OEM設計におけるHMIハードウェアのセキュリティ境界：前面パネルで守れる範囲

OEM設計におけるHMIハードウェアのセキュリティ境界は「攻撃面を狭める層」である

NIST SP 800-82 Rev. 3は、HMIを「操作者がコントローラと対話するためのハードウェアまたはソフトウェア」と定義し、物理ボタンと表示灯を持つ操作盤から、専用ソフトウェアを実行する産業用PCまでを含めている。したがって「HMIを安全にする」という要求だけでは、供給範囲を決められない。前面部品と計算機、さらに制御システムを分ける必要がある。

HMIアセンブリの製造境界には、オーバーレイ、タッチセンサ、表示窓またはディスプレイ、メンブレン／PCB／FPC、ガスケット、キャリア、コネクタ、ハーネス、筐体との取合いを含められる。一方、ユーザー権限、OS、セキュアブート、PLCロジック、SCADA、ネットワーク監視は、部品表にそれらが含まれるだけでは成立しない。HMIパネルとは？構造とOEM組み込みの要点で基本構造を確認したうえで、次の境界図をインターフェース管理文書に写すとよい。

操作者・保守員
    │  接触／視認／媒体挿入／開封
    ▼
［オーバーレイ・操作キー・表示窓・ポートカバー・封印］ ← 前面の物理境界
    ▼
［タッチ・表示・PCB/FPC・コネクタ・JTAG/SWDパッド］   ← 組立境界
    ══ 電源、ピン配置、信号源、試験アクセスの引渡線 ══
    ▼
［HMIコントローラ・OS・セキュアブート・認証・更新］   ← 製品セキュリティ
    ▼
［Ethernet・PLC・SCADA・ログサーバ・運用手順］          ← システムセキュリティ

図：操作者側の物理接触面から、組立、組込み計算機、制御システムへ信頼境界が移る。上の二層を閉じても、下の二層の認証や通信保護は自動的には成立しない。

物理ポートは「使わない、内部へ移す、管理して露出する」の順で決める

不要なポートを前面に残さないことが最も明快である。必要なら、一般作業者が触れない筐体内へ移し、サービスカバー、鍵、固定具、封印によってアクセス条件を限定する。常時露出が必要なUSB、Ethernet、シリアルポートは、コネクタ形式、カバーの保持、嵌合状態、ケーブルの引抜方向、背面クリアランスまで図面化する。

NIST SP 800-82 Rev. 3は、OT機器への物理アクセス制限と未使用ポート／サービスの無効化を推奨する。また、USBや電源ボタンを論理的に無効化できない機器では、施錠キャビネットを補完対策にできる一方、無線またはネットワーク経路が物理対策を迂回しないか確認するよう求めている。つまりポートカバーは「認証」ではない。接触の機会と時間を減らす部品である。

設計審査では、ポートごとに通常運転、据付け、保守、RMAの四状態を並べる。たとえば据付け時だけ使うEthernetを前面に常設する必要はない。反対に、停止時間を短くする保守ポートを完全に埋めると、現場が非承認の分解方法を作るおそれがある。物理配置とプロトコル側の責任分担は、産業用HMIの通信プロトコルとハードウェア接続にも同じインターフェース番号を引き継ぐ。

JTAG／SWDを隠すだけではデバッグ境界は閉じない

量産品のJTAG、SWD、UARTブート、テストパッドは、故障解析には有用だが、メモリや実行状態へ到達する経路にもなる。機構側で選べるのは、ヘッダを実装しない、パッドを筐体内へ置く、通常工具で届かない向きにする、サービスカバーと封印の内側へ入れる、専用ポゴピン治具だけに合わせる、といった可達性の制御である。

ただし最終的な許可判断はコントローラ側にある。NXPのAN13814はRW61xにおけるJTAG／SWD、Debug Access Port、ROMのデバッグ認証、鍵管理の関係を示している。これはRW61x固有の例だが、重要な設計原則は一般化できる。物理的に見えないパッドと、認証されたデバッグは別物である。採用MCUごとに、量産ライフサイクル状態、デバッグロック、認証方式、解除権限を原メーカー資料で確認する。

要求仕様は開発、量産、RMAを分ける。永久無効化は現場解析を難しくする。認証付き再開放は鍵管理と監査が必要になる。樹脂や接着剤で覆う案は、熱、修理性、基板への応力、再作業の管理も変えるため、セキュリティ担当だけで決めてはならない。

リムーバブルメディアは物理閉塞と運用管理を一つの要件にする

IPAの「制御システムのセキュリティリスク分析ガイド 第2版（2026年4月版）」は、感染したUSB媒体がHMIへ接続される攻撃経路と、ポートの物理的閉塞、媒体／HMIのマルウェア対策、許可リスト、パッチ、データ署名、ログを組み合わせた対策例を示す。NIST SP 1334も、OTの可搬媒体には手続的、物理的、技術的な対策が必要だとしている。

保守上USBやSDが必要なら、「穴を残す」ではなく、承認媒体の所有者、用途、保管場所、ラベル、接続前検査、更新ファイルの署名検証、接続ログ、使用後の返却または消去までを一つのフローにする。ポートが施錠されていても、鍵が装置に挿したままなら境界は実質的に開いている。

USBは形状だけで信頼できない。USENIX Security 2023の研究はUSB 2.0／3.xハブ29機種を試験し、14機種で経路外の悪意ある機器からデータを注入できることを実証した。この試験結果を全HMIへ一般化はできないが、物理的に接続できた機器の出所やデータ完全性を、コネクタだけで保証できないことは明らかである。

タンパーエビデンスと信頼できる状態表示は、検知後の行動まで設計する

封印ラベル、破壊型オーバーレイ、固有番号、隠し締結は、開封を不可能にするのではなく痕跡を残す。ACM TISSECの封印研究は投票機を対象としたケーススタディだが、封印の有効性が貼付・記録・点検の手順に依存するという教訓はHMIにも当てはまる。位置写真、封印番号、貼付者、点検周期、清掃後の判定、異常時の隔離責任がなければ、痕跡は見過ごされる。

「タンパーエビデント」「タンパーレジスタント」「タンパーレスポンシブ」も分ける。FIPS 140-3は暗号モジュール向けの規格であり、一般HMIの適合根拠にはならないが、改ざん痕跡と、検出後に秘密情報を消去するような応答を異なる物理セキュリティ水準として扱う。前面封印を付けただけで、HMIが改ざん応答機能を持つとは言えない。

状態表示も同じである。NISTIR 8259Aのコアベースラインは、デバイスが正常に動く状態とセキュリティが劣化した状態を区別し、状態情報を変更できる主体を制限する能力を挙げている。画面上の緑色アイコンが、侵害され得る同じOSから描画されているなら、独立した信頼表示とは限らない。専用LEDを使う場合も、信号源、ドライバ、配線、電源、断線時の表示、ログとの照合を定義する。HMI組立側はLED窓、ライトパイプ、遮光、配線、外観を検証できるが、「その信号が正しい」という保証は状態を生成する回路とソフトウェアの所有者へ渡す。

IEC 62443とIP等級は、評価対象を混ぜずに使う

HMIの要求書では、規格名より先に評価対象を書く。産業用HMI規格とハードウェア適合へ展開する場合も、次の分担を崩さない。

ここで区別する公式文書は、IEC 62443-4-2:2019、IEC 62443-3-3:2013、IEC 62443-4-1:2018、IEC 60529:1989である。

IEC 62443-4-2のコンポーネント能力は、IEC 62443-3-3のシステム要求や、完成システムで達成したセキュリティレベルと同義ではない。またIEC 60529のIPコードは筐体保護の分類であり、認証、暗号、マルウェア耐性を示さない。防水ポートカバーに変更すると、開閉回数、嵌合状態、ガスケット圧縮、試験時のキャップ状態が変わる。サイバー要件と環境要件を一枚の図面に置いても、合格判定は分ける。

工程ごとの決定表で、物理対策と残余リスクを同時に承認する

この判断は設計凍結時だけでは足りない。部品代替、ポート形状、カバー材、コントローラ、ファームウェア更新経路、RMA方針が変われば境界も変わる。変更審査の入口は産業用HMIパネル設計チェックリスト｜10のリリースゲートとそろえ、機構図、回路図、BOM、インターフェース管理文書の改訂を同時に確認する。

検証マトリクスは「突破できない」ではなく「要求どおり制約される」を判定する

試験項目はリスク分析から選び、試験・検証計画に試験構成、サンプル状態、治具、記録を残す。量産治具だけでは、媒体拒否やデバッグ認証まで確認できない場合がある。その場合は製造検査とシステムV&Vを分け、証拠の受渡し点を明記する。試作・サンプル承認では、外観の良品だけでなく、開口、カバー、封印、コネクタ、LEDの故障状態を含む代表サンプルを承認する。

図面とRFQにはセキュリティ機能名ではなく、境界条件を書く

プロジェクト入力は、最低でも次をそろえる。

• 表示サイズ、表示モジュール、アクティブエリア、タッチ方式、前面パネル図面
• オーバーレイ、窓、ガスケット、キャリア、筐体のスタックと取付け基準
• 外部／内部ポート一覧、通常運転・据付け・保守・RMAでの使用状態
• JTAG／SWD／UART／ブートストラップ、テストパッド、量産治具のアクセス方針
• コネクタ品番、ピン配置、信号方向、電源、接地、キーイング、相手部品
• 封印の位置、識別番号、交換条件、清掃・温湿度・薬品・振動などの使用環境
• LED／画面表示の状態表、信号源、故障時表示、ログとの照合方法
• 製造検査、システムV&V、完成装置評価の責任分担と変更管理
• 年間数量、試作数量、承認サンプル、梱包、トレーサビリティ要求

図面を送って技術確認を依頼する際は、表示サイズ、前面パネル図面、インターフェーススタック、使用環境、年間数量を添付すると、製造可能な境界を確認しやすい。JASPERの確認対象は合意したHMIハードウェアと組立であり、PLC／SCADAプログラミングや完成システムのセキュリティ保証はOEM／インテグレータの範囲に残る。仕様が固まった案件は技術見積もりを依頼し、除外事項まで見積範囲に記載する。

よくある質問

HMIハードウェアだけでサイバーセキュリティを確保できますか？

できません。HMIハードウェアはポートや基板への物理的可達性を下げ、未承認接続の機会や開封痕跡を管理できます。一方、認証、認可、署名付き更新、デバッグ許可、通信保護、ログ監視はコントローラとシステム側の実装が必要です。

産業用HMIのUSBポートは物理的に塞げば安全ですか？

物理閉塞だけでは不十分です。不要なら開口を削除し、必要なら施錠カバーや筐体内移設で接近を制限します。そのうえで、未使用時の論理無効化、承認デバイス、媒体検査、署名検証、接続ログを同じ要求に含めます。

JTAG／SWDパッドは量産基板から削除すべきですか？

一律には決められません。永久削除は攻撃面を減らしますが、故障解析やRMAを制約します。残す場合はヘッダ非実装、内部配置、専用治具に加え、採用MCUの量産状態、デバッグ認証、解除権限、鍵管理を定義します。

改ざん防止ラベルは不正開封を防げますか？

主目的は防止ではなく痕跡の提示です。固有番号、貼付位置、写真、貼付者、点検周期、交換履歴、異常時の隔離手順がそろって初めて判断材料になります。高保証の侵入防止や自動応答が必要なら、封印とは別の設計が必要です。

HMIのLEDを信頼できるセキュリティ表示にする条件は何ですか？

LEDの色だけでは足りません。状態を生成する信頼源、LEDまでの制御経路と電源、変更権限、断線・起動中・通信断の表示、イベントログとの対応を定義します。同じ侵害対象のOSが表示を自己申告する構成は、独立表示として扱えません。

IP65やIP67はHMIのサイバーセキュリティを証明しますか？

証明しません。IEC 60529のIPコードは、指定した筐体状態における固体異物、水、危険部への接近に対する保護等級です。認証、暗号、マルウェア耐性、デバッグ保護、改ざん検知を評価する規格ではありません。

IEC 62443は前面パネル単体に適用できますか？

評価対象を分ける必要があります。IEC 62443-4-2はIACSコンポーネント、3-3は制御システム、4-1は製品開発ライフサイクルを扱います。前面パネルの物理構造だけで、完成システムのセキュリティレベルや適合を宣言できません。

HMIセキュリティのRFQに最低限必要な入力は何ですか？

表示サイズ、前面図、構造スタック、全ポートと使用状態、デバッグ／テストアクセス、コネクタとピン配置、封印、状態表示、使用環境、試験分担、年間数量です。PLC／SCADA、認証、更新、ログの所有者も責任表で明示します。

参考文献

1. 情報処理推進機構（IPA）, 制御システムのセキュリティリスク分析ガイド 第2版（2026年4月版）, 2026年4月。
2. 経済産業省, 工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン Ver 1.0, 2022年11月16日。
3. 経済産業省, 半導体デバイス工場におけるOTセキュリティガイドライン, 2025年10月24日。
4. NIST, SP 800-82 Rev. 3: Guide to Operational Technology (OT) Security, 2023年9月。
5. NIST, SP 1334: Reducing the Cybersecurity Risks of Portable Storage Media in OT Environments, 2025年9月30日。
6. NIST, NISTIR 8259A: IoT Device Cybersecurity Capability Core Baseline, 2020年5月。
7. IEC, IEC 62443-4-2:2019, 2019年2月27日。
8. IEC, IEC 62443-3-3:2013, 2013年8月7日。
9. IEC, IEC 62443-4-1:2018, 2018年1月15日。
10. IEC, IEC 60529:1989+AMD1:1999+AMD2:2013 CSV, 2013年8月29日。
11. NXP Semiconductors, AN13814: Debug Authentication on RW61x, Rev. 4.0, 2024年11月14日。
12. Dumitru, R.ほか, USB通信に対するオフパス注入攻撃, USENIX Security 2023, pp. 5863–5880。
13. Appel, A. W., Security seals on voting machines: A case study, ACM Transactions on Information and System Security, 14(2), 2011年9月。
14. NIST, FIPS 140-3: Security Requirements for Cryptographic Modules, 2019年3月22日。