特許 7519760 通信装置、事前共有鍵の更新方法及び事前共有鍵の更新プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-07-11

(45)【発行日】2024-07-22

(54)【発明の名称】通信装置、事前共有鍵の更新方法及び事前共有鍵の更新プログラム

(51)【国際特許分類】

   H04L 9/08 20060101AFI20240712BHJP

   H04L 9/16 20060101ALI20240712BHJP

【ＦＩ】

H04L9/08 B

H04L9/08 E

H04L9/16

【請求項の数】 10

(21)【出願番号】P 2019040326

(22)【出願日】2019-03-06

(65)【公開番号】P2020145572

(43)【公開日】2020-09-10

【審査請求日】2022-02-17

【審判番号】

【審判請求日】2023-08-16

(73)【特許権者】

【識別番号】000000099

【氏名又は名称】株式会社ＩＨＩ

(74)【代理人】

【識別番号】100083806

【弁理士】

【氏名又は名称】三好 秀和

(72)【発明者】

【氏名】三浦 俊宏

【合議体】

【審判長】吉田 美彦

【審判官】須田 勝巳

【審判官】大塚 俊範

(56)【参考文献】

【文献】特開２００６－１７４３０６（ＪＰ，Ａ）

【文献】特開２００９－０７１６０６（ＪＰ，Ａ）

【文献】特開２００６－２２１５６３（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

H04L 9/08

(57)【特許請求の範囲】

【請求項1】

相手方通信装置と共有する事前共有鍵を用いた暗号通信を前記相手方通信装置との間で行う通信部と、
動作モードが設定される設定部と、
携帯式の外部記憶デバイスが接続及び接続解消可能な外部接続ポートと、
前記動作モードとして第１モードが前記設定部に設定されかつ前記外部接続ポートに前記外部記憶デバイスが接続されている状態で、新規の事前共有鍵を生成して前記事前共有鍵を前記新規の事前共有鍵に更新すると共に該新規の事前共有鍵を前記外部記憶デバイスに記憶させる制御を行い、前記動作モードとして第２モードが前記設定部に設定されかつ前記外部接続ポートに前記外部記憶デバイスが接続されている状態で、前記外部記憶デバイスに記憶されている前記新規の事前共有鍵に前記事前共有鍵を更新する制御を行う制御部と、
を備える通信装置。

【請求項2】

前記動作モードは第３モードを含んでおり、前記制御部は、前記第３モードが前記設定部に設定されている状態で、前記事前共有鍵の更新を禁止する制御を行う請求項１記載の通信装置。

【請求項3】

前記第３モードは、前記通信部による前記事前共有鍵を用いた暗号通信を無効とする動作モードである請求項２記載の通信装置。

【請求項4】

前記第１モードは、前記通信部による前記事前共有鍵を用いた暗号通信を無効とする動作モードであり、前記第２モードは、前記通信部による前記事前共有鍵を用いた暗号通信を有効とするモードである請求項１、２又は３記載の通信装置。

【請求項5】

前記通信部による前記事前共有鍵を用いた暗号通信の有効又は無効を報知するインジケータをさらに備える請求項３又は４記載の通信装置。

【請求項6】

前記制御部は、前記相手方通信装置との間の通信が発生すると、前記設定部に設定されている前記動作モードに応じた制御を行う請求項１、２、３、４又は５記載の通信装置。

【請求項7】

前記設定部は、ユーザにより操作される操作部を含んでいる請求項１、２、３、４、５又は６記載の通信装置。

【請求項8】

プラントのフィールド機器の制御ユニットに設けられ、前記通信部は、前記相手方通信装置として、プラント制御システム上の動作管理機器との間で前記事前共有鍵を用いた暗号通信を行う請求項１、２、３、４、５、６又は７記載の通信装置。

【請求項9】

相手方通信装置と共有する事前共有鍵を用いた暗号通信を前記相手方通信装置との間で行う通信部の動作モードを、設定部における前記動作モードの設定状態から検出するモード検出ステップと、
外部接続ポートに対して接続及び接続解消される携帯式の外部記憶デバイスの、前記外部接続ポートに対する接続の有無を検出する接続検出ステップと、
検出した前記動作モードが第１モードである状態で前記外部接続ポートに対する前記外部記憶デバイスの接続を検出すると、新規の事前共有鍵を生成すると共に前記新規の事前共有鍵を前記外部記憶デバイスに記憶させる鍵生成ステップと、
検出した前記動作モードが第２モードである状態で前記外部接続ポートに対する前記外部記憶デバイスの接続を検出すると、前記外部記憶デバイスから該外部記憶デバイスが記憶している前記新規の事前共有鍵を取得する鍵取得ステップと、
前記事前共有鍵を、前記生成した新規の事前共有鍵又は前記取得した新規の事前共有鍵に更新する鍵更新ステップと、
をコンピュータが実行する、
事前共有鍵の更新方法。

【請求項10】

相手方通信装置と共有する事前共有鍵を用いた暗号通信を前記相手方通信装置との間で行う通信部の動作モードを、設定部における前記動作モードの設定状態から検出するモード検出ステップと、
外部接続ポートに対して接続及び接続解消される携帯式の外部記憶デバイスの、前記外部接続ポートに対する接続の有無を検出する接続検出ステップと、
検出した前記動作モードが第１モードである状態で前記外部接続ポートに対する前記外部記憶デバイスの接続を検出すると、新規の事前共有鍵を生成すると共に前記新規の事前共有鍵を前記外部記憶デバイスに記憶させる鍵生成ステップと、
検出した前記動作モードが第２モードである状態で前記外部接続ポートに対する前記外部記憶デバイスの接続を検出すると、前記外部記憶デバイスから該外部記憶デバイスが記憶している前記新規の事前共有鍵を取得する鍵取得ステップと、
前記事前共有鍵を、前記生成した新規の事前共有鍵又は前記取得した新規の事前共有鍵に更新する鍵更新ステップと、
をコンピュータに実行させる、
事前共有鍵の更新プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、事前共有鍵を用いた装置間通信に関する。

【背景技術】

【0002】

例えば、工場、発電所、設備、機械等のプラントには、アクチューエータ、アクチュエータの動作状態に応じた物理量を検出するセンサ、プラントの状態を計測する計測器等のフィールド機器が、多数設けられる。

【0003】

各フィールド機器には、アクチュエータの動作を制御する制御装置又はＰＬＣ（プログラマブルロジックコントローラ）がそれぞれ設けられる。制御装置又はＰＬＣ（以下、「制御装置等」ということがある。）は、センサ及び計測器等が検出したプラントの物理量を、有線又は無線のフィールドバスによって、プラントの運転状態を管理する箇所の動作管理機器に送信する。

【0004】

動作管理機器は、フィールドバスを介して入力されたプラントの物理量を参照して、動作管理機器に対して指示されたプラントの運転内容に応じたアクチュエータの制御量を決定する。そして、決定した制御量をフィールドバスを介してフィールド機器の制御装置等に送信する。

【0005】

即ち、プラントのフィールド機器の動作をプラントの管理箇所の動作管理機器で制御するプラントの制御システムでは、各フィールド機器の制御装置等と動作管理機器との通信がフィールドバス上で行われる。

【0006】

ところで、無線ＬＡＮ上の通信では、無線信号の受信エリアにいるアクセス権限のない通信装置が無線ＬＡＮ上の通信装置に不正アクセスする可能性がある。そこで、アクセス権限のない通信装置の不正アクセスを防止するために、認証を行うことが多い。その中でも、デバイス間認証は、認証サーバを必要としないことから広く利用されている。

【0007】

デバイス間認証では、ネットワーク上で通信装置同士が共通の暗号鍵を用いた暗号通信を行う。つまり、送信側の通信装置が暗号鍵を用いてデータを暗号化し、受信側の通信装置が同じ暗号鍵を用いて受信データを復号する。

【0008】

これに対し、通信装置をネットワークに有線接続する有線ＬＡＮでは、アクセス権限のない通信装置が無秩序に有線ＬＡＮに接続されることは考えづらい。このため、有線ＬＡＮ上の通信において、アクセス権限のない通信装置の不正アクセスを防止する必要性は、無線ＬＡＮ上の通信に比べて低い。

【0009】

しかし、有線ＬＡＮ上の通信においても、通信内容の漏洩防止対策として、デバイス間認証を行うケースが見受けられる。

【0010】

特に、事前共有鍵を用いて共通の暗号鍵を生成するＰＳＫ暗号スイートによるデバイス間認証は、認証処理の所要時間が短いので、２つの通信装置間の通信が早く確立するという利点がある。しかも、認証処理に必要なメモリ使用量が少ないという利点がある。

【0011】

例えば、ＰＳＫ暗号スイート（例：DHE-PSK-AES128-CBC-SHA256 ）は、公開鍵（ＲＳＫ）を用いて共通の暗号鍵を生成する暗号スイート（DHE-RSA-AES128-SHA256 ）よりも、認証処理の所要時間が約半分、認証処理に必要なメモリ使用量が約３分の１で済む。

【0012】

このため、ＰＳＫ暗号スイートによるデバイス間認証は、例えばプラントの制御システムのような、高速通信が必要な産業系の制御システムで行うのに適している。

【0013】

ＰＳＫ暗号スイートによるデバイス間認証では、各通信装置に事前共有鍵（ＰＳＫ）をそれぞれ持たせておき、送信側の通信装置から受信側の通信装置に、事前共有鍵を用いて暗号化プロトコルを暗号通信する。暗号化された暗号化プロトコルを受信した受信側の通信装置は、事前共有鍵により平文の暗号化プロトコルに復号する。これで、各通信装置がそれぞれ暗号化プロトコルを有する状態となる。

【0014】

そこで、送信側及び受信側の各通信装置において、事前共有鍵（ＰＳＫ）を用いた暗号化プロトコルによって、共通の暗号鍵をそれぞれ生成する。すると、各通信装置が共通の暗号鍵をそれぞれ有する状態となる。

【0015】

以後、共通の暗号鍵を有する有線ＬＡＮ上の各通信装置は、暗号鍵により暗号化したデータを送信し、また、受信した暗号化データを送信側と同じ暗号鍵で平文に復号する、セキュアな暗号通信を行うことになる。

【0016】

なお、ＰＳＫ暗号スイートによるデバイス間認証では、事前共有鍵が不正に取得されてしまうと、その事前共有鍵を利用してアクセス権限のないデバイスがＰＳＫ暗号スイートによるデバイス間認証をクリアし、不正な通信を行う可能性がある。

【0017】

そこで、ＰＳＫ暗号スイートによるデバイス間認証では、各通信装置の事前共有鍵を定期的に更新することが重要である。

【0018】

事前共有鍵の更新に関する技術の一例として、無線ＬＡＮ上の無線端末が無線通信を行う有線ＬＡＮ上の無線アンテナの事前共有鍵を更新する手順を提案したものがある。つまり、以下に説明する提案は、有線ＬＡＮと無線ＬＡＮとの併用を前提にした通信システムにおける、通信装置の事前共有鍵の更新手順である。

【0019】

なお、以下の手順で更新する無線アンテナの事前共有鍵は、無線アンテナと無線端末とが共有して無線ＬＡＮ上での無線通信の際に用いるものである。

【0020】

そして、提案された更新手順とは、無線ＬＡＮ上の無線端末が有する事前共有鍵の更新処理を先に行い、その正常完了後に、有線ＬＡＮ上の無線アンテナが有する事前共有鍵の更新処理を行うというものである。

【0021】

具体的には、まず、有線ＬＡＮ上の管理端末が生成した更新用の事前共有鍵を、有線ＬＡＮ上の無線アンテナ及び無線ＬＡＮを介して無線端末に送信し、無線端末の事前共有鍵を更新用の事前共有鍵に更新させる。このとき、管理端末との信号送受信状況が正常でない無線端末の存在が管理端末によって特定されたら、その無線端末を管理端末を配置した管理室に移動させる。

【0022】

次に、管理室に配置した更新専用無線アンテナ及び無線ＬＡＮを介して、管理室に移動させた無線端末に、更新専用事前共有鍵を使用した暗号通信により、管理端末が生成した更新用の事前共有鍵を送信する。そして、無線端末が受信した暗号化データを、無線端末に予め設定しておいた更新専用事前共有鍵によって、更新用の事前共有鍵（平文）に復号する。そして、無線端末の事前共有鍵を、復号した更新用の事前共有鍵に更新させる。

【0023】

最後に、全ての無線端末の事前共有鍵を更新させた後、管理端末が有線ＬＡＮを通じて無線アンテナに更新用の事前共有鍵を送信し、無線アンテナの事前共有鍵を更新用の事前共有鍵に更新させる（以上、例えば特許文献１）。

【先行技術文献】

【特許文献】

【0024】

【文献】特開２０１３－１０６０９１号公報

【発明の概要】

【発明が解決しようとする課題】

【0025】

しかしながら、上述した提案は、有線ＬＡＮと無線ＬＡＮとを併用したネットワーク上で通信を行う通信装置の事前共有鍵の更新手順であり、例えば、ネットワークが有線ＬＡＮのみで構成されている制御システムでは運用できない。

【0026】

また、産業系の制御システムでは、プラントの作業員がプラントの各所に配置されたフィールド機器を回って制御装置又はＰＬＣの事前共有鍵の更新作業を行うことが多い。そのため、コンピュータのメンテナンスに慣れていなくても確実に事前共有鍵の更新作業を行えることが望ましい。

【0027】

本開示は前記事情に鑑みなされたもので、本開示の目的は、ネットワークの構成による制約を受けずに運用でき、暗号通信に用いる事前共有鍵の更新を簡便な作業で行うことができるようにすることにある。

【課題を解決するための手段】

【0028】

上記目的を達成するため、本開示の第１の態様による通信装置は、
相手方通信装置と共有する事前共有鍵を用いた暗号通信を前記相手方通信装置との間で行う通信部と、
動作モードが設定される設定部と、
外部記憶デバイスが接続可能な外部接続ポートと、
前記動作モードとして第１モードが前記設定部に設定されかつ前記外部接続ポートに前記外部記憶デバイスが接続されている状態で、新規の事前共有鍵を生成して前記事前共有鍵を前記新規の事前共有鍵に更新すると共に該新規の事前共有鍵を前記外部記憶デバイスに記憶させる制御を行い、前記動作モードとして第２モードが前記設定部に設定されかつ前記外部接続ポートに前記外部記憶デバイスが接続されている状態で、前記外部記憶デバイスに記憶されている前記新規の事前共有鍵に前記事前共有鍵を更新する制御を行う制御部と、
を備える。

【0029】

本開示の第１の態様による通信装置によれば、設定部の動作モードを第１モードに設定して外部接続ポートに外部記憶デバイスを接続すると、現在の事前共有鍵が新しく生成された事前共有鍵に更新され、生成された事前共有鍵が外部記憶デバイスに記憶される。

【0030】

また、設定部の動作モードを第２モードに設定して、事前共有鍵が記憶された外部記憶デバイスを外部接続ポートに接続すると、現在の事前共有鍵が外部記憶デバイスに記憶された事前共有鍵に更新される。

【0031】

したがって、ネットワーク上に複数存在する通信装置のうち最初の通信装置では第１モードで外部記憶デバイスを接続し、次以降の通信装置では第２モードで外部記憶デバイスを接続すれば、各通信装置の事前共有鍵が新しい事前共有鍵に順次更新される。

【0032】

ここで、各通信装置の外部接続ポートに外部記憶デバイスをそれぞれ接続する作業はオフライン作業であり、ネットワークが有線ＬＡＮ、無線ＬＡＮ、あるいは、それらの複合のいずれで構成されていても、制約を受けずに実施できる作業である。

【0033】

このため、ネットワークの構成による制約を受けずに運用でき、暗号通信に用いる事前共有鍵の更新を簡便な作業で行うことができる。

【0034】

また、本開示の第２の態様による通信装置は、本開示の第１の態様による通信装置において、前記動作モードは第３モードを含んでおり、前記制御部は、前記第３モードが前記設定部に設定されている状態で、前記事前共有鍵の更新を禁止する制御を行う。

【0035】

本開示の第２の態様による通信装置によれば、本開示の第１の態様による通信装置において、設定部の動作モードを第３モードに設定すると、事前共有鍵の更新が禁止される。このため、現在の事前共有鍵を更新しないままにしておく必要がある場合に、仮に外部接続ポートに外部記憶デバイスが接続されても事前共有鍵は更新されないようにすることができる。

【0036】

さらに、本開示の第３の態様による通信装置は、本開示の第２の態様による通信装置において、前記第３モードは、前記通信部による前記事前共有鍵を用いた暗号通信を無効とする動作モードである。

【0037】

本開示の第３の態様による通信装置によれば、本開示の第２の態様による通信装置において、事前共有鍵を用いた暗号通信が無効にされると、事前共有鍵の更新が禁止された状態で、認証を省略した通信が通信装置間で行われることになる。このため、例えば、高いアクセス権限を有するユーザが操作するプログラム開発ツールを接続して通信装置のメンテナンス作業を行う場合等に、認証処理やそれに用いる事前共有鍵の更新が無用に行われて作業効率が低下するのを避けることができる。

【0038】

また、本開示の第４の態様による通信装置は、本開示の第１、第２又は第３の態様による通信装置において、前記第１モードは、前記通信部による前記事前共有鍵を用いた暗号通信を無効とする動作モードであり、前記第２モードは、前記通信部による前記事前共有鍵を用いた暗号通信を有効とするモードである。

【0039】

本開示の第４の態様による通信装置によれば、本開示の第１、第２又は第３の態様による通信装置において、第１モードでは、外部接続ポートに外部記憶デバイスを接続すると、制御部によって新しい事前共有鍵が生成される。つまり、第１モードは、現在の事前共有鍵を更新するのに必要な新しい事前共有鍵を制御部に生成させるために、外部接続ポートに外部記憶デバイスを接続することを前提に設定される動作モードである。

【0040】

したがって、動作モードが第１モードに設定されている間は、外部接続ポートに対する外部記憶デバイスの接続により制御部が新しい事前共有鍵の生成と現在の事前共有鍵の更新とをいつ開始しても良いように、事前共有鍵を用いた暗号通信が無効にされる。

【0041】

一方、第２モードでは、外部接続ポートに外部記憶デバイスを接続すれば、制御部によって現在の事前共有鍵が外部記憶デバイスの新しい事前共有鍵に更新される。しかし、外部接続ポートに外部記憶デバイスを接続しなければ、現在の事前共有鍵は更新されない。つまり、第２モードは、外部接続ポートに外部記憶デバイスを接続して現在の事前共有鍵を制御部に更新させる場合にも、外部接続ポートに外部記憶デバイスを接続せず現在の事前共有鍵を制御部に更新させない場合にも、設定され得る動作モードである。

【0042】

したがって、動作モードが第２モードに設定されている間は、事前共有鍵が更新されても更新されなくても、いつでも事前共有鍵を用いた暗号通信が行えるように、事前共有鍵を用いた暗号通信が有効にされる。

【0043】

このため、動作モードが第１モードである時と第２モードである時とに、事前共有鍵を用いた暗号通信の有効、無効の状態をそれぞれのモードに応じた状態にすることができる。

【0044】

さらに、本開示の第５の態様による通信装置は、本開示の第３又は第４の態様による通信装置において、前記通信部による前記事前共有鍵を用いた暗号通信の有効又は無効を報知するインジケータをさらに備える。

【0045】

本開示の第５の態様による通信装置によれば、本開示の第３又は第４の態様による通信装置において、暗号通信の有効、無効の状態をインジケータによって確認することで、相手方の通信装置とセキュアな通信が行える状態かどうかを判断することができる。

【0046】

また、本開示の第６の態様による通信装置は、本開示の第１、第２、第３、第４又は第５の態様による通信装置において、前記制御部は、前記相手方通信装置との間の通信が発生すると、前記設定部に設定されている前記動作モードに応じた制御を行う。

【0047】

本開示の第６の態様による通信装置によれば、本開示の第１、第２、第３、第４又は第５の態様による通信装置において、相手方通信装置との間で通信が発生するのをトリガとして、設定部の動作モードに応じた制御を制御部が行う。したがって、相手方通信装置との通信を、その時点で設定部に設定されている動作モードに応じた制御部の制御の元で実行させることができる。

【0048】

さらに、本開示の第７の態様による通信装置は、本開示の第１、第２、第３、第４、第５又は第６の態様による通信装置において、前記設定部は、ユーザにより操作される操作部を含んでいる。

【0049】

本開示の第７の態様による通信装置によれば、本開示の第１、第２、第３、第４、第５又は第６の態様による通信装置において、ユーザによる操作部の操作によって動作モードが設定部に設定される。ここで、設定部に動作モードを設定するためにユーザが操作部を操作する作業はオフライン作業である。

【0050】

このため、設定部に動作モードを設定する作業を、各通信装置の外部接続ポートに外部記憶デバイスをそれぞれ接続する作業と同じく、ネットワークの構成による制約を受けずに実施できる作業として、運用できるネットワークの対象を広げることができる。

【0051】

本開示の第８の態様による通信装置は、本開示の第１、第２、第３、第４、第５、第６又は第７の態様による通信装置において、プラントのフィールド機器の制御ユニットに設けられ、前記通信部は、前記相手方通信装置として、プラント制御システム上の動作管理機器との間で前記事前共有鍵を用いた暗号通信を行う。

【0052】

本開示の第８の態様による通信装置によれば、本開示の第１、第２、第３、第４、第５、第６又は第７の態様による通信装置において、プラントの動作管理機器とフィールド機器との間で、設定部の動作モードに応じた制御部の制御による通信が行われる。

【0053】

このため、プラント制御システムにおいてプラントの動作管理機器とフィールド機器とを接続するネットワークの構成による制約を受けずに運用でき、暗号通信に用いる事前共有鍵の更新を簡便な作業で行うことができる。

【0054】

また、上記目的を達成するため、本開示の第９の態様による事前共有鍵の更新方法は、
相手方通信装置と共有する事前共有鍵を用いた暗号通信を前記相手方通信装置との間で行う通信部の動作モードを、設定部における前記動作モードの設定状態から検出するモード検出ステップと、
外部接続ポートに対する外部記憶デバイスの接続の有無を検出する接続検出ステップと、
検出した前記動作モードが第１モードである状態で前記外部接続ポートに対する前記外部記憶デバイスの接続を検出すると、新規の事前共有鍵を生成する鍵生成ステップと、
検出した前記動作モードが第２モードである状態で前記外部接続ポートに対する前記外部記憶デバイスの接続を検出すると、前記外部記憶デバイスから該外部記憶デバイスが記憶している前記新規の事前共有鍵を取得する鍵取得ステップと、
前記事前共有鍵を、前記生成した新規の事前共有鍵又は前記取得した新規の事前共有鍵に更新する鍵更新ステップと、
を含む。

【0055】

さらに、上記目的を達成するため、本開示の第１０の態様による事前共有鍵の更新プログラムは、
相手方通信装置と共有する事前共有鍵を用いた暗号通信を前記相手方通信装置との間で行う通信部の動作モードを、設定部における前記動作モードの設定状態から検出するモード検出ステップと、
外部接続ポートに対する外部記憶デバイスの接続の有無を検出する接続検出ステップと、
検出した前記動作モードが第１モードである状態で前記外部接続ポートに対する前記外部記憶デバイスの接続を検出すると、新規の事前共有鍵を生成する鍵生成ステップと、
検出した前記動作モードが第２モードである状態で前記外部接続ポートに対する前記外部記憶デバイスの接続を検出すると、前記外部記憶デバイスから該外部記憶デバイスが記憶している前記新規の事前共有鍵を取得する鍵取得ステップと、
前記事前共有鍵を、前記生成した新規の事前共有鍵又は前記取得した新規の事前共有鍵に更新する鍵更新ステップと、
をコンピュータに実行させる。

【0056】

本開示の第９の態様による事前共有鍵の更新方法によれば、通信部の動作モードが第１モードに設定され、かつ、外部接続ポートに外部記憶デバイスが接続されると、相手方通信装置との暗号通信に用いる事前共有鍵が、新規に生成された事前共有鍵に更新される。

【0057】

また、通信部の動作モードが第２モードに設定され、かつ、外部接続ポートに外部記憶デバイスが接続されると、相手方通信装置との暗号通信に用いる事前共有鍵が、外部記憶デバイスから取得された新規の事前共有鍵に更新される。

【0058】

以上のことは、本開示の第１０の態様による事前共有鍵の更新プログラムにおいても同様である。

【0059】

したがって、ネットワーク上に複数存在する通信装置のうち最初の通信装置では第１モードで外部記憶デバイスを接続し、次以降の通信装置では第２モードで外部記憶デバイスを接続すれば、各通信装置の事前共有鍵が新しい事前共有鍵に順次更新される。

【0060】

ここで、各通信装置の外部接続ポートに外部記憶デバイスをそれぞれ接続する作業はオフライン作業であり、ネットワークが有線ＬＡＮ、無線ＬＡＮ、あるいは、それらの複合のいずれで構成されていても、制約を受けずに実施できる作業である。

【0061】

このため、ネットワークの構成による制約を受けずに運用でき、暗号通信に用いる事前共有鍵の更新を簡便な作業で行うことができる。

【発明の効果】

【0062】

本開示によれば、ネットワークの構成による制約を受けずに運用でき、暗号通信に用いる事前共有鍵の更新を簡便な作業で行うことができる。

【図面の簡単な説明】

【0063】

【図1】本開示の実施形態に係る制御システムの概略構成を示す説明図である。

【図2】図１の組込制御装置の外観を示す説明図である。

【図3】図２の組込制御装置の制御系の構成を示すブロック図である。

【図4】図２の組込制御装置のＣＰＵがデータ記憶部の事前共有鍵を更新する方法の手順の一例を示すフローチャートである。

【図5】図２の組込制御装置のＣＰＵがプログラム記憶部のプログラムにしたがって実行する事前共有鍵の更新処理の手順の一例を示すフローチャートである。

【図6】本開示の他の実施形態に係る制御システムにおいて図１の外部端末のＣＰＵが記憶部のプログラムにしたがって実行する事前共有鍵の生成処理の手順の一例を示すフローチャートである。

【図7】本開示のさらに他の実施形態に係るプラントの制御システムの概略構成を示す説明図である。

【発明を実施するための形態】

【0064】

以下、本開示の実施形態について図面を参照しながら説明する。図１は本開示の実施形態に係る制御システムを示す説明図である。

【0065】

図１に示す実施形態の制御システム１は、複数の組込制御装置３，３，…（通信装置に相当）を有線又は無線のＬＡＮ５に接続して構成されている。なお、ＬＡＮ５には、必要に応じて、外部端末７を接続することができる。外部端末７は、例えば、携帯可能なモバイルパーソナルコンピュータで構成することができる。

【0066】

各組込制御装置３には、例えば、組込制御装置３によって動作を制御する不図示の制御対象、制御対象の動作状態等を検出する不図示のセンサ、測定器等がそれぞれ接続される。各組込制御装置３は、センサ、測定器等からの検出信号を受信し、受信した検出信号を必要に応じてＬＡＮ５を介して他の組込制御装置３（相手方通信装置に相当）に送信することができる。

【0067】

また、各組込制御装置３は、センサ、測定器等から受信した検出信号、あるいは、他の組込制御装置３がセンサ、測定器等から受信しＬＡＮ５を介して受け取った検出信号に基づいて、制御対象の制御内容を決定し制御対象に制御信号を送信することができる。

【0068】

上述した各組込制御装置３は、ＬＡＮ５上で他の組込制御装置３と暗号通信を行うことができる。つまり、各組込制御装置３は、ＬＡＮ５上でデバイス間認証を伴う通信を行うことができる。本実施形態では、各組込制御装置３が、ＬＡＮ５上の通信でＰＳＫ暗号スイートによるデバイス間認証を行う場合について説明する。

【0069】

ＰＳＫ暗号スイートによるデバイス間認証は、ＬＡＮ５上で送信するデータを共通の暗号鍵（図示せず）で暗号化し、受信した暗号化データを同じ暗号鍵で復号することで行う。共通の暗号鍵は、事前共有鍵（ＰＳＫ）を用いた暗号化プロトコルによって生成することができる。このため、送信側の組込制御装置３から受信側の組込制御装置３に、暗号化プロトコルを送信する必要がある。

【0070】

そこで、本実施形態の制御システム１では、各組込制御装置３に事前共有鍵をそれぞれ持たせてある。事前共有鍵は、送信側の組込制御装置３から受信側の組込制御装置３に暗号化プロトコルを暗号通信するのに用いることができる。

【0071】

なお、ＰＳＫ暗号スイートによるデバイス間認証では、事前共有鍵が不正に取得されてしまうと、その事前共有鍵を利用してアクセス権限のないデバイスがＰＳＫ暗号スイートによるデバイス間認証をクリアし、ＬＡＮ５上で不正な通信を行う可能性がある。

【0072】

そこで、本実施形態の制御システム１では、各組込制御装置３に、事前共有鍵を定期的に更新するための構成をそれぞれ設けている。以下、事前共有鍵を更新するために各組込制御装置３にそれぞれ設けた構成を、図２及び図３を参照して説明する。

【0073】

まず、図２は、各組込制御装置３の外観を示す説明図である。図２に示すように、各組込制御装置３は、筐体の前面にモード設定部３１（設定部に相当）、ＵＳＢポート３３（外部接続ポートに相当）、インジケータ部３５を有している。

【0074】

モード設定部３１では、他の組込制御装置３との通信に関する組込制御装置３の動作モードを設定することができる。モード設定部３１は、例えば、キーシリンダ３７（操作部に相当）を有する構成とすることができる。キーシリンダ３７は、鍵穴３９にモード切替用キー４１を挿入することで、「Ｇｅｎｅｒａｔｅ」、「ＯＦＦ」、「ＯＮ」の３つのキーポジションのいずれかに回転させることができる。

【0075】

このうち、キーシリンダ３７が「Ｇｅｎｅｒａｔｅ」のキーポジションにあるときには、組込制御装置３の動作モードが共有鍵生成モード（第１モードに相当）に設定される。共有鍵生成モードでは、組込制御装置３において新しい事前共有鍵（新規の事前共有鍵に相当）を生成することができる。また、共有鍵生成モードでは、ＬＡＮ５上での暗号通信が無効とされる。

【0076】

また、キーシリンダ３７が「ＯＦＦ」のキーポジションにあるときには、組込制御装置３の動作モードが通常通信モード（第３モードに相当）に設定される。通常通信モードでは、ＬＡＮ５上での暗号通信が無効とされる。通常通信モードの組込制御装置３は、データを暗号化しない通常通信のみをＬＡＮ５上で行うことができる。また、通常通信モードの組込制御装置３は、事前共有鍵の更新を禁止することができる。

【0077】

さらに、キーシリンダ３７が「ＯＮ」のキーポジションにあるときには、組込制御装置３の動作モードが暗号通信モード（第２モードに相当）に設定される。暗号通信モードでは、ＬＡＮ５上での暗号通信が有効とされる。暗号通信モードの組込制御装置３は、データを暗号化する暗号通信をＬＡＮ５上で行うことができる。また、暗号通信モードの組込制御装置３は、事前共有鍵の更新を行うことができる。

【0078】

ＵＳＢポート３３は、ＵＳＢ（Universal Serial Bus）規格のフラッシュメモリ４３（外部記憶デバイスに相当）を接続可能な外部接続端子である。

【0079】

インジケータ部３５は、「ＲＵＮ」と「Ｃｏｍ」の２つのインジケータ４５，４７を有している。

【0080】

「ＲＵＮ」のインジケータ４５（暗号通信の有効又は無効を報知するインジケータに相当）では、例えば、組込制御装置３の状態を表示することができる。「ＲＵＮ」のインジケータ４５による表示パターンは、例えば、ＬＡＮ５上での暗号通信が有効な状態では「青色点灯」、無効な状態では「青色点滅」とすることができる。また、通信不良で制御停止の状態では「赤色点灯」、組込制御装置３の電源ＯＦＦの状態では「消灯」とすることができる。

【0081】

「Ｃｏｍ」のインジケータ４７では、例えば、組込制御装置３がＬＡＮ５上で通信中であることを表示することができる。「Ｃｏｍ」のインジケータ４７による表示パターンは、例えば、組込制御装置３がＬＡＮ５上で通信中である状態では「黄色点灯」、非通信中である状態では「消灯」とすることができる。

【0082】

図３は各組込制御装置３の制御系の構成を示すブロック図である。図３に示すように、各組込制御装置３は、ＣＰＵ３０１（制御部に相当）、通信部３０３、プログラム記憶部３０５及びデータ記憶部３０７を有している。また、各組込制御装置３は、キースイッチ３０９、ＵＳＢインタフェース３１１、インジケータドライバ３１３を有している。

【0083】

通信部３０３、プログラム記憶部３０５、データ記憶部３０７、キースイッチ３０９、ＵＳＢインタフェース３１１及びインジケータドライバ３１３は、ＣＰＵ３０１に接続されている。

【0084】

ＣＰＵ３０１は、プログラム記憶部３０５のプログラムを実行することで、組込制御装置３の動作を制御する処理を実行する。ＣＰＵ３０１が行う処理の一部は、後にフローチャートを参照して説明する。

【0085】

通信部３０３には、ＬＡＮ５を接続することができる。通信部３０３は、組込制御装置３がＬＡＮ５上で行う通信を制御する通信インタフェースである。

【0086】

プログラム記憶部３０５には、上述したように、組込制御装置３の動作を制御する処理のプログラムファイル等が記憶される。このプログラムファイルには、組込制御装置３の暗号通信に用いる事前共有鍵の生成プログラムが含まれている。

【0087】

データ記憶部３０７は、例えば、不揮発メモリ（フラッシュメモリ等）、ハードディスクドライブ、又はそれらの組み合わせによって構成することができる。データ記憶部３０７には、他の組込制御装置３と暗号通信を行う際に用いる事前共有鍵及び共通の暗号鍵が記憶される。

【0088】

キースイッチ３０９は、キーシリンダ３７のキーポジションに応じた信号を出力する。ＵＳＢインタフェース３１１は、ＵＳＢポート３３に接続されたフラッシュメモリ４３に対する信号の入出力を制御する。インジケータドライバ３１３は、「ＲＵＮ」及び「Ｃｏｍ」の各インジケータ４５，４７の点灯、消灯、点灯色を制御する。

【0089】

本実施形態の制御システム１では、各組込制御装置３において、ＣＰＵ３０１が、モード設定部３１に設定された動作モードに応じたパターンで、データ記憶部３０７の事前共有鍵を更新する。そこで、各組込制御装置３のＣＰＵ３０１がデータ記憶部３０７の事前共有鍵を更新するために実行する方法の手順の一例を、図４を参照して説明する。

【0090】

図４のフローチャートに示すように、本実施形態における事前共有鍵の更新方法は、モード検出、接続検出、鍵生成、鍵取得、及び、鍵更新の各ステップ（ステップＳ１、ステップＳ３、ステップＳ５、ステップＳ７及びステップＳ９）を含んでいる。

【0091】

このうち、ステップＳ１のモード検出ステップは、図３のキースイッチ３０９が検出した図２のキーシリンダ３７のキーポジションから、組込制御装置３の動作モードを検出するステップである。

【0092】

また、ステップＳ３の接続検出ステップは、図３のＵＳＢインタフェース３１１を介して検出される図２のＵＳＢポート３３のポート電位から、ＵＳＢポート３３に対するフラッシュメモリ４３の接続の有無を検出するステップである。

【0093】

さらに、ステップＳ５の鍵生成ステップは、他の組込制御装置３との暗号通信に用いる新しい事前共有鍵を生成し、ＵＳＢポート３３に接続されたフラッシュメモリ４３に記憶させるステップである。ステップＳ５の鍵生成ステップは、ステップＳ１で検出した組込制御装置３の動作モードが共有鍵生成モードであるときに実行することができる。

【0094】

また、ステップＳ７の鍵取得ステップは、図２のＵＳＢポート３３に接続されたフラッシュメモリ４３から、フラッシュメモリ４３に記憶されている新しい事前共有鍵を取得するステップである。ステップＳ７の鍵取得ステップは、ステップＳ１で検出した組込制御装置３の動作モードが暗号通信モードであるときに実行することができる。

【0095】

即ち、事前共有鍵を更新する際に、ステップＳ５の鍵生成ステップとステップＳ７の鍵取得ステップとが一度に両方とも実行されることはない。

【0096】

最後に、ステップＳ９の鍵更新ステップは、図３のデータ記憶部３０７の事前共有鍵を、ステップＳ５で生成した新しい事前共有鍵、又は、ステップＳ７でフラッシュメモリ４３から取得した新しい事前共有鍵に更新するステップである。ステップＳ９の鍵更新ステップは、ステップＳ１で検出した組込制御装置３の動作モードが共有鍵生成モード又は暗号通信モードであるときに実行することができる。

【0097】

以上の各ステップは、図４のフローチャートに示した順番通りの手順で行われるとは限らない。各ステップの全体又は一部は、図４に示した順番とは異なる手順で行うこともできる。そして、図３の各組込制御装置３のＣＰＵ３０１が実行するプログラム記憶部３０５のプログラムは、例えば、図４の全てのステップをＣＰＵ３０１が実行するように構成することができる。

【0098】

次に、図４に示した方法で図３のデータ記憶部３０７の事前共有鍵を更新するために、各組込制御装置３のＣＰＵ３０１がプログラム記憶部３０５のプログラムにしたがって実行する処理の手順の一例を、図５のフローチャートを参照して説明する。図５に示す処理の手順を各組込制御装置３のＣＰＵ３０１に実行させるプログラム記憶部３０５のプログラムは、事前共有鍵の更新プログラムに相当する。

【0099】

まず、ＣＰＵ３０１は、通信を開始するか否かを確認する（ステップＳ１１）。例えば、他の組込制御装置３にＬＡＮ５を介して送信する信号が発生した場合に、通信を開始するものとすることができる。通信を開始しない場合は（ステップＳ１１でＮＯ）、一連の処理を終了する。

【0100】

また、通信を開始する場合は（ステップＳ１１でＹＥＳ）、ＣＰＵ３０１は、組込制御装置３の通信に関する動作モードを検出する（ステップＳ１３）。検出した動作モードが通常通信モード（キーポジション「ＯＦＦ」）の場合は（ステップＳ３でＯＦＦ）、後述するステップＳ２７に処理を移行する。

【0101】

また、検出した動作モードが共有鍵生成モード（キーポジション「「Ｇｅｎｅｒａｔｅ」」）の場合は（ステップＳ３で「Ｇｅｎｅｒａｔｅ」）、ＣＰＵ３０１は、ＵＳＢポート３３に対するフラッシュメモリ４３の接続の有無を検出する（ステップＳ１５）。ＵＳＢポート３３にフラッシュメモリ４３が接続されていない場合は（ステップＳ１５でＮＯ）、エラー表示を行った後（ステップＳ１６）、ステップＳ２７に処理を移行する。なお、エラー表示は、例えば、「ＲＵＮ」のインジケータ４５の「赤点灯」によって行うことができる。

【0102】

一方、ＵＳＢポート３３にフラッシュメモリ４３が接続されている場合は（ステップＳ１５でＹＥＳ）、ＣＰＵ３０１は、新しい事前共有鍵を生成し、データ記憶部３０７に記憶されている事前共有鍵を新しい事前共有鍵に更新する（ステップＳ１７）。そして、生成した新しい事前共有鍵をフラッシュメモリ４３に記憶させた後（ステップＳ１９）、ステップＳ２７に処理を移行する。

【0103】

また、ステップＳ１３において検出した動作モードが暗号通信モード（キーポジション「ＯＮ」）の場合（ＯＮ）は、ＣＰＵ３０１は、ＵＳＢポート３３に対するフラッシュメモリ４３の接続の有無を検出する（ステップＳ２１）。

【0104】

フラッシュメモリ４３が接続されていない場合は（ステップＳ２１でＮＯ）、後述するステップＳ２５に処理を移行する。

【0105】

また、フラッシュメモリ４３が接続されている場合は（ステップＳ２１でＹＥＳ）、ＣＰＵ３０１は、フラッシュメモリ４３から新しい事前共有鍵を取得し、データ記憶部３０７に記憶されている事前共有鍵を新しい事前共有鍵に更新する（ステップＳ２３）。そして、ステップＳ２５に処理を移行する。

【0106】

なお、ＵＳＢポート３３に接続されたフラッシュメモリ４３に新しい事前共有鍵が記憶されていない場合は、ＣＰＵ３０１は、ステップＳ２３の処理を中止する。そして、ＣＰＵ３０１は、ＵＳＢポート３３にフラッシュメモリ４３が接続されていないものとして（ステップＳ２１でＮＯ）、後述するステップＳ２５に処理を移行する。

【0107】

ステップＳ２５では、ＣＰＵ３０１は、他の組込制御装置３に送信する信号に対して、データ記憶部３０７の事前共有鍵を用いた暗号化処理を行う。そして、ステップＳ２７に処理を移行する。

【0108】

なお、ステップＳ２５の暗号化処理では、ＣＰＵ３０１は、信号の受信側の組込制御装置３に、信号の暗号通信で用いる暗号化プロトコルを、データ記憶部３０７の事前共有鍵で暗号化して送信する。また、ＣＰＵ３０１は、データ記憶部３０７の事前共有鍵を用いた暗号化プロトコルによって、共通の暗号鍵を生成する。そして、生成した共通の暗号鍵によって、他の組込制御装置３に送信する信号を暗号化する。

【0109】

以上に説明したステップＳ２５の暗号化処理には、ステップＳ２３で事前共有鍵が更新された場合は新しい事前共有鍵が用いられる。また、ステップＳ２３で事前共有鍵が更新されなかった場合は今までと同じ事前共有鍵が用いられる。

【0110】

ステップＳ２７では、ＣＰＵ３０１は、受信側の組込制御装置３に対する信号（制御データ）の送信、受信側の組込制御装置３からの応答信号（制御データ）等の受信を、ＬＡＮ５上の通信によって行う。

【0111】

なお、ステップＳ２７における信号の送受信は、組込制御装置３の動作モードが共有鍵生成モード又は通常通信モードである場合は、暗号通信でなく通常通信によって行われる。また、組込制御装置３の動作モードが暗号通信モードである場合は、ステップＳ２７における信号の送受信は暗号通信によって行われる。

【0112】

続いて、ＣＰＵ３０１は、ステップＳ２７で実行した信号の送受信の状況を、インジケータ部３５の「ＲＵＮ」と「Ｃｏｍ」のインジケータ４５，４７によって表示する（ステップＳ２９）。そして、一連の処理を終了する。

【0113】

以上の説明からも明らかなように、本実施形態では、図５のフローチャートにおけるステップＳ１３～ステップＳ２３が、制御部に対応する処理となっている。

【0114】

そして、図５中のステップＳ１３は、図４のフローチャートにおけるステップＳ１のモード検出ステップの処理に対応している。また、図５中のステップＳ１５及びステップＳ２１は、図４中のステップＳ３の接続検出ステップの処理に対応している。

【0115】

さらに、図５中のステップＳ１７は、図４中のステップＳ５の鍵生成ステップ及びステップＳ９の鍵更新ステップの各処理に対応している。また、図５中のステップＳ２３は、図４中のステップＳ７の鍵取得ステップ及びステップＳ９の鍵更新ステップの各処理に対応している。

【0116】

以上に説明した本実施形態の制御システム１によれば、共有鍵生成モードの組込制御装置３のＵＳＢポート３３にフラッシュメモリ４３を接続すると、新しい事前共有鍵が生成される。そして、新しい事前共有鍵がフラッシュメモリ４３に記憶されると共に、データ記憶部３０７の事前共有鍵が新しい事前共有鍵に更新される。

【0117】

また、暗号通信モードの組込制御装置３のＵＳＢポート３３に、新しい事前共有鍵が記憶されたフラッシュメモリ４３を接続すると、データ記憶部３０７の事前共有鍵が、フラッシュメモリ４３から読み出された新しい事前共有鍵に更新される。

【0118】

上述したどちらのパターンでデータ記憶部３０７の事前共有鍵を更新する場合にも、ユーザが、事前共有鍵を更新する組込制御装置３の設置場所に出向いて２つの作業を行うことになる。そのうちの１つは、モード設定部３１の鍵穴３９にモード切替用キー４１を挿入してキーシリンダ３７を「Ｇｅｎｅｒａｔｅ」又は「ＯＮ」のキーポジションに回転させる作業である。もう１つは、ＵＳＢポート３３にフラッシュメモリ４３を接続する作業である。

【0119】

いずれの作業も、コンピュータの操作に不慣れな者には面倒な操作を伴うものではなく、日常でも行う程度の簡単でしかも視覚的にわかりやすい操作で済む作業である。しかも、データ記憶部３０７の事前共有鍵を更新する際に、他の組込制御装置３との間で特定のプロトコル又は制約の下に通信を行う必要がない。

【0120】

このため、制御システム１のＬＡＮ５が有線、無線、それらの混合等、どのような構成のものであっても、制約を受けずに適用して実施することができる。そして、組込制御装置３同士がＬＡＮ５上で行う暗号通信に用いる、データ記憶部３０７の事前共有鍵の更新を、簡便な作業で行うことができる。

【0121】

なお、上述した実施形態の制御システム１では、新しい事前共有鍵の生成とデータ記憶部３０７の事前共有鍵の更新とを、全て組込制御装置３において行うものとした。しかし、新しい事前共有鍵の生成を、必要に応じてＬＡＮ５に接続される図１の外部端末７でも行える構成としてもよい。

【0122】

以下、外部端末７において新しい事前共有鍵を生成できる構成とする場合の実施形態について説明する。

【0123】

本実施形態の制御システム１では、外部端末７が、組込制御装置３の開発環境を有しているものとする。この外部端末７は、例えば、組込制御装置３のプログラム記憶部３０５のプログラムファイルを編集するメンテナンス作業の際に、ＬＡＮ５に接続することができる。

【0124】

外部端末７は、図３に示すように、ＣＰＵ７０１、通信部７０３、記憶部７０５、入力部７０７、表示部７０９及びＵＳＢインタフェース７１１等を有している。

【0125】

ＣＰＵ７０１は、制御システム１へのログイン後に記憶部７０５のプログラムを実行することで、入力部７０７の入力操作に応じた内容のコマンドを生成し、ＬＡＮ５を介して組込制御装置３のＣＰＵ３０１に出力することができる。ＣＰＵ７０１が生成するコマンドは、組込制御装置３のＣＰＵ３０１に実行を要求する処理を示すコマンド（処理要求）である。

【0126】

なお、外部端末７の制御システム１へのログイン操作は、例えば、ユーザＩＤ及びパスワードの入力による、従来公知の一般的なものとすることができる。

【0127】

記憶部７０５は、例えば、不揮発メモリ（フラッシュメモリ）又はハードディスクドライブによって構成することができる。記憶部７０５には、組込制御装置３のプログラム記憶部３０５のプログラムファイルの編集プログラム、組込制御装置３の暗号通信に用いる事前共有鍵の生成プログラム等がインストールされている。

【0128】

プログラム記憶部３０５のプログラムファイルを編集するためのコマンドは、外部端末７からＬＡＮ５を介して組込制御装置３に通常通信で送信される。このため、外部端末７の編集プログラムによる組込制御装置３のプログラム記憶部３０５のプログラムファイルの編集は、メンテナンス対象の組込制御装置３の動作モードが通常通信モードとなっているときに行うことができる。

【0129】

入力部７０７は、例えば、キーボード、マウス、表示部７０９の画面に設けられたタッチパネル等によって構成することができる。また、入力部７０７の入力内容は、例えば、表示部７０９に表示されるＵＩ（ユーザインタフェース）画面において確認することができる。表示部７０９は、例えば、液晶ディスプレイによって構成することができる。

【0130】

ＵＳＢインタフェース７１１は、外部端末７のＵＳＢポート７１３（外部接続ポートに相当）に接続されたフラッシュメモリ４３に対する信号の入出力を制御する。

【0131】

次に、組込制御装置３で用いる新しい事前共有鍵を生成するために、外部端末７のＣＰＵ７０１が記憶部７０５のプログラムにしたがって実行する処理の手順の一例を、図６のフローチャートを参照して説明する。

【0132】

まず、ＣＰＵ７０１は、新しい事前共有鍵を生成するメニューを選択する入力部７０７からの入力を受け付けたか否かを確認する（ステップＳ３１）。事前共有鍵の生成メニューの選択入力を受け付けていない場合は（ステップＳ３１でＮＯ）、一連の処理を終了する。

【0133】

また、事前共有鍵の生成メニューの選択入力を受け付けた場合は（ステップＳ３１でＹＥＳ）、ＵＳＢポート７１３に対するフラッシュメモリ４３の接続の有無を検出する（ステップＳ３３）。

【0134】

ＵＳＢポート７１３にフラッシュメモリ４３が接続されていない場合は（ステップＳ３３でＮＯ）、事前共有鍵の生成メニューの選択をキャンセルする入力部７０７からの入力を受け付けたか否かを確認する（ステップＳ３５）。キャンセルの入力を受け付けていない場合は（ステップＳ３５でＮＯ）、ステップＳ３３にリターンし、キャンセルの入力を受け付けた場合は（ステップＳ３５でＹＥＳ）、一連の処理を終了する。

【0135】

一方、ＵＳＢポート７１３にフラッシュメモリ４３が接続されている場合は（ステップＳ３３でＹＥＳ）、ＣＰＵ７０１は、新しい事前共有鍵を生成する（ステップＳ３７）。そして、生成した新しい事前共有鍵をフラッシュメモリ４３に記憶させた後（ステップＳ３９）、一連の処理を終了する。

【0136】

以上に説明した本実施形態の制御システム１では、制御システム１にログインした外部端末７で、新しい事前共有鍵を生成してフラッシュメモリ４３に記憶させることができる。このため、組込制御装置３で新しい事前共有鍵を生成してフラッシュメモリ４３に記憶させるために、組込制御装置３を共有鍵生成モードとする必要がなくなる。

【0137】

そして、外部端末７で新しい事前共有鍵を記憶させたフラッシュメモリ４３を、暗号通信モードの組込制御装置３のＵＳＢポート３３に接続することで、組込制御装置３の事前共有鍵を新しい事前共有鍵に更新することができる。

【0138】

したがって、新しい事前共有鍵の生成から更新までを、組込制御装置３を暗号通信モードとして暗号通信を有効としたままで全て行うことができる。

【0139】

また、制御システム１のＬＡＮ５が有線、無線、それらの混合等、どのような構成のものであっても、制約を受けずに適用して実施することができる。そして、組込制御装置３同士がＬＡＮ５上で行う暗号通信に用いる、データ記憶部３０７の事前共有鍵の更新を、簡便な作業で行うことができる。

【0140】

以上に説明した本開示の思想は、例えば、工場、発電所、設備、機械等のプラントに設けたフィールド機器（図示せず）の動作を制御するシステムにも適用することができる。

【0141】

以下、プラントの制御システムに本開示の思想を適用した実施形態について、図面を参照しながら説明する。図７は本開示の実施形態に係るプラントの制御システムを示す説明図である。

【0142】

図７に示すプラントの制御システム５１（プラント制御システムに相当）は、生産設備、製造設備等のプラントに設けたフィールド機器（図示せず）の動作を制御するシステムである。

【0143】

制御システム５１は、フィールド機器の動作制御を実行する制御ユニット５３、フィールド機器の制御目標を設定するエンジニアリングコンピュータ５５、制御ユニット５３の動作状態を監視するモニタリングコンピュータ５７を有している。

【0144】

制御ユニット５３、エンジニアリングコンピュータ（Engineering Unit、以下、「ＥＵ」と略記する。）５５及びモニタリングコンピュータ（Monitoring Unit 、以下、「ＭＵ」と略記する。）５７は、ＬＡＮ５９及びルータ６１によって相互接続されている。本実施形態では、ＬＡＮ５９及びルータ６１を２系統設けて、伝送システムの冗長化を図っている。しかし、伝送システムの冗長化は必須でない。

【0145】

制御ユニット５３の制御対象のフィールド機器は、例えば、複数のブロックに分割することができる。図７では、一例として、複数に分割した各ブロックのフィールド機器の動作を、個別の組込制御装置６３でそれぞれ制御する場合を示している。

【0146】

図７の各組込制御装置６３（通信装置に相当）においては、例えば、アクチュエータ、計測器、センサ等（いずれも図示せず）を含む制御対象のフィールド機器との間で、信号の入出力が行われる。各組込制御装置６３が入出力する信号は、例えば、アクチュエータに対する制御信号、計測器の出力信号、アクチュエータの動作状態を検出したセンサの出力信号等を含んでいる。

【0147】

各組込制御装置６３は、ＥＵ５５から入力されるコマンドに基づいて、プラントの各フィールド機器（アクチュエータ、計測器等）の制御信号を生成する。また、各組込制御装置６３は、各フィールド機器（計測器、センサ等）から出力信号を取得する。

【0148】

そして、各組込制御装置６３は、フィールド機器の動作制御に影響する計測器、センサ等の出力信号を参照して、生成する制御信号の内容を決定する。出力信号を参照する計測器、センサ等が他のブロックのものである場合は、他のブロックの組込制御装置６３から、参照する計測器、センサ等の出力信号を取得する。

【0149】

そのために、各組込制御装置６３は、２系統のＬＡＮ５９及びルータ６１によって、上位のＥＵ５５及びＭＵ５７だけでなく、他のブロックの組込制御装置６３（相手方通信装置に相当）とも、相互に接続されている。

【0150】

そして、各組込制御装置６３は、生成した制御信号を対応する各フィールド機器に出力する。また、各組込制御装置６３は、各フィールド機器から取得した出力信号をＥＵ５５及びＭＵ５７、あるいは、他のブロックの組込制御装置６３に出力する。

【0151】

各組込制御装置６３は、例えば、以上に説明した処理を行うＣＰＵ（図示せず）と、ＲＯＭ又は不揮発性のメモリ（いずれも図示せず）とを有するものとすることができる。その場合、各組込制御装置６３は、ＣＰＵがＲＯＭ又は不揮発性のメモリに格納されたプログラムを実行することで、各部との通信を制御することができる。

【0152】

各組込制御装置６３のＣＰＵが制御する通信には、例えば、制御対象のフィールド機器との信号の送受信、他のブロックの組込制御装置６３との信号の送受信、ＥＵ５５及びＭＵ５７との間のデータの送受信等を含めることができる。

【0153】

ＥＵ５５（動作管理機器に相当）は、例えば、各組込制御装置６３の制御対象である各ブロックのフィールド機器の動作を管理する箇所に配置される。ＥＵ５５とＭＵ５７との間のデータの送受信、ＥＵ５５と各組込制御装置６３との信号の送受信等は、ＥＵ５５のＣＰＵがＲＯＭ（いずれも図示せず）又は不揮発性のメモリ（図示せず）に格納されたプログラムにしたがって実行される。

【0154】

また、ＥＵ５５のＣＰＵは、ＲＯＭ又は不揮発性のメモリのプログラムを実行することで、各ブロックのフィールド機器を動作制御するためのコマンドを生成することができる。

【0155】

そして、ＥＵ５５のＣＰＵは、生成したコマンドを、そのコマンドにより動作制御するフィールド機器が属するブロックに対応する組込制御装置６３に出力する。

【0156】

ＭＵ５７（動作管理機器に相当）は、例えば、各組込制御装置６３の制御対象である各ブロックのフィールド機器の動作を管理する箇所に配置される。なお、ＭＵ５７は、ＥＵ５５と共に配置してもよく、ＥＵ５５とは別個に配置してもよい。また、ＭＵ５７は、必要に応じて複数台用いることができる。

【0157】

ＭＵ５７では、制御システム５１の運用開始後に、フィールド機器（アクチュエータ、計測器等）の動作状態を監視することができる。フィールド機器の動作状態は、各ブロックの組込制御装置６３からＭＵ５７に入力される各ブロックのフィールド機器（計測器、センサ等）の出力信号によって、監視することができる。また、ＭＵ５７では、動作状態を監視しながら、フィールド機器（アクチュエータ、計測器等）の運転操作を行うことができる。

【0158】

各ブロックのフィールド機器の運転操作及び動作状態の監視のための処理は、ＭＵ５７のコンピュータ本体５７１のＣＰＵがＲＯＭ（いずれも図示せず）に格納されたプログラムにしたがって実行する。

【0159】

ＭＵ５７は、コンピュータ本体５７１の他に、ディスプレイ５７３、キーボード５７５及びマウス５７７を有している。なお、ディスプレイ５７３はタッチパネル（図示せず）を有していてもよい。ディスプレイ５７３のタッチパネルは、キーボード５７５及びマウス５７７と共に、各ブロックの組込制御装置６３に対応する各ブロックのフィールド機器の運転操作に利用することができる。

【0160】

上述した構成の制御システム５１では、制御ユニット５３の各組込制御装置６３と、ＥＵ５５及びＭＵ５７との間、あるいは、他のブロックの組込制御装置６３との間で、事前共有鍵を用いた暗号通信を行うことができる。

【0161】

したがって、上述した制御システム５１では、各ブロックの組込制御装置６３、ＥＵ５５及びＭＵ５７に、図１～図５を参照して説明した組込制御装置３の機能を持たせることができる。

【0162】

その場合、特に、ＵＩ（ユーザインタフェース）に利用できるディスプレイ５７３を有するＥＵ５５及びＭＵ５７では、組込制御装置３のモード設定部３１及びインジケータ部３５の機能を、ディスプレイ５７３上のＵＩ画面上で実現させてもよい。

【0163】

また、図４及び図５に示した事前共有鍵の更新方法及び処理手順は、組込制御装置６３、ＥＵ５５及びＭＵ５７の各ＣＰＵが、ＲＯＭ又は不揮発性のメモリのプログラムを実行することで、実行させることができる。

【0164】

このように構成した図７の制御システム５１でも、各ブロックの組込制御装置６３の事前共有鍵、ＥＵ５５の事前共有鍵、ＭＵ５７の事前共有鍵の更新を、簡便な作業で行うことができる。また、制御システム５１のＬＡＮ５９が有線、無線、それらの混合等、どのような構成のものであっても、制約を受けずに事前共有鍵の更新を行うことができる。

【符号の説明】

【0165】

１ 制御システム
３，６３ 組込制御装置（通信装置、相手方通信装置）
５，５９ ＬＡＮ
７ 外部端末
３１ モード設定部（設定部）
３３，７１３ ＵＳＢポート（外部接続ポート）
３５ インジケータ部
３７ キーシリンダ（操作部）
３９ 鍵穴
４１ モード切替用キー
４３ フラッシュメモリ（外部記憶デバイス）
４５ 「ＲＵＮ」のインジケータ（暗号通信の有効又は無効を報知するインジケータ）
４７ 「Ｃｏｍ」のインジケータ
５１ プラントの制御システム（プラント制御システム）
５３ 制御ユニット
５５ エンジニアリングコンピュータ（ＥＵ、動作管理機器）
５７ モニタリングコンピュータ（ＭＵ、動作管理機器）
６１ ルータ
３０１ ＣＰＵ（制御部）
３０３，７０３ 通信部
３０５ プログラム記憶部
３０７ データ記憶部
３０９ キースイッチ
３１１，７１１ ＵＳＢインタフェース
３１３ インジケータドライバ
５７１ コンピュータ本体
５７３ ディスプレイ
５７５ キーボード
５７７ マウス
７０１ ＣＰＵ
７０５ 記憶部
７０７ 入力部
７０９ 表示部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】