(57)【要約】【課題】制御装置および制御システムのセキュリティの脅威に対する対策を、ユーザに対して容易に把握させることができるという新たな課題を解決する。【解決手段】コントローラシステム１は、制御ユニット１００と、セキュリティユニット２００と、提示手段（ＨＭＩ８００）と備えている。セキュリティユニット２００は、コントローラシステム１の装置構成および保護資産の脅威分析に応じた対策シナリオを保持し、対策シナリオに応じてセキュリティ機能の設定を行う。提示手段は、対策シナリオに応じてコントローラシステム１でセキュリティ対策が必要な箇所をユーザに提示する。【選択図】図５
2020166521.tif 000002
【特許請求の範囲】
【請求項１】
コントローラシステムであって、
制御対象を制御するための制御演算を実行する制御ユニットと、
前記制御ユニットに接続され、前記コントローラシステムに対するセキュリティ機能を担当するセキュリティユニットと、
前記セキュリティユニットによる前記コントローラシステムのセキュリティ対策をユーザに提示する提示手段と備え、
前記セキュリティユニットは、前記コントローラシステムの装置構成および保護資産の脅威分析に応じた対策シナリオを保持し、前記対策シナリオに応じてセキュリティ機能の設定を行い、
前記提示手段は、前記対策シナリオに応じて前記コントローラシステムでセキュリティ対策が必要な箇所をユーザに提示する、コントローラシステム。
【請求項２】
前記提示手段は、前記コントローラシステムでセキュリティ対策が必要な箇所を、セキュリティの脅威に対するリスクに応じて識別してユーザに提示する、請求項１に記載のコントローラシステム。
【請求項３】
前記提示手段は、前記コントローラシステムでセキュリティ対策が必要な箇所で想定される脅威の内容をユーザに提示する、請求項１または請求項２に記載のコントローラシステム。
【請求項４】
前記提示手段は、前記対策シナリオに応じて前記セキュリティユニットのセキュリティ機能の設定を行った箇所をユーザに提示する、請求項１〜請求項３のいずれか１項に記載のコントローラシステム。
【請求項５】
前記提示手段は、前記対策シナリオに応じて前記セキュリティユニットのセキュリティ機能を使用しない運用による対策を行う必要がある箇所をユーザに提示する、請求項４に記載のコントローラシステム。
【請求項６】
前記提示手段は、前記運用による対策をユーザに促す表示を提示する、請求項５に記載のコントローラシステム。
【請求項７】
ユーザが前記コントローラシステムにアクセスすることが可能であることを認証する認証手段をさらに備え、
前記提示手段は、前記対策シナリオに応じて前記コントローラシステムでセキュリティ対策が必要な箇所を前記認証手段で認証したユーザに対してのみ提示する、請求項１〜請求項６のいずれか１項に記載のコントローラシステム。
【請求項８】
ユーザの確認操作を確認履歴として保存する保存手段をさらに備える、請求項１〜請求項７のいずれか１項に記載のコントローラシステム。
【請求項９】
前記保存手段に保存した確認履歴をユーザに対して通知する通知手段とをさらに備える、請求項８に記載のコントローラシステム。
【請求項１０】
前記認証手段で認証したユーザの権限に応じて、前記提示手段で提示した前記対策シナリオの編集が可能である、請求項７に記載のコントローラシステム。
【請求項１１】
前記セキュリティユニットは、前記コントローラシステムに接続するサポート装置において脅威分析を行い、作成した前記対策シナリオを保持する、請求項１〜請求項１０のいずれか１項に記載のコントローラシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、制御対象を制御するコントローラシステムに対するセキュリティ機能に関する。
【背景技術】
【０００２】
近年、工場などの製造現場では、マルウェアなどの被害が発生しており、ＰＬＣ（プログラマブルロジックコントローラ）などの制御装置に対してもセキュリティ対策が必須となってきた。そのため、工場などの装置、生産ラインを開発する場合には、セキュリティ対策を生産技術者、装置メーカ開発者などが行う必要がある。
【０００３】
ＰＬＣでは、例えば、特開２０００−１３７５０６号公報（特許文献１）に開示されているように、異常履歴が登録されたとき、または、予め定められた時間が到来したときに、予め指定された宛先に電子メールを送信する程度で、セキュリティ対策については何ら考慮されていない。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０００−１３７５０６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
特に、近年のＩＣＴ（Information and Communication Technology）の進歩に伴って、制御装置も様々な外部装置とネットワーク接続されるとともに、制御装置において実行される処理も高度化している。このようなネットワーク化あるいはインテリジェント化に伴って、想定されるセキュリティの脅威の種類も増加している。
【０００６】
工場などの製造現場においてセキュリティの対策を行う場合、制御装置のセキュリティ機能で対策を行う以外に、製造現場のオペレータ（ユーザ）による運用で対策を行う必要がある。このような対策においては、製造現場のオペレータへの教育が不可欠であり、現状、研修などを行って運用による対策の周知を行っている。
【０００７】
しかし、製造現場のオペレータが扱う装置毎に運用による対策が異なる場合もあり、オペレータがどの装置にどの運用による対策を行うかを容易に把握しにくい問題があった。また、オペレータが運用による対策を怠った場合、制御装置のセキュリティの脆弱性を生む原因にもなる。
【０００８】
本発明は、制御装置および制御システムのネットワーク化あるいはインテリジェント化に伴って生じ得るセキュリティの脅威に対する対策を、ユーザに対して容易に把握させることができるという新たな課題を解決することを一つの目的としている。
【課題を解決するための手段】
【０００９】
本発明のある局面に従うコントローラシステムであって、制御対象を制御するための制御演算を実行する制御ユニットと、制御ユニットに接続され、コントローラシステムに対するセキュリティ機能を担当するセキュリティユニットと、セキュリティユニットによるコントローラシステムのセキュリティ対策をユーザに提示する提示手段と備え、セキュリティユニットは、コントローラシステムの装置構成および保護資産の脅威分析に応じた対策シナリオを保持し、対策シナリオに応じてセキュリティ機能の設定を行い、提示手段は、対策シナリオに応じてコントローラシステムでセキュリティ対策が必要な箇所をユーザに提示する。
【００１０】
この局面によれば、コントローラシステムは、セキュリティの脅威に対する対策を、ユーザに対して容易に把握させることができる。
【００１１】
好ましくは、提示手段は、コントローラシステムでセキュリティ対策が必要な箇所を、セキュリティの脅威に対するリスクに応じて識別してユーザに提示するようにしてもよい。この局面によれば、セキュリティ対策の必要な箇所をより容易に把握させることができる。
【００１２】
好ましくは、提示手段は、コントローラシステムでセキュリティ対策が必要な箇所で想定される脅威の内容をユーザに提示するようにしてもよい。この局面によれば、セキュリティ対策が必要な箇所の脅威をより容易に把握させることができる。
【００１３】
好ましくは、提示手段は、対策シナリオに応じてセキュリティユニットのセキュリティ機能の設定を行った箇所をユーザに提示するようにしてもよい。この局面によれば、セキュリティ機能の設定を行った箇所をより容易に把握させることができる。
【００１４】
好ましくは、提示手段は、対策シナリオに応じてセキュリティユニットのセキュリティ機能を使用しない運用による対策を行う必要がある箇所をユーザに提示するようにしてもよい。この局面によれば、運用による対策を行う箇所をより容易に把握させることができる。
【００１５】
好ましくは、提示手段は、運用による対策をユーザに促す表示を提示するようにしてもよい。この局面によれば、運用による対策をユーザが怠ることを防止できる。
【００１６】
好ましくは、ユーザがコントローラシステムにアクセスすることが可能であることを認証する認証手段をさらに備え、提示手段は、対策シナリオに応じてコントローラシステムでセキュリティ対策が必要な箇所を認証手段で認証したユーザに対してのみ提示するようにしてもよい。この局面によれば、セキュリティ対策の確認に対して不正なアクセスを防止することができる。
【００１７】
好ましくは、ユーザの確認操作を確認履歴として保存する保存手段をさらに備えてもよい。この局面によれば、確認履歴をセキュリティ教育の受講履歴とすることができる。
【００１８】
好ましくは、保存手段に保存した確認履歴をユーザに対して通知する通知手段とをさらに備えてもよい。この局面によれば、確認履歴をユーザが確認し易くなる。
【００１９】
好ましくは、認証手段で認証したユーザの権限に応じて、提示手段で提示した対策シナリオの編集が可能としてもよい。この局面によれば、ユーザの権限により対策シナリオの編集を制限できるので不正な編集を防止できる。
【００２０】
好ましくは、セキュリティユニットは、コントローラシステムに接続するサポート装置において脅威分析を行い、作成した対策シナリオを保持するようにしてもよい。この局面によれば、サポート装置でセキュリティの脅威を分析し、当該脅威に対する対策を容易に設定することができる。
【発明の効果】
【００２１】
本発明によれば、制御装置および制御システムのネットワーク化あるいはインテリジェント化に伴って生じ得るセキュリティの脅威に対する対策を、ユーザに対して容易に把握させることができるという新たな課題を解決できる。
【図面の簡単な説明】
【００２２】
【図１】本実施の形態に係るコントローラシステムの構成例を示す外観図である。
【図２】本実施の形態に従うコントローラシステムを構成する制御ユニットのハードウェア構成例を示す模式図である。
【図３】本実施の形態に従うコントローラシステムを構成するセキュリティユニットのハードウェア構成例を示す模式図である。
【図４】本実施の形態に従うコントローラシステムを構成するセーフティユニットのハードウェア構成例を示す模式図である。
【図５】本実施の形態に従うコントローラシステムでのセキュリティの脅威対策を確認する構成を説明するためのブロック図である。
【図６】本実施の形態に従うコントローラシステムおよびＨＭＩでオペレータにセキュリティの脅威対策を確認させる処理を説明するためのシーケンスである。
【図７】本実施の形態に従うコントローラシステムおよびＨＭＩでオペレータにセキュリティの脅威対策を確認させる処理を説明するためのフローチャートである。
【図８】ステップＳ５０１でＨＭＩに表示される認証確認のための画面である。
【図９】ステップＳ５０３でＨＭＩに表示されるセキュリティ対策内容の確認のための画面の一例である。
【図１０】ステップＳ５０４でＨＭＩに表示される想定脅威の確認のための画面の一例である。
【図１１】ステップＳ５０５でＨＭＩに表示されるセキュリティ対策の確認のための画面の一例である。
【図１２】ステップＳ５０７でセキュリティユニットに保存されるセキュリティ対策を確認した旨の確認ログの一例である。
【図１３】本実施の形態に従うコントローラシステムに接続されるサポート装置で確認ログを確認させる処理を説明するためのシーケンスである。
【図１４】本実施の形態に従うコントローラシステムに接続されるサポート装置で確認ログを確認させる処理を説明するためのフローチャートである。
【図１５】ステップＳ６０３でサポート装置６００に通知し、サポート装置６００で表示される確認ログの表示画面の一例である。
【図１６】アクセス権限による処理の違いを説明するための図である。
【図１７】本実施の形態に従うコントローラシステムに接続されるサポート装置でセキュリティの設定を行うシステム構成を説明するためのブロック図である。
【図１８】本実施の形態に従うコントローラシステムに接続されるサポート装置のハードウェア構成例を示す模式図である。
【図１９】本実施の形態に従うコントローラシステムおよびサポート装置での脅威分析およびセキュリティの設定を説明するためのシーケンスである。
【図２０】本実施の形態に従うサポート装置での脅威シナリオリスト作成の処理手順を示すフローチャートである。
【図２１】本実施の形態に従うサポート装置での対策シナリオ作成の処理手順を示すフローチャートである。
【図２２】本実施の形態に従うサポート装置で作成した保護資産評価リストの一例を示す図である。
【図２３】本実施の形態に従うサポート装置で作成した脅威リストの一例を示す図である。
【図２４】本実施の形態に従うサポート装置で作成した脅威シナリオリストの一例を示す図である。
【図２５】本実施の形態に従うサポート装置で作成した対策シナリオの一例を示す図である。
【発明を実施するための形態】
【００２３】
本発明の実施の形態について、図面を参照しながら詳細に説明する。なお、図中の同一または相当部分については、同一符号を付してその説明は繰り返さない。
【００２４】
＜Ａ．適用例＞
本発明が適用される場面の一例について説明する。まず、本実施の形態に従うコントローラシステム１の構成について説明する。
【００２５】
図１は、本実施の形態に係るコントローラシステム１の構成例を示す外観図である。図１を参照して、コントローラシステム１は、制御ユニット１００と、セキュリティユニット２００と、セーフティユニット３００と、１または複数の機能ユニット４００と、電源ユニット４５０とを含む。
【００２６】
制御ユニット１００とセキュリティユニット２００との間は、任意のデータ伝送路（例えば、ＰＣＩ  Ｅｘｐｒｅｓｓあるいはイーサネット（登録商標）など）を介して接続されている。制御ユニット１００とセーフティユニット３００および１または複数の機能ユニット４００との間は、図示しない内部バスを介して接続されている。
【００２７】
制御ユニット１００は、コントローラシステム１において中心的な処理を実行する。制御ユニット１００は、任意に設計された要求仕様に従って、制御対象を制御するための制御演算を実行する。後述のセーフティユニット３００で実行される制御演算との対比で、制御ユニット１００で実行される制御演算を「標準制御」とも称す。図１に示す構成例において、制御ユニット１００は、１または複数の通信ポートを有している。
【００２８】
セキュリティユニット２００は、制御ユニット１００に接続され、コントローラシステム１に対するセキュリティ機能を担当する。図１に示す構成例において、セキュリティユニット２００は、１または複数の通信ポートを有している。セキュリティユニット２００が提供するセキュリティ機能の詳細については、後述する。
【００２９】
セーフティユニット３００は、制御ユニット１００とは独立して、制御対象に関するセーフティ機能を実現するための制御演算を実行する。セーフティユニット３００で実行される制御演算を「セーフティ制御」とも称す。通常、「セーフティ制御」は、ＩＥＣ  ６１５０８などに規定されたセーフティ機能を実現するための要件を満たすように設計される。「セーフティ制御」は、設備や機械などによって人の安全が脅かされることを防止するための処理を総称する。
【００３０】
機能ユニット４００は、コントローラシステム１による様々な制御対象に対する制御を実現するための各種機能を提供する。機能ユニット４００は、典型的には、Ｉ／Ｏユニット、セーフティＩ／Ｏユニット、通信ユニット、モーションコントローラユニット、温度調整ユニット、パルスカウンタユニットなどを包含し得る。Ｉ／Ｏユニットとしては、例えば、デジタル入力（ＤＩ）ユニット、デジタル出力（ＤＯ）ユニット、アナログ出力（ＡＩ）ユニット、アナログ出力（ＡＯ）ユニット、パルスキャッチ入力ユニット、および、複数の種類を混合させた複合ユニットなどが挙げられる。セーフティＩ／Ｏユニットは、セーフティ制御に係るＩ／Ｏ処理を担当する。
【００３１】
電源ユニット４５０は、コントローラシステム１を構成する各ユニットに対して、所定電圧の電源を供給する。
【００３２】
＜Ｂ．各ユニットのハードウェア構成例＞
次に、本実施の形態に従うコントローラシステム１を構成する各ユニットのハードウェア構成例について説明する。
【００３３】
（ｂ１：制御ユニット１００）
図２は、本実施の形態に従うコントローラシステム１を構成する制御ユニット１００のハードウェア構成例を示す模式図である。図２を参照して、制御ユニット１００は、主たるコンポーネントとして、ＣＰＵ（Central Processing Unit）やＧＰＵ（Graphical Processing Unit）などのプロセッサ１０２と、チップセット１０４と、主記憶装置１０６と、二次記憶装置１０８と、通信コントローラ１１０と、ＵＳＢ（Universal Serial Bus）コントローラ１１２と、メモリカードインターフェイス１１４と、ネットワークコントローラ１１６，１１８，１２０と、内部バスコントローラ１２２と、インジケータ１２４とを含む。
【００３４】
プロセッサ１０２は、二次記憶装置１０８に格納された各種プログラムを読み出して、主記憶装置１０６に展開して実行することで、標準制御に係る制御演算、および、後述するような各種処理を実現する。チップセット１０４は、プロセッサ１０２と各コンポーネントとの間のデータの遣り取りを仲介することで、制御ユニット１００全体としての処理を実現する。
【００３５】
二次記憶装置１０８には、システムプログラムに加えて、システムプログラムが提供する実行環境上で動作する制御プログラムが格納される。
【００３６】
通信コントローラ１１０は、セキュリティユニット２００との間のデータの遣り取りを担当する。通信コントローラ１１０としては、例えば、ＰＣＩ  Ｅｘｐｒｅｓｓあるいはイーサネット（登録商標）などに対応する通信チップを採用できる。
【００３７】
ＵＳＢコントローラ１１２は、ＵＳＢ接続を介して任意の情報処理装置との間のデータの遣り取りを担当する。
【００３８】
メモリカードインターフェイス１１４は、メモリカード１１５を着脱可能に構成されており、メモリカード１１５に対して制御プログラムや各種設定などのデータを書込み、あるいは、メモリカード１１５から制御プログラムや各種設定などのデータを読出すことが可能になっている。
【００３９】
ネットワークコントローラ１１６，１１８，１２０の各々は、ネットワークを介した任意のデバイスとの間のデータの遣り取りを担当する。ネットワークコントローラ１１６，１１８，１２０は、ＥｔｈｅｒＣＡＴ（登録商標）、ＥｔｈｅｒＮｅｔ／ＩＰ（登録商標）、ＤｅｖｉｃｅＮｅｔ（登録商標）、ＣｏｍｐｏＮｅｔ（登録商標）などの産業用ネットワークプロトコルを採用してもよい。
【００４０】
内部バスコントローラ１２２は、コントローラシステム１を構成するセーフティユニット３００や１または複数の機能ユニット４００との間のデータの遣り取りを担当する。内部バスには、メーカ固有の通信プロトコルを用いてもよいし、いずれかの産業用ネットワークプロトコルと同一あるいは準拠した通信プロトコルを用いてもよい。
【００４１】
インジケータ１２４は、制御ユニット１００の動作状態などを通知するものであり、ユニット表面に配置された１または複数のＬＥＤなどで構成される。
【００４２】
図２には、プロセッサ１０２がプログラムを実行することで必要な機能が提供される構成例を示したが、これらの提供される機能の一部または全部を、専用のハードウェア回路（例えば、ＡＳＩＣ（Application Specific Integrated Circuit）またはＦＰＧＡ（Field-Programmable Gate Array）など）を用いて実装してもよい。あるいは、制御ユニット１００の主要部を、汎用的なアーキテクチャに従うハードウェア（例えば、汎用パソコンをベースとした産業用パソコン）を用いて実現してもよい。この場合には、仮想化技術を用いて、用途の異なる複数のＯＳ（Operating System）を並列的に実行させるとともに、各ＯＳ上で必要なアプリケーションを実行させるようにしてもよい。
【００４３】
（ｂ２：セキュリティユニット２００）
図３は、本実施の形態に従うコントローラシステム１を構成するセキュリティユニット２００のハードウェア構成例を示す模式図である。図３を参照して、セキュリティユニット２００は、主たるコンポーネントとして、ＣＰＵやＧＰＵなどのプロセッサ２０２と、チップセット２０４と、主記憶装置２０６と、二次記憶装置２０８と、通信コントローラ２１０と、ＵＳＢコントローラ２１２と、メモリカードインターフェイス２１４と、ネットワークコントローラ２１６，２１８と、インジケータ２２４とを含む。
【００４４】
プロセッサ２０２は、二次記憶装置２０８に格納された各種プログラムを読み出して、主記憶装置２０６に展開して実行することで、後述するような各種セキュリティ機能を実現する。チップセット２０４は、プロセッサ２０２と各コンポーネントとの間のデータの遣り取りを仲介することで、セキュリティユニット２００全体としての処理を実現する。
【００４５】
二次記憶装置２０８には、システムプログラムに加えて、システムプログラムが提供する実行環境上で動作するセキュリティシステムプログラムが格納される。
【００４６】
通信コントローラ２１０は、制御ユニット１００との間のデータの遣り取りを担当する。通信コントローラ２１０としては、制御ユニット１００に通信コントローラ２１０と同様に、例えば、ＰＣＩ  Ｅｘｐｒｅｓｓあるいはイーサネット（登録商標）などに対応する通信チップを採用できる。
【００４７】
ＵＳＢコントローラ２１２は、ＵＳＢ接続を介して任意の情報処理装置との間のデータの遣り取りを担当する。
【００４８】
メモリカードインターフェイス２１４は、メモリカード２１５を着脱可能に構成されており、メモリカード２１５に対して制御プログラムや各種設定などのデータを書込み、あるいは、メモリカード２１５から制御プログラムや各種設定などのデータを読出すことが可能になっている。
【００４９】
ネットワークコントローラ２１６，２１８の各々は、ネットワークを介した任意のデバイスとの間のデータの遣り取りを担当する。ネットワークコントローラ２１６，２１８は、イーサネット（登録商標）などの汎用的なネットワークプロトコルを採用してもよい。
【００５０】
インジケータ２２４は、セキュリティユニット２００の動作状態などを通知するものであり、ユニット表面に配置された１または複数のＬＥＤなどで構成される。
【００５１】
図３には、プロセッサ２０２がプログラムを実行することで必要な機能が提供される構成例を示したが、これらの提供される機能の一部または全部を、専用のハードウェア回路（例えば、ＡＳＩＣまたはＦＰＧＡなど）を用いて実装してもよい。あるいは、セキュリティユニット２００の主要部を、汎用的なアーキテクチャに従うハードウェア（例えば、汎用パソコンをベースとした産業用パソコン）を用いて実現してもよい。この場合には、仮想化技術を用いて、用途の異なる複数のＯＳを並列的に実行させるとともに、各ＯＳ上で必要なアプリケーションを実行させるようにしてもよい。
【００５２】
（ｂ３：セーフティユニット３００）
図４は、本実施の形態に従うコントローラシステム１を構成するセーフティユニット３００のハードウェア構成例を示す模式図である。図４を参照して、セーフティユニット３００は、主たるコンポーネントとして、ＣＰＵやＧＰＵなどのプロセッサ３０２と、チップセット３０４と、主記憶装置３０６と、二次記憶装置３０８と、メモリカードインターフェイス３１４と、内部バスコントローラ３２２と、インジケータ３２４とを含む。
【００５３】
プロセッサ３０２は、二次記憶装置３０８に格納された各種プログラムを読み出して、主記憶装置３０６に展開して実行することで、セーフティ制御に係る制御演算、および、後述するような各種処理を実現する。チップセット３０４は、プロセッサ３０２と各コンポーネントとの間のデータの遣り取りを仲介することで、セーフティユニット３００全体としての処理を実現する。
【００５４】
二次記憶装置３０８には、システムプログラムに加えて、システムプログラムが提供する実行環境上で動作するセーフティプログラムが格納される。
【００５５】
メモリカードインターフェイス３１４は、メモリカード３１５を着脱可能に構成されており、メモリカード３１５に対してセーフティプログラムや各種設定などのデータを書込み、あるいは、メモリカード３１５からセーフティプログラムや各種設定などのデータを読出すことが可能になっている。
【００５６】
内部バスコントローラ３２２は、内部バスを介した制御ユニット１００との間のデータの遣り取りを担当する。
【００５７】
インジケータ３２４は、セーフティユニット３００の動作状態などを通知するものであり、ユニット表面に配置された１または複数のＬＥＤなどで構成される。
【００５８】
図４には、プロセッサ３０２がプログラムを実行することで必要な機能が提供される構成例を示したが、これらの提供される機能の一部または全部を、専用のハードウェア回路（例えば、ＡＳＩＣまたはＦＰＧＡなど）を用いて実装してもよい。あるいは、セーフティユニット３００の主要部を、汎用的なアーキテクチャに従うハードウェア（例えば、汎用パソコンをベースとした産業用パソコン）を用いて実現してもよい。この場合には、仮想化技術を用いて、用途の異なる複数のＯＳを並列的に実行させるとともに、各ＯＳ上で必要なアプリケーションを実行させるようにしてもよい。
【００５９】
＜Ｃ：セキュリティの脅威対策の確認＞
次に、上述したセキュリティユニット２００において各種セキュリティ機能を実現させてセキュリティの脅威に対して対策を行った場合の確認について説明する。図５は、本実施の形態に従うコントローラシステムでのセキュリティの脅威対策を確認する構成を説明するためのブロック図である。図５に示すように、サポート装置６００は、ユーザ（例えば設定者）の指示によりコントローラシステム１のセキュリティの脅威分析６５０を開始する。脅威分析６５０は、後述するようにセキュリティユニット２００から装置構成の情報、および保有資産の情報を取得して、コントローラシステム１のセキュリティの脅威を分析して、必要な対策シナリオを作成する。本明細書において、「対策シナリオ」は、コントローラシステム１でのセキュリティの対策に関する情報が含まれており、少なくとも保護資産、セキュリティの脅威、およびセキュリティの対策の情報を含んでいる。
【００６０】
サポート装置６００は、脅威分析６５０で作成した対策シナリオなどを含む脅威分析結果をユーザに対して表示し、ユーザからの結果ＯＫの入力を受け付ける。サポート装置６００は、ユーザからの結果ＯＫの入力を受け付けた場合、対策シナリオをコントローラシステム１に設定する。コントローラシステム１では、設定された対策シナリオに応じてセキュリティユニット２００のセキュリティ機能を実行する。これまでの処理は、コントローラシステム１においてセキュリティの脅威対策を設定する処理である。
【００６１】
以降の処理では、上述の処理で設定したセキュリティの脅威対策を確認する処理である。まず、コントローラシステム１は、対策シナリオをＨＭＩ８００に転送する。ＨＭＩ８００は、ユーザに対して対策シナリオの内容を提示して、セキュリティの脅威対策の内容を確認する。ＨＭＩ８００は、ユーザからセキュリティの脅威対策の内容を確認ＯＫの入力を受け付けた場合、処理を終了する。ここで、ＨＭＩ８００は、コントローラシステム１での制御演算によって得られる各種情報（例えば、対策シナリオの内容）をユーザ（例えば、オペレータ）へ提示するとともに、オペレータからの操作に従って、コントローラシステム１に対して内部コマンドなどを生成する。ＨＭＩ８００は、本実施の形態ではコントローラシステム１に含まれるとして説明するが、コントローラシステム１に含まれなくてもよい。また、コントローラシステム１は、ＨＭＩ８００のようなユーザに対して対策シナリオの内容を提示する提示手段を別途設けてもよい。
【００６２】
次に、コントローラシステムにおいて、オペレータにセキュリティの脅威対策を確認させる処理について詳しく説明する。図６は、本実施の形態に従うコントローラシステムおよびＨＭＩでオペレータにセキュリティの脅威対策を確認させる処理を説明するためのシーケンスである。図６に示すシーケンスでは、コントローラシステム１およびＨＭＩ８００を含む制御システムの典型例について説明する。
【００６３】
まず、ユーザが、コントローラシステム１を起動する。コントローラシステム１には、少なくとも制御ユニット１００およびセキュリティユニット２００を含む。コントローラシステム１は、起動すると認証部１５０でオペレータに対して認証情報の確認を行う。具体的に、認証部１５０は、オペレータに対してＩＤとパスワードの入力を求める。認証部１５０がオペレータから認証情報を受け付けた場合、対策シナリオ転送部１６０が、セキュリティの対策シナリオをＨＭＩ８００に転送する。ＨＭＩ８００は、対策シナリオ転送部１６０からセキュリティの対策シナリオの転送を受け付けた場合、当該対策シナリオを提示してオペレータに対してセキュリティの対策の確認を促す。提示手段の一例であるＨＭＩ８００は、対策シナリオに応じてコントローラシステム１でセキュリティ対策が必要な箇所をオペレータに提示する。
【００６４】
対策シナリオに含まれる対策には、セキュリティユニット２００のセキュリティ機能による対策（例えば、ＩＤＳ（Intrusion Detection System）−隔離、フィルタリングなど）と、当該セキュリティ機能を使用しない運用による対策（例えば、有線通信／ポートをふさぐなど）とが含まれる。特に、運用による対策は、セキュリティユニット２００により実行される対策ではないため、オペレータが確認して対策を実行する必要がある。そのため、運用による対策が必要な箇所をＨＭＩ８００でオペレータに提示することで、運用による対策をオペレータが容易に把握することができ、運用による対策の漏れを防ぐことができる。
【００６５】
オペレータが、ＨＭＩ８００に提示された対策シナリオを確認した場合、ＨＭＩ８００は、オペレータからの対策確認ＯＫの情報を受け付ける。ＨＭＩ８００は、オペレータからの対策確認ＯＫの情報を受け付けた場合、コントローラシステム１の確認ログ保存部１７０に確認結果の情報を出力する。確認ログ保存部１７０は、オペレータが対策シナリオを確認したこと（確認操作）を確認ログ（確認履歴）として保存する。工場のＩＴ部門では、組織のセキュリティ教育を実施することが規格などで求められているが、確認ログ保存部１７０でオペレータが対策シナリオを確認したことの確認履歴を取ることで、セキュリティ教育の受講履歴とすることができる。そのため、確認ログ保存部１７０で確認ログを保存することで、セキュリティ教育を行う工数を削減し、製造現場での対策確認の工数を削減することができる。
【００６６】
コントローラシステム１は、確認ログ保存部１７０で確認ログを保存した後に、通常の起動処理が開始される。
【００６７】
＜Ｄ：脅威対策の確認の具体例＞
次に、図７は、本実施の形態に従うコントローラシステムおよびＨＭＩでオペレータにセキュリティの脅威対策を確認させる処理を説明するためのフローチャートである。まず、コントローラシステム１は、作業者（オペレータ）を認証する処理を行う（ステップＳ５０１）。図８は、ステップＳ５０１でＨＭＩ８００に表示される認証確認のための画面である。図８に示す画面では、作業者ＩＤおよびパスワードが入力する欄が表示され、認証確認を促している。
【００６８】
図７に戻って、コントローラシステム１は、図８で入力された作業者ＩＤおよびパスワードが正しいか否かの設定権限の確認を行う（ステップＳ５０２）。作業者ＩＤおよびパスワードが正しくない場合（ステップＳ５０２でＮＯ）、コントローラシステム１は、装置を停止する。
【００６９】
一方、作業者ＩＤおよびパスワードが正しい場合（ステップＳ５０２でＹＥＳ）、コントローラシステム１は、装置内部のデバイス配置とセキュリティのリスクを色で表示する（ステップＳ５０３）。図９は、ステップＳ５０３でＨＭＩ８００に表示されるセキュリティ対策内容の確認のための画面の一例である。図９に示す画面では、セキュリティ対策が必要な箇所を左図に表示し、対策を実施することでリスクが低下することを右図で示している。
【００７０】
図９では、オペレータがセキュリティの対策を行う装置構成が把握しやすいように装置構成（装置内部のデバイス配置）を模式的に図示し、それにセキュリティ対策が必要な箇所を識別（色分け）して図示している。なお、図９では、色を表示できないのでカッコ書きで色を表現している。具体的に、図９の左図では、保守ＰＣとＰＬＣとの間、および外部ネットワーク（ＮＷ）とＰＬＣとの間の線が赤で示され、セキュリティの脅威が高い箇所を示している。ＨＭＩとＰＬＣとの間の線が緑で示され、セキュリティの脅威が中程度の箇所を示している。カメラ、サーボとＰＬＣとの間の線が青で示され、セキュリティの脅威が低い箇所を示している。
【００７１】
セキュリティの脅威の色分けは、対策シナリオに含まれるリスク値（セキュリティの脅威に対するリスクを示す指標）に応じて決定されており、例えば保守ＰＣとＰＬＣとの間に含まれる保護資産のリスク値のうち最高値が２０以上であるので赤で表示される。ＨＭＩとＰＬＣとの間に含まれる保護資産のリスク値のうち最高値が１０以上で２０より小さいので緑で表示され、カメラ、サーボとＰＬＣとの間に含まれる保護資産のリスク値のうち最高値が１０より小さいので青で表示されている。このように、コントローラシステム１の装置構成を示す模式図に、セキュリティ対策が必要な箇所を色分けして表示することで、オペレータはセキュリティ対策が必要な箇所を容易に把握することができる。
【００７２】
さらに、図９の右図では、対策シナリオに沿って対策を施した場合のセキュリティの脅威についても図示されている。保守ＰＣとＰＬＣとの間、外部ネットワーク（ＮＷ）とＰＬＣ、およびＨＭＩとＰＬＣとの間の線が青で図示されている。これにより、オペレータは、対策シナリオに沿って対策を施すことで、セキュリティ対策が有効に行われていることを容易に把握することができる。
【００７３】
ＰＬＣ（制御ユニット１００）に接続されているカメラ、および複数のサーボは、制御対象から制御演算に必要な各種情報を収集するセンサや検出器、および、制御対象に対して何らかの作用を与えるアクチュエータなどであり、フィールドデバイスとも呼ばれる。なお、コントローラシステム１の制御ユニット１００は、通信ポート（図２のネットワークコントローラ１１８）を介して、１または複数のフィールドデバイス５００と接続されている。
【００７４】
図７に戻って、コントローラシステム１は、装置内部のデバイス配置と想定されるセキュリティの脅威の内容を表示する（ステップＳ５０４）。図１０は、ステップＳ５０４でＨＭＩ８００に表示される想定脅威の確認のための画面の一例である。図１０に示す画面では、セキュリティの脅威が想定される箇所に、その脅威の内容を表示している。
【００７５】
図１０では、オペレータがセキュリティの脅威の内容を把握しやすいように、模式的に図示した装置構成にセキュリティの脅威を吹き出しで図示している。具体的に、図１０では、保守ＰＣとＰＬＣとの間では、ユーザプログラムの盗聴、ユーザプログラムの改ざんがセキュリティの脅威として図示されている。また、外部ネットワーク（ＮＷ）とＰＬＣとの間、およびＨＭＩとＰＬＣとの間では、装置機能へのＤｏＳ攻撃、装置機能の成りすましがセキュリティの脅威として図示されている。カメラ、サーボとＰＬＣとの間では、装置機能へのＤｏＳ攻撃、装置機能の成りすまし、制御データの改ざん、制御データの盗聴がセキュリティの脅威として図示されている。
【００７６】
図７に戻って、コントローラシステム１は、装置内部のデバイス配置とセキュリティの対策を表示する（ステップＳ５０５）。図１１は、ステップＳ５０５でＨＭＩ８００に表示されるセキュリティ対策の確認のための画面の一例である。図１１に示す画面では、セキュリティの対策を行う箇所に、その対策の内容を表示している。
【００７７】
図１１では、オペレータがセキュリティの対策を行う箇所とその対策内容を把握しやすいように、装置構成の模式図にセキュリティ対策のマークとその対策内容が図示されている。なお、図１１では、色を表示できないのでカッコ書きで色を表現している。具体的に、図１１では、保守ＰＣとＰＬＣとの間に表示されたセキュリティ対策のマークが表示され、そのマークから吹き出しで「有線通信／ポートふさぐ」と赤字で図示されている。また、外部ネットワーク（ＮＷ）とＰＬＣとの間、およびＨＭＩとＰＬＣとの間にもセキュリティ対策のマークが表示され、それらマークには青字で「ＩＤＳ−隔離」と吹き出しが付されている。カメラ、サーボとＰＬＣとの間に表示されたセキュリティ対策のマークには、青字で「ＩＤＳ−隔離」および「機器認証」と吹き出しが付されている。
【００７８】
さらに、ＰＬＣ、ＨＭＩ、カメラ、サーボを囲む範囲にセキュリティ対策のマークが表示され、そのマークには赤字で「施錠管理」と吹き出しが付されている。吹き出しの色分けは、対策シナリオに含まれる対策の内容に応じて決定されており、セキュリティユニット２００のセキュリティ機能による対策（技術対策）を青字で、当該セキュリティ機能を使用しない運用による対策を赤字で表示している。セキュリティユニット２００のセキュリティ機能による対策では、セキュリティユニット２００に対して設定を行うことで自動的に起動されて対策が実行される。例えば、外部ネットワーク（ＮＷ）とＰＬＣとの間では、セキュリティユニット２００が「ＩＤＳ−隔離」の対策を実行する。ここで、「ＩＤＳ−隔離」は、セキュリティユニット２００のセキュリティ機能の一つである侵入検知システムにより通信を遮断して他の設備から隔離する対策である。
【００７９】
一方、セキュリティ機能を使用しない運用による対策は、オペレータが実際に作業を行って対策する内容であり、セキュリティユニット２００が自動的に対策を実行するものでないため、オペレータが作業を怠った場合、セキュリティの脆弱性を生む原因になる。そこで、図１１に示す画面では、オペレータに運用による対策を実行するための作業が必要であることを示すため対策内容を赤字で表示するとともに、対策のし忘れを防止するための注意喚起として「運用対策では、正しく対策されているか確認してください。」との注意書きが表示されている。具体的に、保守ＰＣとＰＬＣとの間に「有線通信／ポートふさぐ」と表示された場合、保守ＰＣとＰＬＣとを接続するためのポートのうち、使用していないポートを物理的にふさぐ作業をオペレータが行う。
【００８０】
図７に戻って、コントローラシステム１は、オペレータがセキュリティ対策を確認した旨の情報を受け付ける（ステップＳ５０６）。オペレータがセキュリティ対策を確認した旨の情報を受け付けていない場合（ステップＳ５０６でＮＯ）、コントローラシステム１は、装置を停止する。
【００８１】
一方、オペレータがセキュリティ対策を確認した旨の情報を受け付けた場合（ステップＳ５０６でＹＥＳ）、コントローラシステム１は、確認ログをセキュリティユニット２００で保存する（ステップＳ５０７）。確認ログをセキュリティユニット２００で保存した後、コントローラシステム１は、通常の動作を開始する。図１２は、ステップＳ５０７でセキュリティユニット２００に保存されるセキュリティ対策を確認した旨の確認ログの一例である。図１２では、確認ログに、オペレータがセキュリティ対策を確認した時間（確認時間）、確認した装置の識別情報（装置ＩＤ）、確認者、対策シナリオのバージョンの情報が含まれている。
【００８２】
図１２で示した確認ログに含まれる情報は一例であり、組織のセキュリティ教育を実施することが規格などで求められている情報が少なくとも含まれるように設定する。これにより、ステップＳ５０７でオペレータが対策シナリオを確認したことを示す確認ログを保存することで、セキュリティ教育の受講履歴とすることができ、セキュリティ教育を行う工数を削減し、製造現場での対策確認の工数を削減することができる。
【００８３】
＜Ｅ：確認ログの確認処理＞
図７のステップＳ５０７でオペレータが対策シナリオを確認したことを示す確認ログを保存すると説明した。この確認ログを確認するための処理について詳しく説明する。図１３は、本実施の形態に従うコントローラシステムに接続されるサポート装置で確認ログを確認させる処理を説明するためのシーケンスである。図１３に示すシーケンスでは、コントローラシステム１、サポート装置６００およびＨＭＩ８００を含む制御システムの典型例について説明する。
【００８４】
まず、ユーザ（例えば、設定者）が、サポート装置６００でセキュリティユニット２００の確認ツールを立ち上げる。当該確認ツールが立ち上がるとユーザが、サポート装置６００に確認ログ結果取得コマンドおよび認証情報を入力する。コントローラシステム１は、認証部１５０でユーザに対して認証情報の確認を行う。具体的に、認証部１５０は、ユーザに対してＩＤとパスワードの入力を求める。認証部１５０がユーザから認証情報を受け付けた場合、認証結果をサポート装置６００に送信する。サポート装置６００は、認証部１５０から受信した認証結果をユーザに提示する。
【００８５】
次に、サポート装置６００は、認証部１５０から受信した認証結果がＯＫであれば、確認ログ結果取得コマンドを確認ログ通知部１８０に送信する。確認ログ通知部１８０は、サポート装置６００から確認ログ結果取得コマンドを受信した場合、サポート装置６００に保存してある確認ログを通知する。サポート装置６００は、確認ログ通知部１８０から通知された確認ログをユーザに表示する。
【００８６】
次に、図１４は、本実施の形態に従うコントローラシステムに接続されるサポート装置で確認ログを確認させる処理を説明するためのフローチャートである。まず、コントローラシステム１は、アクセス者であるユーザ（例えば、設定者）を認証する処理を行う（ステップＳ６０１）。ステップＳ６０１でＨＭＩ８００に表示される認証確認のための画面は図８に示す画面と同じであり、ＩＤおよびパスワードが入力する欄が表示され、認証確認を促している。
【００８７】
コントローラシステム１は、入力されたＩＤおよびパスワードが正しく、当該ＩＤが確認ログに対してアクセス権限があるか否かの確認を行う（ステップＳ６０２）。ＩＤおよびパスワードが正しくない、または当該ＩＤが確認ログに対してアクセス権限がない場合（ステップＳ６０２でＮＯ）、コントローラシステム１は、確認ログ通知失敗としてサポート装置６００に確認ログを通知しない。
【００８８】
一方、ＩＤおよびパスワードが正しく、当該ＩＤが確認ログに対してアクセス権限がある場合（ステップＳ６０２でＹＥＳ）、コントローラシステム１は、確認ログをサポート装置６００に通知する（ステップＳ６０３）。これにより、コントローラシステム１は、確認ログの通知処理が終了する。図１５は、ステップＳ６０３でサポート装置６００に通知し、サポート装置６００で表示される確認ログの表示画面の一例である。図１５に示す画面では、コントローラシステム１から通知された確認ログの一覧が表示されている。
【００８９】
図１５では、確認ログに、オペレータがセキュリティ対策を確認した時間、確認した装置の識別情報（装置ＩＤ）、確認者、対策シナリオのバージョンの情報が含まれている。図１５で示した確認ログに含まれる情報は一例であり、組織のセキュリティ教育を実施することが規格などで求められている情報が少なくとも含まれるように設定する。これにより、ステップＳ６０３でオペレータが対策シナリオを確認したことを示す確認ログを保存することで、セキュリティ教育の受講履歴とすることができ、セキュリティ教育を行う工数を削減し、製造現場での対策確認の工数を削減することができる。
【００９０】
なお、コントローラシステム１では、入力されたＩＤのアクセス権限によって対策シナリオの確認、編集、および確認ログの通知の処理が異なる。図１６は、アクセス権限による処理の違いを説明するための図である。図１６に示すように、対策シナリオを確認するだけであれば、ユーザがオペレータであっても、工場ＩＴ管理者であっても、装置開発者であっても処理を実行することは可能である。しかし、確認ログを通知することができるのは、工場ＩＴ管理者と、装置開発者とに限られる。さらに、対策シナリオの設定は、装置開発者に限られる。これにより、ユーザの権限により対策シナリオの編集を制限できるので不正な編集を防止でき、アクセス権限に応じた、セキュリティ管理が可能となる。
【００９１】
＜Ｆ：セキュリティ機能の設定＞
上述したように、本実施の形態に従うコントローラシステム１では、設定された対策シナリオをユーザ（例えば、オペレータ）に確認させ、その確認ログを保存する処理を行う。以下では対策シナリオの設定処理の一例について詳しく説明する。なお、対策シナリオの設定処理については、以下の処理に限定されず、何らかの処理でコントローラシステム１のセキュリティの脅威を分析して、必要な対策シナリオを作成されればよい。
【００９２】
セキュリティユニット２００において各種セキュリティ機能を実現させるための設定を行う場合の処理の一例について説明する。図１７は、本実施の形態に従うコントローラシステムに接続されるサポート装置でセキュリティの設定を行うシステム構成を説明するためのブロック図である。図１７に示すように、サポート装置６００には、システム構成入力部６３０、脅威シナリオ作成部６３２、対策作成部６３４、セキュリティ設定部６３６を備えている。なお、サポート装置６００は、脅威分析データベース６１０６、対策データベース６１０８をさらに備えている。しかし、脅威分析データベース６１０６、対策データベース６１０８は、サポート装置６００内に設けず、外部サーバに設けてもよい。
【００９３】
まず、サポート装置６００は、コントローラシステム１から装置構成（装置システム構成）の情報、および保有資産の情報（セキュリティユニット２００のリソース情報を含む）をシステム構成入力部６３０で取得する。脅威シナリオ作成部６３２は、システム構成入力部６３０で取得した装置構成および保護資産に応じて、脅威分析データベース６１０６の重要レベルおよび脅威レベルから脅威シナリオを作成する。本明細書において、「重要レベル」は、コントローラシステム１を構成する保護資産の重要度を示す指標であり、ユーザにおいて設定することも可能である。本明細書において、「脅威レベル」は、コントローラシステム１に対するセキュリティの脅威を示す指標であり、ユーザにおいて設定することも可能である。本明細書において、「保有資産」は、コントローラシステム１を構成する装置などで、制御ユニット１００、セキュリティユニット２００、フィールドデバイス５００などを含む。
【００９４】
脅威分析データベース６１０６には、コントローラシステム１の保護資産に対する重要レベル、セキュリティの脅威に対する脅威レベルを予め格納されている。ユーザは、脅威シナリオ作成部６３２が作成した脅威シナリオに対してＯＫまたはＮＧの判定を行い、その判定結果を脅威シナリオ作成部６３２に入力する。また、ユーザは、脅威シナリオ作成部６３２に対して対策必要リスクレベルを入力可能である。
【００９５】
対策作成部６３４は、脅威シナリオ作成部６３２で作成する脅威シナリオと、対策データベース６１０８の対策とに応じて、コントローラシステム１の保護資産の各々に対する対策を格納した対策シナリオを作成する。対策データベース６１０８には、セキュリティの脅威に応じた対策を予め格納している。ユーザは、対策作成部６３４が作成した対策シナリオに対してＯＫまたはＮＧの判定を行い、その判定結果を対策作成部６３４に入力する。
【００９６】
セキュリティ設定部６３６は、対策作成部６３４で作成する対策シナリオに応じて、セキュリティユニット２００に対してセキュリティ機能の設定データ（セキュリティ機能設定データ）を出力する。セキュリティユニット２００では、設定データ（セキュリティ機能設定データ）に応じて各種セキュリティ機能を実現させている。対策結果出力部６３８は、対策作成部６３４で作成する対策シナリオを含む脅威分析結果を脅威分析結果レポートとしてユーザに出力する。
【００９７】
図１７で説明した構成は、以下に説明するサポート装置６００のハードウェア構成により実現される。図１８は、本実施の形態に従うコントローラシステム１に接続されるサポート装置６００のハードウェア構成例を示す模式図である。サポート装置６００は、一例として、汎用的なアーキテクチャに従うハードウェア（例えば、汎用パソコン）を用いて実現される。
【００９８】
図１８を参照して、サポート装置６００は、プロセッサ６０２と、メインメモリ６０４と、入力部６０６と、出力部６０８と、ストレージ６１０と、光学ドライブ６１２と、ＵＳＢコントローラ６２０とを含む。これらのコンポーネントは、プロセッサバス６１８を介して接続されている。
【００９９】
プロセッサ６０２は、ＣＰＵやＧＰＵなどで構成され、ストレージ６１０に格納されたプログラム（一例として、ＯＳ６１０２およびサポートプログラム６１０４）を読出して、メインメモリ６０４に展開して実行することで、コントローラシステム１に対する設定処理などを実現する。
【０１００】
メインメモリ６０４は、ＤＲＡＭやＳＲＡＭなどの揮発性記憶装置などで構成される。ストレージ６１０は、例えば、ＨＤＤやＳＳＤなどの不揮発性記憶装置などで構成される。
【０１０１】
ストレージ６１０には、基本的な機能を実現するためのＯＳ６１０２に加えて、サポート装置６００としての機能を提供するためのサポートプログラム６１０４が格納される。すなわち、サポートプログラム６１０４は、コントローラシステム１に接続されるコンピュータにより実行されることで、本実施の形態に係るサポート装置６００を実現する。さらに、ストレージ６１０には、脅威分析データベース６１０６および対策データベース６１０８が格納されている。
【０１０２】
入力部６０６は、キーボードやマウスなどで構成され、ユーザ操作を受け付ける。出力部６０８は、ディスプレイ、各種インジケータ、プリンタなどで構成され、プロセッサ６０２からの処理結果などを出力する。
【０１０３】
ＵＳＢコントローラ６２０は、ＵＳＢ接続を介して、コントローラシステム１などとの間のデータを遣り取りする。
【０１０４】
サポート装置６００は、光学ドライブ６１２を有しており、コンピュータ読取可能なプログラムを非一過的に格納する記録媒体６１４（例えば、ＤＶＤ（Digital Versatile Disc）などの光学記録媒体）から、その中に格納されたプログラムが読取られてストレージ６１０などにインストールされる。
【０１０５】
サポート装置６００で実行されるサポートプログラム６１０４などは、コンピュータ読取可能な記録媒体６１４を介してインストールされてもよいが、ネットワーク上のサーバ装置などからダウンロードする形でインストールするようにしてもよい。また、本実施の形態に係るサポート装置６００が提供する機能は、ＯＳが提供するモジュールの一部を利用する形で実現される場合もある。
【０１０６】
図１８には、プロセッサ６０２がプログラムを実行することで、サポート装置６００として必要な機能が提供される構成例を示したが、これらの提供される機能の一部または全部を、専用のハードウェア回路（例えば、ＡＳＩＣまたはＦＰＧＡなど）を用いて実装してもよい。
【０１０７】
次に、上述したサポート装置６００でセキュリティの設定を行うシステム構成において、装置の開発時、装置の立ち上げ時に行う脅威分析およびセキュリティの設定について詳しく説明する。図１９は、本実施の形態に従うコントローラシステムおよびサポート装置での脅威分析およびセキュリティの設定を説明するためのシーケンスである。図１９に示すシーケンスでは、コントローラシステム１およびサポート装置６００を含む制御システムの典型例について説明する。
【０１０８】
まず、ユーザが、サポート装置６００でセキュリティユニット２００の設定ツールを立ち上げる。当該設定ツールが立ち上がるとシステム構成入力部６３０がコントローラシステム１に対して問合せを行う。コントローラシステム１は、システム構成入力部６３０からの問合せに対してコントローラシステム１の装置構成の情報、保有資産の情報をシステム構成入力部６３０に返信する。システム構成入力部６３０は、コントローラシステム１から装置構成の情報、および保有資産の情報を取得する。さらに、システム構成入力部６３０は、セキュリティユニット２００からソフトウェアおよびハードウェアのバージョン情報、リソース容量などのセキュリティユニット２００のリソース情報を取得する。
【０１０９】
ユーザが、サポート装置６００でセキュリティユニット２００の設定の開始を選択し、装置種別を選択した場合、脅威シナリオ作成部６３２は、装置種別に応じて脅威分析データベース６１０６の重要レベルおよび脅威レベルから脅威シナリオリストを作成する。具体的に、脅威シナリオ作成部６３２は、脅威分析データベース６１０６の情報を参照して保有資産評価リストおよび脅威リストを作成し、保有資産評価リストおよび脅威リストに基づく脅威シナリオリストをユーザに提示する。なお、脅威シナリオ作成部６３２は、装置種別に関わらず脅威分析データベース６１０６の重要レベルおよび脅威レベルから脅威シナリオリストを作成してもよい。
【０１１０】
ユーザは、提示された脅威シナリオリストがＯＫまたはＮＧの判定を行い、その判定結果を脅威シナリオ作成部６３２に入力する。脅威シナリオリストがＮＧの場合、ユーザが手作業で修正可能である。また、ユーザは、脅威シナリオ作成部６３２に対策必要リスクレベルを入力することが可能である。なお、サポート装置６００では、対策必要リスクレベルにあわせてセキュリティの脅威に応じた対策を作成することができる。
【０１１１】
対策作成部６３４は、脅威シナリオ作成部６３２で作成する脅威シナリオリストと、対策データベース６１０８の対策とに応じて、コントローラシステム１の保護資産の各々に対する対策を格納した対策シナリオを作成する。対策作成部６３４は、脅威分析データベース６１０６に格納してある脅威対策リストを参照して、脅威シナリオリストの各々の脅威に対する対策を決定して対策シナリオを作成する。
【０１１２】
対策作成部６３４は、作成した対策シナリオをユーザに提示する。ユーザは、対策作成部６３４が作成した対策シナリオに対してＯＫまたはＮＧの判定を行い、その判定結果を対策作成部６３４に入力する。対策シナリオがＮＧの場合、脅威シナリオ作成部６３２に処理を戻し、ユーザが手作業で脅威シナリオリストを修正可能である。
【０１１３】
セキュリティ設定部６３６は、対策作成部６３４で作成する対策シナリオに応じて、セキュリティユニット２００に対してセキュリティ機能の設定データ（セキュリティ機能設定データ）を出力する。セキュリティユニット２００では、設定データ（セキュリティ機能設定データ）に応じて各種セキュリティ機能を実現させている。セキュリティユニット２００は、設定データ（セキュリティ機能設定データ）に応じて設定が完了した場合、ＯＫの情報をセキュリティ設定部６３６に返し、設定が未完の場合、ＮＧの情報をセキュリティ設定部６３６に返す。
【０１１４】
対策結果出力部６３８は、対策作成部６３４で作成する対策シナリオを含む脅威分析結果を脅威分析結果レポートとしてユーザに出力する。このように、制御システムは、サポート装置６００でセキュリティの脅威を分析し、当該脅威に対する対策を容易に行うことができる。
【０１１５】
＜Ｇ：脅威シナリオリスト、対策シナリオの作成＞
次に、図２０は、本実施の形態に従うサポート装置６００での脅威シナリオリスト作成の処理手順を示すフローチャートである。さらに、図２１は、本実施の形態に従うサポート装置６００での対策シナリオ作成の処理手順を示すフローチャートである。まず、サポート装置６００は、図２０に示す処理を開始するとシステム構成入力部６３０で装置構成の情報を取得する（ステップＳ１０１）。コントローラシステム１で制御する装置種別により制御の目的、重要とする事項などが異なるため設定するセキュリティ機能も異なる。
【０１１６】
例えば、コントローラシステム１で制御する装置が半導体製造装置であれば、製造工程において基本的に装置の近くに人が立ち入ることがないため、装置の制御を維持し続けることが重要である。一方、コントローラシステム１で制御する装置がプレス装置であれば、製造工程において装置の近くで人が作業を行うことが基本であるため、非常時に装置を確実に停止させて人の安全を守ることが重要である。そのため、半導体製造装置であれば、装置の制御を維持し続けることに必要な構成のセキュリティ機能を優先して設定し、プレス装置であれば、装置を確実に停止させるために必要な構成のセキュリティ機能を優先して設定する。
【０１１７】
ステップＳ１０１では、システム構成入力部６３０がコントローラシステム１に対して装置構成の情報、保有資産の情報を問合せ、コントローラシステム１から装置構成の情報、および保有資産の情報を取得する。さらに、システム構成入力部６３０は、ユーザが選択した装置種別（例えば、半導体製造装置、プレス装置など）の情報に基づき、装置構成の情報、保有資産の情報から図９に示したような装置構成を作成する。
【０１１８】
次に、サポート装置６００は、脅威シナリオ作成部６３２で、システム構成入力部６３０で取得した装置構成および保護資産に応じて、保護資産評価リストを作成する（ステップＳ１０２）。具体的に、脅威シナリオ作成部６３２は、ステップＳ１０１で取得した構成機器に対して、脅威分析データベース６１０６にある機能ごとの保護資産リストを連結する。
【０１１９】
例えば、半導体製造装置の場合、装置構成には、ＨＭＩ、ＰＬＣ、カメラ、サーボが含まれているとすると、脅威シナリオ作成部６３２では、脅威分析データベース６１０６にある保護資産リストの中から、ＨＭＩ保護資産、ＰＬＣ保護資産、カメラ保護資産、サーボ保護資産のリストを取り出して連結する。図２２は、本実施の形態に従うサポート装置で作成した保護資産評価リストの一例を示す図である。図２２には、半導体製造装置の場合の保護資産評価リスト（ａ）が示されている。保護資産評価リスト（ａ）には、ＨＭＩ保護資産、ＰＬＣ保護資産、カメラ保護資産、サーボ保護資産の属性および重要レベルが格納されている。
【０１２０】
保護資産評価リストでは、例えば、半導体製造装置とプレス装置とで重要とする事項が異なるため、重要レベルも異なってもよい。例えば、半導体製造装置の保護資産評価リストでは、装置の制御を維持し続けるためＰＬＣ保護資産のユーザプログラムの重要レベルを高いくし、プレス装置の保護資産評価リストでは、装置を確実に停止させるためサーボ保護資産のサーボ機能、制御指示データの重要レベルを高くする。
【０１２１】
脅威シナリオ作成部６３２は、保護資産評価リストを作成した後、図２０に示すように脅威シナリオを作成する（ステップＳ１０３）。ステップＳ１０３で脅威シナリオを作成する場合、脅威シナリオ作成部６３２は、まず脅威リストを作成する必要がある。具体的に、脅威シナリオ作成部６３２は、ステップＳ１０１で取得した構成機器に対して、脅威分析データベース６１０６にある想定攻撃箇所の脅威リストを連結する。
【０１２２】
例えば、半導体製造装置の場合、装置構成には、ＨＭＩ、ＰＬＣ、カメラ、サーボが含まれているとすると、脅威シナリオ作成部６３２では、脅威分析データベース６１０６にある攻撃箇所ごとの脅威リストから、ＨＭＩ、ＰＬＣ、カメラ、サーボの保護資産に対して予め定められている想定攻撃箇所の脅威リストを取り出して連結する。図２３は、本実施の形態に従うサポート装置で作成した脅威リストの一例を示す図である。図２３には、半導体製造装置の場合の脅威リスト（ａ）が示されている。脅威リスト（ａ）には、ＨＭＩ、ＰＬＣ、カメラ、サーボの保護資産に対して想定される攻撃箇所として、外部ネットワーク、不正機器接続、メモリカード、保守ＰＣ、カメラ、サーボの脅威、対象属性、脅威レベルが格納されている。
【０１２３】
ここで、本明細書において、「脅威」は、設備や機械を正常運転することを妨げる任意の事象を意味する。ＰＬＣを中心とする制御装置においては、典型的な脅威には、（１）データベースなどの上位装置からの攻撃、（２）フィールドデバイスからの攻撃、（３）サポート装置を介した攻撃、（４）メモリカードなどの制御装置に装着される記憶媒体を介した攻撃、といった４つの局面からの脅威が考えられる。さらに、制御装置に搭載されているすべての物理ポートは攻撃を受けるセキュリティリスクが存在している。
【０１２４】
例えば、図２３に示す想定される攻撃箇所の外部ネットワークは、「（１）データベースなどの上位装置からの攻撃」に分類され、具体的な脅威として「通信ＤｏＳ（Distributed Denial of Service）攻撃」、「通信データ盗聴」、「通信データ改ざん」がある。「通信ＤｏＳ攻撃」は、攻撃対象の通信アドレス宛てに、大量のパケットを送信する攻撃で、外部との通信機能が影響を受けるだけであり、装置自体を動作させることは可能である場合が多い。そのため、「通信ＤｏＳ攻撃」では、対象属性が「機能」で、脅威レベルが「３」に設定されている。
【０１２５】
「通信データ盗聴」は、ネットワーク機器経由で通信を傍受し、通信中のデータを盗み見る攻撃で、情報が漏えいするだけで装置の機能に影響を与えない。そのため、「通信データ盗聴」では、対象属性が「情報」で、脅威レベルが「４」に設定されている。「通信データ改ざん」は、ネットワーク機器経由で通信中のデータを改ざんする攻撃で、情報に対する脅威である。「通信データ改ざん」では、対象属性が「情報」で、脅威レベルが「２」に設定されている。
【０１２６】
また、図２３に示す想定される攻撃箇所のメモリカードは、「（４）メモリカードなどの制御装置に装着される記憶媒体を介した攻撃」に分類され、具体的な脅威として「ファームウェア改ざん」、「ユーザプログラムの盗用」がある。「ファームウェア改ざん」は、例えば、制御ユニット１００の更新ファームウェアを改ざんし、不正動作のプログラムを書込む攻撃で、情報に対する脅威である。そのため、「ファームウェア改ざん」では、対象属性が「情報」で、脅威レベルが「４」に設定されている。「ユーザプログラムの盗用」は、ユーザのプログラムを盗用し、別マシンで再利用する攻撃で、情報の漏えいである。そのため、「ユーザプログラムの盗用」では、対象属性が「情報」で、脅威レベルが「４」に設定されている。
【０１２７】
さらに、図２３に示す想定される攻撃箇所の保守ＰＣは、「（３）サポート装置を介した攻撃」に分類され、具体的な脅威として「マルウェアによる機能不全」、「データ盗用」、「通信データ改ざん」がある。「マルウェアによる機能不全」は、例えば、制御ユニット１００にマルウェアを感染させ、その機能を不全にする攻撃で、情報に対する脅威である。そのため、「マルウェアによる機能不全」では、対象属性が「機能」で、脅威レベルが「４」に設定されている。「データ盗用」は、装置のデータを盗用し、別マシンで再利用する攻撃で、情報の漏えいである。そのため、「データ盗用」では、対象属性が「情報」で、脅威レベルが「４」に設定されている。「通信データ改ざん」は、ネットワーク機器経由で通信中のデータを改ざんする攻撃で、情報に対する脅威である。「通信データ改ざん」では、対象属性が「情報」で、脅威レベルが「３」に設定されている。
【０１２８】
また、図２３に示す想定される攻撃箇所のカメラ、サーボは、「（２）フィールドデバイスからの攻撃」に分類され、具体的な脅威として「カメラ乗っ取り」、「画像不正改ざん」、「サーボ機能停止」、「サーボ制御データ改ざん」がある。「カメラ乗っ取り」は、操作権限のない利用者が悪意を持ってカメラを操作し、制御ユニット１００に対する攻撃で、制御ユニット１００の機能に対する脅威である。そのため、「カメラ乗っ取り」では、対象属性が「機能」で、脅威レベルが「３」に設定されている。
【０１２９】
「画像不正改ざん」は、カメラで撮像した画像を改ざんする攻撃で、情報に対する脅威である。「画像不正改ざん」では、対象属性が「情報」で、脅威レベルが「１」に設定されている。「サーボ機能停止」は、操作権限のない利用者が悪意を持ってサーボ機能を停止させ、制御ユニット１００によるサーボ制御を行わせない攻撃で、制御ユニット１００の機能に対する脅威である。そのため、「サーボ機能停止」では、対象属性が「機能」で、脅威レベルが「３」に設定されている。「サーボ制御データ改ざん」は、サーボ制御に必要なデータを改ざんする攻撃で、情報に対する脅威である。「サーボ制御データ改ざん」では、対象属性が「情報」で、脅威レベルが「２」に設定されている。
【０１３０】
半導体製造装置とプレス装置とで重要とする事項が異なるため、同じ脅威でも格納されている脅威レベルが異なってもよい。例えば、プレス装置の脅威リストでは、装置を確実に停止させるためメモリカード、保守ＰＣの脅威に対する脅威レベルを高くする。
【０１３１】
なお、脅威リストは、図２３で示すように想定される攻撃箇所ごとに、脅威、対象属性、脅威レベルが格納されていると説明した。しかし、脅威リストに格納される情報は、これに限られず、例えば制御ユニット１００またはセキュリティユニット２００のソフトウェアおよびハードウェアのバージョン情報であってもよい。制御ユニット１００およびセキュリティユニット２００は、ソフトウェアおよびハードウェアのバージョン情報によってセキュリティの脆弱性が異なるため、バージョン情報により脅威レベルを異ならせる必要がある。
【０１３２】
図２０に戻って、脅威シナリオ作成部６３２は、ステップＳ１０３で脅威リストと保護資産評価リストとから脅威シナリオを作成する。脅威シナリオ作成部６３２は、脅威リストと保護資産評価リストと属性でリンクして組み合わせ脅威シナリオを作成している。脅威シナリオは、保護資産と脅威とを組み合わせた項目ごとにリストとしてさせる。リスト化された脅威シナリオは、以下、脅威シナリオリストともいう。脅威シナリオ作成部６３２は、作成する脅威シナリオリストの各項目に対するリスク値を算出する（ステップＳ１０４）。リスク値は、セキュリティの脅威に対するリスクを示す指標で、例えば、予め定められた試算方法で、脅威リストの脅威レベルと保護資産評価リストの重要レベルとの積算で求められる。
【０１３３】
脅威シナリオ作成部６３２は、作成した脅威シナリオリストのリスク値がユーザの設定した対策必要リスクレベルより高いか否かを判定する（ステップＳ１０５）。リスク値が対策必要リスクレベルより高い場合（ステップＳ１０５でＹＥＳ）、脅威シナリオ作成部６３２は、脅威シナリオリストの項目に対策が必要であるとの設定を行う（ステップＳ１０６）。一方、リスク値が対策必要リスクレベルより低い場合（ステップＳ１０５でＮＯ）、脅威シナリオ作成部６３２は、脅威シナリオリストの項目に対策が必要でないとの設定を行う（ステップＳ１０７）。
【０１３４】
脅威シナリオ作成部６３２は、作成した脅威シナリオリストのすべてのリスク値について対策の要否の試算が終了したか否かを判定する（ステップＳ１０８）。すべてのリスク値について対策の要否の試算が終了していない場合（ステップＳ１０８でＮＯ）、脅威シナリオ作成部６３２は、処理をステップＳ１０４に戻す。すべてのリスク値について対策の要否の試算が終了している場合（ステップＳ１０８でＹＥＳ）、脅威シナリオ作成部６３２は、脅威シナリオリストをリスク値の高い順で、対策の要否順で項目の並べ替えを行う（ステップＳ１０９）。
【０１３５】
ステップＳ１０３〜ステップＳ１０９で作成される脅威シナリオリストについて、具体例を示して説明する。図２４は、本実施の形態に従うサポート装置で作成した脅威シナリオリストの一例を示す図である。図２４に示す脅威シナリオリストでは、重要レベルが「５」の装置機能の保護資産評価リストの項目と、脅威レベルが「５」のＤｏＳ攻撃の項目とを積算した結果がリスク値として「２５」の値が格納されている。この脅威シナリオリストに対して対策必要リスクレベルを「１５」以上として、リスク値の高い順で並べ替えを行う。並べ替えを行った脅威シナリオリストを図２４の下側に示している。
【０１３６】
次に、対策作成部６３４が、脅威シナリオ作成部６３２で作成する脅威シナリオリストと、対策データベース６１０８の対策（脅威対策リスト）とに応じて、コントローラシステム１の保護資産の各々に対する対策を格納した対策シナリオを作成する処理を説明する。図２１に戻って、まず、対策作成部６３４は、脅威シナリオリストの各項目に対応する対策を対策データベース６１０８から抽出する（ステップＳ１１０）。対策データベース６１０８から抽出する対策には、セキュリティユニット２００のセキュリティ機能による対策と、当該セキュリティ機能を使用しない運用による対策とが含まれる。もちろん、対策データベース６１０８に格納されている対策がセキュリティユニット２００のセキュリティ機能による対策のみである場合、抽出する対策は、セキュリティユニット２００のセキュリティ機能による対策のみでもよい。
【０１３７】
対策作成部６３４は、対策データベース６１０８の脅威対策リストから選択したセキュリティ機能による対策を行うために、セキュリティユニットで必要となるバージョン以上のバージョンのセキュリティユニット２００が設けられているか否かを判定する（ステップＳ１１１）。必要となるバージョン以上の場合（ステップＳ１１１でＹＥＳ）、対策作成部６３４は、セキュリティ機能による対策を行うためにセキュリティユニットで必要となるリソース容量が、セキュリティユニット２００のリソース容量以下であるか否かを判定する（ステップＳ１１２）。
【０１３８】
必要となるリソース容量が、セキュリティユニット２００のリソース容量以下である場合（ステップＳ１１２でＹＥＳ）、対策作成部６３４は、当該セキュリティ機能による対策を脅威シナリオリストの項目に設定する（ステップＳ１１３）。対策作成部６３４は、セキュリティ機能による対策を脅威シナリオリストの項目に設定した場合、セキュリティユニット２００のリソース容量から設定したセキュリティ機能による対策のリソース容量を減算する（ステップＳ１１４）。
【０１３９】
必要となるバージョンより低い場合（ステップＳ１１１でＮＯ）、または必要となるリソース容量が、セキュリティユニット２００のリソース容量より大きい場合（ステップＳ１１２でＮＯ）、対策作成部６３４は、セキュリティ機能を使用しない運用による対策を脅威シナリオリストの項目に設定する（ステップＳ１１５）。
【０１４０】
対策作成部６３４は、脅威シナリオリストのすべての項目に対して対策の設定を完了したか否かを判定する（ステップＳ１１６）。すべての項目に対して対策の設定を完了していない場合（ステップＳ１１６でＮＯ）、対策作成部６３４は、処理をステップＳ１１１に戻す。すべての項目に対して対策の設定を完了した場合（ステップＳ１１６でＹＥＳ）、対策作成部６３４は、脅威シナリオリストのすべての項目に対して対策の設定を完了した対策シナリオを作成する。セキュリティ設定部６３６は、対策作成部６３４で作成する対策シナリオに応じて、セキュリティユニット２００に対してセキュリティ機能の設定データ（セキュリティ機能設定データ）を出力する（ステップＳ１１７）。ステップＳ１１７では、対策結果出力部６３８が、対策作成部６３４で作成する対策シナリオを含む脅威分析結果を脅威分析結果レポートとしてユーザに出力する。
【０１４１】
ステップＳ１１０〜ステップＳ１１６で作成される対策シナリオについて、具体例を示して説明する。図２５は、本実施の形態に従うサポート装置で作成した対策シナリオの一例を示す図である。図２５に示す対策シナリオ（ｂ）は、図２４に示した脅威シナリオリストの各項目に、対策データベース６１０８の脅威対策リスト（ａ）から選択した対策が設定してある。対策シナリオ（ｂ）では、脅威シナリオリストの情報に加えて対策、リソース、効果脅威レベル、対策後リスク値の各情報が格納されている。例えば、「装置機能」×「ＤｏＳ攻撃」の項目で、対策として「フィルタリング」、リソースとして「１０」、効果脅威レベルとして「２」、対策後リスク値として「１０」がそれぞれ格納されている。さらに、対策シナリオ（ｂ）では、残りのリソース容量が少ないので、「ユーザプログラム」×「盗聴」の項目でセキュリティ機能による対策ではなく、運用による対策が選択されている。対策シナリオ（ｂ）では、「ユーザプログラム」×「盗聴」の項目で、対策として「有線通信／ポートをふさぐ」、リソースとして「０」、効果脅威レベルとして「２」、対策後リスク値として「８」がそれぞれ格納されている。
【０１４２】
対策シナリオでは、リスク値が対策必要リスクレベル以上であるか否かにより対策の要否を判定し、セキュリティユニット２００のリソース容量が全機能搭載可能であると仮定して対策必要リスクレベル以上の全ての項目に対して対策が設定することもできる。しかし、現実的にはセキュリティユニット２００のリソース容量は有限であり、当該リソース容量に応じて選択される対策が異なる。
【０１４３】
セキュリティユニット２００のセキュリティ機能による対策（例えば、ＩＤＳ−隔離、フィルタリングなど）は、セキュリティユニット２００のリソースを使用するため、リソース容量内で対策を行う必要がある。一方、運用による対策（例えば、有線通信／ポートをふさぐなど）は、セキュリティユニット２００のリソースを使用しないため、リソース容量を気にせずに対策を行うことができる。
【０１４４】
サポート装置６００では、ステップＳ１０４の処理で作成した脅威シナリオリストのリスク値を試算するために、ユーザがリスク値を試算する方法（例えば、重要度（重要レベル）×脅威レベルなど）を選択してもよい。ここで、リスク値は、重要度（重要レベル）と脅威レベルとを単純に積算して求めるだけでなく、それぞれの値に重みを設定して積算して求めてもよい。例えば、脅威レベルを２倍にしてリスク値を試算してもよい。また、別の試算方法として、一般的な脅威分析のリスク評価方法である共通脆弱性評価システムＣＶＳＳ（Common Vulnerability Scoring System）や、ＲＳＭＡ（Risk Scoring Methodology for Automotive system）を用いてリスク値を試算してもよい。
【０１４５】
＜Ｈ．付記＞
上述したような本実施の形態は、以下のような技術思想を含む。
［構成１］
コントローラシステム（１）であって、
制御対象を制御するための制御演算を実行する制御ユニット（１００）と、
前記制御ユニット（１００）に接続され、前記コントローラシステム（１）に対するセキュリティ機能を担当するセキュリティユニット（２００）と、
前記セキュリティユニット（２００）による前記コントローラシステム（１）のセキュリティ対策をユーザに提示する提示手段（ＨＭＩ８００）と備え、
前記セキュリティユニット（２００）は、前記コントローラシステム（１）の装置構成および保護資産の脅威分析に応じた対策シナリオを保持し、前記対策シナリオに応じてセキュリティ機能の設定を行い、
前記提示手段は、前記対策シナリオに応じて前記コントローラシステム（１）でセキュリティ対策が必要な箇所をユーザに提示する、コントローラシステム（１）。
［構成２］
前記提示手段は、前記コントローラシステム（１）でセキュリティ対策が必要な箇所を、セキュリティの脅威に対するリスクに応じて識別してユーザに提示する、構成１に記載のコントローラシステム（１）。
［構成３］
前記提示手段は、前記コントローラシステム（１）でセキュリティ対策が必要な箇所で想定される脅威の内容をユーザに提示する、構成１または構成２に記載のコントローラシステム（１）。
［構成４］
前記提示手段は、前記対策シナリオに応じて前記セキュリティユニット（２００）のセキュリティ機能の設定を行った箇所をユーザに提示する、構成１〜構成３のいずれか１項に記載のコントローラシステム（１）。
［構成５］
前記提示手段は、前記対策シナリオに応じて前記セキュリティユニット（２００）のセキュリティ機能を使用しない運用による対策を行う必要がある箇所をユーザに提示する、構成４に記載のコントローラシステム（１）。
［構成６］
前記提示手段は、前記運用による対策をユーザに促す表示を提示する、構成５に記載のコントローラシステム（１）。
［構成７］
ユーザが前記コントローラシステム（１）にアクセスすることが可能であることを認証する認証手段（認証部１５０）をさらに備え、
前記提示手段は、前記対策シナリオに応じて前記コントローラシステム（１）でセキュリティ対策が必要な箇所を前記認証手段で認証したユーザに対してのみ提示する、構成１〜構成６のいずれか１項に記載のコントローラシステム（１）。
［構成８］
ユーザの確認操作を確認履歴として保存する保存手段（確認ログ保存部１７０）をさらに備える、構成１〜構成７のいずれか１項に記載のコントローラシステム（１）。
［構成９］
前記保存手段に保存した確認履歴をユーザに対して通知する通知手段（確認ログ通知部１８０）とをさらに備える、構成８に記載のコントローラシステム（１）。
［構成１０］
前記認証手段で認証したユーザの権限に応じて、前記提示手段で提示した前記対策シナリオの編集が可能である、構成７に記載のコントローラシステム（１）。
［構成１１］
前記セキュリティユニット（２００）は、前記コントローラシステム（１）に接続するサポート装置において脅威分析を行い、作成した前記対策シナリオを保持する、構成１〜構成１０のいずれか１項に記載のコントローラシステム（１）。
【０１４６】
＜Ｉ．利点＞
本実施の形態に係る制御システムによれば、セキュリティの脅威に対する対策を、ユーザに対して容易に把握させることができる。
【０１４７】
今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記した説明ではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
【符号の説明】
【０１４８】
１  コントローラシステム、１０  制御システム、１００  制御ユニット、１０２，２０２，３０２，６０２  プロセッサ、１０４，２０４，３０４  チップセット、１０６，２０６，３０６  主記憶装置、１０８，２０８，３０８  二次記憶装置、１１０，２１０  通信コントローラ、１１２，２１２，６２０  ＵＳＢコントローラ、１１４，２１４，３１４  メモリカードインターフェイス、１１５，２１５，３１５  メモリカード、１１６，１１８，１２０，２１６，２１８  ネットワークコントローラ、１２２，３２２  内部バスコントローラ、１２４，２２４，３２４  インジケータ、１４２，１４４，２４２  通信ポート、２００  セキュリティユニット、３００  セーフティユニット、４００  機能ユニット、４５０  電源ユニット、５００  フィールドデバイス、６００  サポート装置、６０４  メインメモリ、６０６  入力部、６０８  出力部、６１０  ストレージ、６１２  光学ドライブ、６１４  記録媒体、６１８  プロセッサバス、８００  ＨＭＩ、９００  外部ネットワーク、６１０２  ＯＳ、６１０４  サポートプログラム、６１０６  脅威分析データベース、６１０８  対策データベース。
【図１】
2020166521.tif 000003
【図２】
2020166521.tif 000004
【図３】
2020166521.tif 000005
【図４】
2020166521.tif 000006
【図５】
2020166521.tif 000007
【図６】
2020166521.tif 000008
【図７】
2020166521.tif 000009
【図８】
2020166521.tif 000010
【図９】
2020166521.tif 000011
【図１０】
2020166521.tif 000012
【図１１】
2020166521.tif 000013
【図１２】
2020166521.tif 000014
【図１３】
2020166521.tif 000015
【図１４】
2020166521.tif 000016
【図１５】
2020166521.tif 000017
【図１６】
2020166521.tif 000018
【図１７】
2020166521.tif 000019
【図１８】
2020166521.tif 000020
【図１９】
2020166521.tif 000021
【図２０】
2020166521.tif 000022
【図２１】
2020166521.tif 000023
【図２２】
2020166521.tif 000024
【図２３】
2020166521.tif 000025
【図２４】
2020166521.tif 000026
【図２５】
2020166521.tif 000027