サイバー攻撃に頑強な制御通信システムの開発
研究代表者

若

生

将

史

神戸大学大学院システム情報学研究科

講師

1 はじめにコンピュータやネットワーク技術の発展に伴い，現代社会においてサイバーフィジカルシステムが数多く見られるようになってきた．サイバー要素とフィジカル要素を組み合わせることによって，構成上様々な自由度が得られるものの，サイバー要素を通じてフィジカル要素に破壊工作が仕掛けられる深刻なリスクも生じるようになった．例えば，近年自動車[1]やドローン[2]などがサイバー攻撃にさらされうることが指摘されている．また，インフラ設備もサイバー攻撃の被害に遭っている．２０００年３月にオーストラリアの下
水処理設備を，２０００年６月にイランの核燃料施設のウラン濃縮用遠心分離機を標的として，サイバー攻撃が実施された[3,4]．２０１４年にドイツの製鉄設備がサイバー攻撃を受け，制御不可能になったことが報告されている[5]．
以前の制御システムは独自のプロトコルを採用し，情報システムから独立していた．しかし，生産性の向上や開発コストの削減のために，近年は汎用的なプロトコルを用いてネットワークに接続されるようになった．これらの事情により，これまでは情報システムのみを対象としていたサイバー攻撃のリスクが制御通信システムに範囲を広げている．制御通信システムがサイバー攻撃の対象になると，操業停止やライフライ
ンの破壊など深刻な被害を受け，人命が失われる可能性さえある．そのため，世界各国で制御通信システム
に対するセキュリティの強化が緊急の課題になっている．
情報システムと異なり，制御通信システムは２４時間３６５日フル稼働することが要求されるため，セキュリティアップデートがリリースされたとしても即座に適用することができない．また制御システムの責任部署である設備管理部門は，安全性や生産効率性が重要視されるために，情報システム部門に比べてサイバ
ーセキュリティに対する意識レベルが低く，持ち込んだ USB メモリやメール中のマルウェアによって不正侵入を許してしまうことが多い．このような背景のために，本質的にサイバー攻撃の被害を受けやすい制御通信システムでは，サイバー攻撃を受けた際に，いかに早くそれを検出できるか，そして正常な運転へ移行す
る間でも安全性を担保して稼働できるかが重要になる．この点は，機密情報の漏洩防止がその主目的である
情報システムのセキュリティ・プライバシーと大きく異なっている．また，情報システムで利用される暗号化などのセキュリティ技術はリアルタイムでの応答性が悪く，操作スピードが要求される制御通信システム
では実現できないことも多い．
本稿では，離散事象システムを制御対象とし，サイバー攻撃に頑強なスーパーバイザ制御について述べる．
離散事象システムとは，離散の状態空間と事象駆動の遷移構造をもつ動的システムのことである．このようなモデルは化学プラント[6]，電力網[7]，生産システム[8]などのサイバーフィジカルシステムを記述する際に広く用いられている．本稿の目的は，以下の問に答えることである：攻撃者が観測データの一部を改ざんできるときに，どのように離散事象システムを制御すればよいのか？
図１は本稿で考える閉ループシステムを示している．この閉ループシステムのおいて，プラントで生成された観測文字列が悪意ある攻撃によって別の文字列に改ざんされる，という状況を考える．この攻撃は，文字を付け加えたり，除去したり，取り換えることによって，元の文字列を改ざんするとする．さらに，非決
定的に文字列を改ざんする，つまり，同じ文字列であっても，異なる文字列に改ざんすることが可能であるとする．さらに，一般に，制御系であるスーパーバイザを設計する段階では，どのように攻撃者が文字列を改ざんするかわからないため，考えうるすべての攻撃を考慮しなければならない．本稿で考える問題は，このようなサイバー攻撃のもとでも制御仕様を達成するスーパーバイザが存在するかどうかをいかに決定するかという問題である．これは，センサに対するサイバー攻撃のもとでの線形時不変システムの状態推定問題[9-11]の，離散事象システムにおける問題とみなすことができる．

1

離散事象システムのスーパーバイザ制御において，モデルの不確かさやプラントの故障を取り扱う研究は広く行われてきている[12-17]．これらの研究もサ
イバー攻撃に対する対応策として利用できるものの，不確かさ
や故障とサイバー攻撃の間には
図１：閉ループシステム
大きな違いが存在する．実際，不確かさや故障は悪意をもって連動することはないものの，サイバー攻撃では，攻撃者の目的を達成するように臨機応変に攻撃が行われる可能性がある．例えば，ステルス攻撃は，制御サイドによって検出されることなく情報を改ざんし，システムの破壊・停止や性能悪化を引き起こすことを目的としている[18,19]．そのため，サイバー攻撃の下でのスーパーバイザ制御のための新しい枠組みが必要になる．
これまでに離散事象システムにおいていくつかのセキュリティ技術が考案されてきた．そのうちの一つがopacity と呼ばれるものである．離散事象システムが opacity をもつとは，外部の攻撃者にとってシステムの秘匿情報が不確かであることをいう．詳細は文献[20-23]を参照していただきたい．また離散事象システムの枠組みで侵入検知の研究も行われている[24-27]．これらのセキュリティ技術はシステムの秘匿性や完全性を保証できるが．依然としてサイバー攻撃に対して頑強なスーパーバイザ制御の研究は行われていない．
サイバー攻撃を受ける可能性があるプラントは非決定的な観測を持つ離散事象システムとしてモデル化することが可能である．そのような離散事象システムに対するスーパーバイザ制御は文献[28,29]で研究されてきた．これらの先行研究と本研究の問題設定の違いは，サイバー攻撃によって変更された文字列，つまり非決定的な観測関数が不確かであるという点である．いいかえると，攻撃𝐴𝑖 のもとでのプラントをモデル化することで得られる離散事象システムを𝐺𝐴𝑖 とすると，本稿で考える問題は，取りうるモデルの集合が{𝐺𝐴1 , … , 𝐺𝐴𝑛 }であるような不確かな離散事象システムを対象とするロバストなスーパーバイザ制御問題とみなすことができる．ここで，{𝐺𝐴1 , … , 𝐺𝐴𝑛 }の各々の要素は潜在的なサイバー攻撃のタイプを表している．
本稿では，まずサイバー攻撃を数学的に定義した後，サイバー攻撃のもとでの可観測性の概念を新しく導入する．これは従来の（サイバー攻撃を考慮しない）可観測性[30,31]の自然な拡張になっている．そしてサイバー攻撃の下でも所望の制御仕様を達成するスーパーバイザが存在するための必要十分条件が，その仕様が可制御でかつサイバー攻撃の下で可観測であるということを示す．さらに，文字の付加・除去を行う任意のサイバー攻撃を考えた際に，新しい可観測性が従来の可観測性に帰着できることを示す．

2 記法と定義
以下の記法と定義は離散事象システムの文献[33,34]における一般的なものである．
有限の事象集合Σに対して，Σ ∗ を空列εを含む，Σの要素からなる有限長のすべての事象の集合とする．言語𝐿 ⊂ Σ ∗ に対して，𝐿の要素のすべての接頭語からなる集合を𝐿̅で表す．そして𝐿が𝐿 = 𝐿̅をみたすとき，（接頭語について）閉じているという．
事象集合ΣがΣ = Σ𝑐 ∪ Σ𝑢 のように２種類の集合に分割されているとする．ここで，Σ𝑐 は可制御な事象の集合
であり，Σ𝑢 は不可制御な事象の集合である．言語𝐿 ⊂ Σ ∗ に対して，閉じている言語𝐾 ⊂ 𝐿が可制御であるとは，𝐾𝛴𝑢 ∩ 𝐿 ⊂ 𝐾が成り立つことをいう．
事象が生成した際に観測される文字からなる集合をΔとする．そして，Σの属する各事象にΔの要素あるいは空列εを割り当てる写像を𝑃とする．この観測写像は定義域をΣからΣ ∗ へと帰納的に拡張することができる：
𝑃(𝜀) = 𝜀,𝑃(𝑤𝑠) = 𝑃(𝑤)𝑃(𝑠),∀𝑤 ∈ 𝛴 ∗ , 𝑠 ∈ 𝛴.
閉じている言語𝐾 ⊂ 𝐿が𝐿に関して可観測であるとは，
ker𝑃 ⊂ act(𝐾, 𝐿)
であることをいう．ここで，ker𝑃はΣ ∗ 上の同値関係を表し，

2

ker𝑃 ≔ {(𝑤, 𝑤 ′ ) ∈ Σ ∗ × Σ ∗ : 𝑃(𝑤) = 𝑃(𝑤′)}で定義される．またact(𝐾, 𝐿)はΣ 上の二項関係を表し，組(𝑤, 𝑤 ′ )が(𝑤, 𝑤 ′ ) ∈ act(𝐾, 𝐿)をみたすとは，𝑤, 𝑤′ ∈ 𝐾が成り立つときに，
𝑤𝑠 ∈ 𝐾, 𝑤′𝑠 ∈ 𝐿 ∖ 𝐾
あるいは𝑤′𝑠 ∈ 𝐾, 𝑤𝑠 ∈ 𝐿 ∖ 𝐾
をみたす𝑠 ∈ Σが存在しないことをいう．もし，背景となる𝐿が明らかなときは，省略して表す．
次にオートマトン𝐺 = (𝑋, Σ, 𝑧, 𝑥0 )を考える．ここで𝑋は状態の集合，Σは空でない事象集合，𝑧は𝑋 × Σ → 𝑋の遷移写像，𝑥0 ∈ 𝑋は初期状態とする．そして，𝑧(𝑥, 𝑠)!を𝑧(𝑥, 𝑠)が定義されていることを示す記号とする．遷∗

移写像𝑧は写像𝑋 × Σ ∗ → 𝑋へと以下のようにして拡張することができる：


すべての𝑥 ∈ 𝑋に対して，𝑧(𝑥, 𝜀) ≔ 𝑥
すべての𝑥 ∈ 𝑋，𝑤 ∈ Σ ∗ , 𝑠 ∈ Σに対して
𝑧(𝑧(𝑥, 𝑤), 𝑠),𝑧(𝑥, 𝑤)! and 𝑧(𝑧(𝑥, 𝑤), 𝑠)!
𝑧(𝑥, 𝑤𝑠) = {undefined,
otherwise
また，オートマトン𝐺によって生成される言語を𝐿(𝐺)とする．すなわち，𝐿(𝐺) = {𝑤 ∈ Σ ∗ : 𝑧(𝑥0 , 𝑤)!}である．

3 サイバー攻撃を考慮した離散事象システムのスーパーバイザ制御
本節では，まず 3.1 節で観測される文字に対するサイバー攻撃と，そのようなサイバー攻撃の下での可観測性に関する新しい概念を提案する．次に 3.2 節で本稿の主結果，すなわち，サイバー攻撃の存在下で所望の制御仕様をみたすためのスーパーバイザが存在するための必要十分条件を述べる．3.3 節ではサイバー攻
撃として文字の付加・除去に焦点を当てる．そして，このサイバー攻撃のもとでの可観測性が，従来の（サイバー攻撃を受けていないシステムの）可観測性に帰着させることができることを述べる．
3-1 サイバー攻撃の下での可観測性
本稿では，離散事象システムに対するサイバー攻撃を，プラントによって生成される観測文字列𝑤 ∈ Δ∗ を別の文字列𝑦 ∈ Δ∗ に改ざんすることとして定義する．この改ざんされた文字列𝑦は，元の文字列𝑤にある文字を追加したり，あるいは除去・取り換えることによって得られるものとする．もっとも単純な攻撃は，Δ∗ からΔ∗ の関数𝑦 = 𝐴(𝑤)として定義される．しかし，本稿では，より一般的なサイバー攻撃として，攻撃者が非決定的に元の同じ文字列𝑤 ∈ Δ∗ を別の文字列𝑦1 ∈ Δ∗ , 𝑦2 ∈ Δ∗ に改ざんできると仮定する．これにより，スーパーバイザの制御仕様をみたすことは一層難しくなる．まとめると，本稿では，サイバー攻撃を集合値関数∗
として定義する．つまり𝐴: Δ∗ → 2Δ であり，元の観測文字列𝑤 ∈ Δ∗ を，改ざん後の文字列𝑦全体からなる集合
集合𝐴(𝑤) ⊂ Δ∗ に移す関数である．このとき，スーパーバイザは集合𝐴(𝑤)のうち１つの文字列だけを受け取る．また，各々の𝑤 ∈ Δ∗ を集合{𝑤}にうつす攻撃写像𝐴id はサイバー攻撃を一切行わない写像とみなすことができる．
スーパーバイザを設計する際にどのセンサが攻撃されるか明らかでないため，攻撃写像は一般には不確かであるといえる．そのため，本稿では実行されうるサイバー攻撃からなる集合Ω = {𝐴1 , … 𝐴𝑛 }を考え，以下の状況でのスーパーバイザ制御問題を対象とする．
：サイバー攻撃の集合Ωは既知であり，そのうちの 1 つのサイバー攻撃が実行されるとする．いいかえると，攻撃者は集合Ωのサイバー攻撃を適宜切り替えることはできないとする．しかし，スーパーバイザを設計するときにはどの攻撃が実際に実行されるかわからないため，
集合Ωのすべての攻撃に関してロバストなスーパーバイザを設計することが目的である．

3

例１：図２のオートマトン𝐺によって生成される言語を𝐿(𝐺)とする．そして，
図３のオートマトン𝐺𝐾 によって生成される仕様言語𝐾 = 𝐿(𝐺𝐾 )の可観測性について今後議論していく．オートマトン𝐺と𝐺𝐾 の違いは，状態𝑥1 から𝑥3 への事
象𝑐の有無である．つまり，今回のスーパーバイザ制御の目的はこの「ショートカット」を防ぐことである．また観測写像𝑃を𝑠,
if 𝑠 ∈ Δ ≔ {𝑎, 𝑏, 𝑑}𝑃(𝑠) = {𝜀,otherwiseとし，３種類のサイバー攻撃𝐴1 , 𝐴2 , 𝐴3 を，
𝐴1 (𝑠) = Δ
𝐴2 (𝑎) = {𝑎, 𝑏},
𝐴2 (𝑏) = {𝑏},𝐴2 (𝑑) = {𝑎, 𝑑}
𝐴3 (𝑎) = {𝑎},𝐴3 (𝑏) = {𝑏},𝐴3 (𝑑) = {𝜀}で定義する．すなわち，𝐴1 は任意に観測文字を入れ替える攻撃であり，スーパーバイザは可観測な事象が起きたことだけを観測データから知ることができる．また攻撃𝐴2 は文字𝑎を𝑏に，文字𝑑を𝑎にそれぞれ入れ替える攻撃である．
攻撃𝐴3 は常に文字𝑑を除去する攻撃とみなすことができる．スーパーバイザは
これらのサイバー攻撃のうち，どの攻撃が実際に実行されるかわからないという状況下で，制御仕様である𝐺𝐾（が生成する言語𝐾）を達成しなければならな
い．そのようなスーパーバイザが存在するかどうかについて，主要結果を述べたあとに再び議論する．

図 2：オートマトン𝐺∗

記法の単純化のため，𝐴𝑃: Δ∗ → 2Δ を𝐴と𝑃の合成関数によって得られる関数とする．すなわち𝐴𝑃は攻撃された観測写像である．以下で攻撃集合の下での可観測性を定義する．この定義は，従来の可観測性の自然な拡張とみなすことができる．

図 3：オートマトン𝐺𝐾

定義２（サイバー攻撃の下での可観測性）：攻撃集合Ωに対して，閉じている言語𝐾 ⊂ 𝐿が攻撃集合Ωのもとで可観測であるとは，
𝑅𝐴,𝐴′ ⊂ act(𝐾, 𝐿) ∀𝐴, 𝐴′ ∈ Ω(1)が成り立つことをいう．ここで，関係𝑅𝐴,𝐴′ は攻撃された観測写像𝐴𝑃と𝐴′𝑃を通すことで同じ出力文字列が得られる文字列の集合，つまり，𝑅𝐴,𝐴′ ≔ {(𝑤, 𝑤′) ∈ Σ ∗ × Σ ∗ : 𝐴𝑃(𝑤) ∩ 𝐴′𝑃(𝑤) ≠ ∅}である．また，(1)の定義は，以下のように書き直すこともできる：「すべての𝑤, 𝑤′ ∈ 𝐾に対して，
𝐴𝑃(𝑤) ∩ 𝐴′𝑃(𝑤) ≠ ∅をみたす𝐴, 𝐴′ ∈ Ωが存在するならば，
𝑤𝑠 ∈ 𝐾,𝑤′𝑠 ∈ 𝐿 ∖ 𝐾
あるいは𝑤 ′ 𝑠 ∈ 𝐾,
𝑤𝑠 ∈ 𝐿 ∖ 𝐾
をみたす𝑠 ∈ Σが存在しない」，あるいは「すべての𝑤, 𝑤′ ∈ 𝐾に対して，
𝐴𝑃(𝑤) ∩ 𝐴′𝑃(𝑤) ≠ ∅をみたす𝐴, 𝐴′ ∈ Ωが存在するならば，任意の𝑠 ∈ Σに対して
𝑤𝑠 ∉ 𝐿 or 𝑤 ′ 𝑠 ∉ 𝐿 or 𝑤𝑠, 𝑤 ′ 𝑠 ∈ 𝐾 or 𝑤𝑠, 𝑤 ′ 𝑠 ∈ 𝐿 ∖ 𝐾が成り立つ」．すなわち，サイバー攻撃の下での可観測性とは，(𝑤, 𝑤′) ∉ act(𝐾, 𝐿)，つまり２つの文字列𝑤, 𝑤′ ∈𝐾のうち一方が制御仕様𝐾に含まれるがもう一方は𝐾に含まれないような組に対して，同じ観測データが得られるサイバー攻撃𝐴, 𝐴′ ∈ Ωが存在しないことを意味する．
次の命題は，可制御な言語に対してサイバー攻撃のもとでの可観測性と等価な条件を与えるものである．
サイバー攻撃が行われない場合，得られた条件は書籍[34]などで従来の可観測性の定義として用いられている．

4命題３：閉じている言語𝐾 ⊂ 𝐿が可制御であるとする．このとき，𝐾が攻撃集合Ωのもとで可観測であるための必要十分条件は，すべての𝑤, 𝑤′ ∈ 𝐾，𝑠 ∈ Σ𝑐 ，𝐴, 𝐴′ ∈ Ωに対して以下の条件が成り立つことである：
𝐴𝑃(𝑤) ∩ 𝐴′ 𝑃(𝑤) ≠ ∅,𝑤 ′𝑠 ∈ 𝐿

𝑤𝑠 ∈ 𝐾,⟹𝑤 ′ 𝑠 ∈ 𝐾.

例１（続き）：例１の言語𝐿(𝐺)，仕様言語𝐾 = 𝐿(𝐺𝐾 )，サイバー攻撃𝐴1 , 𝐴2 , 𝐴3を考える．可制御な事象集合が
Σ𝑐 = {𝑎, 𝑐}，不可制御な事象集合がΣ𝑑 = {𝑏, 𝑑}で与えられるとする．明らかに𝐾は可制御であり，さらに命題
３より𝐾が攻撃集合Ω = {𝐴1 }のもとで可観測であることがわかる．一方，𝐾は攻撃集合Ω = {𝐴2 }，Ω = {𝐴3 }のもとで可観測であるが，Ω = {𝐴2 , 𝐴3 }のもとでは不可観測である．実際，もし𝑤 = 𝑎𝑏𝑐𝑑𝑎,
𝑤 ′ = 𝑤𝑏としたとき，𝐴2 𝑃(𝑤) = {𝑎𝑏𝑎𝑎, 𝑎𝑏𝑎𝑏, 𝑎𝑏𝑑𝑎, 𝑎𝑏𝑑𝑏, 𝑏𝑏𝑎𝑎, 𝑏𝑏𝑎𝑏, 𝑏𝑏𝑑𝑎, 𝑏𝑏𝑑𝑏}
𝐴3 𝑃(𝑤′) = {𝑎𝑏𝑎𝑏}であるため，𝐴2 𝑃(𝑤) ∩ 𝐴3 𝑃(𝑤′) ≠ ∅であるが，𝑐 ∈ Σ𝑐 は
𝑤𝑐 ∈ 𝐿 ∖ 𝐾 and 𝑤′𝑐 ∈ 𝐾
をみたす．そのため，𝐾は文字の入れ替えに関してはロバストであるが，入れ替えと除去の組み合わせに関しては脆弱であることがわかる．
3-2 スーパーバイザの存在条件出力された文字列が改ざんされた状況下で制御仕様をみたすスーパーバイザが存在するための必要十分条
件を述べる．そのためにまず，サイバー攻撃の下でのスーパーバイザと制御言語を定義する．
言語𝐿と攻撃集合Ωに対するスーパーバイザを
𝑓: ⋃𝐴∈Ω 𝐴𝑃(𝐿) → 2Σとする．ここで，𝐴𝑃(𝐿)はサイバー攻撃𝐴のもとで出力される文字列の集合，つまり，𝐴𝑃(𝐿) ≔ {𝑦 ∈ Δ∗ : ∃𝑤 ∈ 𝐿
s. t. 𝑦 ∈ 𝐴𝑃(𝑤)}である．そして，スーパーバイザ𝑓が有効であるとは，
𝑓(𝑤) ⊃ Σ𝑢∀𝑤 ∈ ⋃𝐴∈Ω 𝐴𝑃(𝐿)であることをいう．
また言語𝐿と攻撃集合Ωに対するスーパーバイザ𝑓が与えられたとき，攻撃𝐴 ∈ Ωのもとで𝑓によって制御さmax
れる最大言語𝐿max𝑓,𝐴 を次のように帰納的に定義する：ε ∈ 𝐿𝑓,𝐴 かつ

𝑤𝑠 ∈ 𝐿max
𝑓,𝐴𝑤 ∈ 𝐿max𝑓,𝐴 and 𝑤𝑠 ∈ 𝐿 and ∃𝑦 ∈ 𝐴𝑃(𝑤) s. t.

⟺

𝑠 ∈ 𝑓(𝑦).

min
そして，攻撃𝐴 ∈ Ωのもとで𝑓によって制御される最小言語𝐿min𝑓,𝐴 を次のように帰納的に定義する：ε ∈ 𝐿𝑓,𝐴 かつ

𝑤𝑠 ∈ 𝐿min
𝑓,𝐴⟺𝑤 ∈ 𝐿min𝑓,𝐴 and 𝑤𝑠 ∈ 𝐿 and ∀𝑦 ∈ 𝐴𝑃(𝑤), 𝑠 ∈ 𝑓(𝑦).

max
一般に，𝐿min𝑓,𝐴 ⊂ 𝐿𝑓,𝐴 ではあるが，サイバー攻撃が行われない場合，つまり，𝐴 = 𝐴id の場合には，これらの言
min
語は一致する．また，定義より𝐿max
𝑓,𝐴 と𝐿𝑓,𝐴 はどちらも閉じている．

システム論的な解釈としては，𝐿max
𝑓,𝐴 はサイバー攻撃𝐴がスーパーバイザ𝑓に対して適切に出力情報を改ざんして得られる最大の言語であるとみなすことができる．一方，𝐿min
𝑓,𝐴 はサイバー攻撃𝐴が実行できる最小の言語である．つまり，サイバー攻撃𝐴はいかなるように出力情報を改ざんしても𝐿min
𝑓,𝐴 に含まれるどの言語も取り除

5くことができない．
以下の結果は，攻撃集合Ωに属するすべての攻撃に対して最小言語と最大言語がどちらも制御仕様となる
ようなスーパーバイザが存在するための必要十分条件を与える：
定理４：任意の空でない閉じている言語𝐾 ⊂ 𝐿と攻撃集合Ωに関して以下が成り立つ：
max①任意の𝐴 ∈ Ω に対して𝐿min
𝑓,𝐴 = 𝐿𝑓,𝐴 = 𝐾が成り立つ有効なスーパーバイザ𝑓が存在するための必要十分条件

は，𝐾が可制御かつΩのもとで可観測であることである．
②もし，𝐾が可制御かつΩのもとで可観測であるならば，次の写像
𝑓: ⋃𝐴∈Ω 𝐴𝑃(𝐿) → 2Σ
max
は任意の𝐴 ∈ Ω に対して𝐿min
𝑓,𝐴 = 𝐿𝑓,𝐴 = 𝐾をみたす有効なスーパーバイザである：

𝑓(𝑦) ≔ Σ𝑢 ∪ {𝑠 ∈ Σ𝑐 : ∃𝑤 ∈ 𝐾, 𝐴 ∈ Ω s. t.

𝑦 ∈ 𝐴𝑃(𝑤) and 𝑤𝑠 ∈ 𝐾}∀𝑦 ∈ ⋃𝐴∈Ω 𝐴𝑃(𝐿).

【証明】文献[35]を参照のこと．
3-3 文字の付加・除去によるサイバー攻撃のもとでの可観測性
本節では，出力される文字列からある文字を付加・除去するサイバー攻撃を考える．そして従来の（攻撃を受けていない場合の）可観測性に，攻撃のもとでの可観測性を帰着させる．
∗

観測される文字の集合𝑝 ⊂ Δに対して，付加・除去を行う攻撃𝐴𝑝 : Δ∗ → 2Δ を次のように定義する：文字列𝑢 ∈ Δ∗ から𝑝に含まれる文字を任意の回数だけ付加・除去して得られる文字列𝑣 ∈ Δ∗ の集合へと，もとの文字
列𝑢を移す写像．このような攻撃𝐴𝑝 は𝑝に含まれる文字に関する攻撃といえる．また，𝑝を除去する観測写像
𝑅𝑝 : Δ → (Δ ∪ {𝜀})を
𝜀,𝑡∈𝑝𝑅𝑝 (𝑡) = {𝑡,𝑡∉𝑝で定義する．観測写像𝑃と同様，𝑅𝑝 も文字列についての関数へと帰納的に拡張することができる．そして，
この𝑝を除去する観測写像𝑅𝑝 を用いることで攻撃𝐴𝑝 を次のように定義できる：
𝐴𝑝 (𝑢) = {𝑣 ∈ Δ∗ : 𝑅𝑝 (𝑢) = 𝑅𝑝 (𝑣)}.
例６：文字集合𝑝を𝑝 = {𝑠} ⊂ {𝑠, 𝑡} = Δとする．このとき，𝑅𝑝 (𝑠𝑡) = 𝑡であるので，
𝐴𝑝 (𝑠𝑡) = {𝑠 𝑛 𝑡𝑠 𝑚 : 𝑛, 𝑚 ≥ 0} = {𝑣 ∈ Δ∗ : 𝑅𝑝 (𝑠𝑡) = 𝑅𝑝 (𝑣)}が成り立つ．
次の結果は，定義２で述べた，付加・除去による攻撃の下での可観測性が，ある観測写像の集合に対する従来の可観測性と等価であることを示している．ここで，合成写像𝑅𝑝 ∘ 𝑃: Δ → (Δ ∪ {𝜀})は従来の意味での観測写像となっていることに注意してほしい．
定理７：すべての空でない閉じている言語𝐾 ⊂ 𝐿と付加・除去による攻撃集合Ω = {𝐴𝑝1 , … , 𝐴𝑝𝑀 }に対して，𝐾が攻撃集合Ωのもとで可観測であるための必要十分条件は，集合𝑝 ≔ 𝑝𝑖 ∪ 𝑝𝑗
∀𝑖, 𝑗 ∈ {1,2, … , 𝑀}によって特徴づけられるすべての観測写像𝑅𝑝 ∘ 𝑃に関して𝐾が可観測であることである．
【証明】文献[35]を参照のこと．
定理７によって，攻撃を考慮しない従来の可観測性を判定するための手法[32]を用いて，付加・除去による攻撃の下での可観測性を判定することができる．
有限オートマトン𝐺 = (𝑋, Σ, 𝑧, 𝑥0 )によって生成される言語𝐿 = 𝐿(𝐺)と，同じく有限オートマトン𝐺𝐾 =6

(𝑅, Σ, 𝜍, 𝑟0 )によって生成される仕様言語𝐾 = 𝐿(𝐺𝐾 )を考える．定理７によって，付加・除去による攻撃集合Ωのもとでの可観測性を判定するためには，|Ω|2 個のテストオートマトン（各々が通常の可観測性を判定するためのもとである）を構築すればよい．このテストオートマトンによって通常の可観測性を判定するために必要な計算複雑さは𝑂(|𝑋| ⋅ |𝑅|2 ⋅ |Σ𝑐 |)であるので[34]，サイバー攻撃の下での可観測性を判定するための計算複雑さは𝑂(|𝑋| ⋅ |𝑅|2 ⋅ |Σ𝑐 | ⋅ |Ω|2 )であることがわかる．

４ 結論
本稿では，サイバー攻撃下での離散事象システムのスーパーバイザ制御を考えた．サイバー攻撃の下での可観測性の新しい概念を定義し，それと従来の可制御性を組み合わせたものが，攻撃の下で仕様言語を実行するスーパーバイザが存在することの必要十分条件になっていることを述べた．そして従来の可観測性の概念を利用して，付加・除去によるサイバー攻撃のもとでの可観測性を判定できることを示した．このほかにも，例えば，文字の交換・除去によるサイバー攻撃のもとでのスーパーバイザのオートマン表現や可観測性の判定条件について文献[35]で述べている．今後の課題として，離散事象システムのスーパーバイザ制御における秘匿性とサイバー攻撃に対するロバスト性を同時に考慮することが挙げられる．

【参考文献】[1] S. Checkoway, D. McCoy, B. Kantor, D. Anderson, Shacham, S. H. Savage, K. Kocher, A. Czeskis,
F. Roesner, and T. Kohno, “Comprehensive experimental analyses of automotive attack surfaces,”in Proc. USENIX Security Symposium, 2011.
[2] A. J. Kerns, D. P. Shepard, J. A. Bhatti, and T. E. Humphreys, “Unmanned aircraft capture andcontrol via GPS spooﬁng,” J. Field Robot., vol. 31, pp. 617–636, 2014.
[3] J. Slay and M. Miller, “Lessons learned from the Maroochy water breach,” in Proc. Critical
Infrastructure Protection, vol. 253, 2007, pp. 73–82.
[4] J. P. Farwell and R. Rohozinski, “Stuxnet and the future of cyber war,” Survival, vol. 53, pp. 23–
40, 2011.
[5] T. De Maiziere, “Die Lage der IT-Sicherheit in Deutschland 2014,” Tech. Report, Federal Ofﬁce
forInformation
Security,
2014.
[Online].
Available:
http://www.wired.com/wpcontent/uploads/2015/01/Lagebericht2014.pdf[6] P. Falkman, B. Lennartson, and M. Tittus, “Speciﬁcation of a batch plant using process algebra
and petri nets,” Control Eng. Practice, vol. 17, pp. 1004–1015, 2009.
[7] X. Zhao, P. Shi, and L. Zhang, “Asynchronously switched control of a class of slowly switchedlinear systems,” Systems Control Lett., vol. 61, pp. 1151–1156, 2012.
[8] M. Uzam and G. Gelen, “The real-time supervisory control of an experimental manufacturingsystem based on a hybrid method,” Control Eng. Practice, vol. 17, pp. 1174–1189, 2009.
[9] H. Fawzi, P. Tabuada, and S. Diggavi, “Secure estimation and control for cyber-physical systems
under adversarial attacks,” IEEE Trans. Automat. Control, vol. 59, pp. 1454–1467, 2014.
[10] Y. Shoukry and P. Tabuada, “Event-triggered state observers for sparse noise/attacks,” IEEE
Trans. Automat. Control, vol. 61, pp. 2079–2091, 2016.
[11] M. S. Chong, M. Wakaiki, and J. P. Hespanha, “Observability of linear systems under adversarial
attacks,” in Proc. ACC’15, 2015.

7

[12] F. Lin, “Robust and adaptive supervisory control of discrete event systems,” IEEE Trans.
Automat. Control, vol. 38, pp. 1848–1852, 1993.
[13] S. Takai, “Robust supervisory control of a class of timed discrete event systems under partial
observation,” Systems Control Lett., vol. 39, pp. 267–273, 2000.
[14] A. Saboori and S. H. Zad, “Robust nonblocking supervisory control of discrete-event systems
under partial observation,” Systems Control Lett., vol. 55, pp. 839–848, 2006.
[15] A. M. S´anchez and F. J. Montoya, “Safe supervisory control under observability failure,”
Discrete Event Dyn. System: Theory Appl., vol. 16, pp. 493–525, 2006.
[16] A. Paoli, M. Sartini, and S. Lafortune, “Active fault tolerant control of discrete event systems
using online diagnostics,” Automatica, vol. 47, pp. 639–649, 2011.
[17] S. Shu and F. Lin, “Fault-tolerant control for safety of discrete-event systems,” IEEE Trans.
Autom. Sci. Eng., vol. 11, pp. 78–89, 2014.
[18] S. Amin, X. Litrico, S. Sastry, and A. M. Bayen, “Cyber security of water SCADA systems–Part
I: Analysis and experimentation of stealthy deception attacks,” IEEE Trans. Control Systems Tech.,vol. 21, pp. 1963–1970, 2013.
[19] A. Teixeira, H. Shames, I. Sandberg, and K. H. Johansson, “A secure control framework forresource-limited adversaries,” Automatica, vol. 51, pp. 135–148, 2015.
[20] S. Takai and Y. Oka, “A formula for the supremal controllable and opaque sublanguage arisingin supervisory control,” SICE J Control Meas. System Integr., vol. 1, pp. 307–311, 2008.
[21] J. Dubreil, P. Darondeau, and H. Marchand, “Supervisory control for opacity,” IEEE Trans.
Automat. Control, vol. 55, pp. 1089–1100, 2010.
[22] A. Saboori and C. N. Hadjicostis, “Opacity-enforcing supervisory strategies via state estimator
constructions,” IEEE Trans. Automat. Control, vol. 57, pp. 1155–1165, 2012.
[23] Y.-C. Wu and S. Lafortune, “Synthsis of insertion functions for enforcement of opacity security
properties,” Automatica, vol. 50, pp. 1336–1348, 2014.
[24] D. Thorsley and D. Teneketzis, “Intrusion detection in controlled discrete event systems,” in Proc.
45th IEEE CDC, 2006.
[25] S.-J. Whittaker, M. Zulkernine, and K. Rudie, “Toward incorporating discrete-event systems insecure software development,” in Proc. ARES’08, 2008.
[26] N. Hubballi, S. Biswas, S. Roopa, R. Ratti, and S. Nandi, “LAN attack detection using discrete
event systems,” ISA Trans.,
vol. 50, pp. 119–130, 2011.
[27] L. K. Carvalho, Y.-C. Wu, R. Kwong, and S. Lafortune, “Detection and prevention of actuator
enablement attacks insupervisory control systems,” in Proc. WODES’16, 2016.
[28] S. Xu and R. Kumar, “Discrete event control under nondeterministic partial observation,” inProc. IEEE CASE’09, 2009.
[29] T. Ushio and S. Takai, “Nonblocking supervisory control of discrete event systems modeled by
Mealy automata with nondeterministic output functions,” IEEE Trans. Automat. Control, vol. 61,
pp. 799–804, 2016.
[30] R. Cieslak, C. Desclaux, A. S. Fawaz, and P. Varaiya, “Supervisory control of discrete event
processes with partial observations,” IEEE Trans. Automat. Control, vol. 33, pp. 249–260, 1988.
[31] F. Lin and W. M. Wonham, “On observability of discrete-event systems,” Inform. Sci., vol. 44, pp.
173–198, 1988.
[32] J. N. Tsitsiklis, “On the control of discrete-event dynamical systems,” Math. Control Signals
Systems, pp. 95–107, 1989.
[33] P. J. Ramadge and W. M. Wonham, “The control of discrete event systems,” Proc. IEEE, vol. 77,
pp. 81–98, 1989.

8

[34] C. Cassandras and S. Lafortune, Introduction to Discrete Event Systems . Boston, MA: Kluwer,
1999.
[35] M. Wakaiki, P. Tabuada, and J. P. Hespanha, “Supervisory control of discrete-event systems
under attacks,” Tech. Report, University of California, Santa Barbara, 2016. [Online]. Available:
http://www.ece.ucsb.edu/∼hespanha/published/DES under attack ver8 19 Tech note.pdf

〈発
題

名

SMT-based observer design for cyberphysical systems under sensor attacks
Attacks to Discrete-event Systems
未知外乱オブザーバを用いたサイバー攻撃の検出
SMT-based observer design for cyberphysical systems under sensor attacks

表

資

料〉

掲載誌・学会名等
ACM/IEEE 7th International
Conference on Cyber-Physical
Systems
55th
IEEE
CDC
Workshop: Taxonomies
ofInterconnected Systems: LargeScale Networks
第４回制御部門マルチシンポジウ
ム
ACM Transactions on CyberPhysical Systems

9

発表年月2016 年 4 月

2016 年 12 月

2017 年３月
採択済み