２０１７年度第２回ITリスク学研究会

セーフティとセキュリティの統合に関する課題と方法論

Security FirstCAV Technologies

田口研治（株）シーエーブイテクノロジーズ
2017年08月02日
copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

自己紹介
【経歴】
（株）シーエーブイテクノロジーズ 代表取締役社長 2011年4月（設立） ～産業技術総合研究所 招聘研究員 （併任） 2010年4月～
産業界における11年間の経験– ソフトウェア業界における研究開発・コンサルティング
大学・研究機関での20年間の経験– 日本の大学 教員 （3年間）
九州大、他– 海外の大学 教員 （5年間）
Uppsala 大 (Sweden), Bradford 大 (UK)
– 研究機関（12年間）
国立情報学研究所 特任教授、産業技術総合研究所 招聘研究員【専門分野】＋高信頼システム開発方法論（形式検証、国際規格認証、システム保証、安全・セキュリティ分析方法論）＋形式手法、ソフトウェア工学、システムアシュアランスに関する、多くの主要な国際会議の PC等 を歴任（ ASSURE ‘17, ICECCS ’17, HASE ’16, SASSUER ’17, SAFECOMP ‘18 ）【規格、国際会議関連】International Conference on Formal Engineering Methods 2012 のプログラム委員長
OMG System Assurance Platform Task Force の co-chair
SICE 認証工学 WG 主査
IEC TC65/WG 20 (Framework to bridge the requirements for safety and security) Expert【弊社の活動】
 SIP V2X セキュリティにおける「脅威分析共通プラットフォーム」の研究開発
 車載系の機能安全開発プロセスとセキュア開発プロセスの統合支援
 脅威分析ツール Seculia 共同開発
copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

著書（編者、著者）

Integrated Formal Methods (iFM) 国際会議設立(1999年）。共同編者
ソフトウェア科学基礎、近代科学社 2008年。共同著者
ACM SIGCSE, inRoads Bulletin, 2009年。共同編者(Special Issue on Formal Methods Education and Training)

セキュリティ要求工学の実効性、情報処理学会学会誌 2009年。共同編者
International Conference on Formal Engineering Methods (ICFEM) 国際会議
2012年。共同編者
copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

SIPプロジェクト（2016年度）：脅威分析共通プラットフォームの開発•

以下の SIP プロジェクトのために、車載システム開発のための統合的な、脅威分析共通プラットフォームの開発を支援しております。

•

戦略的イノベーション創造プログラム
（SIP)
•
•

•

①システムレベル脅威分析手法

http://www8.cao.go.jp/cstp/gaiyo/sip/⑤脅威ＤＢ I/F

内閣府の総合科学技術・イノベーション
会議による、科学技術イノベーションを実現するために創設するプログラム。

１１分野（次世代パワーエレクトロニクス、
自動走行システム、重要インフラ等におけるサイバーセキュリティの確保、他）にわたる課題に注力④リスクアセスメント③アーキテクチャ記述⑥ユースケース DB

実現予想図（開発中）

システムレベル脅威分析

交通システムレベル•②セキュリティ要求

車両レベル

ECU レベル

自動走行システム•

情報セキュリティ（１）自動走行システムの安全性・信頼性の確保（２）共通モデル構築・脅威分析、
セキュリティ要件・対策（３）攻撃への対策の評価・認証（４）通信システムのセキュリティ
機能

機能・技術サイバーセキュリティコンセプト開発

支援開発フェーズ

copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

SECULIA と（無償）脅威分析セミナー• SecuLia は弊社とガイオ・テクノロジー社との共同で開発された脅威分析ツール‒ https://www.gaio.co.jp/product/dev_tools/pdt_seculia.html‒ Enterprise Architect （Sparx Systems 社）のプラグインとして提供• 機能‒ Fault Tree 分析‒ Attack Tree 分析✓ CC-CEM と EVITA に基づいたアセスメント計算✓ アタックシナリオ（最少カット集合）とそのアセスメント計算• FT-AT 分析‒ FT分析とAT分析を統合した新手法‒ セキュリティによる安全への侵害の分析が可能• SC0：「アタックツリーによるセキュリティ脅威分析セミナー」‒ https://www.gaio.co.jp/event/regular/sem_sc0.html• セキュリティ上の脅威分析についての概要説明‒ セキュア開発プロセス‒ Attack Tree 分析‒ FT-AT 分析

copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

1. 安全とセキュリティの課題

copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

1-1. 迅速な対応（インシデントに対する分析・対応）• 現在、多くの安全が重要視されている産業（鉄道、自動車、プラント制御、原子力
発電、他）において、セキュリティの脅威が顕在化している。

事故の原因は？

機械故障？

従来は、安全性・信頼性を考えていれば良かったが、事故の原因としてセキュリティ上の脅威が加わったことでその対応が必要になった。

もしかしてハッキング？

copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

1-2. セーフティとセキュリティの統合って簡単？
混ぜるな危険、その組み合わせ！

セーフティ

セキュリティ

？

危険でない混ぜ方はあるのか？

copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

1-3. オーストラリアの下水処理場（Maroochy）でのインシデント• 対象システム‒ オーストラリア、マルーチーにおける下水処理場‒ SCADA システムは、汚水処理の管理のための 300ノード（142のポンプ
ステーション）から構成‒ 無線による制御• インシデント‒ 2000年に、３カ月間に46の異なるイ
ンシデント‒ 150 のポンプステーションの制御が乗っ取られる• 利用された装置‒ ラップトップＰＣと無線送信機‒ 盗んだ SCADA制御ソフトを利用

copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

1-4. 自動車業界におけるセキュリティの課題• 2014年 米国上院議員 E. Markey 氏が自動車のセキュリティに関する報告書を出しました。
• 2015年3月 Markey 議員によるレポートの指摘から、 Ford, GM, Toyota が、車載ネットワークの脆弱性に対して対抗策を実施していなかった、ということで集団告訴が起こりました。
• 2015年 Chrysler 社の Jeep Chelokee のハッキング問題でリコールが発生しました。

• 2015年 通称 Spy Car Act Bill が提出され、今後、車のセキュリティ対策が法制化される可能性があります。
• 2016年2月 日産 LEAF のアプリ（Nissan Connect EV）から VIN によるアクセスでエアコン等が制御可能であることが発見されました。
• それ以降も、Tesla 社の Model S へのハッキングなど、様々な事例が報告されています。

Markey レポート

告訴状

リコール

Spy Car Act Billcopyright@2017 CAV Technologies Co., Ltd. all rights reserved.

Connect EV

1-5. 自動車業界におけるハックの例• Jeep Chelokee への遠隔からのハッキングが、 C.
Miller と Chris Valasek により行われました。
‒ Black Hat 2015, Remote Exploitation of an
Unaltered Passenger Vehicle, 2015
‒ レポートは以下から入手可能✓ http://illmatics.com/Remote%20Car%20Hacking.pdf• 攻撃の特徴‒ 外部からの遠隔操作✓ CANバスに直接、接続して侵入したのではなく、外部から Infotainment 系を経由して、遠隔操作に成功。

‒ 制御の乗っ取り。
✓ 複数の ECU による制御に対して、一つのECU を
diagnostic session に遷移させ、ECU への制御用メッセージのなりすましに成功。

• セキュリティ上の脅威 vs 安全のためのメカニズム‒ Diagnostic session に遷移するのは低速時だけ、というセーフティ機構である程度、防御されていた。
（リコールの際に配布されたメモリーステック）
copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

自動車業界におけるハックの例（２）• 2016 年の Tesla Model S に対するハッキングは Jeep の例と同様に、セキュリティ上の攻撃と安全機構との関連が明らかに示されている。
‒ Black Hat 2016, Free-Fall: Hacking Tesla From Wireless to CAN Bus• 攻撃の特徴‒ 外部からの遠隔操作✓ Infotainment 系を経由して、遠隔操作に成功。

‒ 制御の乗っ取り。
✓ ECU への制御用メッセージのなりすましに成功。

• セキュリティ上の脅威 vs 安全のためのメカニズム‒ Jeep と同様に、高速で運転している場合、なりすましメッセージを送付しても無視された。

copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

1-6. 安全機構 VS セキュリティ機構【安全だけの場合】【セキュリティが加わった場合（基本図式）】

安全機構

注：ここでは、ハザードの原因となる脅威について考察

hazard【今後の可能性】？

threathazard【安全機構とセキュリティ機構による防御】

セキュリティ機構

安全機構

threathazardcopyright@2017 CAV Technologies Co., Ltd. all rights reserved.

1-7. 安全機構とセキュリティ機構の関係【安全機構とセキュリティ機構による防御】
セキュリティ機構

安全機構

threathazard（ジープの例）【安全機構とセキュリティ機構の合成】【安全機構だけによる防御】

セキュリティ機構＋安全機構

threathazard安全機構

threatcopyright@2017 CAV Technologies Co., Ltd. all rights reserved.

hazard

1-8. 安全機構とセキュリティ機構の補完関係【安全機構だけによる防御】
安全機構• セキュリティ上の脅威が発生しても、安全機構により、安全状態に遷移させる。
• 縮退機能により、機能が低下しても動作を保証。

threathazard【安全機構とセキュリティ機構の合成】
セキュリティ機構＋安全機構• 安全機能、例えば、冗長系を用いて、セキュリティ機能を補完する。

threat• セキュリティ機能（侵入検知）と安全機
能で類似した機能（例えば、イベントロ
グの解析）を統合することで、効率的に対策する。

hazardcopyright@2017 CAV Technologies Co., Ltd. all rights reserved.

1-9. SESAMO• SESAMO (Security and Safety Modeling)‒ 安全要求とセキュリティ要求の合成とトレードオフについて研究。
‒ D2.1 – Specification of Safety and Security Mechanisms, ver. 01, 2013
• 暗号化・復号化、署名生成と検証、ノード認証、アクセス制御・トラフィックフィルタリング、といった 18 の代表的なセキュリティ機能に対して、分析を行っている。
• 以下に、暗号化・復号化に対する分析例を示す。
‒ トレードオフ✓ 安全性を保証するためのリアルタイム制約に対して、セキュリティからの影響としては、遅延が存在する。
✓ リアルタイム特性を満たした場合、セキュリティに対しては、セキュリティのレベルの低下という影響考えられる。
‒ 合成✓ セキュリティ機能としての暗号学的チェックサムは、符号誤りの検知にも利用できるので、双方にとり役に立つと言える。

安全性
トレードオフ

遅延合成

暗号学的チェックサムはフォルトの発見に役立つ。

セキュリティ

セキュリティのレベル
セキュリティのレベル
暗号・復号化のための計算量は は、暗号鍵の長さに依
暗号鍵の長さに依存。
存。

copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

２．安全とセキュリティに関する国際規格

copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

2-1. 様々な業界におけるセキュリティの規格•

多くの産業分野において、セキュリティの規格が策定されつつあります。これらの規格への対応は必須になります。
•
•
•
•

•

情報セキュリティマネジメント••

ISO 27000 シリーズ
NIST

•
•

自動車業界 J3061
航空機業界 DO-326A/ED-202A、DO-356、DO-355/ED-204
鉄道業界 IEC 62280
産業制御システム IEC 62443

SP-800 シリーズ
ISO/IEC 15408 (Common Criteria)
copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

2-2. 航空機のセキュリティ規格
規格

題

内容

発行日

DO-326A/ED-202A

Airworthiness
Security Process
Specification

セキュリティリスクのアセ
スメント方式、セキュリ
ティの防御の設計、これらの防御が有効であることの保証について記述。

2014年8月

DO-356 注１）

Airworthiness
Security Methods
and Considerations

DO-326A において記述されているプロセスと活動を支援する考察と方法を記述。

2014年9月

DO-355/ED-204

Information
Security Guidance
for Continuing
Airworthiness

航空機の運用、保守、これらのタスクを実施する要員、組織に対するガイダンス。

2014年6月

注意：１）DO-356 の EUROCAE 版は現時点では、策定されていない。主な理由としては、ヨーロッパ勢が北米勢の提案について合意がされなかったと言われている。

copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

2-3. 様々な産業界における安全とセキュリティの規格•

既にある様々な安全規格とセキュリティ規格との統合・調和（ハーモナイゼーショ
ン）が問題となってきています。

SafetySecurity

RAMS

Security

SafetySecurity

ARP 4754A/ED-79A

DO-326A

IEC 62278

IEC 62280

ISO 26262?

注：RAMS (Reliability Availability Maintainability Safety)
copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

2-4. 自動車業界における安全規格とセキュリティ規格の関係

対応は大別して二通り考えられる
SafetyもしくはISO 26262

Securityの要素を導入

どのレベルで導入するかは色々な考え方が可能

SafetySecurity

ISO 26262?

ISO 化
IEC 62443

ISO/IEC 15408

SAE J-3061
Cybersecurity
Guidebook

VDA (German
Association of theAutomotive industry)

copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

2-5. 計測制御関連の安全とセキュリティの規格•

関連する機能安全規格とセキュリティ規格としては以下を上げることが出来ます。

SafetyIEC 61508

IEC 61511

Security
IEC 62443

IEC TC65 において新しいワーキンググループが立ち上がり
セーフティとセキュリティの統合について検討が始まった。
copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

2-6. TC65 WG 20• IEC TC65
‒ Industrial-process measurement, control and automation（工業用プロセス計測制御）✓ 以下の機能安全規格とセキュリティ規格策定の母体• IEC 61508, Functional safety of electrical/electronic/programmableelectronic safety-related systems • IEC 62443, Industrial communication networks – Network and systemsecurity –• WG 20（Framework to bridge the requirements for safety and security）✓今年 5月に立ち上がった新ワーキングで、Convener は日本が担当、日本からのexpert は ４名
✓現在、expert は全体で 30名。国別ではドイツが８名で最大。ドイツは本WG 設立には反対票を出していたが、現在は最大の参加となっている✓国内委員会は28名（第一回委員会での参加者）✓何をするかはまだ議論が完全に収束していないが、以下のような議論がある
IEC 61508 と IEC 62443 に対して、 recommendation を出す
IEC 61508 と IEC 62443 をブリッジする（これは CD の主内容として入っている）
安全とセキュリティのオントロジーの整理
プロセスのマッピング
copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

2-7. IEC における他のセーフティとセキュリティ関連の規格• IEC 全体での調和は？
• TC 44 (Safety of machinery –Electrotechnical aspects) が同様の規格を策定しようとしているので、そこで競争がある。ただし、両方に参加している委員もあり、今後、反発、融合、独自路線の選択等がありうる。
• ただし、 TC65 は basic standard である 61508 と horizontal standard である 62443 を担当しているので、こちらの方が取扱い規格の範囲が大きく、影響力が強いという特徴がある。

• 他の規格団体とどのように調和するか？
– 特に、 IEC 62443 は ISA 99 が策定した規格を採用しているので、外部組織との調整が必要• 何がスコープかが明確でなく、様々な利害を抱えているメンバー間での調整が必要。

copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

2-8. セーフティとセキュリティの認証に対する課題【セキュリティ側】• IEC 62443 に関連する認証制度• EDSA 認証– ソフトウェア開発の各フェーズにおけるセキュリティ評価(SDSA：Software Development Security
Assessment)– セキュリティ機能の実装評価(FSA：Functional Security Assessment)– 通信の堅牢性テスト(CRT：Communication Robustness Testing)• CSMS （Cyber Security Management System）認証– セキュリティマネジメントに関する認証【セーフティ側】• IEC 61508 や IEC 61511 に関する認証• 従来の機能安全関連の認証

双方を認証する場合の課題

認証コストの増大

製品情報（安全、
セキュリティ双方の開示）

開発・運用プロセスの新たな構築

copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

2-9. 同時認証の課題• 認証コストの増大• 二つの異なる規格による認証によりコストは２倍以上に上がる可能性がある• 製品情報（安全、セキュリティ双方の開示）•

片方（セーフティもしくはセキュリティ）側での認証を受ける場合、他方からの影響を見るために他方の製品情報の開示も必要になる？

• 開発・運用プロセスの新な構築•

片方の開発・運用プロセスが既に完成している場合、他方の開発・運用プロセスとの相互影響等について分析し、何らかのインタフェイスを提供する必要がある？

認証のための新たな枠組みが必要？

copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

3. ライフサイクルの統合

copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

3-1. 安全とセキュリティ開発プロセスから見た４つの課題
ISO 26262 Part 3 相当の安全、セキュリティプロセス（想定図）
課題：
1）～４）までの技術的課題が存在する

１）二つのプロセスをどのように統合？

２）分析手法？どのように統合？

３）セキュリティ側のアセスメント基準は？
ASIL との関係は？

４）安全要求とセキュリティ要求の影響分析は？
注：ASecIL (Automotive Security Integrity Level)
copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

3-2. 悪い混ぜ方の例（ライフサイクルの統合例）?
• 機能安全規格とセキュリティ規格におけるプロセス統合のまずい例（車載の例）

安全側のプロセス（ISO 26262-3）

セキュリティ側のプロセス（J3061 ）

安全の後にセキュリティをやれば良い（？）

悪い例！

ISO 26262, Road vehicles – Functional safety (2011)
J3061, Cybersecurity Guidebook for Cyber-Physical Vehicle Systems (2016)
copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

3-3. 安全とセキュリティのプロセス統合（分類）• セキュリティと安全の開発プロセスをどのように統合するかは、まだ解決されていない、大きな課題である。
• 様々な提案がされているが、どれもが決定的では無い。
個々に独立
（基本型）

• 研究プロジェクト、セキュリティ規格等の調査の結果、以下の基本形に分類可能。
• これらを基に、様々な組み合わせが、詳細レベルで可能。
K. Taguchi, D. Souma, H. Nishihara: Safe & Sec Case Patterns, ASSURE 2015
安全側分析結果をセキュリティが参照（一方向参照型）

安全側がセキュリティを包括（従属型）

ある時点で、トレードオフを実施（相互関連型）

ロスとして統合（SafSec型）

航空機セキュリティ規格（DO-326A）を抽象化した形

FTA が ATAを含む分析方法SESAMO （FP7）
安全要求とセキュリティ要求のトレードオフ分析

同時認証方法論 SafSecにおけるプロセスを抽象化した形

copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

3-4. 一方向参照型• 本統合プロセスは、航空機のセキュリティ規格DO326A におけるプロセスを簡略化した示したものである。

• ここでは、セキュリティ側のデータは、安全側では利用されない。

copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

3-5. 従属型のプロセス（ISO 26262 PART3)：詳細版• ISO 26262 の Part 3 （安全コンセプト）のプロセスで、セキュリ
ティの従属型のプロセスは右の
図のようになる。

２）安全、脅威分析の統合‒ ただし、ここでは ASIL 分解については取り扱っていない。
• 各フェーズの活動は、セキュリテ
ィ側の活動を含む形になっている。
• そのためには、安全側の成果物をセキュリティ側で利用するための手法が必要になる。

３）安全、セキュリティ
アセスメントの統合

４）安全機能、セキュ
リティ機能導出の統合もしくは、安全側に必要に応じてセキュリティ側の要素を織り込むプロセス
copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

3-6. 様々な観点からの統合方法• 安全側から見ると、セキュリティは安全機構を守るためのものと考えられる。
【基本形】
セキュリティ機構

安全機構

threathazard【安全機能に対する脅威に対してセキュリティ機構を設計する】

セキュリティ機構
threat

安全機構

hazardcopyright@2017 CAV Technologies Co., Ltd. all rights reserved.

3-7. 基本形のプロセス• 安全分析の後に同定されたハザードの起因となるセキュリティ上の脅威を分析する。
‒ 全てのハザードに対して、脅威が要因になる訳ではない。

機能安全側のプロセス安全分析で同定されたハザード

セキュリティ側のプロセス

ハザードリスト

個々のハザードに対して脅威を分析

例：FT-AT図同定された脅威に対してセキュリティ機構を導出
copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

3-8. 安全機構のセキュリティ機構による保護• 安全分析の後に同定されたハザードの起因となるセキュリティ上の脅威を分析する。
‒ 全てのハザードに対して、脅威が要因になる訳ではない。

機能安全側のプロセス

安全分析を基に導出された安全要求
安全要求

セキュリティ側のプロセス

安全要求に対する
脅威を分析

例：AT図

同定された脅威に対してセキュリティ機構を導出
copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

3-9. トレードオフを入れたプロセス• 導出された安全要求とセキュリティ要
求のトレードオフ分析を実施する。

• トレードオフ分析は、様々なレベルで実施する必要があるが（例：アーキテクチャレベル）、ここでは、要求レベルで実施することを想定している。
• SESAMO プロジェクトにおけるトレー
ドオフの考え方を導入。

SESAMO: http://sesamo-project.eu
Born, M.: An Approach to Safety and Security Analysis for Automotive Systems: SAE 2014 World
Congress and Exhibition (2014)
copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

3-10. プロセス統合についての今後の動向• プロセスの統合については、様々な考え方があり、当面は、様々な観点から試行が行われることが予想される。

• 統合の観点‒ セーフティ中心‒ セーフティとセキュリティの調和指向• 統合のレベル‒ 産業分野‒ 製品‒ 開発コストに依存✓ 航空機と、制御機械（例：PLC）では、開発コストが大幅に異なる。よりライ
トウェイトなプロセスや、詳細なプロセスなど、その産業分野、製造品により、様々なレベルのプロセスが開発されることが予想される

copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

4. 分析手法

copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

4-1. 事故原因の分析
事故

結果

自然現象

原因

現実には、このような状況が生じるが、分析方法として、個々の原因を統合して分析出来るかが問題

脅威ヒューマンエラー

故障

copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

4-2. IEC 62280-2 におけるリスクアセスメント方式例
見本として示された、FT (Fault Tree）はこれで良いのか？
C.4.2 Hazard analysis

脅威

H/W 故障copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

4-3. 攻撃木分析（ATTACK TREE ANALYSIS）• ATA （Attack Tree Analysis）は、B. Schneier [1] が発案されたと言われている。
• 安全分析における分析手法である FTA (Fault Tree Analysis) をセキュリティの脅威分析に応用（ほぼ同一の構文規則）。
• 攻撃の手段を抽象度の高い方から、より詳細な手段へと分解し、そのリスクの度合いを分析する手法（トップダウンの解析方法）。攻撃の組み合わせに何があるかを分析することが出来る。
• FTA と異なり、 ATA の場合、どのようにリスクのアセスメントをするかは多くの提案があり、一般的に確立したものは無い。
‒ どのような評価要素を含めるかに所説あり（攻撃は確率事象では無いのは重要な点） 。
• AT図の様々なバリエーション。
‒ セキュリティ要求との組み合わせ（Attack Defense Trees や Attack Countermeasure
Trees ）。
‒ 新しいゲート（順序、並列、など）や木以外の表現形式（グラフ表現）。
• FTA （[2]）と異なり、国際規格は存在しない。
• 安全分析と脅威分析の統合のための FT と AT を統合した手法の提案がある。

[1] B. Schneier: Attack trees: modeling security threats, Dr. Dobb’s J 24 (1999) pp21-9.
[2] IEC 61025: 2006: Fault Tree Analysis

copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

4-4. AT の種類• 構造的拡張（木 vs グラフ）
• 防御（対抗策もしくはセキュリティ要求）‒ Attack Defense Trees [1]‒ Defense Trees [2]‒ Attack Countermeasure Trees [3]• 安全との統合‒ Fault Trees と Attack Trees との統合 [4, 5][1] B. Kordy, S. Mauw, S. Radomirovic, P. Schweitzer: Foundation of Attack-Defense Trees, FAST
2010, LNCS 6561, pp. 80-95, 2011, Springer.
[2] K. Edge, U. Major: A Framework for Analyzing and Mitigating the Vulnerabilities of Complex
Systems via Attack and Protection Trees, PhD thesis, 2007
[3] A. Roy, D. S. Kim, K. S. Trivedi: ACT: Towards unifying the constructs of attack and defense
trees, Security and Communication Networks, 2011:3:1-15[4] Steiner, M., Liggesmeyer, P.: Combination of Safety and Security Analysis – Finding Security
Problems That Threaten The Safety of a System. In: Workshop DECS (ERCIM/EWICS Workshop
on Dependable Embedded and Cyber-physical Systems) (2013)[5] I. N. Fovino, M. Masera, A. D. Cian: Integrating cyber attacks within fault trees, J. Reliability
Engineering and System Safety, 94 (2009) 1394-1402
copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

4-5. 安全性とセキュリティの分析の特徴「ＸＸへの危害」

同様な木構造でも、 Fault Tree は
故障原因の組み合わせに対して、
脅威分析に利用される Attack Tree(AT) では、攻撃の手段を表す「YY を故障させる」「YYが故障する」「YY を誤動作させる」「YYが誤動作する」

故障率・発生率

攻撃可能性

例：AT

例：FT
故障原因（機械的、電気的、他）の組み合わせ

経路は、攻撃のための手段

copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

4-6. 安全とセキュリティの統合分析手法：FT-AT図• 安全性を脅かすセキュリティ上の脅威を分析する手法として、 FTA と ATA を統合する方法が提案されている。
• 基本的には、故障の原因として、セキュリティ上の脅威を含んだ分析が可能となる。
• FT の一部として AT が現れるとは、ゲート記号の下に、 AT が現れる形を意味する。
‒ ただし、AT の中に FT は決して現れない。
‒ FT の中に AT が複数現れることは許される。

• これは、意味論的には、攻撃の手段、原因がハードウェア故障やソフトウェアのバグが原因であることは定義上あり得ないことに由来する‒ 人為的な手段によるもののみを攻撃と呼ぶことに起因する。

• 本図表現を FT-AT図を呼ぶことにする。

copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

SECULIA• SecuLia は弊社とガイオ・テクノロジー社との共同で開発された脅威分析ツール‒ Enterprise Architect （Sparx Systems 社）のプラグインとして提供• 機能‒ ＦＴ 分析‒ AT 分析✓ CC-CEM と EVITA に基づいたアセスメント計算✓ アタックシナリオ（最少カット集合）とそのアセスメント計算• FT-AT 分析‒ FT分析とＡＴ分析を統合
copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

5. リスク分析

copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

5-1. セキュリティにおけるリスクアセスメント方式• 様々なシステム特性に応じて、リスクアセスメントのためのメトリックスが開発されている‒ ソフトウェアの脆弱性に関するリスクアセスメント方式✓ CVSS (Common Vulnerability Scoring System)‒ CC認証において利用✓ CC/CEM• 特定のドメインに特化するために、変更（主に簡略化）して利用される場合もある‒ 自動車（J-SAE, JASO TP15002: 自動車 – 情報セキュリティ分析ガイド)✓ CVSS -> CRSS（CVSS based Risk Scoring System)✓ ISO/IEC 27000 と CC/CEM -> RSMA (Risk Scoring Methodology for
Automotive Systems)

copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

5-2. CC/CEM• 以下の評価要素が用いられている。
• 所要時間‒ Elapsed Time (ET)• 専門知識‒ Expertise (Ex)• TOE の知識
‒ Knowledge ofsystem (K)• 機会‒ Window ofopportunity (W)• 機器‒ Equipment (Eq)copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

5-3. 攻撃確率（ATTACK PROBABILITY)• 各攻撃イベントは、５つのパラメータを持つ。これを（ET, Ex, K, W, Eq) と表す、これらの値を加算したものが、下記の表の値になる。

• Values （総和） = ET + Ex + K + W + Eq
• EVITA では、これらの総和（Values）により、攻撃確率を 1 から 5 までの段階で分割している。

総和（Values）

潜在的攻撃力（Attack Potential）

0－9
10－13
14－19
20－24
≧ 25

基本（Basic）
拡張基本（Enhanced Basic）
中間（Moderate）
高い（High）
高を超える（Beyond High）

攻撃確率（Attack Probability）
AP
5
4
3
2
1

copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

5-4. ASIL
• ISO 26262 においては、ASIL (Automotive Safety Integrity Level) と呼ばれる
インテグリティ・レベルが規定されており、以下の３つの因子によりリスクのアセスメントを行う。
‒ 深刻度（Severity）✓ estimate of the extent of harm (1.56) to one or more individuals that can occur ina potentially hazardous(1.57) situation‒ 発生頻度（Provability of Exposure）✓ state of being in an operational situation (1.83) that can be hazardous (1.57) if
coincident with the failure mode (1.40) under analysis‒ 回避可能性（Controllability）✓ ability to avoid a specified harm (1.56) or damage through the timely reactions of
the persons involved, possibly with support from external measures (1.38)

copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

5-5. リスクアセスメント：セキュリティから安全への影響• 回避可能性（Controllability） は MISRA の安全ガイドラインにより規定されたものであり、 Driver in theloop という制御モデルに基づいている。
（[2] p41, Figure 4.5: “Driver in the loop” model of vehicle control systems 引用）

攻撃• 例えば、操舵、ブレーキ、アクセル等、ドライバーが自動車の操作に利用可能な機能に対して、攻撃された場合、当然、リスクの評価値が変わることになる。

copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

5-6. ATA におけるリスクアセスメント方式• アセスメント方式において重要な点（一般論）‒ どのようなリスクを評価するかにより、メトリックス（表現としてのマトリック
ス）は異なる。

• アセスメント計算のための二つの重要な要素‒ 各攻撃ノード（基本的には、基本攻撃イベント）への評価値‒ ゲートの計算‒ AT木の階層構造（異なる意味付けをする場合：例 EVITA）• ここでは、EVITA [1] の方式を紹介する。
[1] Deliverable D2.3: Security requirements for automotive on-board networks
based on dark-side scenarios, 2008
copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

5-7. EVITA プロジェクトとは？
• EVITA (E-safety Vehicle Intrusion proTected Application) [1] はヨー
ロッパのFP7 により支援された、自動車の車内ネットワークに関連するコン
ポーネントと機密データが、セキュリティ上の脅威から保護される、プロトタイ
プアーキテクチャの設計、検証のための研究プロジェクト。
• EVITA の結果の一つは、AT を用いて、非常に詳細なセキュリティ分析を実施し、それに基づいてセキュリティ機能の導出を行った。
• AT のセキュリティメトリックスは Common Criteria (CC) (ISO 15408）の
CEM の若干の修正版が用いられている。

‒ CC-CEM は、CC における脆弱性評価のための基準 [2]。
[1] http://evita-project.org/[2] 情報技術セキュリティ評価のための共通方法 評価方式 2012年9月 バージョン3.1
改訂第4版、CCMB-2012-09-004（Common Methodology for Information
Technology Security Evaluation の日本語版）
copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

5-8. EVITA 流 AT アセスメント例• ゲートの計算‒ ORゲートは max‒ ANDゲートは min• 下図における基本アタックイベントの書式の意味‒ AP = 攻撃確率 : (ET, Ex, K, W, Eq) = 総和

copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

5-9. アクティブブレーキ機能への攻撃（２）c la s s E VIT A - 0 9 At t a c k Ac t iv e Bra k e F u n c t ion• 「自動ブレーキ機能を低下させる」攻撃

[9.2]自動ブレーキ機能を低下させる

SM = (5)‒ 環境に関する情報を操作する場合✓ 環境に関するセンサーを操作✓ 車内通信において盗聴、取得、改変、挿入、リプレイにより、環境に関する偽造した情報を流す[9.2.1] 環境情報の操作（冷たい気候,
近接の継続車両、濡れた道路）
SM = (5)[9.2.1.1] 車内センサー（操作）環境センサーの操作[9.2.1.2] 車内センサー（操作）センサーの周辺環境を操作[9.2.1.3] 車内通信
（盗聴、取得、改変、挿入、リプレイ）
CS-Bus上に偽造した環境情報メッセージ

SM = (0,0,3,0,0)

SM = (0,0,3,0,0)

SM = (17,6,6,4,4)

copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

5-10. FT-AT図におけるリスクアセスメント• 安全側（FTA）とセキュリティ側（ATA）では、リスクのアセスメントメトリックスが異なる。
‒ FTA（故障確率）‒ ATA（攻撃確率）• 原理上は安全性とセキュリティは相互に影響があるが、まだメトリックス上でそれをどのように表現し、影響を計算するかについては明確では無い。
• このような理由から、FT-AT図においては以下のように、故障イベントにおいて、安全側とセキュリティ側の両方を値を取れるように工夫がされている。

ノードと値
Event [ P, _]Attack (AP)Event [ P, AP]

説明
故障イベント E において故障率 P のみを保持する場合
攻撃イベントAttack の攻撃確率
故障イベント Event が故障率 P と攻撃確率 AP を保持する場合

copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

5-11. FT-AT図におけるアセスメント計算• FT図において、 AT図が連結された場合のアセスメント計算の方式• ここで F-AND は FT図における AND ゲートを表している（ここでは AND ゲ
ートの計算のみを説明）。
• AT 側の演算子 ⊗ は、 AT側の AND-ゲートの演算子を表している（例えば、
EVITA 流では min）
[ P, SM⊗SM’]

イベント ゲート[ P, _] F-AND [ P’, _][ P, _] F-AND [ _, SM ][ P, SM ] F-AND [ _, SM’ ][ P, SM ] F-AND [ P’, SM’ ]計算方式[ P * P’, _ ][ P, SM ][ P , SM ⊗ SM’ ][ P * P’, SM ⊗ SM’ ][ P, SM]copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

[ SM’ ]

5-12. 事例（１）c la s s F T - AT E x a mp le s

この部分が FT

Failure of automatic brakefunction• FT-AT 図は FT の機能と AT の機能を統合した機能を提供。
• FT-AT は FT と AT の統合をある限定した構文規則の中で実施。
Failure of monitoring
function‒ AT は FT の部分木として表れる。

Failure due to delay ofbraking function‒ AT は FT の任意の場所に部分木として表れることが出来る。

Failure ofmilimiter-wave
radar‒ ただし、故障事象は、 AT に含まれてはならない。

attack to delay
communication‒ FT は AT の部分木として含まれてはならない。

この部分が ATDoS toCommunication
Unit

DoS against
Safety Control
Unitcopyright@2017 CAV Technologies Co., Ltd. all rights reserved.

5-13. 事例（２）c la s s F T - AT E x a mp le s

Failure of automatic brakefunction(確率,攻撃確率)

P = 0.017
SM = (4)• この FT-AT 図で示されているのは、FTA における確率計算と ATA における攻撃確率計算が同時に行われている点である。
Failure of monitoring
function

Failure due to delay ofbraking function

P = 0.01
SM = (_)

P = 0.007
SM = (4)• この例で示されているのは、“Failureof automatic braking function” は0.017 の故障の確率を持ち、攻撃確率
は 4 であることである。
Failure ofmilimiter-wave
radar

Failure of Com
Unit

attack to delay
communication
SM = (4)P = 0.01

P = 0.007

確率

攻撃確率
copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

DoS toCommunication
Unit

DoS against
Safety Control
Unit

SM = (0,3,3,1,4)

SM = (10,3,3,1,4)

5-14. アセスメント方式の混在（車載の場合）• 自動車産業においては、安全性のメトリックス（ASIL）とセキュリティのメトリックス（Security Integrity Level）と、他の規格におけるメトリックス（CC-CEM）が混在した状況になると予想される。
• そのような場合に、どのように、相互を利用して行くかは今後の課題である。

車載の例

ISO（SAE J-3061 + DNV）

C2C-CCETSIASecIL (Automotive Security Integrity Level)
copyright@2017 CAV Technologies Co., Ltd. all rights reserved.

おわりに• 現在、 safety and security co-engineering という名称で、様々な研究成果が出始めている。今後、安全とセキュリティの相関関係の解明
や、新しい分析手法、設計方式などが出てくる可能性が高い。

• 今後、3~10年– セキュリティとセーフティの相互関連の理解の深まり– 統合プロセス（様々な形で実施）の確立– 統合的な分析手法の開発– ガイドライン、規格の整理– 実際に双方を考慮した製品の開発• ビジネスチャンス？
– ポジティブな見方• 品質向上、新機能の開発の好機– ネガティブな見方• 従来のプロセスや開発手法に対する悪影響• コスト拡大要因

copyright@2017 CAV Technologies Co., Ltd. all rights reserved.