JP7225958B2 - 制御装置および制御システム - Google Patents

Description

本発明は、制御対象を制御する制御装置、およびその制御装置を含む制御システムに関する。

通信装置の間でのセキュア通信のため、暗号通信が従来から用いられている。たとえば国際公開第２０１６／１４７５６８号（特許文献１）は、事前共有鍵を用いた暗号通信を開示する。

公開鍵電子証明書が失効した場合、その失効した公開鍵電子証明書が更新されるまで、通信装置の間では暗号通信ができない。国際公開第２０１６／１４７５６８号に開示された通信装置は、相手方通信装置の公開鍵電子証明書が失効しているか否かを判定する失効判定部と、失効判定部によって公開鍵電子証明書が失効していると判定された場合に、公開鍵電子証明書の失効通知を相手方通信装置へ送信する失効通知部とを備える。

国際公開第２０１６／１４７５６８号

各種の製造設備および各設備に配置される各種装置の制御に、ＰＬＣ（プログラマブルロジックコントローラ）などの制御装置が用いられている。近年のＩＣＴ（Information and Communication Technology）の進歩に伴って、制御装置も様々な外部装置とネットワークで接続されるとともに、制御装置において実行される処理も高度化している。このようなネットワーク化あるいはインテリジェント化に伴って、制御装置がさまざまな脅威にさらされることが想定される。したがって想定される脅威から制御装置を守るための方策が必要である。

たとえば、制御装置の通信に上述のような暗号通信を適用することが考えられる。この場合、制御装置には電子証明書が格納される。しかし、電子証明書には期限がある。電子証明書が失効すると、暗号通信を行うことができない。

制御装置の電子証明書が有効であるか否かを常時監視することは容易ではない。そのため国際公開第２０１６／１４７５６８号に開示されるように、公開鍵電子証明書の失効通知を相手方通信装置へ送信することが考えられる。しかし、この場合にも、ユーザは通知を受けるまでは、証明書が失効したことを知ることができない。

本発明の目的は、制御装置に格納された証明書の寿命を、ユーザが容易に把握できるようにすることである。

本開示の一例では、制御装置は、制御対象を制御するための制御演算を実行するように構成された制御部と、証明書を利用したセキュア通信のための処理を実行する通信部と、証明書の寿命が近づいていることを検知する検知部と、証明書の寿命が近づいていることを通知する通知部とを含む。

上記によれば、制御装置に格納された証明書の寿命を、ユーザが容易に把握できる。したがってユーザは、証明書の寿命の前に証明書を更新することができる。「証明書の寿命」とは、証明書が使用できない状態を意味する。たとえば証明書の有効期限が到来することにより証明書が失効した状態が「証明書の寿命」に対応する。暗号寿命により証明書が使用できない状態も「証明書の寿命」に含まれうる。

好ましくは、証明書の寿命は証明書の有効期限であり、通知部は、証明書が失効する前の一定のタイミングにおいて、証明書の有効期限が近づいていることを通知する。

上記によれば、証明書が一定期間後に失効することをユーザに予告することができる。これにより、ユーザが証明書を更新するための時間を確保することができる。

好ましくは、制御装置は、筐体を含む。通知部は、筐体に設けられ、寿命が近づいていることを光により通知するインジケータを含む。

上記によれば、ユーザが制御装置を見ることにより、証明書の寿命が近づいていることを確認できる。ユーザは証明書の寿命を確認するためのツールを用意する必要がない。したがって、ユーザの利便性を向上させることができる。

好ましくは、通知部は、寿命が近づいていることを通知するための音を発生させる音声出力部を含む。

上記によれば、ユーザは、制御装置から発生する音により、証明書の寿命が近づいていることを確認できる。ユーザは証明書の寿命を確認するためのツールを用意する必要がない。したがって、ユーザの利便性を向上させることができる。

好ましくは、通知部は、寿命が近づいていることをメールにより通知する。
上記によれば、ユーザは、制御装置から発生する光あるいは音だけでなく、メールのメッセージからも証明書の寿命が近づいていることを確認できる。

本開示の一例では、制御システムは、上記のいずれかに記載の制御装置と、証明書が寿命に達する前の通知のタイミングを制御装置に対して設定する設定装置とを備える。

上記によれば制御装置に格納された証明書の寿命を、ユーザが容易に把握できる。さらに、ユーザの所望のタイミングで、証明書の寿命が近づいていることを通知することができる。

好ましくは、制御装置に複数の証明書が格納されている場合、設定装置は、複数の証明書の有効期限を一括して表示する。

上記によれば、制御装置に格納された複数の証明書の各々の有効期限を、ユーザが容易に把握できるので、ユーザの利便性を向上させることができる。

本開示の一例では、制御システムは、上記のいずれかに記載の制御装置と、制御装置との間で通信を行う通信装置とを備え、制御装置は、失効期限の前に新しい証明書を受け付けて、通信装置に更新リクエストを送信し、通信装置が新しい証明書を承認すると、古い証明書を破棄することで証明書を更新する。

上記によれば、セキュア通信により制御装置に格納された証明書を更新することができる。

本発明によれば、制御装置に格納された電子証明書の寿命を、ユーザが容易に把握できる。

本実施の形態に係る制御装置の構成例を示す外観図である。 本実施の形態に従う制御装置を構成する制御ユニットのハードウェア構成例を示す模式図である。 本実施の形態に従う制御装置１を構成するセキュリティユニットのハードウェア構成例を示す模式図である。 本実施の形態に従う制御装置１を構成するセーフティユニットのハードウェア構成例を示す模式図である。 本実施の形態に従う制御装置を含む制御システムの典型例を示す模式図である。 本実施の形態に従う制御ユニットが備える機能構成例を示す模式図である。 ＯＰＣ－ＵＡ通信システムを示した模式図である。 証明書の有効期限の通知のための制御装置の構成例を示した図である。 証明書の有効期限の通知のための制御装置の別の構成例を示した図である。 通知設定の例を示した図である。 通知設定の他の例を示した図である。 ＯＰＣ－ＵＡサーバおよびＯＰＣ－ＵＡクライアントの通常運転時の状態を説明するための模式図である。 証明書の更新処理における、新証明書の発行ステップを説明するための図である。 証明書の更新処理における、新証明書の送信ステップおよび更新リクエストの通知ステップを説明するための図である。 証明書の更新処理における新証明書の承認ステップを説明するための図である。 証明書の更新処理における、古い証明書の破棄ステップを説明するための図である。 複数のコアを有するプロセッサの模式図である。

本発明の実施の形態について、図面を参照しながら詳細に説明する。なお、図中の同一または相当部分については、同一符号を付してその説明は繰り返さない。

＜Ａ．制御装置１＞
まず、本実施の形態に従う制御装置１の構成について説明する。

図１は、本実施の形態に係る制御装置１の構成例を示す外観図である。図１を参照して、制御装置１は、制御ユニット１００と、セキュリティユニット２００と、セーフティユニット３００と、１または複数の機能ユニット４００と、電源ユニット４５０とを含む。

制御ユニット１００とセキュリティユニット２００との間は、任意のデータ伝送路（例えば、ＰＣＩ Ｅｘｐｒｅｓｓ（登録商標）あるいはイーサネット（登録商標）など）を介して接続されている。制御ユニット１００とセーフティユニット３００および１または複数の機能ユニット４００との間は、図示しない内部バスを介して接続されている。

制御ユニット１００は、制御装置１において中心的な処理を実行する。制御ユニット１００は、任意に設計された要求仕様に従って、制御対象を制御するための制御演算を実行する。セーフティユニット３００で実行される制御演算との対比で、制御ユニット１００で実行される制御演算を「標準制御」とも称す。図１に示す構成例において、制御ユニット１００は、１または複数の通信ポートを有している。制御ユニット１００は、標準制御プログラムに従って標準制御を実行する処理実行部に相当する。

セキュリティユニット２００は、制御ユニット１００に接続され、制御装置１に対するセキュリティ機能を担当する。図１に示す構成例において、セキュリティユニット２００は、１または複数の通信ポートを有している。セキュリティユニット２００が提供するセキュリティ機能の詳細については、後述する。

セーフティユニット３００は、制御ユニット１００とは独立して、制御対象に関するセーフティ機能を実現するための制御演算を実行する。セーフティユニット３００で実行される制御演算を「セーフティ制御」とも称す。通常、「セーフティ制御」は、ＩＥＣ ６１５０８などに規定されたセーフティ機能を実現するための要件を満たすように設計される。「セーフティ制御」は、設備や機械などによって人の安全が脅かされることを防止するための処理を総称する。

機能ユニット４００は、制御装置１による様々な制御対象に対する制御を実現するための各種機能を提供する。機能ユニット４００は、典型的には、Ｉ／Ｏユニット、セーフティＩ／Ｏユニット、通信ユニット、モーションコントローラユニット、温度調整ユニット、パルスカウンタユニットなどを包含し得る。Ｉ／Ｏユニットとしては、例えば、デジタル入力（ＤＩ）ユニット、デジタル出力（ＤＯ）ユニット、アナログ出力（ＡＩ）ユニット、アナログ出力（ＡＯ）ユニット、パルスキャッチ入力ユニット、および、複数の種類を混合させた複合ユニットなどが挙げられる。セーフティＩ／Ｏユニットは、セーフティ制御に係るＩ／Ｏ処理を担当する。

電源ユニット４５０は、制御装置１を構成する各ユニットに対して、所定電圧の電源を供給する。

＜Ｂ．各ユニットのハードウェア構成例＞
次に、本実施の形態に従う制御装置１を構成する各ユニットのハードウェア構成例について説明する。

（ｂ１：制御ユニット１００）
図２は、本実施の形態に従う制御装置１を構成する制御ユニット１００のハードウェア構成例を示す模式図である。図２を参照して、制御ユニット１００は、主たるコンポーネントとして、ＣＰＵ（Central Processing Unit）やＧＰＵ（Graphical Processing Unit）などのプロセッサ１０２と、チップセット１０４と、主記憶装置１０６と、二次記憶装置１０８と、通信コントローラ１１０と、ＵＳＢ（Universal Serial Bus）コントローラ１１２と、メモリカードインターフェイス１１４と、ネットワークコントローラ１１６，１１８，１２０と、内部バスコントローラ１２２と、インジケータ１２４とを含む。

プロセッサ１０２は、二次記憶装置１０８に格納された各種プログラムを読み出して、主記憶装置１０６に展開して実行することで、標準制御に係る制御演算、および、後述するような各種処理を実現する。プロセッサ１０２としては、複数のコアを有する構成を採用してもよいし、プロセッサ１０２を複数配置してもよい。すなわち、制御ユニット１００は、１または複数のプロセッサ１０２、および／または、１または複数のコアを有するプロセッサ１０２を有している。チップセット１０４は、プロセッサ１０２と各コンポーネントとの間のデータの遣り取りを仲介することで、制御ユニット１００全体としての処理を実現する。

二次記憶装置１０８には、システムプログラムに加えて、システムプログラムが提供する実行環境上で動作する制御プログラムが格納される。二次記憶装置１０８には、暗号通信のための鍵（秘密鍵や公開鍵）および証明書が格納されていてもよい。

通信コントローラ１１０は、セキュリティユニット２００との間のデータの遣り取りを担当する。通信コントローラ１１０としては、例えば、ＰＣＩ Ｅｘｐｒｅｓｓあるいはイーサネットなどに対応する通信チップを採用できる。

ＵＳＢコントローラ１１２は、ＵＳＢ接続を介して任意の情報処理装置との間のデータの遣り取りを担当する。

メモリカードインターフェイス１１４は、メモリカード１１５を着脱可能に構成されており、メモリカード１１５に対して制御プログラムや各種設定などのデータを書込み、あるいは、メモリカード１１５から制御プログラムや各種設定などのデータを読出すことが可能になっている。

ネットワークコントローラ１１６，１１８，１２０の各々は、ネットワークを介した任意のデバイスとの間のデータの遣り取りを担当する。ネットワークコントローラ１１６，１１８，１２０は、ＥｔｈｅｒＣＡＴ（登録商標）、ＥｔｈｅｒＮｅｔ／ＩＰ（登録商標）、ＤｅｖｉｃｅＮｅｔ（登録商標）、ＣｏｍｐｏＮｅｔ（登録商標）などの産業用ネットワークプロトコルを採用してもよい。

内部バスコントローラ１２２は、制御装置１を構成するセーフティユニット３００や１または複数の機能ユニット４００との間のデータの遣り取りを担当する。内部バスには、メーカ固有の通信プロトコルを用いてもよいし、いずれかの産業用ネットワークプロトコルと同一あるいは準拠した通信プロトコルを用いてもよい。

インジケータ１２４は、制御ユニット１００の動作状態などを通知するものであり、ユニット表面に配置された１または複数のＬＥＤなどで構成される。インジケータ１２４は、証明書の寿命が近づいていることを通知する通知部に相当する。したがって、インジケータ１２４は、証明書の寿命が近いことをユーザに予告する予告手段でもある。

図２には、プロセッサ１０２がプログラムを実行することで必要な機能が提供される構成例を示したが、これらの提供される機能の一部または全部を、専用のハードウェア回路（例えば、ＡＳＩＣ（Application Specific Integrated Circuit）またはＦＰＧＡ（Field-Programmable Gate Array）など）を用いて実装してもよい。あるいは、制御ユニット１００の主要部を、汎用的なアーキテクチャに従うハードウェア（例えば、汎用パソコンをベースとした産業用パソコン）を用いて実現してもよい。この場合には、仮想化技術を用いて、用途の異なる複数のＯＳ（Operating System）を並列的に実行させるとともに、各ＯＳ上で必要なアプリケーションを実行させるようにしてもよい。

（ｂ２：セキュリティユニット２００）
図３は、本実施の形態に従う制御装置１を構成するセキュリティユニット２００のハードウェア構成例を示す模式図である。図３を参照して、セキュリティユニット２００は、主たるコンポーネントとして、ＣＰＵやＧＰＵなどのプロセッサ２０２と、チップセット２０４と、主記憶装置２０６と、二次記憶装置２０８と、通信コントローラ２１０と、ＵＳＢコントローラ２１２と、メモリカードインターフェイス２１４と、ネットワークコントローラ２１６，２１８と、インジケータ２２４とを含む。

プロセッサ２０２は、二次記憶装置２０８に格納された各種プログラムを読み出して、主記憶装置２０６に展開して実行することで、後述するような各種セキュリティ機能を実現する。チップセット２０４は、プロセッサ２０２と各コンポーネントとの間のデータの遣り取りを仲介することで、セキュリティユニット２００全体としての処理を実現する。

二次記憶装置２０８には、システムプログラムに加えて、システムプログラムが提供する実行環境上で動作するセキュリティシステムプログラムが格納される。二次記憶装置２０８には、暗号通信のための鍵（秘密鍵や公開鍵）および証明書が格納されていてもよい。

通信コントローラ２１０は、制御ユニット１００との間のデータの遣り取りを担当する。通信コントローラ２１０としては、制御ユニット１００に通信コントローラ２１０と同様に、例えば、ＰＣＩ Ｅｘｐｒｅｓｓあるいはイーサネットなどに対応する通信チップを採用できる。

ＵＳＢコントローラ２１２は、ＵＳＢ接続を介して任意の情報処理装置との間のデータの遣り取りを担当する。

メモリカードインターフェイス２１４は、メモリカード２１５を着脱可能に構成されており、メモリカード２１５に対して制御プログラムや各種設定などのデータを書込み、あるいは、メモリカード２１５から制御プログラムや各種設定などのデータを読出すことが可能になっている。

ネットワークコントローラ２１６，２１８の各々は、ネットワークを介した任意のデバイスとの間のデータの遣り取りを担当する。ネットワークコントローラ２１６，２１８は、イーサネットなどの汎用的なネットワークプロトコルを採用してもよい。

インジケータ２２４は、セキュリティユニット２００の動作状態などを通知するものであり、ユニット表面に配置された１または複数のＬＥＤなどで構成される。インジケータ２２４は、セキュリティユニット２００荷か苦悩された証明書の寿命が近づいていることを通知する通知部に相当する。したがって、インジケータ２２４は、証明書の寿命が近いことをユーザに予告する予告手段でもある。

図３には、プロセッサ２０２がプログラムを実行することで必要な機能が提供される構成例を示したが、これらの提供される機能の一部または全部を、専用のハードウェア回路（例えば、ＡＳＩＣまたはＦＰＧＡなど）を用いて実装してもよい。あるいは、セキュリティユニット２００の主要部を、汎用的なアーキテクチャに従うハードウェア（例えば、汎用パソコンをベースとした産業用パソコン）を用いて実現してもよい。この場合には、仮想化技術を用いて、用途の異なる複数のＯＳを並列的に実行させるとともに、各ＯＳ上で必要なアプリケーションを実行させるようにしてもよい。

（ｂ３：セーフティユニット３００）
図４は、本実施の形態に従う制御装置１を構成するセーフティユニット３００のハードウェア構成例を示す模式図である。図４を参照して、セーフティユニット３００は、主たるコンポーネントとして、ＣＰＵやＧＰＵなどのプロセッサ３０２と、チップセット３０４と、主記憶装置３０６と、二次記憶装置３０８と、メモリカードインターフェイス３１４と、内部バスコントローラ３２２と、インジケータ３２４とを含む。

プロセッサ３０２は、二次記憶装置３０８に格納された各種プログラムを読み出して、主記憶装置３０６に展開して実行することで、セーフティ制御に係る制御演算、および、後述するような各種処理を実現する。チップセット３０４は、プロセッサ３０２と各コンポーネントとの間のデータの遣り取りを仲介することで、セーフティユニット３００全体としての処理を実現する。

二次記憶装置３０８には、システムプログラムに加えて、システムプログラムが提供する実行環境上で動作するセーフティプログラムが格納される。

メモリカードインターフェイス３１４は、メモリカード３１５を着脱可能に構成されており、メモリカード３１５に対してセーフティプログラムや各種設定などのデータを書込み、あるいは、メモリカード３１５からセーフティプログラムや各種設定などのデータを読出すことが可能になっている。

内部バスコントローラ３２２は、内部バスを介した制御ユニット１００との間のデータの遣り取りを担当する。

インジケータ３２４は、セーフティユニット３００の動作状態などを通知するものであり、ユニット表面に配置された１または複数のＬＥＤなどで構成される。

図４には、プロセッサ３０２がプログラムを実行することで必要な機能が提供される構成例を示したが、これらの提供される機能の一部または全部を、専用のハードウェア回路（例えば、ＡＳＩＣまたはＦＰＧＡなど）を用いて実装してもよい。あるいは、セーフティユニット３００の主要部を、汎用的なアーキテクチャに従うハードウェア（例えば、汎用パソコンをベースとした産業用パソコン）を用いて実現してもよい。この場合には、仮想化技術を用いて、用途の異なる複数のＯＳを並列的に実行させるとともに、各ＯＳ上で必要なアプリケーションを実行させるようにしてもよい。

＜Ｃ．制御システム１０＞
次に、本実施の形態に従う制御装置１を含む制御システム１０の典型例について説明する。図５は、本実施の形態に従う制御装置１を含む制御システム１０の典型例を示す模式図である。

一例として、図５に示す制御システム１０は、２つのライン（ラインＡおよびラインＢ）を制御対象とする。典型的には、各ラインは、ワークを搬送するコンベアに加えて、コンベア上のワークに対して任意の物理的作用を与えることが可能なロボットが配置されているとする。

ラインＡおよびラインＢのそれぞれに制御ユニット１００が配置されている。ラインＡを担当する制御ユニット１００に加えて、セキュリティユニット２００およびセーフティユニット３００が制御装置１を構成する。なお、説明の便宜上、図５には、機能ユニット４００および電源ユニット４５０の記載を省略している。

制御装置１のセキュリティユニット２００は、通信ポート２４２（図３のネットワークコントローラ２１６）を介して第１ネットワーク２に接続されている。第１ネットワーク２には、サポート装置６００およびＳＣＡＤＡ（Supervisory Control And Data Acquisition）装置７００が接続されているとする。第１ネットワーク２には、イーサネットあるいはＯＰＣ－ＵＡ（Object Linking and Embedding for Process Control Unified Architecture）などを採用することができる。

サポート装置６００は、少なくとも制御ユニット１００にアクセス可能になっており、制御装置１に含まれる各ユニットで実行されるプログラムの作成、デバッグ、各種パラメータの設定などの機能をユーザへ提供する。サポート装置６００には開発等の目的のためのツールがインストールされていてもよい。ツールはたとえばオムロン社製の「Ｓｙｓｍａｃ Ｓｔｕｄｉｏ」である。

ＳＣＡＤＡ装置７００は、制御装置１での制御演算によって得られる各種情報をオペレータへ提示するとともに、オペレータからの操作に従って、制御装置１に対して内部コマンドなどを生成する。ＳＣＡＤＡ装置７００は、制御装置１が扱うデータを収集する機能も有している。

制御装置１の制御ユニット１００は、通信ポート１４２（図２のネットワークコントローラ１１６）を介して第２ネットワーク４に接続されている。第２ネットワーク４には、ＨＭＩ（Human Machine Interface）８００およびデータベース９００が接続されているとする。

ＨＭＩ８００は、パーソナルコンピュータにより実現可能である。ＨＭＩ８００は、制御装置１での制御演算によって得られる各種情報をオペレータへ提示するとともに、オペレータからの操作に従って、制御装置１に対して内部コマンドなどを生成する。ＨＭＩ８００は、制御装置１との暗号通信のための証明書を格納してもよい。ＨＭＩ８００は、証明書が寿命に達する前の通知のタイミングを制御装置１に対して設定する設定装置である。

ＨＭＩ８００は、ＦＡの保守者が携帯可能に構成され得る。データベース９００は、制御装置１から送信される各種データ（例えば、各ワークから計測されたトレーサビリティに関する情報など）を収集する。

制御装置１の制御ユニット１００は、通信ポート１４４（図２のネットワークコントローラ１１８）を介して、１または複数のフィールドデバイス５００と接続されている。フィールドデバイス５００は、制御対象から制御演算に必要な各種情報を収集するセンサや検出器、および、制御対象に対して何らかの作用を与えるアクチュエータなどを含む。図５に示す例では、フィールドデバイス５００は、ワークに対して何らかの外的な作用を与えるロボット、ワークを搬送するコンベヤ、フィールドに配置されたセンサやアクチュエータとの間で信号を遣り取りするＩ／Ｏユニットなどを含む。

同様に、ラインＢを担当する制御ユニット１００についても同様に、通信ポート１４４（図２のネットワークコントローラ１１８）を介して、１または複数のフィールドデバイス５００と接続されている。

ここで、制御装置１の機能面に着目すると、制御ユニット１００は、標準制御に係る制御演算を実行する処理実行部である制御エンジン１５０と、外部装置との間でデータを遣り取りする情報エンジン１６０とを含む。セキュリティユニット２００は、後述するようなセキュリティ機能を実現するためのセキュリティエンジン２５０を含む。セーフティユニット３００は、セーフティ制御に係る制御演算を実行する処理実行部であるセーフティエンジン３５０を含む。

各エンジンは、各ユニットのプロセッサなどの任意のハードウェア要素または各種プログラムなどの任意のソフトウェア要素、あるいは、それら要素の組合せによって実現される。各エンジンは任意の形態で実装できる。

さらに、制御装置１は、エンジン同士の遣り取りを仲介するブローカー１７０を含む。ブローカー１７０の実体は、制御ユニット１００およびセキュリティユニット２００の一方または両方に配置してもよい。

制御エンジン１５０は、制御対象を制御するための制御演算の実行に必要な変数テーブルおよびファンクションブロック（ＦＢ）などを保持している。変数テーブルに格納される各変数は、Ｉ／Ｏリフレッシュ処理により、フィールドデバイス５００から取得された値で周期的に収集されるとともに、フィールドデバイス５００へ各値が周期的に反映される。制御エンジン１５０での制御演算のログはログデータベース１８０に格納されてもよい。

情報エンジン１６０は、制御ユニット１００が保持するデータ（変数テーブルで保持される変数値）に対して任意の情報処理を実行する。典型的には、情報エンジン１６０は、制御ユニット１００が保持するデータを周期的にデータベース９００などへ送信する処理を含む。このようなデータの送信には、ＳＱＬなどが用いられる。

セキュリティエンジン２５０は、制御装置１に発生する不正侵入の検知、検知された不正侵入に応じた処理、インシデントの発生有無判断、発生したインシデントに応じた処理などを実行する。セキュリティエンジン２５０の挙動は、セキュリティ情報２６０として保存される。

セキュリティエンジン２５０は、セキュリティに関する何らかのイベントが発生したこと、あるいは発生しているセキュリティに関するイベントのレベルなどを、インジケータ２２４で通知する。

セーフティエンジン３５０は、制御装置１において何らかの不正侵入が発生したか否かを検知する検知手段に相当する。セーフティエンジン３５０は、制御ユニット１００を介して、セーフティ制御に係る制御演算の実行に必要なセーフティＩ／Ｏ変数を取得および反映する。セーフティエンジン３５０でのセーフティ制御のログはログデータベース３６０に格納されてもよい。

ブローカー１７０は、例えば、セキュリティエンジン２５０が何らかのイベントを検知すると、制御エンジン１５０、情報エンジン１６０およびセーフティエンジン３５０の動作などを変化させる。

＜Ｄ．制御ユニット１００の機能構成例＞
図６は、本実施の形態に従う制御ユニット１００が備える機能構成例を示す模式図である。図６を参照して、制御ユニット１００において、記憶部１０９（二次記憶装置１０８または主記憶装置１０６を含む）は、ＯＳ１１０２、プログラム１１０４、鍵１１０６および証明書１１１０を格納する。鍵１１０６は、たとえば秘密鍵、公開鍵等である。

プロセッサ１０２は、ＯＳ１１０２の元でプログラム１１０４を周期的に実行することにより、制御部１５１、通信処理部１５２、検知部１５３、通知処理部１５４および通知出力部１５５を実現する。

制御部１５１は、制御対象を制御するための制御演算を実行する。したがって制御部１５１は、制御エンジン１５０の主要な部分である。通信処理部１５２は、証明書を利用したセキュア通信のための処理を実行するための通信部を実現する。

検知部１５３は、証明書の寿命が近づいていることを検知する。たとえば検知部１５３は、証明書の有効期限を予め取得しておいて、現時点が有効期限前の一定期間内にあるかどうかを判定する。現時点が証明書の有効期限前の一定期間内にある場合に、検知部１５３は、証明書の有効期限が近づいていることを検知する。通知処理部１５４は、証明書の寿命が近づいていることを通知するための処理を実行する。通知出力部１５５は、通知を出力するようにインジケータ１２４を含む通知部を制御する。

＜Ｅ．暗号通信について＞
以下では本実施の形態に適用可能な規格としてＯＰＣ－ＵＡを例示する。ＯＰＣ－ＵＡは、産業オートメーション分野、およびその他業界における、安全で信頼性あるデータ交換を目的とした相互運用を行なうための標準規格である。ＯＰＣ－ＵＡにおけるセキュリティ対策としては、メッセージの盗聴の防止、メッセージの改ざん防止、システム稼働率を低下させるメッセージ攻撃への対策等がある。

図７は、ＯＰＣ－ＵＡ通信システムを示した模式図である。ＯＰＣ－ＵＡサーバ１１とＯＰＣ－ＵＡクライアント１２とは、ＯＰＣ－ＵＡに従う通信を行う。ＯＰＣ－ＵＡで通信を行うには、認証のための証明書が必要になる。ＯＰＣ－ＵＡサーバ１１とＯＰＣ－ＵＡクライアント１２の各々は、サーバ証明書２１およびクライアント証明書２２を格納する。

なお、ＯＰＣ－ＵＡサーバ１１とＯＰＣ－ＵＡクライアント１２とは情報をやり取りする関係に従って定義される。たとえば制御ユニット１００は、ＯＰＣ－ＵＡサーバ１１として機能する。たとえばＨＭＩ８００がＯＰＣ－ＵＡクライアント１２になることができる。以下では、「ＯＰＣ－ＵＡサーバ１１」および「ＯＰＣ－ＵＡクライアント１２」を、単に「サーバ１１」および「クライアント１２」と記載する。

認証のための証明書として自己署名証明書を使用する場合の手順は以下の通りである。まず、サーバ１１およびクライアント１２の各々に自己署名証明書が作成される。次に、サーバ１１に、クライアントの自己署名証明書をインポートする。一方、クライアント１２には、サーバの自己署名証明書がインポートされる。サーバ１１およびＯＰクライアント１２の各々は、自身の証明書を相手に送付する。サーバ１１およびクライアント１２の各々は、相手から送付された証明書とインポート済みの証明書とを照合することにより、認証を行う。

認証のための証明書としてＣＡ（認証局）署名証明書を用いてもよい。この場合、たとえばＧＤＳ（Global Discovery Server）がＣＡ証明書を作成する。ＧＤＳは、サーバ１１およびクライアント１２のＣＡ署名証明書を作成する。サーバ１１およびクライアント１２は、ＣＡ署名証明書とＣＡ証明書とを受信する。

サーバ１１およびクライアント１２は、お互いのＣＡ署名証明書を送付するとともに、相手から送付されたＣＡ署名証明書をＣＡ証明書により照合する。これにより認証が行なわれる。証明書の受け渡しの方法は特に限定されない。たとえばメールを利用してもよく、ＵＳＢメモリ等の媒体を利用してもよい。

＜Ｆ．証明書の寿命に関する課題＞
この実施の形態では、「証明書が寿命に達した状態」とは、証明書の有効期限の到来あるいは、暗号の脆弱性等の理由により、現在の証明書が使用できなくなることを意味する。

上記の通り、証明書には有効期限がある。有効期限が経過した場合、証明書が失効するためにＯＰＣ－ＵＡ通信ができなくなる。たとえば図５に示した制御システム１０において、ＯＰＣ－ＵＡ通信ができない場合、製造ラインの停止が起こりえる。

証明書の有効期限を確認する方法として、ツール（たとえば上述の「Ｓｙｓｍａｃ Ｓｔｕｄｉｏ」）を用いる方法がある。しかし、この方法では、ユーザが能動的に情報を監視しなければならない。このため、ユーザが証明書の有効期限が近づいていること、あるいは有効期限が切れた（証明書が失効した）ことに気が付かない可能性を考慮する必要がある。

また、多数のＯＰＣ－ＵＡ機器（たとえばＰＬＣ）がネットワークに接続されている場合、ユーザは、各機器を監視する必要がある。証明書を更新する場合、ユーザは機器ごとに証明書を更新しなければならない。このためユーザの工数が増大する。

さらに、暗号技術には「寿命」があることも考慮する必要がある。たとえば証明書の有効期限が切れる前に、暗号の脆弱性が発見される可能性がある。このような場合には、証明書を更新する必要がある。

さらに、サーバ１１とクライアント１２とが、異なるメーカにより提供される可能性がある。また、ＯＰＣ－ＵＡクライアント１２の数が複数の可能性もある。このような場合にも、証明書の更新のためのユーザの工数が増大する。

＜Ｇ．証明書の寿命の通知＞
本実施の形態では、証明書が寿命に達する前の一定のタイミングにおいて、証明書の寿命が近づいていることを通知する。たとえば証明書の有効期限が間近である場合、ユーザは、制御装置１からの通知を受けることによって、証明書が失効間近であることを知ることができる。したがって、証明書の有効期限の管理のためのユーザの工数を低減することができる。また、ツールを制御装置１に接続しなくとも、証明書の有効期限の管理を行うことができる。さらに、証明書が失効する前に通知を受けることにより、ユーザが証明書を更新するための時間を確保することができる。

図８は、証明書の有効期限の通知のための制御装置１の構成例を示した図である。図８を参照して、制御ユニット１００は、筐体１Ａを有する。証明書が期限に達する前の一定期間（たとえば３０日間）、制御ユニット１００は、インジケータ１２４（ＬＥＤ）を点滅させる。したがって、ユーザは制御ユニット１００を見ることにより、証明書の寿命が近づいていることを容易に把握できる。なお、制御ユニット１００に替えて、セキュリティユニット２００が、セキュリティユニット２００のインジケータ２２４（ＬＥＤ）を点滅させるのでもよい。

通知期間はユーザが設定してもよい。また、失効までの残り日数に応じて、点滅の間隔、あるいは発光色を変更させてもよい。

図８では、インジケータ１２４は１つのＬＥＤとして示されているが、インジケータ１２４はポートごとに設けられたＬＥＤを含んでもよい。各ＬＥＤが証明書の失効の間近になると点滅を開始するのでもよい。

図９は、証明書の有効期限の通知のための制御装置１の別の構成例を示した図である。図９を参照して、制御ユニット１００は、証明書の有効期限が近づくと音を発生させてもよい。あるいは制御ユニット１００は、スピーカ１５から音を出力させてもよい。スピーカ１５は、ＡＩスピーカ（スマートスピーカ）であってもよい。また、制御ユニット１００に替えて、セキュリティユニット２００が音を発生させてもよく、セキュリティユニット２００がスピーカ１５から音を出力させてもよい。

また、制御ユニット１００に接続される通知デバイスはスピーカと限定されない。たとえば通知デバイスは表示灯であってもよい。

また、制御ユニット１００は、証明書の有効期限が近づいていることをＨＭＩ８００を介して通知してもよく、ＳＭＳ／メール等により通知してもよい。なお通知はサーバ側の設定だけでなく、クライアント側の設定も可能であってよい。ユーザは制御ユニット１００から発生する光あるいは音だけでなく、メールのメッセージからも、証明書の寿命が近づいていることを確認できる。

図１０は、通知設定の例を示した図である。図１０に示したユーザインターフェイス画面８５０は、たとえばＨＭＩ８００に表示される。ユーザインターフェイス画面８５０は、通信ポート、セキュアな経路（ＯＰＣ－ＵＡ／ＶＰＮ）、証明書のステータス、証明書の有効期限、証明書の現時点からの残りの有効期限を一覧形式で表示する。制御装置１に格納された複数の証明書の各々の有効期限をユーザが容易に把握できるので、ユーザの利便性を向上させることができる。

さらに、ユーザインターフェイス画面８５０は、失効通知時期の設定および詳細設定を受け付ける。失効通知時期は、通信ポートごと（言い換えると証明書ごと）に個別に設定されてもよく、一括で設定されてもよい。たとえばカラム８５１の「失効通知時期」の表示にマウスのカーソルを重ねてマウスをクリックする。これにより、一括設定が可能である。この場合、たとえば、通知時期が「失効３０日前」に設定される。同じように、カラム８５２の「詳細設定」の表示にマウスのカーソルを重ねてマウスをクリックすることにより、一括設定が可能である。

図１１は、通知設定の他の例を示した図である。ユーザインターフェイス画面８６０がたとえばＨＭＩ８００に表示される。ユーザインターフェイス画面８６０は、タブの選択により、通知方法の選択を受け付ける。ユーザインターフェイス画面８６０は、ＬＥＤタブ８６１、ＨＭＩタブ８６２、およびＳＭＳタブ８６３を有する。ＳＭＳタブ８６３が選択されると、選択タブが有効であることを指定するためのカラム８６５と、メールアドレスを入力するための入力カラム８６６と、失効時期を入力するための入力領域８６７とが表示される。サーバ側、クライアント側の両方について失効時期が通知できるよう、入力カラム８６６は、複数のメールアドレスを受け付けることができる。３以上のメールアドレスが入力可能なように入力カラム８６６が構成されていてもよい。

通知のタイミングは、入力された失効時期の前の所定期間（たとえば３０日）にデフォルトで設定されるのでもよい。あるいは、通知タイミングについてのユーザの入力を受け付けるようにユーザインターフェイス画面８６０が構成されていてもよい。

なお、たとえばセキュリティホールが見つかるなど暗号そのものが寿命に達した場合には、ＨＭＩ８００は、暗号強度を高める必要があることをユーザに通知する表示を行ってもよい。

＜Ｈ．証明書の更新＞
証明書の更新は、ＯＰＣ－ＵＡサーバ側とＯＰＣ－ＵＡクライアント側との両方に通知する必要がある。しかし、クライアント側の通知対象者がサーバ側の通知対象者と異なる可能性がある。たとえばサーバとクライアントとでメーカが異なる場合に、このような事例が生じうる。そのためサーバ側とクライアント側との両方に証明書の更新を求めるのは制御システムのユーザにとっての負担が増大する。さらに、図５に例示される制御システム１０の場合、証明書の更新対象となる機器の数が多数（たとえば数百台単位）となる可能性もある。

証明書を自動的に更新する場合、上記のような負担を軽減することはできる。しかし、セキュリティ確保の点では、ユーザの認証後に証明書を更新することが望ましい。証明書の失効する前の環境であれば、セキュア通信の下で証明書を更新することができる。すなわち更新前の証明書（古い証明書）を利用したセキュア通信により、証明書を更新することができる。

図１２は、ＯＰＣ－ＵＡサーバおよびＯＰＣ－ＵＡクライアントの通常運転時の状態を説明するための模式図である。図１２に示すように、サーバ１１（ＯＰＣ－ＵＡサーバ）およびクライアント１２（ＯＰＣ－ＵＡクライアント）の各々は、サーバ証明書２１およびクライアント証明書２２を有しており、サーバ１１およびクライアント１２の間でセキュア通信が行われる。サーバ側（あるいはＯＴ（Operation Technology）側）ユーザ３１は、サーバ１１のメンテナンスを行う。一方、クライアント側（あるいはＩＴ（Information Technology）側）ユーザ３２は、クライアント１２のメンテナンスを行う。

図１３は、証明書の更新処理における、新証明書の発行ステップを説明するための図である。なお、以下ではサーバ証明書２１の更新を代表的に説明するが、クライアント証明書２２の更新も、以下に説明する手順と同様の手順により更新することができる。

新証明書の発行は、まずステップＳ１において、サーバ側ユーザ３１は、ログイン認証を用いてサーバ１１にログインする。ログインに成功すると、ステップＳ２において、サーバ側ユーザ３１は、サーバ１１のサーバ証明書を更新する。具体的には、サーバ証明書２３がサーバ１１に格納される。したがって、古いサーバ証明書（サーバ証明書２１）と新しいサーバ証明書（サーバ証明書２３）との両方が、サーバ１１に格納される。古いサーバ証明書（サーバ証明書２１）は、失効直前であるもののまだ有効である。したがって、サーバ１１およびクライアント１２の間でセキュア通信が可能である。

図１４は、証明書の更新処理における、新証明書の送信ステップおよび更新リクエストの通知ステップを説明するための図である。ステップＳ３において、サーバ１１は、セキュアな経路で新しいサーバ証明書（サーバ証明書２３）をクライアント１２に送付する。さらにステップＳ４Ａにおいて、サーバ１１は、サーバ証明書の更新のリクエストをクライアント１２に通知する。ステップＳ４Ｂにおいて、クライアント側ユーザ３２は、サーバ証明書の更新リクエストの通知をクライアント１２から受ける。なお、更新リクエストの通知を受けるための方法は特に限定されない。たとえば、クライアント側ユーザ３２は、クライアント１２から送信されたメールにより、サーバ証明書の更新リクエストの通知を受け取ってもよい。

図１５は、証明書の更新処理における新証明書の承認ステップを説明するための図である。ステップＳ５において、クライアント側ユーザ３２は、ログイン認証を用いてクライアント１２へのログインを行う。ステップＳ６において、クライアント側ユーザ３２は、クライアント１２に格納された新しいサーバ証明書（サーバ証明書２３）を承認する。これにより、ステップＳ７において、クライアント１２は、サーバ１１に承認通知を送信する。

図１６は、証明書の更新処理における、古い証明書の破棄ステップを説明するための図である。ステップＳ８において、サーバ１１およびクライアント１２の各々は、ログイン認証を用いてクライアント１２へのログインを行う。ステップＳ６において、クライアント側ユーザ３２は、古いサーバ証明書（サーバ証明書２１）を破棄する。これにより、サーバ１１およびクライアント１２の各々においてサーバ証明書の更新が完了する。

図１３から図１６に示すように、本実施の形態では、古い証明書を利用することにより、サーバとクライアントとの間のセキュアな経路を確保しながら、証明書を更新することができる。加えて、ユーザの承認後に証明書を更新することができる。証明書の更新対象となる機器の数が多数となる場合には、有効期限が近づいている証明書をリスト化して、そのリストから選択されたものを更新してもよい。リストの中から更新対象のものをユーザが選択することによって、ユーザの承認後に証明書を更新することができるとともに、証明書を一括して更新することができる。

なお、上述のような証明書の管理あるいは更新（あるいはファームウェアのアップデート）が制御処理に影響を与えることをできるだけ避けることが好ましい。図１７に示すように、制御ユニット１００のプロセッサ１０２が複数のコア（コア１０２Ａ、コア１０２Ｂ、・・・）を有する場合に、ユーザプログラムを実行するコアとは別のコアにより、証明書の更新処理を実行してもよい。プログラムを周期的に実行するコアでなく、システムコアにより証明書の更新処理を実行するのでもよい。

あるいは、制御ユニット１００に替えてセキュリティユニット２００が一括して証明書の管理を行ってもよい。したがって、プロセッサ１０２に替えてプロセッサ２０２が検知手段を実現してもよく、インジケータ１２４に替えてインジケータ２２４が通知手段を実現してもよい。

なお、上記の実施の形態ではＯＰＣ－ＵＡを例示したが、セキュア通信として、ＳＳＬ（Secure Socket Layer）を実施の形態に適用することも可能である。

＜Ｉ．付記＞
以上説明したように、本実施形態は以下に列挙する開示を含む。

１．制御対象を制御するための制御演算を実行するように構成された制御部（１５１）と、
証明書を利用したセキュア通信のための処理を実行する通信部（１５２）と、
前記証明書の寿命が近づいていることを検知する検知部（１５３）と、
前記証明書の前記寿命が近づいていることを通知する通知部（１２４）とを含む、制御装置（１）。

２．前記証明書の前記寿命は前記証明書の有効期限であり、
前記通知部は、前記証明書が失効する前の一定のタイミングにおいて、前記証明書の前記有効期限が近づいていることを通知する、１．に記載の制御装置（１）。

３．前記制御装置（１）は、筐体（１Ａ）を含み、
前記通知部（１２４）は、
前記筐体（１Ａ）に設けられ、前記寿命が近づいていることを光により通知するインジケータ（１２４）を含む、１．または２．に記載の制御装置（１）。

４．前記通知部は、
前記寿命が近づいていることを通知するための音を発生させる音声出力部を含む、１．または２．に記載の制御装置（１）。

５．前記通知部は、前記寿命が近づいていることをメールにより通知する、請求項３または請求項４に記載の制御装置（１）。

６．１．から５．のいずれかに記載の制御装置（１）と、
前記証明書が前記寿命に達する前の通知のタイミングを前記制御装置（１）に対して設定する設定装置（８００）とを備える、制御システム（１０）。

７．前記制御装置（１）に複数の前記証明書が格納されている場合、
前記設定装置（８００）は、前記複数の証明書の有効期限を一括して表示する、６．に記載の制御システム（１０）。

８．１．から５．のいずれかに記載の制御装置（１）と、
前記制御装置（１）との間で通信を行う通信装置（８００）とを備え、
前記制御装置（１）は、前記失効期限の前に新しい証明書を受け付けて、前記通信装置に更新リクエストを送信し、前記通信装置（８００）が前記新しい証明書を承認すると、古い証明書を破棄することで前記証明書を更新する、制御システム（１０）。

今回開示された実施の形態はすべての点で例示であって制限的なものでないと考えられるべきである。本発明の範囲は上記した説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

１ 制御装置、１Ａ 筐体、２ 第１ネットワーク、４ 第２ネットワーク、１０ 制御システム、１１ ＯＰＣ－ＵＡサーバ、１２ ＯＰＣ－ＵＡクライアント、１５ スピーカ、２１，２３ サーバ証明書、２２ クライアント証明書、３１ サーバ側／ＯＴ側ユーザ、３２ クライアント側／ＩＴ側ユーザ、１００ 制御ユニット、１０２，２０２，３０２ プロセッサ、１０２Ａ，１０２Ｂ コア、１０４，２０４，３０４ チップセット、１０６，２０６，３０６ 主記憶装置、１０８，２０８，３０８ 二次記憶装置、１０９ 記憶部、１１０，２１０ 通信コントローラ、１１２，２１２ ＵＳＢコントローラ、１１４，２１４，３１４ メモリカードインターフェイス、１１５，２１５，３１５ メモリカード、１１６，１１８，１２０，２１６，２１８ ネットワークコントローラ、１２２，３２２ 内部バスコントローラ、１２４，２２４，３２４ インジケータ、１４２，１４４，２４２ 通信ポート、１５０ 制御エンジン、１５１ 制御部、１５２ 通信処理部、１５３ 検知部、１５４ 通知処理部、１５５ 通知出力部、１６０ 情報エンジン、１７０ ブローカー、１８０，３６０ ログデータベース、２００ セキュリティユニット、２５０ セキュリティエンジン、２６０ セキュリティ情報、３００ セーフティユニット、３５０ セーフティエンジン、４００ 機能ユニット、４５０ 電源ユニット、５００ フィールドデバイス、６００ サポート装置、７００ ＳＣＡＤＡ装置、８５０，８６０ ユーザインターフェイス画面、８５１，８５２，８６５ カラム、８６１，８６２，８６３ タブ、８６６ 入力カラム、８６７ 入力領域、９００ データベース、１１０４ プログラム、１１０６ 鍵、１１１０ 証明書、Ｓ１～Ｓ８ ステップ。

Claims (7)

1. 制御対象を制御するための制御演算を実行するように構成された制御部と、
   証明書を利用したセキュア通信のための処理を実行する通信部と、
   前記証明書の寿命が近づいていることを検知する検知部と、
   前記証明書の前記寿命が近づいていることを通知する通知部と、
   筐体とを含み、
   前記通知部は、
   前記制御対象に接続される通信ポートごとに前記筐体に設けられ、前記寿命が近づいていることを光により通知するインジケータを含み、前記寿命の通知時期は、前記通信ポートごとに設定され、前記インジケータは、前記寿命までの残存期間に応じて発光態様を変化させる、制御装置。
2. 前記証明書の前記寿命は前記証明書の有効期限であり、
   前記通知部は、前記証明書が失効する前の一定のタイミングにおいて、前記証明書の前記有効期限が近づいていることを通知する、請求項１に記載の制御装置。
3. 前記通知部は、
   前記寿命が近づいていることを通知するための音を発生させる音声出力部を含む、請求項１または請求項２に記載の制御装置。
4. 前記通知部は、前記寿命が近づいていることをメールにより通知する、請求項２または請求項３に記載の制御装置。
5. 請求項１から請求項４のいずれか１項に記載の制御装置と、
   前記証明書が前記寿命に達する前の通知のタイミングを前記制御装置に対して設定する設定装置とを備える、制御システム。
6. 前記制御装置に複数の前記証明書が格納されている場合、
   前記設定装置は、前記複数の証明書の有効期限を一括して表示する、請求項５に記載の制御システム。
7. 前記請求項１から請求項４のいずれか１項に記載の制御装置と、
   前記制御装置との間で通信を行う通信装置とを備え、
   前記制御装置は、前記寿命の前に新しい証明書を受け付けて、前記通信装置に更新リクエストを送信し、前記通信装置が前記新しい証明書を承認すると、古い証明書を破棄することで前記証明書を更新する、制御システム。

Images