特開 2023-173555 データベース、リスク分析装置、セキュリティ対策装置及びセキュリティ対策システム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2023173555

(43)【公開日】2023-12-07

(54)【発明の名称】データベース、リスク分析装置、セキュリティ対策装置及びセキュリティ対策システム

(51)【国際特許分類】

   H02H 3/02 20060101AFI20231130BHJP

   H02J 13/00 20060101ALI20231130BHJP

【ＦＩ】

H02H3/02 G

H02J13/00 301A

【審査請求】未請求

【請求項の数】10

【出願形態】ＯＬ

(21)【出願番号】P 2022085886

(22)【出願日】2022-05-26

(71)【出願人】

【識別番号】000173809

【氏名又は名称】一般財団法人電力中央研究所

(74)【代理人】

【識別番号】100141139

【弁理士】

【氏名又は名称】及川 周

(74)【代理人】

【識別番号】100167553

【弁理士】

【氏名又は名称】高橋 久典

(74)【代理人】

【識別番号】100206081

【弁理士】

【氏名又は名称】片岡 央

(74)【代理人】

【識別番号】100152146

【弁理士】

【氏名又は名称】伏見 俊介

(72)【発明者】

【氏名】上田 紀行

【テーマコード（参考）】

5G064

5G142

【Ｆターム（参考）】

5G064AC09

5G064CA07

5G064CB03

5G064DA02

5G142AC06

5G142GG03

(57)【要約】

【課題】サイバー攻撃によるインテリジェント電子装置の誤作動を未然に防ぐことが可能なデータベース、リスク分析装置、インテリジェント電子装置及びセキュリティ対策システムを提供する。
【解決手段】サイバー攻撃によるインテリジェント電子装置の誤作動リスクを評価するためのリスク評価情報が登録されたデータベースである。
【選択図】図２

【特許請求の範囲】

【請求項1】

サイバー攻撃によるインテリジェント電子装置の誤作動リスクを評価するためのリスク評価情報が登録されたデータベース。

【請求項2】

前記リスク評価情報は、前記インテリジェント電子装置を操作するための手順と前記インテリジェント電子装置との信号の授受が可能な装置の通信ドレスとを少なくとも含む請求項１に記載のデータベース。

【請求項3】

請求項１または２に記載のデータベースを備え、
当該データベースから取得した前記リスク評価情報を用いて前記インテリジェント電子装置のリスク分析処理を行い、リスク分析結果を記憶するリスク分析装置。

【請求項4】

前記インテリジェント電子装置の設定変更を行うための通信手順と前記設定変更に関する設定項目とを記憶し、前記通信手順及び前記設定項目を用いて前記インテリジェント電子装置の設定を変更した上で前記リスク分析処理を行う請求項３に記載のリスク分析装置。

【請求項5】

前記インテリジェント電子装置とは個別または前記インテリジェント電子装置の内部に設けられ、セキュリティ対策として請求項３に記載のリスク分析装置が特定した前記誤作動リスクに基づいて実運用時に不必要な前記インテリジェント電子装置の機能を無効化させるセキュリティ対策装置。

【請求項6】

前記インテリジェント電子装置とは個別または前記インテリジェント電子装置の内部に設けられ、セキュリティ対策として請求項４に記載のリスク分析装置が特定した前記誤作動リスクに基づいて実運用時に不必要な前記インテリジェント電子装置の機能を無効化させるセキュリティ対策装置。

【請求項7】

請求項３または４のリスク分析装置と請求項５のセキュリティ対策装置と前記インテリジェント電子装置とが接続されたセキュリティ対策システム。

【請求項8】

請求項３または４のリスク分析装置と請求項６のセキュリティ対策装置と前記インテリジェント電子装置とが接続されたセキュリティ対策システム。

【請求項9】

請求項３または４のリスク分析装置が記憶するリスク分析結果に基づいて正常な通信信号または不正な通信信号を生成することにより、請求項５のセキュリティ対策装置における前記セキュリティ対策のチューニングまたは有効性を実証するセキュリティ対策システム。

【請求項10】

請求項３または４のリスク分析装置が記憶するリスク分析結果に基づいて正常な通信信号または不正な通信信号を生成することにより、請求項６のセキュリティ対策装置における前記セキュリティ対策のチューニングまたは有効性を実証するセキュリティ対策システム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、データベース、リスク分析装置、セキュリティ対策装置及びセキュリティ対策システムに関する。

【背景技術】

【0002】

近年、国外では、変電所等のシステムを対象としたサイバー攻撃のインシデントが発生しており、大規模な停電を引き起こす事態に陥っている。このようなサイバー攻撃の多くは、変電所等のシステムの内部に侵入した攻撃者により、電力の安定供給に重要な役割を担う、遮断器、変圧器、発電機等の保護監視制御を行うインテリジェント電子装置（ＩＥＤ）が不正に操作されることにより発生している。

【0003】

下記非特許文献１には、変電所等のシステムを対象としたサイバー攻撃への対策として、インテリジェント電子装置にサイバー攻撃検知する機能を搭載することにより、変電所等のシステムの運用者にサイバー攻撃の影響の低減や復旧支援に活用することができる。

【0004】

一方、変電所等のシステムで採用されるインテリジェント電子装置の通信プロトコルを定義する国際規格としてＩＥＣ６１８５０がある。このＩＥＣ６１８５０は、国際電気標準会議の技術委員会がとりまとめた技術基準であり、インテリジェント電子装置の種別に応じた内容の通信プロトコルが規定されている。

【先行技術文献】

【非特許文献】

【0005】

【非特許文献1】J. Hong and C. -C. Liu、 "Intelligent Electronic Devices With Collaborative Intrusion Detection Systems、" in IEEE Transactions on Smart Grid、 vol. 10、 no. 1、 pp. 271-281（2019）

【発明の概要】

【発明が解決しようとする課題】

【0006】

ところで、上述したインテリジェント電子装置を変電所等のシステムで用いる場合、サイバー攻撃によるＩＥＤの誤作動を未然に防ぐ必要がある。しかしながら、現状ではサイバー攻撃によるインテリジェント電子装置の誤作動のリスクと特定する方法、および、分析した結果に基づきサイバー攻撃によるインテリジェント電子装置の誤作動を未然に防ぐ対策の導入とチューニングを行う技術が開発されておらず、電力の安定供給の観点から早期の開発が切望されている。

【0007】

本発明は、上述した事情に鑑みてなされたものであり、サイバー攻撃によるインテリジェント電子装置の誤作動を未然に防ぐことが可能なデータベース、リスク分析装置、インテリジェント電子装置及びセキュリティ対策システムの提供を目的とするものである。

【課題を解決するための手段】

【0008】

上記目的を達成するために、本発明では、データベースに係る第１の解決手段として、サイバー攻撃によるインテリジェント電子装置の誤作動リスクを評価するためのリスク評価情報が登録された、という手段を採用する。

【0009】

本発明では、データベースに係る第２の解決手段として、上記第１の解決手段において、前記リスク評価情報は、前記インテリジェント電子装置を操作するための手順と前記インテリジェント電子装置との信号の授受が可能な装置の通信ドレスとを少なくとも含む、という手段を採用する。

【0010】

本発明では、リスク分析装置に係る第１の解決手段として、上記第１又は第２の解決手段に係るデータベースを備え、当該データベースから取得した前記リスク評価情報を用いて前記インテリジェント電子装置のリスク分析処理を行い、リスク分析結果を記憶する、という手段を採用する。

【0011】

本発明では、リスク分析装置に係る第２の解決手段として、上記第１の解決手段において、前記インテリジェント電子装置の設定変更を行うための通信手順と前記設定変更に関する設定項目とを記憶し、前記通信手順及び前記設定項目を用いて前記インテリジェント電子装置の設定を変更した上で前記リスク分析処理を行う、という手段を採用する。

【0012】

本発明では、セキュリティ対策装置に係る第１の解決手段として、前記インテリジェント電子装置とは個別または前記インテリジェント電子装置の内部に設けられ、セキュリティ対策として上記第１の解決手段に係るリスク分析装置が特定した前記誤作動リスクに基づいて実運用時に不必要な前記インテリジェント電子装置の機能を無効化させる、という手段を採用する。

【0013】

本発明では、セキュリティ対策装置に係る第２の解決手段として、前記インテリジェント電子装置とは個別または前記インテリジェント電子装置の内部に設けられ、セキュリティ対策として上記第２の解決手段に係るリスク分析装置が特定した前記誤作動リスクに基づいて実運用時に不必要な前記インテリジェント電子装置の機能を無効化させる、という手段を採用する。

【0014】

本発明では、セキュリティ対策システムに係る第１の解決手段として、上記第１または第２の解決手段に係るリスク分析装置と上記第１の解決手段に係るセキュリティ対策装置と前記インテリジェント電子装置とが接続された、という手段を採用する。

【0015】

本発明では、セキュリティ対策システムに係る第２の解決手段として、上記第１または第２の解決手段に係るリスク分析装置と上記第２の解決手段に係るセキュリティ対策装置と前記インテリジェント電子装置とが接続された、という手段を採用する。

【0016】

本発明では、セキュリティ対策システムに係る第３の解決手段として、上記第１または第２の解決手段に係るリスク分析装置が記憶するリスク分析結果に基づいて正常な通信信号または不正な通信信号を生成することにより、上記第１の解決手段に係るセキュリティ対策装置における前記セキュリティ対策のチューニングまたは有効性を実証する、という手段を採用する。

【0017】

本発明では、セキュリティ対策システムに係る第４の解決手段として、上記第１または第２の解決手段に係るリスク分析装置が記憶するリスク分析結果に基づいて正常な通信信号または不正な通信信号を生成することにより、上記第２の解決手段に係るセキュリティ対策装置における前記セキュリティ対策のチューニングまたは有効性を実証する、という手段を採用する。

【発明の効果】

【0018】

本発明によれば、サイバー攻撃によるインテリジェント電子装置の誤作動を未然に防ぐことが可能なデータベース、リスク分析装置、セキュリティ対策装置及びセキュリティ対策システムを提供することが可能である。

【図面の簡単な説明】

【0019】

【図1】本発明の一実施形態におけるインテリジェント電子装置１の機能構成を示すブロック図である。

【図2】本発明の一実施形態におけるリスク分析装置Ｂの機能構成を示すブロック図である。

【図3】本発明の一実施形態における接続関係記憶部Ｍ１のデータ構造を示す模式図である。

【図4】本発明の一実施形態におけるシーケンス図記憶部Ｍ２のデータ構造を示す模式図である。

【図5】本発明の一実施形態における第１のシーケンス図である。

【図6】本発明の一実施形態における第２、第３のシーケンス図である。

【図7】本発明の一実施形態における送信元通信設定記憶部Ｍ３のデータ構造を示す模式図である。

【図8】本発明の一実施形態における信号記憶部Ｍ４のデータ構造を示す模式図である。

【図9】本発明の一実施形態における通信フォーマット記憶部Ｍ５のデータ構造を示す模式図である。

【図10】本発明の一実施形態の変形例における設定変更シーケンス図記憶部Ｍ６のデータ構造を示す模式図である。

【図11】本発明の一実施形態の変形例における設定項目記憶部Ｍ７のデータ構造のデータ構造を示す模式図である。

【図12】本発明の一実施形態における分析結果記憶部Ｍ８のデータ構造を示す模式図である。

【図13】本発明の一実施形態に係るリスク分析装置Ｂの動作を示す第１のフローチャートである。

【図14】本発明の一実施形態に係るリスク分析装置Ｂの動作を示す第２のフローチャートである。

【図15】本発明の第１実施形態に係るセキュリティ対策システムＥのシステム構成を示すブロック図である。

【図16】本発明の第１実施形態におけるインテリジェント電子装置１、１Ａの変形例を示すブロック図である。

【発明を実施するための形態】

【0020】

以下、図面を参照して、本発明の一実施形態について説明する。
本実施形態におけるＩＥＤ１は、電力系統において開閉装置２、変圧器３、調相装置４、発電装置５、計器用変流器６、計器用変圧器７、設備保全用センサ８及び補助ＩＥＤ９を接続し、これらの監視、計測、制御及び保護を行うインテリジェント電子装置である。

【0021】

このＩＥＤ１は、本実施形態に係るリスク分析装置Ｂのリスク分析対象機器である。また、このＩＥＤ１は、ＩＥＣ６１８５０、ＩＥＣ６０８７０、ＤＮＰ３、Ｍｏｄｂｕｓ等の電力用に用いられる通信プロトコル（保護監視制御用通信プロトコル）を用いることにより、外部機器との通信を行う通信機能を備えている。

【0022】

このＩＥＤ１は、図示するように、通信回線Ｎを介して既存の外部機器であるテレコン１０、外部ＩＥＤ１１、ＨＭＩ１２、保守用端末１３及びタイムサーバ１４等と接続されている。また、このＩＥＤ１には、図示するように不正端末Ｆが通信回線Ｎを介して接続され得る。

【0023】

ＩＥＤ１は、電力系統における安全装置の１つであり、上述した保護監視制御用通信プロトコルに準拠した通信によって既存の外部装置や不正端末Ｆから受信した外部制御信号に基づいて、開閉装置２、変圧器３、調相装置４及び発電装置５を制御する。

【0024】

このようなＩＥＤ１は、図１に示すように、開閉装置２、変圧器３、調相装置４、発電装置５、計器用変流器６、計器用変圧器７、設備保全用センサ８及び補助ＩＥＤ９から自ら取得した監視、計測情報に基づいて、自律的に開閉装置２、変圧器３、調相装置４及び発電装置５を制御する機能をも備えている。

【0025】

ＩＥＤ１は、図２に示すように通信部１ａ、デジタル・アナログ入出力部１ｂ及び内部処理部１ｃを備えている。通信部１ａは、通信回線Ｎを介して外部機器であるテレコン１０、外部ＩＥＤ１１、ＨＭＩ１２、保守用端末１３及びタイムサーバ１４や不正端末Ｆと外部通信信号Ｓａの送受信を行う。

【0026】

これに対して、デジタル・アナログ入出力部１ｂは、開閉装置２、変圧器３、調相装置４、発電装置５、計器用変流器６、 計器用変圧器７、設備保全用センサ８及び補助ＩＥＤ９と電気的に接続されている。このデジタル・アナログ入出力部１ｂは、このような開閉装置２、変圧器３、調相装置４、発電装置５、計器用変流器６、 計器用変圧器７、設備保全用センサ８及び補助ＩＥＤ９とデジタル・アナログ入出力信号Ｓｂをやり取りする。

【0027】

開閉装置２、変圧器３、調相装置４、発電装置５、計器用変流器６、 計器用変圧器７、設備保全用センサ８及び補助ＩＥＤ９は、ＩＥＤ１の保護監視制御対象である。内部処理部１ｃは、ＩＥＤ１の主部であり、通信部１ａが受信する外部通信信号Ｓａ及びデジタル・アナログ入出力部１ｂに入力されるデジタル・アナログ入出力信号Ｓｂに含まれる各種情報に基づいて、開閉装置２、変圧器３、調相装置４、発電装置５、計器用変流器６、 計器用変圧器７、設備保全用センサ８及び補助ＩＥＤ９の保護、監視、計測及び制御処理を実行する。

【0028】

ここで、ＩＥＤ１の通信部１ａ及びデジタル・アナログ入出力部１ｂは、図２に示すようにリスク分析装置Ｂと外部通信信号Ｓａ及びデジタル・アナログ入出力信号Ｓｂの授受を行う。ＩＥＤ１の内部処理部１ｃは、外部通信信号Ｓａ及びデジタル・アナログ入出力信号Ｓｂに基づいてリスク分析装置Ｂから得られる各種情報をも加味して開閉装置２、変圧器３、調相装置４、発電装置５、計器用変流器６、 計器用変圧器７、設備保全用センサ８及び補助ＩＥＤ９の保護、監視、計測及び制御を行う。

【0029】

開閉装置２は、電力系統の電路の途中に挿入されており、電路の投入／開放を行う。すなわち、開閉装置２は、ＩＥＤ１とデジタル・アナログ入出力信号Ｓｂをやり取りする信号入出力部を備え、ＩＥＤ１の保護リレー機能及び監視制御機能に基づいて電路の開放／投入を行う。

【0030】

変圧器３は、主系統電力の昇圧または高圧する装置であり、例えば負荷時タップ切り替え変圧器、電圧自動調整器（Step Voltage Regulator）、マトリクスコンバータである。この変圧器３は、本体にタップを有し、二次側または３次側に接続された負荷を遮断せずに通電状態のまま電圧を一定に保つために用いられる。

【0031】

このような変圧器３は、ＩＥＤ１とデジタル・アナログ入出力信号Ｓａのやり取りを行う信号入出力部を備える。変圧器３は、この信号入出力部を用いることにより、ＩＥＤ１の保護リレー機能及び監視制御機能に基づいてタップの上げ下げ動作、またはタップ値や状態の監視を行う。

【0032】

調相装置４は、例えば電力用コンデンサ、分路リアクトル、静止型無効電力補償装置（SVC：Static Var Compensator）である。この調相装置４は、ＩＥＤ１とデジタル・アナログ入出力信号Ｓａのやり取りを行う信号入出力部を備える。調相装置４は、この信号入出力部を用いることにより、ＩＥＤ１の保護リレー機能及び監視制御機能に基づいて電力系統の無効電力を調整し、電圧を予め指定された値に制御するために用いられる。

【0033】

発電装置５は、ＩＥＤ１とデジタル・アナログ入出力信号Ｓａのやり取りを行う信号入出力部を備える。この発電装置５は、この信号入出力部を用いることにより、ＩＥＤ１の保護リレー機能及び監視制御機能に基づいて有効電力制御、無効電力制御、連係・解列操作、連係状態の監視及び発電出力の監視を行う。なお、発電装置５は、単に発電機が電力系統と接続されている個所の投入あるいは開放のみＩＥＤ１から制御可能な装置の場合、開閉装置として機能する。

【0034】

計器用変流器６は、主系統と下位系統との間に流れる電流を定格５Ａ程度に変換し、変換電流としてＩＥＤ１に出力する。この変換電流は、ＩＥＤ１において電力の測定に利用される。すなわち、ＩＥＤ１は、計器用変流器６から入力される変換電流を用いて電力系統の電路に通電される電力を測定する。

【0035】

計器用変圧器７は、電力系統の電圧を定格数Ｖ～１１０Ｖ程度に降圧し、降圧電圧としてＩＥＤ１に出力する。この降圧電圧は、ＩＥＤ１において電力の測定に利用される。すなわち、ＩＥＤ１は、計器用変流器６から入力される変換電流及び計器用変圧器７から入力される降圧電圧に基づいて、電力系統の電路に通電される電力を測定する。

【0036】

設備保全用センサ８は、開閉装置２、変圧器３、調相装置４、発電装置５、計器用変流器６、 計器用変圧器７とその設置環境、制御用電源の状態を監視または測定する装置である。この設備保全用センサ８は、ＩＥＤ１とデジタル・アナログ入出力信号Ｓａをやり取りする信号入出力部を備え、死活状態、アラート、測定値をデジタル・アナログ入出力信号Ｓｂを用いてＩＥＤ１に出力する。

【0037】

補助ＩＥＤ９は、ＩＥＤ１と同等のものであり、デジタル・アナログ入出力信号Ｓａを用いることによりインタロック情報、転送遮断信号、死活情報等をＩＥＤ１と共有する。この補助ＩＥＤ９は、上述した開閉装置２、変圧器３、調相装置４、発電装置５、計器用変流器６、 計器用変圧器７及び設備保全用センサ８に、または開閉装置２、変圧器３、調相装置４、発電装置５、計器用変流器６、 計器用変圧器７及び設備保全用センサ８とは異なる開閉装置、変圧器、調相装置、発電装置、器用変流器、計器用変圧器及び設備保全用センサに接続されている。

【0038】

こころで、図１に示した外部機器のうち、テレコン１０、外部ＩＥＤ１１及びＨＭＩ１２は、ＩＥＣ６１８５０、ＩＥＣ６０８７０、ＤＮＰ３、Ｍｏｄｂｕｓ等の保護監視制御用通信プロトコルを用いてＩＥＤ１と通信する既知の外部装置である。これらテレコン１０、外部ＩＥＤ１１及びＨＭＩ１２は、保護、監視計測、制御のための情報を外部通信信号Ｓａを用いることによりＩＥＤ１との間で共有する。

【0039】

テレコン１０は、主にＩＥＤ１が接続された通信回線Ｎとは異なる通信回線上の端末の通信を中継する端末であり、既知の外部装置である。外部ＩＥＤ１１は、ＩＥＤ１と同等の装置であり、インタロック情報、転送遮断信号及び死活情報等の各種情報を外部通信信号ＳｂとしてＩＥＤ１と送受信する。

【0040】

ＨＭＩ１２は、主に電力系統の運転員等が手動操作でＩＥＤ１の制御や計測、監視情報を閲覧するために用いる既知の外部装置である。保守用端末１３は、ＩＥＤ１のエンジニアリングや設定変更のために用いる既知の外部装置である。この保守用端末１３は、主にＴＣＰ／ＩＰ系の標準的な通信プロトコルまたはＩＥＤ１のメーカ独自の通信プロトコル（保守用通信プロトコル）を用いてＩＥＤ１と通信する。なお、保守用端末１３は、ＩＥＤ１に加え、テレコン１０、外部ＩＥＤ１１、ＨＭＩ１２、タイムサーバ１４のエンジニアリングや設定変更に用いるものであって良い。

【0041】

タイムサーバ１４は、ＩＥＤ１の内部時計を合わせるために用いる既知の外部装置である。このタイムサーバ１４は、時刻同期のための通信プロトコルとしてＳＮＴＰ、ＮＴＰ、ＰＴＰ（時刻同期用通信プロトコル）のいずれか、またはその全てを用いるものである。なお、タイムサーバ１４は、ＩＥＤ１に加え、テレコン１０、外部ＩＥＤ１１、ＨＭＩ１２の内部時計を合わせるために用いる装置であっても良い。

【0042】

ここで、図１に示すように、通信回線Ｎには不正模擬端末Ｆが接続される場合がある。この不正模擬端末Ｆは、ＩＥＤ１に対する既知の外部装置ではなく、サイバー攻撃を模擬するために通信回線Ｎに接続し、外部通信信号Ｓａを用いてＩＥＤ１との通信が可能なものである。

【0043】

続いて、本実施形態に係るリスク分析装置Ｂについて図２を参照して説明する。
リスク分析装置Ｂは、ＩＥＤ１と外部通信信号Ｓａ及びデジタル・アナログ入出力信号Ｓｂの授受を行うことにより、ＩＥＤ１のリスク分析つまりＩＥＤ１の誤作動リスクの特定と当該誤作動リスクの実証とを行う。

【0044】

このリスク分析装置Ｂは、図２に示すように、通信模擬部１５、データベース部１６、自動試験部１７及びデジタル・アナログ入出力模擬部１８を備えている。通信模擬部１５は、ＩＥＤ１の通信部１ａが対応する任意の保護監視制御通信プロトコル、保守用通信プロトコル及び時刻同期用通信プロトコルを扱う機能を有する。この通信模擬部１５は、自動試験部１７によって制御され、自動試験部１７で指定された通信プロトコル、内容、タイミングで外部通信信号Ｓａの送受信を行う。

【0045】

データベース部１６は、サイバー攻撃によるＩＥＤ１の誤作動リスク（サイバー攻撃リスク）を評価するための情報（リスク評価情報）が登録されたデータベースである。すなわち、このデータベース部１６は、本発明のデータベースに相当する。

【0046】

このようなデータベース部１６は、図示するように複数の記憶部、つまり接続関係記憶部Ｍ１、シーケンス図記憶部Ｍ２、送信元通信設定記憶部Ｍ３、信号記憶部Ｍ４、通信フォーマット記憶部Ｍ５、設定変更シーケンス図記憶部Ｍ６、設定項目記憶部Ｍ７及び分析結果記憶部Ｍ８を備えている。これら各記憶部は、上記リスク評価情報の一部を各々記憶する。

【0047】

接続関係記憶部Ｍ１は、図３に示すように、要素１：ＩＥＤ１のデジタル・アナログ入出力部１ｂにおける各種の入出力端子、要素２：当該デジタル・アナログ入出力部１ｂの実運用時における接続先（実運用接続先）、要素３：デジタル・アナログ入出力部１ｂから実運用接続先への伝達情報、要素４：デジタル・アナログ入出力部１ｂと実運用接続先とでやり取りされる信号の定格（信号定格）、要素５：リスク分析装置Ｂにおけるデジタル・アナログ入出力模擬部１８の接続先、要素６：ＩＥＤ１の実運用時における動作を記憶要素とする。

【0048】

接続関係記憶部Ｍ１は、このような６つの記憶要素を自身に特有なデータ番号（ＩＤ１）に対応させて記憶する。このような接続関係記憶部Ｍ１は、ＩＥＤ１のデジタル・アナログ入出力部１ｂとリスク分析装置Ｂとの接続関係及びＩＥＤ１内における接続関係を示すものである。

【0049】

例えば、ＩＥＤ１のデジタル・アナログ入出力部１ｂに設けられた複数の入出力端子のうち、デジタル入力１は、図３の最上段（ＩＤ１＝１）に示すように実運用時に開閉装置２に接続され、投入指示を開閉装置２に伝達する。また、この際の入出力信号の信号定格はＤＣ１１０Ｖである。さらに、ＩＥＤ１のデジタル・アナログ入出力部１ｂにおけるデジタル入力１は、リスク分析装置Ｂのデジタル・アナログ入出力模擬部１８におけるデジタル出力１に接続される。

【0050】

シーケンス図記憶部Ｍ２は、ＩＥＤ１を操作するための手順をシーケンス図として記憶するものであり、図４に示すように要素１：シーケンス図の名称、要素２：デジタル・アナログ入出力部１ｂにおける入出力端子、要素３：シーケンス図の内容（シーケンス手続）を記憶要素とする。このシーケンス図記憶部Ｍ２は、このような３つの記憶要素を自身に特有なデータ番号（ＩＤ２）に対応させて記憶する。

【0051】

例えば、図４の最上段（ＩＤ２＝１）における「開閉装置の開放操作」という名称のシーケンス図は、デジタル・アナログ入出力部１ｂにおけるデジタル出力１を使用するものである。このシーケンス図のシーケンス手続は、図４及び図５に示すように複数の手続きから構成されている。

【0052】

すなわち、上記ＩＤ２＝１に該当するシーケンス図のシーケンス手続は、最初にデジタル・アナログ入出力模擬部１８におけるデジタル出力１を「ＯＮ」（開閉装置の「投入」状態を示す）に設定し、続いて通信模擬部１５からＩＥＤ１の通信部１ａに選択要求を示す信号を送信する内容のものである。そして、ＩＤ２＝１のシーケンス手続は、通信模擬部１５でＩＥＤ１の通信部１ａからの選択応答を示す信号が受信されるまで待機し、通信模擬部１５が選択応答を示す信号を受信すると、通信模擬部１５からＩＥＤ１の通信部１ａに制御要求を示す信号を送信する内容のものである。

【0053】

そして、ＩＤ２＝１のシーケンス手続は、通信模擬部１５でＩＥＤ１の通信部１ａからの制御応答を示す信号が受信されるまで待機し、通信模擬部１５が制御応答を示す信号を受信すると、デジタル・アナログ入出力模擬部１８のデジタル入力１にＩＥＤ１のデジタル・アナログ入出力部１ｂから開放装置２の開放操作を示す信号（デジタル・アナログ入出力部１ｂのデジタル出力１が「ＯＮ」）が入力されるまで待機する内容のものである。

【0054】

そして、ＩＤ２＝１のシーケンス手続は、ＩＥＤ１のデジタル・アナログ入出力部１ｂからデジタル・アナログ入出力模擬部１８に開閉装置２の開放操作を示す信号が入力されると、デジタル・アナログ入出力模擬部１８からＩＥＤ１のデジタル・アナログ入出力部１ｂに開閉装置２の開放状態を示す信号（デジタル・アナログ入出力模擬部１８におけるデジタル出力１を「ＯＦＦ」に設定）を送信する内容のものである。

【0055】

そして、ＩＤ２＝１のシーケンス手続は、通信模擬部１５がＩＥＤ１の通信部１ａからの完了通知を示す信号を受信することにより完了する。

【0056】

また、ＩＤ２＝２に該当する「過電流保護」という名称のシーケンス図のシーケンス手続は、図４及び図６（ａ）に示すように、デジタル・アナログ入出力模擬部１８におけるアナログ出力１～３に正常時のアナログ信号を各々入力させる内容のものである。そして、ＩＤ２＝２のシーケンス手続は、デジタル・アナログ入出力模擬部１８におけるアナログ出力１～３に異常時のアナログ信号を各々入力させ、デジタル・アナログ入出力模擬部１８のデジタル入力１にデジタル・アナログ入出力部１ｂから信号が入力されるまで待機する内容のものである。

【0057】

さらに、ＩＤ２＝３のシーケンス手続は、図４及び図６（ｂ）に示すように、通信模擬部１５からＩＥＤ１の通信部１ａにテストコマンドを送信させる内容のものである。そして、ＩＤ２＝２のシーケンス手続は、テストコマンドに対する応答として、発電出力指令値を示す信号がＩＥＤ１のデジタル・アナログ入出力部１ｂからデジタル・アナログ入出力模擬部１８に入力されるまで待機する内容のものである。

【0058】

シーケンス図記憶部Ｍ２のシーケンス図は、Unified Modeling Language（ＵＭＬ）に基づくものである。一般にＵＭＬに基づくシーケンス図は、図として扱われるが、コンピュータ上では図に変換可能なテキスト形式で保存される。すなわち、シーケンス図記憶部Ｍ２は、図５及び図６に示すシーケンス図を再現可能なテキスト形式で記憶する。

【0059】

図５及び図６に示すように、シーケンス図は、通信模擬部１５及びデジタル・アナログ入出力模擬部１８を用いたＩＥＤ１との通信あるいはデジタル・アナログ信号のやり取りを規定するものである。シーケンス図記憶部Ｍ２は、一般にＩＥＤ１の工場試験や納入時試験で実施するシーケンス手続をもれなく記憶している。

【0060】

また、このシーケンス図記憶部Ｍ２は、実運用時に利用するＩＥＤ１の機能に加え、ＩＤ２＝３の「テストコマンド」のように、実運用時に利用しないシーケンス手続であっても、ＩＥＤ１の機能として動作させることが可能なシーケンス手続はもれなく記憶している。

【0061】

送信元通信設定記憶部Ｍ３は、ＩＥＤ１との信号の授受が可能な装置（つまり既知の外部装置及び不正端末Ｆ）の通信アドレスを記憶する記憶部である。例えば図７に示すように、送信元通信設定記憶部Ｍ３には、既知の全ての外部装置及び不正端末Ｆに関するＩＰアドレスと、既知の全ての外部装置に関するＭＡＣアドレスとが通信ドレスとして記憶されている。

【0062】

すなわち、送信元通信設定記憶部Ｍ３は、要素１：外部装置の装置名称、要素２：ＩＰアドレス、要素３：ＭＡＣアドレスを記憶要素とする。送信元通信設定記憶部Ｍ３は、このような３つの記憶要素を自身に特有なデータ番号（ＩＤ３）に対応させて記憶する。

【0063】

例えば、図７の最上段（ＩＤ３＝１）に示すように、テレコン１０のＩＰアドレスは「@@@.@@@.@.110/24」であり、またＭＡＣアドレスは「##:##:##:##:##:01」である。なお、テレコン１０は、複数（２つ）のＩＰアドレスを有し、かつ、各々のＩＰアドレスを用いてＩＥＤ１に通信可能な外部装置である。

【0064】

送信元通信設定記憶部Ｍ３は、このように複数のＩＰアドレスを有する外部装置については、その全てのＩＰアドレスを異なるデータ番号（ＩＤ３）として記載している。また、送信元通信設定記憶部Ｍ３は、図７に示すようにＩＰｖ４またはＩＰＶ６のＩＰアドレスとサブネットマスクを記憶している。さらに、この送信元通信設定記憶部Ｍ３は、図示するように不正模擬端末ＦのＩＰアドレスをも異なるデータ番号（ＩＤ３）に対応させて記憶する。

【0065】

信号記憶部Ｍ４は、デジタル・アナログ入出力模擬部１８が出力するデジタル・アナログ信号（模擬信号）を記憶するものであり、図８に示すように要素１：シーケンス図記憶部Ｍ２におけるデータ番号（ＩＤ２）、要素２：当該ＩＤ２の値（ＩＤ２－ｎ）、要素３：上記模擬信号の内容を記憶要素とする。信号記憶部Ｍ４は、このような３つの記憶要素を自身に特有なデータ番号（ＩＤ４）に対応させて記憶する。

【0066】

例えば、図８の最上段（ＩＤ４＝１）に示すように、ＩＤ２＝１に対応するシーケンス図においてｎ＝１に対応する最初のシーケンス処理において、デジタル・アナログ入出力模擬部１８がＩＥＤ１の通信部１ａに出力する模擬信号は、デジタル入力１（入出力端子）を「ＯＮ」に設定する信号である。

【0067】

なお、模擬信号の内容（要素３）の記憶形式は、模擬信号を指定できるものであれば、どのような形式であってもよい。この模擬信号の内容（要素３）の記憶形式として、例えばテキスト形式のコマンド、デジタル・アナログ信号の時系列データを記憶したＣＳＶファイルあるいはＣＯＭＴＲＡＤＥ形式のファイルを参照するもの等が考えられる。

【0068】

通信フォーマット記憶部Ｍ５は、通信模擬部１５がＩＤＥ１との通信で用いる通信パケットのフォーマット（通信フォーマット）を記憶するものであり、図９に示すように要素１：シーケンス図記憶部Ｍ２におけるデータ番号（ＩＤ２）、要素２：設定項目記憶部Ｍ７におけるデータ番号（ＩＤ７の値、要素３：シーケンス図記憶部Ｍ２におけるデータ番号（ＩＤ２）の値、要４：通信内容を記憶要素とする。通信フォーマット記憶部Ｍ５は、このような４つの記憶要素をデータ番号（ＩＤ５）に対応させて記憶する。

【0069】

例えば、図９の最上段（ＩＤ５＝１）に示すように、データ番号がＩＤ２＝１に該当するシーケンス図（開放装置の開放操作）、かつ、データ番号の値がＩＤ２－２に該当する通信（選択要求の送信）において、通信プロトコルが「IEC61850 MMS」、通信サービス名が「Select With Values request」、ctlValが「OFF」、orCat、orIndent、ctNum、T、が「任意」、またTest、synchrocheck、interlockcheckが「false」に設定される。

【0070】

なお、通信内容の記載形式は、通信模擬部１５が送信する通信パケットを指定可能であれば、どのような形式であってもよい。例えば、テキスト形式のコマンド、通信パケットそのものを示す１６進数をられるした文字列またはテキストファイルを用いることが考えられる。また、シーケンス図記憶部Ｍ２において一つの手続きと記憶されている場合であっても、複数のパケットを一定の間隔をあけて、またはＩＥＤ１の返信を待って送信する必要のある手続きについては、複数のパケットとその送信のタイミングを示したファイルを参照する形式でも良い。

【0071】

設定変更シーケンス図記憶部Ｍ６は、通信模擬部１５がＩＥＤ１の設定変更を行うための通信手順を記憶するものである。この設定変更シーケンス図記憶部Ｍ６は、図４で示したシーケンス図記憶部Ｍ２とは個別に用意するものであるが、記憶要素と記憶方法はシーケンス図記憶部Ｍ２と同一である。設定変更のために、入出力端子を用いない場合、図１０に示すように、要素３：入出力端子なにも記憶しないか、何も記憶されていないことを示すデータを記憶する。

【0072】

ＩＥＤ１の設定変更時に、ＩＥＤ１の入出力端子を利用しない場合、設定変更シーケンス図記憶部Ｍ６の要素３：入出力端子になにも記憶しないか、何も記憶されていないことを示すデータを記憶する。

【0073】

設定項目記憶部Ｍ７は、各シーケンス図に関係する設定項目をひとまとめにして記憶するものであり、図１１に示すように要素１：シーケンス図記憶部Ｍ２におけるデータ番号（ＩＤ２）、要素２：設定項目を記憶要素とする。この設定項目記憶部Ｍ７は、このような２つの記憶要素を自身に特有なデータ番号（ＩＤ７）に対応させて記憶する。

【0074】

上記設定項目（要素２）は、ＩＥＤ１の設定変更に利用可能なものであり、データ番号（ＩＤ７）の値（ＩＤ７－ｎ）毎に設定方法、現在値、変更例及び設定範囲が記憶されている。設定方法には設定変更シーケンス図記憶部Ｍ６のデータ番号（ＩＤ６）に対応する値が登録され、また現在値には現在の設定値が登録されている。変更例には過去における変更例が登録され、また設定範囲には設定変更可能な範囲が登録されている。

【0075】

なお、変更例が設定項目（要素２）に登録されている場合、変更例に書き換えるために送信される通信パケットのフォーマット（通信フォーマット）が同時に記憶されている。更例が登録されていない場合は、設定範囲のうち、現在値とは異なる値をランダムに選択した値に書き換えるために送信される通信フォーマットが記憶される。

【0076】

例えば、図１１の最上段（ＩＤ７＝１）に示すように、データ番号がＩＤ２＝１に該当するシーケンス図（開放装置の開放操作）について、設定項目記憶部Ｍ７にはデータ番号（ＩＤ７）の値（ＩＤ７－１）として、４つの設定項目が記憶されている。第１項目は投入状態であり、第２項目は開放状態であり、第３項目は開放用デジタル出力であり、第４項目は機能モードである。

【0077】

また、第１項目、第２項目及び第３項目における変更方法は、設定変更シーケンス図記憶部Ｍ６のデータ番号（ＩＤ６）において「１」に該当するファイル転送である。さらに、第４項目における変更方法は、設定変更シーケンス図記憶部Ｍ６のデータ番号（ＩＤ６）において「３」に該当するIEC61850対応ツールである。

【0078】

分析結果記憶部Ｍ８は、実運用時に想定されるＩＥＤ１の動作、リスク分析の結果及びセキュリティ対策の有効性評価結果を記憶するものである。この分析結果記憶部Ｍ８は、図１２に示すように要素１：送信元通信設定記憶部Ｍ３におけるデータ番号（ＩＤ３）、要素２：シーケンス図記憶部Ｍ２におけるデータ番号（ＩＤ２）、要素３：実用動作、要素４：動作、要素５：リスクの有無、要素６：試験結果１、要素７：試験結果２及び要素８：試験結果３を記憶要素とする。

【0079】

また、この分析結果記憶部Ｍ８は、このような８つの記憶要素を自身に特有なデータ番号（ＩＤ８）に対応させて記憶する。これら８つの記憶要素のうち、要素１～４は分析結果記憶部Ｍ８に予め記憶されているが、要素５～８については、ＩＥＤ１との通信に基づくリスク分析処理を経ることにより、データ番号（ＩＤ８）によって指定される複数の分析結果として分析結果記憶部Ｍ８に記憶される。

【0080】

このような複数の分析結果は、シーケンス図記憶部Ｍ２における全シーケンス図と送信元通信設定記憶部Ｍ３における全送信元（不正端末Ｆを含むすべての外部装置）とに関する全ての組合せに対応している。すなわち、本実施形態に係るリスク分析装置Ｂは、シーケンス図記憶部Ｍ２における全シーケンス図と送信元通信設定記憶部Ｍ３における全送信元（不正端末Ｆを含むすべての外部装置）とに関する全ての組合せについて、ＩＥＤ１のリスク分析を行い、この結果を複数の分析結果として分析結果記憶部Ｍ８に記憶させる。

【0081】

例えば、図１２の最上段（ＩＤ８＝１）に示すように、データ番号（ＩＤ３）が「１」に該当するテレコン１０（送信元）によるデータ番号（ＩＤ２）が「１」に該当するシーケンス図（開閉装置２の開放操作）は、実運用時における動作（実運用動作）が「〇」であり、また動作がデジタル出力１を用いて開閉装置２を開放させるものである。このような送信元かつシーケンス図による外部装置によるＩＥＤ１の制御は、リスクの有無としては実証済みである。また、試験結果１は防御不可、試験結果２は検知不可、遮断不可であり、試験結果３は検知不可である。

【0082】

このようなデータベース部１６に対して、自動試験部１７は、リスク分析装置Ｂを統括的に制御する制御部であり、データベース部１６から取得したリスク評価情報を用いてＩＥＤ１のリスク分析処理を行い、リスク分析結果をデータベース部１６に記憶する。

【0083】

すなわち、自動試験部１７は、データベース部１６に記憶されたリスク評価情報を用いて通信模擬部１５及びデジタル・アナログ入出力模擬部１８を制御することにより、ＩＥＤ１のリスク分析を自動的に実行する。また、この自動試験部１７は、リスク分析結果をデータベース部１６の分析結果記憶部Ｍ８に記憶させる。

【0084】

デジタル・アナログ入出力模擬部１８は、自動試験部１７によって制御され、当該自動試験部１７から入力される制御信号に基づいてＩＥＤ１のデジタル・アナログ入出力部１ｂとデジタル・アナログ入出力信号Ｓｂの授受を行う。

【0085】

次に、本実施形態に係るリスク分析装置Ｂの動作つまりＩＥＤ１のリスク分析処理について、図１３のフローチャートに沿って説明する。

【0086】

リスク分析装置Ｂにおいて、自動試験部１７は、リスク分析処理を開始すると（ステップＰ１）、シーケンス図記憶部Ｍ２に記憶されたシーケンス図毎にループ処理を行う（ステップＰ２）。すなわち、自動試験部１７は、シーケンス図記憶部Ｍ２のデータ番号（ＩＤ２）を指定することにより、データ番号（ＩＤ２）に対応づけられたシーケンス図を読み込む（ステップＰ３）。

【0087】

そして、自動試験部１７は、シーケンス図が通信模擬部１５を用いる内容である場合（ステップＰ４）、ループ２及びループ３に基づく手続きの実行処理を繰り返す（ステップＰ５～Ｐ７）。すなわち、自動試験部１７は、シーケンス図記憶部Ｍ２に記憶された全てのシーケンス図について、各々のシーケンス図のシーケンス手続を全て実行する。

【0088】

ここで、通信による設定変更が行われない場合、ＩＥＤ１がデジタル・アナログ入出力のみをやりとりするシーケンス図における意図しない動作のリスクは、ＩＥＤ１のバグや故障時の除いて想定されないため実行の対象外とする。通信による設定変更が行われる場合のリスクの特定については、図１４を参照して別途説明する。

【0089】

ステップＰ５のループ処理（ループ２）は、ＩＥＤ１と通信可能な全ての外部装置を送信元として、シーケンス図記憶部Ｍ２に記憶されたシーケンス図通りの通信を行うためのループ処理である。ステップＰ５のループ処理を複数回実行することにより、同一の外部装置とシーケンス図の組み合わせに対して複数回のリスク分析処理を行っても良い。

【0090】

また、ステップＰ５のループ処理（ループ３）は、シーケンス図記憶部Ｍ２のシーケンス図における各シーケンス手続に関するループ処理である。さらに、ステップＰ７の処理は、上記シーケンス手続がデジタル・アナログ信号を扱う場合、信号記憶部Ｍ４から当該シーケンス手続に紐づけされたデジタル・アナログ信号を読み込み、当該デジタル・アナログ信号をデジタル・アナログ入出力模擬部１８からＩＥＤ１に出力するものである。なお、シーケンス手続に通信を用いる場合には、通信フォーマット記憶部Ｍ５から通信フォーマットを読み込み、通信模擬部１５で通信パケットを生成してＩＥＤ１に送信する。

【0091】

そして、自動試験部１７は、このようなステップＰ５～Ｐ７の処理つまり全てのシーケンス図の全てのシーケンス手続が完了すると、ＩＥＤ１がシーケンス図通りにデジタル信号またはアナログ信号を出力したか否かを判定する（ステップＰ８）。そして、自動試験部１７は、ステップＰ８の判定結果に基づいて分析結果記憶部Ｍ８にリスクの有無を登録する。

【0092】

すなわち、自動試験部１７は、攻撃リスクがある場合、分析結果記憶部Ｍ８のリスクの有無（要素５）に「実証済み」を登録し（ステップＰ１０）、攻撃リスクがない場合には分析結果記憶部Ｍ８のリスクの有無（要素５）に「実証されない」を登録する（ステップＰ１１）。なお、ステップＰ５のループ処理（ループ３）を複数回実行することにより、分析結果記憶部Ｍ８に攻撃リスクが実証された回数やパーセンテージを保存しても良い。

【0093】

このようなリスク分析処理を自動試験部１７が実行することにより、ＩＥＤ１のデジタル・アナログ入出力部１ｂが誤作動する事象が分析結果として分析結果記憶部Ｍ８に登録される。このような誤作動する事象は、ＩＥＤ１の故障を除いて、通常と異なる不正端末Ｆあるいは通常と異なる装置からのサイバー攻撃により乗っ取られた外部装置からの通信に起因するものである。

【0094】

すなわち、本実施形態によれば、サイバー攻撃によるＩＥＤ１の誤作動を実証し、実証した結果の基づき、サイバー攻撃を未然に防ぐためのセキュリティ対策をチューニング可能なデータベース部１６（データベース）及びリスク分析装置Ｂを提供することが可能である。

【0095】

続いて、リスク分析装置Ｂにおけるリスク分析処理の変形例を図１４のフローチャートに沿って説明する。

【0096】

この変形例に係るリスク分析処理は、ＩＥＤ１のデジタル・アナログ入出力部１ｂが通常と異なる装置からの通信やサイバー攻撃により乗っ取られた外部装置によりＩＥＤ１の設定が変更されてしまったことにより、ＩＥＤ１のデジタル・アナログ入出力が意図せずに動作するリスク、または意図した通りの動作をしないリスクを実証可能なものである。

【0097】

このリスク分析処理において、自動試験部１７は、リスク分析処理を開始すると（ステップＰ１ａ）、図１３のリスク分析処理におけるステップＰ２のループ処理（ループ１）及びステップＰ５のループ処理（ループ２）と同様なループ処理（ステップＰ２ａ、Ｐ３ａ）の中で、シーケンス図記憶部Ｍ２のデータ番号（ＩＤ２）を指定することにより、データ番号（ＩＤ２）に対応づけられたシーケンス図をシーケンス図記憶部Ｍ２から読み込む（ステップＰ４ａ）。

【0098】

そして、自動試験部１７は、設定項目記憶部Ｍ７のデータ番号（ＩＤ７）を指定することにより、ステップＰ４ａで読み込んだシーケンス図の設定項目を設定項目記憶部Ｍ７から読み込む（ステップＰ５ａ）。そして、自動試験部１７は、上記設定項目の設定値を変更する（ステップＰ６ａ）。

【0099】

ここで、自動試験部１７は、設定項目記憶部Ｍ７から読み込んだ設定項目（要素３）に登録された変更例に従って設定値を変更する。変更方法は設定項目（要素３）の記憶内容のうち、要素３：変更方法に従い実施する。また、自動試験部１７は、設定項目（要素３）に変更例が登録されていない場合には、設定項目（要素３）に登録された設定範囲から現状値と異なる値にランダムに変更する。

【0100】

なお、シーケンス図に関連する全ての設定項目を変更しない場合には、設定項目記憶部Ｍ７には変更を行う設定項目のみを記憶すればよい。また、同一のシーケンス図に対して変更する設定項目またはその設定値を変更パターン変えてを複数回のリスク分析を実施する場合、変更する設定項目またはその設定値のみを設定項目記憶部Ｍ７に記憶すればよい。

【0101】

また、ステップＰ３ａのループ処理（ループ２）を複数回実行することにより、同一の外部装置について、設定変更シーケンス図記憶部Ｍ６に記憶された設定変更シーケンス図及びシーケンス図記憶部Ｍ２に記憶された同一のシーケンス図の組み合わせによるリスク分析を複数回行っても良い。

【0102】

そして、自動試験部１７は、図１３におけるステップＰ６、Ｐ７と同様なループ処理（ステップＰ７ａ）及び手続の実行処理（ステップＰ８ａ）を行うことにより、設定変更シーケンス図における全てのシーケンス手続を完了させる。そして、自動試験部１７は、ステップＰ７ａ、Ｐ８ａの処理が完了すると、ステップＰ６ａで変更した設定項目の設定値を元の値に戻す（ステップＰ９ａ）。

【0103】

そして、自動試験部１７は、図１３におけるステップＰ８～Ｐ１０と同様にＩＥＤ１がシーケンス図通りにデジタル信号またはアナログ信号を出力したか否かを判定する（ステップＰ１０ａ）。そして、自動試験部１７は、ステップＰ１０ａの判定結果が「Ｎｏ」の場合、分析結果記憶部Ｍ８にサイバー攻撃のリスクが実証されたことを示す「実証済み」を登録し（ステップＰ１１ａ）、全ての処理を終了する（ステップＰ１２ａ）。

【0104】

最後に、本実施形態に係るＩＥＤ１Ａ、セキュリティ対策装置Ｃ、Ｄ及びセキュリティ対策システムＥについて、図１５を参照して説明する。

【0105】

本実施形態に係るＩＥＤ１Ａは、実運用時に不要な機能の無効化や制御機能利用時の認証機能等のサイバー攻撃の検知や防御を行うセキュリティ対策機能を上述したＩＥＤ１（リスク分析対象機器）に付加したものである。また、本実施形態に係るセキュリティ対策装置Ｃ、Ｄは、ＩＥＤ１Ａ及びリスク分析装置Ｂと通信自在に接続されており、ＩＥＤ１Ａ及びリスク分析装置Ｂとともにセキュリティ対策システムＥを構成している。

【0106】

すなわち、本実施形態に係るセキュリティ対策システムＥは、ＩＥＤ１Ａ、リスク分析装置Ｂ及び２つのセキュリティ対策装置Ｃ、Ｄによって構成されている。

【0107】

セキュリティ対策装置Ｃ、Ｄについてさらに詳しく説明すると、２つのセキュリティ対策装置Ｃ、Ｄは、ＩＥＤ１Ａとは個別に設けられ、実運用時に不必要なＩＥＤ１Ａの機能を検知または無効化させる。例えば、セキュリティ対策装置Ｃ、Ｄは、実運用時に想定される通信のパターンまたは想定されない通信のパターンを手動または自動で記憶することにより、ＩＥＤ１ＡのＩＥＤ１への通信を検知または遮断する。

【0108】

セキュリティ対策システムＥにおける通信パターンとしては、図７に示したＩＰアドレス及びＭＡＣアドレス並びに図９に示した通信内容及び送受信タイミング等の情報が用いられる。このセキュリティ対策システムＥでは、ＩＥＤ１Ａ及びセキュリティ対策装置Ｃ、Ｄにおけるセキュリティ対策機能が、図１３あるいは図１４に示したリスク分析処理の実施によってリスク分析装置Ｂの分析結果記憶部Ｍ８に登録された分析結果に基づいて適宜チューニングされる。

【0109】

すなわち、ＩＥＤ１Ａ及びセキュリティ対策装置Ｃ、Ｄにおけるセキュリティ対策機能は、リスク分析装置Ｂによって以下の２つの手続が実施されることにより適宜チューニングされる。

【0110】

（１）リスク分析装置Ｂは、実運用時に想定される動作の阻害または誤検知の有無について、分析結果記憶部Ｍ８の実用動作（要素３）が「〇」になっている行に対応する送信元（外部装置）からシーケンス図通りの手続きを行い、シーケンス通りの動作を行うかどうかを確認することによって検証する。リスク分析装置Ｂは、この検証結果を分析結果記憶部Ｍ８の試験結果１（要素６）以降の要素として登録する。

【0111】

（２）リスク分析装置Ｂは、実運用時に想定されない動作の検知、防御の可否は、分析結果記憶部Ｍ８の実用動作（要素３）が「×」になっている行に対応する送信元（外部装置）からシーケンス図通りの手続きを行い、シーケンス通りの動作を行わないかどうかを確認することによって検証する。リスク分析装置Ｂは、この結果を試験結果１（要素６）以降の要素として登録する。なお、分析結果記憶部Ｍ８には、リスクが実証された回数やパーセンテージを保存しても良い。

【0112】

このような本実施形態によれば、サイバー攻撃によるＩＥＤ１Ａの誤作動を未然に防ぐことが可能なデータベース（データベース部１６）、リスク分析装置Ｂ、ＩＥＤ１Ａ及びセキュリティ対策システムＥを提供することが可能である。

【0113】

また、本実施形態では、データベース（データベース部１６）は、リスク評価情報としてＩＥＤ１を操作するための全ての手順を示すシーケンス図を記憶するシーケンス図記憶部Ｍ２と、ＩＥＤ１との信号の授受が可能な全ての装置（各種外部装置及び不正端末Ｆ）の通信ドレスを記憶する通信設定記憶部Ｍ３を少なくとも含む。

【0114】

このような本実施形態によれば、ＩＥＤ１を操作するための全ての手順及びＩＥＤ１との信号の授受が可能な全ての装置について、サイバー攻撃のリスク評価を行うことが可能である。したがって、本実施形態によれば、極めて信頼性の高いサイバー攻撃リスクの評価を行うことが可能である。

【0115】

また、本実施形態によれば、リスク分析装置Ｂは、図１４のフローチャートに示したように、ＩＥＤ１の設定変更を行うための通信手順（設定変更シーケンス図）を設定変更シーケンス図記憶部Ｍ６に記憶し、また設定変更に関する設定項目を設定項目記憶部Ｍ７に記憶している。

【0116】

そして、リスク分析装置Ｂは、設定変更シーケンス図記憶部Ｍ６の通信手順（設定変更シーケンス図）及び設定項目記憶部Ｍ７の設定項目を用いてＩＥＤ１の設定を変更した上でリスク分析処理を行う。このようなリスク分析装置Ｂによれば、サイバー攻撃によりＩＥＤ１の設定が変更された場合であってもＩＥＤ１のリスク分析処理を確実に行うことが可能である。

【0117】

また、本実施形態によれば、リスク分析装置Ｂは、リスク分析結果に基づいて正常な通信信号または不正な通信信号を生成することによりセキュリティ対策装置Ｃ、ＤまたはＩＥＤ１Ａにおけるセキュリティ対策機能のチューニングを行うので、信頼性の高いセキュリティ対策機能をセキュリティ対策装置Ｃ、Ｄ及びＩＥＤ１Ａに実装することが可能である。

【0118】

さらに、本実施形態によれば、リスク分析装置Ｂは、セキュリティ対策の後またはチューニングの後のセキュリティ対策装置Ｃ、ＤまたはＩＥＤ１Ａについて、誤作動リスクを再分析することによりセキュリティ対策またはチューニングの有効性を実証するので、さらに信頼性の高いセキュリティ対策機能をセキュリティ対策装置Ｃ、Ｄ及びＩＥＤ１Ａに実装することが可能である。

【0119】

なお、本発明は上記実施形態に限定されるものではなく、例えば以下のような変形例が考えられる。例えば、ＩＥＤ１、１Ａは別々の装置の集合体として構成される場合がある。図１５は、一例としてＩＥＤ１、１ＡがＩＥＤ１９とＭＵ２０とによって構成される場合を示している。

【0120】

このようなＩＥＤ１、１Ａについて、リスク分析装置Ｂは、図示するようにＩＥＤ１９及びＭＵ２０と外部通信信号Ｓａの送受信を行う。また、リスク分析装置Ｂは、ＭＵ２０とデジタル・アナログ入出力信号Ｓｂをやり取りする。そして、リスク分析装置Ｂは、ＩＥＤ１９及びＭＵ２０との外部通信信号Ｓａの送受信並びにＭＵ２０とのデジタル・アナログ入出力信号Ｓｂのやり取りに基づいてリスク分析処理を行う。

【符号の説明】

【0121】

Ｂ リスク分析装置
Ｃ、Ｄ セキュリティ対策装置
Ｅ セキュリティ対策システム
Ｆ 不正端末
Ｍ１ 接続関係記憶部
Ｍ２ シーケンス図記憶部
Ｍ３ 送信元通信設定記憶部
Ｍ４ 信号記憶部
Ｍ５ 通信フォーマット記憶部
Ｍ６ 設定変更シーケンス図記憶部
Ｍ７ 設定項目記憶部
Ｍ８ 分析結果記憶部
Ｎ 通信回線
１、１Ａ ＩＥＤ
１ａ 通信部
１ｂ デジタル・アナログ入出力部
１ｃ 内部処理部
２ 開閉装置
３ 変圧器
４ 調相装置
５ 発電装置
６ 計器用変流器
７ 計器用変圧器
８ 設備保全用センサ
９ 補助ＩＥＤ
１０ テレコン
１１ 外部ＩＥＤ
１２ ＨＭＩ
１３ 保守用端末
１４ タイムサーバ
１５ 通信模擬部
１６ データベース部
１７ 自動試験部
１８ デジタル・アナログ入出力模擬部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】