特開 2023-97605 分析装置および分析方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2023097605

(43)【公開日】2023-07-10

(54)【発明の名称】分析装置および分析方法

(51)【国際特許分類】

   G06F 21/57 20130101AFI20230703BHJP

【ＦＩ】

G06F21/57 370

【審査請求】未請求

【請求項の数】14

【出願形態】ＯＬ

(21)【出願番号】P 2021213817

(22)【出願日】2021-12-28

(71)【出願人】

【識別番号】000005108

【氏名又は名称】株式会社日立製作所

(74)【代理人】

【識別番号】110001678

【氏名又は名称】藤央弁理士法人

(72)【発明者】

【氏名】田村 悠

(72)【発明者】

【氏名】辻 大輔

(72)【発明者】

【氏名】デーンホフ イェンス

(72)【発明者】

【氏名】磯部 義明

(72)【発明者】

【氏名】重本 倫宏

(72)【発明者】

【氏名】川口 信隆

(57)【要約】

【課題】可用性とセキュリティの両方を考慮したＣＰＳを提供すること。
【解決手段】分析装置は、評価対象をモデル化した評価対象モデルに所定のセキュリティ対策を適用して模擬攻撃を与えたシミュレーション結果から模擬攻撃結果を検出する第１検出部と、前記シミュレーション結果が前記評価対象の可用性に関する評価条件を遵守しているか否かを示す可用性評価結果を検出する第２検出部と、前記第１検出部によって検出された模擬攻撃結果と、前記第２検出部によって検出された可用性評価結果と、に基づいて、前記評価対象のセキュリティ対策および可用性の総合評価結果を生成する総合評価部と、を有する。
【選択図】図１

【特許請求の範囲】

【請求項1】

評価対象をモデル化した評価対象モデルに所定のセキュリティ対策を適用して模擬攻撃を与えたシミュレーション結果から模擬攻撃結果を検出する第１検出部と、
前記シミュレーション結果が前記評価対象の可用性に関する評価条件を遵守しているか否かを示す可用性評価結果を検出する第２検出部と、
前記第１検出部によって検出された模擬攻撃結果と、前記第２検出部によって検出された可用性評価結果と、に基づいて、前記評価対象のセキュリティ対策および可用性の総合評価結果を生成する総合評価部と、
を有することを特徴とする分析装置。

【請求項2】

請求項１に記載の分析装置であって、
前記総合評価結果に基づいて、前記評価対象に前記セキュリティ対策を適用すべきか否かを判断する判断部と、
前記判断部による判断結果を出力する出力部と、
を有することを特徴とする分析装置。

【請求項3】

請求項２に記載の分析装置であって、
前記判断結果に基づいて、前記評価対象を制御する制御部と、
を有することを特徴とする分析装置。

【請求項4】

請求項１に記載の分析装置であって、
前記評価対象モデルは、所定のネットワークの内部に存在する内部モデルと、前記所定のネットワークの外部に存在する外部モデルと、によって構成されており、
前記模擬攻撃結果は、前記外部モデルから前記内部モデルへの模擬攻撃の結果を含む、
ことを特徴とする分析装置。

【請求項5】

請求項１に記載の分析装置であって、
前記評価対象モデルは、所定のネットワークの内部に存在する内部モデルと、前記所定のネットワークの外部に存在する外部モデルと、によって構成されており、
前記模擬攻撃結果は、前記内部モデルから他の内部モデルへの模擬攻撃の結果を含む、
ことを特徴とする分析装置。

【請求項6】

請求項１に記載の分析装置であって、
前記評価対象モデルは、所定のネットワークの内部に存在する内部モデルと、前記所定のネットワークの外部に存在する外部モデルと、によって構成されており、
前記第２検出部は、前記内部モデルについて、前記可用性評価結果を検出する、
ことを特徴とする分析装置。

【請求項7】

請求項１に記載の分析装置であって、
前記総合評価結果は、前記可用性評価結果を含む、
ことを特徴とする分析装置。

【請求項8】

請求項１に記載の分析装置であって、
前記総合評価結果は、前記シミュレーション結果において前記模擬攻撃結果が成功した場合における前記可用性評価結果を含む、
ことを特徴とする分析装置。

【請求項9】

請求項１に記載の分析装置であって、
前記総合評価結果は、前記評価対象モデルでの前記模擬攻撃からの防御の成否を含む、
ことを特徴とする分析装置。

【請求項10】

請求項１に記載の分析装置であって、
前記総合評価結果は、前記模擬攻撃が前記評価対象モデル内における前記模擬攻撃の目標となる内部モデルに到達しなかったことを示す情報を含む、
ことを特徴とする分析装置。

【請求項11】

請求項１に記載の分析装置であって、
前記評価対象から収集した情報に基づいて、前記評価条件を生成する生成部を有し、
前記第２検出部は、前記シミュレーション結果が前記生成部によって生成された評価条件を遵守しているか否かを示す可用性評価結果を検出する、
ことを特徴とする分析装置。

【請求項12】

評価対象に関する第１パラメータの値が取り得る第１範囲と、前記第１パラメータの値が前記第１範囲内である場合に前記評価対象に関する第２パラメータの値が取り得る第２範囲と、を関連付けた関連情報を記憶する記憶部と、
前記評価対象から第１パラメータの値を検出する第１検出部と、
前記評価対象をモデル化した評価対象モデルに前記第１検出部によって検出された第１パラメータの検出値を与えたシミュレーション結果から、前記第２パラメータの計算値を検出する第２検出部と、
前記関連情報を参照して、前記検出値が前記第１範囲内の値で、かつ、前記第２検出部によって検出された計算値が前記第２範囲内の値であるか否かを判断する判断部と、
前記判断部による判断結果を出力する出力部と、
を有することを特徴とする分析装置。

【請求項13】

請求項１２に記載の分析装置であって、
前記判断結果が、前記検出値が前記第１範囲であると判断された場合、前記評価対象に前記計算値を設定する設定部と、
を有することを特徴とする分析装置。

【請求項14】

プログラムを実行するプロセッサと、前記プログラムを記憶する記憶デバイスと、を有する分析装置が実行する分析方法であって、
前記記憶デバイスは、評価対象に関する第１パラメータの値が取り得る第１範囲と、前記第１パラメータの値が前記第１範囲内である場合に前記評価対象に関する第２パラメータの値が取り得る第２範囲と、を関連付けた関連情報を記憶しており、
前記プロセッサは、
前記評価対象から第１パラメータの値を検出する第１検出処理と、
前記評価対象をモデル化した評価対象モデルに前記第１検出処理によって検出された第１パラメータの検出値を与えたシミュレーション結果から、前記第２パラメータの計算値を検出する第２検出処理と、
前記関連情報を参照して、前記検出値が前記第１範囲内の値で、かつ、前記第２検出処理によって検出された計算値が前記第２範囲内の値であるか否かを判断する判断処理と、
前記判断処理による判断結果を出力する出力処理と、
を実行することを特徴とする分析方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、データを分析する分析装置および分析方法に関する。

【背景技術】

【0002】

近年、ＩｏＴ（Ｉｎｔｅｒｎｅｔ ｏｆ Ｔｈｉｎｇｓ）技術などの進歩により、現実世界から様々な情報を収集できるようになったことから、現実空間にある情報を丸ごとモデル化し、現実空間で起きていることをサイバー空間で再現可能となった。このように、物理的または知覚的な実世界のエンティティ、コンセプト、または概念を電子的に表現（デジタル表現）したモデル、およびそれを実現するための技術をデジタルツインという。

【0003】

デジタルツインを用いて、現実空間とサイバー空間を密に結合、協働する相互連関の仕組みは、ＣＰＳ（Ｃｙｂｅｒ Ｐｈｙｓｉｃａｌ Ｓｙｓｔｅｍ）と呼ばれる。ＣＰＳは、現実空間にある多様なデータをセンサ等で収集し、サイバー空間で分析、知識化を行い、そこで創出した情報や価値を現実世界にフィードバックすることで、今まで人手で行っていた作業の一部または全部を自動化するという手法および技術である。

【0004】

下記特許文献１は、一連の産業資産の運用を最適化するための推奨事項を提供する方法を開示する。この方法では、一連の産業資産のデジタルツインが生成される。デジタルツインには、一連の産業資産の複数のサブシステムのそれぞれの状態を表すデータ構造が含まれている。これらの状態は、累積被害モデルを使用したシミュレーションの適用に基づいて推定される。累積被害モデルは、期間中の一連の産業資産の運用に対する外因性要因の影響をモデル化する。デジタルツインは、シミュレートされた運用パフォーマンスに関して分析され、産業資産の運用の最適化された制御を決定する。運用の最適化された制御は、特定の確率で、現在および将来の産業資産の特定の運用パフォーマンス基準を向上させるか、産業資産の運用に関連する経済的リスクを低減するために、共同で個別に計算される。産業資産の運用を最適化するため、または産業資産に関連する運用設定値を自動的に変更するために、ユーザインタフェースの使用を推奨する。

【0005】

下記特許文献２は、分析システムを開示する。この分析システムにおいて、トポロジ特定部は、診断対象システムに含まれる機器のネットワークトポロジを特定する。検出部は、機器に関するセキュリティの情報に基づいて、診断対象システムにおいて、実行可能な攻撃の流れを示す第１攻撃ルートを検出する。被害特定部は、第１攻撃ルート上の機器が攻撃された場合に受ける被害内容を示す被害情報を特定する。検出部は、被害内容に起因して実行可能な攻撃の流れを示す第２攻撃ルートを、セキュリティの情報と特定された被害情報とに基づいて検出する。

【先行技術文献】

【特許文献】

【0006】

【特許文献1】国際公開第２０１７／１９２９９８号

【特許文献2】国際公開第２０２０／１９５３００号

【発明の概要】

【発明が解決しようとする課題】

【0007】

制御機器を含むシステムにおけるＣＰＳの実現には、セキュリティの確保だけでなく、セキュリティ対策を含めた制御機器に対する動作指示についての可用性の考慮が必要になる。上記特許文献１および特許文献２ではその点について開示されていない。

【0008】

制御機器を含むシステムにおいては、システムに対する操作について、動作指示対象機器の正常な動作の担保だけでなく、動作指示対象機器の影響を受ける他の機器やシステム全体に対しても負の影響を及ぼさないことが強く求められる。

【0009】

たとえば、サイバー空間で完結しているモデルと異なり、現実空間のシステムに対する動作指示は、物理的に稼働する部位を持つ制御機器の状態が変化する。誤った動作指示が与えられると、動作指示対象機器およびその影響を受ける他の機器やシステム全体の故障や、その周囲にいる作業者の負傷などにつながる。このため、負の影響はサイバー空間で完結しない。

【0010】

本発明は、可用性とセキュリティの両方を考慮したＣＰＳを提供することを目的とする。

【課題を解決するための手段】

【0011】

本願において開示される発明の一側面となる分析装置は、評価対象をモデル化した評価対象モデルに所定のセキュリティ対策を適用して模擬攻撃を与えたシミュレーション結果から模擬攻撃結果を検出する第１検出部と、前記シミュレーション結果が前記評価対象の可用性に関する評価条件を遵守しているか否かを示す可用性評価結果を検出する第２検出部と、前記第１検出部によって検出された模擬攻撃結果と、前記第２検出部によって検出された可用性評価結果と、に基づいて、前記評価対象のセキュリティ対策および可用性の総合評価結果を生成する総合評価部と、を有することを特徴とする。

【0012】

本願において開示される発明の他の側面となる分析装置は、評価対象に関する第１パラメータの値が取り得る第１範囲と、前記第１パラメータの値が前記第１範囲内である場合に前記評価対象に関する第２パラメータの値が取り得る第２範囲と、を関連付けた関連情報を記憶する記憶部と、前記評価対象から第１パラメータの値を検出する第１検出部と、前記評価対象をモデル化した評価対象モデルに前記第１検出部によって検出された第１パラメータの検出値を与えたシミュレーション結果から、前記第２パラメータの計算値を検出する第２検出部と、前記関連情報を参照して、前記検出値が前記第１範囲内の値で、かつ、前記第２検出部によって検出された計算値が前記第２範囲内の値であるか否かを判断する判断部と、前記判断部による判断結果を出力する出力部と、を有することを特徴とす。

【発明の効果】

【0013】

本発明の代表的な実施の形態によれば、可用性とセキュリティの両方を考慮したＣＰＳを提供することができる。前述した以外の課題、構成および効果は、以下の実施例の説明により明らかにされる。

【図面の簡単な説明】

【0014】

【図1】図１は、実施例１にかかるセキュリティシステムの構成例を示す説明図である。

【図2】図２は、計算機のハードウェア構成例を示すブロック図である。

【図3】図３は、セキュリティデジタルツインコアシステムに対するデータの送受信関係の例を示した説明図である。

【図4】図４は、セキュリティデジタルツインにおける、評価対象システムからデータを収集し、セキュリティデジタルツイン用のモデルを生成する処理手順例を示すシーケンス図である。

【図5】図５は、評価対象システムに対する操作および制御処理手順例を示すシーケンス図である。

【図6】図６は、セキュリティデジタルツインコアシステムの挙動手順例を示すシーケンス図である。

【図7】図７は、セキュリティデジタルツインコアシステムのうち、シミュレーション系機能群１１０に関するデータの送受信関係の例を示す説明図である。

【図8】図８は、セキュリティデジタルツインモデルおよび可用性評価条件リストの生成手順を示すシーケンス図である。

【図9】図９は、可用性評価条件リストを自動生成処理手順の例を示すシーケンス図である。

【図10】図１０は、アクションモジュール群がモデル操作データを生成する手順例を示すシーケンス図である。

【図11】図１１は、セキュリティデジタルツインコアシステムにおけるシミュレーションが実行されるまでの手順例を示すシーケンス図である。

【図12】図１２は、セキュリティデジタルツインコアシステムのうち、評価／制御系機能群１２０に関するデータの送受信関係の例を示す説明図である。

【図13】図１３は、図１１の範囲における、シミュレーション実行後の各種評価およびその評価結果の出力処理手順例をシーケンス図である。

【図14】図１４は、評価対象システムに関するセキュリティデジタルツインモデルの構成例を示すブロック図である。

【図15】図１５は、ノード情報テーブルの一例を示す説明図である。

【図16】図１６は、脆弱性情報テーブルの一例を示す説明図である。

【図17】図１７は、可用性評価条件リストの一例を示す説明図である。

【図18】図１８は、図１４に示したセキュリティデジタルツインモデルを用いた、評価対象システムへのモデル操作データによる第１攻撃例を示す説明図である。

【図19】図１９は、図１４に示したセキュリティデジタルツインモデルを用いた、評価対象システムへのモデル操作データによる第２攻撃例を示す説明図である。

【図20】図２０は、図１４に示したセキュリティデジタルツインモデルを用いた、評価対象システムへのモデル操作データによる第３攻撃例を示す説明図である。

【図21】図２１は、図１４に示したセキュリティデジタルツインモデルを用いた、評価対象システムへのモデル操作データによる第４攻撃例を示す説明図である。

【図22】図２２は、セキュリティ対策モデル操作リストの一例を示す説明図である。

【図23】図２３は、対策αを適用した際のシミュレーション結果を示す説明図である。

【図24】図２４は、対策βを適用した際のシミュレーション結果を示す説明図である。

【図25】図２５は、対策γを適用した際のシミュレーション結果を示す説明図である。

【図26】図２６は、可用性評価結果検出部による対策αの可用性評価結果の検出例を示す説明図である。

【図27】図２７は、可用性評価結果検出部による対策βの可用性評価結果の検出例を示す説明図である。

【図28】図２８は、可用性評価結果検出部による対策γの可用性評価結果の検出例を示す説明図である。

【図29】図２９は、総合評価結果の一例を示す説明図である。

【図30】図３０は、実施例２にかかるセキュリティシステムの構成例を示す説明図である。

【図31】図３１は、稼働範囲テーブルの一例を示す説明図である。

【図32】図３２は、パラメータ変更の検証処理手順例を示すシーケンス図である。

【図33】図３３は、実施例２における可用性評価結果リストの一例を示す説明図である。

【発明を実施するための形態】

【実施例0015】

＜セキュリティシステムの構成＞
図１は、実施例１にかかるセキュリティシステムの構成例を示す説明図である。セキュリティシステムは、セキュリティデジタルツイン１と、評価対象システム２と、利用者用計算機システム３と、外部システムまたはサービス５と、デジタルツインシステム６と、を有する。

【0016】

実施例１では、セキュリティデジタルツイン１により、評価、操作および制御を行う対象のシステムを、評価対象システム２とする。また、セキュリティデジタルツイン１を操作し、評価対象システム２の評価、操作および制御を行う利用者を、利用者４とする。利用者４がセキュリティデジタルツイン１を操作するために用いる計算機を、利用者用計算機システム３とする。

【0017】

セキュリティデジタルツイン１は、セキュリティデジタルツインコアシステム１００と、コアシステム操作ＡＰＩインタフェース１０１と、システム情報収集部１０２と、システム制御部１０３と、管理機能部１０４と、を有する。

【0018】

セキュリティデジタルツインコアシステム１００は、セキュリティデジタルツイン１の主な処理を実行する。コアシステム操作ＡＰＩインタフェース１０１は、セキュリティデジタルツインコアシステム１００のアプリケーション側インタフェースである。システム情報収集部１０２は、セキュリティデジタルツインコアシステム１００の評価対象システム２側インタフェースのうち、評価対象システム２のシステム情報を収集する。システム制御部１０３は、評価対象システム２の制御を実行する。管理機能部１０４は、セキュリティデジタルツイン１およびセキュリティデジタルツインコアシステム１００を利用者４が利用者用計算機システム３を用いて操作するためのインタフェース機能を有する。

【0019】

セキュリティデジタルツインコアシステム１００は、セキュリティデジタルツイン１の主な処理を実行するシステムであり、シミュレーション系機能群１１０と、評価／制御系機能群１２０と、を有する。シミュレーション系機能群１１０および評価／制御系機能群１２０の各々の機能は、コアシステム操作ＡＰＩインタフェース１０１によって操作および管理される。

【0020】

シミュレーション系機能群１１０は、評価対象システム２から収集した情報を元に評価対象システム２をサイバー空間上でデジタルツインとして再現し、評価対象システム２に対する操作を実行したり模擬攻撃を実行したりする機能群である。具体的には、たとえば、シミュレーション系機能群１１０は、機能として、セキュリティデジタルツインモデル生成部１１１と、可用性評価条件生成部１１２と、アクションモジュール群１１３と、シミュレーション実行部１１４と、を有する。

【0021】

評価／制御系機能群１２０は、シミュレーション系機能群１１０によって実行されたシミュレーションの結果をセキュリティおよび可用性の観点で評価し、評価対象システム２に対する制御を生成する機能群である。具体的には、たとえば、評価／制御系機能群１２０は、第１検出部１２１と、第２検出部１２２と、セキュリティ対策総合評価部１２３と、システム自動適用判断部１２４と、を有する。また、第１検出部１２１～システム自動適用判断部１２４以外にもアクションモジュール群１１３の機能によっては追加の機能および機能群を備えてもよい。なお、セキュリティデジタルツインコアシステム１００の各機能の詳細は図３以降で後述する。

【0022】

これらの他に、セキュリティデジタルツイン１は、セキュリティデジタルツインコアシステム１００の自動実行を行うシステムとして任意の自動化システム１０５を１つ以上備えてもよい。自動化システム１０５の例としては、脆弱性情報の公開をトリガとして評価対象システム２の脆弱性を検査し、自動対策を実行するセキュリティ評価自動実行システムなどが挙げられる。

【0023】

また、評価対象システム２からの情報収集や評価対象システム２の制御を行う手段として、セキュリティデジタルツイン１の外部のシステムと共有するデジタルツインシステム６を備えてもよい。デジタルツインシステム６は、セキュリティデジタルツイン以外の外部システムまたはサービス５のベースとなるデジタルツインモデル生成および制御生成を行う機能などを有する。

【0024】

また、外部システムまたはサービス５からセキュリティデジタルツインコアシステム１００を操作するパスとしてパス１０６を備えてもよい。

【0025】

また、ここまで述べたセキュリティデジタルツイン１を構成する機能、および機能群である角四角で表記されるブロックにおいては、その機能を実現する目的において複数の機能から構成されてもよいし、ストレージやデータベースなどの任意の記憶システムを個別に有してもよい。

【0026】

また、セキュリティデジタルツイン１およびセキュリティデジタルツインコアシステム１００においては、図１に記載のない、システム全体ないしはシステムを構成する一部の機能で利用可能なストレージやデータベースなどの任意の記憶システムを個別に有してもよい。

【0027】

また、セキュリティデジタルツイン１およびそれを構成するシステム、機能、機能群においては図１に記載のない通信パスを有してもよい。

【0028】

＜計算機のハードウェア構成＞
図２は、計算機のハードウェア構成例を示すブロック図である。計算機２００は、図１に示したセキュリティデジタルツイン１、評価対象システム２、利用者用計算機システム３、外部システム５、デジタルツインシステム６の総称である。

【0029】

計算機２００は、プロセッサ２０１と、記憶デバイス２０２と、入力デバイス２０３と、出力デバイス２０４と、通信インタフェース（通信ＩＦ）２０５と、を有する。プロセッサ２０１、記憶デバイス２０２、入力デバイス２０３、出力デバイス２０４、および通信ＩＦ２０５は、バス２０６により接続される。プロセッサ２０１は、計算機２００を制御する。記憶デバイス２０２は、プロセッサ２０１の作業エリアとなる。また、記憶デバイス２０２は、各種プログラムやデータを記憶する非一時的なまたは一時的な記録媒体である。記憶デバイス２０２としては、たとえば、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、フラッシュメモリがある。入力デバイス２０３は、データを入力する。入力デバイス２０３としては、たとえば、キーボード、マウス、タッチパネル、テンキー、スキャナ、マイク、センサがある。出力デバイス２０４は、データを出力する。出力デバイス２０４としては、たとえば、ディスプレイ、プリンタ、スピーカがある。通信ＩＦ２０５は、ネットワークと接続し、データを送受信する。

【0030】

なお、計算機２００に記憶されているプログラムやデータの一部またはすべては、予め計算機２００が備える記憶デバイス２０２の非一時的な領域に格納されていてもよいし、必要に応じて、ネットワークに接続された他の装置の非一時的記憶装置から、または、図示していないインタフェースに接続される非一時的な記憶媒体から、記憶デバイス２０２の非一時的な領域に格納されてもよい。

【0031】

また、図１に示したセキュリティデジタルツイン１、評価対象システム２、利用者用計算機システム３、外部システム５、デジタルツインシステム６は、たとえば、図２に例示したようなハードウェア構成を有する１台以上の計算機２００の上で実行されることにより、後述する各処理を実現することができる。

【0032】

＜セキュリティデジタルツインコアシステム１００に対するデータの送受信関係＞
図３は、セキュリティデジタルツインコアシステム１００に対するデータの送受信関係の例を示した説明図である。セキュリティデジタルツインコアシステム１００内部のデータ送受信関係は図７以降で述べる。

【0033】

まず、評価対象システム２とセキュリティデジタルツインコアシステム１００およびその経路上のシステム情報収集部１０２、システム制御部１０３、デジタルツインシステム６の関係性について述べる。

【0034】

セキュリティデジタルツイン１は、システム情報収集部１０２によって評価対象システム２から評価対象システム２を構成する機器群のシステム情報やシステムの動作を表現する生データ３００を取得する。取得した生データ３００はシステム情報収集部１０２で構造化されたデータ３０１に変換され、セキュリティデジタルツインコアシステム１００内部に送られる。

【0035】

セキュリティデジタルツインコアシステム１００内部で生成された制御命令は、セキュリティデジタルツインコアシステム１００内部からシステム制御部１０３に構造化された制御命令データ３０２として送信される。

【0036】

システム制御部１０３は、構造化された制御命令データ３０２を、評価対象システム２を構成する機器において制御命令データ３０２による制御対象機器の制御に最適な形に変換し、制御命令３０３を制御対象機器に送信する。

【0037】

なお、この過程において、システム情報収集部１０２およびシステム制御部１０３の機能を、デジタルツインシステム６が外部システム５との共通機能として実行してもよい。また、システム情報収集部１０２およびシステム制御部１０３の機能を実行しなくても、デジタルツインシステム６が、構造化されたデータ３０１、制御命令データ３０２を中継し、セキュリティデジタルツインコアシステム１００に最適な形に変換する機能を提供してもよい。

【0038】

つぎに、利用者４、利用者用計算機システム３およびセキュリティデジタルツイン１の関係性について述べる。セキュリティデジタルツイン１を利用する利用者４は、利用者用計算機システム３を用いて、セキュリティデジタルツイン１にパス３１０によりアクセスする。

【0039】

その際、セキュリティデジタルツイン１のユーザインタフェースとしてセキュリティデジタルツイン１は管理機能部１０４を備える。セキュリティデジタルツイン１の操作方法として、たとえば、利用者用計算機システム３に備わるＷｅｂブラウジングソフトウェアを用いて操作するＷｅｂアプリケーションとして管理機能部１０４を用いてもよい。また、セキュリティデジタルツイン１を操作する専用のクライアントアプリケーションソフトウェアを利用者用計算機システム３にインストールさせ、クライアントアプリケーションソフトウェアの通信先として管理機能部１０４を用いてもよい。

【0040】

また、管理機能部１０４は、ＧＵＩ（Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）によって操作画面を利用者用計算機システム３に表示してもよいし、ＣＵＩ（Ｃｏｍｍａｎｄ－Ｌｉｎｅ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）によって操作する機能を利用者用計算機システム３に提供してもよい。

【0041】

つぎに、セキュリティデジタルツインコアシステム１００およびそのインタフェースであるコアシステム操作ＡＰＩインタフェース１０１と、セキュリティデジタルツインコアシステム１００を制御する管理機能部１０４と、自動化システム１０５と、外部システム５との関係性について述べる。

【0042】

利用者用計算機システム３から管理機能部１０４にパス３１０を経由して行われた操作はパス３０６により、コアシステム操作ＡＰＩインタフェース１０１を経由してセキュリティデジタルツインコアシステム１００の操作が行われる。

【0043】

パス３０７では、パス３０６でセキュリティデジタルツインコアシステム１００に送られた命令や操作の結果などを利用者用計算機システム３および利用者４に返答するためのデータが管理機能部１０４に送られる。

【0044】

同様に、外部システム５からはパス３０８およびコアシステム操作ＡＰＩインタフェース１０１を経由してセキュリティデジタルツインコアシステム１００に操作が行われ、その応答がパス３０９を経由して送られる。

【0045】

同様に、自動化システム１０５からの命令はパス３０４およびコアシステム操作ＡＰＩインタフェース１０１を経由してセキュリティデジタルツインコアシステム１００に送られ、その応答がパス３０５を経由して自動化システム１０５に送られる。

【0046】

最後に、利用者用計算機システム３および外部システム５はパス３１１によって外部システム５を操作する機能を有してもよい。また、外部システム５は、デジタルツインシステム６からシステム情報をパス３１２によって取得してもよいし、評価対象システム２を操作するための情報を、パス３１３を経由してデジタルツインシステム６に送信してもよい。

【0047】

＜セキュリティデジタルツイン用のモデル生成処理手順＞
図４は、セキュリティデジタルツイン１における、評価対象システム２からデータを収集し、セキュリティデジタルツイン用のモデルを生成する処理手順例を示すシーケンス図である。図４では、システム情報収集部１０２が評価対象システム２から情報を収集し、セキュリティデジタルツインコアシステム１００にデータを送る手順について述べている。以下、その手順を説明する。なお、図４では、デジタルツインシステム６をシステム情報収集部１０２として利用する場合について、点線で指し示している。その場合、以下の説明において「システム情報収集部１０２」を「デジタルツインシステム６」と読み替えることが可能である。

【0048】

まず、システム情報収集部１０２において、情報収集トリガーが発生する（ステップＳ４００）。情報収集トリガーとしては、たとえば、時間単位で発生するトリガー、セキュリティデジタルツインコアシステム１００からの要求によるトリガーなどが挙げられる。

【0049】

つぎに、システム情報収集部１０２は、ステップＳ４００の情報収集トリガーに基づいて評価対象システム２に対してシステム情報やシステム動作データの生データ３００を要求する（ステップＳ４０１）。

【0050】

評価対象システム２を構成する機器群は、ステップＳ４０１の要求に基づいて、システム情報収集部１０２にシステム情報やシステムの動作データの生データ３００を送信する（ステップＳ４０２）。なお、ステップＳ４００、ステップＳ４０１の過程を経ずに評価対象システム２の機器群がステップＳ４０２を実行してもよい。

【0051】

システム情報収集部１０２は、ステップＳ４０２により生データ３００を受け取ると、生データ３００を構造化データ３０１に変換し、その内部に蓄積する（ステップＳ４０３）。なお、構造化データ３０１を蓄積する場所や方法は任意の場所および方法でよい。たとえば、ファイル単位でシステム情報収集部１０２と同じ場所に保存する形や、セキュリティデジタルツイン１で共有するデータベースを用意し、そこに保存する形などがある。

【0052】

システム情報収集部１０２は、ステップＳ４０３が実行された後、直ちにセキュリティデジタルツインコアシステム１００に構造化データ３０１を送信してもよいし、セキュリティデジタルツインコアシステム１００から要求があるまでシステム情報収集部１０２で蓄積してもよい（ステップＳ４０４）。

【0053】

つぎに、システム情報収集部１０２からセキュリティデジタルツインコアシステム１００にデータを送る手順を述べる。

【0054】

まず、セキュリティデジタルツインコアシステム１００をトリガーにデータを収集する場合、セキュリティデジタルツインコアシステム１００においてモデル生成トリガーが発生する（ステップＳ４１０）。モデル生成トリガーはステップＳ４００同様に任意のトリガーでよい。

【0055】

つぎに、セキュリティデジタルツインコアシステム１００は、ステップＳ４１０に基づき、システム情報収集部１０２にデータ送信要求を実行する（ステップＳ４１１）。ここまでは、セキュリティデジタルツインコアシステム１００がデータを収集する場合に、システム情報収集部１０２にデータ送信要求を実行するまでの流れである。

【0056】

つぎに、システム情報収集部１０２が自らデータをセキュリティデジタルツインコアシステム１００に送る場合、システム情報収集部１０２でまずデータ送信トリガーが発生する（ステップＳ４１２）。データ送信トリガーはステップＳ４００同様に任意のトリガーでよい。また、ステップＳ４０３から連続してデータの送信を行う場合、ステップＳ４０３の終了がステップＳ４１２となる。

【0057】

システム情報収集部１０２は、データ送信要求を受信した場合（ステップＳ４１１）、または、データ送信トリガーが発生した場合（ステップＳ４１２）、システム情報収集部１０２で蓄積している構造化データ３０１をセキュリティデジタルツインコアシステム１００に送信する（ステップＳ４１３）。

【0058】

最後に、セキュリティデジタルツインコアシステム１００は、ステップＳ４１３で受信した構造化データ３０１を用いて、モデル生成などの内部処理を実行する（ステップＳ４１４）。

【0059】

＜評価対象システム２に対する操作および制御処理手順＞
図５は、評価対象システム２に対する操作および制御処理手順例を示すシーケンス図である。図５では、セキュリティデジタルツイン１は、セキュリティデジタルツインコアシステム１００で何らかの結果を得て、評価対象システム２に対して操作および制御を行う。なお、図５では、デジタルツインシステム６をシステム制御部１０３として利用する場合について、点線で指し示している。その場合、以下の説明において「システム制御部１０３」を「デジタルツインシステム６」と読み替えることが可能である。

【0060】

まず、セキュリティデジタルツインコアシステム１００で評価および制御の要求が発生し（ステップＳ５００）、それに基づきセキュリティデジタルツインコアシステム１００で評価処理が実行され、制御要求が生成される（ステップＳ５０１）。ここのステップの詳細は図６以降で説明するが、図５では、セキュリティデジタルツインコアシステム１００の機能として何らかの制御要求が生成される手順が行われたことを示す。

【0061】

つぎに、セキュリティデジタルツインコアシステム１００は、ステップＳ５０１で生成された制御要求を、システム制御部１０３に対して構造化された制御命令データ３０２として送信する（ステップＳ５０２）。

【0062】

システム制御部１０３は、ステップＳ５０２で構造化された制御命令データ３０２を受信すると、内部処理を実行する（ステップＳ５０３）。内部処理（ステップＳ５０３）は、たとえば、制御命令データ３０２で指定された評価対象システム２内の機器に適した制御命令に変換する処理である。

【0063】

つぎに、ステップＳ５０３で生成された制御命令を評価対象システム２の対象機器に対して送信する（ステップＳ５０４）。これに基づき、対象機器で制御が実行される（ステップＳ５０５）。

【0064】

つぎに、システム制御部１０３は、ステップＳ５０５の制御結果をセキュリティデジタルツインコアシステム１００で確認するため、評価対象システム２の対象機器に対して、ステップＳ５０５の制御結果を要求する（ステップＳ５０６）。

【0065】

評価対象システム２の対象機器は、ステップＳ５０６の要求を受けると、制御結果である制御後の状態をシステム制御部１０３に送信する（ステップＳ５０７）。

【0066】

システム制御部１０３は、ステップＳ５０７の制御結果を受信すると、受信した制御結果をセキュリティデジタルツインコアシステム１００で解釈可能な形に変換する内部処理を実行する（ステップＳ５０８）。

【0067】

最後に、システム制御部１０３は、ステップＳ５０８で変換された制御結果を、処理結果返答としてセキュリティデジタルツインコアシステム１００に送信する（ステップＳ５０９）。

【0068】

＜セキュリティデジタルツインコアシステム１００の挙動手順例＞
図６は、セキュリティデジタルツインコアシステム１００の挙動手順例を示すシーケンス図である。図６では、セキュリティデジタルツイン１において、利用者４がセキュリティデジタルツイン１およびその主な機能を司るセキュリティデジタルツインコアシステム１００を操作し、評価対象システム２の評価、制御、操作を要求した際の、主にセキュリティデジタルツインコアシステム１００の挙動の手順例を示す。なお、破線６１４内の処理は、評価対象システム２に対して何らかの制御、操作を伴う場合に実行される処理であり、評価のみを実行する場合は当該処理は実行されない。また、破線６１５内の処理は、制御処理の実行可否を利用者４に問い合わせる処理だが、この処理は実行しても実行しなくてもよい。また、処理によって破線６１５内の処理を実行するか否かを分けてもよい。

【0069】

まず、利用者用計算機システム３は、利用者４の操作により、セキュリティデジタルツイン１の評価、制御および操作の要求の入力を受け付ける（ステップＳ６００）。これに基づき、利用者用計算機システム３は管理機能部１０４に対して評価、制御および操作の要求を実行する（ステップＳ６０１）。

【0070】

管理機能部１０４は、ステップＳ６０１による評価、制御および操作の要求をセキュリティデジタルツインコアシステム１００の各機能部に転送する（ステップＳ６０２）。セキュリティデジタルツインコアシステム１００は、評価処理および操作処理を実行する（ステップＳ６０３）。

【0071】

つぎに、セキュリティデジタルツインコアシステム１００は、ステップＳ６０３の処理結果に基づき、制御処理が必要な場合は、制御処理を生成する（ステップＳ６０４）。この際、制御処理に関して利用者４に実行の確認が必要な場合、セキュリティデジタルツインコアシステム１００は、管理機能部１０４に確認要求を送信する（ステップＳ６０５）。管理機能部１０４は、確認要求を受信すると、利用者用計算機システム３に制御処理実行確認の入力を要求する（ステップＳ６０６）。

【0072】

利用者用計算機システム３は、利用者４の操作により、ステップＳ６０６により利用者用計算機システムに表示された制御処理実行確認の可否の入力を受け付け（ステップＳ６０７）、その応答を管理機能部１０４に送信する（ステップＳ６０８）。この時、ステップＳ６０７で入力された応答が制御処理可だった場合は、管理機能部１０４は、セキュリティデジタルツインコアシステム１００に対し、制御処理実行を命令する（ステップＳ６０９）。

【0073】

つぎに、制御処理を実行する場合、セキュリティデジタルツインコアシステム１００は、ステップＳ６０９に突入したことを図５のステップＳ５００における評価および制御の要求のトリガーとし、図５のステップＳ５００～ステップＳ５０９に基づいて制御処理を実行し、処理結果応答（ステップＳ５０９）を取得する（ステップＳ６１０）。

【0074】

つぎに、セキュリティデジタルツインコアシステム１００は、評価処理および操作処理のみの場合はステップＳ６０３の処理結果を、制御処理を含む場合はステップＳ６０３およびステップＳ６１１の処理結果を、結果応答として管理機能部１０４に送信する（ステップＳ６１１）。

【0075】

管理機能部１０４は、ステップＳ６１１の結果応答を利用者用計算機システム３に転送する（ステップＳ６１２）。利用者用計算機システム３は、ステップＳ６１２の結果応答を受信すると、その表示画面に表示する（ステップＳ６１３）。利用者４は、表示された結果応答を確認する。

【0076】

なお、ステップＳ６００～ステップＳ６１３で述べた手順は、図３における自動化システム１０５や、外部システム５に対して適用してもよい。その場合、利用者４、利用者用計算機システム３、管理機能部１０４に相当する部分が自動化システム１０５、外部システム５となる。また、外部システム５については、パス３１１を経由して利用者４、利用者用計算機システム３の操作によって動作してもよい。また、その他の方法によって、図１のパス１０６に直接接続される機能およびシステムや、管理機能部１０４に接続する形でステップＳ６００～ステップＳ６１３で述べた手順を実行してもよい。

【0077】

＜シミュレーション系機能群１１０に関するデータの送受信関係＞
図７は、セキュリティデジタルツインコアシステム１００のうち、シミュレーション系機能群１１０に関するデータの送受信関係の例を示す説明図である。以下、各機能とその関係性について述べる。

【0078】

システム情報収集部１０２からセキュリティデジタルツインコアシステム１００に送られた構造化データ３０１は、セキュリティデジタルツインモデル生成部１１１および可用性評価条件生成部１１２に入力される。

【0079】

セキュリティデジタルツインモデル生成部１１１は、セキュリティデジタルツイン１における様々なシミュレーションおよび評価を実行する上で必要なシステムのモデルであるセキュリティデジタルツインモデル７００を生成する。可用性評価条件生成部１１２は、システムの可用性を評価する上で必要な条件を備えたリストである可用性評価条件リスト７０１を生成する。

【0080】

アクションモジュール群１１３は、セキュリティデジタルツインモデル７００に対して行われる任意の操作を生成する機能群である。アクションモジュール群１１３は、セキュリティデジタルツイン１におけるコア機能の一つで、評価対象システム２に対して実行したい操作を、モデルに対する操作を示すモデル操作データ７０２を生成する。

【0081】

評価対象システム２に対して実行したい操作の例としては、図１の外部システムまたはサービス５が評価対象システム２に対して試みようとしている制御命令、評価対象システム２の脆弱性を攻撃した際に発生する影響を評価するために行われる模擬攻撃、評価対象システム２に存在する脆弱性を除去するために評価対象システム２に対して適用を試みているセキュリティ対策が挙げられる。

【0082】

アクションモジュール群１１３は、コアシステム操作ＡＰＩインタフェース１０１から送られるモデルに対する操作の要求、およびセキュリティデジタルツインモデル生成部１１１から送られてくるセキュリティデジタルツインモデル７００に基づいて、モデル操作データ７０２を生成し、シミュレーション実行部１１４に送信する。セキュリティデジタルツインモデル７００は、評価対象システム２をモデル化したデータである。

【0083】

コアシステム操作ＡＰＩインタフェース１０１は、管理機能部１０４、自動化システム１０５、外部システムまたはサービス５からのセキュリティデジタルツインコアシステム１００に対する要求を受信する。コアシステム操作ＡＰＩインタフェース１０１は、セキュリティデジタルツインモデル７００の生成要求、可用性評価条件リスト７０１の生成要求、アクションモジュール群１１３への操作の要求７０３、およびシミュレーションの実行命令７０４のような、セキュリティデジタルツインコアシステム１００の内部機能へ操作や命令を伝達し、それに基づくシミュレーションの結果７０５を受信し、要求送信元に対してその結果を応答する。

【0084】

シミュレーション実行部１１４は、コアシステム操作ＡＰＩインタフェース１０１を経由したシミュレーション実行命令７０４により、セキュリティデジタルツインモデル７００、可用性評価条件リスト７０１、モデル操作データ７０２を用いて、可用性およびセキュリティを考慮したＣＰＳの観点でシミュレーションを実行する。シミュレーション実行部１１４は、シミュレーションの結果７０５をコアシステム操作ＡＰＩインタフェース１０１および評価／制御系機能群１２０に送信する。

【0085】

＜セキュリティデジタルツインモデル７００および可用性評価条件リスト７０１の生成手順＞
図８は、セキュリティデジタルツインモデル７００および可用性評価条件リスト７０１の生成手順を示すシーケンス図である。図８では、システム情報収集部１０２からシステム情報を収集し、セキュリティデジタルツインモデル生成部１１１および可用性評価条件生成部１１２でセキュリティデジタルツインモデル７００および可用性評価条件リスト７０１が生成される手順例を示す。なお、破線８１０は図４にてステップＳ４１０～ステップＳ４１４で述べた内容である。

【0086】

セキュリティデジタルツインモデル７００および可用性評価条件リスト７０１の生成は、図４ステップＳ４１０～ステップＳ４１４で述べた通り、モデル生成トリガーの発生（ステップＳ４１０）およびデータ送信トリガーの発生（ステップＳ４１２）によって開始される。そのうち、モデル生成トリガーは、たとえば、コアシステム操作ＡＰＩインタフェース１０１の要求により発生する場合がある。

【0087】

この場合、コアシステム操作ＡＰＩインタフェース１０１は、モデル生成要求を受信すると（ステップＳ８００）、セキュリティデジタルツインモデル生成部１１１および可用性評価条件生成部１１２にモデル生成要求を送信する（ステップＳ８０１）。これにより、モデル生成トリガーの発生（ステップＳ４１０）が引き起こされる。以下、ステップＳ４１０～ステップＳ４１４はすでに述べた通りである。

【0088】

最後に、セキュリティデジタルツインモデル生成部１１１および可用性評価条件生成部１１２は、モデルの生成（ステップＳ４１４）が完了すると、その結果をコアシステム操作ＡＰＩインタフェース１０１に送信する（ステップＳ８０２）。コアシステム操作ＡＰＩインタフェース１０１は、その結果をモデル生成要求（ステップＳ８００）の要求元に送信する（ステップＳ８０３）。

【0089】

上述した可用性評価条件生成部１１２は、予め利用者４が作成した可用性評価条件リスト７０１を読み出してもよいし、可用性評価条件リスト７０１を自動生成してもよい。可用性評価条件リスト７０１を自動生成する場合について具体的に説明する。

【0090】

＜可用性評価条件リスト７０１を自動生成処理手順＞
図９は、可用性評価条件リスト７０１を自動生成処理手順の例を示すシーケンス図である。以下、手順を述べる。コアシステム操作ＡＰＩインタフェース１０１は、可用性評価条件リスト７０１の生成要求を受信する（ステップＳ９００）。可用性評価条件リスト７０１の生成要求は、たとえば、利用者４の操作による利用者用計算機システム３から、自動化システム１０５から、または外部システムまたはサービス５から送信される。

【0091】

コアシステム操作ＡＰＩインタフェース１０１は、可用性評価条件リスト７０１の生成要求を受信すると、可用性評価条件生成部１１２に送信する（ステップＳ９０１）。

【0092】

可用性評価条件生成部１１２は、可用性評価条件リスト７０１の生成要求を受信すると、システム情報収集部１０２に、要求された可用性条件の生成に関連する評価対象システム２を構成する機器システムの正常系の動作データを要求する（ステップＳ９０２）。正常系の動作とは、当該機器システムが問題なく正常に動作しているときの動作を指す。この動作を示すデータは、たとえばアプリケーションやシステムのログなどが挙げられる。

【0093】

システム情報収集部１０２は、システム動作データを評価対象システム２に要求し（ステップＳ９０３）、システム動作データを評価対象システム２から受信する（ステップＳ９０４）。なお、ステップＳ９０３、ステップＳ９０４を含む破線９１１については、ステップＳ９００に基づいて実行されてもよく、図４における情報収集トリガー発生（ステップＳ４００）によって実行されてもよい。なお、情報収集トリガー発生（ステップＳ４００）によって実行された場合は、システム情報収集部１０２は、システム情報収集部１０２内でストアしているシステム動作データを読み出すものとする。また、情報収集トリガー発生（ステップＳ４００）によって取得したシステム動作データとステップＳ９００に基づいて破線９１１で取得したデータの両方を用いてもよい。

【0094】

システム情報収集部１０２は、評価対象システム２のシステム動作データをシステム正常系の動作データとして可用性評価条件生成部１１２に返答する（ステップＳ９０５）。

【0095】

可用性評価条件生成部１１２は、システム正常系の動作データを取得すると、ステップＳ９００で要求された可用性条件に係るシステム動作データを抽出し、分析で利用できるように変換する（ステップＳ９０６）。たとえば、ステップＳ９０２の説明で述べたログを用いた動作データ取得例では、可用性評価条件生成部１１２は、ログから要求された可用性条件に係る項目を抽出し、構造化されたデータに変換する。

【0096】

可用性評価条件生成部１１２は、抽出したシステム動作データから正常系の成立条件を抽出する（ステップＳ９０７）。具体的には、たとえば、可用性評価条件生成部１１２は、抽出したシステム動作データを元に、評価対象システム２が可用性を満たす条件を抽出する。可用性を満たす条件を抽出する方法としては、予めリストアップされた一般的な正常系動作項目と突き合わせて該当する項目を選択する方法や、システム動作を解析可能な構造化データに変換することで条件を抽出する方法などがある。

【0097】

つぎに、可用性評価条件生成部１１２は、ステップＳ９０７で生成されたデータを保存する（ステップＳ９０８）。これにより、後述する図１１におけるＳ１１０５で送信する可用性評価条件が予め用意される。最後に、可用性評価条件生成部１１２は、ステップＳ９０８までの結果をコアシステム操作ＡＰＩインタフェース１０１に返答し（ステップＳ９０９）、可用性評価条件リスト７０１の生成要求元に送信する（ステップＳ９１０）。

【0098】

＜モデル操作データ７０２の生成処理手順＞
図１０は、アクションモジュール群１１３がモデル操作データ７０２を生成する手順例を示すシーケンス図である。以下にその手順を示す。まず、コアシステム操作ＡＰＩインタフェース１０１は、モデル操作データ７０２の生成要求を受信する（ステップＳ１０００）。コアシステム操作ＡＰＩインタフェース１０１は、生成要求を受信すると、当該生成要求をアクションモジュール群１１３に送信する（ステップＳ１００１）。

【0099】

つぎに、アクションモジュール群１１３は、モデル生成に必要なセキュリティデジタルツインモデル７００を、セキュリティデジタルツインモデル生成部１１１に要求する（ステップＳ１００２）。
セキュリティデジタルツインモデル生成部１１１は、ステップＳ１００２のモデル送信要求を受信すると、アクションモジュール群１１３にセキュリティデジタルツインモデル７００を送信する（ステップＳ１００３）。

【0100】

アクションモジュール群１１３は、ステップＳ１００３でセキュリティデジタルツインモデル７００と、モデル操作データ７０２の生成要求と、を受信すると、モデル操作データ７０２を生成する（ステップＳ１００４）。

【0101】

最後に、アクションモジュール群１１３は、ステップＳ１００４のモデル操作データ７０２をコアシステム操作ＡＰＩインタフェース１０１に送信し（ステップＳ１００５）、モデル操作データ７０２の生成要求の送信元に、モデル操作データ７０２を送信する（ステップＳ１００６）。

【0102】

＜セキュリティデジタルツインコアシステム１００におけるシミュレーション実行処理手順＞
図１１は、セキュリティデジタルツインコアシステム１００におけるシミュレーションが実行されるまでの手順例を示すシーケンス図である。以下、手順を説明する。まず、コアシステム操作ＡＰＩインタフェース１０１は、シミュレーション実行命令７０４を受信する（ステップＳ１１００）。コアシステム操作ＡＰＩインタフェース１０１は、受信したシミュレーション実行命令７０４を、シミュレーション実行部１１４に送信する（ステップＳ１１０１）。

【0103】

つぎに、シミュレーション実行部１１４は、モデル取得要求をセキュリティデジタルツインモデル生成部１１１に送信する（ステップＳ１１０２）。セキュリティデジタルツインモデル生成部１１１は、当該モデル取得要求を受信すると、セキュリティデジタルツインモデル７００をシミュレーション実行部１１４に送信する（ステップＳ１１０３）。

【0104】

また、シミュレーション実行部１１４は、条件リスト取得要求を可用性評価条件生成部１１２に送信する（ステップＳ１１０４）。可用性評価条件生成部１１２は、当該条件リスト取得要求を受信すると、可用性評価条件リスト７０１をシミュレーション実行部１１４に送信する（ステップＳ１１０６）。

【0105】

また、シミュレーション実行部１１４は、モデル操作データ取得要求をアクションモジュール群１１３に送信する（ステップＳ１１０６）。アクションモジュール群１１３は、当該モデル操作データ取得要求を受信すると、モデル操作データ７０２をシミュレーション実行部１１４に送信する（ステップＳ１１０７）。

【0106】

なお、セキュリティデジタルツインモデル生成部１１１、可用性評価条件生成部１１２、アクションモジュール群１１３での処理過程については図８および図１０ですでに述べた通りである。この時、ステップＳ１１００と同時に図８および図１０における最初の要求であるステップＳ８００、ステップＳ１０００が実行されてもよいものとする。

【0107】

その場合、セキュリティデジタルツインモデル７００、可用性評価条件リスト７０１、モデル操作データ７０２の取得要求に関する応答は、ステップＳ８００、ステップＳ１０００による要求によるモデル生成が完了するのを待つものとする。また、ステップＳ１１０２～ステップＳ１１０３、ステップＳ１１０４～ステップＳ１１０５、ステップＳ１１０６～ステップＳ１１０７の３つの組み合わせについては、便宜上ステップ番号を割り当てているが、非同期に取得してもよいし、組み合わせの順序を変えてもよい。

【0108】

シミュレーション実行部１１４は、セキュリティデジタルツインモデル７００、可用性評価条件リスト７０１、モデル操作データ７０２の取得が完了した後、シミュレーション実行命令（ステップＳ１１００）に基づいてシミュレーションを実行する（ステップＳ１１０８）。

【0109】

シミュレーション実行部１１４は、ステップＳ１１０８の実行が完了したら、そのシミュレーション結果７０５を評価／制御系機能群１２０およびコアシステム操作ＡＰＩインタフェース１０１に送信する（ステップＳ１１０９）。なお、評価／制御系機能群１２０で実行されるステップＳ１１１０、ステップＳ１１１１については図１２以降で述べる。

【0110】

最後に、コアシステム操作ＡＰＩインタフェース１０１は、受信したシミュレーション結果７０５を、シミュレーション実行命令７０４の送信元に送信する（ステップＳ１１１２）。

【0111】

＜評価／制御系機能群１２０に関するデータの送受信関係＞
図１２は、セキュリティデジタルツインコアシステム１００のうち、評価／制御系機能群１２０に関するデータの送受信関係の例を示す説明図である。以下、各機能とその関係性について述べる。

【0112】

シミュレーション系機能群１１０は、シミュレーション結果７０５を、コアシステム操作ＡＰＩインタフェース１０１、第１検出部１２１および第２検出部１２２に送信する。

【0113】

第１検出部１２１は、アクションモジュール群１１３によって生成されたモデル操作データ７０２に模擬攻撃に関するモデル操作データ７０２が含まれていた際に、シミュレーション結果７０５からその模擬攻撃に関するモデル操作データ７０２を検出する。第１検出部１２１は、検出された模擬攻撃に関するモデル操作データ７０２を模擬攻撃結果１２０１としてコアシステム操作ＡＰＩインタフェース１０１およびセキュリティ対策総合評価部１２３に送る。

【0114】

第２検出部１２２は、可用性評価条件リスト７０１に基づき、シミュレーション実行部１１４で行われたシミュレーションにおける可用性評価結果１２０２を検出する。

【0115】

第２検出部１２２は、検出された可用性評価結果１２０２をコアシステム操作ＡＰＩインタフェース１０１、システム自動適用判断部１２４に送る。また、第２検出部１２２は、アクションモジュール群１１３によって生成されたモデル操作データ７０２に模擬攻撃に関するモデル操作が含まれていた場合、およびアクションモジュール群１１３によって生成されたモデル操作データ７０２にセキュリティ対策に関するモデル操作が含まれていた場合は、セキュリティ対策総合評価部１２３にも可用性評価結果１２０２を送信する。

【0116】

セキュリティ対策総合評価部１２３は、シミュレーション系機能群１１０で行われたシミュレーションにセキュリティに関するものが含まれていた場合に、セキュリティと可用性の両面でそのシミュレーション結果７０５を評価する。具体的には、たとえば、セキュリティ対策総合評価部１２３は、評価対象システム２に対して適用を予定していた操作がセキュリティと可用性の両面で問題がないか判断する。セキュリティ対策総合評価部１２３は、評価結果である攻撃リスク評価データ１２０３を、システム自動適用判断部１２４に送る。

【0117】

システム自動適用判断部１２４は、評価対象システム２に対して適用することを想定し、アクションモジュール群１１３で発行されたモデル操作データ７０２の操作や対策を、可用性評価結果１２０２、攻撃リスク評価データ１２０３に基づいて、評価対象システム２に対して自動的に適用してよいか判断する。また、システム自動適用判断部１２４は、複数の操作が入力されていた場合は、それらを比較検討し、どの操作が最も適しているかを判断する。

【0118】

自動適用の判断においては、利用者４により予め判断の閾値などが設定されてもよいし、機械学習などの任意の判定技術を用いて判断をしてもよい。また、自動的に判断できない場合について、システム自動適用判断部１２４は、コアシステム操作ＡＰＩインタフェース１０１を経由して、利用者４に対してその適用の可否について応答を要求してもよい。システム自動適用判断部１２４は、実際に制御命令を実行する場合は、構造化された制御命令１２０５をシステム制御部１０３に送る。システム制御部１０３は、制御命令１２０５により、適用可能とされた対策を評価対象システム２に設定する。また、自動適用の可否を問わず、その適用可否結果および制御命令１２０４をコアシステム操作ＡＰＩインタフェース１０１に対して送る。

【0119】

＜シミュレーション実行後の各種評価およびその評価結果の出力処理手順＞
図１３は、図１１の範囲における、シミュレーション実行後の各種評価およびその評価結果の出力処理手順例をシーケンス図である。以下、手順を説明する。なお、破線１３１２はシミュレーション系機能群１１０で行われたシミュレーションにセキュリティに関する処理が含まれていた場合に実行されるステップである。また、破線１３１３は破線１３１２が実行されない場合に実行されるステップである。

【0120】

まず、図１１に示すステップを経てシミュレーション結果７０５が確定する（ステップＳ１３００）。その後、シミュレーション系機能群１１０は、シミュレーション結果７０５を、コアシステム操作ＡＰＩインタフェース１０１および第２検出部１２２に送信する。また、シミュレーションにセキュリティに関する処理が含まれていた場合は、シミュレーション系機能群１１０は、シミュレーション結果７０５を、第１検出部１２１にも送信する（ステップＳ１３０１）。

【0121】

つぎに、第２検出部１２２は、可用性評価条件リスト７０１に基づき、シミュレーション実行部１１４で行われたシミュレーションにおける可用性評価結果１２０２を検出する。

【0122】

つぎに、第２検出部１２２は、ステップＳ１３０２で検出した可用性評価結果１２０２をコアシステム操作ＡＰＩインタフェース１０１に送信する（ステップＳ１３０３）。

【0123】

つぎに、前述した破線１３１２の条件を満たす場合、以下ステップＳ１３０４～ステップＳ１３０８に至るステップを実行する。

【0124】

まず、第１検出部１２１は、模擬攻撃に関するモデル操作データ７０２を検出する（ステップＳ１３０４）。つぎに、第１検出部１２１は、ステップＳ１３０４の模擬攻撃に関するモデル操作データ７０２を、模擬攻撃結果１２０１としてコアシステム操作ＡＰＩインタフェース１０１およびセキュリティ対策総合評価部１２３に送信する（ステップＳ１３０５）。

【0125】

また、第２検出部１２２は、可用性評価結果１２０２をセキュリティ対策総合評価部１２３に送信する（ステップＳ１３０６）。

【0126】

セキュリティ対策総合評価部１２３は、ステップＳ１３０５とステップＳ１３０６により模擬攻撃結果１２０１と可用性評価結果１２０２を受信すると、当該シミュレーションにおける評価対象システム２に適用を予定していた操作に関して、セキュリティと可用性の両面で評価する（ステップＳ１３０７）。

【0127】

つぎに、セキュリティ対策総合評価部１２３は、ステップＳ１３０７の総合評価結果をコアシステム操作ＡＰＩインタフェース１０１およびシステム自動適用判断部１２４に送信する（ステップＳ１３０８）。

【0128】

破線１３１２の条件を満たさない場合は、破線１３１３のステップとして、第２検出部１２２は、ステップＳ１３０３でコアシステム操作ＡＰＩインタフェース１０１に送信した可用性評価結果１２０２を、システム自動適用判断部１２４に送信する（ステップＳ１３０９）。

【0129】

システム自動適用判断部１２４は、破線１３１２、破線１３１３の各最終ステップＳ１３０８、ステップＳ１３０９が実行された後、受け取った総合評価結果（ステップＳ１３０８）および評価結果（ステップＳ１３０９）を元に、評価対象システム２への自動適用を判断する（ステップＳ１３１０）。

【0130】

最後に、システム自動適用判断部１２４は、ステップＳ１３１０の自動適用判断結果を、コアシステム操作ＡＰＩインタフェース１０１に送信するとともに、評価対象システム２への自動適用が行われる場合はその制御命令１２０５をシステム制御部１０３に送信する（ステップＳ１３１１）。

【0131】

以上、図１～図１３で述べた形で、評価対象システム２に対して行われる操作について、セキュリティデジタルツイン１によって、セキュリティと可用性の双方を考慮したＣＰＳを実現することが可能になる。

【0132】

以下、セキュリティデジタルツイン１を用いたＣＰＳ実現例として、評価対象システム２のセキュリティリスクを評価した上で、可用性に影響を与えずにセキュリティ対策を立案、実行する例について述べる。

【0133】

＜セキュリティデジタルツインモデルの構成例＞
図１４は、評価対象システム２に関するセキュリティデジタルツインモデル７００の構成例を示すブロック図である。セキュリティデジタルツインモデル７００は、情報系システムと制御系システムが融合した小規模システムをモデル化したデータであり、具体的には、たとえば、モデルデータとして、社外サービス提供計算機１４０５と、社内サービス提供計算機１４１０と、を有する。

【0134】

社外サービス提供計算機１４０５は、社外顧客１４０１および社外顧客１４０１が利用する社外顧客計算機１４００に対してＷｅｂサービスを提供するコンピュータモデルである。社内サービス提供計算機１４１０は、社内の従業員１４０９および従業員１４０９の利用する従業員ＯＡ計算機１４０８に対してＷｅｂサービスを提供するコンピュータモデルである。

【0135】

また、セキュリティデジタルツインモデル７００は、情報ネットワーク１４１１に接続する制御機器監視および操作用計算機１４０７を経由して制御ネットワーク１４１４に接続されている。セキュリティデジタルツインモデル７００は、制御機器を制御するＰＬＣ（Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｃｏｎｔｒｏｌｌｅｒ）１４１２と、ＰＬＣ１４１２によって制御される制御機器１４１３と、を有する。ＰＬＣ１４１２および制御機器１４１３は、制御ネットワーク１４１４に接続されている。

【0136】

そのほか、セキュリティデジタルツインモデル７００は、インターネット１４０２との接続面においてファイアウォール１４０３およびＷＡＦ（Ｗｅｂ Ａｐｐｌｉｃａｔｉｏｎ Ｆｉｒｅｗａｌｌ）１４０４を、モデルデータとして有する。また、セキュリティデジタルツインモデル７００は、インターネット１４０２と社内情報ネットワーク１４１１の境界に、社内ネットワークルータ１４０６をモデルデータとして有する。

【0137】

すなわち、インターネット１４０２を境界として、ファイアウォール１４０３、ＷＡＦ１４０３、社外サービス提供計算機１４０５、社内ネットワークルータ１４０６、制御機器監視および操作用計算機１４０７、従業員ＯＡ計算機、従業員１４０９、社内サービス提供計算機１４１０、情報ネットワーク１４１１、ＰＬＣ１４１２、制御機器１４１３、制御ネットワーク１４１４は、社内ネットワーク内に存在するモデルデータである。一方、社外顧客計算機１４００および顧客１４０１は、インターネット１４０２を境界として、社内ネットワーク外に存在するモデルデータである。

【0138】

以下、セキュリティデジタルツイン１がセキュリティリスク評価より評価対象システム２の脆弱性の有無をセキュリティデジタルツインモデル７００で評価し、脆弱性がある場合、その対策をセキュリティと可用性の両面で評価し、適切な対策を立案する処理について説明する。

【0139】

実施例１においては、社外サービス提供計算機１４０５および社内サービス提供計算機１４１０に脆弱性があるものとする。具体的には、社外サービス提供計算機１４０５および社内サービス提供計算機１４１０にインストールされているコマンドライン操作アプリケーションであるＢａｓｈの脆弱性である「ＳｈｅｌｌＳｈｏｃｋ」を、Ｗｅｂアプリケーションを実行するために必要となる機能の一つであるＣＧＩ（Ｃｏｍｍｏｎ Ｇａｔｅｗａｙ Ｉｎｔｅｒｆａｃｅ）を経由して悪用することで、社外サービス提供計算機１４０５および社内サービス提供計算機１４１０において、任意のコマンドが可能となる脆弱性があるものとする。この脆弱性は、Ｗｅｂサーバ（本例では社外サービス提供計算機１４０５および社内サービス提供計算機１４１０）にＷｅｂブラウザからアクセスが可能であれば実行可能な脆弱性であることが分かっている。

【0140】

図１４において、顧客１４０１および従業員１４０９を除いた構成要素１４００～１４１４は、そのままセキュリティデジタルツインモデル７００として表現される。この時、ティデジタルツインモデル７００においては、構成要素１４００～１４１４（顧客１４０１および従業員１４０９を除く）を構成する様々な情報が記録される。以降、構成要素１４００～１４１４（顧客１４０１および従業員１４０９を除く）を「ノード」と称す。

【0141】

記録される情報としては、たとえば、ハードウェアの種類やベンダがある。ノードが情報機器の場合は、オペレーティングシステム、そのバージョン、インストールされているソフトウェアとそのバージョン、ＩＰアドレスがある。

【0142】

＜ノード情報テーブル＞
図１５は、ノード情報テーブルの一例を示す説明図である。ノード情報テーブル１５００は、ノード毎に記録される情報を表形式で表現したデータテーブルである。ノード情報テーブル１５００は、セキュリティデジタルツイン１として動作する計算機２００の記憶デバイス２０２に格納される。

【0143】

ノード情報テーブル１５００は、フィールドとして、たとえば、ノード１５０１と、Ｂａｓｈのバージョン１５０２と、ＣＧＩの有効性１５０３と、を有する。これら以外にも、脆弱性に関連する情報がフィールドとして存在してもよい。

【0144】

ノード１５０１は、構成要素１４００～１４１４（顧客１４０１および従業員１４０９を除く）を一意に特定する。Ｂａｓｈのバージョン１５０２は、そのノード１５０１にインストールされたＢａｓｈのバージョン番号である。ＣＧＩの有効性１５０３は、ＣＧＩが有効になっているか否かを示すフラグであり、「Ｙｅｓ」が有効、「Ｎｏ」が無効を示す。

【0145】

図１４の例では、ノード情報テーブル１５００を参照すると、社外サービス提供計算機１４０５および社内サービス提供計算機１４１０は、ともにＢａｓｈのバージョン１５０２が「４．２」であり、ＣＧＩは有効を示す「Ｙｅｓ」であることがわかる。

【0146】

＜脆弱性情報テーブル＞
図１６は、脆弱性情報テーブルの一例を示す説明図である。脆弱性情報テーブル１６００は、アクションモジュール群１１３の中の模擬攻撃の生成を行うアクションモジュールが保有する脆弱性情報の例の一部を表形式で示したデータテーブルである。脆弱性情報テーブル１６００は、セキュリティデジタルツイン１として動作する計算機２００の記憶デバイス２０２に格納される。

【0147】

脆弱性情報テーブル１６００は、一例として、前述したＢａｓｈの脆弱性「ＳｈｅｌｌＳｈｏｃｋ」に関する脆弱性情報を記憶する。具体的には、たとえば、脆弱性情報テーブル１６００は、フィールドとして、ＣＶＥ（Ｃｏｍｍｏｎ Ｖｕｌｎｅｒａｂｉｌｉｔｉｅｓ ａｎｄ Ｅｘｐｏｓｕｒｅｓ）番号１６０１と、脆弱性名１６０２と、スコア１６０３と、ターゲット１６０４と、ターゲットバージョン１６０５と、セキュリティリスク１６０６と、を有する。同一行の各フィールド１６０１～１６０６の値の組み合わせが１つの脆弱性情報を規定する。

【0148】

ＣＶＥ番号１６０１は、脆弱性を一意に識別する番号である。脆弱性名１６０２は、ＣＶＥ番号１６０１で特定される脆弱性に付与された名称である。スコア１６０３は、脆弱性が評価対象システム２に及ぼす影響を０～１０で数値化したデータである。スコア１６０３の数値が小さければ評価対象システム２に及ぼす影響が小さく、大きければ影響が大きい。

【0149】

ターゲット１６０４は、ＣＶＥ番号１６０１で特定される脆弱性が存在するアプリケーションの名称である。ターゲットバージョン１６０５は、ＣＶＥ番号１６０１で特定される脆弱性が存在するアプリケーションのバージョンである。セキュリティリスク１６０６は、ＣＶＥ番号１６０１で特定される脆弱性がどのようなセキュリティリスクがあるかを説明する文である。図１６では、ＣＶＥ番号１６０１が「ＣＶＥ―２０１４－６２７１」および「ＣＶＥ―２０１４－７１６９」で。脆弱性名１６０２が「ＳｈｅｌｌＳｈｏｃｋ」である脆弱性情報について記憶されている。

【0150】

＜可用性評価条件リスト７０１＞
図１７は、可用性評価条件リスト７０１の一例を示す説明図である。可用性評価条件リスト７０１は、可用性評価条件を規定する情報であり、セキュリティデジタルツイン１として動作する計算機２００の記憶デバイス２０２に格納される。

【0151】

可用性評価条件リスト７０１は、評価対象ノード１７０１と、可用性評価項目１７０２と、違反許容時間１７０３と、違反許容例外１７０４と、を規定する。評価対象ノード１７０１は、評価対象システム２において、可用性の評価対象となるノードを規定する。実施例１では、社外サービス提供計算機１４０５および社内サービス提供計算機１４１０を、評価対象ノード１７０１とする。

【0152】

可用性評価項目１７０２は、評価対象ノード１７０１について何をどのように評価するかを規定する。違反許容時間１７０３は、評価対象ノード１７０１が可用性評価項目１７０２を満たさないことを許容する時間を規定する。違反許容例外１７０４は、評価対象ノード１７０１が可用性評価項目１７０２を満たさないことを許容する条件を規定する。

【0153】

可用性評価条件リスト７０１は、社外サービス提供計算機１４０５については、事前告知のあるメンテナンス以外で計算機１４０５およびその上で動いているＷｅｂサービスが停止することを許容していないことを規定する。

【0154】

また、同様に、可用性評価条件リスト７０１は、社内サービス提供計算機１４１０については、事前告知のあるメンテナンス時の他、営業日の営業時間外や営業日外においては計算機１４１０およびそのうえで動いているＷｅｂサービスが停止することを許容しており、また、そうでない場合においても最大１０分間停止を許容していることを規定する。

【0155】

＜モデル操作データ７０２による攻撃例＞
つぎに、アクションモジュール群１１３のうち模擬攻撃の生成を行うアクションモジュールで生成されるモデル操作データ７０２による攻撃例を図１８～図２１を用いて説明する。

【0156】

図１８は、図１４に示したセキュリティデジタルツインモデル７００を用いた、評価対象システム２へのモデル操作データ７０２による第１攻撃例を示す説明図である。図１８において、攻撃者１８００および攻撃者計算機１８０１は、インターネット１４０２を境界として、社内ネットワーク外に存在するモデルデータである。

【0157】

第１攻撃例では、攻撃者１８００が攻撃者計算機１８０１を用いてインターネット１４０２経由で社外サービス提供計算機１４０５に攻撃を実行し（パス１８０２）、任意コード実行により、社内情報ネットワーク１４１１に侵入し（パス１８０３）、制御機器監視／操作用計算機１４０７を経由して、ＰＬＣ１４１２を操作し（パス１８０４）、制御機器１４１３に不正な命令を実行し（パス１８０５）、制御機器１４１３に致命的な障害を発生させる。

【0158】

このパス１８０２～１８０５が模擬攻撃の攻撃経路を示すモデル操作データ７０２であり、パス１８０２～１８０５を通る模擬攻撃をセキュリティデジタルツイン１に与えてシミュレーションを実行することにより、パス１８０２～１８０５を通った場合の模擬攻撃結果が、第１検出部１２１によって検出される。

【0159】

図１９は、図１４に示したセキュリティデジタルツインモデル７００を用いた、評価対象システム２へのモデル操作データ７０２による第２攻撃例を示す説明図である。図１９において、攻撃者１８００および攻撃者計算機１８０１は、インターネット１４０２を境界として、社内ネットワーク外に存在するモデルデータである。

【0160】

第２攻撃例では、攻撃者１８００が攻撃者計算機１８０１を用いてインターネット１４０２経由で社外サービス提供計算機１４０５に模擬攻撃を実行し（パス１９００）、社外サービス提供計算機１４０５に対して致命的な障害を発生させ、そのサービスを停止させる。

【0161】

このパス１９００が模擬攻撃に関するモデル操作データ７０２であり、パス１９００を通る模擬攻撃をセキュリティデジタルツイン１に与えてシミュレーションを実行することにより、パス１９００を通った場合の模擬攻撃結果が、第１検出部１２１によって検出される。

【0162】

図２０は、図１４に示したセキュリティデジタルツインモデル７００を用いた、評価対象システム２へのモデル操作データ７０２による第３攻撃例を示す説明図である。図２０において、攻撃者１８００および攻撃者計算機１８０１は、インターネット１４０２を境界として、社内ネットワークの内部に存在するモデルデータである。

【0163】

第３攻撃例では、攻撃者１８００が攻撃者計算機１８０１を任意の方法で社内情報ネットワーク１４１１に接続し、社内情報ネットワーク１４１１および社内ネットワークルータ１４０６経由で社外サービス提供計算機１４０５に侵入、攻撃し（パス２０００）、社外サービス提供計算機１４０５に対して致命的な障害を発生させ、そのサービスを停止させる。

【0164】

このパス２０００が模擬攻撃に関するモデル操作データ７０２であり、パス２０００を通る模擬攻撃をセキュリティデジタルツイン１に与えてシミュレーションを実行することにより、パス２０００を通った場合の模擬攻撃結果が、第１検出部１２１によって検出される。

【0165】

図２１は、図１４に示したセキュリティデジタルツインモデル７００を用いた、評価対象システム２へのモデル操作データ７０２による第４攻撃例を示す説明図である。第４攻撃例では、攻撃者１８００が攻撃者計算機１８０１を任意の方法で社内情報ネットワーク１４１１に接続し、社内情報ネットワーク１４１１を経由して社内サービス提供計算機１４１０に攻撃を実行し（パス２１００）、社内サービス提供計算機１４１０に対して致命的な障害を発生させ、そのサービスを停止させる。

【0166】

このパス２１００が模擬攻撃に関するモデル操作データ７０２であり、パス２１００を通る模擬攻撃をセキュリティデジタルツイン１に与えてシミュレーションを実行することにより、パス２１００を通った場合の模擬攻撃結果が、第１検出部１２１によって検出される。

【0167】

＜セキュリティ対策モデル操作リスト＞
図２２は、セキュリティ対策モデル操作リストの一例を示す説明図である。セキュリティ対策モデル操作リスト２２００は、アクションモジュール群１１３のうちセキュリティ対策に関するモデル操作を行うアクションモジュールで生成された、セキュリティ対策例を表形式で示したデータである。

【0168】

セキュリティ対策モデル操作リスト２２００は、対策種別２２０１と、実行処理２２０２と、処理実行対象２２０３と、備考２２０４と、を規定する。対策種別２２０１は、上述した模擬攻撃を示すモデル操作データ７０２に対するセキュリティ対策の種類を規定する。実施例１では、たとえば、モデル操作データ７０２に対するセキュリティ対策として３種類の対策α、β、γが規定される。

【0169】

実行処理２２０２は、対策種別２２０１で特定されるセキュリティ対策として、セキュリティデジタルツインモデル７００に対して実行される処理を規定する。処理実行対象２２０３は、対策種別２２０１で特定されるセキュリティ対策として、実行処理２２０２が適用されるノードを規定する。備考２２０４は、実行処理２２０２によって発生する事象を規定する。

【0170】

セキュリティ対策モデル操作リスト２２００において、対策αは、実際の評価対象システム２内の社外サービス提供計算機および社外サービス提供計算機に対しＢａｓｈの脆弱性を修正するパッチを適用し、再起動を実行する操作を行うセキュリティ対策である。また、対策αにおいては、対策種別２２０１である評価対象システム２内の社外サービス提供計算機および社外サービス提供計算機の再起動が必要となり、その操作に１０分かかることもわかる。

【0171】

また、対策βは、評価対象システム２内のＷＡＦに対してＢａｓｈの脆弱性の悪用を防ぐルールを適用するセキュリティ対策である。そして、対策γは一切の操作を行わない。

【0172】

図１４に示した評価対象システム２のセキュリティデジタルツインモデル７００、図１７に示した可用性評価条件リスト７０１、図１８～図２１で示した４つの模擬攻撃を行うモデル操作データ７０２、および図２２に示した３種類のセキュリティ対策を行うためのモデル操作データ７０２は、シミュレーション実行部１１４に送信される。シミュレーション実行部１１４は、この受信したデータを用いて、評価対象システム２に関する対策、攻撃および防御の挙動を示すシミュレーションを実行する（ステップＳ１１０８）。

【0173】

シミュレーション実行部１１４は、アクションモジュール群１１３によって生成されたモデル操作データ７０２をセキュリティデジタルツインモデル７００に適用し、その挙動を取得する。具体的には、たとえば、実施例１では、シミュレーション実行部１１４は、図２２に示した対策α、対策β、対策γをセキュリティデジタルツインモデル７００にそれぞれ適用した場合に、図１８～図２１で示した４つの模擬攻撃をセキュリティデジタルツインモデル７００に与えた場合のセキュリティデジタルツインモデル７００の構成要素群の挙動と、図１８～図２１に示した模擬攻撃の成否（模擬攻撃結果）と、を取得する。以下、対策α～γごとのシミュレーション結果について具体的に説明する。

【0174】

＜シミュレーション結果＞
図２３は、対策αを適用した際のシミュレーション結果を示す説明図である。対策αは、社外サービス提供計算機１４０５および社内サービス提供計算機１４１０にパッチを適用することで脆弱性を取り除くセキュリティ対策である。

【0175】

社外サービス提供計算機１４０５にパッチが適用された防御２３００は、攻撃者１８００および攻撃者計算機１８０１からの社外サービス提供計算機１４０５への侵入が失敗したことを示す。社内サービス提供計算機１４１０にパッチが適用された防御２３０１は、攻撃者１８００および攻撃者計算機１８０１からの社内サービス提供計算機１４１０への侵入が失敗したことを示す。すなわち、図１８～図２１に示したすべての模擬攻撃は失敗したことになる。

【0176】

挙動リスト２３０２は、対策αを適用した際の評価対象ノード１７０１の状態を表形式で示したデータである。挙動２３０３は、対策αが適用されて模擬攻撃を受けた際の評価対象ノード１７０１の動作である。実行時間２３０４は挙動２３０３が実行された所要時間である。原因２３０５は挙動２３０３が引き起こされた元になる事象である。

【0177】

対策αでは、対策αの適用を行った際に実行時間２３０４が１０分の挙動２３０３として再起動が実行されることが、セキュリティ対策モデル操作リスト２２００の実行処理２２０２で特定される。このため、社外サービス提供計算機１４０５および社内サービス提供計算機１４１０において、所要時間１０分間の再起動が、対策α適用を原因２３０５として発生した。

【0178】

図２４は、対策βを適用した際のシミュレーション結果を示す説明図である。対策βは、ＷＡＦ１４０４に適用するセキュリティ対策である。その結果、対策βが適用されたＷＡＦ１４０４の防御２４００により、攻撃者１８００および攻撃者計算機１８０１による、パス１８０２，１９００で示した社外からの模擬攻撃を使った侵入の試みが失敗した。当該失敗は、図１８および図１９に相当する。しかし、パス２０００、２１００で示した社内からの模擬攻撃は防御されておらず、成功したことを示す。

【0179】

挙動リスト２４０１は、対策βを適用した際の評価対象ノード１７０１の状態を表形式で示したデータである。パス２０００、２１００で示した社内からの模擬攻撃の成功による影響は、挙動２３０３に示したように、社内の攻撃者１８００からの模擬攻撃により、社外サービス提供計算機１４０５および社内サービス提供計算機１４１０が停止したことを示す。なお、対策適用を原因２３０５にする停止はなかった。

【0180】

図２５は、対策γを適用した際のシミュレーション結果を示す説明図である。対策γは「対策を行わない」というセキュリティ対策であるため、当初の状況のまま放置されている。その結果、図２５に示すように、図１８～図２１で述べたすべての模擬攻撃が成功している。

【0181】

挙動リスト２５００は、対策γを適用した際の評価対象ノード１７０１の状態を表形式で示したデータである。社内および社外の攻撃者１８００からの模擬攻撃により、評価対象ノード１７０１の挙動２３０３は、停止した。なお、対策適用を原因２３０５にする停止は、セキュリティ対策として特別な操作を行っていないため、なかった。

【0182】

シミュレーション実行部１１４は、シミュレーション結果７０５として、挙動リスト２３０２，２４０１，２５００を評価／制御系機能群１２０に送信する（ステップＳ１１０９）。

【0183】

評価／制御系機能群１２０のうち、第１検出部１２１は、図２７～図２９に示したモデル操作データ７０２に基づいて、模擬攻撃の成否および影響範囲を判定する。第１検出部１２１は、模擬攻撃の成否にについて、図１８～図２１に示したパス１８０２～１８０５、１９００、２０００、２１００を通り、模擬攻撃目標のコンピュータモデルまでたどり着けたかどうかによって判定する。たどり着けたパスが１つでもあれば、模擬攻撃の成功であり、たどり着けたパスが１つもなければ模擬攻撃は失敗となる。

【0184】

第１検出部１２１は、影響範囲について、攻撃者１８００が侵入したコンピュータモデルによって判定する。たとえば、図１８のモデル操作データ７０２による模擬攻撃の場合、攻撃者１８００が攻撃者計算機１８０１を模擬攻撃の起点とし、模擬攻撃目標の制御機器１４１３まで到達すれば模擬攻撃は成功となり、この際の影響範囲は、社外サービス提供計算機１４０５、制御機器監視および操作用計算機１４０７、ＰＬＣ１４１２、制御機器１４１３となる。この模擬攻撃結果については、すでに図２７～図２９にて説明した通りである。

【0185】

つぎに、第２検出部１２２は、図２７～図２９に示した挙動リスト２３０２、２４０１、２５００を、図１７に示した可用性評価条件リスト７０１で評価し、各対策α、β、γと模擬攻撃による可用性の影響を可用性評価結果として検出する。

【0186】

＜可用性評価結果の検出例＞
図２６は、第２検出部１２２による対策αの可用性評価結果の検出例を示す説明図である。対策αの可用性評価結果リスト２６００は、可用性評価条件リスト７０１に、対策αについての合否／原因２６０１を追加したデータである。合否／原因２６０１は、合否を示す「〇」または「×」と、原因２３０５と、を含む。合否の「〇」は合格、すなわち、可用性評価項目１７０２を遵守していることを示す（可用性有り）。合否の「×」は不合格、すなわち、可用性評価項目１７０２に違反していることを示す（可用性無し）。

【0187】

社外サービス提供計算機１４０５については、可用性評価結果リスト２６００の合否／原因２６０１において、対策αが適用されたことを示す挙動リスト２３０２の原因２３０５が記録される。また、対策αの適用により、挙動リスト２３０２の挙動２３０３である再起動の実行時間２３０４の１０分が可用性評価条件リスト７０１の可用性評価項目１７０２および違反許容時間１７０３に違反したため（違反許容例外１７０４の適用もなし）、合否が「×」に決定される。

【0188】

一方、社内サービス提供計算機１４１０については、可用性評価結果リスト２６００の合否／原因２６０１において、対策αが適用されたことを示す挙動リスト２３０２の原因２３０５が記録される。また、対策αの適用により、挙動リスト２３０２の挙動２３０３である再起動の実行時間２３０４の１０分が可用性評価条件リスト７０１の可用性評価項目１７０２および違反許容時間１７０３を遵守しているため、合否が「〇」に決定される。

【0189】

図２７は、第２検出部１２２による対策βの可用性評価結果の検出例を示す説明図である。対策βの可用性評価結果リスト２７００は、可用性評価条件リスト７０１に、対策βについての合否／原因２６０１を追加したデータである。

【0190】

挙動リスト２４０１で示した通り、社内からの模擬攻撃を原因２３０５として社外サービス提供計算機１４０５および社内サービス提供計算機１４１０の挙動２３０３は、いずれも「停止」となる。挙動２３０３の「停止」は、可用性評価条件リスト７０１の可用性評価項目１７０２および違反許容時間１７０３に違反（電源が０秒以上入っていない）するため（違反許容例外１７０４の適用もなし）、合否が「×」に決定される。

【0191】

図２８は、第２検出部１２２による対策γの可用性評価結果の検出例を示す説明図である。対策γの可用性評価結果リスト２８００は、可用性評価条件リスト７０１に、対策γについての合否／原因２６０１を追加したデータである。

【0192】

挙動リスト２５００で示した通り、社内および社外からの模擬攻撃を原因２３０５として社外サービス提供計算機１４０５および社内サービス提供計算機１４１０の挙動２３０３は、いずれも「停止」となる。挙動２３０３の「停止」は、可用性評価条件リスト７０１の可用性評価項目１７０２および違反許容時間１７０３に違反（電源が０秒以上入っていない）するため（違反許容例外１７０４の適用もなし）、合否が「×」に決定される。

【0193】

＜総合評価結果＞
図２９は、総合評価結果の一例を示す説明図である。総合評価結果２９００は、図１３に示したように、セキュリティ対策総合評価部１２３が、セキュリティ／可用性総合評価を実行することにより生成され（ステップＳ１３０７）、システム自動適用判断部１２４に送信されるデータである。

【0194】

総合評価結果２９００は、対策種別２２０１と、評価項目２９０２と、対象別評価結果２９０３と、を有する。評価項目２９０２は、可用性（対策適用）と、可用性（攻撃実行）と、防御成功（～社外）と、防御成功（～社内）と、を有する。対象別評価結果２９０３は、社外サーバ（社外サービス提供計算機１４０５）と社内サーバ（社内サービス提供計算機１４１０）とに分けて格納される。

【0195】

可用性（対策適用）とは、評価対象ノード１７０１に対策種別２２０１で特定されるセキュリティ対策が適用された場合に、セキュリティ対策総合評価部１２３が、評価対象ノード１７０１が継続して稼働できるか否かを評価するという項目である。具体的には、たとえば、図２２に示した対策種別２２０１のセキュリティ対策をアクションモジュール群１１３が実行（すなわち、セキュリティデジタルツインモデル７００に適用）したことによって評価対象システム２の可用性にどのような影響が出たかを評価するという項目である。

【0196】

対象別評価結果２９０３が「〇」の場合、その対策種別２２０１で示す対策は、可用性評価条件リスト７０１の可用性評価項目１７０２を遵守したことを示す。一方、対象別評価結果２９０３が「×」の場合、その対策種別２２０１で示すセキュリティ対策は、可用性評価条件リスト７０１の可用性評価項目１７０２に違反したことを示す。

【0197】

可用性評価結果リスト２６００を例に挙げて説明する。評価対象ノード１７０１が社外サービス提供計算機１４０５である場合、可用性評価項目１７０２における合否／原因２６０１はすべて「×」である。したがって、社外サービス提供計算機１４０５の対象別評価結果２９０３も、可用性無しを示す「×」になる。

【0198】

可用性（攻撃実行）とは、セキュリティ対策総合評価部１２３が、第１検出部１２１によって検出された模擬攻撃結果を参照して、セキュリティ対策が適用された状態において模擬攻撃が成功した結果、評価対象システム２の可用性にどのような影響が出たかを評価するという項目である。

【0199】

たとえば、セキュリティ対策が適用された場合、処理実行対象２２０３である社外サービス提供計算機１４０５および社内サービス提供計算機１４１０が実行処理２２０２として、パッチ適用および再起動を実行し、社内サービス提供計算機１４１０が実行処理２２０２の再起動に１０分かかったとする。

【0200】

その後、図１８～図２１に示した模擬攻撃がセキュリティ対策を施した評価対象システム２に対して成功した場合であっても、可用性評価条件リスト７０１の可用性評価項目１７０２をすべて遵守していれば、評価対象システム２の可用性は損なわれていない。この場合、社外サービス提供計算機１４０５および社内サービス提供計算機１４１０の対象別評価結果２９０３はともに成功を示す「〇」となる。

【0201】

一方、図１８～図２１に示した模擬攻撃がセキュリティ対策を施した評価対象システム２に対して成功した場合であっても、可用性評価条件リスト７０１の可用性評価項目１７０２のいずれか１つでも違反していれば、評価対象システム２の可用性は損なわれていることになる。この場合、社外サービス提供計算機１４０５および社内サービス提供計算機１４１０の対象別評価結果２９０３はともに失敗を示す「×」となる。

【0202】

たとえば、対策αの可用性評価結果リスト２６００が得られた場合、評価対象ノード１７０１が社外サービス提供計算機１４０５であれば、合否／原因２６０１において、対策αが適用されても、合否が「×」、すなわち、可用性評価項目１７０２に違反したため、セキュリティ対策総合評価部１２３は、対象別評価結果２９０３を「×」に決定する。

【0203】

一方、評価対象ノード１７０１が社内サービス提供計算機１４１０であれば、合否／原因２６０１において、対策αが適用され、かつ、合否が「〇」、すなわち、可用性評価項目１７０２を遵守したため、セキュリティ対策総合評価部１２３は、対象別評価結果２９０３を「〇」に決定する。

【0204】

防御成功（～社外）は、対策種別２２０１で特定されるセキュリティ対策が適用された場合に、セキュリティ対策総合評価部１２３が、第１検出部１２１によって検出された社外からの模擬攻撃を、社外サービス提供計算機１４０５および社内サービス提供計算機１４１０がそれぞれ防御することができたか否かを評価する項目である。社外からの模擬攻撃とは、たとえば、図１８および図１９に示したパス１８０２～１８０５、１９００を通る模擬攻撃である。

【0205】

社外サービス提供計算機１４０５に対しこの模擬攻撃がすべて成功しなかった、すなわち、社外サービス提供計算機１４０５を模擬攻撃のすべてのパス１８０２～１８０５、１９００から防御できた場合、社外サービス提供計算機１４０５に障害が発生しないため、社外サービス提供計算機１４０５の対象別評価結果２９０３は、防御成功を示す「〇」となる。

【0206】

一方、図１８および図１９における模擬攻撃を示すパス１８０２～１８０５、１９００は、社内サービス提供計算機１４１０に到達しないため、社内サービス提供計算機１４１０は物理的に模擬攻撃を受けない。したがって、社内サービス提供計算機１４１０の対象別評価結果２９０３は、「攻撃不可」となる。

【0207】

また、社外サービス提供計算機１４０５に対しこの模擬攻撃のいずれかが成功した、すなわち、社外サービス提供計算機１４０５が、模擬攻撃を示すパス１８０２～１８０５、１９００を１つでも防御できなかった場合、社外サービス提供計算機１４０５に障害が発生するため、社外サービス提供計算機１４０５の対象別評価結果２９０３は、防御失敗を示す「×」となる。

【0208】

防御成功（～社内）は、対策種別２２０１で特定されるセキュリティ対策が適用された場合に、第１検出部１２１によって検出された社内からの模擬攻撃を、社外サービス提供計算機１４０５および社内サービス提供計算機１４１０がそれぞれ防御することができたか否かを評価する項目である。社内からの模擬攻撃とは、たとえば、図２０および図２１に示したパス２０００、２１００を通る模擬攻撃である。社内からの模擬攻撃の場合、攻撃者には、悪意のある社員が含まれる。

【0209】

社内サービス提供計算機１４１０に対しこの模擬攻撃がすべて成功しなかった、すなわち、社内サービス提供計算機１４１０を模擬攻撃のすべてのパス２０００、２１００から防御できた場合、社内サービス提供計算機１４１０に障害が発生しないため、社内サービス提供計算機１４１０の対象別評価結果２９０３は、防御成功を示す「〇」となる。社外サービス提供計算機１４０５に対しこの模擬攻撃がすべて成功しなかった場合も同様に、社外サービス提供計算機１４０５の対象別評価結果２９０３は、防御成功を示す「〇」となる。

【0210】

また、社内サービス提供計算機１４１０に対しこの模擬攻撃のいずれかが成功した、すなわち、社内サービス提供計算機１４１０が、模擬攻撃を示すパス２０００、２１００を１つでも防御できなかった場合、社内サービス提供計算機１４１０に障害が発生するため、社内サービス提供計算機１４１０の対象別評価結果２９０３は、防御失敗を示す「×」となる。社外サービス提供計算機１４０５に対しこの模擬攻撃がすべて成功した場合も同様に、社外サービス提供計算機１４０５の対象別評価結果２９０３は、防御失敗を示す「×」となる。

【0211】

一方、図２１における模擬攻撃を示すパス２１００が検出されていない場合、社内サービス提供計算機１４１０には模擬攻撃は到達しないため、社内サービス提供計算機１４１０は物理的に模擬攻撃を受けない。したがって、社内サービス提供計算機１４１０の対象別評価結果２９０３は、「攻撃不可」となる。同様に、図２０における模擬攻撃を示すパス２０００が検出されていない場合、社外サービス提供計算機１４０５には模擬攻撃は到達しないため、社外サービス提供計算機１４０５は物理的に模擬攻撃を受けない。したがって、社外サービス提供計算機１４０５の対象別評価結果２９０３は、「攻撃不可」となる。

【0212】

図２９に示したように、社内サービス提供計算機１４１０については、対策αは対策αの適用による評価対象システム２の可用性への影響もなく、すべての模擬攻撃も防御可能であることから、対策αが最適であることがわかる。

【0213】

また、社外サービス提供計算機１４０５については、対策αでは対策適用において評価対象システム２の可用性の条件を満たさないこと、対策βでは対策適用における評価対象システム２の可用性の条件は満たすものの社内からの攻撃が実行可能で、それによる可用性への影響がある可能性があることがわかる。また、一切の対策を行わない対策γにおいては、攻撃リスクも高く、模擬攻撃による評価対象システム２の可用性への影響があることがわかる。

【0214】

システム自動適用判断部１２４は、総合評価結果２９００に基づいて、評価対象システム２への自動適用の可否を判断する。具体的には、たとえば、社内サービス提供計算機１４１０については、セキュリティ対策ごとに、評価項目２９０２がすべて「〇」または「攻撃不可」であれば、システム自動適用判断部１２４は、当該セキュリティ対策は自動適用可能であると判断する。同様に、社外サービス提供計算機１４０５についても、セキュリティ対策ごとに、評価項目２９０２がすべて「〇」または「攻撃不可」であれば、システム自動適用判断部１２４は、当該セキュリティ対策は自動適用可能であると判断する。また、社内サービス提供計算機１４１０および社外サービス提供計算機１４０５の両方について、セキュリティ対策ごとに、評価項目２９０２がすべて「〇」または「攻撃不可」であれば、システム自動適用判断部１２４は、当該セキュリティ対策は自動適用可能であると判断してもよい。

【0215】

たとえば、社内サービス提供計算機１４１０については対策αの操作が自動適用可能と判断され（対象別評価結果２９０３が「〇」と「攻撃不可」）、評価対象システム２に対して当該制御が実行される。社外サービス提供計算機１４０５については、評価項目２９０２の可用性が「×」であるため、利用者４によるセキュリティデジタルツイン１に対する設定に依存する。設定例としては、システム自動適用判断部１２４は、対策αでは防御成功（～社内）が「〇」であるため、社内からの攻撃によるリスクは低いものと判定して、対策βを自動適用とした上で、対策αの適用について利用者４の判断を仰ぐ、などが挙げられる。

【0216】

このように、セキュリティデジタルツイン１は、評価対象システム２のセキュリティリスクを自動で判断する。そして、セキュリティデジタルツイン１は、その対策をＣＰＳとして生成した上で当該対策によるセキュリティリスクの減少度合いを判断する。さらに、セキュリティデジタルツイン１は、評価対象システム２の可用性への影響も判断する。これにより、セキュリティデジタルツイン１は、評価対象システム２にとって最適な対策を、評価対象システム２に対して設定することが可能である。

【0217】

セキュリティデジタルツイン１を利用するメリットとして、セキュリティリスク評価だけでなく、今まで手動で行われていたセキュリティ対策の可用性評価もセキュリティデジタルツイン１内で可能になる。この場合、セキュリティデジタルツイン１は、セキュリティリスク評価および可用性評価を、これまでの手動で行われた場合と、セキュリティデジタルツイン１で自動判断した場合とを比較して出力してもよい。

【0218】

また、セキュリティデジタルツイン１は、評価対象システム２の可用性の判断において、可用性に影響がなければ、そのままセキュリティ対策を自動で適用することができる。これにより、制御システムを含む評価対象システム２においても、評価対象システム２の可用性を担保した上で、情報システムと同様な自動セキュリティ対策を実現することができる。

【0219】

このように、実施例１によれば、可用性とセキュリティの両方を考慮したＣＰＳを提供することが可能になる。これにより、従来までは高コストな検証ステップを経ないと実施できなかった、システムへの様々な変更が可能となり、提供可能なＣＰＳの範囲を拡張することが可能となる。また、ＣＰＳ導入の上で懸念事項となりうるセキュリティの観点についても、可用性を犠牲にすることなく迅速に対策が適用可能となる。

【実施例0220】

つぎに、実施例２について説明する。実施例１では、第１検出部１２１が模擬攻撃結果を検出し、第２検出部１２２が可用性評価結果を検出したが、実施例２では、第１検出部１２１が評価対象システム２から第１パラメータの値を検出し、第２検出部１２２がセキュリティデジタルツインモデル７００に第１パラメータの検出値を与えてシミュレーションを実行し、そのシミュレーション結果から、第２パラメータの計算値を検出する。なお、実施例２では、実施例１との相違点を中心に説明するため、実施例１と同一構成には同一符号を付し、その説明を省略する。

【0221】

＜セキュリティシステムの構成＞
図３０は、実施例２にかかるセキュリティシステムの構成例を示す説明図である。図３０において、業務効率化システム３００１は、外部システムまたはサービス５に対応する。

【0222】

実施例２における評価対象システム２は制御システムであり、当該制御システムを管理する管理サーバ３００３と、制御機器群３００６に命令を行うＰＬＣ３００４と、制御機器群３００６と、を有する。評価対象システム２は、業務効率化を目的として、クラウドサービス３０００上に構築された業務効率化システム３００１を用いて、インターネット３００２を経由して管理サーバ３００３と連携されており、制御機器群３００６の動作を最適化する仕組みが導入されている。

【0223】

この仕組みにおいて、業務効率化システム３００１からの操作要求の可用性検証を目的として、セキュリティデジタルツイン１が利用される。なお、制御機器用センサ３００５は、セキュリティデジタルツイン１が制御機器群３００６に関する追加の情報を収集するために設置したＩｏＴ機器である。

【0224】

＜稼働範囲テーブル＞
図３１は、稼働範囲テーブルの一例を示す説明図である。稼働範囲テーブル３１００は、制御機器群３００６を構成するある制御機器におけるパラメータＡの正常稼働範囲を示すデータテーブルであり、記憶デバイス２０２に記憶される。稼働範囲テーブル３１００は、フィールドとして、制御機器への負荷３１０１と、パラメータＡの正常稼働範囲３１０２と、を有する。

【0225】

正常稼働範囲３１０２は、当該制御機器におけるメーカーの仕様ではないものとする。具体的には、たとえば、実際の挙動において、負荷３１０１の値ｘが制御機器にかかっている場合に、パラメータＡの値ｙが正常稼働範囲３１０２内に収まるという現場の作業員における知見である。なお、この現象はパラメータＢである負荷３１０１の値ｘを適切に入力した場合、制御機器の動作をコンピュータ上でシミュレーションすると再現できることが分かっている。

【0226】

しかし、稼働範囲テーブル３１００で示した負荷３１０１と正常稼働範囲３１０２との関係は制御機器の仕様ではないため、業務効率化システム３００１においては値の制約条件として設定されていない。また、管理サーバ３００３およびＰＬＣ３００４は、負荷３１０１の値ｘを計測していないため、図３１に示した値ｘを制約条件としたエラー処理機構を備えていない。この時、セキュリティデジタルツイン１によって、制御機器群３００６に業務効率化システム３００１からの操作が実行される前に当該負荷３１０１の値ｘを検証し、現在の負荷３１０１に対して適切な値ｘのみ制御機器群３００６に適用されるようにする。

【0227】

＜パラメータ変更の検証＞
図３２は、パラメータ変更の検証処理手順例を示すシーケンス図である。図３２では、業務効率化システム３００１から送られたパラメータ変更指示をセキュリティデジタルツインで検証する手順を示す。以下手順を説明する。

【0228】

まず、業務効率化システム３００１は、パラメータＡの変更要求をセキュリティデジタルツイン１または管理サーバ３００３に送信する（ステップＳ３２００）。この際、パラメータＡのタ変更要求が管理サーバ３００３に送信された場合は、管理サーバ３００３は、セキュリティデジタルツイン１に対して当該パラメータＡの変更要求の実行可否を問い合わせる（ステップＳ３２０１）。

【0229】

つぎに、セキュリティデジタルツイン１は、セキュリティデジタルツインモデル７００の生成の一環として、現在の制御機器の負荷３１０１の値ｘを、制御機器用センサ３００５を経由して確認する（ステップＳ３２０２）。以下、現在の制御機器の負荷３１０１の値ｘを検出値ｘとする。

【0230】

つぎに、セキュリティデジタルツイン１は、ステップＳ３２０２で取得した検出値ｘを、評価対象システム２をモデルにしたセキュリティデジタルツインモデル７００に与えて、シミュレーションを実行し、制御機器群３００６の正常稼働を確認する（ステップＳ３２０３）。具体的には、たとえば、セキュリティデジタルツイン１は、検出値ｘが与えられた場合において、セキュリティデジタルツインモデル７００におけるパラメータＡの値ｙ（以下、計算値ｙと称す）が正常稼働範囲３１０２内であるか否かを判断する。

【0231】

より具体的には、たとえば、検出値ｘがα＜ｘ≦βの負荷３１０１であり、セキュリティデジタルツインモデル７００におけるパラメータＡの計算値ｙがａ＜ｙ≦ｂで示す正常稼働範囲３１０２内であれば、制御機器群３００６は正常稼働すると判断し、ａ＜ｙ≦ｂで示す正常稼働範囲３１０２外であれば、制御機器群３００６は正常稼働しないと判断する。

【0232】

セキュリティデジタルツイン１は、制御機器群３００６の正常稼働が確認できた場合は、管理サーバ３００３に対してパラメータＡの変更実行を命令し（ステップＳ３２０４）、ＰＬＣ３００４に対して当該パラメータＡの変更が命令される。セキュリティデジタルツイン１は、制御機器群３００６の正常稼働が確認できなかった場合は、管理サーバ３００３に対してパラメータＡの変更実行を命令しない。

【0233】

その後、セキュリティデジタルツイン１は、パラメータＡの変更結果（計算値ｙ）を業務効率化システム３００１に送信する（ステップＳ３２０５）。なお、この際、ステップＳ３２００を管理サーバ３００３経由で実行していた場合は、同様にパラメータＡの変更結果（計算値ｙ）の送信も管理サーバ３００３経由で実行される。

【0234】

＜可用性評価結果リスト＞
図３３は、実施例２における可用性評価結果リストの一例を示す説明図である。実施例２では、システム自動適用判断部１２４は、可用性評価結果リスト３３００において、シミュレーションで制御機器群３００６が正常に稼働することが確認できれば、換言すれば、違反許容時間１７０３内で可用性評価項目１７０２を遵守していれば、可用性に問題ない（合格）と判断する。

【0235】

実施例２では、制御機器群３００６の各々の制御機器の挙動をセキュリティデジタルツインモデル７００として定義し、アクションモジュール群１１３では、業務効率化システム３００１から指示のあったパラメータＡの変更をモデル操作データ７０２として定義した。

【0236】

セキュリティデジタルツインモデル７００には、制御機器用センサ３００５およびシステム情報収集部１０２を経由して取得された現在の制御機器群３００６の負荷が設定される。

【0237】

この状態で、シミュレーション実行部１１４は、制御機器群３００６の挙動をシミュレーションする。シミュレーションの結果、評価対象ノード１７０１である制御機器群３００６が正常に稼働すれば、すなわちパラメータＡの計算値ｙが図３１の負荷３１０１に対応する正常稼働範囲３１０２に収まれば、違反許容時間１７０３内で可用性評価項目１７０２を遵守していることになり、システム自動適用判断部１２４は、評価対象ノード１７０１である制御機器群３００６について可用性に問題ない（合格）と判断する。

【0238】

これにより、システム自動適用判断部１２４は、評価対象システム２の構成機器である制御機器群３００６に、業務効率化システム３００１からのパラメータＡの値の計算値ｙへの変更を適用する。

【0239】

以上により、セキュリティ対策以外のＣＰＳにおいてもセキュリティデジタルツイン１を経由して、その操作のセキュリティおよび可用性における評価を実行することが可能である。これにより、従来までは当該操作による評価対象システム２への影響が分からず、ＣＰＳによる操作の範囲が限定されていた問題が解決可能である。

【0240】

なお、本発明は前述した実施例に限定されるものではなく、添付した特許請求の範囲の趣旨内における様々な変形例および同等の構成が含まれる。たとえば、前述した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに本発明は限定されない。また、ある実施例の構成の一部を他の実施例の構成に置き換えてもよい。また、ある実施例の構成に他の実施例の構成を加えてもよい。また、各実施例の構成の一部について、他の構成の追加、削除、または置換をしてもよい。

【0241】

また、前述した各構成、機能、処理部、処理手段等は、それらの一部又は全部を、たとえば集積回路で設計する等により、ハードウェアで実現してもよく、プロセッサがそれぞれの機能を実現するプログラムを解釈し実行することにより、ソフトウェアで実現してもよい。

【0242】

各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリ、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記憶装置、又は、ＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）カード、ＳＤカード、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｃ）の記録媒体に格納することができる。

【0243】

また、制御線や情報線は説明上必要と考えられるものを示しており、実装上必要な全ての制御線や情報線を示しているとは限らない。実際には、ほとんど全ての構成が相互に接続されていると考えてよい。