安全なIoTシステムのセキュリティ〜IoT標準化のための標準の必要性〜
平成28年12月12日
内閣サイバーセキュリティセンター(NISC)
基本戦略グループ(分析担当)

企画官 結城 則尚

1

１．歴史から学ぶ2

ネットワークにつながるモノの標準化は不可欠
1890年代、交流電化を始めた時、将来送電線網で相互につながるとは想像できなかっただろう
それよりも当時は個性を重視したらしい？

東京1893年交流配電開始
AEG(ドイツ) 交流発電機浅草発電所

50Hz
3kV AC, 265kVA
大阪 1888年交流配電開始
GE(米国) 交流発電機

60Hz
2.3kV AC, 150kW

最大１２０万ｋW（原子力発電所1基分相当）
出典：http://nextneo.blog.fc2.com/?mode=m&no=804

3

自動車はどの車でも運転できるが• 運転に必要な操作がどれも同じ• アクセル• ブレーキ• 変速レバー• 方向指示器• ワイパー

右側
左側
車中央側
窓側
車中央側


アメリカ居住時の混乱



右側通行 左ハンドル


原則がわかるまでは冷や汗ものだった



方向指示器を出そうと思うとワイパーが動作

変速しようとするとドアをたたく

交差点に入ると左に入りそうになり衝突寸前

4

自動車はどの車でも運転できるが• 運転に必要な操作がどれも同じ• アクセル• ブレーキ• 変速レバー• 方向指示器• ワイパー

右側
左側
車中央側
窓側
車中央側

そもそも車の通行方向を統一しておけば、世界中の車を混乱なく運転できたし
アメリカ居住時の混乱
製造コストも下がっただろう
右側通行 左ハンドル



原則がわかるまでは冷や汗ものだった



方向指示器を出そうと思うとワイパーが動作

変速しようとするとドアをたたく

交差点に入ると左に入りそうになり衝突寸前

5

２．ＩｏＴの健全な発展のための課題

6

カテゴリー毎のモノの標準にはテンプレートが必要
自動車同士がつながる

自動車以外とつながる
出典：VodafoneGermanyCorporateCommunications

7

カテゴリー毎のモノの標準にはテンプレートが必要
自動車同士がつながる

自動車以外とつながる設計思想が違うものが相互に接続されると利便性向上と同時に新たな脆弱性、不具合を産む懸念
出典：VodafoneGermanyCorporateCommunications

8

IoTの標準は安全の標準であることが重要

9

IoTの標準は安全の標準であることが重要

モノがITシステムに接続されることによって
ITシステムのトラブルが物理的影響を与える
CyberとPhysicalが一体化
情報セキュリティのCIAにSafetyを考慮
CIAからS‐CIAへの転換

10データに関する横断的な標準が必要

出典：ソフトバンク株式会社

出典：ソフトバンク株式会社

出典：農林水産省

11

データに関する横断的な標準が必要

あらゆるものがネットを介してつながる
データ利活用により得られるメリットを活用
その前提として、データの標準化、プライバシー、データ所有権等あらかじめ横断的に定めておく必要がある
出典：ソフトバンク株式会社

出典：ソフトバンク株式会社

出典：農林水産省

12

ＩｏＴシステムにおけるセキュリティ
バイデザインの必要性• ボットネット「MIRAI」• 2016年10月21日、米DNS代行サービスへの大規模なDDoS攻撃• 多くのオンラインサービスが停止• 工場出荷時に設定された初期パスワードを使ってIoT機器にマルウェアを感染させる手口が目立っている• IoT機器が悪用される理由① 初期パスワードを使った侵入が容易である② 高速インターネットに24時間365日接続しているため、継続的に悪用できる③ 一般的に設置後の整備や保守が行われないため、問題が発覚しづらい• IoT機器は、2013年時点で約158億個あり、2020年までに約530億個まで増加すると予想されている• インターネット全体に影響を及ぼすような大規模なDDoS攻撃が発生する前に実効性のある対策に見直す必要があると言える

IoTシステムにおけるセキュリティバイデザインの普及が急務

13

３．行政としての取り組み

14サイバーセキュリティ戦略(平成27年９月４日閣議決定)の概要
１サイバー空間に係る認識サイバー空間︓「無限の価値を産むフロンティア」である人工空間

２目的

「自由、公正かつ安全なサイバー空間」を創出・発展

３基本原則①情報の自由な流通の確保②法の支配③開放性④自律性⑤多様な主体の連携

連接／融合⇒サイバー攻撃の社会的影響が年々拡大、脅威の更なる深刻化

４目的達成のための施策
経済社会の活力の向上及び持続的発展

費用から投資へ■安全なIoTシステム■企業経営層の意識改革■ビジネス環境の整備
横断的
施策
５推進体制

■研究開発の推進

国民が安全で安心して暮らせる
社会の実現

国際社会の平和・安定
我が国の安全保障

2020年・その後に向けた基盤形成

サイバー空間における積極的平和主義■我が国の安全確保■国民・社会■重要インフラ

の防護

■政府機関

■平和・安定■協力・連携■人材の育成・確保

官民等連携強化、オリンピック・パラリンピック東京大会等に向けた対応

15

安全なＩｏＴシステムのためのセキュリティに関する一般的枠組について
日本語
英 語

http://www.nisc.go.jp/active/kihon/pdf/iot_framework2016.pdf
http://www.nisc.go.jp/eng/pdf/iot_framework2016_eng.pdf○平成27年9月
サイバーセキュリティ戦略
閣議決定○平成28年6月２日
研究開発専門調査会(第4回)で審議○平成28年6月10日〜6月24日
国内外に対してパブコメ実施
国内外から16者68件の意見が提出、全25件修正
特に米国から肯定的な意見が多く寄せられた○平成28年8月26日「安全なIoTシステムのためのセキュリティに関する一般的
枠組」発行

16

安全なIoTシステムのためのセキュリティに関する一般的枠組み

情報セキュリティ ＋

セキュリティ・
バイ・デザイン安全（機密性・完全性・可用性）
分野固有の要求事項
自動車
分野

電力分野

農業分野

鉄道分野

医療分野

・・・・・・

個別分野の標準のテンプレート
今後明確化していくべき6つの要素a)定義・範囲c)確実な動作に必須な事項e)迅速な復旧b)安全性・機密性・完全性・可用性d)法律等からの要求事項
f)責任分界点、データの扱い方

17

米国商務省国家通信情報管理局によるＩｏＴの利益・課題・政府の役割についてパブリックコメント• 2016年4月6日• 「 IoTの進展を促進するための利益、課題及び政府に求められる役割に関するコメント要求」を告示し、2016年6月2日までの期間で意見を募集• 2016年8月2日• 寄せられた意見が公開される• 「安全なIoTシステムのためのセキュリティに関する一般的枠組について」の訴求内容と整合している。

 連邦政府は、IoTが広まっていく際に唯一国全体を把握できる立場であることを認識し、透明性を持って情報を共有し、産業界がIoT全体の広がりを理解できるようにすることでIoTの発展に寄与できる。
 ＩｏＴに関する最大の課題は、連邦政府がバラバラに推進していること。
 連邦政府がIoTへ取り組むには、まずIoTの定義を考慮すべきである。
 IoTの課題は、プライバシー、セキュリティ、透明性、知的財産権、継続性、選択権、救済制度の整備である。
 IoTのセキュリティは大きな課題であり、相互接続される性質上、脆弱性の影響は大きくなる。
 消費者がIoTに参加しないことを選択できるかどうかも重要な課題となる。
18

今後どうやって課題解決に向かっていくか現状認識• IoTブームに伴い、セキュリティ対策の事例集が多数策定されている• 情報系のセキュリティの延長線で作成されているものが主• 我が国の強みである「安全」や機能が提供する「品質の高さ」の確保と関連付けていく取り組みが必要• こうした取り組みを通じて、我が国の高い製品の品質を「セキュリティ」の局面においてもブランド価値として、国際競争力強化に活かし、
セキュリティ対策の強化を推進していく。
• この手段として、「安全なIoTシステムのためのセキュリティに関する
一般的枠組」を基礎として、多国間連携を行いつつ、最終的には国際標準化を目指す19

今後どうやって課題解決に向かっていくか
1. IoTセキュリティのフレームワークの国際標準化に向けた日本案の策定• 一般的枠組をベースにしつつ、国内で議論・調整を行い国際標準を目指す

2. フレームワークを各分野に適用するための関係者の理解促進やアクションプランの策定• IoTセキュリティのフレームワークをベースとした関係者への普及・啓発• 具体的なサービスインに向けた分野別の規格等の策定や、製品や事業に対する法令要求に適合するIoTセキュリティに関する基準策定の方向性検討を行っていく
産学官一体となってものづくり大国日本の強みを発揮させる

20

規格体系(素案)

一般的枠組みの範囲(新規策定)

設計、開発、運用に係る一般要求事項（基本原則）

IoTセキュリティに関する一般的枠組み

IoT及びそのセキュリティに関する用語の定義

用語の定義

IoT及びそのセキュリティ確保に向けた
レファレンスアーキテクチャ

IoTデータ利活用

・個人情報保護・権利関係
・流通円滑化
・…

分野別
の規格

自動車

鉄道

農業

医療

電力 ・・
・

IoT安全

・ハザード分析
・安全機能の実装
・リスク分析
・…

・・・
検討課題の
拡大に対応

SC27系規格群はすでに2,000以上存在
バラバラに対応している感が否めない

今後ますます拡大するIoTを的確に発展させていく
ためには、課題検討のよりどころとなる「メタ概念」、「用語の定義」といったConceptual Standardが不可欠

現に存在する規格群

ISO/9001,・・・ISO/IEC 27001 VS ISO 31000

21○検討体制(素案)
研究開発戦略専門調査会
ISO/IEC
関係国内委

安全なIoTシステム創出のためのセキュリティWG

連携（有識者、産業界、関係省庁等が出席し、方向性や提案を決めるWG）

事務局(官民連携)

学会
産業界

専門家会合

（各業界の代表、協力者による検討）

関係省庁調整会合
総括部会（分野横断的な全体調整）22【安全なIoTシステムのためのセキュリティに関する一般的枠組】（2016年8月 NISC）
個別分野の標準のテンプレート（基本原則、共通の要求事項）【基本思想】 セキュリティ・バイ・デザイン【明確化すべき要素】a)定義・範囲 b)安全性・機密性・完全性・可用性 c)確実な動作に必須事項 d)法律等からの要求事項 e)迅速な復旧 f)責任分界点・データの扱い方
代表的なアーキテクチャ・
セキュリティの
対策事例集

クラウド
事業者系

セキュリティ
ベンダー系

通信系

・・・

さまざまな分野がつながる中、共通言語で
サイバーセキュリティ対策を進めていくために不可欠。
（安全なIoTシステムのためのセキュリティ
に関する一般的枠組）
セキュリティに対する関心の重点が異なる
様々な関係者

分野固有の要求事項
自動車
分野

電力
分野

農業
分野

鉄道
分野

医療
分野

・・・

事業の考え方・内容、文化、用語が異なる
中で、個別に発展を遂げてきた各分野

上記体系でサイバーセキュリティ対策を進めるために今後必要な取組例【国際標準化に向けた取組】

米国等の主要国と連携し、ISOなどの国際標準への提案に向けた取組を検討。今後策定される各分野固有の国際基準等について、標準のテンプレートを踏まえたものにし、我が国の強みを国際標準に反映していく。

【日本国内の基準等への適用】

日本国内の様々な関係者が策定する基準やガイドラインについて、標準のテンプレートをベースとしたものとなるよう促し、展開を図ることで我が国のIoTシステムの国際競争力を高めていく。

23

４．安全なIoTシステムのためのセキュリティに関する一般的
枠組の解説

24

１．目的
• IoTシステムについては、モノが接続される→ Cyber Physical System• 新たに安全確保が重要• 将来、個々のシステムが相互に接続される• システム相互間の接続が新たな脆弱性となる懸念があることを踏まえ、セキュリティ・バイ・デザイン(Security by Design)の思想で設計、構築、運用されることが不可欠である。
• 早急にすべてのIoTシステムに係る設計、構築、運用に求められる事項を一般要求事項として明確化し、その上で、個々の分野の特性を踏まえた分野固有の要求事項を追装する２段階のアプローチが適切• 安全なIoTシステム(以下、「IoTシステム」という。) が具備すべき一般要求事項としてのセキュリティ要件の基本的要素を明らかにする
25

２．検討の視点• IoTシステムの集合体である“System of Systems (SoS)”• モノ同士がインターネットを介して接続されることにより新たな価値を創出• モノが接続されることから、安全性に対しても考慮する必要• 追加的な付加価値が創出される反面、一つのIoTシステムのリスクが他のIoTシステムに波及する可能性• 4つの要件を確保する
1.
2.
3.
4.

安全性(これがこれまでにない取り組み)
機密性
完全性
可用性

26

３．基本原則• モノには、既存の安全確保や性能に関する法令要求、慣例等が存在• IoTシステムに使用されるネットワークは、その維持・管理の主体、通信方式、ネットワーク
構成、接続範囲、品質等が多様であり、提供されるサービスの要求条件を満たす最適なネットワークを選択して使用されることが必要• 現状においては、モノ側とネットワーク側の双方において、それぞれに有する業態の環境や特性を相互に必ずしも熟知していない• 両者の接続によって所要の安全性や性能を満たさない、法令違反等になる懸念• ネットワーク側の環境が、モノ側のセキュリティ要件を変化させる可能性• 将来の運用も含めた安全確保をあらかじめ考慮しておく必要• ネットワーク側とモノ側が連携し、関係者間の相互理解及び相互信頼• ネットワークとモノを融合して新たな付加価値を産み出すため、官民の緊密な連携によりセキュアなIoTシステムを産み出す環境を整備する• モノ側とネットワーク側が一体となり、システム全体としてセキュリティ確保を図る• IoTシステムの設計・構築・運用• セキュリティを事前に考慮するセキュリティ・バイ・デザインを基本原則• 当該システムの稼働前に確認・検証できる仕組み• IoTシステムのセキュリティ確保のための要件の明確化

27

３．基本原則• 検討を要する事項
a. IoTシステムについて、範囲、対象を含めた定義を改めて明確にするとともに、IoTシステムが多岐にわたることから、リスクを踏まえたシステムの特性に基づく分類を行い、その結果に応じた対応を明確化する。
b. IoTシステムに係る情報の機密性、完全性及び可用性の確保並びにモノの動作に係る利用者等に対する安全確保に必要な要件を明確化する。
c. 機能保証の制定を含め、確実な動作の確保、障害発生時の迅速なサービス回復に必要な要件を明確化する。
d. その上で、接続されるモノ及び使用するネットワークに求められる安全確保水準(法令要求、
慣習要求)を明確化する。
e. 接続されるモノ及びネットワークの故障、サイバー攻撃等が発生しても機密性、完全性、可用性、安全性の各項目が確保されるとともに、障害発生時の迅速なサービス復旧を行うことを明確化する。
f. IoTシステムに関する責任分界点、情報の所有権に関する議論を含めたデータの取扱いの在り方を明確化する。
• なお、IoTシステム間の接続に係る要件等についても上記a)からf)の各項目が適用される。

28

４．取組方針
1. 要求事項の明確化•

関連する法令・規制要求事項等の明確化

2. IoTシステムのモデル化•

分析・検討を行う等適切なモデル化を行い、そのモデルを参照しながら、セキュリティ要件を議論していく。

3. リスクに応じた対応•

リスクアセスメントを適宜活用するもの

4. 性能要求と仕様要求の適切な適用•要求事項は、普遍的な性能要求とその時点で有効な手段の具体的方法を示す仕様要求の２つの要求から構成する。

5. 段階的・継続的アプローチ•

基本的な機能要件を定め、段階的・継続的にそれを進化させていく。

6. 役割分担及び連携した対処のあり方の明確化••

IoTシステムに関連する者の役割分担の明確化
各主体の連携・協調によるセキュリティ確保のあり方や各主体間の責任分界点の明確化

7. その他運用ルールの検討••

IoTシステムとの連携、データの利活用、個人情報保護の仕組み等
機器認証の在り方等

29

５．情報技術(IT) からの視点
運転技術(OT) からの視点

30

ＩＴとＯＴとの歩み寄りからＩｏＴが始まる• 情報技術（IT)と運転技術(OT)の融合• 米国でも日本でもITとOTは相性が悪い• 情報通信技術の目覚ましい進歩• 多機能化、省力化の必要性• 便利なITを上手にOTに使うことこそ時代の要請• NISCの安全なIoTの枠組み第3章柱書はこうした背景から記載• 異文化コミュニケーションの始まり• あらゆるモノが繋がる• 異文化を受け入れる寛容さが必要

31

SCIAを産業別に考える
セキュリティの要素

安全（Ｓ）

機密性（Ｃ）

完全性（Ｉ）

可用性（Ａ）

●

●

●

●

●

情報セキュリティ
モノづくり● 情報セキュリティ分野からのアプローチ
 安全性を強化する

 モノづくりからのアプローチ
 機密性を強化する

これまでの業種の強みを活かし、弱いところを補強し、相互に連携することが益々重要となってくる32

６．これまでの経験からのIoT
学生時代のICS研究→レガシープラント運転保守→新規プラント設計建設→原子力安全規制→電力安全規制→製品安全→サイバーセキュリティ

33

業務用プラントの運転、保守管理、
設計建設の経験から• 初任地の業務用プラントでのレガシーショック••••

大学で計測制御を専攻、コンピュータによる制御を志す
1985年初任地でハードワイヤードシーケンス（H/W)による業務用プラントに従事
レガシー過ぎて、現実を受け止められないショックを受ける
コンピュータ制御に実験しようと提案したら、「商売道具であることを理解しろ」と諭される• 現場の先生である父から受けた説得• 「世の中のほとんどがリレーシーケンス（H/W)であることを受け止めよ」• それ以降、プラントの運転、保守の経験を重ねるにつれ、過去の歴史から人間工学を踏まえた
信頼性重視設計であることを知る• PLCやデジタル制御導入のジレンマ• 1990年代コストカットで渋々シーケンサ(PLC)やLANを導入• マスコンからマウスオペレーションに切り替えの苦渋の決断••

運転員は反対するとの予想に反して、使い勝手が良いとの評判にショックを受ける
設計、建設したプラント3か所(特高変電所及び送電線、水力発電所、工業用水道プラント)• このころからITベンダがプラントの制御系に進出し、信頼性設計、安全性、運転知見を理解しようとしない強引さにショックを受ける・・結局信頼性低下によるトラブル頻発を経験• 重要部はH/W、コストカットはデジタル制御という記憶のまま、1991年プラント実務から去る34

原子力安全設計審査・検査での経験• 安全設計思想• 確率論的安全評価(リスク情報の活用)• 法令遵守、ルールベース• フェールセーフ• 機能別安全重要度区分• 信頼性• 冗長性(多重性、多様性、独立性)• Quality Assurance• ヒューマンファクター• サプライチェーンマネジメント、検査・検定制度• ホールドポイント＆リリース• Operation & Maintenance（O&M)
35

火力安全規制からの経験• 一つのルール(電気事業法)による多様な事業主体の共存• 火力の一般則• 問題があれば、止めて修理し、確認後運転するといった事業者の裁量が多い• その前提には、技術基準という統一的なルールの存在• 溶接検査• 原子力事業者、電力会社から自家発電まで電気事業法で共存• 法目的を達成するための方法を事業者の規模、性質によって区分するよう制度改正して、事業者の自主性を高めるインセンティブ規制に
制度変更• 同じ法の下でも、保安の方法のバリエーションを提供することで、円滑な運用を行うことができた

36

電気用品安全規制での経験• 1962年に制定されたルールを抜本的に改正• 高度成長期の追い付け追い越せの時代背景• ローテク品の大量生産には適した仕様規定を国が制定し、保証• 50年経過した2009年でもそのルールが変わらず、ハイテク品の新規開発には向いていない• 仕様規定から性能規定へ抜本改正• 2009年から検討を開始し、2013年に数百ページにわたる
技術基準を20条からなる性能規定に改正• 事業者の裁量により、新技術導入を容易にした• しかし、長年の政府保証に慣れた事業者には、自己責任で新たなチャレンジをすることが進まず、昔のように国が詳細仕様を定めたほうが良いという意見まで出てくる始末• 日本には米Apple型企業は生まれる風土はないと感じる37

製品安全サイドからのIoTに対する過去のアプローチ(2012‐13年度)
遠隔操作に対する技術基準の解釈の追加要望(平成25年3月8日電気用品調査委員会)
http://www.eam‐rc.jp/pdf/result/remote.pdf

 電気製品の遠隔操作は、過去に音声式
リモコンの誤動作から火災を起こし、国会審議(1972年3月8日衆議院)によって、原則禁止になった。
 昨今のモバイル通信の低価格化を踏まえ、遠隔操作の規制緩和を規制当局から業界へ提案(2012年2月15日)
 電気用品の遠隔操作に関する電安法
技術基準解釈の改正(2013年5月10日)
 製品安全に関する法令要求を踏まえた
IoTのアプローチの事例として紹介
 IoTにつながるモノ側からのアプローチの例は、モノによって異なると思われるが、手順は基本的に統一できるのではないかと思われる。
 なお、この事例では、機密性については十分考慮されていない。

38

遠隔操作の追加検討の必要性【旧来の遠隔操作】
赤外線リモコンなど機器が見える位置から操作【これからの遠隔操作】
インターネット回線を利用して、機器が見えない位置から操作

操作する人が電気用品の状況を直視できる。

操作する人が電気用品の状況を直視できない。

インターネットの普及による利便性要求への対応

この間のリスクについて検討

39

遠隔操作に関する技術基準改正の経緯（2012‐2013)【2012.2 技術動向を踏まえ全面禁止としている遠隔操作の限定解除を関係業界に提案】
A．遠隔操作機構の誤動作により危険が生じない用品
B．遠隔操作機構の誤動作が危険となる可能性がある電気用品
C．遠隔操作により人がいない状態で使用されると危険となる可能性がある電気用品【2012.5.10 業界回答】「エアコンを例にして、使用される状況によって危険性が変化することを考えると、製品毎の要求レベルを決めることはできない」などの回答。エアコンでさえ、危険となる可能性があるとの指摘。

当初、ＴＦ設置を呼びかけるもメンバー集まらない。

2012.9 大手メーカーは
スマホで遠隔操作可能な
エアコン発売のプレス発表。

2013.3.8 電気用品の固有の安全性、遠隔操作に伴うリスクを踏まえ、7項目の追加条件が必要として改正提案を発表（官民連携による20回以上にも及ぶＴＦ等実施）

関係課（情通課、情経課、電安課、製安課）及びメーカー6社等で対応を協議し、迅速な対応策を検討することとした。

2013.5.10 電安法技術基準の解釈改正。これを機にリスクを考慮した製品が市場に発売された

40

電気用品安全法での検討事項
室内外から家電製品を遠隔操作するため、安全確保を前提に、遠隔操作の範囲を次のように拡大するための検討を行った。

1. 遠隔操作可能な電気用品の明確化
遠隔操作を行っても危険の生じるおそれのない電気用品の考え方を明確にする。
2. 遠隔操作を行う場所の拡大
動作状況を操作者が直接確認できる範囲内から室内外からの遠隔操作へと拡大する。その際、動作状況が直接確認できない場所からの遠隔操作を安全、確実に行うため、所要の対策を講じる。
3. 遠隔操作に使用する通信方式の拡大
動作状況を操作者が直接確認できる範囲内の通信方式として、赤外線、電力線
搬送波、音声の3種類が規定されていたが、近年の技術の進歩に伴い各種通信方式を柔軟に採用できるように、室内外から安全、確実に遠隔操作するための通信方式に対する要求を明確にする。

41

電気用品安全法が求める“危険が生じるおそれがない”とは【技術基準の解釈（当時、省令）】

解釈別表第八 令別表第1第6号から第9号まで及び別表第2第7号から第11号までに掲げる交流用電気機械器具並びに携帯発電機
1 共通の事項(2) 構造イ 通常の使用状態において危険が生ずるおそれのないものであつて、形状が正しく、組立てが良好で、かつ、動作が円滑であること。
遠隔操作においては、次を満たすことにより、“危険が生じるおそれがない”と見なされる。
１．通常の使用状態（合理的に予見な可能誤使用を含む）において危険が生ずる
おそれがない。
２．動作が円滑である。

42

室内外から遠隔操作を行うために必要な安全確保対策Ⅰ【通常の使用状態において危険が生ずるおそれがない】【通常の使用状態において危険生ずるおそれがない】① 通信回線の故障に対して電気用品が安全な状態を維持すること使用者により公衆回線を含めた遠隔操作に使用する通信回線の品質確保を徹底できないため、電気用品の安全性が通信回線の一時的な途絶や故障にみだりに左右されないよう、電気用品自身で最終的な安全を確保することを基本とする。
なお、遠隔操作に使用する通信回線が故障し、復旧の見込みがない場合は、遠隔操作される電気用品の安全機能により安全な状態を確保する。
② 遠隔操作を行うことができる電気用品の判定方法の明確化
リスクアセスメント手法を活用し、遠隔操作に伴う使用及び予見可能な誤使用を踏まえて、遠隔操作可能な電気用品と不可能な電気用品に分類する。
③ 不意な動作の抑制対策を講じること
遠隔操作によって危険が生じないよう、不意な動作の抑制対策を施す。

43

室内外から遠隔操作を行うために必要な安全確保対策Ⅱ【動作が円滑である】④ 動作が確実であること
遠隔操作を行うコントローラーの操作が確実に行われるよう、所要の対策を講じる。
⑤ 使用する宅内通信回線において動作が円滑であること
スマートフォン等外部から操作を行う際、宅内通信が健全でなければ、外部からの操作が不可能であるため、使用する宅内通信は動作が円滑であるものとする。また、遠隔操作を
安全・確実に行うために、通信方式に対する要求を明確化する。
⑥ 公衆回線を利用する場合の安全対策が施されていること
スマートフォン等公衆回線を使用する場合においては、ビル内や地下などの圏外への移動、電池切れ、震災時の長期間にわたる通信障害の発生などを踏まえ、公衆回線の一時的途絶や故障によって電気用品の安全性に影響を与えないようにする。
⑦ 適切な誤操作防止対策が施されていること
スマートフォン等を遠隔操作に使用する場合、タッチパネル等の特性を考慮しつつ、様々な人が機器を操作することを前提に、人間工学やユニバーサルデザインを考慮した設計を行う。

44

１．通信回線の故障に対する安全状態の維持
安全状態を確保するとは、「IEC 60335‐1（家電機器の安全性通則）第5版22.49項」を参考に、通信回線故障時には直ちにもしくは一定時間後に「電源を切る」ことを基本とし、危険が生じることがない場合は「故障前の状態を維持」とする。

電気用品(エアコン、照明器具等)

遠隔操作
対象機器

モデム、ルーター等

スマートフォン、携帯電話等

通信
装置

宅内
(有線LAN、無線LAN等)

操作
端末

宅外
(携帯電話網、インターネット等)※ 照明器具などは、故障前の状態を維持しても危険がないものとされているが、エアコンは、施工上の問題も含めると事故例の多さから、通信回線故障時には「電源を切る」ものとしている。

45

２．遠隔操作を行うことができる電気用品の判定方法○クラスＡ 遠隔操作に伴う危険源の無いもの○クラスＢ 遠隔操作に伴い危険源が同定されるがリスクアセスメントによって、危険が生じるおそれのないと評価されるもの○クラスＣ 遠隔操作を行うことによって、危険が生じるおそれのあるもの、あるいは遠隔操作を意図していないもの

開始

危険源の同定は、最終的には事業者の責任において製品ごとに実施する使用および予見可能な
誤使用の明確化
遠隔操作に伴う危険源の同定

危険源は同定されたか？
はい
リスクの低減いいえ
クラスＡ• クラスＡ、クラスＢについては遠隔操作可能• クラスＣは遠隔操作不可能

リスクの見積リスクの評価いいえ

リスクアセスメントが解決の要許容可能なリスクに低減されたか？
はい
クラスＢ

46

３．不意な動作の抑制対策を講じること
遠隔操作は、特に操作者が機器の見えない位置から操作する場合に、機器の近くにいる人が危険な状態になることが考えられる。
このため、機器の近くにいる人が危険を感じた場合に対応できるよう、
次に示す遠隔操作における不意な動作の抑制対策を講じる。

1.
2.

手元操作は、遠隔操作よりも優先されること。
遠隔操作回線の切り離しができること。

47

４．動作が確実であること
1. 操作結果のフィードバック
動作状況を操作者が確認できない位置からの遠隔操作も対象とするため、直接確認可能な場合と同等の確実性を求めるには、操作結果が遠隔操作を行うコントローラーに
フィードバックされ、操作が失敗した場合、再操作が行われるものとする。
単方向の赤外線リモコンを遠隔操作に使用する場合など、通信にフィードバックがない場合

2. 動作保証及び使用者への注意喚起
 公表している赤外線リモコンの保証到達距離になるような位置に遠隔操作装置を設置し、確実に動作することを確認する。
 使用条件や設置条件により動作の確実性が保証されない場合もあることから、赤外線
リモコンと遠隔操作される電気用品の設置条件、設置時の動作確認、障害物による動作支障、リモコンの電池切れによる動作支障など、これらの付帯事項を取扱説明書等に
記載する。

48

５．使用する宅内通信回線において動作が円滑であること
1. 識別管理→ 関連付けされた遠隔操作機構以外からの遠隔操作は受け付けない。
2. 誤動作対策→ 外来ノイズなどにより正しい操作信号が伝送できず、誤動作しないような物理的、論理的な誤動作防止対策が施されている。（イミュニティ試験の実施）
3. 再接続機能(常時ペアリングが必要な通信方式に限る)→ ペアリングが切断された場合、自動的に再ペアリングを行う機能を有する。
①接続を確立②一時的な接続の途絶

遠隔操作
対象機器
③再接続を要求

無線
ルーター

操作
端末

④接続を回復再接続の例
通信不可時には、機器側から再接続の要求を送信(アプリケーション層)49

６．公衆回線を利用する場合の安全対策が施されていること

公衆回線の一時的途絶や故障によって電気用品の安全性に影響を与えないよう電気用品側で安全対策を講じる。
スマートフォン等を遠隔操作に使用することを想定している
スマートフォン等においては、ビル内や地下などの圏外への移動や電池切れや、震災時の長期間にわたる通信障害の発生などを踏まえ、公衆回線の一時的途絶や故障によって電気用品の安全性に影響を与えないよう電気用品側で設計上の配慮を行う。

50

７．適切な誤操作防止対策が施されていること○ユニバーサルデザインを考慮した操作設計
1. 不用意な操作を避けたい操作ボタンは、他の操作ボタンなどから離している。
2. 不用意な操作を避けたい操作ボタンに対し、ダブルアクションによる決定、
スクリーンロックによる誤操作防止機能が付いている。
3. 意図しない操作に対し、少ない手順で元の状態へ復帰するか、やり直しができる。
○通信機能を熟知していない使用者への配慮
4. 遠隔操作機能を不要と考えている人が、その機能の無効にする方法が分からず、
5. 知らない間に勝手に動作することなども考えられる場合は、出荷状態において、
6. 遠隔操作機能を無効にしておく。
○同時に外部の２か所以上から遠隔操作する場合の設計上の配慮
5. 同時に外部の２か所以上から遠隔操作する場合、相反する操作を抑制する対策を講じる。
→ 具体的には、ユーザーIDとパスワードを割り振る識別管理、操作者以外の操作を抑制する仕組みなどを基本とした対策をとる。

51

電気用品の遠隔操作の安全確保要件
検討のまとめ• 遠隔操作によって生じるリスクアセスメントと万一の対策を検討• 宅外からの遠隔操作は、遠隔操作を行っても危険が生じるおそれがない
電気用品とする。
• 遠隔操作を付加する場合、公衆回線の品質はメーカー・ユーザーともに管理
できないことを前提に、安全性、完全性、可用性の観点から7つの項目を追加• ポイントは以下の通り• 電気用品が有する固有の安全性を基本とする• 電気用品の近くにいる人が遠隔操作よりも優先して操作できるようにする• 人の意図通りの操作が行われたかどうかを操作者にフィードバックする• 通信手段が途絶え一定期間以上経過したら、安全な状態に遷移する• 消費者に対して、遠隔操作機能付加による「メリット」とともに、「デメリット」について、正しい使用方法の説明、使用上の注意も併せて強化

52

７．おわりに53

ＩｏＴの爆発的な流行の前に標準化• 過去の歴史から学ぶ• 萌芽期の「使えればよい」というまま、将来を考えずに発展させると、ある時点で後戻りできなくなり、発展性にも、経済的にも支障をきたすという知見の反映• 将来を見据えたIoTの標準化を図ることができる時期は今しかない• 設計思想、信頼性が異なる様々なものがつながっていく• つながるモノの性質を踏まえて、つなげることのベネフィットとリスクを勘案して、どうつなげるべきか、どうリスクを分散させるかを考える• 異文化コミュニケーション、相互信頼、協働、協業が重要• データの相互利用の円滑化の前提• あらかじめ、責任分界点、データの標準化、プライバシー等を検討することが大前提
54

内閣サイバーセキュリティセンター

ご清聴ありがとうございました
55