知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024177952
(43)【公開日】2024-12-24
(54)【発明の名称】診断装置および診断方法
(51)【国際特許分類】
G05B 23/02 20060101AFI20241217BHJP
G06F 21/55 20130101ALI20241217BHJP
【ＦＩ】
G05B23/02 T
G05B23/02 302Z
G06F21/55
【審査請求】未請求
【請求項の数】11
【出願形態】ＯＬ
(21)【出願番号】P 2023096396
(22)【出願日】2023-06-12
(71)【出願人】
【識別番号】000005108
【氏名又は名称】株式会社日立製作所
(74)【代理人】
【識別番号】110001829
【氏名又は名称】弁理士法人開知
(72)【発明者】
【氏名】阪田 恒晟
(72)【発明者】
【氏名】小倉 貴志
(72)【発明者】
【氏名】松本 典剛
【テーマコード（参考）】
3C223
【Ｆターム（参考）】
3C223BA03
3C223BB04
3C223CC02
3C223DD03
3C223EB01
3C223EB02
3C223EB07
3C223FF02
3C223FF03
3C223FF04
3C223FF12
3C223FF13
3C223FF24
3C223FF52
3C223GG01
(57)【要約】
【課題】サイバー攻撃の有無および機器の故障の有無を適切に判別可能な診断装置および診断方法を提供する。
【解決手段】診断装置が備える演算装置は、診断対象機器に対して所定の時刻にサイバー攻撃が実施された確率である瞬間攻撃確率を算出し、診断対象機器において所定の時刻に故障が生じた確率である瞬間故障確率を算出し、瞬間攻撃確率と瞬間故障確率とに基づき、所定の時刻における、診断対象機器に対するサイバー攻撃の有無および診断対象機器における故障の有無を判定する。
【選択図】図２
【解決手段】診断装置が備える演算装置は、診断対象機器に対して所定の時刻にサイバー攻撃が実施された確率である瞬間攻撃確率を算出し、診断対象機器において所定の時刻に故障が生じた確率である瞬間故障確率を算出し、瞬間攻撃確率と瞬間故障確率とに基づき、所定の時刻における、診断対象機器に対するサイバー攻撃の有無および診断対象機器における故障の有無を判定する。
【選択図】図２
【特許請求の範囲】
【請求項1】
演算装置を備えた診断装置であって、
前記演算装置は、
診断対象機器に対して所定の時刻にサイバー攻撃が実施された確率である瞬間攻撃確率を算出し、
前記診断対象機器において前記所定の時刻に故障が生じた確率である瞬間故障確率を算出し、
前記瞬間攻撃確率と前記瞬間故障確率とに基づき、前記所定の時刻における、前記診断対象機器に対するサイバー攻撃の有無および前記診断対象機器における故障の有無を判定する、
診断装置。
前記演算装置は、
診断対象機器に対して所定の時刻にサイバー攻撃が実施された確率である瞬間攻撃確率を算出し、
前記診断対象機器において前記所定の時刻に故障が生じた確率である瞬間故障確率を算出し、
前記瞬間攻撃確率と前記瞬間故障確率とに基づき、前記所定の時刻における、前記診断対象機器に対するサイバー攻撃の有無および前記診断対象機器における故障の有無を判定する、
診断装置。
【請求項2】
請求項１に記載の診断装置において、
前記演算装置は、
前記瞬間攻撃確率および前記瞬間故障確率をそれぞれ所定の閾値と比較することにより、前記診断対象機器に対するサイバー攻撃の有無および前記診断対象機器における故障の有無を判定する診断装置。
前記演算装置は、
前記瞬間攻撃確率および前記瞬間故障確率をそれぞれ所定の閾値と比較することにより、前記診断対象機器に対するサイバー攻撃の有無および前記診断対象機器における故障の有無を判定する診断装置。
【請求項3】
請求項１に記載の診断装置において、
前記演算装置は、
時間変化する第１の確率分布を用いて前記瞬間攻撃確率を算出し、時間変化し前記第１の確率分布とは異なる第２の確率分布を用いて前記瞬間故障確率を算出する診断装置。
前記演算装置は、
時間変化する第１の確率分布を用いて前記瞬間攻撃確率を算出し、時間変化し前記第１の確率分布とは異なる第２の確率分布を用いて前記瞬間故障確率を算出する診断装置。
【請求項4】
請求項１に記載の診断装置において、
前記演算装置は、
前記診断対象機器が故障する確率の確率分布の形状、尺度、および位置の特徴を表すパラメータの少なくとも一つを用いて前記瞬間故障確率を算出する診断装置。
前記演算装置は、
前記診断対象機器が故障する確率の確率分布の形状、尺度、および位置の特徴を表すパラメータの少なくとも一つを用いて前記瞬間故障確率を算出する診断装置。
【請求項5】
請求項１に記載の診断装置において、
前記演算装置は、
前記診断対象機器を構成するハードウェアまたはソフトウェアに関連する脆弱性情報を用いて前記瞬間攻撃確率を算出する診断装置。
前記演算装置は、
前記診断対象機器を構成するハードウェアまたはソフトウェアに関連する脆弱性情報を用いて前記瞬間攻撃確率を算出する診断装置。
【請求項6】
請求項１に記載の診断装置において、
前記演算装置は、
前記瞬間攻撃確率および前記瞬間故障確率を同次元化する調整を行う診断装置。
前記演算装置は、
前記瞬間攻撃確率および前記瞬間故障確率を同次元化する調整を行う診断装置。
【請求項7】
請求項１に記載の診断装置において、
前記演算装置は、
前記演算装置により判定された前記診断対象機器に対するサイバー攻撃の有無、および、前記演算装置により判定された前記診断対象機器における故障の有無を表示装置に表示させる診断装置。
前記演算装置は、
前記演算装置により判定された前記診断対象機器に対するサイバー攻撃の有無、および、前記演算装置により判定された前記診断対象機器における故障の有無を表示装置に表示させる診断装置。
【請求項8】
請求項１に記載の診断装置において、
前記演算装置は、
前記診断対象機器の保守点検に関する情報、前記診断対象機器の保守点検を行う保守員に関する情報、および前記診断対象機器の保守点検において成された操作の操作ログに関する情報の少なくとも一つを用いて前記瞬間攻撃確率を算出する診断装置。
前記演算装置は、
前記診断対象機器の保守点検に関する情報、前記診断対象機器の保守点検を行う保守員に関する情報、および前記診断対象機器の保守点検において成された操作の操作ログに関する情報の少なくとも一つを用いて前記瞬間攻撃確率を算出する診断装置。
【請求項9】
請求項１に記載の診断装置において、
前記演算装置は、
前記診断対象機器が稼働する物理環境の温度、湿度、振動、風、放射能、塵のうち少なくとも一つに関する情報を用いて前記瞬間故障確率を算出する診断装置。
前記演算装置は、
前記診断対象機器が稼働する物理環境の温度、湿度、振動、風、放射能、塵のうち少なくとも一つに関する情報を用いて前記瞬間故障確率を算出する診断装置。
【請求項10】
請求項１に記載の診断装置において、
前記演算装置は、
前記診断対象機器の設置場所のセキュリティ状況に関する情報、および前記診断対象機器に外部からネットワーク経由でアクセスする経路のセキュリティ状況に関する情報のうち少なくとも一つの情報を用いて前記瞬間攻撃確率を算出する診断装置。
前記演算装置は、
前記診断対象機器の設置場所のセキュリティ状況に関する情報、および前記診断対象機器に外部からネットワーク経由でアクセスする経路のセキュリティ状況に関する情報のうち少なくとも一つの情報を用いて前記瞬間攻撃確率を算出する診断装置。
【請求項11】
診断対象機器に対して所定の時刻にサイバー攻撃が実施された確率である瞬間攻撃確率を算出し、
前記診断対象機器において前記所定の時刻に故障が生じた確率である瞬間故障確率を算出し、
前記瞬間攻撃確率と前記瞬間故障確率とに基づき、前記所定の時刻における、前記診断対象機器に対するサイバー攻撃の有無および前記診断対象機器における故障の有無を判定する、
診断方法。
前記診断対象機器において前記所定の時刻に故障が生じた確率である瞬間故障確率を算出し、
前記瞬間攻撃確率と前記瞬間故障確率とに基づき、前記所定の時刻における、前記診断対象機器に対するサイバー攻撃の有無および前記診断対象機器における故障の有無を判定する、
診断方法。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、診断装置および診断方法に関する。
【背景技術】
【0002】
安定した稼働が求められる制御システムは、機器の故障とサイバー攻撃の両方に対処を行う必要がある。機器の状態を正常と異常の二値で診断する、いわゆる二値診断には、異常をサイバー攻撃と機器の故障に判別することができない、正常と思われるサイバー攻撃を判別できない、等の問題がある。特許文献１には、機器の状態を二値診断以外で診断する診断方法が記載されている。
【先行技術文献】
【特許文献】
【0003】
【特許文献1】特開２０１９－１９４８３０号公報
【発明の概要】
【発明が解決しようとする課題】
【0004】
特許文献１に記載の技術では、サイバー攻撃を受けている確率と機器が故障した確率の相互に依存関係があるため、正確な診断ができないという問題があった。
【0005】
本発明は、サイバー攻撃の有無および機器の故障の有無を適切に判別可能な診断装置および診断方法の提供を目的とする。
【課題を解決するための手段】
【0006】
本発明の一態様による診断装置は、演算装置を備え、前記演算装置は、診断対象機器に対して所定の時刻にサイバー攻撃が実施された確率である瞬間攻撃確率を算出し、前記診断対象機器において前記所定の時刻に故障が生じた確率である瞬間故障確率を算出し、前記瞬間攻撃確率と前記瞬間故障確率とに基づき、前記所定の時刻における、前記診断対象機器に対するサイバー攻撃の有無および前記診断対象機器における故障の有無を判定する。
【発明の効果】
【0007】
本発明によれば、サイバー攻撃の有無および機器の故障の有無を適切に判別できる。
【図面の簡単な説明】
【0008】
【発明を実施するための形態】
【0009】
【0010】
＜第１実施形態＞
図１は、第１実施形態に係る診断装置１のハードウェア構成を模式的に示すブロック図である。診断装置１は、不図示の診断対象機器（例えば制御システムに含まれる制御装置等）の健全性を診断し、診断結果をユーザに報知する装置である。ユーザは任意のタイミング（例えば毎日の特定の時刻等）で診断装置１を用いて診断対象機器の診断を行い、診断結果を参照して診断対象機器に必要な処置を施すことができる。
図１は、第１実施形態に係る診断装置１のハードウェア構成を模式的に示すブロック図である。診断装置１は、不図示の診断対象機器（例えば制御システムに含まれる制御装置等）の健全性を診断し、診断結果をユーザに報知する装置である。ユーザは任意のタイミング（例えば毎日の特定の時刻等）で診断装置１を用いて診断対象機器の診断を行い、診断結果を参照して診断対象機器に必要な処置を施すことができる。
【0011】
診断装置１は、ＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processing Unit）、ＤＳＰ（Digital Signal Processor）等の演算装置１１、ＲＯＭ（Read Only Memory）、フラッシュメモリ、ハードディスクドライブ等の不揮発性メモリ１２、所謂ＲＡＭ（Random Access Memory）と呼ばれる揮発性メモリ１３、入出力インタフェース１４、および、その他の周辺回路を備えたコンピュータで構成される。これらのハードウェアは、協働してソフトウェアを動作させ、複数の機能を実現する。なお、診断装置１は、１つのコンピュータで構成してもよいし、複数のコンピュータで構成してもよい。また、演算装置１１としては、ＡＳＩＣ（application specific integrated circuit）、ＦＰＧＡ（Field Programmable Gate Array）などを用いることができる。
【0012】
不揮発性メモリ１２には、各種演算が実行可能なプログラムが格納されている。すなわち、不揮発性メモリ１２は、本実施形態の機能を実現するプログラムを読み取り可能な記憶媒体（記憶装置）である。揮発性メモリ１３は、演算装置１１による演算結果および入力インタフェース１４から入力された信号を一時的に記憶する記憶媒体（記憶装置）である。演算装置１１は、不揮発性メモリ１２に記憶されたプログラムを揮発性メモリに展開して演算実行する装置であって、プログラムに従って入出力インタフェース１４、不揮発性メモリ１２および揮発性メモリ１３から取り入れたデータに対して所定の演算処理を行う。
【0013】
診断装置１は、入出力インタフェース１４を介して、パラメータデータベース２、脆弱性データベース３、および表示装置４に接続される。パラメータデータベース２および脆弱性データベース３は、所定のデータが格納された記憶装置である。パラメータデータベース２および脆弱性データベース３に格納されるデータについては後に詳述する。表示装置４は、例えば液晶モニタ等の表示画面を有する装置である。
【0014】
入出力インタフェース１４の入力部は、パラメータデータベース２および脆弱性データベース３から入力された信号を演算装置１１で演算可能なデータに変換する。また、入出力インタフェース１４の出力部は、演算装置１１での演算結果に応じた出力用の信号を生成し、その信号を表示装置４に出力する。
【0015】
図２は、第１実施形態に係る診断装置１の機能構成を示すブロック図である。診断装置１は、時刻入力部４１、瞬間故障確率算出部４２、瞬間攻撃確率算出部４３、確率調整部４４、判別部４５、および出力部４６を備える。時刻入力部４１は、瞬間故障確率算出部４２および瞬間攻撃確率算出部４３に診断時刻を入力する。瞬間故障確率算出部４２は、診断時刻における診断対象機器の瞬間故障確率を算出する。瞬間攻撃確率算出部４３は、診断時刻における診断対象機器の瞬間攻撃確率を算出する。確率調整部４４は、瞬間故障確率および瞬間攻撃確率を同次元化する調整を実施する。判別部４５は、確率調整部４４により調整された瞬間故障確率および瞬間攻撃確率を用いて、診断対象機器へのサイバー攻撃の可能性の有無、および、診断対象機器の故障の可能性の有無を判別する。出力部４６は、判別部４５による判別の結果を表示装置４に出力し、その内容をユーザに報知する。
【0016】
パラメータデータベース２には、形状パラメータ２１、尺度パラメータ２２、および位置パラメータ２３が格納される。また、脆弱性データベース３には、公開日データ３１、および機器データ３２が格納される。これらのデータについては当該データを使用する処理と合わせて説明する。
【0017】
診断装置１による診断対象機器の診断は、瞬間故障確率算出処理、瞬間攻撃確率算出処理、確率調整処理、および判別処理により実現される。以下、これらの処理について順に説明する。
【0018】
［瞬間故障確率算出処理］
図３は、瞬間故障確率算出部４２が実行する瞬間故障確率算出処理のフローチャートである。ステップＳ１００において、時刻入力部４１が瞬間故障確率算出部４２に診断時刻を入力する。ステップＳ１１０において、瞬間故障確率算出部４２がパラメータデータベース２から形状パラメータ２１、尺度パラメータ２２、および位置パラメータ２３を取得する。これらの各パラメータは、診断対象機器の過去の故障回数や故障に至るまでの時間に応じて、あらかじめ決まった値が設定される。ステップＳ１２０において、瞬間故障確率算出部４２が故障密度関数ｆ（ｔ）に形状パラメータ２１、尺度パラメータ２２、および位置パラメータ２３を代入する。
図３は、瞬間故障確率算出部４２が実行する瞬間故障確率算出処理のフローチャートである。ステップＳ１００において、時刻入力部４１が瞬間故障確率算出部４２に診断時刻を入力する。ステップＳ１１０において、瞬間故障確率算出部４２がパラメータデータベース２から形状パラメータ２１、尺度パラメータ２２、および位置パラメータ２３を取得する。これらの各パラメータは、診断対象機器の過去の故障回数や故障に至るまでの時間に応じて、あらかじめ決まった値が設定される。ステップＳ１２０において、瞬間故障確率算出部４２が故障密度関数ｆ（ｔ）に形状パラメータ２１、尺度パラメータ２２、および位置パラメータ２３を代入する。
【0019】
故障密度関数ｆ（ｔ）は、時間の経過に対する診断対象機器の故障確率を表す関数である。すなわち故障密度関数ｆ（ｔ）は、時間変化する確率分布を表す関数である。故障密度関数ｆ（ｔ）は、ハザード関数ｈ（ｔ）と信頼度関数Ｒ（ｔ）の積で表現される。ここで変数ｔは診断対象機器の稼働時間を表し、ｔ＝０は診断対象機器が稼働を開始した時刻に対応する。ハザード関数ｈ（ｔ）は、診断対象機器が時刻ｔまでに実際に故障したことがあるか否かに関係なく、時刻ｔの時点で診断対象機器に故障が発生する確率を表す関数である。換言すると、ハザード関数ｈ（ｔ）は、診断対象機器が時刻ｔまで故障しなかったという条件のもとで、その時刻に診断対象機器が故障する条件付き確率密度である。形状パラメータ２１をｍ、尺度パラメータ２２をｎ、位置パラメータ２３をΓという記号でそれぞれ表すと、ハザード関数ｈ（ｔ）は次式（１）で表される。
ｈ（ｔ）＝ｍ／ｎ・｛（ｔ－Γ）／ｎ｝＾（ｍ－１） ・・・（１）
信頼度関数Ｒ（ｔ）は、診断対象機器に時刻ｔまで故障が起こらない確率を表す関数であり、次式（２）で表される。
Ｒ（ｔ）＝Ｅｘｐ｛－（ｔ－Γ／ｎ）＾ｍ｝ ・・・（２）
故障密度関数ｆ（ｔ）は、診断対象機器に時刻ｔで最初に故障が起こる確率を表す関数であり、次式（３）で表される。
ｆ（ｔ）＝ｈ（ｔ）・Ｒ（ｔ） ・・・（３）
故障密度関数ｆ（ｔ）は、例えばワイブル分布のように、一般に時間経過に伴い下に凸の関数となる。
ｈ（ｔ）＝ｍ／ｎ・｛（ｔ－Γ）／ｎ｝＾（ｍ－１） ・・・（１）
信頼度関数Ｒ（ｔ）は、診断対象機器に時刻ｔまで故障が起こらない確率を表す関数であり、次式（２）で表される。
Ｒ（ｔ）＝Ｅｘｐ｛－（ｔ－Γ／ｎ）＾ｍ｝ ・・・（２）
故障密度関数ｆ（ｔ）は、診断対象機器に時刻ｔで最初に故障が起こる確率を表す関数であり、次式（３）で表される。
ｆ（ｔ）＝ｈ（ｔ）・Ｒ（ｔ） ・・・（３）
故障密度関数ｆ（ｔ）は、例えばワイブル分布のように、一般に時間経過に伴い下に凸の関数となる。
【0020】
文字ｍで表した形状パラメータ２１は、故障密度関数ｆ（ｔ）の時間経過に伴う増減、すなわち故障密度関数ｆ（ｔ）が表す確率分布の形状を定めるパラメータである。例えばｍ＜１のとき、故障密度関数ｆ（ｔ）は時間経過に従って減少する形状となる。またｍ＞１のとき、故障密度関数ｆ（ｔ）は時間経過に従って増加する形状となる。またｍ＝０のとき、故障確率は時間経過によらず一定になる。文字ｎで表した尺度パラメータ２２は、故障密度関数ｆ（ｔ）の大小、すなわち故障密度関数ｆ（ｔ）が表す確率分布の尺度を定めるパラメータである。例えばｎ＝１の時の故障密度関数ｆ（ｔ）の最大値は、ｎ＝２の時の故障密度関数ｆ（ｔ）の最大値の２倍となる。文字Γで表した位置パラメータ２３は、故障密度関数ｆ（ｔ）の位相、すなわち故障密度関数ｆ（ｔ）が表す確率分布の位置を定めるパラメータである。例えばΓ＝２の時の故障密度関数ｆ（ｔ）の横軸上の初期位置は、Γ＝０の時の故障密度関数ｆ（ｔ）の初期位置と比べ２だけ平行移動している。
【0021】
図３のステップＳ１２０において、瞬間故障確率算出部４２が上式（３）の故障密度関数ｆ（ｔ）に形状パラメータ２１、尺度パラメータ２２、および位置パラメータ２３を代入する。続くステップＳ１３０において瞬間故障確率算出部４２は、各パラメータを代入した後の故障密度関数ｆ（ｔ）と診断時刻とを用いて、瞬間故障確率を算出する。次式（４）のように定義される累積故障分布関数Ｆ（ｔ）を導入する。
Ｆ（ｔ）＝∫ｆ（ｔ）ｄｔ ・・・（４）
診断時刻をｔ１とすると、瞬間故障確率算出部４２は累積故障分布関数Ｆ（ｔ）をｔ＝０からｔ＝ｔ１まで時間積分することにより瞬間故障確率を算出する。
Ｆ（ｔ）＝∫ｆ（ｔ）ｄｔ ・・・（４）
診断時刻をｔ１とすると、瞬間故障確率算出部４２は累積故障分布関数Ｆ（ｔ）をｔ＝０からｔ＝ｔ１まで時間積分することにより瞬間故障確率を算出する。
【0022】
［瞬間攻撃確率算出処理］
図４は、瞬間攻撃確率算出部４３が実行する瞬間攻撃確率算出処理のフローチャートである。ステップＳ２００において、時刻入力部４１が瞬間攻撃確率算出部４３に診断時刻を入力する。ステップＳ２１０において、瞬間攻撃確率算出部４３が脆弱性データベース３から公開日データ３１および機器データ３２を取得する。
図４は、瞬間攻撃確率算出部４３が実行する瞬間攻撃確率算出処理のフローチャートである。ステップＳ２００において、時刻入力部４１が瞬間攻撃確率算出部４３に診断時刻を入力する。ステップＳ２１０において、瞬間攻撃確率算出部４３が脆弱性データベース３から公開日データ３１および機器データ３２を取得する。
【0023】
脆弱性データベース３は、診断対象機器を構成するソフトウェアやハードウェアの脆弱性情報を保持する。公開日データ３１は、診断対象機器に関連するソフトウェアやハードウェアの脆弱性情報が公開された日付を示す。機器データ３２は、診断対象機器のネットワーク接続情報や診断対象機器の内部で保持および使用しているプログラム情報を示す。これらのデータは、例えば各国のセキュリティ関連団体が公開している脆弱性情報をインターネットなどを用いて予め収集して設定される。例えば、共通脆弱性評価システムとして知られるＣＶＳＳ（Common Vulnerability Scoring System）に基づき公表されている脆弱性情報から公開日データ３１を生成して脆弱性データベース３に格納する。また、そのような脆弱性情報を機器データ３２と比較することで、診断対象機器に影響のある脆弱性を特定することができる。
【0024】
ステップＳ２２０において、瞬間攻撃確率算出部４３が診断対象機器のセキュリティ評価値を算出する。セキュリティ評価値は、診断対象機器のサイバー攻撃に対するリスクの高さを表す数値であり、例えば診断対象機器のサイバー攻撃への耐性が高いほど、診断対象機器がサイバー攻撃を受けたときの被害が大きいほど、その値は大きくなるように設定する。
【0025】
第１実施形態の瞬間攻撃確率算出部４３は、セキュリティ評価値Ｒｉｓｋを次式（５）により算出する。
Ｒｉｓｋ＝Ｉｍｐａｃｔ・Ｌｉｋｅｌｉｈｏｏｄ ・・・（５）
ここで、Ｉｍｐａｃｔは、診断対象機器への影響度合い（影響の大きさ）を表し、Ｌｉｋｅｌｉｈｏｏｄは、診断対象機器への攻撃容易性を表している。
Ｒｉｓｋ＝Ｉｍｐａｃｔ・Ｌｉｋｅｌｉｈｏｏｄ ・・・（５）
ここで、Ｉｍｐａｃｔは、診断対象機器への影響度合い（影響の大きさ）を表し、Ｌｉｋｅｌｉｈｏｏｄは、診断対象機器への攻撃容易性を表している。
【0026】
例えば、前述したＣＶＳＳでは脆弱性公開日におけるセキュリティ評価値を脆弱性そのものの基本特性から以下のように定めている。脆弱性そのものの基本特性には、攻撃容易性を測るものとして、脆弱性のあるコンポーネントをどこから攻撃可能であるかの指標である攻撃元区分Ｘ、脆弱性のあるコンポーネントを攻撃する際に必要な条件の複雑さの指標であるＹ、脆弱性のあるコンポーネントを攻撃する際に必要な特権レベルＺ、脆弱性のあるコンポーネントを攻撃する際に必要なユーザ関与レベルＷがある。また、診断対象機器への影響度合を測るものとして、機密性への影響レベルＣや完全性への影響Ｉ、可用性への影響Ａがある。
【0027】
ここでＩｍｐａｃｔは可用性Ａ、完全性Ｉ、機密性Ｃを用いて次式（６）のように表すことができる。
Ｉｍｐａｃｔ＝１－（１－Ａ）×（１－Ｉ）×（１－Ｃ） ・・・（６）
またＬｉｋｅｌｉｈｏｏｄは、攻撃元区分Ｘ、攻撃条件の複雑さＹ、必要な特権レベルＺ、必要なユーザ関与レベルＷを用いて、次式（７）のように表すことができる。
Ｌｉｋｅｌｉｈｏｏｄ＝８．２２×Ｘ×Ｙ×Ｚ×Ｗ ・・・（７）
式（５）に式（６）と式（７）を代入し、セキュリティ評価値Ｒｉｓｋを算出する次式（８）を得る。
Ｒｉｓｋ＝（１－（１－Ａ）×（１－Ｉ）×（１－Ｃ））×８．２２×Ｘ×Ｙ×Ｚ×Ｗ ・・・（８）
図４のステップＳ２２０において、瞬間攻撃確率算出部４３は、式（８）を用いてセキュリティ評価値Ｒｉｓｋを算出する。
Ｉｍｐａｃｔ＝１－（１－Ａ）×（１－Ｉ）×（１－Ｃ） ・・・（６）
またＬｉｋｅｌｉｈｏｏｄは、攻撃元区分Ｘ、攻撃条件の複雑さＹ、必要な特権レベルＺ、必要なユーザ関与レベルＷを用いて、次式（７）のように表すことができる。
Ｌｉｋｅｌｉｈｏｏｄ＝８．２２×Ｘ×Ｙ×Ｚ×Ｗ ・・・（７）
式（５）に式（６）と式（７）を代入し、セキュリティ評価値Ｒｉｓｋを算出する次式（８）を得る。
Ｒｉｓｋ＝（１－（１－Ａ）×（１－Ｉ）×（１－Ｃ））×８．２２×Ｘ×Ｙ×Ｚ×Ｗ ・・・（８）
図４のステップＳ２２０において、瞬間攻撃確率算出部４３は、式（８）を用いてセキュリティ評価値Ｒｉｓｋを算出する。
【0028】
ステップＳ２３０において、瞬間攻撃確率算出部４３が攻撃密度関数ａ（ｔ）を決定する。攻撃密度関数ａ（ｔ）は、時刻ｔで最初にサイバー攻撃を受ける確率を表す関数である。すなわち攻撃密度関数ａ（ｔ）は、時間変化する確率分布を表す関数である。攻撃密度関数ａ（ｔ）は、故障密度関数ｆ（ｔ）とは個別に（独立に）設定されるので、通常、両者には相関がない。換言すると、攻撃密度関数ａ（ｔ）および故障密度関数ｆ（ｔ）は、それぞれ異なる確率分布を表す関数である。瞬間攻撃確率算出部４３は、前述したセキュリティ評価値をパラメータとして持つ確率分布を想定し、その確率分布を表す攻撃密度関数ａ（ｔ）を決定する。例えば攻撃密度関数ａ（ｔ）は、時間に対して上に凸の関数や単調に減少する関数などであり、そのような関数としてはガウス分布などが挙げられる。
【0029】
第１実施形態の瞬間攻撃確率算出部４３は、次式（９）で表現される攻撃密度関数ａ（ｔ）を用いる。
ａ（ｔ）＝１／√（２πσｅｘｐ｛－（ｔ－μ）＾２／２σ＾２｝） ・・・（９）
ここでμは平均を、σは標準偏差を、２σ＾２は分散を表す。
ａ（ｔ）＝１／√（２πσｅｘｐ｛－（ｔ－μ）＾２／２σ＾２｝） ・・・（９）
ここでμは平均を、σは標準偏差を、２σ＾２は分散を表す。
【0030】
ステップＳ２４０において瞬間攻撃確率算出部４３は、ステップＳ２００で入力された診断時刻とステップＳ２３０で決定した攻撃密度関数ａ（ｔ）とを用いて、瞬間攻撃確率を算出する。次式（１０）のように定義される累積攻撃分布関数Ａ（ｔ）を導入する。
Ａ（ｔ）＝∫ａ（ｔ）ｄｔ ・・・（１０）
診断時刻をｔ１とすると、瞬間攻撃確率算出部４３は累積攻撃分布関数Ａ（ｔ）をｔ＝０からｔ＝ｔ１まで時間積分することにより瞬間攻撃確率を算出する。
Ａ（ｔ）＝∫ａ（ｔ）ｄｔ ・・・（１０）
診断時刻をｔ１とすると、瞬間攻撃確率算出部４３は累積攻撃分布関数Ａ（ｔ）をｔ＝０からｔ＝ｔ１まで時間積分することにより瞬間攻撃確率を算出する。
【0031】
［確率調整処理］
図５は、確率調整部４４が実行する確率調整処理のフローチャートである。確率調整処理において確率調整部４４は、診断時刻における故障とサイバー攻撃それぞれの確率分布を同次元化して比較可能にする。第１実施形態では、異なる確率分布を同次元化する方法として、確率距離尺度を用いる方法を採用している。
図５は、確率調整部４４が実行する確率調整処理のフローチャートである。確率調整処理において確率調整部４４は、診断時刻における故障とサイバー攻撃それぞれの確率分布を同次元化して比較可能にする。第１実施形態では、異なる確率分布を同次元化する方法として、確率距離尺度を用いる方法を採用している。
【0032】
ステップＳ３００において確率調整部４４は、瞬間故障確率算出部４２が瞬間故障確率算出処理で導出した累積故障分布関数Ｆ（ｔ）と、瞬間攻撃確率算出部４３が瞬間攻撃確率算出処理で導出した累積攻撃分布関数Ａ（ｔ）と、を取得する。ステップＳ３１０において確率調整部４４は、累積故障分布関数Ｆ（ｔ）と累積攻撃分布関数Ａ（ｔ）との間の確率距離尺度を算出する。
【0033】
確率距離尺度は、例えばカルバック＆ライブラー情報量など、異なる確率分布（例えばワイブル分布とガウス分布）間の距離を意味する。確率距離尺度ＤＫＬは次式（１１）により算出される。
ＤＫＬ（Ｆ（ｔ）｜｜Ａ（ｔ））＝∫Ｆ（ｔ）ｌｏｇ｛Ａ（ｔ）／Ｆ（ｔ）｝ｄｔ ・・・（１１）
このように、第１実施形態では確率距離尺度としてカルバック＆ライブラー情報量を採用する。
ＤＫＬ（Ｆ（ｔ）｜｜Ａ（ｔ））＝∫Ｆ（ｔ）ｌｏｇ｛Ａ（ｔ）／Ｆ（ｔ）｝ｄｔ ・・・（１１）
このように、第１実施形態では確率距離尺度としてカルバック＆ライブラー情報量を採用する。
【0034】
ステップＳ３２０において確率調整部４４は、診断時刻における調整後瞬間故障確率および調整後瞬間攻撃確率を算出する。確率調整部４４は、診断時刻における瞬間故障確率（図３のステップＳ１３０で算出した値）にステップＳ３１０で算出した確率距離尺度を乗算し、調整後瞬間故障確率とする。同様に確率調整部４４は、診断時刻における瞬間攻撃確率（図４のステップＳ２４０で算出した値）にステップＳ３１０で算出した確率距離尺度を乗算し、調整後瞬間攻撃確率とする。
【0035】
例えば、調整後瞬間故障確率をＦ’（ｔ）、調整後瞬間攻撃確率をＡ’（ｔ）とすると、調整後瞬間故障確率および調整後瞬間攻撃確率は次式（１２）、（１３）により算出できる。
Ｆ’（ｔ）＝ＤＫＬ（Ｆ（ｔ）||Ａ（ｔ））・Ｆ（ｔ） ・・・（１２）
Ａ’（ｔ）＝ＤＫＬ（Ｆ（ｔ）||Ａ（ｔ））・Ａ（ｔ） ・・・（１３）
ステップＳ３２０で調整後瞬間故障確率Ｆ’（ｔ）、および調整後瞬間攻撃確率Ａ’（ｔ）が算出されると、処理がステップＳ３３０に進む。
Ｆ’（ｔ）＝ＤＫＬ（Ｆ（ｔ）||Ａ（ｔ））・Ｆ（ｔ） ・・・（１２）
Ａ’（ｔ）＝ＤＫＬ（Ｆ（ｔ）||Ａ（ｔ））・Ａ（ｔ） ・・・（１３）
ステップＳ３２０で調整後瞬間故障確率Ｆ’（ｔ）、および調整後瞬間攻撃確率Ａ’（ｔ）が算出されると、処理がステップＳ３３０に進む。
【0036】
ステップＳ３３０において確率調整部４４は、ステップＳ３２０で算出した診断時刻ｔ１における調整後瞬間故障確率Ｆ’（ｔ）および調整後瞬間攻撃確率Ａ’（ｔ）を判別部４５に出力する。
【0037】
図６は、調整後瞬間故障確率Ｆ’（ｔ）および調整後瞬間攻撃確率Ａ’（ｔ）を例示するグラフである。図６において、符号６２が調整後瞬間故障確率Ｆ’（ｔ）を、符号６３が調整後瞬間攻撃確率Ａ’（ｔ）を、それぞれ表す。図６において、横軸は経過時間ｔを表し縦軸は経過時間におけるそれぞれの確率を表す。図６では、横軸の経過時間ｔを初期運用、中期運用、最終運用の３つのフェイズに区切っている。これは、診断対象機器を導入し運用を開始してからのフェイズをそれぞれ意味している。すなわち、初期運用フェイズは診断対象機器の稼働直後からしばらくの間を、中期運用フェイズは運用が軌道に乗ってからしばらくの間を、最終運用フェイズは運用の終盤をそれぞれ表している。符号６０は診断対象機器に脆弱性が発覚した日時を表し、符号６１は診断装置１による診断を行った時刻（診断時刻ｔ１）を表す。符号６４は診断時刻における調整後瞬間故障確率Ｆ’（ｔ）を、符号６５は診断時刻における調整後瞬間攻撃確率Ａ’（ｔ）をそれぞれ表す。例えば図６では、診断時刻ｔ１において、調整後瞬間故障確率Ｆ’（ｔ）＝０．３であり、調整後瞬間攻撃確率Ａ’（ｔ）＝０．２である。
【0038】
［判別処理］
図７は、判別部４５が実行する判別処理のフローチャートである。判別部４５は、確率調整部４４が出力する調整後瞬間故障確率Ｆ’（ｔ）および調整後瞬間攻撃確率Ａ’（ｔ）を所定のしきい値ｆ、ａとそれぞれ比較することにより、故障およびサイバー攻撃の有無を出力する。所定のしきい値ｆは故障密度関数ｆ（ｔ）に基づく値であり、所定のしきい値ａは攻撃密度関数ａ（ｔ）に基づく値である。これらのしきい値ｆ、ａは、例えば故障密度関数ｆ（ｔ）や攻撃密度関数ａ（ｔ）の最頻値、平均値、中央値などの統計値であってもよいし、それらの統計値とは別に診断装置１の設計者が指定する値であってもよい。
図７は、判別部４５が実行する判別処理のフローチャートである。判別部４５は、確率調整部４４が出力する調整後瞬間故障確率Ｆ’（ｔ）および調整後瞬間攻撃確率Ａ’（ｔ）を所定のしきい値ｆ、ａとそれぞれ比較することにより、故障およびサイバー攻撃の有無を出力する。所定のしきい値ｆは故障密度関数ｆ（ｔ）に基づく値であり、所定のしきい値ａは攻撃密度関数ａ（ｔ）に基づく値である。これらのしきい値ｆ、ａは、例えば故障密度関数ｆ（ｔ）や攻撃密度関数ａ（ｔ）の最頻値、平均値、中央値などの統計値であってもよいし、それらの統計値とは別に診断装置１の設計者が指定する値であってもよい。
【0039】
ステップＳ４００において判別部４５は、調整後瞬間故障確率Ｆ’（ｔ）の値をしきい値ｆと比較する。調整後瞬間故障確率Ｆ’（ｔ）の値がしきい値ｆ以上である場合、処理はステップＳ４１０に進む。ステップＳ４１０において判別部４５は、調整後瞬間攻撃確率Ａ’（ｔ）の値をしきい値ａと比較する。調整後瞬間攻撃確率Ａ’（ｔ）の値がしきい値ａ以上である場合、処理はステップＳ４２０に進む。ステップＳ４２０において判別部４５は、故障およびサイバー攻撃の両方が同時に生じた可能性が高いと判別する。ステップＳ４１０において調整後瞬間攻撃確率Ａ’（ｔ）の値がしきい値ａ未満である場合、処理はステップＳ４３０に進む。ステップＳ４３０において判別部４５は、故障が生じた可能性が高いと判別する。ステップＳ４００において調整後瞬間故障確率Ｆ’（ｔ）の値がしきい値ｆ未満である場合、処理はステップＳ４４０に進む。ステップＳ４４０において判別部４５は、調整後瞬間攻撃確率Ａ’（ｔ）の値をしきい値ａと比較する。調整後瞬間攻撃確率Ａ’（ｔ）の値がしきい値ａ以上である場合、処理はステップＳ４５０に進む。ステップＳ４５０において判別部４５は、サイバー攻撃が生じた可能性が高いと判別する。ステップＳ４４０において調整後瞬間攻撃確率Ａ’（ｔ）の値がしきい値ａ未満である場合、処理はステップＳ４６０に進む。ステップＳ４６０において判別部４５は、故障が生じた可能性もサイバー攻撃が生じた可能性もいずれも低い、すなわち診断対象機器は正常な状態であると判別する。
【0040】
例えば、設計者によりｆ＝０．４、ａ＝０．３というしきい値が与えられており、図６に示すように調整後瞬間故障確率Ｆ’（ｔ）＝０．３、調整後瞬間攻撃確率Ａ’（ｔ）＝０．２である場合を考える。この場合、ステップＳ４００で調整後瞬間故障確率Ｆ’（ｔ）がしきい値ｆ未満であるためステップＳ４４０に進み、調整後瞬間攻撃確率Ａ’（ｔ）がしきい値ａ未満であるためステップＳ４６０に進む。その結果、判別部４５は診断対象機器が正常な状態である（故障も生じていないしサイバー攻撃も受けていない）と判別する。
【0041】
図８は、表示装置４の表示画面を例示する模式図である。出力部４６は、判別部４５による判別の結果、すなわち診断結果を表示装置４に出力する。表示装置４は、この診断結果に基づき、図８に例示するような画面を表示する。
【0042】
表示装置４の表示画面には、診断日時表示領域９０、診断結果表示領域９１、診断結果詳細表示領域９２、診断グラフ表示領域９３、および再診断ボタン９４が設けられる。診断日時表示領域９０は、診断を実施した日時（診断時刻ｔ１）を表示する。診断結果表示領域９１は、診断対象機器の診断結果を表示する領域である。診断結果表示領域９１には、診断結果が正常、故障、攻撃（サイバー攻撃）、故障＆攻撃、のいずれかの形で表示される。診断結果詳細表示領域９２は、診断結果表示領域９１に表示される結果の内訳（詳細）を表示する領域である。診断グラフ表示領域９３は、診断時刻までの故障確率分布および攻撃確率分布を表示するものであり、例えば図６に例示したグラフのように確率分布が表示されるものとする。再診断ボタン９４は、再診断を実行するためのボタンである。再診断ボタン９４を押すことで、ボタンが押された時刻における診断対象機器の診断が再度実行され、再診断の結果を表示装置４の表示画面に表示することができる。
【0043】
上述した第１実施形態によれば、次の作用効果を奏する。
【0044】
（１）瞬間攻撃確率算出部４３（演算装置）が診断対象機器に対して診断時刻（所定の時刻）にサイバー攻撃が実施された確率である瞬間攻撃確率を算出し、瞬間故障確率算出部４２（演算装置）が診断対象機器において診断時刻（所定の時刻）に故障が生じた確率である瞬間故障確率を算出する。その後、判別部４５（演算装置）が、瞬間攻撃確率と瞬間故障確率とに基づき、診断時刻（所定の時刻）における、診断対象機器に対するサイバー攻撃の有無および診断対象機器における故障の有無を判定する。このようにしたので、サイバー攻撃の有無および機器の故障の有無を適切に判別できる。また、瞬間攻撃確率と瞬間故障確率は別々に算出され、お互いに相関がないので、一方が他方に影響されることがなく、サイバー攻撃の確率と故障の確率とを独立に判断することができる。
【0045】
（２）判別部４５（演算装置）は、瞬間攻撃確率および瞬間故障確率をそれぞれ所定の閾値と比較することにより、診断対象機器に対するサイバー攻撃の有無および診断対象機器における故障の有無を判定する。このようにしたので、サイバー攻撃の有無と故障の有無とを、一方が他方に影響されることなく独立に判断することができる。
【0046】
（３）瞬間攻撃確率算出部４３（演算装置）は、時間変化する確率分布を表した攻撃密度関数ａ（ｔ）（第１の確率分布）を用いて瞬間攻撃確率を算出する。また、瞬間故障確率算出部４２（演算装置）は、時間変化する確率分布を表し攻撃密度関数ａ（ｔ）（第１の確率分布）とは異なる故障密度関数ｆ（ｔ）（第２の確率分布）を用いて瞬間故障確率を算出する。このようにしたので、サイバー攻撃の有無と故障の有無とを、一方が他方に影響されることなく独立に判断することができる。
【0047】
（４）瞬間故障確率算出部４２（演算装置）は、診断対象機器が故障する確率の確率分布の形状、尺度、および位置の特徴を表す形状パラメータ２１、尺度パラメータ２２、および位置パラメータ２１の少なくとも一つを用いて瞬間故障確率を算出する。このようにしたので、診断対象機器の故障の有無を精度よく判別することが可能になる。
【0048】
（５）瞬間攻撃確率算出部４３（演算装置）は、診断対象機器を構成するハードウェアまたはソフトウェアに関連する脆弱性データベース３（脆弱性情報）を用いて瞬間攻撃確率を算出する。このようにしたので、診断対象機器へのサイバー攻撃の有無を精度よく判別することが可能になる。
【0049】
（６）確率調整部４４（演算装置）は、瞬間攻撃確率および瞬間故障確率を同次元化する調整を行う。このようにしたので、瞬間攻撃確率および瞬間故障確率をそれぞれ比較するしきい値を共通の尺度で決定することができ、しきい値の設定が簡便になる。
【0050】
（７）出力部４６（演算装置）は、判別部４５（演算装置）により判定された診断対象機器に対するサイバー攻撃の有無、および、判別部４５（演算装置）により判定された診断対象機器における故障の有無を表示装置４に表示させる。このようにしたので、診断装置１の使用者が診断結果を的確に把握することが可能になる。
【0051】
＜第２実施形態＞
図９～図１１を参照して、本発明の第２実施形態に係る診断装置について説明する。なお、第１実施形態で説明した構成と同一もしくは相当する構成には同一の参照記号を付し、相違点を主に説明する。
図９～図１１を参照して、本発明の第２実施形態に係る診断装置について説明する。なお、第１実施形態で説明した構成と同一もしくは相当する構成には同一の参照記号を付し、相違点を主に説明する。
【0052】
図９は、図２と同様の図であり、第２実施形態に係る診断装置１００の機能構成を示すブロック図である。診断装置１００は、第１実施形態に係る診断装置１の各部に加えて、保守リスク評価値算出部４７を備える。保守リスク評価値算出部４７は、診断対象機器の保守に関連するリスクを定量化した数値である保守リスク評価値を算出する。診断装置１００には、第１実施形態と同様のパラメータデータベース２および脆弱性データベース３に加えて、保守点検データベース５が接続される。
【0053】
保守点検データベース５は、保守点検データ５１、保守員データ５２、および操作ログデータ５３を格納する。保守点検データ５１は、例えば保守員による診断対象機器の保守点検日や点検場所に関する情報である。保守員データ５２は、例えば保守員の年齢、勤務年数といった保守員自身に関する情報である。操作ログデータ５３は、例えば保守時間や操作コマンド数に関する情報である。
【0054】
保守リスク評価値算出部４７による保守リスク評価値の算出方法の一例を説明する。保守リスク評価値Ｌは次式（１４）のように表される。
Ｌ＝Ｔ・Ｃ ・・・（１４）
ここで、Ｔは規定操作時間に対する実際の操作時間の割合を表し、Ｃは規定操作コマンド数に対する実際の操作コマンド数の割合を表している。
Ｌ＝Ｔ・Ｃ ・・・（１４）
ここで、Ｔは規定操作時間に対する実際の操作時間の割合を表し、Ｃは規定操作コマンド数に対する実際の操作コマンド数の割合を表している。
【0055】
操作時間の割合Ｔや操作コマンド数の割合Ｃの値を所定の値と比較することで、保守員の操作への精通の度合を定量的に測ることができる。例えば、Ｃが１より大きい場合、その保守員は保守操作に精通していないと判定したり、Ｃが１未満であれば保守操作に精通していると判定したりすることができる。また、Ｔについても同様に、Ｔが１より大きい場合、その保守員は保守操作に精通していないと判定したり、Ｔが１未満であれば保守操作に精通していると判定したりすることができる。
【0056】
なお、保守員が保守操作に精通しているか否かの判別は、上述したルールベースの指標の他に、保守員データ５２に含まれる保守員の年齢、勤務年数や、操作ログデータ５３に含まれる操作時間などを入力データセットとする機械学習により行うことも可能である。
【0057】
図１０は、図４と同様の図であり、瞬間攻撃確率算出部４３が実行する瞬間攻撃確率算出処理のフローチャートである。図１０のフローチャートでは、図４のフローチャートのステップＳ２２０とステップＳ２３０の間に、ステップＳ２２５の処理が追加されている。ステップＳ２２５において瞬間攻撃確率算出部４３は、ステップＳ２２０で決定したセキュリティ評価値に対して、保守リスク評価値算出部４７が算出した保守リスク評価値を合算する。これにより、これ以降のセキュリティ評価値を対象とする処理は、保守リスク評価値を加味した処理となる。
【0058】
式（５）に示した通り、セキュリティ評価値は診断対象機器への影響度合い（影響の大きさ）Ｉｍｐａｃｔ、診断対象機器への攻撃容易性Ｌｉｋｅｌｉｈｏｏｄにより決定される。保守リスク評価値はそれらの値のうち攻撃容易性Ｌｉｋｅｌｉｈｏｏｄに反映される。式（７）に示した通り、Ｌｉｋｅｌｉｈｏｏｄは攻撃元区分Ｘ、攻撃条件の複雑さＹ、必要な特権レベルＺ、必要なユーザ関与レベルＷに基づく値である。瞬間攻撃確率算出部４３は、攻撃元区分Ｘや必要な特権レベルＺの値を保守リスク評価値に応じで変動させることにより、保守リスク評価値をセキュリティ評価値に合算（反映）する。例えば、保守リスク評価値が大きいほど攻撃元区分Ｘや必要な特権レベルＺの値を上げたり、保守リスク評価値が小さいほど攻撃元区分Ｘや必要な特権レベルＺの値を下げたりする。
【0059】
なお、保守リスク評価値をセキュリティ評価値に合算する方法は上述の方法に限定されない。例えば保守リスク評価値をセキュリティリスク評価値のように同じ１０段階で評価し、セキュリティリスク評価値に足し合わせるようにしてもよい。
【0060】
図１１は、図６と同様の図であり、調整後瞬間故障確率Ｆ’（ｔ）および調整後瞬間攻撃確率Ａ’（ｔ）を例示するグラフである。符号１３６０は調整後瞬間故障確率Ｆ’（ｔ）を、符号１３７０は調整後瞬間攻撃確率Ａ’（ｔ）を、それぞれ表す。図１１において、横軸は経過時間ｔを表し縦軸は経過時間におけるそれぞれの確率を表す。符号１３００は診断対象機器に脆弱性が発覚した日時を表し、符号１３１０は診断装置１による診断を行った時刻（診断時刻ｔ１）を表す。符号１３３０は診断時刻における保守リスク評価値を加味しない調整後瞬間攻撃確率Ａ’（ｔ）を表し、符号１３４０は診断時刻における保守リスク評価値を加味した調整後瞬間攻撃確率Ａ’（ｔ）を表す。符号１３５０は診断時刻における調整後瞬間故障確率Ｆ’（ｔ）を表す。
【0061】
調整後瞬間攻撃確率Ａ’（ｔ）は、従来のセキュリティ要素に起因するもの以外に、保守員による保守点検作業にも起因して変動する。例えば図６においては、診断時刻における調整後瞬間攻撃確率Ａ’（ｔ）＝０．２であるケースを考えたが、図１１においてはＡ’（ｔ）＝０．３となるケースを考える。これは、脆弱性要因に加え、保守要因が調整後瞬間攻撃確率Ａ’（ｔ）に反映されたことを考慮するためである。この保守要因が反映された調整後瞬間攻撃確率Ａ’（ｔ）において、例えば、Ａ’（ｔ）＝０．３、しきい値ａ＝０．２の場合の出力結果を考える。ただし、調整後瞬間故障確率Ｆ’（ｔ）＝０．３およびしきい値ｆ＝０．４は図６と同様とする。このとき判別部４５は、まずＦ’（ｔ）がｆより小さいことから故障の可能性は低いと判別する。その後、判別部４５は、Ａ’（ｔ）がａ以上であることからサイバー攻撃の可能性が高いと判別する。これにより診断結果はサイバー攻撃の可能性が高い、ということになる。このように、保守リスク評価値が加味されたことにより調整後瞬間攻撃確率Ａ’（ｔ）の値が大きくなり、その結果、図６で説明した内容から診断結果が変化している。
【0062】
上述した第２実施形態によれば、次の作用効果を奏する。
【0063】
（１）瞬間攻撃確率算出部４３（演算装置）は、診断対象機器の保守点検に関する情報である保守点検データ５１、診断対象機器の保守点検を行う保守員に関する情報である保守員データ５２、および診断対象機器の保守点検において成された操作の操作ログに関する情報である操作ログデータ５３の少なくとも一つに基づく保守リスク評価値を用いて瞬間攻撃確率を算出する。このようにすることで、診断対象機器のライフサイクルを加味した診断ができるようになる。
【0064】
＜第３実施形態＞
図１２および図１３を参照して、本発明の第３実施形態に係る診断装置について説明する。なお、第１実施形態で説明した構成と同一もしくは相当する構成には同一の参照記号を付し、相違点を主に説明する。
図１２および図１３を参照して、本発明の第３実施形態に係る診断装置について説明する。なお、第１実施形態で説明した構成と同一もしくは相当する構成には同一の参照記号を付し、相違点を主に説明する。
【0065】
図１２は、図２と同様の図であり、第３実施形態に係る診断装置２００の機能構成を示すブロック図である。診断装置２００には、第１実施形態と同様のパラメータデータベース２および脆弱性データベース３に加えて、物理情報データベース７およびアクセス情報データベース８が接続される。
【0066】
物理情報データベース７には、温度データ７１、湿度データ７２、および振動データ７３が格納される。温度データ７１は、例えば診断対象機器が高温下で稼働している、あるいは冷却下で稼働している、といった診断対象機器の環境の温度に関するデータである。湿度データ７２は、例えば診断対象機器が設置されている環境が多湿あるいは低湿である、といった診断対象機器の環境の湿度に関するデータである。振動データ７３は、例えば診断対象機器が設置されている環境の振動の大きさに関するデータである。なお、これら以外にも、例えば、診断対象機器の環境の風（風量および風速）、放射能、塵などに関するデータを物理情報データベース７に格納してもよい。
【0067】
アクセス情報データベース８には、物理アクセスデータ８１およびネットワークデータ８２が格納される。物理アクセスデータ８１は、診断対象機器の設置場所のセキュリティ状況に関するデータ、すなわち、診断対象機器が設置されている環境の物理的な安全性を示すデータであり、例えば診断対象機器の設置されている部屋が施錠されている、あるいは特定の人物しか入室できないような物理的セキュリティが構築されている、診断対象機器がワイヤーロック等で固定されている、といったデータである。ネットワークデータ８２は、診断対象機器に外部からネットワーク経由でアクセスする経路のセキュリティ状況に関するデータ、すなわち、外部から診断対象機器への侵入のしやすさを示すデータであり、例えば診断対象機器のデバックポートの情報やシェル情報、ネットワーク通信に用いるポート情報などである。
【0068】
第３実施形態の瞬間故障確率算出部４２は、パラメータデータベース２内の各種パラメータだけではなく、物理情報データベース７内の各種データをも用いて瞬間故障確率を算出する。第３実施形態の瞬間攻撃確率算出部４３は、脆弱性データベース３内の各種データだけではなく、アクセス情報データベース８内の各種データをも用いて瞬間攻撃確率を算出する。
【0069】
図１３は、図６と同様の図であり、調整後瞬間故障確率Ｆ’（ｔ）および調整後瞬間攻撃確率Ａ’（ｔ）を例示するグラフである。符号１５５０は調整後瞬間故障確率Ｆ’（ｔ）を、符号１５４０は調整後瞬間攻撃確率Ａ’（ｔ）を、それぞれ表す。図１３において、横軸は経過時間ｔを表し縦軸は経過時間におけるそれぞれの確率を表す。符号１５００は診断対象機器に脆弱性が発覚した日時を表し、符号１５１０は診断装置２００による診断を行った時刻（診断時刻ｔ１）を表す。符号１５３０は診断時刻における物理情報データベース７内の各種データを加味した調整後瞬間故障確率Ｆ’（ｔ）を表し、符号１５２０は診断時刻におけるアクセス情報データベース８内の各種データを加味した調整後瞬間攻撃確率Ａ’（ｔ）を表す。
【0070】
例えば図６においては、診断時刻における調整後瞬間故障確率Ｆ’（ｔ）＝０．３であるケースを考えたが、図１３においては調整後瞬間故障確率Ｆ’（ｔ）＝０．４５となるケースを考える。また図６においては、診断時刻における調整後瞬間攻撃確率Ａ’（ｔ）＝０．２であるケースを考えたが、図１３においてはＡ’（ｔ）＝０．２５となるケースを考える。これらは、診断対象機器に対する物理的要因（物理情報データベース７内の各種データ）の影響が大きい一方、診断対象機器に対する外部アクセスによるセキュリティ要因（アクセス情報データベース８内の各種データ）が少ないことを意味する。このように、確率分布自体に物理的要因および外部アクセスによるセキュリティ要因に基づくバイアスをかけることで、より正確な診断を実施できる。
【0071】
例えば、Ｆ’（ｔ）＝０．４５、しきい値ｆ＝０．４、Ａ’（ｔ）＝０．２５、しきい値ａ＝０．３５の場合の出力結果を考える。このとき判別部４５は、まずＦ’（ｔ）がｆ以上であることから故障の可能性が高いと判別する。その後、判別部４５は、Ａ’（ｔ）がａ未満であることからサイバー攻撃の可能性は低いと判別する。これにより診断結果は故障の可能性が高い、ということになる。このように、物理的要因や外部アクセスによるセキュリティ要因が加味されたことにより、図６で説明した内容から診断結果が変化している。
【0072】
上述した第３実施形態によれば、次の作用効果を奏する。
【0073】
（１）瞬間故障確率算出部４２（演算装置）は、診断対象機器が稼働する物理環境の温度、湿度、振動、風、放射能、塵のうち少なくとも一つに関する情報である物理情報データベース７を用いて瞬間故障確率を算出する。このようにしたので、瞬間故障確率の精度が向上し、故障の有無をより正確に診断することができる。
【0074】
（２）瞬間攻撃確率算出部４３（演算装置）は、診断対象機器の設置場所のセキュリティ状況に関する情報である物理アクセスデータ８１、および診断対象機器に外部からネットワーク経由でアクセスする経路のセキュリティ状況に関する情報であるネットワークデータ８２を用いて瞬間攻撃確率を算出する。物理アクセスデータ８１およびネットワークデータ８２のうち少なくとも一つの情報を用いて瞬間攻撃確率を算出ことで、算出される瞬間攻撃確率の精度が向上し、サイバー攻撃の有無をより正確に診断することができる。
【0075】
次のような変形例も本発明の範囲内であり、変形例に示す構成と上述の実施形態で説明した構成を組み合わせたり、上述の異なる実施形態で説明した構成同士を組み合わせたり、以下の異なる変形例で説明する構成同士を組み合わせることも可能である。
【0076】
＜変形例１＞
累積故障分布関数Ｆ（ｔ）は、式（４）で説明したものと異なっていてもよい。例えば故障密度関数ｆ（ｔ）ではなく、信頼度関数Ｒ（ｔ）を用いて累積故障分布関数Ｆ（ｔ）をしてもよい。この場合、累積故障分布関数Ｆ（ｔ）は１－Ｒ（ｔ）と定義し、瞬間故障確率は診断時刻ｔ１を用いて１－Ｒ（ｔ１）という形で算出すればよい。他にも、例えば、パラメータデータベース２内の各種パラメータと時間を変数として持つ関数を診断対象機器の特性から事前に算出しておき、診断時刻ｔ１をその関数に代入し確率を算出するようにしてもよい。
累積故障分布関数Ｆ（ｔ）は、式（４）で説明したものと異なっていてもよい。例えば故障密度関数ｆ（ｔ）ではなく、信頼度関数Ｒ（ｔ）を用いて累積故障分布関数Ｆ（ｔ）をしてもよい。この場合、累積故障分布関数Ｆ（ｔ）は１－Ｒ（ｔ）と定義し、瞬間故障確率は診断時刻ｔ１を用いて１－Ｒ（ｔ１）という形で算出すればよい。他にも、例えば、パラメータデータベース２内の各種パラメータと時間を変数として持つ関数を診断対象機器の特性から事前に算出しておき、診断時刻ｔ１をその関数に代入し確率を算出するようにしてもよい。
【0077】
＜変形例２＞
セキュリティ評価値Ｒｉｓｋは、式（８）で説明したものと異なっていてもよい。例えば脆弱性そのものの基本特性以外に、現在の脆弱性の深刻度を加味したり、ユーザの利用環境を含めた最終的な脆弱性を用いてセキュリティ評価値Ｒｉｓｋを算出してもよい。
セキュリティ評価値Ｒｉｓｋは、式（８）で説明したものと異なっていてもよい。例えば脆弱性そのものの基本特性以外に、現在の脆弱性の深刻度を加味したり、ユーザの利用環境を含めた最終的な脆弱性を用いてセキュリティ評価値Ｒｉｓｋを算出してもよい。
【0078】
＜変形例３＞
上述の説明では、故障密度関数ｆ（ｔ）の例としてワイブル分布を、攻撃密度関数ａ（ｔ）の例としてガウス分布を挙げたが、確率分布の種類はこれに限るものではない。他の確率分布を故障密度関数ｆ（ｔ）や攻撃密度関数ａ（ｔ）として用いてもよい。
上述の説明では、故障密度関数ｆ（ｔ）の例としてワイブル分布を、攻撃密度関数ａ（ｔ）の例としてガウス分布を挙げたが、確率分布の種類はこれに限るものではない。他の確率分布を故障密度関数ｆ（ｔ）や攻撃密度関数ａ（ｔ）として用いてもよい。
【0079】
＜変形例４＞
調整後瞬間故障確率Ｆ’（ｔ）および調整後瞬間攻撃確率Ａ’（ｔ）の算出方法は、式（１２）および式（１３）で例示したものと異なっていてもよい。例えば、距離尺度を演算後、故障密度関数ｆ（ｔ）および攻撃密度関数ａ（ｔ）に算出した距離尺度を乗算したものを時刻０から診断時刻ｔ１までそれぞれ積分することにより、調整後瞬間故障確率Ｆ’（ｔ）および調整後瞬間攻撃確率Ａ’（ｔ）を算出するようにしてもよい。また、上述の各実施形態では、式（１１）に示した確率距離尺度を用いて瞬間故障確率と瞬間攻撃確率とを同次元化していたが、それ以外の方法で、瞬間故障確率と瞬間攻撃確率とを比較可能にしてもよい。
調整後瞬間故障確率Ｆ’（ｔ）および調整後瞬間攻撃確率Ａ’（ｔ）の算出方法は、式（１２）および式（１３）で例示したものと異なっていてもよい。例えば、距離尺度を演算後、故障密度関数ｆ（ｔ）および攻撃密度関数ａ（ｔ）に算出した距離尺度を乗算したものを時刻０から診断時刻ｔ１までそれぞれ積分することにより、調整後瞬間故障確率Ｆ’（ｔ）および調整後瞬間攻撃確率Ａ’（ｔ）を算出するようにしてもよい。また、上述の各実施形態では、式（１１）に示した確率距離尺度を用いて瞬間故障確率と瞬間攻撃確率とを同次元化していたが、それ以外の方法で、瞬間故障確率と瞬間攻撃確率とを比較可能にしてもよい。
【0080】
＜変形例５＞
上述した各種のデータベース（パラメータデータベース２、脆弱性データベース３、保守点検データベース５、物理情報データベース７、およびアクセス情報データベース８）に格納するデータは、上述したデータと異なっていてもよい。また、その利用方法についても、上述した各実施形態と異なっていてもよい。
上述した各種のデータベース（パラメータデータベース２、脆弱性データベース３、保守点検データベース５、物理情報データベース７、およびアクセス情報データベース８）に格納するデータは、上述したデータと異なっていてもよい。また、その利用方法についても、上述した各実施形態と異なっていてもよい。
【0081】
以上、本発明の実施形態について説明したが、上記実施形態は本発明の適用例の一部を示したに過ぎず、本発明の技術的範囲を上記実施形態の具体的構成に限定する趣旨ではない。
【符号の説明】
【0082】
１、１００、２００…診断装置、２…パラメータデータベース、３…脆弱性データベース、４…表示装置、５…保守点検データベース、７…物理情報データベース、８…アクセス情報データベース、１１…演算装置、１２…不揮発性メモリ、１３…揮発性メモリ、１４…入出力インタフェース、２１…形状パラメータ、２２…尺度パラメータ、２３…位置パラメータ、３１…公開日データ、３２…機器データ、４１…時刻入力部、４２…瞬間故障確率算出部、４３…瞬間攻撃確率算出部、４４…確率調整部、４５…判別部、４６…出力部、４７…保守リスク評価値算出部、５１…保守点検データ、５２…保守員データ、５３…操作ログデータ、７１…温度データ、７２…湿度データ、７３…振動データ、８１…物理アクセスデータ、８２…ネットワークデータ
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】