(57)【特許請求の範囲】
【請求項１】
アクチュエータと、前記アクチュエータが動作した際の物理状態を計測するパッシブセンサとに接続された信号処理装置であって、
前記アクチュエータを制御するためのアクチュエータ制御信号を変調信号を用いて変調する信号変調部と、
前記信号変調部により変調された後のアクチュエータ制御信号である変調アクチュエータ制御信号が前記アクチュエータに送信された後に前記パッシブセンサにより計測された物理状態が示される計測信号が前記パッシブセンサから受信された場合に、受信された前記計測信号と、前記信号変調部により前記アクチュエータ制御信号の変調に用いられた前記変調信号との相関を計算する相関計算部と、
前記相関計算部により得られた相関値と閾値とを比較して、前記計測信号が正当な信号であるか、前記パッシブセンサが所在する環境への攻撃により生じた不正な信号であるかを判定する信号判定部とを有する信号処理装置。
【請求項２】
前記信号判定部は、
前記計測信号が前記不正な信号であると判定した場合に警告を出力する請求項１に記載の信号処理装置。
【請求項３】
前記信号変調部及び前記相関計算部は、それぞれ、
疑似乱数生成器を利用して同じ変調信号を生成し、
前記信号変調部は、
生成した変調信号を用いて前記アクチュエータ制御信号を変調し、
前記相関計算部は、
生成した変調信号と前記計測信号との相関を計算する請求項１に記載の信号処理装置。
【請求項４】
前記信号変調部及び前記相関計算部は、それぞれ、
前記疑似乱数生成器によるストリーム暗号を利用して同じ変調信号を生成する請求項３に記載の信号処理装置。
【請求項５】
前記信号変調部は、
複数の変調方式に対応しており、前記複数の変調方式のうちのいずれかの変調方式により前記アクチュエータ制御信号を変調する請求項１に記載の信号処理装置。
【請求項６】
前記相関計算部は、
複数の相関計算方式に対応しており、前記複数の相関計算方式のうちのいずれかの相関計算方式により前記計測信号と前記変調信号との相関を計算する請求項１に記載の信号処理装置。
【請求項７】
前記相関計算部は、
前記アクチュエータが所在する環境、前記パッシブセンサが所在する環境又は前記アクチュエータが制御する制御対象が所在する環境の変化に応じて相関の計算方法を変更する請求項６に記載の信号処理装置。
【請求項８】
前記信号処理装置は、
前記アクチュエータを制御する第１のコントローラと、前記パッシブセンサを制御する第２のコントローラとを有し、
前記信号変調部は、前記第１のコントローラに含まれ、
前記相関計算部及び前記信号判定部は、前記第２のコントローラに含まれる請求項１に記載の信号処理装置。
【請求項９】
前記第１のコントローラと前記第２のコントローラとが時刻同期している状態で、前記信号変調部が前記アクチュエータ制御信号を前記変調信号を用いて変調し、前記相関計算部が前記計測信号と前記変調信号との相関を計算し、前記信号判定部が前記相関値を用いて前記計測信号が正当な信号であるか否かを判定する請求項８に記載の信号処理装置。
【請求項１０】
前記相関計算部は、
任意の時間窓をずらしながら順次計測信号から信号系列を切り出し、切り出した信号系列ごとに、対応する時間窓での変調信号における信号系列との相関を計算する請求項９に記載の信号処理装置。
【請求項１１】
前記相関計算部は、
前記アクチュエータが所在する環境、前記パッシブセンサが所在する環境又は前記アクチュエータが制御する制御対象が所在する環境の変化に応じて前記時間窓の幅を変更する請求項１０に記載の信号処理装置。
【請求項１２】
前記信号判定部は、
前記アクチュエータが所在する環境、前記パッシブセンサが所在する環境又は前記アクチュエータが制御する制御対象が所在する環境の変化に応じて前記閾値を変更する請求項１に記載の信号処理装置。
【請求項１３】
前記信号処理装置は、
複数のアクチュエータに接続され、
それぞれが前記複数のアクチュエータのいずれかに対応付けられている複数の信号変調部を有し、
各信号変調部は、
対応付けられているアクチュエータを制御するためのアクチュエータ制御信号をそれぞれの変調信号を用いて変調し、
前記相関計算部は、
前記複数の信号変調部により変調された後の複数のアクチュエータ制御信号である複数の変調アクチュエータ制御信号が前記複数のアクチュエータに送信された後に前記計測信号が前記パッシブセンサから受信された場合に、受信された前記計測信号と、各信号変調部により前記アクチュエータ制御信号の変調に用いられた変調信号との相関を計算し、
前記信号判定部は、
前記相関計算部により得られた複数の相関値を用いて前記計測信号が正当な信号であるか否かを判定する請求項１に記載の信号処理装置。
【請求項１４】
前記信号処理装置は、
前記アクチュエータが動作した際の物理状態を計測する複数のパッシブセンサに接続され、
それぞれが前記複数のパッシブセンサのいずれかに対応付けられている複数の相関計算部を有し、
各相関計算部は、
対応付けられているパッシブセンサにより計測された物理状態が示される計測信号が、対応付けられているパッシブセンサから受信された場合に、受信された前記計測信号と前記変調信号との相関を計算し、
前記信号判定部は、
前記複数の相関計算部により得られた複数の相関値を用いて、複数の計測信号の各々が正当な信号であるか否かを判定する請求項１に記載の信号処理装置。
【請求項１５】
アクチュエータと、前記アクチュエータが動作した際の物理状態を計測するパッシブセンサとに接続されたコンピュータが、
前記アクチュエータを制御するためのアクチュエータ制御信号を変調信号を用いて変調し、
変調された後のアクチュエータ制御信号である変調アクチュエータ制御信号が前記アクチュエータに送信された後に前記パッシブセンサにより計測された物理状態が示される計測信号が前記パッシブセンサから受信された場合に、受信された前記計測信号と、前記アクチュエータ制御信号の変調に用いられた前記変調信号との相関を計算し、
前記計測信号と前記変調信号との相関の計算により得られた相関値と閾値とを比較して、前記計測信号が正当な信号であるか、前記パッシブセンサが所在する環境への攻撃により生じた不正な信号であるかを判定する信号処理方法。
【請求項１６】
アクチュエータと、前記アクチュエータが動作した際の物理状態を計測するパッシブセンサとに接続されたコンピュータに、
前記アクチュエータを制御するためのアクチュエータ制御信号を変調信号を用いて変調する信号変調処理と、
前記信号変調処理で変調された後のアクチュエータ制御信号である変調アクチュエータ制御信号が前記アクチュエータに送信された後に前記パッシブセンサにより計測された物理状態が示される計測信号が前記パッシブセンサから受信された場合に、受信された前記計測信号と、前記信号変調処理で前記アクチュエータ制御信号の変調に用いられた前記変調信号との相関を計算する相関計算処理と、
前記相関計算処理により得られた相関値と閾値とを比較して、前記計測信号が正当な信号であるか、前記パッシブセンサが所在する環境への攻撃により生じた不正な信号であるかを判定する信号判定処理とを実行させる信号処理プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、信号処理装置、信号処理方法及び信号処理プログラムに関する。
【背景技術】
【０００２】
ネットワーク機能が付加されたセンサによる情報収集と、当該センサにより収集された情報の分析とを活用することで、農業、工業及び医療などの業務の効率化が期待されている。【０００３】
このような用途で使用されるセンサは、大きく、パッシブセンサとアクティブセンサとに分けることができる。
パッシブセンサとは、自らは外界に働きかけを行わずに、外界の変化をセンシングするセンサである。パッシブセンサは、受動的に情報を取得する機器のみで構成される。例えば、温度センサ、感圧センサ及び光センサ等はパッシブセンサである。
アクティブセンサとは、自らが外界に働きかけを行い、その結果をセンシングするセンサである。アクティブセンサは、パッシブセンサと専用のアクチュエータとで構成される。パッシブセンサは、前述の通り、受動的に情報を取得するセンサである。専用のアクチュエータは、能動的に外界又は制御対象に働きかけ、パッシブセンサが外界又は制御対象から情報を取得できるようにする。例えば、赤外線測距センサ、超音波測距センサなどの測距装置はアクティブセンサである。赤外線測距センサでは、赤外光発生器（赤外ＬＥＤ（Ｌｉｇｈｔ  Ｅｍｉｔｔｉｎｇ  Ｄｉｏｄｅ）など）が専用のアクチュエータであり、赤外光受信器（赤外線センサ）がパッシブセンサである。また、超音波測距センサでは、超音波発生器（スピーカ）が専用のアクチュエータであり、超音波受信器（マイク）がパッシブセンサである。【０００４】
センサの情報をもとに対象を制御するようなシステムが正常に稼働するためには、センサの情報が信頼できることが大前提である。そのため、センサの利用においては、センシングしたデータが攻撃者による悪意のあるデータでないことを確認する必要がある。こうしたセンサに対する攻撃では、電子データを改ざんするのではなく、センサを物理的に欺く手法が用いられる可能性がある。例えば、センサの状態を物理的に変動させる攻撃方法又はセンサが読み取る情報を物理的に改ざんする攻撃方法が考えられる。従来のデジタル的な対処方法では、こうした攻撃に対処することが困難である。【０００５】
センサの状態を物理的に変動させる攻撃方法として、センサに悪影響を与えるような異常な信号をセンサに与えることが挙げられる。こうした攻撃については、アクティブセンサの場合もパッシブセンサの場合も、正常値からの逸脱を調べるアノマリ検出が有効である。非特許文献１には、ドローンに搭載されたジャイロセンサに超音波を与えてジャイロセンサを異常状態にする攻撃方法とその対処方法が開示されている。【０００６】
一方、センサが読み取る情報を物理的に改ざんする攻撃方法として、正常な信号とは逆の信号を正常な信号に衝突させる攻撃又は偽の信号をセンサにセンシングさせる攻撃が挙げられる。こうした攻撃を、以後、変化打消し攻撃と呼ぶ。変化打消し攻撃では、攻撃を受けたセンサの読み取り値（センサ出力）は正常値内に収まるため、アノマリ検出だけでは対処できないという課題がある。【０００７】
変化打消し攻撃については、アクティブセンサでは対処方法が提唱されている。非特許文献２には、アクティブセンサが外界に働きかけを行う際に、付加情報を追加することで、攻撃を検知する方法が開示されている。非特許文献２では、磁気エンコーダへの攻撃に対する対処方法が開示されている。具体的には、非特許文献２の対処方法では、まず、磁気エンコーダを構成する専用アクチュエータ、つまり磁場発生器に制御を加え、断続的に制御対象に働きかけるようにする。次に、磁気エンコーダを構成するパッシブセンサで取得した情報が、断続的な値を持っているかを確認する。攻撃を受けていない場合は、磁場発生器がＯＦＦとなっている時間帯には、パッシブセンサの出力値は０に近い値となっている。一方、攻撃を受けた場合は、攻撃者が磁気センサに何らかの情報を与えるため、磁場発生器がＯＦＦとなっている時間帯でも、パッシブセンサに情報が到来し、何らかの値がパッシブセンサの出力値として出力される。このように、非特許文献２の方法では、磁場発生器がＯＦＦとなっている時間帯にパッシブセンサから出力があるか否かで攻撃の有無を判定することができる。
【先行技術文献】
【非特許文献】
【０００８】
【非特許文献１】Ｓｏｎ，  Ｙｕｎｍｏｋ，  ｅｔ  ａｌ．“Ｒｏｃｋｉｎｇ  ｄｒｏｎｅｓ  ｗｉｔｈ  ｉｎｔｅｎｔｉｏｎａｌ  ｓｏｕｎｄ  ｎｏｉｓｅ  ｏｎ  ｇｙｒｏｓｃｏｐｉｃ  ｓｅｎｓｏｒｓ．”  ２４ｔｈ  ＵＳＥＮＩＸ  Ｓｅｃｕｒｉｔｙ  Ｓｙｍｐｏｓｉｕｍ  （ＵＳＥＮＩＸ  Ｓｅｃｕｒｉｔｙ  １５）．２０１５．
【非特許文献２】Ｓｈｏｕｋｒｙ，  Ｙａｓｓｅｒ，  ｅｔ  ａｌ．“ＰｙＣＲＡ：Ｐｈｙｓｉｃａｌ  Ｃｈａｌｌｅｎｇｅ‐Ｒｅｓｐｏｎｓｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｆｏｒ  Ａｃｔｉｖｅ  Ｓｅｎｓｏｒｓ  Ｕｎｄｅｒ  Ｓｐｏｏｆｉｎｇ  Ａｔｔａｃｋｓ．”Ｐｒｏｃｅｅｄｉｎｇｓ  ｏｆ  ｔｈｅ  ２２ｎｄ  ＡＣＭ  ＳＩＧＳＡＣ  Ｃｏｎｆｅｒｅｎｃｅ  ｏｎ  Ｃｏｍｐｕｔｅｒ  ａｎｄ  Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ  Ｓｅｃｕｒｉｔｙ．ＡＣＭ，２０１５．
【発明の概要】
【発明が解決しようとする課題】
【０００９】
温度センサ、感圧センサ又は監視カメラなどに代表されるように、世の中で使用されているセンサの多くはパッシブセンサである。一方で、変化打消し攻撃については、アクティブセンサでの対策が提唱されているのみで、パッシブセンサに関しては有効な対策が存在しない。既存の対策手法は、外界へ働きかける能力を前提とするため、この既存の対策手法をパッシブセンサに対してそのまま適用することはできない。また、制御対象に働きかけを行う装置（例えば、専用のアクチュエータなど）を追加するとコストが増大する。
このように、現状では、パッシブセンサに対する変化打消し攻撃を検知する有効な方法が存在しない。つまり、パッシブセンサから受信した信号が正当な信号であるのか不正な信号であるのかを判定することができないという課題がある。【００１０】
本発明は、このような課題を解決することを主な目的とする。すなわち、本発明は、パッシブセンサから受信した信号が正当な信号であるか否かを判定できるようにすることを主な目的とする。
【課題を解決するための手段】
【００１１】
本発明に係る信号処理装置は、
アクチュエータと、前記アクチュエータが動作した際の物理状態を計測するパッシブセンサとに接続された信号処理装置であって、
前記アクチュエータを制御するためのアクチュエータ制御信号を変調信号を用いて変調する信号変調部と、
前記信号変調部により変調された後のアクチュエータ制御信号である変調アクチュエータ制御信号が前記アクチュエータに送信された後に前記パッシブセンサにより計測された物理状態が示される計測信号が前記パッシブセンサから受信された場合に、受信された前記計測信号と、前記信号変調部により前記アクチュエータ制御信号の変調に用いられた前記変調信号との相関を計算する相関計算部と、
前記相関計算部により得られた相関値を用いて前記計測信号が正当な信号であるか否かを判定する信号判定部とを有する。
【発明の効果】
【００１２】
本発明では、変調アクチュエータ制御信号に基づきアクチュエータが動作した場合は、計測信号に変調信号の成分が含まれるため、計測信号と変調信号との相関が高い。このため、本発明によれば、計測信号と変調信号との相関値を用いてパッシブセンサからの計測信号が正当な信号であるか否かを判定することができる。
【図面の簡単な説明】
【００１３】
【図１】実施の形態１に係る制御システムの構成例を示す図。
【図２】実施の形態１に係る制御システムの構成例を示す図。
【図３】実施の形態１に係るコントローラＡの構成例を示す図。
【図４】実施の形態１に係るコントローラＢの構成例を示す図。
【図５】実施の形態１に係る攻撃が無い場合の制御システムの動作例を示すシーケンス図。
【図６】実施の形態１に係る攻撃が有る場合の制御システムの動作例を示すシーケンス図。
【図７】実施の形態１に係るコントローラＡの動作例を示すフローチャート。
【図８】実施の形態１に係るコントローラＢの動作例を示すフローチャート。
【図９】実施の形態１に係るコントローラＢの動作例を示すフローチャート。
【図１０】実施の形態１に係る制御対象がパイプラインである場合の制御システムの構成例を示す図。
【図１１】実施の形態１に係るアクチュエータ制御信号と変調信号と変調アクチュエータ制御信号の例を示す図。
【図１２】実施の形態１に係る制御システムの他の構成例を示す図。
【図１３】実施の形態１に係る制御システムの他の構成例を示す図。
【図１４】実施の形態１に係る制御システムの他の構成例を示す図。
【図１５】実施の形態１に係る制御システムの他の構成例を示す図。
【発明を実施するための形態】
【００１４】
以下、本発明の実施の形態について、図を用いて説明する。以下の実施の形態の説明及び図面において、同一の符号を付したものは、同一の部分又は相当する部分を示す。
【００１５】
実施の形態１．
＊＊＊概要＊＊＊
一般的に、センサが用いられるシステムでは、制御対象の状態を変化させるアクチュエータが存在する。アクチュエータは、センサが読み取った値であるセンサ読み取り値をもとに制御対象の状態を変化させる。
したがって、パッシブセンサは、アクチュエータとともに用いられることが多い。ここで言うアクチュエータとは、アクティブセンサで用いられる専用のアクチュエータとは異なることに注意されたい。つまり、ここで言うアクチュエータは、アクティブセンサにおいてパッシブセンサが外界又は制御対象から情報を取得できるようにする専用のアクチュエータではなく、制御対象の制御ために制御対象の物理状態を変化させるアクチュエータである。例えば、制御対象がパイプラインの場合は、パッシブセンサは屋外のパイプに取り付けられた圧力計又は流量計であり、アクチュエータは弁又はポンプである。また、制御対象が空気調和システムの場合は、パッシブセンサは温度センサであり、アクチュエータはエアコンディショナー又はヒーターである。また、制御対象がドローンの場合は、パッシブセンサは傾き又は加速度を検出するジャイロセンサであり、アクチュエータはモータである。
以上を踏まえて、本実施の形態では、パッシブセンサが用いられている制御システムにおいて、制御対象の制御を行いながら、変化打消し攻撃の検知も同時に行える構成を説明する。
【００１６】
本実施の形態に係る制御システムでは、次の手順で攻撃検知を行う。
まず、制御システムは、アクチュエータを制御するためのアクチュエータ制御信号に、認証のための情報を付与する。具体的には、変調信号を認証のための情報とする。そして、制御システムは、アクチュエータ制御信号を変調信号を用いて変調することでアクチュエータ制御信号に変調信号を付与する。アクチュエータは、認証のための情報が付与されたアクチュエータ制御信号、すなわち、変調信号を用いて変調された後のアクチュエータ制御信号（以下、変調アクチュエータ制御信号という）に基づき動作する。
パッシブセンサは、アクチュエータが動作した際の物理状態を計測する。パッシブセンサが計測する物理状態は制御対象の物理状態又は制御対象及びパッシブセンサが所在する環境の物理状態である。
そして、制御システムは、パッシブセンサにより計測された物理状態が示される計測信号と、アクチュエータ制御信号の変調に用いられた変調信号との相関を計算する。
そして、制御システムは、計測信号と変調信号との相関値を用いて、計測信号が正当な信号であるか不正な信号であるかを判定する。
パッシブセンサが制御対象の物理状態をセンスしている場合は、パッシブセンサからの計測信号には変調信号の成分が含まれるため、計測信号と変調信号との相関が高い。一方、パッシブセンサが制御対象の物理状態をセンスしていない場合、すなわち、パッシブセンサが攻撃者からの不正な物理状態をセンスしている場合は、パッシブセンサからの計測信号には変調信号の成分が含まれないため、計測信号と変調信号との相関は低い。
このため、計測信号と変調信号との間の相関値が閾値以上であれば、計測信号は正当な信号と判定される。つまり、制御システムは、変化打消し攻撃が発生していない判定する。
一方、計測信号と変調信号との間の相関値が閾値未満であれば、計測信号は不正な信号と判定される。つまり、制御システムは、変化打消し攻撃が発生していると判定する。
【００１７】
＊＊＊構成の説明＊＊＊
図１は、本実施の形態に係る制御システム１０の機能構成例を示す。
制御システム１０は、信号処理装置１００とアクチュエータ１０３とパッシブセンサ１０５で構成される。
アクチュエータ１０３は、制御対象１０４に対して動作して、制御対象１０４の物理状態を変化させる。
パッシブセンサ１０５は、アクチュエータ１０３が動作した際の制御対象１０４の物理状態又は制御対象１０４及びパッシブセンサ１０５が所在する環境の物理状態を計測する。
信号処理装置１００は、アクチュエータ１０３とパッシブセンサ１０５とに接続されている。
信号処理装置１００は、コンピュータシステムである。信号処理装置１００は、１つのコンピュータで構成されていてもよいし、複数のコンピュータで構成されていてもよい。
信号処理装置１００は、機能構成として、信号変調部１１１、相関計算部１１２及び信号判定部１１３を有する。
信号変調部１１１、相関計算部１１２及び信号判定部１１３の詳細は後述する。
信号処理装置１００で行われる動作は信号処理方法に相当する。
【００１８】
図２は、信号処理装置１００の構成の詳細を示す。
信号処理装置１００は、制御デバイス１０１とコントローラＡ１０２とコントローラＢ１０６とで構成される。
制御デバイス１０１、コントローラＡ１０２及びアクチュエータ１０３は、それぞれ異なるコンピュータである。つまり、図２は、信号処理装置１００が複数のコンピュータで構成されている例を示す。
【００１９】
制御デバイス１０１は、アクチュエータ制御信号を生成し、コントローラＡ１０２にアクチュエータ制御信号を送信する。アクチュエータ制御信号は、前述したように、アクチュエータ１０３を制御するための信号である。
また、制御デバイス１０１は、コントローラＢ１０６から判定結果と計測信号を受信する。判定結果は、計測信号が正当な信号であるか否かの判定の結果が示される。計測信号はパッシブセンサ１０５が計測した物理状態が示される信号である。
制御デバイス１０１は、受信した計測信号に基づきアクチュエータ制御信号を生成する。
【００２０】
コントローラＡ１０２は、アクチュエータ１０３を制御する。コントローラＡ１０２は第１のコントローラに相当する。
コントローラＡ１０２は、信号変調部１１１を含む。
コントローラＡ１０２は、制御デバイス１０１からアクチュエータ制御信号を受信し、アクチュエータ制御信号を変調信号で変調し、変調後のアクチュエータ制御信号である変調アクチュエータ制御信号をアクチュエータ１０３に送信する。
【００２１】
コントローラＢ１０６は、パッシブセンサ１０５を制御する。コントローラＢ１０６は第２のコントローラに相当する。
コントローラＢ１０６は、相関計算部１１２と信号判定部１１３とを含む。
コントローラＢ１０６は、パッシブセンサ１０５から計測信号を受信する。また、コントローラＢ１０６は、計測信号と変調信号との相関を計算する。また、コントローラＢ１０６は、計測信号と変調信号との相関値を用いて、計測信号が正当な信号であるか否かを判定する。
そして、コントローラＢ１０６は、判定結果と計測信号を制御デバイス１０１に送信する。
【００２２】
本実施の形態に係る制御システム１０では、図２に示すように、フィードバック制御を行いながら、変化打消し攻撃の検知を行える構成となっている。フィードバック制御は任意の方法で実現することができる。
【００２３】
図３は、本実施の形態に係るコントローラＡ１０２の構成例を示す。
コントローラＡ１０２は、ハードウェアとして、プロセッサ２０１、メモリ２０２、アクチュエータ制御信号受信インタフェース２０３及びアクチュエータ制御信号送信インタフェース２０４を備える。
アクチュエータ制御信号受信インタフェース２０３は、制御デバイス１０１との通信線に接続されたインタフェース回路である。アクチュエータ制御信号送信インタフェース２０４は、アクチュエータ１０３との通信線に接続されたインタフェース回路である。
アクチュエータ制御信号受信インタフェース２０３は、制御デバイス１０１からアクチュエータ制御信号を受信する。アクチュエータ制御信号送信インタフェース２０４は、アクチュエータ１０３に変調アクチュエータ制御信号を送信する。なお、アクチュエータ制御信号送信インタフェース２０４はＤＡＣ（Ｄｉｇｉｔａｌ  Ａｎａｌｏｇ  Ｃｏｎｖｅｒｔｅｒ）である。
また、コントローラＡ１０２は、機能構成として、信号変調部１１１を備える。
信号変調部１１１の機能は、プログラムとして実現される。メモリ２０２には、信号変調部１１１の機能を実現するプログラムが記憶されている。そして、プロセッサ２０１が、信号変調部１１１の機能を実現するプログラムを実行する。図３では、プロセッサ２０１が信号変調部１１１を実行している状態を模式的に表している。
【００２４】
図４は、本実施の形態に係るコントローラＢ１０６の構成例を示す。
コントローラＢ１０６は、ハードウェアとして、プロセッサ３０１、メモリ３０２、計測信号受信インタフェース３０３、計測信号送信インタフェース３０４及び判定結果送信インタフェース３０５を備える。
計測信号受信インタフェース３０３は、パッシブセンサ１０５との通信線に接続されたインタフェース回路である。
計測信号送信インタフェース３０４及び判定結果送信インタフェース３０５は、制御デバイス１０１との通信線に接続されたインタフェース回路である、
計測信号受信インタフェース３０３は、計測信号をパッシブセンサ１０５から受信する。
計測信号送信インタフェース３０４は、計測信号を制御デバイス１０１に送信する。
判定結果送信インタフェース３０５は、判定結果を制御デバイス１０１に送信する。
なお、計測信号受信インタフェース３０３はＡＤＣ（Ａｎａｌｏｇ  Ｄｉｇｉｔａｌ  Ｃｏｎｖｅｒｔｅｒ）である。
また、コントローラＢ１０６は、機能構成として、相関計算部１１２と信号判定部１１３とを備える。
相関計算部１１２及び信号判定部１１３の機能は、プログラムとして実現される。メモリ３０２には、相関計算部１１２と信号判定部１１３の機能を実現するプログラムが記憶されている。そして、プロセッサ３０１が、相関計算部１１と信号判定部１１３の機能を実現するプログラムを実行する。図４では、プロセッサ３０１が相関計算部１１２と信号判定部１１３を実行している状態を模式的に表している。
【００２５】
なお、信号変調部１１１、相関計算部１１２及び信号判定部１１３の機能を実現するプログラムは、信号処理プログラムに相当する。
【００２６】
次に、信号変調部１１１、相関計算部１１２及び信号判定部１１３の詳細を説明する。
【００２７】
信号変調部１１１は、アクチュエータ制御信号を変調信号を用いて変調する。
変調信号はコントローラＡ１０２のメモリ２０２で記憶されており、信号変調部１１１はメモリ２０２から変調信号を読み出して、変調信号を用いてアクチュエータ制御信号を変調する。
図１１は、アクチュエータ制御信号、変調信号及び変調アクチュエータ制御信号の例を示す。変調信号は図１１に示すように時系列データである。
図１１の例では、信号変調部１１１は、アクチュエータ制御信号と変調信号とを加算することでアクチュエータ制御信号を変調する。なお、変調信号を系列ともいう。
図１１の詳細は後述する。
信号変調部１１１により行われる動作は信号変調処理に相当する。
【００２８】
相関計算部１１２は、変調アクチュエータ制御信号がアクチュエータ１０３に送信された後にパッシブセンサ１０５から受信された計測信号と、信号変調部１１１によりアクチュエータ制御信号の変調に用いられた変調信号との相関を計算する。
変調信号はコントローラＢ１０６のメモリ３０２に記憶されている。つまり、アクチュエータ１０３とコントローラＢ１０６は変調信号を共有している。相関計算部１１２は、メモリ３０２から変調信号を読み出して、計測信号と変調信号との相関を計算する。
相関計算部１１２により行われる動作は相関計算処理に相当する。
【００２９】
信号判定部１１３は、相関計算部１１２により得られた相関値を用いて計測信号が正当な信号であるか否かを判定する。
より具体的には、信号判定部１１３は、相関値が閾値以上である場合に、計測信号が正当な信号であると判定する。一方、相関値が閾値未満である場合に、計測信号が、変化打消し攻撃により生じた不正な信号であると判定する。
また、信号判定部１１３は、計測信号送信インタフェース３０４を介して、計測信号を制御デバイス１０１に送信する。更に、信号判定部１１３は、判定結果送信インタフェース３０５を介して、判定結果を制御デバイス１０１に送信する。
また、信号判定部１１３は計測信号が不正な信号であると判定した場合に、制御デバイス１０１に警告を出力してもよい。
信号判定部１１３により行われる動作は信号判定処理に相当する。
【００３０】
＊＊＊動作の説明＊＊＊
本実施の形態に係る制御システム１０では、従来のフィードバックシステムで行われている動作に変調処理を追加することで攻撃検知を行うことができる。つまり、本実施の形態に係る制御システム１０では、専用のアクチュエータ等を追加することなく攻撃検知を実現することができる。
まずは、図２を用いて、従来のフィードバックシステムの動作について説明する。その後、従来のフィードバックシステムとの違いを述べる形で、本実施の形態に係る制御システム１０の動作について説明する。
【００３１】
従来のフィードバックシステムは次のように動作する。
制御デバイス１０１は、パッシブセンサ１０５からの計測信号に示される値（フィードバック値）と、制御対象１０４の制御目標値とを用いて、制御対象１０４を制御目標値に近づけるようにアクチュエータ制御信号を決定する（フィードバック制御）。
コントローラＡ１０２にはアクチュエータ制御信号受信インタフェース２０３が含まれている。アクチュエータ制御信号受信インタフェース２０３は、制御デバイス１０１から到来したデジタル信号であるアクチュエータ制御信号をアナログ信号に変換し、アナログ変換されたアクチュエータ制御信号をアクチュエータ１０３に送信する。なお、アクチュエータ制御信号受信インタフェース２０３によるアクチュエータ制御信号のデジタル−アナログ変換処理をＤＡＣ処理という。
一方、コントローラＢ１０６には計測信号受信インタフェース３０３が含まれている。計測信号受信インタフェース３０３は、パッシブセンサ１０５から到来したアナログ信号である計測信号をデジタル信号に変換し、デジタル変換された計測信号を制御デバイス１０１に送信する。なお、計測信号受信インタフェース３０３による計測信号のアナログ−デジタル変換処理をＡＤＣ処理という。
また、アナログ信号である計測信号をセンシング情報ともいい、デジタル信号である計測信号をセンサ読み取り値ともいう。
このようなフィードバック制御は、次の参考文献１で説明されている。
参考文献１：浅井保至．“共振アクチュエータの振幅制御に関する研究．”（２０１２）．
【００３２】
次に、本実施の形態に係る制御システム１０の動作例を説明する。
【００３３】
本実施の形態に係る制御システム１０は、まず、コントローラＡ１０２とコントローラＢ１０６とで、何らかの方法を用いて、変調信号（系列）の共有を行う。そして、コントローラＡ１０２では、ＤＡＣ処理に加えて、共有している変調信号（系列）に基づいた認証情報を埋め込む処理を行う。つまり、信号変調部１１１が、制御デバイス１０１から到来したデジタル信号のアクチュエータ制御信号を、共有している変調信号を用いて変調する。前述の通り、変調後のアクチュエータ制御信号は変調アクチュエータ制御信号という。そして、アクチュエータ制御信号送信インタフェース２０４が、変調アクチュエータ制御信号をアナログ信号に変換し、アナログ変換された変調アクチュエータ制御信号をアクチュエータ１０３へ送信する。ここで言う変調とは、ある系列の情報／信号を、一定の規則に従って変換し、新たな系列の情報／信号を得ることである。なお、アクチュエータ制御信号の変調方法の詳細は後述する。
【００３４】
また、コントローラＢ１０６では、ＡＤＣ処理に加えて、攻撃検知処理を行う。
より具体的には、計測信号受信インタフェース３０３がパッシブセンサ１０５からアナログ信号の計測信号（センシング情報）を受信し、受信した計測信号（センシング情報）をデジタル信号に変換する。そして、相関計算部１１２が、計測信号受信インタフェース３０３によりデジタル変換された後の計測信号（センサ読み取り値）と、コントローラＡ１０２と共有している変調信号（系列）との相関を計算する。そして、信号判定部１１３が、相関値と予め設定されている閾値との比較を行うことで、変化打消し攻撃の有無を判定する。その後、計測信号送信インタフェース３０４が、計測信号（センサ読み取り値）を制御デバイス１０１に送信し、判定結果送信インタフェース３０５が判定結果を制御デバイス１０１に送信する。ここで言う相関とは、ある情報／信号と別の情報／信号との間にある関係性の程度である。なお、相関の計算方法の詳細は後述する。
【００３５】
コントローラＡ１０２において信号変調部１１１がアクチュエータ制御信号に埋め込んだ変調信号は、物理変動として制御対象１０４へと伝わり、制御対象１０４の物理状態を変化させる。この時、制御対象１０４の物理状態は、通常のフィードバック制御による変化に加えて、変調信号の情報分だけ余計に変化する。そのため、制御対象１０４に悪影響を与えない変調方式を選ぶことが望ましい。
その後、パッシブセンサ１０５は、制御対象１０４の物理状態を計測し、計測結果を示す計測信号をコントローラＢに送信する。計測信号は、変調信号（系列）の成分が含まれる。逆に、計測信号に変調信号の成分が含まれていない場合には、それは制御対象１０４又は制御対象１０４が所在する環境に対する攻撃が行われたことの証拠となる。したがって、計測信号と元の変調信号との相関を計算することで、計測信号に変調信号に対応する成分が含まれるかどうかが分かる。このため、本実施の形態に係る信号処理装置１００は、変化打消し攻撃を検知することができる。
このように、本実施の形態に係る信号処理装置１００では、コントローラＡ１０２がアクチュエータ制御信号を介してアクチュエータ１０３に作用した変調信号が制御対象１０４を介して、パッシブセンサ１０５に到達する性質を利用することで、制御と同時に攻撃検知を行うことができる。
【００３６】
図５、図６は、本実施の形態に係る制御システム１０の動作例を示すシーケンス図である。
図５は攻撃が無い場合の制御システム１０の動作例を示す。図６は攻撃が有る場合の制御システム１０の動作例を示す。
図５及び図６は、制御デバイス１０１、コントローラＡ１０２、アクチュエータ１０３、制御対象１０４、パッシブセンサ１０５、コントローラＢ１０６及び攻撃者４０１の動作例を示す。
【００３７】
最初に、図５及び図６で共通する部分を説明する。
まず、コントローラＡ１０２とコントローラＢ１０６との間で、何らかの方法により変調信号の共有を行う。
その後、制御デバイス１０１は、コントローラＡ１０２へアクチュエータ制御信号を送信する。
コントローラＡ１０２では、信号変調部１１１が、受信したアクチュエータ制御信号を、コントローラＢ１０６と共有している変調信号をもとに変調する。
変調アクチュエータ制御信号はコントローラＡ１０２からアクチュエータ１０３へ送信される。
アクチュエータ１０３は、受信した変調アクチュエータ制御信号をもとに制御対象１０４に物理変動を加える。
【００３８】
図５に示すように、変化打消し攻撃が無い場合は、パッシブセンサ１０５は、制御対象１０４の物理状態を正常にセンシングする。このため、パッシブセンサ１０５からは、正常な値が示される正常な計測信号がコントローラＢ１０６に送信される。
コントローラＢ１０６では、計測信号受信インタフェース３０３が、アナログの計測信号をデジタル信号に変換する。
さらに、コントローラＢ１０６では、相関計算部１１２が、コントローラＡ１０２と共有している変調信号と、計測信号との相関を計算する。図５の例では、パッシブセンサ１０５は、変調信号が反映されたアクチュエータ制御信号の影響を受けた制御対象１０４の物理状態をセンシングしている。このため、変調信号と計測信号との間の相関は高く、計算により得られた相関値は閾値よりも高くなる。これにより、コントローラＢ１０６の信号判定部１１３は、変化打消し攻撃が発生していないと判定する。そして、判定結果送信インタフェース３０５が、変化打消し攻撃が発生していない旨の判定結果を制御デバイス１０１に送信する。また、計測信号送信インタフェース３０４が、計測信号を制御デバイス１０１に送信する。
【００３９】
また、図６に示すように、変化打消し攻撃が有る場合は、パッシブセンサ１０５は、攻撃者４０１から与えられた偽の物理状態をセンシングする。このため、パッシブセンサ１０５からは、不正な計測結果が示される不正な計測信号がコントローラＢ１０６に送信される。
コントローラＢ１０６では、計測信号受信インタフェース３０３が、アナログの計測信号をデジタル信号に変換する。
さらに、コントローラＢ１０６では、相関計算部１１２が、コントローラＡ１０２と共有している変調信号と、計測信号との相関を計算する。図６の例では、パッシブセンサ１０５の計測信号は攻撃者４０１により与えられた偽の物理状態に対応しており、変調信号の成分は含まれない。このため、変調信号と計測信号との間の相関は低く、計算により得られた相関値は閾値よりも低くなる。これにより、コントローラＢ１０６の信号判定部１１３は、変化打消し攻撃が発生していると判定する。そして、判定結果送信インタフェース３０５が、変化打消し攻撃が発生している旨の判定結果を制御デバイス１０１に送信する。また、計測信号送信インタフェース３０４が、計測信号を制御デバイス１０１に送信する。
【００４０】
次に、コントローラＡ１０２の動作例を図７のフローチャートを用いて説明する。
【００４１】
以下において、アクチュエータ制御信号ｘｉは、時刻ｉにおけるアクチュエータ制御信号を表す。また、変調信号ｙｉは、時刻ｉにおける変調信号を表す。
信号変調部１１１が行う変調は、アクチュエータ制御信号ｘｉと、変調信号ｙｉとを何らかの方法で組み合わせた出力ｚｉを作り出す処理である。出力ｚｉが変調アクチュエータ制御信号に相当する。
【００４２】
まず、ステップＳ６０１において、信号変調部１１１は、アクチュエータ制御信号受信インタフェース２０３を介して新たなアクチュエータ制御信号が到来したかどうかを確認する。
新たなアクチュエータ制御信号が到来していない場合は、信号変調部１１１は、新たなアクチュエータ制御信号が到来するまで繰り返し新たなアクチュエータ制御信号が到来したどうかを確認する。
一方、新たなアクチュエータ制御信号ｘｉが到来した場合は、信号変調部１１１は、コントローラＢ１０６と共有している変調信号ｙｉをもとにアクチュエータ制御信号の変調を行う（ステップＳ６０２）。
さらに、ステップＳ６０３において、アクチュエータ制御信号送信インタフェース２０４が、変調により得られた変調アクチュエータ制御信号ｚｉをアナログ信号に変換する。
その後、ステップＳ６０４において、アクチュエータ制御信号送信インタフェース２０４が、アナログ変換された変調アクチュエータ制御信号をアクチュエータ１０３へ送信する。
以上のようにすることで、アクチュエータ制御信号を順次変調してアクチュエータ１０３に送信することができる。
【００４３】
次に、コントローラＢ１０６の動作例を図８のフローチャートを用いて説明する。
【００４４】
まず、ステップＳ７００において、計測信号受信インタフェース３０３が、計測信号（センシング情報）を受信する。
次に、ステップＳ７０１において、計測信号受信インタフェース３０３が、受信した計測信号（センシング情報）をデジタル信号に変換する。
次に、ステップＳ７０２において、計測信号受信インタフェース３０３は、デジタル変換後の計測信号（センサ読み取り値）をメモリ３０２内のバッファ領域（以下、単にバッファという）に格納する。
次に、ステップＳ７０３において、相関計算部１１２が、バッファ内の計測信号の量を監視する。そして、閾値以上の量の計測信号がバッファに蓄積されていない場合は、再度ステップＳ７００に戻り、計測信号受信インタフェース３０３が、計測信号を受信する度に、受信した計測信号をデジタル変換し、デジタル変換後の計測信号をバッファに格納する。
一方で、閾値以上の量の計測信号がバッファに蓄積されている場合は、相関計算部１１２は、ステップＳ７０４において、相関の計算を行う。つまり、相関計算部１１２は、コントローラＡ１０２と共有している変調信号とバッファ内の計測信号との相関を計算する。
その後、相関計算部１１２は、ステップＳ７０５において、計算により得られた相関値をメモリ３０２に書き込む。
以上のようにすることで、コントローラＢ１０６は、変調信号と計測信号との相関を計算することができる。
【００４５】
次に、コントローラＢ１０６の動作例を図９のフローチャートを用いて説明する。
【００４６】
まず、ステップＳ８０１において、信号判定部１１３が、相関計算部１１２がメモリ３０２へ書き込んだ相関値を、メモリ３０２から取得する。
次に、ステップＳ８０２において、信号判定部１１３は、メモリ３０２から取得した相関値が閾値よりも低いか否かを計算する。そして、相関値が閾値よりも低い場合には、信号判定部１１３は、ステップＳ８０３において、変化打消し攻撃が発生している（「攻撃有り」）と判定する。
一方、相関値が閾値以上の場合は、信号判定部１１３は、ステップＳ８０４において、変化打消し攻撃が発生していない（「攻撃無し」）と判定する。
次に、信号判定部１１３は、ステップＳ８０５において、攻撃有無の判定結果と計測信号とを制御デバイス１０１に送信する。信号判定部１１３は、ステップＳ８０３において「攻撃有り」と判定した場合は、変化打消し攻撃が発生していることを通知する判定結果を制御デバイス１０１に送信する。一方、ステップＳ８０４において「攻撃無し」と判定した場合は、信号判定部１１３は、変化打消し攻撃が発生していないことを通知する判定結果を制御デバイス１０１に送信する。
また、ステップＳ８０３において「攻撃有り」と判定した場合は、信号判定部１１３は、制御デバイス１１０に規定の警告を送信してもよい。
以上のようにして、コントローラＢ１０６は、相関値をもとに変化打消し攻撃の有無を判定し、制御デバイス１０１に変化打消し攻撃の有無を通知することができる。
【００４７】
（具体例１）
【００４８】
次に、本実施の形態に係る制御システム１０を、具体例を挙げて説明する。
【００４９】
＊＊＊構成の説明＊＊＊
図１０は、パイプライン制御に適用した場合の制御システム１０の構成例を示す。つまり、図１０は、図２の構成をパイプライン制御に適用する場合に想定される構成例を示す。
図１０の例では、制御デバイス９０１が制御デバイス１０１に相当し、弁／ポンプ９０３がアクチュエータ１０３に相当する。また、パイプライン９０４が制御対象１０４に相当し、圧力計／流量計９０５がパッシブセンサ１０５に相当する。また、コントローラＡ９０２がコントローラＡ１０２に相当し、コントローラＢ９０６がコントローラＢ１０６に相当する。コントローラＡ９０２には、コントローラＡ１０２と同様に、プロセッサ２０１、メモリ２０２、アクチュエータ制御信号受信インタフェース２０３、アクチュエータ制御信号送信インタフェース２０４及び信号変調部１１１が含まれる。また、コントローラＢ９０６には、コントローラＢ１０６と同様に、プロセッサ３０１、メモリ３０２、計測信号受信インタフェース３０３、計測信号送信インタフェース３０４、判定結果送信インタフェース３０５、相関計算部１１２及び信号判定部１１３が含まれる。
【００５０】
＊＊＊動作の説明＊＊＊
制御デバイス９０１は、圧力計／流量計９０５が読み取った値をもとに、流量の目標値に近づけるように、弁／ポンプ制御信号をコントローラＡ９０２に送信する。弁／ポンプ制御信号は図２の構成におけるアクチュエータ制御信号に相当する。
コントローラＡ９０２では、信号変調部１１１が、弁／ポンプ制御信号を、コントローラＢ９０６と共有している変調信号（系列）をもとに変調し、変調後の弁／ポンプ制御信号を弁／ポンプ９０３に送信する。
弁／ポンプ９０３は、変調後の弁／ポンプ制御信号に基づき動作する。この結果、パイプライン９０４を流れる液体又は気体の量が変動する。
圧力計／流量計９０５は、パイプライン９０４を流れる気体又は液体の量を計測し、計測信号（センシング情報）をコントローラＢ９０６に送信する。
コントローラＢ９０６では、相関計算部１１２が、コントローラＡ９０２と共有している変調信号（系列）と計測信号（センサ読み取り値）との相関を計算する。また、信号判定部１１３が、相関値に基づき、変化打消し攻撃の有無を判定する。そして、信号判定部１１３は、計測信号と判定結果を制御デバイス９０１に送信する。
【００５１】
ここで、信号変調部１１１における変調について説明する。
図１０に示すパイプライン制御において、弁／ポンプ９０３として、例えば、直流制御式のポンプ（ＤＣ（Ｄｉｒｅｃｔ  Ｃｕｒｒｅｎｔ）ポンプ）が使用されているとする。ＤＣポンプは、ＰＷＭ（Ｐｕｌｓｅ  Ｗｉｄｔｈ  Ｍｏｄｕｌａｔｉｏｎ）信号により制御される。
前述の参考文献１には、ＰＷＭ制御が説明されている。
【００５２】
図１１は、アクチュエータ制御信号と、変調信号と、変調アクチュエータ制御信号との例を示す。
図１１の例では、変調方式として、アクチュエータ制御信号と変調信号との和を採用する。つまり、信号変調部１１１は、アクチュエータ制御信号と変調信号との加算により変調アクチュエータ制御信号を生成する。
アクチュエータ制御信号はＰＷＭ信号である。
図１０の例では、信号変調部１１１は、制御デバイス９０１から与えられた弁／ポンプ制御信号と変調信号との和を取ることで変調を行う。
【００５３】
時刻ｉにおけるアクチュエータ制御信号をアクチュエータ制御信号ｘｉ、時刻ｉにおける変調信号を変調信号ｙｉ、時刻ｉにおける変調アクチュエータ制御信号を変調アクチュエータ制御信号ｚｉとする。また、関数ｆを信号変調部１１１の変調方式とする。
信号変調部１１１が変調アクチュエータ制御信号ｚｉを計算することは、以下の式１０１で表される。
ｚｉ＝ｆ（ｘｉ，ｙｉ，ｚｉ−１）      式１０１
【００５４】
このように、信号変調部１１１は、時刻ｉにおける変調アクチュエータ制御信号ｚｉを、アクチュエータ制御信号ｘｉと変調信号ｙｉと１つ前の時刻（ｉ−１）で生成した変調アクチュエータ制御信号ｚｉ−１を用いて生成する。
例えば、図１０の構成では、信号変調部１１１は、以下の式１０２のように変調を行う。
式１０２において、「＋」は論理和を表し、「・」は論理積を表す。例えば、１＋１＝１、１＋０＝１、０＋０＝０、１・１＝１、１・０＝０、０・０＝０である。
ｚｉ＝ｘｉ＋ｙｉ＋０・ｚｉ−１      式１０２
【００５５】
次に、相関計算部１１２による相関の計算方法について説明する。
相関計算部１１２は、例えば、参考文献２で開示されるピアソンの相関係数を用いて相関を計算してもよい。相関計算部１１２は、ピアソンの相関係数を用いることにより、計測信号と変調信号との関係の強さを解析することができる。
参考文献２：東京大学教養学部統計学教室（１９９１）『統計学入門（基礎統計学Ｉ）』東京大学出版会
【００５６】
以上が、本実施の形態に係る制御システム１０をパイプラインに適用した一例となる。ただし、図１０のパイプラインの例と図１１の変調方式の例は、あくまで一例である。従って、本実施の形態に係る制御システム１０を他の用途に適用することが可能であり、また、本実施の形態に係る制御システム１０は他の変調方式を使用することが可能である。
【００５７】
なお、以上では、コントローラＡ１０２とコントローラＢ１０６との間で変調信号を共有する方法は特定しなかったが、例えば、以下の方法で変調信号を共有するようにしてもよい。
【００５８】
第１の方法では、コントローラＡ１０２の信号変調部１１１が変調信号を生成し、生成した変調信号をメモリ２０２に格納する。そして、信号変調部１１１がネットワークを介してコントローラＢ１０６に変調信号を送信し、相関計算部１１２が変調信号をメモリ３０２に格納する。
【００５９】
第２の方法では、制御デバイス１０１又は外部の変調信号生成器又は制御システム１０を管理する上位システムで変調信号を生成する。そして、変調信号の生成元がコントローラＡ１０２とコントローラＢ１０６とにネットワークを介して変調信号を送信する。コントローラＡ１０２では、信号変調部１１１がメモリ２０２に変調信号を格納し、コントローラＢ１０６では、相関計算部１１２がメモリ３０２に変調信号を格納する。
【００６０】
第３の方法では、信号変調部１１１と相関計算部１１２が、それぞれ、コントローラＡ１０２とコントローラＢ１０６とで共有している秘密鍵をもとに疑似乱数生成器によるストリーム暗号を利用して同じ変調信号を生成する。そして、信号変調部１１１は、ストリーム暗号を利用して生成した変調信号を用いてアクチュエータ制御信号を変調する。また、相関計算部１１２は、ストリーム暗号を利用して生成した変調信号と、計測信号との相関を計算する。
ストリーム暗号の例としては、参考文献３に示すようなＫＣｉｐｈｅｒ−２が挙げられる。
参考文献３：ＩＥＴＦ「ＲＦＣ  ７００８」ｈｔｔｐｓ：／／ｗｗｗ．ｒｆｃ−ｅｄｉｔｏｒ．ｏｒｇ／ｉｎｆｏ／ｒｆｃ７００８
【００６１】
また、信号変調部１１１は、複数の変調方式に対応しており、複数の変調方式のうちのいずれかの変調方式によりアクチュエータ制御信号を変調する。
例えば、信号変調部１１１は、以下の複数の変調方式のうちのいずれかに変調方式によりアクチュエータ制御信号を変調する。なお、信号変調部１１１の変調方式は以下に限定されるものではない。
１）ＡＭ変調、ＦＭ変調又はその他の弱い変調方式などのアナログ変調
２）振幅偏移変調（ＡＳＫ）、位相偏移変調（ＰＳＫ）などのデジタル変調
３）アクチュエータ制御信号を１バイト毎に区切り、各バイトの最下位ビットを、変調信号に応じて置換する方法（電子透かしにおけるＬＳＢ（Ｌｅａｓｔ．  Ｓｉｇｎｉｆｉｃａｎｔ  Ｂｉｔ）法）
【００６２】
また、相関計算部１１２と信号判定部１１３は、アクチュエータ１０３が所在する環境、パッシブセンサ１０５が所在する環境又はアクチュエータ１０３が制御する制御対象１０４が所在する環境の変化に応じて相関の計算方法又は変調信号との相関の計算に用いる計測信号の切り出しを行う時間窓の幅、又は閾値を変更するようにしてもよい。
例えば、環境に存在するノイズが増加した場合、ノイズに対する信号の割合は下がり、変調信号と計測信号との相関値が低くなる。そこで、このような場合には、時間窓の幅を大きくし、長い時間範囲で変調信号と計測信号との相関値を計算するようにすることで、ノイズの影響を低減し、検知率を上げることができる。あるいは、単純に閾値を小さくすることで、ノイズの影響で相関値が減少した場合であっても、誤検知を減らすことができる。
なお、環境の変化は、例えば、パッシブセンサ１０５の計測信号などに応じて制御デバイス１０１が判断し、コントローラＢ１０６へと送信してもよい。具体的には、自動車の場合、タイヤの回転数や自動車の移動量などの情報により、制御デバイス１０１はタイヤの停止状態、運転状態を判断し、その情報をコントローラＢ１０６へと送信する。停止状態のときはノイズが少ないため閾値を上げ、運転状態のときはノイズが多いため閾値を下げることが考えられる。
【００６３】
また、相関計算部１１２は、複数の相関計算方式に対応しており、複数の相関計算方式のうちのいずれかの相関計算方式により計測信号と変調信号との相関を計算する。
例えば、相関計算部１１２は、以下の計算方式のうちのいずれかの計算方式により相関を計算する。なお、相関計算部１１２の相関の計算方式は以下に限定されるものではない。
１）変調信号と計測信号との相互相関、相互情報量又は尤度を計算すること
２）変調信号の要素（例えば１バイトの要素）と計測信号の要素（例えば１バイトの要素）との差の２乗の総和を取った値の平方根（ユークリッド距離）を計算すること
３）上記１）の計算方法又は上記２）の計算方法に準じる幾何学的距離（マハラノビス距離、マンハッタン距離、チェビシェフ距離、ミンコフスキー距離など）を計算すること
４）変調信号とアクチュエータの制御信号とをもとに推測した計測信号と、実際の計測信号との相互相関、相互情報量、尤度又は幾何学的距離を計算すること
【００６４】
なお、以下の参考文献４には、相互情報量が説明されている。
また、前述の参考文献２には、尤度が説明されている。
また、以下の参考文献５には、幾何学的距離が説明されている。
参考文献４：今井秀樹（１９８４）『情報理論』昭晃堂
参考文献５：大石皓太郎「機械学習を利用した打楽器の音源同定」（２０１６）
【００６５】
また、相関計算部１１２は、コントローラＡ１０２とコントローラＢ１０６との間で共有している変調信号と計測信号とを用いて相関を計算するが、相関の計算のためには、変調信号と同じ時間長さの信号系列を計測信号から切り出す必要がある。切り出した信号系列と変調信号とが相関を持つためには、相関計算部１１２は、時間的に連続する計測信号の中で、変調信号に依存して変化を開始している箇所から切り出しを開始する必要がある。つまり、変調信号がアクチュエータ制御信号に埋め込まれた時刻と、計測信号を切り出し始める時刻とが同期している必要がある。したがって、コントローラＡ１０２とコントローラＢ１０６とで時刻同期を行う必要がある。
【００６６】
コントローラＡ１０２とコントローラＢ１０６とは、信号変調部１１１による変調及び相関計算部１１２による相関の計算を開始する前に予め時刻同期しておいてもよい。
また、同期のためのパターン系列（パイロット信号）を予め決めておき、そのパターン系列をコントローラＡ１０２とコントローラＢ１０６とで送受信することで時刻同期を行うようにしてもよい。
そして、コントローラＡ１０２とコントローラＢ１０６とが時刻同期している状態で、信号変調部１１１がアクチュエータ制御信号を変調信号を用いて変調し、相関計算部１１２が計測信号と変調信号との相関を計算し、信号判定部１１３が相関値を用いて計測信号が正当な信号であるか否かを判定する。
また、例えば、相関計算部１１２は、任意の時間窓をずらしながら順次計測信号から信号系列を切り出し、切り出した信号系列ごとに、対応する時間窓での変調信号における信号系列との相関を計算するようにしてもよい。
【００６７】
また、制御システム１０の構成を、図２に示す構成に代えて図１２に示す構成としてもよい。図１２では、コントローラＡ１０２とコントローラＢ１０６とを１つのコントローラ１１０１として構成している。
図１２の構成では、図示していないが、コントローラ１１０１に、信号変調部１１１と相関計算部１１２と信号判定部１１３とが含まれる。
なお、コントローラ１１０１には、図示していないが、コントローラＡ１０２又はコントローラＢ１０６と同様に、プロセッサ、メモリが含まれる。信号変調部１１１と相関計算部１１２と信号判定部１１３はプロセッサで実行される。また、コントローラ１１０１には、図示していないが、アクチュエータ制御信号受信インタフェース２０３、アクチュエータ制御信号送信インタフェース２０４、計測信号受信インタフェース３０３、計測信号送信インタフェース３０４及び判定結果送信インタフェース３０５に相当するインタフェース回路が含まれる。
なお、図１２の構成では、図２の構成で必要であった変調信号の共有は不要である。
図１２の構成では、例えば、前述の第２の方法と第３の方法により変調信号を生成することができる。
【００６８】
また、制御システム１０の構成を、図２に示す構成に代えて図１３に示す構成としてもよい。図１３では、制御デバイス１０１とコントローラＡ１０２とコントローラＢ１０６とを１つの制御デバイス１２０１として構成している。
図１３の構成では、図示していないが、制御デバイス１２０１に、信号変調部１１１と相関計算部１１２と信号判定部１１３とが含まれる。また、図１３の構成では、制御デバイス１２０１は、アクチュエータ制御信号の生成及び計測信号に応じたフィードバック制御なども行う。
また、制御デバイス１２０１には、図示していないが、コントローラＡ１０２又はコントローラＢ１０６と同様に、プロセッサ、メモリが含まれる。信号変調部１１１と相関計算部１１２と信号判定部１１３はプロセッサで実行される。また、制御デバイス１２０１には、図示していないが、アクチュエータ制御信号送信インタフェース２０４及び計測信号受信インタフェース３０３に相当するインタフェース回路が含まれる。
なお、図１３の構成では、図２の構成で必要であった変調信号の共有は不要である。
図１３の構成では、例えば、前述の第２の方法と第３の方法により変調信号を生成することができる。
【００６９】
また、制御システム１０の構成を、図２に示す構成に代えて図１４に示す構成としてもよい。
図１４では、コントローラＡ１０２とアクチュエータ１０３とを、それぞれコントローラＡ群１４０１とアクチュエータ群１４０２として構成している。図１４の構成では、コントローラＡ群１４０１のコントローラＡとアクチュエータ群１４０２のアクチュエータとは１対１で組になっている。コントローラＡ群１４０１は、図２に示すコントローラＡ１０２で構成される。また、アクチュエータ群１４０２は、図２に示すアクチュエータ１０３で構成される。つまり、図１４の構成では、コントローラＡ１０２とアクチュエータ１０３との組が複数存在する。
また、図１４では図示を省略しているが、各コントローラＡ１０２には、信号変調部１１１が含まれる。複数の信号変調部１１１は、それぞれ、アクチュエータ群１４０２に含まれるいずれかのアクチュエータ１０３に対応付けられており、対応付けられているアクチュエータ１０３に変調アクチュエータ制御信号を送信する。
また、コントローラＡ群１４０１のそれぞれのコントローラＡ１０２とコントローラＢ１０６とは変調信号を共有している。コントローラＢ１０６には、図２に示す相関計算部１１２と信号判定部１１３とが含まれる。
【００７０】
まず、制御デバイス１０１はコントローラＡ群１４０１の各コントローラＡ１０２にアクチュエータ制御信号を送信する。コントローラＡ群１４０１のそれぞれのコントローラＡ１０２では、信号変調部１１１が、それぞれ異なった変調信号を用いてアクチュエータ制御信号を変調し、変調アクチュエータ制御信号を生成する。その後、コントローラＡ群１４０１の各コントローラＡ１０２は、それぞれ、アクチュエータ群１４０２内の対応するアクチュエータ１０３に変調アクチュエータ制御信号を送信する。
アクチュエータ群１４０２のそれぞれのアクチュエータ１０３は制御対象１０４に物理変動を加え、制御対象１０４の物理状態が変化する。
パッシブセンサ１０５は、制御対象１０４の物理状態を計測し、計測信号をコントローラＢ１０６に送信する。
コントローラＢ１０６では、相関計算部１１２が、パッシブセンサ１０５から受信された計測信号と、コントローラＡ群１４０１のそれぞれのコントローラＡ１０２と共有している変調信号（各信号変調部１１１がアクチュエータ制御信号の変調に用いた変調信号）との相関値を計算する。この結果、相関計算部１１２は、コントローラＡ群１４０１のコントローラＡ１０２の個数分の相関値を得る。
信号判定部１１３は、相関計算部１１２により得られた複数の相関値を用いて計測信号が正当な信号であるか否かを判定する。つまり、信号判定部１１３は、複数の相関値を、それぞれ閾値と比較することで、攻撃の有無を検知する。具体的には、信号判定部１１３は、１つでも相関値が閾値未満であった場合に攻撃があったと判定する。これにより、攻撃者がアクチュエータ群１４０２の、あるアクチュエータ１０３に不正な信号を入力した場合であっても、攻撃を検知することができる。この結果、攻撃の検知率の向上や誤検知率の抑制を図ることができる。
【００７１】
また、制御システム１０の構成を、図２に示す構成に代えて図１５に示す構成としてもよい。図１５では、パッシブセンサ１０５とコントローラＢ１０６とを、それぞれパッシブセンサ群１５０１とコントローラＢ群１５０２として構成している。図１５の構成では、パッシブセンサ群１５０１のパッシブセンサとコントローラＢ群１５０２のコントローラＢとは１対１で組になっている。
コントローラＢ群１５０２は、図２に示すコントローラＢ１０６で構成される。また、パッシブセンサ群１５０１は、図２に示すパッシブセンサ１０５で構成される。つまり、図１５の構成では、コントローラＢ１０６とパッシブセンサ１０５との組が複数存在する。
また、コントローラＢ群１５０２のそれぞれのコントローラＢ１０６とコントローラＡ１０２とは変調信号を共有している。
図１５では図示を省略しているが、コントローラＡ１０２には、信号変調部１１１が含まれる。
また、各コントローラＢ１０６には、相関計算部１１２が含まれる。複数の相関計算部１１２は、パッシブセンサ群１５０１に含まれるいずれかのパッシブセンサ１０５に対応付けられている。各相関計算部１１２は、対応付けられているパッシブセンサ１０５からの計測信号と、信号変調部１１１がアクチュエータ制御信号の変調に用いた変調信号との相関を計算する。
また、複数のコントローラＢ１０６のうちの１つのコントローラＢ１０６には、信号判定部１１３が含まれている。信号判定部１１３が含まれているコントローラＢ１０６を以下では、代表コントローラＢ１０６という。代表コントローラＢ１０６内の信号判定部１１３は、複数の相関計算部１１２により得られた複数の相関値を用いて、複数の計測信号の各々が正当な信号であるか否かを判定する。
【００７２】
図１５の構成でも、アクチュエータ１０３が制御対象１０４に物理変動を加えるまでの動作は図２の構成と同じである。
図１５の構成では、各パッシブセンサ１０６からの計測信号の処理方法が異なる。
パッシブセンサ群１５０１内の各パッシブセンサ１０５がセンスした制御対象１０４の物理状態が、それぞれ、計測信号として、コントローラＢ群１５０２内の対応するコントローラＢに送信される。
コントローラＢ群１５０２のそれぞれのコントローラＢ１０６では、相関計算部１１２が、それぞれ変調信号と計測信号との相関値を計算する。そして、各相関計算部１１２は、相関値と計測信号を代表コントローラＢ１０６に送信する。
代表コントローラＢ１０６では、信号判定部１１３が、複数の相関計算部１１２により得られた複数の相関値を用いて、複数の計測信号の各々が正当な信号であるか否かを判定する。つまり、信号判定部１１３は、複数の相関値を、それぞれ閾値と比較することで、攻撃の有無を検知する。具体的には、信号判定部１１３は、１つでも相関値が閾値未満であった場合に攻撃があったと判定する。これにより、攻撃の検知率の向上や誤検知率の抑制を図ることができる。
なお、ここでは、代表コントローラＢ１０６に信号判定部１１３が含まれる例を説明したが、代表コントローラＢ１０６ではなく、制御デバイス１０１に信号判定部１１３が含まれていてもよい。制御デバイス１０１に信号判定部１１３が含まれている場合は、各コントローラＢ１０６の相関計算部１１２は、算出した相関値を制御デバイス１０１に送信する。そして、制御デバイス１０１内の信号判定部１１３が、受信した複数の相関値を用いて、複数の計測信号の各々が正当な信号であるか否かを判定する。信号判定部１１３の動作は上述した通りである。
【００７３】
＊＊＊実施の形態の効果の説明＊＊＊
本実施の形態では、変調アクチュエータ制御信号に基づきアクチュエータが動作した場合は、計測信号に変調信号の成分が含まれるため、計測信号と変調信号との相関が高い。このため、本実施の形態によれば、計測信号と変調信号との相関値を用いてパッシブセンサからの計測信号が正当な信号であるか否かを判定することができる。
従って、本実施の形態によれば、専用のアクチュエータを有しないパッシブセンサを用いる場合でも、アクチュエータ制御信号に変調信号を付加することで、変化打消し攻撃を検知することができる。
【００７４】
＊＊＊ハードウェア構成の説明＊＊＊
最後に、コントローラＡ１０２とコントローラＢ１０６のハードウェア構成の補足説明を行う。なお、以下の説明は、図１２のコントローラ１１０１及び図１３の制御デバイス１２０１にもあてはまる。
プロセッサ２０１及びプロセッサ３０１は、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ  Ｓｉｇｎａｌ  Ｐｒｏｃｅｓｓｏｒ）等である。
メモリ２０２及びメモリ３０２は、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）、ＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）、フラッシュメモリ、ＨＤＤ（Ｈａｒｄ  Ｄｉｓｋ  Ｄｒｉｖｅ）、ＳＳＤ（Ｓｏｌｉｄ  Ｓｔａｔｅ  Ｄｒｉｖｅ）等である。
アクチュエータ制御信号受信インタフェース２０３はＩ２Ｃ（Ｉｎｔｅｒ−Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ）インタフェース、ＳＰＩ（Ｓｅｒｉａｌ  Ｐｅｒｉｐｈｅｒａｌ  Ｉｎｔｅｒｆａｃｅ）及びＥｔｈｅｒｎｅｔ（登録商標）インタフェース等である。アクチュエータ制御信号送信インタフェース２０４はＤＡＣ（Ｄｉｇｉｔａｌ  Ａｎａｌｏｇ  Ｃｏｎｖｅｒｔｅｒ）である。
計測信号受信インタフェース３０３はＡＤＣ（Ａｎａｌｏｇ  Ｄｉｇｉｔａｌ  Ｃｏｎｖｅｒｔｅｒ）である。計測信号送信インタフェース３０４及び判定結果送信インタフェース３０５はＩ２Ｃインタフェース及びＳＰＩインタフェース、Ｅｔｈｅｒｎｅｔ（登録商標）インタフェース等である。
【００７５】
また、信号変調部１１１、相関計算部１１２及び信号判定部１１３の「部」を、「回路」又は「工程」又は「手順」又は「処理」に読み替えてもよい。
また、コントローラＡ１０２及びコントローラＢ１０６は、ロジックＩＣ（Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ）、ＧＡ（Ｇａｔｅ  Ａｒｒａｙ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ  Ｓｐｅｃｉｆｉｃ  Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ  Ｇａｔｅ  Ａｒｒａｙ）といった電子回路により実現されてもよい。
なお、プロセッサ及び上記の電子回路を総称してプロセッシングサーキットリーともいう。
【符号の説明】
【００７６】
１０  制御システム、１００  信号処理装置、１０１  制御デバイス、１０２  コントローラＡ、１０３  アクチュエータ、１０４  制御対象、１０５  パッシブセンサ、１０６  コントローラＢ、１１１  信号変調部、１１２  相関計算部、１１３  信号判定部、２０１  プロセッサ、２０２  メモリ、２０３  アクチュエータ制御信号受信インタフェース、２０４  アクチュエータ制御信号送信インタフェース、３０１  プロセッサ、３０２  メモリ、３０３  計測信号受信インタフェース、３０４  計測信号送信インタフェース、３０５  判定結果送信インタフェース、４０１  攻撃者、９０１  制御デバイス、９０２  コントローラＡ、９０３  弁／ポンプ、９０４  パイプライン、９０５  圧力計／流量計、９０６  コントローラＢ、１１０１  コントローラ、１２０１  制御デバイス。
【図１】
0006448878.tif 000002
【図２】
0006448878.tif 000003
【図３】
0006448878.tif 000004
【図４】
0006448878.tif 000005
【図５】
0006448878.tif 000006
【図６】
0006448878.tif 000007
【図７】
0006448878.tif 000008
【図８】
0006448878.tif 000009
【図９】
0006448878.tif 000010
【図１０】
0006448878.tif 000011
【図１１】
0006448878.tif 000012
【図１２】
0006448878.tif 000013
【図１３】
0006448878.tif 000014
【図１４】
0006448878.tif 000015
【図１５】
0006448878.tif 000016