JP7563281B2 - 制御装置、制御システム、管理方法およびプログラム - Google Patents

Description

本開示は、制御装置、制御システム、管理方法およびプログラムに関する。

様々な製造現場において、ＰＬＣ（Programmable Logic Controller）などの制御装置が導入されている。このような制御装置は、一種のコンピュータであり、製造装置または製造設備などの制御対象に応じて設計された制御プログラムを、制御パラメータ等を含む設定情報に基づき実行する。

近年、制御装置のＩｏＴ化が進んでおり、制御装置をインターネットやクラウド等の外部装置または外部ネットワークに接続可能な環境が提供されつつある。このような環境においては、制御装置の制御プログラムを外部装置によって書換え可能であるから、その書き換えが、悪意の改ざんである場合は、深刻なインシデントが引き起こされるおそれがある。

特開２００８－０６５６７８号公報（特許文献１）は、このようなリスクに対処する一の方法を開示する。具体的には、特許文献１は、ＰＬＣが、制御プログラムを暗号化したプログラムが設備機器に固有なプログラムであるか否かを判断し、設備機器に固有なプログラムであれば、当該プログラムから制御プログラムを復号し、制御プログラムを実行して設備機器を制御する方法を開示する。

特開２００８－０６５６７８号公報

特許文献１で示された方法では、ＰＬＣは、予め入力された識別データと暗号ルールとを格納する記憶手段を備え、当該識別データを用いて、暗号化したプログラムが設備機器に固有なプログラムであるか否かを判断する。暗号化したプログラムが設備機器に固有なプログラムであると判断された場合、ＰＬＣは、暗号ルールに従って、暗号化したプログラムを復号することにより制御プログラムを得て、当該制御プログラムを利用する。そのため、制御プログラムを悪意の改ざんから保護するために、すなわち正当なユーザによる善意の改ざんのみを許容するために、識別データおよび暗号ルールを準備する必要があり、ユーザに負担をかけていた。

本開示は、ユーザの負担を軽減しつつ制御装置のセキュリティを担保できることを一つの目的とする。

本開示の一例に従う制御装置は、対象の制御に関する第１のユーザプログラムと、制御に関する設定を示す第１の設定情報を格納する格納部と、対象の制御に関する第２のユーザプログラムと、制御に関する設定を示す第２の設定情報とを受付ける受付部と、格納部の第１のユーザプログラムおよび第１の設定情報を、それぞれ、第２のユーザプログラムおよび第２の設定情報を用いて変更する変更部と、第１の設定情報を用いて第１のユーザプログラムを実行する制御エンジンと、第１の設定情報と第１のユーザプログラムのセキュリティを管理するセキュリティエンジンと、を備え、セキュリティエンジンは、第１のユーザプログラムおよび第２のユーザプログラムについて、プログラムの同一性を満たすかを検証するプログラム検証部と、第２の設定情報が示す設定の妥当性を評価する評価部と、プログラム検証部の検証結果と評価部の評価から、変更部に前記変更の実施を許可または禁止する変更制御部と、を有する。

上述の開示によれば、制御エンジンが実行する格納部の第１のユーザプログラムおよび第１の設定情報を、それぞれ、受付けた第２のユーザプログラムおよび第２の設定情報を用いて変更する場合、セキュリティエンジンは、第１のユーザプログラムおよび第２のユーザプログラムの同一性の検証と、第２の設定情報が示す設定の妥当性の評価を実施し、この検証結果と評価とから、上記の変更の実施を許可または禁止する。

したがって、ユーザに特別な入力を要求することなく、制御エンジンが実行する第１のユーザプログラムおよび第１の設定情報の変更の禁止または許可を制御できる。その結果、ユーザの負担を軽減しつつ、制御プログラムまたは設定情報が不適切に改ざんされることによるインシデント発生を回避できて、制御装置のセキュリティを担保できる。

上述の開示において、評価部は、第２の設定情報が対象の制御に関する制約条件を満たすかを検査する検査部を有する。

上述の開示によれば、第２の設定情報が示す設定の妥当性の評価を、第２の設定情報が対象の制御に関する制約条件を満たすかを検査することで実現できる。

上述の開示において、制御装置は、さらに、対象が備えられる製造ラインの段取り替えの時期を含む生産計画情報が示す時間情報に基づき、上記の変更の実施を許可または禁止する。

上述の開示によれば、制御プログラムまたは設定情報が、生産計画情報とは全く無関係に改ざんされることによるインシデントの発生を防止できる。

上述の開示において、プログラム検証部は、第１のユーザプログラムおよび第２のユーザプログラムそれぞれから、当該プログラムの同一性を検証するプログラム検証コードを生成し、プログラム検証コードどうしの照合に基づき同一性を検証する。

上述の開示によれば、プログラムの検証を、各プログラム自体から生成できる検証コードを用いて実施できる。

上述の開示において、上記のプログラム検証コードは、第１のユーザプログラムおよび第２のユーザプログラムそれぞれから生成されるハッシュ値を含む。

上述の開示によれば、検証コードとして、ハッシュ値を用いることができる。
上述の開示において、変更部によって変更が実施されたとき、第２のユーザプログラムから生成されたハッシュ値を、変更後の第１のユーザプログラムのハッシュ値として保存する。

上述の開示によれば、検証のために第２のユーザプログラムから生成されたハッシュ値を、変更部によって変更がなされたときは、変更後の第１のユーザプログラムのハッシュ値として保存できる。これにより、その後の検証においては、第１のユーザプログラムからハッシュ値を生成せずに、この保存されたハッシュ値を用いることができる。

上述の開示において、制御装置は、セキュリティエンジンを有するセキュリティユニットと、セキュリティユニットとは独立したユニットであって、制御エンジンを有する制御ユニットとを備える。

上述の開示によれば、セキュリティエンジンを、制御エンジンの制御ユニットとは独立したユニットとして提供することができる。

本開示の別の一例において、ネットワーク接続される上記の複数の制御装置を備える制御システムでは、複数の制御装置のうちの１つの制御装置が、他の制御装置についての上記のセキュリティエンジンの機能を備える。

本開示の別の一例によれば、ネットワーク接続された複数の制御装置のうちの１の制御装置は、全ての制御装置についての、上記に述べたセキュリティエンジンの機能を提供できる。

本開示の別の一例において、制御装置のセキュリティを管理する管理方法が提供される。制御装置は、対象の制御に関する第１のユーザプログラムと、制御に関する設定を示す第１の設定情報を格納する格納部と、対象の制御に関する第２のユーザプログラムと、制御に関する設定を示す第２の設定情報とを受付ける受付部と、第１の設定情報を用いて第１のユーザプログラムを実行する制御エンジンと、を備える。管理方法は、第１のユーザプログラムおよび第２のユーザプログラムについて、プログラムの同一性を満たすかを検証するステップと、第２の設定情報が示す設定の妥当性を評価するステップと、検証するステップにおける検証結果と評価するステップにおける評価に基づき、格納部の第１のユーザプログラムおよび第１の設定情報を、それぞれ、第２のユーザプログラムおよび第２の設定情報を用いて変更する変更処理を、制御装置に実施させるか否かを判定するステップと、を有する。

上述の開示によれば、制御エンジンが実行する格納部の第１のユーザプログラムおよび第１の設定情報を、それぞれ、受付けた第２のユーザプログラムおよび第２の設定情報を用いて変更する場合、第１のユーザプログラムおよび第２のユーザプログラムの同一性の検証と、第２の設定情報が示す設定の妥当性の評価を実施し、この検証結果と評価とから、上記の変更の実施を許可または禁止できる。

したがって、ユーザに特別な入力を要求することなく、制御エンジンが実行する第１のユーザプログラムおよび第１の設定情報の変更の禁止または許可を制御できる。その結果、ユーザの負担を軽減しつつ、制御プログラムまたは設定情報が不適切に改ざんされることによるインシデント発生を回避できて、制御装置のセキュリティを担保できる。

本開示の別の一例において、上記の管理方法を、コンピュータに実行させるプログラムが提供される。

この開示によっても、制御エンジンが実行する格納部の第１のユーザプログラムおよび第１の設定情報を、それぞれ、受付けた第２のユーザプログラムおよび第２の設定情報を用いて変更する場合、第１のユーザプログラムおよび第２のユーザプログラムの同一性の検証と、第２の設定情報が示す設定の妥当性の評価を実施し、この検証結果と評価とから、上記の変更の実施を許可または禁止できる。

したがって、ユーザに特別な入力を要求することなく、制御エンジンが実行する第１のユーザプログラムおよび第１の設定情報の変更の禁止または許可を制御できる。その結果、ユーザの負担を軽減しつつ、制御プログラムまたは設定情報が不適切に改ざんされることによるインシデント発生を回避して、制御装置のセキュリティを担保できる。

本開示によれば、ユーザの負担を軽減しつつ制御装置のセキュリティを担保できる。

実施の形態に係る制御装置１を適用した場面の一例を示す図である。 本実施の形態に係る制御装置１を含む制御システム１０の全体構成を示す模式図である。 本実施の形態に従う制御装置１を構成する制御ユニット１００のハードウェア構成例を示す模式図である。 本実施の形態に従う制御装置１を構成するセキュリティユニット２００のハードウェア構成例を示す模式図である。 本実施の形態に係るサポート装置５２０のハードウェア構成を概略的に示す図である。 本実施の形態に係る生産計画情報と機械制約情報との関係を説明する図である。 本実施の形態に係る制御プログラム１４０および機械制約情報５３のインストール処理の概略フローチャートである。 本実施の形態に係る制御プログラムの改ざんの態様を模式的に例示する図である。 本実施の形態に係る制御プログラムの改ざんの態様を模式的に例示する図である。 本実施の形態に係る制御プログラムの改ざんの態様を模式的に例示する図である。 本実施の形態に係る制御プログラムの改ざんの態様を模式的に例示する図である。 本実施の形態に係る制御プログラムの改ざんの態様を模式的に例示する図である。 本実施の形態に係る制御プログラムの改ざんの態様を模式的に例示する図である。

以下、図面を参照しつつ、本発明に従う各実施の形態について説明する。以下の説明では、同一の部品および構成要素には同一の符号を付してある。それらの名称および機能も同じである。したがって、これらについての詳細な説明は繰り返さない。

＜Ａ．適用例＞
まず、図１を参照して、本発明が適用される場面の一例について説明する。図１は、実施の形態に係る制御装置１を適用した場面の一例を示す図である。制御装置１は、格納されている制御プログラムを含むユーザプログラムを、制御パラメータを含む設定情報を用いて実行することにより、制御対象の一例である製造設備または生産設備のフィールド機器９０を制御する。

本実施の形態では、制御装置１は、ユーザ外部から受付けるユーザプログラムおよび設定情報を用いて、格納されているユーザプログラムおよび設定情報を変更することができる。製造現場の保守者は、ユーザプログラムの変更に整合するように、製造ラインに備えられる実機のフィールド機器９０の属性に基づく設定情報を仕様に従い変更し、変更後の設定情報を用いて制御装置１に格納されている設定情報を変更する。対照的に、保守者等の善意のユーザでない、悪意の者は実機のフィールド機器９０の属性または仕様を知りえないから、当該悪意の者からの設定情報は当該属性または仕様に反した情報となる。このような背景を踏まえて、制御装置１は、格納されているユーザプログラムが、悪意の改ざんまたは善意の改ざんのいずれのルートで実施されようとしているかを、ユーザプログラムとともに受付ける設定情報を評価して判定できる。

より具体的には、制御装置１は、格納されているユーザプログラムと外部から受付けたユーザプログラムとの間において、ユーザプログラムの同一性を検証するとともに、外部からユーザプログラムとともに受付けた設定情報を評価する。以下では、ユーザプログラムの同一性を、単に「プログラム同一性」と称する。

制御装置１は、上記のプログラム同一性の検証結果と評価に基づき、格納されているユーザプログラムを外部から受付けたユーザプログラムを用いて変更することを許可または禁止する、いわゆる許否の判定を実施する。これにより、制御装置１は、当該許否の判定を、識別データおよび暗号ルールなどをユーザに要求せずに実施できる。

図１を参照して、制御装置１は、制御プログラム１４０を各フィールド機器９０に対応の機械制約情報５３を用いて実行する制御エンジン１４２と、格納部２３６の情報を参照するセキュリティエンジン２３０と、一時的な格納領域である内部バッファ２３５を有する受付部２３１と、変更部２４０とを備える。格納部２３６は、後述する二次記憶装置２０８を含んで構成されて、二次記憶装置２０８に情報５０５と、ハッシュ値情報２０とを含む各種情報を格納する。情報５０５は、ＦＡの製造ラインを用いて生産されるワークの種類と生産数と生産時間（生産開始～終了までの時間）、段取り替えの時期などからなるスケジュールを含む生産計画情報５２と、各フィールド機器９０に対応の仕様情報５４とを含む。

機械制約情報５３は、ユーザプログラムの一例である制御プログラム１４０の制御パラメータなどを含み、制御に関する設定を示す設定情報の一例である。機械制約情報５３は、対応のフィールド機器９０の機械的な条件を示す。条件は、フィールド機器９０の属性に係る閾値（目標値）を用いた条件で示すことができる。例えばフィールド機器９０がサーボモータであれば制約条件は、フィールド機器９０の機械的属性に基づくモータの回転量（回転数、角度）が閾値を超えないことを示し、または、ＰＩＤ（Proportional-Integral-Differential）制御がなされる機器（ヒータなど）であればヒータ温度の目標値が閾値を超えないことを示す。なお、条件は、機械的属性に限定されず、摩擦係数、弾性などの物理的属性に基づいた条件であってもよい。ここでは、機械的条件を説明する。

仕様情報５４は、フィールド機器９０の機械的制約条件を示す。上記に述べた機械的属性に係る閾値は、仕様情報５４によって規定される機械的制約条件が示す上限値または下限値などのリミット値を超えないように設定される。

ハッシュ値情報２０は、制御エンジン１４２が実行するべき制御プログラム１４０のプログラムハッシュ値２０１と、制御エンジン１４２が制御プログラム１４０の実行時に用いる各機械制約情報５３の制約情報ハッシュ値２０３とを含む。制御プログラム１４０または各機械制約情報５３は、制御装置１において、実行可能な形式のバイナリデータで格納されるので、セキュリティエンジン２３０は、予め定められたアルゴリズムを用いて、これらバイナリデータから、ハッシュ値を算出することにより、ハッシュ値を生成する。なお、ハッシュ値生成用のアルゴリズムは、制御プログラム１４０と機械制約情報５３の間で共通してもよく、また、異なってもよい。

変更部２４０は、制御プログラム１４０およびフィールド機器９０に対応の機械制約情報５３を、それぞれを、受付部２３１が受付けた制御プログラム１４１および当該フィールド機器９０の機械制約情報５３１を用いて変更する変更処理を実施する。この変更処理は、制御プログラム１４０および機械制約情報５３を、それぞれ、受付部２３１が受付けた制御プログラム１４１および機械制約情報５３１を用いて書換える処理、または、制御プログラム１４０および機械制約情報５３を、それぞれ、受付部２３１が受付けた制御プログラム１４１および機械制約情報５３１でリプレースするなどの更新処理を含み得る。

制御エンジン１４２は、機械制約情報５３を、例えば制御パラメータとして用いて、制御プログラム１４０を実行する。これにより、制御エンジン１４２は、変更前または変更後の制御プログラム１４０を、各フィールド機器９０に対応の変更前または変更後の機械制約情報５３を用いて実行し、実行結果に従い、当該フィールド機器９０を制御する。

本実施の形態では、セキュリティエンジン２３０は、制御エンジン１４２が実行する制御プログラム１４０と、当該制御に用いられる１つ以上の機械制約情報５３とのセキュリティを管理することで、制御に係るインシデントの発生を防止する。

より具体的には、セキュリティエンジン２３０は、制御プログラム１４０と受付けられる制御プログラム１４１との間のプログラム同一性を検証する検証部２３２と、制御プログラム１４１とともに受付けられた機械制約情報５３１の設定を制御に用いることが妥当であるかの妥当性を評価する評価部２３８と、プログラム同一性の検証結果と妥当性の評価の結果から、変更部２４０に上記の変更処理の実施を許可または禁止する変更制御部２３４とを有する。

検証部２３２は、制御プログラム１４１のプログラムハッシュ値２０１を、外部から受付けた制御プログラム１４１から生成されたハッシュ値と照合し、照合の結果から、プログラム同一性を検証する。

評価部２３８は、制約情報検証部２３９と、制約情報検査部２４２とを有する。制約情報検証部２３９は、格納されている制約情報ハッシュ値２０３を、外部から受付けた機械制約情報５３１から生成されたハッシュ値と照合し、照合の結果から、両者の同一性を検証する。制約情報検査部２４２は、受付けられた機械制約情報５３１が、対象の制御に関する制約条件を満たすかを検査する。より具体的には、制約情報検査部２４２は、機械制約情報５３１が示す条件に関する閾値を、仕様情報５４が示す制約条件のリミット値と比較し、比較の結果が、閾値は制約条件のリミット値を超えないことを示す場合、機械制約情報５３１において設定される閾値の条件は、仕様情報５４の制約条件を満たし、制御に用いる設定として妥当であると検出し、そうでないとき妥当でないと検出する。評価部２３８は、制約情報検証部２３９によって両者のハッシュ値が一致して機械制約情報の同一性が検証されたとき、または、制約情報検査部２４２によって機械制約情報５３１が妥当であることが検出されたとき、機械制約情報５３１が適切であることを出力する。

変更制御部２３４は、検証部２３２のプログラム同一性の検証結果と、評価部２３８の評価結果とに基づき、変更処理の実施の許否を判定する。

より具体的には、（ｉ）プログラムの同一性があり、制約情報検証部２３９によって機械制約情報の同一性が検出されたとき、変更制御部２３４は、変更部２４０に変更処理の許可指令を出力し、（ｉｉ）プログラムの同一性はないが、制約情報検査部２４２によって機械制約情報５３１が妥当であることが検出されたとき、変更部２４０に変更処理の許可指令を出力し、（ｉｉｉ）プログラムの同一性はなく、制約情報検査部２４２によって機械制約情報５３１が妥当であることが検出されないとき、変更部２４０に変更処理の禁止指令を出力する。

また、本実施の形態では、「改ざん」は善意の改ざんと、悪意の改ざんとを含み得る。悪意の改ざんを判定するために、制御装置１は生産計画情報５２を用いる。通常、現場の製造ラインでは、生産計画情報５２で示されるスケジュールの時間情報が示す時期に従って、ワークの種類または生産量が変更、製造ラインの段取り替え等が行われ、その結果、製造ラインに備えられるフィールド機器９０の機種等が変更される。フィールド機器９０の機種が変更されると、当該変更に伴い制御プログラム１４０または当該フィールド機器９０の機械制約情報５３の変更が必要となる。悪意の者は、このスケジュールを知りえない。したがって、制御装置１は、受付部２３１から制御プログラム１４１または機械制約情報５３１を受付けたとき、受付けた時期を生産計画情報５２で示されるスケジュールと照合する。照合の結果が、受付けた時期がスケジュールに反することを示す場合、悪意の改ざんの可能性があると判定できる。

本実施の形態では、「スケジュールに反する」とは、例えば、制御プログラム１４１または機械制約情報５３１を受付けた時期が、生産計画情報５２が示す日程に一致しないケースを示す。また、当該時期が、生産計画情報５２が示す日程に合致するケースは、「スケジュールに整合する」と呼ぶ。

なお、本実施の形態では、制御プログラム１４１または機械制約情報５３の同一性の検証コードとして、予め定められたアルゴリズムに従って生成されるハッシュ値を用いたが、これに限定されない。このような検証コードとしては、例えばチェックサム値であってもよい。

＜Ｂ．制御システム＞
図２は、本実施の形態に係る制御装置１を含む制御システム１０の全体構成を示す模式図である。図２を参照して、制御システム１０は、ネットワーク２に接続される１つ以上の制御装置１を備える。制御システム１０は、例えば、ワークの搬送工程、搬送されたワークの組立工程、組立てられたワークの塗装工程、ワークの検査工程などを含む複数の工程を有する製造ラインに適用される。制御システム１０は、各工程について制御装置１を備える分散制御システムを構成する。各工程の制御装置１は、ネットワーク２に接続されて、互いにデータを遣り取りする。ネットワーク２は、たとえば、ＥｔｈｅｒＮｅｔ／ＩＰ（登録商標）または、ベンダやＯＳ（Operating System）の種類などに依存することなくデータ交換を実現することができるＯＰＣ ＵＡ（Object Linking and Embedding for Process Control Unified Architecture）などの通信規格に従ったネットワークである。

制御装置１は、制御対象を制御する。制御対象は、生産工程を自動化するための種々の産業用機器を含み、製造装置や製造ラインなど（以下、「フィールド」とも総称する。）に対して何らかの物理的な作用を与える装置と、フィールドとの間で情報を遣り取りする入出力装置とを含む。

制御装置１は、ネットワーク２に接続される中継機器３を介して、他の情報処理装置と通信する。他の情報処理装置は、例えば、製造実行システムのＭＥＳ（Manufacturing Execution System）５００と、クラウドベースのＷｅｂサーバ５１０と、サポート装置５２０と、ＨＭＩ装置５３０とを含む。ＭＥＳ５００は、製造ラインの集中的に監視および管理する。ＭＥＳ５００は、製造ラインの段取り替えのスケジュール、生産するべきワークの種類および数量の変更のスケジュールなどを管理する。ＭＥＳ５００は、ストレージ５０１において、これらスケジュールに連動した生産計画情報５２および仕様情報５４などを格納する。ＨＭＩ（Human Machine Interface）５３０は、制御装置１での制御プログラム１４０に従う制御演算によって得られる各種情報をオペレータへ提示するとともに、オペレータからの操作に従って、制御装置１に対して内部コマンドなどを生成するＨＭＩ（Human Machine Interface）を含み得る。サポート装置５２０は、製造ラインの各制御装置１とインタラクティブに対話するためのＵＩ（User Interface）ツール、制御プログラム１４０などのユーザプログラムを開発するＵＩツール、生産計画情報５２またはフィールド機器９０の機械制約情報５３を作成するＵＩツールなどを提供する。サポート装置５２０は、中継機器３に直接通信することもでき、また、クラウド環境を経由して中継機器３と通信する。また、サポート装置５２０およびＨＭＩ装置５３０は、ネットワーク２に接続されてもよい。Ｗｅｂサーバ５１０は、制御システム１０で収集されて転送されるデータをＤＢ（Data Base）５１１に格納して管理する。各制御装置１の格納部２３６は、ＭＥＳ５００から転送される生産計画情報５２を格納し、また、ＭＥＳ５００またはサポート装置５２０またはＨＭＩ装置５３０から転送される制御プログラム１４１またはフィールド機器９０の機械制約情報５３１を格納する。

制御装置１は、１つ以上のデバイスを含む。図２に示す例では、制御装置１は、制御ユニット１００と、セキュリティユニット２００と、Ｉ／Ｏ（Input/Output）ユニット３００とから構成される。なお、制御装置１は電源ユニットを含んでもよい。

制御ユニット１００は、制御装置１を構成する制御デバイスの一例であって、制御対象を制御するための制御プログラム１４０などのユーザプログラムを実行し、制御装置１において中心的な処理を実行する。制御ユニット１００は、図１に示す制御エンジン１４２を構成する。

セキュリティユニット２００は、制御装置１を構成するセキュリティデバイスの一例であって、図１に示すセキュリティエンジン２３０を構成する。セキュリティユニット２００には、ポータブル型で構成され得るサポート装置５２０を脱着自在に接続され得る。

制御ユニット１００はセキュリティユニット２００に、たとえば、任意のデータ伝送路（例えば、ＰＣＩ ＥｘｐｒｅｓｓあるいはＥｔｈｅｒＮｅｔ／ＩＰ（登録商標）など）を介して接続されている。

Ｉ／Ｏユニット３００は、制御装置１を構成するデバイスの一例であって、一般的な入出力処理に関するユニットである。Ｉ／Ｏユニット３００は、各種センサ、各種スイッチ、エンコーダなどを含むＩＯデバイスから検出値を収集する。

制御ユニット１００はＩ／Ｏユニット３００に、内部バスを介して通信可能に接続されている。制御ユニット１００は、Ｉ／Ｏユニット３００により収集された検出値を用いて制御プログラムの演算を実行し、演算結果の値をＩ／Ｏユニット３００に出力する。

制御ユニット１００は、フィールドネットワーク１１を介して、複数のフィールド機器９０と通信する。制御ユニット１００は、フィールドネットワーク１１を介して、フィールド機器９０から状態値を収集し、収集した状態値に基づき制御プログラム１４０を実行し、実行結果としての制御指令を、フィールドネットワーク１１を介してフィールド機器９０に出力する。フィールド機器９０は、制御指令に従って、自機器の状態値を変更させる。

フィールドネットワーク１１としては、典型的には、各種の産業用イーサネット（登録商標）を用いることができる。産業用イーサネット（登録商標）としては、例えば、ＥｔｈｅｒＣＡＴ（登録商標）が採用してもよい。さらに、産業用イーサネット（登録商標）以外のフィールドネットワークを用いてもよい。

なお、制御装置１を構成するデバイスは、図２に示したデバイスに限られない。制御装置１を構成するデバイスは、Ｉ／Ｏユニット３００ではサポートしない機能を有する特殊ユニット、設備や機械などによって人の安全が脅かされることを防止するためのセーフティ機能を提供するセーフティユニットなどを含み得る。

制御装置１は、ＰＬＣまたは産業用のコンピュータ（所謂ＩＰＣ：Industrial Personal Computer）として構成されてもよい。

＜Ｃ．制御装置１の構成＞
本実施の形態に従う制御装置１を構成する主なデバイスのハードウェア構成例について説明する。

（ｃ１．制御ユニット）
図３は、本実施の形態に従う制御装置１を構成する制御ユニット１００のハードウェア構成例を示す模式図である。図３を参照して、制御ユニット１００は、主たるコンポーネントとして、ＣＰＵ（Central Processing Unit）やＧＰＵ（Graphical Processing Unit）などのプロセッサ１０２と、チップセット１０４と、主記憶装置１０６と、二次記憶装置１０８と、通信コントローラ１１０と、ＵＳＢ（Universal Serial Bus）コントローラ１１２と、メモリカードインターフェイス１１４と、フィールドネットワークコントローラ１１６と、内部バスコントローラ１１８と、ネットワークコントローラ１２０とを含む。

プロセッサ１０２は、二次記憶装置１０８またはメモリカード１１５に格納された制御プログラム１４０を含むユーザプログラムを読み出して、主記憶装置１０６に展開して実行することで、制御対象を制御するための制御演算処理を実現する。

主記憶装置１０６は、ＤＲＡＭ（Dynamic Random Access Memory)またはＳＲＡＭ（Static Random Access Memory)などの揮発性記憶装置などで構成される。二次記憶装置１０８は、例えば、ＨＤＤ（Hard Disc Drive）またはＳＳＤ（Solid State Drive）などの不揮発性記憶装置などで構成される。

チップセット１０４は、プロセッサ１０２と各コンポーネントとの間のデータの遣り取りを仲介することで、制御ユニット１００全体としての処理を実現する。

二次記憶装置１０８には、制御ユニット１００の基本的な機能を実現するためのリアルタイムＯＳ（Operating System）１３０およびインストールプログラム１３５を有するシステムプログラム１０８２に加えて、設備や機械などの制御対象に応じて作成される制御プログラム１４０と、上記に述べた制御指令および状態値を各フィールド機器９０との間で遣り取りするためのリフレッシュプログラム４０と、制御対象の各フィールド機器９０に対応の機械制約情報５３とが格納されている。制御ユニット１００は、制御プログラム１４０およびリフレッシュプログラム４０を予め定められた周期（例えば制御周期）で繰り返し実行することにより、フィールド機器９０を周期的に制御する。制御プログラム１４０は、リアルタイムＯＳ１３０で実行される任意の制御プログラムで構成され得る。制御プログラム１４０は、リアルタイムＯＳ１３０がインタプリタの機能を提供する場合には、ソースコードまたは中間コードの形で格納されていてもよいし、あるいは、オブジェクト形式などの実行可能な状態で格納されていてもよい。なお、リフレッシュプログラム４０は、制御プログラム１４０とともにユーザプログラムを構成し得るが、本実施の形態では、説明を簡単にするために、リフレッシュプログラム４０は、セキュリティユニット２００による改ざんの検査対象に含まれない。システムプログラム１０８２は、リアルタイムＯＳ１３０のもとで制御プログラム１４０を実行する制御エンジン１４２としての機能を提供する。

通信コントローラ１１０は、他のユニットとの間のデータの遣り取りを担当する。通信コントローラ１１０としては、例えば、ＰＣＩ Ｅｘｐｒｅｓｓあるいはイーサネット（登録商標）などに対応する通信チップを採用できる。セキュリティエンジン２３０を実現するセキュリティユニット２００が制御装置１に外付けされる場合、上記の他のユニットは、外付けされるセキュリティユニット２００を含む。

ＵＳＢコントローラ１１２は、ＵＳＢ接続を介して任意の情報処理装置との間のデータの遣り取りを担当する。任意の情報処理装置は、たとえば、制御プログラム１４０の作成または編集、デバッグ、各種パラメータの設定などの機能をユーザに提供するサポート装置５２０またはＨＭＩ装置５３０などを含む。

メモリカードインターフェイス１１４は、記憶媒体の一例であるメモリカード１１５が脱着自在に構成される。メモリカードインターフェイス１１４は、メモリカード１１５に対して制御プログラム１４０や各種設定などのデータを書込み、あるいは、メモリカード１１５から制御プログラム１４０や各種設定などのデータを読出すことが可能になっている。

フィールドネットワークコントローラ１１６は、フィールドネットワーク１１を介したフィールド機器９０を含む他の装置との間のデータの遣り取りを制御する。

内部バスコントローラ１１８は、内部バスを介した他の装置（Ｉ／Ｏユニット３００など）との間のデータの遣り取りを制御する。内部バスには、メーカ固有の通信プロトコルを用いてもよいし、いずれかの産業用ネットワークプロトコルと同一あるいは準拠した通信プロトコルを用いてもよい。

ネットワークコントローラ１２０は、ネットワーク２を介した他の制御装置１または中継機器３との間のデータの遣り取りを制御する。

図３には、プロセッサ１０２がプログラムを実行することで必要な機能が提供される構成例を示したが、これらの提供される機能の一部または全部を、専用のハードウェア回路（例えば、ＡＳＩＣ（Application Specific Integrated Circuit）、またはＦＰＧＡ（Field-Programmable Gate Array）を用いて実装してもよい。あるいは、制御ユニット１００の主要部を、汎用的なアーキテクチャに従うハードウェア（例えば、汎用パソコンをベースとした産業用パソコン）を用いて実現してもよい。この場合には、マルチコア技術を適用して処理を並列に実行してもよい。または、仮想化技術を用いて、用途の異なる複数のＯＳを並列的に実行させるとともに、各ＯＳ上で必要なアプリケーションを実行させるようにしてもよい。

（ｃ２．セキュリティユニット）
図４は、本実施の形態に従う制御装置１を構成するセキュリティユニット２００のハードウェア構成例を示す模式図である。図４を参照して、セキュリティユニット２００は、主たるコンポーネントとして、ＣＰＵやＧＰＵなどのプロセッサ２０２と、チップセット２０４と、主記憶装置２０６と、二次記憶装置２０８と、通信コントローラ２１０と、ＵＳＢコントローラ２１２と、メモリカードインターフェイス２１４と、ネットワークコントローラ２２０とを含む。

プロセッサ２０２は、二次記憶装置２０８またはメモリカード２１５に格納された各種プログラムを読み出して、主記憶装置２０６に展開して実行することで、制御装置１に関するセキュリティ機能を実現する。主記憶装置２０６は、ＤＲＡＭまたはＳＲＡＭなどの揮発性記憶装置などで構成される。二次記憶装置２０８は、例えば、ＨＤＤまたはＳＳＤなどの不揮発性記憶装置などで構成される。

チップセット２０４は、プロセッサ２０２と各コンポーネントとの間のデータの遣り取りを仲介することで、セキュリティユニット２００全体としての処理を実現する。

二次記憶装置２０８には、セキュリティユニット２００の基本的な機能を実現するためのＯＳ等のシステムプログラム２０８２に加えて、ハッシュ値情報と、管理情報３０が格納されている。

システムプログラム２０８２には、ハッシュ値生成プログラム２５０を有するセキュリティプログラム２４３が組み込まれている。セキュリティプログラム２４３は、制御装置１に関するセキュリティを管理するプログラムであり、セキュリティエンジン２３０によって実行される。ハッシュ値生成プログラム２５０は、制御プログラム１４０のプログラムハッシュ値２０１と各機械制約情報５３に対応の制約情報ハッシュ値２０３を、予め定められたアルゴリズムに従い生成する。セキュリティユニット２００では、ＯＳがセキュリティプログラム２４３を実行するセキュリティエンジン２３０の機能を提供する。

管理情報３０は、ＭＥＳ５００から転送される生産計画情報５２および各フィールド機器９０についての仕様情報５４を有する。

通信コントローラ２１０は、セキュリティユニット２００と制御ユニット１００との間のデータの遣り取りを担当する。通信コントローラ２１０としては、制御ユニット１００に通信コントローラ２１０と同様に、例えば、ＰＣＩ Ｅｘｐｒｅｓｓあるいはイーサネット（登録商標）などに対応する通信チップを採用できる。

ＵＳＢコントローラ２１２は、ＵＳＢ接続を介して任意の情報処理装置との間のデータの遣り取りを担当する。任意の情報処理装置は、たとえば、サポート装置５２０またはＨＭＩ装置５３０を含む。サポート装置５２０またはＨＭＩ装置５３０は、セキュリティプログラム２４３の設定などの機能をユーザに提供する。

メモリカードインターフェイス２１４は、記憶媒体の一例であるメモリカード２１５を脱着可能に構成される。メモリカードインターフェイス２１４は、メモリカード２１５に対してプログラムや各種設定などのデータを書込み、あるいは、メモリカード２１５からプログラムや各種設定などのデータを読出すことが可能になっている。

ネットワークコントローラ２２０は、ネットワーク２を介した他の制御装置１を含む各種装置との間のデータの遣り取りを制御する。ネットワークコントローラ２２０は、イーサネット（登録商標）などの汎用的なネットワークプロトコルを採用してもよい。

図４には、プロセッサ２０２がプログラムを実行することで必要な機能が提供される構成例を示したが、これらの提供される機能の一部または全部を、専用のハードウェア回路（例えば、ＡＳＩＣまたはＦＰＧＡなど）を用いて実装してもよい。あるいは、セキュリティユニット２００の主要部を、汎用的なアーキテクチャに従うハードウェア（例えば、汎用パソコンをベースとした産業用パソコン）を用いて実現してもよい。この場合には、プロセッサ２０２はマルチコアで構成されて、アプリケーションを並列に実行してもよい。または、セキュリティユニット２００は、仮想化技術を用いて、用途の異なる複数のＯＳを並列的に実行させるとともに、各ＯＳ上で必要なアプリケーションを実行させるようにしてもよい。

なお、図３および図４において、制御装置１は、ネットワーク２へ、制御ユニット１００のネットワークコントローラ１２０を介して接続されていてもよく、また、セキュリティユニット２００のネットワークコントローラ２２０を介して接続されていてもよい。本実施の形態において、制御装置１は、セキュリティユニット２００のネットワークコントローラ２２０を介して接続されているものとして説明する。

＜Ｄ．サポート装置５２０の構成＞
図５は、本実施の形態に係るサポート装置５２０のハードウェア構成を概略的に示す図である。図５を参照して、サポート装置５２０は、ＣＰＵ５２１、ＲＯＭ（Read Only Memory）５２２、ＲＡＭ（Random Access Memory）５２３、各種のプログラムおよびデータを不揮発的に格納するためのフラッシュＲＯＭ５２４、時計５２５、ユーザの操作を受付けるための操作キー５２６、データリーダ/ライタ５２７、タッチスクリーン５２８および通信インターフェイス５２９を備える。なお、これらの各部は、内部バスを介して互いに接続される。

タッチスクリーン５２８は、ディスプレイ５２８１およびオペレータの入力を受付けるためのタッチパネル５２８２を含む。通信インターフェイス５２９は、サポート装置５２０と中継機器３またはＵＳＢコントローラ１２２との通信を制御する。データリーダ／ライタ５２７は、ＣＰＵ５２１と外部の記憶媒体であるメモリカード５２７１との間のデータ伝送を仲介する。ＨＭＩ装置５３０も、サポート装置５２０と同様の構成を備える。

＜Ｅ．設定情報の転送＞
図６は、本実施の形態に係る生産計画情報と機械制約情報との関係を説明する図である。本実施の形態では、ＭＥＳ５００は、ストレージ５１１において、生産計画情報５２と、各フィールド機器９０の仕様情報５４とを格納する。ＭＥＳ５００は、生産計画情報５２と仕様情報５４を制御装置１のセキュリティユニット２００に転送する。制御装置１は、制御プログラム１４０を、各フィールド機器９０の機械制約情報５３を用いて実行することにより、これらフィールド機器９０を制御する。図６では、各フィールド機器９０について、機械制約情報（１）、機械制約情報（２）、機械制約情報（３）が示されている。

これら機械制約情報５３および制御プログラム１４０は、例えば、ＨＭＩ装置５３０またはサポート装置５２０においてユーザ操作により生成されて、ネットワーク２を介して制御装置１に転送されて、受付部２３１は、転送される機械制約情報５３および制御プログラム１４０を受付ける。なお、外部装置から、機械制約情報５３および制御プログラム１４０を制御装置１に転送するルートは、ネットワーク２を経由するルートに限定されない。例えば、ＵＳＢコントローラ１１２を経由するルート、または、メモリカード１１５，２１５からメモリカードインターフェイス１１４,２１４を経由するルートであってもよい。

＜Ｆ．処理の概略＞
制御装置１に、制御プログラム１４０および機械制約情報５３をインストールする処理を説明する。図７は、本実施の形態に係る制御プログラム１４０および機械制約情報５３のインストール処理の概略フローチャートである。図７では、ＨＭＩ装置５３０から制御プログラム１４１および各フィールド機器９０に対応の機械制約情報５３１が制御装置１に転送されて、インストールプログラム１３５が実行されて、転送された制御プログラム１４１および機械制約情報５３１が制御装置１にインストールされるシーンを例示して説明する。なお、本実施の形態に係るインストールでは、受付部２３１が、外部装置から転送された制御プログラム１４１および各フィールド機器９０の機械制約情報５３１を受付けて、格納部２３６は、受付けられた制御プログラム１４１および機械制約情報５３１を実行可能な形式に変換して二次記憶装置１０８の予め定められた領域に格納する。インストールプログラム１３５が実行されることにより、格納部２３６および変更部２４０が実現される。

図７を参照して、セキュリティユニット２００のプロセッサ２０２は、受付部２３１として、ＨＭＩ装置５３０から転送された、制御プログラム１４１および各フィールド機器９０の機械制約情報５３１を受付けて、内部バッファ２３５に一時的に格納する（ステップＳ３）。

プロセッサ２０２は、設定されたパラメータに基づき、制御装置１にセキュリティエンジン２３０の利用が設定されているかを判定する（ステップＳ５）。利用が設定されていないと判定されると（ステップＳ５でＮＯ）、格納部２３６は、内部バッファ２３５に格納されている制御プログラム１４１および各フィールド機器９０の機械制約情報５３１を読出し、二次記憶装置１０８に格納する（ステップＳ１７）。これにより、二次記憶装置１０８には、制御プログラム１４１および各フィールド機器９０の機械制約情報５３１が、それぞれ、制御プログラム１４０および各フィールド機器９０の機械制約情報５３として、実行可能な形式で格納される。また、このとき、プロセッサ２０２は、格納された制御プログラム１４０のプログラムハッシュ値２０１と各機械制約情報５３の制約情報ハッシュ値２０３とを生成し、二次記憶装置２０８に格納する。

プロセッサ２０２は、制御装置１にセキュリティエンジン２３０の利用が設定されていると判定すると（ステップＳ５でＹＥＳ）、プロセッサ２０２は、セキュリティエンジン２３０を起動する。

セキュリティエンジン２３０が起動されると、プロセッサ２０２は、検証部２３２として、内部バッファ２３５に格納されている制御プログラム１４１および各機械制約情報５３１を実行可能形式に変換し、変換後の制御プログラム１４１および各機械制約情報５３１について、それぞれ、プログラムハッシュ値と制約情報ハッシュ値とを生成する（ステップＳ７）。プロセッサ２０２は、生成されたハッシュ値と、二次記憶装置２０８に格納されているハッシュ値とを比較する（ステップＳ９）。

より具体的には、プロセッサ２０２は、検証部２３２として、上記の生成されたプログラムハッシュ値を格納されているプログラムハッシュ値２０１と照合し、照合結果に基づき両者は一致するかを判定する（ステップＳ１１）。両者は一致すると判定されると（ステップＳ１１でＹＥＳ）、プロセッサ２０２は、制約情報検証部２３９として、各フィールド機器９０に対応の機械制約情報５３１から生成された制約情報ハッシュ値を、格納されている当該フィールド機器９０の機械制約情報５３の制約情報ハッシュ値２０３と照合し、照合の結果に基づき、両者は一致するかを判定する（ステップＳ１３）。両者は一致すると判定されると（ステップＳ１３でＹＥＳ）、プロセッサ２０２は、制御プログラム１４０および機械制約情報５３の変更がない旨の通知をユーザに出力する（ステップＳ１５）。なお、このとき、プロセッサ１０２は、変更制御部２３４として、検証部２３２の出力と制約情報検証部２３９の出力とに基づき、変更処理の実施を許可する許可指令を出力して、変更部２４０に変更処理を実施させてもよい。

一方、上記の生成されたプログラムハッシュ値はプログラムハッシュ値２０１と一致しないと判定されると（ステップＳ１１でＮＯ）、プロセッサ２０２は、制御プログラム１４０を変更する旨の通知をユーザに出力し（ステップＳ２０）、ステップＳ２１に移行する。また、いずれかのフィールド機器９０の機械制約情報５３１について、上記の生成された制約情報ハッシュ値は格納されている制約情報ハッシュ値２０３と一致しないと判定されると（ステップＳ１３でＮＯ）、プロセッサ２０２は、機械制約情報５３を変更する旨の通知をユーザに出力し（ステップＳ１９）、ステップＳ２１に移行する。これら通知は、例えばＨＭＩ装置５３０，サポート装置５２０を介してディスプレイなどに出力される。ユーザは、制御プログラム１４０または機械制約情報５３の変更を実施するか否かの指示を、ＨＭＩ装置５３０，サポート装置５２０を操作して入力すると、ＨＭＩ装置５３０，サポート装置５２０は、ユーザ操作に基づく指示を制御装置１に転送する。

プロセッサ２０２は、ＨＭＩ装置５３０，サポート装置５２０からのユーザ指示に基づき、制御プログラム１４０または機械制約情報５３の変更実施が許可（ＯＫ）されたか否（ＮＧ）かを判定する（ステップＳ２１）。変更はＮＧと入力された場合（ステップＳ２１で“ＮＧ”）、処理は終了するが、変更はＯＫと入力された場合（ステップＳ２１で“ＯＫ”）、ステップＳ２３に移行する。

プロセッサ２０２は、二次記憶装置２０８に生産計画情報５２と各フィールド機器９０の機械制約情報５３が格納されているかを判定する（ステップＳ２３）。これら情報は格納されていないと判定されると（ステップＳ２３でＮＯ）、ステップＳ２９に移行する。一方、これら情報は格納されていると判定されると（ステップＳ２３でＹＥＳ）、プロセッサ２０２は、インストールする時期は生産計画情報５２のスケジュールに反しないか、または、インストールされるべき情報は仕様情報５４の制約条件を満たすかを判定する（ステップＳ２５）。

より具体的には、プロセッサ２０２は、今回のインストールの時期を生産計画情報５２のスケジュールと照合し、照合の結果に基づき、インストール時期がスケジュールに整合するか否かを判定する（ステップＳ２５）。インストール時期はスケジュールに反すると判定されると（ステップＳ２５でＮＯ）、プロセッサ２０２は、ＨＭＩ装置５３０，サポート装置５２０に、制御プログラム１４０の変更がスケジュールに反して実施されようとしている旨の違反情報を転送し、ＨＭＩ装置５３０，サポート装置５２０を介してユーザに提示（出力）する（ステップＳ２７）。または、プロセッサ２０２は、制約情報検査部２４２として、各機械制約情報５３１の閾値などの条件を仕様情報５４の制約条件と照合し、照合の結果に基づき、閾値などの条件が仕様の制約条件反していないかを判定する（ステップＳ２５）。例えば、機械制約情報５３１の閾値が、仕様情報５４の制約条件のリミット値を超えていないかを判定する。

条件の閾値がリミット値を超えているために、機械制約情報５３１は仕様情報５４の制約条件に反していると判定されると（ステップＳ２５でＮＯ）、プロセッサ２０２は、ＨＭＩ装置５３０，サポート装置５２０に、制御プログラム１４０の変更が仕様に反して実施されようとしている旨の違反情報を転送し、ＨＭＩ装置５３０，サポート装置５２０を介してユーザに提示（出力）する（ステップＳ２７）。

一方、インストール時期は生産計画情報５２のスケジュールに整合する、および、機械制約情報５３１の制約条件は仕様情報５４に整合していると判定されると（ステップＳ２５でＹＥＳ）、プロセッサ２０２は、変更制御部２３４として、変更許可指令を、変更部２４０に出力する。

プロセッサ２０２は、変更許可指令に従い、ステップＳ７で既に算出されていた制御プログラム１４１のハッシュ値と各機械制約情報５３１のハッシュ値とを用いて、二次記憶装置２０８にプログラムハッシュ値２０１および各制約情報ハッシュ値２０３を変更する（書換える）。これにより、制御プログラム１４１のハッシュ値と各機械制約情報５３１のハッシュ値は二次記憶装置２０８に、ハッシュ値情報２０として格納される（ステップＳ２９）。

また、プロセッサ１０２は、変更許可指令に従い、変更部２４０として、制御プログラム１４１および各フィールド機器９０の機械制約情報５３１を用いて、二次記憶装置１０８の制御プログラム１４０および各機械制約情報５３について変更処理を実施する（ステップＳ３１）。

これにより、制御装置１が、インストール時に、外部から改ざんされた制御プログラム１４１（プログラムハッシュ値が一致しない制御プログラム１４１）を受付けた場合、セキュリティユニット２００は、制御プログラム１４１とともに受付けた機械制約情報５３１を仕様情報５４に基づき検査し、当該検査の結果から、フィールド機器９０の機械制約情報５３１が示す閾値などの条件の設定が当該フィールド機器９０の制御について妥当かを評価する。妥当と評価されたとき、セキュリティユニット２００は、制御プログラム１４１と機械制約情報５３１を、制御プログラム１４０および機械制約情報５３としてインストールすることを、制御装置１に許可する。

＜Ｇ．改ざんの態様＞
図８～図１３は、本実施の形態に係る制御プログラムの改ざんの態様を模式的に例示する図である。改ざんは、上記に述べた変更処理が実施されることを示し、例えばインスト－ルを含む。また、改ざんは、善意の者による改ざんと悪意に者による改ざんとを含む。

図８は、保守者が、会社または自宅においてサポート装置５２０をＵＩツールを操作することにより、当該サポート装置５２０から、クラウド、中継機器３およびネットワーク２を経由して、制御装置１の制御プログラム１４０を改ざんするケースを示す。対照的に、図９と図１０は、工場内にいる保守者が、制御装置１の制御プログラム１４０を改ざんするケースを示し、制御装置１にＵＳＢ接続されるサポート装置５２０を操作して（図９参照）、または制御プログラムを格納したメモリカード２１５を制御装置１に装着して（図１０参照）、制御装置１の制御プログラム１４０を改ざんするケースを示す。

図１１と図１２は、段取り替え時の製造ラインの調整に伴うフィールド機器９０の交換により、機械制約情報５３の変更処理を実施するケースを示す。保守者は、サポート装置５２０を操作して、交換後のフィールド機器９０について機械制約情報５３１を作成しインストールするとき、図１１は、セキュリティエンジン２３０が当該機械制約情報５３１は仕様情報５４の制約条件（リミット値などの条件）を満たすと判定する場合を示す。対照的に、図１２は、保守者の設定ミスに起因して、セキュリティエンジン２３０が当該機械制約情報５３１は仕様情報５４の制約条件を満たさないと判定する場合を示す。

図１３は、悪意の者が、製造ラインの破壊目的に制御プログラム１４０とともに機械制約情報５３１をインストールしようとするケースを示す。このケースでは、悪意の者は、機械制約情報５３１の条件が示す閾値に異常値、すなわち仕様情報５４の制約条件が示すリミット値を超える値を設定する。セキュリティエンジン２３０は、当該機械制約情報５３１は仕様情報５４の制約条件を満たさないと判定し、変更処理の実施を禁止する禁止指令を、変更部２４０に出力する。

また、図１１のケースでは、変更処理を実施後に、制御装置１はインストール後の機械制約情報５３１を用いた制御プログラム１４０を実行するように起動されるが、図１２と図１３のケースでは、機械制約情報５３の条件の閾値に異常値が設定されていることが検出されて、変更処理の実施が禁止され、制御装置１は起動されない。

＜Ｈ．変形例＞
上記の実施の形態では、以下の変形例を適用することができる。

（ｈ１．変形例１）
図２の制御システム１０では、複数の制御装置１のうちの１台の制御装置１が、他の制御装置１についてのセキュリティエンジン２３０の機能を担うようにしてもよい。この場合、１台の制御装置１は、他の制御装置１について、制御プログラム１４０と機械制約情報５３のそれぞれについてハッシュ値情報に基づく検証と、機械制約情報５３の検査とを実施し、検証と検査の結果に基づき、他の制御装置１に変更処理の実施の許可または禁止の指令を転送する。

（ｈ２．変形例２）
上記の実施の形態では、セキュリティエンジン２３０は、制御ユニット１００とは独立したユニットであるセキュリティユニット２００に設けられるよう構成されたが、この構成に限定されない。例えば、セキュリティエンジン２３０は、制御ユニット１００に内蔵される構成であってもよい。この場合、制御ユニット１００において、セキュリティエンジン２３０と制御エンジン１４２の両方がサポートされる。

（ｈ３．変形例３）
上記の実施の形態では、セキュリティエンジン２３０を、制御プログラム１４１のインストール時に起動したが、セキュリティエンジン２３０を起動するタイミングは、制御プログラム１４１のダウンロード時であってもよい。または、制御装置１が起動するタイミングでセキュリティエンジン２３０が起動されてもよい。

＜Ｉ．プログラム＞
セキュリティユニット２００のプロセッサ２０２は、二次記憶装置２０８のプログラムを実行することにより、上記に述べた制御プログラム１４０および機械制約情報５３の適切でない改ざんを検出して通知するセキュリティ機能を実現する。

セキュリティ機能は主にセキュリティプログラム２４３を実行することにより実現されるが、このようなプログラムおよびデータは、外部装置から二次記憶装置２０８にダウンロードされてもよい。より具体的には、メモリカード２１５から、メモリカードインターフェイス２１４を介してダウンロードされる、または、ネットワーク２に接続される外部装置からネットワークコントローラ２２０を介してダウンロードされる、またはサポート装置５２０またはＨＭＩ装置５３０からＵＳＢコントローラ２１２を介してダウンロードされるとしてもよい。メモリカード２１５は、コンピュータその他装置、機械等が記録されたプログラム等の情報を読み取り可能なように、当該プログラム等の情報を、電気的、磁気的、光学的、機械的または化学的作用によって蓄積する媒体である。

プログラムは、ＣＰＵ等の１つ以上のプロセッサ回路により、またはプロセッサ回路とＡＳＩＣ（Application Specific Integrated Circuit），ＦＰＧＡ（Field-Programmable Gate Array）等の回路との組合せにより実行され得る。

また、プログラムの少なくとも一部は、ＡＳＩＣ，ＦＰＧＡ等の回路により構成されてもよい。

＜Ｊ．付記＞
上記の実施の形態は以下のような技術思想を含む。
［構成１］
対象（９０）の制御に関する第１のユーザプログラム（１４０）と、前記制御に関する設定を示す第１の設定情報（５３）を格納する格納部（１０８）と、
前記対象の制御に関する第２のユーザプログラム（１４１）と、前記制御に関する設定を示す第２の設定情報（５３１）とを受付ける受付部（２３１）と、
前記格納部の前記第１のユーザプログラムおよび前記第１の設定情報を、それぞれ、前記第２のユーザプログラムおよび前記第２の設定情報を用いて変更する変更部（２４０）と、
前記第１の設定情報を用いて前記第１のユーザプログラムを実行する制御エンジン（１４２）と、
前記第１の設定情報と前記第１のユーザプログラムのセキュリティを管理するセキュリティエンジン（２３０）と、を備え、
前記セキュリティエンジンは、
前記第１のユーザプログラムおよび前記第２のユーザプログラムについて、プログラムの同一性を満たすかを検証するプログラム検証部（２３２）と、
前記第２の設定情報が示す前記設定の妥当性を評価する評価部（２３８）と、
前記プログラム検証部の検証結果と前記評価部の評価から、前記変更部に前記変更の実施を許可または禁止する変更制御部（２３４）と、を有する、制御装置（１）。
［構成２］
前記評価部は、
前記第２の設定情報が前記対象の制御に関する制約条件（５４）を満たすかを検査する検査部（２４２）を有する、構成１に記載の制御装置。
［構成３］
前記制御装置は、さらに、
前記対象が備えられる製造ラインの段取り換えの時期を含む生産計画情報（５２）が示す時間情報に基づき、前記変更の実施を許可または禁止する、構成１または２に記載の制御装置。
［構成４］
前記プログラム検証部は、
前記第１のユーザプログラムおよび前記第２のユーザプログラムそれぞれから、当該プログラムの同一性を検証するプログラム検証コードを生成し、プログラム検証コードどうしの照合に基づき前記同一性を検証する、構成１から３のいずれか１に記載の制御装置。
［構成５］
前記プログラム検証コードは、前記第１のユーザプログラムおよび前記第２のユーザプログラムそれぞれから生成されるハッシュ値を含む、構成４に記載の制御装置。
［構成６］
前記変更部によって前記変更が実施されたとき、前記第２のユーザプログラムから生成された前記ハッシュ値を、変更後の前記第１のユーザプログラムのハッシュ値として保存する、構成５に記載の制御装置。
［構成７］
前記制御装置は、
前記セキュリティエンジンを有するセキュリティユニット（２００）と、
前記セキュリティユニットとは独立したユニットであって、前記制御エンジンを有する制御ユニット（１００）とを備える、構成１から６のいずれか１に記載の制御装置。
［構成８］
ネットワーク（２）接続される構成１から７のいずれか１に記載の複数の制御装置を備える制御システム（１０）であって、
前記複数の制御装置のうちの１つの制御装置が、他の前記制御装置についての前記セキュリティエンジンの機能を備える、制御システム。
［構成９］
制御装置（１）のセキュリティを管理する管理方法であって、
前記制御装置は、
対象の制御に関する第１のユーザプログラム（１４０）と、前記制御に関する設定を示す第１の設定情報（５３）を格納する格納部（１０８）と、
前記対象の制御に関する第２のユーザプログラム（１４１）と、前記制御に関する設定を示す第２の設定情報（５３１）とを受付ける受付部（２３１）と、
前記第１の設定情報を用いて前記第１のユーザプログラムを実行する制御エンジン（１４２）と、を備え、
前記管理方法は、
前記第１のユーザプログラムおよび前記第２のユーザプログラムについて、プログラムの同一性を満たすかを検証するステップと、
前記第２の設定情報が示す前記設定の妥当性を評価するステップと、
前記検証するステップにおける検証結果と前記評価するステップにおける評価に基づき、前記格納部の前記第１のユーザプログラムおよび前記第１の設定情報を、それぞれ、前記第２のユーザプログラムおよび前記第２の設定情報を用いて変更する変更処理を、前記制御装置に実施させるか否かを判定するステップと、を有する、管理方法。
［構成１０］
構成９に記載の前記管理方法を、コンピュータに実行させるプログラム。

今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記した説明ではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。また、実施の形態および各変形例において説明された発明は、可能な限り、単独でも、組み合わせても、実施することが意図される。

１ 制御装置、２ ネットワーク、３ 中継装置、１０ 制御システム、２０ ハッシュ値情報、５２ 生産計画情報、５３，５３１ 機械制約情報、５４ 仕様情報、９０ フィールド機器、１００ 制御ユニット、１３５ インストールプログラム、１４０，１４１ 制御プログラム、１４２ 制御エンジン、２００ セキュリティユニット、２０１ プログラムハッシュ値、２０３ 制約情報ハッシュ値、２３０ セキュリティエンジン、２３１ 受付部、２３２ 検証部、２３４ 変更制御部、２３５ 内部バッファ、２３６ 格納部、２３８ 評価部、２３９ 制約情報検証部、２４０ 変更部、２４２ 制約情報検査部、２４３ セキュリティプログラム、２５０ ハッシュ値生成プログラム。

Claims (10)

1. 対象の制御に関する第１のユーザプログラムと、前記制御に関する設定を示す第１の設定情報を格納する格納部と、
   前記対象の制御に関する第２のユーザプログラムと、前記制御に関する設定を示す第２の設定情報とを受付ける受付部と、
   前記格納部の前記第１のユーザプログラムおよび前記第１の設定情報を、それぞれ、前記第２のユーザプログラムおよび前記第２の設定情報を用いて変更する変更部と、
   前記第１の設定情報を用いて前記第１のユーザプログラムを実行する制御エンジンと、
   前記第１の設定情報と前記第１のユーザプログラムのセキュリティを管理するセキュリティエンジンと、を備え、
   前記セキュリティエンジンは、
   前記第１のユーザプログラムおよび前記第２のユーザプログラムについて、プログラムの同一性を満たすかを検証するプログラム検証部と、
   前記第２の設定情報が示す前記設定の妥当性を評価する評価部と、
   前記プログラム検証部の検証結果と前記評価部の評価から、前記変更部に前記変更の実施を許可または禁止する変更制御部と、を有する、制御装置。
2. 前記評価部は、
   前記第２の設定情報が前記対象の制御に関する制約条件を満たすかを検査する検査部を有する、請求項１に記載の制御装置。
3. 前記制御装置は、さらに、
   前記対象が備えられる製造ラインの段取り換えの時期を含む生産計画情報が示す時間情報に基づき、前記変更の実施を許可または禁止する、請求項１または２に記載の制御装置。
4. 前記プログラム検証部は、
   前記第１のユーザプログラムおよび前記第２のユーザプログラムそれぞれから、当該プログラムの同一性を検証するプログラム検証コードを生成し、プログラム検証コードどうしの照合に基づき前記同一性を検証する、請求項１から３のいずれか１項に記載の制御装置。
5. 前記プログラム検証コードは、前記第１のユーザプログラムおよび前記第２のユーザプログラムそれぞれから生成されるハッシュ値を含む、請求項４に記載の制御装置。
6. 前記変更部によって前記変更が実施されたとき、前記第２のユーザプログラムから生成された前記ハッシュ値を、変更後の前記第１のユーザプログラムのハッシュ値として保存する、請求項５に記載の制御装置。
7. 前記制御装置は、
   前記セキュリティエンジンを有するセキュリティユニットと、
   前記セキュリティユニットとは独立したユニットであって、前記制御エンジンを有する制御ユニットとを備える、請求項１から６のいずれか１項に記載の制御装置。
8. ネットワーク接続される請求項１から７のいずれか１項に記載の複数の制御装置を備える制御システムであって、
   前記複数の制御装置のうちの１つの制御装置が、他の前記制御装置についての前記セキュリティエンジンの機能を備える、制御システム。
9. 制御装置のセキュリティを管理するためにコンピュータが実行する管理方法であって、
   前記制御装置は、
   対象の制御に関する第１のユーザプログラムと、前記制御に関する設定を示す第１の設定情報を格納する格納部と、
   前記対象の制御に関する第２のユーザプログラムと、前記制御に関する設定を示す第２の設定情報とを受付ける受付部と、
   前記第１の設定情報を用いて前記第１のユーザプログラムを実行する制御エンジンと、を備え、
   前記管理方法は、
   前記第１のユーザプログラムおよび前記第２のユーザプログラムについて、プログラムの同一性を満たすかを検証するステップと、
   前記第２の設定情報が示す前記設定の妥当性を評価するステップと、
   前記検証するステップにおける検証結果と前記評価するステップにおける評価に基づき、前記格納部の前記第１のユーザプログラムおよび前記第１の設定情報を、それぞれ、前記第２のユーザプログラムおよび前記第２の設定情報を用いて変更する変更処理を、前記制御装置に実施させるか否かを判定するステップと、を有する、管理方法。
10. 請求項９に記載の前記管理方法を、コンピュータに実行させるプログラム。

Images