産業用制御システムの基礎

産業用制御システム (ICS)は、電力網、浄水処理、製造ライン、パイプライン、ビル設備などの物理プロセスを監視・運用するコンピューターやデバイスです。より広い分類である運用技術 (OT)とともに、デジタル世界と物理世界をつないでいます。

ここで障害が発生すると、単なるデータの損失では済みません。生産停止、環境被害、人命への危険につながる可能性があります。

プログラマブルロジックコントローラー (PLC)は、センサー入力を読み取り、アクチュエーター出力をリアルタイムで制御する、堅牢な産業用コンピューターです。制御ロジックを連続的なスキャンサイクルで実行します。入力を読み取り、プログラムを実行し、出力を書き込み、これを繰り返します。

• 決定性と信頼性が高く、過酷な環境向けに設計されている
• リレー回路図に似たラダーロジックでプログラムされることが多い
• バルブ、モーター、ポンプ、遮断器を直接制御する

関連するフィールドデバイスが、遠隔地や特殊な用途に制御を拡張します。

• RTU (遠隔端末装置) — PLCに似ていますが、長距離回線を介したテレメトリを使う地理的に分散した拠点向けに最適化されています。電力・ガス・水道などの公益事業やパイプラインで一般的です
• IED (インテリジェント電子デバイス) — 変電所の保護リレーなど、特定の用途向けに作られたコントローラーです

これらのデバイスは、無人の場所に設置されることも多く、エッジでデータを収集してコマンドを実行します。

SCADA (監視制御およびデータ収集)は、中央の場所から分散したプロセスを監視・制御できるシステムです。プロセスを直接制御するのではなく、実際に制御を行うPLCとRTUを監視します。

• 多数のフィールドデバイスからテレメトリを収集する
• 収集した情報をオペレーターに提示し、履歴として保存する
• 監視制御コマンド（設定値、開始・停止）を送信する

SCADAをコックピット、PLCをエンジンだと考えてください。

Human-Machine Interface（HMI）は、オペレーターがプロセスを把握するための窓口です。タンクの液位、温度、流量、警報を示すグラフィカルな画面を提供し、プロセスを調整するための操作も行えます。

セキュリティの観点でHMIが重要なのは、HMIを侵害されると、攻撃者がオペレーターの視界を遮る（プロセスが妨害されているのに正常な値を表示する）ことや、危険なコマンドを直接発行することが可能になるためです。

Distributed Control System（DCS）は、製油所や化学プラントなど、単一の施設内で密接に結合した連続プロセスに使用される、SCADAに近いシステムです。

• SCADA — 地理的に分散し、監視制御を行い、遅延に許容度がある（パイプライン、電力網）
• DCS — プラント内に配置され、プロセス制御に重点を置き、低遅延の制御ループを使用する（製油所、発電所）

実際にはこの区別は曖昧であり、どちらもこのコースで扱う同じセキュリティ上の懸念を共有しています。

データヒストリアンは、分析、コンプライアンス、トラブルシューティングを目的として、プロセスデータ（センサーの測定値、設定値、警報）を高い分解能で時系列記録します。

セキュリティ上の重要性：

• ビジネス分析にデータを提供するため、OTネットワークとITネットワークの両方にまたがっていることが多く、一般的な侵入経路になります
• そのデータは、攻撃者がプロセスを偵察する際に役立つ貴重な情報です
• リアルタイムの制御経路を妨げずに保護する必要があります

Engineering Workstation（EWS）は、PLCやその他のコントローラーのプログラミングと設定に使用されます。プロジェクトファイルと、制御ロジックをアップロード、ダウンロード、変更できるソフトウェアを保持しています。

このため、EWSはOTにおける最も危険な標的の一つです。EWSを制御した攻撃者は、物理設備を制御するロジックを書き換えられます。複数の著名なICS攻撃で、EWSの侵害が確認されています。

物理層の末端では、次の2種類のデバイスが制御ループを閉じます。

• センサーはプロセスを測定します：圧力、温度、液位、流量、位置
• アクチュエーターはプロセスを変化させます：バルブ、モーター、ポンプ、遮断器、ヒーター

コントローラーはセンサーを読み取り、判断を下し、アクチュエーターを駆動します。重要なセキュリティ上の知見は、攻撃者がセンサーの測定値やアクチュエーターへのコマンドを偽装すると、制御ロジックが正常に見える状態のまま誤った判断を下すということです。

Safety Instrumented System（SIS）は、危険な状態が発生した場合にプロセスを安全な状態へ移行させることだけを目的とする独立した層です。たとえば、過圧時にリアクターをトリップさせます。

SISは、制御系の障害によって安全機能も同時に失われないよう、意図的に制御システムから分離されています。ある悪名高い攻撃では、まさにSISが標的となり、安全保護機能の無効化が試みられました。そのため、SISの分離と完全性は最重要事項として扱われます。

一般的な制御階層を下から上へ並べると、次のようになります。

• センサーとアクチュエーターが物理プロセスに接します
• PLCs / RTUs / IEDsがリアルタイム制御を実行します
• SCADA / HMI / DCSが監視制御を行い、オペレーターによる介入を可能にします
• ヒストリアンとEWSが分析とエンジニアリングを支援します
• SISが独立して安全を守ります

このスタックを理解することが、コースの後半で扱うセキュリティ上の相違点と保護策の基礎になります。

各コンポーネントを、そのセキュリティ上の重要性と対応付けてください。

産業制御を構成する基本要素について学びました。

• PLCs、RTUs、IEDsが物理プロセスのリアルタイム制御を実行します
• SCADA、HMI、DCSが監視制御を行い、オペレーターによる監視と介入を可能にします
• ヒストリアンがプロセスデータを保存し、EWSがコントローラーをプログラミングします
• センサーとアクチュエーターが制御ループを閉じます。これらを偽装するとロジックを誤らせます
• SISは独立した安全層であり、重要な保護対象です

次は、OTのセキュリティ保護がITのセキュリティ保護と根本的に異なる理由を学びます。