特開2023-151760セーフティシステム、セーフティコントローラおよび処理方法
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2023151760
(43)【公開日】2023-10-16
(54)【発明の名称】セーフティシステム、セーフティコントローラおよび処理方法
(51)【国際特許分類】
G06F 21/51 20130101AFI20231005BHJP
【ＦＩ】
G06F21/51
【審査請求】未請求
【請求項の数】9
【出願形態】ＯＬ
(21)【出願番号】P 2022061564
(22)【出願日】2022-04-01
(71)【出願人】
【識別番号】000002945
【氏名又は名称】オムロン株式会社
(74)【代理人】
【識別番号】110001195
【氏名又は名称】弁理士法人深見特許事務所
(72)【発明者】
【氏名】藤村 亮輔
(72)【発明者】
【氏名】八木 大介
(57)【要約】
【課題】妥当性確認をより効率的に行うための構成を提供する。
【解決手段】セーフティシステムは、サポート装置およびセーフティコントローラを含む。サポート装置は、セーフティプログラムを生成する第１の生成部と、生成されたセーフティプログラムに基づいて第１の妥当性確認コードを生成する第２の生成部とを含む。セーフティコントローラは、記憶媒体に格納されたセーフティプログラムを読み出して一時的に保持する記憶領域と、一時的に保持されたセーフティプログラムを実行する実行部と、一時的に保持されたセーフティプログラムに基づいて第２の妥当性確認コードを生成する第３の生成部と、ユーザ操作によって入力された第１の妥当性確認コードと、第２の妥当性確認コードとが一致すると、一時的に保持されたセーフティプログラムを通常実行するセーフティプログラムとして決定する管理部とを含む。
【選択図】図１
【解決手段】セーフティシステムは、サポート装置およびセーフティコントローラを含む。サポート装置は、セーフティプログラムを生成する第１の生成部と、生成されたセーフティプログラムに基づいて第１の妥当性確認コードを生成する第２の生成部とを含む。セーフティコントローラは、記憶媒体に格納されたセーフティプログラムを読み出して一時的に保持する記憶領域と、一時的に保持されたセーフティプログラムを実行する実行部と、一時的に保持されたセーフティプログラムに基づいて第２の妥当性確認コードを生成する第３の生成部と、ユーザ操作によって入力された第１の妥当性確認コードと、第２の妥当性確認コードとが一致すると、一時的に保持されたセーフティプログラムを通常実行するセーフティプログラムとして決定する管理部とを含む。
【選択図】図１
【特許請求の範囲】
【請求項1】
サポート装置およびセーフティコントローラを備えるセーフティシステムであって、
前記サポート装置は、
セーフティプログラムを生成する第１の生成部と、
前記生成されたセーフティプログラムに基づいて第１の妥当性確認コードを生成する第２の生成部とを備え、
前記セーフティコントローラは、
記憶媒体に格納されたセーフティプログラムを読み出して一時的に保持する記憶領域と、
前記一時的に保持されたセーフティプログラムを実行する実行部と、
前記一時的に保持されたセーフティプログラムに基づいて第２の妥当性確認コードを生成する第３の生成部と、
ユーザ操作によって入力された前記第１の妥当性確認コードと、前記第２の妥当性確認コードとが一致すると、前記一時的に保持されたセーフティプログラムを通常実行するセーフティプログラムとして決定する管理部とを備える、セーフティシステム。
前記サポート装置は、
セーフティプログラムを生成する第１の生成部と、
前記生成されたセーフティプログラムに基づいて第１の妥当性確認コードを生成する第２の生成部とを備え、
前記セーフティコントローラは、
記憶媒体に格納されたセーフティプログラムを読み出して一時的に保持する記憶領域と、
前記一時的に保持されたセーフティプログラムを実行する実行部と、
前記一時的に保持されたセーフティプログラムに基づいて第２の妥当性確認コードを生成する第３の生成部と、
ユーザ操作によって入力された前記第１の妥当性確認コードと、前記第２の妥当性確認コードとが一致すると、前記一時的に保持されたセーフティプログラムを通常実行するセーフティプログラムとして決定する管理部とを備える、セーフティシステム。
【請求項2】
前記セーフティコントローラは、前記記憶媒体に格納されたセーフティプログラムを揮発性領域記憶装置に保持し、前記通常実行するセーフティプログラムを不揮発性記憶装置に格納する、請求項１に記載のセーフティシステム。
【請求項3】
前記第２の生成部は、予め定められたアルゴリズムに従って、前記生成されたセーフティプログラムから前記第１の妥当性確認コードを算出し、
前記第３の生成部は、前記予め定められたアルゴリズムに従って、前記一時的に保持されたセーフティプログラムから前記第２の妥当性確認コードを算出する、請求項１または２に記載のセーフティシステム。
前記第３の生成部は、前記予め定められたアルゴリズムに従って、前記一時的に保持されたセーフティプログラムから前記第２の妥当性確認コードを算出する、請求項１または２に記載のセーフティシステム。
【請求項4】
前記第１の妥当性確認コードと同一の妥当性確認コードが前記生成されたセーフティプログラムに組み込まれ、
前記第３の生成部は、前記一時的に保持されたセーフティプログラムに組み込まれた妥当性確認コードを前記第２の妥当性確認コードとして決定する、請求項１または２に記載のセーフティシステム。
前記第３の生成部は、前記一時的に保持されたセーフティプログラムに組み込まれた妥当性確認コードを前記第２の妥当性確認コードとして決定する、請求項１または２に記載のセーフティシステム。
【請求項5】
前記サポート装置は、前記第１の妥当性確認コードを表示する出力部をさらに備える、請求項１または２に記載のセーフティシステム。
【請求項6】
前記セーフティコントローラは、前記第１の妥当性確認コードの入力を受け付ける入力部をさらに備える、請求項１または２に記載のセーフティシステム。
【請求項7】
前記セーフティコントローラとは別の装置に対して入力された前記第１の妥当性確認コードが、当該別の装置から前記セーフティコントローラへ提供される、請求項１または２に記載のセーフティシステム。
【請求項8】
記憶媒体に格納されたセーフティプログラムを読み出して一時的に保持する記憶領域を備え、前記セーフティプログラムは、サポート装置によって生成されたものであり、前記サポート装置は、前記生成されたセーフティプログラムに基づいて第１の妥当性確認コードを生成し、
前記一時的に保持されたセーフティプログラムを実行する実行部と、
前記一時的に保持されたセーフティプログラムに基づいて第２の妥当性確認コードを生成する第３の生成部と、
ユーザ操作によって入力された前記第１の妥当性確認コードと、前記第２の妥当性確認コードとが一致すると、前記一時的に保持されたセーフティプログラムを通常実行するセーフティプログラムとして決定する管理部とを備える、セーフティコントローラ。
前記一時的に保持されたセーフティプログラムを実行する実行部と、
前記一時的に保持されたセーフティプログラムに基づいて第２の妥当性確認コードを生成する第３の生成部と、
ユーザ操作によって入力された前記第１の妥当性確認コードと、前記第２の妥当性確認コードとが一致すると、前記一時的に保持されたセーフティプログラムを通常実行するセーフティプログラムとして決定する管理部とを備える、セーフティコントローラ。
【請求項9】
サポート装置およびセーフティコントローラを備えるセーフティシステムにおける処理方法であって、
前記サポート装置が、セーフティプログラムを生成するステップと、
前記サポート装置が、前記生成されたセーフティプログラムに基づいて第１の妥当性確認コードを生成するステップと、
前記セーフティコントローラが、記憶媒体に格納されたセーフティプログラムを読み出して記憶領域に一時的に保持するステップと、
前記一時的に保持されたセーフティプログラムを実行するステップと、
前記一時的に保持されたセーフティプログラムに基づいて第２の妥当性確認コードを生成するステップと、
ユーザ操作によって入力された前記第１の妥当性確認コードと、前記第２の妥当性確認コードとが一致すると、前記一時的に保持されたセーフティプログラムを通常実行するセーフティプログラムとして決定するステップとを備える、処理方法。
前記サポート装置が、セーフティプログラムを生成するステップと、
前記サポート装置が、前記生成されたセーフティプログラムに基づいて第１の妥当性確認コードを生成するステップと、
前記セーフティコントローラが、記憶媒体に格納されたセーフティプログラムを読み出して記憶領域に一時的に保持するステップと、
前記一時的に保持されたセーフティプログラムを実行するステップと、
前記一時的に保持されたセーフティプログラムに基づいて第２の妥当性確認コードを生成するステップと、
ユーザ操作によって入力された前記第１の妥当性確認コードと、前記第２の妥当性確認コードとが一致すると、前記一時的に保持されたセーフティプログラムを通常実行するセーフティプログラムとして決定するステップとを備える、処理方法。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、セーフティシステム、セーフティコントローラおよび処理方法に関する。
【背景技術】
【0002】
生産設備におけるセーフティを確保するために、セーフティコントローラなどが広く普及している。国際規格であるＩＥＣ６２０６１は、セーフティコントローラが満たすべきファンクショナルセーフティ要求などを規定する。
【0003】
通常、セーフティコントローラは生産設備に設置されることになるが、セーフティコントローラで実行されるプログラムは、設計者が開発機などを用いて作成することになる。作成されたプログラムは、何らかの方法で、生産設備に設置されたセーフティコントローラに書き込まれる。
【0004】
このようなプログラムのコントローラへの提供に関する技術として、特開２０１９－１４８９７９号公報（特許文献１）は、機能ユニットからＣＰＵユニットに接続された外部メモリにアクセスする技術を開示する。
【0005】
国際公開第２０１５／１３６９６５号（特許文献２）は、制御機器におけるプログラムやデータの書き込みが迅速にかつ簡易に行うことができるようにする構成を開示する。
【0006】
また、特開２０１１－１７０５８１号公報（特許文献３）は、交換および設定データの更新の手順の簡略化および設定データのセキュリティ対策を両立することが可能な安全制御装置を開示する。
【先行技術文献】
【特許文献】
【0007】
【特許文献1】特開２０１９－１４８９７９号公報
【特許文献2】国際公開第２０１５／１３６９６５号
【特許文献3】特開２０１１－１７０５８１号公報
【発明の概要】
【発明が解決しようとする課題】
【0008】
ＩＥＣ６２０６１は、セーフティ関連電気制御システム（ＳＲＥＣＳ：Safety-related electrical control system）の特定アプリケーションがファンクショナルセーフティ要求事項を満たすことを検査によって確認することを要求する。このようなファンクショナルセーフティ要求事項を満たすことを検査によって確認する手順を妥当性確認（validation）と称す。
【0009】
セーフティコントローラは、このような妥当性確認を行う必要があるが、上述の先行技術では、妥当性確認をより効率的に行うことについては何ら考慮されていない。本発明は、妥当性確認をより効率的に行うための構成を提供することを一つの目的とする。
【課題を解決するための手段】
【0010】
ある実施の形態に従えば、サポート装置およびセーフティコントローラを備えるセーフティシステムが提供される。サポート装置は、セーフティプログラムを生成する第１の生成部と、生成されたセーフティプログラムに基づいて第１の妥当性確認コードを生成する第２の生成部とを含む。セーフティコントローラは、記憶媒体に格納されたセーフティプログラムを読み出して一時的に保持する記憶領域と、一時的に保持されたセーフティプログラムを実行する実行部と、一時的に保持されたセーフティプログラムに基づいて第２の妥当性確認コードを生成する第３の生成部と、ユーザ操作によって入力された第１の妥当性確認コードと、第２の妥当性確認コードとが一致すると、一時的に保持されたセーフティプログラムを通常実行するセーフティプログラムとして決定する管理部とを含む。
【0011】
この構成によれば、セーフティコントローラに対して、記憶媒体を装着してセーフティプログラムを提供するとともに、必要な妥当性確認を行った後に、サポート装置が生成した妥当性確認コードを入力することで、セーフティコントローラに通常の動作を行わせることができる。
【0012】
セーフティコントローラは、記憶媒体に格納されたセーフティプログラムを揮発性領域記憶装置に保持し、通常実行するセーフティプログラムを不揮発性記憶装置に格納するようにしてもよい。この構成によれば、セーフティコントローラの電源をオフすることで、記憶媒体に格納されたセーフティプログラムは消去されることとなり、妥当性確認がなされていないセーフティプログラムが実行されることを防止できる。
【0013】
第２の生成部は、予め定められたアルゴリズムに従って、生成されたセーフティプログラムから第１の妥当性確認コードを算出してもよい。第３の生成部は、予め定められたアルゴリズムに従って、一時的に保持されたセーフティプログラムから第２の妥当性確認コードを算出してもよい。この構成によれば、サポート装置が有している第２の生成部およびセーフティコントローラが有している第３の生成部のいずれもが同じアルゴリズムで妥当性確認コードを算出できるので、対象のセーフティプログラムの同一性を保証できる。
【0014】
第１の妥当性確認コードと同一の妥当性確認コードが生成されたセーフティプログラムに組み込まれてもよい。第３の生成部は、一時的に保持されたセーフティプログラムに組み込まれた妥当性確認コードを第２の妥当性確認コードとして決定してもよい。この構成によれば、セーフティコントローラは、第２の妥当性確認コードを算出する必要がないので、セーフティコントローラに要求される処理リソースなどの増大化を抑制できる。
【0015】
サポート装置は、第１の妥当性確認コードを表示する出力部をさらに含んでいてもよい。この構成によれば、設計者および／または作業者は、サポート装置の出力部の表示により第１の妥当性確認コードを即座に確認できる。
【0016】
セーフティコントローラは、第１の妥当性確認コードの入力を受け付ける入力部をさらに含んでいてもよい。この構成によれば、セーフティコントローラを操作することで、第１の妥当性確認コードを入力でき、別の装置が不要であるので、構成を簡素化できる。
【0017】
セーフティコントローラとは別の装置に対して入力された第１の妥当性確認コードが、当該別の装置からセーフティコントローラへ提供されてもよい。この構成によれば、第１の妥当性確認コードの入力をより容易化できる。
【0018】
別の実施の形態に従うセーフティコントローラは、記憶媒体に格納されたセーフティプログラムを読み出して一時的に保持する記憶領域を含む。セーフティプログラムは、サポート装置によって生成されたものである。サポート装置は、生成されたセーフティプログラムに基づいて第１の妥当性確認コードを生成する。セーフティコントローラは、一時的に保持されたセーフティプログラムを実行する実行部と、一時的に保持されたセーフティプログラムに基づいて第２の妥当性確認コードを生成する第３の生成部と、ユーザ操作によって入力された第１の妥当性確認コードと、第２の妥当性確認コードとが一致すると、一時的に保持されたセーフティプログラムを通常実行するセーフティプログラムとして決定する管理部とを含む。
【0019】
さらに別の実施の形態に従えば、サポート装置およびセーフティコントローラを備えるセーフティシステムにおける処理方法が提供される。処理方法は、サポート装置が、セーフティプログラムを生成するステップと、サポート装置が、生成されたセーフティプログラムに基づいて第１の妥当性確認コードを生成するステップと、セーフティコントローラが、記憶媒体に格納されたセーフティプログラムを読み出して記憶領域に一時的に保持するステップと、一時的に保持されたセーフティプログラムを実行するステップと、一時的に保持されたセーフティプログラムに基づいて第２の妥当性確認コードを生成するステップと、ユーザ操作によって入力された第１の妥当性確認コードと、第２の妥当性確認コードとが一致すると、一時的に保持されたセーフティプログラムを通常実行するセーフティプログラムとして決定するステップとを含む。
【発明の効果】
【0020】
本発明によれば、妥当性確認をより効率的に行うことができる。
【図面の簡単な説明】
【0021】
【図1】本実施の形態に従うセーフティコントローラにおける妥当性確認に係る処理の概略を示す模式図である。
【図2】本実施の形態に従うセーフティコントローラのハードウェア構成例を示す模式図である。
【図3】本実施の形態に従うサポート装置のハードウェア構成例を示す模式図である。
【図4】関連技術に従うセーフティコントローラのセーフティプログラムの妥当性確認の手順を説明するための図である。
【図5】本実施の形態に従うセーフティコントローラのセーフティプログラムの妥当性確認の手順を説明するための図である。
【図6】本実施の形態に従うセーフティプログラムの妥当性確認を実現するための機能構成例を示す模式図である。
【図7】本実施の形態に従うサポート装置が実行する処理手順の一例を示すフローチャートである。
【図8】本実施の形態に従うセーフティコントローラが実行する処理手順の一例を示すフローチャートである。
【発明を実施するための形態】
【0022】
本技術の実施の形態について、図面を参照しながら詳細に説明する。なお、図中の同一または相当部分については、同一符号を付してその説明は繰り返さない。
【0023】
＜Ａ．適用例＞
まず、本発明が適用される場面の一例について説明する。
まず、本発明が適用される場面の一例について説明する。
【0024】
図１は、本実施の形態に従うセーフティコントローラ１００における妥当性確認に係る処理の概略を示す模式図である。図１を参照して、本実施の形態に従うセーフティシステム１は、セーフティコントローラ１００およびサポート装置２００を含む。
【0025】
セーフティコントローラ１００は、生産設備に配置されており、セーフティプログラムを実行する。セーフティプログラムは、設置現場にあるセーフティデバイス３００からの入力信号に基づいて、セーフティロジックを実行し、その実行結果に基づく出力信号をセーフティデバイス３００に出力する。
【0026】
セーフティコントローラ１００で実行されるセーフティプログラムは、設置現場とは異なる開発環境に用意されたサポート装置２００により開発される。開発環境には、開発用のセーフティコントローラ１００Ａが用意されていてもよい。
【0027】
設計者は、サポート装置２００上でセーフティプログラムを作成する（（１）セーフティプログラム作成）。作成されたセーフティプログラムは、メモリカード５０などの記憶媒体に格納される（（２）セーフティプログラム出力）。
【0028】
メモリカード５０は、着脱可能な記憶媒体であり、ＳＤカード、ＵＳＢ（Universal Serial Bus）メモリ、ＣｏｍｐａｃｔＦｌａｓｈフラッシュ（登録商標）などの任意の可搬型の記憶媒体を包含する。
【0029】
メモリカード５０に格納されるセーフティプログラムは、妥当性確認がなされる前のプログラムである。そのため、以下では、メモリカード５０に格納されるセーフティプログラムを「未確認セーフティプログラム２０」と称す。対象のセーフティコントローラ１００において、未確認セーフティプログラム２０の妥当性確認が完了すると、未確認セーフティプログラム２０が正式なセーフティプログラムとなる。以下では、妥当性確認が完了したセーフティプログラムを「確認済セーフティプログラム３０」と称す。
【0030】
サポート装置２００は、未確認セーフティプログラム２０の出力と同時、あるいは、任意のタイミングで、妥当性確認コード４０を出力する（（３）妥当性確認コード出力）。
【0031】
妥当性確認コード４０は、未確認セーフティプログラム２０を確認済セーフティプログラム３０として承認するために必要な情報である。すなわち、妥当性確認コード４０は、未確認セーフティプログラム２０がファンクショナルセーフティ要求事項を満たしていることを設計者および／または作業者が確認したことをセーフティコントローラ１００に対して通知するための情報である。
【0032】
妥当性確認の作業者は、メモリカード５０をセーフティコントローラ１００に装着して、メモリカード５０に格納されている未確認セーフティプログラム２０をセーフティコントローラ１００に書き込む（（４）プログラム転送）。この時点において、セーフティコントローラ１００は、妥当性確認を行うためのモードになっており、通常の稼働モードではない。
【0033】
作業者は、予め定められた動作確認を行って、未確認セーフティプログラム２０を実行するセーフティコントローラ１００がファンクショナルセーフティ要求事項を満たしているか否かを確認する（（５）妥当性確認）。妥当性確認が問題なく完了すると、作業者は、妥当性確認コード４０をセーフティコントローラ１００に入力する（（６）コード入力）。すると、セーフティコントローラ１００は、入力された妥当性確認コード４０が未確認セーフティプログラム２０に対応するコードであるか否かを検証する（（７）コード検証）。
【0034】
入力された妥当性確認コード４０が未確認セーフティプログラム２０に対応するコードであることが検証されると、セーフティコントローラ１００は、未確認セーフティプログラム２０を確認済セーフティプログラム３０として格納し、確認済セーフティプログラム３０の実行を開始する（（８）セーフティプログラム実行）。
【0035】
本実施の形態に従うセーフティコントローラ１００においては、確認済セーフティプログラム３０を実行するために、サポート装置２００を接続する必要がない。すなわち、未確認セーフティプログラム２０が格納されたメモリカード５０と、妥当性確認コード４０とがあれば、妥当性確認、および、その後のセーフティコントローラ１００を稼働させる処理を行うことができる。
【0036】
＜Ｂ．ハードウェア構成例＞
次に、本実施の形態に従うセーフティコントローラ１００およびサポート装置２００のハードウェア構成例について説明する。
次に、本実施の形態に従うセーフティコントローラ１００およびサポート装置２００のハードウェア構成例について説明する。
【0037】
（ｂ１：セーフティコントローラ１００）
図２は、本実施の形態に従うセーフティコントローラ１００のハードウェア構成例を示す模式図である。図２を参照して、セーフティコントローラ１００は、プロセッサ１０２と、メインメモリ１０４と、ストレージ１１０と、フィールドネットワークコントローラ１０６と、ＵＳＢコントローラ１０８と、入力部１１２と、メモリカードインターフェイス１１４と、セーフティローカルバスコントローラ１１６とを含む。これらのコンポーネントは、プロセッサバス１２０を介して接続されている。
図２は、本実施の形態に従うセーフティコントローラ１００のハードウェア構成例を示す模式図である。図２を参照して、セーフティコントローラ１００は、プロセッサ１０２と、メインメモリ１０４と、ストレージ１１０と、フィールドネットワークコントローラ１０６と、ＵＳＢコントローラ１０８と、入力部１１２と、メモリカードインターフェイス１１４と、セーフティローカルバスコントローラ１１６とを含む。これらのコンポーネントは、プロセッサバス１２０を介して接続されている。
【0038】
プロセッサ１０２は、セーフティプログラムを実行する演算処理部であり、ＣＰＵ（Central Processing Unit）やＧＰＵ（Graphics Processing Unit）などで構成される。具体的には、プロセッサ１０２は、ストレージ１１０に格納されたプログラムを読み出して、メインメモリ１０４に展開して実行する。
【0039】
メインメモリ１０４は、ＤＲＡＭ（Dynamic Random Access Memory）やＳＲＡＭ（Static Random Access Memory）などの揮発性記憶装置で構成される。ストレージ１１０は、例えば、ＳＳＤ（Solid State Drive）やＨＤＤ（Hard Disk Drive）などの不揮発性記憶装置で構成される。
【0040】
メインメモリ１０４は、後述するように、未確認セーフティプログラム２０を一時的に保持するためのプログラム保持領域１０４２が用意されていてもよい。
【0041】
ストレージ１１０には、セーフティコントローラ１００で必要な基本的な機能を実現するためのシステムプログラム１１０２、および、確認済セーフティプログラム３０が格納される。
【0042】
フィールドネットワークコントローラ１０６は、図示しないフィールドネットワークを介して、任意のデバイス（例えば、他のコントローラ）との間でデータをやり取りする。
【0043】
ＵＳＢコントローラ１０８は、ＵＳＢ接続を介して、任意の装置との間でデータをやり取りする。なお、メモリカード５０としてＵＳＢメモリが用いられる場合には、ＵＳＢコントローラ１０８は、メモリカード５０に格納された未確認セーフティプログラム２０を読み出す装置として用いられてもよい。
【0044】
メモリカードインターフェイス１１４は、装着されたメモリカード５０に格納された任意のデータを読み出すとともに、任意のデータをメモリカード５０に書き込む。
【0045】
入力部１１２は、ユーザ操作を受け付ける任意のデバイスである。本実施の形態においては、ユーザは、入力部１１２を介して、妥当性確認コード４０をセーフティコントローラ１００に入力する。すなわち、入力部１１２は、妥当性確認コード４０の入力を受け付ける。入力部１１２はどのようなデバイスであってもよい。入力部１１２は、例えば、ロータリースイッチ、ディップスイッチ、サービススイッチなどのセーフティコントローラ１００の露出面に配置されたデバイスであってもよいし、タッチパネル、ＨＭＩ（Human Machine Interface）、ＰＴ（Programmable Terminal）などのデバイスであってもよい。
【0046】
セーフティローカルバスコントローラ１１６は、セーフティローカルバスを介して、セーフティＩＯユニット１１８に接続されるセーフティデバイス３００との間でデータをやり取りする。
【0047】
（ｂ２：サポート装置２００）
図３は、本実施の形態に従うサポート装置２００のハードウェア構成例を示す模式図である。サポート装置２００は、一例として、汎用的なアーキテクチャに従うハードウェア（例えば、汎用パソコン）を用いて実現される。
図３は、本実施の形態に従うサポート装置２００のハードウェア構成例を示す模式図である。サポート装置２００は、一例として、汎用的なアーキテクチャに従うハードウェア（例えば、汎用パソコン）を用いて実現される。
【0048】
図３を参照して、サポート装置２００は、プロセッサ２０２と、メインメモリ２０４と、入力部２０６と、出力部２０８と、ストレージ２１０と、光学ドライブ２１２と、メモリカードインターフェイス２１６と、ＵＳＢコントローラ２１８とを含む。これらのコンポーネントは、プロセッサバス２２０を介して接続されている。
【0049】
プロセッサ２０２は、ＣＰＵやＧＰＵなどで構成され、ストレージ２１０に格納されたプログラム（一例として、ＯＳ２１０２および開発プログラム２１０４）を読み出して、メインメモリ２０４に展開して実行することで、サポート装置２００としての処理を実現する。
【0050】
メインメモリ２０４は、ＤＲＡＭやＳＲＡＭなどの揮発性記憶装置で構成される。ストレージ２１０は、例えば、ＨＤＤやＳＳＤなどの不揮発性記憶装置で構成される。
【0051】
ストレージ２１０には、基本的な機能を実現するためのＯＳ２１０２、サポート装置２００としての機能を提供するための開発プログラム２１０４、開発環境において設計者により作成されるプロジェクトデータ２１０６が格納される。
【0052】
サポート装置２００は、セーフティコントローラ１００で実行されるセーフティプログラムの作成が可能な開発環境を提供する。プロジェクトデータ２１０６は、セーフティプログラムのソースコードであるセーフティソースプログラム２１０８を含む。セーフティソースプログラム２１０８がビルドされることで、セーフティプログラムが生成される。
【0053】
入力部２０６は、キーボードやマウスなどで構成され、ユーザ操作を受け付ける。
【0054】
出力部２０８は、ディスプレイ、各種インジケータ、プリンタなどで構成され、プロセッサ２０２からの処理結果などを出力する。一例として、出力部２０８は、妥当性確認コード４０を表示する。
【0055】
メモリカードインターフェイス２１６は、装着されたメモリカード５０に格納された任意のデータを読み出すとともに、任意のデータをメモリカード５０に書き込む。
【0056】
ＵＳＢコントローラ２１８は、ＵＳＢ接続を介して、任意の装置との間でデータをやり取りする。なお、メモリカード５０としてＵＳＢメモリが用いられる場合には、ＵＳＢコントローラ２１８は、メモリカード５０に未確認セーフティプログラム２０を書き込む装置として用いられてもよい。
【0057】
サポート装置２００は、光学ドライブ２１２を有しており、コンピュータ読取可能なプログラムを非一過的に格納する記憶媒体２１４（例えば、ＤＶＤ（Digital Versatile Disc）などの光学記憶媒体）から、その中に格納されたプログラムが読み取られてストレージ２１０などにインストールされる。
【0058】
サポート装置２００で実行される開発プログラム２１０４などは、コンピュータ読取可能な記憶媒体２１４を介してインストールされてもよいが、ネットワーク上のサーバ装置などからダウンロードする形でインストールするようにしてもよい。また、本実施の形態に従うサポート装置２００が提供する機能は、ＯＳが提供するモジュールの一部を利用する形で実現される場合もある。
【0059】
（ｂ３：その他の形態）
図２および図３には、１または複数のプロセッサがプログラムを実行することで必要な機能が提供される構成例を示したが、これらの提供される機能の一部または全部を、専用のハードウェア回路（例えば、ＡＳＩＣ（Application Specific Integrated Circuit）またはＦＰＧＡ（Field-Programmable Gate Array）など）を用いて実装してもよい。
図２および図３には、１または複数のプロセッサがプログラムを実行することで必要な機能が提供される構成例を示したが、これらの提供される機能の一部または全部を、専用のハードウェア回路（例えば、ＡＳＩＣ（Application Specific Integrated Circuit）またはＦＰＧＡ（Field-Programmable Gate Array）など）を用いて実装してもよい。
【0060】
＜Ｃ．関連技術＞
次に、関連技術に従うセーフティコントローラ１００のセーフティプログラムの妥当性確認について説明する。
次に、関連技術に従うセーフティコントローラ１００のセーフティプログラムの妥当性確認について説明する。
【0061】
図４は、関連技術に従うセーフティコントローラ１００のセーフティプログラムの妥当性確認の手順を説明するための図である。関連技術においては、サポート装置２００を用いて、セーフティプログラムの妥当性確認を行う。
【0062】
図４を参照して、設計者は、設置現場にサポート装置２００を持ち込み、サポート装置２００と対象のセーフティコントローラ１００とを接続する。そして、設計者は、サポート装置２００を操作して、セーフティプログラム（未確認セーフティプログラム２０）をセーフティコントローラ１００へ転送する（ステップＳ１）。なお、サポート装置２００からセーフティコントローラ１００への未確認セーフティプログラム２０の転送時には、セーフティコントローラ１００はデバッグモードに設定されてもよい。
【0063】
セーフティコントローラ１００は、サポート装置２００からの未確認セーフティプログラム２０をメインメモリ１０４に一時的に保持する（図２に示すプログラム保持領域１０４２）。そして、セーフティコントローラ１００は、メインメモリ１０４に一時的に保持した未確認セーフティプログラム２０を実行する。
【0064】
設計者は、未確認セーフティプログラム２０を実行しているセーフティコントローラ１００を用いて妥当性確認を行う。ファンクショナルセーフティ要求事項が満たされていることを確認すると、設計者は、サポート装置２００を操作して、完了通知コマンド６０をセーフティコントローラ１００へ転送する（ステップＳ２）。セーフティコントローラ１００は、サポート装置２００からの完了通知コマンド６０に従って、メインメモリ１０４に一時的に保持していた未確認セーフティプログラム２０を確認済セーフティプログラム３０としてストレージ１１０に格納する（ステップＳ３）。ストレージ１１０に確認済セーフティプログラム３０が格納されることで、セーフティコントローラ１００で実行されるセーフティプログラムが確定する。
【0065】
図４に示す関連技術においては、設計者が設置現場にサポート装置２００を持ち込む必要がある。そのため、設計者によっては、セーフティコントローラ１００を稼働させるのに手間と時間を要し得る。
【0066】
＜Ｄ．セーフティプログラムの妥当性確認＞
次に、本実施の形態に従うセーフティコントローラ１００のセーフティプログラムの妥当性確認について説明する。
次に、本実施の形態に従うセーフティコントローラ１００のセーフティプログラムの妥当性確認について説明する。
【0067】
図５は、本実施の形態に従うセーフティコントローラ１００のセーフティプログラムの妥当性確認の手順を説明するための図である。
【0068】
図５を参照して、設計者は、サポート装置２００（図５には図示していない）を操作して、セーフティプログラム（未確認セーフティプログラム２０）および妥当性確認コード４０を用意する。未確認セーフティプログラム２０および妥当性確認コード４０は、妥当性確認の作業者へ提供される。
【0069】
妥当性確認コード４０は、未確認セーフティプログラム２０から一意に算出される所定桁数の文字列である。例えば、未確認セーフティプログラム２０のＣＲＣ（Cyclic Redundancy Check）や、任意のハッシュ関数を用いて未確認セーフティプログラム２０から算出されるハッシュ値などが用いられる。すなわち、未確認セーフティプログラム２０と妥当性確認コード４０との組み合わせは、実質的に一意になるように構成されている。
【0070】
作業者は、設計者から提供された未確認セーフティプログラム２０をメモリカード５０に書き込む。なお、設計者からの未確認セーフティプログラム２０および妥当性確認コード４０は、サーバや電子メールによって、電子的に作業者へ提供されてもよい。
【0071】
あるいは、設計者がサポート装置２００を操作して、未確認セーフティプログラム２０をメモリカード５０に書き込み、メモリカード５０を作業者に提供するようにしてもよい。
【0072】
続いて、作業者は、メモリカード５０をセーフティコントローラ１００に装着して、メモリカード５０に格納されている未確認セーフティプログラム２０をセーフティコントローラ１００に書き込む（ステップＳ１１）。
【0073】
セーフティコントローラ１００は、メモリカード５０からの未確認セーフティプログラム２０をメインメモリ１０４に一時的に保持する（図２に示すプログラム保持領域１０４２）。そして、セーフティコントローラ１００は、メインメモリ１０４に一時的に保持した未確認セーフティプログラム２０の実行を開始する。
【0074】
なお、作業者がセーフティコントローラ１００に対して所定の操作を行うことで、セーフティコントローラ１００がメインメモリ１０４に一時的に保持した未確認セーフティプログラム２０の実行を開始するように構成してもよい。
【0075】
例えば、作業者が、セーフティコントローラ１００の電源をオフした状態で、ディップスイッチを操作して、セーフティコントローラ１００をデバッグモードに変更した上で、セーフティコントローラ１００の電源を投入する。すると、セーフティコントローラ１００は、メインメモリ１０４から未確認セーフティプログラム２０を読み出して、メインメモリ１０４に一時的に保持する。このとき、セーフティコントローラ１００は、ＬＥＤなどで実行開始を通知するようにしてもよい。そして、作業者がセーフティコントローラ１００の所定のスイッチを押下することで、セーフティコントローラ１００は、未確認セーフティプログラム２０の実行を開始する。
【0076】
作業者は、未確認セーフティプログラム２０を実行しているセーフティコントローラ１００を用いて妥当性確認を行う。ファンクショナルセーフティ要求事項が満たされていることを確認すると、作業者は、セーフティコントローラ１００のディップスイッチを操作して、セーフティコントローラ１００を、妥当性確認コード４０の入力を受け付ける妥当性確認モードに変更する。このとき、セーフティコントローラ１００は、未確認セーフティプログラム２０の実行を停止する。
【0077】
続いて、作業者は、セーフティコントローラ１００のロータリースイッチやサービススイッチなどを用いて、設計者から提供された妥当性確認コード４０を入力する（ステップＳ１２）。
【0078】
例えば、作業者がロータリースイッチを操作して値（例えば、１６進の値）を設定し、サービススイッチを押下すると、当該設定されている値がセーフティコントローラ１００に入力される。作業者は、ロータリースイッチおよびサービススイッチを用いた入力操作を、妥当性確認コード４０の先頭から順に桁数分だけ繰り返す。
【0079】
作業者が妥当性確認コード４０のすべての桁の値が入力すると、セーフティコントローラ１００は、メインメモリ１０４に一時的に保持している未確認セーフティプログラム２０に基づいて、妥当性確認コード４２を生成する（ステップＳ１３）。そして、生成した妥当性確認コード４２が入力された妥当性確認コード４０と一致すると、セーフティコントローラ１００は、メインメモリ１０４に一時的に保持していた未確認セーフティプログラム２０を確認済セーフティプログラム３０としてストレージ１１０に格納する（ステップＳ１４）。ストレージ１１０に確認済セーフティプログラム３０が格納されることで、セーフティコントローラ１００で実行されるセーフティプログラムが確定する。
【0080】
一連の処理が終了後、作業者は、セーフティコントローラ１００のディップスイッチを操作して、セーフティコントローラ１００を通常モードに変更した上で、一旦電源をオフした後に電源を再投入する。この操作によって、セーフティコントローラ１００は、ストレージ１１０に格納された確認済セーフティプログラム３０の実行を開始する。
【0081】
＜Ｅ．機能構成例＞
次に、本実施の形態に従うセーフティプログラムの妥当性確認を実現するための機能構成例について説明する。
次に、本実施の形態に従うセーフティプログラムの妥当性確認を実現するための機能構成例について説明する。
【0082】
図６は、本実施の形態に従うセーフティプログラムの妥当性確認を実現するための機能構成例を示す模式図である。
【0083】
図６を参照して、サポート装置２００は、機能構成として、セーフティプログラム生成モジュール２５０と、妥当性確認コード生成モジュール２６０とを含む。これらの機能構成は、サポート装置２００のプロセッサ２０２が開発プログラム２１０４を実行することで実現されてもよい。
【0084】
セーフティプログラム生成モジュール２５０は、セーフティソースプログラム２１０８からセーフティプログラム（未確認セーフティプログラム２０）を生成する。
【0085】
妥当性確認コード生成モジュール２６０は、セーフティプログラム生成モジュール２５０により生成されたセーフティプログラム（未確認セーフティプログラム２０）に基づいて妥当性確認コード４０を生成する。一例として、妥当性確認コード生成モジュール２６０は、予め定められたアルゴリズムに従って、生成された未確認セーフティプログラム２０から妥当性確認コード４０を生成する。より具体的には、妥当性確認コード生成モジュール２６０は、セーフティプログラム（未確認セーフティプログラム２０）のＣＲＣやハッシュ値を算出し、その一部または全部を妥当性確認コード４０として出力する。
【0086】
セーフティコントローラ１００は、機能構成として、管理モジュール１５０と、妥当性確認コード生成モジュール１６０と、実行エンジン１７０とを含む。これらの機能構成は、セーフティコントローラ１００のプロセッサ１０２がシステムプログラム１１０２を実行することで実現されてもよい。
【0087】
管理モジュール１５０は、入力される未確認セーフティプログラム２０および妥当性確認コード４０に応じて、セーフティプログラムの妥当性確認に必要な処理を実行する。より具体的には、管理モジュール１５０は、メモリカード５０から読み出した未確認セーフティプログラム２０をメインメモリ１０４に一時的に保持するとともに、妥当性確認コード生成モジュール１６０が生成した妥当性確認コード４２と入力された妥当性確認コード４０とが一致したことを条件にして、メインメモリ１０４に保持された未確認セーフティプログラム２０をストレージ１１０に移動させる。
【0088】
このように、管理モジュール１５０は、ユーザ操作によって入力された妥当性確認コード４０と、妥当性確認コード生成モジュール１６０が生成した妥当性確認コード４２とが一致すると、一時的に保持された未確認セーフティプログラム２０を通常実行するセーフティプログラム（確認済セーフティプログラム３０）として決定する。
【0089】
メインメモリ１０４は、記憶媒体であるメモリカード５０に格納された未確認セーフティプログラム２０を読み出して一時的に保持する記憶領域である。ストレージ１１０は、通常実行するセーフティプログラムを恒久的に格納する記憶領域である。
【0090】
すなわち、セーフティコントローラは、メモリカード５０に格納された未確認セーフティプログラム２０を揮発性領域記憶装置であるメインメモリ１０４に保持し、通常実行する確認済セーフティプログラム３０を不揮発性記憶装置であるストレージ１１０に格納する。
【0091】
妥当性確認コード生成モジュール１６０は、メインメモリ１０４に一時的に保持された未確認セーフティプログラム２０に基づいて妥当性確認コード４２を生成する。妥当性確認コード生成モジュール１６０が妥当性確認コード４２を生成するアルゴリズムは、サポート装置２００の妥当性確認コード生成モジュール２６０と実質的に同一である。すなわち、妥当性確認コード生成モジュール１６０は、妥当性確認コード生成モジュール１６０と同じアルゴリズムに従って、一時的に保持された未確認セーフティプログラム２０から妥当性確認コード４２を算出する。
【0092】
実行エンジン１７０は、管理モジュール１５０からの指示に従って、メインメモリ１０４に保持された未確認セーフティプログラム２０、または、ストレージ１１０に格納された確認済セーフティプログラム３０を実行する。妥当性確認においては、実行エンジン１７０は、一時的に保持された未確認セーフティプログラム２０を実行する。
【0093】
＜Ｆ．処理手順＞
次に、本実施の形態に従うセーフティプログラムの妥当性確認に係る処理手順について説明する。
次に、本実施の形態に従うセーフティプログラムの妥当性確認に係る処理手順について説明する。
【0094】
図７は、本実施の形態に従うサポート装置２００が実行する処理手順の一例を示すフローチャートである。図７には、サポート装置２００が未確認セーフティプログラム２０および妥当性確認コード４０を出力する処理に係る処理手順を示す。図７に示す各ステップは、サポート装置２００のプロセッサ２０２が開発プログラム２１０４を実行することで実現されてもよい。
【0095】
図７を参照して、サポート装置２００は、セーフティプログラムの生成が指示されると（ステップＳ１００においてＹＥＳ）、プロジェクトデータ２１０６に含まれるセーフティソースプログラム２１０８をビルドする（ステップＳ１０２）。そして、サポート装置２００は、ビルドが成功したか否かを判断する（ステップＳ１０４）。ビルドが失敗すると（ステップＳ１０４においてＮＯ）、処理は終了する。
【0096】
ビルドが成功すると（ステップＳ１０４においてＹＥＳ）、サポート装置２００は、生成されたセーフティプログラム（オブジェクトコード）を予め定められた領域に格納する（ステップＳ１０６）。
【0097】
続いて、サポート装置２００は、生成したセーフティプログラムに基づいて妥当性確認コード４０を生成する（ステップＳ１０８）とともに、生成した妥当性確認コード４０を出力部２０８（例えば、ディスプレイ）に出力する（ステップＳ１１０）。そして、処理は終了する。
【0098】
図８は、本実施の形態に従うセーフティコントローラ１００が実行する処理手順の一例を示すフローチャートである。図８には、セーフティコントローラ１００がデバッグモードおよび妥当性確認モードで動作する処理手順を示す。図８に示す各ステップは、セーフティコントローラ１００のプロセッサ１０２がシステムプログラム１１０２を実行することで実現されてもよい。
【0099】
図８を参照して、セーフティコントローラ１００は、デバッグモードで起動すると（ステップＳ２００においてＹＥＳ）、セーフティコントローラ１００に装着されたメモリカード５０に対象の未確認セーフティプログラム２０が格納されているか否かを判断する（ステップＳ２０２）。メモリカード５０に対象の未確認セーフティプログラム２０が格納されていなければ（ステップＳ２０２においてＮＯ）、処理は終了する。
【0100】
メモリカード５０に対象の未確認セーフティプログラム２０が格納されていれば（ステップＳ２０２においてＹＥＳ）、セーフティコントローラ１００は、メモリカード５０に格納されている未確認セーフティプログラム２０を読み出して、メインメモリ１０４に一時的に保持する（ステップＳ２０４）。そして、セーフティコントローラ１００は、セーフティプログラムの実行を停止している状態となり（ステップＳ２０６）、サービススイッチが押下されるまで待機する（ステップＳ２０８）。
【0101】
サービススイッチが押下されると（ステップＳ２０８においてＹＥＳ）、セーフティコントローラ１００は、メインメモリ１０４に一時的に保持されている未確認セーフティプログラム２０の実行を開始し（ステップＳ２１０）、ディップスイッチにより妥当性確認モードへの変更が指示されるまで、未確認セーフティプログラム２０の実行を継続する（ステップＳ２１２においてＮＯ）。
【0102】
ディップスイッチにより妥当性確認モードへの変更が指示されると（ステップＳ２１２においてＹＥＳ）、セーフティコントローラ１００は、未確認セーフティプログラム２０の実行を停止する（ステップＳ２１４）。そして、セーフティコントローラ１００は、妥当性確認コード４０の入力を待つ（ステップＳ２１６）。
【0103】
妥当性確認コード４０が入力されると（ステップＳ２１６においてＹＥＳ）、セーフティコントローラ１００は、メインメモリ１０４に一時的に保持されている未確認セーフティプログラム２０に基づいて妥当性確認コード４２を生成し（ステップＳ２１８）、生成した妥当性確認コード４２と入力された妥当性確認コード４０とが一致するか否かを判断する（ステップＳ２２０）。
【0104】
生成した妥当性確認コード４２と入力された妥当性確認コード４０とが一致していなければ（ステップＳ２２０においてＮＯ）、セーフティコントローラ１００は、異常終了を通知し（ステップＳ２２２）、処理を終了する。
【0105】
生成した妥当性確認コード４２と入力された妥当性確認コード４０とが一致していれば（ステップＳ２２０においてＹＥＳ）、セーフティコントローラ１００は、メインメモリ１０４に一時的に保持している未確認セーフティプログラム２０を確認済セーフティプログラム３０（通常実行するセーフティプログラム）としてストレージ１１０に格納する（ステップＳ２２４）。そして、処理は終了する。
【0106】
なお、セーフティコントローラ１００は、電源が再度オンされると、ストレージ１１０に格納されている確認済セーフティプログラム３０の実行を開始する。
【0107】
＜Ｇ．変形例＞
上述の実施の形態に関して、以下のような変形例を採用してもよい。
上述の実施の形態に関して、以下のような変形例を採用してもよい。
【0108】
（ｇ１：未確認セーフティプログラムの保持）
上述の実施の形態においては、未確認セーフティプログラム２０をメインメモリ１０４に一時的に保持した後に、ストレージ１１０に移動させる処理を採用した構成を例示したが、これに限らず、未確認セーフティプログラム２０についてもストレージ１１０に格納するようにしてもよい。
上述の実施の形態においては、未確認セーフティプログラム２０をメインメモリ１０４に一時的に保持した後に、ストレージ１１０に移動させる処理を採用した構成を例示したが、これに限らず、未確認セーフティプログラム２０についてもストレージ１１０に格納するようにしてもよい。
【0109】
この場合であっても、未確認セーフティプログラム２０が一時的に保持されることを実現するために、セーフティコントローラ１００は、電源がオンされたときに、ストレージ１１０に格納されている未確認セーフティプログラム２０を自動的に削除するようにしてもよい。あるいは、セーフティコントローラ１００は、電源がオンされたときに、ストレージ１１０に格納されている未確認セーフティプログラム２０については無効化するようにしてもよい。
【0110】
メインメモリ１０４に一時的に保持する構成を採用しないことで、メインメモリ１０４の必要な容量が増大することを抑制できる。
【0111】
（ｇ２：妥当性確認コードの組み込み）
上述の実施の形態においては、セーフティコントローラ１００が未確認セーフティプログラム２０に基づいて妥当性確認コード４２を算出し、算出された妥当性確認コード４２と入力された妥当性確認コード４０との一致を判断する構成を例示したが、サポート装置２００が生成する未確認セーフティプログラム２０に妥当性確認コード４２を組み込むようにしてもよい。このように、妥当性確認コード４０と同一の妥当性確認コードが生成された未確認セーフティプログラム２０に組み込まれもよい。
上述の実施の形態においては、セーフティコントローラ１００が未確認セーフティプログラム２０に基づいて妥当性確認コード４２を算出し、算出された妥当性確認コード４２と入力された妥当性確認コード４０との一致を判断する構成を例示したが、サポート装置２００が生成する未確認セーフティプログラム２０に妥当性確認コード４２を組み込むようにしてもよい。このように、妥当性確認コード４０と同一の妥当性確認コードが生成された未確認セーフティプログラム２０に組み込まれもよい。
【0112】
一方、セーフティコントローラ１００の妥当性確認コード生成モジュール１６０は、一時的に保持された未確認セーフティプログラム２０に組み込まれた妥当性確認コードを比較用の妥当性確認コード４２として決定する。
【0113】
すなわち、セーフティコントローラ１００は、メモリカード５０から読み出した未確認セーフティプログラム２０に組み込まれた妥当性確認コードと、入力された妥当性確認コード４０との一致を判断するようにしてもよい。
【0114】
この構成によれば、セーフティコントローラ１００において妥当性確認コード４２を算出する必要がないので、セーフティコントローラ１００に要求される処理リソースなどの増大化を抑制できる。
【0115】
（ｇ３：外部装置を介した妥当性確認コード４０の入力）
上述の実施の形態においては、セーフティコントローラ１００に設けられたロータリースイッチやサービススイッチを用いて妥当性確認コード４０が入力される構成を例示したが、セーフティコントローラ１００とは異なる装置（例えば、タッチパネル、ＨＭＩ、ＰＴなどのデバイスや、上位のコントローラなど）から妥当性確認コード４０を入力するようにしてもよい。
上述の実施の形態においては、セーフティコントローラ１００に設けられたロータリースイッチやサービススイッチを用いて妥当性確認コード４０が入力される構成を例示したが、セーフティコントローラ１００とは異なる装置（例えば、タッチパネル、ＨＭＩ、ＰＴなどのデバイスや、上位のコントローラなど）から妥当性確認コード４０を入力するようにしてもよい。
【0116】
このように、セーフティコントローラ１００とは別の装置に対して入力された妥当性確認コード４０が、当該別の装置からセーフティコントローラ１００へ提供されるようにしてもよい。この構成によれば、妥当性確認コード４０をより容易に入力することができる。
【0117】
（ｇ４：サポート装置２００および未確認セーフティプログラム２０）
本実施の形態に従うサポート装置２００は、セーフティコントローラ１００を所有している組織の所有であってもよいし、第三者の所有であってもよい。例えば、セーフティコントローラ１００を製造販売しているメーカあるいは販売会社などがサポート装置２００を所有していてもよい。
本実施の形態に従うサポート装置２００は、セーフティコントローラ１００を所有している組織の所有であってもよいし、第三者の所有であってもよい。例えば、セーフティコントローラ１００を製造販売しているメーカあるいは販売会社などがサポート装置２００を所有していてもよい。
【0118】
また、サポート装置２００が未確認セーフティプログラム２０を生成する操作は、セーフティコントローラ１００を所有している組織の設計者が行ってもよいし、別の組織（例えば、セーフティコントローラ１００を製造販売しているメーカや、セーフティコントローラ１００を含むシステムを構築するシステムインテグレータなど）に属する設計者が行ってもよい。
【0119】
また、設計者が対象のセーフティコントローラ１００に応じたセーフティロジックをサポート装置２００上で都度開発することで、未確認セーフティプログラム２０が生成されてもよいし、既存の生産ラインを増設するような場合には、予め作成されたセーフティプログラムのプロジェクトを再度ビルドすることで、未確認セーフティプログラム２０が生成されてもよい。この場合には、サポート装置２００が自動的に未確認セーフティプログラム２０および妥当性確認コードを生成するようにしてもよい。
【0120】
＜Ｈ．付記＞
上述したような本実施の形態は、以下のような技術思想を含む。
上述したような本実施の形態は、以下のような技術思想を含む。
【0121】
［構成１］
サポート装置（２００）およびセーフティコントローラ（１００）を備えるセーフティシステム（１）であって、
前記サポート装置は、
セーフティプログラム（２０）を生成する第１の生成部（２５０）と、
前記生成されたセーフティプログラムに基づいて第１の妥当性確認コード（４０）を生成する第２の生成部（２６０）とを備え、
前記セーフティコントローラは、
記憶媒体（５０）に格納されたセーフティプログラム（２０）を読み出して一時的に保持する記憶領域（１０４）と、
前記一時的に保持されたセーフティプログラムを実行する実行部（１７０）と、
前記一時的に保持されたセーフティプログラムに基づいて第２の妥当性確認コード（４２）を生成する第３の生成部（１６０）と、
ユーザ操作によって入力された前記第１の妥当性確認コードと、前記第２の妥当性確認コードとが一致すると、前記一時的に保持されたセーフティプログラムを通常実行するセーフティプログラム（３０）として決定する管理部（１５０）とを備える、セーフティシステム。
サポート装置（２００）およびセーフティコントローラ（１００）を備えるセーフティシステム（１）であって、
前記サポート装置は、
セーフティプログラム（２０）を生成する第１の生成部（２５０）と、
前記生成されたセーフティプログラムに基づいて第１の妥当性確認コード（４０）を生成する第２の生成部（２６０）とを備え、
前記セーフティコントローラは、
記憶媒体（５０）に格納されたセーフティプログラム（２０）を読み出して一時的に保持する記憶領域（１０４）と、
前記一時的に保持されたセーフティプログラムを実行する実行部（１７０）と、
前記一時的に保持されたセーフティプログラムに基づいて第２の妥当性確認コード（４２）を生成する第３の生成部（１６０）と、
ユーザ操作によって入力された前記第１の妥当性確認コードと、前記第２の妥当性確認コードとが一致すると、前記一時的に保持されたセーフティプログラムを通常実行するセーフティプログラム（３０）として決定する管理部（１５０）とを備える、セーフティシステム。
【0122】
［構成２］
前記セーフティコントローラは、前記記憶媒体に格納されたセーフティプログラムを揮発性領域記憶装置（１０４）に保持し、前記通常実行するセーフティプログラムを不揮発性記憶装置（１１０）に格納する、構成１に記載のセーフティシステム。
前記セーフティコントローラは、前記記憶媒体に格納されたセーフティプログラムを揮発性領域記憶装置（１０４）に保持し、前記通常実行するセーフティプログラムを不揮発性記憶装置（１１０）に格納する、構成１に記載のセーフティシステム。
【0123】
［構成３］
前記第２の生成部は、予め定められたアルゴリズムに従って、前記生成されたセーフティプログラムから前記第１の妥当性確認コードを算出し、
前記第３の生成部は、前記予め定められたアルゴリズムに従って、前記一時的に保持されたセーフティプログラムから前記第２の妥当性確認コードを算出する、構成１または２に記載のセーフティシステム。
前記第２の生成部は、予め定められたアルゴリズムに従って、前記生成されたセーフティプログラムから前記第１の妥当性確認コードを算出し、
前記第３の生成部は、前記予め定められたアルゴリズムに従って、前記一時的に保持されたセーフティプログラムから前記第２の妥当性確認コードを算出する、構成１または２に記載のセーフティシステム。
【0124】
［構成４］
前記第１の妥当性確認コードと同一の妥当性確認コードが前記生成されたセーフティプログラムに組み込まれ、
前記第３の生成部は、前記一時的に保持されたセーフティプログラムに組み込まれた妥当性確認コードを前記第２の妥当性確認コードとして決定する、構成１または２に記載のセーフティシステム。
前記第１の妥当性確認コードと同一の妥当性確認コードが前記生成されたセーフティプログラムに組み込まれ、
前記第３の生成部は、前記一時的に保持されたセーフティプログラムに組み込まれた妥当性確認コードを前記第２の妥当性確認コードとして決定する、構成１または２に記載のセーフティシステム。
【0125】
［構成５］
前記サポート装置は、前記第１の妥当性確認コードを表示する出力部（２０８）をさらに備える、構成１～４のいずれか１項に記載のセーフティシステム。
前記サポート装置は、前記第１の妥当性確認コードを表示する出力部（２０８）をさらに備える、構成１～４のいずれか１項に記載のセーフティシステム。
【0126】
［構成６］
前記セーフティコントローラは、前記第１の妥当性確認コードの入力を受け付ける入力部（１１２）をさらに備える、構成１～５のいずれか１項に記載のセーフティシステム。
前記セーフティコントローラは、前記第１の妥当性確認コードの入力を受け付ける入力部（１１２）をさらに備える、構成１～５のいずれか１項に記載のセーフティシステム。
【0127】
［構成７］
前記セーフティコントローラとは別の装置に対して入力された前記第１の妥当性確認コードが、当該別の装置から前記セーフティコントローラへ提供される、構成１～６のいずれか１項に記載のセーフティシステム。
前記セーフティコントローラとは別の装置に対して入力された前記第１の妥当性確認コードが、当該別の装置から前記セーフティコントローラへ提供される、構成１～６のいずれか１項に記載のセーフティシステム。
【0128】
［構成８］
記憶媒体（５０）に格納されたセーフティプログラム（２０）を読み出して一時的に保持する記憶領域（１０４）を備え、前記セーフティプログラムは、サポート装置（２００）により生成されたものであり、前記サポート装置は、前記生成されたセーフティプログラムに基づいて第１の妥当性確認コード（２０）を生成し、
前記一時的に保持されたセーフティプログラムを実行する実行部（１７０）と、
前記一時的に保持されたセーフティプログラムに基づいて第２の妥当性確認コードを生成する第３の生成部（１６０）と、
ユーザ操作によって入力された前記第１の妥当性確認コードと、前記第２の妥当性確認コードとが一致すると、前記一時的に保持されたセーフティプログラムを通常実行するセーフティプログラム（３０）として決定する管理部（１５０）とを備える、セーフティコントローラ。
記憶媒体（５０）に格納されたセーフティプログラム（２０）を読み出して一時的に保持する記憶領域（１０４）を備え、前記セーフティプログラムは、サポート装置（２００）により生成されたものであり、前記サポート装置は、前記生成されたセーフティプログラムに基づいて第１の妥当性確認コード（２０）を生成し、
前記一時的に保持されたセーフティプログラムを実行する実行部（１７０）と、
前記一時的に保持されたセーフティプログラムに基づいて第２の妥当性確認コードを生成する第３の生成部（１６０）と、
ユーザ操作によって入力された前記第１の妥当性確認コードと、前記第２の妥当性確認コードとが一致すると、前記一時的に保持されたセーフティプログラムを通常実行するセーフティプログラム（３０）として決定する管理部（１５０）とを備える、セーフティコントローラ。
【0129】
［構成９］
サポート装置（２００）およびセーフティコントローラ（１００）を備えるセーフティシステム（１）における処理方法であって、
前記サポート装置が、セーフティプログラム（２０）を生成するステップ（Ｓ１０２～Ｓ１０６）と、
前記サポート装置が、前記生成されたセーフティプログラムに基づいて第１の妥当性確認コード（４０）を生成するステップ（Ｓ１０８）と、
前記セーフティコントローラが、記憶媒体（５０）に格納されたセーフティプログラム（２０）を読み出して記憶領域（１０４）に一時的に保持するステップ（Ｓ１０８）と、
前記一時的に保持されたセーフティプログラムを実行するステップ（Ｓ２１０）と、
前記一時的に保持されたセーフティプログラムに基づいて第２の妥当性確認コード（４２）を生成するステップ（Ｓ２１８）と、
ユーザ操作によって入力された前記第１の妥当性確認コードと、前記第２の妥当性確認コードとが一致すると、前記一時的に保持されたセーフティプログラムを通常実行するセーフティプログラムとして決定するステップ（Ｓ２２０～Ｓ２２４）とを備える、処理方法。
サポート装置（２００）およびセーフティコントローラ（１００）を備えるセーフティシステム（１）における処理方法であって、
前記サポート装置が、セーフティプログラム（２０）を生成するステップ（Ｓ１０２～Ｓ１０６）と、
前記サポート装置が、前記生成されたセーフティプログラムに基づいて第１の妥当性確認コード（４０）を生成するステップ（Ｓ１０８）と、
前記セーフティコントローラが、記憶媒体（５０）に格納されたセーフティプログラム（２０）を読み出して記憶領域（１０４）に一時的に保持するステップ（Ｓ１０８）と、
前記一時的に保持されたセーフティプログラムを実行するステップ（Ｓ２１０）と、
前記一時的に保持されたセーフティプログラムに基づいて第２の妥当性確認コード（４２）を生成するステップ（Ｓ２１８）と、
ユーザ操作によって入力された前記第１の妥当性確認コードと、前記第２の妥当性確認コードとが一致すると、前記一時的に保持されたセーフティプログラムを通常実行するセーフティプログラムとして決定するステップ（Ｓ２２０～Ｓ２２４）とを備える、処理方法。
【0130】
＜Ｉ．利点＞
セーフティコントローラ１００を稼働させるためには、ファンクショナルセーフティ要求事項を満たすことを設置現場で確認する必要がある。
セーフティコントローラ１００を稼働させるためには、ファンクショナルセーフティ要求事項を満たすことを設置現場で確認する必要がある。
【0131】
上述した関連記述においては、サポート装置をセーフティコントローラ１００に接続して各種の操作および処理を行う必要がある。そのため、サポート装置の設置現場への持ち込みの手間や、サポート装置を操作するスキルを有する設計者が出向かなければならないといった負荷が生じ得る。
【0132】
これに対して、本実施の形態においては、メモリカードなどの記憶媒体に格納されたセーフティプログラムをセーフティコントローラ１００に提供するとともに、一連の妥当性確認が完了すると、妥当性確認コード４０を追加的に入力するだけで、セーフティコントローラ１００を稼働できる状態にすることができる。この結果、設計者がサポート装置を持参してセーフティコントローラ１００の設置現場などへ出向く必要がなくなるとともに、サポート装置を操作するスキルを有していない作業者であっても、妥当性確認さえ行えれば、セーフティコントローラ１００を通常の稼働状態にすることができる。
【0133】
さらに、本実施の形態の仕組みを用いることで、遠隔地にいる設計者と設置現場にいる作業者とが連係して、セーフティコントローラ１００を稼働させるために必要な処理を完結させることができる。
【0134】
今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は、上記した説明ではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
【符号の説明】
【0135】
１ セーフティシステム、２０ 未確認セーフティプログラム、３０ 確認済セーフティプログラム、４０，４２ 妥当性確認コード、５０ メモリカード、１００，１００Ａ セーフティコントローラ、１０２，２０２ プロセッサ、１０４，２０４ メインメモリ、１０６ フィールドネットワークコントローラ、１０８，２１８ ＵＳＢコントローラ、１１０，２１０ ストレージ、１１２，２０６ 入力部、１１４，２１６ メモリカードインターフェイス、１１６ セーフティローカルバスコントローラ、１１８ セーフティＩＯユニット、１２０，２２０ プロセッサバス、１５０ 管理モジュール、１６０，２６０ 妥当性確認コード生成モジュール、１７０ 実行エンジン、２００ サポート装置、２０８ 出力部、２１２ 光学ドライブ、２１４ 記憶媒体、２５０ セーフティプログラム生成モジュール、３００ セーフティデバイス、１０４２ プログラム保持領域、１１０２ システムプログラム、２１０２ ＯＳ、２１０４ 開発プログラム、２１０６ プロジェクトデータ、２１０８ セーフティソースプログラム。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】