JP7472836B2

JP7472836B2 - 産業用制御装置

Info

Publication number: JP7472836B2
Application number: JP2021050011A
Authority: JP
Inventors: 敏幸杉江
Original assignee: Denso Wave Inc
Current assignee: Denso Wave Inc
Priority date: 2021-03-24
Filing date: 2021-03-24
Publication date: 2024-04-23
Anticipated expiration: 2041-03-24
Also published as: US11789423B2; US20220308546A1; JP2022148360A

Description

本発明は、ＣＰＵモジュールと入力モジュールとを備えた産業用制御装置に関する。

特許文献１に開示されているように、プログラマブルロジックコントローラなどの産業用制御装置では、各種のセンサ、各種のスイッチなどから出力されるアナログ信号またはデジタル信号である入力信号を、その産業用制御装置の動作全般を制御するＣＰＵモジュールへと取り込むための入力モジュールが設けられている。このような産業用制御装置では、安全の観点から、このような入力制御、つまり入力信号を取り込むための通信を２重化する要求がある。なお、本明細書では、プログラマブルロジックコントローラのことをＰＬＣと省略することがある。

このような通信の２重化を実現するため、ＰＬＣの入力モジュールとして、入力信号を入力するとともに入力信号に対応したデータを出力する２つのMicro Controller Unitと、Micro Controller Unitから出力されるデータをＣＰＵモジュールとの通信に対応したデータに変換して出力するバス変換ＩＣと、を含む構成を採用することが考えられる。なお、本明細書では、Micro Controller UnitのことをＭＣＵと省略することがある。また、ＩＣは、Integrated Circuitの略称である。

上記した従来の構成では、２つのＭＣＵにおいて、同じ入力信号に対応した入力データを解釈して所定のデータを生成し、例えば一方のＭＣＵである第２ＭＣＵが生成したデータを他方のＭＣＵである第１ＭＣＵに送信し、第１ＭＣＵが第２ＭＣＵから送信されたデータと自身が生成したデータとの一致比較を行い、一致したことを条件としてデータを後段のバス変換ＩＣに送信することで、通信の２重化が図られるようになっている。

特開２０１９－２０８２２号公報

ネットワーク機器の機能安全設計の複雑度を下げる手法として、ブラックチャネル・アプローチがある。ブラックチャネルとして認められた通信経路は、通信エラーを比較的高い確率で検出できる。その結果、通信経路の故障率が無視できるほど小さくなるため、モジュール結合の自由度が向上する。ブラックチャネルに対応させるためには、通信エラーをアプリケーション側で確実に検出できる仕組みを設けるとともに、その証明が必要となる。

上記した従来の構成では、第１ＭＣＵにおいて各データの一致比較が行われる際、２重の状態ではなく１重の状態になってしまう。つまり、従来の構成では、第１ＭＣＵが、第２ＭＣＵから送信されたデータを改ざんすることが可能であるため、仮に第１ＭＣＵに何らかの異常や故障が生じた場合に、後段に誤ったデータが送信されるおそれがある。このようなことから、従来の構成では、通信経路をブラックチャネルに対応させることができないという課題があった。

本発明は上記事情に鑑みてなされたものであり、その目的は、入力信号を取り込むための通信を２重化するとともに通信経路のブラックチャネル対応を実現することができる産業用制御装置を提供することにある。

請求項１に記載の産業用制御装置は、ＣＰＵモジュールと、外部から入力される入力信号に対応した内部データを生成するとともに通信を介して内部データをＣＰＵモジュールに送信する入力モジュールと、を備える。入力モジュールは、第１制御部および第２制御部を備える。第１制御部は、入力信号を入力するとともに第１制御データを生成して出力する。第２制御部は、入力信号を入力するとともに第２制御データを生成して出力する。このような第１制御部および第２制御部を備える入力モジュールは、第１制御データに対応した内部データを生成して出力するようになっている。このように、上記構成では、入力信号をＣＰＵモジュールへと取り込むための通信は、物理的には２重化されていない。

しかしながら、上記構成では、各部が次のような機能を備えることにより、物理的な２重化と同等の機能を実現する意味的な２重化が図られている。すなわち、この場合、第１制御部および第２制御部は、同じ入力信号に対して、それぞれ独自の解釈でデータ生成するようになっている。具体的には、第２制御部は、入力信号に対応した入力データである第２入力データを第１制御部では復号することができないデータに符号化することにより第２制御データを生成し、第２制御データを第１制御部に送信する。そして、第１制御部は、入力信号に対応した入力データである第１入力データと第２制御データとを統合することにより第１制御データを生成する。このように、上記構成では、２つの制御部、つまり第１制御部および第２制御部は、互いに異なる役割を果たすようになっている。

上記構成において、ＣＰＵモジュールは、第２制御データを復号する機能を有する判定部を備える。判定部は、内部データから第１入力データおよび第２入力データを抽出し、第１入力データおよび第２入力データの一致比較により入力データの正誤判定を行う。このような構成では、第２制御部に何らかの異常、故障などが生じた場合、その異常、故障などに起因して第２入力データ、ひいては第２制御データが本来のデータとは異なるデータとなる可能性があるが、この場合、判定部による一致比較において不一致となって入力データの誤り、つまり通信エラーが検出される。

また、上記構成では、第１制御部に何らかの異常、故障などが生じた場合、その異常、故障などに起因して第１入力データが本来のデータとは異なるデータとなる可能性がある。ただし、この場合、第１制御部は、第２制御部から送信された第２制御データを復号することができない。したがって、異常、故障などが生じた第１制御部により第２制御データが改ざんされる可能性は極めて低い。そのため、この場合も、判定部による一致比較において不一致となって入力データの誤り、つまり通信エラーが検出される。このように、上記構成によれば、入力信号をＣＰＵモジュールに取り込むための通信を物理的に２重化した構成と同様の機能、具体的には、通信エラーを確実に検出する仕組みを実現することができる。したがって、上記構成によれば、入力信号を取り込むための通信を２重化するとともに通信経路のブラックチャネル対応を実現することができるという優れた効果が得られる。

請求項２に記載の産業用制御装置では、第１制御部は、第１入力データを符号化することにより第１符号化データを生成し、第１符号化データと第２制御データとを統合することにより第１制御データを生成するようになっている。このような構成によれば、第１制御データ、ひいては入力モジュールからＣＰＵモジュールに送信される内部データは、全て符号化されたデータとなることから、例えば悪意のある第三者によるデータ改ざんが困難なものとなり、そのセキュリティ性が向上する。また、このように全てのデータが符号化された内部データは、一部のデータが符号化された内部データに比べ、そのデータ量が小さく抑えられるため、上記構成によれば、入力モジュールとＣＰＵモジュールとの間における通信について、負荷の軽減、高速化の実現などに寄与することができる。

請求項３に記載の産業用制御装置では、第１制御部は、第１入力データと第２制御データとを統合するとともに符号化することにより第１制御データを生成するようになっている。このような構成によれば、第１制御データ、ひいては入力モジュールからＣＰＵモジュールに送信される内部データは、全て符号化されたデータとなることから、例えば悪意のある第三者によるデータ改ざんが困難なものとなり、そのセキュリティ性が向上する。また、このように全てのデータが符号化された内部データは、一部のデータが符号化された内部データに比べ、そのデータ量が小さく抑えられるため、上記構成によれば、入力モジュールとＣＰＵモジュールとの間における通信について、負荷の軽減、高速化の実現などに寄与することができる。

請求項４に記載の産業用制御装置では、第１制御部は、第１符号化データと第２制御データとを統合するとともに、第１符号化データを生成する際とは異なる内容で符号化することにより第１制御データを生成するようになっている。つまり、この場合、内部データは、その元となる第１入力データおよび第２入力データに対して２重で符号化されることにより生成されている。そのため、上記構成によれば、例えば悪意のある第三者によるデータ改ざんが一層困難なものとなり、そのセキュリティ性がさらに向上する。また、上記構成によれば、２重の符号化により内部データのデータ量が一層小さく抑えられるため、入力モジュールとＣＰＵモジュールとの間における通信について、負荷のさらなる軽減、さらなる高速化の実現などに寄与することができる。

外部から入力される入力信号がアナログ信号である場合、第１入力データおよび第２入力データのタイミングにずれが生じていると、入力データが正しいものであるにもかかわらず、判定部による一致比較において不一致となり、入力データが誤りであると誤判定されるおそれがある。そこで、請求項５に記載の産業用制御装置では、第１制御部において統合される各データは、同じタイミングの入力信号に対応したデータとなっている。このようにすれば、判定部により一致比較される第１入力データおよび第２入力データは、同時のデータとして担保されるため、入力信号がアナログ信号である場合でも、判定部による一致比較により入力データの正誤判定を精度良く行うことができる。

第１実施形態に係るＰＬＣの構成を模式的に示す図第１実施形態に係る第２ＭＣＵにより実行される処理の具体的な内容の一例を示すフローチャート第１実施形態に係る第１ＭＣＵにより実行される処理の具体的な内容の一例を示すフローチャート第１実施形態に係るＣＰＵモジュールの判定部により実行される処理の具体的な内容の一例を示すフローチャート第２実施形態に係る第１ＭＣＵにより実行される処理の具体的な内容の一例を示すフローチャート第２実施形態に係るＣＰＵモジュールの判定部により実行される処理の具体的な内容の一例を示すフローチャート第３実施形態に係る第１ＭＣＵにより実行される処理の具体的な内容の一例を示すフローチャート第３実施形態に係るＣＰＵモジュールの判定部により実行される処理の具体的な内容の一例を示すフローチャート第４実施形態に係る第１ＭＣＵにより実行される処理の具体的な内容の一例を示すフローチャート第４実施形態に係るＣＰＵモジュールの判定部により実行される処理の具体的な内容の一例を示すフローチャート第５実施形態に係る第２ＭＣＵにより実行される処理の具体的な内容の一例を示すフローチャート第５実施形態に係る第１ＭＣＵにより実行される処理の具体的な内容の一例を示すフローチャート第６実施形態に係るＰＬＣの構成を模式的に示す図

以下、複数の実施形態について図面を参照して説明する。なお、各実施形態において実質的に同一の構成には同一の符号を付して説明を省略する。
（第１実施形態）
以下、第１実施形態について図１～図４を参照して説明する。

図１に示すように、産業用制御装置であるＰＬＣ１は、ＣＰＵモジュール２、入力モジュール３、図示しない出力モジュールなどを備えている。ＣＰＵモジュール２および入力モジュール３含めたＰＬＣ１を構成する各モジュールは、バス通信ライン４を介して、それぞれの間で通信可能に構成されている。なお、本実施形態では、バス通信ライン４を介した通信は、例えばEthernet/IP，EtherCAT，PROFINETなどの産業ネットワーク規格による通信となっている。

入力モジュール３は、外部から入力される入力信号ＳａをＣＰＵモジュール２へと取り込むためのものであり、第１入力回路５、第２入力回路６、第１ＭＣＵ７、第２ＭＣＵ８、バス変換ＩＣ９などを備えている。本実施形態では、入力信号Ｓａは、各種のセンサ、各種のスイッチなどから出力されるアナログ信号となっている。この場合、入力モジュール３は、入力信号Ｓａに対応した内部データＤａを生成するとともに通信を介して内部データＤａをＣＰＵモジュール２に送信する。

第１入力回路５は、端子１０を介して与えられる入力信号Ｓａを第１ＭＣＵ７に入力可能なレベルの信号に変換し、その変換後の信号を第１ＭＣＵ７へ出力する。第２入力回路６は、入力信号Ｓａを第２ＭＣＵ８に入力可能なレベルの信号に変換し、その変換後の信号を第２ＭＣＵ８へ出力する。このようなレベル変換後の信号は、レベルが異なる以外は入力信号Ｓａと同じ態様の信号となる。そのため、以下の説明では、レベル変換後の信号についても入力信号Ｓａと称することとする。

なお、外部から与えられる入力信号Ｓａのレベルが第１ＭＣＵ７および第２ＭＣＵ８に入力可能な範囲のレベルである場合、第１入力回路５および第２入力回路６を省くこともできる。第１ＭＣＵ７は、入力信号Ｓａを入力するとともに第１制御データＤｂを生成して出力するものであり、第１制御部として機能する。第２ＭＣＵ８は、入力信号Ｓａを入力するとともに第２制御データＤｃを生成して出力するものであり、第２制御部として機能する。

バス変換ＩＣ９には、第１ＭＣＵ７から出力される第１制御データＤｂが入力されている。バス変換ＩＣ９は、第１制御データＤｂを通信に対応した通信パケットなどの内部データＤａに変換する。つまり、バス変換ＩＣ９は、第１制御データＤｂを入力するとともに第１制御データＤｂに対応した内部データＤａを生成して出力するものであり、データ生成部として機能する。バス変換ＩＣ９において、内部データＤａの生成は、ソフトウェア処理により行われる。バス変換ＩＣ９は、生成した内部データＤａを含む通信データを通信によりＣＰＵモジュール２に送信する。

第２ＭＣＵ８は、入力信号ＳａをＡ／Ｄ変換するなどして入力信号Ｓａに対応した入力データである第２入力データを取得する。第２ＭＣＵ８は、第２入力データを第１ＭＣＵ７では復号することができないデータに符号化することにより第２制御データＤｃを生成し、第２制御データＤｃを第１ＭＣＵ７に送信する。第１ＭＣＵ７は、入力信号ＳａをＡ／Ｄ変換するなどして入力信号Ｓａに対応した入力データである第１入力データを取得する。第１ＭＣＵ７は、第１入力データと第２ＭＣＵ８から送信される第２制御データＤｃとを統合することにより、第１制御データＤｂを生成する。第１ＭＣＵ７により取得される第１入力データと第２ＭＣＵ８により取得される第２入力データとは、何らかの異常、故障などが生じていない限り、同じデータとなる。

第１ＭＣＵ７において統合される各データは、同じタイミングの入力信号Ｓａに対応したデータとなっている、つまり統合される各データの同期が図られている。各データの同期は、次のような手法により図られるようになっている。すなわち、第１ＭＣＵ７は、フラッシュＲＯＭ、ＲＡＭなどのメモリを備えており、そのメモリには、第１入力データおよび第２ＭＣＵ８から送信される第２制御データＤｃが格納される。このように、第２ＭＣＵ８は、自身で生成した第２制御データＤｃの保存先を自身のメモリではなく、第１ＭＣＵ７のメモリとするようにしている。

第１ＭＣＵ７が備えるメモリの記憶領域は、予め定められた微小時間のデータ受付時間毎に分けられており、同じデータ受付時間が設定されたデータが同じ領域に格納されるようになっている。第１ＭＣＵ７は、同じ領域に格納された第１入力データおよび第２制御データＤｃを読み出したうえで、それら各データを連結して統合することにより第１制御データＤｂを生成する。このような手法により、第１ＭＣＵ７において統合される各データの同期性、同時性が担保されるようになっている。

ＣＰＵモジュール２は、第２制御データＤｃを復号する機能を有する判定部１１を備えている。判定部１１は、ソフトウェア処理により実現されている。判定部１１には、内部データＤａが入力されている。判定部１１は、データ連結の規則を含む内部データＤａの構造を把握している。そのため、判定部１１は、入力された内部データＤａを、第１入力データと第２制御データＤｃと分離することができる。そして、判定部１１は、符号化されたデータである第２制御データＤｃを復号することにより第２入力データを取得する。このように、判定部１１は、内部データＤａから第１入力データおよび第２入力データを抽出し、第１入力データおよび第２入力データの一致比較により入力データの正誤判定を行う。

上記構成において、第１ＭＣＵ７および第２ＭＣＵ８の間では、シリアル通信が行われるようになっており、これにより、第１ＭＣＵ７および第２ＭＣＵ８の間での相互監視が実現されている。このような相互監視は、例えば１時間など比較的長い時間毎に他の処理とともに実施されるようになっている。

次に、上記構成による具体的な処理内容の一例について図２～図４を参照して説明する。
［１］第２ＭＣＵ８による処理
第２ＭＣＵ８により実行される処理の具体的な内容としては、例えば図２に示すようなものとなる。まず、ステップＳ１０１では、第２ＭＣＵ８は、入力信号Ｓａが表すデータ、つまり入力信号Ｓａに対応した入力データである第２入力データを取得する。ステップＳ１０２では、第２ＭＣＵ８は、第２入力データを第１ＭＣＵ７では復号することができないデータに符号化することにより第２制御データＤｃを生成する。この場合、符号化の手法としては、例えばＣＲＣなどを採用することができる。なお、ＣＲＣは、Cyclic Redundancy Checkingの略称である。

ステップＳ１０３では、第２ＭＣＵ８は、第２制御データＤｃのデータ受付時間を設定する。データ受付時間は、第２制御データＤｃに対応した入力信号Ｓａが入力モジュール３に入力された時間に相当する。ステップＳ１０４では、第２ＭＣＵ８は、データ受付時間が設定された第２制御データＤｃを第１ＭＣＵ７へ送信する。ステップＳ１０４の実行後、本処理が終了となる。第２ＭＣＵ８は、上述した一連の処理を所定の周期で繰り返し実行するようになっている。

［２］第１ＭＣＵ７による処理
第１ＭＣＵ７により実行される処理の具体的な内容としては、例えば図３に示すようなものとなる。まず、ステップＳ２０１では、第１ＭＣＵ７は、入力信号Ｓａが表すデータ、つまり入力信号Ｓａに対応した入力データである第１入力データを取得する。ステップＳ２０２では、第１ＭＣＵ７は、第１入力データのデータ受付時間を設定する。データ受付時間は、第１入力データに対応した入力信号Ｓａが入力モジュール３に入力された時間に相当する。

ステップＳ２０３では、第１ＭＣＵ７は、メモリの同じ領域に格納された第１入力データおよび第２制御データＤｃを読み出したうえで、それら各データを連結して統合することにより第１制御データＤｂを生成する。ステップＳ２０４では、第１ＭＣＵ７は、第１制御データＤｂをバス変換ＩＣ９へ送信する。ステップＳ２０４の実行後、本処理が終了となる。第１ＭＣＵ７は、上述した一連の処理を所定の周期で繰り返し実行するようになっている。

［３］ＣＰＵモジュール２の判定部１１による処理
ＣＰＵモジュール２の判定部１１により実行される処理の具体的な内容としては、例えば図４に示すようなものとなる。まず、ステップＳ３０１では、判定部１１は、入力モジュール３から送信された内部データＤａを、第１入力データと第２制御データＤｃとに分離する。ステップＳ３０２では、判定部１１は、第２制御データＤｃを復号することにより第２入力データを取得する。

ステップＳ３０３では、上述したようにして内部データＤａから抽出した第１入力データおよび第２入力データの一致比較を行うことにより入力データの正誤判定を実施する。ＣＰＵモジュール２は、判定部１１による正誤判定の結果、入力データが正しいと判定された場合には入力データに基づいた所定の処理を実行する。また、ＣＰＵモジュール２は、判定部１１による正誤判定の結果、入力データが正しくないと判定された場合には通信を停止するなど安全側となるようなフェールセーフの処理を実行する。ステップＳ３０３の実行後、本処理が終了となる。ＣＰＵモジュール２の判定部１１は、上述した一連の処理を所定の周期で繰り返し実行するようになっている。

以上説明したように、本実施形態によれば次のような効果が得られる。
本実施形態の入力モジュール３は、第１ＭＣＵ７、第２ＭＣＵ８およびバス変換ＩＣ９を備えている。第１ＭＣＵ７は、入力信号Ｓａを入力するとともに第１制御データＤｂを生成して出力する。第２ＭＣＵ８は、入力信号Ｓａを入力するとともに第２制御データＤｃを生成して出力する。バス変換ＩＣ９は、第１制御データＤｂを入力するとともに第１制御データＤｂに対応した内部データＤａを生成してＣＰＵモジュール２へ送信する。このように、本実施形態の構成では、入力信号ＳａをＣＰＵモジュール２へと取り込むための通信は、物理的には２重化されていない。

しかしながら、上記構成では、各部が次のような機能を備えることにより、物理的な２重化と同等の機能を実現する意味的な２重化が図られている。すなわち、この場合、第１ＭＣＵ７および第２ＭＣＵ８は、同じ入力信号Ｓａに対して、それぞれ独自の解釈でデータ生成するようになっている。具体的には、第２ＭＣＵ８は、入力信号Ｓａに対応した入力データである第２入力データを第１ＭＣＵ７では復号することができないデータに符号化することにより第２制御データＤｃを生成し、第２制御データＤｃを第１ＭＣＵ７に送信する。第１ＭＣＵ７は、入力信号Ｓａに対応した入力データである第１入力データと第２制御データＤｃとを統合することにより第１制御データＤｂを生成する。このように、上記構成では、２つのＭＣＵ、つまり第１ＭＣＵ７および第２ＭＣＵ８は、互いに異なる役割を果たすようになっている。

上記構成において、ＣＰＵモジュール２は、第２制御データＤｃを復号する機能を有する判定部１１を備える。判定部１１は、内部データＤａから第１入力データおよび第２入力データを抽出し、第１入力データおよび第２入力データの一致比較により入力データの正誤判定を行う。このような構成では、第２ＭＣＵ８に何らかの異常、故障などが生じた場合、その異常、故障などに起因して第２入力データ、ひいては第２制御データＤｃが本来のデータとは異なるデータとなる可能性があるが、この場合、判定部１１による一致比較において不一致となって入力データの誤り、つまり通信エラーが検出される。

また、上記構成では、第１ＭＣＵ７に何らかの異常、故障などが生じた場合、その異常、故障などに起因して第１入力データが本来のデータとは異なるデータとなる可能性がある。ただし、この場合、第１ＭＣＵ７は、第２ＭＣＵ８から送信された第２制御データＤｃを復号することができない。したがって、異常、故障などが生じた第１ＭＣＵ７により第２制御データＤｃが改ざんされる可能性は極めて低い。そのため、この場合も、判定部１１による一致比較において不一致となって入力データの誤り、つまり通信エラーが検出される。

このように、本実施形態の構成によれば、入力信号ＳａをＣＰＵモジュール２に取り込むための通信を物理的に２重化した構成と同様の機能、具体的には、通信エラーを確実に検出する仕組みを実現することができる。したがって、本実施形態の構成によれば、入力信号Ｓａを取り込むための通信を２重化するとともに通信経路のブラックチャネル対応を実現することができるという優れた効果が得られる。このように、本実施形態の構成によれば、通信エラーの検出にブラックチャネル・アプローチを適用することで、第１ＭＣＵ７および第２ＭＣＵ８の仕事量が低減されて、Safety Reaction Timeが削減され、その結果、機能安全製品の設計にかかる複雑度を低減することができる。

第１入力データおよび第２入力データのタイミングにずれが生じていると、入力データが正しいものであるにもかかわらず、判定部１１による一致比較において不一致となり、入力データが誤りであると誤判定されるおそれがある。特に、外部から入力される入力信号Ｓａがアナログ信号である場合、このようなタイミングのずれに起因する問題がより顕著に表れることになる。そこで、本実施形態では、第１ＭＣＵ７において統合される各データは、同じタイミングの入力信号Ｓａに対応したデータとなっている。このようにすれば、判定部１１により一致比較される第１入力データおよび第２入力データは、同時のデータとして担保されるため、入力信号Ｓａがアナログ信号である場合でも、判定部１１による一致比較により入力データの正誤判定を精度良く行うことができる。

本実施形態の構成において、第１ＭＣＵ７は、第１入力データおよび第２制御データＤｃを連結して送信するという役割を担うことができればよく、２つのデータの一致比較を行うような機能を備える必要はない。また、第２ＭＣＵ８は、第２入力データを符号化して第２制御データＤｃを生成して送信するという役割を担うことができればよく、２つのデータの一致比較を行うような機能を備える必要はない。このようなことから、第１ＭＣＵ７および第２ＭＣＵ８としては、演算能力などが比較的低い性能のＭＣＵ、つまり機能がシンプルなＭＣＵを採用することができ、これにより入力モジュール３の製造コストを低減することができる。

（第２実施形態）
以下、第１実施形態に対し、入力モジュール３およびＣＰＵモジュール２において実行される処理内容が変更された第２実施形態について図５および図６を参照して説明する。
本実施形態では、第１ＭＣＵ７による第１制御データＤｂの生成のための処理などの内容が第１実施形態とは異なっている。この場合、第１ＭＣＵ７は、第１入力データを符号化することにより第１符号化データを生成し、第１符号化データと第２ＭＣＵ８から送信される第２制御データＤｃとを統合することにより、第１制御データＤｂを生成するようになっている。

具体的には、第１ＭＣＵ７は、同じ領域に格納された第１符号化データおよび第２制御データＤｃを読み出したうえで、それら各データを連結して統合することにより第１制御データＤｂを生成する。また、この場合、ＣＰＵモジュール２の判定部１１は、第１符号化データを復号する機能を有している。そのため、判定部１１は、第１符号化データを復号することにより第１入力データを取得するようになっている。

次に、上記構成による具体的な処理内容の一例について図５および図６を参照して説明する。なお、第２ＭＣＵ８による処理については、第１実施形態と同様であるため、ここでは、その説明を省略する。
［１］第１ＭＣＵ７による処理
本実施形態の第１ＭＣＵ７により実行される処理の具体的な内容としては、例えば図５に示すようなものとなる。図５に示す本実施形態の処理内容は、図３に示した第１実施形態の処理内容に対し、ステップＳ２０２およびＳ２０３に代えてステップＳ２１１、Ｓ２１２およびＳ２１３が設けられている点などが異なっている。この場合、ステップＳ２０１の実行後、ステップＳ２１１に進む。

ステップＳ２１１では、第１ＭＣＵ７は、第１入力データを符号化することにより第１符号化データを生成する。この場合、符号化の手法としては、例えばＣＲＣなどを採用することができる。ステップＳ２１２では、第１ＭＣＵ７は、第１符号化データのデータ受付時間を設定する。ステップＳ２１３では、第１ＭＣＵ７は、メモリの同じ領域に格納された第１符号化データおよび第２制御データＤｃを読み出したうえで、それら各データを連結して統合することにより第１制御データＤｂを生成する。

［２］ＣＰＵモジュール２の判定部１１による処理
本実施形態のＣＰＵモジュール２の判定部１１により実行される処理の具体的な内容としては、例えば図６に示すようなものとなる。図６に示す本実施形態の処理内容は、図４に示した第１実施形態の処理内容に対し、ステップＳ３０１に代えてステップＳ３１１およびＳ３１２が設けられている点などが異なっている。この場合、本処理の開始後、まずステップＳ３１１が実行される。ステップＳ３１１では、判定部１１は、入力モジュール３から送信された内部データＤａを、第１符号化データと第２制御データＤｃとに分離する。ステップＳ３１２では、判定部１１は、第１符号化データを復号することにより第１入力データを取得する。

以上説明した本実施形態によっても、第１実施形態と同様、入力信号ＳａをＣＰＵモジュール２に取り込むための通信を物理的に２重化した構成と同様の機能を実現することができるため、第１実施形態と同様の効果が得られる。また、本実施形態によれば、次のような効果が得られる。すなわち、本実施形態の第１ＭＣＵ７は、第１入力データを符号化することにより第１符号化データを生成し、第１符号化データと第２制御データＤｃとを統合することにより第１制御データＤｂを生成するようになっている。

このような構成によれば、第１制御データＤｂ、ひいては入力モジュール３からＣＰＵモジュール２に送信される内部データＤａは、全て符号化されたデータとなることから、例えば悪意のある第三者によるデータ改ざんが困難なものとなり、そのセキュリティ性が向上する。また、このように全てのデータが符号化された本実施形態の内部データＤａは、一部のデータが符号化された第１実施形態の内部データＤａに比べ、そのデータ量が小さく抑えられる、つまり通信パケットが圧縮される。

そのため、本実施形態の構成によれば、入力モジュール３とＣＰＵモジュール２との間における通信について、負荷の軽減、高速化の実現などに寄与することができる。このような本実施形態により得られる効果は、入力信号Ｓａに対応した入力データのデータ量が大きいほど、符号化による通信パケットの圧縮効果がより顕在化することから、一層効果的なものとなる。

（第３実施形態）
以下、第１実施形態に対し、入力モジュール３およびＣＰＵモジュール２において実行される処理内容が変更された第３実施形態について図７および図８を参照して説明する。
本実施形態では、第１ＭＣＵ７による第１制御データＤｂの生成のための処理などの内容が第１実施形態とは異なっている。この場合、第１ＭＣＵ７は、第１入力データと第２制御データＤｃとを統合するとともに符号化することにより第１制御データＤｂを生成するようになっている。また、この場合、ＣＰＵモジュール２の判定部１１は、符号化された第１制御データＤｂを復号する機能を有している。そのため、判定部１１は、内部データＤａ、ひいては第１制御データＤｂを復号することにより、第１入力データを取得するようになっている。

次に、上記構成による具体的な処理内容の一例について図７および図８を参照して説明する。なお、第２ＭＣＵ８による処理については、第１実施形態と同様であるため、ここでは、その説明を省略する。
［１］第１ＭＣＵ７による処理
本実施形態の第１ＭＣＵ７により実行される処理の具体的な内容としては、例えば図７に示すようなものとなる。

図７に示す本実施形態の処理内容は、図３に示した第１実施形態の処理内容に対し、ステップＳ２０３に代えてステップＳ２２１が設けられている点などが異なっている。ステップＳ２２１では、第１ＭＣＵ７は、メモリの同じ領域に格納された第１入力データおよび第２制御データＤｃを読み出したうえで、それら各データを連結して統合するとともに符号化することにより第１制御データＤｂを生成する。この場合、符号化の手法としては、例えばＣＲＣなどを採用することができる。

［２］ＣＰＵモジュール２の判定部１１による処理
本実施形態のＣＰＵモジュール２の判定部１１により実行される処理の具体的な内容としては、例えば図８に示すようなものとなる。図８に示す本実施形態の処理内容は、図４に示した第１実施形態の処理内容に対し、ステップＳ３０１に代えてステップＳ３２１が設けられている点などが異なっている。ステップＳ３２１では、判定部１１は、入力モジュール３から送信された内部データＤａを復号し、その復号した後のデータを第１入力データと第２制御データＤｃとに分離する。

以上説明した本実施形態によっても、第１実施形態と同様、入力信号ＳａをＣＰＵモジュール２に取り込むための通信を物理的に２重化した構成と同様の機能を実現することができるため、第１実施形態と同様の効果が得られる。また、本実施形態によれば、次のような効果が得られる。すなわち、本実施形態の第１ＭＣＵ７は、第１入力データと第２制御データＤｃとを統合するとともに符号化することにより第１制御データＤｂを生成するようになっている。

（第４実施形態）
以下、第２実施形態に対し、入力モジュール３およびＣＰＵモジュール２において実行される処理内容が変更された第４実施形態について図９および図１０を参照して説明する。
本実施形態では、第１ＭＣＵ７による第１制御データＤｂの生成のための処理などの内容が第２実施形態とは異なっている。

この場合、第１ＭＣＵ７は、第１符号化データと第２制御データＤｃとを統合するとともに、第１符号化データを生成する際とは異なる内容で符号化することにより、つまり異なる暗号化テーブルでの符号化処理により、第１制御データＤｂを生成するようになっている。また、この場合、ＣＰＵモジュール２の判定部１１は、第１制御データＤｂを復号する機能を有している。そのため、判定部１１は、内部データＤａ、ひいては第１制御データＤｂを復号するとともに、第１符号化データを復号することにより第１入力データを取得するようになっている。

次に、上記構成による具体的な処理内容の一例について図９および図１０を参照して説明する。なお、第２ＭＣＵ８による処理については、第１実施形態と同様であるため、ここでは、その説明を省略する。
［１］第１ＭＣＵ７による処理
本実施形態の第１ＭＣＵ７により実行される処理の具体的な内容としては、例えば図９に示すようなものとなる。

図９に示す本実施形態の処理内容は、図５に示した第２実施形態の処理内容に対し、ステップＳ２１３に代えてステップＳ２３１が設けられている点などが異なっている。ステップＳ２３１では、第１ＭＣＵ７は、メモリの同じ領域に格納された第１符号化データおよび第２制御データＤｃを読み出したうえで、それら各データを連結して統合するとともに符号化することにより第１制御データＤｂを生成する。この場合、符号化の手法としては、例えばＣＲＣなどを採用することができる。

［２］ＣＰＵモジュール２の判定部１１による処理
本実施形態のＣＰＵモジュール２の判定部１１により実行される処理の具体的な内容としては、例えば図１０に示すようなものとなる。図１０に示す本実施形態の処理内容は、図６に示した第２実施形態の処理内容に対し、ステップＳ３１１に代えてステップＳ３３１が設けられている点などが異なっている。ステップＳ３３１では、判定部１１は、入力モジュール３から送信された内部データＤａを復号し、その復号した後のデータを第１符号化データと第２制御データＤｃとに分離する。

以上説明した本実施形態によっても、第１実施形態と同様、入力信号ＳａをＣＰＵモジュール２に取り込むための通信を物理的に２重化した構成と同様の機能を実現することができるため、第１実施形態と同様の効果が得られる。また、本実施形態によれば、次のような効果が得られる。すなわち、本実施形態の第１ＭＣＵ７は、第１符号化データと第２制御データＤｃとを統合するとともに、第１符号化データを生成する際とは異なる内容で符号化することにより第１制御データＤｂを生成するようになっている。つまり、この場合、第１制御データＤｂ、ひいては内部データＤａは、その元となる第１入力データおよび第２入力データに対して２重で符号化されることにより生成されている。

そのため、本実施形態の構成によれば、例えば悪意のある第三者によるデータ改ざんが一層困難なものとなり、そのセキュリティ性がさらに向上する。また、本実施形態の構成によれば、２重の符号化により内部データＤａのデータ量が一層小さく抑えられるため、入力モジュール３とＣＰＵモジュール２との間における通信について、負荷のさらなる軽減、さらなる高速化の実現などに寄与することができる。このような本実施形態により得られる効果は、入力信号Ｓａに対応した入力データのデータ量が大きいほど、符号化による通信パケットの圧縮効果がより顕在化することから、一層効果的なものとなる。

（第５実施形態）
以下、第２実施形態に対し、入力モジュール３において実行される処理内容が変更された第５実施形態について図１１および図１２を参照して説明する。
本実施形態では、第１ＭＣＵ７による第１制御データＤｂの生成のための処理および第２ＭＣＵ８による第２制御データＤｃの生成のための処理などの内容が第２実施形態とは異なっている。

この場合、第２ＭＣＵ８は、第２入力データを符号化する際、タイムスタンプを生成し、そのタイムスタンプを第２制御データＤｃに付与する。また、この場合、第１ＭＣＵ７は、第１入力データを符号化する際、タイムスタンプを生成し、そのタイムスタンプを第１符号化データに付与する。第１ＭＣＵ７は、同じ時間帯を表すタイムスタンプが付与された第１符号化データおよび第２制御データＤｃを連結して統合することにより第１制御データＤｂを生成する。これにより、本実施形態の第１ＭＣＵ７において統合される各データは、同じタイミングの入力信号Ｓａに対応したデータとなっている、つまり統合される各データの同期が図られている。

次に、上記構成による具体的な処理内容の一例について図１１および図１２を参照して説明する。なお、ＣＰＵモジュール２の判定部１１による処理については、第１実施形態と同様であるため、ここでは、その説明を省略する。
［１］第２ＭＣＵ８による処理
本実施形態の第２ＭＣＵ８により実行される処理の具体的な内容としては、例えば図１１に示すようなものとなる。図１１に示す本実施形態の処理内容は、図２に示した第１実施形態の処理内容に対し、ステップＳ１０３に代えてステップＳ１４１が設けられている点などが異なっている。ステップＳ１４１では、第２ＭＣＵ８は、符号化の際に生成したタイムスタンプを第２制御データＤｃに付与する。

［２］第１ＭＣＵ７による処理
本実施形態の第１ＭＣＵ７により実行される処理の具体的な内容としては、例えば図１２に示すようなものとなる。図１２に示す本実施形態の処理内容は、図５に示した第２実施形態の処理内容に対し、ステップＳ２１２およびＳ２１３に代えてステップＳ２４１およびＳ２４２が設けられている点などが異なっている。ステップＳ２４１では、第１ＭＣＵ７は、符号化の際に生成したタイムスタンプを第１符号化データに付与する。ステップＳ２４２では、第１ＭＣＵ７は、同じタイムスタンプが付与された第１符号化データおよび第２制御データＤｃを連結して統合することにより第１制御データＤｂを生成する。

以上説明した本実施形態によっても、第１実施形態と同様、入力信号ＳａをＣＰＵモジュール２に取り込むための通信を物理的に２重化した構成と同様の機能を実現することができる。また、本実施形態によっても、第１ＭＣＵ７において統合される各データは、同じタイミングの入力信号Ｓａに対応したデータとなっている。したがって、本実施形態によっても、第１実施形態と同様、判定部１１により一致比較される第１入力データおよび第２入力データは、同時のデータとして担保されるため、入力信号Ｓａがアナログ信号である場合でも、判定部１１による一致比較により入力データの正誤判定を精度良く行うことができる。

（第６実施形態）
以下、第６実施形態について図１３を参照して説明する。
図１３に示すように、本実施形態のＰＬＣ２１の入力モジュール２２は、第１実施形態の入力モジュール３に対し、第１ＭＣＵ７、第２ＭＣＵ８およびバス変換ＩＣ９に代えて第１ＭＣＵ２３、第２ＭＣＵ２４およびバス変換ＩＣ２５を備えている点などが異なっている。バス変換ＩＣ２５は、バス変換ＩＣ９よりも多機能なＩＣとなっており、第３ＭＣＵ２６を備えている。

第１ＭＣＵ２３は、第１ＭＣＵ７と同様、入力信号ＳａをＡ／Ｄ変換するなどして入力信号Ｓａに対応した入力データである第１入力データを取得する。第１ＭＣＵ２３は、第１入力データを符号化することにより第１符号化データＤｄを生成する。第１ＭＣＵ２３は、第１入力データを符号化する際、タイムスタンプを生成し、そのタイムスタンプを第１符号化データＤｄに付与する。第１ＭＣＵ２３は、生成した第１符号化データＤｄをバス変換ＩＣ２５の第３ＭＣＵ２６に送信する。

第２ＭＣＵ２４は、第２ＭＣＵ８と同様、第２制御部として機能する。すなわち、第２ＭＣＵ２４は、入力信号ＳａをＡ／Ｄ変換するなどして入力信号Ｓａに対応した入力データである第２入力データを取得する。第２ＭＣＵ２４は、第２入力データを第３ＭＣＵ２６では復号することができないデータに符号化することにより第２制御データＤｃを生成する。第２ＭＣＵ２４は、第２入力データを符号化する際、タイムスタンプを生成し、そのタイムスタンプを第２制御データＤｃに付与する。第２ＭＣＵ２４は、第２制御データＤｃをバス変換ＩＣ２５の第３ＭＣＵ２６に送信する。

バス変換ＩＣ２５の第３ＭＣＵ２６は、同じ時間帯のタイムスタンプが付与された第１符号化データＤｄおよび第２制御データＤｃを連結して統合することにより第１制御データＤｂを生成する。これにより、第３ＭＣＵ２６において統合される各データは、同じタイミングの入力信号Ｓａに対応したデータとなっている、つまり統合される各データの同期が図られている。このように、本実施形態では、第１ＭＣＵ２３および第３ＭＣＵ２６が協働することにより第１制御部として機能する。

バス変換ＩＣ２５の第３ＭＣＵ２６は、バス変換ＩＣ９と同様、第１制御データＤｂを通信に対応した通信パケットなどの内部データＤａに変換する。つまり、バス変換ＩＣ２５は、第１制御データＤｂを入力するとともに第１制御データＤｂに対応した内部データＤａを生成して出力するものであり、データ生成部として機能する。バス変換ＩＣ２５の第３ＭＣＵ２６は、生成した内部データＤａを含む通信データを通信によりＣＰＵモジュール２に送信する。

以上説明した本実施形態によっても、第１実施形態と同様、入力信号ＳａをＣＰＵモジュール２に取り込むための通信を物理的に２重化した構成と同様の機能を実現することができる。また、本実施形態によっても、第３ＭＣＵ２６において統合される各データは、同じタイミングの入力信号Ｓａに対応したデータとなっている。したがって、本実施形態によっても、第１実施形態と同様、判定部１１により一致比較される第１入力データおよび第２入力データは、同時のデータとして担保されるため、入力信号Ｓａがアナログ信号である場合でも、判定部１１による一致比較により入力データの正誤判定を精度良く行うことができる。

（その他の実施形態）
なお、本発明は上記し且つ図面に記載した各実施形態に限定されるものではなく、その要旨を逸脱しない範囲で任意に変形、組み合わせ、あるいは拡張することができる。
上記実施形態で示した数値などは例示であり、それに限定されるものではない。

上記各実施形態では、第１ＭＣＵ７または第３ＭＣＵ２６において統合される各データが同じタイミングの入力信号Ｓａに対応したデータとなるように各データの同期がとられていたが、例えば入力信号Ｓａがデジタル信号である場合などには、このような各データの同期を必ずしもとらなくともよい。
データの符号化の手法としては、ＣＲＣに限らず、ある程度複雑な演算、ある程度高度な演算などであればよい。

１、２１…ＰＬＣ、２…ＣＰＵモジュール、３、２２…入力モジュール、７、２３…第１ＭＣＵ、８、２４…第２ＭＣＵ、９、２５…バス変換ＩＣ、１１…判定部、２６…第３ＭＣＵ。

Claims

ＣＰＵモジュールと、外部から入力される入力信号に対応した内部データを生成するとともに通信を介して前記内部データを前記ＣＰＵモジュールに送信する入力モジュールと、を備えた産業用制御装置であって、
前記入力モジュールは、
前記入力信号を入力するとともに第１制御データを生成して出力する第１制御部と、
前記入力信号を入力するとともに第２制御データを生成して出力する第２制御部と、
を備え、
前記第１制御データに対応した前記内部データを生成して出力するようになっており、
前記第２制御部は、前記入力信号に対応した入力データである第２入力データを前記第１制御部では復号することができないデータに符号化することにより前記第２制御データを生成し、前記第２制御データを前記第１制御部に送信し、
前記第１制御部は、前記入力信号に対応した入力データである第１入力データと前記第２制御データとを統合することにより前記第１制御データを生成し、
前記ＣＰＵモジュールは、前記第２制御データを復号する機能を有する判定部を備え、
前記判定部は、前記内部データから前記第１入力データおよび前記第２入力データを抽出し、前記第１入力データおよび前記第２入力データの一致比較により前記入力データの正誤判定を行う産業用制御装置。
前記第１制御部は、前記第１入力データを符号化することにより第１符号化データを生成し、前記第１符号化データと前記第２制御データとを統合することにより前記第１制御データを生成するようになっている請求項１に記載の産業用制御装置。
前記第１制御部は、前記第１入力データと前記第２制御データとを統合するとともに符号化することにより前記第１制御データを生成するようになっている請求項１に記載の産業用制御装置。
前記第１制御部は、前記第１符号化データと前記第２制御データとを統合するとともに、前記第１符号化データを生成する際とは異なる内容で符号化することにより前記第１制御データを生成するようになっている請求項２に記載の産業用制御装置。
前記第１制御部において統合される各データは、同じタイミングの前記入力信号に対応したデータとなっている請求項１から４のいずれか一項に記載の産業用制御装置。