サイバーセキュリティーが現実世界（フィジカル空間）に広がろうとしている。自動運転や飛行ロボット（ドローン）などのセンサーをだまして制御を失わせる攻撃への懸念が高まっている。サイバーとフィジカルの両方を組み合わせた複合攻撃は、対策が確立されていない未知の領域だ。センサーやデバイスなどのフィジカル技術は日本にも分がある。サイバーセキュリティー市場は海外勢が優位だが、サイバーフィジカルセキュリティーは日本が巻き返せる市場になるかもしれない。

「未知の領域」対策探す　白地に“絵を描く”好機

　「サイバーセキュリティーで日本は海外勢に食いものにされてきた。この状況を覆したい」と、情報セキュリティ大学院大学の後藤厚宏学長は力を込める。内閣府の戦略的イノベーション創造プログラム（ＳＩＰ）で「ＩｏＴ社会に対応したサイバー・フィジカル・セキュリティ」のプログラムディレクターを務める。

　ＩｏＴ（モノのインターネット）社会では無数の電子機器がサイバー攻撃のリスクにさらされる。２０１５年にはフィアット・クライスラー・オートモービルズの「ジープ・チェロキー」が実験的に遠隔操作されたことから、約１４０万台のリコール（無料の回収・修理）に追い込まれた。その後サイバー攻撃への対策は進んだが、センサーなどの電子部品がフィジカル攻撃の対象として新たに注目されている。

センサーなど 日本の強み生かす

　自動運転車などに使われる高機能センサー「ＬｉＤＡＲ（ライダー）」をだまして前方車両を見えなくしたり、ドローンの超音波距離センサーや加速度センサーなどをだましてコントロールを失わせたりと、センサーの脆弱（ぜいじゃく）性が指摘されている。これまで産業用機械の多くはプロに管理され、攻撃者は敷地に侵入することも難しかった。だが自動運転車やドローンは日常生活で使われるようになる。そして人間に衝突させれば簡単に命を奪えてしまう。

　産業技術総合研究所サイバーフィジカルセキュリティ研究センターの松本勉研究センター長（横浜国立大学教授）は「サイバー攻撃とフィジカル攻撃を組み合わせた複合攻撃は、リスクの洗い出しさえ終わっていない」と指摘する。松本教授はドローンに強力な超音波を当ててセンサーをかく乱したり、飛行時間（ＴＯＦ）式の距離画像カメラの計測結果を改ざんする脆弱性を見つけた。距離画像カメラの例では、目の前にある物体の計測面を手前にも奥にも動かすことに成功した。松本教授は「脆弱性を発表した当初は、実用化を妨げると煙たがられてきたが、最近は対策が必要な技術だと認知されるようになった」と振り返る。


　現状ではサイバー攻撃とフィジカル攻撃を組み合わせた複合領域は白地だ。後藤学長は「センサーや測定手法を守る“計測セキュリティー”という概念が研究者の間で生まれたばかり。複合領域はすべてこれから創る必要がある」と説明する。これはチャンスでもある。技術として信頼をどう作りこむか。計測器の校正制度のように、社会的にセキュリティーの評価保証制度をいかに運用するか。技術と社会の両面でほとんど何も決まっていない。松本教授は「いまなら白地に絵を描ける」と指摘する。

　そしてセキュリティー市場特有のマッチポンプ式ともいえるビジネスモデルが展開できる。先行者利益は大きいが、海外の競合に主導権をとられると産業へのインパクトが大きい。後藤学長は「セキュリティーにかかるコストを可能な限り抑える必要がある。フィジカル領域ではセンサーの作り込みなど日本のモノづくり力を生かせる」と期待する。

産業界で研究始動　判定・検出技術の開発進む

　産業界では基礎研究が始まっている。三菱電機は松本教授とドローンの攻撃判定技術を開発した。攻撃者は飛行中の機体に強力な超音波を照射し、加速度センサーにかかる力の方向をねじ曲げる。センサーが計測する加速度や力の向きが変化してしまうことは防げない。そこで計測値が重力などの物理法則から外れているかどうか識別してドローンが攻撃を受けたか判定する。攻撃判定のアルゴリズムは、センサーデバイスの信号処理回路に組み込めるため安価に導入できる。

　三菱電機情報技術総合研究所の梨本翔永研究員は「実験機のセンサーの正常時のノイズと攻撃時の値を比較して、本来の値から１・４２倍ずれると攻撃と判定した」と説明する。普遍的な物理法則に信頼の基点とするため、幅広い加速度センサーに応用できる。ただセンサーごとにノイズの大きさが違うため、攻撃と判定する閾（いき）値をセンサーごとに決めることになる。これは優れたセンサーなら、攻撃の検出感度を上げられるともいえる。

　パナソニックと森ビルは設備制御ネットワークへの攻撃を検出する技術を開発する。機械学習で制御コマンドの異常性を判定する。異常コマンドは攻撃の兆候として扱い監視者が対応する。過去に例のない未知の攻撃に対応できる。パナソニックの松島秀樹サイバーセキュリティ技術開発部長は「ＩｏＴ家電などスマートホームのセキュリティーに展開したい」という。

　ただ、課題は山積している。例えば攻撃を受けたことの通知だ。パソコンや冷蔵庫なら通知は攻撃を防いだ実績になるが、自動運転車の走行中に攻撃を受けていると通知されると、それだけで搭乗者は不安になる。攻撃者はセキュリティーを完全に突破できなくても攻撃通知を高い頻度で出せれば、商品の価値を下げられる。自動車メーカーにとっては、通知しないで万が一の事態が発生すると説明責任をめぐって訴訟になる可能性がある。

　パナソニックの芳賀智之主幹技師は「攻撃がビジネスとして成立してしまうと危ない。技術に投資され、桁違いの攻撃を受ける」と指摘する。情報通信研究機構サイバーセキュリティ研究所の推計では１８年はＩＰアドレス一つ当たり約７９万パケットの攻撃があった。情通機構の久保正樹上席研究技術員は「インターネット空間はそのくらい汚れているという感覚が大切だ」という。技術だけで完璧なセキュリティーを求めると多大なコストがかかる。ユーザーをセキュリティーシステムに参加させて現実を知らしめ、システムへの期待値をコントロールする必要がある。後藤学長は「製品の安全と安心のように、ユーザーの納得を引き出す工夫が必要になる」と指摘する。
（文＝小寺貴之）