JP2006146909A - 電子制御システムにおける入力署名 - Google Patents

Abstract

【課題】同じ操作インターフェースを備える複数のコンピュータで操作コマンドを入力することを可能にし、安全性の問題点が考慮されている電子制御システムを提供する。
【解決手段】ローカルコンピュータ７はローカル操作部材８を備えている。遠隔制御コンピュータ３はキーボード遠隔制御部１とコンピュータマウス遠隔制御部２を備えている。ローカル操作部材８が操作されると、キーボード遠隔制御部１とコンピュータマウス遠隔制御部２がその操作時に出す第２の信号からローカル操作部材８に付属する電子識別記号によって区別される第１の信号が、ローカルコンピュータ７で処理される。
【選択図】図１

Description

本発明は、少なくとも１つの第１の操作部材と少なくとも１つの第２の操作部材とを備える電子制御システムにおける操作入力の出所を区別する方法および装置に関する。

電話回線網等のデータネットワークを介しての電子データの電子データ処理や伝送は、電子的または電気的に制御される機器を、長い距離を超えて相互にネットワーク化するばかりでなく、遠く離れた機器の操作を可能にするという可能性も提供する。たとえば現在、相応の通信電子装置を備え、電話網等のデータ伝送ネットワークにつなぐことができる住宅の家庭用機器を、遠く離れたところからスイッチを入れたり、相応の制御命令を与えたりすることが可能となっている。たとえば特許文献１は、チップが内蔵されたＩＣカードと遠くの公衆電話とを用いて家庭用機器を操作する遠隔操作システムまたは遠隔制御システムを示している。そのために電話機すなわち公衆電話は、ある人物が自分の身分証明をするためにＩＣカードを差し込むことができるカードボックスを備えている。資格のある人物だけが公衆電話網を通じて遠隔操作可能な家庭用機器にアクセスできるように、ＩＣカード上にある制御情報および身分証明情報が、高度の安全性を提供するようになっている。遠隔制御を可能にするために、家庭用機器は家庭用ターミナルと接続されており、この家庭用ターミナルが電話と接続されている。遠隔制御可能な家庭用機器は、たとえばテレビ機器、ビデオ機器、あるいは温水供給装置等である。ＩＣカード上にあるデータは、暗号化されたうえで電話網を介して伝送され、家庭用ターミナルで受信され、そこでデータが再び相応に解読されて、接続されている機器を制御することができる。ただし制御データが伝送されるのは、その人物が公衆電話機で正しいＩＣカードによって相応の身分証明をした場合に限られる。さらに、操作者は公衆電話機で、認証を受けた利用者だけに知らされるパスワードの数字をさらに入力しなければならない。このようにして、相応の装備をもつ電話機があるところならば地上のどの地点からでも、住居にある家庭用機器を制御することが可能である。ＩＣカードとパスワードを使った身分証明によって、認証を受けた人物だけが家庭用機器を制御することができる。このように、ＩＣカードの所有と正しいパスワードの知識に結びついたアクセス管理が行われる。

しかしながら特許文献１に記載のシステムは、認証を受けた人物が常にＩＣカードを身につけていなければならない、および、ＩＣカードとパスワードによる身分証明は非常に時間がかかるという欠点がある。さらに、このような身分証明方法が実施されるべき電話機は、相応に構成されたＩＣカード用のカードボックスを備えていなくてはならない。したがって、この方法は産業用の機械を保守および制御するのには適していない。産業用の多くの機械は、現在、遠隔保守システムを通じて定期的な時間的間隔で、または相応の必要が生じたときに、遠隔地からデータネットワークを介して保守され、場合によって相応の操作コマンドでの制御も行われる。この場合、原則として相応の機械を通常の作動時に制御するローカル制御コンピュータと、キーボードやコンピュータマウスを有し、相応のインターフェースを介してインターネットを通じてたとえば機械の製造者のもとにある保守用コンピュータと通信することができる相応のローカル操作部材とがある。それによって、サービス人員が現地に赴く必要なしに、機械の製造者のところにある第２のコンピュータから、遠く離れたところに設置された機械に保守プロセスを行うことが可能である。製造者のところにいる保守人員がその保守コンピュータとこれに付属のスクリーンの上で、機械に直接設けられたローカルコンピュータとちょうど同じプログラムおよび特に同じ操作インターフェースを前にすることが相応の遠隔制御技術によって可能である。したがって、保守人員は原則的に現場の操作人員と同じ操作・制御手段を有している。とはいえ、多くの機械では、特に印刷産業の機械では、特定の機能が遠隔操作されないようにすることが重要である。これには特に、操作人員の安全性を脅かしかねない機能が含まれる。たとえば、印刷機の排紙装置でパイルを往復運動させる機能などは安易に遠隔操作されてはならない。その場合、そのようなやり方で運動するパイルが原因で、予期せず不意をつかれた操作人員にとって重大な怪我の恐れが生じる危険があるからである。したがって、排紙装置においてパイルを往復運動させる機能は、特定の状況のもとでは、製造者の遠隔地にある操作コンピュータに対して阻止されなくてはならない。その一方で、製造者のコンピュータ上と機械のローカルコンピュータ上とで異なってプログラミングされた運転システムが作動するのは、不釣合いに大きな追加コストを意味することになるため、望ましくない。
ドイツ特許出願公開明細書４２１２２００Ａ１

したがって、本発明の目的は、同じ操作インターフェースを備える複数のコンピュータで操作コマンドを入力することを可能にし、上に述べた安全性の問題点が考慮されている、電子制御システムおよびこれに呼応する方法を提供することである。

本発明によれば、上述の目的は請求項１および１０によって達成される。本発明の有利な実施態様は、従属請求項および図面に示されている。本発明の方法および本発明の装置は、操作部材を接続することができる、たとえば従来式のＰＣやサーバー等の電子制御システムで成り立っている。このような操作部材は、ＰＣでは標準的にはコンピュータマウスまたはキーボードとして構成されているが、それ以外の操作部材、たとえばタッチスクリーンやラップトップのトラックボール等も考えられる。第１の操作部材に加えて、電子制御システムにはさらに第２の操作部材が接続されており、第２の操作部材は必ずしも電子制御システムと場所的に近い関係になくてもよい。電子制御システムは制御されるべき機械の近くにあり、第１の操作部材は機械のローカル操作に利用されるのに対して、第２の操作部材はこれとは異なり、たとえば機械の製造者の保守コンピュータの近くにあってよい。すなわち第２の操作部材は、第１の操作部材から場所的に遠く離れたところにある。

第１および第２の操作部材は、相応の操作入力が操作人員によって行われると、信号をそれぞれ電子制御システムに送る。ただし第１の部材が操作された場合、電子信号には電子識別記号が与えられ、それによって、いまの操作信号が第１の操作部材から来たのか、それとも第２の操作部材から来たのかを申し分なく区別することができる。第１の操作部材が機械のすぐ近くにあるならば、この操作部材によってすべての機能を機械で制御することができる。しかし、制御システムが、場所的に機械から離れたところにある第２の操作部材から信号を受けとったときは、電子制御システムは電子識別記号を認識し、特定の機能については、信号が第２の操作部材から来ている場合にはその機能が機械で実行されるのを妨げる。

本発明の第１の実施態様では、第１の操作部材が操作されたときの信号と、第２の操作部材が操作されたときの信号は、原則として同じ機能を電子制御システムにおいて開始させることが意図される。第１および第２の操作部材は、多くの場合、同じ構造または似た構造で製作されている。なぜなら、この両方の操作部材は多くの場合コンピュータの標準入力部材であり、すなわちキーボードまたはコンピュータマウスだからである。両方の操作部材にそれぞれ付属する操作インターフェースも、多くの場合、同じ種類の構成となっており、もしくは同一の場合さえあるので、両方の操作部材によって、原則として、機械の電子制御システムにおいて同じ機能にアクセスすることができる。このことはまず第１に、操作者が他の場所から機械の電子制御システムにアクセスしたいときに、場所を移らなくてよいという理由からも意図される。したがって、第１の操作部材の信号と第２の操作部材の信号は、実際には電子識別記号でしか区別されず、そして電子識別記号だけが、両方の操作部材によって開始することができる原則的に同じ機能が電子制御システムにおいて実際に開始されるかどうかを決定する。このように電子識別記号は、機能の原則的な開始の可能性と、電子制御システムでの機能の実際の開始とを区別するものである。

本発明の別の実施態様では、第１の操作部材が操作されたときの信号は、これに加えて署名が付されることが意図される。電子署名は比較的偽造されにくく、Ｅメール等の認証のような他の分野でも効果が実証されているので、電子識別記号として非常に適している。このようなできるだけ偽造しにくい書名は、電子識別記号を他のコンピュータで簡単に模倣できないことを確保しなければならないという意味で必要である。そうしないと、遠く離れた第２の操作部材からも、電子識別記号を模倣して、本来は電子識別記号がないために停止されるはずの重要な機能に再びアクセスできることになるからである。このことは、相応の署名によってかなり確実に防止することができる。

第１および第２の操作部材の信号はコンピュータで処理されるのが好ましい。各操作部材の信号が、付属の機械の制御コンピュータで直接処理されることも原則としては考えられるが、実際には、多くの場合、別個のコンピュータが設けられることになり、当然ながらこのコンピュータは、たとえばイントラネットやインターネットと機械コンピュータの接続といった別の役割も果たすことができる。この場合、コンピュータは第１の操作部材の信号も第２の操作部材の信号も受信し、電子識別記号でその出所を区別することができる。

本発明の特別に有利な実施態様は、プログラムの特定の機能が署名に応じて電子制御システムによって停止解除（freigescahaltet）または停止（gesperrt）されることを特徴としている。電子制御システムのコンピュータは通常、付属の機械を相応に制御する１つまたは複数のプログラムを備えている。このようなソフトウェアは、一方では、機械固有のソフトウェアで成り立っているが、他方では、標準化された運転システムでも成り立っている。たとえば印刷機等の機械を制御するための動作プログラムは、電子制御可能なすべての機能に応答することができなくてはならない。そのなかには当然、すでに冒頭に述べたような安全性にとって重要な機能もある。このような機能は、電子制御システムによって、操作部材の信号に存在している署名に応じて停止解除または停止される。たとえば、操作部材の信号に署名が付されている場合に限り、特定の機能、たとえば安全性関連の機能が開始されることが意図されていてよい。署名がなければ、そのような機能は開始されず、その代わりに、開始をする操作部材ないしその操作部材に付属するスクリーンに、その機能が実行されないという相応のメッセージを送ることができる。それによって、特に機械の安全性にとって重要なプロセスを、そのために相応に指定された操作部材によってしか開始できないので、たとえば機械の製造者のところにある遠隔保守コンピュータの認証されていない操作部材による誤操作の危険を防ぐことができる。この実施態様の発展例では、さまざまな署名を利用することができ、さまざまな署名がそれぞれ異なる操作部材に割り当てられており、そのつど使用される署名に応じて、その署名に対して停止解除される機能だけを開始することができる。

電子システムで署名をオン・オフすることができると、追加の利点が得られる。本発明によれば、電子システムのどの信号入力部に操作部材が接続されているかに応じて、操作部材の信号に初めて電子システムにおいて署名を付すことができる。たとえばキーボードのジャックのようなローカル信号入力部を通じて電子システムに到達する操作部材の信号には相応の署名が添付されるのに対して、イントラネットやインターネットへの電子システムの接続を可能にする、特にネットワークインターフェースのようなインターフェースでは、操作部材の操作信号は署名なしで通過する。このようにして、操作信号に署名があれば、その操作信号は、電子システムのすぐ近くにあり、すなわち付属の機械のすぐ近くにある操作部材に出所するものであることが保証される。しかし保守目的のために、状況によっては、電子システムすなわちローカルコンピュータを機械から切り離して、電子システムがどのような機能も機械で開始できないようにすることが必要になる場合がある。このことは、たとえば電子システムで機能テストを実施しなければならない場合に必要である。しかし、電子システムが機械から切り離されていれば、普通ならば安全性にとって重要な機能にも危険は存在しなくなる。このような場合、遠く離れた第２の操作部材を通じて電子システムを制御しようとする保守人員にとって、遠隔保守をするときに、安全性にとって重要な機能も相応にテストできるならば有利である。この目的のために、保守人員は機械の操作人員に電話をして、電子システムを機械から切り離してから、キーボードまたはコンピュータマウスによる相応の入力を通じて電子システムの電子署名をオフにするよう依頼することができる。電子署名がオフになると、ただちに保守人員は遠方からでも安全性にとって重要な機能を電子システムでテストすることができる。制御されるべき機械に電子システムが再び接続されると、ただちに署名が再びオンになる。

この場合、電子システムと機械の制御コンポーネントがつなぎ合わされると、署名が自動的に再び有効になることが意図されているのが有利であり、それによって、電子システムと機械の制御部品がつなぎ合わされると、安全性にとって重要な機能を、再びただちに相応に確保することができる。このことは、操作人員が署名をオンにするのを忘れることがなくなるので、機械の動作安全性を高める。そうすれば、遠隔保守を行う機械製造者は、自社の機械が常に安全性措置がセットアップされた状態で作動していることを確信することができる。本発明のこの側面は、電子システムの運転ソフトウェアへの相応の組み込みによって、操作部材によっては署名をオフにすることがまったくできないように、さらに拡張することができる。むしろ、電子システムが機械から切り離されると署名が自動的にオフになり、電子システムが再び機械と接続されると、ただちに再び署名が自動的にオンになる。この場合、電子システムにおける署名のオン状態に人間が介入する余地はなくなる。

本発明の別の実施態様では、プログラムに応じて署名がオンまたはオフになることが意図される。印刷所では、現在、複数の印刷機をただ１つの電子システムによって制御できるようにすることが可能になっているので、操作人員が個々の印刷機の間で絶えず往復しなくてもよく、たとえば１つの印刷機にある操作場所から中央でこれらの機械を制御することができる。しかし、それぞれの印刷機は各々の構造に応じて若干異なる動作プログラムを備えているので、操作部材を通じて印刷機で開始することができる機能もそれぞれ機械に依存している。たとえば、ある機械では安全性にとってきわめて重要である機能が、別の機械では、たとえば該当する危険領域が相応に外装されていて危険が生じないようになっているので、重要ではないということがあり得る。その場合、操作人員が個々の機械の動作プログラムの切換を行うと、ちょうど現在制御されている機械で安全性にとって重要な工程にとって必要となる署名だけがオンになる。そのとき、遠隔地の操作部材からこの機械に電子システムを通じてアクセスが行われたときに、安全性にとって重要な個々の機能を、選択された機械に応じて署名によって停止解除または停止することができる。このことはフレキシブルさを高めると同時に、システムを簡素化する。なぜなら、遠隔地の操作部材からの問い合わせを１つの電子システムで集中して処理することができ、この１つの電子システム上だけで署名のプロセスを実行すればよいからである。したがって、付属の機械の制御コンピュータがそれぞれ署名プロセスを行わなくてよい。むしろ、遠隔地の操作部材の信号の入力を管理する電子システムが署名機能を自由に使用できるだけで足りる。ただし、この場合、信号に署名を付すことができるようにするために、すべてのローカル操作部材が中央の電子システムに接続されていなくてはならない。

次に、本発明の実施の形態について図面を参照して説明する。

図１では、電子システムは実質的にローカルコンピュータ７で構成されている。ローカルコンピュータ７は、図１には図示しない機械１４を制御するために利用することができる。ローカルコンピュータ７には、ローカルコンピュータ７で操作人員によって行うことができるすべての操作プロセスが表示されるローカルスクリーン６が付属している。ローカルコンピュータ７上では、１つまたは複数の動作システムが進行することができ、ならびに、接続された機械１４を制御するための相応のアプリケーションソフトウェアが進行することができる。別のプログラムが、図１において相応にプログラミングされたソフトウェアで構成される署名作成装置９である。しかしながら、署名作成装置９をハードウェアとして構成できるのは言うまでもない。ローカルコンピュータ７の別個のプログラムモジュールとして、後でさらに詳しく説明する、信号を問い合わせるためのプログラム１０が署名作成装置９に組み込まれている。さらに、ローカルコンピュータ７には、機械１４を制御する、安全性にとって重要なプロセスを含む制御プログラム１２を有する操作プログラム１１がある。

ローカルコンピュータ７にはさらに、たとえばキーボードやコンピュータマウス等の１つまたは複数のローカル操作部材８が接続されている。さらに、ローカルコンピュータ７は、データ伝送のためのネットワーク５を介して、たとえばインターネットおよび／またはイントラネットを介して、遠隔操作コンピュータ３と接続されている。ローカルコンピュータ７は制御されるべき機械１４のすぐ近くにあるのに対して、遠隔操作コンピュータ３は何キロメートルも遠く離れた、たとえば機械の製造者のところにあってよい。遠隔操作コンピュータ３は、ローカルコンピュータ７と同じく、同じくスクリーン４を備える市販のＰＣまたはラップトップを含んでいてよい。さらに、遠隔操作コンピュータ３にも、キーボード１やコンピュータマウス２等の１つまたは複数の操作部材が接続されている。遠隔操作コンピュータ３によって、データ伝送用のネットワーク５を通じてローカルコンピュータ７にアクセスし、そこで、ローカルコンピュータ７につながれた機械にさらに作用することができる機能を開始させることが可能である。データ伝送のネットワーク５を介して、ローカルコンピュータ７の操作インターフェースを遠隔操作コンピュータ３に伝送することもできるので、遠隔操作のスクリーン４では、ローカルスクリーン６と同じ操作インターフェースを見ることができる。このように、両方のコンピュータ３，７では原則として同じ操作入力を行うことができる。遠隔操作コンピュータ３で操作入力が行われると、操作部材１、２の相応の信号がデータ伝送用のネットワーク５を介してローカルコンピュータ７に伝送される。

ただし、遠隔操作コンピュータ３から来る信号とは異なり、ローカル操作部材８の信号には署名作成装置９によって追加的に電子署名を付すことができる。それによってローカルコンピュータ７では、信号に署名が付されているので、操作信号がローカル操作部材８から来ているのか、それとも、信号が署名なしでローカルコンピュータ７へ到来する遠隔操作コンピュータ３の操作部材１，２から来たのかを区別することができる。署名を問い合わせるためのプログラム１０に付属するチャートに基づいて、まず、署名のある操作信号と署名のない操作信号とを区別するフィルタがオンになっているかどうかが問い合わされる。このフィルタがオンになっていなければ、署名があるかないかに関わりなく、信号はすぐに操作プログラム１１へ転送され、この操作プログラムがさらに相応の機能を制御プログラム１２において開始させることができる。制御プログラム１２が安全性にとって重要なプロセスを含んでいるときは、制御プログラム１２が呼び出されたときに、制御信号１３によってフィルタをオンにする命令が操作プログラム１１に伝送される。この場合、署名を問い合わせるためのプログラム１０が有効になり、入ってくる操作信号に署名があるかどうかを調べる。操作信号が署名を有していないとき、もしくは正しい署名を有していないときは、操作信号が操作プログラム１１に伝送されず、制御プログラム１２はこれに対応する機能を機械１４で開始しない。操作信号に正しい署名が付されている場合にのみ、操作信号が操作プログラム１１へ転送され、操作プログラム１１が制御プログラムにおいて相応の機能を開始させることができる。したがって、制御プログラム１２が安全性にとって重要なプロセスを含んでいる場合、そのプロセスはローカル操作部材８での入力によってしか開始することができず、遠隔操作コンピュータ３の操作部材１，２で同じ入力をしても、署名を問い合わせるためのプログラム１０でフィルタによって拒絶されることが保証される。このようにして、ローカルコンピュータ７によって制御される、安全性にとって重要なプロセスをもつ機械において、動作安全性を顕著に高めることができる。

安全性にとって重要なプロセスをもつこのような機械１４を図２に示す。これは、独自の制御コンピュータ１７を有する、１つまたは複数の印刷ユニット１５を備える印刷機１４である。印刷機の制御コンピュータ１７は、通信接続１７を介してローカルコンピュータ７と接続されている。図２でもローカルコンピュータ７は、データ伝送のためのネットワーク５を介して、遠隔制御コンピュータ３とデータを交換することができる。ローカルコンピュータ７は図１と同様に構成されているので、印刷機１４に安全性にとって重要なプロセスがあるときは、遠隔操作コンピュータ２によるその開始を確実に妨げることができる。このように、遠隔操作コンピュータ３の保守人員に対して、そのスクリーン４の上で、印刷所のローカルスクリーン６で操作人員が見ることができるのと原則的に同じ操作インターフェースを提供することが可能であり、安全性にとって重要な機能は、ローカルコンピュータ７に直接つながれた操作部材８を通してしか開始することができない。遠隔操作コンピュータ３の保守人員から、このような安全性にとって重要なプロセスに介入しようと試みても、その操作命令は実行されない。

操作命令の実行が妨げられたことは、遠隔操作のスクリーン４の上で相応のメッセージによって保守人員に表示することができ、それによって保守人員は、遠隔地の操作部材１，２での入力事項が実行されない場合、そのことを知らされる。

２つの操作部材を備える電子システムでの署名作成の手順を示す図である。 ２つの操作部材によって制御可能な印刷機を示す図である。

符号の説明

１ キーボード遠隔制御部
２ コンピュータマウス遠隔制御部
３ 遠隔制御コンピュータ
４ 遠隔制御のスクリーン
５ データ伝送のためのネットワーク
６ ローカルスクリーン
７ ローカルコンピュータ
８ ローカル操作部材
９ 署名作成装置
１０ 署名を問い合わせるためのプログラム
１１ 操作プログラム
１２ 安全性にとって重要なプロセスを含む制御プログラム
１３ 制御信号
１４ 印刷機
１５ 印刷ユニット
１６ 通信接続
１７ 印刷機の制御コンピュータ

Claims (16)

1. 少なくとも１つの第１の操作部材（８）と少なくとも１つの第２の操作部材（１、２）とを備える電子制御システムにおいて操作入力の出所を区別する方法において、
   前記少なくとも１つの第１の操作部材（８）が操作されると、前記少なくとも１つの第２の操作部材（１，２）がその操作時に出す第２の信号から前記少なくとも１つの第１の操作部材（８）に付属する電子識別記号によって区別される第１の信号が前記電子制御システム（７）において処理されることを特徴とする、電子制御システムで操作入力の出所を区別する方法。
2. 前記第１の操作部材（８）が操作されたときの信号と、前記第２の操作部材（１、２）が操作されたときの信号とが、前記電子制御システム（７）において原則的に同じ機能を開始させる、請求項１に記載の方法。
3. 前記第１の操作部材（８）が操作されたときの信号に追加的に署名が付される、請求項１または２に記載の方法。
4. 前記第１および第２の操作部材（8,１，２）の信号がコンピュータ（７）で処理される、請求項１から３までのいずれか１項に記載の方法。
5. プログラム（１２）の特定の機能が前記署名に応じて前記電子制御システム（７）によって停止解除または停止させられる、請求項３に記載の方法。
6. 前記プログラム（１２）の機能が機械（１４）の安全性にとって重要なプロセスを含んでいる、請求項５に記載の方法。
7. 前記の安全性にとって重要なプロセスが、前記操作部材（１，２，８）の信号に署名があるときにだけ停止解除させられる、請求項６に記載の方法。
8. 前記署名を前記電子制御システム（７）においてオン・オフすることができる、請求項２から７までのいずれか１項に記載の方法。
9. 前記署名が前記プログラム（１２）に応じてオンまたはオフされる、請求項５から８までのいずれか１項に記載の方法。
10. 請求項１から９までのいずれか１項に記載の方法を実施する装置。
11. 前記の少なくとも１つの第１の操作部材（８）は少なくとも１つの第１のコンピュータ（７）に付属しており、前記少なくとも１つの第２の操作部材（１，２）は少なくとも１つの第２のコンピュータ（３）に付属している、請求項１０に記載の装置。
12. 前記第１のコンピュータ（７）と前記第２のコンピュータ（３）がネットワーク（５）を介して相互に接続されている、請求項１１に記載の装置。
13. 前記ネットワーク（５）がイントラネット接続を含んでいる、請求項１２に記載の装置。
14. 前記ネットワーク（５）がインターネット接続を含んでいる、請求項１２または１３に記載の装置。
15. 前記の少なくとも１つの第１のコンピュータ（７）が被印刷体処理機械（１４）の動作状態を制御する制御信号を準備する、請求項１１から１４までのいずれか１項に記載の装置。
16. 請求項１０から１５までのいずれか１項に記載の装置を備えている印刷機。

Images