JP7732921B2 - 動作検証システム及び動作検証方法 - Google Patents

Description

本発明は、動作検証システム及び動作検証方法に関するものである。

プラント、工場や自動車などの制御システムについて、当該制御システムの一部または全体（プラント設備を含む場合もある）を仮想環境内に再現し、仮想的に動作させて検証する、いわゆるデジタルツインと呼ばれる技術が存在する。

このデジタルツインは仮想環境内の存在であるため、再現の難しい状況や現実のプラントでは好ましくない（不具合が起きるなど）影響が予想される状況での動作を検証するケースや、条件を変えながら何度も同じ状況を試行するケースなど、現実のシステムでは実行自体が難しい検証にも用いることができる。

このような検証が望まれる分野としては、安全性や効率性のほか、２０１０年代から注目され始めた制御システムのセキュリティが考えられる。

制御動作の検証であれば、ＰＬＣ（Programmable Logic Controller）やＤＣＳ（Distributed Control System）のような制御装置の内部構造までを、仮想環境内に再現する必
要はない。しかし、例えば制御システムに対するサイバー攻撃の影響や、そのような攻撃への対策の効果を評価する場合、制御装置内部で動作するソフトウェアやハードウェア、さらにはその脆弱性も含めたレベルで動作させることが望ましい場面が存在しうる。

こうした検証に関連する従来技術としては、汎用のコンピュータ上で実際のプラント監視制御システムと同等の機能を実現する仮想プラント監視制御装置（特許文献１参照）などが提案されている。

この仮想プラント監視制御装置は、プラントに設置された被制御機器に対して制御を行うための入力操作の内容を出力すると共に、入力されたデータをグラフィカルに表示するヒューマンマシンインターフェース装置と、入力操作の内容に応じて予め組み込まれた制御ロジックにより被制御機器を制御すると共に、前記被制御機器から得られたデータを前記ヒューマンマシンインターフェース装置に出力する制御装置とを仮想化する仕組みを提供するハイパーバイザと、前記ハイパーバイザにより前記制御装置を仮想化した仮想制御装置と、前記ハイパーバイザにより前記ヒューマンマシンインターフェース装置を仮想化した仮想ヒューマンマシンインターフェース装置と、前記ヒューマンマシンインターフェース装置と前記制御装置間でデータを送受信するためのネットワークを仮想化し、前記仮想ヒューマンマシンインターフェース装置と前記仮想制御装置間で前記仮想化ネットワークを通じてデータを送受信する第１仮想ネットワーク装置とを具備する装置である。

特開２０１５－１３８５２５号公報

例えば、上述のデジタルツインを利用した、制御システムに対するサイバー攻撃の影響評価や対策評価のサービスを提供する場合、当該制御システムを仮想環境内に再現する必要がある。

この場合、対象となる制御システムに搭載されたソフトウェア等も含めて再現することで、精度の高い動作の再現が可能になる。ところが、当該制御システムを運用している顧客からすると、自社ノウハウを含んだソフトウェアの開示が必要となるケースもある。その場合、当該顧客は、そうしたノウハウや各種知的財産の流出を懸念することになる。

そこで本発明の目的は、再現対象における動作ロジック自体は秘匿したまま、当該動作を仮想環境内で再現し、好適な動作検証を可能とする技術を提供することにある。

上記課題を解決する本発明の動作検証システムは、所定の動作ロジックを含むアプリケーションの動作を仮想環境内で再現し、その動作を検証するシステムであって、前記動作ロジックにおける入力信号と出力信号との関係を定め、前記出力信号の精度を設定に応じて制御する信号変換手段を保持し、前記動作ロジックを前記信号変換手段で置換した形で前記アプリケーションを前記仮想環境内で再現し実行するものである、ことを特徴とする。

また、本発明の動作検証方法は、情報処理システムが、アプリケーションの動作を再現する仮想環境と、前記アプリケーションが含む所定の動作ロジックにおける入力信号と出力信号との関係を定め、前記出力信号の精度を設定に応じて制御する信号変換手段を保持し、前記動作ロジックを前記信号変換手段で置換した形で前記アプリケーションを前記仮想環境内で再現し実行する、ことを特徴とする。

本発明によれば、再現対象における動作ロジック自体は秘匿したまま、当該動作を仮想環境内で再現し、好適な動作検証が可能となる。

本実施例における動作検証システムの全体構成例を示す図である。 本実施例における制御システムの構成例を示す図である。 本実施例における仮想実行装置の構成例を示す図である。 本実施例における等価機密ロジックの構成例を示す図である。 本実施例における等価機密ロジック生成手段の構成例を示す図である。 本実施例における等価機密ロジック設定手段の構成例を示す図である。 本実施例における動作検証方法のフロー例を示す図である。

[実施例１]
以下、図を参照し、本発明の一形態である動作検証システムの実施例を説明する。
＜システム構成＞
まず、本実施例における動作検証システム１の全体構成について説明する。図１は、本実施例における動作検証システム１の全体構成を示す。

動作検証システム１は、検証対象の制御システム１０、仮想実行手段２０、等価機密ロジック３０１、等価機密ロジック生成手段３０、等価機密ロジック設定手段４０、及びネットワーク５０を含んでいる。

このうち制御システム１０は、実際のプラントや設備を制御するシステムであり、図２に示すとおり、制御装置１１、管理装置１２、及び制御対象１３を含む。

Ｐｒｏｇｒａｍｍｂｌｅ Ｌｏｇｉｃ Ｃｏｎｔｒｏｌｌｅｒ（ＰＬＣ）やＤｉｓｔｒ
ｉｂｕｔｅｄ Ｃｏｎｔｒｏｌ Ｓｙｓｔｅｍ（ＤＣＳ）、その他制御用計算機で実現される制御装置１１は、アプリケーション１００に記述される制御手順や制御モデルに従い、入出力信号１４で接続されたプラントや設備などの制御対象１３を制御する。

また、管理装置１２は、ネットワーク１５を介して制御装置１１と接続し、制御装置１１に対する各種設定や動作状況の監視といった管理機能を、制御システム１０のユーザに提供する。

また、アプリケーション１００は、制御システム１０の開発者またはユーザのノウハウが反映された機密ロジック１０１を含むことがある。アプリケーション１００において、機密ロジック１０１は、それ以外の非機密ロジック１０２と結合されている。

こうした機密ロジック１０１および非機密ロジック１０２は、それぞれソースコードやソースダイアグラムの一部、独立したオブジェクトモジュールなどの形態をとりうる。なお、制御システム１０には複数のアプリケーション１００が含まれる場合があり、それぞれが異なる機密ロジック１０１および非機密ロジック１０２を含む場合がある。

ここで図１の説明に戻る。動作検証システム１における仮想実行手段２０は、制御システム１０の動作を実際の制御対象１３を用いずに再現する手段である。

この仮想実行手段２０は、図３に示すとおり、プロセッサ２１、メモリ２２、それらを結ぶバス２３と、２１から２３の働きで具現化されるハイパーバイザ２４および仮想環境２５を含む。

このうち仮想環境２５は、制御システム１０を構成するハードウェアおよびソフトウェアの動作をモデル化したものを動作させる環境である。ここでは、制御システム１０の要素のうち、制御装置１１を仮想化した仮想制御装置２１０と、それが実行するアプリケーション１００のみを記載する。また、仮想環境２５は、仮想制御装置２１０やアプリケーション１００の実行を監視し、動作状態に関するログ２６を出力する。

ハイパーバイザ２４は、仮想環境２５の実行に必要なプロセッサ２１およびメモリ２２などのリソース利用を調整する。

ここで図１の説明に戻る。等価機密ロジック３０１は、機密ロジック１０１の内部構成を隠蔽し、入力信号から出力信号が直接得られるように構成した、ソースコードやオブジェクトモジュールである。

こうした等価機密ロジック３０１は、図４に示すように、入出力対応ルール３０１１と、内部状態３０１２と、精度調整手段３０１５を含む。等価機密ロジック３０１は、入出力対応ルール３０１１において、入力信号３０１３の値と、入力時点における内部状態３０１２の値に対応する出力値３０１４を取得する。

内部状態３０１２は、出力値３０１４の一部または全部から、次の時刻における内部状態値を生成し、自らを更新する。精度調整手段３０１５は、精度指令値３０１６に基づいて、機密ロジック１０１のノウハウが特定されない程度に出力値３０１４の精度を調整し、調整出力値３０１７として外部に出力する。

こうした精度調整手段３０１５による出力値３０１４の調整は、例えば、出力値の分解能の低減、時間分解能の低減、出力信号の間引き、およびこれらの組み合わせで実現することができる。

出力値の分解能を低減する方法の一例は、出力値の量子化ステップを荒くすることであり、本来１６ビットの数値範囲で表されるものを、下位４ビットを切り捨てた１２ビットで出力するなどの手法を想定できる。

また、時間方向の分解能を低減する方法の一例は、出力値のサンプリングタイミングを１０ｍｓから１００ｍｓにするような間引きを想定できる。これにより、出力信号の波形やパルス幅が変化し、詳細な信号の挙動が隠蔽される。また、出力信号の間引きは、一部の出力信号のサンプリングを行わず、挙動を完全に隠蔽するものであり、値または時間の分解能低減を極端にしたものと捉えてもよい。

これらの分解能低減は恒常的なものだけではなく、精度指令値３０１６の定義に従い、特定の時間帯のみの適用とすることにしてもよい。また、時間帯ごとに異なる程度で精度低減を実行することにしてもよい。

ここで図１の説明に戻る。等価機密ロジック生成手段３０は、機密ロジック１０１から等価機密ロジック３０１、とりわけ入出力対応ルール３０１１を生成する手段である。この等価機密ロジック生成手段３０は、例えば、図５に示すように、仮想環境３１、入力生成手段３２、出力記録手段３３、及び対応関係生成手段３４を含む。

ここで図１の説明に戻る。等価機密ロジック設定手段４０は、等価機密ロジック３０１からの出力精度を制御する、精度指令値３０１６を生成する手段である。この等価機密ロジック設定手段４０は、図６に示すように、実行状態解析手段４０１と、実行精度決定手段４０２を含む。

このうち実行状態解析手段４０１は、仮想実行手段２０から出力されるログ２６を取得し、制御システム１０において等価機密ロジック３０１の出力が影響する範囲や程度、すなわち制御システム１０の出力における等価機密ロジック３０１の寄与度を分析する。

実行精度決定手段４０２は、実行状態解析手段４０１の分析結果に基づき、動作検証システム１において目的とする検証精度を達成し、かつ機密ロジック１０１のノウハウが特定されない程度に必要な等価機密ロジック３０１の出力精度を決定する。決定した出力精度は精度指令値３０１６として等価機密ロジック３０１に供給される。
＜動作検証方法＞
以下、本実施例における動作検証方法の実際手順について図に基づき説明する。以下で説明する動作検証方法に対応する各種動作は、動作検証システム１を構成する装置らがメモリ等に読み出して実行するプログラムによって実現される。そして、このプログラムは、以下に説明される各種の動作を行うためのコードから構成されている。

図７は、本実施例における動作検証方法のフロー例を示す図である。まず、仮想実行手段２０は、（検証対象の制御システム１０を再現した）仮想制御装置２１０のうち、アプリケーション１００から機密ロジック１０１を分離し、所定のダミーロジックで置換する（ｓ１０）。

またその後、仮想実行手段２０は、上述のダミーロジックを含むアプリケーション１００を搭載した仮想制御装置２１０を、仮想環境２５内で動作させる（ｓ１１）。この時点では、仮想制御装置２１０は完全な制御装置としては動作しないが、仮想環境２５から出力される動作ログ２６に、機密ロジック１０１と置換されたダミーロジックへのアクセス動作や、ダミーロジックからの出力値が仮想制御装置２１０で使用される様子が記録される。

続いて、等価機密ロジック設定手段４０は、上述の動作ログ２６を仮想実行手段２０から取得し、実行状態解析手段４０１において、上述のダミーロジックへのアクセス動作やダミーロジックからの出力の利用状況を解析する（ｓ１２）。

この解析の結果、実行状態解析手段４０１は、機密ロジック１０１の動作が必要とされる時刻と、仮想制御装置２１０の出力における機密ロジック１０１からの出力の寄与度を得る。

続いて、実行精度決定手段４０２は、ｓ１２の解析で得られた上述の機密ロジック１０１の動作が必要とされる時刻の情報に基づき、機密ロジック１０１の出力精度を制御すべき時刻を導出する（ｓ１３）。また、実行精度決定手段４０２は、ｓ１２の解析で得られた上述の出力の寄与度の情報と、動作検証システム１において必要な検証精度とから、機密ロジック１０１の出力に要求される出力精度を導出する（ｓ１４）。

実行精度決定手段４０２は、最終的に、上述の機密ロジック１０１の出力精度を制御すべき時刻と機密ロジック１０１の出力に要求される出力精度から、精度指令値３０１６を生成する（ｓ１５）。

なお、アプリケーション１００から分離した機密ロジック１０１は、図５の等価機密ロジック生成手段３０における仮想環境３１に格納される。

仮想環境３１は、仮想実行手段２０における仮想環境２５と同じ構成で実現してもよく、また、機密ロジック１０１のみであれば仮想制御システム２１０よりも規模が小さいため、機密ロジック１０１のコードを読み取って実行するインタプリタのような手段のみを用いた簡易な構成としてもよい。

仮想環境３１内では、入力生成手段３２が、機密ロジック１０１について想定される入力信号のパターンを順次生成し、これを機密ロジック１０１に入力し、また、出力記録手段３３が、機密ロジック１０１からの出力信号と機密ロジック１０１の内部状態を収集する（ｓ１６）。

さらに、対応関係生成手段３４は、入力生成手段３２で生成した入力信号と出力記録手段３３で収集した出力信号および内部状態とを対応付け、等価機密ロジック３０１に搭載する入出力対応ルール３０１１を生成する（ｓ１７）。

なお、当然ながら、どのような種類、および程度で精度調整を行えば動作検証システム１の検証精度が達成できるかは、アプリケーション１００によって異なるから、入出力対応ルール３０１１と精度指令値３０１６はアプリケーション１００が変更になるつど生成する必要がある。

また、対応関係生成手段３４は、生成した入出力対応ルール３０１１と精度指令値３０１６を等価機密ロジック３０１に搭載する（ｓ１８）。

また、仮想実行手段２０は、上述の等価機密ロジック３０１を、仮想環境２５内においてダミーロジック（アプリケーション１００において機密ロジック１０１と置換したもの）と再度置換し、非機密ロジック１０２と結合する（ｓ１９）。この時点でアプリケーション１００を含む仮想制御装置２１０は完全な制御装置として動作が可能となる。

以上説明した動作検証システム１の構成および動作により、検証対象の制御システム１
０に含まれる機密ロジック１０１は、内容が隠蔽された等価機密ロジック３０１に置き換えられ、かつその出力は動作検証システム１の目標精度を達成可能な程度に精度調整されることとなる。そのため、ノウハウが反映された機密ロジック１０１の詳細な挙動を仮想実行手段２０の運用者に開示することなく、目的とする動作検証を達成できる。
[実施例２]
続いて、動作検証システム１の他の実施例を説明する。本実施例では、動作検証システム１を、サイバー攻撃下における制御システム１０の挙動を検証する目的で構成する場合を説明する。

本実施例の構成は第一の実施例と同様であるが、一部の構成要素で動作内容および使用方法が異なるため、その差分を中心に説明する。

図４における入出力対応ルール３０１１（第一の実施例のもの）では、機密ロジック１０１が正常に動作することを想定していたため、入力信号と出力信号は設計時に想定しているものと一致する。一方、これに対し、本実施例では、ある脆弱性の顕在化により、不正な動作が発生し、一部の出力信号や内部状態が想定と異なるように構成する。

これは、等価機密ロジック生成手段３０において、不正な入力を発生させるように入力生成手段３２を構成することと、出力記録手段３３において本来発生しない出力を発生させることで実現する。

このようにして生成した等価機密ロジック３０１をアプリケーション１００に組み込み、仮想環境２５内で実行することによって、サイバー攻撃を模した異常動作が発生した場合の仮想制御システム２１０の挙動を動作ログ２６を介して評価することができる。

以上説明した動作により、動作検証システム１においてノウハウが反映されたロジックを含むアプリケーションの動作を、前記ロジックの内容やその詳細な挙動を開示することなく仮想環境内に再現でき、実世界の制御システムに影響を与えることなく様々な条件で動作の評価を行うことが可能となる。

なお、以上の説明において、構成に関して特段の断りがない機能や手段は、電気回路、電子回路、論理回路、およびそれらを内蔵した集積回路のほか、マイコン、プロセッサ、及びこれらに類する演算装置と、ＲＯＭ、ＲＡＭ、フラッシュメモリ、ハードディスク、ＳＳＤ、メモリカード、光ディスク及びこれらに類する記憶装置と、バス、ネットワーク及びこれらに類する通信装置、及び周辺の諸装置の組み合わせによって実行されるプログラムによって実現してもよく、いずれの実現態様でも本発明は成立し得ることに留意されたい。

また、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

こうした本実施形態によれば、ノウハウに基づく動作のロジック部分の代わりに、それと等価な信号の入出力関係となるよう構成した信号変換手段を用いることで、元の動作ロジックを秘匿したまま同じ動作を仮想環境内で再現できるため、顧客のノウハウを公開することなくアプリケーションの動作を検証することが可能となる。

また、アプリケーションの動作ロジックだけでなく、そこから出力する信号の形態にノウハウが含まれる場合もある。そのようなケースに対しては、仮想環境内の制御システムで検証したい動作精度が得られる程度に動作ロジックの出力精度を削減することにより、顧客のノウハウが公開されることを防ぐことができる。

ひいては、再現対象における動作ロジック自体は秘匿したまま、当該動作を仮想環境内で再現し、好適な動作検証が可能となる。

本明細書の記載により、少なくとも次のことが明らかにされる。すなわち、本実施形態の動作検証システムにおいて、前記信号変換手段は、前記出力信号の精度を設定に応じて制御するものである、としてもよい。

これによれば、アプリケーションの動作ロジックだけでなく、そこから出力する信号の形態にノウハウが含まれる場合にも対応し、仮想環境内の制御システムで検証したい動作精度が得られる程度に動作ロジックの出力精度を削減することにより、顧客のノウハウが公開されることを防ぐことができる。

また、本実施形態の動作検証システムにおいて、前記信号変換手段は、前記出力信号の精度として、少なくとも値の分解能と時間の分解能を制御するものである、としてもよい。

これによれば、アプリケーションの動作ロジックだけでなく、そこから出力する信号の形態にノウハウが含まれる場合にも対応し、仮想環境内の制御システムで検証したい動作精度が得られる程度に動作ロジックの出力精度をより的確に削減することにより、顧客のノウハウが公開されることを防ぐことができる。

また、本実施形態の動作検証システムにおいて、前記信号変更手段において、前記出力信号の精度は、前記仮想環境内における時間、前記仮想環境内で実行される前記アプリケーションの特定の領域、前記アプリケーションにおける入出力信号、の少なくともいずれかに対応付けて設定されるものである、としてもよい。

これによれば、アプリケーションの動作ロジックだけでなく、そこから出力する信号の形態にノウハウが含まれる場合にも対応し、仮想環境内の制御システムで検証したい動作精度が得られる程度に動作ロジックの出力精度をより的確に削減することにより、顧客のノウハウが公開されることを防ぐことができる。

また、本実施形態の動作検証システムにおいて、前記信号変更手段において、前記仮想環境内における時間、前記仮想環境内で実行される前記アプリケーションの特定の領域、前記アプリケーションにおける入出力信号、の少なくともいずれかに対応付けられる、前記出力信号の精度に対する設定は、前記アプリケーションのうち前記動作ロジックを除く部分の解析結果に基づいて決定されるものである、としてもよい。

これによれば、アプリケーションの動作ロジックだけでなく、そこから出力する信号の形態にノウハウが含まれる場合にも対応し、仮想環境内の制御システムで検証したい動作精度が得られる程度に動作ロジックの出力精度をより的確に削減することにより、顧客のノウハウが公開されることを防ぐことができる。

また、本実施形態の動作検証システムにおいて、前記信号変換手段は、前記アプリケーションの前記動作ロジックの解析結果から得られる、入力信号と出力信号との対応関係に基づいて生成されたものである、としてもよい。

これによれば、アプリケーションの動作ロジックだけでなく、そこから出力する信号の形態にノウハウが含まれる場合にも対応し、仮想環境内の制御システムで検証したい動作精度が得られる程度に動作ロジックの出力精度をより的確に削減することにより、顧客のノウハウが公開されることを防ぐことができる。

１ 動作検証システム
１０ 制御システム
１１ 制御装置
１２ 管理装置
１３ 制御対象
１４ 入出力信号
１５ ネットワーク
２０ 仮想実行手段
２１ プロセッサ
２２ メモリ
２３ バス
２４ ハイパーバイザ
２５ 仮想環境
２６ 実行ログ
２６ 実行ログ
３０ 等価機密ロジック生成手段
３１ 仮想環境
３２ 入力生成手段
３３ 出力記録手段
３４ 対応関係生成手段
４０ 等価機密ロジック設定手段
５０ ネットワーク
１００ アプリケーション
１０１ 機密ロジック
１０２ 非機密ロジック
２１０ 仮想制御装置
３０１ 等価機密ロジック
３０１１ 入出力対応ルール
３０１２ 内部状態
３０１３ 入力信号
３０１４ 出力信号
３０１５ 精度調整手段
３０１６ 精度指令値
３０１７ 調整出力値
４０１ 実行状態解析手段
４０２ 実行精度決定手段

Claims (6)

1. 所定の動作ロジックを含むアプリケーションの動作を仮想環境内で再現し、その動作を検証するシステムであって、
   前記動作ロジックにおける入力信号と出力信号との関係を定め、前記出力信号の精度を設定に応じて制御する信号変換手段を保持し、前記動作ロジックを前記信号変換手段で置換した形で前記アプリケーションを前記仮想環境内で再現し実行するものである、
   ことを特徴とする動作検証システム。
2. 前記信号変換手段は、前記出力信号の精度として、少なくとも値の分解能と時間の分解能を制御するものである、
   ことを特徴とする請求項１に記載の動作検証システム。
3. 前記信号変換手段において、前記出力信号の精度は、前記仮想環境内における時間、前記仮想環境内で実行される前記アプリケーションの特定の領域、前記アプリケーションにおける入出力信号、の少なくともいずれかに対応付けて設定されるものである、
   ことを特徴とする請求項１に記載の動作検証システム。
4. 前記信号変換手段において、前記仮想環境内における時間、前記仮想環境内で実行される前記アプリケーションの特定の領域、前記アプリケーションにおける入出力信号、の少なくともいずれかに対応付けられる、前記出力信号の精度に対する設定は、前記アプリケーションのうち前記動作ロジックを除く部分の解析結果に基づいて決定されるものである、
   ことを特徴とする請求項３に記載の動作検証システム。
5. 前記信号変換手段は、前記アプリケーションの前記動作ロジックの解析結果から得られる、入力信号と出力信号との対応関係に基づいて生成されたものである、
   ことを特徴とする請求項１に記載の動作検証システム。
6. 情報処理システムが、
   アプリケーションの動作を再現する仮想環境と、前記アプリケーションが含む所定の動作ロジックにおける入力信号と出力信号との関係を定め、前記出力信号の精度を設定に応じて制御する信号変換手段を保持し、
   前記動作ロジックを前記信号変換手段で置換した形で前記アプリケーションを前記仮想環境内で再現し実行する、
   ことを特徴とする動作検証方法。