特開 2025-25408 暗号化制御システム、暗号化制御方法及び暗号化制御プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2025025408

(43)【公開日】2025-02-21

(54)【発明の名称】暗号化制御システム、暗号化制御方法及び暗号化制御プログラム

(51)【国際特許分類】

   G09C 1/00 20060101AFI20250214BHJP

   G05B 1/01 20060101ALI20250214BHJP

【ＦＩ】

G09C1/00 650A

G05B1/01 Z

【審査請求】未請求

【請求項の数】5

【出願形態】ＯＬ

(21)【出願番号】P 2023130144

(22)【出願日】2023-08-09

(71)【出願人】

【識別番号】523304180

【氏名又は名称】ｄＳＰＡＣＥ Ｊａｐａｎ株式会社

(71)【出願人】

【識別番号】504133110

【氏名又は名称】国立大学法人電気通信大学

(74)【代理人】

【識別番号】110000925

【氏名又は名称】弁理士法人信友国際特許事務所

(72)【発明者】

【氏名】山田 崇晴

(72)【発明者】

【氏名】小木曽 公尚

【テーマコード（参考）】

5H004

【Ｆターム（参考）】

5H004GA29

5H004GB01

5H004KA32

5H004KB01

(57)【要約】      （修正有）

【課題】乗算剰余する数値が大きくなると発生する桁溢れ現象（オーバーフロー）を回避する暗号化制御プログラムとそれを利用した暗号化制御システムを提供する。
【解決手段】指令入力を暗号化する第１の暗号部１０１を備える入力装置１０と、秘密計算部２０１を備える制御装置２０と、復号部３０１及びフィードバック信号を暗号化する第２の暗号部３０２を備えるプラント制御装置３０から構成される暗号化制御システムにおいて、入力装置からの暗号化された指令入力とプラント制御装置からの暗号化されたフィードバック信号（制御対象３０ａからのセンサ信号）を用いて、所定のデータ型に記憶された値を、乗算時に桁溢れを起こさないように、さらに小さな値に分割して計算する。
【選択図】図５

【特許請求の範囲】

【請求項1】

指令入力を暗号化する第１の暗号部を備える入力装置と、秘密計算部を備える制御装置と、復号部及びフィードバック信号を暗号化する第２の暗号部を備えるプラント制御装置から構成される暗号化制御システムであって、
前記制御装置の前記秘密計算部は、前記入力装置からの暗号化された指令入力と前記プラント制御装置からの暗号化されたフィードバック信号を用いて、所定のデータ型に記憶された値を、乗算時に桁溢れを起こさないように、さらに小さな値に分割して計算することを特徴とする
暗号化制御システム。

【請求項2】

前記制御装置の前記秘密計算部において、乗算時に桁溢れを起こさないように、さらに小さな値に分割して計算する際に、
整数Ｍと整数Ｎを、整数Ｘを使って、
Ｍ＝Ｍ₁Ｘ＋Ｍ₂
Ｎ＝Ｎ₁Ｘ＋Ｎ₂
と表現し、ＭＮ％Pを、
ＭＮ％Ｐ＝（Ｍ₁Ｘ＋Ｍ₂）・（Ｎ₁Ｘ＋Ｎ₂）％Ｐ
＝（Ｍ₁Ｎ₁Ｘ²＋(Ｍ₁Ｎ₂＋Ｍ₂Ｎ₁）Ｘ＋Ｍ₂Ｎ₂）％Ｐ
と展開して、Ａ=Ｍ₁Ｎ₁Ｘ²、-Ｂ＝（Ｍ₁Ｎ₂＋Ｍ₂Ｎ₁）Ｘ、Ｃ=Ｍ₂Ｎ₂とおき、（Ａ＋Ｂ＋Ｃ）／Ｐとして、乗算Ｍ×Ｎを行うことなく、Ａ、Ｂ、Ｃに対して剰余を求めることでＭＮ％Ｐを計算する
請求項１に記載の暗号化制御システム。

【請求項3】

前記秘密計算部は、加算剰余における桁溢れを防ぐため、下記のような場合分けを行って加算剰余を計算する、
/^*（Ｓ＋Ｔ）％Ｐ^*/
temp=Ｐ－Ｔ
if(temp>Ｓ){
return Ｓ＋Ｔ
}else{
ReturnＳ-temp
}
請求項２に記載の暗号化制御システム。

【請求項4】

指令入力を暗号化する第１の暗号部を備える入力装置と、秘密計算部を備える制御装置と、復号部及びフィードバック信号を暗号化する第２の暗号部を備えるプラント制御装置から構成される暗号化制御システムにおける暗号化制御方法であって、
前記制御装置の前記秘密計算部により、前記入力装置からの暗号化された指令入力と前記プラント制御装置からの暗号化されたフィードバック信号を用いて、所定のデータ型に記憶された値を、乗算時に桁溢れを起こさないように、さらに小さな値に分割して計算することを特徴とする
暗号化制御方法。

【請求項5】

指令入力を暗号化する第１の暗号部を備える入力装置と、秘密計算部を備える制御装置と、復号部及びフィードバック信号を暗号化する第２の暗号部を備えるプラント制御装置から構成される暗号化制御システムにおいて利用される暗号化制御プログラムであって、
コンピュータに、
前記入力装置からの暗号化された指令入力と前記プラント制御装置からの暗号化されたフィードバック信号を用いて、所定のデータ型に記憶された値を、乗算時に桁溢れを起こさないように、さらに小さな値に分割して計算することを実行させる
暗号化制御プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、暗号化制御システム、暗号化制御方法及び暗号化制御プログラムに関する。

【背景技術】

【0002】

従来の暗号化制御システムでは、C言語やC＋＋言語を用いた実機開発が主体であった。これ以外にもMATLAB（登録商標）やSimulink（登録商標）などのソフトウェアツールがあるが、例えばMATLABでは各変数のビット数の制約から64bitまでの数値演算が標準仕様である。

【0003】

従来の安全な制御システムにおいては、通信リンク上の信号が暗号化されているものの、発明者らの研究により、通信リンク上の信号だけでなく、制御装置（コントローラ）のパラメータも暗号化し、制御装置では、秘密鍵を必要とする復号処理を行わない暗号化制御システムが提案されている（特許文献１、２参照）。

【先行技術文献】

【特許文献】

【0004】

【特許文献1】特許第６３６０７８１号公報

【特許文献2】国際公開番号ＷＯ２０１９／０７８３４３号

【発明の概要】

【発明が解決しようとする課題】

【0005】

暗号化制御プログラムにおいて、乗算剰余する数値が大きくなると桁溢れ現象が発生する。このため、乗算をすると桁溢れを起こしてしまう値どうしの掛け算の場合、単純に乗算して剰余を求めることはできない。
一つの解決方法として、乗算をすると桁溢れを起こしてしまう値を任意の値の集合ととらえて、それぞれ計算し、最終的にそのすべてを合算して結果を算出する方法が考えられるが、計算時間が長くなってしまうなどの別の問題が発生する。

【0006】

すなわち、計算時間など考慮すると、２つの大きな数値を乗算した後、剰余を求めるのが、最良の方法であるが、先に述べた通り、２つの大きな数値を乗算した際に桁溢れが発生するという問題が起こってしまう。

【0007】

本発明の目的は、乗算剰余する数値が大きくなると発生する桁溢れ現象（オーバーフロー）を回避するようにした、暗号化制御システム、暗号化制御方法及び暗号化制御プログラムを提供することにある。

【課題を解決するための手段】

【0008】

本発明は、指令入力を暗号化する第１の暗号部を備える入力装置と、秘密計算部を備える制御装置と、復号部及びフィードバック信号を暗号化する第２の暗号部を備えるプラント制御装置から構成される暗号化制御システムである。
本発明の暗号化制御システムにおいて、制御装置の秘密計算部は、入力装置からの暗号化された指令入力とプラント制御装置からの暗号化されたフィードバック信号を用いて、所定のデータ型に記憶された値を、乗算時に桁溢れを起こさないように、さらに小さな値に分割して計算することを特徴とする。

【発明の効果】

【0009】

本発明によれば、制御ソフトウェアが提供する最大の鍵長を設定可能な動的鍵による暗号化制御の演算を行うことが可能になる。そして、本発明によれば、暗号強度を高くすることができ、更に暗号制御の高い精度を維持することができる。
上記以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。

【図面の簡単な説明】

【0010】

【図1】本発明の暗号化制御システムの基本的概念を説明するための図である。

【図2】入力装置からの指令信号と制御対象からのフィードバック信号との差分が供給される、暗号化制御以前の従来のＰＩＤ制御システムの例（その１）である。

【図3】入力装置からの指令信号と制御対象からのフィードバック信号との差分が供給される、暗号化制御以前の従来のＰＩＤ制御システムの例（その２）である。

【図4】入力装置からの指令信号と制御対象からのフィードバック信号が供給され、Ｐ（比例）、Ｉ（積分）、Ｄ（微分）のそれぞれの差分に基づいてＰＩＤ制御を行う、暗号化制御以前の従来のＰＩＤ制御システム（その３）の例である。

【図5】本発明の暗号化制御システムの基本概念図（図１）をさらに具体化した、本発明の暗号化制御システムの実施の形態例を示す図である。

【図6】本発明の暗号化制御プログラムを車両燃費モデルの制御に適用したときの車速指令値と暗号化制御を行った車速・車両モデルの出力を示す図（上）と、両者の差分を示す図（下）である。

【図7】図３に示す暗号化制御をしていないＰＩＤ制御による制御出力と図５に示す本発明の暗号化制御を行ったときのＰＩＤ制御の制御出力を示す図（上）と、両者の差分を示す図（下）である。

【発明を実施するための形態】

【0011】

以下、図面を参照して、本発明の暗号化制御システム、暗号化制御方法及び暗号化制御プログラムの実施形態例（以下、「本例」と称する）を、本発明の実施形態例に至るまでの暗号化制御以前のＰＩＤ制御システムとともに、説明する。

【0012】

図１は、本例の暗号化制御システム、暗号化制御方法及び暗号化制御プログラムの最上位の基本的概念を説明するための図である。
図１に示すように、本例の暗号化制御システムは、入力装置１０、制御装置２０、及びプラント制御装置３０により構成される。
なお、以降の図２～図４における説明では、入力装置１０が発生する指令入力を、「指令入力１０ａ」と記載し、プラント制御装置３０により制御される制御対象を「制御対象３０ａ」と記載することにする。

【0013】

入力装置１０は、オペレータが具体的な制御対象３０ａに対して、制御目標値等の指令入力１０ａを発する装置である。
本例の暗号化制御システムにおける入力装置１０は、指令値を暗号化する暗号部（指令）１０１を備える。暗号部１０１は、公開鍵により暗号化された指令入力を制御装置２０に供給する。ここで、暗号部（指令）１０１を、特許請求の範囲の記載では、第１の暗号部と呼ぶ。

【0014】

制御装置２０は、秘密計算部２０１を備える。秘密計算部２０１は、入力装置１０から供給される暗号化された指令入力１０ａとプラント制御装置３０からの暗号化されたフィードバック信号（帰還入力）とを暗号化された状態のまま計算する。そして、制御装置２０は、秘密計算部２０１で暗号化された制御出力をプラント制御装置３０に供給する。

【0015】

プラント制御装置３０は、復号部３０１と暗号部（帰還）３０２を備える。復号部３０１は、制御装置２０から供給される暗号化された制御入力を復号し、通常の制御信号として不図示の制御対象３０ａに供給する。暗号部（帰還）３０２は、制御対象３０ａに設けられたセンサからのフィードバック信号を暗号化し、入力装置１０にフィードバックさせる。なお、暗号部（帰還）３０２は、暗号部（指令）１０１と区別するために、特許請求の範囲の記載では、第２の暗号部と呼ぶ。

【0016】

［秘密計算部２０１における桁溢れを防ぐ乗算剰余の方法とプログラム］
詳細は、本例の暗号化制御システムの具体例を記載した図５で後述することになるが、ここで制御装置２０の秘密計算部２０１及びその他の個所における計算に用いられる桁溢れを防ぐ乗算剰余の方法と、それを実現するプログラムについて説明する。

【0017】

発明の課題の欄でも述べたように、暗号化制御プログラムにおいて、乗算剰余する数値が大きくなると桁溢れ現象が発生する。したがって、暗号化制御プログラムにおいては、乗算剰余の過程における桁溢れ現象（オーバーフロー）を回避することが制御システムの
可用性の観点から極めて重要になる。

【0018】

すなわち、乗算をすると桁溢れを起こしてしまう値どうしの掛け算の場合、単純に乗算して剰余を求めることはできない。一つの解決方法として、乗算をすると桁溢れを起こしてしまう値を任意の値の集合と捉えてそれぞれ計算し、最終的にそれぞれを合算することによって結果を算出する方法が考えられるが、計算に時間がかかるため、効率的ではない。

【0019】

最初に、例として、利用する所定のプログラム言語の各変数ビット数の最大が、16bit正の整数型（０～２^１６―１）である環境において、乗算剰余をする場合について説明する。まず、
Ｘ²≦Ｌ（ここでLはデータ型が表現できる最大値）
となる最大のＸを求める。16bitの正の整数型の場合、
255²＝65025≦65535＝２¹⁶―１
Ｌ＝65535であるから、Ｘ=255が上記式を満足する最大値となる。このＸによって、この手段で扱える数値の範囲が決まり、それは、０以上、Ｘ²未満である。

【0020】

一例として、乗算すると桁溢れを起こす値として、Ｍ＝65000、Ｎ＝48600、Ｐ＝65011を設定し、ＭとＮの乗算に対してＰの剰余を求めることを考える。つまり、Ｍ×Ｎは3,159,000,000となり、2¹⁶＝65536を超えるため、桁溢れを起こす。また、Ｍ×Ｎを（Ｍ＋Ｍ＋・・(Ｎ回足す)・・＋Ｍ）などと分割し、最終的な剰余を求める計算を、プログラム上で行うには、時間がかかりすぎるため、安易に採用することができない。

【0021】

Ｍ、Ｎを、Ｘ=255を使って表現すると、以下の式になる。
Ｍ＝Ｍ₁Ｘ＋Ｍ₂（Ｍ₁=254、Ｍ₂＝230）
Ｎ＝Ｎ₁Ｘ＋Ｎ₂（Ｎ₁=190、Ｎ₂＝150）
このとき、Ｍ₁、Ｍ₂、Ｎ₁、Ｎ₂はＸ未満になるように選ばなければならない。
その乗算剰余は、ＭＮ％Ｐを展開すると、
ＭＮ％Ｐ＝（Ｍ₁Ｘ＋Ｍ₂）・（Ｎ₁Ｘ＋Ｎ₂）％Ｐ
＝（Ｍ₁Ｎ₁Ｘ²＋（Ｍ₁Ｎ₂＋Ｍ₂Ｎ₁）Ｘ＋Ｍ₂Ｎ₂）％Ｐ
となる。そして、Ａ=Ｍ₁Ｎ₁Ｘ²、-Ｂ＝（Ｍ₁Ｎ₂＋Ｍ₂Ｎ₁）Ｘ、Ｃ=Ｍ₂Ｎ₂とおき、Ａ，Ｂ，Ｃに対してそれぞれＰの剰余を求め、最後に(Ａ＋Ｂ＋Ｃ)％Ｐとして、(Ｍ×Ｎ)％Ｐを求める。「％」は余りを求める演算子である。
Ａ：(Ｍ₁Ｎ₁Ｘ²)％Ｐ
Ｂ：（Ｍ₁Ｎ₂＋Ｍ₂Ｎ₁）Ｘ％Ｐ
Ｃ：Ｍ₂Ｎ₂％Ｐ

【0022】

まず、Ａ：(Ｍ₁Ｎ₁Ｘ²)％Ｐについて以下の処理を行う。計算のポイントは、「Ｍ₁Ｎ₁Ｘ²」の部分を「（Ｍ₁×Ｎ₁）×Ｘ²」と捉え、Ｘ²をＰで割った余り「Ｘ²％Ｐ」をバイナリー演算法により（Ｍ₁×Ｎ₁）倍することである。
なお、バイナリーは、コンピュータで使用される２進数を用いた数値表現法であり、コンピュータの内部でデータを扱うために使用されるプログラミングの基本的な概念の一つである。
ここで、「％」は余りを求める演算子であり、「ｅ＆１」は２進法における数値ｅと２進法における１のＡＮＤを示す。また、「e>>=1」は、２進数表現において、右に一桁シフトすることを示す。例えば、1010>>=1は、101を示している。

【0023】

result=0
e=Ｍ_１ ^＊Ｎ_１
mod=Ｘ^２％Ｐ
While(e>0){
If((e&1)==1){
result=(result+mod)％Ｐ
}
e>>=1
mod=(mod+mod)％Ｐ
}

【0024】

ここで、e＆１は、２進法でのｅと２進法での１のＡＮＤである。上記処理後のresultは、(Ｍ₁Ｎ₁Ｘ²)％Ｐの答え、つまりＡの答えである。
ただし、上記処理における「(result+mod) ％Ｐ」や「(mod+mod) ％Ｐ」の加算剰余「（Ｓ＋Ｔ）％P）の部分は、桁溢れを防ぐため以下のように計算される。なお、このアルゴリズムは、以降のアルゴリズムで示される加算剰余にも適用される。

【0025】

/^*(Ｓ＋Ｔ)％Ｐ^*/
temp=Ｐ-Ｔ
if(temp>Ｓ){
return Ｓ＋Ｔ
}else{
return Ｓ-temp
}

【0026】

次に、Ｂ：（（Ｍ₁Ｎ₂＋Ｍ₂Ｎ₁）Ｘ）％Ｐにおいて、同じくバイナリー法により以下の処理を行う。なお、「/」は商を算出する演算子である。
この処理のポイントは、「（（Ｍ₁Ｎ₂＋Ｍ₂Ｎ₁）Ｘ）％Ｐ」を「（ｅ^＊Ｘ^２＋result）％P」の形にし、Ａにおけるresult（「Ｍ₁Ｎ₂＋Ｍ₂Ｎ₁」をＸで割った余りにＸを掛け、その結果をＰで割った余り）を初期値とし、Ａで行われたものと同様の処理を行う。

【0027】

e=（Ｍ₁Ｎ₂＋Ｍ₂Ｎ₁）％P
result = ((ｅ％X) ^* X) % P
e= e/X
mod=X²％P
While(e>０){
If(ｅ＆１)==1){
result=(result+mod)%P
}
e>>=1
mod=(mod+mod)%P
}

【0028】

上記処理後のresultは、（Ｍ₁Ｎ₂＋Ｍ₂Ｎ₁）％Ｐの答え、すなわちＢの答えである。
手順Ａ、ＢにおけるそれぞれのresultをresultA, resultBとすれば、求める答えは、
以下のようになる。
temp=(resultA+resultB)%P
(temp+M₂N₂)%P

【0029】

Ｃの「Ｍ₂Ｎ₂％Ｐ」の計算において、Ｍ₂×Ｎ₂=150×230=34500であるから、16bit正の整数型の最大値であるＬ（2¹⁶-1=65535）より小さい値になる。すなわち、Ｍ₂＜Ｘ、Ｎ₂＜ＸなのでＭ₂Ｎ₂＜Ｘ²であり、Ｃの「Ｍ₂Ｎ₂％Ｐ」はそのまま計算しても、桁溢れが生じることはない。

【0030】

［本例の暗号化制御プログラムが適用される以前のＰＩＤ制御の例］
次に、図２～図４を参照して、本例の暗号化制御プログラムが適用される以前のＰＩＤ制御システムの例を説明する。
発明者らは、図２～図４に示すような従来から知られたＰＩＤ制御システムを基礎として、図５に示す本例の暗号化制御システムに想到した。詳しくは図５で後述するが、図５に示す本例の暗号化制御システムの各所で、上述した乗算時における桁溢れ現象を防止するためのプログラムが利用されている。

【0031】

以下、図２～図４に示す暗号化制御依然のＰＩＤ制御システムについて説明する。
図２は、本例の暗号制御プログラムが適用される以前の基本的なＰＩＤ制御システムを示すブロック図である。
ＰＩＤ制御システムは、制御対象３０ａの状態をセンサで読み取り、オペレータからの指令入力１０ａと制御対象３０ａからのセンサ信号との誤差情報に基づいて制御信号を出力し、制御対象３０ａを制御された所定の状態に維持するためのシステムである。

【0032】

Ｐ（比例）成分は誤差に比例して制御信号を出力し、Ｉ（積分）成分は誤差の累積を考慮して制御信号を出力し、Ｄ（微分）成分は誤差の変化率を考慮して制御信号を出力する。ＰＩＤ制御システムは、様々な産業分野において、制御対象に対する高度な制御を実現するために広く使用されている。

【0033】

図２に示すように、暗号化制御以前の従来型のＰＩＤ制御システムは、不図示の入力装置から指令入力１０ａが出され、制御対象３０ａで検出されたフィードバック信号と減算器１１で減算される。そして、減算器１１で減算されたフィードバック誤差信号が、ＰＩＤ制御を行う制御装置２０に供給される。

【0034】

制御装置２０は、積分ゲイン乗算部２１と積分処理部２４をあわせた積分器、比例ゲイン乗算部２２、微分ゲイン乗算部２３と微分処理部２５をあわせた微分器を備える。
積分ゲイン乗算部２１、比例ゲイン乗算部２２、及び微分ゲイン乗算部２３において乗算される積分ゲイン、比例ゲイン、微分ゲインは、制御対象３０ａの状態を考慮して、適切なゲインの数値が予め設定される。

【0035】

フィードバック誤差信号に積分ゲイン乗算部２１で積分ゲインを乗算した出力は、積分処理部２４に供給され、積分器からフィードバック誤差の累積が考慮された信号が加算器２６に供給される。また、フィードバック誤差信号に微分ゲイン乗算部２３で微分ゲインを乗算した出力は、微分処理部２５に供給され、微分器からフィードバック誤差の変化率が考慮された信号が加算器２６に供給される。フィードバック誤差信号に比例ゲイン乗算部２２で比例ゲインを乗算した出力は、そのまま加算器２６に供給される。
加算器２６は、積分処理部２４からの信号、比例ゲイン乗算部２２からの信号、微分処理部２５からの信号を合成（加算）して、制御対象３０ａに制御信号として供給する。

【0036】

図３は、図２に示したＰＩＤ制御システムを計算機に実装するために離散化処理の仕組みを加えたものである。図２のＰＩＤ制御システムと異なる点は、制御装置２０にサンプル時間発生器２７と、乗算処理部２４ａ、除算処理部２５ａを設けた点である。
図３に示した暗号化制御以前のＰＩＤ制御システムは、サンプル時間発生器２７を設けたことで、積分と微分の処理を離散化している。ここで、図２に示す積分処理部２４は、図３では、１サンプル遅延器２４ｂと加算器２４ｃとで構成される。また、図２に示す微分処理部２５は、図３では、１サンプル遅延器２５ｂと減算器２５ｃとで構成されている。

【0037】

図３に示すように、積分ゲイン乗算部２１からの出力信号は、乗算処理部２４ａにおいてサンプル時間発生器２７から発生されるサンプル周期で離散化される。そして、離散化された積分ゲイン出力が１サンプル遅延器２４ｂ、加算器２４ｃからなる積分処理部２４（図２参照）に供給される。

【0038】

また、微分ゲイン乗算部２３からの出力信号は、１サンプル遅延器２５ｂと減算器２５ｃとで構成される微分処理部２５（図２参照）に供給される。微分処理部２５の出力は、除算処理部２５ａでサンプル時間発生器２７から発生されるサンプル周期で離散化される。
このように、リアルタイム演算を行う計算機では、離散化した出力を次のステップに加算して離散化時間を掛けることで、計算機上の積分処理が行われる。また、一つ前のステップから次のステップを減算した後に、離散化時間で除算することで、計算機上の微分処理が行われる。なお、以降の処理は、図２の処理と同じなので、重複する説明は省略する。

【0039】

図４は、暗号制御以前の従来型ＰＩＤ制御システムの更なる変形例を示す。
図４に示すＰＩＤ制御システムが、図３のＰＩＤ制御システムと異なるところは、指令入力１０ａをＰＩＤゲイン乗算部２１ａ～２３ａに供給し、制御対象３０ａからのセンサ信号（フィードバック信号）をＰＩＤゲイン乗算部２１ｂ～２３ｂに供給している点である。

【0040】

すなわち、図４に示す例では、指令入力１０ａと制御対象３０ａからのフィードバック信号を個別にＰ（比例）、Ｉ（積分）、Ｄ（微分）ゲイン乗算部で、それぞれのゲインを乗算してから、減算器２１ｃ、２２ｃ、２３ｃに送り、それぞれのフィードバックを得ている。
このように、指令入力１０ａと制御対象３０ａからのフィードバック信号との誤差信号を、Ｐ（比例）、Ｉ（積分）、Ｄ（微分）毎に減算と乗算の順序を入れ替えることで、暗号化制御以前の離散化したＰＩＤ制御システム（図３）と同等のものとすることができ、この変形による制御性能に差は生じない。
図４のように変形させるのは、ElGamal暗号は乗法準同型性なので、乗算のみしかできないため、計算する部分を乗算(左側)とそうでない部分（右側）に分けて、乗算部分にElGamal暗号を適用して秘密計算部とし、乗算以外の部分は、制御対象側で復号後に計算するようにしたからである。
なお、乗算処理部２４ａ、除算処理部２５ａ以降の処理は、図３と同じなので、重複する説明は省略する。

【0041】

［本例の暗号化制御プログラムをＰＩＤ制御システムに適用した実施形態例］
図５は、本例の暗号化制御プログラムをＰＩＤ制御システムに適用した暗号化ＰＩＤ制御システムの構成図である。すなわち、図５の構成図は、図１の基本的概念図を具体化して本発明の実施形態例としたものである。
以下、図５～図７を参照して、本例の暗号化制御プログラム、暗号化制御方法、暗号化制御システムについて説明する。

【0042】

図５に示すように、本例の暗号化制御システムでは、まず、入力装置１０の暗号部（指令）１０１において、指令入力１０ａが暗号化される。
この暗号部１０１では、オペレータの指示により鍵生成Genと暗号化Enc(ｍ，ｐｋ)が行われる。

【0043】

まず、鍵生成(Gen)については、先行技術文献として提示した発明者らの特許に詳しく説明されているので詳細は省くが、素数ｐと原始元（生成元）ｇをランダムに選び、整数ｓを秘密鍵として０≦ｓ≦p－２からランダムに選ぶ。
そして、ｈ＝ｇ^ｓｍｏｄｐを計算し、公開鍵ｐｋ＝(ｐ,ｇ,ｈ)として出力し、秘密鍵ｓｋ＝ｓとして出力する。ここで、ｈはｇ^ｓをｐで割った余りである。

【0044】

なお、ここでは、例えばElGamal暗号のような乗法準同型性を持つ暗号方式が用いられる。乗法準同型性暗号は、平文ｍ_１と平文ｍ_２との二項演算（ｍ_１○ｍ_２）を暗号化した暗号文Enc（ｍ_１○ｍ_２）を、平文ｍ_１を暗号化した暗号文Enc（ｍ_１）と、平文ｍ_２を暗号化した暗号文Enc（ｍ_２）とを用いて計算することができる暗号である。
すなわち、乗法準同型性暗号は、２つの暗号化した値同士を復号せずにそのまま乗算し、乗算した値を復号することで、暗号化される前の値を乗算した値と一致させることができる。このような乗法準同型性暗号は、クラウドコンピューティングや金融機関の暗証システムなどに多く応用されている。

【0045】

次に、暗号部（指令）１０１は、平文ｍを暗号化し、暗号文ｃ＝Enc(m,pk)を生成する。
まず、平文をｍ（０＜ｍ＜ｐ）とする。そして、整数ｒをランダムに０≦ｒ≦ｐ－２から選び、ｃ_１＝ｇ^ｒｍｏｄｐ、ｃ_２＝ｍｈ^ｒｍｏｄｐを計算する。
その結果、暗号部（指令）１０１は、暗号文ｃとして、ｃ-＝（ｃ_１，ｃ_２）を出力する。
なお、暗号化は確率的アルゴリズムである。同じ平文を暗号化しても異なった暗号文が計算される。

【0046】

図５に示すように、入力装置１０の暗号部（指令）１０１で暗号化された暗号文は、制御装置２０に供給される。また、プラント制御装置３０の暗号部(帰還)３０２で暗号化された、制御対象３０ａからのフィードバック信号も、制御装置２０に供給される。

【0047】

制御装置２０の秘密計算部２０１は、入力装置１０からの暗号化された指令入力１０ａと制御対象３０ａからの暗号化されたフィードバック信号を、復号することなく暗号化された状態のまま計算処理を行う。すなわち、入力装置１０からの暗号化された指令入力１０ａは、積分ゲイン乗算部２０１ａ、比例ゲイン乗算部２０１ｂ、及び微分ゲイン乗算部２０１ｃに供給される。
一方、制御対象３０ａからの暗号化されたフィードバック信号は、積分ゲイン乗算部２０１ｄ、比例ゲイン乗算部２０１ｅ、及び微分ゲイン乗算部２０１ｆに供給される。

【0048】

制御装置２０の秘密計算部２０１は、暗号化された指令入力と暗号化されたフィードバック入力のそれぞれに対して、Ｉ（積分）、Ｐ（比例）、Ｄ（微分）の演算を行うために、暗号文の積分Ｃ_Iを格納した積分ゲイン乗算部２０１ａ及び２０１ｄ、暗号文の比例ゲインＣ_Pを格納した比例ゲイン乗算部２０１ｂ、２０１ｅ、及び暗号文の微分ゲインＣ_Ｄを格納した微分ゲイン乗算部２０１ｃ、２０１ｆを有する。そして、秘密計算部２０１において、制御対象３０ａ毎に予め設定される暗号化された所定の値と暗号化された指令入力１０ａとの乗算処理がなされる。この乗算処理において、先に説明したバイナリー法のプログラムにより、桁溢れを起こさないようにするための処理が行われる。

【0049】

すなわち、秘密計算部２０１において、入力装置１０からの暗号化された指令入力１０ａとプラント制御装置３０の制御対象３０ａからの暗号化されたフィードバック信号に関して所定のデータ型に記憶された値（Ｉ，Ｐ、Ｄゲイン）を、乗算時に桁溢れを起こさないように、さらに小さな値に分割して計算する処理が行われる。
なお、秘密計算部２０１において用いられる乗算処理のための桁溢れを起こさないようにするための数学的なアルゴリズムは、プラント制御装置３０における復号処理でも用いられる。

【0050】

制御装置２０の秘密計算部２０１は、暗号化された状態で計算された入力装置１０からの指令入力１０ａと、制御対象３０ａからのフィードバック信号に所定の計算処理を行った後、暗号文のままの状態でプラント制御装置３０に供給する。
図５に示すように、プラント制御装置３０の復号部３０１は、入力される６つの暗号化信号を復号する復号器３０１ａ～３０１ｆ、減算処理部３０３ａ～３０３ｃ、乗算処理部３０４ａ、除算処理部３０５ａ、１サンプル遅延器３０４ｂと加算器３０４ｃからなる積分器、１サンプル遅延器３０５ｂと減算器３０５ｃからなる微分器、サンプル時間発生器３０６、及び加算器３０７を備える。

【0051】

復号部３０１の復号器３０１ａ～３０１ｃは、入力装置１０からの暗号化された指令入力１０ａのＩ（積分）成分、Ｐ（比例）成分、Ｄ（微分）成分をそれぞれ復号する。また、復号部３０１の復号器３０１ｄ～３０１ｇは、制御対象３０ａからのフィードバック信号を積分（Ｉ）、比例（Ｐ）、微分（Ｄ）ゲインで乗算した暗号文信号をそれぞれ復号する。

【0052】

復号器３０１ａ～３０１ｃで復号された積分（Ｉ）、比例（Ｐ）、微分（Ｄ）ゲイン乗算後の出力信号は、それぞれ減算処理部３０３ａ～３０３ｃに供給され、積分（Ｉ）、比例（Ｐ）、微分（Ｄ）成分ごとにフィードバック誤差信号が得られる。

【0053】

復号部３０１の復号器３０１ａと復号器３０１ｄで復号され、減算処理部３０３ａで減算されたＩ（積分）成分のフィードバック誤差信号は、乗算処理部３０４ａに送られて、サンプル時間発生器３０６からのサンプル時間信号により離散化される。乗算処理部３０４ａで離散化（乗算）されたＩ（積分）成分の誤差信号は、１サンプル遅延器３０４ｂと加算器３０４ｃからなる積分器で積分演算されて、加算器３０７に供給される。

【0054】

また、復号部３０１の復号器３０１ｂと復号器３０１ｅで復号され、減算処理部３０３ｂで減算されたＰ（比例）成分のフィードバック誤差信号は、そのまま加算器３０７に供給される。
一方、復号部３０１の復号器３０１ｃと復号器３０１ｆで復号され、減算処理部３０３ｃで減算されたＤ（微分）成分のフィードバック誤差信号は、１サンプル遅延器３０５ｂと減算器３０５ｃからなる微分器で微分演算され、除算処理部３０５ａに供給される。
そして、除算処理部３０５ａで、サンプル時間発生器３０６からのサンプル時間信号により離散化（除算）されて、復号されたＤ（微分）成分のフィードバック誤差信号として加算器３０７に供給される。

【0055】

加算器３０７は、それぞれ復号されたＩ（積分）成分のフィードバック誤差信号、Ｐ（比例）成分のフィードバック誤差信号、Ｄ（微分）成分のフィードバック誤差信号を加算し、加算した信号を制御信号として、制御対象３０ａに供給する。

【0056】

ここで、図５の復号器３０１ａ～３０１ｆの復号処理で用いられる秘密鍵の更新について説明する。
時刻ｔにおける秘密鍵「ｓｋ＝ｓ_ｔ」は、以下のように表現され、ｔが定める周期ごとに更新される。
ｓ_ｔ＝ｓ_ｔ－１＋ｗ（ｔ－１）ｍｏｄｐ（ｔ≧１）
ここで、ｗ（・・）は、疑似乱数列を出力する確定的アルゴリズムである。秘密鍵を更新する場合には、それに合わせて公開鍵と、すでに暗号化された暗号文も併せて更新する必要がある。

【0057】

また、時刻ｔにおける公開鍵「ｐｋ＝（ｐ,ｇ,ｈ）」は、ｈ_ｔは以下の式で表すことができる。

ただし、

である。

【0058】

また、時刻ｔのときに暗号化された暗号文の、時刻ｔのときの更新状態は以下の式で表すことができる。

ここで、秘密鍵が漏洩しても乱数列出力関数ｗ（・・）が安全なら、解読されることはない。なお、上式中のＣ_tは，例えば，図５の暗号文の各ゲインＣ_Ｉ（ｔ）、Ｃ_Ｐ（ｔ），Ｃ_Ｄ（ｔ）と読み替えることがきる。
すなわち、漏れた公開鍵/秘密鍵の暗号文は、解読可能であるが、公開鍵/秘密鍵は逐次更新されおり、その将来更新される公開鍵/秘密鍵は、乱数列出力関数ｗ（・・）がなければ、誰も予測することができない。したがって、将来の暗号文は乱数列出力関数ｗ（・・）があることによって、安全であるという仕組みが成立する。

【0059】

図６は、本例の暗号化制御システム及び暗号化制御プログラムを、車両モデルに適用したときの、本例の暗号化制御システムによる制御結果を示す図である。
つまり、図６の上図は、図５に示す入力装置１０から制御装置２０に供給される暗号化された指令値（実線）と、プラント制御装置３０の出力である車速指令値（点線）がほぼ重なっていることを示している。

【0060】

また、図６の下図は、暗号化された指令値（実線）とプラント制御装置３０の出力である車速指令値（点線）との差分、つまり車両モデル出力と指令値の差分（車速差）を示す。
ここで、図６の下図に示すように、車速差の信号が出ていることは、車両モデル出力と指令値との間にある程度の差分があるが、この差分の大きさから判断して、暗号化された車速に対する指令入力と、復号化された車速に対する制御入力は、ほぼ一致していることが分かる。つまり本例の暗号化制御システムは良好に機能しているということができる。

【0061】

図７の上図は、同じ車両モデルを用いた車速制御の事例を、図３に示す暗号化制御をしていないＰＩＤ制御の制御入力と、図５に示すように暗号化制御を行った暗号化ＰＩＤ制御の制御入力を示す図である。
図７の上図に示すように、図３に示す暗号化制御をしていないＰＩＤ制御の制御入力と、図５に示す本発明の暗号化制御を行ったＰＩＤ制御の制御入力は、相当の部分で一致していることが分かる。

【0062】

図７の下図は、図３に示す暗号化制御をしていないＰＩＤ制御の制御入力と図５に示す本発明の暗号化制御を行ったときの暗号化ＰＩＤ制御の制御入力の差分を表示した図である。
図７の下図から分かるように、本例の暗号化制御システムを使って暗号化制御を行った場合でも、暗号化制御を行わないでＰＩＤ制御を行った場合とで、その精度は余り変わらないことが分かる。

【0063】

以上、本発明の実施形態例である暗号化制御システム、暗号化制御方法及び暗号化制御プログラムの概要と詳細について説明したが、本発明は前述した実施の形態例に限定されるものではなく、特許請求の範囲に記載された範囲を逸脱しない限りにおいて、様々な応用例、変形例が含まれる。

【符号の説明】

【0064】

１０…入力装置、１０ａ…指令入力、２０…制御装置、３０…プラント制御装置、３０ａ…制御対象、１１、２５ｃ、３０４ｃ…減算器、２６、２４ｃ、…加算器、３０３ａ～３０３ｃ、３０５ｃ…減算処理部、２１～２３、２０１ａ～２０１ｆ…ゲイン乗算部、２４…積分処理部、２５…微分処理部、２４ａ、３０４ａ…乗算処理部、２５ａ、３０５ａ…除算処理部、２４ｂ、２５ｂ、３０４ｂ、３０５ｂ…１サンプル遅延回路、３０４ｃ、３０７…加算器、２７、３０６…サンプル時間発生器、１０１…暗号部（指令）、２０１…秘密計算部、３０１…復号部、３０１ａ～３０１ｆ…復号器、３０２…暗号部（帰還）

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】