WO2024257507A1 - 診断装置および診断方法 - Google Patents

診断装置および診断方法 Download PDF

Info

Publication number
WO2024257507A1
WO2024257507A1 PCT/JP2024/017050 JP2024017050W WO2024257507A1 WO 2024257507 A1 WO2024257507 A1 WO 2024257507A1 JP 2024017050 W JP2024017050 W JP 2024017050W WO 2024257507 A1 WO2024257507 A1 WO 2024257507A1
Authority
WO
WIPO (PCT)
Prior art keywords
probability
instantaneous
attack
diagnosed
diagnostic
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2024/017050
Other languages
English (en)
French (fr)
Inventor
恒晟 阪田
貴志 小倉
典剛 松本
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hitachi Ltd
Original Assignee
Hitachi Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hitachi Ltd filed Critical Hitachi Ltd
Publication of WO2024257507A1 publication Critical patent/WO2024257507A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B23/00—Testing or monitoring of control systems or parts thereof
    • G05B23/02—Electric testing or monitoring
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures

Definitions

  • the present invention relates to a diagnostic device and a diagnostic method.
  • Patent Document 1 describes a diagnostic method for diagnosing the state of equipment using a method other than binary diagnosis.
  • a diagnostic device includes a calculation device that calculates an instantaneous attack probability, which is the probability that a cyber-attack has been carried out on a device to be diagnosed at a specified time, calculates an instantaneous failure probability, which is the probability that a failure has occurred in the device to be diagnosed at the specified time, and determines whether or not a cyber-attack has been carried out on the device to be diagnosed and whether or not a failure has occurred in the device to be diagnosed at the specified time based on the instantaneous attack probability and the instantaneous failure probability.
  • the present invention makes it possible to properly determine whether or not a cyber attack has occurred and whether or not equipment is malfunctioning.
  • FIG. 1 is a block diagram showing a schematic hardware configuration of a diagnostic device according to the first embodiment.
  • FIG. 2 is a block diagram showing the functional configuration of the diagnostic device according to the first embodiment.
  • FIG. 3 is a flowchart of the instantaneous failure probability calculation process executed by the instantaneous failure probability calculation unit.
  • FIG. 4 is a flowchart of the instantaneous attack probability calculation process executed by the instantaneous attack probability calculation unit.
  • FIG. 5 is a flowchart of the probability adjustment process executed by the probability adjustment unit.
  • FIG. 6 is a graph illustrating the adjusted instantaneous failure probability and the adjusted instantaneous attack probability.
  • FIG. 7 is a flowchart of the discrimination process executed by the discriminating unit.
  • FIG. 8 is a schematic diagram illustrating a display screen of the display device.
  • FIG. 9 is a block diagram showing the functional configuration of a diagnostic device according to the second embodiment.
  • FIG. 10 is a flowchart of the instantaneous attack probability calculation process executed by the instantaneous attack probability calculation unit.
  • FIG. 11 is a graph illustrating the adjusted instantaneous failure probability and the adjusted instantaneous attack probability.
  • FIG. 12 is a block diagram showing the functional configuration of a diagnostic device according to the third embodiment.
  • FIG. 13 is a graph illustrating the adjusted instantaneous failure probability and the adjusted instantaneous attack probability.
  • First Embodiment 1 is a block diagram showing a schematic hardware configuration of a diagnostic device 1 according to the first embodiment.
  • the diagnostic device 1 is a device that diagnoses the health of a device to be diagnosed (e.g., a control device included in a control system) (not shown) and notifies a user of the diagnosis result.
  • the user can diagnose the device to be diagnosed using the diagnostic device 1 at any time (e.g., a specific time every day) and take necessary measures for the device to be diagnosed by referring to the diagnosis result.
  • the diagnostic device 1 is composed of a computer equipped with an arithmetic device 11 such as a CPU (Central Processing Unit), MPU (Micro Processing Unit), and DSP (Digital Signal Processor), non-volatile memory 12 such as ROM (Read Only Memory), flash memory, and a hard disk drive, volatile memory 13 known as RAM (Random Access Memory), an input/output interface 14, and other peripheral circuits. These pieces of hardware work together to operate software and realize multiple functions.
  • the diagnostic device 1 may be composed of one computer or multiple computers.
  • the arithmetic device 11 may be an ASIC (application specific integrated circuit), FPGA (Field Programmable Gate Array), etc.
  • the non-volatile memory 12 stores programs capable of executing various calculations.
  • the non-volatile memory 12 is a storage medium (storage device) capable of reading programs that realize the functions of this embodiment.
  • the volatile memory 13 is a storage medium (storage device) that temporarily stores the results of calculations performed by the calculation device 11 and signals input from the input interface 14.
  • the calculation device 11 is a device that expands the programs stored in the non-volatile memory 12 into volatile memory and executes calculations, and performs predetermined calculation processing on data taken from the input/output interface 14, the non-volatile memory 12, and the volatile memory 13 in accordance with the programs.
  • the diagnostic device 1 is connected to a parameter database 2, a vulnerability database 3, and a display device 4 via an input/output interface 14.
  • the parameter database 2 and the vulnerability database 3 are storage devices in which predetermined data is stored. The data stored in the parameter database 2 and the vulnerability database 3 will be described in detail later.
  • the display device 4 is a device having a display screen, such as an LCD monitor.
  • the input section of the input/output interface 14 converts the signals input from the parameter database 2 and the vulnerability database 3 into data that can be calculated by the calculation device 11.
  • the output section of the input/output interface 14 generates an output signal according to the calculation result in the calculation device 11, and outputs the signal to the display device 4.
  • the diagnostic device 1 includes a time input unit 41, an instantaneous failure probability calculation unit 42, an instantaneous attack probability calculation unit 43, a probability adjustment unit 44, a discrimination unit 45, and an output unit 46.
  • the time input unit 41 inputs the diagnosis time to the instantaneous failure probability calculation unit 42 and the instantaneous attack probability calculation unit 43.
  • the instantaneous failure probability calculation unit 42 calculates the instantaneous failure probability of the device to be diagnosed at the diagnosis time.
  • the instantaneous attack probability calculation unit 43 calculates the instantaneous attack probability of the device to be diagnosed at the diagnosis time.
  • the probability adjustment unit 44 adjusts the instantaneous failure probability and the instantaneous attack probability to have the same dimension.
  • the discrimination unit 45 uses the instantaneous failure probability and the instantaneous attack probability adjusted by the probability adjustment unit 44 to discriminate whether or not there is a possibility of a cyber attack on the device to be diagnosed and whether or not there is a possibility of a failure of the device to be diagnosed.
  • the output unit 46 outputs the result of the discrimination by the discrimination unit 45 to the display device 4 and notifies the user of the content.
  • the parameter database 2 stores shape parameters 21, scale parameters 22, and position parameters 23.
  • the vulnerability database 3 stores publication date data 31 and device data 32. These data will be explained together with the processes that use the data.
  • the diagnosis of the target device by the diagnostic device 1 is realized by an instantaneous failure probability calculation process, an instantaneous attack probability calculation process, a probability adjustment process, and a discrimination process. Each of these processes will be explained in turn below.
  • [Instantaneous failure probability calculation process] 3 is a flowchart of the instantaneous failure probability calculation process executed by the instantaneous failure probability calculation unit 42.
  • the time input unit 41 inputs the diagnosis time to the instantaneous failure probability calculation unit 42.
  • the instantaneous failure probability calculation unit 42 acquires the shape parameter 21, the scale parameter 22, and the position parameter 23 from the parameter database 2. Each of these parameters is set to a predetermined value according to the number of past failures of the device to be diagnosed and the time until the failure.
  • the instantaneous failure probability calculation unit 42 substitutes the shape parameter 21, the scale parameter 22, and the position parameter 23 into the failure density function f(t).
  • the failure density function f(t) is a function that represents the failure probability of the diagnosed device over time.
  • the failure density function f(t) is a function that represents a probability distribution that changes over time.
  • the failure density function f(t) is expressed as the product of a hazard function h(t) and a reliability function R(t).
  • the hazard function h(t) is a function that represents the probability that a failure occurs in the diagnosed device at time t, regardless of whether the diagnosed device has actually failed by time t.
  • the hazard function h(t) is a conditional probability density that the diagnosed device will fail at that time under the condition that the diagnosed device has not failed until time t.
  • the shape parameter 21 is represented by the symbol m
  • the scale parameter 22 is represented by the symbol n
  • the location parameter 23 is represented by the symbol ⁇
  • the hazard function h(t) is expressed by the following equation (1).
  • h(t) m/n ⁇ (t- ⁇ )/n ⁇ (m-1)...(1)
  • the reliability function R(t) is a function that indicates the probability that no failure will occur in the device to be diagnosed until time t, and is expressed by the following equation (2).
  • the failure density function f(t) is a function that indicates the probability that a failure will first occur in the device to be diagnosed at time t, and is expressed by the following equation (3).
  • f(t) h(t) ⁇ R(t)...(3)
  • the failure density function f(t) is generally a downwardly convex function over time, such as a Weibull distribution.
  • the scale parameter 22, represented by the letter n is a parameter that determines the magnitude of the failure density function f(t), that is, the scale of the probability distribution represented by the failure density function f(t).
  • the position parameter 23, represented by the letter ⁇ , is a parameter that determines the phase of the failure density function f(t), that is, the position of the probability distribution represented by the failure density function f(t).
  • the instantaneous failure probability calculation unit 42 substitutes the shape parameter 21, the scale parameter 22, and the position parameter 23 into the failure density function f(t) of the above formula (3).
  • the instantaneous failure probability calculation unit 42 calculates the instantaneous failure probability using the failure density function f(t) after the substitution of each parameter and the diagnosis time.
  • [Instant attack probability calculation process] 4 is a flowchart of the instantaneous attack probability calculation process executed by the instantaneous attack probability calculation unit 43.
  • the time input unit 41 inputs a diagnosis time to the instantaneous attack probability calculation unit 43.
  • the instantaneous attack probability calculation unit 43 acquires the publication date data 31 and the device data 32 from the vulnerability database 3.
  • the vulnerability database 3 holds vulnerability information for the software and hardware that constitute the equipment to be diagnosed.
  • the publication date data 31 indicates the date on which vulnerability information for the software and hardware related to the equipment to be diagnosed was published.
  • the equipment data 32 indicates network connection information for the equipment to be diagnosed and program information held and used inside the equipment to be diagnosed. These data are set by collecting vulnerability information published by security-related organizations in each country in advance, for example, via the Internet.
  • the publication date data 31 is generated from vulnerability information published based on the CVSS (Common Vulnerability Scoring System), known as the Common Vulnerability Scoring System, and stored in the vulnerability database 3. Furthermore, by comparing such vulnerability information with the equipment data 32, vulnerabilities that affect the equipment to be diagnosed can be identified.
  • CVSS Common Vulnerability Scoring System
  • the instantaneous attack probability calculation unit 43 calculates a security evaluation value for the device to be diagnosed.
  • the security evaluation value is a numerical value that indicates the level of risk of the device to be diagnosed to a cyber attack, and is set to a larger value, for example, the higher the resistance of the device to be diagnosed to cyber attacks and the greater the damage that would occur if the device to be diagnosed were to be subjected to a cyber attack.
  • the instantaneous attack probability calculation unit 43 in the first embodiment calculates the security evaluation value Risk by the following equation (5).
  • Risk Impact ⁇ Likelihood...(5)
  • Impact represents the degree of influence (magnitude of influence) on the diagnosis target device
  • Likelihood represents the ease of attacking the diagnosis target device.
  • the aforementioned CVSS determines the security assessment score on the date of vulnerability disclosure as follows, based on the basic characteristics of the vulnerability itself.
  • the basic characteristics of the vulnerability itself include attack source category X, which is an index of from where the vulnerable component can be attacked, Y, which is an index of the complexity of the conditions necessary to attack the vulnerable component, privilege level Z required to attack the vulnerable component, and user involvement level W required to attack the vulnerable component, all of which measure the ease of attack.
  • attack level C on confidentiality, impact I on integrity, and impact A on availability, all of which measure the degree of impact on the device being diagnosed.
  • the instantaneous attack probability calculation unit 43 calculates the security evaluation value Risk using equation (8).
  • the instantaneous attack probability calculation unit 43 assumes a probability distribution that has the above-mentioned security evaluation value as a parameter, and determines the attack density function a(t) that represents that probability distribution.
  • the attack density function a(t) is a function that is upwardly convex with respect to time or a function that monotonically decreases, and an example of such a function is a Gaussian distribution.
  • the instantaneous attack probability calculation unit 43 in the first embodiment uses an attack density function a(t) expressed by the following equation (9).
  • a(t) 1/ ⁇ (2 ⁇ exp ⁇ -(t- ⁇ ) ⁇ 2/2 ⁇ 2 ⁇ ) ...(9)
  • ⁇ represents the mean
  • ⁇ represents the standard deviation
  • 2 ⁇ 2 represents the variance
  • step S240 the instantaneous attack probability calculation unit 43 calculates the instantaneous attack probability using the diagnosis time input in step S200 and the attack density function a(t) determined in step S230.
  • [Probability adjustment process] 5 is a flowchart of the probability adjustment process executed by the probability adjustment unit 44.
  • the probability adjustment unit 44 makes the probability distributions of failures and cyber attacks at the time of diagnosis comparable by making them into the same dimension.
  • a method using a probability distance measure is adopted as a method of making different probability distributions into the same dimension.
  • step S300 the probability adjustment unit 44 obtains the cumulative failure distribution function F(t) derived by the instantaneous failure probability calculation unit 42 in the instantaneous failure probability calculation process, and the cumulative attack distribution function A(t) derived by the instantaneous attack probability calculation unit 43 in the instantaneous attack probability calculation process.
  • step S310 the probability adjustment unit 44 calculates a probability distance measure between the cumulative failure distribution function F(t) and the cumulative attack distribution function A(t).
  • the probability distance measure means the distance between different probability distributions (for example, a Weibull distribution and a Gaussian distribution), such as the Kullback-Leibler divergence.
  • the probability distance measure DKL is calculated by the following formula (11). DKL(F(t)
  • A(t)) ⁇ F(t)log ⁇ A(t)/F(t) ⁇ dt...(11) In this manner, in the first embodiment, the Kullback-Leibler divergence is adopted as the probabilistic distance measure.
  • step S320 the probability adjustment unit 44 calculates the adjusted instantaneous failure probability and adjusted instantaneous attack probability at the diagnosis time.
  • the probability adjustment unit 44 multiplies the instantaneous failure probability at the diagnosis time (the value calculated in step S130 of FIG. 3) by the probability distance measure calculated in step S310 to obtain the adjusted instantaneous failure probability.
  • the probability adjustment unit 44 multiplies the instantaneous attack probability at the diagnosis time (the value calculated in step S240 of FIG. 4) by the probability distance measure calculated in step S310 to obtain the adjusted instantaneous attack probability.
  • the adjusted instantaneous failure probability and the adjusted instantaneous attack probability can be calculated by the following equations (12) and (13).
  • F'(t) DKL(F(t)
  • A'(t) DKL(F(t)
  • step S330 the probability adjustment unit 44 outputs the adjusted instantaneous failure probability F'(t) and the adjusted instantaneous attack probability A'(t) at the diagnosis time t1 calculated in step S320 to the discrimination unit 45.
  • FIG. 6 is a graph illustrating the adjusted instantaneous failure probability F'(t) and the adjusted instantaneous attack probability A'(t).
  • reference numeral 62 denotes the adjusted instantaneous failure probability F'(t)
  • reference numeral 63 denotes the adjusted instantaneous attack probability A'(t).
  • the horizontal axis denotes the elapsed time t
  • the vertical axis denotes the respective probabilities at the elapsed time.
  • the elapsed time t on the horizontal axis is divided into three phases: initial operation, mid-term operation, and final operation. These phases refer to the phases after the equipment to be diagnosed is introduced and operation begins.
  • the initial operation phase represents the period immediately after the equipment to be diagnosed is put into operation
  • the mid-term operation phase represents the period after operation is on track
  • the final operation phase represents the final stage of operation.
  • Reference numeral 60 represents the date and time when a vulnerability was discovered in the equipment to be diagnosed
  • reference numeral 61 represents the time when the diagnosis was performed by the diagnosis device 1 (diagnosis time t1).
  • Reference numeral 64 denotes the adjusted instantaneous failure probability F'(t) at the diagnosis time
  • [Discrimination process] 7 is a flowchart of the discrimination process executed by the discrimination unit 45.
  • the discrimination unit 45 outputs the presence or absence of a breakdown and a cyber attack by comparing the adjusted instantaneous failure probability F'(t) and the adjusted instantaneous attack probability A'(t) output by the probability adjustment unit 44 with predetermined thresholds f and a, respectively.
  • the predetermined threshold f is a value based on the failure density function f(t)
  • the predetermined threshold a is a value based on the attack density function a(t).
  • These thresholds f and a may be statistical values such as the mode, average, and median of the failure density function f(t) and the attack density function a(t), or may be values designated by the designer of the diagnostic device 1 separately from these statistical values.
  • step S400 the discrimination unit 45 compares the value of the adjusted instantaneous failure probability F'(t) with a threshold value f. If the value of the adjusted instantaneous failure probability F'(t) is equal to or greater than the threshold value f, the process proceeds to step S410. In step S410, the discrimination unit 45 compares the value of the adjusted instantaneous attack probability A'(t) with a threshold value a. If the value of the adjusted instantaneous attack probability A'(t) is equal to or greater than the threshold value a, the process proceeds to step S420. In step S420, the discrimination unit 45 determines that it is highly likely that both a failure and a cyber attack have occurred simultaneously.
  • step S410 If the value of the adjusted instantaneous attack probability A'(t) is less than the threshold value a in step S410, the process proceeds to step S430.
  • step S430 the discrimination unit 45 determines that it is highly likely that a failure has occurred. If the value of the adjusted instantaneous failure probability F'(t) is less than the threshold value f in step S400, the process proceeds to step S440.
  • step S440 the discrimination unit 45 compares the value of the adjusted instantaneous attack probability A'(t) with the threshold value a. If the value of the adjusted instantaneous attack probability A'(t) is equal to or greater than the threshold value a, the process proceeds to step S450.
  • step S450 the discrimination unit 45 determines that there is a high possibility that a cyber-attack has occurred. If the value of the adjusted instantaneous attack probability A'(t) is less than the threshold value a in step S440, the process proceeds to step S460. In step S460, the discrimination unit 45 determines that there is a low possibility that a malfunction has occurred and that a cyber-attack has occurred, i.e., the diagnosis target device is in a normal state.
  • the process proceeds to step S440, and since the adjusted instantaneous attack probability A'(t) is less than the threshold value a, the process proceeds to step S460.
  • the discrimination unit 45 determines that the device to be diagnosed is in a normal state (no failure has occurred and no cyber attack has been performed).
  • FIG. 8 is a schematic diagram illustrating an example of a display screen of the display device 4.
  • the output unit 46 outputs the result of the determination by the determination unit 45, i.e., the diagnosis result, to the display device 4. Based on this diagnosis result, the display device 4 displays a screen such as the example shown in FIG. 8.
  • the diagnosis graph display area 93 displays the failure probability distribution and attack probability distribution up to the diagnosis time, and for example, the probability distribution is displayed as in the graph illustrated in FIG. 6.
  • the re-diagnosis button 94 is a button for executing a re-diagnosis. By pressing the re-diagnosis button 94, the diagnosis of the device to be diagnosed at the time the button was pressed is executed again, and the result of the re-diagnosis can be displayed on the display screen of the display device 4.
  • the instantaneous attack probability calculation unit 43 calculates the instantaneous attack probability, which is the probability that a cyber-attack was carried out on the equipment to be diagnosed at the diagnosis time (predetermined time), and the instantaneous failure probability calculation unit 42 (arithmetic device) calculates the instantaneous failure probability, which is the probability that a failure occurred in the equipment to be diagnosed at the diagnosis time (predetermined time).
  • the discrimination unit 45 determines whether or not there has been a cyber-attack on the equipment to be diagnosed and whether or not there is a failure in the equipment to be diagnosed at the diagnosis time (predetermined time) based on the instantaneous attack probability and the instantaneous failure probability.
  • the instantaneous attack probability calculation unit 43 calculates the instantaneous attack probability using an attack density function a(t) (first probability distribution) that represents a time-varying probability distribution.
  • the instantaneous failure probability calculation unit 42 calculates the instantaneous failure probability using a failure density function f(t) (second probability distribution) that represents a time-varying probability distribution and is different from the attack density function a(t) (first probability distribution). In this way, it is possible to independently determine whether or not a cyber attack has occurred and whether or not a failure has occurred, without one being affected by the other.
  • the instantaneous failure probability calculation unit 42 calculates the instantaneous failure probability using at least one of the shape parameter 21, scale parameter 22, and position parameter 21, which represent the shape, scale, and position characteristics of the probability distribution of the probability that the diagnosed device will fail. This makes it possible to accurately determine whether or not the diagnosed device is failing.
  • the probability adjustment unit 44 (calculation device) adjusts the instantaneous attack probability and instantaneous failure probability to have the same dimension. This makes it possible to determine the threshold values for comparing the instantaneous attack probability and instantaneous failure probability on a common scale, making it easy to set the threshold values.
  • the output unit 46 causes the display device 4 to display the presence or absence of a cyber attack on the device to be diagnosed as determined by the discrimination unit 45 (computing device), and the presence or absence of a malfunction in the device to be diagnosed as determined by the discrimination unit 45 (computing device). This allows the user of the diagnostic device 1 to accurately understand the diagnosis results.
  • FIG. 9 is a block diagram similar to FIG. 2, showing the functional configuration of a diagnostic device 100 according to the second embodiment.
  • the diagnostic device 100 includes a maintenance risk assessment value calculation unit 47.
  • the maintenance risk assessment value calculation unit 47 calculates a maintenance risk assessment value, which is a numerical value that quantifies the risk associated with the maintenance of the device to be diagnosed.
  • a maintenance inspection database 5 is connected to the diagnostic device 100.
  • the maintenance and inspection database 5 stores maintenance and inspection data 51, maintenance worker data 52, and operation log data 53.
  • Maintenance and inspection data 51 is, for example, information regarding the date and location of a maintenance worker's maintenance and inspection of the equipment to be diagnosed.
  • Maintenance worker data 52 is information regarding the maintenance worker himself, such as the maintenance worker's age and years of service.
  • Operation log data 53 is, for example, information regarding maintenance time and the number of operation commands.
  • the maintenance risk assessment value L is expressed by the following formula (14).
  • L T ⁇ C...(14)
  • T represents the ratio of the actual operation time to the specified operation time
  • C represents the ratio of the number of actual operation commands to the specified number of operation commands.
  • the maintenance personnel's degree of familiarity with the operations can be quantitatively measured. For example, if C is greater than 1, it can be determined that the maintenance personnel is not familiar with maintenance operations, and if C is less than 1, it can be determined that the maintenance personnel is familiar with maintenance operations. Similarly, for T, if T is greater than 1, it can be determined that the maintenance personnel is not familiar with maintenance operations, and if T is less than 1, it can be determined that the maintenance personnel is familiar with maintenance operations.
  • FIG. 10 is a diagram similar to FIG. 4, and is a flowchart of the instantaneous attack probability calculation process executed by the instantaneous attack probability calculation unit 43.
  • the process of step S225 is added between steps S220 and S230 of the flowchart of FIG. 4.
  • the instantaneous attack probability calculation unit 43 adds the maintenance risk assessment value calculated by the maintenance risk assessment value calculation unit 47 to the security assessment value determined in step S220. As a result, subsequent processes targeting the security assessment value take into account the maintenance risk assessment value.
  • the security evaluation value is determined by the degree of impact (magnitude of impact) on the diagnosed device, Impact, and the likelihood of attack on the diagnosed device.
  • the maintenance risk evaluation value is reflected in the likelihood of attack among these values.
  • Likelihood is a value based on the attack source category X, the complexity of the attack conditions Y, the required privilege level Z, and the required user involvement level W.
  • the instantaneous attack probability calculation unit 43 adds (reflects) the maintenance risk evaluation value to the security evaluation value by varying the values of the attack source category X and the required privilege level Z according to the maintenance risk evaluation value. For example, the larger the maintenance risk evaluation value, the higher the values of the attack source category X and the required privilege level Z, and the smaller the maintenance risk evaluation value, the lower the values of the attack source category X and the required privilege level Z.
  • the method of adding the maintenance risk assessment value to the security assessment value is not limited to the above method.
  • the maintenance risk assessment value may be evaluated on the same 10-point scale as the security risk assessment value, and added to the security risk assessment value.
  • FIG. 11 is a graph similar to FIG. 6, illustrating the adjusted instantaneous failure probability F'(t) and the adjusted instantaneous attack probability A'(t).
  • Reference numeral 1360 represents the adjusted instantaneous failure probability F'(t)
  • reference numeral 1370 represents the adjusted instantaneous attack probability A'(t).
  • the horizontal axis represents the elapsed time t
  • the vertical axis represents the respective probabilities at the elapsed time.
  • Reference numeral 1300 represents the date and time when a vulnerability was discovered in the device to be diagnosed
  • reference numeral 1310 represents the time when the diagnosis was performed by the diagnosis device 1 (diagnosis time t1).
  • Reference numeral 1330 represents the adjusted instantaneous attack probability A'(t) without taking into account the maintenance risk evaluation value at the diagnosis time
  • reference numeral 1340 represents the adjusted instantaneous attack probability A'(t) with the maintenance risk evaluation value at the diagnosis time taken into account
  • Reference numeral 1350 represents the adjusted instantaneous failure probability F'(t) at the diagnosis time.
  • the discrimination unit 45 first determines that the possibility of failure is low because F'(t) is smaller than f. Then, the discrimination unit 45 determines that the possibility of a cyber attack is high because A'(t) is equal to or greater than a. As a result, the diagnosis result is that the possibility of a cyber attack is high. In this way, the adjusted instantaneous attack probability A'(t) becomes larger by taking into account the maintenance risk assessment value, and as a result, the diagnosis result changes from the content described in Figure 6.
  • the instantaneous attack probability calculation unit 43 calculates the instantaneous attack probability using a maintenance risk assessment value based on at least one of the following: maintenance inspection data 51, which is information related to the maintenance inspection of the device to be diagnosed; maintenance staff data 52, which is information related to the maintenance staff who perform the maintenance inspection of the device to be diagnosed; and operation log data 53, which is information related to the operation log of operations performed during the maintenance inspection of the device to be diagnosed. In this way, it becomes possible to perform a diagnosis that takes into account the life cycle of the device to be diagnosed.
  • FIG. 12 is a block diagram similar to FIG. 2, showing the functional configuration of a diagnostic device 200 according to the third embodiment.
  • a physical information database 7 and an access information database 8 are connected to the diagnostic device 200.
  • the physical information database 7 stores temperature data 71, humidity data 72, and vibration data 73.
  • the temperature data 71 is data relating to the temperature of the environment of the device to be diagnosed, for example, whether the device to be diagnosed is operating at high temperature or under cooling.
  • the humidity data 72 is data relating to the humidity of the environment of the device to be diagnosed, for example, whether the environment in which the device to be diagnosed is installed is humid or low.
  • the vibration data 73 is data relating to the magnitude of vibration in the environment in which the device to be diagnosed is installed.
  • the physical information database 7 may also store data relating to the wind (air volume and wind speed), radioactivity, dust, etc. in the environment of the device to be diagnosed.
  • the access information database 8 stores physical access data 81 and network data 82.
  • the physical access data 81 is data on the security status of the installation location of the diagnosis target device, i.e., data indicating the physical safety of the environment in which the diagnosis target device is installed, such as data that the room in which the diagnosis target device is installed is locked, or that physical security has been established such that only specific people can enter, or that the diagnosis target device is secured with a wire lock or the like.
  • the network data 82 is data on the security status of the path to access the diagnosis target device from the outside via the network, i.e., data indicating the ease of intrusion into the diagnosis target device from the outside, such as debug port information and shell information of the diagnosis target device, and port information used for network communication.
  • the instantaneous failure probability calculation unit 42 of the third embodiment calculates the instantaneous failure probability using not only the various parameters in the parameter database 2 but also the various data in the physical information database 7.
  • the instantaneous attack probability calculation unit 43 of the third embodiment calculates the instantaneous attack probability using not only the various data in the vulnerability database 3 but also the various data in the access information database 8.
  • Reference numeral 13 is a graph similar to FIG. 6, illustrating the adjusted instantaneous failure probability F'(t) and the adjusted instantaneous attack probability A'(t).
  • Reference numeral 1550 denotes the adjusted instantaneous failure probability F'(t)
  • reference numeral 1540 denotes the adjusted instantaneous attack probability A'(t).
  • the horizontal axis denotes the elapsed time t
  • the vertical axis denotes the respective probabilities at the elapsed time.
  • Reference numeral 1500 denotes the date and time when a vulnerability was discovered in the device to be diagnosed
  • reference numeral 1510 denotes the time when the diagnosis was performed by the diagnosis device 200 (diagnosis time t1).
  • Reference numeral 1530 denotes the adjusted instantaneous failure probability F'(t) taking into account various data in the physical information database 7 at the diagnosis time
  • reference numeral 1520 denotes the adjusted instantaneous attack probability A'(t) taking into account various data in the access information database 8 at the diagnosis time.
  • the discrimination unit 45 first determines that there is a high possibility of a malfunction because F'(t) is greater than or equal to f. Then, the discrimination unit 45 determines that there is a low possibility of a cyber attack because A'(t) is less than a. This results in the diagnosis being that there is a high possibility of a malfunction. In this way, the diagnosis result has changed from the content described in Figure 6 due to the addition of physical factors and security factors due to external access.
  • the instantaneous failure probability calculation unit 42 calculates the instantaneous failure probability using the physical information database 7, which contains information about at least one of the following physical environment in which the device to be diagnosed operates: temperature, humidity, vibration, wind, radioactivity, and dust. This improves the accuracy of the instantaneous failure probability, making it possible to more accurately diagnose the presence or absence of a failure.
  • the instantaneous attack probability calculation unit 43 calculates the instantaneous attack probability using physical access data 81, which is information about the security status of the installation location of the diagnosis target device, and network data 82, which is information about the security status of the path for accessing the diagnosis target device from the outside via a network.
  • physical access data 81 which is information about the security status of the installation location of the diagnosis target device
  • network data 82 which is information about the security status of the path for accessing the diagnosis target device from the outside via a network.
  • the cumulative failure distribution function F(t) may be different from that described in formula (4).
  • the cumulative failure distribution function F(t) may be calculated using a reliability function R(t) instead of the failure density function f(t).
  • the cumulative failure distribution function F(t) may be defined as 1-R(t), and the instantaneous failure probability may be calculated in the form of 1-R(t1) using the diagnosis time t1.
  • a function having various parameters in the parameter database 2 and time as variables may be calculated in advance from the characteristics of the device to be diagnosed, and the diagnosis time t1 may be substituted into the function to calculate the probability.
  • the security evaluation value Risk may be different from that described in formula (8).
  • the security evaluation value Risk may be calculated by taking into account the current severity of the vulnerability in addition to the basic characteristics of the vulnerability itself, or by using the final vulnerability including the user's usage environment.
  • ⁇ Modification 3> the Weibull distribution is used as an example of the failure density function f(t) and the Gaussian distribution is used as an example of the attack density function a(t), but the types of probability distributions are not limited to these. Other probability distributions may be used as the failure density function f(t) and the attack density function a(t).
  • the calculation method of the adjusted instantaneous failure probability F'(t) and the adjusted instantaneous attack probability A'(t) may be different from that exemplified in the formula (12) and the formula (13).
  • the adjusted instantaneous failure probability F'(t) and the adjusted instantaneous attack probability A'(t) may be calculated by multiplying the calculated distance scale by the failure density function f(t) and the attack density function a(t) and integrating the result from time 0 to the diagnosis time t1.
  • the instantaneous failure probability and the instantaneous attack probability are made to have the same dimension using the probability distance scale shown in the formula (11), but the instantaneous failure probability and the instantaneous attack probability may be made comparable by other methods.
  • ⁇ Modification 5> The data stored in the various databases described above (parameter database 2, vulnerability database 3, maintenance and inspection database 5, physical information database 7, and access information database 8) may be different from the data described above. In addition, the method of using the data may also be different from that of each of the above-mentioned embodiments.

Landscapes

  • Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Testing And Monitoring For Control Systems (AREA)

Abstract

診断装置が備える演算装置は、診断対象機器に対して所定の時刻にサイバー攻撃が実施された確率である瞬間攻撃確率を算出し、診断対象機器において所定の時刻に故障が生じた確率である瞬間故障確率を算出し、瞬間攻撃確率と瞬間故障確率とに基づき、所定の時刻における、診断対象機器に対するサイバー攻撃の有無および診断対象機器における故障の有無を判定する。

Description

診断装置および診断方法
　本発明は、診断装置および診断方法に関する。
　安定した稼働が求められる制御システムは、機器の故障とサイバー攻撃の両方に対処を行う必要がある。機器の状態を正常と異常の二値で診断する、いわゆる二値診断には、異常をサイバー攻撃と機器の故障に判別することができない、正常と思われるサイバー攻撃を判別できない、等の問題がある。特許文献１には、機器の状態を二値診断以外で診断する診断方法が記載されている。
特開２０１９－１９４８３０号公報
　特許文献１に記載の技術では、サイバー攻撃を受けている確率と機器が故障した確率の相互に依存関係があるため、正確な診断ができないという問題があった。
　本発明は、サイバー攻撃の有無および機器の故障の有無を適切に判別可能な診断装置および診断方法の提供を目的とする。
　本発明の一態様による診断装置は、演算装置を備え、前記演算装置は、診断対象機器に対して所定の時刻にサイバー攻撃が実施された確率である瞬間攻撃確率を算出し、前記診断対象機器において前記所定の時刻に故障が生じた確率である瞬間故障確率を算出し、前記瞬間攻撃確率と前記瞬間故障確率とに基づき、前記所定の時刻における、前記診断対象機器に対するサイバー攻撃の有無および前記診断対象機器における故障の有無を判定する。
　本発明によれば、サイバー攻撃の有無および機器の故障の有無を適切に判別できる。
図１は、第１実施形態に係る診断装置のハードウェア構成を模式的に示すブロック図である。 図２は、第１実施形態に係る診断装置の機能構成を示すブロック図である。 図３は、瞬間故障確率算出部が実行する瞬間故障確率算出処理のフローチャートである。 図４は、瞬間攻撃確率算出部が実行する瞬間攻撃確率算出処理のフローチャートである。 図５は、確率調整部が実行する確率調整処理のフローチャートである。 図６は、調整後瞬間故障確率および調整後瞬間攻撃確率を例示するグラフである。 図７は、判別部が実行する判別処理のフローチャートである。 図８は、表示装置の表示画面を例示する模式図である。 図９は、第２実施形態に係る診断装置の機能構成を示すブロック図である。 図１０は、瞬間攻撃確率算出部が実行する瞬間攻撃確率算出処理のフローチャートである。 図１１は、調整後瞬間故障確率および調整後瞬間攻撃確率を例示するグラフである。 図１２は、第３実施形態に係る診断装置の機能構成を示すブロック図である。 図１３は、調整後瞬間故障確率および調整後瞬間攻撃確率を例示するグラフである。
　図１～図８を参照して、本発明の実施形態に係る診断装置について説明する。
　＜第１実施形態＞
　図１は、第１実施形態に係る診断装置１のハードウェア構成を模式的に示すブロック図である。診断装置１は、不図示の診断対象機器（例えば制御システムに含まれる制御装置等）の健全性を診断し、診断結果をユーザに報知する装置である。ユーザは任意のタイミング（例えば毎日の特定の時刻等）で診断装置１を用いて診断対象機器の診断を行い、診断結果を参照して診断対象機器に必要な処置を施すことができる。
　診断装置１は、ＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processing Unit）、ＤＳＰ（Digital Signal Processor）等の演算装置１１、ＲＯＭ（Read Only Memory）、フラッシュメモリ、ハードディスクドライブ等の不揮発性メモリ１２、所謂ＲＡＭ（Random Access Memory）と呼ばれる揮発性メモリ１３、入出力インタフェース１４、および、その他の周辺回路を備えたコンピュータで構成される。これらのハードウェアは、協働してソフトウェアを動作させ、複数の機能を実現する。なお、診断装置１は、１つのコンピュータで構成してもよいし、複数のコンピュータで構成してもよい。また、演算装置１１としては、ＡＳＩＣ（application specific integrated circuit）、ＦＰＧＡ（Field Programmable Gate Array）などを用いることができる。
　不揮発性メモリ１２には、各種演算が実行可能なプログラムが格納されている。すなわち、不揮発性メモリ１２は、本実施形態の機能を実現するプログラムを読み取り可能な記憶媒体（記憶装置）である。揮発性メモリ１３は、演算装置１１による演算結果および入力インタフェース１４から入力された信号を一時的に記憶する記憶媒体（記憶装置）である。演算装置１１は、不揮発性メモリ１２に記憶されたプログラムを揮発性メモリに展開して演算実行する装置であって、プログラムに従って入出力インタフェース１４、不揮発性メモリ１２および揮発性メモリ１３から取り入れたデータに対して所定の演算処理を行う。
　診断装置１は、入出力インタフェース１４を介して、パラメータデータベース２、脆弱性データベース３、および表示装置４に接続される。パラメータデータベース２および脆弱性データベース３は、所定のデータが格納された記憶装置である。パラメータデータベース２および脆弱性データベース３に格納されるデータについては後に詳述する。表示装置４は、例えば液晶モニタ等の表示画面を有する装置である。
　入出力インタフェース１４の入力部は、パラメータデータベース２および脆弱性データベース３から入力された信号を演算装置１１で演算可能なデータに変換する。また、入出力インタフェース１４の出力部は、演算装置１１での演算結果に応じた出力用の信号を生成し、その信号を表示装置４に出力する。
　図２は、第１実施形態に係る診断装置１の機能構成を示すブロック図である。診断装置１は、時刻入力部４１、瞬間故障確率算出部４２、瞬間攻撃確率算出部４３、確率調整部４４、判別部４５、および出力部４６を備える。時刻入力部４１は、瞬間故障確率算出部４２および瞬間攻撃確率算出部４３に診断時刻を入力する。瞬間故障確率算出部４２は、診断時刻における診断対象機器の瞬間故障確率を算出する。瞬間攻撃確率算出部４３は、診断時刻における診断対象機器の瞬間攻撃確率を算出する。確率調整部４４は、瞬間故障確率および瞬間攻撃確率を同次元化する調整を実施する。判別部４５は、確率調整部４４により調整された瞬間故障確率および瞬間攻撃確率を用いて、診断対象機器へのサイバー攻撃の可能性の有無、および、診断対象機器の故障の可能性の有無を判別する。出力部４６は、判別部４５による判別の結果を表示装置４に出力し、その内容をユーザに報知する。
　パラメータデータベース２には、形状パラメータ２１、尺度パラメータ２２、および位置パラメータ２３が格納される。また、脆弱性データベース３には、公開日データ３１、および機器データ３２が格納される。これらのデータについては当該データを使用する処理と合わせて説明する。
　診断装置１による診断対象機器の診断は、瞬間故障確率算出処理、瞬間攻撃確率算出処理、確率調整処理、および判別処理により実現される。以下、これらの処理について順に説明する。
　［瞬間故障確率算出処理］
　図３は、瞬間故障確率算出部４２が実行する瞬間故障確率算出処理のフローチャートである。ステップＳ１００において、時刻入力部４１が瞬間故障確率算出部４２に診断時刻を入力する。ステップＳ１１０において、瞬間故障確率算出部４２がパラメータデータベース２から形状パラメータ２１、尺度パラメータ２２、および位置パラメータ２３を取得する。これらの各パラメータは、診断対象機器の過去の故障回数や故障に至るまでの時間に応じて、あらかじめ決まった値が設定される。ステップＳ１２０において、瞬間故障確率算出部４２が故障密度関数ｆ（ｔ）に形状パラメータ２１、尺度パラメータ２２、および位置パラメータ２３を代入する。
　故障密度関数ｆ（ｔ）は、時間の経過に対する診断対象機器の故障確率を表す関数である。すなわち故障密度関数ｆ（ｔ）は、時間変化する確率分布を表す関数である。故障密度関数ｆ（ｔ）は、ハザード関数ｈ（ｔ）と信頼度関数Ｒ（ｔ）の積で表現される。ここで変数ｔは診断対象機器の稼働時間を表し、ｔ＝０は診断対象機器が稼働を開始した時刻に対応する。ハザード関数ｈ（ｔ）は、診断対象機器が時刻ｔまでに実際に故障したことがあるか否かに関係なく、時刻ｔの時点で診断対象機器に故障が発生する確率を表す関数である。換言すると、ハザード関数ｈ（ｔ）は、診断対象機器が時刻ｔまで故障しなかったという条件のもとで、その時刻に診断対象機器が故障する条件付き確率密度である。形状パラメータ２１をｍ、尺度パラメータ２２をｎ、位置パラメータ２３をΓという記号でそれぞれ表すと、ハザード関数ｈ（ｔ）は次式（１）で表される。
  ｈ（ｔ）＝ｍ／ｎ・｛（ｔ－Γ）／ｎ｝＾（ｍ－１）　　・・・（１）
  信頼度関数Ｒ（ｔ）は、診断対象機器に時刻ｔまで故障が起こらない確率を表す関数であり、次式（２）で表される。
  Ｒ（ｔ）＝Ｅｘｐ｛－（ｔ－Γ／ｎ）＾ｍ｝　　　・・・（２）
  故障密度関数ｆ（ｔ）は、診断対象機器に時刻ｔで最初に故障が起こる確率を表す関数であり、次式（３）で表される。
  ｆ（ｔ）＝ｈ（ｔ）・Ｒ（ｔ）　　　・・・（３）
  故障密度関数ｆ（ｔ）は、例えばワイブル分布のように、一般に時間経過に伴い下に凸の関数となる。
　文字ｍで表した形状パラメータ２１は、故障密度関数ｆ（ｔ）の時間経過に伴う増減、すなわち故障密度関数ｆ（ｔ）が表す確率分布の形状を定めるパラメータである。例えばｍ＜１のとき、故障密度関数ｆ（ｔ）は時間経過に従って減少する形状となる。またｍ＞１のとき、故障密度関数ｆ（ｔ）は時間経過に従って増加する形状となる。またｍ＝０のとき、故障確率は時間経過によらず一定になる。文字ｎで表した尺度パラメータ２２は、故障密度関数ｆ（ｔ）の大小、すなわち故障密度関数ｆ（ｔ）が表す確率分布の尺度を定めるパラメータである。例えばｎ＝１の時の故障密度関数ｆ（ｔ）の最大値は、ｎ＝２の時の故障密度関数ｆ（ｔ）の最大値の２倍となる。文字Γで表した位置パラメータ２３は、故障密度関数ｆ（ｔ）の位相、すなわち故障密度関数ｆ（ｔ）が表す確率分布の位置を定めるパラメータである。例えばΓ＝２の時の故障密度関数ｆ（ｔ）の横軸上の初期位置は、Γ＝０の時の故障密度関数ｆ（ｔ）の初期位置と比べ２だけ平行移動している。
　図３のステップＳ１２０において、瞬間故障確率算出部４２が上式（３）の故障密度関数ｆ（ｔ）に形状パラメータ２１、尺度パラメータ２２、および位置パラメータ２３を代入する。続くステップＳ１３０において瞬間故障確率算出部４２は、各パラメータを代入した後の故障密度関数ｆ（ｔ）と診断時刻とを用いて、瞬間故障確率を算出する。次式（４）のように定義される累積故障分布関数Ｆ（ｔ）を導入する。
  Ｆ（ｔ）＝∫ｆ（ｔ）ｄｔ　　・・・（４）
  診断時刻をｔ１とすると、瞬間故障確率算出部４２は累積故障分布関数Ｆ（ｔ）をｔ＝０からｔ＝ｔ１まで時間積分することにより瞬間故障確率を算出する。
　［瞬間攻撃確率算出処理］
　図４は、瞬間攻撃確率算出部４３が実行する瞬間攻撃確率算出処理のフローチャートである。ステップＳ２００において、時刻入力部４１が瞬間攻撃確率算出部４３に診断時刻を入力する。ステップＳ２１０において、瞬間攻撃確率算出部４３が脆弱性データベース３から公開日データ３１および機器データ３２を取得する。
　脆弱性データベース３は、診断対象機器を構成するソフトウェアやハードウェアの脆弱性情報を保持する。公開日データ３１は、診断対象機器に関連するソフトウェアやハードウェアの脆弱性情報が公開された日付を示す。機器データ３２は、診断対象機器のネットワーク接続情報や診断対象機器の内部で保持および使用しているプログラム情報を示す。これらのデータは、例えば各国のセキュリティ関連団体が公開している脆弱性情報をインターネットなどを用いて予め収集して設定される。例えば、共通脆弱性評価システムとして知られるＣＶＳＳ（Common Vulnerability Scoring System）に基づき公表されている脆弱性情報から公開日データ３１を生成して脆弱性データベース３に格納する。また、そのような脆弱性情報を機器データ３２と比較することで、診断対象機器に影響のある脆弱性を特定することができる。
　ステップＳ２２０において、瞬間攻撃確率算出部４３が診断対象機器のセキュリティ評価値を算出する。セキュリティ評価値は、診断対象機器のサイバー攻撃に対するリスクの高さを表す数値であり、例えば診断対象機器のサイバー攻撃への耐性が高いほど、診断対象機器がサイバー攻撃を受けたときの被害が大きいほど、その値は大きくなるように設定する。
　第１実施形態の瞬間攻撃確率算出部４３は、セキュリティ評価値Ｒｉｓｋを次式（５）により算出する。
  Ｒｉｓｋ＝Ｉｍｐａｃｔ・Ｌｉｋｅｌｉｈｏｏｄ　　　・・・（５）
  ここで、Ｉｍｐａｃｔは、診断対象機器への影響度合い（影響の大きさ）を表し、Ｌｉｋｅｌｉｈｏｏｄは、診断対象機器への攻撃容易性を表している。
　例えば、前述したＣＶＳＳでは脆弱性公開日におけるセキュリティ評価値を脆弱性そのものの基本特性から以下のように定めている。脆弱性そのものの基本特性には、攻撃容易性を測るものとして、脆弱性のあるコンポーネントをどこから攻撃可能であるかの指標である攻撃元区分Ｘ、脆弱性のあるコンポーネントを攻撃する際に必要な条件の複雑さの指標であるＹ、脆弱性のあるコンポーネントを攻撃する際に必要な特権レベルＺ、脆弱性のあるコンポーネントを攻撃する際に必要なユーザ関与レベルＷがある。また、診断対象機器への影響度合を測るものとして、機密性への影響レベルＣや完全性への影響Ｉ、可用性への影響Ａがある。
　ここでＩｍｐａｃｔは可用性Ａ、完全性Ｉ、機密性Ｃを用いて次式（６）のように表すことができる。
  Ｉｍｐａｃｔ＝１－（１－Ａ）×（１－Ｉ）×（１－Ｃ）　　・・・（６）
  またＬｉｋｅｌｉｈｏｏｄは、攻撃元区分Ｘ、攻撃条件の複雑さＹ、必要な特権レベルＺ、必要なユーザ関与レベルＷを用いて、次式（７）のように表すことができる。
  Ｌｉｋｅｌｉｈｏｏｄ＝８．２２×Ｘ×Ｙ×Ｚ×Ｗ　　・・・（７）
  式（５）に式（６）と式（７）を代入し、セキュリティ評価値Ｒｉｓｋを算出する次式（８）を得る。
  Ｒｉｓｋ＝（１－（１－Ａ）×（１－Ｉ）×（１－Ｃ））×８．２２×Ｘ×Ｙ×Ｚ×Ｗ　　・・・（８）
  図４のステップＳ２２０において、瞬間攻撃確率算出部４３は、式（８）を用いてセキュリティ評価値Ｒｉｓｋを算出する。
　ステップＳ２３０において、瞬間攻撃確率算出部４３が攻撃密度関数ａ（ｔ）を決定する。攻撃密度関数ａ（ｔ）は、時刻ｔで最初にサイバー攻撃を受ける確率を表す関数である。すなわち攻撃密度関数ａ（ｔ）は、時間変化する確率分布を表す関数である。攻撃密度関数ａ（ｔ）は、故障密度関数ｆ（ｔ）とは個別に（独立に）設定されるので、通常、両者には相関がない。換言すると、攻撃密度関数ａ（ｔ）および故障密度関数ｆ（ｔ）は、それぞれ異なる確率分布を表す関数である。瞬間攻撃確率算出部４３は、前述したセキュリティ評価値をパラメータとして持つ確率分布を想定し、その確率分布を表す攻撃密度関数ａ（ｔ）を決定する。例えば攻撃密度関数ａ（ｔ）は、時間に対して上に凸の関数や単調に減少する関数などであり、そのような関数としてはガウス分布などが挙げられる。
　第１実施形態の瞬間攻撃確率算出部４３は、次式（９）で表現される攻撃密度関数ａ（ｔ）を用いる。
  ａ（ｔ）＝１／√（２πσｅｘｐ｛－（ｔ－μ）＾２／２σ＾２｝）　　・・・（９）
  ここでμは平均を、σは標準偏差を、２σ＾２は分散を表す。
　ステップＳ２４０において瞬間攻撃確率算出部４３は、ステップＳ２００で入力された診断時刻とステップＳ２３０で決定した攻撃密度関数ａ（ｔ）とを用いて、瞬間攻撃確率を算出する。次式（１０）のように定義される累積攻撃分布関数Ａ（ｔ）を導入する。
  Ａ（ｔ）＝∫ａ（ｔ）ｄｔ　　・・・（１０）
  診断時刻をｔ１とすると、瞬間攻撃確率算出部４３は累積攻撃分布関数Ａ（ｔ）をｔ＝０からｔ＝ｔ１まで時間積分することにより瞬間攻撃確率を算出する。
　［確率調整処理］
　図５は、確率調整部４４が実行する確率調整処理のフローチャートである。確率調整処理において確率調整部４４は、診断時刻における故障とサイバー攻撃それぞれの確率分布を同次元化して比較可能にする。第１実施形態では、異なる確率分布を同次元化する方法として、確率距離尺度を用いる方法を採用している。
　ステップＳ３００において確率調整部４４は、瞬間故障確率算出部４２が瞬間故障確率算出処理で導出した累積故障分布関数Ｆ（ｔ）と、瞬間攻撃確率算出部４３が瞬間攻撃確率算出処理で導出した累積攻撃分布関数Ａ（ｔ）と、を取得する。ステップＳ３１０において確率調整部４４は、累積故障分布関数Ｆ（ｔ）と累積攻撃分布関数Ａ（ｔ）との間の確率距離尺度を算出する。
　確率距離尺度は、例えばカルバック＆ライブラー情報量など、異なる確率分布（例えばワイブル分布とガウス分布）間の距離を意味する。確率距離尺度ＤＫＬは次式（１１）により算出される。
  ＤＫＬ（Ｆ（ｔ）｜｜Ａ（ｔ））＝∫Ｆ（ｔ）ｌｏｇ｛Ａ（ｔ）／Ｆ（ｔ）｝ｄｔ　　・・・（１１）
  このように、第１実施形態では確率距離尺度としてカルバック＆ライブラー情報量を採用する。
　ステップＳ３２０において確率調整部４４は、診断時刻における調整後瞬間故障確率および調整後瞬間攻撃確率を算出する。確率調整部４４は、診断時刻における瞬間故障確率（図３のステップＳ１３０で算出した値）にステップＳ３１０で算出した確率距離尺度を乗算し、調整後瞬間故障確率とする。同様に確率調整部４４は、診断時刻における瞬間攻撃確率（図４のステップＳ２４０で算出した値）にステップＳ３１０で算出した確率距離尺度を乗算し、調整後瞬間攻撃確率とする。
　例えば、調整後瞬間故障確率をＦ’（ｔ）、調整後瞬間攻撃確率をＡ’（ｔ）とすると、調整後瞬間故障確率および調整後瞬間攻撃確率は次式（１２）、（１３）により算出できる。
  Ｆ’（ｔ）＝ＤＫＬ（Ｆ（ｔ）||Ａ（ｔ））・Ｆ（ｔ）　　・・・（１２）
  Ａ’（ｔ）＝ＤＫＬ（Ｆ（ｔ）||Ａ（ｔ））・Ａ（ｔ）　　・・・（１３）
  ステップＳ３２０で調整後瞬間故障確率Ｆ’（ｔ）、および調整後瞬間攻撃確率Ａ’（ｔ）が算出されると、処理がステップＳ３３０に進む。
　ステップＳ３３０において確率調整部４４は、ステップＳ３２０で算出した診断時刻ｔ１における調整後瞬間故障確率Ｆ’（ｔ）および調整後瞬間攻撃確率Ａ’（ｔ）を判別部４５に出力する。
　図６は、調整後瞬間故障確率Ｆ’（ｔ）および調整後瞬間攻撃確率Ａ’（ｔ）を例示するグラフである。図６において、符号６２が調整後瞬間故障確率Ｆ’（ｔ）を、符号６３が調整後瞬間攻撃確率Ａ’（ｔ）を、それぞれ表す。図６において、横軸は経過時間ｔを表し縦軸は経過時間におけるそれぞれの確率を表す。図６では、横軸の経過時間ｔを初期運用、中期運用、最終運用の３つのフェイズに区切っている。これは、診断対象機器を導入し運用を開始してからのフェイズをそれぞれ意味している。すなわち、初期運用フェイズは診断対象機器の稼働直後からしばらくの間を、中期運用フェイズは運用が軌道に乗ってからしばらくの間を、最終運用フェイズは運用の終盤をそれぞれ表している。符号６０は診断対象機器に脆弱性が発覚した日時を表し、符号６１は診断装置１による診断を行った時刻（診断時刻ｔ１）を表す。符号６４は診断時刻における調整後瞬間故障確率Ｆ’（ｔ）を、符号６５は診断時刻における調整後瞬間攻撃確率Ａ’（ｔ）をそれぞれ表す。例えば図６では、診断時刻ｔ１において、調整後瞬間故障確率Ｆ’（ｔ）＝０．３であり、調整後瞬間攻撃確率Ａ’（ｔ）＝０．２である。
　［判別処理］
　図７は、判別部４５が実行する判別処理のフローチャートである。判別部４５は、確率調整部４４が出力する調整後瞬間故障確率Ｆ’（ｔ）および調整後瞬間攻撃確率Ａ’（ｔ）を所定のしきい値ｆ、ａとそれぞれ比較することにより、故障およびサイバー攻撃の有無を出力する。所定のしきい値ｆは故障密度関数ｆ（ｔ）に基づく値であり、所定のしきい値ａは攻撃密度関数ａ（ｔ）に基づく値である。これらのしきい値ｆ、ａは、例えば故障密度関数ｆ（ｔ）や攻撃密度関数ａ（ｔ）の最頻値、平均値、中央値などの統計値であってもよいし、それらの統計値とは別に診断装置１の設計者が指定する値であってもよい。
　ステップＳ４００において判別部４５は、調整後瞬間故障確率Ｆ’（ｔ）の値をしきい値ｆと比較する。調整後瞬間故障確率Ｆ’（ｔ）の値がしきい値ｆ以上である場合、処理はステップＳ４１０に進む。ステップＳ４１０において判別部４５は、調整後瞬間攻撃確率Ａ’（ｔ）の値をしきい値ａと比較する。調整後瞬間攻撃確率Ａ’（ｔ）の値がしきい値ａ以上である場合、処理はステップＳ４２０に進む。ステップＳ４２０において判別部４５は、故障およびサイバー攻撃の両方が同時に生じた可能性が高いと判別する。ステップＳ４１０において調整後瞬間攻撃確率Ａ’（ｔ）の値がしきい値ａ未満である場合、処理はステップＳ４３０に進む。ステップＳ４３０において判別部４５は、故障が生じた可能性が高いと判別する。ステップＳ４００において調整後瞬間故障確率Ｆ’（ｔ）の値がしきい値ｆ未満である場合、処理はステップＳ４４０に進む。ステップＳ４４０において判別部４５は、調整後瞬間攻撃確率Ａ’（ｔ）の値をしきい値ａと比較する。調整後瞬間攻撃確率Ａ’（ｔ）の値がしきい値ａ以上である場合、処理はステップＳ４５０に進む。ステップＳ４５０において判別部４５は、サイバー攻撃が生じた可能性が高いと判別する。ステップＳ４４０において調整後瞬間攻撃確率Ａ’（ｔ）の値がしきい値ａ未満である場合、処理はステップＳ４６０に進む。ステップＳ４６０において判別部４５は、故障が生じた可能性もサイバー攻撃が生じた可能性もいずれも低い、すなわち診断対象機器は正常な状態であると判別する。
　例えば、設計者によりｆ＝０．４、ａ＝０．３というしきい値が与えられており、図６に示すように調整後瞬間故障確率Ｆ’（ｔ）＝０．３、調整後瞬間攻撃確率Ａ’（ｔ）＝０．２である場合を考える。この場合、ステップＳ４００で調整後瞬間故障確率Ｆ’（ｔ）がしきい値ｆ未満であるためステップＳ４４０に進み、調整後瞬間攻撃確率Ａ’（ｔ）がしきい値ａ未満であるためステップＳ４６０に進む。その結果、判別部４５は診断対象機器が正常な状態である（故障も生じていないしサイバー攻撃も受けていない）と判別する。
　図８は、表示装置４の表示画面を例示する模式図である。出力部４６は、判別部４５による判別の結果、すなわち診断結果を表示装置４に出力する。表示装置４は、この診断結果に基づき、図８に例示するような画面を表示する。
　表示装置４の表示画面には、診断日時表示領域９０、診断結果表示領域９１、診断結果詳細表示領域９２、診断グラフ表示領域９３、および再診断ボタン９４が設けられる。診断日時表示領域９０は、診断を実施した日時（診断時刻ｔ１）を表示する。診断結果表示領域９１は、診断対象機器の診断結果を表示する領域である。診断結果表示領域９１には、診断結果が正常、故障、攻撃（サイバー攻撃）、故障＆攻撃、のいずれかの形で表示される。診断結果詳細表示領域９２は、診断結果表示領域９１に表示される結果の内訳（詳細）を表示する領域である。診断グラフ表示領域９３は、診断時刻までの故障確率分布および攻撃確率分布を表示するものであり、例えば図６に例示したグラフのように確率分布が表示されるものとする。再診断ボタン９４は、再診断を実行するためのボタンである。再診断ボタン９４を押すことで、ボタンが押された時刻における診断対象機器の診断が再度実行され、再診断の結果を表示装置４の表示画面に表示することができる。
　上述した第１実施形態によれば、次の作用効果を奏する。
　（１）瞬間攻撃確率算出部４３（演算装置）が診断対象機器に対して診断時刻（所定の時刻）にサイバー攻撃が実施された確率である瞬間攻撃確率を算出し、瞬間故障確率算出部４２（演算装置）が診断対象機器において診断時刻（所定の時刻）に故障が生じた確率である瞬間故障確率を算出する。その後、判別部４５（演算装置）が、瞬間攻撃確率と瞬間故障確率とに基づき、診断時刻（所定の時刻）における、診断対象機器に対するサイバー攻撃の有無および診断対象機器における故障の有無を判定する。このようにしたので、サイバー攻撃の有無および機器の故障の有無を適切に判別できる。また、瞬間攻撃確率と瞬間故障確率は別々に算出され、お互いに相関がないので、一方が他方に影響されることがなく、サイバー攻撃の確率と故障の確率とを独立に判断することができる。
　（２）判別部４５（演算装置）は、瞬間攻撃確率および瞬間故障確率をそれぞれ所定の閾値と比較することにより、診断対象機器に対するサイバー攻撃の有無および診断対象機器における故障の有無を判定する。このようにしたので、サイバー攻撃の有無と故障の有無とを、一方が他方に影響されることなく独立に判断することができる。
　（３）瞬間攻撃確率算出部４３（演算装置）は、時間変化する確率分布を表した攻撃密度関数ａ（ｔ）（第１の確率分布）を用いて瞬間攻撃確率を算出する。また、瞬間故障確率算出部４２（演算装置）は、時間変化する確率分布を表し攻撃密度関数ａ（ｔ）（第１の確率分布）とは異なる故障密度関数ｆ（ｔ）（第２の確率分布）を用いて瞬間故障確率を算出する。このようにしたので、サイバー攻撃の有無と故障の有無とを、一方が他方に影響されることなく独立に判断することができる。
　（４）瞬間故障確率算出部４２（演算装置）は、診断対象機器が故障する確率の確率分布の形状、尺度、および位置の特徴を表す形状パラメータ２１、尺度パラメータ２２、および位置パラメータ２１の少なくとも一つを用いて瞬間故障確率を算出する。このようにしたので、診断対象機器の故障の有無を精度よく判別することが可能になる。
　（５）瞬間攻撃確率算出部４３（演算装置）は、診断対象機器を構成するハードウェアまたはソフトウェアに関連する脆弱性データベース３（脆弱性情報）を用いて瞬間攻撃確率を算出する。このようにしたので、診断対象機器へのサイバー攻撃の有無を精度よく判別することが可能になる。
　（６）確率調整部４４（演算装置）は、瞬間攻撃確率および瞬間故障確率を同次元化する調整を行う。このようにしたので、瞬間攻撃確率および瞬間故障確率をそれぞれ比較するしきい値を共通の尺度で決定することができ、しきい値の設定が簡便になる。
　（７）出力部４６（演算装置）は、判別部４５（演算装置）により判定された診断対象機器に対するサイバー攻撃の有無、および、判別部４５（演算装置）により判定された診断対象機器における故障の有無を表示装置４に表示させる。このようにしたので、診断装置１の使用者が診断結果を的確に把握することが可能になる。
　＜第２実施形態＞
　図９～図１１を参照して、本発明の第２実施形態に係る診断装置について説明する。なお、第１実施形態で説明した構成と同一もしくは相当する構成には同一の参照記号を付し、相違点を主に説明する。
　図９は、図２と同様の図であり、第２実施形態に係る診断装置１００の機能構成を示すブロック図である。診断装置１００は、第１実施形態に係る診断装置１の各部に加えて、保守リスク評価値算出部４７を備える。保守リスク評価値算出部４７は、診断対象機器の保守に関連するリスクを定量化した数値である保守リスク評価値を算出する。診断装置１００には、第１実施形態と同様のパラメータデータベース２および脆弱性データベース３に加えて、保守点検データベース５が接続される。
　保守点検データベース５は、保守点検データ５１、保守員データ５２、および操作ログデータ５３を格納する。保守点検データ５１は、例えば保守員による診断対象機器の保守点検日や点検場所に関する情報である。保守員データ５２は、例えば保守員の年齢、勤務年数といった保守員自身に関する情報である。操作ログデータ５３は、例えば保守時間や操作コマンド数に関する情報である。
　保守リスク評価値算出部４７による保守リスク評価値の算出方法の一例を説明する。保守リスク評価値Ｌは次式（１４）のように表される。
  Ｌ＝Ｔ・Ｃ　　　・・・（１４）
  ここで、Ｔは規定操作時間に対する実際の操作時間の割合を表し、Ｃは規定操作コマンド数に対する実際の操作コマンド数の割合を表している。
　操作時間の割合Ｔや操作コマンド数の割合Ｃの値を所定の値と比較することで、保守員の操作への精通の度合を定量的に測ることができる。例えば、Ｃが１より大きい場合、その保守員は保守操作に精通していないと判定したり、Ｃが１未満であれば保守操作に精通していると判定したりすることができる。また、Ｔについても同様に、Ｔが１より大きい場合、その保守員は保守操作に精通していないと判定したり、Ｔが１未満であれば保守操作に精通していると判定したりすることができる。
　なお、保守員が保守操作に精通しているか否かの判別は、上述したルールベースの指標の他に、保守員データ５２に含まれる保守員の年齢、勤務年数や、操作ログデータ５３に含まれる操作時間などを入力データセットとする機械学習により行うことも可能である。
　図１０は、図４と同様の図であり、瞬間攻撃確率算出部４３が実行する瞬間攻撃確率算出処理のフローチャートである。図１０のフローチャートでは、図４のフローチャートのステップＳ２２０とステップＳ２３０の間に、ステップＳ２２５の処理が追加されている。ステップＳ２２５において瞬間攻撃確率算出部４３は、ステップＳ２２０で決定したセキュリティ評価値に対して、保守リスク評価値算出部４７が算出した保守リスク評価値を合算する。これにより、これ以降のセキュリティ評価値を対象とする処理は、保守リスク評価値を加味した処理となる。
　式（５）に示した通り、セキュリティ評価値は診断対象機器への影響度合い（影響の大きさ）Ｉｍｐａｃｔ、診断対象機器への攻撃容易性Ｌｉｋｅｌｉｈｏｏｄにより決定される。保守リスク評価値はそれらの値のうち攻撃容易性Ｌｉｋｅｌｉｈｏｏｄに反映される。式（７）に示した通り、Ｌｉｋｅｌｉｈｏｏｄは攻撃元区分Ｘ、攻撃条件の複雑さＹ、必要な特権レベルＺ、必要なユーザ関与レベルＷに基づく値である。瞬間攻撃確率算出部４３は、攻撃元区分Ｘや必要な特権レベルＺの値を保守リスク評価値に応じで変動させることにより、保守リスク評価値をセキュリティ評価値に合算（反映）する。例えば、保守リスク評価値が大きいほど攻撃元区分Ｘや必要な特権レベルＺの値を上げたり、保守リスク評価値が小さいほど攻撃元区分Ｘや必要な特権レベルＺの値を下げたりする。
　なお、保守リスク評価値をセキュリティ評価値に合算する方法は上述の方法に限定されない。例えば保守リスク評価値をセキュリティリスク評価値のように同じ１０段階で評価し、セキュリティリスク評価値に足し合わせるようにしてもよい。
　図１１は、図６と同様の図であり、調整後瞬間故障確率Ｆ’（ｔ）および調整後瞬間攻撃確率Ａ’（ｔ）を例示するグラフである。符号１３６０は調整後瞬間故障確率Ｆ’（ｔ）を、符号１３７０は調整後瞬間攻撃確率Ａ’（ｔ）を、それぞれ表す。図１１において、横軸は経過時間ｔを表し縦軸は経過時間におけるそれぞれの確率を表す。符号１３００は診断対象機器に脆弱性が発覚した日時を表し、符号１３１０は診断装置１による診断を行った時刻（診断時刻ｔ１）を表す。符号１３３０は診断時刻における保守リスク評価値を加味しない調整後瞬間攻撃確率Ａ’（ｔ）を表し、符号１３４０は診断時刻における保守リスク評価値を加味した調整後瞬間攻撃確率Ａ’（ｔ）を表す。符号１３５０は診断時刻における調整後瞬間故障確率Ｆ’（ｔ）を表す。
　調整後瞬間攻撃確率Ａ’（ｔ）は、従来のセキュリティ要素に起因するもの以外に、保守員による保守点検作業にも起因して変動する。例えば図６においては、診断時刻における調整後瞬間攻撃確率Ａ’（ｔ）＝０．２であるケースを考えたが、図１１においてはＡ’（ｔ）＝０．３となるケースを考える。これは、脆弱性要因に加え、保守要因が調整後瞬間攻撃確率Ａ’（ｔ）に反映されたことを考慮するためである。この保守要因が反映された調整後瞬間攻撃確率Ａ’（ｔ）において、例えば、Ａ’（ｔ）＝０．３、しきい値ａ＝０．２の場合の出力結果を考える。ただし、調整後瞬間故障確率Ｆ’（ｔ）＝０．３およびしきい値ｆ＝０．４は図６と同様とする。このとき判別部４５は、まずＦ’（ｔ）がｆより小さいことから故障の可能性は低いと判別する。その後、判別部４５は、Ａ’（ｔ）がａ以上であることからサイバー攻撃の可能性が高いと判別する。これにより診断結果はサイバー攻撃の可能性が高い、ということになる。このように、保守リスク評価値が加味されたことにより調整後瞬間攻撃確率Ａ’（ｔ）の値が大きくなり、その結果、図６で説明した内容から診断結果が変化している。
　上述した第２実施形態によれば、次の作用効果を奏する。
　（１）瞬間攻撃確率算出部４３（演算装置）は、診断対象機器の保守点検に関する情報である保守点検データ５１、診断対象機器の保守点検を行う保守員に関する情報である保守員データ５２、および診断対象機器の保守点検において成された操作の操作ログに関する情報である操作ログデータ５３の少なくとも一つに基づく保守リスク評価値を用いて瞬間攻撃確率を算出する。このようにすることで、診断対象機器のライフサイクルを加味した診断ができるようになる。
　＜第３実施形態＞
　図１２および図１３を参照して、本発明の第３実施形態に係る診断装置について説明する。なお、第１実施形態で説明した構成と同一もしくは相当する構成には同一の参照記号を付し、相違点を主に説明する。
　図１２は、図２と同様の図であり、第３実施形態に係る診断装置２００の機能構成を示すブロック図である。診断装置２００には、第１実施形態と同様のパラメータデータベース２および脆弱性データベース３に加えて、物理情報データベース７およびアクセス情報データベース８が接続される。
　物理情報データベース７には、温度データ７１、湿度データ７２、および振動データ７３が格納される。温度データ７１は、例えば診断対象機器が高温下で稼働している、あるいは冷却下で稼働している、といった診断対象機器の環境の温度に関するデータである。湿度データ７２は、例えば診断対象機器が設置されている環境が多湿あるいは低湿である、といった診断対象機器の環境の湿度に関するデータである。振動データ７３は、例えば診断対象機器が設置されている環境の振動の大きさに関するデータである。なお、これら以外にも、例えば、診断対象機器の環境の風（風量および風速）、放射能、塵などに関するデータを物理情報データベース７に格納してもよい。
　アクセス情報データベース８には、物理アクセスデータ８１およびネットワークデータ８２が格納される。物理アクセスデータ８１は、診断対象機器の設置場所のセキュリティ状況に関するデータ、すなわち、診断対象機器が設置されている環境の物理的な安全性を示すデータであり、例えば診断対象機器の設置されている部屋が施錠されている、あるいは特定の人物しか入室できないような物理的セキュリティが構築されている、診断対象機器がワイヤーロック等で固定されている、といったデータである。ネットワークデータ８２は、診断対象機器に外部からネットワーク経由でアクセスする経路のセキュリティ状況に関するデータ、すなわち、外部から診断対象機器への侵入のしやすさを示すデータであり、例えば診断対象機器のデバックポートの情報やシェル情報、ネットワーク通信に用いるポート情報などである。
　第３実施形態の瞬間故障確率算出部４２は、パラメータデータベース２内の各種パラメータだけではなく、物理情報データベース７内の各種データをも用いて瞬間故障確率を算出する。第３実施形態の瞬間攻撃確率算出部４３は、脆弱性データベース３内の各種データだけではなく、アクセス情報データベース８内の各種データをも用いて瞬間攻撃確率を算出する。
　図１３は、図６と同様の図であり、調整後瞬間故障確率Ｆ’（ｔ）および調整後瞬間攻撃確率Ａ’（ｔ）を例示するグラフである。符号１５５０は調整後瞬間故障確率Ｆ’（ｔ）を、符号１５４０は調整後瞬間攻撃確率Ａ’（ｔ）を、それぞれ表す。図１３において、横軸は経過時間ｔを表し縦軸は経過時間におけるそれぞれの確率を表す。符号１５００は診断対象機器に脆弱性が発覚した日時を表し、符号１５１０は診断装置２００による診断を行った時刻（診断時刻ｔ１）を表す。符号１５３０は診断時刻における物理情報データベース７内の各種データを加味した調整後瞬間故障確率Ｆ’（ｔ）を表し、符号１５２０は診断時刻におけるアクセス情報データベース８内の各種データを加味した調整後瞬間攻撃確率Ａ’（ｔ）を表す。
　例えば図６においては、診断時刻における調整後瞬間故障確率Ｆ’（ｔ）＝０．３であるケースを考えたが、図１３においては調整後瞬間故障確率Ｆ’（ｔ）＝０．４５となるケースを考える。また図６においては、診断時刻における調整後瞬間攻撃確率Ａ’（ｔ）＝０．２であるケースを考えたが、図１３においてはＡ’（ｔ）＝０．２５となるケースを考える。これらは、診断対象機器に対する物理的要因（物理情報データベース７内の各種データ）の影響が大きい一方、診断対象機器に対する外部アクセスによるセキュリティ要因（アクセス情報データベース８内の各種データ）が少ないことを意味する。このように、確率分布自体に物理的要因および外部アクセスによるセキュリティ要因に基づくバイアスをかけることで、より正確な診断を実施できる。
　例えば、Ｆ’（ｔ）＝０．４５、しきい値ｆ＝０．４、Ａ’（ｔ）＝０．２５、しきい値ａ＝０．３５の場合の出力結果を考える。このとき判別部４５は、まずＦ’（ｔ）がｆ以上であることから故障の可能性が高いと判別する。その後、判別部４５は、Ａ’（ｔ）がａ未満であることからサイバー攻撃の可能性は低いと判別する。これにより診断結果は故障の可能性が高い、ということになる。このように、物理的要因や外部アクセスによるセキュリティ要因が加味されたことにより、図６で説明した内容から診断結果が変化している。
　上述した第３実施形態によれば、次の作用効果を奏する。
　（１）瞬間故障確率算出部４２（演算装置）は、診断対象機器が稼働する物理環境の温度、湿度、振動、風、放射能、塵のうち少なくとも一つに関する情報である物理情報データベース７を用いて瞬間故障確率を算出する。このようにしたので、瞬間故障確率の精度が向上し、故障の有無をより正確に診断することができる。
　（２）瞬間攻撃確率算出部４３（演算装置）は、診断対象機器の設置場所のセキュリティ状況に関する情報である物理アクセスデータ８１、および診断対象機器に外部からネットワーク経由でアクセスする経路のセキュリティ状況に関する情報であるネットワークデータ８２を用いて瞬間攻撃確率を算出する。物理アクセスデータ８１およびネットワークデータ８２のうち少なくとも一つの情報を用いて瞬間攻撃確率を算出ことで、算出される瞬間攻撃確率の精度が向上し、サイバー攻撃の有無をより正確に診断することができる。
　次のような変形例も本発明の範囲内であり、変形例に示す構成と上述の実施形態で説明した構成を組み合わせたり、上述の異なる実施形態で説明した構成同士を組み合わせたり、以下の異なる変形例で説明する構成同士を組み合わせることも可能である。
　＜変形例１＞
　累積故障分布関数Ｆ（ｔ）は、式（４）で説明したものと異なっていてもよい。例えば故障密度関数ｆ（ｔ）ではなく、信頼度関数Ｒ（ｔ）を用いて累積故障分布関数Ｆ（ｔ）をしてもよい。この場合、累積故障分布関数Ｆ（ｔ）は１－Ｒ（ｔ）と定義し、瞬間故障確率は診断時刻ｔ１を用いて１－Ｒ（ｔ１）という形で算出すればよい。他にも、例えば、パラメータデータベース２内の各種パラメータと時間を変数として持つ関数を診断対象機器の特性から事前に算出しておき、診断時刻ｔ１をその関数に代入し確率を算出するようにしてもよい。
　＜変形例２＞
　セキュリティ評価値Ｒｉｓｋは、式（８）で説明したものと異なっていてもよい。例えば脆弱性そのものの基本特性以外に、現在の脆弱性の深刻度を加味したり、ユーザの利用環境を含めた最終的な脆弱性を用いてセキュリティ評価値Ｒｉｓｋを算出してもよい。
　＜変形例３＞
　上述の説明では、故障密度関数ｆ（ｔ）の例としてワイブル分布を、攻撃密度関数ａ（ｔ）の例としてガウス分布を挙げたが、確率分布の種類はこれに限るものではない。他の確率分布を故障密度関数ｆ（ｔ）や攻撃密度関数ａ（ｔ）として用いてもよい。
　＜変形例４＞
　調整後瞬間故障確率Ｆ’（ｔ）および調整後瞬間攻撃確率Ａ’（ｔ）の算出方法は、式（１２）および式（１３）で例示したものと異なっていてもよい。例えば、距離尺度を演算後、故障密度関数ｆ（ｔ）および攻撃密度関数ａ（ｔ）に算出した距離尺度を乗算したものを時刻０から診断時刻ｔ１までそれぞれ積分することにより、調整後瞬間故障確率Ｆ’（ｔ）および調整後瞬間攻撃確率Ａ’（ｔ）を算出するようにしてもよい。また、上述の各実施形態では、式（１１）に示した確率距離尺度を用いて瞬間故障確率と瞬間攻撃確率とを同次元化していたが、それ以外の方法で、瞬間故障確率と瞬間攻撃確率とを比較可能にしてもよい。
　＜変形例５＞
　上述した各種のデータベース（パラメータデータベース２、脆弱性データベース３、保守点検データベース５、物理情報データベース７、およびアクセス情報データベース８）に格納するデータは、上述したデータと異なっていてもよい。また、その利用方法についても、上述した各実施形態と異なっていてもよい。
　以上、本発明の実施形態について説明したが、上記実施形態は本発明の適用例の一部を示したに過ぎず、本発明の技術的範囲を上記実施形態の具体的構成に限定する趣旨ではない。
　１、１００、２００…診断装置、２…パラメータデータベース、３…脆弱性データベース、４…表示装置、５…保守点検データベース、７…物理情報データベース、８…アクセス情報データベース、１１…演算装置、１２…不揮発性メモリ、１３…揮発性メモリ、１４…入出力インタフェース、２１…形状パラメータ、２２…尺度パラメータ、２３…位置パラメータ、３１…公開日データ、３２…機器データ、４１…時刻入力部、４２…瞬間故障確率算出部、４３…瞬間攻撃確率算出部、４４…確率調整部、４５…判別部、４６…出力部、４７…保守リスク評価値算出部、５１…保守点検データ、５２…保守員データ、５３…操作ログデータ、７１…温度データ、７２…湿度データ、７３…振動データ、８１…物理アクセスデータ、８２…ネットワークデータ

Claims (11)

  1. 　演算装置を備えた診断装置であって、
    　前記演算装置は、
    　診断対象機器に対して所定の時刻にサイバー攻撃が実施された確率である瞬間攻撃確率を算出し、
    　前記診断対象機器において前記所定の時刻に故障が生じた確率である瞬間故障確率を算出し、
    　前記瞬間攻撃確率と前記瞬間故障確率とに基づき、前記所定の時刻における、前記診断対象機器に対するサイバー攻撃の有無および前記診断対象機器における故障の有無を判定する、
    診断装置。
  2. 　請求項１に記載の診断装置において、
    　前記演算装置は、
    前記瞬間攻撃確率および前記瞬間故障確率をそれぞれ所定の閾値と比較することにより、前記診断対象機器に対するサイバー攻撃の有無および前記診断対象機器における故障の有無を判定する診断装置。
  3. 　請求項１に記載の診断装置において、
    　前記演算装置は、
    時間変化する第１の確率分布を用いて前記瞬間攻撃確率を算出し、時間変化し前記第１の確率分布とは異なる第２の確率分布を用いて前記瞬間故障確率を算出する診断装置。
  4. 　請求項１に記載の診断装置において、
    　前記演算装置は、
    前記診断対象機器が故障する確率の確率分布の形状、尺度、および位置の特徴を表すパラメータの少なくとも一つを用いて前記瞬間故障確率を算出する診断装置。
  5. 　請求項１に記載の診断装置において、
    　前記演算装置は、
    前記診断対象機器を構成するハードウェアまたはソフトウェアに関連する脆弱性情報を用いて前記瞬間攻撃確率を算出する診断装置。
  6. 　請求項１に記載の診断装置において、
    　前記演算装置は、
    前記瞬間攻撃確率および前記瞬間故障確率を同次元化する調整を行う診断装置。
  7. 　請求項１に記載の診断装置において、
    　前記演算装置は、
    前記演算装置により判定された前記診断対象機器に対するサイバー攻撃の有無、および、前記演算装置により判定された前記診断対象機器における故障の有無を表示装置に表示させる診断装置。
  8. 　請求項１に記載の診断装置において、
    　前記演算装置は、
    前記診断対象機器の保守点検に関する情報、前記診断対象機器の保守点検を行う保守員に関する情報、および前記診断対象機器の保守点検において成された操作の操作ログに関する情報の少なくとも一つを用いて前記瞬間攻撃確率を算出する診断装置。
  9. 　請求項１に記載の診断装置において、
    　前記演算装置は、
    前記診断対象機器が稼働する物理環境の温度、湿度、振動、風、放射能、塵のうち少なくとも一つに関する情報を用いて前記瞬間故障確率を算出する診断装置。
  10. 　請求項１に記載の診断装置において、
    　前記演算装置は、
    前記診断対象機器の設置場所のセキュリティ状況に関する情報、および前記診断対象機器に外部からネットワーク経由でアクセスする経路のセキュリティ状況に関する情報のうち少なくとも一つの情報を用いて前記瞬間攻撃確率を算出する診断装置。
  11. 　診断対象機器に対して所定の時刻にサイバー攻撃が実施された確率である瞬間攻撃確率を算出し、
    　前記診断対象機器において前記所定の時刻に故障が生じた確率である瞬間故障確率を算出し、
    　前記瞬間攻撃確率と前記瞬間故障確率とに基づき、前記所定の時刻における、前記診断対象機器に対するサイバー攻撃の有無および前記診断対象機器における故障の有無を判定する、
    診断方法。
PCT/JP2024/017050 2023-06-12 2024-05-08 診断装置および診断方法 Ceased WO2024257507A1 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2023096396A JP2024177952A (ja) 2023-06-12 2023-06-12 診断装置および診断方法
JP2023-096396 2023-06-12

Publications (1)

Publication Number Publication Date
WO2024257507A1 true WO2024257507A1 (ja) 2024-12-19

Family

ID=93851976

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2024/017050 Ceased WO2024257507A1 (ja) 2023-06-12 2024-05-08 診断装置および診断方法

Country Status (2)

Country Link
JP (1) JP2024177952A (ja)
WO (1) WO2024257507A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2019061565A (ja) * 2017-09-27 2019-04-18 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 異常診断方法および異常診断装置
JP2019212143A (ja) * 2018-06-07 2019-12-12 株式会社日立製作所 損害予測方法、損害予測システム及びプログラム
JP2020061717A (ja) * 2018-10-12 2020-04-16 株式会社東芝 異常要因判定装置、制御システム、および異常要因判定方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2019061565A (ja) * 2017-09-27 2019-04-18 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 異常診断方法および異常診断装置
JP2019212143A (ja) * 2018-06-07 2019-12-12 株式会社日立製作所 損害予測方法、損害予測システム及びプログラム
JP2020061717A (ja) * 2018-10-12 2020-04-16 株式会社東芝 異常要因判定装置、制御システム、および異常要因判定方法

Also Published As

Publication number Publication date
JP2024177952A (ja) 2024-12-24

Similar Documents

Publication Publication Date Title
US11042647B1 (en) Software assurance system for runtime environments
Bodik et al. Combining visualization and statistical analysis to improve operator confidence and efficiency for failure detection and localization
CN116747528B (zh) 一种游戏后台用户监管方法及系统
CN113544486A (zh) 故障诊断系统、预测规则生成方法及预测规则生成程序
CN110489260A (zh) 故障识别方法、装置及bmc
CN118540144A (zh) 一种基于区块链技术的网络信息安全预警方法及系统
CN114490829A (zh) 一种故障识别方法、装置、设备及存储介质
TW202206955A (zh) 廠房管理方法、廠房設計裝置以及廠房管理裝置
CN112769615A (zh) 一种异常分析方法及装置
JP2024177952A (ja) 診断装置および診断方法
JP7347953B2 (ja) 機器予兆監視装置、および、機器予兆監視方法
CN110457349B (zh) 信息流出的监控方法及监控装置
US20220342992A1 (en) Authorising component updates
KR102867874B1 (ko) 화면 출력 기반 이상 상태 감지 방법 및 장치
CN116644484B (zh) 一种计算机存储安全评估方法及系统
CN108014500B (zh) 属性异常发现方法及装置
CN117493128A (zh) 基于物联网的投影仪交互式管控方法及系统
US20240403159A1 (en) Monitoring apparatus, monitoring method, and computer-readable storage medium
JP7437163B2 (ja) 診断装置、診断方法およびプログラム
US20200081758A1 (en) Probabilistic Metric for Random Hardware Failure
WO2021034317A1 (en) Authenticity verification
CN114610560B (zh) 系统异常监控方法、装置和存储介质
JP7840107B2 (ja) 情報出力装置、情報出力方法、及び、プログラム
JP7595823B1 (ja) 情報処理装置、情報処理方法及び情報処理プログラム
US9054995B2 (en) Method of detecting measurements in service level agreement based systems

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 24823129

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE