(57)【要約】【課題】  暗号化すべき箇所が異なる場合は、安全性が確保できない。【解決手段】  開示する暗号通信システムは、解析装置と複数の制御装置とをネットワークで接続する。解析装置は、複数の制御装置から複数の第１のデータを受信し、第１のデータの送信元である制御装置毎に、前記第１のデータの暗号化領域を選択する領域選択ポリシを記憶し、第１のデータから第１のデータを送信した制御装置を特定し、特定した制御装置に対応する領域選択ポリシに基づいて、制御装置が送信した第１のデータの暗号化領域を示す暗号化領域情報を生成し、生成した暗号化領域情報を制御装置に送信する。制御装置は、第１のデータと第２のデータを生成し、解析装置から取得した第１のデータの暗号化領域情報を記憶し、暗号化領域情報に基づいて、第２のデータの暗号処理を行い、他の制御装置に、暗号化された第２のデータを送信する。【選択図】  図１
2014207625.tif 000002
【特許請求の範囲】
【請求項１】
複数の制御装置が通信する暗号通信システムにおいて、
解析装置を更に備え、
前記解析装置は、
制御装置から１つ以上のデータを受信するデータ収集部と、
第１のデータの送信元である制御装置毎に、前記第１のデータの暗号化領域を選択する領域選択ポリシを記憶するポリシ保管部と、
前記データ収集部で収集した第１のデータから前記第１のデータを送信した制御装置を特定し、特定した前記制御装置に対応する領域選択ポリシに基づいて、前記制御装置が送信した前記第１のデータの暗号化領域を示す暗号化領域情報を生成する暗号化領域生成部と、
生成した暗号化領域情報を前記制御装置に送信する暗号化領域リスト配付部と、
を備え、
前記制御装置は、
第１のデータと第２のデータを生成する制御業務処理部と、
前記解析装置から取得した前記第１のデータの前記暗号化領域情報を記憶する暗号化領域リスト保管部と、
前記暗号化領域情報に基づいて、前記第２のデータの暗号処理を行う暗復号処理部と、  他の制御装置に、暗号化された前記第２のデータを送信する送信部と、
を備えることを特徴とする暗号通信システム。
【請求項２】
請求項１に記載の暗号通信システムであって、
前記解析装置は、更に
前記制御装置に対応する暗号化領域要求サイズを記憶するデータ長保管部を備え、
前記ポリシ保管部は、前記領域選択ポリシ毎に優先度を記憶し、
前記暗号化領域生成部は、前記優先度が一番高い領域選択ポリシに基づいて生成した前記暗号化領域のサイズが、前記データ長保管部に格納されている前記暗号化領域要求サイズより小さい場合には、前記暗号領域を除く領域において、次に高い優先度の領域選択ポリシを適用して更に暗号化領域を生成し、生成された１つ以上の暗号化領域のサイズの合計が、前記暗号化領域要求サイズになるまで繰り返す
ことを特徴とする暗号通信システム。
【請求項３】
請求項２に記載の暗号通信システムであって、
前記暗号化領域生成部は、生成された１つ以上の暗号化領域のサイズの合計が、前記データ長保管部に記憶された前記暗号化領域要求サイズより大きい場合は、前記暗号化領域要求サイズと一致するように、前記暗号化領域を生成する
ことを特徴とする暗号通信システム。
【請求項４】
請求項３に記載の暗号通信システムであって、
前記解析装置の前記暗号領域リスト配付部は、
他の制御装置にも前記暗号化領域情報を配付し、
前記他の制御装置は、
前記解析装置から、前記暗号対象領域情報を受信し、前記制御装置が送信した前記第２のデータの暗号対象領域情報データとして記憶する暗号領域リスト保管部と、
暗号化された前記第２のデータを受信した場合、前記暗号対象領域に基づいて暗号化された前記第２のデータを復号する暗復号処理部と、を備える
ことを特徴とする暗号通信システム。
【請求項５】
請求項４に記載の暗号通信システムにおいて、
前記制御装置は、更に、
前記暗号化領域情報に基づいて、前記第２のデータの暗号化領域を抽出する暗号化領域選択部を備え、
前記暗復号処理部は、暗号化領域に相当する、前記第２のデータの暗号対象データに対して、暗号処理を行う
ことを特徴とする暗号通信システム。
【請求項６】
請求項５に記載の暗号通信システムにおいて、
前記制御装置は、
さらに、暗号通信時に利用するヘッダを受信時に取得する暗号ヘッダ取得部と、暗号通信時に利用するヘッダを送信時に生成する暗号ヘッダ生成部と、
を備える
ことを特徴とする暗号通信システム。
【請求項７】
請求項６に記載の暗号通信システムにおいて、
前記ポリシは、
前記制御装置の識別情報と、領域選択方法の識別情報と、優先度を含む
ことを特徴とする暗号通信システム。
【請求項８】
請求項７に記載の暗号通信システムにおいて、
前記領域選択方法とは、
送信データが前記制御装置の動作モードを変更するといった影響が大きいデータが含まれる領域を暗号すべき領域として選択する方法又は、
前記制御装置から送信されるデータの中のデータの変化頻度に応じて暗号すべき領域として選択する方法又は、
前記制御装置から送信されるデータの中で変化量に応じて暗号すべき領域として選択する方法である
ことを特徴とする暗号通信システム。
【請求項９】
解析装置は、
複数の制御装置から１つ以上のデータを受信するステップと、
第１のデータの送信元である制御装置毎に、前記第１のデータの暗号化領域を選択する領域選択ポリシを記憶するステップと、
前記データ収集部で収集した第１のデータから前記第１のデータを送信した制御装置を特定し、特定した前記制御装置に対応する領域選択ポリシに基づいて、前記制御装置が送信した前記第１のデータの暗号化領域を示す暗号化領域情報を生成するステップと、
生成した暗号化領域情報を前記制御装置に送信するステップと、
を備え、
前記制御装置は、
第１のデータと第２のデータを生成するステップと、
前記解析装置から取得した前記第１のデータの前記暗号化領域情報を記憶するステップと、
前記暗号化領域情報に基づいて、前記第２のデータの暗号処理を行うステップと、
他の制御装置に、暗号化された前記第２のデータを送信するステップと、
を備えることを特徴とする暗号通信方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、暗号化及び復号化システムに関する。
【背景技術】
【０００２】
近年、電力、鉄道、水道、ガスといった社会インフラで利用される制御システムをターゲットとしたコンピュータウィルスが発見されており、制御システムにおいても情報システムと同様にセキュリティ対策が必要となってきている。
【０００３】
また、制御システムでは、センサの情報をもとにバルブやアクチュエータといった装置を動作させ、あらかじめ設定されている圧力や温度を保つことが要求される。そして、社会インフラシステムにおいて圧力や温度を保つためには、短い処理時間内で、センサから情報を取得し、状態を確認し、必要であれば制御を行うということが必要となる。圧力や温度が予め定められた閾値を超えてしまった場合は、社会インフラシステムが正常に動かなくなり、社会への影響が大きい。
【０００４】
一方、セキュリティ対策の一つとして暗号技術が知られているが、制御システム内の各装置で実行される処理は上記に示したように、ある限られた処理時間内に処理を完了させる必要があるため、暗号技術導入に伴う処理時間の増加が課題となる。
【０００５】
このような課題に対し、データベースの暗号化及び復号化の処理時間を短縮を狙う技術として特許文献１に記載の技術がある。特許文献１に記載の技術では、データベースの項目単位にデータを暗号化及び復号化することが記載されている（段落０１０９、０１９３等）。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００２−５５６０８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
特許文献１に記載の技術では、データベースの項目を単位として、固定の項目を暗号化している。一方、制御システムでは、業務の種類によって送受信するデータフォーマットが異なる場合がある。そのため、業務によって暗号化すべき箇所が異なることがある。特許文献１では、データによって暗号化する箇所を変更することは開示されていない。そのため、安全性が確保できない。
【０００８】
従って、暗号化及び復号化の処理時間を短く保ちつつ、多様なデータ種別に対応した安全性の高い暗号通信システムが望まれている。
【課題を解決するための手段】
【０００９】
開示する暗号通信システムは、解析装置と複数の制御装置とをネットワークで接続する。解析装置は、制御装置からデータを受信するデータ収集部と、データの送信元である制御装置毎に、データの暗号化領域を選択する領域選択ポリシを記憶するポリシ保管部と、データ収集部で収集したデータからデータの制御装置を取得し、ポリシ保管部に記憶されている制御装置に対応する領域選択ポリシに基づいて、制御装置におけるデータの暗号領域情報を生成する暗号領域生成部と、生成した暗号領域情報を制御装置に送信する暗号領域リスト配付部と、を備え、制御装置は、解析装置から取得したデータの暗号領域情報を記憶する暗号領域リスト保管部と、暗号領域情報に基づいて、データの暗号対象データを抽出する暗号領域選択部と、暗号対象データに対して暗号処理を行う暗復号処理部と、他の制御装置に、暗号処理が行われたデータを含む送信データを送信する送信部と、を備える。
【発明の効果】
【００１０】
本発明によれば、暗号化及び復号化の処理時間を短く保ちつつ、多様なデータ種別に対応した安全性の高い暗号通信システムが提供できる。
【図面の簡単な説明】
【００１１】
【図１】実施例１の暗号通信システムの構成図である。
【図２】解析装置、制御装置のハードウェア構成図である。
【図３】暗号領域を作成及び配付フローである。
【図４】予め格納されている暗号化領域情報を用いて制御装置間で暗号通信を行う処理フローである。
【図５】実施例２の暗号通信システムの構成図である。
【図６】実施例２の各装置で保持している過去データを用いて暗号化領域情報を生成し、更新する処理フローである。
【図７】実施例３の暗号通信システムの構成図である。
【図８】データ送信時に過去データを用いて暗号化領域情報を生成し、暗号通信を行う処理フローである。
【図９】各装置で保有するポリシの構成図である。
【図１０】各装置で保有する影響パターンの構成図である。
【図１１】各装置で保有するポリシに記載される領域選択ポリシである。
【図１２】各装置で保有する指定データ長を示す図である。
【図１３】解析装置が収集する通信データの構成図である。
【図１４】各装置で保有する暗号領域リストの構成図である。
【図１５】実施例２及び実施例３の各装置で保有する過去データの構成図である。
【発明を実施するための形態】
【００１２】
以下、本発明の実施例を説明する。なお、これにより本発明が限定されるものではない。
【００１３】
実施例１は、運用開始前の準備段階における処理例であり、実施例２は、運用開始後の更新処理例であり、実施例３は、実施例２において、暗号領域情報を事前送付しない場合の処理例である。
【実施例１】
【００１４】
図１は、実施例１の暗号通信システムの構成図である。
【００１５】
本実施形態の暗号通信システムは、図１に例示するように、解析装置１０と、制御装置２０（１）〜２０（ｎ）と、ネットワーク３０とを含む構成である。
【００１６】
解析装置１０は、制御装置２０（１）〜２０（ｎ）間で送受信される通信データを収集するデータ収集部１０１と、収集したデータを装置毎のデータに分類するフィルタ部１０２と、収集したデータを用いて装置毎の暗号領域を生成する暗号領域生成部１０３と、暗号領域を生成する際に利用するポリシを記憶するポリシ保管部１０４と、生成する暗号領域の長さを記憶するデータ長保管部１０５と、暗号領域を生成する際に利用するシステムに対して影響を及ぼすデータパターンを記憶する影響パターン保管部１０６と、ネットワーク３０と通信を行う通信部１０７と、データ収集部１０１で収集したデータを記憶する通信データ保管部１０８と、暗号領域生成部１０３において生成した装置毎の暗号領域を記憶する暗号領域リスト保管部１０９と、生成した暗号領域リストをネットワーク３０内の他の装置に配付する暗号領域リスト配付部１１０とを含む。
【００１７】
制御装置２０（１）〜２０（ｎ）は、他の装置から受信したデータを用いて制御業務を行う制御業務処理部２０１（１）〜２０１（ｎ）と、予め保管されている暗号化領域情報を用いて送受信データの中で暗号や復号を行う領域を選択する暗号領域選択部２０２（１）〜２０２（ｎ）と、暗号領域選択部２０２（１）〜２０２（ｎ）において選択したデータに対して暗号や復号を行う暗復号処理部２０３（１）〜２０３（ｎ）と、解析装置１０から受信した暗号化領域情報を格納する暗号領域リスト保管部２０４（１）〜２０４（ｎ）と、ネットワーク３０と通信を行う通信部２０５（１）〜２０５（ｎ）と、受信したデータの送信元を取得する送信元取得部２０６（１）〜２０６（ｎ）とを含む。
【００１８】
図２は解析装置１０および制御装置２０（１）〜２０（ｎ）のハードウェア構成図である。解析装置１０および制御装置２０（１）〜２０（ｎ）は、通信装置１１と、入出力装置１２と、記憶装置１３と、ＣＰＵ１４と、メモリ１５と、記憶媒体１７を読み込む読取装置１６と、がバスなどの内部通信線１８で連結され、構成されている。
【００１９】
暗号通信システムにおける処理フローについて説明する。以下に述べる処理フローは、解析装置１０や制御装置２０（１）〜２０（ｎ）の記憶装置に格納されたプログラムがメモリにロードされ、ＣＰＵにより実行されることにより、暗号通信システムを構成する装置上に具現化される各処理部により実行されるものである。また、各プログラムは予め記憶装置に格納されても良いし、他の記憶媒体または通信媒体（ネットワークまたはネットワークを伝搬する搬送波）を介して、必要なときに導入されても良い。
【００２０】
また、以下に述べる処理フローでは、暗号化や復号に必要となる鍵情報等は予めシステム内の装置間で共有していることを前提としている。
【００２１】
図３は、試運転や試験時に解析装置１０において生成した暗号領域データを、運用開始前に、各装置に配付する処理フローを示した図である。ここで、試験とは、出荷前の工場で行うものであり、試運転とは、出荷後の納入先で行うものをいう。すなわち、実際に業務（運用）を開始する前に行う処理フローである。
【００２２】
はじめに、制御装置２０（１）は、試運転や試験のために他の装置に送信する試験用制御データ（Ａ３０１）（第１のデータ）を生成する（Ｓ３０１）。次に、生成した試験用制御データ（Ａ３０１）をネットワーク３０内の他の装置に対してブロードキャストする。
【００２３】
次に、解析装置１０の通信部１０７は、受信した試験用制御データの送信元を取得する（Ｓ３０２）。次に、解析装置１０の通信部１０７は、試験用制御データそのものを取得し（Ｓ３０３）、送信元と試験用制御データの組合せを通信データ保管部１０８に格納する（Ｓ３０４）。
【００２４】
次に、制御装置２０（２）〜２０（ｎ）は、試運転や試験のために他の装置に送信する試験用制御データを生成する（Ｓ３０５）。次に、生成した試験用制御データ（Ａ３０２）をネットワーク３０内の他の装置に対してブロードキャストする。
【００２５】
次に、解析装置１０の通信部１０７は、受信した試験用制御データの送信元を取得する（Ｓ３０６）。次に、解析装置１０の通信部１０７は、試験用制御データそのものを取得し（Ｓ３０７）、送信元と試験用制御データの組合せを通信データ保管部に格納する（Ｓ３０８）。
【００２６】
以上のフローを試運転や試験が完了するまで実施し、解析装置１０の通信データ保管部にデータを格納する。
【００２７】
試運転や試験が完了した段階で、解析装置１０は、通信データ保管部１０８に格納されているデータから特定の送信元のデータ群のみを抽出する（Ｓ３０９）。次に、ポリシ保管部１０４に格納されているポリシを取得し（Ｓ３１０）、暗号領域生成部１０３が、抽出したデータ群とポリシを用いて暗号領域を生成する（Ｓ３１１）。
【００２８】
ここで、暗号領域の生成方法は後述の図１１に詳細に記載する。次に、暗号領域生成部１０３が、生成した暗号領域のサイズを判定し、生成した暗号領域のサイズと、指定データ長保管部１０５に格納されている指定データ長とを比較し、一致しているか判定する（Ｓ３１２）。
【００２９】
データ長が指定データ長未満と判定された場合には、Ｓ３１１に戻り、暗号領域生成部１０３は、既に生成した暗号領域を除外した領域に対して、次の優先度のポリシを適用して暗号領域を追加で生成する。すなわち、暗号領域生成部は、優先度が一番高いポリシに基づいて生成した暗号化領域のサイズが、データ長保管部に格納されている暗号化領域要求サイズより小さい場合には、暗号領域を除く領域において、次に高い優先度のポリシを適用して更に暗号化領域を生成し、生成された１つ以上の暗号化領域のサイズの合計が、暗号化領域要求サイズになるまで繰り返す。暗号領域のデータ長以上である場合には、予め定めた方式で生成された暗号領域から指定データ長分の領域をビット単位で生成する。なお、ビット単位ではなく、バイト単位で生成しても良い。
【００３０】
ここで、予め定めた方式とは、例えば指定データ長に達するまでデータの先頭から順に選択してゆく方式や、指定データ長に達するまで乱数を用いてランダムに選択してゆく方式などが考えられるが、これらの方式に限定されるものではない。暗号領域生成部１０３は、、データ長が指定データ長と一致していると判定した場合には、生成した暗号領域情報を暗号領域リスト保管部に格納する（Ｓ３１３）。
【００３１】
次に、暗号領域生成部１０３は、通信データ保管部に格納されている全送信元に対して暗号領域の生成が完了したか判定する。完了していないと判定された場合にはＳ３０９に戻り、暗号領域生成部１０３は、次の送信元に対する暗号領域情報を生成する。一方、完了していると判断された場合には、暗号領域リスト保管部に格納されている暗号領域リスト（Ａ３０３）をネットワーク３０内の全装置に対して送信する。
【００３２】
次に、制御装置２０（１）〜２０（ｎ）は暗号領域リストを暗号領域リスト保管部に格納する（Ｓ３１６（１）〜Ｓ３１６（ｎ））。
【００３３】
図４は、実施例１の各制御装置に格納されている暗号領域リストを用いて暗号通信を行う際の処理フローである。すなわち、実際に業務を開始してから行う処理フローである。
【００３４】
はじめに、制御装置２０（１）は、制御データ（第２のデータ）を生成する（Ｓ４０１）。次に、暗号領域リスト保管部に格納されている制御装置２０（１）用の暗号化領域情報を取得する（Ｓ４０２）。次に、取得した暗号化領域情報を用いて、制御データの中で暗号を行うデータを選択する（Ｓ４０３）。なお、１つの制御装置から、１種類の制御データが作成される。
【００３５】
次に、選択したデータを暗号化する（Ｓ４０４）。例えば、暗号化領域情報とは暗号を行う領域を示すデータ列(暗号を行う部分のみ1で表した列で、（1 0 0 0 0 0 0 0 ・・・）である)を示し、暗号を行うデータとは、上記情報を用いてもとの平文(12 13 14 15 16 17 18・・・)からデータを抽出したもの(この例では12)である。
【００３６】
次に、制御データ中の暗号化したデータと暗号化していないデータを結合し、部分暗号化送信データを構築する（Ｓ４０５）。次に、ネットワーク３０内の他の装置に対して部分暗号化送信データ（Ａ４０１）を送信する。
【００３７】
次に、制御装置２０（２）〜２０（ｎ）は、受信した部分暗号化送信データ（Ａ４０１）の送信元を取得する（Ｓ４０６）。次に、取得した送信元情報から、暗号領域リスト保管部に格納されている送信元の暗号化領域情報を取得する（Ｓ４０７）。
【００３８】
次に、取得した暗号化領域情報を用いて受信した部分暗号化送信データから暗号化データを選択し（Ｓ４０８）、復号を行う（Ｓ４０９）。次に、復号したデータと部分暗号化送信データのうち暗号化されていないデータを組合せて平文データを構築する（Ｓ４１０）。
【実施例２】
【００３９】
図５は、実施例２の暗号通信システムの構成図である。
【００４０】
実施例１と異なるのは、暗号領域を生成する際に利用するポリシが保管されているポリシ保管部２０７（１）〜２０７（ｎ）と、生成する暗号領域の長さを示すデータ長保管部２０８（１）〜２０８（ｎ）と、暗号領域を生成する際に利用するシステムに対して影響を及ぼすデータパターンが格納されている影響パターン保管部２０９（１）〜２０９（ｎ）と、装置内に格納されている過去データを用いて暗号領域を生成する暗号領域生成部２１０（１）〜２１０（ｎ）と、生成した暗号化領域情報をネットワーク３０内の他の装置に通知する暗号領域通知部２１１（１）〜２１１（ｎ）と、各装置から受信した平文データを格納する過去データ保管部２１２（１）〜２１２（ｎ）と、を含む点である。
【００４１】
図６は、実施例２の実運用後に各制御装置２０（１）〜２０（ｎ）内で暗号化領域を生成し、他の装置に送付する場合の処理フローを示した図である。
【００４２】
はじめに、制御装置２０（１）は、過去データ保管部に格納されている過去データを取得する（Ｓ６０１）。この処理は、例えば、制御装置の起動時、管理者による指示に基づく起動、又は管理者や他の装置からの指示コマンドをトリガーとする。次に、制御装置２０（１）は、ポリシ保管部に格納されているポリシを取得し（Ｓ６０２）、取得した過去データとポリシを用いて、暗号領域選択部２０２は、暗号化領域を決定する（Ｓ６０３）。ここで、暗号化領域の決定方法は後述の図１１に詳細に記載する。
【００４３】
次に、暗号領域選択部２０２は、生成した暗号化領域のサイズを判定し、指定データ長保管部に格納されている指定データ長との長さを比較し、一致しているか判定する（Ｓ６０４）。暗号化領域のデータ長が不足している場合には、次の優先度のポリシを適用して暗号化領域を追加で生成する（Ｓ６０３）。暗号領域のデータ長が格納された指定データ長以上の場合には、暗号領域選択部２０２は、予め定めた方式で生成された暗号領域から指定データ長分の領域をビット単位で生成する。なお、ビット単位ではなく、バイト単位で生成しても良い。
【００４４】
ここで、予め定めた方式とは、例えば指定データ長に達するまでデータの先頭から順に選択してゆく方式や、指定データ長に達するまで乱数を用いてランダムに選択してゆく方式などが考えられるが、これらの方式に限定されるものではない。
【００４５】
一方、データ長が指定データ長と一致していると判定された場合には、暗号領域選択部２０２は、生成された暗号領域を暗号領域リスト保管部の自装置のデータとして更新する（Ｓ６０５）。次に、ネットワーク３０内の他の装置に対して生成した暗号化領域情報（Ａ６０１）を送信する。
【００４６】
次に、制御装置２０（２）〜２０（ｎ）は、受信した暗号化領域情報（Ａ６０１）を用いて、各装置の暗号領域リストを更新する（Ｓ６０６）。
【実施例３】
【００４７】
図７は、実施例３の暗号通信システムの構成図である。
【００４８】
実施例１と異なるのは、暗号領域を生成する際に利用するポリシが保管されているポリシ保管部２０７（１）〜２０７（ｎ）と、生成する暗号領域の長さを示すデータ長保管部２０８（１）〜２０８（ｎ）と、暗号領域を生成する際に利用するシステムに対して影響を及ぼすデータパターンが格納されている影響パターン保管部２０９（１）〜２０９（ｎ）と、装置内に格納されている過去データを用いて暗号領域を生成する暗号領域生成部２１０（１）〜２１０（ｎ）と、各装置から送信したデータの履歴を格納する過去データ保管部２１２（１）〜２１２（ｎ）と、他の装置から受信したデータの中の暗号ヘッダを取得する暗号ヘッダ取得部２１３（１）〜２１３（ｎ）と、データ送信時に付与する暗号ヘッダを生成する暗号ヘッダ生成部２１４（１）〜２１４（ｎ）と、を含む点である。
【００４９】
図８は、制御装置２０（１）から制御装置２０（２）〜２０（ｎ）に対して暗号通信を行う場合に、送信時に暗号領域を動的に生成する場合の処理フローを示した図である。
【００５０】
制御装置２０（１）の制御業務処理部２０１は、制御データを生成する（Ｓ８０１）。次に、暗号領域選択部２０２は、過去データ保管部２１２にデータが格納されているか判定する（Ｓ８０２）。その結果、過去データが格納されていないと判断された場合には、Ｓ４０２に遷移する（Ｓ８０３）。過去データが格納されていると判断された場合には、過去データを取得する（Ｓ８０４）。
【００５１】
次に、暗号領域選択部２０２は、ポリシ保管部に格納されているポリシを取得し（Ｓ８０５）、取得した過去データと生成した制御データとポリシを用いて暗号化領域を生成する（Ｓ８０６）。ここで、暗号化領域の生成方法は後述の図１１に詳細に記載する。次に、暗号領域選択部２０２は、生成した暗号化領域のサイズを判定し、指定データ長保管部に格納されている指定データ長の長さと比較する（Ｓ８０７）。
【００５２】
暗号領域のデータ長が不足している場合には、次の優先度のポリシを適用して暗号化領域を追加で生成する。暗号領域のデータ長が、格納された指定データ長以上の場合には、予め定めた方式で生成された暗号領域から指定データ長分のデータを選択する。
【００５３】
ここで、予め定めた方式とは、例えば指定データ長に達するまでデータの先頭から順に選択してゆく方式や、指定データ長に達するまで乱数を用いてランダムに選択してゆく方式などが考えられるが、これらの方式に限定されるものではない。一方、データ長が指定データ長と一致していると判定された場合には、暗復号処理部２０３は、生成された暗号領域を用いて制御データの中で暗号を行う領域を選択する（Ｓ８０８）。
【００５４】
次に、暗復号処理部２０３は、選択した領域を暗号化する（Ｓ８０９）。次に、制御データ中の暗号化したデータと暗号化していないデータを結合し、部分暗号化送信データを構築する（Ｓ８１０）。次に、暗号化領域情報を含む暗号ヘッダを生成し（Ｓ８１１）、通信部２０５が、ネットワーク３０内の他の装置に対して暗号ヘッダと部分暗号化送信データ（Ａ８０１）を送信する。
【００５５】
次に、制御装置２０（２）〜２０（ｎ）の送信元取得部２０６は、受信した暗号ヘッダと部分暗号化送信データ（Ａ８０１）から暗号ヘッダを取得する（Ｓ８１２）。次に、送信元取得部２０６は、取得した暗号ヘッダから、送信元の暗号化領域情報を取得する（Ｓ８１３）。次に、暗復号処理部２０３は、取得した暗号化領域情報を用いて受信した部分暗号化送信データから暗号化データを選択し（Ｓ８１４）、復号を行う（Ｓ８１５）。次に、暗復号処理部２０３は、復号したデータと部分暗号化送信データのうち暗号化されていないデータを組合せて平文データを構築する（Ｓ８１６）。
【００５６】
図９は、実施例１、実施例２及び実施例３のポリシ保管部（１０４、２０９（１）〜２０９（ｎ））に格納されるポリシの構成図である。
【００５７】
ポリシ（Ａ９０１）は、装置を識別するＩＤ（Ａ９０２）と、適用するポリシの優先度を示す優先度（Ａ９０３）と、領域を選択する際に利用するポリシを識別するＩＤ（Ａ９０４）から構成される。ここで、ポリシ（Ａ９０１）の構成要素は上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。また、ポリシ（Ａ９０１）の構成要素の順序は上記に限定されるものではない。
【００５８】
図１０は、実施例１、実施例２及び実施例３の影響パターン保管部（１０６、２０９（１）〜２０９（ｎ））に格納される影響パターンの構成図である。
【００５９】
影響パターン（Ａ１００１）は、装置を識別するＩＤ（Ａ１００２）と、そのデータパターンをＡ１００２で示される装置に送信した際の影響の大きさを示す影響度（Ａ１００３）と、具体的なデータのパターン（Ａ１００４）を含む。制御システムの場合には、圧力や温度の調整を行うバルブや弁を制御する装置が多数接続されている。
【００６０】
そのため、それらの装置を不正に操作することにより、制御システム全体に対して影響が広がる可能性があるため、各装置の動作モードを変更するようなデータは影響が大きいと考えられる。ここで、影響パターン（Ａ１００１）の構成要素は上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。また、影響パターン（Ａ１００１）の構成要素の順序は上記に限定されるものではない。
【００６１】
図１１は、実施例１、実施例２及び実施例３のポリシ保管部（１０４、２０７（１）〜２０７（ｎ））に格納される領域選択ポリシの図である。
【００６２】
領域選択ポリシ０００１（Ａ１１０１）は、試運転や試験時もしくは過去データとして収集したデータを集計したもの（集計送信パケットＡ１１０２）と、影響パターン保管部（Ａ１１０３）に格納されている影響パターンを比較し、影響度の高いパターンが含まれる領域から優先的に暗号化を実施するポリシである。
【００６３】
領域選択ポリシ０００２および領域選択ポリシ０００３（Ａ１１０４）は、試運転や試験時、もしくは、過去データとして収集したデータ（Ａ１１０５）におけるある一定の領域ごとの各パケット間の変化率（Ａ１１０６（１）〜Ａ１１０６（ｎ））を算出し、この変化率の大きさをもとに暗号化領域を選択するポリシである。アプリケーションによって変化率の大きいものから優先的に行うケースと、変化率の小さいものから優先的に行うものが存在するため、両者それぞれに領域選択ポリシＩＤが割り当てられている。
【００６４】
領域選択ポリシ０００４および領域選択ポリシ０００５（Ａ１１０７）は、試運転や試験時、もしくは、過去データとして収集したデータ（Ａ１１０８）におけるある一定の領域ごとの各パケット間の差分（Ａ１１０９（１）〜１１０９（ｎ））を算出し、この差分の大きさをもとに暗号化領域を選択するポリシである。アプリケーションによって差分の大きいものから優先的に行うケースと、差分の小さいものから優先的に行うものが存在するため、両者それぞれに領域選択ポリシＩＤが割り当てられている。
【００６５】
図１２は、実施例１、実施例２及び実施例３のデータ長保管部（１０５、２０８（１）〜２０８（ｎ））に格納される指定データ長の構成図である。
【００６６】
指定データ長（Ａ１２０１）は、装置を識別するＩＤ（Ａ１２０２）と、各装置において暗号化を行う領域のサイズ（Ａ１２０３）（暗号化領域要求サイズ）を含む。暗号化領域のサイズは、管理人が試験用データを送付する前に、各装置の処理性能や周期処理上で余裕がある処理時間の長さなどから決定する。すなわち、要求された処理時間内の空き時間に基づいて決定する。ここで、指定データ長（Ａ１２０１）の構成要素は上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。また、指定データ長（Ａ１２０１）の構成要素の順序は上記に限定されるものではない。
【００６７】
装置毎に暗号化を行う領域のサイズを決定することにより、制御装置の処理時間に影響を与えない範囲でデータの暗号化を行うことが可能となる。
【００６８】
図１３は、実施例１、実施例２及び実施例３の解析装置１０によって収集される通信データの構成図である。
【００６９】
通信データ（Ａ１３０１）は、装置を識別するＩＤ（Ａ１３０２）と、各装置から送信された制御データ（Ａ１３０３）を含む。ここで、通信データ（Ａ１３０１）の構成要素は上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。また、通信データ（Ａ１３０１）の構成要素の順序は上記に限定されるものではない。
【００７０】
図１４は、実施例１、実施例２及び実施例３の暗号領域リスト保管部（１０９、２０４（１）〜２０４（ｎ））に格納される暗号領域リストの構成図である。
【００７１】
暗号領域リスト（Ａ１４０１）は、装置を識別するＩＤ（Ａ１４０２）と、各装置においてデータを送信する際に暗号化する領域を示す暗号化領域（Ａ１４０３）と、から構成される。ここで、暗号化領域リスト（Ａ１４０１）の構成要素は上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。また、暗号化領域リスト（Ａ１４０１）の構成要素の順序は上記に限定されるものではない。
【００７２】
図１５は、実施例２及び実施例３の過去データ保管部（２１２（１）〜２１２（ｎ））に格納される過去データの構成図である。
【００７３】
過去データ（Ａ１５０１）は、送信した順序を示す送信シーケンス番号（Ａ１５０２）と、実際に送信したデータ（Ａ１５０３）と、を含む。ここで、過去データ（Ａ１５０１）の構成要素は上記に限定されるものではなく、少なくとも上記の要素が含まれていればよい。また、過去データ（Ａ１５０１）の構成要素の順序は上記に限定されるものではない。
【００７４】
これらの構成、手順およびデータ構造を実現することにより、部分的な暗号化によりセキュリティの確保を行うシステムにおいて、各装置で利用されるアプリケーションや各装置の利用状況に応じて、適切な部分暗号領域を選択することが可能となる。また、試運転や試験時の業務データを解析することにより部分暗号領域を選択し、各装置に配付するため、人手に頼ることなく精度の良い部分暗号領域を選択することが可能となる。
【００７５】
なお、本発明は、上記の実施形態に限定されるものではなく、その要旨の範囲内で様々な変形が可能である。
【００７６】
たとえば、制御装置内にネットワークとの通信機能が含まれておらず、別の装置を経由してネットワークと通信を行う場合や、暗号領域リストやポリシやデータ長を装置内に保有せず、他の装置から取得する場合などである。
【００７７】
該実施形態の場合においてもシステム全体において行う処理に本質的な変化はない。
【００７８】
本発明によれば、部分的な暗号化によりセキュリティの確保を行うシステムにおいて、各装置で利用されるアプリケーションや各装置の利用状況に応じて、適切な部分暗号領域を選択することが可能となる。また、試運転や試験時のパケットデータを解析することにより部分暗号領域を選択し、各装置に配付するため、人手に頼ることなく精度の良い部分暗号領域を選択することが可能となる。
【符号の説明】
【００７９】
１０：解析装置、１１：通信装置、１２：入出力装置、１３：記憶装置、１４：ＣＰＵ、１５：メモリ、１６：読取装置、１７：記憶媒体、１８：内部信号線、１０１：データ収集部、１０２：フィルタ部、１０３：暗号領域生成部、１０４：ポリシ保管部、１０５：データ長保管部、１０６：影響パターン保管部、１０７：通信部、１０８：通信データ保管部、１０９：暗号領域リスト保管部、２０（１）〜２０（ｎ）：制御装置、２０１（１）〜２０１（ｎ）：制御業務処理部、２０２（１）〜２０２（ｎ）：暗号領域選択部、２０３（１）〜２０３（ｎ）：暗復号処理部、２０４（１）〜２０４（ｎ）：暗号領域リスト保管部、２０５（１）〜２０５（ｎ）：通信部、２０６（１）〜２０６（ｎ）：送信元取得部、２０７（１）〜２０７（ｎ）：ポリシ保管部、２０８（１）〜２０８（ｎ）：データ長保管部、２０９（１）〜２０９（ｎ）：影響パターン保管部、２１０（１）〜２１０（ｎ）：暗号領域生成部、２１１（１）〜２１１（ｎ）：暗号領域通知部、２１２（１）〜２１２（ｎ）：過去データ保管部、２１３（１）〜２１３（ｎ）：暗号ヘッダ取得部、２１４（１）〜２１４（ｎ）：暗号ヘッダ生成部、３０：ネットワーク、Ａ３０１：制御データ、Ａ３０２：制御データ、Ａ３０３：暗号化領域情報リスト、Ａ４０１：部分暗号化送信データ、Ａ６０１：暗号化領域情報、Ａ８０１：暗号ヘッダ、部分暗号化送信データ、Ａ９０１：ポリシ、Ａ９０２：装置ＩＤ、Ａ９０３：優先度、Ａ９０４：領域選択ポリシ、Ａ１００１：影響パターン、Ａ１００２：装置ＩＤ、Ａ１００３：影響度、Ａ１００４：データパターン、Ａ１１０１：領域選択ポリシ０００１、Ａ１１０２：集計送信パケット、Ａ１１０３：影響パターン保管部、Ａ１１０４：領域選択ポリシ０００２および領域選択ポリシ０００３、Ａ１１０５：集計送信パケット、Ａ１１０６（１）〜Ａ１１０６（ｎ）：変化率、Ａ１１０７：領域選択ポリシ０００４および領域選択ポリシ０００５、Ａ１１０８：集計送信パケット、Ａ１１０９（１）〜Ａ１１０９（ｎ）：差分、Ａ１２０１：指定データ長、Ａ１２０２：装置ＩＤ、Ａ１２０３：暗号領域サイズ、Ａ１３０１：通信データ、Ａ１３０２：装置ＩＤ、Ａ１３０３：制御データ、Ａ１４０１：暗号領域リスト、Ａ１４０２：装置ＩＤ、Ａ１４０３：暗号領域、Ａ１５０１：過去データ、Ａ１５０２：送信シーケンス番号、Ａ１５０３：送信データ
【図１】
2014207625.tif 000003
【図２】
2014207625.tif 000004
【図３】
2014207625.tif 000005
【図４】
2014207625.tif 000006
【図５】
2014207625.tif 000007
【図６】
2014207625.tif 000008
【図７】
2014207625.tif 000009
【図８】
2014207625.tif 000010
【図９】
2014207625.tif 000011
【図１０】
2014207625.tif 000012
【図１１】
2014207625.tif 000013
【図１２】
2014207625.tif 000014
【図１３】
2014207625.tif 000015
【図１４】
2014207625.tif 000016
【図１５】
2014207625.tif 000017