JP2011170581A - 安全制御装置、および、安全制御装置の制御方法 - Google Patents

Abstract

【課題】交換および設定データの更新の手順の簡略化および設定データのセキュリティ対策を両立すること。
【解決手段】安全制御装置によって、記録媒体を用いた設定データの更新を許可するか否かを識別可能な許可禁止情報が記憶部に記憶させられ（ステップＳ１１３，ステップＳ１１５）、記憶部に記憶された許可禁止情報が許可しないことを示す場合、記録媒体インターフェースに接続された記録媒体に記憶された設定データで、記憶部に記憶された設定データを更新することが禁止され（ステップＳ１２４，ステップＳ１２５）、記憶部に記憶された許可禁止情報が許可することを示す場合、記録媒体インターフェースに接続された記録媒体に記憶された設定データで、記憶部に記憶された設定データが更新される（ステップＳ１２４，ステップＳ１２３）。
【選択図】図３

Description

この発明は、安全制御装置、および、安全制御装置の制御方法に関し、特に、安全制御装置の設定データの更新に適した安全制御装置、および、安全制御装置の制御方法に関する。

自動車や半導体などの製造システムにおいて、システム稼働率向上のために、寿命または故障が発生した部品または装置を交換または更新する時間を短縮することが強く求められている。その交換作業および更新作業を担当する者は、「製造システム管理者」および「保守担当者」と呼ばれる。製造システム管理者および保守担当者は、製造システムの規模に応じて、相当数の部品および装置の保守を行わなければならない。

しかし、部品または装置により、その手順は様々である。このため、随時、ユーザーズマニュアル等で手順を確認しながらの交換または更新となることが多い。ＰＬＣ（Programmable Logic Controller）などの電子部品については、特にその傾向が強い。リレーおよびスイッチなどのメカ部品であれば物理的な交換だけの作業となるが、電子部品については、物理的な交換に加えて、設定データの移行が必要になるからである。

加えて、ソフトウェア不具合などのために、設定データのみを更新するケースもある。特に、製造システムが本稼動に入る前の「立上げデバッグ」フェーズでは、製造システム管理者により、この更新が頻繁に行われることがしばしばである。

さらに、電子部品のうちでも、安全コントローラのような製造システムの安全機能を実現する部品または装置においては、交換ミスまたは更新ミスによる危険事象の発生を防止するため、さらなる追加的な手順が必要であることが多い。

また、少ない手順で物理的な交換と設定データの移行とを可能とした安全コントローラも存在する。しかし、悪意的な設定データの書き換えを防げないなど、セキュリティ対策が不十分である。

このような背景より、交換および更新手順の簡略化と不正に対するセキュリティ対策とを両立した、安全コントローラの提供が課題である。特に、セキュリティ対策については、製造システム管理者と保守担当者との間にセキュリティレベル設定があり、常に厳しく制約することでは利便性が落ちる。繰返しになるが、具体的には、製造システム管理者からは頻繁な設定データの更新を行なうことが求められ、保守担当者からは不正な更新の防止が求められる。

図９は、従来技術Ａにおける安全コントローラ２００Ａの制御データの更新を説明するための図である。図９を参照して、従来技術Ａとして、Ａ社製製品ａ１においては、安全コントローラ２００Ａの本体内部のＮＶＳ（Nonvolatile Storage、不揮発性記憶装置）２２０Ａに設定データを保存するようにしていた。そして、安全コントローラ２００Ａが動作する際には、ＭＰＵ（Micro Processing Unit）２１０Ａが、ＮＶＳ２２０Ａから設定データを読込んで、読込んだ設定データに従って動作するようにしていた。

この製品ａ１においては、設定データの更新は、安全コントローラ２００Ａを設定するためのソフトウェアがインストールされたパーソナルコンピュータ（以下「ＰＣ（Personal Computer）」ともいう）３００Ａによって、ＵＳＢ（Universal Serial Bus）ケーブル９００およびＵＳＢコネクタ２３０Ａを介して、ＮＶＳ２２０Ａに記憶されている設定データが新たな設定データに上書きされることによって行なわれる。

また、安全コントローラ２００Ａの交換時の設定データの更新は、安全コントローラ２００Ａを交換した後、ＰＣ３００Ａによって、ＵＳＢケーブル９００およびＵＳＢコネクタ２３０Ａを介して、従来の設定データがＮＶＳ２２０Ａに新たに書込まれることによって行なわれる。

図１０は、従来技術Ｂにおける安全コントローラ２００Ｂの制御データの更新を説明するための図である。図１０を参照して、従来技術Ｂとして、従来技術Ａを改良した安全コントローラ２００Ｂが考えられる。この安全コントローラ２００Ｂにおいては、設定データの保存、および、設定データに従った動作は、従来技術Ａの製品ａ１と同様に行なわれる。

この従来技術Ｂの安全コントローラ２００Ｂにおいては、設定データの更新は、ＰＣ３００Ｂによって、ＵＳＢケーブル９００およびＵＳＢコネクタ２３０Ｂを介して、安全コントローラ２００Ｂが出荷時状態に初期化された後に、安全コントローラ２００Ｂによって、メモリスロット２４０Ｂに挿入されたメモリ媒体４００Ｂから新たな設定データが読込まれて、読込まれた設定データがＮＶＳ２２０Ｂに新たに書込まれることによって行なわれるようにする。

また、安全コントローラ２００Ｂの交換時の設定データの更新は、安全コントローラ２００Ｂを交換した後、前述の安全コントローラ２００Ｂの交換時ではない設定データの更新と同様の方法で行なわれる。

図１１は、従来技術Ｃにおける安全コントローラ２００Ｃの制御データの更新を説明するための図である。図１１を参照して、従来技術Ｃとして、Ｂ社製製品ｂにおいては、設定データの保存、および、設定データに従った動作は、従来技術Ａの製品ａ１と同様に行なわれる。

この製品ｂにおいては、設定データの更新は、特定端子２９０Ｃが短絡されることで出荷時状態に初期化された後、安全コントローラ２００Ｃによって、メモリスロット２４０Ｃに挿入されたメモリ媒体４００Ｃから新たな設定データが読込まれて、読込まれた設定データがＮＶＳ２２０Ｃに新たに書込まれることによって行なわれる。

また、安全コントローラ２００Ｃの交換時の設定データの更新は、安全コントローラ２００Ｃを交換した後、前述の安全コントローラ２００Ｃの交換時ではない設定データの更新と同様の方法で行なわれる。

図１２は、従来技術Ｄにおける安全コントローラ２００Ｄの制御データの更新を説明するための図である。図１２を参照して、従来技術Ｄとして、Ｃ社製製品ｃにおいては、安全コントローラ２００Ｄの本体内部には、設定データを保存するようにせず、安全コントローラ２００Ｄが動作する際には、ＭＰＵ２１０Ｄが、メモリスロット２４０Ｄに挿入されたメモリ媒体４００Ｄから、直接、設定データを読込んで、読込んだ設定データに従って動作するようにしていた。

このため、この製品ｃにおいては、設定データの更新は、メモリ媒体４００Ｄを新たな設定データが記憶されたものに交換することによって行なわれる。

また、安全コントローラ２００Ｄの交換時の設定データの更新は、安全コントローラ２００Ｄを交換した後、従来の設定データが記憶されたメモリ媒体４００Ｄがメモリスロット２４０Ｄに挿入されることによって行なわれる。

従来技術Ｅとして、Ａ社製製品ａ２（特許文献１参照）においては、コントローラ本体前面に取付けられている、ユーザが操作可能なディップスイッチを特定の値としておくことで、メモリ媒体からの書込みを禁止するようにしていた。

特開昭６２−８９１０６号公報

図１３は、従来技術における交換および更新手順の簡単さならびにセキュリティ対策の比較を説明するための図である。図１３を参照して、従来技術Ａにおいては、ＰＣ３００Ａからパスワードを入力しない限り、安全コントローラ２００Ａへの設定データの書込みができないため、セキュリティ対策に関しては、特に課題はなかった。

しかし、従来技術Ａにおいては、前述したように、メモリスロットなどの記録媒体インターフェースを持たない。このため、安全コントローラ２００Ａの交換および設定データの更新の際に、ＰＣ３００Ａが必要となり、煩雑である。したがって、安全コントローラ２００Ａの交換および設定データの更新における手順の簡単さには、課題があった。

従来技術Ｂにおいては、安全コントローラ２００Ｂの交換の際には、ＰＣ３００Ｂを用いなくても、メモリ媒体４００Ｂをメモリスロット２４０Ｂに挿入するのみで、設定データを書込むことができる。このため、安全コントローラ２００Ｂの交換における手順の簡単さに関しては、特に課題はなかった。

また、従来技術Ｂにおいては、ＰＣ３００Ｂからパスワードを入力しない限り、安全コントローラ２００Ｂを出荷時状態に戻すことができないため設定データの書込みができない。このため、セキュリティ対策に関しては、特に課題はなかった。

しかし、従来技術Ｂにおいては、安全コントローラ２００Ｂの設定データの更新の際に、ＰＣ３００Ｂを用いて安全コントローラ２００Ｂを出荷時状態に戻さなければならない。このため、ＰＣ３００Ｂが必要となり、煩雑である。したがって、安全コントローラ２００Ｂの設定データの更新における手順の簡単さには、課題があった。

従来技術Ｃにおいては、安全コントローラ２００Ｃの交換の際には、メモリ媒体４００Ｃをメモリスロット２４０Ｃに挿入するのみで、設定データを書込むことができる。このため、安全コントローラ２００Ｃの交換における手順の簡単さに関しては、特に課題はなかった。

しかし、従来技術Ｃにおいては、安全コントローラ２００Ｃの設定データの更新の際に、特定端子２９０Ｃを短絡して安全コントローラ２００Ｃを起動することで安全コントローラ２００Ｃを出荷時状態に戻す手順が必要となる。したがって、安全コントローラ２００Ｃの設定データの更新における手順の簡単さには、軽微な課題があった。

また、従来技術Ｃにおいては、特定端子２９０Ｃを短絡するだけで、誰でも出荷時状態に戻せるため、不正な更新が可能である。このため、セキュリティ対策に関しては、課題があった。

従来技術Ｄにおいては、安全コントローラ２００Ｄの交換および設定データの更新の際に、メモリ媒体４００Ｄを挿入するだけであり、しかも、交換と更新の手順が同一である。このため、安全コントローラ２００Ｄの交換および設定データの更新における手順の簡単さに関しては、特に課題はなかった。

しかし、メモリ媒体４００Ｄを作成すれば、誰でも、安全コントローラ２００Ｄの設定データの更新が可能である。このため、セキュリティ対策に関しては、課題があった。

従来技術Ｅにおいては、ディップスイッチを操作すれば、誰でも、コントローラの設定データの更新が可能である。このため、セキュリティ対策に関しては、課題があった。コントローラの交換および設定データの更新に関しては、当該装置は、従来技術Ａ〜Ｄの安全コントローラとは異なり、標準ＰＬＣであるため、比較はしていない。

このように、安全コントローラの交換および設定データの更新の手順の簡略化と設定データのセキュリティ対策とを両立した安全コントローラは今までになかった。

この発明は、上述の問題を解決するためになされたものであり、その目的の１つは、交換および設定データの更新の手順の簡略化および設定データのセキュリティ対策を両立することが可能な安全制御装置および安全制御装置の制御方法を提供することである。

上述の目的を達成するために、この発明のある局面によれば、安全制御装置は、設定データを含むデータを不揮発的かつ書換え可能に記憶する記憶部と、前記記憶部に記憶された前記設定データに従って安全入力機器からの入力信号に基づいて安全出力機器を制御する制御部とを有する。安全制御装置は、記録媒体から所定のデータを読込むための記録媒体インターフェースを備える。

前記制御部は、前記記録媒体を用いた前記設定データの更新を許可するか否かを識別可能な許可禁止情報を前記記憶部に記憶させる許可禁止記憶手段と、前記記憶部に記憶された前記許可禁止情報が許可しないことを示す場合、前記記録媒体インターフェースに接続された前記記録媒体に記憶された前記設定データで、前記記憶部に記憶された前記設定データを更新することを禁止する禁止手段と、前記記憶部に記憶された前記許可禁止情報が許可することを示す場合、前記記録媒体インターフェースに接続された前記記録媒体に記憶された前記設定データで、前記記憶部に記憶された前記設定データを更新する更新手段とを含む。

好ましくは、前記許可禁止記憶手段は、前記記録媒体インターフェースに接続された前記記録媒体から、前記記録媒体を用いた前記設定データの更新を許可しないことを示す情報が入力されたときに、前記記録媒体を用いた前記設定データの更新を許可しないことを識別可能な許可禁止情報を記憶させる。

好ましくは、安全制御装置は、外部コンピュータとの間で所定の通信を行なうための通信インターフェースをさらに備える。前記許可禁止記憶手段は、前記外部コンピュータから前記通信インターフェースを介して、前記記録媒体を用いた前記設定データの更新を許可するか否かを示す情報が入力されたときに、当該情報が示す内容を識別可能な前記許可禁止情報を記憶させる。

さらに好ましくは、前記更新手段は、前記記憶部に記憶された前記許可禁止情報が許可することを示すか否かに関わらず、前記外部コンピュータから前記通信インターフェースを介して入力される前記設定データで、前記記憶部に記憶された前記設定データを更新する。

この発明の他の局面によれば、安全制御装置の制御方法は、設定データを含むデータを不揮発的かつ書換え可能に記憶する記憶部と、前記記憶部に記憶された前記設定データに従って安全入力機器からの入力信号に基づいて安全出力機器を制御する制御部とを有する安全制御装置の制御方法である。

安全制御装置の制御方法は、前記制御部が、記録媒体を用いた前記設定データの更新を許可するか否かを識別可能な許可禁止情報を前記記憶部に記憶させるステップと、前記記憶部に記憶された前記許可禁止情報が許可しないことを示す場合、前記記録媒体から所定のデータを読込むための記録媒体インターフェースに接続された前記記録媒体に記憶された前記設定データで、前記記憶部に記憶された前記設定データを更新することを禁止するステップと、前記記憶部に記憶された前記許可禁止情報が許可することを示す場合、前記記録媒体インターフェースに接続された前記記録媒体に記憶された前記設定データで、前記記憶部に記憶された前記設定データを更新するステップとを含む。

この発明に従えば、安全制御装置によって、記録媒体を用いた設定データの更新を許可するか否かを識別可能な許可禁止情報が記憶部に記憶させられ、記憶部に記憶された許可禁止情報が許可しないことを示す場合、記録媒体インターフェースに接続された記録媒体に記憶された設定データで、記憶部に記憶された設定データを更新することが禁止され、記憶部に記憶された許可禁止情報が許可することを示す場合、記録媒体インターフェースに接続された記録媒体に記憶された設定データで、記憶部に記憶された設定データが更新される。

このため、安全制御装置によって、記憶部に記憶させられた許可禁止情報が許可しないことを示す場合、設定データの更新が禁止されるので、設定データのセキュリティ対策をすることができる一方、許可禁止情報が許可することを示す場合、記録媒体が記録媒体インターフェースに接続されるだけで、記録媒体に記憶された設定データで、記憶部に記憶された設定データが更新されるので、安全制御装置の交換および設定データの更新を簡単に行なうことができる。

その結果、交換および設定データの更新の手順の簡略化および設定データのセキュリティ対策を両立することが可能な安全制御装置および安全制御装置の制御方法を提供することができる。

本発明の実施の形態に係る安全コントローラをスタンドアローンで使用する場合のシステム構成の一例を示す図である。 本発明の実施の形態に係る安全コントローラの構成の概略を示すブロック図である。 本実施の形態における安全コントローラで実行される更新関連処理の流れを示すフローチャートである。 本発明の実施の形態に係るメモリ媒体からの更新許可／禁止情報の変更を説明するための図である。 本発明の実施の形態に係るＰＣからの更新許可／禁止情報の変更を説明するための図である。 本発明の実施の形態に係る安全コントローラのメモリ媒体による設定データの更新に関する状態を説明するための図である。 本発明の実施の形態に係る安全コントローラのメモリ媒体による設定データの更新を説明するための図である。 本発明の実施の形態に係る安全コントローラの各フェーズにおける設定データの更新の一例を説明するための図である。 従来技術Ａにおける安全コントローラの制御データの更新を説明するための図である。 従来技術Ｂにおける安全コントローラの制御データの更新を説明するための図である。 従来技術Ｃにおける安全コントローラの制御データの更新を説明するための図である。 従来技術Ｄにおける安全コントローラの制御データの更新を説明するための図である。 従来技術における交換および更新手順の簡単さならびにセキュリティ対策の比較を説明するための図である。

以下、この発明の実施の形態について、図面を参照しながら詳細に説明する。なお、図中の同一または相当部分については、同一符号を付してその説明は繰返さない。

また、以下の実施の形態において、部品・装置とは、リレー、スイッチ、センサ、アクチュエータ、ＰＬＣ、安全コントローラなど、製造システムの構成要素をいう。安全コントローラとは、安全制御に使用される高い信頼性を持つコントローラをいう。

設定データとは、ユーザプログラム、ＧＵＩデータ、ＩＯ端子設定など、ユーザが設定ツールにて作成し、安全コントローラへ書き込む（ダウンロードする）データをいう。安全コントローラは、この設定データに従い動作を行う。リストアとは、メモリ媒体を用いて、設定データを書き込む行為をいう。リストアの場合、パソコンを用いる必要がなく、交換・更新の省工数化となる。

部品・装置の交換とは、新部品・装置への置換えを意味する。安全コントローラの交換は、以下の手順により実現される。

（Ｓｔｅｐ１）［物理的な交換］現品を取外し、新品に置き換える。
（Ｓｔｅｐ２）［設定データの移行］現品と同一設定データを新品に書き込む。

部品・装置の更新とは、設定データの書換えのみを意味する。安全コントローラの更新は、以下のいずれかの手順により実現される。

（Ｓｔｅｐ１）［設定データの更新］現設定データに新設定データを上書きする、もしくは、入れ換える。

または、
（Ｓｔｅｐ１）［設定データの初期化］現設定データを初期化（消去）する。

（Ｓｔｅｐ２）［設定データの書込み］新設定データを書き込む。
セキュリティ対策とは、不正な更新（設定データの書換え）を防止するための対策をいう。出荷時状態とは、一切の設定データが書き込まれていない状態をいい、安全コントローラが工場から出荷された状態と同一の状態をいう。

図１は、本発明の実施の形態に係る安全コントローラ１００をスタンドアローンで使用する場合のシステム構成の一例を示す図である。図１を参照して、このシステムは、安全コントローラ１００と、安全制御に用いられる安全入力信号を安全コントローラ１００に入力する安全入力機器５００と、安全コントローラ１００から出力された安全出力信号で制御される安全出力機器６００と、安全コントローラ１００を設定するために用いられるＰＣ３００とを含む。安全コントローラ１００とＰＣ３００とは、ＵＳＢケーブル９００で接続される。

ＰＣ３００には、安全コントローラ１００を設定するために用いられるソフトウェアの設定ツールがインストールされている。

安全入力機器５００には、たとえば、制御対象の装置を非常停止させるための操作を受付ける非常停止押しボタン５００Ａ、所定の進入禁止エリアへの人の進入を検知するライトカーテン５００Ｂ、安全扉の開閉を検知するドアスイッチ５００Ｃ、および、２つのボタンが操作されることによって１つの指示を受付ける２ハンドスイッチ５００Ｄなどが含まれる。

安全出力機器６００には、制御対象のモータなどの電路を遮断するためのコンタクタ６００Ａが含まれる。

図２は、本発明の実施の形態に係る安全コントローラ１００の構成の概略を示すブロック図である。図２を参照して、安全コントローラ１００は、ＣＰＵ（Central Processing Unit）１０１と、入力回路１５０と、出力回路１６０と、メモリスロット１４０と、ＵＳＢ回路１３０と、設定回路１７０と、通信回路１８０と、表示回路１９０とを含む。

ＣＰＵ１０１は、安全コントローラ１００の各部を制御するための制御部である。ＣＰＵ１０１は、ＭＰＵ１１０、ＮＶＳ１２０、ＲＡＭ（Random Access Memory）１２１、および、ＲＯＭ（Read Only Memory）１２２を含む。

ＮＶＳ１２０は、設定データなどを記憶する。ＮＶＳ１２０は、たとえば、フラッシュメモリ、ＥＥＰＲＯＭ（Electrically Erasable and Programmable Read Only Memory）、または、ＦＲＡＭ（ＦｅＲＡＭ、Ferroelectric Random Access Memory）で構成される。ＲＯＭ１２２は、安全コントローラ１００が動作するための基本的なソフトウェアを記憶する。ＲＡＭ１２１は、ＣＰＵ１０１が動作するときのワークメモリとして用いられる。

ＭＰＵ１１０は、ＮＶＳ１２０またはＲＯＭ１２２に記憶されたソフトウェアのプログラムに従って、ＲＡＭ１２１をワークメモリとして、所定の処理を実行する。

入力回路１５０は、安全入力機器５００から安全入力信号の入力を受けるための回路である。出力回路１６０は、安全出力機器６００を制御するための安全出力信号を出力するための回路である。

メモリスロット１４０は、メモリ媒体４００を接続するためのインターフェースである。メモリスロット１４０は、接続されたメモリ媒体４００から所定の情報を読出したり、所定の情報を書込んだりする。

ＵＳＢ回路１３０は、ＵＳＢケーブル９００を介してＰＣ３００などのＵＳＢ機器を接続するためのインターフェースである。

設定回路１７０は、安全コントローラ１００の各種設定を受付けるための操作部を含む回路である。

通信回路１８０は、他の安全コントローラ１００、セーフティスレーブ、スタンダードＰＬＣ、スタンダードスレーブ、または、ＰＣなどの他の装置との通信のインターフェースである。

表示回路１９０は、ＬＥＤ（Light Emitting Diode）インジケータおよび７セグメントＬＥＤなどの表示部を含み、安全コントローラ１００の状態および設定内容を表示部に表示するための回路である。

図３は、本実施の形態における安全コントローラ１００で実行される更新関連処理の流れを示すフローチャートである。図３を参照して、この更新関連処理は、安全コントローラ１００における設定データの更新に関連する処理である。

まず、ステップＳ１０１で、安全コントローラ１００のＭＰＵ１１０は、ＵＳＢ回路１３０のソケットにＵＳＢケーブル９００を介してＰＣ３００が接続されたか否かを判断する。ＰＣ３００が接続されたと判断した場合（ステップＳ１０１でＹＥＳと判断した場合）、ステップＳ１０２で、ＭＰＵ１１０は、ＰＣ３００から入力された情報を判別する。

一方、ＰＣ３００が接続されていないと判断した場合（ステップＳ１０１でＮＯと判断した場合）、ステップＳ１０３で、ＭＰＵ１１０は、メモリスロット１４０にメモリ媒体４００が接続されたか否かを判断する。メモリ媒体４００が接続されたと判断した場合（ステップＳ１０３でＹＥＳと判断した場合）、ステップＳ１０４で、ＭＰＵ１１０は、メモリ媒体４００から情報を読出し、メモリ媒体４００から入力された情報を判別する。

ＰＣ３００もメモリ媒体４００も接続されていないと判断した場合（ステップＳ１０３でＮＯと判断した場合）、ＭＰＵ１１０は、実行する処理をこの更新関連処理の呼出元の処理に戻す。

ステップＳ１０２およびステップＳ１０４の後、ステップＳ１１１で、ＭＰＵ１１０は、ステップＳ１０２またはステップＳ１０４での判別の結果、更新設定情報が入力されたか否かを判断する。

更新設定情報とは、安全コントローラ１００の設定データのメモリ媒体４００による更新を、許可するように設定を変更すること、または、禁止するように設定を変更することのいずれかを示す情報であり、ＰＣ３００から直接的に、または、ＰＣ３００でメモリ媒体４００に書込まれてメモリ媒体４００から間接的に、安全コントローラ１００に入力される。

更新設定情報が入力されたと判断した場合（ステップＳ１１１でＹＥＳと判断した場合）、ステップＳ１１２で、ＭＰＵ１１０は、更新設定情報が、メモリ媒体４００による設定データの更新を、「許可」するように変更することを示すか、「禁止」するように変更することを示すかを判断する。

「禁止」するように変更することを示すと判断した場合、ステップＳ１１３で、ＭＰＵ１１０は、ＮＶＳ１２０に記憶されている更新許可／禁止情報を「禁止」に設定する。更新許可／禁止情報は、安全コントローラ１００の設定データのメモリ媒体４００による更新を、許可するか禁止するかを示す情報であり、出荷時には、「許可」に設定されている。

「許可」するように変更することを示すと判断した場合、ステップＳ１１４で、ＭＰＵ１１０は、当該更新設定情報がパスワード認証済のＰＣ３００から入力されたか否かを判断する。パスワード認証済であるか否かは、ＰＣ３００の設定ツールにおいて正しいパスワードが入力されて認証が行なわれたことを示す認証済情報が、更新設定情報に付されているか否かによって判断する。

なお、ここでは、認証済情報が更新設定情報に付されている場合に、パスワード認証済であると判断するようにしたが、これに限定されず、ＰＣ３００でパスワード認証が行なわれない限り、ＰＣ３００から安全コントローラ１００に更新設定情報が出力されないように構成し、安全コントローラ１００においては、更新設定情報が入力されれば、パスワード認証済であると判断するようにしてもよい。

ＰＣ３００から入力されたと判断した場合（ステップＳ１１４でＹＥＳと判断した場合）、ステップＳ１１５で、ＭＰＵ１１０は、ＮＶＳ１２０に記憶されている更新許可／禁止情報を「許可」に設定する。

一方、更新設定情報が、ＰＣ３００から入力されていないと判断した場合（ステップＳ１１４でＮＯと判断した場合）、つまり、メモリ媒体４００から入力された場合、ステップＳ１１６で、ＭＰＵ１１０は、更新許可／禁止情報を変更できない旨のコードを、表示回路１９０の表示部の７セグメントＬＥＤに表示するよう制御する。

図４は、本発明の実施の形態に係るメモリ媒体４００からの更新許可／禁止情報の変更を説明するための図である。図４を参照して、前述の処理の流れで説明したように、メモリ媒体４００がメモリスロット１４０に接続されて、メモリ媒体４００から更新設定情報が安全コントローラ１００に入力され、入力された更新設定情報が、メモリ媒体４００による設定データの更新を「禁止」することを示す場合、ＮＶＳ１２０に記憶されている「更新許可／禁止」情報が、「禁止」に書換え設定される。

一方、メモリ媒体４００がメモリスロット１４０に接続されて、メモリ媒体４００から更新設定情報が安全コントローラ１００に入力され、入力された更新設定情報が、メモリ媒体４００による設定データの更新を「許可」することを示す場合、ＮＶＳ１２０に記憶されている「更新許可／禁止」情報は書換えられない。

図５は、本発明の実施の形態に係るＰＣ３００からの更新許可／禁止情報の変更を説明するための図である。図５を参照して、前述の処理の流れで説明したように、ＰＣ３００がＵＳＢケーブル９００を介してＵＳＢ回路１３０のソケットに接続されて、ＰＣ３００から更新設定情報が安全コントローラ１００に入力され、入力された更新設定情報が、メモリ媒体４００による設定データの更新を「禁止」することを示す場合、ＮＶＳ１２０に記憶されている「更新許可／禁止」情報が、「禁止」に書換え設定される。

一方、ＰＣ３００がＵＳＢケーブル９００を介してＵＳＢ回路１３０のソケットに接続されて、ＰＣ３００から更新設定情報が安全コントローラ１００に入力され、入力された更新設定情報が、メモリ媒体４００による設定データの更新を「許可」することを示す場合、ＮＶＳ１２０に記憶されている「更新許可／禁止」情報が、「許可」に書換え設定される。

図６は、本発明の実施の形態に係る安全コントローラ１００のメモリ媒体４００による設定データの更新に関する状態を説明するための図である。図６を参照して、安全コントローラ１００が出荷されるときの状態または安全コントローラ１００が初期化された状態においては、「更新許可／禁止」情報が「許可」に設定されている。この状態を、「出荷時状態」という。

また、出荷時状態以外において、「更新許可／禁止」情報が「許可」に設定されている状態を、「更新許可状態」という。「更新許可／禁止」情報が「禁止」に設定されている状態を、「更新禁止状態」という。

出荷時状態または更新禁止状態において、「更新許可／禁止」情報が「許可」に書換え設定された場合、更新許可状態に変更される。出荷時状態または更新許可状態において、「更新許可／禁止」情報が「禁止」に書換え設定された場合、更新禁止状態に変更される。

図３に戻って、ステップＳ１０２またはステップＳ１０４での判別の結果、更新設定情報が入力されていないと判断した場合（ステップＳ１１１でＮＯと判断した場合）、ならびに、ステップＳ１１３、ステップＳ１１５、および、ステップＳ１１６の後、ステップＳ１２１で、ＭＰＵ１１０は、ステップＳ１０２またはステップＳ１０４での判別の結果、設定データが入力されたか否かを判断する。

設定データが入力されたと判断した場合（ステップＳ１２１でＹＥＳと判断した場合）、ステップＳ１２２で、ＭＰＵ１１０は、設定データがパスワード認証済のＰＣ３００から入力されたか否かを判断する。パスワード認証済であるか否かは、ステップＳ１１４で説明した方法と同様に、認証済情報が設定データに付されているか否かによって判断する。

なお、ここでは、認証済情報が設定データに付されている場合に、パスワード認証済であると判断するようにしたが、これに限定されず、ＰＣ３００でパスワード認証が行なわれない限り、ＰＣ３００から安全コントローラ１００に設定データが出力されないように構成し、安全コントローラ１００においては、設定データが入力されれば、パスワード認証済であると判断するようにしてもよい。

設定データがＰＣ３００から入力されていないと判断した場合（ステップＳ１２２でＮＯと判断した場合）、ステップＳ１２４で、ＭＰＵ１１０は、ＮＶＳ１２０に記憶されている更新許可／禁止情報が「許可」に設定されているか「禁止」に設定されているかを判断する。

設定データがＰＣ３００から入力されたと判断した場合（ステップＳ１２２でＹＥＳと判断した場合）、および、設定データがＰＣ３００から入力されていない、つまり、メモリ媒体４００から入力され、更新許可／禁止情報が「許可」に設定されていると判断した場合、ステップＳ１２３で、ＭＰＵ１１０は、入力された設定データをＮＶＳ１２０に書込む。

本実施の形態において、設定データをＮＶＳ１２０に書込むとは、ＮＶＳ１２０に設定データが未だ書込まれていない場合は、ＮＶＳ１２０に新たに書込むことをいい、ＮＶＳ１２０に設定データが既に書込まれている場合は、ＮＶＳ１２０の設定データを書換えることをいう。

一方、設定データがＰＣ３００から入力されていない、つまり、メモリ媒体４００から入力され、更新許可／禁止情報が「禁止」に設定されていると判断した場合、ステップＳ１２５で、ＭＰＵ１１０は、設定データを更新できない旨のコードを、表示回路１９０の表示部の７セグメントＬＥＤに表示するよう制御する。

ステップＳ１０２またはステップＳ１０４での判別の結果、更新設定情報も設定データも入力されていないと判断した場合（ステップＳ１２１でＮＯと判断した場合）、ならびに、ステップＳ１２３およびステップＳ１２５の後、ＭＰＵ１１０は、実行する処理をこの更新関連処理の呼出元の処理に戻す。

図７は、本発明の実施の形態に係る安全コントローラ１００のメモリ媒体４００による設定データの更新を説明するための図である。

図７を参照して、前述の処理の流れで説明したように、設定データが記憶されたメモリ媒体４００がメモリスロット１４０に挿入されると、図３のステップＳ１０３で、メモリ媒体４００が接続されたと判断される。そして、ステップＳ１０４で、メモリ媒体４００から情報が読出され、入力された情報が判別され、ステップＳ１２１で、入力された情報が設定データであると判断される。

出荷時状態においては、図３のステップＳ１２２で、ＰＣ３００からの設定データの入力でないと判断され、ステップＳ１２４で、更新許可／禁止情報が「許可」を示すと判断され、ステップＳ１２３で、メモリ媒体４００から入力された設定データが、ＮＶＳ１２０に新たに書込まれる。

更新許可状態においては、図３のステップＳ１２２で、ＰＣ３００からの設定データの入力でないと判断され、ステップＳ１２４で、更新許可／禁止情報が「許可」を示すと判断され、ステップＳ１２３で、メモリ媒体４００から入力された設定データが、ＮＶＳ１２０に記憶されている設定データに上書きされる。

更新禁止状態においては、図３のステップＳ１２２で、ＰＣ３００からの設定データの入力でないと判断され、ステップＳ１２４で、更新許可／禁止情報が「禁止」を示すと判断され、ステップＳ１２５で、設定データを更新できない旨が表示回路１９０の表示部に表示され、設定データが上書きされない。

なお、ＰＣ３００から設定データが入力された場合は、出荷時状態、更新許可状態、および、更新禁止状態に関わらず、図３のステップＳ１２２で、ＰＣ３００からの設定データの入力であると判断され、ステップＳ１２３で、ＰＣ３００から入力された設定データが、ＮＶＳ１２０に新たに書込まれる、または、ＮＶＳ１２０に記憶されている設定データに上書きされる。

図８は、本発明の実施の形態に係る安全コントローラ１００の各フェーズにおける設定データの更新の一例を説明するための図である。図８を参照して、まず、安全コントローラ１００を設備する製造システムの立上げ時のデバッグフェーズにおいては、まず、安全コントローラ１００が、製造現場の製造システムの制御盤に取付けられる。このときには、安全コントローラ１００の状態は、出荷時状態である。

次に、安全コントローラ１００の設定データのメモリ媒体４００による更新を「許可」するように変更することを示す更新設定情報が、ＰＣ３００から安全コントローラ１００に、直接、入力されることによって、安全コントローラ１００の状態が、出荷時状態から更新許可状態に変更される。

なお、前述したように、出荷時状態および更新許可状態のいずれにおいても、「更新許可／禁止」情報は「許可」に設定されるので、ここでは、安全コントローラ１００の「状態」は変更されるが、安全コントローラ１００に記憶されている安全コントローラ１００の「状態を示す情報」である「更新許可／禁止」情報が変更される訳ではない。

デバッグフェーズにおいて、安全コントローラ１００が更新許可状態にされている場合は、製造現場外で、ＰＣ３００からメモリ媒体４００に設定データが格納され、製造現場で、そのメモリ媒体４００が安全コントローラ１００に挿入され、メモリ媒体４００から安全コントローラ１００に設定データが入力され、入力された設定データが安全コントローラ１００のＮＶＳ１２０に書込まれる。

デバッグフェーズにおいては、安全コントローラの設定を細かく調整する必要があるため、このような設定データの更新が頻繁に行なわれる。本実施の形態の安全コントローラ１００によれば、製造現場にＰＣ３００を持込まずに、メモリ媒体４００をメモリスロット１４０に挿入するだけで設定データの更新が可能であり、出荷時状態に初期化する必要もないため、保守担当者による設定データの更新の手順を簡略化することができる。

次に、立上げ時のデバッグが完了したので、安全コントローラ１００の状態を更新禁止状態にするために、製造現場外で、安全コントローラ１００の設定データのメモリ媒体４００による更新を「禁止」するように変更することを示す更新設定情報が、ＰＣ３００からメモリ媒体４００に格納される。製造現場で、このメモリ媒体４００が安全コントローラ１００に挿入され、更新設定情報が安全コントローラ１００に入力されることによって、安全コントローラ１００の状態が、更新許可状態から更新禁止状態に変更される。

これにより、デバッグフェーズが終了して、本稼動フェーズに入った後は、メモリ媒体４００による設定データの更新が禁止され、製造現場にＰＣ３００を持込むことでのみ、設定データを更新したり、安全コントローラ１００を更新許可状態に変更したりすることができるようにされる。

以上説明したように、本実施の形態に係る安全コントローラ１００によれば、メモリ媒体４００を用いた設定データの更新を「許可」するか「禁止」するかを識別可能な更新許可／禁止情報がＮＶＳ１２０に記憶させられ、ＮＶＳ１２０に記憶された更新許可／禁止情報が「禁止」を示す場合、メモリスロット１４０に接続されたメモリ媒体４００に記憶された設定データで、ＮＶＳ１２０に記憶された設定データを更新することが禁止され、ＮＶＳ１２０に記憶された更新許可／禁止情報が「許可」を示す場合、メモリスロット１４０に接続されたメモリ媒体４００に記憶された設定データで、ＮＶＳ１２０に記憶された設定データが更新される。

このため、安全コントローラ１００によって、ＮＶＳ１２０に記憶させられた更新許可／禁止情報が「禁止」を示す場合、設定データの更新が禁止されるので、設定データのセキュリティ対策をすることができる一方、更新許可／禁止情報が「許可」を示す場合、メモリ媒体４００がメモリスロット１４０に接続されるだけで、メモリ媒体４００に記憶された設定データで、ＮＶＳ１２０に記憶された設定データが更新されるので、安全コントローラ１００の交換および設定データの更新を簡単に行なうことができる。

また、メモリスロット１４０に接続されたメモリ媒体４００から、メモリ媒体を用いた設定データの更新を「禁止」するように設定を変更することを示す更新設定情報が入力されたときに、メモリ媒体４００を用いた設定データの更新を「禁止」することを識別可能な更新許可／禁止情報がＮＶＳ１２０に記憶させられる。

このため、更新許可／禁止情報の「禁止」への変更は、メモリ媒体４００から可能である。したがって、セキュリティが高い状態に変更するための手順を簡略化することができる。

また、安全コントローラ１００は、ＰＣ３００との間で通信を行なうためのＵＳＢ回路１３０をさらに備える。そして、安全コントローラ１００によって、ＰＣ３００からＵＳＢ回路１３０を介して、メモリ媒体４００を用いた設定データの更新を「許可」または「禁止」するように設定を変更することを示す更新設定情報が入力されたときに、当該更新設定情報が示す内容である「許可」または「禁止」を識別可能な更新許可／禁止情報がＮＶＳ１２０に記憶させられる。

このため、設定ツールがインストールされたＰＣ３００を安全コントローラ１００に接続しない限り、メモリ媒体４００を用いた設定データの更新を「許可」または「禁止」するように設定を変更することができないようにすることができる。その結果、メモリ媒体４００を用いて更新ができる状態に容易にすることができないので、セキュリティ対策を強化することができる。

さらにまた、安全コントローラ１００によって、ＮＶＳ１２０に記憶された更新許可／禁止情報が「許可」を示すか「禁止」を示すかに関わらず、ＰＣ３００からＵＳＢ回路１３０を介して入力される設定データで、ＮＶＳ１２０に記憶された設定データが更新される。

このため、設定ツールがインストールされたパスワード認証済のＰＣ３００を用いる限り、ＮＶＳ１２０に記憶された設定データを更新することができる。

また、更新許可／禁止情報を、メモリ媒体４００に記憶させるのではなく、安全コントローラ１００側に記憶させるようにしているので、悪意者が、不正な更新許可／禁止情報を記録したメモリ媒体４００で、設定データを更新してしまうことを防止することができる。

次に、上述した実施の形態の変形例について説明する。
（１） 前述した実施の形態においては、メモリスロット１４０が、ＵＳＢ回路１３０のソケットとは別に設けられるようにした。しかし、これに限定されず、メモリ媒体４００がＵＳＢメモリであることとして、メモリスロット１４０を備えないようにして、ＵＳＢ回路１３０のソケットに、メモリ媒体４００が接続されるようにしてもよい。

（２） 前述した実施の形態においては、不正なメモリ媒体４００が挿入された場合については、特に何も対応するようにしていない。しかし、これに限定されず、メモリ媒体４００に更新できないような設定データが入っている場合は、更新に失敗したことを７セグメントＬＥＤなどで表示するようにしてもよい。また、メモリ媒体４００に更新はできるが意図していないデータが入っている場合は、データのＩＤ（ＣＲＣまたはユーザが設定した数字など）を７セグメントＬＥＤなどで表示して、更新するか否かをユーザに確認するようにしてもよい。

（３） 前述した実施の形態においては、安全コントローラ１００の装置の発明として説明した。しかし、これに限定されず、安全コントローラ１００の制御方法の発明として捉えることができる。

（４） 前述した実施の形態においては、更新設定情報または設定データを安全コントローラ４００に入力するための記録媒体が、メモリ媒体４００であることとした。メモリ媒体４００としては、たとえば、ＵＳＢメモリおよびＳＤ（Secure Digital）メモリカードなどを用いることができる。

しかし、これに限定されず、このような記録媒体が、たとえば、磁気カード、接触式ＩＣカード、非接触式ＩＣカードなどのカード媒体であってもよい。ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）およびＢＤ（Blu-ray Disc）などの光ディスクであってもよい。フロッピー（登録商標）ディスクおよびリムーバブルハードディスクなどの磁気ディスクであってもよい。ＭＯ（Magneto-Optical disk）などの光磁気ディスクであってもよい。携帯端末の記憶部であってもよい。

また、前述した実施の形態においては、記録媒体がメモリ媒体４００であることとしたので、記録媒体インターフェースが、メモリ媒体４００を挿入してメモリ媒体４００の情報を読書きするためのメモリスロット１４０であることとした。

しかし、これに限定されず、記録媒体が、カード媒体のうち非接触式ＩＣカード以外である場合は、記録媒体インターフェースが、カード媒体を挿入してカード媒体の情報を読書きするためのカードスロットであることとする。

記録媒体が、カード媒体のうち非接触式ＩＣカードである場合は、記録媒体インターフェースが、かざされたカード媒体の情報を読書きするためのリーダライタであることとする。

記録媒体が、光ディスク、磁気ディスクまたは光磁気ディスクである場合は、記録媒体インターフェースが、挿入されたディスクの情報を読書きするためのディスクドライブであることとする。

記録媒体が、携帯端末の記憶部である場合は、記録媒体インターフェースが、携帯端末と通信するためのＵＳＢ端子、赤外線通信部、または、近距離無線通信部などの通信インターフェースであることとする。

（５） 前述した実施の形態においては、ＰＣ３００の設定ツールにおいて、パスワード認証が行なわれるようにした。しかし、これに限定されず、認証方法は、他の方法、たとえば、バイオメトリクス認証またはカード認証などであってもよい。

（６） 今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上記した説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

１００ 安全コントローラ、１０１ ＣＰＵ、１１０ ＭＰＵ、１２０ ＮＶＳ、１２１ ＲＡＭ、１２２ ＲＯＭ、１３０ ＵＳＢ回路、１４０ メモリスロット、１５０ 入力回路、１６０ 出力回路、１７０ 設定回路、１８０ 通信回路、１９０ 表示回路、３００ ＰＣ、４００ メモリ媒体、５００ 安全入力機器、５００Ａ 非常停止押しボタン、５００Ｂ ライトカーテン、５００Ｃ ドアスイッチ、５００Ｄ ２ハンドスイッチ、６００ 安全出力機器、６００Ａ コンタクタ、９００ ＵＳＢケーブル。

Claims (5)

1. 設定データを含むデータを不揮発的かつ書換え可能に記憶する記憶部と、前記記憶部に記憶された前記設定データに従って安全入力機器からの入力信号に基づいて安全出力機器を制御する制御部とを有する安全制御装置であって、
   記録媒体から所定のデータを読込むための記録媒体インターフェースを備え、
   前記制御部は、
   前記記録媒体を用いた前記設定データの更新を許可するか否かを識別可能な許可禁止情報を前記記憶部に記憶させる許可禁止記憶手段と、
   前記記憶部に記憶された前記許可禁止情報が許可しないことを示す場合、前記記録媒体インターフェースに接続された前記記録媒体に記憶された前記設定データで、前記記憶部に記憶された前記設定データを更新することを禁止する禁止手段と、
   前記記憶部に記憶された前記許可禁止情報が許可することを示す場合、前記記録媒体インターフェースに接続された前記記録媒体に記憶された前記設定データで、前記記憶部に記憶された前記設定データを更新する更新手段とを含む、安全制御装置。
2. 前記許可禁止記憶手段は、前記記録媒体インターフェースに接続された前記記録媒体から、前記記録媒体を用いた前記設定データの更新を許可しないことを示す情報が入力されたときに、前記記録媒体を用いた前記設定データの更新を許可しないことを識別可能な許可禁止情報を記憶させる、請求項１に記載の安全制御装置。
3. 外部コンピュータとの間で所定の通信を行なうための通信インターフェースをさらに備え、
   前記許可禁止記憶手段は、前記外部コンピュータから前記通信インターフェースを介して、前記記録媒体を用いた前記設定データの更新を許可するか否かを示す情報が入力されたときに、当該情報が示す内容を識別可能な前記許可禁止情報を記憶させる、請求項１または請求項２に記載の安全制御装置。
4. 前記更新手段は、前記記憶部に記憶された前記許可禁止情報が許可することを示すか否かに関わらず、前記外部コンピュータから前記通信インターフェースを介して入力される前記設定データで、前記記憶部に記憶された前記設定データを更新する、請求項３に記載の安全制御装置。
5. 設定データを含むデータを不揮発的かつ書換え可能に記憶する記憶部と、前記記憶部に記憶された前記設定データに従って安全入力機器からの入力信号に基づいて安全出力機器を制御する制御部とを有する安全制御装置の制御方法であって、
   前記制御部が、
   記録媒体を用いた前記設定データの更新を許可するか否かを識別可能な許可禁止情報を前記記憶部に記憶させるステップと、
   前記記憶部に記憶された前記許可禁止情報が許可しないことを示す場合、前記記録媒体から所定のデータを読込むための記録媒体インターフェースに接続された前記記録媒体に記憶された前記設定データで、前記記憶部に記憶された前記設定データを更新することを禁止するステップと、
   前記記憶部に記憶された前記許可禁止情報が許可することを示す場合、前記記録媒体インターフェースに接続された前記記録媒体に記憶された前記設定データで、前記記憶部に記憶された前記設定データを更新するステップとを含む、安全制御装置の制御方法。

Images