JPCERT Coordination Center

電子署名者 : JPCERT Coordination Center
DN : c=JP, st=Tokyo, l=Chuo-ku, o=JPCERT
Coordination Center, cn=JPCERT Coordination
Center, email=office@jpcert.or.jp
日付 : 2022.01.05 15:43:40 +09'00'

情報通信技術等を利用した生産システムにおける人の安全確保を実現するための調査研究
三 菱 電機株式 会社©Mitsubishi Electric Corporation

神 余浩 夫

0は じめ に 、 目 次

はじめに ICT等の新技術の導入は、生産システムの安全性確保に関する新たな課題・脅威を持ち込んだ。事故や事件の防止・抑制に向けた調査研究が急がれる。
 生産システムのセキュリティリスクアセスメント調査、実施方法ガイドの策定。
 本発表は、（一社）日本機械工業連合会が2017-20年に実施した、「情報通信技術（ICT）等を利用した生産システムにおける人の安全確保を実現するための調査研究報告書」（以下、報告書）に基づく。

目次
1. 調査研究プロジェクトの概要
2. セーフティとセキュリティのリスク
3. 生産システムのリスクアセスメントの手順
4. まとめ©Mitsubishi Electric Corporation

METI Journal「政策特集ロボット新潮流！ vol.5(2017/11/6)
https://meti-journal.jp/p/132/2

1©Mitsubishi Electric Corporation

調査研究プロジェクトの概要

3

I C T を 利 用 し た 生 産シ ステ ムの 例
進め方
 安全確保された事例にICTサービスを追加した生産システムを想定し、セキュリティ面からの分析を実施した。
 鍋蓋製造ライン（日機連がH26-28年度に検討してきた、統合生産モデルの事例)- 複数のプレス等の機械、それを接続するロボットから構成される生産ライン©Mitsubishi Electric Corporation「報告書」P.9より

4

1.2

プ ロジ ェ ク ト 概 要

名称：情報通信技術(ICT)等を利用した生産システムにおける人の安全確保を実現するための調査研究 期間：2017～2020年3月
 体制：（一社）日本機械工業連合会
 目的：- IoT 時代における生産システムにおいて、これまで以上に安全性を確保し、国際競争力を維持していくために、どのようにセキュリティの脅威に対応するかを検討すること。
- 現状においては、セーフティおよびセキュリティはそれぞれの専門家により対策が進められており、両者のコミュニケーションは十分とはいえない。
- 本事業は、その両者の融合を図りながら、セキュリティ対策も考慮した安全な生産システム構築の進め方を検討する。
©Mitsubishi Electric Corporation

5

検 討メ ン バ （ 2 0 2 0 年 3 月当 時）

1.3

 主査/副主査- 向殿政男（明治大学）、
神余浩夫（三菱電機, IEC 61508およびIEC 62443国際メンバー、IEC白書”Safety in the Future”メンバー）

 委員：

https://www.mukaidono.jp- 石川篤（住友重機化工業）、木下博文（平田機工）、笹川鉄平（日工会）、
澁谷聡介（TUV-SUD）、首藤俊夫（システムズエンジニアリング研究所）、杉田吉広（TUV-Rheinland）、杉原健治（パナソニック）、土屋正春（MRI）、中村勉（安川電機）、畑幸男（ATOMS）、森本賢一（制御システム研究所）

 オブザーバ：- 結城則尚、細川尚紀、河野隆志、溝添公一（NISC）、引野高嗣（METI）、河合和哉（IPA） 事務局；- 宮崎浩一、野村浩章、吉田重雄（日機連）、薮田尚宏、落合孝正、岡崎亘、畑中琢哉（MRIRA）©Mitsubishi Electric Corporation

6

1.4

提言

生産設備におけるセキュリティ脅威検討の基本的な考え方
1) セキュリティ脅威は、機械安全の新たなハザードである。
• 機械安全のリスクアセスメントにおいて、セキュリティ脅威をハザード（危険源）として見落とさない

2) セキュリティ脅威によるハザードは確定的である。
• セキュリティ脅威は攻撃者の「悪意」によって発生するため、その発生は確率的ではなく、必ず起こりえるという点で確定的である

3) セキュリティ脅威への最終的な対策は、安全関連ソフトウェアに拠らない設備の停止である。
• セキュリティ脅威は、安全関連の制御システム、とくにソフトウェアに影響を与えるため、安全関連ソフトウェアに拠らない機械設備の安全化手段が必要とされる• 例えば、安全制御系と独立したハードウェアのみによるシステムの停止が有効である。

ONOFF

開閉器、遮断器(著者オリジナル)©Mitsubishi Electric Corporation

7

1.5

機 能安 全 と はフェールセーフ(然故障性)，フォールトアボイダンス(避故障性) 故障が起きても大丈夫，危険にならない。そもそも故障が起きない

機能安全(functional safety)

 機能で安全を担保する(安全機能：safety function)
 安全制御システム＝危険を検知すれば安全状態に移行する- 自動ブレーキ，自動消火装置，速度超過監視，etc

安全制御システム
 コンパクト(回路のソフトウェア化)，工数削減
 きめ細かい安全制御ができる，複雑高度な安全対策が可能に©Mitsubishi Electric Corporation(著者オリジナル)

8

1.6

機 能安 全 ： 機 能 安全 規格

かつて，安全回路はハードウェア(機械的)のみで実現
 マイコン，ソフトウェアに命を預けられない 1990年代．IT技術の進歩，信頼性技術の確立

IEC 61508機能安全規格(1999) (Ed.2:2010, Ed.3:2023)
 初めてのマイコン，ソフトウェアを用いた安全制御システムに対する要求事項と標準技術を規定
産業機械
IEC62061

PLC
IEC61311-6

ロボット
ISO10218
ISO13482
医療器械
IEC62304©Mitsubishi Electric Corporation

電子制御モータ
IEC61800

フィールドバス
IEC61784-3

機能安全規格IEC61508

鉄道
IEC62278

原子力IEC61513(著者オリジナル)

家電
IEC60335
IEC60730

エレベータ
ISO22201

自動車
MISRA
ISO26262

プロセス産業IEC61511
9

2©Mitsubishi Electric Corporation

セーフティとセキュリティのリスク

10

2.1

安 全リ ス ク と セ キュ リテ ィリ スク
危害発生の確率
安全リスク(ハザード)

危害の酷さ＝(ハザードからの結果)

ハザードへの人の暴露

×

危険事象の発生危害の制限又は回避の可能性

図4-2 機械安全に関連するリスク要素 (ISO 12100, JIS B 9700図3参照)

一般に，安全関連が人身事故・爆発火災事故最大リスクとなる考えられる

セキュリティ
リスク
(脅威)

＝負の影響
(脅威からの結果)

負の影響の可能性

×(脅威によって悪用される可能性のある既存の脆弱性に関連する)

図4-3 セキュリティに関連するリスク要素 (ISO TR 22100-4図2参照)
ISO/TR 22100-4: Safety of machinery - Relationship with ISO 12100 - Part 4:Guidance tomachinery manufacturers for consideration of related IT-security (cyber security) aspects©Mitsubishi Electric Corporation「報告書」P.10より

11

2.2

リ スク ア セ ス メ ントセキュリティリスク
 ICT を生産システムに導入する際には、セキュリティリスクを考慮する。
 大きなセキュリティリスクは，人身事故や爆発火災など「被害の大きな事故」
 安全関連部（機能安全）は，サイバー脅威に晒される＝セキュリティリスク

リスクアセスメント（リスク分析、リスク低減）
 守るべき情報資産、設備資産、生命・環境

許容できない領域

 脅威による攻撃・被害シナリオ→被害規模とその確率→セキュリティリスク見積

ALARP又は許容領域

 リスク評価：リスクは許容(tolerable)できるか- 残留リスクが許容できるまでリスク低減方策を講じる

 全ての残留リスクが許容レベル以下＝安全/セキュア©Mitsubishi Electric Corporation(便益が期待される場合に限りリスクを受け入れる)

広く一般に受容される領域(ALARPを検証するための詳細な作業は必要ない)

ALARP(As Low As Reasonably Practicable)
著者オリジナル12

2.3

セ ーフ テ ィ に 関 るセ キュ リテ ィリ ス ク
脅威ISO 12100に従ったリスク分析（機械の制限と意図した使用に基づく）

成功または悪用できる脅威

脆弱性(例えばI/F, malware)

設計者によるリスク低減方策

以下に至る可能性

機械へのセキュリティリスク（例えば、安全関連制御系）
セキュリティ側面
・識別と認証・システム完全性・イベントへの適切な対応
・可用性

機械

Step1 本質的安全設計方策

影響又は引金（機械安全のリスク低減に影響）

機能安全(S/W安全機能）

Step2 安全防護と付加的方策
Step3 使用上の情報(表示、取扱説明書)

残留リスクが許容レベルになるまで機械の安全関連部の故障または誤作動
以下に至る可能性

リスク低減方策の喪失または低下・意図しない動作・応答時間の遅延・保護機能の喪失

人身事故、健康障害©Mitsubishi Electric Corporation

図4-4 セキュリティと機械類の安全性の関係（ISO/TR 22100-4 図3参照）「報告書」P.11より
13

2.4

安 全制 御 系 の 構 成例

「調査報告(H30年度)」P37より©Mitsubishi Electric Corporation

14

2.5

リ スク 分 析 と リ スク 低減

リスク分析
 安全とセキュリティ分析は並行に安全分野(Safety management)- 脅威/脆弱性分析、故障/事象分析

 安全制御系の追加→セキュリティ分析

リスク低減 すべてのリスクを許容レベルに 安全対策、セキュリティ対策の実現

安全リスク分析
-人身事故
-環境事故

セキュリティ分野
標準の相互参照(Security management)

安全専門家のサポート

セキュリティリスク分析-可用性-完全性-機密性▼

安全機能の決定▼▼

競合解決

セキュリティ対策の決定

安全設計

▼

セキュア設計実現仕様の評価
 安全とセキュリティの競合解決- CPUやメモリの取り合い、操作性

安全セキュリティ
実現
安全とセキュリティのリスク分析から機能実現(IEC TR 63069 Framework for functional safety and security Figure4)を参考に著者作成©Mitsubishi Electric Corporation

15

2.6

安 全な I o T シ ステ ムの 設計 / 構 築/ 運用 の基 本原則

 IoTシステムの設計/構築/運用に関しては、セキュリティを事前に考慮するセキュリティ・バ
イ・デザインを基本原則として、これが確保されていることが当該システムの稼働前に確認・検証できる仕組みが求められる。その際、IoTシステムのセキュリティ確保のための要件として、基本方針の設定、リスク評価、システム設計、システム構築、運用・保守の各段階で求められる要件を定義することが必要である。その際、以下の項目について明確化することが必要である。
a) IoTシステムについて、範囲、対象を含めた定義を改めて明確にするとともに、IoTシステムが多岐にわたることから、リスクを踏まえたシステムの特性に基づく分類を行い、その結果に応じた対応を明確化する。
b) IoTシステムに係る情報の機密性、完全性及び可用性の確保並びにモノの動作に係る利用者等に対する安全確保に必要な要件を明確化する。
c) 機能保証の制定を含め、確実な動作の確保、障害発生時の迅速なサービス回復に必要な要件を明確化する。
d) その上で、接続されるモノ及び使用するネットワークに求められる安全確保水準（法令要求、慣習要求）を明確化する。
e) 接続されるモノ及びネットワークの故障、サイバー攻撃等が発生しても機密性、完全性、可用性、安全性の各項目が確保されるとともに、障害発生時の迅速なサービス復旧を行うことを明確化する。
f) IoTシステムに関する責任分界点、情報の所有権に関する議論を含めたデータの取り扱いの在り方を明確化する。￥
NISC「安全なIoTシステムのためのセキュリティに関する一般的枠組み」より引用「報告書」P6より©Mitsubishi Electric Corporation

16

2.7

セ ーフ テ ィ と セ キュ リテ ィの 課題

ICT生産システムのセーフティとセキュリティの対策
 両方のリスクアセスメント、対策立案と相互影響の分析

現状の課題 生産システムの現場では、「セーフティとセキュリティ双方に精通した技術者が極めて少ない」、「セキュリティ要件を実現した場合、安全要件に及ぼす影響をどう考えたらよいのかわからない」という課題に直面している。
 生産システムにおけるセキュリティの脅威の対策を進めるには、セーフティとセキュリティの専門家が協力することが必要と考えられるが、現状においては、セーフティとセキュリティの専門家が連携して取り組む段階には達していない。

SAFETY©Mitsubishi Electric CorporationSECURITY

セーフティとセキュリティの専門家の協力（著者オリジナル)

17

3©Mitsubishi Electric Corporation

生産システムのセキュリティ
リスクアセスメントの手順

18

3.1

シ ステ ム 構 成 例 （リ モー ト監 視診 断）ロボットのリモート監視診断の構成例
 ロボットメーカー、コンサルタント(SI)のリモートアクセス

インターネット
ロボットのリモート監視・診断(動作状況、エラー情報の収集)
ロボットメーカー©Mitsubishi Electric Corporation「報告書(H30年度)」P37より

19

3.2

シ ステ ム 構 成 例 （所 内ク ラウ ド）

ロボットのリモート監視診断の構成例
 工場内にクラウドサーバを設置し、社外からアクセスロボットのリモート監視・診断(動作状況、エラー情報の収集)
エッジ
コンピュータインターネット
ロボットメーカー
コンサルタント©Mitsubishi Electric Corporation「報告書(H30年度)」P38より

20

3.3

©Mitsubishi Electric Corporation

リ スク ア セ ス メ ント 表

「調査報告」P.12より

21

3.4

リ スク ア セ ス メ ント 表No

対象ソリューショ

ソリューショ
ン解説

シナリオシナリオ
解説

想定被害

被害シナリオ

被害例
(脅威例)

攻撃種
類番号

生産システムにおける被攻撃部
位-

対象ソリューションの動作状況、または攻撃を受けた状況-

攻撃によって発生する被害の予想被害に至るまでの経緯、インシデン
トのシナリオ

脅威の例（攻撃方法、マルウェアなど）

1.1.1

遠隔監視

生産中

機械動作

生産中断

HMI-PCがロック

Wannacryン

人身事故、操業停止、環境汚染など

攻撃対象
リスク評価

対策

リスク再評価

脆弱性

脅威源

被害
大きさ

可能性

リスク

対策(IT)

対策(安全)

対策(復旧)

脅威が進入する経路、感染の原因など

最初に脅威が現れた箇所、原因

小/中/
大

小/中/
大

小/中/
大

ITセキュリティ
対策，FWやホワイトリスト実行制御など

インシデントによる事故被害を抑制する安全対策

インシデント後の速やかな復旧のための対策

RDTによる遠隔から不正操作

保守員

中中

中FW設置
Windowsの設定確認

被害と可能性を小/中/大で評価→分析を詳細化しすぎない

RDT停止
合わせ技でリスク低減©Mitsubishi Electric Corporation「調査報告」P13, P14より

RDT操作のundo機能

被害大きさ可能性

リスク再評価して効果を確認
中

小中小小小小中中

22

4©Mitsubishi Electric Corporation

まとめ

23

4.1

ま とめ

ICT生産システムの新たなセキュリティ脅威 情報漏洩だけでなく、操業妨害や人身事故を考慮→安全制御系が最大リスク

リスク分析とリスク低減
 セーフティ/セキュリティリスク＝被害規模×事象確率 リスク低減＝被害抑制（安全、復旧）と確率低減（ITセキュリティ）の合わせ技
 リスクアセスメント表の拡張提案
脅威生産システム©Mitsubishi Electric Corporation

IoTによる穴（脆弱性）

脅威による爆発・暴走

穴を塞ぐ(ITセキュリティ)リスク低減策セキュリティリスク低減方策(筆者オリジナル)

ガス抜き・牙抜き(安全)

正気に戻す(復旧)24

4.2

セ ーフ テ ィ と セ キュ リテ ィの 標準 化

セーフティとセキュリティの標準化
 セキュリティとセーフティの両立- IEC TR 63069:2019 Framework for functional safety and security→TS化に向けて作業中

 cyber/physical safety and security (未検討)- 4種類の対策を効果的に組み合わせることで、安全・セキュアで、コスト・操作性に優れたシステムを構築できる
cyber/physical とsafety/securityの標準化状況（著者オリジナル）

safetysafety & security

securitycyber

機能安全(IEC 61508)
OT安全

機能安全とセキュリティのフレームワーク(IEC TR 63069)
機械の安全制御系のセキュリ
ティ側面(IEC TR 63074)

制御セキュリティ(IEC 62443)
OTセキュリティ

physical

機械の安全性(ISO 12100)
機械安全全般--物理セキュリティ(ISO 27001)
入退室管理、監視カメラ他©Mitsubishi Electric Corporation25