WO2023100545A1 - 更新内容検証システム及び更新内容検証方法 - Google Patents

更新内容検証システム及び更新内容検証方法 Download PDF

Info

Publication number
WO2023100545A1
WO2023100545A1 PCT/JP2022/039949 JP2022039949W WO2023100545A1 WO 2023100545 A1 WO2023100545 A1 WO 2023100545A1 JP 2022039949 W JP2022039949 W JP 2022039949W WO 2023100545 A1 WO2023100545 A1 WO 2023100545A1
Authority
WO
WIPO (PCT)
Prior art keywords
update
verification
content
information
unit
Prior art date
Application number
PCT/JP2022/039949
Other languages
English (en)
French (fr)
Inventor
貴志 小倉
寛 岩澤
大輔 辻
Original Assignee
株式会社日立製作所
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社日立製作所 filed Critical 株式会社日立製作所
Publication of WO2023100545A1 publication Critical patent/WO2023100545A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities

Definitions

  • the present invention relates to a system and method for verifying the contents of updates to be performed on a control system, and in particular to technology for security or safety verification.
  • safety which is one of the important requirements for control systems, may be compromised.
  • the control system may be exposed to the threat of cyberattacks such as unauthorized access. Therefore, it is required to verify security and safety against system changes and updates to ensure safety.
  • Patent Document 1 which is a technique related to a method for verifying the security or safety of the system changes and updates described above, verifies whether or not the contents of the update are permissible from the security point of view when the parameters of the computer system are changed. If not, we reconsider the content of the update, and if it is acceptable, we implement the update.
  • Patent Literature 1 only determines the content of the update from a security point of view. is not completed, and it interferes with the work.
  • the present invention inputs a time limit allowed for the implementation of the update and the implementation of the verification to determine the security or safety verification details for the system update, and determines the details of the system update that can be performed within this time limit. and to determine the content of verification to be performed on the update content to ensure security or safety.
  • the present invention provides an update content verification system for verifying the content of an update to be performed on a control system, comprising: an update information input unit for inputting update information of the control system; an update information analysis unit that analyzes the update information, a verification information storage unit that stores verification information related to the verification performed on the content of the update, and an update to be performed on the control system from the analysis result and the verification information.
  • An update and verification content setting unit that sets the content and the content of verification to be performed for the update, an implementation time estimation unit that estimates the implementation time required to implement the update and verification, the estimated implementation time, and a predetermined and an execution availability determination unit that determines whether or not the update and verification can be completed within the time limit by comparing with the time limit of .
  • the present invention includes a method for determining this security or safety verification content. Furthermore, a computer program for causing a computer to execute a method for determining security or safety verification content and a storage medium storing this computer program are also included.
  • FIG. 2 is a functional block diagram showing an example of the functional configuration of the update verification system according to the first embodiment
  • FIG. 1 is a system configuration diagram of an update content verification system according to Examples 1 to 3
  • FIG. 3 is a diagram showing an example of a control system used in Examples 1 to 3
  • FIG. 4 is a diagram showing an example of verification levels used in Examples 1 to 3
  • FIG. 5 is a diagram showing an example of a flowchart of an update content verification method according to the first embodiment
  • FIG. 11 is a functional block diagram showing an example of the functional configuration of an update content verification system according to the second embodiment
  • FIG. 11 is a diagram showing an example of a flowchart of an update content verification method according to the second embodiment
  • FIG. 11 is a functional block diagram showing an example of the functional configuration of an update content verification system according to the third embodiment; The figure which shows an example of the flowchart of the update content verification method based on Example 3.
  • FIG. 1 is a system configuration diagram of an update content verification system according to Examples 1 to
  • FIG. 3 Each embodiment of the present invention will be described below with reference to the drawings.
  • the components shown in FIG. 3 generate updated contents and security or safety verification contents of the connected control system.
  • the robot management device A31 and the like can be cited, and a specific system configuration will be described later.
  • the "updated content of the control system” is simply referred to as “updated content”
  • the "security or safety verification content” is simply referred to as “verified content”.
  • FIG. 1 is a functional block diagram showing the functional configuration of an update verification system 100 according to this embodiment. Each block (function) will be described below.
  • the update content verification system 100 includes an update content verification device 20 and a storage device 24 connected to the update content verification device 20 and storing a verification level storage unit 108 .
  • the update content verification device 20 includes a system update information input unit 101, an update information analysis unit 102, an update and verification content setting unit 103, an update and verification implementation time estimation unit 104, a time limit input unit 105, an execution availability determination unit 106, and It has an update and verification content output unit 107 .
  • the storage device 24 is communicably connected to the update and verification content setting unit 103 .
  • Update information of the control system is input to the system update information input unit 101 .
  • the update information analysis unit 102 analyzes the information input by the system update information input unit 101 and divides the update information into a plurality of stepwise update processes.
  • the update and verification content setting unit 103 sets one of the stepwise update processes of the update information analysis unit 102 as the update content, and sets the verification content for the update content based on the information in the verification level storage unit 108 .
  • the update and verification implementation time estimation unit 104 estimates the time required to implement the update and verification content set by the update and verification content setting unit 103 .
  • the time required for updating and performing verification means the time from the start to the end of execution of the actual update and/or verification.
  • the determination of start/end may be determined automatically or may be determined by a person.
  • the execution propriety determination unit 106 determines whether or not the time estimated by the update and verification implementation time estimation unit 104 ends within the time limit allowed for the implementation of the update and verification input by the time limit input unit 105.
  • the update and verification content output unit 107 outputs and displays the update and verification content determined to be completed within the time limit by the execution feasibility determination unit 106 .
  • each storage unit and calculation unit may be the CPU or PC itself. Note that if the execution feasibility determination unit 106 determines that the update and verification will not be completed within the time limit, the update and verification content setting unit 103 sets different update and verification content again. conduct.
  • FIG. 2 shows a system configuration in which the functional configuration of the update content verification device 20 shown in FIG. 1 is realized on a computer.
  • the update content verification device 20 includes a processing unit 21 such as a CPU, a memory 22, and an input/output I/F 23, which are connected to each other via a bus or the like.
  • the processing unit 21 includes an update information analysis unit 102, an update and verification content setting unit 103, an update and verification implementation time estimation unit 104, an execution availability determination unit 106, an update and verification content output unit 107, and a mandatory update content setting unit.
  • 601, verification content setting unit 602, safety level calculation and determination unit 801, and various information output unit 803, which can be implemented by a program.
  • the program is developed in the memory 22 and the processing section 21 executes these functions and calculations.
  • the update content verification device 20 is connected to the storage device 24 via the input/output I/F 23 .
  • Storage device 24 stores verification level information 410 . That is, the storage device 24 functions as the verification level storage unit 108 in FIG. Further, the storage device 24 may be provided inside the update content verification device 20 .
  • the mandatory update content setting unit 601 and the verification content setting unit 602 are used in the second embodiment, and may not be used in the present embodiment.
  • the safety level calculation and determination unit 801 and the various information output unit 803 are functions used in the third embodiment, and may not be used in the present embodiment.
  • the update content verification device 20 is connected to various terminal devices 26-1 and 26-2 via the input/output I/F 23.
  • Each of the terminal devices 26-1 and 26-2 is implemented by a computer, and has a function of receiving input from the user and displaying the processing result of the update content verification device 20. FIG.
  • the terminal devices 26-1 and 2 function as input units. More specifically, it functions as the system update information input section 101, the time limit input section 105 in FIG. 1, and the required level input section 802 in FIG. Also, the terminal device 26-2 is connected to the update content verification device 20 via the network 25. FIG. Note that the terminal devices 26-1 and 26-2 may be integrated with the update verification device 20. FIG.
  • the update content verification device 20 may be provided with a display device and an input/output device.
  • the cloud 30, the robot management device A31, the robot management device B32, and the robot management device C33 are given the function of the update content verification device 20.
  • the update content verification device 20 can be connected to the Internet 27 to acquire external information.
  • the system to be verified may be connected via the Internet 27 and receive verification level information 410 from the system.
  • FIG. 3 shows a control system to be updated.
  • This control system 300 comprises a cloud 30, a robot management device A31, a robot management device B32, a robot management device C33, a robot A34, a robot B35, a robot C36, and a belt conveyor 37 as components.
  • the cloud 30 is connected to a robot management device A31, a robot management device B32, and a robot management device C33.
  • the robot management device A31 is connected to the cloud 30, the robot management device B32, and the robot A34.
  • the robot management device B32 is connected to the cloud 30, the robot management device A31, the robot management device C33, and the robot B35.
  • the robot management device C33 is connected to the cloud 30, the robot management device B32, and the robot C36.
  • the update content verification device 20 may be connected to this system, or may be realized as one component of this system.
  • the cloud 30, the robot management device A31, the robot management device B32, or the robot management device C33 is provided with the update content verification device 20 function.
  • control system examples include production line systems, distribution warehouse sorting systems, large-scale FA (Factory Automation) and PA (Plant Automation) systems, etc. be done. However, it is not limited to the control system mentioned as an example.
  • FIG. 4 is a diagram showing verification level information 410 stored in the verification level storage unit 108.
  • Verification level information 410 has a granularity table 420 and a range table 430 .
  • This embodiment describes information related to security.
  • Each table has three levels (Lv), and has the following contents, for example.
  • the verification content setting unit selects one Lv from each of the granularity table 420 and the range table 430 and uses it for the update and verification content setting unit 103 .
  • the verification level is represented by two axes of granularity and range, and an example is shown in which the verification content is determined by selecting each of them.
  • the verification level can be either granularity or range.
  • the content expressing the verification level is not limited to granularity and range.
  • validation levels need not be expressed in tabular form.
  • contents of the granularity table 420 and the range table 430 are general expressions rather than contents reflecting the configuration of the target control system. Expressions including device names and network names may also be used.
  • FIG. 5 is an overall flow of an update content verification method according to an embodiment of the present invention.
  • the system update information input from the system update information input unit 101 is analyzed (S501).
  • the analysis result of step S501 and the information in the verification level storage unit 108 update contents and verification contents are set (S502).
  • step S503 the execution time for the set update and verification details is estimated.
  • step S504 the time limit input by the time limit input unit 105 is compared with the update and verification execution time estimated in step S503 (S504). If the time limit is shorter than the estimated implementation time in step S504, the process returns to step S502 to reset the update and verification details. On the other hand, if the time limit is equal to or longer than the estimated execution time in step S504, the process proceeds to step S505. In step S505, it is determined whether further verification is required for a combination of update and verification content. If it is determined in step S505 that further verification is necessary, the process returns to step S502 to reset the update and verification details. If it is determined that no further verification is required, the verification is terminated.
  • step S501 the input from the system update information input unit 101 is analyzed as follows, and the update information is divided into gradual updates.
  • step S502 of FIG. 5 the above information and the verification level information 410 of FIG. 4 are used to set update and verification details.
  • step S501 "4. Updating the robot control programs of the robot management devices A31 and B32 and the devices themselves", which takes the longest time to execute, is set.
  • Lv3 which has the highest level of both granularity and range, is set to “granularity: detailed verification by experts” and “range: entire control system”.
  • step S503 "perform detailed verification of the entire control system by an expert for the update of the robot control program and the device itself of each of the robot management device A31 and the robot management device B32" set in step S502. Estimate the time required for Assume here that it was estimated that 6 hours would be required.
  • step S504 the time limit input by the time limit input unit 105 is compared with the time estimated in step S503.
  • the processing when the input time limit is two hours and is shorter than the estimated six hours will be described. Since the time limit is shorter than the estimated time, the process returns to step S502 to update and reset the verification details. For re-setting, set a content that is expected to take a longer execution time than the update and verification content that is currently set.
  • the current update is "4. Updating the robot control programs of the robot management device A31 and the robot management device B32 and updating the device itself", and Lv3 "granularity : Detailed verification by an expert” and “Scope: Entire control system” are set, so the update that is expected to take the longest execution time is "3. Updating the robot control program of the robot management device A31". and update of the device itself", Lv3, which has the highest verification level both in granularity and range, “granularity: detailed verification by experts", and “range: entire control system”.
  • step S503 After resetting as described above, the implementation time for updating and verification is estimated in step S503 in the same manner as described above, and the time limit and the estimated implementation time are compared in step S504.
  • the present invention is not limited to this setting method, and may be a method of setting each content at random.
  • step S505 it is determined whether verification is necessary for a combination of additional update and verification content.
  • step S502 a combination other than the current combination of update and verification content is generated. is set, and the same processing as described above is performed thereafter.
  • the current update is "1. Update of the robot control program and the device itself of the robot management device A31", Lv3 "granularity: detailed verification by experts”, which has the highest level of verification level granularity and range, If “range: entire control system” is set, as a combination of additional update and verification content, "1'. update of robot control program and device itself of robot management device B32", verification level granularity and It is conceivable to select Lv3 "granularity: detailed verification by experts” and “range: entire control system”, which have the highest level for both ranges.
  • step S505 there is a method of confirming with the user each time at step S505, a method of confirming with the user before starting the entire flow, and a method of outputting a single content or outputting a plurality of content. as the default setting for the entire flow.
  • step S505 if it is determined in step S505 that an additional combination of update and verification content is not required, the overall flow of FIG. 5 ends.
  • a plurality of control programs/apparatuses including any one of a plurality of control programs/apparatuses themselves are used so that the update contents to be performed on the control system 300 shown in FIG. 3 can be performed within the time limit. Select from among the update processes, and set the method for verifying the contents of the update. Therefore, according to the update content verification method of this embodiment, it is possible to determine the system update and security or safety verification that can be performed within the time limit.
  • Example 2 A second embodiment of the present invention will be described below with reference to the drawings.
  • the robot management device A31 and robot management device A31 and the robot management device are used to deal with failures of devices such as the robot A34, robot B35, robot C36, and the belt conveyor 37, and to change the objects to be processed in the control system.
  • An example of content that must be updated is the update of the robot control program of B32 and the robot management device C33. Therefore, in this embodiment, a system update method in which the security or safety of the control system is ensured within the time limit by adding the function of setting essential update contents to the method described in the first embodiment will be described. .
  • a mandatory update content setting unit 601 is added to the functional block diagram showing the functional configuration of the update content verification apparatus in FIG.
  • the block diagram shown in FIG. 6 is used.
  • Reference numerals 101 to 102 and 104 to 108 in FIG. 6 are the same as those in FIG. 1, and description thereof will be omitted.
  • a mandatory update content setting unit 601 and a verification content setting unit 602 shown in FIG. 2 are also used.
  • FIG. 7 is a diagram showing the overall flow of this embodiment.
  • a step S701 for determining the required update content based on the analysis information and a step S702 for setting the verification content for the required update content are added to the overall flow of FIG. 5 described in the first embodiment.
  • Steps S501 and S503 to S505 in FIG. 7 are the same as those in the first embodiment, and description thereof is omitted.
  • An operation example of the overall flow using the control system 300 of FIG. 3 and the verification level information 410 will be described below, as in the first embodiment.
  • step S501 the input from the system update information input unit 101 is analyzed as follows, and the update information is divided into gradual updates.
  • step S701 it is assumed that "3. Updating the robot control program of the robot management device A31 and the device itself" is determined as the essential update content from the above information. This determination may be determined using machine learning or AI based on the information input by the system update information input unit 101, or may be determined by the user specifying from the terminal devices 26-1 and 26-2 at the time of execution of step S701. there is a way to do it. Alternatively, there is also a method of determining by inputting only the relevant update contents as mandatory update contents when inputting to the system update information input unit 101 .
  • step S702 since the content of the update has been determined in step S701, only the verification content is determined.
  • Lv3 “granularity: detailed verification by experts” and “range: entire control system”, which has the highest level of both granularity and range in the verification level information 410, are set.
  • “perform a detailed verification of the entire control system by an expert with the update of the robot control program of the robot management device A31 and the device itself as essential update contents” is set.
  • a digital model (digital twin) that reproduces the features of the hardware and software of the control system shown in Fig. 3 in virtual space.
  • This digital model can also be used in subsequent steps S503 and S504.
  • the present invention is not limited to the implementation of steps S502, S503, and S504 using a digital model. It is possible to utilize information written in the form of formulas.
  • step S503 the time required for "requiring the update of the robot control program of the robot management device A31 and the device itself and conducting detailed verification of the entire control system by an expert" set in step S502 is estimated. . Assume here that it was estimated that 4 hours would be required.
  • next step S504 the time limit input by the time limit input unit 105 and the time estimated in step S503 are compared.
  • processing when the input time limit is 2 hours and is shorter than the estimated time of 4 hours will be described. If the time limit of 2 hours is shorter than the estimated time, the process returns to step S702 to reset the verification details. For re-setting, set the next verification content that is expected to require a longer execution time than the currently set verification content.
  • the verification content is changed without changing the update content because it is essential.
  • Lv3 which has the highest level of verification level both in terms of granularity and scope, is set to "granularity: detailed verification by experts” and “scope: entire control system”, so the next verification is expected to take a long time.
  • the granularity of the verification level is set to Lv3 "detailed verification by an expert”
  • the range is set to Lv2 "only target devices for change/updating + adjacent devices or programs in these devices”.
  • the method of resetting the verification content to be performed for the mandatory update content is set to the next content that is expected to take a long time to implement from the current content.
  • This method is a method that further enhances the effect of the present invention because the verification content with the highest verification level becomes a candidate in order, and the content with the highest verification level is always included in the determined content within the time limit.
  • the present invention is not limited to this setting method, and may be a method of setting each content at random.
  • step S505 it is determined whether verification is necessary for a combination of additional update and verification content.
  • the current combination of update and verification content is retained, and then in step S502, a combination other than the current combination of update and verification content is generated. is set, and the same processing as described above is performed thereafter.
  • Additional updates and verification contents may be a method of searching again for essential updates, a method of selecting non-essential but highly important updates, or a method of randomly selecting updates.
  • step S505 there is a method of confirming with the user each time at step S505, a method of confirming with the user before starting the entire flow, and a method of outputting a single content or outputting a plurality of content. There is a method of setting it as the default setting for the entire flow. On the other hand, if it is determined in step S505 that an additional combination of update and verification content is not required, the overall flow of FIG. 5 ends.
  • security or safety verification content is determined after ensuring essential system updates and implementing them within the time limit.
  • Example 3 A third embodiment of the present invention will be described below with reference to the drawings.
  • a level of security or safety safety level
  • an update and verification content that can obtain a certain level of safety is required as an output.
  • a function of inputting a required safety level, calculating an attained safety level, and determining whether the calculated level satisfies the required level is added to the method described in the first embodiment.
  • a function was added to include the estimated time and the like, which are intermediate outputs, in the output.
  • a safety level calculation and determination unit 801 and a required level input unit 802 are added to the functional block diagram showing the functional configuration of the update content verification system in FIG.
  • the various information output unit 803 outputs the result of the estimated time of the update and verification implementation time estimation unit 104 and the assumed safety level calculated by the safety level calculation and determination unit 801 together with the contents of the update and verification. This gives the user more information in addition to updates and verifications.
  • the safety level calculation and determination unit 801 and the various information output unit 803 are functions installed in the update content verification device 20 shown in FIG. In addition, in FIG. 8, the safety level calculation and determination unit are described as one functional unit, but these may be separate functional units.
  • FIG. 9 is a diagram showing the overall flow of this embodiment.
  • step S901 for calculating the assumed safety level by combining the update and verification contents completed within the time limit, the assumed safety level and the required level input unit 802 input A step S902 is added to compare with the requested level.
  • Reference numerals S501 to S505 in FIG. 9 are the same as those in the first embodiment, and description thereof will be omitted.
  • An operation example of the overall flow using the control system 300 of FIG. 3 and the verification level information 410 will be described below, as in the first embodiment.
  • Steps S501 to S505 in FIG. 9 are the same as in the first embodiment.
  • step S901 a safety level of security or safety is calculated for each combination of update and verification content that can be completed within the time limit, which is the result of step S505.
  • a safety level of security or safety is calculated for each combination of update and verification content that can be completed within the time limit, which is the result of step S505.
  • step S902 the calculated safety level is compared with the required level input by the required level input unit 802 to determine whether or not the requirement is satisfied in step S902. If it is determined in step S902 that a certain combination of update and verification details does not meet the requirements, the flow advances to step S903 to discard the combination of update and verification details and not output. On the other hand, if it is determined in step S902 that a certain combination of update and verification content satisfies the requirements, that combination of update and verification content is output. The above determination is performed for each combination of update and verification content that can be completed within the time limit, which is the result of step S505.
  • the system update and safety verification details that can be implemented within a time limit after satisfying the required level of safety are determined.
  • An update content verification system is an update content verification system for verifying the content of an update to be performed on a control system, comprising: an update information input unit into which update information of the control system is input; An update information analysis unit that analyzes information, a verification information storage unit that stores verification information related to verification performed on update contents, and an update that is performed on the control system from the analysis results and verification information.
  • an update and verification content setting unit that sets the content of and the content of verification to be performed for the update
  • an implementation time estimation unit that estimates the implementation time required to implement the update and verification, the estimated implementation time
  • an execution propriety determination unit that compares with a predetermined time limit and determines whether or not updating and verification can be completed within the time limit.
  • the update information analysis unit analyzes the update information and divides it into a plurality of update processes. As a result, it becomes possible to generate a plurality of candidates for update processing to be performed on the control system, and to secure more options for the update to be performed and the content of verification.
  • the update and verification content setting unit sets at least one of a plurality of divided update processes as update content to be performed on the control system. As a result, even if all the update contents included in the update information cannot be implemented, it is possible to implement some of the update contents, so it is possible to select the update contents from various viewpoints. .
  • At least one of the analysis by the update information analysis unit, the setting by the update and verification content setting unit, and the estimation by the execution time estimation unit is a digital model that reproduces the hardware or software that executes the control system on a computer. based on This makes it possible to conserve resources as it can be performed without the actual use of hardware and/or software.
  • the verification information includes at least one of verification range and verification granularity with multiple levels set. This makes it possible to appropriately prioritize and select the update and verification content to be selected based on this information.
  • the update and verification content setting unit determines that the implementation and verification can be completed within the time limit.
  • the update contents and verification contents other than the contents of are additionally set, the implementation time estimation unit estimates the time required to implement the additionally set update and verification, and the implementation possibility determination unit Determine if the verification can be performed in addition to the update and verification determined to be able to complete the implementation within the time limit.
  • a safety level calculation unit that calculates the safety level assumed when the update and verification are performed when the implementation possibility determination unit determines that the update and verification can be completed within the time limit;
  • a safety level determination unit that compares the assumed safety level and the safety level required for the control system and determines whether updating and verification can be performed.
  • the update content verification method acquires update information of the control system, analyzes the update information, and selects from the analysis result and the verification information related to the verification performed on the update content. , set the content of the update to be performed for the control system and the content of the verification to be performed for the update, estimate the implementation time required to implement the update and verification, estimate the implementation time and the predetermined limit time to determine if the update and verification can complete the implementation within the time limit.
  • the present invention is not limited to the above-described embodiments, and includes various modifications.
  • the above embodiments have been described in detail to facilitate the understanding of the present invention.
  • the contents of information stored in the storage unit, the analysis processing in the update information analysis unit, the estimation processing in the update and verification implementation time estimation unit, the output results, etc. are not necessarily all the configurations, processes, and It is not limited to information and numerical values.
  • each of the above configurations, functions, processing units, processing means, etc. may be realized in hardware, for example, by designing a part or all of them with an integrated circuit.
  • each of the above configurations, functions, etc. may be realized by software by interpreting and executing a program for realizing each function.
  • Information such as programs, tables, and files that implement each function can be stored in recording devices such as memory, hard disks, SSDs (Solid State Drives), or recording media such as IC cards, SD cards, and DVDs. .

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Stored Programmes (AREA)

Abstract

更新内容検証システム１００は、制御システム３００の更新情報が入力される更新情報入力部１０１と、更新情報を解析する更新情報解析部１０２と、更新の内容に対して行われる検証に関する検証情報が格納された検証情報記憶部１０８と、解析の結果及び検証情報の中から、制御システムに対して実施する更新の内容及び当該更新に対して実施する検証の内容を設定する更新及び検証内容設定部１０３と、更新及び検証を実施するために要する実施時間を推定する更新及び検証実施時間推定部１０４と、推定した実施時間と、所定の制限時間とを比較して、更新及び検証が制限時間以内に実施を完了できるか否か判定する実施可否判定部１０６と、を有する。

Description

更新内容検証システム及び更新内容検証方法
　本発明は、制御システムに対して実施する更新の内容を検証するためのシステム及び方法に関し、特に、セキュリティまたはセイフティ検証するための技術に関する。
　現在、ＤＸ（デジタルトランスフォーメーション：Ｄｉｇｉｔａｌ　Ｔｒａｎｓｆｏｒｍａｔｉｏｎ）の進展に伴い、製造や物流等の事業において、ヒト（有人機）を含む様々な制御対象が混在し、それら制御対象が協調して各種制御が行われるシステムが普及している。このような制御システムにおいて、現場の状況や経営判断に基づき制御のルールやシステムの構造を変化・更新し、生産性や効率といったシステムの価値を向上させることが注目されている。
　しかし、上記のシステムに生じる変化や行われる更新の内容に不備があった場合、制御システムにおいて重要な要件の一つである安全性が損なわれる可能性がある。また、上記不備により、制御システムが不正アクセスなどのサイバー攻撃の脅威にさらされる可能性もある。そのため、システムの変化や更新に対してセキュリティやセイフティを検証し、安全性を担保することが要求されている。
　上記のシステムの変化や更新に対するセキュリティまたはセイフティを検証する方法に関する技術である特許文献１では、コンピュータシステムのパラメータ変更に対して、更新の内容がセキュリティの観点で許容されるのかを検証し、許容されない場合は更新内容を再検討、許容される場合は更新の実施を行っている。
特開２０１９－３６２７４号公報
　しかしながら、特許文献１のセキュリティの検証方法では、セキュリティ的な観点で更新の内容を決定するまでに留まっており、決定した更新の内容を実施することにより、例えば工場のダウンタイムを超えても更新が終了せず、作業に支障をきたす、といった課題がある。
　そこで、本発明は、システムの更新に対するセキュリティまたはセイフティの検証内容の決定に、更新の実施と検証の実施において許容される制限時間を入力し、この制限時間内で実施可能なシステムの更新の内容およびセキュリティまたはセイフティを担保するために更新の内容に対して行われる検証の内容を決定することを目的とする。
　上記課題を解決するために、本発明は、制御システムに対して実施する更新の内容を検証する更新内容検証システムであって、制御システムの更新情報が入力される更新情報入力部と、更新情報を解析する更新情報解析部と、更新の内容に対して行われる検証に関する検証情報が格納された検証情報記憶部と、解析の結果及び検証情報の中から、制御システムに対して実施する更新の内容及び当該更新に対して実施する検証の内容を設定する更新及び検証内容設定部と、更新及び検証を実施するために要する実施時間を推定する実施時間推定部と、推定した実施時間と、所定の制限時間とを比較して、更新及び検証が制限時間以内に実施を完了できるか否か判定する実施可否判定部と、を有する。
　また、本発明には、このセキュリティまたはセイフティ検証内容を決定する方法が含まれる。さらに、セキュリティまたはセイフティ検証内容を決定する方法をコンピュータに実行させるためのコンピュータプログラムやこのコンピュータプログラムを格納した記憶媒体も含まれる。
　本発明によれば、制御システムに対して制限時間内で実施可能なシステム更新の内容及びセキュリティまたはセイフティの検証内容が決定できる。
　本発明に関連する更なる特徴は、本明細書の記述、添付図面から明らかになるものである。また、上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。
実施例１に係る更新内容検証システムの機能構成の例を示す機能ブロック図。 実施例１～３に係る更新内容検証システムのシステム構成図。 実施例１～３で用いられる制御システムの例を示す図。 実施例１～３で用いられる検証レベルの一例を示す図。 実施例１に係る更新内容検証方法のフローチャートの一例を示す図。 実施例２に係る更新内容検証システムの機能構成の例を示す機能ブロック図。 実施例２に係る更新内容検証方法のフローチャートの一例を示す図。 実施例３に係る更新内容検証システムの機能構成の例を示す機能ブロック図。 実施例３に係る更新内容検証方法のフローチャートの一例を示す図。
　以下、本発明の各実施例を、図面を用いて説明する。各実施例においては、図３に示すような構成要素がそれぞれ接続されている制御システムの更新内容とセキュリティまたはセイフティの検証内容を生成する。なお、構成要素としては、ロボット管理装置Ａ３１等が挙げられるが、具体的なシステムの構成については、後述する。なお、以下では、「制御システムの更新内容」については、単に「更新内容」と呼称し、「セキュリティまたはセイフティの検証内容」については、単に「検証内容」と呼称する。
［実施例１］
　以下、本発明の実施例１について図面を用いて説明する。
　図１は、本実施例に係る更新内容検証システム１００の機能構成を示す機能ブロック図である。以下、各ブロック（機能）について説明する。
　更新内容検証システム１００は、更新内容検証装置２０と、更新内容検証装置２０に接続され、検証レベル記憶部１０８が格納された記憶装置２４と、を有する。更新内容検証装置２０は、システム更新情報入力部１０１、更新情報解析部１０２、更新及び検証内容設定部１０３、更新及び検証実施時間推定部１０４、制限時間入力部１０５、実施可否判定部１０６、及び更新及び検証内容出力部１０７を有する。また、記憶装置２４は、更新及び検証内容設定部１０３との間に通信可能に接続されている。
　システム更新情報入力部１０１には、制御システムの更新情報が入力される。更新情報解析部１０２では、システム更新情報入力部１０１で入力された情報を解析し、更新情報を段階的な複数の更新処理へと分割する。更新及び検証内容設定部１０３では、更新情報解析部１０２の段階的な更新処理の一つを更新内容として設定するとともに、検証レベル記憶部１０８の情報を基に更新内容に対する検証内容を設定する。更新及び検証実施時間推定部１０４では、更新及び検証内容設定部１０３で設定された更新及び検証内容の実施に必要な時間を推定する。ここで、更新及び検証内容の実施に必要な時間とは、実際に更新及び／または検証の実行が開始してから終了するまでの時間のことである。開始／終了の判定は、自動的に判定されてもよいし、人によって判定されてもよい。実施可否判定部１０６では、更新及び検証実施時間推定部１０４で推定した時間が制限時間入力部１０５で入力された更新及び検証の実施に許容される制限時間内で終了するのか否かを判定する。
　更新及び検証内容出力部１０７では、実施可否判定部１０６において制限時間内で終了すると判定された更新及び検証内容を出力、および、表示する。なお、各記憶部や演算部は、ＣＰＵやＰＣそのものであることもある。なお、実施可否判定部１０６で、制限時間内で更新及び検証の実施が終了しないと判定された場合には、再度更新及び検証内容設定部１０３にて、異なる内容の更新及び検証内容の設定を行う。
　図１に示した更新内容検証装置２０の機能構成をコンピュータ上で実現したシステム構成を、図２に示す。更新内容検証装置２０は、バスなどで互いに接続されたＣＰＵのような処理部２１、メモリ２２、及び入出力Ｉ／Ｆ２３によって構成される。
　ここで、処理部２１は、更新情報解析部１０２、更新及び検証内容設定部１０３、更新及び検証実施時間推定部１０４、実施可否判定部１０６、更新及び検証内容出力部１０７、必須更新内容設定部６０１、検証内容設定部６０２、安全レベル算出及び判定部８０１、及び各種情報出力部８０３を有しており、これらはプログラムによって実現可能である。つまり、本実施例では、プログラムをメモリ２２に展開し、これらの各機能、演算を処理部２１で実行する。
　また、更新内容検証装置２０は、入出力Ｉ／Ｆ２３を介して記憶装置２４と接続されている。記憶装置２４は、検証レベル情報４１０を記憶する。つまり、記憶装置２４は、図１の検証レベル記憶部１０８として機能する。また、記憶装置２４は、更新内容検証装置２０内部に設けられてもよい。
　なお、必須更新内容設定部６０１及び検証内容設定部６０２は、実施例２で用いられ、本実施例では使用されなくともよい。また、安全レベル算出及び判定部８０１、各種情報出力部８０３は、実施例３で用いられる機能であり、本実施例では使用されなくともよい。
　また、更新内容検証装置２０は、入出力Ｉ／Ｆ２３を介して、各種の端末装置２６－１、２と接続する。端末装置２６－１、２は、それぞれコンピュータで実現され、利用者からの入力を受け付けたり、更新内容検証装置２０の処理結果を表示したりする機能を有する。
　つまり、端末装置２６－１、２は、入力部として機能する。より具体的には、図１のシステム更新情報入力部１０１、制限時間入力部１０５、図８の要求レベル入力部８０２として機能する。また、端末装置２６－２は、ネットワーク２５を介して、更新内容検証装置２０と接続する。なお、端末装置２６－１、２は、更新内容検証装置２０と一体化してもよい。
　つまり、更新内容検証装置２０に表示装置や入出力装置を設けてもよい。表示装置や入出力装置を本システムの一構成要素として構成する場合、クラウド３０、ロボット管理装置Ａ３１、ロボット管理装置Ｂ３２およびロボット管理装置Ｃ３３に更新内容検証装置２０の機能を持たせる。
　また、更新内容検証装置２０は、インターネット２７と接続し、外部の情報を取得することも可能である。この一例として、検証対象のシステムがインターネット２７を介して接続され、当該システムから検証レベル情報４１０を受信してもよい。
　次に、本実施例による更新内容検証方法を具体例により説明する。まず、更新対象となる制御システムを図３に示す。この制御システム３００は、構成要素として、クラウド３０、ロボット管理装置Ａ３１、ロボット管理装置Ｂ３２、ロボット管理装置Ｃ３３、ロボットＡ３４、ロボットＢ３５、ロボットＣ３６、およびベルトコンベヤ３７で構成されている。
　そして、各構成要素は、他の構成要素と、以下のように接続されている。クラウド３０は、ロボット管理装置Ａ３１と、ロボット管理装置Ｂ３２と、ロボット管理装置Ｃ３３と、に接続されている。ロボット管理装置Ａ３１は、クラウド３０と、ロボット管理装置Ｂ３２と、ロボットＡ３４と、に接続されている。ロボット管理装置Ｂ３２は、クラウド３０と、ロボット管理装置Ａ３１と、ロボット管理装置Ｃ３３と、ロボットＢ３５と、に接続されている。ロボット管理装置Ｃ３３は、クラウド３０と、ロボット管理装置Ｂ３２と、ロボットＣ３６と、に接続されている。
　また、更新内容検証装置２０は、本システムに接続されていてもよいし、本システムの一構成要素として実現してもよい。更新内容検証装置２０を本システムの一構成要素として構成する場合、クラウド３０、ロボット管理装置Ａ３１、ロボット管理装置Ｂ３２、またはロボット管理装置Ｃ３３に、更新内容検証装置２０の機能を持たせる。
　なお、本発明は図３に示す制御システム例のみならず、段階的なシステムの更新が可能な制御システムにおいて有効である。段階的なシステムの更新が可能な制御システムの例としては、図３に示すような製造ラインシステムや物流倉庫の仕分けシステムや大規模なＦＡ（Ｆａｃｔｏｒｙ　Ａｕｔｏｍａｔｉｏｎ）やＰＡ（Ｐｌａｎｔ　Ａｕｔｏｍａｔｉｏｎ）システムなどが挙げられる。ただし、例に挙げた制御システムに限定されるものではない。
　図４は、検証レベル記憶部１０８に記憶されている検証レベル情報４１０を示す図である。検証レベル情報４１０は粒度の表４２０と範囲の表４３０を持つ。本実施例では、セキュリティに関連する情報を記載している。各表はレベル（Ｌｖ）を３つずつ持ち、例えば以下のような内容である。
「粒度」の表４２０
Ｌｖ１　：　簡易チェックシートによる検証
Ｌｖ２　：　ツールを用いた検証
Ｌｖ３　：　専門家による詳細検証
「範囲」の表４３０
Ｌｖ１　：　変更・更新の対象機器のみ
Ｌｖ２　：　変更・更新の対象機器のみ　＋　隣接機器
Ｌｖ３　：　制御システム全体
　粒度はＬｖが上がるほど、検証の内容が細かくなり検証の実施に時間を要するものである。また、範囲はＬｖが上がるほど、検証の範囲が広くなり検証の実施に時間を要するものである。検証内容の設定部では、粒度の表４２０と範囲の表４３０からそれぞれ１つのＬｖを選択し、更新及び検証内容設定部１０３に用いる。なお、本実施例では検証レベルを粒度と範囲の２つの軸で表現し、それぞれを選択することで検証内容を決定する例を示す。ただし、検証レベルは粒度または範囲のどちらか一方でもよい。また、検証レベルを表現する内容は粒度および範囲に限定されるものでもない。さらに、検証レベルは表形式での表現でなくともよい。
　また、粒度の表４２０と範囲の表４３０の内容は対象の制御システムの構成等を反映した内容でなく一般的な表現としたが、検証レベルの表現として対象制御システム構成等を加味した特定の装置名称やネットワーク名称を含んだ表現であってもよい。
　図５は、本発明の一実施例に係る更新内容検証方法の全体フローである。まず、システム更新情報入力部１０１から入力されたシステム更新情報を解析する（Ｓ５０１）。そして、ステップＳ５０１の解析結果と検証レベル記憶部１０８の情報を用い、更新内容及び検証内容を設定する（Ｓ５０２）。
　そして、設定した更新及び検証内容の実施時間を推定する（Ｓ５０３）。そして、制限時間入力部１０５で入力した制限時間とステップＳ５０３で推定した更新及び検証内容の実施時間とを比較する（Ｓ５０４）。ステップＳ５０４にて制限時間が推定した実施時間よりも小さい場合にはステップＳ５０２に戻り、更新及び検証内容を再設定する。一方、ステップＳ５０４にて制限時間が推定した実施時間以上の場合、ステップＳ５０５に進む。ステップＳ５０５では、更なる更新及び検証内容の組合せについて検証が必要かを判定する。ステップＳ５０５にて更なる検証が必要だと判定された場合は、ステップＳ５０２に戻り更新及び検証内容を再設定する。それ以上の検証が必要でないと判定された場合は、検証を修了する。
　図５の各フローを図３の制御システム３００及び検証レベル情報４１０を例に用いて説明する。まず、システム更新情報入力部１０１に対して、「ロボット管理装置Ａ３１及びロボット管理装置Ｂ３２それぞれの、ロボット制御プログラム及び装置自体の更新」が入力されたとする。本実施例では、システム更新情報入力部１０１の入力をテキストとしたが、ユーザからの入力の方式として、端末装置２６－１、２の画面上に示したシステム構成図上でグラフィカルに更新情報を入力する方法や端末装置２６－１、２の画面上の更新情報候補をユーザが選択する入力方法などがあり、これに限定されない。ステップＳ５０１では、システム更新情報入力部１０１からの入力を以下のように解析し、更新情報を段階的な更新へと分割する。
１．ロボット管理装置Ａ３１のロボット制御プログラムの更新。
２．ロボット管理装置Ａ３１とロボット管理装置Ｂ３２それぞれのロボット制御プログラムの更新。
３．ロボット管理装置Ａ３１のロボット制御プログラム及び装置自体の更新。
４．ロボット管理装置Ａ３１とロボット管理装置Ｂ３２それぞれのロボット制御プログラム及び装置自体の更新。
　図５のステップＳ５０２では、上記の情報と図４の検証レベル情報４１０を用いて更新及び検証内容を設定する。ここでは、ステップＳ５０１で解析した結果のうち最も実施に時間のかかる「４．ロボット管理装置Ａ３１とロボット管理装置Ｂ３２それぞれのロボット制御プログラム及び装置自体の更新」を設定し、検証レベル情報４１０においても粒度と範囲ともに最もレベルの高いＬｖ３「粒度：専門家による詳細検証」、「範囲：制御システム全体」を設定する。
　つまりこの例では、「ロボット管理装置Ａ３１及びロボット管理装置Ｂ３２それぞれのロボット制御プログラム及び装置自体の更新に対して、専門家による詳細な検証を制御システム全体に対して行う」が設定される。これらの設定には図３の制御システムのハードウェアやソフトウェア等の特徴を仮想空間上で再現したデジタルモデル（デジタルツイン）を活用することが可能である。このデジタルモデルは後のステップＳ５０３やステップＳ５０４においても活用することが可能である。ただし、本発明はデジタルモデルを活用したステップＳ５０２やステップＳ５０３、ステップＳ５０４の実施に限定されるものではなく、制御システムのハードウェアやソフトウェア等の特徴をテキストにより表形式で記述した情報の活用や数式形式で記述した情報の活用なども可能である。
　ステップＳ５０３では、ステップＳ５０２で設定した「ロボット管理装置Ａ３１及びロボット管理装置Ｂ３２それぞれのロボット制御プログラム及び装置自体の更新に対して、専門家による詳細な検証を制御システム全体に対して行う」の実施に必要な時間を推定する。ここでは、６時間が必要であると推定されたと仮定する。
　次のステップＳ５０４では、制限時間入力部１０５で入力された制限時間とステップＳ５０３で推定された時間とを比較する。ここでは、まず入力された制限時間が２時間であり、推定された６時間よりも短い場合の処理について述べる。制限時間が推定された時間よりも短いので、更新及び検証内容の再設定を行うためステップＳ５０２に戻る。再設定には、現在設定されている更新及び検証内容より次点で実施時間が大きいと予想される内容を設定する。
　本実施例のケースでは、現在の更新は「４．ロボット管理装置Ａ３１とロボット管理装置Ｂ３２のロボット制御プログラムの更新と装置自体の更新」、検証レベルの粒度と範囲ともに最もレベルの高いＬｖ３「粒度：専門家による詳細検証」、「範囲：制御システム全体」が設定されているため、次点で実施時間が大きいと予想される内容として更新が「３．ロボット管理装置Ａ３１のロボット制御プログラムの更新及びと装置自体の更新」、検証レベルの粒度と範囲ともに最もレベルの高いＬｖ３「粒度：専門家による詳細検証」、「範囲：制御システム全体」と設定される。
　上記のように再設定を行い、以降は前述と同様に更新及び検証の実施時間の推定をステップＳ５０３で行い、制限時間と推定実施時間の比較をステップＳ５０４で実施する。
　この方式により、更新及び更新に対する検証の内容として最も更新の効果が大きくかつ検証レベルが高い検証内容から順に候補となり、決定される内容に制限時間内で最も更新の効果が大きくかつ最も検証レベルが高い内容が必ず含まれるため、本発明の効果をより高めることが可能になる。ただし本発明は、この設定方式に限らず、ランダムで各内容を設定する方法などでもよい。
　一方、入力された制限時間が１２時間であり、推定された実施時間である６時間よりも長い場合の処理について述べる。制限時間が推定された時間よりも長い場合には、現在の更新及び検証内容は許容される内容となる。そのため、次ステップのステップＳ５０５に進む。ステップＳ５０５では、追加の更新及び検証内容の組合せについて検証が必要かを判定する。
　ユーザが複数の更新及び検証内容の組合せの出力を要求した際には、現在の更新及び検証内容の組合せを保持したうえで、再度ステップＳ５０２で現在の更新及び検証内容の組合せとは別の組合せを設定し、以降上述と同様の処理を行う。
　具体例としては例えば、現在の更新として「１．ロボット管理装置Ａ３１のロボット制御プログラム及び装置自体の更新」、検証レベルの粒度と範囲ともに最もレベルの高いＬｖ３「粒度：専門家による詳細検証」、「範囲：制御システム全体」が設定されているとした場合、追加の更新及び検証内容の組合せとして、「１’．ロボット管理装置Ｂ３２のロボット制御プログラム及び装置自体の更新」、検証レベルの粒度と範囲ともに最もレベルの高いＬｖ３「粒度：専門家による詳細検証」、「範囲：制御システム全体」を選択することが考えられる。
　なお、追加の組合せ検討の要望は、ステップＳ５０５の都度ユーザに確認する方式もあれば、全体フロー開始前にユーザに確認する方式や、単一の内容を出力するないしは複数の内容を出力する旨を全体フローの既定設定としておく方式などがある。一方、ステップＳ５０５で追加の更新及び検証内容の組合せが必要ないと判定された場合には、図５の全体フローは終了する。
　以上で、本実施例の説明を完了する。本実施例においては、図３で示す制御システム３００に対して実施する更新内容を、制限時間内に実施可能になるように、複数の制御プログラム／装置自体のうちいずれかを含むような複数の更新処理の中から選択し、当該更新内容を検証する方法を設定している。従って、本実施例の更新内容検証方法によれば、制限時間内で実施可能なシステム更新及びセキュリティまたはセイフティの検証を決定できる。
［実施例２］
　以下、本発明の実施例２について図面を用いて説明する。
　システムの更新を検討する際に、今回の更新にて必ず更新が必要となる内容が存在している場合もある。図３の制御システム３００の例においては、ロボットＡ３４、ロボットＢ３５、ロボットＣ３６、ベルトコンベヤ３７などの機器の故障への対応や制御システムでの処理物の変更に伴うロボット管理装置Ａ３１とロボット管理装置Ｂ３２とロボット管理装置Ｃ３３のロボット制御プログラムの更新などが必ず更新が必要な内容の例になる。そのため、本実施例では、実施例１で述べた方法に、必須の更新内容を設定する機能を追加した、制限時間内で制御システムのセキュリティまたはセイフティを確保した中でのシステム更新方法について説明する。
　本実施例では、実施例１で述べた図１の更新内容検証装置の機能構成を示す機能ブロック図に必須更新内容設定部６０１を追加し、更新及び検証内容設定部１０３を検証内容設定部６０２に変更した図６に示すブロック図を用いる。図６において符号１０１～１０２、１０４～１０８は図１と同一のものであり、説明を省略する。本実施例においてはさらに、図２に示す必須更新内容設定部６０１および検証内容設定部６０２が用いられる。
　図７は、本実施例の全体フローを示した図である。実施例１で述べた図５の全体フローに、解析情報を基に必須更新内容を決定するステップＳ７０１及び必須更新内容に対する検証内容を設定するステップＳ７０２を追加した。図７においてステップＳ５０１、Ｓ５０３～Ｓ５０５は実施例１と同一のものであり、説明を省略する。以下では、実施例１と同様に、図３の制御システム３００と検証レベル情報４１０を用いた全体フローの動作例を述べる。
　システム更新情報入力部１０１では、「ロボット管理装置Ａ３１とロボット管理装置Ｂ３２のロボット制御プログラムと装置自体を更新」が入力されたとする。本実施例では、システム更新情報入力部１０１の入力をテキストとしたが、ユーザからの入力の方式として、端末装置２６－１、２の画面上に示したシステム構成図上でグラフィカルに更新情報を入力する方法や端末装置２６－１、２の画面上の更新情報候補をユーザが選択する入力方法があり、これに限定されない。ステップＳ５０１では、システム更新情報入力部１０１からの入力を以下のように解析し更新情報を段階的な更新へと分割する。
１．ロボット管理装置Ａ３１のロボット制御プログラムの更新
２．ロボット管理装置Ａ３１及びロボット管理装置Ｂ３２それぞれのロボット制御プログラムの更新
３．ロボット管理装置Ａ３１のロボット制御プログラム及び装置自体の更新
４．ロボット管理装置Ａ３１及びロボット管理装置Ｂ３２それぞれのロボット制御プログラム及び装置自体の更新
　ステップＳ７０１では、上記の情報から必須更新内容として「３．ロボット管理装置Ａ３１のロボット制御プログラム及び装置自体の更新」が決定されたとする。本決定は、システム更新情報入力部１０１で入力された情報に基づき機械学習やＡＩを用いて決定される方法もあれば、ステップＳ７０１実行時点で端末装置２６－１、２からユーザが指定し決定する方法もある。または、システム更新情報入力部１０１への入力時に必須更新内容として該当更新内容のみを入力することで決定する方法もある。
　そして、ステップＳ７０２においては、ステップＳ７０１にて更新の内容は決定しているため、検証内容のみを決定する。検証の内容には、検証レベル情報４１０においても粒度と範囲ともに最もレベルの高いＬｖ３「粒度：専門家による詳細検証」、「範囲：制御システム全体」を設定する。つまりこの例では、「ロボット管理装置Ａ３１のロボット制御プログラム及び装置自体の更新を必須の更新内容として、専門家による詳細な検証を制御システム全体に対して行う」が設定される。
　これらの設定には図３の制御システムのハードウェアやソフトウェア等の特徴を仮想空間上で再現したデジタルモデル（デジタルツイン）を活用することが可能である。このデジタルモデルは後のステップＳ５０３やステップＳ５０４においても活用することが可能である。ただし、本発明はデジタルモデルを活用したステップＳ５０２やステップＳ５０３、ステップＳ５０４の実施に限定されるものではなく、制御システムのハードウェアやソフトウェア等の特徴をテキストにより表形式で記述した情報の活用や数式形式で記述した情報の活用などが可能である。
　ステップＳ５０３では、ステップＳ５０２で設定した「ロボット管理装置Ａ３１のロボット制御プログラム及び装置自体の更新を必須として、専門家による詳細な検証を制御システム全体に対して行う」ために必要な時間を推定する。ここでは、４時間が必要であると推定されたと仮定する。
　次のステップＳ５０４では、制限時間入力部１０５で入力された制限時間とステップＳ５０３で推定された時間を比較する。ここで入力された制限時間が２時間であり、推定された時間４時間よりも小さい場合の処理について述べる。制限時間２時間が推定された時間よりも小さい場合には、検証内容の再設定を行うためステップＳ７０２に戻る。再設定には、現在設定されている検証内容より次点で実施時間が大きいと予想される検証内容を設定する。
　本実施例のケースでは、更新内容については必須であるため変更せずに、検証内容を変更する。現在は検証レベルの粒度と範囲ともに最もレベルの高いＬｖ３「粒度：専門家による詳細検証」、「範囲：制御システム全体」が設定されているため、次点で実施時間が大きいと予想される検証の内容として検証レベルの粒度がＬｖ３「専門家による詳細検証」と範囲がＬｖ２「変更・更新の対象機器のみ＋隣接機器またはこれらの機器内のプログラム」と設定される。上記のように再設定を行い以降は前述と同様に更新及び検証の実施時間の推定をステップＳ５０３、制限時間と推定実施時間の比較をステップＳ５０４で実施する。
　本実施例では、必須更新内容に対して行う検証内容の再設定を現在の内容から次点で実施時間が大きいと予想される内容を設定する方式をとった。この方式は、最も検証レベルが高い検証内容から順に候補となり、決定される内容に制限時間内で最も検証レベルが高い内容が必ず含まれるため、本発明の効果をより高める方式である。ただし本発明は、この設定方式に限らず、ランダムで各内容を設定する方法などでもよい。
　一方、入力された制限時間が１２時間であり、推定された実施時間４時間よりも大きい場合の処理について述べる。制限時間１２時間が推定された時間４時間よりも大きい場合には、現在の更新及び検証内容は許容される内容となる。そのため、次ステップのステップＳ５０５に進む。ステップＳ５０５では、追加の更新及び検証内容の組合せについて検証が必要かを判定する。ユーザが複数の更新及び検証内容の組合せの出力を要求した際には、現在の更新及び検証内容の組合せを保持したうえで、再度ステップＳ５０２で現在の更新及び検証内容の組合せとは別の組合せを設定し、以降上述と同様の処理を行う。追加の更新及び検証内容としては、必須の更新があるかどうかを再度検索する方法でもよいし、必須ではないが重要度の高い更新を選択する方法でもよいし、ランダムに選択する方法でもよい。
　なお、追加の組合せ検討の要望は、ステップＳ５０５の都度ユーザに確認する方式もあれば、全体フロー開始前にユーザ確認する方式や、単一の内容を出力するないしは複数の内容を出力する旨を全体フローの既定設定としておく方式などがある。一方、ステップＳ５０５で追加の更新及び検証内容の組合せが必要ないと判定された場合には、図５の全体フローは終了する。
　以上で、本実施例の説明を完了する。本実施例の更新内容検証方法によれば、必須なシステム更新の確保と制限時間内での実施を可能にしたうえでのセキュリティまたはセイフティの検証内容が決定される。
［実施例３］
　以下、本発明の実施例３について図面を用いて説明する。
　システムの更新を検討する際に、満たしておきたいセキュリティまたはセイフティのレベル（安全レベル）が存在する場合がある。その場合は、一定以上の安全レベルを得られる更新及び検証内容が出力として必要となる。本実施例では、実施例１で述べた方法に、安全性の要求レベルの入力と安全性の到達レベルの算出および算出されたレベルが要求レベルを満たしているかを判定する機能を追加した。さらに、図５の全体フローにおいて中間出力である推定時間等を出力に含める機能を追加した。
　本実施例では、実施例１で述べた図１の更新内容検証システムの機能構成を示す機能ブロック図に安全レベル算出及び判定部８０１、要求レベル入力部８０２を追加し、更新及び検証内容出力部１０７を各種情報出力部８０３に変更した図８に示すブロック図を用いる。
　図８において符号１０１～１０６、１０８は図１と同一のものである。各種情報出力部８０３では更新及び検証実施時間推定部１０４の推定時間の結果や安全レベル算出及び判定部８０１によって算出された想定される安全レベルが更新および検証内容とともに出力される。それによりユーザは更新および検証内容に加えより多くの情報を得ることができる。安全レベル算出及び判定部８０１および各種情報出力部８０３は図２に示す更新内容検証装置２０内に搭載された機能である。なお、図８においては安全レベル算出及び判定部は１つの機能部として記載されているが、これらは別々の機能部としてもよい。
　図９は、本実施例の全体フローを示した図である。実施例１で述べた図５の全体フローに、制限時間内で完了する更新および検証内容の組合せにより想定される安全レベルを算出するステップＳ９０１、想定される安全レベルと要求レベル入力部８０２で入力された要求レベルとを比較するステップＳ９０２を追加した。図９において符号Ｓ５０１～Ｓ５０５は実施例１と同一のものであり、説明を省略する。以下では、実施例１と同様に、図３の制御システム３００と検証レベル情報４１０を用いた全体フローの動作例を述べる。
　図９におけるステップＳ５０１～Ｓ５０５は実施例１と同様である。ステップＳ５０５の結果である制限時間内で実施が完了する更新および検証内容の各組合せに対してステップＳ９０１でセキュリティまたはセイフティの安全レベルを算出する。到達レベルの算出方法は、規格や標準などの手法を参照する方法もある。または、検証レベル情報４１０のＬｖを用いた算術により算出する方法もある。
　そして、算出された安全レベルが要求レベル入力部８０２で入力された要求レベルと比較して要求を満たしているのかを判定をステップＳ９０２で行う。ある更新及び検証内容の組合せがステップＳ９０２の判定において、要求を満たしていないと判定された場合は、ステップＳ９０３に進み該当の更新及び検証内容の組合せを破棄し、出力しない。一方、ある更新及び検証内容の組合せがステップＳ９０２の判定において、要求を満たしていると判定された場合は、該当の更新及び検証内容の組合せが出力される。上記判定をステップＳ５０５の結果である制限時間内で実施が完了する更新および検証内容の各組合せに対して実施する。
　以上で、本実施例の説明を完了する。本実施例の安全性の検証内容の決定方法によれば、要求される安全性の到達レベルを満たしたうえで制限時間内に実施可能なシステム更新と安全性の検証内容が決定される。
　以上で説明した本発明の実施例によれば、以下の作用効果を奏する。
（１）本発明に係る更新内容検証システムは、制御システムに対して実施する更新の内容を検証する更新内容検証システムであって、制御システムの更新情報が入力される更新情報入力部と、更新情報を解析する更新情報解析部と、更新の内容に対して行われる検証に関する検証情報が格納された検証情報記憶部と、解析の結果及び検証情報の中から、制御システムに対して実施する更新の内容及び当該更新に対して実施する検証の内容を設定する更新及び検証内容設定部と、更新及び検証を実施するために要する実施時間を推定する実施時間推定部と、推定した実施時間と、所定の制限時間とを比較して、更新及び検証が制限時間以内に実施を完了できるか否か判定する実施可否判定部と、を有する。
　上記構成によって、制御システムに対して許容される制限時間内で実施することが可能なシステム更新及び安全性の検証内容が決定できる。
（２）更新情報解析部は、更新情報を解析して、複数の更新処理に分割する。これにより、制御システムに対して実施する更新処理の候補を複数生成することが可能になり、実施する更新及び検証内容の選択肢をより多く確保することが可能になる。
（３）更新及び検証内容設定部は、制御システムに対して実施する更新内容として、分割した複数の更新処理のうち少なくとも１つを設定する。これにより、更新情報に含まれる全ての更新内容を実施できない場合であっても、一部の更新内容を実施することが可能になるため、様々な観点から更新内容を選択することが可能になる。
（４）更新情報解析部による解析、更新及び検証内容設定部による設定、及び実施時間推定部による推定のうち少なくとも１つは、制御システムを実行するハードウェア又はソフトウェアをコンピュータ上で再現したデジタルモデルに基づき行う。これにより、ハードウェア及び／ソフトウェアを実際に使用することなく実行できるため、資源の節約を図ることが可能になる。
（５）検証情報は、複数レベルが設定された、検証範囲又は検証粒度の一方を少なくとも含む。これにより、選択する更新及び検証内容についてこれらの情報を基に好適に優先順位付けして選択することが可能になる。
（６）実施可否判定部が、更新及び検証が制限時間以内に実施を完了できると判定した場合に、更新及び検証内容設定部は、制限時間内に実施を完了できると判定された実施及び検証の内容以外の更新の内容及び検証の内容を追加設定し、実施時間推定部は、追加設定した更新及び検証を実施するために要する時間を推定し、実施可否判定部は、追加設定した更新及び検証が、制限時間以内に実施を完了できると判定された更新及び検証に追加して実施できるか否か判定する。これにより、一つの更新及び検証を実施した後も、追加で更新及び検証を実施することが可能になるため、制御システムに対してより安全性を高めることが可能になる。
（７）更新情報解析部による解析の結果の中から、必須の更新内容を設定する必須更新内容設定部をさらに備える。これにより、制御システムに対して実施し得る更新処理が複数存在する場合であっても、必須の更新内容を設定することが可能になる。このため、例えばセキュリティ上の観点から直ちに更新されるべき装置／プログラムがあった場合に、他の必須でない更新が優先的に実施されてしまい、制御システムが危険にさらされる、といったリスクを低減することが可能になる。
（８）実施可否判定部が、更新及び検証が制限時間以内に実施を完了できると判定した場合に、当該更新及び検証を実施した場合に想定される安全レベルを算出する安全レベル算出部と、想定される安全レベルと、制御システムに要求される安全レベルとを比較して更新及び検証が実施可能であるか判定する安全レベル判定部と、をさらに備える。これにより、（７）と同様に、制御システムが危険にさらされるリスクを低減することが可能になる。
（９）また、本発明に係る更新内容検証方法は、制御システムの更新情報を取得し、更新情報を解析し、解析の結果、及び更新の内容に対して行われる検証に関する検証情報の中から、制御システムに対して実施する更新の内容及び当該更新に対して実施する検証の内容を設定し、更新及び検証を実施するために要する実施時間を推定し、推定した実施時間と、所定の制限時間とを比較して、更新及び検証が制限時間内に実施を完了できるか否かを判定する。
　上記構成により、（１）と同様に、制御システムに対して許容される制限時間内で実施することが可能なシステム更新及び安全性の検証内容が決定できる。
　以上で、本発明の実施形態についての説明を終了する。なお、本発明は上記した実施形態に限定されるものではなく、様々な変形例が含まれる。上記の実施形態は本発明を分かりやすく説明するために詳細に説明したものである。このため、例えば、記憶部に記憶されている情報の内容、更新情報解析部での解析処理、更新及び検証実施時間推定部での推定処理、出力結果等、必ずしも説明した全ての構成、処理、情報、数値、に限定されるものではない。
　また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、それぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ　Ｓｔａｔｅ　Ｄｒｉｖｅ）等の記録装置、または、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に記憶することができる。
１０１…システム更新情報入力部（更新情報入力部）、１０２…更新情報解析部、１０３…更新及び検証内容設定部、１０４…更新及び検証実施時間推定部、１０５…制限時間入力部、１０６…実施可否判定部、１０８…検証レベル記憶部（検証情報記憶部）、３００…制御システム、４１０…検証レベル情報、６０１…必須更新内容設定部、８０１…安全レベル算出及び判定部（安全レベル算出部・安全レベル判定部）

Claims (9)

  1. 　制御システムに対して実施する更新の内容を検証する更新内容検証システムであって、
    　前記制御システムの更新情報が入力される更新情報入力部と、
    　前記更新情報を解析する更新情報解析部と、
    　前記更新の内容に対して行われる検証に関する検証情報が格納された検証情報記憶部と、
    　前記解析の結果及び前記検証情報の中から、前記制御システムに対して実施する更新の内容及び当該更新に対して実施する検証の内容を設定する更新及び検証内容設定部と、
    　前記更新及び前記検証を実施するために要する実施時間を推定する実施時間推定部と、
    　前記推定した実施時間と、所定の制限時間とを比較して、前記更新及び前記検証が前記制限時間以内に実施を完了できるか否か判定する実施可否判定部と、を有する、
    ことを特徴とする更新内容検証システム。
  2. 　請求項１に記載の更新内容検証システムであって、
    　前記更新情報解析部は、前記更新情報を解析して、複数の更新処理に分割する、
    ことを特徴とする更新内容検証システム。
  3. 　請求項２に記載の更新内容検証システムであって、
    　前記更新及び検証内容設定部は、前記制御システムに対して実施する更新内容として、前記分割した複数の更新処理のうち少なくとも１つを設定する、
    ことを特徴とする更新内容検証システム。
  4. 　請求項１に記載の更新内容検証システムであって、
    　前記更新情報解析部による前記解析、前記更新及び検証内容設定部による前記設定、及び前記実施時間推定部による前記推定のうち少なくとも１つは、前記制御システムを実行するハードウェア又はソフトウェアをコンピュータ上で再現したデジタルモデルに基づき行う、
    ことを特徴とする更新内容検証システム。
  5. 　請求項１に記載の更新内容検証システムであって、
    　前記検証情報は、複数レベルが設定された、検証範囲又は検証粒度の一方を少なくとも含む、
    ことを特徴とする更新内容検証システム。
  6. 　請求項１に記載の更新内容検証システムであって、
    　前記実施可否判定部が、前記更新及び前記検証が前記制限時間以内に実施を完了できると判定した場合に、
    　　前記更新及び検証内容設定部は、前記制限時間内に実施を完了できると判定された前記実施及び検証の内容以外の前記更新の内容及び前記検証の内容を追加設定し、
    　　前記実施時間推定部は、前記追加設定した更新及び検証を実施するために要する時間を推定し、
    　　前記実施可否判定部は、前記追加設定した更新及び検証が、前記制限時間以内に実施を完了できると判定された前記更新及び前記検証に追加して実施できるか否か判定する、ことを特徴とする更新内容検証システム。
  7. 　請求項１に記載の更新内容検証システムであって、
    　前記更新情報解析部による前記解析の結果の中から、必須の更新内容を設定する必須更新内容設定部をさらに備える、
    ことを特徴とする更新内容検証システム。
  8. 　請求項１に記載の更新内容検証システムであって、
    　前記実施可否判定部が、前記更新及び前記検証が前記制限時間以内に実施を完了できると判定した場合に、当該更新及び検証を実施した場合に想定される安全レベルを算出する安全レベル算出部と、
    　前記想定される安全レベルと、前記制御システムに要求される安全レベルとを比較して前記更新及び検証が実施可能であるか判定する安全レベル判定部と、をさらに備える
    ことを特徴とする更新内容検証システム。
  9. 　制御システムに対して実施する更新の内容を検証する更新内容検証方法であって、
    　前記制御システムの更新情報を取得し、
    　前記更新情報を解析し、
    　前記解析の結果、及び前記更新の内容に対して行われる検証に関する検証情報の中から、前記制御システムに対して実施する更新の内容及び当該更新に対して実施する検証の内容を設定し、
    　前記更新及び前記検証を実施するために要する実施時間を推定し、
    　前記推定した実施時間と、所定の制限時間とを比較して、前記更新及び前記検証が前記制限時間内に実施を完了できるか否かを判定する、
    ことを特徴とする更新内容検証方法。
PCT/JP2022/039949 2021-12-01 2022-10-26 更新内容検証システム及び更新内容検証方法 WO2023100545A1 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2021-195637 2021-12-01
JP2021195637A JP2023081705A (ja) 2021-12-01 2021-12-01 更新内容検証システム及び更新内容検証方法

Publications (1)

Publication Number Publication Date
WO2023100545A1 true WO2023100545A1 (ja) 2023-06-08

Family

ID=86611940

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2022/039949 WO2023100545A1 (ja) 2021-12-01 2022-10-26 更新内容検証システム及び更新内容検証方法

Country Status (2)

Country Link
JP (1) JP2023081705A (ja)
WO (1) WO2023100545A1 (ja)

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2005088452A1 (ja) * 2004-03-16 2005-09-22 Matsushita Electric Industrial Co., Ltd. コンピュータプログラムの更新をする端末装置及び更新方法
JP2020038585A (ja) * 2018-09-06 2020-03-12 みこらった株式会社 自動運転車及び自動運転車用プログラム

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2005088452A1 (ja) * 2004-03-16 2005-09-22 Matsushita Electric Industrial Co., Ltd. コンピュータプログラムの更新をする端末装置及び更新方法
JP2020038585A (ja) * 2018-09-06 2020-03-12 みこらった株式会社 自動運転車及び自動運転車用プログラム

Also Published As

Publication number Publication date
JP2023081705A (ja) 2023-06-13

Similar Documents

Publication Publication Date Title
Da Silva et al. Community resources for enabling research in distributed scientific workflows
US9459980B1 (en) Varying cluster sizes in a predictive test load while testing a productive system
JP2005173788A (ja) オートノミック・コンピューティングシステム、実行環境制御方法及びプログラム
JP4486657B2 (ja) 要員配置最適化プログラム、要員配置最適化方法および要員配置最適化装置
JP6094593B2 (ja) 情報システム構築装置、情報システム構築方法および情報システム構築プログラム
WO2014061229A1 (ja) 情報システム構築支援装置、情報システム構築支援方法および情報システム構築支援プログラム
JPWO2020008991A1 (ja) 検証自動化装置、検証自動化方法、およびプログラム
WO2012144140A1 (ja) ＵＩ（User Interface）作成支援装置、ＵＩ作成支援方法及びプログラム
US20130144587A1 (en) Scalability evaluation device, scalability evaluation method, and scalability evaluation program
JP5896862B2 (ja) テスト装置及びテスト方法及びプログラム
CN112703485A (zh) 使用机器学习方法支持对分布式系统内的计算环境的修改的实验评估
JP6094594B2 (ja) 情報システム構築支援装置、情報システム構築支援方法および情報システム構築支援プログラム
WO2023100545A1 (ja) 更新内容検証システム及び更新内容検証方法
KR20150124653A (ko) 프로세스 검증 기능이 구비된 전력 계통 감시 및 제어 시스템
JP5304972B1 (ja) 情報処理装置、情報処理方法、及びプログラム
JP2006185055A (ja) 計算機システムの設計支援システムおよび設計支援プログラム
WO2017203556A1 (ja) 管理計算機及びシステムのパラメータの最適値算出方法
JP2008191849A (ja) 稼働管理装置、情報処理装置、稼働管理装置の制御方法、情報処理装置の制御方法及びプログラム
JP6142878B2 (ja) 情報システムの性能評価装置、方法およびプログラム
WO2013141018A1 (ja) 最適システム設計支援装置
US20170185397A1 (en) Associated information generation device, associated information generation method, and recording medium storing associated information generation program
Sriraman et al. Understanding acceleration opportunities at hyperscale
JP2008217443A (ja) ビジネスプロセスシミュレータ及びビジネスプロセスシミュレーションプログラム
CN113504966B (zh) Gpu集群调度策略模拟方法及gpu集群模拟器
US20230009195A1 (en) Prevention apparatus of user requirement violation for cloud service, prevention method of user requirement violation and program thereof

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22900978

Country of ref document: EP

Kind code of ref document: A1