修士論文発表会

計量機器のリモート更新機能実装に向けた関連法規制と国際規格に対するソフトウェア要件の提案
2020年2月22日
情報セキュリティ大学院大学 博士課程前期2年
後藤研究室 関本 泰之（学籍番号 ５５８５５０３）
1

本研究の成果
 課題
計量機器における業務効率化とセキュリティ保全の両立

 提案
リモート更新機能実装による計量機器業界の技術革新の推進

 成果
1. 計量機器におけるリモート更新可能なシステム構築に必要なソフトウェア要件リストと構成の提示
2. 国内法規制（計量法／JIS）と国際規格・ガイドラインへの提言 アプローチ
モデルケースの定義

修士論文発表会

必要要件
のリスト化

関連法規制

不足分に対し要件リストと

国際規格

追加要件

システム構成

の調査

の作成

の提案

2

目次
１．研究概要２．脅威分析と実運用上の必要要件
３．計量機器に関する法規制と国際規格
４．ソフトウェア要件リストの提案
５．まとめと外部発表
修士論文発表会

3１．研究概要
２．脅威分析と実運用上の必要要件
３．計量機器に関する法規制と国際規格
４．ソフトウェア要件リストの提案
５．まとめと外部発表
修士論文発表会

4

研究の背景現状の課題
機器メーカーにおいて、販売後の機器に対するメンテナンスは
多くの時間とコストを要す。本研究ではソフトウェアの観点から、効率化を目指した実用的なシステム構築を目指し、その際に必要なソフトウェア要件について考察する。

機器のメンテナンス性を向上させるための安全で実用的なシステムを構築したい 課題に対する提案「リモートメンテナンス可能なシステムの構築」

機器のプログラム更新を遠隔地からリモートでおこなうことにより、設置場所に関わらず迅速な対応が可能になる。（リモート更新） 5
修士論文発表会

モデルケースの定義
 機器
ガソリン給油機（水以外の液体を対象とする特定計量機器）

 システム区分
組み込みソフトウェア搭載（RTOSベース）の専用設計機器

 追加機能リモート更新を実現するため、現状ではローカルな環境でのみ通信している機器を、オープンなネットワーク接続に対応して遠隔地との通信を可能にする。
ネットワーク境界あり

修士論文発表会

ネットワーク境界なし

6

研究概要と成果のまとめ
モデルケースの作成
リモート更新機能実装に必要な要件リストの作成

法規制
国際規格

＋

システム要件（セキュリティ）

＋

実運用上
の要件

リモート更新可能なシステム構築案とソフトウェア要件を提示
国内法規制（計量法／JIS）と国際規格・ガイドラインへの提言
修士論文発表会

7１．研究概要
２．脅威分析と実運用上の必要要件
３．計量機器に関する法規制と国際規格
４．ソフトウェア要件リストの提案
５．まとめと外部発表
修士論文発表会8

対象分類とセキュリティ保護
ローカルな環境で使用されている機器をオープンなネットワークに接続することによって新たに発生しうる脅威に対する保護を分析。

機器本体

ネットワーク経路

データサーバ データサーバに対する保護
通常のネットワークサーバ（クラウドサーバ）と同等のセキュリティを適用する。
ただし、機器側のリソースの少なさを考慮して、軽量な認証方法を推奨する。

 ネットワーク経路に対する保護
一般的なネットワークと同等のセキュリティを適用する。
ただし、機器側のリソースの少なさを考慮して、軽量な暗号化方法を推奨する。

 機器本体に対する保護
機器本体の構成規模に応じた、また用途に応じたセキュリティが必要。

特有の要件が多い「機器本体に対する保護」について検討する。

修士論文発表会9計量機器本体に対する脅威分析
DoS攻撃

外部通信

なりすまし
送受信処理の脆弱性を利用したメモリ破壊
データ保護のための封印破壊
回路パターンの解析、実装ICの不正交換

脅威

物理的な破壊・改ざん

不正な機器の中継、ぶらさがり
ノイズや電源グリッチの挿入
温度変化による誤作動誘発
デバック用JTAG端子からの不正アクセス

データの改ざん

不正操作
修士論文発表会

プログラムデータの改ざん
機器動作にかかわるシステムデータの改ざん
登録権限奪取による不正値入力
イレギュラーな操作による誤動作誘発
10実運用上の要素
現在の作業を置き換えた場合 （例：プログラム更新時の作業）＜現在の作業＞①客先にアポを取る②作業員が現地に行く③機器の使用停止（レーン封鎖）④機器の鍵を開ける⑤書き込み機器を接続する⑥更新の実施⑦更新後の動作確認⑧機器の使用開始（封鎖解除）⑨点検記録に記載
修士論文発表会＜想定される要素＞⇒ スケジューリング
⇒ アクセス経路の確認⇒ 機器稼働状態の明示⇒ 更新作業者の認証⇒ 更新元の認証⇒ 更新データの検証⇒ 更新後の自己診断⇒ 機器稼働状態の明示⇒ ログの記録・通知
11

必要とする要件リストのまとめ
脅威／運用

保護策／要件「外部通信」による攻撃
DoS攻撃

なりすまし
送受信処理の脆弱性を利用したメモリ破壊「物理的な破壊・改ざん」による攻撃
データ保護のための封印破壊

通信ポートの開閉制御
通信制御処理による受信データ制限
データサーバの認証
通信の暗号化
送受信処理の対策強化

ノイズや電源グリッチの挿入、温度変化による誤作動誘発

電子封印システム
基板のコーティング
実装ICのSOP化
機器間のデータチェック
通信の暗号化
ノイズ対策
ソフトウェアによる誤動作防止の対策強化

デバック用JTAG端子からの不正アクセス

デバック用JATG端子のパターンおよび端子を削除

回路パターンの解析、実装ICの不正交換
不正な機器の中継、ぶらさがり「受信および内部データの改ざん」による攻撃

プログラムデータの改ざん

内部データの改ざん（機器動作にかかわるシステムデータ）

プログラムデータの信頼性確認
データの完全性確認
チェックサムアップデート・監査ログ
Root of Trust／Chain of Trust
内部データのアクセス保護
データの完全性確認
チェックサム変更・監査ログ
TSIP／Trust Zone

「不正操作」による攻撃
登録権限の奪取による不正値入力（特に機器のコアデータ）

権限の厳格管理
操作者の限定コアデータのアクセス保護

イレギュラーな操作による誤動作誘発

標準的な入出力に対する誤動作防止の対策強化

実運用上で求められる要件（不足分）

機器側の追加機能

スケジューリングアクセス経路の選択
機器稼働状態の明示

システム間の認証

更新作業者の認証（データサーバ側の権限）システム構築の前提条件

修士論文発表会

12

１．研究概要
２．脅威分析と実運用上の必要要件
３．計量機器に関する法規制と国際規格
４．ソフトウェア要件リストの提案
５．まとめと外部発表
修士論文発表会

13

ソフトウェアに対する規格
国内においては「計量法／JIS※」が挙げられるが、ソフトウェアに関する項目およびセキュリティ面での定義は少ない。
（※ 計量法ではJIS規格と整合性を図るために、技術基準についてJIS引用をおこなっている。）

そこで、JIS規格の策定においてベースとなっているＯＩＭＬ（国際法
定計量機関:International Organization of Legal Metrology) が発行する国際文書、および欧州規格であるＷＥＬＭＥＣ（欧州法定計量協力機構:Western European Legal Metrology Cooperation）が発行するガイドラインからソフトウェアに関する規格を調査する。
☆ソフトウェアに関する法定計量規格
規格名称

種別

対象機器区分JIS B 7611-2

国内JIS規格

非自動計量機器

記載なし

OIML D31

国際文書

全て

項目5.2.6保守と再構成

WELMEC 2.3

欧州ガイドライン

非自動計量機器

ANNEXⅡWELMEC 7.2

欧州ガイドライン

自動計量機器Extension D

修士論文発表会

リモート更新要件の記載

14

１．研究概要
２．脅威分析と実運用上の必要要件
３．計量機器に関する法規制と国際規格
４．ソフトウェア要件リストの提案
５．まとめと外部発表
修士論文発表会15

要件比較と不足分の明確化
脅威／運用「外部通信」による攻撃
DoS攻撃

なりすまし

保護策／要件JIS B7611-2

OIML D31

WELMEC 2.3

WELMEC 7.2

通信ポートの開閉制御
通信制御処理による受信データ制限
データサーバの認証
通信の暗号化××××

ANNEXⅡ 3.2g
ANNEXⅡ 3.2e
×
×

×
P4
×
P8,T5,D1

送受信処理の対策強化

××
5.2.1.1.b①
×5.2.3.3
5.1.3.2.b
5.2.1.1.b①

ANNEXⅡ 3.2e

P4

電子封印システム
基板のコーティング
実装ICのSOP化
機器間のデータチェック
通信の暗号化
ノイズ対策
誤動作防止の対策強化
デバック用JATG端子のパターン削除

×
×
×
G3.4
×
×
×
×

5.1.3.2.d
×
5.1.3.2.a①
5.1.3.2.a②
5.1.3.2.a②
×××

ANNEXⅡ 3.3a
×
×
×
×
×
×
×

L5
P6
P6
P8
P8
P5,L2
P5,L2
×

プログラムデータの信頼性確認
データの完全性確認
チェックサムアップデート・監査ログ
Root of Trust／Chain of Trust
内部データのアクセス保護
データの完全性確認
チェックサム××
G2.2.2××
×
×
G2.2.3

ANNEXⅡ B)B2, 3.3a
ANNEXⅡ B)B2, 3.3b
3.1③,3.3①
ANNEXⅡ B)B3,3.3d
×××
3.1③,3.3①

D2
D3
P5
D4
×
P7
L3
P5,L2

変更・監査ログ

G2.2.3

3.1③

P7

×

×

該当のない７項目に対して、補うための追加要件

送受信処理の脆弱性を利用したメモリ破壊「物理的な破壊・改ざん」による攻撃
データ保護のための封印破壊

追加要件1：「通信先（データサーバー）の認証」

回路パターンの解析、実装ICの不正交換
不正な機器の中継、ぶらさがり

追加要件2：「ハードウェア保護（JTAG端子ほか）」

ノイズや電源グリッチの挿入、温度変化による誤作動誘発
デバック用JTAG端子からの不正アクセス「受信および内部データの改ざん」による攻撃

追加要件3：「ブートプロセス（セキュアブート）」

TSIP／Trust Zone

×5.1.4.1
5.2.3.2
5.1.4.1
5.2.6.3.e
×
5.1.3.2.c
5.2.3.2
5.1.4.1
5.2.3.2
5.2.6.4
×

権限の厳格管理
操作者の限定コアデータのアクセス保護
誤動作防止の対策強化

×
×
×
×

5.1.3.2.d③
5.1.3.2.d③
×5.1.3.1

×
×
×
×

×
×
×
P3,P5

機器側の追加機能

スケジューリングアクセス経路の選択
機器稼働状態の明示

×
×
×

×
×
×

×
ANNEXⅡ3.2h
×

×
×
×

システム間の認証
修士論文発表会

更新作業者の認証

××

ANNEXⅡB)B4

×

追加要件4：「メモリ保護（セキュアIC）」

プログラムデータの改ざん

追加要件5：「コアデータのアクセス保護」

内部データの改ざん（機器動作にかかわるシステムデータ）

追加要件6：「スケジューリング」「不正操作」による攻撃

登録権限の奪取による不正値入力（特に機器のコアデータ）

追加要件7：「機器稼働状態の明示」

イレギュラーな操作による誤動作誘発
実運用上で求められる要件（不足分）
システム構築の前提条件

16追加するソフトウェア要件の作成
７つの追加要件に対し「目的」、「要件」、「技術的解決案」を提示
追加要件
１

通信先（データ
サーバー）の認証

例）

目的
ソフトウェアダウンロード
実施時に正規データ
サーバ以外と接続を確立させない。

要件
ソフトウェアダウンロード実施時にはアクセス先（データサーバ）の認証処理を実施する。

技術的解決案
ソフトウェアダウンロード実施時のアクセス先確認で認証処理をおこなうことによって正規データサーバ以外と接続を確立させないことが必要となる。例
えば電子署名を利用したデータサーバとの相互認証や一般的なIDとパスワードを使用したログイン認証方式などをおこなうことで実現可能である。

機器のハードウェアからは、不要なアクセス経路を削除すべき。

機器の不必要な物理的アクセス経路を削除することが必要となる。代表的な例としてはJTAG端子とよばれるエミュレータ接続端子が挙げられる。本来はソフトウェア開発時や製品の内部メモリ状態を参照するためのアクセス経路になるが、機器販売後の通常稼働時には使用されない。このアクセス経路を物理的に削除しておくことでハードウェアの保護を実現可能である。

機器のソフトウェア全体の信頼性および完全性を確保する。

機器は電源ON時のプログラムの起点となるブートから信頼性および完全性のチェックを含めた各ソフト
ウェアモジュール起動を実施する。

Root of TrustやChain of Trustの手法を用いることで実現可能である。組み込み機器のようなハードウェアリソースが少ない構成においても、例えばIAR社が提供するセキュリティ機能Embedded Trust [9]のようなセキュリティ
ツールを利用することで実現可能である。Root of TrustおよびChain ofTrustの仕組みについては本論文付録Ⅰ.3「NIST SP800-193の調査」の項目で述べている。

重要なパラメータや鍵情報などを通常のアクセス
経路から保護する。

機器は重要なパラメータや鍵情報に対するアクセスに保護を実装すること。

Renesas社製TSIP [1]やARM社製Trust Zone [2]に代表されるようなセキュ
アICを利用することでメモリ保護を容易に実現できるほか、メモリへのアクセ
ス処理に独自の暗号化や認証を追加する方法でも実現可能である。

ユーザーインタフェースを利用した登録作業やパラメータ変更からのコ
アデータ保護。

登録作業やパラメータ変更に対して、厳格なアクセス
権限管理を実施すること。

機器内のパラメータやデータの重要度合いをレベル分けし、機器の動作にかかわる重要データを変更する際には特別な権限管理を必要とするように設計することで実現可能である。特別な権限管理の例としては、ワンタイム
パスワードやIC認証などが挙げられる。

機器の稼働状況に応じたソフトウェアダウン
ロードの実施スケー
ジュールを指定する。

機器におけるソフトウェアダウンロード可能な日時等をスケジューリングできる機能を実装する。これは外部からのソフトウェアダウンロード実施要求（リモート更新）に対しても有効な機能であること。
注：ただし、本要件はソフトウェアのダウンロード実施
中に機器の動作が停止する場合にのみ適用する。

機器の内部にソフトウェアダウンロード可能なタイミングに関するデータを保持する領域を設け、機器の使用状況に応じて任意に設定可能なパラメータとして保存することで実現可能である。このデータは重要なデータとして扱い、追加要件5「コアデータのアクセス保護」の適用を受けるものとする。

機器が通常稼働中であるか、ソフトウェアダウン
ロード実施時であるかを第三者が外見上で判断することできる。

作業者もしくは使用者の立ち合いがない状態でのソフ
トウェアのダウンロード実施時には、外見上で機器が稼働を停止していることを判断できるようにする。
注：ただし、本要件はソフトウェアのダウンロード実施
中に機器の動作が停止する場合にのみ適用する。

機器に実装された表示もしくはインジケータなどにより外見上で機器が稼働を停止していることを判断できるようにすることで実現可能である。ただし、通常稼働時の表示と混同されないような明確な違いを設けることが必要である。

電気回路やICを含む
ハードウェアの物理的ア
クセス経路からの不正防止。

追加要件４：「メモリ保護（セキュアＩＣ）」
重要なパラメータや鍵情報などを通常のアクセス経目的
ブートプロセス路から保護する。
３ （セキュアブート）
機器は重要なパラメータや鍵情報に対するアクセス要件
メモリ保護
４ （セキュアIC）に保護を実装すること。
Renesas社製TSIP [1]やARM社製Trust Zone [2]にコアデータの５ アクセス保護代表されるようなセキュア IC を利用することでメモリ技術的保護を容易に実現できるほか、メモリへのアクセス処
６ スケジューリング
解決案
理に独自の暗号化や認証を追加する方法でも実現可能である。
機器稼働状態の２

７

ハードウェア保護（JTAG端子他）

明示

修士論文発表会

17

ソフトウェア要件リストの提示（抜粋）１．３ ソフトウェア保護[JIS B7611-2G]： 要件G2.2参照
非自動計量機器に対する要件も参照[OIML D31 ]： 要件5.1.3参照[WELMEC 2.3 ]： 要件3.1参照
１．３．１ 誤操作防止[OIML D31 ]： 要件5.1.3.1参照[WELMEC 7.2 ]： 要件P5参照
１．３．２ メモリ保護[OIML D31 ]： 要件5.1.3.2.a参照[WELMEC 7.2 ]： 要件P6参照
１．３．３ 固有パラメータの保護[OIML D31 ]： 要件5.1.3.2.c参照
ソフトウェア要件の参照例[WELMEC 7.2 ]： 要件P7参照
１．３．４ 封印によるソフトウェア保護
ソフトウェア要件の追記例[OIML D31 ]： 要件5.1.3.2.d参照
１．３．５ ブートプロセス（セキュアブート）
目的：機器のソフトウェア全体の信頼性および完全性を確保する。
要件：機器は電源ON時のプログラムの起点となるブートから信頼性および完全性のチェックを含めた各ソフトウェアモジュール起動を実施する。
技術的解決案：
Root of TrustやChain of Trustの手法を用いることで実現可能である。組み込み機器のようなハード
ウェアリソースが少ない構成においても、例えばIAR社が提供するセキュリティ機能Embedded Trustのようなセキュリティツールを利用することで実現可能である。
仕組みについては本論文付録Ⅰ.3「NIST SP800-193の調査」で述べる。
18
修士論文発表会

要件リスト（関本案）の構成
１．一般要件
１．１ ソフトウェア識別
１．２ アルゴリズムと機能の正しさ
１．３ ソフトウェア保護

２．３ ソフトウェアダウンロード

１．４ ユーザーインタフェース

２．３．１ 法定計量ソフトウェア
２．３．２ ソフトウェア更新
２．３．２．１ 立ち合い者あり
２．３．２．２ 立ち合い者なし① スケジューリング
② 機器稼働状態の明示
２．３．３ 装置固有パラメータの設定
２．３．４ 法定計量に関連するソフトウェア範囲
２．３．５ データサーバーの認証

１．４．１ コアデータのアクセス保護

２．４ データの保存

１．５ ハードウェア機能の支援

２．４．１ 保存すべき情報
２．４．２ 暗号化
２．４．３ 自動保存
２．４．４ 時刻刻印
２．４．５ 外部要因からの保護
２．４．６ 記憶容量と持続性
２．４．７ メモリ保護（セキュアＩＣ）

１．３．１ 誤操作防止
１．３．２ メモリ保護
１．３．３ 固有パラメータの保護
１．３．４ 封印によるソフトウェア保護
１．３．５ ブートプロセス（セキュアブート）

１．５．１ 故障の検出
１．５．２ 耐久性の検出１．５．３ ハードウェア保護（ＪＴＡＧ端子ほか）

１．６ 測定データの提示
２．機能別要件
２．１ ソフトウェアの分離
２．１．１ 電子装置の部品装置の分離
２．１．２ ソフトウェア部分の分離

２．２ 表示の共有※青文字の項目が新規で追加した要件
修士論文発表会

２．５ 外部インタフェース
２．５．１ インタフェースの保護
２．５．２ 通信暗号化
２．５．３ データの保証（信頼性、完全性）
２．５．４ 外部要因からの保護
２．５．５ 破損したデータの取り扱い
２．５．６ 転送遅延
２．５．７ 転送中断

19

要件を満たすシステム構成案
必要最小限の構成を図示すると以下のとおり
制御ボード（組み込みシステム／専用設計）
非法定計量
ソフトウェア

法定計量ソフトウェア
計量にかかわるソフトウェア
更新にかかわるソフトウェア
・制御（ダウンロードマネージャ）
・信頼性確認（チェック機能）・完全性確認（チェック機能）
・監査証跡（イベントロガー）
機器の使用者による明示的な同意入力機構

保護ソフト
インタフェース
法定関連パラメータ
機器固有
タイプ固有
較正値 など動作優先度：低動作優先度：高共通の表示器
修士論文発表会

20

１．研究概要
２．脅威分析と実運用上の必要要件
３．計量機器に関する法規制と国際規格
４．ソフトウェア要件リストの提案
５．まとめと外部発表
修士論文発表会

21研究成果のまとめ
計量機器における実運用を考慮したリモート更新可能なシステム構築に必要なソフトウェア要件リストを作成するにあたり、下記3点について保護策を調査・検討した。
 自動計量機器に対する法規制、国際規格
 非自動計量機器に対する法規制、国際規格
 要件の不足分に対する新規ソフトウェア要件案の作成
研究成果として、計量機器に関するソフトウェア要件をすべて盛り込んだソフトウェア要件リストの作成と、リモート更新機能を実装するシステム構築に必要な構成を提示した。
本研究成果は、現状ではOIMLの国際勧告に準拠することでカバ
ーされている国内法規制（計量法／JIS規格）および国際規格やガイドラインに対してソフトウェア要件・認証の策定や改定をおこ
なう際の議論に貢献できると考える。
修士論文発表会22

国内法規制および国際規格・ガイドラインへの提言
現在の法規制、国際規格・ガイドラインに本研究成果を適用する場合の残課題
 ソフトウェア分離に関して前提条件を明確にすること
現場の立ち合いが不要なリモート更新機能を実現するためにはソフトウェアの分離が必要条件となる。しかし、分離の前提条件となる法定関連部分と非法定関連部分の切り分けが不明瞭である。

 統一的な保護範囲を対象とした要件記述にすること
本研究で調査対象とした国内法規制および国際規格・ガイドラインにおいて、対象とするシステム（機器）の分類によって、ソフトウェア要件で定める保護範囲が異なる傾向がみられる。

今後のソフトウェア要件・認証の策定や改定によって、ソフトウェ
ア分離に関する明確な基準、また統一された保護範囲に対する要件が提示されることが望ましい。
修士論文発表会

23

外部発表（予定） 情報処理学会 第82回全国大会
2020年3月5日（木）～７日（土）金沢工業大学 扇が丘キャンパス
https://www.ipsj.or.jp/event/taikai/82/
公演区分：学生セッション
公演番号：２J-03
公演日時：2020年3月5日（木） 13:10～15:10

修士論文発表会

24

ご清聴ありがとうございました。

修士論文発表会25

要件比較と不足分の明確化
脅威／運用「外部通信」による攻撃
DoS攻撃

なりすまし
送受信処理の脆弱性を利用したメモリ破壊「物理的な破壊・改ざん」による攻撃
データ保護のための封印破壊
回路パターンの解析、実装ICの不正交換
不正な機器の中継、ぶらさがり
ノイズや電源グリッチの挿入、温度変化による誤作動誘発
デバック用JTAG端子からの不正アクセス「受信および内部データの改ざん」による攻撃

印刷用参考ページ

保護策／要件JIS B7611-2

OIML D31

WELMEC 2.3

WELMEC 7.2

通信ポートの開閉制御
通信制御処理による受信データ制限
データサーバの認証
通信の暗号化××××

ANNEXⅡ 3.2g
ANNEXⅡ 3.2e
×
×

×
P4
×
P8,T5,D1

送受信処理の対策強化

××
5.2.1.1.b①
×5.2.3.3
5.1.3.2.b
5.2.1.1.b①

ANNEXⅡ 3.2e

P4

電子封印システム
基板のコーティング
実装ICのSOP化
機器間のデータチェック
通信の暗号化
ノイズ対策
誤動作防止の対策強化
デバック用JATG端子のパターン削除

×
×
×
G3.4
×
×
×
×

5.1.3.2.d
×
5.1.3.2.a①
5.1.3.2.a②
5.1.3.2.a②
×××

ANNEXⅡ 3.3a
×
×
×
×
×
×
×

L5
P6
P6
P8
P8
P5,L2
P5,L2
×

プログラムデータの信頼性確認
データの完全性確認
チェックサムアップデート・監査ログ
Root of Trust／Chain of Trust
内部データのアクセス保護
データの完全性確認
チェックサム××
G2.2.2××
×
×
G2.2.3

ANNEXⅡ B)B2, 3.3a
ANNEXⅡ B)B2, 3.3b
3.1③,3.3①
ANNEXⅡ B)B3,3.3d
×××
3.1③,3.3①

D2
D3
P5
D4
×
P7
L3
P5,L2

変更・監査ログ

G2.2.3

3.1③

P7

×

×

TSIP／Trust Zone

×5.1.4.1
5.2.3.2
5.1.4.1
5.2.6.3.e
×
5.1.3.2.c
5.2.3.2
5.1.4.1
5.2.3.2
5.2.6.4
×

権限の厳格管理
操作者の限定コアデータのアクセス保護
誤動作防止の対策強化

×
×
×
×

5.1.3.2.d③
5.1.3.2.d③
×5.1.3.1

×
×
×
×

×
×
×
P3,P5

機器側の追加機能

スケジューリングアクセス経路の選択
機器稼働状態の明示

×
×
×

×
×
×

×
ANNEXⅡ3.2h
×

×
×
×

システム間の認証
修士論文発表会

更新作業者の認証

××

ANNEXⅡB)B4

×プログラムデータの改ざん

内部データの改ざん（機器動作にかかわるシステムデータ）「不正操作」による攻撃
登録権限の奪取による不正値入力（特に機器のコアデータ）
イレギュラーな操作による誤動作誘発
実運用上で求められる要件（不足分）
システム構築の前提条件

16追加するソフトウェア要件の作成

印刷用参考ページ

７つの追加要件に対し「目的」、「要件」、「技術的解決案」を提示
追加要件
１
２

目的

通信先（データ
サーバー）の認証

ソフトウェアダウンロード
実施時に正規データ
サーバ以外と接続を確立させない。

ハードウェア保護（JTAG端子他）

電気回路やICを含む
ハードウェアの物理的ア
クセス経路からの不正防止。

要件

技術的解決案

ソフトウェアダウンロード実施時にはアクセス先（データサーバ）の認証処理を実施する。

ソフトウェアダウンロード実施時のアクセス先確認で認証処理をおこなうことによって正規データサーバ以外と接続を確立させないことが必要となる。例
えば電子署名を利用したデータサーバとの相互認証や一般的なIDとパスワードを使用したログイン認証方式などをおこなうことで実現可能である。

機器のハードウェアからは、不要なアクセス経路を削除すべき。

機器の不必要な物理的アクセス経路を削除することが必要となる。代表的な例としてはJTAG端子とよばれるエミュレータ接続端子が挙げられる。本来はソフトウェア開発時や製品の内部メモリ状態を参照するためのアクセス経路になるが、機器販売後の通常稼働時には使用されない。このアクセス経路を物理的に削除しておくことでハードウェアの保護を実現可能である。

３

ブートプロセス（セキュアブート）

機器のソフトウェア全体の信頼性および完全性を確保する。

機器は電源ON時のプログラムの起点となるブートから信頼性および完全性のチェックを含めた各ソフト
ウェアモジュール起動を実施する。

Root of TrustやChain of Trustの手法を用いることで実現可能である。組み込み機器のようなハードウェアリソースが少ない構成においても、例えばIAR社が提供するセキュリティ機能Embedded Trust [9]のようなセキュリティ
ツールを利用することで実現可能である。Root of TrustおよびChain ofTrustの仕組みについては本論文付録Ⅰ.3「NIST SP800-193の調査」の項目で述べている。

４

メモリ保護（セキュアIC）

重要なパラメータや鍵情報などを通常のアクセス
経路から保護する。

機器は重要なパラメータや鍵情報に対するアクセスに保護を実装すること。

Renesas社製TSIP [1]やARM社製Trust Zone [2]に代表されるようなセキュ
アICを利用することでメモリ保護を容易に実現できるほか、メモリへのアクセ
ス処理に独自の暗号化や認証を追加する方法でも実現可能である。

５

コアデータのアクセス保護

ユーザーインタフェースを利用した登録作業やパラメータ変更からのコ
アデータ保護。

登録作業やパラメータ変更に対して、厳格なアクセス
権限管理を実施すること。

機器内のパラメータやデータの重要度合いをレベル分けし、機器の動作にかかわる重要データを変更する際には特別な権限管理を必要とするように設計することで実現可能である。特別な権限管理の例としては、ワンタイム
パスワードやIC認証などが挙げられる。

６

スケジューリング

機器の稼働状況に応じたソフトウェアダウン
ロードの実施スケー
ジュールを指定する。

機器におけるソフトウェアダウンロード可能な日時等をスケジューリングできる機能を実装する。これは外部からのソフトウェアダウンロード実施要求（リモート更新）に対しても有効な機能であること。
注：ただし、本要件はソフトウェアのダウンロード実施
中に機器の動作が停止する場合にのみ適用する。

機器の内部にソフトウェアダウンロード可能なタイミングに関するデータを保持する領域を設け、機器の使用状況に応じて任意に設定可能なパラメータとして保存することで実現可能である。このデータは重要なデータとして扱い、追加要件5「コアデータのアクセス保護」の適用を受けるものとする。

７

機器稼働状態の明示

機器が通常稼働中であるか、ソフトウェアダウン
ロード実施時であるかを第三者が外見上で判断することできる。

作業者もしくは使用者の立ち合いがない状態でのソフ
トウェアのダウンロード実施時には、外見上で機器が稼働を停止していることを判断できるようにする。
注：ただし、本要件はソフトウェアのダウンロード実施
中に機器の動作が停止する場合にのみ適用する。

機器に実装された表示もしくはインジケータなどにより外見上で機器が稼働を停止していることを判断できるようにすることで実現可能である。ただし、通常稼働時の表示と混同されないような明確な違いを設けることが必要である。

修士論文発表会

17