回復力のある制御システム

回復力のある制御システムとは、予期せぬ悪意のある脅威を含む障害に対応して、状態認識と許容されるレベルの運用正常性を維持するシステムです。^[1]

コンピュータ化された、またはデジタル化された制御システムは、発電所や自動車などの多くの産業オペレーションを確実に自動化するために使用されます。これらのシステムの複雑さと設計者がそれらを統合する方法、システムと対話する人間の役割と責任、およびこれらの高度にネットワーク化されたシステムのサイバーセキュリティは、次世代制御システムの研究哲学における新しいパラダイムにつながっています。レジリエントな制御システムでは、これらすべての要素と、認知心理学、コンピュータサイエンス、制御工学など、より効果的な設計に貢献する分野を考慮して、学際的なソリューションを開発します。これらのソリューションでは、ユーザーが正確で再現可能な応答を行えるように制御システムの操作ディスプレイを調整する方法、システムが動作を変更して攻撃から自身を守るようにサイバーセキュリティ保護を設計する方法、および重要な産業オペレーションの中断につながる連鎖的な障害を防ぐために、広く分散されたコンピュータ制御システムをより適切に統合する方法などを考慮します。

サイバーフィジカルシステムの文脈では、回復力のある制御システムは、重要な産業業務の運用における重要性から、情報技術のコンピュータシステムやネットワークと比較して、制御システムの独自の相互依存性に焦点を当てた側面です。

もともとは産業オペレーションを制御するためのより効率的なメカニズムを提供することを目的としていたデジタル制御システムの開発により、分散センサーと動作ロジックを統合する柔軟性が実現し、同時に人間による監視と対話のための集中型インターフェイスが維持されるようになりました。^[2]かつてはリレーと独立したアナログ機器で行われていたセンサーとロジックをソフトウェアで簡単に追加できるこの容易さにより、これらのシステムはあらゆる業界で広く受け入れられ、統合されるようになりました。しかし、これらのデジタル制御システムは、産業オペレーションのさまざまな側面をカバーするために段階的に統合されることが多く、ネットワークを介して接続され、複雑に相互接続され、相互依存するシステムになっています。^{[3]適用される}制御理論は、多くの場合、アナログ制御理論のデジタル版に過ぎませんが、デジタル制御システムが通信ネットワークに依存しているため、情報の機密性、整合性、可用性に潜在的な影響を与えるため、サイバーセキュリティの必要性が高まっています。 ^[4]したがって、次世代の制御システムで回復力を実現するには、人間とシステムの相互作用やサイバーセキュリティを含む複雑な制御システムの相互依存性に対処することが、認識される課題となるでしょう。^[1]

哲学的観点から、レジリエントな制御システムの分野を発展させるには、定義、測定基準、課題の検討、および関連する専門分野の融合が必要です。これらから、投資と採用の価値提案が生まれます。これらのトピックについては、以下で説明しますが、全体像を把握するために図1を参照してください。^[5]

過去 10 年間のレジリエンスエンジニアリングの研究は、組織と情報技術の2 つの領域に焦点が当てられてきました。組織のレジリエンスは、組織の存在そのものを脅かす危険な、危険な、または危険な状況の防止や緩和など、脅威に直面した組織が適応して生き残る能力を考慮します。^[6] 情報技術の レジリエンスは、さまざまな観点から検討されてきました。^[7]ネットワークのレジリエンスは、サービス品質として検討されてきました。^[8]コンピューティングでは、予期しない変更に直面した場合の信頼性やパフォーマンスなどの問題が検討されてきました。^[9]ただし、制御ダイナミクスを産業プロセスに適用すると、機能性と決定論が、情報技術の従来の目的には含まれない主要な考慮事項になります。^[10]

制御システムのパラダイムを考慮すると、「回復力のある制御システムとは、その構造、設計パラメータ、制御構造、制御パラメータによって変動を許容するシステムである」という定義が提案されている。^[11]しかし、この定義は制御システムへの制御理論の適用の観点から取られている。悪意のある行為者やサイバーセキュリティの考慮は直接考慮されていないため、「知的な敵対者からの攻撃を受けた制御の効果的な再構築」という定義が提案されている可能性がある。^{[12]しかし、この定義は悪意のある行為者に対する}回復力にのみ焦点を当てている。制御システムのサイバーフィジカルな側面を考慮すると、回復力の定義では、制御システムアプリケーションの複雑な相互依存性に加えて、良性と悪性の両方の人間の相互作用が考慮される。^[13]

「回復」という用語は、復元力の文脈で使用されてきました。これは、ゴムボールが力が加えられても無傷のままで、力が取り除かれると元の大きさに戻るという反応に似ています。^[14]ゴムボールをシステムの観点から考えると、復元力は、回復不可能な結果を​​招くことなく、望ましいレベルのパフォーマンスまたは正常性を維持する能力と定義できます。この文脈での復元力はボールの降伏強度に基づいていますが、制御システムは、環境、つまり産業オペレーションを構成するセンサー、バルブ、ポンプとの相互作用を必要とします。この環境に反応するために、制御システムは、正常性を維持するために産業プロセスに修正変更を加えるために、その状態を認識する必要があります。^[15]これを念頭に置いて、人間システム統合とサイバーセキュリティのサイバーフィジカルな側面、およびより広範な重要インフラレベルでのレジリエンスの他の定義を考慮すると、 ^{[16] [17]}レジリエントな制御システムの定義として次のことが推測できます。

回復力のある制御システムとは、予期せぬ悪意のある脅威を含む障害に対応して、状態認識と許容されるレベルの運用正常性を維持するシステムである^[1]

デジタル制御システムの流れを基礎として考えると、回復力のある制御システムのフレームワークを設計することができます。図 2 の左側を参照すると、回復力のある制御システムは、状態空間のパフォーマンスまたは正常性の尺度を全体的に考慮します。中央では、パフォーマンスと優先度の理解が、マルチエージェントの半自律フレームワーク内に組み込まれた人間と自動化の組み合わせによる適切な対応の基礎となります。最後に、右側では、消費者のニーズに対応し、望ましい対応を配置するために、情報を消費者に合わせて調整する必要があります。回復力が制御システム設計とどのように異なり、どのように利益をもたらすかについての例やシナリオがいくつか文献に記載されています。^{[18] [13]}

従来の信頼性とは対照的に、回復力のある制御システムへの統合アプローチを検討する際には、回復力のいくつかの主要な原則が提示されている。 ^{[19] [20] [21]}これらのサイバーフィジカル原則は、産業施設の安全でセキュリティの高い運用に対する理解と保証のレベルを提供する設計上の考慮事項を含む制御システムの問題に関して回復力を特徴付けることにより、信頼できるコンピューティングの基本概念を補完する。これらの原則については、回復力を実現するために取り組むべき課題のいくつかを要約するために、以下で個別に説明する。

善良な人間は、新しい解決策を素早く理解し、予期せぬ状況に適応する能力を持っています。この行動は制御システムにさらなる回復力をもたらすことができますが^{[22] 、}人間の行動を再現可能に予測することは継続的な課題です。過去の人間の好みを捉える能力はベイズ推論やベイズ信念ネットワークに適用できますが、理想的な解決策はEEGなどのセンサーを使用して人間の状態を直接理解することを検討することです。^{[23] [24]}制御システムの設計と相互作用を考慮すると、目標は、この混合イニシアチブ応答に対してある程度の最適な回復力を達成するために必要な自動化の量を調整することです。^[25]人間に提示されるのは、対象を絞った再現可能な応答の基礎となる実用的な情報です。^[26]

悪意のある行為者（またはハッカー）が制御システムと善意の人間との予測と統合の課題とは対照的に、悪意のある行為者（またはハッカー）が望ましい制御システムの行動を妨害する能力も、制御システムの回復力に対する重大な課題を生み出します。^[27]人間の信頼性に使用される動的確率的リスク分析の適用は、善意の行為者についてある程度の根拠を提供することができます。^[28]しかし、敵対的な個人、組織、または国家の明らかに悪意のある意図は、目的と動機の両方において人間のモデル化を可変にします。^[29]しかし、そのような意図に対する制御システムの応答を定義する際に、悪意のある行為者は、優位性を獲得し、システムを弱体化するための経路を提供するために、ある程度の認識された行動を期待しています。サイバー攻撃に備えて個別に実行されるか、システム自体に対して実行されるかにかかわらず、これらの行動は、検出されずに攻撃を成功させる機会を提供する可能性があります。したがって、回復力のある制御システムアーキテクチャを検討する際には、この利点を減らすために、属性のアクティブおよびパッシブに実装されたランダム化を埋め込む非定型設​​計が提案されます。^{[30] [31]}

現在の重要なインフラの多くは、分散制御システム ( DCS ) または監視制御およびデータ収集 ( SCADA ) と呼ばれるアーキテクチャのいずれかの相互接続された制御システムのネットワークによって制御されていますが、制御の適用はより分散化された状態に向かっています。スマートグリッドに移行すると、個々の住宅、商業施設、多様な発電および貯蔵の複雑な相互接続性により、結果として得られるシステムの脅威に対する耐性を高める機会と課題が生まれます。^{[32] [33]}これらのシステムを運用して、全体的な効率、安定性、セキュリティなど、複数の考慮事項に対してグローバルな最適値を達成するには、複雑なネットワーク制御システムを総合的に設計するメカニズムが必要になります。^{[34] [35]マルチエージェント方式では、グローバルな目標を分散資産に結び付けるメカニズムが提案されており、資産の管理と調整によって最適な利益が得られ、急速に変化する状況に対して迅速に対応して}耐性を維持できる半自律的だが制約のあるコントローラーが可能になります。^{[36] [37]}

回復力の属性を捉える測定基準を確立することは、少なくとも相互作用や相互依存性の違いに基づいて考えると複雑になる可能性があります。制御、サイバー、認知障害を評価することは、特に専門的観点から考えると、すでに確立されている測定基準につながります。ただし、測定基準が、劣化によって影響を受ける可能性のあるパフォーマンス特性などの標準化された動的属性に基づいている場合は、代替案が提案されます。具体的には、回復力特性への基本測定基準の適用は、障害の種類に応じて次のように示されます。

• 身体障害:
  • 安定性に影響する時間遅延
  • データの整合性が安定性に影響する
• サイバー障害:
  • 時間遅延
  • データの機密性、完全性、可用性
• 認知障害:
  • 応答の遅延時間
  • 望ましい回答からのデータの逸脱

このようなパフォーマンス特性は、時間とデータの整合性の両方に存在します。時間（ミッションの遅延と通信の遅延の両方の観点から）、およびデータ（破損または変更の観点から）は、標準化要因です。一般的に、この考え方は、メトリックを「予想されるもの」に基づいて決定するものであり、必ずしも劣化の実際の原因に基づいて決定するものではありません。時間をメトリックの基準として考えると、回復力のあるシステムと回復力のないシステムは、図3で確認できます。^[38]

選択された横軸の指標に応じて、図 3 はシステムの回復力の一般化を反映します。このグラフには、堅牢性、敏捷性、適応能力、適応不全、回復力、脆弱性など、いくつかの一般的な用語が示されています。これらの用語の定義を概観するために、それぞれの説明を次に示します。

• 敏捷性: 障害曲線の導関数。この平均値は、下降傾斜での劣化に抵抗するだけでなく、上昇傾斜での回復も行うシステムの能力を定義します。主に、ミッションへの影響を示す時間ベースの用語として考慮されます。短期的なシステムと長期的な人間の対応者アクションの両方を考慮します。
• 適応能力: システムが衝撃から適応または変換し、最低限の正常性を維持する能力。0 から 1 の間の値と見なされ、1 は完全に動作し、0 は回復力のしきい値です。
• 適応不全: システムが衝撃に適応または変換できないこと。障害による許容できないパフォーマンス損失を示します。0 から -1 の間の値と見なされます。0 は回復力しきい値、-1 は完全な動作不能です。
• 脆弱性: 障害曲線の下の、回復力しきい値と交差する領域。これは、運用の正常性が失われたことによる影響を示します。
• レジリエント制御システムの準備と外乱対応のフェーズ:
  • 偵察: システムの状態と劣化に関するプロアクティブな状態認識を維持する
  • 抵抗: 認識された状況に対するシステムの応答。軽減と対抗の両方を目的としている。
  • 応答: システムの劣化は止まり、システムパフォーマンスが回復しました
  • 復元: 機器の交換を含む長期的なパフォーマンスの復元
• 回復力: 脆弱性の逆で、回復力システムの場合、最低限の正常性の損失は「ゼロ」です。
• 堅牢性: 外乱曲線と回復力しきい値の間の領域に関連付けられた正または負の数値。それぞれ容量または不十分さを示します。

図 3 の横軸を見ると、サイバーおよび認知的影響がデータと時間の両方に影響を及ぼす可能性があることが分かります。これは、回復力のある制御設計においてこれらの形態の劣化を認識することの重要性を強調しています。サイバーセキュリティの場合、単一のサイバー攻撃によって制御システムが複数の方法で劣化する可能性があります。さらに、制御の影響は示されているように特徴付けることができます。これらの用語は基本的なものであり、コストなどの影響を相関させる人にとってはあまり価値がないように見えますが、ユースケースの開発は、この関連性を体系化する手段を提供します。たとえば、システム ダイナミクスまたはデータへの影響を考慮すると、制御ループのパフォーマンスを直接確認し、不安定性や運用上の影響へのアプローチを示すことができます。

制御システムの性質そのものが、レジリエンス メトリックの開発の出発点となります。つまり、物理プロセスの制御は、第一原理と確率論を含む定量化可能なパフォーマンスと測定に基づいています。運用パフォーマンスと適応を相関させる基礎となるこの測定を提供する能力は、認知的サイバー フィジカル ソースから発生する可能性のあるデータと時間の変化を相関させる出発点にもなります。効果的な理解は、設計 (および運用) バッファーを相関させる適応能力の多様性を開発することに基づいています。電力システムの場合、この多様性は、実電力資産と無効電力資産、操縦の自由度を持つ制御可能資産、および時間経過に伴う外乱の影響に基づいています。現代の配電システム（MDS）の場合、これらの資産は、図4に示すように個々の貢献から集約することができます。^[39]この図では、これらの資産には、a)バッテリー、b)代替タイラインソース、c)非対称P/Q推測ソース、d)配電静的同期補償装置（DSTATCOM）、およびe)低遅延、エネルギー制限のない4象限ソースが含まれます。

1) 現在のデジタル制御システムの設計を考えると、これらのシステムのサイバーセキュリティは、ファイアウォール、パスワードなどの境界保護とみなされるものに依存しています。悪意のある人物が中間者攻撃によって産業オペレーションのデジタル制御システムを侵害した場合、制御システムのデータが破損する可能性があります。セキュリティエンジニアなどの誰かが攻撃の発生を認識するまで、産業施設のオペレーターはデータが侵害されたことを知る方法がありません。オペレーターは産業施設を安定させるために迅速かつ適切な対応を行うように訓練されているため、破損したデータによってオペレーターが状況に反応し、プラントの混乱につながる可能性があります。図2に示すように、回復力のある制御システムでは、サイバーデータと物理データが融合され、異常な状況を認識してオペレーターに警告します。^[40]

2) エネルギー効率などさまざまな要因により社会が自動化されるにつれて、より効果的な制御アルゴリズムを実装する必要性が当然生じます。しかし、高度な制御アルゴリズムは、産業オペレーションの動作を予測し、修正応答を行うために、複数のセンサーからのデータに依存しています。このタイプのシステムは、センサー自体の認識されない劣化が制御アルゴリズムによる誤った応答につながり、産業施設の望ましいオペレーションに比べて状態が悪化する可能性があるため、非常に脆弱になる可能性があります。したがって、回復力のある制御システムに高度な制御アルゴリズムを実装するには、センサーの劣化や、制御アルゴリズムに関連する産業プロセス機器の故障を認識するための診断および予測アーキテクチャの実装も必要です。^{[41] [42] [43]}

自動化が進む世界において、こうした進歩する技術への依存には、複数の分野からの高度なスキル セットが必要です。課題は、安全性と効率性を高めるための制御システムの設計を改善することに根ざしているように見えるかもしれません。しかし、現在の自動化設計における技術の進化により、サイバー攻撃、人為的ミス (設計または運用)、または破壊的な嵐が基本インフラストラクチャに大混乱をもたらす可能性がある複雑な環境が生み出されました。次世代のシステムでは、障害がさらに大きな壊滅的なイベントにつながらないように、より広い視野で今後の道筋を検討する必要があります。重要なリソースの 1 つは、これらの設計を前進させるために必要なスキルを身に付けることが期待される学生であり、課題に対する視点と、ニーズを満たすための他者の貢献の両方が必要です。このニーズに対応するため、10 年以上前にアイダホ州およびその他の大学で、学部生と大学院生向けのカタログまたは特別なトピックの焦点として、レジリエント制御システムの 1 学期コースが開設されました。このコースのレッスンは、学際的な研究の基礎となるテキストにまとめられました。^[44]さらに、ジョージメイソン大学やノースイースタン大学などの大学では、重要なインフラの問題を概観し、回復力のある解決策を生み出す機会を提供するための視点と関連する事例を提供する他のコースも開発されています。

次世代の自動化の基盤となる技術の開発により、効果的なチームは複数の分野で構成されていることが明らかになりました。^[45]しかし、効果のレベルを高めるには時間がかかり、専門的な環境で行われると、望ましい結果にほとんど明らかなメリットをもたらさない多くのエネルギーと時間を費やす可能性があります。これらのSTEM分野を早期に統合できればできるほど、お互いの貢献を認識し、専門的な世界で共通の目標を達成するために協力する上で効果的であることは明らかです。レジリエンスウィークなどの会場でのチーム競争は、そのような環境を開発することの自然な結果であり、学際的な参加を可能にし、学生がSTEM教育を追求する動機となる刺激的な課題を提供します。

政府、学界、産業界を含む投資の価値提案を確立するには、レジリエンスの命名法と指標を定義する標準とポリシーが必要です。IEEE Industrial Electronics Society は、この目的のために 技術委員会の結成を主導しました。この委員会の目的は、自動化におけるレジリエンスを促進する有望な技術を体系化するための指標と標準を確立することです。この取り組みは、ISO や NIST の取り組みなど、 サプライ チェーン コミュニティがレジリエンスとセキュリティに重点を置くこととは異なります。

• Cholda, P.; Tapolcai, J.; Cinkler, T.; Wajda, K.; Jajszczyk, A. (2009)、「ネットワーク信頼性特性評価ツールとしての復元力の質」、IEEE Network、23 (2): 11–19、doi :10.1109/mnet.2009.4804331、S2CID  8610971
• DHSスタッフ（2005年5月）、重要なインフラ保護、国土安全保障省、サイバーセキュリティ責任を果たす上での課題に直面、GAO-05-434、米国政府
• Hollnagel, E.; Woods, DD; Leveson, N (2006)、『レジリエンス エンジニアリング: 概念と指針』、アルダーショットハンプシャー、イギリス: Ashgate Publishing
• Kuo, BC (1995 年 6 月)、デジタル制御システム、オックスフォード大学出版局
• Lin, J.; Sedigh, S.; Hurson, AR (2011 年 5 月)、「サイバーフィジカルシステムにおけるデータの異質性を調整するためのエージェントベースのアプローチ」、第 25 回 IEEE 国際並列分散処理シンポジウムワークショップおよび Phd フォーラム (IPDPSW)、pp. 93–103
• マイヤー、JF (2009 年 9 月)、「レジリエンスの定義と評価: パフォーマンスの観点」、コンピュータおよび通信システムのパフォーマンスモデリングに関する国際ワークショップでのプレゼンテーション
• ミッチェル、SM; マンナン、M. S (2006 年 4 月)、「レジリエントなエンジニアリングシステムの設計」、化学工学進歩、102 (4): 39–45
• Rieger, CG (2010 年 8 月)、「レジリエント制御システムの概念的例とベンチマークの側面」、第 3 回レジリエント制御システムに関する国際シンポジウム、pp. 64–71
• Rinaldi, SM; Peerenboom, JP; Kelly, TK (2001 年 12 月)、「重要なインフラストラクチャの相互依存性の特定、理解、分析」、IEEE Con​​trol Systems Magazine : 11–25
• Trivedi, KS; Dong, SK; Ghosh, R. (2009 年 12 月)、「コンピュータ システムとネットワークの復元力」、IEEE/ACM 国際コンピュータ支援設計会議 - 技術論文ダイジェスト、pp. 74–77
• Wang, FY; Liu, D. (2008)、ネットワーク制御システム：理論とアプリケーション、ロンドン、英国：Springer-Verlag
• Wei, D.; Ji, K. (2010 年 8 月)、「レジリエントな産業用制御システム (RICS): 概念、定式化、測定基準、洞察」、第 3 回国際シンポジウム レジリエントな制御システム (ISRCS)、pp. 15–22
• ウィング、J.（2008年4月）、サイバーフィジカルシステム研究担当、ミズーリ州セントルイス：サイバーフィジカルシステムサミット

帰属

•  この記事には、米国政府のウェブサイトまたは文書からのパブリック ドメインの資料が組み込まれています。Rieger 、CG、Gertman、DI、McQueen、MA (2009 年 5 月)、Resilient Control Systems: Next Generation Design Research、イタリア、カターニア: 2nd IEEE Con​​ference on Human System Interaction
  • Rieger, Craig G.; Gertman, David I.; McQueen, Miles A. (2009 年 5 月)、「レジリエント コントロール システム: 次世代設計研究 (HSI 2009)」(PDF)、アイダホ国立研究所 (INL)