特開 2024-154618 脆弱性分析方法、脆弱性分析システム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024154618

(43)【公開日】2024-10-31

(54)【発明の名称】脆弱性分析方法、脆弱性分析システム

(51)【国際特許分類】

   G06Q 50/04 20120101AFI20241024BHJP

【ＦＩ】

G06Q50/04

【審査請求】未請求

【請求項の数】10

【出願形態】ＯＬ

(21)【出願番号】P 2023068543

(22)【出願日】2023-04-19

(71)【出願人】

【識別番号】000005108

【氏名又は名称】株式会社日立製作所

(74)【代理人】

【識別番号】110002365

【氏名又は名称】弁理士法人サンネクスト国際特許事務所

(72)【発明者】

【氏名】三村 和

(72)【発明者】

【氏名】齋藤 利行

(72)【発明者】

【氏名】デーンホフ イェンス

(72)【発明者】

【氏名】檜垣 宏行

【テーマコード（参考）】

5L049

5L050

【Ｆターム（参考）】

5L049CC03

5L050CC03

(57)【要約】

【課題】サプライチェーンを構成する複数の事業者に跨ったソフトウエアの脆弱性を分析できる。
【解決手段】脆弱性分析方法は、コンピュータが実行する脆弱性分析方法であって、複数の事業者のそれぞれから、製品の識別子ごとに製品を構成する部品である構成部品の識別子である構成部品識別子、および製品を構成し構成部品に含まれないソフトウエアである独自ソフトウエアの識別子を含む事業者固有データを取得する取得処理と、予め作成された対応データに基づき、異なる事業者間における製品の識別子および構成部品識別子の対応を特定する対応特定処理と、調査対象の製品である対象製品を特定する対象製品特定処理と、対応特定処理に基づき対象製品に含まれる全ての独自ソフトウエアを特定し、ソフトウエアの脆弱性に関するデータが格納される脆弱性ＤＢを参照して対象製品に含まれるソフトウエアの脆弱性を特定する脆弱性特定処理と、を含む。
【選択図】図２

【特許請求の範囲】

【請求項1】

コンピュータが実行する脆弱性分析方法であって、
複数の事業者のそれぞれから、製品の識別子ごとに前記製品を構成する部品である構成部品の識別子である構成部品識別子、および前記製品を構成し前記構成部品に含まれないソフトウエアである独自ソフトウエアの識別子を含む事業者固有データを取得する取得処理と、
予め作成された対応データに基づき、異なる事業者間における前記製品の識別子および前記構成部品識別子の対応を特定する対応特定処理と、
調査対象の製品である対象製品を特定する対象製品特定処理と、
前記対応特定処理に基づき前記対象製品に含まれる全ての前記独自ソフトウエアを特定し、ソフトウエアの脆弱性に関するデータが格納される脆弱性ＤＢを参照して前記対象製品に含まれるソフトウエアの脆弱性を特定する脆弱性特定処理と、を含む脆弱性分析方法。

【請求項2】

請求項１に記載の脆弱性分析方法であって、
前記事業者固有データには、前記事業者に固有のソフトウエアの識別子であるソフトウエア部品番号と、前記複数の事業者に共通するソフトウエアの識別子であるソフトウエア識別子と、の対応を示す厳密番号対応表を含む、脆弱性分析方法。

【請求項3】

請求項１に記載の脆弱性分析方法であって、
前記脆弱性特定処理により特定した脆弱性に関する情報を前記事業者のそれぞれに通知する通知処理をさらに含む、脆弱性分析方法。

【請求項4】

請求項１に記載の脆弱性分析方法であって、
前記製品の識別子は、前記製品の製造ロットごと、または前記製品の設計ごとに付与される、脆弱性分析方法。

【請求項5】

請求項１に記載の脆弱性分析方法であって、
前記製品の識別子は、個体を識別する個体識別番号であり、
前記製品の購入者を識別する顧客識別子と前記製品の識別子との対応を示す購入者データを収集する収集処理と、
前記脆弱性特定処理により特定した脆弱性を有するソフトウエアを含む前記製品について、当該製品を製造した前記事業者に特定した脆弱性に関する情報、および前記購入者データを用いて特定した当該製品を購入した顧客を示す前記顧客識別子を通知する通知処理をさらに含む脆弱性分析方法。

【請求項6】

複数の事業者のそれぞれから、製品の識別子ごとに前記製品を構成する部品である構成部品の識別子である構成部品識別子、および前記製品を構成し前記構成部品に含まれないソフトウエアである独自ソフトウエアの識別子を含む事業者固有データを取得する情報収集部と、
予め作成された対応データおよび前記事業者固有データに基づき、異なる事業者間における前記製品の識別子および前記構成部品識別子の対応を特定することで前記製品と前記独自ソフトウエアの関係を示す製品構成グラフを作成する含有ソフトウエア特定部と、
前記製品構成グラフに基づき、調査対象の製品である対象製品に含まれる全ての前記独自ソフトウエアを特定し、ソフトウエアの脆弱性に関するデータが格納される脆弱性ＤＢを参照して前記対象製品に含まれるソフトウエアの脆弱性を特定する脆弱性分析部と、を備える脆弱性分析システム。

【請求項7】

請求項６に記載の脆弱性分析システムであって、
前記事業者固有データには、前記事業者に固有のソフトウエアの識別子であるソフトウエア部品番号と、前記複数の事業者に共通するソフトウエアの識別子であるソフトウエア識別子と、の対応を示す厳密番号対応表を含む、脆弱性分析システム。

【請求項8】

請求項６に記載の脆弱性分析システムであって、
前記脆弱性分析部が特定した脆弱性に関する情報を前記事業者のそれぞれに通知する脆弱性情報通知部をさらに備える、脆弱性分析システム。

【請求項9】

請求項６に記載の脆弱性分析システムであって、
前記製品の識別子は、前記製品の製造ロットごと、または前記製品の設計ごとに付与される、脆弱性分析システム。

【請求項10】

請求項６に記載の脆弱性分析システムであって、
前記製品の識別子は、個体を識別する個体識別番号であり、
前記情報収集部はさらに、前記製品の購入者を識別する顧客識別子と前記製品の識別子との対応を示す購入者データを収集し、
前記脆弱性分析部が特定した脆弱性を有するソフトウエアを含む前記製品について、当該製品を製造した前記事業者に特定した脆弱性に関する情報、および前記購入者データを用いて特定した当該製品を購入した顧客を示す前記顧客識別子を通知する脆弱性情報通知部をさらに備える脆弱性分析システム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、脆弱性分析方法、および脆弱性分析システムに関する。

【背景技術】

【0002】

自動車などの製品の製造にはサプライチェーンが存在し、ＯＥＭ以外にも多数の部品サプライヤが関わる。製品や部品ごとにソフトウエアが搭載されており、その名称やバージョンなどのソフトウエア構成情報はそれぞれのＯＥＭおよびサプライヤにて個別に管理される。各ソフトウエアのパッケージには、他社製やオープンソースのソフトウエアやライブラリが含まれる。それらはセキュリティ上の脆弱性が存在し、セキュリティ攻撃を受ける可能性がある。特許文献１には、対象製品に実装されたソフトウエアについての脆弱性を管理するシステムであって、前記対象製品の所定の構成情報を収集して構成情報データベースに記憶させる構成情報収集部と、公開又は発見された所定の脆弱性情報を収集して脆弱性データベースに記憶させる脆弱性情報収集部と、前記構成情報及び前記脆弱性情報に基づいて、脆弱性の影響調査を行うべき対象製品を抽出する対象製品洗い出し部と、前記対象製品洗い出し部により抽出された対象製品に実装されたソフトウエアの脆弱性についての影響調査を実行する影響調査部を備えることを特徴とする脆弱性管理システムが開示されている。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特開２０２０－２１３０９号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

特許文献１に記載されている発明はＩＴ（Information Technology）やＩｏＴ（Internet of Things）の分野を対象としているが、この構成をＯＴ（Operational Technology）の分野に適用することは困難である。ＯＴ分野では事業者ごとにソフトウエア情報の管理方法が異なることが多く、事業者を跨る情報の統合が容易ではないためである。すなわち特許文献１に記載されている発明では、サプライチェーンを対象とした脆弱性の分析に改善の余地がある。

【課題を解決するための手段】

【0005】

本発明の第１の態様による脆弱性分析方法は、コンピュータが実行する脆弱性分析方法であって、複数の事業者のそれぞれから、製品の識別子ごとに前記製品を構成する部品である構成部品の識別子である構成部品識別子、および前記製品を構成し前記構成部品に含まれないソフトウエアである独自ソフトウエアの識別子を含む事業者固有データを取得する取得処理と、予め作成された対応データに基づき、異なる事業者間における前記製品の識別子および前記構成部品識別子の対応を特定する対応特定処理と、調査対象の製品である対象製品を特定する対象製品特定処理と、前記対応特定処理に基づき前記対象製品に含まれる全ての前記独自ソフトウエアを特定し、ソフトウエアの脆弱性に関するデータが格納される脆弱性ＤＢを参照して前記対象製品に含まれるソフトウエアの脆弱性を特定する脆弱性特定処理と、を含む。
本発明の第２の態様による脆弱性分析システムは、複数の事業者のそれぞれから、製品の識別子ごとに前記製品を構成する部品である構成部品の識別子である構成部品識別子、および前記製品を構成し前記構成部品に含まれないソフトウエアである独自ソフトウエアの識別子を含む事業者固有データを取得する情報収集部と、予め作成された対応データおよび前記事業者固有データに基づき、異なる事業者間における前記製品の識別子および前記構成部品識別子の対応を特定することで前記製品と前記独自ソフトウエアの関係を示す製品構成グラフを作成する含有ソフトウエア特定部と、前記製品構成グラフに基づき、調査対象の製品である対象製品に含まれる全ての前記独自ソフトウエアを特定し、ソフトウエアの脆弱性に関するデータが格納される脆弱性ＤＢを参照して前記対象製品に含まれるソフトウエアの脆弱性を特定する脆弱性分析部と、を備える。

【発明の効果】

【0006】

本発明によれば、サプライチェーンを構成する複数の事業者に跨った、ソフトウエアの脆弱性を分析できる。

【図面の簡単な説明】

【0007】

【図1】脆弱性分析システムの全体構成図

【図2】情報収集サーバおよび脆弱性分析サーバの構成図

【図3】情報収集サーバおよび脆弱性分析サーバのハードウエア構成図

【図4】製品構成の一例を示す図

【図5】ソフトウエア構成情報の一例を示す図

【図6】厳密番号対応表の一例を示す図

【図7】物理包含表の一例を示す図

【図8】固有ソフトウエア表の一例を示す図

【図9】事業者相関表の一例を示す図

【図10】製品構成グラフの第１の例を示す図

【図11】製品構成グラフの第２の例を示す図

【図12】第１の実施の形態において通知情報表示部が出力デバイスに出力する画面表示の例を示す図

【図13】含有ソフトウエア特定部の処理を示すフローチャート

【図14】脆弱性分析部の処理を示すフローチャート

【図15】脆弱性分析部および脆弱性情報通知部の処理を示すシーケンス図

【図16】第２の実施の形態における情報収集サーバおよび脆弱性分析サーバの構成図

【図17】顧客表の一例を示す図

【図18】第２の実施の形態において通知情報表示部が出力デバイスに出力する画面表示の例を示す図

【発明を実施するための形態】

【0008】

―第１の実施の形態―
以下、図１～図１５を参照して、脆弱性分析方法および脆弱性分析システムの第１の実施の形態を説明する。

【0009】

図１は、脆弱性分析システム１の全体構成図である。脆弱性分析システム１は、脆弱性分析サーバ１１１と、脆弱性情報公開サーバ１１２と、複数の事業者１００を含む。脆弱性分析サーバ１１１、脆弱性情報公開サーバ１１２、および複数の事業者１００は、ネットワーク１１０により接続される。ネットワーク１１０はインターネットでもよいし、専用線などを用いた閉域網でもよい。

【0010】

図１では３つの事業者１００、すなわち第１会社１００－１、第２会社１００－２、および第３会社１００－３を示している。脆弱性分析システム１に含まれる事業者の数は２以上であればよく上限はない。いずれの事業者も、本実施の形態で説明する構成を共通して備える。それぞれの事業者は本実施の形態で説明する箇所以外が異なってもよい。それぞれの事業者１００は、情報収集サーバ１０２および現場情報蓄積サーバ１０１を備える。本実施の形態では、同一の構成であるが格納されるデータが異なることを示すために枝番を付している。現場情報蓄積サーバ１０１には、それぞれの事業者１００における様々な情報が格納される。

【0011】

図２は、情報収集サーバ１０２および脆弱性分析サーバ１１１の構成図である。情報収集サーバ１０２は、ソフトウエア構成情報生成部３００と、製造情報収集部３０１と、通知情報表示部３０２と、情報収集記憶部３０４とを備える。情報収集記憶部３０４には、ソフトウエア構成情報５１と、厳密番号対応表５２と、物理包含表５３と、固有ソフトウエア表５４とが格納される。以下では、ソフトウエア構成情報５１と、厳密番号対応表５２と、物理包含表５３と、固有ソフトウエア表５４とをあわせて、事業者固有データ５０とも呼ぶ。

【0012】

ソフトウエア構成情報５１は、ソフトウエアの識別子であるソフトウエア識別子と、ソフトウエアの構成内容との対応表である。ソフトウエア識別子は、個別のソフトウエアを識別する識別子である。ソフトウエア識別子は、脆弱性分析システム１における唯一性を有する。ただし、同一の事業者１００において作成される同一の名称のソフトウエアであってもバージョンが異なれば異なるソフトウエア識別子が付与される。本実施の形態では、ソフトウエア識別子は「ＳＢＯＭ」と数字の組み合わせである。

【0013】

厳密番号対応表５２は、ソフトウエア識別子とソフトウエア部品番号の対応表である。ソフトウエア部品番号は、それぞれの事業者１００において広く利用されるソフトウエアの識別子である。ソフトウエア部品番号は、ソフトウエア識別子と同様に、同一の事業者１００において作成される同一の名称のソフトウエアであってもバージョンが異なれば異なるソフトウエア部品番号が付与される。そのため厳密番号対応表５２では、ソフトウエア識別子とソフトウエア部品番号とが１：１の対応関係で示されている。ただしソフトウエア部品番号はそれぞれの事業者１００においてのみ唯一性が保証される。

【0014】

物理包含表５３は、製品の識別子である製品番号と、その製品を構成する部品の識別子である部品番号の対応表である。製品を構成する部品は１以上であることが多いが、後述するように部品を含まない場合もある。ただし製品番号及び部品番号は、それぞれの事業者１００においてのみ唯一性が保証される。本実施の形態における製品と部品の識別子は、製造ロットや設計を識別するものである。たとえば同一の製造ロットで製造される製品には同一の識別子が付与される。ただし、固有ソフトウエアの識別子や構成する部品の識別子が変更された場合には、製品の識別子も変更される。

【0015】

固有ソフトウエア表５４は、製品番号と、製品番号で表される製品を構成するが部品には含まれないソフトウエアのソフトウエア部品番号と、の対応表である。製品番号に対応するソフトウエア部品番号は０以上である。すなわち、部品内に備えられるソフトウエア以外にさらなるソフトウエアが追加されない場合もあるし、複数のソフトウエアが追加される場合もある。固有ソフトウエア表５４の「固有」は、部品には含まれないという意味で「固有」と呼んでいるにすぎない。複数の製品に共通のソフトウエアの識別子が固有ソフトウエア表５４に記載されることもある。

【0016】

なお、図１に示した情報収集サーバ１０２－１、情報収集サーバ１０２－２、および情報収集サーバ１０２－３の３つは、ソフトウエア構成情報生成部３００、製造情報収集部３０１、および通知情報表示部３０２の動作は共通しており、具体的な事業者固有データ５０の中身が異なる。

【0017】

ソフトウエア構成情報生成部３００は、現場情報蓄積サーバ１０１から様々な情報を取得してソフトウエア構成情報５１を生成する。製造情報収集部３０１は、現場情報蓄積サーバ１０１から様々な情報を取得して、厳密番号対応表５２、物理包含表５３、および固有ソフトウエア表５４を生成する。なお、ソフトウエア構成情報生成部３００および製造情報収集部３０１は、後述する入力デバイス２０３から入力された情報を利用してソフトウエア構成情報５１などを生成してもよい。

【0018】

通知情報表示部３０２は、脆弱性分析サーバ１１１から受けた通知を事業者１００に居る人に通知する。詳しくは後述する。情報収集記憶部３０４は、不揮発性の記憶装置、たとえばハードディスクドライブである。

【0019】

脆弱性分析サーバ１１１は、情報収集部４００と、含有ソフトウエア特定部４０１と、脆弱性分析部４０２と、脆弱性情報通知部４０３と、脆弱性分析サーバ記憶部４０４とを備える。脆弱性分析サーバ記憶部４０４には、複数の事業者固有データ５０と、事業者相関表５５と、複数の製品構成グラフ５６とが格納される。ただし製品構成グラフ５６は説明の便宜のために記載しており、脆弱性分析サーバ記憶部４０４に製品構成グラフ５６が格納されなくてもよい。事業者相関表５５は、あらかじめ脆弱性分析サーバ記憶部４０４に格納される。

【0020】

情報収集部４００は、それぞれの情報収集サーバ１０２から事業者固有データ５０を収集して脆弱性分析サーバ記憶部４０４に格納する。含有ソフトウエア特定部４０１は、いずれかの製品を対象製品として製品構成グラフ５６を作成し、それぞれの製品が含有するソフトウエアを特定する。脆弱性分析部４０２は、脆弱性情報公開サーバ１１２を参照して各ソフトウエアの脆弱性の有無を判断する。脆弱性分析部４０２はさらに、ソフトウエアが脆弱性を有することが判明した場合にはその脆弱性の情報を取得する。脆弱性情報通知部４０３は、脆弱性分析部４０２が取得した脆弱性の情報をそれぞれの情報収集サーバ１０２に通知する。情報収集サーバ１０２の通知情報表示部３０２は、脆弱性情報通知部４０３が出力する通知に基づき動作する。

【0021】

図３は、情報収集サーバ１０２および脆弱性分析サーバ１１１のハードウエア構成図である。ただし図３では、情報収集サーバ１０２および脆弱性分析サーバ１１１に共通するハードウエア構成を示しているにすぎない。換言すると、図３は情報収集サーバ１０２および脆弱性分析サーバ１１１のハードウエア構成が同一であることを示すものではない。また図３では情報収集サーバ１０２および脆弱性分析サーバ１１１のそれぞれが、１台の複数の演算装置により構成されるように記載しているが、情報収集サーバ１０２および脆弱性分析サーバ１１１のそれぞれが複数の演算装置から構成されてもよい。

【0022】

情報収集サーバ１０２および脆弱性分析サーバ１１１は、プロセッサ２０１と、記憶デバイス２０２と、入力デバイス２０３と、出力デバイス２０４と、ネットワークインタフェース２０５と、通信バス２０６とを備える。プロセッサ２０１、記憶デバイス２０２、入力デバイス２０３、出力デバイス２０４、およびネットワークインタフェース２０５は、通信バス２０６により接続される。

【0023】

プロセッサ２０１は中央演算装置であり、不揮発性の記憶装置である記憶デバイス２０２に格納されたプログラムを実行することにより、前述した様々な機能を実現する。記憶デバイス２０２は、ＲＯＭ、フラッシュメモリ、ハードディスクドライブなどである。入力デバイス２０３は、たとえばキーボードやマウスである。情報収集サーバ１０２および脆弱性分析サーバ１１１は入力デバイス２０３を備えなくてもよい。出力デバイス２０４は、たとえば液晶ディスプレイやスピーカーである。ネットワークインタフェース２０５は、ネットワーク１１０を介した通信を実現する。

【0024】

図４は、製品構成の一例を示す図である。ただし図４では、ソフトウエアを一切含まない物品を記載していない。第１例示製品９００は、第１部品群９０ｘから構成される。第１部品群９０ｘは、第１物品９０１と、第２物品９０２と、第１独自ソフトウエア９０３とから構成される。第１物品９０１は、第２部品群９１ｘから構成される。第２部品群９１ｘは、第２独自ソフトウエア９１１および第３独自ソフトウエア９１２から構成される。第２物品９０２は、第３部品群９２ｘから構成される。第３部品群９２ｘは、第４独自ソフトウエア９２４から構成される。

【0025】

第１例示製品９００と第１部品群９０ｘは、製品と部品の関係にある。第１物品９０１と第２部品群９１ｘは、製品と部品の関係にある。このように、製品と部品の関係が数珠つなぎになっており、いずれの物品の製造工程に着目するかによって物品が「製品」と「部品」のいずれに該当するかが決まる。なお図４に示す例では、第２部品群９１ｘや第３部品群９２ｘには物品が含まれなかったが、第２部品群９１ｘや第３部品群９２ｘがソフトウエアを含む物品を含んでもよい。この場合には図４が右側に延びてゆく。

【0026】

図５は、ソフトウエア構成情報５１の一例を示す図である。具体的には図５には、第１会社１００－１、第２会社１００－２、および第３会社１００－３のそれぞれから得られるソフトウエア構成情報５１－１～５１－３を示している。ソフトウエア構成情報５１は１以上のレコードを有し、各レコードはソフトウエア識別子と構成内容とを含む。ただし会社ごとにレコード名が異なることがあり、必ずしも一致しない。ただしいずれのソフトウエア構成情報５１のレコードも、ソフトウエア識別子とソフトウエアの構成内容に相当するデータを含む。なおソフトウエア識別子は、個別のソフトウエアを識別する識別子であり、同一の作成者が作成する同一の機能を有するソフトウエアであってもバージョンが異なれば異なるソフトウエア識別子が付与される。

【0027】

図６は、厳密番号対応表５２の一例を示す図である。具体的には図６には、第１会社１００－１、第２会社１００－２、および第３会社１００－３のそれぞれから得られる厳密番号対応表５２－１～５２－３を示している。厳密番号対応表５２は１以上のレコードを有し、各レコードはソフトウエア部品番号とソフトウエア識別子とを含む。厳密番号対応表５２－１～５２－３は、会社ごとにレコード名が異なることがあり、必ずしも一致しない。ただしいずれの厳密番号対応表５２のレコードも、ソフトウエア部品番号とソフトウエア識別子に相当するデータを含む。

【0028】

ソフトウエア部品番号とソフトウエア識別子の相違点は主な利用方法にあり、ソフトウエア部品番号はそれぞれの会社内でのソフトウエアの管理に用い、ソフトウエア識別子は脆弱性情報の管理に用いることを主目的としている。すなわち、ソフトウエア部品番号とソフトウエア識別子は、バージョン番号の違いも含めて厳密にソフトウエアを識別するための識別子という点で共通している。そのためここでは、ソフトウエア部品番号とソフトウエア識別子の関係を示すテーブルを厳密番号対応表５２と呼んでいる。

【0029】

図７は、物理包含表５３の一例を示す図である。物理包含表５３は、事業者ごとの製品と部品の関係を示す。具体的には図７には、第１会社１００－１、第２会社１００－２、および第３会社１００－３のそれぞれから得られる物理包含表５３－１～５３－３を示している。物理包含表５３は１以上のレコードを有し、各レコードは製品番号と部品番号の１：１の対応関係を示している。

【0030】

図８は、固有ソフトウエア表５４の一例を示す図である。固有ソフトウエア表５４は、事業者ごとに製品に固有のソフトウエアを示している。具体的には固有ソフトウエア表５４には、製品番号に対応する１以上のソフトウエア部品番号が示される。

【0031】

図９は、事業者相関表５５の一例を示す図である。事業者相関表５５は、異なる事業者１００における部品番号および製品番号の対応を示す表である。具体的には、ソフトウエア構成情報５１、厳密番号対応表５２、物理包含表５３、および固有ソフトウエア表５４における項目名の対応、および製品番号と部品番号の対応を示している。具体的には、事業者相関表５５の１行目～４行目には、ソフトウエア識別子、ソフトウエア部品番号、部品番号、および製品番号の事業者１００ごとの名称が示されている。

【0032】

たとえば事業者相関表５５の１行目の記載を図６に示す厳密番号対応表５２に適用すると、次のことがわかる。すなわち、第１会社１００－１の厳密番号対応表５２－１における「ソフトウエア部品番号」と、第２会社１００－２の厳密番号対応表５２－２における「ＳＷ部品番号」と、第３会社１００－３の厳密番号対応表５２－３における「ソフト管理番号」と、が同一の意味であることが示されている。図６などでは該当箇所のみを抜き出しているので対応関係が容易に判別できるが、多数の項目が存在する場合には事業者相関表５５が有用である。

【0033】

また事業者相関表５５の５行目には、当該事業者１００における部品番号と他の事業者における製品番号との対応関係が示されている。たとえば第１会社１００－１では、文字列「Ｐａｒｔ」と、部品を製造した事業者１００の識別番号と、部品を製造した事業者１００ごとの製品の連番の組み合わせを部品番号にすることが示されている。事業者１００の識別番号は別途管理されており、本実施の形態では第２会社１００－２は「１」、第３会社１００－３は「２」が設定される。また第２会社１００－２は、第２会社１００－２における部品番号と他の事業者１００における製品番号との対応関係が、別途存在する不図示の対応表に記載されている旨が示されている。

【0034】

図１０は、含有ソフトウエア特定部４０１が生成する製品構成グラフ５６の第１の例を示す図である。この図では第１会社１００－１の「Ｐｒｏｄ００１」を対象製品として、「Ｐｒｏｄ００１」に含まれるソフトウエアを特定している。本図において破線で囲む第１領域Ｇ１０１は第１会社１００－１における物品の名称を示し、第２領域Ｇ１０２は第２会社１００－２における物品の名称を示し、第３領域Ｇ１０３は第３会社１００－３における物品の名称を示している。図１０において楕円で囲まれる文字列はソフトウエア識別子であり、四角で囲まれる文字列は製品番号、部品番号、およびソフトウエア部品番号のいずれかである。

【0035】

含有ソフトウエア特定部４０１は、まず物理包含表５３を参照し、対象製品である「Ｐｒｏｄ００１」を構成する部品の部品番号を特定する。さらに含有ソフトウエア特定部４０１は、固有ソフトウエア表５４を参照し、「Ｐｒｏｄ００１」を構成するソフトウエア部品の番号を特定する。これらの特定により、第１領域Ｇ１０１の記載が完成される。次に含有ソフトウエア特定部４０１は、第１会社１００－１における部品番号に対応する、他の事業者１００における製品番号を特定するために事業者相関表５５を参照する。この参照により、第１会社１００－１における「Ｐａｒｔ１－０１」が第２会社１００－２における「ＡＢＣ」に相当し、第１会社１００－１における「Ｐａｒｔ２－０１」が第３会社１００－３における「１００２１２」に相当することを特定する。

【0036】

次に含有ソフトウエア特定部４０１は、物理包含表５３および固有ソフトウエア表５４を参照して各部品が包含するソフトウエアとして、「ＳＰ－ＡＢＣ－１」および「２１２－２」を特定する。最後に含有ソフトウエア特定部４０１は、厳密番号対応表５２を参照して、それぞれのソフトウエア部品に対応するソフトウエア識別子を特定することで製品構成グラフ５６が完成する。図１０に示す例では、対象製品である「Ｐｒｏｄ００１」は、「ＳＢＯＭ１００１」、「ＳＢＯＭ２１０１」、および「ＳＢＯＭ３４５５」のソフトウエア識別子を有するソフトウエアを含むことが示されている。

【0037】

図１１は、含有ソフトウエア特定部４０１が生成する製品構成グラフ５６の第２の例を示す図である。この図では第１会社１００－１の「Ｐｒｏｄ００２」を対象製品として、「Ｐｒｏｄ００１」に含まれるソフトウエアを特定している。以下では、図１０との相違点を中心に説明する。図７の符号５３－１の表、および図８の符号５４－１の表に示すように、「Ｐｒｏｄ００２」は「Ｐｒｏｄ００１」とは構成する部品の番号およびソフトウエア部品の番号が異なるので、図１１の領域Ｇ１０１にはその相違点が反映されている。第４領域Ｇ１０４はこれまでに示していない第４会社における物品の名称を示している。

【0038】

含有ソフトウエア特定部４０１は、第１会社１００－１における部品の名称に対応する他の事業者１００における部品の名称を「ＡＢＣ２」および「１００２１３」と特定する。物理包含表５３－２において製品番号「ＡＢＣ２」は「ＥＸＴ－１」を含むことが示されているので、含有ソフトウエア特定部４０１は領域Ｇ１０２に反映する。含有ソフトウエア特定部４０１は、第２会社１００－２における「ＥＸＴ－１」に対応する他の事業者１００におけるソフトウエア部品番号を「ｐｄ１２３」と特定する。さらに含有ソフトウエア特定部４０１は、図６や図７には例示はないが、厳密番号対応表５２および物理包含表５３を参照して、「ｐｄ１２３」は固有ソフトウエアとして「ｓｏｆｔ４５」を含むことを特定して領域Ｇ１０４に記載する。

【0039】

最後に含有ソフトウエア特定部４０１は厳密番号対応表５２を参照して、それぞれのソフトウエア部品に対応するソフトウエア識別子を特定することで製品構成グラフ５６が完成する。図１１に示す例では、対象製品である「Ｐｒｏｄ００２」は、「ＳＢＯＭ１００２」、「ＳＢＯＭ２１０２」、「ＳＢＯＭ３４５６」、および「ＳＢＯＭ７８０３」のソフトウエア識別子を有するソフトウエアを含むことが示されている。

【0040】

図１２は、通知情報表示部３０２が出力デバイス２０４に出力する画面表示の例を示す図である。ここでは、図１１に示した「Ｐｒｏｄ００２」に含まれる「ＳＢＯＭ３４５６」に脆弱性を有する場合の例である。図１２において、第１ウインドウ２０４－１は第１会社１００－１の情報収集サーバ１０２－１に表示され、第２ウインドウ２０４－２は第３会社１００－３の情報収集サーバ１０２－３に表示され、第３ウインドウ２０４－３は第２会社１００－２の情報収集サーバ１０２－２に表示される。なお第４会社では第２会社１００－２と同様の表示がされる。

【0041】

ソフトウエア脆弱性情報は、ソフトウエア構成情報、脆弱性情報、製品番号、部品番号、および製造者が含まれうる。ソフトウエア構成情報はソフトウエア構成情報５１に含まれる。脆弱性情報は脆弱性情報公開サーバ１１２から取得される。本例では第２会社１００－２が製造したソフトウエアに脆弱性が含まれていたので、第１会社１００－１に出力される第１ウインドウ２０４－１では、製品番号だけでなく脆弱性がある部品の識別子とその製造者も明示している。また第１ウインドウ２０４－１における製造番号および部品番号は、第１会社１００－１における呼称が記載される。

【0042】

その一方で第２ウインドウ２０４－２には、ソフトウエア構成情報および脆弱性情報に加えて、脆弱性を有する固有ソフトウエアを含む物品の識別子と、ソフトウエア部品番号とが含まれる。また物品の識別子とソフトウエア部品番号は、第３会社１００－３における呼称が記載される。第３ウインドウ２０４－３が表示される第２会社１００－２および第４会社は、出荷する製品に含まれるソフトウエアに脆弱性が発見されていないので、脆弱性の情報は表示されない。

【0043】

図１３は、含有ソフトウエア特定部４０１の処理を示すフローチャートである。含有ソフトウエア特定部４０１はまずステップＳ１４０１において対象製品を決定する。対象製品は入力デバイス２０３を介したユーザからの指示により決定されてもよいし、物理包含表５３に記載されている製品を１つずつ順番に対象製品としてもよい。続くステップＳ１４０２では含有ソフトウエア特定部４０１は、物理包含表５３および固有ソフトウエア表５４を参照して、対象製品に含まれる部品および固有ソフトウエアを特定する。

【0044】

続くステップＳ１４０３では、事業者相関表５５を参照して、部品の他の事業者１００における対応する製品名を特定する。続くステップＳ１４０４では、物理包含表５３および固有ソフトウエア表５４を参照して、ステップＳ１４０３において特定した製品に含まれる部品および固有ソフトウエアを特定する。続くステップＳ１４０５では含有ソフトウエア特定部４０１は、未展開の物品が存在するか否かを判断する。未展開の物品とは、物理包含表５３を用いて構成部品を特定していない物品である。換言すると、ステップＳ１４０４の処理対象としていない物品が未展開の物品である。含有ソフトウエア特定部４０１は、未展開の物品が存在すると判断する場合はステップＳ１４０３に戻り、未展開の物品が存在しないと判断する場合はステップＳ１４０６に進む。

【0045】

ステップＳ１４０６では含有ソフトウエア特定部４０１は、厳密番号対応表５２を参照してステップＳ１４０２およびステップＳ１４０４において特定した固有ソフトウエアのソフトウエア識別子を特定して図１３に示す処理を終了する。

【0046】

図１４は、脆弱性分析部４０２の処理を示すフローチャートである。ステップＳ１５００では脆弱性分析部４０２は、脆弱性情報公開サーバ１１２からソフトウエア脆弱性情報を取得する。このソフトウエア脆弱性情報には、少なくともソフトウエア識別子と脆弱性情報との組み合わせが含まれる。次に脆弱性分析部４０２は、ステップＳ１５０２～Ｓ１５０４の処理を格納されているソフトウエア識別子の数だけ、処理対象のソフトウエア識別子を順番に変更して繰り返す。たとえばソフトウエア構成情報５１が図５に示すものの場合には、ソフトウエア識別子が全部で５つ記載されているので、ステップＳ１５０２～Ｓ１５０４の処理を５回繰り返す。

【0047】

ステップＳ１５０２では脆弱性分析部４０２は、処理対象のソフトウエア識別子がソフトウエア脆弱性情報に含まれるか否かを判断する。脆弱性分析部４０２は、処理対象のソフトウエア識別子がソフトウエア脆弱性情報に含まれると判断する場合はステップＳ１５０３に進み、処理対象のソフトウエア識別子がソフトウエア脆弱性情報に含まれないと判断する場合はステップＳ１５０５に進む。ステップＳ１５０３では脆弱性分析部４０２は、ソフトウエア構成情報５１における処理対象のソフトウエア識別子に対応するソフトウエアの構成内容を抽出する。

【0048】

続くステップＳ１５０４では脆弱性分析部４０２は、製品構成グラフ５６を参照して処理対象のソフトウエア識別子が示すソフトウエアが含まれる物品のリスト（以下、「脆弱含有リスト」と呼ぶ）を作成または更新する。具体的には、ステップＳ１５０４が初回に実行される際に脆弱含有リストが作成され、２回目以降にステップＳ１５０４が実行されると脆弱含有リストに追記されて更新される。たとえば図１１に示した製品構成グラフ５６において、「ＳＢＯＭ３４５６」に脆弱性が発見された場合には、「Ｐｒｏｄ００２」、「Ｐａｒｔ２－０２」、および「１００２１３」が脆弱含有リストに記載される。

【0049】

ステップＳ１５０１～Ｓ１５０５の繰り返し処理が完了すると、脆弱性分析部４０２は、処理対象の事業者を順番に変更して全ての事業者の分だけステップＳ１５０７～Ｓ１５０８の繰り返し処理を行う。ステップＳ１５０７では脆弱性分析部４０２は、処理対象の事業者における物理包含表５３を参照し、脆弱含有リストに含まれる物品が記載されているか否かを判断する。脆弱性分析部４０２は、脆弱含有リストに含まれる物品が記載されていると判断する場合はステップＳ１５０８に進み、脆弱含有リストに含まれる物品が記載されていないと判断する場合はステップＳ１５１０に進む。

【0050】

ステップＳ１５０８では脆弱性分析部４０２は、処理対象の事業者に通知する通知情報を生成して、脆弱性情報通知部４０３に通知させる。具体的には脆弱性分析部４０２は、図１２に示したようなソフトウエア脆弱性情報を生成する。この際に脆弱性分析部４０２は、事業者１００ごとに固有の名称を用いる。たとえば第１会社１００－１における「Ｐａｒｔ２－０２」と、第３会社１００－３における「１００２１３」は同一の物品を示すが、第１会社１００－１への通知情報では「Ｐａｒｔ２－０２」を用い、第３会社１００－３への通知情報では「１００２１３」を用いる。

【0051】

図１５は、脆弱性分析部４０２および脆弱性情報通知部４０３の処理を示すシーケンス図である。まず脆弱性分析サーバ１１１の脆弱性分析部４０２が脆弱性情報公開サーバ１１２に対してソフトウエア脆弱性情報を要求する（Ｓ１２００）。この要求に対して、脆弱性情報公開サーバ１１２は脆弱性分析サーバ１１１にソフトウエア脆弱性情報を送付する（Ｓ１２０１）。Ｓ１２００およびＳ１２０１の処理は、図１４のステップＳ１５００に相当する。次に脆弱性分析部４０２は、脆弱性のあるソフトウエアの構成内容をソフトウエア構成情報５１から抽出する（Ｓ１２０２）。本処理は図１４のステップＳ１５０３に相当する。次に脆弱性分析部４０２は、脆弱含有リストを作成する（Ｓ１２０３）。本処理は図１４のステップＳ１５０４に相当する。

【0052】

次に脆弱性分析部４０２は、通知情報を生成し（Ｓ１２０４）、この通知情報を脆弱性情報通知部４０３に送付させる（Ｓ１２０５）。Ｓ１２０４およびＳ１２０５は、図１４のステップＳ１５０８に相当する。この通知情報を受信した情報収集サーバ１０２の通知情報表示部３０２は、通知された情報を出力デバイス２０４に表示する。

【0053】

上述した第１の実施の形態によれば、次の作用効果が得られる。
（１）コンピュータである脆弱性分析サーバ１１１が実行する脆弱性分析方法は、情報収集部４００、含有ソフトウエア特定部４０１、および脆弱性分析部４０２による次の処理を含む。情報収集部４００は、複数の事業者１００のそれぞれから、製品の識別子ごとに製品を構成する部品である構成部品の識別子である構成部品識別子、および製品を構成し構成部品に含まれないソフトウエアである独自ソフトウエアの識別子を含む事業者固有データ５０を取得する。含有ソフトウエア特定部４０１は、予め作成された事業者相関表５５に基づき、異なる事業者１００における製品の識別子および構成部品識別子の対応の特定（図１３のＳ１４０３）と、調査対象の製品である対象製品を特定（図１３のＳ１４０１）と、を行う。脆弱性分析部４０２は、対象製品に含まれる全ての独自ソフトウエアを特定し、ソフトウエアの脆弱性に関するデータが格納される脆弱性ＤＢを参照して対象製品に含まれるソフトウエアの脆弱性を特定する。そのため、サプライチェーンを構成する複数の事業者１００に跨った、ソフトウエアの脆弱性を分析できる。

【0054】

（２）事業者固有データ５０には、事業者１００に固有のソフトウエアの識別子であるソフトウエア部品番号と、複数の事業者１００に共通するソフトウエアの識別子であるソフトウエア識別子と、の対応を示す厳密番号対応表５２を含む。そのため、それぞれの事業者１００は柔軟にソフトウエア部品番号を設定できるので簡便である。

【0055】

（３）脆弱性分析サーバ１１１が実行する処理には、特定した脆弱性に関する情報を事業者１００のそれぞれに通知する通知処理（図１４のＳ１５１０、図１５のＳ１２０５）を含む。そのためそれぞれの事業者１００は、自らの事業者１００が作成しておらず、部品に含まれるソフトウエアの脆弱性を知ることができる。

【0056】

（４）製品の識別子は、製品の製造ロットごと、または製品の設計ごとに付与される。そのため、ロットごとまたは設計ごとにソフトウエアの脆弱性を分析できる。

【0057】

（変形例１）
上述した第１の実施の形態では、ソフトウエアを識別するためにソフトウエア識別子およびソフトウエア部品番号の２つが用いられた。しかしソフトウエア部品番号を用いることなくソフトウエア識別子のみを用いてもよい。すなわちこの場合は、それぞれの事業者１００において、ソフトウエア部品番号の代わりにソフトウエア識別子を用いる。

【0058】

（変形例２）
上述した第１の実施の形態では、製品と部品の識別子は、製造ロットや設計を識別するものであり、同一の製造ロットで製造される製品には同一の識別子が付与された。しかし製品や部品の識別子は１つずつの製品や部品を識別する識別子、いわゆる個体識別番号であってもよい。

【0059】

―第２の実施の形態―
図１６～図１８を参照して、脆弱性分析方法および脆弱性分析システムの第２の実施の形態を説明する。以下の説明では、第１の実施の形態と同じ構成要素には同じ符号を付して相違点を主に説明する。特に説明しない点については、第１の実施の形態と同じである。本実施の形態では、主に、製品の購入者も管理する点で、第１の実施の形態と異なる。

【0060】

図１６は、第２の実施の形態における情報収集サーバ１０２および脆弱性分析サーバ１１１の構成図である。本実施の形態における情報収集サーバ１０２は、販売情報収集部３０９をさらに備える。販売情報収集部３０９は、現場情報蓄積サーバ１０１から製品の販売データを収集し、顧客表５９を生成する。本実施の形態では、ソフトウエア構成情報５１と、厳密番号対応表５２と、物理包含表５３と、固有ソフトウエア表５４と、に顧客表５９を加えたものを事業者固有データ５０Ａと呼ぶ。事業者固有データ５０Ａは、脆弱性分析サーバ１１１の情報収集部４００により収集される。

【0061】

図１７は、顧客表５９の一例を示す図である。具体的には図１７には、第１会社１００－１、第２会社１００－２、および第３会社１００－３のそれぞれから得られる顧客表５９－１～５９－３を示している。顧客表５９は１以上のレコードを有し、各レコードは顧客番号と製品番号とを含む。ただし以下では、顧客表５９を「購入者データ」とも呼ぶ。

【0062】

本実施の形態における脆弱性分析部４０２は、顧客表５９を参照して通知情報に顧客番号を含める。具体的には、通知情報に含める製品番号に対応する顧客番号を顧客表５９を参照して特定し、特定した顧客番号を通知情報に追加する。

【0063】

図１８は、第２の実施の形態において通知情報表示部３０２が出力デバイス２０４に出力する画面表示の例を示す図である。第１の実施の形態における図１２との相違点は、右端に顧客の欄が追加されている点である。

【0064】

上述した第２の実施の形態によれば、次の作用効果が得られる。
（５）製品の識別子は、個体を識別する個体識別番号である。脆弱性分析サーバ１１１の処理には、製品の購入者を識別する顧客識別子と製品の識別子との対応を示す購入者データである顧客表５９を収集することと、特定した脆弱性を有するソフトウエアを含む製品について、当該製品を製造した事業者に特定した脆弱性に関する情報、および購入者データを用いて特定した当該製品を購入した顧客を示す顧客識別子を通知することと、を含む。そのため、脆弱性を有するソフトウエアが含まれる製品を購入した顧客を容易に特定できる。

【0065】

（第２の実施の形態の変形例）
上述した第２の実施の形態では、脆弱性分析サーバ１１１が顧客番号を特定した。しかし脆弱性分析サーバ１１１の代わりに情報収集サーバ１０２が顧客番号を特定してもよい。すなわち情報収集サーバ１０２は、脆弱性分析サーバ１１１から受信するソフトウエア脆弱性情報に記載された製品番号に対応する顧客番号を顧客表５９を参照して特定し、ソフトウエア脆弱性情報に追加してもよい。この場合には、情報収集サーバ１０２は脆弱性分析サーバ１１１に顧客表５９を送付しなくてよい。

【0066】

上述した各実施の形態および変形例において、機能ブロックの構成は一例に過ぎない。別々の機能ブロックとして示したいくつかの機能構成を一体に構成してもよいし、１つの機能ブロック図で表した構成を２以上の機能に分割してもよい。また各機能ブロックが有する機能の一部を他の機能ブロックが備える構成としてもよい。

【0067】

上述した各実施の形態および変形例において、脆弱性分析サーバ１１１が不図示の入出力インタフェースを備え、必要なときに入出力インタフェースと脆弱性分析サーバ１１１が利用可能な媒体を介して、他の装置から脆弱性分析サーバ１１１の記憶デバイス２０２にプログラムが読み込まれてもよい。ここで媒体とは、例えば入出力インタフェースに着脱可能な記憶媒体、または通信媒体、すなわち有線、無線、光などのネットワーク、または当該ネットワークを伝搬する搬送波やディジタル信号、を指す。また、プログラムにより実現される機能の一部または全部がハードウエア回路やＦＰＧＡにより実現されてもよい。

【0068】

上述した各実施の形態および変形例は、それぞれ組み合わせてもよい。上記では、種々の実施の形態および変形例を説明したが、本発明はこれらの内容に限定されるものではない。本発明の技術的思想の範囲内で考えられるその他の態様も本発明の範囲内に含まれる。

【符号の説明】

【0069】

１ ：脆弱性分析システム
５０ ：事業者固有データ
５１ ：ソフトウエア構成情報
５２ ：厳密番号対応表
５３ ：物理包含表
５４ ：固有ソフトウエア表
５５ ：事業者相関表
５６ ：製品構成グラフ
１００ ：事業者
１０１ ：現場情報蓄積サーバ
１０２ ：情報収集サーバ
１１１ ：脆弱性分析サーバ
１１２ ：脆弱性情報公開サーバ
３００ ：ソフトウエア構成情報生成部
３０１ ：製造情報収集部
３０２ ：通知情報表示部
４００ ：情報収集部
４０１ ：含有ソフトウエア特定部
４０２ ：脆弱性分析部
４０３ ：脆弱性情報通知部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】