JP7392152B2

JP7392152B2 - 制御装置

Info

Publication number: JP7392152B2
Application number: JP2022533929A
Authority: JP
Inventors: 夢樹由井; 剛史木村
Original assignee: Fanuc Corp
Current assignee: Fanuc Corp
Priority date: 2020-06-30
Filing date: 2021-06-24
Publication date: 2023-12-05
Anticipated expiration: 2041-06-24
Also published as: DE112021003462T5; CN115997181A; WO2022004544A1; JPWO2022004544A1; US20230353370A1

Description

本発明は、制御装置に関する。

エンドユーザの数値制御装置においては、予め設定された通信設定情報に基づいて、暗号化された加工プログラムを工作機械メーカのホストコンピュータに要求して、受信した暗号化された加工プログラムを復号し、復号された加工プログラムを実行して工作機械を制御することで、加工プログラムが不正に再利用されることを防止する技術が知られている。例えば、特許文献１参照。

特開２０１５－１３８５２７号公報

工作機械やロボット等の産業機械を制御する制御装置の内部データ（例えば、機械メーカのプログラム等）の保護やファームウェアの改ざんを防ぐために、信頼のおける暗号機能を有した暗号化チップを制御装置に搭載することが今後重要となる。
一方で、制御装置の販売者は販売する同じ制御装置の暗号技術に関しては仕向け先国（地域）それぞれの法規に従う必要があり、加えて、ある仕向け先国（地域）に対応できる暗号技術を使用可能な状態で別の仕向け国（地域）に販売できない法規もあることから、一種類の暗号化チップでは、すべての仕向け先国（地域）の法規を満たせない場合がある。
そのため、制御装置の販売者は、仕向け先の国（地域）毎に適切な暗号化チップを使う必要等があるため、国（地域）毎に異なる暗号化チップを実装した制御装置を複数用意する必要がある。
また、制御装置を工作機械や生産システムに組み込んで商品開発する機械メーカは、それぞれ異なる国に出荷する場合に、それぞれの国に対応した暗号化チップを実装した制御装置の在庫を持つ必要があり、機械メーカにとっても在庫コスト（製造コスト）がかかるという問題もある。

そこで、仕向け先毎の制御装置を予め用意することなく、在庫コストを低減することが望まれている。

本開示の制御装置の一態様は、産業機械を制御し暗号化部を含む制御装置であって、複数の仕向け先毎に対応した複数の前記暗号化部と複数の前記暗号化部のいずれかを無効化するもしくは複数の前記暗号化部を無効化する複数の無効化部とを含む暗号化装置部と、前記制御装置の仕向け先に応じて前記複数の無効化部それぞれに複数の前記暗号化部のいずれかを無効化させるか複数の前記暗号化部を無効化させるかを指定して、暗号化部の無効化を選択する操作部と、を備える。

一態様によれば、仕向け先毎の制御装置を予め用意することなく、在庫コストを低減することができる。

一実施形態に係る制御装置の機能的構成の一例を示す機能ブロック図である。補助記憶装置部に格納されるデータの一例を示す図である。暗号化装置部の構成例を示す図である。制御装置の仕向け先で使用不可のセキュリティチップの削除処理について説明するフローチャートである。制御装置の起動時の処理について説明するフローチャートである。暗号化装置部の構成例を示す図である。

以下、一実施形態について図面を用いて説明する。ここでは、産業機械として工作機械を、制御装置として数値制御装置を例示する。なお、本発明は、工作機械に限定されず、例えば産業用ロボット、サービス用ロボット等にも適用可能である。この場合、制御装置は、ロボット制御装置である。

＜一実施形態＞
図１は、一実施形態に係る制御装置の機能的構成例を示す機能ブロック図である。
制御装置１０は、当業者にとって公知の数値制御装置であり、制御情報に基づいて動作指令を生成し、生成した動作指令を工作機械（図示しない）に出力する。これにより、制御装置１０は、工作機械（図示しない）の動作を制御する。なお、工作機械（図示しない）がロボット等の場合、制御装置１は、ロボット制御装置等でもよい。

制御装置１０は、図示しない接続インタフェースを介して工作機械（図示しない）と互いに直接接続されてもよい。なお、制御装置１０と工作機械（図示しない）とは、ＬＡＮ（ＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）やインターネット等の図示しないネットワークを介して相互に接続されていてもよい。この場合、制御装置１０は、かかる接続によって相互に通信を行うための図示しない通信部を備えている。

ここで、図示しない工作機械は、例えば、工作機械やロボット、周辺装置等である。なお、図示しない工作機械は、工作機械やロボット、周辺装置に限定されず、産業機械全般に広く適用することができる。産業機械とは、例えば、工作機械、産業用ロボット、サービス用ロボット、鍛圧機械及び射出成形機といった様々な機械を含む。

図１に示すように、制御装置１０は、制御部１００、操作部１１０、主記憶装置部１２０、補助記憶装置部１３０、及び暗号化装置部１４０を有する。そして、制御部１００、操作部１１０、主記憶装置部１２０、補助記憶装置部１３０、及び暗号化装置部１４０は、図示しないバスを介して通信可能に接続されている。

＜操作部１１０＞
操作部１１０は、例えば、制御装置１０に含まれる図示しないＭＤＩユニットのキーボードや表示器のタッチパネルあるいは物理的なロータリスイッチ等であり、制御装置１０の販売者や機械メーカの設計者等からの操作を受け付ける。
具体的には、操作部１１０は、機械メーカの設計者等による操作に基づいて、制御装置１０の仕向け先の指定を受け付け、受け付けた仕向け先に応じて後述する暗号化装置部１４０に含まれるｎ個のセキュリティチップのうち無効化対象のセキュリティチップを指定する（ｎは２以上の整数）。
なお、後述する補助記憶装置部１３０が、例えば、暗号化装置部１４０のｎ個のセキュリティチップそれぞれと仕向け先とを対応付けした仕向け先テーブル（図示しない）を予め記憶し、操作部１１０が制御装置１０の仕向け先の指定を受け付け、指定された仕向け先に対応する有効のままとするセキュリティチップを選択した場合、後述する制御部１００は、選択されたセキュリティチップと仕向け先テーブル（図示しない）とに基づいて、無効化対象のセキュリティチップを判定するようにしてもよい。

＜主記憶装置部１２０＞
主記憶装置部１２０は、例えば、ＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）等のメモリであり、後述する制御部１００がプログラムを実行する上で一時的に必要とされるデータを格納する。

＜補助記憶装置部１３０＞
補助記憶装置部１３０は、例えば、ＲＯＭ（ＲｅａｄＯｎｌｙＭｅｍｏｒｙ）やＨＤＤ（ＨａｒｄＤｉｓｋＤｒｉｖｅ）やフラッシュメモリ等である。
図２は、補助記憶装置部１３０に格納されるデータの一例を示す図である。
図２に示すように、補助記憶装置部１３０は、後述する制御部１００が実行するシステムプログラム及びアプリケーションプログラム等を格納する既存ソフトウェア領域１３１を有する。また、補助記憶装置部１３０は、後述する暗号化装置部１４０に含まれるｎ個のセキュリティチップそれぞれを実行するセキュリティチップ制御ソフトウェア１３４（１）－１３４（ｎ）を格納するセキュリティ領域１３２を有する。
セキュリティチップ制御ソフトウェア１３４（１）－１３４（ｎ）それぞれは、後述する暗号化装置部１４０に含まれる暗号化部としてのｎ個のセキュリティチップのうち対応する１つのセキュリティチップを実行することにより、制御装置１０の仕向け先（例えば、第１地域（国）から第ｎ地域（国）のいずれかの地域（国））に応じた暗号化処理を実現する。

なお、補助記憶装置部１３０は、既存ソフトウェア領域１３１の格納されたソフトウェア、及びセキュリティ領域１３２に格納されたセキュリティチップ制御ソフトウェア１３４（１）－１３４（ｎ）の各々をファイル名ベースで管理してもよい。そうすることで、補助記憶装置部１３０は、後述する制御部１００からファイル名に基づいて削除指示されたソフトウェアを削除することができる。あるいは、補助記憶装置部１３０は、既存ソフトウェア領域１３１に格納されたソフトウェア、及びセキュリティ領域１３２に格納されたセキュリティチップ制御ソフトウェア１３４（１）－１３４（ｎ）の各々をファイルシステム上でアドレス管理してもよい。そうすることで、補助記憶装置部１３０は、各ソフトウェアが格納されているアドレスと範囲とを予め分かっていることから、後述する制御部１００からのアドレスに基づいて削除指示されたソフトウェアを削除することができる。

また、補助記憶装置部１３０は、セキュリティチップ制御抽象化プログラム１３３及び起動時チェック処理プログラム１３５を格納してもよい。
後述する制御部１００（具体的には演算部１０１）によりセキュリティチップ制御抽象化プログラム１３３を実行することにより、抽象化された共通インタフェースにより、セキュリティチップ（ｊ）（１≦ｊ≦ｎ）に対応する制御を実行するセキュリティチップ制御ソフトウェア１３４（ｊ）に対して、指示することを可能とする。なお、このような抽象化処理は、当業者に取って公知であり、詳細な説明は省略する。
また、制御装置１０の起動時に、制御部１００（具体的には演算部１０１）により起動時チェック処理プログラム１３５を実行することにより、制御装置１０の構成や設定等のチェック処理を実行する。なお、起動時チェック処理プログラム１３５を実行することにより提供される起動時チェック処理機能部（起動時チェック処理部）については後述する。

＜暗号化装置部１４０＞
図３は、暗号化装置部１４０の構成の一例を示す図である。
図３に示すように、暗号化装置部１４０は、暗号化部として、ｎ個のヒューズ１４１（１）－１４１（ｎ）、ｎ個のセキュリティチップ１４２（１）－１４２（ｎ）、ｎ個のスイッチＳＷ１－ＳＷｎ、ダイオード１４３、スイッチ１４４、及び電源１４５を有する。ｎ個のヒューズ１４１（１）－１４１（ｎ）、ｎ個のセキュリティチップ１４２（１）－１４２（ｎ）、ｎ個のスイッチＳＷ（１）－ＳＷ（ｎ）、ダイオード１４３、スイッチ１４４、及び電源１４５は、図示しない１つの制御回路に配置されてもよい。
なお、電源１５０は、例えば、セキュリティチップ１４２（１）－１４２（ｎ）それぞれが動作するのに必要な電力を供給する、外部の定電流源である。

ヒューズ１４１（１）－１４１（ｎ）は、セキュリティチップ１４２（１）－１４２（ｎ）それぞれと接続され、無効化部として動作する。

暗号化部としてのセキュリティチップ１４２（１）－１４２（ｎ）としては、例えば、ＴＣＧ（ＴｒｕｓｔｅｄＣｏｍｐｕｔｉｎｇＧｒｏｕｐ）（登録商標）で定義されたセキュリティの仕様に準拠したセキュリティチップＴＰＭ（ＴｒｕｓｔｅｄＰｌａｔｆｏｒｍＭｏｄｕｌｅ）を適用することができる。なお、セキュリティチップ１４２（１）－１４２（ｎ）は、ＴＰＭとしたが、これに限定されない。例えば、セキュリティチップ１４２（１）－１４２（ｎ）は、暗号化部として、ＴＰＭ準拠の専用チップで実装されたディスクリートＴＰＭでもよく、前記ディスクリートＴＰＭによる暗号化でもよい。また、セキュリティチップ１４２（１）－１４２（ｎ）は、暗号化部として、マイコン内部のセキュリティ領域で実行されるファームウェアＴＰＭでもよく、前記ファームウェアＴＰＭによる暗号化でもよい。あるいは、セキュリティチップ１４２（１）－１４２（ｎ）は、暗号化部として、ＴＰＭ規格に準拠しないディスクリートＩＣでもよく、前記ディスクリートＩＣによる暗号化でもよい。また、セキュリティチップ１４２（１）－１４２（ｎ）は、暗号化部として、マイコンによるソフトウェア暗号化でもよい。
前述したように、例えば仕向け先（第１地域（国）から第ｎ地域（国）のいずれかの地域（国））毎に指定されるそれぞれのセキュリティチップ１４２（１）－１４２（ｎ）は、セキュリティ領域１３２に格納された、対応するそれぞれのセキュリティチップ制御ソフトウェア１３４（１）－１３４（ｎ）を実行することにより、仕向け先に特化したそれぞれに対応した暗号化処理を行うことができる。

スイッチＳＷ（１）－ＳＷ（ｎ）、ダイオード１４３、スイッチ１４４、及び電源１４５は、例えば、後述する制御部１００からの制御指示に基づいて、加負荷回路として動作する。
具体的には、操作部１１０が、例えば、制御装置１０の仕向け先として第ｉ地域（国）の指定を受け付けた場合、セキュリティチップ１４２（ｉ）以外の無効化対象のセキュリティチップ１４２（ｊ）（ｊ≠ｉ）を制御回路から切断するために、後述する制御部１００からの制御指示に基づいて、スイッチＳＷ（ｉ）はＯＦＦになり、スイッチＳＷ（ｉ）以外のスイッチＳＷ（ｊ）（ｊ≠ｉ）はＯＮになる。なお、ｉは１からｎの整数である。この場合、後述する制御部１００からの指示に基づきスイッチ１４４がＯＮになると、電源１４５からの電力がヒューズ１４１（ｉ）以外のヒューズ１４１（ｊ）（ｊ≠ｉ）に印加されることで、ヒューズ１４１（ｉ）以外のヒューズ１４１（ｊ）が焼き切られる。これにより、セキュリティチップ１４２（ｉ）以外のセキュリティチップ１４２（ｊ）が制御回路から切断され無効化される。
なお、加負荷回路として動作するスイッチＳＷ（１）－ＳＷ（ｎ）及びスイッチ１４４は、セキュリティチップ１４２（ｉ）以外のセキュリティチップ１４２（ｊ）（ｊ≠ｉ）全てが制御回路から切断されている場合、無効化処理を行わない誤作動防止機能を有してもよい。
また、加負荷回路としてのダイオード１４３及びスイッチ１４４があることにより、無効化処理のタイミングを決定することができ、電源投入時にすぐに無効化処理にならないことで、誤って仕向け先が決まってしまうことを避けることができる。ただし、ダイオード１４３及びスイッチ１４４は加負荷回路になくてもよい。

電源１４５は、ヒューズ１４１（１）－１４１（ｎ）を焼き切るのに必要な電力を供給する定電流源である。

＜制御部１００＞
制御部１００は、演算部１０１を備え、例えば制御装置１０を全体的に制御するプロセッサである。制御部１００は、図示しないバスを介して主記憶装置部１２０、及び補助記憶装置部１３０と通信可能に接続される。
演算部１０１は、補助記憶装置部１３０の既存ソフトウェア領域１３１に格納されたシステムプログラム及びアプリケーションプログラムを、バスを介して読み出し、前記システムプログラム及びアプリケーションプログラムに従って制御装置１０全体を制御する。
同様に、演算部１０１は、補助記憶装置部１３０に格納されたセキュリティチップ制御抽象化プログラム１３３、セキュリティチップ制御ソフトウェア１３４（１）－１３４（ｎ）、及び起動時チェック処理プログラム１３５を、バスを介して読み出し、前記システムプログラム及びアプリケーションプログラムに従って、制御装置１０に係るセキュリティ処理を制御する。
これにより、図１に示すように、制御部１００は、前述したセキュリティチップ制御抽象化機能、及び起動時チェック処理機能を実現するように構成される。

制御部１００は、暗号化装置部１４０に配置されるスイッチＳＷ（１）－ＳＷ（ｎ）及びスイッチ１４４の加負荷回路の作動により、セキュリティチップ１４２（ｉ）以外の少なくとも１つの無効化対象のセキュリティチップ１４２（ｊ）（ｊ≠ｉ）が無効化された場合、無効化されたセキュリティチップ１４２（ｊ）に対応するセキュリティチップ制御ソフトウェア１３４（ｊ）（ｊ≠ｉ）を補助記憶装置部１３０から削除するようにしてもよい。
具体的には、制御部１００は、例えば、操作部１１０が制御装置１０の仕向け先として第ｉ地域（国）の指定を機械メーカの設計者等から受け付けた場合、セキュリティチップ１４２（ｉ）以外のセキュリティチップ１４２を制御回路から切断するために、スイッチＳＷ（ｉ）をＯＦＦにし、スイッチＳＷ（ｉ）以外のスイッチＳＷをＯＮにする。そして、制御部１００は、スイッチ１４４をＯＮにすることで、ヒューズ１４１（ｉ）以外のヒューズ１４１（ｊ）（ｊ≠ｉ）を焼き切り、セキュリティチップ１４２（ｉ）以外の無効化対象のセキュリティチップ１４２（ｊ）を制御回路から切断し無効化する。その際、制御部１００は、セキュリティチップ制御ソフトウェア１３４（ｉ）以外のセキュリティチップ制御ソフトウェア１３４（ｊ）（ｊ≠ｉ）全てを補助記憶装置部１３０から削除するようにしてもよい。

そうすることで、制御装置１０の販売者は出荷時に機械メーカ等にどの仕向地向けかを設定せずに販売することができ、機械メーカの設計者等は機械の出荷までに、制御装置１０の仕向け先の設定操作を行うことで、選択された仕向け先向けの暗号機能のみを有する制御装置１０とすることができる。
なお、無効化対象のセキュリティチップ１４２（ｊ）（ｊ≠ｉ）は仕向け先では使われないため、仕向け先とは関係ないセキュリティ情報を含むセキュリティチップ制御ソフトウェア１３４（ｉ）以外のセキュリティチップ制御ソフトウェア１３４（ｊ）（ｊ≠ｉ）を残さないようにすることで、ハッキングされるリスクを減らすことができる。また、仕向け先への出荷前に、セキュリティチップ制御ソフトウェア１３４（ｉ）以外のセキュリティチップ制御ソフトウェア１３４（ｊ）（ｊ≠ｉ）を削除することによって、セキュリティチップ制御ソフトウェア１３４（ｉ）以外のセキュリティチップ制御ソフトウェア１３４（ｊ）（ｊ≠ｉ）が仕向け先の法律による開示要求等の影響を受けずに済むという効果を奏することができる。
なお、セキュリティチップ制御ソフトウェア１３４（ｊ）（ｊ≠ｉ）の削除は、当業者にとって公知のゼロ上書き後削除や、乱数上書き後削除等で行われてもよい。

ところで、例えば、セキュリティチップ１４２（ｉ）以外の無効化対象のセキュリティチップ１４２（ｊ）（ｊ≠ｉ）を制御回路から切断するため、ヒューズ１４１（ｉ）以外のヒューズ１４１（ｊ）（ｊ≠ｉ）を焼き切っているときに、機械メーカの設計者等が誤って制御装置１０の電源を落としてしまう等の場合が考えられる。この場合、ヒューズ１４１（ｉ）以外のヒューズ１４１（ｊ）（ｊ≠ｉ）の一部が焼き切られず、無効化対象のセキュリティチップ１４２（ｊ）（ｊ≠ｉ）の一部が制御回路に接続された状態のままとなるリスクが発生する可能性がある。

そこで、制御部１００は、例えば、制御装置１０の仕向け先に対応するセキュリティチップ１４２（ｉ）の識別情報を補助記憶装置部１３０に記憶してもよい。そうすることで、制御部１００は、制御装置１０が起動されたとき、起動時チェック処理プログラム１３５を起動することで、補助記憶装置部１３０に記憶されたセキュリティチップ１４２（ｉ）の識別情報と、公知の断線検知の手法と、に基づいて、セキュリティチップ１４２（ｉ）以外のセキュリティチップ１４２（ｊ）（ｊ≠ｉ）全てが制御回路から切断されているか否かを判定するようにしてもよい。
具体的には、制御部１００は、起動時チェック処理プログラム１３５を実行することで、例えば、セキュリティチップ１４２（ｉ）以外の無効化対象のセキュリティチップ１４２（ｊ）（ｊ≠ｉ）それぞれに制御用コマンドを送信する。制御部１００は、前記制御用コマンドに対する応答を受けたか否かで、無効化対象のセキュリティチップ１４２（ｊ）（ｊ≠ｉ）全てが制御回路から切断されているか否かを判定してもよい。すなわち、制御部１００は、起動時チェック処理プログラム１３５を実行することで、無効化対象のセキュリティチップ１４２（ｊ）（ｊ≠ｉ）から正しい応答が帰る場合、接続と判定し、正しくない応答若しくは応答がない場合、切断されていると判定するようにしてもよい。

なお、起動時に、万が一、無効化対象のセキュリティチップ１４２が制御回路から切断されていないことを検知した場合、制御装置１０を起動できないようにするとともに、無効化対象のセキュリティチップ１４２（ｊ）（ｊ≠ｉ）が制御回路から切断されていないことを示すアラートを出力し、制御装置１０の図示しない表示器に表示してもよい。その後、例えば、制御装置１０の販売者等により、セキュリティチップ１４２の再設定を行うようにしてもよい。
ただし、一度無効化処理を実行した場合、機械メーカの設計者等が誤って違う仕向け先に変えないように、制御部１００は、一度目の無効化処理で残す地域（国）を補助記憶装置部１３０に記憶してもよい。そして、機械メーカの設計者等が一度目に設定した仕向け先と違う仕向け先を設定しようとした場合、制御部１００は、一度目に設定した仕向け先と違う仕向け先を設定しようとしていることを示すアラート等を出力し、制御装置１０の図示しない表示器に表示するようにしてもよい。
そうすることで、制御装置１０は、仕向け先が一度指定されると、ユーザにより制御装置１０が使用可能となる前に、無効化対象のセキュリティチップ１４２（ｊ）（ｊ≠ｉ）を確実に無効化することができ、無効化対象のセキュリティチップ１４２（ｊ）（ｊ≠ｉ）に対応するセキュリティチップ制御ソフトウェア１３４（ｊ）（ｊ≠ｉ）を補助記憶装置部１３０から確実に削除することができる。

＜制御装置１０の仕向け先で使用不可のセキュリティチップの削除処理＞
次に、本実施形態に係る制御装置１０の削除処理に係る動作について説明する。
図４は、制御装置１０の仕向け先で使用不可のセキュリティチップの削除処理について説明するフローチャートである。ここで示すフローは、制御装置１０の仕向け先が指定される度に実行される。

ステップＳ１１において、操作部１１０は、機械メーカの設計者等による入力操作に基づいて、制御装置１０の仕向け先の指定を受け付ける。

ステップＳ１２において、制御部１００は、ステップＳ１１で指定された仕向け先に対応するセキュリティチップ１４２（ｉ）以外の無効化対象のセキュリティチップ１４２（ｊ）（ｊ≠ｉ）を制御回路から切断するために、スイッチＳＷ（ｉ）をＯＦＦに、スイッチＳＷ（ｉ）以外のスイッチＳＷ（ｊ）（ｊ≠ｉ）をＯＮにそれぞれ設定する。

ステップＳ１３において、制御部１００は、スイッチ１４４をＯＮにすることにより、ヒューズ１４１（ｉ）以外のヒューズ１４１（ｊ）（ｊ≠ｉ）を焼き切り、無効化対象のセキュリティチップ１４２（ｊ）（ｊ≠ｉ）を制御回路から切断する。

ステップＳ１４において、演算部１０１は、無効化対象のセキュリティチップ１４２（ｊ）に対応するセキュリティチップ制御ソフトウェア１３４（ｊ）を補助記憶装置部１３０から削除する。

＜制御装置１０の起動時の処理＞
次に、本実施形態に係る制御装置１０の起動時の処理に係る動作について説明する。
図５は、制御装置１０の起動時の削除処理について説明するフローチャートである。ここで示すフローは、制御装置１０が起動される度に実行される。

ステップＳ２１において、制御部１００は、起動時チェック処理プログラム１３５を実行することで、起動時に仕向け先のセキュリティチップ１４２（ｉ）以外の無効化対象のセキュリティチップ１４２（ｊ）（ｊ≠ｉ）全てが制御回路から切断されているか否かを判定する。無効化対象のセキュリティチップ１４２（ｊ）（ｊ≠ｉ）全てが制御回路から切断されている場合、ステップＳ２３に進む。一方、無効化対象のセキュリティチップ１４２（ｊ）（ｊ≠ｉ）全てが制御回路から切断されていない場合、処理はステップＳ２２に進む。

ステップＳ２２において、制御部１００は、制御装置１０を起動できないようにするとともに、無効化対象のセキュリティチップ１４２（ｊ）（ｊ≠ｉ）が制御回路から切断されていないことを示すアラートを出力し、図示しない表示器に表示して、起動処理を終了する。

ステップＳ２３において、制御部１００は、制御装置１０の通常の起動処理を行う。

以上により、一実施形態の制御装置１０は、複数の地域の各々に対応した暗号化機能を有するセキュリティチップ１４２（１）－１４２（ｎ）を予め有する。制御装置１０は、機械メーカの設計者等による入力操作に基づいて、制御装置１０の仕向け先の指定を受け付けた場合、指定された仕向け先に対応するセキュリティチップ１４２（ｉ）以外の無効化対象のセキュリティチップ１４２（ｊ）（ｊ≠ｉ）を制御回路から切断することで無効化することができる。
これにより、仕向け先毎の制御装置１０を予め用意することなく、在庫コストを低減することができる。すなわち、制御装置１０の販売者は、仕向け先毎に在庫を用意する必要がなくなり、制御装置１０の販売者の在庫コストを低減することができる。また、機械メーカや生産システムインテグレータは、仕向け先毎に制御装置１０の在庫を用意する必要がなくなり、在庫コストを低減することができる。
また、制御装置１０は、無効化対象のセキュリティチップ１４２（ｊ）（ｊ≠ｉ）に対応するセキュリティチップ制御ソフトウェア１３４（ｊ）（ｊ≠ｉ）全てを削除することにより、ハッキングされるリスクを減らすことができる。
また、制御装置１０は、起動時に、仕向け先に対応するセキュリティチップ１４２（ｉ）以外の無効化対象のセキュリティチップ１４２（ｊ）（ｊ≠ｉ）全てが制御回路から切断されているか否かを判定する。そして、制御装置１０は、無効化対象のセキュリティチップ１４２（ｊ）（ｊ≠ｉ）全てが切断されていない場合、制御装置１０を起動できないようにするとともに、無効化対象のセキュリティチップ１４２（ｊ）（ｊ≠ｉ）が制御回路から切断されていないことを示すアラートを、制御装置１０の図示しない表示器に表示してもよい。そうすることで、例えば、制御装置１０の販売者等により、セキュリティチップ１４２の再設定を行うようにしてもよい。

以上、一実施形態について説明したが、制御装置１０は、上述の実施形態に限定されるものではなく、目的を達成できる範囲での変形、改良等を含む。

＜変形例１＞
上述の実施形態では、暗号化装置部１４０は、図３に示すような構成を有したが、これに限定されない。
図６は、暗号化装置部１４０の構成例を示す図である。なお、図３の暗号化装置部１４０の要素と同様の機能を有する要素については、同じ符号を付し、詳細な説明は省略する。
図６に示すように、ヒューズ１４１（１）－１４１（ｎ）それぞれと、スイッチＳＷ（１）－ＳＷ（ｎ）のそれぞれと、セキュリティチップ１４２（１）－１４２（ｎ）のそれぞれと、が直列に接続される。そして、演算部１０１は、例えば、制御装置１０の仕向け先として第ｉ地域（国）の指定を受け付けた場合、図３の場合と同様に、スイッチＳＷ（ｉ）をＯＦＦにし、スイッチＳＷ（ｉ）以外のスイッチＳＷをＯＮにすることにより、セキュリティチップ１４２（ｉ）以外の無効化対象のセキュリティチップ１４２を制御回路から切断してもよい。

＜変形例２＞
また例えば、上述の実施形態では、制御部１００は、起動時チェック処理プログラム１３５を実行することで、起動時に仕向け先のセキュリティチップ１４２（ｉ）以外の無効化対象のセキュリティチップ１４２（ｊ）（ｊ≠ｉ）全てが制御回路から切断されていない場合、無効化対象のセキュリティチップ１４２（ｊ）（ｊ≠ｉ）が制御回路から切断されていないことを示すアラートを出力し、制御装置１０の図示しない表示器に表示したが、これに限定されない。
例えば、制御部１００は、制御装置１０の再起動時に、起動時チェック処理プログラム１３５を実行することで、再度無効化対象のセキュリティチップ１４２（ｊ）（ｊ≠ｉ）全てを制御回路から切断するようにしてもよい。また、制御部１００は、無効化対象のセキュリティチップ１４２（ｊ）（ｊ≠ｉ）に対応するセキュリティチップ制御ソフトウェア１３４（ｊ）（ｊ≠ｉ）を補助記憶装置部１３０から削除してもよい。
そうすることで、制御装置１０は、セキュリティチップ１４２（ｉ）以外の無効化対象のセキュリティチップ１４２（ｊ）（ｊ≠ｉ）全てを確実に無効化することができ、無効化対象のセキュリティチップ１４２（ｊ）（ｊ≠ｉ）に対応するセキュリティチップ制御ソフトウェア１３４（ｊ）（ｊ≠ｉ）全てを補助記憶装置部１３０から確実に削除することができる。

なお、一実施形態に係る制御装置１０に含まれる各機能は、ハードウェア、ソフトウェア又はこれらの組み合わせによりそれぞれ実現することができる。ここで、ソフトウェアによって実現されるとは、コンピュータがプログラムを読み込んで実行することにより実現されることを意味する。
また、制御装置１０に含まれる各構成部は、電子回路等を含むハードウェア、ソフトウェア又はこれらの組み合わせにより実現することができる。

プログラムは、様々なタイプの非一時的なコンピュータ可読媒体（Ｎｏｎ－ｔｒａｎｓｉｔｏｒｙｃｏｍｐｕｔｅｒｒｅａｄａｂｌｅｍｅｄｉｕｍ）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体（Ｔａｎｇｉｂｌｅｓｔｏｒａｇｅｍｅｄｉｕｍ）を含む。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えば、フレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば、光磁気ディスク）、ＣＤ－ＲＯＭ（ＲｅａｄＯｎｌｙＭｅｍｏｒｙ）、ＣＤ－Ｒ、ＣＤ－Ｒ／Ｗ、半導体メモリ（例えば、マスクＲＯＭ、ＰＲＯＭ（ＰｒｏｇｒａｍｍａｂｌｅＲＯＭ）、ＥＰＲＯＭ（ＥｒａｓａｂｌｅＰＲＯＭ）、フラッシュＲＯＭ、ＲＡＭ）を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（Ｔｒａｎｓｉｔｏｒｙｃｏｍｐｕｔｅｒｒｅａｄａｂｌｅｍｅｄｉｕｍ）によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は、無線通信路を介して、プログラムをコンピュータに供給できる。

なお、記録媒体に記録されるプログラムを記述するステップは、その順序に沿って時系列的に行われる処理はもちろん、必ずしも時系列的に処理されなくとも、並列的あるいは個別に実行される処理をも含むものである。

以上を換言すると、本開示の制御装置は、次のような構成を有する各種各様の実施形態を取ることができる。

（１）本開示の制御装置１０は、産業機械を制御し暗号化部を含む制御装置であって、複数の仕向け先毎に対応した複数のセキュリティチップ１４２と複数のセキュリティチップ１４２のいずれかを無効化するもしくは複数のセキュリティチップ１４２を無効化する複数の無効化部とを含む暗号化装置部１４０と、制御装置１０の仕向け先に応じて複数の無効化部それぞれに複数のセキュリティチップ１４２のいずれかを無効化させるか複数のセキュリティチップ１４２を無効化させるかを指定して、セキュリティチップ１４２の無効化を選択する操作部１１０と、を備える。
この制御装置１０によれば、仕向け先毎の制御装置１０を予め用意することなく、在庫コストを低減することができる。

（２）（１）に記載の制御装置１０において、セキュリティチップ１４２（１）－１４２（ｎ）は、少なくともＴＰＭ、ＴＰＭ準拠の専用チップで実装されたディスクリートＴＰＭ、マイコン内部のセキュリティ領域で実行されるファームウェアＴＰＭ、又はＴＰＭ規格に準拠しないディスクリートＩＣのいずれかのセキュリティチップであってもよい。
そうすることで、制御装置１０は、所望のセキュリティチップを使用することができる。

（３）（１）又は（２）に記載の制御装置１０において、無効化部はヒューズ１４１（１）－１４１（ｎ）であり、暗号化装置部１４０は、仕向け先に対応するセキュリティチップ１４２（１）以外の無効化対象のセキュリティチップ１４２（ｊ）（ｊ≠ｉ）を無効化するようにヒューズ１４１（ｊ）（ｊ≠ｉ）を動作させる加負荷回路を備えてもよい。
そうすることで、制御装置１０は、無効化対象のセキュリティチップ１４２（ｊ）（ｊ≠ｉ）を確実に切断することができる。

（４）（３）に記載の制御装置１０において、複数のセキュリティチップ１４２（１）－１４２（ｎ）の各々の動作を制御する複数のセキュリティチップ制御ソフトウェア１３４（１）－１３４（ｎ）を記憶する補助記憶装置部１３０と、ヒューズ１４１（１）－１４１（ｎ）により少なくとも１つの無効化対象のセキュリティチップ１４２が無効化された場合、無効化されたセキュリティチップ１４２に対応するセキュリティチップ制御ソフトウェア１３４を補助記憶装置部１３０から削除する演算部１０１とを、を備えてもよい。
そうすることで、制御装置１０は、ハッキングされるリスクを減らすことができる。

（５）（４）に記載の制御装置１０において、制御装置１０の起動時に、無効化対象のセキュリティチップ１４２（ｊ）（ｊ≠ｉ）全てが無効化されているか否かを判定する起動時チェック処理部をさらに備え、演算部１０１は、起動時チェック処理部により無効化対象のセキュリティチップ１４２（ｊ）（ｊ≠ｉ）全てが無効化されていないと判定された場合、無効化対象のセキュリティチップ１４２（ｊ）（ｊ≠ｉ）全てが無効化されていないことを示すアラートを出力してもよい。
そうすることで、制御装置１０は、ユーザにより制御装置１０が使用可能となる前に、無効化対象のセキュリティチップ１４２（ｊ）（ｊ≠ｉ）全てを確実に無効化することができる。

（６）（５）に記載の制御装置１０において、加負荷回路は、起動時チェック処理部により無効化対象のセキュリティチップ１４２（ｊ）（ｊ≠ｉ）全てが無効化されたと判定された場合、無効化処理を行わない誤作動防止機能を有してもよい。
そうすることで、制御装置１０は、無効化対象のセキュリティチップ１４２全てを安全に無効化することができる。

（７）（４）から（６）のいずれかに記載の制御装置１０において、演算部１０１は、制御装置１０の仕向け先を補助記憶装置部１３０に記憶し、操作部１１０が補助記憶装置部１３０に記憶された仕向け先と異なる仕向け先を受け付けた場合、補助記憶装置部１３０に記憶された仕向け先と異なることを示すアラートを出力してもよい。
そうすることで、制御装置１０は、機械メーカの設計者等が一度設定した仕向け先を再度仕向け先を変えようとした場合、既に仕向け先が設定されている旨を機械メーカの設計者等に通知することができる。

１０制御装置
１００制御部
１０１演算部
１１０操作部
１２０主記憶装置部
１３０補助記憶装置部
１３１既存ソフトウェア領域
１３２セキュリティ領域
１３４（１）－１３４（ｎ）セキュリティチップ制御ソフトウェア
１３５起動時チェック処理プログラム
１４０暗号化装置部
１４１（１）－１４１（ｎ）ヒューズ
１４２（１）－１４２（ｎ）セキュリティチップ
ＳＷ（１）－ＳＷ（ｎ）、１４４スイッチ

Claims

産業機械を制御し暗号化部を含む制御装置であって、
複数の仕向け先毎に対応した複数の前記暗号化部と複数の前記暗号化部のいずれかを無効化するもしくは複数の前記暗号化部を無効化する複数の無効化部とを含む暗号化装置部と、
前記制御装置の仕向け先に応じて前記複数の無効化部それぞれに複数の前記暗号化部のいずれかを無効化させるか複数の前記暗号化部を無効化させるかを指定して、暗号化部の無効化を選択する操作部と、
を備える制御装置。
前記暗号化部は、少なくともＴＰＭ（ＴｒｕｓｔｅｄＰｌａｔｆｏｒｍＭｏｄｕｌｅ）、ＴＰＭ準拠の専用チップで実装されたディスクリートＴＰＭ、マイコン内部のセキュリティ領域で実行されるファームウェアＴＰＭ、又はＴＰＭ規格に準拠しないディスクリートＩＣのいずれかのセキュリティチップである、請求項１に記載の制御装置。
前記無効化部はヒューズであり、
前記暗号化装置部は、
前記仕向け先に対応する暗号化部以外の無効化対象の暗号化部を無効化するように前記無効化部を動作させる加負荷回路を備える、請求項１又は請求項２に記載の制御装置。
前記複数の暗号化部の各々の動作を制御する複数の制御ソフトウェアを記憶する補助記憶装置部と、
前記無効化部により少なくとも１つの無効化対象の暗号化部が無効化された場合、無効化された前記無効化対象の暗号化部に対応する制御ソフトウェアを前記補助記憶装置部から削除する演算部と、を備える、請求項３に記載の制御装置。
前記制御装置の起動時に、前記無効化対象の暗号化部全てが無効化されているか否かを判定する起動時チェック処理部をさらに備え、
前記演算部は、前記起動時チェック処理部により前記無効化対象の暗号化部全てが無効化されていないと判定された場合、前記無効化対象の暗号化部全てが無効化されていないことを示すアラートを出力する、請求項４に記載の制御装置。
前記加負荷回路は、前記起動時チェック処理部により前記無効化対象の暗号化部全てが無効化されたと判定された場合、無効化処理を行わない誤作動防止機能を有する、請求項５に記載の制御装置。
前記演算部は、前記制御装置の仕向け先を前記補助記憶装置部に記憶し、前記操作部が前記補助記憶装置部に記憶された仕向け先と異なる仕向け先を受け付けた場合、前記補助記憶装置部に記憶された仕向け先と異なることを示すアラートを出力する、請求項４から請求項６のいずれか１項に記載の制御装置。