(57)【要約】【課題】プラント制御システムに関し、権限を持たないユーザによる不正利用を防止できると共に、キーの紛失、誤操作、故障等の場合の利便性を向上できる技術を提供する。【解決手段】プラント制御装置は、プラントの制御処理を行うプラント制御部と、制御処理の起動及び停止を含む制御を行う制御部と、第１のＩＤを保持する保持部と、第２のＩＤが保持されたプロテクトキーが挿入されるキー挿入部と、を備える。制御部は、キー挿入部にプロテクトキーが挿入され、第１のＩＤと第２のＩＤとの整合性が確認できる状態である場合はプラントの制御処理を実行させ、確認できない状態である場合、当該状態になった時点から、所定時間が経過するまでの期間では、制御処理を継続させ、経過後、制御処理を停止させる。【選択図】図３
2016192100.tif 000002
【特許請求の範囲】
【請求項１】
プラントの制御処理を行うプラント制御装置であって、
前記制御処理を行うプラント制御部と、
前記制御処理の起動及び停止を含む制御を行う制御部と、
第１のＩＤを保持する保持部と、
第２のＩＤが保持されたプロテクトキーが挿入されるキー挿入部と、
を備え、
前記制御部は、
前記キー挿入部にプロテクトキーが挿入され、前記第１のＩＤと前記第２のＩＤとの整合性が確認できる状態である場合は前記プラントの制御処理を実行し、
前記整合性が確認できない状態である場合、当該確認できない状態になった時点から、所定時間が経過するまでの期間では、前記プラントの制御処理を継続させ、所定時間が経過後、前記制御処理を停止させることを特徴とするプラント制御装置。
【請求項２】
請求項１記載のプラント制御装置において、
前記プラント制御部は、プラント制御ソフトウェアにより前記プラントの前記制御処理を行い、
前記制御部は、前記プラント制御ソフトウェアに対する利用許可を含む制御を行い、
前記保持部は、前記プラント制御ソフトウェアのライセンス及び権限に対応した前記第１のＩＤを保持し、
前記キー挿入部は、前記プラント制御ソフトウェアのライセンス及び権限に対応した前記第２のＩＤが保持された前記プロテクトキーが挿入され、
前記制御部は、
前記プロテクトキーが前記キー挿入部に挿入された接続状態であるか非接続状態であるかを検出する接続検出部と、
前記第１のＩＤと前記第２のＩＤとを照合して前記第２のＩＤが前記第１のＩＤと一致する正しいＩＤであるか否かを確認するＩＤ確認部と、
前記接続検出部の検出結果、及び前記ＩＤ確認部の確認結果に基づいて、状態を判定する状態判定部と、
前記状態の判定結果に基づいて、前記接続状態かつ前記正しいＩＤが確認された状態である第１の状態の場合、前記プラント制御ソフトウェアの利用を許可とし、前記制御処理を起動させる起動部と、
前記状態の判定の結果に基づいて、前記正しいＩＤが確認できない状態である場合、当該状態になった時点から所定時間が経過したか確認し、経過していない場合には、前記プラント制御ソフトウェアの利用を許可とし、前記制御処理を継続させ、経過した場合には、前記プラント制御ソフトウェアの利用を不許可とし、前記制御処理を停止させる停止部と、
を有する、プラント制御装置。
【請求項３】
請求項１記載のプラント制御装置において、
前記プラントは、複数のプラント機器と、前記複数のプラント機器に対するプラント機器制御を行うプラント機器制御部と、を含み、
前記プラント制御部は、
前記プラント機器制御部と通信し、前記プラント機器制御に関する制御を含む前記制御処理を行い、
前記制御処理の起動の際には、前記プラント機器制御部へ起動指示を送信することにより、所定のプラント機器制御を稼動させ、
前記制御処理の停止の際には、前記プラント機器制御部へ停止指示を送信することにより、前記所定のプラント機器制御を停止させる、
プラント制御装置。
【請求項４】
請求項２記載のプラント制御装置において、
前記状態判定部は、前記非接続状態かつ前記正しいＩＤが確認できない状態である第２の状態であるか、前記接続状態かつ前記正しいＩＤが確認できない状態である第３の状態であるかを判定する、
プラント制御装置。
【請求項５】
請求項２記載のプラント制御装置において、
前記保持部は、前記第１のＩＤとして、第１の値を保持し、
前記プロテクトキーは、前記第２のＩＤとして、第２の値が暗号化された値を保持し、
前記ＩＤ確認部は、定期的に、前記第１の値を伴う要求を、前記プロテクトキーに送信し、
前記プロテクトキーは、前記要求に従い、前記第１の値を暗号化した値と、前記第２の値が暗号化された値とを照合し、一致または不一致の結果を含む応答を前記ＩＤ確認部に送信し、
前記ＩＤ確認部は、前記応答から、前記第２のＩＤが前記第１のＩＤと一致する前記正しいＩＤであるか否かを確認する、
プラント制御装置。
【請求項６】
請求項１記載のプラント制御装置において、
前記制御部は、前記正しいＩＤが確認できない状態になった時点から、所定時間が経過したかを、タイマによるカウントの時間、または、カレンダーによる予定日時、の少なくとも一方に基づいて確認する、
プラント制御装置。
【請求項７】
請求項１記載のプラント制御装置において、
ユーザに対する入出力処理を行う入出力部を備え、
前記制御部は、前記入出力部を通じて、前記プロテクトキーの状態及び前記正しいＩＤの確認に関する状態を含む情報を、画面表示、音声出力、またはメール通知の少なくとも１つの手段を用いて前記ユーザに対し出力する、
プラント制御装置。
【請求項８】
請求項１記載のプラント制御装置において、
１つの前記プラント制御装置に対して１つの前記プロテクトキーが関係付けられる、
プラント制御装置。
【請求項９】
請求項１記載のプラント制御装置において、
１つの前記プラント制御装置に対して複数の前記プロテクトキーが関係付けられる、
プラント制御装置。
【請求項１０】
請求項１記載のプラント制御装置において、
複数の前記プラント制御装置に対して１つの前記プロテクトキーが関係付けられる、
プラント制御装置。
【請求項１１】
請求項１記載のプラント制御装置において、
管理者の操作に基づいて前記所定時間を設定する管理部を備える、
プラント制御装置。
【請求項１２】
請求項１記載のプラント制御装置において、
前記制御部は、定期間隔で、前記プロテクトキーが前記キー挿入部に挿入された接続状態であるか非接続状態であるか、及び、前記第２のＩＤが前記第１のＩＤと一致する前記正しいＩＤであるか否か、を含む状態を確認し、
管理者の操作に基づいて前記定期間隔を設定する管理部を備える、
プラント制御装置。
【請求項１３】
プラントの制御処理を行うプラント制御装置におけるプラント制御方法であって、
前記プラント制御装置は、
前記制御処理を行うプラント制御部と、
前記制御処理の起動及び停止を含む制御を行う制御部と、
第１のＩＤを保持する保持部と、
第２のＩＤが保持されたプロテクトキーが挿入されるキー挿入部と、
を備え、
前記プラント制御装置の前記制御部により実行されるステップとして、
前記キー挿入部にプロテクトキーが挿入され、前記第１のＩＤと前記第２のＩＤとの整合性が確認できる状態である場合は前記プラントの制御処理を実行させるステップと、
前記整合性が確認できない状態である場合、当該確認できない状態になった時点から、所定時間が経過するまでの期間では、前記プラントの制御処理を継続させ、所定時間が経過後、前記制御処理を停止させるステップと、
を有することを特徴とするプラント制御方法。
【請求項１４】
プラントの制御処理を行うプラント制御装置に処理を実行させるプラント制御装置プログラムであって、
前記プラント制御装置は、
前記制御処理を行うプラント制御部と、
前記制御処理の起動及び停止を含む制御を行う制御部と、
第１のＩＤを保持する保持部と、
第２のＩＤが保持されたプロテクトキーが挿入されるキー挿入部と、
を備え、
前記プラント制御装置の前記制御部に実行させる処理として、
前記キー挿入部にプロテクトキーが挿入され、前記第１のＩＤと前記第２のＩＤとの整合性が確認できる状態である場合は前記プラントの制御処理を実行させる処理と、
前記整合性が確認できない状態である場合、当該確認できない状態になった時点から、所定時間が経過するまでの期間では、前記プラントの制御処理を継続させ、所定時間の経過後、前記制御処理を停止させる処理と、
を有することを特徴とするプラント制御装置プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、プラント制御技術に関する。
【背景技術】
【０００２】
食品製造プラントや水道プラント等の各種のプラント設備，公共設備等に利用される監視装置のセキュリティ方式に係わり、特に各オペレータが適正な操作モードの下に操作を行う監視装置のセキュリティ方式に関する先行技術例として特許文献１がある。
【０００３】
この特許文献１には、「監視装置本体であるホストコンピュータに内部バスを介して接続される周辺コントローラにオペレータ識別情報をもったカードの装着を可能としたカードリーダを設け、一方、ホストコンピュータ側のメモリ上に識別情報および操作モードを規定する操作権決定データを設定する操作モードテーブルを設け、前記ホストコンピュータは、前記カードリーダから送られてくるオペレータ識別情報に基づいて前記操作モードテーブルを参照し、当該オペレータ識別情報に相当する識別情報があれば、カードを装着したオペレータに対し、その識別情報に対応する操作モードテーブルの操作モードに基づいて監視装置本体を操作する権利を与えるようにした監視装置のセキュリティ方式」が記載されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開平５−２７２９９９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
従来のプロセス監視装置のセキュリティ方式として、いくつかの操作モードを設定し、かつ、それぞれの操作モードで操作できる範囲を限定し、オペレータの操作要求に対し、かかる制約条件の下にある１つの操作モードの操作を認めることにより、プラントの保全を保障するシステムがある。特許文献１においては、監視装置本体であるホストコンピュータに内部バスを介して接続される周辺コントローラにオペレータ識別情報をもったカードの装着を可能としたカードリーダを設け、一方、ホストコンピュータ側のメモリ上に識別情報および操作モードを規定する操作権決定データを設定する操作モードテーブルを設け、前記ホストコンピュータは、前記カードリーダから送られてくるオペレータ識別情報に基づいて前記操作モードテーブルを参照し、当該オペレータ識別情報に相当する識別情報があれば、カードを装着したオペレータに対し、その識別情報に対応する操作モードテーブルの操作モードに基づいて監視装置本体を操作する権利を与えるようにした監視装置のセキュリティ方式が記載されている。
【０００６】
しかし、特許文献１に記載された監視装置のセキュリティ方式は、鍵の管理を不要にするとともに、プラントの知識のない者による操作を未然に回避し、しかもオペレータの知識に応じて最適な操作モードを選択して許可を与えることを目的としており、プロセス監視装置の制御プログラム又はキー（鍵若しくはカード等の監視装置と物理的に分離されたデバイスを指す、以下同じ）の複製防止対策については考慮されていない。
【０００７】
また、特許文献１には、ＩＤカードが装着されていない場合には、操作禁止とする操作モードに設定する旨が記載されている。しかし、プロセス監視装置の制御プログラム又はキーの複製防止対策として、キーが非装着状態の場合に即時に監視装置の操作が禁止される仕組みでは、プロセス監視装置の機能としては不便な場合がある。例えば、キーの紛失時には、キーを装着できないので、操作が禁止される。また、誤操作や事故によってキーが非装着状態になる場合や、キーが故障して識別情報が読み取れなくなる場合がある。その場合、従来のプロセス監視装置では、即時に操作が禁止されるので、プロセス制御ができず、プロセス制御を継続したい場合には不便である。
【０００８】
本発明の目的は、プラント制御システムに関し、プロセス監視装置の制御プログラム又はキーの権限を持たないユーザによる不正利用を防止できると共に、キーの紛失、誤操作、事故、故障等の場合のプロセス制御の利便性を向上できる技術を提供することである。
【課題を解決するための手段】
【０００９】
本発明のうち代表的な実施の形態は、プラント制御装置、等であって、以下に示す構成を有することを特徴とする。
【００１０】
一実施の形態のプラント制御装置は、プラントの制御処理を行うプラント制御装置であって、前記制御処理を行うプラント制御部と、前記制御処理の起動及び停止を含む制御を行う制御部と、第１のＩＤを保持する保持部と、第２のＩＤが保持されたプロテクトキーが挿入されるキー挿入部と、を備え、前記制御部は、前記キー挿入部にプロテクトキーが挿入され、前記第１のＩＤと前記第２のＩＤとの整合性が確認できる状態である場合は前記プラントの制御処理を実行し、前記整合性が確認できない状態である場合、当該確認できない状態になった時点から、所定時間が経過するまでの期間では、前記プラントの制御処理を継続させ、所定時間が経過後、前記制御処理を停止させることを特徴とする。
【発明の効果】
【００１１】
本発明のうち代表的な実施の形態によれば、プラント制御システムに関し、権限を持たないユーザによる不正利用を防止できると共に、キーの紛失、誤操作、故障等の場合の利便性を向上できる。
【図面の簡単な説明】
【００１２】
【図１】本発明の一実施の形態のプラント制御装置を含む、プラント制御システムの構成を示す図である。
【図２】本発明の一実施の形態のプラント制御装置の構成を示す図である。
【図３】一実施の形態のプラント制御装置のプラント制御装置プログラムの処理フローを示す図である。
【図４】一実施の形態のプラント制御装置における詳しい構成を示す図である。
【図５】一実施の形態のプラント制御装置により表示する画面例を示す図である。
【図６】一実施の形態における、管理情報の構成例を示す図である。
【図７】他の実施の形態における、プラント制御装置とプロテクトキー及びユーザとの関係付けの例を示す図である。
【発明を実施するための形態】
【００１３】
以下、本発明の実施の形態を図面に基づいて詳細に説明する。なお、実施の形態を説明するための全図において同一部には原則として同一符号を付し、その繰り返しの説明は省略する。
【００１４】
図１〜図６を用いて、本発明の一実施の形態のプラント制御装置、プラント制御方法、及びプラント制御装置プログラムについて説明する。本実施の形態のプラント制御方法は、本実施の形態のプラント制御装置において実行される手順を含む、プラント制御に係わる方法である。本実施の形態のプラント制御装置プログラムは、本実施の形態のプラント制御装置に所定の処理を実行させるプログラムである。
【００１５】
［プラント制御システム］
図１は、本実施の形態のプラント制御装置１を含む、プラント制御システムの構成を示す。プラント制御システムは、プラント制御装置１、プロテクトキー２、プラント３を有する。プラント制御装置１とプラント３は、例えば通信網４を介して接続される。
【００１６】
プロテクトキー２は、プラント制御装置１と一対一で設けられる。プロテクトキー２は、プラント制御装置１のプラント制御ソフトウェア１０の利用及び操作のために必要なキーである。プロテクトキー２は、プラント制御装置１及びプラント制御ソフトウェア１０の不正利用防止のためのプロテクトを実現するキーである。
【００１７】
プロテクトキー２は、物理的実体を有し、内部に電子回路を有する。プロテクトキー２には、ＩＤ５２が保持されている。ＩＤ５２は、所定のライセンス及び権限に対応したＩＤである。プラント制御装置１及びプラント制御ソフトウェア１０のユーザ毎に、所定のライセンス及び権限が与えられる。
【００１８】
プラント制御装置１及びプラント制御ソフトウェア１０毎に、及びそのユーザ毎に、プロテクトキー２が、一対一で関係付けられる。即ち、１つのプラント制御装置１、プラント制御ソフトウェア１０、及び一人のユーザには、１つのプロテクトキー２、及び１つのＩＤが関係付けられる。
【００１９】
ユーザは、プラント制御装置１のオペレータとなるユーザである。ユーザは、割り当てられたプロテクトキー２を使用する。ユーザは、プラント制御装置１のプラント制御ソフトウェア１０を利用及び操作する際、プロテクトキー２を、プラント制御装置１のキー挿入部１２に挿入する。これにより、プロテクトキー２がプラント制御装置１に物理的及び電気的に接続される。
【００２０】
プラント制御装置１は、プラント制御ソフトウェア１０、プラント制御装置プログラム１１、キー挿入部１２、不揮発性メモリ１３、管理部１４、入出力部１５を有する。プラント制御装置１は、本実施の形態では、ＰＣ等の汎用計算機で構成されるが、専用装置で構成されてもよい。
【００２１】
プラント制御ソフトウェア１０は、プラント３の制御処理を行うソフトウェアである。プラント制御ソフトウェア１０は、プラント制御装置プログラム１１から、利用許可、起動、停止等が制御される。プラント制御ソフトウェア１０は、プラント３のコントローラ３０と通信網４を介して通信し、コントローラ３０に対して制御処理を行う。
【００２２】
プラント制御装置プログラム１１は、本実施の形態のプラント制御装置プログラムであり、プラント制御装置１の制御プログラムである。プラント制御装置プログラム１１は、キー挿入部１２に挿入されるプロテクトキー２の状態に応じて、プラント制御ソフトウェア１０の利用許可、起動、停止等を制御する。
【００２３】
キー挿入部１２は、ユーザの操作に基づいてプロテクトキー２が挿入される部位である。本実施の形態では、プロテクトキー２とキー挿入部１２とを接続するための周辺インタフェースとして、ＵＳＢ（Universal Serial Bus）を用いる。なお、他の実施の形態として、ＵＳＢ以外も適用可能である。
【００２４】
不揮発性メモリ１３は、ＩＤ５１を保持する。ＩＤ５１は、プロテクトキー２のＩＤ５２と対応した値である。
【００２５】
管理部１４は、管理者の操作に基づいて、プラント制御装置１の設定情報を管理する。
【００２６】
入出力部１５は、入出力インタフェース装置を含み、ユーザに対する入出力処理を行う。入出力部１５には、図示しない入力装置や出力装置が接続される。出力装置は、表示装置を含む。入出力部１５は、ユーザに対して表示する画面を提供する。
【００２７】
プラント３は、コントローラ３０、複数のプラント機器３１を有する。プラント３は、一例として食品製造プラントであり、１つ以上の製造ラインを含む。製造ラインは、複数の工程を含む。工程には、１台以上のプラント機器３１が関係付けられる。複数のプラント機器３１は、プラント３を構成する各種の機器や設備を含む。
【００２８】
コントローラ３０は、プラント機器制御装置であり、例えばＰＬＣ（Programmable Logic Controller）で実現される。コントローラ３０は、複数のプラント機器３１に対するプラント機器制御を行う。コントローラ３０は、プラント制御ソフトウェア１０からの制御処理に対応して、プラント機器制御を行う。
【００２９】
プラント３において、管理情報６０を有する。管理情報６０は、管理者により、図示しない所定のコンピュータにおいて保持及び管理されている。管理情報６０は、プラント制御装置１及びプラント制御ソフトウェア１０、プロテクトキー２、及びユーザの割り当てについての管理情報である。管理情報６０は、別の場所、例えばプラント制御ソフトウェア１０を提供する事業者のサーバ等で管理されてもよい。
【００３０】
ＩＤ５１及びＩＤ５２は、購入及び契約時のライセンスの内容に対応して、所定の期日までは有効とされる。
【００３１】
ユーザは、プラント制御ソフトウェア１０を常時に利用する場合、プロテクトキー２を接続状態のままにしてもよい。その場合、ユーザは、プラント制御ソフトウェア１０の利用時、既に接続状態のプロテクトキー２を確認するだけでよい。また、ユーザは、例えばプラント制御ソフトウェア１０を１日毎に起動及び終了を繰り返して利用する場合、起動の都度、プロテクトキー２を挿入して接続状態にし、終了の都度、プロテクトキー２を抜いて非接続状態にしてもよい。
【００３２】
［プラント制御装置プログラム、プラント制御ソフトウェア、コントローラ］
図１を用いて、プラント制御装置プログラム１１、プラント制御ソフトウェア１０、コントローラ３０、及びプラント機器３１間の通信や制御について説明する。
【００３３】
まず、プラント制御装置プログラム１１とプラント制御ソフトウェア１０との間では、以下のように、利用許可、起動、及び停止に関する制御が行われる。プラント制御装置プログラム１１は、プロテクトキー２及びＩＤ確認の状態に応じて、プラント制御ソフトウェア１０に、利用許可及び起動命令１０１や、利用不許可及び停止命令１０２を与える。
【００３４】
プラント制御装置プログラム１１は、プロテクトキー２がキー挿入部１２に正しく接続された状態、かつ、正しいＩＤが確認された状態である場合、プラント制御ソフトウェア１０の利用許可及び起動命令１０１を、プラント制御ソフトウェア１０に与える。プラント制御ソフトウェア１０は、利用許可及び起動命令１０１に従い、自身のプロセスを起動し、コントローラ３０に対する制御処理を起動する。
【００３５】
プラント制御装置プログラム１１は、プロテクトキー２に関して正しいＩＤが確認できない状態、かつ、後述の所定時間が経過した状態である場合、プラント制御ソフトウェア１０の利用不許可及び停止命令１０２を、プラント制御ソフトウェア１０に与える。プラント制御ソフトウェア１０は、利用不許可及び停止命令１０２に従い、コントローラ３０に対する制御処理を停止し、自身のプロセスを起動終了する。
【００３６】
プラント制御装置１のプラント制御ソフトウェア１０と、プラント３のコントローラ３０との間では、以下のように、プラント制御に係わる制御処理が行われる。
【００３７】
プラント制御ソフトウェア１０は、利用許可及び起動命令１０１を受けた場合、それに従い、起動後、コントローラ３０に対し、プラント制御の制御処理における起動指示１１１を送信する。コントローラ３０は、起動指示１１１を受信すると、自身の所定のプラント機器制御のプロセスを起動し、複数のプラント機器３１に対する所定のプラント機器制御を実行開始する。
【００３８】
プラント制御ソフトウェア１０は、利用不許可及び停止命令１０２を受けた場合、それに従い、コントローラ３０に対し、プラント制御の制御処理における停止指示１１２を送信する。コントローラ３０は、停止指示１１２を受信すると、自身の所定のプラント機器制御のプロセスを停止する。即ち、コントローラ３０は、複数のプラント機器３１に対する所定のプラント機器制御を終了する。
【００３９】
コントローラ３０は、通常稼動時、複数のプラント機器３１との間で、プラント機器制御の例として、機器情報取得１２１を行っている。例えば、コントローラ３０は、定期的に、各プラント機器３１へ、機器情報取得の要求を送信する。各プラント機器３１は、要求に従い、自身の機器情報を応答する。機器情報は、プラント機器の動作や状態等を表す情報である。コントローラ３０は、応答から機器情報を取得してメモリに格納する。
【００４０】
コントローラ３０は、通常稼動時、複数のプラント機器３１との間で、プラント機器制御の例として、機器動作制御１２２を行っている。例えば、コントローラ３０は、製造ラインのプラント機器３１へ、所定の動作の命令を送信する。プラント機器３１は、命令に従い、自身の動作を行う。
【００４１】
プラント制御ソフトウェア１０は、通常稼動時、コントローラ３０との間で、プラント制御の制御処理の例として、状態監視１１３を行っている。例えば、プラント制御ソフトウェア１０は、定期的に、コントローラ３０へ、状態監視の要求を送信する。コントローラ３０は、要求に従い、自身のメモリに保持している機器情報を応答する。プラント制御ソフトウェア１０は、応答から機器情報を取得して自身のＤＢに格納する。プラント制御ソフトウェア１０は、取得した機器情報及びその情報処理により、プラント３及びプラント機器３１の状態、例えば製造ラインでの食品の製造状態を把握することができる。状態監視１１３は、個別のプラント機器３１、プラント機器３１のグループ、総合的なプラント３、等の単位で可能である。
【００４２】
また、プラント制御ソフトウェア１０は、通常稼動時、コントローラ３０との間で、プラント制御の制御処理の例として、状態制御１１４を行っている。例えば、プラント制御ソフトウェア１０は、製造ラインでの生産計画、及び状態監視１１３で把握した製造状態に基づいて、コントローラ３０へ、状態制御の要求を送信する。コントローラ３０は、要求に従い、プラント機器３１に対するプラント機器制御における機器動作制御１２２等を実行する。コントローラ３０は、要求に対し、プラント機器制御の結果等を応答する。プラント制御ソフトウェア１０は、応答から、プラント機器制御の結果等を把握し、プラント３の状態を把握し、以降の制御に反映する。
【００４３】
通常時、プラント３では、生産計画に従い、自動運転が行われる。例えば、コントローラ３０は、製造開始に伴い、製造ラインの各工程の複数のプラント機器３１に対し、機器動作制御１２２の１つとして動作開始命令を与え、工程に応じた動作を開始させる。コントローラ３０は、製造終了に伴い、製造ラインの各工程の複数のプラント機器３１に対し、機器動作制御１２２の１つとして動作終了命令を与え、工程に応じた動作を終了させる。
【００４４】
プラント制御ソフトウェ１０は、プラント制御の例として、安全停止制御が可能である。プラント制御ソフトウェ１０は、利用不許可及び停止命令１０２に基づいて、所定の停止指示１１２をコントローラ３０に送信する。コントローラ３０は、所定の停止指示１１２を受信した時点で、製造途中の製造ラインの工程のプラント機器３１の動作については停止せずに継続させ、製造途中の製品の製造を一通り完了させる。コントローラ３０は、所定の停止指示１１２を受信した時点で、新規の製造を開始する前の製造ラインの工程のプラント機器３１の動作については停止させる。上記のように、コントローラ３０は、プラント機器３１を安全停止させる。
【００４５】
プラント制御ソフトウェア１０は、プラント制御の例として、一部機器停止制御が可能である。プラント制御ソフトウェア１０は、プラント３の複数のプラント機器３１のうち一部のプラント機器３１について稼動停止させることができる。プラント制御ソフトウェア１０は、利用不許可及び停止命令１０２に基づいて、所定の停止指示１１２をコントローラ３０へ送信する。コントローラ３０は、所定の停止指示１１２を受信した場合、所定の製造ラインや所定の工程等に関係付けられた一部のプラント機器３１については、動作を継続させ、所定の製造ラインや所定の工程等に関係付けられた別の一部のプラント機器３１については、動作を停止させる。これによって、一部の基本的な製造ラインの急停止を回避することができるとともに、他の製造ラインについては、プロテクトキー２の挿入までの期間に安全停止させることができる。
【００４６】
プラント制御ソフトウェア１０は、プラント制御の例として、一部機能停止制御が可能である。プラント制御ソフトウェア１０は、状態監視１１３や状態制御１１４等を行う機能を含む複数の機能を有する。プラント制御ソフトウェア１０は、プラント制御に係わる複数の機能のうち一部の機能に対応した制御処理について停止させることができる。プラント制御ソフトウェア１０は、利用不許可及び停止命令１０２に基づいて、例えば状態監視の機能については起動を継続し、他の機能については停止させる。プラント制御ソフトウェア１０は、対応する機能に関する所定の停止指示１１２をコントローラ３０へ送信する。プラント制御ソフトウェア１０は、コントローラ３０との間で状態監視１１３の通信を継続し、他の機能に係わる通信を停止する。
【００４７】
［プラント制御装置及びプロテクトキーの構成］
図２は、プラント制御装置１及びプロテクトキー２の詳しい構成を示す。図２では、キー挿入部１２にプロテクトキー２が挿入された状態を示す。プロテクトキー２は、チップ２１、不揮発性メモリ２２、ＵＳＢインタフェース部２３を有する。不揮発性メモリ２２は、図１のＩＤ５２が保持されている。
【００４８】
チップ２１は、プロセッサ、ＲＡＭ、ＲＯＭ等を含み、これらにより構成される処理部としてＩＤ確認部２１Ａを有する。ＩＤ確認部２１Ａは、プラント制御装置１側のＩＤ確認部１１Ｂと対応及び連係して、ＩＤ確認処理を行う。
【００４９】
ＵＳＢインタフェース部２３は、プラント制御装置１側のキー挿入部１２に有するＵＳＢインタフェース部１２Ａに接続される。ＵＳＢインタフェース部２３とＵＳＢインタフェース部１２Ａとの間では、ＵＳＢに従う通信処理が行われる。
【００５０】
プラント制御装置１は、プラント制御ソフトウェア１０により実現されるプラント制御部１００と、プラント制御装置プログラム１１により実現される制御部１１０と、を有する。プラント制御装置１は、図示しない、プロセッサ、メモリ、通信インタフェース装置、バス、電源部等を有する。プラント制御装置１は、プロセッサによりメモリ上のプログラムとしてプラント制御ソフトウェア１０を実行することによりプラント制御部１００を実現する。プラント制御装置１は、プロセッサによりメモリ上のプログラムとしてプラント制御装置プログラム１１を実行することにより制御部１１０を実現する。
【００５１】
制御部１１０は、プログラム処理や回路により実現される処理部として、接続検出部１１Ａ、ＩＤ確認部１１Ｂ、状態判定部１１Ｃ、起動部１１Ｄ、停止部１１Ｅ、時間確認部１１Ｆ、状態出力部１１Ｇを有する。
【００５２】
接続検出部１１Ａは、キー挿入部１２におけるプロテクトキー２の挿入及び物理的及び電気的な接続の状態を検出する。接続検出部１１Ａは、ＵＳＢインタフェース部１２Ａと通信し、ＵＳＢインタフェース部１２Ａから、接続の状態を表す情報を取得する。ＵＳＢインタフェース部１２Ａは、プロテクトキー２のＵＳＢインタフェース部２３との通信状態に応じて接続の状態を検出可能である。接続検出部１１Ａは、状態として、少なくとも、プロテクトキー２が正しく接続された接続状態と、正しく接続されていない非接続状態と、を判別して検出する。接続検出部１１Ａは、検出結果の接続状態や非接続状態を、ＩＤ確認部１１Ｂへ出力する。
【００５３】
ＩＤ確認部１１Ｂは、定期的に、ＩＤ確認処理を実行する。ＩＤ確認部１１Ｂは、ＩＤ確認処理の際、プロテクトキー２のＩＤ確認部２１Ａと通信し、プラント制御装置１の不揮発性メモリ１３に保持するＩＤ５１と、プロテクトキー２の不揮発性メモリ２２に保持するＩＤ５２とが一致するかを確認する。即ち、ＩＤ確認部１１Ｂは、挿入されたプロテクトキー２のＩＤ５２が、自身のプラント制御装置１のＩＤ５１と一致する正しいＩＤであるか否かを確認する。ＩＤ確認部１１Ｂは、確認結果の情報を、状態判定部１１Ｃへ出力する。
【００５４】
状態判定部１１Ｃは、接続検出部１１Ａの検出結果、及びＩＤ確認部１１Ｂの確認結果に基づいて、プロテクトキー２及びＩＤに係わる状態を判定する。状態判定部１１Ｃは、判定結果の状態に対応した状態値１０３を、起動部１１Ｄ、停止部１１Ｅ、状態出力部１１Ｇへ出力する。
【００５５】
起動部１１Ｄは、判定結果の状態値１０３に基づいて、プラント制御ソフトウェア１０の利用許可及び起動の制御を行う。起動部１１Ｄは、利用許可及び起動とする場合、プラント制御ソフトウェア１０によるプラント制御部１００へ、利用許可及び起動命令１０１を与える。
【００５６】
停止部１１Ｅは、判定結果の状態値１０３に基づいて、プラント制御ソフトウェア１０の利用不許可及び停止の制御を行う。停止部１１Ｅは、利用不許可及び停止とする場合、プラント制御部１００へ、利用不許可及び停止命令１０２を与える。
【００５７】
停止部１１Ｅは、停止の制御の際、時間確認部１１Ｆと連携する。停止部１１Ｅは、状態値１０３が、正しいＩＤが確認できない状態を示す場合、その状態になった時点から、所定時間が経過したかどうかを、時間確認部１１Ｆを用いて確認する。停止部１１Ｅは、所定時間が経過した場合、その時点で、プラント制御部１００へ、利用不許可及び停止命令１０２を与える。
【００５８】
時間確認部１１Ｆは、タイマ及びカレンダーを含む。停止部１１Ｅは、タイマまたはカレンダーの少なくとも一方を用いて所定時間の経過を確認する。時間確認部１１Ｆは、停止部１１Ｅからの指示に従い、タイマによる時間のカウントを開始する。時間確認部１１Ｆは、タイマでカウントした時間を停止部１１Ｅへ応答する。停止部１１Ｅは、定期的に、時間確認部１１Ｆに、経過時間を確認する。時間確認部１１Ｆは、タイマのカウントの時間が、所定時間を経過した場合、停止部１１Ｅに通知してもよい。
【００５９】
また、時間確認部１１Ｆは、停止部１１Ｅからの指示に従い、カレンダーに、所定の日時を記入する。停止部１１Ｅは、正しいＩＤが確認できない状態になった時点の日時に、所定時間を加算した日時を、停止の予定日時とする。停止部１１Ｅは、停止の予定日時を、時間確認部１１Ｆに指示してカレンダーに記入させる。停止部１１Ｅは、定期的に、時間確認部１１Ｆに、予定日時に達したか確認する。時間確認部１１Ｆは、カレンダーを確認し、現在日時が停止の予定日時に達した場合、停止部１１Ｅへ通知してもよい。停止部１１Ｅは、現在日時が停止の予定日時に達した場合、プラント制御部１００へ、利用不許可及び停止命令１０２を与える。
【００６０】
状態出力部１１Ｇは、判定結果の状態値１０３の状態に応じた出力を、入出力部１５を介してユーザに対して行う。状態出力部１１Ｇは、判定結果の状態を伝える情報や、状態に応じて実行される制御動作を伝える情報等を、入出力部１５を介してユーザに出力する。状態出力部１１Ｇによりユーザに出力する情報としては、非接続状態やＩＤが確認できない状態、停止の制御動作に対応したアラートを含む。状態出力部１１Ｇは、状態等を伝えるため、入出力部１５を用いて画面表示を行う。また、状態出力部１１Ｇは、状態等を伝えるため、入出力部１５を用いて、音声出力やメール通知を行ってもよい。メール通知の場合、状態出力部１１Ｇは、予め設定された所定の宛先アドレスへ、状態等を伝える情報を含むメールを送付する。
【００６１】
管理部１４は、所定時間（Ｔ１とする）、定期間隔（Ｔ２とする）等の設定情報を管理する。管理者は、管理部１４及び入出力部１５を用いて、所定時間Ｔ１、定期間隔Ｔ２等を設定可能である。管理者は、例えばライセンスに応じた日数で、所定時間Ｔ１を設定してもよい。
【００６２】
入出力部１５は、状態出力部１１Ｇからの指示及び情報に応じて、ユーザに対し、状態を伝える情報等を含む画面を表示する。また、入出力部１５は、画面表示に限らず、音声出力等を行う。また、入出力部１５は、入力装置及び画面を通じて、ユーザによる操作入力を受け付ける。ユーザは、プラント制御ソフトウェア１０の機能に応じて、プラント制御に係わる起動指示や動作指示等を入力可能である。入力された指示は、プラント制御ソフトウェア１０に与えられる。
【００６３】
［プラント制御装置プログラムの処理フロー］
図３は、プラント制御装置１のプラント制御装置プログラム１１及び制御部１１０による処理フローを示す。以下、図３のステップＳ１〜Ｓ９を順に説明する。
【００６４】
（Ｓ１）  まず、制御部１１０は、キー接続及びＩＤ確認処理を行う。図２の接続検出部１１Ａは、プロテクトキー２が正しく接続された接続状態、または正しく接続されていない非接続状態を検出する。ＩＤ確認部１１Ｂは、プロテクトキー２のＩＤ確認部２１Ａと連係し、ＩＤ５１とＩＤ５２が一致するか不一致であるか、即ち接続されたプロテクトキー２のＩＤが正しいＩＤであるかを確認する。状態判定部１１Ｃは、検出結果及び確認結果から、状態を判定する。
【００６５】
制御部１１０は、接続状態であり、正しいＩＤが確認できた状態である場合（Ｓ１−Ｙ）、Ｓ２へ進み、接続状態または非接続状態であり、正しいＩＤが確認できない状態である場合（Ｓ１−Ｎ）、Ｓ３へ進む。
【００６６】
（Ｓ２）  Ｓ２では、制御部１１０は、状態に従い、プラント制御ソフトウェア１０を利用許可とし、起動する。即ち、図２の起動部１１Ｄは、利用許可及び起動命令１０１を、プラント制御部１００へ与える。これにより、プラント制御部１００が起動され、プラント制御部１００は、コントローラ３０に対するプラント制御の制御処理を起動する。例えば、プラント制御部１００は、コントローラ３０に、図１の起動指示１１１を送信する。これにより、コントローラ３０は、所定のプラント機器制御を起動する。
【００６７】
（Ｓ３）  一方、Ｓ３では、制御部１１０は、状態に従い、プラント制御ソフトウェア１０を利用不許可とし、起動しない。Ｓ３の後、図３の処理が終了する。
【００６８】
（Ｓ４〜Ｓ９）  Ｓ２の次に、Ｓ４〜Ｓ９では、制御部１１０は、定期的な確認等のループ処理を、予め設定された定期間隔Ｔ２に従うタイミング毎に実行する。Ｓ４はループ処理の開始、Ｓ９はループ処理の終了を示す。
【００６９】
（Ｓ５）  Ｓ５で、制御部１１０は、キー接続及びＩＤ確認処理を行う。この処理内容は、Ｓ１の処理内容と同様である。制御部１１０は、接続状態であり、正しいＩＤが確認できた状態である場合（Ｓ５−Ｙ）、Ｓ７へ進み、接続状態または非接続状態であり、正しいＩＤが確認できない状態である場合（Ｓ５−Ｎ）、Ｓ６へ進む。
【００７０】
（Ｓ６）  Ｓ６で、制御部１１０は、停止部１１Ｅ及び時間確認部１１Ｆにより、所定時間経過確認を行う。停止部１１Ｅは、正しいＩＤが確認できない状態となった時点から、予め設定された所定時間Ｔ１が経過したかどうかを、時間確認部１１Ｆを用いて確認する。所定時間Ｔ１が経過した場合（Ｓ６−Ｙ）、Ｓ８へ進み、経過していない場合（Ｓ６−Ｎ）、Ｓ７へ進む。
【００７１】
（Ｓ７）  Ｓ７では、制御部１１０は、プラント制御ソフトウェア１０の利用許可とし、起動状態を維持させる。Ｓ７の次のＳ９でループ処理を終了する。
【００７２】
（Ｓ８）  Ｓ８では、制御部１１０は、プラント制御ソフトウェア１０の利用不許可とし、停止させる。即ち、停止部１１Ｅは、利用不許可及び停止命令１０２を、プラント制御部１００へ与える。これにより、プラント制御部１００は、コントローラ３０に対するプラント制御の制御処理を終了し、起動終了により停止する。この際、例えば、プラント制御部１００は、コントローラ３０に、図１の停止指示１１２を送信する。これにより、コントローラ３０は、所定のプラント機器制御を停止する。Ｓ８の次のＳ９でループ処理を終了する。
【００７３】
Ｓ４〜Ｓ９の処理は、プラント制御装置１の起動中、定期的に実行される。Ｓ９の後、図３の処理が終了する。
【００７４】
［プラント制御装置及びプロテクトキーの詳しい構成］
図４は、プラント制御装置１及びプロテクトキー２の詳しい構成として、特に、実装一例に対応した、ＩＤ確認等に係わる詳しい構成例を示す。図４の構成例は、図１〜図３の構成を基本とし、主に異なる部分として、ＩＤ確認部１１Ｂ及びＩＤ確認部２１Ａである。また、異なる部分として、図４の構成では、不揮発性メモリ１３には、図１のＩＤ５１として、第１の値に対応したＩＤ５３が保持されている。それに対応して、プロテクトキー２の不揮発性メモリ２２には、図１のＩＤ５２として、暗号化ＩＤ５４が保持されている。暗号化ＩＤ５４は、ＩＤ５２である第２の値を暗号化した値である。
【００７５】
制御部１１０において、接続検出部１１Ａは、プロテクトキー２の接続状態または非接続状態を検出し、検出結果として、対応する「接続」または「非接続」の情報を、ＩＤ確認部１１Ｂや、状態判定部１１Ｃへ出力する。
【００７６】
ＩＤ確認部１１Ｂは、要求送信部１１ａ、応答受信部１１ｂを含む。ＩＤ確認部１１Ｂは、管理部１４で設定された定期間隔Ｔ２に従い、図３のＳ５に対応したＩＤ確認処理を実行する。本実施の形態では、定期間隔Ｔ２は、１分である。
【００７７】
要求送信部１１ａは、不揮発性メモリ１３のＩＤ５３を読み出し、ＩＤ５３を伴う要求４０１を、図示しない前述のＵＳＢインタフェース部を介して、プロテクトキー２のＩＤ確認部２１Ａへ送信する。
【００７８】
ＩＤ確認部２１Ａは、暗号化部２１ａ、照合部２１ｂを含む。不揮発性メモリ２２には、予め、第２の値を暗号化部２１ａにより暗号化した値である暗号化ＩＤ５４が格納されている。
【００７９】
ＩＤ確認部２１Ａは、要求４０１を受信すると、暗号化部２１ａにより、要求４０１に伴うＩＤ５２を暗号化することにより、暗号化ＩＤ５５を得る。ＩＤ確認部２１Ａは、照合部２１ｂにより、暗号化ＩＤ５５と、不揮発性メモリ２２から読み出した暗号化ＩＤ５４とを比較、照合し、一致か不一致かを判定する。
【００８０】
ＩＤ確認部２１Ａは、照合部２１ｂの照合結果である一致または不一致の情報を伴う応答４０２を、図示しない前述のＵＳＢインタフェース部を介して、ＩＤ確認部１１Ｂへ送信する。
【００８１】
ＩＤ確認部１１Ｂは、応答受信部１１ｂにより、応答４０２を受信し、それに伴う一致または不一致の情報を取り出し、状態判定部１１Ｃへ出力する。一致または不一致は、言い換えれば、正しいＩＤが確認された状態であるか確認できない状態であるかを示す。
【００８２】
状態判定部１１Ｃは、接続検出部１１Ａからの検出結果情報である接続または非接続の情報と、ＩＤ確認部１１ＢからのＩＤ確認結果情報である一致または不一致の情報とを入力する。状態判定部１１Ｃは、それらの情報から、状態を判定する。
【００８３】
本実施の形態では、判定結果として、状態値１０３で区別する状態として、３つの状態を有する。第１の状態を「ＯＫ１」、第２の状態を「ＮＧ１」、第３の状態を「ＮＧ２」として示す。第１の状態「ＯＫ１」は、プロテクトキー２が正しく接続された接続状態、かつ、正しいＩＤが確認されたＩＤ確認状態である。検出結果が「接続」であり、かつ、ＩＤ確認結果が「一致」である場合、第１の状態であると判定される。
【００８４】
第２の状態「ＮＧ１」は、プロテクトキー２が正しく接続されていない非接続状態、かつ、正しいＩＤが確認できないＩＤ非確認状態である。検出結果が「非接続」であり、かつ、ＩＤ確認結果が「不一致」である場合、第２の状態であると判定される。第２の状態に該当する事例として、例えば誤操作等によってキー挿入部１２にプロテクトキー２が正しく接続されていない場合が挙げられる。この場合、ＩＤ確認処理ができないので、第２の状態になる。詳しく言えば、ＩＤ確認部１１Ｂから要求４０１を送信しようとしてもできないので、ＩＤ確認部１１Ｂは、確認結果を、正しいＩＤが確認できない状態とする。
【００８５】
第３の状態「ＮＧ２」は、プロテクトキー２が正しく接続された接続状態、かつ、正しいＩＤが確認できないＩＤ非確認状態である。検出結果が「接続」であり、かつ、ＩＤ確認結果が「不一致」である場合、第３の状態であると判定される。第３の状態に該当する事例としては、例えばラインセンス及びＩＤが対応していない誤ったプロテクトキー２がキー挿入部１２に挿入された場合が挙げられる。例えば、図１とは別のプラント制御装置１に関係付けられた、異なるＩＤ５２を持つ別のプロテクトキー２が、図１のプラント制御装置１に誤って挿入された場合である。この場合、ＩＤ確認部１１Ｂ及びＩＤ格納部２１Ａは、ＩＤ確認処理を実行するが、照合結果が不一致になる。
【００８６】
また、第３の状態に該当する他の事例として、キー挿入部１２に挿入されたプロテクトキー２の故障により、内部のＩＤ５２が読み取れず、ＩＤ確認処理ができない状態である場合も挙げられる。ＵＳＢインタフェース部が故障していない場合、接続検出部１１Ａでの検出結果は「接続」となる。ＩＤ確認部１１Ｂは、ＩＤ確認処理で、要求４０１をプロテクトキー２に送信するが、プロテクトキー２の内部の回路の故障やデータ破損等により、要求４０１を受け付けないか、エラー等の結果が応答される。よって、ＩＤ確認部１１Ｂは、確認結果として、正しいＩＤが確認できない状態とする。
【００８７】
起動部１１Ｄは、状態値１０３として、第１の状態「ＯＫ１」が入力された場合、前述のように、プラント制御ソフトウェア１０の起動または起動維持を行う。停止部１１Ｅは、状態値１０３として、第２の状態「ＮＧ１」または第３の状態「ＮＧ２」が入力された場合、前述のように、時間確認部１１Ｆを用いて所定時間Ｔ１の経過確認を行い、その結果に応じて、プラント制御ソフトウェア１０の停止を行う。
【００８８】
本実施の形態では、所定時間Ｔ１は、１ヶ月である。プロテクトキー２が挿入されてプラント制御ソフトウェア１０が起動された後、何らかの理由でプロテクトキー２が抜かれる等して非接続状態になった場合、従来のシステムであれば、その時点で即時に利用不許可となり停止される。本実施の形態では、そのプロテクトキー２が非接続状態になった時点から所定時間Ｔ１である１ヶ月が経過するまでは、プラント制御ソフトウェア１０の利用不許可及び停止とはならず、プラント制御を継続させることができる。
【００８９】
制御部１１０は、プロテクトキー２の誤りや故障の可能性がある場合を含め、複数の状態を判別し、その状態に応じて、プラント制御ソフトウェア１０の利用許可、起動、停止を制御する。状態出力部１１Ｇは、上記３つの状態の区別を含む、状態を伝える情報等を含む画面を、入出力部１５を介してユーザへ出力する。
【００９０】
［画面例］
図５は、状態出力部１１Ｇ及び入出力部１５を通じてユーザに表示する画面例を示す。
【００９１】
図５の（ａ）は、第１の状態「ＯＫ１」に対応した画面例を示す。本画面は、図３のＳ２の起動時に対応する。本画面は、現在の状態を伝える情報を含む。本例では、状態を伝えるメッセージとして、「現在の状態：ＯＫ１」、「プロテクトキーが正しく接続された状態です。」、「正しいＩＤが確認できた状態です。」等と表示される。また、本画面は、現在の状態に関連して実行される制御動作を伝える情報を含む。本例では、制御動作を伝えるメッセージとして、「プラント制御ソフトウェアを起動します。」等と表示される。あるいは、プラント制御に係わる所定の制御処理が起動される場合には、「プラント制御ソフトウェアの……制御処理を起動します。」等と表示される。また、本例では、プロテクトキー２のＩＤ５２に応じた権限の内容を表すメッセージとして「全操作が許可されます。」等が表示される。ユーザは、本画面を見ることで、状態等を認識でき、プラント制御に係わる作業をスムーズに行うことができる。
【００９２】
図５の（ｂ）は、第２の状態「ＮＧ１」に対応した画面例を示す。本画面は、図３のＳ５で正しいＩＤが確認できない場合に対応する。本画面は、現在の状態を伝える情報として、「現在の状態：ＮＧ１」、「プロテクトキーが正しく接続されていない状態です。」、「正しいＩＤが確認できない状態です。」等と表示される。また、本画面は、現在の状態に関連して実行される制御動作を伝える情報として、「所定時間（……）の経過後、プラント制御ソフトウェアを停止します。」等と表示される。また、本例では、プロテクトキー２のＩＤ５２に対応した権限に応じて、利用不許可や停止に制御される内容を表すメッセージとして「全操作が不許可になります。」等が表示される。また、本画面は、ユーザに以降の対処動作を伝える情報を含む。本例では、そのメッセージとして、「所定日時（……）までに、プロテクトキーを正しく接続してください。」等と表示される。「所定日時（……）」とは、所定時間Ｔ１の経過に相当する停止の予定日時である。
【００９３】
図５の（ｃ）は、第３の状態「ＮＧ２」に対応した画面例を示す。本画面は、図３のＳ５で正しいＩＤが確認できない場合に対応する。本画面は、現在の状態を伝える情報として、「現在の状態：ＮＧ２」、「プロテクトキーが正しく接続されていますが、正しいＩＤが確認できない状態です。」、「プロテクトキーの誤りの可能性があります。」、「プロテクトキーの故障の可能性があります。」等と表示される。また、本画面は、図５の（ｂ）と同様に、現在の状態に関連して実行される制御動作を伝える情報や、以降の対処動作を伝える情報が表示される。
【００９４】
ユーザは、図５の（ｂ）や（ｃ）の画面を見ることで、プロテクトキー２が正しく接続されていない状態、プロテクトキー２の故障の可能性に応じた状態等を認識でき、停止の予定や、停止を避けるための対処動作を認識できる。これにより、ユーザは、プラント制御に係わる作業をスムーズに行うことができる。
【００９５】
［ライセンス、権限］
ＩＤに対応したライセンス及び権限に関する構成として、以下が挙げられる。プラント制御ソフトウェア１０は、プロテクトキー２のＩＤに対応したライセンス及び権限に応じて、利用許可、起動、停止が制御される。
【００９６】
本実施の形態では、第１のライセンス及び権限の構成を採用する。プラント制御ソフトウェア１０は、プロテクトキー２のＩＤに対応した権限に応じて、プラント制御に係わる機能をユーザに提供し、機能に応じた操作を許可する。第１のライセンス及び権限では、全機能が提供され、全操作が許可される。本実施の形態では、第１のライセンス及び第１の権限に対応する制御として、プロテクトキー２のＩＤが確認できた状態に応じて、プラント制御に係わる全機能を利用許可とし自動的に起動し、ＩＤが確認できない状態に応じて、所定時間経過後に、全機能を利用不許可とし自動的に停止する。
【００９７】
第２のライセンス及び権限では、プラント制御に係わる一部の機能が提供され、一部の操作が許可される。他の実施の形態として、第２のライセンス及び権限の構成を採用可能である。この制御としては、プロテクトキー２のＩＤが確認できた状態に応じて、一部の機能を利用許可とし自動的に起動し、ＩＤが確認できない状態に応じて、所定時間経過後に、同じ一部の機能を利用不許可とし自動的に停止する。一部の機能の例としては、プラント制御における状態監視１１３が挙げられる。
【００９８】
第３のライセンス及び権限では、通常時、プラント制御に係わる全機能が提供され、全操作が許可され、停止の制御の際には、全機能ではなく、一部の機能が停止される。他の実施の形態として、第３のライセンス及び権限の構成を採用可能である。この制御としては、プロテクトキー２のＩＤが確認できた状態に応じて、全機能を利用許可とし自動的に起動し、ＩＤが確認できない状態に応じて、所定時間経過後に、一部の機能を残して他の一部の機能を利用不許可とし自動的に停止する。
【００９９】
上記のようにプラント制御ソフトウェア１０の一部の機能を対象として起動や停止を制御する形態に限らず、同様に、プラント３の一部のプラント機器３１を対象として起動や停止を制御する形態が可能である。
【０１００】
［管理情報］
図６は、管理情報６０の構成例を示す。図６の管理情報６０の表は、列として、「プラント制御ソフトウェア」、「ＩＤ」、「ユーザ」、「ライセンス」、「権限」、「停止制御」を有する。「プラント制御ソフトウェア」列は、プラント制御ソフトウェア１０及びそれに対応するプラント制御装置１の識別情報を格納する。「ＩＤ」列は、プラント制御装置１及びそれに一対一で関係付けられたプロテクトキー２に保持するＩＤの値を格納する。「ユーザ」列は、プロテクトキー２が割り当てられるユーザの識別情報を格納する。「ライセンス及び権限」は、当該行の「ＩＤ」に対応したライセンスの識別情報を格納する。「権限」列は、当該行の「ＩＤ」及びライセンスに対応した権限の識別情報や内容を格納する。
【０１０１】
「停止制御」列は、前述のプラント制御ソフトウェア１０の停止の制御の内容を示す情報を格納する。
【０１０２】
第１行は、「Ｐ１」で示すプラント制御ソフトウェア１０に対して、「ＩＤ１」を持つプロテクトキー２が関係付けられ、「Ｕ１」で示すユーザにそのプロテクトキー２が割り当てられることを示す。この「ＩＤ１」を持つプロテクトキー２は、「Ｌ１」で示すライセンスに対応し、ユーザに与える権限としては「全許可」となっている。「全許可」の権限として、「Ｐ１」で示すプラント制御ソフトウェア１０が持つ全ての機能及び全ての操作が許可される。「停止制御」列は、「全機能の停止、全機器の制御停止」となっている。この停止制御は、前述の利用不許可及び停止命令１０２により、「Ｐ１」で示すプラント制御ソフトウェア１０が停止され、全機能が利用不許可になることを示す。また、この停止制御は、プラント制御における全ての制御処理が停止されることにより、プラント３の全てのプラント機器３１に対するプラント機器制御が停止されることを示す。
【０１０３】
第２行は、同様に、「Ｐ２」で示すプラント制御ソフトウェア１０、「ＩＤ２」を持つプロテクトキー２、「Ｕ２」で示すユーザ、「Ｌ２」で示すライセンス、等の関係付けを示す。「権限」列は、「一部機器制御許可」となっている。この権限は、プラント３の複数のプラント機器３１のうち、特定の一部のプラント機器３１に関するプラント制御が許可されることを示す。特定の一部のプラント機器３１は、例えば、特定の製造ラインや特定の工程に関係付けられるプラント機器３１である。「停止制御」列は、「一部機器の制御停止」となっている。この停止制御は、権限で許可されている一部の機器について、そのまま、それに対応付けられるプラント機器制御及びプラント制御が停止されることを示す。
【０１０４】
第３行は、同様に、「Ｐ３」で示すプラント制御ソフトウェア１０、「ＩＤ３」を持つプロテクトキー２、「Ｕ３」で示すユーザ、「Ｌ３」で示すライセンス、等の関係付けを示す。「権限」列は、「一部機能許可」となっている。この権限は、プラント制御ソフトウェア１０が持つ複数の機能のうち、特定の一部の機能に関するプラント制御が許可されることを示す。特定の一部の機能は、例えば図１の状態監視１１３を行う機能である。「停止制御」列は、「一部機能の停止」となっている。この停止制御は、権限で許可されている一部の機能について、そのまま、利用不許可及び停止されることを示す。
【０１０５】
第４行は、同様に、「Ｐ４」で示すプラント制御ソフトウェア１０、「ＩＤ４」を持つプロテクトキー２、「Ｕ４」で示すユーザ、「Ｌ４」で示すライセンス、等の関係付けを示す。「権限」列は、「全許可」となっている。「停止制御」列は、「一部機器の制御停止、及び一部機能の停止」となっている。この停止制御は、権限で許可されている全機能及び全プラント機器３１の機器制御のうち、一部のプラント機器３１に対する機器制御を停止し、一部の機能を停止することを示す。言い換えると、この停止制御は、特定の一部のプラント機器３１に対する機器制御及び特定の一部の機能を許可として残しつつ、それ以外を利用不許可及び停止することを示す。第４行の停止制御の場合、通常時には全機能等が許可されるが、ＩＤが確認できない状態の期間には機能等が制限される。
【０１０６】
なお、図１のプラント制御システムは、１つのプラント制御装置１、１つのプロテクトキー２、一人のユーザにおける関係付けを示すが、これに限らず、複数のプラント制御装置１、複数のプロテクトキー２、複数人のユーザについて、同様に適用可能である。その場合、図６のような管理情報６０で、複数の要素の関係付けの管理が可能である。１つまたは複数のプラント３において、複数のプラント制御装置１及び複数のプロテクトキー２を利用する場合、管理者等により、図６のような管理情報６０の管理を行うと好適である。なお、管理情報６０は、所定のセキュリティ施策に基づいて秘匿管理される。
【０１０７】
［効果等］
以上説明したように、本実施の形態のプラント制御装置によれば、権限を持たないユーザによる不正利用を防止できると共に、プロテクトキーの紛失、誤操作、故障等の場合の利便性を向上できる。
【０１０８】
ユーザは、プラント制御装置１及びプラント制御ソフトウェア１０を利用及び操作する際には、キー挿入部１２にプロテクトキー２を挿入して接続した状態、かつ正しいＩＤが確認された状態にしなければならない。そうしない限り、プラント制御ソフトウェア１０の起動を含め、プラント制御に係わる操作等が許可されない。正しいプロテクトキー2を持たないユーザは、プラント制御ソフトウェア１０を利用できず、不正利用が防止される。
【０１０９】
ユーザは、プロテクトキー２を紛失した場合、プラント制御ソフトウェア１０の起動ができなくなる。この場合、ユーザは、紛失したプロテクトキー２を見つけるか、代替のプロテクトキー２を用意する必要がある。ユーザは、正しいプロテクトキー２により一旦プラント制御ソフトウェア１０を起動した後、プロテクトキー２を抜いてそのプロテクトキー２を紛失した場合、即時に停止されることはない。ユーザは、所定時間の経過までの期間において、正しいプロテクトキー２、または同じＩＤを持つ代替のプロテクトキー２を用意すればよい。本実施の形態では、代替のプロテクトキー２を用意するまでに平均的に要する時間を考慮して、所定時間Ｔ１を設定しておく。これにより、紛失や故障時の対処を含め、利便性を向上できる。
【０１１０】
本実施の形態のプラント制御装置１は、プロテクトキー２が正しく接続されていない状態や、正しいＩＤが確認できない状態になると、即時に停止させるのではなく、所定時間の経過までは、プラント制御ソフトウェア１０の起動状態及びプラント制御を継続させる。例えばユーザの誤操作によってプロテクトキー２が非接続状態になった場合にも、所定時間の経過までの期間に、正しい接続状態に直すようにすれば、起動状態等を継続させることができる。また、例えばプロテクトキー２の故障により正しいＩＤが読み取れなくなった場合にも、所定時間の経過までの期間に、代替のプロテクトキー２を用意して接続すれば、起動状態等を継続させることができる。これにより、誤操作時や故障時の対処を含め、利便性を向上できる。
【０１１１】
（他の実施の形態）
他の実施の形態のプラント制御装置として、以下が挙げられる。
【０１１２】
（１）  前記実施の形態では、図３のＳ１で接続及び正しいＩＤを確認できた場合、Ｓ２で利用許可及び起動命令１０１を与えることにより、自動的に、プラント制御ソフトウェア１０を起動させる。これに限らず、他の実施の形態のプラント制御装置として、自動的な起動ではなく、利用許可の制御までを行い、ユーザにより起動指示の操作入力がされてから起動させる構成でもよい。この形態では、Ｓ１で接続及び正しいＩＤを確認できた場合、入出力部１５を介して画面に例えば「正しいＩＤが確認できました。プラント制御ソフトウェアを起動しますか？」等のメッセージ、及び起動ボタン等を表示する。ユーザは、画面で起動ボタンを押す。これにより、起動部１１Ｄは、起動命令をプラント制御ソフトウェア１０へ与える。
【０１１３】
（２）  他の実施の形態のプラント制御装置として、プロテクトキー２の状態、ユーザ入力操作、及び停止の予定日時、等を含めて、ログデータとして記録する。プラント制御装置は、ユーザの操作に基づいて、画面にログの内容を表示し、過去の状態を含めて確認可能とする。これにより、ユーザは、作業を効率的に行うことができる。また、問題発生時等にも、事後的にログを参照及び解析して対処が可能である。
【０１１４】
（３）  他の実施の形態のプラント制御装置として、プラント制御ソフトウェア１０とプロテクトキー２とを、一対多の関係や多対一の関係で関係付ける構成も可能である。
【０１１５】
図７は、他の実施の形態において、プラント制御装置１、プロテクトキー２、及びユーザの関係付けの例を示す。図７の（Ａ）及び（Ｂ）は、プラント制御ソフトウェア１０とプロテクトキー２とを一対多の関係で関係付ける例を示す。図７の（Ｃ）及び（Ｄ）は、プラント制御ソフトウェア１０とプロテクトキー２とを多対一の関係で関係付ける例を示す。
【０１１６】
図７の（Ａ）では、「Ｐ１」で示すプラント制御装置１のプラント制御ソフトウェア１０に対し、「ＩＤ１」を持つ「Ｋ１」で示すプロテクトキー２と、「ＩＤ２」を持つ「Ｋ２」で示すプロテクトキー２との２つが関係付けられている。「Ｐ１」で示すプラント制御装置１には、「ＩＤ１」及び「ＩＤ２」が保持されている。この形態では、ユーザ毎にプロテクトキー２が割り当てられる。ユーザ「Ｕ１」はプロテクトキー「Ｋ１」を使用し、ユーザ「Ｕ２」はプロテクトキー「Ｋ２」を使用する。
【０１１７】
この形態では、二人のユーザが、１つのプラント制御装置１を例えば日時別で使い分けができる。例えば、第１の時間帯に、「Ｐ１」で示すプラント制御装置１にユーザ「Ｕ１」がプロテクトキー「Ｋ１」を接続して利用する。プロテクトキー「Ｋ１」が非接続となった場合、所定時間の経過までにプロテクトキー「Ｋ１」または「Ｋ２」を接続すれば、停止せずに継続利用が可能である。
【０１１８】
図７の（Ｂ）は、一人のユーザが複数のプロテクトキー２を使用する形態を示す。例えば、ユーザ「Ｕ１」は、「Ｋ１」で示す第１のプロテクトキー２と、「Ｋ２」で示す第２のプロテクトキー２とを使用する。プロテクトキー「Ｋ１」及び「Ｋ２」は、それぞれ同じ「ＩＤ１」を持つ。「Ｐ１」で示すプラント制御装置１は「ＩＤ１」を保持する。例えば、プロテクトキー「Ｋ１」が常用、プロテクトキー「Ｋ２」が予備、代替用として管理される。ユーザは、プロテクトキー「Ｋ１」が紛失や故障の場合、所定時間の経過までに、プロテクトキー「Ｋ２」を接続すれば、停止せずに継続利用が可能である。
【０１１９】
図７の（Ｃ）では、「Ｐ３」で示すプラント制御装置１のプラント制御ソフトウェア１０と、「Ｐ４」で示すプラント制御装置１のプラント制御ソフトウェア１０との２つに対し、「ＩＤ３」を持つ「Ｋ３」で示すプロテクトキー２が関係付けられている。「Ｐ３」で示すプラント制御装置１には「ＩＤ３」が保持され、「Ｐ４」で示すプラント制御装置１には同じく「ＩＤ３」が保持されている。この形態では、１つのプロテクトキー２の内部に１つのＩＤを保持し、各プラント制御装置１内には同じＩＤを保持する。
【０１２０】
ユーザ「Ｕ３」はプロテクトキー「Ｋ３」を使用する。ユーザ「Ｕ３」は、プロテクトキー「Ｋ３」を用いて、「Ｐ１」，「Ｐ２」の２つのプラント制御装置１のいずれも利用可能である。例えば、ユーザ「Ｕ３」は、「Ｐ３」で示すプラント制御装置１にプロテクトキー「Ｋ３」を接続して利用する。その間、「Ｐ４」で示すプラント制御装置にはプロテクトキー「Ｋ３」が接続されない。ユーザ「Ｕ３」は、所定時間の経過までに、「Ｐ４」で示すプラント制御装置１にプロテクトキー「Ｋ３」を接続することで、停止せずに継続利用が可能である。
【０１２１】
図７の（Ｄ）は、「Ｐ３」で示すプラント制御ソフトウェア１０と、「Ｐ４」で示すプラント制御ソフトウェア１０との２つに対し、「ＩＤ３」及び「ＩＤ４」の２つのＩＤを持つ「Ｋ３」で示すプロテクトキー２が関係付けられている。「Ｐ３」で示すプラント制御装置１は「ＩＤ３」を保持し、「Ｐ４」で示すプラント制御装置は「ＩＤ４」を保持する。この形態では、１つのプロテクトキー２の内部に複数のＩＤを保持し、各プラント制御装置１内には異なるＩＤを保持する。
【０１２２】
ユーザ「Ｕ３」は、プロテクトキー「Ｋ３」を使用する。ユーザ「Ｕ３」は、プロテクトキー「Ｋ３」を用いて、「Ｐ３」，「Ｐ４」の２つのプラント制御装置１のいずれも利用できる。例えば、ユーザ「Ｕ３」は、「Ｐ３」で示すプラント制御装置１にプロテクトキー「Ｋ３」を接続して利用する。その間、「Ｐ４」で示すプラント制御装置１にはプロテクトキー「Ｋ３」が接続されない。ユーザ「Ｕ３」は、所定時間の経過までに、「Ｐ４」で示すプラント制御装置１にプロテクトキー「Ｋ３」を接続することで、停止せずに継続利用が可能である。なお、この形態では、ＩＤ確認処理の際、「ＩＤ３」または「ＩＤ４」の一方の一致が確認できれば、確認結果を、正しいＩＤが確認された状態とする。
【０１２３】
プラント３の構成、制御、セキュリティポリシー等に応じて、上記の関係付けの形態を採用することにより、利便性を向上できる。
【０１２４】
（４）  他の実施の形態として、制御部１１０は、通常時、プラント制御ソフトウェア１０の全機能及び全プラント機器３１を対象とする制御処理を、利用許可として起動する。制御部１１０は、ＩＤが確認できない状態になってから所定時間経過までの期間では、制限として、一部の機能または一部のプラント機器３１を対象とする制御処理を許可として起動し、それ以外を不許可として停止する。制御部１１０は、所定時間経過後には、全機能及び全プラント機器３１を対象とする制御処理を不許可として停止する。
【０１２５】
（５）  図1のプラント制御ソフトウェア１０とプラント制御装置プログラム１１とが１つに統合された形態でもよい。また、ＩＤ確認や暗号化等の方式については、図４のような方式に限らず、他の方式を適用可能である。
【０１２６】
以上、本発明を実施の形態に基づき具体的に説明したが、本発明は前記実施の形態に限定されず、その要旨を逸脱しない範囲で種々変更可能である。
【符号の説明】
【０１２７】
１…プラント制御装置、２…プロテクトキー、３…プラント、４…通信網、１０…プラント制御ソフトウェア、１１…プラント制御装置プログラム、１１Ａ…接続検出部、１１Ｂ…ＩＤ確認部、１１Ｃ…状態判定部、１１Ｄ…起動部、１１Ｅ…停止部、１１Ｆ…時間確認部、１１Ｇ…状態出力部、１２…キー挿入部、１２Ａ…ＵＳＢインタフェース部、１３…不揮発性メモリ、１４…管理部、１５…入出力部、２１…チップ、２１Ａ…ＩＤ確認部、２２…不揮発性メモリ、２３…ＵＳＢインタフェース部、３０…コントローラ、３１…プラント機器、５１…ＩＤ、５２…ＩＤ、５３…ＩＤ、５４…暗号化ＩＤ、５５…暗号化ＩＤ、６０…管理情報、１００…プラント制御部、１１０…制御部。
【図１】
2016192100.tif 000003
【図２】
2016192100.tif 000004
【図３】
2016192100.tif 000005
【図４】
2016192100.tif 000006
【図５】
2016192100.tif 000007
【図６】
2016192100.tif 000008
【図７】
2016192100.tif 000009