WO2022153566A1 - 制御装置、管理方法およびセキュリティプログラム - Google Patents

制御装置、管理方法およびセキュリティプログラム Download PDF

Info

Publication number
WO2022153566A1
WO2022153566A1 PCT/JP2021/009558 JP2021009558W WO2022153566A1 WO 2022153566 A1 WO2022153566 A1 WO 2022153566A1 JP 2021009558 W JP2021009558 W JP 2021009558W WO 2022153566 A1 WO2022153566 A1 WO 2022153566A1
Authority
WO
WIPO (PCT)
Prior art keywords
identification information
unit
security
control
information
Prior art date
Application number
PCT/JP2021/009558
Other languages
English (en)
French (fr)
Inventor
信次 村山
Original Assignee
オムロン株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by オムロン株式会社 filed Critical オムロン株式会社
Publication of WO2022153566A1 publication Critical patent/WO2022153566A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]
    • G06F21/12—Protecting executable software
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/64—Protecting data integrity, e.g. using checksums, certificates or signatures

Definitions

  • This disclosure relates to control devices, management methods and security programs.
  • Control devices such as PLC (Programmable Logic Controller) have been introduced at various manufacturing sites.
  • PLC Programmable Logic Controller
  • Such a control device is a kind of computer, and executes a control program designed according to a manufacturing device, a manufacturing facility, or the like.
  • Patent Document 1 discloses one method for dealing with such a problem. Specifically, in Patent Document 1, the PLC determines whether or not the program in which the control program is encrypted is a program peculiar to the equipment, and if it is a program peculiar to the equipment, controls from the program. Disclose a method of decoding a program and executing a control program to control equipment.
  • the PLC is provided with a storage means for storing the identification data input in advance and the encryption rule, and the program encrypted using the identification data is a program unique to the equipment. Determine if it exists.
  • the PLC obtains a control program by decrypting the encrypted program according to the encryption rule and uses the control program. Therefore, if not only the encrypted program but also the identification data and the encryption rule are extracted, the control program will be used. That is, the method shown in Patent Document 1 has room for improvement in protecting the intellectual property of the control program.
  • One purpose of this disclosure is to protect the intellectual property of the control program.
  • a control device including one or more devices includes a control engine that executes a control program and a security engine that manages whether or not the control program can be executed by the control engine.
  • the security engine includes a generating means, a holding means, a collating means, and a permitting means.
  • the generation means generates unique information using the identification information acquired from each of the one or more devices.
  • the holding means collates the holding means that holds the first unique information generated in advance, and the collating means collates the second unique information generated by the generating means according to the collation request with the first unique information. ..
  • the permission means makes a collation request in response to the execution start request of the control program, and determines whether or not the control program can be executed based on the collation result obtained from the collation means.
  • the generation means selects the identification information according to the security policy from the first identification information that identifies the type of the device and the second identification information that individually identifies the device.
  • the security engine collates the second unique information generated in response to the execution start request of the control program based on the first unique information generated in advance, and responds to the collation result.
  • the unique information is generated from the identification information selected from the first identification information that identifies the type of each device and the second identification information that individually identifies each device. Therefore, when a new control device is created by copying the software (including the first unique information and the control program) and hardware of the control device, it is generated from the identification information of the device included in the new control device.
  • the second unique information can be inconsistent with the first unique information. As a result, it is possible to prevent the control program from being started in an environment different from the environment managed by the security engine. That is, the intellectual property of the control program can be protected.
  • the identification information is selected according to the security policy from the first identification information that identifies the type of the device and the second identification information that individually identifies the device. Therefore, the developer of the control program can appropriately set the security policy in consideration of the priority of the security measures for the control program. As a result, the security level in the security engine can be changed arbitrarily.
  • the security policy is preset from the first policy, the second policy, and the third policy.
  • the first policy is a policy of selecting the first identification information for each of one or more devices.
  • the second policy selects the first identification information for the first device belonging to the first group among one or more devices, and prioritizes the security measures over the first group among one or more devices. It is a policy to select the second identification information for the second device belonging to the second group having a high value.
  • the third policy is a policy of selecting a second identification information for each of one or more devices.
  • the developer can arbitrarily change the security level in the security engine in consideration of the priority of security measures for the control program.
  • each of the one or more devices retains a second identification information.
  • the second identification information is a combination of the first identification information and the third identification information uniquely assigned to the individual of the type of device identified by the first identification information.
  • the generation means acquires the first identification information from the second identification information. According to this disclosure, each device only needs to store the second identification information.
  • one or more devices include a control device having a control engine and a security device having a security engine.
  • a control engine that needs to satisfy the degree of freedom of change to the control program and a security engine that does not like the degree of freedom of change in terms of security are realized by devices different from each other. Enables device design according to characteristics.
  • the holding means holds the first unique information in the form of a distributed ledger with the external device.
  • the first unique information is retained in a state where it is more difficult to falsify.
  • the security level of the intellectual property called the control program can be increased.
  • the collation means further collates the second unique information with the first unique information held by the external device.
  • a third party who illegally copies the control device needs to falsify the first unique information held by the external device in order to execute the control program. Therefore, the security level of the control program can be further increased.
  • the management method executed in the control device including one or more devices includes the first to fourth steps.
  • the first step is a step of holding the first unique information generated in advance.
  • the second step is a step of generating a second unique information using the identification information acquired from each of the one or more devices in response to the execution start request of the control program.
  • the third step is a step of collating the first unique information with the second unique information.
  • the fourth step is a step of determining whether or not the control program can be executed based on the collation result.
  • the second step (generation step) is, for each of the one or more devices, from the first identification information for identifying the type of the device and the second identification information for individually identifying the device according to the security policy. Includes steps to select identification information.
  • the security program causes the computer to execute the above management method.
  • FIG. 5 is a sequence diagram showing a processing procedure when an execution start request of the control program 140 is received in the first modification.
  • FIG. 5 is a sequence diagram showing another example of a processing procedure when an execution start request of the control program 140 is received in the second modification.
  • FIG. 1 is a diagram showing an example of a scene in which the control device 1 according to the embodiment is applied.
  • the control device 1 manages a control program 140 for controlling a controlled object, a control engine 142 for executing the control program 140, and whether or not the control program 140 can be executed by the control engine 142. It is equipped with a security engine 230.
  • Control device 1 includes one or more devices. Each device is controlled by executing the control program 140, and the manufacturing equipment and the like to be controlled are controlled by controlling each device.
  • the security engine 230 includes a permission unit 232, a generation unit 234, a holding unit 236, and a collation unit 238.
  • the permission unit 232 receives the start request of the control program 140 from the control engine 142, and determines whether or not the control program 140 can be executed.
  • the generation unit 234 generates unique information using the identification information acquired from each of the one or more devices constituting the control device 1. For each of the one or more devices, the generation unit 234 selects the identification information according to the security policy from the first identification information for identifying the type of the device and the second identification information for individually identifying the device. Since the unique information is generated using the identification information acquired in this way, it changes according to the change in the configuration of the control device 1.
  • the holding unit 236 holds the management information 30 including the unique information 20 generated in advance for the control device 1.
  • the holding unit 236 permits the update of the management information 30 only when a predetermined condition is satisfied in order to prevent the unique information 20 from being tampered with illegally.
  • the predetermined condition is, for example, a condition that the preset access ID and password match the input information.
  • the collation unit 238 collates the unique information 22 generated by the generation unit 234 in accordance with the collation request with the unique information 20 included in the management information 30. Collation means determining whether or not there is a match.
  • step 1 a step is simply referred to as "S".
  • the generation unit 234 generates the unique information 20 of the control device 1 in advance.
  • the holding unit 236 holds the management information 30 including the unique information 20 generated in advance.
  • the permission unit 232 receives a request to start the control program 140.
  • the control engine 142 makes a start request, but the security engine 230 may include a reception unit that receives the start request.
  • S3 The permission unit 232 requests the collation unit 238 for collation in response to the start request of the control program 140.
  • the collation unit 238 requests the generation unit 234 to generate the unique information 22 in response to the collation request.
  • the generation unit 234 acquires identification information from one or more devices included in the control device 1 in response to the generation request, and generates unique information 22 using the acquired identification information. For each device, the generation unit 234 selects the identification information according to the security policy from the first identification information for identifying the type of the device and the second identification information for individually identifying the device. The generation unit 234 may select the first identification information for all of one or more devices, or may select the second identification information for all of one or more devices. Alternatively, the generation unit 234 may select the first identification information for some of the one or more devices and the second identification information for the remaining devices.
  • the security policy is preset for the control device 1.
  • the collation unit 238 collates the pre-generated unique information 20 included in the management information 30 with the unique information 22 generated at the timing when the collation request is received, and obtains a collation result.
  • the collation unit 238 provides the obtained collation result to the permission unit 232.
  • the permission unit 232 determines whether or not the control program 140 can be executed based on the provided collation result. Specifically, the permission unit 232 permits the execution of the control program 140 according to the matching result indicating a match. The permission unit 232 prohibits the execution of the control program 140 according to the collation result indicating a mismatch.
  • the permission unit 232 provides the control engine 142 with a result (permission or prohibition) determined based on the collation result.
  • the control engine 142 executes the control program 140 only when the determination result of the permission unit 232 is “permission”.
  • the development of the control program 140 for realizing the environment managed by the control device 1 may be performed by a company other than the company that uses the control device 1. In such a case, if the control program 140 and the environment in which the control program 140 can be used are easily imitated, the intellectual property of the company that develops the control program 140 cannot be sufficiently protected.
  • both the hardware and the software of the control device 1 are copied in order to execute the control program 140.
  • the software is copied, not only the control program 140 but also the system program for operating the control engine 142 and the security engine 230 is copied. Further, by copying the software, the management information 30 held by the security engine 230 is also copied.
  • the control device 1 is imitated by installing a device that replaces each device that constitutes the control device 1.
  • the unique information 22 is generated using the identification information acquired from a device different from the control device 1. Therefore, the unique information 22 may be inconsistent with the unique information 20 included in the copied management information 30.
  • the unique information 22 does not match the unique information 20 by setting the security policy to acquire the second identification information for at least one device.
  • the unique information 22 does not match the unique information 20.
  • the unique information 22 does not match the unique information 20.
  • the unique information 22 does not match the unique information 20.
  • the unique information 22 can match the unique information 20 by falsifying the identification information of each device.
  • the number of devices constituting the control device 1 may be several tens, and in such a case, it becomes necessary to falsify the identification information of the devices for all the tens of devices. Therefore, it takes a lot of labor to imitate the control device 1 managed by the control program 140.
  • the identification information is selected according to the security policy from the first identification information for identifying the type of the device and the second identification information for individually identifying the device.
  • the developer of the control program 140 may lower the priority of security measures by selecting the first identification information for a device that is expected to be replaced due to a failure or periodic maintenance. This allows developers to balance maintainability, such as device replacement, with intellectual property protection.
  • FIG. 2 is a schematic view showing the overall configuration of the control system 10 including the control device 1 according to the present embodiment.
  • the control system 10 includes one or more control devices 1 and a higher-level device 3.
  • the control device 1 controls the control target.
  • Controlled objects include various industrial equipment for automating production processes, and devices that give some physical action to manufacturing equipment, production lines, etc. (hereinafter, also collectively referred to as "fields"), and fields. Includes input / output devices that exchange information with and from. The entire production line may be controlled.
  • the control device 1 is communicably connected to the host device 3 and another control device 1 via the information system network 2.
  • the information network 2 is an OPC UA (Object Linking and Embedding for Process Control) that can realize data exchange without depending on, for example, EtherNet / IP (registered trademark) or the type of vendor or OS (Operating System). It is a network that complies with communication standards such as Unified Architecture.
  • Control device 1 includes one or more devices.
  • the control device 1 is composed of a control unit 100, a security unit 200, an I / O (Input / Output) unit 300, a communication coupler 400, and the like.
  • I / O (Input / Output) unit 300 a communication coupler 400, and the like.
  • each unit and communication coupler constituting the control device 1 are also collectively referred to as a “device”.
  • the control unit 100 is an example of a control device constituting the control device 1, executes a control program for controlling a control target, and executes a central process in the control device 1.
  • the security unit 200 is an example of a security device constituting the control device 1, and manages whether or not the control program can be executed by the control unit 100. The method of managing whether or not the control program can be executed will be described later.
  • control unit 100 and the security unit 200 are connected via, for example, an arbitrary data transmission line (for example, PCI Express or EtherNet / IP (registered trademark)).
  • an arbitrary data transmission line for example, PCI Express or EtherNet / IP (registered trademark)
  • the I / O unit 300 is an example of a device constituting the control device 1, and is a unit related to general input / output processing.
  • the I / O unit 300 collects detected values from IO devices including various sensors, various switches, encoders, and the like.
  • the control unit 100 and the I / O unit 300 are communicably connected via an internal bus.
  • the control unit 100 executes an operation of the control program using the detected value collected by the I / O unit 300, and outputs the value of the operation result to the I / O unit 300.
  • the communication coupler 400 is communicably connected to the control unit 100 via the field network 4.
  • the communication coupler 400 performs processing related to data transmission in the field network 4.
  • the communication coupler 400 is communicably connected to one or more I / O units 300 via, for example, an internal bus.
  • the detected values collected by each of the one or more I / O units 300 connected to the communication coupler 400 are output to the control unit 100 via the field network 4.
  • industrial Ethernet As the field network 4, various types of industrial Ethernet (registered trademark) can be typically used.
  • industrial Ethernet for example, EtherCAT (registered trademark), Profinet IRT, MECHATROLINK (registered trademark) -III, Powerlink, SERCOS (registered trademark) -III, CIP Motion and the like are known. Any of these may be adopted.
  • a field network other than Industrial Ethernet may be used. For example, if motion control is not performed, DeviceNet, CompoNet / IP (registered trademark), or the like may be used.
  • Each device constituting the control device 1 has the identification information 40.
  • the identification information 40 is an individual identification code such as SGTIN (Serialized Global Trade Item Number).
  • the device constituting the control device 1 is not limited to the device shown in FIG.
  • the devices constituting the control device 1 are, for example, a power supply unit that supplies power, a special unit having a function that the I / O unit 300 does not support, and safety for preventing human safety from being threatened by equipment or machines. It may include a safety unit or the like that provides the function. Further, the devices constituting the control device 1 present to the operator various information obtained by the control calculation in the control unit 100 or another unit, and in accordance with the operation from the operator, the control unit 100 or the other unit. On the other hand, it may include an HMI (Human Machine Interface) that generates an internal command or the like.
  • HMI Human Machine Interface
  • the host device 3 is a server in the control system 100, an external server such as a cloud server, a PLC having higher performance than the control device 1, or an industrial computer (so-called IPC: Industrial Personal Computer). It is configured as.
  • FIG. 3 is a schematic diagram showing a hardware configuration example of the control unit 100 constituting the control device 1 according to the present embodiment.
  • the control unit 100 has a processor 102 such as a CPU (Central Processing Unit) and a GPU (Graphical Processing Unit), a chip set 104, a main storage device 106, and a secondary storage device as main components. It includes 108, a communication controller 110, a USB controller 112, a memory card interface 114, a field network controller 116, an internal bus controller 118, and an information system network controller 120.
  • a processor 102 such as a CPU (Central Processing Unit) and a GPU (Graphical Processing Unit)
  • a chip set 104 such as a main storage device 106, and a secondary storage device as main components.
  • It includes 108, a communication controller 110, a USB controller 112, a memory card interface 114, a field network controller 116, an internal bus controller 118, and an information system network controller 120.
  • the processor 102 reads various programs stored in the secondary storage device 108 or the memory card 115, deploys them to the main storage device 106, and executes them to perform control operations for controlling the control target, and will be described later. Such processing related to the execution start request of the control program is realized.
  • the main storage device 106 is composed of a volatile storage device such as a DRAM (Dynamic Random Access Memory) or a SRAM (Static Random Access Memory).
  • the secondary storage device 108 is composed of, for example, a non-volatile storage device such as an HDD (Hard Disc Drive) or an SSD (Solid State Drive).
  • the chipset 104 realizes the processing of the control unit 100 as a whole by mediating the exchange of data between the processor 102 and each component.
  • a control program 140 created according to a control target such as equipment or a machine, and a control unit 100 are provided. Identification information 40 for identification is stored.
  • the authentication program 130 is incorporated in the system program 1082.
  • the authentication program 130 is a program executed when the control program 140 is started, and is a program for requesting the security unit 200 for permission to execute the control program 140 to be started.
  • the system program 1082 also provides a function as a control engine that executes the control program 140.
  • the control program 140 is, for example, an intellectual property whose basic algorithm is created by a program development company. For example, the user prepares an environment in which the control program 140 provided by the program development company can be executed by setting the parameters according to the control device 1.
  • the communication controller 110 is in charge of exchanging data with the security unit 200.
  • the communication controller 110 for example, a communication chip corresponding to PCI Express or Ethernet (registered trademark) can be adopted.
  • the USB controller 112 is in charge of exchanging data with an arbitrary information processing device via a USB connection.
  • the arbitrary information processing device includes, for example, a support device that provides the user with functions such as creation or editing of the control program 140, debugging, and setting of various parameters.
  • the memory card interface 114 is configured so that the memory card 115, which is an example of a storage medium, can be attached and detached.
  • the memory card interface 114 can write data such as the control program 140 and various settings to the memory card 115, or can read data such as the control program 140 and various settings from the memory card 115.
  • the field network controller 116 controls the exchange of data with other devices via the field network 4.
  • the internal bus controller 118 controls the exchange of data with other devices (I / O unit 300, etc.) via the internal bus.
  • a manufacturer-specific communication protocol may be used for the internal bus, or a communication protocol that is the same as or compliant with any industrial network protocol may be used.
  • the information system network controller 120 controls the exchange of data with another control device 1 via the information system network 2.
  • FIG. 3 shows a configuration example in which the necessary functions are provided by the processor 102 executing the program, and some or all of these provided functions are provided by a dedicated hardware circuit (for example, ASIC). Alternatively, it may be implemented using an FPGA or the like). Alternatively, the main part of the control unit 100 may be realized by using hardware that follows a general-purpose architecture (for example, an industrial personal computer based on a general-purpose personal computer). In this case, virtualization technology may be used to execute a plurality of OSs having different uses in parallel, and to execute necessary applications on each OS.
  • a general-purpose architecture for example, an industrial personal computer based on a general-purpose personal computer.
  • virtualization technology may be used to execute a plurality of OSs having different uses in parallel, and to execute necessary applications on each OS.
  • FIG. 4 is a schematic diagram showing a hardware configuration example of the security unit 200 constituting the control device 1 according to the present embodiment.
  • the security unit 200 has, as main components, a processor 202 such as a CPU and a GPU, a chip set 204, a main storage device 206, a secondary storage device 208, a communication controller 210, and a USB controller. It includes 212, a memory card interface 214, and an information network controller 220.
  • the processor 202 has a function of reading various programs stored in the secondary storage device 208 or the memory card 215, deploying them in the main storage device 206, and executing the programs to manage whether or not the control program can be executed in the control unit 100.
  • the main storage device 206 is composed of a volatile storage device such as DRAM or SRAM.
  • the secondary storage device 208 is composed of, for example, a non-volatile storage device such as an HDD or an SSD.
  • the chipset 204 realizes the processing of the security unit 200 as a whole by mediating the exchange of data between the processor 202 and each component.
  • the secondary storage device 208 stores identification information 40 and management information 30 in addition to the system program 2082 for realizing the basic functions of the security unit 200.
  • the security program 240 is incorporated in the system program 2082.
  • the security program 240 is a program for managing whether or not the control program 140 executed by the control device 1 can be executed. That is, the security program 240 provides a function as a security engine that manages whether or not the control program 140 can be executed.
  • the management information 30 is information for managing unique information generated by using the identification information 40 acquired from one or more devices constituting the control device 1.
  • the unique information is used as reference information when determining whether or not to permit the execution of the control program 140. The unique information will be described later.
  • the communication controller 210 is in charge of exchanging data with the control unit 100.
  • a communication chip corresponding to, for example, PCI Express or Ethernet (registered trademark) can be adopted for the control unit 100 in the same manner as the communication controller 210.
  • the USB controller 212 is in charge of exchanging data with an arbitrary information processing device via a USB connection.
  • the optional information processing device includes, for example, a support device that provides the user with functions such as setting the security program 240.
  • the memory card interface 214 is configured so that the memory card 215, which is an example of a storage medium, can be attached and detached.
  • the memory card interface 214 can write data such as programs and various settings to the memory card 215, or can read data such as programs and various settings from the memory card 215.
  • the information system network controller 220 controls the exchange of data with another control device 1 via the information system network 2.
  • the information system network controller 220 may adopt a general-purpose network protocol such as Ethernet (registered trademark).
  • FIG. 4 shows a configuration example in which the necessary functions are provided by the processor 202 executing the program, and some or all of these provided functions are provided by a dedicated hardware circuit (for example, ASIC). Alternatively, it may be implemented using an FPGA or the like). Alternatively, the main part of the security unit 200 may be realized by using hardware that follows a general-purpose architecture (for example, an industrial personal computer based on a general-purpose personal computer). In this case, virtualization technology may be used to execute a plurality of OSs having different uses in parallel, and to execute necessary applications on each OS.
  • a general-purpose architecture for example, an industrial personal computer based on a general-purpose personal computer.
  • virtualization technology may be used to execute a plurality of OSs having different uses in parallel, and to execute necessary applications on each OS.
  • control device 1 may be connected to the information system network 2 via the information system network controller 120 of the control unit 100, and the information system of the security unit 200. It may be connected via the network controller 220. In the present embodiment, the control device 1 will be described as being connected via the information system network controller 220 of the security unit 200.
  • FIG. 5 is a diagram showing an example of identification information 40 possessed by each device included in the control device 1.
  • FIG. 5 shows the identification information 40 which is SGTIN.
  • SGTIN is one of the identification codes for writing on the electronic tag standardized by the distribution system standardization organization GS1, and is an individual identification code for products.
  • the identification information 40 is a second identification information for individually identifying the device.
  • the identification information 40 includes identification information 42, which is a product identification code for identifying the type of device, and a serial number uniquely assigned to an individual device of the type identified by the identification information 42. It is a combination with the number 44 (third identification information).
  • the identification information 42 is the first identification information for identifying the type of the device.
  • the identification information 42 is a product identification code GTIN (Global Trade Item Number) standardized by the distribution system standardization organization GS1.
  • GTIN Global Trade Item Number
  • GTIN is composed of an indicator, a business operator code, a product item code, and a check digit.
  • the developer of the control program 140 sets a security policy for the control program 140.
  • the security policy setting is not limited to the developer of the control program 140, and may be executed by another person.
  • the security policy is preset in the security program 240.
  • the security policy is preset from the following policies (A) to (C).
  • the developer sets policy (A) when there is a high possibility that the control program 140 is imitated and the security level of the control program 140 is to be increased.
  • the developer sets a policy (B) or a policy (C) when the control program 140 is unlikely to be imitated or when the value of the control program 140 as an intellectual property is not high.
  • the developer uses the product identification code GTIN (identification information 42) of the device belonging to the first group and the product identification code GTIN (identification information 42) of the device belonging to the second group. Is set in advance.
  • FIG. 6 is a diagram showing a flow of a method of determining whether or not the control program 140 can be executed.
  • the description of units other than the control unit 100 and the security unit 200 (I / O unit 300, communication coupler 400, etc.) constituting the control device 1 is omitted. There is.
  • the control unit 100 first requests the security unit 200 to determine whether or not the control program 140 can be executed ((1) in the figure).
  • the security unit 200 collects the identification information 40 from one or more devices constituting the control device 1 ((2) in the figure).
  • the security unit 200 selects one of the identification information 40 (SGTIN) of each device and the identification information 42 (GTIN) included in the identification information 40 according to a preset security policy ((3) in the figure). ..
  • SGTIN identification information 40
  • GTIN identification information 42
  • the security unit 200 selects one of the identification information 40 (SGTIN) of each device and the identification information 42 (GTIN) included in the identification information 40 according to a preset security policy ((3) in the figure). .
  • the security unit 200 selects the identification information 40 for all the devices.
  • the security unit 200 selects the identification information 42 for the device corresponding to the product identification code GTIN set in the first group.
  • the security unit 200 selects the identification information 40 for the device corresponding to the product identification code GTIN set in the second group.
  • the security unit 200 selects the identification information 42 for all the devices.
  • the security unit 200 generates a system hash value as unique information 22 based on the identification information (identification information 40 or identification information 42) selected for each device ((4) in the figure).
  • the system hash value can be obtained by using a known hash function with the identification information 40 of the devices constituting the control device 1 other than the security unit 200 as an argument.
  • the security unit 200 collates the unique information 22 (system hash value) generated by using the identification information 40 with the unique information 20 managed by the management information 30, and determines whether or not they match (in the figure). (5)).
  • the newly generated unique information 22 and the unique information 20 managed by the management information 30 are collated, and if they match, the control device 1 is a normally managed device. Guaranteed to be. On the other hand, if they do not match, the control device 1 may be a control device that is not managed by the management information 30.
  • the security unit 200 determines whether or not the control program 140 requested in (1) can be executed based on the collation result obtained in the process (5) ((6) in the figure). The security unit 200 permits the execution of the control program 140 according to the collation result indicating "match".
  • the security unit 200 notifies the control unit 100 of a determination result indicating whether or not the control program 140 can be executed ((7) in the figure).
  • FIG. 7 is a block diagram showing an example of the functional configuration of the control unit 100 and the security unit 200.
  • the dashed arrow indicates the flow of instructions.
  • Solid arrows indicate the flow of information.
  • control unit 100 includes a control program execution unit 144 and an authentication unit 132. Each of these functions is realized by the processor 102 of the control unit 100 executing the system program 1082.
  • the control program execution unit 144 functions to execute the control program 140.
  • the control program execution unit 144 requests the authentication unit 132 to authenticate the control program 140 in response to the execution start request of the control program 140.
  • the authentication is to authenticate whether or not the execution environment of the control program 140 is an environment managed by the management information 30 held by the control device 1, and in an environment in which the control program 140 may be executed. To authenticate if there is.
  • the authentication unit 132 includes a determination request unit 134, an identification information transmission unit 136, and an identification information collection unit 138. Upon receiving the authentication request from the control program execution unit 144, the determination request unit 134 requests the permission unit 232 of the security unit 200 to determine whether or not the control program 140 can be executed.
  • the identification information transmission unit 136 transmits the identification information 40 of each device constituting the control device 1 collected by the identification information collection unit 138 to the security unit 200.
  • the identification information collection unit 138 collects the identification information 40 of each device constituting the control device 1 in response to a request from the generation unit 234 of the security unit 200.
  • the identification information collection unit 138 collects the identification information 40 from the security unit 200 not only when determining whether or not the control program 140 can be executed, but also when registering new unique information (system hash value) in the management information 30. Is required.
  • the identification information collecting unit 138 collects the identification information 40 from each of the devices constituting the control device 1 except the security unit 200.
  • the identification information 40 of the security unit 200 may be included in the identification information 40 used to generate the system hash value which is the unique information.
  • the authentication unit 132 After the control program execution unit 144 requests the authentication of the control program 140, the authentication unit 132 receives the determination result of whether or not the control program 140 can be executed from the permission unit 232 of the security unit 200. The authentication unit 132 performs processing according to the determination result received from the security unit 200. When the authentication unit 132 obtains the determination result that the execution can be permitted, the authentication unit 132 notifies the control program execution unit 144 to start the execution of the control program 140. On the other hand, when the authentication unit 132 obtains a determination result that the execution cannot be permitted, the authentication unit 132 instructs the control program execution unit 144 to prohibit the execution of the control program 140.
  • the security unit 200 includes a permission unit 232, a generation unit 234, a holding unit 236, and a collation unit 238. Each of these functions is realized by the processor 202 of the security unit 200 executing the security program 240.
  • the permission unit 232 includes a determination unit 2322 and a collation request unit 2324.
  • the determination unit 2322 determines whether or not to permit the execution of the control program 140 based on the collation results obtained from the collation unit 238 of the security unit 200 including the determination unit 2322 and the collation unit 238 of the other security unit 200. Then, the determination result is notified to the authentication unit 132 of the control unit 100.
  • the collation request unit 2324 requests the collation unit 238 to collate the unique information.
  • the generation unit 234 generates a system hash value which is unique information.
  • the generation unit 234 includes a collection request unit 2342 and a system hash value calculation unit 2344.
  • the collection request unit 2342 functions when the collation unit 238 or the holding unit 236 requests the generation of the system hash value.
  • the collation unit 238 requests the generation of a system hash value when collation is started.
  • the device constituting the control device 1 is changed and the unique information of the changed control device 1 is newly registered in the management information 30, for example, when the control device 1 is normally changed. Requests the generation of a system hash value.
  • the collection requesting unit 2342 requests the identification information collecting unit 138 of the control unit 100 to collect the identification information 40.
  • the system hash value calculation unit 2344 generates a system hash value using the identification information 40 of each device sent from the identification information transmission unit 136.
  • the system hash value calculation unit 2344 typically generates a system hash value by using an algorithm used for a known hash function.
  • the system hash value calculation unit 2344 uses the identification information 40 (SGTIN) and the identification information 42 (GTIN) which is a part of the identification information 40 to generate the system hash value according to the preset security policy. Select information.
  • the system hash value calculation unit 2344 uses the identification information (identification information 40 or identification information 42) selected for each device to generate a system hash value as unique information.
  • the system hash value calculation unit 2344 sends the generated system hash value to the collation unit 238 when the collation unit 238 requests the generation of the system hash value. Further, the system hash value calculation unit 2344 sends the generated system hash value to the holding unit 236 when the holding unit 236 requests the generation of the system hash value.
  • the holding unit 236 holds the management information 30 including the unique information 20 (system hash value) generated in response to the request from the holding unit 236.
  • the holding unit 236 includes a registration unit 2362.
  • the registration unit 2362 functions when the device constituting the control device 1 is changed, the unique information 20 of the changed control device 1 is newly registered in the management information 30, and the management of the unique information 20 is started. ..
  • the registration unit 2362 starts the process when the condition that the preset access ID and password match the input information is satisfied.
  • the registration unit 2362 requests the generation unit 234 to generate the unique information 20.
  • the registration unit 2362 registers the unique information 20 generated by the generation unit 234 as a part of the management information 30.
  • the holding unit 236 transmits the unique information 22 included in the management information 30 to the collating unit 238 in response to the request from the collating unit 238.
  • the collation unit 238 requests the generation unit 234 to generate the unique information 22 in response to the request of the collation request unit 2324. Further, the collation unit 238 requests the holding unit 236 to transmit the unique information 20 included in the management information 30 in response to the request of the collation request unit 2324. The collation unit 238 collates the unique information 22 sent from the system hash value calculation unit 2344 with the unique information 20 sent from the holding unit 236, and sends the collated result to the determination unit 2322.
  • FIG. 8 is a sequence diagram showing a processing procedure when an execution start request of the control program 140 is received in the present embodiment. In the following, the sequence is simply referred to as "SQ".
  • control unit 100 notifies the security unit 200 of the start request of the control program.
  • the security unit 200 requests the control unit 100 to collect the identification information 40.
  • control unit 100 sends the identification information 40 of each device constituting the control device 1 toward the security unit 200.
  • the security unit 200 selects one of the identification information 40 (SGTIN) and the identification information 42 (GTIN) which is a part of the identification information 40 for each device according to the security policy.
  • the security unit 200 In SQ110, the security unit 200 generates unique information 22 (system hash value) using the identification information selected for each device.
  • the security unit 200 collates the generated unique information 22 with the unique information 20 (system hash value) in the management information 30 to obtain a collation result.
  • the security unit 200 determines whether or not the control program can be executed based on the collation result obtained by SQ112. Specifically, the security unit 200 permits the execution of the control program according to the collation result indicating "match”. On the other hand, the security unit 200 prohibits the execution of the control program according to the collation result indicating "mismatch".
  • the security unit 200 notifies the control unit 100 of the determination result.
  • the holding unit 236 of the security engine 230 may hold the management information 30 in the form of a distributed ledger with other devices.
  • the management information 30 is held in the form of a distributed ledger with the host device 3.
  • the management information 30 is managed and shared by the control device 1 and the host device 3 using a known distributed ledger technique.
  • the management information 30 may be held in the form of a distributed ledger with another control device 1.
  • the management information 30 is managed and shared by a plurality of control devices 1 using a known distributed ledger technique.
  • the management information 30 may be held in the form of a distributed ledger on the cloud. Since the management information 30 is held in the form of a distributed ledger, it is difficult to be tampered with.
  • FIG. 9 is a diagram showing an example of management information 30 held in the form of a distributed ledger.
  • the management information 30 is composed of a plurality of connected blocks 50.
  • Each block 50 includes at least unique information 20 (system hash value) obtained from the configuration of the control device 1 at a certain timing.
  • the block 50 is generated when a change occurs in the devices constituting the control device 1.
  • the information in each block 50 is not updated, and a new block 50 is generated in relation to the latest block 50.
  • each block 50 includes a block hash value 52, system configuration information 54, and nonce 56.
  • the system configuration information 54 includes the identification information 40 of the security unit 200 and the unique information 20 (system hash value) of the control device 1 including the security unit 200.
  • the block hash value 52 is unique information indicating the information of the previous block.
  • the block hash value 52 is, for example, a return value obtained according to a known hash function with the information of the previous block as an argument.
  • Block 50-n + 1 includes a block hash value of 52-n.
  • the block hash value 52-n is a return value obtained according to a known hash function with the information of the block 50-n as an argument.
  • the nonce 56 is a numerical value generated when the block 50 is newly generated, and is a numerical value generated each time the block 50 is generated.
  • the nonce 56 has a unique value for each block 50.
  • FIG. 10 is a diagram showing a functional configuration of the security unit 200 that functions when a new block 50 is generated. The functions described with reference to FIG. 7 will not be described again. Further, FIG. 10 shows the data flow when the blocks 50-n are stored up to the block 50-n and the block 50-n + 1 is newly stored based on the change of the device constituting the control device 1. Has been done. Further, in the example shown in FIG. 10, the management information 30 is held in the form of a distributed ledger with the host device 3.
  • the collection request unit 2342 of the generation unit 234 requests the control unit 100 to collect the identification information 40 in response to the generation request of the unique information 20 (system hash value) from the holding unit 236.
  • the system hash value calculation unit 2344 generates the unique information 20 based on the identification information 40 of each device constituting the control device 1 sent from the control unit 100.
  • the registration unit 2362 of the holding unit 236 includes a distribution unit 236A, a mining unit 236B, and a block hash value calculation unit 236C.
  • the system hash value calculation unit 2344 sends the generated unique information 20 to the distribution unit 236A.
  • the host device 3 includes a mining unit 236D, a block hash value calculation unit 236E, and management information 30.
  • the distribution unit 236A generates the system configuration information 54 from the unique information 20 and the identification information 40 of the security unit 200, and distributes the system configuration information 54 to the mining unit 236B and the host device 3.
  • the mining unit 236B of the registration unit 2362 cooperates with the mining unit 236D of the host device 3 to generate the block 50-n + 1.
  • the block hash value calculation unit 236C of the registration unit 2362 generates the block hash value 52 from the block 50 last registered in the management information 30.
  • the block hash value 52-n is generated based on the block 50-n.
  • the block hash value calculation unit 236E of the host device 3 also generates the block hash value 52 from the block 50 last registered in the management information 30.
  • the mining unit 236B of the registration unit 2362 generates the block 50 by setting the nonce 56 so that the information obtained from the generated block 50 satisfies a predetermined condition based on the system configuration information 54 and the block hash value 52-n. do.
  • the process of setting the nonce 56 to generate the block 50 satisfying a predetermined condition in this way is called mining.
  • the mining unit 236D of the host device 3 also performs mining.
  • the block 50 generated by the mining unit that finds the nonce 56 satisfying the predetermined condition earliest is stored in the management information 30 of each of the control device 1 and the higher-level device 3.
  • the subject that generated the system configuration information 54 and the subject that generated the block 50 may be different.
  • the block 50 is stored in the management information 30 of each of the control device 1 and the host device 3. That is, the management information 30 of each of the control device 1 and the higher-level device 3 is common unless it is tampered with.
  • Each block 50 included in the management information 30 includes a block hash value 52 obtained based on the previous block 50. That is, when one block 50 is falsified, it becomes necessary to falsify the other blocks 50 in a chain reaction, and falsification of the management information 30 requires a lot of labor. That is, it can be said that the management information 30 is information that is difficult to falsify. By targeting the unique information 20 included in the management information 30 that is difficult to falsify, the unauthorized duplication and use of the control program 140 can be suppressed.
  • the method of generating one block 50 is not limited to the method described with reference to FIGS. 9 and 10.
  • the method of generating one block 50 may be arbitrarily designed.
  • the method of generating the block 50 may be selected according to the security level of the control device 1. For example, when the security level of the control device 1 is high, the security level (transparency, strictness) in the process of generating the block 50 can be lowered. On the other hand, when the security level of the control device 1 is low, it is necessary to raise the security level (transparency, strictness) in the process of generating the block 50.
  • the hurdle for consensus building is lowered, and the time required for consensus building, that is, one.
  • the time required to generate the block 50 and store it in the management information 30 can be shortened.
  • the management information 30 is held in the form of a distributed ledger using the public blockchain technology, it is necessary to raise the hurdle for consensus building.
  • FIG. 11 is a sequence diagram showing a processing procedure when an execution start request of the control program 140 is received in the first modification.
  • the SQ number common to FIG. 8 is assumed to be a common process.
  • the processes of SQ102 to SQ112 and SQ116 are common to those in FIG. 8, and the added SQ120 to SQ126 will be described.
  • the security unit 200 transmits the unique information 22 (system hash value) generated by the SQ 110 to the host device 3.
  • the host device 3 collates the unique information 20 included in the latest block 50 in the management information 30 with the unique information 22 to obtain a collation result.
  • the host device 3 transmits the collation result obtained in SQ122 to the security unit 200.
  • the security unit 200 determines whether or not the control program can be executed based on the collation result of SQ112 and the collation result obtained in SQ124. Specifically, the security unit 200 permits the execution of the control program according to the fact that both of the two collation results show "match”. On the other hand, the security unit 200 prohibits the execution of the control program according to the fact that at least one of the two collation results shows "mismatch".
  • the management information 30 held by the other control device is falsified, and the unique information 20 of the other control device is the management information. It is assumed that it is registered within 30.
  • the security program of the other control device collates not only the management information 30 in the own device but also the management information 30 of the higher-level device 3. Therefore, the execution of the control program is not permitted unless the management information 30 of the host device 3 is also falsified, so that the security level can be raised.
  • the second modification is an example in which the management information 30 is held in the form of a distributed ledger with another device (for example, the higher-level device 3) as in the first modification, and requests the execution start of the control program 140. It differs in the processing procedure when it is received.
  • FIG. 12 is a sequence diagram showing another example of the processing procedure when the execution start request of the control program 140 is received in the modified example 2.
  • the SQ number common to FIG. 11 is assumed to be a common process.
  • SQ112 is omitted and SQ128 is executed instead of SQ126.
  • the security unit 200 determines whether or not the control program can be executed based on the collation result obtained in SQ124. Specifically, the security unit 200 permits the execution of the control program according to the collation result indicating "match”. On the other hand, the security unit 200 prohibits the execution of the control program according to the collation result indicating "mismatch".
  • the collation result is not obtained by collating with the unique information 20 in the management information 30 held by the control device 1, but is not obtained by collating with another device (for example, the host device 3). ) Is collated with the unique information 20 in the management information 30 held by).
  • processor 102 that executes the control program and the processor 202 that executes the security program are provided by different devices.
  • one device may include a processor 202 that executes a security program and a processor 102 that executes a control program.
  • the security engine A generation means (234) that generates unique information using the identification information acquired from each of the one or more devices, and A holding means (236) for holding the first unique information generated in advance, and A collation means (238) for collating the second unique information generated by the generation means according to the collation request with the first unique information. Including the permission means (232) that makes the collation request in response to the execution start request of the control program and determines whether or not the control program can be executed based on the collation result obtained from the collation means.
  • the generation means responds to the security policy from the first identification information (42) for identifying the type of the device and the second identification information (42) for individually identifying the device.
  • a control device that selects the identification information.
  • the security policy is preset from the first policy, the second policy, and the third policy.
  • the first policy is a policy for selecting the first identification information for each of the one or more devices.
  • the second policy selects the first identification information for the first device belonging to the first group of the one or more devices, and more than the first group of the one or more devices. It is a policy to select the second identification information for the second device belonging to the second group having a high priority of security measures.
  • Each of the one or more devices holds the second identification information and
  • the second identification information is a combination of the first identification information and a third identification information (44) uniquely assigned to an individual of the type of device identified by the first identification information.
  • ⁇ Structure 4> The control device according to any one of configurations 1 to 3, wherein the one or more devices include a control device (100) having the control engine and a security device (200) having the security engine.
  • ⁇ Structure 5> The control device according to any one of configurations 1 to 4, wherein the holding means holds the first unique information in the form of a distributed ledger with the external device (3).
  • the generation step obtains the identification information from the first identification information for identifying the type of the device and the second identification information for individually identifying the device for each of the one or more devices according to the security policy.
  • a security program (230) that causes a computer to execute a management method executed in a control device (1) including one or more devices.
  • the management method is The step (S1) of holding the first unique information generated in advance and In response to the execution start request of the control program (140), the steps (S5, SQ108, SQ110) of generating the second unique information using the identification information acquired from each of the one or more devices, and The step (S6, SQ112) of collating the first unique information with the second unique information, A step (S8, SQ114) for determining whether or not the control program can be executed is provided based on the collation result.
  • the generation step obtains the identification information from the first identification information for identifying the type of the device and the second identification information for individually identifying the device for each of the one or more devices according to the security policy.
  • a security program that includes a step of selection (SQ108).
  • Control device 2 Information system network, 3 High-level equipment, 4 Field network, 10 Control system, 20 Unique information (1st unique information), 22 Unique information (2nd unique information, 30 Management information, 40 Identification information (2nd unique information, 30 management information, 40 identification information) Second identification information), 42 identification information (first identification information), 44 serial number (third identification information), 50 blocks, 52 block hash values, 54 system configuration information, 56 nonces, 100 control units, 102 , 202 processor, 104,204 chipset, 106,206 main memory, 108,208 secondary storage, 110,210 communication controller, 112,212 USB controller, 114,214 memory card interface, 115,215 memory card, 116 field network controller, 118 internal bus controller, 120, 220 information system network controller, 130 authentication program, 132 authentication unit, 134 judgment request unit, 136 identification information transmission unit, 138 identification information collection unit, 140 control program, 142 control engine 144 control program execution unit, 200 security unit, 230 security engine, 232 permission unit, 234 generation unit, 236 holding unit, 236A distribution unit,

Abstract

制御装置は、制御プログラムの実行可否の実行開始要求に応答して、１以上のデバイスの各々から取得された識別情報を用いて生成された固有情報と、予め生成された固有情報とを照合し、照合結果に基づいて、制御プログラムの実行可否を判定する。制御装置は、１以上のデバイスの各々について、当該デバイスの種別を識別する第１の識別情報および当該デバイスを個別に識別する第２の識別情報からセキュリティポリシーに応じて識別情報を選択する。これにより、制御プログラムという知的財産を保護できる。

Description

制御装置、管理方法およびセキュリティプログラム
　本開示は、制御装置、管理方法およびセキュリティプログラムに関する。
　様々な製造現場において、ＰＬＣ（Programmable　Logic　Controller）などの制御装置が導入されている。このような制御装置は、一種のコンピュータであり、製造装置または製造設備などに応じて設計された制御プログラムを実行する。
　近年では、既に製造現場での稼働実績のある制御装置から制御プログラムを抜き取り、別の製造現場内で新たな制御装置が作られて、抜き取られた制御プログラムが利用されるという問題が発生している。
　特開２００８－０６５６７８号公報（特許文献１）は、このような問題に対処する一の方法を開示する。具体的には、特許文献１は、ＰＬＣが、制御プログラムを暗号化したプログラムが設備機器に固有なプログラムであるか否かを判断し、設備機器に固有なプログラムであれば、当該プログラムから制御プログラムを復号し、制御プログラムを実行して設備機器を制御する方法を開示する。
特開２００８－０６５６７８号公報
　特許文献１で示された方法では、ＰＬＣは、予め入力された識別データと暗号ルールとを格納する記憶手段を備え、当該識別データを用いて、暗号化したプログラムが設備機器に固有なプログラムであるか否かを判断する。暗号化したプログラムが設備機器に固有なプログラムであると判断された場合、ＰＬＣは、暗号ルールに従って、暗号化したプログラムを復号することにより制御プログラムを得て、当該制御プログラムを利用する。そのため、暗号化したプログラムだけでなく、識別データおよび暗号ルールも抜き取られた場合、制御プログラムの利用が図られてしまう。すなわち、特許文献１で示された方法では、制御プログラムという知的財産の保護を図る上で改善の余地があった。
　本開示は、制御プログラムという知的財産の保護を図ることを一つの目的とする。
　本開示の一例に従うと、１以上のデバイスを含む制御装置は、制御プログラムを実行する制御エンジンと、制御エンジンでの制御プログラムの実行可否を管理するセキュリティエンジンとを備える。セキュリティエンジンは、生成手段と、保持手段と、照合手段と、許可手段とを含む。生成手段は、１以上のデバイスの各々から取得された識別情報を用いて固有情報を生成する。保持手段は、予め生成された第１の固有情報を保持する保持手段と、照合手段は、照合の要求に従って生成手段により生成される第２の固有情報と、第１の固有情報とを照合する。許可手段は、制御プログラムの実行開始要求に応答して、照合の要求を行い、照合手段から得られる照合結果に基づいて、制御プログラムの実行可否を判定する。生成手段は、１以上のデバイスの各々について、当該デバイスの種別を識別する第１の識別情報および当該デバイスを個別に識別する第２の識別情報からセキュリティポリシーに応じて識別情報を選択する。
　この構成によれば、セキュリティエンジンは、予め生成された第１の固有情報を基準に、制御プログラムの実行開始要求に応答して生成される第２の固有情報を照合し、その照合結果に応じて制御プログラムの実行可否を判定する。固有情報は、各デバイスの種別を識別する第１の識別情報および各デバイスを個別に識別する第２の識別情報から選択された識別情報から生成される。そのため、制御装置のソフトウェア（第１の固有情報および制御プログラムを含む）およびハードウェアをコピーすることにより新たな制御装置を作製した場合、当該新たな制御装置に含まれるデバイスの識別情報から生成される第２の固有情報は、第１の固有情報と不一致となり得る。その結果、セキュリティエンジンによって管理された環境下とは異なる環境下での制御プログラムの起動を防ぐことができる。すなわち、制御プログラムという知的財産を保護することができる。
　さらに、デバイスの種別を識別する第１の識別情報およびデバイスを個別に識別する第２の識別情報からセキュリティポリシーに応じて識別情報が選択される。そのため、制御プログラムの開発者は、制御プログラムに対するセキュリティ対策の優先度を考慮して、セキュリティポリシーを適宜設定できる。その結果、セキュリティエンジンにおけるセキュリティレベルを任意に変更できる。
　上述の開示において、セキュリティポリシーは、第１のポリシー、第２のポリシーおよび第３のポリシーの中から予め設定される。第１のポリシーは、１以上のデバイスの各々について第１の識別情報を選択するポリシーである。第２のポリシーは、１以上のデバイスのうち第１のグループに属する第１のデバイスについて第１の識別情報を選択し、１以上のデバイスのうち、第１のグループよりもセキュリティ対策の優先度の高い第２のグループに属する第２のデバイスについて第２の識別情報を選択するポリシーである。第３のポリシーは、１以上のデバイスの各々について第２の識別情報を選択するポリシーである。
　この開示によれば、開発者は、制御プログラムに対するセキュリティ対策の優先度を考慮して、セキュリティエンジンにおけるセキュリティレベルを任意に変更できる。
　上述の開示において、１以上のデバイスの各々は、第２の識別情報を保持する。第２の識別情報は、第１の識別情報と、第１の識別情報によって識別される種別のデバイスの個体に対してユニークに割り当てられる第３の識別情報との組み合わせである。生成手段は、第２の識別情報から第１の識別情報を取得する。この開示によれば、各デバイスは、第２の識別情報のみを記憶しておけばよい。
　上述の開示において、１以上のデバイスは、制御エンジンを有する制御デバイスと、セキュリティエンジンを有するセキュリティデバイスとを含む。
　この開示によれば、制御プログラムに対する変更の自由度を満たす必要のある制御エンジンと、セキュリティ上、変更の自由度が好まれないセキュリティエンジンとを、互いに異なるデバイスによって実現することで、各エンジンの特性に応じたデバイス設計を可能にする。
　上述の開示において、保持手段は、外部装置との間で、分散型台帳の形式で第１の固有情報を保持する。
　この開示によれば、第１の固有情報は、より改竄困難な状態で保持される。これにより、制御プログラムという知的財産のセキュリティレベルを高めることができる。
　上述の開示において、照合手段は、第２の固有情報と外部装置が保持する第１の固有情報とをさらに照合する。
　この開示によれば、不正に制御装置をコピーした第三者は、制御プログラムを実行させるために、外部装置が保持する第１の固有情報を改竄する必要が生じる。そのため、制御プログラムのセキュリティレベルをさらに高めることができる。
　本開示の別の一例によれば、１以上のデバイスを含む制御装置において実行される管理方法は、第１～第４のステップを備える。第１のステップは、予め生成された第１の固有情報を保持するステップである。第２のステップは、制御プログラムの実行開始要求に応答して、１以上のデバイスの各々から取得された識別情報を用いて第２の固有情報を生成するステップである。第３のステップは、第１の固有情報と第２の固有情報とを照合するステップである。第４のステップは、照合結果に基づいて、制御プログラムの実行可否を判定するステップである。第２のステップ（生成するステップ）は、１以上のデバイスの各々について、当該デバイスの種別を識別する第１の識別情報および当該デバイスを個別に識別する第２の識別情報からセキュリティポリシーに応じて識別情報を選択するステップを含む。
　本開示の別の一例によれば、セキュリティプログラムは、上記の管理方法をコンピュータに実行させる。
　これらの開示によっても、制御プログラムという知的財産の保護を図ることができる。
　本開示によれば、制御プログラムという知的財産の保護を図ることができる。
実施の形態に係る制御装置を適用した場面の一例を示す図である。 本実施の形態に係る制御装置１を含む制御システム１０の全体構成を示す模式図である。 本実施の形態に従う制御装置１を構成する制御ユニット１００のハードウェア構成例を示す模式図である。 本実施の形態に従う制御装置１を構成するセキュリティユニット２００のハードウェア構成例を示す模式図である。 制御装置１に含まれる各デバイスが有する識別情報４０の一例を示す図である。 制御プログラム１４０の実行可否の判断方法の流れを示す図である。 制御ユニット１００およびセキュリティユニット２００の機能構成の一例を示すブロック図である。 本実施の形態における、制御プログラム１４０の実行開始要求を受けたときの処理手順を示すシーケンス図である。 分散型台帳の形式で保持される管理情報３０の一例を示す図である。 新たなブロック５０が生成される際に機能するセキュリティユニット２００の機能構成を示す図である。 変形例１における、制御プログラム１４０の実行開始要求を受けたときの処理手順を示すシーケンス図である。 変形例２における、制御プログラム１４０の実行開始要求を受けたときの処理手順の別の例を示すシーケンス図である。
　以下、図面を参照しつつ、本発明に従う各実施の形態について説明する。以下の説明では、同一の部品および構成要素には同一の符号を付してある。それらの名称および機能も同じである。したがって、これらについての詳細な説明は繰り返さない。なお、以下で説明される各実施の形態および各変形例は、適宜選択的に組み合わせてもよい。
　§１．適用例
　本実施の形態にかかる制御システムの概略について説明する。図１は、実施の形態に係る制御装置１を適用した場面の一例を示す図である。図１に示されるように、制御装置１は、制御対象を制御するための制御プログラム１４０と、制御プログラム１４０を実行する制御エンジン１４２と、制御エンジン１４２での制御プログラム１４０の実行可否を管理するセキュリティエンジン２３０とを備える。
　制御装置１は、１以上のデバイスを含む。制御プログラム１４０が実行されることで各デバイスが制御され、各デバイスが制御されることで、制御対象である製造設備などが制御される。
　セキュリティエンジン２３０は、許可部２３２と、生成部２３４と、保持部２３６と、照合部２３８とを含む。
　許可部２３２は、制御エンジン１４２から制御プログラム１４０の開始要求を受けて、当該制御プログラム１４０の実行可否を判断する。
　生成部２３４は、制御装置１を構成する１以上のデバイスの各々から取得された識別情報を用いて固有情報を生成する。生成部２３４は、１以上のデバイスの各々について、当該デバイスの種別を識別する第１の識別情報および当該デバイスを個別に識別する第２の識別情報からセキュリティポリシーに応じて識別情報を選択する。固有情報は、このようにして取得された識別情報を用いて生成されるため、制御装置１の構成が変わることに応じて変化する。
　保持部２３６は、制御装置１について予め生成された固有情報２０を含む管理情報３０を保持する。保持部２３６は、固有情報２０が不正に改竄されることを防止するため、所定条件を満たす場合にのみ管理情報３０の更新を許可する。所定条件とは、たとえば予め設定されたアクセスＩＤおよびパスワードと入力情報とが一致するという条件である。
　照合部２３８は、照合の要求に従って生成部２３４によって生成された固有情報２２と、管理情報３０に含まれる固有情報２０とを照合する。照合とは、一致するか否かを判定することを意味する。
　次に、図１に示すステップ１から順に、制御装置１において実行される制御プログラムの実行可否の管理方法について説明する。なお、図１および以下の説明において、ステップを単に「Ｓ」と記す。
　Ｓ１：生成部２３４は、予め、制御装置１の固有情報２０を生成する。保持部２３６は、予め生成された固有情報２０を含む管理情報３０を保持する。
　Ｓ２：許可部２３２は、制御プログラム１４０の開始要求を受ける。なお、図１に示す例では、制御エンジン１４２が、開始要求を行うものとしているが、セキュリティエンジン２３０が開始要求を受け付ける受付部を備えていてもよい。
　Ｓ３：許可部２３２は、制御プログラム１４０の開始要求に応じて、照合部２３８に照合の要求を行う。
　Ｓ４：照合部２３８は、照合の要求に応じて、生成部２３４に対して固有情報２２の生成を要求する。
　Ｓ５：生成部２３４は、生成の要求に応じて、制御装置１が備える１以上のデバイスから識別情報を取得し、取得した識別情報を用いて固有情報２２を生成する。生成部２３４は、各デバイスについて、当該デバイスの種別を識別する第１の識別情報および当該デバイスを個別に識別する第２の識別情報からセキュリティポリシーに応じて識別情報を選択する。なお、生成部２３４は、１以上のデバイスの全てについて第１の識別情報を選択してもよいし、１以上のデバイスの全てについて第２の識別情報を選択してもよい。あるいは、生成部２３４は、１以上のデバイスのうちの一部のデバイスについて第１の識別情報を選択し、残りのデバイスについて第２の識別情報を選択してもよい。セキュリティポリシーは、制御装置１に対して予め設定される。
　Ｓ６：照合部２３８は、管理情報３０に含まれている、予め生成された固有情報２０と、照合の要求を受けたタイミングで生成された固有情報２２とを照合して照合結果を得る。
　Ｓ７：照合部２３８は、得られた照合結果を許可部２３２に提供する。許可部２３２は、提供された照合結果に基づいて、制御プログラム１４０の実行可否を判定する。具体的には、許可部２３２は、照合結果が一致を示すことに応じて、制御プログラム１４０の実行を許可する。許可部２３２は、照合結果が不一致を示すことに応じて、制御プログラム１４０の実行を禁止する。
　Ｓ８：許可部２３２は、照合結果に基づいて判定した結果（許可または禁止）を、制御エンジン１４２に対して提供する。制御エンジン１４２は、許可部２３２の判定結果が「許可」である場合に限って、制御プログラム１４０を実行する。
　制御装置１によって管理された環境を実現するための制御プログラム１４０の開発は、制御装置１を利用する会社とは別の会社が行うこともある。このような場合に、制御プログラム１４０および制御プログラム１４０を利用できる環境が容易に模倣されてしまうと、制御プログラム１４０を開発する会社の知的財産を十分に保護することができない。
　制御装置１を模倣する場合、制御プログラム１４０を実行するために、制御装置１のハードウェアおよびソフトウェアの双方がコピーされる。ソフトウェアがコピーされるということは、制御プログラム１４０だけでなく、制御エンジン１４２およびセキュリティエンジン２３０を動作させるためのシステムプログラムもコピーされる。さらに、ソフトウェアのコピーにより、セキュリティエンジン２３０によって保持されている管理情報３０についてもコピーされる。
　一方、ハードウェアについては、制御装置１を構成する各デバイスに代わるデバイスを設置することにより、制御装置１が模倣される。制御装置１を模倣した別の制御装置では、制御装置１とは異なるデバイスから取得された識別情報を用いて固有情報２２が生成される。そのため、固有情報２２は、コピーされた管理情報３０に含まれる固有情報２０と不一致となり得る。特に、少なくとも１つのデバイスについて第２の識別情報を取得するようにセキュリティポリシーを設定することにより、固有情報２２は、固有情報２０と一致しない。あるいは、制御装置１を構成する少なくとも１つのデバイスについて、当該デバイスと同じ機能を有する別の機種のデバイスを用いて模倣した場合、当該デバイスについて第１の識別情報を取得したとしても、固有情報２２は、固有情報２０と一致しない。その結果、セキュリティエンジン２３０によって管理された環境下とは異なる環境下での制御プログラム１４０の起動を防ぐことができる。すなわち、制御プログラム１４０という知的財産を保護することができる。
　なお、制御装置１を模倣した別の制御装置において、各デバイスの識別情報を改竄することにより、固有情報２２が固有情報２０と一致し得る。しかしながら、制御装置１を構成するデバイスの個数は数十となることもあり、このような場合に、数十のデバイスすべてについて、当該デバイスの識別情報を改竄する必要が生じる。そのため、制御プログラム１４０によって管理される制御装置１を模倣するには、多くの労力を要することとなる。
　また、本実施の形態では、デバイスの種別を識別する第１の識別情報およびデバイスを個別に識別する第２の識別情報からセキュリティポリシーに応じて識別情報が選択される。たとえば、制御プログラム１４０の開発者は、故障や定期メンテナンスなどで交換が想定されるデバイスについて、第１の識別情報を選択することによりセキュリティ対策の優先度を低くしてもよい。これにより、開発者は、デバイス交換などの保守性と知的財産保護とのバランスをとることができる。
　§２．具体例
　＜Ａ．制御システム＞
　図２は、本実施の形態に係る制御装置１を含む制御システム１０の全体構成を示す模式図である。図２を参照して、制御システム１０は、１以上の制御装置１と、上位機器３とを備える。
　制御装置１は、制御対象を制御する。制御対象は、生産工程を自動化するための種々の産業用機器を含み、製造装置や生産ラインなど（以下、「フィールド」とも総称する。）に対して何らかの物理的な作用を与える装置と、フィールドとの間で情報を遣り取りする入出力装置とを含む。なお、生産ライン全体を制御対象としてもよい。
　制御装置１は、情報系ネットワーク２を介して、上位機器３および他の制御装置１と通信可能に接続される。情報系ネットワーク２は、たとえば、ＥｔｈｅｒＮｅｔ／ＩＰ（登録商標）または、ベンダやＯＳ（Operating　System）の種類などに依存することなくデータ交換を実現することができるＯＰＣ　ＵＡ（Object　Linking　and　Embedding　for　Process　Control　Unified　Architecture）などの通信規格に従ったネットワークである。
　制御装置１は、１以上のデバイスを含む。図２に示す例では、制御装置１は、制御ユニット１００、セキュリティユニット２００、Ｉ／Ｏ（Input/Output）ユニット３００、通信カプラ４００などから構成される。なお、以下では、制御装置１を構成する各ユニットおよび通信カプラを総じて「デバイス」とも称する。
　制御ユニット１００は、制御装置１を構成する制御デバイスの一例であって、制御対象を制御するための制御プログラムを実行し、制御装置１において中心的な処理を実行する。
　セキュリティユニット２００は、制御装置１を構成するセキュリティデバイスの一例であって、制御ユニット１００での制御プログラムの実行可否を管理する。制御プログラムの実行可否の管理方法は、後述する。
　制御ユニット１００とセキュリティユニット２００との間は、たとえば、任意のデータ伝送路（例えば、ＰＣＩ　ＥｘｐｒｅｓｓあるいはＥｔｈｅｒＮｅｔ／ＩＰ（登録商標）など）を介して接続されている。
　Ｉ／Ｏユニット３００は、制御装置１を構成するデバイスの一例であって、一般的な入出力処理に関するユニットである。Ｉ／Ｏユニット３００は、各種センサ、各種スイッチ、エンコーダなどを含むＩＯデバイスから検出値を収集する。
　制御ユニット１００とＩ／Ｏユニット３００とは、内部バスを介して通信可能に接続されている。制御ユニット１００は、Ｉ／Ｏユニット３００により収集された検出値を用いて制御プログラムの演算を実行し、演算結果の値をＩ／Ｏユニット３００に出力する。
　通信カプラ４００は、フィールドネットワーク４を介して制御ユニット１００と通信可能に接続される。通信カプラ４００は、フィールドネットワーク４でのデータ伝送にかかる処理を行う。通信カプラ４００は、たとえば、内部バスを介して１または複数のＩ／Ｏユニット３００と通信可能に接続される。通信カプラ４００に接続された１または複数のＩ／Ｏユニット３００の各々により収集された検出値は、フィールドネットワーク４を介して制御ユニット１００に出力される。
　フィールドネットワーク４としては、典型的には、各種の産業用イーサネット（登録商標）を用いることができる。産業用イーサネット（登録商標）としては、例えば、ＥｔｈｅｒＣＡＴ（登録商標）、Ｐｒｏｆｉｎｅｔ　ＩＲＴ、ＭＥＣＨＡＴＲＯＬＩＮＫ（登録商標）－ＩＩＩ、Ｐｏｗｅｒｌｉｎｋ、ＳＥＲＣＯＳ（登録商標）－ＩＩＩ、ＣＩＰ　Ｍｏｔｉｏｎなどが知られており、これらのうちのいずれを採用してもよい。さらに、産業用イーサネット（登録商標）以外のフィールドネットワークを用いてもよい。例えば、モーション制御を行わない場合であれば、ＤｅｖｉｃｅＮｅｔ、ＣｏｍｐｏＮｅｔ／ＩＰ（登録商標）などを用いてもよい。
　制御装置１を構成する各デバイスは、識別情報４０を有する。典型的には、識別情報４０は、ＳＧＴＩＮ（Serialized　Global　Trade　Item　Number）のような個体識別コードである。
　なお、制御装置１を構成するデバイスは、図２に示したデバイスに限られない。制御装置１を構成するデバイスは、たとえば、電源を供給する電源ユニット、Ｉ／Ｏユニット３００ではサポートしない機能を有する特殊ユニット、設備や機械などによって人の安全が脅かされることを防止するためのセーフティ機能を提供するセーフティユニットなどを含み得る。また、制御装置１を構成するデバイスは、たとえば、制御ユニット１００または他のユニットでの制御演算によって得られる各種情報をオペレータへ提示するとともに、オペレータからの操作に従って、制御ユニット１００または他のユニットに対して内部コマンドなどを生成するＨＭＩ（Human　Machine　Interface）を含み得る。
　上位機器３は、制御システム１００内のサーバ、またはクラウドサーバ等のような外部サーバ、または制御装置１に比較して高い性能を備えたＰＬＣ、または産業用のコンピュータ（所謂ＩＰＣ：Industrial　Personal　Computer）として構成される。
　＜Ｂ．ハードウェア構成＞
　本実施の形態に従う制御装置１を構成する主なデバイスのハードウェア構成例について説明する。
　（ｂ１．制御ユニット）
　図３は、本実施の形態に従う制御装置１を構成する制御ユニット１００のハードウェア構成例を示す模式図である。図３を参照して、制御ユニット１００は、主たるコンポーネントとして、ＣＰＵ（Central　Processing　Unit）やＧＰＵ（Graphical　Processing　Unit）などのプロセッサ１０２と、チップセット１０４と、主記憶装置１０６と、二次記憶装置１０８と、通信コントローラ１１０と、ＵＳＢコントローラ１１２と、メモリカードインターフェイス１１４と、フィールドネットワークコントローラ１１６と、内部バスコントローラ１１８と、情報系ネットワークコントローラ１２０とを含む。
　プロセッサ１０２は、二次記憶装置１０８またはメモリカード１１５に格納された各種プログラムを読み出して、主記憶装置１０６に展開して実行することで、制御対象を制御するための制御演算、および、後述するような、制御プログラムの実行開始要求にかかる処理を実現する。
　主記憶装置１０６は、ＤＲＡＭ（Dynamic　Random　Access　Memory)またはＳＲＡＭ（Static　Random　Access　Memory)などの揮発性記憶装置などで構成される。二次記憶装置１０８は、例えば、ＨＤＤ（Hard　Disc　Drive）またはＳＳＤ（Solid　State　Drive）などの不揮発性記憶装置などで構成される。
　チップセット１０４は、プロセッサ１０２と各コンポーネントとの間のデータの遣り取りを仲介することで、制御ユニット１００全体としての処理を実現する。
　二次記憶装置１０８には、制御ユニット１００の基本的な機能を実現するためのシステムプログラム１０８２に加えて、設備や機械などの制御対象に応じて作成される制御プログラム１４０と、制御ユニット１００を識別するための識別情報４０とが格納されている。
　システムプログラム１０８２には、認証プログラム１３０が組み込まれている。認証プログラム１３０は、制御プログラム１４０を起動する際に実行されるプログラムであって、セキュリティユニット２００に向けて、起動する制御プログラム１４０の実行の許可を要求するためのプログラムである。また、システムプログラム１０８２は、制御プログラム１４０を実行する制御エンジンとしての機能を提供する。
　制御プログラム１４０は、たとえば、基本的なアルゴリズムがプログラム開発会社によって作成された知的財産である。たとえば、ユーザは、制御装置１に応じてパラメータを設定することで、プログラム開発会社により提供された制御プログラム１４０を実行可能な環境を整える。
　通信コントローラ１１０は、セキュリティユニット２００との間のデータの遣り取りを担当する。通信コントローラ１１０としては、例えば、ＰＣＩ　Ｅｘｐｒｅｓｓあるいはイーサネット（登録商標）などに対応する通信チップを採用できる。
　ＵＳＢコントローラ１１２は、ＵＳＢ接続を介して任意の情報処理装置との間のデータの遣り取りを担当する。任意の情報処理装置は、たとえば、制御プログラム１４０の作成または編集、デバッグ、各種パラメータの設定などの機能をユーザに提供するサポート装置などを含む。
　メモリカードインターフェイス１１４は、記憶媒体の一例であるメモリカード１１５を着脱可能に構成される。メモリカードインターフェイス１１４は、メモリカード１１５に対して制御プログラム１４０や各種設定などのデータを書込み、あるいは、メモリカード１１５から制御プログラム１４０や各種設定などのデータを読出すことが可能になっている。
　フィールドネットワークコントローラ１１６は、フィールドネットワーク４を介した他の装置との間のデータの遣り取りを制御する。
　内部バスコントローラ１１８は、内部バスを介した他の装置（Ｉ／Ｏユニット３００など）との間のデータの遣り取りを制御する。内部バスには、メーカ固有の通信プロトコルを用いてもよいし、いずれかの産業用ネットワークプロトコルと同一あるいは準拠した通信プロトコルを用いてもよい。
　情報系ネットワークコントローラ１２０は、情報系ネットワーク２を介した他の制御装置１との間のデータの遣り取りを制御する。
　図３には、プロセッサ１０２がプログラムを実行することで必要な機能が提供される構成例を示したが、これらの提供される機能の一部または全部を、専用のハードウェア回路（例えば、ＡＳＩＣまたはＦＰＧＡなど）を用いて実装してもよい。あるいは、制御ユニット１００の主要部を、汎用的なアーキテクチャに従うハードウェア（例えば、汎用パソコンをベースとした産業用パソコン）を用いて実現してもよい。この場合には、仮想化技術を用いて、用途の異なる複数のＯＳを並列的に実行させるとともに、各ＯＳ上で必要なアプリケーションを実行させるようにしてもよい。
　（ｂ２．セキュリティユニット）
　図４は、本実施の形態に従う制御装置１を構成するセキュリティユニット２００のハードウェア構成例を示す模式図である。図４を参照して、セキュリティユニット２００は、主たるコンポーネントとして、ＣＰＵやＧＰＵなどのプロセッサ２０２と、チップセット２０４と、主記憶装置２０６と、二次記憶装置２０８と、通信コントローラ２１０と、ＵＳＢコントローラ２１２と、メモリカードインターフェイス２１４と、情報系ネットワークコントローラ２２０とを含む。
　プロセッサ２０２は、二次記憶装置２０８またはメモリカード２１５に格納された各種プログラムを読み出して、主記憶装置２０６に展開して実行することで、制御ユニット１００での制御プログラムの実行可否を管理する機能を実現する。主記憶装置２０６は、ＤＲＡＭまたはＳＲＡＭなどの揮発性記憶装置などで構成される。二次記憶装置２０８は、例えば、ＨＤＤまたはＳＳＤなどの不揮発性記憶装置などで構成される。
　チップセット２０４は、プロセッサ２０２と各コンポーネントとの間のデータの遣り取りを仲介することで、セキュリティユニット２００全体としての処理を実現する。
　二次記憶装置２０８には、セキュリティユニット２００の基本的な機能を実現するためのシステムプログラム２０８２に加えて、識別情報４０および管理情報３０が格納されている。
　システムプログラム２０８２には、セキュリティプログラム２４０が組み込まれている。セキュリティプログラム２４０は、制御装置１において実行される制御プログラム１４０の実行可否を管理するためのプログラムである。すなわち、セキュリティプログラム２４０は、制御プログラム１４０の実行可否を管理するセキュリティエンジンとしての機能を提供する。
　管理情報３０は、制御装置１を構成する１以上のデバイスから取得した識別情報４０を用いて生成される固有情報を管理するための情報である。固有情報は、制御プログラム１４０の実行を許可するか否かを判定する際の基準となる情報として利用される。固有情報については、後述する。
　通信コントローラ２１０は、制御ユニット１００との間のデータの遣り取りを担当する。通信コントローラ２１０としては、制御ユニット１００に通信コントローラ２１０と同様に、例えば、ＰＣＩ　Ｅｘｐｒｅｓｓあるいはイーサネット（登録商標）などに対応する通信チップを採用できる。
　ＵＳＢコントローラ２１２は、ＵＳＢ接続を介して任意の情報処理装置との間のデータの遣り取りを担当する。任意の情報処理装置は、たとえば、セキュリティプログラム２４０の設定などの機能をユーザに提供するサポート装置などを含む。
　メモリカードインターフェイス２１４は、記憶媒体の一例であるメモリカード２１５を着脱可能に構成される。メモリカードインターフェイス２１４は、メモリカード２１５に対してプログラムや各種設定などのデータを書込み、あるいは、メモリカード２１５からプログラムや各種設定などのデータを読出すことが可能になっている。
　情報系ネットワークコントローラ２２０は、情報系ネットワーク２を介した他の制御装置１との間のデータの遣り取りを制御する。情報系ネットワークコントローラ２２０は、イーサネット（登録商標）などの汎用的なネットワークプロトコルを採用してもよい。
　図４には、プロセッサ２０２がプログラムを実行することで必要な機能が提供される構成例を示したが、これらの提供される機能の一部または全部を、専用のハードウェア回路（例えば、ＡＳＩＣまたはＦＰＧＡなど）を用いて実装してもよい。あるいは、セキュリティユニット２００の主要部を、汎用的なアーキテクチャに従うハードウェア（例えば、汎用パソコンをベースとした産業用パソコン）を用いて実現してもよい。この場合には、仮想化技術を用いて、用途の異なる複数のＯＳを並列的に実行させるとともに、各ＯＳ上で必要なアプリケーションを実行させるようにしてもよい。
　なお、図３および図４を参照して、制御装置１は、情報系ネットワーク２へ、制御ユニット１００の情報系ネットワークコントローラ１２０を介して接続されていてもよく、また、セキュリティユニット２００の情報系ネットワークコントローラ２２０を介して接続されていてもよい。本実施の形態において、制御装置１は、セキュリティユニット２００の情報系ネットワークコントローラ２２０を介して接続されているものとして説明する。
　＜Ｃ．識別情報＞
　図５は、制御装置１に含まれる各デバイスが有する識別情報４０の一例を示す図である。図５には、ＳＧＴＩＮである識別情報４０が示される。ＳＧＴＩＮは、流通システム標準化機関ＧＳ１によって標準化された電子タグに書き込むための識別コードの１つであり、商品用の個別識別コードである。識別情報４０は、デバイスを個別に識別するため、第２の識別情報である。
　図５に示されるように、識別情報４０は、デバイスの種別を識別する商品識別コードである識別情報４２と、当該識別情報４２によって識別される種別のデバイスの個体に対してユニークに割り当てられるシリアル番号４４（第３の識別情報）との組み合わせである。識別情報４２は、デバイスの種別を識別するため、第１の識別情報である。
　識別情報４２は、流通システム標準化機関ＧＳ１によって標準化された商品識別コードＧＴＩＮ（Global　Trade　Item　Number）である。ＧＴＩＮは、インジケータと、事業者コードと、商品アイテムコードと、チェックデジットとによって構成される。
　＜Ｄ．セキュリティポリシー＞
　制御プログラム１４０の開発者は、制御プログラム１４０に対するセキュリティポリシーを設定する。なお、セキュリティポリシーの設定は、制御プログラム１４０の開発者に限定されず、他の者によって実行されてもよい。セキュリティポリシーは、セキュリティプログラム２４０に予め設定される。
　本実施の形態では、セキュリティポリシーは、以下のポリシー（Ａ）～（Ｃ）の中から予め設定される。
ポリシー（Ａ）：全てのデバイスについて識別情報４０（第２の識別情報）を選択する。ポリシー（Ｂ）：第１のグループに属する第１のデバイスについて識別情報４２（第１の識別情報）を選択し、第１のグループよりもセキュリティ対策の優先度の高い第２のグループに属する第２のデバイスについて識別情報４０（第２の識別情報）を選択する。
ポリシー（Ｃ）：全てのデバイスについて識別情報４２（第１の識別情報）を選択する。
　たとえば、開発者は、制御プログラム１４０が模倣される可能性が高く、かつ、制御プログラム１４０のセキュリティレベルを高めたい場合、ポリシー（Ａ）を設定する。開発者は、制御プログラム１４０が模倣される可能性が低い場合、あるいは、制御プログラム１４０の知的財産としての価値が高くない場合、ポリシー（Ｂ）またはポリシー（Ｃ）を設定する。
　ポリシー（Ｂ）を設定する場合、開発者は、第１のグループに属するデバイスの商品識別コードＧＴＩＮ（識別情報４２）と、第２のグループに属するデバイスの商品識別コードＧＴＩＮ（識別情報４２）とを予め設定する。
　＜Ｅ．制御プログラムの実行可否の判断方法の概略＞
　図６は、制御プログラム１４０の実行可否の判断方法の流れを示す図である。なお、図６に示す例では、図面を簡略にするため、制御装置１を構成する制御ユニット１００およびセキュリティユニット２００以外のユニット（Ｉ／Ｏユニット３００、通信カプラ４００など）の記載を省略している。
　制御ユニット１００は、まず、セキュリティユニット２００に向けて制御プログラム１４０の実行可否判定を要求する（図中の（１））。
　制御ユニット１００からの判定要求を受けて、セキュリティユニット２００は、制御装置１を構成する１以上のデバイスから識別情報４０の収集を行う（図中の（２））。
　セキュリティユニット２００は、予め設定されたセキュリティポリシーに従って、各デバイスの識別情報４０（ＳＧＴＩＮ）および識別情報４０に含まれる識別情報４２（ＧＴＩＮ）のうちの一方を選択する（図中の（３））。上記のポリシー（Ａ）が設定されている場合、セキュリティユニット２００は、全てのデバイスについて、識別情報４０を選択する。上記のポリシー（Ｂ）が設定されている場合、セキュリティユニット２００は、第１のグループに設定されている商品識別コードＧＴＩＮに対応するデバイスについて識別情報４２を選択する。さらに、セキュリティユニット２００は、第２のグループに設定されている商品識別コードＧＴＩＮに対応するデバイスについて識別情報４０を選択する。上記のポリシー（Ｃ）が設定されている場合、セキュリティユニット２００は、全てのデバイスについて、識別情報４２を選択する。
　セキュリティユニット２００は、各デバイスについて選択された識別情報（識別情報４０または識別情報４２）に基づいて、固有情報２２としてシステムハッシュ値を生成する（図中の（４））。システムハッシュ値は、制御装置１を構成するデバイスのうちセキュリティユニット２００を除く他のデバイスの識別情報４０を引数とし、公知のハッシュ関数を利用することで得られる。
　セキュリティユニット２００は、識別情報４０を用いて生成された固有情報２２（システムハッシュ値）と管理情報３０によって管理されている固有情報２０とを照合し、一致するか否かを判定する（図中の（５））。
　図中の（５）において、新たに生成された固有情報２２と、管理情報３０によって管理されている固有情報２０とを照合し、一致する場合、制御装置１は、正規に管理された装置であることが保証される。一方、一致しない場合、制御装置１は、管理情報３０によって管理されていない制御装置である可能性がある。
　セキュリティユニット２００は、（５）の処理で得られた照合結果に基づいて、（１）で要求された制御プログラム１４０の実行可否判定を行う（図中の（６））。セキュリティユニット２００は、照合結果が「一致」を示すことに応じて、制御プログラム１４０の実行を許可する。
　セキュリティユニット２００は、制御ユニット１００に向けて制御プログラム１４０の実行可否を示す判定結果を通知する（図中の（７））。
　＜Ｆ．機能構成＞
　図７は、制御ユニット１００およびセキュリティユニット２００の機能構成の一例を示すブロック図である。図７において、破線の矢印は、指示に関する流れを示す。実線の矢印は、情報の流れを示す。
　図７に示されるように、制御ユニット１００は、制御プログラム実行部１４４と、認証部１３２とを含む。これらの各機能は、制御ユニット１００のプロセッサ１０２がシステムプログラム１０８２を実行することで実現する。
　制御プログラム実行部１４４は、制御プログラム１４０を実行するために機能する。制御プログラム実行部１４４は、制御プログラム１４０の実行開始要求を受けて、認証部１３２に対して、制御プログラム１４０の認証を要求する。認証とは、制御プログラム１４０の実行環境が、制御装置１が保持する管理情報３０によって管理されている環境であるか否かを認証することであって、制御プログラム１４０を実行してよい環境であるかを認証することである。
　認証部１３２は、判定要求部１３４と、識別情報送信部１３６と、識別情報収集部１３８とを含む。制御プログラム実行部１４４から認証の要求を受けると、判定要求部１３４は、セキュリティユニット２００の許可部２３２に対して、制御プログラム１４０の実行可否判定を要求する。
　識別情報送信部１３６は、識別情報収集部１３８が収集した制御装置１を構成する各デバイスの識別情報４０をセキュリティユニット２００に送信する。
　識別情報収集部１３８は、セキュリティユニット２００の生成部２３４からの要求を受けて、制御装置１を構成する各デバイスの識別情報４０を収集する。識別情報収集部１３８は、制御プログラム１４０の実行可否を判定するときに加えて、新たな固有情報（システムハッシュ値）を管理情報３０に登録するときにも、セキュリティユニット２００から識別情報４０の収集を要求される。なお、本実施の形態においては、識別情報収集部１３８は、制御装置１を構成するデバイスのうち、セキュリティユニット２００を除くデバイスの各々から識別情報４０を収集する。なお、固有情報であるシステムハッシュ値の生成に用いられる識別情報４０に、セキュリティユニット２００の識別情報４０を含めてもよい。
　認証部１３２は、制御プログラム実行部１４４から制御プログラム１４０の認証が要求された後、セキュリティユニット２００の許可部２３２から制御プログラム１４０の実行可否の判定結果を受ける。認証部１３２は、セキュリティユニット２００から受けた判定結果に従った処理をする。認証部１３２は、実行を許可できる旨の判定結果を得た場合、制御プログラム実行部１４４に向けて、制御プログラム１４０の実行を開始するように通知する。一方、認証部１３２は、実行が許可できない旨の判定結果を得た場合、制御プログラム実行部１４４に向けて、制御プログラム１４０の実行を禁止するよう指示する。
　セキュリティユニット２００は、許可部２３２と、生成部２３４と、保持部２３６と、照合部２３８とを含む。これらの各機能は、セキュリティユニット２００のプロセッサ２０２がセキュリティプログラム２４０を実行することで実現する。
　許可部２３２は、判定部２３２２と照合要求部２３２４とを含む。判定部２３２２は、判定部２３２２が含まれるセキュリティユニット２００の照合部２３８および他のセキュリティユニット２００の照合部２３８から得られる照合結果に基づいて、制御プログラム１４０の実行を許可するか否かを判定し、判定結果を制御ユニット１００の認証部１３２に通知する。照合要求部２３２４は、照合部２３８に対して、固有情報の照合を要求する。
　生成部２３４は、固有情報であるシステムハッシュ値を生成する。生成部２３４は、収集要求部２３４２とシステムハッシュ値演算部２３４４とを含む。
　収集要求部２３４２は、照合部２３８から、または、保持部２３６からシステムハッシュ値の生成を要求されたときに機能する。照合部２３８は、照合を開始するときにシステムハッシュ値の生成を要求する。保持部２３６は、たとえば、制御装置１が正規に変更された場合など、制御装置１を構成するデバイスが変更されて、変更後の制御装置１の固有情報を管理情報３０に新たに登録するときにシステムハッシュ値の生成を要求する。収集要求部２３４２は、制御ユニット１００の識別情報収集部１３８に対して、識別情報４０の収集を要求する。
　システムハッシュ値演算部２３４４は、識別情報送信部１３６から送られた各デバイスの識別情報４０を用いてシステムハッシュ値を生成する。システムハッシュ値演算部２３４４は、典型的には、公知のハッシュ関数に利用されるアルゴリズムを利用してシステムハッシュ値を生成する。
　システムハッシュ値演算部２３４４は、予め設定されているセキュリティポリシーに従って、識別情報４０（ＳＧＴＩＮ）および識別情報４０の一部である識別情報４２（ＧＴＩＮ）の中から、システムハッシュ値の生成に用いる識別情報を選択する。システムハッシュ値演算部２３４４は、各デバイスについて選択した識別情報（識別情報４０または識別情報４２）を用いて、固有情報としてシステムハッシュ値を生成する。
　システムハッシュ値演算部２３４４は、照合部２３８からシステムハッシュ値の生成が要求されている場合には、照合部２３８に生成したシステムハッシュ値を送る。また、システムハッシュ値演算部２３４４は、保持部２３６からシステムハッシュ値の生成が要求されている場合には、保持部２３６に生成したシステムハッシュ値を送る。
　保持部２３６は、保持部２３６からの要求に応じて生成された固有情報２０（システムハッシュ値）を含む管理情報３０を保持する。保持部２３６は、登録部２３６２を含む。
　登録部２３６２は、制御装置１を構成するデバイスが変更され、変更後の制御装置１の固有情報２０を新たに管理情報３０内に登録し、当該固有情報２０の管理を開始するときに機能する。登録部２３６２は、予め設定されたアクセスＩＤおよびパスワードと入力情報とが一致するという条件が満たされたことに応じて、処理を開始する。
　登録部２３６２は、生成部２３４に向けて固有情報２０の生成を要求する。登録部２３６２は、生成部２３４が生成した固有情報２０を管理情報３０の一部として登録する。
　保持部２３６は、照合部２３８からの要求に応じて、管理情報３０に含まれる固有情報２２を照合部２３８に送信する。
　照合部２３８は、照合要求部２３２４の要求を受けて、生成部２３４に対して、固有情報２２の生成を要求する。また、照合部２３８は、照合要求部２３２４の要求を受けて、保持部２３６に対して、管理情報３０に含まれる固有情報２０の送信を要求する。照合部２３８は、システムハッシュ値演算部２３４４から送られた固有情報２２と、保持部２３６から送られた固有情報２０とを照合し、照合した結果を判定部２３２２に送る。
　＜Ｇ．シーケンス図＞
　図８は、本実施の形態における、制御プログラム１４０の実行開始要求を受けたときの処理手順を示すシーケンス図である。なお、以下では、シーケンスを単に「ＳＱ」と記載する。
　ＳＱ１０２において、制御ユニット１００は、制御プログラムの開始要求をセキュリティユニット２００に向けて通知する。
　ＳＱ１０４において、セキュリティユニット２００は、識別情報４０の収集を制御ユニット１００に向けて要求する。
　ＳＱ１０６において、制御ユニット１００は、制御装置１を構成する各デバイスの識別情報４０をセキュリティユニット２００に向けて送る。
　ＳＱ１０８において、セキュリティユニット２００は、セキュリティポリシーに従って、各デバイスについて識別情報４０（ＳＧＴＩＮ）および識別情報４０の一部である識別情報４２（ＧＴＩＮ）のうちの１つの識別情報を選択する。
　ＳＱ１１０において、セキュリティユニット２００は、各デバイスについて選択された識別情報を用いて固有情報２２（システムハッシュ値）を生成する。
　ＳＱ１１２において、セキュリティユニット２００は、生成された固有情報２２と、管理情報３０内の固有情報２０（システムハッシュ値）とを照合して照合結果を得る。
　ＳＱ１１４において、セキュリティユニット２００は、ＳＱ１１２によって得られる照合結果に基づいて、制御プログラムの実行の可否を判定する。具体的には、セキュリティユニット２００は、照合結果が「一致」を示すことに応じて、制御プログラムの実行を許可する。一方、セキュリティユニット２００は、照合結果が「不一致」を示すことに応じて、制御プログラムの実行を禁止する。
　Ｓ１１６において、セキュリティユニット２００は、制御ユニット１００に向けて判定結果を通知する。
　＜Ｈ．変形例＞
　（ｈ１．変形例１）
　セキュリティエンジン２３０の保持部２３６は、他の装置との間で、分散型台帳の形式で管理情報３０を保持してもよい。たとえば、管理情報３０は、上位機器３との間で、分散型台帳の形式で保持される。この場合、管理情報３０は、公知の分散型台帳技術を利用して制御装置１および上位機器３によって管理および共有される。あるいは、管理情報３０は、他の制御装置１との間で、分散型台帳の形式で保持されてもよい。この場合、管理情報３０は、公知の分散型台帳技術を利用して複数の制御装置１によって管理および共有される。あるいは、管理情報３０は、クラウド上において、分散型台帳の形式で保持されてもよい。管理情報３０は、分散型台帳の形式で保持されるため、改竄されにくくなる。
　図９は、分散型台帳の形式で保持される管理情報３０の一例を示す図である。図９に示されるように、管理情報３０は、ひと繋ぎの複数のブロック５０で構成される。各ブロック５０は、あるタイミングにおける制御装置１の構成から得られる固有情報２０（システムハッシュ値）を少なくとも含む。ブロック５０は、制御装置１を構成するデバイスに変更が生じた場合に生成される。各ブロック５０内の情報は更新されることがなく、新たなブロック５０は、最新のブロック５０に関連して生成される。
　具体的には、各ブロック５０は、ブロックハッシュ値５２と、システム構成情報５４と、ナンス５６とを含む。システム構成情報５４は、セキュリティユニット２００の識別情報４０と、当該セキュリティユニット２００を含む制御装置１の固有情報２０（システムハッシュ値）とを含む。
　ブロックハッシュ値５２は、前ブロックの情報を示すユニークな情報である。ブロックハッシュ値５２は、たとえば、前ブロックの情報を引数とし、公知のハッシュ関数に従って得られた戻り値である。
　図９には、ブロック５０－１から順にブロック５０－ｎまでが管理情報３０に含まれている状況で、制御装置１のデバイス構成に変更が生じ、新たなブロック５０－ｎ＋１が管理情報３０に追加されたときの管理情報３０が示される。ブロック５０－ｎ+１は、ブロックハッシュ値５２－ｎを含む。ブロックハッシュ値５２－ｎは、ブロック５０－ｎの情報を引数とし、公知のハッシュ関数に従って得られた戻り値である。
　ナンス５６は、ブロック５０を新たに生成する際に生成される数値であって、ブロック５０が生成される度に生成される数値である。ナンス５６は、ブロック５０ごとにユニークな値となる。
　図１０は、新たなブロック５０が生成される際に機能するセキュリティユニット２００の機能構成を示す図である。なお、図７を参照して説明した機能については、再度の説明を省略する。また、図１０には、ブロック５０－ｎまで格納されており、制御装置１を構成するデバイスが変更されたことに基づいて、新たにブロック５０－ｎ＋１が格納されるときのデータの流れが示されている。また、図１０に示す例では、管理情報３０は、上位機器３との間で分散型台帳の形式で保持される。
　上述のように、生成部２３４の収集要求部２３４２は、保持部２３６からの固有情報２０（システムハッシュ値）の生成要求を受けて、制御ユニット１００に対して識別情報４０の収集を要求する。システムハッシュ値演算部２３４４は、制御ユニット１００から送られた、制御装置１を構成する各デバイスの識別情報４０に基づいて、固有情報２０を生成する。
　保持部２３６の登録部２３６２は、配布部２３６Ａと、マイニング部２３６Ｂと、ブロックハッシュ値演算部２３６Ｃとを含む。システムハッシュ値演算部２３４４は、生成した固有情報２０を配布部２３６Ａに送る。
　上位機器３は,マイニング部２３６Ｄと、ブロックハッシュ値演算部２３６Ｅと、管理情報３０とを備える。
　配布部２３６Ａは、固有情報２０と、セキュリティユニット２００の識別情報４０とからシステム構成情報５４を生成し、マイニング部２３６Ｂと上位機器３とに配布する。
　登録部２３６２のマイニング部２３６Ｂは、上位機器３のマイニング部２３６Ｄと協働してブロック５０－ｎ＋１を生成する。
　登録部２３６２のブロックハッシュ値演算部２３６Ｃは、管理情報３０に最後に登録されたブロック５０からブロックハッシュ値５２を生成する。図８に示す例では、最後に登録されたブロック５０は、ブロック５０－ｎであるから、ブロック５０－ｎに基づいてブロックハッシュ値５２－ｎが生成される。同様に、上位機器３のブロックハッシュ値演算部２３６Ｅも、管理情報３０に最後に登録されたブロック５０からブロックハッシュ値５２を生成する。
　登録部２３６２のマイニング部２３６Ｂは、システム構成情報５４およびブロックハッシュ値５２－ｎに基づいて、生成するブロック５０から得られる情報が所定の条件を満たすようにナンス５６を設定してブロック５０を生成する。なお、このように、ナンス５６を設定して所定の条件を満たすブロック５０を生成する処理は、マイニングと呼ばれる。上位機器３のマイニング部２３６Ｄもマイニングを行う。マイニング部２３６Ｂ，２３６Ｄのうち、最も早くに所定の条件を満たすナンス５６を見つけたマイニング部が生成したブロック５０が、制御装置１および上位機器３の各々の管理情報３０に格納される。
　すなわち、システム構成情報５４を生成した主体と、ブロック５０を生成した主体とは、異なる場合がある。
　このように、ブロック５０は、制御装置１および上位機器３の各々の管理情報３０に格納される。すなわち、制御装置１および上位機器３の各々の管理情報３０は、改ざんされない限り、共通している。
　管理情報３０に含まれる各ブロック５０は、前のブロック５０に基づいて得られるブロックハッシュ値５２を含む。すなわち、一つのブロック５０を改ざんした場合に、連鎖的に他のブロック５０も改ざんする必要が生じることとなり、管理情報３０の改竄には、多くの労力を要する。すなわち、管理情報３０は、改竄困難な情報であるといえる。このような改竄困難な管理情報３０に含まれる固有情報２０を照合対象とすることにより、制御プログラム１４０の不正な複製利用を抑制できる。
　なお、一のブロック５０を生成する方法は、図９および図１０を参照して説明した方法に限られない。一のブロック５０を生成する方法は、任意に設計されるものであってもよい。
　たとえば、制御装置１のセキュリティレベルに応じて、ブロック５０の生成方法は選択されてもよい。たとえば、制御装置１のセキュリティレベルが高い場合、ブロック５０を生成する過程のセキュリティレベル（透明性、厳格性）を下げることができる。一方、制御装置１のセキュリティレベルが低い場合、ブロック５０を生成する過程のセキュリティレベル（透明性、厳格性）を上げる必要がある。
　具体的には、プライベート型またはコンソーシアム型のブロックチェーン技術を利用して分散型台帳の形式で管理情報３０が保持されている場合、合意形成のハードルを下げ、合意形成に要する時間、すなわち、一のブロック５０を生成して管理情報３０に格納するまでに要する時間を短くできる。一方、パブリック型のブロックチェーン技術を利用して分散型台帳の形式で管理情報３０が保持されている場合、合意形成のハードルを上げる必要がある。
　図１１は、変形例１における、制御プログラム１４０の実行開始要求を受けたときの処理手順を示すシーケンス図である。なお、図１１において、図８と共通するＳＱ番号は、共通の処理であるものとする。以下、図８と異なる処理についてのみ説明する。すなわち、ＳＱ１０２～ＳＱ１１２，ＳＱ１１６の処理は、図８と共通しており、追加されたＳＱ１２０～ＳＱ１２６について説明する。
　具体的には、ＳＱ１１２のあとのＳＱ１２０において、セキュリティユニット２００は、上位機器３に向けて、ＳＱ１１０で生成した固有情報２２（システムハッシュ値）を送信する。
　ＳＱ１２２において、上位機器３は、管理情報３０内の最新のブロック５０に含まれる固有情報２０と固有情報２２とを照合して照合結果を得る。
　ＳＱ１２４において、上位機器３は、ＳＱ１２２で得られた照合結果をセキュリティユニット２００に向けて送信する。
　ＳＱ１２６において、セキュリティユニット２００は、ＳＱ１１２の照合結果とＳＱ１２４で得られた照合結果とに基づいて、制御プログラムの実行の可否を判定する。具体的には、セキュリティユニット２００は、２つの照合結果のいずれも「一致」を示すことに応じて、制御プログラムの実行を許可する。一方、セキュリティユニット２００は、２つの照合結果の少なくとも一方が「不一致」を示すことに応じて、制御プログラムの実行を禁止する。
　たとえば、制御装置１を不正に模倣することにより別の制御装置が生成された場合に、当該別の制御装置が保持する管理情報３０が改竄され、当該別の制御装置の固有情報２０が管理情報３０内に登録されたものとする。この場合に、当該別の制御装置のセキュリティプログラムは、自装置内の管理情報３０だけでなく、上位機器３の管理情報３０との間でも照合を行う。そのため、上位機器３の管理情報３０についても改竄しなければ制御プログラムの実行が許可されないため、セキュリティレベルを上げることができる。
　（ｈ２．変形例２）
　変形例２は、変形例１と同様に、管理情報３０が他の装置（たとえば上位機器３）との間で分散型台帳の形式で保持される例であり、制御プログラム１４０の実行開始要求を受けたときの処理手順の点で異なる。
　図１２は、変形例２における、制御プログラム１４０の実行開始要求を受けたときの処理手順の別の例を示すシーケンス図である。図１２において、図１１と共通するＳＱ番号は、共通の処理であるものとする。図１２に示されるように、変形例２では、ＳＱ１１２が省略され、ＳＱ１２６の代わりにＳＱ１２８が実行される。
　ＳＱ１２８では、セキュリティユニット２００は、ＳＱ１２４で得られた照合結果に基づいて、制御プログラムの実行の可否を判定する。具体的には、セキュリティユニット２００は、照合結果が「一致」を示すことに応じて、制御プログラムの実行を許可する。一方、セキュリティユニット２００は、照合結果が「不一致」を示すことに応じて、制御プログラムの実行を禁止する。
　このように、変形例２によれば、照合結果は、制御装置１が保持している管理情報３０内の固有情報２０と照合することで得られるものではなく、他の装置（たとえば上位機器３）が保持している管理情報３０内の固有情報２０と照合することにより得られる。
　制御装置１を不正に模倣することにより別の制御装置を設置する場合に、当該別の制御装置内のデータを改竄するよりも、上位機器３内のデータを改竄することの方が困難である。そのため、変形例２によれば、上位機器３の管理情報３０についても改竄しなければ制御プログラムの実行が許可されないため、セキュリティレベルを上げることができる。
　（ｈ３．その他の変形例）
　上記実施の形態において、制御プログラムを実行するプロセッサ１０２と、セキュリティプログラムを実行するプロセッサ２０２とは、互いに異なるデバイスが備えているものとした。なお、一のデバイスが、セキュリティプログラムを実行するプロセッサ２０２と、制御プログラムを実行するプロセッサ１０２とを備えていてもよい。
　§３．付記
　以上のように、上記の実施の形態および変形例による開示は以下のような開示を含む。
　＜構成１＞
　１以上のデバイスを含む制御装置（１）であって、
　制御プログラム（１４０）を実行する制御エンジン（１４２）と、
　前記制御エンジンでの前記制御プログラムの実行可否を管理するセキュリティエンジン（２３０）とを備え、
　前記セキュリティエンジンは、
　　前記１以上のデバイスの各々から取得された識別情報を用いて固有情報を生成する生成手段（２３４）と、
　　予め生成された第１の固有情報を保持する保持手段（２３６）と、
　　照合の要求に従って前記生成手段により生成される第２の固有情報と、前記第１の固有情報とを照合する照合手段（２３８）と、
　　前記制御プログラムの実行開始要求に応答して、前記照合の要求を行い、前記照合手段から得られる照合結果に基づいて、前記制御プログラムの実行可否を判定する許可手段（２３２）とを含み、
　前記生成手段は、前記１以上のデバイスの各々について、当該デバイスの種別を識別する第１の識別情報（４２）および当該デバイスを個別に識別する第２の識別情報（４２）からセキュリティポリシーに応じて前記識別情報を選択する、制御装置。
　＜構成２＞
　前記セキュリティポリシーは、第１のポリシー、第２のポリシーおよび第３のポリシーの中から予め設定され、
　前記第１のポリシーは、前記１以上のデバイスの各々について前記第１の識別情報を選択するポリシーであり、
　前記第２のポリシーは、前記１以上のデバイスのうち第１のグループに属する第１のデバイスについて前記第１の識別情報を選択し、前記１以上のデバイスのうち、前記第１のグループよりもセキュリティ対策の優先度の高い第２のグループに属する第２のデバイスについて前記第２の識別情報を選択するポリシーであり、
　前記第３のポリシーは、前記１以上のデバイスの各々について前記第２の識別情報を選択するポリシーである、構成１に記載の制御装置。
　＜構成３＞
　前記１以上のデバイスの各々は、前記第２の識別情報を保持し、
　前記第２の識別情報は、前記第１の識別情報と、前記第１の識別情報によって識別される種別のデバイスの個体に対してユニークに割り当てられる第３の識別情報（４４）との組み合わせであり、
　前記生成手段は、前記第２の識別情報から前記第１の識別情報を取得する、請求項１または２に記載の制御装置。
　＜構成４＞
　前記１以上のデバイスは、前記制御エンジンを有する制御デバイス（１００）と、前記セキュリティエンジンを有するセキュリティデバイス（２００）とを含む、構成１から３のいずれかに記載の制御装置。
　＜構成５＞
　前記保持手段は、外部装置（３）との間で、分散型台帳の形式で前記第１の固有情報を保持する、構成１から４のいずれかに記載の制御装置。
　＜構成６＞
　前記照合手段は、前記第２の固有情報と前記外部装置が保持する前記第１の固有情報とをさらに照合する、構成５に記載の制御装置。
　＜構成７＞
　１以上のデバイスを含む制御装置（１）において実行される管理方法であって、
　予め生成された第１の固有情報を保持するステップ（Ｓ１）と、
　制御プログラム（１４０）の実行開始要求に応答して、前記１以上のデバイスの各々から取得された識別情報を用いて第２の固有情報を生成するステップ（Ｓ５，ＳＱ１０８，ＳＱ１１０）と、
　前記第１の固有情報と前記第２の固有情報とを照合するステップ（Ｓ６，ＳＱ１１２）と、
　照合結果に基づいて、前記制御プログラムの実行可否を判定するステップ（Ｓ８，ＳＱ１１４）とを備え、
　前記生成するステップは、前記１以上のデバイスの各々について、当該デバイスの種別を識別する第１の識別情報および当該デバイスを個別に識別する第２の識別情報からセキュリティポリシーに応じて前記識別情報を選択するステップ（ＳＱ１０８）を含む、管理方法。
　＜構成８＞
　１以上のデバイスを含む制御装置（１）において実行される管理方法をコンピュータに実行させるセキュリティプログラム（２３０）であって、
　前記管理方法は、
　予め生成された第１の固有情報を保持するステップ（Ｓ１）と、
　制御プログラム（１４０）の実行開始要求に応答して、前記１以上のデバイスの各々から取得された識別情報を用いて第２の固有情報を生成するステップ（Ｓ５，ＳＱ１０８，ＳＱ１１０）と、
　前記第１の固有情報と前記第２の固有情報とを照合するステップ（Ｓ６，ＳＱ１１２）と、
　照合結果に基づいて、前記制御プログラムの実行可否を判定するステップ（Ｓ８，ＳＱ１１４）とを備え、
　前記生成するステップは、前記１以上のデバイスの各々について、当該デバイスの種別を識別する第１の識別情報および当該デバイスを個別に識別する第２の識別情報からセキュリティポリシーに応じて前記識別情報を選択するステップ（ＳＱ１０８）を含む、セキュリティプログラム。
　今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記した説明ではなく、請求の範囲によって示され、請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。また、実施の形態および各変形例において説明された発明は、可能な限り、単独でも、組み合わせても、実施することが意図される。
　１　制御装置、２　情報系ネットワーク、３　上位機器、４　フィールドネットワーク、１０　制御システム、２０　固有情報（第１の固有情報）、２２　固有情報（第２の固有情報、３０　管理情報、４０　識別情報（第２の識別情報）、４２　識別情報（第１の識別情報）、４４　シリアル番号（第３の識別情報）、５０　ブロック、５２　ブロックハッシュ値、５４　システム構成情報、５６　ナンス、１００　制御ユニット、１０２，２０２　プロセッサ、１０４，２０４　チップセット、１０６，２０６　主記憶装置、１０８，２０８　二次記憶装置、１１０，２１０　通信コントローラ、１１２，２１２　ＵＳＢコントローラ、１１４，２１４　メモリカードインターフェイス、１１５，２１５　メモリカード、１１６　フィールドネットワークコントローラ、１１８　内部バスコントローラ、１２０，２２０　情報系ネットワークコントローラ、１３０　認証プログラム、１３２　認証部、１３４　判定要求部、１３６　識別情報送信部、１３８　識別情報収集部、１４０　制御プログラム、１４２　制御エンジン、１４４　制御プログラム実行部、２００　セキュリティユニット、２３０　セキュリティエンジン、２３２　許可部、２３４　生成部、２３６　保持部、２３６Ａ　配布部、２３６Ｂ，２３６Ｄ　マイニング部、２３６Ｃ，２３６Ｅ　ブロックハッシュ値演算部、２３８　照合部、２４０　セキュリティプログラム、３００　Ｉ／Ｏユニット、４００　通信カプラ、１０８２，２０８２　システムプログラム、２３２２　判定部、２３２４　照合要求部、２３４２　収集要求部、２３４４　システムハッシュ値演算部、２３６２　登録部。

Claims (8)

  1. 　１以上のデバイスを含む制御装置であって、
    　制御プログラムを実行する制御エンジンと、
    　前記制御エンジンでの前記制御プログラムの実行可否を管理するセキュリティエンジンとを備え、
    　前記セキュリティエンジンは、
    　　前記１以上のデバイスの各々から取得された識別情報を用いて固有情報を生成する生成手段と、
    　　予め生成された第１の固有情報を保持する保持手段と、
    　　照合の要求に従って前記生成手段により生成される第２の固有情報と、前記第１の固有情報とを照合する照合手段と、
    　　前記制御プログラムの実行開始要求に応答して、前記照合の要求を行い、前記照合手段から得られる照合結果に基づいて、前記制御プログラムの実行可否を判定する許可手段とを含み、
    　前記生成手段は、前記１以上のデバイスの各々について、当該デバイスの種別を識別する第１の識別情報および当該デバイスを個別に識別する第２の識別情報からセキュリティポリシーに応じて前記識別情報を選択する、制御装置。
  2. 　前記セキュリティポリシーは、第１のポリシー、第２のポリシーおよび第３のポリシーの中から予め設定され、
    　前記第１のポリシーは、前記１以上のデバイスの各々について前記第１の識別情報を選択するポリシーであり、
    　前記第２のポリシーは、前記１以上のデバイスのうち第１のグループに属する第１のデバイスについて前記第１の識別情報を選択し、前記１以上のデバイスのうち、前記第１のグループよりもセキュリティ対策の優先度の高い第２のグループに属する第２のデバイスについて前記第２の識別情報を選択するポリシーであり、
    　前記第３のポリシーは、前記１以上のデバイスの各々について前記第２の識別情報を選択するポリシーである、請求項１に記載の制御装置。
  3. 　前記１以上のデバイスの各々は、前記第２の識別情報を保持し、
    　前記第２の識別情報は、前記第１の識別情報と、前記第１の識別情報によって識別される種別のデバイスの個体に対してユニークに割り当てられる第３の識別情報との組み合わせであり、
    　前記生成手段は、前記第２の識別情報から前記第１の識別情報を取得する、請求項１または２に記載の制御装置。
  4. 　前記１以上のデバイスは、前記制御エンジンを有する制御デバイスと、前記セキュリティエンジンを有するセキュリティデバイスとを含む、請求項１から３のいずれか１項に記載の制御装置。
  5. 　前記保持手段は、外部装置との間で、分散型台帳の形式で前記第１の固有情報を保持する、請求項１から４のいずれか１項に記載の制御装置。
  6. 　前記照合手段は、前記第２の固有情報と前記外部装置が保持する前記第１の固有情報とをさらに照合する、請求項５に記載の制御装置。
  7. 　１以上のデバイスを含む制御装置において実行される管理方法であって、
    　予め生成された第１の固有情報を保持するステップと、
    　制御プログラムの実行開始要求に応答して、前記１以上のデバイスの各々から取得された識別情報を用いて第２の固有情報を生成するステップと、
    　前記第１の固有情報と前記第２の固有情報とを照合するステップと、
    　照合結果に基づいて、前記制御プログラムの実行可否を判定するステップとを備え、
    　前記生成するステップは、前記１以上のデバイスの各々について、当該デバイスの種別を識別する第１の識別情報および当該デバイスを個別に識別する第２の識別情報からセキュリティポリシーに応じて前記識別情報を選択するステップを含む、管理方法。
  8. 　１以上のデバイスを含む制御装置において実行される管理方法をコンピュータに実行させるセキュリティプログラムであって、
    　前記管理方法は、
    　予め生成された第１の固有情報を保持するステップと、
    　制御プログラムの実行開始要求に応答して、前記１以上のデバイスの各々から取得された識別情報を用いて第２の固有情報を生成するステップと、
    　前記第１の固有情報と前記第２の固有情報とを照合するステップと、
    　照合結果に基づいて、前記制御プログラムの実行可否を判定するステップとを備え、
    　前記生成するステップは、前記１以上のデバイスの各々について、当該デバイスの種別を識別する第１の識別情報および当該デバイスを個別に識別する第２の識別情報からセキュリティポリシーに応じて前記識別情報を選択するステップを含む、セキュリティプログラム。
PCT/JP2021/009558 2021-01-12 2021-03-10 制御装置、管理方法およびセキュリティプログラム WO2022153566A1 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2021-002808 2021-01-12
JP2021002808A JP2022108027A (ja) 2021-01-12 2021-01-12 制御装置、管理方法およびセキュリティプログラム

Publications (1)

Publication Number Publication Date
WO2022153566A1 true WO2022153566A1 (ja) 2022-07-21

Family

ID=82447086

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2021/009558 WO2022153566A1 (ja) 2021-01-12 2021-03-10 制御装置、管理方法およびセキュリティプログラム

Country Status (2)

Country Link
JP (1) JP2022108027A (ja)
WO (1) WO2022153566A1 (ja)

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2015181925A1 (ja) * 2014-05-29 2015-12-03 三菱電機株式会社 機器制御システム、機器制御装置、機器制御方法及びプログラム
WO2020261654A1 (ja) * 2019-06-26 2020-12-30 オムロン株式会社 制御システム、制御装置、および管理方法

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2015181925A1 (ja) * 2014-05-29 2015-12-03 三菱電機株式会社 機器制御システム、機器制御装置、機器制御方法及びプログラム
WO2020261654A1 (ja) * 2019-06-26 2020-12-30 オムロン株式会社 制御システム、制御装置、および管理方法

Also Published As

Publication number Publication date
JP2022108027A (ja) 2022-07-25

Similar Documents

Publication Publication Date Title
ES2866498T3 (es) Procedimiento y sistema de control para el control y/o la supervisión de dispositivos
CN102208001B (zh) 硬件支持的虚拟化密码服务
JP7162677B2 (ja) 特に適合性追跡用の、データを供給するためのコンピュータ実装方法
TW475103B (en) Public cryptographic control unit and system therefor
US11615007B2 (en) Method and control system for controlling and/or monitoring devices
CN102156840B (zh) 控制装置以及管理装置
CN111492355B (zh) 用于控制和/或监控装置的方法和控制系统
US11412047B2 (en) Method and control system for controlling and/or monitoring devices
CN105518687A (zh) 安全数据存储装置
EP1413942A2 (en) Controlled access to software applications and/or data
JP5360192B2 (ja) 個人認証システムおよび個人認証方法
JP4055393B2 (ja) データ処理装置およびその方法とプログラム
US10805294B1 (en) Systems and methods for validating device permissions of computing devices to execute code on a decentralized database
US20220043434A1 (en) Method for Managing a Production Process
US11231958B2 (en) Method and control system for controlling and/or monitoring devices
US20210200839A1 (en) Method for Managing Soft IP Licenses on a Partially Reconfigurable Hardware System
WO2022153566A1 (ja) 制御装置、管理方法およびセキュリティプログラム
WO2020195348A1 (ja) 制御システム、セキュリティ装置および方法
WO2020261654A1 (ja) 制御システム、制御装置、および管理方法
CN111602372B (zh) 用于控制和/或监控设备的方法和控制系统
US20220114276A1 (en) Controlling a data network with respect to a use of a distributed database
JPWO2020080522A1 (ja) 制御方法、制御システム、第１サーバ、及び、データ構造
EP3699802B1 (en) Security data processing device
JP5675925B2 (ja) 設計モデルのオブジェクトデータの一時的分離方法
US20190392133A1 (en) System and method for producing secure data management software

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 21919459

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 21919459

Country of ref document: EP

Kind code of ref document: A1