制御システムのためのモデルベースセキュリティ技術
電気通信大学i-パワードエネルギー・システム研究センター（iPERC）
澤田賢治
Japan Computer Emergency
Response Team Coordination
Center

電子署名者 : Japan Computer Emergency Response Team Coordination
Center
DN : c=JP, st=Tokyo, l=Chiyoda-ku, email=office@jpcert.or.jp, o=Japan
Computer Emergency Response Team Coordination Center, cn=Japan
Computer Emergency Response Team Coordination Center
日付 : 2017.03.31 13:51:58 +09'00'

研究背景
制御システム
発電所，工場，化学プラントなど
重要インフラの制御系
 ネットワーク連携による高機能化・高性能化
 インターネットによる広域監視・制御
 汎用OS・通信プロトコルの導入，オープン技術導入

制御器

2

研究背景
制御システム
発電所，工場，化学プラントなど
サイバー攻撃サイバー攻撃物理的な影響• 2010年
イランのウラン濃縮施設 ”Stuxnet”• 2014年
独国の製鉄工場へマルウェア侵入

サイバー攻撃制御器

溶鉱炉爆発→操業停止• 2015年
ウクライナ電力会社へのサイバー攻撃
→停電

3

研究概要
事前対策技術 ネットワーク振舞異常検知
 制御システムに対するサイバー攻撃のリスク分析
 ホワイトリスト

Incident!!

Attacker ishidden

CA
Detection andProtection

B
Networkedcontroller

4ホワイトリスト
ブラックリスト型

ホワイトリスト型

実行不可の通信・プログラムのリスト化 実行可の通信・プログラムのリスト化• 常に最新のパターンファイル更新が必須• スキャン時のシステム負荷：高• 機能・構成変更時にパターンファ
イル更新が必須• スキャン時のシステム負荷：低多くの制御システムは「ホワイトリスト」が有効• レガシー問題（古いOS，最新プログラム動作保証外）• 高負荷なウィルススキャンが不可能

5

研究概要

事後対応（ダメージコントロール）技術
縮退運転：防御のための機能限定稼働
サイバー攻撃後の安全側制御の実現

Attacker ishidden

Incident!!

Fallback mode

Networkedcontroller

Cyberattack via
network

Isolatedcontroller

縮退運転システム• ネットワーク切断・制限による二次感染・被害防止• インシデント発生後の対応（インシデントレスポンス）

6電気通信大学としての取組 事前対策：コントローラ用のホワイトリスト（３）• フィールド機器（アクチュエータ・センサ）の正常動
作プロセスをホワイトリスト化
 事後対策：縮退運転システム（１）• ネットワーク切断・制限による二次感染・被害防止• ネットワークを利用しない異常検知 事前・事後対策：第三者監視システム（２）• ホワイトリスト機能• 縮退運転機能

上記を実現するためのモデルベース技術の開発
7

例：不良品判別器における縮退運転
卓球ボール・ゴルフボールを投入
Air cylinders

１２

３：SortingBOX2（良品）

BOX1（不良品）
8

例：不良品判別器における縮退運転
MITM異常発生

卓球ボール・ゴルフボールを投入

通常運転

玉詰まり

縮退運転時点灯

BOX2（良品）

縮退運転
切り替え

BOX1（不良品）

玉詰まり解消サイバー攻撃後の稼働継続を実現

9実験環境ネットワーク化
制御器

制御システム・ネットワーク経由でリモート制御-産業用イーサネット規格（Modbus/TCP）・重量の異なるボールを仕分けるプラント
・生産システムにおける不良品判別器を想定

Modbus/TCP

エアシリンダ １ ２ ３：仕分け部

L2スイッチModbus/TCP

リモート入出力アナログ信号模擬プラントボールバッファBOX1（卓球）（良品）
BOX2（ゴルフ）（不良品）
10

モデルベース開発
制御モデル
上位設計

制御システムAuto coding

スイッチ

ネットワーク化
制御器

リモート入出力

模擬プラント11

モデルベースセキュリティ
制御モデル
上位設計

動作比較
状態推定

010
101
011

命令値

実振る舞い

制御システムAuto coding

スイッチ

ネットワーク化
制御器

リモート入出力

情報改ざん
通信妨害

模擬プラント12

モデルベース縮退運転適用フロー
リスク分析
・望ましくない事象
・要因
縮退運転設計望ましくない事象
要因1

要因2

・縮退運転制御ロジック

・どのように異常を検出するか？
・どこを縮退させるか？

・切り替えタイミング

・いつ縮退に切り替えるか？

・切替機構

・ネットワークをどのように切断するか？

実装および実機実験

13

リスク分析

望ましくない事象
ボールバッファ許容量超過による非安全停止

要因
ボールバッファにおける玉詰まり
エアシリンダの異常

仕分け用
センサの異常センサ故障

サイバー攻撃リスク分析

望ましくない事象
ボールバッファ許容量超過による非安全停止

要因
ボールバッファにおける玉詰まり
エアシリンダの異常

仕分け用
センサの異常センサ故障

ボールバッファサイバー攻撃想定するサイバー攻撃
MITM(Man In The Middle attack ：中間者攻撃)
通信に割り込み，情報の傍受・改竄を行う攻撃手法
攻撃側の狙い
仕分け用センサ情報改竄→非安全停止防御側の要求MITM後に安全側へ制御（仕分けは優先度低）

縮退運転システム
注目点：「ネットワーク情報を使わない」縮退運転システムをモデ
ルベース技術により実現

16参考：FT-AT図による脅威分析
FT: Fault Tree
AT: Attack Tree

玉詰まり

望ましくない事象
ORゲート

エアシリンダ停止
基本事象

ボール非検出

MITM後の安全側制御（仕分けは優先度低）Sセンサ
異常ANDゲート

Pセンサ1
異常

ボール投入時
基本事象

基本事象

事象

Pセンサ1
故障

防御側の要求

事象

ORゲート

Sセンサ
故障

基本事象
ORゲート

縮退運転システム

MITM
基本攻撃

MITM
基本攻撃

Pセンサ：ボール通過検出用センサ
Sセンサ：仕分け用センサ

FT-AT:
17https://www.gaio.co.jp/product/dev_tools/pdt_seculia.html

縮退運転設計
通常運転

要素技術

サイバー攻撃発生!!

縮退運転

機能を限定してでも稼働継続に専念
ネットワークから切断• MITM異常検出手法• 縮退運転切り替え機構
18

MITM異常検知
Modbus/TCP
スイッチ

ネットワーク化
制御器

リモート入出力

Modbus/TCP
スイッチ

ネットワーク化
制御器

模擬プラント

暗号化無し
認証システム無し

リモート入出力
MITM

縮退運
転シス
テ
ム

模擬プラント19

MITM異常検知
制御モデル
動作比較
状態推定
アナログ信号（実振る舞い）Auto coding（事前）Modbus/TCP
スイッチ

ネットワーク化
制御器

リモート入出力
MITM

縮退運
転シス
テ
ム

模擬プラント20

MITM異常検知（模擬プラント）＜MITM異常検出式＞

制御ロジックモデル
動作比較
状態推定

通常時 𝑊𝑊 𝑘𝑘 ≤ 0
異常時 𝑊𝑊 𝑘𝑘 > 0
Modbus/TCP
スイッチ

ネットワーク化
制御器

リモート入出力
MITM

縮退運
転シス
テ
ム

模擬プラント21

縮退運転切り替えアルゴリズム
通常運転
ネットワーク化制御器
ボールの仕分け
縮退運転システム
MITM異常検出式計算

縮退運転

MITM異常 検出後検出
即座に縮退運転へ切り替え

ボールの仕分けを行わない→ボールを流すことに専念，稼働継続
防御側の要求に応えられる

縮退運転切り替え機構（通常運転時）モデルと実システム
振る舞い比較
ネットワーク化
制御器

縮退運転制御器（Arduino）

Modbus/TCP

L2スイッチModbus/TCP
アナログ信号

リモート入出力装置

模擬プラント
アナログ信号
網掛け部：縮退運転システム

センサ値

23

縮退運転切り替え機構（インシデント発生時）
MITM

インシデント検出

ネットワーク化
制御器

縮退運転制御器（Arduino）

Modbus/TCP

L2スイッチModbus/TCP

アナログ信号スイッチ
制御

ネットワーク遮断

さらに縮退運転制御器が非イーサネット接続

アナログ信号

リモート入出力装置

遮断

サイバー攻撃から隔離

模擬プラント
アナログ信号
網掛け部：縮退運転システム

センサ値

24

実機実験（MITM異常あり）

通常運転

MITM異常発生

玉詰まり

縮退運転時点灯

BOX2（卓球）（良品）
BOX1（ゴルフ）
（不良品）

縮退運転
切り替え

玉詰まり解消優先順位:安全側への制御＞ボールの仕分け
縮退運転:全ボール（全製品）をBOX1(不良品)へ
25

縮退運転における課題
実装面の課題PLCによる縮退運転システムの実装
PLC: Programmable Logic Controller

運用面の課題
通常運転復帰前の試運転に実プラントを使用しない

縮退運転

試運転

通常運転

PLCによる縮退運転システム
Proposal
1. ネットワーク型の縮退運転システム (N-FCS)
2. 検知条件のモデルベース開発
Integration!!

FCS Devices

Devices

N-FCSNetworked
Controller

BeforeNetworked
Controller
Field
Network

伝送系の変更がない．
物理系の変更がない．

After

Field
Network27

検知条件のモデルベース開発

Simulink (Execute on Laptop)

28

検知条件のモデルベース開発

Simulink (Execute on Laptop)

Petri net
Controller Model (Stateflow)

PLC用の制御プログラム言語に変換可能(MSCS2017)29現在の通常運転復帰（実機を用いた試運転）
異常時点灯

BOX1（卓球）（良品）

BOX2（ゴルフ）（不良品）

実プラントをネットワークに接続しなければならない

実プラントをネットワークに接続しない
新しい試運転方式がほしい

提案手法

仮想運転？

新しい試運転方式“仮想運転”

 実プラントの代わりにプラントシミュレータを使用する試運転

仮想運転による復帰機能付き縮退運転システムを実現する制御系構成とは？

Modbus/TCP
アナログ信号

これまでの制御系（通常運転）

Modbus/TCP
アナログ信号

水色：通常運転動作に関係拡張後の制御系（通常運転）

仮想運転ユニット追加されたもの・仮想運転ユニット-プラントシミュレータ，異常検出器2・信号切替用スイッチ×2，人間

Modbus/TCP
アナログ信号
水色：通常運転動作に関係

拡張後の制御系（縮退運転）

仮想運転ユニット

名前役割

玉仕分けプラント

縮退運転制御器の制御対象

プラントシミュレータ

停止状態

異常検出器2

停止状態

Modbus/TCP
アナログ信号
紫色：縮退運転動作に関係

拡張後の制御系（仮想運転）

仮想運転ユニット

名前役割

玉仕分けプラント

縮退運転制御器の制御対象

プラントシミュレータ

ネットワーク化制御器の制御対象

異常検出器2

ネットワーク化制御器の健全性確認

Modbus/TCP
アナログ信号
黄色：仮想運転に関係
紫色：縮退運転動作に関係

拡張後の制御系（通常運転復帰）

仮想運転ユニット

名前役割

玉仕分けプラント

ネットワーク化制御器の制御対象

プラントシミュレータ

停止状態

異常検出器2

停止状態

Modbus/TCP
アナログ信号
水色：通常運転動作に関係

実機実験（異常→縮退運転→仮想運転→復帰）

BOX1（卓球）（良品）
BOX2（ゴルフ）（不良品）

まとめと今後の展開
まとめモデルベースMITM検出手法の提案と実機実装
 通信制御系に対するモデルベース縮退運転を実現した


今後の展開
協調機能付き縮退運転ンシステム（MSCS2017）
 コントローラホワイトリスト（MSCS2017）• 戦略的イノベーション創造プログラム（SIP）「重要インフラ等におけるサイバーセキュリティの確保」：2020年オリパラのセキュリティ対策• コア技術開発チーム(a3)「制御・通信機器およびシステムの防御技術」に電気通信大学として参加• 日本がコアとなるセキュリティ製品・技術の自給確保を達成し，2020年には国内の各事業者（電気・交通等）が運用できるように基盤を確立．
38