JP2013171346A - 制御システム、制御装置及びプログラム実行制御方法 - Google Patents

Abstract

【課題】制御プログラムの運用・保守性に配慮しつつ、ＰＬＣ上で動作する制御プログラムに対するセキュリティの観点から、制御プログラムの不正使用を防止する。
【解決手段】制御システムにおいて、第１のセキュリティコードと所定のプログラムコードとを含むユーザプログラムを格納した第１メモリと、第１のセキュリティコードを所定のアルゴリズムで変換した第２のセキュリティコードを含むセキュリティ情報を格納した第２メモリと、ユーザプログラムの実行を許可する実行許可手段と、実行が許可されたユーザプログラムを実行するプログラム実行手段とを有し、実行許可手段は、ユーザプログラムに含まれる第１のセキュリティコードを前記所定のアルゴリズムで変換し、変換したセキュリティコードと、セキュリティ情報から取得した第２のセキュリティコードとを比較し、一致した場合、ユーザプログラムの実行を許可する。
【選択図】図２

Description

本発明は、プログラムの実行を制御する制御装置及び制御システムに関し、特に、ＰＬＣ（Programmable Logic Controller）上で実行されるＰＬＣプログラムの実行を制御する制御システム、制御装置及び制御方法に関する。

従来より、ＦＡ（Factory Automation）等における工業用汎用コンピュータとして、プログラマブルコントローラ（Programmable Logic Controller：以下ＰＬＣという）が用いられている。ＰＬＣが制御対象機器に対しシーケンス制御を行なう場合、例えば、ユーザは、制御対象機器のセンサやスイッチ等の検出部をＰＬＣの入力端子に接続し、制御対象機器のモータ等の動作装置をＰＬＣの出力端子に接続する。そして、ＰＬＣは、実行する制御プログラムに従って、入力端子への入力信号に応じた出力信号を出力端子から出力することによって、制御対象機器を制御する。

ここで、ＰＬＣ上で実行されるプログラムの不正使用を防止する技術については、例えば、特許文献１、２などが知られている。特許文献１、２には、特定の制御装置上でのみ制御プログラムが動作できるようにすることにより、制御プログラムの不正利用防止を実現する制御装置が記載されている。

より具体的に、特許文献１記載の制御装置は、制御プログラム内に、実行を許可する特定のＰＬＣの固有値（例えばシリアルＩＤ）に基づく認証ラダーを埋め込んでおく。そして、制御プログラムを特定のＰＬＣ上で動作させる際、認証ラダーを使用して認証を行う。制御装置は、認証が成功した場合にのみ、その制御プログラムの実行を許可するので、仮に制御プログラムが流出したとしても、制御プログラムは他の制御装置上では動作しない。これにより、仮にその制御プログラムが流出したとしても、制御プログラムは他の制御装置上では動作しないため、プログラムの不正使用を防止することができる。

特開２０１１−１６５０４１号公報 特開２００９−７０１４４号公報

ここで、制御装置が故障した場合、故障した制御装置が修理されている間は工場の生産活動が停止してしまうことから、保守員等が代替機を一時的に設置することにより、工場の生産活動を継続させる手法が採られることがある。

しかしながら、特許文献１、２に記載される発明においては、シリアルＩＤなど、制御装置の固有値に基づく認証情報を使用して認証を行い、認証が成功した場合にのみ、その制御プログラムの実行を許可するものである。従って、制御装置が故障した場合、故障した制御装置で使用していた制御プログラムを代替機でそのまま使用することはできない。この場合、制御プログラム内に代替機の固有値（例えばシリアルＩＤ）に基づく認証ラダーを埋め込むことにより、新たに代替機用の制御プログラムを再度作り直さなくてはならず（コンパイル等）、制御装置の復旧、即ち、工場の生産活動再開までに時間を要するという問題があった。

本発明は、このような課題を解決するためのものであり、制御プログラムの運用・保守性に配慮しつつ、ＰＬＣ上で動作する制御プログラムに対するセキュリティの観点から、制御プログラムの不正使用を防止する制御システム、制御装置及びプログラム実行制御方法を提供することを主たる目的とする。

上述した課題を解決するために、本発明は、以下の特徴を有する課題を解決するための手段を採用している。

本発明の一態様における制御システムは、セキュリティファイル発行装置と、セキュリティコード登録装置と、支援ローダと、制御装置とを含む制御システムであって、前記セキュリティファイル発行装置は、第１のセキュリティコードを含むセキュリティファイルを生成するセキュリティファイル生成手段を有し、前記セキュリティコード登録装置は、前記セキュリティファイルから取得した前記第１のセキュリティコードを所定のアルゴリズムにより第２のセキュリティコードに変換するコード変換手段と、前記第２のセキュリティコードを含むセキュリティ情報を前記制御装置に登録するセキュリティ情報登録手段と、を有し、前記支援ローダは、前記第１のセキュリティコードと所定のプログラムコードとを含むユーザプログラムを作成するプログラム作成手段を有し、前記制御装置は、前記ユーザプログラムを格納した第１メモリと、前記セキュリティ情報登録手段により登録された前記第２のセキュリティコードを含むセキュリティ情報を格納した第２メモリと、前記第１メモリに格納された前記ユーザプログラムの実行を許可する実行許可手段と、前記実行許可手段により実行が許可された前記ユーザプログラムを実行するプログラム実行手段と、を有し、前記実行許可手段は、前記第１メモリに格納された前記ユーザプログラムに前記所定のプログラムコードが含まれるとき、前記ユーザプログラムに含まれる第１のセキュリティコードを前記所定のアルゴリズムにより変換し、変換された該セキュリティコードと、前記第２メモリに格納されたセキュリティ情報から取得した第２のセキュリティコードとを比較し、一致した場合、前記ユーザプログラムの実行を許可する。

また、本発明の一態様における制御装置は、第１のセキュリティコードと所定のプログラムコードとを含むユーザプログラムを格納した第１メモリと、セキュリティコード登録装置により前記第１のセキュリティコードを所定のアルゴリズムで変換し登録された第２のセキュリティコード含むセキュリティ情報を格納した第２メモリと、前記第１メモリに格納された前記ユーザプログラムの実行を許可する実行許可手段と、前記実行許可手段により実行が許可された前記ユーザプログラムを実行するプログラム実行手段と、を有し、前記実行許可手段は、前記第１メモリに格納された前記ユーザプログラムに前記所定のプログラムコードが含まれるとき、前記ユーザプログラムに含まれる第１のセキュリティコードを前記所定のアルゴリズムにより変換し、変換された該セキュリティコードと、前記第２メモリに格納されたセキュリティ情報から取得した第２のセキュリティコードとを比較し、一致した場合、前記ユーザプログラムの実行を許可する。

また、本発明の一態様におけるプログラム実行制御方法は、セキュリティコード登録装置は、第１のセキュリティコードを所定のアルゴリズムにより変換した第２のセキュリティコードを含むセキュリティ情報を作成して制御装置に入力し、支援ローダは、所定のプログラムコードと前記第１のセキュリティコードとを含むユーザプログラムを作成して前記制御装置に入力し、前記制御装置は、前記ユーザプログラムに前記所定のプログラムコードが含まれるとき、前記支援ローダから入力された前記第１のセキュリティコードを前記所定のアルゴリズムにより変換し、変換された該セキュリティコードと前記第２のセキュリティコードとが一致することを条件に、前記ユーザプログラムの実行を許可する。

なお、本発明の構成要素、表現または構成要素の任意の組合せを、装置、方法、コンピュータプログラム、記録媒体、などに適用したものも本発明の態様として有効である。

本発明によれば、制御プログラムの運用・保守性に配慮しつつ、ＰＬＣ上で動作する制御プログラムに対するセキュリティの観点から、制御プログラムの不正使用を防止する制御システム、制御装置及びプログラム実行制御方法を提供することができる。

本実施形態に係る制御システム構成図（概略図）の一例を示す。 本実施形態に係る制御システム構成図の機能構成例である。 本実施形態に係るセキュリティファイル発行装置の操作画面例（その１）を示す。 本実施形態に係るセキュリティファイル発行装置の操作画面例（その２）を示す。 本実施形態に係るセキュリティコード登録装置の操作画面例を示す。 本実施形態に係る支援ローダのプログラミングエディタ画面例を示す。 本実施形態に係る情報処理１の流れを示すシーケンス図である。 本実施形態に係る情報処理２の流れを示すシーケンス図である。 本実施形態に係るプログラム実行部２０５のＰＬＣプログラム実行制御処理の流れを示すフローチャートである。 本実施形態に係るＳＦＢ機能部２０６のセキュリティコードチェック処理の流れを示すフローチャートである。 本応用例に係る制御システム構成図の機能構成例である。 「有効位置情報」の指定例を示す。 本応用例に係るＳＦＢ機能部２０６のセキュリティコードチェック処理の流れを示すフローチャートである。

以下、本発明を実施するための形態について、添付図面を参照しながら実施例を挙げて説明する。

［システム構成］
図１は、本実施形態に係る制御システム構成図（概略図）の一例を示す。図１に示されるように、本実施形態に係るシステムは、支援ローダ１００、ＰＬＣ２００、セキュリティファイル発行装置３００、セキュリティコード登録装置４００を含む。

支援ローダ１００は、ＰＬＣ２００本体で動作するＰＬＣプログラム（制御プログラム）の作成支援用コンピュータ装置である。従って、支援ローダ１００は、ＰＬＣプログラム作成用のプログラミングエディタを備える。プログラミングエディタによって、プログラム作成画面がディスプレイに表示されるので、ユーザは、この画面上で所望のＰＬＣプログラムを開発することができる。また、ユーザにより開発されたＰＬＣプログラムは、支援ローダ１００からＰＬＣ２００に対しダウンロードされる。

ＰＬＣ２００は、ファクトリ・オートメーション（ＦＡ）の制御装置として用いられるプログラマブルコントローラ（Programmable Logic Controller）である。ＰＬＣ２００は、入力モジュールから入力された信号をＩ／Ｏ（Ｉｎｐｕｔ／Ｏｕｔｐｕｔ）メモリに取り込み、プログラムメモリ２０１に予め登録されたＰＬＣプログラムに基づき、論理演算を行う。また、その演算結果をＩ／Ｏメモリに書き込んでから出力モジュールに送り出し、その後、いわゆる周辺のシステム処理（ローダ処理、各種システム処理）を実行する。ＰＬＣ２００は、これらの処理を繰り返すことで、対象とする制御機器を制御する。

セキュリティファイル発行装置３００は、セキュリティファイル（Security File）を生成し、出力する端末装置である。このセキュリティファイルは、セキュリティコード登録装置４００が「セキュリティコード（Security Code）」をＰＬＣ２００に登録する際に、用いられる。

セキュリティコード登録装置４００は、「セキュリティコード」や「試用期間」を含むセキュリティ情報を、ＰＬＣ２００に対して登録するための端末装置である。即ち、セキュリティコード登録装置４００は、セキュリティファイル発行装置３００からセキュリティファイルを取得し、そのセキュリティファイルに含まれているセキュリティコードを取り出してＰＬＣ２００に登録する。また、セキュリティコード登録装置４００は、セキュリティコードに加え、ユーザにより入力された試用期間をＰＬＣ２００に登録する。

以上、本実施形態に係る制御システム構成例である。なお、通常の場合、ＰＬＣ２００が運用中のときは、支援ローダ１００、セキュリティファイル発行装置３００及びセキュリティコード登録装置４００は、ＰＬＣ２００から取り外されて、使用される。また、セキュリティファイル発行装置３００及びセキュリティコード登録装置４００などは、例えば、ＰＬＣプログラムを開発するメーカが保管・管理し、ユーザ先のＰＬＣ２００が置かれた場所に放置しないことが望ましい。

［機能構成］
図２は、本実施形態に係る制御システム構成図の機能構成例である。装置毎に順を追って以下説明する。

（セキュリティファイル発行装置）
本実施形態に係るセキュリティファイル発行装置３００は、セキュリティファイル生成部３０１を含む。セキュリティファイル生成部３０１は、ユーザによりキーボード等（入力部）から入力された「セキュリティコード」（図中、ＳＣ−Ａと示す）を受け取ると、セキュリティコード登録装置３００の公開鍵を用いて、セキュリティファイル（図中、ＳＦと示す）を暗号化し、出力する。セキュリティファイルには、ユーザにより入力された「セキュリティコード」が含まれている。セキュリティコード登録装置４００は、暗号化されたセキュリティファイルを復号することにより、その「セキュリティコード」を取得する。なお、セキュリティコードには、セキュリティコード自体の値に加え、そのセキュリティコードのデータサイズ（例えば６４ｂｉｔ等）を含めることができる。

（セキュリティコード登録装置）
本実施形態に係るセキュリティコード登録装置４００は、セキュリティファイル取込部４０１、メモリ４０２、セキュリティ情報登録部４０３、コード変換部４０４を含む。

セキュリティファイル取込部４０１は、セキュリティファイル発行装置３００から発行されたセキュリティファイルを取込む。また、セキュリティファイルは暗号化されているので、セキュリティファイル取込部４０１は、上述の公開鍵に対応する秘密鍵を用いて、セキュリティファイルを復号化する。そして、セキュリティファイル取込部４０１は、復号化されたセキュリティファイルから「セキュリティコード」（ＳＣ−Ａ）を抜き出してメモリ４０２に保存する。

セキュリティ情報登録部４０３は、メモリ４０２から「セキュリティコード」を取得する。そして、セキュリティ情報登録部４０３は、コード変換部４０４に対し、その「セキュリティコード」（ＳＣ−Ａ）を異なる「セキュリティコード」（図中、ＳＣ−Ｂ）に変換するよう依頼する。

また、セキュリティ情報登録部４０３は、ユーザから「試用期間」の入力を受付ける。「試用期間」は、ＰＬＣ２００を利用するにあたって、ＰＬＣ２００を、正当なライセンス等の購入なくとも一時的に利用可能な期間を指定するための情報である。「試用期間」の入力方法は、例えば、１０時間、１日、１ヶ月など具体的な期間での入力や、２０１１年３月１日（迄）というように具体的な日付での入力がありうる。そして、セキュリティ情報登録部４０３は、変換された「セキュリティコード」（ＳＣ−Ｂ）と「試用期間」とを含むセキュリティ情報（「セキュリティコード」のみでも可）を生成し、ＰＬＣ２００に対し、そのセキュリティ情報を登録する。セキュリティ情報の登録は、ネットワーク経由又はＵＳＢ（Universal Serial Bus）ポートやシリアルポートなど、ＰＬＣ２００に接続するケーブルを通して、ＰＬＣ２００に対しセキュリティ情報を送信することにより実現される。ＰＬＣ２００は、セキュリティコード登録装置４００（セキュリティ情報登録部４０３）からのみ、セキュリティ情報の登録を受付け、他の装置からのセキュリティ情報の登録は受付けない。なお、セキュリティ情報登録部４０３は、生成したセキュリティ情報をメモリ４０２に保存してもよい。

コード変換部４０４は、セキュリティ情報登録部４０３の依頼に応じて、取得したセキュリティコードを所定のアルゴリズムにより別の異なるセキュリティコードに変換する。本実施形態では具体的に、「セキュリティコードＡ」（ＳＣ−Ａ）を「セキュリティコードＢ」（ＳＣ−Ｂ）に変換するものとする。

（支援ローダ）
本実施形態に係る支援ローダ１００は、プログラム作成部１０１、メモリ１０２を含む。

プログラム作成部１０１は、ＰＬＣプログラム作成用のプログラミングエディタにより実現され、ＰＬＣ２００本体で動作するＰＬＣプログラムの作成（作成支援）を行う。プログラム作成部１０１は、ユーザに対しプログラミングエディタや各種ツール等を提供しながら、ユーザ所望のＰＬＣプログラムを作成する。

また、ＰＬＣプログラム作成の際、ユーザが作成中のプログラムを保護したいと考える場合、ユーザは例えば、プログラミングエディタ上から所定操作を行う。プログラム作成部１０１は、この所定操作を受けて、作成中のプログラムに対し、次のような処理を行う。即ち、プログラム作成部１０１は、ＰＬＣプログラムの初期化処理又は実行処理時等に、セキュリティコードチェック用のシステムファンクションブロック（ＳＦＢと称す）を呼び出すようにプログラムコードを作成する。

より具体的には、プログラム作成部１０１は、ＰＬＣ２００でそのＰＬＣプログラムが実行されたときに、セキュリティコードチェック用のＳＦＢ機能部２０６を呼び出すコードを、ユーザ作成のプログラムコードの一部に追加する。また、併せてセキュリティコードチェック用のＳＦＢ２０６用のパラメータとして、「セキュリティコード」を設定しておく。なお、このセキュリティコードは、セキュリティファイル発行装置３００において、ユーザにより入力された「セキュリティコードＡ」（ＳＣ−Ａ）と同一のものを設定する必要がある。

そして、プログラム作成部１０１は、セキュリティコードチェック用のＳＦＢ機能部２０６を呼び出すコードを追加したユーザ作成のプログラムコードのコンパイルを行って、ＰＬＣプログラムを作成する。また、作成したＰＬＣプログラムをメモリ１０２に保存する。また、作成されたＰＬＣプログラムは、ＰＬＣ２００に送信される（ダウンロードされる）。

（ＰＬＣ）
次に、本実施形態に係るＰＬＣ２００は、セキュリティ情報登録受付部２０１、セキュアメモリ２０２、稼働時間計測部２０３、プログラムメモリ２０４、プログラム実行部２０５、ＳＦＢ機能部２０６（比較照合部２０７、コード変換部２０８を含む）、通知部２０９を含む。

セキュリティ情報登録受付部２０１は、セキュリティコード登録装置４００（セキュリティ情報登録部４０３）からセキュリティ情報を受付けて、受付けたセキュリティ情報をセキュアメモリ２０２に登録（保存）する。セキュリティ情報には、上述の如く、「セキュリティコード」（ＳＣ−Ｂ）と「試用期間」とが含まれているので、これら情報が取り出され、セキュアメモリ２０２に保存される。なお、セキュリティ情報登録受付部２０１は、セキュリティコード登録装置４００（セキュリティ情報登録部４０３）から受付けたセキュリティ情報のみをセキュアメモリ２０２に登録し、他の装置からのセキュリティ情報の登録は受付けない。

セキュアメモリ２０２は、耐タンパー性の高いセキュリティチップやフラッシュメモリにより実現され、アクセスが制限されたメモリである。本実施形態では、セキュリティ情報登録受付部２０１及び稼働時間計測部２０３のみがセキュアメモリ２０２に対し書き込み権限を有し、また、比較照合部２０７のみがセキュアメモリ２０２に対し読み出し権限を有する。一方、ユーザは、セキュアメモリ２０２に対しアクセスすることはできない。本実施形態の場合、図２に示されるように、このセキュアメモリ２０２には、「セキュリティコードＢ」、「試用期間」、「稼働時間」が保存される。

稼働時間計測部２０３は、セキュアメモリ２０２に「試用期間」が保存されるタイミングで、ＰＬＣ２００の「稼働時間」の計測を開始する。稼働時間計測部２０３は、ＰＬＣ２００の標準時計（内部時計）とは別途、独立した時計によりＰＬＣ２００の稼働時間の計測を行う（例えば、ＰＬＣのスキャン周期（入力データ読み込みから次の入力データ読み込みまでの期間）をもとにＰＬＣの稼働時間を計測）。独立した時計によりＰＬＣ２００の稼働時間の計測を行う理由としては、ユーザの標準時計の時間を戻す行為等による稼働時間の改ざんを防止するためである。このため、ユーザがＰＬＣ２００の標準時計にアクセスすることはできるものの、稼働時間計測部２０３にアクセスすることはできない。稼働時間計測部２０３は、計測した「稼働時間（情報）」を、計測する毎に、セキュアメモリ２０２に逐一保存する。

プログラムメモリ２０４は、支援ローダ１００により作成されたＰＬＣ２００本体で動作させるＰＬＣプログラムを格納するためのメモリである。セキュアメモリ２０２は上述の如くユーザからのアクセスが禁止されているのに対し、プログラムメモリ２０４はユーザからのアクセスが許可されたユーザメモリである。

ユーザは、支援ローダ１００により作成されたＰＬＣプログラムを記録媒体に格納しておき、ＰＬＣプログラムが格納されたその記録媒体を、ＰＬＣ２００のユーザＲＯＭカードスロット２１０に挿入することもできる。この場合、ＰＬＣ２００は、その記録媒体に格納されたＰＬＣプログラムをプログラムメモリ２０４に転送する。

プログラム実行部２０５は、プログラムメモリ２０４に格納されたＰＬＣプログラムを実行する。但し、ＰＬＣプログラムにセキュリティコードチェック用のＳＦＢ機能部２０６を呼び出すコードが含まれている場合、そのコードに従って、ＳＦＢ機能部２０６が呼び出される。そして、プログラム実行部２０５は、ＳＦＢ機能部２０６からＰＬＣプログラムの実行許可を得た場合のみ、ＰＬＣプログラムの実行を継続し、ＰＬＣプログラムの実行不許可を得た場合には、ＰＬＣプログラムの実行を禁止（停止）する。なお、当処理は、ＰＬＣプログラムの実行処理時にのみだけでなく、例えばＰＬＣプログラムの初期化処理時に実施されてもよい。この場合、以後の当該ＰＬＣプログラムの実行を禁止する。

ＳＦＢ機能部２０６は、セキュリティコードチェック用のＳＦＢであって、実行許可部に相当する。具体的には、比較照合部２０７、コード変換部２０８を含む。比較照合部２０７は、プログラム実行部２０５からの呼び出しを受けて、次のような処理を実施する。

まず、比較照合部２０７は、セキュアメモリ２０２に保存されている「試用期間」及び「稼働時間」を取得する。上述の如く、「試用期間」は、ＰＬＣ２００を、正当なライセンス等の購入なくとも一時的に利用可能な期間を指定するための情報であるので、ＰＬＣ２００の「稼働時間」が「試用期間」内である場合、プログラム実行部２０５に対し、セキュリティコードチェックの対象となったＰＬＣプログラムの実行を許可する。

一方、ＰＬＣ２００の「稼働時間」が「試用期間」内でない場合（「稼働時間」が「試用期間」を経過している場合）、プログラム実行部２０５に対し、セキュリティコードチェックの対象となったＰＬＣプログラムの実行を不許可とする（許可しない）。

また、一方、「試用期間」がセキュアメモリ２０２に保存されていない場合、比較照合部２０７は、ＰＬＣプログラムに含まれているセキュリティコードのチェックを実施する。

まず、比較照合部２０７は、セキュリティコードチェックの対象となるＰＬＣプログラムにパラメータとして設定されている「セキュリティコード」（例えばＳＣ−Ａ）を取得する。そして、コード変換部２０８に対し、「セキュリティコード」の変換を依頼する。

コード変換部２０８は、比較照合部２０７の依頼に応じて、「セキュリティコード」を変換する。コード変換部２０８は、セキュリティコード登録装置４００のコード変換部４０４と同一のアルゴリズムによりセキュリティコードに変換する。本実施形態の場合、「セキュリティコードＡ」は「セキュリティコードＢ」に変換されることになる。コード変換部２０８は、変換後の「セキュリティコード」を比較照合部２０７に渡す。

比較照合部２０７は、変換後の「セキュリティコード」を取得後、今度はセキュアメモリ２０２に保存されている「セキュリティコード」（例えばＳＣ−Ｂ）を取得する。そして、コード変換部２０８により変換された「セキュリティコード」と、セキュアメモリ２０２の「セキュリティコード」とを比較（又は照合）し、両セキュリティコードが一致した場合、プログラム実行部２０５に対し、セキュリティコードチェックの対象となったＰＬＣプログラムの実行を許可する。

一方、両セキュリティコードが一致しない場合、プログラム実行部２０５に対し、セキュリティコードチェックの対象となったＰＬＣプログラムの実行を不許可とする（許可しない）。

通知部２０９は、ＰＬＣプログラムの実行結果をユーザ等に通知する。具体的な通知方法は、各装置のディスプレイ等に通知したり、ログファイルへログ出力する、又は所定の端末へメール等により通知する。

以上、本実施形態に係る制御システム構成図の機能構成例である。これらの各機能部は、実際には、各装置のＣＰＵが実行するプログラムによりコンピュータに実現させることができる。また、これらの機能ブロックが明確に分離したプログラムによって実現される必要はなく、サブルーチンや関数として他のプログラムから呼び出されるものであってもよい。また、機能ブロックの一部が、ＩＣ（Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等のハードウエア手段であっても構わない。

また、これらの各機能部に関連するプログラムは、通常のプログラムメモリ２０４領域とは別に、ユーザが直接その領域をアクセスすることができないセキュリティが強化された領域（図示せず）に保存されている。

［操作画面例］
次に、各装置の操作画面例について説明する。

（セキュリティファイル発行装置）
図３は、本実施形態に係るセキュリティファイル発行装置の操作画面例（その１）を示す。上述したように、セキュリティファイル発行装置３００は、セキュリティファイルを生成し、出力する端末装置である。

ユーザはセキュリティファイル発行装置３００のディスプレイ画面に表示される操作画面を操作することにより、セキュリティファイルを生成し出力することができる。図３に示されるように、ユーザは、まず、ユーザ認証画面（ａ）において、セキュリティファイル発行装置３００にログインするためのパスワードを入力する。ユーザ認証に成功すると、メニュー画面（ｂ）へ進む。そして、メニュー画面（ｂ）において、ユーザが「セキュリティファイル発行」を押下すると、セキュリティファイル発行画面（ｃ）へ進む。

セキュリティファイル発行画面（ｃ）において、ユーザは任意の「セキュリティコード」を入力した後、「追加」を押下する。入力されたセキュリティコードは、「一覧」に追加される。また、「発行メモ」には、発行するセキュリティファイル毎に任意のメモを併せて付すことができる。

次に、ユーザは、「発行」を押下する。その後、確認画面（ｄ）が表示され、「一覧」に追加されたセキュリティコードを含むセキュリティファイルの出力が完了する。

このようにして生成、出力されたセキュリティファイルは、セキュリティコード登録装置４００がＰＬＣ２００に対してセキュリティコードを登録する際に、用いられる。ユーザは例えば、携帯型の記録媒体にセキュリティファイルを保存し、この記録媒体を介してセキュリティファイルをセキュリティコード登録装置４００に移動できる。又は、ネットワークを介しセキュリティファイルをセキュリティコード登録装置４００に移動してもよい。

図４は、本実施形態に係るセキュリティファイル発行装置の操作画面例（その２）を示す。具体的には、図３（ｂ）の「発行履歴表示」を押下すると、当該「セキュリティファイル発行履歴表示」が表示される。図４に示されるように、セキュリティファイル発行装置３００においては、過去に発行されたセキュリティファイルの詳細（「発行日」、「セキュリティコード」、「発行メモ」等）が表示されている。

（セキュリティコード登録装置）
図５は、本実施形態に係るセキュリティコード登録装置の操作画面例を示す。上述したように、セキュリティコード登録装置４００は、「セキュリティコード」や「試用期間」を含むセキュリティ情報を、ＰＬＣ２００に対して登録するための端末装置である。ユーザは、セキュリティコード登録装置４００のディスプレイ画面に表示される操作画面を操作することにより、セキュリティファイルを取得する。また、セキュリティファイルに含まれているセキュリティコードを取り出してＰＬＣ２００に登録する。

図５に示されるように、ユーザは、まず、ユーザ認証画面（ａ）において、セキュリティコード登録装置４００にログインするためのパスワードを入力する。ユーザ認証に成功すると、メニュー画面（ｂ）へ進む。そして、メニュー画面（ｂ）において、ユーザが「セキュリティ情報登録」を押下すると、セキュリティ情報登録画面（ｃ）へ進む。

セキュリティ情報登録画面（ｃ）において、ユーザは、まず、セキュリティ情報の登録先のＰＬＣを指定する。図例の場合、ＰＬＣとは、ＵＳＢポートを介して接続されている場合と、ネットワークを介して接続されている場合とが想定されており、ユーザはいずれかの方法で、セキュリティ情報の登録先（送信先）のＰＬＣを指定できる。

次に、ユーザは、「セキュリティファイル取込」を押下することにより、セキュリティコード登録装置４００に対してセキュリティファイルの取込みを行う。具体的には、ユーザはセキュリティファイル発行装置３００で生成したセキュリティファイルを保存した記録媒体をセキュリティコード登録装置４００に接続する。その後、「セキュリティファイル取込」を押下し、記録媒体に保存されているセキュリティファイルを指定してから、セキュリティファイルの取込を行う。

ユーザがセキュリティファイルの取込みを行うと、セキュリティファイル内のセキュリティコードが「セキュリティコード」の欄に表示される。また、セキュリティファイル内に複数のセキュリティコードが存在する場合には、複数のセキュリティコードが「セキュリティコード」の欄に表示される。ユーザは、この中から、ＰＬＣに登録する一つのセキュリティコードを選択する。

次に、ユーザは、「試用期間の登録」を行う。具体的には、「試用期間の登録」を行う場合、図例の「する」にチェックのうえ、「時間」を入力指定する。「試用期間の登録」を行わない場合には、「しない」にチェックを入れる（「試用期間」の登録は任意）。

「稼働時間リセット」は、稼働時間をリセットしない／する、を指定するものである。ＰＬＣに対し「試用期間」は再登録が可能であるので、再登録時、再登録時点迄に計測していた稼働時間をリセットしない／する、を指定できる。「試用期間」の初回登録時は、必ず「稼働時間リセット」をしない（デフォルト値）、と指定する。

以上の設定のうえ、ユーザは「登録」を押下する。その後、確認画面（ｄ）が表示され、セキュリティ情報の登録先のＰＬＣに対し、選択された「セキュリティコード」及び「試用期間」の登録が完了する。つまり、図例の場合、この時点で、「セキュリティコード」：006BZ-dpAo2wTsb83amk、「試用期間」：10（時間）が、ＰＬＣ２００のセキュアメモリ２０２に登録されたことになる。なお、「試用期間の登録」を行わない場合には、セキュリティ情報登録先のＰＬＣに対し、選択された「セキュリティコード」のみの登録が完了する。

（支援ローダ）
図６は、本実施形態に係る支援ローダのプログラミングエディタ画面例を示す。上述したように、支援ローダは、ＰＬＣプログラムの作成支援用コンピュータ装置である。ユーザは、この画面上で所望のＰＬＣプログラムを開発する。また、ユーザにより開発されたＰＬＣプログラムは、支援ローダ１００からＰＬＣ２００に対しダウンロードされる。

ユーザは、作成中の保護対象のプログラムを保護する場合、例えば、プログラミングエディタ上から所定操作を行う。これにより、ユーザが作成した「保護対象のプログラムコード」に対して、ＰＬＣ２００側でセキュリティコードチェック用のＳＦＢを呼び出す「ＳＦＢ用のプログラムコード」が追加される。その後、ユーザは、プログラミングエディタ上で「保護対象のプログラムコード」及び「ＳＦＢ用のプログラムコード」が含まれるプログラムコードのコンパイルを行って、ＰＬＣプログラムを作成する。また、作成したＰＬＣプログラムをＰＬＣ２００に対し送信する。

［情報処理］
次に、各装置の情報処理例について説明する。

（情報処理１）
図７は、本実施形態に係る情報処理１の流れを示すシーケンス図である。具体的には、まず、情報処理１では、セキュリティファイル発行装置３００がセキュリティファイルを生成し出力する処理、及びセキュリティコード登録装置４００が「セキュリティコード」や「試用期間」を含むセキュリティ情報をＰＬＣ２００に対して登録する処理を説明する（併せて図２を参照）。

Ｓ１：まず、セキュリティファイル発行装置３００に対し、ユーザにより「セキュリティコードＡ」が入力される（例えば図３の（ｃ）参照）。

Ｓ２：セキュリティファイル発行装置３００のセキュリティファイル生成部３０１は、ユーザにより入力された「セキュリティコード」（例えばＳＣ−Ａ）を受け取ると、その「セキュリティコード」（例えばＳＣ−Ａ）を含むセキュリティファイルを生成する。

Ｓ３：セキュリティファイル生成部３０１は、セキュリティコード登録装置３００の公開鍵を用いて、生成したセキュリティファイルを暗号化する。

Ｓ４：セキュリティファイル生成部３０１は、暗号化したセキュリティファイルを出力する（例えば図３の（ｄ）参照）。出力方法としては、例えば携帯型の記録媒体にセキュリティファイルを保存し、この記録媒体を介してセキュリティファイルをセキュリティコード登録装置４００に移動する方法がある。又は、ネットワークを介しセキュリティファイルをセキュリティコード登録装置４００に送信してもよい。

Ｓ５：次に、セキュリティコード登録装置４００のセキュリティファイル取込部４０１は、セキュリティファイル発行装置３００により発行されたセキュリティファイルを取込む（例えば図５の（ｃ）参照）。

Ｓ６：セキュリティファイル取込部４０１は、上述の公開鍵に対応する秘密鍵を用いて、暗号化されたセキュリティファイルを復号化する。

Ｓ７：セキュリティファイル取込部４０１は、復号化したセキュリティファイルから「セキュリティコード」（例えばＳＣ−Ａ）を抜き出してメモリ４０２に保存する。

Ｓ８：セキュリティ情報登録部４０３は、ユーザからセキュリティ情報の登録の指示を受けると、コード変換部４０４に対し、ユーザに選択された一つの「セキュリティコード」（例えばＳＣ−Ａ）を「セキュリティコード」（例えばＳＣ−Ｂ）に変換するよう依頼する。コード変換部４０４は、セキュリティ情報登録部４０３からの依頼に応じて、取得したセキュリティコードを所定のアルゴリズムにより別の異なるセキュリティコードに変換する。本実施形態では、「セキュリティコードＡ」を「セキュリティコードＢ」に変換するものとする。なお、このように「セキュリティコード」を変換するのは、セキュリティ性をより高めるためである。例えば、「セキュリティコードＡ」が流出した場合でも、その「セキュリティコードＡ」をそのまま使用することはできず、最終的に比較（又は照合）に用いられる「セキュリティコードＢ」がなくては、ＰＬＣプログラムを実行することはできない。

Ｓ９：ここで、ユーザから「試用期間」が入力されると、セキュリティ情報登録部４０３は、その「試用期間」を取得する（例えば図５の（ｃ）参照）。

Ｓ１０：セキュリティ情報登録部４０３は、変換された「セキュリティコード」（例えばＳＣ−Ｂ）と入力された「試用期間」とを含むセキュリティ情報を生成する。また、セキュリティ情報の登録先として指定されたＰＬＣ２００に対し、そのセキュリティ情報を登録する（例えば図５の（ｄ）参照）。具体的には上述したように、セキュリティ情報は、ＵＳＢやＬＡＮ等のネットワークを介してＰＬＣ２００に送信され、ＰＬＣ２００側でセキュアメモリ２０２に登録（保存）される。

なお、ＰＬＣ２００に対し「試用期間」は再登録が可能であり、再登録時、再登録時点迄に計測していた稼働時間をリセットしない／する、を指定できることは上述した（例えば図５の（ｃ）参照）。よって、「試用期間」の再登録時であって、「稼働時間リセット」が「する」と指定された場合、セキュリティ情報登録部４０３は、セキュリティ情報を登録する際に、併せて「稼働時間リセット」を示すフラグをＰＬＣ２００に送信しておく。

また、セキュリティコード登録装置４００のみでは、ユーザは自由に任意のセキュリティコードをＰＬＣ２００に対し登録することはできない。即ち、セキュリティファイル発行装置３００で出力したセキュリティファイルを、セキュリティコード登録装置４００に取込む必要がある（Ｓ５）。このように構成するのは、仮にセキュリティコード登録装置４００が流出した場合であっても、ＰＬＣプログラムを不正に使おうとするユーザが、ＰＬＣプログラム内のセキュリティコード（パラメータ）と一致するセキュリティコードを、ＰＬＣのセキュアメモリ２０２に自由に登録できないようにするためである。

Ｓ１１：次に、ＰＬＣ２００のセキュリティ情報登録受付部２０１は、セキュリティコード登録装置４００（セキュリティ情報登録部４０３）から取得したセキュリティ情報である「セキュリティコード」（例えばＳＣ−Ｂ）及び「試用期間」を、セキュアメモリ２０２に保存する。なお、上述の如く、このセキュアメモリ２０２はアクセスが制限されたメモリであるので、ユーザがこのセキュアメモリ２０２に対してアクセスすることはできない。

なお、上述したように、セキュリティ情報登録受付部２０１は、セキュリティコード登録装置４００（セキュリティ情報登録部４０３）から受付けたセキュリティ情報のみをセキュアメモリ２０２に登録し、他の装置からのセキュリティ情報の登録は受付けない。従って、ＰＬＣ２００は、セキュリティ情報の登録元（送信元）がセキュリティコード登録装置４００であることを確認してから、そのセキュリティ情報を登録する。一方、ＰＬＣ２００は、セキュリティ情報の登録元（送信元）がセキュリティコード登録装置４００であることを確認できない場合には、そのセキュリティ情報を破棄する。

登録元の具体的な確認方法として、例えば、セキュリティ情報の送受信時、ＰＬＣ２００は、セキュリティコード登録装置４００のみが有するキー（所定のデータやパスワード等）を用いた認証により、登録元を確認することができる。また、例えば、共通鍵暗号方式（秘密鍵暗号方式ともいう）を利用することもできる。セキュリティコード登録装置４００は、セキュリティコード登録装置４００の共通鍵（秘密鍵）を用いてセキュリティ情報を暗号化し、暗号化したセキュリティ情報をＰＬＣ２００に送信する。ＰＬＣ２００は、セキュリティコード登録装置４００と同一の共通鍵（秘密鍵）を保有しており、その共通鍵（秘密鍵）を用いてセキュリティ情報を復号化することにより、登録元を確認することができる。

Ｓ１２：稼働時間計測部２０３は、セキュアメモリ２０２に「試用期間」が保存されたタイミングで、ＰＬＣ２００の稼働時間の計測を開始する。稼働時間計測部２０３は、稼働時間の改ざんを防止するため、ＰＬＣ２００の標準時計（内部時計）とは別途、独立した時計によりＰＬＣ２００の稼働時間の計測を行う。また、稼働時間計測部２０３は、計測した稼働時間を、計測する毎に、セキュアメモリ２０２に逐一保存する。

なお、セキュアメモリ２０２に既に先の「試用期間」が存在している場合、稼働時間計測部２０３は、ＰＬＣ２００の稼働時間の計測を既に開始していることを意味する。そして、上述の如く、「試用期間」は再登録が可能であるところ、セキュリティコード登録装置４００（セキュリティ情報登録部４０３）から「稼働時間リセット」を示すフラグが送信されてきた場合には、Ｓ１１で、セキュリティ情報受付部２０１は、セキュアメモリ２０２に既に存在している「試用期間」を上書き（更新）する。また、稼働時間計測部２０３は、新たＰＬＣ２００の稼働時間の計測を開始する。

（情報処理２）
図８は、本実施形態に係る情報処理２の流れを示すシーケンス図である。具体的に、情報処理２では、支援ローダ１００のＰＬＣプログラム作成処理、支援ローダ１００のＰＬＣプログラムダウンロード処理、及びＰＬＣ２００のＰＬＣプログラム実行制御処理を説明する（併せて図２を参照）。

Ｓ２１：まず、支援ローダ１００のプログラム作成部１０１は、ＰＬＣ２００本体で動作するＰＬＣプログラムのプログラムコードを作成する（例えば図６参照）。即ち、ユーザがプログラミングエディタによりユーザ所望のユーザプログラムコードを作成すると、プログラム作成部１０１は、そのユーザプログラムコードの一部に、セキュリティコードチェック用のＳＦＢ２０６を呼び出すプログラムコードを追加する。また、併せてＳＦＢ２０６用のパラメータとして、「セキュリティコード」（例えばＳＣ−Ａ）を設定しておく。このセキュリティコードは、ユーザによって与えられ、セキュリティファイル発行装置３００に入力した「セキュリティコード」（例えばＳＣ−Ａ）と同一のものを設定する。

Ｓ２２：次いで、プログラム作成部１０１は、ユーザプログラムコード及びＳＦＢ２０６を呼び出すプログラムコードを含むプログラムコードを作成すると、コンパイルを行って、ＰＬＣプログラムを作成する。また、プログラム作成部１０１は、作成したＰＬＣプログラムをメモリ１０２に保存しておく。

Ｓ２３：次いで、プログラム作成部１０１は、ユーザ操作又は自動操作等により、作成したＰＬＣプログラムをＰＬＣ２００に送信する。

Ｓ２４：ＰＬＣ２００のプログラム実行部２０５は、プログラムメモリ２０４に格納されたＰＬＣプログラムの実行を制御する。プログラム実行部２０５は、ＰＬＣプログラムの実行処理を行う際、ＰＬＣプログラムにＳＦＢ機能部２０６を呼び出すコードが含まれている場合には、そのコードに従って、ＳＦＢ機能部２０６の呼び出しを行う。そして、プログラム実行部２０５は、ＳＦＢ機能部２０６からの返り値（「実行許可」又は「実行不許可」）に応じて、同ＰＬＣプログラムの実行を継続するか、実行を禁止（中止）する制御を行う。この点詳細は、再度後述する。なお、ＰＬＣプログラムにＳＦＢ機能部２０６を呼び出すコードが含まれていない場合、プログラム実行部２０５は、そのままＰＬＣプログラムの実行を行えばよい。

Ｓ２５：通知部２０９は、ＰＬＣプログラムの実行結果をユーザ等に通知する。具体的な通知方法としては、各装置のディスプレイ等に通知したり、ログファイルへログ出力する、又は所定の端末へメール等により通知することができる。なお、この通知は、ＰＬＣプログラムの実行が禁止された場合にのみ、通知するようにしてもよい。

（ＰＬＣプログラム実行制御処理）
図９は、本実施形態に係るプログラム実行部２０５のＰＬＣプログラム実行制御処理の流れを示すフローチャートである。具体的には、上述のＰＬＣプログラム実行制御（図８のＳ２４）について、図面を参照しながら以下説明する。

Ｓ３１：ＰＬＣ２００のプログラム実行部２０５は、プログラムメモリ２０４に格納されたＰＬＣプログラムを実行する。このときＰＬＣプログラムにセキュリティコードチェック用のＳＦＢ機能部２０６を呼び出すコードが含まれているか否かを判定する。ここで、プログラム実行部２０５は、ＰＬＣプログラムにセキュリティコードチェック用のＳＦＢ機能部２０６を呼び出すコードが含まれていない場合、そのＰＬＣプログラムは特別に保護されているものではないため、Ｓ３４へ進み、ＰＬＣプログラムをそのまま実行する。

Ｓ３２：プログラム実行部２０５は、ＰＬＣプログラムにセキュリティコードチェック用のＳＦＢ機能部２０６を呼び出すコードが含まれている場合、そのコードに従って、ＳＦＢ機能部２０６の呼び出しを行う。ここで、プログラム実行部２０５は、ＳＦＢ機能部２０６の呼び出しの際、ＰＬＣプログラムにＳＦＢ２０６用のパラメータとして設定されている「セキュリティコード」（例えばＳＣ−Ａ）を、ＳＦＢ機能部２０６に渡しておく。

Ｓ３３：プログラム実行部２０５は、ＳＦＢ機能部２０６から返り値（「実行許可」又は「実行不許可」）を取得する。返り値が「実行許可」である場合、Ｓ３４へ進む。一方、返り値が「実行不許可」である場合、Ｓ３５へ進む。

Ｓ３４：プログラム実行部２０５は、ＳＦＢ機能部２０６からの返り値が「実行許可」である場合、ＰＬＣプログラムを実行する。これにより、ＰＬＣ２００本体は、このＰＬＣプログラムによってユーザ所望の動作を実施することになる。

Ｓ３５：一方、プログラム実行部２０５は、ＳＦＢ機能部２０６からの返り値が「実行不許可」である場合、このＰＬＣプログラムを、正当なＰＬＣプログラムでないとみなし、実行を禁止（中止）する。

（ＳＦＢ機能処理）
図１０は、本実施形態に係るＳＦＢ機能部２０６のセキュリティコードチェック処理の流れを示すフローチャートである。具体的には、上述のＰＬＣプログラム実行制御（図９のＳ３２）について、図面を参照しながら以下説明する。

Ｓ４１：図９のＳ３２において、プログラム実行部２０５によりＳＦＢ機能部２０６の呼び出しが行われると、ＳＦＢ機能部２０６の比較照合部２０７は、セキュアメモリ２０２から「試用期間」を取得する。「試用期間」を取得できた場合は、Ｓ４２へ進む。一方、「試用期間」を取得できない場合は、Ｓ４５へ進む。なお、「試用期間」を取得できない場合とは、セキュアメモリ２０２で「試用期間」が未登録の場合である。

Ｓ４２：比較照合部２０７は、「試用期間」を取得できた場合、今度はセキュアメモリ２０２から「稼働時間」を取得する。「稼働時間」は、「試用期間」が保存されるタイミングでその計測が開始されるので、「試用期間」がセキュアメモリ２０２に登録されている場合、「稼働時間」もまたセキュアメモリ２０２に保存されていることになる。

Ｓ４３：比較照合部２０７は、セキュアメモリ２０２から「稼働時間」及び「試用期間」を取得すると、「稼働時間」に基づいて「試用期間」が利用可能な期間内であるか否かを判定する。上述の如く、「試用期間」は、ＰＬＣ２００の利用可能な期間を示し、「稼働時間」は、ＰＬＣ２００の「稼働時間」を示す。よって、比較照合部２０７は、「稼働時間」及び「試用期間」に基づいて、ＰＬＣ２００が「試用期間」内であるか否かを判定できる。ＰＬＣ２００が「試用期間」内である場合、Ｓ４４へ進む。一方、ＰＬＣ２００が「試用期間」内でない場合、Ｓ５１へ進む。

例えば、ＰＬＣ２００の稼働開始から５時間経過している場合、「稼働時間」は５（Ｈ）となっており、「試用期間」が１０（Ｈ）であるとすると、ＰＬＣ２００が利用可能な「試用期間」内であると判定される。また例えば、ＰＬＣ２００の稼働開始から１２時間経過している場合、「稼働時間」は１２（Ｈ）となっており、「試用期間」が１０（Ｈ）であるとすると、ＰＬＣ２００が利用可能な「試用期間」内でないと判定される。

Ｓ４４：比較照合部２０７は、セキュリティコードチェックの対象となったＰＬＣプログラムの実行を許可するため、プログラム実行部２０５に対し、返り値：「実行許可」を発行する。

Ｓ４５：一方、比較照合部２０７は、セキュアメモリ２０２から「試用期間」を取得できない場合（Ｓ４１）、コード変換部２０８に対し、パラメータ：「セキュリティコード」（例えばＳＣ−Ａ）の変換を依頼する。「セキュリティコード」には、プログラム実行部２０５によるＳＦＢ機能部２０６の呼び出しの際、ＰＬＣプログラムにＳＦＢ２０６用のパラメータとして設定されているものが取得されている（図９のＳ３２）。

Ｓ４６：コード変換部２０８は、比較照合部２０７の依頼に応じて、「セキュリティコード」を変換する。コード変換部２０８は、セキュリティコード登録装置４００のコード変換部４０４と同一のアルゴリズムによりセキュリティコードに変換する。よって、本実施形態の場合、「セキュリティコードＡ」は「セキュリティコードＢ」に変換されることになる。コード変換部２０８は、変換後の「セキュリティコード」を比較照合部２０７に渡す。

Ｓ４７：比較照合部２０７は、コード変換部２０８から変換後の「セキュリティコード」を取得できた場合、Ｓ４８へ進む。一方、コード変換部２０８から変換後の「セキュリティコード」を取得できない場合、Ｓ５１へ進む。

Ｓ４８：比較照合部２０７は、セキュアメモリ２０２から「セキュリティコード」（例えばＳＣ−Ｂ）を取得する。「セキュリティコード」を取得できた場合は、Ｓ４９へ進む。一方、「セキュリティコード」を取得できない場合は、Ｓ５１へ進む。なお、「セキュリティコード」を取得できない場合とは、セキュアメモリ２０２において「セキュリティコード」が未登録の場合である。

Ｓ４９：比較照合部２０７は、変換されたパラメータ「セキュリティコード」と、セキュアメモリ２０２の「セキュリティコード」とを取得すると、両セキュリティコードを比較（又は照合）する。

Ｓ５０：両セキュリティコードが一致した場合、Ｓ４４へ進む。即ち、比較照合部２０７は、セキュリティコードチェックの対象となったＰＬＣプログラムの実行を許可するため、プログラム実行部２０５に対し、返り値：「実行許可」を発行する。一方、両セキュリティコードが一致しない場合、Ｓ５１へ進む。

Ｓ５１：比較照合部２０７は、セキュリティコードチェックの対象となったＰＬＣプログラムの実行を不許可とするため、プログラム実行部２０５に対し、返り値：「実行不許可」を発行する。

［まとめ］
以上、本実施形態に係る情報処理例において、ＰＬＣ２００でＰＬＣプログラムが実行される際、ＰＬＣプログラムに追加されているＳＦＢ呼び出すコードにより、ＳＦＢ機能部２０６が呼び出され、ＰＬＣプログラム内のセキュリティコードチェック処理が実施される。一方、ＰＬＣ２００のアクセス制限がなされたセキュアメモリ２０２には、セキュリティファイル発行装置３００及びセキュリティコード登録装置４００を介して、予め「セキュリティコード」が格納されている。そして、ＰＬＣプログラム内の変換後のセキュリティコードとの比較（又は照合）により、両セキュリティコードが一致した場合、このＰＬＣプログラムは正当なＰＬＣプログラムであると判定され、ＰＬＣ２００では同ＰＬＣプログラムの実行が許可される。一方、両セキュリティコードが一致しない場合、このＰＬＣプログラムは正当なＰＬＣプログラムでない（ＰＬＣプログラムの不正使用である）と判定され、ＰＬＣ２００では同ＰＬＣプログラムの実行が許可されない。

このように、本実施形態によれば、正当なＰＬＣでしかＰＬＣプログラムを動かせないようになるので、ＰＬＣプログラムの不正使用を防止するという効果を奏する。そして、ＰＬＣを使って製品開発しているセットメーカー等にとって、ＰＬＣやＰＬＣプログラムの模倣品や海賊版製品が市場に出回ることを予防することができる。

またここで、例えば本実施形態に係るＰＬＣ２００が故障した場合、故障したＰＬＣ２００を修理している間は工場の生産活動が停止してしまうことから、代替機のＰＬＣ（ＰＬＣ２００−２とする）を一時的に設置し、工場の生産活動を継続させる場合を考える。このとき、具体的な代替機を使用した復旧作業は、次の通りである。

まず、保守作業員（等）は、物理的に代替機ＰＬＣ２００−２を設置する。次に、保守作業員は、セキュリティコード登録装置４００から代替機ＰＬＣ２００−２に対し、セキュリティ情報を登録する。このセキュリティ情報は、故障したＰＬＣ２００に対して登録したセキュリティ情報と同一のものである。セキュリティコード登録装置４００のメモリ４０２に保存されているものをそのまま登録すればよい。これにより、代替機ＰＬＣ２００−２のセキュアメモリ２０２には、「セキュリティコード」（例えばＳＣ−Ｂ）が格納される。

次いで、保守作業員は、代替機ＰＬＣ２００−２のプログラムメモリ２０４に対し、ＰＬＣプログラムを格納する（ダウンロードする）。このＰＬＣプログラムは、故障したＰＬＣ２００に対して使用していたＰＬＣプログラムと同一のものである。支援ローダ１００のメモリ１０２に保存されているものをそのまま格納すればよい。又は、上述したように、支援ローダ１００により作成されたＰＬＣプログラムをユーザＲＯＭカードスロット２１０に挿入された記録媒体に格納していた場合、保守作業員は、故障したＰＬＣ２００から記録媒体を抜き取って、その記録媒体を代替機ＰＬＣ２００−２のユーザＲＯＭカードスロット２１０に挿入する。これにより、代替機ＰＬＣ２００−２のプログラムメモリ２０４には、それまで使用していたＰＬＣプログラムが格納される（転送される）。

後は、代替機ＰＬＣ２００−２において、保守作業員は、ＰＬＣプログラムを実行しさえすればよい。ＰＬＣプログラム実行時、ＳＦＢ機能部２０６（比較照合部２０７）のセキュリティコードチェック処理においても、ＰＬＣプログラム内のパラメータが変換された「セキュリティコード」（例えばＳＣ−Ｂ）と、セキュアメモリ２０２の「セキュリティコード」（例えばＳＣ−Ｂ）とは一致するので、ＰＬＣプログラムの実行は許可される。

以上のような簡便な復旧作業により、代替機ＰＬＣ２００−２においても、故障したＰＬＣ２００で実行していたものと同一のＰＬＣプログラムを実行することができる。即ち、代替機ＰＬＣ２００−２を使用して、故障したＰＬＣ２００と同様の生産活動を迅速に再開可能である。

また、本実施形態に係る情報処理例においては、ＰＬＣ２００でＰＬＣプログラムが実行される際、セキュリティコードチェック処理が実施されるが、「試用期間」内であれば、両「セキュリティコード」の一致は必要なく、ＰＬＣプログラムの実行が可能となっている。

先にセキュリティコード登録装置４００から代替機ＰＬＣ２００−２に対し、セキュリティ情報を登録する点を述べたが、セキュリティコード登録装置４００が手元にない場合、保守作業員は、セキュリティコード登録装置４００から代替機ＰＬＣ２００−２に対し、故障したＰＬＣ２００に登録していたセキュリティ情報と同一のセキュリティ情報を登録することはできない。

しかしながら、そのような場合であっても、保守作業員は、代替機のセキュリティファイル発行装置（セキュリティファイル発行装置３００−２とする）及び代替機のセキュリティコード登録装置（セキュリティコード登録装置４００−２とする）を用意すればよい。保守作業員は、代替機セキュリティファイル発行装置３００−２及び代替機セキュリティコード登録装置４００−２において、正当な「セキュリティコード」が分からない場合でも、任意（ダミー：Dammy）の「セキュリティコード」を入力する（例えば図３の（ｃ）、図５の（ｃ）参照）。そして、故障したＰＬＣ２００の修理が完了する迄程度の期間を「試用期間」として登録し（例えば図５の（ｃ）参照）、代替機ＰＬＣ２００−２に対して、任意（ダミー）の「セキュリティコード」と「試用期間」とを含むセキュリティ情報を登録しさえすれば、両「セキュリティコード」の一致がなくとも、暫定的にＰＬＣプログラムの実行が可能である。即ち、代替機ＰＬＣ２００−２を使用して、故障したＰＬＣ２００と同様の生産活動を迅速に再開可能である。

また、ＰＬＣ２００（ＰＬＣ２００−２を含む）にＰＬＣプログラムを格納する前に、予め「試用期間」の初期値として１ヶ月又は１週間等の「試用期間」を登録しておくことで、上述した保守作業員による「試用期間」の登録が不要となる。

さらに、「試用期間」の間、ユーザ先にＰＬＣ２００を貸し出す場合、ＰＬＣ２００に「セキュリティコード」と「試用期間」を予め登録して貸し出すことで、「試用期間」のチェックが有効となる。その後、試用期間中にユーザがＰＬＣ２００の購入を希望した場合は、登録した「試用期間」を削除することで、その後は、「セキュリティコード」のチェックが有効となる。

このように、本実施形態に係るＰＬＣによれば、制御プログラムの運用・保守性に配慮しつつ、ＰＬＣ上で動作する制御プログラムに対するセキュリティの観点から、制御プログラムの不正使用を防止することが可能となっている。

［応用例］
次に、ＰＬＣ２００は、ＧＰＳ（Global Positioning System）センサを備え、ＰＬＣが使用される位置について、認証を実施する例について説明する。つまり、ＰＬＣ２００がＰＬＣプログラムを実行する際、そのＰＬＣプログラムの使用が認められている使用位置にそのＰＬＣが設置されているかどうかを認証する。そして、その使用位置にＰＬＣ２００が位置する場合に、ＰＬＣ２００は、そのＰＬＣプログラムの実行を許可する。これにより、ＰＬＣ上で動作する制御プログラムに対するセキュリティをより向上させるものである。以下説明する。

図１１は、本応用例に係る制御システム構成図の機能構成例である。上述の図２の機能構成例と比べ、支援ローダ１００及びＰＬＣ２００の一部の点で異なっている。以下異なる点を中心に説明する。

（支援ローダ）
本応用例に係る支援ローダ１００において、プログラム作成部１０１は、ＰＬＣ２００本体で動作するＰＬＣプログラムの作成（作成支援）を行う。このときプログラム作成部１０１は、上述したようにユーザが作成したユーザプログラムコードについて、セキュリティコードチェック用のＳＦＢ機能部２０６を呼び出すコードをユーザ作成のプログラムの一部に追加する。また、併せてセキュリティコードチェック用のＳＦＢ２０６用のパラメータとして、「セキュリティコードＡ」を設定しておく。また、さらに本応用例においては、セキュリティコードチェック用のＳＦＢ２０６用のパラメータとして、「有効位置情報」を設定しておく。

「有効位置情報」は、ＰＬＣプログラムの実行を許可するＰＬＣ２００の使用位置（設置位置）を指定するための情報である。つまり、「有効位置情報」で指定された使用位置にＰＬＣ２００が位置する場合に、ＰＬＣ２００は、そのＰＬＣプログラムの実行を許可する。従って、ユーザは、ＰＬＣ２００の使用位置（例えば工場の位置）を「有効位置情報」として指定する必要がある。

図１２は、「有効位置情報」の指定例を示す。「有効位置情報」は、例えば、北緯a度b分c秒、東経d度e分f秒などのように、（緯度ｘ．経度ｙ）といったＧＰＳから取得される位置座標の形式で入力することができる。

例えば（ａ）のように、ユーザは「有効位置情報」を２点の位置座標により指定できる。この場合、矩形の範囲内が有効位置範囲となるので、例えば工場等の敷地内を有効位置範囲となるように指定するとよい。

また、例えば（ｂ）のように、ユーザは「有効位置情報」を多角点の位置座標により指定できる。この場合、多角形の範囲内が有効位置範囲となるので、例えば工場等の建物内を有効位置範囲となるように指定するとよい。

また、例えば（ｃ）のように、ユーザは「有効位置情報」を１点の位置座標により指定できる。この場合、１点の中心点の周辺円範囲内が有効位置範囲となる。中心点からどの程度の円範囲内を有効位置範囲とするかについては、ＰＬＣ２００側で予め所定半径ｚを定めていてもよいし、ユーザが中心点の位置座標とともに、その半径ｚを指定できるようにしてもよい。

（ＰＬＣ）
次に、本応用例に係るＰＬＣ２００には、図１１に示されるように、位置情報取得部２１１が追加される。位置情報取得部２１１は、ＧＰＳセンサ等により実現され、ＧＰＳ衛星からの信号を受信し、ＰＬＣ２００が位置する「現在位置情報」を取得する。位置情報取得部２１１は、取得した「現在位置情報」をセキュリティ情報登録受付部２０１に渡す。セキュリティ情報登録受付部２０１は、その「現在位置情報」をセキュアメモリ２０２に保存する。セキュリティ情報登録受付部２０１を介して「現在位置情報」をセキュアメモリ２０２に保存するのは、セキュアメモリ２０２へのアクセスは制限されており、セキュリティ情報登録受付部２０１は、セキュアメモリ２０２に対し書き込み権限を有するためである。また、「現在位置情報」もセキュリティに関する情報の一つである。

プログラム実行部２０５は、プログラムメモリ２０４に格納されたＰＬＣプログラムを実行する。また、プログラム実行部２０５は、ＰＬＣプログラムにセキュリティコードチェック用のＳＦＢ機能部２０６を呼び出すコードが含まれている場合、そのコードに従って、ＳＦＢ機能部２０６を呼び出す。そして、プログラム実行部２０５は、ＳＦＢ機能部２０６からＰＬＣプログラムの実行許可を得た場合のみ、ＰＬＣプログラムの実行を継続し、ＰＬＣプログラムの実行不許可を得た場合には、ＰＬＣプログラムの実行を禁止（停止）する。

比較照合部２０７は、プログラム実行部２０５によりＳＦＢ機能部２０６が呼び出されると、上述したように、「試用期間」、「稼働時間」、及び「セキュリティコード」に基づいて、ＰＬＣプログラムの実行許可、不許可を判定するが、本応用例ではさらに「現在位置情報」に基づいて、ＰＬＣプログラムの実行許可、不許可を判定する。

つまり、比較照合部２０７は、セキュアメモリ２０２に保存されている「現在位置情報」を取得する。上述の如く、セキュアメモリ２０２の「現在位置情報」は、ＰＬＣ２００が設置されている位置情報を示す。また、比較照合部２０７は、セキュリティコードチェックの対象となるＰＬＣプログラムにパラメータとして設定されている「有効位置情報」を取得する。そして、比較照合部２０７は、「現在位置情報」と「有効位置情報」とを比較（又は照合）し、両位置情報が一致した場合（「現在位置情報」が「有効位置情報」に指定される範囲内である場合）、セキュリティコードチェックの対象となったＰＬＣプログラムの実行を許可するため、プログラム実行部２０５に対し、返り値：「実行許可」を発行する。一方、比較照合部２０７は、両位置情報が一致しない場合、セキュリティコードチェックの対象となったＰＬＣプログラムの実行を不許可とするため、プログラム実行部２０５に対し、返り値：「実行不許可」を発行する。

（ＳＦＢ機能処理）
図１３は、本応用例に係るＳＦＢ機能部２０６のセキュリティコードチェック処理の流れを示すフローチャートである。上述の図１０と比べ、Ｓ５０に続くＳ５２〜５４のステップが追加されており、それ以外のステップは同様である。図面を参照しながら以下Ｓ５２〜５４について説明する。

Ｓ５２：比較照合部２０７は、Ｓ５０で両セキュリティコードが一致した場合、今度は、セキュアメモリ２０２から「現在位置情報」を取得する。「現在位置情報」を取得できた場合は、Ｓ５３へ進む。一方、「現在位置情報」を取得できない場合は、Ｓ５１へ進む。なお、「現在位置情報」を取得できない場合とは、例えば、ＧＰＳセンサで位置情報を取得できない場所に位置する等である。この場合、「現在位置情報」を取得できない旨を通知し、ＧＰＳセンサで位置情報を取得できるように、ＰＬＣの設置位置の見直し等を促すとよい（図８のＳ２５）。

Ｓ５３：比較照合部２０７は、「現在位置情報」と「有効位置情報」とを比較（又は照合）する。なお、「有効位置情報」に関し、比較照合部２０７は、プログラム実行部２０５によるＳＦＢ機能部２０６の呼び出しの際、ＰＬＣプログラムでＳＦＢ２０６用のパラメータとして設定されている「有効位置情報」を取得している（図９のＳ３２）。

Ｓ５４：比較照合部２０７は、「現在位置情報」と「有効位置情報」とが一致した場合（「現在位置情報」が「有効位置情報」に指定される範囲内である場合）、Ｓ４４へ進む。

そして、比較照合部２０７は、セキュリティコードチェックの対象となったＰＬＣプログラムの実行を許可するため、プログラム実行部２０５に対し、返り値：「実行許可」を発行する（Ｓ４４）。

一方、比較照合部２０７は、両位置情報が一致しない場合、Ｓ５１へ進む。そして、比較照合部２０７は、セキュリティコードチェックの対象となったＰＬＣプログラムの実行を不許可とするため、プログラム実行部２０５に対し、返り値：「実行不許可」を発行する。

以上、本応用例においては、ＰＬＣプログラム内に当該プログラムの利用を可能とする「有効位置情報」を格納しておくことで、ＰＬＣ２００のＧＰＳセンサから取得した「現在位置情報」をもとに、ＰＬＣプログラムを利用可能なエリア（場所）に設置したＰＬＣ２００だけがそのＰＬＣプログラムを実行することができる。このため、例えばＰＬＣ２００を設置した後、ＰＬＣ２００本体そのものが持ち出されてしまった場合等、「有効位置情報」による指定位置以外でＰＬＣプログラムを実行することはできないので、ＰＬＣプログラムの使用（不正使用といえる）を防止することが可能となる。即ち、ＰＬＣ２００上で動作する制御プログラムに対するセキュリティをより向上させることが可能である。

以上のように、本実施形態及び応用例によれば、制御プログラムの運用・保守性に配慮しつつ、ＰＬＣ上で動作する制御プログラムに対するセキュリティの観点から、制御プログラムの不正使用を防止する制御システム、制御装置及び制御方法を提供することができる。

なお本発明は係る特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

１００ 支援ローダ
１０１ プログラム作成部
１０２ メモリ
２００ ＰＬＣ
２０１ セキュリティ情報登録受付部
２０２ セキュアメモリ
２０３ 稼働時間計測部
２０４ プログラムメモリ
２０５ プログラム実行部
２０６ ＳＦＢ機能部２０６
２０７ 比較照合部
２０８ コード変換部
２０９ 通知部
２１０ ユーザＲＯＭカードスロット
２１１ 位置情報取得部
３００ セキュリティファイル発行装置
３０１ セキュリティファイル生成部
４００ セキュリティコード登録装置
４０１ セキュリティファイル取込部
４０２ メモリ
４０３ セキュリティ情報登録部
４０４ コード変換部

Claims (12)

1. セキュリティファイル発行装置と、セキュリティコード登録装置と、支援ローダと、制御装置とを含む制御システムであって、
   前記セキュリティファイル発行装置は、
   第１のセキュリティコードを含むセキュリティファイルを生成するセキュリティファイル生成手段を有し、
   前記セキュリティコード登録装置は、
   前記セキュリティファイルから取得した前記第１のセキュリティコードを所定のアルゴリズムにより第２のセキュリティコードに変換するコード変換手段と、
   前記第２のセキュリティコードを含むセキュリティ情報を前記制御装置に登録するセキュリティ情報登録手段と、を有し、
   前記支援ローダは、
   前記第１のセキュリティコードと所定のプログラムコードとを含むユーザプログラムを作成するプログラム作成手段を有し、
   前記制御装置は、
   前記ユーザプログラムを格納した第１メモリと、
   前記セキュリティ情報登録手段により登録された前記第２のセキュリティコードを含むセキュリティ情報を格納した第２メモリと、
   前記第１メモリに格納された前記ユーザプログラムの実行を許可する実行許可手段と、
   前記実行許可手段により実行が許可された前記ユーザプログラムを実行するプログラム実行手段と、を有し、
   前記実行許可手段は、前記第１メモリに格納された前記ユーザプログラムに前記所定のプログラムコードが含まれるとき、前記ユーザプログラムに含まれる第１のセキュリティコードを前記所定のアルゴリズムにより変換し、変換された該セキュリティコードと、前記第２メモリに格納されたセキュリティ情報から取得した第２のセキュリティコードとを比較し、一致した場合、前記ユーザプログラムの実行を許可すること、
   を特徴とする制御システム。
2. 前記セキュリティ情報登録手段は、
   試用期間情報が入力されると、該試用期間情報と前記第２のセキュリティコードとを含むセキュリティ情報を前記制御装置に登録し、
   前記制御装置は、
   前記第２メモリには、前記セキュリティ情報登録手段により登録された前記試用期間情報と前記第２のセキュリティコードとを含むセキュリティ情報が格納され、
   前記実行許可手段は、前記第２メモリに格納されたセキュリティ情報に前記試用期間情報が含まれるとき、試用期間中は、前記第１メモリに格納されたユーザプログラムの実行を許可すること、
   を特徴とする請求項１記載の制御システム。
3. 前記制御装置は、
   制御装置の稼動時間を計測する計測手段を有し、
   前記計測手段は、
   前記試用期間情報を含むセキュリティ情報が前記第２メモリに格納されたとき、制御装置の稼働時間の計測を開始し、
   前記実行許可手段は、前記稼動時間と前記試用期間情報を比較し、現在時点での稼動時間が試用期間内である場合、試用期間中とみなして、前記第１メモリに格納されたユーザプログラムの実行を許可すること、
   を特徴とする請求項２記載の制御システム。
4. 前記支援ローダの前記プログラム作成手段は、
   前記第１のセキュリティコードと前記所定のプログラムコードとに加え、所定の位置情報とを含むユーザプログラムを作成し、
   前記制御装置は、
   制御装置の現在位置情報を取得する位置情報取得手段を有し、
   前記実行許可手段は、前記第１メモリに格納された前記ユーザプログラムに前記所定の位置情報が含まれるとき、前記現在位置情報が該所定の位置情報で特定される位置範囲外である場合、前記第１メモリに格納されたユーザプログラムの実行を不許可にすること、
   を特徴とする請求項１ないし３何れか一項記載の制御システム。
5. 第１のセキュリティコードと所定のプログラムコードとを含むユーザプログラムを格納した第１メモリと、
   セキュリティコード登録装置により前記第１のセキュリティコードを所定のアルゴリズムで変換し登録された第２のセキュリティコード含むセキュリティ情報を格納した第２メモリと、
   前記第１メモリに格納された前記ユーザプログラムの実行を許可する実行許可手段と、
   前記実行許可手段により実行が許可された前記ユーザプログラムを実行するプログラム実行手段と、を有し、
   前記実行許可手段は、前記第１メモリに格納された前記ユーザプログラムに前記所定のプログラムコードが含まれるとき、前記ユーザプログラムに含まれる第１のセキュリティコードを前記所定のアルゴリズムにより変換し、変換された該セキュリティコードと、前記第２メモリに格納されたセキュリティ情報から取得した第２のセキュリティコードとを比較し、一致した場合、前記ユーザプログラムの実行を許可すること、
   を特徴とする制御装置。
6. 通常のプログラムメモリ領域とは別のセキュリティ強化された領域に、支援ローダから入力される所定のプログラムコードにより呼び出されてユーザプログラム実行の許可又は不許可を判定する機能ブロックを有し、
   前記機能ブロックは、
   前記支援ローダから前記所定のプログラムコードと第１のセキュリティコードとを含むユーザプログラムが入力されると、前記第１のセキュリティコードとセキュリティコード登録装置から入力されたセキュリティコード情報とに基づいて、前記ユーザプログラム実行の許可又は不許可を判定すること、
   を特徴とする請求項５記載の制御装置。
7. 前記第２メモリには、前記セキュリティコード登録装置により登録された試用期間情報と前記第２のセキュリティコードとを含むセキュリティ情報が格納され、
   前記実行許可手段は、前記第２メモリに格納されたセキュリティ情報に前記試用期間情報が含まれるとき、試用期間中は、前記第１メモリに格納されたユーザプログラムの実行を許可すること、
   を特徴とする請求項５記載の制御装置。
8. 制御装置の稼動時間を計測する計測手段を有し、
   前記計測手段は、
   前記試用期間情報を含むセキュリティ情報が前記第２メモリに格納されたとき、制御装置の稼働時間の計測を開始し、
   前記実行許可手段は、前記稼動時間と前記試用期間情報を比較し、現在時点での稼動時間が試用期間内である場合、試用期間中とみなして、前記第１メモリに格納されたユーザプログラムの実行を許可すること、
   を特徴とする請求項７記載の制御装置。
9. 制御装置の現在位置情報を取得する位置情報取得手段を有し、
   前記第１メモリには、前記第１のセキュリティコードと前記所定のプログラムコードとに加え、所定の位置情報とを含むユーザプログラムが格納され、
   前記実行許可手段は、前記第１メモリに格納された前記ユーザプログラムに前記所定の位置情報が含まれるとき、前記現在位置情報が該所定の位置情報で特定される位置範囲外である場合、前記第１メモリに格納されたユーザプログラムの実行を不許可にすること、
   を特徴とする請求項５ないし７何れか一項記載の制御装置。
10. セキュリティコード登録装置は、第１のセキュリティコードを所定のアルゴリズムにより変換した第２のセキュリティコードを含むセキュリティ情報を作成して制御装置に入力し、
    支援ローダは、所定のプログラムコードと前記第１のセキュリティコードとを含むユーザプログラムを作成して前記制御装置に入力し、
    前記制御装置は、前記ユーザプログラムに前記所定のプログラムコードが含まれるとき、前記支援ローダから入力された前記第１のセキュリティコードを前記所定のアルゴリズムにより変換し、変換された該セキュリティコードと前記第２のセキュリティコードとが一致することを条件に、前記ユーザプログラムの実行を許可すること、
    を特徴とするプログラム実行制御方法。
11. 前記セキュリティコード登録装置は、前記制御装置に入力する前記セキュリティ情報に試用期間情報を付加し、
    前記制御装置は、試用期間中は、前記ユーザプログラムの実行を許可すること、
    を特徴とする請求項１０記載のプログラム実行制御方法。
12. 前記支援ローダは、前記制御装置に入力する前記ユーザプログラムに、該ユーザプログラムの実行を許可する有効位置情報を付加し、
    前記制御装置は、現在位置情報が前記有効位置情報で特定される位置範囲外のとき、前記ユーザプログラムの実行を不許可にすること、
    を特徴とする請求項１０又は１１記載のプログラム実行制御方法。

Images