CN104463023A - 控制装置、安全管理***及安全管理方法 - Google Patents

Abstract

本发明提供控制装置、安全管理***及安全管理方法。控制装置的中央运算部（3）包括：控制用运算部（32），基于非易失性存储部（31）的存储内容进行计算，对机械进行控制；更新部（33），在第一保守模式或者与第一保守模式相比可操作范围更小的第二保守模式下接收输入操作，根据该输入操作，更新非易失性存储部（31）的存储内容；安全管理部（34A），使用硬件键（6）决定允许或者禁止第一保守模式下的输入操作；以及安全管理部（34B），在不使用硬件键（6）的情况下决定允许或者禁止第二保守模式下的输入操作。

Description

控制装置、安全管理***及安全管理方法

技术领域

本申请涉及控制装置、安全管理***及安全管理方法。

背景技术

例如机器人或者NC机床等由控制装置自动控制的工业机械被广泛应用。由于控制装置基于预先存储的控制参数、控制程序或者各种设定等存储内容来控制工业机械，因此存储内容的变更将对工业机械的动作产生很大影响。因此，需要以高可靠度管理存储内容。因此，例如，在日本特开2012-248108号公报中公开了以下的图像处理装置：只要与硬件键连接且进行了密码输入这样的规定操作，则允许各种设定。

发明内容

为了以高可靠度管理存储内容，可考虑将日本特开2012-248108号公报中公开的技术应用于控制装置。即，可考虑仅在安装有硬件键的情况下允许存储内容的更新。该情况下，通过对硬件键的保管和使用进行管理，能够以高可靠度管理存储内容。另一方面，由于使用硬件键，控制装置的应用有可能复杂化。

因此，本发明的目的是提供既能够抑制应用的复杂化又能够以高可靠度管理存储内容的控制装置、安全管理***以及安全管理方法。

本发明涉及的控制装置包括：控制用运算部，基于非易失性存储部的存储内容进行计算，并对机械进行控制；更新部，在第一保守模式或者与第一保守模式相比可操作范围更小的第二保守模式下接收输入操作，根据该输入操作，更新非易失性存储部的存储内容；第一安全管理部，使用硬件键来决定允许或禁止第一保守模式下的输入操作；以及第二安全管理部，在不使用硬件键的情况下决定允许或禁止第二保守模式下的输入操作。

本发明涉及的安全管理***包括：所述控制装置；数据生成装置，生成允许文件或者安全代码；以及终端装置，将通过数据生成装置生成的允许文件写入硬件键。

本发明涉及的安全管理方法是控制装置的安全管理方法，所述控制装置具有非易失性存储部，并基于该非易失性存储部的存储内容来控制机械，所述安全管理方法包括：在第一保守模式或者与第一保守模式相比设定范围更小的第二保守模式下接收输入操作，根据该输入操作，更新非易失性存储部的存储内容；在第一保守模式下更新存储内容之前，进行使用硬件键来决定允许或禁止第一保守模式下的输入操作的第一安全确认；以及在第二保守模式下更新存储内容之前，进行在不使用硬件键的情况下决定允许或禁止第二保守模式下的输入操作的第二安全确认。

本发明涉及的一种安全管理***，包括：控制装置，基于具有固有识别符的非易失性存储部的存储内容进行计算，并对机械进行控制；在第一保守模式或者与所述第一保守模式相比可操作范围更小的第二保守模式下接收输入操作，根据该输入操作，更新所述非易失性存储部的存储内容；使用存储有包含密码和有效期限的允许文件硬件键，来决定允许或者禁止所述第一保守模式下的输入操作；以及在不使用硬件键的情况下获取包含比较用识别符和有效期限的安全代码，来决定允许或者禁止所述第二保守模式下的输入操作；数据生成装置，生成所述允许文件或者所述安全代码；以及终端装置，将通过所述数据生成装置生成的所述允许文件写入所述硬件键中，其中，在与所述允许文件的所述密码不一致的密码被输入的情况、以及从电子日历输出的日期信息超过所述允许文件的有效期限的情况中的至少一者发生时，所述控制装置禁止所述第一保守模式下的输入操作；在所述非易失性存储部的所述固有识别符与所述安全代码的所述比较用识别符不一致的情况、以及从所述电子日历输出的所述日期信息超过所述安全代码的所述有效期限的情况中的至少一者发生时，禁止所述第二保守模式下的输入操作。所述硬件键具有固有识别符，所述允许文件还包含比较用识别符，所述控制装置在所述硬件键的所述固有识别符与所述允许文件的所述比较用识别符不一致的情况下，也禁止所述第一保守模式下的输入操作。所述控制装置还能执行：输出包含与所述存储内容相对应的第一数据以及所述非易失性存储部的所述固有识别符的第一文件；获取包含第二数据和比较用识别符的第二文件，基于所述第二数据恢复所述存储内容；在所述第二文件包含的所述比较用识别符与所述非易失性存储部的所述固有识别符不一致的情况、以及对所述第一数据和所述第二数据实施相同的运算而分别计算出的确认值相互不一致的情况中的至少一者发生时，禁止所述存储内容的恢复。所述数据生成装置具有存储每个用户的可靠度的用户信息存储部，根据要求所述允许文件或者所述安全代码的用户的可靠度提高，延长所述有效期限。

根据本发明，能够抑制控制装置的应用复杂化的同时以高可靠度管理存储内容。

附图说明

图1是表示安全管理***的概要结构的示意图。

图2是表示安全管理***的功能结构的框图。

图3是表示第一保守模式用的允许文件的发行步骤的流程图。

图4是表示第一保守模式下的存储内容的更新步骤的流程图。

图5是表示第二保守模式用的安全代码的发行步骤的流程图。

图6是表示第二保守模式下的存储内容的更新步骤的流程图。

图7是表示备份文件的输出步骤的流程图。

图8是表示存储内容的恢复步骤的流程图。

具体实施方式

以下参照附图详细说明本实施方式。对同一要素或者具有同一功能的要素标注同一附图标记，并省略重复的说明。

（安全管理***）

如图1和图2所示，安全管理***1包括：控制器2、硬件键6、终端装置7以及数据生成装置8。

控制器2是多关节机器人（机械）A1的控制装置，并具有中央运算部3、伺服单元4以及示教器5。伺服单元4根据输入指令，向多关节机器人A1的致动器供电。

中央运算部3进行各种运算，并通过伺服单元4控制多关节机器人A1。中央运算部3具有：收发部30、非易失性存储部31、控制用运算部32、更新部33、安全管理部34A至34C、电子日历35、日历监视部36、备份输出部37以及备份输入部38。

收发部30与示教器5之间进行各种数据的收发。非易失性存储部31例如是非易失性的半导体存储器，并具有固有识别符（以下称为“存储器ID”）。非易失性存储部31存储控制参数、控制程序或者各种设定等。控制用运算部32基于非易失性存储部31的存储内容进行各种运算，并通过伺服单元4控制多关节机器人A1。即，控制器2基于非易失性存储部31的存储内容来控制多关节机器人A1。控制器2作为多关节机器人（机械）A1的控制装置，具有中央运算部3、伺服单元4以及示教器5所具有的全部功能，以及下述内容中提及的中央运算部3的各个功能模块分别具有的功能。也就是说，中央运算部3的各个功能模块完成的操作都可以视为由控制器2执行。

更新部33经由收发部30接收输入操作，根据该输入操作，更新非易失性存储部31的存储内容。更新部33在第一保守模式或者第二保守模式下接收输入操作。第二保守模式下的可操作范围小于第一保守模式下的可操作范围。例如，第一保守模式能够对控制器2的全部功能更新存储内容，相对于此，第二保守模式仅能够对控制器2的一部分功能更新存储内容。

安全管理部（第一安全管理部）34A决定允许或者禁止第一保守模式下的输入操作。安全管理部34A从硬件键6经由收发部30获取允许文件（后述），使用该允许文件决定允许或者禁止第一保守模式下的输入操作。即，安全管理部34A使用硬件键6。

安全管理部（第二安全管理部）34B决定允许或者禁止第二保守模式下的输入操作。安全管理部34B经由收发部30获取安全代码（后述），使用该安全代码决定允许或者禁止第二保守模式下的输入操作。安全代码由用户输入。即，安全管理部34B不使用硬件键6。

电子日历35通过计时器对经过时间进行计时，向安全管理部34A和安全管理部34B输出当前的日期信息。日期信息包含年月日和时刻的信息，并用于与允许文件或者安全代码的有效期限进行比较。电子日历35经由收发部30接收输入操作，根据该输入操作，更新当前的日期。

日历监视部36监视电子日历35，限制电子日历35的更新。具体而言，电子日历35的日期信息被进行初始设定之后，对将当前时刻向过去侧偏移规定时间以上限制在规定次数以内。规定时间例如为24小时。规定次数例如为5次。

备份输出部37生成第一文件，并经由收发部30输出第一文件，所述第一文件包括：与非易失性存储部31的存储内容相对应的第一数据；对该第一数据计算出的确认值(后述)；以及非易失性存储部31的存储器ID。

备份输入部38经由收发部30获取所述第一文件，基于第一文件中包含的第一数据，恢复非易失性存储部31的存储内容。

安全管理部（第三安全管理部）34C基于通过备份输入部38获取的文件的内容，决定允许或者禁止存储内容的恢复。

示教器5是输入用的装置，经由电缆与中央运算部3连接。示教器5具有收发部50、输入部51、显示部52以及连接器53。

收发部50与中央运算部3之间进行各种数据的收发。输入部51例如通过多个输入按钮，接收由用户执行的输入操作，将该输入内容向收发部50输出，发送至中央运算部3。显示部52例如是液晶监视器，显示针对中央运算部3的收发内容等。连接器53中例如能够安装USB存储器等存储介质。连接器53中安装有硬件键6。另外，连接器53中还安装有用于恢复存储内容的存储介质等。

硬件键6例如是USB存储器等存储介质，并具有连接器60、ID存储部61以及允许存储部62。连接器60与示教器5的连接器53或者终端装置7的连接器（图未示）连接。ID存储部61存储硬件键6的固有识别符（以下称为“键ID”），经由连接器60向外部输出。允许存储部62存储允许文件。

终端装置7例如是经由网络线路与数据生成装置8连接的计算机，向数据生成装置8请求允许文件或者安全代码的生成，从数据生成装置8获取所生成的允许文件或者安全代码。网络线路例如是VPN（Virtual Private Network：虚拟专用网络）。终端装置7将数据生成装置8所生成的允许文件写入硬件键6中。

数据生成装置8例如是服务器，根据来自终端装置7的请求，生成允许文件或者安全代码，并将所生成的允许文件或者安全代码发送至终端装置7。数据生成装置8具有收发部80、用户信息存储部81、允许文件生成部82以及安全代码生成部83。

收发部80经由上述网络线路与终端装置7之间进行数据的收发。

用户信息存储部81存储请求允许文件或者安全代码的每个用户的信息。该信息中包含用户名等用户识别信息、以及用户拥有的硬件键6的键ID。该信息被预先登录在数据生成装置8中。在用户丢失了硬件键6的情况下，该用户需要将新的硬件键6的键ID重新登录在数据生成装置8中。当相同用户对硬件键6的登录次数达到规定次数时，用户信息存储部81禁止硬件键6的再次登录。由此，能够抑制硬件键6的数量增加导致安全管理的可靠度降低。

允许文件生成部82根据来自终端装置7的请求，生成允许文件。安全代码生成部83根据来自终端装置7的请求，生成安全代码。

（安全管理方法）

安全管理***1执行本实施方式涉及的安全管理方法。该安全管理方法是控制器2的安全管理方法。以下说明安全管理方法的执行步骤。

（第一保守模式用的允许文件的发行步骤）

第一保守模式用的允许文件的发行处理通过终端装置7和允许文件生成部82执行。在该处理之前，将硬件键6安装到终端装置7。

如图3所示，终端装置7获取该硬件键6的键ID（S01）。

接下来，终端装置7获取允许文件生成用的数据（以下称为“文件生成用数据”）（S02）。文件生成用数据由用户输入。该数据中包含用户识别信息和由用户设定的密码。

接下来，终端装置7将键ID和文件生成用数据向数据生成装置8发送，并请求允许文件的发行（S03）。键ID和文件生成用数据经由收发部80被允许文件生成部82获取。

接下来，允许文件生成部82参照用户信息存储部81，确认键ID是否正确（S04）。具体而言，如果从终端装置7获取的键ID和文件生成用数据的用户识别信息的组合与预先登录在用户信息存储部81中的内容一致，判定为键ID正确。当键ID不正确时，不发行允许文件的情况下使处理中止。

当键ID正确时，允许文件生成部82生成允许文件，将其从收发部80发送至终端装置7（S05）。允许文件例如是将包含比较用键ID、密码以及有效期限的信息进行密码化后的文件。允许文件中包含的密码是文件生成用数据中包含的密码。

接下来，终端装置7将从数据生成装置8发送的允许文件写入硬件键6的允许存储部62中（S06）。

如上所述，允许文件的发行结束。S01至S06的顺序能够适当变更。写入有允许文件的硬件键6被安装到示教器5的连接器53，用于第一保守模式下的存储内容的更新。

（第一保守模式下的存储内容的更新步骤）

第一保守模式下的存储内容的更新处理通过更新部33和安全管理部34A执行。写入有允许文件的硬件键6也可以是被预先安装到示教器5的连接器53的装置。

如图4所示，更新部33获取第一保守模式下的输入操作请求的指定（S11）。第一保守模式下的输入操作请求由用户输入到输入部51，经由收发部50和收发部30被更新部33获取。

当更新部33获取第一保守模式下的输入操作请求时，安全管理部34A获取键ID、允许文件、以及密码（S12）。键ID和允许文件分别从硬件键6的ID存储部61和允许存储部62输出，经由收发部50和收发部30被安全管理部34A获取。密码由用户输入到输入部51，经由收发部50和收发部30被安全管理部34A获取。

接下来，安全管理部34A对从硬件键6获取的键ID与允许文件中包含的比较用键ID是否一致进行确认（S13）。当键ID彼此不一致的情况下，安全管理部34A禁止第一保守模式下的存储内容的更新（S18）并使处理中止。

当键ID彼此一致的情况下，安全管理部34A确认通过用户输入的密码与允许文件中包含的密码是否一致（S14）。当密码彼此不一致的情况下，安全管理部34A禁止更新第一保守模式下的存储内容（S18）并使处理中止。

当密码彼此一致的情况下，安全管理部34A确认从电子日历35输出的当前日期信息是否在允许文件包含的有效期限内（S15）。在当前的日期信息超过允许文件中包含的有效期限时，安全管理部34A禁止第一保守模式下的存储内容的更新（S18）并使处理中止。

在当前的日期信息在允许文件包含的有效期限以内时，安全管理部34A允许第一保守模式下的存储内容的更新（S16）。如此，安全管理部34A进行第一安全确认，所述第一安全确认决定允许或者禁止第一保守模式下的输入操作。

接下来，更新部33获取更新用的数据，并基于该数据更新非易失性存储部31的存储内容（S17）。例如，更新部33将更新用的数据覆写到非易失性存储部31中。更新用的数据例如通过用户输入到输入部51，经由收发部50和收发部30被更新部33获取。

如上，第一保守模式下的存储内容的更新结束。此外，更新用数据也可以从安装在连接器53上的存储介质经由收发部50和收发部30被获取。更新用数据也可以与允许文件不同地存储在硬件键6中，也可以存储在与示教器5或者控制器2连接的其他的存储介质（图未示）中。S11至S18的顺序可以适当改变。

（第二保守模式用的安全代码的发行步骤）

第二保守模式用的安全代码的发行处理通过终端装置7和安全代码生成部83执行。

如图5所示，终端装置7获取安全代码生成用的数据（以下称为“代码生成用数据”）（S21）。代码生成用数据由用户输入。该数据中包含非易失性存储部31的存储器ID和用户识别信息。存储器ID能够通过示教器5确认。

接下来，终端装置7将代码生成用数据发送至数据生成装置8，请求安全代码的发行（S22）。代码生成用数据经由收发部80被安全代码生成部83获取。

接下来，安全代码生成部83参照用户信息存储部81，确认用户识别信息是否被预先登录（S23）。当用户识别信息没有被登录时，不发行安全代码的情况下使处理中止。

当用户识别信息已被登录时，安全代码生成部83生成安全代码，将其从收发部80发送至终端装置7（S24）。由此，安全代码被通知给用户。安全代码中包含比较用的存储器ID和有效期限。比较用的存储器ID是代码生成用数据中包含的存储器ID。

如上，安全代码的发行结束。此外，安全代码的请求和通知不一定必须经由终端装置7进行，例如，也可以经由数据生成装置8侧的操作员通过利用电话线路的通话来进行。S21至S24的顺序可以适当地改变。

（第二保守模式下的存储内容的更新步骤）

第二保守模式下的存储内容的更新处理通过更新部33和安全管理部34B执行。

如图6所示，更新部33获取第二保守模式下的输入操作请求（S31）。第二保守模式下的输入操作请求由用户输入到输入部51中，并经由收发部50和收发部30被更新部33获取。

当更新部33获取第二保守模式下的输入操作请求时，安全管理部34B获取安全代码（S32）。安全代码由用户输入到输入部51中，并经由收发部50和收发部30被安全管理部34B获取。

接下来，安全管理部34B确认非易失性存储部31的存储器ID与安全代码中包含的比较用的存储器ID是否一致（S33）。当存储器ID彼此不一致时，安全管理部34B禁止第二保守模式下的存储内容的更新（S37）并使处理中止。

当存储器ID彼此一致时，安全管理部34B确认从电子日历35输出的当前日期信息是否在安全代码所包含的有效期限内（S34）。在当前的日期信息超过安全代码所包含的有效期限时，安全管理部34B禁止第二保守模式下的存储内容的更新（S37）并使处理中止。

在当前的日期信息在安全代码所包含的有效期限以内时，安全管理部34B允许第二保守模式下的存储内容的更新（S35）。如此，安全管理部34B进行第二安全确认，所述第二安全确认决定允许或者禁止在第二保守模式下的输入操作。

接下来，更新部33获取更新用数据，基于该数据，更新非易失性存储部31的存储内容（S36）。例如，更新部33将更新用数据覆写到非易失性存储部31中。更新用数据例如由用户输入到输出部51，经由收发部50和收发部30被更新部33获取。

如上，第二保守模式下的存储内容的更新结束。此外，更新用的数据也可以从安装在连接器53上的存储介质经由收发部50和收发部30被获取。更新用的数据也可以存储在硬件键6中，也可以存储在与示教器5或者控制器2连接的其他的存储介质（图未示）中。S31至S37的顺序可以适当改变。

（恢复用文件的输出步骤）

用于恢复处理的备份文件的输出处理通过备份输出部37和安全管理部34C执行。在该处理之前，将备份用的存储介质安装在示教器5的连接器53中。此外，备份用的存储介质也可以与控制器2连接。

如图7所示，备份输出部37获取备份文件的输出指令（S41）。输出指令由用户输入到输入部51，经由收发部50和收发部30被备份输出部37获取。

接下来，备份输出部37生成与非易失性存储部31的存储内容相对应的第一数据（S42）。第一数据可以是与存储内容的全部内容相对应的数据，也可以是与存储内部的一部分内容相对应的数据。

接下来，安全管理部34C从备份输出部37获取第一数据，对第一数据实施规定的运算，计算确认值（S43）。以下，将该确认值称为“输出时的确认值”。确认值例如是CRC（Cyclic RedundAncy Check：循环冗余检验）值。

接下来，备份输出部37将第一文件经由收发部30和收发部50输出至备份用的存储介质（S44）。第一文件包含第一数据、输出时的确认值以及非易失性存储部31的存储器ID。如上，备份文件的输出结束。S41至S44的顺序可以适当地改变。

（存储内容的恢复步骤）

例如，在想要将设定返回到初始状态的情况等，通过备份输入部38和安全管理部34C执行存储内容的恢复处理。在该处理之前，将恢复用的存储介质安装在示教器5的连接器53中。此外，恢复用的存储介质也可以连接于控制器2。

恢复用的存储介质存储通过备份输出部37输出的第一文件。但是，由于也有可能安装存储有与第一文件不同的文件的存储介质，因此，为了方便，将存储在恢复用的存储介质中的文件称作第二文件。第二文件包含第二数据、比较用的确认值以及比较用的存储器ID。当第一文件与第二文件一致时，第二数据与第一数据一致，比较用的确认值与输出时的确认值一致，比较用的存储器ID与非易失性存储部31的存储器ID一致。

如图8所示，备份输入部38获取存储内容的恢复指令（S51）。恢复指令由用户输入到输入部51，经由收发部50和收发部30被备份输入部38获取。

备份输入部38一旦获取恢复指令，经由收发部50和收发部30从存储介质获取第二文件（S52）。

接下来，安全管理部34C对第二文件的第二数据实施上述规定的运算，计算确认值（S53）。即，安全管理部34C对第二数据实施与上述输出时的确认值的计算相同的运算，计算确认值。以下，将该确认值称为“输入时的确认值”。

接下来，安全管理部34C确认非易失性存储部31的存储器ID与第二文件中包含的比较用的存储器ID是否一致（S54）。当存储器ID彼此不一致时，安全管理部34C禁止存储内容的恢复（S58）并使处理中止。由此，能够防止在其他的控制器2中作为第一数据生成的数据被写入非易失性存储部31中。

当存储器ID彼此一致时，安全管理部34C确认输出时的确认值与输入时的确认值是否一致。当确认值不一致时，禁止存储内容的恢复（S58）并使处理中止。由此，能够防止与第一数据不一致的第二数据被写入非易失性存储部31中。即，能够排除作为第一数据生成后发生改变的数据。

当确认值彼此一致时，安全管理部34C允许存储内容的恢复（S56）。如此，安全管理部34C进行第三安全确认，所述第三安全确认决定允许或者禁止存储内容的恢复。

当安全管理部34C允许存储内容的恢复时，备份输入部38基于第二数据恢复非易失性存储部31的存储内容（S57）。例如，备份输入部38将第二数据覆写到非易失性存储部31中。如上所述存储内容的恢复结束。S51至S58的顺序可以适当地改变。

如上所述，根据控制器2和具有控制器2的安全管理***1，使用硬件键6来决定允许或者禁止第一保守模式下的输入操作。由此，能够以高可靠度管理非易失性存储部31的存储内容。

另一方面，决定允许或者禁止第二保守模式下的输入操作时不使用硬件键6。因此，能够在不进行使用硬件键6的繁琐操作的情况下决定允许或者禁止第二保守模式下的输入操作。由此，能够使第二保守模式下的操作迅速地结束，并且能够缩短伴随非易失性存储部31的存储内容的更新而产生的控制器2的停止期间。

由于与第一保守模式相比第二保守模式下的可操作范围较小，因此，即使在不使用硬件键6的情况下决定允许或者禁止第二保守模式下的输入操作，也能够确保非易失性存储部31的存储内容的管理的可靠度。因此，能够抑制应用的复杂化，并且能够以高可靠度管理非易失性存储部31的存储内容。

在与允许文件中包含的密码不一致的密码被输入的情况、以及从电子日历35输出的日期信息超过允许文件的有效期限的情况中的至少一者发生时，安全管理部34A禁止第一保守模式下的输入操作。因此，即使某一硬件键6的密码泄露的情况下，通过使用新密码创建的允许文件更新该硬件键6内的允许文件，也能够使泄露的密码无效。另外，通过对允许文件赋予有效期限，防止密码被长期使用，即使密码泄露等的情况下，由于有效期限以后不能使用密码，因此能够更可靠地降低风险。因此，能够以更高的可靠度限制第一保守模式下的输入操作。

安全管理部34A在硬件键6的键ID与允许文件中包含的比较用的键ID不一致的情况下，也禁止第一保守模式下的输入操作。因此，防止将允许文件复制到其他的硬件键6中进行使用。由此，能够更加严格地管理允许文件，因此能够以更高的可靠度限制第一保守模式下的输入操作。

在非易失性存储部31的存储器ID与安全代码的比较用的存储器ID不一致的情况、以及从电子日历35输出的日期信息超过安全代码的有效期限的情况中的至少一者发生时，安全管理部34B禁止第二保守模式下的输入操作。由此，通过有效利用非易失性存储部31的存储器ID，能够不进行繁琐的操作并且能够以高可靠度限制第二保守模式下的输入操作。另外，通过对安全代码赋予有效期限，能够限定允许第二保守模式下的输入操作的期间。因此，能够在不伴随着操作的复杂化的情况下，以更高的可靠度限制第二保守模式下的输入操作。

日历监视部36在电子日历35的日期信息被进行初始设定之后，限制将当前时刻向过去侧偏移。由此，能够以高可靠度检测允许文件或者安全代码的有效期限到期，并且能够以更高的可靠度限制第一保守模式或者第二保守模式下的输入操作。

备份输出部37输出包含第一数据和非易失性存储部31的存储器ID的第一文件。备份输出部38获取包含第二数据和比较用的存储器ID的第二文件，基于第二数据，恢复非易失性存储部31的存储内容。由此，限于存储内容的恢复，能够在不要求安全确认用的输入的情况下允许对非易失性存储部31的存储内容的操作。

在第二文件中包含的比较用存储器ID与非易失性存储部31的存储器ID不一致、以及对第一数据和第二数据实施相同的运算而分别计算出的确认值相互不一致的情况中的至少一者发生时，安全管理部34C禁止所述存储内容的恢复。由此，能够以高可靠度限制存储内容的恢复以外的操作。

用户信息存储部81存储的每个用户的信息也可以包含用户的可靠度。允许文件生成部82也可以根据要求允许文件的用户的可靠度的提高，延长允许文件的有效期限。同样地，安全代码生成部83也可以根据要求安全代码的用户的可靠度的提高，延长安全代码的有效期限。该情况下，通过仅对可靠度高的用户进行延长有效期限的设定，能够抑制可靠性的降低，并且能够进一步抑制控制装置的应用的复杂化。此外，例如，能够基于用户在数据生成装置8中登录的期间长度或者以往有无不正当的使用经历等，设定可靠度。

以上，说明了本实施方式，但是本发明不一定限于上述的实施方式，在不脱离其主旨的范围内能够进行各种各样的改变。控制器2的控制对象不限于多关节机器人，例如也可以是NC机床等。

Claims (16)

1.一种控制装置，其特征在于，包括：

控制用运算部，基于非易失性存储部的存储内容进行计算，并对机械进行控制；

更新部，在第一保守模式或者与所述第一保守模式相比可操作范围更小的第二保守模式下接收输入操作，根据该输入操作，更新所述非易失性存储部的存储内容；

第一安全管理部，使用硬件键来决定允许或者禁止所述第一保守模式下的输入操作；以及

第二安全管理部，在不使用硬件键的情况下决定允许或者禁止所述第二保守模式下的输入操作。

2.如权利要求1所述的控制装置，其特征在于，

所述硬件键存储包含密码和有效期限的允许文件，

在与所述允许文件的所述密码不一致的密码被输入的情况、以及从电子日历输出的日期信息超过所述允许文件的所述有效期限的情况中的至少一者发生时，所述第一安全管理部禁止所述第一保守模式下的输入操作。

3.如权利要求2所述的控制装置，其特征在于，

所述硬件键具有固有识别符，

所述允许文件还包含比较用识别符，

所述第一安全管理部在所述硬件键的所述固有识别符与所述允许文件的所述比较用识别符不一致的情况下，也禁止所述第一保守模式下的输入操作。

4.如权利要求2或3所述的控制装置，其特征在于，

所述非易失性存储部具有固有识别符，

所述第二安全管理部获取包含比较用识别符和有效期限的安全代码，在所述非易失性存储部的所述固有识别符与所述安全代码的所述比较用识别符不一致的情况、以及从所述电子日历输出的所述日期信息超过所述安全代码的所述有效期限的情况中的至少一者发生时，禁止所述第二保守模式下的输入操作。

5.如权利要求4所述的控制装置，其特征在于，还包括：

备份输出部，输出包含与所述存储内容相对应的第一数据以及所述非易失性存储部的所述固有识别符的第一文件；

备份输入部，获取包含第二数据和比较用识别符的第二文件，基于所述第二数据恢复所述存储内容；以及

第三安全管理部，在所述第二文件包含的所述比较用识别符与所述非易失性存储部的所述固有识别符不一致的情况、以及对所述第一数据和所述第二数据实施相同的运算而分别计算出的确认值相互不一致的情况中的至少一者发生时，禁止所述存储内容的恢复。

6.一种安全管理***，其特征在于，包括：

权利要求4或5所述的控制装置；

数据生成装置，生成所述允许文件或者所述安全代码；以及

终端装置，将通过所述数据生成装置生成的所述允许文件写入所述硬件键中。

7.如权利要求6所述的安全管理***，其特征在于，

所述数据生成装置具有存储每个用户的可靠度的用户信息存储部，根据要求所述允许文件或者所述安全代码的用户的可靠度提高，延长所述有效期限。

8.一种控制装置的安全管理方法，所述控制装置具有非易失性存储部，并基于该非易失性存储部的存储内容对机械进行控制，所述安全管理方法的特征在于，包括：

在第一保守模式或者与所述第一保守模式相比可操作范围更小的第二保守模式下接收输入操作，根据该输入操作，更新所述非易失性存储部的存储内容；

当在所述第一保守模式下更新所述存储内容之前，进行使用硬件键来决定允许或者禁止所述第一保守模式下的输入操作的第一安全确认；以及

当在所述第二保守模式下更新所述存储内容之前，进行在不使用硬件键的情况下决定允许或者禁止所述第二保守模式下的输入操作的第二安全确认。

9.如权利要求8所述的安全管理方法，其特征在于，还包括：

在进行所述第一安全确认之前，生成包含密码和有效期限的允许文件；以及

将所生成的所述允许文件写入所述硬件键中，

在所述第一安全确认中，在与所述允许文件的所述密码不一致的密码被输入到所述控制装置的情况、以及从所述控制装置的电子日历输出的日期信息超过所述允许文件的所述有效期限的情况中的至少一者发生时，禁止所述第一保守模式下的输入操作。

10.如权利要求9所述的安全管理方法，其特征在于，

所述允许文件中还包含比较用识别符，

在所述第一安全确认中，在所述硬件键的固有识别符与所述允许文件的所述比较用识别符不一致的情况下，也禁止所述第一保守模式下的输入操作。

11.如权利要求9或10所述的安全管理方法，其特征在于，还包括：

在进行所述第二安全确认之前，生成包含比较用识别符和有效期限的安全代码，

在所述第二安全确认中，在所述非易失性存储部的固有识别符与所述安全代码的所述比较用识别符不一致的情况、以及从所述电子日历输出的所述日期信息超过所述安全代码的所述有效期限的情况中的至少一者发生时，禁止所述第二保守模式下的输入操作。

12.一种安全管理***，其特征在于，包括：

控制装置，基于具有固有识别符的非易失性存储部的存储内容进行计算，并对机械进行控制；在第一保守模式或者与所述第一保守模式相比可操作范围更小的第二保守模式下接收输入操作，根据该输入操作，更新所述非易失性存储部的存储内容；使用存储有包含密码和有效期限的允许文件硬件键，来决定允许或者禁止所述第一保守模式下的输入操作；以及在不使用硬件键的情况下获取包含比较用识别符和有效期限的安全代码，来决定允许或者禁止所述第二保守模式下的输入操作；

数据生成装置，生成所述允许文件或者所述安全代码；以及

终端装置，将通过所述数据生成装置生成的所述允许文件写入所述硬件键中，

其中，在与所述允许文件的所述密码不一致的密码被输入的情况、以及从电子日历输出的日期信息超过所述允许文件的有效期限的情况中的至少一者发生时，所述控制装置禁止所述第一保守模式下的输入操作；

在所述非易失性存储部的所述固有识别符与所述安全代码的所述比较用识别符不一致的情况、以及从所述电子日历输出的所述日期信息超过所述安全代码的所述有效期限的情况中的至少一者发生时，禁止所述第二保守模式下的输入操作。

13.如权利要求12所述的安全管理***，其特征在于，

所述硬件键具有固有识别符，

所述允许文件还包含比较用识别符，

所述控制装置在所述硬件键的所述固有识别符与所述允许文件的所述比较用识别符不一致的情况下，也禁止所述第一保守模式下的输入操作。

14.如权利要求12所述的安全管理***，其特征在于，

所述控制装置还能执行：输出包含与所述存储内容相对应的第一数据以及所述非易失性存储部的所述固有识别符的第一文件；获取包含第二数据和比较用识别符的第二文件，基于所述第二数据恢复所述存储内容；在所述第二文件包含的所述比较用识别符与所述非易失性存储部的所述固有识别符不一致的情况、以及对所述第一数据和所述第二数据实施相同的运算而分别计算出的确认值相互不一致的情况中的至少一者发生时，禁止所述存储内容的恢复。

15.如权利要求13所述的安全管理***，其特征在于，

所述控制装置还能执行：输出包含与所述存储内容相对应的第一数据以及所述非易失性存储部的所述固有识别符的第一文件；获取包含第二数据和比较用识别符的第二文件，基于所述第二数据恢复所述存储内容；在所述第二文件包含的所述比较用识别符与所述非易失性存储部的所述固有识别符不一致的情况、以及对所述第一数据和所述第二数据实施相同的运算而分别计算出的确认值相互不一致的情况中的至少一者发生时，禁止所述存储内容的恢复。

16.如权利要求12至15中任一项所述的安全管理***，其特征在于，

所述数据生成装置具有存储每个用户的可靠度的用户信息存储部，根据要求所述允许文件或者所述安全代码的用户的可靠度提高，延长所述有效期限。