特開 2023-111666 暗号化制御システムおよび暗号化制御方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2023111666

(43)【公開日】2023-08-10

(54)【発明の名称】暗号化制御システムおよび暗号化制御方法

(51)【国際特許分類】

   G09C 1/00 20060101AFI20230803BHJP

   H04L 9/16 20060101ALI20230803BHJP

【ＦＩ】

G09C1/00 620Z

H04L9/16

【審査請求】未請求

【請求項の数】8

【出願形態】ＯＬ

(21)【出願番号】P 2022013625

(22)【出願日】2022-01-31

(71)【出願人】

【識別番号】504133110

【氏名又は名称】国立大学法人電気通信大学

(71)【出願人】

【識別番号】317006683

【氏名又は名称】地方独立行政法人神奈川県立産業技術総合研究所

(74)【代理人】

【識別番号】110000925

【氏名又は名称】弁理士法人信友国際特許事務所

(72)【発明者】

【氏名】小木曽 公尚

(72)【発明者】

【氏名】千家 雅之

(72)【発明者】

【氏名】寺西 郁

(72)【発明者】

【氏名】高梨 晴己

(72)【発明者】

【氏名】水矢 亨

(72)【発明者】

【氏名】阿部 顕一

(57)【要約】

【課題】過渡的な輻輳等の通信路状態の変動による通信性能の劣化は制御システムの可用性とセキュリティの両立を困難にする。昨今のベストエフォート型通信路における制御システムは、安定的な制御の実現に主眼が置かれ、セキュリティは重要視されてこなかった。サイバー犯罪からの人的、物理的損害を最小化するためには制御システムの可用性とセキュリティの両立が求められる。
【解決手段】制御系内の情報を暗号理論によって秘匿可能とするコントローラ２０により、制御系通信路６０を介してプラント３０を制御する暗号化制御システムにおいて、ネットワーク通信路６０の状態に応じて、暗号鍵の鍵長を変更し、通信路の変動による通信性能の劣化を軽減する。
【選択図】図１

【特許請求の範囲】

【請求項1】

制御系内の情報を暗号理論によって秘匿可能とするコントローラにより、ネットワーク通信路を介してプラントを制御する暗号化制御システムであって、
前記プラントは、前記ネットワーク通信路の状態に応じて、暗号鍵の鍵長を変更する
暗号化制御システム。

【請求項2】

前記プラントは、前記ネットワーク通信路の通信遅延時間を評価し、この評価した通信遅延時間から、前記ネットワーク通信路の状態を推測する
請求項１に記載の暗号化制御システム。

【請求項3】

前記プラントは、前記ネットワーク通信路の通信遅延時間を計測する遅延計測部を有し、前記遅延計測部によって計測した通信遅延時間に基づいて、前記暗号鍵の鍵長を変更する
請求項２に記載の暗号化制御システム。

【請求項4】

前記プラントは、前記遅延計測部によって計測した通信遅延時間に応じて、暗号鍵の鍵長を多段階に切り替える鍵長切替制御部を有する
請求項３に記載の暗号化制御システム。

【請求項5】

オペレータによる操作に応じて入力されるパラメータを暗号化したパラメータを、前記コントローラに入力する入力装置を備える
請求項１に記載の暗号化制御システム。

【請求項6】

前記パラメータは、準同型性を持つ暗号方式によって暗号化されたパラメータである
請求項５に記載の暗号化制御システム。

【請求項7】

時刻情報を配信する機能を有するタイムサーバを備え、
前記タイムサーバが配信する時刻情報は、前記コントローラおよび前記プラントの制御の基準として用いられる
請求項１に記載の暗号化制御システム。

【請求項8】

制御系内の情報を暗号理論によって秘匿可能とするコントローラにより、ネットワーク通信路を介してプラントを制御する暗号化制御方法であって、
前記ネットワーク通信路の状態に応じて、暗号鍵の鍵長を変更する
暗号化制御方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、暗号化制御システムおよび暗号化制御方法に関する。

【背景技術】

【0002】

オペレータ（操作員）とコントローラとの間、および、コントローラと制御対象との間の物理的距離が離れている遠隔制御システムを想定する。それは、オペレータがコントローラへ目標値を与え、コントローラが目標値に近づくようにロボットアーム等に代表される制御対象に制御値を与える制御システムである。ここではさらに公開鍵暗号方式によって全区間暗号化される暗号化制御が適用される遠隔の暗号化制御システムを考える。この遠隔の暗号化制御システムにおいては、暗号化による通信データ量の増加と暗号・復号処理による計算時間の増加が通信路の状態によっては無視できない恐れがあり、制御システムセキュリティを軽視して制御システムの可用性を優先するか、制御システムセキュリティを重視して制御システムの可用性を劣後にするかというトレードオフが生じてしまう。制御システムセキュリティと制御システムの可用性を両立する方法が必要である。

【0003】

従来、制御パラメータおよび通信路を秘匿化する暗号化制御技術が種々提案されている。一例として、制御パラメータおよび通信路を秘匿化する技術（例えば、特許文献１参照）では、暗号鍵を使い続ける状況を想定している。

【0004】

また、事前に準備した暗号鍵を切り替える技術（例えば、特許文献２参照）や、ミリ秒単位で暗号鍵の更新が可能な動的鍵暗号方式を採用した暗号化制御技術（例えば、特許文献３参照）がある。これらの従来技術は、暗号鍵の長さが共通のもとで実現された技術となっている。

【先行技術文献】

【特許文献】

【0005】

【特許文献1】特開２０１６－９０８８４号公報

【特許文献2】ＷＯ２０１９／０７８３４３

【特許文献3】ＷＯ２０２０／１７９６７２

【発明の概要】

【発明が解決しようとする課題】

【0006】

上述したように、従来技術では、制御システムセキュリティの向上のみに主眼が置かれており、通信路状態の変動による悪影響を軽減させることは考慮されていない。従って、暗号強度を上げて秘匿性を高めたい状況や、利用するネットワークの通信路状態が大きく変動しうる状況においては、既存の暗号化制御技術では、安全サイドでの制御システムの設計を余儀なくされ、制御システムの可用性に配慮した運用が困難になる。

【0007】

本発明は、通信路状態の変動の最悪値をベースとした制御システムの設計を回避し、制御システムセキュリティおよび制御システムの可用性の両立を可能にした暗号化制御システムおよび暗号化制御方法を提供することを目的とする。

【課題を解決するための手段】

【0008】

本発明の暗号化制御システムは、
制御系内の情報を暗号理論によって秘匿可能とするコントローラにより、ネットワーク通信路を介してプラントを制御する暗号化制御システムであって、
プラントは、ネットワーク通信路の状態に応じて、暗号鍵の鍵長を変更する
構成となっている。

【発明の効果】

【0009】

本発明によれば、通信路状態の変動の最悪値をベースとした制御システムの設計を回避し、制御システムセキュリティおよび制御システムの可用性の両立を可能にした暗号化制御システムの構築が可能になる。
上記した以外の課題、構成、および、効果は、以下の［発明を実施するための形態］の説明によって明らかにされる。

【図面の簡単な説明】

【0010】

【図1】本発明の一実施形態に係るＦＡシステムの構成の一例を示すブロック図である。

【図2】通信路の通信遅延時間の計測処理におけるタイミング関係を示すシーケンス図である。

【図3】通信路の通信遅延時間の計測処理の流れを示すフローチャートである。

【図4】プラントにおける鍵長切替制御部の構成の一例を示す概略構成図である。

【図5】ロボットアームのヨー軸とピッチ軸の回転角度についての検証結果を示す図である。

【図6】ロボットアームのヨー軸とピッチ軸の回転角度の暗号文についての検証結果を示す図である。

【図7】図６に対して鍵長を短くした場合のロボットアームのヨー軸とピッチ軸の回転角度の暗号文についての検証結果を示す図である。

【図8】暗号化処理のための計算時間についての検証結果を示す図である。

【発明を実施するための形態】

【0011】

以下、本発明を実施するための形態（実施形態）について、添付図面を参照して説明する。本明細書および図面において、実質的に同一の機能または構成を有する構成要素については、同一の符号を付することにより重複する説明を省略する。

【0012】

＜暗号について＞
まず、本発明を適用した具体的な実施形態について説明する前に、本発明において用いられる暗号について説明する。

【0013】

一般的に、整数の集合Ｚに含まれる平文Ｍを、整数の集合Ｚに含まれる暗号文Ｃに変換する暗号は、次の式（１）で表される。

【0014】

【数1】

【0015】

また、平文Ｍ_１と平文Ｍ_２との二項演算Ｍ_１○Ｍ_２を暗号化した暗号文Enc（Ｍ_１○Ｍ_２）を、平文Ｍ_１を暗号化した暗号文Enc（Ｍ_１）と、平文Ｍ_２を暗号化した暗号文Enc（Ｍ_２）とを用いて計算することができる暗号は、準同型暗号と称される。このような準同型暗号は、クラウドコンピューティングや金融機関の暗証システムなどに応用されている。

【0016】

例えば、乗法に関して準同型性を持つＲＳＡ（Rivest Shamir Adleman）暗号は、多桁の素因数分解問題の困難性を利用した公開鍵暗号であり、デジタル署名などに応用されている。以下では、ＲＳＡ暗号の暗号化および復号のアルゴリズム、および、ＲＳＡ暗号の乗法に関する準同型性について説明する。

【0017】

ＲＳＡ暗号により暗号化を行う際には、まず、公開鍵ｅ、公開鍵ｎ、および、秘密鍵ｄが生成され、公開鍵ｅおよび公開鍵ｎのみを用いて平文が暗号化される。一方、ＲＳＡ暗号により復号を行う際には、秘密鍵ｄを知る必要がある。

【0018】

公開鍵ｎは、２つの大きな値の素数ｐおよび素数ｑを決定し、素数ｐおよび素数ｑの積（ｎ＝ｐ×ｑ）を演算することにより生成される。一方、公開鍵ｅは、公開鍵ｎのオイラーの関数φ（ｎ）＝（ｐ－１）×（ｑ－１）と互いに素（gcd(e,φ(n))=1）となる任意の正整数となるように生成される。また、秘密鍵ｄは、法をφ（ｎ）とした公開鍵ｅの逆数として生成され、次の式（２）のように定められる。

【0019】

【数2】

【0020】

また、剰余の定義より、秘密鍵ｄは、次の式（３）に示すような、未知定数Ｑを用いた不定方程式を解くことにより求められる。なお、次の式（４）に示すような形をとる不定方程式は、拡張ユークリッド互除法により効率的に解くことができる。

【0021】

【数3】

【数4】

【0022】

このように、公開鍵ｎおよび秘密鍵ｄは共に、事前に決定される素数ｐおよび素数ｑから生成される。このとき、素数ｐおよび素数ｑの桁数が十分に大きければ、公開鍵ｎ（＝ｐ×ｑ）を公開しても素因数分解により素数ｐおよび素数ｑを復元することは困難であるため、素数ｐおよび素数ｑが漏洩しない限り、秘密鍵ｄを知ることは困難である。

【0023】

次に、整数の集合Ｚに含まれる平文Ｍは、次の式（５）に示すように暗号文Ｃへと変換、即ち、暗号化される。

【0024】

【数5】

【0025】

但し、式（５）において、平文Ｍの桁数は公開鍵ｎの桁数未満（Ｍ＜ｎ）でなければならず、平文Ｍの桁数が公開鍵ｎの桁数以上（Ｍ≧ｎ）の場合には、公開鍵ｎの桁数ごとに平文Ｍを分割して暗号化する必要がある。また、この暗号化には、大きな整数のべき乗計算が含まれており、その計算を行うための効率的なアルゴリズムが存在する。

【0026】

一方、暗号文Ｃは、次の式（６）に示すように平文Ｍに変換、即ち、復号される。

【0027】

【数6】

【0028】

ここで、式（６）について証明を行う。まず、次の式（７）に示すような補題を導入する。

【0029】

【数7】

【0030】

また、暗号文Ｃを、次の式（８）のように定義すると、剰余の定義より定数Ｑを介してＸ＝Ｑ×ｎ＋Ｃと置くことができ、上述の式（７）の左辺は、次の式（９）に示すように置き換えられる。

【0031】

【数8】

【数9】

【0032】

一方、この式（９）の右辺を二項定理により展開すると、次の式（１０）のように、右辺＝左辺となる。

【0033】

【数10】

【0034】

そして、復号の演算に、上述した式（７）を用いると、次の式（１１）のようになり、この式（１１）に上述した式（３）を代入すると、次の式（１２）が求められる。

【0035】

【数11】

【数12】

【0036】

ここで、次の式（１３）に示すオイラーの定理より、式（１２）は、次の式（１４）のようになる。

【0037】

【数13】

【数14】

【0038】

従って、暗号化時の仮定より、平文Ｍの桁数は公開鍵ｎの桁数未満（Ｍ＜ｎ）であるならば、Ｍ mod ｎ＝Ｍであることより、復号が達成されることが証明された。

【0039】

次に、準同型性について説明する。ＲＳＡ暗号は、乗法に関する準同型性（以下、乗法準同型性と記述する）を持ち、次の式（１５）に示す関係が成立する。

【0040】

【数15】

【0041】

ここで、式（１５）について証明を行う。被除数が負の場合を含むとき、剰余の定義は複数あるが、一例として、次の式（１６）に示す定義を用いる。

【0042】

【数16】

【0043】

このとき、次の式（１７）に示すような２つの暗号文について考えると、次の式（１８）に示すようになる。

【0044】

【数17】

【数18】

【0045】

従って、上述した式（１５）の左辺は、次の式（１９）に示すように右辺に一致することより、式（１５）に示すような関係が成立することが証明された。

【0046】

【数19】

【0047】

本発明では、以上のような乗法準同型性を持つＲＳＡ暗号が暗号方式として利用される。なお、本明細書では、ＲＳＡ暗号を例に挙げているが、暗号方式としては、ＲＳＡ暗号に限られるものではなく、ＥｌＧａｍａｌ暗号など乗法準同型性を持つ暗号方式であってもよい。

【0048】

以下、本発明を適用した具体的な実施形態について、図面を参照しながら詳細に説明する。

【0049】

＜本発明の実施形態＞
本発明の一実施形態として、本発明の技術を、例えば、遠隔操作システムの一例であるＦＡ（Factory Automation）システムに適用する場合を例に挙げて説明する。

【0050】

［システム構成例］
図１は、本発明の一実施形態に係るＦＡシステムの構成の一例を示すブロック図である。なお、本明細書において、システムとは、複数の装置により構成される装置全体を表すものである。

【0051】

図１において、本実施形態に係るＦＡシステム１は、ＲＳＡ暗号などの乗法準同型性を用いた制御系として構成され、入力装置１０、コントローラ２０、プラント３０、タイムサーバ５０、制御系通信路６０、および、汎用通信路７０を備えている。そして、入力装置１０とコントローラ２０との間、および、タイムサーバ５０とコントローラ２０との間は汎用通信路７０を介して接続され、コントローラ２０とプラント３０との間は制御系通信路６０を介して接続されている。

【0052】

すなわち、本実施形態に係るＦＡシステム１は、ＲＳＡ暗号などの乗法準同型暗号を用いた制御系内の情報を暗号理論によって秘匿可能とするコントローラ２０により、制御系通信路６０を介してプラント３０を制御する暗号化制御システムである。制御系通信路６０では、時刻同期データや暗号化された制御データ等の伝送が行われる。

【0053】

ＦＡシステム１の動作は、主に３つのパラメータ、即ち、暗号化制御パラメータ、鍵長切替判定パラメータ、および、時刻同期パラメータによって規定される。これら３つのパラメータのうち、暗号化制御パラメータおよび鍵長切替判定パラメータは、入力装置１０において、準同型性を持つ暗号方式（本例の場合、乗法準同型性を持つ暗号方式）によって暗号化されるパラメータである。時刻同期パラメータについては、暗号化は行われない。

【0054】

暗号化制御パラメータとは、ゲインや目標値等の制御パラメータであり、オペレータが入力装置１０を操作して入力し、入力装置１０において暗号化された後にコントローラ２０に送信され、コントローラ２０がパラメータを暗号化したまま処理を行い、制御系通信路６０を介してプラント３０に対する制御を実行する流れにおいて、暗号化後の制御パラメータを指し、入力装置１０、コントローラ２０、および、プラント３０が保持するパラメータである。

【0055】

鍵長切替判定パラメータとは、鍵長切替の判定に使用される閾値で構成されるパラメータであり、プラント３０が保持するパラメータである。鍵長切替判定パラメータは、暗号化制御パラメータと同様に入力装置１０において暗号化されプラント３０へ暗号化されたまま伝送される。

【0056】

時刻同期パラメータとは、コントローラ２０およびプラント３０が使用するパラメータで、Ｓｙｎｃメッセージの送信周期倍率、Ｄｅｌａｙ＿ｒｅｑメッセージの送信周期倍率を含むパラメータであり、コントローラ２０およびプラント３０が保持する。時刻同期パラメータは、平文のまま伝送してもよい。その伝送手段は汎用通信路７０や制御系通信路６０を用いてもよいし、シリアル通信等を用いて直接、コントローラ２０やプラント３０にパラメータを伝送してもよい。

【0057】

ＦＡシステム１は、IEEE1588-2008に準拠する時刻同期機能を有する。タイムサーバ５０は、グランドマスタークロック（ＧＭＣ）に該当し、高精度の発振器やＧＰＳ信号等の外部信号を接続するための端子を備えており、その外部信号と同期して正確に時刻を刻む機能、および、汎用通信ポートを介して時刻情報を配信する機能を有する。

【0058】

タイムサーバ５０が配信する時刻情報は、ＦＡシステム１の制御の基準、即ち、コントローラ２０およびプラント３０の制御の基準として用いられる。タイムサーバ５０が配信する時刻情報は、汎用通信路７０を介してコントローラ２０へ伝送される。

【0059】

コントローラ２０は、バウンダリークロック（ＢＣ）に該当し、タイムサーバ５０と同期することによって生成される時刻情報をプラント３０へ配信する。プラント３０は、オーディナリークロック（ＯＣ）に該当し、コントローラ２０の内部クロックと同期するように時刻同期処理が行われる。

【0060】

（入力装置の構成例）
入力装置１０は、パラメータ入力部１１および暗号化部１２を備えた構成となっている。

【0061】

パラメータ入力部１１は、例えば、キーボードやタッチパネルなどの操作手段を有しており、オペレータによる操作に応じて入力されるパラメータを暗号化部１２に供給する。

【0062】

暗号化部１２は、オペレータによる操作に伴ってパラメータ入力部１１から供給されるパラメータを、公開鍵を用いて暗号化したパラメータEnc（Parameters）をコントローラ２０に送信する。なお、暗号化部１２には、後述するように、プラント３０側で設定された鍵長の公開鍵がプラント３０から伝送され、コントローラ２０および汎用通信路７０を経て供給される。この鍵長別の公開鍵の配信は制御開始前に事前に設定される。このとき、暗号化部１２は、プラント３０側で設定された鍵長の公開鍵を用いて暗号化を行うことになる。

【0063】

（コントローラの構成例）
マスタとしてのコントローラ２０は、パラメータ取得・設定部２１、演算部２２、受信部２３Ａ、送信部２４Ａ、記録装置２５、時刻同期処理部２６Ａ、内部クロック調整部２７、受信部２３Ｂ、送信部２４Ｂ、および、時刻同期処理部２６Ｂによって構成されている。

【0064】

パラメータ取得・設定部２１は、入力装置１０と汎用通信路７０を介して通信を行って、暗号化部１２から送信される暗号化されたパラメータEnc（Parameters）を、受信部２３Ａを通して取得し、演算部２２に供給する。受信部２３Ｂは、プラント３０から送信される暗号化された制御出力Enc（ｘ）を受信し、演算部２２に供給する。

【0065】

演算部２２は、パラメータ取得・設定部２１から供給される暗号化されたパラメータEnc（Parameters）のうち、暗号化制御パラメータと、受信部２３Ｂから供給される暗号化された制御出力Enc（ｘ）とを用いて、プラント３０に対する制御を実行するための演算を暗号文のまま行う。

【0066】

このとき、演算部２２は、暗号化されたパラメータEnc（Parameters）のうち、暗号化制御パラメータおよび制御出力Enc（ｘ）を暗号化したまま演算｛Enc（u[k]）=g'（Enc（ｘ）,Enc（ｕ））｝を行って、復号および再暗号化を行わずに、プラント３０を制御するために入力される制御入力ｕが暗号化された状態の制御入力Enc（ｕ）を算出する。そして、演算部２２は、演算によって求めた暗号化された制御入力Enc（ｕ）を送信部２４Ｂに供給する。

【0067】

送信部２４Ｂは、制御系通信路６０を介して、暗号化された制御入力Enc（ｕ）をプラント３０に送信する。

【0068】

記録装置２５は、パラメータ取得・設定部２１が取得した鍵長別の暗号化されたパラメータEnc（Parameters）を記録する。さらに、記録装置２５は、暗号化されたパラメータEnc（Parameters）と共に、その暗号化されたパラメータEnc（Parameters）を用いた演算部２２の演算において用いられた暗号化された制御出力Enc（ｘ）と、その演算によって求められた暗号化された制御入力Enc（ｕ）を鍵長別に記録する。

【0069】

なお、記録装置２５は、暗号化されたパラメータEnc（Parameters）、暗号化された制御出力Enc（ｘ）、および、暗号化された制御入力Enc（ｕ）のうち、少なくともいずれか１つを記録するように構成されていればよい。また、記録装置２５は、入力装置１０によって入力された鍵長切替判定パラメータと時刻同期パラメータを持つ。

【0070】

時刻同期処理部２６Ａは、タイムサーバ５０から時刻同期情報を、受信部２３Ａを通して受け取り、その時刻同期情報を用いて内部クロック調整部２７でタイムサーバ５０のクロックと同期させる処理を行う。

【0071】

時刻同期処理部２６Ｂは、制御周期信号の立ち上がりをトリガーに処理を開始する。この処理は制御周期に呼応する周期的な処理である。時刻同期処理部２６Ｂは、処理を開始するとともに内部カウンタをインクリメント（１を加算）する。時刻同期処理部２６Ｂは、内部カウンタがＳｙｎｃメッセージの送信周期倍率と等しくなった場合、時刻情報を含むＳｙｎｃメッセージを、送信部２４Ｂを通してプラント３０に送信する。その後、内部カウンタをリセットする。

【0072】

（プラントの構成例）
スレーブとしてのプラント３０は、受信部３１、復号部３２、制御実行部３３、暗号化部３４、送信部３５、時刻同期処理部３６、内部クロック調整部３７、遅延計測部３８、鍵長切替制御部３９、記録装置４０、および、パラメータ取得・設定部４１を備える構成となっている。

【0073】

受信部３１は、コントローラ２０の送信部２４Ｂから制御系通信路６０を介して送信されてくる暗号化された制御入力Enc（ｕ）を受信し、復号部３２に供給する。

【0074】

復号部３２は、入力装置１０の暗号化部１２が暗号化に用いた公開鍵に対応する秘密鍵を有しており、受信部３１から供給される暗号化された制御入力Enc（ｕ）を復号して得られる平文の制御入力ｕを制御実行部３３に供給する。

【0075】

また、受信部３１は、コントローラ２０からＳｙｎｃメッセージを受信すると、当該Ｓｙｎｃメッセージを時刻同期処理部３６に渡す。同様にして、受信部３１は、コントローラ２０からＤｅｌａｙ＿ｒｅｓｐメッセージを受信すると、当該Ｄｅｌａｙ＿ｒｅｓｐメッセージを時刻同期処理部３６に渡す。

【0076】

制御実行部３３は、復号部３２から供給される制御入力ｕに従って、例えば、図示しないアクチュエータ（制御対象）に対する制御を実行する。また、制御実行部３３は、例えば、アクチュエータの駆動を測定するセンサを有しており、そのセンサによって測定された値、または、目標値との誤差である追従偏差を、制御入力ｕに従った制御に対する制御出力ｘとして暗号化部３４に供給する。または、制御実行部３３は、制御入力ｕに従った制御に対する制御出力ｘを求めるための演算｛ｘ[k]=f（ｘ,ｕ）｝を行ってもよい。

【0077】

暗号化部３４は、制御実行部３３から供給される制御出力ｘを暗号化し、暗号化した制御出力Enc（ｘ）を送信部３５に供給する。このとき、暗号化部３４での暗号化に必要な公開鍵については、鍵長切替制御部３９から取得することができる。鍵長切替制御部３９が持つ公開鍵は、記録装置４０からパラメータ取得・設定部４１を介して取得したものである。記録装置４０の公開鍵は、パラメータ取得・設定部４１を介して制御開始前に事前に設定される。

【0078】

送信部３５は、暗号化部３４から供給される暗号化された制御出力Enc（ｘ）を、制御系通信路６０を介してコントローラ２０に送信する。

【0079】

時刻同期処理部３６は、制御データの受信処理をトリガーに処理を開始する。この処理は制御周期に呼応する周期的な処理である。時刻同期処理部３６は、処理を開始するとともに内部カウンタをインクリメント（１を加算）する。

【0080】

時刻同期処理部３６は、受信部３１からＳｙｎｃメッセージを得た場合、そのメッセージに含まれる時刻情報を用いて内部クロック調整部３７で内部クロックをコントローラ２０の内部クロックと同期させる。

【0081】

時刻同期処理部３６は、内部カウンタがＤｅｌａｙ＿ｒｅｑメッセージの送信周期倍率と等しくなった場合、Ｄｅｌａｙ＿ｒｅｑメッセージを、送信部３５を通してコントローラ２０に送信し、内部カウンタをリセットする。

【0082】

遅延計測部３８は、受信部３１から時刻同期処理部３６を通してＤｅｌａｙ＿ｒｅｓｐを受け取るたびに、制御系通信路６０の通信遅延時間を算出する処理を実行し、算出した通信遅延時間の情報を鍵長切替制御部３９に渡す。遅延計測部３８において実行される、制御系通信路６０の通信遅延時間を計測するための具体的な処理例については後述する。

【0083】

鍵長切替制御部３９は、受信部３１から時刻同期処理部３６および遅延計測部３８を通してＤｅｌａｙ＿ｒｅｓｐを受け取るたびに、次に例示する処理を実行する。鍵長切替制御部３９が実行する処理は、具体的には、遅延計測部３８で算出された通信遅延時間の記録装置４０への格納処理、記録装置４０に記録されている過去の通信遅延時間を用いた統計処理（例えば、移動平均）による代表値の算出処理、代表値と予め用意した所定の閾値との比較処理、および、暗号鍵の鍵長の切替処理である。なお、記録装置４０へのアクセスはパラメータ取得・設定部４１を介して行われる。

【0084】

鍵長切替制御部３９は、代表値と予め用意した所定の閾値との比較処理の結果、代表値が所定の閾値を超えていた場合、制御系通信路６０の状態（通信性能）が悪くなったと判断し、暗号鍵の鍵長を切り替える制御を行う。そして、鍵長切替制御部３９は、鍵長切替までの制御ステップ数を含む鍵長切替要求を復号部３２および暗号化部３４に渡す。当該制御ステップ数は記録装置４０に用意されているものとする。

【0085】

鍵長切替までの制御ステップ数は暗号化制御用のデータグラムに含まれ、そのデータグラムには鍵長切替までの制御ステップ数を示す専用のフィールドが用意される。そのフィールドは８ビット（１オクテット）あればよい。鍵長を切り替えない場合は値が０であるが、鍵長を切り替える場合、１以上の値が設定される。

【0086】

実装方法の一つとして用いる鍵長が二つの場合を以降に示す。この例では当該フィールド値が（０００００００１）_２になったとき、コントローラ２０の演算部２２、プラント３０の復号部３２、および、プラント３０の暗号化部３４における受信時処理の最終段階で鍵長切替処理に分岐するものとする。この例では、制御周期の１０ステップ後に鍵長を切り替えるとする。鍵長切替制御部３９より鍵長切替要求を受け取った暗号化部３４はそのフィールドには（００００１０１１）_２を設定する。そのフィールド値を含む制御出力Enc（ｘ）は、送信部３５と制御系通信路６０を経由してコントローラ２０へ伝送される。

【0087】

コントローラ２０の演算部２２では処理の最終段階において当該フィールド値（００００１０１１）_２からディクリメント（１を減算）した値が再設定され、制御入力Enc（ｕ）とともにプラント３０へ伝送される。この処理を繰り返し、演算部２２で減算処理後、当該フィールド値が（０００００００１）_２になったときに鍵長を切り替える。鍵長を切り替わったタイミングでは送信される制御入力Enc（ｕ）は古い鍵長のままであり、次の制御周期から新しい鍵長が用いられる。

【0088】

鍵長切替が完了したら、演算部２２は、送信部２４Ａを経由して鍵長が切り替わったことを入力装置１０へ通知する。入力装置１０は、その通知を受け取ったら鍵長を切り替える。入力装置１０とコントローラ２０との間は即時性が求められないためこのような通知方法でよい。プラント３０の復号部３２では当該フィールド値が（０００００００１）_２であったとき処理の最終段階（復号処理を終えた段階）において鍵長を切り替える。新しい鍵長での復号処理は次の制御周期以降となる。

【0089】

記録装置４０には、暗号化制御パラメータ（ゲインや目標値等）、時刻同期パラメータ（Ｄｅｌａｙ＿ｒｅｑメッセージの送信周期倍率）、鍵長切替パラメータ（時刻情報と遅延計測部３８で計測された通信遅延時間とが組になったデータセット、所定の閾値、および、鍵長切替までの制御ステップ数）が格納される。制御実行中は、記録装置４０へのデータの格納はパラメータ取得・設定部４１のみが行える。

【0090】

パラメータ取得・設定部４１は、記録装置４０へのパラメータの設定、および、記録装置４０からのパラメータの取得を担う。パラメータの設定方法としては様々な手段が考えられ、入力装置１０から汎用通信路７０および制御系通信路６０を介して設定してもよいし、入力装置１０をシリアル通信等でプラント３０に直接接続し設定してもよい。

【0091】

本実施形態に係るＦＡシステム１は、以上のように構成されており、コントローラ２０とプラント３０とを接続する制御系通信路６０を介して送受信される情報の暗号化に、ＲＳＡ暗号等の乗法準同型暗号を採用している。これにより、コントローラ２０の演算部２２は、制御出力Enc（ｘ）を復号することなく、プラント３０に対する制御を実行するための演算を行うことができる。従って、ＦＡシステム１は、プラント３０の復号部３２のみが秘密鍵を保持する構成とすることができる。

【0092】

従来の産業ネットワークでは、コントローラおよびプラントの双方が秘密鍵を保持する構成であり、このような構成の従来の産業ネットワークと比較して、本実施形態に係るＦＡシステム１は、秘密鍵を保持する箇所を削減することができる。従って、本実施形態に係るＦＡシステム１は、仮に、コントローラ２０がハッキングされたとしても秘密鍵が漏洩することを回避することができ、また、コントローラ２０の記録装置２５に記録されたパラメータ、制御出力、および、制御入力のそれぞれが暗号化されているために、たとえこれらが漏洩したとしても、コントローラ２０およびプラント３０の情報が漏洩することがなく、よりセキュリティ強化を図ることができる。

【0093】

すなわち、本実施形態に係るＦＡシステム１においては、コントローラ２０およびプラント３０が離れた位置に配置され、制御系通信路６０を介して制御入力および制御出力を送受信するような構成であっても、コントローラ２０およびプラント３０の間で情報が漏洩してしまう危険性を低減することができる。

【0094】

このように、本実施形態に係るＦＡシステム１は、従来の産業ネットワークよりも、被攻撃箇所を削減することができる。なお、乗法準同型暗号の性質上、各種のゲインなどのようにコントローラ２０が演算を行うためのパラメータは暗号化しておく必要があるが、これらのパラメータの暗号化は公開鍵のみで行うことができ、脆弱性が増加することはない。

【0095】

また、本実施形態に係るＦＡシステム１において、上述したようなＲＳＡ暗号を使用した場合、当該ＲＳＡ暗号は、加法に関して準同型性を持たないため、コントローラ２０は、加法の必要ない比例制御（Ｐ制御）を用いてプラント３０に対する制御を行う。同様に、フィードバック誤差の演算を暗号文に対して行うことができないため、制御実行部３３は、例えば、レギュレーション問題またはセンサにより偏差を直接的に測定可能となるように構成される。

【0096】

［通信遅延時間の計測処理例］
ここで、遅延計測部３８において実行される、制御系通信路６０の通信遅延時間を計測するための具体的な処理例について、図２および図３を用いて説明する。

【0097】

図２は、制御系通信路６０の通信遅延時間の計測処理におけるタイミング関係を示すシーケンス図である。このシーケンス図は、コントローラ２０とプラント３０との間の通信における制御ステップ（ｋ）および制御ステップ（ｋ＋１）の処理の一例である。すなわち、前の制御ステップ（ｋ－１）の処理完了後に制御ステップ（ｋ）の処理が開始され、制御ステップ（ｋ＋１）の処理完了後に次の制御ステップ（ｋ＋２）に移行することになる。図２において、太い実線の矢印は暗号化制御用通信を表し、細い破線の矢印は時刻同期用通信を表している。ｋは離散信号系列の番号を表している。図３は、制御系通信路６０の通信遅延時間の計測処理の流れを示すフローチャートである。

【0098】

コントローラ２０とプラント３０との間の通信については、時刻同期用通信のみを行う時刻同期フェーズと、時刻同期用通信と制御用通信とを同時に行う制御フェーズとがあり、時刻同期フェーズ完了後に制御フェーズに遷移するものとする。

【0099】

時刻同期フェーズ開始前に、ユーザ（オペレータ）は、制御周期Ｔ_c、Ｓｙｎｃメッセージの送信周期倍率ｎ_sync、Ｄｅｌａｙ＿ｒｅｑメッセージの送信周期倍率ｎ_delayをコントローラ２０およびプラント３０に設定する。各設定値はコントローラ２０とプラント３０とで同一でなければならない。ここでは、設定手段については問わず、本発明で使用する通信回線を用いてもよいし、別の設定手段を講じてもよい。

【0100】

コントローラ２０とプラント３０との間の通信回線である制御系通信路６０については無線通信回線でもよいし、有線通信回線でもよい。ここでは、その通信回線については特別に指定しない。

【0101】

制御フェーズ開始前に、IEEE1588-2008の通信によってコントローラ２０内とプラント３０内の時刻は高精度に同期されているものとする。時刻同期用通信の暗号化の有無はオプションである。ただし、暗号化する場合は暗号化制御とは別の手段（IEEE1588-2019で提案されている手法等）で暗号化を実現するものとする。

【0102】

制御フェーズ開始後、Ｓｙｎｃメッセージの送信やＤｅｌａｙ＿ｒｅｑメッセージの送信は暗号化制御用通信と連動する。Ｓｙｎｃメッセージの送信周期はｎ_syncＴ_cで、Ｄｅｌａｙ＿ｒｅｑメッセージの送信周期ｎ_delayＴ_cである。

【0103】

Ｓｙｎｃメッセージの送信周期ｎ_syncＴ_cと現在の制御周期Ｔ_cとが一致するため、コントローラ２０は、制御周期の立ち上がりの時刻ｔ₁にＳｙｎｃメッセージをプラント３０に送信する（ステップＳ１１）。プラント３０は、コントローラ２０から送信されたＳｙｎｃメッセージを時刻ｔ₂に受信する（ステップＳ２１）。

【0104】

コントローラ２０は、Ｓｙｎｃメッセージを送信した直後に制御出力ｘ[k-1]を用いて制御入力ｕ[k]を求めるセキュア計算処理を開始し（ステップＳ１２）、処理時間ｄ_proc[k]の経過後に制御入力ｕ[k]をプラント３０に送信する（ステップＳ１３）。

【0105】

プラント３０は、コントローラ２０から送信された制御入力ｕ[k]を受信時刻ｔ_u[k]で受信し（ステップＳ２２）、次いで、Ｓｙｎｃメッセージの受信時刻ｔ₂と、制御入力ｕ[k]の受信時刻ｔ_u[k]との差分を求め、コントローラ２０の処理時間として記録する（ステップＳ２３）。

【0106】

コントローラ２０の処理時間ｄ_proc[k]は、
ｄ_proc[k]＝ｔ_U[k]－ｔ₂ ……（０１）
となる。この値については、コントローラ２０の処理負荷の推測に利用する。

【0107】

プラント３０は、制御出力ｘ[k]をコントローラ２０へ送信する（ステップＳ２４）。コントローラ２０は、コントローラ２０から送信された制御出力ｘ[k]を受信する（ステップＳ１４）。

【0108】

現在の制御ステップ（ｋ）では、プラント３０は、Ｄｅｌａｙ＿ｒｅｑメッセージの送信周期ｎ_delayＴ_cと現在の制御周期Ｔ_cとが一致しないため、Ｄｅｌａｙ＿ｒｅｑメッセージを送信しない。

【0109】

次の制御ステップ（ｋ＋１）では、Ｓｙｎｃメッセージの送信周期ｎ_syncＴ_cと現在の制御周期Ｔ_cとが一致しないため、コントローラ２０は、Ｓｙｎｃメッセージの送信は行わない。

【0110】

コントローラ２０は、制御出力ｘ[k]を用いて制御入力ｕ[k+1]を求めるセキュア計算処理を実行し（ステップＳ１５）、求めた制御入力ｕ[k+1]を処理時間ｄ_proc[k+1]が経過した後にプラント３０に送信する（ステップＳ１６）。

【0111】

プラント３０は、コントローラ２０から送信された制御入力ｕ[k+1]を時刻ｔ_u[k+1]で受信し（ステップＳ２５）、次いで、制御入力ｕ[k]の受信時刻ｔ_u[k]と制御入力ｕ[k+1]の時刻ｔ_u[k+1]との差分から、プラント３０側の制御周期の変動分を求める（ステップＳ２６）。この変動分には、処理負荷の変動と通信遅延の変動が含まれているため、コントローラ２０の処理負荷の推測に利用できる。
ΔＴ_ｃ＝ｔ_u[k+1]－ｔ_u[k]－Ｔ_ｃ ……（０２）

【0112】

次に、プラント３０は、制御出力ｘ[k+1]をコントローラ２０へ送信する（ステップＳ２７）。そして、その直後に、プラント３０は、Ｄｅｌａｙ＿ｒｅｑメッセージの周期ｎ_delayＴ_cと現在の制御周期Ｔ_cが一致したため、Ｄｅｌａｙ＿ｒｅｑメッセージを時刻ｔ₃にコントローラ２０へ送信する（ステップＳ２８）。

【0113】

コントローラ２０は、プラント３０から送信された制御出力ｘ[k+1]を受信する（ステップＳ１７）。次いで、コントローラ２０は、プラント３０から送信されたＤｅｌａｙ＿ｒｅｑメッセージを時刻ｔ₄に受信し（ステップＳ１８）、その受信後すぐにＤｅｌａｙ＿ｒｅｓｐメッセージをプラント３０へ返す（ステップＳ１９）。

【0114】

プラント３０は、コントローラ２０から送信されたＤｅｌａｙ＿ｒｅｓｐメッセージを受信する（ステップＳ２９）。

【0115】

上述した手順を経ることにより、プラント３０側は、時刻ｔ₁、時刻ｔ₂、時刻ｔ₃、時刻ｔ₄を得ることができる。そして、下記の計算処理により、制御系通信路６０の通信遅延時間を求めることができる。

【0116】

コントローラ２０およびプラント３０のクロック偏差をδとすると、
ｔ₂－ｔ₁＝δ＋ｄ_path1 ……（０３）
ｔ₄－ｔ₃＝－δ＋ｄ_path2 ……（０４）
となる。

【0117】

そして、式（０３）式（０４）を足すと、
{(ｔ₂－ｔ₁)＋(ｔ₄－ｔ₃)}/２＝(ｄ_path1＋ｄ_path2)/２ ……（０５）
となる。

【0118】

双方向の通信遅延時間がほぼ等しい値の通信路では、ｄ_path1≒ｄ_path2となるため、式(０５)の右辺は 次の通りとなる。
(ｄ_path1＋ｄ_path2)/２≒２ｄ_path1/２＝ｄ_path1 ……（０６）

【0119】

プラント３０は、式（０３）から式（０６）の一連の処理、および、算出された値の移動平均等の統計処理によって制御系通信路６０の通信遅延時間を、式（０１）および式（０２）を移動平均等の統計処理によってコントローラ２０の処理遅延時間を推測することができる。

【0120】

ところで、制御系通信路６０の通信路状態が悪化すると制御系通信路６０に通信遅延が生じ、制御周期の維持が困難になり制御が破綻してしまう。ここで、制御系通信路６０の通信路状態が悪化とは、通信トラフィックの増加や、無線通信では干渉や障害物による受信電力の低下等を言う。

【0121】

そこで、本実施形態に係るＦＡシステム１では、制御系通信路６０の通信遅延時間を計測し、この計測した通信遅延時間から、制御系通信路６０の通信路状態を推測し、通信路状態に応じて暗号鍵の鍵長を変更する（切り替える）。この暗号鍵の鍵長を変更する制御は、プラント３０内の鍵長切替制御部３９において実行される。

【0122】

以下に、プラント３０における鍵長切替制御部３９の具体的な構成例について説明する。

【0123】

［鍵長切替制御部の構成例］
図４は、プラント３０における鍵長切替制御部３９の構成の一例を示す概略構成図である。本構成例では、一例として、鍵長を２段階に切り替える場合を例に挙げて説明するが、鍵長の切り替え段数については、２段階に限られるものではなく、３段階以上の多段階の切り替えとすることもできる。

【0124】

図４に示すように、本例に係る鍵長切替制御部３９は、鍵長切替判定処理部３９１とセレクタ３９２とを有する構成となっている。鍵長切替判定処理部３９１には、遅延計測部３８で計測された制御系通信路６０の通信遅延時間の情報が、遅延計測部３８から供給される。

【0125】

鍵長切替判定処理部３９１は、遅延計測部３８から供給される通信遅延時間を基に、記録装置４０に保存されている過去の通信遅延時間を用いた統計処理（例えば、移動平均）による代表値の算出処理を行うとともに、当該代表値と予め記録装置４０に保存されている所定の閾値との比較処理を行う。

【0126】

ここで、所定の閾値とは、例えば、制御系通信路６０の状態が悪化したと判断するときの判断基準である。所定の閾値は、パラメータ取得・設定部４１において、オペレータによる入力操作等によって記録装置４０に保存される。

【0127】

ここでは、２種類の鍵長について、通常の鍵長（所定の鍵長）で生成した暗号文と、通常の鍵長よりも短い鍵長で生成した暗号文とを予め用意し、記録装置４０に保存しておく。記録装置４０に保存されている暗号文において、ゲインは、制御用のパラメータであり、暗号化されて実装されている。

【0128】

セレクタ３９２は、２種類の鍵長の切り替えに対応して２段切り替えのスイッチによって構成されており、制御系通信路６０の状態が正常時（平常時）には、鍵長切替判定処理部３９１による制御の下に、端子ａ側に切り替わった状態にあり、記録装置４０に保存されている通常の鍵長（相対的に長い鍵長）の暗号文を選択する。

【0129】

鍵長切替判定処理部３９１は、遅延計測部３８で計測された通信遅延時間に基づいて、記録装置４０に記録されている過去の通信遅延時間を用いた統計処理（例えば、移動平均）による代表値を算出し、この算出した代表値と記録装置４０に記録されている所定の閾値とを比較する。

【0130】

そして、鍵長切替判定処理部３９１は、代表値と所定の閾値との比較結果、代表値が所定の閾値を超えていた場合、制御系通信路６０の状態が悪化したと判断し、セレクタ３９２を端子ｂ側に切り替える制御を行う。これにより、セレクタ３９２は、記録装置４０に保存されている通常の鍵長よりも短い鍵長（相対的に短い鍵長）の暗号文を選択する。鍵長を短くすると、通信トラフィック（データ量）が減少し、セキュア計算処理時間（暗号化処理のための計算時間）は短縮される。

【0131】

鍵長を短くし、通信トラフィック（データ量）が減少し、セキュア計算処理時間（暗号化処理のための計算時間）は短縮すると、悪化していた制御系通信路６０の状態が、通信遅延時間を用いた統計処理による代表値が所定の閾値以下となる状態まで改善する場合も考えられる。そして、代表値が所定の閾値以下となると、鍵長切替判定処理部３９１は、セレクタ３９２を端子ａ側に切り替える制御を行う。これにより、鍵長として通常（平常）の鍵長の暗号文が選択される。

【0132】

上述したように、本実施形態に係るＦＡシステム１は、制御系内の情報を暗号理論によって秘匿可能とするコントローラ２０により、制御系通信路６０を介してプラント３０を制御する暗号化制御システムにおいて、制御系通信路６０の通信路状態に応じて、暗号鍵の鍵長を変更する構成となっている。これにより、通信遅延の増加による制御周期の破綻を回避し、システムの可用性に配慮した運用を可能にすることができる。

【0133】

［検証結果］
ここで、プラント３０の制御実行部３３の制御対象を、例えば、ロボットアームとしたとき、暗号鍵の鍵長を変更した場合のロボットアームの挙動について検証する。

【0134】

ロボットアームについて、ヨー軸モータとピッチ軸モータの２軸駆動とする。そして、ここでは、ロボットアーム１台を時刻０≦ｔ≦５ｓは鍵長２５６ｂｉｔ、 時刻５≦ｔ≦１０ｓは鍵長３２ｂｉｔで暗号化制御し、サイン波に追従させたときの応答を確認することとする。

【0135】

図５に、ロボットアームのヨー軸とピッチ軸の回転角度についての検証結果を示す。図５において、Ａは時間－ヨーの関係を示し、Ｂは時間－ピッチの関係を示している。図５Ａ，Ｂに示すヨー軸とピッチ軸の回転角度についての検証結果から明らかなように、時刻ｔ＝５で暗号鍵の鍵長を変更しても、ロボットアームの動作に影響が及ばない、即ち、ロボットアームは安定して動作することがわかる。

【0136】

図６に、ロボットアームのヨー軸とピッチ軸の回転角度の暗号文についての検証結果を示す。図６において、Ａ，Ｂは時間－暗号化されたピッチの関係を示している。ロボットアームのヨー軸とピッチ軸の回転角度の暗号文についての検証結果では、鍵長を変更すると、暗号文の桁数が小さくなる、例えば、時刻０≦ｔ≦５ｓでは１０⁷⁶オーダーとなる。

【0137】

図７に、図６に対して鍵長を短くした場合のロボットアームのヨー軸とピッチ軸の回転角度の暗号文についての検証結果を示す。図７において、Ａ，Ｂは時間－暗号化されたピッチの関係を示している。図６に対して縦軸を拡大した場合のロボットアームのヨー軸とピッチ軸の回転角度の暗号文についての検証結果では、鍵長を変更すると、暗号文の桁数が小さくなる、例えば、時刻５≦ｔ≦１０ｓでは１０⁹オーダーとなる。

【0138】

図８に、暗号化処理のための計算時間についての検証結果を示す。時間－計算時間の関係を示す図８から明らかなように、鍵長を短くすると、暗号化処理のための計算時間が短くなることがわかる。

【0139】

＜変形例＞
以上、本発明について、好ましい実施形態に基づいて説明したが、本発明は当該実施形態に限定されるものではなく、特許請求の範囲に記載した本発明の要旨を逸脱しない限り、その他種々の変形例を取り得ることは勿論である。例えば、上述した実施形態は本発明を分かりやすく説明するために暗号化制御システム及び暗号化制御方法の構成を詳細かつ具体的に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されない。

【0140】

また、上述した実施形態では、本発明が適用される遠隔操作システムとして、ＦＡシステムを例に挙げて説明したが、ＦＡシステムに限られるものではなく、制御対象を例えばロボットアームとする遠隔操作システムなど、本発明は、産業界における遠隔操作システム全般に対して適用可能である。

【0141】

また、上述した実施形態では、暗号方式としてＲＳＡ暗号を利用する場合を例に挙げて説明したが、暗号方式としては、ＲＳＡ暗号に限られるものではなく、ＥｌＧａｍａｌ暗号など乗法準同型性を持つ暗号方式であればよい。

【0142】

また、図１において、コントローラ２０およびプラント３０のそれぞれが持つ機能について、機能ブロックとして図示しているが、これらの機能ブロックについては、プロセッサがそれぞれの機能を解釈し、実行することにより、ソフトウェアで実行するマイクロコンピュータによって実現することができる。

【符号の説明】

【0143】

１…ＦＡシステム、１０…入力装置、１１…パラメータ入力部、１２…暗号化部、２０…コントローラ、２１…パラメータ取得・設定部、２２…演算部、２３Ａ，２３Ｂ…受信部、２４Ａ，２４Ｂ…送信部、２５…記録装置、２６Ａ，２６Ｂ…時刻同期処理部、２７…内部クロック調整部、３０…プラント、３１…受信部、３２…復号部、３３…制御実行部、３４…暗号化部、３５…送信部、３６…時刻同期処理部、３７…内部クロック調整部、３８…遅延計測部、３９…鍵長切替制御部、４０…記録装置、４１…パラメータ取得・設定部、５０…タイムサーバ、６０…制御系通信路、７０…汎用通信路

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】