JP6858676B2 - プラントのセキュリティ対処支援システム - Google Patents

Description

この発明は、プラントにおけるセキュリティ対処支援システムに関するものである。

従来のシステムにおいては、一般の計算機設備に対してサイバー攻撃検知後対処すべき設備の一覧を示していた。

特許第４４５９８９０号公報

原子力発電プラントで異常検知時、検知された異常がサイバー攻撃によるものか調べるため、検知ログと、設備情報や脆弱性情報とを照合し、サイバー攻撃の発生個所を特定し、ウイルスの別設備への２次感染等のサイバー攻撃による影響の伝搬を見極めたうえで、対処すべき設備の優先順位やプラント運転の継続可否を判断する必要があり、原子力発電プラント等のプラント設備、及びサイバーセキュリティの知識を熟知した者しか判断することができなかった。
この発明は、このような問題を解決するためになされたものであり、サイバー攻撃を検知後、プラントの運転への影響、及び運転継続の可否を判定し、復旧に向けた対処の優先順位と対処プランとを示すことで、プラント運転員や保守員に対し、サイバー攻撃に対する復旧支援をすることを目的とする。

この発明に係るプラントのセキュリティ対処支援システムは、プラント制御装置、又は監視操作装置より取得したデータに異常が含まれているか否かを判定する異常判定手段、異常判定手段により異常と判定された場合、異常判定手段により処理された異常パラメータ情報とサイバー攻撃によるリスク分析データベース、サイバー攻撃に対するプラント設備の脆弱性データベース、およびプラントの設備重要度データベースとを照合したそれぞれのスコア値を積算して影響値を算出し、影響値と攻撃シナリオデータベースに格納された攻撃内容に基づいてプラント設備への攻撃の伝播の可能性を影響度情報として判定する影響度判定手段、攻撃シナリオデータベースに格納されている攻撃内容により、影響度情報と予め紐づけされた対処手順を選択する対処プラン作成手段、選択された対処手順を、対処の優先度の高いものから順に表示する表示手段、を備えたことを特徴とする。

この発明のプラントのセキュリティ対処支援システムによれば、サイバー攻撃によるデータの異常を迅速に検出し、サイバー攻撃の状況に応じたプラント設備への適切な対応を表示することができる。

この発明の実施の形態１のプラントのセキュリティ対処支援システムの全体機能構成図である。 この発明の実施の形態１の異常判定モジュールの動作を示すフローチャートである。 この発明の実施の形態１の影響度判定モジュールの動作を示すフローチャートである。 この発明の実施の形態２のプラントのセキュリティ対処支援システムの全体機能構成図である。 この発明の実施の形態２の影響度判定モジュールの動作を示すフローチャートである。 この発明の実施の形態１及び実施の形態２のセキュリティ対処支援システムのハードウエア構成の一例を示すブロック図である。

実施の形態１．
以下、この発明の実施の形態１を図１に基づいて説明する。
図１は、本発明の実施の形態１のプラントのセキュリティ対処支援システムの全体機能構成図である。図１において、プラントの制御を行うプラント制御装置１は、プラントネットワーク２を経由してデータ処理装置３にプラント運転に関するプラントデータを送信する。監視操作装置５は監視操作ネットワーク４を経由してプラントデータを受信し、演算し、加工し、プラントの運転員にプラント状態(運転状態・セキュリティ状態)を表示している。プラント制御装置１、及び監視操作装置５に搭載されたソフトウエア(セキュリティソフトウエア、プラントパラメータ演算ソフトウエア等)は、操作ログ１１、設備状態データ１２、プラントデータ１３、セキュリティログ１４等のプラントの運転状態・セキュリティ状態を示すデータを、セキュリティ対処支援システム６ａ内の異常判定モジュール１５に、プラント運転中にリアルタイムに出力する。セキュリティ対処支援システム６ａは、図６に示すように、プロセッサ（ＭＰＵ）とメモリに格納されたコンピュータプログラムの組合せによって実現してもよいし、ＡＳＩＣ等の専用のハードウエアや、ＦＰＧＡのような再構成可能なゲートアレイと、ＭＰＵ及びメモリとの組合せによって実現してもよい。

入力されたデータを、異常判定モジュール１５によって処理し、これらのデータの中に異常が含まれていたことが判明した場合、異常パラメータ情報１６として処理を行う。データ内の異常とは、以下のようなものが考えられる。
（１）事前に接続を許可していない端末の接続検知（不正端末検知）。
（２）プラントデジタル装置への不正なアクセス。
（３）プラントデジタル装置が有する機能の異常な操作（例えば、認証機能（パスワード等）のログインの連続失敗、ホワイトリスト機能の定義ファイルの計画外の設定変更等）。
（４）プラントデジタル装置が処理するプラント設備の監視情報と現場の監視情報との不一致。
異常パラメータ情報１６は、影響度判定モジュール１７ａによって、その異常がサイバー攻撃の可能性があるか否かを判断し、サイバー攻撃の可能性が判断された場合、運転員通知モニタ７にその旨を表示して通知する。また、サイバー攻撃の可能性があるとされた異常パラメータ情報１６の各種データを影響度判定モジュール１７ａによって以下に詳述するデータベース内のデータと照合する。

影響度判定モジュール１７ａにて異常パラメータ情報１６と照合するデータは、事前に次の４つのデータベースに格納されている。これら各データベースのデータは、スタティックな情報で、その取得は自動ではなく、有識者により事前設定される。
（１）攻撃シナリオデータベース１８、
（２）リスク分析データベース１９、
（３）脆弱性データベース２０、
（４）設備重要度データベース２１
ここで、攻撃シナリオデータベース１８とは、攻撃側の可能な攻撃手順が格納されたものであり、リスク分析データベース１９とは、異常状態の状況から、現在及び今後生じるリスクが分析されたものであり、脆弱性データベース２０とは、プラントの各機器、設備のサイバー攻撃に対する脆弱性を数値化、統計化したものであり、設備重要度データベース２１とは、サイバー攻撃を受けた場合のプラント全体に影響を与える度合いを各機器、設備ごとに分析し、重要度の観点で纏めたものである。
それぞれのデータベース内のデータと照合するとともに、今後のプラントへの攻撃の伝播の可能性を算出した結果を影響度情報２２として出力する。さらに対処プラン作成モジュール２３により影響度情報２２と対処手順データベース２４とを照合し、適切な対処プランを選択し、対処プラン情報２５を運転員通知モニタ７に表示する。

次に動作について説明する。
図２は、図１で示された、異常判定モジュール１５の動作を示すフローチャートである。異常判定モジュール１５は、監視操作装置５及びプラント制御装置１より、操作ログ１１、設備状態データ１２、プラントデータ１３、セキュリティログ１４の各種データを取得する（ステップ２０１）。このデータが正常状態と異なるか否かを診断し（ステップ２０２）、正常状態と異なるデータがある場合、通常の設備故障と異なる事象があるか否かをデータ特性から診断する（ステップ２０３）、通常の設備故障と異なる事象がある場合はサイバー攻撃の可能性有りと判断し（ステップ２０４）、異常パラメータ情報１６として運転員通知モニタ７へ通知する（ステップ２０５）。通常の設備故障と異なるデータがないと診断された場合は、設備故障と判断し、運転員通知モニタ７には表示しない。

図３は、図１で示された影響度判定モジュール１７ａの動作を示すフローチャートである。異常判定モジュール１５の判定結果として異常パラメータ情報１６が出力されると、影響度判定モジュール１７ａにてこれを取得する（ステップ３０１）。その後、異常パラメータ情報１６と攻撃シナリオデータベース１８、リスク分析データベース１９、脆弱性データベース２０、設備重要度データベース２１とをそれぞれ照合し（ステップ３０２）、プラントへの影響度判定が可能かを判定する（ステップ３０３）。判定可能な場合は影響度を判定し、今後のプラントへの攻撃の伝播の可能性を影響度情報２２として算出する（ステップ３０５）。

影響度情報２２には、サイバー攻撃であるか否かの判断結果と上述した各データベース格納のスコア値をベースに算出された影響値を含む。スコア値は、例えば各データベースで以下のように決定しておく。
（１）リスク分析データベース１９は、異常事象、対象設備に応じてリスク値を１〜９とする。
（２）脆弱性データベース２０は、ＣＶＳＳ（Ｃｏｍｍｏｎ Ｖｕｌｎｅｒａｂｉｌｉｔｙ Ｓｃｏｒｉｎｇ Ｓｙｓｔｅｍ）等の公開されている影響指標の値を１〜１０とする。
（３）設備重要度データベース２１は、電力会社で付与される指標の値を１〜５とする。原子力では、ＪＥＡＣ４６１２に規定の重要度分類が基準となる。
なお、攻撃シナリオデータベース１８は、攻撃内容を特定するのに利用するため、スコア値は用意されていない。
これらスコア値を積算して影響値を算出し、影響度情報２２に出力する。

判定不可能な場合、詳細確認指示を運転員通知モニタ７に表示する（ステップ３０４）。プラントへの影響度を判定後、影響度情報２２に基づき、対処手順データベース２４に適切な手順があるかを、対処プラン作成モジュール２３により診断する（ステップ３０６）。影響度情報２２と対処手順データベース２４とは攻撃内容等によりあらかじめ紐付けがされたものである。対処手順が検索できた場合は、対処手順データベース２４より適切な手順を選択した対処プラン情報２５を作成し（ステップ３０８）、運転員通知モニタ７へ表示する（ステップ３０９）。対処プラン情報２５のプラント設備での特有な処置例として、通信遮断、装置搭載のアプリケーションの再インストール等のシステム復旧の処置や、関連部門（例えば、原子力規制委員会、警察）への情報通達等の処置がある。対処手順データベース２４に適切な対処手順が無い場合は、手順検討指示を運転員通知モニタ７へ表示する（ステップ３０７）。対処手順の表示については、対処の優先度の高いものから順に一覧表示した画面としてもよい。

このようなセキュリティ対処支援システム６ａをプラントに設置することにより、サイバー攻撃の有無を迅速に検知できるとともに、複数のデータベースに蓄積された様々な基準値からプラントへの影響度を算出し、これに基づいて、決定された手順を表示することで、運転員の経験や知識に頼らずに、状況に応じた最善の対処を行うことが可能となる。

実施の形態２．
図４は、本発明の実施の形態２のプラントのセキュリティ対処支援システムの全体機能構成図、図５は、図４で示された実施の形態２の影響度判定モジュール１７ｂの動作を示すフローチャートである。実施の形態１ではプラント設備の各種データより異常を判定し、プラントへの影響度から適切な対処プランを生成する方法について述べたが、実施の形態２では、図４及び図５に示すように、対処プランを作成する代わりに、影響度判定モジュール１７ｂで算出した影響度情報２２と運転継続判定データベース２６とを照合し（ステップ３１０）、運転継続の可否を影響度判定モジュール１７ｂで判断し（ステップ３１１）、運転員通知モニタ７にその旨を表示する（ステップ３１２、ステップ３１３）。セキュリティ対処支援システム６ｂは、実施の形態１で説明したセキュリティ対処支援システム６ａ同様、図６に示すように、プロセッサ（ＭＰＵ）とメモリに格納されたコンピュータプログラムの組合せによって実現してもよいし、ＡＳＩＣ等の専用のハードウエアや、ＦＰＧＡのような再構成可能なゲートアレイと、ＭＰＵ及びメモリとの組合せによって実現してもよい。

このようなセキュリティ対処支援システム６ｂをプラントに設置することにより、サイバー攻撃の有無を迅速に検知し、複数のデータベースに蓄積された様々な基準値からプラントへの影響度を算出し、算出された影響度の度合いにより、プラントの運転を即座に中断するか否かの指示を示すことにより、重大な事故を未然に防ぐことを可能とする。

なお、この発明は、その発明の範囲内において、各実施の形態を自由に組み合わせたり、各実施の形態を適宜、変形、省略することが可能である。また、図中、同一符号は、同一または相当する構成、機能を有する部分を示す。

１ プラント制御装置、２ プラントネットワーク、３ データ処理装置、４ 監視操作ネットワーク、５ 監視操作装置、６ａ、６ｂ セキュリティ対処支援システム、７ 運転員通知モニタ、１１ 操作ログ、１２ 設備状態データ、１３ プラントデータ、１４ セキュリティログ、１５ 異常判定モジュール、１６ 異常パラメータ情報、１７ａ、１７ｂ 影響度判定モジュール、１８ 攻撃シナリオデータベース、１９ リスク分析データベース、２０ 脆弱性データベース、２１ 設備重要度データベース、２２ 影響度情報、２３ 対処プラン作成モジュール、２４ 対処手順データベース、２５ 対処プラン情報、２６ 運転継続判定データベース。

Claims (2)

1. プラント制御装置、又は監視操作装置より取得したデータに異常が含まれているか否かを判定する異常判定手段、
   前記異常判定手段により異常と判定された場合、前記異常判定手段により処理された異常パラメータ情報と、サイバー攻撃によるリスク分析データベース、サイバー攻撃に対するプラント設備の脆弱性データベース、およびプラントの設備重要度データベースとを照合したそれぞれのスコア値を積算して影響値を算出し、前記影響値と攻撃シナリオデータベースに格納された攻撃内容に基づいて前記プラント設備への攻撃の伝播の可能性を影響度情報として判定する影響度判定手段、
   前記攻撃シナリオデータベースに格納されている攻撃内容により、前記影響度情報と予め紐づけされた対処手順を選択する対処プラン作成手段、
   選択された対処手順を、対処の優先度の高いものから順に表示する表示手段、
   を備えたプラントのセキュリティ対処支援システム。
2. プラント制御装置、又は監視操作装置より取得したデータに異常が含まれているか否かを判定する異常判定手段、
   前記異常判定手段により異常と判定された場合、前記異常判定手段により処理された異常パラメータ情報と、サイバー攻撃によるリスク分析データベース、サイバー攻撃に対するプラント設備の脆弱性データベース、およびプラントの設備重要度データベースとを照合したそれぞれのスコア値を積算して影響値を算出し、前記影響値と攻撃シナリオデータベースに格納された攻撃内容に基づいて前記プラント設備への攻撃の伝播の可能性を影響度情報として判定する影響度判定手段、
   を備え、前記影響度情報と運転継続判定データベースのデータを照合して運転継続の可否を判断することを特徴とするプラントのセキュリティ対処支援システム。

Images