開発指針の実践によるオープンシステム
ディペンダビリティの実現
第５回 DEOS協会 オープン シンポジウム
2018年6月5日
独立行政法人情報処理推進機構（IPA)
技術本部ソフトウェア高信頼化センター（SEC)調査役 宮原 真次© 2018 IPA

Software Reliability Enhancement Center目次➢IoT時代の安全安心の課題とリスク➢つながる世界の安全安心の実現に向けて～ つながる世界の開発指針の策定と関連施策 ～➢IoTにおけるオープンシステムディペンダビリティの実現～ 開発指針の実践によるOSD実現の考察 ～© 2018 IPA

Software Reliability Enhancement Center2

IoT時代の安全安心の課題とリスク© 2018 IPA

Software Reliability Enhancement Center3

IoT時代：様々なモノやサービスがつながる世界
AVネットワーク

HEMSネットワーク
電力会社

医療・ヘルスケアネットワーク

太陽光発電

スマートメータ
蓄電池・
コジェネ

４K・８K
コンテンツ

ロボット介護
ウェラブル
機器

ネットワーク家電

医療・ヘルスケア
機器

医療・
ヘルスケア
サーバ

ホーム
サーバ

HEMS
端末

EV/HV

農地や工場

省エネ制御
家電・照明

HEMS
関連企業

サービス提供サーバ（クラウド）

ホームゲートウェイ

コンテンツ
提供企業

自動運転
ITS路側機

車載 ECU
車車間通信

ITS＆自動車安全機能の連携

後付
車載器
テレマティクス端末、
データレコーダ等

医療機関・ヘルスケア企業

持込機器

Newサービス

自動車メーカ・交通管制

Convenience
お
弁
当
セ
ー
ル

ATM

機器メーカ
遠隔監視・制御

生活圏の公共エリアのネットワーク機器

出典：一般社団法人重要生活機器連携セキュリティ協議会「セキュアライフ2020」中の図に加筆© 2018 IPA

Software Reliability Enhancement Center

4

IoTの事例
 事例１）自動車と住宅の連携

 事例２）橋梁の保守・点検

・車内から自宅の玄関照明の点灯やガレージドアの開閉、
スマート家電の操作
・自宅から車のエンジン始動やドアの施錠・開錠、
燃料残量チェック、エアコン操作

・全国の橋梁は、高度成長期に作られたものが多く、老朽化。道路橋 約７０万の４０％がもうすぐ寿命。
・橋にセンサーを取り付け、道路橋のひずみ、振動、傾斜、移動などの異常や損傷を検知【出典】http://www.soumu.go.jp/main_content/000208995.pdf【出典】 JETRO「ニューヨークだより2017年2月」© 2018 IPA

Software Reliability Enhancement Center5つながる世界では様々な課題が存在
つながる世界では、製品供給者が想定しない、把握できない課題が発生© 2018 IPA

様々なモノがつながる

異なる分野のサービスがつながる

１つの製品の不具合による影響が拡大

相手の信頼性レベルが分からない（不安）IoT技術は日進月歩

サービス企業やユーザがモノをつなげられる

時間が経つにつれて安全安心が劣化

メーカが想像もしない
つなぎ方、使い方もSoftware Reliability Enhancement Center6つながる世界では人命や財産を脅かすリスクも！

【出典】「経済産業省の取組とIoTセキュリティガイドラインVer1.0の概要」、経済産業省

IoTのリスクを認識し、安全・安心への対策が急務！
© 2018 IPA

Software Reliability Enhancement Center7つながる世界の安全安心の実現に向けて～ つながる世界の開発指針の策定と関連施策 ～© 2018 IPA

Software Reliability Enhancement Center8つながる世界の安全安心の実現に向けた取組み
１

２「つながる世界の開発指針」の実践に向けた手引き【IoT高信頼化機能編】
開発機能の具体化

高信頼化のためにIoT製品が満たすべき要件や具備すべき機能を解説

2016年3月 公開「つながる世界の開発指針」

2017年5月 公開
３

IoT開発時に、その安全のために経営者や開発者が考慮すべき事項を取りまとめたもの「つながる世界の品質確保に向けた手引き」
IoT製品の品質を確保・維持するために、
検証・評価・運用時に考慮すべき事項を取りまとめたもの2018年3月 公開© 2018 IPA

Software Reliability Enhancement Center9つながる世界の開発指針の概要
IoT機器・システムの開発者、保守者、経営者に最低限検討して頂きたい
安全・安心に関する事項をライフサ
イクル視点で整理

大項目

方
針

指針

つながる世界の安全安心に企業として取り組む

指針1 安全安心の基本方針を策定する
指針2 安全安心のための体制・人材を見直す
指針3 内部不正やミスに備える
指針4 守るべきものを特定する

分
析つながる世界のリスクを認識する

指針5 つながることによるリスクを想定する
指針6 つながりで波及するリスクを想定する
指針7 物理的なリスクを認識する
指針8 個々でも全体でも守れる設計をする
指針9 つながる相手に迷惑をかけない設計をする◆つながる世界の開発指針の内容
目次
第１章 つながる世界と開発指針の目的
第２章 開発指針の対象
第３章 つながる世界のリスク想定
第４章 つながる世界の開発指針（１７個）
第５章 今後必要となる対策技術例

設計

守るべきものを守る設計を考える

指針10 安全安心を実現する設計の整合性をとる
指針11 不特定の相手とつなげられても安全安心を確保できる設計をする指針12 安全安心を実現する設計の検証・評価を行う

保守

市場に出た後も守る設計を考える

指針13 自身がどのような状態かを把握し、記録する機能を設ける
指針14 時間が経っても安全安心を維持する機能を設ける
指針15 出荷後もIoTリスクを把握し、情報発信する※指針は、ポイント、解説、対策例を記述※開発指針を書籍化し、２０１６年５月１１日に発刊
http://www.ipa.go.jp/sec/reports/20160511_2.html© 2018 IPA

運用

関係者と一緒に守る

指針16 出荷後の関係事業者に守ってもらいたいことを伝える

指針17 つながることによるリスクを一般利用者に知ってもらう

Software Reliability Enhancement Center10つながる世界はリスクの想定が重要！
 守るべきものを特定し、リスク箇所を整理（開発指針の捉え方）

IoTが使われる場面でリスク想定し、安全安心の対策を検討！
© 2018 IPA

Software Reliability Enhancement Center11

「つながる世界の開発指針」の実践に向けた手引き
 開発指針のうち技術面での対策を具体化し、高信頼化実現に必要な機能を策定
 2017年5月8日公開：以下のURLにpdf版掲載
http://www.ipa.go.jp/sec/reports/20170508.html
つながる世界の開発指針「つながる世界の開発指針」の実践に向けた手引き①設計段階から考慮して欲しい機能要件とIoT高信頼化機能の具体例を解説②IoT機器・システムやサービスのライフサイ
クルを意識し、クラウド・フォグ・エッジ等の機能配置も考慮

2016年3月③IoTの分野間連携のユースケースによるリスクや脅威分析、対策として必要な機能や機能配置の具体例を提示
2017年5月© 2018 IPA

Software Reliability Enhancement Center

12

検討のスコープ（ライフサイクルと機能配置）
 IoT機器・システムのライフサイクルを考慮し、保守・運用で起こり得る様々な安全安心を阻害する事象に対応できることを目的に、IoTの利用開始から予防・検知・回復、終了の視点で、必要な機能を整理 クラウド・フォグ・エッジ等の機能配置を考慮→ 経済合理性や寿命を考慮し、全体として高信頼化を達成するための現実解を支援＜ライフサイクル＞＜機能配置＞
クラウド層

フォグ層（共通基盤）
エッジ層（個別基盤）：IoT高信頼化機能© 2018 IPA

Software Reliability Enhancement Center

13

IoTの高信頼化の実現に向けた機能要件と機能
IoT高信頼化要件

IoT高信頼化のための１２の機能要件実装に向けた２３の高信頼化機能

初期設定機能、設定情報確認機能
導入時や利用開始時 １．初期設定が適切に行われ、その確認ができる
開始 に安全安心が確認で
２．サービスを利用する時に許可されていることを確認できる
認証機能、アクセス制御機能きる
３．異常の予兆を把握できる
予 稼働中の異常発生を防 未然に防止できる
４．守るべき機能・資産を保護できる
５．異常発生に備えて事前に対処できる

６．異常発生を監視・通知できる
検 稼働中の異常発生を
知 早期に検知できる
７．異常の原因を特定するためのログが取得できる
８．構成の把握ができる
異常が発生しても稼９．異常が発生しても稼働の維持ができる
回
復 働の維持や早期の復旧ができる
１０．異常から早期復旧ができる
利用の終了やシステ １１．自律的な終了や一時的な利用禁止ができる
終 ム・サービス終了後も了 安全安心が確保でき
１２．データ消去ができるる© 2018 IPA

ログ収集機能、時刻同期機能、予兆機能、診断機能、ウイルス対策機能アクセス制御機能、ログ収集機能、時刻同期機能、ウイルス対策機能
リモートアップデート機能

監視機能、状態可視化機能、ログ収集機能、時刻同期機能
構成情報管理機能
診断機能、隔離機能、縮退機能、冗長構成機能
リモートアップデート機能、停止機能、復旧機能、障害情報管理機能
停止機能、操作保護機能、寿命管理機能
消去機能

Software Reliability Enhancement Center

14

IoT時代では品質確保が重要に！
IoTの特徴システムが日々変化！
接続される機器の種類や個数が膨大で、システムが日々刻々と変化
様々な環境で利用！
屋内/屋外、高地や寒冷地など様々な環境、幼児から高齢者まで幅広
い層で利用
10年以上の長期利用！
自動車・家電製品・工場のシステムなど長期に利用© 2018 IPA

Software Reliability Enhancement Center15

つながる世界の品質確保に向けた手引き（概要） IoTの特徴を捉えて、IoTの品質確保で考慮すべき重要事項を13の視点として整理
 開発者、保守者、品質保証者、運用者など品質に携わるすべての担当者が対象
 2018年3月22日公開：以下のURLからpdf版ダウンロード
https://www.ipa.go.jp/sec/reports/20180322.html

つながる世界の開発指針①IoTのライフサイクル全般で、品質を確保する活動を「V＆Vマネジメント」「妥当性確認」「検証」「運用マネジメント」「運用実施」の5つに整理し、品質確保のための考慮事項を解説②IoTで実際に起こり得るIoTシステムの制御競合のケースを事例として、品質確保のための「13の視点」に基づき、適用検討事例を紹介

2016年3月③開発・運用の現場で活用できる品質確保
チェックリストを同時公開
2018年3月 公開© 2018 IPA※V&V：Verification and Validation （検証と評価）

Software Reliability Enhancement Center

16

IoTの品質確保、維持・改善のスコープ
 品質を確保する５つの場面を想定し、そこで考慮すべき重点事項を整理© 2018 IPA

Software Reliability Enhancement Center

17

IoTの品質確保、維持・改善の13の視点
 IoTの開発・保守から運用までライフサイクルの品質に係わる重要事項を整理
活動
V&Vマネジメント

品質の確保、維持・改善の視点

IoTの品質確保のための検証・評価【視点1】 IoTの社会的影響やリスクを想定する
計画立案【視点2】 つながる機能の要求仕様が利用者を満足させるか確認する
妥当性確認

利用者視点での要求の妥当性確認【視点3】 実装した機能が利用者の要求を満たしているか評価する【視点4】 多種多様なつながり方での動作と性能に着目する
開
発
・
保
守

【視点5】 多種多様な利用環境や使い方に着目する【視点6】 障害や故障、セキュリティ異常の検知と回復に着目する
IoTの特徴に着目したテスト設計
検証【視点7】 長期安定稼働の維持に着目する【視点8】 大規模・大量データのテスト環境構築とテスト効率化を検討する【視点9】 テストのし易さと実施可能性を検討する

IoTの効率的なテスト実施
運用マネジメント
運用【視点10】 テストを効率的に実施し、エビデンスを残す

IoTの品質を維持・改善するための【視点11】 運用中の環境変化による影響やリスクを想定する
運用計画立案【視点12】 運用中の環境変化を捉え、品質が維持されているか確認する
運用実施

長期利用での品質維持と改善【視点13】 ソフトウェアの更新時はつながる相手への影響を確認する© 2018 IPA

Software Reliability Enhancement Center18

IoTにおけるオープンシステム
ディペンダビリティの実現～ 開発指針の実践によるOSD実現の考察 ～© 2018 IPA

Software Reliability Enhancement Center19

オープンシステムディペンダビリティの４つの視点
OSD：「システムの目的，目標，環境及び性能の変更に対応し，不断に説明責任を遂行することによって，期待されるサービスを求められた時に求められたように提供する能力」のことである。

合意形成プロセスビュー：

障害対応プロセスビュー：システム，システムの目的，目標，環境，
性能，ライフサイクル，及びこれらの変化に関する共通理解と明示的合意を確立し，維持する障害に際してもサービス中断と損害を最小にとどめ，その状況のもとで最も適切なやり方で，可能な限りサービス提供を続ける

説明責任遂行プロセスビュー：

変化対応プロセスビュー：

システムに関する合意事項の不履行がステークホルダや一般社会に及ぼす影響を同定し，合意事項の遂行を改善して，システムに関する確信と信用を保ち，潜在的な被害に対する補償を確実にする

要求，環境，目標及び目的が変化しても，システムの「目的にかなった(fit‐forpurpose)」状態を維持する

出典：http://deos.or.jp/link/obj/pdf/DEOS-TR-20180125.pdf© 2018 IPA

Software Reliability Enhancement Center

20

IoT開発におけるOSDの実現
つながる世界の開発指針シリーズ

オープンシステムディペンダビリティ

×

合意形成
プロセスビュー

障害対応
プロセスビュー

説明責任遂行
プロセスビュー

変化対応
プロセスビュー

現場への適用IoTの開発において、開発指針をプロセスへ展開する時や機能の実装検討、検証・評価の検討に関して、OSDの４つの視点でレビューすることで、抜け漏れ防止が期待できる。
※つながる世界の開発指針シリーズは、最低限検討が必要な重点事項が記述されており、現場への適用展開には、OSDの視点は補完的な意味でも有効と考えられる。
© 2018 IPA

Software Reliability Enhancement Center21

事例１：開発指針の展開（OSD視点によるレビュー）
つながる世界の開発指針
大項目

方
針

指針

つながる世界の安全安心に企業として取り組む

指針1 安全安心の基本方針を策定する
指針2 安全安心のための体制・人材を見直す
指針3 内部不正やミスに備える
指針4 守るべきものを特定する

分
析つながる世界のリスクを認識する

指針5 つながることによるリスクを想定する
指針6 つながりで波及するリスクを想定する

指針7 物理的なリスクを認識する
オープンシステムディペンダビリティの４つの視点
指針8 個々でも全体でも守れる設計をする

合意形成

説明責任遂行

指針9 つながる相手に迷惑をかけない設計をする

設計

守るべきものを守る設計を考え
る

保
守

る

障害対応

・基本方針が社内や・基本方針をステーク ・基本方針に障害を想指針10 安全安心を実現する設計の整合性をとる
関係者に共通理解がホルダに周知し、その 定した対応やインシデ
指針11 不特定の相手とつなげられても安全安心を確保できる設計をする
得られ、明示的に合フィードバックが得らント対応の体制が考指針12 安全安心を実現する設計の検証・評価を行う
意できるものになって れる仕組みを考慮し慮されているか。
市場に出た後も 指針13 自身がどのような状態かを把握し、記録する機能を設ける
いるか。
ているか。
守る設計を考え

変化対応
・基本方針にIoTシス
テムの環境や性能の変化の把握と対応方
針が明確化されているか。

指針14 時間が経っても安全安心を維持する機能を設ける
指針15 出荷後もIoTリスクを把握し、情報発信する

運
用

関係者と一緒に守る© 2018 IPA

指針16 出荷後の関係事業者に守ってもらいたいことを伝える
指針17 つながることによるリスクを一般利用者に知ってもらう

Software Reliability Enhancement Center22事例２：IoT高信頼化機能の展開(OSD視点によるレビュー）
開発指針の実践に向けた手引き[IoT高信頼化機能編]
IoT高信頼化要件

IoT高信頼化のための１２の機能要件

導 入 時 や 利 用 開 始 １．初期設定が適切に行われ、その確認ができる
開
始 時に安全安心が確認 ２．サービスを利用する時に許可されていることを確認できる
できる
３．異常の予兆を把握できる
予 稼働中の異常発生を
４．守るべき機能・資産を保護できる
防 未然に防止できる
５．異常発生に備えて事前に対処できる
６．異常発生を監視・通知できる
検 稼働中の異常発生を
知 早期に検知できる
７．異常の原因を特定するためのログが取得できる
８．構成の把握ができる
異常が発生しても稼回９．異常が発生しても稼働の維持ができる
オープンシステムディペンダビリティの４つの視点
復 働の維持や早期の復旧ができる１０．異常から早期復旧ができる

合意形成

説明責任遂行

利用の終了やシステ １１．自律的な終了や一時的な利用禁止ができる・異常発生時の初期・異常発生のメカニズ
終 ム・サービス終了後
対応や原因究明に向ムの解明と説明責任
了 も安全安心が確保で
１２．データ消去ができる
きる
けた関係者間での役が果たせる情報収集

割などの合意形成ができているか。

© 2018 IPAの機能が考慮されて
いるか。

障害対応

変化対応

・異常の検知が出来ないものを同定し、減災のための総括的な対応が考慮されているか。

・IoTの環境や利用者の変化が把握でき、機能や性能への影響を確認する手段が考慮されているか。

Software Reliability Enhancement Center23事例３：品質確保に向けた手引きの展開（OSD視点によるレビュー）
品質確保に向けた手引き
活動

品質の確保、維持・改善の視点

V&Vマネジメント【視点1】 IoTの社会的影響やリスクを想定する[検証・評価計画]【視点2】 つながる機能の要求仕様が利用者を満足させるか確認する
妥当性確認[要求の妥当性確認]【視点3】 実装した機能が利用者の要求を満たしているか評価する【視点4】 多種多様なつながり方での動作と性能に着目する
開
発
・
保
守

【視点5】 多種多様な利用環境や使い方に着目する【視点6】 障害や故障、セキュリティ異常の検知と回復に着目する

検証[テスト計画、テスト実施]

オープンシステムディペンダビリティの４つの視点【視点7】 長期安定稼働の維持に着目する

合意形成
説明責任遂行【視点8】 大規模・大量データのテスト環境構築とテスト効率化を検討する・要求仕様は様々なス ・要求仕様の妥当性【視点9】 テストのし易さと実施可能性を検討する
テークホルダの要求
確認の結果が様々な【視点10】 テストを効率的に実施し、エビデンスを残すを考慮しているか。まステークホルダに
運用マネジメントた、合意形成の手段
フィードバックされて【視点11】 運用中の環境変化による影響やリスクを想定する[運用計画]が考慮されているか。 いるか。
運
用 運用実施[品質維持]© 2018 IPA【視点12】 運用中の環境変化を捉え、品質が維持されているか確認す
る

障害対応

変化対応

・サービス継続の視点
で要求仕様に障害の回避/回復/復旧手段が考慮されているか。

・サービスイン後の法規制の変化や脆弱性対策の変化など、運用で必要な情報収集が考慮されているか。

【視点13】 ソフトウェアの更新時はつながる相手への影響を確認する

Software Reliability Enhancement Center24

世界をリードするIoTの実現を目指して

IoT時代の安全安心な世界の実現

協調した活動

IPA：つながる世界の開発指針の普及© 2018 IPA

DEOS協会：OSD（IEC62853)の普及
合意形成
プロセスビュー

障害対応
プロセスビュー

説明責任遂行
プロセスビュー

変化対応
プロセスビュー

Software Reliability Enhancement Center25最後に、「つながる世界の開発指針」の今後の展開
政府施策への展開• IoT推進コンソーシアムのIoTセキュリティ
ガイドラインへの展開（2016/7）• ERABサイバーセキュリティガイドラインへの展開(2017/4)• その他の政府レベルのガイドラインへの展開

国際標準化

海外連携

• 国内外の産業界や海外の研究機関と連携した国際標準化• JTC1/SC27,SC41に提案(2018/5)• 米NISTと連携したIoTについての検討• 独IESEと連携した実証実験

産業界への普及• CCDS 4分野の分野別セキュリティガイドライン（2016/6）• チェックリスト化、社内ルール化への支援(2017/3)• その他の分野別ガイドラインの策定への支援

スコープ拡大第２版：利用時の品質を製品開発の考慮点に追加（2017年6月)© 2018 IPA• IoT高信頼化に向けた機能要件と機能のまとめ(2017/5)• 利用時品質のまとめ（HCD-netとの共創）(2017/3)• IoTの品質確保の検討（IVIA,CCDS等と共創）(2018/3)• データ品質の検討（データ流通推進協議会等と協調予定)

Software Reliability Enhancement Center26

ご清聴ありがとうございました。

© 2018 IPA

Software Reliability Enhancement Center27