装置、１１０，２１０　通信コントローラ、１１２，２１２，６２０　ＵＳＢコントローラ、１１４，２１４，３１４　メモリカードインターフェイス、１１５，２１５，３１５　メモリカード、１１６，１１８，１２０，２１６，２１８　ネットワークコントローラ、１２２，３２２　内部バスコントローラ、１２４，２２４，３２４　インジケータ、１４２，１４４，２４２　通信ポート、２００　セキュリティユニット、３００　セーフティユニット、４００　機能ユニット、４５０　電源ユニット、５００　フィールドデバイス、６００　サポート装置、６０４　メインメモリ、６０６　入力部、６０８　出力部、６１０　ストレージ、６１２　光学ドライブ、６１４　記録媒体、６１８　プロセッサバス、８００　ＨＭＩ、９００　外部ネットワーク、６１０２　ＯＳ、６１０４　サポートプログラム、６１０６　脅威分析データベース、６１０８　対策データベース。

Claims (10)

  1. 　制御システムであって、
    　制御対象を制御するコントローラシステムと、
    　前記コントローラシステムの設定をサポートするサポート装置とを備え、
    　前記コントローラシステムは、
    　制御対象を制御するための制御演算を実行する制御ユニットと、
    　前記制御ユニットに接続され、前記コントローラシステムに対するセキュリティ機能を担当するセキュリティユニットとを含み、
    　前記サポート装置は、
    　前記コントローラシステムから装置構成および保護資産を取得するシステム構成入力部と、
    　前記コントローラシステムの保護資産に対する重要レベル、セキュリティの脅威に対する脅威レベルを予め格納している脅威分析データベースと、
    　前記システム構成入力部で取得した装置構成および保護資産に応じて、前記脅威分析データベースの重要レベルおよび脅威レベルから脅威シナリオを作成する脅威シナリオ作成部と、
    　セキュリティの脅威に応じた対策を予め格納している対策データベースと、
    　前記脅威シナリオ作成部で作成する前記脅威シナリオと、前記対策データベースの対策とに応じて、前記コントローラシステムの保護資産の各々に対する対策を格納した対策シナリオを作成する対策作成部と、
    　前記対策作成部で作成する前記対策シナリオに応じて、前記セキュリティユニットに対してセキュリティ機能の設定データを出力するセキュリティ設定部とを含む、制御システム。
  2. 　前記サポート装置は、前記脅威シナリオ、および前記対策シナリオの少なくともの１つの情報を含む対策レポートを出力する対策結果出力部をさらに備える、請求項１に記載の制御システム。
  3. 　前記脅威分析データベースは、セキュリティの脅威に対する脅威レベルが、前記コントローラシステムの装置種別により異なる、請求項１または請求項２に記載の制御システム。
  4. 　前記脅威シナリオは、前記コントローラシステムの保護資産およびセキュリティの脅威の各々に対して、予め定められた方法で試算したリスク値を格納してある、請求項１～請求項３のいずれか１項に記載の制御システム。
  5. 　前記対策作成部は、前記脅威シナリオに格納されたリスク値が予め定められた値以上の前記コントローラシステムの保護資産およびセキュリティの脅威の各々に対して前記対策シナリオを作成する、請求項４に記載の制御システム。
  6. 　前記対策データベースは、セキュリティの脅威に応じた対策として、前記セキュリティユニットのセキュリティ機能による対策と、当該セキュリティ機能を使用しない運用による対策とをそれぞれ格納してある、請求項１～請求項５のいずれか１項に記載の制御システム。
  7. 　前記対策作成部は、前記セキュリティユニットのリソースに応じて、前記セキュリティユニットのセキュリティ機能による対策を選択して前記対策シナリオを作成する、請求項１～請求項６のいずれか１項に記載の制御システム。
  8. 　前記対策作成部は、前記コントローラシステムを構成する装置の各々のソフトウェアおよびハードウェアのバージョンにより選択する対策が異なる、請求項７に記載の制御システム。
  9. 　前記対策作成部は、前記セキュリティユニットのリソースが不足する場合、運用による対策を選択して前記対策シナリオを作成する、請求項６～請求項８のいずれか１項に記載の制御システム。
  10. 　制御対象を制御するための制御演算を実行する制御ユニットと、前記制御ユニットに接続され、コントローラシステムに対するセキュリティ機能を担当するセキュリティユニットとを含む前記コントローラシステムに対してセキュリティ機能の設定データを設定する、前記コントローラシステムの設定方法であって、
    　前記コントローラシステムから装置構成および保護資産を取得するステップと、
    　取得した装置構成および保護資産に応じて、脅威分析データベースで予め格納している重要レベルおよび脅威レベルから脅威シナリオを作成するステップと、
    　作成する前記脅威シナリオと、対策データベースで予め格納しているセキュリティの脅威に応じた対策とに応じて、前記コントローラシステムの保護資産の各々に対する対策を格納した対策シナリオを作成するステップと、
    　作成する前記対策シナリオに応じて、前記セキュリティユニットに対してセキュリティ機能の設定データを出力するステップとを含む、設定方法。
PCT/JP2020/006824 2019-03-29 2020-02-20 制御システム、および設定方法 WO2020202882A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
US17/437,827 US12025967B2 (en) 2019-03-29 2020-02-20 Control system and setting method
EP20784286.5A EP3951520A4 (en) 2019-03-29 2020-02-20 CONTROL SYSTEM AND ADJUSTMENT PROCEDURE
CN202080020119.9A CN113557483A (zh) 2019-03-29 2020-02-20 控制系统及设定方法

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2019066006A JP7180500B2 (ja) 2019-03-29 2019-03-29 制御システム、および設定方法
JP2019-066006 2019-03-29

Publications (1)

Publication Number Publication Date
WO2020202882A1 true WO2020202882A1 (ja) 2020-10-08

Family

ID=72667864

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/006824 WO2020202882A1 (ja) 2019-03-29 2020-02-20 制御システム、および設定方法

Country Status (4)

Country Link
EP (1) EP3951520A4 (ja)
JP (1) JP7180500B2 (ja)
CN (1) CN113557483A (ja)
WO (1) WO2020202882A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2023047689A1 (ja) * 2021-09-27 2023-03-30 パナソニックＩｐマネジメント株式会社 脅威分析方法および脅威分析システム

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2000137506A (ja) 1998-11-02 2000-05-16 Omron Corp プログラマブルコントローラ
WO2017222553A1 (en) * 2016-06-24 2017-12-28 Siemens Aktiengesellschaft Plc virtual patching and automated distribution of security context
KR20190001325A (ko) * 2017-06-27 2019-01-04 (주)이공감 ICS(Industrial Control System) 모듈 및 이를 구비한 산업제어 시스템

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4190765B2 (ja) * 2002-01-18 2008-12-03 株式会社コムスクエア セキュリティレベル情報提供方法及びシステム
JP5145907B2 (ja) * 2007-12-04 2013-02-20 日本電気株式会社 セキュリティ運用管理システム、方法、及び、プログラム
JP4620138B2 (ja) * 2008-03-19 2011-01-26 株式会社東芝 脅威分析支援装置および脅威分析支援処理プログラム
CN102799834A (zh) * 2012-06-07 2012-11-28 天津大学 基于系统资产的软件安全需求分析方法
US20140137257A1 (en) * 2012-11-12 2014-05-15 Board Of Regents, The University Of Texas System System, Method and Apparatus for Assessing a Risk of One or More Assets Within an Operational Technology Infrastructure
JP5799170B2 (ja) * 2013-07-01 2015-10-21 株式会社日立製作所 制御システム、制御方法及びコントローラ
CN106960269B (zh) * 2017-02-24 2021-03-02 浙江鹏信信息科技股份有限公司 基于层次分析法的安全应急处置方法及系统
CN108259449B (zh) * 2017-03-27 2020-03-06 新华三技术有限公司 一种防御apt攻击的方法和系统
CN108650251B (zh) * 2018-04-27 2021-10-01 奇安信科技集团股份有限公司 一种网络安全综合态势感知数据的显示处理方法及装置

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2000137506A (ja) 1998-11-02 2000-05-16 Omron Corp プログラマブルコントローラ
WO2017222553A1 (en) * 2016-06-24 2017-12-28 Siemens Aktiengesellschaft Plc virtual patching and automated distribution of security context
KR20190001325A (ko) * 2017-06-27 2019-01-04 (주)이공감 ICS(Industrial Control System) 모듈 및 이를 구비한 산업제어 시스템

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2023047689A1 (ja) * 2021-09-27 2023-03-30 パナソニックＩｐマネジメント株式会社 脅威分析方法および脅威分析システム

Also Published As

Publication number Publication date
EP3951520A1 (en) 2022-02-09
EP3951520A4 (en) 2022-12-21
CN113557483A (zh) 2021-10-26
US20220155747A1 (en) 2022-05-19
JP2020166520A (ja) 2020-10-08
JP7180500B2 (ja) 2022-11-30

Similar Documents

Publication Publication Date Title
WO2020202884A1 (ja) コントローラシステム
JP2019527877A (ja) Ｐｌｃの仮想的なパッチおよびセキュリティコンテキストの自動配信
WO2020202809A1 (ja) コントローラシステム、サポート装置および評価方法
CN104901874A (zh) 互连不同域的高保障安全网关
WO2020202882A1 (ja) 制御システム、および設定方法
JP7378089B2 (ja) 不正通信検知装置、不正通信検知方法及び製造システム
RU2746105C2 (ru) Система и способ конфигурирования шлюза для защиты автоматизированных систем
WO2020166329A1 (ja) 制御システム
JP4448307B2 (ja) セキュリティ管理装置、セキュリティ管理方法、およびセキュリティ管理プログラム
CN112241533A (zh) 为工业化边界设备提供应用容器的安全信息的方法和系统
US12025967B2 (en) Control system and setting method
EP3933522B1 (en) Control device, management program, and control system
Hollerer et al. Challenges in ot security and their impacts on safety-related cyber-physical production systems
WO2018004523A1 (en) Plc virtual patching and automated distribution of security context
CN112673324A (zh) 控制器系统
CN113950647A (zh) 控制系统
WO2020240969A1 (ja) サポート装置および設定プログラム
JP7016837B2 (ja) コントローラシステム
EP4311167A1 (en) Systems and methods for artificial intelligence-based security policy development
WO2020195638A1 (ja) コントローラシステム
WO2023073946A1 (ja) データ処理装置、データ処理方法、および記録媒体
JP2016201603A (ja) 不正通信検査装置および通信システム
Milinković et al. On Cyber Security of Industrial Measurement and Control Systems

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20784286

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2020784286

Country of ref document: EP

Effective date: 20211029