WO2022259384A1 - 制御システム、プログラマブルコントローラ、制御プログラム送信方法及びコントローラプログラム - Google Patents

制御システム、プログラマブルコントローラ、制御プログラム送信方法及びコントローラプログラム Download PDF

Info

Publication number
WO2022259384A1
WO2022259384A1 PCT/JP2021/021794 JP2021021794W WO2022259384A1 WO 2022259384 A1 WO2022259384 A1 WO 2022259384A1 JP 2021021794 W JP2021021794 W JP 2021021794W WO 2022259384 A1 WO2022259384 A1 WO 2022259384A1
Authority
WO
WIPO (PCT)
Prior art keywords
program
code
control
control program
transmission device
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2021/021794
Other languages
English (en)
French (fr)
Inventor
英嗣 市川
亮一 佐々木
新 谷出
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Mitsubishi Electric Corp
Original Assignee
Mitsubishi Electric Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Mitsubishi Electric Corp filed Critical Mitsubishi Electric Corp
Priority to JP2023526694A priority Critical patent/JP7511758B2/ja
Priority to CN202180088741.8A priority patent/CN117377915A/zh
Priority to PCT/JP2021/021794 priority patent/WO2022259384A1/ja
Priority to DE112021007785.6T priority patent/DE112021007785T5/de
Priority to US18/033,578 priority patent/US12596344B2/en
Publication of WO2022259384A1 publication Critical patent/WO2022259384A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Program-control systems
    • G05B19/02—Program-control systems electric
    • G05B19/04—Program control other than numerical control, i.e. in sequence controllers or logic controllers
    • G05B19/05—Programmable logic controllers, e.g. simulating logic interconnections of signals according to ladder diagrams or function charts
    • G05B19/056—Programming the PLC
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Program-control systems
    • G05B19/02—Program-control systems electric
    • G05B19/04—Program control other than numerical control, i.e. in sequence controllers or logic controllers
    • G05B19/05—Programmable logic controllers, e.g. simulating logic interconnections of signals according to ladder diagrams or function charts
    • G05B19/058—Safety, monitoring

Definitions

  • the present disclosure relates to control systems, programmable controllers, control program transmission methods, and controller programs.
  • PLCs Programmable Logic Controllers
  • PC Personal Computer
  • Patent Document 1 describes a programmable display that is connected to a PLC and functions as an operation terminal in a control system. When this programmable display is activated, it acquires a program that controls its operation from the server and writes it to its built-in data memory.
  • Patent Document 1 does not take into consideration the possibility of damage and falsification of the program sent from the server. For this reason, when the technique of Patent Document 1 is applied to the PLC, there is a risk that a program that is not intended by the user will be loaded into the PLC, making it impossible to implement an appropriate process. Therefore, there is room for improving the security of the program that the PLC obtains from the outside.
  • This disclosure has been made in view of the above circumstances, and aims to improve the safety of programs that the PLC obtains from the outside.
  • a control system of the present disclosure includes a programmable controller that controls equipment, and a program transmission device that transmits a control program for causing the programmable controller to control the equipment, wherein the program
  • the transmission device includes program acquisition means for acquiring the control program, and a first code for verifying whether or not there is a change from the control program, from the control program and predetermined data in a predetermined procedure.
  • the programmable controller includes code generation means and transmission means for transmitting the control program and the first code, and the programmable controller includes reception means for receiving the reception program and the first code as the control program transmitted by the transmission means; second code generating means for generating the second code from the program and data previously shared with the program transmitting device according to the above procedure; and executing means for executing the received program when the first code is equal to the second code. have.
  • FIG. 1 is a diagram showing the configuration of a control system according to Embodiment 1;
  • FIG. FIG. 1 shows a hardware configuration of a program transmission device, a server, and a PLC according to Embodiment 1;
  • FIG. 4 is a diagram for explaining transmission of a control program according to Embodiment 1;
  • FIG. 1 shows functional configurations of a program transmission device, a server, and a PLC according to Embodiment 1;
  • Flowchart showing file generation processing according to the first embodiment Flowchart showing upload processing according to the first embodiment
  • FIG. 4 is a diagram for explaining transmission of a control program according to a comparative example;
  • Diagram for explaining secret data according to Embodiment 2 Diagram for explaining secret data according to the third embodiment A diagram showing the configuration of a file according to a modification
  • a control system 1000 according to an embodiment of the present disclosure will be described in detail below with reference to the drawings.
  • a code unique to the program to be executed by the PLC is created before the program is stored in the server device, and the code created in this way is based on the program provided to the PLC. It is verified whether it matches the generated code.
  • FIG. 1 shows a configuration example of a control system 1000 according to this embodiment.
  • the control system 1000 is built in a facility typified by a factory.
  • the control system 1000 is a system that realizes various processes represented by, for example, a product manufacturing line or a workpiece processing line by controlling the equipment 50 .
  • the control system 1000 includes a program transmission device 10 operated by a user U1, a server 30 connected to the program transmission device 10 via a network 20, and a server 30 connected to the server 30 via the network 20. It has a connected PLC 40 and a device 50 to be controlled by the PLC.
  • the network 20 may be an industrial field network formed within a facility, or an information network represented by a LAN (Local Area Network).
  • the program transmission device 10, the server 30, and the PLC 40 communicate with other devices by transmitting and receiving data via the network 20, respectively.
  • the program transmission device 10 is, for example, a PC represented by an IPC (Industrial Personal Computer), a smart phone, a tablet terminal, or other terminals.
  • the user U1 creates a control program for causing the PLC 40 to control the device 50 by operating the program transmission device 10, and uploads the control program to the server 30 for storage.
  • the control program is, for example, an executable ladder program in the PLC 40 .
  • the program transmitting device 10 may receive an already completed control program from another device and upload the control program to the server 30 in accordance with the operation of the user U1.
  • the control program may be uploaded to server 30 via another device.
  • the program transmitting apparatus 10 may be connected to the network 20 all the time, or may be connected to the network 20 temporarily.
  • the server 30 is a computer that functions as a storage device on the network 20.
  • the server 30 holds the control program uploaded from the program transmission device 10 and provides the control program to the PLC 40 .
  • Server 30 is normally kept connected to network 20 .
  • the control program held in the server 30 may be changed inappropriately due to factors such as erroneous operation by the user, disunity of intentions among a plurality of users, and falsification by a third party.
  • the PLC 40 is a programmable controller that controls the device 50.
  • PLC40 controls the apparatus 50 by running a control program.
  • the PLC 40 may cooperate with another PLC 40 (not shown) to control the device 50 by executing a control program.
  • the PLC 40 may always be connected to the network 20, or may be temporarily connected to the network 20 only when acquiring the control program.
  • the equipment 50 is FA equipment represented by sensors, actuators, motors, valves, and robots.
  • the device 50 is connected to the PLC 40 via signal lines to transmit and receive voltage signals or current signals to and from the PLC 40 .
  • the device 50 which is a robot, notifies the PLC 40 of sensing results from a built-in sensor, and moves the robot arm according to control instructions output from the PLC 40 based on the sensing results.
  • one device 50 is representatively shown in FIG. 1 , two or more devices 50 may be connected to the PLC 40 .
  • FIG. 2 shows a hardware configuration example of the program transmission device 10.
  • the program transmission device 10, the server 30, and the PLC 40 each include a processor 61, a main storage section 62, an auxiliary storage section 63, an input section 64, an output section 65, and a communication section 66.
  • the main storage section 62 , auxiliary storage section 63 , input section 64 , output section 65 and communication section 66 are all connected to the processor 61 via an internal bus 67 .
  • the processor 61 includes an MPU (Micro Processing Unit) or CPU (Central Processing Unit) which is an integrated circuit. By executing the program P1 stored in the auxiliary storage unit 63, the processor 61 realizes various functions and executes the processes described later.
  • the program P1 of the PLC 40 corresponds to an example of a controller program for causing the PLC 40 to function as means described below.
  • the main storage unit 62 includes a RAM (Random Access Memory).
  • a program P1 is loaded from the auxiliary storage unit 63 into the main storage unit 62 .
  • the main storage unit 62 is used as a work area for the processor 61 .
  • the auxiliary storage unit 63 includes non-volatile memory represented by EEPROM (Electrically Erasable Programmable Read-Only Memory), HDD (Hard Disk Drive), and removable memory cards.
  • EEPROM Electrically Erasable Programmable Read-Only Memory
  • HDD Hard Disk Drive
  • removable memory cards stores various data used for processing of processor 61 in addition to program P1.
  • Auxiliary storage unit 63 supplies data used by processor 61 to processor 61 and stores the data supplied from processor 61 in accordance with instructions from processor 61 .
  • one program P1 is shown representatively in FIG. may
  • the input unit 64 includes input devices typified by input keys, keyboards, pointing devices, switches and buttons.
  • the input unit 64 acquires information input by the user and notifies the processor 61 of the acquired information.
  • the output unit 65 includes output devices typified by LEDs (Light Emitting Diodes), LCDs (Liquid Crystal Displays), and speakers.
  • the output unit 65 presents various information to the user according to instructions from the processor 61 .
  • the communication unit 66 includes a network interface circuit for communicating with external devices. Communication unit 66 receives a signal from the outside and outputs data indicated by this signal to processor 61 . Also, the communication unit 66 transmits a signal indicating the data output from the processor 61 to an external device.
  • the program transmission device 10 has a first code generator 113 that generates a first code 71 unique to the combination of the control program 70 and the secret data 80.
  • the secret data 80 is predetermined data, for example, a random bit string of 256 bits or 1024 bits.
  • the first code 71 is output by, for example, inputting one piece of data obtained by concatenating the control program 70 and the secret data 80 in this order into a hash function represented by SHA-2 (Secure Hash Algorithm 2) and SHA-3.
  • a hash value obtained as a value may be used, or a value obtained by another method may be used.
  • the program transmission device 10 transmits a file 73 containing the control program 70 and the first code 71 to the server 30.
  • Server 30 holds this file 73 and provides file 73 to PLC 40 in response to a request from PLC 40 .
  • the PLC 40 obtains a unique has a second code generation unit 433 for generating the second code 72 of .
  • the reception program 70a included in the file 73 is the same program as the control program 70.
  • FIG. In this case the first code 71 is equal to the second code 72 .
  • the reception program 70a included in the file 73 provided to the PLC 40 will be different from the control program 70, contrary to the user's intention. be a program.
  • the first code 71 is different from the second code 72 .
  • the method for generating the second code 72 by the second code generator 433 is the same as the method for generating the first code 71 by the first code generator 113 of the program transmitting apparatus 10 .
  • the collation unit 434 of the PLC 40 collates the first code 71 and the second code 72 included in the file 73 . If both codes match, the receiving program 70a is equal to the control program 70, so the execution unit 435 of the PLC 40 executes the receiving program 70a, which is the control program 70.
  • FIG. 1 the collation unit 434 of the PLC 40 collates the first code 71 and the second code 72 included in the file 73 . If both codes match, the receiving program 70a is equal to the control program 70, so the execution unit 435 of the PLC 40 executes the receiving program 70a, which is the control program 70.
  • the program transmission device 10 has a processing unit 11 that executes various processes, a storage unit 12 that stores various data, and a transmission unit 13 that transmits information to the server 30. .
  • the processing unit 11 is mainly realized by the processor 61 of the program transmission device 10.
  • the processing unit 11 includes a program acquisition unit 111 that acquires the control program 70, a secret data generation unit 112 that generates the secret data 80, a first code generation unit 113 that generates the first code 71, the control program 70 and the first code generation unit 113. and a file generation unit 114 for generating a file 73 containing the 1 code 71 .
  • the program acquisition unit 111 acquires the control program 70 input by the user U1 by operating the input unit 64.
  • the program acquisition unit 111 may acquire the control program 70 by reading the control program 70 from the address of the auxiliary storage unit 63 or the address of the external device specified by the user U1.
  • the program acquisition unit 111 stores the acquired control program 70 in the storage unit 12 .
  • the program acquisition unit 111 corresponds to an example of program acquisition means for acquiring the control program 70 in the program transmission device 10 .
  • the secret data generation unit 112 generates the secret data 80 using, for example, the time when the program acquisition unit 111 acquires the control program 70 or the time when the user instructs the generation of the secret data 80 as a seed value, and stores the secret data 80 in the storage unit. 12.
  • the first code generation unit 113 reads the control program 70 and the secret data 80 from the storage unit 12, generates the first code 71 based on the control program 70 and the secret data 80, and stores it in the storage unit 12. Specifically, the first code generator 113 generates a hash value of the secret data 80 and the control program 70 as the first code 71 . The first code generation unit 113 generates a first code 71 for verifying whether or not there is a change from the control program 70 in the program transmission device 10 from the control program 70 and predetermined data in accordance with a predetermined procedure. It corresponds to an example of the first code generation means.
  • the file generation unit 114 reads the control program 70 and the first code 71 from the storage unit 12, compresses and encrypts the control program 70 and the first code 71, and generates the file 73. Any compression and encryption method can be used, but a method with a low computational load during decompression and decryption is desirable so that decompression and decryption are possible even in the PLC 40 with insufficient computational resources. Note that the file generation unit 114 may generate the file 73 without compressing the control program 70 and the first code 71, or may generate the file 73 without encrypting them.
  • the file generator 114 corresponds to an example of encryption means for encrypting the control program 70 and the first code 71 in the program transmission device 10 .
  • the storage unit 12 is mainly realized by at least one of the main storage unit 62 and the auxiliary storage unit 63 of the program transmission device 10.
  • Server identification information 121 is stored in the storage unit 12 in advance by the user U1.
  • the server identification information 121 is, for example, an IP (Internet Protocol) address or area code representing the location of the server 30 on the network 20 .
  • the transmission unit 13 is realized mainly by the cooperation of the processor 61 and the communication unit 66 of the program transmission device 10.
  • the transmission unit 13 reads the server identification information 121 and the file 73 from the storage unit 12 and transmits the file 73 to the server 30 indicated by the server identification information 121 according to the operation of the user U1.
  • the transmission unit 13 corresponds to an example of transmission means for transmitting the control program 70 and the first code 71 in the program transmission device 10, and transmits the control program 70 and the first code 71 encrypted by the encryption means. It corresponds to an example of means.
  • the server 30 has a receiving section 31 that receives the file 73 from the program transmitting device 10 , a storage section 32 that stores the file 73 , and a transmitting section 33 that transmits the file 73 to the PLC 40 .
  • the receiving unit 31 and the transmitting unit 33 are mainly implemented by the communication unit 66 of the server 30 .
  • the storage unit 32 is mainly realized by at least one of the main storage unit 62 and the auxiliary storage unit 63 of the server 30 .
  • the receiving section 31 receives the file 73 transmitted by the transmitting section 13 of the program transmitting device 10 and stores the file 73 in the storage section 32 .
  • the transmission unit 33 responds to the request from the PLC 40 by reading the control program 70 from the storage unit 32 and transmitting it to the PLC 40 .
  • the server 30 receives the control program 70 and the first code 71 transmitted by the transmission means of the program transmission device 10, and transmits the reception program 70a and the first code 71 as the received control program 70 to the programmable controller. It corresponds to an example of a server that transmits to
  • the PLC 40 includes a receiving unit 41 that receives files 73 from the server 30, a storage unit 42 that stores various data, a processing unit 43 that executes various processes, and a program memory that stores a control program 70 to be executed. 44 and .
  • the receiving unit 41 is mainly realized by the communication unit 66 of the PLC 40.
  • the receiving unit 41 requests the server 30 to transmit the file 73 according to the instruction of the requesting unit 431 of the processing unit 43, receives the file 73 transmitted from the server 30 as a response to the request, and stores the file 73 in the storage unit 42.
  • the receiving unit 41 corresponds to an example of receiving means for receiving the receiving program 70a as a control program and the first code 71 transmitted by the transmitting means of the program transmitting device 10 in the PLC 40, and is an encrypted receiving program. It corresponds to an example of receiving means for receiving 70 a and the first code 71 .
  • the storage unit 42 is mainly realized by at least one of the main storage unit 62 and the auxiliary storage unit 63 of the PLC 40.
  • Program acquisition source information 421 indicating the acquisition source of the control program 70 and secret data 80 identical to the secret data 80 stored in the program transmission device 10 are stored in advance in the storage unit 42 .
  • the program acquisition source information 421 includes server identification information 422 that indicates the location of the server 30 on the network 20 and file identification information 423 that identifies the file 73 stored in the server 30 .
  • the server identification information 422 is, for example, the IP address or station number of the server 30 .
  • the file identification information 423 is, for example, the file name or the address of the file 73 stored in the storage unit 32 of the server 30 .
  • the program acquisition destination information 421 is read from the storage unit 42 by the requesting unit 431 of the processing unit 43 and used by the receiving unit 41 to designate the file 73 to be transmitted from the server 30 to the server 30 .
  • the secret data 80 is shared between the program transmission device 10 and the PLC 40 by any method and is not provided to the server 30.
  • the user U1 operates the program transmission device 10 to store the secret data 80 in a recording medium typified by a memory card, and inserts the recording medium into the card slot of the PLC 40 to transfer the secret data 80 to the PLC 40. You may store in the memory
  • the user U1 may connect the program transmitter 10 to the PLC 40 via a communication line typified by USB (Universal Serial Bus) without going through the network 20, and transfer the secret data 80 to the PLC 40.
  • the secret data 80 may be transmitted from the program transmitting device 10 to the PLC 40 via the network 20 without the server 30 or via the server 30 .
  • secret data 80 is transmitted via network 20, it is desirable to establish secure communication before transmitting secret data 80.
  • the transmitter 13 of the program transmitter 10 transmits the secret data 80 and the receiver 41 receives the secret data 80 .
  • the processing unit 43 is mainly realized by the processor 61 of the PLC 40.
  • the processing unit 43 includes a requesting unit 431 that requests the file 73 from the server 30, an extracting unit 432 that extracts the receiving program 70a and the first code 71 from the received file 73, and a receiving program extracted by the extracting unit 432.
  • a second code generation unit 433 that generates a second code 72 based on 70a, a collation unit 434 that collates the first code 71 and the second code 72, and an execution that executes the control program 70 when both codes match. and a portion 435 .
  • the request unit 431 reads the program acquisition source information 421 from the storage unit 42 when the PLC 40 is started, and receives the provision of the file 73 indicated by the file identification information 423 to the server 30 indicated by the server identification information 422. Let the part 41 make a request.
  • the extraction unit 432 reads out the file 73 received by the reception unit 41 and stored in the storage unit 42, and extracts the reception program 70a and the first code 71 from the file 73 by expanding and decoding.
  • the extraction unit 432 corresponds to an example of decryption means for decrypting the encrypted reception program 70 a and the first code 71 in the PLC 40 .
  • the second code generator 433 uses the same method as the first code generator 113 of the program transmitter 10 to generate a second code from the received program 70a extracted by the extractor 432 and the secret data 80 read from the storage 42 . Generate code 72. Specifically, the second code generator 433 generates a hash value of the secret data 80 and the reception program 70a as the second code 72 . More specifically, the second code generation unit 433 generates a hash value output by inputting the receiving program 70a and the secret data 80 to application software that applies a hash function similar to that of the first code generation unit 113. 2 code 72 is obtained.
  • the second code generation unit 433 corresponds to an example of second code generation means in the PLC 40 that generates the second code 72 according to a predetermined procedure from the received program and data shared in advance with the program transmission device.
  • the collation unit 434 collates the first code 71 extracted by the extraction unit 432 and the second code 72 generated by the second code generation unit 433 . If the two codes match, the collation unit 434 stores the control program 70, which is the reception program 70a extracted by the extraction unit 432, in the program memory 44.
  • the execution unit 435 controls the device 50 by reading the control program 70 from the program memory 44 and executing it.
  • the timing at which the execution unit 435 executes the control program 70 may be when the PLC 40 is activated, or when an execution button provided on the PLC 40 is pressed, or when the RUN switch is turned on. good.
  • the execution unit 435 corresponds to an example of execution means for executing the received program in the PLC 40 when the first code 71 is equal to the second code 72 .
  • the program memory 44 is mainly realized by at least one of the main storage section 62 and the auxiliary storage section 63 of the PLC 40.
  • FIGS. 5 to 7 are examples, and the execution order of each step may be changed arbitrarily.
  • FIG. 5 shows the flow of file generation processing in which the program transmission device 10 generates the file 73 .
  • the program transmission device 10 in the file generation process, the program transmission device 10 generates secret data 80 and shares the generated secret data 80 with the PLC 40 (step S11).
  • secret data generator 112 generates secret data 80 as a key in a message authentication code, and shares secret data 80 with PLC 40 by any of the methods described above.
  • the program transmission device 10 acquires the control program 70 (step S12).
  • the program acquisition unit 111 may acquire the control program 70 by converting the source code input by the user U1 or the source code read from the address specified by the user U1 into an executable format.
  • the control program 70 may be obtained by reading the control program 70 already converted into the executable form from an address specified by the user.
  • the program transmission device 10 generates the first code 71 using the secret data 80 generated in step S11 and the control program 70 obtained in step S12 (step S13).
  • the first code generator 113 uses the secret data 80 as a key and the control program 70 as a message to calculate a first code 71 corresponding to a message authentication code.
  • the file generation unit 114 of the program transmission device 10 generated a file 73 containing the control program 70 acquired in step S12 and the first code 71 generated in step S13, and compressed and encrypted the generated file 73. It stores in the memory
  • FIG. 6 shows the flow of upload processing for uploading the generated file 73 to the server 30.
  • the program transmitting device 10 identifies the server 30 to store the file 73 based on the server identification information 121 (step S21). Specifically, the transmission unit 13 identifies the network address of the server 30 .
  • the transmission unit 13 determines whether or not the server 30 identified in step S21 exists (step S22). Specifically, the transmission unit 13 determines whether communication can be established with the device having the network address specified in step S21. If communication cannot be established with the server 30 and a response cannot be obtained from the server 30, the determination in step S22 is negative.
  • step S22 If it is determined that the server 30 does not exist (step S22; No), the program transmission device 10 abnormally terminates the upload process (step S23). On the other hand, if it is determined that the server 30 exists (step S22; Yes), the program transmission device 10 reads the file 73 from the storage unit 12 and transmits it to the server 30 (step S24). The server 30 receives this file 73 and stores it in the storage unit 32 (step S25), completing the upload process.
  • FIG. 7 shows the flow of download processing for downloading the file 73 saved in the server 30 to the PLC 40.
  • the PLC 40 is activated when the power button of the PLC 40 is pressed by the administrator of the PLC 40 (step S31).
  • the PLC 40 identifies the server 30 and the file 73 based on the acquisition source information (step S32). Specifically, the request unit 431 of the PLC 40 reads the server identification information 422 and the file identification information 423 included in the program acquisition source information 421 from the storage unit 42 .
  • the PLC 40 requests the server 30 identified in step S32 to transmit the file 73 identified in step S32 (step S33). For example, when the IP address "192.168.20.100" is specified as the server identification information 422 and the file name "CTRL_PROGRAM40" is specified as the file identification information 423 in step S32, the receiving unit 41 A packet for requesting transmission of the file 73 with the file name is transmitted to the IP address according to the instruction of the request unit 431 .
  • the PLC 40 determines whether there is a response from the server 30, which is the destination of the request in step S33 (step S34). Specifically, the receiving unit 41 determines whether or not the response to the packet transmitted in step S33 is within a certain period of time after the packet was transmitted in step S33.
  • step S34 When it is determined that there is no response from the server 30 (step S34; No), the PLC 40 determines that an abnormality has occurred (step S35) and terminates the download process.
  • a case where there is no response from the server 30 may be a case where the server 30 specified in step S32 does not exist on the network 20, or a case where the file 73 specified in step S32 is not saved in the server 30.
  • step S ⁇ b>35 the PLC 40 may notify the administrator of the occurrence of the abnormality from the output unit 65 .
  • step S34 if it is determined that there is a response from the server (step S34; Yes), the server 30 transmits the file 73 to the PLC 40 in response to the request of step S33 (step S36). Specifically, the transmission unit 33 of the server 30 reads the file 73 having the file name specified by the PLC 40 in the request of step S33 from the storage unit 32 and transmits it to the PLC 40 .
  • the receiving unit 41 of the PLC 40 receives the file 73 and stores it in the storage unit 42 (step S37), and the extracting unit 432 expands and decodes the file 73 to obtain the receiving program 70a and the first code 71. Extract (step S38).
  • the second code generation unit 433 of the PLC 40 generates the second code 72 from the secret data 80 stored in the storage unit 42 of the PLC 40 and the reception program 70a extracted in step S38 (step S39). Specifically, the second code generator 433 uses the secret data 80 as a key and the reception program 70a as a message to calculate the second code 72 corresponding to the message authentication code.
  • the collation unit 434 of the PLC 40 collates the first code 71 extracted in step S38 and the second code 72 generated in step S39 to determine whether the two codes match. (Step S40). Specifically, the matching unit 434 compares the first code 71 and the second code 72 and determines whether or not these codes are the same bit string.
  • step S40 If it is determined that the two codes do not match (step S40; No), the PLC 40 discards the received reception program 70a without executing it (step S41), and proceeds to step S35. On the other hand, if it is determined that the two codes match (step S40; Yes), the collating unit 434 determines that the received program 70a is not missing or tampered with by the control program 70, and stores the control program 70 in the program memory 44. is written (step S42).
  • step S43 the execution unit 435 of the PLC 40 determines whether or not there is an instruction to execute the control program 70 (step S43). If it is determined that there is no execution instruction (step S43; No), the execution unit 435 repeats the determination of step S43 and waits until an execution instruction is received. On the other hand, if it is determined that there is an execution instruction (step S43; Yes), the execution unit 435 reads the control program 70 from the program memory 44 and executes it (step S44). Thereby, the PLC 40 will control the device 50 according to the control program 70 provided from the program transmitting device 10 .
  • the first code generator 113 of the program transmission device 10 generates the first code 71 from the control program 70 and the secret data 80.
  • the receiving unit 41 of the PLC 40 receives the receiving program 70a when the PLC 40 is activated
  • the second code generating unit 433 generates the second code 72 from the receiving program 70a and the secret data 80
  • the executing unit 435 generates the second If the 1 code 71 is equal to the 2nd code 72, the receiving program 70a is executed. Therefore, the reception program 70 a received from the server 30 is executed when it is equal to the control program 70 transmitted from the program transmission device 10 . Therefore, it is possible to improve the safety of the program externally acquired by the PLC 40 as a programmable controller.
  • FIG. 8 schematically shows transmission of the control program 70 according to the comparative example.
  • the control program 70 is uploaded from the program transmitting device 10 to the server 30 and provided to the PLC 40 as it is, without verifying the modification of the program by code comparison.
  • a tampered program 70b that has been tampered with from the control program 70 may be uploaded from the malicious user's terminal 10b and replaced with the control program 70. be done.
  • the PLC 40 acquires the tampered program 70b as the control program 70 from the server 30 and executes the tampered program 70b when it is activated.
  • a code uniquely generated by combining the control program 70 and the secret data 80 is paired with the control program 70 and stored in the server 30 for management. Therefore, when the PLC 40 acquires the reception program 70 a as the control program 70 , it is possible to verify whether or not the control program 70 has been modified using the first code 71 and the second code 72 . If the first code 71 is different from the second code 72, the execution unit 435 of the PLC 40 does not write the received program 70a into the program memory 44 and discards the received program 70a without executing it. As a result, when the PLC 40 has a net boot function that acquires a program to be executed from the server 30 through network communication, it is possible to prevent unintended writing of the received program 70a to the PLC 40 and realize safer program updating. can.
  • a first code 71 corresponding to a message authentication code between the program transmitting device 10 and the PLC 40 is used in order to detect alteration of the program stored in the server 30.
  • the computational load of such a technique using the first code 71 is smaller than that of using a digital signature capable of detecting alteration of transmitted data. Therefore, it is possible to shorten the boot time when starting up the PLC 40 and avoid a decrease in production efficiency in the control system 1000 .
  • the file generation unit 114 of the program transmission device 10 generates the encrypted file 73
  • the extraction unit 432 of the PLC 40 decrypts the file 73 .
  • the encrypted file 73 is stored in the server 30, and security can be improved against risks represented by data leakage.
  • Embodiment 2 Next, the second embodiment will be described, focusing on differences from the first embodiment described above. Equivalent reference numerals are used for configurations that are the same as or equivalent to those in the first embodiment.
  • the present embodiment differs from the first embodiment in that different secret data 80 are used by a plurality of users of program transmitting apparatus 10. FIG.
  • program transmitting apparatus 10 generates a plurality of confidential data 80.
  • the PLC 40 stores only the secret data 81, which is data specified in advance, and does not store the secret data 82. PLC 40 then generates second code 72 using secret data 81 . If the receiving program 70a is equal to the control program 70 and the control program 70 is provided by the user U1, this control program 70 is executed by the PLC40. Even if the receiving program 70a is equal to the control program 70, the PLC 40 executes the control program 70 because the first code 71 and the second code 72 are different when the control program 70 is provided by the user U2. Discard without
  • the program acquisition unit 111 of the program transmission device 10 acquires the control program 70 provided by one of a plurality of users
  • the first code generation unit 113 acquires the control program 70 and the control program 70.
  • a first code 71 is generated from confidential data 80 corresponding to the user who provided the program 70 .
  • the second code generator 433 of the PLC 40 generates the second code 72 from the receiving program 70a and the secret data 80 corresponding to a specific user among the plurality of users. This makes it possible to manage whether or not the control program 70 can be executed for each user.
  • the first code generation unit 113 may generate the first code 71 using the secret data 80 of the user who has input the transmission instruction of the control program 70 .
  • the first code generator 113 may generate the first code 71 from the secret data 80 corresponding to one of the users who uses the control program 70 .
  • Embodiment 3 Next, the third embodiment will be described, focusing on differences from the first embodiment described above. Equivalent reference numerals are used for configurations that are the same as or equivalent to those in the first embodiment. This embodiment differs from the first embodiment in that different secret data 80 is used in each of a plurality of program transmitting apparatuses.
  • the control system 1000 has a plurality of program transmitters 10 and 10a, and the program transmitters 10 and 10a generate different secret data 80 respectively.
  • the program transmission device 10 generates secret data 83 and the program transmission device 10 a generates secret data 84 different from the secret data 83 .
  • the first code generator 113 of the program transmitter 10 or 10a generates the first code 71 using the secret data 80 of the program transmitter having the first code generator 113 .
  • the first code 71 is generated using the confidential data 83 in the program transmitting device 10 .
  • the PLC 40 stores only the secret data 83, which is data specified in advance, and does not store the secret data 84. PLC 40 then generates second code 72 using secret data 83 . If the receiving program 70 a is equal to the control program 70 and the control program 70 is provided from the program transmitting device 10 , this control program 70 is executed by the PLC 40 . Even if the receiving program 70a is equal to the control program 70, when the control program 70 is provided from the program transmitting device 10a, the first code 71 and the second code 72 are different. discard without executing.
  • the first code generation units 113 of the plurality of program transmission devices 10 and 10a each generate the first code from the secret data 80 corresponding to the program transmission device having the control program 70 and the first code generation unit 113. 71 is generated.
  • the second code generator 433 of the PLC 40 generates the second code 72 from the secret data 80 shared in advance with the received program 70a and a specific program transmission device among the plurality of program transmission devices 10, 10a. This makes it possible to manage whether or not the control program 70 can be executed for each program transmission device.
  • the number of users using the program transmission device 10 may be three or more. Also, although the example in which there are two program transmission apparatuses has been described in the third embodiment, the number of program transmission apparatuses may be three or more.
  • the PLC 40 stores one secret data 80
  • the PLC 40 stores a plurality of specific secret data 80 and uses the respective secret data 80 to generate the second code 72 and the first code 72 .
  • the comparison with the codes 71 may be repeated, and the received program 70 a may be stored in the program memory 44 as the control program 70 when any second code 72 is equal to the first code 71 .
  • the PLC 40 may also store secret data 80 corresponding to a user or a program transmission device who is not authorized to write the control program 70 to the PLC 40 via the server 30 .
  • the PLC 40 may exclude the secret data 80 corresponding to the unauthorized user or program transmission device from the target of verification by the verification unit 434 .
  • the program transmission device 10 and the server 30 may be connected to the PLC 40 in the facility via the network 20, which is a wide area communication network represented by the Internet.
  • the program transmission device 10, the server 30 and the PLC 40 do not have to be connected via a single network 20.
  • the program transmission device 10 and server 30 may be connected to each other via an information network represented by a LAN, and the server 30 and PLC 40 may be connected to each other via an industrial network.
  • one or both of the transmission line connecting the program transmission device 10 and the server 30 and the transmission line connecting the server 30 and the PLC 40 may be realized by a dedicated line instead of the network.
  • the program transmitting apparatus 10 uses secret data 80 to generate first codes 711, 712, . . . 71n for modules 701, 702, . may be generated. Then, the program transmitting apparatus 10 may generate a file 73 including the control program 70 and the plurality of generated first codes 711, 712, . . . , 71n. In the example shown in FIG. 12, the PLC 40 may generate the second code 72 for each module in the same manner as in the above embodiment and compare the two codes.
  • the program transmitting device 10 may share the secret data 80 generated by the PLC 40 with the PLC 40 , or the program transmitting device 10 and the PLC 40 may share the secret data 80 generated by another device.
  • the program transmission device 10 and the server 30 may be configured integrally by having the program transmission device 10 as a terminal have the functions of the server 30 .
  • the server 30 may be omitted from the control system 1000 described above, and the control program 70 may be directly transmitted to the PLC 40 by the program transmission device 10, which is a terminal or server device. Even if the server 30 is omitted, it is possible to improve the safety of the program that the PLC 40 obtains from the outside by detecting alterations when the control program 70 is transmitted.
  • the functions of the program transmission device 10, the server 30 and the PLC 40 can be realized by dedicated hardware or by a normal computer system.
  • the program P1 executed by the processor 61 is stored in a computer-readable non-temporary recording medium and distributed, and the program P1 is installed in the computer to configure the device that executes the above process. be able to.
  • Examples of such recording media include flexible discs, CD-ROMs (Compact Disc Read-Only Memory), DVDs (Digital Versatile Discs), and MOs (Magneto-Optical Discs).
  • the program P1 may be stored in a disk device of a server device on a communication network typified by the Internet, superimposed on a carrier wave, and downloaded to a computer.
  • the above processing can also be achieved by starting and executing the program P1 while transferring it via a communication network.
  • the above processing can also be achieved by executing all or part of the program P1 on the server device and executing the program while the computer transmits and receives information regarding the processing via a communication network.
  • the functions described above are to be shared by the OS (Operating System) or by cooperation between the OS and the application, only the parts other than the OS may be stored in a medium and distributed. , or you may download it to your computer.
  • means for realizing the functions of the program transmission device 10, the server 30, and the PLC 40 are not limited to software, and part or all of them may be realized by dedicated hardware including circuits.
  • the present disclosure is suitable for systems with programmable controllers that acquire programs to be executed from the outside.

Landscapes

  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Engineering & Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Programmable Controllers (AREA)

Abstract

制御システム（１０００）は、機器を制御するＰＬＣ（４０）と、ＰＬＣ（４０）に機器を制御させるための制御プログラム（７０）を送信するプログラム送信装置（１０）と、を備える。プログラム送信装置（１０）は、制御プログラム（７０）からの変更の有無を検証するための第１コード（７１）を、制御プログラム（７０）及び秘密データ（８０）から生成する第１コード生成部（１１３）を有する。ＰＬＣ（４０）は、制御プログラム（７０）としての受信プログラム及びプログラム送信装置（１０）と共有される秘密データ（８０）から第２コードを生成する第２コード生成部（４３３）と、第１コード（７１）が第２コードに等しい場合に、受信プログラムを実行する実行部（４３５）と、を有する。

Description

制御システム、プログラマブルコントローラ、制御プログラム送信方法及びコントローラプログラム
　本開示は、制御システム、プログラマブルコントローラ、制御プログラム送信方法及びコントローラプログラムに関する。
　ＦＡ（Factory Automation）の現場では、ＰＬＣ（Programmable Logic Controller）が他の機器を制御することで、製造ラインに代表される種々の工程が実現されることが多い。機器を制御するためのプログラムをＰＬＣの内部メモリに書き込むためには、ＰＣ（Personal Computer）をＰＬＣに接続した上で、当該ＰＣ上で動作する専用のエンジニアリングツールを用いることが一般的である。
　そのため、ＰＣにエンジニアリングツールをインストールする必要がある。また、エンジニアリングツールの使い方に習熟していないユーザの誤操作により、適当なプログラムがＰＬＣに書き込まれないおそれがある。そこで、装置が実行すべきプログラムを自ら外部から取得する技術をＰＬＣに適用することが考えられる（例えば、特許文献１を参照）。
　特許文献１には、ＰＬＣに接続されて、制御システムにおける操作端末として機能するプログラマブル表示器について記載されている。このプログラマブル表示器は、起動時に、その動作を制御するプログラムをサーバから取得して内蔵のデータメモリに書き込む。
特開２００７－１７９１１５号公報
　しかしながら、特許文献１の技術では、サーバから送信されるプログラムに関して、破損及び改ざんの可能性が考慮されていない。このため、特許文献１の技術をＰＬＣに適用した場合には、ユーザの意図から外れたプログラムがＰＬＣに取り込まれ、適当な工程が実現されなくなるおそれがある。したがって、ＰＬＣが外部から取得するプログラムに関する安全性を向上させる余地がある。
　本開示は、上記の事情に鑑みてなされたものであり、ＰＬＣが外部から取得するプログラムに関する安全性を向上させることを目的とする。
　上記目的を達成するため、本開示の制御システムは、機器を制御するプログラマブルコントローラと、プログラマブルコントローラに機器を制御させるための制御プログラムを送信するプログラム送信装置と、を備える制御システムであって、プログラム送信装置は、制御プログラムを取得するプログラム取得手段と、制御プログラムからの変更の有無を検証するための第１コードを、制御プログラム及び予め定められたデータから予め定められた手順で生成する第１コード生成手段と、制御プログラム及び第１コードを送信する送信手段と、を有し、プログラマブルコントローラは、送信手段によって送信された制御プログラムとしての受信プログラム及び第１コードを受信する受信手段と、受信プログラム及び予めプログラム送信装置と共有されるデータから上記手順で第２コードを生成する第２コード生成手段と、第１コードが第２コードに等しい場合に、受信プログラムを実行する実行手段と、を有する。
　本開示によれば、プログラマブルコントローラとしてのＰＬＣが外部から取得するプログラムに関する安全性を向上させることができる。
実施の形態１に係る制御システムの構成を示す図 実施の形態１に係るプログラム送信装置、サーバ及びＰＬＣのハードウェア構成を示す図 実施の形態１に係る制御プログラムの伝送について説明するための図 実施の形態１に係るプログラム送信装置、サーバ及びＰＬＣの機能的な構成を示す図 実施の形態１に係るファイル生成処理を示すフローチャート 実施の形態１に係るアップロード処理を示すフローチャート 実施の形態１に係るダウンロード処理を示すフローチャート 比較例に係る制御プログラムの伝送について説明するための図 比較例に係る制御プログラムの改変について説明するための図 実施の形態２に係る秘密データについて説明するための図 実施の形態３に係る秘密データについて説明するための図 変形例に係るファイルの構成を示す図
　以下、本開示の実施の形態に係る制御システム１０００について、図面を参照しつつ詳細に説明する。制御システム１０００では、ＰＬＣが実行すべきプログラムがサーバ装置に格納される以前に当該プログラムに固有のコードを作成しておき、このように作成されたコードが、ＰＬＣに提供されたプログラムに基づいて作成されるコードと一致するか否かが検証される。
　実施の形態１．
　図１には、本実施の形態に係る制御システム１０００の構成例が示されている。制御システム１０００は、工場に代表される施設内において構築される。制御システム１０００は、例えば、製品の製造ライン、又は、ワークの加工ラインに代表される種々の工程を、機器５０を制御することで実現するシステムである。制御システム１０００は、図１に示されるように、ユーザＵ１によって操作されるプログラム送信装置１０と、プログラム送信装置１０にネットワーク２０を介して接続されるサーバ３０と、サーバ３０にネットワーク２０を介して接続されるＰＬＣ４０と、ＰＬＣによる制御の対象となる機器５０と、を有する。
　ネットワーク２０は、施設内に形成される産業用のフィールドネットワークであってもよいし、ＬＡＮ（Local Area Network）に代表される情報ネットワークであってもよい。プログラム送信装置１０、サーバ３０及びＰＬＣ４０はそれぞれ、ネットワーク２０を介してデータを送受信することにより、他の装置と通信する。
　プログラム送信装置１０は、例えば、ＩＰＣ（Industrial Personal Computer）に代表されるＰＣ、スマートホン、タブレット端末、その他の端末である。ユーザＵ１は、プログラム送信装置１０を操作することにより、ＰＬＣ４０に機器５０を制御させるための制御プログラムを作成し、当該制御プログラムをサーバ３０にアップロードして保存させる。制御プログラムは、例えば、ＰＬＣ４０における実行形式のラダープログラムである。
　なお、プログラム送信装置１０は、既に完成した制御プログラムの提供を他の装置から受けて、ユーザＵ１の操作に従って当該制御プログラムをサーバ３０にアップロードしてもよいし、プログラム送信装置１０において作成された制御プログラムを、他の装置を介してサーバ３０にアップロードしてもよい。また、プログラム送信装置１０は、常にネットワーク２０に接続されていてもよいし、一時的にネットワーク２０に接続されてもよい。
　サーバ３０は、ネットワーク２０上の記憶装置として機能するコンピュータである。サーバ３０は、プログラム送信装置１０からアップロードされた制御プログラムを保持し、ＰＬＣ４０に制御プログラムを提供する。サーバ３０については、通常、ネットワーク２０に接続されている状態が維持される。サーバ３０に保持されている制御プログラムは、ユーザによる誤操作、複数のユーザ間における意思の不統一、及び、第三者による改ざんに代表される要因によって、不適当に変更され得る。
　ＰＬＣ４０は、機器５０を制御するプログラマブルコントローラである。ＰＬＣ４０は、制御プログラムを実行することで機器５０を制御する。なお、ＰＬＣ４０は、制御プログラムを実行することにより、不図示の他のＰＬＣ４０と協働して機器５０を制御してもよい。ＰＬＣ４０は、常にネットワーク２０に接続されていてもよいし、制御プログラムを取得する時に限って一時的にネットワーク２０に接続されてもよい。
　機器５０は、センサ、アクチュエータ、モータ、バルブ及びロボットに代表されるＦＡ機器である。機器５０は、信号線を介してＰＬＣ４０に接続されて、電圧信号又は電流信号をＰＬＣ４０との間で送受信する。例えば、ロボットである機器５０は、内蔵のセンサによるセンシング結果をＰＬＣ４０に通知し、このセンシング結果に基づいてＰＬＣ４０から出力される制御命令に従ってロボットアームを移動させる。なお、図１には、１つの機器５０が代表的に示されているが、ＰＬＣ４０に接続される機器５０は、２つ以上であってもよい。
　図２には、プログラム送信装置１０のハードウェア構成例が示されている。なお、サーバ３０及びＰＬＣ４０の構成も図２に示されるものと同様であるから、図中には、プログラム送信装置１０、サーバ３０、ＰＬＣ４０それぞれの符号を記載して、合わせて説明する。図２に示されるように、プログラム送信装置１０、サーバ３０及びＰＬＣ４０はそれぞれ、プロセッサ６１と、主記憶部６２と、補助記憶部６３と、入力部６４と、出力部６５と、通信部６６と、を有する。主記憶部６２、補助記憶部６３、入力部６４、出力部６５及び通信部６６はいずれも、内部バス６７を介してプロセッサ６１に接続される。
　プロセッサ６１は、集積回路であるＭＰＵ（Micro Processing Unit）又はＣＰＵ（Central Processing Unit）を含む。プロセッサ６１は、補助記憶部６３に記憶されるプログラムＰ１を実行することにより、種々の機能を実現して、後述の処理を実行する。ＰＬＣ４０のプログラムＰ１は、ＰＬＣ４０を後述の手段として機能させるためのコントローラプログラムの一例に相当する。
　主記憶部６２は、ＲＡＭ（Random Access Memory）を含む。主記憶部６２には、補助記憶部６３からプログラムＰ１がロードされる。そして、主記憶部６２は、プロセッサ６１の作業領域として用いられる。
　補助記憶部６３は、ＥＥＰＲＯＭ（Electrically Erasable Programmable Read-Only Memory）、ＨＤＤ（Hard Disk Drive）及び脱着可能なメモリーカードに代表される不揮発性メモリを含む。補助記憶部６３は、プログラムＰ１の他に、プロセッサ６１の処理に用いられる種々のデータを記憶する。補助記憶部６３は、プロセッサ６１の指示に従って、プロセッサ６１によって利用されるデータをプロセッサ６１に供給し、プロセッサ６１から供給されたデータを記憶する。なお、図２では、１つのプログラムＰ１が代表的に示されているが、補助記憶部６３は、複数のプログラムを記憶してもよいし、主記憶部６２には、複数のプログラムがロードされてもよい。
　入力部６４は、入力キー、キーボード、ポインティングデバイス、スイッチ及びボタンに代表される入力デバイスを含む。入力部６４は、ユーザによって入力された情報を取得して、取得した情報をプロセッサ６１に通知する。
　出力部６５は、ＬＥＤ（Light Emitting Diode）、ＬＣＤ（Liquid Crystal Display）及びスピーカに代表される出力デバイスを含む。出力部６５は、プロセッサ６１の指示に従って、種々の情報をユーザに提示する。
　通信部６６は、外部の装置と通信するためのネットワークインタフェース回路を含む。通信部６６は、外部から信号を受信して、この信号により示されるデータをプロセッサ６１へ出力する。また、通信部６６は、プロセッサ６１から出力されたデータを示す信号を外部の装置へ送信する。
　続いて、本実施の形態に係る制御プログラムの伝送の概略について、図３を参照して説明する。
　図３に示されるように、プログラム送信装置１０は、制御プログラム７０及び秘密データ８０の組み合わせに固有の第１コード７１を生成する第１コード生成部１１３を有する。秘密データ８０は、予め定められたデータであって、例えば、２５６ビット又は１０２４ビットのランダムなビット列である。第１コード７１は、例えば、制御プログラム７０及び秘密データ８０をこの順に連結した１つのデータを、ＳＨＡ－２（Secure Hash Algorithm 2）及びＳＨＡ－３に代表されるハッシュ関数に入力することにより出力値として得られるハッシュ値であってもよいし、他の手法により求められた値であってもよい。
　プログラム送信装置１０は、制御プログラム７０及び第１コード７１を含むファイル７３をサーバ３０に送信する。サーバ３０は、このファイル７３を保持して、ＰＬＣ４０からの要求に応じてファイル７３をＰＬＣ４０に提供する。
　ＰＬＣ４０は、取得したファイル７３に制御プログラム７０として含まれている受信プログラム７０ａ、及び、予めプログラム送信装置１０との間で共有する秘密データ８０から、これら受信プログラム７０ａ及び秘密データ８０の組み合わせに固有の第２コード７２を生成する第２コード生成部４３３を有する。ユーザの意図した通りにファイル７３がＰＬＣ４０に提供される場合においては、ファイル７３に含まれる受信プログラム７０ａは、制御プログラム７０と同一のプログラムである。この場合には、第１コード７１は、第２コード７２に等しい。一方、サーバ３０において保持されているファイル７３が何らかの要因により改変された場合には、ＰＬＣ４０に提供されたファイル７３に含まれる受信プログラム７０ａは、ユーザの意図から外れて、制御プログラム７０とは異なるプログラムとなる。この場合には、第１コード７１は、第２コード７２とは異なる。また、第２コード生成部４３３による第２コード７２を生成する手法は、プログラム送信装置１０の第１コード生成部１１３による第１コード７１を生成する手法と同一である。
　そして、ＰＬＣ４０の照合部４３４が、ファイル７３に含まれる第１コード７１と第２コード７２とを照合する。両コードが一致する場合には、受信プログラム７０ａが制御プログラム７０に等しいため、ＰＬＣ４０の実行部４３５が、制御プログラム７０である受信プログラム７０ａを実行する。
　続いて、プログラム送信装置１０、サーバ３０及びＰＬＣ４０の機能的な構成について、図４を参照して説明する。
　プログラム送信装置１０は、図４に示されるように、種々の処理を実行する処理部１１と、種々のデータを記憶する記憶部１２と、サーバ３０に情報を送信する送信部１３と、を有する。
　処理部１１は、主としてプログラム送信装置１０のプロセッサ６１によって実現される。処理部１１は、制御プログラム７０を取得するプログラム取得部１１１と、秘密データ８０を生成する秘密データ生成部１１２と、第１コード７１を生成する第１コード生成部１１３と、制御プログラム７０と第１コード７１とを含むファイル７３を生成するファイル生成部１１４と、を有する。
　プログラム取得部１１１は、ユーザＵ１が入力部６４を操作して入力した制御プログラム７０を取得する。なお、プログラム取得部１１１は、ユーザＵ１から指定された補助記憶部６３のアドレス又は外部装置のアドレスから制御プログラム７０を読み出すことで、制御プログラム７０を取得してもよい。プログラム取得部１１１は、取得した制御プログラム７０を記憶部１２に格納する。プログラム取得部１１１は、プログラム送信装置１０において、制御プログラム７０を取得するプログラム取得手段の一例に相当する。
　秘密データ生成部１１２は、例えば、プログラム取得部１１１が制御プログラム７０を取得した時刻、又は、ユーザから秘密データ８０の生成を指示された時刻をシード値として、秘密データ８０を生成して記憶部１２に格納する。
　第１コード生成部１１３は、記憶部１２から制御プログラム７０及び秘密データ８０を読み出して、制御プログラム７０及び秘密データ８０に基づいて第１コード７１を生成して記憶部１２に格納する。詳細には、第１コード生成部１１３は、秘密データ８０及び制御プログラム７０のハッシュ値を第１コード７１として生成する。第１コード生成部１１３は、プログラム送信装置１０において、制御プログラム７０からの変更の有無を検証するための第１コード７１を、制御プログラム７０及び予め定められたデータから予め定められた手順で生成する第１コード生成手段の一例に相当する。
　ファイル生成部１１４は、記憶部１２から制御プログラム７０及び第１コード７１を読み出して、制御プログラム７０及び第１コード７１を圧縮及び暗号化してファイル７３を生成する。圧縮及び暗号化の方式は任意であるが、計算リソースが不十分であるＰＬＣ４０においても展開及び復号を可能とするため、展開及び復号時の計算負荷が低い方式であることが望ましい。なお、ファイル生成部１１４は、制御プログラム７０及び第１コード７１を圧縮することなくファイル７３を生成してもよいし、暗号化することなくファイル７３を生成してもよい。ファイル生成部１１４は、プログラム送信装置１０において、制御プログラム７０及び第１コード７１を暗号化する暗号化手段の一例に相当する。
　記憶部１２は、主として、プログラム送信装置１０の主記憶部６２及び補助記憶部６３の少なくとも一方によって実現される。記憶部１２には、ユーザＵ１によってサーバ識別情報１２１が予め格納される。サーバ識別情報１２１は、例えば、サーバ３０のネットワーク２０上の所在を表すＩＰ（Internet Protocol）アドレス又は局番である。
　送信部１３は、主としてプログラム送信装置１０のプロセッサ６１及び通信部６６の協働により実現される。送信部１３は、ユーザＵ１の操作に従って、記憶部１２からサーバ識別情報１２１及びファイル７３を読み出して、サーバ識別情報１２１により示されるサーバ３０にファイル７３を送信する。送信部１３は、プログラム送信装置１０において、制御プログラム７０及び第１コード７１を送信する送信手段の一例に相当し、暗号化手段によって暗号化された制御プログラム７０及び第１コード７１を送信する送信手段の一例に相当する。
　サーバ３０は、プログラム送信装置１０からファイル７３を受信する受信部３１と、ファイル７３を記憶する記憶部３２と、ファイル７３をＰＬＣ４０に送信する送信部３３と、を有する。受信部３１及び送信部３３はそれぞれ、主としてサーバ３０の通信部６６によって実現される。記憶部３２は、主としてサーバ３０の主記憶部６２及び補助記憶部６３の少なくとも一方によって実現される。
　受信部３１は、プログラム送信装置１０の送信部１３によって送信されたファイル７３を受信して、当該ファイル７３を記憶部３２に格納する。
　送信部３３は、ＰＬＣ４０からの要求に対して、制御プログラム７０を記憶部３２から読み出してＰＬＣ４０に送信することでＰＬＣ４０に応答する。サーバ３０は、制御システム１０００において、プログラム送信装置１０の送信手段によって送信された制御プログラム７０及び第１コード７１を受信し、受信した制御プログラム７０としての受信プログラム７０ａ及び第１コード７１をプログラマブルコントローラに送信するサーバの一例に相当する。
　ＰＬＣ４０は、サーバ３０からファイル７３を受信する受信部４１と、種々のデータを記憶する記憶部４２と、種々の処理を実行する処理部４３と、実行すべき制御プログラム７０が格納されるプログラムメモリ４４と、を有する。
　受信部４１は、主としてＰＬＣ４０の通信部６６によって実現される。受信部４１は、処理部４３の要求部４３１の指示に従って、サーバ３０に対してファイル７３の送信を要求し、当該要求に対する応答としてサーバ３０から送信されるファイル７３を受信して記憶部４２に格納する。受信部４１は、ＰＬＣ４０において、プログラム送信装置１０の送信手段によって送信された制御プログラムとしての受信プログラム７０ａ及び第１コード７１を受信する受信手段の一例に相当に相当し、暗号化された受信プログラム７０ａ及び第１コード７１を受信する受信手段の一例に相当する。
　記憶部４２は、主としてＰＬＣ４０の主記憶部６２及び補助記憶部６３の少なくとも一方によって実現される。記憶部４２には、制御プログラム７０の取得先を示すプログラム取得先情報４２１と、プログラム送信装置１０に記憶される秘密データ８０と同一の秘密データ８０と、が予め格納される。
　プログラム取得先情報４２１は、ネットワーク２０におけるサーバ３０の所在を示すサーバ識別情報４２２と、サーバ３０に記憶されるファイル７３を識別するためのファイル識別情報４２３と、を含む。サーバ識別情報４２２は、例えば、サーバ３０のＩＰアドレス又は局番である。ファイル識別情報４２３は、例えば、ファイル名又はサーバ３０の記憶部３２に格納されるファイル７３のアドレスである。プログラム取得先情報４２１は、処理部４３の要求部４３１によって記憶部４２から読み出されて、受信部４１が、サーバ３０の送信すべきファイル７３をサーバ３０に対して指定するために用いられる。
　秘密データ８０は、任意の手法により、プログラム送信装置１０とＰＬＣ４０との間で共有され、サーバ３０には提供されない。例えば、ユーザＵ１がプログラム送信装置１０を操作して、メモリーカードに代表される記録媒体に秘密データ８０を格納して、当該記録媒体をＰＬＣ４０のカードスロットに挿入することで秘密データ８０をＰＬＣ４０の記憶部４２に格納してもよい。また、ユーザＵ１が、ＵＳＢ（Universal Serial Bus）に代表される通信線で、ネットワーク２０を介することなくプログラム送信装置１０をＰＬＣ４０に接続して、秘密データ８０をＰＬＣ４０に転送してもよい。また、サーバ３０を介することなく、或いはサーバ３０を介して、ネットワーク２０を経由してプログラム送信装置１０からＰＬＣ４０に秘密データ８０が伝送されてもよい。ネットワーク２０を経由して秘密データ８０が伝送される場合には、セキュアな通信を確立した上で秘密データ８０を伝送することが望ましい。この場合には、プログラム送信装置１０の送信部１３が、秘密データ８０を送信し、受信部４１が秘密データ８０を受信する。
　処理部４３は、主としてＰＬＣ４０のプロセッサ６１によって実現される。処理部４３は、サーバ３０に対してファイル７３を要求する要求部４３１と、受信したファイル７３から受信プログラム７０ａ及び第１コード７１を抽出する抽出部４３２と、抽出部４３２によって抽出された受信プログラム７０ａに基づいて第２コード７２を生成する第２コード生成部４３３と、第１コード７１及び第２コード７２を照合する照合部４３４と、両コードが一致した場合に制御プログラム７０を実行する実行部４３５と、を有する。
　要求部４３１は、ＰＬＣ４０の起動時に、記憶部４２からプログラム取得先情報４２１を読み出して、サーバ識別情報４２２により示されるサーバ３０に対して、ファイル識別情報４２３により示されるファイル７３の提供を、受信部４１に要求させる。
　抽出部４３２は、受信部４１によって受信されて記憶部４２に格納されたファイル７３を読み出して、展開及び復号することにより、ファイル７３から受信プログラム７０ａ及び第１コード７１を抽出する。抽出部４３２は、ＰＬＣ４０において、暗号化された受信プログラム７０ａ及び第１コード７１を復号する復号手段の一例に相当する。
　第２コード生成部４３３は、抽出部４３２によって抽出された受信プログラム７０ａと、記憶部４２から読み出した秘密データ８０とから、プログラム送信装置１０の第１コード生成部１１３と同一の手法により第２コード７２を生成する。詳細には、第２コード生成部４３３は、秘密データ８０及び受信プログラム７０ａのハッシュ値を第２コード７２として生成する。より詳細には、第２コード生成部４３３は、第１コード生成部１１３と同様のハッシュ関数を施すアプリケーションソフトウェアに、受信プログラム７０ａ及び秘密データ８０を入力することにより出力されるハッシュ値として、第２コード７２を得る。第２コード生成部４３３は、ＰＬＣ４０において、受信プログラム及び予めプログラム送信装置と共有されるデータから予め定められた手順で第２コード７２を生成する第２コード生成手段の一例に相当する。
　照合部４３４は、抽出部４３２によって抽出された第１コード７１と、第２コード生成部４３３によって生成された第２コード７２と、を照合する。そして、照合部４３４は、２つのコードが一致する場合には、抽出部４３２によって抽出された受信プログラム７０ａである制御プログラム７０を、プログラムメモリ４４に格納する。
　実行部４３５は、プログラムメモリ４４から制御プログラム７０を読み出して実行することにより、機器５０を制御する。実行部４３５が制御プログラム７０を実行するタイミングは、ＰＬＣ４０の起動時であってもよいし、ＰＬＣ４０に配設された実行ボタンの押下、或いはＲＵＮスイッチがオン状態に移行されたときであってもよい。実行部４３５は、ＰＬＣ４０において、第１コード７１が第２コード７２に等しい場合に、受信プログラムを実行する実行手段の一例に相当する。
　プログラムメモリ４４は、主として、ＰＬＣ４０の主記憶部６２及び補助記憶部６３の少なくとも一方によって実現される。
　続いて、制御システム１０００において実行される処理について、図５～７を用いて説明する。なお、図５～７に示されるフローチャートは一例であり、各ステップの実行順序を任意に変更してもよい。
　図５には、プログラム送信装置１０がファイル７３を生成するファイル生成処理の流れが示されている。図５に示されるように、ファイル生成処理において、プログラム送信装置１０は、秘密データ８０を生成して、生成した秘密データ８０をＰＬＣ４０と共有する（ステップＳ１１）。具体的には、秘密データ生成部１１２が、メッセージ認証符号における鍵としての秘密データ８０を生成して、上述した任意の手法によりＰＬＣ４０と秘密データ８０を共有する。
　次に、プログラム送信装置１０が、制御プログラム７０を取得する（ステップＳ１２）。具体的には、プログラム取得部１１１が、ユーザＵ１によって入力されたソースコード又はユーザＵ１から指定されたアドレスから読み出したソースコードを実行形式に変換することにより制御プログラム７０を取得してもよいし、既に実行形式への変換が完了した制御プログラム７０をユーザから指定されたアドレスから読み出すことで制御プログラム７０を取得してもよい。
　次に、プログラム送信装置１０が、ステップＳ１１で生成した秘密データ８０、及び、ステップＳ１２で取得した制御プログラム７０を用いて第１コード７１を生成する（ステップＳ１３）。具体的には、第１コード生成部１１３が、秘密データ８０を鍵とし、制御プログラム７０をメッセージとして、メッセージ認証符号に相当する第１コード７１を算出する。
　次に、プログラム送信装置１０のファイル生成部１１４が、ステップＳ１２で取得した制御プログラム７０及びステップＳ１３で生成した第１コード７１を含むファイル７３を生成し、生成したファイル７３を圧縮及び暗号化した上で記憶部１２に格納する（ステップＳ１４）。その後、ファイル生成処理が終了する。
　図６には、生成されたファイル７３をサーバ３０にアップロードするアップロード処理の流れが示されている。図６に示されるように、アップロード処理においては、プログラム送信装置１０が、サーバ識別情報１２１に基づいてファイル７３を保存すべきサーバ３０を特定する（ステップＳ２１）。具体的には、送信部１３が、サーバ３０のネットワークアドレスを特定する。
　次に、送信部１３は、ステップＳ２１で特定したサーバ３０が存在するか否かを判定する（ステップＳ２２）。具体的には、送信部１３は、ステップＳ２１で特定したネットワークアドレスを有する装置と通信を確立することができるか否かを判定する。サーバ３０と通信を確立することができず、サーバ３０からの応答を得ることができない場合には、ステップＳ２２の判定が否定される。
　サーバ３０が存在しないと判定された場合（ステップＳ２２；Ｎｏ）、プログラム送信装置１０は、アップロード処理を異常終了させる（ステップＳ２３）。一方、サーバ３０が存在すると判定された場合（ステップＳ２２；Ｙｅｓ）、プログラム送信装置１０がファイル７３を記憶部１２から読み出してサーバ３０に送信する（ステップＳ２４）。サーバ３０は、このファイル７３を受信して記憶部３２に格納し（ステップＳ２５）、アップロード処理が完了する。
　図７には、サーバ３０に保存されたファイル７３をＰＬＣ４０にダウンロードするダウンロード処理の流れが示されている。図７に示されるように、ダウンロード処理では、ＰＬＣ４０の管理者によってＰＬＣ４０の電源ボタンが押下されることでＰＬＣ４０が起動する（ステップＳ３１）。
　次に、ＰＬＣ４０が、取得先情報に基づいてサーバ３０及びファイル７３を特定する（ステップＳ３２）。具体的には、ＰＬＣ４０の要求部４３１が、プログラム取得先情報４２１に含まれるサーバ識別情報４２２及びファイル識別情報４２３を記憶部４２から読み出す。
　次に、ＰＬＣ４０が、ステップＳ３２で特定したサーバ３０に対して、ステップＳ３２で特定したファイル７３の送信を要求する（ステップＳ３３）。例えば、ステップＳ３２において「１９２．１６８．２０．１００」というＩＰアドレスがサーバ識別情報４２２として特定され、「ＣＴＲＬ＿ＰＲＯＧＲＡＭ４０」というファイル名がファイル識別情報４２３として特定された場合には、受信部４１が、要求部４３１の指示に従って、上記ＩＰアドレスに対して上記ファイル名が付されたファイル７３の送信を要求するためのパケットを送信する。
　次に、ＰＬＣ４０は、ステップＳ３３における要求の送信先であるサーバ３０から応答があるかを判定する（ステップＳ３４）。具体的には、受信部４１が、ステップＳ３３で送信したパケットに対する応答が、ステップＳ３３でパケットを送信してから一定時間内にあるか否かを判定する。
　サーバ３０から応答がないと判定された場合（ステップＳ３４；Ｎｏ）、ＰＬＣ４０は、異常が発生したと判断して（ステップＳ３５）、ダウンロード処理を終了する。サーバ３０から応答がない場合としては、ステップＳ３２で特定したサーバ３０がネットワーク２０上に存在しない場合、及び、ステップＳ３２で特定したファイル７３がサーバ３０内に保存されていない場合が考えられる。ステップＳ３５において、ＰＬＣ４０は、出力部６５から異常の発生を管理者に対して報知してもよい。
　一方、サーバから応答があると判定された場合（ステップＳ３４；Ｙｅｓ）、サーバ３０が、ステップＳ３３の要求に対して、ＰＬＣ４０にファイル７３を送信する（ステップＳ３６）。具体的には、サーバ３０の送信部３３が、ステップＳ３３の要求においてＰＬＣ４０から指定されたファイル名を有するファイル７３を記憶部３２から読み出して、ＰＬＣ４０に送信する。
　次に、ＰＬＣ４０の受信部４１が、ファイル７３を受信して記憶部４２に格納し（ステップＳ３７）、抽出部４３２が、ファイル７３を展開及び復号して、受信プログラム７０ａ及び第１コード７１を抽出する（ステップＳ３８）。
　次に、ＰＬＣ４０の第２コード生成部４３３が、ＰＬＣ４０の記憶部４２が記憶する秘密データ８０、及び、ステップＳ３８で抽出された受信プログラム７０ａから第２コード７２を生成する（ステップＳ３９）。具体的には、第２コード生成部４３３が、秘密データ８０を鍵とし、受信プログラム７０ａをメッセージとして、メッセージ認証符号に相当する第２コード７２を算出する。
　次に、ＰＬＣ４０の照合部４３４が、ステップＳ３８で抽出された第１コード７１と、ステップＳ３９で生成された第２コード７２とを照合して、２つのコードが一致するか否かを判定する（ステップＳ４０）。具体的には、照合部４３４が、第１コード７１と第２コード７２とを比較して、これらのコードが同一のビット列であるか否かを判定する。
　２つのコードが一致しないと判定された場合（ステップＳ４０；Ｎｏ）、ＰＬＣ４０は、受信した受信プログラム７０ａを実行することなく破棄して（ステップＳ４１）、ステップＳ３５に処理を移行する。一方、２つのコードが一致すると判定された場合（ステップＳ４０；Ｙｅｓ）、照合部４３４は、受信プログラム７０ａについて制御プログラム７０からの欠損及び改ざんが無いと判断して、プログラムメモリ４４に制御プログラム７０を書き込む（ステップＳ４２）。
　次に、ＰＬＣ４０の実行部４３５は、制御プログラム７０の実行指示があるか否かを判定する（ステップＳ４３）。実行指示がないと判定した場合（ステップＳ４３；Ｎｏ）、実行部４３５は、ステップＳ４３の判定を繰り返して、実行指示を受けるまで待機する。一方、実行指示があると判定した場合（ステップＳ４３；Ｙｅｓ）、実行部４３５は、プログラムメモリ４４から制御プログラム７０を読み出して実行する（ステップＳ４４）。これにより、ＰＬＣ４０は、プログラム送信装置１０から提供された制御プログラム７０に従って機器５０を制御することとなる。
　以上、説明したように、プログラム送信装置１０の第１コード生成部１１３が、制御プログラム７０及び秘密データ８０から第１コード７１を生成する。また、ＰＬＣ４０の受信部４１は、ＰＬＣ４０の起動時に受信プログラム７０ａを受信し、第２コード生成部４３３は、受信プログラム７０ａ及び秘密データ８０から第２コード７２を生成し、実行部４３５は、第１コード７１が第２コード７２に等しい場合に、受信プログラム７０ａを実行する。このため、サーバ３０から受信された受信プログラム７０ａは、プログラム送信装置１０から送信された制御プログラム７０に等しい場合において実行される。したがって、プログラマブルコントローラとしてのＰＬＣ４０が外部から取得するプログラムに関する安全性を向上させることができる。
　図８には、比較例に係る制御プログラム７０の伝送について模式的に示されている。この比較例では、コードの比較によるプログラムの改変が検証されることなく、制御プログラム７０がそのままプログラム送信装置１０からサーバ３０にアップロードされてＰＬＣ４０に提供される。
　しかしながら、このような比較例において、図９に示されるように、悪意のあるユーザの端末１０ｂから、制御プログラム７０から改ざんされた改ざんプログラム７０ｂがアップロードされて、制御プログラム７０と置き換えられるケースが考えられる。このようなケースにおいては、ＰＬＣ４０は、その起動時に、サーバ３０から制御プログラム７０として改ざんプログラム７０ｂを取得し、当該改ざんプログラム７０ｂを実行してしまう。
　これに対して本実施の形態に係る制御システム１０００は、制御プログラム７０と秘密データ８０との組み合わせによってユニークに生成されるコードを制御プログラム７０と一組にしてサーバ３０に格納して管理する。このため、ＰＬＣ４０が制御プログラム７０としての受信プログラム７０ａを取得した際に、第１コード７１及び第２コード７２を用いて制御プログラム７０からの改変の有無を検証することができる。そして、第１コード７１が第２コード７２とは異なる場合には、ＰＬＣ４０の実行部４３５は、受信プログラム７０ａをプログラムメモリ４４に書き込まずに、当該受信プログラム７０ａを実行することなく破棄する。これにより、ＰＬＣ４０が、ネットワーク通信によってサーバ３０から実行すべきプログラムを取得するネットブート機能を有する場合において、当該ＰＬＣ４０に対する意図しない受信プログラム７０ａの書き込みを防ぎ、より安全なプログラム更新を実現することができる。
　また、制御システム１０００においては、サーバ３０に記憶されているプログラムの改変を検知するために、プログラム送信装置１０とＰＬＣ４０との間におけるメッセージ認証符号に相当する第１コード７１が用いられる。このような第１コード７１を用いる手法の計算負荷は、伝送されるデータの改変を検知することが可能なデジタル署名を用いる場合の計算負荷よりも小さい。このため、ＰＬＣ４０の起動時におけるブート時間を短縮して、制御システム１０００における生産効率の低下を回避することができる。
　また、制御システム１０００においては、プログラム送信装置１０のファイル生成部１１４が暗号化されたファイル７３を生成して、ＰＬＣ４０の抽出部４３２がファイル７３を復号する。これにより、サーバ３０には、暗号化されたファイル７３が格納され、データの漏洩に代表されるリスクに対して安全性を向上させることができる。
　実施の形態２．
　続いて、実施の形態２について、上述の実施の形態１との相違点を中心に説明する。なお、上記実施の形態１と同一又は同等の構成については、同等の符号を用いる。本実施の形態は、プログラム送信装置１０を使用する複数のユーザで異なる秘密データ８０が用いられる点で、実施の形態１とは異なる。
　図１０に示されるように、本実施の形態に係るプログラム送信装置１０は、複数の秘密データ８０を生成する。詳細には、プログラム送信装置１０は、プログラム送信装置１０を使用するユーザＵ１に対応する秘密データ８１と、プログラム送信装置１０を使用するユーザＵ２に対応する秘密データ８２と、を秘密データ８０として予め生成する。そして、プログラム送信装置１０の第１コード生成部１１３は、ユーザＵ１，Ｕ２のうちの制御プログラム７０を提供したユーザの秘密データ８０を用いて、第１コード７１を生成する。図１０の例では、ユーザＵ１に対応する秘密データ８１を用いて第１コード７１が生成されている。
　ＰＬＣ４０は、秘密データ８１，８２のうちの、予め特定されたデータである秘密データ８１のみを記憶し、秘密データ８２を記憶しない。そして、ＰＬＣ４０は、秘密データ８１を用いて第２コード７２を生成する。受信プログラム７０ａが制御プログラム７０に等しく、かつ、当該制御プログラム７０がユーザＵ１によって提供された場合には、この制御プログラム７０がＰＬＣ４０によって実行される。受信プログラム７０ａが制御プログラム７０に等しい場合であっても、当該制御プログラム７０がユーザＵ２によって提供されたときには、第１コード７１と第２コード７２とが異なるため、ＰＬＣ４０は、制御プログラム７０を実行することなく破棄する。
　以上、説明したように、プログラム送信装置１０のプログラム取得部１１１は、複数のユーザのうちのいずれかから提供される制御プログラム７０を取得し、第１コード生成部１１３は、制御プログラム７０及び制御プログラム７０を提供したユーザに対応する秘密データ８０から第１コード７１を生成する。また、ＰＬＣ４０の第２コード生成部４３３は、受信プログラム７０ａ及び複数のユーザのうちの特定のユーザに対応する秘密データ８０から第２コード７２を生成する。これにより、ユーザごとに制御プログラム７０の実行の可否を管理することが可能になる。
　なお、第１コード生成部１１３が、制御プログラム７０を提供したユーザの秘密データ８０を用いて第１コード７１を生成する例について説明したが、これには限定されない。例えば、第１コード生成部１１３は、制御プログラム７０の送信指示を入力したユーザの秘密データ８０を用いて第１コード７１を生成してもよい。これにより、複数のユーザが１つの制御プログラム７０を協同して編集する場合において、ＰＬＣ４０への送信権限を有するユーザによってサーバ３０にアップロードされたときにＰＬＣ４０に当該制御プログラム７０を実行させ、送信権限を有しないユーザによってアップロードされたときに当該制御プログラム７０の実行を回避することができる。第１コード生成部１１３は、複数のユーザのうちの、制御プログラム７０を使用する一のユーザに対応する秘密データ８０から第１コード７１を生成すればよい。
　実施の形態３．
　続いて、実施の形態３について、上述の実施の形態１との相違点を中心に説明する。なお、上記実施の形態１と同一又は同等の構成については、同等の符号を用いる。本実施の形態は、複数のプログラム送信装置それぞれで異なる秘密データ８０が使用される点で、実施の形態１とは異なる。
　図１１に示されるように、本実施の形態に係る制御システム１０００は、複数のプログラム送信装置１０，１０ａを有し、プログラム送信装置１０，１０ａはそれぞれ、異なる秘密データ８０を生成する。詳細には、プログラム送信装置１０は、秘密データ８３を生成し、プログラム送信装置１０ａは、秘密データ８３とは異なる秘密データ８４を生成する。そして、プログラム送信装置１０，１０ａの第１コード生成部１１３は、第１コード生成部１１３を有するプログラム送信装置の秘密データ８０を用いて、第１コード７１を生成する。図１１の例では、プログラム送信装置１０において秘密データ８３を用いて第１コード７１が生成されている。
　ＰＬＣ４０は、秘密データ８３，８４のうちの、予め特定されたデータである秘密データ８３のみを記憶し、秘密データ８４を記憶しない。そして、ＰＬＣ４０は、秘密データ８３を用いて第２コード７２を生成する。受信プログラム７０ａが制御プログラム７０に等しく、かつ、当該制御プログラム７０がプログラム送信装置１０から提供された場合には、この制御プログラム７０がＰＬＣ４０によって実行される。受信プログラム７０ａが制御プログラム７０に等しい場合であっても、当該制御プログラム７０がプログラム送信装置１０ａから提供されたときには、第１コード７１と第２コード７２とが異なるため、ＰＬＣ４０は、制御プログラム７０を実行することなく破棄する。
　以上、説明したように、複数のプログラム送信装置１０，１０ａの第１コード生成部１１３はそれぞれ、制御プログラム７０及び第１コード生成部１１３を有するプログラム送信装置に対応する秘密データ８０から第１コード７１を生成する。また、ＰＬＣ４０の第２コード生成部４３３は、受信プログラム７０ａ及び複数のプログラム送信装置１０，１０ａのうちの特定のプログラム送信装置と予め共有される秘密データ８０から第２コード７２を生成する。これにより、プログラム送信装置ごとに制御プログラム７０の実行の可否を管理することが可能になる。
　なお、上記実施の形態２においてユーザが２人である例を説明したが、プログラム送信装置１０を使用するユーザの数は３人以上であってもよい。また、上記実施の形態３においてプログラム送信装置が２つである例を説明したが、プログラム送信装置の数は３つ以上であってもよい。
　また、ＰＬＣ４０が１つの秘密データ８０を記憶する例を説明したが、ＰＬＣ４０は、特定の複数の秘密データ８０を記憶して、それぞれの秘密データ８０を用いて生成した第２コード７２と第１コード７１との照合を繰り返して、いずれかの第２コード７２が第１コード７１に等しいときに、受信プログラム７０ａを制御プログラム７０としてプログラムメモリ４４に格納してもよい。
　また、上記実施の形態２，３において、ＰＬＣ４０は、サーバ３０を介して制御プログラム７０をＰＬＣ４０に書き込む権限のないユーザ又はプログラム送信装置に対応する秘密データ８０を合わせて記憶していてもよい。ＰＬＣ４０は、当該権限のないユーザ又はプログラム送信装置に対応する秘密データ８０を、照合部４３４による照合の対象から除外すればよい。
　以上、本開示の実施の形態について説明したが、本開示は上記実施の形態によって限定されるものではない。
　例えば、上記実施の形態では、制御システム１０００を構成するプログラム送信装置１０、サーバ３０及びＰＬＣ４０のすべてが施設内に配置されるケースが想定されたが、これには限定されない。例えば、プログラム送信装置１０、サーバ３０が、インターネットに代表される広域通信網であるネットワーク２０を介して施設内のＰＬＣ４０に接続されてもよい。
　また、プログラム送信装置１０、サーバ３０及びＰＬＣ４０は、単一のネットワーク２０を介して接続されていなくともよい。例えば、プログラム送信装置１０及びサーバ３０は、ＬＡＮに代表される情報ネットワークを介して互いに接続され、サーバ３０及びＰＬＣ４０は、産業用ネットワークを介して互いに接続されてもよい。また、プログラム送信装置１０とサーバ３０とを接続する伝送路と、サーバ３０とＰＬＣ４０とを接続する伝送路と、の一方又は双方を、ネットワークに代えて専用線で実現してもよい。
　また、制御プログラム７０について１つの第１コード７１を生成する例について説明したが、これには限定されない。例えば、図１２に示されるように、プログラム送信装置１０は、制御プログラム７０を構成するモジュール７０１，７０２...７０ｎそれぞれについて、秘密データ８０を用いて第１コード７１１，７１２...７１ｎを生成してもよい。そして、プログラム送信装置１０は、制御プログラム７０と、生成した複数の第１コード７１１，７１２...７１ｎを含むファイル７３を生成してもよい。図１２に示される例においては、ＰＬＣ４０は、個々のモジュールについて、上記実施の形態と同様に第２コード７２を生成し、２つのコードを比較すればよい。
　また、プログラム送信装置１０が秘密データ８０を生成する例について説明したが、これには限定されない。ＰＬＣ４０によって生成された秘密データ８０をプログラム送信装置１０がＰＬＣ４０と共有してもよいし、他の装置によって生成された秘密データ８０を、プログラム送信装置１０及びＰＬＣ４０に共有させてもよい。
　また、プログラム送信装置１０とサーバ３０とが別個に構成される例について説明したが、これには限定されない。例えば、端末であるプログラム送信装置１０が、サーバ３０の機能を有することにより、プログラム送信装置１０とサーバ３０とが一体的に構成されてもよい。また、上述の制御システム１０００からサーバ３０を省略して、端末又はサーバ装置であるプログラム送信装置１０が、制御プログラム７０をＰＬＣ４０に直接送信してもよい。サーバ３０が省略される場合においても、制御プログラム７０が伝送される際の改変を検知することにより、ＰＬＣ４０が外部から取得するプログラムに関する安全性を向上させることができる。
　また、プログラム送信装置１０、サーバ３０及びＰＬＣ４０の機能は、専用のハードウェアによっても、また、通常のコンピュータシステムによっても実現することができる。
　例えば、プロセッサ６１によって実行されるプログラムＰ１を、コンピュータ読み取り可能な非一時的な記録媒体に格納して配布し、そのプログラムＰ１をコンピュータにインストールすることにより、上述の処理を実行する装置を構成することができる。このような記録媒体としては、例えばフレキシブルディスク、ＣＤ－ＲＯＭ（Compact Disc Read－Only Memory）、ＤＶＤ（Digital Versatile Disc）、ＭＯ（Magneto－Optical Disc）が考えられる。
　また、プログラムＰ１をインターネットに代表される通信ネットワーク上のサーバ装置が有するディスク装置に格納しておき、例えば、搬送波に重畳させて、コンピュータにダウンロードするようにしてもよい。
　また、通信ネットワークを介してプログラムＰ１を転送しながら起動実行することによっても、上述の処理を達成することができる。
　さらに、プログラムＰ１の全部又は一部をサーバ装置上で実行させ、その処理に関する情報をコンピュータが通信ネットワークを介して送受信しながらプログラムを実行することによっても、上述の処理を達成することができる。
　なお、上述の機能を、ＯＳ（Operating System）が分担して実現する場合又はＯＳとアプリケーションとの協働により実現する場合には、ＯＳ以外の部分のみを媒体に格納して配布してもよく、また、コンピュータにダウンロードしてもよい。
　また、プログラム送信装置１０、サーバ３０及びＰＬＣ４０の機能を実現する手段は、ソフトウェアに限られず、その一部又は全部を、回路を含む専用のハードウェアによって実現してもよい。
　本開示は、本開示の広義の精神と範囲を逸脱することなく、様々な実施の形態及び変形が可能とされるものである。また、上述した実施の形態は、本開示を説明するためのものであり、本開示の範囲を限定するものではない。つまり、本開示の範囲は、実施の形態ではなく、請求の範囲によって示される。そして、請求の範囲内及びそれと同等の開示の意義の範囲内で施される様々な変形が、本開示の範囲内とみなされる。
　本開示は、実行すべきプログラムを外部から取得するプログラマブルコントローラを有するシステムに適している。
　１０００　制御システム、　１０，１０ａ　プログラム送信装置、　１０ｂ　端末、　１１　処理部、　１１１　プログラム取得部、　１１２　秘密データ生成部、　１１３　第１コード生成部、　１１４　ファイル生成部、　１２　記憶部、　１２１　サーバ識別情報、　１３　送信部、　２０　ネットワーク、　３０　サーバ、　３１　受信部、　３２　記憶部、　３３　送信部、　４０　ＰＬＣ、　４１　受信部、　４２　記憶部、　４２１　プログラム取得先情報、　４２２　サーバ識別情報、　４２３　ファイル識別情報、　４３　処理部、　４３１　要求部、　４３２　抽出部、　４３３第２コード生成部、　４３４　照合部、　４３５　実行部　４４　プログラムメモリ、　５０　機器、　６１　プロセッサ、　６２　主記憶部、　６３　補助記憶部、　６４　入力部、　６５　出力部、　６６　通信部、　６７　内部バス、　７０　制御プログラム、　７０ａ　受信プログラム、　７０ｂ　プログラム、　７０１，７０２，７０ｎ　モジュール、　７１，７１１，７１２，７１ｎ　第１コード、　７２　第２コード、　７３　ファイル、　８０～８４　秘密データ、　Ｐ１　プログラム、　Ｕ１，Ｕ２　ユーザ。

Claims (10)

  1. 　機器を制御するプログラマブルコントローラと、前記プログラマブルコントローラに前記機器を制御させるための制御プログラムを送信するプログラム送信装置と、を備える制御システムであって、
    　前記プログラム送信装置は、
    　前記制御プログラムを取得するプログラム取得手段と、
    　前記制御プログラムからの変更の有無を検証するための第１コードを、前記制御プログラム及び予め定められたデータから予め定められた手順で生成する第１コード生成手段と、
    　前記制御プログラム及び前記第１コードを送信する送信手段と、を有し、
    　前記プログラマブルコントローラは、
    　前記送信手段によって送信された前記制御プログラムとしての受信プログラム及び前記第１コードを受信する受信手段と、
    　前記受信プログラム及び予め前記プログラム送信装置と共有される前記データから前記手順で第２コードを生成する第２コード生成手段と、
    　前記第１コードが前記第２コードに等しい場合に、前記受信プログラムを実行する実行手段と、を有する、
    　制御システム。
  2. 　前記実行手段は、前記第１コードが前記第２コードとは異なる場合に、前記受信プログラムを実行することなく破棄する、
    　請求項１に記載の制御システム。
  3. 　前記第１コード生成手段は、前記データ及び前記制御プログラムのハッシュ値を前記第１コードとして生成し、
    　前記第２コード生成手段は、前記データ及び前記受信プログラムのハッシュ値を前記第２コードとして生成する、
    　請求項１又は２に記載の制御システム。
  4. 　前記プログラム送信装置の前記第１コード生成手段は、前記制御プログラム及び複数のユーザのうちの前記制御プログラムを使用する一のユーザに対応する前記データから前記第１コードを生成し、
    　前記プログラマブルコントローラの前記第２コード生成手段は、前記受信プログラム、及び、予め前記プログラム送信装置と共有される前記データであって、前記複数のユーザのうちの特定のユーザに対応する前記データから前記第２コードを生成する、
    　請求項１から３のいずれか一項に記載の制御システム。
  5. 　前記プログラマブルコントローラと、複数の前記プログラム送信装置と、を備える制御システムであって、
    　複数の前記プログラム送信装置の前記第１コード生成手段はそれぞれ、前記制御プログラム及び該第１コード生成手段を有する前記プログラム送信装置に対応する前記データから前記第１コードを生成し、
    　前記プログラマブルコントローラの前記第２コード生成手段は、前記受信プログラム及び複数の前記プログラム送信装置のうちの特定の前記プログラム送信装置と予め共有される前記データから前記第２コードを生成する、
    　請求項１から４のいずれか一項に記載の制御システム。
  6. 　前記プログラム送信装置は、前記制御プログラム及び前記第１コードを暗号化する暗号化手段、をさらに有し、
    　前記送信手段は、前記暗号化手段によって暗号化された前記制御プログラム及び前記第１コードを送信し、
    　前記受信手段は、暗号化された前記受信プログラム及び前記第１コードを受信し、
    　前記プログラマブルコントローラは、暗号化された前記受信プログラム及び前記第１コードを復号する復号手段、をさらに有する、
    　請求項１から５のいずれか一項に記載の制御システム。
  7. 　前記プログラマブルコントローラと、前記プログラム送信装置と、サーバと、を備える制御システムであって、
    　前記プログラム送信装置の前記送信手段は、前記制御プログラム及び前記第１コードを前記サーバに送信し、
    　前記サーバは、前記送信手段によって送信された前記制御プログラム及び前記第１コードを受信し、受信した前記制御プログラムとしての前記受信プログラム及び前記第１コードを前記プログラマブルコントローラに送信する、
    　請求項１から６のいずれか一項に記載の制御システム。
  8. 　機器を制御するための、プログラム送信装置によって送信された制御プログラムとしての受信プログラムを受信するプログラマブルコントローラであって、
    　前記受信プログラムと、前記制御プログラムからの変更の有無を検証するための第１コードであって、該制御プログラム及び前記プログラム送信装置が記憶するデータから予め定められた手順で生成された前記第１コードと、を受信する受信手段と、
    　前記受信プログラム及び予め前記プログラム送信装置と共有される前記データから前記手順で第２コードを生成する第２コード生成手段と、
    　前記第１コードが前記第２コードに等しい場合に、前記受信プログラムを実行する実行手段と、
    　を備えるプログラマブルコントローラ。
  9. 　機器を制御するプログラマブルコントローラと、前記プログラマブルコントローラに前記機器を制御させるための制御プログラムを送信するプログラム送信装置と、によって実行される制御プログラム送信方法であって、
    　前記プログラム送信装置が、前記制御プログラムからの変更の有無を検証するための第１コードを、前記制御プログラム及び予め定められたデータから予め定められた手順で生成し、
    　前記プログラム送信装置が、前記制御プログラム及び前記第１コードを送信し、
    　前記プログラマブルコントローラが、前記プログラム送信装置によって送信された前記制御プログラムとしての受信プログラム及び前記第１コードを受信し、
    　前記プログラマブルコントローラが、前記受信プログラム及び予め前記プログラム送信装置と共有される前記データから前記手順で第２コードを生成し、
    　前記プログラマブルコントローラが、前記第１コードが前記第２コードに等しい場合に、前記受信プログラムを実行する、
    　ことを含む制御プログラム送信方法。
  10. 　機器を制御するための、プログラム送信装置によって送信された制御プログラムとしての受信プログラムを受信するプログラマブルコントローラを、
    　前記受信プログラムと、前記制御プログラムからの変更の有無を検証するための第１コードであって、該制御プログラム及び前記プログラム送信装置が記憶するデータから予め定められた手順で生成された前記第１コードと、を受信する受信手段、
    　前記受信プログラム及び予め前記プログラム送信装置と共有される前記データから前記手順で第２コードを生成する第２コード生成手段、
    　前記第１コードが前記第２コードに等しい場合に、前記受信プログラムを実行する実行手段、
    　として機能させるためのコントローラプログラム。
PCT/JP2021/021794 2021-06-08 2021-06-08 制御システム、プログラマブルコントローラ、制御プログラム送信方法及びコントローラプログラム Ceased WO2022259384A1 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
JP2023526694A JP7511758B2 (ja) 2021-06-08 2021-06-08 制御システム、制御プログラム送信方法及びプログラム
CN202180088741.8A CN117377915A (zh) 2021-06-08 2021-06-08 控制系统、可编程控制器、控制程序发送方法及控制器程序
PCT/JP2021/021794 WO2022259384A1 (ja) 2021-06-08 2021-06-08 制御システム、プログラマブルコントローラ、制御プログラム送信方法及びコントローラプログラム
DE112021007785.6T DE112021007785T5 (de) 2021-06-08 2021-06-08 Steuerungssystem, programmierbare Steuerung, Steuerungsprogramm-Übertragungsverfahren und Steuerungsprogramm
US18/033,578 US12596344B2 (en) 2021-06-08 2021-06-08 Control system, control program transmission method, and recording medium

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2021/021794 WO2022259384A1 (ja) 2021-06-08 2021-06-08 制御システム、プログラマブルコントローラ、制御プログラム送信方法及びコントローラプログラム

Publications (1)

Publication Number Publication Date
WO2022259384A1 true WO2022259384A1 (ja) 2022-12-15

Family

ID=84425957

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2021/021794 Ceased WO2022259384A1 (ja) 2021-06-08 2021-06-08 制御システム、プログラマブルコントローラ、制御プログラム送信方法及びコントローラプログラム

Country Status (5)

Country Link
US (1) US12596344B2 (ja)
JP (1) JP7511758B2 (ja)
CN (1) CN117377915A (ja)
DE (1) DE112021007785T5 (ja)
WO (1) WO2022259384A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2014097444A1 (ja) * 2012-12-20 2014-06-26 三菱電機株式会社 制御システム及びプログラム送信装置及び認証サーバ及びプログラム保護方法及びプログラム送信方法及びプログラム送信装置のプログラム
JP2018128722A (ja) * 2017-02-06 2018-08-16 株式会社日立産機システム プログラマブルロジックコントローラ
US20200193000A1 (en) * 2018-12-14 2020-06-18 Rockwell Automation Technologies, Inc. Rapid file authentication on automation devices

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4916170B2 (ja) 2005-12-26 2012-04-11 株式会社デジタル プログラマブル表示器、サーバおよびそれらのプログラム
US9069966B2 (en) * 2011-10-11 2015-06-30 International Business Machines Corporation Code updates in processing systems
CN103809517B (zh) * 2014-02-21 2016-08-24 大族激光科技产业集团股份有限公司 数控机床的控制系统及其加密方法
CN107545195B (zh) * 2017-09-11 2019-11-22 浙江大学 一种加密控制器应用程序开发框架及方法
CN112305986B (zh) * 2020-10-23 2021-08-17 广州大学 基于验证分离的plc防护系统、方法及介质

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2014097444A1 (ja) * 2012-12-20 2014-06-26 三菱電機株式会社 制御システム及びプログラム送信装置及び認証サーバ及びプログラム保護方法及びプログラム送信方法及びプログラム送信装置のプログラム
JP2018128722A (ja) * 2017-02-06 2018-08-16 株式会社日立産機システム プログラマブルロジックコントローラ
US20200193000A1 (en) * 2018-12-14 2020-06-18 Rockwell Automation Technologies, Inc. Rapid file authentication on automation devices

Also Published As

Publication number Publication date
JP7511758B2 (ja) 2024-07-05
US12596344B2 (en) 2026-04-07
US20230393549A1 (en) 2023-12-07
JPWO2022259384A1 (ja) 2022-12-15
DE112021007785T5 (de) 2024-03-28
CN117377915A (zh) 2024-01-09

Similar Documents

Publication Publication Date Title
US11159329B2 (en) Collaborative operating system
US20050240712A1 (en) Remote USB security system and method
CN101316168B (zh) 认证装置以及认证方法
CN111181723B (zh) 物联网设备间离线安全认证的方法和装置
WO2015180261A1 (zh) 智能家居的访问方法、控制中心设备及穿戴终端
JP6476167B2 (ja) 自己認証デバイス及び自己認証方法
CN113079001A (zh) 密钥更新方法、信息处理设备及密钥更新装置
US8832446B2 (en) Secure data transfer in an automation network
JP2007102785A (ja) 保安方法及びシステム、その方法を記録したコンピュータで読み取り可能な記録媒体
CN105868657A (zh) 装置和用于安全地操作该装置的方法
WO2022259384A1 (ja) 制御システム、プログラマブルコントローラ、制御プログラム送信方法及びコントローラプログラム
JP4684714B2 (ja) ファイル管理システム、及びプログラム
US8750522B2 (en) Method and security system for the secure and unequivocal encoding of a security module
EP3665859A1 (en) Apparatus and method for encapsulation of profile certificate private keys or other data
CN101515257B (zh) 一种存储设备及其解密方法
JP6965790B2 (ja) 電子情報記憶媒体、コマンド処理方法、及びプログラム
JP5631164B2 (ja) マルチクラスタ分散処理制御システム、代表クライアント端末、マルチクラスタ分散処理制御方法
JP2021114157A (ja) 電子情報記憶媒体、認証コード生成方法、認証コード検証方法、及びプログラム
TWI621347B (zh) 偽造指令自動過濾系統、協同運作系統、與相關的指令核實電路
JP4774907B2 (ja) カード通信システム，リーダライタ及びｉｃカード
JP7221462B1 (ja) プログラマブルロジックコントローラ、制御方法及びプログラム
US20260128881A1 (en) Semiconductor device and control method of semiconductor device
US20250330319A1 (en) Methods and system to authenticate client-side transmission access
RU2342697C2 (ru) Портативное устройство хранения данных с системой шифрования
CN116451185A (zh) 一种应用程序的保护方法及装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 21945061

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2023526694

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 202180088741.8

Country of ref document: CN

WWE Wipo information: entry into national phase

Ref document number: 112021007785

Country of ref document: DE

122 Ep: pct application non-entry in european phase

Ref document number: 21945061

Country of ref document: EP

Kind code of ref document: A1

WWG Wipo information: grant in national office

Ref document number: 18033578

Country of ref document: US